JP2022048019A - 情報処理装置、情報処理方法、および、プログラム - Google Patents

情報処理装置、情報処理方法、および、プログラム Download PDF

Info

Publication number
JP2022048019A
JP2022048019A JP2020154123A JP2020154123A JP2022048019A JP 2022048019 A JP2022048019 A JP 2022048019A JP 2020154123 A JP2020154123 A JP 2020154123A JP 2020154123 A JP2020154123 A JP 2020154123A JP 2022048019 A JP2022048019 A JP 2022048019A
Authority
JP
Japan
Prior art keywords
information processing
mode
unit
control
processor
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2020154123A
Other languages
English (en)
Other versions
JP7514586B2 (ja
Inventor
紘幸 和田
Hiroyuki Wada
吉治 今本
Yoshiharu Imamoto
透 岩野
Toru Iwano
崇之 藤井
Takayuki Fujii
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Priority to JP2020154123A priority Critical patent/JP7514586B2/ja
Priority to US17/466,359 priority patent/US12116002B2/en
Priority to DE102021123370.4A priority patent/DE102021123370A1/de
Publication of JP2022048019A publication Critical patent/JP2022048019A/ja
Application granted granted Critical
Publication of JP7514586B2 publication Critical patent/JP7514586B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/74—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information operating in dual or compartmented mode, i.e. at least one secure mode
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Mathematical Physics (AREA)
  • Storage Device Security (AREA)
  • Debugging And Monitoring (AREA)

Abstract

Figure 2022048019000001
【課題】監視結果を外部に出力することが妨げられることを抑制する。
【解決手段】情報処理装置１０は、情報処理装置１０の外部の装置との通信をする通信デバイス１３と、保護領域２１と非保護領域２２とを含むメモリ１１と、メモリ１１の保護領域２１及び非保護領域２２へのアクセスが許可される第一モードと、メモリ１１の保護領域２１へのアクセスが禁止され、非保護領域２２へのアクセスが許可される第二モードとで動作するプロセッサ１２と、プロセッサ１２が第一モードで動作することで、通信デバイス１３を制御する第一デバイス制御部４１と、プロセッサ１２が第二モードで動作することで、一以上の仮想マシンを稼働させる仮想マシン管理部５２と、プロセッサ１２が第二モードで動作することで、通信デバイス１３を制御する第二デバイス制御部３２Ａとを備える。
【選択図】図３

