WO2023119652A1 - 電子制御装置、及びアクセス制御方法 - Google Patents

電子制御装置、及びアクセス制御方法 Download PDF

Info

Publication number
WO2023119652A1
WO2023119652A1 PCT/JP2021/048336 JP2021048336W WO2023119652A1 WO 2023119652 A1 WO2023119652 A1 WO 2023119652A1 JP 2021048336 W JP2021048336 W JP 2021048336W WO 2023119652 A1 WO2023119652 A1 WO 2023119652A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
electronic control
time
access violation
control device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2021/048336
Other languages
English (en)
French (fr)
Inventor
朋仁 蛯名
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Astemo Ltd
Original Assignee
Hitachi Astemo Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Astemo Ltd filed Critical Hitachi Astemo Ltd
Priority to US18/722,020 priority Critical patent/US12541469B2/en
Priority to PCT/JP2021/048336 priority patent/WO2023119652A1/ja
Priority to JP2023569014A priority patent/JP7751660B2/ja
Publication of WO2023119652A1 publication Critical patent/WO2023119652A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14—Protection against unauthorised use of memory or access to memory
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14—Protection against unauthorised use of memory or access to memory
    • G06F12/1458—Protection against unauthorised use of memory or access to memory by checking the subject access rights
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/54—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by adding security routines or objects to programs
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules

Definitions

  • the present invention relates to arithmetic processing technology for vehicle control devices, and more particularly to access control technology for memory and input/output devices.
  • Microcomputers installed in recent electronic control units set access rights to memory and detect violations of rights to detect processing abnormalities due to unauthorized access due to program bugs and defects. ing.
  • a hypervisor and a virtual machine (a method that makes it appear as if it is occupying the microcomputer from the internal program) was introduced to detect unauthorized access. By restarting or stopping the virtual machine, it is possible to degrade to prevent the spread of failures.
  • Zone-ECU which manages in-vehicle communications
  • Zone-ECU which manages in-vehicle communications
  • Patent Document 1 Japanese Patent Application Laid-Open No. 2018-18274
  • a memory protection violation interrupt is provided with a microcomputer having a memory protection unit that generates The microcomputer counts the number of violation accesses, and disables the generation of the memory protection violation interrupt when the counted number exceeds a predetermined number. Therefore, after disabling the memory protection violation interrupt, it is possible to continue executing the program without terminating the current process or restarting the OS. In this case, the protection by the memory protection unit is continued, so an electronic control device is described that can safely continue the execution of the program.
  • the instruction set is simplified by treating the control registers of input/output devices as a type of memory.
  • the data is stored in the buffer, the CPU continues processing, and the input/output device performs processing by referring to the data in the buffer at a timing different from that of the CPU.
  • the microcomputer's access violation detection mechanism operates when the CPU accesses the data bus, and when an access violation is detected, it can generate an interrupt without delay and notify the OS of the violation.
  • control registers of input/output devices are also a type of memory
  • access violations to control registers can be detected by the access violation detection mechanism described above.
  • the access violation detection mechanism on the CPU side has an upper limit on the number of memory areas that can be set, access to input/output devices is often prohibited or permitted all at once.
  • Some microcomputers are configured with an access violation detection mechanism on the input/output device side in order to protect the input/output device even when access to the control register is collectively permitted.
  • the timing at which the access authority violation is detected in the input/output device may differ from the timing at which the processing caused by the CPU is performed. In other words, when the detection of authority violation is notified by interrupt, there is a possibility that another process is already being executed at the time of interrupt processing.
  • interrupts are disabled during the execution of processes that need to maintain consistency, and a delay may occur due to interrupt detection. This delay becomes noticeable in an OS that manages multiple tasks. That is, when the OS switches tasks, it is common to disable interrupts in order to maintain the consistency of management information inside the OS. , the processing after detection is delayed, so there is a possibility that the causative task is erroneously determined.
  • the present invention has been made to solve the above-mentioned problems, and aims to correctly determine the cause task of authority violation.
  • an electronic control device comprising an arithmetic unit for executing a program, a memory accessible by the arithmetic unit, an access violation detection mechanism for monitoring access from the arithmetic unit to the memory, and the access violation detection mechanism.
  • a time storage mechanism that stores a detection time at which an access violation is detected by the arithmetic unit, the arithmetic unit stores the switching time at the timing of switching the task to be executed, and the time storage mechanism stores the time at which the access violation is detected. The time is stored, and the computing device identifies the task causing the access violation by comparing the switching time and the detection time.
  • FIG. 1 is a configuration diagram of an electronic control unit of Example 1.
  • FIG. 4 is a sequence diagram of task execution by the OS and processing after detection of a violation;
  • FIG. 10 is a configuration diagram of an electronic control unit of Example 2;
  • FIG. 11 is a configuration diagram of an electronic control unit of Example 3;
  • FIG. 11 is a configuration diagram of an electronic control unit of Example 6;
  • FIG. 11 is a configuration diagram of an electronic control unit of Example 7;
  • FIG. 1 is a configuration diagram of an electronic control unit 1 according to the first embodiment.
  • This embodiment shows a method of generating an interrupt with an error notification when an access violation to a memory or input/output device is detected.
  • the electronic control unit 1 is a vehicle control unit suitable for mounting on a vehicle, and has a CPU block 11 and an input/output block 12.
  • the CPU block 11 and the input/output block 12 are connected via a bus buffer 13. be done.
  • the bus buffer 13 absorbs the difference in data transmission/reception speed between the CPU block 11 and the input/output block 12 .
  • the CPU block 11 has a CPU 111 that performs arithmetic processing, an access violation detection mechanism 112, a memory 113, an interrupt controller 114, and a timer 115.
  • Access violation detection mechanism 112 monitors accesses to memory 113 and sends error notification 116 to interrupt controller 114 when an access violation occurs.
  • an access authority (reading authority, writing authority, erasing authority) is set for each task and for each area of the memory 113. Detects access to as an access violation.
  • the interrupt controller 114 generates an interrupt to the CPU 111 upon receiving an error notification 116 resulting from a violation of access to the memory 113 .
  • a timer 115 provides time to each unit in the CPU block 11 .
  • the input/output block 12 has an input/output device 121 .
  • the input/output device 121 has an access violation detection mechanism 122 and a control register 123 and receives an access request to the control register 123 from the CPU 111 via the bus buffer 13 .
  • the access violation detector 122 monitors accesses to the control register 123 and sends an error notification 124 to the interrupt controller 114 when an access violation occurs.
  • Access authority is set for each task in the input/output block 12, and the access violation detection mechanism 112 detects access from a task for which no access authority is set as an access violation.
  • the interrupt controller 114 generates an interrupt to the CPU 111 upon receiving an error notification 124 caused by an access violation to the control register 123 .
  • a program that controls the ECU is executed by the CPU 111 and operates under an operating system (OS) for each task that is its constituent unit.
  • OS operating system
  • the OS switches tasks while interrupts are disabled in order to maintain consistency of internal management information. Also, the OS saves the current time (task switching time) when switching tasks.
  • the interrupt caused by the notification from the access violation detection mechanism 122 of the input/output block 12 is a non-maskable interrupt that can be accepted even in the interrupt disabled state, and the interrupt generation time is saved in the interrupt process.
  • the OS determines whether or not there is an access violation at the timing of releasing the interrupt prohibition, and identifies the task that was being executed when the access violation occurred by comparing the task switching time and the violation occurrence time.
  • FIG. 2 is a sequence diagram of task execution by the OS and processing after violation detection.
  • the OS manages and executes tasks.
  • the CPU 111 activates task A.
  • task A accesses the input/output device 121.
  • the bus buffer 13 holds the access request.
  • step 213 the CPU 111 (OS) prohibits interrupts and starts task switching processing
  • step 214 the CPU 111 saves the task switching start time
  • step 215 the CPU 111 executes task switching processing.
  • the pending access request is processed.
  • the access violation detection mechanism 122 determines whether or not access to the input/output device 121 is permitted. Then, the access violation detection mechanism 122 notifies the CPU 111 of the access error.
  • the CPU 111 accepts the access error even in the interrupt disabled state by NMI (non-maskable interrupt) processing in step 251, saves the access violation occurrence time in step 252, and performs NMI processing in step 253. finish.
  • NMI non-maskable interrupt
  • step 216 the CPU 111 saves the task switching completion time, and in step 217 the CPU 111 completes the task switching process and cancels the interrupt prohibition. Thereafter, in step 218, access violation identification processing is performed.
  • step 218 the CPU 111 compares the task switching completion time and the access violation occurrence time, and executes access violation identification processing to identify the cause task.
