JP7296556B1 - 情報処理装置、情報処理装置の制御方法及びプログラム - Google Patents

Abstract

情報処理装置（２）は、情報処理装置（２）において生成された監視ログをＳＯＣ（２８）に送信するログ送信部（２４）と、ログ送信部（２４）の完全性を検証するＨＩＤＳ監視部（１４）と、ＨＩＤＳ監視部（１４）の完全性を検証する監視ＲｏＴ部（１２）であって、ハートビート信号を繰り返しログ送信部（２４）に出力する監視ＲｏＴ部（１２）とを備える。ログ送信部（２４）は、監視ＲｏＴ部（１２）からハートビート信号が出力される毎に、当該ハートビート信号をＳＯＣ（２８）に送信する。ＨＩＤＳ監視部（１４）は、ログ送信部（２４）の完全性に異常がある場合に、監視ＲｏＴ部（１２）に対してハートビート信号の出力の停止を要求するための出力停止要求信号を監視ＲｏＴ部（１２）に出力する。監視ＲｏＴ部（１２）は、出力停止要求信号に基づいて、ハートビート信号の出力を停止する。

Description

本開示は、情報処理装置、情報処理装置の制御方法及びプログラムに関する。

ファームウェアのセキュリティ対策として、ファームウェアの起動時における完全性検証（セキュアブート）だけでなく、ファームウェアの起動後における常時完全性検証（ＲＩ：Ｒｕｎｔｉｍｅ Ｉｎｔｅｇｒｉｔｙ）をも実行することが要望されている。

従来のセキュリティ対策で用いられる情報処理装置は、非セキュア領域で動作する監視部と、セキュア領域で動作するログ収集部とを備えている（例えば、特許文献１参照）。監視部は、情報処理装置における異常の有無を監視する。そして、監視部は、監視結果を示す監視ログを生成し、生成した監視ログを第１のメモリに保存する。ログ収集部は、第１のメモリに保存されている監視ログを収集し、収集した監視ログを第２のメモリに保存する。第２のメモリに保存された監視ログは、ＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）に送信される。

特開２０２０－１２９２３８号公報

しかしながら、上述した従来の情報処理装置では、監視ログをＳＯＣに送信する動作の完全性が保証されないという課題が生じる。すなわち、監視部が異常を検知した場合であっても、異常を検知したことを示す監視ログが確実にＳＯＣに送信されることが保証されないため、ＳＯＣは異常の検知を把握することができず、検知した異常に対する対策が取られずに放置されたままになるおそれがある。

そこで、本開示は、送信部が危殆化されたことを外部装置で検出することができる情報処理装置、情報処理装置の制御方法及びプログラムを提供する。

本開示の一態様に係る情報処理装置は、外部装置と通信可能であり、前記情報処理装置において生成された監視ログを前記外部装置に送信する送信部と、前記情報処理装置の内部の処理の完全性を検証する第１の監視部と、前記第１の監視部の完全性を検証する第２の監視部であって、ハートビート信号を繰り返し前記送信部に出力する第２の監視部と、を備え、前記送信部は、前記第２の監視部から前記ハートビート信号が出力される毎に、当該ハートビート信号を前記外部装置に送信し、前記第１の監視部は、前記情報処理装置の内部の処理の完全性に異常がある場合に、前記第２の監視部に対して前記ハートビート信号の出力の停止又は不正なハートビート信号の出力を要求するための出力停止要求信号を前記第２の監視部に出力し、前記第２の監視部は、前記出力停止要求信号に基づいて、前記ハートビート信号の出力を停止する、又は、前記不正なハートビート信号を出力する。

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ－Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

本開示の一態様に係る情報処理装置等によれば、送信部が危殆化されたことを外部装置で検出することができる。

実施の形態１に係る情報処理装置の概要を示す図である。 実施の形態１に係る監視ＲｏＴ部の機能構成を示すブロック図である。 実施の形態１に係るＨＩＤＳ監視部の機能構成を示すブロック図である。 実施の形態１に係る監視ＲｏＴ部の動作の流れを示すフローチャートである。 実施の形態１に係るＨＩＤＳ監視部の動作の流れを示すフローチャートである。 実施の形態２に係る情報処理装置の概要を示す図である。

本開示の第１の態様に係る情報処理装置は、外部装置と通信可能であり、前記情報処理装置において生成された監視ログを前記外部装置に送信する送信部と、前記情報処理装置の内部の処理の完全性を検証する第１の監視部と、前記第１の監視部の完全性を検証する第２の監視部であって、ハートビート信号を繰り返し前記送信部に出力する第２の監視部と、を備え、前記送信部は、前記第２の監視部から前記ハートビート信号が出力される毎に、当該ハートビート信号を前記外部装置に送信し、前記第１の監視部は、前記情報処理装置の内部の処理の完全性に異常がある場合に、前記第２の監視部に対して前記ハートビート信号の出力の停止又は不正なハートビート信号の出力を要求するための出力停止要求信号を前記第２の監視部に出力し、前記第２の監視部は、前記出力停止要求信号に基づいて、前記ハートビート信号の出力を停止する、又は、前記不正なハートビート信号を出力する。

本態様によれば、第１の監視部は、情報処理装置の内部の処理（例えば、送信部）の完全性に異常がある場合に、出力停止要求信号を第２の監視部に出力する。これにより、外部装置は、情報処理装置からのハートビート信号の受信が途絶された場合、又は、情報処理装置からの不正なハートビート信号を受信した場合に、例えば情報処理装置の送信部が危殆化されたことを検出することができる。

また、本開示の第２の態様に係る情報処理装置では、第１の態様において、前記情報処理装置は、さらに、前記送信部及び前記第１の監視部の各々が実行される第１のプログラム領域と、前記第２の監視部が実行される第２のプログラム領域であって、前記第１のプログラム領域よりもセキュリティレベルの高い第２のプログラム領域と、を備えるように構成してもよい。

本態様によれば、例えば第２の監視部を信頼の基点として、情報処理装置の各種プログラムの常時完全性検証（ＲＩ）を実行することができる。

また、本開示の第３の態様に係る情報処理装置では、第１の態様又は第２の態様において、前記第１の監視部は、前記情報処理装置の内部の処理の完全性の検証結果を示す第１の監視ログを出力し、前記情報処理装置の内部の処理の完全性に異常がある場合には、前記第２の監視部に対して前記第１の監視ログへの署名の付与を要求する署名付与要求信号を前記第２の監視部に出力し、前記第２の監視部は、前記署名付与要求信号に基づいて、前記第１の監視ログに署名を付与し、前記第１の監視部は、前記第２の監視部により署名が付与された前記第１の監視ログを保持するように構成してもよい。

