JPS61195443A - データ処理システム内のシステムフアイルを保護する方法及びデータ処理システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野１ 本発明は、全体として、システムファイルを有するデー
タ処理システムに関するものである。そのようなファイ
ルは１つまたはそれ以−４のセグメントより成るものと
見なすことができ、それらのセグメントはフィールドよ
り放る。それらのセグメント、データオブジェクト、お
よびフィールドは、データ・フォーマットすなわちデー
タ書式を含む多様な物理的表現をと９得る情報の論理的
な集合体である。本発明は、とくは、権限′＠：Ｖする
ユーザー実体（ｕｓｅｒ　ｅｎＮｔ７　）用に実行され
るプログラムによってのみ、および特定のタスクの実行
金許されたプログラムによってのみ、データオブジェク
トへのアクセスすなわち操作と、データオブジェクトの
ラベル付け、およびデータオブジェクトの表示が行なえ
る保障データ処理システム（ａｅｃｕｒｅ　ｄａｔａ　
ｐｒｏｃｅｓｓｉｎｇ　ｓｙｓｔｅｍ　　に関するもの
である。権限に安全基準すなわち保障政策（ａｅｃｕｒ
Ｌｔ７　ｐｏｌｉｃｙ　）により決定される。

その保障政策には、アクセスすなわち操作音しようとし
た時点で上記ユーザー実体およびデータオブジェクトに
付随している保障格付けすなわち保障属性（５ｅｃｕｒ
ｉｔｙ　ａｔｔｒｉｂｕｔｅｓ　）　　の相互間に存す
る１組の既存関係がｔまれるものである。そのような保
障属性は、たとえば、データオブジェクトに含まれる情
報の機密度（ｄｅｇｒｅｅ　ｏｆ　ｍｅｎｓｉＨｖｉｔ
ｙ　）　’にそれに付随の保障属性により表わし、ユー
ザー実体の信用度（ｄｅｇｒｅｅ　ｏｆ　　ｔｒｕｓｔ
ｗｏｒｔｈｉｎｅｓｓ　）をそれに付随の保障属性によ
り表子。プログラムにより実行を許されるタスクも、タ
スクを実行する１０グラム乃至プログラム群（すなわち
、サブシステム）の間に存在する１組の既存関係と、そ
れらのプログラム（乃至プログラム群、）がアクセスで
きるデータオブジェクトのフォーマットすなわち書式と
、それらのデータオブジェクトに対するアクセスモード
とを含ませられた保障政策により決定される。この場合
は、十分な信用度を有するユーザー実体のために実行さ
れる適切なプログラムによってのみ機密情報がアクセス
すなわち取扱われるようにするために保障政策、および
それを実行する保障データ処理システムを使用できる。

［先行技術〕 プログラムがデータオブジェクトをアクセスすなわち取
扱うことができるモードすなわちやり方を、たとえば、
情報の読増り（アクセス）、情報の書込み（入力）ｔ″
行えるように許可したり、行うことを禁止する固定され
たセットに限定すること、または他のモードに単一およ
び組合せて限定すること、の少（とも一方の操作を行う
手段を設けることが関連技術において仰られている。そ
のようなセットのことをここでにアクセス権（ａｃｅ０
３＋１　ｒｉｇｈｔＪと呼ぶことＶＣする。この技術に
おいては、７０グラムが、特定のデータオブジェクト内
のフィールドの値上設定する仁とにより、その１ａグラ
ムの管理丁にあるデータオブジェクトに対してアクセス
＋ＩＩヲ認める。その特定のデータオブジェクトは、特
定のセグメント内に配置されることにより、通常のデー
タオブジェクトと区別される。特定のデータオブジェク
トハ、アクセスすなわち操作の前は、データ処理ｇｔｃ
ｒｔによりフェッチされ、データ処理システムは、デー
タオブジェクトのアクセス権フィールドの内容により許
されたアクセスすなわち操作のみを実行する。この技術
には２つの弱点がある。第１は、データ処理システムに
より実行されるプログラムが特定のセグメントと通常の
セグメント金具なるやり方で取扱わなければならないか
ら、その特定のセグメントの存在がブａグラムヲ複雑に
することである。

第２の弱点は、プログラムの実行全指示しているユーザ
ー実体も、筐たはそのユーザー実体により現在所有され
ている保障属性も何ら顧慮されることなしは、ツーログ
ラムかアクセスｔｉｆさ才してしまうことである。した
がって、ユーザー実体は、自己のために実行中の１０グ
ラムに対し、既存の保障政策ではアクセス権が認められ
ないのは、アクセス権を与える別の１ａグラムを実行で
きる。信用度の高′いプログラムにのみアクセス権を付
与することを認めることも関連技術において知られてい
る。ある与えられ九ユーザー実体のために実行している
プログラムが、ある与えられた通常のデータオブジェク
トに対する与えられたアクセス権を望むと、そのプログ
ラムは信用度の高いプログラムに頼る。その信用度の高
いプログラムは、与えられたユーザー実体および与えら
れた通常のデータオブジェクトに関連する現在の保障属
性會得て、保障政策により許可されたアクセス権が与え
られるようにする。この技術には、上記の信用度の高い
プログラムのようなソフトウェアプログラムにおいて信
用度の低下（ｃｏｍｐｒｏｍｉｓｅ　）が起ることが比
較的容易でめるという欠点がある。しかも、その信用度
低下に検出されることなしに放置されることかあり、か
つプログラムの信用度が舌下していないこと全示すこと
が極めて困難であることも仰られている。

特定のデータオブジェクトを認識できる装置を設けるこ
とにより、特定のデータオブジェクトと通常のデータオ
ブジェクトがセグメント内に混在することを許し、かつ
、上記のようにして、アクセス権の設定を信用度が高い
プログラムに限定することも関連技術において仰られて
いる。この技術には２つの欠点がある。第１の欠点は、
化用度の高いプログラムの信用度が上記のように低下す
ることでちる。第２の欠点は、信用度の高いプログラム
の信用度が低下しないとしても、あるユーザー実体のた
めに実行しているプログラムがある通常のデータオブジ
ェクトに対するアクセス権を設定できるが、そのアクセ
ス権は保障政策により許可されないことである。そのよ
うな信用度低下は、保障政策により許可されたアクセス
権を特定、の通常データオブジェクトへ与える特定のデ
ータオブジェクトにプログラムが得て、次に第２のユー
ザー実体のために実行するプログラムによりアクセスで
きるセグメント内は、前記第１のプログラムが前記特定
のデータオブジェクト’（ｉ−置くことＶＣより起る。

そして、その第２のユーザー実体が現在上している保障
属性は第１のユーザー実体の保障属性と異なり、その第
２のユーザー実体の保障属性では、上記により得られた
アクセス権は、保障政策に従うと許可されていない鳩舎
である。

また、特定のデータと通常のデータをセグメント内に混
在させること、および特定のデータオブジェクトのｇｉ
ミラ記のようにして設定するために化用度の高いソフト
ウェアを設けることに加えて、特定のデータオブジェク
トにより与えられるアクセス権を、保障政策に従って、
許可する可能な保障属性ｆ：有するユーザー実体のため
に実行するプログラムによってのみ共通にアクセスされ
るセグメントは、その特定のデータオブジェク）を置く
ことに凧定するＨｔｘ役けることも知られている。

この技術には３つの欠点がある。ｌＯ欠点は、信用度の
肯いソフトウェアのイδ用度が上記のようにして低下す
ることである。ｗＪ２の欠点は、特定のデータオブジェ
クトの格納に制約を加えることにより、ユーザー実体の
ためｅＣ実行するプログラムの活動會制限し、そのため
にそｉｃらのプログラムの効果と効率を低下させること
である。第３の欠点は、そのような制約音別える装置の
誤動作の結果が破滅的なことである。というのは、アク
セスを自由に行えるセグメントに特定のデータオブジェ
クトが置かれると、データ処理システム内のセグメント
の間は、見つげたり、戻したりすることが不可能なやり
方でその特定のデータオブジェクトケ移動したり、複写
［、たりできるからであるー。

