JP7495371B2 - 制御装置、不正命令検知方法及びプログラム - Google Patents

Description

本開示は、制御装置、不正命令検知方法及びプログラムに関する。

近年、産業用の電子制御装置を支える組込みシステムでは、制御性能の向上、環境規制の厳格化、及び、装置の自律化に伴う新たな演算処理の追加などにより、高負荷化が進んでいる。

また、自律制御の社会システムへの適用が進んでおり、不特定多数の人間又はデバイスが立ち入るエリアで自走式のロボットのような自律体を稼働させる必要が生じている。このような状況では、自律体への攻撃リスクが高まるという問題がある。このため、自律体への攻撃を事前に防止する、もくしは攻撃を受けた際の影響を抑制する仕組みが必要となる。自律体への攻撃手段としては、自律体を制御するためのプログラムの改竄が知られている。

特許文献１には、プログラムの改竄を検知することが可能な技術が開示されている。この技術では、正規のプログラムの挙動パターンが基本パターンとして記録され、その後、プログラムの実行中に、そのプログラムの挙動が記録される。そして、プログラムの挙動から挙動パターンが確定すると、その挙動パターンと基本パターンとが一致するか否かが確認される。それらのパターンが一致していない場合、プログラムが改竄されたと判断される。

特表２０１７－５０５９４４号公報

しかしながら、特許文献１に記載した技術のようにプログラムの挙動パターンを監視する場合、プログラムの一連の動作が行われた後にプログラムの改竄が検知されるため、改竄されたプログラムが実行されてから改竄の検知までに長い時間がかかるという問題がある。また、挙動パターンを監視するためには、実行中のプログラムの挙動パターンが記録され、その挙動パターンと事前に記録した基本パターンとを読み出して、それらを比較する必要があり、監視に係る負荷が大きいという問題もある。このため、自律制御のような本来の機能に使用できるリソースが減ってしまう。なお、本来の機能の停止中に挙動パターンを比較することも考えられるが、この場合には、改竄を検知するまでにかかる時間がさらに長くなり、異常な動作が発生してから対処するまでに要求される時間を満たすことができない恐れがある。

本発明の目的は、上記課題を鑑みて為されたものであり、負荷を低減させつつ、プログラムの改竄を早期に検知することが可能な制御装置、不正命令検知方法及びプログラムを提供することにある。

本開示の一態様に従う制御装置は、プロセッサと、前記プロセッサで実行される拡張プログラムであって、所定のプログラムに含まれる命令の少なくとも一部である対象命令を拡張命令に変換した拡張プログラムと、前記対象命令を示す不正命令情報とを記憶する主記憶部と、前記プロセッサで実行された命令である実行命令と前記不正命令情報にて示される対象命令とを比較し、当該比較結果に基づいて、前記実行命令が不正な命令か否かを判断する命令監視部と、を有する。

本発明によれば、負荷を低減させつつ、プログラムの改竄を早期に検知することが可能になる。

本開示の実施例１に係る制御装置の構成例を示す図である。 本開示の実施例１に係る回路生成器の構成例を示す図である。 本開示の実施例１に係る命令変換器の構成例を示す図である。 本開示の実施例１に係る不正命令情報の構成例を示す図である。 本開示の実施例１に係る命令監視部の構成例を示す図である。 本開示の実施例１に係る命令比較部の構成例を示す図である。 本開示の実施例１に係る命令比較部の別の構成例を示す図である。 本開示の実施例１に係る命令比較部の別の構成例を示す図である。 本開示の実施例２に係る不正命令情報の構成例を示す図である。 本開示の実施例２に係る命令監視部の構成例を示す図である。 本開示の実施例２に係る命令比較部の構成例を示す図である。 本開示の実施例３に係る回路生成器及び命令変換器の構成例を示す図である。 本開示の実施例４に係る回路生成器及び命令変換器の構成例を示す図である。 本開示の実施例４に係る回路生成器及び命令変換器の別の構成例を示す図である。 本開示の実施例５に係る制御装置の構成例を示す図である。

以下、本開示の実施例について図面を参照して説明する。なお、各実施例の構成において、同一部分又は同様な機能を有する部分には同一の符号を異なる図面間で共通して用い、重複する説明は省略することがある。

