JPS63240629A - プログラムを機密保護し且つ機密保護されたプログラムを保全制御する方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ・・　Ｃ産業上の利用分野］ 本発明は、データ処理装置のシステム記憶装置に記憶さ
れているプログラムを変更に対して機密保持し且つ機密
保持されたプログラムを保全ｊ；！ｌ　ｇａする方法に
関する。

［従来の技術及び発明が解決しようとする問題点］デー
タ処理装置及びそれらと共に構成されるコンピュータシ
ステムにおいては、制御及び応用の目的に使用されるプ
ログラム、すなわち、オペレーションシステムと、アプ
リケーションシステムとから構成されるプログラムシス
テムが、たとえば磁気ディスク等のシステム記憶装置に
記憶されている。データ処理装置が動作するとき、オペ
レーティングシステムの枠内でデータ処理装置の動作プ
ロセスを制御すると共に、アプリケーションシステムの
枠内でユーザーにより提示されたデータ処理タスクを実
行するために、プログラムは作業用記憶装置にロードさ
れ、処理される。

データ処理装置と共に、個々のコンピュータが互いに通
信し合うコンピュータネットワークが開発されている。

この場合に自動的に進行する情報交換は、特に銀行業務
、保険業務、商取引き又は行政等の適用領域では詐欺的
操作から機密保護されなければならない。そのような操
作はコンピュータの面にも及び、コンピュータが望まし
くない別の命令を実行したり、実行する命令の数が規定
より少なくなったりすることや、命令の変更が行なわれ
ることも起こり、その結果、個人に関連するデータが悪
用され、誤って処理され、転用される、又はコンピュー
タ出力が権限のない者の手に渡って悪用される、あるい
はコンピュータネットワークのユーザー又は第三者に対
してその他の損害を与えるといった事態も起こりかねな
い。

コンピュータネットワークのユーザーにとっては、操作
されたプログラムを認識した上で、相応する修正措置に
より保全性を確保することは非常に困難であるので、プ
ログラムの操作を自動的に認識し、操作されたプログラ
ムの実行を同様に自動的に阻止することを可能にすべき
であろう。しかしながら、プログラムを機密保護する従
来の方法としては、無許可の複写を阻止し、そのために
、そのようなプログラムの実行のための特別なプロセッ
サを必要とする暗号化を適用する方法が知られているに
すぎない。このような機密保護手段はプログラムの無許
可の経済的利用及び転用を阻止すべきものであるが、コ
ンピュータネットワーク内におけるプログラムへの操作
を認識し、誤ったプログラム実行を阻止することはでき
ない。また、無許可の者による操作に対しである程度の
保護を達成するために、パスワード又はユーザーカタロ
グの使用、データの秘密保持、あるいは特別のスイッチ
又はキーを介した許可授与等の物理的措置により動作手
段制御及びアクセス制御を行なうことも可能である。し
かし、これらの方法は、プログラマ−又はこれと同等の
資格をもつ者がコンピュータネットワークをアクセスし
ようとした場合には、相当に無力なものになってしまう
。すなわち、その場合には、特殊な専門知識に基づいて
、上述のような種類の保護措置が講じられているにもか
かわらず、プログラムを操作することが可能なのである
。

本発明の目的は、データ処理装置において、プログラム
に対する操作をシステム性能を大きくそこなうことなく
自動的に認識し且つ操作されたプログラムの有効化を自
動的に阻止することを可能にする方法を提案することで
ある。

［問題点を解決するための手段］ 本発明によれば、上記の目的は、冒頭に述べた種類の方
法について、少なくともシステム始動を生じさせるプロ
グラムが、それぞれ対称暗号アルゴリズムに従い、読出
し保護状態で記憶されている秘密キーを使用して、検査
暗号形成のために暗号化され、検査暗号はシステム記憶
装置に記憶されることと、データ処理装置のシステム始
動に伴なう保全制御のために、プログラムの連続する再
度のそのような暗号化と、それぞれ、そのように形成さ
れた検査暗号と対応する記憶された検査暗号との比較が
開始され、比較の結果が否定である場合は、それぞれ後
続するシステム始動ステップ又はプログラムの活動化を
阻止可能であることにより達成される。

