(57)【要約】本発明は、証拠価値をもって認証され、日付されたコンピュータデータを、安全、不可侵かつ偽造不能に格納する周辺機器に関する。本発明は、場合によっては再記録可能な、全体的に組み込まれた格納周辺機器に基づいて構成される。該周辺機器は、未使用の空きスペースへのデータの追加だけを許可し、すでに記録されたデータの消去、変更、再記入を禁止する電子システムによって、機能的に保護されている。各ファイルは、書き込み作業の最後に、内部クロックによって日付を記入される。この内部クロックは、製造時にたった一度だけ時刻設定され、その後は変更できない。各デバイスは、公開の単一識別子と連結された、単一の内部デジタル秘密識別子を組み込んでおり、これらの識別子によって、デバイスは個別化され、同一物のコピーを作成できないようになっている。複数の第三メソッドにより、決して内部秘密識別子を明らかにすることなく、上記識別子の連結を確認することができる。物理的、電子的な能動的周囲保護システムが、上記内部エレメント全体を包括して保護し、侵入、破壊、改ざん、内部解析の試みが発覚した場合には、単一の内部識別子を破壊することを保証する。
2006521608.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータデータを格納する方法であって、
−データ格納周辺機器（１）と、
−ホストシステム（２０）から来る入力−出力インターフェース（１３）の命令の全てを、組み込まれたデータ格納周辺機器（１）の内部インターフェース（３）へと向けることにより、上記データ格納周辺機器（１）を、単一または制限書き込み格納周辺機器に変える入力−出力コントローラ（２）とを、１つのデバイスに組み込み：
−内部の確実なリアルタイムクロック（６）により独立に日付して、空きスペース（５）への新規ファイルの追加を行うことを、排他的に許可し、
−前に書き込まれた、従って日付が先行するデータ（４）の消去、変更および書き直しを禁止し、
−一方では、単一の公開シリアルナンバーと連結された単一の内部秘密識別子（７）によって、偽造やコピー作成を防止することにより、他方では、周辺保護エンクロージャ（１０）によって、デバイス内への割り込みや、内部コンポーネントおよび内部データの変更を防止すること、並びに、復旧不可能に有効性および信憑性を損なうことなく、単一秘密識別子の解析を防止することにより、上記デバイス全体を保護し、
−割り込み、変更、解析の企てを探知し、これらの探知は、上記方法とは別の複数の第三メソッドによって監査することが可能であり、従って上記方法のセキュリティは保証されており、証拠価値をもって認証され、日付されたコンピュータデータの格納に適している、
ということを特徴とする、コンピュータデータの格納方法。
【請求項２】
上記単一の公開シリアルナンバーを電子的に監視するため、これを内部で電子的に再生するということを特徴とする、請求項１に記載の方法。
【請求項３】
入力−出力（１３）および電力供給（１４）という外部の機能的インターフェースだけにアクセスの余地を残して、全てのコンポーネントを一まとめに総括する周辺密閉エンクロージャ（１０）によって、内部コンポーネント全てを物理的に保護し、上記エンクロージャ（１０）は、能動的割り込み探知センサ（１２）と、関連する電子システム（９）とを一まとめに総括する、機械的および電磁的な受動的保護システム（１１）とによって構成され、上記電子システム（９）は、万一の場合、すなわち、脆弱性による破損、または自律的破損といった、本意または不本意の破損がデバイスに生じた場合、あるいは、データ、インターフェースまたは内部コンポーネントを傷つけ、制御し、変更し、解析する可能性のある内部調査の企てが、センサ（１２）により探知された場合、単一の内部秘密識別子（７）および内部シリアルナンバー（８）を、瞬時に消去することにより、即座に破壊することを保証することを特徴とする、請求項１または２に記載の方法。
【請求項４】
内部の自立的電力供給サブシステム（１５）（設備の寿命を高めるために、時として外部電力で補給される）によって、万一の場合、内部のリアルタイムクロック（６）、秘密識別子（７）、内部シリアルナンバー（８）、および割り込みや破壊を探知する電子システム（９）を、外部電力供給（設備の明示された寿命を維持するためのものである）から独立に、活性に維持することができるということを特徴とする、請求項３に記載の方法。
【請求項５】
設備内部における演算によって、単一の秘密識別子（７）をランダムに生成し、秘密識別子（７）に遡及することを不可能とする該識別子の一意的なデジタル指紋（２３）を演算して、現存する設備全体のデジタル指紋を保有する公開データベース（２１）に問い合わせ、衝突がある場合は識別子を演算し直し、デジタル指紋が単一であれば直ちに設備は形式的に識別され、この場合は、設備の身元保証：すなわち単一のシリアルナンバー（８、１８）とデジタル指紋（２３）とを公開データベース（２１）に追加して、デジタル指紋の単一性を確立することにより、設備の存在を公表しつつも、場合によっては設備の証明書が発行される以前に、単一かつ再生成不能な設備の個別化を保証することを特徴とする、請求項１〜４のいずれかに記載の方法。
【請求項６】
単一シリアルナンバー（８、１８）の割り当て作業、信頼できる外部時間（１６）との関連におけるリアルタイムクロック（６）の同期化、単一秘密識別子（７）の内部自動生成、および識別子の機密性（すなわち、実際には設備の信憑性）を保証する資格を有する認証機関（２２）への、安全な環境における単一秘密識別子の外部コピー（１７）を、それぞれ単独で行い、これらそれぞれの作業の単一性は、初期化を可能とする物質的エレメントおよび／またはマイクロコードを、不可逆的に、かつ初期化シークエンスにおいて可能になるや否や、制止または破壊するという設計により保証され、これにより、デバイス製造後の信憑性、すなわち、試験、周辺保護機器（９）の最終組立および活性化、エンドユーザによる購入に至るまでを保証することを特徴とする、請求項４または５に記載の方法。
【請求項７】
公開データベース（２１）にリストアップされた単一シリアルナンバー（８、１８）の監視および照合、内部クロックの明示された最大偏差を考慮に入れた、信頼できる外部時間（１６）との関連における内部クロック（６）の有効性および進行の点検、および外部エンベロープ（１２）の完全性の視覚的または非破壊的点検により、場合に応じて制限なく、信憑性および完全性の予備確認を行うことが可能であるということを特徴とする、請求項５または６に記載の方法。
【請求項８】
内部で動的に識別子のデジタル指紋（２３）を演算し直して、直接的に公開データベース（２１）に問い合わせることにより、あるいは、内部の日付および外部メッセージ（内部において全体のデジタル指紋を演算する前に供給されたもの）と、秘密識別子とを内部でカップリングすることにより、認可された機関が、要請に応じて、秘密識別子（７）を明らかにせずに使用する第三メソッドによる確認を行い、設備を認証することが可能であり、ここで、既知のデータ全体は、遠隔認証のため、資格ある認証機関（２２）（単一の秘密識別子のコピー（１７）を自由に扱うことができるため、一貫性を確認できる唯一の機関）によって供給され、秘密識別子を巻き込んだこの機能は、連続的な解析または試みによる識別子の逆決定を避けるため、場合によっては設備の内部において、待機させられ制限されることを特徴とする、請求項５または６に記載の方法。
【請求項９】
資格ある認証機関（２２）が、秘密識別子のコピー（１７）を比較のために設備内部に投入し、設備は、その完璧な類似を検索して、回答として単一メッセージを送信し、このメッセージを上記認証機関（２２）が確認することにより、認証機関（２２）自身が、自己の監視下において、最後の手段として、設備の認証を行うことが可能であり、秘密識別子を巻き込んだこの機能は、連続的な解析または試みによる識別子の逆決定を避けるため、場合によっては設備の内部において、待機させられ制限されることを特徴とする、請求項６に記載の方法。
【請求項１０】
必ずしもインプリメントする必要はない変形ではあるが、格納周辺機器（１）の内部が満杯になった場合に限り、新しいファイルの書き込みを許可し、内部クロック（６）により提供される現在の時間との関連で動的にアップデートされる相対日時（９４）よりも前のデータのファイルに、必要最低限だけ、年代順に上書きすることにより、自律的に過去のデータの期限満了を管理することを可能とし、従って、単一書き込みの原則には抵触するものの、まだ有効性を有する有用なデータや、満了期限よりも後の日付のデータを、損ねたり、変更するものではないことを特徴とする、請求項１〜８のいずれかに記載の方法。
【請求項１１】
あらゆるパラメータ、および上記デバイスに特有の内部インジケータを、保存名を付した仮想ファイルの形態で提示することができ、この仮想ファイルは、ホトシステムからは正統ファイルのように見えるが、操作者が利用することはできず、また、ホストシステムが上記デバイスの管理、運営および監視レベルの特有の機能モードにある場合は、利用することができないことを特徴とする、上記請求項のいずれかに記載の方法。
【請求項１２】
上記データ格納周辺機器を、パーティションごとに満了期間が異なるよう分割することを特徴とする、上記請求項のいずれかに記載の方法。
【請求項１３】
コンピュータデータを格納するためのデバイスであって、
−内部インターフェース（３）を備えたデータ格納周辺機器（１）と、
−入力−出力コントローラ（２）と、
−入力−出力インターフェース（１３）と、
−確実な内部リアルタイムクロック（６）と、
−単一の内部秘密識別子（７）と、
−単一の公開シリアルナンバーと、
−周辺保護エンクロージャ（１０）とを、全体に組み込み、
上記入力−出力コントローラ（２）は、ホストシステム（２０）から来る入力−出力インターフェース（１３）の命令の全てを、組み込まれたデータ格納周辺機器（１）の内部インターフェースへ（３）と向けることにより、上記データ格納周辺機器を、単一または制限書き込み格納周辺機器に変えるものであり、これにより：
−内部の確実なリアルタイムクロック（６）により独立に日付して、空きスペース（５）への新規ファイルの追加を行うことを、排他的に許可し、
−前に書き込まれた、従って日付が先行するデータ（４）の消去、変更および書き直しを禁止し、
上記デバイス全体は、一方では、単一の公開シリアルナンバーと連結された単一の内部秘密識別子（７）によって、偽造やコピー作成を防止することにより保護され、他方では、周辺保護エンクロージャ（１０）によって、デバイス内への割り込みや、内部コンポーネントおよび内部データの変更を防止すること、並びに、復旧不可能に有効性および信憑性を損なうことなく、単一秘密識別子の解析を防止することにより保護されており、こうした割り込み、変更、解析の企ては、上記デバイスとは別の複数の第三手段によって監査することが可能であり、従って上記デバイス全体は、安全、不可侵、偽造不能であり、証拠価値をもって認証され日付されたコンピュータデータを格納するのに適していることを特徴とする、コンピュータデータを格納するためのデバイス。
【請求項１４】
上記単一の公開シリアルナンバーを再生する、内部で電子的に再生成されたシリアルナンバー（８）を含むことを特徴とする、請求項１に記載の方法。
【請求項１５】
