JP7278478B2 - 情報処理装置及び情報処理方法 - Google Patents

Description

本開示は、情報処理装置及び情報処理方法に関する。

一般的な自動制御システムでは、複数の機能が協調及び統合して認知、判断及び制御を行う。このような自動制御システムである自動運転システムは、例えば、車両周辺状況から最適な制御パラメータを生成する自動運転制御部と、車両のエンジン制御、ブレーキ制御及びステアリング制御をそれぞれ実現するエンジン制御部、ブレーキ制御部及びステアリング制御部とで構成される。この自動運転システムのどこかに異常が発生した場合には、自動運転が継続できなくなる。このため、そのような場合でも継続できるようにするために、安全を確保できる状態に移行するまでの維持動作（フェールオペレーション動作）及び安全な状態への移行（フェールセーフ動作）が、自動制御システムに求められている。

また、自動制御システムでは、例えば自動運転レベルなどの自律レベルが上がるにつれて、システムが負うべき責任範囲も増大する。例えば、自動運転にはＳＡＥ（Society of Automotive Engineers） Ｉｎｔｅｒｎａｔｉｏｎａｌが定義する自動運転のレベルがあり、レベルの上昇に伴ってシステムが負うべき責任範囲が増加する。

これに対して、例えば、（１）監視機構、（２）エラー検出／訂正機能、（３）多数決機構、（４）多重冗長系などの高信頼化機能部（高信頼化機能）を用いたシステム構成によって、故障発生時の安全担保を行うことが提案されている。しかしながら、それら高信頼化機能部（高信頼化機能）は、（４）の機能のように、製品出荷後の稼働中も、故障発生するまで長期間動作しない機能もあれば、（１）～（３）の機能のように、正常なデータ範囲を外れるデータが入力されない機能もある。このため、故障発生するまで、システム全体が正常に機能することを適切に保証できないという課題があった。

このような課題に対し、特許文献１では、電子機器からの障害を検出する障害検出システム自体に対するチェックを随時可能とするシステムが提案されている。また、特許文献２では、電子装置のインテグリティを検証するシステム及び方法が提案されている。

特開平７－２６４２６６号公報 特表２０１８－５１９７０５号公報

特許文献１では、障害時に情報を表示する障害モニタの信号受信回路及び電子機器からの障害信号伝送路が正常か否かを確認するが、システム上で稼働中のプログラムと共に動作する高信頼化機能部を対象にした継続的な動作検証は考慮されていない。特許文献２では、セキュア実行環境を利用してシステムの改竄を検証するが、同様に高信頼化機能部の動作検証は考慮されていない。このため、検証データを稼働中のシステムに注入して検証する際に、稼働中のプログラム処理を阻害せずに、計画的かつ安全かつセキュアに実行することができないという問題があった。

そこで、本開示は、上記のような問題点を鑑みてなされたものであり、高信頼化機能部を継続して検証可能な技術を提供することを目的とする。

本開示に係る情報処理装置は、それぞれが入力部と出力部とを有する複数の高信頼化機能部と、システム実行環境下で処理を実行可能であり、前記処理を実行している間に、当該処理に応じた前記高信頼化機能部の呼び出しと、当該高信頼化機能部の実行に用いられるデータの前記入力部への注入とが可能な通常機能部と、前記高信頼化機能部の動作検証に用いられる注入検証データを保持する検証テーブルと、前記システム実行環境に対してセキュアな実行環境である検証実行環境下で、前記注入検証データを前記入力部に注入して前記高信頼化機能部を実行し、前記高信頼化機能部を実行した場合の前記出力部からの出力に基づいて、前記高信頼化機能部の前記動作検証を行う検証機能部と、前記動作検証が実行されるタイミング及び前記動作検証の実行最大時間を管理する時間管理機能部とを備える。前記検証テーブルは、前記動作検証を開始するタイミングを示す検証作動タイミングと、前記検証機能部が前記高信頼化機能部を実行した場合の、前記出力部からの期待される出力を示す期待出力データと、前記検証機能部が前記高信頼化機能部を実行した場合の、前記高信頼化機能部の期待される動作ログを示す期待動作ログと、前記検証機能部が前記高信頼化機能部を実行した後に、当該高信頼化機能部を前記通常機能部で実行するか否かを示す出力部制御フラグと、前記動作検証の最大の許容時間を示す検証最大時間とをさらに保持する。

本開示によれば、システム実行環境に対してセキュアな実行環境である検証実行環境下で高信頼化機能部の動作検証を行い、動作検証が実行されるタイミング及び動作検証の実行最大時間を管理する。このような構成によれば、高信頼化機能部を継続して検証することができる。

本開示の目的、特徴、局面及び利点は、以下の詳細な説明と添付図面とによって、より明白となる。

実施の形態１の情報処理装置の構成を示すブロック図である。 実施の形態１の高信頼化機能検証テーブルの内容例を示す図である。 実施の形態１の高信頼化機能状態テーブルの内容例を示す図である。 実施の形態１の検証計画部の動作を示すフローチャートである。 実施の形態１の検証実行部の動作を示すフローチャートである。 実施の形態１の検証データ注入部の動作を示すフローチャートである。 実施の形態１の出力管理部の動作を示すフローチャートである。 実施の形態１の動作ログ取得部の動作を示すフローチャートである。 実施の形態１の健全性判定部の動作を示すフローチャートである。 実施の形態１の時間管理機能部の解除動作を示すフローチャートである。 実施の形態２の情報処理装置の構成を示すブロック図である。 実施の形態３の情報処理装置の構成を示すブロック図である。 変形例の情報処理装置のハードウェア構成を示すブロック図である。 変形例の情報処理装置のハードウェア構成を示すブロック図である。

＜実施の形態１＞
図１は、本実施の形態１の情報処理装置１０００の構成を示すブロック図である。なお、情報処理装置１０００は、例えば、自動運転車の車両に搭載する自動運転システムなどの自動制御システム（図示せず）の情報処理装置であってもよい。

