WO2005114353A1 - プログラム実行制御装置及びプログラム実行制御方法 - Google Patents

Abstract

　検査後に不正なプログラムに書き換えられたとしても、そのプログラムの実行を防ぐことができ、また、いつの時点で、どのプログラムが不正に書き換えられたかを容易に確認することができるプログラム実行制御装置及びプログラム実行制御方法を提供することを目的とする。 　本発明のプログラム実行制御装置は、プログラムを格納するフラッシュメモリ１０１と、前記プログラムの不正の有無を検査する検査時点を検出する条件検出部１０３と、前記検査時点で、前記不正の有無を検査する不正検査部１０４と、前記検査結果に応じて、前記プログラムを実行するか否かを制御する実行制御部１０５と、前記実行制御部１０５の結果に応じて、前記プログラムを実行するＣＰＵ１０２とを備える。

Description

プ グラム ] プ グラム ] 分野

０００1 、不正なプ グラムの 行を防止するプ グラム 置及びプ グ ラム 御方法に関する。

０００2 来、プ グラムを 納し、格納したプ グラムの 去及び書き換えをすることがで きる りと、メ りに プ グラムの 令を解釈し実行する P とを含む ステムを、意図しな 不正なプ グラムの 行 ら保護する方法として、実行するプ グラムを 納する りの き換えを所定の 法で保護することで、不正なプ グラム の き換えを防止し、不正なプ グラムの 行を防止する の ( えば、

)と、メ りに 納されたプ グラムを ステムの または ド ウ ア セット後に所定の 法で検査し、正常と判定されたプ グラムのみを P で 実行することで、不正なプ グラムの 行を防止する 2の ( えば、特許 または特許 2を参照)が知られて る。

０００3 の 法として、例えば、 S C 製の ラッ メ S2g 5 2 に されて るプ テクト 能が知られており、所定の ンドを実行することにより不 正な書き換え ら保護する恒久プ テクト 、使用者が定義した スワ ドにより不正 な書き換え ら保護する スワ ドプ テクトなどが知られて る。

０００4 2の 法として、特許 に記載された発明は、 ステムを作動さ るためのプ グラムを 納する外部 O と、情報 き込み後に消去・ き込みができな なる よ 成された内蔵P O と、 P とを含む 置にお て、電源 または ド ウ ア セット後に、内蔵P O に 納されたプ グラムにより、外部 O のデ タ を検査して、正常であれば外部 O のプ グラムを実行し、異常であれば 査を繰 り返すと ものである。

０００5 また、 2の 法として、特許 2に記載された発明は、 セ ジ・ダイジ スト 理された実行プ グラムを 納する りと、メッセ ジ・ダイジ スト 理し、プ グ を実行する 理部と、を含む 置にお て、電源 または ドウ ア セット 後に、メッセ ジ・ダイジ スト 法に 所定の プ グラムを検査し、正常であ れば プ グラムを実行し、異常であれば プ グラムを停止すると もので ある。

1 S2gG o ラッ ァ デ タ ト

J2763 1 行日 2 3 2 5 (2763 Oc 6、 3 45 セクタプ テクト

1 9 3259 4

2 39 58

の

が解 しよ とする

０００6 し しながら、特許 、2に記載された発明は、メ りに 納されて るプ グラ ムの 査を電源 入後または ドウ ア セット後に実施し、その 点以外の 査 を実施しな 。 年の Sを用 た ステムでは、電源 または ドウ ア セッ ト後にOS(O e a S s e ) プ グラム 制御するプ グラムが最初 に実行され、その後で S上で動作するアプ ケ ョン・プ グラムが実行される 成されて るため、検査後にネットワ ク またはC O などの 体 ら不正なアプ ケ ョ ・プ グラムやその他の不正なプ グラムが りに 納さ れた場合、ある は、検査後に不正なプ グラムが 納された別の りに物理的に 取り替えられた場合、不正なプ グラムを発見することができず、結果として不正なプ グラムの 行を許してしま ことになる。

０００7 また、検査後に不正なプ グラムが りに 納されても、不正なプ グラムを発見 できな ため、 の 点で、どのプ グラムが不正に書き換えられた を確認する ことができな た。

０００8 、上記の 題を解決するもので、どの 点で不正なプ グラムに書き換え られたとしても、その 正なプ グラムの 行を防ぐことができるプ グラム

置及びプ グラム 御方法を提供することを目的とする。

０００9 また、 、 の 点で、どのプ グラムが不正なプ グラムに書き換えられ た を容易に確認することができるプ グラム 置及びプ グラム 御 方法を提供することを目的とする。

題を解決するための

００1０ 明のプ グラム 、プ グラムを 納する りと、前記プ グラ ムの 正の 無を検査する検査 点を検出する検出 段と、前記 点で、前 記 正の 無を検査する検査 段と、前記 段により判断された不正 しのプ グラムを実行するよ 御する制御手段と、前記 しのプ グラムを実行する 実行 段と、を備える。

００11 また、 明のプ グラム 、前記 御手段が、前記 段により 判断された不正 りのプ グラムを実行さ な よ 、前記 段が、前記 りのプ グラムを実行しな 。

