JP2003507811A - ダウンロードされたプログラム断片を管理するためのプロトコル、ダウンロードされたプログラム断片を検証および変換する方法、および対応するシステム - Google Patents

Abstract

(57)【要約】 本発明は携帯可能なシステムにダウンロードされたプログラム断片、すなわち、アップレット、の検証を管理するプロトコルと、検証する方法に関するものである。アップレット・ダウンロードコマンド（１００ａ、１００ｂ）が実行される。肯定応答がひとたび受けられると、アップレットのオブジェクト・コードが読出され（１０１）、検証プロセスが、命令ごとに、行われる（１０２）。検証プロセスは、アップレットコードの実行開始時における携帯可能なシステムの仮想マシンの状態を表す、タイプスタックおよびレジスタタイプの初期化を行う段階と、ターゲット分岐命令と、ターゲット例外ハンドラ呼出しと、ターゲットサブルーチン呼出しとの存在の、各ターゲット現在の命令に対する、命令ごとの、検証段階とで構成されている。検証が成功したならば（１０３ａ）、アップレットは登録され（１０４）、確認応答がダウンロードドライブへ送られる（１０５）。さもなければ、アップレットは破壊される（１０６）。本発明はＪａｖａ環境における携帯可能なシステムに使用するのに適している。

Description

【発明の詳細な説明】

【０００１】 （技術分野） 本発明は、ダウンロードされたプログラム断片を管理するプロトコル、ダウン
ロードされたプログラム断片を検証する方法、ダウンロードされたプログラム断
片を変換する方法、および対応するシステム、更に詳しくいえば、メモリおよび
コンピューティング・パワーに関して利用できるいくつかの資源を有するオンボ
ード・データ処理システムを意図されているシステムに関する。

【０００２】 （背景技術） 一般的なやり方では、図１ａを参照して、オンボード・データ処理システム１
０はマイクロプロセッサ１１と、実行可能なプログラムのコードを含んでいる書
き替えできないメモリ１２などの、固定メモリと、システムに保存されるデータ
を含んでいるＥＥＰＲＯＭタイプの書き替え可能で、不揮発性の固定メモリ１３
と、プログラムが実行中にそれの中間結果を保存する揮発性のランダムアクセス
メモリ１４と、システムがそれの周辺と相互作用できるようにする入力／出力装
置１５とを含んでいることが繰り返される。オンボード・データ処理システムが
、銀行カードタイプの、マイクロプロセッサ・カードで構成されている場合には
、入力／出力装置１５は、そのカードが、カード読取り端末装置などの、端末装
置と通信できるようにする直列リンクで構成される。

【０００３】 従来のオンボード・データ処理システムでは、システムにより実行されるプロ
グラムのコードはシステムの製造中、または少なくとも後者が最終需要者へ出荷
される前、は固定される。

【０００４】 しかし、より高度なオンボード・データ処理システムが実現されており、それ
らのシステムは、たとえば、ＪａｖａＣａｒｄタイプのマイクロプロセッサ・カ
ード、などのように、再プログラム可能である。先のタイプに関しては、それら
の再プログラム可能なシステムは、ダウンローディング・プログラム断片のオペ
レーションを介して、システムが実務に供された後でプログラムの性能を高める
可能性を付加する。「アップレット」により広く名付けられている、それらのプ
ログラム断片を、この記述ではごちゃまぜにアップレットまたはプログラム断片
と呼ぶことにする。ＪａｖａＣａｒｄシステムについての詳細については、企業
ＳＵＮ ＭＩＣＲＯＳＹＳＴＥＭＳ ＩＮＣ．により１９９９年６月に出版され
た文書、特にｗｗｗ（ワールド・ワイド・ウエブ）サイト上で電子的に利用でき
るドキュメンテーション、ＪａｖａＣａｒｄ技術チャプター、ｈｔｔｐ：／／ｊ
ａｖａ．ｓｕｎ．ｃｏｍ．／ｐｒｏｄｕｃｔｓ／ｊａｖａｃａｒｄ／ｉｎｄｅｘ
．ｈｔｍｌ、を参照することができ、そうすると有用である。

【０００５】 図１ｂはそのような再プログラム可能なオンボード・データ処理システムのア
ーキテクチャを示す。このアーキテクチャは従来のオンボードシステムのそれに
類似しているが、再プログラム可能なオンボード・データ処理システムは、それ
の入力／出力装置の１つによりアップレットを更に受けることができ、その後で
それらをそれの固定メモリ１３に保存し、その後でそのメモリからそれらを主プ
ログラムを補充するものとして実行できる、ことが異なる。

【０００６】 種々のオンボード・データ処理システムの間の可搬性という理由で、アップレ
ットは標準仮想マシンのためのコードの形で提供される。このコードはマイクロ
プロセッサ１１により直接実行されるものではなく、仮想マシン１６によりソフ
トウエア用語で解釈しなければならない。それは書き替えできない固定メモリ１
２に常駐しているプログラムで構成される。ＪａｖａＣａｒｄカードの上記の例
では、使用される仮想マシンはＪａｖａ仮想マシンのサブセットである。Ｊａｖ
ａ仮想マシンに関連する仕様と、使用される仮想マシンとについての説明につい
ては、１９９６年にＡｄｄｉｓｏｎ‐Ｗｅｓｌｅｙにより出版された、Ｔｉｍ
ＬＩＮＤＨＯＬＭおよびＦｒａｎｋ ＹＥＬＬＩＮの「Ｊａｖａ仮想マシン仕様
（Ｔｈｅ Ｊａｖａ Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ Ｓｐｅｃｉｆｉｃａｔ
ｉｏｎ）」、および企業ＳＵＮ ＭＩＣＲＯＳＹＳＴＥＭＳ ＩＮＣ．により１
９９９年３月に出版された文書、特にｗｗｗサイト上で電子的に利用できるドキ
ュメンテーション、「ＪａｖａＣａｒｄ２．１仮想マシン仕様」、ｈｔｔｐ：／
／ｊａｖａ．ｓｕｎ．ｃｏｍ．／ｐｒｏｄｕｃｔｓ／ｊａｖａｃａｒｄ／ＪＣＶ
ＭＳｐｅｃ．ｐｄｆ、を参照することができ、そうすると有用である。

【０００７】 サービス中のオンボード・データ処理システムにアップレットをダウンロード
する操作はかなりのセキュリティ問題をひき起こす。知らずに、またはわざと、
誤って書かれたアップレットはシステムに存在するデータを不正確に修正して、
主プログラムを正しく、または正しい時刻に、実行することを妨げ、またはそれ
以外に、以前にダウンロードされた他のアップレットを変更して、それらを使用
不能または有害なものにすることがあるかもしれない。

【０００８】 コンピュータ・ハッカーにより書かれたアップレットはシステムに保存されて
いる秘密情報、たとえば、銀行カードの場合にはアクセスコードなどの情報、を
暴露することもあるかもしれない。現在は、アップレットのセキュリティの問題
を解決するために３つの解決策が提案されている。