本発明により、データ処理装置のプログラムシステム全
体、すなわち、オペレーティングシステムとアプリケー
ションシステムの双方における操作が自動的に認識され
るようになり、既にシステム始動の段階で、操作の認識
に応じて直ちに動作を中断させることができる。これに
より、プログラムの［封日月、すなわち、システム記憶
装置又はシステムサポータの封印という効果が得られ、
この効果はデータ処理装置のシステム始動時に既に実行
可能である保全制御によって発揮される。

プログラムの機密保護のために、システム記憶装置は検
査暗号の形をとる付加情報を記憶しているが、それらの
検査暗号は、秘密キーを基礎として実行される暗号化ス
テップの結果として形成される。スーパーバイザリ−コ
ンピュータと、複数のオブジェクトコンピュータとを有
するコンピュータネットワークにおいては、それぞれの
オブジェクトコンピュータに対するシステムサポータは
スーパーバイザリ−コンピュータでこのようにして封印
され、その際、検査暗号は、システムサポータに記憶さ
れていてロード可能であり且つ応用システムのプロセス
進行には不可欠である全てのプログラムに対して論理封
印として作用することができる。これは、コンピュータ
の動作中に記憶装置に常駐しているオペレーティングシ
ステムのプログラムと、ロードライブラリーに読出可能
な形態で記憶されている全てのプログラムを指す。

この封印のために、読出し保護状態で記憶されている秘
密キーが使用されるので、プログラムに対する無許可の
操作のたびに、オブジェクトコンピュータにおいて同一
の秘密キーを使用して、検査暗号の形成を伴ないながら
、操作された各々のプログラムの再度の暗号化を実行す
る保全制御に際し、本発明に従って実施されるべき比較
ステップで操作されたプログラムについて実行された暗
号化により得られた検査暗号と、スーパーバイザリ−コ
ンピュータにおいて操作されないプログラムについて得
られた検査暗号との間に不一致が生じるため、そこで、
誤り信号が発生される。次に、この誤り信号を利用して
、後続するプログラムの活用化を自動的に阻止すること
ができる。

暗号化は対称暗号アルゴリズムを使用して実行される。

公知のように、この暗号化原理は解読に対して非常に高
い機密保護レベルを示す。公知の実施形態はＤＥＳアル
ゴリズムである（ＤＥＳ　−ＤＡＴＡＥｎｃｒｙｐｔｉ
ｏｎ　５ｔａｎｄａｒｄ　、データ通信用暗号標準）。

暗号化されたテキストの解読は、クリアテキストの暗号
化とは全く逆の順序で行なわれる。このため、対称法と
呼ばれている。このアルゴリズムの高い機密保護レベル
はその数学的特性によるものであり、クリアテキストの
知識と、付随するキーテキストの知識をもってしても、
秘密キーを見出すのは容易なことではない。しがしなが
ら、本発明の範囲内では、ＤＥＳアルゴリズムはデータ
の暗号化ではなく、プログラムの暗号化に際しての検査
総和の取出しのために適用される。

暗号化に使用されるキーの読出し保護状態での記憶もそ
れ自体知られており、そのために、特別の機密保護コン
ポーネントがコンピュータネットワークの各コンピュー
タに具備されている。この機密保護コンポーネントは、
使用されるキーを物理的にアクセス不可能な形態で記憶
する記憶装置を含むことができる。さらに、機密保護コ
ンポーネントは、本発明により達成される機密保護効果
を一段と向上させることができる他のハードウェア機能
ユニットを含んでいて良いことも知られている。