００12 明のプ グラム 御方法は、メ りに 納されたプ グラムの 正の 無 を検査する検査 点を検出する検出ステップ 、前記 点で、前記 正の 無 を検査する検査ステップ 、前記 ステップにより判断された不正 しのプ グラム を実行するよ 御する制御ステップ 、前記 しのプ グラムを実行する実行 ステップ 、を備える。

００13 また、 明のプ グラム 御方法は、前記 ステップが、前記 ステッ プにより判断された不正 りのプ グラムを実行さ な よ 、前記 ステッ プが、前記 りのプ グラムを実行しな 。

００14 来、固定の 点でのみプ グラムの 正の 無を検査して たため、不正なプ グラムを発見できな ことがあ たが、この 成によれば、任意の 点でプ グ ラムの 正の 無を検査するため、不正なプ グラムを見落とすことな 発見できる。 ００15 また、 明のプ グラム 、前記 段が、所定の 点を検出 する。

００16 また、 明のプ グラム 御方法は、前記 ステップが、所定の 点を検 出する。

００17 この 成によれば、 定した 数の 点でプ グラムの 正の 無を検査す るため、不正なプ グラムを 率的に発見できる。 ００18 また、 明のプ グラム 、前記 段が、前記プ グラムが書 き換えられた時点を検出する。

００19 また、 明のプ グラム 御方法は、前記 ステップが、前記プ グラム が書き換えられた時点を検出する。

００2０ この 成によれば、プ グラムが書き換えられた全ての 点でプ グラムを検査す るため、不正なプ グラムに書き換えられた時点で 座に発見できる。

００2 また、 明のプ グラム 、前記 段が、一定 ごとの 点を検出する。

００22 また、 明のプ グラム 御方法は、前記 ステップが、一定 ごとの 点を検出する。

００23 この 成によれば、一定 ごとにプ グラムを検査するため、不正なプ グラムに 書き換えられても、効率的に不正なプ グラムを発見できる。

００24 また、 明のプ グラム 、前記 段による検査の 果を記 録する記録手段を備える。

００25 また、 明のプ グラム 御方法は、前記 ステップによる検査の 果を 記録する記録ステップを有する。

００26 この 成によれば、検査 段による検査結果を記録してお ことによ て、 の 点で、どのプ グラムが不正に書き換えられた を確認することができる。 ００27 また、 明のプ グラム 、前記 御手段が、前記 録手段に記 録された検査の 果を参照 、前記 しのプ グラムを実行するよ 御する。 ００28 また、 明のプ グラム 御方法は、前記 ステップが、記録された検査 の 果を参照 、前記 しのプ グラムを実行するよ 御する。

００29 また、 明のプ グラム 、前記 御手段が、前記 録手段に記 録された検査の 果を参照 、前記 りのプ グラムを実行さ な よ 御す る。

００3０ また、 明のプ グラム 御方法は、前記 ステップが、記録された検査 の 果を参照 、前記 りのプ グラムを実行さ な よ 御する。

００31 この 成によれば、記録された検査結果を参照して不正 しのプ グラムを実行す ることによ て、不正なプ グラムの 無を検査するたびに、プ グラムを実行する 否 を制御する必要が無 ため、効率的にプ グラムを実行することができる。 ００32 また、 明のプ グラム 、前記 りのプ グラムを実行する 否 を判定する判定 段を備え、前記 御手段が、実行すると判定された前記 りのプ グラムを実行するよ 御する。

００33 また、 明のプ グラム 御方法は、前記 りのプ グラムを実行する 否 を判定する判定ステップを有し、前記 ステップが、実行すると判定された 前記 りのプ グラムを実行するよ 御する。

００34 この 成によれば、不正されても影響が無 、 は、 プ グラムが不正な プ グラムに書き換えられても、そのプ グラムを実行するよ 御することによ て、 効率的にプ グラムを実行することができる。

の

００35 明のプ グラム 置及びプ グラム 御方法によれば、任意の 点でプ グラムの 正の 無を検査するため、不正なプ グラムを見落とすこ とな 発見し、不正なプ グラムの 行を防ぐことができる。

００36 また、 明のプ グラム 置及びプ グラム 御方法によれば、検 査 段による検査結果を記録してお ことによ て、 の 点で、どのプ グラムが 不正に書き換えられた を確認することができる。

００37 明に係る第 、 2の 施の 態のプ グラム 置を示す

2 明に係る第 、 2の 施の 態のプ グラム 置の

3 明に係る第3、4の 施の 態のプ グラム 置を示す 4 明に係る第3、4の 施の 態のプ グラム 置の

5 明に係る第5、6の 施の 態のプ グラム 置を示す 6 明に係る第5、6、 7、 8の 態のプ グラム 置の 7 明に係る第5、6の 施の 態のプ グラム 置の

8 明に係る第7、8の 施の 態のプ グラム 置を示す 9 明に係る第7、8の 施の 態のプ グラム 置の

1０ グラムが 納されて るメ イメ ジ

11 的にプ グラムが追加されたメ イメ ジ

号の

００38 ラッ メ

2 CP

3

4 査部

5

3 アクセス

5

5 2 メ

5 3

8 アクセス

9 き換え

2 りの

2 プ グラム

2 2

2 3

2 4 待値

3 プ グラム

3 2

するための 良の

００39 明のプ グラム 置及びプ グラム 御方法の 態に て、図面を参照しながら 明する。

００4０ ( の 施の )

