JP2006518558A - 電子装置の複数レベル制御のシステムおよびその方法 - Google Patents

Abstract

電子装置を複数レベルで制御するシステムおよび方法を提供する。複数の認証レベルそれぞれに対するデータの完全性および認証情報を含む認証情報を、電子装置に保存して制御する。複数の認証レベルのうちの１つに対応付けられた制御した情報を送信元から電子装置で受信した場合は、受信した制御した情報の完全性を調べて、複数の認証レベルのうちの１つに対するデータの完全性および認証情報に基づいて、送信元が複数の認証レベルのうちの１つで認証した関係者であるかどうかという判定をおこなう。受信した制御した情報について、受信した制御した情報の完全性を検証して、送信元が複数の認証レベルのうちの１つで認証した関係者であることを電子装置に保存する。

Description

（関連出願の説明）
本出願は、米国特許法§１１９（ｅ）に従って、２００３年２月２１日出願、米国特許出願第６０／４４８，５４０号、「ＳＹＳＴＥＭ ＡＮＤ ＭＥＴＨＯＤ ＯＦ ＭＵＬＴＩＰＬＥ−ＬＥＶＥＬ ＣＯＮＴＲＯＬ ＯＦ ＥＬＥＣＴＲＯＮＩＣ ＤＥＶＩＣＥ）」の利益を主張する。この出願は、全体としてここに援用される。

（技術分野）
本出願は一般に電子装置に関し、特に、このような装置の動作を、装置ユーザによって異なるような複数のエンティティによって制御することに関する。

企業環境では、職分を行う際に用いる事務用品および備品に従業員はしばしばアクセスする。標準の備品は典型的には少なくともパーソナルコンピュータ（ＰＣ）を含み、また、ワイヤレスモバイル通信装置および他の種類の電子装置も含むこともできる。このような備品は主としてビジネスまたは業務関連の目的に向けられているが、ユーザは、業務用備品を個人的に使用することもある。個人使用が通常の職分に抵触せず、余分なコストがかからず、会社ポリシーに従っているのならば、従業員は通例、このような備品の個人使用について問題がないと考えている。

このような状況では、電子装置のユーザは装置のオーナーではなく、ユーザとオーナーとでは、許容できる装置の使用に対する考え方が異なっているものである。許容できる使用については、会社のポリシーに明記することもできる。例えば、これは従業員が従うべきものであるが、企業装置オーナーは大抵の場合、電子装置を最終的にはどのように使用するかについて、管理できるとしてもまったく管理することはできないものである。電子装置の動作を制御する周知の方法の１つによれば、オーナーがポリシーファイルを装置にロードして、装置で実行する動作またはソフトウェアアプリケーションの種類を制限する。しかしながら、オーナーポリシーファイルを削除したり、またはオーナーポリシーファイルをオーナーポリシーファイルよりも少ない制限を含むユーザポリシーファイルと置換したりすることにより、この種の方法をユーザが無効にすることがある。また、特に大規模な組織では、管理し、強制したいと考える使用ポリシーを、２つ以上のエンティティが有することもある。周知の電子装置の制御方法では、複数レベルでの装置制御を提供しない。

従って、電子装置を複数レベルで制御するシステムおよび方法が必要である。

電子装置を複数レベルで制御するシステムは、それぞれの複数の認証レベルのデータの完全性および認証情報を含む認証情報を保存するように構成した認証情報記憶装置と、電子装置の動作を制御する制御した情報（ｃｏｎｔｒｏｌｌｅｄ ｉｎｆｏｒｍａｔｉｏｎ）を保存するように構成した制御した情報の記憶装置と、複数の認証レベルのうちの１つに対応付けられた制御した情報を送信元から受信するように構成した挿入モジュールとを備え、受信した制御した情報の完全性をチェックして、データ完全性および複数の認証レベルのうちの１つの認証情報に基づいて、送信元が複数の認証レベルのうちの１つで認証した関係者であるかどうか判定して、受信した制御した情報について、受信した制御した情報の完全性を検証して、送信元が複数の認証レベルのうちの１つで認証した関係者であると、制御した情報の記憶装置に保存する。

電子装置を複数レベルで制御する方法は、それぞれの複数の認証レベルに対するデータの完全性および認証情報を含む認証情報を電子装置に保存するステップと、複数の認証レベルのうちの１つに対応付けられた制御した情報を電子装置で送信元から受信するステップと、受信した制御した情報の完全性をチェックするステップと、複数の認証レベルのうちの１つに対するデータの完全性および認証情報に基づいて、送信元が複数の認証レベルのうちの１つで認証した関係者であるかどうか判定するステップと、受信した制御した情報を、受信した制御した情報の完全性を検証して、送信元が複数の認証レベルのうちの１つで認証した関係者であると、制御した情報の記憶装置に保存するするステップとを含む。

この方法の上記のステップの順序またはステップの分離は限定せず、むしろ、ステップを集約したり、またはその一部を１つのステップまたは複数の他のステップにしたり、あるいは、このような元々のステップの順序を変更したり、または集約したりすることが考えられる。また、１つ以上の説明したステップを、コンピュータが実行可能な命令および／またはコンピュータ読み取り可能媒体の任意の適した組み合わせに保存しても良い。保存した命令の代わりに、またはさらに追加して、１つ以上のステップ、またはその一部を、このようなステップを実行するために設計した専用のハードウェアで実行しても良い。

電子装置の制御システムおよび方法の特徴についてさらに説明し、以下の詳細な説明に従って明らかになるであろう。

図１は、電子装置を用いる通信システムを示すブロック図である。通信システム１０は、ワイドエリアネットワーク（ＷＡＮ）１２、接続されたコンピュータシステム１４、ワイヤレスネットワークゲートウェイ１６、および企業ローカルエリアネットワーク（ＬＡＮ）１８を含む。ワイヤレスネットワークゲートウェイ１６はまた、ワイヤレス通信ネットワーク２０に接続している。これにより、ワイヤレスモバイル通信装置２２（”モバイル装置”）が動作するように構成されている。

コンピュータシステム１４はデスクトップまたはラップトップＰＣであって、例えばインターネットといったＷＡＮ１２と通信するように構成されている。コンピュータシステム１４等のＰＣは通常、インターネットサービスプロバイダ（ＩＳＰ）、アプリケーションサービスプロバイダ（ＡＳＰ）等を介してインターネットにアクセスする。

企業ＬＡＮ１８は、典型的な業務環境の一例である。複数のコンピュータ２８がネットワークに接続している。これは通常、セキュリティファイアウォール２４の背後に設置されている。企業ＬＡＮ１８内では、ファイアウォール２４の背後のコンピュータ上で動作するデータサーバ２６は主として、ＬＡＮ１８内と、ＷＡＮ１２を介して他の外部のシステムとの両方とデータ交換を行う企業のインターフェースとしての役割を果たす。ＬＡＮ１８等の企業ネットワークで通常用いられるデータサーバの１つの種類は、メッセージサーバである。周知のメッセージサーバは、例えば、マイクロソフト（登録商標）（Ｍｉｃｒｏｓｏｆｔ Ｅｘｃｈａｎｇｅ）エクスチェンジサーバおよびロータスドミノ（Ｌｏｔｕｓ Ｄｏｍｉｎｏ）（登録商標）を含む。データサーバ２６がメッセージサーバの場合は、ＬＡＮ１６内のそれぞれのコンピュータシステム２８は、マイクロソフトアウトルック（登録商標）（Ｍｉｃｒｏｓｏｆｔ Ｏｕｔｌｏｏｋ）、ロータスノート（登録商標）（Ｌｏｔｕｓ Ｎｏｔｅｓ）等のメッセージングクライアントを実行する。この場合、メッセージサーバが受信したメッセージを、受信したメッセージに記載のユーザアカウントのメールボックスに配信して、次に、コンピュータシステム２８上で動作するメッセージングクライアントを介してユーザがアクセスする。

ＬＡＮ１８内にはデータサーバ２６だけを示しているが、当業者ならば、ネットワーク化コンピュータシステム２８間で共有するリソースをサポートする他の種類のサーバを含んでも良いことを理解するであろう。同様に、１つのデータサーバ２６は、電子メッセージングや、カレンダ、予定事項リスト、タスクリスト、電子メールおよびドキュメンテーション等のデータ用ダイナミックデータベース記憶装置等の複数の機能を備えることもできる。ここで説明する電子装置制御システムおよび方法は、幅広い電子装置および機能に応用可能である。

ワイヤレスネットワークゲートウェイ１６は、ワイヤレスネットワーク２０のインターフェースを構成し、これを介してモバイル装置２２とデータを交換する。モバイル装置２２のアドレッシング、ワイヤレス送信用メッセージの符号化または変換を行うこのような機能、および任意の他のインターフェース機能を、ワイヤレスネットワークゲートウェイ１６が実行する。ワイヤレスネットワークゲートウェイ１６を、２つ以上ワイヤレスネットワーク２０と動作するように構成することもできる。この場合は、ユーザが国々の間、またはネットワーク間でローミングする際に、モバイル装置２２を探索するのに最も可能性が高いネットワークを判定して、モバイル装置を追跡するような場合である。

モバイル装置２２は、例えば、データ通信装置、音声通信装置、データ通信および音声通信の両方の機能を有する携帯電話等のデュアルモード通信装置、音声、データおよび他の種類の通信が可能な多重モード装置、ワイヤレス通信が可能な携帯情報端末（ＰＤＡ）、またはラップトップまたはデスクトップコンピュータシステムに関連して動作するワイヤレスモデムである。

ＷＡＮ１２にアクセスする任意のコンピュータシステムは、ワイヤレスネットワークゲートウェイ１６を介して、モバイル装置２２とメッセージを交換することもできる。あるいは、ワイヤレス仮想私設ネットワーク（ＶＰＮ）ルータ等の私設ワイヤレスネットワークゲートウェイを実行して、ワイヤレスネットワークに私設インターフェースを備えることもできる。ＬＡＮ１８内で実行するワイヤレスＶＰＮルータは、ワイヤレスネットワーク２０を介して、ＬＡＮ１８から２２等の１つ以上のモバイル装置への私設インターフェースを構成する。モバイル装置２２への私設インターフェースはまた、データサーバ２６と動作する、送信または転送システムを備えることにより、ＬＡＮ１８外部のエンティティへと効果的に拡張することもできる。このような転送システムは、米国特許第６，２１９，６９４号に開示されている。この出願はここに引例として組み込まれている。この種のシステムでは、データサーバ２６が受信した、モバイル装置２２のユーザ宛の入力データ項目を、ワイヤレスＶＰＮルータ、ワイヤレスゲートウェイ１６、または他のインターフェースのいずれかのワイヤレスネットワークインターフェースを介して、ワイヤレスネットワーク２０およびユーザのモバイル装置２２へ送信する。データサーバ２６への別の代替のインターフェースは、ワイヤレスアプリケーションプロトコル（ＷＡＰ）ゲートウェイである。メッセージサーバであるデータサーバ２６の上記の例では、メッセージサーバ上のユーザのメールボックス内のメッセージリストおよび可能ならば各メッセージまたは各メッセージの一部を、ＷＡＰゲートウェイを介してモバイル装置２２に送信することもできる。