本発明による方法は、プログラムシステムの経過に相応
して、一連の互いに連続する暗号化ステップ又は制御ス
テップで実行されるので、システム始動のスタートを生
じさせるプログラム、いわゆる事前ローダプログラムの
第１の検査暗号が読出し保護状態で記憶されれば、無許
可のプログラム操作の影響に対して本発明により達成さ
れる機密保護レベルをさらに高めることができる。この
付加的手段は、制御シーケンスで発生する第１の検査暗
号を知ることを妨げるので、この検査暗号を使用して、
事前ローダプログラムの暗号化の基礎ともなった秘密キ
ーを探り出そうとする試みを不可能にする。これにより
、保全制御の枠内で進行する第１の検査プロセスは無許
可のアクセス及び変更に対して絶対的に保護された状態
となる。

［実　施　例］ 以下、添付の図面を参照して本発明の詳細な説明する。

以下に説明されるのは、本発明によるプログラムを機密
保護する方法をスーパーバイザリ−コンピュータ及びオ
ブジェクトコンピュータを伴なって実際に適用した場合
に、その方法がいかにして実施されるかということであ
る。この場合、一般に、スーパーバイザリ−コンピュー
タには、オブジェクトコンピュータの動作開始のために
稼動可能なシステムサポータが検査暗号の形態をとる付
加情報と共に備えられている。これらの検査暗号は、機
密保護コンポーネントに記憶された秘密キーを適用する
ことによって実行される複数の暗号化ステップから得ら
れるもので、システムサポータに記憶されたプログラム
はそれらの暗号化ステップの下に順次置かれる。検査暗
号は、オブジェクトコンピュータのシステムサポータに
記憶されていてローディング可能であり且つ応用システ
ムのプロセス進行には不可欠である全てのプログラムに
対して、論理的な封印となる。さらに、この場合、機密
保護コンポーネントに読取り不可能なように記憶される
スタート手順のための検査暗号が発生される。暗号化ス
テップに関する秘密キーはアクセス不可能であるため、
他の全ての検査暗号はシステムサポータにアクセス可能
及び読取り可能に記憶されることができる。オブジェク
トコンピュータの機密保護コンポーネントは、これに記
憶されているキーが、機密保護コンポーネントに供給さ
れた基準検査暗号との比較を同時に実行する場合にその
比較の対象となる検査暗号を計算するためにのみ使用さ
れるように動作するので、機密保護コンポーネントはそ
の結果として検査暗号を出力することはできず、計算さ
れた検査暗号が基準検査暗号と一致するか否かに関する
イエス／ノーのステートメントのみを出力する。

すなわち、オブジェクトコンピュータシステムにおいて
は、秘密キーを知らずに許可なくＰＺ検査暗号を計算す
ることは不可能である。

スーパーバイザリ−コンピュータに上述のような方式に
より付加情報を伴なうシステムサポータが設けられた後
、このシステムサポータをオブジェクトコンピュータに
導入することができる。

オブジェクトコンピュータの動作開始に際して、保全制
御は、時間的に見て応用動作の前に進行しているシステ
ム始動手順の中で自動的に実行される。その場合、複数
の検査ステップか発生することになるが、それぞれの検
査ステップは、その実行コードが先の検査ステップのと
きと変わらないと証明されたときに始めて開始される。

第１の検査ステップは事前ロードプログラムから開始さ
れ、機密保護コンポーネントにおいて実行される。従っ
て、この論理は物理的に自由にアクセス可能ではない。

事前ロードプログラムが物理的に影響を受けると、すな
わち変化されると、機密保護コンポーネントの内部で既
に第１の検査ステップの段階でそのような変化は確定さ
れ、機密保護コンポーネントは非動作状態とされるので
、後続する検査ステップのためにその機密保護コンポー
ネントを利用することは不可能になり、それらのステッ
プを実行することはできなくなる。

