CN104067285B - 安全数据容器和数据访问控制 - Google Patents

Abstract

各个实施例总体上涉及对以数字方式存储在一个或多个计算设备上的数据容器中的信息进行创建、共享和访问的各个方面。一种装置包括：处理器电路和贮存器，贮存器通信地耦合到处理器电路并且存储第一指令序列，第一指令序列在处理器电路上操作以进行下述操作：接收指示对存储在贮存器中且包括受保护的数据和第二指令序列的数据容器的访问的信号；以及运行第二指令序列，第二指令序列在处理器电路上操作以检查与所述装置相关联且存储在贮存器中的安全数据，以及基于检查来确定是否准许对受保护的数据的访问。本文也对其他实施例进行描述和保护。

Description

安全数据容器和数据访问控制

背景技术

随着越来越多的信息持续被存储为数字形式的数据，如何保护该信息、同时在需要该信息的情况下仍然使其可方便地得到的长期问题已显现出更大的重要性。越来越多地，用于申请贷款、工作、许可证和学校计划的处理需要以数字形式提供个人信息，尤其是随着以包括数据文件（例如，简历、成绩单的扫描副本、职称的扫描副本等等）的上载的方式在线填写申请变得常见。越来越多地，以数字形式在许多不同的地方存储关于个人和组织的财政、职业、医疗、市场、企业计划、技术和其他信息（例如，纳税申报单、诊断的记录、银行记录、工程记事本、商业秘密、会议记录，等等)。

尽管在尝试阻止信息的盗窃或误用方面已经颁布和/或更新了法律，但这样的方法往往能够完成的只不过是对在信息已经落入到错误的人手中之后所作的损害进行减轻。已经在许多年采用各种安全措施来解决这些顾虑，但随着更多信息被以数字方式存储，这些安全措施已经变得越来越难以实行。经由因特网和/或经由已实现愈来愈大的贮存器容量同时还采取愈来愈小的物理形状的固态贮存器设备传达以数字方式存储的信息已经完全地变得极其容易。此外，在只不过用口令以及经由电子邮件发送信息作为附件的情况下，越来越接受以经由因特网可访问的方式（例如，所谓的“在云中”的信息存储）将信息存储在远程位置处的服务器中。在这些情况下，口令的盗窃或偶然发布可能导致对许多这样的信息的未授权访问。

作为携带人们试图保持物理上受保护以免于访问的、他们可能在固态贮存器设备上需要的那样的信息的努力的结果，甚至以需要公共可访问的网络的使用的方式小心翼翼地避免存储或传达敏感性质的这样的信息的那些人也可能变为受害者。这样的固态贮存器设备中的单个被放错地方的一个贮存器设备可能导致相当多的信息发布。

附图说明

图1图示出计算设备间的交互的第一实施例。

图2图示出图1的实施例的一部分。

图3图示出图1的实施例的一部分。

图4图示出图1的实施例的一部分。

图5图示出图1的实施例的一部分。

图6图示出图1的实施例的交互的一部分。

图7图示出第一逻辑流程的实施例。

图8图示出第二逻辑流程的实施例。

图9图示出第三逻辑流程的实施例。

图10图示出第四逻辑流程的实施例。

图11图示出处理架构的实施例。

具体实施方式

各个实施例总体上涉及对在一个或多个计算设备上的数据容器中以数字方式存储的信息进行创建、共享和访问的各个方面。更具体地，定义了数据结构，其包括受保护的数据、控制且提供对受保护的数据的不同形式的访问的指令序列、以及可将公钥、设备ID和/或操作员ID包括在内的安全数据的组合。数据结构的这些特征使得能够取决于计算设备的标识、该计算设备的操作员的身份和由安全设备提供什么安全特征来对访问进行控制。

在数据容器内，受保护的数据本身被加密，使得用于控制对受保护的数据的访问的、被构建到数据容器的数据结构中的机制不能被绕过。一旦使用计算设备来尝试访问受保护的数据，那些机制就检验该计算设备的各种特征以确定数据容器是否为被授权的操作员所拥有和/或向对数据的访问施加什么限制。那些检验的结果导致进行关于是否以及通过什么限制将允许对数据的访问的确定。

对访问的限制可以包括：仅仅使用某些编辑和/或阅览软件来与受保护的数据进行交互，或为了防止复制数据或以其他方式损害数据而对被允许在处置受保护的数据时使用的计算设备的什么功能施加的限制（例如，创建打印出来的受保护的数据或获取受保护的数据的视觉呈现的屏幕捕捉）。对访问的限制也可以包括时间方面的限制（例如，访问的时间限制、截止日期等等）和/或情形限制（例如，对实现与时间服务器的通信所需的因特网的访问等等）。

在对访问受保护的数据进行限制以外，各个实施例可以进一步对共享和/或更新这样的数据容器和/或它们所包含的受保护的数据合并基于硬件的控制。确保由被授权的人对受保护的数据的访问的安全形式可能需要在每当许多计算设备中的两个或更多进入互相通信时以伺机方式出现的指定群组中的那些许多计算设备间循环地共享和同步数据容器的副本。

在一个实施例中，例如，一种装置包括：处理器电路；和贮存器，通信地耦合到处理器电路并且存储第一指令序列，第一指令序列在处理器电路上操作以进行下述操作：接收指示对存储在贮存器中且包括受保护的数据和第二指令序列的数据容器的访问的信号；以及运行第二指令序列，第二指令序列在处理器电路上操作以检查与所述装置相关联且存储在贮存器中的安全数据，并且基于检查来确定是否准许对受保护的数据的访问。在本文也对其他实施例进行描述和保护。

总体上参考在本文使用的表示法和命名法，可以就在计算机或计算机的网络上运行的程序规程而言呈现随后的具体实施方式的各部分。由本领域技术人员使用这些程序上的描述和再现以便最有效地向其他本领域技术人员表达他们的工作的本质。在这里并且通常地将规程设想为导致期望结果的自相和的操作序列。这些操作是需要物理量的物理操纵的那些操作。通常，但是不一定，这些量采取能够被存储、传递、组合、比较以及以其他方式被操纵的电信号、磁信号或光信号的形式。出于对通常使用的考虑，有时、大体上证明的是，将这些信号称为比特、值、单元、码元、字符、项、数字等等是便利的。然而，应当注意，所有这些和类似术语将与适当的物理量相关联并且仅仅是应用于那些量的便利的标注。

此外，这些操纵往往被明确地称为诸如添加或比较，其通常与由人工操作员执行的脑力操作相关联。然而，在形成为一个或多个实施例的一部分的本文描述的操作中的任何一个中，人工操作员没有这样的能力是必要的，或者大多数情况下是所希望的。更确切些，这些操作是机器操作。用于执行各个实施例的操作的有用的机器包括由根据在本文的教导编写的、存储在其中的计算机程序有选择地激活或配置的通用数字计算机，和/或包括为了所需的目的特别地构造的装置。各个实施例也涉及用于执行这些操作的装置或系统。可以为了所需的目的特别地构造这些装置，或者这些装置可以包括通用计算机。用于各种这些机器的所需结构将起于给定的描述。

现在参考附图，其中，贯穿本文，相同附图标记用于指相同要素。在以下描述中，为了解释，阐述很多特定细节以便提供对其彻底的理解。然而，可以明显的是，在没有这些特定细节的情况下能够实践新颖的实施例。在其他的实例中，以框图形式示出众所周知的结构和设备以便便利其描述。意图将覆盖权利要求的范围内的所有修改、等同物和替换。

图1图示出数据处理系统1000的框图，其包括在由公共操作员创建和编辑数据容器1300时所采用的计算设备100a和100b中的一个或两者以及在不同的其他操作员的控制下至少查看数据容器1300内的受保护的数据的计算设备300、500和700中的一个或多个。计算设备100a-b、300、500和700中的每一个可以是各种类型的计算设备中的任何一种类型，该各种类型的计算设备包括但不限于台式计算机系统、数据输入终端、膝上型计算机、上网本计算机、平板式计算机、超级本、手持个人数据助理、智能电话、数字式摄像机、移动设备、合并到衣服中的身体佩戴的计算设备、集成到车辆中的计算设备、服务器、服务器群集、服务器农场等等。

如所描绘的，计算设备100a-b、300、500和700通过网络999交换至少传达数据容器1300的副本的信号，尽管这些计算设备中的一个或多个可以交换完全与数据容器1300或其包含的受保护的数据无关的其他数据。在各个实施例中，网络999可以是可能限于在单个建筑或其他相对有限的区域内扩展的单个网络、可能扩展相当大距离的被连接的网络的组合，和/或可以包括因特网。因此，网络999可以基于可通过其交换信号的各种通信技术（或组合）中的任何一种，该各种通信技术包括但不限于采用电和/或光学传导的线缆的有线技术以及采用红外、射频或其他形式的无线传输的无线技术。

在各个实施例中，并且如将更详细地解释的，计算设备100a和100b被拥有、使用和/或以另外方式处于公共操作员的控制下。应当注意到，尽管事实是描绘了一个公共操作员的这些计算设备中的两个，但设想，该一个操作员可以具有在组中共同使用以使得能够便于对数据容器（例如，数据容器1300）进行访问的很多其他计算设备——只要该一个操作员具有具备它们的那个组的计算设备中的任何一个。描绘这些中的仅两个仅仅是为了简化描绘和讨论。计算设备100a-b（以及该组的其他计算设备）的该一个操作员已经创作或以其他方式拥有他们希望向某些其他人传达以用于特定目的的数据，并且因此，该一个操作员将该数据作为受保护的数据合并到数据容器1300中，并且向计算设备300、500和700的操作员发送数据容器1300。由那些操作员中的每一个是谁和计算设备300、500和700中的他们相应的那些计算设备的安全能力来限制那些其他操作员关于数据容器1300内的受保护的数据所能够做的事情。

尽管对计算设备300、500和700中的每一个的操作员能够访问或使用数据容器1300内的受保护的数据的方式施加各种限制，但是计算设备100a-b的各种安全特征参与它们自己间的协作以及与数据容器1300的安全特征的协作，以经由至少计算设备100a-b来实现对包含在其中的受保护的数据的自由得多的共享以及访问。在配置彼此通信的计算设备100a-b时采用各种安全措施。在计算设备100a-b通过网络999进行通信的情况下，可以采用加密、虚拟专用网络信道和/或其他技术来使得能够进行其间的保护被传达的无论什么信息的通信。替换地，计算设备100a-b可以在仅仅在单个公共操作员的控制下的通信当中保留需要针对完全地分离的网络（可能地，点到点链路）在其间传输数据容器1300的部分或全部的通信。

在各个实施例中，计算设备100a和100b中的每一个包括存储控制例程140和数据容器1300的贮存器160、处理器电路150、控制装置120、将计算设备100a-b耦合到网络999和/或另一个网络的接口190、以及控制器200。此外，计算设备100a和100b中的一个或两者包括显示器180和/或打印机170。计算设备100a-b中的每一个的控制器200包括存储控制例程240的贮存器260和处理器电路250。在运行控制例程240的指令序列时，使处理器电路250中的每一个操作接口190以进行如下两者：循环地尝试与属于与计算设备100a-b的操作员相关联的指定群组的其他计算设备进行通信，以及维持与这样的其他计算设备的通信。同样，在运行至少控制例程140的指令序列时，使处理器电路150监视控制装置120，以使得计算设备100a-b的操作员能够操作控制装置120以对处理器电路150用信号通知访问数据容器1300的命令。