以上述べた技術には、碧意のニーデー実体のために実行
できるプログラムを悪意のユーザーがシステム内に置く
こともできる、という欠点も有する。その悪意のプログ
ラムでは、悪意のユーザー実体が、実際は、データオブ
ジェクトに許可なしにアクセスするようにして情＠全複
写するためは、善意のユーザー実体に刈し１許可されて
いるアクセス権を使用する。そのような慎写が行われた
こと全善意のユーザー実体に見つけられない。

更は、信用度の高いプログラムのみにシステムファイル
へのアクセスを許し、かつユーザー実体のために実行し
ているプログラムは、システムファイルをアクセスしよ
うとするたびは、信用度の高い上記フ゛ログラムに呼出
し、を求めることも関連技術において知られている。こ
の技術Ｖこは３つの欠点がある。第１の欠ａは、上記の
ように信用度の高いプログラムの信用度が低下させられ
ること、およびプログラムにより実行される機能の数が
多いためは、プログラムの信用度が低下していないこと
を示すことが事実上不可能なことである。第２の欠点は
、信用度の高いプログラムの信用度が低下しないとして
も、信用度が高いそのプログラム以外の手段によりシス
テムファイルをアクセスすることができなムことを示す
ことが非常に困菖なことでちる。第３の欠点は、システ
ムファイルをアクセスするために仲介プログラムを実行
することにより、ユーザー実体のために実行するプログ
ラムの性能音大きく低下させることである。

アクセス権情報を含み、あるセグメントを記述する特定
のデータオブジェクトＱ他のセグメント内に格納するこ
とをユーザーに許すこと、および特定のデータオブジェ
クト’を検索し、それに続いて、その特定のデータオブ
ジェクトから検索されたアクセス権情報に従って、記述
されたセグメントの内容をアクセスするととｔユーザー
に許すことも関連技術において仰られている。この技術
には、あるセグメントに対するユーザーのアクセス権が
、特定のデータオブジェクトが作られた時に決定される
ためは、アクセス権の取消し後もそのユーザーが古いア
クセス権を保持できるものとすると、そのユーザーのア
クセス権を効果的に取消すことができないという欠点が
ある。

それらの先行技術の別の欠点は、あるデータオブジェク
トをアクセスすること全保障政策により許可された者が
、そのデータをマークされていない書式で出力でき、そ
れからそのデータの保障状態に反してそのデータを便用
”ｔｆｃ、は：α写するといつ別の欠点もある。

〔発明が解決しようとする問題点〕

したがって、不発明の目的は、上記の意味で安全である
データ処理システムのアーキテクチャ１得ることである
。

本発明の別の目的は、信用度が非常に高い複雑なソフト
ウェアプログラムに頼ることなしは、上記安全を提供す
ることである。

本発明の別の目的は、保障属性ｔユーザー実体およびｆ
−タオブジェクトｒこ関連させ、かつ時間の経過ととも
に制御されるやり万でそれらの保障属性が変化すること
ｔ許す装置を得ることである。

不発明の別の目的は、ユーザー笑体プログラムが、予め
定められた保障政策によって設定された制約と適合する
アクセス権のみ全実行でさること全保証する装置を得る
ことでちる。

本発明の別の目的は、ユーザー実体プログラムが、デー
タに対するアクセス権の乱用により、予め定められてい
る保障政策により許可されていないオペレーション葡実
行しないことケ保証する装置金得ることである。

不発明の別の目的は、安全でないコンピュータアーキテ
クチャにより提供される技術の延長上にあるが、その技
術に限定されない技術−１−得ることにより、ソフトウ
ェアおよびプログラムの実務によって安全な処理が行え
るようにするためは、それらのソフトウェアおよびグミ
グラミングの実務に最少限の変更を加えるだけの技術を
用いて前記諸口的を達成することである。

本発明の別の目的は、データの機密度お、よびデータ表
示装置の性質に適合するや９万でのみ出力データ全表示
し、その出力データにラベル全村すようなデータ処理シ
ステムを得ることである。

本発明の更に別の目的は、°保護されるシステムファイ
ルすなわちシステムデータに対する古いアクセス権をユ
ーザーが保持できないようなデータ処理システムを得る
ことである。

〔問題点を解決するための手段〕

本発明の諸口的は、システムファイルのセグメント内の
特定のデータオブジェクト會認識できる装置を、データ
処理システムに設けることによって達成される。前記特
定のデータオブジェクトそれぞｈｆよ、単一のデータオ
ブジェクｔを意味する。

あるプログラムが与えられたデータオブジェクトを特定
のモードすなわち？９方でアクセスすなわち操作できる
前は、そのグログラムは、与えられたデータオブジェク
ト金示す値を有する特定のデータオブジェク１１−前記
装置が利用そきるようにせねばならない。そのｇｃＲは
、セグメントが特定のデータと通常のデータの双方を含
むこと管許し、かつ特定のデータオブジェクトによる技
術音用いるグログラムが課す制約以外（・′Ｃは、どの
セグメントが特定のデータオブジェクｌｆむことができ
るかということについての制約は課さない。その装ｒｔ
ｌｔは、ラベル付きのデータの表示を、データオブジェ
クトの保障レベルと、データオブジェクトが表示される
表示装置の性質とに適合するやｐ方でのみ許す。その装
置は、特定のデータオブジェクトに対して実行できるオ
ペレーションを制限することにより、それらの特定のデ
ータオブジェクト全信用反低下または検査から保護する
。この装ａは、既存の保障政策により許可されていない
モードすなわちやり方で通常のデータオブジェクトを直
接または間接にアクセスすなわち取扱うのは、所定のユ
ーザー実体のために実行するプログラムが特定のデータ
オブジェクトを便用できないことを保証丁ふためは、保
障属性の特定の項目ｆ、１ｎｓｔａｎｃｅ）　　ｋ％デ
ータオブジェクトに関連づける、という技術を用いる。

そのような特定の項目のことをここではデータオブジェ
クトの保障レベルと呼ぶことにする。この装置は、デー
タ処理システムがあるプログラムを現在実行しているこ
とにより利益をこうむるユーザー実体に関連する保障属
性を常に保持する。あるアクセスすなわち操作を１ａグ
ラムにより実行すべき時に有効であるそのような保障属
性の項目のとと會、ここではグログラムの現在の保障コ
ンテキスＦ　（ｃｕｒｒｅｎｔ　５ｅｅｕｒｉｔｙ　ｃ
ｏｎｔｅｘｔ　）　　と呼ぶことにする。保護されるシ
ステムファイルすなわちデータに対するアクセス権はあ
る保障プロセッサ内に常に保持される、その保障プロセ
ッサは、その中に保持されているデータ全１データ処理
システムのディレクタ実体によってのみ変更できる。こ
の装置は、あるグログラムが、特定のデータオブジェク
トにより示されたデータオブジェクト金、プログラム保
障コンテキストおよびデータオブジェクト保障レベルの
との特定の組合せに附する既存の保護氷政策により定め
られるモードすなわちやり方でアクセス、操作、弄示ま
たはラベル付けを行うことｔ許すだけである。その結果
、所定のユーザー実体のためにこれまで実行されたプロ
グラムは、データオブジェクトに含萱れている情報ヲ、
既存の保障政策により許可されていないやり方すなわち
モードでアクセス、掃作、表示筒−＃はラベル付けを直
ｍまたは間接に行うことができない１）特定のデータは
、プロセッサの間で共用されているセグメント内は、保
障伝送リンクに沿って、または暗号化された形式で含ま
せることができ、それによ夕分散システムにおける全て
のデータ処ｍｆｃ＊のユーザー実体によるアクセスの制
御を統一的に行うととができる。