<制御装置全体構成>
図１は、本開示の実施例１に係る制御装置の構成例を示す図である。図１に示す制御装置１０１は、主記憶部１０２、ＣＰＵ１０３、命令監視部１０４、出力制御部１０５及び周辺装置１０６を有する。

主記憶部１０２は、メインアプリケーションプログラム（以下では、メインアプリと略す）１０７及び不正命令情報１０８を記憶する。メインアプリ１０７は、所定のプログラムである元アプリケーションプログラム（以下では、元アプリと略す）に含まれる命令の少なくとも一部である対象命令を後述の拡張命令に変換した拡張プログラムである。元アプリ及びメインアプリ１０７は、例えば、自らの状況を把握して動作する自律体のような被制御対象を制御する制御プログラムである。不正命令情報１０８は、メインアプリ１０７の改竄を検知するための情報であり、メインアプリ１０７に含まれる拡張命令の変換前の命令である対象命令を示す情報である。

ＣＰＵ１０３は、主記憶部１０２に記憶されたメインアプリ１０７を読み出し、その読み出したメインアプリ１０７に含まれる各命令を実行して種々の演算を行うプロセッサである。具体的には、ＣＰＵ１０３は、演算に使用するデータを保持するレジスタ、及び、レジスタに保持するデータを用いて演算を実行する演算器などを含む。ＣＰＵ１０３は、主記憶部１０２からメインアプリ１０７の命令を取得し、その命令のビット列を読み解いて、命令に応じたレジスタ及び演算器の選択、及び、演算器の動作を決定して、命令に応じた演算を実行する。

ＣＰＵ１０３は、演算結果を被制御対象のような制御装置１０１の外部に出力する場合、演算結果を出力データとして出力制御部１０５に出力する。また、ＣＰＵ１０３は、実行した命令である実行命令を示す実行命令情報を命令監視部１０４に出力する。

命令監視部１０４は、主記憶部１０２から不正命令情報１０８を取得し、ＣＰＵ１０３から実行命令情報を取得する。命令監視部１０４は、不正命令情報１０８にて示される対象命令と実行命令情報にて示される実行命令とを比較して、実行命令が不正な命令か否かを判断する。具体的には、命令監視部１０４は、実行命令が不正命令情報１０８にて示される対象命令のいずれかと、命令の特徴を表す特徴箇所の値が一致した場合、実行命令が不正な命令であると判断し、プログラムが改竄されていると判断する。

実行命令が不正な命令の場合、命令監視部１０４は、出力制御部１０５に出力停止信号を出力して、ＣＰＵ１０３の出力を停止するとともに、周辺装置１０６に異常通知信号を出力する。

出力制御部１０５は、ＣＰＵ１０３の出力データの外部への出力を制御する。具体的には、出力制御部１０５は、命令監視部１０４から出力停止信号を受信していない場合、ＣＰＵ１０３からの出力データを周辺装置１０６に送信し、出力停止信号を受信した場合、出力データの送信を停止する。

周辺装置１０６は、出力制御部１０５からの出力データ及び命令監視部１０４からの異常通知信号を制御装置１０１の外部へ出力する出力部である。出力データの送信方法は、例えば、無線又は有線ネットワークを経由した通信などである。異常通知信号の送信方法は、ＬＥＤなどの点灯、無線又は有線ネットワークを経由したメッセージ通信、又は、オンオフ信号の出力などである。

<回路生成器構成>
ＣＰＵ１０３は、メインアプリ１０７における拡張命令を実行するための拡張構成を備える。拡張構成は、拡張命令を変換前の対象命令と同等な命令として処理するための構成である。同等な命令は、例えば、同等な結果を出力する命令である。

図２は、拡張構成を備えるＣＰＵ１０３を設計する回路生成器の構成を示す図である。図２に示す回路生成器２０１は、拡張命令生成部２０２と、回路生成部２０３とを有する。

拡張命令生成部２０２には、拡張命令に変換する対象命令を示す対象命令情報が入力される。拡張命令生成部２０２は、対象命令情報にて示される対象命令を拡張命令に変換して回路生成部２０３に通知する。拡張命令は、対象命令における演算方法（具体的には、演算器及び演算器の動作）を指定するビットを拡張命令用の値に差し替えた命令である。このため、拡張命令のレジスタ、アドレス及び即値を指定するビットは元の対象命令のビットを継承している。なお、差し替えるビットは、命令の種類ごとに異なる。また、演算方法を指定するビットが、上述した命令の特徴を表す特徴箇所となる。