如先前所提及的，计算设备100a-b被设想为全部处于一个操作员的控制下的较大群组的计算设备的一部分。在各个实施例中，通过利用在它们间将群组设备ID（同与该公共操作员相关联的操作员ID一起）创建和交换的那些计算设备中的每一个的安全特征来形成这样的群组，以使得那些计算设备中的每一个能够将其他计算设备识别为该群组的一部分。举例来说，计算设备100a已经是这样的群组的一部分，并且计算设备100a-b两者的操作员都期望将计算设备100b添加到该群组。计算设备100a的处理器电路250对控制装置120用信号通知提供群组设备ID的命令的操作进行响应，以通过向操作员提供这样的群组设备ID以用于人工输入到另一个计算设备中，来使得能够将另一个计算设备添加到群组。应当注意到，处理器电路250可以对于这样的信号直接地监视控制装置120，或者处理器电路150可以将这样的信号中继到处理器电路250。可以以包括可听地（利用人造语音讲出设备ID的字符）或经由显示器180可视地的多种方式中的任一种来执行向操作员提供群组设备ID。

对应地，计算设备100b的处理器电路250通过在计算设备100b的贮存器260内存储群组设备ID并且然后尝试联系计算设备100a以在其间建立安全通信，来对控制装置120用信号通知群组设备ID的人工输入的操作进行响应。应当注意到，在操作员操作计算设备100a的控制装置120以获取群组设备ID或操作计算设备100b的控制装置120以提供群组设备ID之前，需要操作员对这两个计算设备认证他们自己。因此，已经存储在这两个计算设备的贮存器260中的是与这两个计算设备的该公共操作员相关联的操作员ID。在联系计算设备100a以与其建立安全通信时，使计算设备100b的处理器电路250向计算设备100a呈现群组设备ID和操作员ID两者作为从计算设备100a获得对参与这样的安全通信的接受的一部分。一旦安全通信开始，计算设备100a的处理器电路250向计算设备100b传送群组的其他计算设备的群组设备ID，以供计算设备100b的处理器电路250存储在其贮存器260中，以使得计算设备100b能够识别同样属于该群组的又一些其他计算设备。

在稍后的时间处，操作员可能能够以两种方式之一从该群组移除计算设备100b。在该操作员仍然能访问计算设备100b的情况下，操作员操作计算设备100b的控制装置120以用信号通知其将其本身从群组移除的命令。计算设备100b的处理器电路250通过删除针对它本身和群组的其他计算设备而存储在贮存器260中的群组设备ID来对由计算设备100b对该信号的接收进行响应，从而移除其将它本身呈现为群组的成员或者识别群组的其他计算设备的能力。此外，处理器电路150可以通过擦除从群组的其他计算设备接收的数据（包括诸如数据容器1300之类的数据容器内所包含的数据）来对该信号的接收进行响应。替换地，在该操作员仍然不能访问计算设备100b的情况下（例如，在计算设备100b可能已经被放错地方或偷窃的情况下），操作员操作计算设备100a的控制装置120以命令其将计算设备100b作为群组的成员来移除。作为响应，计算设备100a的处理器电路250从贮存器260删除计算设备100b的群组设备ID，并且将信号中继到群组的其他计算设备以完成同样操作。尽管这可能未解决无论什么数据都已经被传达到计算设备100b的问题，但其的确用来防止计算设备100a和群组的其他计算设备向计算设备100b传送更多数据——如果这些计算设备中的任一个可能再一次与计算设备100b接触的话。

不管使计算设备100a-b成为公共群组（通过该公共群组使这两个计算设备100a-b参与它们的处理器电路250中的相应处理器电路所监视的安全通信）的成员的精确方式或精确规程如何，它们在该相同群组中的成员资格和在其间的安全通信的发生的事实都触发这两个计算设备的处理器电路150来协作以循环地比较数据容器1300的它们相应的副本以将它们同步。换句话说，响应于对容器1300的这些副本之一的内容进行的改变，由控制例程140的它们相应的副本来使处理器电路150循环地在这两个计算设备之间传送那些改变，以使得能够更新数据容器1300的这些副本中的其他副本的内容。

如先前讨论的，设想计算设备100a-b可以仅仅是群组中的很多计算设备中的两个。因而，设想这些很多计算设备的该公共操作员倾向于使这些计算设备中的至少一个随它们总是足以对在那些计算设备间维持和循环地同步的数据容器内的数据进行准备好的访问。这些计算设备中的一些可以提供相对完整的用户界面，使得操作员能够使用这样的用户界面访问这样的数据并与这样的数据进行交互。然而，还设想，这些计算设备中的其他计算设备可能缺乏这样的完整的用户界面，使得尽管这些其他计算设备可以承载数据容器并且参与同步处理以保持它们的内容最新，但这些其他计算设备没有准备被操作为实际地与该数据进行交互。代替地，设想缺乏这样的用户界面的这些其他计算设备主要地充当媒介物以在确实提供这样的完整的用户界面的又一些其他计算设备之间传达数据容器。因此，如在描绘计算设备100b的显示器180时采用的虚线所暗示的，可能是，计算设备100a提供足够的用户界面以使得操作员能够与数据容器1000内的数据进行交互（例如，查看和/或编辑该数据），同时可能是，计算设备100b缺乏足够的用户界面的显示器180和/或其他组件，使得计算设备100b更多地充当数据容器1300的载体而不是充当用于与其中的数据进行交互的工具。

在各个实施例中，在控制对数据容器1300内的数据的访问时采用公钥和私钥的集合的系统。至少在尝试访问数据容器1300内的数据时的时间处，在数据容器1300内的是公钥和尝试将该公钥与由不同计算设备承载的私钥进行匹配的可执行指令序列。在计算设备100a-b的情况下，这样的私钥被存储在每一个的贮存器260中，其中处理器电路250中的对应的处理器电路能够检索它们并且使它们直接地或通过使用它们生成签名而可用于这样的比较。应当注意，并且如将更详细地讨论的，密钥的这样的使用用于认证由计算设备提供的安全级别的目的，并非必要地认证特定计算设备或与计算设备相关联的特定人的标识。还应当注意，尽管在本文相当详细地讨论了公钥和私钥的使用来作为认证机制，但除公钥和/或私钥的使用之外或者代替公钥和/或私钥的使用，可以使用其他认证机制。

在各个实施例中，为了在计算设备和/或与它们相关联的人之间进行区分，可以在使用标识特定计算设备的设备ID和/或标识与那些计算设备相关联的特定人的操作员ID的情况下加强密钥的这样的使用。因此，在数据容器1300内的也可以是设备ID和/或操作员ID（除公钥之外）和尝试将一个或两者与由不同计算设备承载的对应的那些进行匹配的可执行指令序列。假定计算设备100a-b（和可能处于这两者都属于的群组中的无论哪些其他计算设备）的操作员是作为在其内创作数据的一部分而创建数据容器1300的人，那么，存储在计算设备100a-b中的每一个的贮存器260内的私钥、操作员ID和/或设备ID将大概与维持在容器1300内的那些匹配。因此，如果计算设备100a-b的操作员会操作计算设备100a的控制装置120来访问数据容器1300内的数据，例如，操作员大概会具有如他们想针对该数据所做的无限制的访问。如将更详细地解释的，可以采用诸如比较密钥、操作员ID和/或设备ID之类的安全措施以及其他安全规定作为对被保持为数据容器的一部分的安全策略的输入，以使得能够自动确定对数据的访问是否将被准许和/或在什么限制下被准许。

在各个实施例中，计算设备300具有计算设备100a和100b中的每一个的许多安全特征，但处于不同的操作员的控制下。因此，计算设备300包括存储控制例程340的贮存器360、处理器电路350、控制装置320、显示器380、打印机370、将计算设备300耦合到网络999和/或另一个网络的接口390、以及控制器400。控制器400包括存储控制例程440的贮存器460和处理器电路450。在运行控制例程440的指令序列时，使处理器电路450准备好响应于下述询问来提供私钥、与计算设备300的操作员相关联的操作员ID和/或与计算设备300相关联的设备ID：使得该询问响应于计算设备300的操作员尝试访问各个数据容器中的数据而出现。

如利用贮存器360内的虚线所描绘的，计算设备300可以可能经由网络999接收数据容器1300。可能是，计算设备100a-b的操作员在创作数据容器1300内的数据之后已经向计算设备300的操作员发送数据容器1300以至少查看其内的数据。响应于计算设备300的操作员访问数据容器1300，数据容器1300的可执行指令序列使处理器电路350搜寻私钥、操作员ID和设备ID中的一个或多个，并且由控制例程440使处理器电路450通过从贮存器460提供这些中的一个或多个来进行协作。假定计算设备300具有与计算设备100a-b中的任何一个十分相同的安全特征，那么维持在贮存器460中的私钥大概与维持在数据容器1300中的公钥相匹配，从而验证计算设备300针对将被遵从的各个安全策略提供在一定程度上可信赖的环境。

应当注意到，可以给计算设备100a-b和300的厂商提供私钥来伴随控制器200和400，以响应于被使得由数据容器的可执行代码作出的询问来确立可信赖的环境被提供，该可信赖的环境包括在计算设备300内创建确保由那些数据容器内的策略数据规定的各个安全策略不会被违反的环境的基于硬件的安全特征（例如，由控制器200和400提供的各个安全功能）。举例来说，由数据容器内的策略数据规定的访问策略可以包括禁止在计算设备的打印机（例如，打印机370）上打印该数据容器内的数据，并且由控制器400提供的安全特征可以包括自动地调解以防止计算设备300的操作员作出的使用打印机370进行此动作的任何尝试。作为另一个示例，由数据容器内的策略数据规定的访问策略可以包括下述需求：在计算设备300的操作员不再出现在计算设备300处使得其他人可能能够查看其时的时间处，采用各种技术以确保容器内的数据不继续被显示在显示器380上；并且，由控制器400提供的安全特征可以包括：持续地监视控制装置320例如那些控制装置处的持续比指定时间量更长的活动的缺乏，以便假定计算设备300的操作员不再出现，从而使控制器400锁定计算设备300，直到其操作员返回并将其解锁为止。设想，以充分地受限以使得控制器200和400与由可能由处理器电路150和350运行以击败由控制器200和400提供的安全功能的恶意软件作出的尝试在很大程度上隔离的的方式，控制器200和400分别对处理器电路150和350来说可访问。因此，提供与由数据容器1300维持的公钥匹配的私钥的事实因此可以确认这样的隔离组件的存在，并且在确定可以允许对数据容器1300内的数据的某程度的更多访问时可以由数据容器1300的可执行代码采用这一点作为因素。

然而，尽管可以响应于被使得由处理器电路350在执行验证较高级别的安全性的提供的数据容器1300的代码时作出的询问来提供私钥，但计算设备300是与计算设备100a-b中的任何一个不同的计算设备的事实和计算设备300由不同人操作的事实导致响应于这样的询问不匹配于会从计算设备100a-b中的任何一个预期的那些而提供的任何操作员ID和设备ID。因此，到能够编辑和/或打印容器内的数据的程度对容器内的数据的访问可能不被准许。然而，假定计算设备100a-b的操作员选择向计算机设备300的操作员发送数据容器1300，那么由处理器电路450响应于这样的询问而提供的操作员ID会大概揭示：计算设备300的操作员是数据容器1300的预期接收者且因此应当被准许某程度的访问。