Ｌ実施例〕 以下、因面を参照して本発明の詳細な説明する。

第１図は、エーザー実体間の情報の流れを、ユーザー実
体と、それらのユーザー実体により操作すなわちアクセ
スされるデータオブジェクトとに関連する保障滴注のレ
ベル部分により、どのようにして制御できるか會示すも
のである。この例におりる保障属性のレベル部分・は部
分的に順序づけられる。すなわち、Ａ（２）はＡ　（１
）より大きく、Ａ（１）はＡ（０）より大きく、Ｂ（２
）にＢ（１）より大きく、Ｂ　（１）ｒｉＢ　（０）よ
り大きく、Ａ（２）ｉＢ（０）！５大！いｊ　うに定め
らね、各属性にそれ自身に等しいように定められ、諸属
性のレベル部分の間にはそれ以外の関係は存在しない。

予め定められる保障政策は、ユーザー実体の保障属性の
レベル部分中の現在の値がデータオブジェクトの保障属
情のレベル部分より大きいか、それに等しい時、および
その時のみユーザー実体はデータオブジェクトから情報
を読出す（検索する）ことかでき、データオブジェクト
の保障属性のレベル部分が、ユーザー実体に現任関連し
ている保障属性のレベル部分より大きいか、それに等し
い時、およびその時のみ、ユーザー実体は情報全データ
オブジェクトに書込む（入力する）ことができることで
ある。図示のようにコンビエータのメモリ内のシステム
ファイルに含まれているデータオブジェクトにより交信
するユーザー実体に関連して、いずれのデータ処理ユー
ザー実体もメモリスペース金利用できる。どのユーザー
実体も、図において接続線が存在している任意のデータ
オブジェクトｔ、その＆’ｌｔ！、線に付けられている
ラベル上に示されているモードすなわち態様でアクセス
または操作できる。したがって、その接続線は、例示の
保障属性を与えられて、情報がユーザー実体からユーザ
ー実体へ流れることができるようにする全ての可能な指
向性経路を定める。したがって、Ａ（０）とＡ（１）か
らＡ（２）へ、Ｂ（０）とＢ（１）からＢ（２）へ、Ｂ
（０）からＡ（２）への一方向通信が可能であり、その
通信は、多くの場合に種々のデータオブジェクトを弁し
て行われる。そのようにして、それらユーザー笑体間の
厳密な階層的順序づけのような固定的関係に限定されな
いようなや９方で制御できる。たとえば、近代的な企業
経営においては、データオブジェクトの集合Ｂ（６）は
桜密Ｆ４　（ｓｅｎｓｉｔｉｖｉｔ７　）がしだいに高
くなる材層データを含むことができ、データオブジェク
トの集合Ａ　（ｎ）は機密性がしだいに高くなる生産デ
ータを含むことができる。同様は、ユーザー実体の集合
Ｂ　（ｎ）は職階がしだいに高くなり、かつ特権がしだ
いに大きくなる財務スタッフのメンバーとすることがで
き、ユーザー実体の集合Ａ（ｎ）は生産スタッフのメン
バーである。図示の例における情報の流れの制御は、各
スタッフ内でに情報は上方へのみ流れ、生産スタッフの
最高の職階にあるメンバーは個々の送り状のような低機
密度の財務データを調べることはできるが変ｌｌはでき
ず、それ以外の他の生産スタッフメンバーはどのような
財務データもアクセスできず、財務スタッフのメンバー
は職階を問わず生産情報を読み出すことはできない、と
いうような状況を示す。情報の流れは、ユーザー実体の
３Ａ（Ｅの保障属性とデータオブジェクトの現在の保＋
＝属性との比較を基にしてオペレーション全許可したり
、禁止したりすることによってのみ制限を受けることは
明らかでろろう。したがって、保障属性１１（ｎＪのデ
ータオブジェクトｙアクセスしようとした時にユーザー
実体が保障属性Ａ（０）２石するものとすると、属性を
比較することにより不適合とい９結果が生ずることにな
る。

第１図においてはデータオブジェクトを別個の実体とし
て表しているが、一般は、データオブジェクト？物理的
媒体内のどこにでも置くことができることも明らかであ
ろう。

次は、特定の書式（フォーマット）の情報のアクセス金
、特定のタスクを実行するサブシステムにどのようにし
て限定できるかを示す第１ａ図を参照する。との例にお
いては、Ｆｌ、Ｆ２．Ｆ３はデータオブジェクトの集合
であって、各集合は特定の内部書式！−有する。８１／
＝８２は、一致して機能して特定のタスクを実行するハ
ードウェアおよびソフトウェアで構成されたサブシステ
ムである。図示のようは、書式Ｆｌのデータは、Ｓｌと
８６を含めた数多くのサブシステムで一般に利用でき、
書式Ｆ２のデータはサブシステムＳ１のみが取扱うこと
ができ、書式Ｆ３のデータはサブシステムＳ１と８２の
間で交信するために使用できるだけである。

したがって、書式Ｆｌは、符号化されたキャラクタ列の
ような、マシン内のデータに対して一般に使用される書
式である。書式Ｆ２は、人が読めるような形態で表示ま
たは発生される時にコンピュータからの出力をマークす
るために用いられるキャラクタの列（たとえば、最高機
密（ＴＯＰ　　５ＥＣＲＥＴ）、専Ｎ　（ＰＲＱＰＲＩ
　ＥＴＡＲＹ　）など）のような、正しいままで彦くて
はならない情報の書式、および、どの情報をどのように
してマークせねばならないかを定める表の書式とするこ
とができる。

書式Ｆ３は、表示のために適切にマークお′よび書式化
される通常の情報とすることができる。

そうすると、サブシステムｓｘｕ、適切な’−キフグを
決定すること、および出力のためにデータに’ｉ式化す
るタスクの一部としてそれをデータ中の適切な場所に挿
入することを、タスクとしているようなザブシステムで
ある。サブシステムＳ２は、タスクが、ある適当な装置
にデータを表示することであるよりなサブシステムであ
る。

例で示されているアクセスの制約は、情報に９いてのマ
ーキングが表示される時にそのマーキングを変更するこ
とにより、たとえば［専有（ＰＲＯＰＲＩＥＴＡＲＹ）
を１一般配布用に公表済（ＲＥＬｇＡＳＤＤ　ＦＯＲＰ
ＵＢＬＩＣＤＩＳＴＲＢＵＴＩＯＮ）Ｊへ変更すること
により、悪意のプログラムが、予め定められている保障
政策の意図を打ち砕くこと全阻止することが明らかであ
ろう。サブシステムＳｌと８２１！、厳しい検査および
゛テストのプロセスにより、悪意ある意図から影響を受
けないことが示されている。制限された性質のそのよう
な証明は、サブシステムが保障政策をどのようにしても
破らないという一般的な証明より十分に簡単である、と
いうことはコンピュータシステムの設計に通じている人
にとっては明らかであろう。サブシステムＳ１，５２ｒ
ｉ、書式がＦ２とＦ３Ｏ情報會アクセスすることが許さ
れているという程度でのみ、特権を肩する。それらのサ
ブシステムが行うどのようなアクセスも、第１図に示す
ようは、それぞれの書式にある情報の保障レベルによっ
ても制約される。サブシステム８１の部分でにない悪意
のあるプログラムは、書式Ｆ２の情報をアクセスできず
、それにより、情報上とのようにしてマークすべきかの
定義、またはマーキングの性質會変史することが阻止さ
れる。サプシステ、４８１０部分ではない悪意あるプロ
グラムは、書式Ｆ３の情報を発生または修正できないか
ら、データを不適切にマークして表示することも阻止さ
れる。

データ書式とサブシステムの間の予め定められている関
係を基にしてアクセスを制約するこの方法を用いて、例
示したもの以外の状況においても情報の非買収性（ｉｎ
ｃｏｒｒｕｐｔａｂｉｌｉｔｙ）　ｌ：維持できること
も明らかであろう。

