JP7152214B2 - 情報処理システム、情報処理装置及び情報処理システムの動作方法 - Google Patents

Description

本発明は、情報処理装置に関する。

特許文献１～３には、半導体集積回路に関する技術が開示されている。

特開２００４－１７３２０６号公報 特開２００２－３０５２５０号公報 特許第４８９９２４８号公報

回路等を含む情報処理装置については、その安全性の向上が望まれる。

そこで、本発明は上述の点に鑑みて成されたものであり、情報処理装置の安全性を向上することが可能な技術を提供することを目的とする。

情報処理システムの一態様は、第１機能を有する情報処理装置と、前記情報処理装置と通信ネットワークを通じて通信するサーバ装置とを備え、前記情報処理装置は、前記第１機能を制御する動作制御装置を有し、前記サーバ装置は、前記情報処理装置に関する所定の条件の成立に応じて、前記第１機能の動作許可を示す動作許可情報を前記情報処理装置に送信し、前記動作制御装置は、前記情報処理装置が受信する前記動作許可情報に応じて、前記第１機能を動作させる。

また、サーバ装置の一態様は、上記の情報処理システムが備えるサーバ装置である。

また、情報処理装置の一態様は、上記の情報処理システムが備える情報処理装置である。

また、動作制御装置の一態様は、上記の情報処理システムが備える動作制御装置である。

また、情報処理システムの動作方法の一態様は、情報処理装置と、前記情報処理装置と通信ネットワークを通じて通信するサーバ装置とを備える情報処理システムの動作方法であって、（ａ）前記サーバ装置が、前記情報処理装置に関する所定の条件の成立に応じて、前記情報処理装置が有する所定の機能の動作許可を示す動作許可情報を前記情報処理装置に送信する工程と、（ｂ）前記情報処理装置が、受信する前記動作許可情報に応じて、前記所定の機能を動作させる工程とを備える。

また、情報処理装置の一態様は、所定の機能を有する情報処理装置であって、前記所定の機能の動作許可を示す動作許可情報を記憶する記憶部と、前記情報処理装置の動作に関する動作情報を取得する第１処理部と、前記第１処理部が取得する前記動作情報に基づいて、前記情報処理装置の動作が異常であるか否かを判定する第２処理部と、前記第２処理部が前記情報処理装置の動作が異常であると判定した場合、前記記憶部内の前記動作許可情報を、前記所定の機能の動作不可を示す動作不可情報に書き換えて、当該所定の機能を停止する第３処理部とを備える。

情報処理装置の安全性を向上することができる。

情報処理システムの構成の一例を示す図である。 サーバ装置の構成の一例を示す図である。 情報処理装置の構成の一例を示す図である。 主装置の構成の一例を示す図である。 動作制御装置の構成の一例を示す図である。 情報処理システムの動作の一例を示す図である。 情報処理システムの動作の一例を示す図である。 情報処理装置の動作の一例を示すフローチャートである。 情報処理装置の動作の一例を説明するための図である。 情報処理システムの動作の一例を示す図である。 情報処理装置の動作の一例を説明するための図である。 情報処理装置の動作の一例を説明するための図である。 情報処理システムの動作の一例を示す図である。 情報処理システムの動作の一例を示す図である。 動作制御装置の構成の一例を示す図である。 情報処理装置の構成の一例を示す図である。 情報処理装置の構成の一例を示す図である。 機能ブロックの構成の一例を示す図である。 機能ブロックの構成の一例を示す図である。 情報処理装置の構成の一例を示す図である。 情報処理装置の構成の一例を示す図である。 情報処理装置の構成の一例を示す図である。 情報処理装置の構成の一例を示す図である。 情報処理装置の動作の一例を説明するための図である。 動作制御装置の構成の一例を示す図である。 動作制御装置の構成の一例を示す図である。 情報処理装置の構成の一例を示す図である。 動作制御装置の構成の一例を示す図である。 情報処理装置の動作の一例を示すフローチャートである。 サーバ装置の動作の一例を示すフローチャートである。 情報処理装置の動作の一例を示すフローチャートである。 動作制御装置の構成の一例を示す図である。 情報処理装置の構成の一例を示す図である。 情報処理装置の動作の一例を示すフローチャートである。 情報処理装置の構成の一例を示す図である。 主装置の構成の一例を示す図である。 主装置の構成の一例を示す図である。 動作制御装置の構成の一例を示す図である。 動作制御装置の構成の一例を示す図である。 動作制御装置の構成の一例を示す図である。 動作制御装置の構成の一例を示す図である。 動作制御装置の構成の一例を示す図である。 主装置の動作の一例を説明するための図である。 動作制御装置の構成の一例を示す図である。 主装置の構成の一例を示す図である。 動作制御装置の構成の一例を示す図である。 主装置が備える回路の動作の一例を説明するための図である。 主装置の構成の一例を示す図である。

＜システム概要＞
図１は情報処理システム１の構成の一例を示す図である。図１に示されるように、情報処理システム１は、サーバ装置２と、当該サーバ装置２と通信ネットワーク４を通じて接続された複数の情報処理装置３とを備えている。各情報処理装置３は、通信ネットワーク４を通じて、サーバ装置２と通信可能である。

通信ネットワーク４には、無線ネットワーク及び有線ネットワークの少なくとも一方が含まれる。本例では、通信ネットワーク４には、例えば、基地局等を含む、携帯電話システムのネットワーク、無線ＬＡＮ（Local Area Network）及びインターネット等が含まれる。

サーバ装置２は、一種のコンピュータ装置であって、例えばクラウドサーバと呼ばれる。サーバ装置２は、各情報処理装置３を制御することが可能である。

各情報処理装置３は、例えば、センサを有し、当該センサが検出した情報をサーバ装置２に送信することが可能である。情報処理装置３は、例えば、家、オフィス、工場あるいは屋外などで使用されるＩｏＴ（Internet of Things）端末である。

サーバ装置２は、情報処理装置３から受信した情報に基づいて各種処理を行うことが可能である。サーバ装置２は、例えば、情報処理装置３から受信した情報を解析し、その解析結果に基づいて、当該情報処理装置３を制御したり、あるいは他の情報処理装置３を制御したりすることが可能である。またサーバ装置２は、その解析結果を表示してもよい。またサーバ装置２は、複数の情報処理装置３が送信する情報を取集し、取集した情報を表示してもよい。なお情報処理システム１は、複数のサーバ装置２を備えてもよい。またサーバ装置２は、情報処理装置３以外の装置と通信可能であってもよい。

＜サーバ装置の構成例＞
図２はサーバ装置２の構成の一例を示す図である。図２に示されるように、サーバ装置２は、例えば、制御部２０と、記憶部２１と、通信ネットワーク４に接続された通信部２２と、表示部２３と、乱数生成器２４とを備える。制御部２０、記憶部２１、通信部２２、表示部２３及び乱数生成器２４は、例えば、バス２５で互いに電気的に接続されている。

表示部２３は、例えば、液晶ディスプレイあるいは有機ＥＬディスプレイである。表示部２３は、制御部２０によって制御されることによって、文字、記号、図形などの各種情報を表示することが可能である。

乱数生成器２４は、例えば、サーバ装置２と情報処理装置３との間の相互認証で使用される乱数を生成する。乱数生成器２４は、例えば真正乱数を生成する。乱数生成器２４は、乱数生成回路とも言える。なお、乱数生成器２４は、疑似乱数を生成してもよい。サーバ装置２と情報処理装置３との間の相互認証については後で詳細に説明する。

記憶部２１は、ＲＯＭ（Read Only Memory）及びＲＡＭ（Random Access Memory）などの、コンピュータが読み取り可能な非一時的な記録媒体を含む。記憶部２１には、サーバ装置２を制御するための制御プログラムが記憶されている。

制御部２０は、サーバ装置２の他の構成要素を制御することによって、サーバ装置２の動作を統括的に管理することが可能である。制御部２０は制御回路であるとも言える。制御部２０は、例えば、ＣＰＵ（Central Processing Unit）を備えている。制御部２０の各種機能は、当該制御部２０が備えるＣＰＵが記憶部２１内の制御プログラムを実行することによって実現される。

通信部２２は、有線あるいは無線で通信ネットワーク４に接続されている。通信部２２は通信回路であるとも言える。通信部２２は、通信ネットワーク４を通じて、当該通信ネットワーク４に接続された、情報処理装置３等の装置と通信することが可能である。通信部２２は、通信ネットワーク４から受け取った情報を制御部２０に入力することが可能である。また通信部２２は、制御部２０から受け取った情報を通信ネットワーク４に出力することが可能である。

なお、サーバ装置２の構成は図２の例には限られない。例えば、制御部２０は、複数のＣＰＵを備えてもよい。また制御部２０は、少なくとも一つのＤＳＰ（Digital Signal Processor）を備えてもよい。また、制御部２０の全ての機能あるいは制御部２０の一部の機能は、その機能の実現にソフトウェアが不要なハードウェア回路によって実現されてもよい。

また記憶部２１は、ＲＯＭ及びＲＡＭ以外の、コンピュータが読み取り可能な非一時的な記録媒体を備えてもよい。記憶部２１は、例えば、小型のハードディスクドライブ及びＳＳＤ（Solid State Drive）などを備えてもよい。

またサーバ装置２は、制御部２０、記憶部２１、通信部２２及び表示部２３以外の構成を備えてもよい。サーバ装置２は、例えば、タッチパネル等の、ユーザがサーバ装置２に情報を入力するための入力装置を備えてもよい。

＜情報処理装置の構成例＞
図３は情報処理装置３の構成の一例を示す図である。本例では、情報処理装置３の主な機能は、例えば、センサで情報を検出し、検出した情報に対して所定の処理を行うことである。情報処理装置３の主な機能は、これに限られず、他の機能であってもよい。

図３に示されるように、情報処理装置３は、当該情報処理装置３の主な機能を実行する主装置３０と、当該主装置３０を制御することによって、当該情報処理装置３の安全性を向上させる動作制御装置４０と、ユーザが操作するリセットスイッチ５０とを備える。

主装置３０は、例えば、樹脂等から成るパッケージ３００に収納された集積回路である。主装置３０は、複数のダイで構成されてもよいし、一つのダイで構成されてもよい。ダイは、ウェハチップとも呼ばれる。動作制御装置４０は、例えば、樹脂等から成るパッケージ４００に収納された集積回路である。動作制御装置４０は、複数のダイで構成されてもよいし、一つのダイで構成されてもよい。主装置３０と動作制御装置４０とは、例えば同じ基板６０に実装されている。主装置３０及び動作制御装置４０は、基板６０に設けられた配線によって互いに電気的に接続されている。

主装置３０と動作制御装置４０とは、互いに通信することによって、情報のやり取りを互いに行うことができる。主装置３０と動作制御装置４０とは、例えば、ＳＰＩ（Serial Peripheral Interface）あるいはＩ２Ｃ（Inter-Integrated Circuit）に基づいて互いに通信することが可能である。なお、主装置３０と動作制御装置４０との間の通信方式はこれに限られない。また本例では、主装置３０と動作制御装置４０とは、互いに有線通信を行っているが、互いに無線通信を行ってもよい。

主装置３０は、センサを有し、当該センサが検出する情報を通信ネットワーク４を通じてサーバ装置２に送信する。また、主装置３０は、動作制御装置４０が出力するクロック信号に基づいて動作を行う。動作制御装置４０は、後述するように、クロック信号を主装置３０に対して供給しないことによって、主装置３０の動作を停止することができる。動作制御装置４０は、主装置３０が有する機能を制御することができるとも言える。

リセットスイッチ５０は、ユーザが操作できるように、情報処理装置３のケースから露出するように、当該情報処理装置３に設けられる。リセットスイッチ５０は、ユーザによって操作されると（例えば押されると）、操作されたことを示す操作信号ＳＳを動作制御装置４０に出力する。動作制御装置４０は、リセットスイッチ５０からの操作信号ＳＳ等に基づいて、当該動作制御装置４０が備える各種回路に入力されるリセット信号をアサートすることができる。これにより、動作制御装置４０の動作が初期化される。また動作制御装置４０は、主装置３０に入力されるリセット信号をアサートすることが可能である。これにより、主装置３０の動作が初期化される。

＜主装置の構成例＞
図４は主装置３０の構成の一例を示す図である。図４に示されるように、主装置３０は、例えば、制御部３１０と、記憶部３２０と、少なくとも一つのセンサを備えるセンサ装置３３０と、第１通信部３４０と、第２通信部３５０と、処理回路３６０とを備える。主装置３０が備えるこれらの構成要素は、パッケージ３００に収納されている。制御部３１０、記憶部３２０、センサ装置３３０、第１通信部３４０、第２通信部３５０及び処理回路３６０は、例えば、バス３８０で互いに電気的に接続されている。主装置３０は、情報処理装置３の主な機能を実現する主回路とも言える。

記憶部３２０は、ＲＯＭ及びＲＡＭなどの、コンピュータが読み取り可能な非一時的な記録媒体を含む。また記憶部３２０は、レジスタを含んでもよい。記憶部３２０には、主装置３０を制御するための制御プログラムが記憶されている。

制御部３１０は、主装置３０の他の構成要素を制御することによって、主装置３０の動作を統括的に管理することが可能である。制御部３１０は制御回路であるとも言える。制御部３１０は、例えばＣＰＵを備えている。制御部３１０の各種機能は、当該制御部３１０が備えるＣＰＵが記憶部３２０内の制御プログラムを実行することによって実現される。

センサ装置３３０は、例えば、温度センサ、加速度センサ、地磁気センサ、ジャイロセンサ、圧力センサ及びイメージセンサの少なくとも一つを備える。センサ装置３３０が備えるセンサは、これに限られず、センサ装置３３０は他のセンサを備えてもよい。センサ装置３３０で検出された情報（例えば、温度及び加速度など）は記憶部３２０に記憶される。以後、センサ装置３３０で検出された情報を「センサ情報」と呼ぶことがある。

第１通信部３４０は、動作制御装置４０と、例えばＳＰＩあるいはＩ２Ｃに基づいて通信することが可能である。第１通信部３４０は通信回路であるとも言える。第１通信部３４０は、動作制御装置４０から受け取った情報を制御部３１０に入力することが可能である。また第１通信部３４０は、制御部３１０から受け取った情報を動作制御装置４０に出力することが可能である。

第２通信部３５０は、有線あるいは無線で通信ネットワーク４に接続されている。第２通信部３５０は通信回路であるとも言える。第２通信部３５０は、通信ネットワーク４を通じて、当該通信ネットワーク４に接続された、サーバ装置２等の装置と通信することが可能である。第２通信部３５０は、通信ネットワーク４から受け取った情報を制御部３１０に入力することが可能である。また第２通信部３５０は、制御部３１０から受け取った情報を通信ネットワーク４に出力することが可能である。

処理回路３６０は、制御部３１０に制御されることによって、記憶部３２０内のセンサ情報に対して所定の処理を行うことが可能である。処理回路３６０は、記憶部３２０からセンサ情報を読み出して、読み出したセンサ情報に対して、例えば、フィルタ処理等を含む加工処理を行う。処理回路３６０は、加工処理後のセンサ情報を、処理済みセンサ情報として記憶部３２０に記憶する。本例では、情報処理装置３の主な機能は、センサ装置３３０で情報を検出し、検出した情報を処理回路３６０で処理することである。処理回路３６０は、その機能の実現にソフトウェアが不要なハードウェア回路によって実現されている。なお、処理回路３６０が実行する処理はこの限りではない。

主装置３０は、動作制御装置４０から出力されるクロック信号ＣＬＫｍ及びリセット信号ＲＳがそれぞれ入力されるクロック入力口３０１及びリセット入力口３０２を備える。本例では、クロック入力口３０１及びリセット入力口３０２のそれぞれは、パッケージ３００に設けられた金属端子となっている。したがって、本例では、クロック入力口３０１及びリセット入力口３０２は、クロック入力端子３０１及びリセット入力端子３０２とも言える。主装置３０は、クロック入力口３０１に入力されるクロック信号ＣＬＫｍに基づいて動作を行う。また主装置３０は、リセット入力口３０２に入力されるリセット信号ＲＳがアサートされると、その動作を初期化する。

なお、主装置３０の構成は図３，４の例には限られない。例えば、主装置３０が備える複数の回路が、複数のパッケージに分けられて収納されてもよい。また制御部３１０は、複数のＣＰＵを備えてもよい。また制御部３１０は、少なくとも一つのＤＳＰを備えてもよい。また、制御部３１０の全ての機能あるいは制御部３１０の一部の機能は、その機能の実現にソフトウェアが不要なハードウェア回路によって実現されてもよい。また記憶部３２０は、ＲＯＭ及びＲＡＭ以外の、コンピュータが読み取り可能な非一時的な記録媒体を備えてもよい。記憶部３２０は、例えば、小型のハードディスクドライブ及びＳＳＤなどを備えてもよい。

以上のように、本例では、主装置３０は、情報処理装置３の主な機能を実行する。また、主装置３０は、サーバ装置２と通信することが可能であることから、サーバ装置２と通信する機能も実行する。以後、情報処理装置３がサーバ装置２と通信する機能を「サーバ通信機能」と呼ぶことがある。主装置３０は、情報処理装置３が有する主な機能とサーバ通信機能を実現する回路であると言える。

＜動作制御装置の構成例＞
図５は動作制御装置４０の構成の一例を示す図である。図５に示されるように、動作制御装置４０は、例えば、制御部４１０と、タイマー４２０と、記憶部４３０と、乱数生成器４４０と、動作許可レジスタ４５０と、動作制御部４６０と、通信部４７０と、クロック生成部４８０と、リセット信号生成部４９０とを備える。動作制御装置４０が備えるこれらの構成要素は、パッケージ４００に収納されている。制御部４１０、タイマー４２０、記憶部４３０、乱数生成器４４０、動作許可レジスタ４５０及び通信部４７０は、例えば、バス５５０で互いに電気的に接続されている。

クロック生成部４８０は、情報処理装置３の動作の基準となるクロック信号ＣＬＫを生成する。クロック生成部４８０はクロック生成回路とも言える。クロック信号ＣＬＫは、動作制御装置４０が備える、制御部４１０及び通信部４７０等を含む内部回路に供給される。動作制御装置４０は、クロック信号ＣＬＫに基づいて動作する。クロック生成部４８０は、水晶発振器を備えてもよいし、水晶を利用しない発振器を備えてもよい。水晶を利用しない発振器としては、例えば、ＭＥＭＳ（Micro Electro Mechanical Systems）を利用した発振器がある。

リセット信号生成部４９０は、リセットスイッチ５０から操作信号ＳＳが入力されると、リセット信号ＲＳを一定時間アサートする。リセット信号生成部４９０はリセット信号生成回路とも言える。また、リセット信号生成部４９０は、情報処理装置３の電源がオフからオンに切り替われると、リセット信号ＲＳを一定時間アサートする。リセット信号ＲＳは、動作制御装置４０が備える、制御部４１０及び通信部４７０等を含む内部回路に入力される。これにより、リセットスイッチ５０が操作されたとき、動作制御装置４０の動作が初期化される。また、情報処理装置３の電源がオフからオンに切り替わったときに、動作制御装置４０の動作が初期化される。リセット信号生成部４９０で生成されたリセット信号ＲＳは、主装置３０のリセット入力口３０２にも入力される。

記憶部４３０は、ＲＯＭ及びＲＡＭなどの、コンピュータが読み取り可能な非一時的な記録媒体を含む。記憶部４３０には、動作制御装置４０を制御するための制御プログラムが記憶されている。

制御部４１０は、動作制御装置４０の他の構成要素を制御することによって、動作制御装置４０の動作を統括的に管理することが可能である。制御部４１０は制御回路であるとも言える。制御部４１０は、例えばＣＰＵを備えている。制御部４１０の各種機能は、当該制御部４１０が備えるＣＰＵが記憶部４３０内の制御プログラムを実行することによって実現される。

本例では、制御部４１０は、情報処理装置３からサーバ装置２に送信される情報を暗号化することができる。また、制御部４１０は、サーバ装置２から情報処理装置３が受信する、暗号化された情報を復号化することができる。記憶部４３０には、暗号化及び復号化に必要な鍵が記憶されている。制御部４１０は、情報処理装置３からサーバ装置２に送信される情報を記憶部４３０内の鍵を用いて暗号化する。また制御部４１０は、サーバ装置２から情報処理装置３が受信する、暗号化された情報を、記憶部４３０内の鍵を用いて復号化する。

タイマー４２０は、制御部４１０によって設定された所定時間を計測することが可能な回路である。乱数生成器４４０は、例えば、情報処理装置３とサーバ装置２との間の相互認証で使用される乱数を生成する。乱数生成器４４０は、例えば真正乱数を生成する。乱数生成器４４０は乱数生成回路とも言える。なお、乱数生成器４４０は、疑似乱数を生成してもよい。

通信部４７０は、主装置３０と、例えばＳＰＩあるいはＩ２Ｃに基づいて通信することが可能である。通信部４７０は通信回路とも言える。通信部４７０は、主装置３０から受け取った情報を制御部４１０に入力することが可能である。また通信部４７０は、制御部４１０から受け取った情報を主装置３０に出力することが可能である。

動作許可レジスタ４５０は、情報処理装置３がサーバ装置２から受信する動作許可情報５００を記憶することが可能である。動作許可レジスタ４５０は、記憶部の一種であると言える。言い換えれば、動作許可レジスタ４５０は、記憶回路の一種であると言える。ここで、動作許可情報５００は、情報処理装置３の所定の機能の動作許可を示す情報である。情報処理装置３は、動作許可情報に応じて、所定の機能を動作させる。以後、当該所定の機能を「許可対象機能」と呼ぶことがある。

許可対象機能には、例えば、情報処理装置３の主な機能とサーバ通信機能とが含まれる。情報処理装置３では、主装置３０がサーバ装置２からの動作許可情報５００を受信し、受信した動作許可情報５００を動作制御装置４０に送信する。動作制御装置４０は、通信部４７０において、主装置３０からの動作許可情報５００を受信する。制御部４１０は、通信部４７０で受信された動作許可情報５００を動作許可レジスタ４５０に記憶する。

動作制御部４６０は、動作許可レジスタ４５０内の動作許可情報５００に基づいて、許可対象機能を制御することが可能である。動作制御部４６０は動作制御回路とも言える。本例では、動作制御部４６０は、動作許可情報５００に基づいて主装置３０の動作を制御することによって、許可対象機能を制御する。動作制御部４６０は、クロック信号の主装置３０に対する供給を制御することによって、主装置３０を動作させるか否かを制御することが可能である。

動作制御部４６０は、例えば、カウントダウンタイマー４６１及びクロックゲート４６２を備えている。カウントダウンタイマー４６１は、所定時間を計測することが可能な回路である。クロックゲート４６２は、カウントダウンタイマー４６１が所定時間を計測している間だけ、入力されるクロック信号ＣＬＫを、クロック信号ＣＬＫｍとして、主装置３０のクロック入力口３０１に出力することが可能な回路である。カウントダウンタイマー４６１及びクロックゲート４６２には、クロック信号ＣＬＫが入力される。

ここで、本例では、動作許可情報５００には、許可対象機能が動作することが可能な動作可能期間を示す期間情報が含まれる。本例では、期間情報は、許可対象機能を実行する主装置３０が動作することが可能な動作可能期間を示すとも言える。期間情報が示す動作可能期間は、例えば、数時間から数十時間に設定される。なお、期間情報が示す動作可能期間はこれに限られない。以後、単に動作可能期間と言えば、期間情報が示す動作可能期間（言い換えれば、動作許可情報５００が示す動作可能期間）を意味する。動作可能期間をＴ１で表すと、Ｔ１は数時間から数十時間となる。

本例では、動作許可情報５００に含まれる期間情報は、主装置３０がクロック信号ＣＬＫに基づいて動作することが可能な入力クロック数で表される。つまり、動作可能期間Ｔ１は、クロック信号ＣＬＫの入力クロック数で表される。

ここで、クロックとは、クロック信号ＣＬＫの立ち上がり（言い換えれば立ち上がりエッジ）あるいは立ち下り（言い換えれば立ち下がりエッジ）を意味する。そして、入力クロックとは、クロック信号ＣＬＫについての入力される立ち上がり（言い換えれば立ち上がりエッジ）あるいは入力される立ち下がり（言い換えれば立ち下がりエッジ）を意味する。したがって、入力クロック数は、クロック信号ＣＬＫについての入力される立ち上がりの数（言い換えれば立ち上がりエッジの数）あるいは入力される立ち下がりの数（言い換えれば立ち下がりエッジの数）を意味する。以後、主装置３０がクロック信号ＣＬＫに基づいて動作することが可能な入力クロック数を「動作可能クロック数」と呼ぶことがある。また、動作可能クロック数をＮで表すことがある。