本態様によれば、情報処理装置の内部の処理（例えば、送信部）の完全性に異常がある場合に、情報処理装置の内部の処理の完全性に異常があることを示す第１の監視ログを保全することができる。その結果、第１の監視ログを、例えば危殆化された送信部の解析に使用することができる。

また、本開示の第４の態様に係る情報処理装置では、第１の態様～第３の態様のいずれか一態様において、前記第２の監視部は、前記第１の監視部の完全性に異常がある場合に、前記ハートビート信号の出力を停止する、又は、前記不正なハートビート信号を出力するように構成してもよい。

本態様によれば、外部装置は、情報処理装置からのハートビート信号の受信が途絶される、又は、情報処理装置からの不正なハートビート信号を受信するため、例えば情報処理装置の送信部及び第１の監視部の少なくとも一方が危殆化されたことを検出することができる。

また、本開示の第５の態様に係る情報処理装置では、第１の態様～第４の態様のいずれか一態様において、前記第１の監視部は、前記出力停止要求信号を出力した後に、前記第１の監視部が検出した完全性の異常が解消された場合に、前記第２の監視部に対して前記ハートビート信号の出力の再開を要求するための出力再開要求信号を前記第２の監視部に出力し、前記第２の監視部は、前記出力再開要求信号に基づいて、前記ハートビート信号の出力を再開するように構成してもよい。

本態様によれば、外部装置は、情報処理装置からのハートビート信号の受信を再開することによって、例えば情報処理装置の送信部が復旧したことを認識することができる。

また、本開示の第６の態様に係る情報処理装置では、第１の態様～第５の態様のいずれか一態様において、前記情報処理装置は、さらに、前記情報処理装置における異常を検出し、前記情報処理装置における異常の検出結果を示す第２の監視ログを出力する異常検出部を備え、前記第１の監視部は、さらに、前記異常検出部の完全性を検証し、前記異常検出部は、前記情報処理装置の内部の処理の完全性に異常がある場合に、前記第２の監視ログを保持するように構成してもよい。

本態様によれば、例えば送信部が危殆化された場合であっても、第２の監視ログを保全することができる。

また、本開示の第７の態様に係る情報処理装置では、第１の態様～第６の態様のいずれか一態様において、前記第１の監視部は、前記送信部の完全性を検証するように構成してもよい。

本態様によれば、情報処理装置の送信部が危殆化されたことを検出することができる。

本開示の第８の態様に係る情報処理装置の制御方法は、情報処理装置の制御方法であって、前記情報処理装置は、外部装置と通信可能であり、前記情報処理装置において生成された監視ログを前記外部装置に送信する送信部と、前記情報処理装置の内部の処理の完全性を検証する第１の監視部と、前記第１の監視部の完全性を検証する第２の監視部と、を備え、前記制御方法は、前記第２の監視部が、ハートビート信号を繰り返し前記送信部に出力するステップと、前記送信部が、前記第２の監視部から前記ハートビート信号が出力される毎に、当該ハートビート信号を前記外部装置に送信するステップと、前記第１の監視部が、前記情報処理装置の内部の処理の完全性に異常がある場合に、前記第２の監視部に対して前記ハートビート信号の出力の停止又は不正なハートビート信号の出力を要求するための出力停止要求信号を前記第２の監視部に出力するステップと、前記第２の監視部が、前記出力停止要求信号に基づいて、前記ハートビート信号の出力を停止する、又は、前記不正なハートビート信号を出力するステップと、を含む。

本態様によれば、第１の監視部は、情報処理装置の内部の処理（例えば、送信部）の完全性に異常がある場合に、出力停止要求信号を第２の監視部に出力する。これにより、外部装置は、情報処理装置からのハートビート信号の受信が途絶された場合、又は、情報処理装置からの不正なハートビート信号を受信した場合に、例えば情報処理装置の送信部が危殆化されたことを検出することができる。

また、本開示の第９の態様に係る情報処理装置の制御方法では、第８の態様において、前記第１の監視部は、前記送信部の完全性を検証するように構成してもよい。

本態様によれば、情報処理装置の送信部が危殆化されたことを検出することができる。

本開示の第１０の態様に係るプログラムは、第８の態様又は第９の態様に係る情報処理装置の制御方法をコンピュータに実行させる。

本開示の第１１の態様に係る情報処理装置は、情報処理装置であって、外部装置と通信可能であり、前記情報処理装置において生成された監視ログを前記外部装置に送信する送信部と、前記情報処理装置の内部の処理の完全性を検証する第１の監視部と、起動される毎に、前記第１の監視部の完全性の検証、及び、前記送信部へのハートビート信号の出力のうち少なくとも一方を実行する第２の監視部と、を備え、前記送信部は、前記第２の監視部から前記ハートビート信号が出力される毎に、当該ハートビート信号を前記外部装置に送信し、前記第２の監視部は、前記第１の監視部の完全性に異常がある場合に、前記ハートビート信号の出力を停止する、又は、不正なハートビート信号を出力する。

本態様によれば、第２の監視部は、例えば所定のタイミングで繰り返し起動される。これにより、外部装置は、情報処理装置からのハートビート信号の受信が途絶された場合、又は、情報処理装置からの不正なハートビート信号を受信した場合に、情報処理装置が危殆化されたことを検出することができる。また、第２の監視部は、第１の監視部の完全性に異常がある場合に、ハートビート信号の出力を停止する、又は、不正なハートビート信号を出力する。これにより、外部装置は、情報処理装置からのハートビート信号の受信が途絶された場合、又は、情報処理装置からの不正なハートビート信号を受信した場合に、情報処理装置が危殆化されたことを検出することができる。

また、本開示の第１２の態様に係る情報処理装置では、第１１の態様において、前記第１の監視部は、前記送信部の完全性を検証するように構成してもよい。

本態様によれば、情報処理装置の送信部が危殆化されたことを検出することができる。

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。

以下、実施の形態について、図面を参照しながら具体的に説明する。

なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

（実施の形態１）
［１．情報処理装置の概要］
まず、図１を参照しながら、実施の形態１に係る情報処理装置２の概要について説明する。図１は、実施の形態１に係る情報処理装置２の概要を示す図である。

