JP2022505340A - データ引数を動的に識別し、ソースコードを計装するためのシステムと方法 - Google Patents

Abstract

本明細書に記載のシステム、方法、及び他の実施形態は、プログラム内のデータインスを検証することに関する。一実施形態において、方法は、電子的要求に応答して、プログラムのソースコードのコードセグメント内のデータ引数を識別することを含む。データ引数は、プログラムの１つ以上の関数間で渡される非制御データである。この方法は、ソースコードから導出される制御フローグラフ内のデータ引数に関するデータ特性を格納することを含む。制御フローグラフは、プログラム内の実行パスを表す。データ特性は、データ引数の状態と、データ引数に関連付けられた少なくとも１つの関係を示す。この方法は、ソースコードの調整を容易にするため、電子的出力として制御フローグラフを提供することを含む。

Description

関連出願の相互参照

この出願は、２０１８年１０月１８日に出願された米国特許出願第１６／１６４１３２号の利益を主張し、その開示全体が参照により本明細書に組み込まれる。

本明細書に記載される主題は、概して、プログラムのデータ引数を動的に抽出するためのシステムおよび方法に関し、特に、プログラムの自動計装を容易にするため、制御フローグラフが生成される制御データ引数と同時に、非制御データ引数を動的に識別することに関する。

悪意のある攻撃からソフトウェアプログラムを保護することは、非常に困難なことでありえる。例えば、プログラムは、様々なデータ型およびそれらのデータ型が実装される方法に関連して様々な脆弱性を含みえる。悪意のある攻撃者は、これらの脆弱性を悪用してデータ値を操作する可能性がある。この悪意のある操作により、ランタイムエラー、データ破壊、データ公開など、プログラムによる意図しないアクションが起こり得る。一般的に、攻撃は、リターンアドレス、関数ポインタ、またはその他のセキュリティ上重要なデータを変更するため、バッファオーバーフローや、制御データ及び／又は非制御データに関連するその他の脆弱性を悪用することにフォーカスしている。

さらに、このような悪意のある攻撃を防ぐために、プログラムがフォーマット、セキュリティ、およびその他の規格に関して望ましい標準に準拠していることを保証することは、特にプログラムが比較的堅牢及び／又は複雑である場合、かなりの困難を伴うことがありえる。一般的に、開発者は、プログラムを最適化し、及び／又はプログラム内の異なる関数／セグメント間の関係をよりよく理解しようとして、制御フローグラフ及び／又は他のツールを参照する場合がある。しかし、現在のアプローチは、開発者が解釈するのが現実的ではない可能性のある大きく複雑なグラフを生成し、また、通常、プログラムを最初に作成するときに役立つようにタイムリーに利用することができない。

同様に、悪意のある攻撃に対するセキュリティを提供するために、プログラムのソースコードに計装を追加すると、開発をさらに複雑にする可能性がある。例えば、計装として具現化される追加のソースコードは、不正確にコード化されたり、一般的にプログラム内に含まれ、その後に検証される多くの多様な計装のセグメントを考慮する際に、意図せずに除外されたりするかもしれない。その結果、プログラムフロー及び／又は非制御データの引数を保護することが、プログラムをさらなる悪意のある攻撃にさらす、セキュリティホールなどのさらなる難題につながる、不適切な計装に煩わされる可能性がある

一実施形態では、データ引数を動的に検証することに関連する例示的なシステム及び方法が開示される。前述のように、ソースコードでデータ引数を識別して計装する現在のアプローチは、そのアプローチが情報の複雑さとタイムリーな利用可能性の問題に悩まされるので、一般的には不十分である。

そのため、一実施形態では、非制御データ引数に関する情報を含む、プログラムの制御フローグラフをリアルタイムで生成するデータ制御システムが開示される。さらに、データ制御システムは、一実施形態において、データフローの完全性およびプログラムフローの完全性を確保するために、プログラムのソースコードを自動的に計装するなどの追加の機能を提供するように、制御フローグラフを使用する。１つのアプローチにおいて、開示されるデータ制御システムは、コードセグメントが、後にプログラムにコンパイルされるソースコードに追加されるときに、コードセグメントの統合開発環境を監視する。フロー制御システムは、例えば、セグメントの追加を検出することに応答して、コードセグメントの制御フロー特性とともに、データ引数のデータ特性を識別する。

通常、データ特性には、データ引数がインスタンス化されたとき、使用されたとき、変更されたときなどのように、関連付けられたデータ引数の状態に関連する態様が含まれる。さらに、データ特性には、データ引数が渡される関数、どの関数がデータ引数を変更することができるかなどのように、データ引数に関連する関係が含まれてもよい。

さらに、制御フロー特性には、例えば、関数呼び出し、リターンアドレス、スタックポインタなどのような、プログラムの工程内及び／又は工程間の制御フロー（例えば、制御データ）に影響を与える態様が含まれる。制御フロー特性とデータ特性の知識があれば、プログラムの非制御データを記述するデータ特性も統合しながら、システムは制御フローグラフのセクションを動的に生成／更新してプログラムフローを表すことができる。例えば、追加のコードセグメントがソースコードに統合されたとき、データ制御システムは、新たに統合されたコードセグメントのさまざまな態様に関するノード、有向エッジ、およびノード内のタグ／メーカーを生成する。１つのアプローチでは、データ制御システムは、ソースコードが変更されると（例えば、追加される、修正されるなど）、システムは、制御データと非制御データの両方をさらに表すために、制御フローグラフに新しいセグメントの追加、及び／又は既存のセグメントの変更も行うように、制御フローグラフをリアルタイムで動的に更新する。

その結果、制御フローグラフは、単一の洗練されたデータ構造内にプログラムの様々な重要な態様を具体化する。かくして、データ制御システムは、一実施形態において、制御フローグラフをさらなるモジュール／システムに提供し、追加の機能を容易にする。例えば、一実施形態において、データ制御システムは、ソースコードを自動的に計装するメカニズムとして制御フローグラフを使用する。データ制御システムは、例えば、プログラムフロー及びデータ引数の保護を容易にするために計装を含むべき、グラフ内の制御の観点及び非制御の観点の両方を識別する。かくして、システムは、ソースコードの特定の態様とともに計装が自動的に含まれるように、計装をリアルタイムで統合する。このようにして、データ制御システムは、プログラムフローとデータの完全性をより確実にすることにより、プログラムの開発と最終的な機能を向上させる。

一実施形態において、プログラム内のデータ引数を検証するためのデータ制御システムが開示される。データ制御システムは、１つ以上のプロセッサと、１つ以上のプロセッサに通信可能に結合されたメモリとを含む。メモリは、１つ以上のプロセッサによって実行されるとき、１つ以上のプロセッサに、電子的要求に応答して、プログラムのソースコードのコードセグメント内のデータ引数を識別させる命令を含む分析モジュールを格納する。データ引数は、プログラムの１つ以上の関数間で渡される非制御データである。メモリは、１つ以上のプロセッサによって実行されるとき、１つ以上のプロセッサに、ソースコードから導出された制御フローグラフ内のデータ引数に関するデータ特性を格納させる命令を含むグラフモジュールを格納する。制御フローグラフは、プログラム内の実行パスを表す。データ特性は、データ引数の状態と、データ引数に関連付けられた少なくとも１つの関係を示す。グラフモジュールには、ソースコードの調整を容易にするため、電子的出力として制御フローグラフを提供するための命令が含まれる。

一実施形態において、非一時的なコンピュータ可読媒体が開示される。コンピュータ可読媒体は、１つ以上のプロセッサによって実行されたとき、１つ以上のプロセッサに、開示された機能を実行させる命令を格納する。命令には、電子的要求に応答して、プログラムのソースコードのコードセグメント内のデータ引数を識別するための命令が含まれる。データ引数は、プログラムの１つ以上の関数間で渡される非制御データである。命令には、ソースコードから導出された制御フローグラフ内のデータ引数に関するデータ特性を格納するための命令が含まれている。制御フローグラフは、プログラム内の実行パスを表す。データ特性は、データ引数の状態と、データ引数に関連付けられた少なくとも１つの関係を示す。命令には、ソースコードの調整を容易にするため、電子的出力として制御フローグラフを提供する命令が含まれる。

一実施形態において、プログラム内のデータ引数を検証する方法が開示される。この方法は、電子的要求に応答して、プログラムのソースコードのコードセグメント内のデータ引数を識別することを含む。データ引数は、プログラムの１つ以上の関数間で渡される非制御データである。この方法は、ソースコードから導出された制御フローグラフ内のデータ引数に関するデータ特性を格納することを含む。制御フローグラフは、プログラム内の実行パスを表す。データ特性は、データ引数の状態と、データ引数に関連付けられた少なくとも１つの関係を示す。この方法は、ソースコードの調整を容易にするため、電子的出力として制御フローグラフを提供することを含む。

本明細書に組み込まれ、その一部を構成する添付図面は、本開示の様々なシステム、方法、および他の実施形態を示す。図中に示された要素の境界（例えば、ボックス、ボックスのグループ、または他の形状）は、境界の一実施形態を表すことが理解されよう。いくつかの実施形態では、１つの要素が複数の要素として設計されてもよく、または複数の要素が１つの要素として設計されてもよい。いくつかの実施形態では、別の要素の内部コンポーネントとして示される要素は、外部コンポーネントとして実現されてもよく、その逆もあり得る。さらに、要素は縮尺どおりに描かれない場合がある。
図１は、制御フローグラフの生成及びプログラムのソースコードに関連する他の機能の実行に関連付けられたデータ制御システムの一実施形態を示す。 図２は、プログラムのソースコードの一例を示す。 図３は、図１のシステムが図２のソースコードから導出する制御フローグラフの一例を示す。 図４は、制御フローグラフのさらなる例を示す。 図５は、制御フローグラフの追加の例を示す。 図６は、ソースコードと、それから導出されたデータ引数のデータ特性の例を示す。 図７は、メモリ内のデータ引数の操作の一例を示している。 図８は、リアルタイムで制御フローグラフを生成することに関連する方法の一実施形態を示す。 図９は、データ引数を識別し、制御フローグラフ内にデータ引数を統合することに関連する方法の一実施形態を示す。 図１０は、ソースコードを自動的に計装することに関連する方法の一実施形態を示す。

データ引数を動的に検証することに関連するシステム、方法、および他の実施形態が開示される。前述のように、ソースコードでデータ引数を識別して計装する現在のアプローチは、そのアプローチが情報の複雑さとタイムリーな利用可能性の問題に煩わされるので、一般的には不十分である。従って、結果として得られるプログラムは、データフローの不十分な保護に悩まされる可能性がある。

それゆえ、一実施形態において、プログラムの制御フローグラフをリアルタイムで生成するデータ制御システムが開示される。さらに、データ制御システムは、一実施形態において、制御フローグラフを使用して、制御フローグラフ内に具体化された制御及び非制御データ引数の両方に関連して定義されたポリシーにより、ソースコードを自動的に計装するなどの追加機能を提供する。そして、プログラムの自動計装を提供することにより、プログラムの適切な実行（例えば、プログラムフローおよびデータの完全性）を確保することが容易になり得る。

