CN118103820A - 信息处理装置、信息处理装置的控制方法以及程序 - Google Patents

Abstract

一种信息处理装置(2)具备：日志发送部(24)，将信息处理装置(2)中生成的监视日志发送给SOC(28)；HIDS监视部(14)，对日志发送部(24)的完整性进行验证；以及监视RoT部(12)，对HIDS监视部(14)的完整性进行验证，并且将心跳信号反复输出给日志发送部(24)。日志发送部(24)每当心跳信号从监视RoT部(12)被输出时，就将该心跳信号发送给SOC(28)。HIDS监视部(14)，在日志发送部(24)的完整性有异常的情况下，将停止输出请求信号输出给监视RoT部(12)，该停止输出请求信号是用于请求监视RoT部(12)停止心跳信号的输出的信号。监视RoT部(12)根据停止输出请求信号，停止心跳信号的输出。

Description

信息处理装置、信息处理装置的控制方法以及程序

技术领域

本公开涉及信息处理装置、信息处理装置的控制方法以及程序。

背景技术

作为固件的安全对策，不仅要求在固件启动时执行完整性验证(Secure Boot：安全启动)，还要求在固件启动之后也执行连续完整性验证(RI：Runtime Integrity，运行时完整性)。

在以往的安全对策所使用的信息处理装置具备：在非安全区域工作的监视部、以及在安全区域工作的日志收集部(例如参照专利文献1)。监视部对信息处理装置中有无异常进行监视。而且，监视部生成示出监视结果的监视日志，并将生成的监视日志保存在第1存储器中。日志收集部对被保存在第1存储器中的监视日志进行收集，并将收集的监视日志保存在第2存储器中。被保存在第2存储器中的监视日志会发送给SOC(Security OperationCenter：安全运营中心)。

(现有技术文献)

(专利文献)

专利文献1：日本特开2020-129238号公报

然而，在上述以往的信息处理装置中会出现不能保证向SOC发送监视日志的工作的完整性的课题。也就是即使监视部检测到异常的情况下，由于不能保证将示出检测到异常的监视日志确实地发送给SOC，因此有可能是SOC不能掌握异常的检测，对检测到的异常没有采取对策而是放任不管。

发明内容

于是，本公开提供一种能够由外部装置来检测发送部发生了异常的信息处理装置、信息处理装置的控制方法以及程序。

本公开的一个方式所涉及的信息处理装置具备：发送部，能够与外部装置进行通信，将所述信息处理装置中生成的监视日志发送给所述外部装置；第1监视部，对所述信息处理装置的内部的处理的完整性进行验证；以及第2监视部，对所述第1监视部的完整性进行验证，并且将心跳信号反复输出给所述发送部，所述发送部，每当所述心跳信号从所述第2监视部被输出时，就将该心跳信号发送给所述外部装置，所述第1监视部，在所述信息处理装置的内部的处理的完整性有异常的情况下，将停止输出请求信号输出给所述第2监视部，所述停止输出请求信号是用于请求所述第2监视部停止所述心跳信号的输出、或输出不正当的心跳信号的信号，所述第2监视部，根据所述停止输出请求信号，停止所述心跳信号的输出、或输出所述不正当的心跳信号。

另外，这些概括性的或具体的方式可以由系统、方法、集成电路、计算机程序或者计算机可读的CD-ROM(Compact Disc-Read Only Memory)等记录介质来实现，也可以由系统、方法、集成电路、计算机程序以及记录介质的任意的组合来实现。

通过本公开的一个方式所涉及的信息处理装置等，能够由外部装置来检测发送部发生了异常。

附图说明

图1是示出实施方式1所涉及的信息处理装置的概要的图。

图2是示出实施方式1所涉及的监视RoT部的功能构成的方框图。

图3是示出实施方式1所涉及的HIDS监视部的功能构成的方框图。

图4是示出实施方式1所涉及的监视RoT部的工作的流程的流程图。

图5是示出实施方式1所涉及的HIDS监视部的工作的流程的流程图。

图6是示出实施方式2所涉及的信息处理装置的概要的图。

具体实施方式

本公开的第1方式所涉及的信息处理装置具备：发送部，能够与外部装置进行通信，将所述信息处理装置中生成的监视日志发送给所述外部装置；第1监视部，对所述信息处理装置的内部的处理的完整性进行验证；以及第2监视部，对所述第1监视部的完整性进行验证，并且将心跳信号反复输出给所述发送部，所述发送部，每当所述心跳信号从所述第2监视部被输出时，就将该心跳信号发送给所述外部装置，所述第1监视部，在所述信息处理装置的内部的处理的完整性有异常的情况下，将停止输出请求信号输出给所述第2监视部，所述停止输出请求信号是用于请求所述第2监视部停止所述心跳信号的输出或输出不正当的心跳信号的信号，所述第2监视部，根据所述停止输出请求信号，停止所述心跳信号的输出、或输出所述不正当的心跳信号。

通过本方式，第1监视部在信息处理装置的内部的处理(例如，发送部)的完整性有异常的情况下，将停止输出请求信号输出给第2监视部。据此，外部装置在来自信息处理装置的心跳信号的接收被中断的情况下，或者接收了来自信息处理装置的不正当的心跳信号的情况下，例如能够检测到信息处理装置的发送部发生了异常。

此外也可以是如下的构成，在本公开的第2方式所涉及的信息处理装置中，根据第1方式，所述信息处理装置还具备第1程序区和第2程序区，所述第1程序区是分别由所述发送部以及所述第1监视部来执行的区域，所述第2程序区是由所述第2监视部来执行的区域，所述第2程序区的安全级别比所述第1程序区高。

