▶ パナソニックオートモーティブシステムズ株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-11-13
(45)【発行日】2024-11-21
(54)【発明の名称】情報処理装置および情報処理方法
(51)【国際特許分類】
G06F 21/55 20130101AFI20241114BHJP
G06F 9/455 20180101ALI20241114BHJP
【ＦＩ】
G06F21/55
G06F9/455 150
【請求項の数】
7
(21)【出願番号】P 2023502106
(86)(22)【出願日】2021-12-22
(86)【国際出願番号】 JP2021047509
(87)【国際公開番号】W WO2022181020
(87)【国際公開日】2022-09-01
【審査請求日】2024-05-22
(31)【優先権主張番号】P 2021029959
(32)【優先日】2021-02-26
(33)【優先権主張国・地域又は機関】JP
(73)【特許権者】
【識別番号】322003857
【氏名又は名称】パナソニックオートモーティブシステムズ株式会社
(74)【代理人】
【識別番号】100123102
【弁理士】
【氏名又は名称】宗田 悟志
(72)【発明者】
【氏名】今本 吉治
(72)【発明者】
【氏名】安齋 潤
(72)【発明者】
【氏名】中野 稔久
【審査官】上島 拓也
(56)【参考文献】
【文献】特開２００５－２８４６８６（ＪＰ，Ａ）
【文献】特開平１０－２１４２０８（ＪＰ，Ａ）
【文献】特開２０１５－０８８０１４（ＪＰ，Ａ）
【文献】特開２０１５－１７６１６８（ＪＰ，Ａ）
【文献】特表２０１８－５２２３４０（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５５
Ｇ０６Ｆ ９／４５５
(57)【特許請求の範囲】
【請求項1】
ＨＶ（HyperVisor)上で第１のＶＭ（Virtual Machine）と第２のＶＭとが動作する情報処理装置であって、前記第１のＶＭは、
前記第１のＶＭにおける処理の異常を検知する検知部と、
前記検知部により異常が検知された場合、その異常に関する情報を、前記ＨＶを介して前記第２のＶＭへ通知する通知部と、を備え、
前記第２のＶＭは、
前記第１のＶＭから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する対応部を備え、
前記対応部は、前記第１のＶＭから通知された異常に関する情報をもとに異常の度合を導出し、前記異常の度合が所定の閾値以上であれば対応処理を実行し、
前記検知部は、異常検知の方法が互いに異なる第１検知部と第２検知部とを含み、
前記第２検知部は、前記第１検知部による異常検知処理の後に異常検知処理を実行し、
前記対応部は、前記第２検知部により異常が検知されたが、前記第１検知部により異常が未検知の場合、異常の度合を大きくする、
情報処理装置。
【請求項2】
前記対応部は、前記異常の度合が所定の閾値以上であれば、前記異常に関するデータを外部装置へ送信し、前記異常の度合が前記閾値未満であれば、前記異常に関するデータを外部装置へ送信しない、請求項１に記載の情報処理装置。
【請求項3】
前記検知部と前記通知部は、前記第１のＶＭで動作するＯＳ（Operating System）に設けられ、前記検知部は、前記ＯＳの処理の異常を検知し、
前記対応部は、前記第１のＶＭから取得した、前記ＯＳの処理の異常に関する情報をもとに、その異常に応じた対応処理を実行する、
請求項１または２に記載の情報処理装置。
【請求項4】
前記対応部は、前記ＯＳの処理の異常に関する情報をもとに異常の度合を導出し、前記異常の度合が所定の閾値未満であれば、前記ＯＳの処理を要求したアプリケーションのプロセスを再起動させ、前記異常の度合が所定の閾値以上であれば、アプリケーションのプロセスを停止させる、請求項３に記載の情報処理装置。
【請求項5】
セキュアモニタ上でＨＶとセキュアＯＳとが動作し、前記ＨＶ上で１つ以上のＶＭが動作する情報処理装置であって、前記ＨＶは、
前記ＨＶにおける処理の異常を検知する検知部と、
前記検知部により異常が検知された場合、その異常に関する情報を、前記セキュアモニタを介して前記セキュアＯＳへ通知する通知部と、を備え、
前記セキュアＯＳは、
前記ＨＶから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する対応部を備える、
情報処理装置。
【請求項6】
ＨＶ上で第１のＶＭと第２のＶＭとが動作するコンピュータが実行する情報処理方法であって、前記第１のＶＭが、前記第１のＶＭにおける処理の異常を検知し、異常を検知した場合、その異常に関する情報を、前記ＨＶを介して前記第２のＶＭへ通知し、
前記第２のＶＭが、前記第１のＶＭから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行し、
前記第２のＶＭが、前記第１のＶＭから通知された異常に関する情報をもとに異常の度合を導出し、前記異常の度合が所定の閾値以上であれば対応処理を実行し、
前記第１のＶＭは、異常検知の方法が互いに異なる第１検知部と第２検知部とを含み、
前記第２検知部は、前記第１検知部による異常検知処理の後に異常検知処理を実行し、
前記第２のＶＭが、前記第２検知部により異常が検知されたが、前記第１検知部により異常が未検知の場合、異常の度合を大きくする、
情報処理方法。
【請求項7】
セキュアモニタ上でＨＶとセキュアＯＳとが動作し、前記ＨＶ上で１つ以上のＶＭが動作するコンピュータが実行する情報処理方法であって、前記ＨＶが、前記ＨＶにおける処理の異常を検知し、異常を検知した場合、その異常に関する情報を、前記セキュアモニタを介して前記セキュアＯＳへ通知し、
前記セキュアＯＳが、前記ＨＶから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する、
情報処理方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示はデータ処理技術に関し、特に情報処理装置および情報処理方法に関する。
【背景技術】
【0002】
ソフトウェアの脆弱性を突いた攻撃によりシステムの権限が不正に奪取されてしまう等のリスクに対処するための様々なメモリ保護技術が提案されている。このような保護技術として、例えば、ＳｔａｃｋＣａｎａｒｙ、ＣＦＩ（Control Flow Integrity）、ＤＥＰ（Data Execution Prevention）がある。以下の特許文献１では、関数のリターン時のアドレスをホワイトリスト型で検査し、予め定義されていないアドレスへ遷移することを防止する技術が提案されている。
【先行技術文献】
【特許文献】
【0003】
【文献】米国特許出願公開第２０１８／０３４９５９８号明細書
【発明の概要】
【発明が解決しようとする課題】
【0004】
特許文献１の技術では、異常な関数遷移を防止できるが、ＯＳ（Operating System）等の特権レイヤで動作するプログラムに適用すると、異常に対応する機能も同様に攻撃対象となり得るため、安定した異常対応処理を保証できないという課題があった。
【0005】
本開示はこうした課題に鑑みてなされたものであり、１つの目的は、システムで生じた異常に対する安定した異常対応処理を実現する技術を提供することにある。
【課題を解決するための手段】
【0006】
