JP2002533791A - アプリケーション・プログラムあるいはオペレーティング・システムのたの制限された運転環境を維持する方法およびシステム - Google Patents
アプリケーション・プログラムあるいはオペレーティング・システムのたの制限された運転環境を維持する方法およびシステムInfo
- Publication number
- JP2002533791A JP2002533791A JP2000570670A JP2000570670A JP2002533791A JP 2002533791 A JP2002533791 A JP 2002533791A JP 2000570670 A JP2000570670 A JP 2000570670A JP 2000570670 A JP2000570670 A JP 2000570670A JP 2002533791 A JP2002533791 A JP 2002533791A
- Authority
- JP
- Japan
- Prior art keywords
- program
- data
- operating
- processor
- memory space
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Abandoned
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/46—Multiprogramming arrangements
- G06F9/468—Specific access rights for resources, e.g. using capability register
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
- G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2211/00—Indexing scheme relating to details of data-processing equipment not covered by groups G06F3/00 - G06F13/00
- G06F2211/007—Encryption, En-/decode, En-/decipher, En-/decypher, Scramble, (De-)compress
Landscapes
- Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Computer Hardware Design (AREA)
- Storage Device Security (AREA)
Abstract
(57)【要約】
プロセッサ上で分離された実行プログラムあるいはオペレーティングシステムを同時に実行するプロセッサにおいて、不正なプログラムの実行環境をプロテクトする方法を提供する（５０２）。第１のプログラム（３０６）が実行される間、この第１のプログラムのみが利用するメモリ空間が設定される（５０４）。第１のプログラムとコンピュータの実行環境との通信は、共有メモリ空間（５０８）の利用、専用の割り込み、あるいは、専用のＩ／Ｏポート（５１０）を含む複数の手段中の単一のリンクを介して実行される。モニターは、プロセッサ上の第１のプログラム（３０６）に対して、制限された実行環境を管理する（５４６）。この制限された実行環境では、第１のプログラムは設定されたメモリ空間と前記の単一のリンクを除いて、プロセッサ上のリソースをアクセスする事が制限される。
Description
【０００１】 発明の背景 この発明はコンピュータープログラム隔離方法に関連する。特に、発明はコン
ピュータープログラムがバグあるいは制限されて、よく制御する通信ある形状を
同時に実現する一方同じハードウェアを共有する別のコンピュタープログラムの
デ−タの開発からプログラムを防御するための、制限された転環境を確立するお
よび維持する方法およびシステムである。 同時代のコンピュータは、スペシャル上で、コンピュータープログラムよびコ
ンピュータのメモリおよびＣＰＵ（ＣＰＵ）のようなコンピュータ部用インター
フェースを供給するためにオペレーティング・システム（Ｏ／Ｓを定義する、指
示書のセットを依存する。電流オペレーティング・システムコンピュータープロ
グラムが同時に実行することを実現するマルチに仕事をする性能を有する。別の
ものの端末が指示書を実行するのを待たないための各プログラム。マルチに仕事
を課するＯ／Ｓ、他のプログラムと資源を共するための実現するプログラムによ
り、同時に実行するためのプログラムを現する。例えば、同時に実行する多重プ
ログラムを実行するオペレーティグ・システムは、コンピュータのＣＰＵ時を共
有するためのプログラムを実現る。同系統上で実行するプログラム、そうでなけ
れば、他のプログラムと同時に同じ永久貯蔵媒体上の空間を共有する。同時に実
行しているプログラムは、適切にインプリメントされた限度に、Ｏ／Ｓの制限お
よびポリシーによる定の程度に限定的に、同じ物理的メモリにおける、２値およ
びデ−タを現在時に設置することができる。メモリ・セグメントは、同じ方法で
Ｏ／Ｓによてサービスされているプログラムによって共有される。Ｏ／Ｓはスレ
ッドのうな、プロセステ−ブルおよびメモリ・セグメントを資源化する。 同時に同様に実行するプログラムによって共有される。資源を共有すためのプ
ログラムを実現する間に；多くの恩典を有する、そこに、生じている安全は枝分
れを関連した。いくつかのプログラムはプログラムの指示書における誤りかバグ
により実施における問題を有する。あるいは、他の実行はプログラムと衝突する
。あるいはそれらに渡された病定形かあるいは有害な入から。後続の、それらに
おける故意に埋設された誤りを有する、いくつかのログラムは循環した；その結
果、プログラムは道に迷って実行し、いわゆるンピューター・ウイルスになる。
誤りにより、あるいはプログラマーの悪意ある意図により、多くの主な問題がま
た頻繁に生じる、それはこれらの不確なプログラムまでさかのぼることができる
；その実施結果は予測不能で不要ある。これらの問題；不確実かあるいは欠陥品
プログラムを実現することを含している：ＣＰＵタイムを消費し、ＣＰＵタイム
を無くした他のプログラを中止する；他のプログラムによって生成されたファイ
ルを偽造し、読み、き、削除し、あるいは破壊する；他のプログラムの実行可能
なファイルを偽造読み、書き、削除し、あるいは破壊する；また、他のプログラ
ムによって使されるための記憶場所を読み書くことにより、これらプログラムの
実施悪くるする。上記のことは、これは故意に悪意のあるコード、あるいは善の
コーにおけるバグ、あるいはコードへの誤入力、あるいはコードへの悪のある入
力あるいはこれらの組合せの結果であり。 そのようなシナリオの例；１セットの確実なプログラム；第２と同時に実なプ
ログラムのセットを実行するために有する。インターネットに接続されるための
コンピュータである。この場合コンピュータは、複数のユーザー適用を備えたＯ
／Ｓをともに実行できる。下記から成ること：その、確実、Ｊａｖａ ａｐｐｌ
ｅｔｓのようなダウンロードされたコー実施を要求する、インターネット・ブラ
ウザーと同時にプログラムのセット あるいはＥＸＥ／ＣＯＭ実施可能 後のプ
ログラム 下記から成ること：不確実なセット。 時々、そのようなプログラムの起点は確認できない、それが疑いをかけるができ
るｅ、悪意のあることブラウザー、病にフォーマットされたウェブサイトあるい
は悪意のあるウサイトのブラウズが入力にある場合がある場合、それ、その行為
をまた破すための企て、コードのバッファー・オーバーフローおよび可能な不要
の施をき起こす大型入力の流れ。それは所望である、それ、不確実なプログラム
の実施；確実なプログラムする最小の影響を有する。 また、この効果は制御され、前調整ファイルあるいは記憶場所（特定のみ機構
）を通って制限された形状に制限されるべきである。多くの安全特徴および製品
はそのような破損が発生するのを防御するためソフトウェア・メーカーによって
、およびＯ／Ｓプログラマーによって成形れている。 またプログラム間の隔離の正確なレベルを保証すること。これらの中で、異な
る信頼レベルがメモリ部分および仕事とは割り当てらる保護の環、物理的部分に
論理的なメモリのマッピングを包含している呼出るいはページのような総括的な
建築術の解決である、異なる仕事を実現するとに；異なる信頼レベルを持ったペ
ージと異なるマッピングを有する。 また論理的な部分あるいはセグメントに論理的なメモリを写像すること連して
いる分節それ自身の信頼レベルを備えた各セグメント そこで： 各仕事は参照することができる、１つの、異なる、セグメントのセット来のオ
ペレーティング・システムによる共有性能が広範囲であるので、しがて、安全特
徴である。しかしながら より複合、安全メカニズムはそうである。 より容易、それ、欠陥品プログラムは安全をバイパスするために、そ時々共有
およびそうするためのプログラム間の通信を実現する特徴により、他プログラム
あるいはオペレーティング・システムそれ自身を悪くするめに欠陥品またはビー
ルスのプログラムに関して、後続の、のために、事実上てのソフトウェア安全メ
カニズム プログラマー；破壊するための方向と分かられて、有する。あるいは
、まわりに叩き切る。 安全システム、共有された環境における他のプログラムに危害をもたらめの、
欠陥品プログラムを実現すること これ；すべてのオペレーティング・システム
、およびインターネット・ダロード可能なプログラムあるいはａｐｐｌｅｔｓ用
の標準インタフェース砂箱を生成することだったＪａｖａ言語を包含している。
コンピュータープログラムの脆弱性は、コンピュータ・オペレーティングステム
それ自身の構成で位置する。典型的な従来の技術オペレーティング・システム・
スキームは図１で描写る。 従来で、マルチ仕事を課するＯ／Ｓ環境；コンピュータの始動でコンピタ・ラン
ダム・アクセス・メモリー（ＲＡＭ）に積載されたＯ／Ｓ核１００を含している
。 Ｏ／Ｓ核１００はそうである、１つの、最小、指示書のセット、どの積荷してか
ら――積荷、資源化する、また１０２に一般に示されて、コンピュタで実行する
、個別プログラムによって訪問されるようなＲＡＭにベクトを資化する。 時々、二つ又はそれ以上の実行プログラムがプリンター出力のような同じ源を要
求する場合、Ｏ／Ｓ核１００は全プログラムまでＲＡＭで資源を載ておく；その
資源を備えた仕上げされて、有する。ディスク読出しおよび書き込みのような他
の資産 そのような資源が他のものよりより頻繁に使用されるので、オペレーン
グ・システムが実行している間、ＲＡＭの中に残される。 図１で描写された従来の技術構成に関する固有の問題は、ＲＡＭのような資産で
ある。あるいはディスクアクセスし、かつ他のものを悪くするためのパイプライ
ンがプログラム欠陥品プログラムと同時にプログラムによって共有される。 あるいはＯ／Ｓそれ自身、従来の技術で使用されることになっている適用般自然
であるように、共用資源によって更に、多くの特徴は、Ｏ／Ｓ安全カズムをバイ
パスする、多くの容器にＯ／Ｓによってそれらに可能にされとこように作成され
る。デバイスドライバ−かデ−モンがそれを可能にする核モードにおけるＯ／よ
って実行される場合、そのようなものは容器である、無制限のアクセスに全、資
産。転化はこのように生じることができる、システム、広く。
ピュータープログラムがバグあるいは制限されて、よく制御する通信ある形状を
同時に実現する一方同じハードウェアを共有する別のコンピュタープログラムの
デ−タの開発からプログラムを防御するための、制限された転環境を確立するお
よび維持する方法およびシステムである。 同時代のコンピュータは、スペシャル上で、コンピュータープログラムよびコ
ンピュータのメモリおよびＣＰＵ（ＣＰＵ）のようなコンピュータ部用インター
フェースを供給するためにオペレーティング・システム（Ｏ／Ｓを定義する、指
示書のセットを依存する。電流オペレーティング・システムコンピュータープロ
グラムが同時に実行することを実現するマルチに仕事をする性能を有する。別の
ものの端末が指示書を実行するのを待たないための各プログラム。マルチに仕事
を課するＯ／Ｓ、他のプログラムと資源を共するための実現するプログラムによ
り、同時に実行するためのプログラムを現する。例えば、同時に実行する多重プ
ログラムを実行するオペレーティグ・システムは、コンピュータのＣＰＵ時を共
有するためのプログラムを実現る。同系統上で実行するプログラム、そうでなけ
れば、他のプログラムと同時に同じ永久貯蔵媒体上の空間を共有する。同時に実
行しているプログラムは、適切にインプリメントされた限度に、Ｏ／Ｓの制限お
よびポリシーによる定の程度に限定的に、同じ物理的メモリにおける、２値およ
びデ−タを現在時に設置することができる。メモリ・セグメントは、同じ方法で
Ｏ／Ｓによてサービスされているプログラムによって共有される。Ｏ／Ｓはスレ
ッドのうな、プロセステ−ブルおよびメモリ・セグメントを資源化する。 同時に同様に実行するプログラムによって共有される。資源を共有すためのプ
ログラムを実現する間に；多くの恩典を有する、そこに、生じている安全は枝分
れを関連した。いくつかのプログラムはプログラムの指示書における誤りかバグ
により実施における問題を有する。あるいは、他の実行はプログラムと衝突する
。あるいはそれらに渡された病定形かあるいは有害な入から。後続の、それらに
おける故意に埋設された誤りを有する、いくつかのログラムは循環した；その結
果、プログラムは道に迷って実行し、いわゆるンピューター・ウイルスになる。
誤りにより、あるいはプログラマーの悪意ある意図により、多くの主な問題がま
た頻繁に生じる、それはこれらの不確なプログラムまでさかのぼることができる
；その実施結果は予測不能で不要ある。これらの問題；不確実かあるいは欠陥品
プログラムを実現することを含している：ＣＰＵタイムを消費し、ＣＰＵタイム
を無くした他のプログラを中止する；他のプログラムによって生成されたファイ
ルを偽造し、読み、き、削除し、あるいは破壊する；他のプログラムの実行可能
なファイルを偽造読み、書き、削除し、あるいは破壊する；また、他のプログラ
ムによって使されるための記憶場所を読み書くことにより、これらプログラムの
実施悪くるする。上記のことは、これは故意に悪意のあるコード、あるいは善の
コーにおけるバグ、あるいはコードへの誤入力、あるいはコードへの悪のある入
力あるいはこれらの組合せの結果であり。 そのようなシナリオの例；１セットの確実なプログラム；第２と同時に実なプ
ログラムのセットを実行するために有する。インターネットに接続されるための
コンピュータである。この場合コンピュータは、複数のユーザー適用を備えたＯ
／Ｓをともに実行できる。下記から成ること：その、確実、Ｊａｖａ ａｐｐｌ
ｅｔｓのようなダウンロードされたコー実施を要求する、インターネット・ブラ
ウザーと同時にプログラムのセット あるいはＥＸＥ／ＣＯＭ実施可能 後のプ
ログラム 下記から成ること：不確実なセット。 時々、そのようなプログラムの起点は確認できない、それが疑いをかけるができ
るｅ、悪意のあることブラウザー、病にフォーマットされたウェブサイトあるい
は悪意のあるウサイトのブラウズが入力にある場合がある場合、それ、その行為
をまた破すための企て、コードのバッファー・オーバーフローおよび可能な不要
の施をき起こす大型入力の流れ。それは所望である、それ、不確実なプログラム
の実施；確実なプログラムする最小の影響を有する。 また、この効果は制御され、前調整ファイルあるいは記憶場所（特定のみ機構
）を通って制限された形状に制限されるべきである。多くの安全特徴および製品
はそのような破損が発生するのを防御するためソフトウェア・メーカーによって
、およびＯ／Ｓプログラマーによって成形れている。 またプログラム間の隔離の正確なレベルを保証すること。これらの中で、異な
る信頼レベルがメモリ部分および仕事とは割り当てらる保護の環、物理的部分に
論理的なメモリのマッピングを包含している呼出るいはページのような総括的な
建築術の解決である、異なる仕事を実現するとに；異なる信頼レベルを持ったペ
ージと異なるマッピングを有する。 また論理的な部分あるいはセグメントに論理的なメモリを写像すること連して
いる分節それ自身の信頼レベルを備えた各セグメント そこで： 各仕事は参照することができる、１つの、異なる、セグメントのセット来のオ
ペレーティング・システムによる共有性能が広範囲であるので、しがて、安全特
徴である。しかしながら より複合、安全メカニズムはそうである。 より容易、それ、欠陥品プログラムは安全をバイパスするために、そ時々共有
およびそうするためのプログラム間の通信を実現する特徴により、他プログラム
あるいはオペレーティング・システムそれ自身を悪くするめに欠陥品またはビー
ルスのプログラムに関して、後続の、のために、事実上てのソフトウェア安全メ
カニズム プログラマー；破壊するための方向と分かられて、有する。あるいは
、まわりに叩き切る。 安全システム、共有された環境における他のプログラムに危害をもたらめの、
欠陥品プログラムを実現すること これ；すべてのオペレーティング・システム
、およびインターネット・ダロード可能なプログラムあるいはａｐｐｌｅｔｓ用
の標準インタフェース砂箱を生成することだったＪａｖａ言語を包含している。
コンピュータープログラムの脆弱性は、コンピュータ・オペレーティングステム
それ自身の構成で位置する。典型的な従来の技術オペレーティング・システム・
スキームは図１で描写る。 従来で、マルチ仕事を課するＯ／Ｓ環境；コンピュータの始動でコンピタ・ラン
ダム・アクセス・メモリー（ＲＡＭ）に積載されたＯ／Ｓ核１００を含している
。 Ｏ／Ｓ核１００はそうである、１つの、最小、指示書のセット、どの積荷してか
ら――積荷、資源化する、また１０２に一般に示されて、コンピュタで実行する
、個別プログラムによって訪問されるようなＲＡＭにベクトを資化する。 時々、二つ又はそれ以上の実行プログラムがプリンター出力のような同じ源を要
求する場合、Ｏ／Ｓ核１００は全プログラムまでＲＡＭで資源を載ておく；その
資源を備えた仕上げされて、有する。ディスク読出しおよび書き込みのような他
の資産 そのような資源が他のものよりより頻繁に使用されるので、オペレーン
グ・システムが実行している間、ＲＡＭの中に残される。 図１で描写された従来の技術構成に関する固有の問題は、ＲＡＭのような資産で
ある。あるいはディスクアクセスし、かつ他のものを悪くするためのパイプライ
ンがプログラム欠陥品プログラムと同時にプログラムによって共有される。 あるいはＯ／Ｓそれ自身、従来の技術で使用されることになっている適用般自然
であるように、共用資源によって更に、多くの特徴は、Ｏ／Ｓ安全カズムをバイ
パスする、多くの容器にＯ／Ｓによってそれらに可能にされとこように作成され
る。デバイスドライバ−かデ−モンがそれを可能にする核モードにおけるＯ／よ
って実行される場合、そのようなものは容器である、無制限のアクセスに全、資
産。転化はこのように生じることができる、システム、広く。
【０００２】 発明の要約 従って、それは上に記述された現存システムに関する問題を解決するための発明
の集まりである。 それはシステムを供給するためのこの発明の別の体、および同時に実行す数のコ
ンピュータープログラムおよびオペレーティング・システムを分離る法である。
それは同時に実行する多数のコンピュータープログラムおよびオペレーテグ・シ
ステムの真実の保護を供給するためのこの発明の別の体である、不実、そして潜
在的に欠陥品プログラムおよびオペレーティング・システム。 それは同時に実行する多数のコンピュータープログラムおよびオペレーテグ・シ
ステム用シンプルな固定された共有環境を供給するためのこの発明別の体である
。 それはデ−タの限定的な制御された共有を供給するためのこの発明の別ので互い
から多数の工程を保護する間に同時に実行する多数のコンピューターログラム、
およびオペレーティング・システムを間に資源化する。 それは１つのプログラム、別のプログラムの欠陥の起因からオペレーテグ・シス
テムあるいは同じコンピュータ上のオペレーティング・システムの欠を防御する
ためのこの発明の別の体である。 これらの物および他の利点は方法およびシステムによって、プロセッサー作動す
る第１のプログラムからプロセッサー上の運転環境を保護すること供される。 方法；次のステップを包含している： 共用メモリ空間で構成される第１のプログラム間の通信を実現して、第１ログラ
ムが実行している間、グループから選ばれたシングル方法を使用するングル・リ
ンクによる、第１のプログラムおよび運転環境による割り付けるモリ−スペ−ス 専用割込み機構 また専用Ｉ／Ｏポート そして、プロセッサーに関する第１のプログラム用の制限された運転環管理す
る。 第１のプログラムが、割り付けられたメモリ−スペ−スおよびシングルリンク
を除いてプロセッサー上の資産をアクセスするのを防御する制限さた転環境。 本当に固定された共有環境の生成 この発明のシステムは、制限された資源アクセスを実現するシンプル有された
環境を供給する。 Ｏ／Ｓあるいは他のプログラムによって供給された、共有性能に対立するとして
のハードウェアによって直接供給されるものへのシステム限界共有能 そして、これらの共有性能の動作および非活性化以外は何も行わない。 これは、同じコンピュータに関する複数のプログラムを実行する本当にシルで固
定された方向を導く。 システムの多くの解釈は制限された運転環境と残存する処理環境の間に通るデ−
タのためのフォーマットおよびプロトコルをインプリメントする特の／Ｏルーテ
ィンを包含して、形式的に確認できる。 プロトコルそれ自身と同様に。 システムは、ディスクのような、資産の従来の共有を実現しない、読取り込み、
プリンター出力、割込み機構、Ｉ／Ｏポ−ト・アクセス システムはほぼどの型のコンピュータープログラムをインプリメントできがそれ
は、高安全および限定的な資産を要求するプログラムあるいはオペレティング・
システムには有効である。 例えば 同じコンピュータ上の複数のオペレーティング・システムを実行するコュータ
は、この発明のシステムによりそれらのオペレーティング・システにハードウェ
ア資産を割り当てることができる。 資源へのアクセスを共有するためのプログラムの間の制限されたリンクりいる間
、各オペレーティング・システムは共同実行するオペレーティグ・ステムと同時
に異なるハードウェア資産への直接アクセスを実現されるろう１つの、制御され
た、また方向を制限した。 各ハードウェア資源に関して 各走行オペレーティング・システムを供給された信頼レベルか安全レベ異なる
。 この同じスキームは、同じコンピュータ上で実行する１つあるいは複数のレーテ
ィング・システム内の多数のコンピュータープログラムに等しく適できる。 各適用は入力（それと出力が関連されている他のシステム資源なしに生じ程）を
受けることができる。 この平穏なハードウェア資源取得は、安全ポリシーの実行を実現する。 そこで： 第１のオペレーティング・システムあるいはプログラム；第二であるととは異
なっている信頼レベルか安全レベル、同じハードウェアを共有するくオペレーテ
ィング・システムあるいはプログラムを有する。 同じプロセッサー上の潜在的に異なる信頼レベルを備えた複数のプログラ維持し
ている間 そして、プロセッサーによって供給されるハードウェア・メカニズムにてそれ
らのプログラムを分離しておく。 この発明は、プロセッサーにとって当然のメカニズムの開発によりプログラム
間の通信のための制限されて、高く制御される手段を再び実現し、それより通信
メカニズムを比較的シンプルにしておく。 下記の討議で 用語「プログラム」は択一実施例について記述するためにオペレーテグ・シス
テムを備えた交換できる、でないならば、そうでなければ述べた、特の特徴のた
めに。 第１の実施で この発明のシステムは、そのシングル・オペレーティング・システムでする他
のプログラムからシングル・オペレーティング・システムで実行すプグラムを分
離することができる。 択一実施例で この発明のシステムは、各オペレーティング・システム内に実行する１るいは
複数のコンピュータープログラムを有することができるコンピュターステム上で
実行する、他のオペレーティング・システムからオペレーテングシステムを分離
することができる。
の集まりである。 それはシステムを供給するためのこの発明の別の体、および同時に実行す数のコ
ンピュータープログラムおよびオペレーティング・システムを分離る法である。
それは同時に実行する多数のコンピュータープログラムおよびオペレーテグ・シ
ステムの真実の保護を供給するためのこの発明の別の体である、不実、そして潜
在的に欠陥品プログラムおよびオペレーティング・システム。 それは同時に実行する多数のコンピュータープログラムおよびオペレーテグ・シ
ステム用シンプルな固定された共有環境を供給するためのこの発明別の体である
。 それはデ−タの限定的な制御された共有を供給するためのこの発明の別ので互い
から多数の工程を保護する間に同時に実行する多数のコンピューターログラム、
およびオペレーティング・システムを間に資源化する。 それは１つのプログラム、別のプログラムの欠陥の起因からオペレーテグ・シス
テムあるいは同じコンピュータ上のオペレーティング・システムの欠を防御する
ためのこの発明の別の体である。 これらの物および他の利点は方法およびシステムによって、プロセッサー作動す
る第１のプログラムからプロセッサー上の運転環境を保護すること供される。 方法；次のステップを包含している： 共用メモリ空間で構成される第１のプログラム間の通信を実現して、第１ログラ
ムが実行している間、グループから選ばれたシングル方法を使用するングル・リ
ンクによる、第１のプログラムおよび運転環境による割り付けるモリ−スペ−ス 専用割込み機構 また専用Ｉ／Ｏポート そして、プロセッサーに関する第１のプログラム用の制限された運転環管理す
る。 第１のプログラムが、割り付けられたメモリ−スペ−スおよびシングルリンク
を除いてプロセッサー上の資産をアクセスするのを防御する制限さた転環境。 本当に固定された共有環境の生成 この発明のシステムは、制限された資源アクセスを実現するシンプル有された
環境を供給する。 Ｏ／Ｓあるいは他のプログラムによって供給された、共有性能に対立するとして
のハードウェアによって直接供給されるものへのシステム限界共有能 そして、これらの共有性能の動作および非活性化以外は何も行わない。 これは、同じコンピュータに関する複数のプログラムを実行する本当にシルで固
定された方向を導く。 システムの多くの解釈は制限された運転環境と残存する処理環境の間に通るデ−
タのためのフォーマットおよびプロトコルをインプリメントする特の／Ｏルーテ
ィンを包含して、形式的に確認できる。 プロトコルそれ自身と同様に。 システムは、ディスクのような、資産の従来の共有を実現しない、読取り込み、
プリンター出力、割込み機構、Ｉ／Ｏポ−ト・アクセス システムはほぼどの型のコンピュータープログラムをインプリメントできがそれ
は、高安全および限定的な資産を要求するプログラムあるいはオペレティング・
システムには有効である。 例えば 同じコンピュータ上の複数のオペレーティング・システムを実行するコュータ
は、この発明のシステムによりそれらのオペレーティング・システにハードウェ
ア資産を割り当てることができる。 資源へのアクセスを共有するためのプログラムの間の制限されたリンクりいる間
、各オペレーティング・システムは共同実行するオペレーティグ・ステムと同時
に異なるハードウェア資産への直接アクセスを実現されるろう１つの、制御され
た、また方向を制限した。 各ハードウェア資源に関して 各走行オペレーティング・システムを供給された信頼レベルか安全レベ異なる
。 この同じスキームは、同じコンピュータ上で実行する１つあるいは複数のレーテ
ィング・システム内の多数のコンピュータープログラムに等しく適できる。 各適用は入力（それと出力が関連されている他のシステム資源なしに生じ程）を
受けることができる。 この平穏なハードウェア資源取得は、安全ポリシーの実行を実現する。 そこで： 第１のオペレーティング・システムあるいはプログラム；第二であるととは異
なっている信頼レベルか安全レベル、同じハードウェアを共有するくオペレーテ
ィング・システムあるいはプログラムを有する。 同じプロセッサー上の潜在的に異なる信頼レベルを備えた複数のプログラ維持し
ている間 そして、プロセッサーによって供給されるハードウェア・メカニズムにてそれ
らのプログラムを分離しておく。 この発明は、プロセッサーにとって当然のメカニズムの開発によりプログラム
間の通信のための制限されて、高く制御される手段を再び実現し、それより通信
メカニズムを比較的シンプルにしておく。 下記の討議で 用語「プログラム」は択一実施例について記述するためにオペレーテグ・シス
テムを備えた交換できる、でないならば、そうでなければ述べた、特の特徴のた
めに。 第１の実施で この発明のシステムは、そのシングル・オペレーティング・システムでする他
のプログラムからシングル・オペレーティング・システムで実行すプグラムを分
離することができる。 択一実施例で この発明のシステムは、各オペレーティング・システム内に実行する１るいは
複数のコンピュータープログラムを有することができるコンピュターステム上で
実行する、他のオペレーティング・システムからオペレーテングシステムを分離
することができる。
【０００３】 好ましい実施例の詳細な説明 コンピューターシステム３００における図２に関して この発明の第１の実施；２つの要素から成る。 制御可能に保護容器の役割をするマスタ−・ソフトウェア・プログラム２ またＲＡＭセグメント容器としての制限された運転環境かセル２０４動それ（