通过本方式，例如能够将第2监视部作为信赖的基点，来执行信息处理装置的各种程序的连续完整性验证(RI)。

此外也可以是如下的构成，在本公开的第3方式所涉及的信息处理装置中，根据第1方式或第2方式，所述第1监视部输出第1监视日志，所述第1监视日志示出所述信息处理装置的内部的处理的完整性的验证结果，在所述信息处理装置的内部的处理的完整性有异常的情况下，向所述第2监视部输出赋予签名请求信号，该赋予签名请求信号是请求所述第2监视部向所述第1监视日志赋予签名的信号，所述第2监视部根据所述赋予签名请求信号，向所述第1监视日志赋予签名，所述第1监视部保持由所述第2监视部赋予了签名的所述第1监视日志。

通过本方式，在信息处理装置的内部的处理(例如，发送部)的完整性有异常的情况下，能够保全示出信息处理装置的内部的处理的完整性有异常的第1监视日志。其结果是例如能够将第1监视日志用于发生了异常的发送部的分析中。

此外也可以是如下的构成，在本公开的第4方式所涉及的信息处理装置中，根据第1方式至第3方式中的任一个方式，所述第2监视部在所述第1监视部的完整性有异常的情况下，停止所述心跳信号的输出、或输出所述不正当的心跳信号。

通过本方式，外部装置由于来自信息处理装置的心跳信号的接收被中断、或者接收了来自信息处理装置的不正当的心跳信号，由此例如能够检测到信息处理装置的发送部以及第1监视部的至少其中一方发生了异常。

此外也可以是如下的构成，在本公开的第5方式所涉及的信息处理装置中，根据第1方式至第4方式中的任一个方式，所述第1监视部在输出了所述停止输出请求信号之后，由所述第1监视部检测出的完整性的异常被消除的情况下，向所述第2监视部输出重新开始输出请求信号，该重新开始输出请求信号是用于请求所述第2监视部重新开始所述心跳信号的输出的信号，所述第2监视部，根据所述重新开始输出请求信号，重新开始所述心跳信号的输出。

通过本方式，外部装置通过重新开始接收来自信息处理装置的心跳信号，从而例如能够识别到信息处理装置的发送部已被修复。

此外也可以是如下的构成，在本公开的第6方式所涉及的信息处理装置中，根据第1方式至第5方式中的任一个方式，所述信息处理装置还具备异常检测部，所述异常检测部对所述信息处理装置中的异常进行检测，并且输出第2监视日志，所述第2监视日志示出所述信息处理装置中的异常的检测结果，所述第1监视部，还对所述异常检测部的完整性进行验证，所述异常检测部，在所述信息处理装置的内部的处理的完整性有异常的情况下，保持所述第2监视日志。

通过本方式，例如即使在发送部发生了异常的情况下，也能够保全第2监视日志。

此外也可以是如下的构成，在本公开的第7方式所涉及的信息处理装置中，根据第1方式至第6方式中的任一个方式，所述第1监视部对所述发送部的完整性进行验证。

通过本方式，能够检测到信息处理装置的发送部发生了异常。

在本公开的第8方式所涉及的信息处理装置的控制方法中，所述信息处理装置具备：发送部，能够与外部装置进行通信，将所述信息处理装置中生成的监视日志发送给所述外部装置；第1监视部，对所述信息处理装置的内部的处理的完整性进行验证；以及第2监视部，对所述第1监视部的完整性进行验证，所述控制方法包括：所述第2监视部将心跳信号反复输出给所述发送部的步骤；每当所述心跳信号从所述第2监视部被输出时，所述发送部就将该心跳信号发送给所述外部装置的步骤；在所述信息处理装置的内部的处理的完整性有异常的情况下，所述第1监视部向所述第2监视部输出停止输出请求信号的步骤，所述停止输出请求信号是请求所述第2监视部停止所述心跳信号的输出、或输出不正当的心跳信号的信号；以及所述第2监视部根据所述停止输出请求信号，停止所述心跳信号的输出、或输出所述不正当的心跳信号的步骤。

通过本方式，第1监视部在信息处理装置的内部的处理(例如，发送部)的完整性有异常的情况下，将停止输出请求信号输出给第2监视部。据此，外部装置在来自信息处理装置的心跳信号的接收被中断的情况下，或者接收了来自信息处理装置的不正当的心跳信号的情况下，例如能够检测到信息处理装置的发送部发生了异常。

此外也可以是如下的构成，在本公开的第9方式所涉及的信息处理装置的控制方法中，根据第8方式，所述第1监视部对所述发送部的完整性进行验证。

通过本方式，能够检测到信息处理装置的发送部发生了异常。

本公开的第10方式所涉及的程序是用于使计算机执行第8方式或第9方式所涉及的信息处理装置的控制方法的程序。

本公开的第11方式所涉及的信息处理装置具备：发送部，能够与外部装置进行通信，将所述信息处理装置中生成的监视日志发送给所述外部装置；第1监视部，对所述信息处理装置的内部的处理的完整性进行验证；以及第2监视部，每当被启动时，执行如下处理中的至少一方，所述处理是指所述第1监视部的完整性的验证以及向所述发送部的心跳信号的输出，所述发送部，每当所述心跳信号从所述第2监视部被输出时，就将该心跳信号发送给所述外部装置，所述第2监视部在所述第1监视部的完整性有异常的情况下，停止所述心跳信号的输出、或输出不正当的心跳信号。

