EROS (マイクロカーネル)

EROS ( Extremely Reliable Operating System ) は、 1991 年にペンシルバニア大学で開発が始まり、その後ジョンズ ホプキンス大学と EROS Group, LLC によって開発されたオペレーティング システムです。機能には、自動データおよびプロセス永続性、予備的なリアルタイムサポート、機能ベースのセキュリティなどがあります。EROS は純粋に研究用のオペレーティング システムであり、実際の使用には導入されていません。2005 年現在、開発は中止され、後継システムの CapROS が採用されています。 ^{[アップデート]}

EROS システム (およびその関連システム) の最も重要な目標は、重要なアプリケーションを小さな通信コンポーネントに効率的に再構築するための強力なサポートをオペレーティング システム レベルで提供することです。各コンポーネントは、保護されたインターフェイスを介してのみ他のコンポーネントと通信でき、システムの残りの部分から分離されています。ここでの保護されたインターフェイスとは、オペレーティング システムの最下位レベル部分であるカーネルによって強制されるインターフェイスです。これは、プロセス間で情報を移動できるシステム部分のみです。また、マシンを完全に制御し、(適切に構築されていれば) バイパスすることはできません。EROS では、あるコンポーネントが別のコンポーネントのサービスに名前を付けて呼び出すカーネル提供のメカニズムは、プロセス間通信(IPC) を使用する機能です。機能保護インターフェイスを強制することにより、カーネルは、プロセスへのすべての通信が意図的にエクスポートされたインターフェイスを介して到着することを保証します。また、呼び出し元のコンポーネントが呼び出されるコンポーネントに対して有効な機能を保持していない限り、呼び出しが不可能であることを保証します。機能システムにおける保護は、多くの場合、制限と呼ばれるセキュリティ ポリシーを通じて、あるコンポーネントから別のコンポーネントへの機能の伝播を制限することによって実現されます。

機能システムは、コンポーネントベースのソフトウェア構造を自然に促進します。この組織化アプローチは、オブジェクト指向プログラミングのプログラミング言語の概念に似ていますが、粒度が大きく、継承の概念は含まれていません。ソフトウェアがこのように再構築されると、いくつかの利点が生まれます。

• 個々のコンポーネントは、イベント ループとして最も自然に構造化されます。このように構造化されるシステムの例としては、航空機の飛行制御システム( DO-178B 航空機搭載システムおよび機器認証におけるソフトウェアの考慮事項も参照) や電話交換システム ( 5ESS スイッチを参照) などがあります。これらのシステムでは、ライフ クリティカルおよびミッション クリティカルなシステムに不可欠な属性であるシンプルさと堅牢性のために、イベント駆動型プログラミングが選択されます。
• コンポーネントが小さくなり、個別にテストできるようになるため、欠陥やバグをより簡単に分離して特定できるようになります。
• 各コンポーネントを他のコンポーネントから分離することで、何か問題が発生した場合やソフトウェアが誤動作した場合に発生する可能性のある損害の範囲が制限されます。

これらの利点を総合すると、システムの堅牢性と安全性が大幅に向上します。Plessey System 250 は、もともと電話交換機で使用するために設計されたシステムであり、堅牢性という理由から機能ベースの設計が特に選択されました。

以前の多くのシステムとは対照的に、EROS では、リソースに名前を付けて使用するためのメカニズムは機能のみであるため、純粋な機能システムと呼ばれることもあります。対照的に、IBM i は商業的に成功した機能システムの例ですが、純粋な機能システムではありません。

純粋ケイパビリティ アーキテクチャは、十分にテストされ成熟した数学的セキュリティ モデルによってサポートされています。これらは、ケイパビリティ ベースのシステムが正しく実装されれば安全にできることを正式に実証するために使用されています。いわゆる「安全性プロパティ」は、純粋ケイパビリティ システムで決定可能であることが示されています (Lipton を参照)。分離の基本的な構成要素である制限は、純粋ケイパビリティ システムによって強制可能であることが正式に検証されており^[1]、EROSコンストラクターと KeyKOSファクトリーによって実用的な実装にまで簡略化されています。他のプリミティブ保護メカニズムには、これに匹敵する検証は存在しません。文献には、一般的なケースでは安全性が数学的に決定不可能であることを示す基本的な結果があります( HRU を参照。ただし、制限されたケースの無制限の集合では当然証明可能であることに注意してください^{[2] )。より実用的な重要性として、現在のコモディティ オペレーティング システムに搭載されているすべてのプリミティブ保護メカニズムでは、安全性が}偽であることが示されています。安全性は、あらゆるセキュリティ ポリシーを正常に強制するための必須の前提条件です。現実的に言えば、この結果は、現在のコモディティ システムをセキュリティで保護することは原理的には不可能であるが、十分な注意を払って実装されていれば、機能ベースのシステムをセキュリティで保護できる可能性があることを意味します。EROS も KeyKOS もこれまで侵入に成功したことはなく、分離メカニズムが内部攻撃者によって破られたことも一度もありませんが、2 つの実装が十分に注意を払っていたかどうかは不明です。Coyotos プロジェクトの目標の 1 つは、ソフトウェア検証技術を適用することで、コンポーネントの分離とセキュリティが確実に達成されていることを実証することでした。

