JP2015069403A - プログラム実行制御システム - Google Patents

Abstract

【課題】 本発明ではプログラムの実行可否を規定したプログラム情報を改ざんされた場合でも、出荷時にプリインストールされたプログラムの利用を可能としユーザの利便性を確保することを目的としている。【解決手段】プログラムとプログラムの実行条件を保持するプログラム情報を格納した読み出し専用の記憶領域である第一の記憶領域と、プログラムとプログラムの実行条件を保持するプログラム情報を格納した書き換え可能な記憶領域である第二の記憶領域と、プログラム情報が改竄されているかどうかを判断する改竄検出部とプログラムの起動指示を受け、前記改竄検出部により起動指示を受けたプログラムに対応する第二の記憶領域のプログラム情報が改竄されていると判断されたとき、第一の記憶領域に格納された前記プログラムに対応するプログラム情報に基づいてプログラムを起動する制御部とを備える。【選択図】 図１

Description

本発明は、車載情報処理装置で実行されるプログラムの実行制御に関する。

背景技術として、特開２０１２−２０８０５３号公報（特許文献１）がある。特許文献１には、「アプリ情報と携帯端末が保持するアプリと車載端末からの車両情報とを照合し、アプリの実行可否を判断する」ことが記載されている。

特開２０１２−２０８０５３号公報

特許文献１では、車両が走行中であっても、アプリケーション毎にサーバから受け取ったアプリケーションの使用可否情報を用いてアプリケーションの実行可否を制御する機能を開示している。しかし、車両走行中は通信環境が不安定であり通信が困難な地域でのプログラムの利用も考えられる。そのため、走行中のプログラム毎の実行可否などを規定したプログラム情報を情報処理装置に保持する必要がある。

この場合、情報処理装置に保持したプログラム情報は不正なプログラムや利用者(第3者)により改ざんされる可能性がある。このような改ざんを情報処理装置の改ざん検知手段が検知した際に、情報処理装置のプログラムを全て不正とし、実行不可の対象として走行中の表示・操作を禁止した場合、ナビゲーションや緊急通報など走行中に有用と思われる機能を持ったプログラムでさえも実行できず、利便性を得ることができないという問題があった。

よって、本発明ではプログラムの使用可否を規定したプログラム情報を改ざんされた場合でも、予め定められたプログラムの利用を可能としユーザの利便性を確保することを目的としている。

上記課題を解決するために、例えば特許請求の範囲に記載の構成を採用する。
本願は上記課題を解決する手段を複数含んでいるが、その一例を挙げるならば、「車載情報処理装置のプログラム実行制御システムであって、プログラムとプログラムの実行条件を保持するプログラム情報を格納した読み出し専用の記憶領域である第一の記憶領域と、プログラムとプログラムの実行条件を保持するプログラム情報を格納した書き換え可能な記憶領域である第二の記憶領域と、プログラム情報が改竄されているかどうかを判断する改竄検出部とプログラムの起動指示を受け、前記改竄検出部により起動指示を受けたプログラムに対応する第二の記憶領域のプログラム情報が改竄されていると判断されたとき、第一の記憶領域に格納された前記プログラムに対応するプログラム情報に基づいてプログラムを起動する制御部とを備えること」を特徴とする。

本発明によれば、移動体に搭載された情報処理装置を利用してプログラムを利用する際に、プログラムの使用可否を規定したプログラム情報を改ざんされた場合でも、予め定められたプログラムの利用を可能とし、ユーザの利便性を確保することができる。

実施の形態１における情報処理装置の概略的な構成を示す図である。 実施の形態１におけるプログラム情報１１４の一例である。 実施の形態１における情報処理装置１０１がプログラムをインストールする処理フローを示す図である。 実施の形態１における情報処理装置１０１がプログラムを実行する処理フローを示す図である。 実施の形態２おける情報処理装置の概略的な構成を示す図である。 実施の形態２における情報処理装置１０１がプログラムをインストールする処理フローを示す図である。 実施の形態２における情報処理装置１０１がプログラムを実行する処理フローを示す図である。 プログラム情報ハッシュ値を格納するテーブルの例を示す図である。 プログラムサイズの情報を格納するテーブルの例を示す図である。

