WO2021117371A1 - 情報処理装置、情報処理方法、および、プログラム - Google Patents

Abstract

情報処理装置（１０）は、保護領域（２１）と非保護領域（２２）とを含むメモリ（１１）と、メモリ（１１）の保護領域（２１）及び非保護領域（２２）へのアクセスが許可される第一モードと、メモリ（１１）の保護領域（２１）へのアクセスが禁止され、非保護領域（２２）へのアクセスが許可される第二モードとのいずれかの実行モードに切り替えながら動作するプロセッサ（１２）と、プロセッサ（１２）が第二モードで動作する場合に、一以上の仮想マシンを稼働させる仮想マシン管理部（４１）と、プロセッサ（１２）が第一モードで動作する場合に、一以上の仮想マシンのうちの一の仮想マシン、又は、仮想マシン管理部（４１）に割り当てられるメモリ（１１）の領域を監視対象として監視をし、監視対象に異常があるか否かの判定をする監視部（３１）とを備える。

Description

情報処理装置、情報処理方法、および、プログラム

　本発明は、情報処理装置、情報処理方法、および、プログラムに関する。

　１台の装置に１以上の仮想的なコンピュータを動作させるように制御する仮想化技術が利用されている。１以上の仮想的なコンピュータを動作させる仮想化基盤となるソフトウェアをハイパーバイザともいい、仮想的に動作する上記１以上のコンピュータを仮想マシンともいう。

　仮想化ソフトウェア上に、監視対象となる複数の仮想マシンと、監視用の仮想マシンとを配置し、監視対象における異常の有無を判定する技術がある（特許文献１参照）。

特開２０１９－１４４７８５号公報

　しかしながら、ハイパーバイザ内の仮想化ソフトウェアまたはデバイスドライバの、製品出荷後に顕在化する脆弱性または不具合などにより、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんがなされ得るという問題がある。

　一例として、自動車において複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）機能を統合化することで、利用者に高度な車両サービスを提供しようとする動きがある。その中で、第３者のアプリケーションを自由にインストールすることができるＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ　Ｉｎｆｏｒｔａｉｎｍｅｎｔ）システムと、車の、走る、曲がるおよび止まる、といった自動運転を支援するＡＤＡＳ（Ａｄｖａｎｃｅｄ　Ｄｒｉｖｅｒ　Ａｓｓｉｓｔａｎｃｅ　Ｓｙｓｔｅｍ）システムとを統合化する場合に、第３者の悪意のあるアプリケーションが自動車のＡＤＡＳ制御方法が記録されたメモリ領域を改ざんすると、搭乗者の安全を脅かす重大な問題となりうる。

　そこで、本発明は、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制する情報処理装置を提供する。

　本発明の一態様に係る情報処理装置は、保護領域と非保護領域とを含むメモリと、前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとのいずれかの実行モードに切り替えながら動作するプロセッサと、前記プロセッサが前記第二モードで動作する場合に、一以上の仮想マシンを稼働させる仮想マシン管理部と、前記プロセッサが前記第一モードで動作する場合に、前記一以上の仮想マシンのうちの一の仮想マシン、又は、前記仮想マシン管理部に割り当てられる前記メモリの領域を監視対象として監視をし、前記監視対象に異常があるか否かの判定をする監視部とを備える。

　なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。

　本発明の情報処理装置は、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

図１は、関連技術における情報処理装置の構成を概念的に示す模式図である。 図２は、関連技術における情報処理装置に対する攻撃の一例を示す模式図である。 図３は、実施の形態における情報処理装置の構成を概念的に示す模式図である。 図４は、実施の形態における情報処理装置の機能構成を示す模式図である。 図５は、実施の形態における情報処理装置の監視テーブルを示す説明図である。 図６は、実施の形態における情報処理装置の処理を示す第一のフロー図である。 図７は、実施の形態における情報処理装置の処理を示す第二のフロー図である。 図８は、実施の形態の変形例１における情報処理装置の機能構成を示す模式図である。 図９は、実施の形態の変形例２における情報処理装置の機能構成を示す模式図である。 図１０は、実施の形態の変形例３における情報処理装置が実行する情報処理方法を示すフロー図である。

　（本発明の基礎となった知見）
　本発明者は、「背景技術」の欄において記載した仮想化技術に関し、以下の問題が生じることを見出した。ここで、以下の問題が生じる技術を「関連技術」ともいう。

　仮想化技術において、ハイパーバイザの上で、１以上の仮想マシンが動作するように制御される。このとき、装置の物理メモリのうちの一部が、ハイパーバイザ、および、１以上の仮想マシンのそれぞれに割り当てられる。

　ハイパーバイザは、ハイパーバイザ、および、１以上の仮想マシンに割り当てられるメモリ領域を、分離して管理している。そのため、一の仮想マシンが、他者に割り当てられるメモリ領域にアクセスすることは、本来は、制限されている。ここで、「他者」とは、自身と異なる仮想マシンを指す。以降でも同様とする。

　しかしながら、ハイパーバイザ内に含まれる仮想化ソフトウェアやデバイスドライバに脆弱性または不具合が存在する場合、上記のアクセス制限を回避して、一の仮想マシンが、他者に割り当てられたメモリ領域にアクセスすることができてしまうことがある。この場合、ハイパーバイザ、又は、他者に割り当てられたメモリ領域の改ざんがなされ得るという問題がある。

　この問題について、図１及び図２を参照しながら説明する。

　図１は、関連技術における情報処理装置９０の構成を概念的に示す模式図である。図２は、関連技術における情報処理装置９０に対する攻撃の一例を示す模式図である。なお、情報処理装置９０は、車両に搭載され、車載ネットワークに接続されて車両を制御するＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）である場合を例として説明するが、これに限定されない。

　図１に示される情報処理装置９０では、プロセッサによってハイパーバイザＨＶが実行されており、ハイパーバイザＨＶ上で、仮想マシンＶＭ１である「アプリプラットフォーム仮想マシン（アプリＰＦ）」と、仮想マシンＶＭ２である車両制御仮想マシンとが動作している。また、仮想マシンＶＭ１上でアプリＡ１が動作しており、仮想マシンＶＭ２上でアプリＡ２が動作している。なお、「アプリ」は、アプリケーションソフトウェアの略称である。

　ハイパーバイザＨＶ内のデバイスドライバに、バッファオーバフローなどの脆弱性に起因して、一の仮想マシンが他者に割り当てられたメモリ領域へのアクセス制限の回避を許してしまう脆弱性があるとする。このとき、アプリＡ１によるアプリＡ２に対する攻撃が図２に示されるようになされ得る。

