CC BY
13
2018 Прикладная теория графов №41
УДК 004.056
ПРОВЕРКА СООТВЕТСТВИЯ ОРИЕНТИРОВАННОГО ГРАФА АЛГЕБРАИЧЕСКОЙ РЕШЁТКЕ
С. В. Белим, Н. Ф. Богаченко
Омский государственный университет им. Ф. М. Достоевского, г. Омск, Россия
Рассмотрена проблема проверки изоморфности ориентированного графа диаграмме некоторой решётки. Исследованы три типа конечных решёток, используемых в моделях разграничения доступа. Построен алгоритм проверки соответствия ориентированного графа прямому произведению решётки подмножеств и линейной решётки. Алгоритм основан на анализе структуры двух множеств: множества вершин, покрывающих ровно одну вершину, и множества атомарных вершин. Доказано, что вычислительная сложность алгоритма проверки не превосходит O(n3).
Ключевые слова: граф, теория 'решёток, мандатное разграничение доступа. DOI 10.17223/20710410/41/6
THE CHECK OF THE CORRESPONDENCE OF THE DIRECTED GRAPH TO THE ALGEBRAIC LATTICE
S. V. Belim, N. F. Bogachenko
Dostoevsky Omsk State University, Omsk, Russia
E-mail: belimsv@omsu.ru, nfbogachenko@mail.ru
The isomorphism check problem for a directed graph and a lattice diagram is considered in this paper. Three specific finite lattices used in the access control models are investigated. Special attention is paid to MLS-lattice which is the Cartesian product of the lattice of subsets and the linear lattice. Necessary and sufficient conditions for the isomorphism of a finite lattice S to the MLS-lattice are found. For the lattice S, these conditions define some limitations to the number of all nodes, of atomic nodes, and of nodes covered by each element of the lattice S. An algorithm which checks the correspondence of the directed graph to the MLS-lattice is offered. This algorithm is based on the structure of two sets: the set of the nodes which cover exactly one node and the set of the atomic nodes. The following conditions are checked: the number of nodes of the directed graph n = 2nin2; all nodes of the directed graph cover at least two others except the nodes x\,... ,xni, t, t\,... ,tn2-1, wherein t is an outlet of the directed graph; the nodes x1,..., xni, t1,..., tn2-1 cover exactly one node; the nodes x1,..., xni, t1 are atomic nodes; the nodes tn2-1,..., t1, t form a chain tn2-1 >- ... >- t1 >- t in which the nodes successively cover each other. We prove that the computing complexity of this algorithm does not exceed O(n3).
Keywords: graph, lattice theory, mandatory access control.
Введение
Работа посвящена проблеме поиска решётки, соответствующей заданному орграфу G. Данная проблема находит применение при построении и оптимизации структур, на которых строится политика безопасности компьютерных систем [1]. Можно выделить два случая:
1) Орграф О может быть дополнен до диаграммы некоторой решётки без добавления новых вершин. Необходимо определить соответствующую ему решётку. При этом под дополнением графа понимается построение его транзитивного замыкания— пополнение графа всеми дугами, соединяющими достижимые вершины.
2) Для построения диаграммы некоторой решётки необходимо дополнить орграф О как вершинами, так и рёбрами. В этом случае необходимо определить минимальную решётку, диаграмма которой включает данный орграф. Минимизируется число элементов решётки.
Остановимся на первой задаче, которая частично связана с пятой проблемой Бирх-гофа [2]. Различные вопросы, касающиеся графов, соответствующих решёткам, рассматриваются в [3 - 7]. Во всех этих работах авторы исходят из существования некоторой решётки, строят соответствующей ей граф и проводят его исследования. Актуальной представляется и обратная задача — исследовав свойства графа, сопоставить ему некоторую решётку. Нас интересует решётка, полученная в результате прямого произведения решётки подмножеств и линейной решётки. Основная цель исследования — построение и оценка вычислительной сложности алгоритма проверки соответствия ориентированного графа такой решётке.
1. Решёточный граф
Определение 1. Частично упорядоченное множество Б называется решёткой, если для любых двух его элементов х,у е Б в множестве Б можно найти их точную верхнюю и точную нижнюю грани: вир{х,у},т£{х,у} € Б.
Орграф О = (V, Е), не содержащий ориентированных циклов, задаёт отношение частичного порядка на множестве своих вершин: у1 ^ у2 (у1,у2 е V) тогда и только тогда, когда в орграфе существует ориентированный путь р(у1,у2). Очевидно, что полученное множество не всегда является решёткой.
Определение 2. Ориентированный граф будем называть решёточным, если его вершины образуют решётку с отношением порядка порождённым ориентированными путями орграфа.
Имея в распоряжении матрицу смежности орграфа, несложно доказать следующий факт.
Теорема 1. Трудоёмкость проверки, является ли орграф решёточным, не превышает 0(п4).