【０００９】 第１の解決策は、信用されている法人または個人から出されたアップレットの
みを受けるように、暗号署名を用いることである。

【００１０】 銀行カードの上記例では、カードを発行した銀行の暗号署名を有するアップレ
ットのみが受けられ、カードにより実行され、署名のない他のいかなるアップレ
ットもダウンロード操作中に捨てられる。銀行から暗号化キーを利用できないカ
ードの悪意のユーザーは、したがってカード上の署名されていない危険なアップ
レットを実行できない。

【００１１】 この第１の解決策は、同じ１つの出所、上記例では銀行、から全てのアップレ
ットが出る場合にはよく適する。この解決策は、銀行カードの例では、カードの
製作者、銀行、銀行カードのサービスを管理する企業、顧客のロイヤリティ・プ
ログラムを提供し、特定のアップレットをカードに合法的にダウンロードするこ
とを提案している大規模な商用分配組織などの、いくつかの出所からアップレッ
トが出るような場合には適用が困難である。アップレットの電子署名のために必
要な暗号鍵をそれらの種々の経済的関与者の間で共有することが大きな技術的、
経済的および法的な諸問題をひき起こす。

【００１２】 第２の解決策は、アップレットの実行中にアクセスとタイピングのダイナミッ
クな検証を実行することである。

【００１３】 この解決策では、仮想マシンが、アップレットの実行中に、 − メモリに対するアクセスの検証：メモリ領域での各読出しおよび各書込み
時に、仮想マシンが対応するデータに対するアップレットによるアクセスの権利
を検証する、 − データタイプのダイナミック検証：アップレットから各命令が届くと、仮
想マシンは、データタイプに対する制約が満たされることを調べる。例により、
仮想マシンは、有効なメモリアドレスなどのデータについての特殊な取扱いを行
い、整数アドレス変換またはアドレスに対する算術演算により無効なアドレスを
発生するアップレットを阻止することができる、 − スタックのあふれおよび仮想マシンの実行スタックに対する不法なアクセ
スの検出、それは、ある条件の下では、先行する検証機構を迂回する点まで、そ
れの動作を乱しがちである、 などのいくらかの検証を行う。

【００１４】 この第２の解決策によって、満足できるセキュリティ条件の下で広範囲のアッ
プレットを実行できる。しかし、ダイナミック検証の範囲によって実行がかなり
遅くされるという欠点を持つ。実行を速くするために、マイクロプロセッサが複
雑となって、オンボードシステムのコスト費用が増大するが、それらの検証のい
くらかをマイクロプロセッサ自体が引き受けることができる。その検証は、取り
扱われるデータに関連付けるために追加のタイプ情報を必要とするために、装置
のランダムアクセスメモリおよび固定メモリの必要量が一層増加する。

【００１５】 第３の解決策は、ダウンロード中にアップレットのコードの静的な検証を行う
ことである。

【００１６】 この解決策では、この静的な検証はデータタイプのレベルでアップレットの実
行をシミュレートし、アップレットのコードがデータタイプの規則と、仮想マシ
ンにより課されるアクセス制御の規則とに適合することを、全てに対して１回、
設定し、スタックのあふれをひき起こさない。この静的検証が成功すれば、この
規則に適合することを動的に検証する必要なくアップレットを実行できる。静的
検証に失敗したならば、オンボード装置は「アップレット」を除却し、それの以
後の実行を行えないようにする。上記第３の解決策の詳細については、前記Ｔｉ
ｍ ＬＩＮＤＨＯＬＭおよびＦｒａｎｋ ＹＥＬＬＩＮにより著作された文献と
、ｐｒｏｃｅｅｄｉｎｇ ｏｆ ｔｈｅ ＡＣＭ ＳＩＧＰＬＡＩＮ，Ｗｏｒｋ
ｓｈｏｐ ｏｎ Ｉｎｔｅｒｍｅｄｉａｔｅ Ｒｅｐｒｅｓｅｎｔａｔｉｏｎ（
ＩＲ′９５）、１９９５年１月号、１１８〜１１８ページ所載のＪａｍｅｓ Ａ
．ＧＯＳＬＩＮＧの「Ｊａｖａ中間バイトコード（Ｊａｖａ Ｉｎｔｅｒｍｅｄ
ｉａｔｅ Ｂｙｔｅ ｃｏｄｅ）」と題する論文、および１９９８年５月５日に
認可された米国特許第５，７４８，９６４号を参照すると有用である。

【００１７】 第２の解決策と比較して、第３の解決策は、仮想マシンが実行中にいかなる検
証も行わないので、アップレットの実行がはるかに速いという利点を有する。

【００１８】 しかし、第３の解決策には、静的検証プロセスを行うために必要なコードのサ
イズと、検証の中間結果を保存するために必要なランダムアクセスメモリの容量
と、計算時間との面で複雑で費用がかさむという欠点がある。例によって、ＳＵ
Ｎ ＭＩＣＲＯＳＹＳＴＥＭＳにより市販されているＪａｖａ ＪＤＫシステム
に統合されているコード検証は約５０ｋバイトのマシンコードを表し、ランダム
アクセスメモリの必要な容量は（Ｔｐ×Ｔｒ）×Ｎｂに比例する。ここに、Ｔｐ
は最大スタック空間を示し、Ｔｒは最大レジスタ数を示し、Ｎｂはアップレット
の、方法により広く示されている、サブプログラムにより使用される分岐ターゲ
ットの最大数を示す。それらのメモリの必要容量は、今日の多数のオンボード・
データ処理システム、特に商用のマイクロプロセッサカード、の資源の容量を大
幅に超えていた。

【００１９】 第３の解決策のいくつかの変形が提案されている。そのうちには、アップレッ
トの書き手が、アップレットのコードに加えて、予め計算されたデータタイプま
たは正しいデータタイピングの予め設定された証明などの、ある量の特定の補充
情報を検証する装置へ送るものがある。対応する操作モードについての詳細につ
いては、ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｗｏｒｋｓｈｏｐ Ｆｏｒｍ
ａｌ Ｕｎｄｅｒｓｐｉｎｎｉｎｇ ｏｆ Ｊａｖａ １９８８年１０月、所載
のＥｖｓ ＲＯＳＥおよびＫｒｉｓｔｏｆｆｅｒ ＨＯＧＳＢＲＯ ＲＯＳＥの
「軽量バイトコード検証（Ｌｉｇｈｔｗｅｉｇｈｔ Ｂｙｔｅｃｏｄｅ Ｖｅｒ
ｉｆｉｃａｔｉｏｎ）」と、第２４回プログラミング言語の原理についてのＡＣ
Ｍシンポジウム紀要（Ｐｒｏｃｅｅｄｉｎｇ ｏｆ ｔｈｅ ２４ｔｈ ＡＣＭ
Ｓｙｍｐｏｓｉｕｍ Ｐｒｉｎｃｉｐｌｅｓ ｏｆ ＰｒｏｇｒａｍｍｉｎｇＬ
ａｎｇｕａｇｅｓ）１０６〜１１９ページ所載のＧｅｏｒｇｅ ｃ．ＮＥＣＵＬ
Ａの「証明保持コード（Ｐｒｏｏｆ‐Ｃａｒｒｙｉｎｇ Ｃｏｄｅ）」と題する
論文とを参照すると有用である。

