特許 7325072 情報処理装置、情報処理装置の制御方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2023-08-03

(45)【発行日】2023-08-14

(54)【発明の名称】情報処理装置、情報処理装置の制御方法及びプログラム

(51)【国際特許分類】

   G06F 21/52 20130101AFI20230804BHJP

   G06F 21/57 20130101ALI20230804BHJP

   G06F 21/64 20130101ALI20230804BHJP

   G06F 21/74 20130101ALI20230804BHJP

   H04L 9/32 20060101ALI20230804BHJP

【ＦＩ】

G06F21/52

G06F21/57

G06F21/64

G06F21/74

H04L9/32 200A

【請求項の数】 4

(21)【出願番号】P 2023520072

(86)(22)【出願日】2023-02-07

(86)【国際出願番号】 JP2023003978

【審査請求日】2023-03-31

(31)【優先権主張番号】P 2022146517

(32)【優先日】2022-09-14

(33)【優先権主張国・地域又は機関】JP

【早期審査対象出願】

(73)【特許権者】

【識別番号】314012076

【氏名又は名称】パナソニックＩＰマネジメント株式会社

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(74)【代理人】

【識別番号】100137235

【弁理士】

【氏名又は名称】寺谷 英作

(74)【代理人】

【識別番号】100131417

【弁理士】

【氏名又は名称】道坂 伸一

(72)【発明者】

【氏名】竹内 章人

(72)【発明者】

【氏名】永井 拓丸

【審査官】小林 秀和

(56)【参考文献】

【文献】米国特許出願公開第２０１３／０２７５９８０（ＵＳ，Ａ１）

【文献】特開２０１５－０５５８９８（ＪＰ，Ａ）

【文献】特開２０１９－０５７１６７（ＪＰ，Ａ）

【文献】特開２００８－１５８８１５（ＪＰ，Ａ）

【文献】特開２０２１－０９３００２（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５２

Ｇ０６Ｆ ２１／５７

Ｇ０６Ｆ ２１／６４

Ｇ０６Ｆ ２１／７４

Ｈ０４Ｌ ９／３２

(57)【特許請求の範囲】

【請求項1】

第１の被監視部と、
第２の被監視部と、
前記第１の被監視部を監視する第１の監視部であって、前記第１の被監視部のハッシュ値と当該ハッシュ値の期待値である第１のハッシュ期待値とを比較することにより、前記第１の被監視部の検証を繰り返し実行する第１の監視部と、
前記第１の監視部よりもセキュアであり且つ前記第１の監視部を監視する第２の監視部であって、前記第１のハッシュ期待値を含む前記第１の監視部のハッシュ値と当該ハッシュ値の期待値である第２のハッシュ期待値とを比較することにより、前記第１の監視部の検証を繰り返し実行する第２の監視部と、を備え、
前記第１の監視部は、
前記第１のハッシュ期待値を記憶する第１の記憶部と、
前記第１の被監視部のハッシュ値を算出し、算出した当該ハッシュ値と前記第１の記憶部に記憶された前記第１のハッシュ期待値とを比較することにより、前記第１の被監視部の検証を繰り返し実行する第１の制御部と、を有し、
前記第２の監視部は、
前記第２のハッシュ期待値を記憶する第２の記憶部と、
前記第１の監視部のハッシュ値を算出し、算出した当該ハッシュ値と前記第２の記憶部に記憶された前記第２のハッシュ期待値とを比較することにより、前記第１の監視部の検証を繰り返し実行する第２の制御部と、を有し、
前記第１の被監視部は、
前記第２の被監視部のハッシュ値の期待値である第３のハッシュ期待値を記憶する第３の記憶部と、
前記第２の被監視部のハッシュ値を算出し、算出した当該ハッシュ値と前記第３の記憶部に記憶された前記第３のハッシュ期待値とを比較することにより、前記第２の被監視部の検証を繰り返し実行する第３の制御部と、を有する
情報処理装置。

【請求項2】

前記情報処理装置は、複数の前記第１の被監視部を備えており、
前記第１の制御部は、前記複数の第１の被監視部のうち、優先度が高いと判断される前記第１の被監視部を検証対象として決定する
請求項１に記載の情報処理装置。

【請求項3】

情報処理装置の制御方法であって、
前記情報処理装置は、
第１の被監視部と、
第２の被監視部と、
前記第１の被監視部を監視する第１の監視部と、
前記第１の監視部よりもセキュアであり且つ前記第１の監視部を監視する第２の監視部と、を備え、
前記第１の監視部は、前記第１の被監視部のハッシュ値の期待値である第１のハッシュ期待値を記憶する第１の記憶部を有し、
前記第２の監視部は、前記第１の監視部のハッシュ値の期待値である第２のハッシュ期待値を記憶する第２の記憶部を有し、
前記第１の被監視部は、前記第２の被監視部のハッシュ値の期待値である第３のハッシュ期待値を記憶する第３の記憶部を有し、
前記制御方法は、
前記第１の監視部が、前記第１の被監視部のハッシュ値を算出し、算出した当該ハッシュ値と前記第１の記憶部に記憶された前記第１のハッシュ期待値とを比較することにより、前記第１の被監視部の検証を繰り返し実行するステップと、
前記第２の監視部が、前記第１のハッシュ期待値を含む前記第１の監視部のハッシュ値を算出し、算出した当該ハッシュ値と前記第２の記憶部に記憶された前記第２のハッシュ期待値とを比較することにより、前記第１の監視部の検証を繰り返し実行するステップと、
前記第１の被監視部が、前記第２の被監視部のハッシュ値を算出し、算出した当該ハッシュ値と前記第３の記憶部に記憶された前記第３のハッシュ期待値とを比較することにより、前記第２の被監視部の検証を繰り返し実行するステップと、を含む
情報処理装置の制御方法。

【請求項4】

請求項３に記載の情報処理装置の制御方法をコンピュータに実行させる
プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、情報処理装置、情報処理装置の制御方法及びプログラムに関する。

【背景技術】

【0002】

ファームウェアのセキュリティ対策として、ファームウェアの起動時における完全性検証（セキュアブート）だけでなく、ファームウェアの起動後に完全性検証を繰り返し行う常時完全性検証（ＲＩ：Ｒｕｎｔｉｍｅ Ｉｎｔｅｇｒｉｔｙ）をも実行することが要望されている。

【0003】

従来のセキュリティ対策で用いられる情報処理装置では、プログラム領域がノンセキュア領域と当該ノンセキュア領域よりもセキュリティレベルの高いセキュア領域とに分割されている（例えば、特許文献１参照）。ノンセキュア領域は、当該ノンセキュア領域で動作する被監視部を有している。セキュア領域は、被監視部を監視するための監視部を有している。監視部は、被監視部のハッシュ値を算出し、算出したハッシュ値に基づいて、被監視部の常時完全性検証を実行する。

【先行技術文献】

【特許文献】

【0004】

【文献】特許第６０６７４４９号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、上述した従来のセキュリティ対策では、ノンセキュア領域における被監視部の数が増大するのに従って、セキュア領域において複数の被監視部の各々の常時完全性検証を実行するのに要する処理負荷が増大するという課題が生じる。

