JPH06243047A - セキュリティ機構を備えたコンピュータ・システム及び該システムの操作方法 - Google Patents

Abstract

(57)【要約】 【目的】 本発明の目的は、重要なデータにアクセスす
るための正当な特権を有するユーザのみが、そのデータ
にアクセスできるよう制限するための手段を、パーソナ
ル・コンピュータに提供することである。 【構成】 本発明によれば、特殊な記憶素子を設置する
ことによって、特権アクセス・パスワード（ＰＡＰ）の
受信及び記憶を行ない、また種々の機能やデータを活動
化するために認承されたアクセスと、ＰＡＰの使用とを
統合する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、パーソナル・コンピュ
ータ・システムに関し、特に、そのようなシステム内に
保有されているデータへのアクセスを制御できるセキュ
リティ機構を有すものに関する。

【０００２】

【従来の技術】一般的なパーソナル・コンピュータ・シ
ステム、特にＩＢＭのパーソナル・コンピュータが、現
代社会における多くの分野においてその機能を発揮して
広く利用されてきている。パーソナル・コンピュータ・
システムは、通常、デスク・トップ型、床置き型、ある
いは携帯用マイクロコンピュータとして定義することが
でき、一つのシステム・プロセッサと関連する揮発性及
び不揮発性の記憶素子、表示モニタ、鍵盤装置、一つ以
上のディスク駆動機構、固定ディスク記憶装置、及び選
択的な印刷装置から成るシステム・ユニットから構成さ
れる。これらのシステムの顕著な特徴の一つは、これら
の構成部品を互いに電気的に結合するためのマザーボー
ド（ここでいうのは、システム・ボード、システム・プ
レーナ、あるいは、プレーナとして知られているもの）
の使用である。これらのシステムは、基本的には、ひと
りのユーザに独立した計算能力を提供し、個人及び小企
業においても安価に購入できる価格に設計されている。
そのようなパーソナル・コンピュータ・システムの例と
して、ＩＢＭのパーソナル・コンピュータＡＴおよびパ
ーソナル・システム／２（ＰＳ／２）モデル２５、３
０、３５、４０、Ｌ４０ＳＸ，５０、５５、５７、６
５、７０、８０、９０、９５がある。

【０００３】これらのシステムは、一般に二つの群に分
類される。一つは、ファミリＩ型と通常言われており、
ＩＢＭのパーソナル・コンピュータＡＴ及び他の”ＩＢ
Ｍ互換”機に代表されるバス・アーキテクチャを使用し
ている。もう一つは、ファミリＩＩ型といわれており、
ＩＢＭ社のパーソナル・システム／２モデル５０〜９５
に代表されるマイクロ・チャネル・バス・アーキテクチ
ャを使用している。初期のファミリＩ型は、通常、一般
的なＩＮＴＥＬの８０８８か８０８６をシステム・プロ
セッサのマイクロプロセッサとして使用していた。後の
ファミリＩおよびファミリＩＩ型のあるものは、高速の
ＩＮＴＥＬの８０２８６、８０３８６、８０４８６のマ
イクロプロセッサが通常使用され、それによって、実モ
ードにおいては低速のＩＮＴＥＬ８０８６マイクロプロ
セッサをエミュレートし、あるいは保護モードにおいて
は、アドレス範囲を１ＭＢから４ＧＢに拡張する操作
が、いくつかの型について可能である。つまり、８０２
８６、８０３８６、８０４８６マイクロプロセッサの実
モードの機能は、８０８６及び８０８８用に書かれたソ
フトウェアについて、ハードウェアの互換性を提供する
ことである。

【０００４】近年世界的にパーソナル・コンピュータが
発展し、利用されてくるとともに、膨大なデータや情報
が収集されて、そのようなシステム内に保有されまた記
憶されてきている。このデータの多くは、性質として機
密を要すものである。取り扱いを誤ると、データが個人
にとって困惑するものになったり、企業が競争力を失っ
たり、あるいは、個人に対する肉体的暴力を引き起こし
たりする。ユーザがデータの機密性及びその価値をさら
に認識するようになるにつれ、そのような誤った使用に
対する保護が一層要求されてくる。記憶されたデータ及
びそれに関連する人間を保護するために、ユーザは、自
分の購入するパーソナル・コンピュータの中に、セキュ
リティ機構と保全性機構を組み込むことを要求してい
る。

【０００５】収集され、記憶されるデータの機密性を重
要視するのは、ユーザのみではない。政府もまた、機密
データの保護を強化する法律を施行しつつある。それは
合衆国政府だけではない。その現状の重要性が認識され
それに対応するようになった。合衆国連邦政府は、セキ
ュリティ・レベルとこれらのレベルに適応させるための
関連する必須要件を定め、パーソナル・コンピュータ製
品を製造する業者に対して、その製品が、その業者の申
請したセキュリティ・レベルに合っているかどうかを検
査するための認可機関を設立している。Ｆｅｄｅｒａｌ
Ｒｅｑｕｉｒｅｍｅｎｔｓの基本は、国防省の、トラ
ステッド・コンピュータ・システム評価基準（Ｔｒｕｓ
ｔｅｄ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｅｖａｌｕ
ａｔｉｏｎ Ｃｒｉｔｅｒｉａ）、ＤＯＤ ５２００．
２８ ＳＴＤ１２／８５であり、一般にオレンジブック
といわれているものである。政府は、１９９２年１月１
日より、政府に関するすべてのデータは、パーソナル・
コンピュータにおいてはセキュリティレベルＣ−２以上
でのみ処理され、記憶されなければならないという法律
を制定した。コンピュータシステムのハードウェアにお
いては、この必須要件は、本質的に保証セクション内に
含まれる。必須要件６には、”信頼できる機構は、不正
及びまたは不当な変更に対して、絶え間なく保護されな
ければならない。・・・”とある。

【０００６】最も初期の、ＩＢＭパーソナル・コンピュ
ータでいえばファミリＩ型のパーソナル・コンピュータ
・システムについてみると、ソフトウェアの互換性が最
も重要であると考えられていた。この目的を達成するた
め、”ファームウェア”とも言われている絶縁層のシス
テム常駐コードが、ハードウェアとソフトウェアの間に
確立されている。このファームウェアは、ユーザのアプ
リケーション・プログラムやオペレーション・システム
と入出力装置の間の操作インターフェースを提供し、ユ
ーザが、ハードウェア装置の特性について意識しなくて
もよいようにしている。最終的にこのコードは、システ
ムに新しい入出力装置を追加できるようにする一方、ア
プリケーション・プログラムをハードウェアの特異性か
ら絶縁する、基本入出力システム（ＢＩＯＳ）内として
開発されることとなった。ＢＩＯＳの重要性は、即座に
明らかになった。なぜなら、それによって、入出力装置
駆動機構が、特定の入出力装置のハードウェアに依存し
なくても良く、また入出力装置駆動機構に入出力装置と
の中間的なインターフェースを付けなくても良いからで
ある。ＢＩＯＳはシステムに統合された一部であり、シ
ステム・プロセッサのデータの入出力の移動を制御され
るので、システム・プレーナ上に設置され、読取専用記
憶素子（ＲＯＭ）としてユーザに出荷される。例えば、
原型のＩＢＭパーソナル・コンピュータ内のＢＩＯＳ
は、プレーナ・ボード上に設置されたＲＯＭの８Ｋバイ
トを占めていた。

【０００７】パーソナル・コンピュータ・ファミリの新
機種が登場すると、ＢＩＯＳは、新しいハードウェア及
び入出力装置を搭載するために改良され、拡張されなけ
ればならなかった。予測されたとおり、ＢＩＯＳは、記
憶素子の量を増加し始めた。例えば、ＩＢＭのパーソナ
ル・コンピュータＡＴの導入によって、ＢＩＯＳはＲＯ
Ｍの３２Ｋバイトを必要とするようになった。

【０００８】今日、新技術の開発により、ファミリＩＩ
型パーソナル・コンピュータ・システムは非常に精巧に
なって進歩し、消費者にも入手しやすくなっている。技
術が急速に変わり、新しい入出力装置がパーソナル・コ
ンピュータ・システムに加わっているため、ＢＩＯＳの
変更が、パーソナル・コンピュータ・システムの開発サ
イクルの中で重要な問題になってきた。

