JP2001506783A - 情報の保護方法及び装置 - Google Patents

Abstract

(57)【要約】 公共ネットワークと、被保護ネットワークと、公共ネットワークに接続された複数の公共ノードと、被保護ネットワークと公共ネットワークとに接続された複数の被保護ノードと、を含む通信装置である。ノードは、ネットワーク上を通信する手段を含んでおり、それぞれの被保護ノードは、通信コントローラと、コンピュータ・システムと、被保護記憶領域と、を含む。被保護ノードは、機密メッセージを少なくとも２つのセグメントに分割し、それらのセグメントをネットワークを介して送信する。その際には、セグメントの中の少なくとも選択された１つは、被保護ネットワークの少なくとも１つを介して送信される。通信コントローラは、また、コーティング・ステーションと公共ネットワークとの間の通信が行われているときには、被保護記憶領域をコンピュータ・ステーション及び公共ネットワークから切断するようにも動作が可能である。

Description

【発明の詳細な説明】 情報の保護方法及び装置 発明の分野 本発明は、通信の間に情報のセキュリティを保護する方法及びシステムに関す る。 発明の背景 情報のセキュリティを保護する方法は、この技術分野において公知である。従 来の方法は、暗号化に基づいており、保護すべきデータは、所定の暗号化方法又 は鍵（key）に従って処理され、暗号化されたファイルが得られるようになって いる。暗号化されたファイルを復号化して元の情報に戻すには、その暗号化され たファイルを、暗号化方法又は鍵に従って逆方向に処理することが必要となる。 ＷＡＮ又はＬＡＮ通信ネットワークに接続されたコンピュータは、機密扱いの フアイルにアクセスしてダウンロードし、その暗号を「クラック」する（破る） ことを試みる権限のない人間又はデータ・ビールスによる敵対的な侵入に対して は、脆弱である。 この問題は、ポータブル・コンピュータの場合には更に深刻である。というの は、ポータブル・コンピュータは、その中に含まれている情報と共に、それ自体 が盗まれる虞があるからである。 別の大きな問題として、ネットワーク上で通信を行っている際に、データ及び 装置へのアクセスのセキュリティを保護することに関するものがある。権限のな いネットワーク・ユーザが、セキュリティ・システムを破り、ソフトウェア・ビ ールスなど、損害を与えるソフトウェアを送り込もうとすることもあるだろう。 ファイアウォールなどの従来技術によるソフトウェア・システムでは、このよう な権限のない侵入に対して、絶対確実な対策を提供することはできない。 別の大きな問題として、ある組織のネットワーク及びコンピュータを、ビール ス・プログラムから守ることに関係するものがある。現在、多くの製品が、入っ てくる通信内容をオンラインでスキャンして、ビールスなどの損害を与えるソフ トウェアを識別している(例えば、イスラエルのNetanya所在のFinjan Software Ltd． によるWebShieldや、米国カリフォルニア州Santa Clara所在のMcCafeeによるWeb Scanなど)。理解し得るように、通信の最中に、入って来るデータ及びデータの 変更すべてをスキャンするには、非常に多くのリソースを消費し、一般的に、そ れがリアルタイムで完全に行なわれることはない。 David C．Reardonへの米国特許第5,434,562号には、ハードディスクなどのデ バイスをネットワークからの無権限のアクセスから守るための、マニュアルでユ ーザが操作可能なスイッチが記載されている。コンピュータ・システムでは、オ ーディット・ログ（監査ログ、audit log）を用い、システムにおけるセキュリ ティ関係の活動を記録することは一般的なことである。この場合には、記録され たログ自体が、将来の改変に対して保護される必要がある。というのは、そのよ うな改変は、監査者（auditor）をだまして偽造された記録を信頼させようとす るものでありうるからである。 効果的なセキュリティ・ログは、改変できない媒体上に書かれる必要があるこ とを、理解すべきである。一般的な方法は、そのログをハード・コピー上に印刷 することである。しかし、ハード・コピーは改変が困難ではあるが、それをコン ピュータ化された環境において、複写し、処理し、通信することは、更に困難で ある。 別の方法としては、そのログを、書き込みが１回で読み出しが複数回できる（ Write Once Read Many）媒体に書き込むことである（Pinnacle MCorporationに よるPinnacle RCD-1000など）。しかし、現実には、この書き込みが１回で読み 出しが複数回できる媒体は、一般的な読み出し・書き込み技術(例えば、磁気ハ ード・ディスク)と比較して、パフォーマンスと信頼性との両面で劣っているこ とを理解すべきである。更に、１回しか書き込みのできないデバイスを、ログの 記録のためだけの目的で備え付けることは、大きなコストを生じさせることにも なる。 特別のソフトウェア・アプリケーションを用いれば、無権限の人間やデータ・ ビールスによるコンピュータ・リソースへの敵対的な侵入の試みを検出すること が可能である。この場合には、コンピュータを、レスキュー・ディスケットと呼 ばれることが多い「きれいな媒体」から再起動（ブート動作）することが必要で ある。そのコンピュータのハード・ドライブが汚染されていることが疑われるか らである。 このきれいな媒体には、多くの場合、ディスケットやＣＤ−ＲＯＭなどの取り外 し可能な媒体が含まれる。 本発明の概要 本発明の目的は、コンピュータ・ステーションへのアクセス及びコンピュータ ・ステーションからのアクセスのセキュリティを保護し、従来技術の短所を克服 する新規な装置を提供することである。 本発明の別の目的は、コンピュータ化された記憶ユニット内に含まれている情 報のセキュリティを保護する新規な方法を提供することである。 従って、本発明によると、コンピュータ・システムにおけるセキュリティが被 保護領域を保護する装置が提供される。コンピュータ・システムには、記憶ユニ ットが含まれる。記憶ユニットには、第１の記憶領域と第２の記憶領域とが含ま れる。 本発明による装置は、第１のネットワークに接続する第１の通信インターフェ ースと、前記コンピュータ・システムに接続する第２の通信インターフェースと 、前記記憶ユニットに接続する第１の入力・出力（Ｉ／Ｏ）インターフェースと 、前記コンピュータ・システムに接続する第２の入力・出力（Ｉ／Ｏ）インター フェースと、前記第１のネットワークと前記コンピュータ・システムとの間に前 記第１及び第２の通信インターフェースを介して接続され、更に、前記記憶ユニ ットと前記コンピュータ・システムとの間に前記第１及び第２のＩ／Ｏインター フェースを介して接続された管理コントローラと、を含む。 管理コントローラは、前記コンピュータ・システムに、少なくとも２つモード の間での選択を提供する。第１のモードにおいては、前記管理コントローラは、 前記コンピュータ・システムを前記第１の記憶領域と前記第１のネットワークと に接続し、第２のモードにおいては、前記管理コントローラは、前記コンピュー タ・システムを前記第２の記憶領域に接続する。 前記管理コントローラは、コマンドの前の任意のリセット信号を検出して、選 択されたモードに従って動作させる。モードの選択は、コンピュータ・システム を動作させているユーザ、又は、ソフトウェア・アプリケーションによって、提 供され得る。コマンドは、選択されたモードに従って動作させるためには、リセ ット信号の前に送ることもできることに注意すべきである。 本発明のある特徴によると、この装置は、第２のネットワークに接続する第３ の通信インターフェースと、前記コンピュータ・システムに接続する第４の通信 インターフェースと、を更に備えている。この特徴によると、この装置は、前記 第２のネットワークと前記コンピュータ・システムとの間に、前記第３及び第４ の通信インターフェースを介して接続されている。この装置は、第２の動作モー ドに従って、前記第２のネットワークとの間のアクセスと、コンピュータ・シス テムへのアクセスとをイネーブル又はディセーブルすることができる。 本発明の別の側面によると、この装置は、警告や停止などの様々な状況に関係 する指示に加えて現在の動作モードの指示を提供する。この装置は、ディスプレ イ・ユニット、オーディオ発生ユニット、振動発生ユニットなどを含むこともあ る。また、この装置は、コンピュータ・ステーションのマルチメディア能力を用 いてこれらの指示を発することもできる。 この装置は、更に、前記管理コントローラに接続されており、オペレーティン グ・システム・ソース・ユニットに接続する第１のリセット入力・出力インター フェースと、前記管理コントローラに接続されており、コンピュータ・システム に接続する第２のリセット入力・出力インターフェースと、を備えている。管理 コントローラは、前記オペレーティング・システム・ソース・ユニットへの前記 コンピュータ・システムのアクセスを可能にしたり否定したりするように動作可 能である。 オペレーティング・システム・ソース・ユニットは、磁気媒体ドライブと、光 学的媒体ドライブと、電子光学的媒体ドライブと、通信リンクと、不揮発性メモ リと、から構成されるグループから選択される。不揮発性メモリは、ＲＯＭ、Ｆ ＲＡＳＨ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、バッテリ・サポートされたＲＡＭなどか ら構成されるグループから選択される。 本発明の別の側面によると、通信制御装置を動作させる方法が提供される。こ の装置は、少なくとも１つの記憶ユニットと、少なくとも１つの周辺機器と、コ ンピュータ・ステーションとの間に接続されている。この装置は、第１の所定の 動作モードと、少なくとも１つの別の追加的な動作モードとを提供する。 この方法は、 前記コンピュータ・ステーションから受信されたブート信号を検出するステッ プ と、 メニュ手順を実行するステップと、 選択された動作モードに従って動作させるユーザからの命令を受信するステッ プと、 前記選択された動作モードに従って、前記少なくとも１つの記憶ユニットの選 択された領域への前記コンピュータ・ステーションのアクセスをイネーブルする ステップと、 前記選択された動作モードに従って、前記少なくとも１つの記憶ユニットの選 択されていない領域への前記コンピュータ・ステーションのアクセスをディセー ブルするステップと、 前記選択された動作モードに従って、前記少なくとも１つの周辺機器の選択さ れた領域への前記コンピュータ・ステーションのアクセスをイネーブルするステ ップと、 前記選択された動作モードに従って、前記少なくとも１つの周辺機器の選択さ れていない領域への前記コンピュータ・ステーションのアクセスをディセーブル するステップと、 を含む。 本発明による方法は、また、 別の選択された動作モードに従って動作させるユーザからの命令を受信するス テップと、 前記コンピュータ・ステーションへの再起動コマンドを提供するステップと、 前記コンピュータ・ステーションから受信されたブート信号を検出するステッ プと、 前記別の選択された動作モードに従って、前記少なくとも１つの記憶ユニット の選択された領域への前記コンピュータ・ステーションのアクセスをイネーブル するステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの記憶ユニット の選択されていない領域への前記コンピュータ・ステーションのアクセスをディ セーブルするステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの周辺機器の選 択された領域への前記コンピュータ・ステーションのアクセスをイネーブルする ステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの周辺機器の選 択されていない領域への前記コンピュータ・ステーションのアクセスをディセー ブルするステップと、 を含む。 本発明による方法は、更に、 別の選択された動作モードに従って動作させるユーザからの命令を受信するス テップと、 前記コンピュータ・ステーションへの再起動コマンドを提供するステップと、 前記コンピュータ・ステーションから受信されたブート信号を検出するステッ プと、 前記コンピュータ・ステーションにブート・コマンドを提供するステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの記憶ユニット の選択された領域への前記コンピュータ・ステーションのアクセスをイネーブル するステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの記憶ユニット の選択されていない領域への前記コンピュータ・ステーションのアクセスをディ セーブルするステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの周辺機器の選 択された領域への前記コンピュータ・ステーションのアクセスをイネーブルする ステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの周辺機器の選 択されていない領域への前記コンピュータ・ステーションのアクセスをディセー ブルするステップと、 を更に含むことを特徴とする方法。 