【0006】

そこで、本開示は、第２の監視部における処理負荷を低減することができる情報処理装置、情報処理装置の制御方法及びプログラムを提供する。

【課題を解決するための手段】

【0007】

本開示の一態様に係る情報処理装置は、第１の被監視部と、前記第１の被監視部を監視する第１の監視部であって、前記第１の被監視部のハッシュ値と当該ハッシュ値の期待値である第１のハッシュ期待値とを比較することにより、前記第１の被監視部の検証を繰り返し実行する第１の監視部と、前記第１の監視部よりもセキュアであり且つ前記第１の監視部を監視する第２の監視部であって、前記第１のハッシュ期待値を含む前記第１の監視部のハッシュ値と当該ハッシュ値の期待値である第２のハッシュ期待値とを比較することにより、前記第１の監視部の検証を繰り返し実行する第２の監視部と、を備える。

【0008】

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ－Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

【発明の効果】

【0009】

本開示の一態様に係る情報処理装置等によれば、第２の監視部における処理負荷を低減することができる。

【図面の簡単な説明】

【0010】

【図1】実施の形態１に係る情報処理装置の概要を示す図である。

【図2】実施の形態１に係る情報処理装置の機能構成を示すブロック図である。

【図3】実施の形態１に係る第１の監視部の動作の流れを示すフローチャートである。

【図4】実施の形態１に係る第２の監視部の動作の流れを示すフローチャートである。

【図5】比較例に係る情報処理装置の機能構成を示すブロック図である。

【図6】実施の形態２に係る情報処理装置の機能構成を示すブロック図である。

【図7】実施の形態２に係るサブ監視部の動作の流れを示すフローチャートである。

【図8】実施の形態２に係るサブ監視部の動作の流れを示すフローチャートである。

【図9】実施の形態２に係る第１の監視部の動作の流れを示すフローチャートである。

【発明を実施するための形態】

【0011】

本開示の第１の態様に係る情報処理装置は、第１の被監視部と、前記第１の被監視部を監視する第１の監視部であって、前記第１の被監視部のハッシュ値と当該ハッシュ値の期待値である第１のハッシュ期待値とを比較することにより、前記第１の被監視部の検証を繰り返し実行する第１の監視部と、前記第１の監視部よりもセキュアであり且つ前記第１の監視部を監視する第２の監視部であって、前記第１のハッシュ期待値を含む前記第１の監視部のハッシュ値と当該ハッシュ値の期待値である第２のハッシュ期待値とを比較することにより、前記第１の監視部の検証を繰り返し実行する第２の監視部と、を備える。

【0012】

本態様によれば、第１の監視部は、第１の被監視部を監視し、第１の監視部よりもセキュアである第２の監視部は、第１の監視部を監視する。これにより、第１の被監視部の数が増大した場合であっても、第１の監視部が多数の第１の被監視部の各々の検証を実行する回数は増大するが、第２の監視部が第１の監視部の検証を実行する回数は増大しない。その結果、第２の監視部の処理リソースが第１の監視部の処理リソースよりも少ない場合であっても、第２の監視部における処理負荷を低減することができ、第２の監視部の処理リソースが不足するのを回避することができる。

【0013】

また、本開示の第２の態様に係る情報処理装置では、第１の態様において、前記第１の監視部は、前記第１のハッシュ期待値を記憶する第１の記憶部と、前記第１の被監視部のハッシュ値を算出し、算出した当該ハッシュ値と前記第１の記憶部に記憶された前記第１のハッシュ期待値とを比較することにより、前記第１の被監視部の検証を繰り返し実行する第１の制御部と、を有し、前記第２の監視部は、前記第２のハッシュ期待値を記憶する第２の記憶部と、前記第１の監視部のハッシュ値を算出し、算出した当該ハッシュ値と前記第２の記憶部に記憶された前記第２のハッシュ期待値とを比較することにより、前記第１の監視部の検証を繰り返し実行する第２の制御部と、を有するように構成してもよい。

【0014】

本態様によれば、第１の監視部及び第２の監視部による検証を容易に実行することができる。

【0015】

また、本開示の第３の態様に係る情報処理装置では、第２の態様において、前記情報処理装置は、さらに、第２の被監視部を有し、前記第１の被監視部は、前記第２の被監視部のハッシュ値の期待値である第３のハッシュ期待値を記憶する第３の記憶部と、前記第２の被監視部のハッシュ値を算出し、算出した当該ハッシュ値と前記第３の記憶部に記憶された前記第３のハッシュ期待値とを比較することにより、前記第２の被監視部の検証を繰り返し実行する第３の制御部と、を有するように構成してもよい。

【0016】

本態様によれば、第１の監視部と第１の被監視部とで検証の処理を分散することにより、検証を効率良く実行することができる。

【0017】

また、本開示の第４の態様に係る情報処理装置では、第２の態様又は第３の態様において、前記情報処理装置は、複数の前記第１の被監視部を備えており、前記第１の制御部は、前記複数の第１の被監視部のうち、優先度が高いと判断される前記第１の被監視部を検証対象として決定するように構成してもよい。

【0018】

本態様によれば、検証の高速化を図ることができる。

【0019】

本開示の第５の態様に係る情報処理装置の制御方法では、前記情報処理装置は、被監視部と、前記被監視部を監視する第１の監視部と、前記第１の監視部よりもセキュアであり且つ前記第１の監視部を監視する第２の監視部と、を備え、前記制御方法は、前記第１の監視部が、前記被監視部のハッシュ値と当該ハッシュ値の期待値である第１のハッシュ期待値とを比較することにより、前記被監視部の検証を繰り返し実行するステップと、前記第２の監視部が、前記第１のハッシュ期待値を含む前記第１の監視部のハッシュ値と当該ハッシュ値の期待値である第２のハッシュ期待値とを比較することにより、前記第１の監視部の検証を繰り返し実行するステップと、を含む。

【0020】

本態様によれば、上述と同様に、第２の監視部における処理負荷を低減することができ、第２の監視部の処理リソースが不足するのを回避することができる。

【0021】

本開示の第６の態様に係るプログラムは、第５の態様に係る情報処理装置の制御方法をコンピュータに実行させる。

【0022】

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。

【0023】

以下、実施の形態について、図面を参照しながら具体的に説明する。

【0024】

なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

【0025】

（実施の形態１）
［１－１．情報処理装置の概要］
まず、図１を参照しながら、実施の形態１に係る情報処理装置２の概要について説明する。図１は、実施の形態１に係る情報処理装置２の概要を示す図である。

【0026】

図１に示すように、実施の形態１に係る情報処理装置２は、ハードウェア４と、セキュリティソフトウェア６と、オペレーティングシステム（ＯＳ）８と、アプリケーション１０とを備えている。情報処理装置２は、例えば自動車等の車両に搭載された車載ネットワークにおいて、各種コンピュータプログラム（以下、単に「プログラム」という）の起動後に当該各種プログラムの完全性検証を繰り返し行う常時完全性検証（ＲＩ）を実行するための装置である。ここで、「完全性」とは、情報処理装置２の各種プログラムに対して不正な改ざん等が行なわれていない状態であることを意味する。

