JP2002351723A - 耐ウィルスコンピュータシステム - Google Patents

Abstract

(57)【要約】 【課題】 コンピュータウィルスによるファイル破壊か
ら復元するためのデータ退避を効率的に行ない、回復可
能な遡及時間を長くするとともに、待避データのウィル
ス汚染を防止する。 【解決手段】 ウィルスに汚染される可能性があるが外
部プログラム実行可能なホストプロセッサ（２）と処理
業務が固定であるがウィルスに汚染されないユーザ装置
（１）と耐ウィルス保存装置（３）を組み合わせ、ユー
ザ装置と耐ウィルス保存装置はホストプロセッサを通じ
て暗号通信することにより、ウィルスによる妨害を防止
する。また、ページアドレス変換機構（３２）を用いて
未使用ディスク領域を退避領域として有効利用する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、更新されたデータ
ベースの内容をログとして保存するログ機能を有するコ
ンピュータシステムに関し、特にいわゆるコンピュータ
ウィルスによるファイル破壊からの復元を目的とする耐
ウィルスコンピュータシステムに関する。

【０００２】

【従来の技術】コンピュータのハードウェア，ソフトウ
ェア上の障害，またはコンピュータウィルスにより、デ
ィスク上のファイルが破壊されたとき、別にバックアッ
プデータを退避しておき、そのバックアップデータを用
いて、ファイルの復元を行なう技術が知られている。特
開2000-298608においては、ディスクファイル更新時に
自動的に更新履歴を記録し、復元が要求されると履歴情
報を用いて初期状態に復元する。

【０００３】Microsoft社のWindows(R) Me、Adaptec社
のGoBackと呼ばれるソフトウェア製品には、更新履歴用
ディスク領域を確保し、ファイル更新が発生するとその
履歴を記録し、過去のファイルの状態への復元要求があ
れば、履歴情報から順次復元して指定した時点のファイ
ル状態に復元することができる。

【０００４】

【発明が解決しようとする課題】特開2000-298608に示
すオリジナルのシステムに復元する方法では、ウィルス
攻撃により、ファイルが破壊されたとき、初期状態に戻
すことはできてもファイル破壊直前の状態に戻すことは
できなかった。

【０００５】Windows(R) MeやGoBackにおけるファイル
更新の履歴情報から復元する方法では、ソフトウェアで
履歴格納処理を行なっているため、コンピュータウィル
スが履歴情報を攻撃し、履歴情報を無効にしてからファ
イルを破壊すれば、ファイルの復元ができない欠陥があ
った。

【０００６】また例えば耐ウィルス保存装置で更新前フ
ァイルの退避を行なう方法では、これらの問題を解決し
ているが、コンピュータ使用のユーザがコンピュータの
停止処理を行なう前に、短時間に大量かつ繰り返しのフ
ァイル更新を行なうと、復元可能なファイル更新世代数
を超え、退避領域を無意味なデータで埋められて、有効
なファイルデータに復元できない危険が残っている欠陥
があった。また、退避領域を大きく確保すればユーザが
利用可能であるディスク領域が小さくなり、退避領域を
小さく確保すればファイルの復元が必要となったとき、
過去の状態に遡上可能な世代や時間が小さくなる問題が
あった。さらに、コンピュータが主メモリからディスク
にデータを書き込むとき、耐ウィルス保存装置は当該デ
ィスクアドレスに記録されていた元のデータを退避して
から、新しく主メモリから送られてきたデータを書き込
むため、コンピュータのデータ書き込み処理が完了する
まで時間がかかるという欠陥があった。

【０００７】本発明は、上記のような問題点を解消する
ためになされたもので、コンピュータウィルスによるフ
ァイル更新の履歴退避処理に対する攻撃を防止し、ファ
イル更新に関する退避領域の使用を抑制してできるかぎ
り任意時点のファイルのデータ内容に復元することを目
的とする。

【０００８】

【課題を解決するための手段】この発明に係る耐ウィル
スコンピュータシステムは、ディスクと、ホストプロセ
ッサと、ページアドレス変換機構と、耐ウィルス保存装
置プロセッサとを有する耐ウィルスコンピュータシステ
ムであって、上記ディスクは情報記憶装置であって、上
記ホストプロセッサにより上記耐ウィルス保存装置プロ
セッサを介して情報の書き込み、更新または削除を行わ
れ、上記ホストプロセッサは、当該耐ウィルスコンピュ
ータシステム外部との情報の授受を行い、上記耐ウィル
ス保存装置プロセッサを介して上記ディスクへの情報の
書き込み、更新または削除を行い、上記ページアドレス
変換機構は、上記ディスク上の所定の大きさの領域であ
るページのそれぞれについて、当該ページへの情報書き
込みを許可する未使用状態、当該ページへの情報書き込
みを許可しない状態であって当該ページに記録されてい
る情報は最新の情報である使用状態、当該ページへの情
報書き込みを許可しない状態であって当該ページに記録
されている情報は更新または削除された情報である退避
状態、のいずれの状態であるかを示す状態フラグを有
し、上記耐ウィルス保存装置プロセッサは、上記ディス
クへの情報の書き込み、更新または削除に伴い、上記ペ
ージアドレス変換機構の該当するページの状態フラグを
変更するようにしたものである。

【０００９】またこの発明に係る耐ウィルスコンピュー
タシステムは、上記耐ウィルス保存装置プロセッサは、
上記ページアドレス変換機構の状態フラグが未使用状態
であるページが所定数以下になると、所定の規則に従っ
て選択した状態フラグが退避状態のページの状態フラグ
を未使用状態に変更するようにしたものである。

【００１０】またこの発明に係る耐ウィルスコンピュー
タシステムは、ユーザへの情報伝達を行うユーザインタ
ーフェース部と、該ユーザインターフェース部を制御す
るユーザ装置プロセッサをさらに有し、上記ユーザ装置
プロセッサと上記耐ウィルス保存装置プロセッサは上記
ホストプロセッサに解読不能な所定の暗号方式により通
信を行うようにしたものである。

【００１１】またこの発明に係る耐ウィルスコンピュー
タシステムは、上記耐ウィルス保存装置プロセッサは、
一定時間内に情報が更新されたページの数を監視し、該
一定時間内に更新されたページの数が所定数を超える場
合は異常更新警告メッセージを生成し、該生成した異常
更新警告メッセージを上記所定の暗号方式により暗号化
して上記ユーザ装置プロセッサに送信し、上記ユーザ装
置プロセッサは、上記耐ウィルス保存装置プロセッサか
ら送信された暗号化された異常更新警告メッセージを復
号し、上記ユーザインターフェース部から警告を発する
ようにしたものである。