上記課題を解決するために、本開示のある態様の情報処理装置は、ＨＶ（HyperVisor)上で第１のＶＭ（Virtual Machine）と第２のＶＭとが動作する情報処理装置であって、第１のＶＭは、第１のＶＭにおける処理の異常を検知する検知部と、検知部により異常が検知された場合、その異常に関する情報を、ＨＶを介して第２のＶＭへ通知する通知部と、を備える。第２のＶＭは、第１のＶＭから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する対応部を備える。
【0007】
本開示の別の態様も、情報処理装置である。この装置は、セキュアモニタ上でＨＶとセキュアＯＳとが動作し、ＨＶ上で１つ以上のＶＭが動作する情報処理装置であって、ＨＶは、ＶＭにおける処理の異常を検知する検知部と、検知部により異常が検知された場合、その異常に関する情報を、セキュアモニタを介してセキュアＯＳへ通知する通知部と、を備える。セキュアＯＳは、ＨＶから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する対応部を備える。
【0008】
本開示のさらに別の態様は、情報処理方法である。この方法は、ＨＶ上で第１のＶＭと第２のＶＭとが動作するコンピュータが実行する情報処理方法であって、第１のＶＭが、第１のＶＭにおける処理の異常を検知し、異常を検知した場合、その異常に関する情報を、ＨＶを介して第２のＶＭへ通知し、第２のＶＭが、第１のＶＭから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する。
【0009】
本開示のさらに別の態様もまた、情報処理方法である。この方法は、セキュアモニタ上でＨＶとセキュアＯＳとが動作し、ＨＶ上で１つ以上のＶＭが動作するコンピュータが実行する情報処理方法であって、ＨＶが、ＨＶにおける処理の異常を検知し、異常を検知した場合、その異常に関する情報を、セキュアモニタを介してセキュアＯＳへ通知し、セキュアＯＳが、ＨＶから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する。
【0010】
なお、以上の構成要素の任意の組合せ、本開示の表現を、システム、コンピュータプログラム、コンピュータプログラムを記録した記録媒体、情報処理装置を搭載した車両などの間で変換したものもまた、本開示の態様として有効である。
【発明の効果】
【0011】
本開示の技術によれば、システムで生じた異常に対する安定した異常対応処理を実現することができる。
【図面の簡単な説明】
【0012】
【図1】実施例のＥＣＵが備える機能ブロックを示すブロック図である。
【図3】実施例のＥＣＵ（ＶＭ１６）の動作を示すフローチャートである。
【図4】実施例のＥＣＵ（ＶＭ１８）の動作を示すフローチャートである。
【図5】異常スコアごとの対応処理の内容を示す図である。
【図6】第１変形例のＥＣＵが備える機能ブロックを示すブロック図である。
【発明を実施するための形態】
【0013】
本開示における装置または方法の主体は、コンピュータを備えている。このコンピュータがプログラムを実行することによって、本開示における装置または方法の主体の機能が実現される。コンピュータは、プログラムにしたがって動作するプロセッサを主なハードウェア構成として備える。プロセッサは、プログラムを実行することによって機能を実現することができれば、その種類は問わない。プロセッサは、半導体集積回路（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）（ＩＣ）、またはＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）を含む１つまたは複数の電子回路で構成される。ここではＩＣあるいはＬＳＩと呼んでいるが、集積の度合いによって呼び方が変わり、システムＬＳＩ、ＶＬＳＩ（Ｖｅｒｙ Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）もしくはＵＳＬＩ（Ｕｌｔｒａ Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）と呼ばれるものであってもよい。ＬＳＩの製造後にプログラムされる、フィールド・プログラマブル・ゲート・アレイ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）（ＦＰＧＡ）、またはＬＳＩ内部の接合関係の再構成またはＬＳＩ内部の回路区画のセットアップができる再構成可能な論理デバイスも同じ目的で使うことができる。複数の電子回路は、１つのチップに集積されてもよいし、複数のチップに設けられてもよい。複数のチップは１つの装置に集約されていてもよいし、複数の装置に備えられていてもよい。プログラムは、コンピュータが読み取り可能なＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、光ディスク、ハードディスクドライブなどの非一時的記録媒体に記録される。プログラムは、記録媒体に予め格納されていてもよいし、インターネット等を含む広域通信網を介して記録媒体に供給されてもよい。
【0014】
実施例の概要を説明する。
従来、ソフトウェアの脆弱性を突く攻撃からソフトウェアを保護する技術（例えば異常な関数遷移を防止するメモリ保護技術）が提案されている。しかし、このような従来技術をＯＳ等の特権レイヤで動作するプログラムに適用すると、異常に対応する機能も同様に攻撃対象となり得るため、安定した異常対応処理を保証できないという課題があった。実施例の情報処理装置（後述のＥＣＵ１２）では、異常対応処理を実行する主体を異常を検知する主体から分離し、また、メモリ保護技術の検知結果を保護対象のプログラムから分離することにより、システムで生じた異常に対する安定した異常対応処理を実現する。
従来、ソフトウェアの脆弱性を突く攻撃からソフトウェアを保護する技術（例えば異常な関数遷移を防止するメモリ保護技術）が提案されている。しかし、このような従来技術をＯＳ等の特権レイヤで動作するプログラムに適用すると、異常に対応する機能も同様に攻撃対象となり得るため、安定した異常対応処理を保証できないという課題があった。実施例の情報処理装置（後述のＥＣＵ１２）では、異常対応処理を実行する主体を異常を検知する主体から分離し、また、メモリ保護技術の検知結果を保護対象のプログラムから分離することにより、システムで生じた異常に対する安定した異常対応処理を実現する。
【0015】
また、ソフトウェアの脆弱性を修正するためには、異常に関連する様々なデータ（以下「異常情報」とも呼ぶ。）を収集し、解析のため外部へ提供する必要がある。ＯＳ等のシステムソフトウェアでは管理データのサイズが大きいため、異常情報の収集と提供を効率的に行う必要がある。実施例の情報処理装置（後述のＥＣＵ１２）は、異常検知時にその異常の度合をスコアリングすることで、異常情報の収集と提供の効率化を実現する。
【0016】
実施例の詳細を説明する。
図１は、実施例のＥＣＵ（Electronic Control Unit）１２が備える機能ブロックを示すブロック図である。ＥＣＵ１２は、車両１０に搭載されるマイクロコントローラである。ＥＣＵ１２は、例えば、ＴＣＵ（Telematics Communication Unit）の機能（例えば車両１０外部の機器との通信機能）と、ＡＤＡＳ（Advanced Driver-Assistance System）の機能（例えば衝突被害軽減ブレーキやクルーズコントロール）を提供する統合ＥＣＵであってもよい。
図１は、実施例のＥＣＵ（Electronic Control Unit）１２が備える機能ブロックを示すブロック図である。ＥＣＵ１２は、車両１０に搭載されるマイクロコントローラである。ＥＣＵ１２は、例えば、ＴＣＵ（Telematics Communication Unit）の機能（例えば車両１０外部の機器との通信機能）と、ＡＤＡＳ（Advanced Driver-Assistance System）の機能（例えば衝突被害軽減ブレーキやクルーズコントロール）を提供する統合ＥＣＵであってもよい。