  • the identified task causing the access violation may continue to be executed as it is, but it is preferable to execute a predetermined process such as stopping or restarting the task.
  • interrupts may be disabled by changing the interrupt acceptance level.
  • the interrupt disable level in the OS may be lowered by one level, and normal interrupts may be used instead of NMI.
  • FIG. 3 is a configuration diagram of the electronic control unit 1 of the second embodiment.
  • the electronic control unit 1 is provided with a hypervisor 34 that manages the operation of the OS so that tasks operate under the control of the OS.
  • the hypervisor 34 has a function of accepting an interrupt even when the OS is in an interrupt disabled state, and generating an interrupt to the OS when the OS cancels the interrupt.
  • the access violation detection mechanism 112 detects the access violation and notifies the hypervisor 34 of it.
  • the access violation identification mechanism 341 of the hypervisor 34 executes the NMI processing (steps 251 to 253) performed by the CPU 111 in the first embodiment, and notifies the arithmetic device of the access violation according to the detection result of the access violation detection mechanism 112. Generate an interrupt. Therefore, it is not necessary to change the interrupt processing level for the CPU 111 managed by the OS.
  • the time from access request suspension (step 221) to access request processing (step 222) is longer than the task switching process in step 215 (that is, the processing time of the CPU 111 is much shorter than the delay of the bus buffer 13). ) In a high-speed microcomputer, simply comparing the task switching time and the access violation detection time may not correctly identify the task being executed when the access violation occurred.
  • the delay time from access request suspension (step 221) to access request processing (step 222) is measured, and the measured delay time is added to task switching time at the time of determination in access violation processing (step 218). Then, after correcting the time, the task switching time and the violation occurrence time are compared.
  • the delay time caused by the bus buffer 13 or the like allows the task being executed when the access violation occurred to be correctly identified, and the safety of the control by the electronic control unit 1 can be improved.
  • FIG. 4 is a configuration diagram of the electronic control unit 1 of the third embodiment.
  • the electronic control unit 1 of Example 3 has a hypervisor 34 that provides virtual machines each operating as an independent microcomputer.
  • a virtual machine A31 and a virtual machine B32 managed by the hypervisor 34 are running.
  • the hypervisor 34 saves the switching times of the virtual machines 31 and 32 .
  • Each virtual machine 31 , 32 accesses memory 113 .
  • the access violation detection mechanism 112 monitors access to the memory 113 from each of the virtual machines 31 and 32, and sends an error notification to the access violation identification mechanism 341 when an access violation occurs.
  • the access violation identification mechanism 341 saves the access violation detection time, compares the switching time of the virtual machines 31 and 32 saved by the hypervisor 34 with the access violation detection time, and determines whether the virtual machine causing the access violation identify.
  • the electronic control unit 1 having the hypervisor 34 that provides a virtual machine can integrate functions such as the engine control function and the motor control function, which are conventionally configured by different ECUs. By resetting or stopping the virtual machine that causes unauthorized access, the operation of the electronic control unit 1 can be restored to normal while other normal virtual machines continue to run.
  • the engine control function and the motor control function are constructed with virtual machines 31 and 32, respectively.
  • the access violation identification mechanism 341 of the hypervisor 34 identifies the virtual machine that caused the access violation, issues an instruction to the virtual machine stop mechanism 342, and stops the virtual machine that caused the access violation. Stop and restart. If the virtual machine A31 is the cause of the access violation, only the virtual machine A31 may be restarted, and if the virtual machine B32 is the cause, the entire electronic control unit 1 may be restarted.
  • the task that caused the access violation is stopped and the functions of the electronic control unit 1 are restricted.
  • Appropriate degeneration processing according to the degree of importance of functions can be performed while ensuring safety by not generating control.
  • FIG. 5 is a configuration diagram of the electronic control unit 1 of the sixth embodiment.
  • a virtual machine C33 that provides a security management function is operating.
  • Virtual machine C33 is managed by hypervisor 34 in the same manner as virtual machine A31 and virtual machine B32. If the virtual machine A31 or B32 is the cause of the access violation, only the virtual machine that caused the access violation is restarted. Ensure the safety of the entire vehicle by determining that an infringement has occurred, stopping the entire electronic control unit 1 to shift to a safe state, or notifying other electronic control units of unauthorized access. do.
  • the task set according to the task (virtual machine) that caused the access violation is stopped, restarted, or notified to other processing (another ECU).
  • Appropriate degeneracy processing according to the importance of functions can be performed while ensuring safety by restricting some or all of the functions.
  • FIG. 6 is a configuration diagram of the electronic control unit 1 of the seventh embodiment.
  • the access violation occurrence time is acquired by a dedicated circuit outside the CPU or another CPU core.
  • the access violation detection mechanism 112 sends an error notification 124 to the time retention mechanism 117.
  • the time holding mechanism 117 acquires the time from the timer 115 and saves it.
  • the access violation detection mechanism 122 of the input/output block 12 sends an error notification 124 to the time keeping mechanism 117 .
  • the time holding mechanism 117 only needs to have a function of acquiring and holding the time from the timer 115, and may transfer the time from the timer 115 to the memory 113 using DMA. Also, if the multi-core microcomputer has a plurality of CPUs, other CPUs may perform the processing.
  • the electronic control unit of the embodiment of the present invention includes an arithmetic unit (CPU 111) that executes a program, a memory 113 that can be accessed by the arithmetic unit 111, and access from the arithmetic unit 111 to the memory 113. Equipped with an access violation detection mechanism 112 to monitor and a time storage mechanism (CPU 111, time storage mechanism 117) that stores the time when an access violation is detected by the access violation detection mechanism 112, the arithmetic unit 111 switches tasks to be executed.
  • the timing saves the switching time
  • the time saving mechanism saves the detection time when the access violation is detected
  • the arithmetic unit 111 identifies the task that caused the access violation by comparing the switching time and the detection time. , the task that caused the privilege violation can be determined correctly. Also, in an ECU having a plurality of tasks, even if the detection of an access authority violation is delayed, the task causing the violation can be identified and normal function processing can be continued.
  • the present invention is not limited to the above-described embodiments, and includes various modifications and equivalent configurations within the scope of the attached claims.
  • the above-described embodiments have been described in detail for easy understanding of the present invention, and the present invention is not necessarily limited to those having all the described configurations.
  • part of the configuration of one embodiment may be replaced with the configuration of another embodiment.
  • the configuration of another embodiment may be added to the configuration of one embodiment.
  • additions, deletions, and replacements of other configurations may be made for a part of the configuration of each embodiment.
  • each configuration, function, processing unit, processing means, etc. described above may be realized by hardware, for example, by designing a part or all of them with an integrated circuit, and the processor realizes each function. It may be realized by software by interpreting and executing a program to execute.
  • Information such as programs, tables, and files that implement each function can be stored in storage devices such as memories, hard disks, SSDs (Solid State Drives), or recording media such as IC cards, SD cards, and DVDs.
  • storage devices such as memories, hard disks, SSDs (Solid State Drives), or recording media such as IC cards, SD cards, and DVDs.
  • control lines and information lines indicate those that are considered necessary for explanation, and do not necessarily indicate all the control lines and information lines necessary for implementation. In practice, it can be considered that almost all configurations are interconnected.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Bioethics (AREA)
  • Storage Device Security (AREA)