ワイヤレスネットワーク２０は通常、基地局と装置との間のＲＦ送信を介してモバイル装置２２等の装置と通信する。ワイヤレスネットワーク２０は、例えば、データ中心のワイヤレスネットワーク、音声中心のワイヤレスネットワーク、または同じインフラを介して音声通信およびデータ通信の両方をサポートするデュアルモードネットワークとすることもできる。近年開発されたデュアルモードネットワークは、符号分割多重アクセス（ＣＤＭＡ）ネットワークおよびゼネラルパケットラジオサービス（ＧＰＲＳ）ネットワークを含む。グローバル進化型高速データ伝送（ＥＤＧＥ）およびユニバーサルモバイルテレコミュニケーションシステム（ＵＭＴＳ）等のいわゆる第３世代（３Ｇ）ネットワークは、現在開発中である。旧世代のデータ中心のネットワークは、これに限らないが、モビテックス（”Ｍｏｂｉｔｅｘ”）（登録商標）無線ネットワーク（”Ｍｏｂｉｔｅｘ”）、およびＤａｔａＴＡＣ（登録商標）無線ネットワーク（”ＤａｔａＴＡＣ”）を含む。グローバルシステムフォーモバイルコミュニケーション（ＧＳＭ）および時分割多重アクセス（ＴＤＭＡ）システムを含むパーソナルコミュニケーションシステム（ＰＣＳ）ネットワーク等の音声中心のデータネットワークは、数年間北米および全世界で利用可能となっている。

システム１０では、企業ＬＡＮ１８を所有する会社は、コンピュータシステム２８およびモバイル装置２２を従業員に支給することもできる。従業員に支給したコンピュータシステム２８がラップトップコンピュータである場合は、例えばこれを、企業ＬＡＮ１８の内部または外部で用いることもできる。コンピュータシステム２８がＬＡＮ１８内で動作する場合は、コンピュータシステム２８に対するネットワーク許可および制限や、ユーザのネットワークアカウント、または両方をユーザが変更できないように構成することにより、非局所的動作を制限することもできる。しかしながら、１４で示すようにコンピュータシステムをＷＡＮ１２へ接続することにより、ユーザがコンピュータシステムをＬＡＮ２８外部で用いる場合は、例えば、ＬＡＮ１８の所定の位置でのネットワークベースの制御を無視することにもなってしまう。

オーナーは代わりに、コンピュータシステムまたはモバイル装置等の電子装置に直接ローカル設定を設定して、装置への制御を維持することもできる。設定が装置上で保全されている場合に限って、このようなローカル設定により装置動作を制御できる。この種の制御機構は、装置上のローカル設定を置き換えたり削除したりすることにより、無効にされる傾向がある。

ローカル制御設定または電子装置の動作に影響を与える他の情報を、ユーザが削除したり、変更したり、置き換えたりしないようにするために、以下で主として制御した情報と呼ぶ、制御した情報に関わる動作を、認証した関係者に制限することができる。企業環境では通常、１つ以上のネットワーク管理者またはアカウントを認証して、１つのレベルに基づいて企業制御ポリシーを管理するものである。しかしながら、この種の装置制御管理を、ある種類の組織では実行することができない。例えば、大規模な組織では、ある種類の動作または使用に関する”グローバル”制御ポリシーは組織に対応付けられた全電子装置に対して望ましいが、他の種類の動作に対するユーザ定義の制御ポリシーが全装置に共通するとはかぎらないものである。例えば、企業の一事業所の従業員が、異なる国または地域のこの企業の他の事業所では利用できない機能あるいは通常使用しない機能に対するアクセスを必要とする場合である。この場合、制御した情報を設定して変更できる、認証した全関係者が、グローバルポリシーおよびユーザ定義の制御ポリシーの両方を認識して、遵守するように委任されなければならない。したがって、グローバル制御ポリシーに対する変更を分散することは、この種の装置制御管理ではさらに難題となってしまう。

複数レベルで電子装置を制御するシステムおよび方法により、電子装置制御を管理する１人の認証した関係者または同様に認証した関係者群への依存を軽減する。ここに述べる側面によれば、複数のレベルで認証することにより、異なる認証した関係者によって、特定の電子装置機能または特定の種類の機能を制御する。異なる制御ポリシーが望ましい事業所を有する上記の大企業の例では、第１および第２の認証レベルを生成して、グローバル制御ポリシーおよびユーザ定義の制御ポリシーをそれぞれ管理することもできる。各企業の事業所のネットワーク管理者を第２のレベルで認証して、企業本部の１人以上の上級管理者または管理職を、例えば、第１のレベルで認証することもできる。

このような複数レベルでの制御により、用いる広さよりも他の基準に基づいて制御機能を分割することもできる。例えば、任意の企業ネットワーク管理者は最短パスワード長または最長パスワード有効期間等で電子装置制御設定を管理するように委任されているが、インストールしたソフトウェアアプリケーションに対するより厳格な制御が望ましい。この場合、ソフトウェアインストール制御を第１の認証レベルの管理者に委任して、他の制御機能を第２の認証レベルで認証した関係者に委任することもできる。さらに認証レベルを設定しても良いことが明らかであろう。以下にさらに詳細に述べるように、任意の制御した情報の設定または変更が許可された認証した関係者である、完全に委任されたプライマリまたはマスタ認証レベルにより、他の認証レベルをオーバーライドする機構を備える。階層認証レベル、ピア認証レベル、またはこれらの両方が可能である。ソフトウェアアプリケーションインストールを制御する第１の認証レベルおよび他の制御機能の第２の認証レベルの上記の例では、第１および第２のレベルピアレベルで、レベルのうちの１つでの関係者を認証することにより、この関係者が他のレベルでの認証を必要とする動作を実行できないようにする。マスタ認証レベルが備えられている場合、第１および第２の認証レベルがマスタ認証レベルに従属している階層構造となる。

図２は、認証情報および制御した情報を電子装置に挿入するシステムを示すブロック図である。図２のシステムは、電子装置２１０、認証レベルＸの認証情報の挿入ポイント２２０、および認証レベルＸの制御した情報の挿入ポイント２３０を含む。認証情報記憶装置２１２、制御した情報の記憶装置２１４およびインターフェース／コネクタ２１６を、電子装置２１０に備える。認証情報挿入ポイント２２０は、認証情報の送信元２２４およびインターフェース／コネクタ２２２を含む。同様に、制御した情報挿入ポイント２３０は、制御した情報の送信元２３４およびインターフェース／コネクタ２３２を含む。

認証情報記憶装置２１２は、例えば署名公開鍵または他のデータの完全性または認証情報等の情報を保存する。以下にさらに詳細に述べるように、記憶装置２１２の認証情報を用いて、受信した制御した情報を承認したり、認証した関係者が電子装置２１０に送信したりするかどうか判定する。制御した情報記憶装置２１４は、電子装置２１０の動作に影響を与える制御した情報を保存する。送信元２２４および２３４は、例えば、リムーバブル記憶装置媒体から認証情報および制御した情報を読み出すディスクドライブまたはメモリカードリーダ等のローカルメモリ装置、リーダである。通信モジュールを介して認証情報および制御した情報を保存するリモートメモリ装置にアクセスできるか、またはユーザインターフェースを介して認証情報および制御した情報に入る。

インターフェース／コネクタ２２２はインターフェース／コネクタ２１６と互換性が有り、認証情報の挿入ポイント２２０と電子装置２１０との間で通信リンクを設定することにより、認証情報送信元２２４から電子装置２１０へ認証情報を送信することができる。インターフェース／コネクタ２３２は同様に、インターフェース／コネクタ２３２および２１６間で設定した通信リンクを介して、制御した情報を制御した情報の送信元２３４から電子装置２１０へ送信することができる。インターフェース／コネクタ２１６、２２２および２３２は、ワイヤード通信リンクを設定する。例えば、インターフェース／コネクタはシリアルポート、またはインターフェース／コネクタが赤外線モジュールである赤外線リンク等のワイヤレス通信リンクである。電子装置２１０に送信した認証情報および制御した情報をそれぞれ、認証情報記憶装置２１２および制御した情報の記憶装置２１４に挿入したり、保存したりする。

認証情報の挿入ポイント２２０を、電子装置２１０を制御する認証レベルＸで認証した関係者に対応付ける。従業員が電子装置２１０をユーザに提供する場合は、例えば、認証情報の挿入ポイント２２０を、企業コンピュータシステム管理者またはＩＴ部門が制御したコンピュータシステムまたは装置とすることもできる。インターフェース／コネクタ２２２および２１６を介して、認証情報の挿入ポイント２２０と電子装置２１０との間で通信リンクを設定して、次に認証レベルＸの認証情報を認証情報記憶装置２１２に挿入することにより、認証レベルＸを電子装置２１０上に生成する。以下にさらに詳細に述べるように、一旦レベルＸの認証情報を電子装置２１０に挿入したならば、認証レベルＸで認証した関係者、またはあるとすればより上位の階層の認証レベルだけが、認証レベルＸの認証情報の挿入あるいは変更、または装置の機能あるいは認証レベルＸに対応付けられた使用の制御を行うことができる。

上述のように、制御した情報は、制御設定、ソフトウェアアプリケーション、および電子装置２１０の動作に影響を与える他の情報を含んでも良い。制御設定は、使用ポリシーに基づく値または構成を指定して、電子装置２１０に強制するものである。例えば、制御設定は最短パスワード長および最長パスワード有効期限を指定することもでき、パスワード保護を行えるようにする必要がある。これらの機能を特定の認証レベルＸに対応付ける場合は、次に認証レベルＸは、電子装置２１０に挿入する制御設定を有する。同じ電子装置２１０上で、ソフトウェアアプリケーションインストール制御を、デジタル署名に基づいて異なる認証レベルＹに対応付けることもできる。デジタル署名ベースのソフトウェアアプリケーションインストール制御は受信したソフトウェアアプリケーション上のデジタル署名を検証する署名鍵だけを必要とするので、このような署名鍵を含む認証レベルＹの認証情報を電子装置２１０に挿入するが、レベルＹの認証には制御設定を必要としない。この場合、認証情報記憶装置２１２は認証レベルＸおよびＹの認証情報を保存するが、制御した情報記憶装置２１４は、認証レベルＸの制御設定だけを保存する。以下にさらに詳細に述べるように、認証レベルＹは、続いて、そのデジタル信号を検証する場合は、受信したデジタル署名したソフトウェアアプリケーションが制御した情報記憶装置に保存する制御した情報を含む。

一旦その認証レベルの認証情報を電子装置に挿入したならば、認証レベルに対応付けられた制御した情報を電子装置に挿入することを制限する。従って、制御した情報の挿入ポイント２３０を、必ずしも認証レベルＸで認証した関係者が制御する必要はない。電子装置２１０の企業オーナーが制御した情報の挿入ポイント２３０の制御を維持する場合は、挿入ポイント２２０および２３０を、同じコンピュータシステムまたは装置で実行して、同じインターフェース／コネクタを共有することもできる。しかしながら、図２に示すように、別々の挿入ポイント２２０および２３０により、電子装置２１０のオーナーまたは認証レベルＸで認証した関係者が、同じ認証レベルＸで認証した関係者またはこのような関係者が認証した制御した情報へアクセスできる任意の他の関係者に、制御した情報の挿入を委任することができる。制御した情報の挿入を制御したデジタル署名を用いて制御する場合は、例えば、以下に詳細に述べるように、署名鍵を含む認証レベルＸの認証情報を、認証レベルＸで認証した関係者が電子装置２１０に挿入する。署名鍵を用いてデジタル署名を検証するためのデジタル署名した制御した情報だけを、次に電子装置２１０に挿入することができる。この場合、認証情報を認証した関係者が挿入するが、制御した情報の挿入ポイント２３０をユーザのコンピュータシステムとすることができる。認証レベルＸのデジタル署名した制御した情報を、認証した関係者がユーザに提供する。ユーザは次に、デジタル署名した制御した情報を電子装置２１０に挿入する。ユーザがこの例のデジタル署名した制御した情報を挿入したとしても、制御した情報を、ユーザではなく、認証した関係者が設定して署名している。

