【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、コンピュータウィルス感染監視・防止方式に関し、特にパーソナルコンピュータによって実現されるプログラム実行システムにおけるコンピュータウィルスの感染を監視し防止するコンピュータウィルス感染監視・防止方式に関する。

【０００２】

【従来の技術】パーソナルコンピュータ（例えば、ＮＥ
Ｃ（日本電気株式会社）製ＰＣ９８００シリーズに属するコンピュータ）によって実現されるプログラム実行システム上で動作する実行可能プログラム（実行可能ファイルによって実現されるロードモジュール）に感染するタイプのコンピュータウィルスが存在する。

【０００３】このタイプのコンピュータウィルスは、自分自身（当該コンピュータウィルスを実現するプログラム）と感染対象の実行可能プログラムとを一体の実行可能プログラムに変質させるものである。 すなわち、感染対象の実行可能プログラムの内容を部分的に書き換え（自分自身の参照等を行うようにその実行可能プログラムの内容を書き換える）、自分自身をその実行可能プログラムに挿入するものである。

【０００４】このタイプのコンピュータウィルスは、プログラム実行システムの機能および動作の異常を発生させる（例えば、磁気ディスクやフロッピーディスク内のデータを破壊する）という弊害を与える。

【０００５】ところで、一般的に、パーソナルコンピュータのオペレーティングシステム（以下、ＯＳ（Ｏｐｅ
ｒａｔｉｎｇ Ｓｙｓｔｅｍ）という）には、エラー処理の１つの機能として磁気ディスクやフロッピーディスク等に対する不正な書込みを防止し禁止する機能（書込み不可の状態での書込みや書込み不可のファイルへの書込み等を示す割込みが発生した時にプログラム実行システムを停止させる機能等。以下、「書込み防止機能」という）が存在する。 したがって、上述のようなコンピュータウィルスの感染時には、この書込み防止機能によって、その感染を発見（認識）することが可能なはずである。

【０００６】しかし、実行可能プログラムに感染するコンピュータウィルスの中には、感染する際に一時的にＯ
Ｓ内のエラー処理部（エラー処理を実現するプログラム部分）中の書込み防止機能の内容を書き換えて当該書込み防止機能に関するエラー処理を無効にした後に実行可能プログラムに感染し、その後にその書込み防止機能の内容をもとに戻すという動作を行うものがある。

【０００７】従来のプログラム実行システムでは、このようなコンピュータウィルスに対しては、チェックが何ら行われることなく、プログラムの実行（データ処理）
が行われていた。 すなわち、従来のこの種のプログラム実行システムでは、書込み防止機能の内容の書換えの監視は行われておらず、当該書換えを行うコンピュータウィルスの感染の監視および防止（当該感染の影響を未然に防ぐこと）に関する特別の配慮は行われていなかった。

【０００８】

【発明が解決しようとする課題】上述した従来のプログラム実行システムでは、書込み防止機能の内容の書換えを行うコンピュータウィルスの感染の監視および防止に関する特別の配慮は行われていないので、実行可能プログラムに対するコンピュータウィルスの感染を発見（認識）しその影響を未然に防ぐことができず、当該プログラム実行システムの機能および動作に異常を発生させる（例えば、磁気ディスクやフロッピーディスク内のデータの破壊を生じさせる）という問題点があった。

【０００９】本発明の目的は、上述の点に鑑み、パーソナルコンピュータによって実現されるプログラム実行システム上の実行可能プログラムに対するコンピュータウィルス（書込み防止機能の内容の書換えを行うコンピュータウィルス）の感染を監視しその感染による影響の発生を未然に防ぐことができるコンピュータウィルス感染監視・防止方式を提供することにある。

【００１０】なお、コンピュータウィルスの感染の監視および防止に関する従来技術としては、例えば、「実行形式ファイルの被破壊チェック方式（特開平３−２３３
６２９号公報）」が開示されている。 しかし、この従来技術は、コンピュータウィルスの感染の性質に着目した上で各種のコンピュータウィルスの統一的かつ網羅的なチェック（感染の監視等）を行う技術であり、書込み防止機能に対する書換えの発生を監視してコンピュータウィルスの感染による影響の発生を未然に防ぐことを目的とする本発明とは構成等を異にするものである。