入力−出力（１３）および電力供給（１４）という外部の機能的インターフェースだけにアクセスの余地を残して、全てのコンポーネントを一まとめに総括する周辺密閉エンクロージャ（１０）によって、内部コンポーネント全てを物理的に保護する手段を備えたデバイスであって、上記エンクロージャ（１０）は、能動的割り込み探知センサ（１２）と、関連する電子システム（９）とを一まとめに総括する、機械的および電磁的な受動的保護システム（１１）とによって構成され、上記電子システム（９）は、万一の場合、すなわち、脆弱性による破損、または自律的破損といった、本意または不本意の破損がデバイスに生じた場合、あるいは、データ、インターフェースまたは内部コンポーネントを傷つけ、制御し、変更し、解析する可能性のある内部調査の企てが、センサ（１２）により探知された場合、単一の内部秘密識別子（７）および内部シリアルナンバー（８）を、瞬時に消去することにより、即座に破壊することを保証することを特徴とする、請求項１３または１４に記載のデバイス。
【請求項１６】
内部の自立的電力供給サブシステム（１５）（設備の寿命を高めるために、時として外部電力で補給される）によって、万一の場合、内部のリアルタイムクロック（６）、秘密識別子（７）、内部シリアルナンバー（８）、および割り込みや破壊を探知する電子システム（９）を、外部電力供給（設備の明示された寿命を維持するためのものである）から独立に、活性に維持する手段を備えることを特徴とする、請求項１４に記載のデバイス。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ある日付において記録されたデータの信憑性を保証するための、コンピュータデータを安全かつ偽造不能に格納する方法およびデバイスに係り、同様に、これに関連する製造、点検、認証および活用方法および手続きに関する。
【背景技術】
【０００２】
伝統的に、このようなシステムは、物理的に不可逆的に変更される媒体の機能に基づいた、単一書き込みの格納デバイスにインプリメントされる。これらの媒体（固定されている場合もあるが、大部分は着脱可能である）は、その全体を、容易に複製することができる。例えば、再記録不能なＣＤＲ、ＤＶＤＲタイプのものがよく知られているが、これらは、通常、個別的に識別されておらず、従って外部システムで操作することが可能であり、偽造した後に、同一の未使用の媒体上に全体をコピーし直すことが可能である。また、読み取り−書き込み器は、媒体へのアクセスという生来の命令に対して、保護されていない、もしくは、ほとんど保護されていないため、すでにデータが記録された部分への再書き込みを強制することにより、単一書き込み媒体の記録であっても、改ざんすることが可能である。媒体の単一性の識別は、しばしば、複製または偽造の容易性、および媒体が自給自足ではないという事実に直面する。従って、こうした媒体は、一般的に、非常に低いレベルのセキュリティしが提供できない。磁気媒体は、より密度が高く、より高性能ではあるが、生来的に多重書き込みであり、従って、より容易に改ざんすることができる。
【０００３】
これら着脱可能または再記録可能な媒体の弱点を緩和する方法の１つとして、暗号法の使用がある。この方法によれば、書き込みの際、有効にデータを認証することが可能であるが、特有のエラーが発生し易くなり、ユーザ間におけるデータの交換を、しばしば厄介なものにする。これらのアルゴリズム法は、しばしば複雑であるが、直接的に媒体および／または読み取り器を保護するものでなく、演算手段は依然として高価であり、また、時の経過とともに時代遅れになり易い。これらの方法は、リアルタイムの取引分野において、有効かつ必要であるとしても、多量のデータ開発が要望されたり、多数のユーザにデータの供給が必要となったり、長年にわたるデータの保存が要求されたりといった場合には、数多くの不利益を露呈する。いずれにせよ、媒体のコピー作成や偽造を後天的に行うことが可能である限り、いかなる暗号法も有効とはいえない。
【０００４】
上記に加えて、更に日付記入の問題がある。ファイルへの日付記入システムは、しばしば非常に脆弱であり、コンピュータデータの日付の改ざん（意図的なものであれ、無意識のものであれ）を、ほとんど防止できない。一般的に使用されているファイルシステムの構造は、周知であり、これに関連する日付機能は、ほとんど保護または暗号化されておらず、従って脆弱性を否めない。
【０００５】
最後の解決策として、第三機関を使用する方法がある。この第三機関は、データ（場合によっては暗号化される）を冗長に格納し、データの物理的保護を保証する。これらの方法は、有効ではあるが、伝達するデータの量に応じて、しばしば高価なロジスティクスを要求する。また、これらの方法は、混雑で不通になりやすい通信網および／またはほとんど保護されていない公開ネットワークを使用する。その他、データの認証に関する類似の解決策として、デジタル署名による方法がある。第三機関は、ファイルの署名だけを保存する。認証は、署名の比較によって行われる。この方法は、オリジナルのデータが、やがては改ざんされる（意図的にまたは無意識に）かもしないという可能性、すなわち、演算器の進歩によりデータの偽造が可能となるという可能性と結びついた諸問題を解決するものではない。また、この方法は、署名ソフトの使用によって行われるが、この署名ソフト自体、傷つき易いものである。
【０００６】
上記した各方法は、特殊な用途の一分野をカバーするものではある。しかしながら、データ量が膨大になった場合や、司法的、法的に真正な証拠として、後天的にデータの提出を義務づけられたような場合に、様々な内部データ（個人の、職業上の、または企業の、機密的、私的、または戦略的データ）の自律的記録に関し、単純な解決策を提供することはできない。
【０００７】
データを所有し、管理し、これについての責任を負う個人または法人は、これらのデータが戦略的、機密的または私的な側面を有することから、外部の第三者を通じて（または外部の第三者に）該データを伝達する意志、またそのための技術的および／または機構的手段を、必ずしも有しているわけではない。
【０００８】
監査または家宅捜索の一環として、データの提出を要求できる公認機関または国家機関も、全ユーザの全データをコピーし、認証しまたは保証する手段を有さず、従って、データの監視および管理を当事者に委ねざるを得ない。
【０００９】
こうした脆弱性全体は、標準的エレメントに基づく私的コンピュータ記録に法的価値を与えることを非常に困難なものとし、逆説的に、コンピュータによる情報の格納が、一般的な情報保存手段となっている今日、データ（どのようなデータであるにせよ）の信憑性を保証する必要性は、益々高まっているのである。
【発明の開示】
【発明が解決しようとする課題】
【００１０】
本発明の方法およびデバイスは、情報の制御が、情報を格納し管理する人間に完全に委ねられており、従って、偽造したり、一部を削除したり、後天的に日付を前に戻したりすることが可能な、あるいは、内部または外部からのデータ攻撃の犠牲となる可能性のある、音声、ビデオおよび標準的なコンピュータの記録を、容易に作り直したり、偽造したりできないようにすることを目的とする。これらの情報は、私的なものである場合も多く、検証は不可能であったり、その検証には長く膨大な時間がかかったりする。
【課題を解決するための手段】
【００１１】
より詳細には、本発明は、以下を特徴とするコンピュータデータの格納方法に関する。すなわち：
−データ格納周辺機器と、
−ホストシステムから来る入力−出力インターフェースの命令の全てを、組み込まれたデータ格納周辺機器の内部インターフェースへと向けることにより、上記データ格納周辺機器を、単一または制限書き込み格納周辺機器に変える入力−出力コントローラとを、１つのデバイスに組み込み：
−内部の確実なリアルタイムクロックにより独立に日付して、空きスペースへの新規ファイルの追加を行うことを、排他的に許可し、
−前に書き込まれた、従って日付が先行するデータの消去、変更および書き直しを禁止し、
−一方では、単一の公開シリアルナンバーと連結された単一の内部秘密識別子によって、偽造やコピー作成を防止することにより、他方では、周辺保護エンクロージャによって、デバイス内への割り込みや、内部コンポーネントおよび内部データの変更を防止すること、並びに、復旧不可能に有効性および信憑性を損なうことなく、単一秘密識別子の解析を防止することにより、上記デバイス全体を保護し、
−割り込み、変更、解析の企てを探知し、これらの探知は、上記方法とは別の複数の第三メソッドによって監査することが可能であり、こうして上記デバイスのセキュリティは保証され、従って、証拠価値をもって認証され、日付されたコンピュータデータの格納に適している、
ということを特徴とする、コンピュータデータの格納方法である。
【００１２】
さらに、本発明の有益な特徴の一つは、本発明の方法によれば、上記単一の公開シリアルナンバーを電子的に監視するため、これを内部で電子的に再生することができる。
【００１３】
さらに、本発明の有益な特徴の一つは、本発明の方法によれば、入力−出力および電力供給という外部の機能的インターフェースだけにアクセスの余地を残して、全てのコンポーネントを一まとめに総括する周辺密閉エンクロージャによって、内部コンポーネント全てを物理的に保護することができる。上記エンクロージャは、能動的割り込み探知センサと、関連する電子システムとを一まとめに総括する、機械的および電磁的な受動的保護システムによって構成される。上記電子システムは、万一の場合、すなわち、脆弱性による破損、または自律的破損といった、本意または不本意の破損がデバイスに生じた場合、あるいは、データ、インターフェースまたは内部コンポーネントを傷つけ、制御し、変更し、解析する可能性のある内部調査の企てが、センサにより探知された場合、単一の内部秘密識別子および内部シリアルナンバーを、瞬時に消去することにより、即座に破壊することを保証する。
【００１４】
さらに、本発明の有益な特徴の一つは、本発明の方法によれば、内部の自立的電力供給サブシステム（設備の寿命を高めるために、時として外部電力で補給される）によって、万一の場合、内部のリアルタイムクロック、秘密識別子、内部シリアルナンバー、および割り込みや破壊を探知する電子システムを、外部電力供給（設備の明示された寿命を維持するためのものである）から独立に、活性に維持することができる。
【００１５】
さらに、本発明の有益な特徴の一つは、本発明の方法によれば、設備の存在を公表しつつも、場合によっては設備の証明書が発行される前に、単一かつ再生成不能な設備の個別化を保証できる。これは、設備内部における演算によって、単一の秘密識別子をランダムに生成し、この識別子に遡及ことを不可能とする識別子の一意的なデジタル指紋を演算して、現存する設備全体のデジタル指紋を保有する公開データベースに問い合わせ、衝突がある場合は識別子を演算し直し、デジタル指紋が単一であれば直ちに設備は形式的に識別され、この場合は、設備の身元保証（すなわち単一のシリアルナンバーとデジタル指紋）を公開データベースに追加して、デジタル指紋の単一性を確立することより可能となる。
【００１６】
さらに、本発明の有益な特徴の一つは、本発明の方法によれば、デバイス製造後の信憑性、すなわち、試験、周辺保護システムの最終組立および活性化、エンドユーザによる購入に至るまでが、保証される。これは、単一シリアルナンバーの割り当て作業、信頼できる外部時間との関連におけるリアルタイムクロックの同期化、単一秘密識別子の内部自動生成、および識別子の機密性（すなわち、実際には設備の信憑性）を保証する資格を有する認証機関への、安全な環境における単一秘密識別子の外部コピーを、それぞれ単独で行うことにより可能となる。これらそれぞれの作業の単一性は、不可逆的に、かつ初期化シークエンスにおいて可能になるや否や、初期化を可能とする物質的エレメントおよび／またはマイクロコードを、制止または破壊するという設計により保証される。
【００１７】
