CN101371259B - 文件管理系统及方法、以及便携终端装置 - Google Patents

Abstract

在通过禁止对二次存储装置或外部存储装置的写入来防止机密信息的泄漏·丢失的系统中，在无法利用通信，从而不能将机密数据保存在文件服务器的情况下，不会丢失生成的数据，以安全的方法保管生成的机密数据。为此，首先在内置于便携终端的非易失性存储用存储器上生成指定文件夹来保存生成的机密数据。然后，通过文件夹驱动器进行向指定文件夹的访问控制，由此防止由恶意用户使用便携电话内部的应用程序泄漏信息的情况。此外，通过经由电话线路网来从便携终端管理服务器删除便携终端内部的指定文件夹内的数据的功能，防止由便携终端丢失引起的已保存的机密数据的丢失。

Description

文件管理系统及方法、以及便携终端装置

技术领域

本发明涉及文件管理系统及方法、以及便携终端装置，例如涉及处于在用户终端装置中不能利用通信功能的环境、并且不能将生成的机密文件保存在文件服务器时，安全地保管数据的方法。

背景技术

目前，在用户终端的二次存储装置中保存机密文件时，通过对文件进行加密来限制机密数据的提取。在该方式中，即使提取了文件，也由于进行了加密，因而不能提取信息本身。例如，在专利文献1中，在OS的文件I/O处理中自动地进行加密·解密处理，由此实现了对用户来说便利性高的自动文件加密系统。而且，可以通过进行对外部存储介质或打印机的访问控制来进行机密文件编辑，并且防止信息泄漏。

专利文献1：特开平11-149414号公报

发明内容

但是，有些人认为，在例如移动PC中对顾客信息等机密数据进行加密后保存，在丢失了该机密数据时由于已加密所以不存在机密信息被泄漏的危险性，但是在社会上不认可这一观点，这是最近的潮流。因此，即使如专利文献1中的记载对文件进行了加密，在丢失了个人信息时必须向客户道歉，并且有向检察厅报告或公开的义务，机密信息的丢失事故成为比较大的问题。

本发明是鉴于这样的状况而提出的，提供不存在丢失机密数据的可能性，能够安全地保管机密数据的方法。

为了解决上述课题，在本发明中，在从用户终端装置(例如PC等)向便携终端装置(例如便携电话)存储机密数据时，在用户终端装置与便携终端装置之间进行认证来确认是否是正当设备。然后，由存储器访问控制驱动器捕捉通过便携终端装置内的任意应用程序(包含用于将机密数据存储在存储器的文件管理用进程)对便携终端装置内的非易失性存储器的输入输出请求，并限制来自除了向非易失性存储器内的指定文件夹的文件管理用进程以外的进程的访问，只有文件管理用进程能够访问机密数据。由此，保护保存在非易失性存储器内的指定文件夹中的数据。

即本发明的文件管理系统具有用户终端装置与便携终端装置，在用户终端装置与便携终端装置之间进行机密文件的传送，并且，用户终端装置具有文件传送控制单元，该文件传送控制单元对便携终端装置进行访问请求，并执行机密文件的传送。此外，便携终端装置具有：文件管理单元，其应答来自文件传送控制单元的访问请求，执行对用户终端装置的认证，当认证成功时，为了将从文件传送控制单元传送来的机密文件存储在存储器(例如非易失性存储器)中，请求向存储器的访问；以及存储器访问控制单元(存储器访问控制驱动器)，其应答向存储器的访问请求，仅在访问源是文件管理单元时，允许机密文件被存储在存储器中。

而且，该文件管理系统具有：与便携终端装置连接的远程删除控制单元，该远程删除控制单元用于请求删除在便携终端装置的存储器中存储的机密文件。另外，便携终端装置中的文件管理单元应答来自远程删除控制单元的文件删除请求而删除存储在存储器中的机密文件。删除动作结束后，向远程删除控制单元通知删除结束。