次は、端末装置２０と、プロセッサ２１およびメモリ２
２で構成されているデータ処理システムが示されている
第２図を参照する。自己のためにプロセッサ２１がプロ
グラムを実行することを望んでいるニーデー実体は、た
とえばパスワードを用いる精緻なログイン手続きにより
、最初に自分自身全識別してもられねばならない。別の
例として端末装置自体全利用する場合もあり、この場合
には、端末装置を識別Ｔることによりユーザー実体が自
動的に識別され、かつそのユーザー実体の保障属性が自
動的に定められる。ユーザー実体（または端末装置）が
プロセッサ２１にひとたび結合されると、そのプロセッ
サはそのニーデー実体のためにプログラム全実行でき、
それらのプログラムはメモリ２２内の情報を各種のモー
ドおよびやり方でアクセスすなわち取扱うととができる
。

次は、本発明を実施する主な部品のブロック図が示され
ている第３口金参照する。第２図のプロセッサ２１はユ
ーザー実体識別器３１と、通常データオブジェクト処理
器３２と、保障プロセッサ３３とで構成される。ユーザ
ー実体識別器３１は、第２図の端末装置２０會弁して交
信しているユーザー実体に現在関連する保障属性と、通
常データ処理Ｍｉｔ３２により現在実行されているサブ
システムと全モニタすることにより、保障コンテキスト
・レジスタ３３１を維持する。保障プロセッサ３３ニ、
現在の保障コンテキスト・レジスタ３３１と、保障政策
ユニット３３２　と、データオブジェクト％徴表３３３
と、プログラムワーキングセット表３３４と、特定デー
タオブジェクト処理器３３５と、メモリアドレス装置３
３６　　と、暗号器３３７とで構成される。保障政策ユ
ニット３３２　は保障政策を格納し、通常のデータオブ
ジェクトについて操作しているユーザー実体に対して許
されたアクセスモード全計算する。データオブジェクト
特徴衣３３３　ｕ、特定のデータオブジェクトにより示
されているあらゆるデータオブジェクトのアドレスおよ
びその他の特徴を保持する。プログラムワーキングセッ
ト茨３３４は、プログラムが現在働きかけている通常の
データオブジェクトｙアドレスするために必要な情報を
言む。特定データオブジェクト処理器３３５　Ｕ、特定
のデータオブジェクトについて限定された１組のオペレ
ーションを実行する。メモリアドレス益３３６　は第２
図のメモリ２２に対する情報のフェッチおよび格納を行
う。２′モリアドレス器３３６　にタグコード認識器３
３６ａ　　を含み、このタグコード認識器３３６ａは、
通常データ処理器３２だけが通常のデータオブジェクト
七処理するようにする。暗号器３３７は、特定のデータ
オブジェクト％含むセグメントの伝送をｍ実に行うため
に含むことができる。

データ処理システムの（保障オフィサのようがディレク
タ実体のみが保障プロセッサ３３をアクセスでき、かつ
それに含筐れているデータを取扱うことができる。第３
図は保障プロセッサ３３を個別の装置として示している
が、保障プロセッサ３３の機能はデータ処理システムの
ハードウェアとソフトウェアの全体にわたって分散でき
る（たとえば、保障プロセッサ３３の機能は、汎用処理
システムにおいて特定のモードで働くソフトウェアによ
り実現できる）。

次は、特定データオブジェクトが、およびそれが示す通
常データオブジェクトとともに示されている第４図？］
−参照する。特定のデータオブジェクト４０は、通常の
データオブジェク）４１Ｊｆ−独自に識別するデータオ
ブジェクト識別番！４０１と、娯り検査コードおよび誤
り訂正コードのような情＠會含むために使用できる雑フ
ィールド４０３と、第２図のメモリ２２内での通常のデ
ータオブジェクト４１の始めの位置を定める現在アドレ
ス４０５と、第２図のメモリ２２内での通常のデータオ
ブジェクト４１の長さ、したがらてその通常のデータオ
ブジェクトの終りの位鑵ヲ定める長さ４０６と、通常の
データオブジェクト４１内の情報の保障レベルを定める
保障レベル４０７と、通常のデータオブジェクト４１内
の情−〇書式を定める書式４０９　と、情報全通常のデ
ータオブジェクト４１中に符号化するやり方のような通
常のデータオブジェクト４１の他の諸特徴を含む他の特
徴フィールド４０８　とで構成される。この好適な実施
例においては、フィールド４０１　と　４０３に第２図
のメモリ２２内で隣り合う場所を占め、それらの場所を
ｋむ物理的媒体に関連するタグコードを有する。また、
フィールド４０５，４０６．４０７鉱第３図のデータオ
ブジェクト特徴表３３３内に置かれ、データオブジェク
ト識別番号（ＤＯＩＤ）４０１によりその位置が示され
る。この構成によりメモＩＪ　ｉ最も効率的に使用でき
、かつ保障プロセッサの性能が向上する。

他の構成であっても、保障プロセッサがフィールド４０
１　　の１直を与えられて、フィールド４０３゜４０５
．４０６，４０７，４０８　および４０９　　のを使用
でき、かつフィールド４０１　會含むオブジェクトを特
定して、許可されていないアクセスすなわち許可されて
いない取扱いからそれ全保護するための識別を行う構成
であれば、機能的に同等である。

次は、入れ子構造およびオーバーラツプ構造の通常のデ
ータオブジェクトを特定のデータオブジェクトが指定す
る方法が示されている第５図を参照する。第４図の３つ
の特定のデータオブジェクト４０が第２図のメモリ２２
に示されている。各特定のデータオブジェクトは第４図
の各データオブジェクト識別番号ｆｆ１４Ｑ１　　’ｔ
７Ｎするから、個別の通常のデータオブジェクト５０，
５１．５２ｒ示す。第５図は、通常のデータオブジェク
ト５１が通常のデータオブジェクト５０内に入れ子穴に
入れられ、通常のデータオブジェクト５２が通常のデー
タオブジェクト５０に重なり合うような値を、第４図の
フィールド４０５，４０６　　がどのようにしてとると
とができるかを示すものである。３つの特定のデータオ
ブジェクトの全てが同一の通常のデータオブジェクトを
示すような値をフィールド４０５．４１）Ｓ内の値がと
ることも可能である。

次は、アドレスをどのようＩｃ　ｌ、て計算するか、お
よびアクセス権ヤどＯようＫ　ｌ、て検査するかを示す
第６因を参照する。命令６０は、第２図のメモリ２２内
の通常のデータオブジェクト６１のフィールド６１１　
に対してプログラムが実行すべき＃ヘレーション１１　
るオペレーションコード６０１　　と、それに対してプ
ログラムが現在働きかけているデータオブジェクトの集
合に対して表されるフィールド６１１の場所であるロー
カルなアドレス６０２とで構成される。ローカルなアド
レス６０２はフィールド６０２ａ　と６０２ｂを含むも
のと解される。フィールド６０２ａ　ｔ’ｓ第３図のプ
ログラムワーキングセット表３３４への索引と解される
。その索引はプログラムワーキングセットエントリ６２
の場所を示す。そのプログラムワーキングセットエント
リ６２はデータオブジェクト識別番号フィールド６２１
　と、アクセス権フィールド６２２　と、現在のアドレ
スフィールド６２３と、長さフィールド６２４とで構成
される。フィールド６０２ｂ　ｒ！通常のデータオブジ
ェクト６１内のオフセットと解される。命令６０は第３
図のメモリアドレス装置３３６へ送られる。