動作許可レジスタ４５０に動作許可情報５００が書き込まれると、動作許可レジスタ４５０内の動作許可情報５００に含まれる動作可能クロック数Ｎが、自動的にカウントダウンタイマー４６１のカウント値に設定される。カウントダウンタイマー４６１は、カウント値が設定されるとカウント動作を開始する。これにより、カウントダウンタイマー４６１は、クロック信号ＣＬＫが立ち上がるたびにあるいは立ち下がるたびに、カウント値を１つだけカウントダウンする。言い換えれば、カウントダウンタイマー４６１は、クロックが入力されるたびに、カウント値を１つだけカウントダウンする。そして、カウントダウンタイマー４６１は、カウント値が零になると、カウント動作を停止する。これにより、カウントダウンタイマー４６１は、入力されるクロックを、動作可能クロック数Ｎ、カウントすることができる。言い換えれば、カウントダウンタイマー４６１は、動作許可情報５００が示す動作可能期間を計測することができる。

カウントダウンタイマー４６１は、クロックゲート４６２の動作を制御するためのイネーブル信号ＥＮＳを、クロックゲート４６２のイネーブル入力口ＥＮに入力する。カウントダウンタイマー４６１は、カウント動作を行っていないときには、イネーブル信号ＥＮＳをＬｏｗレベルに設定し、カウント動作を行っているときには、イネーブル信号ＥＮＳをＨｉｇｈレベルに設定する。クロックゲート４６２は、イネーブル入力口ＥＮに入力されるイネーブル信号ＥＮＳがＨｉｇｈレベルのときだけ、クロック入力口ＣＬＫｉｎに入力されるクロック信号ＣＬＫをクロック信号ＣＬＫｍとして出力する。クロックゲート４６２から出力されるクロック信号ＣＬＫｍは主装置３０のクロック入力口３０１に入力される。これにより、カウントダウンタイマー４６１が、動作可能クロック数、入力クロックをカンウントすると、クロック信号ＣＬＫｍのクロックが動作可能クロック数だけ主装置３０に入力される。つまり、動作許可情報５００が示す動作可能期間だけクロック信号ＣＬＫｍが主装置３０に入力される。よって、主装置３０は、動作許可情報５００が示す動作可能期間、動作することが可能となる。言い換えれば、主装置３０は、クロック信号ＣＬＫｍが入力されている間、許可対象機能を実行することが可能となる。本例では、主装置３０は、クロック信号ＣＬＫｍが入力されている間、センサ装置３３０で情報を検出し、検出した情報を処理回路３６０で処理することが可能となる。また、主装置３０は、クロック信号ＣＬＫｍが入力されている間、サーバ通信機能を実行することが可能である。

このように、情報処理装置３は、サーバ装置２から送信される動作許可情報５００に含まれる期間情報に応じて、許可対象機能を動作させる。よって、サーバ装置２は、動作許可情報５００を情報処理装置３に送信することによって、情報処理装置３の許可対象機能を制御することができると言える。

本例では、動作制御装置４０の制御部４１０の動作モードには、通常モードと、動作制御装置４０の安全性を高めるためのセキュアモードとが含まれる。制御部４１０の動作モードは、基本的には通常モードに設定される。そして、制御部４１０の動作モードは、動作制御装置４０の安全性を高めたいときに例外的にセキュアモードに設定される。

本例では、制御部４１０は、動作モードがセキュアモードに設定されている場合にだけ、記憶部４３０にアクセスすることができる。つまり、制御部４１０が記憶部４３０にアクセスする場合には、動作モードはセキュアモードに設定されている。したがって、制御部４１０は、動作モードがセキュアモードに設定されている場合だけしか、記憶部４３０内の制御プログラムを実行することができない。また、制御部４１０は、動作モードがセキュアモードに設定されている場合だけしか、記憶部４３０内の鍵を用いて、情報を暗号化したり、暗号化された情報を復号化したりすることはできない。このような記憶部４３０は、セキュアメモリとも呼ばれる。

本例では、制御部４１０は、動作制御装置４０のリセットが解除されると、つまり、リセット信号ＲＳがネゲートされると、まず動作モードをセキュアモードに設定する。そして、制御部４１０は、記憶部４３０内の制御プログラムを実行して、動作制御装置４０の初期設定を行う。その後、制御部４１０は、動作モードを通常モードに設定する。以後、制御部４１０は、必要なときにだけ動作モードをセキュアモードに設定する。

また制御部４１０は、動作モードがセキュアモードに設定されている場合にだけ、動作許可レジスタ４５０に情報を書き込むことが可能である。つまり、制御部４１０が、動作許可レジスタ４５０に情報を書き込む場合には、動作モードはセキュアモードに設定されている。また制御部４１０は、動作モードがセキュアモードに設定されている場合にだけ、タイマー４２０が計測する所定期間を当該タイマー４２０に設定することができる。通信部４７０が主装置３０と通信する場合には、動作モードは通常モードに設定される。なお、通信部４７０が主装置３０と通信する場合、動作モードがセキュアモードに設定されてもよい。

このように、制御部４１０の動作モードには、通常モードとセキュアモードが含まれることから、通常モードで動作する動作制御装置４０が仮にハッキングされたとしても、セキュアモードで動作する動作制御装置４０を保護することができる。よって、記憶部４３０及び動作許可レジスタ４５０内の重要な情報が書き換えられる可能性を低減することができる。さらに、記憶部４３０内の重要な情報が外部に漏れる可能性を低減することができる。その結果、動作制御装置４０の安全性を向上することができる。

なお、動作制御装置４０の構成は図３，５の例には限られない。例えば、動作制御装置４０が備える複数の回路が、複数のパッケージに分けられて収納されてもよい。また制御部４１０は、複数のＣＰＵを備えてもよい。また制御部４１０は、少なくとも一つのＤＳＰを備えてもよい。また、制御部４１０の全ての機能あるいは制御部４１０の一部の機能は、その機能の実現にソフトウェアが不要なハードウェア回路によって実現されてもよい。また記憶部４３０は、ＲＯＭ及びＲＡＭ以外の、コンピュータが読み取り可能な非一時的な記録媒体を備えてもよい。記憶部４３０は、例えば、小型のハードディスクドライブ及びＳＳＤなどを備えてもよい。また記憶部４３０内の情報が暗号化されていてもよい。また動作制御装置４０は、リセット信号生成部４９０を備えなくてもよい。この場合、リセット信号生成部４９０は、例えば、動作制御装置４０及び主装置３０とは異なるパッケージに収納されて、基板６０上に実装されてもよい。

＜相互認証の一例＞
図６は、サーバ装置２と情報処理装置３との間の相互認証処理の一例を示すフローチャートである。相互認証処理は、情報処理装置３のリセットが解除されて、その動作が初期化された直後に実行される。相互認証処理では、例えば公開鍵暗号方式が用いられる。

本例では、情報処理装置３のリセットが解除されると、動作制御装置４０の動作許可レジスタ４５０に対して初期値Ｍ（＞０）が設定される。初期値Ｍは、例えば、主装置３０が数秒間動作することが可能な値に設定される。言い換えれば、初期値Ｍは、主装置３０にクロック信号ＣＬＫｍが数秒間入力されるような値に設定される。動作許可レジスタ４５０に初期値Ｍが設定されると、カウントダウンタイマー４６１は、初期値Ｍをカウント値に設定してカウント動作を行う。これにより、動作許可レジスタ４５０の値が書き換えられなければ、主装置３０には、クロックが初期値Ｍと同じ数だけ入力される。言い換えれば、主装置３０には、数秒間、クロック信号ＣＬＫｍが供給される。よって、情報処理装置３のリセットが解除された後、主装置３０は動作することができる。以後、初期値Ｍに応じた、主装置３０が動作することが可能な期間を「初期動作可能期間」と呼ぶことがある。図６に示される相互認証処理は、初期動作可能期間において実行される。初期動作可能期間をＴ０で表すと、Ｔ０は数秒程度となり、Ｔ０＜Ｔ１となる。つまり、初期動作可能期間Ｔ０は、動作許可情報５００が示す動作可能期間Ｔ１よりも短い。なお、Ｔ０≧Ｔ１であってもよい。

図６に示されるように、ステップｓ１１において、情報処理装置３は、サーバ装置２が情報処理装置３を認証するための認証用の乱数を生成する。ステップｓ１１では、動作制御装置４０の制御部４１０は、乱数生成器４４０に、認証用の乱数を生成させる。制御部４１０は、乱数生成器４４０で生成された乱数を記憶部４３０に記憶する。以後、この乱数を「第１乱数」と呼ぶ。

さらに、ステップｓ１１において、制御部４１０は、第１乱数からハッシュ値を生成して記憶部４３０に記憶する。以後、このハッシュ値を「第１ハッシュ値」と呼ぶ。次にステップｓ１２において、制御部４１０は、記憶部４３０内の第１乱数をサーバ装置２の公開鍵で暗号化する。また制御部４１０は、記憶部４３０内の第１ハッシュ値を情報処理装置３の秘密鍵で暗号化する。暗号化で使用されるサーバ装置２の公開鍵及び情報処理装置３の秘密鍵は記憶部４３０に記憶されている。以後、暗号化された第１乱数を「暗号化第１乱数」と呼び、暗号化された第１ハッシュ値を「暗号化第１ハッシュ値」と呼ぶ。

次にステップｓ１３において、情報処理装置３は、ステップｓ１２で生成した暗号化第１乱数と暗号化第１ハッシュ値をサーバ装置２に送信する。ステップｓ１３では、主装置３０は、動作制御装置４０から暗号化第１乱数及び暗号化第１ハッシュ値を受け取り、受け取った暗号化第１乱数及び暗号化第１ハッシュ値をサーバ装置２に送信する。

サーバ装置２は、受信した暗号化第１乱数及び暗号化第１ハッシュ値を、ステップｓ１４において復号化する。ステップｓ１４では、サーバ装置２の制御部２０は、通信部２２が受信した暗号化第１乱数を、サーバ装置２の公開鍵に対応するサーバ装置２の秘密鍵で復号化する。また制御部２０は、通信部２２が受信した暗号化第１ハッシュ値を、情報処理装置３の秘密鍵に対応する情報処理装置３の公開鍵で復号化する。復号化で使用されるサーバ装置２の秘密鍵及び情報処理装置３の公開鍵は記憶部２１に記憶されている、制御部２０は、暗号化第１乱数を復号化して得られる乱数を受信乱数として記憶部２１に記憶する。また、制御部２０は、暗号化第１ハッシュ値を復号化して得られるハッシュ値を受信ハッシュ値として記憶部２１に記憶する。

次にステップｓ１５において、制御部２０は、記憶部２１内の受信乱数からハッシュ値を求める。そして、制御部２０は、求めたハッシュ値と記憶部２１内の受信ハッシュ値とを比較する。制御部２０は、両者が一致すれば、情報処理装置３の認証に成功したと判断する。この場合、記憶部２１内の受信乱数は、情報処理装置３で生成された第１乱数と一致する。したがって、記憶部２１内には第１乱数が記憶される。一方で制御部２０は、両者が一致しない場合には、情報処理装置３の認証に失敗したと判断する。

次にステップｓ１６において、サーバ装置２は、情報処理装置３の認証結果を当該情報処理装置３に通知する。情報処理装置３では、主装置３０がサーバ装置２から認証結果を受け取ると、受け取った認証結果を動作制御装置４０に送信する。動作制御装置４０では、通信部４７０で受信された認証結果が制御部４１０に入力される。これにより、制御部４１０は、サーバ装置２が情報処理装置３に認証に成功したか否かを知ることができる。

ステップｓ１６の後、ステップｓ１７において、サーバ装置２は、情報処理装置３がサーバ装置２を認証するための認証用の乱数を生成する。ステップｓ１７では、制御部２０は、乱数生成器２４に、認証用の乱数を生成させる。制御部２０は、乱数生成器２４で生成された乱数を記憶部２１に記憶する。以後、この乱数を「第２乱数」と呼ぶ。

さらに、ステップｓ１７において、制御部２０は、第２乱数からハッシュ値を生成して記憶部２１に記憶する。以後、このハッシュ値を「第２ハッシュ値」と呼ぶ。

次にステップｓ１８において、制御部２０は、記憶部２１内の第２乱数を情報処理装置３の公開鍵で暗号化する。また制御部２０は、記憶部２１内の第２ハッシュ値をサーバ装置２の秘密鍵で暗号化する。暗号化で使用される情報処理装置３の公開鍵及びサーバ装置２の秘密鍵は記憶部２１に記憶されている。以後、暗号化された第２乱数を「暗号化第２乱数」と呼び、暗号化された第２ハッシュ値を「暗号化第２ハッシュ値」と呼ぶ。

次にステップｓ１９において、サーバ装置２は、ステップｓ１８で生成した暗号化第２乱数と暗号化第２ハッシュ値を情報処理装置３に送信する。

情報処理装置３は、受信した暗号化第２乱数及び暗号化第２ハッシュ値を、ステップｓ２０において復号化する。ステップｓ２０では、主装置３０の制御部３１０は、第２通信部３５０が受信した暗号化第２乱数及び暗号化第２ハッシュ値を第１通信部３４０に送信させる。これにより、暗号化第２乱数及び暗号化第２ハッシュ値が動作制御装置４０に入力される。動作制御装置４０では、制御部４１０は、通信部４７０で受信される暗号化第２乱数を、情報処理装置３の公開鍵に対応する情報処理装置３の秘密鍵で復号化する。また制御部４１０は、通信部４７０で受信される暗号化第２ハッシュ値を、サーバ装置２の秘密鍵に対応するサーバ装置２の公開鍵で復号化する。復号化で使用される情報処理装置３の秘密鍵及びサーバ装置２の公開鍵は記憶部４３０に記憶されている、制御部４１０は、暗号化第２乱数を復号化して得られる乱数を受信乱数として記憶部４３０に記憶する。また、制御部４１０は、暗号化第２ハッシュ値を復号化して得られるハッシュ値を受信ハッシュ値として記憶部４３０に記憶する。

次にステップｓ２１において、制御部４１０は、記憶部４３０内の受信乱数からハッシュ値を求める。そして、制御部４１０は、求めたハッシュ値と記憶部４３０内の受信ハッシュ値とを比較する。制御部４１０は、両者が一致すれば、サーバ装置２の認証に成功したと判断する。この場合、記憶部４１０内の受信乱数は、サーバ装置２で生成された第２乱数と一致する。したがって、記憶部４１０内には第２乱数が記憶される。一方で制御部４１０は、両者が一致しない場合には、サーバ装置２の認証に失敗したと判断する。

次にステップｓ２２において、情報処理装置３は、サーバ装置２の認証結果を当該サーバ装置２に通知する。ステップｓ２２では、主装置３０が、動作制御装置４０から、サーバ装置２の認証結果を受け取り、受け取った認証結果をサーバ装置２に送信する。サーバ装置２では、通信部２２で受信された認証結果が制御部２０に入力される。これにより、制御部２０は、情報処理装置３がサーバ装置２の認証に成功したか否かを知ることができる。

以上のようにして、情報処理装置３とサーバ装置２との間で相互認証が行われる。サーバ装置２の制御部２０と、動作制御装置４０の制御部４１０とは、情報処理装置３がサーバ装置２の認証に成功し、かつサーバ装置２が情報処理装置３の認証に成功した場合には、両者の間での相互認証が成功したと判断する。一方で、制御部２０，４１０は、情報処理装置３がサーバ装置２の認証に失敗した場合、あるいはサーバ装置２が情報処理装置３の認証に失敗した場合には、両者の間の相互認証に失敗したと判断する。

＜サーバ装置が動作許可情報を送信する際の情報処理システムの動作例＞
本例では、サーバ装置２は、情報処理装置３に関する所定の条件の成立に応じて、動作許可情報を情報処理装置３に送信する。この所定の条件を「動作許可条件」と呼ぶことがある。

動作許可条件としては、例えば、サーバ装置２と情報処理装置３との間の相互認証の成功が考えられる。本例では、サーバ装置２は、情報処理装置３との間の相互認証が成功したと判断すると、それを条件として動作許可情報を情報処理装置３に送信する。

図７は、相互認証後のサーバ装置２及び情報処理装置３の動作の一例を示すフローチャートである。図７に示されるように、ステップｓ３１において、サーバ装置２と情報処理装置３との間の相互認証が上述のように行われる。その後、ステップｓ３２において、サーバ装置２の制御部２０は、相互認証に成功したと判断すると、ステップｓ３３において、動作許可情報を生成し、生成した動作許可情報を暗号化する。

ここで、本例では、サーバ装置２は、相互認証に成功した後は、記憶部２１内における、相互認証で使用された第１及び第２乱数に基づいて生成された鍵を共通鍵として用いて情報を暗号化する。サーバ装置２の制御部４１０は、例えば、記憶部２１内の第１及び第２乱数の排他的論路和を演算し、その演算結果を共通鍵として記憶部２１に記憶する。同様に、情報処理装置３は、相互認証に成功した後は、動作制御装置４０の記憶部４３０内における、相互認証で使用された第１及び第２乱数に基づいて生成された鍵を共通鍵として用いて情報を暗号化する。動作制御装置４０の制御部４１０は、例えば、記憶部４３０内の第１及び第２乱数の排他的論路和を演算し、その演算結果を共通鍵として記憶部４３０に記憶する。サーバ装置２は、相互認証に成功した後に、情報処理装置３から暗号化された情報を受信する場合には、記憶部２１内の共通鍵を用いて当該情報を復号化する。同様に、情報処理装置３は、相互認証に成功した後に、サーバ装置２から暗号化された情報を受信する場合には、記憶部４３０内の共通鍵を用いて当該情報を復号化する。なお、相互認証が成功した後にサーバ装置２及び情報処理装置３が情報を暗号化する際に使用する鍵は、上記の例には限られない。以後、単に「鍵」と言えば、第１及び第２乱数に基づいて生成された共通鍵を意味する。

ステップｓ３３において、制御部２０は、記憶部２１内の鍵を用いて、動作許可情報を暗号化する。次にステップｓ３４において、制御部２０は、通信部２２に、暗号化した動作許可情報（以後、「暗号化動作許可情報」と呼ぶことがある）を情報処理装置３に送信させる。なお、サーバ装置２は、相互認証に失敗した場合には、動作許可情報を送信しない。

情報処理装置３は、暗号化動作許可情報を受信すると、ステップｓ３５において、受信した暗号化動作許可情報を復号化する。ステップｓ３５では、主装置３０の制御部３１０が、第２通信部３５０で受信された暗号化動作許可情報を第１通信部３４０に送信させる。これにより、暗号化動作許可情報が動作制御装置４０に入力される。動作制御装置４０では、制御部４１０は、通信部４７０で受信された暗号化動作許可情報を復号化する。具体的には、制御部２０は、記憶部４３０内の鍵を用いて暗号化動作許可情報を復号化する。これにより、平文の動作化許可情報が得られる。

次にステップｓ３６において、制御部４１０は、平文の動作許可情報を、動作許可レジスタ４５０に書き込む。これにより、カウントダウンタイマー４６１のカウント値が、動作許可レジスタ４５０内の動作許可情報が示す動作可能クロック数Ｎに設定される。以降、主装置３０は、動作許可レジスタ４５０内の動作許可情報が示す動作可能期間（例えば数時間から数十時間）、動作することが可能となる。

以上のステップｓ３１～ｓ３６から成る処理は、情報処理装置３の初期動作可能期間において、実行される。したがって、相互認証が成功してステップｓ３６が実行される場合には、主装置３０は、ステップｓ３６の後も継続して動作することが可能となる。動作許可情報が動作許可レジスタ４５０に書き込まれた後においては、情報処理装置３は許可対象機能を実行する。

一方で、相互認証が失敗した場合には、動作許可レジスタ４５０に動作許可情報が設定されないことから、初期動作可能期間の経過後、主装置３０に対するクロック信号ＣＬＫの供給が停止する。これにより、主装置３０の動作が停止する。相互認証が失敗した場合には、情報処理装置３は許可対象機能を実行しない。

なおサーバ装置２は、情報処理装置３に対して、動作許可情報を暗号化せずに送信してもよい。

＜主な機能を実行する場合の報処理装置の動作例＞
図８は、主な機能を実行する場合の情報処理装置の動作の一例を示すフローチャートである。図８に示されるように、ステップｓ４１において、情報処理装置３は、センサ情報を取得する。ステップｓ４１では、主装置３０の制御部３１０が、センサ装置３３０を動作させて、センサ装置３３０に情報を検出させる。そして、制御部３１０は、センサ装置３３０で検出されたセンサ情報を記憶部３２０に記憶する。これにより、センサ情報が取得される。

次にステップｓ４２において、情報処理装置３は、取得したセンサ情報に対して所定の処理を行う。ステップｓ４２では、制御部３１０は、処理回路３６０を動作させる。処理回路３６０は、記憶部３２０からセンサ情報を取得し、取得したセンサ情報に対して所定の処理を行う。そして、処理回路３６０は、処理後のセンサ情報を、処理済みセンサ情報として記憶部３２０に記憶する。

次にステップｓ４３において、情報処理装置３は、処理済みセンサ情報を暗号化する。ステップｓ４３では、制御部３１０は、記憶部３２０から処理済みセンサ情報を読み出して第１通信部３４０に入力する。第１通信部３４０は、入力された処理済みセンサ情報を動作制御装置４０に送信する。動作制御装置４０では、制御部４１０は、通信部４７０で受信された処理済みセンサ情報を、記憶部４３０内の鍵を用いて暗号化する。以後、暗号化された処理済みセンサ情報を「暗号化処理済みセンサ情報」と呼ぶことがある。

次にステップｓ４４において、情報処理装置３は、ステップｓ４３で得られた暗号化処理済みセンサ情報をサーバ装置２に送信する。ステップｓ４４では、主装置３０は、動作制御装置４０から暗号化処理済みセンサ情報を受け取り、受け取った暗号化処理済みセンサ情報をサーバ装置２に送信する。

以上のステップｓ４１～ｓ４４から成る処理を、情報処理装置３は、動作可能期間において、つまり、主装置３０にクロック信号ＣＬＫが供給されているときに、繰り返し実行する。以後、図８に示される、センサ情報の取得及び送信を「情報取得送信処理」と呼ぶことがある。

サーバ装置２では、通信部２２が暗号化処理済みセンサ情報を受信すると、制御部２０が、受信された暗号化処理済みセンサ情報を記憶部２１内の鍵を用いて復号化する。これにより、平文の処理済みセンサ情報が得られる。そして、制御部２０は、平文の処理済みセンサ情報を記憶部２１に記憶する。その後、制御部２０は、記憶部２１内の処理済みセンサ情報を用いた処理を行う。例えば、制御部２０は、処理済みセンサ情報を解析し、その解析結果を表示部２３に表示させたり、複数の情報処理装置３からの処理済みセンサ情報をグラフ化して表示部２３に表示させたりする。

なお情報処理装置３は、サーバ装置２に対して、処理済みセンサ情報を暗号化せずに送信してもよい。

＜動作許可情報の繰り返し送信＞
上述の説明から理解できるように、情報処理装置３は、サーバ装置２から動作許可情報を受け取った後、当該動作許可情報が示す動作可能期間において、新たに動作許可情報を受信しない場合には、当該動作可能期間の経過後に、許可対象機能を停止することになる。したがって、この場合には、情報処理装置３は、許可対象機能を長い期間実行することが難しくなる。

そこで、本例では、情報処理装置３は、サーバ装置２から受信した動作許可情報が示す動作可能期間において、サーバ装置２との間で、動作許可情報をサーバ装置２から受信するための処理を行う。以後、当該処理を「動作許可用処理」と呼ぶことがある。情報処理装置３は、サーバ装置２から受信した動作許可情報が示す動作可能期間において、サーバ装置２との間で、動作許可情報を再度サーバ装置２が送信するための処理を行うとも言える。動作許可用処理は、情報処理装置３がサーバ装置２に対して許可対象機能の動作許可を要求する処理であるとも言える。

サーバ装置２は、動作許可用処理に応じた動作許可条件の成立に応じて、動作許可情報を情報処理装置３に送信する。これにより、情報処理装置３は、動作可能期間が経過するまでに、新たな動作許可情報を受信することが可能となる。よって、情報処理装置３は、長い期間、主装置３０を動作させることが可能となる。つまり、情報処理装置３は、長い期間、許可対象機能を実行することが可能となる。