【0027】

ハードウェア４は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）又はＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）等を有するプロセッサを含み、複数のプログラムの実行環境を提供する。本実施の形態では、例えばハードウェア４を信頼の基点（Ｒｏｏｔ ｏｆ Ｔｒｕｓｔ）として、各種プログラムの常時完全性検証（ＲＩ）が実行される。

【0028】

セキュリティソフトウェア６は、ハードウェア４上で実行され、情報処理装置２のデータやプログラム等の安全性を確保するセキュリティ管理のためのソフトウェアである。

【0029】

オペレーティングシステム８は、ハードウェア４上で動作するオペレーティングシステムである。

【0030】

アプリケーション１０は、オペレーティングシステム８上で動作するアプリケーションソフトウェアである。

【0031】

上述した情報処理装置２は、さらに、複数の被監視部１６，１８，２０（それぞれ第１の被監視部の一例）と、第１の監視部２２と、第２の監視部２４とを備えている。

【0032】

複数の被監視部１６，１８，２０の各々は、例えばＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）又はライブラリ等であり、アプリケーション１０で動作する。複数の被監視部１６，１８，２０の各々は、ＣＰＵ又はプロセッサ等のプログラム実行部が、メモリに記録されたプログラムを読み出して実行することにより実現される。

【0033】

第１の監視部２２は、複数の被監視部１６，１８，２０の各々を監視するためのものであり、例えばオペレーティングシステム８で動作する。具体的には、第１の監視部２２は、複数の被監視部１６，１８，２０の各々の起動後に、複数の被監視部１６，１８，２０の各々の完全性検証を繰り返し行う常時完全性検証を実行する。第１の監視部２２は、ＣＰＵ又はプロセッサ等のプログラム実行部が、メモリに記録されたプログラムを読み出して実行することにより実現される。

【0034】

なお、本実施の形態では、複数の被監視部１６，１８，２０の各々は、アプリケーション１０で動作するようにしたが、これに限定されず、複数の被監視部１６，１８，２０の少なくとも１つは、オペレーティングシステム８で動作するようにしてもよい。また、本実施の形態では、第１の監視部２２は、オペレーティングシステム８で動作するようにしたが、これに限定されず、アプリケーション１０で動作するようにしてもよい。

【0035】

第２の監視部２４は、第１の監視部２２を監視するためのものであり、例えばセキュリティソフトウェア６で動作する。具体的には、第２の監視部２４は、第１の監視部２２の起動後に、第１の監視部２２の完全性検証を繰り返し行う常時完全性検証を実行する。また、第２の監視部２４は、第１の監視部２２よりもセキュアである。具体的には、第２の監視部２４は、プログラムの機密性や完全性等の安全性が確保されている。第２の監視部２４は、ＣＰＵ又はプロセッサ等のプログラム実行部が、メモリに記録されたプログラムを読み出して実行することにより実現される。

【0036】

なお、本実施の形態では、第２の監視部２４は、セキュリティソフトウェア６で動作するようにしたが、これに限定されず、オペレーティングシステム８又はアプリケーション１０で動作するようにしてもよい。この場合、第１の監視部２２と第２の監視部２４は同じ動作環境で動作するが、第２の監視部２４は、第１の監視部２２よりも解析を困難にするための実装（例えば、難読化又はハードニング等）がされており、よりセキュアである。

【0037】

［１－２．情報処理装置の機能構成］
次に、図２を参照しながら、実施の形態１に係る情報処理装置２の機能構成について説明する。図２は、実施の形態１に係る情報処理装置２の機能構成を示すブロック図である。

【0038】

図２に示すように、第１の監視部２２は、機能構成として、読込部２６と、記憶部２８（第１の記憶部の一例）と、制御部３０（第１の制御部の一例）とを有している。

【0039】

読込部２６は、被監視部１６のメモリから、被監視部１６に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を読み込む。また、読込部２６は、被監視部１８のメモリから、被監視部１８に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を読み込む。また、読込部２６は、被監視部２０のメモリから、被監視部２０に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を読み込む。読込部２６は、読み込んだ各データを制御部３０に出力する。

【0040】

記憶部２８は、第１の監視部２２に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を記憶するメモリである。具体的には、記憶部２８は、被監視部１６のハッシュ値の期待値であるハッシュ期待値「ａａａ」（第１のハッシュ期待値の一例）、被監視部１８のハッシュ値の期待値であるハッシュ期待値「ｂｂｂ」（第１のハッシュ期待値の一例）、及び、被監視部２０のハッシュ値の期待値であるハッシュ期待値「ｃｃｃ」（第１のハッシュ期待値の一例）を記憶する。なお、各ハッシュ期待値「ａａａ」、「ｂｂｂ」及び「ｃｃｃ」は、例えば情報処理装置２の工場出荷時に予め記憶部２８に記憶されている。

【0041】

制御部３０は、読込部２６により読み込まれた被監視部１６に関するデータに基づいて、被監視部１６のハッシュ値を算出する。そして、制御部３０は、算出した被監視部１６のハッシュ値と、記憶部２８に記憶された被監視部１６のハッシュ期待値「ａａａ」とを比較することにより、被監視部１６の完全性検証を繰り返し行う常時完全性検証を実行する。具体的には、制御部３０は、算出した被監視部１６のハッシュ値（例えば、「ａａａ」）と被監視部１６のハッシュ期待値「ａａａ」とが一致している場合には、被監視部１６が正常であると判定する。一方、制御部３０は、算出した被監視部１６のハッシュ値（例えば、「ｄｄｄ」）と被監視部１６のハッシュ期待値「ａａａ」とが一致していない場合には、被監視部１６が異常である（例えば、プログラムが改ざん等されている）と判定する。

【0042】

また、制御部３０は、読込部２６により読み込まれた被監視部１８に関するデータに基づいて、被監視部１８のハッシュ値を算出する。そして、制御部３０は、算出した被監視部１８のハッシュ値と、記憶部２８に記憶された被監視部１８のハッシュ期待値「ｂｂｂ」とを比較することにより、被監視部１８の完全性検証を繰り返し行う常時完全性検証を実行する。具体的には、制御部３０は、算出した被監視部１８のハッシュ値（例えば、「ｂｂｂ」）と被監視部１８のハッシュ期待値「ｂｂｂ」とが一致している場合には、被監視部１８が正常であると判定する。一方、制御部３０は、算出した被監視部１８のハッシュ値（例えば、「ｅｅｅ」）と被監視部１８のハッシュ期待値「ｂｂｂ」とが一致していない場合には、被監視部１８が異常であると判定する。