回路生成部２０３は、拡張命令生成部２０２から通知された拡張命令を対象命令と同等な命令として処理する拡張構成を備えるＣＰＵを設計する。具体的には、回路生成部２０３は、拡張命令の種類に応じて、拡張命令にて指定された演算方法に従った処理を実行する拡張構成を有するＣＰＵを設計し、その設計情報を出力する。この設計情報に従って生成されたＣＰＵがＣＰＵ１０３として制御装置１０１に搭載される。

本実施例では、回路生成部２０３は、拡張命令を実行する必要のない既存のＣＰＵの設計情報を拡張命令に応じて組み替えることで、拡張機能を有するＣＰＵの設計情報を生成する。この場合、設計情報の主な組み換え箇所は、各演算器の制御信号を出力する回路の箇所となる。なお、既存のＣＰＵの設計情報は、回路生成器２０１内に予め格納されていてもよいし、外部から入力されてもよい。また、回路生成部２０３は、専用のハードウェアで実現されてもよいし、パーソナルコンピュータなどのコンピュータにおいてソフトウェアにて実現されてもよい。

なお、対象命令の数が多くなるほど、ＣＰＵ１０３の本来の機能（例えば、被制御対象を制御する機能）で使用可能な拡張命令の種類が減るため、対象命令の数は、元アプリの命令数及び他の制約事項に応じて適宜設定されることが望ましい。

<命令変換器構成>
図３は、メインアプリ１０８を生成する命令変換器の構成例を示す図である。図３に示す命令変換器３０２には、元アプリに含まれる命令の集合である命令群３０１が入力される。また、命令変換器３０２は、変換対象管理部３０３及び命令変換部３０４を有する。

変換対象管理部３０３は、外部からの指示により指定された命令を対象命令として決定し、その対象命令に対応する拡張命令を生成する。拡張命令の生成方法は、拡張命令生成部２０２による生成方法と同様である。変換対象管理部３０３は、対象命令及び拡張命令を命令変換部３０４に通知する。また、変換対象管理部３０３は、対象命令を示す情報を不正命令情報１０８として出力して図１の制御装置１０１の主記憶部１０２に格納する。これにより、不正命令情報１０８が示す対象命令と同じ命令がＣＰＵ１０３にて実行された場合、その実行された実行命令が拡張命令ではないため、実行命令が不正な命令と判断することが可能となる。

変換対象管理部３０３から通知された対象命令が命令群３０１に含まれる場合、命令変換部３０４は、命令群３０１に含まれる対象命令を変換対象管理部３０３から通知された拡張命令に差し替える。命令変換部３０４は、対象命令を拡張命令に差し替えた命令群３０１をメインアプリ１０７として出力して、図１の制御装置１０１の主記憶部１０２に格納する。なお、命令変換器３０２は、専用のハードウェアで実現されてもよいし、パーソナルコンピュータなどのコンピュータにおいてソフトウェアにて実現されてもよい。

図４は、不正命令情報１０８の構成例を示す図である。図４に示す不正命令情報１０８は、対象命令を特定するためのインデックス（index）ごとに、対象命令（Instruction）１０８ａが示されている。対象命令１０８ａは、図４の例では、３２ビットのデータである。不正命令情報１０８では、対象命令１０８ａのビットの値のうち、特徴箇所（演算方法を指定するビット）以外の値は不定値（図４では、「ｘ」）で示されてもよいが、特徴箇所は「０」又は「１」の実際の値が示される。

例えば、一つ目の命令（インデックス＝１）は、３１ビット目から２５ビット目、１４ビット目から１２ビット目、６ビット目から０ビット目のそれぞれが演算方法を指定している。これらの値の全てで実行命令と一致した場合、実行命令が不正な命令と判断される。なお、演算方法を指定するビットは、命令の種類に応じて異なっており、例えば、３つ目の命令（インデックス＝３）は、６ビット目から０ビット目の値で演算方法を指定している。なお、図４で示したビットの配置は、単なる一例であり、適用する命令セットアーキテクチャなどに合わせて、演算方法を指定するビットは変更される。