通过本方式，第2监视部例如以规定的定时反复被启动。据此，外部装置在来自信息处理装置的心跳信号的接收被中断的情况下，或者接收了来自信息处理装置的不正当的心跳信号的情况下，能够检测到信息处理装置发生了异常。并且，第2监视部在第1监视部的完整性有异常的情况下，停止心跳信号的输出、或输出不正当的心跳信号。据此，外部装置在来自信息处理装置的心跳信号的接收被中断的情况下，或者接收了来自信息处理装置的不正当的心跳信号的情况下，能够检测到信息处理装置发生了异常。

此外也可以是如下的构成，在本公开的第12方式所涉及的信息处理装置中，根据第11方式，所述第1监视部对所述发送部的完整性进行验证。

通过本方式，能够检测到信息处理装置的发送部发生了异常。

另外，这些概括性的或具体的方式，可以由系统、方法、集成电路、计算机程序或者计算机可读的CD-ROM等记录介质来实现，也可以由系统、方法、集成电路、计算机程序以及记录介质的任意的组合来实现。

以下参考附图对实施方式具体地进行说明。

另外，以下将要说明的实施方式均为概括性的或具体的例子。以下的实施方式所示的数值、形状、材料、构成要素、构成要素的配置位置以及连接形态、步骤、步骤的顺序等均为一个例子，其主旨并非是对本公开进行限定。并且，对于以下的实施方式的构成要素中没有记载在最上位概念的独立技术方案的构成要素，作为任意的构成要素来说明。

(实施方式1)

[1.信息处理装置的概要]

首先，参照图1对实施方式1所涉及的信息处理装置2的概要进行说明。图1是示出实施方式1所涉及的信息处理装置2的概要的图。

信息处理装置2例如作为机动车等车辆上搭载的ECU(Electronic Control Unit：电子控制单元)来适用。信息处理装置2在该信息处理装置2中的各种计算机程序(以下仅称为“程序”)启动后，执行该各种程序的连续完整性验证(RI)。这里“完整性”是指，对信息处理装置2的各种程序没有进行不正当篡改等的状态。并且，“完整性有异常”是指，对信息处理装置2的各种程序进行了不正当篡改等，各种程序处于有异常的状态。

如图1所示，信息处理装置2以通常区域4(第1程序区的一个例子)和坚固区域6(第2程序区的一个例子)虚拟地分离的状态而被构筑。通常区域4是用于执行不安全的操作系统以及应用的执行环境。坚固区域6是用于执行安全的操作系统以及应用的执行环境，坚固区域6是与通常区域4分离的。即坚固区域6的安全级别比通常区域4高。例如，从通常区域4向坚固区域6的接入，由于构成信息处理装置2的处理器等的功能而受到限制。

另外，通常区域4具有用户空间8和内核空间10。用户空间8是应用所使用的存储区域。内核空间10是内核所使用的存储区域。

此外，信息处理装置2具备监视RoT(Root of TrustL：信任根)部12(第2监视部的一个例子)、HIDS(Host-based Intrusion Detection System：基于主机型入侵检测系统)监视部14(第1监视部的一个例子)、多个HIDS16、18、20、22(分别为异常检测部的一个例子)、日志发送部24(发送部的一个例子)。在信息处理装置2中，以监视RoT部12作为信赖的基点，执行各种程序的连续完整性验证(RI)。监视RoT部12、HIDS监视部14、多个HIDS16、18、20、22以及日志发送部24以经由总线26能够彼此通信的方式来连接。

另外，监视RoT部12、HIDS监视部14、多个HIDS16、18、20、22以及日志发送部24的每一个例如由CPU(Central Processing Unit：中央处理器)或处理器等程序执行部读出并执行记录在存储器中的程序来实现。

监视RoT部12在坚固区域6中工作。监视RoT部12通过对HIDS监视部14进行监视，从而对HIDS监视部14的完整性进行验证。监视RoT部12在验证为HIDS监视部14的完整性有异常时，将示出HIDS监视部14的完整性的验证结果的监视日志，经由总线26输出给日志发送部24。

此外，监视RoT部12例如以规定的周期(或规定的定时)将心跳信号经由总线26反复地输出给日志发送部24。心跳信号是指存活(keep-alive)信号，该存活信号示出由监视RoT部12、HIDS监视部14以及日志发送部24构成的连续完整性验证(RI)功能正常地工作。并且，监视RoT部12根据来自HIDS监视部14的停止输出请求信号(后述)，停止心跳信号的输出。

另外，在本实施方式中是由监视RoT部12根据来自HIDS监视部14的停止输出请求信号来停止心跳信号的输出，但是不限于此，也可以输出不正当的心跳信号。这里不正当的心跳信号是指，没有被赋予由签名生成部34(后述)生成的正规的签名的心跳信号、或代替正规的签名被赋予了虚拟数据的心跳信号。

HIDS监视部14在通常区域4的内核空间10中工作。HIDS监视部14通过对信息处理装置2的内部的处理进行监视，从而对信息处理装置2的内部的处理的完整性进行验证。具体而言，HIDS监视部14对多个HIDS16、18、20、22以及日志发送部24各自进行监视，从而对多个HIDS16、18、20、22以及日志发送部24各自的完整性进行验证。HIDS监视部14在检测到多个HIDS16、18、20、22中的至少一个的完整性有异常时，将示出多个HIDS16、18、20、22中的至少一个的完整性的验证结果的监视日志，经由总线26输出给日志发送部24。

此外，HIDS监视部14在检测到日志发送部24的完整性有异常时，将示出日志发送部24的完整性的验证结果的监视日志(第1监视日志的一个例子)，经由总线26输出给日志发送部24。并且，HIDS监视部14在检测到日志发送部24的完整性有异常的情况下，将停止输出请求信号经由总线26输出给监视RoT部12，该停止输出请求信号是用于请求监视RoT部12停止心跳信号的输出的信号。

