JPH07191776A - 機密保護を実現するパーソナル・コンピュータ・システム - Google Patents

Abstract

(57)【要約】 【目的】 パーソナル・コンピュータ・システムに適切
な機密保護機構を装備させることによってシステム内デ
ータへのアクセスの制御を可能ならしめる。 【構成】 本発明は、機密保護システムとなり得る機能
を備えているパーソナル・コンピュータを機密保護され
ていない機械への攻撃から保護することを意図するた
め、システムに追加するコンポーネントを使用する。本
発明は、そのような追加の機密保護コンポーネントの装
備とそれらのＢＩＯＳ機構への適用を意図する。また、
パーソナル・コンピュータ・システムにおいて機密保護
機構を装備するのが望ましい環境の一つは、複数のシス
テムが相互に接続され、おそらく一つの中央ファイル・
サーバー・システムに接続されているようなネットワー
クである。そのようなネットワークでの機密保護を図る
ため、ネットワーク用の識別子の使用をも本発明は意図
する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明はパーソナル・コンピュー
タ・システム、特に、システム内のデータへのアクセス
を制御することのできる機密保護機構を備えるパーソナ
ル・コンピュータ・システムに関する。

【０００２】

【従来の技術】一般的にはパーソナル・コンピュータ・
システム、特にＩＢＭパーソナル・コンピュータは、今
日の近代社会の多くの分野でコンピュータ・パワーを提
供、幅広く使用されるようになった。パーソナル・コン
ピュータ・システムは、単一のシステム・プロセッサ、
揮発性または非揮発性メモリ、ディスプレイモニタ、キ
ーボード、ディスケット・ドライブ、固定ディスク装置
および任意ではあるが印刷装置を持つシステム・ユニッ
トから構成されるデスク・トップ、床置き またはポー
タブルタイプのマイクロコンピュータとして通常定義さ
れる。パーソナル・コンピュータ・システムの顕著な特
徴の一つは、これらのコンポーネントを電気的に相互に
接続するためのマザーボード（場合によってはシステム
ボード、システム基板または基板と呼ばれる）の使用に
ある。パーソナル・コンピュータ・システムは、独立の
コンピュータ能力を単一のユーザに主として提供するよ
う設計され、個人または小規模ビジネス・ユーザの購買
のため安く価格づけされている。ＩＢＭ ＰＥＲＳＯＮ
ＡＬ ＣＯＭＰＵＴＥＲ ＡＴおよびＩＢＭ ＰＥＲＳ
ＯＮＡＬ ＳＹＳＴＥＭ／２ モデル２５、３０、３
５、４０、Ｌ４０ＳＸ，５０，５５，５６，５７，６
５，７０，８０，９０ および ９５ はそのようなパ
ーソナル・コンピュータ・システムの例である。

【０００３】これらパーソナル・コンピュータ・システ
ムは、二つのファミリに大別できる。第一は、通常 Ｆ
ＡＭＩＬＹ Ｉ モデルと呼ばれるバス・アーキテクチャ
を用いるファミリで、ＩＢＭ ＰＥＲＳＯＮＡＬ ＣＯ
ＭＰＵＴＥＲ ＡＴ およびその他の「ＩＢＭ互換機」
がその例である。第二は、ＦＡＭＩＬＹ II モデルと呼
ばれるＩＢＭマイクロチャネル・アーキテクチャを用い
るファミリで、ＩＢＭＰＥＲＳＯＮＡＬ ＳＹＳＴＥＭ
／２ モデル５７から９５がその例である。後期の ＦＡ
ＭＩＬＹ Ｉと ＦＡＭＩＬＹ II の典型的モデルは、速
度の遅いＩＮＴＥＬ８０８６マイクロプロセッサをエミ
ュレートするリアル・モードでか、アドレス可能メモリ
を１メガバイトから４ギガバイトへ拡張するプロテクト
・モードでかどちらでも作動することのできる高速のＩ
ＮＴＥＬ８０２８６、８０３８６および８０４８６マイ
クロプロセッサを使用する。本質的には、８０２８６、
８０３８６および８０４８６プロセッサのリアル・モー
ド機構は、８０８６および８０８８マイクロプロセッサ
用に書かれたソフトウエアとのハードウエア互換性を提
供する。

【０００４】初期のパーソナル・コンピュータ・システ
ムでは、例えばＩＢＭ パーソナル・コンピュータから
始まったことだが、ソフトウエアの互換性は、最も重要
なことと認識された。コンピュータの目標を達成するた
め、ハードウエアとソフトウエアとの中間の、「ファー
ムウエア」として知られる、システム常駐コードという
隔離レーヤーを作りだした。このファームウエアは、ユ
ーザがハードウエア装置の特徴に関心を持たなくても済
むようにユーザ適用プログラム／オペレーティングシス
テムと装置との間の操作インターフェースを提供した。
最終的には、コンピュータのコードは、ＢＩＯＳ（Ｂａ
ｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ)
に発展し、適用プログラムをハードウエアの特性から隔
離しながら一方でシステムへの新装置の追加を可能とさ
せた。ＢＩＯＳがディバイス(装置)ドライバーにディバ
イスへの中間インターフェースを提供しながら特定装置
のハードウエア特性への依存からディバイス・ドライバ
を解放したが故に、ＢＩＯＳの重要性は直ちに明白とな
った。ＢＩＯＳは、システムの必須の部分であり、シス
テムのデータの出入り動作を制御するものであるがた
め、システ基板に常駐しＲＯＭとしてユーザに出荷され
た。例えば、初期のＩＢＭ パーソナル・コンピュータ
のＢＩＯＳは基板上の常駐部ＲＯＭ８Ｋを占有した。