動作許可用処理としては、例えば、動作許可情報の送信を要求するための要求信号を情報処理装置３がサーバ装置２に送信する処理が考えられる。また、動作許可用処理に応じた動作許可条件とは、例えば、情報処理装置３が送信する要求信号についてのサーバ装置２の受信が考えられる。本例では、情報処理装置３は、動作可能期間において、要求信号を送信する。そして、サーバ装置２は、要求信号の受信に応じて、動作許可情報を情報処理装置３に送信する。

なお、相互認証が成功したときには、サーバ装置２は動作許可情報を送信することから、情報処理装置３がサーバ装置２と行う相互認証は、動作許可用処理であると言える。

また、情報処理装置３のリセットが解除した後にサーバ装置２が最初に動作許可情報を送信するための動作許可条件は、上記の例では、相互認証の成功となっている。一方で、情報処理装置３のリセットが解除した後にサーバ装置２が二回目以降に動作許可情報を送信するための動作許可条件は、サーバ装置２が要求信号を受信することとなっている。

このように、本例では、サーバ装置２の動作許可情報の最初の送信についての動作許可条件と、サーバ装置２の動作許可情報の二回目以降の送信についての動作許可条件とは、互いに異なっている。

図９は、情報処理装置３が要求信号を送信する様子を示す図である。本例では、情報処理装置３は、ステップｓ３６の後、主装置３０が動作しているときには、送信間隔Ｔ２で要求信号ＲＥＱを繰り返し送信する。送信間隔Ｔ２は、動作可能期間Ｔ１以下に設定される。言い換えれば、動作許可用処理の実行間隔は、動作可能期間Ｔ１以下に設定される。送信間隔Ｔ２は、例えば１時間に設定される。なお、送信間隔Ｔ２は一定でなくてもよい。

図１０は、サーバ装置２及び情報処理装置３の動作の一例を示すフローチャートである。図１０に示されるように、上述のステップｓ３６の後、ステップｓ５１において、情報処理装置３は、動作可能期間Ｔ１内に要求信号を送信する。ステップｓ５１では、動作制御装置４０の制御部４１０は、要求信号を生成し、生成した要求信号を通信部４７０に送信させる。これにより、要求信号が主装置３０に入力される。主装置３０は、第１通信部３４０で受信された要求信号をサーバ装置２に送信する。

サーバ装置２は、要求信号を受信すると、つまり、動作許可条件が成立すると、ステップｓ５２において、上述のステップｓ３３と同様にして、暗号化動作許可情報を生成する。そして、ステップｓ５３において、サーバ装置２は、暗号化動作許可情報を情報処理装置３に送信する。

情報処理装置３は、上述のステップｓ３５と同様にして、ステップｓ５４において、受信した暗号化動作許可情報を復号化する。そして、情報処理装置３は、ステップｓ３６と同様にして、ステップｓ５５において、平文の動作許可情報を、動作制御装置４０の動作許可レジスタ４５０に設定する。これにより、動作許可レジスタ４５０に再度動作許可情報が設定され、あらたな動作可能期間Ｔ１が設定される。つまり、動作可能期間Ｔ１が更新される。

ステップｓ５５の後、情報処理装置３は、ステップｓ５１の実行から送信間隔Ｔ２後に、要求信号を再度サーバ装置２に送信する（ステップｓ５６）。サーバ装置２は、要求信号を受信すると、ステップｓ５７において、ステップｓ３３と同様にして、暗号化動作許可情報を生成する。そして、ステップｓ５８において、サーバ装置２は、暗号化動作許可情報を情報処理装置３に送信する。

情報処理装置３は、ステップｓ３５と同様にして、ステップｓ５９において、受信した暗号化動作許可情報を復号化する。そして、情報処理装置３は、ステップｓ３６と同様にして、ステップｓ６０おいて、平文の動作許可情報を、動作制御装置４０の動作許可レジスタ４５０に設定する。これにより、動作許可レジスタ４５０に再度動作許可情報が設定され、動作可能期間Ｔ１がさらに更新される。

ステップｓ６１の後、情報処理装置３は、ステップｓ５６の実行から送信間隔Ｔ２後に要求信号を再度サーバ装置２に送信する（ステップｓ５６）。以後、情報処理装置３及びサーバ装置２は同様に動作する。

なお情報処理装置３は、要求信号をサーバ装置２に送信する場合には、暗号化した要求信号をサーバ装置２に送信してもよい。

このように、情報処理装置３が、動作可能期間Ｔ１以下の間隔で要求信号をサーバ装置２に送信することによって、情報処理装置３は、動作可能期間Ｔ１が経過する前に、新たな動作許可情報を受信することが可能となる。言い換えれば、情報処理装置３が、動作可能期間Ｔ１以下の間隔で、動作許可用処理を実行することによって、情報処理装置３は、動作可能期間Ｔ１が経過する前に、新たな動作許可情報を受信することが可能となる。よって、情報処理装置３は、動作可能期間Ｔ１が経過する前に、動作可能期間Ｔ１を更新することができる。これにより、情報処理装置３は、相互認証が成功した後、主装置３０を継続して動作させることができる。よって、情報処理装置３は、長い期間、許可対象機能を実行することが可能となる。

図１１は、動作可能期間Ｔ１が更新される様子の一例を示す図である。図１１に示されるように、本例では、動作可能期間Ｔ１内に動作許可情報が動作許可レジスタ４５０に設定されて動作可能期間Ｔ１が更新される処理が繰り返されることによって、主装置３０が継続して動作することが可能となる。

また、送信間隔Ｔ２が、動作可能期間Ｔ１の半分未満に設定される場合には、情報処理装置３とサーバ装置２との間の通信が一時的に適切に行われなかった場合であっても、情報処理装置３が、動作可能期間Ｔ１が経過する前に、動作可能期間Ｔ１を更新できる可能性を向上することができる。以下にこの点について説明する。

例えば、上述の図１０のステップｓ５５で設定される動作可能期間Ｔ１を「動作可能期間Ｔ１ｔ」と呼ぶ。また、ステップｓ５６，ｓ６１で送信される要求信号ＲＥＱを、それぞれ要求信号ＲＥＱ１，ＲＥＱ２と呼ぶ。また、情報処理装置３が、要求信号ＲＥＱ２の次に送信する要求信号ＲＥＱを要求信号ＲＥＱ３と呼ぶ。

情報処理装置３が送信した要求信号ＲＥＱ１が、通信品質の一時的な悪化等の理由で、サーバ装置２に届かなった場合、ステップｓ５７～ｓ６０が実行されない。したがって、情報処理装置３は、要求信号ＲＥＱ１の送信に応じた動作可能期間の更新を実行することができない。また、情報処理装置３が送信した要求信号ＲＥＱ１を受信したサーバ装置２が送信する動作許可情報が、通信品質の一時的な悪化等の理由で、情報処理装置３に届かなった場合、ステップｓ５９，ｓ６０が実行されない。したがって、情報処理装置３は、要求信号ＲＥＱ１の送信に応じた動作可能期間の更新を実行することができない。

このように、情報処理装置３は、送信した要求信号ＲＥＱ１に応じた動作許可情報を受信できない場合には、要求信号ＲＥＱ１の送信に応じた動作可能期間の更新を実行することができない。このような場合、送信間隔Ｔ２が、動作可能期間Ｔ１の半分未満に設定される場合には、図１２に示されるように、情報処理装置３は、要求信号ＲＥＱ１を送信する動作可能期間Ｔ１ｔにおいて、次の要求信号ＲＥＱ２を送信することができる。つまり、情報処理装置３は、送信した要求信号に応じた動作許可情報を受信できない場合であって、当該要求信号を送信した動作可能期間と同じ期間において、再度要求信号を送信することができる。これにより、情報処理装置３は、動作可能期間Ｔ１ｔにおいて、動作許可情報を受信できる可能性が向上する。つまり、情報処理装置３が、動作可能期間が経過する前に、動作可能期間を更新できる可能性を向上することができる。

また、情報処理装置３は、通信品質の一時的な悪化等の理由で、送信した要求信号ＲＥＱ２に応じた動作許可情報を受信できない場合であっても、送信間隔Ｔ２によっては、図１２に示されるように、情報処理装置３は、動作可能期間Ｔ１ｔにおいて、次の要求信号ＲＥＱ３を送信できることがある。この場合には、情報処理装置３は、動作可能期間Ｔ１ｔにおいて、要求信号ＲＥＱ３に応じた動作許可情報を受信できる可能性がある。よって、情報処理装置３は、要求信号ＲＥＱ１，ＲＥＱ２に応じた動作許可情報を受信できない場合であっても、動作可能期間Ｔ１ｔにおいて、動作許可情報を受信できる可能性が向上する。これにより、情報処理装置３が、動作可能期間が経過する前に、動作可能期間を更新できる可能性を向上することができる。

このように、情報処理装置３が、動作可能期間において送信した要求信号に応じた動作許可情報を受信しないときに、当該動作可能期間と同じ期間において要求信号を再度送信することができるように、要求信号を繰り返し送信することによって、情報処理装置３が、動作可能期間が経過する前に、動作可能期間を更新できる可能性を向上することができる。言い換えれば、情報処理装置３が、動作可能期間において実行した動作許可用処理に応じた動作許可情報を受信しないときに、当該動作可能期間と同じ期間において動作許可用処理を再度実行することができるように、動作許可用処理を繰り返し実行することによって、情報処理装置３が、動作可能期間が経過する前に、動作可能期間を更新できる可能性を向上することができる。

なお上記の例では、サーバ装置２の動作許可情報の最初の送信についての動作許可条件と、サーバ装置２の動作許可情報の二回目以降の送信についての動作許可条件とは、互いに異なっていたが、両者は同じであってもよい。

例えば、サーバ装置２の動作許可情報の最初の送信についての動作許可条件は、サーバ装置２が要求信号ＲＥＱを受信することであってもよい。図１３はこの場合のサーバ装置２及び情報処理装置３の動作の一例を示す図である。図１３は上述の図７に対応している。

図１３に示されるように、情報処理装置３のリセット解除後においては、相互認証が実行されずに、情報処理装置３はステップｓ７１において、要求信号ＲＥＱをサーバ装置２に送信する。サーバ装置２は、要求信号ＲＥＱを受信すると、上述のステップｓ３３，ｓ３４を実行して、暗号化動作許可情報を情報処理装置３に送信する。情報処理装置３は、暗号化動作許可情報を受信すると、上述のステップｓ３５，ｓ３６を実行して、平文の動作許可情報を動作許可レジスタ４５０に書き込む。これにより、情報処理装置３に動作可能期間が初めて設定される。

また、サーバ装置２の動作許可情報の二回目以降の送信についての動作許可条件は、相互認証の成功であってもよい。図１４はこの場合のサーバ装置２及び情報処理装置３の動作の一例を示す図である。図１４は上述の図１０に対応している。

図１４に示されるように、ステップｓ３６の後、ステップｓ８１において、サーバ装置２と情報処理装置３との間の相互認証が行われる。その後、ステップｓ８２において、サーバ装置２は、相互認証に成功したと判断すると、上述のステップｓ５２，ｓ５３を実行して、暗号化動作許可情報を情報処理装置３に送信する。

情報処理装置３は、暗号化動作許可情報を受信すると、上述のステップｓ５４，ｓ５４を実行して、平文の動作許可情報を動作許可レジスタ４５０に書き込む。これにより、動作可能期間が更新される。

次にステップｓ８３において、サーバ装置２と情報処理装置３との間の相互認証が行われる。その後、ステップｓ８４において、サーバ装置２は、相互認証に成功したと判断すると、上述のステップｓ５７，ｓ５８を実行して、暗号化動作許可情報を情報処理装置３に送信する。以後、情報処理装置３及びサーバ装置２は同様に動作する。

なお、サーバ装置２の動作許可情報の二回目以降の送信においては、相互認証の成功という動作許可条件と、サーバ装置２の要求信号の受信という動作許可条件とが混在してもよい。例えば、図１４のフローチャートにおいて、ステップｓ８１，ｓ８２の代わりに、図１０のステップｓ５１が実行されてもよい。

上記の例では、制御部４１０の動作モードには、通常モード及びセキュアモードが含まれているが、制御部４１０は常にセキュアモードで動作してもよい。この場合には、制御部４１０について説明した上記の動作はすべてセキュアモードで実行される。

以上のように、本例では、情報処理装置３は、サーバ装置２から受信する動作許可情報に応じて、許可対象機能を動作させる。したがって、情報処理装置３がハッキングされてサーバ装置２から動作許可情報を受信できない場合には、情報処理装置３は許可対象機能を停止することができる。よって、情報処理装置３の許可対象機能がハッカーによって利用される可能性を低減することができる。その結果、情報処理装置３の安全性が向上する。

例えば、通信ネットワーク４に接続された主装置３０がハッキングされた結果、ＤｏＳ（Denial of Service attack）攻撃のように、情報処理装置３が、本来の通信相手のサーバ装置２とは異なる通信装置と頻繁に通信する場合を考える。この場合、情報処理装置３の本来の通信相手であるサーバ装置２は、情報処理装置３から信号を受信することができないことから、動作許可条件が成立しない。したがって、サーバ装置２は、動作許可情報を送信しない。これにより、情報処理装置３の主装置３０の動作が停止する。その結果、情報処理装置３の主な機能及びサーバ通信機能がハッカーによって利用される可能性を低減することができる。さらに、情報処理装置３のサーバ通信機能が停止することによって、ハッキングされた情報処理装置３が外部に悪影響を与える可能性を低減することができる。

他の例として、制御部４１０の動作モードに、通常モード及びセキュアモードが含まれる場合に、主装置３０と通信することが可能な通常モードの動作制御装置４０がハッキングされた結果、動作制御装置４０の通信部４７０が主装置３０と通信できない場合を考える。この場合、サーバ装置２は、情報処理装置３から、動作許可条件の成立に必要な信号（例えば、要求信号あるいは相互認証で使用される乱数など）を受信することができないことから、動作許可情報を送信しない。これにより、情報処理装置３の主装置３０の動作が停止し、その結果、許可対象機能がハッカーによって利用される可能性を低減することができる。

また本例では、主装置３０、言い換えれば、情報処理装置３の許可対象機能を実現する回路と、動作制御装置４０とは、互いに異なるパッケージに収納されている。したがって、例えば、主装置３０として機能する既存の機器に対して、後から動作制御装置４０を接続することによって、安全性の高い情報処理装置３を簡単に実現することができる。

以後、上述の図１０に示されるステップｓ５１～ｓ５５の一連の処理や、上述の図１４に示されるステップｓ８１，ｓ８２，ｓ５２～ｓ５５の一連の処理のように、情報処理装置３での動作許可用処理の実行から、情報処理装置３での動作許可情報の動作許可レジスタ４５０への書き込みまでの一連の処理を「動作許可要求から動作許可までの一連の処理」と呼ぶことがある。

＜主装置の動作の復帰方法の一例＞
主装置３０に対するクロック信号ＣＬＫの供給が停止して、主装置３０の動作が停止した場合には、ユーザは、例えば、リセットスイッチ５０を操作することによって、情報処理装置３に主装置３０の動作を復帰させることができる。

リセットスイッチ５０が操作されると、リセット信号生成部４９０はリセット信号ＲＳをアサートする。これにより、情報処理装置３の動作が初期化される。情報処理装置３の動作が初期化されると、上述のように、動作許可レジスタ４５０には初期値Ｍが設定され、主装置３０は、初期動作可能期間、動作することが可能となる。情報処理装置３は、初期動作可能期間において、サーバ装置２との間で動作許可用処理（例えば、相互認証あるいは要求信号の送信）を実行する。動作許可用処理の実行の結果、動作許可条件が成立すると、動作許可レジスタ４５０に動作許可情報が設定される。これにより、情報処理装置３に動作可能期間が設定され、主装置３０は引き続き動作することが可能となる。

なお上述のように、リセット信号生成部４９０は、情報処理装置３の電源がオフからオンに切り替われると、リセット信号ＲＳをアサートする。したがって、情報処理装置３に電源スイッチが設けられている場合には、ユーザは、当該電源スイッチを操作して、情報処理装置３の電源をいったんオフにした後に再度オンにすることによって、情報処理装置３に主装置３０の動作を復帰させることができる。

上記の例では、情報処理装置３は、主装置３０に対するクロック信号ＣＬＫｍの供給を停止することによって、許可対象機能を停止していたが、主装置３０に入力されるリセット信号をアサートすることによって、許可対象機能を停止してもよい。図１５は、この場合の情報処理装置３が備える動作制御装置４０の構成の一例を示す図である。図１５に示される動作制御装置４０は、リセット信号ＲＳとは別に、主装置３０用のリセット信号ＲＳｍを生成する。リセット信号ＲＳは、動作制御装置４０用のリセット信号であるとも言える。

図５に示される動作制御装置４０と比較して、図１５に示される動作制御装置４０は、クロックゲート４６２を備えていない。また、図１５に示される動作制御装置４０では、クロック生成部４８０が出力するクロック信号ＣＬＫが主装置３０のクロック入力口３０１に直接入力されている。そして、図１５に示される動作制御装置４０には、リセット信号ＲＳｍを生成するリセット信号生成部５１０が設けられている。主装置３０のリセット入力口３０２には、リセット信号ＲＳではなく、リセット信号ＲＳｍが入力される。図１５の例では、カウントダウンタイマー４６１とリセット信号生成部５１０とで、主装置３０を動作させるか否かを制御する動作制御部５２０が構成される。

リセット信号生成部５１０には、リセット信号ＲＳと、カウントダウンタイマー４６１から出力されるイネーブル信号ＥＮＳが入力される。リセット信号生成部５１０は、入力されるリセット信号ＲＳがアサートされると、主装置３０用のリセット信号ＲＳｍをアサートする。したがって、リセット信号ＲＳがアサートされる場合には、リセット信号ＲＳｍがアサートされて、主装置３０の動作が初期化される。

またリセット信号生成部５１０は、イネーブル信号ＥＮＳがＬｏｗレベルのとき、リセット信号ＲＳｍをアサートする。言い換えれば、リセット信号生成部５１０は、カウントダウンタイマー４６１がカウント動作を行わないとき、リセット信号ＲＳｍをアサートする。一方で、リセット信号生成部５１０は、イネーブル信号ＥＮＳがＨｉｇｈレベルのとき、リセット信号ＲＳｍをアサートしない。言い換えれば、リセット信号生成部５１０は、カウントダウンタイマー４６１がカウント動作を行っているとき、リセット信号ＲＳｍをネゲートする。図１５に示される動作制御装置４０の他の動作については、上述の図５に示される動作制御装置４０と同様である。

このような構成を有する動作制御装置４０では、情報処理装置３のリセット解除後に、動作許可レジスタ４５０に初期値が設定されると、イネーブル信号ＥＮＳがＬｏｗレベルからＨｉｇｈレベルに変化して、主装置３０のリセット入力口３０２に入力されるリセット信号ＲＳｍがネゲートされる。これより、主装置３０は初期動作可能期間、動作することが可能となる。そして、初期動作可能期間において、動作許可条件が成立して、動作許可レジスタ４５０に動作許可情報５００が設定されると、イネーブル信号ＥＮＳはＨｉｇｈレベルを維持し、主装置３０は動作を継続する。その後、動作許可レジスタ４５０内の動作許可情報５００が更新されない場合には、情報処理装置３に現在設定されている動作可能期間が経過すると、リセット入力口３０２に入力されるリセット信号ＲＳｍがアサートされ、その結果、主装置３０の動作が停止する。

このように、情報処理装置３が、主装置３０に入力されるリセット信号をアサートすることによって許可対象機能を停止する場合であっても、上記と同様に、情報処理装置３の安全性を向上することができる。

また、主装置３０と動作制御装置４０とは同一のパッケージに収納されてもよい。図１６はこの場合の情報処理装置３の構成の一例を示す図である。図１６に示される例では、主装置３０及び動作制御装置４０は、樹脂等から成る同一のパッケージ６００に収納されている。そして、同一のパッケージ６００に収納された主装置３０及び動作制御装置４０は基板６０に実装される。主装置３０及び動作制御装置４０は、パッケージ６００内の配線によって、互いに電気的に接続されている。同一のパッケージ６００に収納された、主装置３０及び動作制御装置４０で構成される集積回路は、複数のダイで構成されてもよいし、一つのダイで構成されてもよい。

また図１６のように、主装置３０と動作制御装置４０とが同一のパッケージ６００に収納される場合には、主装置３０の第２通信部３５０の代わりに、動作制御装置４０の通信部４７０が通信ネットワーク４と通信してもよい。図１７は、この場合の情報処理装置３の構成の一例を示す図である。図１７ではリセットスイッチ５０の図示を省略している。

図１７の例では、動作制御装置４０の通信部４７０が通信ネットワーク４に接続されている。通信部４７０は、通信ネットワーク４を通じてサーバ装置２と通信可能である。また、主装置３０はバス５５０に接続されている。以後、バス５５０に接続された主装置３０を「機能ブロック３０」と呼ぶことがある。

機能ブロック３０には、図１８に示されるように、例えば、上述の制御部３１０、記憶部３２０、センサ装置３３０及び処理回路３６０が含まれており、これらはバス３８０に接続されている。機能ブロック３０には、上述の第１通信部３４０及び第２通信部３５０は含まれていない。制御部３１０は、動作制御装置４０のバス５５０に接続されており、バス５５０を通じて制御部４１０と情報のやり取りを行う。動作制御装置４０の制御部４１０は、動作モードが通常モードのとき、機能ブロック３０の制御部３１０と情報のやり取りを行う。また、機能ブロック３０の制御部３１０は、バス５５０を通じて、動作制御装置４０のタイマー４２０、記憶部４３０及び動作許可レジスタ４５０に対して直接アクセスすることができないようになっている。

このような構成を有する情報処理装置３では、当該情報処理装置３がサーバ装置２に送信する、乱数、要求信号及び処理済みセンサ情報等の情報は、通信部４７０からサーバ装置２に送信される。また、サーバ装置２が情報処理装置３に送信する、乱数及び動作許可情報等の情報は、通信部４７０で受信される。

また、上述の図８に示される情報取得送信処理においては、制御部４１０は、ステップｓ４３において、機能ブロック３０の制御部３１０から処理済みセンサ情報をバス５５０を通じて受け取り、受け取った処理済みセンサ情報を暗号化する。その後、ステップｓ４４において、制御部３１０は、通信部４７０に、暗号化処理済みセンサ情報をサーバ装置２に送信させる。

図１７に示される例であっても、上記と同様に、情報処理装置３の安全性を向上することができる。例えば、サーバ装置２と通信することが可能な通常モードの動作制御装置４０がハッキングされた結果、ＤｏＳ攻撃のように、情報処理装置３が、本来の通信相手のサーバ装置２とは異なる通信装置と頻繁に通信する場合を考える。この場合、情報処理装置３の本来の通信相手であるサーバ装置２は、情報処理装置３から信号を受信することができないことから、動作許可条件が成立しない。その結果、サーバ装置２は、動作許可情報を送信しない。これにより、情報処理装置３の機能ブロック３０の動作が停止する。その結果、情報処理装置３の許可対象機能がハッカーによって利用される可能性を低減することができる。図１７の例では、機能ブロック３０に対するクロック信号ＣＬＫの供給が停止すると、情報処理装置３の主な機能が停止するものの、サーバ通信機能は停止しない。よって、図１７の例では、許可対象機能にはサーバ通信機能が含まれない。

なお、図１７の例において、機能ブロック３０は制御部３１０を備えなくてもよい。図１９は、この場合の機能ブロック３０の構成の一例を示す図である。

図１９の例では、機能ブロック３０は、記憶部３２０、センサ装置３３０及び処理回路３６０を備えており、制御部３１０を備えていない。処理回路３６０は、動作制御装置４０のバス５５０に接続されており、バス５５０を通じて制御部３１０によって制御される。処理回路３６０は、センサ装置３３０を制御することが可能である。センサ装置３３０から出力されるセンサ情報は記憶部３３０に直接書き込まれる。動作制御装置４０の制御部４１０は、動作モードが通常モードのときに、機能ブロック３０の処理回路３６０を制御することが可能である。

図１９に示される機能ブロック３０を備える情報処理装置３が、図８に示される情報取得送信処理を行う場合には、ステップｓ４１において、制御部４１０が、処理回路３６０を通じてセンサ装置３３０を動作させる。センサ装置３３０から出力されるセンサ情報は、記憶部３２０に書き込まれる。

次にステップｓ４２において、制御部４１０は、処理回路３６０を制御して、処理回路３６０に、記憶部３２０内のセンサ情報に対して所定の処理を実行させる。処理回路３６０は、生成した処理済みセンサ情報を制御部４１０に入力する。