【０００９】例えば、マイクロ・チャネル・アーキテク
チャを持つＩＢＭのパーソナル・システム／２において
は、拡張ＢＩＯＳあるいはＡＢＩＯＳとして知られる非
常に新しいＢＩＯＳが開発された。しかしながら、ソフ
トウェアの互換性を維持するために、ファミリＩ型から
のＢＩＯＳを、ファミリＩＩ型にも組み込む必要があっ
た。ファミリＩ型のＢＩＯＳは、互換ＢＩＯＳ、あるい
はＣＢＩＯＳとして知られている。しかし、先に述べた
ように、ＩＢＭのパーソナル・コンピュータＡＴは、３
２ＫバイトのＲＯＭしか、プレーナ・ボード上に設置さ
れていない。幸いに、このシステムはＲＯＭを９６Ｋバ
イトまで拡張できるが、不運な点は、システムの制限の
ため、この９６Ｋバイトが、ＢＩＯＳに与えることので
きる最大の容量であることがわかったことである。運良
く、ＡＢＩＯＳ及びＣＢＩＯＳは、まだ９６Ｋバイトの
ＲＯＭの中に押し込むことができた。しかしながら、９
６ＫバイトのＲＯＭ領域のうちわずかな部分しか拡張の
ために残らなかった。将来的な入出力装置の追加につい
ては、最終的にＣＢＩＯＳおよびＡＢＩＯＳが、ＲＯＭ
空間からあふれてしまうと確信されている。このよう
に、新しい入出力技術は、容易にはＣＢＩＯＳ及びＡＢ
ＩＯＳ内に統合することができないであろう。

【００１０】これらの問題、及び開発サイクル内ででき
るだけ最新のファミリＩＩ型ＢＩＯＳにおいて変更を行
いたいという要望のために、ＲＯＭからＢＩＯＳ部をオ
フロードすることが必要になった。このことは、ＢＩＯ
Ｓ部を固定ディスクのような大容量記憶装置上に、好ま
しくはシステム区画として知られるそのようなディスク
の定義された部分に記憶することで達成された。このシ
ステム区画はまた、システム参照ディスケットのイメー
ジも記憶しており、それは、システム構成などを確立す
る際に用いられるある種のユーティリティ・プログラム
を含んでいる。ディスクは読取りと同様に書込みも可能
なので、ディスク上の実際のＢＩＯＳコードを変更する
ことは実現可能になった。ディスクは、高速で効率の良
い方法でＢＩＯＳコードを記憶できるが、それにもかか
わらず、ＢＩＯＳコードが不良になる可能性が非常に大
きくなった。ＢＩＯＳは、オペレーティング・システム
に統合された一部であるため、ＢＩＯＳの不良によっ
て、破壊的な結果を生じ、多くの場合システムが完全に
故障及び操作不能になる。このように、固定ディスク上
のＢＩＯＳコードの不当な変更を防ぐための手段が、切
実に望まれていることが、明らかとなった。これは、８
９年８月２５日出願の米国出願３９８，８２０号で１９
９１年６月４日に特許された米国特許５，０２２，０７
７号の解決しようとする課題である。この特許を参照す
れば、本発明を理解するのに役立つ付加的情報が得られ
る。またこの特許の開示内容は、ここに開示された本発
明の完全な理解のためこの明細書中に必要な部分を参照
することとする。

【００１１】ＩＢＭのＰＳ／２の導入によって、マイク
ロ・チャネル・システムは、入出力カード及びプレーナ
からスイッチとジャンパを取り除いた。マイクロ・チャ
ネル・アーキテクチャは、それらに替わってプログラム
可能なレジスタを提供する。このため、これらのプログ
ラム可能なレジスタあるいはプログラマブル・オプショ
ン・セレクト（ＰＯＳ）レジスタを構成するためのユー
ティリティが、必要となった。これらのユーティリテ
ィ、及び他のユーティリティは、システムの診断に従っ
て、システムの使用性を向上させるためのものであり、
それぞれのシステムにおいて、システム参照ディスケッ
トの上に搭載される。

【００１２】最初の使用に先立って、それぞれのマイク
ロ・チャネル・システムは、そのＰＯＳレジスタを初期
化する必要がある。例えば、システムに新しい入出力カ
ードを立ち上げた場合、あるいは入出力カード用のスロ
ットを変えた場合、構成エラーが発生し、そのシステム
立ち上げ手続きが停止する。ユーザは、それからシステ
ム参照ディスケットをロードし、Ｆ１キーを押すように
指示される。そうすると、”構成設定ユーティリティ”
をシステム参照ディスケットから立ち上げることがで
き、システムを構成する。構成設定ユーティリティは、
ユーザに対し必要な操作を指示する。もし適当な入出力
カードの記述ファイルが、システム参照ディスケット上
にロードされれば、構成設定ユーティリティは、正しい
ＰＯＳあるいは不揮発性記憶素子内の構成データを作成
する。記述ファイルは、そのカードのシステムへのイン
ターフェースのための構成情報を含んでいる。

【００１３】

【発明が解決しようとする課題】以上のことを前提とし
て、本発明は、前述のような型をもつパーソナル・コン
ピュータに対して、特定の重要な（critical）データに
対するアクセスを、そのデータにアクセスする正当な特
権を有した者のみに制限するための装置及びその操作手
段を提供することを目的とする。

【００１４】

【課題を解決するための手段】上記目的を実現するため
に、本発明においては、特殊な記憶素子を設けることに
よって、特権アクセス・パスワード（以下ここでは”Ｐ
ＡＰ”という。）の受信及び記憶を行い、そして種々の
機能やデータを活動化するために認承されたアクセス
と、ＰＡＰの使用とを統合する。

【００１５】本発明はさらに、ユーザが、利用できるセ
キュリティ装備を活動化するかあるいはしないかを選択
できることも目的とする。それによって、そのシステム
を、システム利用上の安全保護のためのさまざまな必要
性あるいは要望に応じて適合させることができる。この
目的を実現するために、本発明によって構成されたシス
テムは、要望されれば政府基準のセキュリティ要件に適
合させられるし、また一方、使用環境が許すならば、実
質的に安全保護されない状態で使用される。このよう
に、このシステムのユーザは、システムの適用業務にお
いて、大きな柔軟性を得られる。

【００１６】

【実施例】以下に本発明を、好ましい実施例を示した図
を参照してより詳細に記述するが、説明を始めるにあた
って、適切な当業者であれば本発明の有用な効果を得よ
うとしてここに記述された発明を修正することもあると
考えられる。したがって、以下の記述は、一般的な技術
者に指示するための大まかな、説明のための開示であっ
て、本発明を限定するものではない。

【００１７】以下の、いくつかの定義された用語がここ
で使用される。

【００１８】トラステッド・コンピューティング・ベー
ス（ＴＣＢ）： コンピュータ・システム内の保護機構
全体であり、ハードウェア、ファームウェア、ソフトウ
ェアを含む。それらの組合せが、セキュリティ方策（se
curity policy）の強制に対して責任を追う。ＴＣＢは
一つ以上の構成部分からなり、それらがまとまって製品
あるいはシステム全体の統合されたセキュリティ方策を
強制する。セキュリティ方策を正確に強制するためのＴ
ＣＢの能力は、ＴＣＢ内の機構とシステム管理人による
セキュリティ方策に関するパラメータ（例えばユーザの
取り扱い許可）のみに依存する。

【００１９】トラステッド・ソフトウェア： トラステ
ッド・コンピューティング・ベース（ＴＣＢ）のソフト
ウェア部分。

【００２０】トラステッド・プログラム： トラステッ
ド・ソフトウェアに含まれるプログラム。

【００２１】オープン・プログラム： トラステッド・
コンピューティング・ベース（ＴＣＢ）上で操作できる
プログラムで、トラステッド・プログラム以外のもの。

【００２２】参照モニタ・コンセプト： サブジェクト
によるオブジェクトへのすべてのアクセスを調停する抽
象マシンを参照するアクセス制御構想。

【００２３】セキュリティ・カーネル： 参照モニタ・
コンセプトを実行するトラステッド・コンピューティン
グ・ベースのハードウェア、ファームウェア、ソフトウ
ェアの要素である。これは、すべてのアクセスを調停
し、変更から保護され、かつ、正確なものと確証可能で
なければならない。