【００１１】

【課題を解決するための手段】本発明のコンピュータウィルス感染監視・防止方式は、データ処理に関する各種の表示を行う表示部と、データ処理を行うシステム部と、データの入力を行うデータ入力部とを備えるプログラム実行システムにおいて、ＯＳ内のエラー処理部中の書込み防止機能の内容の書換えの有無を判定し、「書込み防止機能の内容が書き換えられている」と判定した場合に実行可能プログラムに対するコンピュータウィルスの感染を認識する書換え監視部と、この書換え監視部によりコンピュータウィルスの感染が認識された場合に、
以下の〜のいずれか等の対処を行う感染対処部とを有する。 警告メッセージの表示 実行可能プログラムによる処理の強制終了 およびに示す対処の両方

【００１２】

【作用】本発明のコンピュータウィルス感染監視・防止方式では、書換え監視部がＯＳ内のエラー処理部中の書込み防止機能の内容の書換えの有無を判定し「書込み防止機能の内容が書き換えられている」と判定した場合に実行可能プログラムに対するコンピュータウィルスの感染を認識し、感染対処部が書換え監視部によりコンピュータウィルスの感染が認識された場合に以下の〜のいずれか等の対処を行う。 警告メッセージの表示 実行可能プログラムによる処理の強制終了 およびに示す対処の両方

【００１３】

【実施例】次に、本発明について図面を参照して詳細に説明する。

【００１４】図１は、本発明の一実施例に係るコンピュータウィルス感染監視・防止方式が適用されるプログラム実行システム（パーソナルコンピュータによって実現されるプログラム実行システム）の構成を示すブロック図である。

【００１５】このプログラム実行システムは、データ処理に関する各種の表示を行う表示部１（ディスプレイ装置等によって実現される部）と、データ処理を行うシステム部２（ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉ
ｎｇ Ｕｎｉｔ），メモリおよび磁気ディスク（フロッピーディスクを含む）等によって実現される部）と、データの入力を行うデータ入力部３（キーボード等によって実現される部）とを含んで構成されている。

【００１６】システム部２は、ＯＳ２０と、常駐プログラムとして実現される書換え監視部２１と、ＯＳ２０の一機能として実現される感染対処部２２と、コンピュータウィルスの感染対象となりうる実行可能プログラム２
３とを含んで構成されている。 また、ＯＳ２０は、書込み防止機能を有するエラー処理部２００を備えている（書込み防止機能の存在する領域を特定するためのアドレスはアドレスＡであるものとする）。

【００１７】図２は、本実施例のコンピュータウィルス感染監視・防止方式の処理を示す流れ図である。 この処理は、書込み防止機能内容参照ステップ２０１と、書込み防止機能正当性判定ステップ２０２と、コンピュータウィルス感染認識・通知ステップ２０３と、感染対処ステップ２０４とからなる。

【００１８】次に、このように構成された本実施例のコンピュータウィルス感染監視・防止方式の動作について説明する。

【００１９】先にも述べたように、実行可能プログラム２３に感染するコンピュータウィルスの中には、感染する際に一時的にＯＳ２０内のエラー処理部２００中の書込み防止機能の内容を書き換えてその書込み防止機能に関するエラー処理を無効にした後に実行可能プログラム２３に感染し、その後にその書込み防止機能の内容をもとに戻すという動作を行うものがある。 本実施例のコンピュータウィルス感染監視・防止方式は、このようなコンピュータウィルスの感染を監視しその感染の影響の発生を防ぐために、以下のような処理を行う（図２参照）。

【００２０】システム部２内の書換え監視部２１は、Ｏ
Ｓ２０内のエラー処理部２００中の書込み防止機能を実現する領域を示すアドレス（アドレスＡ）を保持しており、一定時間間隔でアドレスＡによって特定される領域の内容（すなわち、その時点における書込み防止機能の内容）を参照（取得）する（ステップ２０１）。

【００２１】この参照は、ＯＳ２０における割込み機能が利用されて一定時間間隔毎に行われる。 すなわち、書換え監視部２１は一定時間間隔毎にＯＳ２０に割込み要求（アドレスＡの領域の内容の参照に係る割込み要求）
を発行し、ＯＳ２０はその時点で割込みを行ってアドレスＡの領域の内容を取得して書換え監視部２１にその内容を返却する。 これにより、書換え監視部２１にとっては、ＯＳ２０を介した「書込み防止機能の内容の参照」
が可能になる。

【００２２】なお、この一定時間間隔は、コンピュータウィルスの感染を発見する上で十分短い時間間隔であり、人間の感覚からすると常に当該感染の監視が行われているとみなせる時間間隔である。 なお、この一定時間間隔として設定可能な最短時間は、当該プログラム実行システム（パーソナルコンピュータ）のハードウェアやＯＳ２０の能力に依存して決定される。 この一定時間間隔の値は、あらかじめ書換え監視部２１において設定されており、コンピュータウィルスの感染を適切に監視する上ではできるだけ短い時間間隔であることが好ましい。

