JP6841703B2 - コンピュータ装置 - Google Patents

Description

本発明は、コンピュータウィルスに対処するコンピュータ装置に関する。

組織内のＬＡＮに接続されたＰＣ（パーソナルコンピュータ）が、インターネット等から取得したファイルに含まれるコンピュータウィルスに感染することを防止するため、種々の対策が考えられている（例：特許文献１，２）。

特許文献１のウィルス対策システムでは、組織内で使用する複数のＰＣが内部ネットワークに接続されているとともに、内部ネットワークが２段のステルスファイアウォールを介して外部のインターネットに接続されている。そして、２段のステルスファイアウォールの間には、コミュニケーション担当コンピュータやプログラム担当コンピュータが介在し、ユーザは、自分のＰＣからコミュニケーション担当コンピュータやプログラム担当コンピュータを遠隔操作する。こうして、ユーザは、コミュニケーション担当コンピュータやプログラム担当コンピュータを介して間接的にメールの閲覧やプログラムを実行することができる。これにより、コンピュータウィルスの感染は、コミュニケーション担当コンピュータやプログラム担当コンピュータに止まり、ユーザのＰＣがコンピュータウィルスにより感染することが防止される。

特許文献２は、第１のファイル形式のファイルを第２のファイル形式のファイルに変換することにより、第１のファイル形式のファイルに含まれている悪意あるコードが除去された第２のファイル形式のファイルを生成することを開示する。

特開２０１５−５０４７４号公報 特許第４６２９７９６号公報

しかしながら、特許文献１のウィルス対策システムは、システムが大規模になり、比較的小規模の組織のシステムには向いていない。また、該システムでは、ＰＣとコミュニケーション担当コンピュータやプログラム担当コンピュータとの間の通信は、通常、ＴＣＰ／ＩＰで行われるので、内部ネットワークとコミュニケーション担当コンピュータやプログラム担当コンピュータとの間に、２段目のファイルウォールの構築が必須となり、構造及び保守が複雑になる。

本発明の目的は、小規模かつ簡易な構造で、保守が簡単であるとともに、コンピュータウィルスに対処することができるコンピュータ装置を提供することである。

本発明のコンピュータ装置は、
セパレーション・カーネル・ハイパーバイザーが、単一の物理コンピュータを複数の仮想コンピュータに分離しているとともに、各仮想コンピュータに前記物理コンピュータのハードウェア資源の各部分を専有又は共有で割当て、かつ前記ハードウェア資源を介した仮想コンピュータ間の所定の遠隔操作を可能にしているコンピュータ装置であって、
第１仮想コンピュータは、前記物理コンピュータの外部から第１ファイルを取得するときの仮想コンピュータとして設定され、
第２仮想コンピュータは、前記第１ファイルを、悪意あるコードを含めることができず、画像の表示が可能な形式に変換した第２ファイル、又は前記第２ファイルをさらに変換した第３ファイルを生成するときのファイルの変換及び生成を行う仮想コンピュータとして設定され、
第３仮想コンピュータは、ユーザが前記セパレーション・カーネル・ハイパーバイザーを介して前記物理コンピュータの各仮想コンピュータ内のファイルを遠隔操作する仮想コンピュータとして設定され、
前記第３仮想コンピュータからの各仮想コンピュータのファイルの遠隔操作には、前記第２仮想コンピュータにおいて前記第１ファイルを前記第２ファイル又は前記第３ファイルに変換する機能と、前記ハードウェア資源を介して前記第１ファイルを前記第１仮想コンピュータから前記第２仮想コンピュータに一方向に複製又は移動させる機能と、前記ハードウェア資源を介して前記第２ファイル又は前記第３ファイルを前記第２仮想コンピュータから前記第１仮想コンピュータ及び第２仮想コンピュータ以外の他の仮想コンピュータに一方向に複製又は移動させる機能との少なくとも３つの機能を一括で又は分担して備える遠隔操作が設定されていることを特徴とする。

本発明によれば、セパレーション・カーネル・ハイパーバイザーにより単一の物理コンピュータに複数の仮想コンピュータが構築された上で、第３仮想コンピュータからの１回又は複数回の遠隔操作が実施される。これにより、第１仮想コンピュータが外部からの第１ファイルを取得する。次に、遠隔操作により、第２仮想コンピュータが、第１ファイルから悪意あるコードが除去された第２ファイルへの形式変換、又は第２ファイルからさらに第３ファイルへの形式変換を行う。さらに、第３仮想コンピュータは、第２ファイル又は第３ファイルを第１仮想コンピュータ及び第２仮想コンピュータ以外の仮想コンピュータに複製又は移動する。こうして、悪意あるコードが除去された第２ファイル又は第３ファイルを、ユーザが使用することができるようになる。

