JPWO2006022161A1 - 情報通信装置及びプログラム実行環境制御方法 - Google Patents

Abstract

高速処理を可能とし、アプリケーション、ドライバ追加時に、システムの安全性を確保する装置及び方法の提供。基本処理２２及びＯＳ２１Ａからなるソフトウエア２０Ａを実行する第１のＣＰＵ群１０Ａと、追加処理２３及び追加処理対応のＯＳ２１Ｂからなるソフトウエア２０Ｂを実行する第２のＣＰＵ群１０Ｂと、第１および第２のＣＰＵ１０Ａ、１０Ｂ間で通信を行うためのプロセッサ間通信手段４０１、４０２と、第２のＣＰＵ１０Ｂによるメモリ５０及び／又は入出力装置６０のアクセスを制御するアクセス制御手段３０を備えている。

Description

本発明は、情報処理装置に関し、特に、情報処理装置外部からダウンロードされた追加処理を実行する際のセキュリティ確保に好適とされる装置及び方法に関する。

携帯電話機（mobile phone）等の情報通信端末装置において、通常、該端末装置の基本機能を実現するための基本処理（例えば呼処理機能、インターネットアクセス用のブラウザ機能、電子メール機能、画面制御機能等）は、オペレーティングシステムとともに予めインストールされており、上記基本処理とは別の追加処理（プログラム）については、ユーザの操作等により、ネットワーク等外部から、該端末装置にダウンロードして実行、インストールが行われる。しかしながら、ダウンロードした追加処理を実行した場合、オペレーティングシステムや基本処理等は、該追加処理による攻撃に曝される可能性がある。

図２１は、ダウンロードされた追加処理を実行する情報通信端末装置の典型的な構成の一例を模式的に示す図である。図２１には、よく知られた典型的な装置構成がブロック図にて模式的に例示されている。以下では、追加処理が、ネイティブコード（提供者側でコンパイル、またはアセンブル処理されたバイナリコード）で提供されるアプリケーションプログラムやデバイスドライバ（デバイスへのアクセス要求、デバイスからの割り込み処理を行うソフトウェアであり、「Ｉ／Ｏドライバ」ともいう）である場合について説明する。

図２１に示す構成において、追加処理２３をダウンロードして実行したとき（追加処理２３がデバイスドライバの場合には、オペレーティングシステムに組み込んで実行したとき）、基本処理２２、オペレーティングシステム（「ＯＳ」という）２１、ＣＰＵ（Central Processing Unit）１０、メモリ５０、入出力デバイス（Ｉ／Ｏ）６０に対して、追加処理２３から、直接的に攻撃が行われる可能性がある。その理由は、基本処理２２、ＣＰＵ１０、ＯＳ２１、メモリ５０、あるいは入出力デバイス（Ｉ／Ｏ）６０に対する、追加処理２３からの攻撃を制限し、安全な実行環境を実現する手段が実装されていないためである。すなわち、図２１に示す構成の場合、追加処理２３は、基本処理２２への処理要求、ＯＳ２１への処理依頼、ＣＰＵ１０、メモリ５０、及び入出力デバイス６０への処理要求を任意に発行することができ、ハードウェア、ソフトウェアの各種資源へのアクセスも自在とされている。このため、悪意の追加処理２３（あるいは、悪意はなくとも、ウイルス等に感染した追加処理）は、無防備なＯＳ２１、基本処理２２等に対して攻撃自在とされる。

追加デバイスドライバが、例えばレジデント（常駐型）ドライバとしてＯＳ２１のカーネル内に組み込まれる場合があり、該デバイスドライバの信頼性は、ＯＳ２１の信頼性、及び性能にそのまま影響を及ぼすことになる。これは、デバイスドライバが、デバイスへの処理設定と、デバイスからの割り込み時にスケジューラから起動される割り込みサービスとを含み、割り込みサービスの実行時間（この間、再スケジュールは禁止される）は処理性能から特段に短い時間（例えばミリ秒以下）に制限されているという、デバイスドライバの特性からも、明らかである。つまり、追加デバイスドライバが仮に悪意のあるドライバである場合、情報処理装置の処理性能を容易に低下させることができる。これは、常駐型でなく、ローダブルドライバ（メモリに選択的にロード、アンロードされるドライバ）の場合も、同様である。このように、追加処理としてインストールされた悪意のドライバによって攻撃が行われた場合には、ＯＳ２１のカーネルが直接攻撃されることになり、致命的ともなる（実質的に動作不能となる）。

そこで、ダウンロードされた追加処理の実行環境に制限を与え、基本処理等を保護する設計方式が、従来より、各種提案されている。以下、いくつかの典型例に即して概説しておく。

図２２は、ソフトウェアによる追加処理の実行保護環境を提供する構成の一典型例を示す図である。図２２に示す例では、ネイティブコードの追加処理２３は、仮想マシン２４上で実行させる構成とされている。一例として、追加処理２３が、ＪＡＶＡ（登録商標）バイトコードで記述されているものとすると、ダウンロードされたＪＡＶＡ（登録商標）バイトコードは、仮想マシン２４をなすＪＶＭ（ＪＡＶＡ（登録商標）仮想マシン）上で実行される。

かかる構成において、基本処理２２やＯＳ２１等は、ソフト的に、追加処理２３とは分離され、その安全性が確保されることになる。すなわち、追加処理２３は、仮想マシン２４を介してのみ、ＯＳ２１、ＣＰＵ１０、メモリ５０、Ｉ／Ｏ６０等へアクセスが行われる。仮想マシン２４には、通常、ＯＳ２１のカーネルモードでの実行（例えば特権的な命令の実行）等を行う権限が付与されていず、このため、追加処理２３が、ＯＳ２１を直接的に操作することはできない。また、仮想マシン２４は、一般に、インタープリタ方式で追加処理２３の命令コードを実行するため、追加処理２３の命令・動作が適正であるか監視することが容易であり、例えば追加処理２３からのハードウェア資源及びソフトウェア資源に対する不当なアクセス（例えば多量のデータをネットワーク上あるいは画面上に出力する等）を制限することで、仮想マシン２４がソフト的な保護フィルタ、あるいは防護壁又は防護ゲートの役割を担うこともできる。このように、仮想マシン２４を介して、基本処理２２、ＯＳ２１等は、追加処理２３とは、ソフト的に分離されている。

しかしながら、図２２に示した仮想マシン方式は、以下の問題点を有している。

ダウンロードされた追加処理２３から、仮想マシン２４の抜け（例えばセキュリティホール）への攻撃等がなされた場合、システムの安全性が損なわれることになる。

また、通常、ＪＡＶＡ（登録商標）仮想マシン等の仮想マシン２４は、ＪＡＶＡ（登録商標）バイトコード等の命令コードを、一命令ずつ解釈実行するインタープリタ方式であるため、その実行速度が遅い。

さらに、仮想マシン２４は、追加処理２３を実行する時、システムコールを発行することで、ＯＳ２１への処理依頼を行っているが、システムコールのオーバヘッドは大であることから、処理の実行は遅い。例えば仮想マシン２４において、追加処理２３の１つの命令に対応するシステムコールが１つ又は複数発行される。ユーザモードからのシステムコール発行によるシステムモードへのコンテクスト・スイッチング、ＯＳ２１のシステムコールエントリ部におけるシステムコールのパケットデータのデコード、パラメータ等の正当性チェック（エラー検出処理）、処理の振分（ディスパッチ）、さらに、処理終了時の処理結果の引渡し及びコンテクスト・スイッチング、カーネル空間からユーザ空間への切り替え等、一連の制御が行われ、オーバヘッドが大きい。

そして、図２２に示す構成の場合、追加処理２３として、デバイスドライバをＯＳ２１に組み込むことはできない。図２２からも明らかなように、仮想マシン２４はＯＳ２１の上層に位置している。仮想マシン２４は、追加処理２３のコードに基づき、ＯＳ２１に対して処理依頼を行い、ＯＳ２１から処理結果を受け取り、必要に応じて追加処理２３に返す構成とされており、追加処理をデバイスドライバとしてＯＳ２１内に組み込もうとすると、追加処理の実行を制御する仮想マシンも、ＯＳ２１内に組み込むことが必要となり、かかる構成は、図２２に示す仮想マシン方式では、原理的に不可能であるためである。

ソフトウェアによる別のセキュリティ管理方式として、例えば図２３に示すような構成も知られている。図２３に示すように、追加処理２３には、それが信頼できるものであることを証明するための証明書２５が添付されて、端末（情報処理装置）にダウンロードされる。端末側では、添付された証明書２５の内容をチェックし、添付された証明書２５が正しい証明書であると認証された場合に、ダウンロードされた追加処理２３のインストール、実行を許可する構成とされている。証明書２５としては、ディジタル署名（ITU-T X509）を用いてもよい。例えば証明書２５には、証明される機関とその公開鍵、CA（認証局）のデジタル署名（証明される機関や公開鍵などをCAの秘密鍵で暗号化したもの）が格納され、証明書の認証を行う場合には、CAのディジタル署名の部分を、CAの公開鍵で解読して証明書のデータの内容と一致するか否か確認し、一致する場合に、証明書のデータを信頼してもよいと判断される。あるいは、証明書２５は、真正のベンダーを証明するものであれば、任意の証明書であってもよい。なお、デバイスドライバの署名機能（Driver Signing）は、例えばWindows（登録商標）2000等にも実装されている。

図２３に示した方式の場合、追加処理２３はネイティブコードで提供することができ、図２２に示した仮想マシン方式と比べて、高速実行が可能である。また、追加処理２３として、アプリケーション、デバイスドライバの実行も可能である。しかしながら、システムの信頼性は、追加処理２３の安全性に全面的に依拠している。つまり、追加処理２３に事前に検知し得ない問題があると、システムに致命的損害をもたらす可能性もある。

図２４は、セキュリティ管理をハードウェアで行うプロセッサの構成を示す図である。図２４を参照すると、ＣＰＵ１１は、安全（セキュア）モード１２と、非安全（ノンセキュア）モード１３を有し、ダウンロードされた追加処理２３と該追加処理２３に対応したＯＳ２１Ｂは、もっぱらノンセキュアモード１３で実行される。そして、メモリ管理ユニット１４は、ノンセキュアモード１３で実行されるメモリの領域（アドレス空間）を、セキュアモード１２でアクセスされるメモリの領域と分離して管理し、ノンセキュアモード１３からセキュアモード１２のメモリ領域へのアクセスは禁止される。すなわち、メモリ管理ユニット１４は、ノンセキュアモード１３からのメモリのアクセス制御を行い、ノンセキュアモード１３からセキュアモード１２のメモリ領域へのアクセスを禁止する制御を行っている。

このように、図２４に示す構成においては、基本処理２２をセキュアモード１２で実行し、仮想的に、追加処理２３を実行するＣＰＵと別ＣＰＵに分離することで、安全性の向上を図っている。

しかしながら、セキュアモードとノンセキュアモードは、ＣＰＵ上で、時分割で実行されており、ノンセキュアモードから復帰しない場合には、セキュアモードでのシステムの動作は行われない。

また、ノンセキュアモードとセキュアモードを時分割処理しているため、その切替時、モード遷移等のオーバヘッドがかかる。

さらに、追加処理２３をデバイスドライバとし、ノンセキュアモードのＯＳ２１Ｂ内に組み込む場合、ドライバに悪意があると、セキュアモードに復帰することができなくなる可能性があり、システムに致命的な損害をもたらす可能性がある。

なお、図２４に示した構成と同様、システムメモリ中に分離域を設け、ノーマル実行モードと分離実行モードを備えたプロセッサとして、後記特許文献１の記載が参照される。特許文献１に記載の装置において、ノーマル実行モードは、プロセッサが非安全環境、すなわち分離実行モードによって提供されるセキュリティ機能がない通常の動作モードで動作するモードであり、ノーマル実行モードからは分離域へのアクセスが禁止され、分離実行モードでは、所定の分離命令の実行がサポートされる構成とされている。なお、かかる構成も、ノーマル実行モードと分離実行モードを時分割処理しているため、その切替時、モード遷移等のオーバヘッドがかかる。

また、２つのプロセッサユニットとスイッチユニットを備え、１つのプロセッサユニットが公共データ通信ネットワークと接続され、他方のプロセッサユニットは公共データ通信ネットワークと接続せず、データセキュリティ用ユニットとして機能する構成が開示されている（後記特許文献２参照）。特許文献２に記載されるシステムでは、公共データ通信ネットワークに接続されるプロセッサユニットと、データセキュリティ用ユニットをスイッチで分離しており、データセキュリティ用ユニットの安全性を確保している。しかしながら、公共データ通信ネットワークに接続されるプロセッサユニットが、前述した追加処理（ネットワーク等からダウンロードされた追加処理）の実行により、攻撃されることの対策に関しては、いささかも考慮されていない。データセキュリティ用ユニットは安全であっても、公共データ通信ネットワークに接続されるプロセッサユニットは追加処理による攻撃に対する有効なセキュリティ機構は具備していない。このため、公共データ通信ネットワークに接続されるプロセッサユニットにセキュリティ管理を実現する場合、前述したいずれかの方式を採用する必要がある。

さらに、プロセッサ上で分離された実行プログラムあるいはオペレーティングシステムを同時に実行するシステムにおいて、不正なプログラムの実行環境を保護するために、第１のプログラムが実行される間、第１のプログラムのみが利用するメモリ空間が設定され、第１のプログラムとコンピュータの実行環境との通信は、共有メモリ空間の利用、専用の割り込み、あるいは専用のＩ／Ｏポートを含む単一のリンクを介して行われ、第１のプログラムは、制限された実行環境において、設定されたメモリ空間と単一のリンクを除いてプロセッサ上のリソースのアクセスすることが制限されるようにした構成が特許文献３に記載されている。この特許文献３に記載された方法の場合、第１のプログラムは、設定されたメモリ空間と単一のリンク（共有メモリ空間の利用、専用の割り込み、あるいは専用のＩ／Ｏポート）を除いてプロセッサ上のリソースのアクセスすることが制限されるため、第１のプログラムを、デバイスドライバとして用いることはできず、デバイスドライバを含む追加処理に適用することはできない。

なお、後述される本発明で用いられるプロセッサ間通信手段に関連する技術を開示した刊行物として、後記特許文献４には、マルチプロセッサシステムにおけるＣＰＵ間通信方式が開示されている。この特許文献４には、マルチプロセッサが共通メモリを利用してＣＰＵ間通信を行うにあたり、ＣＰＵ２がＣＰＵ１に割り込みを発生させる場合、ＣＰＵ１に対する固定領域における自己用のＣＰＵ間通信情報書き込み領域に、通信情報を書き込んで割り込みを発生し、ＣＰＵ１では、割り込みが発生すると、ＣＰＵ２に対応するＣＰＵ間通信情報書き込み領域をアクセスして割り込み処理を実行する構成がその従来技術として記載されており、さらに、共有メモリのアクセス回数を削減するようにした発明が記載されている。

特表２００４−５００６６６号公報 特表２００２−５４２５３７号公報 特表２００２−５３３７９１号公報 特開平６−３３２８６４号公報

上記したように、ダウンロードされた、悪意のある、もしくは過失の追加処理からの攻撃に対する安全性確保の対策を施した従来の装置は、処理性能の点、デバイスドライバの実行が不可である点、安全性確保に問題がある点等、実用上、各種課題が残されている。特に、図２２、及び図２４に示したように、情報処理装置に関して、装置外部から、追加デバイスドライバのダウンロードが不可である設計方式（アーキテクチャ）は、デバイスの追加、機能追加等が実質的に不可能であることを意味しており、この点で、可用性（availability）が制限される。一方、前述したように、追加デバイスドライバを例えばカーネルモードで動作させる場合には、ＯＳ、システムの信頼性に直接影響を及ぼすことから、特段の安全性確保、信頼性の向上が要請されている。

したがって、本発明の目的は、簡易な構成により高速処理を可能とし、アプリケーションプログラム及びデバイスドライバの追加時に安全性、信頼性を確保する装置及び方法を提供することにある。

前記目的を達成する本発明は、その概略を述べれば以下の通りである。

本発明の１つの側面（アスペクト）に係る装置は、複数のプロセッサを備え、実行する処理の信頼度に応じて、前記複数のプロセッサが、複数のドメインを構成し、異なるドメイン間のプロセッサ同士は、プロセッサ間通信手段を介して、相互に通信し、セキュリティの相対的に低い処理を実行するドメインに属するプロセッサによるセキュリティの相対的に高い処理を実行するドメインに属するメモリ及び／又は入出力装置へのアクセスを制御するアクセス制御手段を備えている。

本発明の１つの側面に係るプログラム実行環境制御方法は、情報処理装置を構成する複数のプロセッサを、実行するプログラムの信頼度に応じて、複数のドメインに分け、異なるドメイン間のプロセッサ同士が、データ又はコマンドを、プロセッサ間通信手段を介して相互に送信する工程と、信頼度の相対的に低いプログラムを実行するドメインに属するプロセッサによる信頼度の相対的に高いプログラムを実行するドメインに属するメモリ及び／又は入出力装置へのアクセスをアクセス制御手段でチェックし、許可されたアクセスのみが実行される工程と、を含む。