Description

本発明は、情報処理装置、情報処理方法、および、プログラムに関する。
１台の装置に１以上の仮想的なコンピュータを動作させるように制御する仮想化技術が利用されている。１以上の仮想的なコンピュータを動作させる仮想化基盤となるソフトウェアをハイパーバイザともいい、仮想的に動作する上記１以上のコンピュータを仮想マシンともいう。
仮想化ソフトウェア上に、監視対象となる複数の仮想マシンと、監視用の仮想マシンとを配置し、監視対象における異常の有無を判定し外部に出力する技術がある（特許文献１参照）。
特開２０１９－１４４７８５号公報
しかしながら、ハイパーバイザ内の仮想化ソフトウェアまたはデバイスドライバの脆弱性または不具合などにより、仮想マシン等の異常の有無の判定結果を外部に出力することが妨げられることがあるという問題がある。
一例として、自動車において複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）機能を統合化することで、利用者に高度な車両サービスを提供しようとする動きがある。その中で、第三者（サードパーティ）のアプリケーション（アプリともいう）がインストールされ得るＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｒｔａｉｎｍｅｎｔ）システムと、車両の自動運転を支援するＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）システムとを統合化する場合に、サードパーティの悪意のあるアプリがハイパーバイザ内の仮想化ソフトウェアまたは通信に係るデバイスドライバを攻撃することにより、異常の有無の判定結果を外部に出力することを妨げることがある。
このように、仮想マシン等の異常の有無の判定結果を外部に出力することが妨げられると、ＥＣＵが異常に対処するための対処処理を外部装置からの指示によって実行することができず、車両の運行に支障をきたすこととなる。
そこで、本発明は、監視結果を外部に出力することが妨げられることを抑制する情報処理装置を提供する。
本発明の一態様に係る情報処理装置は、情報処理装置であって、前記情報処理装置の外部の装置との通信をするデバイスと、保護領域と非保護領域とを含むメモリと、前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとで動作するプロセッサと、前記プロセッサが前記第一モードで動作することで、前記デバイスを制御する第一制御部と、前記プロセッサが前記第二モードで動作することで、一以上の仮想マシンを稼働させる仮想マシン管理部と、前記プロセッサが前記第二モードで動作することで、前記デバイスを制御する第二制御部とを備える。
なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
本発明の情報処理装置は、監視結果を外部に出力することが妨げられることを抑制することができる。
図１は、関連技術における情報処理装置の構成を概念的に示す模式図である。 図２は、実施の形態１における情報処理装置の構成を概念的に示す模式図である。 図３は、実施の形態１における情報処理装置の機能構成を示す模式図である。 図４は、実施の形態１における情報処理装置の処理を示すフロー図である。 図５は、実施の形態２における情報処理装置の機能構成を示す模式図である。 図６は、実施の形態２における管理情報の一例を示す説明図である。 図７は、実施の形態２におけるメモリ内のデバイス領域の配置を示す説明図である。 図８は、実施の形態２における情報処理装置の処理を示すフロー図である。 図９は、実施の形態３における情報処理装置の機能構成を示す模式図である。 図１０は、実施の形態３における管理情報の一例を示す説明図である。 図１１は、実施の形態３におけるメモリ内のデバイス領域の配置を示す説明図である。 図１２は、実施の形態３における情報処理装置の処理を示すフロー図である。 図１３は、実施の形態４における情報処理装置の構成を概念的に示す模式図である。 図１４は、実施の形態４における情報処理装置の機能構成の第一例を示す模式図である。 図１５は、実施の形態４における情報処理装置の機能構成の第二例を示す模式図である。 図１６は、実施の形態５における情報処理装置の機能構成を示す模式図である。
（本発明の基礎となった知見）
本発明者は、「背景技術」の欄において記載した仮想化技術に関し、以下の問題が生じることを見出した。ここで、以下の問題が生じる技術を「関連技術」ともいう。
図１は、関連技術における情報処理装置９０の構成を概念的に示す模式図である。
図１に示されるように、情報処理装置９０は、プロセッサ１２と通信デバイス１３とを備える。
プロセッサ１２は、セキュアモードおよびノーマルモードの実行モードで動作し得る処理装置である。プロセッサがセキュアモードで動作している実行環境をセキュアワールドともいい、プロセッサがノーマルモードで動作している実行環境をノーマルワールドともいう。
通信デバイス１３は、外部の装置（外部装置ともいう）との通信を行うデバイスである。通信デバイス１３は、所定の形式のコネクタを有し、上記コネクタを介して所定の形式の電気信号を送受信することで、外部装置との通信を実行する。
また、情報処理装置９０は、プロセッサにより実行される機能であるセキュアモニタ２０を備える。
セキュアモニタ２０は、プロセッサ１２の実行モードを制御する。具体的には、セキュアモニタ２０は、プロセッサ１２がセキュアモードとノーマルモードとのどちらで動作するかを決定し、その決定に基づいてプロセッサ１２の実行モードを制御する。
情報処理装置９０において、ノーマルモードでハイパーバイザＨＶが実行されており、ハイパーバイザＨＶの上で、仮想マシンＶＭ１、ＶＭ２およびＶＭ３が稼働している。
仮想マシンＶＭ１は、共通仮想マシン（図１で「共通」と記載）である。仮想マシンＶＭ１は、情報処理装置９０において共通に用いられる機能を提供する仮想マシンである。仮想マシンＶＭ１は、通信デバイス１３を制御するデバイス制御部３２を稼働させている。
仮想マシンＶＭ２は、アプリプラットフォーム仮想マシン（図１で「アプリＰＦ」と記載）である。仮想マシンＶＭ２は、サードパーティのアプリ部３４（例えばＭａａＳ（Ｍｏｂｉｌｉｔｙ ａｓ ａ Ｓｅｒｖｉｃｅ）アプリ）を稼働させており、また、外部装置との通信に係るプロトコル処理などを制御する通信制御部３３を有する。
仮想マシンＶＭ３は、車両制御仮想マシン（図１で「車両制御」と記載）である。仮想マシンＶＭ３は、車両の運転支援のための制御アプリ部３６（例えばＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ－Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍｓ）アプリ）を稼働させており、また、外部装置との通信に係るプロトコル処理などを制御する通信制御部３５を有する。
ハイパーバイザＨＶは、アクセス制御部３１を備える。アクセス制御部３１は、仮想マシンＶＭ２の通信制御部３３および仮想マシンＶＭ３の通信制御部３５それぞれに接続され、また、仮想マシンＶＭ１のデバイス制御部３２に接続され、通信のアクセスを制御する機能部である。
情報処理装置９０において、セキュアモードにおいて監視部９１が稼働している。監視部９１は、ノーマルモードで稼働している各仮想マシンおよびハイパーバイザＨＶに割り当てられているメモリ領域を監視し、メモリ領域の異常の有無の判定結果を外部装置に通知する。外部装置は、異常があることを上記判定結果が示す場合、その異常に対処するための対処処理（例えば、その異常値を正常値に変更する処理、または、車両を安全に停車させる処理など）を、通信を介して指示し、情報処理装置９０に実行させる。
監視部９１は、外部装置との通信に、仮想マシンＶＭ１が有するデバイス制御部３２を用いる。つまり、監視部９１は、仮想マシンＶＭ３の通信制御部３５、ハイパーバイザＨＶのアクセス制御部３１、仮想マシンＶＭ１の第二デバイス制御部３２Ａ、および、通信デバイス１３を経由する通信経路を利用して、外部装置と通信する。
この場合、仮に上記通信経路における装置（例えば、ハイパーバイザＨＶのアクセス制御部３１、または、仮想マシンＶＭ１のデバイス制御部３２）が、悪意のアプリからの攻撃によって異常な動作をするようになると、監視部９１がメモリ領域の異常の有無の判定結果を外部に出力することが妨げられることがあるという問題がある。そして、監視部９１がメモリ領域の異常に対処するための対処処理を外部からの指示によって行うことができず、車両の運行に支障をきたすこととなる。
そこで、本発明は、監視結果を外部に出力することが妨げられることを抑制する情報処理装置などを提供する。
本発明の一態様に係る情報処理装置は、情報処理装置であって、前記情報処理装置の外部の装置との通信をするデバイスと、保護領域と非保護領域とを含むメモリと、前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとで動作するプロセッサと、前記プロセッサが前記第一モードで動作することで、前記デバイスを制御する第一制御部と、前記プロセッサが前記第二モードで動作することで、一以上の仮想マシンを稼働させる仮想マシン管理部と、前記プロセッサが前記第二モードで動作することで、前記デバイスを制御する第二制御部とを備える。
上記態様によれば、情報処理装置は、プロセッサが第一モードで動作することでデバイスを制御して外部の装置と通信をすることができる。仮にプロセッサが第二モードで動作することでデバイスを制御して外部の装置と通信することしかできないとすれば、そのデバイス、または、そのデバイスを用いた通信に利用する機能が悪意のアプリによって攻撃された場合に、外部の装置との通信が妨げられる。悪意のアプリは、第二モードで動作することが想定されるからである。一方、上記態様に係る情報処理装置によれば、プロセッサが第一モードで動作することでデバイスを制御して外部の装置と通信をすることができるので、第二モードで動作する悪意のアプリによって通信が妨げられることが抑制される。このように、上記態様の情報処理装置は、監視結果を外部に出力することが妨げられることを抑制することができる。
例えば、前記情報処理装置は、さらに、前記プロセッサが前記第一モードで動作することで、前記デバイスの制御を、前記第二制御部による制御から前記第一制御部による制御に切り替える切替部を備えてもよい。
上記態様によれば、情報処理装置は、第二モードでデバイスを制御する状態から、第一モードでデバイスを制御する状態に切り替えることができるので、通常時の通信を第二モードで行い、第一モードでデバイスを制御することが必要であるときに第一モードでデバイスを制御するという動作をすることができる。これにより、第一モードでデバイスを制御する処理を、より少ないコンピュータリソースまたは消費電力で実現することができる利点がある。よって、情報処理装置は、利用するコンピュータリソースまたは消費電力をより少なく抑えながら、監視結果を外部に出力することが妨げられることを抑制することができる。