Рассмотрим далее некоторые частные решения задачи восстановления решётки. На сегодняшний день в моделях безопасности компьютерных систем получили широкое распространение три решётки:
1) Линейная решётка. Под линейно упорядоченным множеством В понимается множество, для любых двух элементов которого определено отношение порядка. Как легко показать, такое множество образует решётку: если а ^ Ь, то вир{а,Ь} = а и т£{а,Ь} = Ь. Решётка данного вида является наиболее распространённой в системах защиты информации, она описывает уровни доступа к данным. Если В = {0,1,..., т — 1}, то линейная решётка обозначается БЬ(т).
2) Решётка подмножеств. Пусть задано множество А мощности п. Рассмотрим множество всех его подмножеств 2а = {Х : X С А}. Введём на множестве 2а отношение порядка: УХ^Х2 Е 2а (Х1 ^ Х2 ^ Х1 1Э Х2). Легко доказать, что
отношение X1 D X2 есть отношение нестрогого порядка, а множество 2A частично упорядоченное: так, не для любой пары элементов определено отношение порядка. Наибольшую нижнюю и наименьшую верхнюю грани определим на основе операций пересечения и объединения множеств: inf{X^X2} = X1 П X2, sup{X1,X2} = X1 U X2. Также нетрудно доказать, что (2A, D, U, П) —решётка. Примерами её использования в реальных компьютерных системах может служить множество атрибутов файла и зависимость выходной величины от подмножества множества входных элементов. Если A = {1, 2,... , n}, то решётка подмножеств обозначается SX(n) и содержит 2n элементов.
3) MLS-решётка— прямое (декартово) произведение первых двух решёток.
Алгебраическая решётка используется в моделях безопасности для задания уровней секретности информации и уровней доверия к пользователям и называется решёткой ценностей. Рассмотрим задачу проверки соответствия указанным решёткам заданного решёточного графа. Для этого потребуется ряд определений и теорема об изоморфности MLS-решётке.
2. Исследование MLS-решётки
Из определения решётки нетрудно вывести, что любое конечное подмножество решётки имеет точную верхнюю и нижнюю грани. В частности, точную верхнюю и нижнюю грань имеет любое подмножество конечной решётки S (в частности, вся S). Обозначим sup S = I, inf S = O — таким образом, любой элемент конечной решётки S меньше или равен I и больше или равен O.
Определение 3. Будем говорить, что элемент y решётки S покрывает элемент x этой решётки (обозначается y У x), если y > x и не существует такого z Е S, что y > z > x.
Интервалом [x,y] для элементов x,y Е S, x ^ y, называется множество таких элементов z Е S, что x ^ z ^ y. Таким образом, y покрывает x в точности тогда, когда интервал [x, y] содержит лишь сами элементы x и y.
Лемма 1. Пусть S — конечная решётка, x,y Е S, x < y. Тогда найдётся такой z Е [x, y], что z У x.
Доказательство. Пусть y не покрывает x. Тогда по определению можно построить такой y1, что x < y1 < y. По построению y1 Е [x, y]. Если y1 также не покрывает x, можем аналогично построить y2, такой, что x < y2 < y1. При этом, поскольку y1 < y, y2 также лежит в интервале [x,y]. Продолжая аналогичные построения, получаем цепочку y1 > y2 > y3 > ... различных элементов, лежащих в интервале [x,y].
Но поскольку решётка S конечна, в интервале [x, y] может лежать лишь конечное число различных элементов, то есть в какой-то момент мы не сможем построить очередной y^. Это означает, что yi-1 покрывает x. ■
Заменив в доказательстве знаки всех неравенств, можно сформулировать двойственное утверждение: в любом интервале [x, y] конечной решётки S, x < y, найдётся такой z Е [x, y], что z y.
Определение 4. Элемент a Е S называется атомарным элементом решётки S, имеющей инфинум O = inf S, если a У O.
Отметим, что атомарные элементы не могут покрывать отличных от O элементов решётки, так как если атомарный элемент a покрывает какой-то отличный от O элемент b, то a > b > O и a не покрывает O.
Определение 5. Пусть Б, Б' — решётки. Отображение ф : Б ^ Б' называется порядковым гомоморфизмом решёток, или изотонным отображением, если х ^ у влечёт за собой ф(х) ^ ф(у) для любых х, у € Б.
Таким образом, изотонное отображение сохраняет порядок элементов решётки.
Определение 6. Прямым произведением решёток А и В называется решётка Б = А х В, определённая на декартовом произведении множеств А и В следующим образом. Для а, а' € А, 6, 6' € В полагаем (а, 6) ^ (а', 6') в точности тогда, когда а ^ а' и 6 ^ 6'.
При этом супремумом и инфинумом элементов (а, 6), (а', 6') € А х В будут соответственно (вир{а,а'}, вир{6,6'}) и (т£{а, а'}, т£{6,6'}). Если решётки А и В имеют нижние грани, то т£(А х В) = (т£ А,т£В).