　図２において、右欄には、情報処理装置９０の物理メモリが模式的に示されており、左欄には、物理メモリのうち、仮想マシンＶＭ１及びＶＭ２それぞれに割り当てられるメモリ領域（ゲストメモリ）が模式的に示されている。

　図２の右欄に示されるように、情報処理装置９０の物理メモリには、ハイパーバイザＨＶの管理領域と、仮想マシンＶＭ１及びＶＭ２それぞれの管理領域とが含まれている。ハイパーバイザＨＶによるメモリ管理に基づいて、仮想マシンＶＭ１は、情報処理装置９０の物理メモリのうち、仮想マシンＶＭ１の管理領域の部分だけを、仮想マシンＶＭ１のメモリとして使用する。また、同様に、仮想マシンＶＭ２は、情報処理装置９０の物理メモリのうち、仮想マシンＶＭ２の管理領域の部分だけを、仮想マシンＶＭ２のメモリとして使用する。

　いま、仮想マシンＶＭ１のメモリアドレス０００Ａ、つまり情報処理装置９０のメモリアドレス００１Ａに不正アプリであるアプリＡが格納されており、仮想マシンＶＭ１のメモリアドレス０００Ｂ、つまり情報処理装置９０のメモリアドレス００１Ｂに攻撃アプリであるアプリＢが格納されているとする。

　ステップＳ１において、アプリＡは、ハイパーバイザの管理領域である、情報処理装置９０のメモリアドレス０００Ａに格納されているデバイスドライバのデータを改ざんする。この改ざんは、本来は、ハイパーバイザによるメモリ管理によればなされ得ないが、上記脆弱性により可能となったものである。

　ステップＳ２において、アプリＡは、ハイパーバイザによるメモリ管理に関わる設定値である、仮想マシンＶＭ１及びＶＭ２に割り当てられているメモリ領域を特定する情報を書き換える。例えば、メモリ領域を特定する情報は、当該メモリ領域の先頭アドレス（ａｄｄｒ）と、メモリ領域のサイズ（ｓｉｚｅ）とを含んでおり、アプリＡは、仮想マシンＶＭ１に割り当てられているメモリ領域のサイズを、より大きな値に変更する。

　これにより、情報処理装置９０の物理メモリにおける、仮想マシンＶＭ１の管理領域の終了位置を示す境界Ｂが移動し、仮想マシンＶＭ１が、情報処理装置９０の物理メモリのメモリアドレス００２Ａにアクセスできるようになる。

　ステップＳ３において、アプリＢは、情報処理装置９０の物理メモリのメモリアドレス００２Ａにアクセスし、アプリＢを書き込む。このアクセスは、ステップＳ２で境界Ｂが移動される前にはなされ得ないが、ステップＳ２で境界Ｂが移動したことにより可能となったものである。

　ステップＳ４において、情報処理装置９０の物理メモリのメモリアドレス００２ＡにアプリＢが書き込まれた（ステップＳ３）ことにより、仮想マシンＶＭ２のメモリアドレス０００ＡがアプリＢに変更されたことになる。アプリＢが、車両の動作制御（例えば、加速、減速または操舵など）を行うアプリである場合には、アプリＢにより車両の動作が不正に制御され、加速、減速または操舵が不正になされ得る。また、アプリＢが、車両の管理情報（例えば、識別番号または総走行距離など）の変更を行うアプリである場合には、アプリＢにより車両の識別番号が変更され、又は、総走行距離が改ざんされるという不正がなされ得る。

　このような攻撃によって、車両の走行に関する不正な制御、又は、車両の管理情報の不正な変更がなされ得る。

　そこで、本発明は、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制する情報処理装置を提供する。

　このような問題を解決するために、本発明の一態様に係る情報処理装置は、保護領域と非保護領域とを含むメモリと、前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとのいずれかの実行モードに切り替えながら動作するプロセッサと、前記プロセッサが前記第二モードで動作する場合に、一以上の仮想マシンを稼働させる仮想マシン管理部と、前記プロセッサが前記第一モードで動作する場合に、前記一以上の仮想マシンのうちの一の仮想マシン、又は、前記仮想マシン管理部に割り当てられる前記メモリの領域を監視対象として監視をし、前記監視対象に異常があるか否かの判定をする監視部とを備える。

　上記態様によれば、情報処理装置は、メモリの保護領域へのアクセスが禁止される第二モードでプロセッサが仮想マシンを稼働させるので、仮想マシンがメモリの保護領域へアクセスすることが禁止される。そして、仮想マシンに割り当てられているメモリ領域の監視および異常の有無の判定は、プロセッサが第一モードで実行することで実現される。これにより、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域へのアクセスを制限しながら、当該メモリ領域に格納されているデータの内容の監視を行うことができる。これにより、情報処理装置は、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　例えば、前記メモリの前記保護領域には、前記監視対象を監視するために用いられる監視情報が格納されており、前記監視部は、前記監視において、前記監視情報を読み出し、読み出した前記監視情報に基づいて前記監視対象を監視してもよい。

　上記態様によれば、情報処理装置は、メモリの保護領域に格納された監視情報に基づいて監視をする。監視情報は、メモリの保護領域に格納されているので、監視情報そのものが仮想マシンにより書き換えられることが制限される。よって、その監視情報に基づいて行われる監視がより適切になされる。これにより、情報処理装置は、監視をより適切に行いながら、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　例えば、前記監視情報には、前記監視対象を監視する監視態様を、前記監視対象に対応付けて示す情報が格納されており、前記監視部は、前記監視において、前記監視情報を読み出し、読み出した前記監視情報に示されている前記監視態様で前記監視対象を監視してもよい。

　上記態様によれば、情報処理装置は、メモリの保護領域に格納された監視情報に基づく監視態様で監視をする。監視情報は、メモリの保護領域に格納されているので、監視情報そのものが仮想マシンにより書き換えられることが制限される。よって、その監視情報に基づいて行われる監視がより適切な態様でなされる。これにより、情報処理装置は、監視をより適切に行いながら、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　例えば、前記監視情報には、前記監視態様として、前記監視をするタイミングを前記監視対象に対応付けて示す情報が含まれており、前記監視部は、前記監視において、前記監視情報により示される前記タイミングに、前記監視対象を監視してもよい。