此外，用户终端装置中的文件传送控制单元向便携终端装置的文件管理单元发出用于将存储在便携终端装置的存储器中的机密文件传送到用户终端装置的传送请求时，文件管理单元应答该传送请求而从存储器取得机密文件，并将其发送给文件传送控制单元。

本发明还提供在本文件管理系统中使用的便携终端装置。该便携终端装置在与用户终端装置之间进行机密文件的收发，该便携终端装置具有：文件管理单元，其应答来自用户终端装置的访问请求，执行对用户终端装置的认证，当认证成功时，为了将从用户终端装置传送来的机密文件存储在存储器中，请求向存储器的访问；以及存储器访问控制单元，其应答向存储器的访问请求，仅在访问源是文件管理单元时，允许机密文件被存储在存储器中。

本发明的特征由以下的用于实施本发明的最佳实施方式以及附图而变得更加明确。

附图说明

图1是表示本发明的第一实施方式的文件管理系统的概略结构的图。

图2是用于说明从用户终端向便携电话复制机密数据的处理的流程图。

图3是用于说明由便携管理服务器远程删除便携电话内的机密数据的处理的流程图。

图4是表示便携管理服务器的管理页面画面的图。

图5是用于说明针对便携电话内应用程序向机密数据的访问的控制处理的流程图。

图6是表示本发明的第二实施方式的文件管理系统的概略结构的图。

图7是用于说明用户终端访问便携电话内的机密数据时的处理的流程图。

符号说明

100-文件服务器

101-用户终端

102-便携电话

103-便携管理服务器

104-因特网

105-USB电缆

106-电话线路网

107-OS

108-应用程序

109-文件传送客户机

110-外部介质写入控制驱动器

111-二次存储装置写入控制驱动器

113-文件管理服务

114-存储器访问控制驱动器

115-机密数据

116-存储用存储器

117-管理页面

118-Web服务器

119-远程删除服务

120-二次存储装置

121-存储器(高速缓存器)

具体实施方式

以下参照附图说明本发明的实施方式。但是，应注意本实施方式只不过是用于实现本发明的一例子，并不限定本发明。

如上所述，由于机密信息的丢失事故成为较大的问题，因此在移动PC等存在丢失的危险性的PC中，允许利用·阅览机密信息，但不希望保存机密信息，这样的需求比较大。但是，如专利文献1中记载的自动文件加密系统中不能满足该需求。

因此，本申请人为了满足该需求，设计了以下系统并申请了专利(专利申请2006-238574)，该系统中以软件的形式安装了不允许用户终端的一切数据保存、并禁止向外部存储介质复制数据或印刷数据的功能，使位于网络侧的文件服务器保管新生成的机密数据，由此防止机密数据的泄漏·丢失、并集约文件服务器。

但是，作为该系统的较大课题，存在在办公室以外等不能利用通信的环境下无法访问网络侧的文件服务器、不能利用机密数据的问题。

根据本实施方式的系统，即使是不能利用通信、且不能访问文件服务器的环境下，也不存在丢失生成的机密数据的可能性、能够安全地保管生成的机密数据。

<第一实施方式>

(1)数据管理系统的结构

图1是表示本发明的第一实施方式的数据管理系统的概略结构的图。如图1所示，数据管理系统具有文件服务器100、用户终端101、便携电话(不限于便携电话，也可以是具有通信功能的PDA等便携终端)102以及便携管理服务器103。此外，文件服务器100与用户终端101经由因特网104能够进行通信，而且便携电话102与便携管理服务器103经由无线电话线路网106能够进行通信。

处于可以使用因特网104的环境下时，用户终端101可以利用与文件服务器100的通信来管理机密数据，而处于不能使用因特网104的环境下时，可以利用便携电话102来管理机密数据。由于能够利用便携电话来管理机密数据，因此在用户终端101与便携终端102之间通过连接USB电缆能够进行串行通信。