Отметим, что элемент (а, 6) решётки А х В покрывает элемент (а', 6') той же решётки в том и только в том случае, когда
а У а', 6 = 6' или а = а', 6 У 6'. (1)
Действительно, если выполнена, например, первая пара условий, то (а, 6) > (а', 6') и если найдётся такой (х,у) € А х В, что (а, 6) > (х,у) > (а', 6'), то а > х > а', что противоречит условию а У а'. Обратно, предположим, что для (а, 6) > (а', 6') условие (1) не выполняется. Тогда либо а > а', 6 > 6', либо 6 = 6', но а не покрывает а', либо а = а', но 6 не покрывает 6'. В первом случае (а, 6) ^ (а, 6') > (а',6'), во втором случае найдётся такой х € А, что а > х > а', и тогда (а, 6) > (х, 6) > (а', 6'), аналогично в третьем случае (а, 6) > (а, у) > (а', 6') для такого у € В, что 6 > у > 6'. Так или иначе, получаем, что при невыполнении условия (1) элемент (а, 6) решётки А х В не может покрывать её элемент (а', 6').
Определение 7. Решётки Б и Б' называются изоморфными, если существует биективное изотонное отображение ф : Б ^ Б'. Это отображение называется изоморфизмом решёток Б и Б'.
Любая линейная решётка В при |В | = т изоморфна решётке БЬ(т). Любая решётка 2а при |А| = п изоморфна решётке БХ(п). Отметим также, что если решётка А изоморфна А', а В изоморфна В', то и А х В изоморфна А' х В' — их изоморфизм получается как прямое произведение изоморфизмов решёток-сомножителей.
Напомним, что цепью в частично упорядоченном множестве Б называется его вполне упорядоченное подмножество; так, конечная цепь длины т представляет собой набор элементов 61,... ,6т, таких, что 61 ^ 62 ^ ... ^ 6т. Будем говорить, что элементы 61,..., 6т последовательно покрывают друг друга, если 61 — 62 — ... — 6т.
Теорема 2. Конечная решётка Б изоморфна МХБ-решётке, то есть прямому произведению полной решётки подмножеств на линейную решётку БХ(п) х БЬ(т) для некоторых т, п ^ 1, тогда и только тогда, когда она удовлетворяет следующим трём условиям:
1) |Б| = 2пт;
2) если т ^ 2, то в точности п +1 элементов решётки Б являются атомарными; в случае т = 1 атомарны в точности п элементов Б;
3) каждый элемент решётки Б, кроме указанных далее п+т элементов, покрывает по крайней мере два других. Исключения из этого условия составляют цепь из т последовательно покрывающих друг друга элементов Б, начинающаяся с её инфинума О (каждый из них, кроме О, покрывает лишь предшествующий элемент цепи), а также п атомарных элементов, не входящих в эту цепь.
Доказательство. Проверим сначала выполнение условий 1-3 для решётки Т(п,т) = БХ(п) х БЬ(т). Условие 1 следует из того, что |БХ(п)| = 2П, |5Х(т)| = т.
При т =1 атомарными элементами решётки Т(п, 1) = БХ(п) х 5Х(1) = БХ(п) являются в точности 1-элементные подмножества множества N = {1,... , п}, которых ровно п, что даёт выполнение условия 2.
Покажем, что при т =1 все элементы решётки БХ(п), кроме атомарных и О (соответствующего пустому множеству), покрывают по крайней мере два других элемента БХ(п) (ранее показано, что атомарные элементы покрывают только О). Действительно, такие элементы являются к-элементными подмножествами множества N, к ^ 2. Из определения покрытия следует, что к-элементное множество покрывает все свои (к — 1)-элементные подмножества. Число таких подмножеств равно С-1 = к ^ 2, что и требуется. Таким образом, при т =1 условия 2 и 3 проверены.
Проверим условие 2 для решётки Т(п,т) при т ^ 2. Из условия (1) следует, что элемент (а, Ь) Е Т(п, т) является атомарным (то есть покрывает (0, 0)) тогда и только тогда, когда а атомарен в БХ(п) и Ь = 0, либо а = 0 и Ь атомарен в БЬ(т). Таким образом, атомарными в Т(п, т) являются в точности п +1 элементов ({1}, 0),... , ({п}, 0), (0,1), что доказывает выполнение условия 2.
Осталось проверить выполнение условия 3 при т ^ 2. Прежде всего заметим, что указанная в условии цепь из т последовательно покрывающих друг друга элементов получится, если рассмотреть элементы (0, 0),... , (0, т — 1). Действительно, согласно условию (1), (0, к) У (а, Ь) для некоторого (а, Ь) Е Т(п, т) равносильно тому, что а = 0 (так как а — 0 невозможно) и Ь — к, то есть (а, Ь) = (0, к — 1) —предыдущий элемент цепи. Таким образом, указанные элементы действительно образуют цепь и каждый элемент цепи (кроме (0, 0), являющегося инфинумом Т(п,т)) покрывает ровно один элемент Т(п, т) (предыдущий элемент цепи).
Покажем, что все элементы Т(п,т), кроме её инфинума, атомарных элементов и элементов рассмотренной выше цепи, покрывают по крайней мере два других элемента Т(п, т). Пусть (а, Ь) Е Т(п, т) — такой элемент (а С N, Ь Е {0,..., т — 1}). По построению это равносильно тому, что |а| ^ 2 при Ь = 0 и а = 0 при Ь ^ 1. В первом случае, как мы видели при рассмотрении случая т =1, найдутся такие х,у Е БХ(п), х = у, что а У х, а У у. Тогда (а, 0) У (х, 0) и (а, 0) У (у, 0). Во втором случае найдётся хотя бы один х Е БХ(п), такой, что а У х (возможно, х = 0), и тогда (а,Ь) У (х,Ь) и (а, Ь) У (а, Ь — 1).