大抵の実施例では、認証情報の挿入ポイント２２０および制御した情報の挿入ポイント２３０は、電子装置２１０内でインターフェース／コネクタ２１６と互換性がある同じ種類のインターフェース／コネクタ２２２および２３２を含んでいる。しかしながら、異なる種類のインターフェース／コネクタを認証情報の挿入ポイント２２０および制御した情報の挿入ポイント２３０で実行することもできるように、電子装置２１０は、もう一つの選択肢として複数のインターフェース／コネクタを含むこともできる。１つの認証情報の挿入ポイント２２０および制御した情報の挿入ポイント２３０が図２に示されているが、完全な挿入システムは、２つ以上の各種類の挿入ポイントを含むこともできる。大会社では、例えば、企業コンピュータシステム管理者を認証して、管理者コンピュータシステムから、または管理機能にアクセスすることができる任意の企業コンピュータシステムから、認証情報の挿入動作を実行することもできる。これにより、複数の認証情報の挿入ポイント２２０を備えることができる。同様に、上述のようにユーザがデジタル署名した制御した情報を電子装置に挿入する場合には、各ユーザのコンピュータシステムを制御した情報の挿入ポイント２３０として用いる。

図３は、複数レベルで制御するシステムおよび方法を実行する電子装置のブロック図である。図３では、電子装置は、ワイヤレスネットワーク内で動作するように構成したモバイル装置３０である。また図３には、認証情報をモバイル装置３０に挿入するのに用いる挿入ツール６４を示している。

装置制御システムに含まれる構成部品だけが図３に示されていることが、当業者ならば明らかであろう。モバイル装置は典型的には、図３に示すものの他に、さらに構成部品を含む。また、モバイル装置３０は、ある種の使用制御ポリシーが望まれる電子装置の一例を説明したものである。複数レベルの制御はまた、例えば携帯電話、ＰＤＡ、およびパーソナルコンピュータ等の他の種類の電子装置に応用することもできる。

モバイル装置３０は、メモリ３２、プロセッサ４０、アプリケーションローダ４２、挿入モジュール４４、ユーザインターフェース（ＵＩ）４６、ワイヤレストランシーバ４８、およびインターフェースまたはコネクタ５０を備える。図３に示すものの他に、メモリ３２は好ましくは、ソフトウェアアプリケーションの記憶領域３４、認証情報記憶装置３６、制御設定記憶装置３８とともに可能ならば他の装置システムに対応付けられた他のデータ記憶装置を含む。

メモリ３２は、他の装置構成部品がデータを書き込むことができるＲＡＭまたはフラッシュメモリ等の書き込み可能な記憶装置である。しかしながら、ソフトウェアアプリケーション記憶装置３４、認証情報記憶装置３６、および制御設定記憶装置３８への書き込みおよび消去アクセスを、好ましくは制限する。例えば、モバイル装置３０のユーザは、記憶装置３４、３６、および３８からデータを検索することもできるが、これらの記憶装置への書き込みおよび消去動作を、以下に述べるように制御する。

ソフトウェアアプリケーション記憶装置３４は、モバイル装置３０上にインストールしたソフトウェアアプリケーションを含み、例えば、電子メッセージングアプリケーション、個人情報管理（ＰＩＭ）アプリケーション、ゲームとともに他のアプリケーションを含むこともできる。認証情報記憶装置３６は、その受信した制御した情報が適切に認証した関係者が発信したか、少なくとも承認したがどうか検証するのに用いる認証情報を保存する。例えば、モバイル装置３０のオーナーまたは認証レベルの認証した関係者を識別する情報またはデータの完全性チェック情報を含む他の情報についても、認証情報記憶装置３６に保存することもできる。モバイル装置３０の使用許可および制限といったこのような制御を指定することもできる制御設定を、制御設定記憶装置３８に保存する。

プロセッサ４０をワイヤレストランシーバ４８に接続するので、モバイル装置３０はワイヤレスネットワークを介して通信を行うことができる。以下にさらに詳細に説明するアプリケーションローダ４２および挿入モジュール４４をインターフェース／コネクタ５０に接続して、協働インターフェース／コネクタ５２を介して挿入ツール６４と通信できるようにする。アプリケーションローダ４２および挿入モジュール４４についてもプロセッサ４０と接続して、認証情報および制御した情報を受信する通信経路をさらに構成する。

ＵＩ４６は、キーボードまたはキーパッド、ディスプレイ、またはモバイル装置３０のユーザから入力を受け付けたり出力したりする他の構成部品等の１つ以上のＵＩ構成部品を含む。図３のブロック図の１つに示しているが、モバイル装置３０は典型的には、２つ以上のＵＩを含むことが明らかなので、ＵＩ４６は従って１つ以上のユーザインターフェースを表すようになっている。

挿入ツール６４は、認証情報記憶装置６０およびインターフェース／コネクタ５２を含み、これを介してモバイル装置３０と情報を交換するので、認証情報の挿入ポイント２２０（図２）を表す。上述のように、挿入ツール６４等の認証情報の挿入ポイントは通常、電子装置のオーナーが制御する。従って、挿入ツール６４を好ましくは、認証した管理者が用いる管理者コンピュータシステム上で実行して、モバイル装置３０のサービスを行えるようにしたり、これを構成したしりすることができる。ネットワーク化コンピュータシステムを典型的には任意のユーザが使用することができるので、その代わり挿入ツール６４を、コンピュータシステムに現在”ログイン”している特定のユーザにより、企業ネットワーク内の任意のコンピュータシステムにアクセス可能とすることもできる。このようなシステムでは、挿入ツールを用いて、２つ以上の認証レベルの認証情報を挿入することもできる。認証記憶装置６０にアクセスした認証情報は次に、モバイル装置３０に挿入されている認証情報の特定の認証レベルに依存するようになる。その代わりに、認証レベルに基づいて異なる特定の物理認証情報記憶装置にアクセスすることもできる。あるいは、別々の挿入ツールを、各認証した関係者または認証レベルに対して実行することもできる。

認証情報記憶装置６０は、モバイル装置３０に挿入する認証情報を保存して、例えば、ＲＡＭチップ、フラッシュメモリ装置、またはハードディスクドライブ等のローカルメモリ構成部品上で実行することもできる。挿入ツール６４をネットワーク化コンピュータシステムまたは他のネットワーク接続装置内で実行する場合は、認証情報記憶装置６０を、ネットワーク接続を介して挿入ツール６４にアクセス可能なファイルサーバ等のリモートメモリシステムとすることもできる。その代わりに、認証情報記憶装置６０を、例えばスマートカードリーダ、メモリカードリーダ、セキュアデジタル（ＳＤ）ポート、フロッピー（登録商標）ディスクドライブ、またはＣＤまたはＤＶＤドライブ等のメモリリーダに組み込むこともできる。

認証情報を、インターフェース／コネクタ５０および５２間で設定した通信リンクを介して、挿入ツール６４とモバイル装置３０との間で送信する。インターフェース／コネクタ５０および５２を、任意の複数の互換性のあるデータ送信構成部品とすることができる。例えば、赤外線データ通信標準化協会（ＩｒＤＡ）ポート等の光学データ送信インターフェース、他の短距離ワイヤレス通信インターフェース、またはシリアルまたはユニバーサルシリアルバス（ＵＳＢ）ポートおよび接続等のワイヤードインターフェースを含む。周知の短距離ワイヤレス通信インターフェースは、例えば、それぞれブルーツースまたは８０２．１１規格による”ブルーツース”モジュールおよび８０２．１１モジュールを含む。ブルーツースおよび８０２．１１は規格のセットを示し、それぞれワイヤレスＬＡＮおよびワイヤレスパーソナルエリアネットワークに関する電気電子学会（ＩＥＥＥ）から入手できることを、当業者には明らかであろう。従って、挿入ツール６４とモバイル装置３０との間の通信リンクを、ワイヤレス接続または物理ワイヤード接続とすることもできる。

挿入ツール６４とモバイル装置３０との間の通信は必ずしも物理接続を介して行う必要はないので、モバイル装置を挿入ツールに接続する参考として、物理接続またはワイヤレス送信方法のいずれかを介して通信を設定することを含む。従って、モバイル装置３０および挿入ツール６４のシリアルポートを接続したり、その光学ポートが挿入ツール６４の同じポートの視線になるようにモバイル装置３０を位置決めしたり、データを交換できるようなその他の方法でモバイル装置３０および挿入ツール６４を接続したり配置したりすることにより、モバイル装置３０を挿入ツール６４と接続することもできる。モバイル装置と挿入ツールとの間で通信を設定するのに必要な特定の動作は、モバイル装置および挿入ツールの両方で利用可能なインターフェースおよび／またはコネクタのタイプに依存する。

モバイル装置３０をユーザに提供する前、またはモバイル装置３０を構成して用いる前に、認証情報を好ましくはモバイル装置３０に事前にロードしておく。前者の例では、認証情報をロードするまでは、ユーザはモバイル装置３０を物理的に制御できないので、少なくとも１つの認証レベルをモバイル装置３０に生成するが、後者の例では、ユーザはモバイル装置３０を所有しているものの、少なくとも１の認証した関係者が構成するか関係者の制御下におかれるまでは、装置を利用することができない。

モバイル装置３０を挿入ツール６４に接続した場合は、認証情報を認証情報記憶装置６０から検索して、インターフェース／コネクタ５２および５０を介してモバイル装置３０に送信して、モバイル装置３０上の挿入モジュール４４に送って、認証情報をメモリ３２内の認証情報記憶装置３６に保存する。

インターフェース／コネクタ５０に接続した挿入モジュール４４を図３に示しているが、このモジュールは好ましくは、プロセッサ４０が実行するソフトウェアモジュール、またはアプリケーションとして実行する。このように、インターフェース／コネクタ５０のデータの送受信を実際には、プロセッサ４０を介してデータをインターフェース／コネクタ５０を経由させることにより実行することもできる。この場合、認証情報をモバイル装置３０に送信する前に、プロセッサ４０を挿入ツール６４が命令して挿入モジュール４４を開始させる。あるいは、プロセッサ４０を、認証情報を受信した時にはいつも挿入モジュール４４を開始するように構成することもできる。同様に、挿入ツール６４を、挿入ツール６４が動作するコンピュータシステムまたは装置内のプロセッサが実行するソフトウェアモジュールまたはアプリケーションとすることもできる。

モバイル装置３０に事前にロードした認証情報は好ましくは、少なくともデータの完全性と、モバイル装置３０に送信する前にデジタル署名した情報に対して特定の認証レベルの認証した関係者が用いたデジタル署名秘密鍵に対応するデジタル署名公開鍵等の送信元認証情報とを含む。デジタル署名の文脈で以下の詳細に説明するように、認証情報を事前にロードすることにより、装置制御動作のセキュリティを向上させることができる。

デジタル署名を用いてデータの完全性を検証して、データの送信元を認証する装置の制御方法では、認証レベルのデジタル署名公開鍵をモバイル装置３０上の認証情報記憶装置３６に挿入した場合は、その認証レベルに対応付けられた制御した情報を次に、モバイル装置３０に挿入することもできる。例えば、モバイル装置３０内で用いるように構成した制御した情報挿入ツールは挿入ツール６４と類似のものであり、制御した情報の記憶装置およびインターフェース／コネクタ５０と互換性のあるインターフェース／コネクタを含む。制御した情報が制御設定を含む場合には、例えば、ユーザを認証してモバイル装置３０にインストールするソフトウェアアプリケーションのリスト、モバイル装置３０にインストールしなければならない必要なソフトウェアアプリケーションのリスト、または装置構成設定を、指定することもできる。上述のように、制御設定は、電子装置の動作を制御する１つの考えられる手段を表すものである。認証レベルは、対応付けられた制御設定を有していてもいなくても良い。

インターフェース／コネクタ５０、ワイヤレストランシーバ４８、または任意の他の利用可能な通信サブシステムまたは構成部品を介して、挿入ツールまたは別の送信元のいずれかから、制御した情報をモバイル装置３０が受信する。例えば、インターフェース／コネクタ５０と互換性があるインターフェースを持つ挿入ツールを用いて、初期制御設定をモバイル装置に挿入することもできるが、ソフトウェアアプリケーションまたはアップデートした制御設定を、ワイヤレスネットワークを介して受信することもできる。

