(57)【要約】【課題】  ポリシーファイルは、改竄される可能性がある。この場合、計算機が乗っ取られ、データ漏洩などの不正行為が行われ、結果、システム全体のセキュリティが維持できない。本発明が解決しようとする課題は、ポリシーファイルを効率よく運用し、ポリシーファイルの完全性を保つことにある。【解決手段】  本発明では、多数の計算機からなる計算機システムおいて、ポリシーファイルを更新する際、他のノードにこのポリシーファイルを転送する。あるノードが、ポリシーファイルをアクセスする際、他の計算機からポリシーファイルを読み出し、該当する項目で多数決をとり、リソースのアクセス制御を行う。この多数決処理を行う際、多数決の結果を履歴としてバッファに格納しておく。多数決処理を行う際、多数決の結果がバッファにあるか、また、他の計算機にあるかどうかチェックし、それぞれの結果が一致すれば、その値を使用する。【選択図】図5
2008198151.tif 000002
【特許請求の範囲】
【請求項１】
複数の計算機が相互に通信可能な二重化照合機能を用いた計算機システムにおいて、
前記複数の計算機は、
多数決処理を行う多数決処理部と、
前記多数決処理部の多数決結果を格納する多数決記憶部と
を有し、
第1の計算機は、
多数決処理を行う際、該第1の計算機の多数決記憶部に多数決結果があるか否かをチェックし、
前記第1の計算機の多数決記憶部に多数決結果がある場合、第2の計算機の多数決記憶部に多数決結果があるか否かをチェックし、
前記第2の計算機の多数決記憶部に多数決結果がある場合、該多数決結果を問い合わせ、
前記第1の計算機の多数決記憶部の多数決結果と前記第2の計算機の多数決結果が一致する場合、該多数決結果を多数決処理の結果として用いることを特徴とする二重化照合機能を用いた計算機システム。
【請求項２】
請求項1記載の二重化照合機能を用いた計算機システムにおいて、
前記多数決処理は、前記計算機のリソースへのアクセス権を示すポリシーファイルの多数決処理であり、
前記第1の計算機の多数決記憶部の多数決結果と前記第2の計算機の多数決結果の一致は、前記アクセス権の値の一致であることを特徴とする二重化照合機能を用いた計算機システム。
【請求項３】
請求項2記載の二重化照合機能を用いた計算機システムにおいて、
前記複数の計算機は、計算機の改竄を判定する判定部を更に有し、
前記第1の計算機の判定部は、前記第1の計算機の多数決記憶部の多数決結果と前記第2の計算機の多数決結果が一致しなかった場合、改竄が発生したと判定することを特徴とする二重化照合機能を用いた計算機システム。
【請求項４】
請求項3記載の二重化照合機能を用いた計算機システムにおいて、
前記第1の計算機の判定部が、改竄が発生したと判定した場合、前記複数の計算機から、前記改竄が発生したと判定した計算機のポリシーファイルを読出して多数決処理を行い、
前記改竄が発生したと判定した計算機の多数決記憶部をクリアすることを特徴とする二重化照合機能を用いた計算機システム。
【請求項５】
請求項2記載の二重化照合機能を用いた計算機システムにおいて、
前記第1の計算機は、
前記第1の計算機の多数決記憶部の多数決結果と前記第2の計算機の多数決結果が一致した場合、該多数決結果を前記第1の計算機の多数決記憶部に記憶し、
前記第1の計算機の計算機の多数決記憶部に記憶できない場合、前記リソースへアクセスする頻度の低い順に、前記多数決記憶部にある多数決結果を無効にすることを特徴とする二重化照合機能を用いた計算機システム。
【請求項６】
請求項5記載の二重化照合機能を用いた計算機システムにおいて、
前記リソースへのアクセスする頻度は、アクセス回数と経過時間から算出することを特徴とする二重化照合機能を用いた計算機システム。
【請求項７】
複数の計算機が相互に通信可能な二重化照合機能を用いた計算機システムにおいて、
前記複数の計算機は、多数決処理を行う際に、
自身の計算機の多数決記憶部に、多数決結果があるか否かをチェックする第1のステップと、
前記第1のステップで多数決結果があった場合、他の計算機に前記多数決結果と同じ多数決結果があるか否かを問い合わせる第2のステップと、
前記第2のステップで他の計算機に多数決結果があった場合、自身の計算機の多数決結果と前記第2のステップで問い合わせた多数決結果が一致するか否かをチェックする第3のステップと、