应当注意到，已经由计算设备100a-b的操作员在创建和/或编辑数据容器1300和其内的数据时选择了数据容器1300的安全策略。因此，假定计算设备100a-b的操作员打算向计算设备300的操作员提供数据容器1300，那么计算设备100a-b的操作员已经将数据容器1300的安全策略设定为容许计算设备300的操作员在由与计算设备300的操作员相关联的操作员ID的提供或由与计算设备300相关联的设备ID的提供触发时能访问它本身内的数据。此外，应当注意，操作员ID可以与属于诸如家庭、企业或其他组织之类的人群组的所有个人相关联。这将使得数据容器的创作者能够在不必指定用于每个人的操作员ID的情况下指定其中对于该家庭、该企业或该其他类型的组织的人将准许访问的访问策略。

在各个实施例中，能够在图1中看出，计算设备500缺乏计算设备100a-b和300中的每一个的至少一些安全特征。更具体地，计算设备500包括存储控制例程540的贮存器560、处理器电路550、控制装置520、显示器580、打印机570、以及将计算设备500耦合到网络999和/或另一个网络的接口590。然而，计算设备500不包括诸如计算设备100a-b或300相应的控制器200或400之类的控制器。在运行控制例程540的指令序列时，使处理器电路550（且不是控制器的单独的处理器电路）准备好响应于被使得响应于计算设备500的操作员试图访问各个数据容器中的数据而出现的询问来提供私钥、与计算设备500的操作员相关联的操作员ID和/或与计算设备500相关联的设备ID。

假定伴随着缺乏提供基于硬件的安全特征的这样的单独硬件控制器而缺乏基于硬件的安全特征，处理器电路550准备好提供的私钥可以是指示安全特征的更少提供的私钥，并且可能是，数据容器1300包括计算设备500的私钥将匹配于的另一个公钥，从而验证某程度的但未达到与计算设备100a-b或300相同的程度的安全特征的提供。举例来说，可以通过运行控制例程540使处理器电路550提供基于软件的安全环境（例如，某种形式的虚拟环境），其中嵌入在数据容器1300中的代码的运行将出现在受控条件下，其会提供抵抗以使得能够损害数据容器1300内的数据的方式干预的恶意软件的某种程度的保护。然而，计算设备300的控制例程340和440可能能够分别使处理器电路350和450协作以提供这样的环境，其中由处理器电路350执行嵌入在数据容器1300中的代码，处理器电路450监督此类运行，从而准备以进行调解以便阻挡也可能由处理器电路350运行的其他软件向该环境中的入侵。因此，尽管计算设备300和500两者都可以提供安全环境，但计算设备300的基于硬件的安全特征可以在更大程度上提供该类型的安全性。

取决于由计算设备100a-b的操作员作出的访问策略选择，可以由数据容器1300的可执行代码在确定对其内的数据的访问的程度时采用指示较低级别的安全性的私钥的提供作为因素。举例来说，被准许的访问可能需要仅仅允许使用嵌入在容器1300内的阅览软件来查看数据，而不是允许计算设备500的操作员使用存在于贮存器560中的其他阅览软件。假定计算设备100a-b的操作员选择向计算设备500的操作员发送数据容器，那么由处理器电路550提供且与计算设备500的操作员相关联的操作员ID大概将导致准许对贮存器容器1300内的数据的访问。

在各个实施例中，如同计算设备500，计算设备700类似地缺乏计算设备100a-b和300中的每一个的基于硬件的安全特征。更具体地，计算设备700包括存储控制例程740的贮存器760、处理器电路750、控制装置720、显示器780、打印机770、以及将计算设备700耦合到网络999和/或另一个网络的接口790。在运行控制例程740的指令序列时，使处理器电路750准备好响应于下述询问来提供与计算设备700的操作员相关联的操作员ID和/或与计算设备700相关联的设备ID：使得该询问响应于计算设备700的操作员试图访问各个数据容器中的数据而出现。然而，与计算设备500不同，控制例程740不使处理器电路750准备好响应于对于一个的询问来提供私钥。这反映了控制例程740不使处理器电路750提供用于运行嵌入在容器1300内的代码的基于软件的安全环境。

假定计算设备100a-b的操作员选择向计算设备700的操作员提供数据容器1300，那么与计算设备700的操作员相关联的操作员ID的提供可能足以使对数据容器1300内的数据的访问被准许，但是，可以由被计算设备100a-b的操作员选择为非常受限的的访问策略来指定访问。举例来说，可以使得可能仅仅可访问数据容器1300内的数据的子集，并且该访问可以是查看访问的非常受限的形式——其中在任何给定时间处甚至示出可访问的数据的可能仅小部分以努力使该数据的打印更耗时以便阻止它。作为另一个示例，可以以某种方式在时间方面限制对数据容器1300内的数据的访问。可能是，可以利用使用计算设备700访问数据的第一时机来触发指定天数的倒计数（或者，可能地，在数据容器1300被首次存储在计算设备700内之后的指定天数），以便数据容器1300在该天数已经结束之后拒绝甚至再次提供这样的访问。或者，可能是，访问数据的能力被设定为一旦到达由计算设备100a-b的操作员选择的日期就期满。

在各个实施例中，处理器电路150、250、350、450、550和750中的每一个可以包括各式各样的市场上可买到的处理器中的任何一个，其包括但不限于：AMD® Athlon®、Duron®或Opteron®处理器；ARM®应用、嵌入式或安全处理器；IBM®和/或Motorola®DragonBall®或PowerPC®处理器；IBM和/或Sony® Cell处理器；或Intel® Celeron®、Core (2) Duo®、Core (2) Quad®、Core i3®、Core i5®、Core i7®、Atom®、Itanium®、Pentium®、Xeon®或XScale®处理器。此外，这些处理器电路中的一个或多个可以包括多核处理器（无论多核共存于相同的或分离的管芯上）和/或通过其多个物理上分离的处于某链接的路线中的一些其他种类的多处理器架构。

在各个实施例中，贮存器160、260、360、460、560和760中的每一个可以基于各式各样的信息存储技术中的任何一项，其可能地包括需要电功率的连续的提供的易失性技术，并且可能地包括需要可以或可以不是可移除的机器可读存储介质的使用的技术。因此，这些贮存器中的每一个可以包括各式各样的类型（或类型的组合）的贮存器设备中的任何一个，其包括但不限于只读存储器（ROM）、随机存取存储器（RAM）、动态RAM（DRAM）、双数据速率DRAM（DDR-DRAM）、同步DRAM（SDRAM）、静态RAM（SRAM）、可编程ROM（PROM）、可擦除可编程ROM（EPROM）、电可擦除可编程ROM（EEPROM）、闪速存储器、聚合体存储器（例如，铁电聚合体存储器）、奥氏存储器、相变或铁电存储器、硅氧化氮氧化硅（SONOS）存储器、磁卡或光卡、一个或多个个体铁磁盘驱动器、或被组织成一个或多个阵列的多个贮存器设备（例如，被组织成独立磁盘阵列的冗余阵列或RAID阵列的多个强磁性磁盘驱动器）。应当注意到，尽管这些贮存器中的每一个被描绘为单个块，但这些中的一个或多个可以包括可能基于不同存储技术的多个贮存器设备。因此，例如，这些描绘的贮存器中的每一个中的一个或多个可以表示以下各项的组合：通过其程序和/或数据可以被存储在某种形式的机器可读存储介质上且在其上被传达的光驱或闪存卡阅读器、用于在相对扩展的时段本地地存储程序和/或数据的铁磁盘驱动器，和使得能够对程序和/或数据进行相对快速存取的一个或多个易失性固态存储器设备（例如，SRAM或DRAM）。也应注意，这些贮存器中的每一个可以由基于相同的存储技术的多个存储部件组成，但是其可以由于专门的使用而被分开地维护（例如，某些DRAM设备被用作主存储器，而其他DRAM设备被用作图形控制器的不同的帧缓冲器）。此外，贮存器160可以至少部分地基于经由网络可访问的远程贮存器（例如，网络附着存储（NAS）设备、维持贮存器160的更本地部分的内容的备份副本的网络可访问的服务器，等等）。

在各个实施例中，接口190、390、590和790中的每一个采用如已经描述的使得计算设备100a-b、300、500和700中的每一个能够通过网络999被耦合的各式各样的信令技术中的任何一个。这些接口中的每一个包括提供使得能够进行这样的耦合的至少一些必需功能的电路。然而，也可以至少利用由处理器电路150、350、550和750中的对应的处理器电路所运行的（例如，用于实施协议栈或其他特征的）指令序列来部分地实施这些接口中的每一个。在网络999的一个或多个部分采用电和/或光学传导线缆的情况下，接口190、390、590和790中的对应的接口可以采用符合各种行业标准中的任何一个的信令和/或协议，其包括但不限于RS-232C、RS-422、USB、以太网（IEEE-802.3）或IEEE-1394。替换地或另外地，在网络999的一个或多个部分需要无线电信号传输的使用的情况下，接口190、390、590和790中的对应的接口可以采用符合各种行业标准中的任何一个的信令和/或协议，其包括但不限于IEEE 802.11a、802.11b、802.11g、802.16、802.20（通常被称为“移动宽带无线访问”）；蓝牙；ZigBee；或诸如利用通用分组无线电服务的GSM（GSM／GPRS）之类的蜂窝无线电话服务、CDMA/1x RTT、用于全球演进的增强数据速率（EDGE）、仅演进数据／优化（EV-DO）、数据和语音的演进（EV-DV）、高速下行链路分组接入（HSDPA）、高速上行链路分组接入（HSUPA）、4GLTE等等。应当注意到，尽管接口190、390和590中的每一个被描绘为单个块，但这些中的一个或多个可以包括可能基于不同的信令技术的多个接口。这可以尤其是这些接口中的一个或多个将计算设备100a-b、300、500和700中的对应的计算设备耦合到每个采用不同的通信技术的多于一个网络的情况。

在各个实施例中，控制装置120、320、520和720中的每一个可以包括各种类型的手动操作的控制装置中的任何一个，其包括但不限于手柄、摇杆、按钮或其他类型的开关；旋转的、滑动或其他类型的可变控制装置；接触式传感器、接近传感器、热传感器或生物传感器，等等。这些控制装置中的每一个可以包括在包装计算设备100a-b、300、500和700中的对应的计算设备时布置的手动操作的控制装置，和/或可以包括在这些计算设备的对应的计算设备的物理上分离的组件（例如，经由红外信令耦合到其他组件的远程控制装置）的分离的包装上布置的手动操作的控制装置。替换地或另外地，这些控制装置中的每一个可以包括各种非触觉用户输入组件中的任何一个，其包括但不限于：可通过其检测声音以使得能够识别口头命令的麦克风；可通过其识别脸或面部表情的摄像机；可通过其检测移动的方向、速度、力、加速度和/或其他特征以使得能够识别手势的加速度计；等等。

在各个实施例中，显示器180、380、580和780中的每一个可以基于各种显示技术中的任何一种，其包括但不限于：将触敏、颜色包括在内的液晶显示器（LCD），和薄膜晶体管（TFT）LCD；等离子体显示器；发光二极管（LED）显示器；有机发光二极管（OLED）显示器；阴极射线管（CRT）显示器，等等。这些显示器中的每一个可以被布置在计算设备100a-b、300、500和700中的对应计算设备的包装上，或可以被布置在这些计算设备中的对应计算设备的物理上分离的组件（例如，经由线缆耦合到其他组件的平板监视器）的分离的包装上。