【００２０】 この補充情報によってコードをより迅速に検証すること、および検証プログラ
ムのコードのサイズをわずかに小さくすることが可能にされるが、ランダムアク
セスメモリに対する要求を減少したり、または正確なデータタイピングの予め設
定された証明情報の場合に、それらを十分増加することさえ可能にはしない。

【００２１】 本発明の目的は先行技術の上記諸欠点を解消することである。

【００２２】 （発明の開示） 特に、本発明の１つの主題は、ダウンロードされたプログラム断片、すなわち
、アップレット、を管理して、利用できるいくつかの資源を有する、マイクロプ
ロセッサカードなどの、オンボードデータ処理システムにより後者の実行を行え
るようにするプロトコルを実現することである。

【００２３】 本発明の他の主題は、ダウンロードされたプログラム断片、すなわち、アップ
レット、を検証する方法をまた実現することであって、アップレットのコードが
ダウンロードされた時にそれを静的に検証するプロセスが実行され、このプロセ
スは、少なくともそれの原理においては、上記第３の解決策におそらく沿うもの
であるが、メモリの容量の値の限度内と、マイクロプロセッサカードおよびその
他の低性能オンボードデータ処理システムにより課される計算速度の限度内でこ
の検証を実行できるように、新しい検証技術が導入されている。

【００２４】 本発明の別の主題は、たとえば、標準化されたプログラム断片、すなわち、ア
ップレット、についてＪａｖａコンパイラを使用することにより得られる従来の
タイプのプログラム断片を変換する方法を実現することでもある。この方法は、
検証のプロセスを加速し、かつ今日のマイクロプロセッサカードまたはオンボー
ドデータ処理システムのレベルでそれらを実行するねらいで、本発明の主題であ
る検証方法の検証基準を、先験的に、満足する。

【００２５】 本発明の他の主題は、最後に、ダウンロードされたプログラム断片の検証を管
理する前記プロトコルと、ダウンロードされたプログラム断片を検証する上記方
法とを実施できるようにするオンボードデータ処理システムと、従来のプログラ
ム断片、すなわち、アップレット、を標準化されたプログラム断片、すなわち、
アップレット、を上記のようにして変換する方法を実施できるようにするデータ
処理システムとを製造することである。

【００２６】 本発明の主題である、再プログラム可能なオンボードデータ処理システムにダ
ウンロードされたプログラム断片を管理するプロトコルは、書き替え可能なメモ
リを装備されているマイクロプロセッサカードに特に応用される。プログラム断
片は、オブジェクト・コードと一連の命令とにより構成されている。それらは、
実行スタックと、それらの命令を介して操作されてこのオブジェクト・コードの
解釈を可能にするローカル変数またはレジスタとを装備されている仮想マシンに
より、オンボードシステムのマイクロプロセッサによって実行できる。オンボー
ドシステムは端末装置と相互に接続されている。

【００２７】 それは、少なくともオンボードシステムのレベルにおいて、プログラム断片を
ダウンロードするためのコマンドを検出することにあることは注目に値する。ダ
ウンローディング・コマンドを検出する段階に対して肯定応答が行われると、そ
れは、更に、プログラム断片を構成しているオブジェクト・コードを読出しこの
オブジェクト・コードを書き替え可能なメモリに一時的に保存する。メモリに保
存されているオブジェクト・コードの全ては、命令ごとに、検証される。検証プ
ロセスは少なくとも、タイプスタックと、一時的に保存されているオブジェクト
・コードの実行開始時に仮想マシンの状態を表しているレジスタタイプのテーブ
ルを初期化する段階と、現在の各命令に対して、ターゲットと、分岐命令ターゲ
ットと、例外ハンドラのターゲットとの存在の、命令ごとの、検証の一連の段階
と、タイプスタックとレジスタタイプのテーブルとについての現在の命令の効果
の検証および更新の段階とにある。オブジェクト・コードの検証に合格しなかっ
た場合には、本発明の主題であるプロトコルは、一時的に保存されているプログ
ラム断片を削除し、その時に利用できるプログラム断片のディレクトリに後者を
記録することを省き、かつ誤りコードを読取り器へ送る。

【００２８】 本発明の主題である、オンボードシステムにダウンロードされたプログラム断
片を検証する方法は、書き替え可能なメモリを装備されているマイクロプロセッ
サカードに特に適用される。プログラム断片はオブジェクト・コードにより構成
され、少なくとも１つのサブプログラム、一連の命令、を含んでいる。そのサブ
プログラムは、実行スタックと、それらの命令により操作されるオペランド・レ
ジスタとを装備されて、このオブジェクト・コードを解釈可能にする仮想マシン
により、オンボードシステムのマイクロプロセッサによって実行できる。オンボ
ードシステムは端末装置と相互に接続されている。

【００２９】 ダウンローディング・コマンドの検出と、プログラム断片を構成しているオブ
ジェクト・コードの書き替え可能なメモリへの保存とに続いて、それは、各サブ
プログラムごとに、一時的に保存されているオブジェクト・コードの実行開始時
に、仮想マシンの状態を表しているデータによりタイプスタックとレジスタタイ
プのテーブルの初期化段階を実行することと、分岐命令ターゲットと、例外ハン
ドラ呼出しのターゲットと、サブルーチン呼出しのターゲットとの存在の弁別に
より、現在の各命令について、一時的に保存されているオブジェクト・コードの
検証を命令ごとに検証することと、タイプスタックのデータタイプとレジスタタ
イプのテーブルのデータタイプとに対する現在の命令の効果の実行と更新を、分
岐命令ターゲット、ターゲットサブルーチン呼出し、または例外ハンドラ呼出し
のターゲットの存在を基にして行うことにあることは注目するに値する。レジス
タタイプのテーブルが全ての命令の検証中に変更されていなければ、検証は成功
し、検証プロセスは、レジスタタイプのテーブルが安定して、変更が存在しなく
なるまで命令ごとに実行される。さもなければ、検証プロセスは中断される。

【００３０】 本発明の主題である、プログラム断片のオブジェクト・コードをこの同じプロ
グラム断片に対する標準化されたオブジェクト・コードに変換する方法は、各命
令のオペランドランドがこの命令により操作されるデータタイプに属するような
プログラム断片のオブジェクト・コードに適用される。実行スタックはいかなる
あふれ現象も示さず、各分岐命令に対して、この分岐におけるスタックの変数の
タイプはこの分岐のターゲットにおけるものと同じである。得られた標準化され
たオブジェクト・コードは、各命令のオペランドが、この命令により操作される
データタイプに属し、実行スタックはいかなるあふれ現象も示さず、実行スタッ
クは分岐ターゲット命令において空きである。