ユーザが誤った制御設定または他の制御した情報を挿入することにより、装置制御を無効にすることを防止するために、モバイル装置３０に送信する前に、制御した情報に好ましくは、適切な認証レベルに対応付けられたデジタル署名秘密鍵を用いてデジタル署名する。挿入モジュール４４を、制御した情報をモバイル装置３０に保存する前にデジタル署名を検証するように構成する。デジタル署名の検証が失敗した場合は、制御した情報をモバイル装置３０に保存しない。

デジタル署名の方法は一般に、情報の完全性および署名した情報の送信元の認証を調べるための情報をある程度変換することが必要になる。周知のデジタル署名技術の１つによれば、セキュアハッシュアルゴリズム１（ＳＨＡ−１）またはメッセージダイジェストアルゴリズム５（ＭＤ５）等の非可逆ダイジェストアルゴリズムまたは変換を用いて、デジタル署名する情報のダイジェストを生成する。次に、デジタル署名秘密鍵および署名アルゴリズムを用いて、ダイジェストをさらに変換してデジタル署名を生成する。秘密鍵に対応するデジタル署名公開鍵を用いて、デジタル署名を検証する。

制御した情報の文脈では、認証情報の一部として認証レベルのデジタル署名公開鍵をモバイル装置３０に挿入することにより、制御した情報のデジタル署名ベースのセキュリティを備えることになる。モバイル装置３０に送信する前に、制御した情報にデジタル署名して、次にモバイル装置３０に保存する前に、その認証レベルで認証された関係者だけが知っている、対応する認証レベルのデジタル署名秘密鍵を用いて制御した情報を署名したか検証し、署名した後で制御した情報が変更されていないか、挿入モジュール４４が検証する。従って、適切に認証した関係者が発信したか、少なくとも署名した制御した情報を、モバイル装置３０に保存して用いる。制御設定の形式の適切に署名した制御した情報を、制御設定記憶装置３８に保存する。他の種類の適切に署名した制御した情報も同様に処理して、制御設定記憶装置３８、ソフトウェアアプリケーション記憶装置３４または可能ならばモバイル装置３０上の他の記憶装置に保存する。

認証した関係者が制御したいと考える電子装置の、一旦設定したならば比較的頻繁に変更しない機能のセットに基づいて、制御した情報を設定する。認証レベルのデジタル署名秘密鍵を用いて、特定の認証レベルの認証した関係者だけがアクセスできる安全なコンピュータシステムまたはソフトウェア構成部品により、このような制御した情報にデジタル署名する。署名した制御した情報を次に、管理者コンピュータシステムおよび可能ならば他のコンピュータシステムがアクセス可能で必要ならば検索できる位置に保存する。

制御した情報挿入ツールは次に、署名した制御した情報をモバイル装置３０に送信する。どのくらいの頻度で制御した情報を変更するか、あるいは変更したいかにより、ローカルアクセスを署名した制御した情報に提供するために、署名した制御した情報をさらに、ネットワーク内の各コンピュータシステムに分散することもできる。新しい制御した情報を生成して署名した場合は、以下にさらに詳細に述べるように、署名した新しい制御した情報を好ましくは制御した情報の任意の既存のコピーと置き換える。制御した情報を幅広く分散することにより、制御した情報により簡単にアクセスできるようになる一方で、新しい制御した情報を設定した際に、制御した情報を共有するリモート記憶装置を更新しなければならない回数が低減することになる。

制御した情報挿入ツール上での制御した情報のデジタル署名の生成をサポートすることも可能である。しかしながら、これには、制御した情報挿入ツールが少なくとも１つの認証レベルのデジタル署名秘密鍵へアクセスできる必要がある。認証した関係者だけが制御した情報にデジタル署名することは一般に、デジタル署名秘密鍵へのアクセスを制限する点で好ましい。

ソフトウェアアプリケーションの場合に、署名した制御した情報を挿入モジュール４４またはアプリケーションローダ４２に送信する場合は、デジタル署名検証動作を実行する。デジタル署名を検証する場合は、次に制御した情報を、モバイル装置３０の制御設定記憶装置３８またはソフトウェアアプリケーション記憶装置３４内に保存する。ソフトウェアアプリケーションは、デジタル署名を検証する際に、任意の必要なインストール動作についても好ましくは実行する。デジタル署名の検証が失敗した場合は、制御した情報を保存しない。この場合、エラーまたは同様の表示をディスプレイ等のＵＩ４６上にユーザに対して出力して、エラーメッセージを制御した情報の送信元に返送して検証することもできるし、他のエラー処理動作を制御した情報送信元や、モバイル装置３０、その両方で実行することもできる。

デジタル署名鍵の重要性から判断して、認証した制御した情報を続いてモバイル装置３０に確実に挿入できるようにするために、任意の認証レベルの少なくとも第１の認証情報の挿入動作を好ましくは、その認証レベルの認証した関係者が実行する。これにより、認証レベルのデジタル署名鍵以外のデジタル署名鍵をモバイル装置３０に挿入することにより、ユーザが装置の制御を無効にしないようにする。

制御した情報を変更する場合は、つまり、オーナーが電子装置の使用を拡張したりさらに制限したり、または新しいソフトウェアアプリケーションを備えたりしたい場合は、制御した情報を挿入したり、必要な認証レベルで認証した関係者が承認するならば、例えば、新しい制御した情報を追加したり、既存の制御した情報と置き換えたりする。例えば、同じ認証レベルの新しい制御設定を設定して電子装置に挿入した場合は、制御設定の既存のバージョンを好ましくは置き換える。同様に、ソフトウェアアプリケーションの新しいバージョンを好ましくは、すでに電子装置にインストールした同じソフトウェアアプリケーションの既存のバージョンと置き換える。しかしながら、電子装置にインストールしていない新しいソフトウェアアプリケーションを好ましくは、既存のソフトウェアアプリケーションと置き換えないでインストールする。上述のように、新しい制御した情報を好ましくはデジタル署名して、署名した新しい制御した情報を、電子装置に挿入するために検索する１つ以上の位置に分散する。

署名した新しい制御した情報を電子装置に分散する任意の機構が、いくつか考えられる。新しい制御した情報を各制御した情報挿入ツールに分散する場合は、例えば、挿入ツールを好ましくは、新しい制御した情報の受信を検出して、次にモバイル装置３０を制御した情報の挿入ツールに接続する際に、新しい制御した情報をモバイル装置３０に送信するように構成する。上述のように、制御した情報挿入ポイント２３０（図２）を、電子装置のユーザが制御することもできる。多くの電子装置をコンピュータシステムと同調するように構成しているので、ユーザのコンピュータシステム内の制御した情報挿入ツールを実行することにより、この種の制御した情報の分散をサポートすることもできる。次に電子装置がコンピュータシステムと同調する際に、新しい制御した情報を次に、電子装置に挿入する。

あるいは、例えば、図１に示すように、新しい署名した制御した情報を、ＬＡＮ１８、ＷＡＮ１２、およびワイヤレスネットワークゲートウェイ１６を経由して、ワイヤレスネットワークを介して、モバイル装置に送信することもできる。このような署名した制御した情報を、直接または１つ以上の制御した情報挿入ツールを介してモバイル装置に送信することもできる。認証レベルのデジタル署名公開鍵を好ましくは、インターフェース／コネクタ５２および５０を介して、モバイル装置３０等の電子装置に初めに送信しているが、ワイヤレスまたは私設通信ネットワークリンク等の物理的に安全でないか、あるいは保護できない他の通信リンクを用いて、続いて、このような他のリンクを介して通信可能な電子装置に署名した制御した情報を送信することもできる。認証レベルのデジタル署名公開鍵をモバイル装置３０に挿入したならば、次に、挿入モジュール４４またはアプリケーションローダ４２が署名した、制御した情報の完全性および送信元識別をともにインターフェース／コネクタ５０またはワイヤレストランシーバ４８を介して受信したかどうかを検証することができる。この種の実施例では、例えば、制御した情報挿入ツールは、認証情報挿入ツール６４とは異なる種類のモバイル装置３０へのインターフェースを含むこともできる。

制御した情報の初めの記憶と、既存の制御した情報の置き換えとは、従って、挿入モジュール４４またはアプリケーションローダ４２が行ったデジタル署名の検証に依存する。当業者ならば、既存の情報を置き換える前に、電子装置が他のチェックを行うこともできることを理解するであろう。攻撃の再開を防ぐために、古い制御した情報を攻撃者に再送信して、電子装置が受信する。制御した情報は好ましくは、バージョン情報を含む。受信した制御した情報が既存の制御した情報よりも新しい場合にかぎり、既存の制御した情報を置き換える。一般に、より新しい制御した情報は、より高いバージョン数を持つ。

上述のように、認証情報を好ましくは、挿入ツール６４とインターフェース／コネクタ５０および５２とを用いてモバイル装置３０に挿入しているが、あるいは、更新した認証情報を、他の通信経路を介してモバイル装置３０に送信することもできる。例えば、認証レベルのデジタル署名秘密／公開鍵対を変更した場合は、認証情報を更新する。このために、挿入ツール６４は、ワイヤレスインターフェース／コネクタ５０および５２等の他の種類の通信モジュールを含むこともできる。任意のこのような更新は、既存の認証情報内のデジタル署名公開鍵を用いて、デジタル署名を検証することに依存する。

認証情報と、もしあれば対応付けられた制御設定とを、モバイル装置３０に挿入した場合は、モバイル装置３０上で生成した任意の認証レベルに対応付けられた制御ポリシーを実施する。モバイル装置３０上での制御ポリシーの執行を、アプリケーションローダ４２、挿入モジュール４４、およびプロセッサ４０が実行するオペレーティングシステムでサポートする。制御設定をチェックして、例えば動作を確実に許可することにより、アプリケーションローダ４２がソフトウェアアプリケーションインストールを制御して、挿入モジュール４４が認証情報および制御した情報の挿入を制御して、モバイル装置のオペレーティングシステムが他の装置動作を制御する。これ自体が認証レベルでの制御ポリシーを執行するソフトウェアアプリケーションまたはモジュールを、認証情報とともに電子装置に挿入できるようにすることも検討されている。ソフトウェアアプリケーションインストールの制御を、認証情報とともにこのようなソフトウェアモジュールを導入することにより設定する場合は、アプリケーションローダ４２またはアプリケーションローダ４２に関連して動作する制御ソフトウェアモジュールを、ソフトウェアアプリケーションインストール認証レベルに対応付けられた認証情報とともにモバイル装置３０に挿入する。

上記の説明は、主として、モバイル装置３０等の電子装置上のメモリに認証情報および制御した情報を書き込むことに関連している。しかしながら、オーナーまたは認証した関係者が、既存の情報を新しい情報と置き換えることなく認証情報または制御した情報を消去と考えることもある。この場合、情報は装置上のメモリに書き込まれていないので、署名した認証情報または制御した情報を装置に送信することはない。その代わり、消去コマンドまたは要求を装置に送信する。いくつかの実施例では、挿入モジュール４４が消去をさらに機能的にサポートする。

再び図３を参照すると、認証情報または制御した情報を認証情報記憶装置３６から消去した場合は、次に、消去コマンドまたは要求をデジタル署名して、挿入モジュール４４に送信する。新しい認証情報または制御した情報として、インターフェース／コネクタ５０またはワイヤレストランシーバ４８のいずれかを介して、署名したコマンドまたは要求をモバイル装置３０に送信することもできる。例えば、インターフェース／コネクタ５２にやはり接続した消去コマンド生成器または記憶装置を備えることにより、挿入ツール６４を、モバイル装置３０から既存の認証情報を消去するように構成することもできる。あるいは、認証情報の消去を、このような消去コマンド生成器または記憶装置およびインターフェースをモバイル装置３０に組み込んだ専用の消去ツールを用いて行うこともできる。制御した情報の消去は好ましくは、類似の方法で制御する。