例えば、前記情報処理装置は、さらに、前記プロセッサが前記第一モードで動作することで、前記仮想マシン管理部に割り当てられる前記メモリの領域を監視対象として監視をし、前記監視対象に異常があるか否かの判定をする監視部を備え、前記切替部は、前記監視対象に異常があると前記監視部が判定した場合に、前記監視部が前記外部の装置と通信するときの前記デバイスの制御を、前記第二制御部による制御から前記第一制御部による制御に切り替えてもよい。
上記態様によれば、情報処理装置は、メモリの監視対象の領域に異常がある場合に、第一モードでデバイスを制御する状態に切り替えるので、異常があることを示す情報をより確実に外部の装置に送信することができる。よって、情報処理装置は、監視結果を外部に出力することが妨げられることを、より確実に、抑制することができる。
例えば、前記切替部は、さらに、前記第二制御部による制御から前記第一制御部による制御に切り替えるときには、前記第二制御部による前記デバイスの制御を禁止するように制御してもよい。
上記態様によれば、情報処理装置は、第一モードでデバイスを制御する状態に切り替えるときに、第二モードでデバイスを制御することを禁止するので、第一モードでデバイスを制御して実行する通信が、第二モードでデバイスを制御して実行する通信によって妨げられることが抑制される。よって、情報処理装置は、監視結果を外部に出力することが妨げられることを、より確実に、抑制することができる。
例えば、前記第一制御部は、前記メモリの前記保護領域に含まれる第一デバイス領域を用いて前記デバイスを制御し、前記第二制御部は、前記メモリの前記非保護領域に含まれる第二デバイス領域を用いて前記デバイスを制御してもよい。
上記態様によれば、情報処理装置は、メモリの保護領域を用いて第一モードでデバイスを制御し、メモリの非保護領域を用いて第二モードでデバイスを制御する。これにより、情報処理装置は、より容易に、監視結果を外部に出力することが妨げられることを抑制することができる。
例えば、前記第一制御部は、前記メモリの前記非保護領域に含まれる第二デバイス領域を用いて前記デバイスを制御し、前記第二制御部は、前記メモリの前記第二デバイス領域を用いて前記デバイスを制御してもよい。
上記態様によれば、情報処理装置は、メモリの保護領域を用いて第一モードまたは第二モードでデバイスを制御する。これにより、情報処理装置は、より容易に、監視結果を外部に出力することが妨げられることを抑制することができる。
例えば、前記情報処理装置は、さらに、前記プロセッサが前記第二モードで動作することで、所定の処理を実行するアプリ部であって、前記アプリ部が前記情報処理装置の外部の装置に送信すべきデータに電子署名を付すアプリ部と、前記プロセッサが前記第一モードで動作することで、前記アプリ部が前記電子署名を付した前記データを受け取り、前記電子署名の検証が成功した場合に、前記データを前記情報処理装置の外部の装置に送信する署名検証部とを備えてもよい。
上記態様によれば、情報処理装置は、第二モードで動作するアプリ部によりデータに付された電子署名の検証を、第一モードで検証して検証に成功したデータを送信するので、正当なアプリ部が送信すべきデータを、第一モードでデバイスを制御することにより送信することができる。よって、情報処理装置は、監視結果を外部に出力すること、および、正当なアプリ部による通信が妨げられることをともに抑制することができる。
例えば、前記情報処理装置は、さらに、前記プロセッサが前記第二モードで動作することで、所定の処理を実行するアプリ部であって、前記アプリ部が前記情報処理装置の外部の装置に送信すべき１以上のデータを生成するアプリ部と、前記プロセッサが前記第一モードで動作することで、前記アプリ部が生成した前記１以上のデータを受け取り、前記アプリ部の通信に係る適正な挙動を示す挙動適正条件を前記メモリの前記保護領域から取得し、受け取った前記１以上のデータが前記挙動適正条件を満たすと判定した場合に、前記データを前記情報処理装置の外部の装置に送信する挙動検証部とを備えてもよい。
上記態様によれば、情報処理装置は、第二モードで動作するアプリ部の挙動の検証を、第一モードで検証して検証に成功したデータを送信するので、正当なアプリ部が送信すべきデータを、第一モードでデバイスを制御することにより送信することができる。よって、情報処理装置は、監視結果を外部に出力すること、および、正当なアプリ部による通信が妨げられることをともに抑制することができる。
例えば、前記情報処理装置は、車両を制御する車両制御部を備え、前記車両制御部は、前記第二制御部による制御から前記第一制御部による制御に前記切替部が切り替えるときには、前記車両の縮退制御のための制御情報を前記メモリの前記保護領域から取得し、取得した前記制御情報に従って前記車両を制御してもよい。
上記態様によれば、情報処理装置は、デバイスの制御を第一モードから第二モードに切り替えるときに、さらに車両を縮退制御することができる。これにより、車両を安全に停止させるように車両を制御することができる。よって、情報処理装置は、車両を安全に停止させながら、監視結果を外部に出力することが妨げられることを抑制することができる。
例えば、前記プロセッサは、前記第一モードでの動作と、前記第二モードでの動作とを時分割で切り替えてもよい。
上記態様によれば、情報処理装置は、時分割で第一モードでの動作と第二モードでの動作を切り替えるプロセッサを用いて、監視結果を外部に出力することが妨げられることを抑制することができる。
例えば、前記プロセッサは、複数のコアを有し、前記複数のコアのうちの少なくとも１つが前記第一モードで動作し、前記複数のコアのうち前記第一モードで動作していないコアの少なくとも１つが前記第二モードで動作してもよい。
上記態様によれば、情報処理装置は、第一モードで動作するコアと、第二モードで動作するコアとを含む複数のコアを有するプロセッサを用いて、監視結果を外部に出力することが妨げられることを抑制することができる。
例えば、前記情報処理装置は、車両に搭載されるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）であってもよい。
上記態様によれば、情報処理装置であるＥＣＵが監視結果を外部に出力することが妨げられることを抑制することができる。
また、本発明の一態様に係る情報処理方法は、情報処理装置が実行する情報処理方法であって、前記情報処理装置は、前記情報処理装置の外部の装置との通信をするデバイスと、保護領域と非保護領域とを含むメモリと、前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとで動作するプロセッサとを備え、前記情報処理方法は、前記プロセッサが前記第一モードで動作することで、前記デバイスを制御する第一制御ステップと、前記プロセッサが前記第二モードで動作することで、一以上の仮想マシンを稼働させる仮想マシン管理ステップと、前記プロセッサが前記第二モードで動作することで、前記デバイスを制御する第二制御ステップとを含む。
上記態様によれば、情報処理装置と同様の効果を奏する。
また、本発明の一態様に係るプログラムは、上記の情報処理方法をコンピュータに実行させるプログラムである。
上記態様によれば、情報処理装置と同様の効果を奏する。
なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。
以下、実施の形態について、図面を参照しながら具体的に説明する。
なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
（実施の形態１）
本実施の形態において、監視結果を外部に出力することが妨げられることを抑制する情報処理装置などについて説明する。
図２は、本実施の形態における情報処理装置１０の構成を概念的に示す模式図である。
図２に示されるように、情報処理装置１０は、関連技術における情報処理装置９０と同様に、プロセッサ１２と、通信デバイス１３とを備える。
プロセッサ１２は、セキュアモードおよびノーマルモードの実行モードで動作し得る処理装置である。プロセッサ１２は、セキュアモードとノーマルモードとを時分割で切り替えて動作してもよいし、プロセッサ１２が複数のコアを備える場合には、複数のコアのうちの一部がセキュアモードで動作し、上記複数のコアのうちの残部がノーマルモードで動作してもよい。なお、情報処理装置１０は、例えば、車両に搭載され、車載ネットワークに接続されて車両を制御するＥＣＵであるが、これに限定されない。
なお、セキュアモードおよびノーマルモードの実行環境の制御は、一般にＴＥＥ（Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ）と呼ばれる。例えば、ＡＲＭ系のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）におけるＣｏｒｔｅｘ－Ａファミリでは標準機能の１つであるＴｒｕｓｔＺｏｎｅ機構により実現され得る。また、ＡｐｐｌｅのＳＥＰ（Ｓｅｃｕｒｅ Ｅｎｃｌａｖｅ Ｐｒｏｃｅｓｓｏｒ）、または、ＧｏｏｇｌｅのＴｉｔａｎＭなどによっても実現され得る。
通信デバイス１３は、外部の装置（外部装置ともいう）との通信を行うデバイスである。通信デバイス１３は、所定の形式のコネクタを有し、上記コネクタを介して所定の形式の電気信号を送受信することで、外部装置との通信を実行する。通信デバイス１３は、より具体的には、例えば、ＣＡＮ（Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、Ｄｉａｇ（Ｄｉａｇｎｏｓｔｉｃ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）、ＵＡＲＴ（Ｕｎｉｖｅｒｓａｌ Ａｓｙｎｃｈｒｏｎｏｕｓ Ｒｅｃｅｉｖｅｒ／Ｔｒａｎｓｍｉｔｔｅｒ）、Ｅｔｈｅｒｎｅｔ、Ｃｅｌｌｕｌａｒ、Ｂｌｕｅｔｏｏｔｈ、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）など、外部装置との通信に用いられるデバイスであってもよい。
また、情報処理装置１０は、プロセッサ１２により実行される機能であるセキュアモニタ２０を備える。
セキュアモニタ２０は、プロセッサ１２の実行モードを制御する。具体的には、セキュアモニタ２０は、プロセッサ１２がセキュアモードとノーマルモードとのどちらで動作するかを決定し、その決定に基づいてプロセッサ１２の実行モードを制御する。
プロセッサ１２は、ノーマルモードにおいてハイパーバイザＨＶを実行しており、ハイパーバイザＨＶの上で仮想マシンＶＭ１、ＶＭ２およびＶＭ３を稼働させている。仮想マシンＶＭ１は、第二デバイス制御部３２Ａ（第二制御部ともいう）を稼働させており、仮想マシンＶＭ２は、通信制御部３３およびアプリ部３４を稼働させており、仮想マシンＶＭ３は、通信制御部３５および制御アプリ部３６を稼働させている。なお、第二デバイス制御部３２Ａは、例えば、ノーマルモードで実行されるハイパーバイザＨＶなどにおいて稼働させてもよく、特に限定されない。
プロセッサ１２は、セキュアモードにおいて、第一デバイス制御部４１、通信制御部４２および監視部４３を稼働させている。