メモリアドレス装置３３６はフィールド６１）２ａをと
９出し、それを用いてプログラムワーキングセットエン
トリイ６２の位置を定める。メモリアドレス装置３３６
はアクセス権６２２　をオペレーション：２−）−６０
１とＪ［Ｌ、オペレーションコード６０１　により求め
られるアクセスおよび取扱いのモードおよびやｐ方が、
アクセス４１！６２２により許されているかどうかｔｇ
べる。もし許されていなければ、メモリアドレス装置３
３６は、割込みのような手段により、適切な管理プログ
ラム會呼出す。オペレーションコード６０１　　とアク
セス権６２２が適合するものとすると、メモリアドレス
！８１３３８　ｆｌオフセットフィールド６０２ｂ　を
長さフィールド６２４　と比較して、フィールド６１１
が通常のデータオブジェクト６１内に実際にあるかどう
か會調べる。もし通常のデータオブジェクト内にないと
、メモリアドレス装置３３６は割込みのような手段を用
いて適切な管理プログラムを呼出す。もし通常のデータ
オブジェクト内にあると、フィールド６１１　のアドレ
スを得るためは、メモリアドレス装置３３６はフィール
ド６０２ｂ　　ｋフィールド６２３に加える。そして読
出しを希望した時は、オペレーションコード６０１に応
じて、フィールド６１１ｔ、第３図の通常データオブジ
ェクト処理器３２または第３図の特定データオブジェク
ト処理器３３５へ送る。第３図のタグコード認識器３３
６ａは転送′を調べて、タグコードを含んでいる場所に
格納されているデータが通常データオブジェクト処理器
３２へ送られないヨウにする。オペレーションゴー１’
６０１カフイールド６１１　に対する他のアクセスモー
ドラ意味するものとすると、この説明をどのようｌこ修
正するかは当業者にとっては明らかであろう。

次は、プログラムが現在働きかげているデータセットに
あるデータオブジェクト音別える方法が示されＣいる第
７図を参照プ°る。プログラムが、希望のデータオブジ
ェクト６１に上記のようにしてアクセス゛まだは取扱う
ことかでさるようにするた−めは、そのデータオブジェ
クｒ６１に前記プログラムのワーキングセットに加える
要求を第３図の保障プロセッサ３３−＼送る。その要求
はオペレーションコードと、アドレスと、フィールド値
トの任意の組合せでコード化できる。それらのフィール
ド値は要求を識別し、第２図のメモリ２２にｔすれてい
る第４図の特定のデータオブジェクト４０を示す。その
特定のデータオブジェクト４０はメモリ２２内の希望の
データオブジェクト６１を指示し、第６図のプログラム
ワーキングセットエントリイ６２を識別し、そのエント
リイをプログラムが用いて、後でデータオブジェクト６
１全参照する。第３図の特定データオブジェクト処理器
３３５は、第６図全参照して説明したステップを用いて
、メモＩＪ　２２からフィールド４０１，４０３をフェ
ッチする。

特定データオブジェクト処理器３３５は、データオブジ
ェクト識別番号４０１　を用いて、保障レベル４０７　
とデータ書式４０９をデータオブジェクト特徴表３３３
からフェッチし、現在の保障コンテキストｉ現在の保障
コンテキストレジスタ３３１からフェッチする。そのレ
ジスタ３３１ｉ’ｊユーザ実体識別器３１により絶えず
維持され、それら３個の値を保障政策ユニット３３２へ
送る。保障政策ユニット３３２はアクセス権６２２の正
しい値をエントリイ６２に置く。処理器３３５は、フィ
ールド４０１　　’ｔフィールド６２へ動かし、フィー
ルド４０５をフィールド６２３へ動かし、フィールド４
０６をフィールド６２３へ動か丁ことにより、エントリ
イ５２の残９を図示のようにして構成する。

兵制して作用する第６図および第７図に示すオペレーシ
ョンにより、マシンのアラユるオペレーションを予め定
められている保障政策に一致させルコトが、コンピュー
タシステム設計に通じている人には明らかであろう。第
６図のオペレーション６０１　は、フィールド６１１　
が會んでいるｇ！Ｌをアクセスまたは取扱うためは、フ
ィールド６１１の位置を定めるために求められるアドレ
ス全発生しようとした時は、アクセス櫓フィールド６２
２に遭遇することは避けられない。アクセス権６２２は
第３ｉ２１の保障プロでツサ３３によＶ設定できるだけ
である。それらのアクセス権の設定においては、保障プ
ロセッサ３３は保障政策ユニット３３２に遭遇すること
は避けられない。その保障政策ユニット３３２　［、レ
ジスタ３３１内の現在の保障コンテキストと、データオ
ブジェクト特徴表３３３に保持されているフィールド６
１１　の保障レベルおよび書式との間の、外部政策によ
りｙめられる関係を基にしてアクセス権を選択する。し
たかつて、外部政策を強制する機構を通じる以外は、フ
ィールド６１１内の情報全アクセスまたは取扱う方法に
ない。

次は、保障政策ユニット３３２　の動作が示されている
第８図を参照する。現在の保障コンテキスト３３１　は
それの構成部分であるユーザー実体属性３３１１　　と
サブシステム３３１２に分けられる。

ユーザー実体属性３３１１　　と保障レベル４０７は属
性比較器３３２１へ送られる。この属性比較器３３２１
に仮アクセス権３３２３　　を発生する。仮アクセス権
３３２３の発生は、次に限定されるわけではないが、ユ
ーザー実体の信用度とデータの機密度の符号化された値
の比較と、ユーザーの名称と許可を受けたユーザーのリ
ストの一致との少くとも一方を含む、予め定められてい
る政策の意図を正しく反映するいくつかの手段により行
うことができる。

それから、収アクセス権３３２３　ｆｌサブシステム、
／書式比較器３３２２により確［（ｖａｌｉｄａｔｅｄ
　）される。そのサブシステム／書式比較器３３２２　
Ｕ、現在のサブシステム３３１２およびデータオブジェ
クト書式４０９　ｔ’、特定の書式のデータへのアクセ
ス金特定のサブシステムにより許された諸アクセスの表
またはその他の表現と比較する。それから、サブシステ
ム／：ｌ１ｌＦ式比較器３３２２　ｉ、上記比較の結果
により許可されていないアクセスのどのモードまたはや
り方も仮アクセス権３３２３から削除し、それの結果を
アクセス権として発生する。

保障政策ユニット３３２のそれと同等の動作は、適切な
権限ｔＶするもの（たとえば、アクセス権信号をオーパ
ーラ１ドできる予め定められている。

プログラム）により前もって許可されていない限りにお
いて、属性比較とサブシステム／書式比較のいずれかに
否認されたアクセスのモードまたはや９万をアクセス権
６２２が含んでいなければ、サブシステム／書式比較器
３３２２と属性比較器３３２１　　との動作を異なる順
序で行うことにより、行わせることもできる。

アクセス権６２２は、データオブジェクト６１をプログ
ラムワー千フグセットエントリイ６２に加える試みに応
答してのみ発生式れる。したがって、アクセス権６２２
は格納する必要はなく、通常のデータオブジェクト６１
がワーキングセット表３３４にさ１れている間は、一時
的に格納される以外は格納されない。アクセス権６２２
は保障プロセッサ３３を離れることができないことに注
意されたい。この制約にメモリつ′ドレスｉｆｆ　３３
６の構造のために強いられるものであって、そのメモリ
アドレスｇｃ貸においては、メモリ２２と通常データオ
ブジェクト処理器３２の間のデータの流情 れ會、アクセス格情報をデータどして送ることなしは、
制御するためにアクセス権信号が用いられる。その構造
は、現代のメモリ管理ユニットのアクセス制御部の構造
に類似する。

対応するオブジェクトがワーキングセット表３３４にぎ
１れている間だけアクセス権信号を格納することにより
、ひとたび許可されたアクセスを取消す問題が簡単とな
る。アクセス権をユーザーにより任意のメモリオブジェ
クト内に保持できるものとすると、アクセス権信号を得
て以来ユーザーがワーキング七ツｒ表金連続して保持し
なかったとしても、後でデータオブジェクト６１″ｆ、
アクセスするためにそれらの信号を使用できることにな
る。