デジタル署名を検証する場合は、モバイル装置３０上の既存の認証情報内のデジタル署名公開鍵を用いて、挿入モジュール４４がコマンドを実行するか、要求を完了する。ある例では、実行または完了の前に、バージョンの検証も発生する。あるいは、コマンドまたは要求を好ましくは無視して、およびエラーまたは障害表示をモバイル装置３０上のＵＩ４６にユーザに対して表示して、コマンドまたは要求または両方を送信する送信システムまたは装置に戻ることもできる。次に、さらにエラーまたは障害処理の手順を、送信システムまたは装置で実行することもできる。上記の説明から、消去、および任意の他のサポートした認証情報および制御した情報管理機能には、消去したあるいは管理した情報に対応付けられた特定の認証レベル、または階層認証レベル構造が存在するより高次の認証レベルで認証した関係者の署名が必要であることが理解されるであろう。

図３に示すように、モバイル装置３０上の他のシステムは、メモリ３２にアクセスできる。しかしながら、このような装置システムは、適切に署名した情報またはコマンドを提出することなく、認証情報または制御した情報を挿入し、変更し、または消去することができない。従って、認証情報または制御した情報を保存するソフトウェアアプリケーション記憶装置３４、認証情報記憶装置３６、および制御設定記憶装置３８等の、任意のデータ記憶装置を好ましくは、他の装置システムが用いる外部のファイルシステム等の保護されたメモリ領域に配置する。挿入モジュール４４およびアプリケーションローダ４２だけが、認証情報および制御した情報の挿入および消去に関するデジタル署名ベースの制御を維持するように、これらの記憶装置に対して書き込みおよび消去アクセスが行える。他の装置システムは、認証情報および制御した情報に対して読み出し専用のアクセスが行える。一実施の形態では、メモリ３２がアクセス可能な任意のシステムまたは構成部品をメモリ３２内の任意の位置からメモリ読み出し動作ができるように構成するが、挿入モジュール４４またはアプリケーションローダ４２が発信または認証した動作でない限り、認証情報または制御した情報を保存するメモリ位置への任意の書き込みまたは消去動作を禁止する。別の実施例では、メモリマネージャ（図示せず）を備えて、全メモリアクセス動作を管理する。動作を完了する前に、認証情報または制御した情報記憶装置に関わる任意の書き込みまたは消去動作を挿入モジュール４４またはアプリケーションローダ４２に命令してデジタル署名のチェックおよび認証を行うように、このようなメモリマネージャを構成する。これにより、認証情報および制御した情報を他の装置システムが読み出すが、デジタル署名を検証する際に、挿入したり、変更したり、消去したりすることだけを行っても良い。

図４は、認証情報を電子装置に挿入する方法を示すフロー図である。図４の方法は、認証レベルの認証情報を設定した時に、ステップ７２から開始する。これには、例えば、認証レベルのデジタル署名秘密／公開鍵対の生成または取得といった動作が関わる。次にステップ７４で、（以前の認証情報があれば）認証情報をデジタル署名して、電子装置に送信する。

ステップ７６では、例えば認証情報記憶装置でチェックすることにより、同じ認証レベルの認証情報がすでに電子装置上にあるかどうか判定を行う。認証情報の初期挿入等の認証情報が電子装置になければ、ステップ８４で認証情報を電子装置のメモリに保存することにより、認証情報を電子装置に挿入する。認証情報が初めに電子装置に挿入されていれば、必ずしもデジタル署名する必要はない。上述のように、初期認証情報挿入を好ましくは、直接または少なくとも装置のオーナー等の電子装置上で生成した認証レベルで認証した関係者の認証のもとで行う。

認証情報がすでに電子装置にあれば、ステップ７８で、受信した認証情報に対応付けられたデジタル署名をチェックする。ステップ８０で判定する際にデジタル署名を検証しない場合は、認証情報を電子装置に挿入しないで、ステップ８２でエラー処理を実行する。上述のように、エラー処理は、電子装置のＵＩ上にエラーまたは障害を表示して、認証情報を送信した挿入ツールまたはシステムにエラーまたは障害メッセージを送信するといった動作を含むこともできる。デジタル署名を検証したならば、ステップ８４で認証情報を電子装置に挿入する。図４に明確には示していないが、認証情報の挿入についても、既存の受信した認証情報内のバージョンまたはシーケンス情報に基づいて、リプレイ攻撃を介する古い認証情報の挿入を防止することもできる。図４の方法を各認証レベルで繰り返して、電子装置上に生成する。

認証レベルの認証情報を電子装置に挿入した後、ステップ７６、７８、および８０から明らかなように、その認証レベルの制御した情報の挿入を制限する。従って、電子装置の制御方法を実行する組織はやはり、このような機密情報へのアクセスと、可能ならば認証情報および制御した情報を挿入するのに用いる挿入ツールへのアクセスとを制御することにより、認証情報および制御した情報をその電子装置に挿入する必要がある情報の機密性を保護する手段を実行する。例えば、認証した関係者が用いて認証レベルの情報を挿入するデジタル署名秘密鍵等の機密情報を好ましくは、その認証レベルで認証した関係者だけがわかっているか、もしくはアクセス可能にする。しかしながら、このような情報を不正な関係者が入手したり、認証した関係者が失ったりするというきわめてまれな事態では、電子装置の制御方法が危険にさらされることもある。

不正な関係者が認証レベルのデジタル署名秘密鍵を入手した場合は、例えば、次に、その不正な関係者がそれ自身の制御した情報を電子装置に挿入することが考えられる。この状況では、認証レベルの認証した関係者が好ましくは、新しいデジタル署名公開／秘密鍵対を生成するか取得して、既存の鍵対と置き換えて、認証レベルの新しい公開鍵を含む新しい認証情報を設定して、既存の秘密鍵を用いて新しい認証情報にデジタル署名して、その認証レベルをサポートする各電子装置に新しい認証情報を挿入する。予防措置として、次に、新しい制御した情報についても好ましくはこのような電子装置に挿入して、不正な関係者が挿入したかもしれない任意の制御した情報と置き換える。

デジタル署名秘密鍵を用いることにより、不正な関係者はまた、認証レベルのそれ自身の秘密鍵に対応するデジタル署名公開鍵を含むそれ自身の認証情報を挿入することができる。不正な関係者が挿入した公開鍵を用いて新しい認証情報のデジタル署名を検証することができないので、このため、上述のように、認証した関係者が新しい認証情報を挿入することができなくなってしまう。認証した関係者がデジタル署名秘密鍵をなくした場合にも、同様な状況が発生する。これらの場合は、より低位の認証レベルでのセキュリティ破壊の招来を、より高次の認証レベルを介して修正する点で、階層認証レベル構造が望ましい。一実施の形態では、マスタ認証レベルを組織の電子装置ごとに生成する。これは、例えば、装置製造業者がデジタル署名公開鍵を電子装置に挿入することにより、実行することもできる。この鍵を、装置オーナーまたは装置オーナーが委任するエンティティが生成したり、これに提供したり、あるいは装置製造業者が保管することにより、機密情報が危険にさらされた後で装置製造業者がリカバリ動作を支援することができる。電子装置上の他の認証レベルすべての機密情報を失ったり、不正な関係者が入手したりしたとしても、装置製造業者またはオーナーの会社または組織外部の委任されたエンティティがこのような鍵を保持することにより、電子装置制御リカバリが行えることになる。マスタ認証レベルの機密情報を別々に維持しているので、製造業者または外部の委任エンティティでは、マスタ認証レベルで必要な機密情報が保護されていて、次に新しい認証情報を各電子装置に挿入することにより、認証レベルおよび装置制御再設定するのに用いることができるという前提になっている。

別の実施の形態によれば、ターゲットのリカバリ動作を実行する。認証レベルの機密情報をなくしたが不正な関係者がまだ入手していない場合は、装置制御は有効である。しかしながら、そのレベルで認証した関係者でさえも、その認証レベルの新しい認証情報または制御した情報を電子装置に挿入することはできない。認証レベルの機密情報は失われているが、同じ認証レベルの既存の認証情報をやはり利用することもできる。新しい認証情報および既存の認証情報をともにより高次の認証レベルで認証した関係者に提供することにより、より高次の認証した関係者が署名した新しい認証情報を、既存の認証情報を保存する装置だけに挿入する。この例では、署名した新しい認証情報をオーナーの電子装置すべてに送信できるが、既存の認証があった場合のみ、各電子装置に挿入する。例えば、この機能を、新しい認証情報とともに既存の認証情報を探索するソフトウェアアプリケーションに送信することにより、実行することができる。現在の装置制御ポリシーで必要な場合は、ソフトウェアアプリケーションについても署名することもできる。ターゲットのリカバリが、認証レベルの新しい認証情報を認証レベルを以前に生成した装置だけに挿入する。機密情報を不正な関係者が入手したが提供した認証した情報を不正な関係者が変更していなければ、このリカバリ機構もやはり有効である。

図４を参照すると、不正な関係者が置き換えたデジタル署名公開鍵に対応するデジタル署名秘密鍵、またはより高次の認証レベルに対応付けられた鍵を用いて署名した、新しい認証情報を電子装置で受信した場合は、ステップ８０で否定の判定が行われる。しかしながら、ステップ８２でのエラー処理が、各より高次の認証レベルの認証情報を用いてステップ７８および８０を繰り返すことを含んでいれば、次に、より高次の認証レベルに対応付けられた秘密鍵を用いて署名した新しい認証情報を電子装置に挿入することにより、装置制御を最終的にリカバリする。マスタ認証レベルのデジタル署名秘密鍵等の機密情報を他の認証レベルの機密情報とは別々に維持するので、認証レベルのセキュリティに違反した場合は、さらに装置制御リカバリの機構を備えることになる。

このリカバリ機構は装置製造業者または委任したエンティティによる操作が必要であるが、これにより、オーナーおよび製造業者または委任した関係者のいずれにとってもさらに経費がかかり、不便である、各電子装置の再プログラミングまたは再構築等の別のリカバリ動作を回避する。製造業者または委任したエンティティは、マスタ認証レベルをサポートする電子装置に挿入する新しい認証情報デジタル署名するだけである。

初期挿入する認証情報を電子装置上で認証レベルを生成して、その認証レベルの制御した情報を続いて電子装置に挿入することを制限する。図５は、制御した情報を電子装置に挿入する方法を示すフロー図である。

ステップ９２で、どのように電子装置を制御するかに基づいて、制御した情報を設定する。上述のように、制御した情報は、制御設定、ソフトウェアアプリケーション、または電子装置の動作に影響を与える他の情報を含むこともできる。次に、ステップ９４で、制御した情報に署名して、電子装置に送信する。ステップ９６、制御した情報のデジタル署名を次にチェックする。ステップ９８で、対応する認証レベルの認証情報に基づいて、デジタル署名を検証するかどうか判定する。デジタル署名を検証しない場合は、図４のステップ８２に関連して上記で説明したものと同様の動作を必要とするエラー処理を、ステップ１００で実行する。デジタル署名鍵を含む認証情報が以前に電子装置に挿入されていない場合は、制御した情報に対応付けられた認証レベルの電子装置に挿入したデジタル署名鍵に対応するデジタル署名鍵を用いて、制御した情報を署名しない。次に、ステップ９８でデジタル署名を検証しない。

ステップ９８でデジタル署名を検証する場合は、次に、ステップ１０１で、受信した制御した情報のバージョン数が既存の制御した情報のバージョン数よりも大きいかどうか判定するなどすることにより、受信した制御した情報が現在のものかどうか判定する。デジタル署名を検証して、受信した制御した情報が現在のものである場合は、ステップ１０２で、受信した制御した情報を電子装置に挿入する。ステップ１０２では、制御した情報を電子装置上の適切なデータ記憶装置に保存することが必要になる。例えば制御した情報がソフトウェアアプリケーションならば、インストール手順を実行する。そうでなければ、ステップ１００でエラー処理を実行する。