【００２４】トラステッド・コンピュータ・システム：
機密性のある、あるいは分類された情報の領域を同時
に処理するために使用できる、十分なハードウェアとソ
フトウェアの保全手段を備えたシステム。

【００２５】システム・オーナー： システム・オーナ
ーは、最初に、安全保護モードにシステムを構成し設置
する責任のあるユーザである。システム・オーナーは、
初期設定時及び必要なときはいつでも構成を制御する。
システム・オーナーは、特権アクセス・パスワードを制
御しまたその保全性を維持する責任がある。システムオ
ーナーはまた、不正検知カバー錠機構の鍵の物理的セキ
ュリティを図る責任を負う。システム・オーナーは、す
べてのシステム上の経過記録のセキュリティにも責任が
ある。システム・オーナーは、一つ以上のシステムを所
有することがある。システム・オーナーは、特権ユーザ
と考えられ、かつ一般ユーザであっても良い。

【００２６】安全保護モード： セキュリティ要素及び
保全性要素によって提供されるセキュリティ保護を呼込
むために、システム・オーナーが、パーソナル・コンピ
ュータ上に、首尾よく特権アクセス・パスワードを導入
したときのモード。

【００２７】特権ユーザ： 特権アクセス・パスワード
の使用を許可されたすべてのユーザ。特権ユーザは、シ
ステム・オーナーであってもなくても良い。特権ユーザ
は、特定のあるいは一組のシステムの鍵を所有しても良
い。セキュリティの漏洩からシステムを回復する際に、
特権ユーザが関係する場合は、そのことをシステム・オ
ーナーに報告する責任がある。特権ユーザは、一般ユー
ザであっても良い。

【００２８】一般ユーザ： システム機能を使用するこ
とを許可されたすべてのユーザ。システム構成を変更す
るため、あるいは問題を特定するために、一般ユーザ
は、システム・オーナーあるいは特権ユーザに援助を求
める。一般ユーザは、特権ユーザかシステム・オーナー
を兼ねていないかぎり、特権アクセス・パスワードある
いは不正検知カバー錠機構の鍵（tamper evident cover
keylock key）を所有していない。

【００２９】無許可ユーザ： システム・オーナー、特
権ユーザ、一般ユーザ以外のすべての者。安全保護され
たパーソナル・コンピュータ・システムにおける無許可
ユーザによるどのような使用も、電源が起動しなかった
場合を除いて、セキュリティの漏洩とみなされる。その
ような漏洩を明らかにするために追跡監査が行われなけ
ればならない。

【００３０】ＥＰＲＯＭ： 電気的に書換え可能な読取
専用記憶素子。この記憶素子技術によって、データの不
揮発性記憶が、ハードウェア論理の制御の下で変更可能
になる。記憶素子の内容は、電源を切っても失われな
い。その内容は、モジュールへの適切な制御信号が、あ
らかじめ決められた手順で与えられたときのみ、書換え
られる。

【００３１】パスワード記述： システムは、二つのパ
スワードによって保護される機能を有している。即ち、
一つは、特権アクセス・パスワード（ＰＡＰ）、もう一
つはは、電源起動パスワード（ＰＯＰ）である。これら
のパスワードは、互いに独立に使用されるようになって
いる。ＰＡＰは、初期プログラムロード（ＩＰＬ）装置
立上げリスト、パスワード・ユーティリティへのアクセ
ス、及びシステム参照ディスケットあるいはシステム区
画へのアクセスを保護することによって、システムオー
ナーを保護できるように設計されている。システム区画
は、ＰＡＰが導入されていないかあるいは電源起動手順
の間にＰＡＰが初期入力された場合に、ＰＯＳＴエラー
に応答して（あるいはウォーム立上げの際）のみ立ち上
げられる。ディスケットからの初期ＢＩＯＳロード（Ｉ
ＢＬ）は、システム参照ディスケットを立ち上げるのと
同じ方法で安全保護を図られる。ＰＡＰの存在は、ＰＯ
Ｐを使用する一般ユーザには意識されない。ＰＡＰは、
システム参照ディスケットあるいはシステム区画内のユ
ーティリティによって導入、変更、あるいは削除され
る。ＰＡＰが正しくセットされて入力されたとき、ＰＯ
Ｐに優先して、オーナーは、システム全体にアクセスで
きる。ＰＯＰは、現在のすべてのＰＳ／２システム上で
有効であり、ＤＡＳＤ上のオペレーティング・システム
あるいはシステム機能への無許可のアクセスを防ぐため
に使用される。

【００３２】添付の図面を参照すると、本発明を実施し
たマイクロコンピュータが、図１の１０で示されてい
る。上記したように、コンピュータ１０は、関連するモ
ニタ１１、鍵盤装置１２、及び印刷装置又はプロッタ１
４を備えている。図２に示すように、コンピュータ１０
は、シャーシ１９と組み合わされたカバー１５を有し、
デジタル・データを処理及び記憶するための電気的に稼
働するデータの処理及び記憶部品を収納する、外装され
シールドされた本体を形成する。。図２に示された形態
では、コンピュータ１０はまた、随意の入出力ケーブル
接続のカバー１６を有し、コンピュータシステムの入出
力ケーブルの接続部を覆い、保護している。少なくとも
ある種のシステム部品は、多層プレーナ２０（ここで
は、マザーボードあるいはシステム・ボードともいう）
上に装着されている。多層プレーナは、シャーシ１９に
取り付けられ、先に明示したもの及びフロッピ・ディス
ク装置、種々の形の直接アクセス記憶装置、アクセサリ
ー・カードあるいはボード等の関連素子を含むコンピュ
ータ１０の構成部品を電気的に内部接続するための手段
となっている。

【００３３】シャーシ１９は、底面及び背面パネル（図
２のように、ケーブル接続カバー１６で外部を覆われる
場合もある。）を有し、磁気あるいは光学ディスク、テ
ープ・バックアップ装置などのためのディスク装置のよ
うなデータ記憶装置を収納するために、少なくとも一つ
の空いた部分を設定している。図示された形態では、上
部の空間２２は、ある大きさの周辺機器駆動機構（３．
５インチ駆動機構として知られている様なもの）を受容
するのに適合している。フロッピー・ディスク装置は、
この上部空間２２に備え付けても良い。それは、一般に
知られているように取り外しできる媒体の直接アクセス
記憶装置で、その中にディスケットを挿入することがで
き、またデータを受信し、記憶し、送り出すためにディ
スケットを使用することができる。

【００３４】上記の構造を本発明と関連付ける前に、パ
ーソナル・コンピュータ・システム１０の一般的な操作
の概要を、説明する。図３は、本発明に沿ったシステム
１０のようなコンピュータ・システムの種々の構成部分
を図示したパーソナル・コンピュータ・システムのブロ
ック図である。その中には、プレーナ２０に装着された
構成部分、プレーナの入出力スロットへの接続部、及び
他のパーソナル・コンピュータ・システムのハードウェ
アが含まれる。プレーナに接続されているのは、システ
ム・プロセッサ３２である。ＣＰＵ３２としては、適当
なマイクロプロセッサを用いることができる。適当なマ
イクロプロセッサの一つは、ＩＮＴＥＬ社の８０３８６
である。ＣＰＵ３２は、高速ＣＰＵローカル・バス３４
によって、バス・インターフェース制御ユニット３５、
ここではシングル・インライン記憶素子モジュール（Ｓ
ＩＭＭ）として示されている揮発性ランダム・アクセス
記憶素子（ＲＡＭ）３６、及びＣＰＵ３２への基本入出
力操作のための命令を記憶したＢＩＯＳ ＲＯＭ３８に
接続される。ＢＩＯＳ ＲＯＭ３８は、入出力装置との
インターフェースに使用されるＢＩＯＳとマイクロプロ
セッサ３２のオペレーティング・システムを含む。ＢＩ
ＯＳ ＲＯＭ３８に記憶された命令は、ＢＩＯＳの実行
時間を短縮するためにＲＡＭ３６内に複写することがで
きる。またシステムは、汎用性を持たせるためバッテリ
ー付きの不揮発性記憶素子（普通は、ＣＭＯＳ ＲＡ
Ｍ）を備えた回路部品を有しており、それによって、シ
ステム構成と実時間クロック（ＲＴＣ）６８（図３及び
図４）に関するデータを受信したり保存したりする。