【００３１】 それは、オブジェクト・コードの全ての命令に対して、この命令の実行前およ
び実行後の実行スタックのデータタイプを持つ現在の各命令を注釈することと、
命令内および現在の各命令内で、それに対する実行スタックが空きでないような
分岐の存在を検出することと、にあることに注目するに値する。注釈データはこ
の命令に関連するデータ流の分析により計算され、検出操作は現在の各命令に割
当てられているスタック変数のタイプの注釈データを基にして実行される。空き
でない実行スタックの検出が行われると、それは更に、この分岐の前に実行スタ
ックの内容を一時的レジスタに入れて空きにし、かつこの分岐の後で一時的レジ
スタから実行スタックを再設定するために、命令を挿入してスタック変数をそれ
らの分岐または分岐ターゲットのいずれかの側に転送すること、およびさもなけ
ればいかなる転送命令も挿入しないことにある。

【００３２】 したがって、この方法はこの同じプログラム断片に対して標準化されたオブジ
ェクト・コードを得ることを可能にする。そのプログラム断片では、プログラム
断片の実行に対するいかなる変更も存在しないと、実行スタックは各分岐命令お
よび各分岐ターゲット命令において空きである。

【００３３】 本発明の主題である、プログラム断片のオブジェクト・コードをこの同じプロ
グラム断片のために標準化されたオブジェクト・コードへ転送する方法は、各命
令のオペランドがこの命令により操作されているデータタイプの属しているプロ
グラム断片のオブジェクト・コードに更に適用され、このオブジェクト・コード
の命令によりレジスタに書込まれた所与のタイプのオペランドが、同じ所与のデ
ータタイプを持つこのオブジェクト・コードの別の命令により同じレジスタから
再び読出される。得られた標準化されたオブジェクト・コードは、オペランドが
この命令により操作されているデータタイプに属するようなものであり、１つの
同じデータタイプが標準化されたオブジェクト・コード全体にわたって同じレジ
スタに割当てられている。

【００３４】 それは、オブジェクト・コードの全ての命令に対して、この命令の実行前およ
び後のレジスタのデータタイプを持つ現在の各命令を注釈することと、採用され
ている元のレジスタを別々の標準化されたレジスタに分割することにより、それ
らの元のレジスタの種々のタイプの再割当てを実行することにあることに注目す
るに値する。注釈データはこの命令に関連するデータ流の分析により計算される
。１つの標準化されたレジスタが使用されている各データタイプに割当てられる
。標準化されたレジスタを使用するオペランドを操作する命令の再更新が行われ
る 。

【００３５】 本発明の主題である、プログラム断片を管理するプロトコルと、プログラム断
片を検証する方法と、プログラム断片のオブジェクト・コードを標準化されたオ
ブジェクト・コードに変換する方法と、対応するシステムとは、マイクロプロセ
ッサカード、特にＪａｖａ環境における、などの再プログラム可能なオンボード
システムの開発において応用される。

【００３６】 それらは下記の説明を読み、かつ、先行技術に関連する図１ａと図１ｂ以外の
図面を見ることにより一層良く理解されるであろう。

【００３７】 （発明を実施するための最良の形態） 一般に、本発明の主題である、ダウンロードされたプログラム断片を管理する
プロトコルと、ダウンロードされたプログラム断片を検証および変換する方法と
、対応するシステムとは、資源を少し有する、特にマイクロプロセッサカードな
どの、オンボードデータ処理システムにおけるアップレットの確実なダウンロー
ドおよび実行のためのソフトウエアアーキテクチャにより実現されることが示さ
れている。

【００３８】 一般に、下記の説明はＪａｖａＣａｒｄタイプの再プログラム可能なマイクロ
プロセッサカードの応用に関するものであることが示されている。先に説明の冒
頭で述べた、企業ＳＵＮ ＭＩＣＲＯＳＹＳＴＥＭＳ ＩＮＣ．から電子的に入
手できる文書、ＪａｖａＣａｒｄ Ｔｅｃｈｎｏｌｏｇｙを参照されたい。

【００３９】 しかし、本発明は、実行スタック、ローカル変数またはレジスタ、を含む仮想
マシンのコードで書かれたアップレットをダウンロードすることにより再プログ
ラムできる任意のオンボードシステムに応用できる。それの実行モデルが強力に
タイプづけられ、アップレットのコードの各命令が特定のデータタイプのみに適
用される。次に本発明の主題である、再プログラム可能なオンボードシステムに
ダウンロードされたプログラム断片を管理するプロトコルを図２を参照して説明
する。

【００４０】 上記図を参照して、プログラム断片すなわちアップレットを構成しているオブ
ジェクト・コードが、上記仮想マシンによってオンボードシステムのマイクロプ
ロセッサにより実行できる一連の命令で構成されていることが示されている。仮
想マシンは上記オブジェクト・コードを解釈することを可能にする。オンボード
システムはたとえば直列リンクを介して端末装置に相互接続されている。

【００４１】 上記図２を参照して、本発明の主題である管理プロトコルは、段階１００ａ、
１００ｂで、オンボードシステムにおいて、このプログラム断片をダウンロード
するコマンドを検出することに少なくともある。したがって、段階１００ａは、
上記コマンドを読取る段階で構成でき、段階１００ｂは読取られたコマンドを試
験し、ダウンロード・コマンドの存在を検証する段階である。

【００４２】 ダウンロード・コマンドを検証する段階である段階１００ａ、１００ｂに対し
て肯定応答が行われると、本発明の主題であるプロトコルは、次に段階１０１に
おける、関連するプログラム断片を構成しているオブジェクト・コードを読取り
、上記オブジェクト・コードをオンボードデータ処理システムのメモリに一時的
に保存することにある。上記一時的保存操作は再書き込み可能なメモリにおいて
実行でき、または適切であるならば、十分な容量を有している、オンボードシス
テムのランダムアクセスメモリで実行できる。オブジェクト・コードを読み出し
て再書き込み可能なメモリに一時的に保存する段階は、図２においてアップレッ
トのコードをロードするとして示されている。

【００４３】 その後で上記段階に、一時的に保存されているオブジェクト・コードの全てを
、上記オブジェクト・コードの、命令ごとの、検証プロセスに提出することであ
る段階１０２が続く。

【００４４】 検証プロセスは、タイプのスタックと、一時的に保存されているオブジェクト
・コードの実行開始時に仮想マシンの状態を表すデータタイプのテーブルとを初
期化する段階と、ＣＩＢと示されている分岐命令ターゲットなどのターゲットと
、例外ハンドラ呼出しのターゲットまたはサブルーチン呼出しのターゲットなど
のターゲットの存在を、Ｉ_iで示されている、各命令に対して、見分けることに
より、命令ごとに、検証する一連の段階とに少なくともある。現在の命令Ｉ_iの
タイプのスタックとレジスタタイプのテーブルとに対する効果の検証と更新が行
われる。

【００４５】 段階１０３ａで検証に合格すると、本発明の主題であるプロトコルは、段階１
０４において、ダウンロードされたプログラム断片を利用できるプログラム断片
のディレクトリに記録することと、段階１０５において、肯定的な受領確認応答
を読取り器へ送ることにある。