用户终端101具有二次存储装置120、高速缓存器121、根据未图示的CPU或MPU等处理控制部的控制来在OS107上动作的应用程序动作部108、文件传送客户机109、外部介质写入控制驱动器110以及二次存储装置写入控制驱动器111。

应用程序动作部108启动各种应用程序并使其动作。外部介质写入控制驱动器110禁止对USB存储器或外带硬盘等外部存储介质的写入以及对打印机的输出。此外，二次存储装置写入控制驱动器111监视OS对二次存储装置120的I/O请求，允许从二次存储装置120读取数据，但是禁止写入数据。具体地说，在写入时，将写入数据高速缓存(cache)到存储器121，在读取时，针对从二次存储装置120读取的数据，覆盖已经高速缓存到存储器121内的数据中的、与读取数据重叠的部分后传送到OS。由此虚拟地(看起来)实现向二次存储装置120的写入，但实际上写入数据完全没有反映到二次存储装置120，关掉(OFF)电源时写入数据被清除。通过该两个驱动器，在用户终端101中生成的机密数据不能输出到外部，并且一律不能保存到二次存储装置120。因此，不能从该用户终端101提取机密数据，即使丢失了终端，由于完全没有保存机密数据，因而也不成为机密数据的丢失事故。但是，若不能保存生成的数据，会带来不便，因此通常做成将在用户终端101生成的机密数据经由因特网104能够保存到文件服务器100中。以上是也记载在在先申请的专利申请2006-238574中的内容。

但是，假设在办公室以外不能进行通信，此时不能访问文件服务器100，因而存在不能保存生成的数据的问题。作为该问题的解决方法，做成能够经由USB电缆105将数据保存在内置于便携电话102的存储用存储器116中。

为了实现该动作，便携电话102具有存储机密数据115等的存储用存储器(例如非易失性存储器)116、按照未图示的便携电话的CPU或者MPU等处理控制部的控制来在便携电话的OS上动作的应用程序动作部112、文件管理服务113以及存储器访问控制驱动器114。

用户终端101与便携电话102经由USB电缆105而连接，用户向用户终端101指示在便携电话102中保存机密数据时，位于用户终端101的文件传送客户机109经由USB电缆105访问便携电话102内部的文件管理服务113，并传送机密数据。此时，存储器访问控制驱动器114监视对存储用存储器116的I/O，禁止文件管理服务113以外的进程(process)对机密数据115的访问。即只有文件管理服务113能够对机密数据115进行处理。由此，能够禁止不正当用户利用便携电话102内部的Web游览器或者邮件软件等应用程序112来访问机密数据并向便携电话的外部泄漏数据的行为。假设在保存机密数据115的状态下丢失了便携电话102时，系统管理者能够利用便携管理服务器103的远程删除服务119、并使用电话线路网106来访问丢失的便携电话102，并向文件管理服务113发布清除命令，以删除位于内部的机密数据115，由此能够禁止上述不正当行为(在后面详细说明清除动作)。通过具有该功能，在丢失了便携电话时，也能够防止丢失已保存的机密数据。清除结束后，由文件管理服务113将清除的文件的目录与文件删除结束通知一并发送到便携管理服务器119的远程删除服务。因此，管理者可以知道确实已清除文件。管理者可以在管理页面117上操作远程删除服务，并且能够阅览远程删除后的删除的文件目录。

(2)机密数据的复制处理

图2是用于说明从用户终端101向便携电话102复制机密数据115时的处理的流程图。

首先，文件传送客户机109启动时进行启动检查处理(步骤S200)。在该启动检查中确认在用户终端中正在执行二次存储装置写入控制驱动器111的功能，还确认在已有机密信息丢失·泄漏对策的用户终端(PC)中正在执行文件传送客户机109的功能。接着，文件传送客户机109对文件管理服务113进行访问(步骤S201)。例如，以询问·响应方式进行后述的相互认证时，从文件传送客户机109向文件管理服务113发送称为询问的规定的值(加密密钥)，实现步骤S201的访问。之后，文件管理服务113与文件传送客户机109相互进行认证(步骤S202)。该认证处理是用于确认便携电话以及用户终端是否是已有机密信息丢失·泄漏对策的正当的终端的处理。关于相互认证，例如，文件管理服务113接受来自文件传送客户机109的询问，对此进行规定的运算处理而生成数据(响应)并将该数据回送给文件传送客户机109。对照该询问与文件传送客户机109自己生成的响应来执行认证。另一方面，文件管理服务113也向文件传送客户机109发送询问，执行同样的认证。这样执行相互认证。