【００１２】またこの発明に係る耐ウィルスコンピュー
タシステムは、上記ユーザ装置プロセッサは、所定の通
信確認時間の間上記耐ウィルス保存装置との間で通信が
途絶えると、上記耐ウィルス保存装置に対して接続確認
用メッセージを上記所定の暗号方式で暗号化して送信
し、一定時間内に上記接続確認用メッセージに対する応
答が無い場合は上記ユーザインターフェース部から警告
を発するようにしたものである。

【００１３】またこの発明に係る耐ウィルスコンピュー
タシステムは、上記通信確認時間は、上記ユーザ装置プ
ロセッサが発生させた乱数により決定するようにしたも
のである。

【００１４】またこの発明に係る耐ウィルスコンピュー
タシステムは、上記耐ウィルス保存装置プロセッサによ
り制御されユーザへの情報伝達を行うユーザインターフ
ェース部をさらに有し、上記耐ウィルス保存装置プロセ
ッサは、一定時間内に情報が更新されたページの数を監
視し、該一定時間内に更新されたページの数が所定数を
超える場合は上記ユーザインターフェース部から警告を
発するようにしたものである。

【００１５】またこの発明に係る耐ウィルスコンピュー
タシステムは、ファイル情報記録機構をさらに有し、該
ファイル情報記録機構は、上記ディスクに記憶されてい
るファイルの作成、更新または消去の回数から決まるフ
ァイルの版数とファイルが更新された時刻情報を含む更
新履歴を含み上記耐ウィルス保存装置プロセッサは、状
態フラグが未使用状態であるページの数が所定数以下に
なると、上記ファイル情報記録機構を参照して上記ファ
イルの版数と時刻情報とからファイルを選択し、該選択
したファイルに対応するページの状態フラグを未使用状
態に変更するようにしたものである。

【００１６】またこの発明に係る耐ウィルスコンピュー
タシステムは、上記耐ウィルス保存装置プロセッサは、
一定時間毎に状態フラグが未使用状態のページ数をチェ
ックし、状態フラグが未使用状態であるページの数が所
定数以下になると、上記ファイル情報記録機構を参照し
て上記ファイルの版数と時刻情報とからファイルを選択
し、該選択したファイルに対応するページの状態フラグ
を未使用状態に変更するようにしたものである。

【００１７】またこの発明に係る耐ウィルスコンピュー
タシステムは、ローカルディスクと、ホストプロセッサ
と、ユーザ装置プロセッサとを有する耐ウィルスコンピ
ュータシステムであって、上記ローカルディスクは情報
記憶装置であって上記ホストプロセッサから直接情報の
書込み、更新または削除を行われ、上記ホストプロセッ
サは、上記ローカルディスクに対して直接情報の書込
み、更新または削除を行うと共に、上記ローカルディス
ク以外の情報記憶装置であるリモートディスクに対して
該リモートディスクを制御するリモートディスクコント
ローラを介して上記ローカルディスクに対して行ったの
と同じ情報の書き込み、更新または削除を行い、上記ユ
ーザ装置プロセッサは、上記ローカルディスクに記録さ
れている情報と上記リモートディスクに記録されている
情報を受信して両者を比較するようにしたものである。

【００１８】またこの発明に係る耐ウィルスコンピュー
タシステムは、上記ユーザ装置プロセッサは、上記ロー
カルディスクに記録されている情報から生成したハッシ
ュ値と上記リモートディスクに記録されている情報から
生成したハッシュ値を受信して２つのハッシュ値を比較
するようにしたものである。

【００１９】またこの発明に係る耐ウィルスコンピュー
タシステムは、上記ユーザ装置プロセッサが制御しユー
ザへの情報伝達を行うユーザインターフェース部をさら
に有し、上記ユーザ装置プロセッサは受信した２つのハ
ッシュ値が一致しない場合に上記ユーザインターフェー
ス部から警告を発するようにしたものである。

【００２０】本発明によるコンピュータシステムはコン
ピュータシステム外部からプログラムをオンラインまた
はオフラインで読み込むことを許可し、コンピュータウ
ィルスに侵入される危険性を有するが、処理に柔軟性を
提供するフロントエンドプロセッサと、コンピュータシ
ステム外部からのプログラム読み込みを許さず、処理が
硬直的であるが、コンピュータウィルスに侵入される危
険のないバックエンドプロセッサとのマルチプロセッサ
構成をとることを特徴とする。

【００２１】本発明によるコンピュータシステムのバッ
クエンドプロセッサのひとつである耐ウィルス保存装置
は、ディスクの記憶領域を適切なサイズのページに分割
し、論理ページから物理ページ及び物理ページから論理
ページに変換可能なアドレス変換機構を有する。

【００２２】本発明による耐ウィルス保存装置は、コン
ピュータから転送されるディスクへのデータ書き込みを
監視し、書き込みデータ量が単位時間に一定の閾値を越
えるかどうか判定する機能を有する。

【００２３】本発明による耐ウィルス保存装置は、ファ
イル更新世代，ファイル更新時刻から現時刻までの経過
時間，チェックポイント時刻からの経過時間をパラメー
タとしてファイル保存の優先順位を判定する機能を有す
る。

【００２４】本発明による耐ウィルス保存装置は、１世
代前の退避されたファイルデータの内容と最新の退避フ
ァイルデータの内容を比較し、差分情報のみを残して１
世代前のファイルデータを消去し、最新のファイルデー
タを保存する機能を有する。

【００２５】本発明によるコンピュータシステムのバッ
クエンドプロセッサのひとつであるユーザ装置はコンピ
ュータのCPUとデータ交換を行ない、ディスプレイモニ
タ装置，キーボード，マウス装置などを制御する機能を
有する。このユーザ装置は外部から入力したデータをプ
ログラムとして実行することを許さない。ユーザ装置プ
ロセッサと耐ウィルス保存装置プロセッサは、コンピュ
ータのCPUを経由してコンピュータのCPUに情報を読み取
られない秘密の暗号通信を行なう機能を有する。

【００２６】本発明による耐ウィルス保存装置は自動的
なデフラグ処理を実行する機能を有する。

【００２７】本発明によるコンピュータシステムのＣＰ
Ｕが耐ウィルス保存装置の退避用ディスクとは独立して
CPUの直接制御により入出力を行なうディスクを持つ場
合、ユーザ装置からの指示に応じて所定の算式により耐
ウィルス保存装置プロセッサが退避された最新ファイル
のハッシュ値を計算し、耐ウィルス保存装置プロセッサ
とは独立してコンピュータCPUが直接入出力を行なうデ
ィスクファイルのハッシュ値を計算し、それぞれがハッ
シュ値をユーザ装置に送信し、ユーザ装置は両者の比較
を行なう機能を有する。