１つのアプローチにおいて、開示されるデータ制御システムは、例えば、コードセグメントのための統合開発環境内の電子的データストリームを監視する。データ制御システムがコードセグメント又は既存のコードセグメントへの変更を検出すると、データ制御システムは、例えば、コードセグメント、及び、もしあれば、既存のソースコードとコードセグメントがどのように統合されているかを分析し、コードセグメントの特性を識別する（つまり、様々なデータ引数を識別する観点）。

概して、特性には、例えば、少なくとも非制御データ引数が含まれるが、制御フロー引数も含まれる場合がある。非制御の側面は、変数の使用に関連する（例えば、プログラムの実行パスに影響しないメモリ位置の変更）一方で、制御フローの側面は、関数呼び出し、リターンアドレスなどのような、プログラムの工程内及び／又は工程間の制御フローに影響を与える。様々な特性の知識により、システムは、プログラムの様々なポイントでアクセスされ、変更され、そして開始されるプログラムフローとデータ引数の両方に関連して、制御フローグラフのセクションを動的に生成／更新することができる。

例えば、追加のコードセグメントがソースコードに統合されると、データ制御システムは、新たに統合されたコードセグメントに関する、ノード、有向エッジ、データ引数の状態、及び制御フローグラフの他の特徴を生成／変更する。一態様において、データ制御システムは、ソースコードが変更されると（例えば、追加される、修正されるなど）、システムが制御フローグラフに新しいセグメントを追加もする、及び／又は既存のセグメントを変更もするように、制御フローグラフをリアルタイムで動的に更新する。データ制御システムは、ソースコードが開発されるときにリアルタイムで動作するものとして説明されているが、データ制御システムは、完了時に全体として、断続的に、要求に応じてなど、ソースコードを処理するように機能してもよいことを理解されたい。

従って、データ制御システムは、プログラムを改善するために、基礎となるソースコードの多くの態様を具体化する、生成された制御フローグラフを使用することができる。すなわち、一実施形態において、データ制御システムは、制御フローグラフを使用して、実行の様々な段階でのデータ引数の状態とともに、プログラムの実行フローの視覚的表現を生成する。換言すると、データ制御システムは、１つのアプローチにおいて、プログラムが開発されている間、プログラムについて開発者に知らせる方法として、リアルタイムの更新を伴う、統合開発環境（ＩＤＥ）内での制御フローグラフの視覚的表現を電子的に表示する。このように、制御フローグラフをリアルタイムで提供することにより、制御フローデータ引数、及び非制御データ引数の両方に関連する、プログラムの適切なプログラム構造を確保することが容易になる。このようにして、データ制御システムは、開発中にプログラムの重要な観点のより良い認識を促進することにより、プログラムの機能を向上させる。

さらに、データ制御システムは、制御フローグラフをメカニズムとして使用して、ソースコードを自動的に計装する。データ制御システムは、例えば、プログラムフローの完全性とデータの完全性を確保するために計装を含める必要があるソースコードのセグメントに関連付けられているグラフ内の態様を識別する。制御フローグラフは、例えば、ソースコードの重要な態様を本質的に識別するデータ特性と制御フロー特性を格納するので、データ制御システムは、この属性を活用して、ソースコードがランタイムチェックの計装方法を改善する。

かくして、データ制御システムは、ソースコードの特定の態様とともに計装が自動的に含まれるように、そして、１つのアプローチでは、開発者がプログラムを開発している最中に、計装を含めることをはっきりと覚えていなくても、作業中に計装を検証できるようにリアルタイムで、計装を統合する。このようにして、データ制御システムは、データの完全性とプログラムフローの完全性を改善する。

図１を参照すると、データ制御システム１００の一実施形態が示されている。本明細書では、データ制御システム１００に関して構成を説明するが、実施形態は、図示のような単一のシステムに限定されないことが理解されよう。いくつかの実装形態において、データ制御システム１００は、クラウドコンピューティングシステム、クラスタコンピューティングシステム、分散コンピューティングシステム、ソフトウェア－アズ－ア－サービス（ＳａａＳ）システムなどとして具現化され得る。従って、データ制御システム１００は、説明の目的のため単一のデバイスとして図示され、説明されるが、開示されるコンポーネントが構成することができる全体的な可能な構成を制限するように解釈されるべきではない。例えば、別個のモジュール、メモリ、データベースなどは、様々な組み合わせで様々なコンピューティングシステムに分散されても良い。

データ制御システム１００はまた、様々な要素を含む。様々な実施形態では、データ制御システム１００が図１に示されるすべての要素を有する必要がない場合があることが理解されよう。データ制御システム１００は、図１に示される様々な要素の任意の組み合わせを有することができる。さらに、データ制御システム１００は、図１に示されるものに対して追加の要素を有することができる。いくつかの構成では、データ制御システム１００は、図１に示される１つ以上の要素なしで実現されても良い。さらに、様々な要素が図１のデータ制御システム１００内に配置されているように示されているが、これらの要素のうちの１つ以上は、データ制御システム１００の外部に配置することができることが理解されよう。さらに、示されている要素は、大きな距離で物理的に隔てられても良い。

加えて、図のシンプルさと分かり易さのため、適宜、対応するまたは類似の要素を示すために、異なる図の間で参照番号が繰り返されることが理解されよう。さらに、説明は、本明細書に記載された実施形態の完全な理解を提供するために、多くの特定の詳細を概説する。しかしながら、当業者は、本明細書に記載の実施形態が、これらの要素の様々な組み合わせを使用して実施され得ることを理解するであろう。

いずれの場合も、データ制御システム１００は、プログラムのデータ完全性の改善に関連する、本明細書に開示される方法および他の機能を実行するように実現される。言及された機能と方法は、図のさらなる説明でより明らかになるであろう。さらに、データ制御システム１００は、プロセッサ１１０を含むものとして示されている。このように、様々な実施例において、プロセッサ１１０は、データ制御システム１００の一部であっても良いし、データ制御システム１００は、データバスまたは別の通信経路を介してプロセッサ１１０にアクセスしても良いし、プロセッサ１１０は、データ制御システム１００によってアクセス可能なリモートコンピューティングリソースであっても良い。いずれの場合も、プロセッサ１１０は、他の電子デバイスを制御する、または他の電子デバイスの制御を引き起こすために使用され得る様々な電子的出力を生成するようにマシン可読命令を実行することができる、マイクロプロセッサ、ＡＳＩＣ、または別のコンピューティングコンポーネントなどの電子デバイスである。

一実施形態において、データ制御システム１００は、分析モジュール１３０、グラフモジュール１４０、および計装モジュール１５０を格納するメモリ１２０を含む。メモリ１２０は、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、ハードディスクドライブ、フラッシュメモリ、またはモジュール１３０、１４０、および１５０を格納するための他の適切なメモリである。モジュール１３０、１４０、および１５０は、例えば、プロセッサ１１０によって実行されるとき、プロセッサ１１０に本明細書に開示される様々な機能を実行させるコンピュータ可読命令である。様々な実施形態では、モジュール１３０、１４０、および１５０は、限定されないが、ハードウェアロジック、ＡＳＩＣ、プロセッサ１１０のコンポーネント、電子メモリ内に埋め込まれた命令などを含むことができる、異なる形態で実現することができる。

データ制御システム１００を引き続き参照すると、一実施形態では、システム１００はデータベース１６０を含む。データベース１６０は、一実施形態では、メモリ１２０、分散メモリ、クラウドベースメモリ、または別のデータストアに格納された電子データ構造であり、格納されたデータを分析する、格納されたデータを提供する、格納されたデータを整理するなどのため、プロセッサ１１０によって実行され得るルーチンで構成される。例えば、一実施形態では、データベース１６０は、様々な決定を実行する際にモジュール１３０、１４０、および１５０によって使用されるデータを格納する。一実施形態では、データベース１６０は、制御フローグラフ１７０を格納する。さらなる実施形態では、データ制御システム１００は、グラフ１７０を、メモリ１２０、特化型データ構造、プロセッサ１１０のキャッシュメモリ、または別の適切なデータストレージコンポーネントに格納する。

本明細書で使用されるように、プログラムは、ソースコードから導出されるコンパイルされたマシンコードを指す。例えば、一実施形態において、プログラムは、マシンコードであるコンパイル済みのプログラムまたはその一部である。本明細書で使用される「マシンコード」という語句は、一般的に、例えば、プロセッサ１１０などのマイクロプロセッサによって実行することができる機械語命令で表されるプログラムを指す。さらに、マシンコードは、一般的に、関連するハードウェアによって実行される命令セットによって定義されるオペコードで構成される、原始言語またはハードウェア依存言語であると理解される。さらに、マシンコード自体は、データ値、レジスタアドレス、メモリアドレスなどでさらに構成される。もちろん、プログラムはマシンコードであると説明されているが、さらなる実施形態では、プログラムは、アセンブリコードまたはソースコードから導出される別の中間表現である。

プログラムのコンパイル元となるソースコードは、例えば、関数、データ構造、オブジェクト、ステートメントなどで構成される。ソースコードの一部として含まれている計装は、さらに同じ要素（例えば、オブジェクト、ステートメントなど）で構成される。一般的に、プログラムは一連の関数として編成されている。様々な表現において、関数は、サブ関数として互いに入れ子にされ得る。さらに、関数は、通常、一連のステートメント（ループ、Ｉ／Ｏステートメントなど）から構成され、典型的には特定の機能にフォーカスされている。つまり、各個別の関数は、通常、特定のタスクを行うために実行される。例えば、サブ関数は、親関数のより広範な機能をサポートするサブルーチンを実行することができる。いずれの場合も、関数は、関数自体を形成するステートメントを定義し、その関数に関連付けられた機能の実現を提供するソースコードを含む。

さらに、本明細書で説明されるように、記載されたモジュール１３０、１４０、１５０は、統合開発環境へのプラグインとして、またはスタンドアロン機能として機能し得る。統合開発環境（ＩＤＥ）は、ソフトウェア開発のための便宜を提供するプログラムまたはプログラムの集合である。例えば、ＩＤＥは、ソースコードエディタ、ビルドツール、デバッガ、コンパイラ、インタプリタ、グラフィカルユーザーインターフェイス（ＧＵＩ）などを含むことができる。一般的に、ＩＤＥは、プログラムの作成を容易にするツールやその他の特徴を備える総合的な環境を提供することを通じて、開発者（つまり、プログラマ）の効率を向上させる仕組みである。例えば、前述のように、１つ以上の構成では、モジュール１３０、１４０、１５０は、追加の機能を提供するためにＩＤＥと統合するプラグインである。そして、１つのアプローチでは、モジュール１３０、１４０、１５０は、例えば、ＩＤＥに電子的に提供されるコードセグメントを含む、電子的入力および出力ストリームを含む、ＩＤＥの電子データにアクセスする。モジュール１３０、１４０、および１５０は、アクセスを容易にするために、ＩＤＥのアプリケーションプログラムインターフェース（ＡＰＩ）を活用することができる。さらに、そのようなアクセスは、モジュール１３０、１４０、１５０の統合を自動化する（例えば、直接的な統合アクセスを提供する）アプリケーションフックの形態で提供されてもよい。いずれの場合も、システム１００およびモジュール１３０、１４０、１５０は、通常、ＩＤＥと協調して機能する。例えば、ＩＤＥは、実行時に、通常、プログラムのコンパイル元のソースコードを管理し、実際にソースコードをプログラムにコンパイルする機能を提供することもある。