【0043】

また、制御部３０は、読込部２６により読み込まれた被監視部２０に関するデータに基づいて、被監視部２０のハッシュ値を算出する。そして、制御部３０は、算出した被監視部２０のハッシュ値と、記憶部２８に記憶された被監視部２０のハッシュ期待値「ｃｃｃ」とを比較することにより、被監視部２０の完全性検証を繰り返し行う常時完全性検証を実行する。具体的には、制御部３０は、算出した被監視部２０のハッシュ値（例えば、「ｃｃｃ」）と被監視部２０のハッシュ期待値「ｃｃｃ」とが一致している場合には、被監視部２０が正常であると判定する。一方、制御部３０は、算出した被監視部２０のハッシュ値（例えば、「ｆｆｆ」）と被監視部２０のハッシュ期待値「ｃｃｃ」とが一致していない場合には、被監視部２０が異常であると判定する。

【0044】

なお、本実施の形態では、各ハッシュ期待値「ａａａ」、「ｂｂｂ」及び「ｃｃｃ」が情報処理装置２の工場出荷時に予め記憶部２８に記憶されているように構成したが、これに限定されない。例えば、制御部３０は、情報処理装置２の初回起動時に、各ハッシュ期待値「ａａａ」、「ｂｂｂ」及び「ｃｃｃ」を動的に生成して記憶部２８に記憶させてもよい。情報処理装置２の初回起動時には、複数の被監視部１６，１８，２０の各々が不正なプログラムにより改ざん等されている可能性は極めて低い。そのため、情報処理装置２の初回起動時において、読込部２６は、被監視部１６のメモリから被監視部１６に関するデータを読み込み、制御部３０は、読込部２６により読み込まれた被監視部１６に関するデータに基づいて、被監視部１６のハッシュ値（例えば、「ａａａ」）を算出する。そして、制御部３０は、この算出した被監視部１６のハッシュ値を、被監視部１６のハッシュ期待値「ａａａ」として生成して記憶部２８に記憶させる。同様にして、制御部３０は、情報処理装置２の初回起動時に、被監視部１８のハッシュ値（例えば、「ｂｂｂ」）及び被監視部２０のハッシュ値（例えば、「ｃｃｃ」）を算出し、算出した被監視部１８，２０の各ハッシュ値をそれぞれ、被監視部１８のハッシュ期待値「ｂｂｂ」及び被監視部２０のハッシュ期待値「ｃｃｃ」として生成して記憶部２８に記憶させる。

【0045】

図２に示すように、第２の監視部２４は、機能構成として、読込部３２と、記憶部３４（第２の記憶部の一例）と、制御部３６（第２の制御部の一例）とを有している。

【0046】

読込部３２は、第１の監視部２２の記憶部２８から、第１の監視部２２に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を読み込む。なお、第１の監視部２２に関するデータは、被監視部１６のハッシュ期待値「ａａａ」、被監視部１８のハッシュ期待値「ｂｂｂ」及び被監視部２０のハッシュ期待値「ｃｃｃ」を含んでいる。読込部３２は、読み込んだデータを制御部３６に出力する。

【0047】

記憶部３４は、第２の監視部２４に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を記憶するメモリである。具体的には、記憶部３４は、第１の監視部２２のハッシュ値の期待値であるハッシュ期待値「ＸＹＺ」（第２のハッシュ期待値の一例）を記憶する。ハッシュ期待値「ＸＹＺ」は、複数の被監視部１６，１８，２０の各ハッシュ期待値「ａａａ」、「ｂｂｂ」及び「ｃｃｃ」を含む、第１の監視部２２に関するデータをハッシュ化することにより生成される。なお、ハッシュ期待値「ＸＹＺ」は、例えば情報処理装置２の工場出荷時に予め記憶部３４に記憶されている。

【0048】

制御部３６は、読込部３２により読み込まれた第１の監視部２２に関するデータに基づいて、第１の監視部２２のハッシュ値を算出する。そして、制御部３６は、算出した第１の監視部２２のハッシュ値と、記憶部３４に記憶された第１の監視部２２のハッシュ期待値「ＸＹＺ」とを比較することにより、第１の監視部２２の完全性検証を繰り返し行う常時完全性検証を実行する。具体的には、制御部３６は、算出した第１の監視部２２のハッシュ値（例えば、「ＸＹＺ」）と第１の監視部２２のハッシュ期待値「ＸＹＺ」とが一致している場合には、第１の監視部２２が正常であると判定する。一方、制御部３６は、算出した第１の監視部２２のハッシュ値（例えば、「ＺＺＺ」）と第１の監視部２２のハッシュ期待値「ＸＹＺ」とが一致していない場合には、第１の監視部２２が異常であると判定する。

【0049】

なお、本実施の形態では、ハッシュ期待値「ＸＹＺ」が情報処理装置２の工場出荷時に予め記憶部３４に記憶されているとしたが、これに限定されない。上述と同様に、制御部３６は、情報処理装置２の初回起動時に、ハッシュ期待値「ＸＹＺ」を動的に生成して記憶部３４に記憶させてもよい。

【0050】

［１－３．情報処理装置の動作］
次に、図３を参照しながら、実施の形態１に係る第１の監視部２２の動作について説明する。図３は、実施の形態１に係る第１の監視部２２の動作の流れを示すフローチャートである。

【0051】

まず、情報処理装置２の運転が開始されると、情報処理装置２の各種プログラムが起動する。なお、各種プログラムの起動時には、必要に応じて各種プログラムのセキュアブートが実行される。図３に示すように、第１の監視部２２の読込部２６は、被監視部１６の起動後において、被監視部１６のメモリから、被監視部１６に関するデータを読み込む（Ｓ１０１）。次いで、第１の監視部２２の制御部３０は、読込部２６により読み込まれた被監視部１６に関するデータに基づいて、被監視部１６のハッシュ値を算出する（Ｓ１０２）。

【0052】

次いで、制御部３０は、記憶部２８から被監視部１６のハッシュ期待値「ａａａ」を読み出す（Ｓ１０３）。なお、本実施の形態では、ステップＳ１０２の後にステップＳ１０３を実行したが、これに限定されず、ステップＳ１０３の後にステップＳ１０２を実行してもよい。すなわち、制御部３０は、記憶部２８から被監視部２０のハッシュ期待値「ａａａ」を読み出した後に、読込部２６により読み込まれた被監視部１６に関するデータに基づいて被監視部１６のハッシュ値を算出してもよい。

【0053】

次いで、制御部３０は、算出した被監視部１６のハッシュ値と、記憶部２８から読み出した被監視部１６のハッシュ期待値「ａａａ」とを比較することにより、被監視部１６のハッシュ値の検証を実行する（Ｓ１０４）。すなわち、制御部３０は、被監視部１６のハッシュ値がハッシュ期待値「ａａａ」と一致しているか否かについての検証を実行することにより、被監視部１６の常時完全性検証を実行する。

【0054】

ステップＳ１０４の後、読込部２６は、被監視部１８の起動後において、被監視部１８のメモリから、被監視部１８に関するデータを読み込む（Ｓ１０５）。次いで、制御部３０は、読込部２６により読み込まれた被監視部１８に関するデータに基づいて、被監視部１８のハッシュ値を算出する（Ｓ１０６）。