さらに、本発明の有益な特徴の一つは、本発明の方法によれば、場合に応じて制限なく、信憑性および完全性の予備確認を行うことが可能である。これは、公開データベースにリストアップされた単一シリアルナンバーの監視および照合、内部クロックの明示された最大偏差を考慮に入れた、信頼できる外部時間との関連における内部クロックの有効性および進行の点検、および外部エンベロープの完全性の視覚的または非破壊的点検、によりなされる。
【００１８】
さらに、本発明の有益な特徴の一つは、本発明の方法よれば、いくつかの認可された機関が、要請により、第三メソッドによる確認を行い、設備を認証することが可能となる。これは、秘密識別子を明らかにすることなく使用して、内部で動的に識別子のデジタル指紋を演算し直し、直接的に公開データベースに問い合わせるか、あるいは、内部の日付、および外部メッセージ（内部におけるデジタル指紋の演算以前に供給されたもの）と、秘密識別子とを内部でカップリングすることにより行う。なお、既知のデータ全体は、遠隔認証のため、資格ある認証機関（単一の秘密識別子のコピーを自由に扱うことができるため、その一貫性を確認できる唯一の機関）によって供給される。秘密識別子を巻き込んだこの機能は、連続的な解析または試みによる識別子の逆決定を避けるため、場合によっては設備の内部において、待機させられ制限される。
【００１９】
さらに、本発明の有益な特徴の一つは、本発明の方法によれば、認証機関自体が、自己の監視下において、最後の手段として、設備の認証を行うことが可能である。これは、秘密識別子のコピーを照合のために設備内部に投入し、設備は、その完璧な類似を検索して、回答として単一メッセージを送信し、このメッセージを上記認証機関が確認することにより行われる。秘密識別子を巻き込んだこの機能は、連続的な解析または試験による識別子の逆決定を避けるため、場合によってはデバイスの内部において、待機させられ制限される。
【００２０】
さらに、本発明の有益な特徴の一つは、本発明の方法によれば、必ずしもインプリメントする必要はない変形ではあるが、自律的に過去のデータの期限満了を管理することが可能となる。これは、格納周辺機器の内部が満杯になった場合に限り、新しいファイルの書き込みを許可し、内部クロックにより提供される現在の時間との関連で動的にアップデートされる相対日付よりも前のデータのファイルに、必要最低限だけ、年代順に上書きすることにより行われる。従って、単一書き込みの原則には抵触するものの、まだ有効性を有する有用なデータや、満了期限よりも後の日付のデータを、損ねたり、変更するものではない。
【００２１】
さらに、本発明の有益な特徴の一つは、本発明の方法によれば、あらゆるパラメータ、および上記デバイスに特有の内部インジケータを、保存名を付した仮想ファイルの形態で提示することが可能である。この仮想ファイルは、ホストシステムからは正統ファイルのように見えるが、操作者が利用することはできず、また、ホストシステムが上記デバイスの管理、運営および監視レベルの特有の機能モードにある場合は、利用することができない。
【００２２】
さらに、本発明の有益な特徴の一つは、本発明の方法によれば、データ格納周辺機器を、パーティションごとに満了期間が異なるよう分割することができる。
【００２３】
本発明は、さらに、コンピュータデータを格納するためのデバイスに関し、該デバイスは、以下を全体に組み込むことを特徴とする。すなわち：
−内部インターフェースを備えたデータ格納周辺機器と、
−入力−出力コントローラと、
−入力−出力インターフェースと、
−確実な内部リアルタイムクロックと、
−単一の内部秘密識別子と、
−単一の公開シリアルナンバーと、
−周辺保護エンクロージャとを、全体に組み込み、
上記入力−出力コントローラは、ホストシステムから出される入力−出力インターフェースの命令の全てを、組み込まれたデータ格納周辺機器の内部インターフェースへと向けることにより、上記データ格納周辺機器を、単一または制限書き込み格納周辺機器に変えるものであり、これにより：
−内部の確実なリアルタイムクロックにより独立に日付して、空きスペースへの新規ファイルの追加を行うことを、排他的に許可し、
−前に書き込まれた、従って日付の先行するデータの消去、変更および書き直しを禁止し、
上記デバイス全体は、一方では、単一の公開シリアルナンバーと連結された単一の内部秘密識別子によって、偽造やコピー作成を防止することにより保護されており、他方では、周辺保護エンクロージャによって、デバイス内への割り込みや、内部コンポーネントおよび内部データの変更を防止すること、並びに、復旧不可能に有効性および信憑性を損なうことなく、特定の秘密識別子の解析を防止することにより保護されており、こうした割り込み、変更、解析の企ては、上記デバイス全体とは別の複数の第三手段によって監査され、従って、上記デバイス全体は、安全、不可侵、偽造不能であり、証拠価値をもって認証され日付されたコンピュータデータを格納するのに適している。
【００２４】
本発明のデバイスは、書き直しに対して完全に保護されており、証拠としての、および／または法的な、および／または司法的な真正価値を、デジタル情報に与えることができる。データは、不可逆的に記録され、充分な正確さをもって、完全に自律的に日付される。デバイスは、自動的に保護され、独自のやり方で認証される。デバイスを変更または毀損するという企ては、全て無効に帰結する。デバイスと同一のコピー作成は、当然ながら不可能となっている。
【００２５】
このデバイスを使用すれば、特別な制約を受けることなく、またその利用中に第三者を用いることなく、誰もが、自らの自由意志において、保護したいと願うデータ、あるいは保護しなくてはならないデータについて、自分の活動の信頼性および合法性を確立することが可能となる。いかなる場合も、先験的に起こりうる、データ、情報および証拠の隠匿および破壊、もしはこれらの偽造については、デバイスによって阻止することはできないが、後天的には、一たびデータが提示され、示された日付で正しく記録されれば、後からこれを偽造したり、置き換えたりすることはできなくなる。
【００２６】
このデバイスの独創性は、その機能原理が、重苦しい暗号法に頼ることなく独立しているということである。暗号法は、暗号解析の予知できない進歩により、時代遅れになったり旧式化して使用不能になりがちである。ユーザが、デバイスを物理的に管理、所有し、使用する物理的格納周辺機器とは独立して、データの機密性および保護の程度について決定するという意味において、暗号法は不要である。デバイスは、データを認証するための第三者の介入を最小限にし、戦略的または重大な情報が、遠隔の第三オンラインシステムに流出することを阻止し、事実上より多くのデータを保護することを可能とし、また、書類データやマイクロフィルムデータを、より使い易く、よりデータ保存の簡易な情報媒体へと移動することを可能とする。
【００２７】
上記デバイスの利益は、あらゆる再記録可能な、または不能なランダムアクセスの格納周辺機器を、その性能、信頼性、環境耐性を損なうことなく、これにホストシステムと向き合う明白かつ公正な態勢を付与して、物理的格納エレメントとして使用することができるということである。従って、エンドユーザには、ファイル圧縮用、暗号保護用、格納の信頼強化用といった外部ソフトウェアメソッドを、意のままに使用する自由が与えられる。
【００２８】
本発明のデバイスは、構成された周辺設備（以下、「設備」と呼ぶ）を含むが、同様に、第三者による設備の製造および検査を可能とする手続き、方法、およびいくつかの特殊な操作モードについての記述を含む。
【００２９】
デバイスは、取り外しできない、あるいは取り外せないようにした媒体（例えば、磁気テクノロジーによるハードディスク、フラッシュメモリディスク、記録可能媒体を搭載し、イジェクション機能が不活性化されたＣＤ／ＤＶＤレコーダ、等）を用いた商業規格のデータ格納周辺機器を完全に組み込んでいる。なお、そのインターフェースは、特殊なコントローラによって、保護され、隔離されており、格納作業をデータの追加という単一の機能に限定するよう設計されている。設備は、機能的に、先に書き込まれた論理記録を変更したり、消去したり、書き直すことができないという点を除いては、ホストコンピュータシステムから見れば、先験的に、情報格納周辺設備である。設備には、記録を読み出すことしかできない。製造時に調整された、変更不能で自律的な日付用クロックが、ホストシステムから独立して、記録される全てのファイルにリアルタイムを日付する。ファイルの日付は、管理電子システムによって、内部周辺機器に記録される。なお、この場合、ユーザデータの記録に加えて、論理記録の基本的記述子に関する参照、または、基本的記述子がメタデータと連結したファイルを付して記録してもよい。また、通常はホストシステムから供給される日付情報の代わりとして、ファイル記述子そのものの中に記録してもよいし、あるいは、このファイル記述子の未使用のスペースや、未特定のスペースに記録してもよい。これらの日付情報全体に対し、ホストシステムは、読み出しアクセスだけ行うことができ、これにより、書き込まれた各々の記録につき、デバイスが保証する日付を確認することができる。
【００３０】
設備は、全体としては、単一書き込みタイプの周辺機器として作動し、相対的な参照時間との関連で情報を再日付する。この参照時間は充分正確であり、その偏差を測定することができる。このように、組み込まれた周辺機器は、記録を追加される一方であり、あたかも、物理的に書き直し不能な媒体を組み込んでいるかのようである。
【００３１】
必ずしもインプリメントする必要はない変形として、非常に制限された条件の下、設備は、その内部クロックとの関連において、すなわち、己自身の日付との関連において、過去のデータの期限満了を、容易に管理することができる。これにより、周辺機器の内部が一杯になってしまった場合には、使用不能になったデータで占領されているスペースを空けて、新しいファイルの書き込みを行うことが可能となる。この所謂「期限満了」機能は、設備の一般的な寿命に比して、寿命の短いデータを格納するという特殊な要望に応えるものであり、ある種の応用分野において、有益である。
【００３２】
自律的な電子識別サブシステムは、単一で秘密に保たれた設備の認証エレメントを含み、新品または意図的に破損させた回収品から、偽の設備が複製されたり作成されることを防止する。内部の単一識別エレメントは、未許可の物理的アクセスの企てがあるや否や、組織的に破壊される。能動的周辺保護エンクロージャは、全体を物理的に完全に保護し、あらゆる侵入を探知し、また、設備の完全性の破損、データ変更を可能とする内部インターフェースへのアクセス、および識別子の摘出等を狙った割り込みや調査の企てを探知する。こうした割り込みの企てが発生した場合には、設備は、即座にかつ不可逆的に、単一の識別エレメントを破壊し、場合によっては、クロックも破壊する。設備は、無効にされ、初期モード（あらゆる書き込み作業を無効としつつ、設備の破壊とは無関係に、格納周辺機器に書き込まれたデータを保護し続ける）において、回復する。従って、いかなる状況においても、データは判読可能であり続ける。
【００３３】
設備の完全性は、いつでも自由に使用できる非破壊的な解析メソッド（とりわけ、単一の識別エレメントの監査）により確認できるため、内部周辺機器上に読み出されるデータの有効性および信憑性は、保証される。
【００３４】
疑念や不信が生じた場合は、秘密識別子のコピーを唯一所有する資格ある認証機関は、その秘密識別子のコピーを設備に提供し、設備自身がその内部で比較を行うか、あるいは、認可された第三者に間接的に識別子を監査させることができる。なお、後者の場合、請求のインターバルは制限され、その決定が、例えば、暴力的な方法、選別的な方法、またはターゲット化した解析により行われることがないよう配慮される。
【００３５】