另外，在本实施方式中是HIDS监视部14对多个HIDS16、18、20、22以及日志发送部24各自进行监视，但是不限于此，也可以对除了多个HIDS16、18、20、22以及日志发送部24以外的其他的构成进行监视。并且，在本实施方式中是HIDS监视部14对监视RoT部12输出了用于请求停止心跳信号的输出的停止输出请求信号，但是不限于此，也可以对监视RoT部12输出用于请求输出不正当的心跳信号的停止输出请求信号。

多个HIDS16、18、20、22的每一个在通常区域4中工作。更具体而言，HIDS16、18在通常区域4的内核空间10中工作，HIDS20、22在通常区域4的用户空间8中工作。多个HIDS16、18、20、22的每一个对信息处理装置2中的各种程序进行监视。多个HIDS16、18、20、22的每一个在检测到信息处理装置2中的异常(例如程序的不正当的动作等)时，将示出信息处理装置2中的异常的检测结果的监视日志(第2监视日志的一个例子)，经由总线26输出给日志发送部24。

日志发送部24能够经由网络与搭载有信息处理装置2的车辆的外部的SOC(Security Operation Center)28(外部装置的一个例子)，例如以无线来进行通信。具体而言，日志发送部24将分别从监视RoT部12、HIDS监视部14以及多个HIDS16、18、20、22输出的监视日志，经由网络发送给SOC28。据此，SOC28通过对从信息处理装置2接收的监视日志进行分析，从而能够检测在信息处理装置2中发生了异常。

此外，日志发送部24在每当心跳信号从监视RoT部12被输出时，就将该心跳信号经由网络发送(传送)给SOC28。即日志发送部24以上述规定的周期(或上述规定的定时)，将来自监视RoT部12的心跳信号反复发送给SOC28。据此，SOC28在接收到来自信息处理装置2的心跳信号的情况下，能够确认到信息处理装置2的连续完整性验证(RI)功能正常地工作。并且，SOC28在接收了该心跳信号之后一定时间以上没有接收到下一个心跳信号的情况下，能够检测到信息处理装置2的日志发送部24发生了异常(例如程序被不正当篡改等)。

另外，在监视RoT部12根据停止输出请求信号来输出不正当的心跳信号的情况下，也可以是如下的构成。SOC28在接收了不正当的心跳信号的情况下，通过该不正当的心跳信号没有被赋予正规的签名、或者该不正当的心跳信号的签名验证失败，从而检测到信息处理装置2的日志发送部24发生了异常。

[2.监视RoT部的功能构成]

接下来参照图2对实施方式1所涉及的监视RoT部12的功能构成进行说明。图2是示出实施方式1所涉及的监视RoT部12的功能构成的方框图。

如图2所示，监视RoT部12具有作为功能构成的HIDS监视部验证部30、监视日志输出部32、签名生成部34、心跳信号生成部36、心跳信号输出部38、以及停止请求接受部40。

HIDS监视部验证部30对HIDS监视部14的完整性进行验证，并将验证结果输出给监视日志输出部32。

监视日志输出部32在由HIDS监视部验证部30验证为HIDS监视部14的完整性有异常的情况下，根据来自HIDS监视部验证部30的验证结果，来生成示出HIDS监视部14的完整性有异常的监视日志。监视日志输出部32将生成的监视日志输出给日志发送部24。

签名生成部34生成签名，并且将生成的签名输出给心跳信号生成部36。这里的签名是指，为了对由心跳信号生成部36生成的心跳信号的正当性进行认证，而赋予给该心跳信号的数字签名。

心跳信号生成部36以上述规定的周期(或上述规定的定时)，生成被赋予了时间戳和由签名生成部34生成的签名的心跳信号。心跳信号生成部36将生成的心跳信号输出给心跳信号输出部38。

心跳信号输出部38在每当由心跳信号生成部36生成心跳信号时，将生成的心跳信号输出给日志发送部24。即心跳信号输出部38以上述规定的周期(或上述规定的定时)，将由心跳信号生成部36生成的心跳信号反复输出给日志发送部24。

停止请求接受部40通过接收来自HIDS监视部14的停止输出请求信号，从而接受HIDS监视部14发出的停止心跳信号的输出的停止请求。停止请求接受部40在接收了来自HIDS监视部14的停止输出请求信号的情况下，对心跳信号生成部36发出指示从而停止心跳信号的生成。据此，心跳信号生成部36根据来自停止请求接受部40的指示，停止心跳信号的生成。因此心跳信号输出部38停止心跳信号的输出。

另外，在本实施方式中是停止请求接受部40在接收了来自HIDS监视部14的停止输出请求信号的情况下，对心跳信号生成部36指示了停止心跳信号的生成，但是不限于此。例如也可以是停止请求接受部40在接收了来自HIDS监视部14的停止输出请求信号的情况下，直接对心跳信号输出部38指示停止心跳信号的输出。

[3.HIDS监视部的功能结构]

接下来参照图3对实施方式1所涉及的HIDS监视部14的功能结构进行说明。图3是示出实施方式1所涉及的HIDS监视部14的功能构成的方框图。

如图3所示，HIDS监视部14具有作为功能构成的HIDS验证部42、日志发送部验证部44、监视日志输出部46、以及停止请求部48。

HIDS验证部42对多个HIDS16、18、20、22各自的完整性进行验证，并将验证结果输出给监视日志输出部46。

日志发送部验证部44对日志发送部24的完整性进行验证，并将验证结果输出给监视日志输出部46。

监视日志输出部46在由HIDS验证部42验证为多个HIDS16、18、20、22中的至少一个的完整性有异常的情况下，根据来自HIDS验证部42的验证结果，来生成示出多个HIDS16、18、20、22中的至少一个的完整性有异常的监视日志。监视日志输出部46将生成的监视日志输出给日志发送部24。