第一デバイス制御部４１は、セキュアモードで稼働し、通信デバイス１３を制御する機能部である。第一デバイス制御部４１を第一制御部ともいう。
通信制御部４２は、通信デバイス１３を制御する情報処理装置１０の外部装置との通信を制御する機能部である。
監視部４３は、関連技術における監視部９１と同様に、ノーマルワールドで稼働している各仮想マシンおよびハイパーバイザＨＶに割り当てられているメモリの領域を監視し、異常の有無の判定結果を外部装置に通知する機能部である。
監視部４３は、セキュアモードで稼働している第一デバイス制御部４１を用いて外部装置との通信を行う。つまり、監視部４３は、セキュアモードで稼働している通信制御部４２および第一デバイス制御部４１、ならびに、通信デバイス１３を経由する通信経路を利用して、外部装置と通信する。
このように、監視部４３は、ノーマルワールドで稼働しているアクセス制御部３１および第二デバイス制御部３２Ａを利用しないで外部装置と通信するので、異常の有無の判定結果を外部に出力することが妨げられることが抑制される。
以降において、情報処理装置１０の機能構成についてより詳しく説明する。
図３は、本実施の形態における情報処理装置１０の機能構成を示す模式図である。
図３に示されるように、情報処理装置１０は、メモリ１１と、プロセッサ１２と、通信デバイス１３とを備える。
メモリ１１は、保護領域２１と、非保護領域２２とを有する。保護領域２１は、プロセッサ１２がセキュアモードで実行されているときにのみアクセスされ得る領域である。非保護領域２２は、プロセッサ１２がセキュアモードで実行されているとき、および、ノーマルモードで実行されているときにアクセスされ得る領域である。メモリ１１には、例えば、通信制御設定（通信速度など）、制御メッセージやコマンド、入力出力パラメータやデータなどが記憶される。
なお、ここでは、ハイパーバイザＨＶ上でｎ個の仮想マシンが稼働されている状況を例として説明する。ｎは、１以上いくつであってもよい。
保護領域２１は、監視情報２１１を有する。
監視情報２１１は、監視対象であるメモリ領域と、そのメモリ領域に格納されている値が適正であることを示す条件（適正条件ともいう）を示す情報である。
非保護領域２２は、ハイパーバイザＨＶの管理領域であるＨＶ領域２２０と、ｎ個の仮想マシンの管理領域、つまり仮想マシンＶＭ１の管理領域であるＶＭ１領域２２１、仮想マシンＶＭ２の管理領域であるＶＭ２領域２２２、・・・、仮想マシンＶＭｎの管理領域であるＶＭｎ領域２２ｎとを有する。
また、非保護領域２２は、デバイス領域２３１を有する。デバイス領域２３１は、プロセッサ１２が通信デバイス１３を制御するために用いるメモリ領域である。
プロセッサ１２は、セキュアモードとノーマルモードとのいずれかの実行モードで動作する処理装置である。具体的には、プロセッサ１２は、メモリ１１の保護領域２１及び非保護領域２２へのアクセスが許可されるセキュアモード（つまり第一モード）と、メモリ１１の保護領域２１へのアクセスが禁止され、非保護領域２２へのアクセスが許可されるノーマルモード（つまり第二モード）とのいずれかの実行モードで動作する。
プロセッサ１２は、セキュアモードでの動作と、ノーマルモードでの動作とを時分割で切り替えてもよい。また、プロセッサ１２は、複数のコアを有し、複数のコアのうちの少なくとも１つがセキュアモードで動作し、複数のコアのうちセキュアモードで動作していないコアの少なくとも１つがノーマルモードで動作してもよい。
プロセッサ１２は、メモリ１１を用いてプログラムを実行することで、監視部４３と、切替部４４と、第一デバイス制御部４１と、アプリ部５１と、仮想マシン管理部５２と、第二デバイス制御部３２Ａとの各機能部を実現する。
ここで、監視部４３と、切替部４４と、第一デバイス制御部４１とは、プロセッサ１２がセキュアモードで実行されることで実現される機能部である。また、アプリ部５１と、仮想マシン管理部５２と、第二デバイス制御部３２Ａとは、プロセッサ１２がノーマルモードで動作することで実現される機能部である。
監視部４３は、一以上の仮想マシンのうちの一の仮想マシン、又は、仮想マシン管理部５２に割り当てられるメモリ１１の領域を監視対象として監視する機能部である。監視部４３は、監視情報２１１を取得し、取得した監視情報２１１に示される監視対象であるメモリ領域に格納されている値を監視する。そして、監視対象であるメモリ領域に格納されている値が、監視情報２１１に示される適正条件を満たすか否かを判定し、満たさない場合に、監視対象に異常があると判定する。
切替部４４は、監視部４３が外部装置と通信するときの通信デバイス１３の制御を、第一デバイス制御部４１による制御、または、第二デバイス制御部３２Ａによる制御に切り替える機能部である。切替部４４は、具体的には、通信デバイス１３の制御を、第二デバイス制御部３２Ａによる制御から第一デバイス制御部４１による制御に切り替える。より具体的には、切替部４４は、監視対象に異常があると監視部４３が判定した場合に、監視部４３が外部装置と通信するときの通信デバイス１３の制御を、第二デバイス制御部３２Ａによる制御から第一デバイス制御部４１による制御に切り替える。
第一デバイス制御部４１は、通信デバイス１３を制御する機能部である。第一デバイス制御部４１は、通信デバイス１３を制御するときには、デバイス領域２３１を用いて通信デバイス１３を制御する。
アプリ部５１は、所定の機能を発揮するアプリケーションソフトウェアである。アプリ部５１は、図２に示されるアプリ部３４および制御アプリ部３６に相当する。
仮想マシン管理部５２は、一以上の仮想マシンを稼働させる機能部でありハイパーバイザＨＶに相当する。仮想マシン管理部５２は、ＨＶ領域２２０のメモリ領域を使用して実現されている。また、仮想マシン管理部５２は、ＶＭ１領域２２１、ＶＭ２領域２２２、・・・、ＶＭｎ領域２２ｎを、それぞれ、一以上の仮想マシンのメモリ領域として用いて、一以上の仮想マシンを稼働させている。
第二デバイス制御部３２Ａは、通信デバイス１３を制御する機能部である。第一デバイス制御部４１は、通信デバイス１３を制御するときには、デバイス領域２３１を用いて通信デバイス１３を制御する。
つまり、第一デバイス制御部４１および第二デバイス制御部３２Ａは、ともに、非保護領域２２に含まれるデバイス領域２３１（第二デバイス領域に相当）を用いて通信デバイス１３を制御する。
図４は、本実施の形態における情報処理装置１０の処理を示すフロー図である。図４において、（ａ）にセキュアモードの処理を示すフロー図が示されており、（ｂ）にノーマルモードの処理を示すフロー図が示されている。
プロセッサ１２がセキュアモードとノーマルモードとを時分割で切り替える場合には、図４の（ａ）および（ｂ）の処理が交互に進められる。また、プロセッサ１２の複数のコアの一部がセキュアモードで動作し、残部がノーマルモードで動作する場合には、セキュアモードで動作するコアが（ａ）の処理を実行するのと並行して、ノーマルモードで動作するコアが（ｂ）の処理を実行する。
以降において、プロセッサ１２がセキュアモードで実行する処理について説明する。
図４の（ａ）に示されるように、ステップＳ１０１において、監視部４３は、監視対象のメモリ領域を監視する。
ステップＳ１０２において、第一デバイス制御部４１が通信デバイス１３を制御して通信をする。この通信は、例えばステップＳ１０１における監視結果を示す情報を外部装置に送信すること、または、送信した情報に対して外部装置が送信する指示情報を受信することを含む。
ステップＳ１０２を終えたら図４の（ａ）の一連の処理を終える。再びステップＳ１０１の処理を実行してもよい。
次に、プロセッサ１２がノーマルモードで実行する処理について説明する。
図４の（ｂ）に示されるように、ステップＳ１１１において、仮想マシン管理部５２は、仮想マシンを稼働させる。
ステップＳ１１２において、第二デバイス制御部３２Ａが通信デバイス１３を制御して通信をする。この通信は、例えばアプリ部５１が外部装置に情報を送信すること、または、外部装置が送信する情報をアプリ部５１が受信することを含む。
ステップＳ１１２を終えたら図４の（ｂ）の一連の処理を終える。再びステップＳ１１１の処理を実行してもよい。
図４の（ａ）および（ｂ）に示される処理により、情報処理装置１０は、監視結果を外部に出力することが妨げられることを抑制することができる。
（実施の形態２）
本実施の形態において、監視結果を外部に出力することが妨げられることを抑制する情報処理装置などについて、別の形態を説明する。
本実施の形態の情報処理装置１０Ａは、監視対象に異常があると判定した場合に、ノーマルモードでのデバイス制御部（第二デバイス制御部）を用いた通信を禁止するように制御する。
本実施の形態の情報処理装置１０Ａは、実施の形態１の情報処理装置１０と類似の構成を有する。以降において、実施の形態１の情報処理装置１０と異なる部分を主に説明する。
図５は、本実施の形態における情報処理装置１０Ａの機能構成を示す模式図である。図６は、本実施の形態における管理情報２１２の一例を示す説明図である。
図５に示されるように、情報処理装置１０Ａは、メモリ１１と、プロセッサ１２と、通信デバイス１３とを備える。
メモリ１１は、保護領域２１と、非保護領域２２とを有する。
保護領域２１は、監視情報２１１と管理情報２１２とを有する。また、保護領域２１は、切替部４４Ａによる制御により、第一デバイス領域２１３を有することがある（図７の（ｂ）参照）。
管理情報２１２は、デバイス領域のステートを管理する情報である。デバイス領域のステートは、セキュアまたはノンセキュアのいずれかに動的かつ選択的に変更され得る。管理情報２１２は、例えば切替部４４Ａにより変更される。
図６を参照しながらデバイス領域のステートについて説明する。
デバイス領域のステートがセキュアである場合、デバイス領域は、セキュアモードで実行しているプロセッサ１２からのアクセスが許可され、ノーマルモードで実行しているプロセッサ１２からのアクセスが禁止される。つまり、デバイス領域のステートがセキュアであることは、当該デバイス領域が保護領域２１に配置されていることに相当する。
デバイス領域のステートがノンセキュアである場合、デバイス領域は、セキュアモードおよびノーマルモードで実行しているプロセッサ１２からのアクセスが許可される。つまり、デバイス領域のステートがノンセキュアであることは、デバイス領域が非保護領域２２に配置されていることに相当する。
非保護領域２２は、ＨＶ領域２２０、ＶＭ１領域２２１、ＶＭ２領域２２２、・・・、ＶＭｎ領域２２ｎを有する。
また、非保護領域２２は、第二デバイス領域２３２を有する。第二デバイス領域２３２は、実施の形態１におけるデバイス領域２３１に相当し、プロセッサ１２が通信デバイス１３を制御するために用いるメモリ領域である。
本実施の形態の切替部４４Ａは、デバイス領域のステートを変更することによって、監視部４３が外部装置と通信するときの通信デバイス１３の制御を、第一デバイス制御部４１による制御、または、第二デバイス制御部３２Ａによる制御に切り替える機能部である（図２参照）。これにより、プロセッサ１２がノーマルモードで動作しているときに通信デバイス１３の制御を禁止しながら、セキュアモードで動作しているときに通信デバイス１３の制御をすることができる。