【０００５】パーソナル・コンピュータ・ファミリの新
モデルが導入されるに従って、ＢＩＯＳは、新しいハー
ドウエアとＩ／Ｏ装置を含むよう更新され拡張された。
想像できるように、ＢＩＯＳのメモリ・サイズの増加が
始まった。例えば、ＩＢＭＰＥＲＳＯＮＡＬ ＣＯＭＰ
ＵＴＥＲ ＡＴの導入とともにＢＩＯＳは３２Ｋバイト
のＲＯＭを必要とした。

【０００６】今日、新技術の開発とともに、パーソナル
・コンピュータ・システム ＦＡＭＩＬＹ II は、非常
に高度化され、一般ユーザに一層頻繁に使用されるよう
になっている。技術が急速に進歩し新しいＩ／Ｏ装置が
パーソナル・コンピュータ・システムに追加されるの
で、ＢＩＯＳの修正がパーソナル・コンピュータ・シス
テムの開発サイクルにおける重大な問題となってきた。

【０００７】例えば、マイクロチャネル・アーキテクチ
ャをもつＩＢＭ ＰＥＲＳＯＮＡＬＳＹＳＴＥＭ／２の
導入とともに、ＡＢＩＯＳ(Advanced BIOS)と呼ばれる
最新のＢＩＯＳが開発された。しかし、ソフトウエアの
互換性を維持するためにＦＡＭＩＬＹ ＩのＢＩＯＳが
ＦＡＭＩＬＹ II のモデルに含められなければならなか
った。ＦＡＭＩＬＹ Ｉ ＢＩＯＳは、互換(Compatibili
ty)ＢＩＯＳすなわちＣＢＩＯＳとして知られるところ
となった。しかしながら、上記のように、基板上には、
３２ＫバイトのＲＯＭしかない。幸いにも、システムの
ＲＯＭは９６Ｋバイトに拡張できたが、これがシステム
でＢＩＯＳに使える最大容量である。ＡＢＩＯＳを追加
しても、ＡＢＩＯＳとＣＢＩＯＳを９６ＫバイトＲＯＭ
に何とか収容できたが、ＲＯＭのわずかな％が拡張用に
残されただけである。将来Ｉ／Ｏ装置が追加される場合
は、ＣＢＩＯＳとＡＢＩＯＳはＲＯＭ空間の外に出され
ることとなると信じられるに至った。かくして、新たな
Ｉ／Ｏ技術は、ＣＢＩＯＳとＡＢＩＯＳに容易に組み入
れることはできないであろう。

【０００８】このような問題が故に、さらに、開発サイ
クルのできる限り遅い段階でＦＡＭＩＬＹ II ＢＩＯＳ
の修正を行いたいという願望のために、ＢＩＯＳの一定
部分をＲＯＭからはずすことが必要となった。これは、
ＢＩＯＳの部分を固定ディスクのような大容量記憶装
置、好ましくはシステム区画と呼ばれるようなディスク
の特別の部分に書き込むことによって達成された。シス
テム区画はまた、システムを構成する際に使われるユー
ティリティ・プログラムまたは同等のものを含むシステ
ム・リファレンス・ディスケットの内容を保存する。デ
ィスクといううものは、読みも書きもできるものである
ので、ディスク上の実際のＢＩＯＳコードを修正するこ
とは可能となった。ディスクはＢＩＯＳを保存するため
の迅速で効率的方法を提供はするものの、一方で、ＢＩ
ＯＳコードが改悪される可能性が非常に高くなった。Ｂ
ＩＯＳは、オペレーティング・システムの必須の部分で
あるので、ＢＩＯＳの改悪は、惨憺たる結果となり、多
くの場合システム故障または操作不能となる。かくし
て、固定ディスク上のＢＩＯＳコードの無許可修正を防
止する手段が非常に望まれることとなったのは極めて明
白であった。この手段は、アメリカ合衆国特許出願番号
07/398,820(出願日1989年8月25日)およびアメリカ合衆
国特許番号5,022,077(発行日1991年6月4日)の対象課題
である。興味のある読者は、本特許の理解のため上記特
許出願及び特許を参照されることであろうが、本明細書
においても、発明の完全な理解に必要な程度に上記特許
及び特許出願を参照する。

【０００９】ＩＢＭＰＳ／２マイクロチャネル・システ
ムの導入とともに基板上からスイッチ類およびジャンパ
ー類が取り除かれた。マイクロチャネル・アーキテクチ
ャはそれらに替えてプログラム可能レジスタ類を提供し
た。これらプログラム可能レジスタまたはプログラム可
能オプション・セレクト（ＰＯＳ）レジスタの構成を設
定するためのユーティリテイが必要となった。このよう
なユーティリテイおよびシステム・ダイアグノスティッ
クスのようなシステムの可用性を改善する他のユーティ
リテイは、システム・リファレンス・ディスケットの形
でシステムとともに出荷された。

【００１０】最初の使用に先がけて、マイクロチャネル
・システムのＰＯＳレジスタ類は初期化される必要があ
る。例えば、システムが新しいＩ／ＯカードまたはＩ／
Ｏカード用スロットの変更を伴って起動される場合、構
成エラーが発生し、システム起動手順は停止する。ユー
ザは、システム・リファレンス・ディスケットを装填
し、Ｆ１キーを押すようプロンプトされる。「構成設定
ユーティリテイ」がシステムの構成を行うためシステム
・リファレンス・ディスケットより起動される。構成設
定ユーティリテイは、希望する処置を選択できるようユ
ーザにプロンプトを出す。もしも、適切なＩ／Ｏカード
用記述ファイルがシステム・リファレンス・ディスケッ
トにあれば、構成設定ユーティリテイは正しいＰＯＳま
たは構成データを非揮発性記憶装置に生成する。記述フ
ァイルはシステムとカードとのインターフェースを取る
ための構成情報を含んでいる。