情報処理装置１０００には、システム実行環境１１００と、セキュア実行環境１２００とが規定されている。システム実行環境１１００は、システムの機能要件に該当する通常機能が実行される環境である。セキュア実行環境１２００は、システム実行環境１１００とは実質的に隔離され、システム実行環境１１００に対してセキュアな実行が保証された検証実行環境である。情報処理装置１０００は、システム実行環境１１００とセキュア実行環境１２００との間に設けられ、セキュアなデータ通信が保証されているセキュアデータ経路１３００を有する。

システム実行環境１１００には、動作モード管理機能部１１１０と、通常機能部１１２０と、複数の高信頼化機能部１１３０とが備えられている。なお、後述するが、動作モード管理機能部１１１０、通常機能部１１２０、及び、複数の高信頼化機能部１１３０のそれぞれは、専用のハードウェアであってもよいし、プログラムなどのソフトウェアによって実行される機能であってもよい。

動作モード管理機能部１１１０は、システムによって動作可能な複数の動作モードのうち、システム実行環境１１００下で、システムによって動作されている動作モードを管理する。例えば、自動運転システムの複数の動作モードには、一般道自動運転モード、高速道路自動運転モード、自動駐車モード、マニュアル運転モードなどが含まれる。

動作モード管理機能部１１１０は、故障時動作機能部１１１１を含み、故障時動作機能部１１１１は、システムの一部が故障した場合に、システムによって動作されている動作モードを切り替えるシステム動作機能を担う。故障時動作機能部１１１１によって切り替えられる動作モードには、例えば、マニュアル運転モードなどのマニュアルモードなどが含まれる。

通常機能部１１２０は、動作モード管理機能部１１１０で管理している動作モードの処理を実行するシステム動作機能を担う。なお、システム動作機能は、システム処理機能とも呼ばれる。

複数の高信頼化機能部１１３０（図１の高信頼化機能部１１３０－１～１１３０－ｎ１）は、通常機能部１１２０の処理機能を高信頼化する機能を有する。高信頼化する機能には、例えば、（１）監視機構、（２）エラー検出／訂正機能、（３）多数決機構、（４）多重冗長系、などが含まれる。複数の高信頼化機能部１１３０のそれぞれは、通常機能部１１２０との間のインターフェースとして、通常機能部１１２０からのデータ入力を受け付ける入力部１１３１と、通常機能部１１２０へのデータ出力を担う出力部１１３２とを有する。

通常機能部１１２０は、高信頼化機能呼出部１１２１を含み、高信頼化機能呼出部１１２１は高信頼化機能部１１３０を呼び出す。これにより、通常機能部１１２０は、自身が処理を実行している間に、当該処理に応じた高信頼化機能部１１３０の呼び出し（実行）と、当該高信頼化機能部１１３０の実行に用いられるデータの入力部１１３１への注入（入力）とが可能となっている。なお、図１では、１つの通常機能部１１２０が示されているが、通常機能部１１２０の個数はこれに限定されるものではなく、システム動作機能を担う複数の通常機能部１１２０が情報処理装置１０００に備えられてもよい。

セキュア実行環境１２００には、高信頼化機能検証機能部１２１０と、高信頼化機能検証テーブル１２２０と、時間管理機能部１２３０と、高信頼化機能状態テーブル１２４０とが備えられている。なお、後述するが、高信頼化機能検証機能部１２１０及び時間管理機能部１２３０のそれぞれは、専用のハードウェアであってもよいし、プログラムなどのソフトウェアによって実行される機能であってもよい。

検証テーブルである高信頼化機能検証テーブル１２２０は、高信頼化機能部１１３０の動作検証に用いられる注入検証データを保持する。

検証機能部である高信頼化機能検証機能部１２１０は、通常機能部１１２０の実行と並行して動作可能な高信頼化機能部１１３０が健全に動作し、システム全体が正常に機能するか否かを検証する。具体的には、高信頼化機能検証機能部１２１０は、セキュア実行環境１２００下で、上記注入検証データを入力部１１３１に注入（入力）して高信頼化機能部１１３０を実行する。そして、高信頼化機能検証機能部１２１０は、高信頼化機能部１１３０を実行した場合の出力部１１３２からの出力に基づいて、高信頼化機能部１１３０の動作検証を行う。

時間管理機能部１２３０は、動作検証が実行されるタイミング及び動作検証の実行最大時間を管理する。

状態テーブルである高信頼化機能状態テーブル１２４０は、高信頼化機能検証機能部１２１０による動作検証の結果として、高信頼化機能部１１３０が正常か否かを示す状態データを保持する。

以下、高信頼化機能検証機能部１２１０、高信頼化機能検証テーブル１２２０、時間管理機能部１２３０、及び、高信頼化機能状態テーブル１２４０について説明する。

図２は、本実施の形態１の高信頼化機能検証テーブル１２２０の内容例を示す図である。

高信頼化機能部１１３０は、高信頼化機能部１１３０に固有の検証データエントリ２０００（図２の例では検証データエントリ２０００－１～２０００－ｎ２）を有する。高信頼化機能検証テーブル１２２０では、検証データエントリ２０００ごとに、動作検証に必要なデータの内容が設定される。また、高信頼化機能検証テーブル１２２０では、動作モード管理機能部１１１０で管理可能な動作モード２３００（図２の例では動作モード２３００－１～２３００－ｎ３）ごとに、動作検証に必要なデータの内容が設定される。ただし、高信頼化機能部１１３０の検証データエントリ２０００及び動作モード２３００の組み合わせによっては、動作検証に必要なデータの内容ではなく、「検証対象外」が設定される。

図２の例の高信頼化機能検証テーブル１２２０の内容は、検証作動タイミングと、注入検証データと、期待出力データと、期待動作ログと、出力部制御フラグと、検証最大時間とを含む。

検証作動タイミングは、高信頼化機能検証機能部１２１０が高信頼化機能部１１３０の動作検証を開始するタイミング（時間）を示す。注入検証データは、上述したように、高信頼化機能部１１３０の入力部１１３１に注入（入力）されるデータである。期待出力データは、高信頼化機能検証機能部１２１０が高信頼化機能部１１３０を実行した場合の、出力部１１３２からの期待される出力、つまり期待値を示す。期待動作ログは、高信頼化機能検証機能部１２１０が高信頼化機能部１１３０を実行した場合の、高信頼化機能部１１３０の期待される動作ログを示す。