セル２０４容器で実行する）、マスタ−２０２モニタ−および制御ロラムによっ
て。 マスタ−２０２は、セル２０４で実行するプログラムからコンピュータのＳ ２
００のような他の工程を保護する。 システムは、ＶＭ８６切り替え可能なモードにおけるウィンドウズ（登録商標） ／ＮＴテム上でインプリメントできる。 ウィンドウズ／ＮＴによってインプリメントされたシステムは、インテルＣＰＵ
の上で実行できる、８０３８６以上．マスタ−２０２は、同じ優先およびシステ
ムの２００がＯ／Ｓ ２００と水平化するサイドＯ／Ｓに沿って切り替え可能に
作動する。 Ａ工程マスタ−２０２はセル２０４を構成し、セル２０４にプログラムをする。
マスタ−２０２はセル２０４におけるプログラムの実行用責任を負う。 そして、外部環境３０２にセル２０４からデ−タを通過する。 下記から成ること： Ｏ／Ｓ ２００、マスタ−２０２ また周辺装置のような、他のプログラムおよび資産。 マスタ−２０２は、プログラムおよび分解セル２０４のシャットダウン用を負う
。 図３に関して コンピュータ３００の図解の概観は、設置され実行しているこの発明の的なシ
ステムを備えた描写される。 コンピュータ３００；外部システム環境を一般に包含している、どれがレーティ
ング・システム２００を包含するか３０２に示す。 実施例は基本的に、どれが、インテル号のモデル８０３８６と８０４８６セッサ
ーに適用可能かであるが、次の実施例におけるプロセッサーは内電番Ｐｅｎｔｉ
ｕｍであると仮定される。 多様な他のＣＰＵへの当業者に公知の必要な修正を備えた。図３で描写された
システムは、リンクかベクトルにより外部環境３０２をた伝達するセル２０４に
おけるプログラムを実行している、３０４、それ成るこの実施例、共用メモリで
。この実施例において実行するプログラムはネットワ−ク通信カードのよハード
ウェア部品を連携するためのＴＣＰ／ＩＰ積重ねドライバ−である。この発明の
システムは、多くのバグ、および外部環境３０２におけるプログラムとの潜在的
なソフトウェア衝突を有することができるそれらのソフトウアおける複雑性のた
めにそのようなハードウェア・ドライバ−・プログラの実には優れている。セル
２０４における実行プログラムと外部環境３０２の間のメディエイタて２０２を
マスターする。セル２０４で実行する典型的なプログラム３０６；この場合ネッ
トワ−クカードである、外部資源にル−ティングするためのデ−タをキューにす
ＴＣＰ／ＩＰ通信積重ねを包含している。マスタ−２０２は、詳細に下に記述さ
れて、明確で狭窄部、制御可能なリあるいはベクトル３０４によるのみ情報の通
路を実現する。外部環境３０２はハードウェア周辺装置、オペレーティング・シ
ステムあは他のコンピュータープログラムを具備できる。環境はマスタ−２０２
によってセル２０４で実行するプログラムから保護る。しかしながら プログラ
ムはベクトル３０４によって環境３０２から情報を送り受けるができる。 マスタ−２０２ デバイスドライバ−のような特権のある仕事として実行する外
部環境３における工程である。 そして、１つのＣＰＵの上に潜在的にフル制御を行っている。マスタ−２０２
は、環境３０２の外からのセル２０４を分離できる、その果外部環境３０２はセ
ル２０４に気づいていない。Ｏ／Ｓ ２００はマスタ−２０２を与える、実行時
間スライス（マスタ−２はそれ中に資源をアクセスすることができる）のような
、その、仕事ィクリプタで供給されるそのハンドラおよびページ・ディレクタリ
ー表に割込機構を写像する割込み機構説明表（ＩＤＴ）３０８は、マスタ−の初
設定のに設定する。マスタ−２０２はセル２０４におけるプログラムに時スライ
スを与える。マスタ−２０２は、接続に外部環境３０２とセル２０４で実行する
プログの間の３０４を供給する。一度プログラムの実施が終了すれば、マスタ−
２０２は浄化用責任を負う。プログラムが終了した後、マスタ−２０２はセル２
０４を分解する。セル２０４は積載された実行可能プログラムの３０６の即時の
環境である。マスタ−２０２は仮想割込み機構ハンドラを備えたセルに２０４を
供給する。あるいは、実行のためにセル２０４内に必要とされるスタブ、仕事デ
ィスプタあるいは他の資産は、３０６をプログラムする。セル２０４は、仕事デ
ィスクリプタで供給されるページ表を通ってマスタ０２によってそれに割り当て
られたアドレス空間が、セットアップの間に積したＲＡＭをアクセスするための
、実行プログラム３０６を実現する。外部環境３０２を備えたプログラム３０６
のための通信のための手段はベル３０４によってある。ベクトル３０４はどちら
かでありうる、割込み機構、Ｉ／Ｏポート、ある１つの、特に、ＲＡＭにおける
指定共用メモリ・アドレス空間、それはベト３０４からデ−タへのアクセスを実
現する前にマスタ−２０２によって密に御され評価できる。あるいは他のプログ
ラムあるいはオペレーティング・システム２００から誘導されたデ−タをアクセ
スするためにプログラムにセル２０４のうちの０を実現すること。この発明の作
動用必要でないが セル２０４における実施のために積載されたプログラム３０６；ベクト部環境
３０２への３０４以外のどのサービスと無関係に、実行するために計れたか適応
されたソフトウェアから成る。プログラム３０６ソフトウェアは容器以外におい
てはシステム・コ−ルをできない；プログラムは別々に下に議論された第２の実
施のＯ／Ｓである。 第１の実施で もしそれらがその制御されたリンク・ベクトル外部環境３０２
への３０一部でなければ、プログラム３０６は割込み機構あるいはＩ／Ｏ指示書
を行きない。プログラム３０６は、セル２０４にこのように制限される。 そし
て、マスタ−２０２によってサービスされた。 しかしながら、最多のＣＰＵ集中的なプログラムを備えた、外部環境３０おける
一定の資源は、セル２０４で実行するプログラム３０６を連携する。 例えば、Ｏ／Ｓ ２００の時計割込み機構ハンドラ３１０が起動される場ハード
ウェア（Ｈ／Ｗ）割込み機構が起動される場合、マスタ−２０２はセル２０４で
実行するプログラム３０６へのイベントを同様に伝達しなけれらない。 特別のハードウェア・イベントを備えたＯ／Ｓ ２００関連のＨ／Ｗ割機構ハ
ンドラは、セル２０４で実行するプログラム３０６へのイベントを達るに違いな
い。マスタ−２０２は、リンクあるいはベクトルにセル２０４で実行するプログ
ラム３０６とシンプルで、できるだけシンプルな実行を維持するために制限れ外
部環境３０２の間の３０４を供給する。Ｈ／Ｗ割込み機構は、図３の典型的なＴ
ＣＰ／ＩＰプログラム３０６によアクセスされた、ネットワ−ク・カードのよう
なハードウェア周辺装置とコュニケーションのために必要である。プログラム３
０６が、Ｈ／Ｗ周辺装置とのコミュニケーションを要求しなル２０４で実行して
いる場合、この発明のシステムの作動を単純化するよな／Ｗハンドラの必要はな
い。リンク３０４を供給する１つの方法は、受動メモリ・リンクの使用による。
受動メモリ・リンクは最多の固定方法である、最も抑制ものである。受動メモリ
・リンクを備えた、マスタ−２０２積荷はセル２０４に、特にされた入力バッフ
ァーと一緒に３０６をプログラムする。 プログラム３０６が実施を始める場合
、入力バッファーは、既にプログ３０６用のアクセス可能な記憶領域の中にある
。 同様に プログラム３０６が終了した後、出力バッファはマスタ−２０２によ
っ出される。この方法への恩典は、交互作用が外部ことのプログラム３０６と要
素の間いということである、環境用３０２．この方法の短所、それである、３０
６をプログラムする、プログラム３０実施の間に外部環境３０２を備えた対話式
でない。通信は、２つの取引きをこのように供給される。 実施の初めに３０６
をプログラムするための入力 また実施の端末の出力。 プログラムと外部環境の３０２（３０６）の間のリンク・ベクトル３０４給す
る代替方法は、割込み機構を備えた、あるいはその割込み機構を伴わい型共用メ
モリ・セグメントによってある。メモリの特定のパーツは共用メモリとしてプロ
グラム３０６に譲渡した。 プログラムと外部環境の３０２（３０６）の間の通信用の範囲あるいはマスタ
−２０２それ自身と。プログラム３０６は共用メモリ上にデ−タを書くことがで
きる、表示、どかによる書き込みの完成、共用メモリ制御ブロックにおける前調
整位置にけビットにフラグを立てることあるいは下に議論されるような割込み機
構の起動により。 外部環境３０２あるいはマスタ−２０２、同様な方式でその完成にフラグを立
てて、その−タを読むことができる。プログラム３０６による読取りデ−タは同
様なファッションで遂行される。専用割込み機構は共用メモリ・リンク方法をイ
ンプリメントできる。 セル２０４の一部としてマスタ−は特別のリンク割込み機構ハンドラを設置で
きる。あるいはセル２０４のためのスタブ。ｌ／Ｏスタブは、外部環境における
、プログラムの３０６の割り付けられモリ−スペ−スからメモリ−スペ−スまで
デ−タを実行すること原因である。あるいはマスタ−２０４その逆も正しい（ま
た）。 プログラム３０６は起動基準割込み機構コ−ルによりＩ／Ｏを実行できる。セ
ル２０４および外部環境３０２におけるプログラム３０６間のデータリを供給す
る別の代替方法は、専用ＩＩＯポートの使用によってある。セル２０４の一部と
して、Ｉ／Ｏポートはプログラム３０６には備蓄場合る。 Ｉ／Ｏポートは外部環境３０２のためのＩ／Ｏポートへ接続されるためにアル
・バス、並列バス、ＮＩＣあるいは別の周辺機器に次には接続されるＣＩ装置の
ような周辺機器に接続できる。より多くの安全を獲得するために代わりに 外部環境３０２のためのＩ／Ｏポートは２０２をマスターするために接きる。
この方法でプログラム３０６は、Ｉ／ＯポートへＩ／Ｏポートからデ−タおよび
書デ−タを読むことにより外部環境３０２を連携する。 上記のリンク方法のうちのいかなるものおよび外部環境３０２でも送るこできる
ばいばい、／、デ−タを受ける、直接。あるいはマスタ−２０２によって作動す
るマスタ−２０２によって；マス２０２がプログラム３０６から到着するデ−タ
へのメディエイタになるよにより多くの固定であるという利点を有する。 それ、第２の実施に関してのような可能なｉｓｅ、に；２つのプログラム効に
有する、により、１つの、シングル、資源化する、であるが、で、１の制限され
た、上記されるようなリンクによって、方法を制御した。 そして透明でなく。
このメカニズムはすることができる、ｂｅｉｍｐｌｅｍｅｎｔｅｄされたの、そ
の上の完全な制御を有する第１のプログラムへの資源を割り当てことより。この
プログラムは、２つのプログラムの間の制限されたリンクにより第二ログラムへ
の資源間のデ−タを中継できる。両方のプログラムはこのメカニズムに気づいて
おり、メカニズムを非透明成して、その設備および保守における必要なステップ
を取る。 図４に関して、描写されたフローダイヤグラムは、この発明の第１の実施ンプ
リメントに対する主な段階を再現する。第１のステップは、メモリにマスタ−２
０２を初期化し積載することであＣＰＵの上のどのゲイン完全な制御、また必要
とされるデ−タ、ステップ４０を設定する。次 各プログラム３０６は２０４を
セル化する、初期化される、ステップ４０２．ステップ４０２；複数のサブ・ス
テップから成る。各セル２０４のために実行可能プログラム３０６は物理的メモ
リに積載される。 メモリは各セル２０４用分配される、ハードウェアと同様に、資源化する、プ
ログラム用のＣＰＵによって直接られたＣＰＵタイミング、割込み機構ベクトル
および他の資源は、２０をセル化する。 マスタ−２０２構造、第１の設定による各セル、ＣＰＵの保護、Ｉ／Ｏ許を包含
していること、仮想記憶表、割込み機構再方向マップ、仕事表、そ以のどのメモ
リあるいはハードウェアからプログラム３０６を分離するたの、節表、それに分
配された、により、２０２をマスターする。 ＣＰＵの工程立案メカニズム あるいは時計割込み機構 セル２０４と外部環
境３０２の間のＣＰＵ時を分配するためにセット・プされる。工程立案メカニズ
ムは始動する。ＣＰＵの工程立案メカニズムが各セル、ステップ４０４ ２０４
に時スラを分配するように、各プログラム３０６の実施は各セル２０４内に始め
らる。各プログラム３０６が実行するように、プログラム３０６ Ｉ／Ｏから多
リクエストサービスされる、ステップ４０６． サービスが供給されるように、外部環境３０２はアクセスするための各プラム
３０６の却下により保護される、資源化する、その割り付けられたメリよび前調
整以外に、資源化する、それ、ステップ４０８に割り当てられた。 これらの制限を破るための企ての場合には、マスタ−２０２がプログラム６を
終了できる。あるいは、企てを無視する。あるいは、マスタ−３０２にプログラ
ムされた他の適切な手段をとる。詳細に下に説明されるように、ハードウェア割
込み機構はマスタ−２０２びステップ４１０によって扱われる、時計割込み機構
、ステップ４１２と同様に。 プログラム３０６が終了する場合、マスタ−２０２はセル２０４をシャトダウ
ンし、２０４をセル化するために割り付けられたメモリ、ステップ４４リセット
する。 ＣＰＵレベル・サービスにセルにプログラム３０６を制限することをよりに作
成するために、プログラム３０６はそうでありうる、のような、セル０で実行す
る用採用された。ゼロから書かれたソフトウェアはアカウントにこの発明の限定
的な共有環とるためにコード化できる。 既存のプログラムのためにソース・コードは、Ｏ／Ｓ ２００の高さにサービ
スへの全コ−ルを除るために修正できる。そうでなければ、外部環境３０２否定
で資源を使用するための、プログラム３０６ならしセル２０４企てが、それに譲
渡した場合、マスタ−２０２はリクエストを視るために割込み機構スタブを起動
できる。例えば 入力バッファーから出力バッファを計算するプログラム３０６
は、スクンにメッセージを書くことを試みることができる、一方、その処理、デ
−タつ、スクリ−ン；有する、マスタ−２０２により２０４をセル化するために
はり付けられない。そのような容器に；制限を破るための企てが期待される。こ
の容器における資源のための割込み機構スタブ書き込みからスクリ−ンへの割込
み機構のためのスタブは構成できる；環境２０４を通知するための代わりにのよ
うに（プログラム３０６）割込み機構スタブは成功した作動をエミュレートして
、平易にリクエス無視する。またプログラム３０６への戻り制御。 この実施例で 書き込みからスクリ−ンへの割込み機構のための割込み機構ス
タブはス−ンへの成功した書き込みをエミュレートして、成功した状態を備えた
プグム３０６に戻すべきである；事実、無で；有する、起こった。 この方法で プログラム３０６はすることができる、仕上げ、その仕事、所望の
ものえた終了することは出力バッファを導く。 この方法で プログラム３０６は、プログラム３０６の修正を伴わないセルで実
行でる。
セル２０４容器で実行する）、マスタ−２０２モニタ−および制御ロラムによっ
て。 マスタ−２０２は、セル２０４で実行するプログラムからコンピュータのＳ ２
００のような他の工程を保護する。 システムは、ＶＭ８６切り替え可能なモードにおけるウィンドウズ（登録商標） ／ＮＴテム上でインプリメントできる。 ウィンドウズ／ＮＴによってインプリメントされたシステムは、インテルＣＰＵ
の上で実行できる、８０３８６以上．マスタ−２０２は、同じ優先およびシステ
ムの２００がＯ／Ｓ ２００と水平化するサイドＯ／Ｓに沿って切り替え可能に
作動する。 Ａ工程マスタ−２０２はセル２０４を構成し、セル２０４にプログラムをする。
マスタ−２０２はセル２０４におけるプログラムの実行用責任を負う。 そして、外部環境３０２にセル２０４からデ−タを通過する。 下記から成ること： Ｏ／Ｓ ２００、マスタ−２０２ また周辺装置のような、他のプログラムおよび資産。 マスタ−２０２は、プログラムおよび分解セル２０４のシャットダウン用を負う
。 図３に関して コンピュータ３００の図解の概観は、設置され実行しているこの発明の的なシ
ステムを備えた描写される。 コンピュータ３００；外部システム環境を一般に包含している、どれがレーティ
ング・システム２００を包含するか３０２に示す。 実施例は基本的に、どれが、インテル号のモデル８０３８６と８０４８６セッサ
ーに適用可能かであるが、次の実施例におけるプロセッサーは内電番Ｐｅｎｔｉ
ｕｍであると仮定される。 多様な他のＣＰＵへの当業者に公知の必要な修正を備えた。図３で描写された
システムは、リンクかベクトルにより外部環境３０２をた伝達するセル２０４に
おけるプログラムを実行している、３０４、それ成るこの実施例、共用メモリで
。この実施例において実行するプログラムはネットワ−ク通信カードのよハード
ウェア部品を連携するためのＴＣＰ／ＩＰ積重ねドライバ−である。この発明の
システムは、多くのバグ、および外部環境３０２におけるプログラムとの潜在的
なソフトウェア衝突を有することができるそれらのソフトウアおける複雑性のた
めにそのようなハードウェア・ドライバ−・プログラの実には優れている。セル
２０４における実行プログラムと外部環境３０２の間のメディエイタて２０２を
マスターする。セル２０４で実行する典型的なプログラム３０６；この場合ネッ
トワ−クカードである、外部資源にル−ティングするためのデ−タをキューにす
ＴＣＰ／ＩＰ通信積重ねを包含している。マスタ−２０２は、詳細に下に記述さ
れて、明確で狭窄部、制御可能なリあるいはベクトル３０４によるのみ情報の通
路を実現する。外部環境３０２はハードウェア周辺装置、オペレーティング・シ
ステムあは他のコンピュータープログラムを具備できる。環境はマスタ−２０２
によってセル２０４で実行するプログラムから保護る。しかしながら プログラ
ムはベクトル３０４によって環境３０２から情報を送り受けるができる。 マスタ−２０２ デバイスドライバ−のような特権のある仕事として実行する外
部環境３における工程である。 そして、１つのＣＰＵの上に潜在的にフル制御を行っている。マスタ−２０２
は、環境３０２の外からのセル２０４を分離できる、その果外部環境３０２はセ
ル２０４に気づいていない。Ｏ／Ｓ ２００はマスタ−２０２を与える、実行時
間スライス（マスタ−２はそれ中に資源をアクセスすることができる）のような
、その、仕事ィクリプタで供給されるそのハンドラおよびページ・ディレクタリ
ー表に割込機構を写像する割込み機構説明表（ＩＤＴ）３０８は、マスタ−の初
設定のに設定する。マスタ−２０２はセル２０４におけるプログラムに時スライ
スを与える。マスタ−２０２は、接続に外部環境３０２とセル２０４で実行する
プログの間の３０４を供給する。一度プログラムの実施が終了すれば、マスタ−
２０２は浄化用責任を負う。プログラムが終了した後、マスタ−２０２はセル２
０４を分解する。セル２０４は積載された実行可能プログラムの３０６の即時の
環境である。マスタ−２０２は仮想割込み機構ハンドラを備えたセルに２０４を
供給する。あるいは、実行のためにセル２０４内に必要とされるスタブ、仕事デ
ィスプタあるいは他の資産は、３０６をプログラムする。セル２０４は、仕事デ
ィスクリプタで供給されるページ表を通ってマスタ０２によってそれに割り当て
られたアドレス空間が、セットアップの間に積したＲＡＭをアクセスするための
、実行プログラム３０６を実現する。外部環境３０２を備えたプログラム３０６
のための通信のための手段はベル３０４によってある。ベクトル３０４はどちら
かでありうる、割込み機構、Ｉ／Ｏポート、ある１つの、特に、ＲＡＭにおける
指定共用メモリ・アドレス空間、それはベト３０４からデ−タへのアクセスを実
現する前にマスタ−２０２によって密に御され評価できる。あるいは他のプログ
ラムあるいはオペレーティング・システム２００から誘導されたデ−タをアクセ
スするためにプログラムにセル２０４のうちの０を実現すること。この発明の作
動用必要でないが セル２０４における実施のために積載されたプログラム３０６；ベクト部環境
３０２への３０４以外のどのサービスと無関係に、実行するために計れたか適応
されたソフトウェアから成る。プログラム３０６ソフトウェアは容器以外におい
てはシステム・コ−ルをできない；プログラムは別々に下に議論された第２の実
施のＯ／Ｓである。 第１の実施で もしそれらがその制御されたリンク・ベクトル外部環境３０２
への３０一部でなければ、プログラム３０６は割込み機構あるいはＩ／Ｏ指示書
を行きない。プログラム３０６は、セル２０４にこのように制限される。 そし
て、マスタ−２０２によってサービスされた。 しかしながら、最多のＣＰＵ集中的なプログラムを備えた、外部環境３０おける
一定の資源は、セル２０４で実行するプログラム３０６を連携する。 例えば、Ｏ／Ｓ ２００の時計割込み機構ハンドラ３１０が起動される場ハード
ウェア（Ｈ／Ｗ）割込み機構が起動される場合、マスタ−２０２はセル２０４で
実行するプログラム３０６へのイベントを同様に伝達しなけれらない。 特別のハードウェア・イベントを備えたＯ／Ｓ ２００関連のＨ／Ｗ割機構ハ
ンドラは、セル２０４で実行するプログラム３０６へのイベントを達るに違いな
い。マスタ−２０２は、リンクあるいはベクトルにセル２０４で実行するプログ
ラム３０６とシンプルで、できるだけシンプルな実行を維持するために制限れ外
部環境３０２の間の３０４を供給する。Ｈ／Ｗ割込み機構は、図３の典型的なＴ
ＣＰ／ＩＰプログラム３０６によアクセスされた、ネットワ−ク・カードのよう
なハードウェア周辺装置とコュニケーションのために必要である。プログラム３
０６が、Ｈ／Ｗ周辺装置とのコミュニケーションを要求しなル２０４で実行して
いる場合、この発明のシステムの作動を単純化するよな／Ｗハンドラの必要はな
い。リンク３０４を供給する１つの方法は、受動メモリ・リンクの使用による。
受動メモリ・リンクは最多の固定方法である、最も抑制ものである。受動メモリ
・リンクを備えた、マスタ−２０２積荷はセル２０４に、特にされた入力バッフ
ァーと一緒に３０６をプログラムする。 プログラム３０６が実施を始める場合
、入力バッファーは、既にプログ３０６用のアクセス可能な記憶領域の中にある
。 同様に プログラム３０６が終了した後、出力バッファはマスタ−２０２によ
っ出される。この方法への恩典は、交互作用が外部ことのプログラム３０６と要
素の間いということである、環境用３０２．この方法の短所、それである、３０
６をプログラムする、プログラム３０実施の間に外部環境３０２を備えた対話式
でない。通信は、２つの取引きをこのように供給される。 実施の初めに３０６
をプログラムするための入力 また実施の端末の出力。 プログラムと外部環境の３０２（３０６）の間のリンク・ベクトル３０４給す
る代替方法は、割込み機構を備えた、あるいはその割込み機構を伴わい型共用メ
モリ・セグメントによってある。メモリの特定のパーツは共用メモリとしてプロ
グラム３０６に譲渡した。 プログラムと外部環境の３０２（３０６）の間の通信用の範囲あるいはマスタ
−２０２それ自身と。プログラム３０６は共用メモリ上にデ−タを書くことがで
きる、表示、どかによる書き込みの完成、共用メモリ制御ブロックにおける前調
整位置にけビットにフラグを立てることあるいは下に議論されるような割込み機
構の起動により。 外部環境３０２あるいはマスタ−２０２、同様な方式でその完成にフラグを立
てて、その−タを読むことができる。プログラム３０６による読取りデ−タは同
様なファッションで遂行される。専用割込み機構は共用メモリ・リンク方法をイ
ンプリメントできる。 セル２０４の一部としてマスタ−は特別のリンク割込み機構ハンドラを設置で
きる。あるいはセル２０４のためのスタブ。ｌ／Ｏスタブは、外部環境における
、プログラムの３０６の割り付けられモリ−スペ−スからメモリ−スペ−スまで
デ−タを実行すること原因である。あるいはマスタ−２０４その逆も正しい（ま
た）。 プログラム３０６は起動基準割込み機構コ−ルによりＩ／Ｏを実行できる。セ
ル２０４および外部環境３０２におけるプログラム３０６間のデータリを供給す
る別の代替方法は、専用ＩＩＯポートの使用によってある。セル２０４の一部と
して、Ｉ／Ｏポートはプログラム３０６には備蓄場合る。 Ｉ／Ｏポートは外部環境３０２のためのＩ／Ｏポートへ接続されるためにアル
・バス、並列バス、ＮＩＣあるいは別の周辺機器に次には接続されるＣＩ装置の
ような周辺機器に接続できる。より多くの安全を獲得するために代わりに 外部環境３０２のためのＩ／Ｏポートは２０２をマスターするために接きる。
この方法でプログラム３０６は、Ｉ／ＯポートへＩ／Ｏポートからデ−タおよび
書デ−タを読むことにより外部環境３０２を連携する。 上記のリンク方法のうちのいかなるものおよび外部環境３０２でも送るこできる
ばいばい、／、デ−タを受ける、直接。あるいはマスタ−２０２によって作動す
るマスタ−２０２によって；マス２０２がプログラム３０６から到着するデ−タ
へのメディエイタになるよにより多くの固定であるという利点を有する。 それ、第２の実施に関してのような可能なｉｓｅ、に；２つのプログラム効に
有する、により、１つの、シングル、資源化する、であるが、で、１の制限され
た、上記されるようなリンクによって、方法を制御した。 そして透明でなく。
このメカニズムはすることができる、ｂｅｉｍｐｌｅｍｅｎｔｅｄされたの、そ
の上の完全な制御を有する第１のプログラムへの資源を割り当てことより。この
プログラムは、２つのプログラムの間の制限されたリンクにより第二ログラムへ
の資源間のデ−タを中継できる。両方のプログラムはこのメカニズムに気づいて
おり、メカニズムを非透明成して、その設備および保守における必要なステップ
を取る。 図４に関して、描写されたフローダイヤグラムは、この発明の第１の実施ンプ
リメントに対する主な段階を再現する。第１のステップは、メモリにマスタ−２
０２を初期化し積載することであＣＰＵの上のどのゲイン完全な制御、また必要
とされるデ−タ、ステップ４０を設定する。次 各プログラム３０６は２０４を
セル化する、初期化される、ステップ４０２．ステップ４０２；複数のサブ・ス
テップから成る。各セル２０４のために実行可能プログラム３０６は物理的メモ
リに積載される。 メモリは各セル２０４用分配される、ハードウェアと同様に、資源化する、プ
ログラム用のＣＰＵによって直接られたＣＰＵタイミング、割込み機構ベクトル
および他の資源は、２０をセル化する。 マスタ−２０２構造、第１の設定による各セル、ＣＰＵの保護、Ｉ／Ｏ許を包含
していること、仮想記憶表、割込み機構再方向マップ、仕事表、そ以のどのメモ
リあるいはハードウェアからプログラム３０６を分離するたの、節表、それに分
配された、により、２０２をマスターする。 ＣＰＵの工程立案メカニズム あるいは時計割込み機構 セル２０４と外部環
境３０２の間のＣＰＵ時を分配するためにセット・プされる。工程立案メカニズ
ムは始動する。ＣＰＵの工程立案メカニズムが各セル、ステップ４０４ ２０４
に時スラを分配するように、各プログラム３０６の実施は各セル２０４内に始め
らる。各プログラム３０６が実行するように、プログラム３０６ Ｉ／Ｏから多
リクエストサービスされる、ステップ４０６． サービスが供給されるように、外部環境３０２はアクセスするための各プラム
３０６の却下により保護される、資源化する、その割り付けられたメリよび前調
整以外に、資源化する、それ、ステップ４０８に割り当てられた。 これらの制限を破るための企ての場合には、マスタ−２０２がプログラム６を
終了できる。あるいは、企てを無視する。あるいは、マスタ−３０２にプログラ
ムされた他の適切な手段をとる。詳細に下に説明されるように、ハードウェア割
込み機構はマスタ−２０２びステップ４１０によって扱われる、時計割込み機構
、ステップ４１２と同様に。 プログラム３０６が終了する場合、マスタ−２０２はセル２０４をシャトダウ
ンし、２０４をセル化するために割り付けられたメモリ、ステップ４４リセット
する。 ＣＰＵレベル・サービスにセルにプログラム３０６を制限することをよりに作
成するために、プログラム３０６はそうでありうる、のような、セル０で実行す
る用採用された。ゼロから書かれたソフトウェアはアカウントにこの発明の限定
的な共有環とるためにコード化できる。 既存のプログラムのためにソース・コードは、Ｏ／Ｓ ２００の高さにサービ
スへの全コ−ルを除るために修正できる。そうでなければ、外部環境３０２否定
で資源を使用するための、プログラム３０６ならしセル２０４企てが、それに譲
渡した場合、マスタ−２０２はリクエストを視るために割込み機構スタブを起動
できる。例えば 入力バッファーから出力バッファを計算するプログラム３０６
は、スクンにメッセージを書くことを試みることができる、一方、その処理、デ
−タつ、スクリ−ン；有する、マスタ−２０２により２０４をセル化するために
はり付けられない。そのような容器に；制限を破るための企てが期待される。こ
の容器における資源のための割込み機構スタブ書き込みからスクリ−ンへの割込
み機構のためのスタブは構成できる；環境２０４を通知するための代わりにのよ
うに（プログラム３０６）割込み機構スタブは成功した作動をエミュレートして
、平易にリクエス無視する。またプログラム３０６への戻り制御。 この実施例で 書き込みからスクリ−ンへの割込み機構のための割込み機構ス
タブはス−ンへの成功した書き込みをエミュレートして、成功した状態を備えた
プグム３０６に戻すべきである；事実、無で；有する、起こった。 この方法で プログラム３０６はすることができる、仕上げ、その仕事、所望の
ものえた終了することは出力バッファを導く。 この方法で プログラム３０６は、プログラム３０６の修正を伴わないセルで実
行でる。
【０００４】 図５に関して 制御およびデ−タフロ−はこの発明の第１の好ましい実施例の
ために描れる。ウィンドウズ／ＮＴシステムが活動中の後システムは、マスタ−
、ステップ５００ ２０２の初期設定を実行する。システムは、マスタ−２０２
およびセル２０４、ステップ５０２用メモリ配する。マスタ−はウィンドウズ／