【００１１】

【発明が解決しようとしている課題】近年の世界中のパ
ーソナル・コンピュータで顕著な点は、データまたは情
報がパーソナル・コンピュータ・システムにますます集
められ保持されていることである。このデータの多くは
自ずと取扱い要注意である。扱い方を誤れば個人に迷惑
が及ぶし、会社は競争力を失うし、そのようなデータの
ために沈黙裡に金銭の支払を余儀なくすることとなった
り、個人に対する暴力をもたらすことにもなりかねない
ようになった。個人がデータの敏感な性質とその価値を
認めれば認めるほどそのような誤使用を防止することが
ますます望まれるようになった。データそのものとそれ
に関係する人々を守るためにユーザは機密保護と保全機
能をユーザが購入するパーソナル・コンピュータに組み
入れることを要求している。

【００１２】ユーザは集められ保存されるデータの敏感
性を認識する人々に限られない。政府もまた敏感なデー
タの機密保護を要請する法律を制定している。そのよう
な政府の一つはアメリカ合衆国政府である。アメリカ合
衆国政府は、状況の重要度を認識し対応した。アメリカ
合衆国連邦政府は機密保護のレベルと、それらレベルに
合致するための要求を定義した。また、連邦政府はパー
ソナル・コンピュータ製造業者がその製品が製造業者が
主張する機密保護レベルに合致するか否かを検証するた
めの検査委員会を設置する。連邦政府のそのような要請
の出所は国防省1985年12月発行の、いわゆるオレンジ・
ブック(Orange Book) Trusted ComputerSystem Evaluat
ion Criteria, DOD 5200.28 STD である。政府は、政府
に関係するすべてのデータを1992年1月1日までに最低の
機密保護レベルのＣ−２を備えたパーソナル・コンピュ
ータでのみの処理し保存しなければならぬことを法制化
した。コンピュータ・システム・ハードウエアの関して
のこの法律上の要求の要点は、その Assurance Sectio
n, Requirement 6 で次のように記述されている：「信
任されたメカニズムは不正なまたは無許可の変更に対し
継続的に保護されねばならない」と。

【００１３】

【課題を解決するための手段】このような機密保護に関
する要求に応えるため、本発明は、機密保護システムと
なり得る機能を備えているパーソナル・コンピュータを
機密保護されていない機械への攻撃状況下に置かれない
よう保護することを意図する。そのような攻撃は、成功
すれば、システムが攻撃にとって望ましい未保護状態に
ある限りは、システム・オーナーがシステムに適切に保
存したデータをアクセスすることを妨げる。

【００１４】パーソナル・コンピュータ・システムの機
密保護を行う方法には、システムに追加するコンポーネ
ントを使用する場合がある。本発明は、そのような機密
保護コンポーネントの追加装備とそれらの上述のＢＩＯ
Ｓ機構への適応を意図する。

【００１５】パーソナル・コンピュータ・システムにお
いて機密保護機構を装備するのが望ましい環境の一つ
は、複数のシステムが相互に接続され、おそらく一つの
中央ファイル・サーバー・システムに接続されているよ
うなネットワークである。そのようなネットワークで
は、機密保護化されてないシステムからの攻撃にネット
ワークをさらすこととなるような機密保護化されていな
い「代替システム」との取り替えを防ぐために、ある特
定システムをネットワークに対し指定することはネット
ワークの機密保護を維持するために重要である。本発明
は、そのような指定機能を備えることをも意図する。

【００１６】

【実施例】この明細書で使用する用語の定義は以下の通
りである。

【００１７】トラステッド・コンピュータ・ベース（Ｔ
ＣＢ）: ハードウェア、ファームウェアおよびソフト
ウェアを含むコンピュータ・システム内の機密保護メカ
ニズムの全体で、機密保護方針の実施を担う持つそれら
の組み合わせのことである。ＴＣＢは、製品またはシス
テムの上の統一された機密保護方針を実施するひとつ以
上の構成要素から成る。機密保護方針を正しく実施する
ＴＣＢの能力は、ＴＣＢ内のメカニズムと、システム管
理要員による機密保護方針に関連したパラメータ類（た
とえば、ユーザの確認）の正しい入力とに完全に依存す
る。

【００１８】トラステッド・ソフトウェア: トラステ
ッド・コンピュータ・ベースのソフトウェア部分。

【００１９】トラステッド・プログラム: トラステッ
ド・ソフトウエアに含まれるプログラム。

【００２０】オープン・プログラム: トラステッド・
コンピュータ・ベース上で動作するトラステッド・プロ
グラム以外のプログラム。 参照監視概念: 目的へのアクセスを主題によって行う
抽象機械を参照するアクセス・コントロール概念。

【００２１】機密保護カーネル: 参照モニタ概念を実
行するトラステッド・コンピュータ・ベースのハードウ
ェア、ファームウェアおよびソフトウェアのエレメント
で、すべてのアクセスを統御し、変更を防止し、変更の
正しさを検証する。

【００２２】トラステッド・コンピュータ・システム:
一定範囲の敏感なまたは区別された情報を同時に処理
するためにそのシステムの使用を可能ならしめるに十分
なハードウェアおよびソフトウェアの保全性測定を用い
るシステム。