データベース１６０の要素について続けると、グラフ１７０は、プログラムを通じて、実行パスを表す制御フローグラフである。その上、グラフ１７０は、さらにデータ引数およびグラフ１７０内の異なるノードでのデータ引数の関連状態を表す。一実施形態において、分析モジュール１３０及びグラフモジュール１４０は、ソースコードが動的にＩＤＥに提供されるときに、ソースコードからグラフ１７０を導出するように一緒に機能する。代替の実施形態では、分析モジュール１３０及びグラフモジュール１４０は、特定の要求に応答して、断続的に、またはソースコードがコンパイルされる前に、記載された機能を実行するように動作する。

グラフモジュール１４０は、１つのアプローチにおいて、ノード、及びノード間の有向エッジを使用してグラフ１７０を形成する。ノードはソースコードのブロックを表し、一方、ノード間の有向エッジはブロック間の遷移を表す。ブロックは、コードの原子セグメント（例えば、中断されない）または少なくとも一体的に関連するソースコードのセグメントである。一実施形態では、有向エッジは、ブロック／セグメント間の工程内および／または工程間の制御フロー転送を示す。つまり、エッジは、ハンドオーバー、関数呼び出し、関数の引数などを表す。概して、有向エッジは、個別のブロック間のプログラム実行における転送を示す。

さらに、一実施形態において、グラフモジュール１４０は、非制御データ引数に関するデータ特性を使用して、制御フローグラフ１７０に注釈を付ける。例えば、グラフモジュール１４０は、ソースコード内のデータ引数に関する注釈を含むようにグラフ１７０を生成する。データ引数は、関数間で渡される変数などの非制御データ引数である。対照的に、ノード及び有効エッジを生成するためにグラフモジュール１４０によって使用される制御フロー特性は、プログラムの実行パスに影響を与える制御フローデータ引数を表す。いずれの場合も、グラフモジュール１４０は、少なくともノード／エッジに関連するデータ引数の関連状態を識別するデータ特性を含むように、ノード及び／又は有向エッジに注釈を付ける。このようにして、グラフモジュール１４０は、悪意のある攻撃を受けやすい可能性があるプログラムの潜在的に脆弱な態様のより分かりやすい表現を有するようにグラフ１７０を生成する。

別の実施形態では、ノードおよび有向エッジは、本明細書に記載されているものとは異なって定義され得ることを理解されたい。例えば、１つのアプローチにおいて、ノードと、有効エッジを定義する状態とを含むセグメント／ブロックは、グラフポリシーに従って指定される。グラフポリシーは、それぞれノート及びエッジを形成するブロック／セグメント及び遷移を識別するためのテンプレート、例示的なセグメント／状態、及び／又はメトリクスを定義する。例えば、システム１００は、別々の実施形態に従って、グラフ１７０の特徴を柔軟に定義するように実現され得る。同様に、システムは、特定の実施形態に従って変化するように、グラフポリシー内の非制御データ引数を定義するデータ特性を定義することができる。

例として、図２は、プログラムのソースコードのサンプルセグメントを示す。さらに、図３は、例示的な制御フローグラフ３００を示す。制御フローグラフ３００は、分析モジュール１３０を介して提供される入力からグラフモジュール１４０によって生成され得るグラフの例示である。そして、グラフ３００は、ソースコード２００からのコードのセグメント／ブロックに対応するノード３０５、３１０、３１５、３２０、３２５、３３０、３３５、３４０、及び３４５を含む。グラフ３００は、ソースコード２００のセグメント間の関係に対応するノード間の有向エッジをさらに示す。さらなる態様において、グラフ３００には明示的に示されていないが、グラフモジュール１４０は、グラフ３００内に非制御データ引数のデータ特性を含む。例えば、分析モジュール１３０は、文字列ｃｈａｒを非制御データ引数として識別することができる。従って、文字列ｃｈａｒのデータ特性は、ＰｒｉｎｔｆやＰｕｔｃなどの1つ以上の関数による変更を示す一方で、グラフ１７０内の追加の注釈として、文字列がどこで／いつ初期化され得るかを示すこともできる。

さらに、個々のノード及び有向エッジは、例えば、ソースコードの制御フロー特性に従って定義される。つまり、ソースコードのブロック／セグメントが相互に関連する方法と、ブロック／セグメント自体の間の画定とが、ソースコードの制御フロー特性に従って定義される。後でさらに説明されるように、グラフモジュール１４０は、概して、プログラムのソースコードから制御フロー特性とデータ特性を識別し、システム１００内で定義されたグラフポリシーに従ってそのようにしてもよい。

いずれの場合も、図４及び５は、ソースコードの様々なセグメントに対応する制御フローグラフ４００及び５００のさらなる例を示している。例えば、図４に示されるように、グラフ４００は、対応する有向エッジによって示されるように、ｉｆ－ｔｈｅｎ－ｅｌｓｅステートメントを介して別々のパスで互いに関係するソースコードの別々のセグメントに対応する４つの別々のノード４１０、４２０、４３０、４４０を含む。さらに、図５は、関連するブロック／関数内のコードのセグメントを表すノード５１０、５２０、５３０、５４０を含むグラフ５００を示している。図示のように、グラフ５００は、出口ノード５４０につながる別々の有向エッジによって示される２つの別個の退出状態を含むループを表す。このように、グラフ１７０は、プログラムの実行フローを表すために、ソースコードの多くの異なる構成を描写することができる。

さらに、提供される例は、比較的短いコードセグメントに関するものであり、一般的な傾向として、グラフ１７０は、複数のノードおよびそれらの間の有向エッジを含むことを理解されたい。一例として、例示的なグラフ４００および５００に示されるような「出口」ノードは、様々な実施例において、通常、実際のプログラム出口ではなく、別個のコードセグメントへの遷移を示す。さらに、グラフ４００および５００は、非制御データ引数と一緒に示されていないが、グラフ４００及び５００を有する別個のノードは、関連する非制御データ引数の態様をさらに指定するために注釈を付けられ得ることを理解されたい。このように、グラフ１７０は、視覚的な形式で表現されたとき、開発者によるより良い理解を容易にし、また、様々なモジュールにプログラムフローおよびデータ特性の理解を提供することにより、さらなる自動化機能を促進するためのものでもある。

分析モジュール１３０およびグラフモジュール１４０が、グラフ１７０に含めるために非制御データ引数に関する情報を抽出する方法のさらなる例として、図６を検討する。図６は、分析モジュール１３０によってソース６００から抽出され得るデータ特性６０５に伴う、ソースコード６００のサンプルセクションを示す。図６に示されるように、データ特性６０５は、ソースコード６００の実行中の様々な段階での整数“パス”のデータ引数の注釈を含む。すなわち、データ特性６０５は、６１０及び６１５でのデータ引数のインスタンス化および設定、６２０及び６２５でのデータ引数の使用、６３０及び６３５での、データ引数を設定するための条件付きエントリ、および最後に６４０でのｉｆステートメント内でのデータ引数のさらなる使用を含む、パスデータ引数の状態を示す。従って、データ特性６０５は、データ引数へのプログラムアクセスがいつ、どの局面で適切であるか／許容されるかを示す。かくして、グラフモジュール１４０は、ソースコードに関するさらなる詳細を提供するために、グラフ１７０内にデータ特性を格納することができる。

追記として、データ引数は、一般的にソースコード内で記述されている変数で、文字列、整数、文字など様々なタイプのものがある。さらに、ソースコードは、複数のそのような非制御データ引数を含むことができるが、分析モジュール１３０は、１つのアプローチにおいて、グラフポリシーによって示される条件に従って、特定のデータ引数のデータ特性を選択的に識別する。従って、グラフ１７０内にデータ引数を含めることは、分析モジュール１３０がデータ引数は包含の条件を満たすと決定することに左右され得る。条件は実施形態に応じて変わり得るが、概して、グラフポリシーは、操作にさらされる可能性のあるデータ引数、または含まれるべきデータ引数としてより機密性の高いデータ引数（例えば、パスワード）を示す。

図７は、図６のデータ引数が悪意を持って操作される可能性がある方法の一例を示している。例えば、図７は、メモリ１２０内に格納されたソースコード６００からの文字列「データ」と、整数「パス」を示している。このように、整数パスは、文字列データの直後のメモリアドレスで発生する。そして、メモリ１２０の変更ビュー７００に示されるように、ソースコード６００が文字列０から４９９内の５００の場所に対して実行されるときに、文字列ｃｈａｒの値が調整される。しかしながら、文字列の悪意のある操作は、７１０に示されるように、文字列データを超えて拡大し、整数パスを上書きしようとする。
整数パスなどのデータ引数に対するこのタイプの悪意のある攻撃は、データ引数のランタイムチェックを提供する計装を含めることで防ぐことができるものである。

図１のデータベース１６０について続けると、計装ポリシー１８０は、後でより詳細に説明されるように、計装モジュール１５０がソースコード内に計装を含める対象とする、様々な状態及び／又はソースコードのセグメントを定義する。概して、計装は、特定の実装例に応じて異なる目的を果たすことができる。例えば、計装は関数内に統合されて、プログラムフローを制御する（例えば、プログラムが誤った方向に向かわないことを確認する）、デバッグする、データ引数を検証する（例えば、データ値の操作を防止する）、Ｉ／Ｏを検証する、などを提供することができる。例えば、プログラムが先進運転支援システム（ＡＤＡＳ）を制御して、道路上で車両がどのように制御されるかを自動的に調整する例において、計装は、プログラムが悪意のある攻撃によって操作された場合に、事故や乗員の負傷をもたらし得るプログラムフロー及び／又はデータ値の悪意のある操作を防ぐためのセキュリティ計装を含むことができる。

さらなる態様では、計装ポリシー１８０はまた、計装閾値又は少なくとも計装閾値を生成するためのメトリクスを定義する。１つのアプローチでは、計装ポリシー１８０は、多様なクラスの関数、データ引数などの計装閾値を定義する。例えば、計装ポリシー１８０は、一実施形態において、開発者によってタグ付けされ得るか、またはコードセグメントに関連付けられ、定義されたメトリクスに従って導出され得るセキュリティレベルに従って関数／引数のクラスを定義する。従って、計装ポリシー１８０は、第１のクラスの第１の閾値、第２のクラスの第２の閾値、第３のクラスの第３の閾値などを示すことができる。概して、セキュリティレベルの個別のクラス及び関連する閾値は、特定の関数／引数の脆弱性（例えば、操作への露出）又は他の観点に関連する場合がある。そのため、計装ポリシー１８０は、計装の包含を最適化するために、セグメントが計装されるべきである異なる閾値を示し得る。従って、実際には、計装モジュール１５０が、例えば、コードセグメントを評価し、注目された閾値が満たされると、評価に従って計装を自動的に含める。