００41 は、 明に係る第 の 施の 態のプ グラム 置を示す である。プ グラム 、実行するプ グラムを 納する ラッ メ と、プ グラムを実行するCP 2と、 ラッ メ がCP 2によ て書 き換えられたことを検出する条件 3と、条件 3が検出したときに ラッ メ に 納されて るプ グラムが不正 否 を検査する不正 査部 4と、不正 査部 4の 果に応じてプ グラムの 行を制御する実行 5とで構成されて る。

００42 ここで、不正なプ グラムとは、 明に係る実施の 態の 査部が一意に判 定することができるプ グラムのことである。 査部は、例えば、従来 ら知られ て るよ に、実行するプ グラムが 納された ラッ メ 上の全てのデ タを 加算した値と予 められて る正常な とを 較し、正常な と異な て た場合 、そのデ タを有するプ グラムを不正なプ グラム 判定する。 下の 明では、全 てこのよ な意味で不正なプ グラム 現を用 るものとする。

００43 、 メ イメ ジ図を用 て、 の 施の 態の 査部が不正 なプ グラムであると判定する検査方法に て詳細に説明する。

００44 は、プ グラムが 納されて るメ イメ ジ図である。 地 ら までが りの 2 であり、 地 ら

7 までにプ グラム 2 が 納されており、 8 地 ら までの 間には りの であるO が 納されて る。 はまず 域の値の総 2 2を算出する。 地の C ら 地のO までを加算すると 23 Cとなる。次に、 総和の 8ビットの 2 3を算出するとO Cとなる。この とあら じ

。 のメ イメ ジの 検査 2 3 2 4がO Cで一致するた め 査結果は正常と判定される。

００45 方、図 、 の りに動的にプ グラム 3 が追加されたメ イメ ジ 図である。 プ グラム 3 は、 の 間である 8 地 ら 納される。 納された 8 地 ら までであ る。 、 で説明した方法と同様に行 、検査 2 3 2 4が O Cで一致するため、検査結果は正常と判定される。プ グラムが追加されて る にも関わらず 常と判定される理由は、正常な プ グラム 3 は検査 2 3 期待値 2 4とを一致さ るための 3 2を備えて るためである。 プ グラム 3 の である 地のO が補正 3 2であるが、この

3 2を含めて 域の値の総 2 2を算出することで、検査 2 3 期 待値 2 4が一致する。 正に追加されたプ グラムの 、この 3 2で はな 、メ りの であるO のままである。このため、不正に追加されたプ グ ラムの 合、 地がO では検査 2 3が C2となり、期待値 2 4 異なるため、不正なプ グラム 判定される。

００46 なお、検査方法をあら じめ めてお た8 、 の 待値と、 ラッ メ

の 域の値の総和の 8ビットの とを 較して一致する ど で判定す る検査方法に限定して説明したが、その 旨を逸脱しな 範囲で した検査 方法を採用することができる。また、検査方法をプ グラムとして実装する場合は、プ グラムを読み出しできな りに 納する、 スク O に 納する、ある は検 査用の ドウ アとする、などの 応をとることで、検査方法の 読を防止する。 、上述のメ イメ ジ図を用 た検査方法は、以下で説明する実施の 態にお ても同じため、以下では説明を する。

００47 2は、 明に係る第 の 施の 態のプ グラム 置の 図 である。まず、条件 3が、 ラッ メ に 納されたプ グラムが P 2によ て書き換えられたことを検出する(ステップS2 )。ここで、条件

3がプ グラムの き換えを検出する方法として、本実施の 態では、 ラッ メ に対して書き換え ンドが発行され、書き換え 理が完了したことを検出 する。

００48 次に、上述の 査方法によ て、不正 査部 4が、 ラッ メ に書き換 えられたプ グラムが不正 否 を検査する(ステップS2 2)

００49 次に、不正 査部 4が、ステップS2 2における検査結果を実行 5に 伝える(ステップS2 3)。 5は、ステップS2 3で検査結果が正常と伝 えられたのであれば、 P 2を起動してプ グラムを実行さ る(ステップ 4) また、ステップS2 3で検査結果が不正と伝えられたのであれば、 P 2を停止す るなどの 御を〒 、不正と判定されたプ グラムをCP 2が実行しな よ にす る(ステップS2 5)

００5０ 上のよ に、 明に係る第 の 施の 態のプ グラム 置及びプ グラム 御方法によれば、 ラッ メ りに 納されたプ グラムが書き換えら れるごとに、プ グラムを検査することによ て、 ラッ メ りに 納されたプ グラ ムが不正なプ グラムに書き換えられたとしても、不正なプ グラムの 行を防止する ことができる。

００51 また、 ラッ メ がCP 2によ て書き換えられるタイ ングは、 ラッ メ の 域が初期 態でプ グラムが書き換えられた時、既存のプ グラ ムが動作した後で動的に別のプ グラムが追加されるタイ ングである。

００52 ( 2の 施の )