情報処理装置２は、例えば自動車等の車両に搭載されたＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）として適用される。情報処理装置２は、当該情報処理装置２における各種コンピュータプログラム（以下、単に「プログラム」という）の起動後に、当該各種プログラムの常時完全性検証（ＲＩ）を実行する。ここで、「完全性」とは、情報処理装置２の各種プログラムに対して不正な改ざん等が行なわれていない状態であることを意味する。また、「完全性が異常である」とは、情報処理装置２の各種プログラムに対して不正な改ざん等が行なわれるなどして、各種プログラムが危殆化されている状態であることを意味する。

図１に示すように、情報処理装置２は、通常領域４（第１のプログラム領域の一例）と堅牢領域６（第２のプログラム領域の一例）とに仮想的に分離された状態で構築されている。通常領域４は、セキュアでないオペレーティングシステム及びアプリケーションを実行するための実行環境である。堅牢領域６は、セキュアなオペレーティングシステム及びアプリケーションを実行するための実行環境であり、通常領域４から隔離されている。すなわち、堅牢領域６は、通常領域４よりもセキュリティレベルが高い。例えば、通常領域４から堅牢領域６へのアクセスは、情報処理装置２を構成するプロセッサ等の機能により制限されている。

なお、通常領域４は、ユーザ空間８と、カーネル空間１０とを有している。ユーザ空間８は、アプリケーションが使用するメモリ領域である。カーネル空間１０は、カーネルが使用するメモリ領域である。

また、情報処理装置２は、監視ＲｏＴ（Ｒｏｏｔ ｏｆ Ｔｒｕｓｔ）部１２（第２の監視部の一例）と、ＨＩＤＳ（Ｈｏｓｔ－ｂａｓｅｄ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）監視部１４（第１の監視部の一例）と、複数のＨＩＤＳ１６，１８，２０，２２（それぞれ異常検出部の一例）と、ログ送信部２４（送信部の一例）とを備えている。情報処理装置２では、監視ＲｏＴ部１２を信頼の基点として、各種プログラムの常時完全性検証（ＲＩ）が実行される。監視ＲｏＴ部１２、ＨＩＤＳ監視部１４、複数のＨＩＤＳ１６，１８，２０，２２及びログ送信部２４は、バス２６を介して互いに通信可能に接続されている。

なお、監視ＲｏＴ部１２、ＨＩＤＳ監視部１４、複数のＨＩＤＳ１６，１８，２０，２２及びログ送信部２４の各々は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）又はプロセッサ等のプログラム実行部が、メモリに記録されたプログラムを読み出して実行することにより実現される。

監視ＲｏＴ部１２は、堅牢領域６で動作する。監視ＲｏＴ部１２は、ＨＩＤＳ監視部１４を監視することにより、ＨＩＤＳ監視部１４の完全性を検証する。監視ＲｏＴ部１２は、ＨＩＤＳ監視部１４の完全性が異常であると検証した際に、ＨＩＤＳ監視部１４の完全性の検証結果を示す監視ログを、バス２６を介してログ送信部２４に出力する。

また、監視ＲｏＴ部１２は、例えば所定の周期（又は所定のタイミング）でハートビート信号を繰り返し、バス２６を介してログ送信部２４に出力する。ハートビート信号とは、監視ＲｏＴ部１２、ＨＩＤＳ監視部１４及びログ送信部２４からなる常時完全性検証（ＲＩ）機能が正常に動作していることを示すキープアライブ（ｋｅｅｐ－ａｌｉｖｅ）信号である。また、監視ＲｏＴ部１２は、ＨＩＤＳ監視部１４からの出力停止要求信号（後述する）に基づいて、ハートビート信号の出力を停止する。

なお、本実施の形態では、監視ＲｏＴ部１２は、ＨＩＤＳ監視部１４からの出力停止要求信号に基づいて、ハートビート信号の出力を停止するようにしたが、これに限定されず、不正なハートビート信号を出力するようにしてもよい。ここで、不正なハートビート信号とは、署名生成部３４（後述する）により生成された正規の署名が付与されていないハートビート信号、又は、正規の署名に代えてダミーデータが付与されたハートビート信号である。

ＨＩＤＳ監視部１４は、通常領域４のカーネル空間１０で動作する。ＨＩＤＳ監視部１４は、情報処理装置２の内部の処理を監視することにより、情報処理装置２の内部の処理の完全性を検証する。具体的には、ＨＩＤＳ監視部１４は、複数のＨＩＤＳ１６，１８，２０，２２及びログ送信部２４の各々を監視することにより、複数のＨＩＤＳ１６，１８，２０，２２及びログ送信部２４の各々の完全性を検証する。ＨＩＤＳ監視部１４は、複数のＨＩＤＳ１６，１８，２０，２２の少なくとも一つの完全性が異常であると検証した際に、複数のＨＩＤＳ１６，１８，２０，２２の少なくとも一つの完全性の検証結果を示す監視ログを、バス２６を介してログ送信部２４に出力する。

また、ＨＩＤＳ監視部１４は、ログ送信部２４の完全性が異常であると検証した際に、ログ送信部２４の完全性の検証結果を示す監視ログ（第１の監視ログの一例）を、バス２６を介してログ送信部２４に出力する。また、ＨＩＤＳ監視部１４は、ログ送信部２４の完全性が異常であると検証した場合に、監視ＲｏＴ部１２に対してハートビート信号の出力の停止を要求するための出力停止要求信号を、バス２６を介して監視ＲｏＴ部１２に出力する。

なお、本実施の形態では、ＨＩＤＳ監視部１４は、複数のＨＩＤＳ１６，１８，２０，２２及びログ送信部２４の各々を監視するようにしたが、これに限定されず、複数のＨＩＤＳ１６，１８，２０，２２及びログ送信部２４以外の他の構成を監視するようにしてもよい。また、本実施の形態では、ＨＩＤＳ監視部１４は、監視ＲｏＴ部１２に対してハートビート信号の出力の停止を要求するための出力停止要求信号を出力するようにしたが、これに限定されず、監視ＲｏＴ部１２に対して不正なハートビート信号の出力を要求するための出力停止要求信号を出力するようにしてもよい。

複数のＨＩＤＳ１６，１８，２０，２２の各々は、通常領域４で動作する。より具体的には、ＨＩＤＳ１６，１８は、通常領域４のカーネル空間１０で動作し、ＨＩＤＳ２０，２２は、通常領域４のユーザ空間８で動作する。複数のＨＩＤＳ１６，１８，２０，２２の各々は、情報処理装置２における各種プログラムを監視する。複数のＨＩＤＳ１６，１８，２０，２２の各々は、情報処理装置２における異常（例えば、プログラムの不正なふるまい等）を検出した際に、情報処理装置２における異常の検出結果を示す監視ログ（第２の監視ログの一例）を、バス２６を介してログ送信部２４に出力する。