出力部制御フラグは、高信頼化機能検証機能部１２１０が高信頼化機能部１１３０を実行した後に、当該高信頼化機能部１１３０を通常機能部１１２０で呼び出して実行するか否かを示す。つまり、出力部制御フラグは、高信頼化機能検証機能部１２１０が高信頼化機能部１１３０を実行した後に、当該高信頼化機能部１１３０の制御を通常機能部１１２０に遷移する制御遷移を行うか否かを示す。例えば、検証作動タイミングが設定されている場合には、制御遷移を行わない出力部制御フラグが設定されてもよい。例えば、検証作動タイミングが設定されていない場合には、制御遷移を行う出力部制御フラグが設定されてもよい。

検証最大時間は、高信頼化機能部１１３０の動作検証の最大の許容時間を示す。

次に、図１の高信頼化機能検証機能部１２１０について詳細に説明する。高信頼化機能検証機能部１２１０は、検証計画部１２１１と、検証実行部１２１２と、検証データ注入部１２１３と、出力管理部１２１４と、動作ログ取得部１２１５と、健全性判定部１２１６と、表示部１２１７とを含む。

検証計画部１２１１は、高信頼化機能検証テーブル１２２０の検証作動タイミングに基づいて複数の高信頼化機能部１１３０から検証対象の高信頼化機能部１１３０を決定し、検証対象の高信頼化機能部１１３０の動作検証を実行するタイミングを計画する。

検証データ注入部１２１３は、検証対象の高信頼化機能部１１３０の入力部１１３１に、高信頼化機能検証テーブル１２２０の注入検証データを注入（入力）する。

検証実行部１２１２は、検証計画部１２１１で計画されたタイミングで、注入検証データが注入された検証対象の高信頼化機能部１１３０を実行する。

出力管理部１２１４は、検証実行部１２１２が検証対象の高信頼化機能部１１３０を実行した場合に、検証対象の高信頼化機能部１１３０の出力部１１３２の出力（出力値のデータ）を取得する。また、出力管理部１２１４は、高信頼化機能検証テーブル１２２０の出力部制御フラグに基づいて、検証対象の高信頼化機能部１１３０を通常機能部１１２０で実行するように検証対象の高信頼化機能部１１３０の出力部１１３２の動作を制御する。

動作ログ取得部１２１５は、検証実行部１２１２が検証対象の高信頼化機能部１１３０を実行した場合に、検証対象の高信頼化機能部１１３０の動作ログを取得する。

健全性判定部１２１６は、出力管理部１２１４で取得された出力と高信頼化機能検証テーブル１２２０の期待出力データとの比較と、動作ログ取得部１２１５で取得された動作ログと高信頼化機能検証テーブル１２２０の期待動作ログとの比較とを行う。そして、健全性判定部１２１６は、これら比較の結果に基づいて、検証対象の高信頼化機能部１１３０の健全性を判定することによって、高信頼化機能部１１３０の動作検証を行う。高信頼化機能検証機能部１２１０の健全性判定部１２１６は、動作検証を行うごとに、高信頼化機能状態テーブル１２４０に保持された上記状態データを更新する。

表示部１２１７は、ユーザなどに情報を表示する。なお、本実施の形態１では、表示部１２１７は、高信頼化機能検証機能部１２１０に含められているが、高信頼化機能検証機能部１２１０に含められなくてもよい。

検証計画部１２１１が時間管理機能部１２３０に検証作動タイミングを設定し、検証実行部１２１２が時間管理機能部１２３０に検証最大時間を設定する。これにより、時間管理機能部１２３０は、動作検証が実行されるタイミング及び動作検証の実行最大時間を管理する。時間管理機能部１２３０による当該管理により、通常機能部１１２０の処理を阻害しないように通常機能部１１２０の処理の実行と並行して、高信頼化機能検証機能部１２１０は高信頼化機能部１１３０の動作検証を行う。

図３は、本実施の形態１の高信頼化機能状態テーブル１２４０の内容例を示す図である。

高信頼化機能部１１３０は、高信頼化機能部１１３０に固有の状態データエントリ３０００（図３の例では状態データエントリ３０００－１～３０００－ｎ２）を有する。高信頼化機能状態テーブル１２４０では、状態データエントリ３０００ごとに、高信頼化機能検証機能部１２１０の状態が保持される。また、高信頼化機能状態テーブル１２４０では、動作モード管理機能部１１１０で管理可能な動作モード３３００（図３の例では動作モード３３００－１～３３００－ｎ３）ごとに、高信頼化機能検証機能部１２１０の状態及び動作モード可否状態エントリ３１００が保持される。

動作モード３３００ごとに保持される状態は、使用可否データ、正常状態データ、異常状態データ、及び、動作モード可否データの少なくともいずれか１つを含む。使用可否データは、動作モード３３００において高信頼化機能部１１３０が使用対象か否かを示す。図３で「使用」と示される使用可否データは、通常機能部１１２０などが動作モード３３００において高信頼化機能部１１３０を使用することを示す。図３で「使用しない」と示される使用可否データは、通常機能部１１２０などが動作モード３３００において高信頼化機能部１１３０を使用しないことを示す。正常状態データは、使用対象である高信頼化機能部１１３０が正常であることを示す。異常状態データは、使用対象である高信頼化機能部１１３０が異常であることを示す。

動作モード可否データは、動作モード３３００に用いられる高信頼化機能部１１３０の動作が可能状態であるか否かを示す。動作モード３３００に用いられる高信頼化機能部１１３０のいずれかに異常状態データが存在すれば、動作モード可否状態エントリ３１００には、上記動作が可能状態でないことを示す「否」が保持される。一方、動作モード３３００に用いられる高信頼化機能部１１３０のいずれにも異常状態データが存在しなければ、動作モード可否状態エントリ３１００には、上記動作が可能状態であることを示す「可」が保持される。