制御した情報がソフトウェアアプリケーションの場合は、制御した情報の挿入を制限することにより、ソフトウェアアプリケーションのインストールを制御する認証レベルが、電子装置の動作を制御するので、従って、特定のソフトウェアアプリケーションを装置にインストールする。しかしながら、制御設定の場合は、制御した情報自体を一旦挿入して、電子装置を制御する。

図６は、電子装置を制御する方法を示すフロー図である。図６の方法は、制御設定に基づく電子装置の制御を説明する一例である。上述のように、認証レベルごとに対応付けられた制御設定があるわけではない。

ステップ１１０では、動作要求を電子装置で受信する。動作要求は例えば、電子装置上で実行するソフトウェアアプリケーションからの機能の呼び出しや、ユーザ、ソフトウェアアプリケーション、または電子装置上のシステムによる動作実行の試行、等を含む。図５に関連して説明した挿入ベースのインストール制御の代わりに、ソフトウェアアプリケーションが承認したリストを指定する制御設定を用いて、ソフトウェアアプリケーションインストールを制御する場合は、動作要求は、ソフトウェアアプリケーションを受信してインストールすることも含む。このような要求を、ユーザ、ソフトウェアアプリケーション、装置システム、または可能ならばリモートシステムあるいは装置が発信する。ステップ１１２で判定する際に、動作要求に関係する認証情報が電子装置にない場合は、次に、その動作のための認証レベルが設定されていなかったので、ステップ１２２で動作を実行する。受信したソフトウェアアプリケーションの例では、ステップ１２２では、ソフトウェアアプリケーションを電子装置にインストールする必要がある。

別の実施の形態では、ステップ１１２での否定判定のデフォルト操作をエラー処理に戻す。認証レベルを装置で生成するまでは、このやり方で構成した電子装置は動作不能であるか、あるいは制限された機能しか持っていない。認証情報を挿入する前にオーナーが電子装置を従業員に支給する場合に、この種の構成は好ましい。

認証情報がある場合は、ステップ１１４で、対応付けられた制御設定についてもあるかどうか判定する。認証情報はあるが制御設定はない場合は、エラーメッセージを電子装置のユーザに提示して、動作要求を受信した送信元にエラー表示を返送するというエラー処理動作を、ステップ１１６で実行する。例えば、認証情報を電子装置に挿入して、動作に対応付けられた認証レベルを生成したものの、制御設定はまだ挿入していない場合に、この状況が発生する。この場合では、電子装置に認証情報が存在することは、制御設定がまだ挿入されていなくても、動作に対する何らかのレベルの制御が意図されていることを示している。制御設定がない場合は、ステップ１１２で制御設定があるかどうか判定して、次にステップ１１６でエラー処理に戻す動作により、認証レベルが生成されているが制御設定を挿入する前に、制御した動作を実行することを防止する。

あるいは、その一存で、オーナーまたは認証した関係者が制御設定を挿入する前に装置動作を制限したくない場合は、ステップ１１４での否定判定に応答したデフォルト操作をステップ１２２に戻すこともできる。機能の制御設定をサポートする認証レベルを生成したが、これをまだ設定していなかったり、配信していなかったりする場合は、この種のデフォルト操作は役に立つ。

要求した動作の種類のいくつかについても、デフォルト操作として部分的に完了することもできる。制御設定を続いて電子装置に挿入する場合は、ソフトウェアアプリケーションは実行可能ではないが、次に、許可されたソフトウェアアプリケーションリストに対してチェックするというように、例えば、受信したソフトウェアアプリケーションを電子装置に保存することもできる。本実施例では、ソフトウェアアプリケーションを電子装置に保存するが、制御設定を電子装置に挿入して、ソフトウェアアプリケーションのインストールを認証したか確認するまでは使用できない。チェックが行われていなくて不正であるかもしれないソフトウェアアプリケーションを保存することにより、利用可能なメモリ空間を消費しないように、このようなソフトウェアアプリケーションの保存に利用できるメモリ空間の量を好ましくは制限する。別の実施の形態では、受信したソフトウェアアプリケーションをインストールして、制御設定を挿入する場合は、制御設定に対してチェックして、許可されなければ次に削除する。このように、既存のソフトウェアアプリケーションおよびを可能ならば他の電子装置構成部品をチェックしたり、または制御設定を挿入する場合は構成設定をチェックしたりするということは、続く装置制御リカバリについても役に立つものである。例えば、不正な関係者が動作可能にしたりまたはインストールしたりした認証しない機能、構成設定、およびソフトウェアアプリケーションや、またはこのような関係者が挿入した認証情報または制御した情報を置き換える前に、これらが新しい認証情報および制御した情報に従っていなければ、無効にしたり、リセットしたり、あるいは削除したりする。

認証情報および制御設定をともに電子装置に挿入する場合は、ステップ１１８で、動作を許可するかどうか判定する。受信したソフトウェアアプリケーションおよび制御設定が承認したソフトウェアアプリケーションを指定する場合は、ステップ１１８では、ソフトウェアアプリケーションが承認したソフトウェアアプリケーションの１つであるかどうか判定することが必要になる。動作が許可されれば、要求した動作をステップ１２２で実行する。そうでなければ、ステップ１２０でエラー処理を実行する。

上述のように、制御設定は電子装置動作およびソフトウェアアプリケーションの許可および制限を含むだけでなく、必要なソフトウェアアプリケーションまたはモジュールのリストも含んでも良い。これらを時々チェックして必要なソフトウェアアプリケーションがすべて電子装置に確実に存在するようにすることもできる。例えば、電子装置を構成して、ある種類の動作要求を受信した場合は、ステップ１１８で必要なソフトウェアアプリケーションをチェックして、必要なソフトウェアアプリケーションをすべて発見した場合に限り、ステップ１２２で動作を実行するようさせることもできる。例えば、安全な通信ソフトウェアアプリケーションまたはユーティリティを電子装置にインストールしていない場合は、この機能により、企業オーナーが企業のメッセージングサービスまたはデータへのアクセス動作を防止することができる。

上記の図６に示す方法を、対応付けられた制御設定を有する認証レベルに適用する。ソフトウェアアプリケーションインストールのデジタル署名ベースの制御を提供する認証レベル等の制御設定を持たない認証レベルは、動作を基本的に図５に示すように制御する。つまり、特定の認証レベルの認証情報に基づいて動作を許可したりしなかったりする。このようなコマンドまたは要求の許可および制限を、代わりに制御設定内に指定するが、認証情報記憶装置、制御した情報記憶装置、またはソフトウェアアプリケーション記憶装置からのデータ書き込みまたはデータ消去のコマンドまたは要求を好ましくは、このやり方で制御する。

上記の説明は、説明のためだけで好適な実施の形態と関連することが理解されるであろう。上記のシステムおよび方法に関する多くの変形例があることが、当業者にとって明らかであろう。ここに特に説明してあってもなくても、このような明らかな変形例は、上記の本出願の範囲内に含まれる。

例えば、認証情報および制御した情報の挿入を、公開鍵デジタル署名方法以外で保護したり、デジタル署名と異なる他の手段で保護したりしても良い。認証情報のデジタル署名、制御した情報、および制限したコマンドまたは要求をチェックする代わりに、以前に挿入した電子装置のオーナーに対応付けられた暗号鍵を用いて、電子装置が暗号呼び掛けを発行しても良い。暗号鍵をオーナーの公開鍵とすることもできるし、あるいは、秘密鍵をオーナーおよび電子装置で共有することもできる。有効な呼び掛け応答が返送された場合は、認証情報挿入または制御した情報の挿入または消去等の動作を次に実行することもできる。対応する暗号鍵を用いなければ、有効な呼び掛け応答を生成することができないことが、当業者ならば理解されるであろう。例えば、認証情報または制御した情報を安全なチャネルを介して電子装置に送信するならば、代わりにデータの完全性および送信元認証を仮定することもできる。装置が適切に安全なチャネルを介して受信した情報を復号する場合は、次に、情報は有効で、認証した関係者が送信したものと考えられる。この後者の方法では、送信元および装置が公開／秘密鍵対、または共通対称鍵を共有している。

例えば、認証したソフトウェアアプリケーションリストを含む制御設定に基づいて、ソフトウェアアプリケーションインストールを制御する場合は、リストを探索して、受信したソフトウェアアプリケーションが認証したソフトウェアアプリケーションのうちの１つかどうか判定する。このような探索を図３のアプリケーションローダ４２が実行して、図６のステップ１１８で実行する。認証したソフトウェアアプリケーションリストは好ましくは、例えば、ソフトウェアアプリケーション送信元コードまたは実行用コードのハッシュ等の認証したソフトウェアアプリケーションを一意に識別する情報を含む。ソフトウェアアプリケーションデベロッパは任意のソフトウェアアプリケーションのファイル名を自由に選択するので、ファイル名で確実な認証チェックを行えるわけではない。しかしながら、ソフトウェアアプリケーションのインストール制御に対応付けられた認証レベルで認証した関係者が各認証したソフトウェアアプリケーションのハッシュを生成して、ハッシュを電子装置に挿入する制御設定内に含める場合は、認証したソフトウェアアプリケーションの特定のバージョンだけを電子装置にインストールすることができる。任意の受信したソフトウェアアプリケーションのハッシュを生成して、生成したハッシュが制御設定内のハッシュを一致する場合に限って、受信したソフトウェアアプリケーションにインストールする。異なる電子装置上の異なるハッシュアルゴリズムをサポートするために、各ソフトウェアアプリケーションの２つ以上ハッシュを制御設定に含めても良い。次に、任意の数の異なるハッシュアルゴリズムを用いて、受信したソフトウェアアプリケーションのハッシュを生成する。ハッシュではなく他の一意の変換を用いて、制御した情報を生成して、受信したソフトウェアアプリケーションを認証してインストールするかどうか判定することもできる。

また、制御設定も、電子装置にインストールする必要がある必須のソフトウェアアプリケーションを一意に識別する必要なソフトウェアアプリケーションのリストを指定しても良い。必要なソフトウェアアプリケーションリストにより、認証した関係者が、例えば、電子メッセージングおよび安全な通信等のある中心機能を、制御下にある全電子装置に確実にサポーさせることができる。上述のように認証したアプリケーションの文脈で、必要なソフトウェアアプリケーションリスト内のソフトウェアアプリケーションを、１つ以上のハッシュが一意に識別しても良い。モバイル装置３０（図３）では、プロセッサ４０、アプリケーションローダ４２、挿入モジュール４４、またはさらに装置構成部品またはシステムを、各必要なソフトウェアアプリケーションがあるか、各必要なソフトウェアアプリケーションのハッシュが必要なソフトウェアアプリケーションリスト内のハッシュと一致するか、確実に定期的にチェックするように構成する。ソフトウェアアプリケーションを変更する際に発生することだが、必要なソフトウェアアプリケーションがモバイル装置３０内にないか、またはそのハッシュが必要なソフトウェアアプリケーションリスト内のハッシュと一致しなければ、モバイル装置３０か、または少なくともその機能いくつかを使用できないようにする。

また、上記のシステムおよび方法を実行する電子装置が、図２および図３に示すよりも構成部品を少なく含んだり、あるいは多く含んだりしても良い。図７は、このような電子装置の一例としてのモバイル装置のブロック図である。

モバイル装置５００は好ましくは、少なくとも音声およびデータ通信機能を有する双方向通信装置であって、好ましくは、インターネット上の他のコンピュータシステムと通信する機能も有している。モバイル装置が備える機能によるが、モバイル装置を、データメッセージング装置、双方向ページャ、データメッセージング機能付き携帯電話、ワイヤレスインターネット機器、または（電話通信機能を持っていたりいなかったりする）データ通信装置と呼んでも良い。上述のように、このような装置を、ここでは一般に、単純にモバイル装置と呼ぶ。