【0055】

次いで、制御部３０は、記憶部２８から被監視部１８のハッシュ期待値「ｂｂｂ」を読み出す（Ｓ１０７）。次いで、制御部３０は、算出した被監視部１８のハッシュ値と、記憶部２８から読み出した被監視部１８のハッシュ期待値「ｂｂｂ」とを比較することにより、被監視部１８のハッシュ値の検証を実行する（Ｓ１０８）。すなわち、制御部３０は、被監視部１８のハッシュ値がハッシュ期待値「ｂｂｂ」と一致しているか否かについての検証を実行することにより、被監視部１８の常時完全性検証を実行する。

【0056】

ステップＳ１０８の後、読込部２６は、被監視部２０の起動後において、被監視部２０のメモリから、被監視部２０に関するデータを読み込む（Ｓ１０９）。次いで、制御部３０は、読込部２６により読み込まれた被監視部２０に関するデータに基づいて、被監視部２０のハッシュ値を算出する（Ｓ１１０）。

【0057】

次いで、制御部３０は、記憶部２８から被監視部２０のハッシュ期待値「ｃｃｃ」を読み出す（Ｓ１１１）。次いで、制御部３０は、算出した被監視部２０のハッシュ値と、記憶部２８から読み出した被監視部２０のハッシュ期待値「ｃｃｃ」とを比較することにより、被監視部２０のハッシュ値の検証を実行する（Ｓ１１２）。すなわち、制御部３０は、被監視部２０のハッシュ値がハッシュ期待値「ｃｃｃ」と一致しているか否かについての検証を実行することにより、被監視部２０の常時完全性検証を実行する。

【0058】

ステップＳ１１２の後、情報処理装置２の運転を継続する場合には（Ｓ１１３でＹＥＳ）、上述したステップＳ１０１に戻る。一方、情報処理装置２の運転を停止する場合には（Ｓ１１３でＮＯ）、図３のフローチャートを終了する。

【0059】

なお、図３のフローチャートの処理、すなわち、第１の監視部２２による複数の被監視部１６，１８，２０の各々の常時完全性検証は、所定の周期（例えば、１回／秒）で繰り返し実行されるようにしてもよい。この場合、制御部３０は、種々の条件に応じて所定の周期を動的に変更してもよい。あるいは、第１の監視部２２による被監視部１６，１８，２０の常時完全性検証は、外部からのトリガ信号の受信毎に実行されるようにしてもよい。

【0060】

また、本実施の形態では、制御部３０は、複数の被監視部１６，１８，２０の各々の常時完全性検証をシーケンシャルに実行したが、これに限定されず、複数の被監視部１６，１８，２０の各々の常時完全性検証を同時並行で実行してもよい。

【0061】

次に、図４を参照しながら、実施の形態１に係る第２の監視部２４の動作について説明する。図４は、実施の形態１に係る第２の監視部２４の動作の流れを示すフローチャートである。

【0062】

まず、情報処理装置２の運転が開始されると、情報処理装置２の各種プログラムが起動する。図４に示すように、第２の監視部２４の読込部３２は、第１の監視部２２の起動後において、第１の監視部２２の記憶部２８から、第１の監視部２２に関するデータを読み込む（Ｓ２０１）。次いで、第２の監視部２４の制御部３６は、読込部３２により読み込まれた第１の監視部２２に関するデータに基づいて、第１の監視部２２のハッシュ値を算出する（Ｓ２０２）。

【0063】

次いで、制御部３６は、記憶部３４から第１の監視部２２のハッシュ期待値「ＸＹＺ」を読み出す（Ｓ２０３）。なお、本実施の形態では、ステップＳ２０２の後にステップＳ２０３を実行したが、これに限定されず、ステップＳ２０３の後にステップＳ２０２を実行してもよい。すなわち、制御部３６は、記憶部３４から第１の監視部２２のハッシュ期待値「ＸＹＺ」を読み出した後に、読込部３２により読み込まれた第１の監視部２２に関するデータに基づいて第１の監視部２２のハッシュ値を算出してもよい。

【0064】

次いで、制御部３６は、算出した第１の監視部２２のハッシュ値と、記憶部３４から読み出した第１の監視部２２のハッシュ期待値「ＸＹＺ」とを比較することにより、第１の監視部２２のハッシュ値の検証を実行する（Ｓ２０４）。すなわち、制御部３６は、第１の監視部２２のハッシュ値がハッシュ期待値「ＸＹＺ」と一致しているか否かについての検証を実行することにより、第１の監視部２２の常時完全性検証を実行する。

【0065】

なお、例えば被監視部１６が不正なプログラムにより改ざんされた場合には、第１の監視部２２の記憶部２８に記憶された被監視部１６のハッシュ期待値「ａａａ」も不正なプログラムにより改ざんされるおそれがある。この場合、第２の監視部２４の制御部３６により算出される第１の監視部２２のハッシュ値は、ハッシュ期待値「ＸＹＺ」と一致しなくなる。その結果、第２の監視部２４の制御部３６は、間接的に被監視部１６の異常を検出することができる。すなわち、第２の監視部２４が第１の監視部２２を監視することにより、間接的に複数の被監視部１６，１８，２０の各々の完全性を保証することができる。

【0066】

ステップＳ２０４の後、情報処理装置２の運転を継続する場合には（Ｓ２０５でＹＥＳ）、上述したステップＳ２０１に戻る。一方、情報処理装置２の運転を停止する場合には（Ｓ２０５でＮＯ）、図４のフローチャートを終了する。

【0067】

なお、図４のフローチャートの処理、すなわち、第２の監視部２４による第１の監視部２２の常時完全性検証は、所定の周期（例えば、１回／秒）で繰り返し実行されるようにしてもよい。この場合、制御部３６は、種々の条件に応じて所定の周期を動的に変更してもよい。あるいは、第２の監視部２４による第１の監視部２２の常時完全性検証は、外部からのトリガ信号の受信毎に実行されるようにしてもよい。

【0068】

［１－４．効果］
ここで、図５を参照しながら、比較例に係る情報処理装置１００の機能構成について説明する。図５は、比較例に係る情報処理装置１００の機能構成を示すブロック図である。なお、本変形例では、実施の形態１に係る情報処理装置２と同一の構成要素には同一の符号を付して、その説明を省略する。

【0069】

図５に示すように、比較例に係る情報処理装置１００は、通常領域１２と、通常領域１２よりもセキュリティレベルの高い堅牢領域１４とを有している。通常領域１２は複数の被監視部１６，１８，２０を有し、堅牢領域１４は第１の監視部２２を有している。第１の監視部２２は、複数の被監視部１６，１８，２０の各々を監視するためのものであり、堅牢領域１４で動作する。

【0070】

一般に、堅牢領域１４に割り当てられる処理リソースは、通常領域１２に割り当てられる処理リソースよりも少ない。比較例に係る情報処理装置１００では、通常領域１２における被監視部の数が増大するのに従って、堅牢領域１４において第１の監視部２２が各被監視部の常時完全性検証を実行する回数が増大する。その結果、堅牢領域１４において多数の被監視部（複数の被監視部１６，１８，２０を含む）の各々の常時完全性検証を実行するのに要する処理負荷（例えば、処理時間、メモリ容量、及び、堅牢領域１４から通常領域１２へのアクセスのオーバーヘッド等）が増大してしまい、堅牢領域１４の処理リソースが不足するという課題が生じる。