次にステップｓ４３において、制御部４１０は、入力された処理済みセンサ情報を暗号化する。そして、ステップｓ４４において、制御部４１０は、通信部４７０に、生成した暗号化処理済みセンサ情報をサーバ装置２に送信させる。

このように、機能ブロック３０が制御部３１０を備えていない場合であっても、上記と同様に、情報処理装置３の安全性を向上することができる。

なお図１７の例では、情報処理装置３は、機能ブロック３０に対するクロック信号ＣＬＫｍの供給を停止することによって、機能ブロック３０を停止しているが、上述の図１５の例のように、機能ブロック３０用のリセット信号ＲＳｍを生成し、リセット信号ＲＳｍをアサートすることによって、機能ブロック３０を停止してもよい。

また図１７の例では、許可対象機能に、サーバ通信機能が含まれていないが、サーバ通信機能を含めてもよい。例えば、図２０に示されるように、通信部４７０に対して、クロック生成部４８０が生成するクロック信号ＣＬＫを直接入力するのではなく、クロックゲート４６２が出力するクロック信号ＣＬＫｍを入力することによって、許可対象機能に、サーバ通信機能を含めることができる。

また図２１に示されるように、通信部４７０用のリセット信号ＲＳｎを生成するリセット信号生成部５４０を動作制御装置４０に設けることによって、許可対象機能にサーバ通信機能を含めることができる。リセット信号生成部５４０は、リセット信号ＲＳがアサートされると、通信部４７０に入力されるリセット信号ＲＳｎをアサートする。また、リセット信号生成部５４０は、イネーブル信号ＥＮＳがＬｏｗレベルになると、リセット信号ＲＳｎをアサートする。これより、通信部４７０に入力されるリセット信号ＲＳｎは、カウントダウンタイマー４６１がカウント動作しているとき（イネーブル信号ＥＮＳがＨｉｇｈレベル）ネゲートされ、カウントダウンタイマー４６１がカウント動作していないとき（イネーブル信号ＥＮＳがＬｏｗレベル）アサートされる。

また図２２に示されるように、イネーブル信号ＥＮＳに基づいてバス５５０と通信部４７０の接続を制御するスイッチ回路５３０を設けることによって、許可対象機能にサーバ通信機能を含めてもよい。図２２の例では、スイッチ回路５３０は、イネーブル信号ＥＮＳがＨｉｇｈレベルのとき、通信部４７０をバス５５０に接続する。この場合、情報処理装置３は、通信部４７０を使用して、サーバ装置２と通信することができる。よって、サーバ通信機能が動作する。一方で、スイッチ回路５３０は、イネーブル信号ＥＮＳがＬｏｗレベルのとき、通信部４７０をバス５５０に接続しない。この場合、情報処理装置３は、通信部４７０を使用して、サーバ装置２と通信することができない。よって、サーバ通信機能が停止する。

上記の例では、許可対象機能に、情報処理装置３の主な機能が含まれているが、当該主な機能が含まれなくてもよい。例えば、図２０の構成において、機能ブロック３０に対して、クロックゲート４６２から出力されるクロック信号ＣＬＫｍを入力する代わりに、クロック生成部４８０から出力されるクロック信号ＣＬＫを直接入力する場合には、許可対象機能に、情報処理装置３の主な機能が含まれなくなる。また図２１，２２の構成において、クロックゲート４６２を削除して、クロック生成部４８０が出力するクロック信号ＣＬＫを直接機能ブロック３０に入力する場合には、許可対象機能に、情報処理装置３の主な機能が含まれなくなる。

＜情報処理システムの他の例＞
＜情報処理装置の間欠動作＞
図２３は、間欠動作を行う本例に係る情報処理装置３の構成の一例を示す図である。本例に係る情報処理装置３では、その全体の動作モードとして、非スタンバイモードと、当該非スタンバイモードよりも消費電力が低減するスタンバイモードとが存在する。スタンバイモードは、低消費電力モードとも呼ばれる。情報処理装置３は、動作モードを、非スタンバイモードとスタンバイモードに交互に切り替えることによって間欠動作を行う。以後、情報処理装置３が非スタンバイモードで動作している期間を「非スタンバイ期間」と呼び、情報処理装置３がスタンバイモードで動作している期間を「スタンバイ期間」と呼ぶことがある。

図２４は情報処理装置３の間欠動作の一例を示す図である。図２４に示されるように、情報処理装置３では、所定期間Ｔ１０ごとに、スタンバイモードから非スタンバイモードに復帰する。そして、非スタンバイ期間Ｔ１１がスタンバイ期間Ｔ１２よりも短くなっている。なお、非スタンバイ期間Ｔ１１は、スタンバイ期間Ｔ１２よりも長くてもよいし、スタンバイ期間Ｔ１２と同じ長さであってもよい。以後、所定期間Ｔ１０を間欠モードの周期Ｔ１０と呼ぶことある。

図２３に示されるように、情報処理装置３は、ＲＴＣ（リアルタイムクロック）７０を備えている。ＲＴＣ７０は、例えば、ＳＰＩあるいはＩ２Ｃに基づいて通信することが可能な通信Ｉ／Ｆ回路を介して主装置３０に接続されている。ＲＴＣ７０は、制御部３１０によって設定される所定時間を計測することが可能である。ＲＴＣ７０は、設定された所定時間の計測が完了すると、割り込み信号ＩＮＴを、主装置３０の制御部４１０と動作制御装置４０とに出力する。

本例に係る主装置３０では、それ独自の動作モードとして、非スタンバイモードと、当該非スタンバイモードよりも消費電力が低減するスタンバイモードとが含まれる。主装置３０の動作モードがスタンバイモードである場合、例えば、第１通信部３４０、第２通信部３５０、センサ装置３３０及び処理回路３６０等の動作が停止する。主装置３０は、非スタンバイモードとスタンバイモードとを交互に繰り返す間欠動作を行う。主装置３０の動作モードは、制御部３１０によって設定される。

以後、主装置３０の非スタンバイモード及びスタンバイモードをそれぞれ「独自の非スタンバイモード」及び「独自のスタンバイモード」と呼ぶことがある。また、単に非スタンバイモードと言えば、情報処理装置３全体での非スタンバイモードを意味し、単にスタンバイモードと言えば、情報処理装置３全体でのスタンバイモードを意味する。

本例では、主装置３０の動作モードが独自のスタンバイモードに設定されると、情報処理装置３全体の動作モードがスタンバイモードに設定される。そして、主装置３０の動作モードが、独自のスタンバイモードから独自の非スタンバイモードに復帰すると、情報処理装置３の動作モードが、スタンバイモードから非スタンバイモードに復帰する。

主装置３０では、制御部３１０は、主装置３０の動作モードを独自のスタンバイモードに設定すると、スタンバイ信号ＳＢ（図２３参照）を動作制御装置４０に出力する。また、制御部３１０は、主装置３０の動作モードを独自のスタンバイモードに設定すると、ＲＴＣ７０に所定時間を設定する。この所定時間は、スタンバイ期間Ｔ１２とほぼ同じ値に設定される。

図２５は、本例の動作制御装置４０の構成の一例を示す図である。本例の動作制御装置４０は、割り込みコントローラ５６０及び省電力設定レジスタ５７０を備える。また、本例の動作制御装置４０の動作制御部４６０は、カウントダウンタイマー４６１及びクロックゲート４６２以外に、クロックゲート４６５を備える。

省電力設定レジスタ５７０には、スタンバイ信号ＳＢが入力される。省電力設定レジスタ５７０では、スタンバイ信号ＳＢが入力されると、情報処理装置３がスタンバイモードで動作することを示す省電力設定情報が設定される。

省電力設定レジスタ５７０は、クロックゲート４６５の動作を制御するためのイネーブル信号ＥＮＳ０を、クロックゲート４６５のイネーブル入力口ＥＮ０に入力する。省電力設定レジスタ５７０は、省電力設定情報が設定されると、イネーブル信号ＥＮＳ０をＬｏｗレベルに設定し、省電力設定情報がクリアされると、イネーブル信号ＥＮＳ０をＨｉｇレベルに設定する。クロックゲート４６５は、イネーブル入力口ＥＮ０に入力されるイネーブル信号ＥＮＳ０がＨｉｇｈレベルのときだけ、クロック入力口ＣＬＫｉｎ０に入力されるクロック信号ＣＬＫをクロック信号ＣＬＫ０として出力する。クロックゲート４６５から出力されるクロック信号ＣＬＫ０は、クロックゲート４６２のクロック入力口ＣＬＫｉｎに入力される。クロックゲート４６２は、イネーブル信号ＥＮＳがＨｉｇｈレベルのときだけ、クロック入力口ＣＬＫｉｎに入力されるクロック信号ＣＬＫ０をクロック信号ＣＬＫｍとして出力する。

割り込みコントローラ５６０は、ＲＴＣ７０から割り込み信号ＩＮＴが入力されると、制御部４１０のＣＰＵに割り込み要求を通知する。制御部４１０のＣＰＵは、割り込み要求が通知されると、省電力設定レジスタ５７０内の省電力設定情報をクリア（言い換えれば、消去）する。

以上のような構成を有する本例の情報処理装置３は、リセット解除後の初期動作可能期間においては、非スタンバイモードで動作する。そして、情報処理装置３は、動作制御装置４０の動作許可レジスタ４５０に動作許可情報５００が設定されている場合に、言い換えれば、主装置３０の動作がサーバ装置２から許可されている場合に、非スタンバイモードとスタンバイモードを繰り返す間欠動作を行う。以下に、動作許可レジスタ４５０に動作許可情報５００が設定されている場合の本例の情報処理装置３の動作の一例について説明する。

主装置３０の制御部３１０は、主装置３０の動作モードを独自のスタンバイモードに設定すると、スタンバイ信号ＳＢを出力するとともに、ＲＴＣ７０に所定時間を設定する。

主装置３０が出力したスタンバイ信号ＳＢは省電力設定レジスタ５７０に入力され、省電力設定レジスタ５７０に省電力設定情報が設定される。これにより、省電力設定レジスタ５７０から出力されるイネーブル信号ＥＮＳ０がＨｉｇｈレベルからＬｏｗレベルに変化し、クロックゲート４６５は、クロック信号ＣＬＫ０の出力を停止する。その結果、クロックゲート４６２は、クロック信号ＣＬＫｍの出力を停止する。これにより、主装置３０に対するクロック信号ＣＬＫｍの供給が停止し、情報処理装置３の動作モードがスタンバイモードに設定される。

情報処理装置３の動作モードがスタンバイモードに設定された後、ＲＴＣ７０は、設定された所定時間の計測を完了すると、例えばレベル検出用の割り込み信号ＩＮＴを動作制御装置４０と主装置３０に出力する。動作制御装置４０では、割り込みコントローラ５６０は、割り込み信号ＩＮＴを受け取ると、制御部４１０のＣＰＵに割り込み要求を通知する。割り込み要求を受け取った制御部４１０のＣＰＵは、省電力設定レジスタ５７０内の省電力設定情報をクリアする。省電力設定レジスタ５７０内の省電力設定情報がクリアされると、イネーブル信号ＥＮＳ０がＬｏｗレベルからＨｉｇｈレベル変化する。これにより、クロックゲート４６５は、入力されるクロック信号ＣＬＫをクロック信号ＣＬＫ０としてクロックゲート４６２に出力し、クロックゲート４６２は入力されるクロック信号ＣＬＫ０をクロック信号ＣＬＫｍとして主装置３０に出力する。これにより、主装置３０に対するクロック信号ＣＬＫｍの供給が再開する。一方で、クロック信号ＣＬＫｍの供給が再開した主装置３０では、制御部３１０は、主装置３０に割り込み信号ＩＮＴが入力されているか否かを判断する。制御部３１０は、主装置３０に割り込み信号ＩＮＴが入力されていると判断した場合には、主装置３０の動作モードを、独自のスタンバイモードから独自の非スタンバイモードに変更する。これにより、情報処理装置３の動作モードは、スタンバイモードから非スタンバイモードに変化する。

その後、主装置３０の制御部３１０が、主装置３０の動作モードを独自のスタンバイモードに設定すると、以後同様に情報処理装置３は動作する。

このような間欠動作を行う情報処理装置３では、例えば、動作モードが非スタンバイモードに設定されるたびに、上述の図８に示されるステップｓ４１，ｓ４２が実行されて、処理済みセンサ情報が記憶部３２０に記憶される。上述の図２４に示される周期Ｔ１０が例えば１時間である場合、情報処理装置３では、１時間ごとに、センサ情報が取得されて、処理済みセンサ情報が記憶部３２０に記憶される。そして、情報処理装置３では、例えば、動作モードが非スタンバイモードにＸ回（Ｘは１以上の整数）設定されるたびに、上述のステップｓ４３，ｓ４４が実行され、暗号化処理済みセンサ情報がサーバ装置２に送信される。例えば、周期Ｔ１０が１時間であって、Ｘ＝２４に設定されると、情報処理装置３は、２４時間に１回、つまり１日に１回、記憶部３２０内の処理済みセンサ情報を暗号化してサーバ装置２に送信する。

また、本例に係る情報処理装置３は、動作モードが非スタンバイモードのときに、サーバ装置２との間で、図７に示される一連の処理あるいは図１３に示される一連の処理を行う。また、本例に係る情報処理装置３は、動作モードが非スタンバイモードのときに、サーバ装置２との間で、上述の図１０に示されるステップｓ５１～ｓ５５の一連の処理のような、動作許可要求から動作許可までの一連の処理を実行する。

以上のように、情報処理装置３が、動作許可レジスタ４５０内の動作許可情報５００に応じて間欠動作を行う場合であっても、上記と同様に、情報処理装置３の安全性を向上することができる。

なお、図１５に示されるように、主装置３０用のリセット信号ＲＳｍを生成し、リセット信号ＲＳｍをネゲートすることによって許可対象機能を停止する情報処理装置３が、上記と同様の間欠動作を行ってもよい。図２６は、この場合の情報処理装置３が備える動作制御装置４０の構成の一例を示す図である。

図２６に示される動作制御装置４０は、図１５に示される動作制御装置４０において、上述の割り込みコントローラ５６０、省電力設定レジスタ５７０及びクロックゲート４６５を備えるものである。クロックゲート４６５は、動作制御部５２０に設けられている。クロックゲート４６５は、入力されるクロック信号ＣＬＫをクロック信号ＣＬＫｍとして主装置３０に出力することが可能である。

図２６に示される動作制御装置４０を備える情報処理装置３では、主装置３０の動作モードが独自のスタンバイモードに設定されると、スタンバイ信号ＳＢが省電力設定レジスタ５７０に入力され、省電力設定レジスタ５７０に省電力設定情報が設定される。これにより、省電力設定レジスタ５７０から出力されるイネーブル信号ＥＮＳ０がＨｉｇｈレベルからＬｏｗレベルに変化し、クロックゲート４６５は、クロック信号ＣＬＫｍの出力を停止する。その結果、主装置３０に対するクロック信号ＣＬＫｍの供給が停止し、情報処理装置３の動作モードがスタンバイモードに設定される。

情報処理装置３の動作モードがスタンバイモードに設定された後、ＲＴＣ７０が割り込み信号ＩＮＴを出力すると、動作制御装置４０では、割り込みコントローラ５６０が制御部４１０のＣＰＵに割り込み要求を通知する。割り込み要求を受け取った制御部４１０のＣＰＵは、省電力設定レジスタ５７０内の省電力設定情報をクリアする。これにより、イネーブル信号ＥＮＳ０がＬｏｗレベルからＨｉｇｈレベルに変化して、クロックゲート４６５はクロック信号ＣＬＫｍを主装置３０に出力する。一方で、クロック信号ＣＬＫｍの供給が再開した主装置３０では、制御部３１０は、主装置３０に割り込み信号ＩＮＴが入力されているか否かを判断する。そして、制御部３１０は、割り込み信号ＩＮＴが入力されていると判断すると、主装置３０の動作モードを、独自のスタンバイモードから独自の非スタンバイモードに変更する。これにより、情報処理装置３の動作モードは、スタンバイモードから非スタンバイモードに変化する。その後、主装置３０の動作モードが独自のスタンバイモードに設定されると、以後同様に情報処理装置３は動作する。

また、上述の図１７に示されるように、主装置３０が機能ブロック３０として動作制御装置４０のバス５５０に接続された情報処理装置３が、間欠動作を行ってもよい。図２７は、この場合の情報処理装置３の構成の一例を示す図である。

図２７に示される情報処理装置３は、図１７に示される情報処理装置３において、省電力設定レジスタ５７０及びクロックゲート４６５を備えるものである。省電力設定レジスタ５７０は、バス５５０に接続されている。制御部４１０は、省電力設定レジスタ５７０に対して省電力設定情報を設定したり、省電力設定レジスタ５７０内の省電力設定情報をクリアしたりすることができる。クロックゲート４６５は、上述の図２５と同様に、動作制御部４６０に設けられている。

図２７に示される情報処理装置３では、動作モードが制御部４１０によって制御される。図２７に示される情報処理装置３では、機能ブロック３０に対するクロック信号ＣＬＫｍの供給が停止されることによって、動作モードがスタンバイモードに設定される、なお、図２７の例では、機能ブロック３０には、独自の非スタンバイモード及び独自のスタンバイモードは定められていない。

制御部４１０は、動作モードをスタンバイモードに設定する場合には、省電力設定レジスタ５７０に省電力設定情報を設定する。これにより、省電力設定レジスタ５７０から出力されるイネーブル信号ＥＮＳ０がＨｉｇｈレベルからＬｏｗレベルに変化し、クロックゲート４６５は、クロック信号ＣＬＫ０の出力を停止する。その結果、機能ブロック３０に対するクロック信号ＣＬＫｍの供給が停止し、情報処理装置３の動作モードがスタンバイモードに設定される。また、制御部４１０は、省電力設定レジスタ５７０に省電力設定情報を設定するとともに、タイマー４２０に所定時間を設定する。この所定時間は、スタンバイ期間Ｔ１２と同じ値に設定される。

情報処理装置３の動作モードがスタンバイモードに設定された後、タイマー４２０が、設定された所定時間の計測を終了すると、制御部４１０は、省電力設定レジスタ５７０内の省電力設定情報をクリアする。これにより、イネーブル信号ＥＮＳ０がＬｏｗレベルからＨｉｇｈレベルに変化して、クロックゲート４６５がクロック信号ＣＬＫ０を出力し、クロックゲート４６２がクロック信号ＣＬＫｍを機能ブロック３０に入力する。これにより、機能ブロック３０の動作が再開し、情報処理装置３の動作モードが、スタンバイモードから非スタンバイモードに復帰する。その後、省電力設定レジスタ５７０に省電力設定情報が設定されると、以後同様に情報処理装置３は間欠動作を行う。

なお、上述の図２０と同様に、図２７の例において、クロックゲート４６２から出力されるクロック信号ＣＬＫｍを通信部４７０に入力することによって、許可対象機能にサーバ通信機能を含めてもよい。

また、上述の図２１と同様に、図２７の例において、カウントダウンタイマー４６１から出力されるイネーブル信号ＥＮＳとリセット信号ＲＳが入力され、通信部４７０にリセット信号ＲＳｎを出力するリセット信号生成部５４０を設けることによって、許可対象機能にサーバ通信機能を含めてもよい。

また、上述の図２２と同様に、図２７の例において、イネーブル信号ＥＮＳに基づいてバス５５０と通信部４７０の接続を制御するスイッチ回路５３０を設けることによって、許可対象機能にサーバ通信機能を含めてもよい。

また、図２７の例において、カウントダウンタイマー４６１から出力されるイネーブル信号ＥＮＳとリセット信号ＲＳが入力され、通信部４７０にリセット信号ＲＳｎを出力するリセット信号生成部５４０を設けて、クロックゲート４６２を削除し、クロックゲート４６５から出力されるクロック信号を機能ブロック３０に入力することによって、許可対象機能に、情報処理装置３の主な機能が含まれないようにしてもよい。

＜情報処理装置の動作に関する動作情報の取得＞
図２８は、情報処理装置３の動作に関する動作情報を取得する本例に係る情報処理装置３が備える動作制御装置４０の構成の一例を示す図である。本例に係る情報処理装置３は、上記の例と同様に、間欠動作を行うことが可能である。そして、本例に係る情報処理装置３は、間欠動作を行っているときに、当該間欠動作に関する情報を動作情報として取得する。なお、本例に係る情報処理装置３が備える主装置３０の構成は、上述の図２３に示される情報処理装置３が備える主装置３０の構成と同様である。

図２８に示されるように、本例に係る動作制御装置４０は、上述の図２５に示される動作制御装置４０において、クロック計測カウンター５８０をさらに備えるものである。クロック計測カウンター５８０は、バス５５０に接続されており、制御部４１０によって制御される。クロック計測カウンター５８０は、主装置３０に供給されるクロック信号ＣＬＫの入力クロック数を計測することが可能である。

本例では、クロック計測カウンター５８０は、例えば、情報処理装置３が間欠動作を行っているときに、クロック信号ＣＬＫが供給されている主装置３０に対して所定期間に入力されるクロックの数を計測する。以後、当該所定期間を「クロック計測期間」と呼ぶことがある。

クロック計測期間は、例えば、間欠動作の周期Ｔ１０（図２４参照）の整数倍に設定される。本例では、クロック計測カウンター５８０の計測値が動作情報として使用される。クロック計測カウンター５８０は、動作情報を取得する動作情報取得部として機能すると言える。制御部４１０は、情報処理装置３が間欠動作を行っている場合に、クロック計測カウンター５８０を制御して、クロック計測カウンター５８０に、主装置３０に入力されるクロックの数を計測させる。また、制御部４１０は、セキュアモードで動作する場合にだけ、クロック計測カウンター５８０にアクセスすることができる。したがって、制御部４１０は、セキュアモードで動作する場合にだけ、クロック計測カウンター５８０の動作を開始させたり、クロック計測カウンターから計測値を読み出したり、クロック計測カウンターの計測値をリセットしたりすることができる。

ここで、本例では、情報処理装置３が非スタンバイモードで動作しているときには、主装置３０にはクロック信号ＣＬＫが供給されている。したがって、クロック計測カウンター５８０で計測される、主装置３０に対して所定期間に入力されるクロックの数は、当該所定期間において情報処理装置３が非スタンバイモードで動作している時間を示す情報であると言える。言い換えれば、クロック計測カウンター５８０でのクロック計測期間での計測値は、クロック計測期間において、情報処理装置３の主な機能が動作している時間を示す情報であると言える。以後、クロック計測カウンター５８０でのクロックの数の計測値を「クロック計測値」と呼ぶことがある。

図２９は、情報処理装置３が間欠動作を行っている場合に、制御部４１０がクロック計測カウンター５８０を制御するときの情報処理装置３の動作の一例を示すフローチャートである。本例では、情報処理装置３は、クロック計測カウンター５８０のクロック計測値を、サーバ装置２に送信する。

図２９に示されるように、ステップｓ１０１において、制御部４１０は、クロック計測カウンター５８０を動作させて、クロック計測カウンター５８０にクロックの数の計測を開始させる。さらに、制御部４１０は、タイマー４２０にクロック計測期間を設定し、タイマー４２０にクロック計測期間の計測を開始させる。

次にステップｓ１０２において、タイマー４２０がクロック計測期間の計測を完了すると、ステップｓ１０３において、制御部４１０は、クロック計測カウンター５８０に計測動作を停止させて、クロック計測カウンター５８０から現在のクロック計測値を取得する。そして、制御部４１０は、取得したクロック計測値を記憶部４３０に記憶する。その後、制御部４１０は、クロック計測カウンター５８０のクロック計測値をリセットして零にする。記憶部４３０に記憶されるクロック計測値は、クロック計測期間でのクロック計測値であると言える。つまり、記憶部４３０に記憶されるクロック計測値は、クロック計測期間において主装置３０に入力されたクロックの総数を示す。

次にステップｓ１０４において、制御部４１０は、情報処理装置３の動作モードが非スタンバイモードのときに、記憶部４３０からクロック計測値を読み出して暗号化し、暗号化されたクロック計測値を通信部４７０に送信させる。これにより、主装置３０に、暗号化後のクロック計測値が入力される。主装置３０は、第２通信部３５０に、第１通信部３４０が受信する暗号化されたクロック計測値を、動作情報としてサーバ装置２に送信させる。

ステップｓ１０４の後、ステップｓ１０１が再度実行され、以後同様にして情報処理装置３は動作する。情報処理装置３は、間欠動作を行っている間、ステップｓ１０１～ｓ１０４までの一連の処理を繰り返し実行する。