图2、3、4和5联合在一起图示出被更详细地描绘的图1的框图的各部分的框图。更具体地，描绘了计算设备100a-b、300、500和700的操作环境的各方面，其中，通过相应的控制例程140、240、340、440、540和740的运行使处理器电路150、250、350、450、550和750（图1）中的对应的处理器电路执行前述功能。本领域技术人员将认识到，包括每个被组成的组件的控制例程140、240、340、440、540和740中的每一个被选择为在无论哪种类型的一个或多个处理器（该一个或多个处理器被选择以实施处理器电路150、250、350、450、550和750中的每一个）上操作。

同样，图2-5中的每一个更详细地描绘数据容器1300的内容的各方面。具体地，数据容器1300包括受保护的数据1330、ID数据1331、策略数据1335、公钥1336、元数据1339、编辑器组件1342、策略组件1345和阅览器组件1348。创建数据容器1300来保护并且控制对其的访问的是受保护的数据1330。元数据1339提供受保护的数据1330的简略描述或受保护的数据1330的方面（例如，其创作者的名称、受保护的数据1330所相关的主体，等等）。

在各个实施例中，控制例程140、240、340、440、540和740中的一个或多个可以包括操作系统、设备驱动器和/或应用水平的例程（例如，在磁盘介质上提供的所谓的“软件套”、从远程服务器获得的“小程序”）的组合。在操作系统被包括的情况下，操作系统是适合于处理器电路150、250、350、450、550和750中的无论哪个对应的处理器电路的各种可得到的操作系统中的任何一个，其包括但不限于Windows™、OS X™、Linux®、或者Android OS™。在一个或多个设备驱动器被包括的情况下，那些设备驱动器可以提供对于包括计算设备100a-b、300、500和700中的一个或多个的、无论硬件或软件组件的各种其他组件中的任何一个的支持。

控制例程140、340、540和740中的每一个包括分别地可由处理器电路150、350、550和750中的对应的处理器电路执行的通信组件149、349、549和749以操作接口190、390、590和790中的对应的接口以如已经描述的经由网络999来发射和接收信令。本领域技术人员将认识到，通信组件149、349、549和749中的每一个被选择为利用被选择为实施接口190、390、590和790中的每一个的无论哪种类型的接口技术来进行操作。

控制例程140、340、540和740中的每一个包括分别地可由处理器电路150、350、550和750中的对应的处理器电路执行的编辑器组件142、342、542和742，以采用控制装置120、320、520和720并且利用显示器180、380、580和780以使得计算设备100a-b、300、500和700的操作员能够创作并且编辑将合并到数据容器中的数据（如本文所讨论的那样，受到访问限制）包括在内的数据。因此，计算设备100a和100b的操作员可能已经通过使用控制装置120和显示器180、使用编辑器组件142创建了数据容器1300和其内的受保护的数据1330。此外，在创建数据容器1300时，计算设备100a-b也可能已经使用编辑器组件142来创建策略数据1335，该策略数据1335指定在各种指定情况下对一个或多个特定人（或人的群组）准许的不同程度的对受保护的数据1330的访问。

控制例程140、340、540和740中的每一个包括分别地可由处理电路150、350、550和750中的对应的处理电路执行的阅览器组件148、348、548和748，以采用控制装置120、320、520和720并且利用显示器180、380、580和780以使得计算设备100a-b、300、500和700的操作员能够查看将合并到数据容器中的数据（再一次，如本文所讨论的那样，受到访问限制）包括在内的数据。因此，在计算设备100a-b的操作员准许对另一个人（或人的群组）的包括使用他们的选择的阅览软件的访问的情况下，可以在策略数据1335中容许该另一个人采用他们的计算设备的阅览器组件来查看1330。替换地，计算设备100a-b的操作员可以要求其他人仅仅使用特定阅览器组件来查看受保护的数据1330。

更具体地转向图2和3，控制器200和400的控制例程240和440中的每一个包括可分别地由处理器电路250和450中的对应的处理器电路执行的群组组件249和449，以在计算设备100a-b和/或300中的一个或多个可能属于的计算设备的群组中确立并维持成员资格和安全性。由群组组件249和449使处理器电路250和450针对例如那些控制装置用信号通知提供设备ID的命令的输入或用于扩展群组的由另一个计算设备提供的设备ID的输入或从群组移除计算设备的命令的输入的操作来分别地监视控制装置120和320。

返回到将计算设备100b添加到包括计算设备100a的群组的较早地呈现的示例，响应于控制装置120用信号通知提供群组设备ID（利用该群组设备ID来添加另一个计算设备（例如，计算设备100b））的命令的操作，计算设备100a的处理器电路250生成并提供将被人工地输入到另一个计算设备（例如，计算设备100b）中的群组设备ID。再一次，群组设备ID的这样的提供可能需要将其显示在显示器180上以供操作员读取。然后，响应于控制装置120用信号通知群组设备ID的输入的操作，计算设备100b的处理器电路250将所输入的群组设备ID作为群组设备ID 231存储在计算设备100b的贮存器260中。此外，同样响应于群组设备ID的输入，计算设备100b的处理器电路150和250中的一个或两者操作接口190以联系计算设备100a以在其间建立安全通信。应当注意到，在操作员操作计算设备100a和100b的控制装置120以获取并且然后输入群组设备ID之前，需要操作员向这两个计算设备认证他们自己，并且与该操作员相关联的操作员ID 233被存储在这两个计算设备的贮存器260中。应当注意到，尽管对于计算设备100a和100b中的每一个，群组设备ID 231是不同的且唯一的，但操作员ID 233是相同的。在联系计算设备100a以与此建立安全通信时，使计算设备100b的处理器电路250向计算设备100a呈现其的群组设备ID 231和操作员ID 233两者来作为从计算设备100a获得对参与这样的安全通信的接受的一部分。一旦安全通信开始，使计算设备100a的处理器电路250操作其相应的接口190，以向计算设备100b传送群组的其他计算设备的群组设备ID，以用于计算设备100b的处理器电路250存储在其贮存器260中，以使得计算设备100b能够识别同样属于该群组的又一些其他计算设备。

在稍后的时间处，在操作员选择从该群组移除计算设备100b的情况下，操作员可以操作计算设备100b的控制装置120以用信号通知其将其本身从群组移除的命令。响应于信号，计算设备100b的处理器电路250将其自己的群组设备ID 231与为群组的其他计算设备而存储在贮存器260中的任何群组设备ID一起删除，从而移除其将它本身呈现为群组的成员或者识别群组的其他计算设备的能力。此外，处理器电路150可以通过擦除从群组的其他计算设备接收的数据（包括诸如数据容器1300的受保护的数据1330之类的在数据容器内包含的数据）来对该相同的信号的接收进行响应。替换地，在操作员仍然不能访问计算设备100b的情况下，操作员可以操作计算设备100a的控制装置120以命令其将计算设备100b作为群组的成员来移除。作为响应，计算设备100a的处理器电路250从贮存器260中删除计算设备100b的群组设备ID，并且将信号中继到完成同样的群组的其他计算设备，由此防止计算设备100a和群组的其他计算设备中的任何一个将计算设备100b识别为群组的成员。应当注意到，尽管详细呈现出从群组移除计算设备的这两个特定机制，但除这些具体地详述的机制中的一个或两者之外或者代替其，也可以采用完成此的其他机制。

在计算设备100a和100b是相同的群组的成员以使得他们彼此参与安全通信时，这两个计算设备的处理器电路150协作以循环地比较存储在贮存器160中的数据容器1300的它们的相应的副本以将它们同步，使得对于这些副本中的一个发生的任何改变将被反映在其他副本中。

控制器200和400的控制例程240和440中的每一个包括分别地可由处理器电路250和450中的对应的处理器电路执行的环境组件245和445，以使每个分别地与处理器电路150和350协作以提供虚拟环境155和355。在虚拟环境155和355中的每一个中，在处理器电路250和450协助保护这些虚拟环境的情况下，可以分别地由处理器电路150和350运行嵌入在数据容器中的可执行代码。具体地，处理器电路250和450可以拦截由可能导致由嵌入在数据容器中的策略数据规定的访问策略的违反的、其他软件所引起的尝试的动作（例如，尝试执行所显示的数据的屏幕捕捉，或打印出数据）。此外，处理器电路250和450可以强制执行由数据容器指定的各种安全性要求，诸如监视与操作员出现在计算设备附近相关联的活动（例如其中自这样的活动（例如，操作控制装置120或320）最后被检测到起所选择的时间段已经流逝），并且可以使处理器电路250和450通过分别地锁定计算设备100a-b和300直到它们的操作员返回并且将它们解锁为止来进行响应。

转向图4，控制例程540包括可由处理器电路550执行的用于提供虚拟环境555的环境组件545，其中可以在由处理器电路550提供的安全特征的好处的情况下由处理器电路550运行嵌入在数据容器中的可执行代码。具体地，处理器电路550可以拦截可能导致由嵌入在数据容器中的策略数据所规定的访问策略的违反的、由其他软件所引起的尝试的动作，并且可以强制执行由策略数据指定的各种安全性要求。然而，与其中分离的处理器电路250和450分别地在数据容器代码的运行与环境组件的运行之间提供某程度的基于硬件的隔离的虚拟环境155和355不同，由处理器电路550执行以下两者：其中数据容器代码被运行的虚拟环境555的提供和安全特征的提供。尽管这仍然导致与在不提供这样的虚拟环境的情况下会存在的安全环境相比的更安全的环境，但这导致运行嵌入在数据容器中的代码的多少较不安全的环境。

返回到图2-5中的每一个中的数据容器1300的内容的描绘，如已经讨论的，数据容器1300以在处理器电路150、350、550和750上操作的指令序列的形式来合并可执行代码。此外，数据容器1300可以合并在这些处理器电路中的不同的处理器电路上可执行的指令序列的不同的版本，以解决这些处理器电路中的一个或多个具有非常不同于其他处理器电路的指令集合的可能性，以使得能够在它们所有上操作单个指令序列。

策略组件1345包括一旦计算设备100a-b、300、500和700的操作员尝试访问数据容器1300内的受保护的数据1330就使处理器电路150、350、550和750运行的一个或多个可执行指令序列。是策略组件使这些处理器电路执行它们的相应的计算设备的各个方面的询问来作为确定计算设备和/或操作员身份和确定存在什么安全性规定的一部分。更具体地，策略组件1345请求包括且不限于操作员和/或设备ID、指配给计算设备的私钥和计算设备安全特征的指示的一则或多则安全数据。策略组件然后在确定是否将对数据1300准许访问以及（如果准许）访问将被由计算设备100a-b的操作员创作的、在策略数据1335中指定的访问策略限制到何种程度时，采用对这些询问的响应。

编辑器组件1342包括在处理器电路150、350、550和750中的一个或多个上操作的一个或多个可执行指令序列以充当由计算设备的操作员（该计算设备的操作员已经在包括被允许编辑受保护的数据1330的程度上被准许对受保护的数据1330的访问）所使用的编辑软件。阅览器组件1348包括在处理器电路150、350、550和750中的一个或多个上操作的一个或多个可执行指令序列以充当由计算设备的操作员（该计算设备的操作员已经在包括被允许查看受保护的数据1330但或许不能编辑受保护的数据1330的程度上被准许对受保护的数据1330的访问）所使用的阅览器软件。

