JP2002091826A

JP2002091826A - 情報処理装置

Info

Publication number: JP2002091826A
Application number: JP2000277942A
Authority: JP
Inventors: Naoyuki Iwabuchi; 直行岩渕; Masahiko Harada; 政彦原田; Koichi Sato; 浩一佐藤
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2000-09-13
Filing date: 2000-09-13
Publication date: 2002-03-29

Abstract

(57)【要約】【課題】不正なメモリアクセスを防止し、不正アクセ
スがあった場合に容易に検証できるようにすること。【解決手段】所定のプログラムを実行するＣＰＵ１０
１０１と、ＣＰＵ１０１０１で実行するプログラムおよ
びそのプログラムで使用するデータを格納するメモリ１
０１０３と、ＣＰＵ１０１０１で実行するプログラムが
メモリ１０１０３に対して不正アクセスしたか否かを判
断するメモリ保護制御装置１０１０２とを備えている。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、プログラムのメモ
リに対する不正アクセスを検出する情報処理装置に関す
る。

【０００２】

【従来の技術】近年、プリンタやデジタル複合機などが
高機能化し、それにつれてユーザが機能をカスタマイズ
したり、後から追加オプションを増設することが行われ
ている。この場合、カスタマイズやオプション追加に伴
って新しいソフトウェアをインストールし、動作させる
必要が生じる。このため、カスタマイズできる範囲やオ
プションの数が増えるに従い、同時に動作するソフトウ
ェアの組み合わせは爆発的に増加していく。

【０００３】これに伴い、何らかのソフトウェアの問題
がユーザ側で見つかるようになる確率も増加している。
特に、不正なメモリ領域へのアクセスによるバグが原因
で発生する問題は、必ずしもテストで全てを発見するこ
とが難しく、再現性のない場合が多いことから、ユーザ
側で問題が見つかった場合にその対策が非常に困難であ
る。

【０００４】不正なメモリ領域へのアクセスによるバグ
を発見することや修正を行うことが難しい理由の一つと
して、不正なメモリ領域へのアクセスが生じた時点と、
それによるシステムの異常動作が観察される時点とに時
間的空間的隔たりが存在することがあげられる。つま
り、バグが内在するソフトウェアが一体どれであるのか
を特定しにくいことになる。

【０００５】特に、複数人が開発に関わる大規模ソフト
ウェアなどでは、バグの原因の特定が複数人に及ぶた
め、どのアプリケーションやモジュールが不正アクセス
をしたのかを特定するのがより困難となる。

【０００６】また、問題が発生した場合、ユーザ側の操
作ログが残っていたり、問題が発生した状況を残しても
らえる場合は稀である。このため、問題の特定はさらに
難しくなる。

【０００７】ところで、ワークステーションなどの汎用
計算機上のＯＳ（オペレーティングシステム）では、仮
想記憶という仕組みを使うことで、各アプリケーション
毎に資源を論理的に分割することが通常行われている。
このアプリケーション毎に資源を論理的に分けた単位は
プロセスと呼ばれる。プロセスはお互いに独立で干渉を
しないためアプリケーションが他のアプリケーションの
影響を受けないようになり、上記問題の一部解消を図っ
ている。

【０００８】

【発明が解決しようとする課題】しかし、組み込みソフ
トウェア上のＯＳではＷＳのような資源管理は原則とし
て行われない。これは組み込みソフトウェアではリアル
タイム性を保証しなければならないことや、資源を管理
するために余分な資源が必要になることなどによる。た
だしＣＰＵ資源だけはタスクという形で別管理されてい
る。

【０００９】また、本来プロセスで保護されているＷＳ
でも近年マルチＣＰＵ対応などの理由からＷＳ上のＯＳ
も、よりタスクに近いスレッドと呼ばれる処理単位が実
装されだした。これらのタスクやスレッドでは基本的に
相互のメモリ保護は行われていない。

【００１０】このため複数のタスクがバグのために本来
アクセスしないはずのメモリ空間をアクセスする場合も
あり得る。もしこれが不正なデータの書き込みならば、
これにより書き換えられたデータを利用するモジュール
の動作は明らかに保証されない。

【００１１】また、不正なデータの読み込みならば、読
み込みを行ったモジュールの動作は保証されない。ま
た、ＦＩＦＯなどのようにハードウェア資源の一部には
読み込む動作を行うだけで値などの状態が変わってしま
うものも存在するため、読み込まれたデータを利用する
モジュールの動作も保証されない場合がある。