図３０は、サーバ装置２が動作情報、つまりクロック計測値を受信する際の当該サーバ装置２の動作の一例を示す図である。図３０に示されるように、ステップｓ１１１において、サーバ装置２の通信部２２が動作情報を受信すると、ステップｓ１１２において、制御部２０は、受信された動作情報を記憶部２１に記憶する。このとき、制御部２０は、動作情報、つまり暗号化されたクロック計測値を復号化し、それによって得られた平文のクロック計測値を記憶部２１に記憶する。

次にステップｓ１１３において、制御部２０は、記憶部２１内のクロック計測値に基づいて、情報処理装置３の動作が異常であるか否かを判定する異常判定処理を実行する。異常判定処理については後で詳細に説明する。

ステップｓ１１３での異常判定処理において、情報処理装置３の動作が異常であると判定されると、ステップｓ１１４において、サーバ装置２は、情報処理装置３が有する所定の機能の停止を指示するための動作停止情報を情報処理装置３に送信する。以後、当該所定の機能を「停止対象機能」と呼ぶことがある。

ステップｓ１１４では、制御部２０は、停止対象機能の停止を指示するための動作停止情報を生成して通信部２２に入力する。通信部２２は、入力された動作停止情報を、情報処理装置３に送信する。停止対象機能は、例えば、情報処理装置３の主な機能及びサーバ通信機能である。ステップｓ１１４の後、ステップｓ１１１が実行されると、以後同様にサーバ装置２は動作する。また、ステップｓ１１３での異常判定処理において、情報処理装置３の動作が正常であると判定され、その後、ステップｓ１１１が実行されると、以後同様にサーバ装置２は動作する。

図３１は、間欠動作を行う情報処理装置３が動作停止情報を受信する際の当該情報処理装置３の動作の一例を示すフローチャートである。図２９のステップｓ１０４の後に続く図３０のｓ１１１～ｓ１１４と、ステップｓ１１４に続く図３１のステップｓ１２１，ｓ１２２とは、例えば、当該ステップｓ１０４において動作情報が送信される非スタンバイ期間Ｔ１１（図２４参照）と同じ期間において実行される。

図３１に示されるように、ステップｓ１２１において、非スタンバイモードで動作する情報処理装置３は、サーバ装置２から動作停止情報を受信する。ステップｓ１２１では、主装置３０の第２通信部３５０が動作停止情報を受信し、制御部３１０は、受信された動作停止情報を記憶部３２０に書き込む。

次にステップｓ１２２において、情報処理装置３は、停止対象機能を停止する。ステップｓ１２２では、制御部３１０は、記憶部３２０から動作停止情報を読み出して第１通信部３４０に送信させる。これにより、動作停止情報が動作制御装置４０に入力される。動作制御装置４０では、制御部４１０が、通信部４７０で受信された動作停止情報を、動作許可レジスタ４５０に書き込む。ここで、動作停止情報は、例えば、零の値を示す。したがって、動作停止情報が動作許可レジスタ４５０に書き込まれることによって、動作許可レジスタ４５０には零の値が設定される。これにより、カウントダウンタイマー４６１のカウント値が零に設定され、カウントダウンタイマー４６１のカウント動作が停止する。カウントダウンタイマー４６１のカウント動作が停止すると、イネーブル信号ＥＮＳがＬｏｗレベルとなり、クロックゲート４６２はクロック信号ＣＬＫｍの出力を停止する。これにより、主装置３０の動作が停止する。つまり、停止対象機能が停止する。その結果、情報処理装置３の間欠動作が停止する。

このように、本例では、サーバ装置２が、情報処理装置３で取得された動作情報に基づいて情報処理装置３の動作が異常であると判定すると、情報処理装置３は、停止対象機能を停止する。停止対象機能が停止した後、例えばリセットスイッチ５０が操作されると、主装置３０の動作が復帰して、許可対象機能が復帰する。

＜異常判定処理の一例＞
本例では、上述のように、動作情報は、クロック計測期間でのクロック計測値である。クロック計測期間でのクロック計測値は、クロック計測期間において、情報処理装置３が非スタンバイモードで動作している時間を示す情報であると言える。情報処理装置３が正常に間欠動作を行う場合には、クロック計測期間において、情報処理装置３が非スタンバイモードで動作している時間は一定である。例えば、情報処理装置３が正常に間欠動作を行う場合の非スタンバイ期間Ｔ１１とスタンバイ期間Ｔ１２の比が１：９であり、クロック計測期間が間欠動作の周期Ｔ１０の整数倍であるとする。この場合、情報処理装置３が正常に間欠動作を行うとき、クロック計測期間において、情報処理装置３が非スタンバイモードで動作している時間は、クロック計測期間の１０分の１となる。したがって、情報処理装置３が正常に間欠動作を行う場合には、クロック計測期間でのクロック計測値は一定となる。以後、情報処理装置３が正常に間欠動作を行う場合のクロック計測期間でのクロック計測値を「第１基準値」と呼ぶことがある。

一方で、主装置３０がハッキングされた結果、主装置３０が間欠動作を行わずに、常にサーバ装置２と通信して当該サーバ装置２をＤｏＳ攻撃する場合には、主装置３０からスタンバイ信号ＳＢが出力されずに、クロックゲート４６２は常にクロック信号ＣＬＫを出力することになる。この場合、クロック計測カウンター５８０がクロック計測期間において計測するクロックの数は、第１基準値よりも大きくなる。また、主装置３０がハッキングされた結果、間欠動作を行う主装置３０が非スタンバイモードで動作する期間が短くなった場合には、クロック計測カウンター５８０がクロック計測期間において計測するクロックの数は、第１基準値よりも小さくなる。

そこで、本例の異常判定処理において、サーバ装置２の制御部２０は、情報処理装置３からの動作情報、つまりクロック計測期間でのクロック計測値と第１基準値とが一致するか否かを判定する。第１基準値は、記憶部２１に予め記憶されている。制御部２０は、クロック計測期間でのクロック計測値が第１基準値と一致すると判定すると、情報処理装置３の動作は正常であると判定する。一方で、制御部２０は、クロック計測期間でのクロック計測値が第１基準値と一致しないと判定すると、情報処理装置３の動作は異常であると判定する。

なお制御部２０は、異常判定処理において、クロック計測期間でのクロック計測値が所定範囲内に存在するか否かを判定してもよい。この場合は、制御部２０は、クロック計測期間でのクロック計測値が所定範囲内に存在すると判定すると、情報処理装置３の動作は正常であると判定する。一方で、制御部２０は、クロック計測期間でのクロック計測値が所定範囲外に存在すると判定すると、情報処理装置３の動作は異常であると判定する。所定範囲は、例えば、第１基準値から第１所定値だけ小さい値から、第１基準値よりも第２所定値だけ大きい値までの範囲に設定される。第１及び第２所定値は同じであってもよいし、異なっていてもよい。

このように、本例では、動作制御装置としての動作制御装置４０が、情報処理装置３の動作に関する動作情報を取得することから、動作制御装置４０で取得された動作情報を用いた処理の実行が可能となる。例えば、上述のように、動作制御装置４０で取得された動作情報がサーバ装置２に送信されることによって、サーバ装置２は、受信した動作情報を用いた処理を実行することが可能となる。サーバ装置２は、例えば、受信した動作情報に基づいて、情報処理装置３の動作が異常であるか否かを判定することができる。

また本例では、サーバ装置２は、情報処理装置３の動作が異常であると判定すると、停止対象機能の停止を指示するための動作停止情報を情報処理装置３に送信する。そして、動作制御装置４０は、情報処理装置３での動作停止情報の受信に応じて、主装置３０の動作を停止して停止対象機能を停止する。これにより、主装置３０等がハッキングされて情報処理装置３の動作が異常となった場合に、情報処理装置３は停止対象機能を停止することができる。よって、情報処理装置３の停止対象機能がハッカーによって利用される可能性を低減することができる。その結果、情報処理装置３の安全性が向上する。

なお、サーバ装置２の制御部２０は、情報処理装置３の動作が異常であると判定した場合、動作停止情報を生成せずに、情報処理装置３の動作が異常であることを示す異常判定情報を記憶部２１に記憶してもよい。この場合、制御部２０は、情報処理装置３から要求信号をサーバ装置２が受信するなどして、動作許可用処理に応じた動作許可条件が成立したと判定すると、記憶部２１に異常判定情報が記憶されているか否かを確認する。そして、制御部２０は、記憶部２１に異常判定情報が記憶されていない場合には、動作許可情報を生成し、通信部２２に、生成した動作許可情報を情報処理装置３に送信させる。一方で、制御部２０は、記憶部２１に異常判定情報が記憶されている場合には、動作許可情報を生成しない。

このように、サーバ装置２が、情報処理装置３の動作が異常であると判定した場合、動作許可用処理に応じた動作許可条件が成立したとしても、動作許可情報を送信しない場合であっても、情報処理装置３の動作に異常が発生した場合に、情報処理装置３は許可対象機能を停止することができる。よって、主装置３０等がハッキングされて情報処理装置３の動作が異常となった場合に、情報処理装置３は許可対象機能を停止することができる。よって、情報処理装置３の許可対象機能がハッカーによって利用される可能性を低減することができる。その結果、情報処理装置３の安全性が向上する。

また、図２６に示される動作制御装置４０にクロック計測カウンター５８０を設けて、情報処理装置３とサーバ装置２とが上記と同様に動作してもよい。図３２は、図２６に示される動作制御装置４０にクロック計測カウンター５８０を設けた様子を示す図である。図３２の例では、サーバ装置２が情報処理装置３の動作が異常であると判定し、動作許可レジスタ４５０に動作停止情報が書き込まれると、主装置３０に入力されるリセット信号ＲＳｍがアサートされて停止対象機能が停止する。

また、図２７に示される動作制御装置４０にクロック計測カウンター５８０を設けて、情報処理装置３とサーバ装置２とが上記と同様に動作してもよい。図３３は、図２７に示される動作制御装置４０にクロック計測カウンター５８０を設けた様子を示す図である。図３３の例では、サーバ装置２が情報処理装置３の動作が異常であると判定し、動作許可レジスタ４５０に動作停止情報が書き込まれると、クロックゲート４６２からのクロック信号ＣＬＫｍの出力が停止して停止対象機能が停止する。これにより、例えば、通常モードで動作する動作制御装置４０がハッキングされて、情報処理装置３が間欠動作を行わずに常にサーバ装置２と通信するような動作異常が発生した場合には、情報処理装置３は停止対象機能を停止することができる。よって、情報処理装置３の安全性が向上する。

なお、上述の図２０と同様に、図３３の例において、クロックゲート４６２から出力されるクロック信号ＣＬＫｍを通信部４７０に入力してもよい。この場合の情報処理装置３を、「図３３の第１変形例に係る情報処理装置３」と呼ぶ。

また、上述の図２１と同様に、図３３の例において、カウントダウンタイマー４６１から出力されるイネーブル信号ＥＮＳとリセット信号ＲＳが入力され、通信部４７０にリセット信号ＲＳｎを出力するリセット信号生成部５４０を設けてもよい。この場合の情報処理装置３を、「図３３の第２変形例に係る情報処理装置３」と呼ぶ。

また、上述の図２２と同様に、図３３の例において、イネーブル信号ＥＮＳに基づいてバス５５０と通信部４７０の接続を制御するスイッチ回路５３０を設けてもよい。この場合の情報処理装置３を、「図３３の第３変形例に係る情報処理装置３」と呼ぶ。

図３３の第１～第３変形例に係る情報処理装置３では、停止対象機能にサーバ通信機能も含まれる。

また、図３３の例において、カウントダウンタイマー４６１から出力されるイネーブル信号ＥＮＳとリセット信号ＲＳが入力され、通信部４７０にリセット信号ＲＳｎを出力するリセット信号生成部５４０を設けて、クロックゲート４６２を削除し、クロックゲート４６５から出力されるクロック信号を機能ブロック３０に入力してもよい。この場合の情報処理装置３を、「図３３の第４変形例に係る情報処理装置３」と呼ぶ。図３３の第４変形例に係る情報処理装置３では、停止対象機能には、サーバ通信機能は含まれるものの、情報処理装置３の主な機能は含まれなくなる。

上記の例では、サーバ装置２が異常判定処理を行っているが、情報処理装置３が異常判定処理を行ってもよい。具体的には、情報処理装置３の動作制御装置４０が異常判定処理を行ってもよい。図３４はこの場合の動作制御装置４０の動作の一例を示すフローチャートである。以下では、一例として、図２８に示される動作制御装置４０が異常判定処理を行う場合について説明する。

図３４に示されるように、ステップｓ１５１において、制御部４１０は、上述のステップｓ１０１と同様に、クロック計測カウンター５８０にクロックの数の計測を開始させるとともに、タイマー４２０にクロック計測期間の計測を開始させる。

次にステップｓ１５２において、タイマー４２０がクロック計測期間の計測を完了すると、ステップｓ１５３において、制御部４１０は、クロック計測カウンター５８０に計測動作を停止させて、クロック計測カウンター５８０から現在のクロック計測値を取得する。そして、制御部４１０は、取得したクロック計測値を記憶部４３０に記憶する。その後、制御部４１０は、クロック計測カウンター５８０のクロック計測値をリセットする。記憶部４３０に記憶されるクロック計測値は、クロック計測期間でのクロック計測値であると言える。

次にステップｓ１５４において、制御部４１０は、記憶部４３０に記憶されている、クロック計測期間でのクロック計測値に基づいて異常判定処理を行う。制御部４１０が行う異常判定処理は、サーバ装置２が行う上述の異常判定処理と同じである。異常判定処理で使用される第１基準値は記憶部４３０に記憶されている。

ステップｓ１５４において、情報処理装置３の動作が異常であると判定されると、ステップｓ１５５において、動作制御装置４０は停止対象機能を停止する。ステップｓ１５５では、制御部４１０は、停止対象機能の動作不可を示す動作不可情報を動作許可レジスタ４５０に書き込む。これにより、動作許可レジスタ４５０内の動作許可情報５００は、動作不可情報に書き換えられる。

動作不可情報は、例えば零の値を示す。したがって、動作不可情報が動作許可レジスタ４５０に書き込まれることによって、動作許可レジスタ４５０には零の値が設定される。これにより、カウントダウンタイマー４６１のカウント値が零に設定され、カウントダウンタイマー４６１のカウント動作が停止する。カウントダウンタイマー４６１のカウント動作が停止すると、イネーブル信号ＥＮＳがＬｏｗレベルとなり、クロックゲート４６２はクロック信号ＣＬＫｍの出力を停止する。これにより、主装置３０の動作が停止する。つまり、停止対象機能が停止する。

ステップｓ１５５の後、リセットスイッチ５０が操作されるなどして、停止対象機能が復帰すると、ステップｓ１５１が再度実行され、以後同様に動作制御装置４０は動作する。また、ステップｓ１５４での異常判定処理において、情報処理装置３の動作が正常であると判定されると、ステップｓ１５１が再度実行され、以後同様に動作制御装置４０は動作する。

なお、上述の図３３の第１変形例に係る情報処理装置３がステップｓ１５１～ｓ１５５を実行してもよい。また、図３３の第２変形例に係る情報処理装置３がステップｓ１５１～ｓ１５５を実行してもよい。また、図３３の第３変形例に係る情報処理装置３がステップｓ１５１～ｓ１５５を実行してもよい。また、図３３の第４変形例に係る情報処理装置３がステップｓ１５１～ｓ１５５を実行してもよい。

このように、情報処理装置３が異常判定処理を行う場合であっても、情報処理装置３の安全性を向上することができる。

なお、サーバ装置２が異常判定処理を行う場合には、情報処理装置３の販売後であっても、異常判定処理で使用される第１基準値の変更が容易となる。また、情報処理装置３の販売後であっても、異常判定処理の方法の変更が容易となる。一方で、情報処理装置３が異常判定処理を行う場合には、情報処理装置３の動作が異常であると判定されるとすぐに停止対象機能を停止することが可能となる。

情報処理装置３が取得する動作情報は、情報処理装置３の動作に関する情報であればよく、上記の例には限られない。例えば、動作情報は、情報処理装置３の動作ログ及び通信ログの少なくとも一方を含んでもよい。

また、クロック計測カウンター５８０は、主装置３０に入力されるクロックに基づいて、所定期間において動作モードが非スタンバイモードに設定される回数を動作情報として求めてもよい。言い換えれば、クロック計測カウンター５８０は、主装置３０に入力されるクロックに基づいて、所定期間において非スタンバイ期間Ｔ１１が現れる回数を動作情報として求めてもよい。非スタンバイ期間Ｔ１１では、主装置３０にクロック信号ＣＬＫのクロックが入力され、スタンバイ期間Ｔ１２では、主装置３０にクロック信号ＣＬＫのクロックが入力されない。したがって、クロック計測カウンター５８０は、主装置３０に入力されるクロックに基づいて、所定期間において動作モードが非スタンバイモードに設定される回数を求めることができる。クロック計測カウンター５８０が求める当該回数を「計測回数」と呼ぶ。計測回数は、クロック計測期間でのクロック計測値と同様に、主装置３０に入力されるクロック信号ＣＬＫに基づいて取得される情報であると言える。所定期間は、例えば、間欠動作の周期Ｔ１０の整数倍に設定される。

サーバ装置２の制御部２０あるいは情報処理装置３の制御部４１０は、計測回数に基づいて異常判定処理を行う。具体的には、制御部２０あるいは制御部４１０は、例えば、計測回数が第２基準値と一致するか否かを判定する。第２基準値は、情報処理装置３が正常に間欠動作を行う場合に、所定期間において動作モードが非スタンバイモードに設定される回数である。例えば、所定期間が周期Ｔ１０の１０倍であるとすると、第２基準値は“１０”に設定される。制御部２０あるいは制御部４１０は、計測回数が第２基準値と一致すると判定すると、情報処理装置３の動作は正常であると判定する。一方で、制御部２０あるいは制御部４１０は、計測回数が第２基準値と一致しないと判定すると、情報処理装置３の動作は異常であると判定する。なお、制御部２０あるいは制御部４１０は、クロック計測値及び第１基準値が用いられた上述の異常判定処理と同様に、第２基準値を含む所定範囲内に計測回数が存在する場合に、情報処理装置３の動作は正常であると判定し、当該所定範囲外に計測回数が存在する場合に、情報処理装置３の動作は異常であると判定してもよい。以後、異常判定処理の説明において制御部と言えば、制御部２０及び制御部４１０のそれぞれを意味する。

また、クロック計測カウンター５８０は、一の非スタンバイ期間Ｔ１１において主装置３０に入力されるクロックの数についての所定期間での平均値を動作情報として求めてもよい。所定期間は、例えば、間欠動作の周期Ｔ１０の整数倍に設定される。ここで、一の非スタンバイ期間Ｔ１１において主装置３０に入力されるクロックの数を「非スタンバイクロック数」と呼ぶ。所定期間が周期Ｔ１０の１０倍であるとすると、所定期間には１０個の非スタンバイ期間Ｔ１１が含まれることから、クロック計測カウンター５８０は、１０個の非スタンバイクロック数の平均値を動作情報として求める。クロック計測カウンター５８０で求められる当該平均値を「計測平均値」と呼ぶ。計測平均値は、主装置３０に入力されるクロック信号ＣＬＫに基づいて取得される情報であると言える。

制御部は計測平均値に基づいて異常判定処理を行う。具体的には、制御部は、例えば、計測平均値が第３基準値と一致するか否かを判定する。第３基準値は、情報処理装置３が正常に間欠動作を行う場合における、所定期間での非スタンバイクロック数の平均値である。制御部は、計測平均値が第３基準値と一致すると判定すると、情報処理装置３の動作は正常であると判定する。一方で、制御部は、計測平均値が第３基準値と一致しないと判定すると、情報処理装置３の動作は異常であると判定する。なお、制御部は、第３基準値を含む所定範囲内に計測平均値が存在する場合に、情報処理装置３の動作は正常であると判定し、当該所定範囲外に計測平均値が存在する場合に、情報処理装置３の動作は異常であると判定してもよい。

また動作情報には、複数の情報が含まれてもよい。この場合、異常判定処理において、制御部は、例えば、複数の情報のそれぞれについて、当該情報に基づいて、情報処理装置３の動作が異常であるか否かを暫定的に判定する暫定異常判定を行う。制御部は、動作情報に含まれる複数の情報のすべてについての暫定異常判定において、情報処理装置３の動作が正常であると判定すると、情報処理装置３の動作が正常であると最終的に判定する。一方で、制御部は、動作情報に含まれる複数の情報の少なくとも一つについての暫定異常判定において、情報処理装置３の動作が異常であると判定すると、情報処理装置３の動作が異常であると最終的に判定する。

動作情報には、例えば、クロック計測期間でのクロック計測値、計測回数及び計測平均値の少なくとも２つが含まれてもよい。例えば、動作情報に、クロック計測期間でのクロック計測値及び計測回数が含まれる場合を考える。この場合、制御部は、異常判定処理において、クロック計測値及び計測回数のそれぞれに基づいて、上記のようにして、情報処理装置３の動作が異常であるか否かを暫定的に判定する。制御部は、クロック計測値及び計測回数のそれぞれについての暫定異常判定において、情報処理装置３の動作が正常であると判定すると、情報処理装置３の動作が正常であると最終的に判定する。一方で、制御部は、クロック計測値及び計測回数の少なくとも一つについての暫定異常判定において、情報処理装置３の動作が異常であると判定すると、情報処理装置３の動作が異常であると最終的に判定する。

他の例として、動作情報に、クロック計測期間でのクロック計測値、計測回数及び計測平均値が含まれる場合を考える。この場合、制御部は、異常判定処理において、クロック計測値、計測回数及び計測平均値のそれぞれに基づいて、上記のようにして、情報処理装置３の動作が異常であるか否かを暫定的に判定する。制御部は、クロック計測値、計測回数及び計測平均値のすべてについての暫定異常判定において、情報処理装置３の動作が正常であると判定すると、情報処理装置３の動作が正常であると最終的に判定する。一方で、制御部は、クロック計測値、計測回数及び計測平均値の少なくとも一つについての暫定異常判定において、情報処理装置３の動作が異常であると判定すると、情報処理装置３の動作が異常であると最終的に判定する。以後、クロック計測値、計測回数及び計測平均値を総称してクロック信号ＣＬＫに基づく動作情報と呼ぶことがある。

また、許可対象機能と停止対象機能とは、同じであってもよいし、異なっていてもよい。後者の場合、例えば、許可対象機能を情報処理装置３の主な機能とし、停止対象機能をサーバ通信機能としてもよい。図３５はこの場合の情報処理装置３の構成の一例を示す図である。図３５に示される情報処理装置３は、図３３に示される情報処理装置３において、通信部４７０用のリセット信号ＲＳｎを出力するリセット信号生成部５９０が設けられたものである。リセット信号生成部５９０は、リセット信号ＲＳがアサートされると、リセット信号ＲＳｎをアサートする。図３５の例では、情報処理装置３の動作が異常であると判定されると、制御部４１０は、通信部４７０の動作の停止を指示する指示信号４１１をリセット信号生成部５９０に出力する。リセット信号生成部５９０は、指示信号４１１を受け取ると、リセット信号ＲＳｎをアサートして通信部４７０の動作を停止する。これにより、サーバ装置２あるいは動作制御装置４０で情報処理装置３の動作が異常であると判定されると、サーバ通信機能が停止する。

また、上記の例の情報処理システム１では、サーバ装置２が動作許可条件が成立するか否かを判定し、当該動作許可条件が成立した場合に動作許可情報を情報処理装置３に送信し、情報処理装置３が受信した動作許可情報に応じて許可対象機能を動作させるといった処理（以後、「第１機能制御処理」と呼ぶことがある）が行われているが、当該処理は行われなくてもよい。

また、上記の例の情報処理システム１では、情報処理装置３の動作が異常であるか否かが判定され、情報処理装置３の動作が異常であると判定されると、停止対象機能を停止するといった処理（以後、「第２機能制御処理」と呼ぶことがある）が行われているが、当該処理は行われなくてもよい。

また、情報処理システム１において、第１機能制御処理が行われずに、第２機能制御処理が行われる場合には、動作許可レジスタ４５０内に動作許可情報５００が予め記憶されていてもよい。つまり、情報処理装置３の工場出荷段階において、動作許可レジスタ４５０内に動作許可情報５００が記憶されていてもよい。この場合、動作許可情報５００は、例えば、情報処理装置３の製品寿命（例えば１０年）よりも長い動作可能期間（例えば３０年）を示す。動作制御装置４０の制御部４１０は、情報処理装置３の動作が異常であると判定されると、動作許可レジスタ４５０内の動作許可情報５００を、サーバ装置２からの動作停止情報あるいは自身で生成する動作不可情報に書き換えることによって、停止対象機能を停止する。なお、この場合において、情報処理装置３が異常判定処理を行うときには、情報処理装置３はサーバ装置２と通信しなくてもよい。