前記第3のステップで多数決結果が一致した場合、該多数決結果を前記多数決処理の結果として用いる第4のステップと
を有することを特徴とする二重化照合機能を用いた多数決処理方法。
【請求項８】
請求項7記載の二重化照合機能を用いた多数決処理方法において、
前記多数決処理は、前記計算機のリソースへアクセス権を示すポリシーファイルの多数決処理であり、
前記第3のステップの多数決結果の一致は、前記アクセス権の値の一致であることを特徴とする二重化照合機能を用いた多数決処理方法。
【請求項９】
請求項8記載の二重化照合機能を用いた多数決処理方法において、
前記第3のステップで多数決結果が一致しなかった場合、改竄が発生したと判定する第5のステップを更に有することを特徴とする二重化照合機能を用いた多数決処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティに関する機能を強化したOSである、セキュアOS(Operating System)を搭載した計算機システムに関する。
【背景技術】
【０００２】
従来、高信頼化技術は、ハードウェア障害やソフトウェア障害が発生する際、いかにユーザに障害を隠すかという耐障害技術が盛んに行われ、コンピュータのハードウェアとソフトウェアの信頼性はこれらの技術の貢献により向上してきた。しかし、次第に不正アクセスや情報漏洩などの事件が増加し、高信頼化の一つとしてセキュリティ向上が要求されるようになってきている。例えば、セキュリティの対象となる各操作に対して、どの操作に許可をするかどうかを定めたポリシーファイルが改竄されてしまった場合、サーバが乗っ取られると、データ漏洩などの不正行為が行われる可能性が高い。
【０００３】
一方で、オープンソースであるXenなどをはじめとする仮想化ソフトが出現している。仮想化ソフトは、1台のマシンに複数のOSを稼動させることを容易に実現可能とし、複数のOSから何らか一つの決定をする多数決処理の必要性が高くなってきている。
【０００４】
特許文献1に、多数のノードから構成されるクラスタ構成において、環境情報(プロセッサ使用状態、メモリ使用状態など)を取得し、多数決あるいはデータとして発生しにくい統計的外れ値により、サーバの障害を検出する技術が記載されている。また、特許文献2には、ポリシーファイルを所有し、ポリシーファイル内のルール衝突を解決することにより、セキュリティを確保する技術が記載されている。
【０００５】
【特許文献１】特開2004-355233号公報
【特許文献２】特開2004-303243号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
セキュアOSでは、CPU、メモリ、主記憶装置などの計算機リソースにアクセスする際、リソースのアクセス権を所有するポリシーファイルを参照してリソースのアクセス権をチェックするが、このポリシーファイルが改竄されてしまうと、不正アクセスや情報漏洩が発生する可能性がある。従来技術では、このポリシーファイルの改竄に対しては、この問題を回避できない。
【０００７】
ポリシーファイルとは、セキュリティチェックの対象となる各操作について、あるサーバがリソース毎にどの操作を許可するかを設定するためのファイルである。
【０００８】
また、従来からの高信頼化方式として、現用サーバと待機サーバからなるホットスタンバイ方式でのバックアップがある。しかし、現用サーバと待機サーバは同一構成なので、同時に侵入されやすく、両方のサーバで侵入されると、ポリシーファイルが改ざんされると、ポリシーファイルは回復できず、リソースのアクセス制御が行えないという問題がある。
【０００９】
多数決処理を行う例の1つとして、3階層クラスタシステムがある。3階層クラスタシステムは、1つのトランザクションを3種類サーバ、すなわち、FEP(Front End Processor)サーバ、AP(Application)サーバおよびDB(Database)サーバに分けて実行するシステムである。FEPサーバでは通信処理を、APサーバではトラフィック本体の処理を、DBサーバでは、ファイルへの入出力処理を実行する。
【００１０】
FEPサーバ、APサーバおよびDBサーバからなる３階層のクラスタシステムにおいて、トランザクション処理を実行する場合、１トランザクションあたりに多数決処理を数回実行するため、この多数決処理が性能上のネックになるという問題がある。