Докажем теперь обратное утверждение теоремы — если решётка Б удовлетворяет условиям 1-3 при некоторых т, п ^ 1, то она изоморфна БХ(п) х БЬ(т).
Обозначим через А = {а0,...,ап} множество атомарных элементов Б (А = {а1, ... , ап} в случае т =1). Если т =1, указанная в условии 3 цепь по построению состоит только из элемента О = т£ Б. В случае т ^ 2 эта цепь включает в себя т элементов, из которых ровно один (следующий за О) является атомарным; без ограничения общности считаем, что это а0. Обозначим эту цепь В = {Ь0,..., Ьт-1}, Ь0 — Ь1 — ... — Ьт-1 (при этом Ь0 = О, Ь1 = а0). Обозначим А* = А \ {а0} (А* = А при т = 1). Отметим, что, независимо от значения т, |А*| = п.
Зададим отображение ^ : Б 2а* х В следующим образом. Каждому элементу в Е Б сопоставим упорядоченную пару, состоящую из подмножества всех элементов А*, меньших или равных в, а также максимального элемента цепи В, меньшего или равного в:
^(в) = ({а Е А* : а ^ в}, тах{Ь Е В : Ь ^ в}). Докажем, что отображение ^ является изоморфизмом решёток.
Покажем сначала, что ф изотонно. Пусть р,р' € Б, р ^ р'. Обозначим ф(р) = (Р, 6), Ф(р') = (Р', 6'). Если для некоторого а € А* выполнено а € Р, то а ^ р ^ р' и а € Р'. Отсюда Р С Р'. Далее, из 6 ^ р следует 6 ^ р', поэтому 6 ^ 6'. Тогда (Р, 6) ^ (Р',6') в решётке 2А* х В.
Покажем, что ф инъективно. Пусть ф(р) = ф(р') = ) для р,р' € Б, выведем отсюда, что р = р'. Доказательство будем вести индукцией по сумме |Ь| + .
При |Ь| + ] = 0 имеем ф(р) = ф(р') = (0,О), откуда следует, что в Б нет ни одного атомного элемента, меньше или равного р или р'. Но тогда р = р' = О, так как если, например, р > О, то по лемме 1 в Б найдётся элемент, меньший или равный р и покрывающий О.
Пусть утверждение выполнено для всех |Ь| + ] < к, к > 0. Покажем его выполнение при |Ь| + = к. Предположим противное: ф(р) = ф(р') = (Ь, 6^), но р = р'. Обозначим д = 8ир(Ь и {6^}) (поскольку р = р', без ограничения общности можно полагать д = р). По построению получаем д ^ р (супремум элементов из Ь и {6^} меньше или равен их верхней грани) и, с учётом неравенства, д < р. Тогда по лемме 1 в интервале [д,р] найдётся такой элемент г, что г У д. Заметим, что, исходя из построения д, ф(д) ^ (¿,6^). Тогда ввиду доказанной изотонности ф получаем ф(д) = (¿,6^) в силу неравенства д ^ р и затем ф(г) = (Ь, 6^) в силу неравенств д ^ г ^ р.
Поскольку Ь = 0 или 6^ = О, имеем д = О, а значит, г не атомарен. Кроме того, г € В, так как каждый элемент В, отличный от О, покрывает предшествующий в цепи, поэтому д также лежит в В, и ф(г) = ф(д), поскольку ф(г) = (• , г), а ф(д) = (• ,д). Тогда по условию 3 теоремы г покрывает по крайней мере два разных элемента Б, и найдётся такой £ € Б, £ = д, что г У При этом ф(£) ^ ф(г) = (Ь, 6^-), но ф(£) = (Ь, 6^-), так как в противном случае получим £ ^ д (из тех же соображений, из которых р ^ д), и тогда г > £ > д, что противоречит тому, что г покрывает д. Таким образом, получили, что ф(£) < ). Обозначим ф(£) = (М, 6,) < ).
Из последнего неравенства следует, что |М| + г < к. Тогда для любой верхней грани множества М и {6,}, меньше или равной из ^ £ ввиду изотонности ф получим ф(£') ^ (М, 6,). С другой стороны, для £', являющегося верхней гранью М и {6,}, по построению ф(£') ^ (М,6,). Отсюда ф(£') = (М, 6,) = ф(£), и = £ в силу предположения индукции. Заметим теперь, что £ является верхней гранью (М, 6,) по построению. Тогда вир(М, 6,) ^ £ и из проведёных рассуждений следует, что £ = 8ир(М, 6,).
Но д также является верхней гранью М и {6,}, и тогда д ^ вир(М, 6,) = Получаем г > д > £ (£ = д по построению), а это противоречит тому, что г покрывает Инъективность ф доказана.
