情報処理装置、及びシステム監視方法、並びにシステム監視方法をコンピュータに実行させるためのプログラム
【課題】監視される側のシステムだけでなく監視する側のシステムも保護することで、重要なシステムを監視し保護するためのシステムが悪意（不正意思）のあるユーザに攻撃される脆弱性に対処する。
【解決手段】２つ以上のシステムを利用してシステムの終了を相互に監視し、システムの終了を検知すると、終了していない方のシステムが終了したシステムを再起動させることで、監視される対象のシステムだけでなく、監視する側のシステムの起動も保障し、更に、システムを再起動させる際に、システム全体をセキュリティ強化したモードに変更することで、悪意のあるユーザからシステム全体を保護する。
【解決手段】２つ以上のシステムを利用してシステムの終了を相互に監視し、システムの終了を検知すると、終了していない方のシステムが終了したシステムを再起動させることで、監視される対象のシステムだけでなく、監視する側のシステムの起動も保障し、更に、システムを再起動させる際に、システム全体をセキュリティ強化したモードに変更することで、悪意のあるユーザからシステム全体を保護する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、及びシステム監視方法、並びにシステム監視方法をコンピュータに実行させるためのプログラムに関し、システムのセキュリティを向上させるためのものである。
【背景技術】
【０００２】
ソフトウェア製品の多くは、悪意（不正意思）のあるユーザから自らのソフトウェアを保護するために様々な対策を施している。例えば、ソフトウェアに欠かせないファイルが削除されないよう、ファイルを監視するシステムを構築したり、ソフトウェア製品が機能する上で重要なレジストリ値を変更されないよう、レジストリの変更を検知して変更を阻止したり、必要なプロセス、スレッド、イベント、サービス等の終了を監視して、終了したプロセス等を再起動させたりするシステムを構築したりしている。
【０００３】
また、セキュリティ製品においては、ログインユーザの違い等の状況に応じてセキュリティの強度を変化させる機能を持たせている製品も多い。
【０００４】
図８は、上記で述べたソフトウェア製品の従来のソフトウェア保護システムの概略構成図の一例である。このソフトウェア保護システムは、本システムを構成する各種ＰＣ制御システムの終了を監視して保護する監視システム８０１、本システム内の各種ＰＣ制御システムの制御の度合いを決める役割を果たしているセキュリティポリシー８０２、ＰＣ制御システム８０３、ＰＣ制御システムにより制御される対象となるＰＣ等の装置８０４から構成されている。
【０００５】
このような構成のソフトウェアシステムにおいては、ＰＣ制御システム８０３がセキュリティポリシー８０２に応じてＰＣ等の装置８０４を制御し、ソフトウェアシステムの機能を実現している。これらの機能を実現させているＰＣ制御システム８０３を保護するために、監視システム８０１がファイルを監視したり、必要なプロセス、スレッド、イベント、サービス等の終了を監視して、終了したプロセス等を再起動させたりする。なお、本発明に関連する公知技術文献としては下記の特許文献１がある。
【特許文献１】特開平９−３０５４４０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記システムにより、監視される対象の保護については考慮され保障されても、監視する側のシステムが終了されないようにする手段がとられていなかった場合、監視する側のプロセスが悪意（不正意思）のあるユーザによって監視システム８０１が特定されて不正終了されてしまうと、重要なシステムを監視して保護することができなくなってしまう。
【０００７】
実際、この脆弱性は十分に存在し得る。特許文献１においても、プロセスの異常終了を検知する側のシステムは全く保護されていないため、悪意（不正意思）のあるユーザが、異常終了を検知するデバイスドライバと関連するレジストリ値を削除してＯＳを再起動してしまえば、プロセスを再起動させる機能が消滅してしまう。
【０００８】
本発明はこのような状況に鑑みてなされたものであり、コンピュータ端末装置等の情報処理装置における重要なシステムが悪意（不正意思）のあるユーザによって攻撃されることから保護し、システムの脆弱性に対処するものである。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明では、監視される側のシステムだけでなく監視する側のシステムも保護するようにしている。つまり、本発明は、システムの終了を相互に監視し、システムの終了を検知すると、終了していない方のシステムが終了したシステムを再起動させて、監視される対象のシステムだけでなく、監視する側のシステムの起動も保障することで、悪意（不正意思）のあるユーザに監視機能を停止させられるという脅威に対処する相互監視機能と、監視対象のシステムを再起動させる際に、本システム内の各種ＰＣ制御システムの制御の度合いを決める役割を果たしているセキュリティポリシーの設定を、各システムがセキュリティ的に厳しい制御をするように変更することで、本システム全体のセキュリティを強化させるようにする、セキュリティ強化機能を設けたものである。
【００１０】
より特定的には、本発明による情報処理装置は、装置内に含まれる監視対象のシステムの終了を監視するための少なくとも２つの監視部を備え、少なくとも２つの監視部は相互に監視し、何れか１つの監視部が終了した場合には他の監視部がその終了が正常終了か否か判断することを特徴とする。そして、監視対象のシステムが終了した場合、少なくとも２つの監視部の１つがその終了した監視対象のシステムを再起動させる。また、何れか１つの監視部が終了した場合、他の監視部がその終了した監視部を再起動させる。
【００１１】
さらに、監視部は、監視対象のシステムを再起動させる際に、情報処理装置内の各種ＰＣ制御システムの制御の度合いを決める役割を果たしているセキュリティポリシーの設定を、厳しいセキュリティレベルに変更する。
【００１２】
監視部の終了が正常であるか否かは、他の監視部が監視終了通知を検知することによって判断する。
【００１３】
本発明による別の情報処理装置は、第１の監視部と、第２の監視部と、監視対象の制御システムと、制御システムのセキュリティレベルを示すセキュリティポリシーを管理するセキュリティ管理部と、を備え、第１の監視部は、第２の監視部と監視対象の制御システムを含むシステム全体の終了を監視し、第２の監視部は、第１の監視部の終了を監視し、第１及び第２の監視部のうち何れか１つの監視部が終了した場合には他の監視部がその終了が正常終了か否か判断する。
【００１４】
さらに、本発明は、上記情報処理装置を監視するシステム監視方法及びそれをコンピュータに実行させるプログラムをも提供するものである。
【００１５】