内部に危機的な故障が生じた場合は、鑑定書を作成したり、メーカの勧告通りにデータの回収ができるよう、設備の防備は自発的に破壊され得る。この目的を果たすため、設備の単純な切断が実行される。これにより、瞬時にして設備の信憑性は無効となり、続いて内部の格納周辺機器が、破損なく摘出される。これにより、直接的に、格納周辺機器や、先験的に設備によって暗号化されていないデータ、および場合によっては媒体に、アクセスすることが可能となる。
【００３６】
破損または破壊された設備は、その真正な価値を喪失する。現存するデータは、安全化されていない何らかの媒体に格納されていた場合以上に保証されるものではないが、設備が機能する限り、少なくとも読み出しアクセスは可能であり続ける。
【００３７】
全てのセキュリティ方法同様に、割り込みを検知できない蓋然性、設備のコピー作成の可能性は、全くなくなるというわけではないが、無視できる程度になり、適用される客観的費用および要求される保護のレベルに応じて、妥当な最小限に減少される。
【００３８】
本発明は、設備の物質的な製造後における、操作方法および作業のシーケンス化を含み、これにより、設備に保護エンベロープを装着した後、不可逆的に、
−確実かつ清廉潔白な日付、
−単一かつ秘密裡の識別、
が保証される。なお、ここにおいて、設備のメーカ、資格ある認証機関（例えば、国家の、企業連合の、共同体の認証機関）およびエンドユーザはそれぞれ独立である。
【００３９】
本発明は、本発明による設備の厳格な認証に関する、複数の確認方法を含む。こうした信憑性の確認方法は、外部の第三者を用いる場合もあるし、用いない場合もあり、および／または、内部の秘密識別を用いる場合もあるし、用いない場合もある。
【００４０】
その他の特徴および利益は、本発明の方法およびデバイスの実現モードに関する複数の実施例、および添付の図面を参照に行われる記述により明らかになるであろう。なお、これらの例は、説明のためのものであり、本発明は、これらには限定されない。
【００４１】
本発明の特殊な実現モードの一つによれば、本発明のデバイスは、仮想ファイルメソッドを用いて管理され、システム構成される。この仮想ファイルは、ホストシステムからは、組み込まれた周辺機器に存在する標準的ファイルのように見える。このメソッドは、あらゆるパラメータおよび、上記デバイスに特有の内部インジケータを、ファイルの形態で、保存名において提示する。ホストシステムは、これらに標準的な方法でアクセスできるが、操作者がこれらを利用することはできず、また、上記デバイスの管理、運営および監視のための特有の機能モードにホストシステムがある場合、および、上述した変形およびオプションの場合は、利用することができない。
【発明を実施するための最良の形態】
【００４２】
本発明の対象となるデバイスは、コンピュータデータを格納するための標準的周辺機器１、またはそのアセンブリを組み込んでいる。この周辺機器は、コントローラ２によって、ホストシステムから隔離されている。コントローラは、データの追加機能を制限し、内部クロック６により、格納される情報への日付入れを独立に遂行することを保証する。デバイスは、設備のコピー作成を阻止する、一対の単一デジタル電子識別子７、８を有する。これら全体は、能動的侵入防止エンクロージャ１０内に保護される。侵入の企てが発生した場合には、能動的侵入防止エンクロージャー１０が、単一で秘密の識別エレメントを破壊する。この際、デバイスは無効になり、信憑性を喪失する。
【００４３】
組み込まれる周辺機器１は、読み出し−書き込みモデルであり、データの消去または書き直しの可能性の有無に関して、いかなる事前要請も必要としない（例えば、磁気ハードディスク、フラッシュディスクであるが、これらには限定されない）。
【００４４】
一般的に、このような周辺機器は、伝統的にシーケンス番号を付けられた、通常はブロックと呼ばれる物理的格納エレメント、および、ホストシステムまたはホストコンピュータによって操作される、通常はファイル、ディレクトリと呼ばれる、より高度な論理的格納エレメントにアドレスする。これらのエンティティは全て、逐次的にまたはランダムに、しばしば、読み出しアクセスや書き込みアクセスが可能である。格納周辺機器は、厳格な仕様に従った、容易に解析できるファイルシステムを介して、ホストシステムに完全に管理されており、論理的レベルについての知識を、通常は有していない。
【００４５】
言語を簡略化するために、周辺機器によってアドレス可能な物理的エンティティをブロック、ホストシステムによって操作される論理的エンティティをファイルと呼ぶことにする。なお、記録、意味的結合体、ディレクトリおよび関連する属性の概念については、詳細しない。
【００４６】
組み込まれた格納周辺機器１の機能的インターフェース３は、先験的に全ての作業を可能とする：伝統的には、アドレス指定、ブロックの書き込みおよび呼び出しであり、先験的に、これらの機能について、いかなる保護も制限も、自由に行うことはできない。このインターフェースは、外部インターフェース１３を伴った活性インテリジェントコントローラ２により、機能的に隔離されている。なお、外部インターフェース１３は、実際の能力よりも、遙かに能力の低いデータ格納周辺機器をエミュレートする。入力／出力インターフェース１３および３は、必ずしも同一である必要はない。これは、ホストシステム２０によって認識される周辺機器が、実際に組み込まれた周辺機器１と同一である必要がないのと同様である。ただし、実際上は、この点において類似していれば、全体の機能は簡易化され得る。
【００４７】
設備が、外部１４から電力供給されている場合、設備は、名目的機能モードにある。コントローラ２は、外部インターフェース１３から内部インターフェース３への、アドレス指定、読み出しおよび書き込みの請求を、全てリアルタイムで翻訳する。データは、厳密な意味では、処理も、圧縮も、暗号化もされず、組み込まれた周辺機器１への書き込み許可が、コントローラ２により有効と認められれば、データはそのままの状態で格納される。コントローラ２は、論理的格納レベルの基礎知識を有しており、従って、ファイルおよびディレクトリの構成についての基礎知識も有する。
【００４８】
名目的機能モードにおいて、コントローラは、「追加専用の」格納システムをエミュレートし、書き直しに対してデータを保護する。製造が終了した時点において、設備は、ユーザデータが空の状態であり、プレフォーマットされており、従って、データを受領できる状態になっている。全体として、設備は、「占領」スペース４と「空き」スペース５との間にパーティションを保持する。例えば、インプリメンテーションの例をあげると（ただし、これに限定されるわけではない）、設備は、データのどのブロックから新しいブロックの書き込みが可能かを示すポインター１５を保持し、全体として、先行するブロック上への書き込みを、全て制止する。実際のインプリメンテーションにおいて、パーティション分割は、使用される論理的ファイルシステムとの関連で、より複雑になる可能性がある。なぜなら、論理的ファイルシステム自体もまた、図１７に示されるように、物理的情報および論理的情報との間に、特殊なパーティション分割を強いる場合があり、複数のポインタを同時に管理する必要が生じる可能性があるからである。物理的格納へのアクセスは、占領スペース４の読み出しにおいてランダムであり、空きスペース５への書き込みにおいて、もっぱら逐次的である。従って、前もって書き込まれたファイルまたはデータの消去、変更あるいは書き直しの企ては、最終的にはエラーとしてホストシステム２０に戻され、ホストシステム２０は、シグナルを出して、エミュレートされた周辺機器上に所望の作業が遂行できないことを合図する。新規データ、新規ファイルの書き込み、あるいは新規ディレクトリの作成は可能であり、従って、格納周辺機器は、その有効最大容量に達するまで、仮借なく埋められていき、残量のサイズを超えるファイルの書き込みを却下する。すなわち、格納周辺機器は、今や「満杯」であり、同一の設備によって補完、置き換えを行う必要がある。なぜなら、格納周辺機器は、機能的に、記録されたファイルを削除することができないからである。こうして、格納周辺機器は、外部の電力供給１４から分離され、デバイスの格納寿命が継続する間、外部の電力供給を受けずに、データとして保存される。電池１９による内部の供給サブシステムが、重要な内部エレメント（クロック、識別子、ポインタ、等）の維持を可能とする。電池のような、老化や消耗の対象となる
内部エレメントの寿命にもよるが、例えば、１０年から２０年の間、維持することができる。より長い期間格納するためには、補助の外部電池を使用して、内部電池との引き継ぎを行うか、データに作成日時を付して、新規な設備への保証された移動を行う。
【００４９】
記録されたデータは、設計上、書き直しや変更ができないようにされているため、あらゆる電子的攻撃（ウィルス、悪意、偽造、等）に対して、保護される。データの破壊は、設備の破壊を意味する。
【００５０】
コントローラ２は、典型的に、標準的なファイルシステム（例えば、ＦＡＴ、ＮＴＦＳ、ＵＤＦ、ＮＦＳ、ＨＦＳ、等であるが、これらには限定されない）に適応し、また、設備が、異なる複数の標準的ファイルシステムとの互換性の確保を必要とする場合は、所有者のファイルシステム構成に適応する。ファイルシステムは、データの論理的格納と物理的格納との繋がりを構築する。コントローラ２は、送られてきた書き込み命令を解析することにより、論理的格納作業の目的（例えば、ファイルの書き込みという目的、あるいはディレクトリ入力の作成という目的）を見極める。データの書き込みは、逐次的であり、消去の可能性はないという特徴が、このタスクを充分単純なものにする。
【００５１】
論理的書き込み作業が成功に終わると、コントローラは、以下のタスクを自律的に実行する：
−ファイル記述子２４のために用いられる格納エレメント、およびデータそれ自身２５のために用いられる格納エレメントを、使用されたブロックを保存することにより、不可逆的に保護する。例えば、コントローラにアクセス可能なバックアップされたメモリ内における一覧表化および／またはポインタ設定１５、および格納周辺機器それ自体に確保されたスペースへの冗長記録を行う。
【００５２】
−内部参照日付クロック６を用いて、独立に日付入れ２６を行う。これは、図３に示されるように、ホストコンピュータには隠されたメタデータの追加ブロック２８を、書き込むことにより行ってもよいし、図４に示されるように、ファイルシステムによって書き込まれた日付の代わりに、上記日付を、ファイル記述子２４の中に、用いられるファイルシステムの定めに従い、再度書き込むことによって行ってもよい。
【００５３】
書き込まれた情報は、設備それ自身によって、ホストファイルシステム（ホストファイルシステムは、独自の日付を採用しているが、これはしばしば不正確であり、あまり信用できない）からは独立して、自律的に、デバイスの内部クロック６との関連で、再度日付入れされる。この内部における日付入れは、不可逆的であり、偽造不能である。なぜなら、内部クロックの時間設定は、製造時にただ一度行われるだけであり、これを後で設定し直すことは、事実上不可能だからであり、また、情報記録は、書き直しに対して保護されているからである。日付入れの正確性は、内部クロックの正確さ、および内部クロックの偏差（外部と相関させることが可能であり、しかしながら、いかなる場合も訂正は不能である）に、根拠を置いている。日付入れは、普遍時間において、実行されるのである。
【００５４】
デバイスが、メタデータの追加２８により日付入れを行う場合、ファイルの通常利用において、メタデータは不可視とされ、書き直しに対してメタデータ自身が保護される。メタデータは、少なくとも、ファイル記述子またはディレクトリ記述子へのアクセスを可能とするポインタ２７と、内部の日時２６を書き込みの最後に付与する構造とによって、構成される。書き込まれたファイル全体のメタデータ全体は、読み出しアクセスのみ可能な「システム」ファイル２９にアドレスされる。ツールにより、または上記ファイルの解析により、メタデータとユーザファイルとを相関させることが可能であり、従って、記録に際してデバイスが各々のファイルに当てた内部日付を監査することが可能である。