以下、第１の実施形態について図面を用いて説明する。

図１に実施形態として説明する情報処理装置１０１の概略的な構成を示している。同図に示すように、情報処理装置１０１は、制御部１０２、車両情報取得部１０５、入力部１０６、表示部１０７、第１記憶部１０８、第２記憶部１０９を含んで構成されている。

制御部１０２はＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）等とメモリを用いて構成されており、情報処理装置１０１を構成しているハードウエアの統括的な制御を行う。メモリは、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＮＶＲＡＭ（Non-Volatile Random-Access Memory）等の高速アクセスが可能な半導体記憶素子を用いて構成されており、制御プログラムを保持・実行する。後述する第１記憶部や第2記憶部に保持されるプログラムも制御部における前記ＲＡＭをワークメモリとして用いることで実行される。

プログラム実行判断手段１０３は、制御部１０２の制御の基で動くプログラムであり、第１記憶部１０８に保持されたプログラム情報１１０と車両情報取得部１０５から取得した走行・停止などの車両情報とを用いて、プログラムの実行（表示・操作）を許可して良いかどうかを判断するように構成されている。

改ざん検出手段１０４はオープンソースプログラムのAIDE(Advanced Intrusion Detection Environment)のような侵入検知システムを用い、改ざん監視の仕組みとして、監視ポリシーに従い、パーミッションやmd5ハッシュなどのセットで、監視対象ファイルやディレクトリに対するチェックを行う。ここでは、プログラム情報１１４のハッシュをプログラムインストール時に生成し、保持し、プログラムの実行時に再度プログラム情報１１４のハッシュを生成し、比較することで、前回のハッシュ生成時から、今回のハッシュ生成時までの間の改ざん有無を検出する。ここでハッシュは与えられた元データを要約した数値に変換する仕組みであり、元データのサイズの大小に関わらず生成されるハッシュ値は固定長であること、また元データが１文字でもことなる場合は異なるハッシュ値になること、論理的に非可逆であることなどの特性を持つ。さらに元データを隠蔽するために非公開の鍵となる情報（数ビットもしくは数文字）を元データに付加してハッシュ値を生成する方法が用いられる。なお、改ざんをチェックするための仕組みとしてはファイル更新日時の比較や、チェックサムなどの方法でも良い。

車両情報取得部１０５は、車両に関する情報（現在位置、速度、加速度、姿勢、機器や装備の状態等に関する情報）を取得するセンサ群（例えば、ＧＰＳセンサ(GPS: Global Positioning System)、加速度センサ、車速センサ（車速パルスを利用するもの等）、ジャイロセンサ、舵角センサ（ステアリング舵角センサ）、車輪回転速度センサ（ＡＢＳセンサ）、タイヤ圧力センサ等）を含む。

入力部１０６は、ユーザ等から指示やデータの入力を受け付けるユーザインタフェースであり、例えば、タッチパネル、テンキー、ボタン、スイッチ、マウス、キーボードである。

表示部１０７は、情報（視覚情報、聴覚情報、触覚情報等）を出力するユーザインタフェースであり、例えば、液晶パネル（LCD:Liquid Crystal Display）、有機ＥＬ（Electro-Luminescence）パネル、プラズマディスプレイ、電子ペーパ等）、スピーカ、ヘッドホン、イヤホン、振動素子、タッチフィードバックである。

第１記憶部１０８は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）であり情報処理装置のシステム領域が保持されている。

第１記憶部１０８に保持されるプログラム１０９は、製品出荷時に予めシステム領域に書き込まれたプログラムであり、プリインストールプログラムと呼ばれる。

プログラム情報１１０はプログラム１０９の個別情報のリストであり、構成要素の例としては、プログラム名、プログラムバージョン、電子署名、利用対象地域、実行条件等について個別に実行可否を記述した情報で構成される。

第２記憶部１１２は不揮発の書き換え可能なメモリ領域であり、大容量の記録媒体（磁気記録媒体、光学式記録媒体等）にデータを格納する装置である。例えば、ハードディスクドライブ、ＳＳＤ、Flash-ROM等であり、ここには情報処理装置の実行時の処理で生成されたデータや、プログラムがインストールされる。