また、異常判定処理の方法は上記の例に限られない。また、動作情報が使用された処理は異常判定処理に限られない。

＜主装置の構成の他の例＞
図３６は主装置３０の構成の他の例を示す図である。図３６に示される例では、制御部３１０、記憶部３２０、センサ装置３３０、第１通信部３４０、第２通信部３５０及び処理回路３６０は、互いに異なるパッケージ３１１，３２１，３３１，３４１，３５１，３６１にそれぞれに収納されている。制御部３１０は、記憶部３２０、センサ装置３３０、第１通信部３４０、第２通信部３５０及び処理回路３６０のそれぞれと、例えばＳＰＩあるいはＩ２Ｃに基づいて通信することが可能である。なお、制御部３１０と、記憶部３２０、センサ装置３３０、第１通信部３４０、第２通信部３５０及び処理回路３６０との間の通信方式はこれに限られない。

制御部３１０は、図３７に示されるように、クロック生成部３１２を備えてもよい。クロック生成部３１２は、例えばリングオシレータである。クロック生成部３１２から出力されるクロック信号ＣＬＫｐの周波数精度は、例えば、動作制御装置４０が備えるクロック生成部４８０から出力されるクロック信号ＣＬＫの周波数精度よりも低くなっている。

図３７のように、制御部３１０がクロック生成部３１２を備える場合には、主装置３０は、クロック信号ＣＬＫｐに基づいて、動作してもよいし、動作しなくてもよい。後者の場合には、クロック生成部３１２の動作は常に停止してもよい。一方で、前者の場合、例えば、制御部３１０は、主装置３０のリセットが解除されると、つまり、主装置３０に入力されるリセット信号ＲＳがネゲートされると、まず、クロック信号ＣＬＫｐに基づいて動作を開始し、主装置３０の初期設定を行う。初期設定後は、クロック信号ＣＬＫｐは使用されずに、制御部３１０はクロック信号ＣＬＫｍに基づいて動作を行う。初期設定後は、クロック生成部３１２の動作は停止してもよい。なお、クロック信号ＣＬＫｐの使用例はこの限りではない。また、クロック生成部３１２はリングオシレータ以外であってもよい。以後、クロック信号ＣＬＫｐを内部クロック信号ＣＬＫｐと呼ぶことがある。

＜機能停止方法の他の例＞
動作制御装置４０は、動作可能期間が経過した場合、あるいは情報処理装置３の動作が異常であると判定された場合、主装置３０に対する電源供給を停止することによって、主装置３０の動作を停止してもよい。図３８はこの場合の動作制御装置４０の構成の一例を主に示す図である。図３８の例では、情報処理装置３は、その電源を生成するバッテリ７０を備えている。動作制御装置４０及び主装置３０は、バッテリ７０の出力電圧Ｖｂに基づいて動作する。

図３８に示される動作制御装置４０は、上述の図１５に示される動作制御装置４０において、リセット信号生成部５１０の替わりに電源回路６１０を備え、リセット信号ＲＳを主装置３０に入力するものである。

電源回路６１０は、主装置３０の電源電圧Ｖｍを生成する。電源回路６１０は、バッテリ７０の出力電圧Ｖｂに基づいて電源電圧Ｖｍを生成して出力することが可能である。電源回路６１０は例えば降圧回路であって、バッテリ７０の出力電圧Ｖｂを降圧して出力する。

主装置３０には電源電圧Ｖｍが入力される電源入力口３０３が設けられている。主装置３０は、電源入力口３０３に入力される電源電圧Ｖｍに基づいて動作を行う。図３８の例では、カウントダウンタイマー４６１と電源回路６１０とで、主装置３０の動作を制御する動作制御部６２０が構成される。

電源回路６１０には、カウントダウンタイマー４６１から出力されるイネーブル信号ＥＮＳが入力される。電源回路６１０は、イネーブル信号ＥＮＳがＬｏｗレベルのとき電源電圧Ｖｍを出力しない。一方で、電源回路６１０は、イネーブル信号ＥＮＳがＨｉｇｈレベルのとき電源電圧Ｖｍを出力する。

このような構成を有する動作制御装置４０では、情報処理装置３のリセット解除後に、動作許可レジスタ４５０に初期値が設定されると、イネーブル信号ＥＮＳがＬｏｗレベルからＨｉｇｈレベルに変化して、主装置３０の電源入力口３０３に電源電圧Ｖｍが入力される。これより、主装置３０は初期動作可能期間、動作することが可能となる。そして、初期動作可能期間において、動作許可条件が成立して、動作許可レジスタ４５０に動作許可情報５００が設定されると、イネーブル信号ＥＮＳはＨｉｇｈレベルを維持し、主装置３０は動作を継続する。その後、動作許可レジスタ４５０内の動作許可情報５００が更新されない場合には、情報処理装置３に現在設定されている動作可能期間が経過すると、電源入力口３０３に電源電圧Ｖｍが入力されなくなり、その結果、主装置３０の動作が停止する。

なお、図１６，図１７等に示されるように、主装置３０と動作制御装置４０とが同一のパッケージ６００に収納される場合においても、図３８の例と同様に、動作制御装置４０は、主装置３０（言い換えれば機能ブロック３０）に対する電源供給を停止することによって、主装置３０の動作を停止してもよい。

また、図２３～２８等に示されるように、情報処理装置３が間欠動作を行う場合においても、図３８の例と同様に、動作制御装置４０は、主装置３０に対する電源供給を停止することによって、主装置３０の動作を停止してもよい。図３９は、この場合の動作制御装置４０の構成の一例を示す図である。

図３９に示される動作制御装置４０は、上述の図３２に示される動作制御装置４０において、リセット信号生成部５１０の替わりに電源回路６１０を備え、リセット信号ＲＳを主装置３０に入力するものである。図３９の例では、カウントダウンタイマー４６１、クロックゲート４６５及び電源回路６１０で、主装置３０の動作を制御する動作制御部６２０が構成される。

図３９に示される動作制御装置４０では、サーバ装置２が異常判定処理を行う場合、サーバ装置２からの動作停止情報が動作許可レジスタ４５０に設定されると、動作許可レジスタ４５０には零の値が設定される。これにより、カウントダウンタイマー４６１のカウント値が零に設定され、イネーブル信号ＥＮＳがＬｏｗレベルとなる。その結果、電源回路６１０から電源電圧Ｖｍが出力されなくなり、主装置３０の動作が停止する。また、情報処理装置３で異常判定処理が行われる場合、動作不可情報が動作許可レジスタ４５０に設定されると、動作許可レジスタ４５０には零の値が設定される。これにより、カウントダウンタイマー４６１のカウント値が零に設定され、イネーブル信号ＥＮＳがＬｏｗレベルとなる。その結果、電源回路６１０から電源電圧Ｖｍが出力されなくなり、主装置３０の動作が停止する。

また、動作制御装置４０は、動作可能期間が経過した場合、あるいは情報処理装置３の動作が異常であると判定された場合、通信部４７０に対する電源供給を停止することによって、通信部４７０の動作を停止してもよい。図４０はこの場合の動作制御装置４０の構成の一例を主に示す図である。

図４０に示される動作制御装置４０は、図２１に示される動作制御装置４０において、リセット信号生成部５４０の替わりに電源回路６３０を備えるものである。電源回路６３０は、バッテリ７０の出力電圧Ｖｂに基づいて、通信部４７０の電源電圧Ｖｎを生成して出力することが可能である。電源回路６３０は、例えば降圧回路であって、出力電圧Ｖｂを降圧して出力する。電源回路６３０には、カウントダウンタイマー４６１から出力されるイネーブル信号ＥＮＳが入力される。電源回路６３０は、イネーブル信号ＥＮＳがＬｏｗレベルのとき電源電圧Ｖｎを出力しない。一方で、電源回路６３０は、イネーブル信号ＥＮＳがＨｉｇｈレベルのとき電源電圧Ｖｎを出力する。なお、図２７，３３等に示されるように、情報処理装置３が間欠動作を行う場合においても、動作制御装置４０は、通信部４７０に対する電源供給を停止することによって、通信部４７０の動作を停止してもよい。

また、動作制御装置４０は、動作可能期間が経過した場合、あるいは情報処理装置３の動作が異常であると判定されたとき、主装置３０における、制御部３１０を除く一部の回路の動作を、制御部３１０の動作にかかわらず、停止してもよい。図４１は、この場合の動作制御装置４０の構成の一例を示す図である。

図４１に示される動作制御装置４０は、上述の図３８に示される動作制御装置４０において、電源回路６１０の替わりに制御部６５０を備えるものである。図４１に示される動作制御装置４０では、カウントダウンタイマー４６１及び制御部６５０によって、主装置３０の動作を制御する動作制御部６６０が構成されている。

制御部６５０は、イネーブル信号ＥＮＳがＬｏｗレベルのときには、制御部３１０の動作にかかわらず、主装置３０の一部の回路の動作を停止させる。以後、制御部３１０の動作にかかわらず、主装置３０の一部の回路の動作を停止させることを「強制停止制御」と呼ぶことがある。一方で、制御部６５０は、イネーブル信号ＥＮＳがＨｉｇｈレベルのとき、主装置３０の一部の回路に対する強制停止制御を解除する。

制御部６５０は、例えば、サーバ装置２と通信する第２通信部３５０に入力される信号を制御することによって、第２通信部３５０に対して強制停止制御を行う。例えば、上述の図３６，３７に示される構成において、制御部３１０がＩ２Ｃに基づいて第２通信部３５０と通信することが可能である場合を考える。この場合、動作制御部６６０の制御部６５０は、第２通信部３５０に入力されるＳＣＬ信号を強制的にＬｏｗレベルに固定する。これにより、制御部３１０は、第２通信部３５０と通信しようとしたとしても、ＳＣＬ信号のレベルが強制的にＬｏｗレベルに固定されていることから、第２通信部３５０と通信できなくなる。制御部６５０は、制御部３１０と第２通信部３５０とを接続する、ＳＣＬ信号が流れる信号ラインのレベルをＬｏｗレベルに固定することによって、第２通信部３５０に対して強制停止制御を行うことができる。一方で、制御部６５０は、当該信号ラインをＬｏｗレベルに固定することを止めることによって、第２通信部３５０に対する強制停止制御を解除することができる。第２通信部３５０に対する強制停止制御が解除されると、制御部４１０は第２通信部３５０との通信が可能となり、その結果、第２通信部３５０は、制御部３１０による制御に応じて動作することが可能となる。

なお、制御部６５０は、主装置３０における、第２通信部３５０以外の回路の動作を停止してもよい。また、制御部６５０は、記憶部３２０、センサ装置３３０、第１通信部３４０及び第２通信部３５０の少なくとも一つの回路の動作を停止してもよい。

また、制御部６５０は、主装置３０のある回路に対して制御部３１０から供給される、当該ある回路を活性化するための信号を強制的にネゲートすることができる場合には、当該信号をネゲートすることによって当該ある回路に対して強制停止制御を行ってもよい。回路を活性化するための信号は、例えば、セレクト信号、チップセレクト信号、イネーブル信号あるいはチップイネーブル信号と呼ばれることがある。以後、回路を活性化するための信号を活性化信号と呼ぶことがある。

また、図２４等に示されるように、情報処理装置３が間欠動作を行う場合においても、図４１の例と同様に、動作制御装置４０は、制御部３１０の動作にかかわらず、主装置３０の一部の回路を停止してもよい。図４２は、この場合の動作制御装置４０の構成の一例を示す図である。図４２に示される動作制御装置４０は、上述の図３９に示される動作制御装置４０において、電源回路６１０の替わりに制御部６５０を設けたものである。

＜動作情報の他の例＞
上記の例では、異常判定処理で使用される動作情報には、クロック計測期間でのクロック計測値、計測回数及び計測平均値の少なくとも一つが含まれていたが、これらの情報以外の情報が含まれてもよい。以後、異常判定処理で使用される、情報処理装置３の動作に関する動作情報を「装置動作情報」と呼ぶことがある。

装置動作情報には、例えば、主装置３０が備える、互いに異なる機能を実現する複数の回路の少なくとも一つの回路の動作に関する動作情報が含まれてもよい。具体的には、装置動作情報には、記憶部３２０、センサ装置３３０、第１通信部３４０、第２通信部３５０及び処理回路３６０の少なくとも一つの回路の動作に関する動作情報が含まれてもよい。以後、装置動作情報に、その動作情報が含まれる回路を特定回路と呼ぶことがある。以下に、一例として、記憶部３２０、センサ装置３３０及び第２通信部３５０が特定回路である場合の情報処理システム１について説明する。

図４３は、間欠動作を行う情報処理装置３の非スタンバイ期間Ｔ１１での記憶部３２０、センサ装置３３０及び第２通信部３５０の動作の一例を説明するための図である。図４３では、センサ装置という文字列が示される長方形は、センサ装置３３０の動作期間Ｔ２０を示している。また、記憶部という文字列が示される長方形は、記憶部３２０の動作期間Ｔ３０を示している。そして、第２通信部という文字列が示される長方形は、第２通信部３５０の動作期間Ｔ４０を示している。以下では、記憶部３２０、センサ装置３３０及び第２通信部３５０が図４３のように動作する場合の情報処理システム１について説明する。

図４３に示される例では、情報処理装置３の動作モードが非スタンバイモードに設定されると、まず、制御部３１０は、センサ装置３３０を制御して、センサ装置３３０にセンサ情報を取得させる。次に制御部３１０は、センサ装置３３０で得られるセンサ情報を記憶部３２０に記憶する。次に制御部３１０は、記憶部３２０からセンサ情報を読み出して処理回路３６０に入力する。次に制御部３１０は、処理回路３６０で得られる処理済みセンサ情報を記憶部３２０に記憶する。次に制御部３１０は、記憶部３２０から処理済みセンサ情報を読み出す。次に制御部３１０は、第２通信部３５０を制御して、記憶部３２０から読み出した処理済みセンサ情報を第２通信部３５０に送信させる。第２通信部３５０でのサーバ装置２への処理済みセンサ情報の送信が完了すると、制御部３１０はスタンバイ信号ＳＢを出力する。これにより、非スタンバイ期間Ｔ１１が終了して、情報処理装置３の動作モードがスタンバイモードに設定される。第２通信部３５０は、動作期間Ｔ４０において、処理済みセンサ情報以外の情報をサーバ装置２に送信してもよい。また、第２通信部３５０は、動作期間Ｔ４０において、サーバ装置２からの情報を受信してもよい。

なお、図４３に示される、記憶部２３０の動作期間Ｔ３０を示す長方形は連続的に延びているが、上記の説明から理解できるように、動作期間Ｔ３０において、記憶部２３０は連続的に動作しているのではなく、断続的に動作する。

主装置３０がこのように動作することによって、図４３に示されるように、非スタンバイ期間Ｔ１１では、センサ装置３３０の動作開始タイミングｔ２１の後に、記憶部３２０の動作開始タイミングｔ３１が現れる。動作開始タイミングｔ２１及びｔ３１は、非スタンバイ期間Ｔ１１の初めの方に現れる。また、非スタンバイ期間Ｔ１１では、記憶部３２０の動作開始タイミングｔ３１の後に、第２通信部３５０の動作開始タイミングｔ４１が現れる。動作開始タイミングｔ４１は非スタンバイ期間Ｔ１１の中頃に現れる。

また図４３の例では、記憶部３２０の動作開始タイミングｔ３１の後に、センサ装置３３０の動作終了タイミングｔ２２が現れ、第２通信部３５０の動作開始タイミングｔ４１の後に、記憶部３２０の動作終了タイミングｔ３２が現れる。非スタンバイ期間Ｔ１１において、動作終了タイミングｔ２２は初めの方に現れ、動作終了タイミングｔ３２は中頃に現れる。また、非スタンバイ期間Ｔ１１では、記憶部３２０の動作終了タイミングｔ３２の後に、第２通信部３５０の動作終了タイミングｔ４２が現れる。動作終了タイミングｔ４２は、非スタンバイ期間Ｔ１１の終わりの方に現れる。

以上のような動作を行う主装置３０がハッキングされた場合、センサ装置３３０、記憶部３２０及び第２通信部３５０は、図４３に示されるように動作しないことがある。例えば、主装置３０がハッキングされた結果、第２通信部３５０が長時間サーバ装置２と通信し、非スタンバイ期間Ｔ１１での第２通信部３５０の動作時間（言い換えれば、動作期間Ｔ４０の長さ）が、情報処理装置３が正常に動作する場合と比較して非常に長くなる可能性がある。また、非スタンバイ期間Ｔ１１でのセンサ装置３３０の動作時間（言い換えれば、動作期間Ｔ２０の長さ）が、情報処理装置３が正常に動作する場合と比較して非常に長くなったり、非スタンバイ期間Ｔ１１での記憶部３２０の動作時間（言い換えれば、動作期間Ｔ３０の長さ）が、情報処理装置３が正常に動作する場合と比較して非常に長くなったりする可能性がある。また、主装置３０がハッキングされた結果、第２通信部３５０の動作開始タイミングｔ４１が、情報処理装置３が正常に動作する場合と比較して非常に早くなったり、センサ装置３３０の動作終了タイミングｔ２２が、情報処理装置３が正常に動作する場合と比較して非常に遅くなったりする可能性がある。

そこで、本例では、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報に基づいて、情報処理装置３の動作が異常であるか否かが判定される。図４４，４５は、この場合の動作制御装置４０及び主装置３０の構成の一例をそれぞれ示す図である。図４４に示される動作制御装置４０は、上述の図２８に示される動作制御装置４０において、クロック計測カウンター５８０の替わりに動作情報取得部７００を設けたものである。図４５に示される主装置３０は、上述の図３６に示される主装置３０において、動作制御装置４０との接続関係を変更したものである。図４５に示される主装置３０の制御部３１０は、図３７に示されるように、クロック生成部３１２を備えてもよい。なお、情報処理装置３の全体の構成は上述の図２３に示される構成と同じである。

動作制御装置４０の動作情報取得部７００は、制御部４１０によって制御される。制御部４１０は、クロック計測カウンター５８０と同様に、セキュアモードで動作する場合にだけ、動作情報取得部７００を制御することができる。動作情報取得部７００は装置動作情報を取得する。具体的には、動作情報取得部７００は、主装置３０が備える複数の特定回路の動作情報を取得し、取得した動作情報を装置動作情報とする。例えば、動作情報取得部７００は、主装置３０のセンサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報を取得し、取得した動作情報を装置動作情報とする。

動作情報取得部７００は、特定回路の動作情報として、例えば、所定期間でのセンサ装置３３０の動作時間を取得する。具体的には、動作情報取得部７００は、センサ装置３３０の動作情報として、例えば、所定期間でのセンサ装置３３０の動作時間を取得する。動作情報取得部７００は、記憶部３２０の動作情報として、例えば、所定期間での記憶部３２０の動作時間を取得する。動作情報取得部７００は、第２通信部３５０の動作情報として、例えば、所定期間での第２通信部３５０の動作時間を取得する。所定期間は、例えば、非スタンバイ期間Ｔ１１と一致している。以後、この所定期間を観測期間と呼ぶことがある。観測期間は、割り込み信号ＩＮＴが動作制御装置４０に入力されると開始し、スタンバイ信号ＳＢが動作制御装置４０に入力されると終了する。言い換えれば、観測期間は、クロック信号ＣＬＫの主装置３０に対する供給が開始すると開始し、クロック信号ＣＬＫの主装置３０に対する供給が停止すると終了する。

動作情報取得部７００は、主装置３０の制御部３１０とセンサ装置３３０との間の所定の信号ＳＧ１に対する監視に基づいて、センサ装置３３０の動作情報を取得する。本例では、制御部３１０とセンサ装置３３０との間の、信号ＳＧ１が流れる信号ラインＳＬ１１に対して、一端が動作情報取得部７００に接続された信号ラインＳＬ１２の他端が接続されている。これにより、動作情報取得部７００は、センサ装置３３０に接続された信号ラインＳＬ１１に流れる信号ＳＧ１の監視が可能となる。

動作情報取得部７００は、制御部３１０と記憶部３３０との間の所定の信号ＳＧ２に対する監視に基づいて、記憶部３３０の動作情報を取得する。本例では、制御部３１０と記憶部３２０との間の、信号ＳＧ２が流れる信号ラインＳＬ２１に対して、一端が動作情報取得部７００に接続された信号ラインＳＬ２２の他端が接続されている。これにより、動作情報取得部７００は、記憶部３２０に接続された信号ラインＳＬ２１に流れる信号ＳＧ２の監視が可能となる。

動作情報取得部７００は、制御部３１０と第２通信部３５０との間の所定の信号ＳＧ３に対する監視に基づいて、第２通信部３５０の動作情報を取得する。本例では、制御部３１０と第２通信部３５０との間の、信号ＳＧ３が流れる信号ラインＳＬ３１に対して、一端が動作情報取得部７００に接続された信号ラインＳＬ３２の他端が接続されている。これにより、動作情報取得部７００は、第２通信部３５０に接続された信号ラインＳＬ３１に流れる信号ＳＧ３の監視が可能となる。

制御部３１０がセンサ装置３３０と例えばＳＰＩに基づいて通信する場合には、監視対象の信号ＳＧ１として、例えばチップセレクト信号が採用される。また、制御部３１０が記憶部３２０と例えばＳＰＩに基づいて通信する場合には、監視対象の信号ＳＧ２として、例えばチップセレクト信号が採用される。また、制御部３１０が第２通信部３５０と例えばＳＰＩに基づいて通信する場合には、監視対象の信号ＳＧ３として、例えばチップセレクト信号が採用される。

一方で、制御部３１０がセンサ装置３３０と例えばＩ２Ｃに基づいて通信する場合には、監視対象の信号ＳＧ１として、例えばＳＣＬ信号及びＳＤＡ信号が採用される。また、制御部３１０が記憶部３２０と例えばＩ２Ｃに基づいて通信する場合には、監視対象の信号ＳＧ２として、例えばＳＣＬ信号及びＳＤＡ信号が採用される。また、制御部３１０が第２通信部３５０と例えばＩ２Ｃに基づいて通信する場合には、監視対象の信号ＳＧ３として、例えばＳＣＬ信号及びＳＤＡ信号が採用される。

動作情報取得部７００は、観測期間、信号ＳＧ１を監視し、その監視結果に基づいて、観測期間でのセンサ装置３３０の動作時間を特定する。例えば、信号ＳＧ１が、ＳＰＩのチップセクト信号である場合を考える。この場合、チップセレクト信号がアサートされている期間、センサ装置３３０が動作していると考えることができる。ＳＰＩのチップセレクト信号は、その信号レベルがＨｉｇｈレベルからＬｏｗレベルに変更されることによってアサートされ、ＬｏｗレベルからＨｉｇｈレベルに変更されることによってネゲートされる。したがって、動作情報取得部７００は、観測期間、センサ装置３３０に入力されるチップセレクト信号の立ち下がり及び立ち上がりを監視することによって、観測期間でのセンサ装置３３０の動作時間を特定することができる。

他の例として、信号ＳＧ１が、Ｉ２ＣのＳＣＬ信号及びＳＤＡ信号である場合を考える。Ｉ２Ｃでは、通信開始時にスタート・コンディションが発行され、通信終了時にストップ・コンディションが発行される。センサ装置３３０は、スタート・コンディションの発行からストップ・コンディションの発行まで動作していると考えることができる。Ｉ２Ｃでは、ＳＣＬ信号がＨｉｇｈレベルのときにＳＤＡ信号がＨｉｇｈレベルからＬｏｗレベルに変化することによって、スタート・スタートコンディションが発行される。また、ＳＣＬ信号がＨｉｇｈレベルのときにＳＤＡ信号がＬｏｗレベルからＨｉｇｈレベルに変化することによって、ストップ・スタートコンディションが発行される。したがって、動作情報取得部７００は、観測期間、制御部３１０とセンサ装置３３０との間のＳＣＬ信号及びＳＤＡ信号を監視することによって、観測期間でのセンサ装置３３０の動作時間を特定することができる。

同様にして、動作情報取得部７００は、制御部３１０と記憶部３２０との間の信号ＳＧ２を観測期間監視することによって、観測期間での記憶部３２０の動作時間を特定することができる。また、動作情報取得部７００は、制御部３１０と第２通信部３５０との間の信号ＳＧ３を観測期間監視することによって、観測期間での第２通信部３５０の動作時間を特定することができる。