第１図には、スーパーバイザリ−コンピュータにおいて
オブジェクトコンピュータのシステムサポータ及び機密
保護コンポーネントが本発明による方法の下でどのよう
な状態にあるかが示されている。垂直の破線の左側には
、機密保護方法の枠内でアクティブであるスーパーバイ
ザリ−コンピュータのコンポーネントが示され、右側に
は、オブジェクトコンピュータへの導入のために準備さ
れなければならないパッシブなコンポーネントが示され
ている。アクティブなコンポーネントは、検査暗号の計
算のために実行されるべき個々の暗号化ステップを制御
する暗号化プログラム１１と、プログラムごとに１つの
検査暗号を出力することができるように、暗号化プログ
ラム１１の制御の下に機密保護すべきプログラムの供給
を受ける暗号化コンポーネント１２である。パッシブな
コンポーネントは、機密保護されるプログラムに関する
検査暗号記憶装置１４及びクリアテキスト記憶部１３を
有するシステムサポータ１５と、機密保護コンポーネン
ト１６と、事前ローダプログラムに関するクリアテキス
ト記憶装置１７である。

オブジェクトコンピュータへの導入のために、パッシブ
なコンポーネントを準備するときには、まず、暗号化プ
ログラム１１の制御の下に、クリアテキスト記憶装置１
７から事前ローダプログラムが取出され、暗号化コンポ
ーネント１２により、このコンポーネントにあらかじめ
あった秘密キーを使用して、その事前ローダプログラム
に対応する検査暗号が計算される。この暗号は暗号化コ
ンポーネント１２から出力され、暗号化プログラム１１
の制御の下に機密保護コンポーネント１６に供給される
。

このステップと同時に、機密保護コンポーネントＩ６に
は、読出し保護記憶のための秘密キーが受は渡される。

その後、システムサポータ１５のクリアテキスト記憶部
１３に記憶されているプログラムに関する検査暗号が計
算され、暗号化プログラム１１の制御の下にシステムサ
ポータ１５の検査暗号記憶装置１４に記憶される。スー
パーバイザリ−コンピュータの暗号化コンポーネント１
２において実行される全ての暗号化ステップの基礎とな
るのは、暗号化コンポーネント１２に記憶されている秘
密キーである。

第２図は、上述のように準備されたシステムサポータ及
び機密保護コンポーネントがオブジェクトコンピュータ
において一般にどのような方式でプログラムの保全制御
に適用されるかを示す。オブジェクトコンピュータのシ
ステム始動段階の中に位置することができる一連の検査
ステップの一部として１つの検査ステップが示されてい
る。垂直の破線の左側にはオブジェクトコンピュータの
アクティブなコンポーネントを示し、右側にはパッシブ
なコンポーネントを示す。それぞれの検査ステップは、
チェッカーと呼ばれ、検査目的物、すなわち検査される
べきプログラム２３及び付属する検査暗号２４を機密保
護コンポーネント２２に供給する検査実行プログラム２
１により実行される。前述のように、機密保護コンポー
ネント２２は供給されるプログラムごとに、このコンポ
ーネントに入力された秘密キーを使用して検査暗号を計
算し、これを先に供給された付属検査暗号２４と比較す
る。

機密保護コンポーネント２２は、検査実行プログラム２
１の制御の下に、イエス／ノーステートメントの形をと
る比較の結果を次の検査実行場所へ引き渡すが、ステー
トメントがイエスである場合には、この場所はたった今
検査されたばかりのプログラムということになる。ステ
ートメントがノーであれば、誤り状況を信号により報知
することができ、たとえば、システムのプロセスを中断
するか、誤り警報を発信するか、又はその他の方法によ
り修正措置を強行する特別の機能ブロックが活動状態と
される。

以上説明したプロセス全体は、検査実行プログラム２１
に供給されるスタート信号により開始される。この信号
は先行する検査ステップのイエスのステートメントであ
るか、又はシステム始動のための最初のスタート信号で
あることができる。