文件传送客户机109以及文件管理服务113相互检查认证结果(步骤S203)，当认证失败时，向各自的访问源返回错误信息(error)(步骤S206)。当认证成功时，文件传送客户机109向文件管理服务113发送复制数据(机密数据)(步骤S204)，文件管理服务113将接收到的复制数据写入到存储用存储器116(步骤S205)。通过进行这样的处理来能够只让进行了保密对策的正当的用户终端将机密数据复制到便携电话102的存储用存储器116。此外，也能够只让进行了保密对策的正当的用户终端101能够访问存储在已有保密对策的便携电话102中的机密数据115。

另外，在本实施方式中，用户想要经由因特网104将用户终端101连接到文件服务器100而失败时，未图示的处理控制单元(CPU等)检测连接失败，在未图示的显示画面上显示表示“不能连接到文件服务器100”以及“应经由USB电缆105存储到便携电话102”的消息。然后，可以做成，在收到该消息后用户经由USB电缆105连接便携电话102时，处理控制单元检测与便携电话102的连接，执行上述的步骤S200以后的处理。

(3)对便携电话内的机密数据的远程删除处理

图3是用于说明由便携管理服务器103远程删除便携电话102内的机密数据115时的处理的流程图。该处理用于例如在从用户终端101将机密数据115复制到便携电话102、但丢失或者被盗该便携电话102时，能够安全地管理机密数据115。

在图3中，想要删除便携电话102内的机密数据时，首先，系统管理者操作自身的终端装置来访问便携管理服务器103的管理页面117(步骤S300)。之后，管理页面117的内容被显示在管理者的终端的画面上。然后，系统管理者按已登录的便携电话目录上的远程删除按钮来指示删除存储在成为对象的便携电话102中的机密数据(步骤S301)。

远程删除服务119接收该删除指示后通过便携电话的电话线路网106将远程删除命令发送到位于便携电话102内部的文件管理服务113(步骤S302)。文件管理服务113接收该通知后删除内置于便携电话102的存储用存储器116中的全部机密数据115(步骤S303)。然后，将删除的文件目录和删除结束时间通知给便携管理服务器103(步骤S304)。最后，远程删除服务器119根据远程删除结束通知来更新管理页面117(步骤S305)。

图4是表示便携管理服务器103的管理页面画面的图。在系统管理者利用的便携管理画面400中有管理表，该管理表由电话号码403、电话用户404、状态405以及远程删除406共4个栏构成。每个行分别与预先登录的便携电话102对应。当丢失了便携电话102时，能够通过按远程删除栏406的执行按钮来发送远程删除命令，便携电话102内的文件管理服务113接收远程删除命令后删除对应的文件。当顺利地完成删除时，从文件管理服务器113向便携管理服务器103发送包含删除结束时间以及删除的文件目录信息的远程删除管理通知。便携管理服务器103接收远程删除结束通知后显示变更了与已发布通知的便携电话102对应的行的各属性的画面401。点击位于状态栏的“删除结束”下面的“详细”409来显示删除结束明细402，该删除结束明细402显示删除结束时间407和删除文件一览408。通过该页面，能够确认确实已从便携电话102内部的存储用存储器116删除了机密数据115。

如以上所述，在丢失了便携电话时基本上进行经由电话线路网的远程删除，但是也有可能在电波无法到达的地方丢失便携电话，因此可以与定期进行时限清除的选项(option)组合。作为时限清除的策略，有每天定时进行清除、或者复制文件后经过一定时间就进行清除等策略。由此，能够实现更加牢固的保密。