【００２３】書換え監視部２１は、ステップ２０１で取得（参照）した内容（その時点の書込み防止機能の内容）が正当な内容であるか否かを判定する（ステップ２
０２）。

【００２４】この判定における「正当な内容」としては、次のおよびのいずれかが該当する。 書換え監視部２１においてあらかじめ固定的に記憶されている「正当な書込み防止機能の内容」 前回のステップ２０２の判定の際におけるステップ２０１の処理で取得された書込み防止機能の内容（最初の判定の際にはその内容は存在しないが、例えば、その判定の際に取得された内容を前回の判定の際に取得された内容とみなす）

【００２５】すなわち、書換え監視部２１は、上述のまたはの内容と今回の判定時にステップ２０１で取得した書込み防止機能部の内容とが同一であるか否かの判定によって、ステップ２０２の判定（正当な内容であるか否かの判定）を実現する。

【００２６】ちなみに、上述のの場合には当該判定を正確に行うことができるという利点があり、の場合にはあらかじめ「正当な書込み防止機能の内容」を書込み監視部２１に与えておく必要がないという利点がある。

【００２７】書換え監視部２１は、ステップ２０２で「正当な内容である」と判定した場合には、今回の判定に係る処理を終了し、一定時間間隔の後に次回の判定に係るステップ２０１の処理を行う。

【００２８】一方、書換え監視部２１は、ステップ２０
２で「正当な内容でない」と判定した場合には、実行可能プログラム２３に対するコンピュータウィルスの感染を認識（発見）し、その旨をＯＳ２０内の感染対処部２
２に通知する（ステップ２０３）。

【００２９】感染対処部２２は、この通知に基づいて、
次の〜の処理のいずれかを行う（ステップ２０
４）。

【００３０】 表示部１に警告メッセージ（コンピュータウィルスの感染をユーザに通知し警告を行うメッセージ）を表示させる。

【００３１】 システム部２内で行われている処理（実行可能プログラム２３による処理）の強制終了（強制的な中止）を行わせる。

【００３２】 およびに示す処理の両方を行わせる。

【００３３】さらに、感染対処部２２は、以上の〜
のいずれかの処理とともに、データ入力部３の入力制御（入力を禁止させる制御）を行うことも可能である。

【００３４】これにより、実行可能プログラム２３に対するコンピュータウィルスの感染を早期に発見することを可能とし、その感染の影響がプログラム実行システムに及ぶのを未然に防止することができる。

【００３５】なお、書換え監視部２１によるエラー処理部２００中の書込み防止機能の内容の参照のタイミングは、必ずしも本実施例のような「一定時間間隔」のタイミングに限られるものではない（ただし、「一定時間間隔」であることが一般的である）。

【００３６】

【発明の効果】以上説明したように本発明は、パーソナルコンピュータによって実現されるプログラム実行システムにおいて、コンピュータウィルスが行う異常な処理（ＯＳ内のエラー処理部中の書込み防止機能の内容の書換え）の発生を監視することにより、コンピュータウィルスの感染の早期発見を可能とし、当該プログラム実行システムの機能および動作の異常（例えば、磁気ディスクやフロッピーディスク内のデータの破壊）の発生を未然に防止することができるという効果を有する。

【００３７】なお、コンピュータウィルスの感染を認識した場合の対処方として、警告メッセージの表示を行うと、ユーザに当該感染を迅速かつ的確に通知するとができるという効果がある（実行可能プログラムの強制終了は行われないので、ユーザによって当該感染の影響が重大でないと判断された場合には、システム部で実行されている処理の中断を回避できるという効果もある）。

【００３８】また、コンピュータウィルスの感染を認識した場合の対処方として、実行可能プログラムの強制終了を行うと、当該感染の影響がプログラム実行システムに及ぶことを確実に防止できるという効果がある。

【００３９】さらに、上述の２つの対処方の一方または両方とともに、データ入力部の入力禁止という対処方を採用すると、コンピュータウィルスの感染による悪影響の拡大を防ぐことができるという効果がある。

【図面の簡単な説明】

【図１】本発明の一実施例に係るコンピュータウィルス感染監視・防止方式が適用されるプログラム実行システムの構成を示すブロック図である。

【図２】図１に示すコンピュータウィルス感染監視・防止方式の処理を示す流れ図である。

【符号の説明】

１ 表示部 ２ システム部 ３ データ入力部 ２０ ＯＳ ２１ 書換え監視部 ２２ 感染対処部 ２３ 実行可能プログラム ２００ エラー処理部