以後、動作情報取得部７００で特定される、観測期間での特定回路の動作時間を、特定回路の測定動作時間と呼ぶことがある。例えば、センサ装置３３０の測定動作時間は、動作情報取得部７００で特定される、観測期間でのセンサ装置３３０の動作時間を意味する。

情報処理装置３は、サーバ装置２に対して、複数の観測期間での特定回路の動作情報をまとめてログ情報として送信してもよいし、一の観測期間ごとに、観測期間での特定回路の動作情報を送信してもよい。

サーバ装置２が異常判定処理を行う場合には、制御部２０は、上述の図３０のステップｓ１１３において、情報処理装置３から受け取った装置動作情報に含まれる、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報に基づいて、情報処理装置３の動作が異常であるか否かを判定する。具体的には、制御部２０は、センサ装置３３０、記憶部３２０及び第２通信部３５０の測定動作時間に基づいて、情報処理装置３の動作が異常であるか否かを判定する。

ステップｓ１１３では、制御部２０は、センサ装置３３０の動作情報、例えば測定動作時間に基づいて暫定異常判定を行う。また制御部２０は、記憶部３２０の動作情報、例えば測定動作時間に基づいて暫定異常判定を行う。そして制御部２０は、第２通信部３５０の動作情報、例えば測定動作時間に基づいて暫定異常判定を行う。制御部２０は、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報に基づく暫定異常判定の少なくとも一つにおいて情報処理装置３の動作が異常であると判定すると、情報処理装置３の動作は異常であると最終的に判定する。一方で、制御部２０は、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報に基づく暫定異常判定のすべてにおいて、情報処理装置３の動作が正常であると判定する場合には、情報処理装置３の動作は正常であると最終的に判定する。

暫定異常判定において、制御部２０は、例えば、センサ装置３３０の測定動作時間が第４基準値と一致するか否かを判定する。制御部２０は、センサ装置３３０の測定動作時間が第４基準値と一致すると判定する場合、情報処理装置３の動作は正常であると判定する。一方で、制御部２０は、センサ装置３３０の測定動作時間が第４基準値と一致しないと判定する場合、情報処理装置３の動作は異常であると判定する。第４基準値は、情報処理装置３が正常に間欠動作を行う場合における、観測期間でのセンサ装置３３０の動作時間である。また、制御部２０は、第４基準値を含む所定範囲内にセンサ装置３３０の測定動作時間が存在する場合に、情報処理装置３の動作は正常であると判定し、当該所定範囲外にセンサ装置３３０の測定動作時間が存在する場合に、情報処理装置３の動作は異常であると判定してもよい。

なお制御部２０は、動作情報取得部７００で取得される、複数の観測期間でのセンサ装置３３０の動作時間の平均値を第４基準値として使用してもよい。例えば、制御部２０は、センサ装置３３０の最新の測定動作時間を取得すると、それよりも前に取得された、センサ装置３３０の複数の測定動作時間の平均値を求める。そして、制御部２０は、求めた平均値を第４基準値として、上述のように暫定異常判定を行う。

制御部２０は、センサ装置３３０の測定動作時間に基づく暫定異常判定と同様に、記憶部３２０の測定動作期間に基づく暫定異常判定と、第２通信部３５０の測定動作期間に基づく暫定異常判定とを行うことができる。

情報処理装置３が異常判定処理を行う場合には、動作制御装置４０の制御部４１０は、上述の図３４に示されるフローチャートにおいて、ステップｓ１５１～ｓ１５３の実行の替わりに、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報を動作情報取得部７００に取得させる。そして、ステップｓ１５４において、制御部４１０は、動作情報取得部７００で取得されたセンサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報に基づいて、情報処理装置３の動作が異常であるか否かを判定する。制御部４１０は、サーバ装置２の制御部２０が異常判定処理を行う場合と同様にして、センサ装置３３０、記憶部３２０及び第２通信部３５０の測定動作時間に基づいて、情報処理装置３の動作が異常であるか否かを判定することができる。

制御部３１０がＳＰＩに基づいてセンサ装置３３０と通信する場合、監視対象の信号ＳＧ１は、チップセレクト信号及びクロック信号とされてもよい。この場合、動作情報取得部７００は、例えば、チップセレクト信号がアサートされている期間（Ｌｏｗレベルの期間）のクロック信号の立ち上がり回数あるいは立ち下がり回数を測定し、その測定回数を、センサ装置３３０の動作時間としてもよい。あるいは、動作情報取得部７００は、チップセレクト信号がアサートされている期間のクロック信号のトグル回数を測定し、その測定回数を、センサ装置３３０の動作時間としてもよい。ここで、信号のトグル回数とは、信号の立ち上がり回数と立ち下がり回数とを足し合わせた値である。したがって、動作情報取得部７００は、クロック信号のトグル回数をカウントする場合には、クロック信号の立ち上がり及び立ち下がりのそれぞれにおいて計測回数をカウントアップする。なお、動作情報取得部７００は、記憶部３２０及び第２通信部３５０についても、チップセレクト信号がアサートされている期間のクロック信号の立ち上がり回数、立ち下がり回数あるはトグル回数を、記憶部３２０及び第２通信部３５０の動作時間としてもよい。

また、動作情報取得部７００は、制御部３１０がＩ２Ｃに基づいてセンサ装置３３０と通信する場合、スタート・コンディションが発行されてから、ストップ・コンディションが発行されるまでの期間のＳＣＬ信号の立ち上がり回数あるいは立ち下がり回数を測定し、その測定回数を、センサ装置３３０の動作時間として、装置動作情報に含めてもよい。あるいは、動作情報取得部７００は、スタート・コンディションが発行されてから、ストップ・コンディションが発行されるまでの期間のＳＣＬ信号のトグル回数を測定し、その測定回数を、センサ装置３３０の動作時間として装置動作情報に含めてもよい。なお、動作情報取得部７００は、記憶部３２０及び第２通信部３５０についても、スタート・コンディションが発行されてから、ストップ・コンディションが発行されるまでの期間のＳＣＬ信号の立ち上がり回数、立ち下がり回数あるはトグル回数を、記憶部３２０及び第２通信部３５０の動作時間としてもよい。

装置動作情報には、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報と、それ以外の情報とが含まれてもよい。例えば、装置動作情報には、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報と、クロック計測期間でのクロック計測値とが含まれてもよい。この場合には、動作情報取得部７００は、クロック計測カウンター５８０と同様に、動作制御部４６０から出力されるクロック信号ＣＬＫｍに基づいてクロック計測期間でのクロック計測値を取得する。そして、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報のそれぞれ基づく暫定異常判定の結果と、クロック計測期間でのクロック計測値に基づく暫定異常判定の結果とに基づいて、情報処理装置３の動作が異常であるか否かが最終的に判定される。

また、装置動作情報には、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報のうちの一つだけが含まれてもよい。つまり、特定回路は一つだけでもよい。この場合、装置動作情報に、特定回路の動作情報以外の他の情報（例えばクロック計測値）が含まれていない場合には、特定回路の動作情報に基づく暫定異常判定の結果が、情報処理装置３の動作が異常であるか否かの最終的な判定結果となる。

また、装置動作情報には、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報のうちの二つだけが含まれてもよい。つまり、特定回路は二つだけであってもよい。この場合、異常判定処理では、装置動作情報に含まれる二つの動作情報のそれぞれに基づいて暫定異常判定が行われる。

また、装置動作情報に含まれる特定回路の動作情報には、観測期間での当該特定回路の動作開始タイミングが含まれてもよい。具体的には、装置動作情報に含まれるセンサ装置３３０の動作情報には、観測期間でのセンサ装置３３０の動作開始タイミングが含まれてもよい。動作情報取得部７００は、センサ装置３３０の動作時間の特定と同様に、信号ＳＧ１に対する監視に基づいて、観測期間でのセンサ装置３３０の動作開始タイミングを特定することができる。例えば、信号ＳＧ１がＳＰＩのチップセレクト信号である場合、動作情報取得部７００は、当該チップセレクト信号がネゲート状態（Ｈｉｇｈレベル）からアサート状態（Ｌｏｗレベル）に変化するタイミングを、センサ装置３３０の動作開始タイミングと見なすことができる。また、信号ＳＧ１がＩ２ＣのＳＣＬ信号及びＳＤＡ信号である場合、動作情報取得部７００は、ＳＣＬ信号及びＳＤＡ信号に基づいてスタート・コンディションが発行されたタイミングを特定し、そのタイミングをセンサ装置３３０の動作開始タイミングと見なすことができる。以後、動作情報取得部７００で特定される、観測期間での特定回路の動作開始タイミングを、特定回路の測定動作開始タイミングと呼ぶことがある。センサ装置３３０の測定動作開始タイミングは、動作情報取得部７００で特定される、観測期間でのセンサ装置３３０の動作開始タイミングを意味する。

センサ装置３３０の測定動作開始タイミングは、例えば、観測期間での相対的なタイミングで表される。例えば、観測期間の長さをＴＭで表すとする。センサ装置３３０の測定動作開始タイミングが、観測期間の開始から、観測期間の１０分の１の期間だけ経過したタイミングだとすると、センサ装置３３０の測定動作開始タイミングは、例えば、（ＴＭ×１／１０）で表される。

センサ装置３３０の動作情報に測定動作開始タイミングが含まれる場合には、異常判定処理では、当該測定動作開始タイミングに基づく暫定異常判定が行われる。情報処理装置３が正常に動作している場合には、上述の図４３に示されるように、非スタンバイ期間Ｔ１１の初めの方にセンサ装置３３０の動作開始タイミングｔ２１が現れる。暫定異常判定では、非スタンバイ期間Ｔ１１と一致する観測期間でのセンサ装置３３０の動作開始タイミングが、観測期間の初めの方に現れる場合には、情報処理装置３の動作は正常であると判定される。例えば、センサ装置３３０の測定動作開始タイミングが、観測期間の前半の５分の１までの期間に現れる場合には、情報処理装置３の動作は正常であると判定される。一方で、暫定異常判定において、センサ装置３３０の測定動作開始タイミングが、観測期間の初めの方に現れない場合には、情報処理装置３の動作は異常であると判定される。例えば、センサ装置３３０の測定動作開始タイミングが、観測期間の前半の５分の１までの期間よりも後に現れる場合には、情報処理装置３の動作は異常であると判定される。

なお、異常判定処理では、動作情報取得部７００で取得される、複数の観測期間でのセンサ装置３３０の動作開始タイミングの平均が基準タイミングとして使用されてもよい。この場合、例えば、制御部は、センサ装置３３０の最新の測定動作開始タイミングを取得すると、それよりも前に取得されたセンサ装置３３０の複数の測定動作開始タイミングの平均を基準タイミングとして求める。そして、制御部は、最新の測定動作開始タイミングが基準タイミングに近い場合には、情報処理装置３の動作は正常であると判定する。例えば、制御部は、最新の測定動作開始タイミングと基準タイミングとの差が所定範囲内に存在する場合には、情報処理装置３の動作は正常であると判定する。一方で、制御部は、最新の測定動作開始タイミングが基準タイミングに近くない場合には、情報処理装置３の動作は異常であると判定する。例えば、制御部は、最新の測定動作開始タイミングと基準タイミングとの差が所定範囲外に存在する場合には、情報処理装置３の動作は異常であると判定する。

また、センサ装置３３０の動作情報に複数の情報が含まれる場合には、異常判定処理において、当該複数の情報のそれぞれについて、当該情報に基づく暫定異常判定が行われる。例えば、センサ装置３３０の動作情報に測定動作時間及び測定動作開始タイミングが含まれる場合には、異常判定処理において、測定動作時間及び測定動作開始タイミングのそれぞれに基づく暫定異常判定が行われる。

また、装置動作情報に含まれる記憶部３２０の動作情報には、観測期間での記憶部３２０の動作開始タイミングが含まれてもよい。また、装置動作情報に含まれる第２通信部３５０の動作情報には、観測期間での第２通信部３５０の動作開始タイミングが含まれてもよい。異常判定処理において、制御部は、センサ装置３３０の測定動作開始タイミングに基づく暫定異常判定と同様にして、観測期間での記憶部３２０の動作開始タイミングに基づく暫定異常判定と、観測期間での第２通信部３５０の動作開始タイミングに基づく暫定異常判定とを行うことができる。以後、動作情報取得部７００で特定される、観測期間での記憶部３２０の動作開始タイミングを、記憶部３２０の測定動作開始タイミングと呼ぶことがある。また、動作情報取得部７００で特定される、観測期間での第２通信部３５０の動作開始タイミングを、第２通信部３５０の測定動作開始タイミングと呼ぶことがある。記憶部３２０及び第２通信部３５０の測定動作開始タイミングは、センサ装置３３０の測定動作開始タイミングと同様に、例えば、観測期間での相対的なタイミングで表される。

また、装置動作情報に含まれるセンサ装置３３０の動作情報には、観測期間でのセンサ装置３３０の動作終了タイミングが含まれてもよい。動作情報取得部７００は、センサ装置３３０の測定動作時間の特定と同様に、信号ＳＧ１に対する監視に基づいて、観測期間でのセンサ装置３３０の動作終了タイミングを特定することができる。例えば、信号ＳＧ１がＳＰＩのチップセレクト信号である場合、動作情報取得部７００は、当該チップセレクト信号がアサート状態（Ｌｏｗレベル）からネゲート状態（Ｈｉｇｈレベル）に変化するタイミングを、センサ装置３３０の動作終了タイミングと見なすことができる。また、信号ＳＧ１がＩ２ＣのＳＣＬ信号及びＳＤＡ信号である場合、動作情報取得部７００は、ＳＣＬ信号及びＳＤＡ信号に基づいてストップ・コンディションが発行されたタイミングを特定し、そのタイミングをセンサ装置３３０の動作終了タイミングと見なすことができる。以後、動作情報取得部７００で特定される、観測期間でのセンサ装置３３０の動作終了タイミングを、センサ装置３３０の測定動作終了タイミングと呼ぶことがある。センサ装置３３０の測定動作終了タイミングは、センサ装置３３０の測定動作開始タイミングと同様に、例えば、観測期間での相対的なタイミングで表される。

センサ装置３３０の動作情報に測定動作終了タイミングが含まれる場合には、異常判定処理では、当該測定動作終了タイミングに基づく暫定異常判定が行われる。情報処理装置３が正常に動作している場合には、上述の図４３に示されるように、非スタンバイ期間Ｔ１１の初めの方にセンサ装置３３０の動作終了タイミングｔ２２が現れる。暫定異常判定では、センサ装置３３０の測定動作終了タイミングが、観測期間の初めの方に現れる場合には、情報処理装置３の動作は正常であると判定される。例えば、センサ装置３３０の測定動作終了タイミングが、観測期間の前半の４分の１までの期間に現れる場合には、情報処理装置３の動作は正常であると判定される。一方で、暫定異常判定では、センサ装置３３０の測定動作終了タイミングが、観測期間の初めの方に現れない場合には、情報処理装置３の動作は異常であると判定される。例えば、センサ装置３３０の測定動作終了タイミングが、観測期間の前半の４分の１までの期間よりも後に現れる場合には、情報処理装置３の動作は異常であると判定される。

なお制御部は、センサ装置３３０の測定動作開始タイミングに基づく暫定異常判定と同様に、複数の観測期間でのセンサ装置３３０の動作終了タイミングの平均を基準タイミングとして使用して、センサ装置３３０の最新の測定動作終了タイミングに基づく暫定異常判定を行ってもよい。

また、装置動作情報に含まれる記憶部３２０の動作情報には、観測期間での記憶部３２０の動作終了タイミングが含まれてもよい。また、装置動作情報に含まれる第２通信部３５０の動作情報には、観測期間での第２通信部３５０の動作終了タイミングが含まれてもよい。異常判定処理において、制御部は、センサ装置３３０の測定動作終了タイミングに基づく暫定異常判定と同様にして、観測期間での記憶部３２０の動作終了タイミングに基づく暫定異常判定と、観測期間での第２通信部３５０の動作終了タイミングに基づく暫定異常判定とを行うことができる。以後、動作情報取得部７００で特定される、観測期間での記憶部３２０の動作終了タイミングを、記憶部３２０の測定動作終了タイミングと呼ぶことがある。また、動作情報取得部７００で特定される、観測期間での第２通信部３５０の動作終了タイミングを、第２通信部３５０の測定動作終了タイミングと呼ぶことがある。記憶部３２０及び第２通信部３５０の測定動作終了タイミングは、センサ装置３３０の測定動作開始タイミングと同様に、例えば、観測期間での相対的なタイミングで表される。

なお、特定回路の測定動作開始タイミング及び測定動作終了タイミングは、絶対的な時刻で表されてもよい。図４６は、この場合の動作制御装置４０の構成の一例を示す図である。図４６に示される動作制御装置４０は、上述の図４４に示される動作制御装置４０において、ＲＴＣ７５０をさらに備えるものである。ＲＴＣ７５０は、例えば、クロック生成部４８０が備える発振器（例えば水晶発振器）から出力されるクロック信号に基づいて動作する。ＲＴＣ７５０は現在時刻を計測し、現在時刻を示す時刻情報ＴＩを出力する。この時刻情報ＴＩは、動作情報取得部７００に入力される。動作情報取得部７００は、時刻情報ＴＩに基づいて、特定回路の測定動作開始タイミング及び測定動作終了タイミングを時刻で表す。例えば、信号ＳＧ１がＳＰＩのチップセレクト信号である場合、動作情報取得部７００は、当該チップセレクト信号がＬｏｗレベルになったときにＲＴＣ７５０から出力される時刻情報ＴＩが示す時刻を、センサ装置３３０の動作開始タイミングとする。以後、時刻で表された測定動作開始タイミング及び測定動作終了タイミングをそれぞれ測定動作開始時刻及び測定動作終了時刻と呼ぶことがある。

制御部は、特定回路の測定動作開始時刻に基づく暫定異常判定を行う場合には、例えば、最新の測定動作開始時刻を取得するたびに、当該最新の測定動作開始時刻から、その直前に取得された測定動作開始時刻を差し引いて得られる差分時間を求める。これにより、最新の測定動作開始時刻が取得されるたびに差分時間が求められる。

本例では、暫定異常判定において、制御部は、最新の測定動作開始時刻から、その直前に取得された測定動作開始時刻を差し引いて、最新の差分時間を取得する。また、制御部は、最新の差分時間よりも前に求められた複数の差分時間の平均値を求める。そして、制御部は、最新の差分時間が、差分時間の平均値に近いか否かを判定する。制御部は、例えば、最新の差分時間と差分時間の平均値との差が所定範囲内に存在するとき、最新の差分時間が差分時間の平均値に近いと判定する。制御部は、最新の差分時間が、差分時間の平均値に近いと判定すると、情報処理装置３の動作が正常であると判定する。一方で、制御部は、最新の差異分時間が、差分時間の平均値に近くないと判定すると、情報処理装置３の動作が異常であると判定する。

情報処理装置３が正常に間欠動作をしている場合には、図４７に示されるように、複数の非スタンバイ期間Ｔ１１での特定回路の動作開始タイミングｔ５１の間隔Ｔ５１はほぼ一定となる。したがって、情報処理装置３が正常に間欠動作をしている場合には、差分時間はほぼ一定となる。よって、情報処理装置３が正常に間欠動作を行う場合には、最新の差分時間は、差分時間の平均値に近い値となる。一方で、主装置３０がハッキングされて、測定動作開始時刻がずれた場合には、最新の差分時間は、差分時間の平均値に近い値とはならない。したがって、上記のように、制御部は、最新の差分時間が、差分時間の平均値に近いか否かを判定することにより、適切に暫定異常判定を行うことができる。制御部は、測定動作終了時刻に基づく暫定異常判定も同様に行うことができる。

なお、サーバ装置２の制御部２０は、特定回路の測定動作開始時刻に基づく暫定異常判定を行う場合には、上記とは異なる方法で、暫定異常判定を行ってもよい。

例えば、制御部２０が、センサ装置３３０測定動作開始時刻に基づく暫定異常判定を行う場合を考える。この場合、制御部２０は、情報処理装置３からセンサ装置３３０の測定動作開始時刻を受け取ると、その測定動作開始時刻から所定時間内に、当該情報処理装置３からセンサ情報を受け取ったか否かを判定する。所定時間は、例えば、情報処理装置３が正常に動作する場合の非スタンバイ期間Ｔ１１の長さと同じに設定される。制御部２０は、測定動作開始時刻から所定時間内に、当該測定動作開始時刻を送信した情報処理装置３からセンサ情報を受け取ることが無い場合には、情報処理装置３の動作が異常であると判定する。一方で、制御部２０は、測定動作開始時刻から所定時間内に、当該測定動作開始時刻を送信した情報処理装置３からセンサ情報を受け取った場合には、情報処理装置３の動作が正常であると判定する。サーバ装置２は、正常に動作する情報処理装置３から、センサ装置３３０の測定動作開始時刻を受け取ると、当該測定動作開始時刻から所定時間内に、その情報処理装置３からセンサ情報を受信することになる。したがって、制御部２０は、取得した測定動作開始時刻から所定時間内に、当該測定動作開始時刻を出力した情報処理装置３からセンサ情報を受け取ったか否かを判定することによって、情報処理装置３の動作が異常であるか否かを判定することができる。

他の例として、制御部２０が、第２通信部３５０の測定動作開始時刻に基づく暫定異常判定を行う場合を考える。この場合、制御部２０は、情報処理装置３から第２通信部３５０の測定動作開始時刻を受け取ると、その測定動作開始時刻から所定時間内に、当該情報処理装置３との通信をサーバ装置２が開始したか否かを判定する。この所定時間は、例えば、情報処理装置３が正常に動作する場合の非スタンバイ期間Ｔ１１の長さの半分に設定される。制御部２０は、測定動作開始時刻から所定時間経過しても当該測定動作開始時刻を送信した情報処理装置３との通信をサーバ装置２が開始しなかった場合には、情報処理装置３の動作が異常であると判定する。一方で、制御部２０は、測定動作開始時刻から所定時間内に、当該測定動作開始時刻を送信した情報処理装置３との通信をサーバ装置２が開始した場合には、情報処理装置３の動作が正常であると判定する。サーバ装置２は、正常に動作する情報処理装置３から、第２通信部３５０の測定動作開始時刻を受け取ると、当該測定動作開始時刻から所定時間内に、その情報処理装置３との通信を開始することになる。したがって、制御部２０は、取得した測定動作開始時刻から所定時間内に、当該測定動作開始時刻を出力した情報処理装置３との通信をサーバ装置２が開始したか否かを判定することによって、情報処理装置３の動作が異常であるか否かを判定することができる。

なお制御部２０は、センサ装置３３０の測定動作開始時刻に基づく暫定異常判定と同様にして、センサ装置３３０の測定動作終了時刻に基づく暫定異常判定を行ってもよい。また制御部２０は、第２通信部３５０の測定動作開始時刻に基づく暫定異常判定と同様にして、第２通信部３５０の測定動作終了時刻に基づく暫定異常判定を行ってもよい。

また、装置動作情報に含まれる特定回路の動作情報には、観測期間での特定回路の動作の有無を示す有無情報が含まれてもよい。この場合、暫定異常判定において、制御部は、特定回路の動作情報に含まれる有無情報に基づいて、観測期間において特定回路が動作しないことを特定する場合には、情報処理装置３の動作は異常であると判定する。一方で、制御部は、特定回路の動作情報に含まる有無情報に基づいて、観測期間において特定回路が動作することを特定する場合には、情報処理装置３の動作は正常であると判定する。

装置動作情報には、観測期間でのセンサ装置３３０の動作の有無を示す第１の有無情報が含まれてもよい。動作情報取得部７００は、信号ＳＧ１に対する監視に基づいて、観測期間においてセンサ装置３３０が動作しているか否かを判定することができる。また、装置動作情報には、観測期間での記憶部３２０の動作の有無を示す第２の有無情報が含まれてもよい。動作情報取得部７００は、信号ＳＧ２に対する監視に基づいて、観測期間において記憶部３２０が動作しているか否かを判定することができる。また、装置動作情報には、観測期間での第２通信部３５０の動作の有無を示す第３の有無情報が含まれてもよい。動作情報取得部７００は、信号ＳＧ３に対する監視に基づいて、観測期間において第２通信部３５０が動作しているか否かを判定することができる。

上述の図４３に示されるように、情報処理装置３が正常に動作する場合には、非スタンバイ期間Ｔ１１において、センサ装置３３０、記憶部３２０及び第２通信部３５０が動作する。したがって、制御部は、装置動作情報に含まれる第１の有無情報に基づいて、情報処理装置３の動作が異常であるか否かを判定することができる。同様に、制御部は、第２の有無情報に基づいて情報処理装置３の動作が異常であるか否かを判定することができ、第３の有無情報に基づいて情報処理装置３の動作が異常であるか否かを判定することができる。