【００１１】
本発明の目的は、二重化照合機能を適用して多数決処理の回数を減らし、全ての箇所で多数決をとるのと同程度の完全性を確保することである。
【００１２】
本発明において、二重化照合機能とは、2つの出力が一致すればその出力は正常と判定し、2つの出力が一致しなければ、その出力は正常でないと判定する機能を意味する。
【課題を解決するための手段】
【００１３】
上記課題の少なくとも一つを解決するために、本発明では、複数の計算機からなる計算機システムにおいて、各サーバに多数決結果を記憶する多数決記憶部を備えたシステムを提供する。
【００１４】
多数決処理をリソースへのアクセス権を用いて説明すれば、上記計算機システムでは、各ノードにリソースのアクセス権を示すポリシーファイルが配置される。サーバがあるリソースをアクセスする際、他の各ノードにあるポリシーファイルから多数決処理を行い、アクセス権を決定する。その際、多数決の結果はリソースのアクセス権であるが、これを多数決記憶部にキャッシュする。これを他のサーバでも、同様に多数決の結果を多数決記憶部にキャッシュする。
【００１５】
再度、同じリソースをアクセスする場合、リソースのアクセス権をチェックする必要がある。この場合、記憶部に格納されているキャッシュに該当するアクセス権があるかどうかチェックする。また、他のサーバにも該当するアクセス権が多数決記憶部に格納されているキャッシュに該当するアクセス権があるかどうかチェックする。これのアクセス権が存在し、かつ一致すれば、この値（アクセス権）を使用する。しかし、キャッシュされていなければ、多数決処理を実行する。
【発明の効果】
【００１６】
本発明によれば、セキュリティなどのパフォーマンスを保ちながら、多数決処理の回数が削減できる。また、多数決のためのオーバヘッドを小さくすることができる。
【発明を実施するための最良の形態】
【００１７】
以下、本願発明を図を用いて説明する。なお、実施例では、3階層クラスタシステムを上記計算機システムの具体例として用いるが、実際にはこれに限定されず、複数の計算期間において多数決処理を必要とするシステムであれば本願発明は適用可能である。また、本願発明でいう多数決処理とは、複数の出力がある場合において、その中から最も出力の多い値を採用する方式であり、以下の実施例ではリソースへのアクセス権について述べるが、実際はこれに限定されず、例えば複数のCPUの演算処理についてなど、同様の効果を必要とするものであれば本願発明は適用可能である。
【００１８】
図1は本発明におけるシステム構成図である。対象とするシステムは、ノード(11-1〜19-1)、ネットワーク(20)、コンソール(21) および端末(22)から構成される。各ノード(11-1〜19-1)は、FEPサーバ(1)、APサーバ(2)、DBサーバ(3)のいずれか一つに分類される。主に通信処理を行うFEPサーバ(1)は、ノード1(11-1)、ノード2(12-1)およびノード3(13-1)から構成される。APサーバ(2)はノード4(14-1)、ノード5(15-1)及びノード6(16-1)から構成される。DBサーバ(3)はノード7(17-1)、ノード8(18-1)及びノード9(19-1)から構成される。各ノード(11-1〜19-1)は端末(22)、コンソール(21)と共に、ネットワーク(20)により接続される。コンソール(21)では、各ノードの改竄情報の蓄積を行う。
【００１９】
図2はノードの構成図である。図2では、FEPサーバ(1)のノード1(11-1)のハードウェア構成とソフトウェア構成を説明する。以下、記憶部の例としてバッファを用いる。
【００２０】
ノード1(11-1)のハードウェア構成は、CPU(Central Processing Unit)(11-2)、メモリ(11-3)、IOP(Input Output Processor)(11-4)、NIC(Network Interface Controller)(11-5)、ディスクコントローラ(11-6)およびディスク装置(11-7)から構成される。
【００２１】
ノード1(11-1)は、ディスク装置(11-7)内にある仮想化ソフト(11-10)がメモリ(11-3)上に展開されて起動することにより、上記CPU(11-2)やメモリ(11-3)などの計算機リソースを論理的な３つのノード、ノード1-1(11-1)、ノード1-2(11-2)およびノード1-3(11-3)に分割する。