００53 2の 施の 態のプ グラム 置の 、 に示す の 施の 態のプ グラム 置の 成と同じである。 2の 施の 態のプ グラム 置が第 の 施の 態と異なるのは、条件 3がCP 2に内 蔵されるタイ らの 込み 号を検出することである。 査部 4は、条件 3がタイ らの 込み 号を検出したときに、 ラッ メ に 納さ れて るプ グラムが不正 否 を検査し、実行 5は、不正 査部 4の 果に応じてプ グラムの 行を制御するよ 構成されて る。

００54 また、 2の 施の 態のプ グラム 置の 図は、 2に示す の 施の 態のプ グラム 置の 図を用 て説明できる。 まず、条件 3が、タイ らの 込み 号を検出する(ステップS2 )。ここ で、CP 2は、割込み 号を一定時間 繰り返 発生さ ることができる。その 、実施時に一意に決めることができ、例えば 間隔のよ に決めること ができる。

００55 次に、不正 査部 4が、 ラッ メ に 納されたプ グラムが不正 否 を検査する(ステッ 2)

００56 次に、不正 査部 4が、ステ プS2 2における検査結果を実行 5に 伝える(ステップS2 3)。 5は、ステップS2 3で検査結果が正常と伝 えられたのであれば、CP 2を起動してプ グラムを実行さ る(ステップ 4) また、ステップS2 3で検査結果が不正と伝えられたのであれば、CP 2を停止す るなどの 御を〒 、不正と判定されたプ グラムをCP 2が実行しな よ にす る(ステップS2 5)

００57 上のよ に、 明に係る第2の 施の 態のプ グラム 置及びプ グラム 御方法によれば、 ラッ メ が物理的に取り外し 能であ て 、不正なプ グラムを 納した別の 、 メ に取り替えられるなどの 法 によ て、 ラッ メ に 納されたプ グラムが書き換えられたことを検出で きな 場合でも、一定時間 繰り返 発生する割込み 号が発生した時に、 ラ、 メ りに 納されたプ グラムが不正 否 を検査することによ て、不正なプ グラムの 行を防ぐことができる。

００58 ( 3の 施の )

００59 3は、 明に係る第3の 施の 態のプ グラム 置を示す

である。プ グラム 、実行するプ グラムを 納する ラッ メ と、プ グラムを実行するCP 2と、 ラッ メ がCP 2によ て書 き換えられたことを検出する条件 3と、条件 3が検出したときに ラッ メ に れて るプ グラムが不正 否 を検査する不正 査部 4と、不正 査部 4の 果及び ラッ メ におけるCP 2の ッ の ド スを参照して、CP 2 のプ グラムの 行を制御するアクセス 3 とで構成されて る。

００6０ 4は、 明に係る第3の 施の 態のプ グラム 置の 図 である。まず、条件 3が、 ラッ メ に 納されたプ グラムが P 2によ て書き換えられたことを検出する(ステップS2 )。ここで、条件

3がプ グラムが書き換えられたことを検出する方法として、本実施の 態では、 ラッ メ に対して書き換え ンドが発行され、書き換え 理が完了したこ とを検出する。

００6 次に、不正 査部 4が、 ラ、 メ に書き換えられたプ グラムが不正 否 を検査する(ステップS2 2) ００62 次に、不正 査部 4が、ステップS2 2における検査結果をアクセス 3 に伝える。 (ステッ 2 3)。アクセス 3 は、ステップ 2 3で検査結果が正 常と伝えられたのであれば、 ラッ メ プ グラムを取得してCP 2 に発行する(ステッ 4 )。ステップ 2 3で検査結果が不正と伝えられたのであ 。 れば、アクセス 3 CP 2の ッ の ド スを参照 、不正な グラムであ ても実行できる 否 を判定する(ステップS4 2)

００63 ステップ 4 2で実行できると判定されれば、アクセス 3 は ラッ メ プ グラムを取得してCP 2に発行する(ステップS4 )。ステップS4 2 で実行できな と判定されれば、アクセス 3 はCP 2で何もしな 命令 である OP 令をCP 2に発行する(ステップS4 4)

。

００64 次に、ステッ S4 またはステップS4 4で発行された命令をCP 2が受け取 り、CP 2がプ グラムを実行または OP 令を実行する(ステップS4 3) ００65 ここで、命令 ッ の ド スを参照 、不正なプ グラムであ ても実行する 否 。

を判定することによ て、ステッ S4 またはステップS4 4に分岐さ る理由は、

、初期 理のプ グラムを 納して る ド スは不正なプ グラム 判定された 場合であ てもそのプ グラムを実行するとし、それ以外のプ グラムを 納して る ド スは不正なプ グラムであれば 行しな よ にすると、不正 査部 4が不 正プ グラム 判断してもその 正の 響が無 、 は、小さ 初期 理のプ グラムは動作さ るが、その 正の 響が大き それ以外のプ グラムは動作さ な よ 制御することができ、円滑に、効率よ プ グラムの 行を制御することができる 。また、内部メ の ド スは不正なプ グラム 判定された場合であ てもそのプ グラムを実行するよ にし、外部メ の ド スは不正なプ グラムであれば 行し な よ にすることによ て、効率よ プ グラムの 行を制御することができる。