Сюръективность ф следует из его инъективности (дающей |ф(Б)| = |Б|) и условия 1 теоремы (дающего |Б| = |2А* х В|). Таким образом, ф задает изоморфизм решёток Б и 2а* х В, последняя из которых изоморфна БХ(п) х БЬ(т). ■
Сделаем замечание о структуре рассматриваемых теоремой 2 решёток, которое понадобится в дальнейшем.
Следствие 1. Решётки БХ(п) х БЬ(2) и БХ(п + 1), п ^ 1, эквивалентны.
Доказательство. Применим к решётке Б = БХ(п) х БЬ(2) прямое утверждение теоремы 2. Согласно условию 1, |Б| = 2П • 2 = 2га+1. Согласно условию 2, Б содержит ровно п +1 атомарных элементов. Наконец, указанная в условии цепь из двух элементов, помимо О, содержит элемент, покрывающий его, то есть атомарный. Таким образом, согласно условию 3, исключениями из правила, согласно которому каждый
элемент S должен покрывать два других её элемента, являются в точности O и все атомарные элементы S.
Теперь, применяя к S обратное утверждение теоремы 2, получаем с учётом доказанного, что S изоморфна SX(n +1) х SL(1), то есть SX(n + 1). ■
Оценим сложность проверки указанных в теореме 2 условий при определении структуры данной конечной решётки S. Решётку будем полагать заданной её матрицей инцидентности, то есть матрицей, для каждой пары элементов решётки указывающей, какой из них больше (либо что они несравнимы).
Теорема 3. Для проверки изоморфизма конечной решётки S, заданной своей матрицей инцидентности, произведению решёток SX(n) х SL(m) при каких-либо (неизвестных заранее) m, n ^ 1 достаточно выполнить O(|S|2) операций.
Доказательство. Будем проверять выполнение условий теоремы 2 для каких-либо m, n. Для этого определим элементы решётки S, покрывающие ровно один её элемент (а также определим инфинум S), затем выделим среди них атомарные элементы (что даст возможное значение n) и определим, удовлетворяют ли оставшиеся m элементов указанной в условии 3 теоремы 2 структуре.
Обозначим множество элементов S, покрывающих ровно один другой её элемент, через P. Покажем, что для определения принадлежности заданного элемента p Е S множеству P достаточно совершить два прохода по набору L(p) = {q Е S : q < p} элементов S, строго меньших p (они получаются из строки, соответствующей p в матрице инцидентности S). При этом если таких элементов нет (L(p) = 0), то p = O. Если такой элемент только один, то L(p) = {O} и p атомарен, так как если бы нашёлся такой q Е S, что p > q > O, то O,q Е L(p). Множество атомарных элементов S обозначим A.
Рассмотрим случай |L(p)| ^ 2. Заметим, что p Е P тогда и только тогда, когда в множестве L(p) содержится его супремум (который p и покрывает). Действительно, если r = sup L(p), r Е L(p), то r < p, и если найдётся такой s Е S, что r < s < p, то по построению s Е L(p), и тогда s ^ r — противоречие, означающее, что r p. При этом для любого другого r' Е L(p), r' = r, получается r' < r < p, что делает невозможным r' — p.
Обратно, пусть в L(p) содержится ровно один элемент r, покрываемый p. Тогда в L(p) не найдётся элемента, большего r, так как если s > r, s Е L(p), то p > s > > r и p не покрывает r. Предположим сначала, что r является верхней гранью L(p). Тогда r = supL(p) (как и требуется), так как в противном случае найдётся меньшая верхняя грань r' = sup L(p), но тогда из r Е L(p) следует r ^ r' — противоречие. Если же предположить, что r не является верхней гранью L(p), придём к противоречию. Действительно, в этом случае в L(p) найдётся элемент s, s = r, не меньший чем r. По замечанию к лемме 1 тогда получим, что в интервале [s,p] найдётся такой элемент r', что r' — p. При этом из r' > s следует r' = r, и приходим к противоречию с тем, что p покрывает лишь один элемент решётки S.
Итак, мы показали, что условие p Е P равносильно тому, что множество L(p) содержит свой супремум (достаточно проверить содержание им своей верхней грани, так как в предыдущем абзаце показано, что любая верхняя грань L(p), лежащая в L(p), является его супремумом). Построим алгоритм, проверяющий условие наличия верхней грани множества L(p) в нём самом.
За первый проход по множеству L(p) находится его максимум q (элемент множества L(p), не меньший никакого другого элемента этого множества).
За второй проход проверяем, является ли найденный максимум д верхней гранью Ь(р), сравнивая его с остальными элементами. Если д не является верхней гранью Ь(р), то Ь(р) не содержит своей верхней грани, так как если г — верхняя грань Ь(р), г € Ь(р), г = д, то г > д, что противоречит максимальности д.
Итак, два прохода по множеству Ь(р) для каждого элемента р € Б позволяют определить принадлежность р € Р для всех р и, таким образом, дают множество Р.
Если все элементы Р атомарны, то, согласно условию 2 теоремы 2, возможны лишь случаи т = 1 или 2 (второй из которых сводится к первому ввиду доказанной в следствии теоремы 2 изоморфности решёток БХ(п +1) и БХ(п) х БЬ(2)). В этом случае берём, согласно условию 2 теоремы 2, п = |А| — 1, и если |Б| = 2п, то, применяя теорему с т =1, получаем, что Б изоморфна БХ(п). Если же |Б| = 2п, то, согласно условию 1 теоремы 2 (п определяется условием 2 однозначно), Б не может быть изоморфна никакому произведению полной решётки подмножеств на линейную.