Abstract

電子制御装置であって、プログラムを実行する演算装置と、前記演算装置がアクセス可能なメモリと、前記演算装置から前記メモリへのアクセスを監視するアクセス違反検出機構と、前記アクセス違反検出機構によってアクセス違反が検出された検出時刻を保存する時刻保存機構とを備え、前記演算装置は、実行するタスクを切り替えるタイミングで切替時刻を保存し、前記時刻保存機構は、前記アクセス違反が検出された時刻を保存し、前記演算装置は、前記切替時刻と前記検出時刻との比較によって、前記アクセス違反を生じたタスクを特定する。

Description

電子制御装置、及びアクセス制御方法
　本発明は、車両制御装置の演算処理技術に関し、特に、メモリや入出力装置へのアクセス制御技術に関する。
　近年の電子制御装置（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）が搭載するマイコンでは、メモリへのアクセス権限を設定し、権限違反を検出することで、プログラムのバグや不具合などによる不正アクセスによる処理異常を検出している。
　また、異なる機能を持つＥＣＵを一つのＥＣＵに統合するため、ハイパーバイザと仮想マシン（内部のプログラムからは、自身がマイコンを占有しているように見せる手法）を導入し、不正アクセスを検出した仮想マシンを再起動又は停止することで、障害の波及を防ぐ縮退が可能となっている。
　さらに、車内の通信を管理するＺｏｎｅ－ＥＣＵにおけるセキュリティ侵害は、車両制御に深刻な事態を生じるため、不正なアクセスを検知した場合、ＥＣＵ全体の通信を遮断するなど、安全状態に移行する必要がある。
　本技術分野の背景技術として、以下の先行技術がある。特許文献１（特開２０１８－１８２７４号公報）には、電子制御装置は、アクセスが認められたメモリ領域外へのアクセスを違反アクセスとして禁止するとともに、違反アクセスが生じた場合にメモリ保護違反割込みを発生させるメモリ保護部を有するマイコンを備えている。マイコンは、違反アクセスの回数をカウントし、カウントされた回数が所定回数以上となった場合に、メモリ保護違反割込みの発生を無効化する。このため、メモリ保護違反割込みの無効化後は、現行のプロセスが終了されたり、ＯＳがリスタートされたりすることなく、プログラムの実行を継続することが可能になる。この場合、メモリ保護部による保護は継続されるので、安全にプログラムの実行を継続させることができる電子制御装置が記載されている。
特開２０１８－１８２７４公報
　近年のマイコンでは、入出力装置の制御レジスタをメモリの一種として扱うことで命令セットを単純化している。しかし、マイコンのＣＰＵの動作速度と入出力装置の速度は大きな差があるため、低速な制御レジスタへのアクセスが完了するまでＣＰＵを待たせることは、効率的ではない。そこで、バッファにデータを保存し、ＣＰＵは処理を継続し、入出力装置はＣＰＵと異なるタイミングで、バッファのデータを参照して処理を行うとよい。
　マイコンのアクセス違反検出機構は、多くの場合ＣＰＵからデータバスへのアクセス時に動作し、アクセス違反検出時には遅延なく割り込みを発生し、ＯＳに違反を通知できる。
　入出力装置の制御レジスタもメモリの一種であるため、前述のアクセス違反検出機構で、制御レジスタへのアクセス違反を検出できる。しかし、ＣＰＵ側のアクセス違反検出機構は設定できるメモリ領域数の上限があるため、入出力装置へのアクセスは一括禁止か一括許可とする場合が多い。
　制御レジスタへのアクセスを一括許可した場合でも入出力装置を保護するため、入出力装置側のアクセス違反検出機構を設ける構成のマイコンがある。このようなマイコンでは、バッファ経由で入出力装置にアクセスするため、入出力装置においてアクセス権限違反を検出したタイミングと、ＣＰＵが原因となる処理を行ったタイミングが異なる場合がある。つまり、権限違反の検出を割り込みで通知する場合、割込処理時点では、すでに別の処理が実行されている可能性がある。
　また、一般的には、一貫性を保つ必要がある処理の実行中は、割り込み禁止に設定されており、割り込みの検出によって遅延が発生することがある。この遅延は、複数のタスクを管理するＯＳにおいて顕著となる。すなわち、ＯＳがタスクを切り替える際に、ＯＳ内部の管理情報の一貫性を保つため、割り込み禁止で実行することが一般的であり、アクセス権限違反を検出しても、割り込み禁止が解除されるまで、検出後の処理が遅延するため、原因タスクを誤って判定する可能性がある。
　本発明は、前述の課題を解決するためになされたものであり、権限違反の原因タスクを正しく判定することを目的とする。
　本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、電子制御装置であって、プログラムを実行する演算装置と、前記演算装置がアクセス可能なメモリと、前記演算装置から前記メモリへのアクセスを監視するアクセス違反検出機構と、前記アクセス違反検出機構によってアクセス違反が検出された検出時刻を保存する時刻保存機構とを備え、前記演算装置は、実行するタスクを切り替えるタイミングで切替時刻を保存し、前記時刻保存機構は、前記アクセス違反が検出された時刻を保存し、前記演算装置は、前記切替時刻と前記検出時刻との比較によって、前記アクセス違反を生じたタスクを特定することを特徴とする。
　本発明の一態様によれば、権限違反の原因タスクを正しく判定できる。前述した以外の課題、構成及び効果は、以下の実施例の説明によって明らかにされる。
実施例１の電子制御装置の構成図である。 ＯＳによるタスク実行と違反検出後の処理のシーケンス図である。 実施例２の電子制御装置の構成図である。 実施例３の電子制御装置の構成図である。 実施例６の電子制御装置の構成図である。 実施例７の電子制御装置の構成図である。
　以下、本発明の実施例を図面を参照して説明する。
　＜実施例１＞
　図１は、実施例１の電子制御装置１の構成図である。
　本実施例では、メモリや入出力装置へのアクセス違反が検出されると、エラー通知による割り込みを発生させる方法を示す。