実際は、ユーザーがプロセッサとのセツション（ｌｌｅ
８８ｉ０ｎＪ　　〒終った後で起り得る、ワーキングセ
ット表の破壊の後、またはユーザーがプロセッサとのセ
ツション全開始した時に起ることがある、新しいワーキ
ングセット表が初期化された時は、本発明ｑ工未解決（
ｏｕｔａｔａｎｄｉｎｇ）のアクセス権を自動的に取消
す。アクセス権５２２が保障プロセッサ３３′Ｋｍれる
ことかできないということにより、保護されるシステム
ファイルに古いアクセス杢鑓全格納することでユーザー
が取消し規則の適用全党れることが阻止される。

動作 との実施例においては、任意の特定の時刻に特定のデー
タオブジェクトラ格納する物理的媒体に関連するタグコ
ード金特定のデータオブジェクトに持たせることにより
、特定のデータオブジェクトが通常のデ・−タオブジェ
クトから区別される。

特定のデータオブジェクトに対しては特殊な装置が作用
できるだけである。特定のデータオブジェクトは通常の
データオブジェクト中にフィールドとして含めることが
できる。その場合には、通常のデータオブジェクトを処
理する装置にとっては、それらのフィールドは禁止され
たフィールドとして見える。

特定のデータオブジェクト’６認鷹して、そのデータオ
ブジェクトに作用するｆｃｔ＆！、独立した保障プロセ
シングユニットとしてデータ処理システムに含１れ、そ
の保障プロセシングユニットはそれによってのみ１６：
Ｊ御されるメモリ全音する。通常のデータオブジェクト
金アクセスまたは取扱う前は、ユーザー実体のために実
行するプログラムはその特定のデータオブジェクトを保
障プロセシングユニットへ転送せねばならず、その転送
が行われると保障プロセシングユニットにプログラムの
現在の保障コンテキストと、その特定のデータオブジェ
クトにより示されている通常のデータオブジェクトの保
障レベルと、通常のデータオブジェクトの書式とを保障
プロセシングユニットのメモリから取出す。それから、
保障プロセシングユニットニどのアクセス権が所定の保
障政策に適合するか、およびサブシステムと書式の間の
所定のアクセス関係に適合するか全判定する。保障プロ
セシングユニットは、前記所定の政策および前記所定の
アクセス関係に適合するモードおよびやり方でのみ、プ
ログラムが、特定のデータオブジェクトにより示されて
いる通常のデータオブジェクト金アクセスまたは取扱う
ことを許す。

特定のデータオブジェクトに２つの状況の下で作成され
る。第１の状況では、新しい通常のデータオブジェクト
を作成するという要求全プログラムが保障プロセシング
ユニットへ送る。その要求は、作成しようとする通常の
データオブジェクトの特性、たとえば、それの大きさ、
情報全データオブジェクトにコード化する方法、および
システムファイルのどこにそれ金置くか、など會含まな
ければならない。また、その要求は、作成しようとする
通常のデータオブジェクトの保障属性と書式も含萱なけ
ればならない。保障プロセシングユニットＨ通常のデー
タオブジェクトの特性をそれのメモリ内に置き、扇切な
物理的媒体中にスペースを割当て、新しい通常のデータ
オブジェクトラ示す新しい特定のデータオブジェクＨ−
作成してから、その新しい特定のデータオブジェクトｉ
要求しているプログラムへ送る。第２の状況においては
、特定のデータオブジェクトを複写する要求を保障プロ
セシングユニットへ送る。その要求は、原特定データと
して使用すべき特定のデータオブジェクトを含鷹なけれ
ばならない。保障プロセシンクユニットはその新しい特
定のデータオブジェクトラ要求しているプログラムへＭ
ｊ。

この実施例は、一致して用いる６種類の方法により保障
を達成する。第１は、全ての情報を識別可能なデータオ
ブジェクトに集める。第２は、データオブジェクトに対
する全てのオペレーションについて、ユーザープロセス
は前記データオブジェクト會示す特定のデータオブジェ
クト’に使用することを要求する。第３は、使用中のサ
ブシステムの実体を含めて、オペレーションが実行され
ている対象であるユーザー実体の保障属性を常時認識す
る。第４は、全てのデータオブジェクトを保障属性の集
合および書式に関連づけることによりデータオブジェク
トをアクセスするためは、特定のデータオブジェクトｙ
使用するやり方を制御する。

第５は、予め定められている保障政策により許可されて
いるモードまたはやり方でのみオペレーションがデータ
オブジェクトラアクセスまたは、　　取扱うことができ
るようは、特定のデータオブジェクトがそのオペレーシ
ョンにより使用される時にアクセスのモードおよびやり
方全通択する。第６は、全てのプログラムをサブシステ
ムに集め、通常のデータオブジェクトの書式を基にして
データオブジェクトに対するサブシステム内のプログラ
ムによる許されたアクセスを定める所定の関係を維持す
ることにより、通常のデータオブジェクトに対するプロ
グラムによるアクセスのモードおよびやり万を制限する
。

第１の方法の動作は第６図を参照することにより明らか
になる。第２図のメモリ２２に格納されている情報は、
ローカルアドレス６０２　’ｅ介してオペレーション６
０１　が利用できるだけである。

アドレス６０２１！、それの性質そのものにより、フィ
ールドの集９の中のフィールド６１１　を選択する。そ
のフィールドの集りハデータオブジェクト６１である。

したがって、オペレーションにとってアクセスできる全
ての情報にデータオブジェクトの部分でなければならな
い。

第２の方法の動作は＠６図および第７図を参照すること
により明らかとなる。プログラムが、フィールド６１１
　を選択°Ｔるローカルアドレス６０２を有する第６図
の命令６０により、フィールド内の情報をアクセスまた
は取扱う。フィールド６１１を選択するために必要な演
算を行うためは、プログラムワーキングセットエントリ
イ６２’にフェッチせねばならない。第７図には、特定
のデータオブジェクト４０のフィールドからプログラム
ワーキングセットエントリイ６２が取出される様子が示
されている。そのデータオブジェクト４０のデータオブ
ジェクト識別番号４０１　がデータオブジェクト６１會
指定する。したがって、あるフィールドをアドレッシン
グする動作には、アドレスを行おうとする前に特定のデ
ータオブジェクＩを呈示する動作がｔ″すれることは避
けられない。

第３の方法の動作は、第３図のユーザー実体識別器３１
の適切な任意の構成、およびそれと現在の保障コンテキ
ストレジスタ３３１０間の通信により行われる。ユーザ
ー実体識別器３１は、第２図の端末装置２０とともは、
どの属性集合をレジスタ３３１内に最初に置くかを決定
するためは、パスワード、保障および専用の電話線、コ
ールバック、暗号シールその他の各種の手段を単独で、
または組合せて便用できる。それと同時は、保障コンテ
キストレジスタ３３１　の内容に適合するアク七ス権’
ｋ１組のエントリイ６２にロードすることにより、プロ
グラムワーキングセット表３３４が初期化される。プロ
グラムの実行中は、オペレーションコード６０１　Ｕ、
アドレス６０２とともは、あるサブシステムから別のサ
ブシステムへ変更することｔ！＆求できる。それからそ
のオペレーションコードは、フィールド６１１　のアク
セス動作に異なるプログラムワーキングセット表３３４
　　ｈｉｔ！用させる。

ＷＪ４の方法の動作は第４図を参照することにより明ら
かにされる。第４図から、保障レベルフィールド４０７
　と書式フィールド４０９　が、通常のデータオブジェ
クト４１のｆＡ在のアドレスを選択する同じデータオブ
ジェクト識別番号に関連づけられることがわかる。