００66 また、プ グラムが書き換えできな 領域の の ド スは不正なプ グラム 判 定された場合であ てもそのプ グラムを実行するよ にし、プ グラムが書き換えで きる 域の の ド スは不正なプ グラムであれば 行しな よ にするこ によ て、効率よ プ グラムの 行を制御することができる。 ００67 なお、上記の 明では、ステップS4 4にお て、アクセス 3 がCP 2 に何も実行しな P 令を発行するよ 制御する例に て説明したが、これに 限定されな 。 えば、CP 2が実質的に停止する(ク ックの 止など) 令で あ ても良 し、CP 2が ザプ グラムではな 、 ッグ用のプ グラムを実 行する命令を発行するものでも良 。

００68 上のよ に、 明に係る第3の 施の 態のプ グラム 置及びプ グラム 御方法によれば、 ラッ メ りに 納されたプ グラムが書き換えら れるごとに、プ グラムを検査することによ て、 ラッ メ りに 納されたプ グラ ムが不正なプ グラムに書き換えられたとしても、不正なプ グラムの 行を防止する ことができる。また、不正されても影響が無 、 は、 プ グラムなどの 定 のプ グラムが不正なプ グラムに書き換えられても、そのプ グラムを実行するよ 制御することによ て、円滑に、効率よ プ グラムの 行を制御することができる。 ００69 ( 4の 施の )

００7０ 4の 施の 態のプ グラム 置の 、 3に示す 3の 施の 態のプ グラム 置の 成と同じである。 4の 施の 態のプ グラム 置が第3の 施の 態と異なるのは、条件 3がCP 2に内 蔵されるタイ らの 込み 号を検出することである。 査部 4は、条件 3がタイ らの 込み 号を検出したときに、 ラッ メ に 納さ れて るプ グラムが不正 否 を検査し、アクセス 3 は、不正 査部 4 の 果及び ラッ メ におけるCP 2の の ド スを参照 して、CP 2 のプ グラムの 行を制御するよ 構成されて る。

００71 また、 4の 施の 態におけるプ グラム 置の 図は、 4 に示す 3の 施の 態のプ グラム 置の 図を用 て説明で きる。まず、条件 3が、タイ らの 込み 号を検出する(ステップS2 ) 。ここで、CP 2は、割込み 号を一定時間 繰り返し発生さ ることができる。 その 、実施時に一意に決めることができ、例えば 間隔のよ に決め ることができる。

００72 次に、不正 査部 4が、 ラッ メ に書き換えられたプ グラムが不正 否 を検査する(ステップS2 2)

００73 次に、不正 査部 4が、ステップ 2 2における検査結果をアクセス 3 に伝える(ステップ 2 3)。アクセス 3 は、ステップ 2 3で検査結果が正 常と伝えられたのであれば、 ラッ メ プ グラムを取得してCP 2 に発行する(ステッ 4 )。ステップ 2 3で検査結果が不正と伝えられたのであ 。 れば、アクセス 3 CP 2の ッ の ド スを参照 、不正な グラムであ ても実行できる 否 を判定する(ステップS4 2

００74 ステップ 4 2で実行できると判定されれば、アクセス 3 は ラッ メ プ グラムを取得してCP 2に発行する(ステップS4 )。ステップS4 2 で実行できな と判定と判定されれば、アクセス 3 はCP 2で何もしな 命令である OP 令をCP 2に発行する(ステップS4 4)

。

００75 次に、ステッ S4 またはステップS4 4で発行された命令をCP 2が受け取 り、CP 2がプ グラムを実行または OP 令を実行する(ステップS4 3) ００76 なお、命令 ッ の ド スを参照 、不正なプ グラムであ ても実行する 否 。

を判定することによ て、ステッ S4 またはステップS4 4に分岐さ る理由は、 3の 施の 態の 合と同じため 明を する。

００77 上のよ に、 明に係る第4の 施の 態のプ グラム 置及びプ グラム 御方法によれば、 ラッ メ が物理的に取り外し 能であ て 、不正なプ グラムを 納した別の ラッ メ に取り替えられるなどの 法 によ て、 ラッ メ に 納されたプ グラムが書き換えられたことを検出で きな 場合でも、一定時間 繰り返 発生する割込み 号が発生した時に、 ラッ メ りに 納されたプ グラムが不正 否 を検査することによ て、不正なプ グラムの 行を防ぐことができる。また、不正されても影響が無 、 は、小さ プ グラムなどの 定のプ グラムが不正なプ グラムに書き換えられても、そのプ グ ラムを実行するよ 制御することによ て、円滑に、効率よ プ グラムの 行を制御 することができる。

００78 ( 5の 施の

００79 5は、 明に係る第5の 施の 態のプ グラム 置を示す である。プ グラム 、実行するプ グラムを 納する ラッ メ と、プ グラムを実行するCP 2と、 ラッ メ がCP 2によ て書 き換えられたことを検出する条件 3と、条件 3が検出したときに ラッ メ に 納されて るプ グラムが不正 否 を検査する不正 査部 4と、不正 メ 5 2と、不正 査部 4の 果を不正 メ 5 2に記録 する不正 5 と、不正 メ 5 2に記録された結果に応じてプ グラムの 行を制御する実行 5 3とで構成されて る。