暂时地转向图2，计算设备100a-b的控制装置120访问数据容器1300的受保护的数据1330的操作导致处理器电路150运行策略组件1345，使处理器电路150对将计算设备100a的操作员ID、设备ID、私钥和安全特征的指示中的一个或多个包括在内的安全数据进行请求。可以由在策略数据1335中指定的访问策略来规定精确地请求什么。例如，如果策略数据1335指定对受保护的数据1330的访问是依用户的身份而定的，那么对操作员ID进行请求。替换地，如果策略数据1335指定只能通过使用特定计算设备来具有对受保护的数据1330的访问，那么对设备ID进行请求。控制器200的处理器电路250根据什么被请求，通过提供设备ID 232、操作员ID 233、私钥235和功能数据238中的一个或多个来响应对于安全数据的请求。策略组件1345然后将操作员ID 233和/或设备ID 232与标识被授权的操作员ID和/或设备ID的ID数据1331相比较，并且确定私钥235是否与公钥1336相匹配。

假定由计算设备100a的操作员创作了受保护的数据1330和数据容器1300，并且假定请求包括对于操作员ID的请求，那么与该操作员相关联的操作员ID 233的提供大概会导致该操作员被准许包括编辑访问的相对不受限制的访问。此外，包括能够提供各种基于硬件的安全特征的控制器200的提供的、由计算设备100a验证较高级别的的安全性的提供的私钥235的提供可以使策略组件1345（如被策略数据1335指导）来准许更彻底的不受限制的访问，使得可以允许操作员具有对策略数据1335的编辑访问，或可以允许操作员与被要求使用编辑器组件1342形成对比使用编辑器组件142（其可以是操作员优选的编辑器）来编辑受保护的数据1330。验证较高级别的安全性的提供的私钥235的提供也可以导致策略组件1345信任操作员ID 233的准确性以及由功能数据238提供的安全特征的无论哪些指示，这是因为它们由与计算设备100a中的其余的在至少一些程度隔离的处理器电路250来维持和提供，如先前已经讨论的。在没有提供私钥235的情况下，或在提供验证仅仅较低级别的安全性的提供的私钥235的不同的变量的情况下，通过在策略数据1335中指定的访问策略使策略组件1345要求口令或证明的确是计算设备100a-b的操作员在尝试访问受保护的数据1330的其他证据的输入。

暂时地转向图3，计算设备300的控制装置320访问数据容器1300的受保护的数据1330的操作导致处理器电路350运行策略组件1345，使处理器电路350对将计算设备300的操作员ID、设备ID、私钥和安全特征的指示中的一个或多个包括在内的安全数据进行请求。控制器400的处理器电路450根据什么被请求、通过提供设备ID 432、操作员ID 433、私钥435和功能数据438中的一个或多个来响应请求。策略组件1345然后将操作员ID 433和/或设备ID 432与ID数据1331相比较，并且确定私钥435是否与公钥1336相匹配。

如先前讨论的，计算设备300提供与计算设备100a和100b的安全性可比较的较高级别的安全性（包括提供用于提供各种基于硬件的安全特征的控制器400），并且通过被确定为匹配于公钥1336的私钥435来验证这一点。结果，并且取决于在策略数据1335中指定的访问策略，策略组件1345可以将由操作员ID 433指定的计算设备300的操作员的身份视为足够可信任以对其信赖以及可以认为计算设备300被指示为在功能数据438中具有什么安全特征。

假定计算设备100a-b的操作员选择向计算设备300的操作员提供对受保护的数据1330的子集的某程度的编辑访问，那么提供较高级别的的安全性的事实可以导致策略组件容许计算设备300的操作员使用计算设备300的编辑器组件342而非要求使用编辑器组件1342来编辑该子集。这可以部分地由于控制器400强制执行在策略数据1335中指定的策略的能力，在该策略中，通过使用受保护的数据1330的支持虚拟环境355的提供的角色而不允许受保护的数据1330的打印，以调解和防止打印受保护的数据1330的尝试。其他基于硬件的安全特征可以包括总线和/或无线链路的使用，该总线和/或无线链路合并协议来维持对发送到经由那些总线和/或无线链路（例如，至显示器的高清晰度多媒体接口（HDMI）有线连接，或者至显示器的无线显示（WiDi）无线链路）耦合到计算设备300的设备的数据完成什么的控制。可以在策略数据1335中指定又一些其他硬件相关的限制，诸如针对在完全经由网络耦合的网络附着存储或其他辅助存储中存储数据容器1300的所有的一部分的限制，或者除非基于硬件的安全特征包括在这样的远程存储中存储的数据容器1300的无论哪个部分的加密。如果计算设备300没有合并控制器400使得不存在强制执行这样的安全策略的这样的基于硬件的能力，那么策略组件1345可能已经要求计算设备300的操作员使用编辑器组件1342。

暂时地转向图4，计算设备500的控制装置520访问数据容器1300的受保护的数据1330的操作导致处理器电路550运行策略组件1345，使处理器电路550对将计算设备500的操作员ID、设备ID、私钥和安全特征的指示中的一个或多个包括在内的安全数据进行请求。假定计算设备500没有将控制器与隔离的处理器电路合并，那么处理器电路550本身根据什么被请求，通过提供设备ID 532、操作员ID 533、私钥535和功能数据538中的一个或多个来响应请求。策略组件1345然后将操作员ID 533和/或设备ID 532与ID数据1331相比较，并且确定私钥535是否与公钥1336相匹配。

如先前讨论的，计算设备500没有提供与由计算设备100a-b和300提供的安全性同样高级别的安全性。然而，如先前讨论的，环境组件545的确提供可以适当地以某种程度的保护来运行数据容器1300的指令序列的虚拟环境555。如果数据容器1300包括私钥535所匹配的对应的公钥，可以通过私钥535的提供来指示该较低级别的安全性。可能已经利用环境组件545来提供或可能地由环境组件545来生成私钥535作为提供对其提供虚拟环境555的能力的验证的机制。取决于在策略数据1335中指定的访问策略，可以以与在计算设备300中提供的较高级别的的安全性相同的程度认为对该较低程度的安全性的提供的验证是可接受的，使得对计算设备500的操作员准许类似的访问（假定计算设备100a-b的操作员在类似于向计算设备300的操作员提供的编辑访问的编辑访问的情况下向计算设备500的操作员提供数据容器1300）。

替换地，在策略数据1335中指定的访问策略可以与计算设备300的操作员比较对计算设备500的操作员编辑受保护的数据1330施加更多的限制。举例来说，策略组件1345可以要求：响应于在其期间就操作员而言没有检测到活动的指定时间段的过去使得假定操作员不再在计算设备500附近，仅仅使用嵌入在数据容器1300内的编辑器组件1342来执行编辑，以对可能在编辑期间采取的动作维持严格的控制，或许更直接地实施如锁定对受保护的数据1330的访问（如果不锁定对计算设备500的全部的访问的话）这样的特征。

暂时地转向图5，计算设备700的控制装置720访问数据容器1300的受保护的数据1330的操作导致处理器电路750运行策略组件1345，使处理器电路750对将计算设备700的操作员ID、设备ID、私钥和安全特征的指示中的一个或多个包括在内的安全数据进行请求。假定计算设备700没有将控制器与隔离的处理器电路或能够提供虚拟环境的环境组件合并，那么处理器电路750通过提供设备ID 732、操作员ID 733、和功能数据738中的一个或多个来响应请求，但不提供私钥。提供硬件支持的虚拟环境的控制器或者提供基于软件的虚拟环境的环境组件的缺乏导致计算设备700不被指配私钥。策略组件1345然后将操作员ID733和/或设备ID 732与ID数据1331相比较。

响应于请求缺乏来自处理器电路750的私钥会向策略组件1345指示计算设备700很可能不是可信任的环境。结果，即使发现操作员ID 733指示计算设备100a-b的操作员打算向其准许对受保护的数据1330的某种形式的访问的操作员，安全性的相对缺乏也可以使操作员ID 733被认为是较为不可信任的，因为其很可能已经从另一个计算设备被复制到计算设备700。

结果，在策略数据1335中指定的访问策略的指导下，策略组件1345可以不提供对受保护的数据1330的访问，或可以在仅仅可以使用阅览器组件1348的情况下仅仅提供对受保护的数据1330的查看访问。替换地或另外地，策略组件1345可以向对受保护的数据1330的访问施加时间限制，诸如访问期满的日期或一旦通过计算设备700进行首次访问时可以访问受保护的数据1330的最大小时数或最大天数。

图6图示出经由如先前描述的作为成为公共群组的成员的结果在两个计算设备100a和100b之间建立的安全通信、或许通过在计算设备100a和100b的相应的处理器150之间的协作所执行的数据容器1300的两个副本之间的同步的框图。更具体地，图6图示出向数据容器1300的两个描绘的副本的每个添加的受保护的数据1330的子部分的聚合体，该聚合体由作为在不处于通信的时段之后计算设备100a和100b恢复与彼此联系的结果的同步处理所引起。

如所描绘的，数据容器1300的两个副本最初是相同的，其中两者内的受保护的数据1330包括数据子部分1330a和1330b。随后，数据容器1300的两个副本发生不一致，其中每个的受保护的数据1330具有被添加的不同的数据子部分。具体地，数据子部分1330c、1330d和1330e被添加到计算设备100a的数据容器1300的受保护的数据1330，并且数据子部分1330f、1330g和1330h被添加到计算设备100b的数据容器1300的受保护的数据1330。在继向受保护的数据1330的这些版本中的每一个添加这些数据子部分之后的时间处，将计算设备100a和100b中的每一个的数据容器1300同步。

该同步可能已经作为这些计算设备中的每一个的处理器电路150检测到另一个处理器电路150以便使这两个处理器电路协作以经由直接地在它们之间的安全通信同步它们的数据容器1300的结果而发生。替换地，该同步可能已经作为也是计算设备100a-b所属于的相同群组中的成员的一个或多个其他计算设备将在那里的数据容器1300的副本与计算设备100a和100b中的每一个的副本同步的结果而间接地发生。在这样的间接同步中，计算设备100a和100b中的每一个的数据容器1300的不同的副本将传播到计算设备100a和100b与其具有直接通信的一个或多个其他计算设备传播，改变（例如，不同的数据子部分的添加）的组合将已经发生在那些其他计算设备中的一个内，并且然后合并了所有那些改变的数据容器1300的副本将传播回计算设备100a和100b中的每一个。

此外，可能是，在策略数据1335中指定的访问策略规定取决于构成受保护的数据1330的部分的数量的或根据受保护的数据1330的完整性的一些其他测量的、对受保护的数据1330准许的访问的改变。举例来说，在受保护的数据1330以只不过空的表格开始的情况下，访问策略可以规定可由第一群组的个人（可能地共享相同的操作员ID的个人的群组）访问受保护的数据1330，以为了使得他们中的不同的个人能够对其进行填写。然而，在表格完全地被填满的点处，或可能地在表格被签字（假定上通过某人进行签字，其通过这样做来证明其完整性）的点处，访问策略可以规定现在的完成的表格现在可由第二群组的个人访问并且不再可由第一群组的个人访问。

作为另一个示例，可能是，随着时间、利用从各种源收集的数据的子部分，在图6中描绘的数据容器1300的副本的受保护的数据1330被添加，并且一旦添加了足够的数据量，在策略数据1335中指定的访问策略就规定对数据和对哪个人准许的访问类型可以被改变。具体地，数据子部分1330a-h可以每个表示与特定个体相关联的统计信息，其被采集且被组装成数据1330以用于随后的分析。策略数据1335的访问策略可以规定：对数据子部分1330a-h中的每一个的访问最初将被限于提供其的特定个人，以及一旦已经添加指定数量的这些数据子部分并且将数据子部分1330a-h聚合的统计分析已经被执行并且被添加到受保护的数据1330就将移除该访问。在那时，对包括统计分析的受保护的数据1330的一部分的访问将被广泛地准许，但是对独立数据子部分1330a-h将允许很少的访问或不允许访问，从而保护该信息。