【００１２】本発明の目的は上記の課題を解決し、不正
なメモリアクセスを防止し、ユーザに便宜をはかること
を目的とする。

【００１３】

【課題を解決するための手段】本発明は、このような目
的を達成するために成されたものである。すなわち、本
発明の情報処理装置は、所定のプログラムを実行するＣ
ＰＵと、ＣＰＵで実行するプログラムおよびそのプログ
ラムで使用するデータを格納するメモリと、ＣＰＵで実
行するプログラムがメモリに対して不正アクセスしたか
否かを判断するメモリ保護制御手段とを備えている。

【００１４】このような本発明では、あるプログラムが
実行され、そのプログラムによってメモリ内の特定の領
域のデータをアクセスする際、そのアクセスが不正なも
のである場合にはメモリ保護制御手段が検知して、割り
込みなどで知らせることができるようになる。

【００１５】

【発明の実施の形態】以下、本発明の実施の形態を図に
基づいて説明する。なお、以下の説明で、「タスク」と
表記している部分は、そのままＵＮＩＸ（登録商標）上
などの「スレッド」にも当てはまるものである。図１
は、本実施形態に係る情報処理装置を説明するシステム
構成図である。すなわち、この情報処理装置は、バス１
０１０４に接続されたＣＰＵ１０１０１、メモリ１０１
０３およびメモリ保護制御装置１０１０２から構成され
る。

【００１６】ＣＰＵ１０１０１は、プログラムをメモリ
１０１０３から読み取り、実行する。メモリ１０１０３
は、ＣＰＵ１０１０１で実行するプログラムやそのプロ
グラムで使用するデータなどを格納する。メモリ保護制
御装置１０１０２は、ＣＰＵ１０１０１からメモリ１０
１０２ヘのアクセスを監視し、不正なアクセスがあった
場合にＣＰＵ１０１０１に割り込みをかける。

【００１７】ＣＰＵ１０１０１とメモリ保護制御装置１
０１０３とは制御線１０１０５によって接続され、メモ
リ保護制御装置１０１０３がＣＰＵ１０１０１のメモリ
１０１０２への不正アクセスを検知した場合にＣＰＵ１
０１０１へ割り込みをかけたり、プログラムのＦｅｔｃ
ｈサイクルを認識するために利用される。

【００１８】次に、本実施形態の情報処理装置における
動作の説明を行う。ここで、本実施形態ではメモリ１０
１０３の内容は図２のような設定になっているものとす
る。つまり、アドレス０ｘ１０００〜０ｘ１０ＦＦをデ
ータ領域１０２０１、０ｘ１１００〜０ｘ１１ＦＦを読
み込みのみ可能なモジュールＲ１０２０２、０ｘ１２０
０〜０ｘ１２ＦＦを書き込みのみ可能なモジュールＷ１
０２０７、０ｘ１３００〜０ｘ１３ＦＦを読み書き可能
なモジュールＲＷ１０２０３の領域としている。

【００１９】他の領域から０ｘ１００〜０ｘ１０ＦＦへ
のアクセスは不正である。以下同様に（０ｘ０からのア
ドレスも含めて）０ｘ１００単位で領域が切り替わる。
ただし０ｘ１００００以降はどの領域へのアクセスも許
されていない。

【００２０】また、プログラムはプログラムＡ１０２０
４、プログラムＢ１０２０５、プログラムＣ１０２０６
の３つがメモリに格納され、それぞれ並列に動作する。
それぞれのプログラムは図３のフローチャートで示され
た動作を行うものとする。

【００２１】プログラムＡでは、データ領域１０２０１
のデータに１を加算するため、データ領域１０２０１に
読み込みおよび書き込み動作を行う必要がある。ところ
がプログラムＡが格納されている領域は０ｘ１００００
以降にあるのでデータ領域１０２０１を含めてどの領域
に対してもアクセスを行うことが出来ない。そのためデ
ータ領域１０２０１に読み書きを行うことが出来るモジ
ュールＲＷ１０２０３を呼び出すことで目的の動作を達
成する。

【００２２】同様にプログラムＢは、モジュールＲ１０
２０２を利用してデータの読み込みを行う。プログラム
Ｃについても同様で、どの領域に対してもアクセスは行
えないが、データ領域１０２０１に対してアクセスは行
わないので問題はない。