<命令監視部>
図５は、図１に示した命令監視部１０４の構成例を示す図である。図５に示す命令監視部１０４は、命令比較部５０１～５０３と、ＯＲ回路５０４とを有する。命令比較部は、拡張命令の種類ごとに設けられる。図５の例では、図４のインデックスが１から３の対象命令を拡張命令に変換した場合における命令監視部１０４を示している。このため、命令比較部は、図５では、３つあるとしているが、実際には、３つに限るものではなく、拡張命令の種類に応じて増減される。

各命令比較部５０１～５０３には、それぞれ異なる不正命令情報１～３が入力されて保持される。ここでは、不正命令情報１～３は、それぞれインデックスが１から３の対象命令を示す。また、各命令比較部５０１～５０３には、ＣＰＵ１０３から実行命令情報が入力される。

各命令比較部５０１～５０３は、実行命令情報にて示される実行命令と保持している不正命令情報にて示される対象命令とを比較して、それらの特徴箇所の値が全て同じか否かを判断する。各命令比較部５０１～５０３は、特徴箇所の値が全て同じ場合、実行命令が不正な命令であると判断する。発行命令が不正な命令の場合、各命令比較部５０１～５０３は、異常を検知した旨の異常検知信号として、値が「１」のHレベル信号をＯＲ回路５０４に出力する。

ＯＲ回路５０４は、各命令比較部５０１～５０３の少なくとも１つから異常検知信号が出力されると、その異常検知信号を異常通知信号及び出力停止信号として命令監視部１０４及び出力制御部１０５に出力する。

<命令比較部>
図６～図８は、図５の命令比較部５０１～５０３の構成例を示す図である。

図６は、命令比較部５０１の構成例を示す。命令比較部５０１は、図４のインデックスが１の不正命令情報１に対応する命令比較部であり、実行命令及び対象命令における互いに異なる箇所のビットを比較する比較器である６ｂｉｔ比較部６０２、３ｂｉｔ比較部６０３及び７ｂｉｔ比較部６０４と、ＡＮＤ回路６０５とを有する。

６ｂｉｔ比較部６０２は、不正命令情報１０８が示す対象命令の３１ビット目から２５ビット目までと、実行命令情報が示す実行命令の３１ビット目から２５ビット目までを比較し、それらの値が全て一致した場合、異常通知信号をＡＮＤ回路６０５に出力する。３ｂｉｔ比較部６０３は、対象命令の１４ビット目から１２ビット目までと、実行命令の１４ビット目から１２ビット目までを比較し、それらの値が全て一致した場合、異常通知信号をＡＮＤ回路６０５に出力する。７ｂｉｔ比較部６０４は、不正命令の６ビット目から０ビット目までと、実行命令情報の６ビット目から０ビット目までを比較し、それらの値が全て一致した場合、異常通知信号をＡＮＤ回路６０５に出力する。

ＡＮＤ回路６０５は、比較部（６ｂｉｔ比較部６０２、３ｂｉｔ比較部６０３及び７ｂｉｔ比較部６０４）の全てから異常検知信号が出力された場合、比較結果として異常検知信号を出力する。

図７は、命令比較部５０２の構成例を示す。命令比較部５０２は、図４のインデックスが２の不正命令情報２に対応する命令比較部であり、図６に示した命令比較部５０１から６ｂｉｔ比較部６０２を除いた構成を有する。このため、命令比較部５０２は、対象命令及び実行命令の１４ビット目から１２ビット目までが一致し、かつ、対象命令及び実行命令の６ビット目から０ビット目までが一致した場合に、異常通知信号を出力する。

図８は、命令比較部５０３の構成例を示す。命令比較部５０３は、図４のインデックスが３の不正命令情報に対応する命令比較部であり、図７に示した命令比較部５０２から７ｂｉｔ比較部６０３及びＡＮＤ回路６０５を除いた構成を有する。このため、命令比較部５０３は、対象命令及び実行命令の６ビット目から０ビット目までが一致した場合に、異常通知信号を出力する。