【００２８】

【発明の実施の形態】実施の形態１．本発明の実施の形
態１を図面に基づいて説明する。図１は耐ウィルス機能
を備えたコンピュータシステムにおける本発明のひとつ
の原理を示す構成図である。図１において１はユーザ装
置を示し、2はフロントエンドプロセッサとしてのホス
トプロセッサを示し、3は耐ウィルス保存装置を示す。
ユーザ装置1とホストプロセッサ2はチャネルで接続され
ている。また、ホストプロセッサ2と耐ウイルス保存装
置3はチャネルで接続されている。ユーザ装置1において
11はユーザ装置プロセッサであり、12はユーザ装置プロ
セッサにより制御されるディスプレイモニタ装置であ
り、13はユーザ装置プロセッサにより制御されるキーボ
ード及びマウス装置である。耐ウィルス保存装置3にお
いて、31は耐ウィルス保存装置プロセッサであり、32は
耐ウィルス保存装置プロセッサに付属するページアドレ
ス変換機構であり、33は耐ウィルス保存装置プロセッサ
31により制御されるディスクである。ユーザがホストプ
ロセッサを用いる場合のディスプレイ・モニタ装置は12
を、キーボード及びマウス装置は13をユーザ装置プロセ
ッサ11経由で用いる。また、ディスクはディスク33を耐
ウィルス保存装置プロセッサ31経由で用いる。ユーザ装
置プロセッサ11と耐ウィルス保存装置プロセッサ31は通
信毎に暗号鍵が変化する所定の暗号方式と変化する暗号
鍵の基本情報を共有している。暗号鍵の基本情報はホス
トプロセッサ2には記録されないので、ホストプロセッ
サには解読不能である。上記ディスプレイモニタ装置１
２がこの発明におけるユーザインターフェース部であ
る。

【００２９】図２はページアドレス変換機構32の構造を
示しており、ディスク領域を適当な等しい大きさの領域
（ディスク上の所定の大きさの領域）に分割し、これを
ページと呼ぶ。表形式のデータセルを列側から見た場
合、321は状態フラグであり、322はページアドレス変換
情報セルであり、323は退避ページ情報セルであり、324
は時刻格納セルであり、325は前方向チェインポインタ
であり、326は後方向チェインポインタである。表形式
を行側から見た場合各行32aは各ページの情報に対応す
る。表形式とは独立して、32bは未使用ページチェイン
のヘッダ部であり、32cは退避ページチェインのヘッダ
部である。初期値は物理ページと論理ページが一致して
おり、ページアドレス変換情報セル322には当該ページ
アドレス自身が書き込まれている。また、状態フラグ32
1は「未使用」状態（未使用状態）となっている。前方
向チェインポインタ325及び後方向チェインポインタ326
の各セルは、未使用ページチェインヘッダ部32bから順
次前方向及び後方向に隣接するページアドレスを指し、
ページ全体として図３に示すように未使用ページのチェ
インに接続されるように構成される。

【００３０】ホストプロセッサ2のシステムプログラム
はホストプロセッサ2，耐ウィルス保存装置プロセッサ3
1を経由してシステム生成処理としてディスク33に書き
込まれる。新たにディスク・ページが使用されると対応
するページアドレス変換機構32の当該ページの状態フラ
グ321を「使用中」状態（使用状態）とし、図4に示すよ
うに前方向チェインポインタ325，後方向チェインポイ
ンタ326の前後のページを直接接続し、ページ未使用の
チェインから外す。オフラインで用意されたシステムプ
ログラム自体にウィルスが含まれていないと前提をおけ
ば、ディスク33に生成されたシステムプログラムにはウ
ィルスが含まれていない。次にホストプロセッサ2にア
プリケーションプログラムのひとつとして耐ウィルスデ
ータ保存用プログラムがインストールされる。このプロ
グラムはユーザ装置1と耐ウィルス保存装置3との間のメ
ッセージ中継の機能を果たす。

【００３１】ホストプロセッサ2から新しいプログラム
またはデータ（情報）がディスク33に書き込まれ、新た
にディスク・ページが使用されると対応するページアド
レス変換機構32の当該ページの状態フラグ321が「使用
中」状態となり、当該ページは未使用ページチェインか
ら外される。

【００３２】ホストプロセッサ2から管理可能なディス
クのプログラムまたはデータが更新され、ディスクのあ
るページ（Ｐ１とする。）の内容が更新された場合、未
使用状態ヘッダ32bから前方向チェインポインタ325を参
照して未使用ページ（Ｐ２とする。）を１つ得る。ペー
ジアドレス変換情報セルからページＰ２の物理ページア
ドレスを得て、更新されたページの内容をディスク33の
当該物理ページに書き込む。書き込みされた領域がペー
ジサイズと一致しない場合には、Ｐ２の物理ページの残
余ページ領域にページＰ１の対応する位置の内容を書き
込む。次にページアドレス変換情報セル322のページＰ
１とページＰ２の内容を交換する。ページＰ２の状態フ
ラグを「未使用状態」から「退避状態」に変更し、その
ときの時刻を退避時刻格納セル324に格納する。ページ
Ｐ２を未使用ページチェインから外して、退避ページチ
ェインの最後尾に登録する。

【００３３】ディスク33のあるページの内容が削除され
た場合、対応するページアドレス変換機構322の当該ペ
ージの状態フラグを「使用中状態」から「退避状態」に
変更し、退避ページ情報セル323にそのページアドレス
自身を登録し、退避ページチェインの最後尾に登録す
る。また、そのときの時刻を退避時刻格納セル324に格
納する。

【００３４】即ち、状態フラグが未使用状態の場合は、
当該ページへの情報書き込みを許可せず、使用状態の場
合は当該ページへの情報書き込みを許可しない状態であ
って当該ページに記録されている情報は最新の情報であ
り、退避状態の場合は当該ページへの情報書き込みを許
可しない状態であって当該ページに記録されている情報
は更新または削除された情報である。

【００３５】ホストプロセッサ2がディスク33のあるペ
ージの内容読み出しを耐ウィルス保存装置プロセッサ31
に要求したとき、耐ウィルス保存装置プロセッサ31はペ
ージアドレス変換機構32のページアドレス変換情報セル
322に登録してある物理ページアドレスから当該するデ
ィスクページを読み出して、ホストプロセッサ2に送信
する。

【００３６】「未使用状態」のページの残数がシステム
で定めた所定数以下になった場合、退避ページチェイン
ヘッダ部32cの前方向から適切な量のページ数を選択し
「退避状態」から「未使用状態」に変更する。すなわ
ち、ページアドレス変換機構32の状態フラグ321を「退
避状態」から「未使用状態」に変更し、退避状態ページ
チェインから外して、未使用状態チェインに登録する。
退避ページチェインヘッダ部32cの前方向から適切な量
のページ数を選択することが所定の規則である。「退避
状態」のページがシステムで定めた一定数以下になれ
ば、ディスクの容量をすべて使い切ったものとし、ホス
トプロセッサ2に空きディスク容量がないことを警告す
る。