第２記憶部１１２に保持されるプログラム１１３は、情報処理装置１０１の初回起動時に第１記憶部１０８に保持されたプログラム１０９とプログラム情報１１０が実行処理用にコピーされインストールされたものである。更に、出荷後に通信を用いてダウンロードもしくはSDメモリやUSB(Universal Serial Bus)メモリのようなメモリ媒体を経由してプログラムが新規追加もしくは、バージョンアップされたものである。

プログラム情報１１４はプログラム１１３の個別情報のリストであり、構成要素の例としてはプログラム情報１１０と同様である。本プログラム情報１１４はプログラム１１３取得時に付随して取得する情報であり、ここではプログラム１１３をメモリ媒体やＷｅｂサイトから入手する際に更新される。
なお、プログラム情報１１０およびプログラム情報１１４はテキストや、ＸＭＬ（Extensible Markup Language）に代表されるマークアップランゲージや、データベースなどの形で保持される。

上記により、通常用いられるプログラムは第2記憶部１１２に保持され、プログラムの追加や更新により常に最新の状態が維持される。一方で第１記憶部１０８では製品出荷時のプリインストールプログラムとプログラム情報が保持される。

プログラム情報ハッシュ値１１１は、改ざん検出手段１０４にてハッシュ関数を用い、更に前記鍵情報を付加したプログラム情報１１４全体のハッシュ情報から生成される。これは、プログラム情報１１４が書き換え可能なメモリ領域に保持され、プログラム実行時の制限を規定する情報であることから、外部からの不正な書き換えの脅威が比較的高いことが予想されるためである。

なお、情報処理装置１０１の初回起動時の第1記憶部から第2記憶部へのプログラムのコピーはシンボリックリンクと呼ばれるリンク情報だけをコピーし、プログラム実行時は第1記憶部１０８のプログラム１０９からプログラム読み出して実行することで同一プログラムが重複することを防ぎ、記憶用メモリ使用量を削減しても良い。ただし、同一プログラムの更新版をインストールする場合はシンボリックリンクに更新プログラムを上書きし、以降、更新プログラムが実行される。このとき第１記憶部に保持されたプリインストールプログラムはそのまま保持されており、更新プログラムをアンインストールした場合に再度利用される。

また、初回起動時の前記第1記憶部から第2記憶部へプログラムのコピーを行わず、プログラム情報１１０にプログラムへのパスを付加した上でプログラム情報１１４へコピーし、プログラム実行時はプログラム情報１１４に記された前記パスを参照し第1記憶部１０８のプログラム１０９を実行しても良い。この場合、更新プログラムをインストールすると参照するパスを更新プログラムに変更し、更新プログラムが実行されるようにする。

なお、第1記憶部の書き換えは車両メーカーのディーラーで書き換えることが可能であり、プログラムの新規追加や不具合修正等を実施可能である。専用の書き換えプログラムによりユーザによる書き換えを実施しても良い。
図２の表はプログラム情報１１０の１例である。同図に示すように、このプログラム情報１１０は以下の情報で構成される。
２０１１はプログラムの管理No.であり、プログラム情報１１４が管理するプログラムに付与される。
２０１２はプログラムの名称でプログラム名、プログラムが管理するデータを保持する際のフォルダ名として利用される。
２０１３はプログラムのバージョン情報であり、同一プログラムのバージョン番号で示される。
２０１４は電子署名であり、プログラムの身元を保証するために利用され、プログラムの新バージョン.をインストールする場合、インストール済みのプログラムと身元が同じであることを判別するために同一の電子署名が付属される。一般的に電子署名では公開鍵暗号方式とハッシュ関数を組み合わせて生成する。
２０１５は利用対象地域、利用する地域により法規やガイドラインが異なるため実行条件２０１６で規定する内容が対象とする地域を記載する。（例えば日本・米国カリフォルニア州等）
２０１６はプログラムの実行条件である。本図では走行中の表示と操作を対象としており、走行中の表示や操作の可・不可を記載している。なお、実行条件としては他にもシフトレバーがリバース（後進）の場合や、パーキングブレーキのON / OFF などの条件や、車両速度が10km/h未満、10〜40km/h未満、40〜80km/h未満など、ある程度の幅を持った速度を条件としても良い。
続いて、図３を用いて情報処理装置１０１がプログラムのインストール時に実施する処理（以下、プログラムインストール処理Ｓ３００と称する。）について説明する。なお、本実施例ではプログラムインストール時に改ざん検出手段１０４にてプログラム情報１１４のハッシュ値を生成し、保持する。