本発明の別の側面に係る装置は、予め定められた第１の類の処理を実行する、少なくとも１つのプロセッサ（「第１類プロセッサ」という）と、前記第１の類の処理と異なる予め定められた第２の類の処理を実行する、少なくとも１つのプロセッサ（「第２類プロセッサ」という）と、メモリ及び入出力装置と、前記第１類及び第２類プロセッサ間の通信を制御するプロセッサ間通信手段と、前記第２類のプロセッサによる前記メモリ及び／又は前記入出力装置のアクセスを制御するアクセス制御手段と、を備えている。

本発明に係る装置において、前記第１の類の処理は、相対的に信頼度の高い処理を含み、前記第２の類の処理は、相対的に信頼度の低い処理を含む。本発明において、前記第１の類の処理は、ベンダー提供の基本処理を含み、前記第２の類の処理は、ネットワーク又は記憶媒体よりダウンロードされた追加処理を含む。本発明において、前記第２の処理は、前記第２類プロセッサで実行されるデバイスドライバ、及び／又はアプリケーション・プログラムを含む構成としてもよい。

本発明に係る装置において、前記プロセッサ間通信手段として、前記第１類プロセッサ側から前記第２類プロセッサへ情報を受け渡すためのプロセッサ間の通信を行うプロセッサ間通信手段と、前記第２類プロセッサ側から前記第１類プロセッサへ情報を受け渡すためのプロセッサ間の通信を行うプロセッサ間通信手段と、を備えている。

本発明に係る装置において、前記プロセッサ間通信手段は、好ましくは、情報の送リ手側のプロセッサからの割り込み要求を受け、前記情報の受け手側のプロセッサに割り込みを発行する割り込み制御装置を備えている。本発明において、前記プロセッサ間通信手段は、好ましくは、割り込み先のプロセッサに対応させて、割り込み制御装置と、共有メモリと、を備え、前記割り込み制御装置は、割り込み要求元のプロセッサからの割り込み要求を受け付け、前記割り込み先のプロセッサに割り込み要求を行う割り込み指示部と、前記割り込み指示部での割り込み要求を保持する割り込み保持部と、前記割り込み先のプロセッサからの割り込み処理の完了通知を受けて割り込みを取り消す割り込み取り消し部と、を備え、前記共有メモリは、前記割り込み要求元のプロセッサから前記割り込み先のプロセッサに転送するデータを格納する通信領域と、前記通信領域の排他制御を行う排他制御領域と、を備えている。

本発明に係る装置において、前記アクセス制御手段は、好ましくは、前記第２類プロセッサからの前記メモリ及び／又は前記入出力装置へのアクセスに関する情報を記憶するアクセス許可データを記憶する手段と、前記第２類プロセッサからの前記メモリ及び／又は前記入出力装置へのアクセスを監視し、前記アクセス許可データを参照して、前記アクセスの許可の有無を判別するアクセス許可手段と、を備えている。本発明において、前記アクセス許可データを記憶する手段は、前記第２類プロセッサに関して、アクセスを許可するプロセッサに対応させて、アクセスが許可されるアドレス範囲と、前記アドレス範囲に関する許可されたアクセス種別に関する情報を格納している。

本発明のさらに別の側面の装置は、予め定められた第３類の処理を実行する、少なくとも１つのプロセッサ（「第３類プロセッサ」という）と、前記第２類及び第３類プロセッサ間で通信を行うプロセッサ間通信手段と、前記第３類のプロセッサによる前記第１類プロセッサに接続するメモリ及び／又は入出力装置のアクセスを制御する第２のアクセス制御手段と、をさらに備えている。

本発明のさらに別の側面の装置は、予め定められた第３類の処理を実行する、少なくとも１つのプロセッサ（「第３類プロセッサ」という）と、前記第２類及び第３類プロセッサ間で通信を行うプロセッサ間通信手段と、を備え、前記第１類乃至第３類プロセッサの各々は、それぞれバスを介して、接続されるメモリ及び入出力装置を備え、前記第２類プロセッサによる、前記第１類プロセッサに接続する前記メモリ及び／又は前記入出力装置へのアクセスは、前記アクセス制御手段により制御され、前記第３類プロセッサによる、前記第１類プロセッサに接続するメモリ及び／又は入出力装置、及び／又は、前記第２類プロセッサに接続する前記メモリ及び／又は前記入出力装置へのアクセスを制御する第２のアクセス制御手段をさらに、備えている。

本発明の別の側面に係る装置は、（Ａ）基本ソフトウエア環境と、外部デバイス、及び／又はファイルシステムと、オペレーティングシステムと、を備え、ダウンロードされたデータのセキュリティ情報を格納するセキュリティーデータベースと、ネイティブコードのダウンロードデータのダウンロードを制御するネイティブコードダウンロード管理手段と、を備えた基本ドメインと、（Ｂ）ネイティブコードのダウンロードデータのダウンロードを制御するネイティブコードダウンロード管理手段と、オペレーティングシステムと、を備え、前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できると判定された、ダウンロードされたアプリケーション・プログラム（「信頼アプリケーション・プログラム」という）を実行し、前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できると判定された、ダウンロードされたデバイスドライバ（「信頼ドライバ」という）を前記オペレーティングシステムにインストールし、前記信頼ドライバにより、予め用意された許可された外部デバイスにアクセスし、信頼できる追加処理を実行する信頼拡張ドメインと、（Ｃ）ネイティブコードのダウンロードデータのダウンロードを制御するネイティブコードダウンロード管理手段と、オペレーティングシステムと、前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できないと判定された、ダウンロードされたアプリケーション・プログラム（「無信頼アプリケーション・プログラム」という）を実行し、前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できないと判定された、ダウンロードされたデバイスドライバ（「無信頼ドライバ」という）を前記オペレーティングシステムにインストールし、前記デバイスドライバにより予め用意された許可された外部デバイスにアクセスし、無信頼の追加処理を実行する無信頼拡張ドメインと、を備え、前記基本ドメイン、前記信頼拡張ドメイン、前記無信頼拡張ドメインは、それぞれ、前記第１類乃至第３類のプロセッサに実装される。

本発明の別の側面に係る方法は、前記基本ドメインの外部デバイスからダウンロードデータが入力され、前記基本機能が、前記ダウンロードデータをダウンロードアアプリケーション・プログラムと認識した場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードアプリケーション・プログラムの証明書をチェックする工程と、前記チェックの結果、正しい証明書と判定した場合、前記ダウンロードアアプリケーション・プログラムを、前記信頼拡張ドメインの前記ネイティブコードダウンロード管理手段にダウンロードデータを送信する工程と、を含む。

本発明に係る方法において、前記基本ドメインの外部デバイスからダウンロードデータが入力される、前記基本機能が、前記ダウンロードデータをダウンロードドライバと認識した場合、前記ネイティブコードダウンロード管理手段が、ダウンロードドライバの証明書をチェックする工程と、前記チェックの結果、正しい証明書と判定した場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード管理手段にダウンロードドライバを送信する工程と、前記信頼拡張ドメインの前記ネイティブコードダウンロード管理手段は、前記ダウンロードドライバを、前記信頼拡張ドメインのオペレーティングシステムにインストールする工程と、を含むようにしてもよい。

本発明に係る方法において、前記基本ドメインの外部デバイスからダウンロードデータが入力され、前記基本機能が、前記ダウンロードデータをダウンロードアプリケーション・プログラムと認識した場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、ダウンロードアプリケーション・プログラムの証明書をチェックする工程と、前記チェックの結果、証明書がないか、証明書の内容が正しくない場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード管理手段を介して、前記無信頼拡張ドメインの前記ネイティブコードダウンロード管理手段にダウンロードデータを送信する工程と、を含むようにしてもよい。

本発明に係る方法において、前記基本ドメインの外部デバイスから、ダウンロードデータが入力され、前記基本機能が、前記ダウンロードデータをダウンロードドライバと認識した場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードドライバの証明書をチェックする工程と、前記チェックの結果、証明書がないか、証明書の内容が正しくない場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード管理手段を介して、前記無信頼拡張ドメインの前記ネイティブコードダウンロード管理手段にダウンロードドライバを送信する工程と、前記無信頼拡張ドメインの前記ネイティブコードダウンロード管理手段は、前記ダウンロードドライバを、前記無信頼拡張ドメインのオペレーティングシステムにインストールする工程と、を含むようにしてもよい。

本発明に係る方法において、前記信頼拡張ドメインに、前記基本ドメインの基本ソフト環境の基本機能への要求を発行する処理群を、ライブラリとして含む基本機能ライブラリを設けておき、前記信頼拡張ドメインにダウンロードされたアプリケーション・プログラムからの要求を受けて、前記基本機能ライブラリは、前記アプリケーション・プログラムの証明書を用いて、前記基本ドメインの前記ネイティブコードダウンロード管理手段に要求を送信する工程と、前記基本ドメインの前記ネイティブコードダウンロード管理手段は、前記信頼拡張ドメインより受信した要求が、適正であるか（アプリケーション・プログラムの証明書と対応がとれたものであるか）確認し、前記要求が適正である場合、前記基本ソフト環境の基本機能へ処理を依頼する工程と、含むようにしてもよい。前記基本ドメインの前記基本機能は、要求を処理し、処理の完了を前記基本ドメインの前記ネイティブコードダウンロード管理手段に通知する工程と、前記基本ドメインの前記ネイティブコードダウンロード管理手段は、前記信頼拡張ドメインの基本機能ライブラリに完了を通知し、前記アプリケーション・プログラムに処理の完了が通知される工程と、を含むようにしてもよい。

本発明に係る方法において、前記信頼拡張ドメインに、前記基本ドメインの基本ソフト環境の基本機能への要求を発行する処理群を、ライブラリとして含む基本機能ライブラリを設けておき、前記無信頼拡張ドメインにダウンロードされたアプリケーション・プログラムから、前記信頼拡張ドメインのアプリケーション・プログラムにデータを送信する工程と、前記信頼拡張ドメインの前記アプリケーション・プログラムは前記基本機能ライブラリに対して、前記無信頼拡張ドメインのダウンロードアプリケーション・プログラムからのデータを含む要求の処理要求を発行する工程と、前記信頼拡張ドメインからの要求を受けて、前記基本機能ライブラリは、前記基本ドメインの前記ネイティブコードダウンロード管理手段に要求を送信する工程と、前記基本ドメインの前記ネイティブコードダウンロード管理手段は、受信した要求が適正であるか（アプリケーション・プログラムの証明書と対応がとれたものであるか）確認する工程と、確認の結果、前記要求が適正である場合、ユーザに確認を求め、前記ユーザの確認結果が可の場合、前記基本ソフト環境の基本機能へ処理を依頼する工程と、一方、前記ユーザの確認結果が不許可の場合、前記ネイティブコードダウンロード管理手段は、前記基本機能ライブラリに、不許可を通知する工程と、を含むようにしてもよい。
本発明において、基本機能は、要求を処理し、処理の完了を前記基本ドメインの前記ネイティブコードダウンロード管理手段に通知する工程と、前記基本ドメインの前記ネイティブコードダウンロード管理手段は前記信頼拡張ドメインの基本機能ライブラリに完了を通知する工程と、前記ダウンロードアプリケーション・プログラムに処理の完了が通知される工程と、前記ダウンロードアプリケーション・プログラムは、前記無信頼拡張ドメインの前記ダウンロードアプリケーション・プログラムに処理の完了を通知する工程と、
を含むようにしてもよい。
本発明に係る情報処理装置は、複数のプロセッサを備え、前記複数のプロセッサは、第１のドメインと、前記第１のドメインとは異なる第２のドメインを構成するプロセッサと、を構成し
前記第２のドメインは、前記第１のドメインに属するプロセッサが実行する処理よりも信頼度の低い処理を、少なくとも１以上有するプロセッサで構成され、
前記第１のドメインと前記第２のドメインのプロセッサ同士の通信を制御するプロセッサ間通信手段と、
前記第２のドメインに属するプロセッサによる前記第１のドメインに属するメモリ及び／又は入出力装置へのアクセスを、前記第２のドメインで実行される処理の信頼度に応じて制限するアクセス制御手段と、を備えている。
本発明に係る情報処理装置において、前記アクセス制御手段は、アクセス許可データを記憶する手段と、
前記第２のドメインに属するプロセッサからの前記メモリ及び／又は前記入出力装置へのアクセスを監視し、前記アクセス許可データを参照して、前記アクセスの許可の有無を判別するアクセス許可手段と、
を備えている。
本発明に係る情報処理装置において、前記アクセス制御手段は、前記アクセス許可データを更新するアクセス許可データ更新手段を有する構成としてもよい。
本発明に係る情報処理装置において、前記アクセス制御手段は、前記第２のドメインに属するプロセッサによるアクセス情報を取得するアクセス監視手段と、前記アクセス情報を記憶する学習手段を有する構成としてもよい。
本発明に係る情報処理装置において、前記プロセッサ間通信手段は、情報の送リ手側のプロセッサからの割り込み要求を受け、前記情報の受け手側のプロセッサに割り込みを発行する割り込み制御情報処理装置を備えた構成としてもよい。
本発明に係る携帯情報端末は、複数のプロセッサを備え、前記複数のプロセッサは、第１のドメインと、前記第１のドメインとは異なる第２のドメインを構成するプロセッサと、を構成し
前記第２のドメインは、前記第１のドメインに属するプロセッサが実行する処理よりも信頼度の低い処理を、少なくとも１以上有するプロセッサで構成され、
前記第１のドメインと前記第２のドメインのプロセッサ同士の通信を制御するプロセッサ間通信手段と、
前記第２のドメインに属するプロセッサによる前記第１のドメインに属するメモリ及び／又は入出力装置へのアクセスを、前記第２のドメインで実行される処理の信頼度に応じて制限するアクセス制御手段と、を備えている。

本発明によれば、複数のプロセッサは、処理のセキュリティに応じたドメインを構成し、ドメイン間のプロセッサの通信を、プロセッサ間通信手段を介して行い、低セキュリティドメイン側のプロセッサが、高セキュリティドメイン側のメモリ及び入出力装置に対するアクセス許可の有無を制御するアクセス制御手段を備え、ダウンロードされたデバイスドライバ、アプリケーションを低セキュリティドメイン側で実行することで、安全性を確保している。

また、本発明によれば、高セキュリティと低セキュリティドメインでの処理は、各ドメインでのプロセッサによる並列処理が行われ、これにより、高速処理を可能としており、さらに、高セキュリティと低セキュリティドメインのプロセッサ間での同期、連携処理も可能としている。

本発明の一実施例のハードウェア構成を示す図である。 本発明の一実施例のプロセッサ間通信手段の構成を示す図である。 本発明の一実施例のプロセッサ間通信手段の動作を説明するための図である。 本発明の一実施例のアクセス制御手段の構成を示す図である。 本発明の一実施例のアクセス制御手段のアクセス許可データの例を示す図である。 本発明の一実施例のアクセス制御手段の動作を説明する図である。 本発明の別の実施例のハードウェア構成を示す図である。 本発明の別の実施例のハードウェア構成を示す図である。 本発明の一実施例のソフトウェア構成を示す図である。 本発明の一実施例の動作を説明するための図である。 本発明の一実施例の動作を説明するための図である。 本発明の一実施例の動作を説明するための図である。 本発明の一実施例の動作を説明するための図である。 本発明の一実施例の動作を説明するための図である。 本発明の一実施例の動作を説明するための図である。 本発明の一実施例の動作を説明するための図である。 本発明の一実施例の動作を説明するための図である。 本発明のさらに別の実施例の構成を示す図である。 本発明のさらに別の実施例の動作を説明するための図である。 本発明の一実施例の変形例を示す図である。 従来のシステム構成の一例を示す図である。 従来のシステム構成の別の例を示す図である。 従来のシステム構成の別の例を示す図である。 従来のシステム構成のさらに別の例を示す図である。 本発明の一実施例における信頼度の一例を示す図である。 本発明の一実施例における信頼度の一例を示す図である。 本発明の一実施例における信頼度の一例を示す図である。 本発明の一実施例における信頼度の一例を示す図である。