ブート・コマンドは、ハードウェア又はソフトウェア・ブート・コマンドであ る。ブート・コマンドの後には、コンピュータ・ステーションのメモリをリセッ トする こともできる。 本発明の別の側面によると、コンピュータにおける被保護領域を保護する装置 を動作させる方法が提供される。このコンピュータ・システムは、記憶装置を備 えており、前記記憶装置は、第１の記憶領域と第２の記憶領域とを含み、前記第 １及び第２の記憶領域は、それぞれが、マスタ・ブート・レコード（ＭＢＲ）を 含む。 この装置は、前記記憶装置に接続する第１の入力・出力（Ｉ／Ｏ）インターフ ェースと、前記コンピュータ・システムに接続する第２の入力・出力（Ｉ／Ｏ） インターフェースと、前記記憶装置と前記コンピュータ・システムとの間に前記 第１及び第２のＩ／Ｏインターフェースを介して接続された管理コントローラと 、を備えており、この装置は、前記第１の記憶領域を一次記憶ユニットとして前 記コンピュータに接続しながら、他方で、前記第２の記憶領域へのアクセスを否 定する。この方法は、 前記コンピュータ・システムをディセーブルするステップと、 前記第２の記憶領域を前記一次記憶ユニットとして前記コンピュータに接続し 、前記第１の記憶領域を二次記憶ユニットとして前記コンピュータに接続するス テップと、 前記コンピュータ・システムを前記一次記憶ユニットから起動させるステップ と、 を含む。 本発明の方法は、前記ディセーブルするステップの前に、無権限コードの存在 を検出するステップを更に含み、前記ディセーブルするステップは、前記検出す るステップの結果として実行される。 本発明の方法は、前記無権限コードに関連付けされた予め定義されたソフトウ ェアを実行するステップを更に含む。無権限コードの検出は、無権限データ・ア クセスを検出することを含む。 図面の簡単な説明 本発明は、以下の詳細な説明を、添付の図面を参照して読むことによって、よ り完全に理解できるはずである。 図１は、本発明の好適実施例に従って構成され動作する、保護された情報通信 を提供するネットワークの概略的な図解である。 図２は、本発明による図１のサーバに関する詳細な図解である。 図３は、本発明による図１のノードとそのための通信コントローラとの詳細な 図解である。 図４は、図１に示されている別のノードに関する詳細な図解である。 図５は、通信コントローラを動作させて、本発明の別の好適実施例によって動 作するコンピュータへの制限的な通信アクセスを提供する方法の概略図である。 図６は、コンピュータ・システムと、本発明の別の好適実施例に従って構成さ れ動作する、通信の間にコンピュータ・システムのセキュリティを守る装置とで ある。 図７は、コンピュータ・システムと、本発明の更に別の好適実施例に従って構 成され動作する、コンピュータ・システムとその環境とを通信の間に保護する装 置との概略的な図解である。 図８は、本発明の更に別の実施例に従って動作する、図１、６及び７に示され ている通信コントローラを動作させる方法の概略的な図解である。 図９は、図１に示された別のノードに関する詳細の図解である。 図１０は、コンピュータ・ステーションと、本発明の好適実施例に従って構成 され動作する通信装置との概略的な図解である。 図１１は、本発明の好適実施例に従って構成され動作する、コンピュータ・シ ステムと、記憶ユニットと、通信装置と、通信の間にコンピュータ・システムを 保護するポータブル・デバイスとの概略的な図解である。 図１２は、本発明の更に別の好適実施例に従って構成され動作するログ・ユニ ットの概略的な図解である。 図１３は、本発明の更に別の好適実施例に従って動作する、図１２のログ・ユ ニットの動作方法の概略的な図解である。 図１４は、本発明の別の好適実施例に従って構成され動作するコンピュータと 装置との概略的な図解である。 図１５は、本発明の別の好適実施例に従って動作するコンピュータに対して制 限的なデータ及び通信アクセスを提供するＩ／Ｏ及び通信制御装置の動作方法の 概略的な図解である。 図１６は、本発明による装置を制御し、それぞれがマスタ・ブート・レコード を 含み本発明の別の好適実施例に従って動作する被保護記憶領域と公共記憶領域と を制御する方法の概略的な図解である。 好適実施例の詳細な説明 本発明は、複数のコンピュータから成るシステムにおいて、データを送信及び 記憶する新規な原理を定義するいくつかの側面を含む。 本発明のある側面によると、被保護領域(secured areas)と公共領域(public a reas)とは、物理的に分離される。従って、本発明によるネットワーク・システ ムは、少なくとも２つの通信ネットワークを含むことになり、これらのネットワ ークの少なくとも１つは、被保護ネットワークとして定義され、それによって、 機密情報は、一般に、被保護領域を介して送信される。公共領域と被保護領域と の間には、直接的な接続は存在しない。 本発明の別の側面によると、機密的な送信は、物理的に少なくとも２つの要素 に分割され、その中の少なくとも所定の１つは、元の送信を再構成することが要 求される。この所定の要素は、被保護ネットワークを介して送信され、被保護記 憶領域に記憶されるが、これらは共に、通信のメイン・チャネルからは、物理的 に切断することができる。 本発明の第１の実現例によると、第１の要素は、機密データの一部分を含み、 第２の要素は、機密データの相補的な要素を含む。 本発明の第２の実現例によると、第１の要素は、機密データを暗号化された形 式で含み、第２の要素は、暗号化・復号化ソフトウェアを含む。 本発明の第３の実現例によると、第１の要素は、機密データを暗号化された形 式で含み、第２の要素は、暗号化・復号化鍵を含む。 次に、図１を参照するが、これは、本発明の好適実施例に従って構成され動作 する、被保護情報通信を提供するネットワーク１の概略的な図解である。 ネットワーク１は、複数のノード２０、３０、４０、５０、６０、７０と、サ ーバ４と、公共ネットワーク６を、被保護ネットワーク８とを含む。すべてのノ ード２０、３０、４０、５０、６０、７０は、公共ネットワーク６を介して相互 に接続されている。 この例では、ノード２０、３０、４０、６０はまた、被保護ネットワーク８を 介 しても相互接続されている。公共ネットワーク６もまた、外部のネットワークに 接続されている。この例では、外部のネットワークは、インターネット８０であ る。 サーバ４は、中央処理装置（ＣＰＵ）１０と、記憶ユニット１４と、コントロ ーラ１２とを含む。コントローラ１２は、ネットワーク６及び８からの送信を受 け取り、それらを記憶ユニット１４の様々な場所に書き込むように構成されてい る。記憶ユニット１４は、少なくとも２つの領域、すなわち、公共領域１６と被 保護領域１８とに分割される。公共領域１６は、機密ではない情報を含み、他方 で、被保護領域１８は、機密情報を含む。 ノード２０は、ネットワーク６及び８上で、機密情報を送信及び受信すること ができる被保護ノードである。ノード２０は、コンピュータ・ステーション２１ と、記憶ユニット２２と、通信コントローラ２８とを含む。通信コントローラ２ ８は、コンピュータ・ステーション２１と、記憶ユニット２２と、公共ネットワ ーク６と、被保護ネットワーク８とに接続されている。記憶ユニット２２は、２ つの記憶領域、すなわち、公共記憶領域２６と被保護記憶領域２４とに分割され る。 通信コントローラ２８は、ノード２０への及びノード２０からのすべての通信 を制御する。通信コントローラ２８は、公共記憶領域２６と、ネットワーク６及 び８の両方とへのアクセスを提供する。 ノード２０では、公共ネットワーク６とのすべての通信は、通信コントローラ ２８を通過する。従って、通信コントローラ２８は、コンピュータ２１と公共ネ ットワーク６との間のすべての通信をモニタし、制御する。 ノード３０は、ネットワーク上で機密情報を送信及び受信することができる被 保護ノードである。ノード３０は、コンピュータ・ステーション３１と、記憶ユ ニット３２と、通信コントローラ３８とを含む。通信コントローラ３８は、コン ピュータ・ステーション３１と、記憶ユニット３２と、公共ネットワーク６と、 被保護ネットワーク８とに接続されている。コンピュータ３１は、また、公共ネ ットワーク６に接続されている。記憶ユニット３２は、２つの記憶領域、すなわ ち、公共記憶領域３６と被保護記憶領域３４とに分割される。 通信コントローラ３８は、公共ネットワークから受け取るすべての送信をモニ タし、それによって、被保護記憶領域３４へのアクセスの試みを検出する。その よう な試みが検出されると、通信コントローラは、被保護鋭気３４へのアクセスを否 定し、警告手順を実行して、ノード３０のユーザに警告する。 ノード４０は、ネットワーク６及び８上で機密情報を送信及び受信することが できる被保護ノードである。ノード４０は、コンピュータ・ステーション４１と 、公共記憶ユニット４６と、被保護記憶ユニット４４と、通信コントローラ４８ とを含む。通信コントローラ４８は、コンピュータ・ステーション４１と、被保 護記憶ユニット４４と、被保護ネットワーク８とに接続されている。コンピュー タ４１は、また、公共ネットワーク６と公共記憶ユニット４６とに接続されてい る。 通信コントローラ４８は、被保護記憶ユニット４４へのアクセスを提供する。 公共ネットワーク６は、コンピュータ４１を介して公共記憶領域４６へのアクセ スを有する。 ノード５０は、記憶ユニット５４と、それと公共ネットワーク６とに接続され たコンピュータ５２とを有する保護されていないノードである。ノード６０は、 記憶ユニット６４とコンピュータ６２とを有する保護されていないノードである 。記憶ユニット６４とコンピュータ６２とは、公共ネットワーク６に接続されて いると共に、相互にも接続されている。 ノード５０及び６０は、公共ネットワーク６にだけ接続されており、従って、 被保護記憶領域３４、４４、２４、１８のいずれかに記憶されている機密情報の どれに対してもアクセスする権限を有していないことに注意すべきである。 ノード７０は、コンピュータ７１と、記憶ユニット７２と、通信コントローラ ７８とを有する局所的に保護されたノードである。記憶ユニット７２は、２つの 記憶領域、すなわち、公共記憶領域７６と被保護記憶領域７４とに分割される。 通信コントローラ７８は、記憶ユニット７２と、公共ネットワーク６と、コン ピュータ７１とに接続されている。コンピュータ７１は、公共ネットワーク６に 接続されている。通信コントローラ７８は、コンピュータ７１がネットワーク６ と通信状態にあることを検出すると、被保護記憶領域７４へのすべてのアクセス を否定する。 本発明によると、通信コントローラ１２、２８、３８、４８、７８は、それぞ れが、公共ネットワーク６から受信される送信のすべてをモニタし、それによっ て、 それに接続された被保護記憶領域へのアクセスの試みを検出する。そのような試 みが検出されると、それぞれの通信コントローラは、関連する被保護領域へのア クセスを否定し、警告手順を実行して、そのノード又はサーバを用いているすべ てのユーザに警告する。 本発明によると、第１及び第２のセグメントを決定する上述の３つの実現例は 、すべてが、この例に関して使用可能であり、第１のセグメントは、受信側ノー ドの公共記憶領域に記憶され、第２のセグメントは、受信側ノードの被保護記憶 領域に記憶される。このような場合には、サーバは、ノードとして考えることが できることに注意すべきである。 本発明によると、任意のノードから任意のノードへの機密ではないデータは、 公共ネットワーク６上を送信し、受信側ノードの公共記憶領域に記憶することが できる。機密情報は、公共ネットワーク６を送信することができるが、その際に は、第１及び第２のセグメントに分割され、それに従って記憶されるが、第１の セグメントは、受信側ノードの公共記憶領域に記憶され、第２のセグメントは、 受信側ノードの被保護記憶領域に記憶される。 例えば、サーバ４からの機密情報の検索は、２つのセグメントに分割された検 索要求を送信することによって実行される。その場合に、第１のセグメントは、 メイン・ネットワーク６上を、目的地のノードまで送信され、第２のセグメント は、被保護ネットワーク８上を、目的地のノードまで送信される。従って、被保 護ネットワーク８に接続されたノードだけが、機密情報を再構成するのに必要な ２つのセグメントを受信する。 よって、被保護領域１８に記憶されたデータを変更する要求は、少なくとも部 分的には被保護ネットワーク８を介して受信された場合にだけ、実行される。 ファイルのセグメントへの分割は、様々な方法に従って実行される。例えば、 元のファイルにおけるすべての奇数ビットから第１のセグメントを生成する、元 のファイルにおけるすべての偶数ビットから第２のセグメントを生成する、ファ イルを半分にする、ファイルを所定の多数のセグメントに分割する、などである 。 本発明のある側面によると、公共ネットワーク６と被保護ネットワーク８とは 、共に、同じ通信媒体上に、異なった方法で実現される。例えば、公共ネットワ ーク ６は、第１の所定の周波数での変調された送信によって表され、被保護ネットワ ーク８は、第２の所定の周波数での変調された送信によって表される。更に、通 信ネットワーク６及び８の任意のものは、ケーブル通信、無線通信、光通信など で構成することができる。 この例によると、２つのノードの間での機密情報の通信は、被保護ネットワー ク８を介して接続されたノードの間でのみ実行することができる。