また、装置動作情報には、主装置３０が備える複数の回路の間での動作順序を示す動作順序情報が含まれてもよい。この場合、暫定異常判定において、制御部は、装置動作情報に含まれる動作順序情報が示す動作順序が基準動作順序と一致する場合、情報処理装置３の動作は正常であると判定する。一方で、制御部は、動作順序情報が示す動作順序が基準動作順序と一致しない場合、情報処理装置３の動作は異常であると判定する。基準動作順序は、情報処理装置３が正常に動作する場合の複数の回路の間での動作順序である。

装置動作情報には、例えば、観測期間での、センサ装置３３０、記憶部３２０及び第２通信部３５０の間での動作順序を示す動作順序情報が含まれてもよい。動作情報取得部７００は、信号ＳＧ１，ＳＧ２，ＳＧ３に対する監視に基づいて、観測期間での、センサ装置３３０、記憶部３２０及び第２通信部３５０の間での動作順序を特定することができる。動作情報取得部７００は、例えば、センサ装置３３０、記憶部３２０及び第２通信部３５０測定動作開始タイミングの順序を、観測期間でのセンサ装置３３０、記憶部３２０及び第２通信部３５０の間での動作順序として特定してもよい。例えば、センサ装置３３０、記憶部３２０及び第２通信部３５０の測定動作開始タイミングにおいて、記憶部３２０の測定動作開始タイミングが最も早く現れ、次にセンサ装置３３０の測定動作開始タイミングが現れ、最後に第２通信部３５０の測定動作開始タイミングが現れる場合を考える。この場合、観測期間でのセンサ装置３３０、記憶部３２０及び第２通信部３５０の間での動作順序は、記憶部３２０の動作が１番目となり、センサ装置３３０の動作が２番目となり、第２通信部３５０の動作が３番目となる。

上述の図４３に示されるように、情報処理装置３が正常に動作する場合には、非スタンバイ期間Ｔ１１において、センサ装置３３０が最初に動作し、その次に記憶部３２０が動作し、その次に第２通信部３５０が動作する。したがって、装置動作情報に、観測期間での、センサ装置３３０、記憶部３２０及び第２通信部３５０の間での動作順序を示す動作順序情報が含まれる場合には、暫定異常判定で使用される基準動作順序は、センサ装置３３０の動作が１番目、記憶部３２０の動作が２番目、第２通信部３５０の動作が３番目であることを示す。

なお、装置動作情報には、主装置３０が備える２つの回路の間での動作順序を示す動作順序情報が含まれてもよい。例えば、装置動作情報には、センサ装置３３０及び第２通信部３５０の間での動作順序を示す動作順序情報が含まれてもよい。

また、装置動作情報には、第２通信部３５０がサーバ装置２に送信する情報が含まれてもよい。ここで、第２通信部３５０がサーバ装置２に送信する情報は、制御部３１０で生成される。したがって、監視対象の信号ＳＧ３が、例えば、ＳＰＩのチップセレクト信号、クロック信号及びデータ入力信号である場合、動作情報取得部７００は、信号ＳＧ３に対する監視に基づいて、第２通信部３５０がサーバ装置２に送信する情報を取得することができる。また例えば、信号ＳＧ３がＩ２ＣのＳＣＬ信号及びＳＤＡ信号である場合には、動作情報取得部７００は、信号ＳＧ３に対する監視に基づいて、第２通信部３５０がサーバ装置２に送信する情報を取得することができる。以後、装置動作情報に含められる、第２通信部３５０がサーバ装置２に送信する情報を、特定送信情報と呼ぶことがある。

動作情報取得部７００は、信号ＳＧ３に対する監視に基づいて取得した送信情報に含まれる、第２通信部３５０がセンサ情報を送信する先のサーバ装置２のアドレス情報を、特定送信情報としてもよい。この場合、装置動作情報には、第２通信部３５０がセンサ情報を送信する先のサーバ装置２のアドレス情報が含まれる。サーバ装置２が異常判定処理を行う場合、制御部２０は、装置動作情報を受け取ると、暫定異常判定において、装置動作情報に含まれるアドレス情報と、自身が属するサーバ装置２のアドレス情報とを比較する。制御部２０は、両方のアドレス情報が一致すると、情報処理装置３の動作は正常であると判定する。一方で、制御部２０は、両方のアドレス情報が一致しない場合には、情報処理装置３の動作は異常であると判定する。これにより、主装置３０がハッキングされた結果、情報処理装置３がセンサ情報を本来のサーバ装置２とは異なるサーバ装置２に送信する場合には、情報処理装置３の動作が異常であると判定される。また、情報処理装置３が異常判定処理を行う場合には、制御部４１０は、暫定異常判定において、装置動作情報に含まれるアドレス情報と、情報処理装置３がセンサ情報を送信すべきサーバ装置２のアドレス情報とを比較する。制御部４１０は、両方のアドレス情報が一致すると、情報処理装置３の動作は正常であると判定する。一方で、制御部２０は、両方のアドレス情報が一致しない場合には、情報処理装置３の動作は異常であると判定する。なお、特定送信情報は、サーバ装置２のアドレス情報以外の情報であってもよい。

以上のように、異常判定処理で使用される装置動作情報に、主装置３０が備える少なくとも一つの回路の動作情報が含まれることによって、制御部は、情報処理装置３の動作が異常であるか否かを適切に判定することができる。つまり、主装置３０が備える少なくとも一つの回路の動作情報に基づく異常判定処理が行われることによって、情報処理システム１は、情報処理装置３の動作が異常であるか否かを適切に判定することができる。

例えば、計測回数などのクロック信号ＣＬＫに基づく動作情報に基づいて、情報処理装置３の動作が異常であるか否かを判定する場合を考える。この場合、主装置３０がハッキングされて情報処理装置３が本来とは異なる動作を行っている場合であっても、情報処理装置３が正常に間欠動作する場合と同じように主装置３０に対してクロック信号ＣＬＫが入力される場合には、情報処理装置３の動作の異常を特定することができない可能性がある。

これに対して、センサ装置３３０等の主装置３０が備える回路の動作情報に基づく異常判定処理が行われる場合には、情報処理装置３が正常に動作する場合と同じようにクロック信号ＣＬＫがハッキングされている主装置３０に対して入力される場合であっても、情報処理装置３の動作の異常を特定することが可能となる。例えば、主装置３０がハッキングされた結果、非スタンバイ期間Ｔ１１でのセンサ装置３３０の動作時間が本来よりも変化すれば、センサ装置３３０の測定動作時間に基づく異常判定処理を行うことによって、情報処理装置３の動作の異常を適切に特定することができる。

また、装置動作情報に、主装置３０が備える複数の回路についての動作情報が含まれる場合には、情報処理装置３の動作が異常であるか否かをより適切に判定することができる。

また、装置動作情報に、複数の回路の間での動作順序が含まれる場合にも、情報処理装置３の動作が異常であるか否かを適切に判定することができる。

また、装置動作情報に、第２通信部３５０がサーバ装置２に送信する情報が含まれる場合にも、情報処理装置３の動作が異常であるか否かを適切に判定することができる。

また、図３７に示されるように、主装置３０の制御部３１０が、クロック生成部３１２を備える場合には、主装置３０がハッキングされた結果、主装置３０に対するクロック信号ＣＬＫの入力が停止しているにもかかわらず、主装置３０が、クロック生成部３１２が生成する内部クロック信号ＣＬＫｐに基づいて動作する可能性がある。この場合、クロック信号ＣＬＫに基づく動作情報に基づく異常判定処理では、情報処理装置３の動作の異常を適切に特定することができない可能性がある。

これに対して、センサ装置３３０等の主装置３０が備える回路の動作情報に基づく異常判定処理が行われる場合には、主装置３０に対するクロック信号ＣＬＫの入力が停止しているにもかかわらず、主装置３０が内部クロック信号ＣＬＫｐに基づいて動作する場合に、情報処理装置３の動作が異常であると適切に判定することが可能となる。

例えば、動作情報取得部７００は、主装置３０に対するクロック信号ＣＬＫの入力が停止している場合、センサ装置３３０が動作しているか否かを判定し、その判定結果を示す判定結果情報をセンサ装置３３０の動作情報として装置動作情報に含める。この場合、異常判定処理では、制御部は、主装置３０に対するクロック信号ＣＬＫの入力が停止している場合にセンサ装置３３０が動作していることを、装置動作情報に含まれる判定結果情報に基づいて特定したときには、情報処理装置３の動作が異常であると判定する。これにより、主装置３０に対するクロック信号ＣＬＫの入力が停止しているにもかかわらず、内部クロック信号ＣＬＫｐに基づいて動作する制御部３１０がセンサ装置３３０を動作させている場合には、情報処理装置３の動作が異常であると判定することができる。

なお、動作情報取得部７００は、主装置３０に対するクロック信号ＣＬＫの入力が停止している場合、記憶部３２０が動作しているか否かを判定し、その判定結果を示す判定結果情報を記憶部３２０の動作情報として装置動作情報に含めてもよい。また、動作情報取得部７００は、主装置３０に対するクロック信号ＣＬＫの入力が停止している場合、第２通信部３５０が動作しているか否かを判定し、その判定結果を示す判定結果情報を第２通信部３５０の動作情報として装置動作情報に含めてもよい。

また、通信ネットワーク４の負荷状況等に応じて、非スタンバイ期間Ｔ１１での第２通信部３５０の動作終了タイミングが変化して、非スタンバイ期間Ｔ１１での第２通信部３５０の動作時間が変化する可能性がある。したがって、主装置３０がハッキングされること以外の理由で、第２通信部３５０の測定動作時間及び測定動作終了タイミングが変化することがある。また、非スタンバイ期間Ｔ１１での第２通信部３５０の動作終了タイミングが変化すると、非スタンバイ期間Ｔ１１の長さが変化することから、クロック計測期間でのクロック計測値、計測回数及び計測平均値についても、主装置３０がハッキングされること以外の理由で変化することがある。この点に鑑みて、装置動作情報には、クロック計測期間でのクロック計測値、計測回数、計測平均値、第２通信部３５０の測定動作時間及び第２通信部３５０の測定動作終了タイミングが含まれなくてもよい。これにより、情報処理装置３の動作が異常であるか否かをより適切に特定することが可能となる。

なお、図４４の例では、図２８に示される構成において、動作情報を取得する動作情報取得部として機能するクロック計測カウンター５８０の替わりに動作情報取得部７００が設けられているが、動作制御装置４０の他の構成において、クロック計測カウンター５８０の替わりに動作情報取得部７００が設けられてもよい。例えば、図３２，３３，３５，３９，４２に示される構成において、クロック計測カウンター５８０の替わりに動作情報取得部７００が設けられてもよい。

また、図４５の例では、図３６，３７に示される構成に対して、動作情報取得部７００に接続された信号ラインＳＬ１２，ＳＬ２２，ＳＬ３２を接続しているが、主装置３０の他の構成に対して信号ラインＳＬ１２，ＳＬ２２，ＳＬ３２を接続してもよい。例えば、図４８に示されるように、図４に示される構成に対して信号ラインＳＬ１２，ＳＬ２２，ＳＬ３２を接続してもよい。また、図１８に示される構成に対して信号ラインＳＬ１２，ＳＬ２２，ＳＬ３２を接続してもよい。これらの場合、信号ＳＧ１としては、例えば、センサ装置３３０に入力される活性化信号が採用される。信号ラインＳＬ１２は、センサ装置３３０に入力される活性化信号が流れる信号ラインＳＬ１１に接続される。また、信号ＳＧ２としては、例えば、記憶部３２０に入力される活性化信号が採用される。信号ラインＳＬ２２は、記憶部３２０に入力される活性化信号が流れる信号ラインＳＬ２１に接続される。また、信号ＳＧ３としては、例えば、第２通信部３５０に入力される活性化信号が採用される。信号ラインＳＬ３２は、第２通信部３５０に入力される活性化信号が流れる信号ラインＳＬ３１に接続される。

上記の例では、信号ＳＧ１，ＳＧ２，ＳＧ３は、信号ラインＳＬ１２，ＳＬ２２，ＳＬ３２を通じて動作情報取得部７００に入力されているが、第１通信部３４０を通じて動作情報取得部７００に入力されてもよい。この場合、第１通信部３４０が送信する信号ＳＧ１，ＳＧ２，ＳＧ３が、動作制御装置４０の通信部４７０で受信される。そして、通信部４７０で受信された信号ＳＧ１，ＳＧ２，ＳＧ３が動作情報取得部７００に入力される。第１通信部３４０が信号ＳＧ１，ＳＧ２，ＳＧ３を送信する場合、第１通信部３４０がハッキングされた場合には、信号ＳＧ１，ＳＧ２，ＳＧ３の状態が不正に書き換えられる可能性がある。その結果、動作情報取得部７００は特定回路の動作情報を適切に取得できない可能性がある。これに対して、動作情報取得部７００が、信号ラインＳＬ１１，ＳＬ１２，ＳＬ２１，ＳＬ２２，ＳＬ３１，ＳＬ３２に流れる信号ＳＧ１，ＳＧ２，ＳＧ３を監視する場合には、第１通信部３４０がハッキングされたとしても、信号ＳＧ１，ＳＧ２，ＳＧ３の状態が書き換えられる可能性が低減する。よって、動作情報取得部７００は特定回路の動作情報を適切に取得することができる。

また、主装置３０に対して、制御部３１０が記憶情報の書き換えを行えないようなレジスタを設けて、当該レジスタに信号ＳＧ１，ＳＧ２，ＳＧ３の状態を記憶してもよい。この場合、動作情報取得部７００は、当該レジスタから信号ＳＧ１，ＳＧ２，ＳＧ３の状態を読み出し、読み出した状態に基づいて装置動作情報を取得する。

また、上記の例では、装置動作情報には、センサ装置３３０、記憶部３２０及び第２通信部３５０の動作情報が含まれているが、主装置３０の他の回路の動作情報が含まれてもよい。例えば、装置動作情報には、処理回路３６０の動作情報が含まれてもよい。また、装置動作情報には、情報処理装置３が備える回路の電力量が含まれてもよい。この場合には、回路の電力量の変化に基づいて、情報処理装置３の動作が異常であるか否かが判定されてもよい。装置動作情報には、例えば、ハッキングされたときに大きくなる可能性が高い、制御部３１０の電力量、第２通信部３５０の電力量及び主装置３０全体の電力量の少なくとも一つが含まれてもよい。

また、クロック計測カウンター５８０及び動作情報取得部７００で取得された装置動作情報がサーバ装置２に入力される場合には、サーバ装置２の表示部２３は、装置動作情報を例えばグラフ化して表示してもよい。

以上のように、情報処理システム１は詳細に説明されたが、上記した説明は、全ての局面において例示であって、この発明がそれに限定されるものではない。また、上述した各種変形例は、相互に矛盾しない限り組み合わせて適用可能である。そして、例示されていない無数の変形例が、この発明の範囲から外れることなく想定され得るものと解される。

１ 情報処理システム
２ サーバ装置
３ 情報処理装置
３０ 主装置、機能ブロック
４０ 動作制御装置
３２０ 記憶部
３３０ センサ装置
３５０ 第２通信部
４１０ 制御部
４５０ 動作許可レジスタ
５００ 動作許可情報
５８０ クロック計測カウンター

Claims (30)

1. 第１機能を有する情報処理装置と、
   前記情報処理装置と通信ネットワークを通じて通信するサーバ装置と
   を備え、
   前記情報処理装置は、前記第１機能を制御する動作制御装置を有し、
   前記サーバ装置は、前記情報処理装置に関する所定の条件の成立に応じて、前記第１機能の動作許可を示す動作許可情報を前記情報処理装置に送信し、
   前記動作制御装置は、前記情報処理装置が受信する前記動作許可情報に応じて、前記第１機能を動作させ、
   前記動作許可情報は、前記第１機能が動作することが可能な動作可能期間を示す期間情報を含み、
   前記動作制御装置は、前記期間情報に応じて、前記第１機能を動作させ、
   前記情報処理装置は、前記期間情報が示す前記動作可能期間において、前記サーバ装置との間で、前記動作許可情報を前記サーバ装置から受信するための処理を行い、
   前記サーバ装置は、前記処理に応じた前記所定の条件の成立に応じて、前記動作許可情報を前記情報処理装置に送信し、
   前記情報処理装置は、前記動作可能期間において実行した前記処理に応じた前記動作許可情報を受信しないときに、当該動作可能期間と同じ期間において前記処理を再度実行することができるように、前記処理を繰り返し実行する、情報処理システム。
2. 請求項１に記載の情報処理システムであって、
   前記情報処理装置は、当該情報処理装置のリセットの解除後に、前記動作可能期間よりも短い第１期間動作することが可能であり、当該第１期間において前記処理を行う、情報処理システム。
3. 請求項１及び請求項２のいずれか一つに記載の情報処理システムであって、
   前記情報処理装置は、前記処理として、前記サーバ装置と相互認証を行い、
   前記処理に応じた前記所定の条件は、前記相互認証の成功である、情報処理システム。
4. 請求項１及び請求項２のいずれか一つに記載の情報処理システムであって、
   前記情報処理装置は、前記処理として、前記動作許可情報の送信を要求するための要求信号を前記サーバ装置に送信し、
   前記処理に応じた前記所定の条件は、前記サーバ装置の前記要求信号の受信である、情報処理システム。
5. 請求項１乃至請求項４のいずれか一つに記載の情報処理システムであって、
   前記動作制御装置は、前記情報処理装置の動作に関する動作情報を取得する、情報処理システム。
6. 請求項５に記載の情報処理システムであって、
   前記情報処理装置は、前記動作制御装置が取得した前記動作情報を前記サーバ装置に送信し、
   前記サーバ装置は、受信した前記動作情報に基づいて、前記情報処理装置の動作が異常であるか否かを判定する、情報処理システム。
7. 請求項６に記載の情報処理システムであって、
   前記サーバ装置は、前記情報処理装置の動作が異常であると判定した場合、前記情報処理装置が有する第２機能の停止を指示するための動作停止情報を送信し、
   前記動作制御装置は、前記情報処理装置での前記動作停止情報の受信に応じて、前記第２機能を停止する、情報処理システム。
8. 請求項６に記載の情報処理システムであって、
   前記サーバ装置は、前記情報処理装置の動作が異常であると判定した場合、前記所定の条件が成立したとしても、前記動作許可情報を送信しない、情報処理システム。
9. 請求項５に記載の情報処理システムであって、
   前記動作制御装置は、取得した前記動作情報に基づいて、前記情報処理装置の動作が異常であるか否かを判定する、情報処理システム。
10. 請求項９に記載の情報処理システムであって、
    前記動作制御装置は、前記情報処理装置の動作が異常であると判定した場合、前記情報処理装置が有する第２機能を停止する、情報処理システム。
11. 請求項５乃至請求項１０のいずれか一つに記載の情報処理システムであって、
    前記情報処理装置は間欠動作を行い、
    前記動作制御装置は、前記情報処理装置が前記間欠動作を行っているときに、当該間欠動作に関する情報を、前記動作情報として取得する、情報処理システム。
12. 請求項５乃至請求項１１のいずれか一つに記載の情報処理システムであって、
    前記動作情報は、前記第１機能を実現する第１回路を動作させるためのクロック信号に基づいて前記動作制御装置が取得した、前記情報処理装置の動作に関する第１動作情報を含む、情報処理システム。
13. 請求項５乃至請求項１２のいずれか一つに記載の情報処理システムであって、
    前記動作情報は、前記情報処理装置が前記動作制御装置とは別に備える少なくとも一つの回路に関する第２動作情報を含む、情報処理システム。
14. 請求項１３に記載の情報処理システムであって、
    前記少なくとも一つの回路は、通信回路、記憶回路及びセンサ回路の少なくとも一つを含む、情報処理システム。
15. 請求項１３及び請求項１４のいずれか一つに記載の情報処理システムであって、
    前記第２動作情報は、前記少なくとも一つの回路に含まれる第３回路についての動作時間、動作開始タイミング及び動作終了タイミングの少なくとも一つを含む、情報処理システム。
16. 請求項１５に記載の情報処理システムであって、
    前記動作開始タイミング及び前記動作終了タイミングの少なくとも一方は時刻で表される、情報処理システム。
17. 請求項１３及び請求項１４のいずれか一つに記載の情報処理システムであって、
    前記第２動作情報は、前記少なくとも一つの回路に含まれる第３回路の動作の有無を含む、情報処理システム。
18. 請求項１３及び請求項１４のいずれか一つに記載の情報処理システムであって、
    前記第２動作情報は、前記少なくとも一つの回路に含まれる複数の第３回路の間での動作順序を含む、情報処理システム。
19. 請求項１４に記載の情報処理システムであって、
    前記少なくとも一つの回路は、前記サーバ装置と通信することが可能な前記通信回路を含み、
    前記第２動作情報は、前記通信回路が送信する情報を含む、情報処理システム。
20. 請求項１３乃至請求項１９のいずれか一つに記載の情報処理システムであって、
    前記動作制御装置は、前記少なくとも一つの回路に接続された信号ラインに流れる信号に対する監視に基づいて前記第２動作情報を取得する、情報処理システム。
21. 請求項１乃至請求項１１のいずれか一つに記載の情報処理システムであって、
    前記動作制御装置は、前記第１機能を実現する回路に入力される信号を制御することによって、あるいは前記第１機能を実現する回路に対する電源供給を停止することによって、当該第１機能を停止する、情報処理システム。
22. 請求項２１に記載の情報処理システムであって、
    前記動作制御装置は、前記第１機能を実現する回路を動作させるためのクロック信号についての当該回路に対する供給を停止することによって、あるいは前記第１機能を実現する回路に入力されるリセット信号をアサートすることによって、当該第１機能を停止する、情報処理システム。
23. 請求項７及び請求項１０のいずれか一つに記載の情報処理システムであって、
    前記動作制御装置は、前記第２機能を実現する回路に入力される信号を制御することによって、あるいは前記第２機能を実現する回路に対する電源供給を停止することによって、当該第２機能を停止する、情報処理システム。
24. 請求項２３に記載の情報処理システムであって、
    前記動作制御装置は、前記第２機能を実現する回路を動作させるためのクロック信号についての当該回路に対する供給を停止することによって、あるいは前記第２機能を実現する回路に入力されるリセット信号をアサートすることによって、当該第２機能を停止する、情報処理システム。
25. 請求項７、請求項１０、請求項２３及び請求項２４のいずれか一つに記載の情報処理システムであって、
    前記第１及び第２機能は同じである、情報処理システム。
26. 請求項１乃至請求項２５のいずれか一つに記載の情報処理システムであって、
    前記第１機能は、前記情報処理装置が前記サーバ装置と通信する通信機能を含む、情報処理システム。
27. 請求項７、請求項１０、請求項２３及び請求項２４のいずれか一つに記載の情報処理システムであって、
    前記第２機能は、前記情報処理装置が前記サーバ装置と通信する通信機能を含む、情報処理システム。
28. 請求項１乃至請求項２７のいずれか一つに記載の情報処理システムであって、
    前記動作制御装置と、前記第１機能を実現する回路とは、互いに異なるパッケージに収納されている、情報処理システム。
29. 請求項１乃至請求項２８のいずれか一つに記載の情報処理システムが備える情報処理装置。
30. 情報処理装置と、前記情報処理装置と通信ネットワークを通じて通信するサーバ装置とを備える情報処理システムの動作方法であって、
    前記サーバ装置が、前記情報処理装置に関する所定の条件の成立に応じて、前記情報処理装置が有する所定の機能の動作許可を示す動作許可情報を前記情報処理装置に送信し、
    前記情報処理装置が、受信する前記動作許可情報に応じて、前記所定の機能を動作させ、
    前記動作許可情報は、前記所定の機能が動作することが可能な動作可能期間を示す期間情報を含み、
    前記情報処理装置は、前記期間情報に応じて、前記所定の機能を動作させ、
    前記情報処理装置は、前記期間情報が示す前記動作可能期間において、前記サーバ装置との間で、前記動作許可情報を前記サーバ装置から受信するための処理を行い、
    前記サーバ装置は、前記処理に応じた前記所定の条件の成立に応じて、前記動作許可情報を前記情報処理装置に送信し、
    前記情報処理装置は、前記動作可能期間において実行した前記処理に応じた前記動作許可情報を受信しないときに、当該動作可能期間と同じ期間において前記処理を再度実行することができるように、前記処理を繰り返し実行する、情報処理システムの動作方法。

Images