【0017】
本開示のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵ・メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。
【0018】
例えば、図１に示すＥＣＵ１２の複数の機能ブロックのうち少なくとも一部の機能ブロックに対応するモジュールを含むコンピュータプログラムが、ＥＣＵ１２のＲＯＭに記憶されてもよい。ＥＣＵ１２のＣＰＵは、このコンピュータプログラムをＲＡＭに読み出して実行することにより、図１に示す各機能ブロックの機能を発揮してもよい。
【0019】
ＥＣＵ１２は、ハイパーバイザ（ＨＶ１４）と、ＨＶ１４上で動作する複数の仮想マシン（ＶＭ１６およびＶＭ１８）とを備える。ＨＶ１４は、ＥＣＵ１２が備える各種ハードウェアリソースをＶＭ１６およびＶＭ１８に割り当てる処理等を実行する。ＶＭ１６は、例えばＴＣＵの機能を提供するＶＭであり、実施例では、攻撃対象となる第１のＶＭである。ＶＭ１８は、例えばＡＤＡＳの機能を提供するＶＭであり、実施例では、攻撃により生じた異常に対する分析と対応を行う第２のＶＭである。また、ＶＭ１６とＶＭ１８は、メモリを共有する。
【0020】
ＶＭ１６は、ゲストＯＳ２０と、ゲストＯＳ２０上で動作する複数のアプリケーションのプロセス（実施例ではＡｐｐプロセス２２とＡｐｐプロセス２４）を備える。言い換えれば、ＶＭ１６では、ゲストＯＳ２０のプログラム（以下「ＯＳプログラム」とも呼ぶ。）が実行され、ゲストＯＳ２０の管理下で複数のアプリケーションのプログラムが実行される。
【0021】
Ａｐｐプロセス２２は、特権処理要求部２６を備える。特権処理要求部２６は、アプリケーションの処理で生じた特権処理要求をゲストＯＳ２０へ送信する。特権処理要求は、システムコールとも言え、ゲストＯＳ２０のＡＰＩ（Application Programming Interface）を呼び出すことによりゲストＯＳ２０の処理（例えばファイルオープン等）を要求するものであってもよい。
【0022】
ゲストＯＳ２０は、要求受信部２８、カーネル処理部３０、異常通知部３２、異常情報蓄積部３４を備える。要求受信部２８は、Ａｐｐプロセス２２（特権処理要求部２６）から送信された特権処理要求を受け付ける。カーネル処理部３０は、要求受信部２８により受け付けられた特権処理要求に応じて、カーネルの処理（例えばファイルオープン）を実行する。カーネル処理部３０は、第１検知部３６、第２検知部３８、統計情報取得部４０を含む。
【0023】
第１検知部３６と第２検知部３８は、ＶＭ１６における処理の異常を検知する。具体的には、第１検知部３６と第２検知部３８は、ＶＭ１６のゲストＯＳ２０における処理（特権モードの処理とも言える）の異常を検知する。第１検知部３６と第２検知部３８は、異常検知の方法が互いに異なる。実施例では、第１検知部３６は、ＳｔａｃｋＣａｎａｒｙの仕組みによりゲストＯＳ２０における処理の異常を検知する。第２検知部３８は、ＣＦＩの仕組みによりゲストＯＳ２０における処理の異常を検知する。
【0024】
図２（ａ）は、ＯＳプログラムのソースコードの例を示し、図２（ｂ）は、チェックコードが追加されたＯＳプログラムのソースコードの例を示す。チェックコード６０は、ＳｔａｃｋＣａｎａｒｙ機能を呼び出すコードであり、チェックコード６０が実行されることにより、第１検知部３６による異常検知処理が実行される。チェックコード６２は、ＣＦＩ機能を呼び出すコードであり、チェックコード６２が実行されることにより、第２検知部３８による異常検知処理が実行される。図２（ｂ）に示すように、実施例では、第１検知部３６による異常検知処理（ＳｔａｃｋＣａｎａｒｙ）が先に実行され、第２検知部３８による異常検知処理（ＣＦＩ）が後に実行される。
【0025】
図１に戻り、統計情報取得部４０は、Ａｐｐプロセス２２からの特権処理要求に基づいて検知された異常に関する統計情報を取得する。統計情報取得部４０は、取得した統計情報を異常情報蓄積部３４に格納する。統計情報は、要求受信部２８が特権処理要求を受信した回数や頻度、言い換えれば、Ａｐｐプロセス２２から特権処理が呼び出された回数や頻度を含んでもよい。また、統計情報は、特権処理要求に伴い発生したエラーの回数や頻度を含んでもよい。このエラーは、特権処理要求の引数の個数や型、値範囲等に関する形式エラーを含んでもよい。
【0026】
異常通知部３２は、第１検知部３６と第２検知部３８の少なくとも一方で異常が検知された場合、その異常に関連する様々なデータ（異常情報）をカーネル処理部３０から取得して、異常情報蓄積部３４に格納する。異常情報は、異常が検知されたＯＳプログラムのプロセスＩＤとプロセス名、異常を検知した検知部の種類（実施例では第１検知部３６または第２検知部３８）、レジスタ情報、異常が検知されたＯＳプログラムの位置とデータ、スタックトレースデータ、異常が検知されたＯＳプログラムを呼び出したＡｐｐプロセスの情報を含む。異常情報蓄積部３４は、検知された異常に関する統計情報と異常情報を記憶する。
【0027】
また、異常通知部３２は、第１検知部３６と第２検知部３８の少なくとも一方で異常が検知された場合、その異常に関する情報（以下「通知情報」とも呼ぶ。）を、ＨＶ１４を介してＶＭ１８へ通知する。実施例では、異常通知部３２は、ＨＶ１４の所定のＡＰＩを呼び出すことにより、通知情報をＨＶ１４へ渡す。実施例の通知情報は、異常情報蓄積部３４に記憶された異常情報を取得するために必要なデータを含む。例えば、通知情報は、異常情報蓄積部３４における異常情報の記憶位置を示すアドレスデータを含んでもよい。
【0028】
ＨＶ１４は、転送部４２を備える。転送部４２は、ＶＭ１６（ゲストＯＳ２０）から出力された通知情報を受け付け、その通知情報をＶＭ１８（ゲストＯＳ４４）へ転送する。
【0029】
ＶＭ１８は、ゲストＯＳ４４と、ゲストＯＳ４４上で動作する１つ以上のアプリケーションのプロセス（実施例ではＡｐｐプロセス４６）を備える。
【0030】
ゲストＯＳ４４は、要求受信部４８、カーネル処理部５０、割込み受信部５２を備える。要求受信部４８とカーネル処理部５０は、ゲストＯＳ２０の要求受信部２８とカーネル処理部３０に対応する。割込み受信部５２は、ＨＶ１４から割込みにより渡された通知情報を受信して、その通知情報をＡｐｐプロセス４６に渡す。
【0031】
Ａｐｐプロセス４６は、対応部として、ＶＭ１６から通知された異常に関する情報（実施例では通知情報）をもとに、その異常に応じた対応処理を実行する。実施例では、Ａｐｐプロセス４６は、ＶＭ１６から取得した、ゲストＯＳ２０の処理の異常に関する情報をもとに、その異常に応じた対応処理を実行する。Ａｐｐプロセス４６は、異常分析部５４と異常対応部５６を含む。
【0032】
異常分析部５４は、ＶＭ１６のゲストＯＳ２０から出力され、ＨＶ１４（転送部４２）およびゲストＯＳ４４（割込み受信部５２）により転送された、ゲストＯＳ２０の異常に関する通知情報を受け付ける。異常分析部５４は、通知情報が示すアドレスデータをもとに、ＶＭ１６（異常情報蓄積部３４）から当該異常に関する異常情報と統計情報とを読み出す。異常分析部５４は、ＶＭ１６（異常情報蓄積部３４）から読み出した異常情報と統計情報とをもとに、異常の度合いを導出する。
【0033】