【0071】

これに対して、実施の形態１に係る情報処理装置２では、上述したように、第１の監視部２２は、複数の被監視部１６，１８，２０の各々を監視し、第１の監視部２２よりもセキュアである第２の監視部２４は、第１の監視部２２を監視する。これにより、被監視部の数が増大した場合であっても、第１の監視部２２が多数の被監視部（複数の被監視部１６，１８，２０を含む）の各々の常時完全性検証を実行する回数は増大するが、第２の監視部２４が第１の監視部２２の常時完全性検証を実行する回数は増大しない。その結果、第２の監視部２４に割り当てられる処理リソースが第１の監視部２２に割り当てられる処理リソースよりも少ない場合であっても、第２の監視部２４における処理負荷を低減することができ、第２の監視部２４の処理リソースが不足するのを回避することができる。

【0072】

（実施の形態２）
［２－１．情報処理装置の機能構成］
図６を参照しながら、実施の形態２に係る情報処理装置２Ａの機能構成について説明する。図６は、実施の形態２に係る情報処理装置２Ａの機能構成を示すブロック図である。なお、本実施の形態では、上記実施の形態１に係る情報処理装置２と同一の構成要素には同一の符号を付して、その説明を省略する。

【0073】

図６に示すように、実施の形態２に係る情報処理装置２Ａは、複数の被監視部１６，１８，２０（それぞれ第２の被監視部の一例）と、複数のサブ監視部３８，４０（それぞれ第１の被監視部の一例）と、第１の監視部２２Ａと、第２の監視部２４とを備えている。

【0074】

サブ監視部３８は、被監視部１６を監視するためのものである。具体的には、サブ監視部３８は、被監視部１６の起動後に、被監視部１６の完全性検証を繰り返し行う常時完全性検証を実行する。サブ監視部３８は、機能構成として、読込部４２と、記憶部４４（第３の記憶部の一例）と、制御部４６（第３の制御部の一例）とを有している。サブ監視部３８は、ＣＰＵ又はプロセッサ等のプログラム実行部が、メモリに記録されたプログラムを読み出して実行することにより実現される。

【0075】

読込部４２は、被監視部１６のメモリから、被監視部１６に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を読み込む。読込部４２は、読み込んだデータを制御部４６に出力する。

【0076】

記憶部４４は、サブ監視部３８に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を記憶するメモリである。具体的には、記憶部４４は、被監視部１６のハッシュ値の期待値であるハッシュ期待値「ａａａ」（第３のハッシュ期待値の一例）を記憶する。

【0077】

制御部４６は、読込部４２により読み込まれた被監視部１６に関するデータに基づいて、被監視部１６のハッシュ値を算出する。そして、制御部４６は、算出した被監視部１６のハッシュ値と、記憶部４４に記憶された被監視部１６のハッシュ期待値「ａａａ」とを比較することにより、被監視部１６の完全性検証を繰り返し行う常時完全性検証を実行する。具体的には、制御部４６は、算出した被監視部１６のハッシュ値（例えば、「ａａａ」）と被監視部１６のハッシュ期待値「ａａａ」とが一致している場合には、被監視部１６が正常であると判定する。一方、制御部４６は、算出した被監視部１６のハッシュ値（例えば、「ｄｄｄ」）と被監視部１６のハッシュ期待値「ａａａ」とが一致していない場合には、被監視部１６が異常であると判定する。

【0078】

サブ監視部４０は、被監視部１８，２０を監視するためのものである。具体的には、サブ監視部４０は、被監視部１８，２０の起動後に、被監視部１８，２０の完全性検証を繰り返し行う常時完全性検証を実行する。サブ監視部４０は、機能構成として、読込部４８と、記憶部５０（第３の記憶部の一例）と、制御部５２（第３の制御部の一例）とを有している。サブ監視部４０は、ＣＰＵ又はプロセッサ等のプログラム実行部が、メモリに記録されたプログラムを読み出して実行することにより実現される。

【0079】

読込部４８は、被監視部１８のメモリから、被監視部１８に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を読み込む。また、読込部４８は、被監視部２０のメモリから、被監視部２０に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を読み込む。読込部４８は、読み込んだ各データを制御部５２に出力する。

【0080】

記憶部５０は、サブ監視部４０に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を記憶するメモリである。具体的には、記憶部５０は、被監視部１８のハッシュ値の期待値であるハッシュ期待値「ｂｂｂ」（第３のハッシュ期待値の一例）を記憶する。また、記憶部５０は、被監視部２０のハッシュ値の期待値であるハッシュ期待値「ｃｃｃ」（第３のハッシュ期待値の一例）を記憶する。

【0081】

制御部５２は、読込部４８により読み込まれた被監視部１８に関するデータに基づいて、被監視部１８のハッシュ値を算出する。そして、制御部５２は、算出した被監視部１８のハッシュ値と、記憶部５０に記憶された被監視部１８のハッシュ期待値「ｂｂｂ」とを比較することにより、被監視部１８の完全性検証を繰り返し行う常時完全性検証を実行する。具体的には、制御部５２は、算出した被監視部１８のハッシュ値（例えば、「ｂｂｂ」）と被監視部１８のハッシュ期待値「ｂｂｂ」とが一致している場合には、被監視部１８が正常であると判定する。一方、制御部５２は、算出した被監視部１８のハッシュ値（例えば、「ｅｅｅ」）と被監視部１８のハッシュ期待値「ｂｂｂ」とが一致していない場合には、被監視部１８が異常であると判定する。

【0082】

また、制御部５２は、読込部４８により読み込まれた被監視部２０に関するデータに基づいて、被監視部２０のハッシュ値を算出する。そして、制御部５２は、算出した被監視部２０のハッシュ値と、記憶部５０に記憶された被監視部２０のハッシュ期待値「ｃｃｃ」とを比較することにより、被監視部２０の完全性検証を繰り返し行う常時完全性検証を実行する。具体的には、制御部５２は、算出した被監視部２０のハッシュ値（例えば、「ｃｃｃ」）と被監視部２０のハッシュ期待値「ｃｃｃ」とが一致している場合には、被監視部２０が正常であると判定する。一方、制御部５２は、算出した被監視部２０のハッシュ値（例えば、「ｆｆｆ」）と被監視部２０のハッシュ期待値「ｃｃｃ」とが一致していない場合には、被監視部２０が異常であると判定する。

【0083】

第１の監視部２２Ａは、複数のサブ監視部３８，４０の各々を監視するためのものである。具体的には、第１の監視部２２Ａは、複数のサブ監視部３８，４０の各々の起動後に、複数のサブ監視部３８，４０の各々の完全性検証を繰り返し行う常時完全性検証を実行する。第１の監視部２２Ａは、機能構成として、読込部２６Ａと、記憶部２８Ａ（第１の記憶部の一例）と、制御部３０Ａ（第１の制御部の一例）とを有している。

【0084】

読込部２６Ａは、サブ監視部３８の記憶部４４から、サブ監視部３８に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を読み込む。また、読込部２６Ａは、サブ監視部４０の記憶部５０から、サブ監視部４０に関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を読み込む。読込部２６Ａは、読み込んだ各データを制御部３０Ａに出力する。