　上記態様によれば、情報処理装置は、監視対象に対応付けられたタイミングに、監視を行う。監視対象の重要さ又は更新頻度などに基づいて上記タイミングが設定されていれば、情報処理装置は、監視対象の重要さ又は更新頻度などに基づくタイミングで適切に監視をすることができる。よって、情報処理装置は、より適切なタイミングで監視をすることを通じて、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　例えば、前記メモリの前記保護領域には、前記監視対象である前記領域に格納される適正値を示す基準情報とが格納されており、前記監視部は、前記判定において、前記プロセッサが前記第一モードで、前記監視情報を読み出し、読み出した前記監視情報に示されている前記基準情報に、前記監視対象に格納されている値が適合しない場合に、異常があると判定してもよい。

　上記態様によれば、情報処理装置は、基準情報を用いた適合の判定により、より容易に、異常の有無を判定することができる。これにより、情報処理装置は、より容易に、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　例えば、前記情報処理装置は、さらに、前記監視部による判定の結果に応じた処理を実行する処理部を備え、前記監視情報には、さらに、前記監視対象に異常があると判定された場合に前記処理部が実行すべき処理が、前記監視対象に対応付けて示されており、前記処理部は、前記監視対象に異常があると前記監視部が判定した場合には、異常があると判定された前記監視対象に対応付けられた前記処理を実行してもよい。

　上記態様によれば、情報処理装置は、監視情報に基づいて、監視結果に応じた処理をより容易に実行することができる。これにより、情報処理装置は、監視結果に応じて適切に処理をするとともに、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　例えば、前記監視情報には、さらに、前記監視対象に要求される安全性のレベルが、前記監視対象に対応付けて示されており、前記処理部は、前記監視対象に異常があると前記監視部が判定した場合には、異常があると判定された前記監視対象に対応付けられた前記レベルに応じた通知処理を実行してもよい。

　上記態様によれば、情報処理装置は、監視の結果に応じた処理として、監視対象に要求される安全性のレベルに応じた通知処理を実行できる。これにより、情報処理装置は、要求される安全性のレベルに応じた通知をしながら、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　例えば、前記メモリの前記非保護領域には、前記監視対象を監視する監視態様を、前記監視対象に対応付けて示す監視情報であって、暗号化された監視情報である、暗号化監視情報が格納されており、前記メモリの前記保護領域には、前記暗号化監視情報を復号するための鍵情報が格納されており、前記監視部は、前記監視において、前記プロセッサが前記第一モードで、前記暗号化監視情報と前記鍵情報とを読み出し、読み出した前記暗号化監視情報を、読み出した前記鍵情報で復号することで得られた前記監視情報に示されている前記監視態様で前記監視対象を監視してもよい。

　上記態様によれば、情報処理装置は、監視情報を、暗号化監視情報として非保護領域に格納しておくことができるので、保護領域に監視情報を格納しておく場合よりも、保護領域に格納されるデータサイズを抑制することができる。よって、情報処理装置は、保護領域の容量を圧迫することを回避しながら、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　例えば、前記情報処理装置は、車両に搭載されるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）であってもよい。

　上記態様によれば、情報処理装置は、ＥＣＵにおけるハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　また、本発明の一態様に係る情報処理装置は、保護領域と非保護領域とを含むメモリと、前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとのいずれかの実行モードに切り替えながら動作するプロセッサと、前記プロセッサが前記第一モードで動作する場合に、一以上の仮想マシンを稼働させる仮想マシン管理部と、前記プロセッサが前記第一モードで動作する場合に、前記一以上の仮想マシンのうちの一の仮想マシン、又は、前記仮想マシン管理部に割り当てられる前記メモリの領域を監視対象として監視し、前記監視対象に異常があるか否かを判定する監視部とを備える。

　上記態様によれば、情報処理装置は、第一モードでプロセッサが仮想マシンを稼働させるので、仮想マシン間の通信も監視対象とすることができる。そして、仮想マシンに割り当てられているメモリ領域の監視および異常の有無の判定は、プロセッサが第一モードで実行することで実現される。これにより、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域へのアクセスを制限しながら、当該メモリ領域に格納されているデータの内容の監視を行うことができる。これにより、情報処理装置は、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　また、本発明の一態様に係る情報処理方法は、情報処理装置が実行する情報処理方法であって、前記情報処理装置は、保護領域と非保護領域とを含むメモリと、前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとのいずれかの実行モードに切り替えながら動作するプロセッサとを備え、前記情報処理方法は、前記プロセッサが前記第二モードで動作する場合に、一以上の仮想マシンを稼働させる仮想マシン管理ステップと、前記プロセッサが前記第一モードで動作する場合に、前記一以上の仮想マシンのうちの一の仮想マシン、又は、前記仮想マシン管理ステップに割り当てられる前記メモリの領域を監視対象として監視をし、前記監視対象に異常があるか否かの判定をする監視ステップとを含む。

　上記態様によれば、上記情報処理装置と同様の効果を奏する。

　また、本発明の一態様に係るプログラムは、上記の情報処理方法をコンピュータに実行させるためのプログラムである。

　上記態様によれば、上記情報処理装置と同様の効果を奏する。

　なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。

　以下、実施の形態について、図面を参照しながら具体的に説明する。

　なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

　（実施の形態）
　本実施の形態において、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制する情報処理装置などについて説明する。なお、本実施の形態では、ハイパーバイザによる仮想化システムを例に説明するが、ハイパーバイザの代わりに、ゲストＯＳと仮想化アプリケーションを用いた仮想化システムであってもよい。

　図３は、本実施の形態における情報処理装置１０の構成を概念的に示す模式図である。

　図３に示されるように、情報処理装置１０は、プロセッサを備え、プロセッサにより、セキュアＯＳの実行と、ハイパーバイザの実行とを時分割で行う。なお、情報処理装置１０は、例えば、車両に搭載され、車載ネットワークに接続されて車両を制御するＥＣＵであるが、これに限定されない。

　なお、プロセッサがセキュアＯＳを実行している実行モードをセキュアモード又は第一モードともいい、プロセッサがハイパーバイザを実行している実行モードをノーマルモード又は第二モードどもいう。また、セキュアモードにおけるセキュアＯＳ上の実行環境をセキュアワールドともいい、ノーマルモードにおけるハイパーバイザ上の実行環境をノーマルワールドともいう。このような実行環境の制御は、一般にＴＥＥ（Ｔｒｕｓｔｅｄ　Ｅｘｅｃｕｔｉｏｎ　Ｅｎｖｉｒｏｎｍｅｎｔ）と呼ばれる。例えば、ＡＲＭ系のＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）におけるＣｏｒｔｅｘ－Ａファミリでは標準機能の１つであるＴｒｕｓｔＺｏｎｅ機構により実現され得る。また、ＡｐｐｌｅのＳＥＰ（Ｓｅｃｕｒｅ　Ｅｎｃｌａｖｅ　Ｐｒｏｃｅｓｓｏｒ）、または、ＧｏｏｇｌｅのＴｉｔａｎＭなどによっても実現され得る。