ＮＴ基準ＶＭ８６仕事、ステップ５０４を生成る。 次に、マスタ−２０２は、セル、ステップ５０６ ２０４に実施のためのグラ
ム３０６をロードする。マスタ−２０２は、プログラム３０６のためのＩ／Ｏベ
クトルかバッファ０４を定義する場合がある、に；外部環境３０２との限定的な
接触を有する。あるいはマスタ−、ステップ５０８ ２０２それ自身。ｌ／Ｏバ
ッファー３０４はどちらかを缶詰めにする；それらは、割込み機Ｉ／Ｏポートあ
るいは他のプログラムへのプログラム３０６によって電波誘されたデ−タへのア
クセスを実現する前にマスタ−２０２によって厳密制御れ評価できるＲＡＭにお
ける特に示された共用メモリ・アドレス空間ら成る。初期設定における最後のス
テップ；割込み機構ハンドラあるいはスタブ、ップ５１０にセル２０４における
プログラム３０６用の正常なコンピュー割み機構ルーティンを取り替えることか
ら成る。割込み機構スタブは、環境３０２の外から分離されたプログラム３０６
をする、多くの異なる方法におけるプログラム３０６によって実行された割み構
コ−ルを扱うことができる。 確かに、コンピュータの物理的メモリ・アドレスの範囲に書くというコ−よう
な割込み機構の種類 その割込み機構のための割込み機構スタブは、セル２０４
のためのプログラム３０６実施を終了し、プログラム３０６のためにどの出力バ
ッファにおるラーを戻すことができる。プログラム３０６実施それ自身に同じく
らい重大になりえないスクリ−ンのような他の種類の割込み機構のために割込み
機構スタブは、平易にそれを無視することにより書き込みからス−ンへの割込み
機構コ−ルを扱うことができる。異なるセル２０４は、プログラムの外部環境３
０２に関しての安全の３０目的およびレベルに従って異なる割込み機構スタブを
要求できる。特別のセル２０４用の記憶割当は変わることができる。 今日適用を備えた、１メガバイト以上（１Ｍ）はメモリに割り付けることかで
きる必要がある。基準ＭＳ−ＤＯＳプログラムのような他のプログラムは実行す
るために１未満を必要とする。メモリを割り付けることから成るステップ５０２
は仮想記憶マッピング表成して、具備する。 プログラム３０６がロードする場合 プログラム３０６は、ＲＡＭで特別のセ
ル２０４用分配された空間の上あるいはその空間より下のどのメモリに気づいて
いない、プログラム３０６積載された。プログラム３０６にメモリＯの下端また
、メモリの上部端は、２０４をセル化するために割り付けられた空量を均等化す
る。表はメモリ・アクセス割込み機構コ−ルをプログラム３０６から物理的リ・
アドレスに翻訳する；その結果、それに分配されたデ−タは２０４をセルする、
読まれるか書かれている。 ＴＳＳエントリーおよび共用メモリ・セグメントへのポインターあるいはもの
を含有するグローバル説明表（ＧＤＴ）への仕事状態セグメント（ＴＳエントリ
ーの挿入により、マスタ−がＶＭ８６ ＣＰＵ仕事を割り付けるスップ５０４を
完成するために、積載された、資源化する。セル２０４のための仕事用のページ
・ディレクタリーの物理的記憶場所をＴＳＳの中でレジスターは、セットである
。ＴＳＳのＥＦＬＡＧＳレジスターにおけるＶＭ８６ビットはセットであるの結
果仕事はＶＭ８６モードで実行される、３にセットされるＴＳＳのための電流特
権レベル（ＣＰＬ）と同様に。 最も特権がないレベル。 ３のＣＰＬは、ＴＳＳがそのセルを修正できないことを意味する。仕事か割込
み機構ゲ−トのための特権レベルは、マスタ−・サービスのた３まで同様に設定
される。プログラム３０６がセル２０４に積載され、実施の準備ができている後
マスタ−は、セル、ステップ５１２ ２０４用ウィンドウズ／ＮＴに時イスを
要請する。一度時スライスが与えられれば、そのＣＰＵタイムシェア、ステップ
５１ためのセル２０４内にプログラム３０６、ステップ５１５への動きを制御る
。プログラム３０６は、基準幅跳び指示書によるセル２０４内のＶＭ８６仕して
実行する。外部環境３０２で動くプログラムを備えたのようにセル２０４内のプ
ログラム３０６は複数のイベントを起こすことができる。あるいは、複数のイベ
ントは、プログラム３０６の実施を中断できる。 それらのイベントのうちの１つは、プログラム３０６がソフトウェアＩ／込み
機構に遭遇するか作製できるということである、Ｉ／Ｏ割込み機構がじ場合、ス
テップ５１６．、制御はステップ５ １ Ｏに設置されるＩ／のたの対応する割
込み機構スタブに通過される。セル２０４がＩ／Ｏ割込み機構によって限定的な
入出力を実現するもので場合 セル・スタブは入出力操作、ステップ５２０を実
行するためにウィンド／ＮＴによってリクエストを中継できる。そうする前にル
ーティンは、それが外部環境３０２における、ウィンドウズ／ＮＴあは他の実行
する適用への障害を起因しないことを確実にするためのリクエトチェックする場
所にありうる。 リクエストを加工した後に、マスタ−２０２は、セル、ステップ５２２ ４の
ためのＩＩＯ割込み機構スタブに制御を送る。入出力操作がデ−タの要請だった
場合、マスタ−２０２は共用メモリ・プラム、ステップ５２４ ３０６への３０
４からデ−タをル−ティングする。プログラム３０６は入力を受ける、もし要求
されれば そして、実施、ステップ５１４を継続する。プログラム３０６が実行
、ステップ５２６である間、ハードウェア（ＨＷ割込み機構は作製できる。 制御は作製された特別のＨ／Ｗ割込み機構のための割込み機構スタブに通れる
、ステップ５２８．Ｈ／Ｗ割込み機構がプログラム３０６の実施の間に実現され
るものである合２０４をセル化する、マスターするための制御を通過する、２０
２、それ特別のウィンドウズ／ＮＴルーティンへのコントロールを通過する、ス
テッ２９、どのサービス、ＮＴモード、ステップ５３０にＣＰＵを切り替えると
よるＨ／Ｗ割込み機構。 Ｈ／Ｗ割込み機構が扱われた後、制御は、ＶＭ８６モード、プログラム、ップ
５３４ ３０６に次には制御を通過するステップ５３２における割込機スタブに
通過される。ＶＭ８６仕事に分配された時スライスは時計割込み機構、ステップ
６３６製して、消滅できる。時計割込み機構のための割込み機構スタブは割込み
機構コ−ル、ステップ８を受ける。 時計割込み機構は、ＮＴモードにＣＰＵを返しウィンドウズ／ＮＴ、ステ５４０
への制御を通過することによりサービスされる。プログラム３０６は自然に終了
できる、ステップ５４２．マスタ−は洗浄する。また、戻りはメモリを割り付け
て、セル２０４によ使用されることを資源化する。そして、ＮＴ、ステップ５４
４に制御を解除する。 プログラム３０６は、阻害された作動、ステップ５４２を実行しようと努こと
ができる。これが生じる場合 ＣＰＵは一般的な保護故障（ＧＰＦ）、ステップ
５４６を発行する。制御はマスタ−２０２内に維持され、ウィンドウズ／ＮＴ、
ステップ５４下に実行している、他のプログラムを妨害しないようにプログラム
３０６シットダウンすることにより扱われる。マスタ−は、ＮＴ、ステップ５７
０にプログラム３０６の実施およびレポを代わりに終了する。システムは、指示
書の実施のためのプログラム３０６への違反および戻御を無視できる。 図６に関してこの発明の第二の好ましい実施例は１つの物理的コンピュータ上
で実行複数のオペレーティング・システムを分離するために使用される。Ｏ／Ｓ
モニタ−、コンピュータの６００のゲイン・フル制御。モニタ−６００は、Ｉ／
Ｏポートおよび他の記憶場所へのアクセスを選択可能にするか不能にすることが
できる。例えば、モニタ−６００は、フロッピー（登録商標）ディスク制御装置 のためのＩ／ポトへのアクセスを不能にすることができる。第２の実施；１つ又 は複数の同時に実行するオペレーティング・システム有するモニタ−６００の上 のＯ／Ｓ層６０２から成る。 ユーザー・プログラムは実行できる、で、１つの、Ｏ／Ｓ層６０２の上の層６
０４。オペレーティング・システムはＯ／Ｓサービスを仮定しない特別の型のプ
ラムである。発明の第２の実施で、システム；それは、Ｏ／Ｓがそれを仮定する
ことをするメカニズムとしてモニタ−６００を使用する；Ｏ／Ｓのための事実上
環の生成によりコンピュータ上のフル制御を有する。システムは、ＣＰＵの安全
特徴を再プログラムするための、限定Ｏ／Ｓの企てをトラッピングする。あるい
は仮想記憶のような他のＯ／Ｓレベル特徴。 モニタ−６００サービス、これらの企て、ある意味では、第１の実施のう２０
２をマスターするのに同様、上記した。システムは、ＣＰＵの安全特徴の状態に
関する情報を受けるための、どのをトラッピングする。また、モニタ−は、実際
に安全構成を修正せずに、実行されると思われＰＵインストラクションの結果を
エミュレートする。マスタ−は、交換することを有することができる、Ｏ／Ｓの
ためのサブルィン、ので、一定のシステム上のあるＣＰＵ指示書、それらの交換
なしにそでなければすることができないＣＰＵ状態に関する情報を戻す、例えば
ラッングされる。 インテル号−Ｐｅｎｔｉｕｍの上で動くウィンドウズ／ＮＴのようなＯは、そ
れが、実施の中で最も特権のある環である結果「０」を予期して、行しいる電流
特権レベルを発見するためにＣＰＵを疑問とできる。この照会がトラッピングす
ることができるということでないように Ｏ／Ｓの中で個々のそのようなインス
トラクションは、０の所望の結果をュレートする、特に設計されたルーティンへ
のコ−ルと取り替えられる。 図７に関して、描写されたフローダイヤグラムは、この発明の第２の実施ンプ
リメントのために主なステップを再現する。コンピューターシステム・ブーツ・
アップで第１のステップは、メモリにモニタ−６００を初期化し積載することで
る。そして、それを実行する；その結果、それは、ＣＰＵ、ステップ７００の完
全な制御を獲得する。ステップに、７００のＣＰＵ仕事はより詳細に下に説明さ
れるようなモニ７００によって割り付けられる。各Ｏ／Ｓはステップ７００のそ
れらの割り付けられた仕事に積載される。ＣＰＵの工程立案メカニズムが各Ｏ／
Ｓ、ステップ７０２に時スライスをするように、各Ｏ／Ｓの実施は各仕事内に始
められる。各Ｏ／Ｓが実行するように、Ｏ／Ｓ Ｉ／Ｏから多様なリクエスト
サービスされる、ステップ７０４．サービスが供給されるように、他のＯ／Ｓ仕
事はその割り付けられたメモよび前調整以外に資産をアクセスすることから各Ｏ
／Ｓの却下により保護れる資源化する、それ、ステップ７０６に割り当てられた
。 これらの制限を破るための企ての場合には、モニタ−６００がプログラム了で
きる。あるいは、企てを無視する。あるいは、モニタ−６００にプログラムされ
た他の適切な手段をとる。 第２の実施のシステムで より詳細に下に説明されるように、Ｏ／Ｓは、他のＯ／Ｓ、ステップ７の特別
の共用メモリ・セグメントへのアクセスを読むことがある。時計割込み機構は、
電流時スライス、ステップ７１０で動くＯ／Ｓへのモ−を通ってろ過される。あ
るいは、それに異なるＯ／Ｓへの制御を実行するように信号して、モニによって
トラッピングされる。 Ｏ／Ｓが終了する場合、ステップ７１２。モニタ−は、Ｏ／Ｓが実行していたｔ
ｈｅｔａｓｋをシャット・ダウン仕事に分配されたメモリをリセットする。最後
のＯ／Ｓが終了する場合、ステップ７１４。モニタ−は構成モードにシャット・
ダウンするか変わることができる。
ために描れる。ウィンドウズ／ＮＴシステムが活動中の後システムは、マスタ−
、ステップ５００ ２０２の初期設定を実行する。システムは、マスタ−２０２
およびセル２０４、ステップ５０２用メモリ配する。マスタ−はウィンドウズ／
ＮＴ基準ＶＭ８６仕事、ステップ５０４を生成る。 次に、マスタ−２０２は、セル、ステップ５０６ ２０４に実施のためのグラ
ム３０６をロードする。マスタ−２０２は、プログラム３０６のためのＩ／Ｏベ
クトルかバッファ０４を定義する場合がある、に；外部環境３０２との限定的な
接触を有する。あるいはマスタ−、ステップ５０８ ２０２それ自身。ｌ／Ｏバ
ッファー３０４はどちらかを缶詰めにする；それらは、割込み機Ｉ／Ｏポートあ
るいは他のプログラムへのプログラム３０６によって電波誘されたデ−タへのア
クセスを実現する前にマスタ−２０２によって厳密制御れ評価できるＲＡＭにお
ける特に示された共用メモリ・アドレス空間ら成る。初期設定における最後のス
テップ；割込み機構ハンドラあるいはスタブ、ップ５１０にセル２０４における
プログラム３０６用の正常なコンピュー割み機構ルーティンを取り替えることか
ら成る。割込み機構スタブは、環境３０２の外から分離されたプログラム３０６
をする、多くの異なる方法におけるプログラム３０６によって実行された割み構
コ−ルを扱うことができる。 確かに、コンピュータの物理的メモリ・アドレスの範囲に書くというコ−よう
な割込み機構の種類 その割込み機構のための割込み機構スタブは、セル２０４
のためのプログラム３０６実施を終了し、プログラム３０６のためにどの出力バ
ッファにおるラーを戻すことができる。プログラム３０６実施それ自身に同じく
らい重大になりえないスクリ−ンのような他の種類の割込み機構のために割込み
機構スタブは、平易にそれを無視することにより書き込みからス−ンへの割込み
機構コ−ルを扱うことができる。異なるセル２０４は、プログラムの外部環境３
０２に関しての安全の３０目的およびレベルに従って異なる割込み機構スタブを
要求できる。特別のセル２０４用の記憶割当は変わることができる。 今日適用を備えた、１メガバイト以上（１Ｍ）はメモリに割り付けることかで
きる必要がある。基準ＭＳ−ＤＯＳプログラムのような他のプログラムは実行す
るために１未満を必要とする。メモリを割り付けることから成るステップ５０２
は仮想記憶マッピング表成して、具備する。 プログラム３０６がロードする場合 プログラム３０６は、ＲＡＭで特別のセ
ル２０４用分配された空間の上あるいはその空間より下のどのメモリに気づいて
いない、プログラム３０６積載された。プログラム３０６にメモリＯの下端また
、メモリの上部端は、２０４をセル化するために割り付けられた空量を均等化す
る。表はメモリ・アクセス割込み機構コ−ルをプログラム３０６から物理的リ・
アドレスに翻訳する；その結果、それに分配されたデ−タは２０４をセルする、
読まれるか書かれている。 ＴＳＳエントリーおよび共用メモリ・セグメントへのポインターあるいはもの
を含有するグローバル説明表（ＧＤＴ）への仕事状態セグメント（ＴＳエントリ
ーの挿入により、マスタ−がＶＭ８６ ＣＰＵ仕事を割り付けるスップ５０４を
完成するために、積載された、資源化する。セル２０４のための仕事用のページ
・ディレクタリーの物理的記憶場所をＴＳＳの中でレジスターは、セットである
。ＴＳＳのＥＦＬＡＧＳレジスターにおけるＶＭ８６ビットはセットであるの結
果仕事はＶＭ８６モードで実行される、３にセットされるＴＳＳのための電流特
権レベル（ＣＰＬ）と同様に。 最も特権がないレベル。 ３のＣＰＬは、ＴＳＳがそのセルを修正できないことを意味する。仕事か割込
み機構ゲ−トのための特権レベルは、マスタ−・サービスのた３まで同様に設定
される。プログラム３０６がセル２０４に積載され、実施の準備ができている後
マスタ−は、セル、ステップ５１２ ２０４用ウィンドウズ／ＮＴに時イスを
要請する。一度時スライスが与えられれば、そのＣＰＵタイムシェア、ステップ
５１ためのセル２０４内にプログラム３０６、ステップ５１５への動きを制御る
。プログラム３０６は、基準幅跳び指示書によるセル２０４内のＶＭ８６仕して
実行する。外部環境３０２で動くプログラムを備えたのようにセル２０４内のプ
ログラム３０６は複数のイベントを起こすことができる。あるいは、複数のイベ
ントは、プログラム３０６の実施を中断できる。 それらのイベントのうちの１つは、プログラム３０６がソフトウェアＩ／込み
機構に遭遇するか作製できるということである、Ｉ／Ｏ割込み機構がじ場合、ス
テップ５１６．、制御はステップ５ １ Ｏに設置されるＩ／のたの対応する割
込み機構スタブに通過される。セル２０４がＩ／Ｏ割込み機構によって限定的な
入出力を実現するもので場合 セル・スタブは入出力操作、ステップ５２０を実
行するためにウィンド／ＮＴによってリクエストを中継できる。そうする前にル
ーティンは、それが外部環境３０２における、ウィンドウズ／ＮＴあは他の実行
する適用への障害を起因しないことを確実にするためのリクエトチェックする場
所にありうる。 リクエストを加工した後に、マスタ−２０２は、セル、ステップ５２２ ４の
ためのＩＩＯ割込み機構スタブに制御を送る。入出力操作がデ−タの要請だった
場合、マスタ−２０２は共用メモリ・プラム、ステップ５２４ ３０６への３０
４からデ−タをル−ティングする。プログラム３０６は入力を受ける、もし要求
されれば そして、実施、ステップ５１４を継続する。プログラム３０６が実行
、ステップ５２６である間、ハードウェア（ＨＷ割込み機構は作製できる。 制御は作製された特別のＨ／Ｗ割込み機構のための割込み機構スタブに通れる
、ステップ５２８．Ｈ／Ｗ割込み機構がプログラム３０６の実施の間に実現され
るものである合２０４をセル化する、マスターするための制御を通過する、２０
２、それ特別のウィンドウズ／ＮＴルーティンへのコントロールを通過する、ス
テッ２９、どのサービス、ＮＴモード、ステップ５３０にＣＰＵを切り替えると
よるＨ／Ｗ割込み機構。 Ｈ／Ｗ割込み機構が扱われた後、制御は、ＶＭ８６モード、プログラム、ップ
５３４ ３０６に次には制御を通過するステップ５３２における割込機スタブに
通過される。ＶＭ８６仕事に分配された時スライスは時計割込み機構、ステップ
６３６製して、消滅できる。時計割込み機構のための割込み機構スタブは割込み
機構コ−ル、ステップ８を受ける。 時計割込み機構は、ＮＴモードにＣＰＵを返しウィンドウズ／ＮＴ、ステ５４０
への制御を通過することによりサービスされる。プログラム３０６は自然に終了
できる、ステップ５４２．マスタ−は洗浄する。また、戻りはメモリを割り付け
て、セル２０４によ使用されることを資源化する。そして、ＮＴ、ステップ５４
４に制御を解除する。 プログラム３０６は、阻害された作動、ステップ５４２を実行しようと努こと
ができる。これが生じる場合 ＣＰＵは一般的な保護故障（ＧＰＦ）、ステップ
５４６を発行する。制御はマスタ−２０２内に維持され、ウィンドウズ／ＮＴ、
ステップ５４下に実行している、他のプログラムを妨害しないようにプログラム
３０６シットダウンすることにより扱われる。マスタ−は、ＮＴ、ステップ５７
０にプログラム３０６の実施およびレポを代わりに終了する。システムは、指示
書の実施のためのプログラム３０６への違反および戻御を無視できる。 図６に関してこの発明の第二の好ましい実施例は１つの物理的コンピュータ上
で実行複数のオペレーティング・システムを分離するために使用される。Ｏ／Ｓ
モニタ−、コンピュータの６００のゲイン・フル制御。モニタ−６００は、Ｉ／
Ｏポートおよび他の記憶場所へのアクセスを選択可能にするか不能にすることが
できる。例えば、モニタ−６００は、フロッピー（登録商標）ディスク制御装置 のためのＩ／ポトへのアクセスを不能にすることができる。第２の実施；１つ又 は複数の同時に実行するオペレーティング・システム有するモニタ−６００の上 のＯ／Ｓ層６０２から成る。 ユーザー・プログラムは実行できる、で、１つの、Ｏ／Ｓ層６０２の上の層６
０４。オペレーティング・システムはＯ／Ｓサービスを仮定しない特別の型のプ
ラムである。発明の第２の実施で、システム；それは、Ｏ／Ｓがそれを仮定する
ことをするメカニズムとしてモニタ−６００を使用する；Ｏ／Ｓのための事実上
環の生成によりコンピュータ上のフル制御を有する。システムは、ＣＰＵの安全
特徴を再プログラムするための、限定Ｏ／Ｓの企てをトラッピングする。あるい
は仮想記憶のような他のＯ／Ｓレベル特徴。 モニタ−６００サービス、これらの企て、ある意味では、第１の実施のう２０
２をマスターするのに同様、上記した。システムは、ＣＰＵの安全特徴の状態に
関する情報を受けるための、どのをトラッピングする。また、モニタ−は、実際
に安全構成を修正せずに、実行されると思われＰＵインストラクションの結果を
エミュレートする。マスタ−は、交換することを有することができる、Ｏ／Ｓの
ためのサブルィン、ので、一定のシステム上のあるＣＰＵ指示書、それらの交換
なしにそでなければすることができないＣＰＵ状態に関する情報を戻す、例えば
ラッングされる。 インテル号−Ｐｅｎｔｉｕｍの上で動くウィンドウズ／ＮＴのようなＯは、そ
れが、実施の中で最も特権のある環である結果「０」を予期して、行しいる電流
特権レベルを発見するためにＣＰＵを疑問とできる。この照会がトラッピングす
ることができるということでないように Ｏ／Ｓの中で個々のそのようなインス
トラクションは、０の所望の結果をュレートする、特に設計されたルーティンへ
のコ−ルと取り替えられる。 図７に関して、描写されたフローダイヤグラムは、この発明の第２の実施ンプ
リメントのために主なステップを再現する。コンピューターシステム・ブーツ・
アップで第１のステップは、メモリにモニタ−６００を初期化し積載することで
る。そして、それを実行する；その結果、それは、ＣＰＵ、ステップ７００の完
全な制御を獲得する。ステップに、７００のＣＰＵ仕事はより詳細に下に説明さ
れるようなモニ７００によって割り付けられる。各Ｏ／Ｓはステップ７００のそ
れらの割り付けられた仕事に積載される。ＣＰＵの工程立案メカニズムが各Ｏ／
Ｓ、ステップ７０２に時スライスをするように、各Ｏ／Ｓの実施は各仕事内に始
められる。各Ｏ／Ｓが実行するように、Ｏ／Ｓ Ｉ／Ｏから多様なリクエスト
サービスされる、ステップ７０４．サービスが供給されるように、他のＯ／Ｓ仕
事はその割り付けられたメモよび前調整以外に資産をアクセスすることから各Ｏ
／Ｓの却下により保護れる資源化する、それ、ステップ７０６に割り当てられた
。 これらの制限を破るための企ての場合には、モニタ−６００がプログラム了で
きる。あるいは、企てを無視する。あるいは、モニタ−６００にプログラムされ
た他の適切な手段をとる。 第２の実施のシステムで より詳細に下に説明されるように、Ｏ／Ｓは、他のＯ／Ｓ、ステップ７の特別
の共用メモリ・セグメントへのアクセスを読むことがある。時計割込み機構は、
電流時スライス、ステップ７１０で動くＯ／Ｓへのモ−を通ってろ過される。あ
るいは、それに異なるＯ／Ｓへの制御を実行するように信号して、モニによって
トラッピングされる。 Ｏ／Ｓが終了する場合、ステップ７１２。モニタ−は、Ｏ／Ｓが実行していたｔ
ｈｅｔａｓｋをシャット・ダウン仕事に分配されたメモリをリセットする。最後
のＯ／Ｓが終了する場合、ステップ７１４。モニタ−は構成モードにシャット・
ダウンするか変わることができる。
【０００５】 図８に関して 制御およびデ−タフロ−はこの発明の第２の実施のために描写される。コンピ
ュータがブートする場合、システムの初期設定は生じる、ステップ０．モニタ−
は、コンピューターハードウェアのインターフェースの上の最低として最初に挿
入される。各オペレーティング・システム（Ｏ／Ｓ）の構成情報はモニタ−、ス
テッ０２から読み取られる。実用コンピューターシステムのファームウェアを模
倣する各Ｏ／Ｓの事実環境が、初期化される。 代わりに、特別のＯ／Ｓがコンピューターシステムの特定のハードウェアを備
えた弾ない場合特にそのＯ／Ｓのためのモニタ−はエミュレーション層を設置で
きる。仕事は積載されることになっているＯ／Ｓごとの割り付けられたメモリペ
ジと始められる、ステップ８０６．第１の実施でのように各メモリ・ページは仮
想記憶アドレス表を備えたインスト−ルされる、その果、Ｏ／Ｓはそれに分配さ
れたそれ以外に他のメモリ−スペ−スに気づいいない。 このステップにモニタ−は低レベル分節、割込み機構およびＣＰＵのための他
の安全お制御機構を設定する。各Ｏ／Ｓについては、仕事が低い許可レベル、一
方の１あるいは２を備えットアップである。Ｏ／Ｓは、３の許可レベルを受ける
ことができるＯ／Ｓそれ自身の内に動ユーザー適用よりなおもっと特権を与えら
れる実施特権を与えられる。しかしながら、システムの中で最も特権のある実施
層、０値で実行するＯごとは、それにモニタ−それ自身より少ない特権を与える
許可レベルを受る。各Ｏ／Ｓは第１の実施、ステップ８０８における応用プログ
ラムでのようＰＵ時を割り付けることができる。Ｏ／Ｓの間の時を分配するため
の、時スケジューラはセットアップ、ステ８１０である。 次Ｏ／Ｓ画像はそれらのそれぞれの仕事空間、ステップ８１２に積載される。
第１の実施でのように、限定的な共用メモリはＯ／Ｓ、ステップ８１４のセット
・アップできる。しかしながら共用メモリはこのステップに動作されない。後続
の、重大表の保護、ＧＤＴおよびＩＤＴページ・ディレクタリー、おページ表の
ような、モニタ−、ステップ８１６によって供給される。利用可能である場合、
ＣＰＵ呼出メカニズムはこの保護を、インテル号のティアム・プロセッサーに組
み込まれた、呼出メカニズムのような達成でる。次に、各Ｏ／Ｓセル、ステップ
８１８のために交換された除外、および割機構ハンドラ。このステップは上に記
述された第１の実施の点でステップ５１Ｏに似ている。しかしながら、オペレー
ティング・システム用の除外ハンドラは適用のたよりも広範囲である。 例えば、一般的な保護除外ハンドラは、ＣＰＵを代表してウィンドウズ／ＮＴ
Ｓのための特権命令を注意深くエミュレートすることにより、ｉｌｙｅｒ６２
（図６）にウィンドウズ／ＮＴ Ｏ／Ｓが実行することを可能にするめに置され
る。ページ故障除外ハンドラは、ページ故障を引き起こすＯ／Ｓに属さない記域
へのトラップ言及への重大表の上の保護をインプリメントする。一度Ｏ／Ｓ、積
載され、実施の準備ができている。時スライス積重ねの上の第１のＯ／Ｓは、Ｃ
ＰＵ、ステップ８２０からライスを保持する。 モニタ−の工程立案メカニズムはそれ自身の事実上の環境でそれを実行さてＯ
／Ｓのために時スライスを与える。これがＯ／Ｓが実行する第１の時である場合
、事実上の環境はＯ／Ｓにユーザーか自動ブーツ・アップ・シーケンスを予想通
りにエミュレートする。そうでなければＯ／Ｓは走行を再開する；それは止めら
れた、ステップ８２４．第１の実施を備えたのように多くのイベントは、実行す
るＯ／ＳのＣＰＵ時スライス、１の間に生じとができる；その、することができ
る、Ｈ／Ｗ割込み機構、ステップ８２をｃする。 特別のハードウェアのための割込み機構スタブは、割込み機構がどのＯ／ル−
ティングされるか決めるに違いない、ステップ８２８．これは、特定のハードウ
ェアが分配されるハードウェア資源を信頼できる。 第２の実施では、割込み機構のサービスが、ハードウェアがサービスしてＯ／
Ｓに割り当てられる、ステップ８３０．制御は、モニタ−割込み機構スタブ、電
流時スライス、ステップ８３４を付けられたＯ／Ｓに制御を通過するステップ８
３２に通過される。同様に第１の実施に時計割込み機構は現在のＯ／Ｓを止まら
せる、ステップ８３６．しかしながら、第１の実施と異なり、制御は、次のＯ／
Ｓ、ステップ８３転送される。モニタ−は平易に仲裁する、Ｏ／Ｓは受けること
である（それ）時に、スス、ステップ８４０。 Ｏ／Ｓにより事実上の環境を修正するための、どの企て、割込み機構を変るか
、仮想ページ・ディレクタリーを修正するようなステップ８４２は、般な保護故
障を生成するためにＣＰＵを起因する、ステップ８４４、この障は修正をエミュ
レートするモニタ−によって扱われる；その結果、Ｏ／に修正成功したように見
える、ステップ８４６．参照かリクエストが事実上の環境に作成される場合、そ
れはトラッピングる。あるいは、ＣＰＵメカニズムによって遮られた。そのよう
な試みられた参照の結果活性化されたかもしれない割込み機構がる。容器に；現
在の許可を決定するためにセグメント・レジスターを使用するへのトラップ言及
へのＣＰＵのための方向はない。Ｏ／Ｓに予期された結果を返して、アクション
をエミュレートする、特コードへのコ−ルか枝に問題のインストラクションを取
り替えることによＯ／Ｓに継ぎを当てるに違いない；その結果、モニタ−はそれ
を制限するた使用できる。Ｏ／Ｓがセグメント・レジスターを直接参照する場合
、それはトラッピンることができる／ということでありえない。（中断すること
ができる）この特定のシナリオでモニタ−の存在はＯ／Ｓに透明になりえない、
ので、セグメント・レター；Ｏ／Ｓがモニタ−を備えた実行しているという事実
を開示する情報を含する。そして、期待されたよりより特権を与えられない。そ
のように。Ｏ／Ｓはこの情報を受けた後に行儀よくすることができない。これが
、情報を開示するＯ／Ｓから完全にインストラクションを取り除くであると決心
するのに一方向である。 例えば読出しセグメント・レジスター・インストラクションは、コ−ルをエレ
ートするモニタ−・ルーティンへのｃａｌ１と取り替えることができる；そ結果
、ルーティンは予期された結果を供給する。この種のパッチはバイナリものでコ
ードの実施に先立って作成される。あるいはＯ／Ｓのメモリ形に似せてＯ／Ｓ画
像を積載した後。各Ｏ／Ｓ；共用メモリ・ページを有する、どれのために、それ
；書き込みを有する。そして、他のＯ／Ｓによって読むことができる。このペー
ジをうまく利用するために別のＯ／Ｓにデ−タを要請するＯ／Ｓいては、ソフト
ウェア割込み機構、ステップ８４８の起動によりそれを動すためにそれがモニタ
−へリクエストを送る。Ｏ／Ｓ、ステップ８５０の間の情報分割を容易にする、
特別のドライバ−積載される。 一度それがデ−タ、ステップ８５２を受ければ、要求するＯ／Ｓは仕上げみ機
構を始めることができる。制御はモニタ−のデ−タ株割込み機構ルーティンに通
過する、ステップ８４どの仕上げ、実施。モニタ−は結果バッファーをコピーす
る、場合、いかなるもの、共用メモリ、ステップ８５６に。Ｏ／Ｓが一時停止（
ＨＬＴ）インストラクション、ステップ８７０を起動場合 モニタ−は、発信Ｏ
／Ｓ、ステップ８７２用時を分配するのを中止する。モニタ−は、ＨＬＴインス
トラクションを起動する特定のＯ／Ｓをサービるのを中止する。またそれを再開