【００２２】
FEPサーバ(1)のノード1(11-1)のソフトウェア構成は、複数のOS(Operating System)を同時に稼動する仮想化ソフト(11-10)、OS(11-11-1、11-11-2、11-11-3)、ポリシーファイル(11-12-1、11-12-2、11-12-3)、多数決処理部(11-13-1、11-13-2、11-13-3)、多数決バッファ(11-14-1、11-14-2、11-14-3)およびユーザプログラム(UP) (11-15-1、11-15-2、11-15-3)から構成される。FEPサーバ(1)のUP処理(11-15-1、11-15-2、11-15-3)は、OS(11-11-1、11-11-2、11-11-3)は、通信処理1(11-15-1)、通信処理2(11-15-2)、通信処理3(11-15-3)のそれぞれが対応する。
【００２３】
FEPサーバ(1)のノード2(12-1)とノード3(12-1)のハードウェア構成とソフトウェア構成は、ノード(11-1)と同一である。
【００２４】
APサーバ(2)のノード4(14-1)、ノード5(14-1)およびノード6(14-1)のハードウェア構成、およびDBサーバ(3)のノード7(14-1)、ノード8(15-1)およびノード9(15-1) のハードウェア構成は、FEPサーバ(1)のノード1(10-1)と同一である。
【００２５】
なお、本実施例においては上記のように、ハードウェアとソフトウェアによって実現するものとしているが、本願発明はこれに限定されず、例えば専用のLSI(Large Scale Integration)のように、同様の効果をもたらす構成をもつものであれば、本願発明は実現可能である。
【００２６】
図3は、ユーザプログラム(UP)を示す図である。FEPサーバ(1)のUPは、図2で示したとおり、通信処理(11-15-1〜11-15-3、12-15-1〜12-15-3、13-15-1〜13-15-3)を実行する。
【００２７】
APサーバ(2)のUPは、アプリケーション処理(14-15-1〜14-15-3、15-15-1〜15-15-3、16-15-1〜16-15-3)を実行する。DBサーバ(3)のUPは、IOの入出力処理(17-15-1〜17-15-3、18-15-1〜18-15-3、19-15-1〜19-15-3)を実行する。
【００２８】
図4はトランザクション処理を示す図である。
【００２９】
ここでは、FEPサーバ(1)のノード1(11-1)は端末(22)からの電文を受信し、これを解析する(処理100)。ノード1-1(11-1-1)は電文からどのAPを実行するかチェックし、APサーバ(2)から該当するサーバ4(14-1)を選択する(処理101)。ここではノード4-1(14-1-1)のAPを実行すると仮定する。ノード1-1(11-1-1)はポリシーファイルを参照し、APサーバへのノード4-1(14-1-1)のアクセス権をチェックし、このサーバと通信可能かどうか確認する(処理102)。ノード1-1(11-1-1)はノード4-1(14-1-1)と通信可能な場合、APサーバに電文を送信する(処理103)。通信不可能な場合には、トランザクション処理を中断する(処理104)。ここでいう電文とは、あるノードから他のノードに転送されるメッセージのことを示す。
【００３０】
次に、APサーバのノード4-1(14-1-1)はFEPサーバのノード1-1(11-1-1)からの電文を受信し、解析する(処理110)。そして、ノード4-1(14-1-1)は該当するAPを実行する(処理111)。そして、ディスクに対するIO要求を行う。IO要求は、読出し(処理112)と書き込み(処理113)との2つがある。
【００３１】
IO要求は、APサーバ(2)が、始めにDBサーバからノードを選定し、次に、DBサーバへのノードのアクセス権をチェックする。アクセス権が許容されている場合(OK時)、DBサーバに電文を送信する。アクセス権が許容されていない場合(NG時)、トランザクション処理を中断する。以上の処理がAPサーバ(2)で終わると、DBサーバのノード7-1(17-1-1)がIO入出力要求を行う。IO入出力要求は、ファイルの読出し(処理120-123)と書き込み(処理130-133)で以下のように処理が行われる。