【００３５】本発明を、特に図３のシステムブロック図
を参照して説明する。以下に続く説明によって、本発明
による装置及び方法が、プレーナ・ボードの他のハード
ウェア構成にも使用できることが理解される。例えば、
システム・プロセッサは、ＩＮＴＥＬの８０２８６ある
いは８０４８６マイクロプロセッサでも良い。

【００３６】図３に戻って、ＣＰＵローカルバス３４
（データ、アドレス、制御部分から成る）によって、マ
イクロプロセッサ３２を、数値演算コプロセッサ３９及
び小型コンピュータ・システム・インターフェース（Ｓ
ＣＳＩ）制御装置４０とも接続できる。ＳＣＳＩ制御装
置４０は、コンピュータ設計及び操作技術者には知られ
ているが、ＲＯＭ４１、ＲＡＭ４２、及び図３右側に示
された入出力接続部によって種々の型式の適当な内部あ
るいは外部装置へ容易に接続され、また接続可能であ
る。ＳＣＳＩ制御装置４０は、固定及び着脱可能な媒体
の電気磁気的記憶装置（ハード及びフロッピーデイスク
駆動機構としても知られる）、電気光学的、テープ及び
他の記憶装置等の記憶装置を制御する場合の、記憶装置
制御装置として機能する。

【００３７】バス・インターフェース制御装置（ＢＩ
Ｃ）３５は、ＣＰＵローカルバス３４と入出力バス４４
を結合する。バス４４によって、ＢＩＣ３５は、マイク
ロ・チャネル・バスのような選択機構バスと結合され
る。マイクロ・チャネル・バスは、マイクロ・チャネル
・アダプタ・カード４５を収納するための複数の入出力
スロットを有し、マイクロ・チャネル・アダプタ・カー
ド４５はさらに、入出力装置あるいは記憶装置（図示せ
ず）に接続されることもある。入出力バス４４は、アド
レス、データ、及び制御要素を含む。

【００３８】入出力バス４４に沿って結合されているも
のは、画像信号処理装置（ＶＳＰ）４６のような種々の
入出力部品である。画像信号処理装置４６は、グラフィ
ック情報を記憶し（４８で示す）またイメージ情報を記
憶する（４９で示す）ビデオＲＡＭ（ＶＲＡＭ）に関係
する。処理装置４６によって交換された画像信号は、デ
ィジタル・アナログ変換器（ＤＡＣ）５０を通してモニ
タまたは他の表示装置へ送られる。ＶＳＰ４６を、カメ
ラなどの画像記録再生装置の形態を取る、いわゆる自然
な入出力と直接に接続することも可能である。入出力バ
ス４４はまた、ソフトウェア命令を記憶できる命令ＲＡ
Ｍ５２とデータＲＡＭ５４に関連するディジタル信号処
理装置（ＤＳＰ）と結合されている。ソフトウェア命令
は、ＤＳＰ５１による信号処理とその処理に含まれるデ
ータ処理のために使用される。ＤＳＰ５１によって、音
声制御装置５５の設置による音声入力及び出力の処理が
できる。また、アナログ・インターフェース制御装置５
６に設置による他の信号も扱える。最後に、入出力バス
４４は、入出力制御装置５８に結合される。入出力制御
装置５８は、関連する電気的に書換え可能な読取専用記
憶素子（ＥＥＰＲＯＭ）５９を持ち、それによって入力
及び出力を、汎用的な周辺機器と交換する。周辺機器に
は、フロッピー・ディスク駆動装置、印刷装置あるいは
プロッタ１４、鍵盤装置１２、マウスあるいはポインテ
ィング（図示せず）が含まれ、シリアル・ポートによっ
て行う。ＥＥＰＲＯＭは、後述するセキュリティ機構の
中で機能する。

【００３９】以後、さらに詳細に述べられる本発明の目
的の達成において、パーソナル・コンピュータ・システ
ム１０は、システム格納装置内に装着された書換え可能
な記憶素子を有する。この記憶素子は、活動状態と非活
動状態を選択的に操作し、活動状態にあるときに、特権
アクセス・パスワード（後により厳密に説明する）を受
信し記憶するためのものである。書換え可能な記憶素子
は、好ましくは、上記の電気的に書換え可能な読取専用
記憶素子あるいはＥＥＰＲＯＭ５９（図３）である。シ
ステムはまた、格納装置内に装着された選択スイッチあ
るいはセキュリティ・スイッチを有している。当該スイ
ッチは操作により（operatively）、書換え可能な記憶
素子５９と接続され、記憶素子を活動状態及び非活動状
態にセットする。選択スイッチ（本明細書の中ではセキ
ュリティ・スイッチともいう）は、例えば、システム・
プレーナ２０上に装着されたジャンパであって、プレー
ナにアクセスする人間の手動によって二つの状態にセッ
トできるものがある。一つの状態（書込み可能状態とも
いわれる）において、ＥＥＰＲＯＭ５９は活動状態にセ
ットされ、ここで記述したＰＡＰを記憶する。書込み可
能状態では、ＰＡＰをＥＥＰＲＯＭに書込み、変更、あ
るいは削除することができる。他の状態または非活動状
態では、ＥＥＰＲＯＭのＰＡＰ記憶能力は、非活動状態
にセットされる。

【００４０】上記したように、システム１０はまた、書
換え可能な記憶能力を有する第２の構成要素を備えてい
る。いわゆるバッテリ付きの不揮発性ＣＭＯＳ ＲＡＭ
及び関連する実時間クロック（ＲＴＣ）であり、図４中
に６８で示されている。ＣＭＯＳ ＲＡＭは、システム
構成を表すデータを記憶する。本発明においては、それ
は、システム１０の電源起動時に、正しくＰＡＰを入力
することに関するデータを含む。少なくとも一つの不正
検知スイッチ（図４、５、６）が格納装置内に装着され
て提供されており、操作によりＣＭＯＳ ＲＡＭと接続
されて、格納装置が開けられたことを検知する。また不
正検知スイッチが入ることに応答してその記憶素子内に
記憶された特定のデータをクリアする。

【００４１】本発明によるシステム・プロセッサ３２
は、操作上ＥＥＰＲＯＭ５９及びＣＭＯＳ ＲＡＭ６８
と接続されており、記憶素子のＰＡＰ記憶能力の活動及
び非活動状態を区別しまた、記憶された有効な特権アク
セス・パスワード（ＰＡＰ）の入力及び非入力を区別す
ることによって、システム内に記憶されたデータの少な
くとも特定のレベルまでのデータへのアクセスを制御す
る機能を果たす。選択スイッチを操作することによっ
て、システムのオペレータ（あるいは、より特別な場合
は、セキュリティを監督し維持する責任のある人間）
は、ＥＥＰＲＯＭの活動及び非活動のそれぞれの状態を
選択することによって、システムの安全保護モードの操
作と非安全保護モードの操作の選択をすることができ
る。もし、安全保護モードの操作が要求されて、それが
有効になると、システム・オーナーはＰＡＰの入力も行
う必要がある。

【００４２】ここに開示したように、セキュリティの問
題に適応した本発明によるシステムは、二つの別々の不
揮発性で書換え可能な記憶素子、ＥＥＰＲＯＭ及びＣＭ
ＯＳＲＡＭを有している。なぜなら、本発明の時点で
は、ＥＥＰＲＯＭの消去書込サイクルの回数に関する寿
命が限られているからである。しかるに、ＰＡＰの状態
の表示及び正確なＰＡＰの入力においては、少なくとも
何らかの不正によってシステム格納装置が開けられる場
合と潜在的に同程度に、膨大な消去及び書込回数を必要
とする。したがって、ここに記述された機能は、現在実
施可能な技術に合わせるために、第１と第２の書換え可
能な記憶装置に分けられた。しかしながら、本発明で
は、技術的に可能であるか、あるいはシステム設計者が
付随する制限を許容する意志があるなら、関連するデー
タの二つの形態を一つの書換え可能な記憶素子内に記憶
させることが可能であると考えている。