Рассмотрим случай, когда не все элементы Р атомарны. Обозначим В* = Р \ А. Предполагая изоморфность Б нужному прямому произведению, из условия 2 теоремы 2 вновь получаем п = |А| — 1 и, согласно условию 3, т = |В*| +2 (к неатомарным элементам Р добавляется один атомарный, входящий в цепь из условия 3, и О). Теперь можем проверить равенство из условия 1: |Б| = 2пт — если оно не выполнено, то требуемого изоморфизма нет.
Если это равенство выполнено, осталось проверить, что элементы В* образуют указанную в условии 3 цепь, последовательно покрывая друг друга. Для этого на этапе построения записываем элементы В* в массив, индексированный количеством элементов Б, меньших заданного элемента В*. Покажем, что если элементы В* образуют требуемую цепь, эти индексы не могут совпадать друг с другом и образуют полный набор целых чисел от 2 до т.
Действительно, если В * = {62,... , 6т-1}, О — 61 — 62 — 63 — ... — 6т-1, где 61 — атомарный элемент, входящий в цепь, то каждый 6, превосходит г элементов 0,61, 62,... , 6,-1. Для того чтобы показать, что 6, не может превосходить никаких других элементов Б, предположим противное и выберем минимальный 6,, превосходящий какой-то элемент, кроме указанных. Обозначим такой элемент д. Тогда по замечанию к лемме 1 найдётся элемент г € [д,6,], такой, что г — 6,. При этом г = 6,-1, так как в противном случае д ^ г < 6,-1, что противоречит минимальности выбранного 6,. Но тогда получаем, что 6, покрывает два разных элемента из Б (г и 6,-1) —противоречие с условием 3 теоремы 2.
Итак, если указанные условия на индексы элементов В* не выполнены, то Б не изоморфна требуемому прямому произведению. Если условия выполнены, то для проверки условия 3 теоремы 2 и доказательства изоморфизма Б решётке БХ(п) х БЬ(т) с вычисленными выше п, т остаётся лишь проверить, что каждый следующий элемент массива больше предыдущего (что делается прямыми сравнениями за один проход по массиву). Действительно, в этом случае элементы В* образуют цепь и каждый следующий элемент покрывает предыдущий, так как если р > д, но р не покрывает д, то есть р > г > д для некоторого г € Б, то Ь(р) 1Э Ь(д) и {д, г} и |Ь(р)| ^ |Ь(д)| + 2, но по условиям на индексы |Ь(р)| = |Ь(д)| + 1.
Отдельно нужно рассмотреть минимальный элемент 62 € В * (с индексом 2 и соответствующей мощностью |Ь(62)|), который должен покрывать не другой элемент В*, а элемент, не входящий в рассмотренный массив. Для него Ь(62) = {О,61} при некотором 61 € Б. Множество Ь(62) имеет верхнюю грань 61 > О, и тогда, как доказано выше, 62 У 61. При этом 61 У О, так как в противном случае найдётся такой г € Б,
что Ь1 > г > О, и тогда О,Ь1,г Е ¿(Ь2), что противоречит условию |Ь(Ь2)| = 2. Таким образом, недостающий фрагмент О — Ь1 — Ь2 цепочки О — Ь1 — ... — Ьт-1 построен.
Как видно из доказательства, для проверки изоморфизма требуется совершить два прохода по матрице инцидентности решётки Б и некоторое количество существенно меньших по трудоёмкости операций. ■
В терминологии теории графов определение 3 формулируется следующим образом: вершина решёточного графа О покрывает вершину г2 этого же орграфа, если в транзитивном замыкании графа О существует дуга (г1,г2) и не существует ориентированного пути р(г1,г2), такого, что |р(г1,г2)| > 1. Атомарная вершина (определение 4) имеет одну и только одну исходящую дугу, причём эта дуга должна вести в сток (вершину без исходящих дуг) орграфа. Будем говорить, что решёточный граф соответствует решётке Б, если он порождает решётку, изоморфную решётке Б. Переформулируем теорему 2 в терминах теории графов. При этом заметим, что так как исследуемый орграф решёточный, то сток £ в нём существует и единственен.
Теорема 4. Решёточный граф соответствует МХБ-решётке Б = БХ(п1) х БЬ(п2) тогда и только тогда, когда:
1) число вершин орграфа п = 2П1 п2;
2) все вершины орграфа покрывают по крайней мере две других, кроме вершин х1,... , хП1, £1,... , £П2-1. Если п2 = 1, вершины ^ = 1,... , п2 — 1) отсутствуют. При этом:
— £ — сток орграфа;
— вершины х1,... , хП1, £1,... , £П2-1 покрывают ровно одну вершину;
— вершины х1,... , хП1, £1 атомарные;
Для проверки соответствия решёточного графа решётке подмножеств теорема 4 может быть переформулирована следующим образом.