【００３２】
IO入出力要求は、DBサーバ(3)のノード7 (17-1-1)が、始めにAPサーバ(2)のノード4(14-1-1)からの電文解析を解析する(処理120、130)。次に、ノード7-1(17-1-1)は、アクセスするファイルを選択する(処理121、131)。次に、ファイルのアクセス権をチェックする。ファイルへのアクセスが許可されている場合には、ファイルを読み出すが、許可されていない場合には、トランザクション処理を中断する(処理122、132)。次に、DBサーバ(3)のノード7 (17-1-1)は、IO処理結果をAPサーバ(2)のノード4(14-1-1)に送信する(処理123、133)。
【００３３】
以上の処理がDBサーバ(3)で終わると、APサーバ(2)のノード4(14-1-1)は、DBサーバ(3)のノード7 (17-1-1)から電文受信し、AP処理の完了処理を行う(処理140)。更に、トランザクション処理結果をFEPサーバ(1)のノード1(11-1-1)に送信する(処理141)。
【００３４】
最後に、FEPサーバ(1)のノード1(11-1-1)は、トランザクション処理結果を端末(22)に送信する(処理150)。
【００３５】
図5は、サーバのノード内で、多数決処理と二重化照合処理を組み合わせた処理を示す図である。各ノードは他のノード内のポリシーファイルを参照して、多数決処理を行う(処理200)。そして、その結果を多数決バッファに格納する(処理201)。
【００３６】
二重化照合処理では、多数決バッファに格納されているポリシーファイルのエントリに関して、アクセス権が一致しているかどうかチェックし、一致していればそのアクセス権を利用してリソースのアクセス制御を行う(処理210)。
【００３７】
図6から図8は、各サーバのポリシーファイルを示す図である。
【００３８】
図6は、FEPサーバのノード1用のポリシーファイルの例を示す図である。このポリシーファイルでは、他のノードと通信できるかどうかを示す。ノード1-1の通信処理1(11-15-1)では、ノード4-1(14-1-1)、ノード5-1(15-1-1)、ノード6-1(16-1-1)と通信可能であるが、他のノードとは通信不可である。通信可は(00)16とし、通信不可は(01)16とする。なお、(00)16及び(01)16の16は、かっこの値が16進数で表されていることを示すが、2進数など他の表記法を取ることは差し支えない。ノード1-2の通信処理1(11-15-2)およびノード1-3の通信処理1(11-15-3)のポリシーファイルも同様である。
【００３９】
図7は、APサーバのノード1用のポリシーファイルの例を示す図である。このポリシーファイルでは、他のノードと通信できるかどうかを示す。ノード4-1の通信処理1(14-15-1)では、ノード7-1(17-1-1)、ノード8-1(18-1-1)、ノード9-1(19-1-1)と通信可能であるが、他のノードとは通信不可である。通信可は(00)16とし、通信不可は(01)16とする。ノード4-2の通信処理1(11-15-2)およびノード4-3の通信処理1(11-15-3)のポリシーファイルも同様である。
【００４０】
図8は、DBサーバのノード1用のポリシーファイルの例を示す図である。このポリシーファイルでは、ファイルのアクセスできるかできるかどうかを示す。RWはファイルの読み出しと書き込みが可能であり、Rはファイルの読み出しが可能であり、Nonはファイルへのアクセスが不可であることを示す。ノード7-1の入出力処理1(14-15-1)では、ファイル1への読み出しと書き込みは可能であり、ファイル２へのアクセス不可であり、ファイル3では読み出しのみ可能である。ノード7-1(17-1-1)、ノード8-1(18-1-1)、ノード9-1(19-1-1)と通信可能であるが、他のノードとは通信不可である。通信可は(00)16とし、通信不可は(01)16とする。ノード7-2の通信処理1(17-15-2)およびノード7-3の通信処理1(17-15-3)のポリシーファイルも同様である。
【００４１】
以下、図9以降で詳細な処理手順を示す。
【００４２】
図9は、ポリシーファイルの送信処理を示す図である。
【００４３】