入力部１０６へのユーザ操作もしくは、プログラムの自動更新によりプログラムのインストール処理が開始されると、制御部１０２は改ざん検出手段１０４を用いて第2記憶部１１２のプログラム情報１１４のハッシュ値を生成し、予め保持していたプログラム情報ハッシュ値１１１と比較する（ステップＳ３０１）。比較したハッシュ値が異なった場合、ユーザにプログラム情報が改ざんされていることを表示部１０７を用いて伝え、終了する（ステップＳ３０２）。比較したハッシュ値が一致した場合、指定されたプログラムをネットワーク経由もしくはＳＤメモリなどの外部媒体から取得する（ステップＳ３０３）。プログラムを取得したら第２記憶部１１２のプログラム１１３に追加し、さらにプログラムに付随して入手したプログラム情報をプログラム情報１１４に追加する（ステップＳ３０４）。次に制御部１０２は改ざん検出手段１０４を用いてプログラム情報１１４からハッシュ値を生成し（ステップＳ３０５）、プログラム情報ハッシュ値１１１として保持する（ステップＳ３０６）。

なお、情報処理装置１０１の初回起動時に実施する第１記憶部から第２記憶部へのプログラムのコピーに際しては前記プログラムインストール処理Ｓ３００のステップＳ３０４からステップＳ３０６に該当する処理を実施し、プログラムのコピーからプログラム情報ハッシュ値１１１の生成・保持までを実施し、プログラム情報ハッシュ値１１１の初期値を設定する。
図４は情報処理装置１０１がプログラムの実行時にプログラム情報１１４のハッシュ値を生成し、予め保存していたプログラム情報ハッシュ値１１１と比較し、ハッシュ値の不一致からプログラム情報１１４の改ざんを検出し、第１記憶部１０８に保持されたプリインストールプログラムのみ実行可能とするまでの処理（以下、プログラム実行処理Ｓ４００と称する。）について説明する。

入力部１０６へのユーザ操作もしくは他のプログラムからプログラムの起動を指示されると、制御部１０２は改ざん検出手段１０４を用いてプログラム情報１１４のハッシュ値を生成し、予め保持してあったプログラム情報ハッシュ値１１１と比較する（ステップＳ４０１）。ハッシュ値が一致した場合、第２記憶部１１２のプログラム情報１１４を読み出し（ステップＳ４０２）、次に車両情報取得部１０５より車両情報を取得し（ステップＳ４０３）、プログラム実行判定手段１０３を用いてプログラム情報１１４と該車両情報からプログラムの規制条件を判定し、プログラムを制御部１０２にて実行する（ステップＳ４０４）
また、プログラム情報１１４のハッシュ値と、予め保持してあったプログラム情報ハッシュ値１１１と比較し、
ハッシュ値の不一致からプログラム情報１１４の改ざんを検出したら、第１記憶部１０８に保持されたプログラム情報を読み出し（ステップＳ４０５）、ユーザが指定したプログラムの有無を判定し（ステップＳ４０６）、指定プログラムが有る場合は車両情報取得部１０５から車両情報を取得し（ステップＳ４０７）、プログラム情報の改ざん及び指定プログラムもしくは指定プログラムの旧バージョンであるプリセットプログラムの起動をユーザに表示部１０７を用いて通知し（ステップＳ４０８）、前記プログラム情報と前記車両情報からプログラムの規制条件を判定し、指定されたプログラムの旧バージョンを実行する（ステップＳ４０９）。
最新バージョンと旧バージョンの対応付けはプログラム名称等によって行っても良い。また、対応づけられる第一の記憶部に格納されるプログラムは旧バージョンではなくユーザが使用すると思われる基本的な機能を提供する特定のプログラムと対応付けても良い。このような対応付けとすることにより、プリインストールされた旧バージョンのプログラムが存在しない場合であっても何らかの機能をユーザに提供することができる。
例えば、旧バージョンのプログラムが存在するかどうかを確認したあとで、特定のプログラムを起動することにより、特定のプログラムの中でシステムの状態を知らせるメッセージを表示させたり、最新バージョンを動作させるために必要な情報提供や、回復機能をユーザに提供できる。
また、ユーザが指定したプログラムが無い場合、プログラム情報の改ざんと該当プログラムが起動不可であることをユーザに表示部１０７を用いて通知（ステップＳ４１０）すると共に、前記取得したプログラム情報１１０から実行可能なプログラムリストを通知して終了する。