【００４３】図４から７の概略図を参照して、本発明に
寄与するハードウエアの一例をここでより詳細に記述す
る。

【００４４】図４は、汎用的な電源制御あるいは”オン
／オフ”スイッチ６１、汎用的な電源６２、主カバー１
５及びケーブル接続カバー１６などの格納装置カバーが
開けられたりあるいは取り外されたことに対して導通状
態を変更するスイッチ、及び錠スイッチ６４の間の関係
を示している。格納装置カバーが開けられたりあるいは
取り外されたことに対して導通状態を変更するスイッチ
は、本発明で図示された形態においては、二個から成
る。つまり、主カバー１５の取り外しに対応するスイッ
チ６５（図４、５、６）と、ケーブル接続カバー１６の
取り外しに対応するスイッチ６６（図４、５、７）であ
る。それぞれのスイッチは、二つの要素を持ち、一つは
通常、開（それぞれ６５ａ、６６ａ）であり、もう一つ
は通常、閉（それぞれ６５ｂ、６６ｂ）である。第２の
スイッチ６６は、選択的なものであり、ケーブル接続カ
バー１６用である。しかしながら、この開示における十
分な検討から明らかにされるように、選択的なカバー及
びスイッチによって、システムのより完璧なセキュリテ
ィ制御が保証される。

【００４５】通常開になるカバースイッチ６５及び６６
の接点の組は、主電源スイッチ６１に連なっており、電
源６２（図４）に接続されている。したがって、カバー
が外された状態でシステム１０の電源を入れようとすれ
ば、接点の組６５ａ及び６６ａは開となり、システムの
操作を妨げる。カバーが取り付けられた状態では、接点
の組は閉に保持され、通常のシステム操作を開始でき
る。

【００４６】通常閉になるカバースイッチ６５及び６６
の接点の組は、錠スイッチ６４に連なっており、ＲＴＣ
及びＣＭＯＳ記憶装置６８に接続されている。通常閉に
なる６５ｂ及び６６ｂの接点の組は、カバー１５、１６
の設置によって開に保持され、それらのカバーを取り外
すと閉になる。通常コンピュータ・システム１０に設置
されている錠スイッチ６４は、格納装置錠がロックされ
ている場合に通常閉に保持される。これら三個の接点の
組によって、ＲＴＣ及びＣＭＯＳ記憶装置部を起動する
ことができる以外に、接地点への電流の代替経路を提供
でき、格納装置がロックされた状態にシステムがあると
きにカバーが不当に取り外されたことに対応して電源が
断たれると、そのことを認識できる状態（例えばすべて
を”１”にするなど）に、その記憶装置のセグメントを
セットする効果がある。その記憶装置が、ＰＯＳＴ（po
wer-on self test: パワーオン自己検査）によって検査
されると、そのセグメントが上記の認識状態にセットさ
れる結果、構成エラー信号が発生し、システムオーナー
に対して、システムセキュリティの漏洩の試み（成功か
否かによらず）がなされたことを警告する。この記憶装
置セグメントの認識状態へのセットによって、システム
参照ディスケットあるいはシステム区画以外のソースか
らオペレーション・システムを立ち上げるための、事前
に記憶されたパスワードはすべて無効になる。前記のソ
ースからのオペレーション・システムの立ち上げにおい
ても、有効なＰＡＰを入力する必要がある。

【００４７】錠スイッチ６４及び格納装置の主カバース
イッチ６５は、前面カード・ガイド部品６９（図２及び
６）上に装着されるのが好ましく、それによって、格納
装置の主カバー１５内に備えられた錠に対応して適切な
位置に設置できる。コンピュータ・システムのフレーム
内に装着された前面カード・ガイド部品は、カバースイ
ッチ６５用の操作レバー７０が、垂直な前面のフレーム
部品の穴から突き出るような位置にあり、カバー１５を
システム格納装置に取り付けた状態で操作される。

【００４８】ケーブルカバースイッチ６６は、システム
・フレームの背面パネルに装着され、ケーブルカバー１
６上に取り付けられた掛け金部品によって操作されるよ
うに設置され、格納装置カバー１４上に備えられたもの
と同様の手動操作用の錠の制御によって回転できるよう
にするのが、好ましい。ケーブルカバー１６の使用が選
択されるとき（システムの完全なセキュリティが要望さ
れるかあるいは必要とされる場合）は、背面パネルへカ
バーを掛けてロックすることによって、それに連携する
通常開の接点設定６６ａを閉にし、通常閉の接点設定６
６ｂを開にする。

【００４９】上記の、及び後述する新しいセキュリティ
機構及び保全機構は、先に提示されたパーソナル・コン
ピュータのセキュリティ機構である、電源起動パスワー
ド（ＰＯＰ）とは独立に働く。これらの付加的なセキュ
リティ機構および保全機構は、オレンジ・ブック等で適
用される規制の下でのオペレーティング・システム保証
に対する、安全保護の土台となる。安全保護モードにシ
ステムを設定するためには、さらにパスワードが必要で
ある。新しいパスワードは、ここでは特権アクセス・パ
スワード（ＰＡＰ）といわれている。以前のパーソナル
・コンピュータ・システムとの互換性を維持するため
に、ＰＯＰはなおサポートされる。本開示は、新しいセ
キュリティ機構及び保全機構について述べており、それ
は、ＥＥＰＲＯＭ、選択スイッチ、及び不正検知カバー
を備えたパーソナル・コンピュータ・システム上で働く
ＰＯＳＴ及びパスワード・ユーティリティに関するもの
である。

【００５０】パスワード・セキュリティはシステムのハ
ードウェア機構によって実行される。即ち、ＥＥＰＲＯ
Ｍ、セキュリティ・スイッチ、不正検知カバー・スイッ
チ、ファームウェア、ＰＯＳＴ、及びシステム・ソフト
ウェア・パスワード・ユーティリティである。ＰＡＰ
が、一旦導入されると、システムは安全保護モードにな
る。ＰＡＰはＥＥＰＲＯＭ内に保管される。ＰＡＰのバ
ックアップ・コピーもまたＥＥＰＲＯＭ内に保持され
る。これは、ＰＡＰの導入、変更、あるいは削除の際に
電源の故障が生じた場合、ＰＡＰが偶発的に失われるの
を防ぐためである。ＰＯＰと、ＰＡＰ（導入された場
合）の有効性を示す特定のビットは、ＣＭＯＳＲＴＣに
記憶される。ＣＭＯＳ ＲＴＣ内及びＥＥＰＲＯＭ内に
保存されたデータの変更は、互いに独立している。

【００５１】ＥＥＰＲＯＭ中の二つのビットは、ＰＯＳ
Ｔに対して、現在の手順中に停電が生じたことを確実に
知らせるための状態マシンとして用いられる。そして、
可能であれば、システム・ボードの補助状態から復帰す
る。パスワード・ユーティリティは、ＰＡＰへのあらゆ
るアクセスの間に使用される二ビットの状態マシンであ
る、更新標識フィールドを保持する。もし、パスワード
の変更中に停電が生じたら、電源が回復したとき、ＰＯ
ＳＴは状態マシンを検査する。（ＰＯＳＴは、実際に
は、電源起動時には常に検査を行う。）もしＰＡＰが正
しく更新された（’００’状態）なら、ＰＯＳＴは通常
の方法で処理を続ける。もし、更新が停電の前に開始さ
れていた（’０１’状態）なら、ＰＯＳＴは有効なバッ
クアップＰＡＰの存在を検査する。もし有効であれば、
ＰＯＳＴは、バックアップＰＡＰを前のＰＡＰについて
記憶素子内に複写する。もし前のＰＡＰが正しく更新さ
れた（’１０’状態）なら、ＰＯＳＴは、当該前のＰＡ
Ｐ（新しいＰＡＰ）を用いて、システム参照ディスケッ
トの使用やシステム区画の立上げを試みることを有効化
する。ＰＯＳＴは、そのバックアップＰＡＰは無効であ
るとみなす。ＰＯＳＴは、この場合、前のＰＡＰをバッ
クアップＰＡＰに複写する。もし、選択スイッチあるい
はセキュリティ・スイッチがロックされているか、書込
み可能状態でなければ、エラーが表示される。システム
・オーナーは、カバーの錠を外し、セキュリティ・スイ
ッチの設定を変えることで対応しなければならない。