ログ送信部２４は、ネットワークを介して、情報処理装置２が搭載された車両の外部にあるＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）２８（外部装置の一例）と例えば無線で通信可能である。具体的には、ログ送信部２４は、監視ＲｏＴ部１２、ＨＩＤＳ監視部１４及び複数のＨＩＤＳ１６，１８，２０，２２の各々から出力された監視ログを、ネットワークを介してＳＯＣ２８に送信する。これにより、ＳＯＣ２８は、情報処理装置２から受信した監視ログを解析することによって、情報処理装置２において異常が発生したことを検出することができる。

また、ログ送信部２４は、監視ＲｏＴ部１２からハートビート信号が出力される毎に、当該ハートビート信号を、ネットワークを介してＳＯＣ２８に送信（転送）する。すなわち、ログ送信部２４は、上記所定の周期（又は上記所定のタイミング）で、監視ＲｏＴ部１２からのハートビート信号を繰り返しＳＯＣ２８に送信する。これにより、ＳＯＣ２８は、情報処理装置２からのハートビート信号を受信した場合に、情報処理装置２の常時完全性検証（ＲＩ）機能が正常に動作していることを確認することができる。また、ＳＯＣ２８は、当該ハートビート信号を受信してから次のハートビート信号を一定時間以上受信できない場合に、情報処理装置２のログ送信部２４が危殆化された（例えば、プログラムが不正に改ざん等された）ことを検出することができる。

なお、監視ＲｏＴ部１２が出力停止要求信号に基づいて不正なハートビート信号を出力する場合には、次のように構成してもよい。ＳＯＣ２８は、不正なハートビート信号を受信した場合に、当該不正なハートビート信号に正規の署名が付与されていない、又は、当該不正なハートビート信号の署名検証に失敗することにより、情報処理装置２のログ送信部２４が危殆化されたことを検出するようにしてもよい。

［２．監視ＲｏＴ部の機能構成］
次に、図２を参照しながら、実施の形態１に係る監視ＲｏＴ部１２の機能構成について説明する。図２は、実施の形態１に係る監視ＲｏＴ部１２の機能構成を示すブロック図である。

図２に示すように、監視ＲｏＴ部１２は、機能構成として、ＨＩＤＳ監視部検証部３０と、監視ログ出力部３２と、署名生成部３４と、ハートビート信号生成部３６と、ハートビート信号出力部３８と、停止要求受付部４０とを有している。

ＨＩＤＳ監視部検証部３０は、ＨＩＤＳ監視部１４の完全性を検証し、検証結果を監視ログ出力部３２に出力する。

監視ログ出力部３２は、ＨＩＤＳ監視部検証部３０によりＨＩＤＳ監視部１４の完全性に異常があると検証された場合に、ＨＩＤＳ監視部検証部３０からの検証結果に基づいて、ＨＩＤＳ監視部１４の完全性に異常があることを示す監視ログを生成する。監視ログ出力部３２は、生成した監視ログをログ送信部２４に出力する。

署名生成部３４は、署名を生成し、生成した署名をハートビート信号生成部３６に出力する。ここで、署名とは、ハートビート信号生成部３６により生成されたハートビート信号の正当性を認証するために、当該ハートビート信号に付与される電子署名である。

ハートビート信号生成部３６は、上記所定の周期（又は上記所定のタイミング）で、タイムスタンプと署名生成部３４により生成された署名とを付与したハートビート信号を生成する。ハートビート信号生成部３６は、生成したハートビート信号をハートビート信号出力部３８に出力する。

ハートビート信号出力部３８は、ハートビート信号生成部３６によりハートビート信号が生成される毎に、生成されたハートビート信号をログ送信部２４に出力する。すなわち、ハートビート信号出力部３８は、上記所定の周期（又は上記所定のタイミング）で、ハートビート信号生成部３６により生成されたハートビート信号を繰り返しログ送信部２４に出力する。

停止要求受付部４０は、ＨＩＤＳ監視部１４からの出力停止要求信号を受信することにより、ＨＩＤＳ監視部１４によるハートビート信号の出力の停止要求を受け付ける。停止要求受付部４０は、ＨＩＤＳ監視部１４からの出力停止要求信号を受信した場合には、ハートビート信号生成部３６に対してハートビート信号の生成の停止を指示する。これにより、ハートビート信号生成部３６は、停止要求受付部４０からの指示に基づいて、ハートビート信号の生成を停止する。これに伴い、ハートビート信号出力部３８は、ハートビート信号の出力を停止する。

なお、本実施の形態では、停止要求受付部４０は、ＨＩＤＳ監視部１４からの出力停止要求信号を受信した場合に、ハートビート信号生成部３６に対してハートビート信号の生成の停止を指示したが、これに限定されない。例えば、停止要求受付部４０は、ＨＩＤＳ監視部１４からの出力停止要求信号を受信した場合に、ハートビート信号出力部３８に対してハートビート信号の出力の停止を直接指示してもよい。

［３．ＨＩＤＳ監視部の機能構成］
次に、図３を参照しながら、実施の形態１に係るＨＩＤＳ監視部１４の機能構成について説明する。図３は、実施の形態１に係るＨＩＤＳ監視部１４の機能構成を示すブロック図である。

図３に示すように、ＨＩＤＳ監視部１４は、機能構成として、ＨＩＤＳ検証部４２と、ログ送信部検証部４４と、監視ログ出力部４６と、停止要求部４８とを有している。

ＨＩＤＳ検証部４２は、複数のＨＩＤＳ１６，１８，２０，２２の各々の完全性を検証し、検証結果を監視ログ出力部４６に出力する。

ログ送信部検証部４４は、ログ送信部２４の完全性を検証し、検証結果を監視ログ出力部４６に出力する。

監視ログ出力部４６は、ＨＩＤＳ検証部４２により複数のＨＩＤＳ１６，１８，２０，２２の少なくとも一つの完全性に異常があると検証された場合に、ＨＩＤＳ検証部４２からの検証結果に基づいて、複数のＨＩＤＳ１６，１８，２０，２２の少なくとも一つの完全性に異常があることを示す監視ログを生成する。監視ログ出力部４６は、生成した監視ログをログ送信部２４に出力する。

また、監視ログ出力部４６は、ログ送信部検証部４４によりログ送信部２４の完全性に異常があると検証された場合に、ログ送信部検証部４４からの検証結果に基づいて、ログ送信部２４の完全性に異常があることを示す監視ログを生成する。監視ログ出力部４６は、生成した監視ログをログ送信部２４に出力する。