ノード1-1(11-1-1)は、ポリシーファイルの更新が発生すると、あるいはポリシーファイルの有効時間切れになると(処理300)、多数決処理は実行禁止とする(処理301)。ノード1-2(11-1-2)からノード3-3(13-1-3)にポリシーファイルを送信する(処理302)。ノード1-2(11-1-2)からノード3-3(13-1-3)は、それぞれ、ノード1-1(11-1-1)からポリシーファイルを受信するする(処理310、320)。ノード1-2(11-1-2)からノード3-3(13-1-3)は、それぞれポリシーファイルをチェックし、ポリシーファイルの書き込みを行う(処理311、321)。更に、ノード1-2(11-1)からノード1-3(15-1)は書き込み完了を、ノード1-1(11-1-1)に通知する。ノード1-1(11-1-1)は、ポリシーファイルの書き込み完了を受信すると(処理330)、多数決処理の禁止処理を解除し、多数決処理を開始する。(処理331)。
【００４４】
図10はサーバにおいて、リソースへのアクセスから多数決処理を行うまでの処理を示す図である。
【００４５】
ここでは、FEPサーバ(1)での処理を例に説明する。ノード1-1(11-1-1)、ノード1-2(11-1-2)およびノード1-3(11-1-3)で多数決処理を行う。
【００４６】
ノード1-1(11-1-1)は、リソースへのアクセスを要求する(処理400)。ポリシーファイルから該当するリソースのアクセス制御を参照する(処理401)。次に、該当するリソースのアクセス制御がある場合(ケース1)(処理402)、他のノード、ここではノード1-2(11-1-2)とノード1-3(11-1-3)に該当アクセス制御を問合せ(処理403)を行う。そして、ノード1-2(11-1-2)は、ノード1-1(11-1-1)に該当アクセス制御を返信する(処理410)。同様に、ノード1-3(11-1-3)は、ノード1-1(11-1-1)に該当アクセス制御を返信する(処理411)。
【００４７】
ノード1-1(11-1-1)は、該当アクセス制御の値が一致しているかチェックする(処理420)。これらが一致している場合には、リソースのアクセス制御を行う(処理421)(ケース1-1)。これらが一致していない場合(処理220)は、改竄発生と判定・多数決処理・ポリシーファイルの回復処理の３つの処理を行う(処理422)(ケース1-2)。該当するリソースのアクセス制御がない場合(処理430) (ケース2)、多数決処理を実行する(処理431)。
【００４８】
図11は本発明のフローチャートを示す図である。
【００４９】
ここでは、ノード1-1(11-1-1)は、リソースのアクセスを行う。ノード1-1(11-1-1)は、ノード1-2(11-1-2)と二重化照合を行う。ノード1-1(11-1-1)は、他のノード（ノード1-3(11-1-3)〜ノード3-3(13-1-3)）と多数決処理を行う。
【００５０】
ノード1-1(11-1-1)は、リソースアクセスを行うノードは自身のバッファに多数決の結果はあるかチェックする(処理500)。多数決バッファに多数決の結果がなければ、多数決処理を行う(処理505)。多数決バッファに多数決の結果があれば、ノード1-2(11-1-2)は、他のノードに多数決の結果を問い合わせる(処理501)。ノード1-2(11-1-2)は、該当するリソースのエントリがあるかチェックする(処理510)。このエントリがなければ、多数決処理を行う(処理505)。
【００５１】
ノード1-1(11-1-1)は、エントリのアクセス権の値が一致するか(二重化照合機能)をチェックする(処理520)。一致しなければ、多数決処理を行う(処理505)。
【００５２】
ノード1-1(11-1-1)は、該当するリソースのエントリからアクセス権を読み出し、アクセス権の値をみて、許可されているかチェックする(処理530)。アクセスが許可されていれば、リソースをアクセスする(処理540)。一方、アクセスが許可されていなければ、リソースのアクセス不可を通知する(処理541)。
【００５３】
図12は、ポリシーファイルのエントリを示す図である。
【００５４】
ポリシーファイルのエントリは、サブジェクト(50) 、オブジェクト(51)およびアクセス権(52)から構成される。サブジェクト(50)はアクセスを行う主体であり、オブジェクト(51)はアクセスされる対象であり、アクセス権(52)はアクセスの可否を示す値である。
【００５５】