さらなる本発明の特徴は、以下本発明を実施するための最良の形態および添付図面によって明らかになるものである。
【発明の効果】
【００１６】
本発明によれば、たとえ監視元のシステムが終了しても再起動することができるので、監視対象の監視を継続できるため、悪意（不正意思）のあるユーザによるプロセス等の強制終了をより強固に防ぐことができる。
【００１７】
また、本発明によれば、システムを再起動させる際に、各システムがセキュリティ的に厳しい制御をするように変更することで、一度攻撃を受けた場合にソフトウェアのシステムの保護を強化し、悪意（不正意思）のあるユーザからシステム全体を保護することができる。
【発明を実施するための最良の形態】
【００１８】
以下、添付図面を参照して本発明の実施形態について詳細に説明する。ただし、本実施形態は本発明を実現するための一例に過ぎず、本発明を限定するものではないことに注意すべきである。
【００１９】
図１は、本発明の一実施形態例を示すシステム構成図である。この実施形態によるサーバ／クライアント管理システムは、セキュリティポリシー３（セキュリティレベルを規定する情報であって、例えば、印刷を許可する／しないを示す情報やある特定のプリンタでなければ印刷できないことを示す情報）を基にクライアントＰＣ６を制御するシステムを構築しているソフトウェアで構成される。そして、そのシステムを保護するために、ＰＣ制御システム４を監視する全体監視システム１と、全体監視システムのみを監視する全体監視の監視システム２により相互にシステムを監視するシステムがクライアントＰＣに実装されている。つまり、全体監視システム１はクライアントＰＣ全体（全体監視の監視システム２も含む）を監視し、全体監視の監視システム２は全体監視システム１のみを監視している。なお、セキュリティポリシー３に関しては、クライアントＰＣ毎に決定しても良いし、１つのクライアントＰＣを複数のユーザで共有する場合には、パスワードで各ユーザを管理して各ユーザのログインをサーバ５に通知し、ユーザ毎にセキュリティポリシー３を設定するようにしても良い。後者によれば、セキュリティレベルをユーザ毎に可変とすることができる。
【００２０】
また、監視対象のシステム（ＰＣ制御システム４）が終了した場合（＝クライアントＰＣの電源ＯＦＦ以外の終了が異常事態として検知される）は、セキュリティポリシー３を、ＰＣ制御システム４がセキュリティ的に厳しい制御をするよう設定変更し、監視対象のシステムを再度生成する。セキュリティポリシー３はサーバ５からも更新されるが、監視システムがセキュリティ的に厳しい制御をするよう設定変更を加えた場合、監視システムの設定したセキュリティ制御を優先させる。つまり、一旦上げたセキュリティレベルは、たとえクライアントＰＣのユーザに変更があってサーバ５からセキュリティレベルを低く設定しようとしても維持される。例えば、ユーザＡがクライアントＰＣを使用しているときに異常状態発生によりセキュリティレベルが上がってユーザＡがログアウトし、次にユーザＢ（ユーザ固有のセキュリティレベルは低く設定されている）がログインしたとしても、一旦上げられたそのセキュリティレベルは維持されるのである。
【００２１】
図２は、相互監視システムの内部構成を示した図である。クライアントＰＣ内の全体監視システム１と全体監視の監視システム２は監視対象のシステムに関するデータを格納する管理テーブル１１及び１２を内部的に保持していて、管理テーブル１１及び１２にあらかじめ監視対象名等を登録しておく。全体監視システム１は全体監視の監視システム２を含めシステム全体を監視し、全体監視の監視システム２は全体監視システム１のみを監視する。全体監視システム１と全体監視の監視システム２は、管理テーブル１１及び１２に登録されている監視対象は異なるものの、管理テーブル１１及び１２に登録されたシステムが終了した場合、セキュリティポリシー２をＰＣ制御システム２がセキュリティ的に厳しい制御をするよう設定変更すると共に、終了したシステムを再起動させるという同じ機能を持つシステムである。
【００２２】
図３は、全体監視システム１の管理テーブル１１の概略である。全体監視システム１は、監視対象名１１１と監視対象識別情報を取得する関数１１３をあらかじめ保持していて、関数１１３を呼ぶと戻り値として監視対象識別情報１１２を取得し、それを順次管理テーブル１１１の監視対象識別情報１１２の欄に格納していく。戻り値がない（監視対象システムが起動していないことを示す）と何度かリトライし、それでもなお戻り値が無ければセキュリティレベルを上げることができる。
【００２３】
そして、全体監視システム１は、取得した監視対象識別情報１１２を利用して、監視対象のシステムの終了を監視する。つまり、クライアントＰＣの図示しないＯＳ（オペレーションシステム）は、各監視対象識別情報１１２に対応したシステムが終了したことを管理し、終了したものがあると終了を全体監視システム１に通知するようにしているので、全体監視システム１がこの終了通知を受け取ることにより監視対象のシステムの終了を監視することができるようになっている。なお、監視対象識別情報を取得する関数には、監視対象が存在しなかったときに監視対象を再起動させる機能を持たせ、監視対象の終了を検知すると監視対象識別情報を取得する関数１１３を呼び出して、監視対象を再起動させると共に監視対象識別情報１１２を取得する。
【００２４】
また、管理テーブル１１には監視終了通知システム１１４も登録される。全体監視システム１が監視終了通知システム１１４を検知した場合には、システムの監視を終了することで、ソフトウェアのアンインストールなど相互監視システムを正当に終了させなければならないときに監視を終了する方法を実装しておく。この方法で監視システムを終了するのであれば、悪意（不正意思）のあるユーザが監視終了通知システムを作り出して監視システムを強制終了させることは難しく、セキュリティ的にもかなり安全である。
【００２５】
図４は、全体監視システムを監視するシステム２の管理テーブル２１の概略である。全体監視システムの管理テーブル１１と同様、監視対象名２１１と監視対象識別情報を取得する関数２１３は、全体監視システムを監視するシステム２があらかじめ保持していて、それらの情報を基に、監視対象識別情報２１２を取得して管理テーブル２１に格納する。監視対象識別情報２１２の取得の方法は、監視対象識別情報１１２と同様である。そして、取得した監視対象識別情報２１２を利用して、監視対象のシステムの終了を検知する。
【００２６】
全体監視の監視システムの管理テーブル２１には、全体監視システムと監視終了通知システムのみを登録する。
【００２７】
なお、監視終了通知によって両監視システム１及び２を終了させるようにしたので、セキュリティ度をより高くすることができる（２つの監視システムを正常に終了させるハードルが高くなる）。監視システムの終了を通知することでしか両監視システムを正常終了させることができないとなると、悪意（不正意思）あるユーザが２つの監視システムを一遍に終了させるために２つの監視終了通知を作り出すことは困難だからである。