符号の説明

１０、１０Ａ、１０Ｂ、１０Ｃ ＣＰＵ
１１ ＣＰＵ
１２ セキュアモード
１３ 非セキュアモード
１４ メモリ管理ユニット
１５ 分離手段
２０、２０Ａ、２０Ｂ、２０Ｃ ソフトウェア
２１、２１Ａ、２１Ｂ、２１Ｃ ＯＳ
２２ 基本処理
２３、２３Ｂ、２３Ｃ 追加処理
２４ 仮想マシン
２５ 証明書
３０ アクセス制御手段
３１ アクセス許可手段
３２ アクセス許可データ
４０ プロセッサ間通信手段
４１ 割り込み制御装置
４１０〜４１ｎ ＣＰＵ＃０〜ＣＰＵ＃ｎ用割り込み制御装置
４２ 共有メモリ
４２０〜４２ｎ ＣＰＵ＃０〜ＣＰＵ＃ｎ用通信領域
５０、５０Ａ、５０Ｂ、５０Ｃ メモリ
６０、６０Ａ、６０Ｂ、６０Ｃ 入出力デバイス（Ｉ／Ｏ）
７０Ａ 基本側バス
７０Ｂ 追加側バス
１００Ａ 基本ドメイン
１００Ｂ Ｔｒｕｓｔｅｄ拡張ドメイン
１００Ｃ Ｕｎｔｒｕｓｔｅｄ拡張ドメイン
１０１Ａ、１０１Ｂ、１０１Ｃ ＯＳ
１０２Ａ 外部デバイス
１０２Ａ’ 仮想外部デバイス
１０２Ｂ、１０２Ｃ 許可された外部デバイス
１０２Ｂ’、１０２Ｃ’ 許可された仮想外部デバイス
１０３ 専用ファイルシステム
１０３’ 仮想専用ファイルシステム
１０４Ａ ネイティブコードダウンロード管理機能
１０４Ｂ、１０４Ｃ ネイティブコードダウンロード実行機能
１０５ セキュリティポリシーデータベース
１１０ 基本ソフト環境
１１１ 基本アプリケーション
１１２ 基本機能
１１３ 基本機能ライブラリ
１２０Ａ、１２０Ｂ、１２０Ｃ ダウンロードアプリケーション
１２１Ｂ、１２１Ｃ ダウンロードドライバ
２００Ａ、２００Ｂ、２００Ｃ 仮想ＣＰＵ
２１０Ａ、２１０Ｂ、２１０Ｃ 仮想マシンモニタ
４１１ 割り込み指示部
４１２ 割り込み状態保持部
４１３ 割り込み取り消し部
４２１ 通信キュー
４２２ 排他制御領域

本発明を実施するための最良の形態について説明する。本発明は、その好ましい一実施の形態において、複数のＣＰＵを備えたマルチＣＰＵ構成の情報処理装置において、複数のＣＰＵを、実行するプログラム（処理）の信頼度に応じて、複数のドメイン（例えば基本ドメイン、信頼ドメイン、無信頼ドメイン等）に分け、各ドメインは、１つ又は複数のＣＰＵを含み、異なるドメイン間でのＣＰＵの通信を、プロセッサ間通信手段(例えば図１の４０）を介して行うとともに、追加処理等の低セキュリティの処理を実行するドメインに属するＣＰＵが、高セキュリティの処理を実行するドメインのメモリ及び入出力装置に対してアクセスする場合には、該アクセス要求は、アクセス制御手段（例えば図１の３０）によって、アクセスの許可／非許可が判別され、許可されたアクセスのみが行われる構成とされる。
本明細書において、「信頼度」とは、処理ごとに付与されたセキュリティの度合いを示す電子証明書に基づき、あるセキュリティポリシーに従ってセキュリティレベルの段階ごとに設定されるものをいう。
例えば、デジタル署名が付与された処理ごとに、あるセキュリティポリシーに基づきセキュリティレベルが設定される。例えば図２５に示すように、
レベルＡ：パスワードが必要、
レベルＢ：２度確認しない、
レベルＣ：実行ごとに確認、
レベルＤ：アクセスごとに確認、
といった具合に、実行する機能に応じたドメインにセキュリティレベルを付与する。
例えば、
基本ドメインには、レベルＡ、
信頼拡張ドメインには、レベルＢ、
無信頼ドメインには、レベルＣ
を配置するというように、１ドメインには、同種のセキュリティレベルのみを配置してもよいが、かかる構成に制限されるものではない。すなわち、１ドメインが複数種のセキュリティレベルを含むようにしてもよい。一例として、図２５に示すように、
基本ドメインには、実行する機能の重要度によって、レベルＡ以上、レベルＢ以上、
信頼拡張ドメインにも、実行する機能によって、レベルＢ以上、レベルＣ以上
という配置としても良い。
このような設定が可能であれば、いかなる証明書やいかなるセキュリティポリシーに基づいて設定してもよく、実行する機能やドメイン数に応じて任意に設定することが可能である。

かかる構成の本発明の一実施の形態によれば、ダウンロードされた追加処理（デバイスドライバ、アプリケーション・プログラムを含む）を、高セキュリティ・ドメインとはハードウェア的に別構成の低セキュリティ・ドメイン側のＣＰＵで実行することで、高セキュリティ・ドメインの安全性を確保している。
本明細書において、「ダウンロード」は、携帯電話のキャリアが用意するデータ通信網や一般的な無線ＬＡＮ網等だけでなく、ＳＤカードに代表される蓄積型メディア媒体、ＵＳＢに代表される有線通信・媒体といった接続を経由した、情報装置へのダウンロードも含む。

そして、本発明の一実施の形態によれば、高セキュリティ・ドメインと低セキュリティ・ドメインのＣＰＵを、スイッチ等で分離制御するのではなく、相互に通信可能とする、プロセッサ間通信手段を介して接続することで、安全性を保証しながら、高セキュリティ・ドメインと低セキュリティ・ドメインのＣＰＵ間の同期、協調動作も可能としている。

このプロセッサ間通信手段（図１の４０）は、一のドメインのＣＰＵから他のドメインのＣＰＵへデータ（コマンド）の受け渡しを行うものであり、他のドメインのＣＰＵへの直接的な攻撃等は行えない構成とされている。例えば低セキュリティ・ドメイン側のＣＰＵから高セキュリティ・ドメインのＣＰＵ側へデータを多量に送信し続けることで、高セキュリティ・ドメインのＣＰＵの性能劣化、バッファオーバフロー等を生じさせようとしても、プロセッサ間通信手段で抑止され、該データは、高セキュリティ・ドメインのＣＰＵに伝達されない。

また、本発明の一実施の形態において、アクセス制御手段（図１の３０）は、低セキュリティ・ドメイン側のＣＰＵに対して、予め許可されたメモリ空間、入出力デバイス等へ予め許可された形態によるアクセスのみを許可するアクセス制御を行う。これにより、ダウンロードされた追加処理からの高セキュリティ・ドメインへの攻撃を防ぐことができる。あるいは、アクセス制御手段が、必要に応じて、帯域、流量制御等を行うことで、ダウンロードされた追加処理からの高セキュリティ・ドメインへの各種攻撃を防ぐことができる。以下実施例に即して説明する。

図１は、本発明の一実施例の構成を示す図である。図１を参照すると、基本処理２２及びＯＳ２１Ａからなるソフトウェア２０Ａを実行するＣＰＵ群１０Ａと、追加処理２３及び追加処理対応のＯＳ２１Ｂからなるソフトウェア２０Ｂを実行するＣＰＵ群１０Ｂと、ＣＰＵ群１０Ａ、１０Ｂ間で通信を行うプロセッサ間通信手段４０１、４０２と、ＣＰＵ群１０Ｂによるメモリ５０及び／又は入出力装置（Ｉ／Ｏ）６０へのアクセスを制御するアクセス制御手段３０と、を備えている。なお、図１には、ＣＰＵ群１０Ａ、ＣＰＵ群１０Ｂは、それぞれ複数（３台）のＣＰＵから成る構成として示されているが、各群とも１つのＣＰＵであってもよいことは勿論である。また、ＣＰＵ群１０Ａ、ＣＰＵ群１０Ｂにおいて、各群のＣＰＵの台数は等しくなくてもよいことは勿論である。以下では、ＣＰＵ群１０Ａ、ＣＰＵ群１０Ｂを、単に、ＣＰＵ１０Ａ、ＣＰＵ１０Ｂという。本実施例において、ダウンロードされる追加処理２３は、バイナリ形式のネイティブコードよりなる。なお、ダウンロードされたソースプログラムを、コンパイル処理（アセンブル処理）してバイナリ形式としたものであってもよい。

本実施例によれば、追加処理２３を実行するＣＰＵ１０Ｂを、基本処理２２を実行するＣＰＵ１０Ａと別に備え、ＣＰＵ１０Ａ、１０Ｂは、独立に動作可能であり、安全性を向上しながら、高速実行を可能とし、アプリケーションプログラム、デバイスドライバの実行を可能としている。なお、基本処理２２を実行するＣＰＵ１０Ａをマスターとし、追加処理２３を実行するＣＰＵ１０Ｂをスレーブとして構成し、スレーブ側はマスターの監督下で動作する構成としてもよいことは勿論である。この場合、例えばＣＰＵ１０Ｂによる追加処理２３の実行は、ＣＰＵ１０Ａからプロセッサ間通信手段４０２を介してコマンドを受け取って行われる。

プロセッサ間通信手段４０１、４０２は、ＣＰＵ１０ＡとＣＰＵ１０Ｂ間でのデータの送受信を制御する。ＣＰＵ１０Ａ、１０Ｂは、独立に配設されていることから、それぞれの処理（プログラム）を並列に実行することが可能であるとともに、プロセッサ間通信手段４０１、４０２を介して、ＣＰＵ１０ＡとＣＰＵ１０Ｂ間における、同期処理、連携（協調）処理も可能としている。一例として、ユーザが表示装置の画面上から追加処理の実行を指示した場合、基本処理２２を実行するＣＰＵ１０Ａから、プロセッサ間通信手段４０１を介して、追加処理２３の起動要求が、ＣＰＵ１０Ｂに送信され、ＣＰＵ１０Ｂ上で追加処理２３が実行され、実行結果が、ＣＰＵ１０Ｂから、プロセッサ間通信手段４０２を介して、ＣＰＵ１０Ａに送信され、基本処理２２を構成する画面制御ルーチン等が、追加処理２３の実行結果を反映した情報をユーザに提示する、という具合である。

本実施例では、ＣＰＵ１０Ｂで追加処理２３を実行する際、メモリ５０、入出力デバイス（Ｉ／Ｏ）６０へのアクセス要求が行われた場合、アクセス制御手段３０にて、当該アクセスに関する許諾の制御が行われ、許可されたアクセス要求のみが、メモリ５０、入出力デバイス（Ｉ／Ｏ）６０に対して実行される構成とされている。そして、ＣＰＵ１０Ｂにおいて、ＯＳ２１Ｂ上で追加処理２３を実行し、追加処理２３からの、基本処理２２あるいはＯＳ２１Ａへの処理要求が発行された場合、該要求は、プロセッサ間通信手段４０１を介してＣＰＵ１０Ａに通知される。すなわち、追加処理２３が、基本処理２２を、直接操作することはできない。例えば、悪意のある追加処理２３が、ＣＰＵ１０Ａに要求を頻発して発行して負荷を与え、ＣＰＵ１０Ａ側での基本処理の実行性能を著しく低下させようとしても、プロセッサ間通信手段４０１が、このような要求をＣＰＵ１０Ａ側に伝達しないように制御することで、上記攻撃からの防護が実現され、安全性が確保される。

なお、図１に示す例では、プロセッサ間通信手段４０１は、ＣＰＵ１０ＢからＣＰＵ１０Ａへの情報転送、プロセッサ間通信手段４０２は、ＣＰＵ１０ＡからＣＰＵ１０Ｂへの情報転送を制御している。あるいは、一台のプロセッサ間通信装置で双方向のデータの受け渡しを行うようにしてもよいことは勿論である。本実施例において、基本処理２２を実行する複数のＣＰＵ１０Ａ同士でＣＰＵ間の通信が必要な場合には、プロセッサ間通信手段４０を用いることなく、ＣＰＵ間の通信が行われる。また、追加処理２３を実行する複数のＣＰＵ１０Ｂについても同様である。ただし、後述するように、ＣＰＵ群１０Ｂを構成する複数のＣＰＵのいくつかをＣＰＵ群１０Ａの要素としてダイナミックに切り替える場合、ＣＰＵ群１０Ｂは、論理的にはＣＰＵ群１０Ａに属するが、ＣＰＵ間の通信は、プロセッサ間通信手段４０を介して行うようにしてもよい。

本実施例によれば、追加処理２３として、アプリケーションプログラム、デバイスドライバのダウンロード、インストール、実行が可能とされている。追加されたデバイスドライバは、ＯＳ２１Ｂに組み込まれ、ＣＰＵ１０Ｂ上で実行され、入出力デバイス６０へのアクセス制御は、アクセス制御手段３０の監視のもとで実行される。

なお、携帯電話機、ＰＤＡ等の携帯型情報通信装置では、通常、図１における基本処理２２、ＯＳ２１Ａは、図示されない書き換え可能な不揮発性メモリ（EEPROM；Electrically Programmable and Erasable ROM）に格納され、ＣＰＵ１０Ａは、EEPROMから命令コードをフェッチしてデコードし実行する。同様にして、追加処理２３、ＯＳ２１Ｂも、ＣＰＵ１０Ａ用とは別のEEPROMに格納され、ＣＰＵ１０Ｂは、EEPROMから命令コードをフェッチしてデコードし実行する。すなわち、基本処理２２と追加処理２３を実行するそれぞれのＯＳ２１Ａ、２１Ｂが格納されるメモリは、基本処理側と追加処理側で、ハードウェア的に分離されている。そして、基本処理、ＯＳ等の命令コードは、EEPROMに格納されたものが実行されるが、ＣＰＵ１０Ａ、１０Ｂで実行されるプログラムにより、初期化、参照、更新されるテーブル等のデータは、それぞれのＯＳ起動時等に、DRAM（Dynamic RandomAccess Memory）よりなるメモリ５０に展開される。そして、ＣＰＵ１０Ｂについて、リード／ライトするメモリ領域をアクセス制御手段３０によって管理し、ＣＰＵ１０Ａで参照されるメモリ領域へのアクセスを制限している。携帯型情報通信端末とは別の一般の情報処理装置においても、同様にして、基本処理２２、ＯＳ２１ＡがロードされＣＰＵ１０Ａが命令コードをフェッチするメモリと、追加処理２３、ＯＳ２１ＢがロードされＣＰＵ１０Ｂが命令コードをフェッチするメモリとを別々に備えてもよいことは勿論である。あるいは、一般の情報処理装置において、メモリ５０に、基本処理２２、ＯＳ２１Ａがロードされる領域と、追加処理２３、ＯＳ２１Ｂがロードされる領域を分離して設け、ＣＰＵ１０Ｂのメモリ５０へのリード／ライトアクセスをアクセス制御手段３０によって管理するようにしてもよい。この場合、ＣＰＵ１０Ａ、ＣＰＵ１０Ｂが参照のみするコードについては、共通のメモリ領域に格納し、アクセス制御手段３０によって、共通のメモリ領域を、該ＣＰＵ１０Ｂがリードのみ可とするようにアクセス制御してもよい。
また、携帯型情報処理装置において、搭載する電池残量が少なくなってきた場合には、基本処理を実行するＣＰＵ以外を強制的にシャットダウンする、実行する処理の信頼度に応じてより信頼度の低い処理を実行するＣＰＵを優先的にシャットダウンすることで電池残量の節約を行うことが可能である。これは、例えば、電池残量を検出する手段と、検出結果を通知する手段によって得られる電池残量に関する情報に基づき、基本処理を行うＣＰＵ上で判断を行ない、シャットダウンを実行する、といった処理により実現できる。
さらに、携帯型情報処理装置での資源、例えば外部との通信バンド幅や不揮発メモリ量等はより一層制限されているため、信頼度に応じて、資源を確保する相対的な割合を変更することも可能である。これは、例えば、基本処理を行うＣＰＵにおいて、
・実行する処理の信頼度が高い場合には、優先的に資源の確保を許容する、
・実行する処理の信頼度が低い場合には、資源の制限をかける
等の判断をすることにより実現される。

図２は、本発明の一実施例におけるプロセッサ間通信手段のハードウェア構成の一例を示す図である。図２を参照すると、左右両側のＣＰＵ（基本処理を実行するＣＰＵと追加処理を実行するＣＰＵ）間に配設された、割り込み制御装置４１と共有メモリ４２の１セットで、図１のプロセッサ間通信手段４０１、４０２の全体を構成している。割り込み制御装置４１としては、ＣＰＵ＃０、ＣＰＵ＃１、…ＣＰＵ＃ｎ用のｎ個の割り込み制御装置４１０〜４１ｎを備え、各割り込み制御装置は、割り込み指示部４１１と、割り込み状態保持部４１２と、割り込み取り消し部４１３とを備えている。また、共有メモリ４２は、ＣＰＵ＃０、ＣＰＵ＃１、…ＣＰＵ＃ｎ用のｎ個の通信領域４２０〜４２ｎを備え、各通信領域は、送信情報（データ、メッセージ）をキューイング又はバッファリングする通信キュー４２１と、相互排他制御を行う排他制御領域４２２とを備えている。

例えばＣＰＵ＃０とＣＰＵ＃１の２つの構成を想定すると、ＣＰＵ＃１用の割り込み制御装置４１１と、ＣＰＵ＃１用の通信領域４２１とが、ＣＰＵ＃０からＣＰＵ＃１へプロセッサ間通信手段４０１を構成し、ＣＰＵ＃０用の割り込み制御装置４１０とＣＰＵ＃０用の通信領域４２０とが、ＣＰＵ＃１からＣＰＵ＃０へのプロセッサ間通信手段４０２を構成している。