【００２３】システム・オーナー: システム・オーナ
ーは、システムを初期構成して、安全なモードに置くこ
とに対して責任があるユーザである。システム・オーナ
ーは、初期ななびに更新が必要な時はいつでも機械構成
を制御し、特権的アクセス・パスワードを制御し、その
保全性を維持することに責任がある。システム・オーナ
ーは、また、不正検知カバー・ロック機構キーの物理的
保管を行う。システム・オーナーは、すべてのシステム
に関する機密保護記録を維持する責任があり、また、す
べての未遂の機密保護違反を記録しなければならない。
システム・オーナーは、複数のシステムを所有するかも
しれない。システム・オーナーは、特権を持つユーザと
みなされるし、また、通常のユーザでもあり得る。

【００２４】機密保護モード: システム・オーナーが
パーソナル・コンピュータ・システム上の特権的アクセ
ス・パスワードを成功裡に導入し、そのシステムの機密
保護および保全エレメンとが提供する機密保護機能が利
用状態になっていることを意味する。

【００２５】特権ユーザ: 特権的アクセス・パスワー
ドを使用することを許可されたユーザで、システム・オ
ーナーである場合もありそうでない場合もある。特権ユ
ーザはある特定のシステムまたは一組のシステムのため
のキーを持つかもしれない。特権ユーザがシステムの機
密保護違反からの回復に関与する場合は、それをシステ
ム・オーナーに報告する責任がある。特権ユーザは、ま
た、通常のユーザでもあり得る。

【００２６】通常のユーザ: システムの諸機構諸機能
の使用を許可されるシステム・ユーザ。システム構成を
変更するか、あるいは問題を解決するたには、このユー
ザは、システム・オーナーまたは特権ユーザの援助を必
要とする。通常のユーザは、特権ユーザまたはシステム
・オーナーのカテゴリに属している場合を除き、特権的
アクセス・パスワードまたは不正検知カバー錠機構キー
を持たない。

【００２７】無許可のユーザ: システム・オーナー、
特権ユーザまたは通常のユーザ以外のユーザ。無許可の
ユーザによる機密保護状態にあるパーソナル・コンピュ
ータ・システムの使用は、電源入力の不成功以外は、機
密保護違反とみなされ、そのような違反を示す監査記録
がなければならない。

【００２８】EEPROM : 電気的に消去可能なプログラム
可能ＲＯＭ。このメモリ技術は、ハードウェアロジック
の制御下で変更できる非揮発性データ記憶装置を提供す
る。記憶装置の内容は、電気が通ってない時も消失しな
い。そのモジュール上の適切なコントロール信号が定義
済みの順序で起動される場合のみ内容を変えることがで
きる。

【００２９】パスワード記述: システムは、次の２つ
のパスワードにより機密保護を行える。すなわち、１）
特権アクセス・パスワード（ＰＡＰと呼び、Privileged
Access Passwordの略称）と ２）電源ＯＮパスワード
（ＰＯＰと呼び、Power On Passwordの略称）の２つで
ある。これらのパスワードは、互いに独立して使われよ
う設計される。ＰＡＰは、ＩＰＬ起動リストの機密保護
と、パスワード・ユーティリティへのアクセスおよびシ
ステム・リファレンス・ディスケットまたはシステム区
分へのアクセスを防止することによってシステム・オー
ナーに機密保護を提供するよう設計される。ＰＡＰが導
入されていないかまたはＰＡＰが電源投入時に正しく初
期入力されている場合にのみ、ＰＯＳＴエラーに対応し
てシステム区分は起動できる。ディスケットからの初期
ＢＩＯＳロード（ＩＢＬ）はシステム・リファレンス・
ディスケットを起動するのと同様方法により保護され
る。ＰＡＰは、ＰＯＰを使用する通常のユーザの関知す
るところではない。ＰＡＰの導入、変更または削除は、
システム・リファレンス・ディスケットまたはシステム
区分上のユーティリティによって行われる。ＰＡＰは、
セットされ正しく入力される場合、システム・オーナー
をして、ＰＯＰに優先して全システムへのアクセスを可
能ならしめる。ＰＯＰは、すべての現行ＰＳ／２で動作
しているように、ＤＡＳＤの上のオペレーティングシス
テムまたはシステムの諸機構諸機能への無許可アクセス
を防止するために使われる。

【００３０】本発明を実施するマイクロコンピュータが
図１の１０に示される。上述の如く、コンピュータ１０
は、関連したディスプレイモニタ１１、キーボード１２
およびプリンタまたはプロッタを備えているかもしれな
い。コンピュータ１０は、図２で示すように、カバー２
とそれとともに機能してディジタル・データを処理し保
存する装置の受け取る電気容量を閉じこめシールドする
シャーシ１９とを持つ。図２で図解のように、コンピュ
ータ１０はまた、コンピュータ・システムとＩ／Ｏケー
ブルとの接続部分を保護する任意機構のケーブル接続カ
バー１６を持つ。少なくとも一定数のシステムコンポー
ネントは、フロッピーディスク・ドライブやさまざまな
種類のＤＡＳＤやアクセサリカード・ボード等のコンピ
ュータ１０の関連コンポーネントを相互に電気的に接続
するための手段を提供するようにシャーシ１９に取り付
けられる複層の基板２０（マザーボードまたはシステム
ボードとも呼ばれる）に取り付けられる。

【００３１】シャーシ１９は、（図２のようにケーブル
接続カバー１６により外側を覆われている）下部および
背後のパネルを持ち、磁気または光学ディスク・ドライ
ブやテープバックアップドライブなどのデータ記憶装置
を収納するための空きベイを保持する。図示のように、
上方ベイは、（３．５インチドライブとして知られるよ
うな）第１サイズの周辺機器を収納するのに適してい
る。ディスケットの挿入を行いディスケットを使ってデ
ータの読み取り、書き込み、配達を行うようなフロッピ
ー・ディスケット・ドライブまたは取り出し可能直接ア
クセス記憶装置は、上方ベイ２２に格納される。