【００２８】
図５は、全体監視システム１／全体監視の監視システム２の処理を示すフローチャートである。ステップＳ５０１において、監視対象のシステムの起動が初回の起動であるか判断される。初回の起動でない、すなわち何らかの原因で少なくとも１度でも終了した場合は、ステップＳ５０２においてセキュリティ的に厳しい制御をするようセキュリティポリシーに設定変更が加えられる。その後、ステップＳ５０３で管理テーブルを初期化する処理が実行され、ステップＳ５０４で管理テーブルに登録された監視対象の終了監視処理が実行される。これら２つの処理についての詳細は以下の図６（ステップＳ５０３について）、図７（ステップＳ５０４について）によって詳しく説明する。
【００２９】
図６は、管理テーブルの初期化処理（ステップＳ５０３）を示すフローチャートである。管理テーブル１１及び２１には初め、監視対象識別情報１１２及び２１２は存在しない。従って、まずステップＳ６０１において、監視対象のシステムを管理テーブル１１又は２１にエントリする。そして、ステップＳ６０２において、エントリされた監視対象のシステムごとに監視対象識別情報を取得する関数１１３又は２１３を呼び出して戻り値を監視対象識別情報１１２又は２１２として取得し、それらを管理テーブル１１及び２１に登録する。
【００３０】
ステップＳ６０３では、その識別情報の取得が成功したか否かが判断される。成功した場合には処理はステップＳ６０４に移行し、識別情報が管理テーブル１１又は２１に登録される。なお、基本的にはリトライせずとも監視対象識別情報１１２及び２１２を取得できるよう実装するのが望ましいが、もし監視対象のシステムの構築が失敗し続けている場合は、ＯＳで何らかのトラブルが起きていることも考えられるため、一定期間リトライしたらセキュリティ的に厳しい制御をするようセキュリティポリシーに設定変更を加えてから処理を終了させる（ステップＳ６０５及びＳ６０６）。
【００３１】
そして、全てのエントリが終了するまで、ステップＳ６０２乃至Ｓ６０６は繰り返される（ステップＳ６０１及びＳ６０７）。
【００３２】
図７は、管理テーブルエントリの終了監視処理（ステップＳ５０４）を示すフローチャートである。ステップＳ７０２において、クライアントＰＣのＯＳが監視対象のシステムの終了を監視システム１及び２に通知し、監視システム１及び２が監視対象のシステムの終了を検知する。また、全体監視システム１又は全体監視の監視システム２が監視終了通知１１４又は２１４を検知した場合には、監視システム１又は２のアンインストールによる正常終了が実行されたことになるが、それ以外は不正終了と判断される。
【００３３】
そして、ステップＳ７０３において、システム（監視システム１及び２を含む）の終了が監視終了通知以外の原因によって発生したか否かが判断される。監視終了通知１１４又は２１４による監視システムの終了である場合には、正常終了であるとして、処理は終了する。監視終了通知以外の終了の場合、つまり、監視システムが監視終了通知以外によって終了した場合及び監視対象のシステムの終了が検知された場合には、ステップＳ７０４において、セキュリティ的に厳しい制御をするようセキュリティポリシーに設定変更が加えられる。これらの場合にはシステムに対して攻撃があった可能性が高いからである。なお、セキュリティポリシーの設定変更に関し、全てのＰＣ制御システムのセキュリティレベルを上げるようにしてもよいが、特定のＰＣ制御システムに係るセキュリティポリシーのみを変更するようにしてもよい。例えば、印刷、ファイルコピー、ファイル持ち出し、ＣＤＲへの焼付け等、それぞれについてセキュリティレベルの設定を変更することができる。
【００３４】
続いてステップＳ７０５において、今まで管理テーブルに登録されていた監視対象識別情報が破棄される。終了されたシステムの監視対象識別情報を登録していても意味が無いからである。そして、ステップＳ７０６において、終了検知した監視対象のシステムを再起動させ、監視対象識別情報の再取得処理を実行する。
【００３５】
ステップＳ７０７では、再取得が成功したか否かが判定され、成功した場合にはステップＳ７０８でその新しい監視対象識別情報が管理テーブルに再登録される。一方、再取得に失敗した場合、管理テーブルの初期化処理と同様、基本的にはリトライせずとも監視対象識別情報が取得できるよう実装するのが望ましいが、もし監視対象のシステムの構築が失敗し続けている場合は、ＯＳで何らかのトラブルが起きていることも考えられるため、一定期間リトライしたらセキュリティ的に厳しい制御をするようセキュリティポリシーに設定変更を加えてから処理を終了させる（ステップＳ７０９）。そして、ステップＳ７０２乃至Ｓ７０９の処理は繰り返し実行される（ステップＳ７０１及びＳ７１０）。
【００３６】
＜まとめ＞
以上のように、本実施形態による情報処理装置（クライアントＰＣ）は、全体監視システムと、全体監視の監視システムと、監視対象の複数のＰＣ制御システムと、各ＰＣ制御システムのセキュリティレベルを示すセキュリティポリシーを管理するメモリを備えている。そして、全体監視システムは、全体監視の監視システムと、監視対象の複数のＰＣ制御システムを含むクライアントＰＣ全体の終了を監視し、全体監視の監視システムは、全体監視システムのみの終了を監視する。何れかの監視システムの１が終了した場合には他の監視システムがその終了が正常終了か否か判断する。このようにすることにより、１つの監視システムが悪意（不正意思）あるユーザによって攻撃されて終了させられた場合でも適切な処理を実行することが可能となる。
【００３７】
なお、実施形態では、相互監視する監視システムを２つのみ設けた例を示したが、２つに限らず、それ以上であっても良いことはもちろんである。その際には、ある監視システムが終了した場合にそれを再起動させる監視システムは、複数ある監視システムのうちどれになるかは予め決定しておけばよい。また、本実施形態では、全体監視の監視システムは、全体監視システムのみを監視するように説明しているが、これに限らず、監視システム同士が相互に監視さえすれば、システム全体を監視する監視システムを複数設けるようにしても良い。
【００３８】
また、本実施形態では、監視対象のＰＣ制御システムが異常終了した場合、全体監視システムがその終了した監視対象のＰＣ制御システムを再起動させるようにしている。従って、悪意（不正意思）あるユーザからＰＣ制御システムが攻撃されてもその機能を保護することができる。さらに、ＰＣ制御システムが異常終了させられた場合には、そのＰＣ制御システムに関するセキュリティレベルを上げて再起動するようにしているので、システム全体のセキュリティを強化することができる。
【００３９】