割り込み制御装置４１と、共有メモリ４２は、ＣＰＵ＃０、ＣＰＵ＃１、…ＣＰＵ＃ｎと、バス接続する構成とされる。また、共有メモリ４２の通信キュー４２１には、送信データそのものでなく、送信データを格納するバッファポインタ（例えばメモリ５０上でのバッファ領域のアドレス）を設定するようにしてもよい。

本実施例では、共有メモリ４２におけるＣＰＵ＃ｉの排他制御領域４２２ｉは、ＣＰＵ＃ｉの通信領域４２ｉを、あるＣＰＵがすでに占有している場合、他のＣＰＵがＣＰＵ＃ｉの通信領域４２ｉを使用することがないようにする相互排他制御のために、設けられている。すなわち、ＣＰＵ＃ｉの排他制御領域４２２ｉは、mutex等のセマフォア、フラグ等の同期管理情報の格納に用いられる。

共有メモリ４２に実装された相互排他制御機構により、送信ＣＰＵと受信ＣＰＵ間におけるデータの整合性（consistency）が保証される。

また、相互排他制御機構により、送信側ＣＰＵは、排他制御領域４２２がロック状態のときは、送信ＣＰＵに対する割り込み要求を上げることができず、これにより、送信ＣＰＵから受信ＣＰＵへの頻繁なデータ送信等、不当な割り込み発生を防ぐことができる。

なお、排他制御領域４２２としては、キューへの繋ぎ（エンキュー）、キューからの取り外し（デキュー）のロック管理として用いてもよい。

図２において、割り込み制御装置４１を介して一つの受信ＣＰＵへの多重割り込みを許可する構成とした場合、共有メモリ４２において、各ＣＰＵの通信領域における通信キュー４２１、排他制御領域４２２は、多重数分設けられることになる。

特に制限されないが、共有メモリ４２は、図１のメモリ５０の所定のメモリ領域を共有メモリとして用いてもよいし、メモリ５０とは別に、プロセッサ間通信手段４０内に設ける構成としてもよい。また、図示されないが、割り込み制御装置４１０〜４１ｎからの割り込み要求（Interrupt Request）線は、パラレルに受信ＣＰＵに接続する構成としてもよいし（割り込み本数が増える）、あるいは、デイジーチェーン方式で接続する構成としてもよい。

受信ＣＰＵは、割り込み制御装置４１からの割り込み要求を受理すると、これを割り込み制御装置４１に通知し、割り込み制御装置４１は、図示されないデータ線に割り込み装置番号（割り込みベクター情報）を転送し、受信ＣＰＵは、割り込み装置番号から割り込みベクターを生成し、スケジューラを介して、受信ＣＰＵで実行される割り込みサービスルーチンが起動され、割り込みサービスルーチンが、対応する共有メモリ４２の通信キューからデータを取得し、排他制御領域のmutex等のセマフォアをリリース（アンロック）し、割り込みから復帰（Return From Interrupt）するという一連の制御が行われる。

図３は、図２に示した本実施例のプロセッサ間通信手段の動作手順を説明するための図であり、ＣＰＵ＃ｋからＣＰＵ＃０へデータを送信する場合の手順が示されている。図３において、矢線脇の数字は、ステップ番号を表している。

ステップ１：送信ＣＰＵ＃ｋは、共有メモリ４２のＣＰＵ＃０の通信領域の排他制御領域をロックする。なお、共有メモリ４２のＣＰＵ＃０の通信領域の排他制御領域が他のＣＰＵによりロックされていることを示している場合、例えば該ロックが解除されるまで、待機する。

ステップ２：送信ＣＰＵ＃ｋは、共有メモリ４２のＣＰＵ＃０の通信領域の排他制御領域をロックしたあと、共有メモリ４２のＣＰＵ＃０用通信領域の通信キューに、送信ＣＰＵ＃ｋに送信するデータを書き込む。

ステップ３：送信ＣＰＵ＃ｋは、割り込み制御装置４１のＣＰＵ＃０用割り込み制御装置の割り込み指示部に、割り込み要求を通知する。

ステップ４：ＣＰＵ＃０用割り込み制御装置の割り込み指示部は、ＣＰＵ＃０用割り込み制御装置の割り込み状態保持部を更新し、「割り込み要求あり」に設定する。

ステップ５：ＣＰＵ＃０用割り込み制御装置の割り込み指示部は、受信ＣＰＵ＃０へ割り込みを行う。

ステップ６：受信ＣＰＵ＃０は、ＣＰＵ＃０用割り込み制御装置の割り込み指示部からの割り込みを受理し、共有メモリ４２のＣＰＵ＃０用通信領域の通信キューから、データを取り出す。このとき、受信ＣＰＵ＃０では、上記した割り込みサービスルーチンによる処理が行われる。

ステップ７：受信ＣＰＵ＃０は、共有メモリ４２のＣＰＵ＃０用通信領域の通信キューから、データを取得したのち、ＣＰＵ＃０用割り込み制御装置の割り込み取り消し部に、割り込み処理完了を通知する。

ステップ８：受信ＣＰＵ＃０からの割り込み処理完了通知を受けたＣＰＵ＃０用割り込み制御装置の割り込み指示部は、ＣＰＵ＃０用割り込み制御装置の割り込み状態保持部を更新する。

ステップ９：受信ＣＰＵ＃０は、共有メモリ４２のＣＰＵ＃０の通信領域の排他制御領域をアンロックする。

本実施例において、特定の受信ＣＰＵへの割り込み要求の集中を認識した場合、受信ＣＰＵへの割り込み要求を抑制する等の流量制御、帯域制御を行うようにしてもよい。すなわち、割り込み制御装置４１内に、送信ＣＰＵ側から受信ＣＰＵに対して、連続・多発して割り込み要求を上げることがないように制限するＱｏＳ保証機能を備えてもよい。例えば、受信ＣＰＵへのデータの引渡しを伴わない割り込み要求は、排他制御の対象とされず、複数連続して発行することができる。そこで、受信ＣＰＵ側で割り込み処理が完了しない状態において、送信ＣＰＵ側からの割り込み要求が発生し、割り込み制御装置４１の割り込み状態保持部の「割り込み要求あり」が所定数以上となった場合に、以降の送信ＣＰＵ側から割り込み要求を不許可とする制御が行うようにしてもよい。かかる構成により、例えば送信ＣＰＵが、受信ＣＰＵへのデータの引渡しを伴わない割り込み要求を多量に発生することで、受信ＣＰＵの性能を低下させるといった類の攻撃を抑えることができる。

図４は、図１に示した本発明の一実施例のアクセス制御手段３０の構成を示す図である。図４を参照すると、このアクセス制御手段３０は、基本側バス７０Ａを介して、基本処理（図１の２２）を実行するＣＰＵ１０Ａに接続し、追加側バス７０Ｂを介して追加処理（図１の２３）を実行するＣＰＵ１０Ｂに接続するアクセス許可手段３１と、アクセス許可データ３２を格納した記憶手段を備えている。

アクセス許可データ３２は、ＣＰＵ１０Ａから読み出し・書き込みが可能とされる。アクセス許可手段３１からは読み出しのみが許可されている。そして、アクセス許可データ３２は、ＣＰＵ１０Ｂからは読み出しも書き込みも不可とされる。すなわち、アクセス許可データ３２とＣＰＵ１０Ｂの間にはデータパスが存在しない。

アクセス許可手段３１は、追加側バス７０Ｂのアドレス信号線、制御信号線に転送される、メモリ５０（図１参照）へのアクセスアドレス信号、及び、制御信号（アクセスコマンド）から、アクセスの種別（リード／ライト）を判別し、アクセス許可データ３２の情報を参照して、当該アクセスが適正であるか否かを判別する。判別の結果、アクセスが不当と判断された場合、アクセス許可手段３１は、基本側バス７０Ａへのアクセスアドレス、制御信号（アクセスコマンド）の送出を行わず、これにより、ＣＰＵ１０Ｂ側から、基本側バス７０Ａへのアクセスは行われない。この場合、追加側バス７０Ｂにアクセスアドレスを送出したＣＰＵ１０Ｂ側では、バスエラー、あるいは、リード／ライトアクセスに対するメモリ５０等からの不応答により、該アクセスが失敗したことを知る。

アクセス許可手段３１は、入出力デバイス（Ｉ／Ｏ）６０がメモリマップドＩ／Ｏである場合には、追加側バス７０Ｂを監視し、アクセスアドレスが入出力デバイス対応のアドレスであることを検出し、データバス上に、Ｉ／Ｏコマンド（リード／ライト等）を検出した場合、該アクセスが適正であるかをアクセス許可データ３２の情報を参照して決定する。入出力デバイスがメモリマップドＩ／Ｏでない場合も、追加側バス７０Ｂに転送される入出力デバイスのデバイス番号、Ｉ／Ｏコマンドをデコードし、アクセス許可データ３２の情報を参照して、アクセスの可否を決定する。

なお、本実施例において、アクセス制御手段３０は、単位時間当りのデータ転送量の制御を行う帯域制約手段を備えてもよい。一例として、アクセス制御手段３０は、ＣＰＵ１０Ｂがアクセス動作中に、ＣＰＵ１０Ｂから追加側バス７０Ｂに転送されるデータ量を測定監視する手段を備え、例えば単位時間あたり予め定められた閾値を超えるバイト数のデータが転送される場合、ＣＰＵ１０ＢからＣＰＵ１０Ａへのデータ転送を打ち切る制御を行うようにしてもよい。その際、ＣＰＵ１０Ｂが、ＣＰＵ１０Ａへのデータ転送がフェイルしたことを知ってリトライした場合にも、アクセス制御手段３０は、ＣＰＵ１０ＢからのデータをＣＰＵ１０Ａに転送することは行わない。あるいは、アクセス制御手段３０は、バッファを備え、ＣＰＵ１０Ｂから追加側バス７０Ｂに転送されるデータをバッファに蓄積し、ＣＰＵ１０Ａに転送されるデータの流量を制御する構成としてもよい。

図５は、本発明の一実施例におけるアクセス許可データ３２の一例を示す図である。図５を参照すると、アクセス許可データは、追加処理を実行するＣＰＵ（図４の追加側バスに接続するＣＰＵ）と、アクセスが許可される範囲の始点アドレスと終点アドレスからなる許可範囲アドレスと、許可するアクセス種別（リード、リード／ライト、ライトの種別）がテーブル形式で格納されている。なお、許可範囲アドレスは、異なるＣＰＵで重複してもよい。図５に示す例では、２行目のＣＰＵ＃２、＃３の許可範囲アドレスは、０ｘＣ００００００から０ｘＦ００００００で、読み出し／書き込み可（Ｒ／Ｗ）あり、３行目のＣＰＵ＃３の許可範囲アドレスは、０ｘＥ００００００から０ｘＦ００００００であり、２行目と重複している。アドレス許可データの数、したがってテーブルのエントリ数は、その数が多いほど、きめ細かく、アクセス制御を行うことができる。なお、図５では、説明のため、Ｒ（読み出し可）、Ｗ（書き込み可）、Ｒ／Ｗ（読み出し／書き込み可）を例示したが、Ｒ（読み出し可）は、読み出しのみ可とし書き込みを不可とする情報であり、Ｗを書き込みを可とし（読み出しも可）とした場合には、Ｒ／Ｗは、不要とされる。また、読み出しが不可（書き込みも不可）のアドレス範囲は、アドレス許可データ３２には格納されない。図５に示す例では、アクセス許可データとして、アクセスが許可されたＣＰＵのそれぞれについて、アドレス範囲と、アクセス種別を有するが、アクセス許可データに、アクセス種別として、アクセス不可の情報をさらに設け、追加処理を実行するＣＰＵについて、アクセス不可のアドレス範囲を格納するようにしてもよい。

図４のアクセス許可手段３１は、追加側のＣＰＵからのアクセス要求（アドレス、読み書きコマンド）を受け取り、アクセス許可データ３２の許可範囲アドレス、アクセス種別を参照して、許可されたアクセスの場合、該アクセスを許可する。一方、不許可の場合、アクセスを不許可とする。図５に示す例では、ＣＰＵ＃４の場合、始点アドレス１０００から終点アドレス２０００（ヘキサデシマル）とされ、アクセス種別は読み出し（Ｒ）とされる。ＣＰＵ＃２、＃３の場合、始点アドレス０ｘＣ００００００から終点アドレス０ｘＦ００００００（ヘキサデシマル）とされ、アクセス種別は読み出しと書き込み（Ｒ／Ｗ）とされる。ＣＰＵ＃３の場合、始点アドレス０ｘＥ００００００から終点アドレス０ｘＦ００００００（ヘキサデシマル）のアクセス種別は書き込み（Ｗ）とされる。

図６は、図４のアクセス制御手段３０の動作の一例を説明するための図である。図６において、矢線脇の番号は、ステップ番号を表している。

ステップ１：基本処理を実行するＣＰＵ１０Ａは、アクセス制御手段３０のアクセス許可データ３２に、すべての追加処理を実行するＣＰＵ１０Ｂが、あるアドレス範囲を読み出すことを禁止する。

ステップ２：ＣＰＵ１０Ｂが、追加処理２３の実行等により、読み出しが禁止されたアドレス範囲への読み出し要求を発行したとする。

ステップ３：アクセス許可手段３１は、アクセス許可データ３２を読み出し、該アクセス要求の適否をチェックする。

ステップ４：アクセス許可手段３１は、ＣＰＵ１０Ｂへエラーを返す。該アドレス範囲は、ＣＰＵ１０Ｂからの読み出しが禁止されているためである。

ステップ５：ＣＰＵ１０Ｂは、上記アドレス範囲とは別の範囲への読み出し要求を発行する。

ステップ６：アクセス許可手段３１は、アクセス許可データ３２を読み出してチェックする。

ステップ７：アクセス許可手段３１は、ＣＰＵ１０Ｂの読み出しのアクセス要求を許可し、基本側バス７０Ａに読み出し要求として発行する。

なお、本実施例では、アクセス制御手段３０の構成として、アクセス許可手段３１と、アクセス許可データ３２を備え、アクセス許可情報に基づき、アクセス制御を行う例について説明したが、本発明はかかる構成にのみ制限されるものでなく、アクセス許可のデータに変えて（反転し）、アクセス拒否データと、アクセス拒否手段を備えてもよい。この場合、アクセス拒否手段は、追加処理を実行するＣＰＵ１０Ｂからのアクセスアドレスが、アクセス拒否データに、アクセス拒否が定義されたアドレス範囲に合致した場合に、アクセスを拒否する制御を行う。

本実施例の変形例として、アクセス許可手段３１に、キャッシュを備えてもよい。この場合、アクセス判定に用いたアクセスアドレス、アクセス許可データは、キャッシュに格納され、次回以降のアクセス制御の判定において、該当するアクセスアドレス（アドレス範囲）のアクセス許可データがキャッシュに存在するか判定し、キャッシュヒットした場合、アクセス判定の高速化を実現している。キャッシュには、アクセスアドレスの範囲に対応するタグアドレス、アクセス許可データを備え、追加側バス７０Ｂのアクセスアドレスがキャッシュとヒットするか否か判定するキャッシュヒット判定回路を備えて構成される。
さらに、本実施例の変形例として、アクセス制御手段は、図２６に示すように、新アクセス許可データ３３と、アクセス許可データ更新手段３４を備える構成としてもよい。図２６を参照すると、アクセス制御手段３０は、図４に示した実施例に加えて、基本側バス７０Ａに接続するアクセス許可データ更新手段３４と、新アクセス許可データ３３を格納した記憶手段と、を備えている。この２つの手段の機能について詳細を説明する。
新アクセス許可データ３３は、図４のアクセス許可データ３２と同じ特徴を持つのに加え、アクセス許可データ更新手段３４からのみの読み出しを許可する記憶手段である。
アクセス許可データ更新手段３４は、基本側バス７０Ａを通じたＣＰＵ１０Ａからの要求によって、新アクセス許可データ３３の内容をアトミックに新アクセス許可データ３４に上書きする。
なお、本実施例において、アクセス許可データの更新ではなく、新アクセス許可データへの切替を行う手段を設けてもよい。
このような構成によれば、アクセス許可データ３２の更新をＣＰＵによりアトミックに書き換えることが可能となるため、アクセス制御手段による保護すべき領域、制限すべき領域を動的に変更することが可能である。
また、図２７は本発明の一実施例のアクセス制御手段３０の別の構成を示す図である。図２７を参照すると、このアクセス制御手段３０は、図４に示した実施例に加えて、追加側バス７０Ｂに接続するアクセス監視手段３５と学習手段３６を備えている。この手段の機能について詳細を説明する。
アクセス監視手段３５は、アクセス許可手段３１と同様に、追加側バス７０Ｂを通じたＣＰＵ１０Ｂからのアクセス情報を取得する。
学習手段３６は、前記アクセス監視手段３５から提供されるアクセス情報を記憶する。そして、アクセス情報に基づき、その参照が適切かどうかを判断する。例えば、ユーザ保護データに対する参照回数をカウントしておき、もしあらかじめ指定された閾値を越えた場合には、異常事態と認定し、アクセス監視手段３５にそのことを通知し、別途定められたルールに従ってアクセス許可データ３２を動的に変更する。また、場合によっては、基本側バス７０ＡにつながるＣＰＵ１０Ａに通知をし、異常時の処理を起動してもよい。
このような構成によれば、実際に参照されたパターンから信頼度が低いと思われるＣＰＵの動作を履歴情報として蓄積することで自律的に制限できるため、実動作におけるＣＰＵの動作状況に基づいたより安全な実行制御を行うことが可能となる。
また、アクセス制御手段の構成例としては、図４の構成に加えて、上記説明した新アクセス制御手段、アクセス許可更新手段、アクセス監視手段、学習手段のすべてを備える構成とすることも可能である。