図13は、サブジェクトとオブジェクトの値を示す図である。
【００５６】
ノード1-1(11-1-1)の値は(11)16であり、ノード1-2(11-1-2)の値は(12)16であり、以下同様に、ノード6-3(16-1-3)の値は(63)16である。
【００５７】
図14は、ケース1-1の処理手順を示す図である。
【００５８】
ノード1-1(11-1-1)は、サブジェクト(50-10) がオブジェクト(51-10)をアクセスする場合を検討する。これは、ノード1-1(11-1-1)がノード4-1(14-1-1)に電文を送信する場合である。
【００５９】
ノード1-1(11-1-1)のアクセス権は(00)16である。また、ノード1-2(11-1-2)の多数決バッファを参照すると、このアクセス権も(00)16であり、アクセス権の値は一致する(処理600)。このため、ノード1-1(11-1-1)はアクセス権の値(00)16を参照し、アクセス権(00)16は、アクセス許可を示すことから、アクセスを許可して実行する。
【００６０】
また、アクセス権を多数決バッファに1つのエントリとして書きこむ。この際、多数決バッファが一杯であるなど、書き込むことができない場合は、リソースのアクセス回数と経過時間を測定し、これからアクセス回数の一定時間内のアクセス回数を算出し、アクセス回数の低い順に、多数決バッファにあるエントリをクリアするなどして無効化する。
【００６１】
図15は、ケース1-2の処理手順を示す図である。ケース1-2は、ポリシーファイルに該当するエントリは存在するが、値が異なる場合である。各ノードは改竄判定部を持ち、これを、改竄が発生したと判定する。このため、改竄の発生したノードではポリシーファイルを無効化する必要がある。
【００６２】
ノード1-1(11-1-1)は、サブジェクト(50-10) がオブジェクト(51-10)をアクセスする場合を検討する。これは、ノード1-1(11-1-1)がノード4-1(14-1-1)に電文を送信する場合である。ノード1-1(11-1-1)のアクセス権は(00)16である。一方、ノード1-2(11-1-2)は多数決バッファを参照すると、このアクセス権も(ff)16であり、アクセス権は一致しない。このため、ノード1-1(11-1-1)あるいはノード1-2(11-1-2)で、改竄が発生したと判定する(処理700)。以下の手順で多数決処理を実行する。
【００６３】
ノード1-1(11-1-1)は、他のノード（ノード1-3(11-1-3)〜ノード3-3(13-1-3)）から該当するサブジェクトとオブジェクトのアクセス権を要求する(処理701)。他のノード（ノード1-3(11-1-3)〜ノード3-3(13-1-3)）は、サブジェクトとオブジェクトのアクセス権をノード1-1に返信する(処理702)。ノード1-1(11-1-1)は、サブジェクトとオブジェクトのアクセス権の多数決をとる(処理703)。ノード1-1(11-1-1)は、ノード1-2(11-1-2)に改ざんされたポリシーファイルを無効化する(処理704)。
【００６４】
図16は、ケース2の処理手順を示す図である。ケース2は、ポリシーファイルに該当するエントリは存在しない場合である。
【００６５】
ノード1-1(11-1-1)は、サブジェクト(50-10) がオブジェクト(51-10)をアクセスする場合を検討する。これは、ノード1-1(11-1-1)がノード4-1(14-1-1)に電文を送信する場合である。ノード1-1(11-1-1)のアクセス権は(01)16である。一方、ノード1-2(11-1-2)は多数決バッファを参照すると、サブジェクトが(11)16であり、オブジェクトが(41)16であるエントリは存在しない(処理800)。
【００６６】
以下の手順で多数決処理を実行する。ノード1-1(11-1-1)は、他のノード（ノード1-3(11-1-3)〜ノード3-3(13-1-3)）に該当するサブジェクトとオブジェクトのアクセス権を要求する(処理801)。
【００６７】
他のノード（ノード1-3(11-1-3)〜ノード3-3(13-1-3)）は、サブジェクトとオブジェクトのアクセス権をノード1-1に返信する(処理802)。ノード1-1(11-1-1)は、サブジェクトとオブジェクトのアクセス権の多数決をとる(処理803)。最後に、ノード1-1(11-1-1)は、多数決の結果を多数決バッファに格納する(処理804)。