此外，监视日志输出部46在由日志发送部验证部44验证为日志发送部24的完整性有异常的情况下，根据来自日志发送部验证部44的验证结果，来生成示出日志发送部24的完整性有异常的监视日志。监视日志输出部46将生成的监视日志输出给日志发送部24。

停止请求部48在由日志发送部验证部44验证为日志发送部24的完整性有异常的情况下，根据来自日志发送部验证部44的验证结果，向监视RoT部12输出停止输出请求信号，该停止输出请求信号是用于请求监视RoT部12停止心跳信号的输出的信号。

[4.信息处理装置的工作]

[4-1.监视RoT部的工作]

参照图4对实施方式1所涉及的监视RoT部12的工作进行说明。图4是示出实施方式1所涉及的监视RoT部12的工作的流程的流程图。

首先，对停止请求接受部40没有接收停止输出请求信号的情况下的监视RoT部12的工作进行说明。如图4所示，在信息处理装置2启动时(S101)，HIDS监视部验证部30设置用于测量规定的时间(例如10秒)的计时器(S102)。在计时器成为超时的情况下(S103中的“超时”)，HIDS监视部验证部30对HIDS监视部14的完整性进行验证(S104)。

在由HIDS监视部验证部30验证为HIDS监视部14的完整性没有异常(即HIDS监视部14为正常)的情况下(S105中的“是”)，监视日志输出部32不输出监视日志，而进入步骤S107。

相反，在由HIDS监视部验证部30验证为HIDS监视部14的完整性有异常(即HIDS监视部14为不正常)的情况下(S105中的“否”)，监视日志输出部32根据HIDS监视部验证部30的验证结果来输出监视日志(S106)，并进入步骤S107。

在步骤S105或S106之后，由于停止请求接受部40还没有接收到停止输出请求信号(S107中的“否”)，因此心跳信号生成部36生成心跳信号(S108)。接着心跳信号输出部38将由心跳信号生成部36生成的心跳信号输出给日志发送部24(S109)。

在信息处理装置2继续运行的情况下(S110中的“是”)，返回步骤S102。相反，在信息处理装置2结束运行的情况下(S110“否”)，结束图4的流程图。

接下来对停止请求接受部40接收了停止输出请求信号的情况下的监视RoT部12的工作进行说明。如图4所示，与上述同样地执行步骤S101以及S102。在步骤S102之后，在停止请求接受部40接收到停止输出请求信号的情况下(在S103中的“接收停止输出请求信号”)，停止请求接受部40向心跳信号生成部36指示停止心跳信号的生成(S111)。

之后返回步骤S103，在计时器成为超时的情况下(S103中的“超时”)，与上述同样地执行步骤S104～S106。在步骤S105或S106之后，由于停止请求接受部40已经接收了停止输出请求信号(S107中的“是”)，心跳信号生成部36根据停止请求接受部40的指示，停止心跳信号的生成(S112)。之后进入步骤S110。

[4-2.HIDS监视部的工作]

下面参照图5对实施方式1所涉及的HIDS监视部14的工作进行说明。图5是示出实施方式1所涉及的HIDS监视部14的工作的流程的流程图。

如图5所示，在信息处理装置2启动时(S201)，HIDS验证部42以及日志发送部验证部44分别设置用于测量规定的时间(例如10秒)的计时器(S202)。在计时器成为超时的情况下(S203)，HIDS验证部42对多个HIDS16、18、20、22的每一个的完整性进行验证，日志发送部验证部44对日志发送部24的完整性进行验证(S204)。

在多个HIDS16、18、20、22以及日志发送部24各自的完整性没有异常的情况下(S205中的“否”)，返回步骤S202。相反，多个HIDS16、18、20、22以及日志发送部24中的至少一个的完整性有异常的情况下(S205中的“是”)，监视日志输出部46将监视日志输出给日志发送部24(S206)。

在多个HIDS16、18、20、22以及日志发送部24中的至少一个的完整性有异常的情况并且日志发送部24的完整性有异常(即日志发送部24为不正常)的情况下(S207中的“是”)，停止请求部48根据来自日志发送部验证部44的验证结果，将停止输出请求信号输出给监视RoT部12(S208)。

在信息处理装置2继续运行的情况下(S209中的“是”)，返回步骤S202。相反，在信息处理装置2结束运行的情况下(S209中的“否”)，结束图5的流程图。

返回步骤S207，在多个HIDS16、18、20、22以及日志发送部24的至少一个的完整性有异常的情况并且日志发送部24的完整性没有异常的(即日志发送部24为正常，但是多个HIDS16、18、20、22中的任一个为不正常)情况下(S207中的“否”)，停止请求部48就不向监视RoT部12输出停止输出请求信号，而进入步骤S209。

[5.效果]

在本实施方式中，如上所述在日志发送部24的完整性没有异常的情况下，日志发送部24将来自监视RoT部12的心跳信号反复发送给SOC28。据此，SOC28在从信息处理装置2不间断地接收心跳信号的期间，能够识别信息处理装置2的日志发送部24为正常。

相反，在日志发送部24的完整性有异常的情况下，监视RoT部12停止心跳信号的输出。随之日志发送部24停止向SOC28发送心跳信号。据此，SOC28由于来自信息处理装置2的心跳信号的接收被中断，因此能够检测到信息处理装置2的日志发送部24发生了异常。

此外，如上所述日志发送部24发送的心跳信号由监视RoT部12被赋予签名。据此，SOC28通过确认所接收的心跳信号被赋予了签名，从而能够识别信息处理装置2的日志发送部24为正常。