異常対応部５６は、異常分析部５４により導出された異常の度合いが所定の閾値未満であれば、ゲストＯＳ２０の処理を要求したアプリケーションのプロセス（実施例ではＡｐｐプロセス２２）を再起動させる。一方、異常分析部５４により導出された異常の度合いが上記閾値以上であれば、異常対応部５６は、上記アプリケーションのプロセスを停止させる。
【0034】
また、異常対応部５６は、異常分析部５４により導出された異常の度合いが所定の閾値以上であれば、異常に関するデータを外部装置へ送信する。一方、異常分析部５４により導出された異常の度合いが上記閾値未満であれば、異常対応部５６は、異常に関するデータを外部装置へ送信せず、言い換えれば、外部装置への送信を抑制する。外部装置は、ＥＣＵ１２の外部の装置であってもよく、車両１０の外部の装置であってもよく、ＥＣＵ１２の異常情報を蓄積し、解析する装置であってもよい。
【0035】
以上の構成による実施例のＥＣＵ１２の動作を説明する。
図３は、実施例のＥＣＵ１２（ＶＭ１６）の動作を示すフローチャートである。Ａｐｐプロセス２２の特権処理要求部２６は、アプリケーションの処理で生じた特権処理要求をゲストＯＳ２０へ送信する（Ｓ１０）。ゲストＯＳ２０の要求受信部２８は、特権処理要求を受信し、カーネル処理部３０は、要求された特権モードでの処理（ファイルオープン等）を開始する（Ｓ１１）。
図３は、実施例のＥＣＵ１２（ＶＭ１６）の動作を示すフローチャートである。Ａｐｐプロセス２２の特権処理要求部２６は、アプリケーションの処理で生じた特権処理要求をゲストＯＳ２０へ送信する（Ｓ１０）。ゲストＯＳ２０の要求受信部２８は、特権処理要求を受信し、カーネル処理部３０は、要求された特権モードでの処理（ファイルオープン等）を開始する（Ｓ１１）。
【0036】
カーネル処理部３０における特権モードでの処理中に、第１検知部３６は、ＳｔａｃｋＣａｎａｒｙの仕組みにより異常の有無を検査する（Ｓ１２）。第１検知部３６が異常を未検知の場合（Ｓ１３のＮ）、第２検知部３８は、ＣＦＩの仕組みにより異常の有無を検査する（Ｓ１４）。第２検知部３８が異常を未検知の場合（Ｓ１５のＮ）、カーネル処理部３０は、特権モードでの処理の結果を要求元のＡｐｐプロセス２２に返す（Ｓ１６）。
【0037】
第１検知部３６が異常を検知した場合（Ｓ１３のＹ）、または、第２検知部３８が異常を検知した場合（Ｓ１５のＹ）、カーネル処理部３０は、それまで実行した特権モードでの処理に関するアボート処理を実行する（Ｓ１７）。異常通知部３２は、検知された異常に関する異常情報を異常情報蓄積部３４に格納する（Ｓ１８）。異常通知部３２は、検知された異常に関する通知情報を、ＨＶ１４を介してＶＭ１８（すなわち異常対応処理を実行する他のＶＭ）へ送信する（Ｓ１９）。
【0038】
図３には不図示だが、ゲストＯＳ２０の要求受信部２８は、Ａｐｐプロセス２２から受信した特権処理要求に関する情報を統計情報取得部４０へ提供する。統計情報取得部４０は、Ａｐｐプロセス２２からの特権処理要求に基づく統計情報（例えば要求回数や要求頻度、エラー情報、エラー頻度等）を異常情報蓄積部３４に格納する。
【0039】
図４は、実施例のＥＣＵ１２（ＶＭ１８）の動作を示すフローチャートである。ＶＭ１８で実行中のＡｐｐプロセス４６の異常分析部５４は、ＶＭ１６から出力され、ＨＶ１４およびゲストＯＳ４４により転送された通知情報を受信する（Ｓ２０）。異常分析部５４は、通知情報に基づいて、ＶＭ１６の異常情報蓄積部３４から異常情報を読み出す（Ｓ２１）。また、異常分析部５４は、ＶＭ１６の異常情報蓄積部３４から、異常情報が示す、異常が検知されたＯＳプログラムを呼び出したＡｐｐプロセス（実施例ではＡｐｐプロセス２２）に関する統計情報をさらに読み出す。
【0040】
異常分析部５４は、第２検知部３８が異常を検知したことを異常情報が示す場合、すなわち第１検知部３６が異常を未検知であって第２検知部３８が異常を検知した場合（Ｓ２２のＹ）、異常スコアを加算する（実施例では＋１する）（Ｓ２３）。異常スコアは、ＶＭ１６（ゲストＯＳ２０）の異常の度合いを示す指標値である。第１検知部３６が異常を検知したことを異常情報が示す場合（Ｓ２２のＮ）、Ｓ２３の処理をスキップする。このように、第１検知部３６による異常検知を回避する攻撃を受けた場合に異常の度合を大きくすることで、攻撃の種類に応じた適切な対応処理を実行する。
【0041】
異常分析部５４は、異常情報と統計情報を分析し、ＯＳプログラムの呼び出し元であるＡｐｐプロセス２２の動作として通常とは異なる異常な動作が記録されているか否かを判定する（Ｓ２４）。例えば、統計情報が示す、Ａｐｐプロセス２２からの特権処理要求の回数または頻度が所定の閾値より大きい場合や、Ａｐｐプロセス２２からの特権処理要求が形式チェックでエラーとなった回数または頻度が所定の閾値より大きい場合、異常分析部５４は、異常な動作が記録されていると判定してもよい。Ａｐｐプロセス２２の異常な動作が記録されている場合（Ｓ２５のＹ）、異常分析部５４は、異常スコアを加算する（実施例では＋１する）（Ｓ２６）。Ａｐｐプロセス２２の異常な動作が記録されていなければ（Ｓ２５のＮ）、Ｓ２６の処理をスキップする。
【0042】
Ｓ２６までの処理の結果、異常スコアは、異常の度合いが低い場合「０」、異常の度合いが中程度の場合「１」、異常の度合いが高い場合「２」となる。異常対応部５６は、異常スコアに応じて、異常に対する対応処理を実行する（Ｓ２７）。
【0043】
図５は、異常スコアごとの対応処理の内容を示す。異常スコアが第１閾値（実施例では「１」）未満の場合、すなわち異常スコアが「０」の場合、異常対応部５６は、異常が検知されたＯＳプログラムを呼び出したＶＭ１６のＡｐｐプロセス２２を再起動させる。例えば、ＶＭ１８は、Ａｐｐプロセス２２を再起動させる内容を含む予め作成されたコマンドファイルを記憶し、異常対応部５６は、そのコマンドファイルを実行してもよい。異常スコアが第１閾値の場合、異常対応部５６は、ＶＭ１６のゲストＯＳ２０で異常が発生したことを示すセキュリティインシデントデータを外部装置へ送信しない。
【0044】
異常スコアが第１閾値以上かつ第２閾値（実施例では「２」）未満の場合、すなわち異常スコアが「１」の場合、異常対応部５６は、異常が検知されたＯＳプログラムを呼び出したＶＭ１６のＡｐｐプロセス２２を再起動させる。それとともに、異常対応部５６は、ＶＭ１６から取得された異常情報を所定の記憶領域（例えばＶＭ１８用のメモリ領域）に保存し、また、異常情報を含むセキュリティインシデントデータを外部装置へ送信する。
【0045】
異常スコアが第２閾値以上の場合、すなわち異常スコアが「２」の場合、異常対応部５６は、異常が検知されたＯＳプログラムを呼び出したＶＭ１６のＡｐｐプロセス２２を停止させ、ＶＭ１６を縮退運転させる。例えば、ＶＭ１８は、Ａｐｐプロセス２２を強制停止させる内容を含む予め作成されたコマンドファイルを記憶し、異常対応部５６は、そのコマンドファイルを実行してもよい。それとともに、異常対応部５６は、ＶＭ１６から取得された異常情報を所定の記憶領域（例えばＶＭ１８用のメモリ領域）に保存し、また、異常情報を含むセキュリティインシデントデータを外部装置へ送信する。
【0046】
実施例のＥＣＵ１２では、異常を検知するＶＭと、その異常への対応処理を実行するＶＭとを分離する（実施例では前者がＶＭ１６、後者がＶＭ１８）。これにより、異常への対応処理を実行する機能が攻撃対象となることを回避し、異常への対応処理を安定して実行できる。例えば、ＥＣＵ１２では、ＶＭ１６のゲストＯＳ２０が攻撃された場合に、ゲストＯＳ２０の処理の異常への対応処理を安定して実行できる。また、ＥＣＵ１２では、異常検知時に異常の度合いをスコアリングすることで、異常の度合いに応じて、外部装置への異常通知の要否を選別でき、例えば、外部装置への異常通知の頻度やデータ量を抑制することができる。