第３図は、前述のような種類の一連の検査ステップがオ
ブジェクトコンピュータにおいていかにして実行される
かを示す。ここでは、それらの検査ステップの時間的な
流れを示しており、ステップは上から下に向かって３つ
の段階、すなわち、スイッチオン段階と、システム始動
段階と、応用段階とに分割されている。この場合にも、
第１図及び第２図と同様に、垂直の破線の左側にはアク
ティブなコンポーネントが示され、右側にはパッシブな
コンポーネントが示されている。個々の検査ステップは
順にＳＯ，Ｓｌ、Ｓ２．Ｓ３・・・Ｓｎの符号で示され
る。それぞれの検査ステップＳ１からＳｎにおいて、ア
クティブなコンポーネントとして検査実行プログラムが
示され、パッシブなコンポーネントとして検査されるべ
きプログラムが示されている。それぞれの検査ステップ
の機密保護コンポーネントは、その機能について既に第
２図を参照して説明したので、ここには図示されていな
い。

オブジェクトコンピュータのスイッチオンに伴なって、
検査ステップＳＯにおいてスタート信号ＳＴが事前ロー
ダプログラム３１に印加される。事前ローダプログラム
３１はこの信号により制御されて、検査ステップＳ１を
開始させる。この検査ステップＳ１がシステム始動段階
の第１のステップとなる。検査ステップＳ１において、
事前ローダプログラム３１は検査されるべきプログラム
として機密保護コンポーネント３５に供給され、このコ
ンポーネントでは、記憶されている秘密キーを使用して
検査暗号の検査のための暗号化が実行される。

次に、この検査暗号は、機密保護コンポーネント３５に
記憶されていた事前ローダプログラム３１に関する検査
暗号と゛比較される。２つの検査暗号が一致した場合は
イエスのステートメントが発生され、それにより、検査
ステップＳ２について事前ローダプログラム３１が導入
されるので、この事前ローダプログラムはこの検査ステ
ップに関して、常駐オペレーティングシステム３２を検
査するためのアクティブコンポーネントとなる。機密保
護ブロック３５から発生されるノーのステートメントは
制御プログラム３６に供給され、この制御プログラム３
Ｂはこれ以降のシステム動作を図示されない方法により
中断することができる。

常駐オペレーティングシステム３２はパッシブなコンポ
ーネントとして、個々のプログラム部分を伴なって、事
前ローダプログラム３１によりこの検査ステップＳ２に
ついては図示されていない機密保護コンポーネントに渡
されて、そこで暗号化を受けることができ、その結果、
検査暗号が発生される。この検査暗号は、同時に事前ロ
ーダプログラム３１に、又はそれと結合している機密保
護コンポーネントに供給される検査暗号３４と比較され
る。

２つの検査暗号が同じであるときに発生されるイエスの
ステートメントは常駐オペレーティングシステム３２を
制御して、これをアクティブなコンポーネントにし、そ
こで、常駐オペレーティングシステムはロードライブラ
リー３３からのプログラム部分の検査を開始させる。こ
の検査ステップＳ３は検査ステップＳ２と同様に実行さ
れるので、そこで計算された検査暗号がそれぞれ検査さ
れるべきプログラムに付随する検査暗号３４と一致する
場合は、′イエスのステートメントが発生され、このス
テートメントは制御プログラム３６に送られる。

そこで、制御プログラム３６は応用段階の動作を信号Ａ
Ｗにより開始させることができる。

応用段階の中では、スーパーバイザリ−コンピュータに
おいて個々のアプリケーションプログラムが検査暗号記
憶装置又はロードライブラリーに記憶可能である検査暗
号を備えている限り、当然のことながら、ここで説明し
た態様の検査ステップをさらに実行することカーできる
。