ここで、動作モード管理機能部１１１０が管理している動作モードに用いられる高信頼化機能部１１３０について、異常状態データが高信頼化機能状態テーブル１２４０に含まれる場合を想定する。この場合、故障時動作機能部１１１１は、システムによって動作されている動作モードを切り替え、表示部１２１７は、異常を表示する。

＜動作＞
＜検証計画部の動作＞
図４は、本実施の形態１の検証計画部１２１１の動作を示すフローチャートである。検証計画部１２１１は、動作モード管理機能部１１１０が管理している動作モードの開始時及び変更時のそれぞれにおいて、セキュア実行環境１２００下で動作を開始する。

ステップＳ１にて、検証計画部１２１１は、システム実行環境１１００下の動作モード管理機能部１１１０で管理している現在の動作モードを取得する。

ステップＳ２にて、検証計画部１２１１は、ステップＳ１で取得した動作モードについて、高信頼化機能検証テーブル１２２０から検証対象外ではない高信頼化機能部１１３０を検証対象の高信頼化機能部１１３０として決定する。

ステップＳ３にて、検証計画部１２１１は、ステップＳ１で取得した動作モードについて、高信頼化機能検証テーブル１２２０から検証作動タイミングを確認し、検証作動タイミングが設定されているか否かを確認する。検証作動タイミングが設定されていると判定された場合には処理がステップＳ４に進み、検証作動タイミングが設定されていないと判定された場合には処理がステップＳ５に進む。

ステップＳ４にて、検証計画部１２１１は、検証作動タイミングを検証実行部１２１２の起動時間として時間管理機能部１２３０に設定する。これにより、通常機能部１１２０の動作とは非同期で動作検証が行われる。その後、処理がステップＳ６に進む。

ステップＳ５にて、検証計画部１２１１は、通常機能部１１２０が高信頼化機能部１１３０を呼び出す際に検証を実行するように、通常機能部１１２０の高信頼化機能呼出部１１２１に検証実行部１２１２の実行を登録する。この場合、通常機能部１１２０の動作時に検証実行部１２１２が実行される。ステップＳ５の後、処理がステップＳ６に進む。

ステップＳ６にて、検証計画部１２１１は、検証対象の高信頼化機能部１１３０が複数である場合に、全ての検証対象の高信頼化機能部１１３０についてステップＳ４またはステップＳ５が行われたか否かを判定する。全ての検証対象の高信頼化機能部１１３０についてステップＳ４またはステップＳ５が行われたと判定された場合には図４の動作が終了し、そうでない場合には処理がステップＳ２に戻る。

全ての検証対象の高信頼化機能部１１３０についてステップＳ４またはステップＳ５が行われることにより、全ての検証対象の高信頼化機能部１１３０の動作検証を実行するタイミングが計画される。なお、動作検証が実行されていない検証対象の高信頼化機能部１１３０が優先的に実行されるように、上記タイミングが計画されてもよい。

＜検証実行部の動作＞
図５は、本実施の形態１の検証実行部１２１２の動作を示すフローチャートである。なお、図５では、時間管理機能部１２３０の動作も示されている。図４の動作が行われた後、検証実行部１２１２は、検証計画部１２１１で計画されたタイミングにしたがって、セキュア実行環境１２００下で動作を開始する。

ステップＳ１１にて、検証実行部１２１２は、現在の動作モードと検証対象の高信頼化機能部１１３０の検証データエントリ２０００との組み合わせについて、高信頼化機能検証テーブル１２２０から検証最大時間を取得する。そして、検証実行部１２１２は、取得した検証最大時間を、動作検証の実行最大時間として時間管理機能部１２３０のタイマに設定し、時間管理機能部１２３０はタイマを起動する。この検証最大時間の設定、タイマの設定、及び、タイマの起動は、検証計画部１２１１でタイミングが設定された検証対象の高信頼化機能部１１３０に対して行われる。検証実行部１２１２は、検証最大時間の設定、タイマの設定、及び、タイマの起動が行われた検証対象の高信頼化機能部１１３０に対して、図５のステップＳ１２以降の処理を行う。

ステップＳ１２にて、検証実行部１２１２は検証データ注入部１２１３を実行させる。

ステップＳ１３にて、検証実行部１２１２は、注入検証データが注入された検証対象の高信頼化機能部１１３０を作動させて実行する。

ステップＳ１４にて、検証実行部１２１２は出力管理部１２１４を実行させ、出力管理部１２１４は、ステップＳ１３の間に動作する高信頼化機能部１１３０の出力を取得する。

ステップＳ１５にて、検証実行部１２１２は動作ログ取得部１２１５を実行させ、動作ログ取得部１２１５は、ステップＳ１２～ステップＳ１４の間に動作する高信頼化機能部１１３０、通常機能部１１２０及びシステムの動作ログを取得する。

ステップＳ１６にて、検証実行部１２１２は健全性判定部１２１６を実行させ、ステップＳ１６の後、図５の動作が終了する。

＜検証データ注入部の動作＞
図６は、本実施の形態１の検証データ注入部１２１３の動作を示すフローチャートである。検証データ注入部１２１３は、検証実行部１２１２のステップＳ１２（図５）で呼び出されると、セキュア実行環境１２００下で動作を開始する。

ステップＳ２１にて、検証データ注入部１２１３は、現在の動作モードと検証対象の高信頼化機能部１１３０の検証データエントリ２０００との組み合わせについて、高信頼化機能検証テーブル１２２０から注入検証データを取得する。

ステップＳ２２にて、検証データ注入部１２１３は、検証対象の高信頼化機能部１１３０の入力部１１３１に、ステップＳ１１で取得した注入検証データを注入する。その後、図６の動作が終了する。

＜出力管理部の動作＞
図７は、本実施の形態１の出力管理部１２１４の動作を示すフローチャートである。出力管理部１２１４は、検証実行部１２１２のステップＳ１４（図５）で呼び出されると、セキュア実行環境１２００下で動作を開始する。