単一の物理コンピュータにおいて第１仮想コンピュータ及び第２仮想コンピュータは、その他の仮想コンピュータから分離した状態でそれぞれ第１ファイルの取得及びファイル形式の変換を行う。また、他の仮想コンピュータは、第２仮想コンピュータから第２ファイル又は第３ファイルを一方向に取得する。したがって、第１ファイルに悪意あるコードが含まれていたとしても、コンピュータウィルスの感染は、第１仮想コンピュータ及び第２仮想コンピュータに止まり、他の仮想コンピュータはコンピュータウィルスに感染することを防止することができる。

また、本発明によれば、外部からの第１ファイルの取得、第１ファイルから悪意あるコードを除去した第２ファイル又は第３ファイルへの変換、及び別の仮想コンピュータへの第２ファイル又は第３ファイルの複製又は移動は、１つの物理コンピュータ内で行う。この結果、小規模かつ簡易な構造で、保守が簡単であるとともに、コンピュータウィルスに対処することができるコンピュータ装置を提供することができる。

本発明のコンピュータ装置において、ユーザが、前記第１仮想コンピュータのＯＳにより表示される画像を前記第３仮想コンピュータからの遠隔操作により確認するとき、前記第１仮想コンピュータから前記第３仮想コンピュータへの前記画像の伝送は、ＴＣＰ／ＩＰを介して行われることが好ましい。

この構成によれば、第１仮想コンピュータから第３仮想コンピュータへの画像の伝送は、ＴＣＰ／ＩＰを介して行われる。この結果、物理コンピュータのハードウェア資源の負荷を低減しつつ、画像の伝送の高速化を図ることができる。

本発明のコンピュータ装置において、ユーザが、前記第１仮想コンピュータのＯＳにより表示される画像を前記第３仮想コンピュータからの遠隔操作により確認するとき、前記第１仮想コンピュータから前記第３仮想コンピュータへの前記画像の伝送は、前記セパレーション・カーネル・ハイパーバイザーによる管理の下で前記ハードウェア資源を介して行われることが好ましい。

この構成によれば、第１仮想コンピュータから第３仮想コンピュータへの画像の伝送は、セパレーション・カーネル・ハイパーバイザーによる管理の下でハードウェア資源を介して行われる。この結果、外部に対する第３仮想コンピュータの隔離性を高めることができる。

本発明のコンピュータ装置において、前記第２ファイルは、ビットマップ形式であることが好ましい。

この構成によれば、第２ファイルはビットマップ形式とされる。ビットマップ形式のファイルは、画像を表示する際に、画面の各画素の輝度を指定するデータのみから成り、悪意あるコードが存在する余地がない。また、ほとんどの形式のファイルは、ビットマップ形式に変換するソフトが存在して、変換が容易である。この結果、第１ファイルの内容の表示を確保しつつ、悪意あるコードを円滑に除去することができる。

本発明のコンピュータ装置において、前記第３ファイルの形式は、前記第１ファイルの形式と同一であることが好ましい。

この構成によれば、ユーザは、第３ファイルとして、悪意あるコードが除去されかつ第１ファイルと形式が同一であるファイルを得ることができる。この結果、ユーザは、取得した第１ファイルと同一形式のファイルを使用することが可能になり、使用上の便宜性が向上する。

本発明のコンピュータ装置において、前記第１ファイルは、電子メールに添付されたファイル、持ち運び可能な記憶媒体に記憶されたファイル、又はインターネットのウェブページに含まれるファイルであることが好ましい。

この構成によれば、コンピュータ装置は、外部からの第１ファイルの種々の取得形態に対処することができる。

本機としてのコンピュータ装置が適用されるネットワークシステムの模式図。 コンピュータ装置の模式図。 コンピュータ装置の機能説明図。 第３仮想コンピュータが第１仮想コンピュータ及び第２仮想コンピュータから伝送された画像に基づいて表示する表示画面を例示する図。 別のコンピュータ装置の機能説明図。

（ネットワークシステム）
図１は、本発明のコンピュータ装置１，４１（本機）が適用されるネットワークシステムの模式図である。コンピュータ装置１，４１は、ルータ２と共に企業体Ａ内に配備され、ルータ２を介してインターネット１０に接続されている。

企業体Ａ内では、コンピュータ装置１，４１は、ＬＡＮ５を介して複数のＰＣ３及び１以上のサーバ４に接続されている。ＰＣ３は、原則的に企業体Ａのユーザの一人一人に割当てられている。サーバ４は、企業体Ａ内専用のサーバであり、ファイル管理等の企業体Ａ内の使用に限定した処理を行う。コンピュータ装置１は、企業体Ａの外部としてのインターネット１０から種々の形式のファイルを取得する。