このように構成された本発明の実施形態１における情報処理装置によればプログラムの使用可否を規定したプログラム情報を改ざんされた場合でも、第一記憶部に格納されたプリインストールされた旧バージョンのプログラム等の予め定められたプログラムを当該プログラムに対応した第一記憶部に格納されたプログラム情報に指定された実行可否条件に基づき利用を可能とし、ユーザの利便性を確保することができる。

また、プログラム情報の改ざんにより指定したプログラムが実行不可の場合でも、利用可能なプログラムのリストを通知することでユーザの利便性が向上する。
以下、第２の実施形態について図面を用いて説明する。

図５に実施形態として説明する情報処理装置１０１の概略的な構成を示している。同図は第１の実施形態で用いた情報処理装置１０１と同様の要素で構成されており、制御部１０２にて新たにプログラムサイズを保持することを相違点として有している。なお、図１と同符号の箇所については説明を省略する。

プログラムサイズ５０１は、第２記憶部１１２に保持されたプログラム１１３の各実行ファイルのサイズを保持する。該サイズはプログラム情報１１４の各プログラムとＮｏ．２０１１を用いて紐付けられる。

実行ファイルサイズの同一性をプログラムの改ざん有無の判定に用いる理由としては、プログラムの実行ファイルがソースコードをコンパイルすることによって生成されるものであり、その過程で機械が読み取れるフォーマットへの変換とサイズの最適化が実施されるからである。よって、一般的に実行ファイルは容易にサイズ変更ができない特性があり、特にファイルサイズを縮減することは難しく、プログラムにウィルスなどを追加する改ざんの場合は、ファイルサイズは逆に増加する。
なお、プログラムサイズ５０１に保持される実行ファイルサイズのデータは、インストール時に保持したデータであり、最新のファイルサイズと同一であるか否かを判定するために用いる。よって、サイズデータの大小や数値は問題ではない。そのためサイズデータをハッシュ値に変換して保持し、比較の際もファイルサイズをハッシュ化する方法を用いることで、プログラムサイズ５０１の改ざんによる不正プログラムの成りすまし等への耐性を高めることが可能である。

続いて、図６を用いて情報処理装置１０１がプログラムのインストール時に実施する処理（以下、プログラムインストール処理Ｓ６００と称する。）について説明する。なお図３と同符号の箇所については説明を省略する。 ステップＳ３０１からステップＳ３０６にてプログラムのインストールし、またプログラム情報ハッシュ値１１１を制御部１０２に保持し、さらに第2記憶部１１２のプログラム１１３に保持される各実行ファイルのサイズを制御部１０２にて読み出し、プログラム情報１１４に記載の各プログラムに紐付けてプログラムサイズ５０１に保持する（ステップＳ６０１）。
このようにして、プログラムのインストール時の実行ファイルサイズを記録する。
図９にプログラムサイズを格納するテーブルの例を示す。この例ではプログラムに対応付けてプログラムサイズを記憶している。

続いて、図７を用いて情報処理装置１０１がプログラムの実行時にプログラム情報１１４のハッシュ値を生成し、予め保存していたプログラム情報ハッシュ値１１１と比較し、ハッシュ値の不一致からプログラム情報１１４の改ざんを検出し、第１記憶部１０８に保持されたプログラム情報を参照し、プログラム１０９またはプログラム１１３を選択してプログラムを実行するまでの処理（以下、プログラム実行処理Ｓ７００と称する。）について説明する。なお図４と同符号の箇所については説明を省略する。
図８にプログラム情報ハッシュ値を格納するテーブルの例を示す。この例ではプログラムに対応付けてハッシュ値を記憶している。