停止要求部４８は、ログ送信部検証部４４によりログ送信部２４の完全性に異常があると検証された場合に、ログ送信部検証部４４からの検証結果に基づいて、監視ＲｏＴ部１２に対してハートビート信号の出力の停止を要求するための出力停止要求信号を監視ＲｏＴ部１２に出力する。

［４．情報処理装置の動作］
［４－１．監視ＲｏＴ部の動作］
図４を参照しながら、実施の形態１に係る監視ＲｏＴ部１２の動作について説明する。図４は、実施の形態１に係る監視ＲｏＴ部１２の動作の流れを示すフローチャートである。

まず、停止要求受付部４０が出力停止要求信号を受信していない場合における、監視ＲｏＴ部１２の動作について説明する。図４に示すように、情報処理装置２が起動すると（Ｓ１０１）、ＨＩＤＳ監視部検証部３０は、所定の時間（例えば、１０秒）を計測するタイマをセットする（Ｓ１０２）。タイマがタイムアウトになった場合には（Ｓ１０３で「タイムアウト」）、ＨＩＤＳ監視部検証部３０は、ＨＩＤＳ監視部１４の完全性を検証する（Ｓ１０４）。

ＨＩＤＳ監視部検証部３０によりＨＩＤＳ監視部１４の完全性に異常が無い（すなわち、ＨＩＤＳ監視部１４が正常である）と検証された場合には（Ｓ１０５でＹＥＳ）、監視ログ出力部３２は監視ログを出力せず、ステップＳ１０７に進む。

一方、ＨＩＤＳ監視部検証部３０によりＨＩＤＳ監視部１４の完全性に異常がある（すなわち、ＨＩＤＳ監視部１４が正常でない）と検証された場合には（Ｓ１０５でＮＯ）、監視ログ出力部３２は、ＨＩＤＳ監視部検証部３０の検証結果に基づいて監視ログを出力し（Ｓ１０６）、ステップＳ１０７に進む。

ステップＳ１０５又はＳ１０６の後、停止要求受付部４０が出力停止要求信号を受信済みでないため（Ｓ１０７でＮＯ）、ハートビート信号生成部３６は、ハートビート信号を生成する（Ｓ１０８）。次いで、ハートビート信号出力部３８は、ハートビート信号生成部３６により生成されたハートビート信号をログ送信部２４に出力する（Ｓ１０９）。

情報処理装置２の運転を継続する場合には（Ｓ１１０でＹＥＳ）、ステップＳ１０２に戻る。一方、情報処理装置２の運転を終了する場合には（Ｓ１１０でＮＯ）、図４のフローチャートを終了する。

次に、停止要求受付部４０が出力停止要求信号を受信した場合における、監視ＲｏＴ部１２の動作について説明する。図４に示すように、上述と同様にステップＳ１０１及びＳ１０２が実行される。ステップＳ１０２の後、停止要求受付部４０が出力停止要求信号を受信した場合には（Ｓ１０３で「出力停止要求信号受信」）、停止要求受付部４０は、ハートビート信号生成部３６に対してハートビート信号の生成の停止を指示する（Ｓ１１１）。

その後、ステップＳ１０３に戻り、タイマがタイムアウトになった場合には（Ｓ１０３で「タイムアウト」）、上述と同様にステップＳ１０４～Ｓ１０６が実行される。ステップＳ１０５又はＳ１０６の後、停止要求受付部４０が出力停止要求信号を受信済みであるため（Ｓ１０７でＹＥＳ）、ハートビート信号生成部３６は、停止要求受付部４０からの指示に基づいて、ハートビート信号の生成を停止する（Ｓ１１２）。その後、ステップＳ１１０に進む。

［４－２．ＨＩＤＳ監視部の動作］
図５を参照しながら、実施の形態１に係るＨＩＤＳ監視部１４の動作について説明する。図５は、実施の形態１に係るＨＩＤＳ監視部１４の動作の流れを示すフローチャートである。

図５に示すように、情報処理装置２が起動すると（Ｓ２０１）、ＨＩＤＳ検証部４２及びログ送信部検証部４４の各々は、所定の時間（例えば、１０秒）を計測するタイマをセットする（Ｓ２０２）。タイマがタイムアウトになると（Ｓ２０３）、ＨＩＤＳ検証部４２は、複数のＨＩＤＳ１６，１８，２０，２２の各々の完全性を検証し、ログ送信部検証部４４は、ログ送信部２４の完全性を検証する（Ｓ２０４）。

複数のＨＩＤＳ１６，１８，２０，２２及びログ送信部２４の各々の完全性に異常が無い場合には（Ｓ２０５でＮＯ）、ステップＳ２０２に戻る。一方、複数のＨＩＤＳ１６，１８，２０，２２及びログ送信部２４の少なくとも一つの完全性に異常がある場合には（Ｓ２０５でＹＥＳ）、監視ログ出力部４６は、監視ログをログ送信部２４に出力する（Ｓ２０６）。

複数のＨＩＤＳ１６，１８，２０，２２及びログ送信部２４の少なくとも一つの完全性に異常がある場合であって、ログ送信部２４の完全性に異常がある（すなわち、ログ送信部２４が正常でない）場合には（Ｓ２０７でＮＯ）、停止要求部４８は、ログ送信部検証部４４からの検証結果に基づいて、出力停止要求信号を監視ＲｏＴ部１２に出力する（Ｓ２０８）。

情報処理装置２の運転を継続する場合には（Ｓ２０９でＹＥＳ）、ステップＳ２０２に戻る。一方、情報処理装置２の運転を終了する場合には（Ｓ２０９でＮＯ）、図５のフローチャートを終了する。

ステップＳ２０７に戻り、複数のＨＩＤＳ１６，１８，２０，２２及びログ送信部２４の少なくとも一つの完全性に異常がある場合であって、ログ送信部２４の完全性に異常が無い（すなわち、ログ送信部２４は正常であるが、複数のＨＩＤＳ１６，１８，２０，２２のいずれかが正常でない）場合には（Ｓ２０７でＹＥＳ）、停止要求部４８は出力停止要求信号を監視ＲｏＴ部１２に出力せず、ステップＳ２０９に進む。