【００４６】 他方、段階１０３ｂにおけるオブジェクト・コードの検証に合格しない場合に
は、本発明の主題であるプロトコルは、段階１０３ｃにおいて、一時的に記録さ
れているプログラム断片のオンボードシステムにおけるいかなる実行も禁止する
ことにある。禁止段階１０３ｃは種々のやり方で実現できる。限定しない例とし
て、この段階は、段階１０６において、一時的に記録されているプログラム断片
を、利用できるプログラム断片のディレクトリに記録することなく削除すること
と、段階１０７において、誤りコードを読取り器へ送ることとにある。段階１０
７と１０５は段階１０６と１０４のそれぞれの後に実現でき、またはそれらとの
マルチタスク動作で実現できる。

【００４７】 同じ図２を参照して、段階１００ｂにおけるダウンロード・コマンドを検出す
ることにある段階に対する応答が否定であると、本発明の主題であるプロトコル
は、段階１０８において、プログラム断片のディレクトリからの利用できるプロ
グラム断片を選択するコマンドを検出することにあり、利用できるプログラム断
片の選択を検出した、段階１０８に対する応答が肯定であると、段階１０９にお
いて、この選択された利用できるプログラム断片を実行するためにそれを読出す
ことにある。その後で段階１０９の後に、仮想マシンにより呼出された利用でき
るプログラム断片を実行する段階１１０が続く。これには可変タイプの動的な検
証と、呼出された利用できるプログラム断片により操作されるオブジェクトのア
クセス権、または各命令が実行された時の実行スタックのあふれははない。

【００４８】 段階１０８において否定応答が得られた場合には、この段階は呼出された利用
できるプログラム断片を選択するコマンドを検出することにあり、本発明の主題
であるプロトコルは、段階１１１において、オンボードシステムの標準コマンド
を処理することに進むことにある。

【００４９】 たとえば、タイプの動的な検証またはＪａｖａＣａｒｄタイプのオブジェクト
に対するアクセス権が無いことに関しては、この検証なしはカードのセキュリテ
ィを妥協するものではない。その理由は、アップレットのコードは必然的にうま
く合格した検証を有するからである。

【００５０】 更に詳しく言えば、本発明の主題である方法で、マイクロプロセッサカードま
たはオンボードデータ処理システムに対して行われるように、実行されるコード
検証は、説明において以前に述べた「Ｊａｖａ仮想マシン仕様（Ｊａｖａ Ｖｉ
ｒｔｕａｌ Ｍａｃｈｉｎｅ Ｓｐｅｃｉｆｉｃａｔｉｏｎ）」と題する文書に
記述されている仮想Ｊａｖａマシンについてのコードの従来の検証よりも選択的
である。

【００５１】 しかし、従来のＪａｖａ検証者が関連する限り正しいＪａｖａ仮想マシンの任
意のコードを、マイクロプロセッサカードで行われるコード検証にうまく合格で
きる等価コードに変換できる。

【００５２】 本発明の主題であるプロトコルを実現するということに関して述べた上記検証
基準を満たすＪａｖａコードを直接に書込むことを思い浮かべることは可能であ
るが、本発明の注目すべき目的は任意の標準的なＪａｖａコードを、同じプログ
ラム断片に対する標準化されたコードに自動的に変換する方法を実現することで
もあり、上記のように実現された検証基準を必然的に満たす。標準化されたコー
ドに変換する方法、および対応する装置についてこの説明に続いて詳細に説明す
る。

【００５３】 本発明の主題に従ってプログラム断片、すなわちアップレット、を検証する方
法のより詳細な説明を図３ａおよび以後の図を参照して以下に詳細に説明する。

【００５４】 一般に、本発明の主題である検証方法を、図２を参照して上で説明したように
、本発明の主題であるプログラム断片を管理するプロトコルの一部として、また
は独立に実現できて、必要であると判定された検証プロセスをそれがどのような
ものであっても提供することが示されている。

【００５５】 一般に、プログラム断片は、少なくとも１つのサブプログラム、より一般的に
は方法と名付けられている、を含んでいるオブジェクト・コードで構成され、か
つオンボードシステムのマイクロプロセッサにより仮想マシンを介して実行でき
る一連の命令で構成されることが示されている。

【００５６】 図３ａに示されているように、この検証法は、各サブプログラムに対して、検
証の主題であるオブジェクト・コードの実行の開始時に仮想マシンの状態を表し
ているデータにより、タイプのスタックと、この仮想マシンのレジスタタイプの
テーブルとを初期化する段階２００を実行することにある。このオブジェクト・
コードは、本発明の主題であるプロトコルの実現を参照して上で説明したように
一時的に保存できる。

【００５７】 上記段階２００の後に、オブジェクト・コードの最初の命令に現在の命令Ｉ_i
、インデックスｉ、の読出しを配置することにある段階２００ａが続く。段階２
００ａの後に、Ｉ_iで示されている、現在の各命令に対して、分岐命令ターゲッ
トＣＩＢ、例外ハンドラ呼出し、ＣＥＭで示されている、のターゲット、または
サブルーチン呼出しのターゲットＣＳＲの存在を見分けることにより、上記オブ
ジェクト・コードの検証を命令ごとに行うことである段階２０１が続く。

【００５８】 検証段階２０１の後に、タイプのスタックのデータタイプとレジスタタイプの
テーブルのデータタイプとに対する現在の命令Ｉ_iの効果を他の命令により指摘
された現在の命令について、分岐命令ターゲットＣＩＢと、サブルーチン呼出し
のターゲットＣＳＲと、例外ハンドラ呼出しＣＥＭのターゲットとの存在の関数
として検証および更新する段階が続く。

【００５９】 現在の命令Ｉ_iのための段階２０２の後に、最後の命令に達したかかどうかを
判定する段階２０３が続く。この判定は： Ｉ_i＝オブジェクト・コードの最後の命令か と書かれる。この判定２０３に対する応答が否定であると、プロセスは、ｉ＝ｉ
＋１と書かれている次の命令２０３へ進み、それから段階２０１へ戻る。

【００６０】 段階２０２における、上記検証は、レジスタタイプのテーブルが、オブジェク
ト・コードを構成している全ての命令Ｉ_iの検証中に変更されていない時に合格
したと示されている。このために、レジスタタイプのテーブルの安定な状態の存
在についての判定２０５が設けられている。この判定は： ∃？レジスタタイプのテーブルの安定な状態 と書かれている。

【００６１】 判定２０５に対する応答が肯定であると、検証に合格したことになる。

【００６２】 他方、変更が存在していることが通知されている場合には、検証プロセスは繰
り返され、段階２００ａへ戻ることにより再開される。最大Ｎｒ×Ｈの繰り返し
の後でプロセスは終了することが保証されている。ここに、Ｎｒは使用されてい
るレジスタの数を示し、Ｈはサブタイプ関係に依存する定数を示す。