さらに、コードセグメント内に含まれる実際の計装そのものは、一実施形態において、前述のグラフポリシー内のテンプレートとして定義される。例えば、テンプレートは、プログラムフローの制御、Ｉ／Ｏの検証、追加の機能のフックの提供、データ引数へのデータ完全性の提供などに関連してさまざまな機能を実行する一連の標準化された計装を定義する。さらに、テンプレートは、１つのアプローチにおいて、例えば、計装が包含される特定のコードセグメントに従って計装モジュール１５０によってカスタマイズされる変数をさらに示す。すなわち、計装モジュール１５０は、一例では、関数のリターンアドレスを確かめるため、又は変数へのアクセスを制御するために計装を含むことができる。このように、計装モジュール１５０は、関連するソースコードに対応するように、及びテンプレートをベースとして使用することによって、関連するソースコードセグメントにセキュリティまたは他の機能を提供するように、テンプレートからの関連する計装ステートメントの変数を変更する。計装ポリシー１８０および計装モジュール１５０のさらなる特徴は、後に説明される。

図１について続けると、分析モジュール１３０は、一実施形態において、プロセッサ１１０によって実行されるとき、コードセグメントがソースコードに追加されていると、プロセッサに、コードセグメントを検出させるコンピュータ可読命令を含む。１つのアプローチにおいて、分析モジュール１３０は、アプリケーションプログラムインターフェース（ＡＰＩ）または他のプログラムフックを介して内部的にＩＤＥにアクセスして、ＩＤＥ内の電子的入力ストリームにアクセスする。電子的入力ストリームは、通常、関連するコンピューティングデバイスの他のシステムコンポーネントを介してＩＤＥに提供されるなんらかの電子的入力を含む。例えば、分析モジュール１３０は、プロセッサ１１０上で実行する他のプロセスからの電子的入力、ネットワーク通信インターフェースを介して受信される電子的通信、プロセス内（すなわち、ＩＤＥ内）通信、コンピューティングデバイス（例えば、キーボード）と接続されたマシンインターフェースデバイスからのＩ／Ｏ入力、などを監視する。

そして、分析モジュール１３０は、１つのアプローチにおいて、プログラムのソースコードへの追加及び／又は変更のための注目すべき電子的入力を監視する。すなわち、分析モジュール１３０は、新しいコードセグメント、既存のコードセグメントを変更する入力などについて、ＩＤＥへの入力ストリームを監視する。

さらに、分析モジュール１３０は、一実施形態において、ソースコードを分析して、ソースコードの制御フロー特性及びデータ特性を識別するための命令も含む。すなわち、ソースコード内で変更が行われると、分析モジュール１３０は、変更が生じたときにリアルタイムで変更をアクティブに検出し、そして、ソースコード全体に関して変更を分析して、それに関連する制御フロー／データ特性を識別する。一実施形態において、制御フロー特性は、関数呼び出しなどのプログラムの工程内及び／又は工程間制御フロー転送、及び、呼び出し規約と一緒に、記号名、関数引数および戻り値を伴うリターンアドレスなどを含む。より一般的には、制御フロー特性は、プログラムの実行に影響を与え、ハンドオーバー、終了、遷移などをもたらす態様に関連する。

さらに、制御フロー特性には、通常、ソースコード内の様々なポイントでのデータ引数の現在の状態、データ引数に関連付けられた関係（例えば、変数が渡される、及び／又は変数を操作することができる関数）などが含まれる。より一般的には、データ特性は、変数及び変数の許可された使用／アクセスを識別する。このように、分析モジュール１３０は、一実施形態において、制御フロー／データ特性を識別するために、注目すべき監視および分析をリアルタイムで実施し、その結果、グラフモジュール１４０は、ソースコードの様々な態様に関して更新されたフォームにグラフ１７０を維持することができる。

そして、グラフモジュール１４０は、一実施形態において、プロセッサ１１０によって実行されるとき、プロセッサ１１０に、制御フロー／データ特性に従って制御フローグラフ１７０を生成／更新させるコンピュータ可読命令を含む。グラフモジュール１４０は、概して、非制御データ引数についての注釈／タグとともに、ノードおよび有向エッジを表すためのプログラム要素を含む電子データ構造としてグラフ１７０を生成することに留意されたい。最初に、グラフモジュール１４０は、ヌル値またはエントリノードだけを含むグラフ１７０を生成し、そこから、グラフモジュール１４０は、ソースコードが開発されるときに、注目される更新を通じてグラフ１７０を構築する。

このように、グラフモジュール１４０は、グラフ１７０に調整／変更が行われると、グラフ１７０をリアルタイムで更新する。あるいは、前述のように、グラフモジュール１４０は、例えば、間欠的、ソースコードの完了時、ソースコードをコンパイルする前などに、電子的要求を受信すると、グラフ１７０を生成してもよい。従って、グラフモジュール１４０は、一実施形態において、制御フロー特性を積極的に使用して、ソースコードの態様を変更する。例えば、グラフモジュール１４０は、一実施形態において、ソースコードによって定義されるプログラムのリアルタイム評価を提供するために、修正／追加が行われる区分的にグラフ１７０を開発する。さらに、グラフモジュール１４０は、通常、分析モジュール１３０からの制御フロー特性と並行して提供されるデータ特性も使用して、制御フローグラフ１７０に非制御データ引数に関する情報をさらに含める。

さらなる態様として、グラフモジュール１４０は、一実施形態において、制御フローグラフ１７０を電子的に提供するための命令をさらに含み、計装の包含などのソースコードの調整を容易にする。１つの態様において、グラフモジュール１４０は、変更／追加が発生したときにリアルタイムで変更／追加を含めることによってグラフ１７０を積極的に開発する。グラフ１７０は、プログラムが実行されたとき、起こり得る実行パス、及びプログラムにわたるデータ引数などの関連状態を表す。従って、グラフ１７０は、ソースコード内の潜在的なエラー（例えば、無限ループ、露出される関数、安全でないデータなど）についての見識を提供し、それは、様々なモジュールやシステムによって、コンパイルされたプログラムにおける難題（例えば、セキュリティホール、プログラム障害など）を回避するべく、ソースコードを改善するために活用され得る。

このように、グラフモジュール１４０は、一実施形態において、制御フローグラフ１７０の視覚的表現を生成し、統合開発環境（ＩＤＥ）内で視覚的表現を動的に表示することによってグラフ１７０を提供する。従って、コードセグメントが生成されてＩＤＥに提供されると、分析モジュール１３０は、ソースコード全体への影響とともに、コードセグメントを識別して分析し、制御フロー特性およびデータ特性を提供する。制御フロー特性から、グラフモジュール１４０は、変更の効果が開発者にリアルタイムで視覚的に描写されるように、グラフ１７０および視覚的表現をプログラムのリアルタイム表現として生成する。１つ以上の実施形態では、視覚的表現は、ＩＤＥ内のウィンドウに電子的に表示され、グラフ１７０への変更／更新を示す識別子を含む。

例えば、例として、図２、３、４を参照し、コード２００がｉｆ－ｔｈｅｎ－ｅｌｓｅステートメントを含むように変更されたとする。すると、分析モジュール１３０は、ソースコードへの変更を検出し、変更されたコードを分析して、存在する可能性のある任意のデータ引数の制御フロー特性およびデータ特性を生成する。次に、グラフモジュール１４０は、制御フロー特性およびデータ特性に従って、新たに追加されたステートメントのデータ引数のノード、有向エッジ、および注釈を生成し、これらは、グラフモジュール１４０によって使用されて、例えばノード３２５で、グラフ４００を含むようにグラフ３００を変更する。従って、グラフモジュール１４０は、新たに追加されたセグメントを収容するように元のグラフを調整しながら、変更をグラフィカルに示すために、視覚的表現内でこの調整を描写することがさらに可能である。

さらに、代替の実施形態では、グラフモジュール１４０は、システム１００内のさらなるモジュール／コンポーネント、またはグラフモジュール１４０から離れたシステム／モジュールにもグラフ１７０を提供する。例えば、一実施形態において、データ制御システム１００は、計装モジュール１５０を含む。計装モジュール１５０は、プロセッサによって実行されるとき、プロセッサ（例えば、プロセッサ１１０）に、制御フローグラフ１７０に従って、ソースコード内に計装を統合させる命令を含む。例えば、１つのアプローチでは、計装モジュール１５０は、リアルタイムに、かつグラフ１７０によって反映されるようにソースコードの変更に応じて、ソースコードに計装を追加する。従って、計装モジュール１５０は、グラフ１７０の変化、ソースコードの新しいコードセグメントの包含、既存のコードセグメントへの変更などの特定の条件を監視することができ、これらは、例えば、ＩＤＥのＡＰＩ又は別の適切なメカニズムを通じて、計装モジュール１５０への電子的要求として機能する。電子的要求は、一実施形態において、計装モジュール１５０に、プログラムフローの完全性及び／又はデータの完全性が保証されるべき所に、及び／又は計装がソースコードの特定のコードセグメントに関して別個の機能を提供することになっている所に、計装を含ませる。

前述のように、計装ポリシー１８０は、ソースコードのどの態様が計装されるべきかを（例えば、計装の場所およびタイプを特定するためのメトリクス又は他の条件を介して）識別するための様々なメカニズムを示す。様々な態様において、計装モジュール１５０によって含められる計装は、プログラムの実行が制御フローグラフ１７０に従うことを保証し、及び／又はグラフ１７０で識別される特定のデータ引数の完全性を保証することによって、プログラム内のランタイムチェックを強化するためのものである。このように、計装モジュール１５０は、通常プログラムフローとデータとの両方に関して、プログラムの完全性を強化するための計装を含める方法を知るために、グラフ１７０を介して伝達される制御引数及び非制御引数の知識を使用する。

さらに、計装モジュール１５０は、さらなる態様において、データフロー、データ使用／アクセス、およびプログラム内で計装される他の態様を理解するために、グラフ１７０も参照する。このようにして、計装モジュール１５０は、プログラムフローおよびデータの完全性を強化するランタイムチェックを自動的に含めることによって、プログラムのセキュリティを改善する。さらに、計装モジュール１５０は、一実施形態において、アドレスチェック（例えば、データおよびプログラムフローのメモリアドレス）、変数／関数の戻り型チェック、データバインドチェック、オペコードチェック、コール－リターンペアの一致（例えば、非単一クラス）などを実行する計装を含める。

もちろん、計装モジュール１５０は、開発者が新しいコードセグメントを提供する、及び既存のコードセグメントを調整するとき、リアルタイムでソースコード内に計装を動的に含めるものとして説明されているが、代替の構成では、計装モジュール１５０は、ソースコードの完成バージョンまたは初期バージョン上で、計装を含むように実行される。１つのアプローチでは、計装モジュール１５０は、ソースコードをプログラムにコンパイルする要求と並行して開始されたときに、計装を自動的に追加する。