［５．効果］
本実施の形態では、上述したように、ログ送信部２４の完全性に異常が無い場合には、ログ送信部２４は、監視ＲｏＴ部１２からのハートビート信号を繰り返しＳＯＣ２８に送信する。これにより、ＳＯＣ２８は、情報処理装置２からハートビート信号を途切れることなく受信している間は、情報処理装置２のログ送信部２４が正常であることを認識することができる。

一方、ログ送信部２４の完全性に異常がある場合には、監視ＲｏＴ部１２は、ハートビート信号の出力を停止する。これに伴い、ログ送信部２４は、ＳＯＣ２８へのハートビート信号の送信を停止する。これにより、ＳＯＣ２８は、情報処理装置２からのハートビート信号の受信が途絶されるため、情報処理装置２のログ送信部２４が危殆化されたことを検出することができる。

また、上述したように、ログ送信部２４により送信されるハートビート信号には、監視ＲｏＴ部１２により署名が付与されている。これにより、ＳＯＣ２８は、受信したハートビート信号に署名が付与されていることを確認することによって、情報処理装置２のログ送信部２４が正常であることを認識することができる。

仮に、ログ送信部２４が不正なプログラムにより攻撃されるなどして危殆化された場合に、不正なプログラムがログ送信部２４になりすましてハートビート信号を不正に生成してＳＯＣ２８に送信するおそれがある。しかしながら、このような場合、不正なプログラムが生成したハートビート信号には、監視ＲｏＴ部１２により生成された署名が付与されていない。そのため、ＳＯＣ２８は、受信したハートビート信号に署名が付与されていないことを確認することによって、情報処理装置２のログ送信部２４が危殆化されたことを検出することができる。

［６．各種変形例］
［６－１．変形例１］
本実施の形態では、ＨＩＤＳ監視部１４の監視ログ出力部４６は、ログ送信部検証部４４によりログ送信部２４の完全性に異常があると検証された場合に、ログ送信部２４の完全性に異常があることを示す監視ログをログ送信部２４に出力したが、例えば次のようにしてもよい。

すなわち、監視ログ出力部４６は、ログ送信部検証部４４によりログ送信部２４の完全性に異常があると検証された場合に、署名付与要求信号を監視ＲｏＴ部１２に出力してもよい。署名付与要求信号は、監視ＲｏＴ部１２に対してログ送信部２４の完全性の検証結果を示す監視ログへの署名の付与を要求するための信号である。

この場合、監視ＲｏＴ部１２のＨＩＤＳ監視部検証部３０がＨＩＤＳ監視部１４の完全性に異常が無いことを確認した上で、監視ＲｏＴ部１２の署名生成部３４は、ＨＩＤＳ監視部１４からの署名付与要求信号に基づいて、上記監視ログに署名を付与する。そして、署名生成部３４は、署名を付与した監視ログを、ＨＩＤＳ監視部１４の監視ログ出力部４６に出力する。

監視ＲｏＴ部１２の署名生成部３４は、ＨＩＤＳ監視部１４からの署名付与要求信号に基づいて、ＨＩＤＳ監視部１４の監視ログ出力部４６が出力する監視ログに対しても署名の付与を行い、監視ログ出力部４６は、署名生成部３４により署名が付与された監視ログを、例えば不揮発性メモリ等のメモリに保持（記憶）する。これにより、ログ送信部検証部４４によりログ送信部２４の完全性に異常があると検証された場合に、ログ送信部２４の完全性に異常があることを示す監視ログを保全することができ、後でセキュリティ担当者等がメモリから監視ログを読み出して、危殆化されたログ送信部２４の解析に使用することができる。

さらに、ＨＩＤＳ監視部１４の監視ログ出力部４６が出力する上記の監視ログとしては、ログ送信部２４だけでなく複数のＨＩＤＳ１６，１８，２０，２２の各々の完全性に異常があることを示す監視ログも含めても良い。これにより、危殆化されたログ送信部２４だけでなく、危殆化された複数のＨＩＤＳ１６，１８，２０，２２の解析も行うことが可能となる。

［６－２．変形例２］
本実施の形態では、監視ＲｏＴ部１２のハートビート信号生成部３６は、停止要求受付部４０がＨＩＤＳ監視部１４からの出力停止要求信号を受信した場合に、ハートビート信号の生成を停止したが、例えば次のようにしてもよい。

すなわち、ハートビート信号生成部３６は、ＨＩＤＳ監視部検証部３０によりＨＩＤＳ監視部１４の完全性に異常があると検証された場合に、ＨＩＤＳ監視部検証部３０からの検証結果に基づいて、ハートビート信号の生成を停止してもよい。これに伴い、ハートビート信号出力部３８は、ハートビート信号の出力を停止する。

これにより、ＳＯＣ２８は、情報処理装置２からのハートビート信号の受信が途絶されるため、情報処理装置２のログ送信部２４及びＨＩＤＳ監視部１４の少なくとも一方が危殆化されたことを検出することができる。

なお、監視ＲｏＴ部１２の監視ログ出力部３２は、ＨＩＤＳ監視部検証部３０からの検証結果に基づいて、ＨＩＤＳ監視部１４の完全性に異常があることを示す監視ログを生成し、生成した監視ログを例えば不揮発性メモリ等のメモリに保持してもよい。

また、上記の構成に代えて、ハートビート信号生成部３６は、ＨＩＤＳ監視部検証部３０によりＨＩＤＳ監視部１４の完全性に異常があると検証された場合に、ＨＩＤＳ監視部検証部３０からの検証結果に基づいて、不正なハートビート信号を生成してもよい。これに伴い、ハートビート信号出力部３８は、当該不正なハートビート信号を出力する。

［６－３．変形例３］
本実施の形態では、ＨＩＤＳ監視部１４の停止要求部４８は、ログ送信部検証部４４によりログ送信部２４の完全性に異常があると検証された場合に、出力停止要求信号を監視ＲｏＴ部１２に出力したが、例えば次のようにしてもよい。

すなわち、停止要求部４８は、出力停止要求信号を出力した後に、ログ送信部検証部４４によりログ送信部２４の完全性の異常が解消されたと検証された場合に、ログ送信部検証部４４の検証結果に基づいて、出力再開要求信号を監視ＲｏＴ部１２に出力してもよい。出力再開要求信号は、監視ＲｏＴ部１２に対してハートビート信号の出力の再開を要求するための信号である。監視ＲｏＴ部１２のハートビート信号生成部３６は、ＨＩＤＳ監視部１４からの出力再開要求信号に基づいて、ハートビート信号の生成を再開する。これに伴い、ハートビート信号出力部３８は、ハートビート信号の出力を再開する。