<実施例の効果>
以上説明したように本実施例によれば、主記憶部１０２は、メインアプリ１０７と不正命令情報１０８とを記憶する。メインアプリ１０７は、所定のプログラムに含まれる命令の少なくとも一部である対象命令を拡張命令に変換した拡張プログラムである。不正命令情報１０８は、対象命令を示す。命令監視部１０４は、ＣＰＵ１０３で実行された命令である実行命令と不正命令情報１０８にて示される対象命令とを比較し、当該比較結果に基づいて、実行命令が不正な命令か否かを判断する。

上記構成を有することにより、プログラムの実行時に、命令単位でプログラムの改竄を監視することが可能となる。このため、行動パターンの記録、読み出し、及び、比較などを行う必要がないため、監視処理に係る負荷を低減させることが可能となる。また、行動パターンが確定することを待たなくても、プログラムの改竄を検知することが可能になるため、改竄を検知するまでにかかる時間を短縮することが可能になる。したがって、負荷を低減させつつ、プログラムの改竄を早期に検知することが可能になる。

また、本実施例では、ＣＰＵ１０３は、拡張命令を対象命令と同等な命令として処理する拡張構成を備える。このため、拡張プログラムを元のプログラムと同等に扱うことが可能になる。

また、本実施例では、プロセッサは、拡張命令に応じて設計される。このため、拡張命令として使用することが可能な命令に対する制約を軽減することが可能になる。

また、本実施例では、命令監視部１０４は、実行命令及び前記対象命令における、対象命令と拡張命令とで値が異なる特徴箇所のビットを比較する比較器６０２～６０４を備える。このため、拡張命令に合わせた命令監視部１０４を構成することが可能になるため、監視処理の負荷を低減することが可能になる。

本実施例では、命令監視部１０４の構成が実施例１とは異なる。具体的には、命令監視部１０４は、共通の構成を有する複数の命令比較部を備え、対象命令の種類に応じて、対象命令及び実行命令の比較する箇所を変更する。このため、不正命令情報１０８は、対象命令の種類を含む。

図９は、命令の種類を含む不正命令情報１０８の構成例を示す図である。図９に示す不正命令情報１０８は、インデックスごとに、対象命令１０８ａと、対象命令１０８ａの種類（Type）１０８ｂとが示されている。対象命令１０８ａは、図４に示した対象命令１０８ａと同等である。

図１０は、本実施例の命令監視部１０４の構成例を示す図である。図１０に示す命令監視部１０４は、１つ又は複数の命令比較部１００１と、ＯＲ回路５０４とを有する。命令比較部１００１が複数ある場合、それらの構成は共通である。図１０の例では、図９のインデックスが１から３の対象命令を拡張命令に変換した場合における命令監視部１０４を示している。このため、命令比較部１００１は、図１０では、３つあるとしているが、実際には、３つに限るものではなく、拡張命令の種類に応じて増減される。

各命令比較部１００１には、それぞれ異なる不正命令情報１～３が入力されて保持される。また、各命令比較部１００１には、ＣＰＵ１０３からの実行命令情報が入力される。

各命令比較部１００１は、実行命令情報にて示される実行命令と保持している不正命令情報にて示される対象命令とを比較して、それらの特徴箇所の値が全て同じか否かを判断する。各命令比較部１００１は、特徴箇所の値が全て同じ場合、実行命令が不正な命令であると判断する。発行命令が不正な命令の場合、各命令比較部１００１は、異常を検知した旨の異常検知信号として、値が「１」のHレベル信号をＯＲ回路５０４に出力する。

<命令比較部>
図１１は、命令比較部１００１の構成例を示す図である。図１１に示す命令比較部１００１は、図６に示した命令比較部５０１の構成に加えて、さらに比較箇所選択部１１０１と、複数のＯＲ回路１１０２とを有する。ＯＲ回路１１０２は、６ｂｉｔ比較部６０２、３ｂｉｔ比較部６０３及び７ｂｉｔ比較部６０４のそれぞれと対応して設けられ、その対応する比較部の出力端子と接続される。したがって、ＯＲ回路１１０２は、図１１の例では、３つある。

比較箇所選択部１１０１には、不正命令情報１０８の種類１０８ｂが入力される。比較箇所選択部１１０１は、命令の種類１０８ｂに応じて、６ｂｉｔ比較部６０２、３ｂｉｔ比較部６０３及び７ｂｉｔ比較部６０４のいずれを、実行命令が不正命令か否かを判断するために使用する使用比較器として決定する。比較箇所選択部１１０１は、使用比較器を選択するための選択信号として、使用比較部に対応するＯＲ回路１１０２には、値が「０」のLレベル信号を出力し、使用比較器ではない比較器に対応するＯＲ回路１１０２には、値が「１」のHレベル信号を出力する。