【００６３】 図３ａを参照して上で説明した検証方法の最中に操作される変数のタイプに関
する種々の指示を、図３ｂを参照して次に説明する。

【００６４】 上記変数タイプは、検証されるプログラム断片中で定められているオブジェク
トクラスに対応するクラス識別子と、数値変数タイプとを少なくとも含む。数値
お変数タイプは、タイプｓｈｏｒｔ、ｐビットに符号化された整数、ここにｐの
値は１６にできる、飛び越し命令ＪＳＲの戻りアドレスのためのタイプ、このア
ドレスタイプはｒｅｔａｄｄｒと識別されている、零オブジェクトの参照に関連
するタイプｎｕｌｌ、オブジェクトプロパーに関連するタイプｏｂｊｅｃｔ、全
てのタイプの交差を表し、値零ｎｉｌに対応する特定のタイプ⊥、全てのタイプ
の連合を表し、値の任意のタイプに対応する他の特定のタイプＴとを少なくとも
含んでいる。

【００６５】 図３ｂを参照して、上記変数タイプの全てがサブタイピング関係： ｏｂｊｅｃｔεＴ； ｓｈｏｒｔ，ｒｅｔａｄｄｒεＴ； ⊥εｎｕｌｌ，ｓｈｏｒｔ，ｒｅｔａｄｄｒ を検証することが示されている。

【００６６】 次に、付録の表Ｔ１に示されているデータ構造の第１の例を参照して、図３ａ
に示されている検証プロセスのより具体的な例を説明する。

【００６７】 上記例はＪａｖａコードで書かれているアップレットに関するものである。

【００６８】 この検証法は、検証されるポインタ‐ツー‐命令Ｉ_iを介して検証されるアッ
プレットを形成するサブプログラムのコードをアクセスする。

【００６９】 この検証プロセスは、上記表Ｔ１の例におけるｓａｌｏａｄに対応する現在の
命令Ｉ_iにおいて実行スタックのサイズとタイプを記録する。

【００７０】 その後でこの検証法は、タイプのスタック中の現在の命令における実行スタッ
クのサイズとタイプを、それのタイプスタック・ポインタを介して記録する。

【００７１】 上の記述で述べたように、このタイプのスタックは、現在の命令Ｉ_iにおける
仮想マシンの実行スタックの状態を反映する。表Ｔ１に示されている例では、命
令Ｉ_iの将来の実行時に、スタックは３つのエントリ：クラスＣのオブジェクト
に対する参照、ｐ＝１６ビットで符号化されている整数、タイプｓｈｏｒｔ［］
の表に対する参照、及びタイプｓｈｏｒｔのｐ＝１６ビットの整数、を含む。こ
れはタイプスタックにも示されている。これも３つのエントリ：Ｃ、クラスＣの
オブジェクトのタイプ、ｓｈｏｒｔ［］、整数ｐ＝１６ビットの表のタイプ、お
よびｓｈｏｒｔ、整数ｐ＝１６ビットのタイプ、を含む。

【００７２】 他の注目すべきデータ構造はレジスタタイプのテーブルで構成されている。こ
のテーブルはレジスタの状態、すなわち、ローカル変数を保存するレジスタの状
態と、仮想マシンの状態で構成されている。

【００７３】 表Ｔ１に示されている例を続けて、レジスタタイプＣのテーブルのエントリ０
がタイプＣを含んでいる、すなわち、現在の命令Ｉ_i＝ｓａｌｏａｄの将来の実
行時にレジスタ０がクラスＣのオブジェクトに対する参照を含むことが保証され
ることが示されている。

【００７４】 検証中に操作されて、レジスタタイプのテーブルと、タイプスタックに保存さ
れている種々のタイプが図３ｂに表されている。それらのタイプは次のものを含
む。 − アップレットで定められている特定のオブジェクト・クラスに対応するクラ ス識別子ＣＢ； − ｐ＝１６ビットで符号化された整数であるｓｈｏｒｔ、たとえば、２ｐビッ トで符号化された整数の、それぞれ、最上位のｐビットおよび最下位のｐビ ットであるｉｎｔ１およびｉｎｔ２、または上記したように命令の戻りアド レスであるｒｅｔａｄｄｒ； − 零オブジェクトの参照を表すタイプｎｕｌｌ。

【００７５】 サブタイピングの関係については、タイプＴ１のあらゆる有効な値がタイプＴ
２の有効な値でもあれば、タイプＴ１はタイプＴ２のサブタイプであることが示
されている。クラス識別子の間のサブタイピングがアップレットのクラスの間の
承継階層を反映する。他のタイプについては、サブタイピングは図３ｂに示され
ている格子により定められる。ここに、⊥は全てのタイプのサブタイプであり、
全てのタイプはＴのサブタイプである。

【００７６】 アップレットを形成しているサブプログラムを検証するプロセスのシーケンス
は、上記表Ｔ１を参照して、次の通りである。

【００７７】 検証プロセスはアップレットの各サブプログラムで独立に実行される。各サブ
プログラムに対して、プロセスは関連するサブプログラムの命令について１つま
たは複数の検証動作を行う。検証プロセスの擬似コードが付録の表Ｔ２に与えら
れている。

【００７８】 サブプログラムを検証するプロセスは表Ｔ１に示されているタイプスタックと
レジスタタイプのテーブルを初期化することで始まる。この初期化は調べられる
サブプログラムの実行の開始時の仮想マシンの状態を反映する。

【００７９】 タイプスタックは最初は空きであり、スタック・ポインタは零に等しく、レジ
スタタイプはサブプログラムのパラメータのタイプで初期化される。これは、仮
想マシンがそれらのレジスタ内のこのサブプログラムのパラメータをパスすると
いう事実を示す。サブプログラムにより割当てられたレジスタタイプはデータタ
イプ⊥に初期化される。これは、仮想マシンがサブプログラムの実行時にそれら
のレジスタを零に初期化するという事実を示す。

【００８０】 次に、命令およびサブプログラムの現在の各命令Ｉ_iに対して１つまたは複数
の検証動作が行われる。

【００８１】 実現された検証動作、またはたとえば一連の動作が終わると、検証プロセスは
、付録の表Ｔ１に示されているレジスタタイプのテーブルに含まれているレジス
タタイプが検証動作中に変化したかどうかを判定する。変化しなければ、検証は
終了され、合格コードが主プログラムへ戻される。これは、図２に示されている
管理プロトコルの段階１０５において肯定的な受領確認応答を送ることを可能に
する。

【００８２】 レジスタタイプの上記テーブルに対する変化が存在したとすると、検証プロセ
スは、レジスタタイプのテーブルに含まれているレジスタタイプが安定するまで
検証動作を繰り返す。

【００８３】 次に、レジスタタイプのテーブルが安定するまで１回またはそれ以上実行され
る検証動作のシーケンスそのものについて、図３ｃないし３ｊを参照して説明す
る。

【００８４】 図３ａを参照する。段階２０１において、検証プロセスは、上記のように、現
在の命令Ｉ_iが分岐命令のターゲットか、サブルーチン呼び出しのターゲットか
、または実行ハンドラのターゲットであるかについて判定する。この検証は、サ
ブプログラムのコードに含まれている分岐命令と、このサブプログラムに関連づ
けられている例外ハンドラを調べることにより実行される。