【００３７】ホストプロセッサ2がディスク33のデータ
を読み出す場合、耐ウィルス保存装置プロセッサ31にデ
ィスクアドレス・サイズを添えて要求する。耐ウィルス
保存装置プロセッサ31はページアドレス変換機構32を用
いてページアドレス変換情報セル322を通じて論理ペー
ジアドレスから物理ページアドレスを得て、データを読
み出し、ホストプロセッサ2に読み出しデータを送信す
る。

【００３８】ホストプロセッサ2がディスク33の使用部
分の状態をある時刻の状態に復元しようとしたときのメ
ッセージの流れを図５に示す。ユーザはユーザ装置1の
ディスプレイモニタ装置12、キーボード及びマウス装置
13を用いてディスクの内容復元の指示と復元時刻のメッ
セージ41を入力する。入力された内容はユーザ装置プロ
セッサ11で暗号化され41aとしてホストプロセッサ2に送
信される。ホストプロセッサ2はメッセージ41aを耐ウィ
ルス保存装置プロセッサ31に送信する。耐ウィルス保存
装置プロセッサ31はメツセージ41aを復号化し、復元指
定の時刻より以前の退避ページが残存するか否かを判断
する。残存しなければ復元不能の回答41bを暗号化して
ホストプロセッサ2に送信する。ホストプロセッサ2は41
bをユーザ装置プロセッサ11に送信する。ユーザ装置プ
ロセッサ11は41bを復号化して復元不能の情報と判断
し、ディスプレイモニタ装置12に表示する。

【００３９】復元可能な時刻より以前の退避ページが残
存していれば、退避ページチェインヘッダ32cより、後
方向チェインポインタ326から順次退避ページ（Ｐ３と
する）を取り出す。退避ページの退避ページ情報セル32
3より、オリジナルのページ（Ｐ４とする）を得る。Ｐ
３とＰ４のページアドレス変換情報セル322の内容を交
換する。ページＰ４の状態フラグ321が「未使用状態」
であればページＰ４を未使用ページチェインから外す。
またページＰ４の状態フラグ321を「使用中」とする。
ページＰ３を退避ページチェインから外し、未使用ペー
ジチェインに登録する。またページＰ４の状態フラグ32
1を「未使用状態」とする。これを復元指定の時刻の直
前まで順次行なう。復元が完了すると耐ウィルス保存装
置プロセッサ31は復元完了情報として41bを暗号化して
ホストプロセッサ2に送信し、ホストプロセッサ2はユー
ザ装置プロセッサ11に復元完了情報41bを送信する。ユ
ーザ装置プロセッサ11は復元完了情報41bを復号化して
復元完了と判断し、ディスプレイモニタ装置12に表示す
る。

【００４０】図６にウィルスによる短時間大量書き込み
攻撃に対する処理とメッセージの流れを示す。ホストプ
ロセッサ2はデータの作成、更新、消去が発生とすると
その指示及びデータ42を耐ウィルス保存装置プロセッサ
31に送る。耐ウィルス保存装置プロセッサ31は、ある一
定時間内にホストプロセッサ2の指示により何ページ更
新されるかを監視する。単位時間にシステムで定めた閾
値（所定数）を超えてページ更新が発生すれば、耐ウィ
ルス保存装置プロセッサ31は、ディスク内容の更新を保
留し、異常更新警告メッセージ42aを暗号化してホスト
プロセッサ2に送信する。ホストプロセッサ2はメッセー
ジ42aをユーザ装置プロセッサ11に送信する。ユーザ装
置プロセッサ11はメッセージ42aを復号化してディスプ
レイモニタ装置12に表示する。ユーザはキーボード及び
マウス装置13を用いて短時間のデータ更新が正常と判断
すれば、「処理継続」を応答入力し、異常と判断すれば
「処理中断」を応答入力する。入力された応答はユーザ
装置プロセッサ11で暗号化され応答メッセージ42bとし
てホストプロセッサ2に送信する。ホストプロセッサ2は
メッセージ42bを耐ウィルス保存装置プロセッサ31に送
信する。耐ウィルス保存装置プロセッサ31は、メッセー
ジ42bを復号化し、「処理継続」の指定であれば、更新
処理を再開し、「処理中断」の指定であれば処理を中断
する。

【００４１】図7に断続的なユーザ装置プロセッサ11と
耐ウィルス保存装置プロセッサ31との接続確認の処理を
示す。ユーザ装置プロセッサ11は乱数より求めたランダ
ムな時間の間に耐ウィルス保存装置プロセッサとの間に
通信が途絶えると、ヘルシーメッセージ43a（接続確認
用メッセージ）を暗号化してホストプロセッサ2経由で
耐ウィルス保存装置プロセッサ31に送信する。耐ウィル
ス保存装置プロセッサ31はヘルシーメッセージ43aを復
号化してヘルシーメッセージであることを確認すると、
それに対する応答43bを暗号化してホストプロセッサ2経
由で応答43bをユーザ装置プロセッサ11に送る。ユーザ
装置プロセッサ11は応答43bを復号化し、ヘルシーメッ
セージ送信に対する応答であることを確認する。ユーザ
装置プロセッサ11から耐ウィルス保存装置プロセッサ31
に発信したヘルシーメッセージ43aに対して、耐ウィル
ス保存装置プロセッサ31から一定時間内に応答43bが返
らなければなければ、ディスプレイモニタ装置12に警告
を表示する。

【００４２】耐ウィルス保存装置プロセッサ31は、最も
低い優先順位で未使用ページを物理的に連続した位置に
集めるためのデフラグ処理を実行する。デフラグ処理は
他に処理すべき優先順位の高い処理が発生すれば、ペー
ジアドレス変換機構のテーブル構造が正常な状態で中断
し、優先順位の高い処理が終了すれば処理を再開する。

【００４３】以上説明したように、本実施の形態によれ
ば、あらかじめデータ更新のログを記録する退避領域を
ディスクに割り付けなくても、ユーザが使用していない
ディスク領域をすべて退避領域として活用できるので、
退避領域が実質的に拡大する。かつユーザがディスク領
域使用を増やせば自動的に優先度の低い退避領域を解放
するので、全体としてディスクの有効活用が図れる。ま
た、退避データをユーザ使用領域からコピーする必要が
ないので、データ更新に必要な時間を小さくすることが
できる。

【００４４】ホストプロセッサ2にコンピュータウィル
スが侵入し、コンピュータウィルスが短時間に大量のデ
ータ破壊を行なって退避領域を食い潰し、データ復元を
無効とする攻撃を行なおうとしても、耐ウィルス保存装
置プロセッサでユーザに警告を発し、ユーザが処理継続
を入力するまで停止するので、退避領域の保全を図り復
元を行なうことができる。