図７は、本発明の別の実施例の構成を示す図である。図７を参照すると、本実施例は、図１の構成に加えて、追加処理側のソフトウェアとＯＳ、ＣＰＵをさらに１組追加したものである。すなわち、第２の追加処理側のＣＰＵ１０Ｃは、プロセッサ間通信手段を介して、第１の追加処理用のＣＰＵ１０Ｂと相互に通信する。また、第２の追加処理側のＣＰＵ１０Ｃは、第２のアクセス制御手段３０２を介して、基本側バス７０Ａに接続される。

各アクセス制御手段３０１、３０２の設定は、基本処理２２を実行するＣＰＵ１０Ａが設定する。すなわち、基本処理２２を実行するＣＰＵ１０Ａが、マスタープロセッサとして機能する。ＣＰＵ１０Ａにより、メモリ５０及び入出力デバイス（Ｉ／Ｏ）６０の集中的な管理が行われる。

第２の追加処理２３Ｃを実行するＣＰＵ１０Ｃは、第１の追加処理２３Ｂを実行するＣＰＵ１０Ｂに対してプロセッサ間通信手段４０３を介して通信（データ、コマンドの送信）を行い、第１の追加処理２３Ｂを実行するＣＰＵ１０Ｂは、基本処理２２を実行するＣＰＵ１０Ａに対してプロセッサ間通信手段４０１を介して通信（データ、コマンドの送信）を行う。また、第２の追加処理２３Ｃを実行するＣＰＵ１０Ｃは、第２のアクセス制御手段３０２の監視の下、メモリ５０、入出力デバイス（Ｉ／Ｏ）６０に対して許可されたアクセスのみを行い、第１の追加処理２３Ｂを実行するＣＰＵ１０Ｂは、第１のアクセス制御手段３０１の監視の下、メモリ５０、入出力デバイス（Ｉ／Ｏ）６０に対して許可されたアクセスのみを行い、第１のアクセス制御手段３０１、第２のアクセス制御手段３０２のアクセス許可データの設定は、すべてＣＰＵ１０Ａによって行われる。かかる構成により、集中的な管理が行われ、また、プロセッサ間通信手段４０により、ＣＰＵ間で処理の受け渡しが行われる。本実施例においても、基本処理２２を実行するＣＰＵ１０Ａに対する、追加処理２３Ｂ、２３Ｃからの直接的な攻撃等は回避される。すなわち、前記実施例と同様に、追加処理２３Ｂ、２３Ｃは、基本処理２２を直接起動あるいはサブルーチン呼び出しすることはできず、基本処理２２の起動要求は、例えばＣＰＵ１０ＣからＣＰＵ１０Ｂを介して、ＣＰＵ１０Ａに、プロセッサ間通信手段を介して伝達され、該要求を受け取ったＣＰＵ１０Ａでは、権限が付与されていないＣＰＵからの要求である場合、該要求を受理しない（この詳細については、後述するソフトウェアの実施例で詳述する）。このように、追加処理側のＣＰＵと基本処理側のＣＰＵに権限の階層が設けられるほか、プロセッサ間通信手段４０、及びアクセス制御手段３０というハードウェア機構を介することで、基本処理等の直接的な攻撃は、回避される。本実施例におけるプロセッサ間通信手段４０１〜４０４は、図２に示した前記実施例の構成と同様とされ、アクセス制御手段３０１、３０２も、図４に示した前記実施例の構成と同様とされるため、その詳細構成、動作の説明は省略する。

図８は、本発明の別の実施例の構成を示す図である。図８を参照すると、本実施例は、図７に示した構成と同様に、図１の構成にさらに、追加処理側のＣＰＵ１０Ｃと、アクセス制御手段３０２を追加したものである。本実施例は、図７に示した前記実施例と相違して、メモリと入出力デバイス（Ｉ／Ｏ）を、各組（ドメイン）のＣＰＵ群毎に用意している。第２の追加処理ＣＰＵ１０Ｃは、許可されたメモリ５０Ｃ、入出力デバイス（Ｉ／Ｏ）６０Ｃには、アクセス制限なく自在にアクセスすることができる。第１の追加処理ＣＰＵ１０Ｂは、許可されたメモリ５０Ｂ、入出力デバイス（Ｉ／Ｏ）６０Ｂには、アクセス制限なくアクセスすることができる。

第２の追加処理側のＣＰＵ１０Ｃからの、基本処理側のメモリ５０Ａ、入出力デバイス（Ｉ／Ｏ）６０Ａへのアクセスは、第２のアクセス制御手段３０２及び第１のアクセス制御手段３０１と２段構成にて、アクセス制御が行われる。

第１の追加処理側のＣＰＵ１０Ｂからの、基本処理側のメモリ５０Ａ、入出力デバイス（Ｉ／Ｏ）６０Ａへのアクセスは、第１のアクセス制御手段３０１により、アクセス許可が判定される。

第１のアクセス制御手段３０１のアクセス許可データ、第２のアクセス制御手段３０２のアクセス許可データは、基本処理のＣＰＵ１０Ａが設定する。第２のアクセス制御手段３０２のアクセス許可データは第１の追加処理のＣＰＵ１０Ｂが設定してもよい。この実施例によれば、メモリ、入出力デバイス（Ｉ／Ｏ）をドメイン単位に分離し、ＣＰＵ間をプロセッサ間通信手段４０で多段に接続する構成としたことにより、追加処理による攻撃からの防護機能を高め、安全性を確保している。
図２８は、図１に示した本発明の一実施例を２以上のチップにおいて適用した例である。図２８を参照すると、本発明の一実施例のＣＰＵ１０Ａ、１０Ｂ、１０Ｃ、１０Ｄとアクセス制御手段３０１の組み合わせを複数並べることに加えて、さらに個々のチップ間をアクセス制御手段３０３で結合する。
ある一チップ内における一部のＣＰＵを基本処理実行用として設けることで、一チップ内のアクセス制御手段によりアクセス制限を行うこともできるし、各チップ内の少なくとも一部のＣＰＵを基本処理実行用として設けることも可能である。
また、異なるチップにまたがってドメインを構成し、各チップ間のアクセス制御手段により実行を制御することも可能である。
いずれの場合でも、適切なアクセス制御手段の設定によって、複数のチップ間においても本発明における実行制御を行うことが可能となる。

上記した実施例では、主に、本発明のハードウェア構成について説明したが、本発明のソフトウェア構成について以下に説明する。

図９は、本発明を実施するソフトウェア構成の一例を示す図であり、基本ドメインと、Ｔｒｕｓｔｅｄ（信頼）拡張ドメイン、Ｕｎｔｒｕｓｔｅｄ（無信頼）拡張ドメインを備えている。図９のハードウェア構成としては、３つの群のＣＰＵを備えた、図８の構成等を用いることができる。この場合、基本処理を実行する実行環境である基本ドメインは、図８のソフト２０Ａ、ＯＳ２１Ａに対応し、Ｔｒｕｓｔｅｄ拡張ドメインは、図８のソフト２０Ｂ、ＯＳ２１Ｂに対応し、Ｕｎｔｒｕｓｔｅｄ拡張ドメインは、図８のソフト２０Ｃ、ＯＳ２１Ｃに対応させることができる。

図９を参照すると、基本ドメイン１００Ａは、基本アプリケーションプログラム（「基本アプリケーション」という）１１１と、基本機能１１２を含む基本ソフト１１０と、ＯＳ１０１Ａと、専用ファイルシステム１０３と、外部デバイス１０２Ａを備え、ネイティブコードダウンロード管理機能１０４Ａと、セキュリティポリシーデータベース１０５を備えている。特に制限されないが、基本機能１１２は、例えば、本実施例の情報通信装置が携帯型情報通信端末である場合、発呼、着信処理等の呼処理、インターネットアクセス、画面処理等の、携帯型情報通信端末の基本機能を実現するもので、図１の基本処理２２に対応している。基本アプリケーション１１１は、基本機能１１２を呼び出して処理を行い、基本機能１１２は、ＯＳを介してファイルシステム、外部デバイスへのアクセスを行う。外部デバイスは、ワイヤレス通信インタフェース等の通信インタフェース、表示装置のインタフェース、キー、ポインティングデバイス等の入力インタフェース、ＳＤ（Secure Digital）メモリカードインタフェース、サウンドインタフェース等を含む。

Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂは、ネイティブコードダウンロード実行機能１０４Ｂと、ダウンロードアプリケーションプログラム（「ダウンロードアプリケーション」という）１２０Ｂと、基本機能ライブラリ（ラッパー）１１３と、ＯＳ１０１Ｂと、許可された外部デバイス１０２Ｂを備えている。

ＯＳ１０１Ｂは、証明書付のダウンロードドライバ１２１Ｂを含む。証明書付ドライバ１２１Ｂは、許可された外部デバイス１０２Ｂの入出力制御を行う。

Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃは、ネイティブコードダウンロード実行機能１０４Ｃと、ダウンロードアプリケーション１２０Ｃと、ＯＳ１０１Ｃと、許可された外部デバイス１０２Ｃを備えている。ＯＳ１０１Ｃに組み込まれるダウンロードドライバ１２１Ｃは、許可された外部デバイス１０２Ｃの入出力制御を行う。

基本ドメイン１００Ａの外部デバイス１０２Ａから入力され、ダウンロードされたファイルについて、ネイティブコードダウンロード管理機能１０４Ａが、セキュリティポリシデータベース１０５の内容を参照することで、信頼できる（信頼できる電子証明書付）ネイティブコードのアプリケーションを、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂへ転送し、信頼できる（信頼できる電子証明書付）ネイティブコードのダウンロードドライバ１２１ＢのＯＳ１０１Ｂへの組み込みを行う。

また、ネイティブコードダウンロード管理機能１０４Ａは、信頼できない（例えば電子証明書無しであるか、証明書の内容が正しくない場合等）アプリケーションを、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ経由で、Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃへ転送し、信頼できない（証明書無し）ダウンロードドライバのＵｎｔｒｕｓｔｅｄ拡張ドメインのＯＳ１０１Ｃへの組み込みを行う。

Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂからは、基本機能１１２の呼び出しは許可されるが、Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃからの基本機能１１２の呼び出しは、許可されない。ただし、Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００ＣとＴｒｕｓｔｅｄ拡張ドメイン１００Ｂとの協働作業は可能である。

信頼できるドメインで動作するアプリケーションプログラムは、信頼できないドメインからのデータについて、ユーザの確認（ＯＫ）があった場合にのみ、基本機能１１２へ引き渡す。ユーザの確認なく、信頼できないドメインからのデータを、基本機能１１２に渡さない。なお、信頼できる拡張ドメイン１００Ｂから、直接、基本ドメイン１００Ａの基本機能１１２へ、処理要求を発行することはできない。

図１０は、図９に示した本発明の一実施例の動作を説明するための図であり、基本アプリケーションの実行を示す図である。図１０において、各矢線に付された番号は、当該線を情報が転送されるステップ番号を表している。

ステップ１：基本ドメイン１００Ａの基本アプリケーション１１１は、基本機能１１２に、処理要求（例えば、アドレス帳の追加等）を発行する。

ステップ２：基本機能１１２は、ＯＳ１０１Ａを利用して、該当要求を処理する。

ステップ３：基本機能１１２は、基本アプリケーション１１１に要求の成否を通知する。

図１１は、図９に示した本発明の一実施例の動作を説明するための図であり、信頼アプリケーションのダウンロードの実行の様子を示す図である。図１１において、各矢線に付された番号は、当該線を情報が転送されるステップ番号を表している。

ステップ１：基本ドメイン１００Ａ上の外部デバイス１０２Ａ（ネットワーク又はＳＤメモリカード等）からＯＳ１０１Ａにダウンロードデータが到着する。

ステップ２：ダウンロードデータは、基本機能１１２にて、属性情報等の情報から、追加アプリケーション（ダウンロードアプリケーション）と認識される。

ステップ３：基本機能１１２は、追加アプリケーションを、ネイティブコードダウンロード管理機能１０４Ａに渡し、ネイティブコードダウンロード管理機能１０４Ａは、セキュリティポリシーデータベース１０５を参照して、追加アプリケーションに付随した電子証明書をチェックする。前述したように、例えば電子証明書には、公開鍵やデジタル署名（証明される機関や公開鍵などを秘密鍵で暗号化したもの）が格納され、ネイティブコードダウンロード管理機能１０４Ａが、証明書の認証を行う場合には、ディジタル署名の部分を、公開鍵で解読して、証明書のデータの内容と一致するか否か確認し、一致する場合に、証明書のデータを信頼してもよいと判断する。さらに、アプリケーションのダイジェストからなるデジタル署名を付随しておくことで、ダウンロードしたアプリケーションが改竄されていないかどうかをチェックすることができる。

ステップ４：ネイティブコードダウンロード管理機能１０４Ａは、電子証明書とともに、ダウンロード情報を、セキュリティポリシーデータベース１０５に保存する。

ステップ５：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、電子証明書のチェックの結果、正しい場合、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂのネイティブコードダウンロード実行機能１０４Ｂに、ダウンロードアプリケーションを送信し、実行を要求する。基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａから、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂのネイティブコードダウンロード実行機能１０４Ｂのデータの送信は、図７又は図８のプロセッサ間通信手段４０を用いて行われる。

ステップ６：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂのネイティブコードダウンロード実行機能１０４Ｂは、受け取ったダウンロードアプリケーションを実行するように制御する。

ステップ７：ダウンロードアプリケーションはＴｒｕｓｔｅｄ拡張ドメイン上で実行される。

図１２は、図９に示した本発明の一実施例の動作を説明するための図であり、信頼ドライバのダウンロード実行を示す図である。信頼ドライバとは、例えばダウンロードされたドライバに添付される電子証明書の照合結果が正しいドライバをいう。図１２において、各矢線に付された番号は、当該線を情報が転送されるステップ番号を表している。

ステップ１：基本ドメイン１００Ａ上の外部デバイス１０２Ａ（ネットワーク又はＳＤカード等）からＯＳ１０１Ａにダウンロードデータが到着する。

ステップ２：基本機能１１２にて、属性情報、自動インストール情報等から、ダウンロードデータは、追加デバイスドライバ（ダウンロードドライバ）であると認識する。

ステップ３：基本機能１１２は、受信したドライバを、ネイティブコードダウンロード管理機能１０４Ａに渡す。ネイティブコードダウンロード管理機能１０４Ａは、セキュリティポリシーデータベース１０５を参照して、ダウンロードデータに付随した電子証明書をチェックする。

ステップ４：ネイティブコードダウンロード管理機能１０４Ａは、電子証明書とともに、ダウンロード情報をセキュリティポリシーデータベース１０５に保存する。

ステップ５：ネイティブコードダウンロード管理機能１０４Ａは、Ｔｒｕｓｔｅｄ拡張ドメインのネイティブコードダウンロード実行機能１０４Ｂに対して、ダウンロードドライバを送信し、インストールの実行を要求する。基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａから、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂのネイティブコードダウンロード実行機能１０４Ｂのデータの送信は、図７又は図８のプロセッサ間通信手段４０を用いて行われる。

ステップ６：Ｔｒｕｓｔｅｄ拡張ドメインのネイティブコードダウンロード実行機能１０４Ｂは、受け取ったダウンロードドライバを自動インストールする。特に制限されないが、この実施例において、ダウンロードドライバはインストールしたのちＣＰＵを再起動してＯＳ１０１Ｂのある領域に組み込むレジデント型のドライバであってもよい。

ステップ７：Ｔｒｕｓｔｅｄ拡張ドメインのＯＳ１０１Ｂは、ダウンロードドライバをインストールされたことを、既に実行済みのアプリケーションに通知するか、表示する。

ステップ８：Ｔｒｕｓｔｅｄ拡張ドメインにおいて、既に実行済みのアプリケーション１２０Ｂは、インストールされたダウンロードドライバ１２１Ｂを参照する。

ステップ９：Ｔｒｕｓｔｅｄ拡張ドメインのＯＳ１０１Ｂにインストールされ、ロードされたダウンロードドライバ１２１Ｂは、許可された外部デバイス１０２Ｂをアクセスする。