これにより、ＳＯＣ２８は、情報処理装置２からのハートビート信号の受信を再開した場合に、情報処理装置２のログ送信部２４が復旧したことを認識することができる。

［６－４．変形例４］
本実施の形態では、複数のＨＩＤＳ１６，１８，２０，２２の各々は、情報処理装置２における異常を検出した際に、情報処理装置２における異常の検出結果を示す監視ログをログ送信部２４に出力したが、例えば次のようにしてもよい。

すなわち、複数のＨＩＤＳ１６，１８，２０，２２の各々は、ログ送信部２４の完全性に異常が無い場合には、監視ログをログ送信部２４に送信し、ログ送信部２４の完全性に異常がある場合には、監視ログを例えば不揮発性メモリ等のメモリに保持してもよい。あるいは、複数のＨＩＤＳ１６，１８，２０，２２の各々は、ログ送信部２４の完全性に異常が無い場合には、監視ログをログ送信部２４に送信するとともにメモリに保持し、ログ送信部２４の完全性に異常がある場合には、ログ送信部２４への監視ログの送信を停止するとともに監視ログをメモリに保持してもよい。これにより、ログ送信部２４が危殆化された場合であっても、複数のＨＩＤＳ１６，１８，２０，２２の各々により生成された監視ログを保全することができる。

なお、複数のＨＩＤＳ１６，１８，２０，２２の各々は、監視ＲｏＴ部１２からのハートビート信号を受信するようにしてもよい。これにより、複数のＨＩＤＳ１６，１８，２０，２２の各々は、監視ＲｏＴ部１２からのハートビート信号の受信が途絶されることによって、ログ送信部２４の完全性に異常があることを認識することができる。

あるいは、監視ＲｏＴ部１２のＨＩＤＳ監視部検証部３０が、ログ送信部２４の完全性に異常があることを検証した場合に、その旨を複数のＨＩＤＳ１６，１８，２０，２２の各々に通知してもよい。これにより、複数のＨＩＤＳ１６，１８，２０，２２の各々は、監視ＲｏＴ部１２からの通知に基づいて、ログ送信部２４の完全性に異常があることを認識することができる。

［６－５．変形例５］
本実施の形態では、複数のＨＩＤＳ１６，１８，２０，２２とログ送信部２４とを別々に構成したが、これに限定されず、ログ送信部２４がＨＩＤＳとしての機能を有していてもよい。

また、本実施の形態では、異常検出部としてホスト型のＩＤＳ（ＨＩＤＳ）を用いたが、これに限定されず、例えばネットワーク型のＩＤＳ（ＮＩＤＳ：Ｎｅｔｗｏｒｋ－ｂａｓｅｄ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）等を用いてもよい。

また、本実施の形態では、監視ＲｏＴ部１２が堅牢領域６で動作するようにしたが、これに限定されず、堅牢領域６に代えて、例えば難読化等のソフトウェア耐タンパ実装された通常領域で動作するようにしてもよい。

（実施の形態２）
図６を参照しながら、実施の形態２に係る情報処理装置２Ａの概要について説明する。図６は、実施の形態２に係る情報処理装置２Ａの概要を示す図である。なお、本実施の形態において、上記実施の形態１と同一の構成要素には同一の符号を付して、その説明を省略する。

図６に示すように、実施の形態２に係る情報処理装置２Ａは、上記実施の形態１で説明した構成要素に加えて、監視ＲｏＴ部起動部５０（監視起動部の一例）を備えている。監視ＲｏＴ部起動部５０は、通常領域４のカーネル空間１０で動作し、監視ＲｏＴ部１２を所定のタイミングで繰り返し起動する。上記の所定のタイミングとしては、予め決定された所定の周期であってもよいし、あるいは、監視ＲｏＴ部起動部５０が監視ＲｏＴ部１２を起動する毎に次回の起動タイミングを決定してもよい。

監視ＲｏＴ部１２は、監視ＲｏＴ部起動部５０により起動される毎に、ＨＩＤＳ監視部１４の完全性の検証、及び、ログ送信部２４へのハートビート信号の出力を実行する。また、監視ＲｏＴ部１２は、ＨＩＤＳ監視部１４の完全性に異常がある場合に、ハートビート信号の出力を停止する。なお、監視ＲｏＴ部１２は、監視ＲｏＴ部起動部５０により起動される毎に、ＨＩＤＳ監視部１４の完全性の検証、及び、ログ送信部２４へのハートビート信号の出力のいずれか一方のみを実行するようにしてもよい。

本実施の形態では、次のような効果を得ることができる。仮に、監視ＲｏＴ部起動部５０が不正なプログラムにより攻撃されるなどして危殆化された場合には、監視ＲｏＴ部１２は定期的に起動されなくなる。これに伴い、ログ送信部２４は、ＳＯＣ２８へのハートビート信号の送信を停止する。これにより、ＳＯＣ２８は、情報処理装置２Ａからのハートビート信号の受信が途絶されるため、情報処理装置２Ａが危殆化されたことを検出することができる。

また、上述したように、監視ＲｏＴ部１２は、ＨＩＤＳ監視部１４の完全性に異常がある場合に、ハートビート信号の出力を停止する。これにより、ＳＯＣ２８は、情報処理装置２Ａからのハートビート信号の受信が途絶されるため、情報処理装置２Ａが危殆化されたことを検出することができる。

（他の変形例等）
以上、一つ又は複数の態様に係る情報処理装置及び情報処理装置の制御方法について、上記各実施の形態に基づいて説明したが、本開示は、上記各実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思い付く各種変形を上記各実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つ又は複数の態様の範囲内に含まれてもよい。

上記各実施の形態では、監視ログ出力部３２は、ＨＩＤＳ監視部１４の完全性に異常があることを示す監視ログを出力したが、これに限定されず、ＨＩＤＳ監視部１４の完全性に異常が無いことを示す監視ログを出力してもよい。

また、上記各実施の形態では、監視ログ出力部４６は、複数のＨＩＤＳ１６，１８，２０，２２の少なくとも一つの完全性に異常があることを示す監視ログを出力したが、これに限定されず、複数のＨＩＤＳ１６，１８，２０，２２の各々に異常が無いことを示す監視ログを出力してもよい。

また、上記各実施の形態では、監視ログ出力部４６は、ログ送信部２４の完全性に異常があることを示す監視ログを出力したが、これに限定されず、ログ送信部２４の完全性に異常が無いことを示す監視ログを出力してもよい。

なお、上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したコンピュータプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたコンピュータプログラムを読み出して実行することによって実現されてもよい。