（コンピュータ装置）
図２は、コンピュータ装置１の模式図である。なお、コンピュータ装置４１については、後述の図５において、コンピュータ装置１とは別のコンピュータ装置として、コンピュータ装置１との相違点についてのみ説明する。

図２において、コンピュータ装置１は、ベアメタルと言われる単一の物理コンピュータ７にセパレーション・カーネル・ハイパーバイザー１２を実装したものになっている。物理コンピュータ７は、１台の物理コンピュータ７としてハードウェア資源１１を備えている。ハードウェア資源１１には、主要要素としてＴＰＭ（Trusted Platform Module）１９、中核資源（例：マルチコアＣＰＵ及びメモリ等）２０及び仮想化支援素子（例：ＶＴ−ｘ（ＶＴ：Virtualization Technology）、ＶＴ−ｄ及びＥＰＴ（拡張ページ・テーブル）等）２１が含まれる。

セパレーション・カーネル・ハイパーバイザー１２は、物理コンピュータ７に実装されることにより、物理コンピュータ７を複数の仮想コンピュータに分離する。この分離により、複数の仮想コンピュータは、相互に隔離された複数のドメインを形成することになる。本実施形態では、物理コンピュータ７は、第１仮想コンピュータ１５ａ、第２仮想コンピュータ１５ｂ、第３仮想コンピュータ１５ｃ、第４仮想コンピュータ１５ｄ及び第５仮想コンピュータ１５ｅの５つの仮想コンピュータに分離されている。以下、第１仮想コンピュータ１５ａ〜第５仮想コンピュータ１５ｅを特に区別しないときは、「仮想コンピュータ１５」と総称する。

セパレーション・カーネル・ハイパーバイザー１２が物理コンピュータ７に実装された後、各仮想コンピュータ１５には所定のＯＳ（オペレーティング・システム）がインストールされる。本実施形態では、第３仮想コンピュータ１５ｃのＯＳのみがＷｉｎｄｏｗｓ（登録商標）であり、第３仮想コンピュータ１５ｃ以外の他の仮想コンピュータ１５のＯＳはＬｉｎｕｘ（登録商標）である。セパレーション・カーネル・ハイパーバイザー１２は、また、各仮想コンピュータ１５のＯＳとハードウェア資源１１との間に介在して、各仮想コンピュータ１５にハードウェア資源１１の各部分を専有又は共有で割当て、かつ各仮想コンピュータ１５に共通の又は個別の機能を持たせている。セパレーション・カーネル・ハイパーバイザー１２による代表的な機能としては、ハードウェア資源１１を介した仮想コンピュータ１５間の遠隔操作がある。

図３は、物理コンピュータ７が行う各機能についての説明図である。第１仮想コンピュータ１５ａは、物理コンピュータ７が外部からファイルＦａ（第１ファイル）を取得するとき、物理コンピュータ７における唯一のドメインとなるように設定された仮想コンピュータである。ファイルＦａの取得元としては、第１仮想コンピュータ１５ａに接続されたＵＳＢメモリ２５のファイル、第１仮想コンピュータ１５ａが受信した電子メール２６の添付ファイル、及び第１仮想コンピュータ１５ａがアクセスしたインターネット１０上のウェブページ２７に含まれるファイルがある。第１仮想コンピュータ１５ａが取得したファイルＦａは、一部、悪意あるコードを含んでいることがある。悪意あるコードは、それを含むファイルＦａをユーザが開いたときに、ドメイン内のデータを書き換えたり、データを外部に漏出させたりする原因になる。

第２仮想コンピュータ１５ｂは、物理コンピュータ７においてファイルＦａをファイルＦｂ（第２ファイル）に変換するとき、物理コンピュータ７における唯一のドメインとなるように設定された仮想コンピュータである。第２仮想コンピュータ１５ｂは、ファイルＦｂを、さらに、ファイルＦｃ（第３ファイル）に変換することもできる。

ファイルＦａの形式として、例えば、ＪＰＥＧやＭｉｃｒｏｓｏｆｔ（マイクロソフト／登録商標）社のＷｏｒｄ（登録商標）等が挙げられる。また、ファイルＦｂは、悪意あるコードを含めることができず、画像表示が可能な形式が選定される。換言すると、ファイルＦｂは、それがユーザにより開かれたときに、内容の画像表示を保証しつつ、悪意あるコードによるドメイン内のデータの書き換えやデータの外部漏出を行うコードを排除したファイル形式となっている。

ファイルＦｂの形式は、例えば、ファイルＦａがＪＰＥＧ形式である場合は、ビットマップ（ＢＭＰ）形式であり、ファイルＦａがＷｏｒｄ（登録商標）の形式である場合は、ＰＤＦ（Portable Document Format）形式又はビットマップ形式である。なお、Ｗｏｒｄ（登録商標）には、Ｗｏｒｄ（登録商標）の形式のファイルを開いてから該ファイルをＰＤＦ形式のファイルに適宜変換する機能が標準で装備されている。