【００５５】
デバイスが、使用されるファイルシステムの要求に従い、作成日付の入れ換え２６によって、ファイル記述子２４の中にファイルの日付入れを行う場合、デバイスの行動は、全く標準的である。設備が課す日付は、システムの日付とは異なっており、現実的な配慮から、読み出しに際しては、現地時間と普遍時間（同一標準時地帯）との相違を考慮に入れて、内部で動的にこれを訂正することができる。実際に使用されているファイルシステムの大部分は、複数の日付を管理しており、従って、外部システムの日付を、単に参考として保存することも可能である。
【００５６】
設備それ自体は、設備内部にインプリメントされた単一識別手続きにより、偽造不能にされている。当然のことながら、単一識別子についての完全な知識なくして、設備のコピーを作成することは不可能である。資格ある認証機関２２は、初期化の段階において識別子の完全なコピーを受領するが、この場合を除いては、識別子全体がデバイスによって外部に漏らされることは決してなく、識別子の一部は秘密に保たれたままである。設備への割り込み、侵入、または設備破壊の企てが探知されるや否や、識別エレメントは破壊される。識別は、設備を有効に保証するためにだけ使用されるのであり、エンドユーザに対しては、いかなる機能的役割も有していない。
【００５７】
識別システムは、以下のエレメントによって構成される：
−公開単一識別エレメント８、１８：  可視的にかつ消去できないように、設備上に示された１８、および、利用を簡易にするため、および、直接認証を行うために、内部で電子的に再生された８、完成設備のシリアルナンバー。
【００５８】
−秘密の単一識別エレメント７：  設備内部で生成されて、強制的に設備内部に格納されており、この識別子を決して他に漏らさない第三方法によってのみ監査可能な識別エレメント。
【００５９】
−表示されないメーカ側識別エレメント（オプションで）：  例えば、電子シリアルナンバー、内部コンポーネントを示すシリアルナンバー、日付コード、ロットナンバー、改訂ナンバー等（これらは、しばしばメーカ側が品質管理システムの一環として行うもので、インプリメンテーション次第であり、これらにより、場合によっては設備の破壊後にも必要となる追加の監査、鑑定が可能となる）。
【００６０】
公開識別子と秘密識別子との連結は、資格ある第三認証機関２２（製造過程の最後に関与してくる）によってのみ認知される。秘密識別子は、たった一度だけ１７、設備の外側に、上記認証機関２２宛に送信される。認証機関は、自らが管理し保証する設備全体に関連する情報を、全て保存する。
【００６１】
上記機関は、各設備の保証に関与する唯一の第三者である。これは、もっぱら最初の、設備製造の最終段階においてであるが、時として、設備の使用中に必要となる場合もある。例えば、設備の信憑性に対する疑念が払拭できなかったり、論争や立法上の理由から、このような手段に訴えることが正当化される場合など、設備の信憑性を点検する必要性に迫られた場合である。
【００６２】
設備の単一電子識別子７、８（未記載のメーカ側識別ナンバーは、インプリメンテーションや、使用されるコンポーネントに関係するため、含まない）は、揮発性メモリ回路に格納される。揮発性メモリ回路は、電池１９によって保存され、迅速な内部および／または外部消去９という機能を有する。これら識別子の１つが欠如した場合、または一貫性を失った場合は、設備が危険に巻き込まれているということを示す。
【００６３】
設備のシリアルナンバー１８と連結された一意的な秘密識別子のデジタル指紋２３のみが、公共に２１に、すなわち資格ある認証機関２２の外側に、配信される。シリアルナンバー１８と単一秘密識別子のコピー１７との連結にアクセスできるのは、資格ある認証機関２２だけである。
【００６４】
単一の秘密識別子は、非常に長いバイナリーメッセージ（例えば、４０９６ビット以上）である。
【００６５】
内部クロック６は、製品の製造時に、普遍時間において、たった一度
だけ、保証された参照クロック１６との関連で、時刻設定される。そして、その後は、システムに組み込まれた他のパラメータが崩壊しない限り、再び時刻設定することができないように設計されている。
【００６６】
上述したシステムは、内部への侵入や内部解析に対して、物理的に自動保護されている場合しか、有効性を有さない。このため、上記した全ては、割り込みを感知する周囲センサ１２によって保護されたエンクロージャ１０内に、閉じ込められる。なお、周囲センサ１２は、非常に寿命の長い電池（例えば、リチウム電池）によって、電力を供給される。侵入、内部解析の企ては全て、一方では、機械的および電磁的な外部保護システム１１によって、極めて困難とされている。また、他方では、設備の機能的コンポーネントを一まとめに総括する包囲境界１２を超える侵入が発生した場合に、警報が始動する。警報は、内部識別子７、８の瞬時の破壊９（消去／ゼロへの回帰）に帰結し、アクセス不能な秘密部分７のおかげで、設備のコピー作成は不可能となる。秘密部分７は、設備内に侵入しなければ解析できず、従って、必然的に警報を始動させることとなるからである。
【００６７】
設備は、割り込みに対する保護を保証する、能動的物理的エンクロージャにより、全体的に保護される。これは、セキュリティおよび／または暗号モジュールのクリティカルパラメータ保護のために、いくつかの国で規格化された周知のメソッド（例えば、合衆国における規格ＦＩＰＳ１４０−２、国際的には規格ＩＳＯ１５４０８／共通基準ＡＶＬ）を用いて行われる。これらの手続きを使用すれば、最も高いセキュリティ基準のものでさえ、製品のシリーズ生産においては、ほとんど割高にならない。こうしたセンサは、商品化（例えば、ゴール商標のＤ3 センサ、ＥＩＰＳ１４０  レベル４）されている。ここで、その一般原理を、しばしば図１７を参照に、明確な理解を促すという目的において、言及する。伝統的に、周囲保護システム１０は、外側の機械的保護システム１１、すなわち、通信および電力供給機能のインターフェースのみに余地残して密閉された外部ケース（例えば、研削加工、鋳造、撓曲、分解できないよう溶接やはめ込み接合した組立による、金属製のケース）と、割り込み（機械的、電気的またはレーザによる穿孔、切削、または化学的攻撃）を、電気パラメータ（抵抗１２１および／または容量１２２および／または接続１２３）の変更により探知する高感度センサ１２とによって構成される。このセンサは、通常、伝導体および絶縁体（切断、断絶およびショートを感知する）のネットをベースとして成り、保護エンクロージャ全体を統一的にカバーし、また、外部の機能的インターフェースを保護するための「障害物」を備えている。電池１２４からの自律的な電力供給による保護の自律性を確実にするため、探知、警報電子システム１１８の電力消費量は極めて微量である。通常、内部電子システムおよび内部コンポーネント全体は、樹脂１３０の中に埋め込まれている。これは、内部対流がない場合の熱伝導を保証し、また、内部コンポーネントまたは内部信号への直接的アクセスを禁止するためである。保護システムの目的は、マイクロプローブの侵入を妨げることである。マイクロプローブは、内部の電気インターフェースを直接的に解析または制御することができ、従って、保護データを変更したり、コピーを作成する目的で、秘密に保たれたエレメントを解析することが可能だからである。
【００６８】
あらゆる熱攻撃を排除するため、温度センサ１２０は、センサの効率を低下させたり制限する可能性のある、温度の過剰上昇または過剰降下を解析する。
【００６９】
電池１２４の機能低下は、一挙に、システムを危険状態に置く。
【００７０】
同様に、保護システムは、外部の電気インターフェースの過電圧／過電流／周波数または信号の異常にも及ぶ１２９。保護を簡易化するため、迅速な機能的規格バス（例えば、現行技術を反映するものとして、ＦｉｒｅＷｉｒｅ／ｉ−Ｌｉｎｋ／ＩＥＥＥ１３９４、ＵＳＢ、シリアルＡＴＡ、Ｅｔｈｅｒｎｅｔ）、継続的な外部電力供給、およびシステム状態の静的インターフェースを使用することにより、機能的インターフェースの数は最小限に抑えられる。
【００７１】
大気圧下における作動に先だって、磁気ディスクを使用するといった特殊なケースでは、組み込まれた導管１３２（外部保護システムの脆弱性を増加させることなく、空気の自由な通過を可能とする）の働きにより、ディスクの機能的減圧蓋は外側に戻される。
【００７２】
エンクロージャ内への割り込みが探知されると、設備の完全性を示すパラメータ７、８は破壊され、内部電池１１３、９によって保存されているメモリ１１２は、デバイスが外部からの電力供給で作動しているか否かに拘わらず、瞬時に消去１１９される。システムを識別するパラメータが上記のように破壊されたとしても、これにより、データ全体への読み出しアクセスが妨げられるわけではない。設備への割り込みが発覚するや否や、データはその真正価値を失うものの、コントローラ２は、データ保護を継続するからである。
【００７３】
設備は、通常の利用においては、自律的であるように構想されている。従って、使用に際して、いかなる第三認証者の介入も前提とはしておらず、事実、エンドユーザが外部ネットワークへ直接的または間接的にアクセスする可能性や意志について、予め判断することなく、専ら私的に利用することができる。
【００７４】
次に、初期化段階で用いられる手続きおよび方法について記述する。これは、製造後、まだ個別化されていない中性の設備３０から、認証された単一の設備５５へと移行し、エンドユーザ６０のもとで作動することを可能とするものである。
【００７５】
組立の終了段階において、設備は、完全に組み込まれ、保護され、周囲保護システム１０、９は、活性化される。設備は、中性の初期化状態にある。すなわち、内部のナンバーは未使用で、初期化のマイクロコードは、コントローラの活性メモリ１０７にプレチャージされた状態にある。内部状態論理機構１１７が、変更不能なリソースの物的保護を補佐する。作業機能プログラムは、不活性の、または独自のやり方でプログラム可能なメモリ１０６にチャージされ、変更できない。内部メモリの内容は全て、いつでも解析、監査可能である。初期化の最後に、初期化プログラムは完全に消去され、何らかのプログラムを実行するために、活性メモリを用いることはできなくなり、活性メモリは、内部データの一時的な格納にのみ用いられるようになる。また、これは示唆にすぎないが、初期化の各段階で、徐々に初期化プログラムを消去し、作業の単一性を確保してもよい。
【００７６】
通電すると、機能的プログラムは、初期化状態を探知し、初期化シーケンスを実行するか、または進行中の段階において、これを再実行する。
【００７７】
初期化のシーケンスは、３つの段階で展開される：すなわち、
−図５に示されるような、個別化段階と
−図６に示されるような、保証段階と、
−図７に示されるような、活性化段階である。
【００７８】
この３つの段階が完了しないうちは、設備は、格納周辺機器として機能せず、内部周辺機器上における、アドレス指定、読み出しまたは書き込みといった操作は、いずれも許可されない。
【００７９】
以下の記述は、シーケンス化の一例を示唆する。
【００８０】
中性設備３０から開始される個別化段階は、以下の作業を行う：
−３１：単一のシリアルナンバーの１８を、外部の、設備のケース構造（外部保護の囲い）に、消去できないような方法でマーキングする（例えば、レーザーによる、または機械彫りによるマーキング）。
【００８１】
−３２：外部インターフェースを介して、電子形態でシリアルナンバーを入力する。