Теорема 5. Решёточный граф соответствует решётке подмножеств БХ (п1) тогда и только тогда, когда он удовлетворяет следующим трём условиям:
1) число вершин орграфа п = 2П1;
2) число атомарных вершин равно log2 п = п1;
3) все вершины, кроме атомарных и стока, покрывают не менее двух других. Представим алгоритм 1 проверки указанных в теореме 4 условий для определения
структуры заданного решёточного графа.
Пусть решёточный граф О задан матрицей достижимости М+ размерности п х п. Требуется получить ответ на вопрос, соответствует ли орграф О некоторой МХБ-решётке Б = БХ(п1) х БЬ(п2). Для этого необходимо найти вершины орграфа О, покрывающие ровно одну вершину. Пусть эти вершины образуют множество Р, |Р | = = р. Среди вершин множества Р необходимо найти атомарные. Обозначим множество этих вершин А, |А| = а. Очевидно, что должны выполняться следующие равенства:
Пусть С = Р \ А — множество вершин, покрывающих ровно один элемент, но не являющихся атомарными.
3. Алгоритмы восстановления решётки
вершины £П2-1 У ... У £1 У £ образуют цепь последовательно покрывающих друг друга вершин.
п2 = 1 , п2 > 1.
Алгоритм 1. Определение структуры решёточного графа
Вход: решёточный граф С задан матрицей достижимости М+ размерности п х п;
вспомогательный массив V размерности п. Выход: соответствует ли орграф С некоторой МЬБ-решётке Б = БХ(п1) х БЬ(п2)? 1: Сформируем множества Р, А и С. Для этого 2: Для всех вершин г, орграфа С
3: По строке г матрицы достижимости совершим проход и найдём максимальный элемент среди тех, которые формируют множество обозначим его г* (на-
помним, что г^ ^ г^ ^ [М+]^ = 1). 4: Ещё за один проход по г-й строке матрицы проверим, что г* является верхней
гранью для ([М+]ч- = 1 для всех г^- € Ь(г,)).
5: Если в г-й строке матрицы единичный элемент один (он же является верхней
гранью), то 6: г, € Р и г, € А.
7: Если единичных элементов более одного и верхняя грань найдена, то 8: г, € Р и г, € С. Пополним элемент массива вершиной г,, где индекс д —
это мощность множества Ь(г,). 9: Проанализируем множества Р и А. Возможны два случая. 10: Если А = Р, то
все вершины множества Р атомарны. Тогда п1 = р, п2 = 1. 11: Если п = 2Р (условие 1 теоремы 4), то 12: требуемого соответствия нет, 13: иначе
14: орграф С соответствует решётке подмножеств Б = ХБ(р) (или эквивалентной
МЬБ-решётке Б = ХБ(р — 1) х ЬБ(2) (следствие 1)). 15: Если А С Р, то
16: не все вершины множества Р атомарны. Тогда п1 = а — 1, п2 = р — а + 2. 17: Если п = 2а-1(р — а + 2) (условие 1 теоремы 4), то 18: требуемого соответствия нет, 19: иначе
20: Если все элементы массива V в диапазоне индексов от 2 до п2 — 1 содержат ровно одну вершину, каждая следующая вершина этого массива в заданном диапазоне покрывает предыдущую, вершина [V]2 покрывает некоторую атомарную вершину из множества А, то 21: орграф С соответствует МЬБ-решётке Б = ХБ(а — 1) х ЬБ(р — а + 2),
22: иначе
23: требуемого соответствия нет.
Прокомментируем шаги 2-10 алгоритма 1. В них = {г^- : г, > г^} —множество вершин, до которых существует ориентированный путь из вершины г,. Для этих вершин [М+]у = 1, то есть множество определяется единичными недиагональными элементами строки г матрицы достижимости. При доказательстве теоремы 3 показано, что для проверки принадлежности вершины г, множеству Р достаточно выяснить, содержит ли множество свою верхнюю грань. Если )| = 1, то г, — атомарная вершина.
После того как множества Р, А и С сформированы, необходимо проанализировать их структуру (шаги 11-25 алгоритма 1). Пояснений требует случай, когда А С Р и
п = 2а-1(р — а + 2) (шаг 22). В этой ситуации остаётся проверить, что все вершины из множества С образуют указанную в условии 2 теоремы 4 цепь, последовательно покрывая друг друга. Это означает, что число вершин, в которые существует ориентированный путь из вершины гг, для всех вершин множества С уникально. Более того, эти величины образуют полный набор чисел в диапазоне от 2 до п2 — 1 (см. доказательство теоремы 3). Для проверки этого факта на этапе построения множества С каждую его вершину гг необходимо продублировать в массив, индексированный числом вершин, в которые существует ориентированный путь из гг (это число единиц в строке г матрицы достижимости, или мощность множества Ь(гг)). Индексы к этого массива меняются от 2 до п2 — 1. Каждый элемент массива должен содержать ровно одну вершину. Если указанное условие не выполнено, то искомого соответствия нет. Иначе осталось проверить, что каждая следующая вершина массива покрывает предыдущую: ггк+1 У ггк. Для этого достаточно, чтобы [М+]гк+1гк = 1. Отдельно необходимо рассмотреть вершину гг2, которая должна покрывать не другую вершину множества С, а некоторую атомарную вершину из множества А (что также проверяется по матрице достижимости: [М+]г2а- = 1 для некоторой вершины г^ Е А).