ステップ１０：ダウンロードドライバ１２１Ｂは、ダウンロードアプリケーション１２０Ｂに外部デバイス１０２Ｂからのデータを返す。

図１３は、図９に示した本発明の一実施例の動作を説明するための図であり、Ｔｒｕｓｔｅｄ拡張ドメインの信頼アプリケーション（ダウンロードアプリケーション）が、基本ドメインの基本機能を利用する場合の動作を示す図である。図１３において、各矢線に付された番号は、当該線を情報が転送されるステップ番号を表している。

ステップ１：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂにおいて、ダウンロードアプリケーション１２０Ｂが、基本機能ライブラリ１１３へ、基本ドメイン１００Ａの基本機能１１２の処理を要求する。基本機能ライブラリ１１３は、基本ドメイン１００Ａの基本機能１１２の処理を実行するためのルーチンを集めたライブラリであり、ダウンロードアプリケーション１２０Ｂから起動される。

ステップ２：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂの基本機能ライブラリ１１３は、ダウンロードアプリケーション１２０Ｂが保有する電子証明書の鍵（公開鍵等）を用いて、要求を暗号化し、暗号化した要求を、基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａへ送信する。Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂの基本機能ライブラリ１１３から基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａへの要求の送信は、図７又は図８のプロセッサ間通信手段４０を介して行われる。

ステップ３：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、受け取った要求を復号し、該要求を、電子証明書を利用して、要求送信元が適正であるか否か等のチェックを行う。なお、この例では、要求の暗号化と復号を用いて、要求をチェックしているが、アプリケーションと電子証明書の対応がとれる方法であれば、任意の方法を用いてよいことは勿論である。

ステップ４：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、要求のチェックの結果、ＯＫであれば、基本機能１１２へ要求を依頼する。

ステップ５：基本ドメイン１００Ａの基本機能１１２は、ネイティブコードダウンロード管理機能１０４Ａから受け渡された該要求を処理し、処理完了後、基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａへ、処理完了を通知する。

ステップ６：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂの基本機能ライブラリ１１３へ、処理の完了を通知する。基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４ＡからＴｒｕｓｔｅｄ拡張ドメイン１００Ｂの基本機能ライブラリ１１３への通知の送信は、図７又は図８のプロセッサ間通信手段４０を介して行われる。

ステップ７：Ｔｒｕｓｔｅｄ拡張ドメインの基本機能ライブラリ１１３は、ダウンロードアプリケーション１２０Ｂに、要求に対する応答として処理の完了を通知する。

図１４は、図９に示した本発明の一実施例の動作を説明するための図であり、Ｕｎｔｒｕｓｔｅｄ拡張ドメインの無信頼アプリケーションのダウンロードの実行手順を示す図である。図１４において、各矢線に付された番号は、当該線を情報が転送されるステップ番号を表している。

ステップ１：基本ドメイン１００Ａ上の外部デバイス１０２Ａ（ネットワーク又はＳＤカード等）から、ＯＳ１０１Ａにダウンロードデータが到着する。

ステップ２：基本ドメイン１００Ａの基本機能１１２では、属性情報等を解析し、ダウンロードデータをアプリケーション（ダウンロードアプリケーション）と認識する。

ステップ３：基本ドメイン１００Ａの基本機能１１２は、ダウンロードアプリケーションを、ネイティブコードダウンロード管理機能１０４Ａに渡す。ネイティブコードダウンロード管理機能１０４Ａでは、アプリケーションに、電子証明書が付随されていないか、あるいは電子証明書が正しくないと判別する。

ステップ４：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、セキュリティポリシーデータベース１０５に、ダウンロード情報を保存する。

ステップ５：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、Ｔｒｕｓｔｅｄ拡張ドメインのネイティブコードダウンロード実行機能１０４Ｂに、ダウンロードされたアプリケーションを送信する。基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４ＡからＴｒｕｓｔｅｄ拡張ドメインのネイティブコードダウンロード実行機能１０４Ｂへのアプリケーションの送信は、図７又は図８に示したプロセッサ間通信手段４０を介して行われる。

ステップ６：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂのネイティブコードダウンロード実行機能１０４Ｂは、Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃのネイティブコードダウンロード実行機能１０４Ｃにアプリケーションを送信し、実行を要求する。Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂのネイティブコードダウンロード実行機能１０４ＢからＵｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃのネイティブコードダウンロード実行機能１０４Ｃへのアプリケーションの送信は、図７又は図８に示したプロセッサ間通信手段４０を介して行われる。

ステップ７：Ｕｎｔｒｕｓｔｅｄ拡張ドメインのネイティブコードダウンロード実行機能１０４Ｃは、受信したダウンロードアプリケーション１２０Ｃの起動を行う。

ステップ８：ダウンロードアプリケーション１２０Ｃは、Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃで動作を開始する。この場合、Ｕｎｔｒｕｓｔｅｄ拡張ドメインのダウンロードアプリケーション１２０Ｃは、Ｕｎｔｒｕｓｔｅｄ拡張ドメインのＯＳ１０１Ｃ上で動作し、許可された外部デバイス１０２Ｃへのアクセスのみが許可される。

図１５は、図９に示した本発明の一実施例の動作を説明するための図であり、無信頼ドライバのダウンロード実行の様子を示す図である。図１５において、各矢線に付された番号は、当該線を情報が転送されるステップ番号を表している。

ステップ１：基本ドメイン１００Ａ上の外部デバイス１０２Ａ（ネットワーク又はＳＤカード等）からＯＳ１０１Ａにダウンロードデータが到着する。

ステップ２：基本機能１１２は、ダウンロードデータの到着で起動され、属性情報、インストール情報等のダウンロードデータを解析し、デバイスドライバ（ダウンロードドライバ）と認識する。

ステップ３：基本機能１１２は、ダウンロードドライバを、ネイティブコードダウンロード管理機能１０４Ａに渡し、ネイティブコードダウンロード管理機能１０４Ａは、ダウンロードドライバに電子証明書が添付されていないか、あるいは、電子証明書は添付されているが、電子証明書の内容が正しくないことがわかる。

ステップ４：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、ダウンロード情報のみをセキュリティポリシーデータベース１０５に保存する。

ステップ５：ネイティブコードダウンロード管理機能１０４Ａは、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂのネイティブコードダウンロード実行機能１０４Ｂにダウンロードドライバを送信する。ネイティブコードダウンロード管理機能１０４ＡからＴｒｕｓｔｅｄ拡張ドメイン１００Ｂのネイティブコードダウンロード実行機能１０４Ｂへのダウンロードドライバの送信は、図７又は図８に示したプロセッサ間通信手段４０を介して行われる。

ステップ６：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂのネイティブコードダウンロード実行機能１０４Ｂは、受け取ったダウンロードドライバを、Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃのネイティブコードダウンロード実行機能１０４Ｃに転送する。Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂのネイティブコードダウンロード実行機能１０４ＢからＵｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃのネイティブコードダウンロード実行機能１０４Ｃへのダウンロードドライバの転送は、図７又は図８に示したプロセッサ間通信手段４０を介して行われる。

ステップ７：Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃのネイティブコードダウンロード実行機能１０４Ｃは、受信したダウンロードドライバ１２１Ｃをインストールする。

ステップ８：ＯＳ１０１Ｃは、ドライバ１２１Ｃがインストールされたことを、既に実行済みのアプリケーション１２０Ｃへ通知するか、画面に表示する（ユーザに通知する）。

ステップ９：Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃにおいて、既に実行済みのアプリケーション１２０Ｃは、インストールされたダウンロードドライバ１２１Ｃを参照する。

ステップ１０：Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃにおいて、インストールされたダウンロードドライバ１２１Ｃは、Ｕｎｔｒｕｓｔｅｄ拡張ドメインのＯＳ１０１Ｃを介して、許可された外部デバイス１０２Ｃをアクセスする。

ステップ１１：Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃにおいて、ダウンロードドライバ１２１Ｃは、ダウンロードアプリケーション１２０Ｃに、外部デバイス１０２Ｃから取得したデータを返す。

図１６は、図９に示した本発明の一実施例の動作を説明するための図であり、信頼アプリケーションと無信頼アプリケーションの連携の様子を示す図である。図１６において、各矢線に付された番号は、当該線を情報が転送されるステップ番号を表している。

ステップ１：Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃ上のダウンロードアプリケーション１２０Ｃは、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ上のダウンロードアプリケーション１２０Ｂへデータを送信する。このデータの送信は、通常、図７又は図８のプロセッサ間通信手段４０によって行われる。

ステップ２：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ上のダウンロードアプリケーション１２０Ｂは、受け取ったデータによる処理を行い、基本機能ライブラリ１１３へ、Ｕｎｔｒｕｓｔｅｄ拡張ドメインと連携した情報を含む基本機能処理を要求する。

ステップ３：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ上の基本機能ライブラリ１１３は、アプリケーションが保有する電子証明書を用いて、要求を暗号化し、基本ドメイン１００Ａ上のネイティブコードダウンロード管理機能１０４Ａへ送信する。この要求の送信は、通常、図７又は図８のプロセッサ間通信手段４０によって行われる。

ステップ４：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、要求を復号し、該要求の完全性を、セキュリティポリシーデータベース１０５に格納された電子証明書を利用してチェックする。チェックの結果、要求が正しい場合、ネイティブコードダウンロード管理機能１０４Ａは、基本アプリケーション１１１を介して、ユーザに確認を求める。基本アプリケーション１１１は、画面表示、入力のアプリケーションを含む。なお、この例では、要求の暗号化と復号を用いて、アプリケーションと電子証明書の対応をチェックしているが、アプリケーションと電子証明書との対応がとれる方法であれば、任意の方法を用いてよいことは勿論である。

ステップ５：ユーザからの確認として「ＮＯ」が入力されるとする。

ステップ６：ネイティブコードダウンロード管理機能１０４Ａは、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂの基本機能ライブラリ１１３へ不許可を通知する。この不許可の通知は、通常、図７又は図８のプロセッサ間通信手段４０によって行われる。

ステップ７：基本機能ライブラリ１１３は、ダウンロードアプリケーション１２０Ｂへ不許可を通知する。

ステップ８：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ上のダウンロードアプリケーション１２０Ｂは、Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃ上のダウンロードアプリケーション１２０Ｃに不許可を通知する。この不許可の通知は、通常、図７又は図８のプロセッサ間通信手段４０によって行われる。

図１７は、図９に示した本発明の一実施例の動作を説明するための図であり、信頼アプリケーションと無信頼アプリケーションの連携を示す図である。図１７において、各矢線に付された番号は、当該線を情報が転送されるステップ番号を表している。

ステップ１：Ｕｎｔｒｕｓｔｅｄ拡張ドメイン１００Ｃ上のダウンロードアプリケーション１２０Ｃは、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ上のダウンロードアプリケーション１２０Ｂへデータを送信する。このデータの送信は、図７又は図８等のプロセッサ間通信手段によって行われる。

ステップ２：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ上のダウンロードアプリケーション１２０Ｂは、受け取ったデータによる処理を行い、基本機能ライブラリ１１３へ、Ｕｎｔｒｕｓｔｅｄと連携した情報を含む基本機能処理を要求する。

ステップ３：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ上の基本機能ライブラリ１１３は、アプリケーション１２０Ｂが保有する電子証明書を用いて、要求を暗号化し、基本ドメイン１００Ａ上のネイティブコードダウンロード管理機能１０４Ａへ送信する。この要求は、通常、図７又は図８のプロセッサ間通信手段４０によって行われる。

ステップ４：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、要求を復号し、該要求の完全性を、セキュリティポリシーデータベース１０５に格納される電子証明書を利用してチェックする。チェックの結果、要求が正しい場合、ネイティブコードダウンロード管理機能１０４Ａは、基本アプリケーション１１１を介してユーザに確認を求める。なお、この例では、要求の暗号化と復号を用いて、アプリケーションと電子証明書の対応をチェックしているが、アプリケーションと電子証明書との対応がとれる方法であれば、任意の方法を用いてもよいことは勿論である。

ステップ５：この場合、ユーザの確認として「Ｙｅｓ」が入力される。

ステップ６：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、基本機能１１２へ要求を依頼する。

ステップ７：基本機能１１２は、要求を処理し、ネイティブコードダウンロード管理機能１０４Ａに処理完了を通知する。

ステップ８：基本ドメイン１００Ａのネイティブコードダウンロード管理機能１０４Ａは、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂの基本機能ライブラリ１１３に完了を通知する。この完了通知は、通常、図７又は図８のプロセッサ間通信手段４０によって行われる。

ステップ９：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂの基本機能ライブラリ１１３は、ダウンロードアプリケーション１２０Ｂに完了を通知する。

ステップ１０：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂのダウンロードアプリケーション１２０Ｂは、ＵｎＴｒｕｓｔｅｄ拡張ドメイン１００Ｃのダウンロードアプリケーション１２０Ｃに完了を通知する。この完了通知は、通常、図７又は図８のプロセッサ間通信手段４０によって行われる。

図１８は、本発明のさらに別の実施例の構成を示す図である。ＯＳとＣＰＵ間に仮想マシンモニタ（ＯＳとの間に設けられ、ＣＰＵで実行されるソフトウェア層）を備えている。これにより、ＣＰＵ、Ｉ／Ｏ、メモリ資源を仮想化している。仮想マシンモニタは、ＯＳとＣＰＵ間で、仮想ハードウェア（例えば仮想入出力デバイス）を、実際のハードウェアデバイスにマッピングする。基本ドメイン、Ｔｒｕｓｔｅｄ拡張ドメイン、ＵｎＴｒｕｓｔｅｄ拡張ドメインのそれぞれについて、ＯＳは、仮想の専用ファイルシステム、仮想外部デバイスとの入出力（Ｉ／Ｏ）制御を行い、ＯＳとＣＰＵ間に、仮想ＣＰＵ２００Ａ、２００Ｂ、２００Ｃ、仮想マシンモニタ２１０Ａ、２１０Ｂ、２１０Ｃを備え、仮想の専用ファイルシステム１０３’、仮想外部デバイス１０２Ａ’、１０２Ｂ’、１０２Ｃ’を、対応する実ファイルシステム、実外部デバイスへマッピングする。

本実施例によれば、図８のハードウェア構成、図９のソフトウェア構成と相違して、本実施例において、例えば基本ドメインに対応する仮想ＣＰＵは固定でなく、Ｔｒｕｓｔｅｄ拡張ドメイン等のＣＰＵを、基本ドメインの仮想ＣＰＵとしてマッピングすることができる。なお、仮想マシンモニタは、その実装において、既存のＯＳ、アプリケーションプログラム、ＣＰＵ等の修正等は不要とされる。本実施例によれば、各ドメインのＣＰＵの個数は可変とされ、仮想ＣＰＵを構成する。ソフトウェア構成として、基本ドメイン、Ｔｒｕｓｔｅｄ拡張ドメイン、Ｕｎｔｒｕｓｔｅｄ拡張ドメインの構成は、デバイス、ファイルシステムが仮想デバイス、仮想ファイルシステムであることを除いて、図９に示した構成と同様である。

図１９は、図１８に示した実施例の処理手順の一例を示す図である。図１９において、各矢線に付された番号は、ステップ番号を表している。

ステップ１：基本ドメイン１００Ａの仮想マシンモニタ２１０Ａは、Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ上の仮想マシンモニタ２１０Ｂに対してＣＰＵの委譲を要求する。

ステップ２：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ上の仮想マシンモニタ２１０Ｂは、仮想ＣＰＵ資源を減らす。

ステップ３：Ｔｒｕｓｔｅｄ拡張ドメイン１００Ｂ上の仮想マシンモニタ２１０Ｂは、基本ドメイン１００Ａ上のＣＰＵ上の仮想マシンモニタ２１０Ａに委譲可能なＣＰＵを通知する。

ステップ４：基本ドメイン１００Ａ上の仮想マシンモニタ２１０Ａは、アクセス制御手段等の設定を行い、仮想ＣＰＵの数を増やす。

本実施例によれば、別の群のＣＰＵを、基本ドメインのＣＰＵのように動作させることができる。なお、アプリケーションのダウンロード処理は、前記した実施例の処理動作（図１０乃至図１８）と同一であるため、その説明は省略する。

本実施例と変形例として、仮想マシンモニタを、セキュアモードで動作させるようにしてもよい。このようにすることで、安全性をさらに向上させることができる。

上記ソフトウェアの各実施例において、各ドメインのＣＰＵ群がマルチプロセッサとして動作する場合、キャッシュコヒーレンスを保つためのバス、仮想マルチプロセッサの無効化のために、ＴＬＢ（Translation Lookaside Buffer;アドレス管理ユニット内に設けられるアドレス変換表）の全エントリをフラッシュするシュートダウン等、ハードウェアで協調動作するチャネルについては、すべて、基本ドメイン１００Ａから、制御できるように構成されている。また、図２０に示すように、各ドメインのＣＰＵ群（例えば図１のマルチＣＰＵ構成のＣＰＵ群１０Ａ、１０Ｂ）を、分離手段１５を介して、複数に分離できる構成としてもよい。これにより、例えばあるドメインのＣＰＵを他のドメインに委譲する際の制御が容易化し、さらに障害マルチプロセッサの分離（graceful degrading）等にも対応可能としている。