ステップＳ３１にて、出力管理部１２１４は、検証対象の高信頼化機能部１１３０の出力部１１３２から出力（出力値のデータ）を取得する。

ステップＳ３２にて、出力管理部１２１４は、現在の動作モードと検証対象の高信頼化機能部１１３０の検証データエントリ２０００との組み合わせについて、高信頼化機能検証テーブル１２２０から、出力部制御フラグを取得する。

ステップＳ３３にて、出力管理部１２１４は、取得した出力部制御フラグが制御遷移を行うこと（通常フローを行うこと）を示しているか否かを判定する。出力部制御フラグが制御遷移を行うことを示していないと判定された場合には、処理がステップＳ３４に進み、出力部制御フラグが制御遷移を行うことを示していると判定された場合には、処理がステップＳ３５に進む。

ステップＳ３４にて、出力管理部１２１４は、ステップＳ３１で取得された出力を破棄し、制御遷移を行わない。つまり、出力管理部１２１４は、高信頼化機能部１１３０の制御を、呼び出し元の通常機能部１１２０に渡さない。例えば、ステップＳ５の処理（通常機能部１１２０の高信頼化機能呼出部１１２１に検証実行部１２１２の実行を登録する処理）ではなく、ステップＳ４の処理（検証作動タイミングを設定する処理）が行われる場合には、通常機能部１１２０の動作とは非同期で動作検証が行われる。このため、このような場合には、ステップＳ３４が実行されるように出力部制御フラグが設定されてもよい。ステップＳ３４の後、図７の動作が終了する。

ステップＳ３５にて、出力管理部１２１４は、ステップＳ３１で取得された出力を破棄せずに、検証実行部１２１２による高信頼化機能部１１３０の実行後に、制御遷移を行う。つまり、出力管理部１２１４は、当該高信頼化機能部１１３０の制御を、呼び出し元の通常機能部１１２０に渡す。例えば、ステップＳ５の処理（通常機能部１１２０の高信頼化機能呼出部１１２１に検証実行部１２１２の実行を登録する処理）の場合、通常機能部１１２０の動作時に検証実行部１２１２が実行される。このため、このような場合には、ステップＳ３５が実行されるように出力部制御フラグが設定されてもよい。ステップＳ３５の後、図７の動作が終了する。

＜動作ログ取得部の動作＞
図８は、本実施の形態１の動作ログ取得部１２１５の動作を示すフローチャートである。動作ログ取得部１２１５は、検証実行部１２１２のステップＳ１５（図５）で呼び出されると、セキュア実行環境１２００下で動作を開始する。

ステップＳ４１にて、動作ログ取得部１２１５は、ステップＳ１２～ステップＳ１４の間に動作する高信頼化機能部１１３０、通常機能部１１２０及びシステムの動作ログを取得する。その後、図８の動作が終了する。

＜健全性判定部の動作＞
図９は、本実施の形態１の健全性判定部１２１６の動作を示すフローチャートである。健全性判定部１２１６は、検証実行部１２１２のステップＳ１６（図５）で呼び出されると、セキュア実行環境１２００下で動作を開始する。

ステップＳ５１にて、健全性判定部１２１６は、現在の動作モードと検証対象の高信頼化機能部１１３０の検証データエントリ２０００との組み合わせについて、高信頼化機能検証テーブル１２２０から期待出力データを取得する。

ステップＳ５２にて、健全性判定部１２１６は、ステップＳ５１で取得した期待出力データと、出力管理部１２１４のステップＳ３１で取得した高信頼化機能部１１３０の出力とを比較して、両者が等価であるか否かを判定する。等価であると判定された場合には処理がステップＳ５３に進み、等価でないと判定された場合には処理がステップＳ５６に進む。

ステップＳ５３にて、健全性判定部１２１６は、現在の動作モードと検証対象の高信頼化機能部１１３０の検証データエントリ２０００との組み合わせについて、高信頼化機能検証テーブル１２２０から期待動作ログを取得する。

ステップＳ５４にて、健全性判定部１２１６は、ステップＳ５３で取得した期待動作ログと、動作ログ取得部１２１５のステップＳ４１で取得した動作ログとを比較して、両者が等価であるか否かを判定する。等価であると判定された場合には処理がステップＳ５５に進み、等価でないと判定された場合には処理がステップＳ５６に進む。

ステップＳ５５にて、健全性判定部１２１６は、現在の動作モードと検証対象の高信頼化機能部１１３０の状態データエントリ３０００との組み合わせについて、高信頼化機能状態テーブル１２４０に「使用しない」が保持されているかを確認する。そして、健全性判定部１２１６が、「使用しない」が保持されていることを確認した場合を除いて、上記組み合わせの高信頼化機能状態テーブル１２４０の内容を「使用：正常」と更新する。これにより、正常状態データが高信頼化機能状態テーブル１２４０に保持される。その後、図９の動作が終了する。

ステップＳ５６にて、健全性判定部１２１６は、現在の動作モードと検証対象の高信頼化機能部１１３０の状態データエントリ３０００との組み合わせについて、高信頼化機能状態テーブル１２４０に「使用しない」が保持されているかを確認する。そして、健全性判定部１２１６が、「使用しない」が保持されていることを確認した場合を除いて、上記組み合わせの高信頼化機能状態テーブル１２４０の内容を「使用：異常」と更新する。これにより、異常状態データが高信頼化機能状態テーブル１２４０に保持される。

ステップＳ５７にて、健全性判定部１２１６は表示部１２１７を実行させ、表示部１２１７は、現在の動作モードに用いられる高信頼化機能部１１３０の動作が可能状態でないこと、つまり異常を示すアラートを表示する。

ステップＳ５８にて、健全性判定部１２１６は動作モード管理機能部１１１０の故障時動作機能部１１１１に実行制御を委ね、故障時動作機能部１１１１は、動作モードを切り替える。その後、図９の動作が終了する。