　情報処理装置１０では、ノーマルワールドにおいて、仮想マシンＶＭ１である「アプリプラットフォーム仮想マシン（アプリＰＦ）」と、仮想マシンＶＭ２である車両制御仮想マシンとが動作している。また、仮想マシンＶＭ１上でアプリＡ１が動作しており、仮想マシンＶＭ２上でアプリＡ２が動作している。また、情報処理装置１０では、セキュアワールドにおいて、セキュアアプリが動作している。

　また、情報処理装置１０は、プロセッサにより実行される機能であるセキュアモニタを備える。

　セキュアモニタは、プロセッサの実行モードの切り替え、つまりセキュアモードとノーマルモードとの切り替えを制御する。また、セキュアモニタは、セキュアワールドで実行されているアプリセキュアアプリと、ノーマルワールドで実行されているアプリＡ１及びＡ２との情報のやりとりを制御する。具体的には、セキュアモニタは、ノーマルワールドで実行されているアプリＡ１及びＡ２が、それぞれ、当該アプリが管理しているメモリ領域にのみアクセスできるように制御する。また、セキュアモニタは、セキュアワールドで実行されているセキュアアプリが、ノーマルワールドで実行されているアプリＡ１及びＡ２並びに、セキュアアプリが管理しているメモリ領域にのみアクセスできるように制御する。

　なお、図３には、プロセッサの例外レベル（ＥＬ０、ＥＬ１、ＥＬ２およびＥＬ３）も記載されている。例えばＥＬ３がほとんどの実行権限を有するとしてもよい。

　一例として、アプリＰＦのゲストＯＳをＡｎｄｒｏｉｄ／ＡＧＬ（ＡｕｔｏｍｏｔｉｖｅＧｒａｄｅＬｉｎｕｘ）などのＬｉｎｕｘ（登録商標）ベースＯＳとし、車両制御のゲストＯＳをＩＴＲＯＮ／ＡｕｔｏｓａｒなどのＲＴＯＳ（ＲｅａｌＴｉｍｅＯＳ）とし、セキュアＯＳをＴＥＥ＿ＯＳ（ＴｒｕｓｔｅｄＥｘｅｃｕｔｉｏｎ　ＥｎｖｉｒｏｎｍｅｎｔＯＳ）としてもよい。

　図４は、本実施の形態における情報処理装置１０の機能構成を示す模式図である。

　図４に示されるように、情報処理装置１０は、メモリ１１と、プロセッサ１２とを備える。

　メモリ１１は、保護領域２１と、非保護領域２２とを有する。保護領域２１は、プロセッサ１２がセキュアモードで実行されているときにのみアクセスされ得る領域である。非保護領域２２は、プロセッサ１２がセキュアモードで実行されているとき、および、ノーマルモードで実行されているときにアクセスされ得る領域である。

　なお、ここでは、ハイパーバイザ上でｎ個の仮想マシンが稼働されている状況を例として説明する。ｎは、１以上いくつであってもよい。

　保護領域２１には、監視情報２１１が格納されている。

　監視情報２１１は、監視対象であるメモリ領域を監視する監視態様を、監視対象に対応付けて示す情報である。また、監視情報２１１は、監視対象に異常があると判定された場合に処理部３２が実行すべき処理が、監視対象に対応付けて示している。監視情報２１１は、例えば、上記監視対象と上記監視態様とを対応付けて示すテーブルである。

　非保護領域２２には、ハイパーバイザの管理領域であるＨＶ領域２２０と、ｎ個の仮想マシンの管理領域、つまり仮想マシンＶＭ１の管理領域であるＶＭ１領域２２１、仮想マシンＶＭ２の管理領域であるＶＭ２領域２２２、・・・、仮想マシンＶＭｎの管理領域であるＶＭｎ領域２２ｎとが格納されている。

　プロセッサ１２は、セキュアモードとノーマルモードとのいずれかの実行モードに切り替えながら動作する処理装置である。具体的には、プロセッサ１２は、メモリ１１の保護領域２１及び非保護領域２２へのアクセスが許可されるセキュアモード（つまり第一モード）と、メモリ１１の保護領域２１へのアクセスが禁止され、非保護領域２２へのアクセスが許可されるノーマルモード（つまり第二モード）とのいずれかの実行モードに切り替えながら動作する。

　プロセッサ１２は、メモリ１１を用いてプログラムを実行することで、監視部３１と、処理部３２と、制御部３３と、仮想マシン管理部４１とを実現する。

　ここで、監視部３１と、処理部３２と、制御部３３とは、プロセッサ１２がセキュアモードで実行されることで実現される機能である。また、仮想マシン管理部４１は、プロセッサ１２がノーマルモードで動作することで実現される機能である。なお、処理部３２は、プロセッサ１２がノーマルモードで動作することで実現されてもよい。

　仮想マシン管理部４１は、一以上の仮想マシンを稼働させる機能部でありハイパーバイザに相当する。仮想マシン管理部４１は、ＨＶ領域２２０のメモリ領域を使用して実現されている。また、仮想マシン管理部４１は、ＶＭ１領域２２１、ＶＭ２領域２２２、・・・、ＶＭｎ領域２２ｎを、それぞれ、一以上の仮想マシンのメモリ領域として用いて、一以上の仮想マシンを稼働させている。

　監視部３１は、一以上の仮想マシンのうちの一の仮想マシン、又は、仮想マシン管理部４１に割り当てられるメモリ１１の領域を監視対象として監視し、監視対象に異常があるか否かを判定する機能部である。具体的には、監視部３１は、監視情報を読み出し、読み出した監視情報に基づいて監視対象を監視する。

　例えば、監視対象に対応付けて監視態様を示す情報が監視情報に格納されている場合、監視部３１は、監視情報を読み出し、読み出した監視情報に示されている監視態様で監視対象を監視する。

　例えば、監視情報には、監視態様として、監視をするタイミングを示す情報が含まれている。その場合、監視部３１は、監視情報により示されるタイミングに、監視対象を監視する。