假设日志发送部24受到不正当的程序的攻击等而发生了异常的情况下，不正当的程序有可能冒充日志发送部24不正当地生成心跳信号并发送给SOC28。然而在这种情况下，不正当的程序生成的心跳信号没有被赋予由监视RoT部12生成的签名。因此，SOC28通过确认所接收的心跳信号没有被赋予签名，从而能够检测到信息处理装置2的日志发送部24发生了异常。

[6.各种变形例]

[6-1.变形例1]

在本实施方式中是HIDS监视部14的监视日志输出部46在由日志发送部验证部44验证为日志发送部24的完整性有异常的情况下，向日志发送部24输出了示出日志发送部24的完整性有异常的监视日志，但是也可以是例如下述。

即监视日志输出部46在由日志发送部验证部44验证为日志发送部24的完整性有异常的情况下，可以将赋予签名请求信号输出给监视RoT部12。赋予签名请求信号是用于请求监视RoT部12向示出日志发送部24的完整性的验证结果的监视日志赋予签名的信号。

在这种情况下，在监视RoT部12的HIDS监视部验证部30确认到HIDS监视部14的完整性没有异常之后，监视RoT部12的签名生成部34根据来自HIDS监视部14的赋予签名请求信号，向上述监视日志赋予签名。而且，签名生成部34将已被赋予签名的监视日志，输出给HIDS监视部14的监视日志输出部46。

监视RoT部12的签名生成部34，根据来自HIDS监视部14的赋予签名请求信号，向HIDS监视部14的监视日志输出部46输出的监视日志也进行签名的赋予，监视日志输出部46将由签名生成部34被赋予了签名的监视日志，例如保持(存储)在非易失性存储器等存储器。据此，在由日志发送部验证部44验证为日志发送部24的完整性有异常的情况下，能够保全示出日志发送部24的完整性有异常的监视日志，能够在之后由安全担当者等从存储器读出监视日志，在针对发生了异常的日志发送部24进行分析时使用。

进一步，作为HIDS监视部14的监视日志输出部46输出的上述的监视日志，不仅包括示出针对日志发送部24的监视日志，还可以包括示出多个HIDS16、18、20、22各自的完整性有异常的监视日志。据此，不仅能够对发生了异常的日志发送部24进行分析，而且能够对发生了异常的多个HIDS16、18、20、22进行分析。

[6-2.变形例2]

在本实施方式中是监视RoT部12的心跳信号生成部36在停止请求接受部40接收了来自HIDS监视部14的停止输出请求信号的情况下，停止了心跳信号的生成，但是也可以是例如下述。

即也可以是心跳信号生成部36在由HIDS监视部验证部30验证为HIDS监视部14的完整性有异常的情况下，根据来自HIDS监视部验证部30的验证结果来停止心跳信号的生成。随之心跳信号输出部38停止心跳信号的输出。

据此，SOC28由于来自信息处理装置2的心跳信号的接收被中断，因此能够检测到信息处理装置2的日志发送部24以及HIDS监视部14的至少一方发生了异常。

另外，也可以是监视RoT部12的监视日志输出部32根据来自HIDS监视部验证部30的验证结果，生成示出HIDS监视部14的完整性有异常的监视日志，并将生成的监视日志保持在例如非易失性存储器等存储器。

此外，代替上述的构成也可以是如下的构成，心跳信号生成部36在由HIDS监视部验证部30验证为HIDS监视部14的完整性有异常的情况下，根据来自HIDS监视部验证部30的验证结果，来生成不正当的心跳信号。随之心跳信号输出部38输出该不正当的心跳信号。

[6-3.变形例3]

在本实施方式中是HIDS监视部14的停止请求部48在由日志发送部验证部44验证为日志发送部24的完整性有异常的情况下，向监视RoT部12输出了停止输出请求信号，但是也可以是例如下述。

即也可以是停止请求部48在输出了停止输出请求信号之后，由日志发送部验证部44验证为日志发送部24的完整性的异常被消除的情况下，根据日志发送部验证部44的验证结果，将重新开始输出请求信号输出给监视RoT部12。重新开始输出请求信号是用于请求监视RoT部12重新开始心跳信号的输出的信号。监视RoT部12的心跳信号生成部36根据来自HIDS监视部14的重新开始输出请求信号，来重新开始心跳信号的生成。随之心跳信号输出部38重新开始心跳信号的输出。

据此，SOC28在重新开始来自信息处理装置2的心跳信号的接收的情况下，能够识别信息处理装置2的日志发送部24已经修复。

[6-4.变形例4]

在本实施方式中是多个HIDS16、18、20、22的每一个在检测到信息处理装置2中的异常时，向日志发送部24输出了示出信息处理装置2中的异常的检测结果的监视日志，但是也可以是例如下述。

即也可以是多个HIDS16、18、20、22的每一个在日志发送部24的完整性没有异常的情况下，将监视日志发送给日志发送部24，在日志发送部24的完整性有异常的情况下，将监视日志保持在例如非易失性存储器等存储器。或者多个HIDS16、18、20、22的每一个在日志发送部24的完整性没有异常的情况下，将监视日志发送给日志发送部24并且保持在存储器，在日志发送部24的完整性有异常的情况下，停止向日志发送部24发送监视日志并且将监视日志保持在存储器。据此，即使在日志发送部24发生了异常的情况下，也能够保全由多个HIDS16、18、20、22的每一个生成的监视日志。

另外也可以由多个HIDS16、18、20、22的每一个接收来自监视RoT部12的心跳信号。据此，多个HIDS16、18、20、22的每一个通过来自监视RoT部12的心跳信号的接收被中断，从而能够识别日志发送部24的完整性有异常。

