В современных системах автоматизированного проектирования ши

7.2.4.3. Безопасная функция перехода
Недостаток основной теоремы безопасности Белла-ЛаПадулы со-
стоит в том, что ограничения, накладываемые теоремой на функцию пе-
рехода, совпадают с критериями безопасности состояния, поэтому данная 
теорема является избыточной по отношению к определению безопасного 
состояния. Кроме того, из теоремы следует только то, что все состояния, 

---

190
достижимые из безопасного состояния при определённых ограничениях, 
будут в некотором смысле безопасны, но при этом не гарантируется, что 
они будут достигнуты без потери свойства безопасности в процессе осу-
ществления перехода. Поскольку не имеется никаких определённых ог-
раничений на вид функции перехода, кроме указанных в условиях теоре-
мы, и допускается, что уровни безопасности субъектов и объектов могут 
изменяться, то можно представить такую гипотетическую систему (она 
получила название Z-системы [145]), в которой при попытке низкоуров-
невого субъекта прочитать информацию из высокоуровневого объекта 
будет происходить понижение уровня объекта до уровня субъекта и осу-
ществляться чтение.
Функция перехода Z-системы удовлетворяет ограничениям основной 
теоремы безопасности, и все состояния такой системы также являются 
безопасными в смысле критерия Белла-ЛаПадулы, но вместе с тем в этой 
системе любой пользователь сможет прочитать любой файл, что, очевид-
но, несовместимо с безопасностью в обычном понимании. 
Следовательно, необходимо сформулировать теорему, которая бы не 
только констатировала безопасность всех достижимых состояний для сис-
темы, соответствующей определённым условиям, но и гарантировала бы 
безопасность в процессе осуществления переходов между состояниями. 
Для этого необходимо регламентировать изменения уровней безопасности 
при переходе от состояния к состоянию с помощью дополнительных пра-
вил. 
Такую интерпретацию мандатной модели осуществил Мак-Лин 
[146], предложивший свою формулировку основной теоремы безопасно-
сти, основанную не на понятии безопасного состояния, а на понятии безо-
пасного перехода. При таком подходе функция уровня безопасности пред-
ставляется с помощью двух функций, определённых на множестве субъек-
тов и объектов: 
F
s
: 
S

L
и
F
o
: 
O

L
. 

---

191
Функция перехода 
Т
считается безопасной по чтению, если для лю-
бого перехода
T
(
r
, 
v
) = 
v
* выполняются следующие три условия: 
если