【００３２】上記構造を本発明に適応させる前に、パー
ソナル・コンピュータ・システム１０の一般的操作を要
約し、本発明の検討に役立てる。図３には、本発明に従
うシステム１０のようなコンピュータ・システムの種々
のコンポーネントを図解するパーソナル・コンピュータ
・システムのブロック・ダイヤグラムが示されている。
ここでいうコンポーネントには、基板２０に取り付けら
れるコンポーネントと、種々のＩ／Ｏスロットへの接続
コンポーネントと、その他のパーソナル・コンピュータ
・システムのハードウエア・コンポーネントとが含まれ
る。システム・プロセッサ３２は基板に接続される。Ｃ
ＰＵ３２には、適当なマイクロプロセッサが使用される
が、ＩＮＴＥＬ社発売の８０３８６は適切なマイクロプ
ロセッサの一つである。ＣＰＵ３２は、高速ＣＰＵロー
カル・バス３４によって、バス・インターフェース制御
装置３５と、図３でＳＩＭＭ（Single Inline Memory M
odule)と示される揮発性ＲＡＭと、ＣＰＵ３２に対する
基本入出力制御命令を記憶するＢＩＯＳＲＯＭ３８とに
接続されている。ＢＩＯＳ３８に記憶される命令はＢＩ
ＯＳの実行時間を減少させるためＲＡＭ３６へコピーす
ることができる。システムは、また、慣習となったが、
システム構成に関するデータの受け渡しと、リアル・タ
イム・クロック（ＲＴＣ）とのためのバーッテリ・バッ
クアップ付き非揮発性メモリ（習慣的にはＣＭＯＳ Ｒ
ＡＭと呼ばれる）とを持つ回路コンポーネント６８（図
３）を持つ。

【００３３】本発明の記述で図３のシステム・ブロック
・ダイヤグラムを特に参照してはいるが、本発明に従っ
た装置および方法は基板のその他のハードウエア構成に
ついても適用可能であることは本明細書の記述の初めか
ら意図していることと理解されるべきである。例えば、
システム・プロセッサはＩＴＥＬ８０２８６または８０
４８６でもあり得る。

【００３４】図３に戻って、（データ、アドレスおよび
制御のコンポーネントから成る）ＣＰＵローカル・バス
３４は、また、マイクロプロセッサ３２に接続できる、
数値計算コ・プロセッサ（ＭＣＰＵ）３９とＳＣＳＩ(S
mall Computer Systems Interface)コントローラ４０を
備える。ＳＣＳＩコントローラ４０は、固定ディスクや
フロッピ・ディスクなどの固定または取り出し可能記憶
媒体装置や電子光学または磁気テープ記憶装置などの記
憶装置を制御する機能を持っている。

【００３５】バス・インターフェース（ＢＩＣ）３５
は、ＣＰＵローカル・バス３４をＩ／Ｏバス４４に結合
させる。バス４４によって、ＢＩＣ３５は、マイクロチ
ャネル・アダプタ・カード４５を収納する複数のＩ／Ｏ
スロットを持つマイクロチャネル・バスのような任意付
加機構に接続される。マイクロチャネル・アダプタ・カ
ード４５には、図示されてないが、その先にさらに、Ｉ
／Ｏ装置やメモリを接続することができる。Ｉ／Ｏバス
４４は、アドレス、データおよび制御のコンポーネント
を収納する。

【００３６】グラフィック情報（４８で示される）と画
像情報（４９で示される）をストアするためのビデオＲ
ＡＭ（VRAM）と連係するビデオ信号プロセッサ４６のよ
うな様々なI／Ｏコンポーネントが、Ｉ／Ｏバス４４に
沿って接続される。ビデオ信号プロセッサ４６とやりと
りされるビデオ信号は、ディジタル・アナログ変換器
（ＤＡＣ）５０を経由しモニタまたは他のディスプレイ
装置に渡されるかもしれない。ビデオ・レコード・プレ
ーヤーやカメラのような形となる場合もある自然イメー
ジ入出力装置と呼ばれるようなものをＶＳＰ４６に直接
接続することもあり得よう。Ｉ／Ｏバス４４は、また、
ＤＳＰ５１による信号処理とその処理に必要なデータの
ためのソソフトウエア命令を記憶するためにあるINSTRU
CTION RAM５２とDATA RAM５４とを持つディジタル・シ
グナル・プロセッサ（ＤＳＰ）５１に接続されている。
ＤＳＰ５１は、音声コントローラ５５を装備することに
よる音声入出力の処理とアナログ・インターフェース・
コントローラ５６の装備によるその他の信号の処理とを
提供する。最後に、Ｉ／Ｏバス４４は、ＥＥＰＲＯＭ５
９を持つＩ／Ｏコントローラ５８に接続される。ＥＥＰ
ＲＯＭ５９によって、フロッピ・ディスク・ドライブや
プリンタ・プロッタ１４、キーボード１２、マウスやシ
リアルポート接続機器を含む伝統的周辺機器のための入
出力が実行される。ＥＥＰＲＯＭは、以下に記載の機密
保護機構の一部の役割を担う。

【００３７】ここまで記述したシステム１０は、機密保
護諸機構が求められかつ必要とされる適用業務のみなら
ず、それらが不要でまったく求められない適用業務にお
いても使用され得る。システム製造者は、上記システム
がそのような環境のどちらで使われるかを知り、どちら
の環境でも使用できるようシステムを準備しなければな
らない。本発明は、そのような使用環境のどちらにもシ
ステムを対応させることに焦点を置く。