モバイル装置５００は、トランシーバ５１１、マイクロプロセッサ５３８、ディスプレイ６２２、不揮発性メモリ５２４、ランダムアクセスメモリ（ＲＡＭ）５２６、補助入力／出力（Ｉ／Ｏ）装置５２８、シリアルポート５３０、キーボード５３２、スピーカ５３４、マイク５３６、短距離ワイヤレス通信サブシステム５４０、および他の装置サブシステム５４２を含む。トランシーバ５１１は、送受信アンテナ５１６、５１８、受信機（Ｒｘ）５１２、送信機（Ｔｘ）５１４、１つ以上のローカル発振器（ＬＯ）５１３、およびデジタル信号プロセッサ（ＤＳＰ）５２０を含む。不揮発性メモリ５２４内では、モバイル装置５００は、複数の他の機能を実行する音声通信モジュール５２４Ａ、データ通信モジュール５２４Ｂ、および複数の他の動作モジュール５２４Ｎ等の、マイクロプロセッサ５３８（および／またはＤＳＰ５２０）が実行できる複数のソフトウェアモジュール５２４Ａ〜５２４Ｎを含む。

モバイル装置５００は好ましくは、音声およびデータ通信機能を有する双方向通信装置である。従って、例えば、モバイル装置５００は、任意のアナログまたはデジタル携帯電話ネットワーク等の音声ネットワークを介して通信しても、データネットワークを介して通信しても良い。音声およびデータネットワークを、通信タワー５１９で図７に示す。これらの音声およびデータネットワークを、基地局、ネットワーク制御装置等の別々のインフラを用いて別々に通信ネットワークとしたり、または１つのワイヤレスネットワークに統合したりしても良い。従って、ネットワーク５１９を参照すると、１つの音声およびデータネットワークと別々のネットワークと両方を包含していることを理解されたい。

通信サブシステム５１１を用いて、ネットワーク５１９と通信する。ＤＳＰ５２０を用いて、送信機５１４および受信機５１２への通信信号の送受信を行って、送信機５１４および受信機５１２と制御情報を交換する。１つの周波数で音声およびデータ通信が発生する場合は、または間隔の狭い周波数で発生する場合は、送信機５１４および受信機５１２について、１つのＬＯ５１３を用いても良い。あるいは、異なる周波数を音声通信とデータ通信とで用いる場合、またはモバイル装置５００が２つ以上ネットワーク５１９と通信が行える場合は、次に、複数のＬＯ５１３を用いて、ネットワーク５１９で用いるものに対応する周波数を生成することができる。２つのアンテナ５１６、５１８を図７に示しているが、モバイル装置５００を１つのアンテナ構造で用いることもできる。音声およびデータ情報の両方を含む情報を、ＤＳＰ５２０とマイクロプロセッサ５３８との間のリンクを介して通信モジュール５１１と通信する。

周波数帯域、構成部品選定、電力レベル等の通信サブシステム５１１の詳細な設計は、モバイル装置５００が動作するような通信ネットワーク５１９に依存する。例えば、北米市場で動作するようになっているモバイル装置５００は、モビテックスまたはデータＴＡＣモバイルデータ通信ネットワークで動作するように設計し、ＡＭＰＳ、ＴＤＭＡ、ＣＤＭＡ、ＰＣＳ等の任意の各種の音声通信ネットワークで動作するように設計した通信サブシステム５１１を含むが、ヨーロッパで用いられるようになっているモバイル装置５００は、ＧＰＲＳデータ通信ネットワークおよびＧＳＭ音声通信ネットワークで動作するように構成されても良い。個別および統合型の他の種類のデータおよび音声ネットワークについても、モバイル装置５００で用いても良い。

モバイル装置５００の通信ネットワークアクセス要件についても、ネットワーク５１９の種類により異なる。例えば、モビテックスおよびデータＴＡＣデータネットワークでは、各装置に対応付けられた一意の識別番号を用いて、モバイル装置をネットワーク上で登録する。しかしながら、ＧＰＲＳデータネットワークでは、ネットワークアクセスはモバイル装置５００の加入者またはユーザに対応付けられている。ＧＰＲＳ装置は典型的には、加入者識別モジュール（”ＳＩＭ”）が必要となる。これは、ＧＰＲＳネットワーク上でモバイル装置５００を動作させるために必要である。ローカルまたは非ネットワーク通信機能（もしあれば）を、ＳＩＭを用いることなく動作させることもできるが、モバイル装置５００は、’９１１’緊急電話等の任意の法律上必要な動作以外は、ネットワーク５１９を介して通信する機能を実行することはできない。

任意の必要なネットワーク登録または起動手順が完了した後で、モバイル装置５００は、ネットワーク５１９を介して、好ましくは音声信号およびデータ信号をともに含む通信信号を送受信することができる。通信ネットワーク５１９からアンテナ５１６が受信した信号を受信機５１２に経由させて、信号増幅、周波数ダウン変換、濾波、チャネル選定およびアナログデジタル変換等の機能を実行する。受信した信号をアナログデジタル変換することにより、デジタル復調および復号化等のより複雑な通信機能を、ＤＳＰ６２０を用いて行うことができる。同様のやり方で、例えばＤＳＰ５２０で、ネットワーク５１９に送信する信号を変調および符号化を含む処理を行って、次に送信機５１４に送信して、デジタルアナログ変換、周波数アップ変換、濾波、増幅や、アンテナ５１８を介して通信ネットワーク５１９への送信を行う。１つのトランシーバ５１１を示して音声およびデータ通信をともに行うが、別の実施の形態では、モバイル装置５００は、複数の個別のトランシーバを含んでも良い。音声信号を送受信する第１のトランシーバ、およびデータ信号を送受信する第２のトランシーバ、または第１周波数帯域内で動作するように構成した第１トランシーバ、および第２の周波数帯域内で動作するように構成した第２のトランシーバ等である。

通信信号処理の他に、ＤＳＰ５２０はまた、受信機および送信機制御を行う。例えば、受信機５１２および送信機５１４内の通信信号に印可するゲインレベルを、ＤＳＰ５２０内で実行する自動ゲイン制御アルゴリズムを介して適用可能に制御しても良い。トランシーバ５１１をより高性能に制御するために、他の送信機制御アルゴリズムについても、ＤＳＰ５２０で実行することもできる。

マイクロプロセッサ５３８は好ましくは、モバイル装置５００の動作全体を管理して制御する。多くの種類のマイクロプロセッサまたはマイクロ制御装置をここで用いることもできるし、あるいは、１つのＤＳＰ５２０を用いてマイクロプロセッサ５３８の機能を実行することもできる。少なくともデータおよび音声通信を含む低レベルの通信機能を、トランシーバ５１１内のＤＳＰ５２０を介して実行する。音声通信アプリケーション５２４Ａおよびデータ通信アプリケーション５２４Ｂを含む高レベルの通信アプリケーションを不揮発性メモリ５２４に保存して、マイクロプロセッサ５３８が実行する。例えば、音声通信モジュール５２４が、モバイル装置５００と複数の他の音声装置との間でネットワーク５１９を介して、音声通話を送受信するように動作可能な高レベルのユーザインターフェースを備えても良い。同様に、データ通信モジュール５２４Ｂが、モバイル装置５００と複数の他のデータ装置との間でネットワーク５１９を介して、電子メールメッセージ、ファイル、オーガナイザ情報、短いテキストメッセージ等のデータを送受信するように動作可能な高レベルユーザインターフェースを備えても良い。

マイクロプロセッサ５３８はまた、ディスプレイ５２２、ＲＡＭ５２６、補助Ｉ／Ｏ装置５２８、シリアルポート５３０、キーボード５３２、スピーカ５３４、マイク５３６、短距離通信サブシステム５４０および概して５４２と示す任意の他の装置サブシステム等の他の装置サブシステムと相互作用する。例えば、モジュール５２４Ａ〜Ｎをマイクロプロセッサ５３８が実行して、高レベルのインターフェースをユーザまたはモバイル装置とモバイル装置との間に備えても良い。このインターフェースは典型的には、ディスプレイ５２２と、補助Ｉ／Ｏ装置５２８およびキーボード５３２、スピーカ５３４またはマイク５３６を介して備える入力／出力構成部品とを介して備えられる、グラフィック構成部品を含む。このようなインターフェースを、図３に概してＵＩ４６と示す。

図７に示すサブシステムのいくつかを通信関連機能として実行して、他のサブシステムを”常駐”または装置上の機能としても良い。特に、キーボード５３２およびディスプレイ５２２等のいくつかのサブシステムを、テキストメッセージを入力してデータ通信ネットワークを介して送信するといった通信関連機能と、計算機またはタスクリストまたは他のＰＤＡ型機能等の装置常駐機能との両方に用いても良い。

マイクロプロセッサ５３８が用いるオペレーティングシステムソフトウェアを好ましくは、不揮発性メモリ５２４等の永続記憶装置に保存する。オペレーティングシステムおよび通信モジュール５２４Ａ〜Ｎの他に、不揮発性メモリ５２４は、データを保存するファイルシステムを含んでも良い。不揮発性メモリ５２４はまた、認証情報および制御した情報のデータ記憶装置を含んでも良い。オペレーティングシステム、特定のデバイスアプリケーションまたはモジュールまたはその一部を、ＲＡＭ５２６等の揮発性記憶装置に一時的にロードして、動作を早くしても良い。また、受信した通信信号についても、不揮発性メモリ５２４に位置するファイルシステムに永続的に書き込む前に、ＲＡＭ５２６に一時的に保存しても良い。例えば、不揮発性メモリ５２４を、フラッシュメモリ、不揮発性ＲＡＭ、またはバッテリーバックアップＲＡＭで実行しても良い。

モバイル装置５００にロードすることもできる例示のアプリケーションモジュール５２４Ｎは、カレンダイベント、アポイントメントおよびタスク項目等のＰＤＡ機能を備えるＰＩＭアプリケーションである。このモジュール５２４Ｎもまた、音声通信モジュール５２４と相互作用して電話通話音声メール等を管理したり、データ通信モジュール５２４Ｂと相互作用して、電子メール通信および他のデータ送信を管理したりしても良い。あるいは、音声通信モジュール５２４およびデータ通信モジュール５２４Ｂの全機能をＰＩＭモジュールに統合しても良い。

不揮発性メモリ５２４は好ましくは、ファイルシステムを備えて装置上のＰＩＭデータ項目の保存を容易にする。ＰＩＭアプリケーションは好ましくは、それ自体がデータ項目を送受信する機能や、あるいは、ワイヤレスネットワーク５１９を介して音声およびデータ通信モジュール５２４Ａ、５２４Ｂと送受信する機能を含む。ＰＩＭデータ項目は好ましくは、ワイヤレスネットワーク５１９を介して、ホストコンピュータシステムに保存した、またはこれに対応付けられた対応するデータ項目のセットとシームレスに統合、同調、更新する。これにより、特定のユーザに対応付けられたデータ項目のミラーシステムを生成する。

モバイル装置５００をインターフェースクレードル内に配置することにより、モバイル装置５００をホストシステムとマニュアルで同調する。これにより、モバイル装置５００のシリアルポート５３０をホストシステムのシリアルポートと接続する。また、シリアルポート５３０を用いて、認証情報および制御した情報をモバイル装置５００に挿入して、他のアプリケーションモジュール５２４Ｎをダウンロードして、モバイル装置５００にインストールしても良い。このワイヤードダウンロード経路をさらに用いて、暗号化鍵をモバイル装置５００にロードして、安全な通信に用いても良い。これは、ワイヤレスネットワーク５１９を介して暗号化情報を交換する方法よりもずっと安全である。