【0047】
以上、本開示を実施例をもとに説明した。この実施例は例示であり、実施例の各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。
【0048】
第１変形例を説明する。
図６は、第１変形例のＥＣＵ１２が備える機能ブロックを示すブロック図である。第１変形例のＥＣＵ１２が備える機能ブロックのうち実施例のＥＣＵ１２が備える機能ブロックと同一の機能ブロックには、適宜、実施例と同一の符号を付している。以下、実施例で説明済みの内容は再度の説明を省略し、主に実施例と異なる点を説明する。
図６は、第１変形例のＥＣＵ１２が備える機能ブロックを示すブロック図である。第１変形例のＥＣＵ１２が備える機能ブロックのうち実施例のＥＣＵ１２が備える機能ブロックと同一の機能ブロックには、適宜、実施例と同一の符号を付している。以下、実施例で説明済みの内容は再度の説明を省略し、主に実施例と異なる点を説明する。
【0049】
第１変形例のＥＣＵ１２は、セキュアモニタ７０と、セキュアモニタ７０上で動作するＨＶ１４とセキュアＯＳ７２とを備える。また、第１変形例のＥＣＵ１２は、実施例と同様に、ＨＶ１４上で動作するＶＭ１６とＶＭ１８とを備える。
【0050】
セキュアモニタ７０とセキュアＯＳ７２は、「セキュアワールド部」と総称される。セキュアワールド部は、典型的には、認証等、セキュリティ関連の処理を実行する。ＨＶ１４、ＶＭ１６、ＶＭ１８の実行環境は、ノーマルワールドとも呼ばれ、ノーマルワールドのプロセスは、セキュアワールド部において予め定められたＡＰＩを呼び出すことでのみセキュアワールド部のプロセスにアクセスできる。セキュアワールド部（セキュアモニタ７０とセキュアＯＳ７２）は、ＨＶ１４、ＶＭ１６、ＶＭ１８よりも信頼度が高い実行環境である。
【0051】
セキュアモニタ７０は、転送部８８を備える。転送部８８は、実施例のＨＶ１４の転送部４２に対応する。
【0052】
ＨＶ１４は、要求受信部７４、ＨＶ処理部７６、異常通知部７８、異常情報蓄積部８０を備える。ＨＶ処理部７６は、ＶＭの管理に関する各種処理を実行する。ＨＶ処理部７６は、第１検知部８２、第２検知部８４、統計情報取得部８６を含む。要求受信部７４、異常通知部７８、異常情報蓄積部８０、第１検知部８２、第２検知部８４、統計情報取得部８６は、実施例のゲストＯＳ２０が備える要求受信部２８、異常通知部３２、異常情報蓄積部３４、第１検知部３６、第２検知部３８、統計情報取得部４０に対応する。
【0053】
セキュアＯＳ７２は、割込み受信部９０と対応部９２とを備える。割込み受信部９０は、実施例のＶＭ１８が備える割込み受信部５２に対応する。対応部９２は、実施例のＶＭ１８が備えるＡｐｐプロセス４６に対応する。対応部９２は、異常分析部９４と異常対応部９６を含む。異常分析部９４、異常対応部９６は、実施例のＡｐｐプロセス４６が備える異常分析部５４、異常対応部５６に対応する。
【0054】
図６に示すように、実施例ではＶＭ１６のゲストＯＳ２０が備えた異常検知に関する機能ブロックが、第１変形例ではＨＶ１４に設けられる。図２（ｂ）に示したチェックコードは、第１変形例ではＨＶ１４のプログラム（以下「ＨＶプログラム」とも呼ぶ。）に設定される。また、実施例ではＶＭ１８が備えた異常対処に関する機能ブロックが、第１変形例ではセキュアＯＳ７２に設けられる。第１変形例は、ＨＶ１４の異常（言い換えればＨＶプログラムの処理の異常）に対処するものであり、ＨＶ１４の異常が検知された場合、ＨＶ１４の管理下のＶＭ１８がＨＶ１４の異常に対処するのではなく、ＨＶ１４に非依存のセキュアＯＳ７２がＨＶ１４の異常に対処する。
【0055】
例えば、ＨＶ１４の第１検知部８２と第２検知部８４は、ＨＶ１４における処理の異常を検知する。ＨＶ１４の異常通知部７８は、第１検知部８２または第２検知部８４により異常が検知された場合、その異常に関する情報を、セキュアモニタ７０を介してセキュアＯＳ７２へ通知する。セキュアＯＳ７２の対応部９２は、ＨＶ１４から通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する。
【0056】
以上の構成による第１変形例のＥＣＵ１２の動作を説明する。
Ａｐｐプロセス２２の特権処理要求部２６は、アプリケーションの処理で生じた特権処理要求をゲストＯＳ２０へ送信する。ゲストＯＳ２０は、Ａｐｐプロセス２２からの特権処理要求に基づく特権モードでの処理を実行し、その実行中にハイパーバイザ処理の要求（「ハイパーコール」とも呼ぶ。）をＨＶ１４へ送信する。ＨＶ１４の要求受信部７４は、ハイパーコールを受信し、ＨＶ処理部７６は、ハイパーコールに基づいてハイパーバイザ処理を開始する。
Ａｐｐプロセス２２の特権処理要求部２６は、アプリケーションの処理で生じた特権処理要求をゲストＯＳ２０へ送信する。ゲストＯＳ２０は、Ａｐｐプロセス２２からの特権処理要求に基づく特権モードでの処理を実行し、その実行中にハイパーバイザ処理の要求（「ハイパーコール」とも呼ぶ。）をＨＶ１４へ送信する。ＨＶ１４の要求受信部７４は、ハイパーコールを受信し、ＨＶ処理部７６は、ハイパーコールに基づいてハイパーバイザ処理を開始する。
【0057】
ＨＶ処理部７６におけるハイパーバイザ処理中に、第１検知部８２は、ＳｔａｃｋＣａｎａｒｙの仕組みにより異常の有無を検査する。第１検知部８２が異常を未検知の場合、第２検知部８４は、ＣＦＩの仕組みにより異常の有無を検査する。第２検知部８４が異常を未検知の場合、ＨＶ処理部７６は、ハイパーバイザ処理の結果を要求元のゲストＯＳ２０に返し、ゲストＯＳ２０は、特権モードでの処理の結果を要求元のＡｐｐプロセス２２に返す。
【0058】
第１検知部８２が異常を検知した場合、または、第２検知部８４が異常を検知した場合、ＨＶ処理部７６は、それまで実行したハイパーバイザ処理に関するアボート処理を実行する。異常通知部７８は、検知された異常に関する異常情報を異常情報蓄積部８０に格納する。ここでの異常情報は、異常が検知されたＨＶプログラムを直接呼び出したゲストＯＳ２０のプロセスに関する情報に加えて、そのＨＶプログラムを間接的に呼び出したＡｐｐプロセス２２に関する情報を含む。異常通知部７８は、検知された異常に関する通知情報を、セキュアモニタ７０を介してセキュアＯＳ７２へ送信する。
【0059】
ＨＶ１４の要求受信部７４は、ゲストＯＳ２０から受信したハイパーコールに関する情報を統計情報取得部８６へ提供する。統計情報取得部８６は、ゲストＯＳ２０からのハイパーコールに関する統計情報（例えば要求回数や要求頻度、エラー情報、エラー頻度等）を異常情報蓄積部８０に格納する。
【0060】
セキュアＯＳ７２で実行中の対応部９２の異常分析部９４は、ＨＶ１４から出力され、セキュアモニタ７０および割込み受信部９０により転送された通知情報を受信する。異常分析部９４は、通知情報に基づいて、ＨＶ１４の異常情報蓄積部８０から異常情報を読み出す。また、異常分析部９４は、ＨＶ１４の異常情報蓄積部８０から、異常情報が示す、異常が検知されたＨＶプログラムを呼び出したゲストＯＳ２０のプロセスまたはＡｐｐプロセス２２に関する統計情報をさらに読み出す。
【0061】
異常分析部９４は、第２検知部８４が異常を検知したことを異常情報が示す場合であり、すなわち、第１検知部８２が異常を未検知であって第２検知部８４が異常を検知した場合、ＨＶ１４の異常の度合いを示す指標値である異常スコアを加算（＋１）する。第１検知部８２が異常を検知したことを異常情報が示す場合、異常スコアの加算処理をスキップする。
【0062】