なお、前記各実施例では、ネットワーク等装置外部からネイティブコードの追加処理（アプリケーション、デバイスドライバ）をダウンロードして実行する情報通信端末装置を例に説明したが、本発明は、かかる情報通信端末装置に限定されるものでなく、任意の情報通信装置に適用可能である。以上、本発明を上記実施例に即して説明したが、本発明は、上記実施例の構成にのみ限定されるものでなく、本発明の範囲内で当業者であればなし得るであろう各種変形、修正を含むことは勿論である。

Claims (61)

1. 複数のプロセッサを備え、
   前記複数のプロセッサは、第１のドメインを構成するプロセッサと、前記第１のドメインとは異なる第２のドメインを構成するプロセッサと、を含み、
   前記第２のドメインは、前記第１のドメインに属するプロセッサが実行する処理よりも信頼度の低い処理を少なくとも１以上有するプロセッサを含み、
   前記第１のドメインと前記第２のドメインのプロセッサ同士の通信を制御するプロセッサ間通信手段と、
   前記第２のドメインに属するプロセッサによる前記第１のドメインに属するメモリ及び／又は入出力装置へのアクセスを、前記第２のドメインに属するプロセッサで実行される処理の信頼度に応じて制限するアクセス制御手段と、
   を備えている、ことを特徴とする情報処理装置。
2. 前記アクセス制御手段は、アクセス許可データを記憶する手段と、
   前記第２のドメインに属するプロセッサからの前記メモリ及び／又は前記入出力装置へのアクセスを監視し、前記アクセス許可データを参照して、前記アクセスの許可の有無を判別するアクセス許可手段と、
   を備えている、ことを特徴とする請求項１記載の情報処理装置。
3. 前記アクセス制御手段は、前記アクセス許可データを更新するアクセス許可データ更新手段を有することを特徴とする請求項２に記載の情報処理装置。
4. 前記アクセス制御手段は、前記第２のドメインに属するプロセッサによるアクセス情報を取得するアクセス監視手段と、前記アクセス情報を記憶する学習手段を有することを特徴とする請求項２に記載の情報処理装置。
5. 前記プロセッサ間通信手段は、情報の送リ手側のプロセッサからの割り込み要求を受け、前記情報の受け手側のプロセッサに割り込みを発行する割り込み制御情報処理装置を備えている、ことを特徴とする請求項１記載の情報処理装置。
6. 予め定められた第１の類の処理を実行する、少なくとも１つのプロセッサ（「第１類プロセッサ」という）と、
   前記第１の類の処理とは異なる第２の類の処理を実行する少なくとも１つのプロセッサ（「第２類プロセッサ」という）と、
   メモリ及び入出力装置と、
   前記第１類及び第２類プロセッサ間の通信を制御するプロセッサ間通信手段と、
   前記第２類プロセッサによる前記メモリ及び／又は前記入出力装置へのアクセスを、前記第２の類の処理の信頼度に応じて制限するアクセス制御手段と、
   を備えている、ことを特徴とする情報処理装置。
7. 前記第１類プロセッサを複数備え、前記第２類プロセッサを複数備えている、ことを特徴とする請求項６記載の情報処理装置。
8. 前記第２類プロセッサは、前記第１類プロセッサが実行する前記第１の類の処理よりも信頼度の低い処理を少なくとも１以上実行する、ことを特徴とする請求項６に記載の情報処理装置。
9. 前記第１の類の処理は、ベンダー提供の基本処理を含み、
   前記第２の類の処理は、ネットワーク又は記憶媒体よりダウンロードされた追加処理を含む、ことを特徴とする請求項６記載の情報処理装置。
10. 前記第２の類の処理は、前記第２類プロセッサで実行されるデバイスドライバ、及び／又はアプリケーション・プログラムを含む、ことを特徴とする請求項６記載の情報通信装置。
11. 前記プロセッサ間通信手段として、前記第１類プロセッサ側から前記第２類プロセッサへ情報を受け渡すためのプロセッサ間の通信を行うプロセッサ間通信手段と、
    前記第２類プロセッサ側から前記第１類プロセッサへ情報を受け渡すためのプロセッサ間の通信を行うプロセッサ間通信手段と、
    を備えている、ことを特徴とする請求項６記載の情報処理装置。
12. 前記プロセッサ間通信手段は、情報の送リ手側のプロセッサからの割り込み要求を受け、前記情報の受け手側のプロセッサに割り込みを発行する割り込み制御情報処理装置を備えている、ことを特徴とする請求項６記載の情報処理装置。
13. 前記プロセッサ間通信手段は、
    割り込み先のプロセッサに対応させて、割り込み制御情報処理装置と、共有メモリと、
    を備え、
    前記割り込み制御情報処理装置は、割り込み要求元のプロセッサからの割り込み要求を受け付け、前記割り込み先のプロセッサに割り込み要求を行う割り込み指示部と、
    前記割り込み指示部での割り込み要求を保持する割り込み保持部と、
    前記割り込み先のプロセッサからの割り込み処理の完了通知を受けて割り込みを取り消す割り込み取り消し部と、
    を備え、
    前記共有メモリは、前記割り込み要求元のプロセッサから前記割り込み先のプロセッサに転送するデータを格納する通信領域と、
    前記通信領域の排他制御を行う排他制御領域と、
    を備えている、ことを特徴とする請求項６記載の情報処理装置。
14. 前記アクセス制御手段は、アクセス許可データを記憶する手段と、
    前記第２類プロセッサからの前記メモリ及び／又は前記入出力装置へのアクセスを監視し、前記アクセス許可データを参照して、前記アクセスの許可の有無を判別するアクセス許可手段と、
    を備えている、ことを特徴とする請求項６記載の情報処理装置。
15. 前記アクセス許可データを記憶する手段は、前記第２類プロセッサに関して、アクセスを許可するプロセッサに対応させて、アクセスが許可されるアドレス範囲と、前記アドレス範囲に対して許可されたアクセス種別に関する情報を格納している、ことを特徴とする請求項１４記載の情報処理装置。
16. 前記アクセス許可データを記憶する手段は、前記第２類プロセッサに関して、アクセスを不許可とするプロセッサに対応させて、アクセスが不許可されるアドレス範囲と、前記アドレス範囲に対して不許可とされるアクセス種別に関する情報を格納している、ことを特徴とする請求項１４記載の情報処理装置。
17. 前記第１類プロセッサによる前記アクセス許可データの書き込み及び読み出しは可とされ、
    前記アクセス許可手段からは、前記アクセス許可データの読み出しのみが可とされ、
    前記第２類プロセッサによる前記アクセス許可データの読み出し及び書き込みは不可とされる、ことを特徴とする請求項１４記載の情報処理装置。
18. 前記アクセス制御手段が、前記第２類プロセッサのアクセスアドレスに関する情報とアクセス許可に関する情報とを対応して格納するキャッシュメモリを備えている、ことを特徴とする請求項１４記載の情報処理装置。
19. 前記アクセス制御手段は、アクセス許可データの更新を行うアクセス許可データ更新手段を有することを特徴とする請求項１４に記載の情報処理装置。
20. 予め定められた第３類の処理を実行する、少なくとも１つのプロセッサ（「第３類プロセッサ」という）と、
    前記第２類及び第３類プロセッサ間で通信を行うプロセッサ間通信手段と、
    前記第３類プロセッサによる前記第１類プロセッサに接続するメモリ及び／又は入出力情報処理装置へのアクセスを、前記第３の類の処理の信頼度に応じて制限する第２のアクセス制御手段と、
    をさらに備えている、ことを特徴とする請求項６記載の情報処理装置。
21. 予め定められた第３類の処理を実行する、少なくとも１つのプロセッサ（「第３類プロセッサ」という）と、
    前記第２類及び第３類プロセッサ間で通信を行うプロセッサ間通信手段と、
    を備え、
    前記第１類乃至第３類プロセッサの各々は、それぞれバスを介して、接続されるメモリ及び入出力装置を備え、
    前記第２類プロセッサによる前記第１類プロセッサに接続する前記メモリ及び／又は前記入出力装置へのアクセスは、前記アクセス制御手段により前記第２の類の処理の信頼度に応じて制限され、
    前記第３類プロセッサによる前記第１類プロセッサに接続するメモリ及び／又は入出力情報処理装置へのアクセス、及び／又は、前記第２類プロセッサに接続する前記メモリ及び／又は前記入出力装置へのアクセスは、第２のアクセス制御手段により前記第３の類の処理の信頼度に応じて制限されることを特徴とする請求項６記載の情報処理装置。
22. 前記第３類プロセッサは、前記第２類プロセッサが実行する前記第２の類の処理よりも信頼度の低い処理を少なくとも１以上実行する、ことを特徴とする請求項２０又は２１に記載の情報処理装置。
23. 請求項６に記載の情報処理装置を複数備える情報処理装置であって、前記情報処理装置のそれぞれが異なるチップ内に構成されていることを特徴とする情報処理装置。
24. 請求項２３に記載の情報処理装置であって、前記チップ間に構成され、メモリ/入出力装置へのアクセス許可を前記チップに構成された前記情報処理装置に属する処理の信頼度に応じて制限するアクセス制限手段を有することを特徴とする情報処理システム。
25. 基本ソフトウエア環境と、
    外部デバイス、及び／又はファイルシステムと、
    オペレーティングシステムと、
    を備え、
    ダウンロードされたデータのセキュリティ情報を格納するセキュリティポリシーデータベースと、
    ネイティブコードのダウンロードデータのダウンロードを制御するネイティブコードダウンロード管理手段と、
    を備えた基本ドメインと、
    ネイティブコードのダウンロードプログラムの実行を制御するネイティブコードダウンロード実行手段と、
    オペレーティングシステムと、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できると判定された、ダウンロードされたアプリケーション・プログラム（「信頼アプリケーション・プログラム」という）を実行し、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できると判定された、ダウンロードされたデバイスドライバ（「信頼ドライバ」という）を前記オペレーティングシステムにインストールし、前記信頼ドライバにより予め用意された許可された外部デバイスにアクセスし、信頼できる追加処理を実行する信頼拡張ドメインと、
    を備え、
    前記基本ドメインは前記第１類プロセッサに実装され、
    前記信頼拡張ドメインは前記第２類プロセッサに実装される、ことを特徴とする請求項６記載の情報処理装置。
26. 基本ソフトウエア環境と、
    外部デバイス、及び／又はファイルシステムと、
    オペレーティングシステムと、
    を備え、
    ダウンロードされたデータのセキュリティ情報を格納するセキュリティポリシーデータベースと、
    ネイティブコードのダウンロードデータのダウンロードを制御するネイティブコードダウンロード管理手段と、
    を備えた基本ドメインと、
    ネイティブコードのダウンロードプログラムの実行を制御するネイティブコードダウンロード実行手段と、
    オペレーティングシステムと、
    を備え、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できると判定された、ダウンロードされたアプリケーション・プログラム（「信頼アプリケーション・プログラム」という）を実行し、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できると判定された、ダウンロードされたデバイスドライバ（「信頼ドライバ」という）を前記オペレーティングシステムにインストールし、前記信頼ドライバにより、予め用意された許可された外部デバイスにアクセスし、信頼できる追加処理を実行する信頼拡張ドメインと、
    ネイティブコードのダウンロードプログラムの実行を制御するネイティブコードダウンロード実行手段と、
    オペレーティングシステムと、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できないと判定された、ダウンロードされたアプリケーション・プログラム（「無信頼アプリケーション・プログラム」という）を実行し、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できないと判定された、ダウンロードされたデバイスドライバ（「無信頼ドライバ」という）を前記オペレーティングシステムにインストールし、前記デバイスドライバにより予め用意された許可された外部デバイスにアクセスし、無信頼の追加処理を実行する無信頼拡張ドメインと、
    を備え、
    前記基本ドメインは前記第１類プロセッサに実装され、
    前記信頼拡張ドメインは前記第２類プロセッサに実装され、
    前記無信頼拡張ドメインは前記第３類プロセッサに実装される、ことを特徴とする請求項２０又は２１記載の情報処理装置。
27. 前記基本ドメインの外部デバイスからダウンロードデータが入力されると、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードデータの証明書をチェックし、チェックの結果、正しい証明書であると判定した場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に、前記ダウンロードデータを送信し、
    一方、前記チェックの結果、証明書がないか、あるいは証明書の内容が正しくない場合には、前記無信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に、前記ダウンロードデータを送信する、ことを特徴とする請求項２６記載の情報処理装置。
28. 前記基本ドメインの外部デバイスからダウンロードデータが入力され、前記基本機能が、前記ダウンロードデータをダウンロードアプリケーション・プログラムと認識した場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードアプリケーション・プログラムの証明書をチェックし、チェックの結果、正しい証明書と判定した場合、前記ダウンロードアプリケーション・プログラムを、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に送信する、ことを特徴とする請求項２５又は２６記載の情報処理装置。
29. 前記基本ドメインの外部デバイスからダウンロードデータが入力される、前記基本機能が、前記ダウンロードデータをダウンロードドライバと認識した場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードドライバの証明書をチェックし、チェックの結果、正しい証明書と判定した場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に前記ダウンロードドライバを送信し、
    前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段は、前記ダウンロードドライバを、前記信頼拡張ドメインのオペレーティングシステムにインストールする、ことを特徴とする請求項２５又は２６記載の情報処理装置。
30. 前記基本ドメインの外部デバイスからダウンロードデータが入力され、前記基本機能が、前記ダウンロードデータをダウンロードアプリケーション・プログラムと認識した場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードアプリケーション・プログラムの証明書をチェックし、チェックの結果、証明書がないか、証明書の内容が正しくない場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段を介して、前記無信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に、前記アプリケーション・プログラムを送信する、ことを特徴とする請求項２６記載の情報処理装置。
31. 前記基本ドメインの外部デバイスから、ダウンロードデータが入力され、前記基本機能が、前記ダウンロードデータをダウンロードドライバと認識した場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードドライバの証明書をチェックし、チェックの結果、証明書がないか、証明書の内容が正しくない場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段を介して、前記無信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に、前記ダウンロードドライバを送信し、
    前記無信頼拡張ドメインの前記ネイティブコードダウンロード実行手段は、前記ダウンロードドライバを、前記無信頼拡張ドメインのオペレーティングシステムにインストールする、ことを特徴とする請求項２６記載の情報処理装置。
32. 前記信頼拡張ドメインが、前記基本ドメインの基本ソフトウェア環境の基本機能への要求を発行する処理群をライブラリとして含む基本機能ライブラリを備え、
    前記信頼拡張ドメインにダウンロードされたアプリケーション・プログラムからの要求を受けて、前記信頼拡張ドメインの前記基本機能ライブラリは、前記基本ドメインの前記ネイティブコードダウンロード管理手段に要求を送信し、
    前記基本ドメインの前記ネイティブコードダウンロード管理手段は、前記信頼拡張ドメインより受信した要求が適正であるか確認し、要求が正しい場合、前記基本ソフトウェア環境の基本機能へ処理を依頼する、ことを特徴とする請求項２５又は２６記載の情報処理装置。
33. 前記基本ドメインの前記基本機能は、要求を処理し、処理の完了を前記基本ドメインの前記ネイティブコードダウンロード管理手段に通知し、
    前記基本ドメインの前記ネイティブコードダウンロード管理手段は、前記信頼拡張ドメインの基本機能ライブラリに完了を通知し、前記基本機能ライブラリから前記アプリケーション・プログラムに処理の完了が通知される、ことを特徴とする請求項３２記載の情報通信情報処理装置。
34. 前記信頼拡張ドメインが、前記基本ドメインの基本ソフトウェア環境の基本機能への要求を発行する処理群をライブラリとして含む基本機能ライブラリを備え、
    前記無信頼拡張ドメインにダウンロードされたアプリケーション・プログラムから、前記信頼拡張ドメインのアプリケーション・プログラムにデータを送信し、
    前記信頼拡張ドメインの前記アプリケーション・プログラムは、前記基本機能ライブラリに対して、前記無信頼拡張ドメインのダウンロードアプリケーション・プログラムからのデータを含む要求を発行し、
    前記基本機能ライブラリは、前記信頼拡張ドメインの前記アプリケーション・プログラムからの要求を受けて、前記基本ドメインの前記ネイティブコードダウンロード管理手段に対して要求を送信し、
    前記基本ドメインの前記ネイティブコードダウンロード管理手段は、受信した要求が適正であるか確認し、前記要求が適正な場合、ユーザに確認を求め、前記ユーザの確認結果が可の場合、前記基本ソフトウェア環境の基本機能へ処理を依頼し、
    一方、前記ユーザの確認結果が不許可の場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段は、前記基本機能ライブラリに、不許可を通知する、ことを特徴とする請求項２６記載の情報処理装置。