【００８２】
−３３：識別メモリに、シリアルナンバー８をコピーする。
【００８３】
−３４：検定され保証された外部の時間データ１６（原子クロックおよび／またはタイムサーバー）との関連において、参照日時を入力する。日時は、普遍時間において、入力される。
【００８４】
−３５：内部の日付クロックを、ほんの一瞬で同期化する。設計上、この時刻設定は、一度しか行うことはできない。
【００８５】
−３６：設備内部において、ランダムに２つのパスワードを生成する。これらの選択可能なパスワードは、設備の最低限の保護を保証するものであり、単独で使用する。これらにより、設備の格納段階またはトランジット段階の間、設備は保護される。これらのパスワード３７、３８は、たった１度だけインターフェースによりメーカに伝達され、メーカは、これらを、独立に、資格ある認証機関とエンドユーザとに伝達する。
【００８６】
−３９：設備の内部において、秘密識別子を自動生成する。ジェネレータが、ランダムに、非常に長い識別子を算出する。いかなる解析をも回避するため、エンコードは、秘密識別子を解析するために設備を調べたところで、何らかの方法（選別機なり暴力なり）により、これに到達することはありえないビット数において行われ、偶然にこの識別子を発見する蓋然性を、不可能なものとする。識別子は、電池によって保存される揮発性の活性メモリに格納され、侵入が発生した際には、即座に破壊される。
【００８７】
−４０：ハッシュアルゴリズム（例えば、ＳＨＡ１）を用いて、一意的なデジタル指紋を演算する。すなわち、少なくとも数百バイトはあるメッセージ（ＳＨＡ１の場合は５１２バイト）から、数十バイト（ＳＨＡ１の場合は２０バイト：規格ＦＩＰＳ１８０−２ハッシュアルゴリズム）の独自の短縮形２３を演算し、再設定する。
【００８８】
−４１：単一性監査のため、設備は、演算されたデジタル指紋を、内部シリアルナンバーと共にリリースする。こうして、公開データベースセンタ２１は、製造された全ての設備のシリアルナンバーと、使用されるデジタル指紋の全てを保有する。問い合わせにより、内部秘密識別子７についてのいかなる直接的情報も明らかにせず、間接的メソッド（デジタル指紋）によって、識別エレメントが単一であるかどうかを知ることができる。データベース内の上記情報にアクセスできるのは、メーカのみである。
【００８９】
−４２：デジタル指紋がすでに使用されている場合は、単一性に疑問が生じるため、新たな識別エレメントを提出するよう、設備にメッセージが送られる。
【００９０】
−４３：そうでない場合は、データベース２１はアップデートされ、初期化プロセスが続行される。
【００９１】
−４４：メーカの初期化機能は、ここで、全て事実上制止される。これは、例えば、ＲＡＭに設置され、この初期化プロセスの実行を可能にしたコードを、全て消去することにより（無効命令ＮＯＰに置き換えることにより）、また場合によっては、このメモリスペースが、後にプログラムの実行に用いられることを制止することにより、行われる。
【００９２】
−４５：こうして設備は識別され、その後、認証機関２２（シリアルナンバーと単一識別子との照合を行う資格を有する唯一の機関）へと発送され、および／または該認証機関の処置に委ねられる。
【００９３】
例えば、４０９６ビット（５１２バイト）の秘密メッセージは、ほとんど完全な無傷性を、システムに付与するように思われる。場合によっては設備自身によって、問い合わせは１日につき１件の割合に制限されるが、この場合、異なる４０９６のデジタル指紋を回収するだけでも、およそ１２年を要する。しかしながら、これをもってしても、本源にたどりつくことは不可能である。なぜなら、通常のデジタル指紋は、「数学的に」一意的であり、それぞれが膨大な数のデジタル前歴を有し（＞１０100 ）、衝突の可能性は無きに等しく（＜１０-50）、この規模は、デジタル指紋自身の中に、「物理的無限」を構成するからである。
【００９４】
次に、保証段階が始まる：
資格ある認証機関は、識別された設備４５と、質問パスワード３７とを、独立に受領する。
【００９５】
−４６：識別パスワード３７を入力する。
【００９６】
−４７：単一秘密識別子７を、機能的インターフェースに１度だけ送信する。
【００９７】
−４８：資格ある認証機関は、シリアルナンバー８と結びつけて、単一秘密識別子のコピー１７を保存する。
【００９８】
−４９：設備で使用されるメソッドに従い、上記コピー１７のデジタル指紋を演算する。
【００９９】
−５０：申請により、公開識別データベース２１に問い合わせを行い、証明書リストをアップデートする。
【０１００】
−５１：内部識別子のデジタル指紋と、そのコピーのデジタル指紋が一致するかどうかを、確認する。
【０１０１】
−５４：デジタル指紋の照合に失敗した場合、または作業の実行が不可能な場合、設備は、損なわれており、その理由が、設備が非監視下で単一識別子をすでに発信してしまったからであるにせよ、設備の故障によるものであるにせよ、設備は、却下され解体されされねばならない（５３）。認証機関は、ナンバー付けされた設備の却下を、公開データベースに公示する。
【０１０２】
−５５：デジタル指紋の照合が成功した場合、資格ある認証機関は、設備の証明を明言し、公開データベース２１に証明書を発行する。
【０１０３】
−５２：初期化のプログラムおよび機能同様に、内部の識別パスワードは、消去される。
【０１０４】
資格ある認証機関だけが、公開データベース内の設備の証明書リストを変更できる。
【０１０５】
資格ある認証機関は、公開識別子と秘密識別子との連結に関する秘密を保証し、疑惑が生じた場合や、最後の手段として、設備の信憑性を保証する。資格ある認証機関とメーカとは、完全に独立した存在であってよい。複数のメーカが存在し、また、異なる権限決定機関により公認され、設備に真正価値を付与する複数の資格ある認証機関が存在し得る。場合によって、資格ある認証機関は、単一秘密識別子のコピーを、共有することもある。
【０１０６】
こうして、設備は保証され、今や、いつでも売り出すことができ、エンドユーザに引き渡すことができる。エンドユーザは、活性化後、設備を使用することができる。
【０１０７】
保証された設備５５を入手したエンドユーザは、メーカから発信されるイニシャルパスワード３８を、独立に受領し、設備を活性化させる：
−５６：最初の通電に際して、設備を接続し、供給されたパスワードを入力する。
【０１０８】
−５７：このとき、初期化機能はすべて無効となっている。すなわち、機能的プログラムだけが残留しており、この瞬間から、これを実行することができる。
【０１０９】
−５８：設備は、機能的に活性化される。
【０１１０】
−５９：この状態は、外部から電力を供給されていない場合でも、視覚的に（例えば、電池によって電力供給された発光ダイオード型指示ランプの周期的な点滅によって）表示される。
【０１１１】
−６０：ひとたび設備が活性化されると、エンドユーザは、最初は未使用の、パーティション分割された格納周辺機器として、設備を使用することができる。
【０１１２】
エンドユーザは、自分の設備の信憑性および有効性を、明確なメソッドにより、自分自身で確認することができる。
【０１１３】
従って、この方法論によれば、いかなる設備も、点検および証明なしに、乗っ取られ、搾取され、または作成されることはない、ということが保証される。
【０１１４】
以下、エンドユーザの自由な使用下に、および、設備および認証された記録データを点検する権限を有する公認の決定機関の監視下に置かれた設備の、有効性および信憑性を確立することを可能とする複数の手続きについて記述する。
【０１１５】
設備およびその単一識別子は、物理的に保護エンクロージャ１０によって保護されているため、ユーザが設備を故意に改ざんし、かつこれに本物らしい様相を与えて提出するという可能性は、ほとんど無いに等しいが、このような極端なケースも、想定されている。
【０１１６】
複数の手続きのうち、１つでも失敗すれば、設備は無効である。設備の信憑性についての疑念が残るうちは、１つの手続きが成功しても、さらに別の手続きにより、徹底的に信憑性が監査される。
【０１１７】
場合により、制限無く行われる基本的メソッド：
−６１：内部シリアルナンバー８と外部シリアルナンバー１８とを比較して、確認する。
【０１１８】
−６２：公開データベース２１で、シアルナンバー１８によって識別される設備が一致するかどうか、確認する。
【０１１９】
−６３：内部クロック６の進行を確認する。
【０１２０】
−６４：内部クロック６と外部参照クロック１６との一貫性を、内部クロックに明示された偏差を考慮に入れて確認する。
【０１２１】
−６５：視覚により、完全性を確認する。
【０１２２】
請求により実行され、いかなる識別子の解析をも回避するため、内部で時間を案配して実行される（例えば、請求は、２４時間につき１つに制限される）、単一秘密識別子７を巻き込んだ第三メソッド：
−６７：内部の単一秘密識別子７のデジタル指紋６６を、内部において再演算し、公開データベースに照らして確認する。
【０１２３】
−７１：設備を監視する権限を有する認可機関によって供給された外部メッセージ６８（例えば、証明書）のデジタル指紋を、少なくとも単一識別子のデジタル指紋と同じ長さで演算し、決定論的に、しかしながら不可逆的に内部の単一秘密識別子７とミキシング７０し、場合によっては内部の日付６を、包括的結果のデジタル指紋を演算６６する前に、ミキシングする。演算エレメント６８、６、シリアルナンバー８、および演算結果は、資格ある認証機関２２（秘密識別子のコピー１７を保存し、従って全体の一貫性を証明することができる唯一の機関）に提供され、該認証機関は、監査を行った後、請求者に対して信憑性の保証を行う。メッセージ６８によって、単一的かつ自動一貫的に請求機構が識別されるという事実により、認証機関は、監査を実行する権限を有する組織にのみ、請求を制限することができる。一方、設備は、先天的に、あらゆるメッセージまたは請求を、その性質、内容について予断を下すことなく、受諾する。
【０１２４】
単一秘密識別子の直接的監視メソッド：
−７２：資格ある認証機関が、直接的に、内部の単一秘密識別子を確認する。この方法は、提供されるメッセージが正しく秘密識別子１７であるという点を除いては、前述の手続きと同様である。設備６９の内部において、正確な一致が探知され、特殊なケースにおいて、設備は、単一識別子７と、内部の日付６だけに基づいて演算されたデジタル指紋６６を、返答として提供する。
【０１２５】
以下の方法を用いることにより、より入念な解析を可能とする、非破壊的鑑定メソッド：
−７３：秘密識別子以外の内部メモリ、例えば、ＲＯＭ（読み出し専用メモリ）１０６、ＲＡＭ（任意アクセスメモリ）１０７、その他の再記録可能なメモリ（フラッシュ）を、空にする。
【０１２６】
−７４：電子的形態においてアクセス可能な内部コンポーネントのメーカによる識別ナンバー、例えば、使用されているコンポーネントのモデルナンバー、改訂ナンバー、単一シリアルナンバー、プログラム可能なコンポーネントのバイナリーコードを、全て空にする。
【０１２７】
他の媒体にデータを監視下でコピー（可能であれば）した後、設備の破壊を必要とする、破壊的鑑定メソッド：
−７５：設備を整備して、単純な機械的切断を行い、内部格納周辺機器１のネイティブ電気インターフェース７６、および鑑定に必要なその他のコンポーネント７７に直接的にアクセスできるようにする。この破壊的作業は、瞬時にして、設備の信憑性およびその他の機能を無効にする。
【０１２８】