在聚合数据的变体中，可能是，通过一个数据容器检测包括相关主题的数据的另一个数据容器的存在来改变对该数据容器的访问的程度的改变。可能是，使另一个数据容器的策略组件1345来检查一个数据容器的元数据1339以确定主题是否充分地类似，以便提供在其上存储有两者的计算设备的操作员具有用于访问与公共的主题有关的数据的合法目的的指示。举例来说，存储可能是有些个人至一个个体的关于过敏体质的数据的数据容器可以被存储在也具有这样的体质的另一个个体的计算设备内，使得已经存在存储于其中的存储关于该其他个体的过敏体质的数据的数据容器。一旦数据容器中的一个发现另一个，则可能的情况是，指示类似主题的元数据的比较充当使对数据容器中的一个或两者的访问的程度较少受到限制的触发。

图7图示出逻辑流程2100的一个实施例。逻辑流程2100可以表示由在本文描述的一个或多个实施例运行的一些或所有操作。更具体地，逻辑流程2100可以图示出由计算设备100a或100b中的一个的处理器电路150在至少运行控制例程140时所执行的操作。

在2110，计算设备（例如，计算设备100a或100b中的一个）接收对将向另一个计算设备（例如，计算设备100a或100b中的另一个）提供的群组设备ID进行请求的信号。如先前讨论的，该信号通知可以通过计算设备的控制装置（例如，控制装置120）的操作而进行，并且，可以直接由处理器电路接收信号，或者可以由监视控制装置的另一个处理器电路将信号中继到它。

在2120，计算设备通过提供群组设备ID来对请求进行响应。如先前讨论的，群组设备ID的提供可以是通过将群组设备ID可视地呈现在计算设备的显示器（例如，显示器180）上来执行的，或可以通过诸如以人为地生成的语音进行发言之类的某其他机制。

在2130，计算设备从该另一个计算设备接收信号，其中有群组设备ID和操作员ID。如先前讨论的，操作员ID与这两个计算设备的操作员相关联。

在2140，响应于接收到与其自己的（例如，与相同操作员相关联的）操作员ID匹配的操作员ID和群组设备ID，计算设备传送也作为计算设备所属于的群组的成员的又一些其他计算设备的一个或多个群组ID（并且现在，该另一个计算设备也属于该群组）。

在2150，同样响应于接收到群组设备ID和操作员ID，计算设备向该另一个计算设备传送存储在计算设备内的一个或多个数据容器的副本。

在2160，在稍后的时间处，两者现在都作为相同群组的成员的这两个计算设备将一个或多个数据容器的它们的副本同步。

图8图示出逻辑流程2200的一个实施例。逻辑流程2200可以表示由本文描述的一个或多个实施例运行的一些或所有操作。更具体地，逻辑流程2200可以图示出由计算设备100a或100b中的一个的处理器电路150在至少运行控制例程140时所执行的操作。

在2210，计算设备（例如，计算设备100a或100b中的一个）接收向其传达操作员ID的信号。如先前讨论的，在使用它们之前，可以要求计算设备100a-b的操作员向它们认证他们自己，并且因此，该操作员必须向它们中的每一个提供操作员ID。

在2220，计算设备接收向其传达群组设备ID的信号。如先前讨论的，该信号通知可以通过计算设备的控制装置（例如，控制装置120）的操作而进行，并且，可以直接由处理器电路接收信号，或者可以由监视控制装置的另一个处理器电路将信号中继到它。

在2230，响应于接收到操作员ID和群组设备ID，计算设备向另一个计算设备传送操作员ID和群组设备ID两者，以加入该另一个计算设备已经属于的计算设备的群组。

在2240，计算设备接收也作为计算设备现在属于的群组的成员的又一些其他计算设备的群组设备ID。

在2250，计算设备从该另一个计算设备接收存储在计算设备内的一个或多个数据容器的副本。

在2260，在稍后的时间处，两者现在都作为相同群组的成员的这两个计算设备将一个或多个数据容器的它们的副本同步。

图9图示出逻辑流程2300的一个实施例。逻辑流程2300可以表示由本文描述的一个或多个实施例运行的一些或所有操作。更具体地，逻辑流程2300可以图示出由计算设备500或700中的对应的一个计算设备的处理器电路550或750之一执行的操作。

在2310，不包括控制器的计算设备（例如，计算设备500或700之一）接收指示其控制装置尝试访问存储在计算设备的贮存器中的数据容器的数据的操作的信号。

在2320，作为所尝试的访问的结果，计算设备的处理器电路运行包括由指定用于数据容器的数据的访问策略的策略数据控制的策略组件在内的数据容器的指令序列。

在2330，该策略组件的运行导致处理器电路搜寻与计算设备的操作员相关联的操作员ID、设备ID、被指配给计算设备的私钥、和指定计算设备的安全特征的功能数据中的一个或多个。假定计算设备不包括控制器，那么处理器电路从计算设备本身的贮存器检索这些信息片中的一个或多个。

在2340，该策略组件的运行导致处理器电路基于所检索的信息片确定是否准许对数据容器的数据的访问并且确定施加什么限制。

图10图示出逻辑流程2400的一个实施例。逻辑流程2400可以表示由本文描述的一个或多个实施例运行的一些或所有操作。更具体地，逻辑流程2400可以图示出由计算设备100a-b或300中的对应的一个计算设备的处理器电路150或350之一执行的操作。

在2410，包括控制器的计算设备（例如，计算设备100a-b或300之一）接收指示其控制装置尝试访问存储在计算设备的贮存器中的数据容器的数据的操作的信号。

在2420，作为所尝试的访问的结果，计算设备的处理器电路运行包括由指定用于数据容器的数据的访问策略的策略数据控制的策略组件在内的数据容器的指令序列。

在2430，该策略组件的运行导致处理器电路搜寻与计算设备的操作员相关联的操作员ID、设备ID、被指配给计算设备的私钥和指定计算设备的安全特征的功能数据中的一个或多个。作为计算设备包括控制器的结果，由控制器向处理器电路提供这些信息片中的一个或多个，控制器的隔离的处理器电路已从控制器的贮存器检索这些信息片中的一个或多个。

在2440，该策略组件的运行导致处理器电路基于所检索的信息片确定是否准许对数据容器的数据的访问并且确定施加什么限制。

图11图示出适合于实施如先前描述的各个实施例的示例性处理架构3100的实施例。更具体地，处理架构3100（或其变体）可以被实施为计算设备100a-b、300、500和700中的一个或多个的一部分。应当注意到，为处理架构3100的组件给出附图标记，其中最后二位数对应于较早地描绘地且描述为计算设备100a-b、300、500和700中的每一个的一部分的组件的附图标记的最后二位数。为了有助于使计算设备100、300、500和700中的任何一个的组件相关而进行这一点可以在各个实施例中采用该示例性处理架构。

处理架构3100包括通常在数字处理中采用的各种元件，其包括但不限于一个或多个处理器、多核处理器、协处理器、存储器单元、芯片组、控制器、外围设备、接口、振荡器、定时设备、视频卡、声卡、多媒体输入／输出（I/O）组件、电源，等等。如在本申请中使用的，术语“系统”和“组件”意图是指其中进行数字处理的计算设备的实体，实体是硬件、硬件和软件的组合、软件、或运行中的软件，通过该描绘的示例性处理架构来提供其示例。例如，组件能够是但不限于处理器电路上运行的进程、处理器电路本身、可以采用光学和/或磁存储介质的贮存器设备（例如，硬盘驱动器、阵列中的多个存储驱动)、软件对象、可执行指令序列、执行线程、程序，和/或整个计算设备（例如，整个计算机）。作为说明，在服务器上运行的应用和服务器两者都能够是组件。一个或多个组件可能位于进程和/或执行线程内，并且组件能够位于在一个计算设备上和/或被分布在两个或更多计算设备之间。此外，组件可以通过各种类型的通信介质彼此通信地耦合到以协调操作。协调可以涉及信息的单向或双向交换。例如，组件可以以通过通信介质传递的信号的形式来传递信息。信息能够被实施为分配给一个或多个信号线路的信号。每个消息可以是串行地或者基本上并行地传送的信号或多个信号。

如所描绘的，在实施处理架构3100时，计算设备至少包括处理器电路950、贮存器960、对其他设备的接口990、和耦合装置955。如将解释的，取决于将计算设备的预定使用和/或使用条件包括在内的实施处理架构3100的计算设备的各个方面，这样的计算设备可以进一步包括附加的组件，该附加的组件诸如但不限于显示器接口985或控制器900。

耦合装置955由一个或多个总线、点到点互连、收发信机、缓冲器、交叉点开关，和/或将至少处理器电路950通信地耦合到贮存器960的其他导体和/或逻辑组成。耦合装置955可以进一步将处理器电路950耦合到接口990和显示器接口985中的一个或多个（取决于这些和/或其他组件中的哪些也存在）。在处理器电路950通过耦合装置955而如此耦合的情况下，处理器电路950能够执行以上对于实施处理架构3100的计算设备100a-b、300、500和700中的任何计算设备所详细地描述的任务中的各种任务。可以利用通过其在光学和/或电传达信号的各种技术中的任何一个或技术的组合来实施耦合装置955。此外，耦合装置955的至少一些部分可以采用符合各式各样的行业标准中的任何一个的定时和/或协议，其包括但不限于加速图形端口（AGP）、CardBus、扩展工业标准架构（E-ISA）、微通道架构（MCA）、NuBus、外围组件互联（扩展）（PCI-X）、快速PCI（PCI-E）、个人计算机存储器卡国际联合会（PCMCIA）总线、HyperTransport™、QuickPath，等等。

如先前讨论的，处理器电路950（对应于处理器电路150、250、350、450、550和750中的一个或多个）可以包括采用各式各样的技术中的任何一个并且利用在物理上以任何数量的方式组合的一个或多个核所实施的、各式各样的在市场上可买到的处理器中的任何一个。

如先前讨论的，贮存器960（对应于贮存器160、260、360、460、560和760中的一个或多个）可以包括基于各式各样的技术中的任何一个或技术的组合的一个或多个不同的贮存器设备。更具体地，如所描绘的，贮存器960可以包括以下各项中的一个或多个：易失性贮存器961（例如，基于RAM技术的一个或多个形式的固态贮存器）、非易失性贮存器962（例如，固态、铁磁或不要求电功率的不断提供以保存它们的内容的其他贮存器）、和可移除的介质贮存器963（例如，通过其可以在计算设备之间传达消息的可换磁盘或固态存储器卡片贮存器）。作为可能包括多个不同的类型的贮存器的贮存器960的该描绘处于计算设备中的多于一个类型的贮存器设备的平常使用的认识中，其中一种类型提供使得处理器电路950能够进行更快速的的数据操纵的、相对快速的读取和写入能力（但是可能地使用不断地要求电功率的“易失性”技术），而另一种类型提供相对高密度的非易失性贮存器（但是很可能提供相对慢的读取和写入能力）。