　電子制御装置１は、車両への搭載に好適な車両制御装置であって、ＣＰＵブロック１１と入出力ブロック１２とを有し、ＣＰＵブロック１１と入出力ブロック１２とはバスバッファ１３を介して接続される。バスバッファ１３は、ＣＰＵブロック１１と入出力ブロック１２とのデータ送受信速度の差を吸収する。
　ＣＰＵブロック１１は、演算処理を行うＣＰＵ１１１と、アクセス違反検出機構１１２とメモリ１１３と、割り込みコントローラ１１４と、タイマ１１５とを有する。アクセス違反検出機構１１２は、メモリ１１３へのアクセスを監視し、アクセス違反が発生すると、エラー通知１１６を割り込みコントローラ１１４に送る。メモリ１１３には、タスク毎かつメモリ１１３の領域毎にアクセス権限（読出権限、書込権限、消去権限）が設定されており、アクセス違反検出機構１１２は、タスクにアクセス権限が設定されていない領域へのアクセスをアクセス違反として検出する。割り込みコントローラ１１４は、メモリ１１３へのアクセスに違反に起因するエラー通知１１６を受信すると、ＣＰＵ１１１へ割り込みを発生する。タイマ１１５はＣＰＵブロック１１内の各部に時刻を提供する。
　入出力ブロック１２は、入出力装置１２１を有する。入出力装置１２１は、アクセス違反検出機構１２２と制御レジスタ１２３とを有し、ＣＰＵ１１１からのバスバッファ１３を経由した制御レジスタ１２３へのアクセス要求を受ける。アクセス違反検出機構１２２は、制御レジスタ１２３へのアクセスを監視し、アクセス違反が発生すると、エラー通知１２４を割り込みコントローラ１１４に送る。入出力ブロック１２には、タスク毎にアクセス権限が設定されており、アクセス違反検出機構１１２は、アクセス権限が設定されていないタスクからのアクセスをアクセス違反として検出する。割り込みコントローラ１１４は、制御レジスタ１２３へのアクセス違反に起因するエラー通知１２４を受信すると、ＣＰＵ１１１へ割り込みを発生する。
　ＥＣＵを制御するプログラムは、ＣＰＵ１１１で実行され、その構成単位であるタスク毎にオペレーティングシステム（ＯＳ）の下で動作する。ＯＳは、内部の管理情報の一貫性を保つために、割り込み禁止状態でタスクを切り替える。また、ＯＳは、タスクを切り替える際に、現在時刻（タスク切替時刻）を保存する。
　入出力ブロック１２のアクセス違反検出機構１２２からの通知に起因する割り込みは、割り込み禁止状態でも受付可能なマスク不能割り込みで行い、割り込み処理において、割り込み発生時刻を保存する。
　ＯＳは、割り込み禁止を解除するタイミングで、アクセス違反の有無を判定し、タスク切り替えの時刻と違反発生時刻とを比較することで、アクセス違反発生時に実行されていたタスクを特定する。
　図２は、ＯＳによるタスク実行と違反検出後の処理のシーケンス図である。
　ＣＰＵ１１１では、ＯＳがタスクを管理して実行する。ステップ２１１で、ＣＰＵ１１１がタスクＡを起動し、ステップ２１２で、タスクＡが入出力装置１２１へアクセスし、ステップ２２１で、バスバッファ１３がアクセス要求を保留する。
　一方、ステップ２１３で、ＣＰＵ１１１（ＯＳ）が割り込みを禁止し、タスク切り替え処理を開始し、ステップ２１４で、ＣＰＵ１１１がタスク切り替え開始時刻を保存し、ステップ２１５で、ＣＰＵ１１１がタスク切り替え処理を実行する。
　この処理と並行して、ステップ２２２でバスバッファ１３がアクセス要求の処理が可能になったタイミングで、保留されていたアクセス要求の処理を実行する。
　ステップ２３１で、アクセス違反検出機構１２２が入出力装置１２１へのアクセスの可否を判定し、アクセス許可であれば、ステップ２４１で制御レジスタ１２３へのアクセスを実施し、アクセス違反であれば、ステップ２３２で、アクセス違反検出機構１２２がアクセスエラーをＣＰＵ１１１に通知する。
　ＣＰＵ１１１は、アクセスエラーが通知されると、ステップ２５１でＮＭＩ（マスク不能割り込み）処理によって、割り込み禁止状態でもアクセスエラーを受け付け、ステップ２５２でアクセス違反発生時刻を保存して、ステップ２５３でＮＭＩ処理を終了する。
　タスク切り替え処理が終了すると、ステップ２１６で、ＣＰＵ１１１がタスク切り替え完了時刻を保存し、ステップ２１７でＣＰＵ１１１がタスク切り替え処理を完了し、割り込み禁止を解除する。その後、ステップ２１８でアクセス違反特定処理を行う。
　その後、ステップ２１８で、ＣＰＵ１１１がタスクの切り替え完了時刻とアクセス違反の発生時刻を比較し、原因のタスクを特定するアクセス違反特定処理を実行する。特定されたアクセス違反の原因のタスクは、そのまま継続して実行されてもよいが、停止する、再起動するなどの所定の処理が実行されるとよい。
　なお、割り込み受付レベルが設定可能なマイコンでは、割り込み受付レベルの変更によって割り込み禁止を実現することがある。その場合、ＯＳでの割り込み禁止レベルを一段階低くし、ＮＭＩの代わりに通常の割り込みを使用してもよい。
　次に、本発明の他の実施例を説明する。以下に説明する他の実施例では、前述した実施例１と異なる構成を主に説明し、実施例１と同じ構成には同じ符号を付し、それらの説明は省略する。
　次に、本発明の他の実施例を説明する。他の実施例では、実施例１と異なる構成及び処理を主に説明し、実施例１と同じ構成及び処理の説明は省略する。
　＜実施例２＞
　図３は、実施例２の電子制御装置１の構成図である。
　電子制御装置１には、タスクがＯＳの管理下で動作するように、ＯＳの動作を管理するハイパーバイザ３４が設けられる。ハイパーバイザ３４は、ＯＳが割り込み禁止状態でも、割り込みを受け付け、ＯＳが割り込み解除した際に、ＯＳに対して割り込みを発生させる機能を有する。
　タスクであるエンジン制御機能３１０及びモータ制御機能３２０からメモリ１１３へのアクセスに違反があれば、アクセス違反検出機構１１２がアクセス違反を検出し、ハイパーバイザ３４に通知する。ハイパーバイザ３４のアクセス違反特定機構３４１は、実施例１でＣＰＵ１１１が行っているＮＭＩ処理（ステップ２５１～２５３）を実行し、アクセス違反検出機構１１２による検出結果に従って、アクセス違反を演算装置に通知する割り込みを発生する。このため、ＯＳが管理するＣＰＵ１１１に対する割り込み処理のレベルを変更する必要がない。
　＜実施例３＞