これはインプリメンテーションの示唆例としてであるが、これら全ての手続きは、コントローラによって直接的に管理された、仮想ファイルを使用することができる。この仮想ファイルは、実際には、組み込まれた周辺機器１に直接格納されているわけではないが、周辺機器上で自由に操作できるファイルのように見える。これらのファイルは、読み出しアクセスが可能である。また、いくつかのファイルは、書き込みアクセスも可能であり、これにより、エンドユーザは、自らが管理する設備のパラメータ全体を変更することができ、あるいは、パラメータを入力することにより、第３者が信憑性の確認を行うことが可能となる。また、この手続きは、初期化（識別、保証、活性化）段階において、システムデータ、識別子またはパスワードの交換のために使用することもできる。
【０１２９】
限定的ではないインプリメンテーションの示唆例としてではあるが、仮想ファイルは、以下を含むことができる。すなわち：
−７８：場合によっては、最初の時刻設定の日時や、品質証明の日時のような重要な日付と連結した内部日時６、
−７９：内部の電子シリアルナンバー８、
−８０：認証エレメント、
−８１：システムパラメータ：ユーザによるプログラム可能な選択的機能モードの割り当てを可能とする書き込み（例えば、同一標準時地帯、期限満了、アクセスの制御および制限・・・）、
−８２：システム状態、
−８３：例外的出来事のログファイル
−８４：設備による監視エレメント：ハードディスクＳＭＡＲＴ（Ｓｅｌｆ−Ｍｏｎｉｔｏｒｉｎｇ，  Ａｎａｌｙｓｉｓ  ａｎｄ  Ｒｅｐｏｒｔｉｎｇ  Ｔｅｃｈｎｏｌｏｇｙ／自動監視、解析および報告テクノロジー）の場合、内部電圧、温度、
−８５：ＲＯＭメモリの内容、
−８６：ＲＡＭメモリの内容、
−８７：「メーカ」の識別エレメント、
を含むことができる。
【０１３０】
これら全てのファイルは、人間のオペレータが容易に読むことができ、また、印刷できることが好ましい（英数字のエンコードを使用する：例えば、行の文字数制限を伴ったＢＡＳＥ６４、または標準規格ＨＴＭＬまたはＸＭＬ）。
【０１３１】
次に、仮想ファイルの機能を説明する：認証ファイル８０は、例えば、＜ＡｕｔｈＣｈｅｋ．ｓｙｓ＞という名前を付けて保存されるシステムファイルの中で、容易に編集可能なようにエンコードされる。解析を防止するための時間待機８８の条件が満たされれば、書き込みは可能である。ファイルへの書き込みを行うと、書き込まれるファイル（空ファイル８９、フォーマットされた入力メッセージ６８を含むファイル、正しく単一秘密識別子１７を含むファイル）の性格に対応して、保証エレメントの１つが、内部で演算され始める。
【０１３２】
読み出しにおいて、システムは、演算が終わると、決められた長さと構成のファイルを送り返す。このファイルは、前述した手続きに従い、監査のための発送準備が完了したフォーマットされたメッセージを備え、監査に必要な全てのデータ（決められた長さのデジタル指紋、シリアルナンバー、使用されたメッセージ、使用された日付）を含んでいる。
【０１３３】
選択的、変則的な例として、設備の寿命に比べて、主観的または客観的にかなり寿命の短いデータの残存を、アプリケーションが強制する場合は、オプションで期限満了機能を追加すれば、必要な場合にだけ、自動的に、期限切れで不要になった過去のファイルを（内部クロックとの関連で）除去することが可能となり、媒体上にスペースを空けることができる。この機能には、限界を設定することができ、例えば、総容量の一部分を必然的に保護するというように、開放されるスペースについての制限を設けることも可能である。なお、こうした限界設定は、設計により製造時に行ってもよいし、資格ある認証機関が行ってもよいし、またエンドユーザが最初の使用時に行ってもよい。期限の満了は、典型的に、内部クロックの日付に従い、現在との関連における日数で示され、また、暦上の時局（週初または曜日、月初または日にち、年初または月日）に合わせて、設定することも可能である。普遍時間における内部の日付には、現地時間との時差および内部クロックの偏差を考慮して、少なくとも１日の余裕がシステマティックに追加される。
【０１３４】
期限満了に関する異なる機能モードが、図１１〜1６に示されている。格納スペースは、長方形で表される。
【０１３５】
格納スペースは、最初は空９０である。
【０１３６】
新規ファイルの追加９１により、格納スペースは、漸次的に一杯になっていく。すでに書き込まれたデータは、変更できないよう保護され４、新規ファイルは、空きスペース５に入れられ、書き込みの最後に内部時間で日付される。こうして、保護された占領スペース４は増えていく。
【０１３７】
従って、ファイルは、時が経過するにつれ９２、逐次的に格納スペースを占領する。
【０１３８】
期限満了機能を使用しないモードの場合、格納スペースは、完全に一杯になり、残された空きスペースの容量を超えるファイルの書き込みは、却下され、エラー９３が報告される。
【０１３９】
次に、期限満了機能モードについて説明する。期限満了状態になると、ポインタ９４が設定され、これより手前のデータを、必要な場合だけ消去できるようになる。周辺機器が一杯になった場合、自由に使用可能な空きスペースよりも大きいサイズのファイルでも、すでに期限の切れた１つまたは複数のファイル全体を消去することにより、追加可能となる。従って、空きスペースの不足のために書き込むことができなかったファイルも、期限の切れたファイルを必要最低限だけ消去することにより、格納可能となる。この場合、ファイルは、隣接しない２つの部分９５、９６に分割されることもある。ファイル全体が完全に消去されるため、場合によっては、余剰の空きスペースが残ることもある。書き込まれる新規ファイルのサイズが、消去された過去のファイルのサイズと必ずしも一致するとは限らないからである。
【０１４０】
その他のファイル９７も、同じ原理に従って追加可能である。システムは、期限満了の条件を満たしていない過去のファイルを保護する。新規ファイルを書き込むために、満了期限の条件を満たさないファイルの消去を強制しても、周辺機器は「満杯」とみなされ、操作は無効９８となり、エラーが報告される。
【０１４１】
期限満了メカニズムがインプリメントされると、格納スペースは、期限満了を伴わない従来構造が線状９２であるのに対し、環状構造９９となる。
【０１４２】
期限切れのファイル全体を消去することにより解放される潜在的スペースに対応して、周辺機器は、仮想の空きスペースを報告する。さまざまな期限満了の期間ごとに、媒体をパーティション分割すると有益である。ひとたびプログラミングされると、期限満了期間は変更不能となる。パーティション分割により、異なる論理的ユニット上で、異なる期限満了期間を管理することが可能となり、有益である。パーティション分割は、固定的であり得る：
−ユーザによる活性化の際、パーティションの数を一定に定め、続いてパーティションのサイズを一定に定める。
【０１４３】
パーティション分割は、動的であり得る：
−パーティションの数を変えることは可能であるが、制限される（活動中のデータ、パーティションは、パーティション全体の中から消去することはできない）。
【０１４４】
現行技術に則り、現在入手可能なインターフェース、および現在使用されている基本的コンポーネントとを結びつけた実現化の特殊な一例として、図１７は、ハードディスク１００をベースとした示唆的インプリメンテーションの概要を、より詳細に示している。ただし、これは単なる一例であり、本例に限定されるわけではない。同様に、記載されている機能的分担は、使用されるコンポーネントの構造を必ずしも反映していない。各機能は、将来的インプリメンテーションに使用可能であり、また、異なったやり方で組み込んだり、再始動させることもできる。例えば、これらの機能の全てまたは一部を、ハードディスクに組み込まれた内部電子システム内に統合することも、充分考えられ得ることである。マイクロコードの変更により必要となる機能の一部をカバーするコントローラを、ハードディスクに含ませることは、すでに、通常のインプリメンテーションにおいて行われているのである。
【０１４５】
上記のように定義されるコントローラは、インターフェースを中継するコンポーネント（ブリッジ）１０１を基礎としている。ブリッジは、通常、命令を翻訳するプログラムを実行するプロセッサと、データを格納するための２つの標準的インターフェースコントローラ１０２、１０３を組み込んでいる。最良のパフォーマンスを保証するため、これらの特殊コントローラは、データの転送に関する全体的パフォーマンスを低下させないよう最適化された特有の物的リソースを、内部において自由に使用する。例えば、この分野で日進月歩する標準規格に鑑み、ＦｉｒｅＷｉｒｅ／ＵＳＢ／Ｅｔｈｅｒｎｅｔ／ＳｅｒｉａｌＡＴＡ／のようなタイプの外部インターフェース１０５を、格納周辺機器のインターフェース（ＡＴＡ、ＩＤＥ、ＳｅｒｉａｌＡＴＡ）１０２へと変換する、インテリジェントコンバータが存在する。使用される規格に従って、特殊な活性の物理的インターフェースを、使用される伝送テクノロジに則り、外部コンポーネントに組み込む、または委託することが可能である（１０４）。
【０１４６】
このコントローラは、変更不能な内部または外部ＲＯＭ（ＲＯＭまたはＯＴＰ／Ｏｎｅ  Ｔｉｍｅ  Ｐｒｏｇｒａｍｍａｂｌｅ）１０６内のプログラムメモリ、およびＲＡＭ１０７内のデータメモリにアドレス可能でなければならない。なお、ＲＡＭのデータメモリは、置換デバイス１０９の働きで、外部電力ではなく、電池１０８によって保存され、また場合によっては、フラッシュタイプのメモリに基づいて、あるいは、これら２つのテクノロジを組み合わせることによって、保存される。
【０１４７】
機能的、操作的マイクロコードは、初期化段階のものを除き、ＲＯＭ内にのみ記録され、変更することも、アップデートすることもできない。初期化のマイクロコードは、製造時にデータメモリに予めロードされ、活性化前に、不可逆的に破棄される。
【０１４８】
いかなるプログラムまたはマイクロコードも、標準的インターフェースによって、ロードすることはできない。
【０１４９】
機能的データメモリは、外部からの電力供給が断絶した場合でも、システムの状態を仲介する一時的パラメータ、または非クリティカルパラメータ、および／または過去または現在の操作記録（日記またはログ）を維持できるよう、バックアップされる。コントローラ１０１は、自律的な電力供給を必要としない。
【０１５０】
システムの内部状態のモニタリングを可能とする独立コントローラ１１０を、コントローラ１０１に接続することができる。モニタリングは、外部からの電力供給で行ってもよいし、外部電源を排除し、電池１０８による電力供給で行ってもよい。モニタリングにより、設備の状態、内部電池の電圧、場合によってはその他の重要な物理的パラメータ（温度）が点検される。電力供給が断絶した場合でも、システムの状態を視覚的に表示し、設備の不調または無効を予告する外部指示器１１１（電光表示器／ＬＥＤ）に、内部状態を仲介するよう命令することができる。このような間接的方法によって示された設備の有効状態は、電力供給下における他の調査メソッドによって、相関性を検証する必要がある。
【０１５１】
コントローラ１０１は、外部信号１１９により消去可能な揮発性メモリを備えた揮発性メモリコンポーネント／リアルタイムクロック１１２に、間接的にアドレスする。これらのコンポーネントは、その永続的な機能を保証するため、生来的に、電池１１３により電力供給される。リアルタイムクロックは、電力消費量の少ない平衡発振器１１４と連結されており、この発振器もまた、電池１１５によって電力供給される。クロックの最大偏差を決定するのは、この発振器の安定性である。例えば、電池による電力供給に適しており、偏差が１年につき１分以下であることを保証する平衡発振器が存在する。いつでも偏差を測定することができるのであれば、上記偏差は、妥当なところであり、ほとんど問題にはならない。
【０１５２】