【００２３】ここでプログラムＣにバグがあり、データ
領域１０２０１に不正なアクセスが行われたとする。プ
ログラムＣの格納されている領域１０２０６はデータ領
域１０２０１へのアクセスが許されていない領域である
のでデータ領域１０２０６にアクセスするのは不正アク
セスである。そのため不正アクセスが行われた瞬間、図
１に示すメモリ保護制御装置１０１０２から不正アクセ
スの検知がＣＰＵ１０１０１に知らされる。

【００２４】ＣＰＵ１０１０１は不正アクセスが知らさ
れるとエラーメッセージをコンソールに出力する。そし
て、エラーが出たプログラムＣの動作を停止し復帰動作
を行うなど適切な行動を起こす。

【００２５】図４は、メモリ保護制御装置の具体例を説
明する図である。ここでは、先に説明したように、０ｘ
００００から０ｘＦＦＦＦまでの任意のアドレスに対し
て、０ｘ００００への読み込みは０ｘ０１００、書き込
みは０ｘ０２００、読み書きは０ｘ０３００、０ｘ０４
００への読み込みは０ｘ０５００、書き込みは０ｘ０６
００、読み書きは０ｘ０７００…ように設定されている
ものとする。また０ｘ１００００以上のアドレスに格納
されているプログラムからはデータのアクセスは一切行
えないように設定されている。

【００２６】また、入力としてＰＣ（プログラムカウン
タ）１０４０１およびアクセスしている領域を示すアク
セスアドレス１０４０２、アクセスしている領域が書き
込みアクセスであることを示すＷｒｉｔｅ信号線１０４
０３、アクセスしている領域が読み込みアクセスである
ことを示すＲｅａｄ信号線１０４０４がある。

【００２７】ＰＣ１０４０１は実行中のプログラムまた
はモジュールの命令が格納されているアドレスを指し示
す。以降説明の便宜のため＊は任意の一桁の１６進数で
あるとし、具体的なアドレスを例にとって説明を行う。

【００２８】先ず、図２に示すプログラムＣ１０２０６
からデータ領域１０２０１をアクセスすることを考え
る。この場合、図４に示すＰＣ１０４０１の値は０ｘ３
＊＊＊＊＊、アクセスアドレス１０４０２の値は０ｘ１
０＊＊となる。

【００２９】さらに、ＰＣ１０４０１およびアクセスア
ドレス１０４０２のｂｉｔ１６から３１までが定数０で
あるか否かが調べられる。これは０ｘ１００００以上の
アドレスを検知するための回路である。この場合、比較
回路１０４０５の結果は０となる。

【００３０】そのため、この結果を入力する２つのＡＮ
Ｄ回路１０４０９および１０４１０の結果も０となる。
ＡＮＤ回路１０４０９、ＡＮＤ回路１０４１０はそれぞ
れ該当する領域に書き込み許可および読み込み許可が存
在するかを判定するものである。つまり、この場合では
ＡＮＤ回路１０４０９およびＡＮＤ回路１０４１０の両
方とも出力は０であるため、読み込みも書き込みも不許
可であることが判る。

【００３１】この結果、書き込み要求を知らせるＷｒｉ
ｔｅ信号線１０４０３か読み込み要求を知らせるＲｅａ
ｄ信号線１０４０４のどちらが１となると、対応した不
正書き込み検知信号線１０４１３もしくは不正読み込み
検知信号線１０４１４が１となり、外部に不正なアクセ
スが起こったことを知らせる。通常、この２つの信号線
はＣＰＵの割り込み信号線へと結びつけられる。

【００３２】一方、データ領域１０２０１への書き込み
および読み込みが可能なモジュールＲＷ１０２０３から
データ領域１０２０１をアクセスする場合ではＰＣ１０
４０１の値は０ｘ１３＊＊、アクセスアドレス１０４０
２の値は０ｘ１０＊＊となる。

【００３３】この場合、ＰＣ１０４０１のｂｉｔ１６か
ら３１は０となり、比較器１０４０５および比較器１０
４０６の出力は両方とも１となる。

【００３４】また、ＰＣ１０４０１のｂｉｔ１５から１
０までと、アクセスアドレス１０４０２のｂｉｔ１５か
ら１０までは共に同じ値なので比較器１０４０８の結果
も１となる。