【0085】

記憶部２８Ａは、第１の監視部２２Ａに関するデータ（例えば、ソースコードや実行ファイル、データファイル等）を記憶するメモリである。具体的には、記憶部２８Ａは、サブ監視部３８のハッシュ値の期待値であるハッシュ期待値「ＡＡＡ」（第１のハッシュ期待値の一例）、及び、サブ監視部４０のハッシュ値の期待値であるハッシュ期待値「ＢＢＢ」（第１のハッシュ期待値の一例）を記憶する。

【0086】

制御部３０Ａは、読込部２６Ａにより読み込まれたサブ監視部３８に関するデータに基づいて、サブ監視部３８のハッシュ値を算出する。そして、制御部３０Ａは、算出したサブ監視部３８のハッシュ値と、記憶部２８Ａに記憶されたサブ監視部３８のハッシュ期待値「ＡＡＡ」とを比較することにより、サブ監視部３８の完全性検証を繰り返し行う常時完全性検証を実行する。具体的には、制御部３０Ａは、算出したサブ監視部３８のハッシュ値（例えば、「ＡＡＡ」）とサブ監視部３８のハッシュ期待値「ＡＡＡ」とが一致している場合には、サブ監視部３８が正常であると判定する。一方、制御部３０Ａは、算出したサブ監視部３８のハッシュ値（例えば、「ＣＣＣ」）とサブ監視部３８のハッシュ期待値「ＡＡＡ」とが一致していない場合には、サブ監視部３８が異常であると判定する。

【0087】

また、制御部３０Ａは、読込部２６Ａにより読み込まれたサブ監視部４０に関するデータに基づいて、サブ監視部４０のハッシュ値を算出する。そして、制御部３０Ａは、算出したサブ監視部４０のハッシュ値と、記憶部２８Ａに記憶されたサブ監視部４０のハッシュ期待値「ＢＢＢ」とを比較することにより、サブ監視部４０の完全性検証を繰り返し行う常時完全性検証を実行する。具体的には、制御部３０Ａは、算出したサブ監視部４０のハッシュ値（例えば、「ＢＢＢ」）とサブ監視部４０のハッシュ期待値「ＢＢＢ」とが一致している場合には、サブ監視部４０が正常であると判定する。一方、制御部３０Ａは、算出したサブ監視部４０のハッシュ値（例えば、「ＤＤＤ」）とサブ監視部４０のハッシュ期待値「ＢＢＢ」とが一致していない場合には、サブ監視部４０が異常であると判定する。

【0088】

［２－２．情報処理装置の動作］
図７を参照しながら、実施の形態２に係るサブ監視部３８の動作について説明する。図７は、実施の形態２に係るサブ監視部３８の動作の流れを示すフローチャートである。

【0089】

まず、情報処理装置２Ａの運転が開始されると、情報処理装置２Ａの各種プログラムが起動する。図７に示すように、サブ監視部３８の読込部４２は、被監視部１６の起動後において、被監視部１６のメモリから、被監視部１６に関するデータを読み込む（Ｓ３０１）。次いで、サブ監視部３８の制御部４６は、読込部４２により読み込まれた被監視部１６に関するデータに基づいて、被監視部１６のハッシュ値を算出する（Ｓ３０２）。

【0090】

次いで、制御部４６は、記憶部４４から被監視部１６のハッシュ期待値「ａａａ」を読み出す（Ｓ３０３）。次いで、制御部４６は、算出した被監視部１６のハッシュ値と、記憶部４４から読み出した被監視部１６のハッシュ期待値「ａａａ」とを比較することにより、被監視部１６のハッシュ値の検証を実行する（Ｓ３０４）。すなわち、制御部４６は、被監視部１６のハッシュ値がハッシュ期待値「ａａａ」と一致しているか否かについての検証を実行することにより、被監視部１６の常時完全性検証を実行する。

【0091】

ステップＳ３０４の後、情報処理装置２Ａの運転を継続する場合には（Ｓ３０５でＹＥＳ）、上述したステップＳ３０１に戻る。一方、情報処理装置２Ａの運転を停止する場合には（Ｓ３０５でＮＯ）、図７のフローチャートを終了する。

【0092】

次に、図８を参照しながら、実施の形態２に係るサブ監視部４０の動作について説明する。図８は、実施の形態２に係るサブ監視部４０の動作の流れを示すフローチャートである。

【0093】

まず、情報処理装置２Ａの運転が開始されると、情報処理装置２Ａの各種プログラムが起動する。図８に示すように、サブ監視部４０の読込部４８は、被監視部１８の起動後において、被監視部１８のメモリから、被監視部１８に関するデータを読み込む（Ｓ４０１）。次いで、サブ監視部４０の制御部５２は、読込部４８により読み込まれた被監視部１８に関するデータに基づいて、被監視部１８のハッシュ値を算出する（Ｓ４０２）。

【0094】

次いで、制御部５２は、記憶部５０から被監視部１８のハッシュ期待値「ｂｂｂ」を読み出す（Ｓ４０３）。次いで、制御部５２は、算出した被監視部１８のハッシュ値と、記憶部５０から読み出した被監視部１８のハッシュ期待値「ｂｂｂ」とを比較することにより、被監視部１８のハッシュ値の検証を実行する（Ｓ４０４）。すなわち、制御部５２は、被監視部１８のハッシュ値がハッシュ期待値「ｂｂｂ」と一致しているか否かについての検証を実行することにより、被監視部１８の常時完全性検証を実行する。

【0095】

ステップＳ４０４の後、読込部４８は、被監視部２０の起動後において、被監視部２０のメモリから、被監視部２０に関するデータを読み込む（Ｓ４０５）。次いで、制御部５２は、読込部４８により読み込まれた被監視部２０に関するデータに基づいて、被監視部２０のハッシュ値を算出する（Ｓ４０６）。

【0096】

次いで、制御部５２は、記憶部５０から被監視部２０のハッシュ期待値「ｃｃｃ」を読み出す（Ｓ４０７）。次いで、制御部５２は、算出した被監視部２０のハッシュ値と、記憶部５０から読み出した被監視部２０のハッシュ期待値「ｃｃｃ」とを比較することにより、被監視部２０のハッシュ値の検証を実行する（Ｓ４０８）。すなわち、制御部５２は、被監視部２０のハッシュ値がハッシュ期待値「ｃｃｃ」と一致しているか否かについての検証を実行することにより、被監視部２０の常時完全性検証を実行する。

【0097】

ステップＳ４０８の後、情報処理装置２Ａの運転を継続する場合には（Ｓ４０９でＹＥＳ）、上述したステップＳ４０１に戻る。一方、情報処理装置２Ａの運転を停止する場合には（Ｓ４０９でＮＯ）、図８のフローチャートを終了する。

【0098】

次に、図９を参照しながら、実施の形態２に係る第１の監視部２２Ａの動作について説明する。図９は、実施の形態２に係る第１の監視部２２Ａの動作の流れを示すフローチャートである。