ステップＳ４０１からＳ４０８にてプログラム実行に際し、プログラム情報１１４のハッシュ値が予め保持したプログラム情報ハッシュ値１１１と異なることを検出し、ユーザが実行を指定したプログラムがプリインストールプログラムである第１記憶部１０８のプログラム１０９に保持されていることを確認し、車両情報の取得及びユーザへの異常検出の通知を実施する。さらに改ざん検出手段を用いてプログラムサイズ５０１とプログラム１１３の実行ファイルサイズを比較し（ステップＳ７０１）、
一致する場合、プログラム実行判定手段１０３がプログラム情報１１０と車両情報からプログラムの規制条件を判定し、プログラム１１３を第１記憶部のプログラム情報１１０に記載されている条件で制御部１０２が実行する（ステップＳ７０２）。不一致の場合、プログラム実行判定手段１０３がプログラム情報１１０と車両情報からプログラムの規制条件を判定し、プログラム１０９を第１記憶部のプログラム情報１１０に記載されている条件で制御部１０２が実行する（ステップＳ７０３）。
このように構成された本発明の実施形態２における情報処理装置によればプログラムの使用可否を規定したプログラム情報を改ざんされた場合でも、予め保持されたプログラムの利用を可能とするだけでなく、プログラムの不具合修正や機能追加等が実施された最新のプログラムを用いることが可能となり、ユーザの利便性を高めることができる。

１０１ 情報処理装置
１０２ 制御部
１０３ プログラム実行判断手段
１０４ 改ざん検出手段
１０５ 車両情報取得部
１０６ 入力部
１０７ 表示部
１０８ 第１記憶部
１０９ プログラム
１１０ プログラム情報
１１１ プログラム情報ハッシュ値
１１２ 第２記憶部
１１３ プログラム
１１４ プログラム情報
５０１ プログラムサイズ

Claims (5)

1. 車載情報処理装置のプログラム実行制御システムであって、
   プログラムとプログラムの実行条件を保持するプログラム情報を格納した読み出し専用の記憶領域である第一の記憶領域と、
   プログラムとプログラムの実行条件を保持するプログラム情報を格納した書き換え可能な記憶領域である第二の記憶領域と、
   プログラム情報が改竄されているかどうかを判断する改竄検出部と
   プログラムの起動指示を受け、前記改竄検出部により起動指示を受けたプログラムに対応する第二の記憶領域のプログラム情報が改竄されていると判断されたとき、第一の記憶領域に格納された前記プログラムに対応するプログラム情報に基づいてプログラムを起動する制御部とを備えることを特徴とするプログラム実行制御システム。
2. 請求項１に記載のプログラム実行制御システムであって、
   車両の走行状態を示す情報を取得する車両情報取得部を備え、
   前記プログラム情報には車両の状態に対応した画面表示の可否を示す情報と、車両の状態に応じたプログラムの操作可否を示す情報を含み、
   前記制御部は前記車両情報取得部より得た走行状態を示す情報と前記プログラム情報に基づいてプログラムの実行を制御することを特徴とするプログラム実行制御システム。
3. 請求項２に記載のプログラム実行制御システムにおいて、さらにプログラムサイズ記憶部を備え、
   第二の記憶部に格納されているプログラム情報が改竄されていると判断されたとき、
   第二の記憶部に格納されている起動指示を受けたプログラムのサイズと前記プログラムサイズ記憶部に格納されている起動指示を受けたプログラムのサイズを比較し、
   不一致であれば第一の記憶部に格納されている前記起動指示を受けたプログラムに対応するプログラムを第一の記憶部に格納されているプログラム情報に基づいて起動する制御部を備えることを特徴とするプログラム実行制御システム。
4. 請求項３に記載のプログラム実行制御システムにおいて、改竄判断部はプログラム情報ハッシュ値に基づいて改竄されているかどうかを判断することを特徴とするプログラム実行制御システム。
5. 請求項３に記載のプログラム実行制御システムにおいて、第一の記憶領域には車載端末出荷時にインストールされているプログラムが格納されており、第二の記憶領域には車載端末出荷後にインストールされたプログラムが格納されていることを特徴とするプログラム実行制御システム。

Images