　処理部３２は、監視部３１による判定の結果に応じた処理を実行する機能部である。具体的には、処理部３２は、監視対象に異常があると監視部３１が判定した場合には、異常があると判定された監視対象に対応付けられた処理を実行する。

　制御部３３は、情報処理装置１０の全体的な動作に関わる制御を行う機能部である。例えば、制御部３３は、時刻情報を時間経過に伴い更新しながら管理しており、情報処理装置１０内の機能部に時刻情報を提供する。また、制御部３３は、情報処理装置１０内の機能部のソフトウェア更新に関する制御をする。

　図５は、本実施の形態における情報処理装置１０の監視テーブルを示す説明図である。図５に示される監視テーブルは、監視情報の一例である。

　図５に示されるように、監視テーブルは、対象領域に対応付けて、当該対象領域についての安全要求のレベル、異常の有無の判定方法、監視態様、通知方法、および、処理内容を示すテーブルである。

　対象領域は、監視対象のメモリ領域を示す情報である。対象領域は、メモリ１１のうち非保護領域２２に含まれる、ハイパーバイザの管理領域であるＨＶ領域２２０およびｎ個の仮想マシンＶＭ１、ＶＭ２、・・・、ＶＭｎの管理領域であるＶＭ１領域２２１、ＶＭ２領域２２２、・・・、ＶＭｎ領域２２ｎのいずれかと、当該領域に含まれる情報種別または当該領域を使用しているアプリを特定する情報とを含む。

　なお、対象領域は、ＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）、ドライバ、レジスタ値、又は、スタック領域などの任意のメモリ領域であってもよい。また、対象領域は、アプリのビルド時に静的にメモリ内にマッピングされた設定値又は基準情報（後述）、又は、ファイルなどから読み込むことで動的にメモリ内にマッピングされた設定値又は基準情報であってもよい。

　安全要求のレベルは、当該対象領域に求められる安全性のレベルであり、予め管理者などにより定められていることが想定される。なお、安全要求のレベルは、ＡＳＩＬ（Ａｕｔｏｍｏｔｉｖｅ　Ｓａｆｅｔｙ　Ｉｎｔｅｇｒｉｔｙ　Ｌｅｖｅｌ（自動車安全水準））、ＣＡＬ（Ｃｙｂｅｒｓｅｃｕｒｉｔｙ　Ａｓｓｕｒａｎｃｅ　Ｌｅｖｅｌ）、脅威分析のリスク値、ＯＳＳ（Ｏｐｅｎ　Ｓｏｕｒｃｅ　Ｓｏｆｔｗａｒｅ）の使用数又は使用割合などに基づいて定められてもよいし、これらとは異なる任意の基準により定められてもよい。安全要求のレベルは、例えば、高、中および低の３段階で示される。

　異常の有無の判定方法は、監視対象の異常があるか否かを判定する方法を示す情報である。判定方法には、例えば、複製値、マスク値、ハッシュ値および適正範囲による判定がある。なお、上記判定の基準となる上記の複製値、マスク値、ハッシュ値および適正範囲は、監視対象であるメモリ領域に格納される適正値を示す基準情報に相当する。

　複製値による判定とは、監視対象のメモリ領域に過去に格納されていた値を複製した値（基準値ともいう）と、現時点で当該メモリ領域に格納されている値（現在値ともいう）との一致判定に基づく判定方法である。監視部３１は、上記基準値と、現在値とが一致する場合に、異常がないと判定し、そうでない場合に異常があると判定する。

　マスク値による判定とは、監視対象のメモリ領域に所定のビットマスクを適用し、適用した結果であるマスク値と、所定値との一致判定に基づく判定方法である。監視部３１は、上記マスク値と、上記所定値とが一致する場合に、異常がないと判定し、そうでない場合に異常があると判定する。

　ハッシュ値による判定とは、監視対象のメモリ領域にハッシュ演算処理を施すことでハッシュ値を算出し、算出したハッシュ値と、所定値との一致判定に基づく判定方法である。監視部３１は、上記ハッシュ値と、上記所定値とが一致する場合に、異常がないと判定し、そうでない場合に異常があると判定する。なお、ハッシュ演算に用いられるハッシュ関数は、例えばＳＨＡ－２５６を採用し得る。

　適正範囲による判定とは、現時点で監視対象のメモリ領域に格納されている値（現在値ともいう）が、所定の適正範囲に属するか否かの判定に基づく判定方法である。監視部３１は、上記現在値が、上記適正範囲に属すると判定した場合に、異常がないと判定し、そうでない場合に異常があると判定する。

　このように、監視部３１は、監視情報に示されている基準情報に、監視対象に格納されている値が適合しない場合に、異常があると判定する。

　監視タイミングは、当該監視対象を監視するタイミングを示す情報である。監視タイミングには、アクセスフック、周期監視およびリアルタイムログ出力に基づく監視がある。なお、監視タイミングは、監視対象の重要さ又は更新頻度などに基づいて、管理者などによって適切に設定されていることが想定される。

　アクセスフックに基づく監視では、監視部３１は、ハイパーバイザの管理領域であるＨＶ領域２２０へのメモリアクセスに係るシステムコールをフックすることによって、ＨＶ領域２２０へのメモリアクセスがなされたときに監視をする。

　周期監視では、監視部３１は、一定の周期で、つまり、所定の時間間隔で定期的に監視をする。所定の時間、つまり、監視の周期は、例えば、１秒、又は、１０秒などである。周期監視に必要な時刻情報は、制御部３３から提供される時刻情報を用いることができる。制御部３３が、プロセッサ１２がセキュアモードで実行して実現されるものであるので、制御部３３から提供される時刻情報が不正に改ざんされることが抑制されている。

　リアルタイムログに基づく監視では、監視部３１は、リアルタイムログが出力されたときに監視をする。

　なお、監視タイミングは、監視対象のメモリ領域への書込み専用アプリへの書込みアクセスがあったタイミングとすることもできる。すなわち、ハイパーバイザ又は仮想マシンから監視対象のメモリ領域への直接の書込みアクセスを禁止し、プロセッサ１２がセキュアモードで実行する書込み専用アプリを経由して監視対象のメモリ領域への書込みアクセスを行うように構成しておくと、監視対象のメモリ領域への書込み専用アプリへの書込みアクセスをフックすることによって、監視対象のメモリ領域への書込みアクセスそのものを監視することができる。