図７は、本実施の形態におけるメモリ１１内のデバイス領域の配置を示す説明図である。
図７の（ａ）は、メモリ１１内のデバイス領域の第一の配置を示している。図７の（ａ）に示される配置は、監視対象に異常がないと監視部４３が判定した場合のメモリ１１内のデバイス領域の配置を示している。言い換えれば、図７の（ａ）に示される配置は、切替部４４Ａによる切り替え前のメモリ１１を示している。
図７の（ａ）は、図５に示されるメモリ１１と同じ状態であり、デバイス領域が第二デバイス領域２３２として非保護領域２２に配置されている。
図７の（ｂ）は、メモリ１１内のデバイス領域の第二の配置を示している。図７の（ｂ）に示される配置は、監視対象に異常があると監視部４３が判定した場合のメモリ１１内のデバイス領域の配置を示している。言い換えれば、図７の（ｂ）に示される配置は、切替部４４Ａによる切り替え後のメモリ１１を示している。
図７の（ｂ）に示されるように、切替部４４Ａによる切り替え後には、デバイス領域が第一デバイス領域２１３として保護領域２１に配置されている。第一デバイス領域２１３は、実施の形態１におけるデバイス領域２３１に相当し、プロセッサ１２が通信デバイス１３を制御するために用いるメモリ領域である。第一デバイス領域２１３は、図７の（ａ）の第二デバイス領域２３２のステートがノンセキュアからセキュアに変更されたことによって出現したものである。
このようにすることで、プロセッサ１２がノーマルモードで動作しているときに通信デバイス１３の制御を禁止することができる。
以上のように構成された情報処理装置１０Ａの処理を説明する。
図８は、本実施の形態における情報処理装置１０Ａの処理を示すフロー図である。
図８に示されるように、ステップＳ２１１において、監視部４３は、監視対象のメモリ領域を監視する。
ステップＳ２１２において、監視部４３は、ステップＳ２１１での監視において監視対象のメモリ領域に異常があるか否かを判定する。異常があると判定した場合（ステップＳ２１２でＹｅｓ）には、ステップＳ２１３に進み、そうでない場合（ステップＳ２１２でＮｏ）には図８に示される一連の処理を終了する。
ステップＳ２１３において、切替部４４Ａは、デバイスの制御を第二デバイス制御部３２Ａから第一デバイス制御部４１に切り替える。ステップＳ２１３を終えたら情報処理装置１０Ａは、図８に示される一連の処理を終了する。
図８に示される一連の処理によって、情報処理装置１０Ａは、監視対象に異常があると判定した場合に、ノーマルモードでのデバイス制御部による通信デバイス１３の制御を禁止し、セキュアモードでのデバイス制御部による通信デバイス１３の制御によって通信を行うように制御する。これにより、セキュアモードでのデバイス制御部による通信を、ノーマルモードでのデバイス制御部による通信によって妨げられることがなくなり、監視結果を外部に出力することが妨げられることをより一層抑制することができる。
（実施の形態３）
本実施の形態において、監視結果を外部に出力することが妨げられることを抑制する情報処理装置などについて、別の形態を説明する。
本実施の形態の情報処理装置１０Ｂは、監視対象に異常があると判定した場合に、ノーマルモードでのデバイス制御部（第二デバイス制御部）を用いた通信を禁止するように制御する。
図９は、本実施の形態における情報処理装置１０Ｂの機能構成を示す模式図である。図１０は、本実施の形態における管理情報２３３の一例を示す説明図である。
図９に示されるように、情報処理装置１０Ｂは、メモリ１１と、プロセッサ１２と、通信デバイス１３とを備える。
メモリ１１は、保護領域２１と、非保護領域２２とを有する。
保護領域２１は、監視情報２１１と第一デバイス領域２１３とを有する。
第一デバイス領域２１３は、実施の形態１におけるデバイス領域２３１に相当し、プロセッサ１２が通信デバイス１３を制御するために用いるメモリ領域である。
非保護領域２２は、ＨＶ領域２２０、ＶＭ１領域２２１、ＶＭ２領域２２２、・・・、ＶＭｎ領域２２ｎ、管理情報２３３および第二デバイス領域２３２を有する。
管理情報２３３は、仮想アドレスと物理アドレスとの対応を示す情報である。ここで、仮想アドレスは、仮想マシンＶＭ１等がメモリアクセスに使用する仮想的なアドレスであり、物理アドレスは、メモリ１１における実際のアドレスである。管理情報２３３は、例えば、仮想アドレスを物理アドレスに変換するために用いられる。
第二デバイス領域２３２は、実施の形態１におけるデバイス領域２３１に相当し、プロセッサ１２が通信デバイス１３を制御するために用いるメモリ領域である。
切替部４４Ｂは、監視部４３が外部装置と通信するときの通信デバイス１３の制御を、第一デバイス制御部４１による制御、または、第二デバイス制御部３２Ａによる制御に切り替える機能部である（図２参照）。また、切替部４４Ｂは、管理情報２３３を変更することで、プロセッサ１２がノーマルモードで動作しているときに通信デバイス１３の制御を禁止しながら、セキュアモードで動作しているときに通信デバイス１３の制御をする。
図１０を参照しながら管理情報２３３について説明する。
図１０の（ａ）に示されるように、管理情報２３３は、仮想アドレスと物理アドレスとを対応付ける情報である。ここで仮想アドレスは、仮想マシンが使用するメモリ空間におけるアドレスを意味し、物理アドレスは、メモリ１１におけるアドレスを意味する。
管理情報２３３において、仮想アドレスＶＡ１は、第一デバイス領域２１３の仮想アドレスを示しており、仮想アドレスＶＡ２は、第二デバイス領域２３２の仮想アドレスを示しており、物理アドレスＰＡ１は、通信デバイス１３の物理アドレスを示している。
図１０の（ａ）に示される管理情報２３３によれば、第一デバイス領域２１３および第二デバイス領域２３２のどちらも通信デバイス１３を制御することができる。
ここで、切替部４４Ｂが仮想アドレスＶＡ２と物理アドレスＰＡ１との対応付けを削除するように変更すると、図１０の（ｂ）の状態になり、第一デバイス領域２１３による通信デバイス１３の制御が許可されるとともに、第二デバイス領域２３２による通信デバイス１３の制御が禁止される。
図１１は、本実施の形態におけるメモリ１１内のデバイス領域の配置を示す説明図である。
図１１の（ａ）は、メモリ１１内のデバイス領域の第一の配置を示している。図１１の（ａ）に示される配置は、監視対象に異常がないと監視部４３が判定した場合のメモリ１１内のデバイス領域の配置を示している。言い換えれば、図１１の（ａ）に示される配置は、切替部４４Ｂによる切り替え前のメモリ１１を示している。
図１１の（ａ）は、図９に示されるメモリ１１と同じ状態であり、保護領域２１に第一デバイス領域２１３が配置されており、また、非保護領域２２に第二デバイス領域２３２が配置されている。
図１１の（ｂ）は、メモリ１１内のデバイス領域の第二の配置を示している。図１１の（ｂ）に示される配置は、監視対象に異常があると監視部４３が判定した場合のメモリ１１内のデバイス領域の配置を示している。言い換えれば、図１１の（ｂ）に示される配置は、切替部４４Ｂによる切り替え後のメモリ１１を示している。
図１１の（ｂ）に示されるように、切替部４４Ｂによる切り替え後には、第一デバイス領域２１３が配置されており、一方、第二デバイス領域２３２が削除されている。
このようにすることで、プロセッサ１２がノーマルモードで動作しているときに通信デバイス１３を用いた通信を禁止、つまり第二デバイス制御部３２Ａを無効化することができる。
以上のように構成された情報処理装置１０Ｂの処理を説明する。
図１２は、本実施の形態における情報処理装置１０Ｂの処理を示すフロー図である。
図１２に示されるように、ステップＳ３１１において、監視部４３は、監視対象のメモリ領域を監視する。
ステップＳ３１２において、監視部４３は、ステップＳ３１１での監視において監視対象のメモリ領域に異常があるか否かを判定する。異常があると判定した場合（ステップＳ３１２でＹｅｓ）には、ステップＳ３１３に進み、そうでない場合（ステップＳ３１２でＮｏ）には図１２に示される一連の処理を終了する。
ステップＳ３１３において、切替部４４Ｂは、管理情報２３３を変更することで第二デバイス制御部３２Ａを無効化する。ステップＳ３１３を終えたら情報処理装置１０Ｂは、図１２に示される一連の処理を終了する。
図１２に示される一連の処理によって、情報処理装置１０Ｂは、監視対象に異常があると判定した場合に、ノーマルモードでのデバイス制御部（つまり第二デバイス制御部３２Ａ）による通信を禁止し、セキュアモードでのデバイス制御部（つまり第一デバイス制御部４１）による通信を行うように制御する。これにより、セキュアモードでのデバイス制御部による通信を、ノーマルモードでのデバイス制御部による通信によって妨げられることがなくなり、監視結果を外部に出力することが妨げられることをより一層抑制することができる。
（実施の形態４）
本実施の形態において、監視結果を外部に出力することが妨げられることを抑制する情報処理装置などについて、別の形態を説明する。
本実施の形態の情報処理装置１０Ｃは、ノーマルモードで稼働しているアプリのうち特定のアプリが、セキュアモードの第一デバイス制御部４１を用いて通信デバイス１３を制御することで外部装置と通信することができる。
図１３は、本実施の形態における情報処理装置１０Ｃの構成を概念的に示す模式図である。
情報処理装置１０Ｃは、実施の形態１の情報処理装置１０と同様であるが、セキュアモードで稼働する検証部４５を備える。
検証部４５は、制御アプリ部３６Ａについての検証をする機能部である。具体的には、検証部４５は、制御アプリ部３６Ａが出力したデータに付された電子署名、または、制御アプリ部３６Ａの挙動が妥当であること検証した場合に、制御アプリ部３６Ａが第一デバイス制御部４１を用いて通信デバイス１３を制御することを許可する。これにより、制御アプリ部３６Ａは、セキュアモードの第一デバイス制御部４１を用いて外部装置と通信することができる。
以降において、（１）検証部４５が電子署名を検証する場合と、（２）検証部４５が制御アプリ部３６Ａの挙動を検証する場合とについてそれぞれ説明する。
（１）検証部４５が電子署名を検証する場合
図１４は、本実施の形態における情報処理装置１０Ｃの機能構成の第一例を示す模式図である。
図１４に示されるように、情報処理装置１０Ｃは、メモリ１１と、プロセッサ１２と、通信デバイス１３とを備える。
メモリ１１は、保護領域２１と、非保護領域２２とを有する。
保護領域２１は、監視情報２１１を有する。
非保護領域２２は、ＨＶ領域２２０、ＶＭ１領域２２１、ＶＭ２領域２２２、・・・、およびＶＭｎ領域２２ｎを有する。
プロセッサ１２は、メモリ１１を用いてプログラムを実行することで、署名検証部４６と署名部５４とを実現する。署名検証部４６は、プロセッサ１２がセキュアモードで実行されることで実現される機能部であり、検証部４５の一例である。
署名部５４は、プロセッサ１２がノーマルモードで実行されることで実現される機能部である。