００8０ 6 7は、 明に係る第5の 施の 態のプ グラム 置の 図である。

００81 6は、 明に係る第5の 施の 態のプ グラム 置が、不正 メ

5 2に不正 査部 4の 果を記録するまでの 理を示す 図である。 6 にお て、まず、条件 3が、 ラッ メ に 納されたプ グラムが CP 2によ て書き換えられたことを検出する(ステップS2 )。 実施の 態で は、 ラッ メ に対して書き換え ンドが発行され、書き換え 理が完了 したことを検出する。

００82 次に、不正 査部 4が、 ラッ メ に書き換えられたプ グラムが不正 否 を検査する(ステップS2 2)

００83 次に、不正 査部 4が、ステップS2 2における検査結果を不正 5 に 伝える(ステップ 2 3)。ステップ 2 3で検査結果が正常と伝えられたのであれば、 不正 5 が不正 メ 5 2に正常 を記録する(ステップS6 )。また、 ステップS2 3で検査結果が不正と伝えられた場合は、不正 5 が不正 メ 5 2に不正 を記録する(ステップ 6 2)。ここで、例えば、正常 とは であり 、不正 とは であるとする。

００84 7は、 明に係る第5の 施の 態のプ グラム 置の 図 である。既に不正 査が行われたプ グラムを実行する時に、実行 5 3は不 正 メ 5 2に 記録した検査結果を取得する(ステップS7 )。次に、取得 した検査結果が正常 不正 の 定を〒 (ステップS7 2)

００85 5 3は、検査結果が正常 であれば、CP 2を起動してプ グラ 実行さ る(ステップS7 3)。また、実行 5 3は、検査結果が不正 で あれば、CP 2を停止するなどの 、不正と判定されたプ グラムを P 2が実行しな よ にする(ステップS7 4)

００86 上のよ に、 明に係る第5の 施の 態のプ グラム 置及びプ グラム 御方法によれば、 ラッ メ りに 納されたプ グラムが書き換えら れるごとに、プ グラムを検査することによ て、 ラッ メ りに 納されたプ グラ ムが不正なプ グラムに書き換えられたとしても、不正なプ グラムの 行を防止する ことができる。また、検査結果を記録してお ことによ て、不正なプ グラム、 、 不正なプ グラムが 納された時点を容易に確認することができる。また、記録した 検査結果に応じてプ グラムの 行を制御することによ て、不正なプ グラムの 無を検査するたびに、プ グラムを実行する 否 を制御する必要が無 ため、円 滑に、効率よ プ グラムの 行を制御することができる。

００87 ( 6の 施の )

００88 6の 施の 態のプ グラム 置の 、 5の 施の 態のプ グラム 置の 成と同じである。 6の 施の 態のプ グラム

置が、 5の 施の 態と異なるのは、条件 3がCP 2に内蔵されるタ イ らの 込み 号を検出することである。 査部 4は、条件 3 がタイ らの 込み 号を検出したときに、 ラッ メ に 納されて る プ グラムが不正 否 を検査し、不正 5 は、不正 査部 4の 果を不 正 メ 5 2に記録し、実行 5 3は、不正 メ 5 2に記録された結 果に応じてプ グラムの 行を制御するよ 成されて る。

００89 6 7は、 明に係る第6の 施の 態のプ グラム 置の フ 図である。

００9０ 6は、 明に係る第6の 施の 態のプ グラム 置が、不正 メ モ 5 2に不正 査部 4の 果を記録するまでの 理を示す 図である。 6 にお て、まず、条件 3が、タイ らの 込み 号を検出する(ステップS 2 )。ここで、CP 2は、割込み 号を一定時間 繰り返し発生さ ることが できる。その 、実施時に一意に決めることができ、例えば 間隔のよ に決めることができる。

００9 次に、不正 4が、 ラ、 メ に書き換えられたプ グラムが不正 否 を検査する(ステップS2 2)

００92 次に、不正 査部 4が、ステップ 2における検査結果を不正 5 に 伝える(ステップ 2 3)。ステップ 2 3で検査結果が正常と伝えられたのであれば、 不正 5 が不正 メ 5 2に正常 を記録する(ステップS6 )。また、 ステップS2 3で検査結果が不正と伝えられた場合は、不正 5 が不正 メ 5 2に不正 を記録する(ステップ 6 2)。ここで、例えば、正常 とは であり 、不正 とは であるとする。

００93 7は、 明に係る第6の 施の 態のプ グラム 置の 図 である。既に不正 査が行われたプ グラムを実行する時に、実行 5 3は不 正 メ 5 2に 記録した検査結果を取得する(ステップS7 。次に、取得 した検査結果が正常 不正 の 定を〒 (ステップS7 2)

００94 5 3は、検査結果が正常 であれば、CP 2を起動してプ グラ ムを実行さ る(ステップS7 3)。また、実行 5 3は、検査結果が不正 で あれば、CP 2を停止するなどの 御を 、不正と判定されたプ グラムを P 2が実行しな よ にする(ステップS7 4)