　通知方法は、当該監視対象に異常があると判定されたときに通知する方法を示す情報である。通知方法には、例えば、通知先を示す情報として、外部ＣＰＵ、仮想マシンまたはハイパーバイザなどがあり得る。また、通知方法の１つとして、通知をしないことも含まれることとする。処理部３２は、当該監視対象に異常があると判定された場合、通知方法に通知先が設定されている場合には、その通知先に通知をし、通知先が設定されていない場合には、通知をしない。

　なお、処理部３２は、監視対象に異常があると監視部３１が判定した場合には、異常があると判定された監視対象に対応付けられた安全性のレベルに応じた通知処理を実行してもよい。例えば、処理部３２は、安全性のレベルが比較的高い場合に、外部ＣＰＵに通知し、また、安全性のレベルが比較的低い場合に通知をしない、という通知方法をとりうる。

　処理内容は、当該監視対象に異常があると判定されたときになされる処理の内容を示す情報である。

　処理内容として、例えば、基準値で更新、ログ記録、アラート通知、又は、セーフモードへ移行などの処理がある。

　基準値で更新する処理は、監視対象であるメモリの領域を基準値で上書きすることによって更新する処理である。

　ログ記録の処理は、監視対象に異常があると判定されたことを示す情報をログに記録する処理である。

　アラート通知の処理は、監視対象に異常があると判定されたことを示す情報をアラートとして通知する処理である。アラートの通知先は、ハイパーバイザ又は他の仮想マシンなどであり、他の装置であってもよい。

　セーフモードへ移行する処理は、車両および情報処理装置１０が必要最小限の機能のみで動作するモードであるセーフモードへ移行させる処理である。セーフモードは、例えば、車両が加速、減速または操舵という基本的な走行制御のみを行い、また、情報処理装置１０が、車両の加速、減速または操舵という基本的な走行制御のみに関する制御を行うモードである。

　なお、監視情報は、予め管理者などにより設定されたあとに変更されない固定的な情報であってもよいし、更新によって動的に変更されてもよい。動的に変更される場合、変更先の情報の正当性が電子署名などによって確かめられた上で更新されるようにしてもよい。

　図６は、本実施の形態における情報処理装置１０の処理を示す第一のフロー図である。図６に示されるフロー図は、情報処理装置１０による監視対象の監視を開始するときの処理である。

　ステップＳ１０１において、監視部３１は、保護領域２１に監視情報２１１が格納されているか否かを判定する。監視情報２１１が格納されていると判定した場合（ステップＳ１０１でＹｅｓ）には、図６に示されている一連の処理を終了し、そうでない場合（ステップＳ１０１でＮｏ）には、ステップＳ１０２に進む。

　ステップＳ１０２において、監視部３１は、監視情報を取得し、取得した監視情報を監視情報２１１として保護領域２１に格納する。例えば、監視部３１は、管理者による操作に基づいて、他の装置（不図示）から通信によって監視情報を取得してもよいし、可搬型記憶装置から監視情報を取得してもよい。

　図６に示された一連の処理によって、情報処理装置１０は、保護領域２１に監視情報２１１が格納された状態を形成する。

　図７は、本実施の形態における情報処理装置１０の処理を示す第二のフロー図である。図７に示されるフロー図は、情報処理装置１０に監視対象の監視を行っているときの処理である。

　ステップＳ２０１において、監視部３１は、保護領域２１から監視情報２１１を読み出す。

　ステップＳ２０２において、監視部３１は、ステップＳ２０１で読み出した監視情報を用いて、監視対象に基づいて監視態様（より具体的には監視タイミング）を決定する。例えば、監視部３１は、図５に示される監視情報を読み出した場合には、読み出した監視情報において対象領域として示されているＨＶ領域、ＶＭ１領域、ＶＭ２領域およびＶＭ３領域を監視対象として設定する。また、監視部３１は、読み出した監視情報において監視タイミングとして示されているアクセスフック、１秒及び１０秒周期、リアルタイムログの出力タイミングを、監視タイミングとして設定する。

　ステップＳ２０３において、監視部３１は、ステップＳ２０２で設定した監視タイミングが到来したか否かを判定する。監視タイミングが到来した場合（ステップＳ２０３でＹｅｓ）には、ステップＳ２０４に進み、そうでない場合（ステップＳ２０３でＮｏ）には、ステップＳ２０３を再び実行する。すなわち、監視部３１は、監視タイミングが到来するまで、ステップＳ２０３で待機状態をとる。

　ステップＳ２０４において、監視部３１は、監視対象領域に格納されている値を読み出す。

　ステップＳ２０５において、監視部３１は、ステップＳ２０４で読み出した値、つまり現在値が、基準情報に適合しているか否かを判定する。現在値が基準情報に適合している場合には、監視対象に異常がないことを意味している。一方、現在値が基準情報に適合していない場合には、監視対象に異常があることを意味している。現在値が基準情報に適合している場合（ステップＳ２０５でＹｅｓ）には、ステップＳ２０３に進み、そうでない場合（ステップＳ２０５でＮｏ）には、ステップＳ２０６に進む。

　ステップＳ２０６において、処理部３２は、ステップＳ２０１で読み出した監視情報から得られる安全要求のレベルに応じて通知方法を決定し、決定した通知方法によって通知処理を実行する。なお、通知方法が、通知しないことを示している場合には、通知はなされない。

　ステップＳ２０７において、処理部３２は、ステップＳ２０１で読み出した監視情報に設定されている処理内容に示される処理を実行する。ステップＳ２０７を終えたら、ステップＳ２０３に進む。

　図７に示される一連の処理により、情報処理装置１０は、監視対象ごとに設定されたタイミングでメモリ領域を監視し、異常がある場合に適切な処理を実行することができる。

　なお、制御部３３により情報処理装置１０内の機能部のソフトウェア更新に関する制御を行うときには、制御部３３が、ネットワーク経由（ＯＴＡ（Ｏｖｅｒ　Ｔｈｅ　Ａｉｒ））で受信したＶＭイメージ又はドライバの正当性をハッシュ値などを用いて検証してから、受信したＶＭイメージ又はドライバをメモリに書き込むようにしてもよい。

　なお、ハイパーバイザが管理しているメモリレイアウト情報（例えば、図２の右欄に示される、物理メモリ内のデータの配置を示す情報）は、一般には、情報処理装置１０の起動時に動的に作成される。しかし、情報処理装置１０は、事前にメモリレイアウト情報を静的に定義しておき、起動イメージに埋め込んでおいてもよい。その場合、情報処理装置１０の起動時に、埋め込まれていた起動イメージが読み込まれるので、監視対象の物理メモリを効率よく特定することができ、処理を高速化できる利点がある。