異常分析部９４は、異常情報と統計情報とを分析し、ＨＶプログラムの呼び出し元であるゲストＯＳ２０のプロセスまたはＡｐｐプロセス２２の動作として通常とは異なる異常な動作が記録されているか否かを判定する。ゲストＯＳ２０のプロセスまたはＡｐｐプロセス２２の異常な動作が記録されている場合、異常分析部９４は、異常スコアを加算（＋１）する。ゲストＯＳ２０のプロセスまたはＡｐｐプロセス２２の異常な動作が記録されていなければ、異常スコアの加算処理をスキップする。
【0063】
異常対応部９６は、異常スコアに応じて、異常に対する対応処理を実行する。異常スコアが第１閾値（ここでは「１」）未満の場合、すなわち異常スコアが「０」の場合、異常対応部９６は、異常が検知されたＨＶプログラムを間接的に呼び出したＶＭ１６のＡｐｐプロセス２２を再起動させる。変形例として、異常対応部９６は、異常が検知されたＨＶプログラムを直接呼び出したゲストＯＳ２０のプロセスを含むＶＭ１６を再起動させてもよい。異常対応部５６は、セキュリティインシデントデータを外部装置へ送信しない。
【0064】
異常スコアが第１閾値以上かつ第２閾値（ここでは「２」）未満の場合、すなわち異常スコアが「１」の場合、異常対応部９６は、異常が検知されたＨＶプログラムを間接的に呼び出したＶＭ１６のＡｐｐプロセス２２を再起動させる。変形例として、異常対応部９６は、異常が検知されたＨＶプログラムを直接呼び出したゲストＯＳ２０のプロセスを含むＶＭ１６を再起動させてもよい。また、異常対応部９６は、ＨＶ１４から取得された異常情報を所定の記憶領域（例えばセキュアＯＳ７２用のメモリ領域）に保存し、また、その異常情報を含むセキュリティインシデントデータを外部装置へ送信する。
【0065】
異常スコアが第２閾値以上の場合、すなわち異常スコアが「２」の場合、異常対応部９６は、異常が検知されたＨＶプログラムを呼び出したＶＭ１６のＡｐｐプロセス２２を停止させ、ＶＭ１６を縮退運転させる。変形例として、異常対応部９６は、異常が検知されたＨＶプログラムを直接呼び出したゲストＯＳ２０のプロセスを含むＶＭ１６を停止させてもよい。さらに、異常対応部９６は、ＨＶ１４から取得された異常情報を所定の記憶領域（例えばセキュアＯＳ７２用のメモリ領域）に保存し、また、その異常情報を含むセキュリティインシデントデータを外部装置へ送信する。
【0066】
第１変形例のＥＣＵ１２では、ノーマルワールドで異常を検知した場合に、ノーマルワールドから分離されたセキュアワールド部（セキュアＯＳ７２）がその異常への対応処理を実行する。これにより、異常への対応処理を実行する機能が攻撃対象となることを回避し、異常への対応処理を安定して実行できる。例えば、ＥＣＵ１２では、ＨＶ１４が攻撃された場合に、ＨＶ１４の処理の異常への対応処理を安定して実行できる。また、ＥＣＵ１２では、異常検知時に異常の度合いをスコアリングすることで、異常の度合いに応じて、外部装置への異常通知の要否を選別でき、例えば、外部装置への異常通知の頻度やデータ量を抑制することができる。
【0067】
第２変形例を説明する。
第２変形例のＥＣＵ１２は、図１に示す実施例のＥＣＵ１２の構成と、図６に示す第１変形例のＥＣＵ１２の構成を組み合わせたものである。すなわち、第２実施例のＥＣＵ１２の構成は、図１に示す実施例のＥＣＵ１２の構成に、図６に示すＨＶ１４の構成と、セキュアモニタ７０の構成と、セキュアＯＳ７２の構成を追加したものとなる。
第２変形例のＥＣＵ１２は、図１に示す実施例のＥＣＵ１２の構成と、図６に示す第１変形例のＥＣＵ１２の構成を組み合わせたものである。すなわち、第２実施例のＥＣＵ１２の構成は、図１に示す実施例のＥＣＵ１２の構成に、図６に示すＨＶ１４の構成と、セキュアモニタ７０の構成と、セキュアＯＳ７２の構成を追加したものとなる。
【0068】
第２変形例のＥＣＵ１２では、ＶＭ１６のゲストＯＳ２０がゲストＯＳ２０の異常を検知し、ＶＭ１８のＡｐｐプロセス４６（対応部）がゲストＯＳ２０の異常に対処する。言い換えれば、或るＶＭ上のＯＳの異常に、別ＶＭが対処する。また、第２変形例のＥＣＵ１２では、ＨＶ１４がＨＶ１４の異常を検知し、セキュアＯＳ７２がＨＶ１４の異常に対処する。
【0069】
第２変形例では、ＶＭ１８の異常対応部５６は、ＶＭ１６の異常情報蓄積部３４から取得された、ゲストＯＳ２０の異常に関する異常情報と統計情報を、セキュアモニタ７０（転送部８８）を介してセキュアＯＳ７２（異常分析部９４）へ送信する。セキュアＯＳ７２の異常分析部９４は、ＶＭ１８の異常対応部５６から送信された、ゲストＯＳ２０の異常に関する異常情報と統計情報を所定の記憶領域（例えばセキュアＯＳ７２用の記憶領域）に格納する。
【0070】
セキュアＯＳ７２の異常分析部９４は、ＨＶ１４の異常情報蓄積部８０から取得した、ＨＶ１４の異常に関する異常情報と統計情報に加えて、ＶＭ１８の異常対応部５６から送信された、ゲストＯＳ２０の異常に関する異常情報と統計情報に基づいて、ＨＶ１４の異常に関する異常スコアを導出する。例えば、異常分析部９４は、第１変形例に記載したように、ＨＶ１４の異常に関する異常情報と統計情報に基づいて異常スコアを増加させるとともに、実施例に記載したように、ゲストＯＳ２０の異常に関する異常情報と統計情報に基づいて異常スコアを増加させてもよい。異常対応部９６は、異常スコアが高くなるほど、ＥＣＵ１２の安全性をより高めるよう異常対応処理を実行してもよい。
【0071】
第２変形例のＥＣＵ１２によると、実施例のＥＣＵ１２が奏する効果と、第１変形例のＥＣＵ１２が奏する効果の両方を奏する。また、第２変形例によると、ＶＭ１６のゲストＯＳ２０に対する攻撃（ゲストＯＳ２０の異常）と、ＨＶ１４に対する攻撃（ＨＶ１４の異常）の両方に対処可能なＥＣＵ１２を実現できる。
【0072】
第３変形例を説明する。
上記実施例では、ＶＭ１６の異常通知部３２は、異常情報の記憶位置を示す通知情報をＶＭ１８へ送信し、ＶＭ１８の異常分析部５４は、通知情報が示す記憶位置に基づいて、ＶＭ１６から異常情報を読み出した。変形例として、ＶＭ１６の異常通知部３２は、通知情報に代えて異常情報そのものをＶＭ１８へ送信してもよい。なお、第１変形例と組み合わせる場合、ＨＶ１４の異常通知部７８は、通知情報に代えて異常情報そのものをセキュアＯＳ７２へ送信してもよい。
上記実施例では、ＶＭ１６の異常通知部３２は、異常情報の記憶位置を示す通知情報をＶＭ１８へ送信し、ＶＭ１８の異常分析部５４は、通知情報が示す記憶位置に基づいて、ＶＭ１６から異常情報を読み出した。変形例として、ＶＭ１６の異常通知部３２は、通知情報に代えて異常情報そのものをＶＭ１８へ送信してもよい。なお、第１変形例と組み合わせる場合、ＨＶ１４の異常通知部７８は、通知情報に代えて異常情報そのものをセキュアＯＳ７２へ送信してもよい。
【0073】
第４変形例を説明する。
異常情報は、異常が検知されたゲストＯＳ２０のＯＳプログラムのデータ（例えば実行形式ファイル）を含んでもよい。また、ＶＭ１８（異常分析部５４）は、予め生成されたゲストＯＳ２０の正規のＯＳプログラムのハッシュ値を記憶してもよい。ＶＭ１８の異常分析部５４は、異常情報に含まれるＯＳプログラムのデータのハッシュ値を生成し、予め記憶された正規のＯＳプログラムのハッシュ値と照合してもよい。ＶＭ１８の異常対応部５６は、ハッシュ値の照合結果（一致または不一致を示すデータ）を含むセキュリティインシデントデータを外部装置へ送信してもよい。これにより、ゲストＯＳ２０のＯＳプログラムが攻撃により書き換えられた場合にそのことを検出でき、また、そのことを外部装置へ通知できる。なお、第１変形例と組み合わせる場合、セキュアＯＳ７２の異常分析部９４、異常対応部９６がこれらの処理を実行してもよい。