或者，在由监视RoT部12的HIDS监视部验证部30验证为日志发送部24的完整性有异常的情况下，将这种情况通知给多个HIDS16、18、20、22的每一个。从而，多个HIDS16、18、20、22的每一个根据来自监视RoT部12的通知，能够识别日志发送部24的完整性有异常。

[6-5.变形例5]

在本实施方式中多个HIDS16、18、20、22与日志发送部24是分别构成的，但是不限于此，日志发送部24可以具有作为HIDS的功能。

此外，在本实施方式中，作为异常检测部采用了主机型的IDS(HIDS)，但是不限于此，也可以采用例如网络型的IDS(NIDS：Network-based Intrusion Detection System，基于网络的入侵检测系统)等。

此外，在本实施方式中监视RoT部12在坚固区域6工作，但是不限于此，例如可以在被安装了难读化等软件防篡改的通常区域工作，以代替坚固区域6。

(实施方式2)

参照图6对实施方式2所涉及的信息处理装置2A的概要进行说明。图6是示出实施方式2所涉及的信息处理装置2A的概要的图。另外，在本实施方式中，针对与上述的实施方式1相同的构成要素赋予相同的符号并且省略说明。

如图6所示，在实施方式2所涉及的信息处理装置2A中，除上述实施方式1所说明的构成要素之外，还具备监视RoT部启动部50(监视启动部的一个例子)。监视RoT部启动部50在通常区域4的内核空间10进行工作，以规定的定时反复启动监视RoT部12。作为上述的规定的定时，可以是预先决定的规定的周期，或者也可以在监视RoT部启动部50每当启动监视RoT部12时，决定下一次的启动定时。

监视RoT部12每当由监视RoT部启动部50而被启动时，执行HIDS监视部14的完整性的验证、以及向日志发送部24的心跳信号的输出。此外，监视RoT部12在HIDS监视部14的完整性有异常的情况下，停止心跳信号的输出。另外，监视RoT部12每当由监视RoT部启动部50而被启动时，也可以仅执行HIDS监视部14的完整性的验证以及向日志发送部24的心跳信号的输出的任一方。

在本实施方式中能够获得如下的效果。假设在监视RoT部启动部50被不正当的程序攻击等发生了异常的情况下，监视RoT部12就不能定期地启动。随之日志发送部24停止向SOC28发送心跳信号。据此，由于来自信息处理装置2A的心跳信号的接收被中断，因此SOC28能够检测到信息处理装置2A发生了异常。

此外，如上所述监视RoT部12在HIDS监视部14的完整性有异常的情况下，停止心跳信号的输出。据此，由于来自信息处理装置2A的心跳信号的接收被中断，因此SOC28能够检测到信息处理装置2A发生了异常。

(其他的变形例等)

以上关于1个或者多个方式所涉及的信息处理装置以及信息处理装置的控制方法，根据上述各实施方式进行了说明，但是本公开并非被上述各实施方式所限定。在不超出本公开的主旨的范围内，将本领域技术人员所能够想到的各种变形执行于各实施方式而得到的方式、对不同的实施方式中的构成要素进行组合而构筑的方式均可以包括在本公开的一个或多个方式的范围内。

在上述各实施方式中，监视日志输出部32输出了示出HIDS监视部14的完整性有异常的监视日志，但是不限于此，也可以输出示出HIDS监视部14的完整性没有异常的监视日志。

此外，在上述各实施方式中，监视日志输出部46输出了示出多个HIDS16、18、20、22中的至少一个的完整性有异常的监视日志，但是不限于此，也可以输出多个HIDS16、18、20、22的每一个的完整性没有异常的监视日志。

此外，在上述各实施方式中，监视日志输出部46输出了示出日志发送部24的完整性有异常的监视日志，但是不限于此，也可以输出示出日志发送部24的完整性没有异常的监视日志。

另外，在上述各实施方式中，各个构成要素可以由专用的硬件构成，或者由执行适合各个构成要素的计算机程序来实现。各个构成要素也可以由CPU或者处理器等程序执行部读出并执行在硬盘或者半导体存储器等记录介质中记录的计算机程序来实现。

此外，上述各实施方式所涉及的信息处理装置2、2A的功能的一部分或全部，也可以由CPU等处理器执行计算机程序来实现。

构成上述各装置的构成要素的一部分或者全部，也可以由能够在各装置进行装拆的IC卡或单体的模块构成。上述IC卡或上述模块是由微处理机、ROM、RAM等构成的计算机系统。上述IC卡或上述模块，也可以包括上述的超多功能LSI。微处理机按照计算机程序来运行，从而上述IC卡或上述模块达成其功能。该IC卡或者该模块也可以具有防篡改性。

本公开可以是上述所示的方法。并且也可以是将这些方法由计算机实现的计算机程序，或者也可以是包括上述计算机程序的数字信号。并且本公开也可以是将上述计算机程序或者上述数字信号记录在计算机可读的非暂时性的记录介质，例如软磁盘、硬盘、CD-ROM、MO、DVD、DVD-ROM、DVD-RAM、BD(Blu-ray(注册商标)Disc)、半导体存储器等。并且，也可以是记录在这些记录介质中的上述数字信号。并且，本公开也可以是将上述计算机程序或上述数字信号，经由电通信线路、无线或有线通信线路、以因特网为代表的网络、数据广播等来传输。并且本公开也可以是具备微处理机和存储器的计算机系统，上述存储器存储有上述计算机程序，上述微处理机按照上述计算机程序来运行。并且也可以是通过将上述计算机程序或上述数字信号记录在上述记录介质并移送，或者将上述计算机程序或上述数字信号经由上述网络等移送，从而由独立的其他的计算机系统来实施。