【００３５】アクセスアドレス１０４０２のｂｉｔ９お
よび８は定数０となるので比較器１０４０７の結果も１
となる。またＰＣ１０４０１のｂｉｔ９は１なので、書
き込み許可を判定するＡＮＤ回路１０４０９への入力は
すべて１となるためその出力は１となり、書き込みが許
可されていることがわかる。

【００３６】同様にＰＣ１０４０１のｂｉｔ８が１なの
でＡＮＤ回路１０４１０の出力も１となり、読み込みも
許可されていることがわかる。したがって、不正書き込
み検知信号線１０４１３および不正読み込み検知信号線
１０４１４ともに１となることはなく、モジュールＲＷ
１０２０３からの読み込み要求も書き込み要求も正当な
ものとして処理が行われる。

【００３７】次に、第２実施形態の説明を行う。第２実
施形態では、第１実施形態の入力のうちＰＣ１０４０１
を直接入力とせず、図５に示す装置を図８に示すように
接続することでＰＣ１０４０１の変換を行う点に特徴が
ある。

【００３８】例えば、図６に示すようなアクセス制御を
実現したいとする。この場合では変換表２０１０２の設
定は図７に示すようなものとなる。以下、変換表２０１
０２を図７のように設定した場合の動作をより詳しく説
明する。

【００３９】例えば、データ領域２０２０１をアクセス
するのがモジュールＲＷ２０２０５である場合、変換前
ＰＣ２０１０１が０ｘ１００＊＊となっている。このと
き変換表２０１０２の参照される位置はインデックス０
ｘ１００の部分である。

【００４０】インデックス０ｘ１００に格納されている
値は０ｘ１３なので、変換後ＰＣ２０１０３は０ｘ１３
＊＊となり、これを第１実施形態の装置に入力すればデ
ータ領域２０２０１に読み書きが可能になる。

【００４１】同様に、モジュールＲＷ２０２０６がデー
タ領域２０２０１をアクセスする場合は、変換前ＰＣ２
０１０１は０ｘ２００＊＊という値であり、変換後ＰＣ
２０１０３は０ｘ１３＊＊に変換される。このためモジ
ュールＲＷ２０２０６もデータ領域２０２０１に読み書
きが可能となる。

【００４２】一方、第１実施形態で読み込みアクセス可
能だった０ｘ１１＊＊、書き込みアクセス可能だった０
ｘ１２＊＊、読み書きアクセス可能だった０ｘ１３＊＊
となるアドレスは、いずれも変換表２０１０２で変換前
ＰＣ２０１０１が０ｘ１００＊＊に変更されることによ
り、データ領域（２０２０１）へのアクセスが不正とな
る。

【００４３】このようなアドレス変換を用いることで、
第１実施形態の情報処理装置で用いるメモリマップ以外
であっても第１実施形態と同じ構成から成るメモリ保護
装置を適用することができ、幅広いメモリマップへ対応
することが可能となる。

【００４４】次に、第３実施形態の説明を行う。図９に
示すように、３０１０１はメモリ保護管理テーブルであ
り、並列実行単位であるタスク毎に１つずつ存在し、初
期状態では読み込みも書き込みも不許可状態に設定され
ている。

【００４５】本実施形態でのメモリ保護管理テーブル３
０１０１の構成の一例は図１０に示すようなものとな
る。このメモリ保護管理テーブル３０１０１は、読み込
みアクセス許可ビット３０２０２および書き込みアクセ
ス許可ビット３０２０３を持ち、２５６Ｂｙｔｅごとの
空間のアクセス許可状態を示す。この２つのビットはア
クセスアドレスの上位２４ｂｉｔをインデックスとして
参照される。

【００４６】図９に示す３０１０２はテーブル選択ポイ
ンタであり、タスク毎にどのメモリ保護管理テーブル３
０１０１を利用するかを指し示している。テーブル選択
ポインタ３０１０２はタスクが切り替わる毎にタスク毎
に割り当てられたメモリ保護管理テーブル３０１０１を
参照するように設定される。これによりタスク毎にメモ
リ保護の設定が切り替わる。

【００４７】３０１０３は管理テーブル変更手段であ
り、モジュールが保護されているメモリに付してアクセ
スを行う前に、通常保護されてアクセスが不許可状態に
なっているメモリ保護管理テーブル３０１０１の設定を
適切に設定し直すことにより、該当アドレスにアクセス
を行えるようにする。