異常情報は、異常が検知されたゲストＯＳ２０のＯＳプログラムのデータ（例えば実行形式ファイル）を含んでもよい。また、ＶＭ１８（異常分析部５４）は、予め生成されたゲストＯＳ２０の正規のＯＳプログラムのハッシュ値を記憶してもよい。ＶＭ１８の異常分析部５４は、異常情報に含まれるＯＳプログラムのデータのハッシュ値を生成し、予め記憶された正規のＯＳプログラムのハッシュ値と照合してもよい。ＶＭ１８の異常対応部５６は、ハッシュ値の照合結果（一致または不一致を示すデータ）を含むセキュリティインシデントデータを外部装置へ送信してもよい。これにより、ゲストＯＳ２０のＯＳプログラムが攻撃により書き換えられた場合にそのことを検出でき、また、そのことを外部装置へ通知できる。なお、第１変形例と組み合わせる場合、セキュアＯＳ７２の異常分析部９４、異常対応部９６がこれらの処理を実行してもよい。
【0074】
第５変形例を説明する。
異常対応部５６は、外部装置へ送信するセキュリティインシデントデータに、Ａｐｐプロセス４６（対応部）に関連する秘密情報による電子署名を付加してもよい。これにより、第三者によるなりすましや、セキュリティインシデントデータの改ざんを防止することができる。Ａｐｐプロセス４６（対応部）に関連する秘密情報は、Ａｐｐプロセス４６、異常分析部５４、または異常対応部５６に予め割り当てられた秘密鍵であってもよい。
異常対応部５６は、外部装置へ送信するセキュリティインシデントデータに、Ａｐｐプロセス４６（対応部）に関連する秘密情報による電子署名を付加してもよい。これにより、第三者によるなりすましや、セキュリティインシデントデータの改ざんを防止することができる。Ａｐｐプロセス４６（対応部）に関連する秘密情報は、Ａｐｐプロセス４６、異常分析部５４、または異常対応部５６に予め割り当てられた秘密鍵であってもよい。
【0075】
第６変形例を説明する。
異常対応部５６は、ＶＭ１６のゲストＯＳ２０の異常への対応処理として、ＨＶ１４と連携してＶＭ１６を停止させてもよく、すなわち、Ａｐｐプロセス２２、Ａｐｐプロセス２４、およびゲストＯＳ２０を停止させてもよい。異常対応部５６は、異常スコアが高い場合、すなわち、深刻な異常である場合、ＶＭ１６を停止させてもよい。例えば、異常スコアが第１閾値未満の場合、Ａｐｐプロセス２２を再起動＋通知なし、異常スコアが第１閾値以上かつ第２閾値未満の場合、Ａｐｐプロセス２２を停止＋通知有り、異常スコアが第２閾値以上の場合、ＶＭ１６を停止＋通知有り、であってもよい。また、異常対応部５６は、第４変形例に記載したように、ハッシュ値の不一致によりゲストＯＳ２０のＯＳプログラムが書き換えられたことが検出された場合、深刻な異常として、異常スコアにかかわらず、ＶＭ１６を停止させてもよい。
異常対応部５６は、ＶＭ１６のゲストＯＳ２０の異常への対応処理として、ＨＶ１４と連携してＶＭ１６を停止させてもよく、すなわち、Ａｐｐプロセス２２、Ａｐｐプロセス２４、およびゲストＯＳ２０を停止させてもよい。異常対応部５６は、異常スコアが高い場合、すなわち、深刻な異常である場合、ＶＭ１６を停止させてもよい。例えば、異常スコアが第１閾値未満の場合、Ａｐｐプロセス２２を再起動＋通知なし、異常スコアが第１閾値以上かつ第２閾値未満の場合、Ａｐｐプロセス２２を停止＋通知有り、異常スコアが第２閾値以上の場合、ＶＭ１６を停止＋通知有り、であってもよい。また、異常対応部５６は、第４変形例に記載したように、ハッシュ値の不一致によりゲストＯＳ２０のＯＳプログラムが書き換えられたことが検出された場合、深刻な異常として、異常スコアにかかわらず、ＶＭ１６を停止させてもよい。
【0076】
なお、第１変形例との組み合わせる場合、異常対応部９６は、ＨＶ１４の異常への対応処理として、ＨＶ１４を停止させてもよい。例えば、異常対応部９６は、異常スコアが低い場合にＡｐｐプロセス２２の再起動させ、異常スコアが中程度の場合にＡｐｐプロセス２２を停止させ、異常スコアが高い場合にＶＭ１６を停止させ、異常スコアが極めて高い場合にＨＶ１４を停止させてもよい。
【0077】
上述した実施例および変形例の任意の組み合わせもまた本開示の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施例および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施例および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。
【0078】
実施例および変形例に記載の技術は、以下の項目によって特定されてもよい。
［項目１］
ＨＶ（HyperVisor)上で第１のＶＭ（Virtual Machine）と第２のＶＭとが動作する情報処理装置であって、
前記第１のＶＭは、
前記第１のＶＭにおける処理の異常を検知する検知部と、
前記検知部により異常が検知された場合、その異常に関する情報を、前記ＨＶを介して前記第２のＶＭへ通知する通知部と、を備え、
前記第２のＶＭは、
前記第１のＶＭから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する対応部を備える、
情報処理装置。
この情報処理装置によると、異常を検知するＶＭと、その異常への対応処理を実行するＶＭとを分離することにより、異常への対応処理を実行する機能が攻撃対象となることを回避し、異常への対応処理を安定して実行することができる。
［項目２］
前記検知部と前記通知部は、前記第１のＶＭで動作するＯＳ（Operating System）に設けられ、
前記検知部は、前記ＯＳの処理の異常を検知し、
前記対応部は、前記第１のＶＭから取得した、前記ＯＳの処理の異常に関する情報をもとに、その異常に応じた対応処理を実行する、
項目１に記載の情報処理装置。
この情報処理装置によると、第１のＶＭ上のＯＳが攻撃された場合に、そのＯＳの処理の異常への対応処理を安定して実行することができる。
［項目３］
前記対応部は、前記ＯＳの処理の異常に関する情報をもとに異常の度合を導出し、前記異常の度合が所定の閾値未満であれば、前記ＯＳの処理を要求したアプリケーションのプロセスを再起動させ、前記異常の度合が所定の閾値以上であれば、アプリケーションのプロセスを停止させる、
項目２に記載の情報処理装置。
この情報処理装置によると、異常の度合いに応じて、自装置の安全性を確保することができる。
［項目４］
前記対応部は、前記第１のＶＭから通知された異常に関する情報をもとに異常の度合を導出し、前記異常の度合が所定の閾値以上であれば、前記異常に関するデータを外部装置へ送信し、前記異常の度合が前記閾値未満であれば、前記異常に関するデータを外部装置へ送信しない、
項目１から３のいずれかに記載の情報処理装置。
この情報処理装置によると、外部装置へ送信するデータ量を削減し、言い換えれば、外部装置への過度なデータ送信を抑制することができる。
［項目５］
前記検知部は、異常検知の方法が互いに異なる第１検知部と第２検知部とを含み、
前記第２検知部は、前記第１検知部による異常検知処理の後に異常検知処理を実行し、
前記対応部は、前記第２検知部により異常が検知されたが、前記第１検知部により異常が未検知の場合、異常の度合を大きくする、
項目３または４に記載の情報処理装置。
この情報処理装置によると、第１検知部による異常検知を回避する攻撃を受けた場合に異常の度合を大きくすることで、攻撃の種類に応じた適切な対応処理を実行することができる。
［項目６］
セキュアモニタ上でＨＶとセキュアＯＳとが動作し、前記ＨＶ上で１つ以上のＶＭが動作する情報処理装置であって、
前記ＨＶは、
前記ＨＶにおける処理の異常を検知する検知部と、
前記検知部により異常が検知された場合、その異常に関する情報を、前記セキュアモニタを介して前記セキュアＯＳへ通知する通知部と、を備え、
前記セキュアＯＳは、