Замечание 1. Алгоритм 1 очевидным образом можно адаптировать для проверки соответствия решёточного графа решётке подмножеств.
Замечание 2. Трудоёмкость проверки соответствия решёточного графа, заданного матрицей смежности, некоторой МЬБ-решётке Б = ХБ(п1) х ЬБ(п2) при неизвестных заранее п1 и п2 в общем случае не превосходит С(п3), где п — число вершин орграфа. Действительно, в теореме 3 доказано, что сложность проверки не превосходит 0(п2) для матрицы инцидентности исследуемой решётки. При теоретико-графовой интерпретации эта матрица совпадает с матрицей достижимости М+ орграфа. Если исследуемый решёточный граф задан матрицей смежности, то трудоёмкость повышается до 0(п3), так как «узким» местом проверки будет алгоритм Уоршелла, позволяющий построить матрицу достижимости.
Следует заметить, что при оценке трудоёмкости алгоритмов операции по формированию множеств считались линейными, тогда как трудоёмкость подобных операций существенно зависит от реализации структур данных.
Теоремы 2 и 3 позволили построить алгоритм проверки соответствия решёточного графа МЬБ-решётке (в частном случае, решётке подмножеств). Исследуем случай линейной решётки.
Теорема 6. Трудоёмкость проверки соответствия решёточного графа некоторой линейной решётке не превосходит С(п3).
Доказательство. Для проверки соответствия решёточного графа линейной решётке достаточно показать, что любая пара вершин сравнима, то есть для любой пары вершин существует ориентированный путь, их соединяющий. Очевидно, трудоёмкость алгоритма определяется алгоритмом Уоршелла построения матрицы достижимости. ■
Заключение
Доказано, что задача восстановления решётки ценностей по орграфу разрешима за полиномиальное время. Этот факт существенен при построении систем разграничения доступа, основанных на мандатной модели безопасности [8], так как гарантирует получение результата за приемлемое время.
Авторы выражают благодарность Ю. С. Ракицкому за полезные замечания и предложения в процессе подготовки статьи.
ЛИТЕРАТУРА
1. Belim S., Bogachenko N., and Ilushechkin E. An analysis of graphs that represent a role-based security policy hierarchy //J. Computer Security. 2015. V. 23. No. 5. P. 641-657.
2. Birkhoff G. Lattice Theory. N.Y.: Amer. Math. Soc. Colloquium Publ., 1967.
3. Jakubik J. On isomorphisms of graphs of lattices // Czechoslovak Math. J. 1985. V. 35. No. 2. P. 188-200.
4. Mainetti M. Arguesian identities in linear lattices // Adv. Math. 1999. No. 144. P. 50-93.
5. Mainetti M. and Yan C. H. Geometric identities in lattice theory //J. Combinatorial Theory. Ser.A. 2000. No. 91. P. 411-450.
6. Felsner S. and Knauer K. B. Distributive lattices from graphs // Proc. VI Jornadas de Matematica Discreta y Algoritmica. Lleida, 2008. P. 11-23.
7. Bertet K. The dependence graph of a lattice // Proc. CLA, Malaga, Spain, 2012. P. 223-231.
8. Belim S. V., Bogachenko N. F., Kabanov A. N., and Rakitskiy Yu. S. Using the Decision Support Algorithms Combining Different Security Policies // Dynamics of Systems, Mechanisms and Machines (Dynamics). 15-17 Nov. 2016. IEEE Xplore. http://ieeexplore.ieee.org/ document/7818976/.
REFERENCES
1. Belim S., Bogachenko N., and Ilushechkin E. An analysis of graphs that represent a role-based security policy hierarchy. J. Computer Security, 2015, vol.23, no. 5, pp.641-657.
2. Birkhoff G. Lattice Theory. N.Y., Amer. Math. Soc. Colloquium Publ., 1967.
3. Jakubik J. On isomorphisms of graphs of lattices. Czechoslovak Math. J., 1985, vol.35, no.2, pp.188-200.
4. Mainetti M. Arguesian identities in linear lattices. Adv. Math., 1999, no. 144, pp. 50-93.
5. Mainetti M. and Yan C. H. Geometric identities in lattice theory. J. Combinatorial Theory, Ser.A, 2000, no. 91, pp. 411-450.
6. Felsner S. and Knauer K. B. Distributive lattices from graphs. Proc. VI Jornadas de Matematica Discreta y Algoritmica, Lleida, 2008, pp. 11-23.
7. Bertet K. The dependence graph of a lattice. Proc. CLA, Malaga, Spain, 2012, pp. 223-231.
8. Belim S. V., Bogachenko N. F., Kabanov A. N., and Rakitskiy Yu. S. Using the Decision Support Algorithms Combining Different Security Policies. Dynamics of Systems, Mechanisms and Machines (Dynamics), 15-17 Nov. 2016, IEEE Xplore. http://ieeexplore.ieee.org/ document/7818976/.