ビットマップ形式は、規格上、コンピュータに画像表示（表示器のピクセルの輝度表示）以外の処理を行わせるコードを含むことができないデータ構造になっている。したがって、ビットマップ形式のファイルＦｂは、それが開かれたときに、悪意あるコードが、作動して、コンピュータ内で好ましくない処理を行うことはない。一方、通常のＰＤＦ形式のファイルは、それが開かれたときに、コンピュータに画像表示以外の処理を行わせることを含むコードを挿入可能である。しかしながら、ファイルＦｂとしてのＰＤＦ形式のファイルは、悪意あるコードが書込まれる可能性のあるファイル内のフィールドは、例えばすべて「ｎｕｌｌ」にされる。

第２仮想コンピュータ１５ｂにおいて、ファイルＦｂからさらに変換される第３ファイルとしてのファイルＦｃの形式は、本実施形態では、ファイルＦａの形式と同一とされる。ファイルＦｃの形式は、例えば、ファイルＦａがＪＰＥＧ形式である場合は、ＪＰＥＧ形式であり、ファイルＦａがＷｏｒｄ（登録商標）の形式である場合は、Ｗｏｒｄ（登録商標）の形式である。形式がファイルＦａの形式と同一であるファイルＦｃについては、以降、ファイルＦａの添え字に揃えて、適宜、「ファイルＦａ’」で指示する。

第３仮想コンピュータ１５ｃは、ユーザがセパレーション・カーネル・ハイパーバイザー１２を介して、物理コンピュータ７の各仮想コンピュータ１５内のファイルを遠隔操作するドメインとなるように設定された仮想コンピュータである。該遠隔操作は、第３仮想コンピュータ１５ｃにインストールされたファイル操作アプリＡｐにより実現される。ファイル操作アプリＡｐは、セパレーション・カーネル・ハイパーバイザー１２のコマンドを使って、遠隔操作を含む各種機能を実行する。

遠隔操作には、少なくとも、次の機能Ｘ１〜Ｘ３が含まれる。なお、遠隔操作について以降に述べる機能は、１つの遠隔操作が所定の順序で実施されるように一括で備えるようにしてもよいし、複数の遠隔操作が分担して備えるようにしてもよい。各遠隔操作は、ユーザの１回の操作に対応している。

機能Ｘ１は、第２仮想コンピュータ１５ｂにおいてファイルＦａをファイルＦｂ、又はファイルＦｂをファイルＦａ’に変換する機能である。機能Ｘ２は、ハードウェア資源１１を介してファイルＦａを第１仮想コンピュータ１５ａから第２仮想コンピュータ１５ｂに一方向に複製又は移動させる機能である。機能Ｘ３は、ハードウェア資源１１を介してファイルＦｂ又はＦａ’を第２仮想コンピュータ１５ｂから、第１仮想コンピュータ１５ａ及び第２仮想コンピュータ１５ｂ以外の他の仮想コンピュータとしての第４仮想コンピュータ１５ｄ又は第５仮想コンピュータ１５ｅに一方向に複製又は移動させる機能である。

図３のファイル処理では、第２仮想コンピュータ１５ｂのファイルＦｂは第５仮想コンピュータ１５ｅに複製又は移動させられる。第２仮想コンピュータ１５ｂのファイルＦａ’は、第５仮想コンピュータ１５ｅに複製又は移動させられてもよいし、第４仮想コンピュータ１５ｄに複製又は移動させられてもよい。ここで、ファイルの複製とは、複製元のファイルが、複製先に複製された後も、複製元において残存する処理を意味するものとする。これに対し、ファイルの移動とは、移動元のファイルが、移動先に移動した後は、移動元において削除される処理を意味するものとする。

ファイル操作アプリＡｐが実現する遠隔操作には、さらに、次の機能Ｘ４が含まれる。機能Ｘ４は、ユーザが、第１仮想コンピュータ１５ａのＯＳ（図２の例では、Ｌｉｎｕｘ（登録商標））を使って、第１仮想コンピュータ１５ａのドメインのファイルＦａを開かせる機能である。機能Ｘ４は、さらに、ファイルＦａを開くことにより第１仮想コンピュータ１５ａのドメインにおいて表示画像として生成される画像を、第３仮想コンピュータ１５ｃのドメインに伝送する機能を含む。