例えば、ノー ド４０が機密情報をノード２０に転送する必要があるときには、その機密情報は 、２つの要素に分割される。これらの２つの要素は、ノード４０からノード２０ に送信されるが、その際に、第１の要素は、公共ネットワーク６上を送信され、 第２の要素は、被保護ネットワーク８の上を送信される。 次に図２を参照するが、この図は、図１のサーバ４の詳細と、本発明による通 信コントローラ１２とを図解している。 通信コントローラ１２は、公共ネットワーク６に接続されたネットワーク・イ ンターフェース９２と、被保護ネットワーク８に接続されたネットワーク・イン ターフェース９０と、記憶ユニット１４に接続された入力／出力（Ｉ／Ｏ）イン ターフェース９６と、ＣＰＵ１０に接続されたＩ／Ｏインターフェース９４と、 管理コントローラ９８とを含む。管理コントローラ９８は、また、ネットワーク ・インターフェース９２と、ネットワーク・インターフェース９０と、Ｉ／Ｏイ ンターフェース９６と、Ｉ／Ｏインターフェース９４とにも接続されている。 管理コントローラ９８は、被保護記憶領域１８へのアクセスを提供し、被保護 ネットワーク８を介して提供される要求にだけアクセスする。 本発明によると、アクセス要求は、複数のデータ・セグメントを含むが、これ らのセグメントの中のいくつかは、公共ネットワーク６７から受信され、残りは 、被保護ネットワーク８から受信される。 管理コントローラ９８は、これらのデータ・セグメントを、元のアクセス要求 を形成するように再び合成して、それを実行する。 このように、少なくとも部分的には被保護ネットワーク８から受信される場合 か、被保護ネットワーク８に接続されたコンピュータ２０、３０、４０の１つに よって機密情報と元々判断される場合かのどちらかであれば、情報は、被保護記 憶領域１ ８に記憶することができる。被保護情報のすべてが被保護ネットワーク８上を送 信されるときには、セキュリティが強化されることは、理解できよう。 本発明によれば、機密情報ファイルは、サーバ４に、少なくとも２つのセグメ ントに分割されて到着する。この機密情報ファイルは、いくつかの記憶及び検索 モードに従って、被保護記憶領域１８に記憶することができるし、被保護記憶領 域１８と公共情報記憶領域１６とに記憶することもできる。 ある記憶モードによると、管理コントローラ９８は、複数のセグメントに分割 された機密情報ファイルを受信する。管理コントローラ９８は、次に、これらの セグメントのいくつかを被保護領域１８に記憶し、残りのセグメントを公共記憶 領域１６に記憶する。 別の記憶モードによると、管理コントローラ９８は、すべてのセグメントを合 成して、１つのファイルを形成し、それを被保護情報記憶領域１８に記憶する。 更に別の記憶モードによると、管理コントローラ９８は、機密情報ファイルを 、セグメント化された形式で被保護記憶領域に記憶する。このモードによると、 記憶ユニット１４からこの情報を検索することを要求されると、管理コントロー ラ９８は、機密情報ファイルを形成するセグメントにアクセスして、それらを、 全く処理やリアセンブリングなどを行わずに送信する。 本発明の別の側面によると、サーバ４は、機密情報の元のファイルを、機密情 報のセグメントからリアセンブルし、それを、被保護情報記憶領域１８に１つの ファイルとして記憶する。 次に図３を参照するが、この図は、図１のノード２０の詳細と、本発明による 通信コントローラ２８との図解である。 通信コントローラは、公共ネットワーク６と接続するための通信インターフェ ース１５０と、被保護ネットワーク８に接続するための通信インターフェース１ ５４と、データをノード２０の内部に方向付けるためのスイッチング・ユニット １５２とを含む。２つのネットワーク６及び８の任意のものとのノード２０の通 信は、通信コントローラ２８を介して実行されなければならない。 次に図４を参照するが、これは、図１のノード３０の詳細の図解である。 コンピュータ３１は、ワークステーション３３と、それに接続された通信イン タ ーフェース３５とを含む。通信コントローラ３８は、通信検出器１６２と、管理 コントローラ１６０と、コントローラ・インターフェース１６６と、Ｉ／Ｏイン ターフェース１６４と、通信インターフェース１６８とを含む。 通信検出器１６２は、管理コントローラ１６０と公共ネットワーク６とに接続 されており、コンピュータ３１から受信された通信を検出する。コンピュータ・ インターフェース１６６は、管理コントローラ１６０とコンピュータ３１とに接 続されている。Ｉ／Ｏインターフェース１６４は、管理コントローラ１６０と記 憶ユニット３２とに接続されている。 通信インターフェース１６８は、管理コントローラ１６０と被保護ネットワー ク８とに接続されている。 通信インターフェース１６８は、モデムやイーサネット・インターフェースな どの、従来型のＷＡＮまたはＬＡＮインターフェースである。この例によると、 コンピュータ３１は、公共ネットワーク６上を、通信インターフェース３５を直 接に介して通信することができる。 コンピュータ３１は、通信インターフェース３５を介して公共ネットワーク６ からアクセス要求を受信する。コンピュータ３５は、これらの要求を、コンピュ ータ・インターフェース１６６を介して、管理コントローラ１６０に提供する。 管理コントローラ１６０は、公共記憶ユニット３６から情報を検索し、それを、 コンピュータ３１に提供し、コンピュータ３１は、それを、通信インターフェー ス３５を介して公共ネットワーク６に送信する。 管理コントローラ１６０はまた、公共ネットワーク６から直接にアクセス要求 を検出し、それらを処理する。管理コントローラ１６０が被保護記憶領域３４に 記憶された情報に関係する情報要求を検出する場合には、コントローラ３１によ って提供されたこの情報への対応する要求は、否定される。 公共ネットワーク６と、コンピュータ３１や公共記憶領域３６などのノード３ ０の保護されていない領域との間の制限されていない通信は、通信インターフェ ース３５を直接に介して提供され、それらは、通信コントローラ３８によって割 り込みをされることはないことに注意すべきである。 通信コントローラ３８はまた、完全な分離セキュリティ・モードも提供する。 こ のモードによると、通信検出器１６２は、コントローラ３１が公共ネットワーク ６と通信していることを検出すると、Ｉ／Ｏインターフェース１６４と通信イン ターフェース１６８とを物理的にディセーブルし、よって、被保護記憶領域３４ と被保護ネットワークとへのすべてのアクセスを消去する。 図１を再び参照すると、本発明の更に別の側面が提供されており、この場合に は、ノード４０が、セキュリティ管理ステーションとして定義される。従って、 ノード２０などの被保護ノードが被保護記憶領域２４から、例えばノード５０な どの保護されていないノードにデータを送信することを望むと、ノード２０は、 このデータをノード４０に送信する。ノード４０は、このデータを受信し、それ を被保護記憶ユニット４４に記憶し、更に、それを上記の管理ステーションに提 供する。管理ステーションがその承認を与えると、ノード４０は、データを公共 記憶ユニット４６に転送し、更に、それをノード５０に送信する。本発明の追加 的な側面によると、ノード４０は、「記憶及びフォワード」バッファとして動作 するので、それにより、任意の時点で、公共ネットワーク６又は被保護ネットワ ーク８のどちらかと通信状態にあり、しかし、両方のネットワークと通信してい ることはない。これは、通信コントローラ４８は、コンピュータ４１が公共ネッ トワーク６から切断されているときにだけ、被保護ネットワーク８との通信を提 供する。本発明のこの側面によると、公共ネットワーク６と被保護ネットワーク ８との間には、ノード４０を介してのオンライン通信は存在することはできない 。 次に図５を参照する。この図は、通信コントローラを動作させ、制限された通 信アクセスを、本発明の別の好適実施例に従って動作しているコンピュータに提 供する方法の概略図である。 ステップ２００において、通信コントローラは、送信を受信する。 ステップ２０２において、通信コントローラは、受信した送信に含まれる要求 のタイプを判断する。受信した送信が、データ変更、フォーマット削除、移動、 コピーなどの書き込みアクセス要求を含む場合には、コントローラは、ステップ ２０４に進む。受信した送信が読み出しアクセス要求を含む場合には、コントロ ーラは、ステップ２２０に進む。 ステップ２０４では、通信コントローラは、送信の少なくとも一部分が被保護 ネ ットワークを介して受信されたかどうかを判断する。そうである場合には、通信 コントローラは、ステップ２０６に進む。そうでない場合には、通信コントロー ラは．ステップ２１４に進む。 ステップ２０６では、通信コントローラは、上述した記憶モードを判断する。 このモードによると、送信は、記憶され、ステップ２０８、２１０、２１２それ ぞれに進む。 ステップ２１４では、通信コントローラは、送信の要求されている目的地が被 保護領域であるかどうかを判断する。そうである場合には、通信コントローラは 、ステップ２１８に進む。そうでなければ、通信コントローラは、ステップ２１ ６に進む。 ステップ２１６では、通信コントローラは、送信を公共記憶領域に記憶する。 ステップ２１８では、通信コントローラは、警告手順を実行する。そのような 警告手順は、被保護領域へのアクセスを否定し、通信コントローラに接続された コンピュータを動作させているユーザに警告メッセージ又は信号を与え、通信コ ントローラを含むノードにおける選択された活動を停止させる、ものでありうる 。 読み出しのためには、通信コントローラは、ステップ２２０において、送信の 少なくとも一部分が被保護ネットワークを介して受信されたかどうかを判断する 。そうである場合には、通信コントローラは、ステップ２２２に進む。そうでな い場合には、通信コントローラは、ステップ２２４に進む。 ステップ２２２では、通信コントローラは、送信に含まれるアクセス要求に従 って、データを検索する。 ステップ２２４では、通信コントローラは、送信の要求されている目的地が被 保護領域であるかどうかを判断する。そうである場合には、通信コントローラは 、ステップ２１８に進む。そうでない場合には、通信コントローラは、ステップ ２２６に進む。 ステップ２２６では、通信コントローラは、送信に含まれるアクセス要求に従 って、公共記憶領域からデータを検索する。 次に図６を参照する。この図は、コンピュータ・システム３９０と、本発明の 更に別の好適実施例に従って構成され動作する、通信の間にこのコンピュータ・ シス テムを保護する装置３００との概略的な図解である。 コンピュータ・システム３９０は、中央処理装置（ＣＰＵ）３１０と、メモリ ・ユニット３１４と、記憶ユニット３１６と、通信ネットワーク３２４に接続す る通信インターフェース３１２と、通信バス３２２とを含む。本発明による装置 ３００は、プロセッサ３０２と、それに接続されたスイッチング・ユニット３０ ４とを含む。 記憶ユニット３１６は、２つの領域、すなわち、公共領域３１８と被保護領域 ３２０とに分割される。装置３００は、記憶ユニット３１６を含み、通信バス３ ２２を介しての公共領域３１８へのアクセスと、ＣＰＵ３１０や通信インターフ ェース３１２などのコンピュータ・システム３９０のすべての構成要素へのアク セスとを提供する。 プロセッサ３０２は、スイッチ３０４を制御し、被保護領域３２０へのアクセ スを許可又は否定する。本発明のある側面によると、装置３００は、通信の最中 と、通信の直後とに、分析管理を提供する。被保護領域３２０へのアクセス否定 は、複数の方法で実現することができるが、これには、完全なアクセスの否定や 、リード・オンリのアクセス提供などがある。 本発明によると、ネットワーク３２４とのオンラインでの通信の間は、装置３ ００は、被保護領域３２０をコンピュータ・システムから切断し、それへのアク セスをすべて否定する。更に、プロセッサ３０２は、通信バス３２２上のすべて のデータ転送をモニタし、記憶ユニット３１６の向上領域３１８におけるデータ 変更を検出し、そこからのログ・ファイルを生成する。 コンピュータ・システム３９０がネットワーク３２４から切り離されていると きには、プロセッサ３０２は、被保護領域から分析ソフトウェア・アプリケーシ ョンを検索し、セキュリティ・キーを生成して、そのセキュリティ・キーを分析 ソフトウェアに提供する。この例では、分析ソフトウェア・アプリケーションは 、アンチビールス・スキャニング・ソフトウェアである。次に、プロセッサ３０ ２は、分析ソフトウェア・アプリケーションをＣＰＵ３１０に提供する。ＣＰＵ ３１０は、公共領域３１８におけるすべてのデータ変更に関するログ・ファイル に従って、分析ソフトウェア・アプリケーションを実行する。 分析ソフトウェア・アプリケーションは、敵対的なソフトウェア、又は、疑わ しいデータ変更を全く検出しない場合には、セキュリティ・キーをプロセッサ３ ０２に戻す。次に、プロセッサ３０２は、スイッチング・ユニット３０４を動作 させ、被保護領域３２０へのアクセスをイネーブルする。 装置３００は、いくつかの方法及びパラメータに従って、被保護領域３２０へ のアクセスを否定するように動作する。本発明のある側面によると、被保護領域 ３２０は、アドレスに従って物理的に定義される。従って、アクセスは、選択さ れたアドレスに対して否定され、残りのすべてに対して与えられる。