署名部５４は、アプリ部５１が有する機能部であり、アプリ部５１Ａが外部装置に出力すべきデータに電子署名を付す機能部である。署名部５４は、アプリ部５１Ａが外部装置に出力すべきデータを取得し、取得したデータに基づいてアプリ部５１Ａの秘密鍵を用いて電子署名を作成し、作成した電子署名を上記データに付す。アプリ部５１Ａは、署名部５４によって電子署名が付されたデータを署名検証部４６に提供する。
署名検証部４６は、アプリ部５１Ａが提供した、電子署名が付されたデータを取得し、取得した電子署名をアプリ部５１Ａの公開鍵を用いて検証する機能部である。署名検証部４６は、電子署名の検証に成功したデータを、第一デバイス制御部４１を用いて通信デバイス１３を制御して送信する。なお、署名検証部４６は、電子署名の検証に失敗したデータを送信しないよう制御する。
このようにすることで、アプリ部５１Ａは、電子署名を用いた検証を利用して、正当と判断された場合のみ、セキュアモードの第一デバイス制御部４１を用いて外部装置と通信することができる。
（２）検証部４５が制御アプリ部３６Ａの挙動を検証する場合
図１５は、本実施の形態における情報処理装置１０Ｄの機能構成の第二例を示す模式図である。
図１５に示されるように、情報処理装置１０Ｄは、メモリ１１と、プロセッサ１２と、通信デバイス１３とを備える。
メモリ１１は、保護領域２１と、非保護領域２２とを有する。
保護領域２１は、監視情報２１１と、挙動情報２１４とを有する。
挙動情報２１４は、アプリ部５１の挙動が適正であることを示す条件（挙動適正条件）を示す情報である。挙動情報２１４は、例えば、アプリ部５１が所定の情報を送信する時間間隔を示す情報、または、アプリ部５１が送信する通信パケットのパケット長を示す情報などを含む。
非保護領域２２は、ＨＶ領域２２０、ＶＭ１領域２２１、ＶＭ２領域２２２、・・・、ＶＭｎ領域２２ｎ、およびデバイス領域２３１を有する。
プロセッサ１２は、メモリ１１を用いてプログラムを実行することで、挙動検証部４７とアプリ部５１Ｂとを実現する。挙動検証部４７は、プロセッサ１２がセキュアモードで実行されることで実現される機能部であり、検証部４５の一例である。アプリ部５１Ｂは、プロセッサ１２がノーマルモードで実行されることで実現される機能部である。
アプリ部５１Ｂは、外部装置へ送信すべき通信データを挙動検証部４７に提供する。
挙動検証部４７は、アプリ部５１Ｂの挙動を検証する機能部である。挙動検証部４７は、保護領域２１が有する挙動情報２１４を取得し、また、外部装置へ送信すべきデータをアプリ部５１Ｂから取得する。そして、挙動検証部４７は、取得した上記データが、挙動情報２１４に示される挙動適正条件を満たす場合に、第一デバイス制御部４１を用いて通信デバイス１３を制御して送信する。なお、挙動検証部４７は、挙動適正条件を満たさないデータを送信しないよう制御する。
このようにすることで、アプリ部５１Ｂは、アプリ部５１Ｂの挙動に基づく検証を利用して、正当と判断された場合のみ、セキュアモードの第一デバイス制御部４１を用いて外部装置と通信することができる。
（実施の形態５）
本実施の形態において、監視結果を外部に出力することが妨げられることを抑制する情報処理装置などについて、別の形態を説明する。
本実施の形態の情報処理装置１０Ｅは、監視対象に異常があると判定した場合に、車両の動作を制御し、より特定的には、車両を縮退動作させるように制御する。
図１６に示されるように、情報処理装置１０Ｅは、メモリ１１と、プロセッサ１２と、通信デバイス１３とを備える。
メモリ１１は、保護領域２１と、非保護領域２２とを有する。
保護領域２１は、監視情報２１１と、制御情報２１５とを有する。
制御情報２１５は、車両を縮退動作させるように制御（縮退制御ともいう）するための制御情報である。縮退制御は、例えば、車両の走行に最低限必要な機能だけを有効とし他の機能を停止させる制御、車両の速度を低下させる制御、または、車両を路上の安全に場所に停車させる制御などを含む。
プロセッサ１２は、メモリ１１を用いてプログラムを実行することで、車両制御部４８を実現する。車両制御部４８は、プロセッサ１２がセキュアモードで実行されることで実現される機能部である。
車両制御部４８は、切替部４４が第二デバイス制御部３２Ａによる制御から第一デバイス制御部４１による制御に切り替えるときには、車両の縮退制御のための制御情報２１５を取得し、取得した制御情報２１５に従って車両を制御する。
このようにすることで、情報処理装置１０Ｅは、メモリの異常を検知した場合に、車両を縮退制御することができる。
以上のように、上記実施の形態の情報処理装置は、プロセッサが第一モードで動作することでデバイスを制御して外部の装置と通信をすることができる。仮にプロセッサが第二モードで動作することでデバイスを制御して外部の装置と通信することしかできないとすれば、そのデバイス、または、そのデバイスを用いた通信に利用する機能が悪意のアプリによって攻撃された場合に、外部の装置との通信が妨げられる。悪意のアプリは、第二モードで動作することが想定されるからである。一方、上記態様に係る情報処理装置によれば、プロセッサが第一モードで動作することでデバイスを制御して外部の装置と通信をすることができるので、第二モードで動作する悪意のアプリによって通信が妨げられることが抑制される。このように、上記態様の情報処理装置は、監視結果を外部に出力することが妨げられることを抑制することができる。
また、情報処理装置は、第二モードでデバイスを制御する状態から、第一モードでデバイスを制御する状態に切り替えることができるので、通常時の通信を第二モードで行い、第一モードでデバイスを制御することが必要であるときに第一モードでデバイスを制御するという動作をすることができる。これにより、第一モードでデバイスを制御する処理を、より少ないコンピュータリソースまたは消費電力で実現することができる利点がある。よって、情報処理装置は、利用するコンピュータリソースまたは消費電力をより少なく抑えながら、監視結果を外部に出力することが妨げられることを抑制することができる。
また、情報処理装置は、メモリの監視対象の領域に異常がある場合に、第一モードでデバイスを制御する状態に切り替えるので、異常があることを示す情報をより確実に外部の装置に送信することができる。よって、情報処理装置は、監視結果を外部に出力することが妨げられることを、より確実に、抑制することができる。
また、情報処理装置は、第一モードでデバイスを制御する状態に切り替えるときに、第二モードでデバイスを制御することを禁止するので、第一モードでデバイスを制御して実行する通信が、第二モードでデバイスを制御して実行する通信によって妨げられることが抑制される。よって、情報処理装置は、監視結果を外部に出力することが妨げられることを、より確実に、抑制することができる。
また、情報処理装置は、メモリの保護領域を用いて第一モードでデバイスを制御し、メモリの非保護領域を用いて第二モードでデバイスを制御する。これにより、情報処理装置は、より容易に、監視結果を外部に出力することが妨げられることを抑制することができる。
また、情報処理装置は、メモリの保護領域を用いて第一モードまたは第二モードでデバイスを制御する。これにより、情報処理装置は、より容易に、監視結果を外部に出力することが妨げられることを抑制することができる。
また、情報処理装置は、第二モードで動作するアプリ部によりデータに付された電子署名の検証を、第一モードで検証して検証に成功したデータを送信するので、正当なアプリ部が送信すべきデータを、第一モードでデバイスを制御することにより送信することができる。よって、情報処理装置は、監視結果を外部に出力すること、および、正当なアプリ部による通信が妨げられることをともに抑制することができる。
また、情報処理装置は、第二モードで動作するアプリ部の挙動の検証を、第一モードで検証して検証に成功したデータを送信するので、正当なアプリ部が送信すべきデータを、第一モードでデバイスを制御することにより送信することができる。よって、情報処理装置は、監視結果を外部に出力すること、および、正当なアプリ部による通信が妨げられることをともに抑制することができる。
また、情報処理装置は、デバイスの制御を第一モードから第二モードに切り替えるときに、さらに車両を縮退制御することができる。これにより、車両を安全に停止させるように車両を制御することができる。よって、情報処理装置は、車両を安全に停止させながら、監視結果を外部に出力することが妨げられることを抑制することができる。
また、情報処理装置は、時分割で第一モードでの動作と第二モードでの動作を切り替えるプロセッサを用いて、監視結果を外部に出力することが妨げられることを抑制することができる。
また、情報処理装置は、第一モードで動作するコアと、第二モードで動作するコアとを含む複数のコアを有するプロセッサを用いて、監視結果を外部に出力することが妨げられることを抑制することができる。
また、情報処理装置であるＥＣＵが監視結果を外部に出力することが妨げられることを抑制することができる。
なお、上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の装置などを実現するソフトウェアは、次のようなプログラムである。
すなわち、このプログラムは、コンピュータに、情報処理装置が実行する情報処理方法であって、前記情報処理装置は、前記情報処理装置の外部の装置との通信をするデバイスと、保護領域と非保護領域とを含むメモリと、前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとで動作するプロセッサとを備え、前記情報処理方法は、前記プロセッサが前記第一モードで動作することで、前記デバイスを制御する第一制御ステップと、前記プロセッサが前記第二モードで動作することで、一以上の仮想マシンを稼働させる仮想マシン管理ステップと、前記プロセッサが前記第二モードで動作することで、前記デバイスを制御する第二制御ステップとを含む情報処理方法を実行させるプログラムである。
以上、一つまたは複数の態様に係る情報処理装置などについて、実施の形態に基づいて説明したが、本発明は、この実施の形態に限定されるものではない。本発明の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つまたは複数の態様の範囲内に含まれてもよい。
本発明は、仮想マシン環境における異常検知装置に利用可能である。
１０、１０Ａ、１０Ｂ、１０Ｃ、１０Ｄ、１０Ｅ、９０ 情報処理装置
１１ メモリ
１２ プロセッサ
１３ 通信デバイス
２０ セキュアモニタ
２１ 保護領域
２２ 非保護領域
３１ アクセス制御部
３２ デバイス制御部
３２Ａ 第二デバイス制御部
３３、３５、４２ 通信制御部
３４、５１、５１Ａ、５１Ｂ アプリ部
３６、３６Ａ 制御アプリ部
４１ 第一デバイス制御部
４３、９１ 監視部
４４、４４Ａ、４４Ｂ 切替部
４５ 検証部
４６ 署名検証部
４７ 挙動検証部
４８ 車両制御部
５２ 仮想マシン管理部
５４ 署名部
２１１ 監視情報
２１２、２３３ 管理情報
２１３ 第一デバイス領域
２１４ 挙動情報
２１５ 制御情報
２２０ ＨＶ領域
２２１ ＶＭ１領域
２２２ ＶＭ２領域
２２ｎ ＶＭｎ領域
２３１ デバイス領域
２３２ 第二デバイス領域
ＨＶ ハイパーバイザ
ＶＭ１、ＶＭ２、ＶＭ３、ＶＭｎ 仮想マシン