【００４５】コンピュータウィルスがユーザ装置プロセ
ッサ11と耐ウィルス保存装置プロセッサ31との通信を改
竄しようとしても、ホストプロセッサ2では暗号鍵を知
ることができず、また、同じメッセージ内容でも毎回暗
号化されたデータ内容が異なるため、改竄することはで
きない。また、ホストプロセッサ2における中継処理を
妨害し、一方からのメッセージを他方に伝えなければ、
警報をユーザに発するので、ユーザがコンピュータウィ
ルスに侵入されたことを気づかないままコンピユータを
使用し続けることを防止することができる。さらに、ヘ
ルシーメッセッジの送信間隔をランダムとしたので、コ
ンピュータウィルスは時間間隔により、ヘルシーメッセ
ージであるか否かを推定することもできない。

【００４６】また、データの退避処理によりディスク・
ページの断片化が加速され、データの読み出しに時間が
かかる問題が生じるが、耐ウィルス保存装置の空き時間
を利用してデフラグ処理を行なうことにより解消され
る。

【００４７】なお上記の説明では、ユーザ装置プロセッ
サ11と耐ウィルス保存装置プロセッサ31は通信毎に暗号
鍵が変化する所定の暗号方式と変化する暗号鍵の基本情
報を共有しているとしたが、ホストプロセッサ２に解読
不可能であれば、通信毎に暗号鍵が変化しなくてもよ
い。暗号の方式としては周知の共通鍵方式や公開鍵方式
でもよい。

【００４８】実施の形態２ 図8は本発明の実施の形態２を示す図であり、34は耐ウ
ィルス保存装置プロセッサから制御される警報パネルで
あり、ユーザに警告を発する警報音、警報の種類を示す
ランプから構成される。35は耐ウィルス保存装置を制御
する操作パネルである。本実施の形態の場合は、ユーザ
装置はなくディスプレイモニタ装置、キーボード、マウ
スは直接ホストプロセッサ2に制御される。本実施の形
態においては、上記警報パネルがこの発明におけるユー
ザインターフェース部である。

【００４９】本実施の形態の場合、正常動作時には、操
作パネル35の設定によりデータの復元と短時間の大量デ
ータ更新は禁止されている。ディスクデータの更新時に
おける更新前データの退避方法は実施の形態１と同じで
ある。

【００５０】異常データ更新が発生したとき、実施の形
態１の42bに示す異常更新警報をユーザ装置1に発する代
わりに、警報パネル34にて警報音を発し、警報ランプに
警報の種類を示す。ユーザが正常であると判断すれば操
作パネル35から処理継続を入力する。

【００５１】ユーザが異常と判断すれば、コンピュータ
ウイルスに汚染されていないことを保証されたディスク
復元プログラムを外部記憶媒体より、ホストプロセッサ
2に読みこむ。また、ユーザは操作パネル35よりデータ
の復元を許可する設定に変更する。ホストプロセッサ2
からディスク33のデータ復元の指示を耐ウィルス保存装
置31に対して行ない、耐ウィルス保存装置31はディスク
データの復元を行なう。

【００５２】以上説明したように、本実施の形態によれ
ば、実施の形態１と同様にコンピュータウィルスからの
大量データ書き込み攻撃を防止することができる。ま
た、ディスクの復元動作は、コンピュータウイルスに侵
されていないことが保証された環境下のみで動作するよ
う設定することができるので、コンピュータウィルスに
よる偽のデータ復元指示を防止することができる。

【００５３】実施の形態３．図9は本実施の形態におけ
るホストプロセッサ2のソフトウェア構造を示す図であ
り、21は汎用のオペレーティングシステム、22は耐ウイ
ルスプログラムの機能を果たすため置きかえられたファ
イル入出力処理プログラム、23はユーザ装置1と耐ウィ
ルス保存装置3とのメッセージ中継を行なうアプリケー
ションプログラムであるメッセージ中継プログラム、24
はユーザプログラムである。図10は本実施の形態のため
に拡張された耐ウィルス保存装置3であり、図10におい
て、36はファイル情報記録機構である。耐ウィルス保存
装置プロセッサ31は一定時間毎にチェックポイント時刻
を設定する。図11はファイル情報記録機構のデータ構造
であり、１つのファイルのディレクトリ、名称、属性情
報、消去有無をエントリの情報として、そのファイルの
作成、更新、消去を表す区分、ファイルデータのアドレ
ス・サイズ、版数がそれらが発生した時刻の新しい順に
ポインタで結ばれて登録される。図１１のポインタで結
ばれた区分、時刻（時刻情報）、版数、ディスクアドレ
ス・サイズの連鎖がファイルの更新履歴であり、ファイ
ルの版数はファイルが作成、更新、消去された回数から
決まる。

【００５４】ユーザのプログラムがディスク上のファイ
ルの作成、更新、消去を行なうとき、ファイル入出力処
理プログラム22は、ファイルの名称、ディレクトリ情
報、属性、ディスクアドレス・サイズ，データの内容の
情報を耐ウィルス保存装置プロセッサ31に出力する。

【００５５】耐ウイルス保存装置プロセッサ31は、ファ
イルの属性情報より、データ更新のログを記録すべきフ
ァイルであるか否かを判断する。ログを記録すべきファ
イルであれば、新たに作成されたファイルか更新された
ファイルか消去されたファイルかを判断する。新たに作
成されたファイルであれば、ファイル情報記録機構36
に、ディレクトリ、ファイル名称、ファイル属性を登録
する。また、ファイル作成更新時刻，更新版数0を記録
する。その他の場合はディレクトリ、ファイル名称、フ
ァイル属性は既に登録済みであるので、ファイル更新・
消去時刻を登録する。また、更新版数を同一ファイルの
直前の版数に１を加えて登録する。次にファイルの作
成、更新、消去の場合ともに、実施の形態１と同様に、
ページアドレス変換機構32のデータ及びディスク上のデ
ータを更新し、ファイル装置記録装置36に、ディスク上
のファイルのアドレス、サイズを登録する。このとき、
作成または更新されるファイルのページ数よりも物理的
に連続して未使用ページが連続する領域があれば、仮に
ホストプロセッサから送られてきたファイルデータの論
理ページアドレスが連続していなくても、未使用連続領
域を割り付ける。データ更新のログを記録する必要のな
いファイルであれば、同様に、ページアドレス変換機構
32のデータ及びディスク上のデータを更新するが、更新
前または消去前のページは、退避ページとせずに未使用
ページとする。

【００５６】耐ウィルス保存装置プロセッサ31は、一定
時間ごとにチェックポイント時刻を記録する。あるファ
イルについて、最新の更新版番号をV_N、当該退避データ
更新版番号をV_B、当該退避データ作成時刻をT_B、現時刻
をT_N、版数に対する経過時間の重み係数をk₁、チェック
ポイント間の最後の更新重み係数をk₂、チェックポイン
ト間の最後の更新の場合係数ＣをC= k₂、チェックポイ
ント間の最後の更新以外の場合係数ＣをC=1、最小保存
版数をv_m、優先保存版数をv_p、ファイルの保存データの
評価点をEPとすると、EPを EP=〔T_N− T_B＋(V_N− V_B)×k₁〕×C で計算されるものとする。

