18、并发模型中的非传递无干扰性研究

并发模型中的非传递无干扰性研究

1. 传递无干扰性的局限性与改进

在并发系统的安全性研究中，传递无干扰性（NI）的定义较为复杂，难以直接验证。由于需要对 (E^*) 中所有可能的轨迹进行全称量化，直接暴力检查 NI 的算法在实际中往往会失败，即使对于有限状态的标记迁移系统（LTS），等价检查的数量原则上也是无限的。

为了解决这个问题，引入了展开条件，其中 SNDC 是一个必要且充分的局部属性来证明 NI。

• SNDC 定义 ：一个简化的确定性 LTS ((St, EL, EH, →, s_0)) 满足 SNDC，当且仅当对于所有 (s \in St) 和所有 (h \in EH)，若 (s \stackrel{h}{\longrightarrow} s’)，则 (s \sim_L s’)。对于有限状态的 LTS，检查 SNDC 是可判定的，因为只需对 LTS 中的高转换进行有限次等价检查，且每次等价检查 (s \sim_L s’) 都是可判定的。

然而，SNDC 在确定性 LTS 中表现良好，但在非确定性 LTS 中可能不够充分。例如，图 2 中的系统满足 SNDC，但实际上是不安全的。一个低级别用户想要执行轨迹 (ll) 可能无法执行，此时他可以确定 (h) 已经被执行。

为了更精确地定义初始低视图等价性，我们可以使用更精细的双模拟等价性来代替轨迹等价性。

• 初始低视图双模拟定义 ：设 (TS = (St, EL, EH, →)) 是一个 LTS。初始低视图双模拟是一个关系 (R \subseteq St