Claims (14)

  1. 情報処理装置であって、
    前記情報処理装置の外部の装置との通信をするデバイスと、
    保護領域と非保護領域とを含むメモリと、
    前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとで動作するプロセッサと、
    前記プロセッサが前記第一モードで動作することで、前記デバイスを制御する第一制御部と、
    前記プロセッサが前記第二モードで動作することで、一以上の仮想マシンを稼働させる仮想マシン管理部と、
    前記プロセッサが前記第二モードで動作することで、前記デバイスを制御する第二制御部とを備える
    情報処理装置。
  2. 前記情報処理装置は、さらに、
    前記プロセッサが前記第一モードで動作することで、前記デバイスの制御を、前記第二制御部による制御から前記第一制御部による制御に切り替える切替部を備える
    請求項１に記載の情報処理装置。
  3. 前記情報処理装置は、さらに、
    前記プロセッサが前記第一モードで動作することで、前記仮想マシン管理部に割り当てられる前記メモリの領域を監視対象として監視をし、前記監視対象に異常があるか否かの判定をする監視部を備え、
    前記切替部は、
    前記監視対象に異常があると前記監視部が判定した場合に、前記監視部が前記外部の装置と通信するときの前記デバイスの制御を、前記第二制御部による制御から前記第一制御部による制御に切り替える
    請求項２に記載の情報処理装置。
  4. 前記切替部は、さらに、
    前記第二制御部による制御から前記第一制御部による制御に切り替えるときには、前記第二制御部による前記デバイスの制御を禁止するように制御する
    請求項２または３に記載の情報処理装置。
  5. 前記第一制御部は、
    前記メモリの前記保護領域に含まれる第一デバイス領域を用いて前記デバイスを制御し、
    前記第二制御部は、
    前記メモリの前記非保護領域に含まれる第二デバイス領域を用いて前記デバイスを制御する
    請求項１～４のいずれか１項に記載の情報処理装置。
  6. 前記第一制御部は、
    前記メモリの前記非保護領域に含まれる第二デバイス領域を用いて前記デバイスを制御し、
    前記第二制御部は、
    前記メモリの前記第二デバイス領域を用いて前記デバイスを制御する
    請求項１～４のいずれか１項に記載の情報処理装置。
  7. 前記情報処理装置は、さらに、
    前記プロセッサが前記第二モードで動作することで、所定の処理を実行するアプリ部であって、前記アプリ部が前記情報処理装置の外部の装置に送信すべきデータに電子署名を付すアプリ部と、
    前記プロセッサが前記第一モードで動作することで、前記アプリ部が前記電子署名を付した前記データを受け取り、前記電子署名の検証が成功した場合に、前記データを前記情報処理装置の外部の装置に送信する署名検証部とを備える
    請求項１～６のいずれか１項に記載の情報処理装置。
  8. 前記情報処理装置は、さらに、
    前記プロセッサが前記第二モードで動作することで、所定の処理を実行するアプリ部であって、前記アプリ部が前記情報処理装置の外部の装置に送信すべき１以上のデータを生成するアプリ部と、
    前記プロセッサが前記第一モードで動作することで、前記アプリ部が生成した前記１以上のデータを受け取り、前記アプリ部の通信に係る適正な挙動を示す挙動適正条件を前記メモリの前記保護領域から取得し、受け取った前記１以上のデータが前記挙動適正条件を満たすと判定した場合に、前記データを前記情報処理装置の外部の装置に送信する挙動検証部とを備える
    請求項１～６のいずれか１項に記載の情報処理装置。
  9. 前記情報処理装置は、車両を制御する車両制御部を備え、
    前記車両制御部は、
    前記第二制御部による制御から前記第一制御部による制御に前記切替部が切り替えるときには、前記車両の縮退制御のための制御情報を前記メモリの前記保護領域から取得し、取得した前記制御情報に従って前記車両を制御する
    請求項２に記載の情報処理装置。
  10. 前記プロセッサは、
    前記第一モードでの動作と、前記第二モードでの動作とを時分割で切り替える
    請求項１～９のいずれか１項に記載の情報処理装置。
  11. 前記プロセッサは、複数のコアを有し、
    前記複数のコアのうちの少なくとも１つが前記第一モードで動作し、
    前記複数のコアのうち前記第一モードで動作していないコアの少なくとも１つが前記第二モードで動作する
    請求項１～９のいずれか１項に記載の情報処理装置。
  12. 前記情報処理装置は、車両に搭載されるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）である
    請求項１～１１のいずれか１項に記載の情報処理装置。
  13. 情報処理装置が実行する情報処理方法であって、
    前記情報処理装置は、
    前記情報処理装置の外部の装置との通信をするデバイスと、
    保護領域と非保護領域とを含むメモリと、
    前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとで動作するプロセッサとを備え、
    前記情報処理方法は、
    前記プロセッサが前記第一モードで動作することで、前記デバイスを制御する第一制御ステップと、
    前記プロセッサが前記第二モードで動作することで、一以上の仮想マシンを稼働させる仮想マシン管理ステップと、
    前記プロセッサが前記第二モードで動作することで、前記デバイスを制御する第二制御ステップとを含む
    情報処理方法。
  14. 請求項１３に記載の情報処理方法をコンピュータに実行させるプログラム。
JP2020154123A 2020-09-14 2020-09-14 情報処理装置、情報処理方法、および、プログラム Active JP7514586B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020154123A JP7514586B2 (ja) 2020-09-14 2020-09-14 情報処理装置、情報処理方法、および、プログラム
US17/466,359 US12116002B2 (en) 2020-09-14 2021-09-03 Information processing apparatus, information processing method, and recording medium
DE102021123370.4A DE102021123370A1 (de) 2020-09-14 2021-09-09 Informationsverarbeitungsvorrichtung, informationsverarbeitungsverfahren, und programm