また、何れか１つの監視システムが異常終了した場合、他の監視システムがその終了した監視システムを再起動させる。これにより、悪意（不正意思）あるユーザによって監視機能が停止されるという脅威からシステムを保護することができる。なお、監視システムの終了が正常であるか否かは、他の監視システムが監視終了通知を検知することによって判断する。これにより、アンインストールなどの正常終了と悪意（不正意思）あるユーザによる終了とを容易に区別することができるようになる。
【００４０】
なお、システム全体を正常終了させたい等の一定条件下で、相互監視の必要が無くなった場合には、正常な監視終了通知により全ての監視システムの監視機能を停止させるようにしても良い。この場合、監視終了通知により他の監視システムが既に監視機能を停止していれば、監視システムの終了を他の監視システムは検知せず、結果として監視システムは再起動されない。
【００４１】
また、実施形態の機能を実現するソフトウェアのプログラムコードによっても本発明は実現できる。この場合、プログラムコードを記録した記憶媒体をシステム或は装置に提供し、そのシステム或は装置のコンピュータ（又はＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フロッピィ（登録商標）ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。
【００４２】
また、プログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現されるようにしてもよい。さらに、記憶媒体から読み出されたプログラムコードが、コンピュータ上のメモリに書きこまれた後、そのプログラムコードの指示に基づき、コンピュータのＣＰＵなどが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現されるようにしてもよい。
【００４３】
また、実施の形態の機能を実現するソフトウェアのプログラムコードがネットワークを介して配信されることにより、システム又は装置のハードディスクやメモリ等の記憶手段又はＣＤ-ＲＷ、ＣＤ-Ｒ等の記憶媒体に格納され、そのシステム又は装置のコンピュータ(又はＣＰＵやＭＰＵ)が当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行することによっても、達成されるようにしてもよい。
【図面の簡単な説明】
【００４４】
【図１】本発明の一実施形態例を示すシステム構成図である。
【図２】相互監視システムの内部構成図である。
【図３】全体監視システムの管理テーブルの概略である。
【図４】全体監視システムを監視するシステムの管理テーブルの概略である。
【図５】全体監視システム／全体監視の監視システムの処理を示すフローチャートである。
【図６】管理テーブルの初期化処理を示すフローチャートである。
【図７】管理テーブルエントリの終了監視処理を示すフローチャートである。
【図８】従来のソフトウェア保護システムの概略構成図である。
【符号の説明】
【００４５】
１…全体監視システム、２…全体監視の監視システム、３…セキュリティポリシー、４…ＰＣ制御システム、５…サーバ、６…クライアントＰＣ、８０１…全体監視システム、８０２…セキュリティポリシー、８０３…ＰＣ制御システム、８０４…ＰＣ等の装置。
【技術分野】
【０００１】
本発明は、情報処理装置、及びシステム監視方法、並びにシステム監視方法をコンピュータに実行させるためのプログラムに関し、システムのセキュリティを向上させるためのものである。
【背景技術】
【０００２】
ソフトウェア製品の多くは、悪意（不正意思）のあるユーザから自らのソフトウェアを保護するために様々な対策を施している。例えば、ソフトウェアに欠かせないファイルが削除されないよう、ファイルを監視するシステムを構築したり、ソフトウェア製品が機能する上で重要なレジストリ値を変更されないよう、レジストリの変更を検知して変更を阻止したり、必要なプロセス、スレッド、イベント、サービス等の終了を監視して、終了したプロセス等を再起動させたりするシステムを構築したりしている。
【０００３】
また、セキュリティ製品においては、ログインユーザの違い等の状況に応じてセキュリティの強度を変化させる機能を持たせている製品も多い。
【０００４】
図８は、上記で述べたソフトウェア製品の従来のソフトウェア保護システムの概略構成図の一例である。このソフトウェア保護システムは、本システムを構成する各種ＰＣ制御システムの終了を監視して保護する監視システム８０１、本システム内の各種ＰＣ制御システムの制御の度合いを決める役割を果たしているセキュリティポリシー８０２、ＰＣ制御システム８０３、ＰＣ制御システムにより制御される対象となるＰＣ等の装置８０４から構成されている。
【０００５】
このような構成のソフトウェアシステムにおいては、ＰＣ制御システム８０３がセキュリティポリシー８０２に応じてＰＣ等の装置８０４を制御し、ソフトウェアシステムの機能を実現している。これらの機能を実現させているＰＣ制御システム８０３を保護するために、監視システム８０１がファイルを監視したり、必要なプロセス、スレッド、イベント、サービス等の終了を監視して、終了したプロセス等を再起動させたりする。なお、本発明に関連する公知技術文献としては下記の特許文献１がある。
【特許文献１】特開平９−３０５４４０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記システムにより、監視される対象の保護については考慮され保障されても、監視する側のシステムが終了されないようにする手段がとられていなかった場合、監視する側のプロセスが悪意（不正意思）のあるユーザによって監視システム８０１が特定されて不正終了されてしまうと、重要なシステムを監視して保護することができなくなってしまう。
【０００７】
実際、この脆弱性は十分に存在し得る。特許文献１においても、プロセスの異常終了を検知する側のシステムは全く保護されていないため、悪意（不正意思）のあるユーザが、異常終了を検知するデバイスドライバと関連するレジストリ値を削除してＯＳを再起動してしまえば、プロセスを再起動させる機能が消滅してしまう。
【０００８】
本発明はこのような状況に鑑みてなされたものであり、コンピュータ端末装置等の情報処理装置における重要なシステムが悪意（不正意思）のあるユーザによって攻撃されることから保護し、システムの脆弱性に対処するものである。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明では、監視される側のシステムだけでなく監視する側のシステムも保護するようにしている。つまり、本発明は、システムの終了を相互に監視し、システムの終了を検知すると、終了していない方のシステムが終了したシステムを再起動させて、監視される対象のシステムだけでなく、監視する側のシステムの起動も保障することで、悪意（不正意思）のあるユーザに監視機能を停止させられるという脅威に対処する相互監視機能と、監視対象のシステムを再起動させる際に、本システム内の各種ＰＣ制御システムの制御の度合いを決める役割を果たしているセキュリティポリシーの設定を、各システムがセキュリティ的に厳しい制御をするように変更することで、本システム全体のセキュリティを強化させるようにする、セキュリティ強化機能を設けたものである。