(4)对机密数据的访问控制处理

图5是用于说明针对便携电话102内的应用程序动作部112向机密数据115的访问的控制处理的流程图。便携电话102内的应用程序(112或者113)指示打开机密数据115时(步骤S500)，存储器访问控制驱动器114挂接文件打开的函数的调用(步骤S501)。之后，存储器访问控制驱动器114比较访问源(112或者113)进程的进程ID与文件管理服务113的进程ID(步骤S502)。

当ID一致时，存储器访问控制驱动器114允许打开进程的机密文件(步骤S504)。当ID不一致时，存储器访问控制驱动器114禁止打开进程的机密数据115(步骤S505)。通过该控制，成为只有文件管理服务113能够访问机密数据115的状况，能够防止不正当的用户使用便携电话102内部的游览器或者邮件软件等应用程序来泄漏机密数据115的情况。

<第二实施方式>

(1)数据管理系统的结构

图6是表示本发明的第二实施方式的数据管理系统的概略结构的图。第二实施方式涉及利用了已有PC的机密数据管理方法。因此，虽然保密等级比第一实施方式的保密等级低，但是使用时比第一实施方式方便。另外，在本实施方式中将对用户的信赖作为前提。

在本实施方式的数据管理系统中，与第一实施方式的不同点是，用户终端600是已有的PC，并且不进行对二次存储装置608或对外部存储介质的写入控制。

如图6所示，数据管理系统具有用户终端600、便携电话(不局限于便携电话，也可以是具有通信功能的PDA等便携终端)601以及便携管理服务器602。此外，便携电话601与便携管理服务器602经由无线电话线路网604能够进行通信。

在用户终端600中，除了一般的应用程序606以外，还安装有文件传送客户机607。使用该工具来访问位于便携电话601中的文件管理服务610，由此进行用户终端600与便携电话601之间的数据传送。用户终端600与便携电话601之间的连接是经由USB电缆来实现。可以将在用户终端600生成的机密数据612保存在内置于便携电话601的存储用存储器613之后携带。由文件传送客户机607访问文件管理服务610时需要进行ID·密码认证。当该认证成功时，可以访问便携电话601内部的机密数据612，也可以将机密数据612保存在便携电话601中。通过进行ID·密码认证，能够限制只有特定用户可以访问便携电话601内的机密数据612并且可以保存机密数据612。不局限于ID·密码认证，还可以利用生态认证或者IC卡等设备认证，本发明的一般性不因认证方法的不同而损失。万一丢失了保存有机密数据612的便携电话601时，可以与第一实施方式一样，由管理者访问便携管理服务器602，使用远程删除服务616来远程删除便携电话601内部的机密数据612。

(2)对机密数据的访问控制处理

图7是用于说明用户终端600访问便携电话601内的机密数据612时的处理的流程图。起初，当发生了从文件传送客户机607对文件管理服务610的访问时(步骤S700)，文件管理服务610接受该访问后经由文件传送客户机607向用户请求ID·密码(步骤S701)。文件管理服务610接受该输入后进行认证处理(步骤S702)。当认证成功时，文件管理服务610允许对自身的访问，使文件传送客户机607执行文件传送处理(步骤S703)。当认证失败时，文件管理服务610拒绝对自身的访问并结束处理(步骤S704)。

这样，在第一实施方式中，只有特定的PC能够在便携电话中保存机密数据或从便携电话读取机密数据，但在第二实施方式中，只要ID·密码认证成立，不特定的PC就能够在便携电话内保存机密数据或者访问机密数据。通过该实施方式，能够实现例如从顾客处将重要数据的复制品保存到便携电话内，之后安全的带到公司的利用方式。此外，向便携电话的数据保存是通过密码认证来进行，数据的读出是通过请求PC认证只让特定的PC能够读取，由此能够防止数据的扩散，且还可以实现从不特定的PC复制数据后安全地带走的利用方法。