【００５７】未使用状態のページ残数が一定値以下とな
った場合、耐ウィルス保存装置プロセッサ31は、最も優
先順位が低い（EPが大きい）退避データを選択する。選
択方法を図12を用いて説明する。ステップS1にて評価値
EPが最大のファイルデータを選択する。ステップS2にて
そのファイルデータの版数が優先保存版数を超えている
かどうかを判断する（V_N− V_B＞v_p）。超えていればそ
のファイルデータを選択する。超えていなければステッ
プS3にてファイルデータが残っているかどうか判断し、
残っていれば次の評価値最大のファイルデータを選択、
判断に戻る。優先保存版数を超えないファイルデータが
存在しない場合、ステップS4にてファイルデータ選択を
最初からやり直す。ステップS5にて評価値EPが最大のフ
ァイルデータを選択する。ステップS6にてそのファイル
データの版数が最小保存版数を超えているかどうかを判
断する（V_N− V_B＞v_ｍ）。超えていればそのファイルデ
ータを選択する。超えていなければステップS7にてファ
イルデータが残っているかどうか判断し、残っていれば
次の評価値最大のファイルデータを選択、判断に戻る。
最小保存版数を超えないファイルデータが存在しなけれ
ば、評価値最大のファイルデータを選択する。選択した
ファイルデータに対応するページを実施の形態１と同様
に退避ページから未使用ページに変更する。

【００５８】ファイル単位でなく、直接ディスクアドレ
スとデータサイズを指定してディスクデータの作成、更
新、消去がホストプロセッサより指定された場合は、実
施の形態１と同様に直接ページ単位でデータの退避処理
をおこなう。

【００５９】ディスクデータの復元処理、異常更新に対
する警報処理、デフラグ処理は実施の形態１と同様であ
る。

【００６０】以上説明したように、本実施の形態によれ
ば、直前のファイル更新のログはなるべく保存しつつ、
時間が経過した後のファイル更新の記録保存は少なくす
ることにより、ファイル更新のログの保存時間を長くす
ることができる。さらに、論理的にファイルのディスク
の論理的位置の断片化が進んでも、物理的な位置の連続
性がなるべく保つよう処理されるので、ユーザによるデ
フラグ処理の必要性がなくなる。

【００６１】実施の形態４．図13は本実施の形態におけ
る耐ウィルス保存装置の構成であり、37は別の構成を持
つファイル情報記録機構である。図14はファイル情報記
録機構37のデータ構造であり、１つのファイルのディレ
クトリ、名称、属性情報、消去有無、ファイルのディス
クアドレス、サイズをエントリの情報としてそのファイ
ルの作成、更新、消去、差分ページ、版数がそれらが発
生した時刻の新しい順にポインタで結ばれて登録され
る。

【００６２】ユーザのプログラムがディスク上のファイ
ルの作成、更新、消去を行なうとき、実施の形態3と同
様にファイル入出力プログラム22は、ファイルの名称、
ディレクトリ情報、属性、ディスクアドレス・サイズ，
データの内容の情報を耐ウィルス保存装置プロセッサ31
に出力する。

【００６３】耐ウイルス保存装置プロセッサ31は、ファ
イルの属性情報より、データ更新のログを記録すべきフ
ァイルであるか否かを判断する。ログを記録すべきファ
イルであれば、新たに作成されたファイルか更新された
ファイルか消去されたファイルかを判断する。新たに作
成されたファイルであれば、ファイル情報記録機構37
に、ディレクトリ、ファイル名称、ファイル属性、ファ
イルのディスクアドレス・サイズを登録する。

【００６４】耐ウイルス保存装置プロセッサ31は、ファ
イルの属性情報より、データ更新のログを記録すべきフ
ァイルであるか否かを判断する。ログを記録すべきファ
イルであれば、新たに作成されたファイルか更新された
ファイルか消去されたファイルかを判断する。新たに作
成されたファイルであれば、ファイル情報記録機構37
に、ディレクトリ、ファイル名称、ファイル属性、ファ
イルのディスクアドレス・サイズを登録する。ファイル
更新ファイル更新の場合、ファイル情報記録機構37を参
照して１世代前の同一ファイルのファイルデータの内容
をファイルをページ単位に分割してページ単位で比較す
る。内容が異なるページがあれば、１世代前におけるペ
ージをページアドレス変換機構32において退避ページと
して登録する。内容が一致するページは使用ページから
未使用ページに変更する。最新データの内容はページア
ドレス変換機構より未使用ページを得てディスク33に書
き込む。ファイル消去の場合、ファイル情報記録機構37
から消去前ファイルの情報を得て、ページアドレス変換
機構32における当該ファイルのデータを使用ページから
退避ページに変更する。データ更新のログを記録する必
要のないファイルであれば、ページアドレス変換機構32
のデータ及びディスク上のデータを更新するが、更新前
または消去前のページは、退避ページとせずに未使用ペ
ージとする。

【００６５】未使用ページが一定数以下になった場合、
退避ページから未使用ページに変更する方法は実施の形
態１と同様である。また、ディスクデータの復元処理、
異常更新に対する警報処理は実施の形態１も同様であ
る。

【００６６】以上説明したように、本実施の形態によれ
ば、最新のファイル情報からの逆方向に差分情報のみを
ファイル更新のログ情報として持つので、ファイル更新
のログの保存時間を長くすることができる。

【００６７】実施の形態５．図15は本発明の実施の形態
５を示す図であり、25はホストプロセッサ2によって直
接制御されるローカルディスクである。耐ウィルス保存
装置3はホストプロセツサとは切り離して任意の場所に
設置され、ホストプロセッサ2と回線で接続されてい
る。この実施の形態においては、ディスプレイモニタ装
置１２がこの発明におけるユーザインターフェース部、
ディスク３３がこの発明におけるリモートディスク、耐
ウィルス保存装置プロセッサ３１がこの発明におけるリ
モートディスクコントローラである。

【００６８】図16を用いてメッセージの流れを説明す
る。ホストプロセッサ2においてファイルの作成・更新
・消去が発生した場合、図9におけるファイル入出力処
理プログラム22は、ローカルディスク25のファイルにフ
ァイルの作成・更新・消去データ42を送り、直接ローカ
ルディスク25を更新するとともに、実施の形態3と同様
に耐ウィルス保存装置プロセッサ31にファイルの作成・
更新・消去データ42を送信する。ホストプロセッサ2に
おいて、ファイルの読み出しが必要な場合、ファイル入
出力処理プログラム22はローカルディスク25から求める
データ43を読み出す。