第４図には、スーパーバイザリ−コンピュータにおける
暗号化コンポーネントによる検査暗号の発生がブロック
線図で示されている。検査暗号ＰＺ　（ＰＯ）を計算し
なければならない検査すべきプログラム、すなわち検査
対象物は、アドレスＡＤＲ及び長さＬＡＥを与えられな
がら、検査対象物を個々のブロックＢに分割するための
分割プログラムに供給される。これらのブロックＢは互
いに等しい長さを有し、それぞれ少なくとも１回は、秘
密スタート値ＳＷ及び秘密キーＩＫを伴なうＤＥＳ暗号
化ステップの実行を受ける。このとき、暗号化プログラ
ム４１が利用される。それぞれ１つのブロックＢの暗号
化に際して発生する結果Ｃは、次に暗号化すべきブロッ
クのためのスタート値として暗号化プログラム４１に供
給される。最終ブロックＢの暗号化の結果はＣＥで表わ
され、ある１つのプログラムに対応するか、又は機密保
護コンポーネントにおいて事前ローダプログラムに関す
る検査暗号として記憶されることができる発生検査暗号
ＰＺ　（ＰＯ）である。

なお、このような検査暗号の発生はファームウェア又は
ソフトウェアのいずれによっても実行可能である。

第５図は、機密保護コンポーネントを有するオブジェク
トコンピュータにおける検査暗号制御の実行を示す。検
査暗号制御は、入出力パラメータと、比較プロセスとに
関してのみ、第４図をコ照して説明した発生と異なる。

補助的な入力パラメータは、検査暗号ＰＺ　（ＰＯ）の
計算後に比較値として使用される基準値ＲＷである。比
較の結果は、既に説明したように、イエス／ノーのステ
ートメントとして、後続する検査ステップ又は制御プロ
グラムを開始させる。

検査暗号制御の方法は、第４図に示される暗号化及び第
５図に示される検査暗号制御について暗号化プロセス、
スタート値及びキーの一致を必要°とする。

第６図は、一実施例として、機密保護コンポーネント６
０の原理的構成を示す。ここでは、差込み接続部を介し
てオブジェクトコンピュータに接続することができるハ
ードウェアモジュールに関して説明する。この接続部を
介して命令及びデータはオブジェクトコンピュータと、
機密保護コンポーネントとの間で交換される。機密保護
コンポーネントの基本的な構成要素はプロセッサＧ１と
、機密保護ハイブリッドモジュール６２である。プロセ
ッサ６１は、たとえば、命令コード化、データ線の接続
及び機密保護ハイブリッドモジュール６２への指令受は
渡しのために、機密保護コンポーネント８０の個々の機
能を制御する。機密保護ｌＸイブリッドモジュールは集
積回路の態様による構成要素であるが、そのモジュール
構成要素は別箇に取付けられており、その全体にセラミ
ックカバーを設けることができる。ハイブリッドモジュ
ールはプロセッサ６３と、ＤＥＳ素子６４と、選択的に
アクセス可能な２つのキー記憶装置６５及び６６とを含
む。

プロセッサ６３はＤＥＳ素子６４と、読出し保護された
キー記憶装置６５及び６Ｇとの間の命令及びデータの制
御と実行のだめのものである。さらに、プロセッサ６３
はプロセッサ６１への外部データ流れを制御する。ＤＥ
Ｓ素子６４は上述の暗号化方式を制御する。キー記憶装
置６５は、ＤＥＳ暗号化のために利用される、たとえば
６４ビツトの長さのキーを受入れ、キー記憶装置６６は
、プロセッサ６３により内部機能のためにのみ利用され
ることができ、外部アプリケーションプログラムによる
利用は不可能であるキーを記憶する。機密保護ハイブリ
ッドモジュールの内部の１本のデータ線に対するアクセ
スは、前記セラミックカバーにより阻止される。