＜タイマによる計時が検証最大時間を超えた場合の時間管理機能部の動作＞
図１０は、タイマによる計時が、検証実行部１２１２のステップＳ１１で時間管理機能部１２３０に設定した検証最大時間を超過した場合に、イベント発火して本実施の形態１の時間管理機能部１２３０で実行されるイベント処理を示すフローチャートである。この図１０の動作は、セキュア実行環境１２００下で行われる。

ステップＳ６１にて、時間管理機能部１２３０は、ステップＳ４（図４）で設定された検証実行部１２１２の起動設定の全てを時間管理機能１２３０から解除する。

ステップＳ６２にて、時間管理機能部１２３０は、ステップＳ５（図４）で登録された検証実行部１２１２の実行設定の全てを高信頼化機能呼出部１１２１から解除する。その後、図１０の動作が終了する。

なお、時間管理機能部１２３０は、図１０の動作を行う場合に、表示部１２１７にアラートを表示させてもよい。

＜実施の形態１のまとめ＞
以上のような本実施の形態１に係る情報処理装置１０００によれば、セキュア実行環境１２００下で、タイミング及び動作検証の実行最大時間が管理された状態で、高信頼化機能部１１３０の動作検証を行う。このような構成によれば、システム上で通常機能部１１２０の処理実行中に実行可能な高信頼化機能部１１３０の動作検証を、実行中の通常機能部１１２０の処理を阻害せずに、計画的、安全かつセキュアに行うことができる。このため、システムにおける耐障害性及び可用性の、検証、証明及び保証を継続的に行うことができる。

また、システム上で通常機能部１１２０の処理実行中に実行可能な高信頼化機能部１１３０ごとに検証実施タイミングを設定することができるので、高信頼化機能部１１３０の動作検証を適切なタイミングで行うことができる。

さらに、システムの動作モードごとに検証内容を設定することができるので、動作モードについて適切な検証を行うことができる。

＜実施の形態２＞
図１１は、本実施の形態２の情報処理装置１０００の構成を示すブロック図である。以下、本実施の形態２に係る構成要素のうち、上述の構成要素と同じまたは類似する構成要素については同じまたは類似する参照符号を付し、異なる構成要素について主に説明する。

本実施の形態２では、実施の形態１のシステム実行環境１１００、セキュア実行環境１２００、及び、セキュアデータ経路１３００が、ＶＭシステム実行環境１１００ａ、ＶＭ検証実行環境１２００ａ、及び、ＶＭ間データ通信経路１３００ａにそれぞれ変更されている。ＶＭは（仮想マシン機能：Virtual Machine）の略記である。本実施の形態２では、ＶＭシステム実行環境１１００ａに対して実質的に隔離されたセキュアな検証実行環境であるＶＭ検証実行環境１２００ａが、仮想マシン機能によって実現されている。

このような本実施の形態２に係る情報処理装置１０００であっても、実施の形態１と同様に高信頼化機能部１１３０を継続して検証することができる。なお、ひとつのＯＳ（Operating System）上で実質的な隔離されたアプリケーション実行環境を構築することができるＯＳコンテナ機能により、システム実行環境と検証実行環境とを実質的に分離してもよい。

＜実施の形態３＞
図１２は、本実施の形態３の情報処理装置１０００の構成を示すブロック図である。以下、本実施の形態３に係る構成要素のうち、上述の構成要素と同じまたは類似する構成要素については同じまたは類似する参照符号を付し、異なる構成要素について主に説明する。

本実施の形態３では、実施の形態１のシステム実行環境１１００、セキュア実行環境１２００、及び、セキュアデータ経路１３００が、ＣＰＵシステム実行環境１１００ｂ、ＣＰＵ検証実行環境１２００ｂ、及び、ＣＰＵ間データ通信経路１３００ｂにそれぞれ変更されている。ＣＰＵは中央処理装置（Central Processing Unit）の略記である。本実施の形態３では、ＣＰＵシステム実行環境１１００ｂが一つのＣＰＵハードウェア上で実現され、ＣＰＵシステム実行環境１１００ｂとは実質的に隔離されたセキュアな検証実行環境であるＣＰＵ検証実行環境１２００ｂが別のＣＰＵハードウェア上で実現されている。

このような本実施の形態３に係る情報処理装置１０００であっても、実施の形態１と同様に高信頼化機能部１１３０を継続して検証することができる。なお、実行環境を実現するハードウェアは、ＣＰＵに限らず、ＦＧＰＡ（Field Programmable Gate Array）、ＧＰＵ（Graphics Processing Unit）、及び、専用ハードウェアなどのプログラムを処理可能なハードウェアであればよい。

＜変形例＞
上述した図１の高信頼化機能部１１３０、通常機能部１１２０、高信頼化機能検証機能部１２１０、及び、時間管理機能部１２３０を、以下「高信頼化機能部１１３０等」と記す。高信頼化機能部１１３０等は、図１３に示す処理回路８１により実現される。すなわち、処理回路８１は、それぞれが入力部１１３１と出力部１１３２とを有する複数の高信頼化機能部１１３０と、システム実行環境１１００下で処理を実行可能であり、処理を実行している間に、当該処理に応じた高信頼化機能部１１３０の呼び出しと、当該高信頼化機能部１１３０の実行に用いられるデータの入力部１１３１への注入とが可能な通常機能部１１２０と、セキュア実行環境１２００下で、注入検証データを入力部１１３１に注入して高信頼化機能部１１３０を実行し、高信頼化機能部１１３０を実行した場合の出力部１１３２からの出力に基づいて高信頼化機能部１１３０の動作検証を行う高信頼化機能検証機能部１２１０と、動作検証が実行されるタイミング及び動作検証の実行最大時間を管理する時間管理機能部１２３０と、を備える。処理回路８１には、専用のハードウェアが適用されてもよいし、メモリに格納されるプログラムを実行するプロセッサが適用されてもよい。プロセッサには、例えば、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、ＤＳＰ（Digital Signal Processor）などが該当する。

処理回路８１が専用のハードウェアである場合、処理回路８１は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ、またはこれらを組み合わせたものが該当する。高信頼化機能部１１３０等の各部の機能それぞれは、処理回路を分散させた回路で実現されてもよいし、各部の機能をまとめて一つの処理回路で実現されてもよい。