機能Ｘ４による画像の伝送は、図３の例では、物理コンピュータ７の外部のチャネル（例：ＬＡＮケーブル）を介して行われ、該伝送には、該チャネルを介するＴＣＰ／ＩＰが使用される。第１仮想コンピュータ１５ａのドメイン内のファイルＦａが悪意あるコードを含んでいる場合、第１仮想コンピュータ１５ａのドメインでファイルＦａを開くと、第１仮想コンピュータ１５ａのドメインが悪意あるコードに起因するコンピュータウィルスに感染する虞がある。しかしながら、表示画像のデータ自体は、表示器のピクセルの輝度を指定するだけであり、悪意あるコードを含む余地はない。この結果、第３仮想コンピュータ１５ｃのユーザは、コンピュータウィルスによる第３仮想コンピュータ１５ｃの感染を回避しつつ、ファイルＦａの表示内容を確認することができる。

図４は、第３仮想コンピュータ１５ｃに接続中の表示器に、第１仮想コンピュータ１５ａ及び第２仮想コンピュータ１５ｂから第３仮想コンピュータ１５ｃに伝送した画像を表示したときの表示画面３３を例示している。表示画面３３において、背景画面としてのデスクトップ３４の上に、ウィンドウ３７ａ，３７ｂが表示されている。

ウィンドウ３７ａの画像は、第１仮想コンピュータ１５ａから第３仮想コンピュータ１５ｃに伝送された画像である。詳細には、第３仮想コンピュータ１５ｃが第１仮想コンピュータ１５ａを遠隔操作して、第１仮想コンピュータ１５ａにインストールされているブラウザを起動させて、該ブラウザに所定のウェブページ２７（図３）にアクセスさせる。該ブラウザは、第１仮想コンピュータ１５ａにおいてウェブページ２７を開き、画像を生成する。該画像のデータは、第１仮想コンピュータ１５ａから第３仮想コンピュータ１５ｃに伝送され、図４に示すように、ウィンドウ３７ａの画像としてデスクトップ３４の上に重ねられて表示される。

ウィンドウ３７ａに表示された画像には、ＪＰＥＧ形式のＪＰＥＧ画像Ｇ１，Ｇ２が含まれている。ＪＰＥＧ画像Ｇ１，Ｇ２には、悪意あるコードが含まれている可能性がある。したがって、第１仮想コンピュータ１５ａのブラウザは、画像を表示する際、悪意あるコードに制御されて、第１仮想コンピュータ１５ａはコンピュータウィルスに感染する虞がある。これに対し、コンピュータ装置１では、画像データのみが第１仮想コンピュータ１５ａから第３仮想コンピュータ１５ｃで伝送されて、ウィンドウ３７ａとして表示される。表示のためだけの画像データは、悪意あるコードを含むことができないので、悪意あるコードが第３仮想コンピュータ１５ｃのドメインに侵入して、第３仮想コンピュータ１５ｃがコンピュータウィルスに感染することが防止される。

ウィンドウ３７ｂの画像は、第２仮想コンピュータ１５ｂから第３仮想コンピュータ１５ｃに伝送された画像である。詳細には、第３仮想コンピュータ１５ｃが第２仮想コンピュータ１５ｂを遠隔操作して、第２仮想コンピュータ１５ｂにインスントールされているファイル管理ソフトとしてのファイラーを起動する。該ファイラーは、第２仮想コンピュータ１５ｂのドメインにストアされているファイルを表示する画像を生成する。該画像のテータは、第３仮想コンピュータ１５ｃからの遠隔操作により第２仮想コンピュータ１５ｂから第３仮想コンピュータ１５ｃに伝送され、図４に示すように、ウィンドウ３７ｂの画像としてデスクトップ３４の上に重ねられて表示される。

ウィンドウ３７ｂ内のファイラー画面において、各ファイルは、アイコンとファイル名とで表示される。具体的には、ＪＰＥＧ画像Ｇ１のファイル名は「○○１．ｊｐｇ．ｂｍｐ．ｊｐｇ」と表記され、ＪＰＥＧ画像Ｇ２のファイル名は「○○２．ｊｐｇ．ｂｍｐ」と表記されている。各ファイルの表記における拡張子の順番は、ファイルの形式の変換が行われた変換履歴を示している。すなわち、ファイル名の拡張子の左から右への順番で、各ファイルの形式が変換されたことを示している。