【００１０】
より特定的には、本発明による情報処理装置は、装置内に含まれる監視対象のシステムの終了を監視するための少なくとも２つの監視部を備え、少なくとも２つの監視部は相互に監視し、何れか１つの監視部が終了した場合には他の監視部がその終了が正常終了か否か判断することを特徴とする。そして、監視対象のシステムが終了した場合、少なくとも２つの監視部の１つがその終了した監視対象のシステムを再起動させる。また、何れか１つの監視部が終了した場合、他の監視部がその終了した監視部を再起動させる。
【００１１】
さらに、監視部は、監視対象のシステムを再起動させる際に、情報処理装置内の各種ＰＣ制御システムの制御の度合いを決める役割を果たしているセキュリティポリシーの設定を、厳しいセキュリティレベルに変更する。
【００１２】
監視部の終了が正常であるか否かは、他の監視部が監視終了通知を検知することによって判断する。
【００１３】
本発明による別の情報処理装置は、第１の監視部と、第２の監視部と、監視対象の制御システムと、制御システムのセキュリティレベルを示すセキュリティポリシーを管理するセキュリティ管理部と、を備え、第１の監視部は、第２の監視部と監視対象の制御システムを含むシステム全体の終了を監視し、第２の監視部は、第１の監視部の終了を監視し、第１及び第２の監視部のうち何れか１つの監視部が終了した場合には他の監視部がその終了が正常終了か否か判断する。
【００１４】
さらに、本発明は、上記情報処理装置を監視するシステム監視方法及びそれをコンピュータに実行させるプログラムをも提供するものである。
【００１５】
さらなる本発明の特徴は、以下本発明を実施するための最良の形態および添付図面によって明らかになるものである。
【発明の効果】
【００１６】
本発明によれば、たとえ監視元のシステムが終了しても再起動することができるので、監視対象の監視を継続できるため、悪意（不正意思）のあるユーザによるプロセス等の強制終了をより強固に防ぐことができる。
【００１７】
また、本発明によれば、システムを再起動させる際に、各システムがセキュリティ的に厳しい制御をするように変更することで、一度攻撃を受けた場合にソフトウェアのシステムの保護を強化し、悪意（不正意思）のあるユーザからシステム全体を保護することができる。
【発明を実施するための最良の形態】
【００１８】
以下、添付図面を参照して本発明の実施形態について詳細に説明する。ただし、本実施形態は本発明を実現するための一例に過ぎず、本発明を限定するものではないことに注意すべきである。
【００１９】
図１は、本発明の一実施形態例を示すシステム構成図である。この実施形態によるサーバ／クライアント管理システムは、セキュリティポリシー３（セキュリティレベルを規定する情報であって、例えば、印刷を許可する／しないを示す情報やある特定のプリンタでなければ印刷できないことを示す情報）を基にクライアントＰＣ６を制御するシステムを構築しているソフトウェアで構成される。そして、そのシステムを保護するために、ＰＣ制御システム４を監視する全体監視システム１と、全体監視システムのみを監視する全体監視の監視システム２により相互にシステムを監視するシステムがクライアントＰＣに実装されている。つまり、全体監視システム１はクライアントＰＣ全体（全体監視の監視システム２も含む）を監視し、全体監視の監視システム２は全体監視システム１のみを監視している。なお、セキュリティポリシー３に関しては、クライアントＰＣ毎に決定しても良いし、１つのクライアントＰＣを複数のユーザで共有する場合には、パスワードで各ユーザを管理して各ユーザのログインをサーバ５に通知し、ユーザ毎にセキュリティポリシー３を設定するようにしても良い。後者によれば、セキュリティレベルをユーザ毎に可変とすることができる。
【００２０】
また、監視対象のシステム（ＰＣ制御システム４）が終了した場合（＝クライアントＰＣの電源ＯＦＦ以外の終了が異常事態として検知される）は、セキュリティポリシー３を、ＰＣ制御システム４がセキュリティ的に厳しい制御をするよう設定変更し、監視対象のシステムを再度生成する。セキュリティポリシー３はサーバ５からも更新されるが、監視システムがセキュリティ的に厳しい制御をするよう設定変更を加えた場合、監視システムの設定したセキュリティ制御を優先させる。つまり、一旦上げたセキュリティレベルは、たとえクライアントＰＣのユーザに変更があってサーバ５からセキュリティレベルを低く設定しようとしても維持される。例えば、ユーザＡがクライアントＰＣを使用しているときに異常状態発生によりセキュリティレベルが上がってユーザＡがログアウトし、次にユーザＢ（ユーザ固有のセキュリティレベルは低く設定されている）がログインしたとしても、一旦上げられたそのセキュリティレベルは維持されるのである。
【００２１】
図２は、相互監視システムの内部構成を示した図である。クライアントＰＣ内の全体監視システム１と全体監視の監視システム２は監視対象のシステムに関するデータを格納する管理テーブル１１及び１２を内部的に保持していて、管理テーブル１１及び１２にあらかじめ監視対象名等を登録しておく。全体監視システム１は全体監視の監視システム２を含めシステム全体を監視し、全体監視の監視システム２は全体監視システム１のみを監視する。全体監視システム１と全体監視の監視システム２は、管理テーブル１１及び１２に登録されている監視対象は異なるものの、管理テーブル１１及び１２に登録されたシステムが終了した場合、セキュリティポリシー２をＰＣ制御システム２がセキュリティ的に厳しい制御をするよう設定変更すると共に、終了したシステムを再起動させるという同じ機能を持つシステムである。
【００２２】
図３は、全体監視システム１の管理テーブル１１の概略である。全体監視システム１は、監視対象名１１１と監視対象識別情報を取得する関数１１３をあらかじめ保持していて、関数１１３を呼ぶと戻り値として監視対象識別情報１１２を取得し、それを順次管理テーブル１１１の監視対象識別情報１１２の欄に格納していく。戻り値がない（監視対象システムが起動していないことを示す）と何度かリトライし、それでもなお戻り値が無ければセキュリティレベルを上げることができる。
【００２３】
そして、全体監視システム１は、取得した監視対象識別情報１１２を利用して、監視対象のシステムの終了を監視する。つまり、クライアントＰＣの図示しないＯＳ（オペレーションシステム）は、各監視対象識別情報１１２に対応したシステムが終了したことを管理し、終了したものがあると終了を全体監視システム１に通知するようにしているので、全体監視システム１がこの終了通知を受け取ることにより監視対象のシステムの終了を監視することができるようになっている。なお、監視対象識別情報を取得する関数には、監視対象が存在しなかったときに監視対象を再起動させる機能を持たせ、監視対象の終了を検知すると監視対象識別情報を取得する関数１１３を呼び出して、監視対象を再起動させると共に監視対象識別情報１１２を取得する。