いずれの構成においても、計装モジュール１５０は、ソースコードおよび制御フローグラフ１７０を分析して、計装をソースコード内に統合する。特に、計装モジュール１５０は、グラフ１７０の有効エッジによって特定されるソースコード内の工程遷移、グラフ１７０内で識別されるデータ引数が使用／変更される場所などの、制御フローグラフ１７０とソースコードとの間の相関関係に従って、計装されるべきソースコードのセグメントを識別する。さらに、計装モジュール１５０は、ソースコードに従ってテンプレートの定義された計装をカスタマイズするように、定義された計装のテンプレートを修正することによって、識別されたセグメントに従い計装を自動的に追加する。このようにして、追加された計装が希望どおりに機能することを確実にするために、例えば、定義された計装のセットを事前テストし、検証することができる。

さらに別の態様では、計装モジュール１５０は、ソースコードのタグ付け／ラベル付けされたセクションに従った計装を含む。すなわち、例えば、一実施形態において、計装モジュール１５０は、ＩＤＥ内、特に、計装されるべきソースコードの部分として、特定のステートメント、関数、データ引数、又は他の部分を識別する、ソースコードの特定のステートメント、関数、データ引数、又は他の部分内の電子的入力を監視する。様々なアプローチにおいて、電子的入力は、計装の基本的な必要性を示すために、ソースコードの部分にコメント識別子または他のラベルをタグ付けし、一方、さらなる態様においては、入力は、含まれるべき特定の計装、又は少なくとも含まれるべき計装の特性を指定する。例えば、提供されるラベルは、計装されるべき機密性の高い／高価値の関数またはデータ引数を示し得る一方で、さらなる態様では、提供されるラベル／タグは、計装の特性を指定せず、コードの部分が、自動的に計装されるために計装モジュール１５０によって分析されることが必要であることを単に示す。

いずれの場合においても、計装モジュール１５０は、その後の計装の生成をさらに知らせるために、電子的入力に従ってソースコードの部分にラベル付け／タグ付けすることができる。電子的入力の元々の形式は実施形態によって異なり得るが、通常、ソースコードの一部にタグを提供するものとして、その後の入力の特性を指定するＩＤＥのＧＵＩの要素の選択を含む。例えば、１つ以上の属性選択が、ＧＵＩ内で有効化されることができ、その後、選択されたソースコードの一部は、計装モジュール１５０によって自動的にその属性でタグ付けされる。

制御フローグラフを生成し、そこからさらなる機能を提供する追加の態様が、図８に関連して説明される。図８は、リアルタイムで制御フローグラフを生成することに関連する方法８００を示している。方法８００は、図１のデータ制御システム１００の観点から説明される。方法８００は、データ制御システム１００と組み合わせて説明されるが、方法８００はデータ制御システム１００内で実行されることに限定されず、むしろ、方法８００を実行することができるシステムの一例であることを理解されたい。

８１０で、分析モジュール１３０は、プログラムのソースコードに追加されているコードセグメントを監視して、周期的に検出する。本明細書で使用される場合、８１０でコードセグメントを追加することは、概して、新しいコードセグメントを追加すること、及びプログラムのソースコード内の既存のコードセグメントを変更することも指すことに留意されたい。より普遍的には、分析モジュール１３０は、ソースコードへの変更を伴う入力（例えば、コード、コマンドなど）について、コンピューティングデバイス内の統合開発環境（ＩＤＥ）への電子入力ストリームを監視する。従って、分析モジュール１３０は、一実施形態において、例えば、ＡＰＩを介したＩＤＥへの入力ストリームを継続的に監視して、いつソースコードが変更されている（すなわち、追加又は変更されている）かを識別する。結果として、注目すべき変更を検出すると、分析モジュール１３０は、制御フロー特性を識別するためにブロック８２０に進む。

８２０で、分析モジュール１３０は、グラフ１７０の制御フロー特性を識別する。一実施形態では、分析モジュール１３０は、深さ優先探索を使用してソースコードを分析し、ソースコード内のステートメントを考察する。さらなる態様では、分析モジュール１３０は、ソースコードを考察し、理解され得るように特性を識別するための他の適切なアプローチを実施する。分析モジュール１３０がソースコードを考察しているとき、モジュール１３０は、少なくとも関数呼び出し、関数戻りアドレス、関数引数、関数戻り値、および制御フロー特性としてのステートメント間の関係を識別するために、ソースコード内のステートメントを解析する。

様々な実装形態において、分析モジュール１３０は、８１０で検出されたコードセグメント／変更に関連するソースコードの影響を受けた部分を分析し、一方、さらなる態様では、分析モジュール１３０は、変更に応答して、制御フロー特性を識別するためにソースコード全体を再分析する。概して、実行されるアプローチは、ソースコードの全サイズ、変更のサイズ、および分析を実行するために利用可能なリソースに関連する。例えば、一実施形態では、分析モジュール１３０は、示された選好に従って制御フロー特性を決定するために、部分的または完全なレビューを選択的に行う。分析モジュール１３０によって実行されるアプローチがどちらであっても、制御フロー特性は、グラフ１７０に表されるプログラムの工程内及び／又は工程間制御フロー転送に関する情報を提供する。

さらに、分析モジュール１３０は、一実施形態において、制御フロー特性をグラフポリシーと比較することによって、ソースコードのどのステートメントが脆弱性を含むかをさらに識別する。一実施形態では、グラフポリシーは、セキュリティの脆弱性およびパフォーマンスのボトルネックを示す条件を定義する。従って、情報が、その後、グラフ１７０と統合されて、ソースコードの様々な部分の特性に関するさらなる指標を提供するように、脆弱性およびボトルネックに関する追加情報も制御フロー特性内に含めることができる。さらに、様々なアプローチにおいて、分析モジュール１３０は、グラフポリシーによって指定されたさらなる情報を使用して、脆弱性およびボトルネックを識別する。このように、グラフポリシーは、脆弱性と相関するデータフロー、制御データ引数、データ公開、およびプログラムフローに関連するプログラムの条件をさらに指定することができる。いずれの場合も、分析モジュール１３０は、グラフ１７０への包含のために、制御フロー特性内のプログラムフローに直接的および間接的に関連する態様を含めることができる。

８３０で、グラフモジュール１４０は、制御フローグラフ１７０を更新する。一実施形態では、グラフモジュール１４０は、グラフ１７０のノードおよび有向エッジを形成するために、８２０で識別される制御フロー特性を使用する。制御フローグラフは、概してプログラムにわたる実行パスを表すことを考慮し、そのため、グラフモジュール１４０は、制御フロー特性を使用して、グラフ１７０が形成される元となる異なるコードセグメント（例えば、ノード）間のパス（例えば、有向エッジ）を識別する。このように、グラフモジュール１４０は、コードセグメントに適用させるように制御フローグラフの既存のノードおよびエッジを変更しながら、検出されたコードセグメントに対応する制御フロー特性を追加することによって、制御フローグラフ１７０を更新する。つまり、例えば、既存の有向エッジは、追加のノードが追加され、既存のノードが変更され、示される状態が変更され、又は新たな状態が追加されるなどと同時に、再ルーティングされ得る。

さらに、前述のように、グラフモジュール１４０は、グラフ１７０を更新するためコードセグメントがソースコードに追加されると、リアルタイムで機能する。かくして、グラフモジュール１４０は、プログラムの開発を容易にするためにグラフ１７０を直接参照することができるように、グラフ１７０を更新された形式に維持する。

さらに、グラフモジュール１４０はまた、前述のように、追加の特性でグラフ１７０を更新する。すなわち、グラフモジュール１４０は、ノードに関連するコードセグメントの脆弱性、様々なノードに関連するボトルネック、および他の注目すべき特性について、グラフ１７０でタグを付けるか、さもなければ注釈を提供する。従って、グラフモジュール１４０は、ソースコードが書かれているようにグラフ１７０を積極的に開発するだけでなく、グラフモジュール１４０は、例えば、特定の特性を目立たせることによって脆弱性及びボトルネックの軽減を容易にするために、対応するノードのデータ構造内にコードセグメントに関する追加情報も提供する。

８４０で、グラフモジュール１４０は、ソースコードの調整を容易にすることによってプログラムの機能を改善するために、制御フローグラフ１７０を提供する。前に説明したように、制御フローグラフ１７０は、プログラムの実行がどのように進行するかの表現を提供し、さもなければ、一般的には識別できないソースコードに関する見識を提供する。このため、様々なシステムは、グラフ１７０を活用して、ソースコードを操作し、及び／又は開発者にさらなる機能を提供することができる。

８４０で制御フローグラフ１７０を提供する一態様として、グラフモジュール１４０は、制御フローグラフの視覚的表現を生成し、プログラムのリアルタイム表現を提供するために、コードセグメントが生成されると、統合開発環境（ＩＤＥ）内で視覚的表現を動的に表示する。視覚的表現は、例えば、図３から５のグラフと同様の方法で、ソースコードのノード、有向エッジ、および他の記号表現を含むインタラクティブなグラフィックとして提供される。

制御フローグラフを生成すること、特に、非制御データ引数を識別することの追加の態様が、図９に関連して説明される。図９は、非制御データ引数のデータ特性を制御フローグラフに統合することによって、データ引数を検証することに関連する方法９００を示している。方法９００は、図１のデータ制御システム１００の観点から説明される。方法９００は、データ制御システム１００と組み合わせて説明されるが、方法９００は、データ制御システム１００内で実施されることに限定されず、むしろ、方法９００を実施することができるシステムの一例であることを理解されたい。さらに、方法９００は、概して、方法８００とは分けて説明されるが、方法８００と方法９００の両方は、１つのアプローチにおいて、その後、追加機能を容易にするために、計装モジュール１５０及び／又は他のシステムによって使用される関連情報を用いて制御フローグラフ１７０を事前設定するために、並行して実行されることを理解されたい。

９１０で、分析モジュール１３０は、要求を監視する。一実施形態では、要求は、コードセグメントがソースコードに追加されるときに生成される電子的要求である。方法８００に関連して説明したように、本明細書で使用される場合、９１０でコードセグメントを追加することは、概して、新しいコードセグメントを追加すること、及びプログラムのソースコード内の既存のコードセグメントを変更することも指す。より普遍的には、分析モジュール１３０は、ソースコードへの変更を伴う入力（例えば、コード、コマンドなど）について、コンピューティングデバイス内の統合開発環境（ＩＤＥ）への電子入力ストリームを監視する。１つのアプローチでは、分析モジュール１３０は、例えば、ＡＰＩを介したＩＤＥへの入力ストリームを継続的に監視して、いつソースコードが変更されている（すなわち、追加又は変更されている）かを識別する。かくして、分析モジュール１３０は、ブロック８１０及び９１０で説明された機能を、分析すべきソースコード内の情報がいつ利用可能となったかを識別するため、実行されるプロセスを監視する単一のチェックとして実行することができる。結果として、注目すべき変更を検出すると、分析モジュール１３０は、制御フロー特性を識別するためにブロック９２０に進む。