　実施例１において、アクセス要求保留（ステップ２２１）からアクセス要求処理（ステップ２２２）までの時間が、ステップ２１５タスク切り替え処理より長い（すなわち、バスバッファ１３の遅延より、ＣＰＵ１１１の処理時間が大幅に短い）高速なマイコンにおいては、タスク切り替え時刻とアクセス違反検出時刻とを単純に比較しても、アクセス違反発生時に実行されていたタスクを正しく特定できないことがある。
　この時、アクセス要求保留（ステップ２２１）からアクセス要求処理（ステップ２２２）までの遅延時間を計測して、アクセス違反処理（ステップ２１８）での判定時に、計測された遅延時間をタスク切り替え時刻に加算して、時刻を補正後に、タスク切り替えの時刻と違反発生時刻とを比較する。
　このように、実施例３では、バスバッファ１３などによる遅延時間によって、アクセス違反発生時に実行されていたタスクを正しく特定でき、電子制御装置１による制御の安全性を向上できる。
　＜実施例４＞
　図４は、実施例３の電子制御装置１の構成図である。実施例３の電子制御装置１は、それぞれが独立したマイコンとして動作する仮想マシンを提供するハイパーバイザ３４を有する。
　電子制御装置１では、ハイパーバイザ３４が管理する仮想マシンＡ３１と仮想マシンＢ３２が動作している。ハイパーバイザ３４は、仮想マシン３１、３２の切替時刻を保存する。各仮想マシン３１、３２はメモリ１１３にアクセスする。アクセス違反検出機構１１２は、各仮想マシン３１、３２からメモリ１１３へのアクセスを監視し、アクセス違反が発生すると、エラー通知をアクセス違反特定機構３４１に送る。アクセス違反特定機構３４１は、アクセス違反の検出時刻を保存し、ハイパーバイザ３４が保存する仮想マシン３１、３２の切替時刻とアクセス違反の検出時刻とを比較し、アクセス違反の原因となった仮想マシンを特定する。
　＜実施例５＞
　エンジン制御機能とモータ制御機能のように、従来は異なるＥＣＵで構成していた機能を、仮想マシンを提供するハイパーバイザ３４を有する電子制御装置１によって統合できる。不正アクセスの原因となる仮想マシンのリセットや停止によって、他の正常な仮想マシンの実行を継続しつつ、電子制御装置１の動作を正常に復帰できる。
　例えば、図４に示すように、エンジン制御機能とモータ制御機能のそれぞれを仮想マシン３１、３２で構築する。ハイパーバイザ３４のアクセス違反特定機構３４１は、エラー通知を受信すると、アクセス違反の原因となった仮想マシンを特定し、仮想マシン停止機構３４２に指示を出し、アクセス違反の原因となった仮想マシンを停止し、再起動する。また、仮想マシンＡ３１がアクセス違反の原因であれば、仮想マシンＡ３１のみを再起動、仮想マシンＢ３２が原因であれば、電子制御装置１全体を再起動してもよい。
　実施例５では、アクセス違反を生じたタスクを停止し、電子制御装置１の機能を制限するので、例えばエンジン制御機能に問題が発生しても、モータ制御機能の動作を継続するなど、異常な制御を発生させないことによって安全を担保しつつ、機能の重要度に応じた適切な縮退処理ができる。
　＜実施例６＞
　図５は、実施例６の電子制御装置１の構成図である。実施例６の電子制御装置１では、仮想マシンＡ３１と仮想マシンＢ３２の他、セキュリティ管理機能を提供する仮想マシンＣ３３が動作している。仮想マシンＣ３３は、仮想マシンＡ３１と仮想マシンＢ３２と同様にハイパーバイザ３４によって管理される。仮想マシンＡ３１や仮想マシンＢ３２がアクセス違反の原因であれば、アクセス違反の原因となった仮想マシンのみを再起動し、セキュリティ管理機能を提供する仮想マシンＣ３３が不正アクセスの原因であれば、セキュリティ侵害が発生したと判定して、電子制御装置１の全体を停止して安全な状態に移行したり、他の電子制御装置に不正アクセスを通知したりすることで、車両全体の安全性を確保する。
　実施例６では、アクセス違反を生じたタスク（仮想マシン）に応じて設定されたタスクを停止したり、再起動したり、他の処理（他のＥＣＵ）に通知するので、電子制御装置１の一部又は全部の機能を制限することによって安全を担保しつつ、機能の重要度に応じた適切な縮退処理ができる。
　＜実施例７＞
　図６は、実施例７の電子制御装置１の構成図である。実施例７の電子制御装置１では、アクセス違反の発生時刻をＣＰＵ外の専用回路や他のＣＰＵコアで取得する。
　電子制御装置１では、ＣＰＵ１１１がメモリ１１３へ不正なアクセスを行った際、アクセス違反検出機構１１２が時刻保持機構１１７へエラー通知１２４を送る。時刻保持機構１１７は、タイマ１１５から時刻を取得して、保存する。また、入出力ブロック１２のアクセス違反検出機構１２２は、時刻保持機構１１７へエラー通知１２４を送る。なお、時刻保持機構１１７は、タイマ１１５から時刻を取得して保持する機能を有せばよく、ＤＭＡを用いて、タイマ１１５からメモリ１１３へ時刻を転送してもよい。また、複数のＣＰＵを有するマルチコアマイコンであれば、他のＣＰＵが処理してもよい。
　以上に説明したように、本発明の実施例の電子制御装置は、プログラムを実行する演算装置（ＣＰＵ１１１）と、演算装置１１１がアクセス可能なメモリ１１３と、演算装置１１１からメモリ１１３へのアクセスを監視するアクセス違反検出機構１１２と、アクセス違反検出機構１１２によってアクセス違反が検出された時刻を保存する時刻保存機構（ＣＰＵ１１１、時刻保持機構１１７）とを備え、演算装置１１１は、実行するタスクを切り替えるタイミングで切替時刻を保存し、時刻保存機構は、アクセス違反が検出された検出時刻を保存し、演算装置１１１は、切替時刻と検出時刻との比較によって、アクセス違反を生じたタスクを特定するので、権限違反の原因タスクを正しく判定できる。また、複数のタスクを有するＥＣＵにおいて、アクセス権限違反の検出が遅延する場合でも、違反の原因タスクを特定し、正常な機能の処理を継続できる。
　なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。
　また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。
　各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。
　また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