００95 上のよ に、 明に係る第4の 施の 態のプ グラム 置及びプ グラム 御方法によれば、 ラッ メ が物理的に取り外し 能であ て 、不正なプ グラムを 納した別の ラッ メ に取り替えられるなどの 法 によ て、 ラッ メ に 納されたプ グラムが書き換えられたことを検出で きな 場合でも、一定時間 繰り返 発生する割込み 号が発生した時に、 ラ メ りに 納されたプ グラムが不正 否 を検査することによ て、不正なプ グラムの 行を防ぐことができる。また、検査結果を記録してお ことによ て、不正な プ グラム、 、不正なプ グラムが 納された時点を容易に確認することができる 。また、記録した検査結果に応じてプ グラムの 行を制御することによ て、不正な プ グラムの 無を検査するたびに、プ グラムを実行する 否 を制御する必要が 無 ため、円滑に、効率よ プ グラムの 行を制御することができる。 ００96 ( 7の 施の )

００97 8は、 明に係る第7の 施の 態のプ グラム 置を示す

である。プ グラム 、実行するプ グラムを 納する ラッ メ

と、プ グラムを実行するCP 2と、 ラッ メ がCP 2によ て書 き換えられたことを検出する条件 3と、 3が検出したときに 、 メ に 納されたプ グラムが不正 否 を検査する不正 査部 4と、 不正 メ 5 2と、不正 査部 4の 果を不正 メ 5 2に記録する不正 5 と、不正 メ 5 2に記録された結果及び ラッ メ におけ るCP 2の の ド スを参照して、CP 2 のプ グラムの 行を 制御するアクセス 8 で構成されて る。

００98 9は、 明に係る第7の 施の 態のプ グラム 置の 図 である。 査部 4の 果を不正 メ 5 2に記録するまでの

は、 5の 施の 態の 合と同じため 明を 、プ グラムの 行を制御する 理を図9を用 て説明する。

００99 既に不正 査が行われたプ グラムを実行する時に、アクセス 8 は不正 メ 5 2に 記録した検査結果を取得する(ステップS7 )。次に、取得し た検査結果が正常 不正 の 定を〒 (ステップS7 2)

０1００ アクセス 8 は、検査結果が正常 であれば、 ラッ メ プ グラムを取得してCP 2に発行する(ステップS9 )。ステップS7 2で検査結 果が不正 であれば、アクセス 8 はCP 2の の ド スを 参照 、不正なプ グラムであ ても実行できる 否 を判定する(ステップS9 2) ０1０1 ステップ 9 2で実行できると判定されれば、アクセス 8 は ラッ メ プ グラムを取得してCP 2に発行する(ステップS9 )。ステップS9 2 で実行できな と判定されれば、アクセス 8 はCP 2で何もしな 命令 である OP 令をCP 2に発行する(ステップS9 4)

０1０2 次に、ステップS9 またはステップS9 4で発行された命令をCP 2が受け取 り、CP 2がプ グラムを実行または OP 令を実行する(ステ プS9 3 ０1０3 なお、命令 の ド スを参照 、不正なプ グラムであ ても実行する を判定することによ て、ステップS9 ステップS9 4に分岐する理由は、 3 の 施の 態の 合と同じため 明を する。

０1０4 上のよ に、 明に係る第7の 施の 態のプ グラム 置及びプ グラム 御方法によれば、 ラッ メ りに 納されたプ グラムが書き換えら れるごとに、プ グラムを検査することによ て、 ラッ メ りに 納されたプ グラ ムが不正なプ グラムに書き換えられたとしても、不正なプ グラムの 行を防止する ことができる。また、検査結果を記録してお ことによ て、不正なプ グラム、 、 不正なプ グラムが 納された時点を容易に確認することができる。また、記録した 検査結果に応じてプ グラムの 行を制御することによ て、円滑に、効率よ プ グ ラムの 行を制御することができる。また、不正されても影響が無 、 は、 プ グラムなどの 定のプ グラムが不正なプ グラムに書き換えられても、そのプ グラムを実行するよ 制御することによ て、円滑に、効率よ プ グラムの 行を制 御することができる。

０1０5 ( 8の 施の )

０1０6 8の 施の 態のプ グラム 置の 、 8に示す 7の 施の 態のプ グラム 置の 成と同じである。 8の 施の 態のプ グラム

置が第7の 施の 態と異なるのは、条件 3がCP 2に内蔵さ れるタイ らの 込みの 号を検出することである。 査部 4は、条件

3がタイ らの 込み 号を検出したときに、 ラッ メ に 納され て るプ グラムが不正 否 を検査し、不正 5 は、不正 査部 4の 果を不正 メ 5 2に記録し、アクセス 8 は、不正 メ 5 2に記 録された結果及び ラッ メ におけるCP 2の の ド スを 参照して、CP 2 のプ グラムの 行を制御するよ 構成されて る。