９２０で、分析モジュール１３０は、コードセグメント内の１つ以上のデータ引数を識別する。一実施形態では、ブロック９２０での非制御データ引数の識別は、方法８００のブロック８２０での制御フロー特性の識別と並行して行われる。分析モジュール１３０は、例えば、データ引数が制御データ引数であるか又は非制御データ引数であるかを定義するデータ型およびデータ型の関連などの、グラフポリシーによって指定される指標に従ってデータ引数を識別する。

いずれの場合も、分析モジュール１３０は、コードセグメントでソースコードを解析して、データ引数を識別し、そこからデータ特性を収集する。一実施形態において、データ特性は、制御フローグラフの様々なポイントでのデータ引数の状態、およびデータ引数に関連する少なくとも１つの関係（例えば、データ引数が渡される関数）を示す。さらに、状態は、データ引数との許容される相互作用を識別するために、設定／開始、使用、および変更の少なくとも1つを含むことができる、アクセスまたは使用のタイプを示す。

様々な実施形態において、分析モジュール１３０は、９１０での検出されたコードセグメント／変更と関連する、ソースコードの影響される部分を分析し、一方、さらなる態様では、分析モジュール１３０は、変更に応答して、ソースコード全体を再分析して制御フロー特性を識別する。概して、実行されるアプローチは、ソースコードの全サイズ、変更のサイズ、及び分析を実行するために利用可能なリソースに関連する。例えば、一実施形態において、分析モジュール１３０は、示された選好に従って制御フロー特性を決定するために、部分的または完全なレビューを選択的に行う。分析モジュール１３０によって実行されるアプローチがどちらであっても、データ特性は、グラフ１７０に表されるプログラムのデータフローに関する情報を提供する。

追加的に、分析モジュール１３０は、一実施形態において、データ特性をグラフポリシーと比較することによって、ソースコードのどのステートメントが脆弱性を含むかをさらに識別する。一実施形態では、グラフポリシーは、プログラム内で処理されるデータの特定の態様に関連するセキュリティの脆弱性を示す条件を定義する。従って、脆弱性に関する追加情報も、その後、グラフ１７０と統合されて、ソースコードの様々な部分の特性に関するさらなる指標を提供するように、グラフ１７０内に含まれるデータ特性内に含めることができる。

９３０で、グラフモジュール１４０は、識別されたデータ引数のデータ特性を制御フローグラフ１７０に格納する。一実施形態では、グラフモジュール１４０は、データ引数に関する情報をグラフ１７０のノードに統合するために、９２０で識別されたデータ特性を使用する。ブロック９２０と同様に、ブロック９３０で説明されている機能は、方法８００と並行して、特に、方法８００のブロック８３０とともに説明されている機能と並行して発生し得る。

このように、グラフモジュール１４０は、データ引数と関連する状態がデータ引数への様々なアクセスを示すグラフ１７０の関連ノードに、検出されたコードセグメントに対応するデータ特性を格納することによって、検出されたデータ引数に従って制御フローグラフ１７０を更新する。すなわち、例えば、グラフ１７０のノードは、与えられたデータ引数のデータ特性の少なくとも一部がグラフ１７０のそれぞれのノード内に格納されるように、データ特性で注釈付け／タグ付けされる。かくして、特定のコードブロックを表し、データアクセスに従ってデータ引数に関連する、または関数間でデータを渡すノードに対して、グラフモジュール１４０は、アクセスの関係および特性を示すために、関連する注釈をノードに追加する。

さらに、グラフモジュール１４０はまた、前述のように、追加の特性でグラフ１７０を更新する。すなわち、グラフモジュール１４０は、特定のデータ引数の脆弱性についてタグ付けするか、そうでなければグラフ１７０に注釈を提供して、例えば、注目される非制御データ引数の計装を確実にする。従って、グラフモジュール１４０は、グラフ１７０を積極的に開発するだけでなく、グラフモジュール１４０は、脆弱性の軽減を容易にするために、対応するノードのデータ構造内のコードセグメントに関する追加情報も提供する。

９４０で、グラフモジュール１４０は、電子的出力として制御フローグラフ１７０を提供する。以前に説明したように、制御フローグラフ１７０は、実行の様々なステップでのデータ引数の使用に関する特徴付けとともに、プログラムの実行がどのように進行するかについての表現を提供する。このように、グラフ１７０は、一般的に他では識別できないソースコードに関する見識を提供する。このため、様々なシステムは、グラフ１７０を活用して、ソースコードを操作し、及び／又はさらなる機能を提供することができる。

９４０で制御フローグラフ１７０を提供する１つの態様として、グラフモジュール１４０は、非制御データ引数のデータ完全性及び制御データ引数の制御フロー完全性の両方を確保するために、制御フローグラフ１７０内で識別されたソースコードのセグメントが計装され得るように、グラフ１７０を計装モジュール１５０に電子的に通信する。

図１０は、プログラムのソースコードを自動的に計測することに関連する方法１０００を示している。図８、９に関連して説明したのと同様の方法で、方法１０００が、図１のデータ制御システム１００の観点から説明される。方法１０００は、データ制御システム１００と組み合わせて説明されるが、方法１０００は、データ制御システム１００内で実施されることに限定されず、むしろ、方法１０００を実施することができるシステムの一例であることを理解されたい。

最初の注意点として、方法１０００は、ブロック１０１０、１０２０、１０３０を含むものとして示され、これらは、概して、並行に実行されるブロック８１０、８２０、８３０、および９１０、９２０、および９３０と相関すると理解されるべきである。例えば、ブロック１０１０は、並行に実行されるブロック８１０および９１０に関連する機能を表す。さらに、ブロック１０２０は、並列に実行されるブロック８２０および９２０を表し、ブロック１０３０は、並列に実行されるブロック８３０および９３０を表す。かくして、記載されたブロックの説明は繰り返されないが、代わりに、方法８００および方法９００の両方からの態様の並列実行を含むと理解されるべきである。さらに、グラフ１７０は、通常、機能の電子的出力として、ブロック１０１０～１０３０からブロック１０４０で方法１０００に提供されることを理解されたい。

１０４０で、計装モジュール１５０は、ソースコードを計装する要求を監視および検出する。様々な実施形態では、要求は異なる形式をとることができる。例えば、１つのアプローチでは、要求は、グラフ１７０も変更されるソースコードへの変更と同時に行われる。すなわち、グラフ１７０がソースコードへの変更に従って更新されるとき、計装モジュール１５０も、その変更に対してリアルタイムでソースコードを計装するように機能する。

あるいは、計装要求は、ソースコードが完了すると、またはさらなる態様では、ソースコードがプログラムにコンパイルされるときに、システム１００によって生成される。従って、ソースコードを計装する要求は、一実施形態において、ＩＤＥ内で生成されたソースコードをコンパイルする要求に応答してシステム１００によって生成され、コンパイルの前に処理される。このように、計装モジュール１５０は、ソースコードが変更されるとき、またはソースコードがコンパイルされる準備ができたときに、リアルタイムで機能して、ソースコードを計装する。

１０５０で、計装モジュール１５０は、計装されるべきソースコードのコードセグメントを識別する。一実施形態では、計装モジュール１５０は、ソースコードのセグメントに配置された既存のタグに従って、コードセグメントに関連付けられたグラフ１７０内のラベル付けされた特性に従って、グラフ１７０に表される識別された制御フローに従って、グラフ１７０内の識別された非制御データ引数に従って、及び／又は、計装ポリシー１８０によって定義されるさらなるメトリクス／特性に従って、コードセグメントを識別する。概して、計装モジュール１５０は、実行中のプログラムのプログラムフローの完全性及びデータの完全性を保証するためにソースコードを計装している。従って、計装モジュール１５０は、機能間で制御を直接的または間接的に転送し、プログラムフローアドレスを調整し、データ引数を操作し、および他のそのようなコードセグメントに関与する、コードセグメントを識別する。概して、注目されるコードセグメントは、グラフ１７０内のノードおよび有向エッジ、または有向エッジによって具体化された転送に関連する条件に関連付けられる。

従って、さらなる態様では、計装モジュール１５０は、制御フローグラフ１７０に従ってソースコードを分析する。計装モジュール１５０はまた、１つ以上の実施形態において、コードセグメントが計装を含むために実装される計装ポリシー１８０を満たすかどうかを決定するために、個々のコードセグメントを分析することができる。つまり、機能内にいつ計装を含めるべきかを決定するために、重要度レベル、セキュリティレベルなどに応じた閾値のような様々な条件が、識別され得る。このようにして、プログラムのパフォーマンスとセキュリティを考慮し、必要とされないかもしれない場合に不必要に計装を含めることを避けるように、計装をインテリジェントな方法で含めることができる。

いずれの場合も、ソースコード内のすべてのコードセグメント／機能が計装される必要はないので、１０５０でのチェックは、コードセグメントが計装されるべきかを評価することを含むことができる。すなわち、例えば、計装モジュール１５０は、新たに追加／調整されたコードセグメントの特性を評価して、コードセグメントが計装を含む必要があるかを決定する。計装モジュール１５０が、コードセグメントは計装を含む必要があると決定すると、計装モジュール１５０は、ブロック１０６０で説明するように計装の統合を継続する。そうでなければ、変更されたセグメントのみが考慮される場合、または他のセグメント全体は考慮されない場合、計装モジュール１５０は終了し得る。

１０６０で、計装モジュール１５０は、計装をソースコード内に統合する。以前に述べたように、一実施形態では、計装モジュール１５０は、プログラムのセキュリティを改善する、プログラム内のランタイムチェックを強化するために、制御フローグラフ１７０の制御データ引数及び非制御データ引数の両方に従った計装を含める。つまり、ソースコードに追加される計装は、プログラムがグラフ１７０によって表されるパスの範囲外に導かれ得ないことを保証し、また、データ（すなわち、変数）が、ソースコードから識別される許容される使用／変更の範囲外で悪意を持って変更され得ないことを保証する。

さらに、計装を統合するプロセスは、一実施形態において、計装モジュール１５０が、ソースコードに従って、定義された計装のテンプレートを修正することによって、識別されたセグメントに応じた計装を自動的に追加することを含む。以前に説明したように、計装モジュール１５０は、計装が統合されているコードセグメントに適合するようにテンプレートの変数を調整する。従って、計装モジュール１５０は、含まれる計装をカスタマイズして、特定の機能を達成すると同時に、例えば、事前に承認され、一般に正しく機能することが知られている計装も使用する。このようにして、計装モジュール１５０は、グラフ１７０を使用して、計装を介して実施されるデータランタイムチェックおよび制御ランタイムチェックの両方を通じて、結果として生じるプログラムを究極的に改善する追加の機能を提供する。このように、結果として得られるプログラムは、悪意のある攻撃からプログラムのセキュリティを保証するより優れた計装によって改善される。