これにより、使用比較器ではない比較器に対応するＯＲ回路１１０２からは常にHレベル信号が出力され、使用比較器に対応するＯＲ回路１１０２からは使用比較器から異常検知信号（Ｈレベル信号）が出力された場合にＨレベル信号が出力される。したがって、ＡＮＤ回路６０５からは、使用比較器から異常検知信号が出力された場合に、その異常検知信号が比較結果として出力される。

<実施例の効果>
以上説明したように本実施例によれば、対象命令の種類に応じて、実行命令が不正な命令か否かを判断するために用いる比較器が選択される。このため、対象命令の種類に応じて命令監視部１０４の構成を変更する必要がないため、メインアプリ１０７などが変更されても命令監視部１０４の構成を変更する必要がない。したがって、メインアプリの更新や差し替え速度を維持しつつ、プログラムの改竄を早期に検知することが可能になる。

本実施例では、対象命令情報に応じて拡張命令及びＣＰＵを設計する例を説明する。

図１２は、本実施例の回路生成器２０１及び命令変換器３０２の構成を示す図である。本実施例では、図１２に示すように回路生成器２０１及び命令変換器３０２は互いに通信可能に接続される。

命令変換器３０２の変換対象管理部３０３は、対象命令を示す対象命令情報を保持し、その対象命令情報を、命令変換部３０４を介して回路生成器２０１の拡張命令生成部２０２に送信すると共に、その対象命令情報を不正命令情報１０８として出力する。

拡張命令生成部２０２は、対象命令情報に基づいて拡張命令を生成する。回路生成部２０３は、拡張命令に基づいて、拡張命令を対象命令と同等な命令として処理する拡張構成を備えるＣＰＵを設計し、その設計情報を出力する。

また、拡張命令生成部２０２は、拡張命令と対象命令とを示す命令変換情報を命令変換部３０４に通知する。命令変換部３０４は、命令変換情報にて示される対象命令が命令群３０１に含まれる場合、命令群３０１に含まれる対象命令を命令変換情報にて示される拡張命令に差し替える。命令変換部３０４は、対象命令を拡張命令に差し替えた命令群３０１をメインアプリ１０７として出力する。

<実施例の効果>
以上説明したように本実施例によれば、対象命令に基づいて拡張命令が生成され、その拡張命令に基づいてＣＰＵ１０３が設計される。このため、プログラムの改竄を監視する拡張命令を適宜設定することが可能になるため、使用する所定プログラム又は監視の対象となるマルウェアなどの傾向に応じた適切な拡張命令を設定することが可能になる。

本実施例では、メインアプリ１０７による命令傾向に応じて変換対象の命令を判定する。

図１３は、本実施例の回路生成器２０１及び命令変換器３０２の構成例を示す図である。図１３に示す構成は、図１２に示した構成と比較して、命令変換器３０２が変換対象判定部１３０１をさらに有する点で異なる。

変換対象判定部１３０１には、命令群３０１が入力される。変換対象判定部１３０１は、予め定められた判定条件に従って、命令群３０１の中から対象命令を判定する。判定条件は、例えば、命令群３０１に含まれる各命令の元アプリで使用される使用頻度に関する条件である。より具体的には、判定条件は、使用頻度が閾値以上の命令、又は、使用頻度が高い方から所定個の命令などである。使用頻度は、元アプリのソースコード内の出現頻度でもよいし、元アプリをパーソナルコンピュータ又は実際の制御装置１０１で実行させた時に実行頻度でもよい。なお、判定条件は、使用頻度に関する条件に限らず、予め定められた優先順位に応じた命令などでもよい。