する場合がある、ステップ８７８．全である場合、Ｏ／Ｓシャットダウン、ステ
ップ８７４モニタ−は一方のすることができる、シャットダウン、コンピュータ
、いは、代わりに、構成モード、ステップ８７６に実行する。特別の熱いキー組
合せはこのモードを動作できる。 この発明の両方の第１、第二の実施は、隔離、特権レベルのような保護構仮想
計算機および呼出メモリを支える、どのプロセッサー上でインプリメンできる。
インテルの８０３８６以上（８０３８６＋）の保護されたモード、およインテル
の８０３８６の＋ＶＭ８６モードは、システムによって支えられる。モニタ−支
持、保護モードと一致するどのオペレーティング・システム、用のそれ。例えば
Ｌｉｎｕｘ、ウィンドウズ／９５、ウィンドウズ／ＮＴ、ソラリス８６、全、イ
ンテル号の８０３８６＋上で作動する、モードを保護した。保護／隔離がこのモ
ードで提示されないので、ＭＳ−ＤＯＳは、インテル８０３８６の＋の実際のモ
ードで使用できない、 ＭＳ−ＤＯＳのためのＶＭ８６モードはシステムをインプリメントできる。こ
の発明のシステムは他のもの、同様なプロセッサーを備えたありうる。それは理
解されるべきである、それ、この発明が制限されないｓｙｓｔｅｆ、インテル号
８０３８６の＋構成。セル内に、より少ない集中的なＣＰＵである他のプログラ
ムを実行できる環境用資産の減少された必要のためにこの発明のシステムを備え
た最良のＣＵ集中的な作業であるプログラム。優先権は各セルのために必要とさ
れるオペレーティング・システム・サーを制限することである。プログラムを備
えた最良のシステム作業、どれのために、一度、全、所望力は与えられる、限定
的なＩ／Ｏ機能によりいる間、プログラムのほとんの動は各セルの割り付けられ
たメモリ・セグメント内に生じる、すべてで場合。それがＣＰＵなので、この発
明のシステムを備えた最良に実行する適用のな例は、ＳＳＬ ｄｅｃｒｙｐｔｏ
ｒかＨＴＴＰパーザのようなプロトル・ロセッサーである、初期の入力バッファ
ーおよび最終出力バッファ以外Ｉ／の低需要を備えたいる間集中的。 図９に関して、またより非常に詳しく下に記述されたように。 この発明のシ
ステムは外部環境から内部確実なネットワ−クを保護する全ゲ−トウェイ・シス
テムを形成する、二つ又はそれ以上のプログラムを作るために使用できる。外部
プログラムかロボット６は外部環境７からメッセージを受ける、シンな無害な形
状へのこれらのメッセージの内容物を変換する。 そして、内部ネットワ−ク２
における適用により使用可能な形状への内の単純化された形状を変換する、内部
のロボット３にそれらを沿って通過る。内外ロボット６。３は、ここに記述され
たシステムによる内部ネットワ−ク２のセキュリテ維持する間にシングル・プロ
セッサー上で操作できる。 例えば、外部ロボット６は制限された運転環境で操作できる；その結果、外部
ネワ−クに対する攻撃は内部のロボットを代わりに包含する運転環境の残り増し
ない、両方の内外ロボット６、４は保護を供給して、制限された環境このうに操
作できる。彼、２つのロボット４、６はＶＭＭプログラム９おびＰｅｔｉｕｍ技
術として再現される、マスタ−またはモニタ−のプログムによっ供給される、Ｖ
Ｍ８６モードあるいは制限された運転環境のよう保護されモードによってシング
ルＣＰＵの上でインプリメントされる。 例えばウィンドウズＮＴ（ＷｌＮＮＴ）オペレーティング・システムを実る、
シングルＣＰＵで各ロボットあるいは外部ロボット６、各ロボットが他方の作動
、およびＣＰＵの環境の残りに影響するのを防るモニタ−・プログラムの監督の
下の保護されたモードで操作される。モニタ−・プログラムは、通信チャンネル
をインプリメントして、それらのデ−タの通信を協定する。あるいは、共用メモ
リによるそれらの間のバ４５および各保護されたモードの特別のＡＰＩを資源化
する。
ュータがブートする場合、システムの初期設定は生じる、ステップ０．モニタ−
は、コンピューターハードウェアのインターフェースの上の最低として最初に挿
入される。各オペレーティング・システム（Ｏ／Ｓ）の構成情報はモニタ−、ス
テッ０２から読み取られる。実用コンピューターシステムのファームウェアを模
倣する各Ｏ／Ｓの事実環境が、初期化される。 代わりに、特別のＯ／Ｓがコンピューターシステムの特定のハードウェアを備
えた弾ない場合特にそのＯ／Ｓのためのモニタ−はエミュレーション層を設置で
きる。仕事は積載されることになっているＯ／Ｓごとの割り付けられたメモリペ
ジと始められる、ステップ８０６．第１の実施でのように各メモリ・ページは仮
想記憶アドレス表を備えたインスト−ルされる、その果、Ｏ／Ｓはそれに分配さ
れたそれ以外に他のメモリ−スペ−スに気づいいない。 このステップにモニタ−は低レベル分節、割込み機構およびＣＰＵのための他
の安全お制御機構を設定する。各Ｏ／Ｓについては、仕事が低い許可レベル、一
方の１あるいは２を備えットアップである。Ｏ／Ｓは、３の許可レベルを受ける
ことができるＯ／Ｓそれ自身の内に動ユーザー適用よりなおもっと特権を与えら
れる実施特権を与えられる。しかしながら、システムの中で最も特権のある実施
層、０値で実行するＯごとは、それにモニタ−それ自身より少ない特権を与える
許可レベルを受る。各Ｏ／Ｓは第１の実施、ステップ８０８における応用プログ
ラムでのようＰＵ時を割り付けることができる。Ｏ／Ｓの間の時を分配するため
の、時スケジューラはセットアップ、ステ８１０である。 次Ｏ／Ｓ画像はそれらのそれぞれの仕事空間、ステップ８１２に積載される。
第１の実施でのように、限定的な共用メモリはＯ／Ｓ、ステップ８１４のセット
・アップできる。しかしながら共用メモリはこのステップに動作されない。後続
の、重大表の保護、ＧＤＴおよびＩＤＴページ・ディレクタリー、おページ表の
ような、モニタ−、ステップ８１６によって供給される。利用可能である場合、
ＣＰＵ呼出メカニズムはこの保護を、インテル号のティアム・プロセッサーに組
み込まれた、呼出メカニズムのような達成でる。次に、各Ｏ／Ｓセル、ステップ
８１８のために交換された除外、および割機構ハンドラ。このステップは上に記
述された第１の実施の点でステップ５１Ｏに似ている。しかしながら、オペレー
ティング・システム用の除外ハンドラは適用のたよりも広範囲である。 例えば、一般的な保護除外ハンドラは、ＣＰＵを代表してウィンドウズ／ＮＴ
Ｓのための特権命令を注意深くエミュレートすることにより、ｉｌｙｅｒ６２
（図６）にウィンドウズ／ＮＴ Ｏ／Ｓが実行することを可能にするめに置され
る。ページ故障除外ハンドラは、ページ故障を引き起こすＯ／Ｓに属さない記域
へのトラップ言及への重大表の上の保護をインプリメントする。一度Ｏ／Ｓ、積
載され、実施の準備ができている。時スライス積重ねの上の第１のＯ／Ｓは、Ｃ
ＰＵ、ステップ８２０からライスを保持する。 モニタ−の工程立案メカニズムはそれ自身の事実上の環境でそれを実行さてＯ
／Ｓのために時スライスを与える。これがＯ／Ｓが実行する第１の時である場合
、事実上の環境はＯ／Ｓにユーザーか自動ブーツ・アップ・シーケンスを予想通
りにエミュレートする。そうでなければＯ／Ｓは走行を再開する；それは止めら
れた、ステップ８２４．第１の実施を備えたのように多くのイベントは、実行す
るＯ／ＳのＣＰＵ時スライス、１の間に生じとができる；その、することができ
る、Ｈ／Ｗ割込み機構、ステップ８２をｃする。 特別のハードウェアのための割込み機構スタブは、割込み機構がどのＯ／ル−
ティングされるか決めるに違いない、ステップ８２８．これは、特定のハードウ
ェアが分配されるハードウェア資源を信頼できる。 第２の実施では、割込み機構のサービスが、ハードウェアがサービスしてＯ／
Ｓに割り当てられる、ステップ８３０．制御は、モニタ−割込み機構スタブ、電
流時スライス、ステップ８３４を付けられたＯ／Ｓに制御を通過するステップ８
３２に通過される。同様に第１の実施に時計割込み機構は現在のＯ／Ｓを止まら
せる、ステップ８３６．しかしながら、第１の実施と異なり、制御は、次のＯ／
Ｓ、ステップ８３転送される。モニタ−は平易に仲裁する、Ｏ／Ｓは受けること
である（それ）時に、スス、ステップ８４０。 Ｏ／Ｓにより事実上の環境を修正するための、どの企て、割込み機構を変るか
、仮想ページ・ディレクタリーを修正するようなステップ８４２は、般な保護故
障を生成するためにＣＰＵを起因する、ステップ８４４、この障は修正をエミュ
レートするモニタ−によって扱われる；その結果、Ｏ／に修正成功したように見
える、ステップ８４６．参照かリクエストが事実上の環境に作成される場合、そ
れはトラッピングる。あるいは、ＣＰＵメカニズムによって遮られた。そのよう
な試みられた参照の結果活性化されたかもしれない割込み機構がる。容器に；現
在の許可を決定するためにセグメント・レジスターを使用するへのトラップ言及
へのＣＰＵのための方向はない。Ｏ／Ｓに予期された結果を返して、アクション
をエミュレートする、特コードへのコ−ルか枝に問題のインストラクションを取
り替えることによＯ／Ｓに継ぎを当てるに違いない；その結果、モニタ−はそれ
を制限するた使用できる。Ｏ／Ｓがセグメント・レジスターを直接参照する場合
、それはトラッピンることができる／ということでありえない。（中断すること
ができる）この特定のシナリオでモニタ−の存在はＯ／Ｓに透明になりえない、
ので、セグメント・レター；Ｏ／Ｓがモニタ−を備えた実行しているという事実
を開示する情報を含する。そして、期待されたよりより特権を与えられない。そ
のように。Ｏ／Ｓはこの情報を受けた後に行儀よくすることができない。これが
、情報を開示するＯ／Ｓから完全にインストラクションを取り除くであると決心
するのに一方向である。 例えば読出しセグメント・レジスター・インストラクションは、コ−ルをエレ
ートするモニタ−・ルーティンへのｃａｌ１と取り替えることができる；そ結果
、ルーティンは予期された結果を供給する。この種のパッチはバイナリものでコ
ードの実施に先立って作成される。あるいはＯ／Ｓのメモリ形に似せてＯ／Ｓ画
像を積載した後。各Ｏ／Ｓ；共用メモリ・ページを有する、どれのために、それ
；書き込みを有する。そして、他のＯ／Ｓによって読むことができる。このペー
ジをうまく利用するために別のＯ／Ｓにデ−タを要請するＯ／Ｓいては、ソフト
ウェア割込み機構、ステップ８４８の起動によりそれを動すためにそれがモニタ
−へリクエストを送る。Ｏ／Ｓ、ステップ８５０の間の情報分割を容易にする、
特別のドライバ−積載される。 一度それがデ−タ、ステップ８５２を受ければ、要求するＯ／Ｓは仕上げみ機
構を始めることができる。制御はモニタ−のデ−タ株割込み機構ルーティンに通
過する、ステップ８４どの仕上げ、実施。モニタ−は結果バッファーをコピーす
る、場合、いかなるもの、共用メモリ、ステップ８５６に。Ｏ／Ｓが一時停止（
ＨＬＴ）インストラクション、ステップ８７０を起動場合 モニタ−は、発信Ｏ
／Ｓ、ステップ８７２用時を分配するのを中止する。モニタ−は、ＨＬＴインス
トラクションを起動する特定のＯ／Ｓをサービるのを中止する。またそれを再開
する場合がある、ステップ８７８．全である場合、Ｏ／Ｓシャットダウン、ステ
ップ８７４モニタ−は一方のすることができる、シャットダウン、コンピュータ
、いは、代わりに、構成モード、ステップ８７６に実行する。特別の熱いキー組
合せはこのモードを動作できる。 この発明の両方の第１、第二の実施は、隔離、特権レベルのような保護構仮想
計算機および呼出メモリを支える、どのプロセッサー上でインプリメンできる。
インテルの８０３８６以上（８０３８６＋）の保護されたモード、およインテル
の８０３８６の＋ＶＭ８６モードは、システムによって支えられる。モニタ−支
持、保護モードと一致するどのオペレーティング・システム、用のそれ。例えば
Ｌｉｎｕｘ、ウィンドウズ／９５、ウィンドウズ／ＮＴ、ソラリス８６、全、イ
ンテル号の８０３８６＋上で作動する、モードを保護した。保護／隔離がこのモ
ードで提示されないので、ＭＳ−ＤＯＳは、インテル８０３８６の＋の実際のモ
ードで使用できない、 ＭＳ−ＤＯＳのためのＶＭ８６モードはシステムをインプリメントできる。こ
の発明のシステムは他のもの、同様なプロセッサーを備えたありうる。それは理
解されるべきである、それ、この発明が制限されないｓｙｓｔｅｆ、インテル号
８０３８６の＋構成。セル内に、より少ない集中的なＣＰＵである他のプログラ
ムを実行できる環境用資産の減少された必要のためにこの発明のシステムを備え
た最良のＣＵ集中的な作業であるプログラム。優先権は各セルのために必要とさ
れるオペレーティング・システム・サーを制限することである。プログラムを備
えた最良のシステム作業、どれのために、一度、全、所望力は与えられる、限定
的なＩ／Ｏ機能によりいる間、プログラムのほとんの動は各セルの割り付けられ
たメモリ・セグメント内に生じる、すべてで場合。それがＣＰＵなので、この発
明のシステムを備えた最良に実行する適用のな例は、ＳＳＬ ｄｅｃｒｙｐｔｏ
ｒかＨＴＴＰパーザのようなプロトル・ロセッサーである、初期の入力バッファ
ーおよび最終出力バッファ以外Ｉ／の低需要を備えたいる間集中的。 図９に関して、またより非常に詳しく下に記述されたように。 この発明のシ
ステムは外部環境から内部確実なネットワ−クを保護する全ゲ−トウェイ・シス
テムを形成する、二つ又はそれ以上のプログラムを作るために使用できる。外部
プログラムかロボット６は外部環境７からメッセージを受ける、シンな無害な形
状へのこれらのメッセージの内容物を変換する。 そして、内部ネットワ−ク２
における適用により使用可能な形状への内の単純化された形状を変換する、内部
のロボット３にそれらを沿って通過る。内外ロボット６。３は、ここに記述され
たシステムによる内部ネットワ−ク２のセキュリテ維持する間にシングル・プロ
セッサー上で操作できる。 例えば、外部ロボット６は制限された運転環境で操作できる；その結果、外部
ネワ−クに対する攻撃は内部のロボットを代わりに包含する運転環境の残り増し
ない、両方の内外ロボット６、４は保護を供給して、制限された環境このうに操
作できる。彼、２つのロボット４、６はＶＭＭプログラム９おびＰｅｔｉｕｍ技
術として再現される、マスタ−またはモニタ−のプログムによっ供給される、Ｖ
Ｍ８６モードあるいは制限された運転環境のよう保護されモードによってシング
ルＣＰＵの上でインプリメントされる。 例えばウィンドウズＮＴ（ＷｌＮＮＴ）オペレーティング・システムを実る、
シングルＣＰＵで各ロボットあるいは外部ロボット６、各ロボットが他方の作動
、およびＣＰＵの環境の残りに影響するのを防るモニタ−・プログラムの監督の
下の保護されたモードで操作される。モニタ−・プログラムは、通信チャンネル
をインプリメントして、それらのデ−タの通信を協定する。あるいは、共用メモ
リによるそれらの間のバ４５および各保護されたモードの特別のＡＰＩを資源化
する。
【０００６】 ２つのソフトウェア・ロボット４、６は、ＶＭＭプログラムの制御の下ＰＵに
よってある意味では分離される、各ロボットは、他方のロボットと有れないコン
ピュータ１、８（ディスク空間、メモリ・アドレス範囲、フッピディスクのよう
な周辺機器あるいはテ−プドライブのような）のある産を譲される。また、分離
のポリシーはＶＭＭプログラムによって強化される。単に１つの資源通信バス２
８、２つのロボット４、６によって共有される。 また、専用メモリ・アドレス空間はこのバス４をインプリメントできる。ＶＭ
Ｍプログラム９、およびロボット４、６、それらの個人の環境の上でできるなら
し運転、専用コンピュータ。それらは、さらに非専用コンピュータ上で実行でき
る。標準のＯＳ（ｅｇ．． ウィンドウズ。）への一定の修正は保護されたモー
ドで実行することをを進行するために必要な場合がある。ＶＭＭプログラム９は
ＣＰＵレベルでイベントをすべて制御する。そして、ハードウェア割込み機構に
よりシングルＣＰＵ機械に２つの仮理要素を強いる。 ゲ−トウェイ・システムの構成および作動の実施は、図Ｌ０ａに今より非詳し
く記述される。 −１８．図１０ａに参照することネットワ−ク安全ゲ−トウェ
イ１０は、内部演算環境１２と外部演算環０の間にある。 図１０ａで示される実施で内部演算環境；ウェブ・サブネットに属する場合が
あるウェブ・サ−バを含有する。そして感受性のシステム・サ−バ１４、外部環
境１６はウェブ、シスムサ−バ１３、１４に外部どの環境でありうる、典型的に
；インターネットを包含している。ゲ−トウェイよう素Ｏはバス２０ｂによって
、ウェブ・サ−バ１３への通ス２０ａによって内部システム・サ−バ１４に接続
される。そしてバス２２による外部環境に。従来のネットワ−ク・インターフェ
ース・カードはこれらのバスをイ−サトＰＣＩカードのようなイ−サネット（登 録商標）接続としてインプリメントできる。あるいは、Ｖ．３５インターフェー スによって直列接続としてインプリメできる。 当業者に公知のものとして他の接続方法。 バス２０ａ、２０ｂまた、２２は同じかあるいは異なる型の接続を使用できる。
安全ゲ−トウェイ１０；ロボットとしてここに参照されて、２つの分離でる処理
要素２４、２６を含有する、接続された、１つの、献呈された、固通バス２８。
内部のロボット２４は、バス２０ｂ（２０ａ）によって、ウェブ・サ−バ１ ３
つおよびシステム・サ−バ１４にそれぞれ接続される。また、外部ロボット２６
はバス２２によって、インターネットあるいは外部環境１ ６に接続される。 より非常に詳しく下に記述されたように各ロボットは、内部ロボット移送プロ
トコルあるいはＩＲＰによって内部ット・バス２８で、他方のロボットにＣＩＰ
メッセージを伝送する、クリ−部プロトコルあるいはＣＩＰとしてここに参照さ
れた、単純化されたプトル・フォーマットによって、それぞれの環境から単純化
されたメッセーまで受られた通信かメッセージを翻訳するか減少する。そして、
それぞれの環境には定形メッセージに他方のロボットから受けたそのようなＣＩ
Ｐメッセージを翻訳する。 １つの実施で、安全ゲ−トウェイ１０は次の方法で機構の内部ネットワ−クに
接続される。適用プロキシは、内部システム・サ−バ１４へのバス２０ａによっ
て接続る。また、ウェブ・プロキシはウェブ・サブネットへのバス２０ｂによっ
てされる。そこで：ウェブ・サ−バ１３は存する。 当業者が了解するように、それは可能である、に；専用インターフェースえた
多数のウェブ・サブネットを有する、につき、１つの、各々あるいはに；同じサ
ブネットにおける複数のウェブ・サ−バを有する；同様に、専用インターフェー
スを多数の内部環境に給仕することは装置にて可能である、につき、１つの、各
々また同じ内部域での複数のサ−バあるいは適用。実施は一人のサ−バがシング
ル適用を実行して、図１ａサービスに関してグル内部環境について記述した。ま
た単純性の理由および実行のしやすさのためのシングル・ウェブ・サットにおけ
るシングル・ウェブ・サ−バ。しかしながら、ゲ−トウェイ・システム１０の複
製および拡充の原理は、当業者によっ解されたシステム設計パラメータである。 例えば図、１０ｂは、内部環境１２ａのための代替構成を例示する。図１０ｂ
で示されたようにＬＡＮサ−バ１３ａは複数のインターフェース２０ａ、２０ｂ
、２０ｃって内部のロボット２４に接続される。多くのそれ自身の付加的なサ−
バ安全を備えた、ＳＱＬデータ・ベース・バ１ ４ａ、および金融機関用サ−バ
１４ｂを包含する内部適用サ−バ１ａ１４ｆのＬＡＮサ−バ１３ａサービス通信
は、１１を加工する、それはクセ制御および他のセキュリティ対策を供給する。
３のインターフェース２０ａ、２０ｂまた２０ｃ、ＳＱＬデータ・ベース・サ−
バ１４ａおよびｅｍａｉｌをするための１ ２０ｂにＳＱＬコマンドを発行する
ための１ ２０ａを包して使用するための様々な通信プロトコル、およびＨＴＭ
Ｌデ−タ内のＣＩコ−ルを包含するウェブ通信プロトコルに備える。そして高安
全用の１ ２０ｃ、金融機関用サ−バ１４ｂに特有の金融通ロトコル。 対応する多重インターフェース２２ａ−２２ｃは外部ロボット２６間で供きる
。また、受理への外部環境１６は多様な通信プロトコルを備えた通信る。各メッ
セージ・プロトコルの分離処理モジュ−ルあるいはこの組合せはあ１つのモジュ
−ルを供給するのに合理化された、のために、その「ゲ−トウイ」安全ゲ−トウ
ェイでインプリメントする移送プロトコル、１つ、のめに「ミドルウェア」プロ
トコル、それはウェブ・サ−バ（恐らく暗号化プトルおよび適用プロトコル用の
１つ用の１つ）をバイパスする。その、合理化された、代替、それがそうでなけ
れば生じるというＨＴＴＰトコル・メッセージの二重濾過によって招られた、シ
ステム・オーバーヘド廃止する、に、明白な安全の傷のフリーである間に、ある
いは漏出するまたおタッピングをブロックすること（未満で、線状付加物のそれ
）他方では、先進オペレーティング・システム動作および特徴を備えた「強力な
」機サンのＳＰＡＲＣのような、ステーションは末端ユ−ザのためのその全面的
コストに添加して、それを実行するために要求される。 標準寸法設計の利点は、仕事に特有の個別モジュ−ルを近づいて添加するによ
り追加のプロトコルを選択的にインプリメントすることができる経済でる。内部
の通信バス２８はシリアル・バスに従ってそれぞれのロボット２４、を接続する
、並列バスか自在シリアル・バス基準、この発明に従って、２のボットをリンク
する内部バス２８はＳＣＳＩバスである（代わりに）光ファイバー。ネットワ−
ク・インターフェース・リンクあるいは無線リンク；ロボッより大きな距離、Ｖ
ＭＭに保護された共用メモリ上で作動するに違いない。あるいは同種のもの。と
もに、これらの３つのエレメント２４、２６、２８は、ネットワ−ク安−トウェ
イ１０によって保護された内部環境１２用供給される保護をインリントする。ロ
ボット２４、２６はそれぞれの安全ゲ−トウェイ・ソフトウェア・パケジによっ
て定義されたルーティンを実行する、２つの分離かつ独立論理的工である。ロボ
ット２４、２６は２つの分離処理装置あるいは１上に設置できる、保れたモード
におけるロボット２４、２６の片方又は両方ものを操作するシグ処理装置。 いくつかの実施で、それぞれのソフトウェア・パッケージは、単純性および既
製の部品有用ための二つ又はそれ以上のそれぞれの分離ＣＰＵ上に設置される。
このアプロ−チで各ロボットは、それ（例えばディスク空間、メモリ・アドレス
、ネットク・アダプター、多様な周辺装置）に割り当てられた、非共用資源を備
えたシグル独立コンピュータ・プロセッサー上で実行する。また同種のもの。こ
のアプロ−チにおける共用資源は通信バス２８である。複数の構成はこのアプロ
−チをインプリメントするために使用できる。そのような１つの構成は、直列ラ
インのような通信バスで接続された異な立コンピュータ（ＰＣ）である。内部ネ
ットワ−クあるいは外部世界の残りを連携するための別のネットク・アダプター
を備えた各ＰＣを備えた、ＳＣＳＩライン、およびその他同種もの。代わりに、
１つのロボット・プログラムは、専用カードか装置でありうる加のカード上でコ
ンピュータ（ＰＣ）および他方上で実行できる。あるいは基準カード（インテル
８０ｘ８６の追加のカードのような）（は通信バス２８としてこのスロットを備
えたＰＣの１つのスロットに設置る）。ＰＣおよび追加のカードの両方；内部ネ
ットワ−クあるいは外部環境の残連携のために付加的なネットワ−ク・アダプタ
ーを有する。２つのロボット・プログラムは、基準（ｅ．ｇ。 二重インテル号
８０ｘプロセッサー・カード。）あるいは専用追加のカード上でインプリメント
れた異なる独立プロセッサー上で実行できる。これらの２つのプロセッサーは、
ＳＣＳＩライン（キタノウグイ・バス）うな通信バスで接続される。 ＰＣＩバスおよび同種のもの、各ロボットは内部環境１２あるいは外部環境１
６ののために別のネットワ−ク・アダプターを包含している。この追加のカード
は基準に設置されるか、あるいはルータ、ブリッジ（通−バ）のようなネットワ
−ク通信装置を献呈した。また同種のもの。他の実施で２つのロボット２４、２
６は、ＶＭＭおよびＰｅｎｔｉｕｍ技術によっ給される、ＶＭ８６モードのよう
な保護されたモードによってシングルＣＵ上でインプリメントされる。例えばウ
ィンドウズＮＴ（ＷＩＮＮＴ）オペレーティング・システムを実る、シングルＣ
ＰＵで各ロボットあるいは外部ロボット２６作動される、保護された、モニタ−
・プログラムあるいは「メディエタの監督の下に作成された、それは各ロボット
が他方の作動、およびＣＰＵ環の残りに影響するのを防御する。 モニタ−・プログラムは、共用メモリ資産および各保護されたモードの特ＡＰ
Ｉによりそれらの間の通信チャンネル２８をインプリメントして、そら間のデ−
タの通信を協定する。２つのソフトウェア・ロボット２４、２６は、ＶＭＭプロ
グラムの制御のＣＰＵによってある意味では分離される、各ロボットは、他方の
ロボッと有されないコンピュータ（ディスク空間、メモリ・アドレス範囲、フロ
ピーィスクのような周辺機器あるいはテ−プドライブのような）のある資産を譲
される。また、分離のポリシーはＶＭＭプログラムによって強化される。 単に１つの資源通信バス２８、２つのロボット２４、２６によって共有される。
また、専用メモリ・アドレス空間はこのバス２８をインプリメントできる。それ
らの個人の環境で動くＶＭＭおよびロボットは専用コンピュータ上でできる。そ
れらは非専用コンピュータ上で実行できる。標準のＯＳ（ｅ．ｇ。 ウドウズ。
）への一定の修正は保護されたモードで実行することをそれを進すために必要な
場合がある。ＶＭＭプログラムはＣＰＵレベルでイベントをすべて制御する。そ
して、ハードウェア割込み機構によりシングルＣＰＵ機械に２つの仮理要素を強
いる。内外ロボットの構造および作動内外ロボット２６、２４は、図１１ａおよ
び１１ｂに今より詳細に記述さる。図１１ａに参照すること、外部ロボット２６
；内部ロボット・プロトコルあるいはＩＲＰで内部のット２４への発信ＣＩＰメ
ッセージを包み、入込みメッセージからＩＲＰ取除くためのチャネル・マネージ
ャー４ａを含有する。
よってある意味では分離される、各ロボットは、他方のロボットと有れないコン
ピュータ１、８（ディスク空間、メモリ・アドレス範囲、フッピディスクのよう
な周辺機器あるいはテ−プドライブのような）のある産を譲される。また、分離
のポリシーはＶＭＭプログラムによって強化される。単に１つの資源通信バス２
８、２つのロボット４、６によって共有される。 また、専用メモリ・アドレス空間はこのバス４をインプリメントできる。ＶＭ
Ｍプログラム９、およびロボット４、６、それらの個人の環境の上でできるなら
し運転、専用コンピュータ。それらは、さらに非専用コンピュータ上で実行でき
る。標準のＯＳ（ｅｇ．． ウィンドウズ。）への一定の修正は保護されたモー
ドで実行することをを進行するために必要な場合がある。ＶＭＭプログラム９は
ＣＰＵレベルでイベントをすべて制御する。そして、ハードウェア割込み機構に
よりシングルＣＰＵ機械に２つの仮理要素を強いる。 ゲ−トウェイ・システムの構成および作動の実施は、図Ｌ０ａに今より非詳し
く記述される。 −１８．図１０ａに参照することネットワ−ク安全ゲ−トウェ
イ１０は、内部演算環境１２と外部演算環０の間にある。 図１０ａで示される実施で内部演算環境；ウェブ・サブネットに属する場合が
あるウェブ・サ−バを含有する。そして感受性のシステム・サ−バ１４、外部環
境１６はウェブ、シスムサ−バ１３、１４に外部どの環境でありうる、典型的に
；インターネットを包含している。ゲ−トウェイよう素Ｏはバス２０ｂによって
、ウェブ・サ−バ１３への通ス２０ａによって内部システム・サ−バ１４に接続
される。そしてバス２２による外部環境に。従来のネットワ−ク・インターフェ
ース・カードはこれらのバスをイ−サトＰＣＩカードのようなイ−サネット（登 録商標）接続としてインプリメントできる。あるいは、Ｖ．３５インターフェー スによって直列接続としてインプリメできる。 当業者に公知のものとして他の接続方法。 バス２０ａ、２０ｂまた、２２は同じかあるいは異なる型の接続を使用できる。
安全ゲ−トウェイ１０；ロボットとしてここに参照されて、２つの分離でる処理
要素２４、２６を含有する、接続された、１つの、献呈された、固通バス２８。
内部のロボット２４は、バス２０ｂ（２０ａ）によって、ウェブ・サ−バ１ ３
つおよびシステム・サ−バ１４にそれぞれ接続される。また、外部ロボット２６
はバス２２によって、インターネットあるいは外部環境１ ６に接続される。 より非常に詳しく下に記述されたように各ロボットは、内部ロボット移送プロ
トコルあるいはＩＲＰによって内部ット・バス２８で、他方のロボットにＣＩＰ
メッセージを伝送する、クリ−部プロトコルあるいはＣＩＰとしてここに参照さ
れた、単純化されたプトル・フォーマットによって、それぞれの環境から単純化
されたメッセーまで受られた通信かメッセージを翻訳するか減少する。そして、
それぞれの環境には定形メッセージに他方のロボットから受けたそのようなＣＩ
Ｐメッセージを翻訳する。 １つの実施で、安全ゲ−トウェイ１０は次の方法で機構の内部ネットワ−クに
接続される。適用プロキシは、内部システム・サ−バ１４へのバス２０ａによっ
て接続る。また、ウェブ・プロキシはウェブ・サブネットへのバス２０ｂによっ
てされる。そこで：ウェブ・サ−バ１３は存する。 当業者が了解するように、それは可能である、に；専用インターフェースえた
多数のウェブ・サブネットを有する、につき、１つの、各々あるいはに；同じサ
ブネットにおける複数のウェブ・サ−バを有する；同様に、専用インターフェー
スを多数の内部環境に給仕することは装置にて可能である、につき、１つの、各
々また同じ内部域での複数のサ−バあるいは適用。実施は一人のサ−バがシング
ル適用を実行して、図１ａサービスに関してグル内部環境について記述した。ま
た単純性の理由および実行のしやすさのためのシングル・ウェブ・サットにおけ
るシングル・ウェブ・サ−バ。しかしながら、ゲ−トウェイ・システム１０の複