さらに、図１のデータ制御システム１００は、個別の集積回路及び／又はチップを用いて様々な配置で構成できることを理解されたい。そのような実施形態では、図１の分析モジュール１３０は、別個の集積回路として具現化される。さらに、グラフモジュール１４０は、個々の集積回路上に具現化される。さらに、計装モジュール１５０は、別個の集積回路上に具現化される。回路は、個別の回路間で信号の通信を提供するために、接続経路を介して接続される。もちろん、別個の集積回路が説明されるが、様々な実施形態では、回路は、共通の集積回路基板に統合されてもよい。さらに、集積回路は、より少ない集積回路に組み合わせられるか、またはより多くの集積回路に分割されてもよい。別の実施形態では、モジュール１３０、１４０、１５０は、分離された特定用途向け集積回路に組み合わされてもよい。さらなる実施形態では、モジュール１３０、１４０、１５０に関連する機能の一部は、プロセッサによって実行可能なファームウェアとして具現化され、非一時的メモリに格納されてもよい。さらに別の実施形態では、モジュール１３０、１４０、１５０は、プロセッサ１１０のハードウェアコンポーネントとして統合される。

別の実施形態では、説明された方法及び／又はそれらの均等物は、コンピュータ実行可能命令で実現することができる。従って、一実施形態では、非一時的なコンピュータ可読媒体が、マシン（例えば、プロセッサ、コンピュータなど）によって実行されるとき、マシン（及び／又は関連するコンポーネント）にその方法を実行させる、格納されたコンピュータ実行可能命令を有して構成される。

説明を簡単にするために、図に示された方法は一連のブロックとして示され、説明されているが、いくつかのブロックは、図示及び説明されたものから異なる順序で、及び／又は他のブロックと同時に発生し得るため、方法はブロックの順序によって限定されないことを理解されたい。さらに、図示されたすべてのブロックよりも少ないブロックを使用して、例示の方法を実行してもよい。ブロックは組み合わされ、または複数のコンポーネントに分離されてもよい。さらに、追加及び／又は代替の方法は、図示されていない追加のブロックを使用することができる。

データ制御システム１００は、１つ以上のプロセッサ１１０を含むことができる。１つ以上の構成では、プロセッサ１１０は、データ制御システム１００のメインプロセッサであり得る。例えば、プロセッサ１１０は、電子制御ユニット（ＥＣＵ）であり得る。データ制御システム１００は、１つ以上のタイプのデータを格納するための１つ以上のデータストアを含むことができる。データストアは、揮発性及び／又は不揮発性メモリを含むことができる。適切なデータストアの例には、ＲＡＭ（ランダムアクセスメモリ）、フラッシュメモリ、ＲＯＭ（リードオンリーメモリ）、ＰＲＯＭ（プログラム可能リードオンリーメモリ）、ＥＰＲＯＭ（消去可能プログラム可能リードオンリーメモリ）、ＥＥＰＲＯＭ（電気的消去可能プログラム可能リードオンリーメモリ）、レジスタ、磁気ディスク、光ディスク、ハードドライブ、分散メモリ、クラウドベースのメモリ、開示されたデータを格納するのに適した他の記憶媒体、またはそれらの任意の組み合わせが含まれる。データストアは、プロセッサ１１０の構成要素であり得るか、またはデータストアは、プロセッサによる使用のためにプロセッサ１１０に動作可能に接続され得る。この説明全体で使用される「動作可能に接続される」という用語は、直接的な接続、又は直接の物理的接触のない接続を含む、間接的な接続を含み得る。

詳細な実施形態が本明細書に開示される。しかし、開示された実施形態は例としてのみ意図されていることを理解されたい。従って、本明細書で開示される特定の構造および機能の詳細は、限定として解釈されるべきではなく、単に特許請求の範囲の基礎として、および、実質的に任意の適切な詳細構造において本明細書の態様を様々に採用することを当業者に教示するための代表的な基礎として解釈されるべきである。さらに、本明細書で使用される用語および語句は、限定することを意図するものではなく、可能な実施例の理解可能な説明を提供することを意図している。種々の実施形態が図１から図１０に示されているが、実施形態は、図示された構造または用途に限定されない。

図中のフローチャートおよびブロック図は、様々な実施形態によるシステム、方法、およびコンピュータプログラム製品の可能な実施例のアーキテクチャ、機能、および動作を示している。これに関して、フローチャートまたはブロック図の各ブロックは、特定の論理機能を実行するための１つ以上の実行可能な命令を含むモジュール、セグメント、またはコードの一部を表すことができる。いくつかの代替の実施例では、ブロックに示された機能が、図に記載されている順序以外で発生する可能性があることにも注意されたい。例えば、連続して示された２つのブロックが、実際には、実質的に同時に実行されても良く、またはそれらのブロックが、関連する機能に応じて、ときには逆の順序で実行されても良い。

上述したシステム、コンポーネント、及び／又はプロセスは、ハードウェア又はハードウェアとソフトウェアの組み合わせで実現でき、１つの処理システムにおいて中央集権方式で、または相互接続された複数の処理システムに異なる要素が分散された分散方式で実現することができる。本明細書に記載の方法を実行するように適合されたあらゆる種類の処理システムまたは別の装置が適している。ハードウェアおよびソフトウェアの組み合わせは、ロードされ、実行されたときに、本明細書に記載の方法を実行するように処理システムを制御するコンピュータで使用可能なプログラムコードを備えた処理システムであり得る。システム、コンポーネント、及び／又はプロセスは、本明細書に記載された方法およびプロセスを実行するためにマシンによって実行可能な命令のプログラムを目に見える方法で具体化した、マシンによって読み取り可能な、コンピュータプログラム製品または他のデータプログラムストレージデバイスなどのコンピュータ読み取り可能なストレージに埋め込むこともできる。これらの要素は、本明細書で説明した方法の実行を可能にするすべての特徴を備えた、処理システムにロードされたときにこれらの方法を実行することができるアプリケーション製品に組み込むこともできる。

さらに、本明細書で説明された構成は、例えば記憶されるなどして、具体化されたコンピュータ可読プログラムコードを有する１つ以上のコンピュータ可読媒体に具現化されるコンピュータプログラム製品の形をとることができる。１つ以上のコンピュータ可読媒体
の任意の組み合わせが利用されてもよい。コンピュータ可読媒体は、コンピュータ可読信号媒体またはコンピュータ可読記憶媒体であり得る。「コンピュータ可読記憶媒体」という語句は、非一時的な記憶媒体を意味する。コンピュータ可読媒体は、限定されるものではないが、不揮発性媒体および揮発性媒体を含む、形態をとることができる。不揮発性媒体には、たとえば、光ディスク、磁気ディスクなどが含まれる。揮発性媒体には、例えば、半導体メモリ、ダイナミックメモリなどが含まれる。そのようなコンピュータ可読媒体の例には、限定されるものではないが、フロッピーディスク、フレキシブルディスク、ハードディスク、磁気テープ、他の磁気媒体、ＡＳＩＣ、ＣＤ、他の光学媒体、ＲＡＭ、ＲＯＭ、メモリチップまたはカード、メモリスティック、および、コンピュータ、プロセッサ、または他の電子デバイスが読み取ることが可能な他の媒体が含まれる。この明細書の文脈において、コンピュータ可読記憶媒体は、命令実行システム、装置、またはデバイスによって、またはそれに関連して使用するためのプログラムを含む、または格納できる任意の有形の媒体であってもよい。

以下は、本明細書で使用される選択された用語の定義を含む。定義には、用語の範囲内にあり、様々な実施例に使用できるコンポーネントの様々な例、および／または形式が含まれる。これらの例は限定することを意図していない。用語の単数形と複数形の両方が定義内に含まれる場合がある。

「１つの実施形態」、「一実施形態」、「１つの例」、「一例」などへの言及は、そのように記載された実施形態または例が、特定の特徴、構造、特性、特質、要素、または限定を含むかもしれないが、すべての実施形態または例が、必ずしも、その特定の特徴、構造、特性、特質、要素、または限定を含むわけではない。さらに、「１つの実施形態では」という語句の繰り返しの使用は、同じ実施形態を指す場合もあるが、必ずしもそうとは限らない。

本明細書で使用される「モジュール」には、コンピュータまたは電気ハードウェアコンポーネント、ファームウェア、命令を保存する非一時的なコンピュータ可読媒体、及び／又は、機能またはアクションを実行するように構成された、及び／又は、別のロジック、方法、及び／又はシステムから機能またはアクションを引き起こすように構成された、これらのコンポーネントの組み合わせが含まれる。モジュールには、アルゴリズムによって制御されるマイクロプロセッサ、ディスクリートロジック回路（ＡＳＩＣなど）、アナログ回路、デジタル回路、プログラムされたロジックデバイス、実行時にアルゴリズムを実行する命令を含むメモリデバイスなどが含まれてもよい。モジュールは、１つ以上の実施形態において、１つ以上のＣＭＯＳゲート、ゲートの組み合わせ、または他の回路部品を含む。複数のモジュールが説明されている場合、１つ以上の実施形態は、複数のモジュールを１つの物理的なモジュールコンポーネントに組み込むことを含む。同様に、単一のモジュールが説明されている場合、１つ以上の実施形態は、単一のモジュールを複数の物理的コンポーネントに分散してもよい。

さらに、本明細書で使用されるモジュールには、特定のタスクを実行したり、特定のデータタイプを実現したりするルーチン、プログラム、オブジェクト、コンポーネント、データ構造などが含まれる。さらなる態様において、メモリは一般に、言及されたモジュールを格納する。モジュールに関連付けられたメモリは、プロセッサ内に埋め込まれたバッファまたはキャッシュ、ＲＡＭ、ＲＯＭ、フラッシュメモリ、または別の適切な電子記憶媒体であってもよい。さらに別の態様では、本開示によって想定されるモジュールは、特定用途向け集積回路（ＡＳＩＣ）、システムオンチップ（ＳｏＣ）のハードウェアコンポーネント、プログラマブルロジックアレイ（ＰＬＡ）、または開示された機能を実行するための定義された設定セット（たとえば、命令）が埋め込まれた別の適切なハードウェアコンポーネントとして実現される。

１つ以上の構成において、本明細書に記載のモジュールの１つ以上は、人工または計算知能要素、例えばニューラルネットワーク、ファジー論理または他の機械学習アルゴリズムを含むことができる。さらに、１つ以上の構成において、モジュールの１つ以上は、本明細書で説明する複数のモジュールに分散させることができる。１つ以上の構成では、本明細書に記載のモジュールの２つ以上が、単一のモジュールに組み合わせることができる

コンピュータ可読媒体に具現化されるプログラムコードは、限定されるものではないが、無線、有線、光ファイバー、ケーブル、ＲＦなど、またはこれらの任意の適切な組み合わせを含む、任意の適切な媒体を使用して送信されてもよい。本構成の態様の動作を実行するためのコンピュータプログラムコードは、Java（登録商標）、Smalltalk、C ++などのオブジェクト指向プログラミング言語、および「C」プログラミング言語または同様のプログラミング言語などの従来の手続き型プログラミング言語を含む、１つ以上のプログラミング言語の任意の組み合わせで記述されてもよい。プログラムコードは、スタンドアロンソフトウェアパッケージとして、完全にユーザのコンピュータ上で、部分的にユーザのコンピュータ上で、あるいは、一部をユーザのコンピュータ上でかつ一部を遠隔コンピュータ上で、もしくは、完全に遠隔コンピュータまたはサーバ上で実行されてもよい。後者のシナリオでは、遠隔コンピュータは、ローカルエリアネットワーク（ＬＡＮ）またはワイドエリアネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続されてもよいし、または、その接続は、外部コンピュータになされてもよい（例えば、インターネットサービスプロバイダを使用したインターネット経由）。