【００４８】３０１０４は時間管理手段であり、タイマ
ー割り込みによりタスク毎に管理テーブル変更手段３０
１０３がメモリ保護管理テーブル３０１０１を設定して
からの時間を管理している。このタイマーは管理テーブ
ル変更手段３０１０３により動作開始、動作停止、リセ
ットなど適切に制御される。ただし、動作中にタスク毎
に積算された時間がある一定時間を超えると、管理テー
ブル変更手段３０１０３に通知を行い、アクセス可能に
した領域のアクセスを元の状態に戻す。

【００４９】３０１０５は不正アクセス検知手段でメモ
リ保護管理テーブルの状態から不正アクセスの検知を行
う。

【００５０】３０１０６は条件復帰通知手段であり一時
間管理手段３０１０４により管理テーブル変更手段３０
１０３が動作した場合にＣＰＵなどの外部にそれを知ら
せるものである。

【００５１】次に本実施形態の動作を図１１に基づき説
明する。なお、ここではＡ，Ｂという２つのタスクが動
作している状態を想定していて他のタスクは存在しない
かまたは他のタスクの影響は考えないとする。また２つ
のタスクは領域Ｘを共有するものとする。

【００５２】初期状態ではタスクＡおよびタスクＢ共に
共有領域Ｘ３０３０２，３０３０４にはアクセスできな
い。ここでタスクＡが共有領域Ｘ３０３０２をアクセス
する必要が生じたとする。そのためタスクＡは管理テー
ブル変更手段３０１０３にアクセス許可を申請する。

【００５３】管理テーブル変更手段３０１０３はテーブ
ル選択ポインタ３０１０２が選択しているメモリ保護管
理テーブル３０１０１を変更し、タスクＡが共有領域３
０３０２にアクセスが出来るようにする。

【００５４】同時に時間管理手段３０１０４は管理テー
ブル変更手段３０１０３によりタスクＡのメモリ保護管
理テーブル３０１０１が変更されたことを知ることで時
間の積算をはじめる。このときタスクがタスクＢに切り
替わったとする。

【００５５】この場合はタスク切り換えと同時にテーブ
ル選択ポインタ３０１０２が、タスクＢが利用している
メモリ保護管理テーブル３０１０１を指し示すことにな
る。共有領域Ｘ３０３０５へのアクセス許可を受けたの
はタスクＡなので、たとえ物理的にも論理的にも同一で
あってもタスクＢの共有領域Ｘ３０３０６に関するアク
セスは不許可のままに保たれる。従ってタスクＢが誤っ
て共有領域Ｘ３０３０６をアクセスしても不正アクセス
として検知が行われる。

【００５６】一方、タスクＡは共有領域Ｘ３０３０５で
のアクセスが終了したあと、もう一度管理テーブル変更
手段３０１０３を介してアクセスを不可能にする。これ
により以後タスクＡで誤って共有領域Ｘ３０３０７への
アクセスが行われても不正アクセスとして検知が行われ
る。

【００５７】また、このときタスクＡが共有領域Ｘ３０
３０５のアクセス状態を変更し忘れた場合一時間管理手
段３０１０４のタスクＡの積算時間が、設定された一定
値を超えることになる。その場合一時間管理手段３０１
０４は管理テーブル変更手段３０１０４を利用してタス
クＡのメモリ保護管理テーブル３０１０３を書き換え、
共有領域Ｘ３０３０５へのアクセスを不許可状態にす
る。同時に条件復帰通知手段３０１０６により条件復帰
が行われたことがＣＰＵなどに知らされる。

【００５８】このような第３実施形態により、複数のタ
スク毎にメモリ保護管理テーブルを設定して個別のメモ
リアクセス制御を行うことができるとともに、共有領域
へのアクセスの許可、不許可状態を変更して緻密なアク
セス制御を行うことが可能となる。また、アクセスの許
可、不許可状態を変更した場合でも、時間管理手段３０
１０４によって一定時間経過した後は必ず元のアクセス
許可、不許可状態に戻るため、不正なアクセス許可状態
を的確に回避できるようになる。

【００５９】次に、第４実施形態について説明する。図
１２は、第４実施形態を説明する図である。４０１０１
はメモリ保護管理テーブルであり、並列実行単位である
タスク毎に１つずつ存在する。

【００６０】本実施形態でのメモリ保護管理テーブル４
０１０１の構成の一例は図１３に示すようなものとな
る。メモリ保護管理テーブル４０１０１はアクセスアド
レスの上位２４ｂｉｔをインデックスとしてアクセスす
ることができる４ｂｉｔのアクセス許可ビットからな
る。