Claims (11)

  1. 　電子制御装置であって、
    　プログラムを実行する演算装置と、
    　前記演算装置がアクセス可能なメモリと、
    　前記演算装置から前記メモリへのアクセスを監視するアクセス違反検出機構と、
    　前記アクセス違反検出機構によってアクセス違反が検出された時刻を保存する時刻保存機構とを備え、
    　前記演算装置は、実行するタスクを切り替えるタイミングで切替時刻を保存し、
    　前記時刻保存機構は、前記アクセス違反が検出された検出時刻を保存し、
    　前記演算装置は、前記切替時刻と前記検出時刻との比較によって、前記アクセス違反を生じたタスクを特定することを特徴とする電子制御装置。
  2. 　請求項１に記載の電子制御装置であって、
    　前記タスク毎に、前記メモリの記憶領域へのアクセス権限が設定されており、
    　前記アクセス違反検出機構は、前記タスクから前記メモリへのアクセスが、前記設定されたアクセス権限に従っているかを監視し、前記アクセス権限を超えたアクセス違反を前記演算装置に通知することを特徴とする電子制御装置。
  3. 　請求項１に記載の電子制御装置であって、
    　前記演算装置からアクセス可能な入出力装置を備え、
    　前記アクセス違反検出機構は、前記演算装置から前記入出力装置へのアクセスを監視し、
    　前記時刻保存機構は、前記入出力装置へのアクセス違反が検出された時刻を保存し、
    　前記演算装置は、前記切替時刻と前記検出時刻との比較によって、前記アクセス違反を生じたタスクを特定することを特徴とする電子制御装置。
  4. 　請求項１に記載の電子制御装置であって、
    　前記演算装置は、前記演算装置が割り込み禁止中でも受け付けられるレベルの割り込みによって、前記アクセス違反の通知を受けることを特徴とする電子制御装置。
  5. 　請求項１に記載の電子制御装置であって、
    　前記時刻保存機構は、前記演算装置とは別に設けられることを特徴とする電子制御装置。
  6. 　請求項１に記載の電子制御装置であって、
    　前記演算装置ではハイパーバイザが動作しており、
    　前記ハイパーバイザは、前記アクセス違反検出機構による検出結果に従って、アクセス違反を前記演算装置に通知する割り込みを発生することを特徴とする電子制御装置。
  7. 　請求項６に記載の電子制御装置であって、
    　前記ハイパーバイザは、タスクが実行される仮想マシンを提供し、
    　前記時刻保存機構は、前記アクセス違反が検出された時刻を保存し、
    　前記演算装置は、前記切替時刻と前記検出時刻との比較によって、前記アクセス違反を生じた仮想マシンを特定して、前記特定された仮想マシンで実行されるタスクを、前記アクセス違反を生じたタスクを特定することを特徴とする電子制御装置。
  8. 　請求項３に記載の電子制御装置であって、
    　前記演算装置は、前記入出力装置へのアクセス要求が処理されるまでの保留時間によって前記切替時刻を補正し、前記補正された切替時刻と前記検出時刻との比較によって、前記アクセス違反を生じたタスクを特定することを特徴とする電子制御装置。
  9. 　請求項１に記載の電子制御装置であって、
    　前記演算装置は、前記アクセス違反を生じたタスクを停止し、前記電子制御装置の機能を制限することを特徴とする電子制御装置。
  10. 　請求項１に記載の電子制御装置であって、
    　前記演算装置は、前記アクセス違反の検出後に、前記アクセス違反を生じたタスクに応じて、前記電子制御装置の一部又は全部の機能を制限することを特徴とする電子制御装置。
  11. 　電子制御装置におけるアクセス制御方法であって、
    　前記電子制御装置は、プログラムを実行する演算装置と、前記演算装置がアクセス可能なメモリと、前記演算装置から前記メモリへのアクセスを監視するアクセス違反検出機構と、前記アクセス違反検出機構によってアクセス違反が検出された検出時刻を保存する時刻保存機構とを有し、
    　前記アクセス制御方法は、
    　前記演算装置が、実行するタスクを切り替えるタイミングで切替時刻を保存し、
    　前記時刻保存機構が、前記アクセス違反が検出された時刻を保存し、
    　前記演算装置が、前記切替時刻と前記検出時刻との比較によって、前記アクセス違反を生じたタスクを特定することを特徴とするアクセス制御方法。
PCT/JP2021/048336 2021-12-24 2021-12-24 電子制御装置、及びアクセス制御方法 Ceased WO2023119652A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US18/722,020 US12541469B2 (en) 2021-12-24 2021-12-24 Electronic control unit and access control method
PCT/JP2021/048336 WO2023119652A1 (ja) 2021-12-24 2021-12-24 電子制御装置、及びアクセス制御方法
JP2023569014A JP7751660B2 (ja) 2021-12-24 2021-12-24 電子制御装置、及びアクセス制御方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/048336 WO2023119652A1 (ja) 2021-12-24 2021-12-24 電子制御装置、及びアクセス制御方法