【００５２】バックアップＰＡＰが、正しく更新された
（’１１’の状態）ならば、前のＰＡＰ及びバックアッ
プＰＡＰは有効とみなされ、ＰＯＳＴは、ユーザによる
ＰＡＰ入力を確認する前に、前のＰＡＰの有効性を照合
する。

【００５３】上記のように、ＰＯＰは、ＣＭＯＳ記憶装
置内に保持される。二つのビットは、ＰＡＰのパスワー
ド標識として使用するためにＣＭＯＳ記憶装置内に保持
される。一つの標識は、システムが安全保護モードにあ
る（ＰＡＰが導入されている）ことを意味する。もう一
つの標識は、ＰＡＰが、初期始動、つまりコールド立上
げの間に入力されたことを意味する。これら二つの標識
は、コールド立上げ時にのみ初期化されて、セットされ
る。ＩＰＬの前に、システム参照ディスケットかシステ
ム区画が立ち上げられなければ、この標識は、書込みが
禁止される。その場合、導入されたＰＡＰの正しい入力
を要求する。ＰＯＰ及び標識の変更は、ＥＥＰＲＯＭ内
に記憶されたＰＡＰのいかなる変更に対しても独立であ
る。しかしながら、ＣＭＯＳ記憶装置内の変更は、セキ
ュリティへの侵入を表示する可能性があり、その場合、
オペレーティング・システムをロードできるよう復帰す
るために、有効なＰＡＰの入力が必要となる。

【００５４】パスワードへの不正なアクセスを防ぐため
に、ＩＰＳ装置立上げリスト、ＥＥＰＲＯＭ ＣＲＣ、
及びすべての標識は、オペレーション・システムを立ち
上げる初期プログラム・ロード（ＩＰＬ）に先立って、
ロックされる。これらの領域のロックアウトするため
に、ＰＯＳＴは、システムの電源がオフにならないかぎ
り、リセットされない特殊なハードウェアラッチをセッ
トする。ＰＯＳＴの状態１の始め（初期の電源起動）に
おいて、ＰＯＳＴは、ＥＥＰＲＯＭがロックされている
かどうかを検査する。もしロックされていれば、ハード
ウェアが機能しないので、ＰＯＳＴはエラーを表示して
システムを停止する。システム・オーナーは、その状態
を修復するために介入する必要がある。そのためには、
システム・ボードの交換を必要とすることもある。本発
明の一つの形態として、システムに対して不正が行われ
たとき、ＲＴＣ及び制御レジスタに関係するＣＭＯＳ内
のＲＡＭ記憶装置の最初の１４バイトが影響を受けない
ようにするものがある。先に簡単に述べたように、ＣＭ
ＯＳの次の５０バイトはすべて’１’（２進数の１）に
セットされる。この状態を検知することによって、ＰＯ
ＳＴは、適当なエラー表示をする。本発明の他の形態と
しては、少なくとも一つのビットを、不正を表示する状
態にセットするものがある。どちらの例においても、シ
ステム・オーナーあるいは特権ユーザは、システム参照
ディスケットかシステム区画から立ち上げるためにパス
ワード・プロンプトの位置にＰＡＰを入力するか、ある
いはシステムボードを再構成することによって、その状
態を修復するために介入する必要がある。

【００５５】もし、システム・オーナーがＰＡＰを忘れ
ている場合は、影響のあるシステムボードを交換する必
要がある。

【００５６】ＰＯＰを忘れた場合、システム・オーナー
は、ＣＭＯＳの内容を破壊する不正検知カバーのトグル
スイッチを入れ、その後ＰＡＰ（もし導入されていれ
ば）を入力してシステム参照ディスケットかシステム区
画を立ち上げて、パスワード・ユーティリティを実行
し、ＰＯＰを再導入することができる。

【００５７】システムが、いずれのパスワードも導入し
ないで電源を起動させられたとき、ＰＯＳＴは、パスワ
ードのためのプロンプトを出さない。しかしながら、シ
ステム参照ディスケットが無い場合、あるいはシステム
区画の立ち上げが要求されないか、無い場合、ＰＯＳＴ
は、ＰＡＰ、バックアップＰＡＰ、ＩＰＬ装置立上げリ
スト、ＥＥＰＲＯＭ ＣＲＣ、及びすべての標識をロッ
クする。このことは、これらの領域への何らかの偶発的
なあるいは悪意のあるアクセスを防ぐために行われる。
もしシステム参照ディスケットが存在する場合、あるい
はシステム区画の立ち上げが要求された場合は、システ
ム・オーナーが安全保護モードを呼込むことができるよ
うに、これらの状態は、ロックされないままになる。

【００５８】システムが、ＰＯＰは導入されているが、
ＰＡＰは導入されずに電源を起動させられたとき、ＰＯ
ＳＴは、状態マシンを検査し、そしてＰＯＰパスワード
検査合計を確かめる。もし検査合計が間違っていれば、
ＰＯＳＴは、ＣＭＯＳ内のＰＯＰを消去し、パスワード
のためのプロンプトを出さない。そうでなければ、ＰＯ
ＳＴは、パスワードのためのプロンプトを出す。もしシ
ステム参照ディスケットが無い場合、あるいはシステム
区画の立ち上げが要求されない場合は、どのようなアク
セスをも防ぐために、ＰＡＰ、バックアップＰＡＰ、Ｉ
ＰＬ装置立上げリスト、ＥＥＰＲＯＭ ＣＲＣ、及びす
べての標識をロックする。

【００５９】システムが、有効なＰＡＰ（安全保護モー
ド）は導入されているが、ＰＯＰは導入されずに電源を
起動させられたとき、ＰＯＳＴは、ＰＡＰ検査合計を確
かめる。検査合計が正しければ、システム参照ディスケ
ットが存在する場合、あるいはシステム区画の立ち上げ
が要求された場合にＰＯＳＴは、ユーザにＰＡＰを入力
するようプロンプトを出す。そうでない場合は、ＰＯＳ
Ｔは、パスワードのためのプロンプトを出さず、どのよ
うなアクセスをも防ぐために、ＰＯＰ、ＰＡＰ、バック
アップＰＡＰ、ＩＰＬ装置立上げリスト、ＥＥＰＲＯＭ
ＣＲＣ、及びすべての標識をロックする。もし検査合
計が間違っていれば、エラーが表示され、システムは停
止する。このことによって、ＥＥＰＲＯＭが故障した時
に、その前に安全保護モードにあったシステムに対しユ
ーザが、偶発的に保護されていないアクセスを行うこと
を防ぐ。システム・オーナーは、その状態を修復するた
めに介入する必要がある。そのためにシステム・ボード
の交換が必要な場合もある。

【００６０】システムが、ＰＡＰ及びＰＯＰが共に有効
に導入されて、電源を起動させられたとき、ＰＯＳＴは
ユーザに対して、パスワードを入力するようプロンプト
を出す。ＰＯＰが入力されれば、ＰＯＳＴは、システム
参照ディスケットからもシステム区画からも立ち上げを
行わない。システムは、存在するＩＰＬ装置リストを使
用することによってのみ立ち上げることができる。ＰＯ
ＰではなくＰＡＰがプロンプトの位置に入力されれば、
ユーザは、システム参照ディスケット、システム区画、
ＩＰＬディスケット、あるいは通常のＩＰＬ装置リスト
から立ち上げることができる。標識は、最初の電源起動
時にＰＡＰが正しく入力されたことを意味するようにセ
ットされる。それによって、システム参照ディスケット
あるいはシステム区画の立ち上げが、この電源起動セッ
ションの後に行われる。ＰＯＳＴは、ソフト再立ち上げ
の後には、パスワードのためのプロンプトをユーザに出
さない。必要なＰＡＰは、正しく標識に入力され保護さ
れている。