【００３８】一つの特殊な例は、非機密保護システムが
意図せずに機密保護システムとなることを防止する必要
があることである。もしも、非保護システムが意図せず
に保護システムにさせられると、システム・オーナーが
実施しないと決めている機密保護機能をシステムが持っ
ているような場合に起きる可能性のあることであるが、
非保護の時記憶したデータが意図しない機密保護化によ
り使用不可能になるかもしれない。

【００３９】この明細書で記述するパーソナル・コンピ
ュータ・システムの機密保護の一定の目的を達成するた
め、パーソナル・コンピュータ・システム１０は、活動
および非活動状態の選択と活動状態の場合に特権アクセ
ス・パスワード（ＰＡＰ）の記憶とを行うための消去可
能メモリ・エレメントを備え持つ。消去可能メモリ・エ
レメントは、好ましくは、電気的に消去可能なプログラ
マブルＲＯＭ（ＰＲＯＭ）または上述の（図３の）ＥＥ
ＰＲＯＭ５９の少なくとも１フィールドか１部である。
システムは、また、筐体内に格納されるオプションまた
は機密保護スイッチを備え持つ。このスイッチは、消去
可能メモリ・エレメント５９に操作上接続され、メモリ
・エレメントの使用フィールドまたは部分を活動または
非活動状態にセットする操作に使われる。このようなオ
プション・スイッチ（機密保護スイッチとも呼ばれる）
は、例えば、システム基板２０に取り付けられ、基板に
アクセスする人によって手操作で２つの異なる状態にセ
ットされることのできるジャンパーである場合もあり得
る。１つの状態（本願書では書き込みまたは非施錠状態
とも呼ぶ）においては、ＥＥＰＲＯＭ５９は、活動状態
に設定され、ＰＡＰを記憶する。書き込み可能状態で
は、ＥＥＰＲＯＭにＰＡＰを書き込み、変更し、消去す
ることができる。もう一方の非活動状態（書き込み禁止
または施錠状態とも呼ぶ）においては、ＥＥＰＲＯＭへ
のＰＡＰ記憶機能は非活動状態に設定される。

【００４０】本発明によるＥＥＰＲＯＭは、また、製造
者によって組み込まれ、システム１０が機密保護ネット
ワークに接続され機密保護諸機能が活動化されている場
合にネットワーク・サーバーにアクセスすることのでき
る（製造業者組入れの）システム固有識別子を格納す
る。

【００４１】システム１０は、上述の通り、消去可能メ
モリ能力、すなわち、バーッテリ・バックアップ付き非
揮発性ＣＭＯＳ ＲＡＭとリアル・タイム・クロックと
を持つ第２のコンポーネントＲＴＣ６８を備える。ＣＭ
ＯＳ ＲＡＭは、（本発明に従う）システム１０の電源
投入時のＰＡＰの成功裡の入力データを含むシステム構
成情報を示すデータを記憶する。少なくとも１個の不正
検知スイッチが、筐体内に装備され、ＣＭＯＳ ＲＡＭ
と操作上接続される。このスイッチは、筐体が開けられ
るのを検知し、筐体が無許可で開けられる場合スイッチ
の動きに応じてメモリ・エレメントをクリアーにしたり
またはそこへ特定データを記憶したりするためのもので
ある。

【００４２】上記及び以下記述の機密保護および安全性
の諸機構は、既に提案したパーソナル・コンピュータ機
密保護機構のパワー・オン・パスワードと独立して作動
する。これら機密保護および安全性の諸機構は、オレン
ジ・ブックのような規制の下でのオペレーティングシス
テム証明にかなう機密保護実施のプラットフォームを提
供する。システムを機密保護の状態にさせるには、もう
１つのパスワードが必要である。それが、特権アクセス
・パスワード、すなわち、ＰＡＰである。従来技術での
パーソナル・コンピュータ・システムとの互換性を維持
するために、ＰＯＰはなおサポートされる。

【００４３】パスワード機密保護は、ＥＥＰＲＯＭ、機
密保護スイッチ、不正検知カバー・スイッチ、ＰＯＳＴ
およびシステム・ソフトウエア・パスワード・ユーティ
リテイというシステム・ハードウエア機構によって実施
される。ＰＡＰが、一旦導入されれば、システムは、機
密保護モードになる。ＰＡＰは、ＥＥＰＲＯＭに保管さ
れる。ＰＡＰのバックアップ・コピーもＥＥＰＲＯＭに
保持される。これは、ＰＡＰの導入、変更および消去の
間に電源が落ちる場合のＰＡＰがなくなる事故に備える
ために行われる。ＰＯＰと（もし導入されるなら）ＰＡ
Ｐの有効性を示す特定ビットがＣＭＯＳ ＲＴＣに記憶
される。ＣＭＯＳ ＲＴＣとＥＥＰＲＯＭに記憶される
データの変更は、互いに独立して行われる。

【００４４】図４で、主カバー１５やケーブル接続カバ
ー１６のような筐体カバーおよびキーロック・スイッチ
６４を開けたり取り除いたりすることに応じて電流伝導
状態を変化させるところの、従来技術"ＯＮ／ＯＦＦ"ス
イッチ６１と電源制御器６２との関係を図示する。本発
明では、筐体カバーの開けまたは除去に対応して伝導状
態を変化させるこれらスイッチの数は２個である。すな
わち、主カバー１５の取り除きに対応する（図４、５お
よび６における）スイッチ６５とケーブル接続カバー１
６の取り除きに対応する（図４、５および７における）
スイッチ６６とである。各スイッチは２つの要素を持
つ。すなわち、（６５ａと６６ａのように）通常の開と
（６５ｂと６６ｂのように）通常の閉とである。第２番
目のスイッチ６６は、ケーブル接続カバーとともに任意
機構である。ただし、システムの機密保護の制御の完璧
化にはこれら任意機構のカバーとスイッチは備わってい
る方が望ましい。