前記ＨＶから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する対応部を備える、
情報処理装置。
この情報処理装置によると、異常を検知する主体と、その異常への対応処理を実行する主体とを分離する（前者はＨＶ、後者はセキュアＯＳ）ことにより、異常への対応処理を実行する機能が攻撃対象となることを回避し、異常への対応処理を安定して実行することができる。
［項目７］
ＨＶ上で第１のＶＭと第２のＶＭとが動作するコンピュータが実行する情報処理方法であって、
前記第１のＶＭが、前記第１のＶＭにおける処理の異常を検知し、異常を検知した場合、その異常に関する情報を、前記ＨＶを介して前記第２のＶＭへ通知し、
前記第２のＶＭが、前記第１のＶＭから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する、
情報処理方法。
この情報処理方法によると、異常を検知するＶＭと、その異常への対応処理を実行するＶＭとを分離することにより、異常への対応処理を実行する機能が攻撃対象となることを回避し、異常への対応処理を安定して実行することができる。
［項目８］
セキュアモニタ上でＨＶとセキュアＯＳとが動作し、前記ＨＶ上で１つ以上のＶＭが動作するコンピュータが実行する情報処理方法であって、
前記ＨＶが、前記ＨＶにおける処理の異常を検知し、異常を検知した場合、その異常に関する情報を、前記セキュアモニタを介して前記セキュアＯＳへ通知し、
前記セキュアＯＳが、前記ＨＶから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する、
情報処理方法。
この情報処理方法によると、異常を検知する主体と、その異常への対応処理を実行する主体とを分離する（前者はＨＶ、後者はセキュアＯＳ）ことにより、異常への対応処理を実行する機能が攻撃対象となることを回避し、異常への対応処理を安定して実行することができる。
［項目１］
ＨＶ（HyperVisor)上で第１のＶＭ（Virtual Machine）と第２のＶＭとが動作する情報処理装置であって、
前記第１のＶＭは、
前記第１のＶＭにおける処理の異常を検知する検知部と、
前記検知部により異常が検知された場合、その異常に関する情報を、前記ＨＶを介して前記第２のＶＭへ通知する通知部と、を備え、
前記第２のＶＭは、
前記第１のＶＭから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する対応部を備える、
情報処理装置。
この情報処理装置によると、異常を検知するＶＭと、その異常への対応処理を実行するＶＭとを分離することにより、異常への対応処理を実行する機能が攻撃対象となることを回避し、異常への対応処理を安定して実行することができる。
［項目２］
前記検知部と前記通知部は、前記第１のＶＭで動作するＯＳ（Operating System）に設けられ、
前記検知部は、前記ＯＳの処理の異常を検知し、
前記対応部は、前記第１のＶＭから取得した、前記ＯＳの処理の異常に関する情報をもとに、その異常に応じた対応処理を実行する、
項目１に記載の情報処理装置。
この情報処理装置によると、第１のＶＭ上のＯＳが攻撃された場合に、そのＯＳの処理の異常への対応処理を安定して実行することができる。
［項目３］
前記対応部は、前記ＯＳの処理の異常に関する情報をもとに異常の度合を導出し、前記異常の度合が所定の閾値未満であれば、前記ＯＳの処理を要求したアプリケーションのプロセスを再起動させ、前記異常の度合が所定の閾値以上であれば、アプリケーションのプロセスを停止させる、
項目２に記載の情報処理装置。
この情報処理装置によると、異常の度合いに応じて、自装置の安全性を確保することができる。
［項目４］
前記対応部は、前記第１のＶＭから通知された異常に関する情報をもとに異常の度合を導出し、前記異常の度合が所定の閾値以上であれば、前記異常に関するデータを外部装置へ送信し、前記異常の度合が前記閾値未満であれば、前記異常に関するデータを外部装置へ送信しない、
項目１から３のいずれかに記載の情報処理装置。
この情報処理装置によると、外部装置へ送信するデータ量を削減し、言い換えれば、外部装置への過度なデータ送信を抑制することができる。
［項目５］
前記検知部は、異常検知の方法が互いに異なる第１検知部と第２検知部とを含み、
前記第２検知部は、前記第１検知部による異常検知処理の後に異常検知処理を実行し、
前記対応部は、前記第２検知部により異常が検知されたが、前記第１検知部により異常が未検知の場合、異常の度合を大きくする、
項目３または４に記載の情報処理装置。
この情報処理装置によると、第１検知部による異常検知を回避する攻撃を受けた場合に異常の度合を大きくすることで、攻撃の種類に応じた適切な対応処理を実行することができる。
［項目６］
セキュアモニタ上でＨＶとセキュアＯＳとが動作し、前記ＨＶ上で１つ以上のＶＭが動作する情報処理装置であって、
前記ＨＶは、
前記ＨＶにおける処理の異常を検知する検知部と、
前記検知部により異常が検知された場合、その異常に関する情報を、前記セキュアモニタを介して前記セキュアＯＳへ通知する通知部と、を備え、
前記セキュアＯＳは、
前記ＨＶから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する対応部を備える、
情報処理装置。
この情報処理装置によると、異常を検知する主体と、その異常への対応処理を実行する主体とを分離する（前者はＨＶ、後者はセキュアＯＳ）ことにより、異常への対応処理を実行する機能が攻撃対象となることを回避し、異常への対応処理を安定して実行することができる。
［項目７］
ＨＶ上で第１のＶＭと第２のＶＭとが動作するコンピュータが実行する情報処理方法であって、
前記第１のＶＭが、前記第１のＶＭにおける処理の異常を検知し、異常を検知した場合、その異常に関する情報を、前記ＨＶを介して前記第２のＶＭへ通知し、
前記第２のＶＭが、前記第１のＶＭから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する、
情報処理方法。
この情報処理方法によると、異常を検知するＶＭと、その異常への対応処理を実行するＶＭとを分離することにより、異常への対応処理を実行する機能が攻撃対象となることを回避し、異常への対応処理を安定して実行することができる。
［項目８］
セキュアモニタ上でＨＶとセキュアＯＳとが動作し、前記ＨＶ上で１つ以上のＶＭが動作するコンピュータが実行する情報処理方法であって、
前記ＨＶが、前記ＨＶにおける処理の異常を検知し、異常を検知した場合、その異常に関する情報を、前記セキュアモニタを介して前記セキュアＯＳへ通知し、
前記セキュアＯＳが、前記ＨＶから通知された異常に関する情報をもとに、その異常に応じた対応処理を実行する、
情報処理方法。
この情報処理方法によると、異常を検知する主体と、その異常への対応処理を実行する主体とを分離する（前者はＨＶ、後者はセキュアＯＳ）ことにより、異常への対応処理を実行する機能が攻撃対象となることを回避し、異常への対応処理を安定して実行することができる。
【産業上の利用可能性】
【0079】
本開示の技術は、情報処理装置に適用することができる。
【符号の説明】
【0080】
１０ 車両、 １２ ＥＣＵ、 １４ ＨＶ、 １６ ＶＭ、 １８ ＶＭ、 ３２ 異常通知部、 ３６ 第１検知部、 ３８ 第２検知部、 ５４ 異常分析部、 ５６ 異常対応部、 ７０ セキュアモニタ、 ７２ セキュアＯＳ、 ８２ 第１検知部、 ８４ 第２検知部、 ９４ 異常分析部、 ９６ 異常対応部。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】