この実現例 のためのプロセッサは、被保護領域のアドレスへのアクセスを自動的に否定する いくつかの論理ＮＡＮＤゲートから構成することができる。 本発明の別の側面によると、被保護領域３２０は、アクセスが否定されるファ イル名、ディレクトリ名、論理属性などに従って、定義される。 オンラインでの通信状況の検出は、複数の方法で可能である。ある方法によると 、検出は、専用の通信インターフェースを介しての通信ラインへの直接の接続を 介して、提供される。この様子は、図３の通信コントローラ２８との関係で説明 されている。また、装置３００は、通信ラインに、例えば、通信ケーブルの近傍 に生じる電磁場を感知し、そこでのすべての活動をモニタすることによって、間 接的に接続される。この様子は、参照場暗号３２８で示されている。更に、コン ピュータ・システム３９０か通信インターフェースかのどちらかが、通信状況に 関する情報を装置３００に提供する。更にまた、通信ソフトウェアなどの指定さ れたソフトウェア・アプリケーションが、通信状況に関する情報を装置３００に 提供する。 次に図７を参照する。この図は、コンピュータ・システム４９０と、本発明の 別の好適実施例に従って構成され動作する、通信の最中にこのコンピュータ・シ ステムとその環境とを保護する装置４００との概略的な図解である。 コンピュータ・システム４９０は、中央処理装置（ＣＰＵ）４０６と、メモリ ・ユニット４１０と、記憶ユニット４１６と、ＷＡＮ通信ネットワーク４２８に 接続するためのＷＡＮ通信インターフェース４０８と、ＬＡＮ通信ネットワーク ４２６に接続するためのＬＡＮ通信インターフェース４２４と、通信バス４２２ とを含む。装置４００は、プロセッサ４０２と、それに接続されたスイッチング ・ユニット４ ０４とを含む。これは、限定的ではない例であり、通信ネットワーク４２８及び ４２６のそれぞれは、ＷＡＮ、ＬＡＮ、無線通信ネットワーク、光ベースのネッ トワークなど、任意のタイプのネットワークでありうることを、理解すべきであ る。 記憶ユニット４１６は、２つの領域、すなわち、公共記憶領域４１８と、被保 護記憶領域４２０とに分割される。メモリ・ユニット４１０は、２つの領域、す なわち、公共メモリ領域４１２と被保護メモリ領域４１４とに分割される。本発 明のある側面によると、２つの記憶領域４１８及び４２０は、２つの部分に分け られている１つの記憶ユニットでよく、これは、装置４００によって、完全に制 御される。 本発明の別の側面によると、２つの記憶領域４１８及び４２０は、相互に接続 されていない２つの別個の記憶ユニットであり、装置４００は、被保護記憶領域 ４１８へのアクセスを完全に制御し、公共記憶領域４２０上で分析手順を実行す るように構成されている。 本発明の別の側面によると、記憶領域４１８及び４２０のそれぞれは、複数の 記憶ユニットを含む。 公共記憶領域４１８と、公共メモリ領域４１２と、ＣＰＵ４０６と、ＷＡＮ通 信インターフェース４０８ｊと装置４００とは、通信バスを介して相互接続され ている。 被保護記憶領域４２０と、被保護メモリ領域４１４とＬＡＮ通信インターフェ ース４２４とは、スイッチング・ユニット４０４に接続されている。 プロセッサ４０２は、スイッチング・ユニット４０４を制御して、被保護記憶 領域４２０と被保護メモリ領域４１４とＬＡＮ通信インターフェース４２４とへ のアクセスを許容又は否定する。コンピュータ・システム４９０がＷＡＮネット ワークとＷＡＮ通信インターフェース４０８を介して通信しているときには、ア クセスは、拒否される。 装置４００は、装置３００をほぼ同様に動作する。装置４００は、従って、図 ９に関して以下で述べる方法に従って動作し、この方法において判断差あれるセ キュリティ・フラグがオンである限りは、被保護記憶領域４２０と、被保護メモ リ領域４１４と、ＬＡＮ通信インターフェース４２４とへのアクセスは、否定さ れる。 本発明の更に別の側面によると、プロセッサ４０２は、被保護メモリ領域にお い て分析ソフトウェア・アプリケーションを実行するように動作する。このアプリ ケーションは、ＷＡＮ通信が切断された後で、公共メモリ領域４１２と公共記憶 領域４１８とをスキャンする。従って、分析ソフトウェア・アプリケーションは 、敵対的なプログラムや外部のユーザなどの権限のない要素には、決してアクセ スしない。 本発明によると、装置４００は、通信の間に、それに接続された任意の装置へ のアクセスを否定し、無権限でのアクセスを防止することができる。 次に図８を参照する。この図は、本発明の更に別の実施例に従って動作する装 置２８、３８、４８（図１）、３００（図６）、４００（図７）の動作方法の概 略を図解している。この例では、説明は、図６の装置３００と、コンピュータ・ システム３９０とを参照している。この方法は、次のステップを含む。 ステップ５００では、装置は、セキュリティ・フラグをオフにセットする。 ステップ５０２では、装置３００は、コンピュータ３９０がオンラインの通信 を実行するかどうかを検出する。実行する場合には、装置は、ステップ５０４に 進む。そうでない場合には、装置は、ステップ５０７に進む。オフラインでの通 信は、通信インターフェースが接続されネットワークと通信している間に、−時 的に又は恒久的に、通信インターフェース（例えば、モデム）がネットワークか ら切断されているか、コンピュータが通信インターフェースから切断されている か、どちらかのときに、定義される。 ステップ５０４では、装置３００は、被保護領域３２０をコンピュータ・シス テム３９０の残りの部分から切断する。 ステップ５０６では、装置３００は、セキュリティ・フラグをオンにして、入 来データ等に起因して通信の最中にコンピュータ・システム３９０とその公共記 憶領域とに生じるデータ変化のログ・ファイルを生成する。同時に、この装置は 、ステップ５０２に戻り、通信がオンラインであることを確認する。 ステップ５０７では、セキュリティ・フラグがオンである場合には、装置は、 ステップ５０８に進む。 ステップ５０８では、装置３００は、セキュリティ・キーを生成し、ステップ ５１０に進む。 ステップ５１０では、装置３００は、被保護領域から分析ソフトウェア・アプ リ ケーションを検索し、セキュリティ・キーをその分析ソフトウェア・アプリケー ションに提供して、それらを共に、ＣＰＵ３１０に提供する。 ステップ５１２では、ＣＰＵは、ログ・ファイルによるとオンライン通信の間 に生じたデータ変化すべてに対して、分析ソフトウェア・アプリケーションを実 行する。分析ソフトウエア・アプリケーションが何らかの敵対的な試みがなされ 含まれている情報を損傷したかどうかを検出する。そうである場合には、コンピ ュータ・システム３９０は、ステップ５１６に進む。そうでない場合には、シス テム３９０は、ステップ５１４に進む。 ステップ５１４では、分析ソフトウェア・アプリケーションは、セキュリティ ・キーをプロセッサ３０２に戻し、プロセッサ３０２は、被保護領域３２０への アクセスをイネーブルし、ステップ５００に戻る。 ステップ５１６では、コンピュータ・システム３９０は、ユーザに、警告を与 え、停止する。 セキュリティ・キーは、好ましくは、被保護領域３２０における暫定的なデー タ状況に従って生成される。セキュリティ・キーは、また、内部的な乱数発生器 などに従って、被保護領域３２０とは独立な一時的なキーとして生成される。こ の主な理由は、権限のなくこのキーをプロセッサ３０２に提供しようとする要素 からのこのセキュリティ・キーへのすべての可能性のあるアクセスを最小化し、 好ましくは消去するためである。 次に、図９を参照する。この図は、図１のノード７０の詳細な図解である。 本発明による通信コントローラ７８は、プロセッサ６０２と、スイッチング・ ユニット６０４と、通信インターフェース６０６と、入力・出力（Ｉ／Ｏ）イン ターフェース６０８と、コンピュータ・インターフェース６１０とを含む。通信 コントローラ７８は、通信インターフェース６０６を介してネットワーク６に、 Ｉ／Ｏインターフェース６０８を介して記憶ユニット７２に、コンピュータ・イ ンターフェース６１０を介してコンピュータ・システム７１に、接続されている 。記憶ユニット７２は、２つの主な部分、すなわち、公共部分７６と被保護部分 ７４とに分割される。この例によると、Ｉ／Ｏインターフェースは、ＩＤＥ−Ａ ＴＡ又はＳＣＳＩディスク・コントローラのどちらかである。 通信インターフェース６０６は、ネットワーク６のタイプに従って選択され、 ダイアルアップ・モデム、ＷＡＮモデム、ＬＡＮモデム、光モデム、ＩＳＤＮモ デム、ケーブルテレビ・モデムなどから構成されるグループから選択される。通 信インターフェース６０６は、また、任意の種類のモデムに接続するＩ／Ｏイン ターフェースでありうる。プロセッサ６０２は、コンピュータ・ステーション、 記憶ユニット７２、ネットワーク６の間のオンラインの物理的接続を制御する。 通信コントローラ７８は、複数の動作モードに従って動作する。ある動作モー ドによると、通信コントローラ７８は、コンピュータ・システム７１から通信要 求コマンドを受信しているときには、通信インターフェース６０６を動作させ、 ネットワーク６との通信を与える。同時に通信コントローラ７８は、記憶ユニッ ト７２へのすべてのアクセス要求をモニタして、公共領域７６へのアクセスは許 容し、被保護領域７４へのアクセスは否定する。 第２の動作モードによると、コンピュータ・システム７１が通信コントローラ に被保護領域７４にアクセスする要求を提供すると、通信コントローラ７８は、 スイッチング・ユニット６０４を動作させて、コンピュータを通信インターフェ ース６０６から切断し、他方で、通信インターフェース６０６とネットワーク６ との間の通信を維持する。 その時点で、プロセッサ６０２は、コンピュータ・システム７１における任意 の他の記憶ユニットだけでなく公共領域７６をスキャンし、被保護領域に損害を 与えうる有害なプログラムを検出する。そのようなプログラムが検出されない場 合には、通信コントローラは、コンピュータ・システム７１に被保護領域７４へ のアクセスを与える。コンピュータ・システムが通信コントローラ７８にネット ワークに再接続するコマンドを与えると、通信コントローラ７８は、コンピュー タ・システム７８を通信インターフェース６０６と再接続し、同時に、被保護領 域７４へのすべてのアクセスを否定する。 第３の動作モードによると、通信コントローラ７８は、ネットワーク６との通 信を終了させ、プロセッサ６０２がコンピュータ・システム７１における任意の 他の記憶ユニットだけでなく公共領域７６をスキャンし、被保護領域に損害を与 えうる有害なプログラムを検出する。そのようなプログラムが検出されない場合 には、通 信コントローラは、コンピュータ・システム７１に被保護領域７４へのアクセス を与える。 プロセッサ６０２は、スキャンを実行するか、この目的のために設計されたス キャン及び分析ソフトウェアを実行することがわかるだろう。本発明によると、 図８に記載された方法は、通信装置７８内の実現することができる。 プロセッサ６０２は、スイッチング・ユニット６０４と通信インターフェース ６０６とを制御することによって、コンピュータ７１を、通信インターフェース ６０６にネットワーク６との通信を終了させるコマンドを提供するか、スイッチ ング・ユニット６０４を動作させて通信インターフェース６０６をコンピュータ ７１から切断し他方で通信インターフェース６０６とネットワーク６との接続を 維持するか、のどちらかによってネットワークから切断することができることに 注意すべきである。 本発明によると、プロセッサ６０２は、また、コンピュータ７１から、通信イ ンターフェース６０６とネットワーク６との間の通信、又は、津うっっしんネッ トワーク６０６とスイッチング・ユニット６０４との間の通信を切断するコマン ドを受け取るように動作する。 次に図１０を参照する。この図は、コンピュータ・ステーションと、本発明の 好適実施例に従って構成され動作する、通信装置６５０との概略的な図解である 。 装置６５０は、通信インターフェース６５６と、記憶ユニット６５４ｊと、ス イッチング・ユニット６６２とを含む。通信インターフェース６５６は、スイッ チング・ユニット６６２と通信回線６５８とに接続され、通信回線は、更に、通 信ネットワーク６６０に接続されている。装置６５０は、プロセッサ６６６と記 憶ユニット６７０とを含むコンピュータ６５２のデータ・バスに接続されている 。 通信インターフェース６５６は、従来型のモデム、モデム・エミュレータ、ネ ットワーク通信カードなどでありうる。記憶ユニット６５４は、任意のタイプの データ記憶装置であり、例えば、ＲＯＭ、ＲＡＭ、フラッシュ・メモリ、ディス ク、テープなどである。第１のものなどの本発明の実現例では、ＲＡＭ、フラッ シュ・メモリ、ディスクなどのようなダイナミックなリート／ライト記憶ユニッ トが要求される。これは、被保護記憶ユニットに記憶されているデータがダイナ ミックである からである。第２及び第３の場合のような他の実現例では、ＲＯＭ、ＥＰＲＯＭ 、ＥＥＰＲＯＭなどのそれほどにはダイナミックでない記憶ユニットが用いられ るが、これらは、全体的な構造を簡略化し、装置６５０の製造コストを低下させ る可能性がある。 装置６５０は、いくつかのモードに従って動作するが、これらは、ネットワー ク６６０からの無権限でのアクセスの試みに対する機密情報のセキュリティを強 化する。