【００４５】スイッチ６５の通常開接点セットは電源ス
イッチ６１と電源制御器６２とに（図４のように）連結
される。このため、もしも電気が供給されている状態の
システム１０のカバーが開けられようとすると、スイッ
チ接点６５ａと６６ａが開の状態となり、システム操作
を防止する。

【００４６】カバー・スイッチ６５と６６の通常の接点
は、キー・ロック・スイッチ６４とＲＴＣ・ＣＭＯＳメ
モリ６８に連結される。通常閉接点セット６５ｂと６６
ｂは、カバー１５とカバー１６がある限りは、開の状態
に保たれ、これらのカバーが取り除かれると、閉とな
る。キー・ロック・スイッチ６４は、コンピュータ・シ
ステム１０に従来から供給されている筐体ロックが施錠
されている限りは通常に閉に保たれる。これらの３セッ
トの接点により、さもなくばＲＴＣおよびＣＭＯＳメモ
リへエネルギーを供給することとなる電流の接地の迂回
路を作りだし、システム筐体がロックされた状態でのカ
バーの無許可の取り外しに対応して電気供給が遮断され
た場合ＲＴＣおよびＣＭＯＳのメモリの１セグメントを
（すべて１にするような）顕著な状態に設定することが
できる。

【００４７】このメモリはＰＯＳＴによってチェックさ
れるので、メモリ・セグメント上の顕著な状態設定は構
成エラー信号が出されることとなり、システム・オーナ
ーへシステム機密保護違反が試みられたこと（成功不成
功を問わず）を警告する結果となる。メモリ・セグメン
ト上のこのような顕著状態では、オペレーティングシス
テムを起動するには前もって保存されるパスワードを必
要とする。すなわち、オペレーティングシステムの起動
には有効な（本願書で記載の）ＰＡＰの入力を必要とす
る。

【００４８】キーロック・スイッチ６４と主筐体カバー
・スイッチ６５は、主筐体カバーに付けられるロックと
適切に位置関係をつけるように（図２および図６で示す
ように）フロント・カード・ガイド・メンバー６９に取
り付けるのが本発明の好ましい実施方法である。フロン
ト・カード・ガイド・メンバーは、カバー１５がシステ
ム筐体を閉じるための位置に来た時カバー１５によって
カバー・スイッチ６５用動作レバー７０が動かされ直立
フロント・フレーム・メンバーの穴を通して突き出るよ
うな位置になるように、コンピュータ・システム・フレ
ームに取り付けられる。

【００４９】ケーブル・カバー・スイッチ６６は、ケー
ブル・カバー１６に取り付けられ、筐体カバー１５と同
様に手操作のキーロックで回転するラッチ・メンバーに
よって動かすことができるような場所で、システム・フ
レームの後部パネルに取り付けるのが本発明の好ましい
実施方法である。任意機構のケーブル・カバー１５が使
用されている場合は、後部パネルへのカバーのロックに
より、関連する通常開接点セット６６ａを閉じ、通常閉
接点セット６６ｂを開ける。

【００５０】本発明に従えば、システム１０の製造時点
の省略時解釈状態は、電源オン時非機密保護状態に設定
される。システムを機密保護状態にするには、システム
・オーナーは、ロックされたカバー類を開け、システム
基板２０上に備えられれている機密保護スイッチの状態
を意図的に変更し、それによって機密保護パスワードを
活動化しシステムを機密保護状態にさせねばならない。
かくして、上述の機密保護の諸機構を備えることによっ
て、システム・オーナーや他の許可を受けたユーザの知
識なしに初期に機密保護状態にないシステムを機密保護
状態のシステムにさせることができる。

【００５１】本発明は、さらに、機密保護機構の追加装
備を意図する。具体的には、様々の製造業者がＩ／Ｏオ
プション・バス４４経由でシステムに接続されるカード
４５として取り付けられるオプション・カードを提供す
る。そのような商業的に提供されるオプション・カード
の中には、署名読み取りペン、磁気ストライプカードや
トークン入りＲＯＭのような形をとる暗号「キー」への
接続を行うものもある。そのようなオプション・カード
が機密保護状態にあるシステム１０のようなシステムに
付加される場合には、一層高いレベルの機密保護が与え
られる。さらに、そのように付加される場合は、システ
ム・オーナーは、オプション・カードとＤＡＳＤのシス
テム区分に保管されるセット構成ユーティリテイ・プロ
グラムとにアクセスする権限をもつ唯一の人となる。

【００５２】本発明は、また、システム固有識別子がＥ
ＥＰＲＯＭ５９に保管されることを意図する。ＥＥＰＲ
ＯＭに保管されるシステム固有識別子は、システム１０
と接続されるネットワーク上で動くソフトウエアまたは
同等のものによってアクセスされ得る。これにより、ネ
ットワーク上の特定位置にあるシステムが制御されてい
るアクセスを許可されている機密保護化システムであり
それを継続しているかをネットワークが検証することが
できる。ＥＥＰＲＯＭが読み取り専用ディバイスであ
り、ＥＥＰＲＯＭメモリに保管される識別子を変更する
には特別のハードウエアを必要とするという事実によっ
て、ＥＥＰＲＯＭに保管される識別子は、機密保護され
る。

【００５３】

【発明の効果】本発明の実施により、機密保護システム
となり得る機能を備えているパーソナル・コンピュータ
を機密保護されていない機械への攻撃から守ることによ
り、システム内に保管されるシステム操作に必須のＢＩ
ＯＳやユーザ・データなどの貴重なシステム資源の破壊
や盗難を防止できる。