【００６９】耐ウィルス保存装置プロセッサ31はファイ
ルの作成・更新・消去データ42がホストプロセッサ2か
ら送られてくると、実施の形態3と同様にファイル情報
記録機構、ページアドレス変換機構、ディスクの情報を
更新する。さらに、作成・更新されたファイルデータに
対しあらかじめ定めた一方向性関数を用いてファイルデ
ータのハッシュ値を計算してファイル対応に記録する。

【００７０】ファイルデータの復元、異常書き込みに対
する復元方法は実施の形態3と同様である。加えてディ
スク33上で復元したデータはホストプロセッサ2に送信
され、ファイル入出力処理プログラム22はローカルディ
スク25に書き込み、ローカルディスク25とディスク33の
内容を一致させる。

【００７１】ユーザ装置プロセッサ11は定期的にホスト
プロセッサ2にハッシュ値計算要求44を送信する。ホス
トプロセッサ2はハッシュ値計算要求44を耐ウィルス保
存装置31に転送するとともに、ローカルディスクの各フ
ァイルデータについて所定の算式にもとづき、ハッシュ
値を計算する。さらに各ハッシュ値から全体のハッシュ
値を計算し、計算した全体ハッシュ値44aをユーザ装置
プロセッサ11に返送する。耐ウィルス保存装置プロセッ
サ31はハッシュ値計算要求44を受け取ると各ファイルの
ファイルのハッシュ値から全体のハッシュ値を計算し
て、ハッシュ値を暗号化し、暗号化ハッシュ値44bをメ
インプロセッサ2経由でユーザ装置に送信する。ユーザ
装置プロセッサ11は耐ウィルス保存装置プロセッサ31か
ら送られてきたハッシュ値を復号化し、メインプロセッ
サ2から送られてきたハッシュ値と比較し、一致すれば
正常と判断する。不一致の場合及びハッシュ値応答がな
い場合は、異常と判断して警報44cをモニタディスプレ
イ装置12に表示する。

【００７２】以上説明したように、本実施の形態によれ
ば、専用の耐ウィルス保存装置を遠隔地に設置すること
が可能となる。遠隔地に退避データ装置を設置すれば、
ウィルスがローカルディスクを破壊せず、耐ウィルス保
存装置に実際とは異なる更新データを送信し、復元不能
としてからローカルディスクを破壊する攻撃が考えられ
るが、ハッシュ値比較により、小量の通信データで、正
常な退避データが残存している間に異常を検出し、異常
発生の場合でも復元を可能とする。

【００７３】説明した実施の形態5では、ホストプロセ
ッサ2に対応した専用の耐ウィルス保存装置を設ける例
を示したが、耐ウィルス保存装置は複数のホストプロセ
ッサに対応するようにもできる。

【００７４】

【発明の効果】以上のように、この発明に係る耐ウィル
スコンピュータシステムは、ディスクに退避領域を独立
に設ける必要がなく、空領域はすべて退避領域に利用可
能なので、ディスク領域の有効利用が可能であるという
効果がある。

【図面の簡単な説明】

【図１】実施の形態１の原理を示す構成図。

【図２】ページアドレス変換機構の構造図。

【図３】未使用ページのチェイン構造図。

【図４】チェインからの除去処理を示す図。

【図５】ディスクデータの復元に伴うメッセージの流れ
を示す図。

【図６】大量ディスク書き込みに対するメッセージの流
れを示す図。

【図７】ユーザ装置と耐ウィルス保存装置との接続確認
のメッセージの流れを示す図。

【図８】実施の形態2の原理を示す構成図。

【図９】実施の形態3におけるホストプロセッサのソフ
トウェア構造を示す図。

【図１０】実施の形態3における耐ウィルス保存装置の
構造を示す図。

【図１1】実施の形態3におけるファイル情報記録機構の
データ構造を示す図。

【図１２】実施の形態3における未使用とするページ選
択の処理の流れを示す図。

【図１３】実施の形態4における耐ウィルス保存装置の
構成図。

【図１４】実施の形態4におけるファイル情報記録機構
のデータ構造を示す図。

【図１５】実施の形態5の原理を示す構成図。

【図１６】実施の形態5におけるメッセージの流れを示
す図。

【符号の説明】

１ ユーザ装置 ２ ホストプロセッサ ３ 耐ウィルス保存装置プロセッサ １１ ユーザ装置プロセッサ １２ ディスプレイモニタ装置 １３ キーボード及びマウス装置 ２１ 汎用のオペレーティングシステム ２２ ファイル入出力処理プログラム ２３ メッセージ中継プログラム ２４ ユーザプログラム ３１ 耐ウィルス保存装置プロセッサ ３２ ページアドレス変換機構 ３２ａ ページの情報 ３２ｂ 未使用ページチェインヘッダ部 ３２ｃ 退避ページチェインヘッダ部 ３３ ディスク ３４ 警報パネル ３５ 操作パネル ３６ ファイル情報記録機構 ４１ ディスクの内容復元の指示と復元時刻のメッセー
ジ ４１ａ ディスクの内容復元の指示と復元時刻のメッセ
ージ ４２ ファイル作成・更新・消去データ ４２ｂ 復元不能の応答メッセージ ４３ データ ４３ａ ヘルシーメッセージ ４３ｂ ヘルシーメッセージに対する応答 ４４ ハッシュ値計算要求 ４４ａ ホストプロセッサで計算したハッシュ値 ４４ｂ 耐ウィルス保存装置で計算したハッシュ値。 ３２１ 状態フラグ ３２２ ページアドレス変換情報セル ３２３ 退避ページ情報セル ３２４ 退避時刻格納セル ３２５ 前方向チェインポインタ ３２６ 後方向チェインポインタ。

───────────────────────────────────────────────────── フロントページの続き (71)出願人 000004237 日本電気株式会社 東京都港区芝五丁目７番１号 (71)出願人 000006747 株式会社リコー 東京都大田区中馬込１丁目３番６号 (71)出願人 000006013 三菱電機株式会社 東京都千代田区丸の内二丁目２番３号 (72)発明者 大山 永昭 東京都目黒区大岡山２−12−１ 東京工業 大学内 (72)発明者 山口 雅浩 東京都目黒区大岡山２−12−１ 東京工業 大学内 (72)発明者 小尾 高史 東京都目黒区大岡山２−12−１ 東京工業 大学内 (72)発明者 青野 正宏 東京都千代田区丸の内二丁目２番３号 三 菱電機株式会社内 Ｆターム(参考） 5B082 DC05 EA01 FA04 GA14

Claims (12)