考虑到不同的贮存器设备的不同的特征往往采用不同的技术，也平常的是，这样的不同的贮存器设备通过不同的贮存器控制器（该不同的贮存器控制器通过不同的接口耦合到它们的不同的贮存器设备）耦合到计算设备的其他部分。举例来说，在易失性贮存器961存在并且基于RAM技术的情况下，易失性贮存器961可以通过向或许采用行和列寻址的易失性贮存器961提供适当的接口的贮存器控制器965a而通信地耦合到耦合装置955，并且其中贮存器控制器965a可以执行排刷新和/或其他维护任务以帮助保存存储在易失性贮存器961内的信息。作为另一个示例，在非易失性贮存器962存在并且包括一个或多个铁磁和/或固态的磁盘驱动器的情况下，非易失性贮存器962可以通过向或许采用信息块和/或磁道和扇区的寻址的非易失性贮存器962提供适当的接口的贮存器控制器965而通信地耦合到耦合装置955。作为又一个示例，在可移除的介质贮存器963存在并且包括采用一件或多件可移除的机器可读存储介质969的一个或多个光学和/或固态的磁盘驱动器的情况下，可移除的介质贮存器963可以通过向或许采用信息块的寻址的可移除的介质贮存器963提供适当的接口的贮存器控制器965c而通信地耦合到耦合装置955，并且其中贮存器控制器965c可以以特定于扩展机器可读存储介质969的寿命的方式来协调读取、擦除和写入操作。

易失性贮存器961或非易失性贮存器962中的一个或另一个可以包括机器可读存储介质的形式的制品，取决于每个所基于的技术，在其上可以存储包括可由处理器电路950执行的指令序列的例程。举例来说，在非易失性贮存器962包括基于铁磁的磁盘驱动器（例如，所谓的“硬盘驱动器”）的情况下，每个这样的磁盘驱动器典型地以近乎于诸如软盘的可移动贮存器介质的方式采用在其上以各种图案储存并且磁性地定向磁性响应粒子的涂层以存储诸如指令序列的信息的一个或多个旋转磁盘。作为另一个示例，非易失性贮存器962可以以近乎于紧凑式闪存卡的方式包括用于存储诸如指令序列的消息的固态贮存器设备的存储体。 再一次，常见的是，在用于存储可执行的例程和/或数据的不同的时间、在计算设备中采用不同类型的贮存器设备。因此，包括将由处理器电路950运行的指令序列的例程可以最初被存储在机器可读存储介质969上，并且可以随后在将例程拷贝到非易失性贮存器962以用于更长期的存储时采用可移除的介质贮存器963，而不要求在例程被运行时使得处理器电路950能够进行更快速的存取的机器可读存储介质969和/或易失性贮存器961的继续存在。

如先前讨论的，接口990（对应于接口190、390、590和790中的一个或多个）可以采用与可以被采用以将计算设备通信地耦合到一个或多个其他设备的各种通信技术中的任何一个相对应的各种信令技术中的任何一个。再一次，可以采用各种形式的有线或无线信令中的一个或两者来使得处理器电路950能够可能地通过网络（例如，网络999）或网络的互连集合与输入／输出设备（例如，描绘的示例键盘920或打印机970）和/或其他计算设备进行交互。在认识到往往必须由任何一个计算设备支持的多种类型的信令和/或协议的往往大大地不同的特性时，把接口990描绘成包括多个不同的接口控制器995a、995b和995c。接口控制器995a可以采用各种类型的有线数字串行接口或射频无线接口中的任何一个以接收从诸如描绘的键盘920（或许对应于控制装置120、320、520和720中的一个或多个）之类的用户输入设备串行传送的消息。接口控制器995b可以采用各种基于线缆的或无线信令、时间和/或协议中的任何一个来通过描绘的网络999（或许是包括一个或多个链路的网络、较小的网络，或可能是因特网）来访问其他计算设备。接口995c可以采用使得能够使用串行的或并行的信号传输的各种电传导的线缆中的任何一个以向描绘的打印机970传达数据。可通过接口990的一个或多个接口控制器通信地耦合的设备的其他示例包括但不限于麦克风、遥控器、触笔、读卡机、指纹阅读器、虚拟现实交互手套、图形输入平板机、操纵杆、其他键盘、视网膜扫描仪、触摸屏的触摸输入组件、跟踪球、各种传感器、激光打印机、喷墨式打印机、机械机器人、铣床、三维打印机等等。

在计算设备通信地耦合到（或者可能实际地包括）显示器（例如，描绘的示例显示器980，对应于显示器180、380、580和780中的一个或多个）的情况下，实施处理架构3100的这样的计算设备也可以包括显示器接口985。尽管在通信地耦合到显示器中采用更通用类型的接口，但在于显示器上可视地显示各种形式的内容时所要求的有些专门的附加的处理以及所使用的基于线缆的接口的有些专门的性质往往使得提供所希望的不同的显示器接口。可以由显示器接口985在显示器980的通信耦合时所采用的有线和/或无线信令技术可以利用符合各种行业标准中的任何一个的信令和/或协议，其包括但不限于各种模拟视频接口、数字视频接口（DVI）、显示端口，等等中的任何一个。

此外，在显示器接口985存在于实施处理架构3100的计算设备中的情况下，视觉跟踪器981也可以耦合到接口985以跟踪查看显示器980的个人的至少一个眼睛的视觉移动。替换地，可以以某其他方式将视觉跟踪器981合并到计算机架构3100中。视觉跟踪器981可以采用各种技术中的任何一个来监视视觉移动，包括且不限于来自角膜的红外光反射。

更一般地说，计算设备100、300、500和700的各种元件可以包括各种硬件元件、软件元件或两者的组合。硬件元件的示例可以包括设备、逻辑设备、部件、处理器、微处理器、电路、处理器电路、电路元件（例如，晶体管、电阻器、电容器、电感器等等）、集成电路、专用集成电路（ASIC）、可编程逻辑设备（PLD）、数字信号处理器（DSP）、现场可编程门阵列（FPGA）、存储器单元、逻辑门、寄存器、半导体器件、芯片、微晶片、芯片集，等等。软件元件的示例可以包括软件组件、程序、应用、计算机程序、应用程序、系统程序、软件开发程序、机器程序、操作系统软件、中间件、固件、软件模块、例程、子程序、功能、方法、规程、软件接口、应用程序接口（API）、指令集合、计算代码、计算机代码、代码段、计算机代码段、字、值、符号、或其任何其组合。然而，确定使用硬件元件和/或软件元件实施实施例可以根据给定实施所期望的诸如期望的计算速率、功率电平、耐热性、处理周期预算、输入数据速率、输出数据速率、存储器资源、数据总线速度和其他设计或性能约束之类的许多因素而变化。

可以使用表达“一个实施例”或“实施例”以及它们的派生物来描述某些实施例。这些术语意指与实施例结合描述的特定特征、结构或特性被包括在至少一个实施例中。在说明书中的不同地方中的措词“在一个实施例中”的出现没有必要都指相同的实施例。此外，可以使用表达“耦合”和“连接”以及它们的派生物来描述某些实施例。这些术语没有必要作为彼此的同义词。例如，可以使用术语“连接”和/或“耦合”来描述某些实施例以指示两个或更多要素彼此处于直接物理或电接触中。然而，术语“耦合”也可以意指两个或更多要素彼此不处于直接接触中，但还是仍然彼此协作或交互。

在此强调，提供本公开的摘要以允许读者快速弄清技术公开的本质。在摘要将不用于解释或限制权利要求的范围或意义的理解下提交该摘要。另外，在上述具体实施方式中，能够看出，为了精简本公开的目的，在单个实施例中把各种特征集中在一起。公开的该方法将不被解释为反映所请求保护的实施例需要比在每个权利要求中所明确叙述的特征更多的特征的意图。更确切些，如所附权利要求反映的，发明的主题在于小于单个所公开的实施例的所有特征。因此，所附权利要求在此被合并到具体实施方式中，其中每个权利要求代表其自己作为分离的实施例。在所附权利要求中，术语“包括”和“其中”被分别地用作相应的术语“包括”和“其中”的简明英语的等同体。此外，在所附权利要求中，术语“第一”、“第二”、“第三”等等仅仅用作标号，并且不意图对它们的对象施加数字方面的要求。

上面已经描述的内容包括所公开的架构的示例。当然，不可能描述组件和/或方法的每个想得到的组合，但是本领域普通技术人员可以意识到，许多另外的组合和置换是可能的。相应地，新颖的架构意图包含落入所附权利要求的精神和范围内的所有这类的变更、修改和变化。具体实施方式现在转向提供属于另外实施例的示例。以下提供的示例不意图进行限制。

一种装置的示例包括处理器电路和通信地耦合到处理器电路且被布置为存储第一指令序列的贮存器。第一指令序列在处理器电路上操作以接收指示对存储在贮存器中且包括受保护的数据和第二指令序列的数据容器的访问的信号；以及运行第二指令序列，第二指令序列在处理器电路上操作以检查存储在贮存器中的安全数据以及基于检查来确定是否准许对受保护的数据的访问。

在装置的以上示例中，所述装置包括能够手动操作的控制装置，并且所述信号指示控制装置的访问受保护的数据的操作。

在装置的以上示例中的任何一个中，第二指令序列在处理器电路上操作以基于检查来向对受保护的数据的访问施加时间限制，时间限制包括超过其对受保护的数据的访问就不再被准许的指定日期和超过其对受保护的数据的访问就不再被准许的从对受保护的数据的首次访问起的指定时间量中的一个。

在装置的以上示例中的任何一个中，第一指令序列在处理器电路上操作以提供虚拟环境以便支持第二指令序列的运行并且防止处理器电路执行涉及受保护的数据的动作。

在装置的以上示例中的任何一个中，所述动作包括以下各项中的一个：打印受保护的数据、复制受保护的数据、捕捉受保护的数据的视觉呈现的屏幕图像、以及允许继在其期间没有接收到指示在所述装置附近操作员继续存在的信号的指定时间段流逝之后在视觉上呈现受保护的数据。

在装置的以上示例中的任何一个中，安全数据包括标识与所述装置相关联的操作员的操作员ID、唯一地标识所述装置的设备ID、私钥和指示所述装置的安全特征的功能数据中的一个。

在装置的以上示例中的任何一个中，基于检查来确定是否准许对受保护的数据的访问包括确定是否授权操作员访问受保护的数据。

在装置的以上示例中的任何一个中，数据容器包括公钥，并且基于检查来确定是否准许对受保护的数据的访问包括确定私钥是否与公钥相匹配。

在装置的以上示例中的任何一个中，基于检查来确定是否准许对受保护的数据的访问包括基于安全特征来确定是否准许对受保护的数据的访问。

另一种装置的示例包括：第一处理器电路；第二处理器电路；第一贮存器，通信地耦合到第一处理器电路并且被布置为存储第一指令序列；以及第二贮存器，通信地耦合到第二处理器电路并且被布置为存储第三指令序列。第一指令序列在第一处理器电路上操作以接收指示对存储在第一贮存器中且包括受保护的数据和第二指令序列的数据容器的访问的信号；以及运行第二指令序列，第二指令序列在第一处理器电路上操作以从第二处理器电路请求安全数据，并且基于安全数据来确定是否准许对受保护的数据的访问。第二指令序列在第二处理器电路上操作以从第一处理器电路接收请求，并且响应于请求向第一处理器电路提供安全数据。

在另一种装置的以上示例中，所述装置包括能够手动操作的控制装置，并且所述信号指示控制装置的访问受保护的数据的操作。

在另一种装置的以上示例中的任何一个中，第三指令序列在第二处理器电路上操作以进行下述操作：提供虚拟环境以支持由第一处理器电路对第二指令序列的运行，并且防止第一处理器电路执行损害受保护的数据的动作。