例えば、ＪＰＥＧ画像Ｇ１のファイル名の「○○１．ｊｐｇ．ｂｍｐ．ｊｐｇ」のファイルＦａ’は、拡張子の「ｊｐｇ．ｂｍｐ．ｊｐｇ」から、最初はＪＰＥＧ形式のファイルＦａ（ファイル名：○○１．ｊｐｇ）であり、次に、ビットマップ形式のファイルＦｂ（ファイル名：○○１．ｊｐｇ．ｂｍｐ）に変換され、最後に再びＪＰＥＧ形式のファイルＦａ’（ファイル名：○○１．ｊｐｇ．ｂｍｐ．ｊｐｇ）に変換されたことを意味する。ＪＰＥＧ画像Ｇ２のファイル名の「○○２．ｊｐｇ．ｂｍｐ」のファイルＦｂは、拡張子の「ｊｐｇ．ｂｍｐ」から、最初はＪＰＥＧ形式のファイルＦａ（ファイル名：○○２．ｊｐｇ）であり、次に、ビットマップ形式のファイルＦｂ（ファイル名：○○２．ｊｐｇ．ｂｍｐ）に変換され、その後は変換されていないことを意味する。

第３仮想コンピュータ１５ｃのユーザは、ウィンドウ３７ａ，３７ｂの表示状態から第１仮想コンピュータ１５ａのコンピュータウィルスの感染が予測できたとき又は定期的に、第１仮想コンピュータ１５ａ及び第２仮想コンピュータ１５ｂに割当てているハードウェア資源１１のメモリ領域（該メモリ領域は揮発性メモリのみから成る）をクリアする。なお、第１仮想コンピュータ１５ａ及び第２仮想コンピュータ１５ｂがコンピュータウィルスに感染したことは、例えば、所定の操作や画面表示の不具合等から判断することができる。

第１仮想コンピュータ１５ａ及び第２仮想コンピュータ１５ｂに割当てられているハードウェア資源１１のメモリ領域をクリアすることにより、第１仮想コンピュータ１５ａ及び第２仮想コンピュータ１５ｂは感染前の正常状態に戻る。なお、物理コンピュータ７を再起動すれば、仮想コンピュータ１５の全部が再起動されることになり、第１仮想コンピュータ１５ａ及び第２仮想コンピュータ１５ｂに専用に割当てられたメモリ領域だけでなく、ハードウェア資源１１の全メモリがクリアされて、コンピュータウィルスは除去される。

補足すると、遠隔操作により第１仮想コンピュータ１５ａ及び第２仮想コンピュータ１５ｂにおいて行われる処理は、物理コンピュータ７の不揮発性メモリとしての内蔵ハードディスクを関与させないか、物理コンピュータ７は内蔵ディスク等の不揮発性メモリを元々、装備しない。これに対し、ハードウェア資源１１の全部のメモリ領域は、ＲＡＭ等の揮発性メモリであるため、コンピュータ装置１の再起動のつど、記憶データがクリアされて、悪意あるコードは消去される。

図３のコンピュータ装置１では、さらに、第４仮想コンピュータ１５ｄ及び第５仮想コンピュータ１５ｅにおいて、所定のファイル処理が行われる。第４仮想コンピュータ１５ｄ及び第５仮想コンピュータ１５ｅのドメインにおけるファイルＦｂ又はＦａ’は、第２仮想コンピュータ１５ｂにおけるファイル形式の変換後のファイル、すなわち、検疫処理されたファイルであって、コンピュータウィルスが含まれていることはない。

したがって、第４仮想コンピュータ１５ｄ及び第５仮想コンピュータ１５ｅのドメインにおけるファイル処理は、第３仮想コンピュータ１５ｃから遠隔操作により行わなくても、第４仮想コンピュータ１５ｄ及び第５仮想コンピュータ１５ｅにおいて直接操作して行うことができる。しかしながら、第４仮想コンピュータ１５ｄ及び第５仮想コンピュータ１５ｅのドメインにおけるファイル処理も、ファイル操作アプリＡｐの前述の機能Ｘ１〜Ｘ４以外の他の機能に含ませて、ファイル操作アプリＡｐにより一貫して行えるようにしておけば、コンピュータ装置１のユーザは、処理作業を能率的に行うことができる。

第４仮想コンピュータ１５ｄにおけるファイル処理の目的は、コンピュータウィルスに対するファイルの安全性を高めるため、又は念のために、第２仮想コンピュータ１５ｂにおけるファイル変換処理を繰り返すことである。したがって、第４仮想コンピュータ１５ｄにおけるファイル処理は省略することができる。省略する場合は、ファイルＦａ’は、第４仮想コンピュータ１５ｄに取り込まれことなく、第２仮想コンピュータ１５ｂから第５仮想コンピュータ１５ｅに複製又は移動されて、第５仮想コンピュータ１５ｅからファイルＦｃとして各ユーザに配布されることになる。