【００２４】
また、管理テーブル１１には監視終了通知システム１１４も登録される。全体監視システム１が監視終了通知システム１１４を検知した場合には、システムの監視を終了することで、ソフトウェアのアンインストールなど相互監視システムを正当に終了させなければならないときに監視を終了する方法を実装しておく。この方法で監視システムを終了するのであれば、悪意（不正意思）のあるユーザが監視終了通知システムを作り出して監視システムを強制終了させることは難しく、セキュリティ的にもかなり安全である。
【００２５】
図４は、全体監視システムを監視するシステム２の管理テーブル２１の概略である。全体監視システムの管理テーブル１１と同様、監視対象名２１１と監視対象識別情報を取得する関数２１３は、全体監視システムを監視するシステム２があらかじめ保持していて、それらの情報を基に、監視対象識別情報２１２を取得して管理テーブル２１に格納する。監視対象識別情報２１２の取得の方法は、監視対象識別情報１１２と同様である。そして、取得した監視対象識別情報２１２を利用して、監視対象のシステムの終了を検知する。
【００２６】
全体監視の監視システムの管理テーブル２１には、全体監視システムと監視終了通知システムのみを登録する。
【００２７】
なお、監視終了通知によって両監視システム１及び２を終了させるようにしたので、セキュリティ度をより高くすることができる（２つの監視システムを正常に終了させるハードルが高くなる）。監視システムの終了を通知することでしか両監視システムを正常終了させることができないとなると、悪意（不正意思）あるユーザが２つの監視システムを一遍に終了させるために２つの監視終了通知を作り出すことは困難だからである。
【００２８】
図５は、全体監視システム１／全体監視の監視システム２の処理を示すフローチャートである。ステップＳ５０１において、監視対象のシステムの起動が初回の起動であるか判断される。初回の起動でない、すなわち何らかの原因で少なくとも１度でも終了した場合は、ステップＳ５０２においてセキュリティ的に厳しい制御をするようセキュリティポリシーに設定変更が加えられる。その後、ステップＳ５０３で管理テーブルを初期化する処理が実行され、ステップＳ５０４で管理テーブルに登録された監視対象の終了監視処理が実行される。これら２つの処理についての詳細は以下の図６（ステップＳ５０３について）、図７（ステップＳ５０４について）によって詳しく説明する。
【００２９】
図６は、管理テーブルの初期化処理（ステップＳ５０３）を示すフローチャートである。管理テーブル１１及び２１には初め、監視対象識別情報１１２及び２１２は存在しない。従って、まずステップＳ６０１において、監視対象のシステムを管理テーブル１１又は２１にエントリする。そして、ステップＳ６０２において、エントリされた監視対象のシステムごとに監視対象識別情報を取得する関数１１３又は２１３を呼び出して戻り値を監視対象識別情報１１２又は２１２として取得し、それらを管理テーブル１１及び２１に登録する。
【００３０】
ステップＳ６０３では、その識別情報の取得が成功したか否かが判断される。成功した場合には処理はステップＳ６０４に移行し、識別情報が管理テーブル１１又は２１に登録される。なお、基本的にはリトライせずとも監視対象識別情報１１２及び２１２を取得できるよう実装するのが望ましいが、もし監視対象のシステムの構築が失敗し続けている場合は、ＯＳで何らかのトラブルが起きていることも考えられるため、一定期間リトライしたらセキュリティ的に厳しい制御をするようセキュリティポリシーに設定変更を加えてから処理を終了させる（ステップＳ６０５及びＳ６０６）。
【００３１】
そして、全てのエントリが終了するまで、ステップＳ６０２乃至Ｓ６０６は繰り返される（ステップＳ６０１及びＳ６０７）。
【００３２】
図７は、管理テーブルエントリの終了監視処理（ステップＳ５０４）を示すフローチャートである。ステップＳ７０２において、クライアントＰＣのＯＳが監視対象のシステムの終了を監視システム１及び２に通知し、監視システム１及び２が監視対象のシステムの終了を検知する。また、全体監視システム１又は全体監視の監視システム２が監視終了通知１１４又は２１４を検知した場合には、監視システム１又は２のアンインストールによる正常終了が実行されたことになるが、それ以外は不正終了と判断される。
【００３３】
そして、ステップＳ７０３において、システム（監視システム１及び２を含む）の終了が監視終了通知以外の原因によって発生したか否かが判断される。監視終了通知１１４又は２１４による監視システムの終了である場合には、正常終了であるとして、処理は終了する。監視終了通知以外の終了の場合、つまり、監視システムが監視終了通知以外によって終了した場合及び監視対象のシステムの終了が検知された場合には、ステップＳ７０４において、セキュリティ的に厳しい制御をするようセキュリティポリシーに設定変更が加えられる。これらの場合にはシステムに対して攻撃があった可能性が高いからである。なお、セキュリティポリシーの設定変更に関し、全てのＰＣ制御システムのセキュリティレベルを上げるようにしてもよいが、特定のＰＣ制御システムに係るセキュリティポリシーのみを変更するようにしてもよい。例えば、印刷、ファイルコピー、ファイル持ち出し、ＣＤＲへの焼付け等、それぞれについてセキュリティレベルの設定を変更することができる。
【００３４】
続いてステップＳ７０５において、今まで管理テーブルに登録されていた監視対象識別情報が破棄される。終了されたシステムの監視対象識別情報を登録していても意味が無いからである。そして、ステップＳ７０６において、終了検知した監視対象のシステムを再起動させ、監視対象識別情報の再取得処理を実行する。
【００３５】
ステップＳ７０７では、再取得が成功したか否かが判定され、成功した場合にはステップＳ７０８でその新しい監視対象識別情報が管理テーブルに再登録される。一方、再取得に失敗した場合、管理テーブルの初期化処理と同様、基本的にはリトライせずとも監視対象識別情報が取得できるよう実装するのが望ましいが、もし監視対象のシステムの構築が失敗し続けている場合は、ＯＳで何らかのトラブルが起きていることも考えられるため、一定期間リトライしたらセキュリティ的に厳しい制御をするようセキュリティポリシーに設定変更を加えてから処理を終了させる（ステップＳ７０９）。そして、ステップＳ７０２乃至Ｓ７０９の処理は繰り返し実行される（ステップＳ７０１及びＳ７１０）。
【００３６】
＜まとめ＞