【0099】

まず、情報処理装置２Ａの運転が開始されると、情報処理装置２Ａの各種プログラムが起動する。図９に示すように、第１の監視部２２Ａの読込部２６Ａは、サブ監視部３８の起動後において、サブ監視部３８の記憶部４４から、サブ監視部３８に関するデータを読み込む（Ｓ５０１）。次いで、第１の監視部２２Ａの制御部３０Ａは、読込部２６Ａにより読み込まれたサブ監視部３８に関するデータに基づいて、サブ監視部３８のハッシュ値を算出する（Ｓ５０２）。

【0100】

次いで、制御部３０Ａは、記憶部２８Ａからサブ監視部３８のハッシュ期待値「ＡＡＡ」を読み出す（Ｓ５０３）。次いで、制御部３０Ａは、算出したサブ監視部３８のハッシュ値と、記憶部２８Ａから読み出したサブ監視部３８のハッシュ期待値「ＡＡＡ」とを比較することにより、サブ監視部３８のハッシュ値の検証を実行する（Ｓ５０４）。すなわち、制御部３０Ａは、サブ監視部３８のハッシュ値がハッシュ期待値「ＡＡＡ」と一致しているか否かについての検証を実行することにより、サブ監視部３８の常時完全性検証を実行する。

【0101】

ステップＳ５０４の後、読込部２６Ａは、サブ監視部４０の起動後において、サブ監視部４０の記憶部５０から、サブ監視部４０に関するデータを読み込む（Ｓ５０５）。次いで、制御部３０Ａは、読込部２６Ａにより読み込まれたサブ監視部４０に関するデータに基づいて、サブ監視部４０のハッシュ値を算出する（Ｓ５０６）。

【0102】

次いで、制御部３０Ａは、記憶部２８Ａからサブ監視部４０のハッシュ期待値「ＢＢＢ」を読み出す（Ｓ５０７）。次いで、制御部３０Ａは、算出したサブ監視部４０のハッシュ値と、記憶部２８Ａから読み出したサブ監視部４０のハッシュ期待値「ＢＢＢ」とを比較することにより、サブ監視部４０のハッシュ値の検証を実行する（Ｓ５０８）。すなわち、制御部３０Ａは、サブ監視部４０のハッシュ値がハッシュ期待値「ＢＢＢ」と一致しているか否かについての検証を実行することにより、サブ監視部４０の常時完全性検証を実行する。

【0103】

ステップＳ５０８の後、情報処理装置２Ａの運転を継続する場合には（Ｓ５０９でＹＥＳ）、上述したステップＳ５０１に戻る。一方、情報処理装置２Ａの運転を停止する場合には（Ｓ５０９でＮＯ）、図９のフローチャートを終了する。

【0104】

なお、第２の監視部２４の動作については、上記実施の形態１と同様であるので、その説明を省略する。

【0105】

［２－３．効果］
本実施の形態では、複数のサブ監視部３８，４０と第１の監視部２２Ａとで常時完全性検証の処理を分散することにより、常時完全性検証を効率良く実行することができる。

【0106】

また、種々の条件に応じて、複数のサブ監視部３８，４０の各々が常時完全性検証を実行する頻度を適宜設定することができる。具体的には、被監視部１６が、例えば外部からの攻撃を受けやすいアプリケーション１０（図１参照）で動作する場合には、サブ監視部３８は、被監視部１６の常時完全性検証を比較的高い頻度（例えば、１秒毎に１回）で実行すればよい。一方、被監視部１８，２０の各々が、例えば外部からの攻撃を受け難いオペレーティングシステム８（図１参照）で動作する場合には、サブ監視部４０は、被監視部１８，２０の各々の常時完全性検証を比較的低い頻度（例えば、１０秒毎に１回）で実行すればよい。

【0107】

（他の変形例）
以上、一つ又は複数の態様に係る情報処理装置及び情報処理装置の制御方法について、上記各実施の形態に基づいて説明したが、本開示は、上記各実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思い付く各種変形を上記各実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つ又は複数の態様の範囲内に含まれてもよい。

【0108】

上記実施の形態１では、第１の監視部２２の制御部３０は、複数の被監視部１６，１８，２０の全てを検証対象としたが、これに限定されない。例えば、第１の監視部２２の制御部３０は、複数の被監視部１６，１８，２０のうち、優先度が高いと判断される被監視部を検証対象として決定してもよい。これにより、常時完全性検証の高速化を図ることができる。

【0109】

同様に、上記実施の形態２において、第１の監視部２２Ａの制御部３０Ａは、複数のサブ監視部３８，４０の両方を検証対象としたが、これに限定されない。例えば、第１の監視部２２Ａの制御部３０Ａは、複数のサブ監視部３８，４０のうち、優先度が高いと判断されるサブ監視部を検証対象として決定してもよい。

【0110】

また、上記実施の形態１では、第１の監視部２２の制御部３０は、例えば被監視部１６に関するデータに基づいて被監視部１６のハッシュ値を算出したが、これに限定されず、被監視部１６に関するデータの一部のみに基づいて被監視部１６のハッシュ値を算出してもよい。このことは、他の制御部３０Ａ，３６，４６，５２の各々がハッシュ値を算出する場合についても同様である。

【0111】

なお、上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したコンピュータプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたコンピュータプログラムを読み出して実行することによって実現されてもよい。

【0112】

また、上記各実施の形態に係る情報処理装置２（２Ａ）の機能の一部又は全てを、ＣＰＵ等のプロセッサがコンピュータプログラムを実行することにより実現してもよい。

【0113】

上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。

【0114】

本開示は、上記に示す方法であるとしても良い。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムを含むデジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な非一時的な記録媒体、例えばフレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしても良い。また、前記コンピュータプログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記コンピュータプログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。

【産業上の利用可能性】

【0115】

本開示は、例えば車載ネットワークにおいて各種プログラムの常時完全性検証を実行するための情報処理装置等に適用可能である。

【符号の説明】

【0116】

２，２Ａ，１００ 情報処理装置
４ ハードウェア
６ セキュリティソフトウェア
８ オペレーティングシステム
１０ アプリケーション
１２ 通常領域
１４ 堅牢領域
１６，１８，２０ 被監視部
２２，２２Ａ 第１の監視部
２４ 第２の監視部
２６，２６Ａ，３２，４２，４８ 読込部
２８，２８Ａ，３４，４４，５０ 記憶部
３０，３０Ａ，３６，４６，５２ 制御部
３８，４０ サブ監視部

【要約】

情報処理装置（２）は、被監視部（１６）と、被監視部（１６）を監視する第１の監視部（２２）であって、被監視部（１６）のハッシュ値と第１のハッシュ期待値とを比較することにより、被監視部（１６）の検証を繰り返し実行する第１の監視部（２２）と、第１の監視部（２２）よりもセキュアであり且つ第１の監視部（２２）を監視する第２の監視部（２４）であって、第１のハッシュ期待値を含む第１の監視部（２２）のハッシュ値と第２のハッシュ期待値とを比較することにより、第１の監視部（２２）の検証を繰り返し実行する第２の監視部（２４）とを備える。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】