【００８５】 段階２０１で始まる図３ｃを参照する。現在の命令Ｉ_iが分岐命令のターゲッ
トである時は、この条件はＩ_i＝ＣＩＢで示されているテスト３００により実現
されており、この分岐は無条件または条件付きであるが、検証プロセスはタイプ
スタックがサブプログラムのこの点において空きであることをテスト３０１によ
り調べる。このテスト３０１に対する応答が肯定であれば、検証プロセスは、続
行Ａと記されているコンテキスト続行段階により続行される。

【００８６】 続行Ａで始まる図３ｄを参照して、現在の命令Ｉ_iがサブルーチン呼び出しの
ターゲットである時は、この条件はＩｉ＝ＣＳＲで示されているテスト３０４に
より行われるが、検証プロセスは、テスト３０５において、以前の命令Ｉ_i-1が
順次続行しないことを検証する。この検証は、以前の命令が無条件分岐、サブプ
ログラム戻りまたは例外の増大である時に、テスト段階３０５により実現される
。テスト段階３０５は次のように記される。

【００８７】 Ｉ_i-1＝ＩＢ無条件、戻りＲＳＲまたは増大Ｌ−例外。

【００８８】 テスト３０５における応答が否定であると、検証プロセスは不合格段階で不合
格になる。他方、テスト３０５における応答が肯定であると、検証プロセスは、
それがｒｅｔａｄｄｒタイプのエントリ、上記サブルーチンの戻りアドレス、を
正確に１つ含むようにしてタイプスタックを再初期化する。段階３０４において
現在の命令Ｉ_iがサブルーチン呼出しのターゲットでないとすると、検証プロセ
スは続行Ｂ段階においてコンテキストで続行される。

【００８９】 図３ｅを参照して、現在の命令Ｉ_iが例外ハンドラのターゲットであると、こ
の条件はＩ_i＝ＣＥＭと記されているテスト３０７により実現される。ここにＣ
ＥＭは例外ハンドラのターゲットを示す。この条件は、 Ｉ_i＝ＣＥＭ と記されているテスト３０７により実現される。テスト３０７における応答が否
定であると、プロセスは、 Ｉ_i-1＝ＩＢ無条件、戻りＲＳＲまたは増大Ｌ−例外。 記されているテスト３０５により、以前の命令が無条件分岐、サブルーチン戻り
または例外の増大であるとプロセスは検証する。

【００９０】 テスト３０５に対する応答が肯定であると、検証プロセスはＥＸＣＥＰＴタイ
プと記されている、例外タイプに入ることにより、段階３０８において、タイプ
スタックの再更新へ進む。この段階３０８にコンテキスト続行段階、続行Ｃ、が
続く。テスト３０５に対する応答が否定であると、検証プロセスは不合格と記さ
れている段階によって不合格になる。その後でプログラム断片は拒否される。

【００９１】 図３ｆを参照して、現在の命令Ｉｉが多数の不適合分岐のターゲットであると
すると、この条件は、 Ｉ_i＝不適合ＸＩＢｓ と記されているテスト３０９により実現される。不適合分岐は、たとえば、無条
件分岐またはサブルーチン呼出し、あるいは２つの異なる例外ハンドラである。
テスト３０９に対する応答が肯定であると、即ち、分岐が不適合であると、検証
プロセスは不合格と記されている段階によって不合格になり、プログラム断片は
拒否される。テスト３０９に対する応答が否定であると、検証プロセスは続行Ｄ
と記されている段階によって続行される。テスト３０９は先の説明において述べ
た続行段階Ｃで始まる。

【００９２】 図３ｇを参照して、現在の命令Ｉ_iがいかなる分岐のターゲットでもないとす
ると、この条件は、上記続行Ｄで始まるテスト３１０により実現される。このテ
ストは Ｉ_i∃？分岐ターゲット、 記されている。ここに∃は既存の記号を示す。検証プロセスは、テスト３１０に
対する否定応答で、段階３１１におけるタイプスタックの更新へ進むことにより
続行する。段階３１１とテスト３１０に対する肯定応答の後に段階２０２のコン
テキスト続行段階が続く。その段階については図３ａを参照して上で説明した。

【００９３】 次に、上記段階２０２におけるタイプスタックに対する現在の命令の効果を検
証する段階を図３ｈを参照して詳細に説明する。

【００９４】 上の図に従って、この段階は、タイプ実行スタックが現在の命令が含んでいる
オペランドの数と少なくとも同数のエントリを含んでいることを検証する少なく
とも１つの段階４００を含むことができる。このテスト段階４００は Ｎｂｅｐ≧ＮＯｐｉ と記されている。ここにＮｂｅｐはタイプスタックのエントリの数を示し、ＮＯ
ｐｉは現在の命令に含まれているオペランドの数を示す。

【００９５】 テスト４００に対する応答が肯定であると、このテストの後に、タイプスタッ
クを解く段階４０１ａと、スタックのトップにおけるエントリのタイプが上記現
在の命令のオペランドのタイプのサブタイプであることを検証する段階４０１ｂ
とが続く。テスト段階４０１ａでは、命令ｉのオペランドタイプがＴＯｐｉと記
され、スタックのトップにおけるエントリのタイプがＴａｒｇｓと記されている
。

【００９６】 段階４０１ｂでは、検証はＴＯｐｉのサブタイピング関係Ｔａｒｇｓサブタイ
プの検証に対応する。

【００９７】 テスト４００と４０１ｂに対する応答が否定であると、検証プロセスは検証プ
ロセスは不合格である。これは不合格段階をアクセスすることにより示されてい
る。他方、テスト４０１ｂに対する応答が肯定であると、検証プロセスは続行さ
れ、 −現在の命令の結果を積み重ねることを進めるためにタイプスタックに十分な
メモリ空間が存在することを検証する段階を行う。この検証段階は スタック空間≧結果空間 と記されているテスト４０２により実現される。ここに、不等号の各辺は対応す
るメモリ空間を示す。

【００９８】 テスト４０２に対する応答が否定であると、検証プロセスは不合格である。こ
れは不合格段階により示されている。他方、テスト４０２に対する応答が肯定で
あると、検証プロセスは、段階４０３において結果に割当てられたデータタイプ
を積み重ねるために進む。積み重ねはそれらの結果に割当てられたデータタイプ
のスタックに対して行われる。

【００９９】 限定しない例として、タイプスタックに対する現在の命令の効果を検証する図
３ｈを実現するために、整数のテーブルにおけるｐ＝１６ビットで符号化された
整数要素を読出すために対応するＪａｖａ ｓａｌｏａｄより成る現在の命令の
ために、この整数のテーブルは整数のテーブルと、このテーブル中の整数インデ
ックスと、このテーブルでこのインデックスにおいて読出される整数による結果
とにより定められ、検証プロセスはタイプスタックが少なくとも２つの要素を含
んでいること、タイプスタックのトップにおける２つの要素がそれぞれｓｈｏｒ ｔ ［］およびｓｈｏｒｔのサブタイプであり、スタックを解くプロセスへ進み、
その後でタイプｓｈｏｒｔを結果タイプとしてスタックするプロセスへ進むこと
が示されている。