本明細書で使用される「ａ」および「ａｎ」という用語は、１つではなく、１つ以上として定義される。本明細書で使用される「複数」という用語は、２つではなく、２つ以上として定義される。本明細書で使用される「別の」という用語は、少なくとも２番目またはそれ以上として定義される。本明細書で使用される「含む」および／または「有する」という用語は、包含する（すなわち、オープン言語）と定義される。本明細書で使用される「...および...の少なくとも１つ」というフレーズは、関連する列挙されたアイテムの１つ以上の任意のおよび全ての可能な組み合わせを指し、包含する。例として、「Ａ、Ｂ、およびＣの少なくとも１つ」というフレーズは、Ａのみ、Ｂのみ、Ｃのみ、またはそれらの任意の組み合わせ（たとえば、ＡＢ、ＡＣ、ＢＣまたはＡＢＣ）を含む。

本明細書の態様は、その主旨または本質的な特質から逸脱することなく、他の形態で具現化することができる。したがって、本明細書の範囲を示すものとして、前述の明細書ではなく、以下の特許請求の範囲を参照すべきである。

Claims (20)

1. プログラム内のデータ引数を検証するためのデータ制御システムであって、
   １つ以上のプロセッサ（１１０）と、
   １つ以上のプロセッサに通信可能に結合され、１つ以上のプロセッサによって実行されるとき、１つ以上のプロセッサに、電子的要求に応答して、プログラムのソースコードのコードセグメント内のデータ引数を識別させる命令を含み、データ引数は、プログラムの１つ以上の関数間で渡される非制御データである分析モジュール（１３０）と、１つ以上のプロセッサによって実行されるとき、１つ以上のプロセッサに、ソースコードから導出される制御フローグラフ内のデータ引数に関するデータ特性を格納させる命令を含み、制御フローグラフは、プログラム内の実行パスを表し、データ特性は、データ引数の状態と、データ引数に関連付けられた少なくとも１つの関係を示すグラフモジュール（１４０）と、を格納するメモリ（１２０）と、を備え、
   グラフモジュールには、ソースコードの調整を容易にするため、電子的出力として制御フローグラフを提供するための命令が含まれるデータ制御システム。
2. グラフモジュールは、データ引数の識別と並行して、ソースコードの制御フロー特性に従って制御フローグラフを生成する命令をさらに含み、
   分析モジュールは、コードセグメントがソースコードに追加されたことに基づく電子的要求を受信することを含む、電子的要求に応答してデータ引数を識別する命令を含み、電子的要求は、コードセグメントのソースコードへの追加の検出に応答して生成される、請求項１のデータ制御システム。
3. 制御フローグラフは、ソースコードのブロックを表すノードと、ブロック間の遷移を表すノード間の有向エッジとから構成され、
   グラフモジュールは、データ引数が、アクセスされる又は関数間で渡される制御フローグラフ内の関連ノードにデータ特性を統合する命令を含んだ、制御フローグラフのデータ特性を格納する命令を含む、請求項１のデータ制御システム。
4. 分析モジュールは、データ引数との許容される相互作用を識別するために、データ引数が設定される、使用される、及び変更されるの中の少なくとも１つである別々のポイントで、制御フローグラフにおけるデータ引数の状態を決定する命令を含んだ、データ特性を識別する命令を含み、データ引数はソースコード内で定義された変数である、請求項１乃至３のいずれか１項のデータ制御システム。
5. グラフモジュールは、コードセグメントがソースコードに追加されたことに基づき、コードセグメントに対応する制御フロー特性を制御フローグラフに追加することによって、制御フローグラフを漸増的に更新する命令を含んだ、制御フローグラフを生成する命令を含む、請求項２のデータ制御システム。
6. 分析モジュールは、データフロー、データ公開、及び、制御データと非制御データのプログラムフローと関連付けられたソースコード内の脆弱性を示す条件を定義するグラフポリシーに従って、ソースコードの制御フロー特性とデータ特性とを同時に識別する命令を含む、請求項５のデータ制御システム。
7. データ引数のためのデータランタイムチェックによってデータフローの完全性を保証し、プログラムの制御フロー特性のための制御ランタイムチェックによってプログラムフローの完全性を保証するために、１つ以上のプロセッサによって実行されるとき、１つ以上のプロセッサに、プログラムを計装する要求に応答して、制御フローグラフに従ってソースコード内に計装を統合させる命令を含む計装モジュール（１５０）をさらに備え、
   データランタイムチェックは、識別された許容される相互作用を許可する一方で、許容されない相互作用を拒否するように、データ引数との相互作用を監視する、請求項１乃至６のいずれか１項のデータ制御システム。
8. 計装モジュールは、ｉ）制御フローグラフにおいて識別された制御引数およびデータ引数に従って、計装されるべきソースコードのセグメントを識別する命令、及びｉｉ）制御フローグラフに従ってデータランタイムチェック及び制御ランタイムチェックを提供する定義された計装のテンプレートを修正することによって、識別されたセグメントに応じた計装を自動的に追加する命令を含んだ、ソースコード内に計装を統合する命令を含む、請求項７のデータ制御システム。
9. プログラム内のデータ引数を検証するための命令を格納するものであって、
   その命令は、１つ以上のプロセッサ（１１０）によって実行されたとき、１つ以上のプロセッサに、
   電子的要求に応答して、プログラムのソースコードのコードセグメント内のデータ引数を識別させ、データ引数は、プログラムの１つ以上の関数間で渡される非制御データであり、
   ソースコードから導出される制御フローグラフ内のデータ引数に関するデータ特性を格納させ、制御フローグラフは、プログラム内の実行パスを表し、データ特性は、データ引数の状態と、データ引数に関連付けられた少なくとも１つの関係を示し、そして、
   ソースコードの調整を容易にするため、電子的出力として制御フローグラフを提供させる、非一時的なコンピュータ可読媒体。
10. 命令は、データ引数の識別と並行して、ソースコードの制御フロー特性に従って制御フローグラフを生成する命令を含み、
    電子的要求に応答してデータ引数を識別する命令は、コードセグメントがソースコードに追加されたことに基づく電子的要求を受信する命令を含み、電子的要求は、コードセグメントのソースコードへの追加の検出に応答して生成される、請求項９の非一時的なコンピュータ可読媒体。
11. 制御フローグラフは、ソースコードのブロックを表すノードと、ブロック間の遷移を表すノード間の有向エッジとから構成され、
    制御フローグラフのデータ特性を格納する命令は、データ引数が、アクセスされる又は関数間で渡される制御フローグラフ内の関連ノードにデータ特性を統合する命令を含む、請求項９又は１０の非一時的なコンピュータ可読媒体。
12. データ特性を識別する命令は、データ引数との許容される相互作用を識別するために、データ引数が設定される、使用される、及び変更されるの中の少なくとも１つである別々のポイントで、制御フローグラフにおけるデータ引数の状態を決定する命令を含み、データ引数はソースコード内で定義された変数である、請求項９乃至１１のいずれか１項の非一時的なコンピュータ可読媒体。
13. データ引数のためのデータランタイムチェックによってデータフローの完全性を保証し、プログラムの制御フロー特性のための制御ランタイムチェックによってプログラムフローの完全性を保証するために、プログラムを計装する要求に応答して、制御フローグラフに従ってソースコード内に計装を統合する命令をさらに備え、
    データランタイムチェックは、識別された許容される相互作用を許可する一方で、許容されない相互作用を拒否するように、データ引数との相互作用を監視する、請求項９乃至１２のいずれか１項の非一時的なコンピュータ可読媒体。
14. プログラム内のデータ引数を検証する方法であって、
    電子的要求に応答して、プログラムのソースコードのコードセグメント内のデータ引数を識別すること、
    データ引数は、プログラムの１つ以上の関数間で渡される非制御データであり、
    ソースコードから導出される制御フローグラフ内のデータ引数に関するデータ特性を格納すること、
    制御フローグラフは、プログラム内の実行パスを表し、データ特性は、データ引数の状態と、データ引数に関連付けられた少なくとも１つの関係を示し、及び
    ソースコードの調整を容易にするため、電子的出力として制御フローグラフを提供すること、を備える方法。
15. データ引数の識別と並行して、ソースコードの制御フロー特性に従って制御フローグラフを生成することをさらに備え、
    電子的要求に応答してデータ引数を識別することは、コードセグメントがソースコードに追加されたことに基づく電子的要求を受信することを含み、電子的要求は、コードセグメントのソースコードへの追加の検出に応答して生成される、請求項１４の方法。
16. 制御フローグラフは、ソースコードのブロックを表すノードと、ブロック間の遷移を表すノード間の有向エッジとから構成され、
    制御フローグラフのデータ特性を格納することは、データ引数が、アクセスされる又は関数間で渡される制御フローグラフ内の関連ノードにデータ特性を統合することを含む、請求項１４又は１５の方法。
17. データ特性を識別することは、データ引数との許容される相互作用を識別するために、データ引数が設定される、使用される、及び変更されるの中の少なくとも１つである別々のポイントで、制御フローグラフにおけるデータ引数の状態を決定することを含み、データ引数はソースコード内で定義された変数である、請求項１４乃至１６のいずれか１項の方法。
18. 制御フローグラフを生成することは、コードセグメントに対応する制御フロー特性を制御フローグラフに追加することによって、制御フローグラフを漸増的に更新することを含み、
    制御フローグラフを生成することは、データフロー、データ公開、及び、制御データと非制御データのプログラムフローと関連付けられたソースコード内の脆弱性を示す条件を定義するグラフポリシーに従って、ソースコードの制御フロー特性とデータ特性とを同時に識別することを含む、請求項１５の方法。
19. データ引数のためのデータランタイムチェックによってデータフローの完全性を保証し、プログラムの制御フロー特性のための制御ランタイムチェックによってプログラムフローの完全性を保証するために、プログラムを計装する要求に応答して、制御フローグラフに従ってソースコード内に計装を統合することをさらに備え、
    データランタイムチェックは、識別された許容される相互作用を許可する一方で、許容されない相互作用を拒否するように、データ引数との相互作用を監視する、請求項１４乃至１８のいずれか１項の方法。
20. ソースコード内に計装を統合することは、ｉ）制御フローグラフにおいて識別された制御引数およびデータ引数に従って、計装されるべきソースコードのセグメントを識別すること、及びｉｉ）制御フローグラフに従ってデータランタイムチェック及び制御ランタイムチェックを提供する定義された計装のテンプレートを修正することによって、識別されたセグメントに応じた計装を自動的に追加することを含む、請求項１９の方法。

Images