　（実施の形態の変形例１）
　本変形例において、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制する情報処理装置の別の形態について説明する。

　図８は、本変形例における情報処理装置１０Ａの機能構成を示す模式図である。

　図８に示されるように、情報処理装置１０Ａは、実施の形態における情報処理装置１０と同様に、メモリ１１と、プロセッサ１２とを備える。メモリ１１は、保護領域２１と、非保護領域２２とを有する。

　保護領域２１には、鍵情報２１２が格納されている。

　鍵情報２１２は、非保護領域２２に格納されている、暗号化された監視情報２３１（暗号化監視情報ともいう）を復号するための復号鍵に相当する鍵情報である。

　非保護領域２２には、ＨＶ領域２２０と、ｎ個の仮想マシンの管理領域とが格納されている。また、非保護領域２２には、暗号化監視情報２３１が格納されている。暗号化監視情報２３１は、実施の形態における監視情報２１１が暗号化されたものであり、鍵情報２１２によって復号され得るものである。

　プロセッサ１２は、メモリ１１を用いてプログラムを実行することで、監視部３１Ａと、処理部３２と、制御部３３と、仮想マシン管理部４１とを実現する。監視部３１Ａ以外の機能は、実施の形態における機能と同じであるので詳細な説明を省略する。

　監視部３１Ａは、実施の形態における監視部３１と同様、プロセッサ１２がセキュアモードで動作することで実現される機能である。

　監視部３１Ａは、復号部３４を有する。

　復号部３４は、非保護領域２２に格納されている暗号化監視情報２３１を読み出し、また、保護領域２１に格納されている鍵情報２１２を読み出す。そして、復号部３４は、読み出した監視情報２３１を、読み出した鍵情報２１２を復号鍵として用いて復号することで、監視情報を取得する。

　監視部３１Ａは、復号部３４が取得した監視情報を、実施の形態における監視情報２１１として用いて監視対象の監視を行う。すなわち、監視部３１Ａは、暗号化監視情報２３１と鍵情報２１２とを読み出し、読み出した暗号化監視情報を、読み出した鍵情報２１２で復号することで得られた監視情報に示されている監視態様で監視対象を監視する。

　このようにすると、保護領域２１の容量を圧迫することを回避できる利点がある。保護領域２１の容量が所定容量に限定されており、かつ、監視情報のデータサイズが比較的大きい場合には、保護領域２１に配置するデータのサイズをなるべく小さく抑えることが求められる。このような場合、比較的大きなデータサイズを有する監視情報を、暗号化監視情報２３１として非保護領域２２に配置することで、保護領域２１の容量を圧迫することを回避できる利点がある。

　（実施の形態の変形例２）
　本変形例において、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制する情報処理装置の別の形態について説明する。

　図９は、本変形例における情報処理装置１０Ｂの機能構成を示す模式図である。

　図９に示されるように、情報処理装置１０Ｂは、実施の形態における情報処理装置１０と同様に、メモリ１１と、プロセッサ１２とを備える。メモリ１１は、保護領域２１と、非保護領域２２とを有する。

　メモリ１１が有する領域は、実施の形態におけるものと同じである。

　プロセッサ１２は、メモリ１１を用いてプログラムを実行することで、監視部３１と、処理部３２と、制御部３３と、仮想マシン管理部４１Ａとを実現する。仮想マシン管理部４１Ａ以外の機能は、実施の形態における機能と同じであるので詳細な説明を省略する。

　ここで、仮想マシン管理部４１Ａが、プロセッサ１２がセキュアモードで動作することで実現される機能であることが、実施の形態との違いである。

　仮想マシン管理部４１Ａは、一以上の仮想マシンを稼働させる機能部である。仮想マシン管理部４１Ａは、ＨＶ領域２２０のメモリ領域を使用して実現されている。また、仮想マシン管理部４１Ａは、ＶＭ１領域、ＶＭ２領域、・・・、ＶＭｎ領域を、それぞれ、一以上の仮想マシンのメモリ領域として用いて、一以上の仮想マシンを稼働させている。

　仮想マシン管理部４１Ａは、セキュアモードで実行されているので、仮想マシン間の通信も監視部３１による監視対象となり得る。そのため、仮想マシン管理部４１Ａがノーマルモードで実行される場合（実施の形態における場合）よりも、不正マシン間の通信の監視をしやすい利点がある。

　（実施の形態の変形例３）
　本変形例において、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制する情報処理装置が実行する情報処理方法の別の形態について説明する。

　図１０は、本変形例における情報処理装置が実行する情報処理方法を示すフロー図である。

　情報処理装置は、保護領域と非保護領域とを含むメモリと、メモリの保護領域及び非保護領域へのアクセスが許可される第一モードと、メモリの保護領域へのアクセスが禁止され、非保護領域へのアクセスが許可される第二モードとのいずれかの実行モードに切り替えながら動作するプロセッサとを備える。

　ステップＳ３０１において、プロセッサが第二モードで動作する場合に、一以上の仮想マシンを稼働させる。

　ステップＳ３０２において、プロセッサが第一モードで動作する場合に、一以上の仮想マシンのうちの一の仮想マシン、又は、仮想マシン管理部に割り当てられるメモリの領域を監視対象として監視をし、監視対象に異常があるか否かの判定をする。ステップＳ３０２は、実施の形態におけるステップＳ２０３～Ｓ２０５に対応する。なお、ステップＳ３０２の後、ステップＳ３０２による判定の結果に応じた処理を実行してもよい。当該処理は、実施の形態におけるステップＳ２０６～Ｓ２０７に対応する。

　図１０に示される一連の処理により、情報処理装置は、ハイパーバイザ又は仮想マシンに割り当てられるメモリ領域の改ざんを抑制することができる。

　なお、上記実施の形態および各変形例において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記実施の形態および各変形例の情報処理装置などを実現するソフトウェアは、次のようなプログラムである。

　すなわち、このプログラムは、コンピュータに、情報処理装置が実行する情報処理方法であって、前記情報処理装置は、保護領域と非保護領域とを含むメモリと、前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとのいずれかの実行モードに切り替えながら動作するプロセッサとを備え、前記情報処理方法は、前記プロセッサが前記第二モードで動作する場合に、一以上の仮想マシンを稼働させる仮想マシン管理ステップと、前記プロセッサが前記第一モードで動作する場合に、前記一以上の仮想マシンのうちの一の仮想マシン、又は、前記仮想マシン管理ステップに割り当てられる前記メモリの領域を監視対象として監視をし、前記監視対象に異常があるか否かの判定をする監視ステップとを含む情報処理方法を実行させるプログラムである。