在另一种装置的以上示例中的任何一个中，所述动作包括以下各项中的一个：打印受保护的数据、复制受保护的数据、捕捉受保护的数据的视觉呈现的屏幕图像、以及允许继在其期间没有接收到指示在所述装置附近操作员继续存在的信号的指定时间段流逝之后在视觉上呈现受保护的数据。

在另一种装置的以上示例中的任何一个中，安全数据包括标识与所述装置相关联的操作员的操作员ID、唯一地标识所述装置的设备ID、私钥和指示所述装置的安全特征的功能数据中的一个。

在另一种装置的以上示例中的任何一个中，基于检查来确定是否准许对受保护的数据的访问包括确定是否授权操作员访问受保护的数据。

在另一种装置的以上示例中的任何一个中，数据容器包括公钥，并且基于检查来确定是否准许对受保护的数据的访问包括确定私钥是否与公钥相匹配。

在另一种装置的以上示例中的任何一个中，基于检查来确定是否准许对受保护的数据的访问包括基于安全特征来确定是否准许对受保护的数据的访问。

在另一种装置的以上示例中的任何一个中，所述装置包括操作以将第一处理器电路通信地耦合到网络的接口，并且第三指令序列在第二处理器电路上操作以进行下述操作：经由网络从计算设备接收传达标识与计算设备相关联的操作员的操作员ID和唯一地标识计算设备的群组设备ID的信号；确定计算设备是否是所述装置作为其成员的群组的成员；以及使得能够响应于该确定经由网络来向计算设备传输数据容器的副本。

在另一种装置的以上示例中的任何一个中，第一指令序列在第一处理器电路上操作以经由网络用信号通知计算设备将数据容器与数据容器的副本同步。

一种计算机实施的方法的示例包括：接收指示对存储在第一计算设备的贮存器中且包括受保护的数据和指令序列的数据容器的访问的信号；以及运行所述指令序列。所述指令序列在第一计算设备的处理器电路上操作以检查与第一计算设备相关联且存储在贮存器中的安全数据；以及基于检查来确定是否准许对受保护的数据的访问。

计算机实施的方法的以上示例包括：基于检查来向对受保护的数据的访问施加时间限制，时间限制包括超过其对保护的访问就不再被准许的指定日期和超过其对受保护的数据的访问就不再被准许的从对受保护的数据的首次访问起的指定时间量中的一个。

在计算机实施的方法的以上示例中的任何一个中，该方法包括提供虚拟环境以支持所述指令序列的运行并且防止处理器电路执行损害受保护的数据的动作。

在计算机实施的方法的以上示例中的任何一个中，所述动作包括以下各项中的一个：打印受保护的数据、复制受保护的数据、捕捉受保护的数据的视觉呈现的屏幕图像、以及允许继在其期间没有接收到指示在第一计算设备附近操作员继续存在的信号的指定时间段流逝之后在视觉上呈现受保护的数据。

在计算机实施的方法的以上示例中的任何一个中，该方法包括：经由网络从第二计算设备接收传达标识与第二计算设备相关联的操作员的操作员ID和唯一地标识第二计算设备的群组设备ID的信号；确定第二计算设备是否是第一计算设备作为其成员的群组的成员；以及响应于该确定经由网络来向第二计算设备传输数据容器的副本。

在计算机实施的方法的以上示例中的任何一个中，该方法包括经由网络用信号通知第二计算设备将数据容器与数据容器的副本同步。

至少一个机器可读贮存器介质的示例包括当由计算设备运行时使计算设备进行如下操作的第一指令序列：接收指示对存储在计算设备的贮存器中且包括受保护的数据和第二指令序列的数据容器的访问的信号，以及运行第二指令序列。第二指令序列在处理器电路上操作以检查与计算设备相关联且存储在贮存器中的安全数据，并且基于检查来确定是否准许对受保护的数据的访问。

在至少一个机器可读贮存器介质的以上示例中，使计算设备提供虚拟环境以支持第二指令序列的运行并且防止处理器电路执行损害受保护的数据的动作。

在至少一个机器可读贮存器介质的以上示例中的任何一个中，所述动作包括以下各项中的一个：打印受保护的数据、复制受保护的数据、捕捉受保护的数据的视觉呈现的屏幕图像、以及允许继在其期间没有接收到指示在计算设备附近操作员继续存在的信号的指定时间段流逝之后在视觉上呈现受保护的数据。

在至少一个机器可读贮存器介质的以上示例中的任何一个中，安全数据包括标识与计算设备相关联的操作员的操作员ID、唯一地标识计算设备的设备ID、私钥和指示计算设备的安全特征的功能数据中的一个。

在至少一个机器可读贮存器介质的以上示例中的任何一个中，数据容器包括公钥，并且基于检查来确定是否准许对受保护的数据的访问包括确定私钥是否与公钥相匹配。

Claims (21)

1.一种用于数据访问控制的装置，包括：

处理器电路；和

贮存器，通信地耦合到处理器电路且被布置为存储第一指令序列，第一指令序列在处理器电路上操作以进行下述操作：

接收指示对存储在贮存器中的所传输的数据容器的访问的信号，所述数据容器包括受保护的数据、第二指令序列和策略数据，所述策略数据包括限制对受保护的数据的访问的访问策略的指示；以及

运行第二指令序列，第二指令序列在处理器电路上操作以便：

检查存储在贮存器中的安全数据以确定所述处理器电路是否要实行所述访问策略；以及

至少部分地基于检查来确定是否准许对受保护的数据的访问。

2.根据权利要求1所述的装置，包括能够手动操作的控制装置，并且所述信号指示控制装置的访问受保护的数据的操作。

3.根据权利要求1所述的装置，第二指令序列在处理器电路上操作以至少部分地基于检查来向对受保护的数据的访问施加时间限制，时间限制包括超过其对受保护的数据的访问就不再被准许的指定日期或超过其对受保护的数据的访问就不再被准许的从对受保护的数据的首次访问起的指定时间量中的一个。

4.根据权利要求1所述的装置，第一指令序列在处理器电路上操作以提供虚拟环境以便支持第二指令序列的运行并且防止处理器电路执行涉及受保护的数据的动作。

5.根据权利要求4所述的装置，所述动作包括以下各项中的一个：打印受保护的数据、复制受保护的数据、捕捉受保护的数据的视觉呈现的屏幕图像、或者允许继在其期间没有接收到指示在所述装置附近操作员继续存在的信号的指定时间段流逝之后在视觉上呈现受保护的数据。

6.根据权利要求1所述的装置，安全数据包括标识与所述装置相关联的操作员的操作员ID、唯一地标识所述装置的设备ID、私钥或指示所述装置的安全特征的功能数据中的一个或多个。

7.根据权利要求6所述的装置，至少部分地基于检查来确定是否准许对受保护的数据的访问包括以下各项中的至少一个：确定是否授权操作员访问受保护的数据，确定私钥是否与公钥相匹配，或基于安全特征来确定是否准许对受保护的数据的访问。

8.一种用于数据访问控制的装置，包括：

第一处理器电路；

第二处理器电路；

第一贮存器，通信地耦合到第一处理器电路且被布置为存储第一指令序列，第一指令序列在第一处理器电路上操作以进行下述操作：

接收指示对存储在第一贮存器中的所传输的数据容器的访问的信号，所述数据容器包括受保护的数据、第二指令序列和策略数据，所述策略数据包括限制对受保护的数据的访问的访问策略的指示；以及

运行第二指令序列，第二指令序列在第一处理器电路上操作以从第二处理器电路请求安全数据，检查安全数据以确定所述第二处理器电路是否要实行所述访问策略，并且基于检查来确定是否准许对受保护的数据的访问；以及

第二贮存器，通信地耦合到第二处理器电路且被布置为存储第三指令序列，第三指令序列在第二处理器电路上操作以从第一处理器电路接收请求，并且响应于请求向第一处理器电路提供安全数据。

9.根据权利要求8所述的装置，第三指令序列在第二处理器电路上操作以进行下述操作：提供虚拟环境以支持由第一处理器电路对第二指令序列的运行，并且防止第一处理器电路执行损害受保护的数据的动作。

10.根据权利要求9所述的装置，所述动作包括以下各项中的一个：打印受保护的数据、复制受保护的数据、捕捉受保护的数据的视觉呈现的屏幕图像、以及允许继在其期间没有接收到指示在所述装置附近操作员继续存在的信号的指定时间段流逝之后在视觉上呈现受保护的数据。

11.根据权利要求8所述的装置，安全数据包括标识与所述装置相关联的操作员的操作员ID、唯一地标识所述装置的设备ID、私钥或指示所述装置的安全特征的功能数据中的一个或多个。

12.根据权利要求11所述的装置，至少部分地基于检查来确定是否准许对受保护的数据的访问包括以下各项中的至少一个：确定是否授权操作员访问受保护的数据，确定私钥是否与公钥相匹配，或基于安全特征来确定是否准许对受保护的数据的访问。

13.根据权利要求8所述的装置，包括操作以将第一处理器电路通信地耦合到网络的接口，第三指令序列在第二处理器电路上操作以进行下述操作：

经由网络从计算设备接收传达标识与计算设备相关联的操作员的操作员ID和唯一地标识计算设备的群组设备ID的信号；

确定计算设备是否是所述装置作为其成员的群组的成员；以及

使得能够响应于该确定经由网络来向计算设备传输数据容器的副本。

14.根据权利要求13所述的装置，第一指令序列在第一处理器电路上操作以经由网络用信号通知计算设备将数据容器与数据容器的副本同步。

15.一种计算机实施的方法，包括：

接收指示对存储在第一计算设备的贮存器中的所传输的数据容器的访问的信号，所述数据容器包括受保护的数据、指令序列和策略数据，所述策略数据包括限制对受保护的数据的访问的访问策略的指示；以及

运行所述指令序列，所述指令序列在第一计算设备的处理器电路上操作以便：

检查与第一计算设备相关联且存储在贮存器中的安全数据以确定所述处理器电路是否要实行所述访问策略；以及

至少部分地基于检查来确定是否准许对受保护的数据的访问。

16.根据权利要求15所述的计算机实施的方法，包括至少部分地基于检查来向对受保护的数据的访问施加时间限制，时间限制包括超过其对受保护的数据的访问就不再被准许的指定日期或超过其对受保护的数据的访问就不再被准许的从对受保护的数据的首次访问起的指定时间量中的一个。

17.根据权利要求15所述的计算机实施的方法，包括提供虚拟环境以支持所述指令序列的运行并且防止处理器电路执行损害受保护的数据的动作。

18.根据权利要求17所述的计算机实施的方法，所述动作包括以下各项中的一个：打印受保护的数据、复制受保护的数据、捕捉受保护的数据的视觉呈现的屏幕图像、以及允许继在其期间没有接收到指示在第一计算设备附近操作员继续存在的信号的指定时间段流逝之后在视觉上呈现受保护的数据。

19.根据权利要求15所述的计算机实施的方法，包括：

经由网络从第二计算设备接收传达标识与第二计算设备相关联的操作员的操作员ID和唯一地标识第二计算设备的群组设备ID的信号；

确定第二计算设备是否是第一计算设备作为其成员的群组的成员；

响应于该确定经由网络来向第二计算设备传输数据容器的副本；以及

经由网络用信号通知第二计算设备将数据容器与数据容器的副本同步。

20.一种用于数据访问控制的装置，包括用于执行根据权利要求15-19中任何一项所述的方法的装置。

21.至少一个机器可读贮存器介质，包括当由计算设备运行时使计算设备执行根据权利要求15-19中任何一项所述的方法的指令。