０1０7 査部 4の 果を不正 メ 5 2に記録するまでの は、 6 の 施の 態の 合と同じため 明を 、プ グラムの 行を制御する

は、 7の 施の 態の 合と同じため 明を する。

０1０8 上のよ に、 明に係る第8の 施の 態のプ グラム 置及びプ グラム 御方法によれば、 ラッ メ が物理的に取り外し 能であ て 、不正なプ グラムを 納した別の ラッ メ に取り替えられるなどの 法 によ て、 ラッ メ に 納されたプ グラムが書き換えられたことを検出で きな 場合でも、一定時間 繰り返 発生する割込み 号が発生した時に、 ラ、 メ りに 納されたプ グラムが不正 否 を検査することによ て、不正なプ グラムの 行を防ぐことができる。また、検査結果を記録してお ことによ て、不正な プ グラム、 、不正なプ グラムが 納された時点を容易に確認することができる 。また、記録した検査結果に応じてプ グラムの 行を制御することによ て、円滑に 、効率よ プ グラムの 行を制御することができる。また、不正されても影響が無 、 は、 プ グラムなどの 定のプ グラムが不正なプ グラムに書き換えられ ても、そのプ グラムを実行するよ 制御することによ て、円滑に、効率よ プ グラ ムの 行を制御することができる。

０1０9 なお、実施の ら8にお て、実行するプ グラムを 納する を ラッ メ に限定して説明したが、プ グラムを記憶する りであれば なるも のであ てもよ 。

０11０ また、実施の ら8にお て、条件 3の 件を、 ラッ メ

がCP 2によ て書き換えられた時と、CP 2に内蔵されるタイ によ て割込 みが発生した時に限定して説明したが、検出する条件は、 外部 御によるC P 2を使用しな き換えがあ た時や、プ グラム中の専用命令が実行された 時などの 件であ てもよ 。また、初期 理が終了する時点の 後と ステム 体が動作し始める時点の3 後と タン ングのよ に、複数の 件を設定し、 その 件を満たすそれぞれの 点で検査をするよ にしてもよ 。

０111 明を詳細にまた特定の 様を参照して説明したが、 明の 神と 囲 を逸脱することな 変更や 正を加えることができることは当業者にと て明ら である。

０112 出願は、2００4 5 17 出願の 本特許 ( 2００4 146395)に基 も のであり、その はここに参照として取り込まれる。

上の利用 ， ０113 明に係るプ グラム 置及びプ グラム 御方法は、任意の 点でプ グラムの 正の 無を検査するため、不正なプ グラムを見落とすこと な 発見し、不正なプ グラムの 行を防ぐことができる。 正なプ グラムに書き換 えられた後に、その 正なプ グラムを検査し、その 査結果を記録してお ことによ て、 の 点で、どのプ グラムが不正に書き換えられた を確認することができ るため、不正なプ グラムが りに 納され 行されたことに起因する ステムの 具合が発生した場合、不具合 因の 定が容易になるため、機器 み込み ステム のソ トウ ア 野で有用である。

Claims

求の

プ グラムを 納する りと、

前記プ グラムの 正の 無を検査する検査 点を検出する検出 段と、 前記 点で、前記 正の 無を検査する検査 段と、

前記 段により判断された不正 しのプ グラムを実行するよ 御する制御 手段と、

前記 しのプ グラムを実行する実行 段と、

を備えるプ グラム 。

2 御手段は、前記 段により判断された不正 りのプ グラムを実行さ な よ 、

前記 、前記 りのプ グラムを実行しな 載のプ グラ ム

3 、所定の 点を検出する 2 載のプ グラム

4 、前記プ グラムが書き換えられた時点を検出する 2 載 のプ グラム 。

5 、一定 ごとの 点を検出する 2 載のプ グラム

。

6 段による検査の 果を記録する記録手段を備える 2 ら5の ずれ に記載のプ グラム 。

7 御手段は、前記 録手段に記録された検査の 果を参照 、前記 し のプ グラムを実行するよ 御する 6 載のプ グラム 。8 御手段は、前記 録手段に記録された検査の 果を参照 、前記 り のプ グラムを実行さ な よ 御する 7 載のプ グラム 。9 りのプ グラムを実行する 否 を判定する判定 段を備え、

前記 御手段は、実行すると判定された前記 りのプ グラムを実行するよ 御する 2 ら8の ずれ に記載のプ グラム 。

りに 納されたプ グラムの 正の 無を検査する検査 点を検出する検出 テップ 、

前記 点で、前記 正の 無を検査する検査ステップ 、

前記 ステップにより判断された不正 しのプ グラムを実行するよ 御する制 御ステップ 、

前記 しのプ グラムを実行する実行ステップ 、

を備えるプ グラム 御方法。

ステップは、前記 ステップにより判断された不正 りのプ グラムを実 行さ な よ 、

前記 ステップは、前記 りのプ グラムを実行しな 載のプ グラム 御方法。

2 ステップは、所定の 点を検出する 載のプ グラム 御 方法。

3 ステップは、前記プ グラムが書き換えられた時点を検出する

載のプ グラム 御方法。

4 ステップは、一定 ごとの 点を検出する 載のプ グラム 御方法。

5 ステップによる検査の 果を記録する記録ステップを有する 皿 ら 4の ずれ に記載のプ グラム 御方法。

6 ステップは、記録された検査の 果を参照 、前記 しのプ グラム を実行するよ 御する 5 載のプ グラム 御方法。

7 ステップは、記録された検査の 果を参照 、前記 りのプ グラム を実行さ な よ 御する 6 載のプ グラム 御方法。

8 りのプ グラムを実行する 否 を判定する判定ステップを有し、 前記 ステップは、実行すると判定された前記 りのプ グラムを実行する よ 御する 皿 ら 7の ずれ に記載のプ グラム 御方法。