以上のように、本実施形態による情報処理装置（クライアントＰＣ）は、全体監視システムと、全体監視の監視システムと、監視対象の複数のＰＣ制御システムと、各ＰＣ制御システムのセキュリティレベルを示すセキュリティポリシーを管理するメモリを備えている。そして、全体監視システムは、全体監視の監視システムと、監視対象の複数のＰＣ制御システムを含むクライアントＰＣ全体の終了を監視し、全体監視の監視システムは、全体監視システムのみの終了を監視する。何れかの監視システムの１が終了した場合には他の監視システムがその終了が正常終了か否か判断する。このようにすることにより、１つの監視システムが悪意（不正意思）あるユーザによって攻撃されて終了させられた場合でも適切な処理を実行することが可能となる。
【００３７】
なお、実施形態では、相互監視する監視システムを２つのみ設けた例を示したが、２つに限らず、それ以上であっても良いことはもちろんである。その際には、ある監視システムが終了した場合にそれを再起動させる監視システムは、複数ある監視システムのうちどれになるかは予め決定しておけばよい。また、本実施形態では、全体監視の監視システムは、全体監視システムのみを監視するように説明しているが、これに限らず、監視システム同士が相互に監視さえすれば、システム全体を監視する監視システムを複数設けるようにしても良い。
【００３８】
また、本実施形態では、監視対象のＰＣ制御システムが異常終了した場合、全体監視システムがその終了した監視対象のＰＣ制御システムを再起動させるようにしている。従って、悪意（不正意思）あるユーザからＰＣ制御システムが攻撃されてもその機能を保護することができる。さらに、ＰＣ制御システムが異常終了させられた場合には、そのＰＣ制御システムに関するセキュリティレベルを上げて再起動するようにしているので、システム全体のセキュリティを強化することができる。
【００３９】
また、何れか１つの監視システムが異常終了した場合、他の監視システムがその終了した監視システムを再起動させる。これにより、悪意（不正意思）あるユーザによって監視機能が停止されるという脅威からシステムを保護することができる。なお、監視システムの終了が正常であるか否かは、他の監視システムが監視終了通知を検知することによって判断する。これにより、アンインストールなどの正常終了と悪意（不正意思）あるユーザによる終了とを容易に区別することができるようになる。
【００４０】
なお、システム全体を正常終了させたい等の一定条件下で、相互監視の必要が無くなった場合には、正常な監視終了通知により全ての監視システムの監視機能を停止させるようにしても良い。この場合、監視終了通知により他の監視システムが既に監視機能を停止していれば、監視システムの終了を他の監視システムは検知せず、結果として監視システムは再起動されない。
【００４１】
また、実施形態の機能を実現するソフトウェアのプログラムコードによっても本発明は実現できる。この場合、プログラムコードを記録した記憶媒体をシステム或は装置に提供し、そのシステム或は装置のコンピュータ（又はＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フロッピィ（登録商標）ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。
【００４２】
また、プログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現されるようにしてもよい。さらに、記憶媒体から読み出されたプログラムコードが、コンピュータ上のメモリに書きこまれた後、そのプログラムコードの指示に基づき、コンピュータのＣＰＵなどが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現されるようにしてもよい。
【００４３】
また、実施の形態の機能を実現するソフトウェアのプログラムコードがネットワークを介して配信されることにより、システム又は装置のハードディスクやメモリ等の記憶手段又はＣＤ-ＲＷ、ＣＤ-Ｒ等の記憶媒体に格納され、そのシステム又は装置のコンピュータ(又はＣＰＵやＭＰＵ)が当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行することによっても、達成されるようにしてもよい。
【図面の簡単な説明】
【００４４】
【図１】本発明の一実施形態例を示すシステム構成図である。
【図２】相互監視システムの内部構成図である。
【図３】全体監視システムの管理テーブルの概略である。
【図４】全体監視システムを監視するシステムの管理テーブルの概略である。
【図５】全体監視システム／全体監視の監視システムの処理を示すフローチャートである。
【図６】管理テーブルの初期化処理を示すフローチャートである。
【図７】管理テーブルエントリの終了監視処理を示すフローチャートである。
【図８】従来のソフトウェア保護システムの概略構成図である。
【符号の説明】
【００４５】
１…全体監視システム、２…全体監視の監視システム、３…セキュリティポリシー、４…ＰＣ制御システム、５…サーバ、６…クライアントＰＣ、８０１…全体監視システム、８０２…セキュリティポリシー、８０３…ＰＣ制御システム、８０４…ＰＣ等の装置。
【特許請求の範囲】
【請求項１】
情報処理装置内に含まれる監視対象のシステムの終了を監視するための少なくとも２つの監視部を備え、
前記少なくとも２つの監視部は相互に監視し、何れか１つの監視部が終了した場合には他の監視部がその終了が正常終了か否か判断することを特徴とする情報処理装置。
【請求項２】
前記監視対象のシステムが異常終了した場合、前記少なくとも２つの監視部の１つがその終了した監視対象のシステムを再起動させることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
何れか１つの監視部が異常終了した場合、他の監視部がその終了した監視部を再起動させることを特徴とする請求項２に記載の情報処理装置。
【請求項４】
前記監視部は、前記監視対象のシステムを再起動させる際に、前記情報処理装置内の各種ＰＣ制御システムの制御の度合いを決める役割を果たしているセキュリティポリシーの設定を、厳しいセキュリティレベルに変更することを特徴とする請求項１乃至３の何れか１項に記載の情報処理装置。
【請求項５】
前記監視部の終了が正常であるか否かは、他の監視部が監視終了通知を検知することによって判断することを特徴とする請求項１乃至４の何れか１項に記載の情報処理装置。
【請求項６】
第１の監視部と、第２の監視部と、監視対象の制御システムと、制御システムのセキュリティレベルを示すセキュリティポリシーを管理するセキュリティ管理部と、を備え、
前記第１の監視部は、前記第２の監視部と前記監視対象の制御システムを含むシステム全体の終了を監視し、
前記第２の監視部は、前記第１の監視部の終了を監視し、