【特許請求の範囲】
1. 【請求項１】 ディスクと、ホストプロセッサと、ペー
   ジアドレス変換機構と、耐ウィルス保存装置プロセッサ
   とを有する耐ウィルスコンピュータシステムであって、 上記ディスクは情報記憶装置であって、上記ホストプロ
   セッサにより上記耐ウィルス保存装置プロセッサを介し
   て情報の書き込み、更新または削除を行われ、 上記ホストプロセッサは、当該耐ウィルスコンピュータ
   システム外部との情報の授受を行い、上記耐ウィルス保
   存装置プロセッサを介して上記ディスクへの情報の書き
   込み、更新または削除を行い、 上記ページアドレス変換機構は、上記ディスク上の所定
   の大きさの領域であるページのそれぞれについて、当該
   ページへの情報書き込みを許可する未使用状態、当該ペ
   ージへの情報書き込みを許可しない状態であって当該ペ
   ージに記録されている情報は最新の情報である使用状
   態、当該ページへの情報書き込みを許可しない状態であ
   って当該ページに記録されている情報は更新または削除
   された情報である退避状態、のいずれの状態であるかを
   示す状態フラグを有し、 上記耐ウィルス保存装置プロセッサは、上記ディスクへ
   の情報の書き込み、更新または削除に伴い、上記ページ
   アドレス変換機構の該当するページの状態フラグを変更
   することを特徴とする耐ウィルスコンピュータシステ
   ム。
2. 【請求項２】 上記耐ウィルス保存装置プロセッサは、 上記ページアドレス変換機構の状態フラグが未使用状態
   であるページが所定数以下になると、所定の規則に従っ
   て選択した状態フラグが退避状態のページの状態フラグ
   を未使用状態に変更することを特徴とする請求項１に記
   載の耐ウィルスコンピュータシステム。
3. 【請求項３】 ユーザへの情報伝達を行うユーザインタ
   ーフェース部と、該ユーザインターフェース部を制御す
   るユーザ装置プロセッサをさらに有し、 上記ユーザ装置プロセッサと上記耐ウィルス保存装置プ
   ロセッサは上記ホストプロセッサに解読不能な所定の暗
   号方式により通信を行うことを特徴とする請求項１に記
   載の耐ウィルスコンピュータシステム。
4. 【請求項４】 上記耐ウィルス保存装置プロセッサは、 一定時間内に情報が更新されたページの数を監視し、該
   一定時間内に更新されたページの数が所定数を超える場
   合は異常更新警告メッセージを生成し、該生成した異常
   更新警告メッセージを上記所定の暗号方式により暗号化
   して上記ユーザ装置プロセッサに送信し、 上記ユーザ装置プロセッサは、 上記耐ウィルス保存装置プロセッサから送信された暗号
   化された異常更新警告メッセージを復号し、上記ユーザ
   インターフェース部から警告を発することを特徴とする
   請求項３に記載の耐ウィルスコンピュータシステム。
5. 【請求項５】 上記ユーザ装置プロセッサは、 所定の通信確認時間の間上記耐ウィルス保存装置との間
   で通信が途絶えると、 上記耐ウィルス保存装置に対して接続確認用メッセージ
   を上記所定の暗号方式で暗号化して送信し、 一定時間内に上記接続確認用メッセージに対する応答が
   無い場合は上記ユーザインターフェース部から警告を発
   することを特徴とする請求項３に記載の耐ウィルスコン
   ピュータシステム。
6. 【請求項６】 上記通信確認時間は、上記ユーザ装置プ
   ロセッサが発生させた乱数により決定することを特徴と
   する請求項５に記載の耐ウィルスコンピュータシステ
   ム。
7. 【請求項７】 上記耐ウィルス保存装置プロセッサによ
   り制御されユーザへの情報伝達を行うユーザインターフ
   ェース部をさらに有し、 上記耐ウィルス保存装置プロセッサは、 一定時間内に情報が更新されたページの数を監視し、該
   一定時間内に更新されたページの数が所定数を超える場
   合は上記ユーザインターフェース部から警告を発するこ
   とを特徴とする請求項１に記載の耐ウィルスコンピュー
   タシステム。
8. 【請求項８】 ファイル情報記録機構をさらに有し、 該ファイル情報記録機構は、 上記ディスクに記憶されているファイルの作成、更新ま
   たは消去の回数から決まるファイルの版数とファイルが
   更新された時刻情報を含む更新履歴を含み上記耐ウィル
   ス保存装置プロセッサは、 状態フラグが未使用状態であるページの数が所定数以下
   になると、上記ファイル情報記録機構を参照して上記フ
   ァイルの版数と時刻情報とからファイルを選択し、該選
   択したファイルに対応するページの状態フラグを未使用
   状態に変更することを特徴とする請求項１に記載の耐ウ
   ィルスコンピュータシステム。
9. 【請求項９】 上記耐ウィルス保存装置プロセッサは、 一定時間毎に状態フラグが未使用状態のページ数をチェ
   ックし、状態フラグが未使用状態であるページの数が所
   定数以下になると、上記ファイル情報記録機構を参照し
   て上記ファイルの版数と時刻情報とからファイルを選択
   し、該選択したファイルに対応するページの状態フラグ
   を未使用状態に変更することを特徴とする請求項８に記
   載の耐ウィルスコンピュータシステム。
10. 【請求項１０】 ローカルディスクと、ホストプロセッ
    サと、ユーザ装置プロセッサとを有する耐ウィルスコン
    ピュータシステムであって、 上記ローカルディスクは情報記憶装置であって上記ホス
    トプロセッサから直接情報の書込み、更新または削除を
    行われ、 上記ホストプロセッサは、上記ローカルディスクに対し
    て直接情報の書込み、更新または削除を行うと共に、上
    記ローカルディスク以外の情報記憶装置であるリモート
    ディスクに対して該リモートディスクを制御するリモー
    トディスクコントローラを介して上記ローカルディスク
    に対して行ったのと同じ情報の書き込み、更新または削
    除を行い、 上記ユーザ装置プロセッサは、上記ローカルディスクに
    記録されている情報と上記リモートディスクに記録され
    ている情報を受信して両者を比較することを特徴とする
    耐ウィルスコンピュータシステム。
11. 【請求項１１】 上記ユーザ装置プロセッサは、上記ロ
    ーカルディスクに記録されている情報から生成したハッ
    シュ値と上記リモートディスクに記録されている情報か
    ら生成したハッシュ値を受信して２つのハッシュ値を比
    較することを特徴とする請求項１０に記載の耐ウィルス
    コンピュータシステム。
12. 【請求項１２】 上記ユーザ装置プロセッサが制御しユ
    ーザへの情報伝達を行うユーザインターフェース部をさ
    らに有し、 上記ユーザ装置プロセッサは受信した２つのハッシュ値
    が一致しない場合に上記ユーザインターフェース部から
    警告を発することを特徴とする請求項１１に記載の耐ウ
    ィルスコンピュータシステム。