【００６１】簡単に述べると、コールド・スタートにお
いてユーザが、システム参照ディスケットかシステム区
画から立ち上げができる場合には、ＰＯＰ，ＰＡＰ、バ
ックアップＰＡＰ、ＩＰＬ装置立上げリスト、ＥＥＰＲ
ＯＭ ＣＲＣ、及びすべての標識は、ロックされないま
まである。この条件によって、トラステッド・ソフトウ
ェア（つまり、システム参照ディスケット）および特権
ユーザによるシステムのセキュリティ・パラメータへの
アクセスが提供される。ＰＯＳＴは、いずれかのパスワ
ードが正しく入力されたことを確認したのち、確認アイ
コンを表示することによって入力を認知する。ＰＯＳＴ
は、ネットワーク・サーバ（無人スタート）・モードが
働いている場合は、上記のＰＯＰのためのプロンプトを
出すことを省略する。

【００６２】以上に説明した筋道に沿った流れ図の論理
を図８から図１０に示す。特に図９及び図１０に示され
た段階の間のつながりは、流れ図を簡単にするために、
一つの文字を処理ブロック内に記入することで示されて
いる。

【００６３】ネットワーク・サーバ（無人スタート）・
モードを導入されているシステムは、目的とするオペレ
ーティング・システムを通じて全立上げ処理を完了する
が、鍵盤装置は、ＰＯＰの使用をロックされる。しかし
ながら、システム参照ディスケットが存在するか、ある
いはシステム区画の立上げが要求されると、パスワード
プロンプトが出されて、オーナーはＰＡＰを入力するこ
とができ、システムを制御することができる。鍵盤装置
が既にロックアウトされた後、システムが安全保護状態
にあり、かつユーザが、システム参照デイスケットかシ
ステム区画から立ち上げたい場合は、ユーザは、システ
ムの電源を落とし、システム参照デイスケットがディス
ケット駆動装置内に入っている状態からコールド立上げ
をしなければならない。

【００６４】ＰＯＳＴの変更と関連して、パスワード・
ユーティリティはＰＡＰへのサポートを含まなければな
らない。このユーティリティは、ＰＡＰの導入、変更、
削除をサポートし、選択スイッチあるいはセキュリティ
・スイッチの状態と共にこれら三つの機能をインターロ
ックする。セキュリティ・スイッチは、特権ユーザがＰ
ＡＰをセットしようとするまでロックされた状態のまま
でなければならない。その時、ユーザはシステムのカバ
ーを取り外して、セキュリティ・スイッチをロック解除
（変更）状態の方へ動かさねばならない。その後で、Ｐ
ＡＰをセットすることができる。セキュリティ・スイッ
チが、ロック解除の位置にあるとき、ＥＥＰＲＯＭの外
部のハードウェア論理によって、ＰＡＰをＥＥＰＲＯＭ
の中に記憶することができる。セキュリティ・スイッチ
がロックされた位置にあるとき、外部ハードウェア論理
は、ＥＥＰＲＯＭ内の、ＰＡＰの位置の変更を妨げる。
特権ユーザが、セキュリティ・スイッチがロックされた
位置の時に、ＰＡＰを変更しようとすると、適当なメッ
セージが表示される。また、メッセージは、ＰＡＰの削
除後、セキュリティ・スイッチをロック位置に戻すこと
をユーザに思い出させる。特権ユーザが、ＰＯＰと同じ
ＰＡＰをセットするのを防ぐための付加的な安全機構
が、パスワード・ユーティリティの中に作られている。
新しいＰＡＰが、システムの現在のＰＯＰと同じもので
ないかを確認するための検査が、ＰＡＰのセット時また
は変更時に行われる。また、ＰＯＰを変更または削除す
るときは、現在のＰＡＰを知っていなければならない。

【００６５】セキュリティ・スイッチをロック位置にし
かつ不正検知カバーをロックした状態で、パーソナル・
コンピュータ・システムを出荷することが考慮されてい
る。これは、システム・オーナー以外の人間がシステム
を安全保護モードにセットすることを防ぐために行われ
る。ＰＯＰと違って、ＰＡＰは、ハードウェアの操作に
よって消去することができない。もしＰＡＰを忘れてし
まうか、無許可ユーザがシステムを安全保護モードに設
定した場合は、システム・ボードを交換しなければなら
ない。

【００６６】

【発明の効果】本発明によって、重要なデータにアクセ
スするための正当な特権を有するユーザのみが、そのデ
ータにアクセスできるよう制限するための手段が、パー
ソナル・コンピュータに提供される。

【図面の簡単な説明】

【図１】本発明の実施例であるパーソナル・コンピュー
タの透視図である。

【図２】シャーシ、カバー、及びプレーナ・ボードを含
み、かつこれらの関係を示した図１のパーソナル・コン
ピュータの一部の展開透視図である。

【図３】図１及び図２のパーソナル・コンピュータの特
定の部品の概略図である。

【図４】本発明のセキュリティ機構に関係する図１及び
図２のパーソナル・コンピュータの特定の部品の概略表
示である。

【図５】本発明のセキュリティ機構に関係する図１及び
図２のパーソナル・コンピュータの特定の部品の概略表
示である。

【図６】図４及び図５の特定部品の拡大透視図である。

【図７】本発明のセキュリティ機構に関係する図１、図
２、図４、及び図５のパーソナル・コンピュータの特定
の選択的部品の拡大透視図である。

【図８】本発明によって得られる選択的セキュリティに
含まれる特定機能の概略流れ図である。

【図９】本発明によって得られる選択的セキュリティに
含まれる特定機能の概略流れ図である。

【図１０】本発明によって得られる選択的セキュリティ
に含まれる特定機能の概略流れ図である。

【符号の説明】

１０ パーソナル・コンピュータ・システム １５ 主カバー １６ ケーブル接続カバー １９ シャーシ ２０ 多層プレーナ（マザー・ボード、またはシステム
・ボード） ３８ ＢＩＯＳ ＲＯＭ ５８ 入出力制御装置 ５９ ＥＥＰＲＯＭ ６１ システム電源のスイッチ ６２ システム電源 ６４ 錠スイッチ ６５ カバースイッチ ６６ 選択的カバースイッチ ６８ ＣＭＯＳ ＲＡＭおよび実時間クロック（ＲＴ
Ｃ）

─────────────────────────────────────────────────────

【手続補正書】

【提出日】平成６年１月１０日

【手続補正１】

【補正対象書類名】図面

【補正対象項目名】図６

【補正方法】変更

【補正内容】

【図６】

───────────────────────────────────────────────────── フロントページの続き (72)発明者 グラント・リーチ・クラーク・ジュニア アメリカ合衆国33428 フロリダ州ボカ・ ラトン、ターコイズ・ウェイ 21218 (72)発明者 リチャード・アラン・ダヤン アメリカ合衆国33487 フロリダ州ボカ・ ラトン、ノース・イースト・セブンティス リー・ストリート 830 (72)発明者 キムサン・ドー・リー アメリカ合衆国33437 フロリダ州ボイン トン・ビーチ、サン・ポイント・ドライブ 9422 (72)発明者 パトリック・エドワード・マックコート アメリカ合衆国33445 フロリダ州デルレ イ・ビーチ、ローソン・ブルバード 3507 (72)発明者 マチュー・トッド・ミッテルステッド アメリカ合衆国33446 フロリダ州デルレ イ・ビーチ、オネイダ・ドライブ 13791 (72)発明者 デニス・リー・モエラー アメリカ合衆国33487 フロリダ州ボカ・ ラトン、ローズウッド・サークル 7430 (72)発明者 パルマー・ユージェーヌ・ニューマン アメリカ合衆国33433 フロリダ州ボカ・ ラトン、ダブリン・ドライブ 7488 (72)発明者 デービット・リー・ランダル アメリカ合衆国33068 フロリダ州ポンパ ノ・ビーチ、サウス・ウエスト・シクステ ィナインス・テラス 1751 (72)発明者 ジョアンナ・バーガー・ヨダー アメリカ合衆国33484 フロリダ州デルレ イ・ビーチ、ジョグ・レーン 5189