而且，为了实现牢固的保密，在丢失便携电话时基本上经由电话线路网进行远程删除，但是也有可能在电波无法到达的地方丢失便携电话，因此可以与定期进行时限清除的选项组合。作为时限清除的策略，有每天定时清除、或者复制文件后经过一定时间就清除等策略。

<结束语>

如以上说明，在本实施方式中，在便携电话的内置存储器中保存机密数据，并对机密数据进行访问控制，由此防止数据的泄漏。此外，通过便携电话丢失时的远程删除功能来防止机密数据的丢失。

更详细地，本实施方式的文件(数据)管理系统至少具有用户终端和便携终端(便携电话)。在用户终端中，文件传送客户机对便携终端进行访问请求并执行机密文件的传送。另一方面，在便携终端中，文件管理服务应答来自文件传送客户机的访问请求，执行对用户终端装置的认证(最好是用户终端与便携终端之间的相互认证)，当认证成功时，为了将从文件传送客户机传送来的机密文件存储在存储器，请求访问存储器。之后，存储器访问控制驱动器应答向存储器的访问请求，仅在访问源是文件管理服务时允许将机密文件存储在存储器中。此外，当机密文件存储在存储器时，存储器访问控制服务判定提出向存储器的访问请求的访问源是哪个访问源，当访问源不是文件管理服务时，禁止访问机密文件。若做成以上的构成，只能在正当的设备之间(用户终端与便携终端)交换机密文件(数据)，因而能够防止将机密数据存储在通常的便携电话后带走。此外，若使用这样的方法，即使在用户终端不能访问文件服务器的环境下，也能够安全地处理机密数据。而且，在便携终端中也能够仅通过特定的应用程序(文件管理服务)来处理机密文件，因而能够禁止如邮件软件或文本生成软件等通常安装有的应用程序访问机密数据，能够担保数据的机密性。

此外，使用用户终端的文件传送客户机来将传送请求发送到文件管理服务，该传送请求用于将存储在便携终端的存储器中的机密文件传送(回送)到用户终端装置，文件管理单元应答该传送请求，能够从存储器取得机密文件后发送到文件传送客户机。由此，能够将通过便携终端取走的机密数据没有数据泄漏地安全地回送给用户终端(不一定是生成了机密数据的终端)。此外，由此在无法使用文件服务器的环境下也可以暂时存储机密数据，因而能够建立对用户来说使用非常方便的系统。

而且，本文件管理系统具有与便携终端连接、并包含远程删除控制服务的便携终端用服务器，该远程删除控制服务用于请求删除在便携终端的存储器中存储的机密文件。之后，文件管理服务应答来自远程删除控制服务的文件删除请求而删除存储在存储器中的机密文件，并向远程删除控制服务通知删除结束。由此，即使丢失或被盗存储有机密数据的便携终端，也能够防止机密数据的泄漏。

另外，用户终端具有二次存储装置、用于暂时存储数据的易失性存储器以及控制针对二次存储装置的数据读出/写入的二次存储装置驱动器。二次存储装置控制驱动器具有以下功能：捕捉通过任意应用程序对二次存储装置的输入输出请求，并在易失性存储器中存储写入数据，关于读入数据，通过覆盖存储在易失性存储器的写入数据中的重叠的部分，虽然不允许在二次存储装置中保存数据，但是虚拟地允许写入。由此禁止对二次存储装置(例如HDD)的写入，因而更新的机密数据不会保留在用户终端，能够防止信息的泄漏。当处于可以对文件服务器进行访问的环境时，能够将已更新的机密数据存储在文件服务器中；当不能访问文件服务器时，如上所述，在便携终端中能够安全地保管已更新的机密数据。

本实施方式的功能也可以通过软件的程序代码来实现。此时，向系统或者装置提供存储了程序代码的存储介质，该系统或者装置的计算机(或者CPU或者MPU)读出存储在存储介质中的程序代码。此时，从存储介质读出的程序代码本身实现上述的实施方式的功能，由此该程序代码本身以及存储了该程序代码的存储介质构成本发明。作为用于供给这样的程序代码的存储介质，使用例如软盘(注册商标)、CD-ROM、DVD-ROM、硬盘、光盘、光磁盘、CD-R、磁带、非易失性存储卡、ROM等。