第５の方法の動作に第７図會参照することにより明らか
となる。特定のデータオブジェクトの使用には、ＷＩ、
３図の特定データオブジェクト処理器３３５により％定
のデータオブジェクトがフェッチされること、およびフ
ィールドがそれからプログラムワーキングセットエント
リイ６２へ移動すせられることが宮１れる。ひとたびフ
ェッテされたデータオブジェクト識別番号４０１は、第
３図のデータオブジェクト特徴表３３３から保障レベル
４０７　を得るために利用できる。特定データオブジェ
クト処理益３３５は、第３図に示す現在の保護１コンテ
キストレジスタ３３１　をアクセスすることにより、現
在の保障コンテキスト’に常に利用できる。したがって
、特定のデータオブジェクトを使用することには、デー
タオブジェクｔ［Ｉｉｌレベルと現在の保障コンテキス
トの比較が行われること、したがって、第３囚の保障政
策ユニット３３２による第６図のアクセス権フィールド
６２２の適切な設定が含まれることは避けられない。ひ
とたび設定されると、第６図のフィールド６１１をアク
セスするためには、現在のアドレスフィールド６２３（
第６図）を求めるオペレーションによりアクセス権フィ
ールド６２２　が遭遇させられることに避けられない。

したがって、アクセスのモードおよびやり方の制約が一
様に強いられる。

第６の方法の動作は第８図を参照することにより明らか
となる。第６図のアクセス権６２２　の計算においては
、データオブジェクト書式４０９　（第４図）と、第３
図の現在の保障コンテキストレジスタ３３１　のサブシ
ステム３３１２がサブシステム／′４Ｉ式比較器３３２
２により比較され、その比較の結果を用いて、アクセス
権６２２により許されたアクセス金石う全てのモードお
よびやり方が、サブシステム内のプログラムにより許さ
れた、特定の書式のデータ金アクセスするアクセス権の
予め定められた集合に適合するようにする。第６図を参
照することにより、フィールド６１１　の現在のアドレ
ス６２３　を形成する間は、アクセス権フィ゛−ルド６
２２　は任意のプログラムのオペ、レーションにより遭
遇させられることが避けられないことがわかる。したが
って、第８図のサブシステム／４１Ｆ式比［器３３２２
により課されるアクセス権制約は一様に強いられる。

本発明のメカニズムと方法は、下記の２つのシステム構
Ｉｆｔ’ｉ含むが、それのみに限定されない各種のやり
方で実施できる。それらの可能な実施例は第３図を参照
することにより理解できる。第１の実施例においては、
メモリアクセス要求において求められているアクセスの
種類に関する信号を与、するマイクロプロセッサのよう
な通常の処理装置により、通常データオブジェクト処理
器３２の諸機能が実行される。メモリアドレス装置３３
６の諸機能は、通常データオブジェクト処理器３２と、
その通常データオブジェクト処理器３２をメモリ２２に
接続するバスとの間に設けられるハードウェアモジュー
ルによって実行される。プログラムワーキングセット表
は、メモリアドレス装置３３６の諸機能を実行する七ジ
ュール内か、またはメモリアドレス装置３３６　から容
易にアクセスでき、かつ通常データオブジェクト処理器
３２による内容のアクセス動作から保護されたメモリ２
２の中に含まれる。特定データオブジェクト処理器３３
５の諸機能は、メモリバスに取付けられ、または専用接
続線によりメモリアドレス装置３３６に取付けられてい
る特殊なハードウェアモジエールにおいて実現できる。

メモリ２２は、アドレス可能な各実体に関連するタグを
含むようは、およびパス上のアドレス可能な実体の内容
とともに前記タグの僅と通信するように変更できる、メ
モリアドレス装置は、入来データに関連するタグフィー
ルドのｔＬｔ調べ、それが特定データオブジェクト内に
Ｍｌれていることを示すタグ１＠ヲ有するオブジェクト
であれば、どのようなオブジェクトの内容も通常データ
オブジェクト処理器３２が決して送らないことｔ株証す
るようは、前記タグフィールドの値についての情報の流
れを制御する。

纂２の実施例においては、通常データオブジェクト処理
缶３２の諸機能はマイクロコンピュータのようカ通常の
プロセッサにより実行され、特定データオブジェクト処
理器３３５の諸機能は適当にプログラムされたマイクロ
プロセッサにより実行される。メモリアドレス装置は、
第１の実施例について先に述べたようにして実現できる
。全てのオペレーションが同じ処３２装置において実行
され、オペランドのタグ値が、それらに対して実行でき
る諸機能全実行するように機能するような実施例を含め
て、他の実施例が可能であることは、コンピュータの設
計に通じている者には容易にわｋ）る。

いずれの実施例においても、タグフィールド、したがっ
て通常のデータオブジェクトと特定のデータオブジェク
トの違いは省七できる。その結果として得られた実施例
においては、適切なサイズの任意のデータオブジェクト
全特定データオブジェクト処理器３３５へ与えて、その
データオブジェクトラ第４図のデータオブジェクト識別
番号４０１　と解釈させることができる。そのような実
施例はオペレーションに対して予測されない結果金もた
らすことがあるが、それらの結果の全ては、所定の保障
政策と、特定の書式の情報をアクセスすることをサブシ
ステムにより許された所定のアクセス集合とに適合する
ことは、コンピュータシステムの設計に通じている者に
とっては明らかである。

通常のデータオブジェクトと特定のデータオブジェクト
との差異がタグ操作の間中保たれたとすると、特定のデ
ータオブジェクトを通常のデータオブジェクトよりも自
由に書くことかで・きる。とくは、通常の情報の複写が
既存の政策により禁止サレる状況にあっては、可視情報
の流れが既存の政策を破らないようにして、特定のデー
タオブジェクトを通常のデータオブジェクトに伐写する
（これは書込みの形式である）ことｒ許すことが可能で
ある。そのようなオペレーションを許すと、機密度全低
下させることなしにプログラム設計の自由夏全高くでき
る。

単一のユーザ一端末５ｆｃ＊を有するプロセッサについ
て以上説明したが、多数のユーザ一端末装置？！するコ
ンピュータシステムの構成に不発明を効果的に適用でき
ることが、コンピュータシステムの設計に明かるい者に
とっては明らかであろう。

関連技術において刈られているようは、種々のユーザー
に関連するプログラムの間でプロセッサを切換え、ある
ユーザーのプログラムがプロセッサから切離された時は
、そのプログラムに関連する状態情報が保持され、その
プログラムがプロセッサへ再び接続された時は、その状
態情報を確実に回復されるようにする。上記技術を本発
明に適用するには、ユーザープログラムの状態が現在の
保障コンテキストレジスタ３３１　の内容と、第３図の
ブａグラムワーキフグセット表３３４の内容を含むこと
が必要である。

アクセス領６２２　の設定するオペレーションは、オペ
レーション６０１　　の実行に先立つ任意の時刻に実行
できることもコンピュータシステム設計に通じている者
にとっては明らかである。一般は、アクセス＠６２２　
　の設定するオペレーションが後で実行されるほど一層
しはしは実行される。そして、それが実行される回数−
二増すほど、オペレーション６０１　の集合より成るプ
ログラムをマシンが実行するのに要する時間が長くなる
。それを実行する回数カニ増すとデータオブジェクト特
徴表３３３　を参照する回数も増し、したがってその表
の変更が、プログラムの挙動に課される制約に一層迅速
に反映されることになる。したがって、プログラムの性
能を高くすることと、それらのプログラムにより行われ
るアクセスを制御するデータ保障特性が時機にかなうよ
うにすることの間で妥協がなされる。データアクセス特
性が変る共通の場合というのは、名称によりユーザーに
許されるアクセスが許されるか、取消されるかの時であ
る。