製および拡充の原理は、当業者によっ解されたシステム設計パラメータである。 例えば図、１０ｂは、内部環境１２ａのための代替構成を例示する。図１０ｂ
で示されたようにＬＡＮサ−バ１３ａは複数のインターフェース２０ａ、２０ｂ
、２０ｃって内部のロボット２４に接続される。多くのそれ自身の付加的なサ−
バ安全を備えた、ＳＱＬデータ・ベース・バ１ ４ａ、および金融機関用サ−バ
１４ｂを包含する内部適用サ−バ１ａ１４ｆのＬＡＮサ−バ１３ａサービス通信
は、１１を加工する、それはクセ制御および他のセキュリティ対策を供給する。
３のインターフェース２０ａ、２０ｂまた２０ｃ、ＳＱＬデータ・ベース・サ−
バ１４ａおよびｅｍａｉｌをするための１ ２０ｂにＳＱＬコマンドを発行する
ための１ ２０ａを包して使用するための様々な通信プロトコル、およびＨＴＭ
Ｌデ−タ内のＣＩコ−ルを包含するウェブ通信プロトコルに備える。そして高安
全用の１ ２０ｃ、金融機関用サ−バ１４ｂに特有の金融通ロトコル。 対応する多重インターフェース２２ａ−２２ｃは外部ロボット２６間で供きる
。また、受理への外部環境１６は多様な通信プロトコルを備えた通信る。各メッ
セージ・プロトコルの分離処理モジュ−ルあるいはこの組合せはあ１つのモジュ
−ルを供給するのに合理化された、のために、その「ゲ−トウイ」安全ゲ−トウ
ェイでインプリメントする移送プロトコル、１つ、のめに「ミドルウェア」プロ
トコル、それはウェブ・サ−バ（恐らく暗号化プトルおよび適用プロトコル用の
１つ用の１つ）をバイパスする。その、合理化された、代替、それがそうでなけ
れば生じるというＨＴＴＰトコル・メッセージの二重濾過によって招られた、シ
ステム・オーバーヘド廃止する、に、明白な安全の傷のフリーである間に、ある
いは漏出するまたおタッピングをブロックすること（未満で、線状付加物のそれ
）他方では、先進オペレーティング・システム動作および特徴を備えた「強力な
」機サンのＳＰＡＲＣのような、ステーションは末端ユ−ザのためのその全面的
コストに添加して、それを実行するために要求される。 標準寸法設計の利点は、仕事に特有の個別モジュ−ルを近づいて添加するによ
り追加のプロトコルを選択的にインプリメントすることができる経済でる。内部
の通信バス２８はシリアル・バスに従ってそれぞれのロボット２４、を接続する
、並列バスか自在シリアル・バス基準、この発明に従って、２のボットをリンク
する内部バス２８はＳＣＳＩバスである（代わりに）光ファイバー。ネットワ−
ク・インターフェース・リンクあるいは無線リンク；ロボッより大きな距離、Ｖ
ＭＭに保護された共用メモリ上で作動するに違いない。あるいは同種のもの。と
もに、これらの３つのエレメント２４、２６、２８は、ネットワ−ク安−トウェ
イ１０によって保護された内部環境１２用供給される保護をインリントする。ロ
ボット２４、２６はそれぞれの安全ゲ−トウェイ・ソフトウェア・パケジによっ
て定義されたルーティンを実行する、２つの分離かつ独立論理的工である。ロボ
ット２４、２６は２つの分離処理装置あるいは１上に設置できる、保れたモード
におけるロボット２４、２６の片方又は両方ものを操作するシグ処理装置。 いくつかの実施で、それぞれのソフトウェア・パッケージは、単純性および既
製の部品有用ための二つ又はそれ以上のそれぞれの分離ＣＰＵ上に設置される。
このアプロ−チで各ロボットは、それ（例えばディスク空間、メモリ・アドレス
、ネットク・アダプター、多様な周辺装置）に割り当てられた、非共用資源を備
えたシグル独立コンピュータ・プロセッサー上で実行する。また同種のもの。こ
のアプロ−チにおける共用資源は通信バス２８である。複数の構成はこのアプロ
−チをインプリメントするために使用できる。そのような１つの構成は、直列ラ
インのような通信バスで接続された異な立コンピュータ（ＰＣ）である。内部ネ
ットワ−クあるいは外部世界の残りを連携するための別のネットク・アダプター
を備えた各ＰＣを備えた、ＳＣＳＩライン、およびその他同種もの。代わりに、
１つのロボット・プログラムは、専用カードか装置でありうる加のカード上でコ
ンピュータ（ＰＣ）および他方上で実行できる。あるいは基準カード（インテル
８０ｘ８６の追加のカードのような）（は通信バス２８としてこのスロットを備
えたＰＣの１つのスロットに設置る）。ＰＣおよび追加のカードの両方；内部ネ
ットワ−クあるいは外部環境の残連携のために付加的なネットワ−ク・アダプタ
ーを有する。２つのロボット・プログラムは、基準（ｅ．ｇ。 二重インテル号
８０ｘプロセッサー・カード。）あるいは専用追加のカード上でインプリメント
れた異なる独立プロセッサー上で実行できる。これらの２つのプロセッサーは、
ＳＣＳＩライン（キタノウグイ・バス）うな通信バスで接続される。 ＰＣＩバスおよび同種のもの、各ロボットは内部環境１２あるいは外部環境１
６ののために別のネットワ−ク・アダプターを包含している。この追加のカード
は基準に設置されるか、あるいはルータ、ブリッジ（通−バ）のようなネットワ
−ク通信装置を献呈した。また同種のもの。他の実施で２つのロボット２４、２
６は、ＶＭＭおよびＰｅｎｔｉｕｍ技術によっ給される、ＶＭ８６モードのよう
な保護されたモードによってシングルＣＵ上でインプリメントされる。例えばウ
ィンドウズＮＴ（ＷＩＮＮＴ）オペレーティング・システムを実る、シングルＣ
ＰＵで各ロボットあるいは外部ロボット２６作動される、保護された、モニタ−
・プログラムあるいは「メディエタの監督の下に作成された、それは各ロボット
が他方の作動、およびＣＰＵ環の残りに影響するのを防御する。 モニタ−・プログラムは、共用メモリ資産および各保護されたモードの特ＡＰ
Ｉによりそれらの間の通信チャンネル２８をインプリメントして、そら間のデ−
タの通信を協定する。２つのソフトウェア・ロボット２４、２６は、ＶＭＭプロ
グラムの制御のＣＰＵによってある意味では分離される、各ロボットは、他方の
ロボッと有されないコンピュータ（ディスク空間、メモリ・アドレス範囲、フロ
ピーィスクのような周辺機器あるいはテ−プドライブのような）のある資産を譲
される。また、分離のポリシーはＶＭＭプログラムによって強化される。 単に１つの資源通信バス２８、２つのロボット２４、２６によって共有される。
また、専用メモリ・アドレス空間はこのバス２８をインプリメントできる。それ
らの個人の環境で動くＶＭＭおよびロボットは専用コンピュータ上でできる。そ
れらは非専用コンピュータ上で実行できる。標準のＯＳ（ｅ．ｇ。 ウドウズ。
）への一定の修正は保護されたモードで実行することをそれを進すために必要な
場合がある。ＶＭＭプログラムはＣＰＵレベルでイベントをすべて制御する。そ
して、ハードウェア割込み機構によりシングルＣＰＵ機械に２つの仮理要素を強
いる。内外ロボットの構造および作動内外ロボット２６、２４は、図１１ａおよ
び１１ｂに今より詳細に記述さる。図１１ａに参照すること、外部ロボット２６
；内部ロボット・プロトコルあるいはＩＲＰで内部のット２４への発信ＣＩＰメ
ッセージを包み、入込みメッセージからＩＲＰ取除くためのチャネル・マネージ
ャー４ａを含有する。
【０００７】 外部ロボットは、外部環境１６用のＴＣＰ／ＩＰあるいは他の移送プロトでメ
ッセージを包むネットワ−ク・プロキシ４ｅを含有する。これらのプロトコルは
ＴＣＰ／ＩＰ、およびＵＤＰ、ＳＰＸ／ＩＰＸ、ＨＰ、ＳＮＡ、ＮＣＰ、ＣＯＲ
ＢＡ、ＲＭＩ、ＲＰＣを包含することができる。あるいは、通信はプロトコルを
転送する。ＣＩＰはＳＭＴＰ（〜ＰＯＰ３）のような、使用される適用プロトコ
ルにである。ＳＱＬ。ＣＧＩ、また積み上がるためのもののような適用特定のプ
ロトコル。保護された環境１２がＴＣＰ／ＩＰの上に、ＴＣＰ／ＩＰ（あるいは
同様全スキームＳＳＬ）および構造化した照会言語（ＳＱＬ）の上に安全なハパ
テキスト移行プロトコル（Ｓ−ＨＴＴＰ）を使用できるので、専門の金融通信プ
ロトコルおよび適用プロトコルと同様に。ロボットは、３つのＣＩＰプロトコル
積重ねのそれぞれの相補形セット要とすることができる。外部ロボット；外部ロ
ボット２６の多様な要素間のＣＩＰまたは適用のォマット・メッセージをル−テ
ィングするためのル−ティング・マネージャ４を含有する。下に記述された手順
に従って外部環境１６からＣＩＰまで受けられた、フォーマットからメッセージ
を減少するためのル−ティング・マネージャ４へ接続されたあるためのプロトコ
ル・マネージャー４ｃ、そしてル−ティング・マネージャー４ｂの指導のもとに
安全ゲ−トウェ０用解読と認証のサービスを供給する通信層安全（塩素）ルーテ
ィン４ｄ。第１のル−ティング・マネージャー４ｂは塩素ルーティン４ｄへ適用
メセジを転送する。そして、メッセージからプロトコル・マネージャーへ確証さ
れ解読され−タを４ｃ転送する。プロトコル・マネージャー４ｃは、特にその天
然プロトコルのためのそれのＣＩＰフォーマットに不確実な環境からそれが受け
る、天然適用プロトル減少する。外部ロボット２６におけるチャネル・マネージ
ャー４ａは内部ロボット通ス２８上にＣＩＰ定形デ−タを実行する。 図２ｂで見られたように、内部のロボット２４；外部ロボット２６に似ている
構成を有する、内部ボット２４、したがって；外部ロボット２６のチャネル・マ
ネージャー４にているチャネル・マネージャー２ａを含有する。ル−ティング・
マネージャー２ｂ、プロトコル・マネージャー２ｃ、また内部環境の構成に従う
多くのプロキシ。図１ａで例示された内部環境を与えられた。プロキシ；適用プ
ロキシ２ｅおよびウェブ・プロキシを２ｆ包含する。内部のロボット２４のチャ
ネル・マネージャー２ａによって受けられたデは、それぞれの天然適用プロトコ
ルにＣＩＰフォーマットから後部再翻訳れるめの、そのル−ティング・マネージ
ャー２ｂの指導のもとにそのプロコル・ネージャーへ２ｃ転送される。 また、再翻訳された結果は、ウェブ・プロキシ２ｆまでバス２０ｂによゲ−ト
ウェイ１０へ送られ、保護されたシステム・サ−バ１４に再度導かる−タ・スト
リ−ムで対応するウェブ・サ−バ１３まで、適用プロキシ２およバス２０ａによ
って、あるいはウェブ・プロキシによって内部環境１に２ｆられる。相似性の機
能が供給される限り、これらの多様な仕事はこの実施におけるモジュ−ルで実行
されると評されるが；その結果、それらは協同する、記さた結果を作製する際に
、これらの仕事はグループ化するか、あるいは異るモュ−ルに割り当てることが
できるか、互いに、あるいは他のところに付できる。 例えば、安全機能（塩素モジュ−ル４ｄによって実行されたように）はそれ（
キサイン）に格納された、暗号の可変のための安全を供給するために内部と部ボ
ットに恐らく割り当てることができる。外部ロボットと内部のロボットの間の通
信は専用内部ロボット・バス２８に単独で専用シンプルな内部ロボット・プロト
コルあるいはＩＲＰによって行される。デ−タは、受けられたデ−タおよび内部
の適用プロトコルに特有の安全プコルによって安全ゲ−トウェイ作動に翻訳され
る。確実な環境内の適用は選択された通信によりデ−タフロ−を認可するためボ
ットを形成できる、シンプルなメ−ル転送プロトコル（ＳＭＴＰ）のよなロトコ
ル（ＣＴＰ）、ファイル転送プロトコル（ＦＴＰ）および固定を送する電子移送
（セット）プロトコル。、好ましくは通信に割り当てられたＣＩＰは、可能にな
ったフローのいかなる破損もなオペレーティング・システム・コ−ルにより配列
するＣＴＰ使用中に特でる。あるいは、ル−プ化はトラッピングされ、ロギング
だろう。 例えば、ファイル転送プロトコル（ＦＴＰ）では、もしパス・コマンドにて、
ユーザー・コマンドを包含する成功したログイン・シーケンスによっ先行れなか
ったならばｇｅｔコマンドは認識できない。所要流量オ−ダ−の違反は、ロギン
グおよびＦＴＰセッションを終了したアラームを起因する。各翻訳機および通訳
ペアが入込みメッセージおよび安全アドミニストレタによって可能にされたデ−
タフロ−の型用のプロトコルの対の特別なトラス誘導体であるので、ゲ−トウェ
イ１０はデ−タフロ−規定を強化する。 例えば、外部ＳＭＴＰユーザーが発行する場合、その「メイル、から」コマン
ド外部サ−バは技術均等を送る、１つの「メイル、から」コマンド、そ「ＨＥＬ
Ｏ」コマンドを伴う場合。図、１２ａおよび１２ｂは、図１０ａ、１１ａおよび
１１ｂで示される装よってインプリメントされたデ−タフロ−を示す。概観に、
図１２ａで示されたように、工程の最初４０では、外部環境１６受けられた通信
パケットが、外部ロボット２６、平易なデ−タへの解読のうデータ秘密保護処理
機能によるステップ５０によりタイムスタンプでロングです。ロギングは、「一
時書き込み」媒体（ｅ．ｇ。 ＣＤＷ。）上の安全ゲ−ェイ内の同期ＡＰＩモジ
ュ−ルによって始められる。ロギング工程は、プログラム状態変化の希薄な記録
を実行する、タイムスプのメッセージ・エス、システム誤差、アクセス、そして
今、違反企て、パットには発火支配、一般に、エラーとデバッグのエントリは、
メッセージと状態のエントリよきな細部で維持される。 各サービス・モジュ−ルはすべてのアドミニストレーター・アクションユザー
・ログイン／ログアウト、データ・ベース・エラー、単純化されたネトワ−ク管
理プロトコル・トラップあるいはアラームの完全監査トレールをするために自動
的に周期的に獲得される。公知の侵入パタ−ンのデータ・ベースは確実な環境内
のグループの供給さ使用パタ−ン、および習慣的な使用パタ−ンである、モニタ
ーされる、またドミニストレーターは事件をそれに通知した、そのパタ−ンから
分岐する。安全のために、ログは、内部で確実なターミナルを通って局所的にア
クセスされる。しかしながら、外部ログは、外部ログの天然プロトコルに対応す
る内部のＰプロトコルによって内部の記録に安全にコピーされ、偽造を妨げるた
め内エントリによって使用されるためのそれから異なるアイテム・フォーマトに
釈される。代わりに、外部ログはロギング工程によって内部のロボットに課され
たオーバーヘを減少するために分離システムに書くことができる。 「二重チャネル・マネージャー構造」そこで：メッセージの記録のために献呈さ
れて、各ロボットの中に付加的なチル・マネージャーがある、使用されたかもし
れない。ロギングを扱うためのソフトウェアは実行のためにＡＣＥパッケ−ジあ
る他の業務用製品を使用できる。内部および外部ログは、ロガー・デ−モンによ
って非同期に記録される、結果、ロギング・アイテムは、糸ロックアウトあるい
はＩ／Ｏの使用中の態間に脆弱な列で待たずに、書かれた記録に直ぐに行く。非
同期ラッパ−はこれを、ＵＮｌＸ Ｓｙｓｌｏｇｄ＆エラーと違反用のＥｖｅｎ
ｔＬｏｇｇｅｒのような総括的なＯＳロギングによってインプリンできる。また
プログラム状態とメッセージに関する業務処理の情報のためのＯＤ標準のファイ
ル構造。オーブン・データベース会議（ＯＤＢＣ）ロガー；いくつかの非同期行
為ションを有する、それらは直接適用可能ではない。したがって、それは現実的
な代案を再ることができない。 そのときステップ６０で、平易なデ−タはクリア−・デ−タにそれを減少する
ために編集され、Ｃフォーマットに翻訳される；その後に、ＣＩＰフォーマット
は内部のロボト４に、安全ゲ−トウェイの内部通信バス２８上に送られる。 ステップ７０に、内部のロボット２４は再翻訳する。また恐らく改造する。そ
のＣＩＰフォーマットからデ−タは、それが恐らくいくつかの編集変導入して、
出される適用に固有のフォーマットに後退する。 ステップ９０に、デ−タが、それがウェブ・サ−バ１２まで最初に送られるウ
ェブ・セッシ（ＨＴＴＰ）に属する場合、ウェブ・サ−バ１２は、ステップ１１
００で注意されるように、デ−タの目的地へ行っている一方そのネットワ−ク安
全ゲ−トウェイ１０を通ってェブ・サ−バが受けたデ−タのインターネット・ソ
−スにレスポンスを送りして、適用リクエストを始めることができる。 場合、他方では。デ−タは適用サ−バに直接伝達されたデ−タのようなウェブ
・セッショ属さない、内部のロボットは、適用プロキシ２ｅに、およびステップ
１１０ら成り、ステップ１１０４に安全ゲ−トウェイの安全保証工程を仕上げる
、部環境ｌ４へのバス２０ａの上に平易にそのデ−タを送る。図１２ｂに、より
明確に参照すること、場合、ＴＣＰ／ＩＰパケット、利用可能媒体用の適当な通
信プロトコルに組み合わされるデ−タの他のあ本ユニット（あるいは）外部バス
２２によって、そのプロトコルに対応する安全ゲ−トウェイ・キシ４ｅによって
受けられる、それはそうである、ステップ５１に外部ロッをログインした。これ
は、パケットのために完成した移送ステップを再現するパケットのエ数および運
用上の状態コードを記録する。しかしながら、このロボットがバリケードを築か
れるので、詳細なログはされない。ステップ５２に、安全ゲ−トウェイ・プロキ
シ４ｅ、の後に、を備えた、Ｐ／ＩＰによって、あるいは他のある程度の輸送プ
ロトコルによって安全−ウェイへのデ−タの伝達用供給されるカプセル化を除去
する、ステップ３に信層安全（塩素）モジュ−ルへそれを転送するル−ティング
・マネーャー４にデ−タを送る。 ステップ５４に、塩素モジュ−ルはＳＳＬフォーマットを解読する、そのよう
な暗号化がメッセージおよびインターフェースに存在する（ある他の安全スキー
ムＳ−ＨＴＴＰ）場合、を備えた、また差出人のアイデンィィを確証する「メカ
ニズム」によって要求された情報を仲介する、そのような認証が必要で、それに
より、ル−ティング・マネージャー４ｂ易な適用フォーマット・デ−タを供給す
る場合。好ましくは、解読用の公開暗号キー・インフラ。クリア−・デ−タに適
用デ−タを編集し、ステップ６１にそれをＣＩＰォマットに翻訳するル−ティン
グ・マネージャー４ｂは、プロトコル・マネャーに平易な適用フォーマット・デ
−タを４ｃ送る。 プロトコル・マネージャー４ｃはステップ６２にル−ティング・マネーャ４ｂに
ＣＩＰデ−タを実行する。ル−ティング・マネージャー４ｂは、ステップ６４の
内部の通信バス２８内部のロボット２４に、このＩＲＰにカプセル化されたＣＩ
Ｐフォーマト・−タを伝送して、ＩＲＰによりＣＩＰデ−タをカプセル化するス
テップ３にャネル・マネージャー４ａの上へのＣＩＰデ−タを送る。ＩＲＰ輸送
プロトコルは、異なる天然適用および輸送プロトコルから起こＩＰデ−タをカプ
セル化できる。ＣＩＰフォーマット・デ−タは内部のＩＲＰ輸送プロトコルに従
ってカプ化された。 ステップ７１のチャネル・マネージャー２ａによって内部の通信バス２ら受け
られる。チャネル・マネージャー２ａはＩＲＰカプセル化を除去し、ステップ７
３ロトコル・マネージャーにＣＩＰフォーマット・デ−タを２ｃ送るステッ７の
ル−ティング・マネージャー２ｂにＣＩＰフォーマット・デ−タを送る。それが
ＣＩＰフォーマット・デ−タをデ−タを修正するその天然適用フォットに最終的
に再度後部翻訳することは内部のロボット２４におけるプロル・マネージャー２
ｃである、デ−タ、したがって行うこと、したがって、外部バスによって受けら
れた通信から外部ロボット２６によ解読された平易な適用フォーマット・デ−タ
、内部の通信バス２０ａの上ネトワ−ク安全ゲ−トウェイよう素Ｏによって確実
な環境１ ４に供給さる天適用フォーマットにおけるクリア−・デ−タと類似に
なりえない。アクセス制御のための特別のユーザーによる特別のアクションの認
可に導た試験のようなある付加的な受入れ試験はデ−タの合法性を確認するため
こ時点でデ−タに適用できる。摂理は、適応性に強化するためのモジュ−ルを加
工する第三者統合およびテムの柔軟性のために実現するためのこの発明の構成で
作成される。「プラグ・イン」として下に参照されたモジュ−ルは、外部および
内部のットの両方の中に、装置のプロセスフローにおける多様な場所に呼出し可
でる。
ッセージを包むネットワ−ク・プロキシ４ｅを含有する。これらのプロトコルは
ＴＣＰ／ＩＰ、およびＵＤＰ、ＳＰＸ／ＩＰＸ、ＨＰ、ＳＮＡ、ＮＣＰ、ＣＯＲ
ＢＡ、ＲＭＩ、ＲＰＣを包含することができる。あるいは、通信はプロトコルを
転送する。ＣＩＰはＳＭＴＰ（〜ＰＯＰ３）のような、使用される適用プロトコ
ルにである。ＳＱＬ。ＣＧＩ、また積み上がるためのもののような適用特定のプ
ロトコル。保護された環境１２がＴＣＰ／ＩＰの上に、ＴＣＰ／ＩＰ（あるいは
同様全スキームＳＳＬ）および構造化した照会言語（ＳＱＬ）の上に安全なハパ
テキスト移行プロトコル（Ｓ−ＨＴＴＰ）を使用できるので、専門の金融通信プ
ロトコルおよび適用プロトコルと同様に。ロボットは、３つのＣＩＰプロトコル
積重ねのそれぞれの相補形セット要とすることができる。外部ロボット；外部ロ
ボット２６の多様な要素間のＣＩＰまたは適用のォマット・メッセージをル−テ
ィングするためのル−ティング・マネージャ４を含有する。下に記述された手順
に従って外部環境１６からＣＩＰまで受けられた、フォーマットからメッセージ
を減少するためのル−ティング・マネージャ４へ接続されたあるためのプロトコ
ル・マネージャー４ｃ、そしてル−ティング・マネージャー４ｂの指導のもとに
安全ゲ−トウェ０用解読と認証のサービスを供給する通信層安全（塩素）ルーテ
ィン４ｄ。第１のル−ティング・マネージャー４ｂは塩素ルーティン４ｄへ適用
メセジを転送する。そして、メッセージからプロトコル・マネージャーへ確証さ
れ解読され−タを４ｃ転送する。プロトコル・マネージャー４ｃは、特にその天
然プロトコルのためのそれのＣＩＰフォーマットに不確実な環境からそれが受け
る、天然適用プロトル減少する。外部ロボット２６におけるチャネル・マネージ
ャー４ａは内部ロボット通ス２８上にＣＩＰ定形デ−タを実行する。 図２ｂで見られたように、内部のロボット２４；外部ロボット２６に似ている
構成を有する、内部ボット２４、したがって；外部ロボット２６のチャネル・マ
ネージャー４にているチャネル・マネージャー２ａを含有する。ル−ティング・
マネージャー２ｂ、プロトコル・マネージャー２ｃ、また内部環境の構成に従う
多くのプロキシ。図１ａで例示された内部環境を与えられた。プロキシ；適用プ
ロキシ２ｅおよびウェブ・プロキシを２ｆ包含する。内部のロボット２４のチャ
ネル・マネージャー２ａによって受けられたデは、それぞれの天然適用プロトコ
ルにＣＩＰフォーマットから後部再翻訳れるめの、そのル−ティング・マネージ
ャー２ｂの指導のもとにそのプロコル・ネージャーへ２ｃ転送される。 また、再翻訳された結果は、ウェブ・プロキシ２ｆまでバス２０ｂによゲ−ト
ウェイ１０へ送られ、保護されたシステム・サ−バ１４に再度導かる−タ・スト
リ−ムで対応するウェブ・サ−バ１３まで、適用プロキシ２およバス２０ａによ
って、あるいはウェブ・プロキシによって内部環境１に２ｆられる。相似性の機
能が供給される限り、これらの多様な仕事はこの実施におけるモジュ−ルで実行
されると評されるが；その結果、それらは協同する、記さた結果を作製する際に
、これらの仕事はグループ化するか、あるいは異るモュ−ルに割り当てることが
できるか、互いに、あるいは他のところに付できる。 例えば、安全機能（塩素モジュ−ル４ｄによって実行されたように）はそれ（
キサイン）に格納された、暗号の可変のための安全を供給するために内部と部ボ
ットに恐らく割り当てることができる。外部ロボットと内部のロボットの間の通
信は専用内部ロボット・バス２８に単独で専用シンプルな内部ロボット・プロト
コルあるいはＩＲＰによって行される。デ−タは、受けられたデ−タおよび内部
の適用プロトコルに特有の安全プコルによって安全ゲ−トウェイ作動に翻訳され
る。確実な環境内の適用は選択された通信によりデ−タフロ−を認可するためボ
ットを形成できる、シンプルなメ−ル転送プロトコル（ＳＭＴＰ）のよなロトコ
ル（ＣＴＰ）、ファイル転送プロトコル（ＦＴＰ）および固定を送する電子移送
（セット）プロトコル。、好ましくは通信に割り当てられたＣＩＰは、可能にな
ったフローのいかなる破損もなオペレーティング・システム・コ−ルにより配列
するＣＴＰ使用中に特でる。あるいは、ル−プ化はトラッピングされ、ロギング
だろう。 例えば、ファイル転送プロトコル（ＦＴＰ）では、もしパス・コマンドにて、
ユーザー・コマンドを包含する成功したログイン・シーケンスによっ先行れなか
ったならばｇｅｔコマンドは認識できない。所要流量オ−ダ−の違反は、ロギン
グおよびＦＴＰセッションを終了したアラームを起因する。各翻訳機および通訳
ペアが入込みメッセージおよび安全アドミニストレタによって可能にされたデ−
タフロ−の型用のプロトコルの対の特別なトラス誘導体であるので、ゲ−トウェ
イ１０はデ−タフロ−規定を強化する。 例えば、外部ＳＭＴＰユーザーが発行する場合、その「メイル、から」コマン
ド外部サ−バは技術均等を送る、１つの「メイル、から」コマンド、そ「ＨＥＬ
Ｏ」コマンドを伴う場合。図、１２ａおよび１２ｂは、図１０ａ、１１ａおよび
１１ｂで示される装よってインプリメントされたデ−タフロ−を示す。概観に、
図１２ａで示されたように、工程の最初４０では、外部環境１６受けられた通信
パケットが、外部ロボット２６、平易なデ−タへの解読のうデータ秘密保護処理
機能によるステップ５０によりタイムスタンプでロングです。ロギングは、「一
時書き込み」媒体（ｅ．ｇ。 ＣＤＷ。）上の安全ゲ−ェイ内の同期ＡＰＩモジ
ュ−ルによって始められる。ロギング工程は、プログラム状態変化の希薄な記録
を実行する、タイムスプのメッセージ・エス、システム誤差、アクセス、そして
今、違反企て、パットには発火支配、一般に、エラーとデバッグのエントリは、
メッセージと状態のエントリよきな細部で維持される。 各サービス・モジュ−ルはすべてのアドミニストレーター・アクションユザー
・ログイン／ログアウト、データ・ベース・エラー、単純化されたネトワ−ク管
理プロトコル・トラップあるいはアラームの完全監査トレールをするために自動
的に周期的に獲得される。公知の侵入パタ−ンのデータ・ベースは確実な環境内
のグループの供給さ使用パタ−ン、および習慣的な使用パタ−ンである、モニタ
ーされる、またドミニストレーターは事件をそれに通知した、そのパタ−ンから
分岐する。安全のために、ログは、内部で確実なターミナルを通って局所的にア
クセスされる。しかしながら、外部ログは、外部ログの天然プロトコルに対応す
る内部のＰプロトコルによって内部の記録に安全にコピーされ、偽造を妨げるた
め内エントリによって使用されるためのそれから異なるアイテム・フォーマトに
釈される。代わりに、外部ログはロギング工程によって内部のロボットに課され
たオーバーヘを減少するために分離システムに書くことができる。 「二重チャネル・マネージャー構造」そこで：メッセージの記録のために献呈さ
れて、各ロボットの中に付加的なチル・マネージャーがある、使用されたかもし
れない。ロギングを扱うためのソフトウェアは実行のためにＡＣＥパッケ−ジあ
る他の業務用製品を使用できる。内部および外部ログは、ロガー・デ−モンによ
って非同期に記録される、結果、ロギング・アイテムは、糸ロックアウトあるい
はＩ／Ｏの使用中の態間に脆弱な列で待たずに、書かれた記録に直ぐに行く。非
同期ラッパ−はこれを、ＵＮｌＸ Ｓｙｓｌｏｇｄ＆エラーと違反用のＥｖｅｎ
ｔＬｏｇｇｅｒのような総括的なＯＳロギングによってインプリンできる。また
プログラム状態とメッセージに関する業務処理の情報のためのＯＤ標準のファイ
ル構造。オーブン・データベース会議（ＯＤＢＣ）ロガー；いくつかの非同期行
為ションを有する、それらは直接適用可能ではない。したがって、それは現実的
な代案を再ることができない。 そのときステップ６０で、平易なデ−タはクリア−・デ−タにそれを減少する
ために編集され、Ｃフォーマットに翻訳される；その後に、ＣＩＰフォーマット
は内部のロボト４に、安全ゲ−トウェイの内部通信バス２８上に送られる。 ステップ７０に、内部のロボット２４は再翻訳する。また恐らく改造する。そ
のＣＩＰフォーマットからデ−タは、それが恐らくいくつかの編集変導入して、
出される適用に固有のフォーマットに後退する。 ステップ９０に、デ−タが、それがウェブ・サ−バ１２まで最初に送られるウ
ェブ・セッシ（ＨＴＴＰ）に属する場合、ウェブ・サ−バ１２は、ステップ１１
００で注意されるように、デ−タの目的地へ行っている一方そのネットワ−ク安
全ゲ−トウェイ１０を通ってェブ・サ−バが受けたデ−タのインターネット・ソ
−スにレスポンスを送りして、適用リクエストを始めることができる。 場合、他方では。デ−タは適用サ−バに直接伝達されたデ−タのようなウェブ
・セッショ属さない、内部のロボットは、適用プロキシ２ｅに、およびステップ
１１０ら成り、ステップ１１０４に安全ゲ−トウェイの安全保証工程を仕上げる
、部環境ｌ４へのバス２０ａの上に平易にそのデ−タを送る。図１２ｂに、より
明確に参照すること、場合、ＴＣＰ／ＩＰパケット、利用可能媒体用の適当な通
信プロトコルに組み合わされるデ−タの他のあ本ユニット（あるいは）外部バス
２２によって、そのプロトコルに対応する安全ゲ−トウェイ・キシ４ｅによって
受けられる、それはそうである、ステップ５１に外部ロッをログインした。これ
は、パケットのために完成した移送ステップを再現するパケットのエ数および運
用上の状態コードを記録する。しかしながら、このロボットがバリケードを築か
れるので、詳細なログはされない。ステップ５２に、安全ゲ−トウェイ・プロキ
シ４ｅ、の後に、を備えた、Ｐ／ＩＰによって、あるいは他のある程度の輸送プ
ロトコルによって安全−ウェイへのデ−タの伝達用供給されるカプセル化を除去
する、ステップ３に信層安全（塩素）モジュ−ルへそれを転送するル−ティング
・マネーャー４にデ−タを送る。 ステップ５４に、塩素モジュ−ルはＳＳＬフォーマットを解読する、そのよう
な暗号化がメッセージおよびインターフェースに存在する（ある他の安全スキー
ムＳ−ＨＴＴＰ）場合、を備えた、また差出人のアイデンィィを確証する「メカ
ニズム」によって要求された情報を仲介する、そのような認証が必要で、それに
より、ル−ティング・マネージャー４ｂ易な適用フォーマット・デ−タを供給す
る場合。好ましくは、解読用の公開暗号キー・インフラ。クリア−・デ−タに適