【００６１】４ｂｉｔのアクセス許可ビットはタスク毎
に固定される半固定アクセス読み込み許可ビット４０２
０４、タスク毎に固定される半固定アクセス書き込み許
可ビット４０２０５、管理テーブル一時変更手役４０１
０３で変更される一時アクセス読み込み許可ビット４０
２０７および管理テーブル一時変更手段４０１０３で変
更される一時アクセス書き込み許可ビット４０２０８で
ある。

【００６２】４０１０２はテーブル選択ポインタであ
り、タスク毎にどのメモリ保護管理テーブル４０１０１
を利用するかを指し示している。テーブル選択ポインタ
はタスクが切り替わる毎にタスク毎に割り当てられたメ
モリ保護管理テーブル４０１０１を参照するように設定
される。

【００６３】４０１０３は管理テーブル一時変更手段で
あり、メモリ保護管理テーブル４０１０１の一時アクセ
ス読み出し許可４０２０７および書き込み許可４０２０
８を適切に設定することによりタスクが該当領域へのア
クセスを行えるようにする。これはモジュールが保護さ
れているメモリに対してアクセスを行うために必要とな
る。

【００６４】４０１０４は時間管理手段であり、タイマ
ー割り込みによりタスク毎に管理テーブル一時変更手段
４０１０３がメモリ保護管理テーブル４０１０１を設定
してからの時間を管理している。領域をアクセスしてい
るモジュールが領域のアクセスを終えたあと保護状態を
元に戻し忘れた場合など、タスク毎に積算された時間が
ある一定時間を超えると、管理テーブル一時変更手段４
０１０３に通知を行い、アクセス許可状態にした領域の
アクセスをもとの状態に戻す。

【００６５】４０１０５は不正アクセス検知手段でメモ
リ保護管理テーブル４０１０１の状態から不正アクセス
の検知を行う。

【００６６】４０１０６は条件変更通知手段であり時間
管理手段４０１０４により管理テーブル一時変更手段４
０１０３の動作が行われた場合にそのことを外部に知ら
せる。

【００６７】次に、本実施形態がどのような動作を行う
かを図１４、図１５に基づき説明する。本実施形態では
Ａ，Ｂという２つのタスクが動作している状態を想定し
ている。なお、タスクＡおよびＢ以外のタスクは存在し
ないか、他のタスクの影響は考えないとする。また２つ
のタスクは領域Ｘを共有するものとする。

【００６８】初期状態ではタスクＡは領域Ｘ４０３０２
に読み込みの権利だけがあり、タスクＢは領域Ｘ４０３
０４にはアクセスできない状態であるとする。この状態
では共有領域の半固定アクセス保護状態は図１５に示す
４０４０１，４０４０２のようになる。

【００６９】また、一時アクセス保護状態は読み出し側
４０４０３、書き込み側４０４０４とも０である。ここ
でタスクＡが共有領域Ｘ４０３０２に書き込みを行う必
要が生じたとする。このままの保護状態では共有領域Ｘ
４０３０２に書き込みを行うと不正アクセスとなるた
め、タスクＡは管理テーブル一時変更手段４０１０３に
共有領域Ｘ４０３０２の読み書き許可を得ようとする。

【００７０】管理テーブル一時変更手段４０１０３は、
メモリ保護管理テーブル４０１０１を変更し、読み書き
可能状態にする。実際には、管理テーブル一時変更手段
４０１０３は、テーブル選択ポインタ４０１０２で示さ
れているメモリ保護管理テーブル４０１０１の一時アク
セス保護状態の読み込みビット４０４０３および書き込
み側ビット４０４０４を１にセットする。

【００７１】そのため、書き込み許可を示すＯＲ回路の
出力４０４０６は１となり、書き込みが許可される。同
時に時間管理手段４０１０４は管理テーブル一時変更手
段４０１０３によりタスクＡのメモリ保護管理テーブル
４０１０１が変更されたことを知ることでタスクＡが利
用している時間の積算をはじめる。

【００７２】以上によりタスクＡは共有領域Ｘ４０３０
２への読み書き込み許可を得る。このときタスクがタス
クＢに切り替わってもテーブル選択ポインタがタスクＢ
用のメモリ保護管理テーブル４０１０１を指すため、タ
スクＢが以前に共有領域Ｘ４０３０６への読み書き許可
を得ていない限りタスクＢの領域Ｘ４０３０６に関する
アクセスは不許可のままである。このためタスクＢが誤
って領域Ｘ４０３０６をアクセスしても不正アクセスと
して検知が行われる。