機密保護コンポーネント６０からオブジェクトコンピュ
ータへの接続が遮断されてしまうと、それにより、キー
記憶装置６５は消去される。キー記憶装置６Ｂの内容に
ついては、バッテリーによりこれを保持することができ
る。ハイブリッドモジュール６２が機密保護コンポーネ
ント６０から取外されると、全ての記憶値は失なわれる
ことになる。これにより、コンピュータ領域の外側で機
密保護コンポーネント６０を利用することは不可能であ
るという状況が保証される。

【図面の簡単な説明】

第１図は、本発明の方法を実施した場合のスーパーバイ
ザリ−コンピュータのコンポーネントの相互対応及び相
互交換作用を示す図、 第２図は、本発明の方法を実施した場合のオブジェクト
コンピュータのコンポーネンＩ・の相互対応及び（自互
交換作用を示す図、 第３図は、オブジェクトコンピュータにおける連続する
検査ステップの経過を示す図、第４図は、スーパーバイ
ザリ−コンピュータの暗号化コンポーネントにおける検
査暗号形成を伴なう暗号化の原理プロセスを示す図、 第５図は、オブジェクトコンピュータの機密保護コンポ
ーネントにおける暗号化及び検査暗号比較の原理プロセ
スを示す図、及び 第６図は、機密保護コンポーネントの基本構成を示す図
である。 １１・・・暗号化プログラム １２・・・暗号化コンポーネント １３・・・クリアテキスト記憶部 １４・・・検査暗号記憶装置　１５・・・システムサポ
ータ１６・・・機密保護コンポーネント Ｉ７・・・クリアテキスト記憶装置 ２１・・・検査実行プログラム ２２・・・機密保護コンポーネント ２３・・・検査されるべきプログラム ２４・・・付属検査暗号 １　　　パ・ノシブ ＦＩＧｉ−１ ７クテイブ　　　　　　　ｉ　　　　パッシブ゛□　　
　　　　　　　　　１　　　　　　□； ＦＩＧ、　３ ＦＩＧ、６

Claims (4)

【特許請求の範囲】
1. （１）データ処理装置のシステム記憶装置に記憶されて
   いるプログラムを機密保護し且つ機密保護されたプログ
   ラムを保全制御する方法において、少なくともシステム
   始動を生じさせるプログラムは、それぞれ対称暗号アル
   ゴリズムに従い、読出し保護状態で記憶されている秘密
   キーを使用して、検査暗号形成のために暗号化され、検
   査暗号はシステム記憶装置に記憶されることと、データ
   処理装置のシステム始動に伴なう保全制御のために、プ
   ログラムの連続する再度のそのような暗号化と、それぞ
   れ、そのように形成された検査暗号と対応する記憶され
   た検査暗号との比較とが開始され、比較の結果が否定で
   ある場合は、それぞれ後続するシステム始動ステップ又
   はプログラムの活動化を阻止可能であることを特徴とす
   る方法。
2. （２）システム始動の開始を生じさせるプログラム（事
   前ローダプログラム）の第１の検査暗号は読出し保護状
   態で記憶されることを特徴とする特許請求の範囲第１項
   記載の方法。
3. （３）アルゴリズムとしてＤＥＳアルゴリズムが使用さ
   れることを特徴とする特許請求の範囲第１項又は第２項
   記載の方法。
4. （４）スーパーバイザリーコンピュータ及びオブジェク
   トコンピュータから構成されるコン ピュータネットワークにおいてプログラムを機密保護す
   るために、オブジェクトコンピュータのシステムサポー
   タに関する第１に挙げたキーがスーパーバイザリーコン
   ピュータで実行されることと、保全制御のための再度の
   暗号化は、それぞれのオブジェクトコンピュータにおい
   て、同じ読出し保護状態で記憶された秘密キーを使用し
   て、システム始動手順に伴なって自動的に実行されるこ
   とを特徴とする特許請求の範囲第１項から第３項のいず
   れか１項に記載の方法。