此外，可以做成：在计算机上动作的OS(操作系统)等根据程序代码的指示来进行实际处理的一部分或者全部，并通过该处理来实现上述的实施方式的功能。而且，还可以做成：从存储介质读出的程序代码被写入到计算机上的存储器之后，计算机的CPU等根据该程序代码的指示来进行实际处理的一部分或者全部，并通过该处理来实现上述的实施方式的功能。

此外，可以做成：将实现实施方式的功能的软件的程序代码通过网络进行分发，由此将该程序代码存储在系统或者装置的硬盘、存储器等存储单元或者CD-RW、CD-R等存储介质，该系统或者装置的计算机(或者CPU或者MPU)读出并执行在该存储单元或该存储介质中存储的程序代码。

Claims (11)

1.一种文件管理系统，其具有用户终端装置和便携终端装置，并进行用户终端装置与便携终端装置之间的机密文件的传送，其特征在于，

所述用户终端装置具有文件传送控制单元，该文件传送控制单元对所述便携终端装置进行访问请求并执行机密文件的传送，

所述便携终端装置具有：

文件管理单元，其应答来自所述文件传送控制单元的访问请求，执行对所述用户终端装置的认证，当认证成功时，为了将从所述文件传送控制单元传送来的所述机密文件存储在存储器中，请求向所述存储器的访问；以及

存储器访问控制单元，其应答向所述存储器的访问请求，仅在访问源是所述文件管理单元时，允许所述机密文件被存储在所述存储器中；其中，

所述存储器访问控制单元判定发出向存储有所述机密文件的存储器的访问请求的访问源是哪个访问源，当所述访问源不是所述文件管理单元时，禁止向所述机密文件的访问。

2.根据权利要求1所述的文件管理系统，其特征在于，

还具有与所述便携终端装置连接、并包含远程删除控制单元的便携终端装置用服务器，该远程删除控制单元用于请求删除在所述便携终端装置的存储器中存储的所述机密文件，

所述文件管理单元应答来自所述远程删除控制单元的文件删除请求，删除存储在所述存储器中的所述机密文件，并向所述远程删除控制单元通知删除结束。

3.根据权利要求1所述的文件管理系统，其特征在于，

所述文件传送控制单元向所述文件管理单元发出传送请求，该传送请求用于将存储在所述便携终端装置的存储器中的所述机密文件传送到所述用户终端装置，

所述文件管理单元应答所述传送请求而从所述存储器取得所述机密文件，并将其发送给所述文件传送控制单元。

4.根据权利要求1-3中任意一项所述的文件管理系统，其特征在于，

所述用户终端装置还具有：

二次存储装置；

易失性存储器，其用于暂时存储数据；以及

二次存储装置控制单元，其控制针对所述二次存储装置的数据读出/写入，允许从所述二次存储装置读取数据，但是禁止向所述二次存储装置写入数据，其中，

所述二次存储装置控制单元具有以下功能：捕捉通过任意应用程序对所述二次存储装置的输入输出请求，在该输入输出请求为写入请求时，不在所述二次存储装置中存储写入数据，仅在所述易失性存储器中存储写入数据；在所述输入输出请求为读取请求时，通过将存储在所述易失性存储器的写入数据中的、与所述读取请求相对应的数据和存储在所述二次存储装置中的对应的数据的重叠的部分，覆盖存储在所述二次存储装置中的对应的数据，以得到覆盖后的数据，读取覆盖后的数据，

对在所述用户终端装置中生成的文件进行保存时，在不能利用通信的情况下，在所述便携终端装置中保管文件。

5.一种便携终端装置，其在与用户终端装置之间进行机密文件的收发，其特征在于，

具有：

文件管理单元，其应答来自所述用户终端装置的访问请求，执行对所述用户终端装置的认证，当认证成功时，为了将从所述用户终端装置传送来的所述机密文件存储在存储器中，请求向所述存储器的访问；