Publications (1)

Publication Number Publication Date
WO2023119652A1 true WO2023119652A1 (ja) 2023-06-29

Family

ID=86901948

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/048336 Ceased WO2023119652A1 (ja) 2021-12-24 2021-12-24 電子制御装置、及びアクセス制御方法

Country Status (3)

Country Link
US (1) US12541469B2 (ja)
JP (1) JP7751660B2 (ja)
WO (1) WO2023119652A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH02121045A (ja) * 1988-10-31 1990-05-08 Nec Corp アクセスプロテクト機能を有するマイクロプロセッサ
JPH10254738A (ja) * 1997-03-12 1998-09-25 Mitsubishi Electric Corp エミュレータ装置及びエミュレーション方法
JP2005309613A (ja) * 2004-04-19 2005-11-04 Ueda Japan Radio Co Ltd 不正アクセス検出装置、不正アクセス検出方法、プログラム
JP2013161299A (ja) * 2012-02-06 2013-08-19 Toyota Motor Corp 情報処理装置、インタフェースアクセス方法

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5541036B2 (ja) * 2010-09-21 2014-07-09 富士通株式会社 メモリアクセス制御プログラム、メモリアクセス制御方法、及び情報処理装置
US9400885B2 (en) * 2014-01-10 2016-07-26 Bitdefender IPR Management Ltd. Computer security systems and methods using virtualization exceptions
JP6589767B2 (ja) 2016-07-27 2019-10-16 株式会社デンソー 電子制御装置
US10621340B2 (en) * 2016-09-01 2020-04-14 Intel Corporation Hybrid hypervisor-assisted security model
US12339957B2 (en) * 2022-03-08 2025-06-24 Denso Corporation Detecting tampering of an electronic device
US20230289204A1 (en) * 2022-03-10 2023-09-14 BedRock Systems. Inc. Zero Trust Endpoint Device

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH02121045A (ja) * 1988-10-31 1990-05-08 Nec Corp アクセスプロテクト機能を有するマイクロプロセッサ
JPH10254738A (ja) * 1997-03-12 1998-09-25 Mitsubishi Electric Corp エミュレータ装置及びエミュレーション方法
JP2005309613A (ja) * 2004-04-19 2005-11-04 Ueda Japan Radio Co Ltd 不正アクセス検出装置、不正アクセス検出方法、プログラム
JP2013161299A (ja) * 2012-02-06 2013-08-19 Toyota Motor Corp 情報処理装置、インタフェースアクセス方法

Also Published As

Publication number Publication date
JPWO2023119652A1 (ja) 2023-06-29
US20250068725A1 (en) 2025-02-27
JP7751660B2 (ja) 2025-10-08
US12541469B2 (en) 2026-02-03

Similar Documents

Publication Publication Date Title
KR101122517B1 (ko) 런타임 보안 보장을 위한 자율 메모리 검사기 및 이의 방법
CN112818327B (zh) 基于TrustZone的用户级代码和数据安全可信保护方法及装置
US7793347B2 (en) Method and system for validating a computer system
US11188640B1 (en) Platform firmware isolation
WO2013159041A1 (en) System and method for secure booting and debugging of a peripheral subsystem in a system on chip device
EP2996043B1 (en) Debugging in a data processing apparatus
US11188321B2 (en) Processing device and software execution control method
US7774517B2 (en) Information processing apparatus having an access protection function and method of controlling access to the information processing apparatus
US7146529B2 (en) System and method for processor thread acting as a system service processor
JP7623887B2 (ja) 電子制御装置及び異常判定方法
JP2007249323A (ja) マイクロコンピュータ
EP3246821B1 (en) Semiconductor device and its memory access control method
CN107958164A (zh) 控制装置
KR20190059955A (ko) 작업 메모리 보호 방법 및 그 장치
US10628056B2 (en) Information processing apparatus and shared memory management method
JP5842833B2 (ja) 情報処理装置、プログラム
JP7751660B2 (ja) 電子制御装置、及びアクセス制御方法
JP7012915B2 (ja) コントローラ
TW201502846A (zh) 安全事件偵測技術
JP2014074995A (ja) 情報処理装置
CA2551045C (en) Input-output control apparatus, input-output control method, process control apparatus and process control method
WO2022181020A1 (ja) 情報処理装置および情報処理方法
JP4114004B2 (ja) 半導体集積回路
JP2613986B2 (ja) 情報処理装置
JP2023152485A (ja) 処理装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21969083

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2023569014

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 18722020

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21969083

Country of ref document: EP

Kind code of ref document: A1

WWP Wipo information: published in national office

Ref document number: 18722020

Country of ref document: US

WWG Wipo information: grant in national office

Ref document number: 18722020

Country of ref document: US