用デ−タを編集し、ステップ６１にそれをＣＩＰォマットに翻訳するル−ティン
グ・マネージャー４ｂは、プロトコル・マネャーに平易な適用フォーマット・デ
−タを４ｃ送る。 プロトコル・マネージャー４ｃはステップ６２にル−ティング・マネーャ４ｂに
ＣＩＰデ−タを実行する。ル−ティング・マネージャー４ｂは、ステップ６４の
内部の通信バス２８内部のロボット２４に、このＩＲＰにカプセル化されたＣＩ
Ｐフォーマト・−タを伝送して、ＩＲＰによりＣＩＰデ−タをカプセル化するス
テップ３にャネル・マネージャー４ａの上へのＣＩＰデ−タを送る。ＩＲＰ輸送
プロトコルは、異なる天然適用および輸送プロトコルから起こＩＰデ−タをカプ
セル化できる。ＣＩＰフォーマット・デ−タは内部のＩＲＰ輸送プロトコルに従
ってカプ化された。 ステップ７１のチャネル・マネージャー２ａによって内部の通信バス２ら受け
られる。チャネル・マネージャー２ａはＩＲＰカプセル化を除去し、ステップ７
３ロトコル・マネージャーにＣＩＰフォーマット・デ−タを２ｃ送るステッ７の
ル−ティング・マネージャー２ｂにＣＩＰフォーマット・デ−タを送る。それが
ＣＩＰフォーマット・デ−タをデ−タを修正するその天然適用フォットに最終的
に再度後部翻訳することは内部のロボット２４におけるプロル・マネージャー２
ｃである、デ−タ、したがって行うこと、したがって、外部バスによって受けら
れた通信から外部ロボット２６によ解読された平易な適用フォーマット・デ−タ
、内部の通信バス２０ａの上ネトワ−ク安全ゲ−トウェイよう素Ｏによって確実
な環境１ ４に供給さる天適用フォーマットにおけるクリア−・デ−タと類似に
なりえない。アクセス制御のための特別のユーザーによる特別のアクションの認
可に導た試験のようなある付加的な受入れ試験はデ−タの合法性を確認するため
こ時点でデ−タに適用できる。摂理は、適応性に強化するためのモジュ−ルを加
工する第三者統合およびテムの柔軟性のために実現するためのこの発明の構成で
作成される。「プラグ・イン」として下に参照されたモジュ−ルは、外部および
内部のットの両方の中に、装置のプロセスフローにおける多様な場所に呼出し可
でる。
【０００８】 実施例、１つの、有用、そのような、プラグ・イン、ＣＩＰが図に関して後記
述されるようなプロトコル要素レベルに解釈された後内部のロボット付られて、
直ぐに下に記述されるようなアクセス制御である、１７−１６．そのようなアク
セス制御プラグ・インが供給される場合プロトコル・マネージャーはその規則の
編集によってアクセス制御を制る。プロトコル・マネージャーはそれに４つの照
会パラメータを送ることによクセス制御を起動する：アクタ−（アクション）、
資源化する、そして属性、文脈依存の試験は同−スから３時以上受けられる、冗
長メッセージを識別するために使用できる。アクセス制御プラグ・インはさらに
するに違いない；そのような文脈依存定をなすために安全ゲ−トウェイよう素Ｏ
によって維持された取引ログへ読りアクセスを有する。この理由のために、侵入
発見は、ログへのアクセス制御インターフェース用できる。 アクセス制御ロジック（ＡＣＬ）は、監視ネットワ−ク活動から、あるいアド
ミニストレーターの制御の下に解析されたパケットに対するネットワク・アドミ
ニストレーターの反応から法則を抽出することにより抽出できる。自動ことの概
念あるいはフロー、アクセス法則、アクセス・リストおよびな／無効のデ−タの
ガイドされた、半自動認識は、装置それ自身に加えて供に意図される。ユーザー
、それらの実現された活動の固定されたサ−バ間の交通をすべり、この交通を解
析し、リストを作製するユーティリティ、また他の適切なパラメータ（アクショ
ンの時および日付）。 それは、サ−バそれ自身からアクセス情報を聞き出すユーティリティを供るよう
に意図される、それである、ウィンドウズ／ＮＴサ−バ（登録）あいＵＮＩＸ（ 登録商標）ステーション（／ｅｔｃ／ｐａｓｓｗｄ）。ＡＣＬデ−タは部分的に オフタイム（初期設定）において、ゲ−トウェイに輸入される。また部分的にオ ンライン（アップデ−ト）。インプリメントされた安全基準はＲＡＤｌＵＳとＴ ＡＣＡＣＳのＲＡＳ基包含することができる。ＴＳＳメインフレーム基準あるい はモデム代案：ニッケル、ＮＴドメイン。 ステップ７４に、それが全試験を通過する場合、プロトコル・マネージャｃは
、その目的地を決定するル−ティング・マネージャー２ｂに適用フォマト・デ−
タを送る。デ−タが適用に直接送られることになっている場合、それはステップ
１１に移る。デ−タがウェブ・サ−バ、ｅ．ｇに出された場合。その適用フォー
マットがＨＩＴＰである場合、ル−ティング・マネージャー２ｂは、ＴＣＰ／Ｉ
Ｐパケットとしてそれカプセル化するステップ９１にウェブ・プロキシへ適用フ
ォーマット・デタ２ｆ送る。 あるいは、他の適当な移送プロトコルがであるものすべてはウェブ・サ−よって
使用されることになっていて、プロトコルで積み重ねる。ステップ９２に、ウェ
ブ・プロキシ２ｆは、バス２０ｂへ再カプセル化さデ−タを最終的に転送する。
ステップ９３のウェブ・サ−バ１２はデ−タを加工する。装置にそれを転送する
前に、ウェブ・サ−バ１ ２つがデ−タをある適ォーマットに翻訳することが予
想される。例えば、ユーザーがＣＧＩ ５つによりウェブ・サ−バ１２の上のＣ
ＧＩリプトを起動する場合、ＨＴＴＰ移送プロトコルでカプセル化されて、要す
る。また、ＣＧＩスクリプトはそのリクエストを適用フォーマットＳＱＬあはバ
ンキングに翻訳する。ウェブ・サ−バ１２は、ネットワ−ク安全ゲ−トウェイ１
０へ適用フォットを後部（ｅ．ｇ。 ＳＱＬ照会（バンキング・コマンド）。）
伝送す；−チング・マネージャー２ｂに適用デ−タを送る前に、ウェブ・プロキ
２ｆそれを受けて、ステップ９４の適用デ−タのＴＣＰ／ＩＰカプセル化除去す
る。 ステップ１１０１のうち、ル−ティング・マネージャー２ｂは適用プロキｅに
適用フォーマット・デ−タを送る。適用プロキシ２ｅは、ＴＣＰ／ＩＰにおける
適用デ−タを再カプセル化する。あるいはネットワ−ク安全ゲ−トウェイ１０へ
のデ−タの伝達のためにあたすべてのプロトコル、またステップ１１０２で内部
環境１２における適用サ−バ１４のもとへタを送る、そこでそのデ−タ（ステッ
プ１１０４に端）のためのこの発明従安全保証処理。外部ドメイン１６に内部の
ドメイン１２から送出デ−タを加工し伝送するトウェイ１０によって実行された
バック工程は、図で識別された要素への続れた言及を備えた、図、１３ａおよび
１３ｂにフローチャートに関して記述れる。１０ａ、１１ａ、また１１ｂ。 図、１３ａに参照して、デ−タより優れるゲ−トウェイ１０による処理はップ
１１０に始まる。 ステップ１２０に、内部のロボット２４は内部システム１２から適用デ−タを
受ける。 ステップ１３０に、デ−タの目的地が決定される：それが間接のセッション（
それはそうである）から起こされる場合、ウェブ・サ−バ１３のようなゲ−トウ
ェイに関連しているセッション、タはゲ−トウェイ（ウェブ・サ−バ）へ中継さ
れる、以来。デ−タが、直接セッション（ユーザー・クライアントは、内部シス
テム・バ１４と直接伝達している）から起こった場合、デ−タの処理がステップ
５に直接移る。ウェブ・サ−バ１３、ステップ１４０にいる間、デ−タはウェブ
・フォーマット（ｅ．ｇ、ＨＴＴＰプロトコル上のＨＴページ）で示されるため
にウェブ・サ−バ１３によって翻訳され再構成さる。そして、加工されるための
ゲ−トウェイよう素Ｏに送られた。このステージでは、実施がステップ１５０に
進む。 ステップ１５０にデ−タは、情報の性質、ｅ．ｇに関係する、ある濾過を備え
たいくつか変個所を備えたＣＩＰフォーマットに減少される。「極秘の」タイト
ルのある物品は内部の域から通過するを実現することきない。その後、デ−タは
外部ロボット２６に通信バス２８上に伝送される。外部ロボット２６は、デ−タ
へのいくつかの変化を備えた適用フォーマッ再度後部ＣＩＰフォーマット・デ−
タを整理する、ステップ１６０、それそを暗号化するか、認証デ−タを備えたそ
れを添付するようなデ−タを備た関されたいくつかの通信安全仕事を実行すると
進む。そして最終的に。安全なデ−タは、外部域５、工程、ステップ１８０を完
成するステップ０へ送られる。工程のより詳細な表示、で、ステップ１１０に始
まって、図１３ｂで示さた適用デ−タは内部システム１２から適用プロキシ２ｅ
、ステップ１２１ま到着する。 ステップ１２２に、適用プロキシ２ｅはＴＣＰ／ＩＰカプセル化（あるいはプ
ロトコルはどである、内部システムのネットワ−クを連携するために）を除去し
、ル−ィグ・マネージャー２ｂにデ−タ（それらは適用フォーマットの中にある
を送る。ル−ティング・マネージャー２ｂは、セッションとのその関係によって
デタステップ１３０の目的地を決定する。デ−タが直接セッションに属する場合
、どれがあるか。 クライアントが内部システム１４を備えた直接伝達するセッションル−ティン
グ・マネージャーは、ステップ１５１に直ぐに移る場合、他方では。デ−タは、
クライアントがウェブ・サ−バ１３のようなゲ−トウェイをする、間接のセッシ
ョンに属する。そして後のリレー、内部システム間の情報、ル−ティング・マネ
ージャｂはウェブ・プロキシ２ｆ、ステップ１４１にデ−タを送る。ウェブ・プ
ロキシ２ｆは、ＴＣＰ／ＩＰ（あるいはウェブ・サ−バ１３あは使用された他の
ゲ−トウェイを連携するために使用される、どちらのプトル）におけるデ−タを
カプセル化する。 そして、ウェブ・サ−バ１３、ステップ１４２までそれを送る。ウェブ・サ−
バ１３は、典型的に装置１０を通って、ウェブ・サ−バ１３内部システム１４ま
で送られた、前の照会への応答であるデ−タを加工する。そして、ウェブ・フォ
ーマット（ｅ．ｇ。 典型的に。）でそれを再現る。ＨＴＴＰプロトコル上のＨ
ＴＭＬデ−タ「ページ」、全に、ＴＣＰ／Ｉカプセル化された。そして、ウェブ
・プロキシ２ｆ、ステップ１４３にこのデ−タを送る。ウェブ・プロキシ２ｆは
ＴＣＰ／ＩＰ（あるいはウェブ・サ−バとのコミケーション用の他のプロトコル
）カプセル化、ステップ１４４を除去する。そして、ル−ティング・マネージャ
ー２ｂに適用デ−タを送る。 ステップ１５１にル−ティング・マネージャー２ｂは、プロトコル・マネージ
ャーに適用タを２ｃ送る。プロトコル・マネージャーはデ−タ、ステップ１ ５
２を加工する。この工程は内部システム１ ２つを保護し、かつ内部のドメイン
に練習された安全ポリシーを実施するために複数の試験あるいは修正を行うこと
を含ることができる。例えば、それはすることができる、ごみ、に、前にそれら
が運搬する情報る、文書あるいはページあるいは、それはある情報を除去するか
隠すことができる。あるいは、すはその内容物を上に基づかせた。プロトコル・
マネージャーはデ−タを入込み方向のそれとは異なっている体系でありうるＣＩ
Ｐに翻訳する。 ステップ１５２の端にＣＩＰデ−タはル−ティング・マネージャー２ｂに送ら
れる。 ステップ１５３にル−ティング・マネージャー２ｂはチャネル・マネーャ２ａ
にデ−タを送る。 ステップ１５４にチャネル・マネージャー２ａは、バス通信用のＩＲＰプロト
コルを備えＩＰデ−タをカプセル化する。そして、外部ロボット２６に通信バス
２８上のデ−タを伝送する。 ステップ１６１にデ−タは、通信バス外部ロボット２６への２８によって到着
する；それ外部ロボットのチャネル・マネージャー４ａ、ステップｌ６２によっ
て扱わる。チャネル・マネージャー４ａはＩＲＰカプセル化を除去し、ル−ティ
ングネージャー４ｂにＣＩＰデ−タを送る。 ステップ１６３にル−ティング・マネージャー４ｂは、外部ロボットのプコル
・マネージャーにデ−タを４ｃ送る。プロトコル・マネージャー４ｃはＣＩＰフ
ォーマットからデ−タを適用ォマット、デ−タへのいくつかの改変個所を備えた
ステップ１６４に翻訳する。デ−タはル−ティング・マネージャー４ｂに送られ
る。 ステップ１７１にル−ティング・マネージャー４ｂは、使用された（ｅ．ｇ。
ＳＳＬ。全モデルによって、デ−タに、暗号化のような複数の通信安全負荷、
ステプ７２を実行する塩素モジュ−ル４ｄへ適用デ−タおよび添付する認証情を
送る。ネットワ−ク・プロキシ、ステップ１７３にル−ティング・マネージャー
がデ−タを最終的に送るル−ティング・マネージャー４ｂにモジュ−ル４が全な
デ−タを送る塩素；適用または固定のデ−タはＴＣＰ／ＩＰ（あるはプトコルは
どちらである、外部域１６でのクライアントとのコミュニケションために）を備
えたカプセル化される。そして、ＮＩＣ、ステップ１７４によって外部域１６へ
送られた。 内部域１２から外部域１６への情報のフローは、このように完成する、スプ１
８０．プロトコル・マネージャーの構造および作動ロボット作動の芯は、図１１
ｂおよび１１ａの中にそれぞれプロトコルネージャー、表示された２ｃおよび４
ｃである。プロトコル・マネージャーは、そばに認可され、安全ゲ−トウェイ１
０にるそれぞれのＣＩＰプロトコルによってインプリメントされる適用プロトル
よって使用されるための、多様な適用フォーマットと安全ゲ−トウェイ０にって
内部的に使用されるＣＩＰフォーマットの間の移行を供給する。プロトコル・マ
ネージャー２ｃ、４ｃはアクセス制御のようなデ−タの内に関係して、多様な他
の仕事を実行できる。
述されるようなプロトコル要素レベルに解釈された後内部のロボット付られて、
直ぐに下に記述されるようなアクセス制御である、１７−１６．そのようなアク
セス制御プラグ・インが供給される場合プロトコル・マネージャーはその規則の
編集によってアクセス制御を制る。プロトコル・マネージャーはそれに４つの照
会パラメータを送ることによクセス制御を起動する：アクタ−（アクション）、
資源化する、そして属性、文脈依存の試験は同−スから３時以上受けられる、冗
長メッセージを識別するために使用できる。アクセス制御プラグ・インはさらに
するに違いない；そのような文脈依存定をなすために安全ゲ−トウェイよう素Ｏ
によって維持された取引ログへ読りアクセスを有する。この理由のために、侵入
発見は、ログへのアクセス制御インターフェース用できる。 アクセス制御ロジック（ＡＣＬ）は、監視ネットワ−ク活動から、あるいアド
ミニストレーターの制御の下に解析されたパケットに対するネットワク・アドミ
ニストレーターの反応から法則を抽出することにより抽出できる。自動ことの概
念あるいはフロー、アクセス法則、アクセス・リストおよびな／無効のデ−タの
ガイドされた、半自動認識は、装置それ自身に加えて供に意図される。ユーザー
、それらの実現された活動の固定されたサ−バ間の交通をすべり、この交通を解
析し、リストを作製するユーティリティ、また他の適切なパラメータ（アクショ
ンの時および日付）。 それは、サ−バそれ自身からアクセス情報を聞き出すユーティリティを供るよう
に意図される、それである、ウィンドウズ／ＮＴサ−バ（登録）あいＵＮＩＸ（ 登録商標）ステーション（／ｅｔｃ／ｐａｓｓｗｄ）。ＡＣＬデ−タは部分的に オフタイム（初期設定）において、ゲ−トウェイに輸入される。また部分的にオ ンライン（アップデ−ト）。インプリメントされた安全基準はＲＡＤｌＵＳとＴ ＡＣＡＣＳのＲＡＳ基包含することができる。ＴＳＳメインフレーム基準あるい はモデム代案：ニッケル、ＮＴドメイン。 ステップ７４に、それが全試験を通過する場合、プロトコル・マネージャｃは
、その目的地を決定するル−ティング・マネージャー２ｂに適用フォマト・デ−
タを送る。デ−タが適用に直接送られることになっている場合、それはステップ
１１に移る。デ−タがウェブ・サ−バ、ｅ．ｇに出された場合。その適用フォー
マットがＨＩＴＰである場合、ル−ティング・マネージャー２ｂは、ＴＣＰ／Ｉ
Ｐパケットとしてそれカプセル化するステップ９１にウェブ・プロキシへ適用フ
ォーマット・デタ２ｆ送る。 あるいは、他の適当な移送プロトコルがであるものすべてはウェブ・サ−よって
使用されることになっていて、プロトコルで積み重ねる。ステップ９２に、ウェ
ブ・プロキシ２ｆは、バス２０ｂへ再カプセル化さデ−タを最終的に転送する。
ステップ９３のウェブ・サ−バ１２はデ−タを加工する。装置にそれを転送する
前に、ウェブ・サ−バ１ ２つがデ−タをある適ォーマットに翻訳することが予
想される。例えば、ユーザーがＣＧＩ ５つによりウェブ・サ−バ１２の上のＣ
ＧＩリプトを起動する場合、ＨＴＴＰ移送プロトコルでカプセル化されて、要す
る。また、ＣＧＩスクリプトはそのリクエストを適用フォーマットＳＱＬあはバ
ンキングに翻訳する。ウェブ・サ−バ１２は、ネットワ−ク安全ゲ−トウェイ１
０へ適用フォットを後部（ｅ．ｇ。 ＳＱＬ照会（バンキング・コマンド）。）
伝送す；−チング・マネージャー２ｂに適用デ−タを送る前に、ウェブ・プロキ
２ｆそれを受けて、ステップ９４の適用デ−タのＴＣＰ／ＩＰカプセル化除去す
る。 ステップ１１０１のうち、ル−ティング・マネージャー２ｂは適用プロキｅに
適用フォーマット・デ−タを送る。適用プロキシ２ｅは、ＴＣＰ／ＩＰにおける
適用デ−タを再カプセル化する。あるいはネットワ−ク安全ゲ−トウェイ１０へ
のデ−タの伝達のためにあたすべてのプロトコル、またステップ１１０２で内部
環境１２における適用サ−バ１４のもとへタを送る、そこでそのデ−タ（ステッ
プ１１０４に端）のためのこの発明従安全保証処理。外部ドメイン１６に内部の
ドメイン１２から送出デ−タを加工し伝送するトウェイ１０によって実行された
バック工程は、図で識別された要素への続れた言及を備えた、図、１３ａおよび
１３ｂにフローチャートに関して記述れる。１０ａ、１１ａ、また１１ｂ。 図、１３ａに参照して、デ−タより優れるゲ−トウェイ１０による処理はップ
１１０に始まる。 ステップ１２０に、内部のロボット２４は内部システム１２から適用デ−タを
受ける。 ステップ１３０に、デ−タの目的地が決定される：それが間接のセッション（
それはそうである）から起こされる場合、ウェブ・サ−バ１３のようなゲ−トウ
ェイに関連しているセッション、タはゲ−トウェイ（ウェブ・サ−バ）へ中継さ
れる、以来。デ−タが、直接セッション（ユーザー・クライアントは、内部シス
テム・バ１４と直接伝達している）から起こった場合、デ−タの処理がステップ
５に直接移る。ウェブ・サ−バ１３、ステップ１４０にいる間、デ−タはウェブ
・フォーマット（ｅ．ｇ、ＨＴＴＰプロトコル上のＨＴページ）で示されるため
にウェブ・サ−バ１３によって翻訳され再構成さる。そして、加工されるための
ゲ−トウェイよう素Ｏに送られた。このステージでは、実施がステップ１５０に
進む。 ステップ１５０にデ−タは、情報の性質、ｅ．ｇに関係する、ある濾過を備え
たいくつか変個所を備えたＣＩＰフォーマットに減少される。「極秘の」タイト
ルのある物品は内部の域から通過するを実現することきない。その後、デ−タは
外部ロボット２６に通信バス２８上に伝送される。外部ロボット２６は、デ−タ
へのいくつかの変化を備えた適用フォーマッ再度後部ＣＩＰフォーマット・デ−
タを整理する、ステップ１６０、それそを暗号化するか、認証デ−タを備えたそ
れを添付するようなデ−タを備た関されたいくつかの通信安全仕事を実行すると
進む。そして最終的に。安全なデ−タは、外部域５、工程、ステップ１８０を完
成するステップ０へ送られる。工程のより詳細な表示、で、ステップ１１０に始
まって、図１３ｂで示さた適用デ−タは内部システム１２から適用プロキシ２ｅ
、ステップ１２１ま到着する。 ステップ１２２に、適用プロキシ２ｅはＴＣＰ／ＩＰカプセル化（あるいはプ
ロトコルはどである、内部システムのネットワ−クを連携するために）を除去し
、ル−ィグ・マネージャー２ｂにデ−タ（それらは適用フォーマットの中にある
を送る。ル−ティング・マネージャー２ｂは、セッションとのその関係によって
デタステップ１３０の目的地を決定する。デ−タが直接セッションに属する場合
、どれがあるか。 クライアントが内部システム１４を備えた直接伝達するセッションル−ティン
グ・マネージャーは、ステップ１５１に直ぐに移る場合、他方では。デ−タは、
クライアントがウェブ・サ−バ１３のようなゲ−トウェイをする、間接のセッシ
ョンに属する。そして後のリレー、内部システム間の情報、ル−ティング・マネ
ージャｂはウェブ・プロキシ２ｆ、ステップ１４１にデ−タを送る。ウェブ・プ
ロキシ２ｆは、ＴＣＰ／ＩＰ（あるいはウェブ・サ−バ１３あは使用された他の
ゲ−トウェイを連携するために使用される、どちらのプトル）におけるデ−タを
カプセル化する。 そして、ウェブ・サ−バ１３、ステップ１４２までそれを送る。ウェブ・サ−
バ１３は、典型的に装置１０を通って、ウェブ・サ−バ１３内部システム１４ま
で送られた、前の照会への応答であるデ−タを加工する。そして、ウェブ・フォ
ーマット（ｅ．ｇ。 典型的に。）でそれを再現る。ＨＴＴＰプロトコル上のＨ
ＴＭＬデ−タ「ページ」、全に、ＴＣＰ／Ｉカプセル化された。そして、ウェブ
・プロキシ２ｆ、ステップ１４３にこのデ−タを送る。ウェブ・プロキシ２ｆは
ＴＣＰ／ＩＰ（あるいはウェブ・サ−バとのコミケーション用の他のプロトコル
）カプセル化、ステップ１４４を除去する。そして、ル−ティング・マネージャ
ー２ｂに適用デ−タを送る。 ステップ１５１にル−ティング・マネージャー２ｂは、プロトコル・マネージ
ャーに適用タを２ｃ送る。プロトコル・マネージャーはデ−タ、ステップ１ ５
２を加工する。この工程は内部システム１ ２つを保護し、かつ内部のドメイン
に練習された安全ポリシーを実施するために複数の試験あるいは修正を行うこと
を含ることができる。例えば、それはすることができる、ごみ、に、前にそれら
が運搬する情報る、文書あるいはページあるいは、それはある情報を除去するか
隠すことができる。あるいは、すはその内容物を上に基づかせた。プロトコル・
マネージャーはデ−タを入込み方向のそれとは異なっている体系でありうるＣＩ
Ｐに翻訳する。 ステップ１５２の端にＣＩＰデ−タはル−ティング・マネージャー２ｂに送ら
れる。 ステップ１５３にル−ティング・マネージャー２ｂはチャネル・マネーャ２ａ
にデ−タを送る。 ステップ１５４にチャネル・マネージャー２ａは、バス通信用のＩＲＰプロト
コルを備えＩＰデ−タをカプセル化する。そして、外部ロボット２６に通信バス
２８上のデ−タを伝送する。 ステップ１６１にデ−タは、通信バス外部ロボット２６への２８によって到着
する；それ外部ロボットのチャネル・マネージャー４ａ、ステップｌ６２によっ
て扱わる。チャネル・マネージャー４ａはＩＲＰカプセル化を除去し、ル−ティ
ングネージャー４ｂにＣＩＰデ−タを送る。 ステップ１６３にル−ティング・マネージャー４ｂは、外部ロボットのプコル
・マネージャーにデ−タを４ｃ送る。プロトコル・マネージャー４ｃはＣＩＰフ
ォーマットからデ−タを適用ォマット、デ−タへのいくつかの改変個所を備えた
ステップ１６４に翻訳する。デ−タはル−ティング・マネージャー４ｂに送られ
る。 ステップ１７１にル−ティング・マネージャー４ｂは、使用された（ｅ．ｇ。
ＳＳＬ。全モデルによって、デ−タに、暗号化のような複数の通信安全負荷、
ステプ７２を実行する塩素モジュ−ル４ｄへ適用デ−タおよび添付する認証情を
送る。ネットワ−ク・プロキシ、ステップ１７３にル−ティング・マネージャー
がデ−タを最終的に送るル−ティング・マネージャー４ｂにモジュ−ル４が全な
デ−タを送る塩素；適用または固定のデ−タはＴＣＰ／ＩＰ（あるはプトコルは
どちらである、外部域１６でのクライアントとのコミュニケションために）を備
えたカプセル化される。そして、ＮＩＣ、ステップ１７４によって外部域１６へ
送られた。 内部域１２から外部域１６への情報のフローは、このように完成する、スプ１
８０．プロトコル・マネージャーの構造および作動ロボット作動の芯は、図１１
ｂおよび１１ａの中にそれぞれプロトコルネージャー、表示された２ｃおよび４
ｃである。プロトコル・マネージャーは、そばに認可され、安全ゲ−トウェイ１
０にるそれぞれのＣＩＰプロトコルによってインプリメントされる適用プロトル
よって使用されるための、多様な適用フォーマットと安全ゲ−トウェイ０にって
内部的に使用されるＣＩＰフォーマットの間の移行を供給する。プロトコル・マ
ネージャー２ｃ、４ｃはアクセス制御のようなデ−タの内に関係して、多様な他
の仕事を実行できる。
【０００９】 図１４で示されたようにプロトコルｍａｎａｇｅｒｓ２ｂおよび４ｂ；それぞ
れの入力待ち行列０、４１０を有する。また出力列２５０、４５０、それらの間
の複数の相似性の処理要素また共通の２つの物。内部の入力待ち行列２１０は、
ル−ティング・マネージャー２ｂ、天然適ロトコル・フォーマットの中にある４
ｂ、および外部入力待ち行列４１ か来るデ−タを保持する、ＣＩＰ適用フォー
マットの中にあるル−ティグ・ネージャーからデ−タを保持する。内部の出力列
２５０は後にＣＩＰ適用フォーマットの中にル−ティングネージャー２ｂあるい
は４ｂにデ−タ踏面を固定する、を備えた、天然適用ォーマットからＣＩＰに翻
訳される。また、外部出力列４５０は、ＣＩＰから翻訳されたデ−タを保持する
。そして、ル−ティング・マネージャー２ｂ（天然適用フォーマット５０ける４
ｂ）へ行く。 それぞれのプロトコル２マネージャーｃの入出力列の間の処理物、４ｃ、ショ
ン・マネージャー２２０、４２０である、それはセッション・ハンド２０、４３
０のそれらのそれぞれのセット用作業量バランスを供給する。シングル・セッシ
ョン体２４０、４４０を一度に扱う各セッション・ハンラ。より携帯セッション
、２３０、４３０は決定する；入込みデ−タは属するれ「セッション」、また、
そのようなセッションが活性でない場合、ハンドラは１つを始める。セッション
物２４０、４４０のそれぞれのセット；それらは総括的なセッン・プロセッサー
から成る。 デ−タを現在結合することにより、プロトコル・マネージャーによって受れる
、プロトコル・マネージャーの体容器１３００から２ｃ ４ｃ得られ２ｃ４ｃお
よびセッション記録、セッション物２４０、４４０のそれぞれセットにおける各
エレメントは、それぞれのセッションを加工する、どれがるか。 必ず接触するパケットではなく多重こととして安全ゲ−トウェイによっなされ
たそれぞれの通信ストリ−ム。しかしながら、２つのセッションは、シングル要
素に通常結合される。 「ツイン・セッション」、 常に。 連結された２つのセッションは、情報の流れ（すなわちその１つのセッン・ハ
ンドル受信デ−タ、他方のハンドル発信デ−タ）の同じサーキット関係している
。 継手は、サ−バの状態および全体のサーキットの前後関係に両方ともセッンが同
期されることが必要である。 同様な］ｙ メカニズムは内部のロボット（より正確に）のために供給される。 外部ロボットのセッション物を同期することができるための、内部のロトのセ
ッション物；内部のロボットのセッション物は、安全を維持するたに装置として
外部ロボットのマスタ−およびそれらの役割をする。 各セッション体２４０、４４０は体容器１３００へデ−タを書くことがでる。 どれによって処方されたシーケンス・オ−ダ−が、そのプロトコルによっ方され
たフォーマットにおけるセッション体によって受けられたデ−タを工るための適
用可能なプロトコルであることを決めるために下に記述されようにセッション物
２４０、４４０はプロトコル要素表（ＰＥＴ）１３１を調べる。セッション物は
各々、出力列２５０、４５０のそれぞれの１つにそれらのぞれの移行および編集
工程の出力を書く。 プロトコル・マネージャーの共有された格納要素、体容器１３００およびＰＥ
Ｔ ３１０は、列２１０、２５０、４１０、０の中に保持されるものより自然界
においてより全体的かそれほど仮設でい報を保持する。体容器１３００における
情報はどちらかである、全体の安全ゲ−トウェイに対して全体的。あるいは全体
的；のために各ユーザー；あるいは各セッションのために。あるいは、セッショ
ン広く、どれが、シングル・プロトコル層のための局情報あるいはシングル・パ
ケットのための情報に対立するものとしての全のッションに対して全体的で、あ
るか。 例えば、体容器１３００におけるユーザー名エントリは、ユーザーとサ−バの間
送されたすべての通信に対して全体的である。他方ではＰＥＴ １３１０デ−タ
を減少するかあるいはそれを改造するためにどのプロトコル要素用するべきであ
るか、特別のセッション体が選択する規則を執行するためにれが使用されるとい
う点で全体的である。 セッション物のうちの１つのブロック図は図１５で示される。セッション体２
４０、４４０は、セッション内のデ−タ内に遭遇した異なロトコルの扱いのため
に多様なプロトコル要素１７１０を使用する。セッション体２４０、４４０は決
定するためにＰＥＴ１３１０を調べるのプロトコル、次に使用するための要素１
７１０。プロトコル要素１７１０沈積物情報、に、また体容器１３００から情報
を戻す。それは終わった。 セッション体２４０、４４０、コ−ル・パッカ−／ｕｎｐａｃｋｅｒｓらの同
じプロトコルに対応する７２０はセッション体２４０、４４０によて力されるた
めのバイトのシーケンスに体容器１３００に残された必要情を合化するためにプ
ロトコル要素１７１０の選択での際に。プロトコル・マネージャーを通って、適
用フォーマットにおける安全ゲ−ェイ１０へ中へ２ｃおよび４ｃ入るデ−タのフ
ローは、図、１６で示される。デ−タはステップ１５００にその天然適用フォー
マットに着く。そして、プロトコル・マネージャーによって列２１０から２ｃお
よび４まれる；それは、ル−ティング・マネージャー２ｂ、４ｂから来るデ−タ
含している。この適用フォーマット・デ−タはステップ１５１０にセッション・
マネャー２２０に転送される。 ステップ１５２０に、セッション・マネージャー２２０は利用可能セッン・ハ
ンドラ２３０を位置する。そして、そのセッションｈａｎｄｅｒにデ−タ・バッ
ファーを送る。 ステップ１５３０にセッション・ハンドラ２３０はセッションを現在走査する
、活性、ある加工する用対応するセッション体２４０にデ−タを送る前に、デ−
タがどセションを属するか決めるための「オーブン。」デ−タがオーブン・セッ