処理回路８１がプロセッサである場合、高信頼化機能部１１３０等の機能は、ソフトウェア等との組み合わせにより実現される。なお、ソフトウェア等には、例えば、ソフトウェア、ファームウェア、または、ソフトウェア及びファームウェアが該当する。ソフトウェア等はプログラムとして記述され、メモリに格納される。図１４に示すように、処理回路８１に適用されるプロセッサ８２は、メモリ８３に記憶されたプログラムを読み出して実行することにより、各部の機能を実現する。すなわち、情報処理装置１０００は、処理回路８１により実行されるときに、システム実行環境１１００下で処理を実行可能である通常機能部１１２０が、処理を実行している間に、複数の高信頼化機能部１１３０からの当該処理に応じた高信頼化機能部１１３０の呼び出しと、当該高信頼化機能部１１３０の実行に用いられるデータの入力部１１３１への注入とを行うステップと、高信頼化機能検証機能部１２１０が、セキュア実行環境１２００下で、注入検証データを入力部１１３１に注入して高信頼化機能部１１３０を実行し、高信頼化機能部１１３０を実行した場合の出力部１１３２からの出力に基づいて高信頼化機能部１１３０の動作検証を行うステップと、時間管理機能部１２３０が、動作検証が実行されるタイミング及び動作検証の実行最大時間を管理するステップと、が結果的に実行されることになるプログラムを格納するためのメモリ８３を備える。換言すれば、このプログラムは、高信頼化機能部１１３０等の手順や方法をコンピュータに実行させるものであるともいえる。ここで、メモリ８３は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）などの、不揮発性または揮発性の半導体メモリ、ＨＤＤ（Hard Disk Drive）、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ（Digital Versatile Disc）、そのドライブ装置等、または、今後使用されるあらゆる記憶媒体であってもよい。

以上、高信頼化機能部１１３０等の各機能が、ハードウェア及びソフトウェア等のいずれか一方で実現される構成について説明した。しかしこれに限ったものではなく、高信頼化機能部１１３０等の一部を専用のハードウェアで実現し、別の一部をソフトウェア等で実現する構成であってもよい。例えば、高信頼化機能部１１３０については専用のハードウェアとしての処理回路８１、インターフェース及びレシーバなどでその機能を実現し、それ以外についてはプロセッサ８２としての処理回路８１がメモリ８３に格納されたプログラムを読み出して実行することによってその機能を実現することが可能である。

以上のように、処理回路８１は、ハードウェア、ソフトウェア等、またはこれらの組み合わせによって、上述の各機能を実現することができる。

なお、動作モード管理機能部１１１０及び動作モード管理機能部１１１０が行うステップも上記と同様に実現することができる。また、通常機能部１１２０、高信頼化機能検証機能部１２１０、時間管理機能部１２３０、及び、動作モード管理機能部１１１０は、それぞれ通常プログラム、高信頼化機能検証プログラム、時間管理プログラム、及び、動作モード管理プログラムにそれぞれ対応してもよい。

なお、各実施の形態及び各変形例を自由に組み合わせたり、各実施の形態及び各変形例を適宜、変形、省略したりすることが可能である。

上記した説明は、すべての局面において、例示であって、限定的なものではない。例示されていない無数の変形例が、想定され得るものと解される。

１０００ 情報処理装置、１１００ システム実行環境、１１１０ 動作モード管理機能部、１１１１ 故障時動作機能部、１１２０ 通常機能部、１１３０ 高信頼化機能部、１１３１ 入力部、１１３２ 出力部、１２００ セキュア実行環境、１２１０ 高信頼化機能検証機能部、１２１１ 検証計画部、１２１２ 検証実行部、１２１３ 検証データ注入部、１２１４ 出力管理部、１２１５ 動作ログ取得部、１２１６ 健全性判定部、１２１７ 表示部、１２２０ 高信頼化機能検証テーブル、１２３０ 時間管理機能部、１２４０ 高信頼化機能状態テーブル。

Claims (8)