認証情報、制御した情報、およびさらにアプリケーションモジュール５２４Ｎを、ネットワーク５１９を介して、補助Ｉ／Ｏサブシステム５２８を介して、モバイル装置５００にロードして、短距離通信サブシステム５４０を介して、または任意の他の適したサブシステム５４２を介して、ユーザが不揮発性メモリ５２４またはＲＡＭ５２６にインストールしても良い。このようなアプリケーションのインストールの融通性により、モバイル装置５００の機能を向上して、装置上の機能、通信関連機能、または両方を向上させる。例えば、安全な通信アプリケーションにより、モバイル装置５００を用いて電子商取引機能および他のこのような金融トランザクションを可能にする。

モバイル装置５００がデータ通信モードで動作している場合は、テキストメッセージまたはウェブページダウンロード等の受信した信号をトランシーバ５１１で処理して、マイクロプロセッサ５３８に供給する。これを好ましくは、さらに受信した信号を処理してディスプレイ５２２に出力したり、あるいは、補助Ｉ／Ｏ装置５２８に出力したりする。トランシーバ５１１が受信した認証情報または制御した情報に関連する認証情報、制御した情報、およびコマンドまたは要求を、上述のように処理する。モバイル装置５００のユーザはまた、キーボード５３２を用いて電子メールメッセージ等のデータ項目を作成しても良い。周知のＤＶＯＲＡＫ形式等の他の形式の完全英数字キーボードを用いても良いが、これは好ましくは、ＱＷＥＲＴＹ形式の完全英数字キーボードである。モバイル装置５００へのユーザ入力を、複数の補助Ｉ／Ｏ装置５２８を用いてさらに向上させる。これは、サムホイール入力装置、タッチパッド、各種のスイッチ、ロッカー入力スイッチ等を含んでも良い。ユーザが作成したデータ項目入力を次に、トランシーバ５１１を経由して通信ネットワーク５１９を介して送信する。

モバイル装置５００が音声通信モードで動作している場合は、受信した信号をスピーカ５３４に出力して、および送信音声信号をマイク５３６で生成することを除いて、モバイル装置５００全体の動作は基本的にデータモードと同じである。また、上記の安全なメッセージング技術を必ずしも音声通信に適用しなくても良い。音声メッセージ録音サブシステム等の別の音声またはオーディオＩ／Ｏ装置についてもモバイル装置５００で実行しても良い。スピーカ６３４を介して音声またはオーディオ信号出力を実行しているが、ディスプレイ５２２を用いて、通話している関係者の識別表示、音声通話の長さ、または他の音声通話関連情報行っても良い。例えば、音声通信モジュール５２４およびオペレーティングシステムソフトウェアに関連して、マイクロプロセッサ５３８が、入力音声通話の通話者識別情報を検出して、ディスプレイ５２２に表示しても良い。

短距離通信サブシステム５４０についても、モバイル装置５００に含める。例えば、サブシステム５４０は、赤外線装置および対応付けられた回路および構成部品またはブルーツースまたは８０２．１１短距離ワイヤレス通信モジュールを含んで、同様に実行可能なシステムおよび装置と通信を行っても良い。従って、上述のように、認証情報挿入および制御した情報挿入を、シリアルポート５３０または他の短距離通信サブシステム５４０を介して、モバイル装置５００上で行っても良い。

図７は、上記の装置制御システムおよび方法を実行する電子装置の具体例を表す。図７よりも少ない構成部品または異なる構成部品を有する他の電子装置におけるこのようなシステムおよび方法の実施例は、本出願の範囲内にあると考えられることが、本出願が関連する当業者にとって明らかであろう。例えば、図７にＳＩＭカードを明示していないが、ＳＩＭカードを用いて電子装置で制御システムおよび方法を実施することを理解されたい。ＳＩＭカードは現在メモリ構成部品に組み込まれているので、ＳＩＭカードを電子装置内に備えて用いる前に、認証情報、制御した情報、または両方を、ＳＩＭカードに挿入しても良い。その後、ＳＩＭカードをインストールした任意の電子装置を上述のように制御する。

また、当面の状況により、システムおよび方法のデータを、１つ以上のデータ構造として、コンピュータメモリおよび／または記憶装置に保存してもよい。また、システムおよび方法は、データ信号上で、またはキャリア信号（例えば、無線周波数キャリア信号）または他の通信経路（例えば、光ファイバ、赤外線等）を介して送信したそれらのデータおよびソフトウェアを有しても良い（例えば、パケット化データ信号）。

本発明は、装置ユーザが異なるような、複数のエンティティで電子装置の動作を制御する装置および方法を提供する。

図１は、電子装置を用いる通信システムを示すブロック図である。 図２は、認証情報および制御した情報を電子装置に挿入するシステムを示すブロック図である。 図３は、複数レベルで制御するシステムおよび方法を実行する電子装置のブロック図である。 図４は、認証情報を電子装置に挿入する方法を示すフロー図である。 図５は、制御した情報を電子装置に挿入する方法を示すフロー図である。 図６は、電子装置を制御する方法を示すフロー図である。 図７は、電子装置の一例としてのワイヤレスモバイル通信装置のブロック図である。

Claims (26)

1. 電子装置を複数レベルで制御することを管理する方法であって、
   選択した認証レベルのために認証情報を受信するステップと、
   該受信した認証情報を電子装置内の認証情報記憶装置に保存して、該受信した認証情報を該選択した認証レベルに対応付けて保存するステップと
   を含む、方法。
2. 前記選択した認証レベルを判定するステップをさらに含む、請求項１に記載の方法。
3. 前記選択した認証レベルを前記受信した認証情報に基づいて判定する、請求項２に記載の方法。
4. 前記認証情報記憶装置から認証情報を検索して、該検索した情報に基づいて前記受信した認証情報の信頼性を判定するステップをさらに含み、
   前記保存ステップは、該受信した認証情報が信頼できると判定された場合にのみ発生する、請求項１に記載の方法。
5. 前記認証情報検索ステップが、前記選択した認証レベルに対応付けられた認証情報の検索を含む、請求項４に記載の方法。
6. 前記認証情報検索ステップが、前記選択した認証レベルよりも高次の認証レベルに対応付けられた認証情報を検索することを含む、請求項４に記載の方法。
7. 前記認証情報検索ステップが、認証情報変更動作に対応付けられた認証レベルに対応付けられた認証情報を含む、請求項４に記載の方法。
8. 前記保存ステップの前に、前記受信した認証情報のデータの完全性を検証するステップをさらに含み、
   該受信した認証情報の完全性を検証した場合にのみ、該保存ステップが発生する、請求項４に記載の方法。
9. 前記保存ステップの前に、前記受信した認証情報のデータの完全性を検証するステップをさらに含み、
   該受信した認証情報の完全性を検証した場合にのみ、該保存ステップが発生する、請求項１に記載の方法。
10. 所定の認証レベルに対応付けられた制御した情報を受信するステップと、
    前記認証情報記憶装置に保存した認証情報に基づいて、該受信した制御した情報を認証するステップと、
    該受信した制御した情報を該所定の認証レベルに対して認証した場合は、該受信した制御した情報を制御した情報の記憶装置に保存するステップとをさらに含む、請求項１に記載の方法。
11. 前記受信した制御した情報の完全性を検証するステップをさらに含み、完全性を検証した場合のみ、該受信した制御した情報を保存する、請求項１０に記載の方法。
12. データの現在性、エラー検出またはこれらの組み合わせに基づいて、前記検証ステップを実行する、請求項１１に記載の方法。
13. 前記受信した制御した情報の認証ステップが、少なくとも前記所定の認証レベルに等しいレベルを有する１つ以上の認証レベルに対応付けられた認証情報を検索することを含む、請求項１０に記載の方法。
14. 前記認証情報検索ステップが、前記所定の認証レベルに対応付けられた認証情報を検索することを含む、請求項１３に記載の方法。
15. 電子装置の実行に対して、請求項１に記載のステップを実行することにより、電子装置に複数レベルで制御することを管理させる命令を格納する、１つ以上のコンピュータ読み出し可能媒体。
16. 電子装置を複数レベルで制御することを管理する方法であって、
    所定の認証レベルに対応付けられた制御した情報を受信するステップと、
    所定の認証レベルまたは認証情報記憶装置に保存したより高次の認証レベルに対応付けられた認証情報に基づいて、該受信した制御した情報を認証するステップと、
    該受信した制御した情報を該所定の認証レベルに対して認証した場合は、該受信した制御した情報を制御した情報記憶装置に保存するステップとを含む、方法。
17. 前記受信した制御した情報を検証するステップをさらに含み、完全性を検証した場合のみ、該受信した制御した情報を保存する、請求項１６に記載の方法。
18. 電子装置の実行に対して、請求項１６に記載のステップを実行することにより、電子装置に複数レベルで制御することを管理させる命令を格納する、１つ以上のコンピュータ読み出し可能媒体。
19. 電子装置を複数レベルで制御するシステムであって、
    それぞれの複数の認証レベルで認証情報を保存可能な認証情報記憶装置と、
    保存される制御した情報のそれぞれが認証レベルに対応付けられている、電子装置の動作に影響を与える制御した情報を保存可能な制御した情報の記憶装置と、
    該認証情報および制御した情報記憶装置と通信するプロセッサとを備え、
    該プロセッサが、少なくとも、
    動作要求を受信し、
    該受信した動作要求の動作に対応付けられた認証情報があるかどうか判定し、
    認証情報があると判定された場合には、該受信した動作要求の動作に対応する制御した情報を判定し、
    認証情報がないと判定された場合は、あるいは判定した制御した情報が受信した動作要求の動作の許可を含む場合は、該受信した動作要求の動作を実行するように、プログラムした、あるいは適用した１つ以上の処理要素を備える、システム。
20. 挿入モジュールをさらに備え、該挿入モジュールが、少なくとも、
    選択した複数の認証レベルのうちの１つに対応付けられた制御した情報を送信元から受信し、
    前記認証情報記憶装置に保存した認証情報および選択した複数の認証レベルのうちの１つに基づいて、該受信した制御した情報を認証し、
    該受信した制御した情報を複数の認証レベルのうちの選択した１つに対して認証した場合は、前記制御した情報の記憶装置に該受信した制御した情報を保存するように、プログラムした、あるいは適用した１つ以上の処理要素を備える、請求項１９に記載のシステム。
21. 前記挿入モジュールの１つ以上の処理要素がさらに、少なくとも、前記受信した制御した情報の完全性を検出するようにプログラムされ、あるいは適用されていて、完全性を検証した場合のみ、該受信した制御した情報を保存する、請求項２０に記載のシステム。
22. 挿入モジュールの完全性を検証する１つ以上の処理要素が、データの現在性、エラー検出またはこれらの組み合わせに基づいて、少なくとも、完全性を検証するようにプログラムされ、あるいは適用されている、請求項２１に記載のシステム。
23. 前記挿入モジュールが前記受信した制御した情報を受信する、制御した情報挿入インターフェースさらに備える、請求項２０に記載のシステム。
24. 挿入モジュールをさらに備え、該挿入モジュールが、少なくとも、
    選択した認証レベルの認証情報を受信し、
    該選択した認証レベルに対応付けられた前記認証情報記憶装置に該受信した認証情報を保存するように、プログラムした、あるいは適用した１つ以上の処理要素を備える、請求項１９に記載のシステム。
25. 挿入モジュールの１つ以上の処理要素がさらに少なくとも、前記認証情報記憶装置内の前記選択した認証レベルまたはより高次の認証レベルに対応付けられた認証情報に基づいて前記受信した認証情報を認証し、該受信した認証情報を認証した場合のみ、該受信した認証情報を保存するように、プログラムされている、あるいは適用されている、請求項２４に記載のシステム。
26. 前記挿入モジュールが前記受信した認証情報を受信する、認証情報挿入インターフェースをさらに備える、請求項２４に記載のシステム。

Images