【００７３】一方、タスクＡで領域Ｘ４０３０５でのア
クセスが終了したあと、もう一度管理テーブル変更手段
４０１０３を利用して書き込みを不許可にする。管理テ
ーブル一時変更手段４０１０３は、実際にはメモリ保護
管理テーブル４０１０１の一時アクセス保護状態の読み
込み側４０４０３および書き込み側４０４０４を０にセ
ットする。これにより以後タスクＡで誤って領域Ｘ４０
３０７への書き込みが行われても不正アクセスとして検
知が行われる。ただし、半固定アクセスの読み込み許可
ビット４０４０１は１のままなので読み込みは許可され
ている。

【００７４】もしタスクＡが領域Ｘ４０３０５のアクセ
ス状態を変更し忘れた場合、一時間管理手段４０１０４
のタスクＡの積算時間がある一定値を超えると時間管理
手段４０１０４は管理テーブル一時変更手段４０１０４
を利用してタスクＡの共有領域Ｘ４０３０５へのアクセ
スを不許可にすると共に、条件変更通知手段４０１０６
により外部に条件が成立してアクセス状態が変更された
ことを通知する。

【００７５】このような第４実施形態により、複数のタ
スク毎にメモリ保護管理テーブルを設定して個別のメモ
リアクセス制御を行うことができるとともに、共有領域
へのアクセスの許可、不許可状態を変更して緻密なアク
セス制御を行うことが可能となる。また、アクセスの許
可、不許可状態を変更した場合でも、時間管理手段４０
１０４によって一定時間経過した後は必ず元のアクセス
許可、不許可状態に戻るため、不正なアクセス許可状態
を的確に回避できるようになる。

【００７６】

【発明の効果】以上説明したように、本発明によれば次
のような効果がある。すなわち、不正メモリアクセスに
対するバグの発見が容易になり、製品でのエラーの特定
を正確にすることが可能となる。これにより、ユーザヘ
のエラー表示が正確となり、ユーザが機能を拡張したと
きの問題が起こりにくくなる。また、エラーの修正を早
期に行うことが可能となる。さらに、エラーを起こした
モジュールを特定できるため、そのモジュールの機能だ
けを停止または削除することで製品全体が停止すること
を防止できる。特に、新しい機能の導入もしくはソフト
ウェアのバージョンアップ時にダイアグ動作として検証
することで稼動時のシステムの異常を防ぐことが可能と
なる。

【図面の簡単な説明】

【図１】本実施形態に係る情報処理装置を説明するシ
ステム構成図である。

【図２】メモリマップの例を示す模式図である。

【図３】各プログラムの動作フローチャートである。

【図４】メモリ保護制御装置の具体例を説明する図で
ある。

【図５】プログラムカウンタを説明する概略図であ
る。

【図６】変換後のメモリマップの例を説明する模式図
である。

【図７】変換表の例を説明する模式図である。

【図８】第２実施形態の実現例を説明する模式図であ
る。

【図９】第３実施形態を説明する模式図である。

【図１０】メモリ保護管理テーブルの構成例を説明す
る模式図である。

【図１１】第３実施形態の動作を説明する模式図であ
る。

【図１２】第４実施形態を説明する模式図である。

【図１３】メモリ保護管理テーブルの構成例を説明す
る模式図である。

【図１４】第４実施形態の動作を説明する模式図（そ
の１）である。

【図１５】第４実施形態の動作を説明する模式図（そ
の２）である。

【符号の説明】

１０１０１…ＣＰＵ、１０１０２…メモリ保護制御装
置、１０１０３…メモリ、１０１０４…バス、１０１０
５…制御線

───────────────────────────────────────────────────── フロントページの続き (72)発明者佐藤浩一神奈川県海老名市本郷2274番地富士ゼロックス株式会社海老名事業所内Ｆターム(参考） 5B017 AA07 BB00 CA01 CA15 5B042 GA23 GA33 GB05 JJ15 JJ47 JJ49 KK01 KK13 LA20 MB05 MC17 NN01 5B098 AA03 GA02 GA04 GD21 JJ01 JJ08