1. それぞれが入力部と出力部とを有する複数の高信頼化機能部と、
   システム実行環境下で処理を実行可能であり、前記処理を実行している間に、当該処理に応じた前記高信頼化機能部の呼び出しと、当該高信頼化機能部の実行に用いられるデータの前記入力部への注入とが可能な通常機能部と、
   前記高信頼化機能部の動作検証に用いられる注入検証データを保持する検証テーブルと、
   前記システム実行環境に対してセキュアな実行環境である検証実行環境下で、前記注入検証データを前記入力部に注入して前記高信頼化機能部を実行し、前記高信頼化機能部を実行した場合の前記出力部からの出力に基づいて、前記高信頼化機能部の前記動作検証を行う検証機能部と、
   前記動作検証が実行されるタイミング及び前記動作検証の実行最大時間を管理する時間管理機能部と
   を備え、
   前記検証テーブルは、
   前記動作検証を開始するタイミングを示す検証作動タイミングと、
   前記検証機能部が前記高信頼化機能部を実行した場合の、前記出力部からの期待される出力を示す期待出力データと、
   前記検証機能部が前記高信頼化機能部を実行した場合の、前記高信頼化機能部の期待される動作ログを示す期待動作ログと、
   前記検証機能部が前記高信頼化機能部を実行した後に、当該高信頼化機能部を前記通常機能部で実行するか否かを示す出力部制御フラグと、
   前記動作検証の最大の許容時間を示す検証最大時間と
   をさらに保持する、情報処理装置。
2. それぞれが入力部と出力部とを有する複数の高信頼化機能部と、
   システム実行環境下で処理を実行可能であり、前記処理を実行している間に、当該処理に応じた前記高信頼化機能部の呼び出しと、当該高信頼化機能部の実行に用いられるデータの前記入力部への注入とが可能な通常機能部と、
   前記高信頼化機能部の動作検証に用いられる注入検証データを保持する検証テーブルと、
   前記システム実行環境に対してセキュアな実行環境である検証実行環境下で、前記注入検証データを前記入力部に注入して前記高信頼化機能部を実行し、前記高信頼化機能部を実行した場合の前記出力部からの出力に基づいて、前記高信頼化機能部の前記動作検証を行う検証機能部と、
   前記動作検証が実行されるタイミング及び前記動作検証の実行最大時間を管理する時間管理機能部と、
   前記動作検証の結果として、前記高信頼化機能部が正常か否かを示す状態データを保持する状態テーブルと、
   前記システム実行環境下で、システムによって動作されている動作モードを管理する動作モード管理機能部と
   を備え、
   前記状態テーブルは、前記動作モードごとに、
   前記高信頼化機能部が使用対象か否かを示す使用可否データと、
   使用対象である前記高信頼化機能部が正常であることを示す正常状態データと、
   使用対象である前記高信頼化機能部が異常であることを示す異常状態データと、
   前記動作モードに用いられる前記高信頼化機能部の動作が可能状態であるか否かを示す動作モード可否データと
   の少なくともいずれか１つを含む、情報処理装置。
3. 請求項２に記載の情報処理装置であって、
   前記検証機能部は、前記動作検証を行うごとに、前記状態テーブルに保持された前記状態データを更新する、情報処理装置。
4. 請求項１に記載の情報処理装置であって、
   前記検証機能部は、
   前記検証作動タイミングに基づいて前記複数の高信頼化機能部から検証対象の高信頼化機能部を決定し、前記検証対象の高信頼化機能部の前記動作検証を実行するタイミングを計画する検証計画部と、
   前記検証対象の高信頼化機能部の前記入力部に前記注入検証データを注入する検証データ注入部と、
   前記検証計画部で計画されたタイミングで、前記注入検証データが注入された前記検証対象の高信頼化機能部を実行する検証実行部と、
   前記検証実行部が前記検証対象の高信頼化機能部を実行した場合に前記検証対象の高信頼化機能部の前記出力部の出力を取得し、前記出力部制御フラグに基づいて、前記検証対象の高信頼化機能部を前記通常機能部で実行する出力管理部と、
   前記検証実行部が前記検証対象の高信頼化機能部を実行した場合に前記検証対象の高信頼化機能部の動作ログを取得する動作ログ取得部と、
   前記出力管理部で取得された出力と前記期待出力データとの比較と、前記動作ログ取得部で取得された動作ログと前記期待動作ログとの比較とに基づいて、前記検証対象の高信頼化機能部の健全性を判定する健全性判定部と
   を含む、情報処理装置。
5. 請求項２に記載の情報処理装置であって、
   前記動作モード管理機能部は、
   前記動作モード管理機能部が管理している前記動作モードに用いられる前記高信頼化機能部について、前記異常状態データが前記状態テーブルに含まれる場合に、前記システムによって動作されている前記動作モードを切り替える故障時動作機能部を含む、情報処理装置。
6. 請求項２に記載の情報処理装置であって、
   前記動作モード管理機能部が管理している前記動作モードに用いられる前記高信頼化機能部について、前記異常状態データが前記状態テーブルに含まれる場合に、異常を表示する表示部をさらに備える、情報処理装置。
7. システム実行環境下で処理を実行可能である通常機能部が、前記処理を実行している間に、それぞれが入力部と出力部とを有する複数の高信頼化機能部からの当該処理に応じた前記高信頼化機能部の呼び出しと、当該高信頼化機能部の実行に用いられるデータの前記入力部への注入とを行い、
   検証テーブルが、前記高信頼化機能部の動作検証に用いられる注入検証データを保持し、
   検証機能部が、前記システム実行環境に対してセキュアな実行環境である検証実行環境下で、前記注入検証データを前記入力部に注入して前記高信頼化機能部を実行し、前記高信頼化機能部を実行した場合の前記出力部からの出力に基づいて、前記高信頼化機能部の前記動作検証を行い、
   時間管理機能部が、前記動作検証が実行されるタイミング及び前記動作検証の実行最大時間を管理し、
   前記検証テーブルは、
   前記動作検証を開始するタイミングを示す検証作動タイミングと、
   前記検証機能部が前記高信頼化機能部を実行した場合の、前記出力部からの期待される出力を示す期待出力データと、
   前記検証機能部が前記高信頼化機能部を実行した場合の、前記高信頼化機能部の期待される動作ログを示す期待動作ログと、
   前記検証機能部が前記高信頼化機能部を実行した後に、当該高信頼化機能部を前記通常機能部で実行するか否かを示す出力部制御フラグと、
   前記動作検証の最大の許容時間を示す検証最大時間と
   をさらに保持する、情報処理方法。
8. システム実行環境下で処理を実行可能である通常機能部が、前記処理を実行している間に、それぞれが入力部と出力部とを有する複数の高信頼化機能部からの当該処理に応じた前記高信頼化機能部の呼び出しと、当該高信頼化機能部の実行に用いられるデータの前記入力部への注入とを行い、
   検証テーブルが、前記高信頼化機能部の動作検証に用いられる注入検証データを保持し、
   検証機能部が、前記システム実行環境に対してセキュアな実行環境である検証実行環境下で、前記注入検証データを前記入力部に注入して前記高信頼化機能部を実行し、前記高信頼化機能部を実行した場合の前記出力部からの出力に基づいて、前記高信頼化機能部の前記動作検証を行い、
   時間管理機能部が、前記動作検証が実行されるタイミング及び前記動作検証の実行最大時間を管理し、
   状態テーブルが、前記動作検証の結果として、前記高信頼化機能部が正常か否かを示す状態データを保持し、
   動作モード管理機能部が、前記システム実行環境下で、システムによって動作されている動作モードを管理し、
   前記状態テーブルは、前記動作モードごとに、
   前記高信頼化機能部が使用対象か否かを示す使用可否データと、
   使用対象である前記高信頼化機能部が正常であることを示す正常状態データと、
   使用対象である前記高信頼化機能部が異常であることを示す異常状態データと、
   前記動作モードに用いられる前記高信頼化機能部の動作が可能状態であるか否かを示す動作モード可否データと
   の少なくともいずれか１つを含む、情報処理方法。

Images