各オペレーション６０１　に対してアクセス権６２２が
再び計算されたとすると、許可または増消しは次のオペ
レーションそのものに対して行われる。

ある長い間隔をおいてアクセス権６２２が再計算される
ものとすると、フィールド６２２の古い値の制御の下に
ある数のオペレーション６０ｉ　　ｔ’実行できる。

【図面の簡単な説明】

第１図は保障属性をユーザー実体に関連づけ、かつそれ
らの属性の相互関係によりアクセスおよび取扱いのモー
ドおよび態様を制御する保障政策により情報の流れの制
限をどのようにして行うかを示す線図、第１ａ図は特定
の書式で格納されている情報を特定のサブシステムがア
クセスするやり方を支配する付加保障政策により、情報
アクセスに対する制限をどのようにして行うことができ
るかを示す線図、第２図は典型的なデータ処理システム
の簡単化したブロック図、第３図は本発明を実現する装
置を示すデータ処理システムのブロック図、第４図は特
定のデータオブジェクトのフィールドを示す線図、第５
図は特定のデータオブジェクトがオーバラップ構造また
は入れ子構造のｈｘのデータオブジェクトｙどのように
して示すかを示す線図、第６図はアクセス権を強制する
ようにしてデータオブジェクトがどのようにしてアドレ
スされるか七示す線図、第７図はプログラムが作用する
データオブジェクトの集合に対して、既存の保障政策が
変更されないようにして、前記プログラムがデータオブ
ジェクトをどのようにし。 て加えるかを示す線図、第８図は保障政策ユニットによ
りアクセス権がどのようにして計算されるかを示す線図
である。 ２０・・・・端末装置、２１・・・・プロセッサ、２２
・・・ψメモリ、３１・・働・ニーｆ−実体識別器、３
２・・・・通常データオブジェクト処理器、３３・・・
拳保障プロセッサ、３３１・・・・現在の保障フンテキ
ストレジスタ、３３２・・・・保障数丁ニット、３３５
　・・・・特定データオブジェクト処理器、３３６　・
・嘲・メそリアドレス装置、３３８ａ　　・拳−−タグ
コード認識器、３３７・・・嗜暗号器。 ４！許出願人　　ハネウェル・インコーボレーテッド復
代理人　山川数構（を勃・２名） Ｆｉｇ、　２ ■・　７か２１Ｆ八°４！′７　　　　　　　　　　　
Ｆｉｇ、／ａｈり？

Claims (4)

【特許請求の範囲】
1. （１）保護すべき各システムファイルが保障レベルに関
   連させられ、データ処理装置がプログラムまたはプログ
   ラム群に応答して、前記保護されるシステムファイルに
   より、または前記保護されるシステムファイルについて
   オペレーションを実行しようと試みる、データ処理シス
   テム内のシステムファイルを保護する方法において、 ユーザーを識別する過程と、 保障政策を保障プロセッサに少くとも一時的に格納する
   過程と、 前記保護されるシステムファイルを前記保障政策に従つ
   て処理する過程と、 前記保護されるシステムファイルのいずれか１つに対し
   てアクセス権信号を発生する過程と、前記アクセス権信
   号が前記保障プロセッサから出ることを禁止する過程と
   を備え、 前記保障政策は、前記保護されるシステムファイルのた
   めの許容できるアクセス権を、前記予め選択された保障
   属性の可能な値および前記保障レベルの可能な値によつ
   て定め、前記保障プロセッサに格納されているデータは
   、前記データ処理システムのディレクタ実体によつての
   み変更でき、かつ前記保障プロセッサの部分によつての
   み検索でき、 前記アクセス権信号は、前記予め選択された属性および
   前記保護されるシステムファイルのいずれか１つに関連
   した保障レベルと、前記保障政策との比較により決定さ
   れ、前記アクセス権信号発生手段は前記保障プロセッサ
   の一部であることを特徴とするデータ処理システム内の
   システムファイルを保護する方法。
2. （２）保護すべき各システムファイルはデータ書式に関
   連させられ、特定のタスクを実行するプログラムまたは
   プログラム群に応答して動作するデータ処理システム内
   のシステムファイルを保護する方法において、 前記データ処理システムと相互作用するユーザーを識別
   する過程と、 保障政策を保障プロセッサ内に少くとも一時的に格納す
   る過程と、 前記保障プロセッサにおいて前記保護されるシステムフ
   ァイルを前記保障政策に従つて処理する過程と、 前記保護されるシステムファイルのいずれか１つに対し
   てアクセス権信号を発生する過程とを備え、 前記識別は予め選択された保障属性を前記ユーザーに関
   係させ、 前記保障政策は、前記保護されるシステムファイルに対
   する許容できるアクセス権を、前記データ書式の可能な
   値と、前記予め選択された保障属性の可能な値と、前記
   特定のタスクとの関数として定め、前記保障プロセッサ
   に格納されているデータは、前記データ処理システムの
   ディレクタ実体によつてのみ変更でき、かつ前記保障プ
   ロセッサの部分によつてのみ検索でき、 前記アクセス権信号は、前記保障政策と、前記予め選択
   された保障属性および前記保護されるシステムファイル
   の前記いずれか１つに関連した前記データ書式ならびに
   前記保護されるシステムファイルの前記いずれか１つに
   より、または前記保護されるシステムファイルのいずれ
   か１つについて実行すべき前記機能のいずれかとの比較
   により決定されることを特徴とするデータ処理システム
   内のシステムファイルを保護する方法。
3. （３）保護される各システムファイルにデータ書式が関
   連づけられ、特定のタスクを実行するプログラムまたは
   プログラム群に応答して動作するデータ処理システムに
   おいて、 このデータ処理システムと相互作用するユーザーを識別
   し、予め選択されている保障属性を前記ユーザーに関係
   づける識別手段と、 前記データ書式の可能な値と、前記予め選択された保障
   属性の可能な値および前記特定のタスクの機能とで、前
   記保護されるシステムファイルに対する許容できるアク
   セス権を定める保障政策を少くとも一時的に格納し、か
   つその保障政策に従つてデータを処理する保障プロセッ
   サと、 前記保護されるシステムファイルのいずれか１つに対し
   てアクセス権信号を発生する手段とを備え、 前記保障プロセッサに格納されているデータは、前記デ
   ータ処理システムのディレクタ実体によつてのみ変更で
   さ、かつ前記保障プロセッサの部分のみにより検索でき
   、 前記予め選択された保障属性と前記保護されるシステム
   ファイルの前記いずれか１つに関連するデータ書式およ
   び前記保護されるシステムファイルのいずれか１つによ
   りまたは前記保護されるシステムファイルのいずれか１
   つにおいて実行すべき前記機能のいずれかと、前記保障
   政策との比較により前記アクセス権信号は決定されるこ
   とを特徴とするデータ処理システム。
4. （４）保護されるシステムファイルを有し、保護される
   各システムファイルには保障レベルが関連づけられ、プ
   ログラムまたはプログラム群に応答して、前記保護され
   るシステムファイルにより、または前記保護されるシス
   テムファイルについてオペレーションを実行しようとす
   るデータ処理システムにおいて、 ユーザーを識別し、そのユーザーに予め選択された保障
   属性を関係づける識別手段と、 保障政策を少くとも一時的に格納し、前記プログラムに
   応答して前記保障政策に従つてデータを処理する保障プ
   ロセッサと、 前記保護されるシステムファイルを格納する手段と、 前記保護されるシステムファイルのいずれかのためにア
   クセス権信号を発生する手段と、 前記アクセス権信号が前記保障プロセッサから出ること
   を禁止する手段とを備え、 前記保障政策は前記予め選択された保障属性の可能な値
   および前記保障レベルの可能な値で、前記保護されるシ
   ステムファイルに対する許容できるアクセス権を定め、
   前記保障プロセッサに格納されているデータは、前記デ
   ータ処理システムのディレクタ実体によつてのみ変更で
   き、かつ前記保障プロセッサの部分によつてのみ受ける
   ことができ、 前記保護されるシステムファイルを格納する手段に対す
   るアクセスは前記保障プロセッサにより制御され、 前記アクセス権信号は、前記保護されるシステムファイ
   ルのいずれか１つに関連する保障レベルおよび前記予め
   選択された保障属性と、前記保障政策との比較により決
   定されることを特徴とするデータ処理システム。