組み込まれた消去可能なメモリは、いくつかの単一識別子を含んでいる：シリアルナンバー８、単一秘密識別子７、および、場合によっては、クリティカルと判断されるその他のパラメータ（ポインタ等）である。
【０１５３】
リアルタイムクロック全体１１２、１１４は、論理的コンポーネント（プログラム可能であり、消費電力は少なく、電池１１３により電力供給される）に組み込むことが可能なシーケンス論理１１６によって、セキュリティを高められている。この論理は、初期化モード、操作モード、および単一パラメータの破壊モードを管理し、また、作業の単一かつ不可逆的なシーケンス化を保証する状態機構１１７を組み込んでいる。
【０１５４】
初期化において、シーケンサ１１６は、上述した手続きをアシストし、初期化完了前にたった１度だけ行われる、パラメータ（クロック、識別子）のコンポーネント１１２への書き込みを、逐次的に保護すること保証する。初期化のシーケンスは、たった１度だけ展開可能である。すなわち、製造時の人工的に強制された不安定な状態から出発し、コントローラによって保証された次の状態と移行し、使用可能状態へと至り、そして、場合によっては無効状態へと展開される。被保護電力が断絶した場合、または割り込みが探知された場合、状態機構は、設備の無効状態に相当する初期状態へと戻される。
【０１５５】
機能的には、シーケンサ１１６は、リアルタイムクロックを用いて、アクセスを時間的に遅らせるよう制限して（例えば、２４時間につき一回のアクセスに制限する）許可することにより、一意的秘密識別子の読み出しに関し、時間的な物的保護を保証する。
【０１５６】
割り込みが探知された場合、または電力供給が破綻した場合、リアルタイムクロックへの発振器１１４を遮断することにより、リアルタイムクロックは制止され、さらに、識別パラメータは無効とされる（ただし場合によっては、消去されない）。シリアルナンバーおよびクロックに、コントローラから読み出しアクセスすることは、可能であり続けるが、消去された単一識別子への読み出しアクセス、および全ての書き込みアクセスは、無効制御のため、決定的に制止される。
【０１５７】
割り込み警報システム１１８は、割り込みセンサと連結されており、センサの電気パラメータ（抵抗１２１、容量１２２、短絡回路または開回路１２３）および温度を、恒常的に点検する。この部分は、完全に自律的であり、電池１２４により自動的に電力供給される。警告が出された場合、または電池１２４による電力供給がなくなった場合、いくつかの識別子を含んだ揮発性メモリ１１２は消去１１９され、論理的エレメント１１６は初期化状態に戻され、設備は無効状態になる。
【０１５８】
システムの機能的部分は、外部電力１２５、１４により電力供給され、場合によっては、分割コンバータ、または設備内部の供給電圧を管理する電圧レギュレータ１２６によって補佐される。電子切り換えシステム１２７により、優先的にまず外部電力１２５が使用され、次にオプションの外部補助電池１２８が使用され、最後の手段として内部電池１０８、１１３、１１５、１２４が使用されるため、内部電池の消費を節約することができる。これにより、これら内部電池の寿命によって、本質的に制限される設備の寿命を延ばすことが可能となる。
【０１５９】
内部電池の数は、各部分集合の電力消費量および機能的独立性によって決定される。以下、その分担を示すが、これは単なる例示にすぎない。
【０１６０】
割り込み探知器の電池は、場合によっては、重複保護のため２つ設けられるが、その他のいかなる内部電源からも独立を保つ。
【０１６１】
１００〜１０６のコンポーネントは、外部の主電源からのみ電力供給される。
【０１６２】
電力供給、入力／出力バス、点検信号といった外部インターフェースは、過電圧および過電流から保護されており、欠陥のあるソースによって、あるいは、故意に極端なレベルのアプリケーション（設備を未知の危惧状態に陥れる危険性を有する）を用いるとによって、システムが破損されることを防止するため、フィルターされる（１２９）。
【０１６３】
コントローラによって使用されるＲＡＭ１０６は、いかなる場合も、内部秘密識別子７の部分的なコピーすら含んではならない。
【０１６４】
内部エレメントは、全て、電気的に絶縁された熱伝導性の樹脂１３０の中に、埋め込まれている。
【０１６５】
第２のエンベロープ１３１は、特にセキュリティを高められてはおらず、偶発的に誤った警告が発せられるのを防止するため、衝撃から設備全体を保護する。第２のエンベロープは、摩耗型インターフェース（機械インターフェース、接続インターフェース）、交換可能な補助電池、視覚的（電光表示器）および場合によっては音声による（ブザー）インジケータを、それぞれの位置に維持し、また、美的および／または人間工学的外観を向上させる。第２のエンベロープは、外部シリアルナンバーへの視覚的アクセスを可能とするものでなければならず、また、設備自らによる完全性の点検を実行可能とするため、容易に取り外しできるものでなければならない。第２のエンベロープを、周辺機器の使用に適合させることも可能である：例えば、標準的ベイ（３”１／２または５”１／４）に着脱可能な、または固定された周辺機器、外部周辺機器、パーソナルまたはサーバーポータブルコンピュータに組み込まれた周辺機器である。
【０１６６】
ハードディスクの機能的減圧蓋は、導管１３２によって、脆弱性（配管状態および細管現象）を悪化させることなく、エンクロージャ１０の外側に戻される。
【０１６７】
次に、インプリメントすると有益なデバイスおよび手続きについてリストアップするが、これで全てが網羅されるわけではない。
【０１６８】
補助のシリアルインターフェース１３３は、入力／出力機能のメインインターフェースが故障した場合に、コントローラに限定されたアクセスを、独立に行うことを可能とする。これにより、設備の信憑性および有効性の解析が可能となる。また、例えばＩＣカードを用いることにより、アクセスの制御、安全なコピーといった、より進歩的な機能に使用することも可能である。
【０１６９】
法的有効性（信憑性および日付の有効性）を保持したままデータを移動させる、保証された手段を準備する必要がある。これは、例えば、デジタル署名やデジタル証明書といった外部の暗号化メソッドを用いて、インプリメントすることができる。同様に、ソース設備からターゲット設備へのデータの移転を、内部日付と両設備の各秘密識別子を用いて認証する暗号化カードにより行うような場合は、「ＩＣカード」タイプのインターフェースも使用され得る。
【０１７０】
必ずしもインプリメントする必要のない変形ではあるが、コントローラが搭載プログラムを実行する、あるいは、プログラム可能な回路を含んでいるといった典型的なケースにおいては、ターゲットコード（場合によってはソースコード）を公表し、実際にこれを点検することができるようにしてもよい。
【０１７１】
必ずしもインプリメントする必要のない変形ではあるが、パスワードまたはその他の識別メソッド（ＩＣカード）により、
−データの書き込みアクセス、
−データの読み出しアクセス、
−リストおよびファイル名の可視性、
−ファイルへのアクセス
を、オンデマンドで制止して、ユーザデータへのアクセスを、自律的に保護するシステムを含めることも有益である。
【０１７２】
必ずしもインプリメントする必要のない変形ではあるが、書き増しの割り当て量を制限する内部システムを含めることも適切である。これにより、故意または偶然に、設備が一杯になることを回避することができ、また、格納容量を広げるため、前もって設備を入れ替えることが可能となる。
【０１７３】
必ずしもインプリメントする必要のない変形ではあるが、使用されるファイルシステムに従い、ファイル名およびディレクトリ名を変更する可能性に予め備えることが可能であり、これにより過去のデータの活用が容易になる。同様に、ディレクトリのツリー構造を変更する可能性に備えることもでき、内容、日付、および時として行われるファイルの拡張またはバージョン化に影響を及ぼさない限りにおいて、論理的データの変動にも備えることも可能である。ファイルの再ネーミングを、インプリメントすることができるが、ベースのヘッダだけは変更できない：ショートネームに触れることなく、ロングネームを再ネーミングする。ファイルの移動をインプリメントすることができる：データに触れることなく、ディレクトリを変更する。
【０１７４】
読み出しに関する保護モードを、パーティションによってインプリメントすることも可能であり、有益である。これにより、データの機密性の保護が保証される。この機能のスイッチングは、パスワードまたはＩＣカード、およびパーティションによって命令される。
【０１７５】
上述したデバイスは、権限ある決定機関の前で、真正の、司法的および／または法的証拠価値を表明する可能性のある私的コンピュータデータ記録の格納および保存に、特に適している。
【図面の簡単な説明】
【０１７６】
【図１】図１は、設備の全体的な機能を示す。
【図２】図２は、外部第三者の役割を示す。
【図３】図３は、メタデータの追加による日付ファイル構成についての１つの示唆例を示す。
【図４】図４は、ファイル記述子内への置き換えによる日付ファイル構成についての１つの示唆例を示す。
【図５】図５は、個別的にメーカにより安全化された、各々の設備の初期化および識別プロセスを示す。
【図６】図６は、各々の設備の安全化された認証プロセスを示す。
【図７】図７は、エンドユーザにより安全化された活性化プロセスを示す。
【図８】図８は、上記デバイスの実現に関連する、異なる認証手順および方法を示す。
【図９】図９は、異なる設備の鑑定手順を示す。
【図１０】図１０は、設備を管理するための、仮想ファイルの使用についての示唆例である。
【図１１】図１１は、媒体への書き込み量を示す。
【図１２】図１２は、媒体への書き込み量を示す。
【図１３】図１３は、媒体への書き込み量を示す。
【図１４】図１４は、一杯になった媒体の、期限満了メカニズムを示す。
【図１５】図１５は、一杯になった媒体の、期限満了メカニズムを示す。
【図１６】図１６は、一杯になった媒体の、期限満了メカニズムを示す。
【図１７】図１７は、本発明を実現するための示唆例を詳細に示す。
【０１７７】
なお、いくつかの図面において［ｕ］で示されているのは、その行為が機能的に単一であり、不可逆であるという意味である。また、いくつかの指示は、技術的用語に一致させるため、意図的に英語で書かれている。
【図１】
2006521608.tif 000003
【図２】
2006521608.tif 000004
【図３】
2006521608.tif 000005
【図４】
2006521608.tif 000006
【図５】
2006521608.tif 000007
【図６】
2006521608.tif 000008
【図７】
2006521608.tif 000009
【図８】
2006521608.tif 000010
【図９】
2006521608.tif 000011
【図１０】
2006521608.tif 000012
【図１１】
2006521608.tif 000013
【図１２】
2006521608.tif 000014
【図１３】
2006521608.tif 000015
【図１４】
2006521608.tif 000016
【図１５】
2006521608.tif 000017
【図１６】
2006521608.tif 000018
【図１７】
2006521608.tif 000019
【国際調査報告】
2006521608.tif 000020
2006521608.tif 000021
2006521608.tif 000022
2006521608.tif 000023
2006521608.tif 000024
2006521608.tif 000025
2006521608.tif 000026
2006521608.tif 000027