また、上記各実施の形態に係る情報処理装置２，２Ａの機能の一部又は全てを、ＣＰＵ等のプロセッサがコンピュータプログラムを実行することにより実現してもよい。

上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。

本開示は、上記に示す方法であるとしても良い。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムを含むデジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な非一時的な記録媒体、例えばフレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしても良い。また、前記コンピュータプログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記コンピュータプログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。

本開示は、例えば車載ネットワークにおいて各種プログラムの常時完全性検証を実行するための情報処理装置等に適用可能である。

２，２Ａ 情報処理装置
４ 通常領域
６ 堅牢領域
８ ユーザ空間
１０ カーネル空間
１２ 監視ＲｏＴ部
１４ ＨＩＤＳ監視部
１６，１８，２０，２２ ＨＩＤＳ
２４ ログ送信部
２６ バス
２８ ＳＯＣ
３０ ＨＩＤＳ監視部検証部
３２，４６ 監視ログ出力部
３４ 署名生成部
３６ ハートビート信号生成部
３８ ハートビート信号出力部
４０ 停止要求受付部
４２ ＨＩＤＳ検証部
４４ ログ送信部検証部
４８ 停止要求部
５０ 監視ＲｏＴ部起動部

Claims (12)

1. 情報処理装置であって、
   外部装置と通信可能であり、前記情報処理装置において生成された監視ログを前記外部装置に送信する送信部と、
   前記情報処理装置の内部の処理の完全性を検証する第１の監視部と、
   前記第１の監視部の完全性を検証する第２の監視部であって、ハートビート信号を繰り返し前記送信部に出力する第２の監視部と、を備え、
   前記送信部は、前記第２の監視部から前記ハートビート信号が出力される毎に、当該ハートビート信号を前記外部装置に送信し、
   前記第１の監視部は、前記情報処理装置の内部の処理の完全性に異常がある場合に、前記第２の監視部に対して前記ハートビート信号の出力の停止又は不正なハートビート信号の出力を要求するための出力停止要求信号を前記第２の監視部に出力し、
   前記第２の監視部は、前記出力停止要求信号に基づいて、前記ハートビート信号の出力を停止する、又は、前記不正なハートビート信号を出力する
   情報処理装置。
2. 前記情報処理装置は、さらに、
   前記送信部及び前記第１の監視部の各々が実行される第１のプログラム領域と、
   前記第２の監視部が実行される第２のプログラム領域であって、前記第１のプログラム領域よりもセキュリティレベルの高い第２のプログラム領域と、を備える
   請求項１に記載の情報処理装置。
3. 前記第１の監視部は、前記情報処理装置の内部の処理の完全性の検証結果を示す第１の監視ログを出力し、前記情報処理装置の内部の処理の完全性に異常がある場合には、前記第２の監視部に対して前記第１の監視ログへの署名の付与を要求する署名付与要求信号を前記第２の監視部に出力し、
   前記第２の監視部は、前記署名付与要求信号に基づいて、前記第１の監視ログに署名を付与し、
   前記第１の監視部は、前記第２の監視部により署名が付与された前記第１の監視ログを保持する
   請求項１又は２に記載の情報処理装置。
4. 前記第２の監視部は、前記第１の監視部の完全性に異常がある場合に、前記ハートビート信号の出力を停止する、又は、前記不正なハートビート信号を出力する
   請求項１又は２に記載の情報処理装置。
5. 前記第１の監視部は、前記出力停止要求信号を出力した後に、前記第１の監視部が検出した完全性の異常が解消された場合に、前記第２の監視部に対して前記ハートビート信号の出力の再開を要求するための出力再開要求信号を前記第２の監視部に出力し、
   前記第２の監視部は、前記出力再開要求信号に基づいて、前記ハートビート信号の出力を再開する
   請求項１又は２に記載の情報処理装置。
6. 前記情報処理装置は、さらに、前記情報処理装置における異常を検出し、前記情報処理装置における異常の検出結果を示す第２の監視ログを出力する異常検出部を備え、
   前記第１の監視部は、さらに、前記異常検出部の完全性を検証し、
   前記異常検出部は、前記情報処理装置の内部の処理の完全性に異常がある場合に、前記第２の監視ログを保持する
   請求項１又は２に記載の情報処理装置。
7. 前記第１の監視部は、前記送信部の完全性を検証する
   請求項１に記載の情報処理装置。
8. 情報処理装置の制御方法であって、
   前記情報処理装置は、
   外部装置と通信可能であり、前記情報処理装置において生成された監視ログを前記外部装置に送信する送信部と、
   前記情報処理装置の内部の処理の完全性を検証する第１の監視部と、
   前記第１の監視部の完全性を検証する第２の監視部と、を備え、
   前記制御方法は、
   前記第２の監視部が、ハートビート信号を繰り返し前記送信部に出力するステップと、
   前記送信部が、前記第２の監視部から前記ハートビート信号が出力される毎に、当該ハートビート信号を前記外部装置に送信するステップと、
   前記第１の監視部が、前記情報処理装置の内部の処理の完全性に異常がある場合に、前記第２の監視部に対して前記ハートビート信号の出力の停止又は不正なハートビート信号の出力を要求するための出力停止要求信号を前記第２の監視部に出力するステップと、
   前記第２の監視部が、前記出力停止要求信号に基づいて、前記ハートビート信号の出力を停止する、又は、前記不正なハートビート信号を出力するステップと、を含む
   情報処理装置の制御方法。
9. 前記第１の監視部は、前記送信部の完全性を検証する
   請求項８に記載の情報処理装置の制御方法。
10. 請求項８又は９に記載の情報処理装置の制御方法をコンピュータに実行させる
    プログラム。
11. 情報処理装置であって、
    外部装置と通信可能であり、前記情報処理装置において生成された監視ログを前記外部装置に送信する送信部と、
    前記情報処理装置の内部の処理の完全性を検証する第１の監視部と、
    起動される毎に、前記第１の監視部の完全性の検証、及び、前記送信部へのハートビート信号の出力のうち少なくとも一方を実行する第２の監視部と、を備え、
    前記送信部は、前記第２の監視部から前記ハートビート信号が出力される毎に、当該ハートビート信号を前記外部装置に送信し、
    前記第２の監視部は、前記第１の監視部の完全性に異常がある場合に、前記ハートビート信号の出力を停止する、又は、不正なハートビート信号を出力する
    情報処理装置。
12. 前記第１の監視部は、前記送信部の完全性を検証する
    請求項１１に記載の情報処理装置。

Images