【図面の簡単な説明】

【図１】本発明を実施するパーソナル・コンピュータの
概観である。

【図２】シャシー、カバーおよび基板とそれら構成部品
の相互関係とを図示する図１のパーソナル・コンピュー
タの特定構成部品の組立概観図である。

【図３】図１と図２のパーソナル・コンピュータに特定
部品の概観配線図である。

【図４】本発明の機密保護機構に関係する図１および図
２のパーソナル・コンピュータの特定コンポーネントの
配線図である。

【図５】本発明の機密保護機構に関係する図１および図
２のパーソナル・コンピュータの特定コンポーネントの
配線図である。

【図６】図４と図５で図示した特定コンポーネントの拡
大図である。

【図７】本発明の機密保護機構に関係する図１、２、４
および５のパーソナル・コンピュータの特定任意機構の
拡大図である。

【符号の説明】

１０ パーソナル・コンピュータ １５ 筐体カバー １９ シャーシー １６ ケーブル接続カバー ２０ 基板 ２０ マザーボード ３８ ＢＩＯＳ ＲＯＭ ５９ ＥＥＰＲＯＭ ６６ ケーブル・カバー・スイッチ ６４ キー・ロック・スイッチ ６９ フロント・カード・ガイド・メンバー ６１ 電源スイッチ ６２ 電源制御器 ６８ ＲＴＣ

─────────────────────────────────────────────────────

【手続補正書】

【提出日】平成６年１２月９日

【手続補正１】

【補正対象書類名】図面

【補正対象項目名】図６

【補正方法】変更

【補正内容】

【図６】

【手続補正２】

【補正対象書類名】図面

【補正対象項目名】図７

【補正方法】変更

【補正内容】

【図７】

───────────────────────────────────────────────────── フロントページの続き (72)発明者 リチャード アラン ダイアン アメリカ合衆国フロリダ州ボカラートン 73ストリート エヌ・イー 830 (72)発明者 デニス リイ メラー アメリカ合衆国フロリダ州ボカラートン ローズウッド サークル 7430 (72)発明者 パーマー ユーゲン ニューマン アメリカ合衆国フロリダ州ボカラートン ダブリン ドライブ 7488 (72)発明者 ケネス ジョン ピーター ツベイ アメリカ合衆国フロリダ州ボカラートン アイアンウエッジ ドライブ 22845

Claims (7)

【特許請求の範囲】
1. 【請求項１】 通常閉じられているシステム筐体と、 上記筐体用キーを使用しない場合筐体内部へのアクセス
   を拒否するよう安全にロックされた状態に筐体を維持す
   るための筐体ロックと、 活動または非活動の状態に選択的に設定可能な、上記筐
   体内に実装される消去可能メモリ・エレメントと、 上記消去可能メモリ・エレメントを活動または非活動状
   態に設定するために消去可能メモリ・エレメントに操作
   上接続するようシステム筐体に実装されかつ筐体内での
   みアクセス可能なオプション・スイッチと、 上記システム内に保存される少なくとも一定レベルのデ
   ータへのアクセスをメモリ・エレメントの活動・非活動
   状態の識別によって制御するため消去可能メモリ・エレ
   メントに操作上接続するよう上記筐体内に実装されるシ
   ステム・プロセッサと、 を備える、データを受け取りかつ保持し、保持するデー
   タを無許可アクセスから保護することのできるパーソナ
   ル・コンピュータ・システム。
2. 【請求項２】 メモリ・エレメントの活動・非活動状態
   を選択することによって、上記システムの操作を行う者
   をしてシステムの保護状態操作と非保護状態操作とを選
   択することを可能ならしめるオプション・スイッチを備
   えた上記請求項１記載のパーソナル・コンピュータ・シ
   ステム。
3. 【請求項３】 手で操作可能かつ上記筐体を開けた後で
   のみ手操作可能となるよう筐体内に置かれるオプション
   ・スイッチを備えた上記請求項２記載のパーソナル・コ
   ンピュータ・システム
4. 【請求項４】 電気的に消去可能なＰＲＯＭ(Programma
   ble Read Only Memory)装置であるところの消去可能メ
   モリ・エレメントを備えた上記請求項１記載のパーソナ
   ル・コンピュータ・システム。
5. 【請求項５】 ネットワーク上の特定位置にあるシステ
   ムが制御されたアクセスが許可されるよう機密保護化さ
   れたシステムであるかまたはその状態が継続しているか
   を、そのシステムに接続しているネットワーク・サーバ
   ー上で動くソフトウエアが検証できるようにするための
   システム固有識別子を格納する電気的消去可能ＰＲＯＭ
   を備えた上記請求項４記載のパーソナル・コンピュータ
   ・システム。
6. 【請求項６】 １個のオプション・カードを収納し、シ
   ステム・プロセッサと操作上接続される少なくとも１個
   のＩ／Ｏスロット（ここでいうＩ／Ｏスロットは上記筐
   体カバーを開けた後でなければ手でアクセスできないよ
   うに筐体内に組み込まれること）から構成される上記請
   求項１記載のパーソナル・コンピュータ・システム。
7. 【請求項７】システム区画を持ち、プログラムとデータ
   の書き込みおよび取り出しを行えるようシステム・プロ
   セッサに操作上接続される大容量記憶装置と、システム
   ・オーナーまたは特権ユーザのみが請求項６記載のＩ／
   Ｏスロットへのオプション・カードの実装を行うことが
   できるようにするため、大容量記憶装置のシステム区画
   に保存されるユーティリティ・プログラムを通常のユー
   ザまたは無許可ユーザにはアクセスできないようセット
   するシステム構成機能と、をさらに装備する上記請求項
   ６記載のパーソナル・コンピュータ・システム。