ションのうちの１つに属さない場合セッション・ハンドラ２３０は新規なセッシ
ョン体２４０を始めて、デタすべてのこれを送る。下記から成ること： ステップ１５３０．セッション体２４０は、体容器（あるいは）１３００、ス
テップ１５４０−タ・バッファーを格納することにより始まる。セッション体２
４０は、ステップ１５５０にＣＩＰフォーマットにおけるア−・デ−タにそれを
減少して、デ−タを加工するために使用されるべきのロトコル要素１７１０のア
イデンティティを得るためにＰＥＴ １３１を調る。他のプロトコルがタイトル
をつける場合、デ−タを加工するために必要でるデ−タはステップに加工する用
次のプロトコル要素１７１０上へ渡される１５６０、プロトコルその要素１７１
０はバッファーからデ−タを回収するでその、あるいは１３００、またその工程
が完全な場合、ステップ１５７０加工された結果をそこに蒸着する。デ−タが、
ステップ１５８０に現在それを加工する、プロトコル要素１７によって完全に加
工された場合セッション体はより多くのプロトコル要素がデ−タのために必要か
どうェックするためにステップ１５５０を繰り返す。すべきだ、格納されたバッ
ファーで供給されるデ−タ、その、あるいはプコルが満たされる前に、１３００
の端デ−タはステップ１５８０に不完全であると仮定される。 デ−タが不完全な場合 プロトコル要素１７１０、およびセッション体２４０、４４０は、それそれぞ
れの仕事を完成できない。したがって、別のバッファーは入力チャル連続ステッ
プ１５１０から読まれる。また、このセッションのデ−タがセッション・マネー
ジャーによってそ送られるまで、セッション体は待つ。これ以上のプロトコル要
素がステップ１５６０に必要でない場合、セッション体２４０；それはパックへ
のセッション体によって使用されめにプロトコル要素に対応するパッカ−７２０
を使用する、バッファーかデタ、で、その、あるいはステップ１５９０にバイト
の直列ストリ−ムへ３００．バイトのこのＣＩＰにフォーマットされたストリ−
ムは、出力列２５０踏ル−ティング・マネージャーに転送される。このポイント
で処理サイクルは完全である、ステップ１６００．図に参照すること。 ＣＩＰ
から適用フォーマットまで内容物デ−タを変換する過程は記述さステップ１７０
０からスタートする。プロトコル・マネージャー２ｃおよび４ｃは入力待ち行列
１４１０からデを読み、セッション・マネージャー、ステップ２７１０ ４２０
にデ−タ送る。 次セッション・マネージャー４２０は、利用可能セッション・ハンドラ、ップ
７２０ ４３０のうちの１つまでデ−タ・バッファーを送る。 利用可能セッション・ハンドラは、デ−タが既存セッションに属するか新セッシ
ョンを生成する必要があるかどうかチェックする。セッション・ハンドラは、適
切なセッション体、ステップ７３０ ４４０−タを送る。セッション体４４０；
それはデ−タに包含されたＣＩＰ情報を開梱するた多様なｕｎｐａｃｋｅｒｓ
７２０を使用し、ＯＲ、ステップ７４０ １０に個別デ−タ・アイテムを格納す
る。セッション体４４０はステップ７５０に、ＰＥＴ１３１０および情報を調る
で、その、あるいは今体容器１３００にあるデ−タを加工するべき次のプトコル
要素のアイデンティティ用の１３００．そのようなプロトコル要素７１０、ステ
ップ７６０がある場合 制御はそれに通過する。 また、そのプロトコル要素１７１０は、ＯＲ、ステップ７７０ １３０おける
デ−タからその適用層デ−タを改造する。ステップ７８０にプロトコル要素７１
０は決定する。作動が完成する（。それに際して容器実施は次のプロトコル要素
の決定にステップ７５０に再開する）場合。そうでなければ、実施は最初に進む
；より多くのデ−タは待たれる、ステ２７１０．全プロトコル要素が排出される
場合、ステップ７６０。改造されたデ−タ（どれが体容器１３１０に残されるか
は、「適用でルィングすることへの列」４５０に送られる、また、工程サイクル
が完全な９である。） 試料ＰＥＴ１３１０は図、１８で示される。延伸で見られたように、ＰＴ１３
１０は、処理（ＴＣＰ／ＩＰプロトコル要素が使用される場合）タートのような
、与点でどのプロトコル要素が選択されているか示す、そしての後。ＰＥＴ１３
１０は、与えられたプロト要素の使用を起こすために、どの規則および状況が要
求されるか示す。 上に説明されたように、セッション・ハンドラはどのプロトコル要素が変換工
程で定められたテジで使用されることになっているか決めるためにＰＥＴ１３１
０を調べる。ＣＩＰとＩＲＰのプロトコルこの発明に従って安全ゲ−トウェイの
内部ＣＩＰおよびＩＲＰプロトコルは、ロボットのリンクにおけるメッセージの
天然プロトコルを交換する。この方法で、デ−タ転送は、定められたプロトコル
内の特定のデ−タ内容ためにインプリメントされる。例えば、特別の適用プロト
コルによるメッセージがそのプロトコルのため部ロボットのＣＩＰ翻訳機がコー
ド化できる、外部ロボットによって分解れ場合、適用のＧＵＩを供給する画像情
報。
れの入力待ち行列０、４１０を有する。また出力列２５０、４５０、それらの間
の複数の相似性の処理要素また共通の２つの物。内部の入力待ち行列２１０は、
ル−ティング・マネージャー２ｂ、天然適ロトコル・フォーマットの中にある４
ｂ、および外部入力待ち行列４１ か来るデ−タを保持する、ＣＩＰ適用フォー
マットの中にあるル−ティグ・ネージャーからデ−タを保持する。内部の出力列
２５０は後にＣＩＰ適用フォーマットの中にル−ティングネージャー２ｂあるい
は４ｂにデ−タ踏面を固定する、を備えた、天然適用ォーマットからＣＩＰに翻
訳される。また、外部出力列４５０は、ＣＩＰから翻訳されたデ−タを保持する
。そして、ル−ティング・マネージャー２ｂ（天然適用フォーマット５０ける４
ｂ）へ行く。 それぞれのプロトコル２マネージャーｃの入出力列の間の処理物、４ｃ、ショ
ン・マネージャー２２０、４２０である、それはセッション・ハンド２０、４３
０のそれらのそれぞれのセット用作業量バランスを供給する。シングル・セッシ
ョン体２４０、４４０を一度に扱う各セッション・ハンラ。より携帯セッション
、２３０、４３０は決定する；入込みデ−タは属するれ「セッション」、また、
そのようなセッションが活性でない場合、ハンドラは１つを始める。セッション
物２４０、４４０のそれぞれのセット；それらは総括的なセッン・プロセッサー
から成る。 デ−タを現在結合することにより、プロトコル・マネージャーによって受れる
、プロトコル・マネージャーの体容器１３００から２ｃ ４ｃ得られ２ｃ４ｃお
よびセッション記録、セッション物２４０、４４０のそれぞれセットにおける各
エレメントは、それぞれのセッションを加工する、どれがるか。 必ず接触するパケットではなく多重こととして安全ゲ−トウェイによっなされ
たそれぞれの通信ストリ−ム。しかしながら、２つのセッションは、シングル要
素に通常結合される。 「ツイン・セッション」、 常に。 連結された２つのセッションは、情報の流れ（すなわちその１つのセッン・ハ
ンドル受信デ−タ、他方のハンドル発信デ−タ）の同じサーキット関係している
。 継手は、サ−バの状態および全体のサーキットの前後関係に両方ともセッンが同
期されることが必要である。 同様な］ｙ メカニズムは内部のロボット（より正確に）のために供給される。 外部ロボットのセッション物を同期することができるための、内部のロトのセ
ッション物；内部のロボットのセッション物は、安全を維持するたに装置として
外部ロボットのマスタ−およびそれらの役割をする。 各セッション体２４０、４４０は体容器１３００へデ−タを書くことがでる。 どれによって処方されたシーケンス・オ−ダ−が、そのプロトコルによっ方され
たフォーマットにおけるセッション体によって受けられたデ−タを工るための適
用可能なプロトコルであることを決めるために下に記述されようにセッション物
２４０、４４０はプロトコル要素表（ＰＥＴ）１３１を調べる。セッション物は
各々、出力列２５０、４５０のそれぞれの１つにそれらのぞれの移行および編集
工程の出力を書く。 プロトコル・マネージャーの共有された格納要素、体容器１３００およびＰＥ
Ｔ ３１０は、列２１０、２５０、４１０、０の中に保持されるものより自然界
においてより全体的かそれほど仮設でい報を保持する。体容器１３００における
情報はどちらかである、全体の安全ゲ−トウェイに対して全体的。あるいは全体
的；のために各ユーザー；あるいは各セッションのために。あるいは、セッショ
ン広く、どれが、シングル・プロトコル層のための局情報あるいはシングル・パ
ケットのための情報に対立するものとしての全のッションに対して全体的で、あ
るか。 例えば、体容器１３００におけるユーザー名エントリは、ユーザーとサ−バの間
送されたすべての通信に対して全体的である。他方ではＰＥＴ １３１０デ−タ
を減少するかあるいはそれを改造するためにどのプロトコル要素用するべきであ
るか、特別のセッション体が選択する規則を執行するためにれが使用されるとい
う点で全体的である。 セッション物のうちの１つのブロック図は図１５で示される。セッション体２
４０、４４０は、セッション内のデ−タ内に遭遇した異なロトコルの扱いのため
に多様なプロトコル要素１７１０を使用する。セッション体２４０、４４０は決
定するためにＰＥＴ１３１０を調べるのプロトコル、次に使用するための要素１
７１０。プロトコル要素１７１０沈積物情報、に、また体容器１３００から情報
を戻す。それは終わった。 セッション体２４０、４４０、コ−ル・パッカ−／ｕｎｐａｃｋｅｒｓらの同
じプロトコルに対応する７２０はセッション体２４０、４４０によて力されるた
めのバイトのシーケンスに体容器１３００に残された必要情を合化するためにプ
ロトコル要素１７１０の選択での際に。プロトコル・マネージャーを通って、適
用フォーマットにおける安全ゲ−ェイ１０へ中へ２ｃおよび４ｃ入るデ−タのフ
ローは、図、１６で示される。デ−タはステップ１５００にその天然適用フォー
マットに着く。そして、プロトコル・マネージャーによって列２１０から２ｃお
よび４まれる；それは、ル−ティング・マネージャー２ｂ、４ｂから来るデ−タ
含している。この適用フォーマット・デ−タはステップ１５１０にセッション・
マネャー２２０に転送される。 ステップ１５２０に、セッション・マネージャー２２０は利用可能セッン・ハ
ンドラ２３０を位置する。そして、そのセッションｈａｎｄｅｒにデ−タ・バッ
ファーを送る。 ステップ１５３０にセッション・ハンドラ２３０はセッションを現在走査する
、活性、ある加工する用対応するセッション体２４０にデ−タを送る前に、デ−
タがどセションを属するか決めるための「オーブン。」デ−タがオーブン・セッ
ションのうちの１つに属さない場合セッション・ハンドラ２３０は新規なセッシ
ョン体２４０を始めて、デタすべてのこれを送る。下記から成ること： ステップ１５３０．セッション体２４０は、体容器（あるいは）１３００、ス
テップ１５４０−タ・バッファーを格納することにより始まる。セッション体２
４０は、ステップ１５５０にＣＩＰフォーマットにおけるア−・デ−タにそれを
減少して、デ−タを加工するために使用されるべきのロトコル要素１７１０のア
イデンティティを得るためにＰＥＴ １３１を調る。他のプロトコルがタイトル
をつける場合、デ−タを加工するために必要でるデ−タはステップに加工する用
次のプロトコル要素１７１０上へ渡される１５６０、プロトコルその要素１７１
０はバッファーからデ−タを回収するでその、あるいは１３００、またその工程
が完全な場合、ステップ１５７０加工された結果をそこに蒸着する。デ−タが、
ステップ１５８０に現在それを加工する、プロトコル要素１７によって完全に加
工された場合セッション体はより多くのプロトコル要素がデ−タのために必要か
どうェックするためにステップ１５５０を繰り返す。すべきだ、格納されたバッ
ファーで供給されるデ−タ、その、あるいはプコルが満たされる前に、１３００
の端デ−タはステップ１５８０に不完全であると仮定される。 デ−タが不完全な場合 プロトコル要素１７１０、およびセッション体２４０、４４０は、それそれぞ
れの仕事を完成できない。したがって、別のバッファーは入力チャル連続ステッ
プ１５１０から読まれる。また、このセッションのデ−タがセッション・マネー
ジャーによってそ送られるまで、セッション体は待つ。これ以上のプロトコル要
素がステップ１５６０に必要でない場合、セッション体２４０；それはパックへ
のセッション体によって使用されめにプロトコル要素に対応するパッカ−７２０
を使用する、バッファーかデタ、で、その、あるいはステップ１５９０にバイト
の直列ストリ−ムへ３００．バイトのこのＣＩＰにフォーマットされたストリ−
ムは、出力列２５０踏ル−ティング・マネージャーに転送される。このポイント
で処理サイクルは完全である、ステップ１６００．図に参照すること。 ＣＩＰ
から適用フォーマットまで内容物デ−タを変換する過程は記述さステップ１７０
０からスタートする。プロトコル・マネージャー２ｃおよび４ｃは入力待ち行列
１４１０からデを読み、セッション・マネージャー、ステップ２７１０ ４２０
にデ−タ送る。 次セッション・マネージャー４２０は、利用可能セッション・ハンドラ、ップ
７２０ ４３０のうちの１つまでデ−タ・バッファーを送る。 利用可能セッション・ハンドラは、デ−タが既存セッションに属するか新セッシ
ョンを生成する必要があるかどうかチェックする。セッション・ハンドラは、適
切なセッション体、ステップ７３０ ４４０−タを送る。セッション体４４０；
それはデ−タに包含されたＣＩＰ情報を開梱するた多様なｕｎｐａｃｋｅｒｓ
７２０を使用し、ＯＲ、ステップ７４０ １０に個別デ−タ・アイテムを格納す
る。セッション体４４０はステップ７５０に、ＰＥＴ１３１０および情報を調る
で、その、あるいは今体容器１３００にあるデ−タを加工するべき次のプトコル
要素のアイデンティティ用の１３００．そのようなプロトコル要素７１０、ステ
ップ７６０がある場合 制御はそれに通過する。 また、そのプロトコル要素１７１０は、ＯＲ、ステップ７７０ １３０おける
デ−タからその適用層デ−タを改造する。ステップ７８０にプロトコル要素７１
０は決定する。作動が完成する（。それに際して容器実施は次のプロトコル要素
の決定にステップ７５０に再開する）場合。そうでなければ、実施は最初に進む
；より多くのデ−タは待たれる、ステ２７１０．全プロトコル要素が排出される
場合、ステップ７６０。改造されたデ−タ（どれが体容器１３１０に残されるか
は、「適用でルィングすることへの列」４５０に送られる、また、工程サイクル
が完全な９である。） 試料ＰＥＴ１３１０は図、１８で示される。延伸で見られたように、ＰＴ１３
１０は、処理（ＴＣＰ／ＩＰプロトコル要素が使用される場合）タートのような
、与点でどのプロトコル要素が選択されているか示す、そしての後。ＰＥＴ１３
１０は、与えられたプロト要素の使用を起こすために、どの規則および状況が要
求されるか示す。 上に説明されたように、セッション・ハンドラはどのプロトコル要素が変換工
程で定められたテジで使用されることになっているか決めるためにＰＥＴ１３１
０を調べる。ＣＩＰとＩＲＰのプロトコルこの発明に従って安全ゲ−トウェイの
内部ＣＩＰおよびＩＲＰプロトコルは、ロボットのリンクにおけるメッセージの
天然プロトコルを交換する。この方法で、デ−タ転送は、定められたプロトコル
内の特定のデ−タ内容ためにインプリメントされる。例えば、特別の適用プロト
コルによるメッセージがそのプロトコルのため部ロボットのＣＩＰ翻訳機がコー
ド化できる、外部ロボットによって分解れ場合、適用のＧＵＩを供給する画像情
報。
【００１０】 同様に、内部ロボットの翻訳機は、それらのグラフィックスに対応するユ−ザ
−ウスおよびキ−ボ−ド入力のためのＣＩＰコ−ド化をインプリメントできる。
この実例では、コマンド・コードが通過されない。シンタックスおよび確実な環
境に通過することを実現されることになってる定められたプロトコルの機能的な
組の許容可能なサブ・セットを定義する程、定義と同様に、ＣＩＰにおけるその
表示ロボット工程における異なる時に生じて、複数の分離ステップに実行さる。
第１、ユーザーは、確実な環境に通過することを実現されるプロトコルあるいロ
トコル特性のセットを識別する。これは、ストリング直定数を扱うプロトコル定
義言語（「ペダル」）として参照さ第四世代言語（４ＧＬ）で好適に行うことが
できる。そして、目的言語として「Ｃ」に取ってかわることにバイナリ仮想計算
語（ＶＭＬ）を供給する。選択されたコマンド・コードは、翻訳機によって一方
の明示的にあるいはにコード化されることにより通過できる。 例えば、紙幣観察適用はメッセージによって使用されるための標準の規則により
応するＣＩＰプロトコルを生成することによりこの発明に従って固定できる然プ
ロトコル、および安全な環境のネットワ−ク・アドミニストレーターがる用車両
として紙幣観察適用を使用できる攻撃に対して安全であるとえる天プロトコル内
容物から選択すること、確実な環境。単純性のために、次のことを仮定する、下
記コマンド、また流れる、シースは紙幣観察プロトコルにより所定である： ｌ） 「ログイン」コマンドはその議論として「ｕｓｅｒｎａｍｅ」（８ラクタ
ー、正確に）および「パスワード」（８キャラクター、正確に）をえ出されるべ
きである；その後 ２） ユーザーは、３つのコマンドのうちの１つを発行することを選択で：印刷
する。 どちらかへのビュ−あるいはログアウトは、スクリ−ン上の紙幣を見るた紙幣の
アウトプットを作製する。あるいは適用をそれぞれ中止すること。プリントまた
はビュ−のコマンドに対する反応が完成した場合、しかしならシステムは、新規
なコマンドを受けるための準備ができている。 対照的に、ログアウト・コマンドを受けた後その初期状態へのシステム・リセ
ットそれで、ログイン・コマンドにその後対応する。紙幣ビューアの天然適用プ
ロトコルを備えた弾性なコマンド・シーケンスめの対応するＣＩＰプロトコル・
フォーマットは、以下のとおりである： １） ユ−ザ名＋パスワード（最初の８バイトは、アスキーコードでユ−ザ名を
ャラクター再現する）を再現する１６バイトの未知の構造化したストリングまた
、最後の８バイトは、来たアスキーコード・ペアにおけるパスワーこのフォーマ
ットを中へ制限したと再現する。 ２） 公知のストリングの限定的セットは、３つのコマンド：プリント用の０と
３、ビュ−用の１およびログアウト用の２用が次の２ビットによって識別される
３） 印刷コマンド（＝0又は＝3）ビュ−（＝１）は他マンド識別子 が続くことができる。 ４） コマンド・ログアウトはどのシーケンスを終了する。 １６キャラクターの初期の有効なストリングが受けられた後、通訳は２方法の
う１つに対応する：ＣＩＰ通訳がログアウト・コマンドを受けるときは常に、「
２」としてそ期状態への通訳リセットをコード化する、また次の１６バイトを待
つ、配する。プリント（＝0又は＝3）あるいはビュ−（＝１）が代わりに現われ
る合 通訳は３つのコマンドのコードのうちのいかなるものにでも対応する。ビ
ット果実汁のすべてのシーケンス以来；２５セントによって再現されるのコマン
ドを備えた有効な解釈を有する、余分のビット組合せのうちの１を成する。なお
、解釈が冗長組合せのために必要なように、任意のコマンドはこの組合せによっ
てこの実施例において再現されるた選択される。リント・コマンド。 ログイン・コマンドは実際は「定数」ストリングであることに注意する。した
がって、それは、ＣＩＰプロトコルによって明示的にコード化されない。１６の
文字列が受けられる時に、通訳がログイン以外のコマンドを加工すとができない
ので、他方のロボットにおける補足的な通訳はログインを暗に過し再挿入できる
、ノルは他の環境の下に加工されたログインである。したがって、ＬＯＣＩＮあ
るいは他のそのような「定量ストリング」に対するコマ識別子値を明示的に供給
することには、意味はない。数には日付を除いて、両立性検査のために、論理上
関連された「健全範囲伴う。シングル日付フォーマットだけが、ＩＰ翻訳機に与
えられたどのものある通訳から実現される。同様に、未知かつ非体系的のストリ
ングは、ストリングのために予期された長さ限界を述「健全検査」値を供給され
る。 ストリングの要素はキャラクターの連続範囲に写像される。したがって、このＣ
ＩＰコ−ド工程は、デ−タの容疑者クラスの適用レベメッセージを同時に取り除
き、翻訳機作動の転化が内部の域を傷つけない効コマンドの（無意味であるが）
シーケンスを作製するので、内部のロボトの全性を確認する。ＩＲＰは使用ｍ用
適応された、単純化された移送プロトコルである、内部び外部ロボットの間での
ようなポイント対ポイントの通信リンク。通信が二地点間であるので、ル−ティ
ング情報は移送プロトコルに必要でい。 １つの実施で、ＩＲＰ；備蓄使用用利用可能に作成されている残存バイトを備え
た４がのとおりである１２バイトを備えたＣＩＰデ−タへのヘッダーから成る：
第１のバイトは無効である； 第２のバイト；パケット・エスおよびｉ．ｅを含有する、静止可変がトラックへ
使用される、０から１２７までの数、また割り当れたパケット・エスをインクリ
メントする；また、第３、第４のバイトは、ＣＩＰメッセージにおけるデ−タの
長さをする。 形式的検定 その役割を完了するための安全ソフトウェア製品については、それが全体確実
であるべきである、それはそうである。製品をそれがその仕様に応じることを示
すために証明しなければならない。 技術アルゴリズム／技術のユニークな組合せ、そしてそれらの間のシングル・
リンクを備えた２つのロボットをデカッングして、強く記述された特定の構成、
内部のロボットのみの正確さの確にり全体の安全ゲ−トウェイを証明することを
１つを可能にする。ここに記述されるような減少方法論の使用によって、何でも
が通信バスを送ったので、これはそのようである；上に説明されるようにその解
釈は無味デ−タにありうるがそれが確認されると仮定して、内部のロボットによ
有効解釈を有する。更に、できるだけシンプルな内部のロボットを維持する、内
部ロボットおよびロボットへ安全仕事の分離、により、を備えた、全、外部ロボ
ットで実施れプロトコルを解析する「激しい」作業、そしてバス・ドライバ−を
単純化するためのＩＲＰのようなシンプルな点間内部ロボット・プロトコルによ
りより多く、作成する、内部のロボッの認、実際的なゴール。内部のロボットお
よびそれがトップダウン・アプロ−チをとることでありことを形式的に確認する
ために、仮定、第１、ロボット・モジュ−ル（ＰＭＭ、ＣＭ、Ａｐｐ−プロキシ
、ウェブ・プロキシ）はそれらの組合せが所望の性（ウェブ・プロキシおよび適
用プロキシから出力が応じるべきＣへの入力適切な解釈、内部適用のオーナーに
よって供給される仕様）を産することを明して、確認される。各モジュ−ルの特
性は、共用メモリにおける記憶領域しても（―）、それに利用可能な多様な出力
チャネルでそれ作製する出力で発現できる。あるいは、あるためのＩ／Ｏポート
が周辺機器／装置に接続するように、が受ける入力の仮定は前調整フォーマット
の中にある。これは、Ｉ／Ｏチャネルでは個別モジュ−ル検定により全面的な特
性の検可能にする。不必要な情報を抜き取ると、ＣＳＰあるいはその誘導体のよ
うな仕様言語のようなシステムについて記述できる。そして、スピンとＦＤＲ２
のような装置によって証明される。したがって、内部のロボットの確認はその入
力チャネルの正確さを仮定しその出力チャネル特性に対する各モジュ−ルの確認
になる。その後、ものは、そのサブ・モジュ−ルにそれを分解することにより各
々別モジュ−ルであることを証明することに再び移ることができる。 分解の工程は、「原子の」コード部分機能および手順のレベルまで繰り返分解
はもはや付けることができない。しかしながら、これらのコード部分は通常小型
である、ｅ「直接」方法に証明可能である。これらの方法はマニュアル議論を包
含することができる、定理試験器（ＮＱＴＨＭ。 ＡＣＬ２、ＰＶ。）およびモ
デル・チェッ（回る、ステップ）のような機械化された方法と同様に。 発明は現在好ましい実施への特別の言及を備えた記述された、変動と修正が、発
明の有効成分およびスコ−プ内に可能なことは当業者白である。
−ウスおよびキ−ボ−ド入力のためのＣＩＰコ−ド化をインプリメントできる。
この実例では、コマンド・コードが通過されない。シンタックスおよび確実な環
境に通過することを実現されることになってる定められたプロトコルの機能的な
組の許容可能なサブ・セットを定義する程、定義と同様に、ＣＩＰにおけるその
表示ロボット工程における異なる時に生じて、複数の分離ステップに実行さる。
第１、ユーザーは、確実な環境に通過することを実現されるプロトコルあるいロ
トコル特性のセットを識別する。これは、ストリング直定数を扱うプロトコル定
義言語（「ペダル」）として参照さ第四世代言語（４ＧＬ）で好適に行うことが
できる。そして、目的言語として「Ｃ」に取ってかわることにバイナリ仮想計算
語（ＶＭＬ）を供給する。選択されたコマンド・コードは、翻訳機によって一方
の明示的にあるいはにコード化されることにより通過できる。 例えば、紙幣観察適用はメッセージによって使用されるための標準の規則により
応するＣＩＰプロトコルを生成することによりこの発明に従って固定できる然プ
ロトコル、および安全な環境のネットワ−ク・アドミニストレーターがる用車両
として紙幣観察適用を使用できる攻撃に対して安全であるとえる天プロトコル内
容物から選択すること、確実な環境。単純性のために、次のことを仮定する、下
記コマンド、また流れる、シースは紙幣観察プロトコルにより所定である： ｌ） 「ログイン」コマンドはその議論として「ｕｓｅｒｎａｍｅ」（８ラクタ
ー、正確に）および「パスワード」（８キャラクター、正確に）をえ出されるべ
きである；その後 ２） ユーザーは、３つのコマンドのうちの１つを発行することを選択で：印刷
する。 どちらかへのビュ−あるいはログアウトは、スクリ−ン上の紙幣を見るた紙幣の
アウトプットを作製する。あるいは適用をそれぞれ中止すること。プリントまた
はビュ−のコマンドに対する反応が完成した場合、しかしならシステムは、新規
なコマンドを受けるための準備ができている。 対照的に、ログアウト・コマンドを受けた後その初期状態へのシステム・リセ
ットそれで、ログイン・コマンドにその後対応する。紙幣ビューアの天然適用プ
ロトコルを備えた弾性なコマンド・シーケンスめの対応するＣＩＰプロトコル・
フォーマットは、以下のとおりである： １） ユ−ザ名＋パスワード（最初の８バイトは、アスキーコードでユ−ザ名を
ャラクター再現する）を再現する１６バイトの未知の構造化したストリングまた
、最後の８バイトは、来たアスキーコード・ペアにおけるパスワーこのフォーマ
ットを中へ制限したと再現する。 ２） 公知のストリングの限定的セットは、３つのコマンド：プリント用の０と
３、ビュ−用の１およびログアウト用の２用が次の２ビットによって識別される
３） 印刷コマンド（＝0又は＝3）ビュ−（＝１）は他マンド識別子 が続くことができる。 ４） コマンド・ログアウトはどのシーケンスを終了する。 １６キャラクターの初期の有効なストリングが受けられた後、通訳は２方法の
う１つに対応する：ＣＩＰ通訳がログアウト・コマンドを受けるときは常に、「
２」としてそ期状態への通訳リセットをコード化する、また次の１６バイトを待
つ、配する。プリント（＝0又は＝3）あるいはビュ−（＝１）が代わりに現われ
る合 通訳は３つのコマンドのコードのうちのいかなるものにでも対応する。ビ
ット果実汁のすべてのシーケンス以来；２５セントによって再現されるのコマン
ドを備えた有効な解釈を有する、余分のビット組合せのうちの１を成する。なお
、解釈が冗長組合せのために必要なように、任意のコマンドはこの組合せによっ
てこの実施例において再現されるた選択される。リント・コマンド。 ログイン・コマンドは実際は「定数」ストリングであることに注意する。した
がって、それは、ＣＩＰプロトコルによって明示的にコード化されない。１６の
文字列が受けられる時に、通訳がログイン以外のコマンドを加工すとができない
ので、他方のロボットにおける補足的な通訳はログインを暗に過し再挿入できる
、ノルは他の環境の下に加工されたログインである。したがって、ＬＯＣＩＮあ
るいは他のそのような「定量ストリング」に対するコマ識別子値を明示的に供給
することには、意味はない。数には日付を除いて、両立性検査のために、論理上
関連された「健全範囲伴う。シングル日付フォーマットだけが、ＩＰ翻訳機に与
えられたどのものある通訳から実現される。同様に、未知かつ非体系的のストリ
ングは、ストリングのために予期された長さ限界を述「健全検査」値を供給され
る。 ストリングの要素はキャラクターの連続範囲に写像される。したがって、このＣ
ＩＰコ−ド工程は、デ−タの容疑者クラスの適用レベメッセージを同時に取り除
き、翻訳機作動の転化が内部の域を傷つけない効コマンドの（無意味であるが）
シーケンスを作製するので、内部のロボトの全性を確認する。ＩＲＰは使用ｍ用
適応された、単純化された移送プロトコルである、内部び外部ロボットの間での
ようなポイント対ポイントの通信リンク。通信が二地点間であるので、ル−ティ
ング情報は移送プロトコルに必要でい。 １つの実施で、ＩＲＰ；備蓄使用用利用可能に作成されている残存バイトを備え
た４がのとおりである１２バイトを備えたＣＩＰデ−タへのヘッダーから成る：
第１のバイトは無効である； 第２のバイト；パケット・エスおよびｉ．ｅを含有する、静止可変がトラックへ
使用される、０から１２７までの数、また割り当れたパケット・エスをインクリ
メントする；また、第３、第４のバイトは、ＣＩＰメッセージにおけるデ−タの
長さをする。 形式的検定 その役割を完了するための安全ソフトウェア製品については、それが全体確実
であるべきである、それはそうである。製品をそれがその仕様に応じることを示