具体的には、第２仮想コンピュータ１５ｂから第４仮想コンピュータ１５ｄに複製又は移動されたファイルＦａ’は、第４仮想コンピュータ１５ｄにおいて、ファイルＦｂ’に変換され、さらに、ファイルＦｂ’からファイルＦａ”に変換される。ファイルの形式は、ファイルＦｂ’はファイルＦｂと同一であり、ファイルＦａ”はファイルＦａ’、すなわちファイルＦａとも同一である。また、ファイルＦａ’からファイルＦｂ’への変換処理、及びファイルＦｂ’からファイルＦａ”への変換処理には、第２仮想コンピュータ１５ｂでファイルＦａからファイルＦｂへの変換処理、及びファイルＦｂからファイルＦａ’への変換処理に使用した変換ソフトと同一の変換ソフトを第４仮想コンピュータ１５ｄ専用にインストールしたものが使用される。

第４仮想コンピュータ１５ｄにおいて生成されたファイルＦａ”は、セパレーション・カーネル・ハイパーバイザー１２によりハードウェア資源１１を介して第４仮想コンピュータ１５ｄから第５仮想コンピュータ１５ｅに複製又は移動される。ファイルＦａ”は、第５仮想コンピュータ１５ｅにおいてファイルＦｃとして使用又はその他の場所に配布される。

第５仮想コンピュータ１５ｅにおけるファイル処理は、検疫済みのファイルＦｂ，Ｆａ’又はＦａ”（以下、「検疫ファイル」という）を所望のユーザに提供（使用又は配布）する処理である。ユーザへの検疫ファイルの提供の仕方は、具体例を示すと、次の（ａ）及び（ｂ）である。（ａ）第５仮想コンピュータ１５ｅにＵＳＢ端子で接続されているＵＳＢメモリ３１に第５仮想コンピュータ１５ｅのドメイン内の検疫ファイルを複製又は移動させる。（ｂ）ＬＡＮ５を介して第５仮想コンピュータ１５ｅのドメインに接続されているＰＣ３やサーバ４に検疫ファイルを転送して、各ＰＣ３やサーバ４において使用させるか、第５仮想コンピュータ１５ｅに検疫ファイルを残したまま、各ＰＣ３やサーバ４から遠隔操作で使用させる。

（別のコンピュータ装置）
図５は、図３のコンピュータ装置１とは別のコンピュータ装置４１の機能説明図である。コンピュータ装置１とコンピュータ装置４１との相違点は次の点である。第１仮想コンピュータ１５ａ又は第２仮想コンピュータ１５ｂのドメインから第３仮想コンピュータ１５ｃのドメインへの画像データの伝送は、コンピュータ装置１では、物理コンピュータ７の外部のチャネルを介してＴＣＰ／ＩＰにより行っている。これに対し、コンピュータ装置４１では、セパレーション・カーネル・ハイパーバイザー１２による管理の下でユーザが直接、ファイラー等を操作して、又はユーザから指示を受けたファイル操作アプリＡｐの作動により、物理コンピュータ７内のハードウェア資源１１を介して行っている。

ＴＣＰ／ＩＰの画像データの伝送では、第３仮想コンピュータ１５ｃから第１仮想コンピュータ１５ａ又は第２仮想コンピュータ１５ｂにアクノリッジ信号が返される。したがって、第１仮想コンピュータ１５ａ及び第２仮想コンピュータ１５ｂのドメインにすでに侵入した悪意あるコードがこのアクノリッジ信号を認知し、悪意ある処理の基に使用する虞がある。これに対し、コンピュータ装置４１では、画像データはセパレーション・カーネル・ハイパーバイザー１２によりハードウェア資源１１内を一方向の伝送のみ許容されており、第３仮想コンピュータ１５ｃのドメインから第１仮想コンピュータ１５ａ又は第２仮想コンピュータ１５ｂへのドメインに何らの信号も返されることはない。したがって、第１仮想コンピュータ１５ａ又は第２仮想コンピュータ１５ｂに侵入した悪意あるコードが第３仮想コンピュータ１５ｃの存在を認知することはない。

（変形例）
上記実施形態では、第３ファイルの形式は、第１ファイルの形式に一致させているが、必ずしも一致させる必要はない。第３ファイルの形式は、第１ファイル及び第２ファイルの形式とは異なる形式を選択することができる。

また、実施形態では、ハードウェア資源１１を介してファイルＦｂ又はファイルＦａ’を第２仮想コンピュータ１５ｂから、第１仮想コンピュータ１５ａ及び第２仮想コンピュータ１５ｂ以外の他の仮想コンピュータに一方向に複製又は移動させる。ここで、他の仮想コンピュータは、第４仮想コンピュータ１５ｄ又は第５仮想コンピュータ１５ｅであるが、本発明では、他の仮想コンピュータとして、第３仮想コンピュータ１５ｃを設定することもできる。