【００６８】
図17はオブジェクトとサブジェクトを示す図である。
【００６９】
オブジェクトは、DBサーバであるノード７である。ノード7-1(17-1-1)の値は(71)16、ノード7-2(17-1-2)の値は(72)16、ノード7-3(17-1-3)の値は(73)16である。
【００７０】
サブジェクトはファイル1(30)の値は(A1)16であり、以下順に、ファイル9(38)の値は(A91)16である。
【００７１】
図18は、多数決バッファが一杯の場合の処理手順を示す図である。
【００７２】
多数決バッファのエントリ数は3とする。現在の多数決バッファは一杯、すなわち全て使用中であるとする。ここで、ポリシーファイルの多数決を行い、エントリに格納する場合について、説明する。
【００７３】
エントリ１は、ノード7-1(17-1-1)がファイル１をアクセスする場合である。エントリ2は、ノード7-1(17-1-1)がファイル3(32)をアクセスする場合である。エントリ３は、ノード7-2(17-1-2)がファイル5(34)をアクセスする場合である。
【００７４】
この場合には、最もアクセス頻度の低いエントリを算出する。ここで単位時間当たりのアクセス回数を計算する。この場合、エントリ番号3の単位時間当たりのアクセス回数が最も小さい。このため、エントリ3を削除する対象にする。
【００７５】
追加するエントリは、サブジェクト（73）16、オブジェクト（A6）16、アクセス権は(00)16なので、このエントリを、エントリ番号３に格納する。
【００７６】
このようにして、アクセス頻度の高いエントリを多数決バッファに格納する。
【産業上の利用可能性】
【００７７】
セキュアOSでは、不正アクセスやデータ漏洩を防止するために、ポリシーファイルは改ざんされていないという完全性が要求されている。本発明では、ポリシーファイルを複数のノードに分散させて、アクセス時には多数決処理を行うため、セキュアOSの必須機能となる。
【図面の簡単な説明】
【００７８】
【図１】システム構成図である。
【図２】ノードの構成図である。
【図３】ユーザプログラム(UP)を示す図である。
【図４】トランザクション処理を示す図である。
【図５】本発明の特徴を示す図である。
【図６】FEPサーバのポリシーファイルを示す図である。
【図７】APサーバのポリシーファイルを示す図である。
【図８】DBサーバのポリシーファイルを示す図である。
【図９】ポリシーファイルの送信処理を示す図である。
【図１０】リソースへのアクセスから多数決処理を行うまでの処理を示す図である。
【図１１】本発明のフローチャートを示す図である。
【図１２】ポリシーファイルのエントリを示す図である。
【図１３】サブジェクトとオブジェクトの値を示す図である。
【図１４】ケース1-1の処理手順を示す図である。
【図１５】ケース1-2の処理手順を示す図である。
【図１６】ケース2の処理手順を示す図である。
【図１７】サブジェクトとオブジェクトの値を示す図である。
【図１８】多数決バッファが一杯の場合の処理手順を示す図である。
【符号の説明】
【００７９】
11〜19・・・ノード、20・・・ネットワーク、21・・・コンソール、22・・・端末
【図１】
2008198151.tif 000003
【図２】
2008198151.tif 000004
【図３】
2008198151.tif 000005
【図４】
2008198151.tif 000006
【図５】
2008198151.tif 000007
【図６】
2008198151.tif 000008
【図７】
2008198151.tif 000009
【図８】
2008198151.tif 000010
【図９】
2008198151.tif 000011
【図１０】
2008198151.tif 000012
【図１１】
2008198151.tif 000013
【図１２】
2008198151.tif 000014
【図１３】
2008198151.tif 000015
【図１４】
2008198151.tif 000016
【図１５】
2008198151.tif 000017
【図１６】
2008198151.tif 000018
【図１７】
2008198151.tif 000019
【図１８】
2008198151.tif 000020