以下で開示するのは、いくつかの制限的ではない例示的なモードである 。 第１のモードによると、保護される必要があるあらゆる機密データ・ファイル は、２つのセグメントに分割される。第１のセグメントは、コンピュータ６５２ の記憶ユニット６７０に記憶され、第２のセグメントは、装置６５０の記憶ユニ ット６５４に記憶される。この分割は、際１のセグメントだけを用いて元のファ イルを再構成することは極度に困難であり、実際には不可能であると考えられる 可能性が高いように、実行される。 別のモードによると、記憶ユニット６７０に含まれる機密データは、排他的な 暗号鍵を用いて暗号化され、暗号化が完了すると、その鍵は記憶ユニット６５４ に記憶される。 更に別のモードによると、すべての機密データは、記憶ユニット６５４に記憶 される。 コンピュータ６５２は、また、点線６６８で示されているように、通信インタ ーフェース６５６を介して、ネットワークと通信することができる。コンピュー タ６５２がネットワーク６６０と通信しないときには、スイッチング・ユニット ６６２は、バス６６４を通信インターフェース６５６から切断し、ライン６７２ によって示されているように、記憶ユニット６５４をバス６６４に接続する。 コンピュータが通信インターフェース６５６を介して通信接続を確立すると、 スイッチング・ユニット６６２は、記憶ユニット６５４をバス６６４から切断し 、通信インターフェース６５６をバス６６４に接続する。そして、コンピュータ ６５２と通信している任意の当事者は、コンピュータ記憶ユニット６７０に記憶 されたデータに限定され記憶ユニット６５４に含まれるデータにはアクセスでき ない制限的なデータ・アクセスを有する。 スイッチング・ユニット６６２は、記憶ユニット６５４をバス６６４から切断 するときには、記憶ユニットとその中に含まれるすべてのデータとを利用不可能 にすることを理解すべきである。 通信装置６５０は、ＡＩＳＡ、ＶＬＢ、ＰＣＩ、ＰＣＭＣＩＡなどの従来型の 標準によるアドオン型内部カードとして実現することができる。この装置は、ま た、シリアル・ポート、パラレル・ポートなどを介して接続する外部装置として 実現することもできる。従って、例えば、装置６５０は、ポータブル・コンピュ ータ用のＰＣＭＣＩＡモデム・カードとして実現することができる。ユーザは、 通信装置をコンピュータ６５４から取り外して、それを鍵として用いることがで きる。通信装置６５０がコンピュータ６５２に接続されていない限りは、記憶ユ ニット６５４内部に含まれるどのデータにアクセスすることもできない。 本発明によると、図８に記載された方法は、通信装置６５０において実現する ことができる。 次に図１１を参照する。この図は、コンピュータ・システム８９０と、記憶ユ ニット８１０と、装置８００と、本発明の別の好適実施例に従って構成され動作 する、ポータブル・ユニット８５０との概略的な図解である。 コンピュータ・システム８９０は、通信ネットワーク８９２と本発明による装 置８００とに接続されている。装置８００は、記憶ユニット８１０に接続されて いる。 装置８００は、プロセッサ８０２と、スイッチング・ユニット８０４と、無線ト ランシーバ８０３とを含む。 ポータブル・ユニット８５０は、無線トランシーバ８５２と、それに接続され たプロセッサ８５４とを含む。 記憶ユニット８１０は、５つの領域に分割されている。すなわち、 ログ・ファイルを管理するログ領域と、 データを受信したときに、しかし、それが被保護領域８２０に転送される前に 直ちに記憶するバッファ領域８１４と、 いつでもアクセス可能な公共領域８１６と、 動作ユニット・ファイル、分析ソフトウェア・アプリケーションなどを記憶す るリード・オンリ領域と、 機密情報を記憶する被保護領域８２０と、 に分割される。 装置８００は、以下のようにして、記憶ユニット８１０を管理する。コンピュ ータ・システム８９０が通信ネットワーク８９２とオンラインで通信状態にある ときには、装置８００は、書き込み及び読み出しのために、公共領域８１６とバ ッファ領域８１４とへの完全なアクセスをイネーブルする。装置８００は、また 、リード・オンリ領域８０８への限定されたリード・オンリ・アクセスをイネー ブルする。同時に、装置８００は、記憶ユニット８１０におけるデータ変更とコ ンピュータ・システム８９０から受信したデータ要求とに関係する情報を用いて 、ログ領域を更新する。装置８００は、被保護領域８２０へのアクセスを否定す る。コンピュータ・システム８９０が通信ネットワーク８９２から切断された後 で、措置８００は、リード・オンリ・ユニットから分析ソフトウェア・アプリケ ーションを検索し、ログ領域８１２に含まれる情報に従って、それを公共領域８ １６とバッファ領域８１４とに含まれるデータに対して、実行する。被保護領域 に向けられているすべてのデータは、公共領域８１６からバッファ領域８１４に 転送され、スキャンされ、有害ではないと分類された場合には、被保護領域８２ ０に転送される。 この実施例によると、装置８００は、ポータブル・ユニット８５０を携行して いる権限のあるユーザが装置８００の近傍にいるときにだけ、記憶ユニット８１ ０内の被保護領域へのアクセスを提供するように動作する。 本発明の無線モードによると、無線トランシーバ８５２は、信号を無線トラン シーバ８０３に送信する。無線トランシーバ８０３は、この信号を検出して、そ れを、プロセッサ８０２に提供し、プロセッサ８０２は、それを、記憶ユニット ８１０内の被保護領域へのアクセスを与えるイネーブル信号と見なす。このモー ドによると、ユーザがその場所を去って、無線トランシーバ８０３が無線トラン シーバ８５２によって送信される信号を検出しない場合には、装置８００は、記 憶ユニット８１０の被保護領域へのアクセスを否定する。 別の無線モードによると、プロセッサ８５４は、無線トランシーバ８５２に、 時間ごとに異なる信号を送信せよとするコマンドを与える。この場合には、プロ セッサ８０２は、様々な信号又はその間の変化を認識するように構成される。 更に別の無線モードによると、無線トランシーバ８０３と無線トランシーバ８ ５２とは、双方向通信を用いて通信する。従って、プロセッサ８０２及び８５４ は、復号化された信号を交換し、セキュリティのレベルを坂に強化するように動 作する。 次に図１２を参照する。この図は、本発明の更に別の好適実施例に従って構成 され動作するログユニット１０００の概略的な図解である。 ログユニット１０００は、記憶領域１００２と、それに接続されたコントロー ラ１００４とを含む。コントローラ１００４は、その中に含まれているログ・エ ントリのランダム・アクセス読み取りだけでなく、記憶ユニットの中のログ・エ ントリのシーケンシャルな書き込みを提供するように動作する。 本発明によると、コントローラ１００４は、新たなログ・エントリを書き込め というライト・コマンドを受け取ると、ライト・コマンドに組み込まれているア ドレスを無視して、先のライト・コマンドのアドレスとシーケンスの関係にある アドレスを割り当てる。従って、予め選択されたログ・エントリを、特定のアド レスを含むライト・コマンドを用いて変更しようとする試みは、実行されない。 本発明のある側面によると、このような試みが生じると、コントローラ１００４ は、警告コマンドを、それに接続されたコンピュータ（図示せず）に対して生じ る。 このログ・ユニットの主な利点の１つとして、ログ領域への自由な書き込みア クセスを許容せず、従って、予め選択されたログ・エントリの故意の改変を防止 することである。 ログ・ファイルは、有限のサイズの記憶領域内に位置するときには、記憶スペ ースの限度を超えてしまうことがときとしてある。この状況における一般的な解 決法は、ログ・ファイルをサイクル・ファイルとして定義することである。すな わち、最後の可能性のあるエントリを書き込んだ後で、そのログ・ファイルの最 後において、ログ・ファイルの視点において書き込みを開始することである。従 って、ログ・ファイルを変更しようとすると、全体のログ・ファイルを充填し再 度書き込みをする必要のあるできるだけ多くのログ・エントリを書き込みことが できる。 本発明による方法では、２つのシーケンシャルなログ・エントリ・ライト・コ マンドの間に最小の時間周期を与えることによって、この問題を解決する。従っ て、全体のログ・ファイルに上書きすることは、制限されており、従って、短い 時間で それを行うことはできない。 次に、図１３を参照する。この図は、本発明の更に別の好適実施例に従って動 作する、図１２のログ・ユニット１０００の動作方法の概略を図解したものであ る。 ステップ１０５０では、ログ・ユニット１０００は、ログ・コマンドを受信す る。 ステップ１０５２では、受信されたログ・コマンドがライト・コマンドである 場合には、ログ・ユニット１０００は、ステップ１０５６に進む。そうではなく 、受信したログ・コマンドがリード・コマンドである場合には、ログ・ユニット １０００は、ステップ１０５４に進む。 ステップ１０５４では、ログ・ユニット１０００は、要求されたログ・エント リを検索する。 ステップ１０５６では、時間周期Δｔが所定の時間周期Ｔ以上である場合には 、コントローラ１００４は、ステップ１０６０に進む。そうでない場合には、コ ントローラ１００４は、ステップ１０５８に進む。 ステップ１０５８では、コントローラ１００４は、記憶領域１００２へのアク セスを否定する。 ステップ１０６０では、コントローラ１００４は、ログ・コマンドからログ情 報を検索し、ステップ１０６２に進む。 ステップ１０６２では、コントローラ１００４は、先のライト・コマンドのア ドレスとシーケンスの関係にあるログ・アドレスを提供する。 ステップ１０６４では、コントローラ１００４は、ログ情報を含むログ・エン トリを、ログ・アドレスにおいて書き込む。 本発明の更に別の側面によると、ステップ１０５８もまた、警告信号を発生さ せて管理者等に警告を与えることができる。 次に図１４を参照する。これは、コンピュータ１１０２と、本発明の好適実施 例に従って構成され動作する装置１１００との概略的な図解である。 装置１１００は、管理コントローラ１１２２と、２つのディスク・ドライブ入 力・出力（Ｉ／Ｏ）インターフェース１１１８及び１１２０と、Ｉ／Ｏスイッチ ング・ユニット１１３９と、２つのディスケット・ドライブ入力・出力（Ｉ／Ｏ ）インターフェース１１３７及び１１３８と、コンピュータ１１０２を公共ネッ トワーク１ １３６に接続する第１の対の通信インターフェース１１１０及び１１１２と、コ ンピュータ１１０２を被保護ネットワーク１１３４に接続する１対の通信インタ ーフェース１１１４及び１１１６と、２つの通信スイッチ１１４０及び１１４２ と、管理コントローラ１１２２に接続されたディスプレイ１１４４とを含む。 ディスク・ドライブ入力・出力（Ｉ／Ｏ）インターフェース１１１８及び１１ ２０は、管理コントローラ１１２２に接続され、Ｉ／Ｏスイッチング・ユニット １１３９は、２つのディスケット・ドライブ入力・出力（Ｉ／Ｏ）インターフェ ース１１３７及び１１３８と、管理コントローラ１１２２とに接続されている。 通信インターフェース１１１０は、通信スイッチ１１４２とコンピュータ１１ ０２とに接続されている。通信インターフェース１１１２は、通信スイッチ１１ ４２と公共ネットワーク１１３６とに接続されている。通信スイッチ１１４２は 、管理コントローラ１１２２に接続されている。 通信インターフェース１１１４は、通信スイッチ１１４０とコンピュータ１１ ０２とに接続されている。通信インターフェース１１１６は、通信スイッチ１１ ４０と被保護ネットワーク１１３４とに接続されている。 装置１１００は、記憶ユニット１１２４に、Ｉ／Ｏインターフェース１１２０ を介して接続されている。記憶ユニット１１２４は、複数の領域、すなわち、メ ニュ領域１１２６と、被保護領域１１３０と、公共領域１１２８と、ログ領域１ １３２と、パスワード領域１３３とに分割される。 公共領域１１２８は、機密ではないデータとソフトウェアとを含む。被保護領 域１３０は、機密であるデータとソフトウェアとを含む。ログ領域１１３２は、 上述のように、従来の方法又は本発明によるログ・ファイル・アーキテクチャを 含む。パスワード領域１１３３は、モードなどの間の切り換えなど、管理コント ローラ１１２２による様々な手順の間に用いられるパスワードを含む。 メニュ領域１１２６は、前動作システム・メニュを含むが、これは、コンピュ ータ１１０２がブートアップ（すなわち、起動、または再起動）されるときにコ ンピュータ１１０２を管理する。このメニュは、コンピュータ１１０２にロード される。ユーザは、作業モードと、公共モードと、被保護モードとの間で選択す ることを求められる。 ユーザが被保護モードで作業することを選択する場合には、コンピュータは、 この選択を管理コントローラ１１２２に提供し、管理コントローラ１１２２は、 次の作用を実行する。すなわち、 被保護領域１１３０をコンピュータ１１０２に接続する。 公共領域１１２８へのアクセスを否定する。 通信スイッチ１１４０に、通信インターフェース１１１４及び１１１６の間の 接続をイネーブルするコマンドを提供し、従って、コンピュータ１１０２と被保 護ネットワーク１１３４とを接続する。 通信スイッチ１１４２に通信インターフェース１１１０及び１１１２の間のす べての接続を否定するコマンドを提供し、コンピュータ１１０２を公共ネットワ ーク１１３６から切断する。 