　以上、一つまたは複数の態様に係る情報処理装置などについて、実施の形態に基づいて説明したが、本発明は、この実施の形態に限定されるものではない。本発明の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つまたは複数の態様の範囲内に含まれてもよい。

　本発明は、仮想マシン環境における異常検知装置に利用可能である。

　１０、１０Ａ、１０Ｂ、９０　　情報処理装置
　１１　　メモリ
　１２　　プロセッサ
　２１　　保護領域
　２２　　非保護領域
　３１、３１Ａ　　監視部
　３２　　処理部
　３３　　制御部
　３４　　復号部
　４１、４１Ａ　　仮想マシン管理部
　２１１、２３１　　監視情報
　２１２　　鍵情報
　２２０　　ＨＶ領域
　２２１　　ＶＭ１領域
　２２２　　ＶＭ２領域
　２２ｎ　　ＶＭｎ領域
　Ａ１、Ａ２　　アプリ
　ＨＶ　　ハイパーバイザ
　ＶＭ１、ＶＭ２、ＶＭｎ　　仮想マシン

Claims (12)

1. 　保護領域と非保護領域とを含むメモリと、
   　前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとのいずれかの実行モードに切り替えながら動作するプロセッサと、
   　前記プロセッサが前記第二モードで動作する場合に、一以上の仮想マシンを稼働させる仮想マシン管理部と、
   　前記プロセッサが前記第一モードで動作する場合に、前記一以上の仮想マシンのうちの一の仮想マシン、又は、前記仮想マシン管理部に割り当てられる前記メモリの領域を監視対象として監視をし、前記監視対象に異常があるか否かの判定をする監視部とを備える
   　情報処理装置。
2. 　前記メモリの前記保護領域には、前記監視対象を監視するために用いられる監視情報が格納されており、
   　前記監視部は、前記監視において、
   　前記監視情報を読み出し、読み出した前記監視情報に基づいて前記監視対象を監視する
   　請求項１に記載の情報処理装置。
3. 　前記監視情報には、前記監視対象を監視する監視態様を、前記監視対象に対応付けて示す情報が格納されており、
   　前記監視部は、前記監視において、
   　前記監視情報を読み出し、読み出した前記監視情報に示されている前記監視態様で前記監視対象を監視する
   　請求項２に記載の情報処理装置。
4. 　前記監視情報には、前記監視態様として、前記監視をするタイミングを前記監視対象に対応付けて示す情報が含まれており、
   　前記監視部は、前記監視において、前記監視情報により示される前記タイミングに、前記監視対象を監視する
   　請求項３に記載の情報処理装置。
5. 　前記メモリの前記保護領域には、前記監視対象である前記領域に格納される適正値を示す基準情報とが格納されており、
   　前記監視部は、前記判定において、
   　前記プロセッサが前記第一モードで、前記監視情報を読み出し、読み出した前記監視情報に示されている前記基準情報に、前記監視対象に格納されている値が適合しない場合に、異常があると判定する
   　請求項２～４のいずれか１項に記載の情報処理装置。
6. 　前記情報処理装置は、さらに、
   　前記監視部による判定の結果に応じた処理を実行する処理部を備え、
   　前記監視情報には、さらに、前記監視対象に異常があると判定された場合に前記処理部が実行すべき処理が、前記監視対象に対応付けて示されており、
   　前記処理部は、前記監視対象に異常があると前記監視部が判定した場合には、異常があると判定された前記監視対象に対応付けられた前記処理を実行する
   　請求項２～５のいずれか１項に記載の情報処理装置。
7. 　前記監視情報には、さらに、前記監視対象に要求される安全性のレベルが、前記監視対象に対応付けて示されており、
   　前記処理部は、前記監視対象に異常があると前記監視部が判定した場合には、異常があると判定された前記監視対象に対応付けられた前記レベルに応じた通知処理を実行する
   　請求項６に記載の情報処理装置。
8. 　前記メモリの前記非保護領域には、前記監視対象を監視する監視態様を、前記監視対象に対応付けて示す監視情報であって、暗号化された監視情報である、暗号化監視情報が格納されており、
   　前記メモリの前記保護領域には、前記暗号化監視情報を復号するための鍵情報が格納されており、
   　前記監視部は、前記監視において、
   　前記プロセッサが前記第一モードで、前記暗号化監視情報と前記鍵情報とを読み出し、読み出した前記暗号化監視情報を、読み出した前記鍵情報で復号することで得られた前記監視情報に示されている前記監視態様で前記監視対象を監視する
   　請求項１に記載の情報処理装置。
9. 　前記情報処理装置は、車両に搭載されるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）である
   　請求項１～８のいずれか１項に記載の情報処理装置。
10. 　保護領域と非保護領域とを含むメモリと、
    　前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとのいずれかの実行モードに切り替えながら動作するプロセッサと、
    　前記プロセッサが前記第一モードで動作する場合に、一以上の仮想マシンを稼働させる仮想マシン管理部と、
    　前記プロセッサが前記第一モードで動作する場合に、前記一以上の仮想マシンのうちの一の仮想マシン、又は、前記仮想マシン管理部に割り当てられる前記メモリの領域を監視対象として監視し、前記監視対象に異常があるか否かを判定する監視部とを備える
    　情報処理装置。
11. 　情報処理装置が実行する情報処理方法であって、
    　前記情報処理装置は、
    　保護領域と非保護領域とを含むメモリと、
    　前記メモリの前記保護領域及び前記非保護領域へのアクセスが許可される第一モードと、前記メモリの前記保護領域へのアクセスが禁止され、前記非保護領域へのアクセスが許可される第二モードとのいずれかの実行モードに切り替えながら動作するプロセッサとを備え、
    　前記情報処理方法は、
    　前記プロセッサが前記第二モードで動作する場合に、一以上の仮想マシンを稼働させる仮想マシン管理ステップと、
    　前記プロセッサが前記第一モードで動作する場合に、前記一以上の仮想マシンのうちの一の仮想マシン、又は、前記仮想マシン管理ステップに割り当てられる前記メモリの領域を監視対象として監視をし、前記監視対象に異常があるか否かの判定をする監視ステップとを含む
    　情報処理方法。
12. 　請求項１１に記載の情報処理方法をコンピュータに実行させるためのプログラム。

Images