変換対象判定部１３０１は、判定条件に適合した命令を対象命令と判定し、その対象命令を示す対象命令情報を拡張命令生成部２０２及び変換対象管理部３０３に出力する。

拡張命令生成部２０２は、変換対象判定部１３０１からの対象命令情報に基づいて拡張命令を生成し、拡張命令を示す拡張命令情報を命令変換部３０４に出力する。

また、変換対象管理部３０３は、変換対象判定部１３０１からの対象命令情報を命令変換部３０４に出力すると共に、その対象命令情報を不正命令情報１０８として出力する。命令変換部３０４は、対象変換情報にて示される対象命令が命令群３０１に含まれる場合、命令群３０１に含まれる対象命令を拡張命令情報にて示される拡張命令に差し替える。命令変換部３０４は、対象命令を拡張命令に差し替えた命令群３０１をメインアプリ１０７として出力する。他の処理は、実施例３と同様である。

図１４は、本実施例の回路生成器２０１及び命令変換器３０２の別の構成例を示す図である。図１４の例では、変換対象判定部１３０１にて判定された対象命令に加えて、変換対象管理部３０３が予め保持する対象命令情報にて示される対象命令を拡張命令に変換する。

具体的には、変換対象判定部１３０１は、判定条件に適合した命令を対象命令と判定し、その対象命令を示す第１の対象命令情報を拡張命令生成部２０２及び変換対象管理部３０３に出力する。

変換対象管理部３０３は、対象命令を示す第２の対象命令情報を保持し、その第２の対象命令情報と、変換対象判定部１３０１からの第１の対象命令情報を、命令変換部３０４を介して回路生成器２０１の拡張命令生成部２０２に送信すると共に、不正命令情報１０８として出力する。

拡張命令生成部２０２は、変換対象判定部１３０１からの第１の対象命令情報と、変換対象管理部３０３からの第２の対象命令情報とに基づいて拡張命令を生成し、拡張命令と第１の対象命令情報及び第２の対象命令情報にて示される対象命令とを示す命令変換情報を命令変換部３０４に通知する。命令変換部３０４は、命令変換情報にて示される対象命令が命令群３０１に含まれる場合、命令群３０１に含まれる対象命令を命令変換情報にて示される拡張命令に差し替える。命令変換部３０４は、対象命令を拡張命令に差し替えた命令群３０１をメインアプリ１０７として出力する。他の処理は、実施例３と同様である。

<実施例の効果>
以上説明したように本実施例によれば、対象命令は、元アプリの命令群３０１に含まれる命令のうち、予め定められた判定条件に適合した命令を含む。このため、適切な対象命令を選択することが可能になる。特に本実施例では、判定条件は、命令の使用頻度に関するため、不正な命令を早期に検知するのに適切な対象命令を選択すること可能になる。

本実施例では、ＣＰＵ１０３の内部に命令監視部１０４を設ける例を説明する。

図１５は、本開示の実施例５に係る制御装置の構成例を示す図である。図１５の例では、ＣＰＵ１０３は、フェッチ部１５０１、デコード部１５０２及び演算部１５０３を有する。

フェッチ部１５０１は、メインアプリ１０７の命令を実行命令として取得する。デコード部１５０２は、フェッチ部１５０１にて取得された命令の動作を解釈する。演算部１５０３は、デコード部１５０２にて解釈された動作に従って処理を実行する。

デコード部１５０２は、具体的には、制御部１５０５と、レジスタ１５０４、命令監視部１０４及び出力制御部１０５を有する。制御部１５０５は、フェッチ部１５０１にて取得された実行命令の動作を解釈する。例えば、制御部１５０５は、実行命令に従って動作させる演算器と、その演算器の動作を決定する。レジスタ１５０４は、フェッチ部１５０１にて取得された実行命令による処理にて使用するレジスタに保持されている値を出力する。命令監視部１０４は、実行命令と不正命令情報１０８にて示される対象命令とを比較して、実行命令が不正な命令の場合、出力制御部１０５へ出力停止信号を入力する。出力制御部１０５は、演算部１５０３に出力する信号の値をクリアすることで、不正な命令による演算部１５０３による演算及び出力を停止する。

<実施例の効果>
以上説明したように本実施例では、ＣＰＵ１０３の内部で不正な命令の監視を行うことが可能になるため、演算部１５０３の動作を停止することが可能になる。したがって、不正な命令による演算が行われることを抑制することが可能になり、消費電力の削減が可能となる。また、ＣＰＵ１０３の外部に信号を出力しなくても不正な命令の監視を行うことが可能になるため、情報の伝送遅延を抑制することが可能となり、制御装置１０１の周波数低下を抑制することが可能になる。