存储器访问控制单元，其应答向所述存储器的访问请求，仅在访问源是所述文件管理单元时，允许所述机密文件被存储在所述存储器中，其中，

所述存储器访问控制单元判定发出向存储有所述机密文件的存储器的访问请求的访问源是哪个访问源，当所述访问源不是所述文件管理单元时，禁止向所述机密文件的访问。

6.根据权利要求5所述的便携终端装置，其特征在于，

所述文件管理单元从便携终端装置用服务器接收对存储在所述存储器中的所述机密文件的删除请求，应答所述文件删除请求，删除存储在所述存储器中的所述机密文件，并向所述便携终端装置用服务器通知删除结束。

7.根据权利要求5所述的便携终端装置，其特征在于，

所述文件管理单元从所述用户终端装置接收传送请求，该传送请求用于指示将存储在所述存储器中的所述机密文件传送到所述用户终端装置，所述文件管理单元应答该请求，从所述存储器取得所述机密文件，并将其发送给所述用户终端装置。

8.一种对机密文件的传送进行管理的文件管理方法，该方法用于具有用户终端装置与便携终端装置的系统，其特征在于，

在所述用户终端装置中，文件传送控制单元对所述便携终端装置进行访问请求，

在所述便携终端装置中，

文件管理单元应答来自所述文件传送控制单元的访问请求，执行对所述用户终端装置的认证，当认证成功时，为了将从所述文件传送控制单元传送来的所述机密文件存储在存储器中，请求向所述存储器的访问；

存储器访问控制单元应答向所述存储器的访问请求，仅在访问源是所述文件管理单元时，允许所述机密文件被存储在所述存储器中，其中，

所述存储器访问控制单元判定发出向存储有所述机密文件的存储器的访问请求的访问源是哪个访问源，当所述访问源不是所述文件管理单元时，禁止向所述机密文件的访问。

9.根据权利要求8所述的文件管理方法，其特征在于，

所述系统具有与所述便携终端装置连接、并包含远程删除控制单元的便携终端装置用服务器，该远程删除控制单元用于请求删除在所述便携终端装置的存储器中存储的所述机密文件，

所述文件管理单元应答来自所述远程删除控制单元的文件删除请求而删除存储在所述存储器中的所述机密文件，并向所述远程删除控制单元通知删除结束。

10.根据权利要求8所述的文件管理方法，其特征在于，

所述文件传送控制单元向所述文件管理单元发出传送请求，该传送请求用于将存储在所述便携终端装置的存储器中的所述机密文件传送到所述用户终端装置，

所述文件管理单元应答所述传送请求而从所述存储器取得所述机密文件，并将其发送给所述文件传送控制单元。

11.根据权利要求8-10中任意一项所述的文件管理方法，其特征在于，

所述用户终端装置还具有：

二次存储装置；

易失性存储器，其用于暂时存储数据；以及

二次存储装置控制单元，其控制针对所述二次存储装置的数据读出/写入，允许从所述二次存储装置读取数据，但是禁止向所述二次存储装置写入数据，其中，

所述二次存储装置控制单元具有以下功能：捕捉通过任意应用程序对所述二次存储装置的输入输出请求，在该输入输出请求为写入请求时，不在所述二次存储装置中存储写入数据，仅在所述易失性存储器中存储写入数据；在所述输入输出请求为读取请求时，通过将存储在所述易失性存储器的写入数据中的、与所述读取请求相对应的数据和存储在所述二次存储装置中的对应的数据的重叠的部分，覆盖存储在所述二次存储装置中的对应的数据，以得到覆盖后的数据，读取覆盖后的数据，

对在所述用户终端装置中生成的文件进行保存时，在不能利用通信的情况下，在所述便携终端装置中保管文件。

Images