L4 マイクロカーネル ファミリの後継である L4.sec システムは、機能ベースのシステムであり、EROS プロジェクトの結果に大きく影響を受けています。この影響は相互的であり、高性能呼び出しに関する EROS の取り組みは、L4 マイクロカーネル ファミリでのJochen Liedtkeの成功に強く動機づけられたものです。

EROS の主たる開発者は Jonathan S. Shapiro でした。彼はまた、 EROS オペレーティング システムを超える「進化のステップ」 ^[3]であった Coyotos の推進者でもありました。 ^[4]

EROS プロジェクトは、以前のオペレーティング システムであるKeyKOSのクリーン ルーム再構築として 1991 年に開始されました。KeyKOS は Key Logic, Inc. によって開発され、Tymshare, Inc. によって作成された以前のGreat New Operating System In the Sky ( GNOSIS ) システムの作業を直接継続したものです。1991 年の Key Logic の消滅にまつわる状況により、KeyKOS のライセンス供与は現実的ではなくなりました。いずれにしても、KeyKOS は一般的なコモディティ プロセッサでは動作しなかったため、公開されているドキュメントから再構築することが決定されました。

1992 年後半までに、プロセッサ アーキテクチャはケイパビリティの概念が導入されて以来大幅に変化したことが明らかになり、コンポーネント構造のシステムが実用的であることはもはや明らかではなくなった。同様に多数のプロセスと IPC を好むマイクロカーネルベースのシステムは、深刻なパフォーマンス上の課題に直面しており、これらをうまく解決できるかどうかは不確かだった。x86アーキテクチャが支配的なアーキテクチャとして台頭しつつあったことは明らかだったが、386と486でのユーザー/スーパーバイザの遷移遅延が高価であることから、プロセス ベースの分離には深刻な課題があった。EROS プロジェクトは研究活動へと変わりつつあり、ペンシルバニア大学に移って Shapiro の博士論文研究の焦点となった。1999 年までに、 Pentiumプロセッサ向けの高性能実装が実証され、IPC の並外れた速度で知られるL4 マイクロカーネル ファミリと直接競合するパフォーマンスが実現した。EROS の制限メカニズムは正式に検証され、その過程でセキュア ケイパビリティ システムの一般的な形式モデルが作成された。

2000 年、シャピロはジョンズ ホプキンス大学のコンピュータ サイエンス学部に加わりました。ホプキンス大学での目標は、EROS カーネルが提供する機能を使用して、アプリケーション レベルで安全で防御可能なサーバーを構築する方法を示すことでした。国防高等研究計画局と空軍研究所の資金提供を受けた EROS は、信頼できるウィンドウ システム^[5]、高性能で防御可能なネットワーク スタック^[6] 、および安全な Web ブラウザーの始まりの基礎として使用されました。また、軽量の静的チェックの有効性を調べるためにも使用されました。 ^[7] 2003 年には、同期 IPC プリミティブ (特に EROS と L4 を含む) に基づくシステム アーキテクチャに固有の、非常に困難なセキュリティ問題がいくつか発見されました^[8]。EROS の作業は、これらの問題を解決した Coyotos に取って代わられて中止されました。^{[出典が必要]}

2006 年現在^{[アップデート]}、EROS とその後継システムは、市販のハードウェア上で動作する唯一の広く利用可能な機能システムです。

EROSとCoyotosのオリジナルグループによる作業は中止されましたが、後継システムがあります。^[4] EROSの後継であるCapROS（Capability Based Reliable Operating System）は、オープンソースの商用指向のオペレーティングシステムです。^[9]

• ナノカーネル

1. Lipton, RJ; Snyder , L. (1977 年 7 月)。「サブジェクト セキュリティを決定する線形時間アルゴリズム」。Journal of the ACM。24 ( 3): 455–464。doi : 10.1145 / 322017.322025。S2CID  291367 。
2. Harrison, Michael A. ; Ruzzo, WL; Ullman, Jeffrey D. (1976 年 8 月)。「オペレーティング システムにおける保護」。Communications of the ACM。19 ( 8): 461–471。doi : 10.1145/ 360303.360333。S2CID  5900205 。

• Wayback Machineの EROS ホームページ(2016 年 3 月 4 日アーカイブ)