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2020154123A JP7514586B2 (ja) 2020-09-14 2020-09-14 情報処理装置、情報処理方法、および、プログラム

Publications (2)

Publication Number Publication Date
JP2022048019A true JP2022048019A (ja) 2022-03-25
JP7514586B2 JP7514586B2 (ja) 2024-07-11

Family

ID=80351651

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2020154123A Active JP7514586B2 (ja) 2020-09-14 2020-09-14 情報処理装置、情報処理方法、および、プログラム

Country Status (3)

Country Link
US (1) US12116002B2 (ja)
JP (1) JP7514586B2 (ja)
DE (1) DE102021123370A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7549948B1 (ja) 2023-08-10 2024-09-12 パナソニックオートモーティブシステムズ株式会社 監視装置、監視方法、及び、プログラム

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10162767B2 (en) * 2015-06-27 2018-12-25 Mcafee, Llc Virtualized trusted storage
JP6130612B1 (ja) * 2015-08-25 2017-05-17 株式会社Ｓｅｌｔｅｃｈ ハイパーバイザーを有するシステム
US10089247B2 (en) 2016-09-30 2018-10-02 Intel Corporation System and method for coupling a host device to secure and non-secure devices
JP7026298B2 (ja) 2017-09-29 2022-02-28 積水ハウス株式会社 セキュアモードとノンセキュアモードとを選択的に切り替え可能なシステム
JP2019144785A (ja) 2018-02-20 2019-08-29 富士通株式会社 監視プログラム、監視装置及び監視方法
JP6776292B2 (ja) * 2018-03-20 2020-10-28 株式会社東芝 情報処理装置、情報処理方法、およびプログラム
JP7006461B2 (ja) 2018-04-02 2022-01-24 株式会社デンソー 電子制御装置および電子制御システム
US11531770B2 (en) * 2019-12-23 2022-12-20 Intel Corporation Trusted local memory management in a virtualized GPU

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7549948B1 (ja) 2023-08-10 2024-09-12 パナソニックオートモーティブシステムズ株式会社 監視装置、監視方法、及び、プログラム

Also Published As

Publication number Publication date
JP7514586B2 (ja) 2024-07-11
US20220080989A1 (en) 2022-03-17
DE102021123370A1 (de) 2022-03-17
US12116002B2 (en) 2024-10-15

Similar Documents

Publication Publication Date Title
US11775634B2 (en) Computing platform security methods and apparatus
US9747443B2 (en) System and method for firmware based anti-malware security
US9087199B2 (en) System and method for providing a secured operating system execution environment
KR101279683B1 (ko) 운영 체제 리소스 보호
US8549644B2 (en) Systems and method for regulating software access to security-sensitive processor resources
US8621620B2 (en) System and method for protecting and securing storage devices using below-operating system trapping
US20120254993A1 (en) System and method for virtual machine monitor based anti-malware security
US10073972B2 (en) Computing platform security methods and apparatus
US20160328562A1 (en) Computing platform security methods and apparatus
US20120255021A1 (en) System and method for securing an input/output path of an application against malware with a below-operating system security agent
US20120254994A1 (en) System and method for microcode based anti-malware security
JP2016526730A (ja) 仮想マシンにおけるマルウェア検出のためのプロセス評価
JP7411895B2 (ja) 情報処理装置、異常検知方法およびコンピュータプログラム
WO2021117371A1 (ja) 情報処理装置、情報処理方法、および、プログラム
US10250595B2 (en) Embedded trusted network security perimeter in computing systems based on ARM processors
KR102579861B1 (ko) 차량용 소프트웨어 업데이트 장치 및 그 제어 방법
JP2022048019A (ja) 情報処理装置、情報処理方法、および、プログラム
WO2022172578A1 (ja) 車両制御システム、車両制御方法およびプログラム
US11546367B2 (en) Systems and methods for protecting automated systems using a gateway
US11461490B1 (en) Systems, methods, and devices for conditionally allowing processes to alter data on a storage device
CN108459899B (zh) 信息保护方法及装置
EP3694174B1 (en) Systems and methods for protecting automated systems using a gateway
WO2024070044A1 (ja) 検証システム、検証方法、及び、プログラム
JP7244527B2 (ja) ストレージリソースの安全な共用
EP3239887B1 (en) System and method for protecting transmission of audio data from microphone to application processes

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20230224

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20240226

A711 Notification of change in applicant

Free format text: JAPANESE INTERMEDIATE CODE: A711

Effective date: 20240304

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20240305

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20240430

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20240611

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20240626

R150 Certificate of patent or registration of utility model

Ref document number: 7514586

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150