すために証明しなければならない。 技術アルゴリズム／技術のユニークな組合せ、そしてそれらの間のシングル・
リンクを備えた２つのロボットをデカッングして、強く記述された特定の構成、
内部のロボットのみの正確さの確にり全体の安全ゲ−トウェイを証明することを
１つを可能にする。ここに記述されるような減少方法論の使用によって、何でも
が通信バスを送ったので、これはそのようである；上に説明されるようにその解
釈は無味デ−タにありうるがそれが確認されると仮定して、内部のロボットによ
有効解釈を有する。更に、できるだけシンプルな内部のロボットを維持する、内
部ロボットおよびロボットへ安全仕事の分離、により、を備えた、全、外部ロボ
ットで実施れプロトコルを解析する「激しい」作業、そしてバス・ドライバ−を
単純化するためのＩＲＰのようなシンプルな点間内部ロボット・プロトコルによ
りより多く、作成する、内部のロボッの認、実際的なゴール。内部のロボットお
よびそれがトップダウン・アプロ−チをとることでありことを形式的に確認する
ために、仮定、第１、ロボット・モジュ−ル（ＰＭＭ、ＣＭ、Ａｐｐ−プロキシ
、ウェブ・プロキシ）はそれらの組合せが所望の性（ウェブ・プロキシおよび適
用プロキシから出力が応じるべきＣへの入力適切な解釈、内部適用のオーナーに
よって供給される仕様）を産することを明して、確認される。各モジュ−ルの特
性は、共用メモリにおける記憶領域しても（―）、それに利用可能な多様な出力
チャネルでそれ作製する出力で発現できる。あるいは、あるためのＩ／Ｏポート
が周辺機器／装置に接続するように、が受ける入力の仮定は前調整フォーマット
の中にある。これは、Ｉ／Ｏチャネルでは個別モジュ−ル検定により全面的な特
性の検可能にする。不必要な情報を抜き取ると、ＣＳＰあるいはその誘導体のよ
うな仕様言語のようなシステムについて記述できる。そして、スピンとＦＤＲ２
のような装置によって証明される。したがって、内部のロボットの確認はその入
力チャネルの正確さを仮定しその出力チャネル特性に対する各モジュ−ルの確認
になる。その後、ものは、そのサブ・モジュ−ルにそれを分解することにより各
々別モジュ−ルであることを証明することに再び移ることができる。 分解の工程は、「原子の」コード部分機能および手順のレベルまで繰り返分解
はもはや付けることができない。しかしながら、これらのコード部分は通常小型
である、ｅ「直接」方法に証明可能である。これらの方法はマニュアル議論を包
含することができる、定理試験器（ＮＱＴＨＭ。 ＡＣＬ２、ＰＶ。）およびモ
デル・チェッ（回る、ステップ）のような機械化された方法と同様に。 発明は現在好ましい実施への特別の言及を備えた記述された、変動と修正が、発
明の有効成分およびスコ−プ内に可能なことは当業者白である。
発明についてのよりフル理解については、どれで添付図面に関して得られの説明
が言及される：
が言及される：
【図１】従来の技術Ｏ／Ｓ核および応用プログラムのシステム層を再現するイア
グラム
グラム
【図２】この発明の第１の実施のシステム層を再現するダイアグラム
【図３】この発明の第１の実施の運転環境の図解の概観
【図４】この発明の第１の実施のインプリメントのために大手術を再現すローダ
イヤグラム
イヤグラム
【図５】この発明の第１の実施のシステムコントロールを再現する詳細なロダイ
ヤグラム
ヤグラム
【図６】この発明の第二の実施のシステム層を再現する環ダイアグラム
【図７】この発明の第２の実施の大手術を再現するフローダイヤグラム
【図８】この発明の第二の実施のシステムコントロールを再現する詳細なロダイ
ヤグラム
ヤグラム
【図９】この発明の安全構成を使用して、ゲ−トウェイ・システムのブロック図
【図１０】この発明の１つの好ましい実施例の内部および外部演算環境の間−ト
ウェイ・システムのブロック図
ウェイ・システムのブロック図
【図１０ｂ】この発明に従ってインターネットに接続されるための、内部演境間
のゲ−トウェイ・システム用の代替構成を示すブロック図である；
のゲ−トウェイ・システム用の代替構成を示すブロック図である；
【図１１ａ】図１０ａおよび１０ｂで示されて、それぞれ内外ットのブロック図
【図１１ｂ】図１０ａおよび１０ｂで示されて、それぞれ内外ットのブロック図
【図１２ａ】図の装置によって実行された入込みデ−タを加工する過程を示ロー
チャート
チャート
【図１２ｂ】図１２ａで示される工程を示すフローチャー
【図１３ａ】図１０ａの装置によって実行された発−タを加工する過程を示すフ
ローチャート
ローチャート
【図１３ｂ】図１３ａで示される工程を示すフローチャート
【図１４】図１１ａおよび１１ｂで示される、プロトコル・マネージャー・ュ−
ルのフローダイヤグラム
ルのフローダイヤグラム
【図１５】図１４で示される装置用のセッシンサブ・モジュ−ル図
【図１６】適用プロトコルから単純化され部プロトコルまでデ−タを変換する過
程を示すフローダイヤグラム
程を示すフローダイヤグラム
【図１７】単純化された内部プロトコルか用プロトコルまでデ−タを変換する過
程を示すフローダイヤグラム
程を示すフローダイヤグラム
【図１８】図１４の装置で示されるプロトコル要素図
───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ) ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ， ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，Ｄ Ｋ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＧＭ，ＨＲ ，ＨＵ，ＩＤ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ， ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，Ｍ Ｄ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ， ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，Ｖ Ｎ，ＹＵ，ＺＷ (72)発明者 ソラン、エイロン イスラエル国 ヘルゼリア、ハ − ヤル デン ストリート ５ Ｆターム(参考） 5B017 AA01 BB00 CA01 5B098 AA03 GA02 GA04 GB05 GD03 GD14 GD21
Claims (21)
- 【請求項１】プロセッサー上で作動する第１のプログラムからプロセッサー上の
環境を保護する方法であって、次の各ステップから成っている方法： 第１のプログラムが実行している間、第１のプログラムによりメモリ−ススを
割り付けるステップと； 共用メモリ空間、割込み機構または専用Ｉ/Ｏポートを構成するグループから
選択された単一の法を使用すシングル・リンクによってのみ第１のプログラムと
運転環境の間の通信を実現するステップと；そして プロセッサーに上の第１のプログラム用の制限された運転環境を管理し、制限
された運転環境は第１のプログラムが割り付けられたメモリ−スペ−スおよびシ
ングルリンクを除いてプロセッサー上の資源をアクセスするのを制限するステッ
プ。 - 【請求項２】制限された運転環境内の第１のプログラムを実行する、請求項１記
載の方法。 - 【請求項３】制限された運転環境によって制限されるプロセッサー上の資源をセ
スする、第１のプログラムによる試みによって第１のプログラムの実行を終了す
る、請求項２の成っている方法。 - 【請求項４】制限された運転環境によって制限されるプロセッサー上の資源をセ
スする、第１のプログラムによるどのリクエストを無視し、制限された資源への
アクセスを与えずに、第１のプログラムの実施を継続するこを試る、請求項２記
載の方法。 - 【請求項５】第１のプログラムの実施に先立つ時期と第１のプログラムの実行の
終了の後に、運転環境が割り付けられたメモリ−スペ−スをアクセスすることを
許す、請求項２記載の方法。 - 【請求項６】第１のプログラムの実施に先立って第１のプログラムによる利用の
ために運転環境が割り付けられたメモリ−スペ−スへデータの書き込み、また第
１のプログラム実行の終了の後に運転環境が第１のプログラムによって生成され
たデータを割り付けられたメモリ−スペ−スから読み取る、請求項５の方法 - 【請求項７】共用メモ間を介してのみ第１のプログラムと運転環境の間の通信を
実現するステップを有する、請求項１の方法。 - 【請求項８】第１のプログラムおよび運転環境の各々が共用メモリ空間へデータ
を書込み、そして共用メモリ空間の特定位置におけるビットを設定することによ
り共用メモリ空間に書かれたデ−タの有用性を指示するステップから成る、請求
項７の方法。 - 【請求項９】ビットがセットされているときに運転環境および第１のプログラム
が共用メモリ空間に書かれたデ−タを読み取る、請求項８記載の方法。 - 【請求項１０】第１のプログラムと運転環境の間の通信を実現するステップが専
用割込によって通信を実現する、請求項１の方法。 - 【請求項１１】第１のプログラムによって割り付けられたメモリースペースに書
かれデーを運転環境のメモリースペースへ移動させるか、または運転環境のメモ
リースペースから割り付けられたメモリースペースへ移動させることにより専用
割込を扱う、請求項１０方法。 - 【請求項１２】第１のプログラムと運転環境の間の通信を実現するステップが専
用Ｉ／Ｏポートを通って通信を実現する、請求項１の方法。 - 【請求項１３】第１のプログラムが実行してる間のプロセッサーにおけるハード
ウェア割込みの発生を、運転環境における割込み機構ルーテによってハードウェ
ア割込みを扱う、請求項１の方法。 - 【請求項１４】第１のプログラムはオペレーティング・システムである請求項１
の方法。 - 【請求項１５】プロセッサー上で第１のプログラムの実行からプロセッサー上の
運転環境を保護する方法であって次の各ステップから成っている方法： 第１のプログラムが実行している間、第１のプログラムによりメモリ−スペース
を割り付けること； 運転環境が第１のプログラムの実施に先立った、および第１のプログラムの終了
の後の割り付けられたメモリ−スペ−スをアクセスすることを実現ると； 第１のプログラムの実行；および、 プロセッサーの第１のプログラム用の制限された運転環境、第１のプログラムが
割り付けられたメモリ−スペ−スを除いてプロセサ上の資源をアクセスするのを
防御する制限された運転環境を管理するステップ。 - 【請求項１６】第１のプログラムの実施に先立った第１のプログラムによる利用
のため運転環境が割り付けらたモリ−スペ−スへデ−タを書き込み、第１のプロ
グラムの終了の後付けらたモリ−スペ−スから第１のプログラムによって生成さ
れたデータを運転環境が読み出すステップを含む、請求項１５の方法。 - 【請求項１７】メモリー素子に結合されたプロセッサーにおいてプロセッサー上
で作動する第１のプログラムから運転環境を保護するためのシステムであって、
次のものから成るシステム： 第１のプログラムが実行している間、第１のプログラムによる使用のために割り
付けられたメモリー素子のメモリ−スペ−ス； 共用メモリ空間、専用割込み機構および専用Ｉ／Ｏポートで構成されるグループ
から選ばれたシングルの方法を使用す第１のプログラムと運転環境の間の通信リ
ンク；および プロセッサーの第１のプログラム用の制限された運転環境、第１のプログラムが
、割り付けられたメモリ−スペ−スおよびシングルリンクを除いてプロセッサー
上の資産をアクセスするのを防御する制限さた運転環境を管理するためのメディ
エイタ・プログラム。 - 【請求項１８】シングル・プロセッサー上で多くのオペレーティング・システム
作する方法であって、次のもの記載の方法： プロセッサー上の資源のセット、多くのオペレーティング・システムのうちの１
つにより利用可能な各セットを割り付けるステップ； オペレーティング・システムの各々がプロセッサー上で作動し、かつそれのオペ
レーティング・システムに利用可能な資源のセットへのアクセスを実現するステ
ップ； アクセスするためのオペレーティング・システムのうちの１番めによる試みに対
して、１つ以上は、第１のオペレーティング・システムに利用可能な資源のセッ
トを外部で資源化する決定、どの資源のセット；１以上資産を含するアクセスさ
れることを試みた、そして決定すること、１つの、どれ、方のオペレーティング
・システムの第二のオペレーティング・システム；そに利用可能に設定されたそ
のようなものを有するステップ；および １つ又は複数ののそのような試みられたアクセスの扱いは第２のオペレーティン
グ・システムによって資源化するステップ。 - 【請求項１９】１以上資源は、第１のオペレーティング・システムによってアク
セスることを試み、第１のオペレーティング・システムによって出されたハドェ
ア割込みである、請求項１８の方法。 - 【請求項２０】周辺装置によって起動されたＨ／Ｗ割込みを渡すことから成る、
請求項８の方法であって、： モニタ−は、どのオペレーティング・システムが割込み機構をサービスか決め
る方法。 - 【請求項２１】次のものから成るシングル・プロセッサー上で多くのオペレーテ
グ・システムを操作するためのシステム・モニタ−： プロセッサー上の資源のセット、多くのオペレーティング・システムのうちの１
つにより利用可能な各セットを割り付けるための手段； オペレーティング・システムの各々がプロセッサー上で作動するためそれぞれの
オペレーティング・システムに利用可能な資産のセットへのアセを実現する手段
； アクセスするためのオペレーティング・システムのう１番めによる企てに際して
、１つ以上は、第１のオペレーティング・シスム利用可能な資産のセットを外部
で資源化する、どれ、資産のセット；１上資を含有する、アクセスされることを
試みた、そして決定のために、どれ他方オペレーティング・システムの第二のオ
ペレーティング・システム；それに用可能に設定されたそのようなものを有し、
１つ又は複数ののそのような試みられたアクセスを扱うための手段２のオペレー
ティング・システムを通り抜けて資源化を決定のための手段。
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/IL1998/000443 WO2000016200A1 (en) | 1998-09-10 | 1998-09-10 | Method and system for maintaining restricted operating environments for application programs or operating systems |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2002533791A true JP2002533791A (ja) | 2002-10-08 |
Family
ID=11062358
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000570670A Abandoned JP2002533791A (ja) | 1998-09-10 | 1998-09-10 | アプリケーション・プログラムあるいはオペレーティング・システムのたの制限された運転環境を維持する方法およびシステム |
Country Status (4)
| Country | Link |
|---|---|
| EP (1) | EP1127314A4 (ja) |
| JP (1) | JP2002533791A (ja) |
| AU (1) | AU9094198A (ja) |
| WO (1) | WO2000016200A1 (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8365021B2 (en) | 2005-06-17 | 2013-01-29 | Nec Corporation | Information processing device comprising a plurality of domains having a plurality of processors, recovery device, program and recovery method |
| US8640194B2 (en) | 2004-08-25 | 2014-01-28 | Nec Corporation | Information communication device and program execution environment control method |
Families Citing this family (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP1305688A2 (en) * | 2000-05-28 | 2003-05-02 | Yaron Mayer | System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages |
| US9213836B2 (en) | 2000-05-28 | 2015-12-15 | Barhon Mayer, Batya | System and method for comprehensive general electric protection for computers against malicious programs that may steal information and/or cause damages |
| US7146305B2 (en) * | 2000-10-24 | 2006-12-05 | Vcis, Inc. | Analytical virtual machine |
| GB2376763B (en) * | 2001-06-19 | 2004-12-15 | Hewlett Packard Co | Demonstrating integrity of a compartment of a compartmented operating system |
| US7882555B2 (en) | 2001-03-16 | 2011-02-01 | Kavado, Inc. | Application layer security method and system |
| US7313822B2 (en) | 2001-03-16 | 2007-12-25 | Protegrity Corporation | Application-layer security method and system |
| GB2376764B (en) * | 2001-06-19 | 2004-12-29 | Hewlett Packard Co | Multiple trusted computing environments |
| IL149583A0 (en) | 2002-05-09 | 2003-07-06 | Kavado Israel Ltd | Method for automatic setting and updating of a security policy |
| US7103914B2 (en) | 2002-06-17 | 2006-09-05 | Bae Systems Information Technology Llc | Trusted computer system |
| AU2003901454A0 (en) * | 2003-03-28 | 2003-04-10 | Secure Systems Limited | Security system and method for computer operating systems |
| WO2015052831A1 (ja) * | 2013-10-11 | 2015-04-16 | 順子 杉中 | 情報処理装置、方法およびプログラム |
| WO2015052829A1 (ja) * | 2013-10-11 | 2015-04-16 | 順子 杉中 | 情報処理装置、方法およびプログラム |
| US11017109B1 (en) | 2018-06-02 | 2021-05-25 | Apple Inc. | Dynamic sandboxing of user data |
Family Cites Families (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4876664A (en) * | 1987-08-26 | 1989-10-24 | Allen-Bradley Company, Inc. | Programmable controller with a dual intermodule message system |
| US4937777A (en) * | 1987-10-07 | 1990-06-26 | Allen-Bradley Company, Inc. | Programmable controller with multiple task processors |
| US5027271A (en) * | 1987-12-21 | 1991-06-25 | Bull Hn Information Systems Inc. | Apparatus and method for alterable resource partitioning enforcement in a data processing system having central processing units using different operating systems |
| EP0520709A3 (en) * | 1991-06-28 | 1994-08-24 | Digital Equipment Corp | A method for providing a security facility for remote systems management |
| US5566326A (en) * | 1993-09-28 | 1996-10-15 | Bull Hn Information Systems Inc. | Copy file mechanism for transferring files between a host system and an emulated file system |
| US5689708A (en) * | 1995-03-31 | 1997-11-18 | Showcase Corporation | Client/server computer systems having control of client-based application programs, and application-program control means therefor |
-
1998
- 1998-09-10 AU AU90941/98A patent/AU9094198A/en not_active Abandoned
- 1998-09-10 JP JP2000570670A patent/JP2002533791A/ja not_active Abandoned
- 1998-09-10 EP EP98942993A patent/EP1127314A4/en not_active Withdrawn
- 1998-09-10 WO PCT/IL1998/000443 patent/WO2000016200A1/en not_active Application Discontinuation
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8640194B2 (en) | 2004-08-25 | 2014-01-28 | Nec Corporation | Information communication device and program execution environment control method |
| US8365021B2 (en) | 2005-06-17 | 2013-01-29 | Nec Corporation | Information processing device comprising a plurality of domains having a plurality of processors, recovery device, program and recovery method |
Also Published As
| Publication number | Publication date |
|---|---|
| EP1127314A4 (en) | 2003-03-12 |
| AU9094198A (en) | 2000-04-03 |
| WO2000016200A1 (en) | 2000-03-23 |
| EP1127314A1 (en) | 2001-08-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10956184B2 (en) | On-demand disposable virtual work system | |
| KR102255767B1 (ko) | 가상 머신 감사를 위한 시스템 및 방법들 | |
| JP5275407B2 (ja) | 複数の仮想マシンで共有されるネットワークインターフェースのための方法 | |
| US5566326A (en) | Copy file mechanism for transferring files between a host system and an emulated file system | |
| US8104083B1 (en) | Virtual machine file system content protection system and method | |
| US8495750B2 (en) | Filesystem management and security system | |
| Macdonell | Shared-memory optimizations for virtual machines | |
| JP2002533791A (ja) | アプリケーション・プログラムあるいはオペレーティング・システムのたの制限された運転環境を維持する方法およびシステム | |
| US8893306B2 (en) | Resource management and security system | |
| US20060179476A1 (en) | Data security regulatory rule compliance | |
| EP0803101A2 (en) | A mechanism for linking together the files of emulated and host system for access by emulated system users | |
| WO2002008870A2 (en) | Distributive access controller | |
| Wilson et al. | Implementing embedded security on dual-virtual-cpu systems | |
| JP2002533792A (ja) | 信頼された内部ネットワ−クの作動を保護方法およびシステム | |
| JP7416480B2 (ja) | オープンインターコネクトを介してヘテロジニアスプロセッサ上でリモート認証及び情報分離を備えた信頼できるコンピューティングを実行するためのシステム及び方法 | |
| CN112433822A (zh) | 基于三权分立的跨域网络终端虚拟机的实现方法 | |
| US20150229606A1 (en) | Securely virtualizating network services | |
| JP2007506162A (ja) | バーチャルマシーンの動作の復帰に対する割込又は実行のベクトル処理 | |
| WO2023123850A1 (zh) | 一种固件可信根的实现方法、装置、设备和可读存储介质 | |
| Li et al. | SGXPool: Improving the performance of enclave creation in the cloud | |
| US20210133315A1 (en) | Unifying hardware trusted execution environment technologies using virtual secure enclave device | |
| CN111783165B (zh) | 一种基于硬件隔离调用模式的安全可信系统芯片架构 | |
| CN115033348B (zh) | 一种对虚拟机和容器统一管理方法、系统、设备及介质 | |
| Fernandes et al. | Decomposable trust for Android applications | |
| Hansen | Virtual machine mobility with self-migration |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20050422 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050912 |
|
| A762 | Written abandonment of application |
Free format text: JAPANESE INTERMEDIATE CODE: A762 Effective date: 20060726 |