35. 前記基本機能は、要求を処理し、処理の完了を前記基本ドメインの前記ネイティブコードダウンロード管理手段に通知し、前記基本ドメインの前記ネイティブコードダウンロード管理手段は、前記信頼拡張ドメインの基本機能ライブラリに完了を通知し、前記基本機能ライブラリから前記ダウンロードアプリケーション・プログラムに処理の完了が通知され、前記ダウンロードアプリケーション・プログラムは、前記無信頼拡張ドメインの前記ダウンロードアプリケーション・プログラムに処理の完了を通知する、ことを特徴とする請求項３４記載の情報処理装置。
36. 前記基本ドメイン及び前記信頼拡張ドメインが、仮想デバイスを、実ハードウエアデバイスにマッピングする仮想マシンモニタを備え、ファイルシステム、デバイス、ＣＰＵが仮想化されている、ことを特徴とする請求項２５記載の情報処理装置。
37. 前記基本ドメイン、前記信頼拡張ドメイン、前記無信頼拡張ドメインが、仮想デバイスを、実ハードウエアデバイスにマッピングする仮想マシンモニタを備え、ファイルシステム、デバイス、ＣＰＵが仮想化されている、ことを特徴とする請求項２６記載の情報通信情報処理装置。
38. 前記基本ドメインの仮想マシンモニタが、前記信頼拡張ドメイン又は前記無信頼拡張ドメインの仮想マシンモニタに、ＣＰＵ資源の委譲を要求し、
    前記信頼拡張ドメイン又は前記無信頼拡張ドメインの仮想マシンモニタは、前記基本ドメインの仮想マシンモニタに委譲できるＣＰＵを通知し、
    前記基本ドメインの仮想マシンモニタは、前記基本ドメインの仮想ＣＰＵの資源を増やす、ことを特徴とする請求項３６又は３７記載の情報処理装置。
39. 前記ドメインのプロセッサのそれぞれの群において、分離手段を介して、複数に分離可能とされている、ことを特徴とする請求項２５又は２６記載の情報処理装置。
40. 前記基本ドメインのプロセッサが、他のドメインのプロセッサを管理する、ことを特徴とする請求項２５又は２６記載の情報処理装置。
41. 実行するプログラムの信頼度に応じて複数のドメインに分けられ、異なるドメインに属するプロセッサ同士が、データ又はコマンドを、プロセッサ間通信手段を介して相互に送信する工程と、
    一定の信頼度より低いプログラムを少なくとも１以上実行するドメインに属するプロセッサによる前記一定の信頼度以上のプログラムを実行するドメインに属するメモリ及び／又は入出力装置へのアクセスを、一定の信頼度より低いプログラムを少なくとも１以上実行するドメインの信頼度に従って制限する工程と、を含むことを特徴とするプログラム実行制御方法。
42. 基本ソフトウエア環境と、
    外部デバイス、及び／又はファイルシステムと、
    オペレーティングシステムと、
    を備え、
    ダウンロードされたデータのセキュリティ情報を格納するセキュリティポリシーデータベースと、
    ネイティブコードのダウンロードデータのダウンロードを制御するネイティブコードダウンロード管理手段と、
    を備えた基本ドメインと、
    ネイティブコードのダウンロードプログラムの実行を制御するネイティブコードダウンロード実行手段と、
    オペレーティングシステムと、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できると判定された、ダウンロードされたアプリケーション・プログラム（「信頼アプリケーション・プログラム」という）を実行し、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できると判定された、ダウンロードされたデバイスドライバ（「信頼ドライバ」という）を前記オペレーティングシステムにインストールし、前記信頼ドライバにより予め用意された許可された外部デバイスにアクセスし、信頼できる追加処理を実行する信頼拡張ドメインと、
    を有する情報処理システムによるプログラム実行環境制御方法であって、
    基本ドメインと信頼拡張ドメイン間のプロセッサ同士は、プロセッサ間通信手段を介して、相互に通信する工程と、
    前記信頼拡張ドメインに属するプロセッサによる前記基本ドメインのメモリ及び／又は入出力装置へのアクセスを、アクセス制御手段によって、制限する工程と、
    を含む、ことを特徴とするプログラム実行環境制御方法。
43. 基本ソフトウエア環境と、
    外部デバイス、及び／又はファイルシステムと、
    オペレーティングシステムと、
    を備え、
    ダウンロードされたデータのセキュリティ情報を格納するセキュリティポリシーデータベースと、
    ネイティブコードのダウンロードデータのダウンロードを制御するネイティブコードダウンロード管理手段と、
    を備えた基本ドメインと、
    ネイティブコードのダウンロードプログラムの実行を制御するネイティブコードダウンロード実行手段と、
    オペレーティングシステムと、
    を備え、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できると判定された、ダウンロードされたアプリケーション・プログラム（「信頼アプリケーション・プログラム」という）を実行し、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できると判定された、ダウンロードされたデバイスドライバ（「信頼ドライバ」という）を前記オペレーティングシステムにインストールし、前記信頼ドライバにより、予め用意された許可された外部デバイスにアクセスし、信頼できる追加処理を実行する信頼拡張ドメインと、
    ネイティブコードのダウンロードプログラムの実行を制御するネイティブコードダウンロード実行手段と、
    オペレーティングシステムと、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できないと判定された、ダウンロードされたアプリケーション・プログラム（「無信頼アプリケーション・プログラム」という）を実行し、
    前記基本ドメインのネイティブコードダウンロード管理手段により、信頼できないと判定された、ダウンロードされたデバイスドライバ（「無信頼ドライバ」という）を前記オペレーティングシステムにインストールし、前記デバイスドライバにより予め用意された許可された外部デバイスにアクセスし、無信頼の追加処理を実行する無信頼拡張ドメインと、
    を有する情報処理システムによるプログラム実行環境制御方法であって、
    前記基本ドメインと、前記信頼拡張ドメインと、無信頼拡張ドメインの各ドメイン間のプロセッサ同士は、プロセッサ間通信手段を介して、相互に通信する工程と、
    前記信頼拡張ドメインに属するプロセッサによる前記基本ドメインのメモリ及び／又は入出力装置へのアクセスを、第１のアクセス制御手段によって、制限する工程と、
    前記無信頼拡張ドメインに属するプロセッサによる前記基本ドメインのメモリ及び／又は入出力装置へのアクセスを、第２のアクセス制御手段によって、制限する工程と、
    を含む、ことを特徴とするプログラム実行環境制御方法。
44. 前記基本ドメインの外部デバイスからダウンロードデータが入力されると、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードデータの証明書をチェックする工程と、
    チェックの結果、正しい証明書であると判定した場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段にダウンロードデータを送信する工程と、
    を含む、ことを特徴とする請求項４２記載のプログラム実行環境制御方法。
45. 前記基本ドメインの外部デバイスからダウンロードデータが入力されると、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードデータの証明書をチェックする工程と、
    前記チェックの結果、正しい証明書であると判定した場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に前記ダウンロードデータを送信する工程と、
    前記チェックの結果、証明書がないか、あるいは証明書の内容が正しくない場合には、前記無信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に、前記ダウンロードデータを送信する工程と、
    を含む、ことを特徴とする請求項４２記載のプログラム実行環境制御方法。
46. 前記基本ドメインの外部デバイスからダウンロードデータが入力され、前記基本機能が、前記ダウンロードデータをダウンロードアプリケーション・プログラムと認識した場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードアプリケーション・プログラムの証明書をチェックする工程と、
    前記チェックの結果、正しい証明書と判定した場合、前記ダウンロードアプリケーション・プログラムを、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に前記ダウンロードアプリケーション・プログラムを送信する工程と、
    を含む、ことを特徴とする請求項４２又は４３記載のプログラム実行環境制御方法。
47. 前記基本ドメインの外部デバイスからダウンロードデータが入力される、前記基本機能が、前記ダウンロードデータをダウンロードドライバと認識した場合、前記ネイティブコードダウンロード管理手段が、ダウンロードドライバの証明書をチェックする工程と、
    前記チェックの結果、正しい証明書と判定した場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段にダウンロードドライバを送信する工程と、
    前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段は、前記ダウンロードドライバを、前記信頼拡張ドメインのオペレーティングシステムにインストールする工程と、
    を含む、ことを特徴とする請求項４２又は４３記載のプログラム実行環境制御方法。
48. 前記基本ドメインの外部デバイスからダウンロードデータが入力され、前記基本機能が、前記ダウンロードデータをダウンロードアプリケーション・プログラムと認識した場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、ダウンロードアプリケーション・プログラムの証明書をチェックする工程と、
    前記チェックの結果、証明書がないか、証明書の内容が正しくない場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段を介して、前記無信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に、前記ダウンロードアプリケーション・プログラムを送信する工程と、
    を含む、ことを特徴とする請求項４３記載のプログラム実行環境制御方法。
49. 前記基本ドメインの外部デバイスから、ダウンロードデータが入力され、前記基本機能が、前記ダウンロードデータをダウンロードドライバと認識した場合、前記基本ドメインの前記ネイティブコードダウンロード管理手段が、前記ダウンロードドライバの証明書をチェックする工程と、
    前記チェックの結果、証明書がないか、証明書の内容が正しくない場合、前記信頼拡張ドメインの前記ネイティブコードダウンロード実行手段を介して、前記無信頼拡張ドメインの前記ネイティブコードダウンロード実行手段に、前記ダウンロードドライバを送信する工程と、
    前記無信頼拡張ドメインの前記ネイティブコードダウンロード実行手段は、前記ダウンロードドライバを、前記無信頼拡張ドメインのオペレーティングシステムにインストールする工程と、
    を含む、ことを特徴とする請求項４３記載のプログラム実行環境制御方法。
50. 前記信頼拡張ドメインに、前記基本ドメインの基本ソフトウェア環境の基本機能への要求を発行する処理群を、ライブラリとして含む基本機能ライブラリを設けておき、
    前記信頼拡張ドメインにダウンロードされたアプリケーション・プログラムからの要求を受けて、前記基本機能ライブラリは、前記基本ドメインの前記ネイティブコードダウンロード管理手段に対して要求を送信する工程と、
    前記基本ドメインの前記ネイティブコードダウンロード管理手段は、前記信頼拡張ドメインより受信した要求が適正であるか確認し、前記要求が適正である場合、前記基本ソフトウェア環境の基本機能へ処理を依頼する工程と、
    を含む、ことを特徴とする請求項４２又は４３記載のプログラム実行環境制御方法。
51. 前記基本ドメインの前記基本機能は、要求を処理し、処理の完了を前記基本ドメインの前記ネイティブコードダウンロード管理手段に通知する工程と、
    前記基本ドメインの前記ネイティブコードダウンロード管理手段は、前記信頼拡張ドメインの基本機能ライブラリに完了を通知し、前記基本機能ライブラリから前記アプリケーション・プログラムに処理の完了が通知される工程と、
    を含む、ことを特徴とする請求項５０記載のプログラム実行環境制御方法。
52. 前記信頼拡張ドメインに、前記基本ドメインの基本ソフトウェア環境の基本機能への要求を発行する処理群を、ライブラリとして含む基本機能ライブラリを設けておき、
    前記無信頼拡張ドメインにダウンロードされたアプリケーション・プログラムから、前記信頼拡張ドメインのアプリケーション・プログラムにデータを送信する工程と、
    前記信頼拡張ドメインの前記アプリケーション・プログラムは、前記基本機能ライブラリに対して、前記無信頼拡張ドメインのダウンロードアプリケーション・プログラムからのデータを含む要求を発行する工程と、
    前記信頼拡張ドメインの前記アプリケーション・プログラムからの前記要求を受け、前記基本機能ライブラリは、前記基本ドメインの前記ネイティブコードダウンロード管理手段に要求を送信する工程と、
    前記基本ドメインの前記ネイティブコードダウンロード管理手段は、受信した要求が適正であるか確認する工程と、
    前記確認の結果、前記要求が適正である場合、ユーザに確認を求め、前記ユーザの確認結果が可の場合、前記基本ソフトウェア環境の基本機能へ処理を依頼する工程と、
    一方、前記ユーザの確認結果が不許可の場合、前記ネイティブコードダウンロード管理手段は、前記基本機能ライブラリに、不許可を通知する工程と、
    を含む、ことを特徴とする請求項４３記載のプログラム実行環境制御方法。
53. 基本機能は、要求を処理し、処理の完了を前記基本ドメインの前記ネイティブコードダウンロード管理手段に通知する工程と、
    前記基本ドメインの前記ネイティブコードダウンロード管理手段は、前記信頼拡張ドメインの基本機能ライブラリに完了を通知する工程と、
    前記基本機能ライブラリから前記ダウンロードアプリケーション・プログラムに処理の完了が通知される工程と、
    前記ダウンロードアプリケーション・プログラムは、前記無信頼拡張ドメインの前記ダウンロードアプリケーション・プログラムに処理の完了を通知する工程と、
    を含む、ことを特徴とする請求項５２記載のプログラム実行環境制御方法。
54. 前記基本ドメイン及び前記信頼拡張ドメインが、仮想デバイスを、実ハードウエアデバイスにマッピングする仮想マシンモニタにより、ファイルシステム、デバイス、ＣＰＵが仮想化されている、ことを特徴とする請求項４２記載のプログラム実行環境制御方法。
55. 前記基本ドメイン、前記信頼拡張ドメイン、前記無信頼拡張ドメインが、仮想デバイスを、実ハードウエアデバイスにマッピングする仮想マシンモニタを備え、ファイルシステム、デバイス、ＣＰＵが仮想化されている、ことを特徴とする請求項４３記載のプログラム実行環境制御方法。
56. 前記基本ドメインの仮想マシンモニタが、前記信頼拡張ドメインの仮想マシンモニタに、ＣＰＵ資源の委譲を要求する工程と、
    前記信頼拡張ドメインの仮想マシンモニタは、前記基本ドメインの仮想マシンモニタに委譲できるＣＰＵを通知する工程と、
    を含み、
    前記基本ドメインの仮想マシンモニタは、前記基本ドメインの仮想ＣＰＵの資源を増やす、ことを特徴とする請求項５４又は５５記載のプログラム実行環境制御方法。
57. 前記基本ドメインの仮想マシンモニタが、前記信頼拡張ドメイン及び／又は前記無信頼拡張ドメインの仮想マシンモニタに、ＣＰＵ資源の委譲を要求する工程と、
    前記信頼拡張ドメイン及び／又は前記無信頼拡張ドメインの仮想マシンモニタは、前記基本ドメインの仮想マシンモニタに委譲できるＣＰＵを通知する工程と、
    を含み、
    前記基本ドメインの仮想マシンモニタは、前記基本ドメインの仮想ＣＰＵの資源を増やす、ことを特徴とする請求項５５記載のプログラム実行環境制御方法。
58. 基本ソフトウエア環境と、
    外部デバイス、及び／又はファイルシステムと、
    オペレーティングシステムと、
    を備え、
    ダウンロードされたデータのセキュリティ情報を格納するセキュリティポリシーデータベースと、
    ネイティブコードのダウンロードデータのダウンロードを制御するネイティブコードダウンロード管理手段と、
    を備え、
    前記ネイティブコードダウンロード管理手段は、ダウンロードされたプログラムの証明書に基づき、前記ダウンロードされたプログラムの信頼度を判別し、前記判別結果に基づき、実行するプログラムの信頼度により定められた１又は複数のドメインへの要求の可否、又は要求内容を判断する、ことを特徴とするプログラム実行環境制御情報処理装置。
59. 複数のプロセッサを備え、
    前記複数のプロセッサは、第１のドメインを構成するプロセッサと、前記第１のドメインとは異なる第２のドメインを構成するプロセッサと、を含み、
    前記第２のドメインは、前記第１のドメインに属するプロセッサが実行する処理よりも信頼度の低い処理を、少なくとも１以上有するプロセッサを含み、
    前記第１のドメインと前記第２のドメインのプロセッサ同士の通信を制御するプロセッサ間通信手段と、
    前記第２のドメインに属するプロセッサによる前記第１のドメインに属するメモリ及び／又は入出力装置へのアクセスを、前記第２のドメインで実行される処理の信頼度に応じて制限するアクセス制御手段と、
    を備えている、ことを特徴とする携帯情報端末。
60. 複数のプロセッサを備え、
    実行する処理の信頼度に応じて、前記複数のプロセッサが、複数のドメインを構成し、
    異なるドメイン間のプロセッサ同士は、プロセッサ間通信手段を介して、相互に通信し、
    セキュリティの相対的に低い処理を実行するドメインに属するプロセッサによるセキュリティの相対的に高い処理を実行するドメインに属するメモリ及び／又は入出力装置へのアクセスを制御するアクセス制御手段を備えている、ことを特徴とする情報通信装置。
61. 予め定められた第１の類の処理を実行する、少なくとも１つのプロセッサ（「第１類プロセッサ」という）と、
    前記第１の類の処理と異なる予め定められた第２の類の処理を実行する、少なくとも１つのプロセッサ（「第２類プロセッサ」という）と、
    メモリ及び入出力装置と、
    前記第１類及び第２類プロセッサ間の通信を制御するプロセッサ間通信手段と、
    前記第２類プロセッサによる前記メモリ及び／又は前記入出力装置へのアクセスを制御するアクセス制御手段と、
    を備えている、ことを特徴とする情報通信装置。
    

Images