ユーザが公共モードで作業することを選択する場合には、コンピュータは、こ の選択を、管理コントローラ１１２２に与え、管理コントローラは、次の作用を 実行する。すなわち、 公共領域１１２８をコンピュータ１１０２に接続する。 被保護領域１１３０へのアクセスを否定する。 通信スイッチ１１４２に、通信インターフェース１１１０及び１１１２の間の 接続をイネーブルするコマンドを提供し、従って、コンピュータ１１０２と公共 ネットワーク１１３６とを接続する。 通信スイッチ１１４２に通信インターフェース１１１４及び１１１６の間のす べての接続を否定するコマンドを提供し、コンピュータ１１０２を被保護ネット ワーク１１３４から切断する。 本発明によると、装置は、これらの２つのモード、すなわち、公共モードと被 保護モードとの一方で動作可能である。公共領域１１２８と被保護領域１１３０ とは、共に、全体のオペレーティング・システムを含む。モードの変更は、コン ピュータ１１０２をリセットして選択された領域から選択されたモードに従うオ ペレーティング・システムをロードすることを通じてのみ可能である。 ＩＢＭ−ＰＣアーキテクチャ向けに設計されたプログラムのような、従来のソ フトウェアは、一次（プライマリ）パーティション・テーブルを含む０，０，１ 以外 の０，０，＃で開始するディスク・アドレスを全く用いることはない。 本発明による制限的ではない例によると、０，０，１で始まるアドレスは、被 保護領域のパーティション・テーブルを含み、０，０，２で始まるアドレスは、 メニュ手順を含み、０，０，３で始まるアドレスは、公共領域１１２８のパーテ ィション・テーブルを含み、０，０，４で始まるアドレスは、ログ領域１１３２ へのポインタを含み、０，０，５で始まるアドレスは、パスワード領域１１３３ を含む。 この例によると、管理コントローラ１１２２は、メニュ手順を含む０，０，２ で始まるアドレスへのすべての書き込みアクセスを否定する。物理的には、装置 は、すべてのアドレスへのアクセスを制御し、コンピュータ１１０２に、選択さ れたアドレスのリード、ライトなどの様々なアクセス・タイプを提供することが できることに注意すべきである。 この構成によると、記憶ユニット１１２４が管理コントローラを有していない 別のコンピュータに直接に接続されているときに０，０，２以上のアドレスと関 連する記憶ユニットの領域に対するかなりの保護が得られる。この構成は、ポー タブル・ハード・ディスク・ドライブに最も適したものであることを理解すべき である。 この例によると、装置１１００は、コンピュータ１１０２がいつリセットされ るかを検出し、その時点で、メニュ領域１１２６へのアクセスを提供する。装置 １１００は、コンピュータからモード選択を受け取ると、コンピュータを物理的 にリセットし、それを、公共領域１１２８か被保護領域１１３０かのどちらかに 、選択されたモードに従って、接続する。 従来型のコンピュータ・システムでは、オペレーティング・システムは、複数 の代替的なソースからロードすることができる。このソースには、例えば、ロー カルなハード・ディスク・ドライブ、ディスケット・ドライブ、ＣＤ−ＲＯＭド ライブ、そのコンピュータに接続されたネットワークなどがある。本発明による と、これらのソースのあるものは、オペレーティング・システムを提供する権限 を有していないと予め決定されており、従って、そうすることができない。 この例では、装置１１００は、コンピュータ１１０２を、無権限のソースから 受け取ったオペレーティング・システムの偶然的なロードから保護するように構 成されている。 この例では、装置１１００は、これ以外の場合にはコンピュータ１１０２に直 接に接続されているディスケット・ドライブ１１３５へのアクセスを制御する。 コンピュータがオペレーティング・システムのロードを要求するときには、管理 コントローラ１１２２は、この要求を検出し、それに従って、Ｉ／Ｏスイッチン グ・ユニットに、ディスケット・ドライブ入力・出力（Ｉ／Ｏ）インターフェー ス１１３７及び１１３８の間を切断するコマンドを提供し、従って、ディスケッ ト・ドライブ１１３５へのアクセスを否定する。 コンピュータ１１０２が記憶ユニット１１２４からのオペレーティング・シス テムのロードを開始した後で、管理コントローラ１１２２は、Ｉ／Ｏスイッチン グ・ユニット１１３９に、ディスケット・ドライブ入力・出力（Ｉ／Ｏ）インタ ーフェース１１３７及び１１３８の間を接続するコマンドを提供し、従って、コ ンピュ−タ１１０２のディスケット・ドライブ１１３５へのアクセスをイネーブ ルする。 本発明の更に別の側面（図示せず）によると、ディスケット・ドライブ１１３ ５はコンピュータ１１０２に直接に接続されており、管理コントローラ１１２２ は、コンピュータのブートアップとオペレーティング・システムのロードとの間 の時間周期Ｔ_measuredを測定する。 ハード・ディスクによって与えられるアクセス及びデータ転送速度は、ディス ケット・ドライブによって得られる速度よりもかなり高速である。更に、オペレ ーティング・システムがロードされる前の、ディスケット・ドライブへの当初の アクセスは、ハード・ディスク・ドライブと比較して、かなり遅い。従って、は 、ハード・ディスク・ドライブにアクセスする場合と比較すると、ディスケット ・ドライブにアクセスする場合は、Ｔ_measuredが、かなり大きい。 Ｔ_bootは、オペレーティング・システムをハード・ディスク・ドライブからオ ペレーティング・システムをロードするのに必要な所定の最大の時間周期を表す 所定の値である。ハード・ディスク・ドライブのＴ_bootは、ディスケットドライ ブのＴ_bootよりも短い。従って、Ｔ_measured≧Ｔ_bootである場合には、管理コン トローラ１１２２は、オペレーティング・システムの無権限のロードが進行中で あり、従って、記憶ユニット１１２４へのすべてのアクセスを否定するなどの複 数の防御的な手段がとられる可能性がある。 管理コントローラ１１２２は、ディスケット・ドライブのブートの試みを検出 すると、すべての動作を停止させて、コンピュータ１１０２のマルチ・メディア 的な能力又は外部の警告装置などを用いて、警告を提供する動作をすることがあ りうる。 更に、管理コントローラ１１２２は、コントローラ１１０２に、その内部の動 作を全体的に又は部分的にディセーブルするコマンドを提供することができる。 例えば、管理コントローラ１１２２は、コンピュータ１１０２に、一定のブート ・コマンドを提供することができる。 ディスプレイ１１４４は、装置の現在のモードを示す。ディスプレイ１１４４ は、ユーザから見えるようにコンピュータ１１０２に付属するように構成されて いる。本発明のある側面によると、ディスプレイ１１４４は、発光ダイオード（ ＬＥＤ）、又は、様々なモードにおいて異なる点滅をしたり色を変えたりするＬ ＥＤのアレイである。本発明によると、ディスプレイ１１４４は、英数字による メッセージなどを表示する液晶ディスプレイ（ＬＣＤ）アレイでもよい。 本発明の別の側面によると、管理コントローラ１１２２は、ディスケット・ド ライブ１１３５から受け取ったすべてのデータを検出し、それによって、メンテ ナンスなど所定の場合に、それへのオペレーティング・システムのローディング ・アクセスをイネーブルする。ディスケット・ドライブへのオペレーティング・ システムのローディング・アクセスは、メニュ手順が実行されている間に所定の パスワードが提供される場合にだけ、コンピュータ１１０２に提供されることが 可能である。 次に図１５を参照する。この図は、本発明の別の好適実施例に従って動作する 、装置１１００を動作させコンピュータに限定的なデータ及び通信アクセスを提 供する方法の概略図である。 ステップ１１５０では、管理コントローラ１１２２が、コンピュータ１１０２ から提供されたブート信号を検出する。この信号は、ユーザが手動でコンピュー タをブートアップする、又は、コンピュータの電源がオンにされたときに、提供 される。この例によると、管理コントローラ１１２２は、アドレス０，０，１に アクセスしようとする第１の試みをブート信号と見なす。 ステップ１１５２では、管理コントローラ１１２２が、コンピュータ１１０２ に、メニュ領域１１２６へのアクセスを提供する。コンピュータ１１０２は、そ こから メニュを検索して、それを実行し、ステップ１１５４に進む。 ステップ１１５４では、管理コントローラ１１２２は、コンピュータ１１０２ を介して、様々なモードの選択（すなわち、公共モード、被保護モードなど）の 間での選択に関するユーザからの命令を受け取るのを待機する。同時に、管理コ ントローラ１１２２は、時間カウンタｔをリセットする。ユーザは、自分自身の 選択を、所定の時間周期Ｔ以内に、提供することを要求される。ｔ＞Ｔである場 合（すなわち、ユーザが、所定の時間周期内に選択を行わなかった場合）や、ユ ーザが被保護モードを選択した場合には、管理コントローラ１１２２は、ステッ プ１１６２に進む。そうでない場合には、管理コントローラ１１２２は、ステッ プ１１５６に進む。 ステップ１１５６では、管理コントローラ１１２２は、公共装置へのアクセス のイネーブルや、被保護装置のような非公共装置へのアクセスの否定などの、公 共モードを決定する一連の動作を実行する。従って、管理コントローラ１１２２ が公共領域１１２８とコンピュータ１１０２との間を接続し、コンピュータ１１ ０２がオペレーティング・システムを公共領域１１２８からロードすることをイ ネーブルする。管理コントローラは、更に、通信スイッチ１１４２に、通信イン ターフェース１１１０及び１１１２を接続するコマンドを提供し、従って、公共 ネットワーク１１３６とコンピュータ１１０２との間を接続する。 ステップ１１５８では、管理コントローラ１１２２は、公共データ・フラグを オンにして、被保護フラグをオフにする。この例では、両方のフラグは、管理コ ントローラ１１２２内のメモリ要素である。公共データ・フラグは、現在のモー ドが公共モードであることを示す。被保護フラグは、現在のモードが被保護モー ドであることを示す。 ステップ１１６０では、管理コントローラは、ユーザがコンピュータ１１０２ に別のモードへの切り換えコマンドを提供したかどうかを検出する。提供してい る場合には、管理コントローラは、ステップ１１６８に進む。ステップ１１６２ では、管理コントローラ１１２２は、被保護装置へのアクセスをイネーブルした り、公共装置のような保護されていない装置へのアクセスを否定したりするよう な、被保護モードを決定する一連の動作を実行する。従って、管理コントローラ １１２２は、被保護領域１１３０コンピュータ１１０２との間を接続し、それに よって、コンピ ュータが、被保護領域１１３０からオペレーティング・システムをロードするこ とをイネーブルする。管理コントローラは、更に、通信スイッチ１１４０に、イ ンターフェース１１１４及び１１１６を接続するコマンドを提供し、従って、被 保護ネットワーク１１３４とコンピュータ１１０２との間を接続する。 ステップ１１６４では、管理コントローラ１１２２は、被保護データ・フラグ をオンにして、公共フラグをオフにする。 ステップ１１６６では、管理コントローラは、ユーザがコンピュータ１１０２ に別のモードへの切り換えコマンドを提供したかどうかを検出する。提供してい る場合には、管理コントローラは、ステップ１１６８に進む。 ステップ１１６８では、管理コントローラ１１２２は、オペレーティング・シ ステムのシャットダウン・リスタート・コマンドをコントローラ１１０２に提供 する。それによって、コンピュータは、オペレーティング・システムだけでなく 、すべてのアプリケーションをシャットダウンして、その後でリスタート（再起 動）を行う。そして、管理コントローラ１１２２は、ステップ１１７０に進む。 ステップ１１７０では、管理コントローラ１１２２は、コンピュータ１１０２ をリセットする。本発明のある側面によると、このリセットは、別のソフトウェ ア・ブート・コマンドをコンピュータ１１０２に提供することによって、行われ る。本発明の別の側面によると、リセットは、ハードウェア・ブート・コマンド をコンピュータ１１０２に提供することによって、行われる。リセットされると 、Ｘ８６ベースのＰＣコンピュータは、不所望のソフトウェアが含まれているこ とがある、メモリの最初の１メガバイト以外のほとんどのＲＡＭをリセットする 。本発明の更に別の側面によると、管理コントローラ１１２２は、リセット・オ ール・ＲＡＭ・コマンドをコンピュータ１１０２に提供する。ステップ１１７０ を実行した後で、管理コントローラ１１２２は、ステップ１１７２に進む。 ステップ１１７２では、管理コントローラは、セキュリティ・フラグと公共フ ラグとの現在の設定を検索する。セキュリティ・フラグがオンであり、公共フラ グがオフである場合には、管理コントローラは、ステップ１４５６に進み、被保 護モードから公共モードに切り換わる。そうでない場合には、セキュリティ・フ ラグがオフであり、公共フラグがオンである場合には、管理コントローラは、ス テップ１１ ６２に進み、公共モードから被保護モードに切り換わる。システムが、マルチ・ レベル、マルチ・ユーザ、マルチ・クライアントの状況を定義する複数モードの ような、３以上のモードを決定するときには、ユーザは、自分自身の選択を提供 することを求められる。 