前記第１及び第２の監視部のうち何れか１つの監視部が終了した場合には他の監視部がその終了が正常終了か否か判断することを特徴とする情報処理装置。
【請求項７】
情報処理装置内に含まれる監視対象のシステムの終了を監視するシステム監視方法であって、
前記監視対象のシステムの終了を監視するための少なくとも２つの監視部が、相互に監視し合い、何れか１つの監視部が終了したことを検知する工程と、
何れか１つの監視部の終了を検知した場合に、他の監視部がその終了が正常終了か否か判断する工程と、
を備えることを特徴とするシステム監視方法。
【請求項８】
前記監視対象のシステムが異常終了した場合、前記少なくとも２つの監視部の１つがその終了した監視対象のシステムを再起動させることを特徴とする請求項７に記載のシステム監視方法。
【請求項９】
何れか１つの監視部が異常終了した場合、他の監視部がその終了した監視部を再起動させることを特徴とする請求項８に記載のシステム監視方法。
【請求項１０】
前記監視部は、前記監視対象のシステムを再起動させる際に、前記情報処理装置内の各種ＰＣ制御システムの制御の度合いを決める役割を果たしているセキュリティポリシーの設定を、厳しいセキュリティレベルに変更することを特徴とする請求項７乃至９の何れか１項に記載のシステム監視方法。
【請求項１１】
前記監視部の終了が正常であるか否かは、他の監視部が監視終了通知を検知することによって判断することを特徴とする請求項７乃至１０の何れか１項に記載のシステム監視方法。
【請求項１２】
第１の監視部と、第２の監視部と、監視対象の制御システムと、制御システムのセキュリティレベルを示すセキュリティポリシーを管理するセキュリティ管理部と、を備える情報処理装置を監視するシステム監視方法であって、
前記第１の監視部が、前記第２の監視部と前記監視対象の制御システムを含むシステム全体の終了を監視する工程と、
前記第２の監視部が、前記第１の監視部の終了を監視する工程と、
前記第１及び第２の監視部のうち何れか１つの監視部が終了した場合には他の監視部がその終了が正常終了か否か判断する工程と、
を備えることを特徴とするシステム監視方法。
【請求項１３】
請求項７乃至１２の何れか１項に記載のシステム監視方法をコンピュータに実行させるためのプログラム。
【請求項１】
情報処理装置内に含まれる監視対象のシステムの終了を監視するための少なくとも２つの監視部を備え、
前記少なくとも２つの監視部は相互に監視し、何れか１つの監視部が終了した場合には他の監視部がその終了が正常終了か否か判断することを特徴とする情報処理装置。
【請求項２】
前記監視対象のシステムが異常終了した場合、前記少なくとも２つの監視部の１つがその終了した監視対象のシステムを再起動させることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
何れか１つの監視部が異常終了した場合、他の監視部がその終了した監視部を再起動させることを特徴とする請求項２に記載の情報処理装置。
【請求項４】
前記監視部は、前記監視対象のシステムを再起動させる際に、前記情報処理装置内の各種ＰＣ制御システムの制御の度合いを決める役割を果たしているセキュリティポリシーの設定を、厳しいセキュリティレベルに変更することを特徴とする請求項１乃至３の何れか１項に記載の情報処理装置。
【請求項５】
前記監視部の終了が正常であるか否かは、他の監視部が監視終了通知を検知することによって判断することを特徴とする請求項１乃至４の何れか１項に記載の情報処理装置。
【請求項６】
第１の監視部と、第２の監視部と、監視対象の制御システムと、制御システムのセキュリティレベルを示すセキュリティポリシーを管理するセキュリティ管理部と、を備え、
前記第１の監視部は、前記第２の監視部と前記監視対象の制御システムを含むシステム全体の終了を監視し、
前記第２の監視部は、前記第１の監視部の終了を監視し、
前記第１及び第２の監視部のうち何れか１つの監視部が終了した場合には他の監視部がその終了が正常終了か否か判断することを特徴とする情報処理装置。
【請求項７】
情報処理装置内に含まれる監視対象のシステムの終了を監視するシステム監視方法であって、
前記監視対象のシステムの終了を監視するための少なくとも２つの監視部が、相互に監視し合い、何れか１つの監視部が終了したことを検知する工程と、
何れか１つの監視部の終了を検知した場合に、他の監視部がその終了が正常終了か否か判断する工程と、
を備えることを特徴とするシステム監視方法。
【請求項８】
前記監視対象のシステムが異常終了した場合、前記少なくとも２つの監視部の１つがその終了した監視対象のシステムを再起動させることを特徴とする請求項７に記載のシステム監視方法。
【請求項９】
何れか１つの監視部が異常終了した場合、他の監視部がその終了した監視部を再起動させることを特徴とする請求項８に記載のシステム監視方法。
【請求項１０】
前記監視部は、前記監視対象のシステムを再起動させる際に、前記情報処理装置内の各種ＰＣ制御システムの制御の度合いを決める役割を果たしているセキュリティポリシーの設定を、厳しいセキュリティレベルに変更することを特徴とする請求項７乃至９の何れか１項に記載のシステム監視方法。
【請求項１１】
前記監視部の終了が正常であるか否かは、他の監視部が監視終了通知を検知することによって判断することを特徴とする請求項７乃至１０の何れか１項に記載のシステム監視方法。
【請求項１２】
第１の監視部と、第２の監視部と、監視対象の制御システムと、制御システムのセキュリティレベルを示すセキュリティポリシーを管理するセキュリティ管理部と、を備える情報処理装置を監視するシステム監視方法であって、
前記第１の監視部が、前記第２の監視部と前記監視対象の制御システムを含むシステム全体の終了を監視する工程と、
前記第２の監視部が、前記第１の監視部の終了を監視する工程と、
前記第１及び第２の監視部のうち何れか１つの監視部が終了した場合には他の監視部がその終了が正常終了か否か判断する工程と、
を備えることを特徴とするシステム監視方法。
【請求項１３】
請求項７乃至１２の何れか１項に記載のシステム監視方法をコンピュータに実行させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２００８−１２３２６２（Ｐ２００８−１２３２６２Ａ）
【公開日】平成２０年５月２９日（２００８．５．２９）
【国際特許分類】
【出願番号】特願２００６−３０６５４５（Ｐ２００６−３０６５４５）
【出願日】平成１８年１１月１３日（２００６．１１．１３）
【出願人】（０００２３３０５５）日立ソフトウエアエンジニアリング株式会社 (1,610)
【Ｆターム（参考）】
【公開日】平成２０年５月２９日（２００８．５．２９）
【国際特許分類】
【出願日】平成１８年１１月１３日（２００６．１１．１３）
【出願人】（０００２３３０５５）日立ソフトウエアエンジニアリング株式会社 (1,610)
【Ｆターム（参考）】
[ Back to top ]