本公开能够适用于例如用于在车载网络中执行各种程序的连续完整性验证的信息处理装置等。

符号说明

2,2A 信息处理装置

4 通常区域

6 坚固区域

8 用户空间

10 内核空间

12 监视RoT部

14 HIDS监视部

16、18、20、22 HIDS

24 日志发送部

26 总线

28 SOC

30 HIDS监视部验证部

32,46 监视日志输出部

34 签名生成部

36 心跳信号生成部

38 心跳信号输出部

40 停止请求接受部

42 HIDS验证部

44 日志发送部验证部

48 停止请求部

50 监视RoT部启动部

Claims (12)

1.一种信息处理装置，

所述信息处理装置具备：

发送部，能够与外部装置进行通信，将所述信息处理装置中生成的监视日志发送给所述外部装置；

第1监视部，对所述信息处理装置的内部的处理的完整性进行验证；以及

第2监视部，对所述第1监视部的完整性进行验证，并且将心跳信号反复输出给所述发送部，

所述发送部，每当所述心跳信号从所述第2监视部被输出时，就将该心跳信号发送给所述外部装置，

所述第1监视部，在所述信息处理装置的内部的处理的完整性有异常的情况下，将停止输出请求信号输出给所述第2监视部，所述停止输出请求信号是用于请求所述第2监视部停止所述心跳信号的输出、或输出不正当的心跳信号的信号，

所述第2监视部，根据所述停止输出请求信号，停止所述心跳信号的输出、或输出所述不正当的心跳信号。

2.如权利要求1所述的信息处理装置，

所述信息处理装置还具备第1程序区和第2程序区，

所述第1程序区是分别由所述发送部以及所述第1监视部来执行的区域，

所述第2程序区是由所述第2监视部来执行的区域，所述第2程序区的安全级别比所述第1程序区高。

3.如权利要求1或2所述的信息处理装置，

所述第1监视部输出第1监视日志，所述第1监视日志示出所述信息处理装置的内部的处理的完整性的验证结果，在所述信息处理装置的内部的处理的完整性有异常的情况下，向所述第2监视部输出赋予签名请求信号，该赋予签名请求信号是请求所述第2监视部向所述第1监视日志赋予签名的信号，

所述第2监视部，根据所述赋予签名请求信号，向所述第1监视日志赋予签名，

所述第1监视部，保持由所述第2监视部赋予了签名的所述第1监视日志。

4.如权利要求1或2所述的信息处理装置，

所述第2监视部，在所述第1监视部的完整性有异常的情况下，停止所述心跳信号的输出、或输出所述不正当的心跳信号。

5.如权利要求1或2所述的信息处理装置，

所述第1监视部，在输出了所述停止输出请求信号之后，由所述第1监视部检测出的完整性的异常被消除的情况下，向所述第2监视部输出重新开始输出请求信号，该重新开始输出请求信号是用于请求所述第2监视部重新开始所述心跳信号的输出的信号，

所述第2监视部，根据所述重新开始输出请求信号，重新开始所述心跳信号的输出。

6.如权利要求1或2所述的信息处理装置，

所述信息处理装置还具备异常检测部，所述异常检测部对所述信息处理装置中的异常进行检测，并且输出第2监视日志，所述第2监视日志示出所述信息处理装置中的异常的检测结果，

所述第1监视部，还对所述异常检测部的完整性进行验证，

所述异常检测部，在所述信息处理装置的内部的处理的完整性有异常的情况下，保持所述第2监视日志。

7.如权利要求1所述的信息处理装置，

所述第1监视部，对所述发送部的完整性进行验证。

8.一种信息处理装置的控制方法，

所述信息处理装置具备：

发送部，能够与外部装置进行通信，将所述信息处理装置中生成的监视日志发送给所述外部装置；

第1监视部，对所述信息处理装置的内部的处理的完整性进行验证；以及

第2监视部，对所述第1监视部的完整性进行验证，

所述控制方法包括：

所述第2监视部将心跳信号反复输出给所述发送部的步骤；

每当所述心跳信号从所述第2监视部被输出时，所述发送部就将该心跳信号发送给所述外部装置的步骤；

在所述信息处理装置的内部的处理的完整性有异常的情况下，所述第1监视部向所述第2监视部输出停止输出请求信号的步骤，所述停止输出请求信号是请求所述第2监视部停止所述心跳信号的输出、或输出不正当的心跳信号的信号；以及

所述第2监视部根据所述停止输出请求信号，停止所述心跳信号的输出、或输出所述不正当的心跳信号的步骤。

9.如权利要求8所述的信息处理装置的控制方法，

所述第1监视部，对所述发送部的完整性进行验证。

10.一种程序，是用于使计算机执行权利要求8或9所述的信息处理装置的控制方法的程序。

11.一种信息处理装置，

所述信息处理装置具备：

发送部，能够与外部装置进行通信，将所述信息处理装置中生成的监视日志发送给所述外部装置；

第1监视部，对所述信息处理装置的内部的处理的完整性进行验证；以及

第2监视部，每当被启动时，执行如下处理中的至少一方，所述处理是指所述第1监视部的完整性的验证以及向所述发送部的心跳信号的输出，

所述发送部，每当所述心跳信号从所述第2监视部被输出时，就将该心跳信号发送给所述外部装置，

所述第2监视部，在所述第1监视部的完整性有异常的情况下，停止所述心跳信号的输出、或输出不正当的心跳信号。

12.如权利要求11所述的信息处理装置，

所述第1监视部，对所述发送部的完整性进行验证。