上述した本開示の実施形態は、本開示の説明のための例示であり、本開示の範囲をそれらの実施形態にのみ限定する趣旨ではない。当業者は、本開示の範囲を逸脱することなしに、他の様々な態様で本開示を実施することができる。

１０１：制御装置 １０２：主記憶部 １０３：ＣＰＵ １０４：命令監視部 １０５：出力制御部 １０６：周辺装置 １０７：メインアプリケーションプログラム １０８：不正命令情報 ２０１：回路生成器 ２０１：回路生成部 ２０２：拡張命令生成部 ２０３：回路生成部 ３０１：命令群 ３０２：命令変換器 ３０３：変換対象管理部 ３０４：命令変換部 ５０１～５０３：命令比較部 ５０４：ＯＲ回路 ６０２：６ｂｉｔ比較部 ６０３：３ｂｉｔ比較部 ６０４：７ｂｉｔ比較部 ６０５：ＡＮＤ回路 １００１：命令比較部 １１０１：比較箇所選択部 １１０２：ＯＲ回路 １３０１：変換対象判定部 １５０１：フェッチ部 １５０２：デコード部 １５０３：演算部 １５０４：レジスタ １５０５：制御部

Claims (12)

1. プロセッサと、
   前記プロセッサで実行される拡張プログラムであって、所定のプログラムに含まれる命令の少なくとも一部である対象命令を拡張命令に変換した拡張プログラムと、前記対象命令を示す不正命令情報とを記憶する主記憶部と、
   前記プロセッサで実行された命令である実行命令と前記不正命令情報にて示される対象命令とを比較し、当該比較結果に基づいて、前記実行命令が不正な命令か否かを判断する命令監視部と、を有する制御装置。
2. 前記プロセッサは、前記拡張命令を前記対象命令と同等な命令として処理する拡張構成を備える、請求項１に記載の制御装置。
3. 前記拡張命令は、前記対象命令に基づいて作成され、
   前記プロセッサは、前記拡張命令に基づいて設計される、請求項２に記載の制御装置。
4. 前記対象命令は、前記所定のプログラムに含まれる命令のうち、予め定められた判定条件に適合した命令を含む、請求項１に記載の制御装置。
5. 前記判定条件は、各命令の前記所定のプログラムで使用される頻度に関する条件を含む、請求項４に記載の制御装置。
6. 前記命令監視部は、前記実行命令及び前記対象命令における、前記対象命令と前記拡張命令とで値が異なる特徴箇所のビットを比較する比較器を備える命令比較部を有する、請求項１に記載の制御装置。
7. 前記命令監視部は、
   前記実行命令及び前記対象命令における互いに異なる箇所のビットを比較する複数の比較器と、
   前記対象命令の種類に応じて、前記複数の比較器から前記実行命令が不正な命令か否かを判断するために用いる比較器を選択する選択部と、を有する、請求項１に記載の制御装置。
8. 前記命令監視部は、前記プロセッサの内部に設けられる、請求項１に記載の制御装置。
9. 前記命令監視部は、前記実行命令が不正な命令である場合、前記プロセッサの出力を停止する、請求項１に記載の制御装置。
10. 前記拡張プログラムは、自律体を制御するためのプログラムである、請求項１に記載の制御装置。
11. プロセッサと、前記プロセッサで実行される拡張プログラムであって、所定のプログラムに含まれる命令の少なくとも一部である対象命令を拡張命令に変換した拡張プログラムと、前記対象命令を示す不正命令情報とを記憶する主記憶部とを有する制御装置による不正命令検知方法であって、
    前記プロセッサで実行された命令である実行命令を示す実行命令情報と前記不正命令情報とを比較し、当該比較結果に基づいて、前記実行命令が不正な命令か否かを判断する、不正命令検知方法。
12. プロセッサと、前記プロセッサで実行される拡張プログラムであって、所定のプログラムに含まれる命令の少なくとも一部である対象命令を拡張命令に変換した拡張プログラムと、前記対象命令を示す不正命令情報とを記憶する主記憶部とを有する制御装置に、
    前記プロセッサで実行された命令である実行命令を示す実行命令情報と前記不正命令情報とを比較し、当該比較結果に基づいて、前記実行命令が不正な命令か否かを判断する手順を実行させるためのプログラム。
    
    

Images