Claims (8)

【特許請求の範囲】
1. 【請求項１】データを受信し、保存するためのコンピュ
   ータ・システムであって、 通常は閉じられている格納装置と、 活動状態及び非活動状態を選択でき、活動状態の時には
   特権アクセス・パスワードを受信して記憶する、前記格
   納装置内部に装着された書換え可能な記憶素子と、 前記書換え可能な記憶素子を活動状態及び非活動状態に
   セットするために、該書換え可能な記憶素子に操作によ
   り接続される、前記格納装置内に装着された選択スイッ
   チと、 前記記憶素子の活動状態と非活動状態を判別し、あらゆ
   る有効な記憶された特権アクセス・パスワードの入力と
   非入力を判定することによって、前記システム内に記憶
   されたデータへの少なくとも特定のレベルまでのアクセ
   スを制御するために、前記書換え可能な記憶素子に操作
   により接続される、前記格納装置内に装着されたシステ
   ム・プロセッサとを有する、 不当なアクセスに対抗して、上記システム内に保存され
   たデータの安全保護を図ることが可能なコンピュータ・
   システム。
2. 【請求項２】データを受信し、保存するためのコンピュ
   ータ・システムであって、 通常は閉じられている格納装置と、 活動状態及び非活動状態を選択でき、活動状態の時には
   特権アクセス・パスワードを受信して記憶する、前記格
   納装置内部に装着された第１の書換え可能な記憶素子
   と、 前記第１の書換え可能な記憶素子を活動状態及び非活動
   状態にセットするために、該第１の書換え可能な記憶素
   子に操作により接続される、前記格納装置内に装着され
   た選択スイッチと、 前記第１の書換え可能な記憶素子の状態及び記憶された
   特権アクセス・パスワードの正しい入力を示すデータを
   受信し記憶する、前記格納装置内に装着された第２の書
   換え可能な記憶素子と、 前記格納装置が不当に開けられたことを検知する不正検
   知スイッチであって、該不正検知スイッチが入ったこと
   に応答して前記第１の書換え可能な記憶素子内に記憶さ
   れた特権アクセス・パスワードを無効にするために、前
   記第２の書換え可能な記憶素子に操作により接続され
   る、前記格納装置内に装着された該不正検知スイッチ
   と、 前記第１の記憶素子の活動状態と非活動状態を判別し、
   あらゆる有効な記憶された特権アクセス・パスワードの
   入力と非入力を判定することによって、前記システム内
   に記憶されたデータへの少なくとも特定のレベルまでの
   アクセスを制御するために、前記第１と第２の書換え可
   能な記憶素子に操作により接続される、前記格納装置内
   に装着されたシステム・プロセッサとを有する、 不当なアクセスに対抗して、前記システム内に保存され
   たデータの安全保護を図ることが可能なコンピュータ・
   システム。
3. 【請求項３】前記選択スイッチが、 オペレータが前記第１の記憶素子の活動状態及び非活動
   状態をそれぞれ選択することによって、該システムの安
   全保護モード操作と非安全保護モードの操作との選択が
   できるように機能する、 請求項２に記載のコンピュータ・システム。
4. 【請求項４】前記選択スイッチが、 前記格納装置を開けた後にのみ手動による操作が可能
   で、かつ手動によるアクセスができるように、該格納装
   置内に設置されている、 請求項３に記載のコンピュータ・システム。
5. 【請求項５】データを受信および保存し、より低速のシ
   ステム・プロセッサ上で実行するために設計されたアプ
   リケーション・プログラム及びオペレーティング・シス
   テム・ソフトウェアに適合する高速のシステム・プロセ
   ッサを有す、コンピュータ・システムであって、 通常は閉じられている格納装置と、 活動状態及び非活動状態を選択でき、活動状態の時には
   特権アクセス・パスワードを記憶するために、前記格納
   装置内に装着された書換え可能な記憶素子と、 前記書換え可能な記憶素子を活動状態及び非活動状態に
   セットするために、前記書換え可能な記憶素子に操作に
   より接続される、前記格納装置内に装着された選択スイ
   ッチと、 前記格納装置が不当に開けられたことを検知する不正検
   知スイッチであって、かつ該不正検知スイッチが入った
   ことに応答して前記書換え可能な記憶素子内に記憶され
   た特権アクセス・パスワードを無効にするために、前記
   書換え可能な記憶素子に操作により接続される、前記格
   納装置内に装着された不正検知スイッチと、 前記記憶素子の活動状態と非活動状態を判別し、あらゆ
   る有効な記憶された特権アクセス・パスワードの入力と
   非入力を判定することによって、前記システム内に記憶
   されたデータへの少なくとも特定のレベルまでのアクセ
   スを制御するために、前記書換え可能な記憶素子に操作
   により接続される、前記格納装置内に装着された高速マ
   イクロプロセッサであって、該マイクロプロセッサは、
   操作の実モードと保護モードを有しておりかつ高速デー
   タ・バスに結合しているものと、 より低速のデータ・バスに結合している不揮発性記憶素
   子と、 高速データ・バスに結合している揮発性記憶素子と、 前記高速データ・バスとより低速のデータ・バス間の通
   信を行うためのバス及び記憶素子制御装置であって、前
   記バス及び記憶素子制御装置は、前記揮発性記憶素子及
   び前記不揮発性記憶素子に結合されて、前記揮発性記憶
   素子と前記高速マイクロプロセッサの間の通信を規制す
   るものとを有する、 不当なアクセスに対抗して該システム内に保存されたデ
   ータの安全保護を図ることが可能なコンピュータ・シス
   テム。
6. 【請求項６】格納装置と、 前記格納装置内に装着されたシステム・プロセッサと、 前記格納装置内に装着された選択的に活動化できる書換
   え可能な記憶素子と、 記憶素子を活動状態及び非活動状態にセットするために
   該格納装置内に装着された選択スイッチと、 前記格納装置が開けられたことを検知するために該格納
   装置内に装着された不正検知スイッチとを有するコンピ
   ュータ・システムを操作する方法であって、 前記記憶素子を活動状態に選択的にセットする段階と、 前記活動状態の記憶素子内に、特権アクセス・パスワー
   ドを記憶する段階と、 前記記憶素子の活動状態と非活動状態を判別し、特権ア
   クセス・パスワードの入力と非入力を判定することによ
   って、前記システム内に記憶されたデータへの少なくと
   も特定のレベルまでのアクセスを制御する段階と、 前記不正検知スイッチが入ったことに応答して、前記記
   憶素子内に記憶された前記特権アクセス・パスワードを
   無効にする段階とを有する、コンピュータ・システムの
   操作方法。
7. 【請求項７】システム・プロセッサと記憶素子とを有す
   るパーソナル・コンピュータ・システムを、操作する方
   法であって、 第１及び第２のパスワードを受信してシステム内に記憶
   し、トラステッド・プログラム及びオープン・プログラ
   ムをシステム内にロードするための段階と、 （ａ）パスワードが無い場合の記憶と、（ｂ）第１のパ
   スワードの記憶と、（ｃ）第２のパスワードの記憶とを
   判別する段階と、 （ｄ）トラステッド・プログラムのロード及び要求・実
   行と（ｅ）オープン・プログラムのロード及び要求実行
   とを判別する段階と、 ユーザにより入力されたパスワードが、（ｆ）無い場合
   と、（ｇ）上記第１のパスワードである場合と、（ｈ）
   上記第２のパスワードである場合とを判別をする段階
   と、 上記第２のパスワード（ｈ）のユーザ入力に応答して、
   ユーザによるトラステッド・プログラムへのアクセスを
   制御する段階とより成る、 コンピュータ・システムの操作方法。
8. 【請求項８】前記第１のパスワードが電源起動パスワー
   ドであり、前記第２のパスワードが特権アクセス・パス
   ワードである、 請求項７に記載の方法。