実施形態では、コンピュータ装置１，４１の物理コンピュータ７は、５つの仮想コンピュータに分離されている。本発明のコンピュータ装置の物理コンピュータでは、第４仮想コンピュータ１５ｄ及び第５仮想コンピュータ１５ｅは省略可能である。その場合、第３仮想コンピュータ１５ｃが第４仮想コンピュータ１５ｄ及び第５仮想コンピュータ１５ｅを兼ねることになる。

また、実施形態では、持ち運び可能な記憶媒体としてＵＳＢメモリ２５を用いたが、本発明は、持ち運び可能な記憶媒体として、ＵＳＢメモリ２５以外の記憶媒体、例えば、ＳＤカード等を用いることが可能である。

実施形態では、第３ファイルとしてのファイルＦａ’，Ｆａ”を生成している。しかしながら、本発明では、第３ファイルは生成することなく、第２ファイルのみを検疫ファイルとして使用することもできる。

実施形態では、ファイルＦａとして、Ｗｏｒｄ（登録商標）のファイルを例示している。本発明の第１ファイルは、Ｅｘｃｅｌ（登録商標）等の他の形式のファイルであってもよい。

１，４１・・・コンピュータ装置、７・・物理コンピュータ、１１・・・ハードウェア資源、１２・・・セパレーション・カーネル・ハイパーバイザー、１５ａ・・・第１仮想コンピュータ、１５ｂ・・・第２仮想コンピュータ、１５ｃ・・・第３仮想コンピュータ、２５・・・ＵＳＢメモリ（持ち運び可能な記憶媒体）、２６・・・電子メール、２７・・・ウェブページ。

Claims (6)

1. セパレーション・カーネル・ハイパーバイザーが、単一の物理コンピュータを複数の仮想コンピュータに分離しているとともに、各仮想コンピュータに前記物理コンピュータのハードウェア資源の各部分を専有又は共有で割当て、かつ前記ハードウェア資源を介した仮想コンピュータ間の所定の遠隔操作を可能にしているコンピュータ装置であって、
   第１仮想コンピュータは、前記物理コンピュータの外部から第１ファイルを取得するときの仮想コンピュータとして設定され、
   第２仮想コンピュータは、前記第１ファイルを、悪意あるコードを含めることができず、画像の表示が可能な形式に変換した第２ファイル、又は前記第２ファイルをさらに変換した第３ファイルを生成するときのファイルの変換及び生成を行う仮想コンピュータとして設定され、
   第３仮想コンピュータは、ユーザが前記セパレーション・カーネル・ハイパーバイザーを介して前記物理コンピュータの各仮想コンピュータ内のファイルを遠隔操作する仮想コンピュータとして設定され、
   前記第３仮想コンピュータからの各仮想コンピュータのファイルの遠隔操作には、前記ハードウェア資源を介して前記第１ファイルを前記第１仮想コンピュータから前記第２仮想コンピュータに一方向に複製又は移動させる機能と、前記第２仮想コンピュータにおいて前記第１ファイルを前記第２ファイル又は前記第３ファイルに変換する機能と、前記ハードウェア資源を介して前記第２ファイル又は前記第３ファイルを前記第２仮想コンピュータから前記第１仮想コンピュータ及び第２仮想コンピュータ以外の他の仮想コンピュータに一方向に複製又は移動させる機能との少なくとも３つの機能を一括で又は分担して備える遠隔操作が設定されていることを特徴とするコンピュータ装置。
2. 請求項１記載のコンピュータ装置において、
   ユーザが、前記第１仮想コンピュータのＯＳにより表示される画像を前記第３仮想コンピュータからの遠隔操作により確認するとき、前記第１仮想コンピュータから前記第３仮想コンピュータへの前記画像の伝送は、ＴＣＰ／ＩＰを介して行われることを特徴とするコンピュータ装置。
3. 請求項１に記載のコンピュータ装置において、
   ユーザが、前記第１仮想コンピュータのＯＳにより表示される画像を前記第３仮想コンピュータからの遠隔操作により確認するとき、前記第１仮想コンピュータから前記第３仮想コンピュータへの前記画像の伝送は、前記セパレーション・カーネル・ハイパーバイザーによる管理の下で前記ハードウェア資源を介して行われることを特徴とするコンピュータ装置。
4. 請求項１〜３のいずれか１項に記載のコンピュータ装置において、
   前記第２ファイルは、ビットマップ形式であることを特徴とするコンピュータ装置。
5. 請求項１〜４のいずれか１項に記載のコンピュータ装置において、
   前記第３ファイルの形式は、前記第１ファイルの形式と同一であることを特徴とするコンピュータ装置。
6. 請求項１〜５のいずれか１項に記載のコンピュータ装置において、
   前記第１ファイルは、電子メールに添付されたファイル、持ち運び可能な記憶媒体に記憶されたファイル、又はインターネットのウェブページに含まれるファイルであることを特徴とするコンピュータ装置。