Claims

【特許請求の範囲】

【請求項１】所定のプログラムを実行するＣＰＵと、前記ＣＰＵで実行するプログラムおよびそのプログラム
で使用するデータを格納するメモリと、前記ＣＰＵで実行するプログラムが前記メモリに対して
不正アクセスしたか否かを判断するメモリ保護制御手段
とを備えることを特徴とする情報処理装置。
【請求項２】前記メモリ保護制御手段は、前記メモリのアドレス空間に対してアクセス制御を行う
アクセス制御手段と、前記アクセス制御手段によるアクセス制御に反して前記
プログラムが行う前記メモリへの不正アクセスを検知す
る不正アクセス検知手段と、前記不正アクセスを行ったプログラムを特定するモジュ
ール特定手段とを備えることを特徴とする請求項１記載
の情報処理装置。
【請求項３】前記アクセス制御手段は、前記メモリの
アドレス空間とそこにアクセスするための特別なアドレ
ス空間とを固定的にもつことを特徴とする請求項２記載
の情報処理装置。
【請求項４】前記モジュール特定手段は、プログラム
の実行中の命令におけるアドレスを利用して不正アクセ
スを行ったプログラムを特定することを特徴とする請求
項２記載の情報処理装置。
【請求項５】前記アクセス制御手段は、アドレス変換
機能を備えていることを特徴とする請求項２記載の情報
処理装置。
【請求項６】前記アドレス変換機能は、ＭＭＵ（Memo
ry Management Unit）を用いることを特徴とする請求項
５記載の情報処理装置。
【請求項７】前記メモリ保護制御手段は、並列実行単位毎にアクセス制御を行うアクセス制御手段
と、前記アクセス制御手段による並列実行単位毎のアクセス
制御を任意の時点で一時的に設定変更する設定変更手段
と、前記アクセス制御手段によるアクセス制御に反して前記
プログラムが行う前記メモリへの不正アクセスを検知す
る不正アクセス検知手段と、所定の条件を満たした場合に前記設定変更手段によるア
クセス制御の設定変更を一時的に元に戻す条件復帰手段
とを備えることを特徴とする請求項１記載の情報処理装
置。
【請求項８】前記条件復帰手段によりアクセス制御の
設定変更が一時的に元に戻った際にその旨を通知する条
件復帰通知手段を備えることを特徴とする請求項７記載
の情報処理装置。
【請求項９】前記条件復帰手段は、前記ＣＰＵの利用
時間が一定時間に達した場合に前記アクセス制御の設定
変更を一時的に元に戻すことを特徴とする請求項７記載
の情報処理装置。
【請求項１０】前記条件復帰手段は、前記並列実行単
位毎のＣＰＵ利用時間が一定時間に達した場合に前記ア
クセス制御の設定変更を一時的に元に戻すことを特徴と
する請求項７記載の情報処理装置。
【請求項１１】前記条件復帰手段は、前記メモリに対
する一定回数のアクセスが行われた場合に前記アクセス
制御の設定変更を一時的に元に戻すことを特徴とする請
求項７記載の情報処理装置。
【請求項１２】前記メモリ保護制御手段は、並列実行単位毎にアクセス制御を行うアクセス制御手段
と、前記アクセス制御手段による並列実行単位毎のアクセス
制御を任意の時点で一時的に設定変更する設定変更手段
と、前記アクセス制御手段によるアクセス制御に反して前記
プログラムが行う前記メモリへの不正アクセスを検知す
る不正アクセス検知手段と、所定の条件を満たした場合に前記設定変更手段によるア
クセス制御状態を変更する条件付変更手段とを備えるこ
とを特徴とする請求項１記載の情報処理装置。
【請求項１３】前記条件付変更手段によりアクセス制
御状態の変更が行われた旨を通知する条件復帰通知手段
を備えることを特徴とする請求項１２記載の情報処理装
置。
【請求項１４】前記条件付変更手段は、前記ＣＰＵの
利用時間が一定時間に達した場合に前記アクセス制御状
態を変更することを特徴とする請求項１２記載の情報処
理装置。
【請求項１５】前記条件付変更手段は、前記並列実行
単位毎のＣＰＵ利用時間が一定時間に達した場合に前記
アクセス制御状態を変更することを特徴とする請求項１
２記載の情報処理装置。
【請求項１６】前記条件付変更手段は、前記メモリに
対する一定回数のアクセスが行われた場合に前記アクセ
ス制御状態を変更することを特徴とする請求項１２記載
の情報処理装置。