従って、装置１１００は、複数のレベルのセキュリティ・モードをサポートす るように構成することができ、それらの間で切り換わり、様々な装置、リンク及 びデータ位置それぞれへのアクセスをイネーブルしたりディセーブルしたりする 。 ステップ１１５６及び１１６２では、コンピュータ１１０２が、選択された領 域からオペレーティング・システムのロードを開始した後で、管理コントローラ １１２２が、Ｉ／Ｏスイッチング・ユニット１１３９に、ディスケット・ドライ ブ入力・出力（Ｉ／Ｏ）インターフェース１１３７及び１１３８の間を接続する というコマンドを提供し、よって、コンピュータ１１０２がディスケット・ドラ イブ１１３５にアクセスすることをイネーブルする。 本発明の別の側面によると、被保護記憶領域は、マスタ・ブート・レコード（ ＭＢＲ）を含み、取り外し可能なレスキュ・ディスケットの代わりに、クリーン な媒体として機能する。レスキュ・ディスケットは、一般的には、要求されると きに利用できない可能性があるからである。 次に、図１６を参照する。この図は、本発明の更に別の側面に従って動作する 、それぞれがＭＢＲを含む、被保護記憶領域と公共記憶領域とを制御する本発明 の装置の動作方法の概略的な図解である。この例では、この方法は、図１４の装 置１１００を動作させるように実現されている。 この例では、公共領域１１２８と被保護領域１１３０とは、共に、オペレーテ ィング・システム・ブート・ファイルを含む。 ステップ１２００では、装置は、記憶領域の第１の部分を一次記憶ユニットと して、記憶領域の第２の部分をアクセス不可能な記憶ユニットと決定している。 この例では、コントローラ１１２２は、公共記憶ユニット１１２８を一次記憶ユ ニットとして、庇護後記憶領域１１３０へのすべてのアクセスを否定している。 従来のＰＣシステムでは、公共領域１１２８は、ドライブｃ：とされる。 従来のＰＣシステムは、通常は、ドライブｃ：が、そこからシステムをブート ア ップする（すなわち、オペレーティング・システムをロードする）ドライブであ る。更に、ある記憶ユニットをアクセス不可能であると決定することは、その記 憶ユニットへのすべてのアクセスを否定して、すべてのデータ修正動作が、その 記憶ユニットに対しては否定される限り、それをリード・オンリとすることによ って、行われる。 ステップ１２０２では、装置１１００は、一次記憶ユニットからブートする。 この例では、コントローラ１１２２は、ドライブｃとコンピュータ１１０２とが オペレーティング・システムを公共記憶領域１１２８からロードするときに、公 共記憶領域１１２８を、コンピュータ１１０２に、Ｉ／Ｏインターフェース１１ １８及び１１２０を介して導入する。 ステップ１２０４では、コンピュータ１１０２は、無権限のコードの存在を検 出する。無権限のコードは、アクセスの試みを検出したり、データ・マスクを比 較したりという多くの方法で検出することができる。そのような無権限のコード の検出は、アンチビールス・ソフトウェアなどを用いて実行することができる。 この例では、コンピュータは、この情報を、装置１１００に提供することに注意 すべきである。ただし、このような情報は、ユーザによって、又は、装置自体に よって、そのような無権限のコードを検出するように動作するときに、提供する ことができる。 ステップ１２０６では、コンピュータは、リセットされる。このようなリセッ ト・コマンドは、コンピュータ１１０２を動作させているユーザからだけでなく 、無権限コード検出ソフトウェアによっても、提供することができる。 ステップ１２１０では、記憶装置の第２の部分が一次記憶ユニットと決定され 、記憶装置の第１の部分が二次記憶ユニットとして決定される。この例では、コ ントローラ１１２２が、被保護記憶領域１１３０を一次記憶ユニットとして、公 共記憶領域１１２８を二次記憶ユニットとして決定する。従って、装置１１００ は、被保護記憶領域１１３０を、ドライブｃ：として、コンピュータ１１０２に 提供する。 装置１１００は、また、公共記憶領域１１２８をドライブｄ：として、コンピ ュータ１１０２に提供する。 ステップ１２１２では、コンピュータは、この時点では被保護記憶領域である 一次記憶ユニットからブートする。この例では、コンピュータ１１０２は、被保 護記 憶領域１１３０をドライブｃ：と見なし、そこからブートする。 ステップ１２１４では、ステップ１２０４において検出された無権限のコード 要素が、ディセーブルされる。この例では、コンピュータ１１０２は、被保護領 域１１３０に元々記憶されているビールス・クリーニング・ソフトウェアを実行 し、それによって、無権限のコード要素（すなわち、ビールス・ソフトウェア） を、公共記憶領域１１２８から取り除く。 ステップ１２１６では、コンピュータは、再びリセットされ、公共記憶領域１ １２８が一次記憶ユニットと定められ、被保護記憶領域がアクセス不可能な記憶 ユニットとして予め定められている当初の設定に戻る。 本発明の別の側面によると、被保護モードのＭＢＲは、管理コントローラ１１ ２２の中に含まれている。管理コントローラ１１２２は、ＥＥＰＲＯＭなどの、 内部記憶領域又は外部記憶領域を含むことがありうる。 本発明の更に別の側面によると、クリーン・ブート・モードの付勢は、図１６ において示されているように、所定の間隔で、磁化案的な順序に従って行うこと ができる。 当業者であれば理解するように、本発明は、以上で示され説明された実施例に は限定されない。本発明の範囲は、請求の範囲のみによって、定義される。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，Ｌ Ｕ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ， ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＫＥ，ＬＳ，ＭＷ，Ｓ Ｄ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ，ＡＭ，ＡＴ ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ， ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，Ｆ Ｉ，ＧＢ，ＧＥ，ＧＨ，ＨＵ，ＩＤ，ＩＬ，ＩＳ，ＪＰ ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ， ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，Ｍ Ｗ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ， ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＷ

Claims (1)

1. 【特許請求の範囲】 １．コンピュータ・システムの被保護領域を保護する装置であって、 ネットワークに接続する通信インターフェースと、 被保護領域に接続する被保護装置インターフェースと、 前記通信インターフェースに接続され、かつ、前記被保護装置インターフェー スと前記コンピュータ・ステーションとの間に接続された管理コントローラと、 を備えており、前記管理コントローラは、前記コンピュータ・システムと前記 ネットワークとの間の通信がいつ行われるかを検出し、 前記管理コントローラは、前記通信が行われていないときには、前記コンピュ ータ・システムを前記被保護装置インターフェースと接続し、 前記管理コントローラは、前記通信が行われているときには、前記コンピュー タ・ステーションを前記被保護装置インターフェースから切断することを特徴と する装置。 ２．請求項１記載の装置において、前記被保護装置インターフェースは、 通信インターフェースと、 入力・出力データ・インターフェースと、 人間とのインターフェースと、 電気機械的装置インターフェースと、 から構成されるグループから選択されることを特徴とする装置。 ３．請求項１記載の装置において、前記被保護インターフェースはモデムを含 むことを特徴とする装置。 ４．請求項１記載の装置において、前記被保護装置インターフェースは入力・ 出力データ・インターフェースを含み、更に、前記入力・出力データ・インター フェースに接続された記憶ユニットを備えており、この記憶ユニットが被保護情 報を記憶することを特徴とする装置。 ５．請求項４記載の装置において、前記記憶ユニットは、 ランダム・アクセス・メモリと、 リード・オンリ・メモリと、 ハード・ディスク・ドライブと、 ＥＰＲＯＭと、 ＥＥＰＲＯＭと、 フラッシュ・メモリ・ユニットと、 光学的記憶ユニットと、 電子光学的記憶ユニットと、 から構成されるグループから選択されることを特徴とする装置。 ６．請求項１記載の装置において、 前記管理コントローラに接続された第１のワイヤレス・トランシーバと、 遠隔ユニットと、 を更に備えており、前記遠隔ユニットは、第２のトランシーバと、それに接続 されたプロセッサとを備えており、前記プロセッサは、前記第２のトランシーバ を制御し、 前記第１のトランシーバによって、前記管理コントローラが、所定の送信を検 出する時に、前記コンピュータ・ステーションを前記被保護領域と接続すること が可能になり、 前記遠隔ユニットは、前記所定の信号を前記第２のトランシーバを介して送信 することを特徴とするデバイス。 ７．ネットワークに接続され被保護領域を含むコンピュータ・システムにおけ る被保護領域を保護する方法であって、 Ａ．前記コンピュータ・システムと前記ネットワークとの間の通信状態を検出 して、前記通信状態がオンラインである場合にはステップＢに進み、それ以外の 場合には前記被保護領域へのアクセスをイネーブルするステップと、 Ｂ．すべてのデータ入来データ・アクセス要求をモニタし、前記被保護領域へ のアクセスが要求されているかどうかを検出して、要求されている場合にはステ ップＣに進み、それ以外の場合にはステップＤに進むステップと、 Ｃ．警告手順を実行するステップと、 Ｄ．前記コンピュータ・システムと前記ネットワークとの間の通信状態を検出 し、オンラインである場合にはステップＢに戻り、それ以外の場合にはステップ Ｅに進 むステップと、 Ｅ．ステップＡに戻るステップと、 を含むことを特徴とする方法。 ８．請求項７記載の方法において、前記警告手順は、 前記被保護領域へのアクセスを否定する、 警告信号を前記コンピュータ・システムを動作させているユーザに提供する、 別の領域へのアクセスを提供する、 ことから構成されるグループから選択されることを特徴とする方法。 ９．ネットワークに接続され被保護領域と公共記憶領域とを含むコンピュータ ・システムにおける被保護領域を保護する方法であって、 Ａ．前記コンピュータ・システムと前記ネットワークとの間の通信状態を検出 して、オンラインである場合にはステップＢに進み、それ以外の場合には前記被 保護領域へのアクセスをイネーブルするステップと、 Ｂ．すべてのデータ入来データ・アクセス要求をモニタし、前記被保護領域へ のアクセスが要求されているかどうかを検出して、要求されている場合にはステ ップＣに進み、それ以外の場合にはステップＤに進むステップと、 Ｃ．警告手順を実行するステップと、 Ｄ．前記コンピュータ・システムと前記ネットワークとの間の通信状態を検出 し、オンラインである場合にはステップＢに戻り、それ以外の場合にはステップ Ｅに進むステップと、 Ｅ．前記記憶領域に含まれているデータを解析しその中の有害なソフトウェア を検出し、そのような有害なソフトウェアが検出される場合にはステップＦに進 み、それ以外の場合には前記被保護領域へのアクセスをイネーブルしてステップ Ａに進むステップと、 Ｆ．警告ソフトウェアを実行するステップと、 を含むことを特徴とする方法。 １０．請求項９記載の方法において、前記ステップＢは、ステップＤに進む前 に前記アクセス要求を表す少なくとも１つのログ・エントリを発生するステップ を更に含み、 ステップＥにおける前記解析は、前記少なくとも１つのログ・エントリに従っ て実行されることを特徴とする方法。 １１．請求項９記載の方法において、前記警告手順は、 前記コンピュータ・システムにおける選択された活動を停止させる、 前記被保護領域へのアクセスを否定する、 警告信号を前記コンピュータ・システムを動作させているユーザに提供する、 別の領域へのアクセスを提供する、 ことから構成されるグループから選択されることを特徴とする方法。 １２．サーバを制御する方法であって、前記サーバは、少なくとも１つの公共 ネットワークと、少なくとも１つの被保護ネットワークと、記憶ユニットとに接 続され、前記記憶ユニットは、公共記憶領域と被保護記憶領域とを備えている、 方法において、 送信を受信するステップと、 前記送信の中に含まれる要求のタイプを判断し、前記送信が書き込みアクセス 要求を含む場合にはステップＣに進み、前記送信が読み出しアクセス要求を含む 場合にはステップＨに進むステップと、 前記送信の少なくとも一部分が前記被保護ネットワークを介して受信されたか どうかを判断して、そうである場合にはステップＤに進み、それ以外の場合には ステップＥに進むステップと、 前記送信を記憶する記憶モードを判断するステップと、 前記送信の要求された目的地が被保護領域であるかどうかを判断して、そうで ある場合にはステップＧに進み、それ以外の場合にはステップＦに進むステップ と、 前記送信を前記公共記憶領域に記憶するステップと、 警告手順を実行するステップと、 前記送信の少なくとも一部分が前記被保護ネットワークを介して受信されたか どうかを判断して、そうである場合にはステップ１に進み、それ以外の場合には ステップＪに進むステップと、 前記アクセス要求に従ってデータを検索するステップと、 前記送信の要求された目的地が被保護領域であるかどうかを判断して、そうで あ る場合にはステップＥに進み、それ以外の場合にはステップＫに進むステップと 、 前記アクセス要求に従って、前記公共記憶領域からデータを検索するステップ と、 を含むことを特徴とする方法。 １３．請求項１２記載の方法において、前記記憶モードは、 前記送信を少なくとも２つのセグメントに分割し、前記セグメントを前記記憶 ユニットに記憶することによって、前記セグメントの少なくとも１つが前記被保 護記憶領域に記憶され、前記セグメントの別の少なくとも１つが前記公共記憶領 域に記憶されるようにする、 前記送信を１つのファイルとして前記被保護記憶領域に記憶する、 前記送信を少なくとも２つのセグメントに分割して前記セグメントを前記被保 護記憶領域における様々な場所に記憶する、 ことから構成されるグループから選択されることを特徴とする方法。 １４．請求項１２記載の方法において、前記警告手順は、 前記コンピュータ・システムにおける選択された活動を停止させる、 前記被保護領域へのアクセスを否定する、 警告信号を前記コンピュータ・システムを動作させているユーザに提供する、 別の領域へのアクセスを提供する、 ことから構成されるグループから選択されることを特徴とする方法。 １５．ログ・ファイルを管理する方法であって、 Ａ．コマンドを受信するステップと、 Ｂ．前記コマンドが書き込みコマンドである場合にはステップＣに進み、そう ではなく、前記コマンドが読み出しコマンドである場合には、前記コマンドに従 ってログ・エントリを検索し、ステップＡに進むステップと、 Ｃ．前記コマンドからログ情報を検索し、ステップＤに進むステップと、 Ｄ．先に書き込まれたログ・アドレスとシーケンスになっているログ・アドレ スを、前記ログ情報に提供し、ステップＥニスストリームステップと、 Ｅ．前記ログ情報を前記ログ・アトレスに書き込み、ステップＡに進むステッ プと、 を含むことを特徴とする方法。 １６．少なくとも１つの公共ネットワークと少なくとも１つの被保護ネットワ ークとを含む通信ネットワークのためのサーバであって、 少なくとも１つの記憶ユニットであって、この少なくとも１つの記憶ユニット の中の少なくとも１つは被保護記憶領域を含む、少なくとも１つの記憶ユニット と、 前記ネットワークに接続する少なくとも１つの通信インターフェースと、 前記少なくとも１つの記憶ユニットに接続する少なくとも１つの入力・出力イ ンターフェースと、 中央処理装置（ＣＰＵ）と、 前記少なくとも１つの入力・出力インターフェースを介して前記少なくとも１ つの記憶ユニットに接続され、前記少なくとも１つの通信インターフェースを介 して前記ネットワークに接続され、そして、前記ＣＰＵに接続されており、アク セス要求の少なくとも一部分が前記少なくとも１つの被保護ネットワークの少な くとも１つから受信されるときには、前記被保護記憶領域へのアクセスを提供す る通信コントローラと、 を備えていることを特徴とするサーバ。 １７．通信装置であって、 公共ネットワークと、 被保護ネットワークと、 前記公共ネットワークに接続された複数の公共ノードと、 前記被保護ネットワークと前記公共ネットワークとに接続された複数の被保護 ノードと、 を備えており、前記ノードは、前記ネットワークの間で通信する手段を含み、 前記被保護ノードは、それぞれが、機密メッセージを少なくとも２つのセグメ ントに分割し、前記セグメントを前記ネットワークを介して送信する手段を含み 、前記セグメントの少なくとも選択された１つは、前記被保護ネットワークの少 なくとも１つを介して送信されることを特徴とする装置。 １８．コンピュータ・システムにおける被保護領域を保護する装置であって、 前記コンピュータ・システムは記憶ユニットを備えており、前記記憶ユニットは 、第１の記憶領域と第２の記憶領域とを含む、装置において、 第１のネットワークに接続する第１の通信インターフェースと、 前記コンピュータ・システムに接続する第２の通信インターフェースと、 前記記憶ユニットに接続する第１の入力・出力（Ｉ／Ｏ）インターフェースと 、 前記コンピュータ・システムに接続する第２の入力・出力（Ｉ／Ｏ）インター フェースと、 前記第１のネットワークと前記コンピュータ・システムとの間に前記第１及び 第２の通信インターフェースを介して接続され、更に、前記記憶ユニットと前記 コンピュータ・システムとの間に前記第１及び第２のＩ／Ｏインターフェースを 介して接続された管理コントローラと、 を備えており、前記管理コントローラは、前記コンピュータ・システムに、少 なくとも２つモードの間での選択を提供し、 第１のモードにおいては、前記管理コントローラは、前記コンピュータ・シス テムを前記第１の記憶領域と前記第１のネットワークとに接続し、第２のモード においては、前記管理コントローラは、前記コンピュータ・システムを前記第２ の記憶領域に接続し、 前記管理コントローラは、コマンドの前の任意のリセット信号を検出して、選 択されたモードに従って動作させることを特徴とする装置。 １９．請求項１８記載の装置において、 第２のネットワークに接続する第３の通信インターフェースと、 前記コンピュータ・システムに接続する第４の通信インターフェースと、 を更に備えており、この装置は、また、前記第２のネットワークと前記コンピ ュータ・システムとの間に、前記第３及び第４の通信インターフェースを介して 接続されており、 第２のモードに従って、前記管理コントローラは、更に、前記コンピュータ・ システムを前記第２のネットワークに接続することを特徴とする装置。 ２０．請求項１８記載の装置において、前記管理コントローラに接続されてお り、現在のモードの視覚的な指示を提供する表示装置を更に備えていることを特 徴とする装置。 ２１．請求項１８記載の装置において、 前記管理コントローラに接続されており、オペレーティング・システム・ソー ス・ユニットに接続する第１のリセット入力・出力インターフェースと、 前記管理コントローラに接続されており、コンピュータ・システムに接続する 第２のリセット入力・出力インターフェースと、 を更に備えており、前記管理コントローラは、前記オペレーティング・システ ム・ソース・ユニットへの前記コンピュータ・システムのアクセスを制御するこ とを特徴とする装置。 ２２．請求項２１記載の装置において、前記オペレーティング・システム・ソ ース・ユニットは、 磁気媒体ドライブと、 光学的媒体ドライブと、 電子光学的媒体ドライブと、 通信リンクと、 不揮発性メモリと、 から構成されるグループから選択されることを特徴とする装置。 ２３．請求項１８記載の装置において、選択されたモードに従って動作させる 前記コマンドは、ユーザから前記コンピュータ・システムに提供されることを特 徴とする装置。 ２４．請求項１８記載の装置において、選択されたモードに従って動作させる 前記コマンドは、ソフトウェア・アプリケーションから前記コンピュータ・シス テムに提供されることを特徴とする装置。 ２５．通信制御装置を動作させる方法であって、前記装置は、少なくとも１つ の記憶ユニットと、少なくとも１つの周辺機器と、コンピュータ・ステーション との間に接続されており、前記装置は、第１の所定の動作モードと、追加的な少 なくとも１つの異なる動作モードとを提供するように動作可能である、方法にお いて、 前記コンピュータ・ステーションから受信されたブート信号を検出するステッ プと、 メニュ手順を実行するステップと、 選択された動作モードに従って動作させるユーザからの命令を受信するステッ プと、 前記選択された動作モードに従って、前記少なくとも１つの記憶ユニットの選 択された領域への前記コンピュータ・ステーションのアクセスをイネーブルする ステップと、 前記選択された動作モードに従って、前記少なくとも１つの記憶ユニットの選 択されていない領域への前記コンピュータ・ステーションのアクセスをディセー ブルするステップと、 前記選択された動作モードに従って、前記少なくとも１つの周辺機器の選択さ れた領域への前記コンピュータ・ステーションのアクセスをイネーブルするステ ップと、 前記選択された動作モードに従って、前記少なくとも１つの周辺機器の選択さ れていない領域への前記コンピュータ・ステーションのアクセスをディセーブル するステップと、 を含むことを特徴とする方法。 ２６．請求項２５記載の方法において、 別の選択された動作モードに従って動作させるユーザからの命令を受信するス テップと、 前記コンピュータ・ステーションへの再起動コマンドを提供するステップと、 前記コンピュータ・ステーションから受信されたブート信号を検出するステッ プと、 前記別の選択された動作モードに従って、前記少なくとも１つの記憶ユニット の選択された領域への前記コンピュータ・ステーションのアクセスをイネーブル するステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの記憶ユニット の選択されていない領域への前記コンピュータ・ステーションのアクセスをディ セーブルするステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの周辺機器の選 択された領域への前記コンピュータ・ステーションのアクセスをイネーブルする ステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの周辺機器の選 択されていない領域への前記コンピュータ・ステーションのアクセスをディセー ブルするステップと、 を更に含むことを特徴とする方法。 ２７．請求項２５記載の方法において、 別の選択された動作モードに従って動作させるユーザからの命令を受信するス テップと、 前記コンピュータ・ステーションへの再起動コマンドを提供するステップと、 前記コンピュータ・ステーションから受信されたブート信号を検出するステッ プと、 前記コンピユータ・ステーションにブート・コマンドを提供するステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの記憶ユニット の選択された領域への前記コンピュータ・ステーションのアクセスをイネーブル するステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの記憶ユニット の選択されていない領域への前記コンピュータ・ステーションのアクセスをディ セーブルするステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの周辺機器の選 択された領域への前記コンピュータ・ステーションのアクセスをイネーブルする ステップと、 前記別の選択された動作モードに従って、前記少なくとも１つの周辺機器の選 択されていない領域への前記コンピュータ・ステーションのアクセスをディセー ブルするステップと、 を更に含むことを特徴とする方法。 ２８．請求項２７記載の方法において、前記ブート・コマンドは、ハートウェ ア又はソフトウェア・ブート・コマンドであることを特徴とする方法。 ２９．請求項２７記載の方法において、前記ブート・コマンドの後には、前記 コンピュータ・ステーションのメモリをリセットが続くことを特徴とする方法。 ３０．コンピュータにおける被保護領域を保護する装置において、前記コンピ ュ ータ・システムは、記憶装置を備えており、前記記憶装置は、第１の記憶領域と 第２の記憶領域とを含み、前記第１及び第２の記憶領域は、それぞれが、マスタ ・ブート・レコート（ＭＢＲ）を含み、この装置は、前記記憶装置に接続する第 １の入力・出力（Ｉ／Ｏ）インターフェースと、前記コンピュータ・システムに 接続する第２の入力・出力（Ｉ／Ｏ）インターフェースと、前記記憶装置と前記 コンピュータ・システムとの間に前記第１及び第２のＩ／Ｏインターフェースを 介して接続された管理コントローラと、を備えており、この装置は、前記第１の 記憶領域を一次記憶ユニットとして前記コンピュータに接続しながら、他方で、 前記第２の記憶領域へのアクセスを否定する、装置における方法であって、 前記コンピュータ・システムをディセーブルするステップと、 前記第２の記憶領域を前記一次記憶ユニットとして前記コンピュータに接続し 、前記第１の記憶領域を二次記憶ユニットとして前記コンピュータに接続するス テップと、 前記コンピュータ・システムを前記一次記憶ユニットから起動させるステップ と、 を含むことを特徴とする方法。 ３１．請求項３０記載の方法において、前記ディセーブルするステップの前に 、無権限コードの存在を検出するステップを更に含み、前記ディセーブルするス テップは、前記検出するステップの結果として実行されることを特徴とする方法 。 ３２．請求項３１記載の方法において、前記無権限コードに関連付けされた予 め定義されたソフトウェアを実行するステップを更に含むことを特徴とする方法 。 ３３．請求項３１記載の方法において、無権限コードの存在の前記検出は、無 権限データ・アクセスの検出を含むことを特徴とする方法。 ３４．請求項３０記載の方法において、前記コンピュータ・システムを前記一 次記憶ユニットから起動するように設定するステップを更に含むことを特徴とす る方法。