【０１００】 また、図３ｉを参照して、タイプスタックに対する現在の命令の効果を検証す
るために、現在の命令Ｉ_iがアドレスｎのレジスタの読出し命令、ＩＲと記され
ている、である時に、この条件はＩ_i＝ＩＲ_nと記されているテスト４０４により
実現され、上記テスト４０４に対する応答が肯定であれば、検証プロセスは、段
階４０５において、レジスタタイプのテーブル中のエントリｎを読出すことによ
り、この読出しの結果のデータタイプを検証すること、その後で、この現在の命
令のオペランドに対応するスタックのエントリのスタックを解く操作４０６ａに
よるタイプスタックに対する現在の命令Ｉ_iの効果を検証すること、およびこの
結果のデータタイプをスタックすること４０６ｂにある。命令Ｉ_iのオペランド
はＯＰ_iと記されている。段階４０６ａと４０６ｂの後にコンテキスト続行、続
行Ｆ、へ戻ることが続く。テスト４０４に対する応答が否定であると、検証プロ
セスはコンテキスト続行、続行Ｆ、により続行される。

【０１０１】 図３ｊを参照して、現在の命令Ｉ_iがアドレスｎのレジスタの書込み命令、Ｉ
Ｗと記されている、であると、この条件はＩ_i＝ＩＷ_mと記されているテストによ
り実現され、テスト４０７に対する応答が肯定であれば、検証プロセスは、段階
４０８における、タイプスタックとアドレスｎのレジスタに書込まれているオペ
ランドのタイプｔとに対する現在の命令の効果を判定することと、その後で、段
階４０９において、アドレスｎにおけるレジスタタイプのテーブルのタイプエン
トリを、以前に保存されたタイプの直ぐ上と、アドレスｎのレジスタに書込まれ
ているオペランドのタイプｔの上とのタイプで置き換えること、にある。段階４
０９にコンテキスト続行、続行２０４、へ戻ることが続く。テスト４０７に対す
る応答が否定であると、検証プロセスはコンテキスト続行、続行２０４、により
続行される。

【０１０２】 例として、現在の命令Ｉ_iがタイプＤの値をアドレス１のレジスタに書込むこ
とに対応し、命令の実行前のレジスタ１のタイプがＣであったとすると、レジス
タ１のタイプがタイプｏｂｊｅｃｔにより置き換えられる。これは、図３ｂに示
されているタイプの格子におけるＣおよびＤより高い最小タイプである。

【０１０３】 同様にして、例として、現在の命令Ｉ_iが、レジスタ０の内容をスタックする
ことにある命令ａｌｏａｄ‐０の読出しで、レジスタタイプのテーブルのエント
リ０がＣであると、検証者はＣをタイプスタックにスタックする。

【０１０４】 次に、付録の表Ｔ３とＴ４を参照して、Ｊａｖａ環境で書かれたサブプログラ
ムの検証の例について説明する。

【０１０５】 表Ｔ３はこの表に含まれているＪａｖａサブプログラムに対応する特定のＪａ
ｖａＣａｒｄコードを表す。

【０１０６】 表Ｔ４はレジスタタイプの表と、各命令の検証前のタイプスタックの表との内
容を示す。種々の命令のオペランドに対するタイプ制約は全て観察される。命令
９へ分岐する命令５、矢印で表されている、の後と、上記分岐ターゲット９の前
とでスタックは空きである。レジスタ１の、最初は⊥であった、タイプは、タイ
プｎｕｌｌの値をレジスタ１に保存する命令１が調べられた時に、ｎｕｌｌ、ｎ ｕｌｌ の上限及び⊥、となり、その後でタイプｓｈｏｒｔ［］の値をレジスタ１
に保存する命令８が処理される時に、タイプｓｈｏｒｔ［］、タイプｓｈｏｒｔ ［］の上限及びｎｕｌｌ、となる。最初の検証パス中に変化した、第２のパスが
行われる、レジスタ１のタイプは、最初のパスが終わった時に得られたレジスタ
タイプに寄与する。この第２の検証パスは最初のそれとまったく同様に、成功し
、レジスタタイプを変化しない。したがって、検証プロセスは成功裡に終了する
。

【０１０７】 次に、不正確なコードの４つの例に対する検証プロセスの失敗の場合の種々の
例について、付録の表Ｔ５を参照して説明する。 − 表Ｔ５の点ａ）において、例として与えられているコードの目的は、ポイン
タに対する算術プロセスを用いて無効なオブジェクト基準をつくることを試みる
ことである。それは命令２ ｓａｄｄの引数のタイプの検証により除却される。
それはそれら２つの引数をタイプｓｈｏｒｔのものであることを求める。 − 表Ｔ５の点ｂ）とｃ）において、コードの目的は任意の整数をオブジェクト
基準に変換する２つの試みを行うことである。点ｂ）では、レジスタ０がタイプ ｓｈｏｒｔ 、命令０、およびタイプｎｕｌｌ、命令５、と同時に用いられる。し
たがって、検証プロセスはタイプＴを記録０に割当て、レジスタ０が命令７にお
いてタイプｏｂｊｅｃｔの結果として戻される時にタイプ誤りを検出する。 − 表Ｔ５のｃ）では、タイプ"ｉｆ．．．ｔｈｅｎ．．．ｅｌｓｅ"の１組の
分岐が用いられて、整数またはオブジェクト基準で構成されている結果をス タ
ックのトップに放置する。検証プロセスはこのコードを除却する。その理 由は
、それが、命令５から命令９への分岐、矢印により表されている、にお いてス
タックが空きでないことを検出するからである。 − 最後に、表Ｔ５の点ｄ）では、コードは、スタックのトップへの追加整数ス
タックする作用を、各繰り返しにおいて、持つループを含み、したがって、
ある数の繰り返しの後ではスタックあふれをひき起こす。検証プロセスはこのコ
ードを除却し、命令８から命令０への逆分岐、矢印により示されている、時には
スタックは空きでないことを知らせる。スタックは分岐点では空きではない。

【０１０８】 表Ｔ３、Ｔ４、Ｔ５を参照して上で説明した種々の例は、本発明の主題である
、検証プロセスは特に効率的であり、かつアップレット、および特にそれのサブ
プログラムに応用される。そのアップレットに対して、スタックタイプの条件、
またはタイプスタックの空きキャラクタの条件、分岐命令または分岐ターゲット
に対して、が満たされる。

【０１０９】 明らかに、そのような検証プロセスは、それらの基準を満たすオブジェクト・
コードを書込むことを意味する。それらのオブジェクト・コードは上記表Ｔ３に
おけるサブプログラムに対応する。

【０１１０】 しかし、および本発明の主題である方法の検証基準を必ずしも満たさない既存
のアップレットおよびアップレットのサブプログラム、特にＪａｖａ環境で書か
れているアップレットとサブプログラムに関して、を確実に検証するために、本
発明の目的はそれらのアップレットまたはサブプログラムを標準化されたアップ
レットまたはプログラム断片に変換する方法を確立して、本発明の主題である検
証方法およびこの方法を実現する管理プロトコルの検証テストを成功裡に行うこ
とを可能にする。

【０１１１】 このために、本発明の主題は、方法およびアップレットを構成している従来の
オブジェクト・コードを変換するプログラムを実現することであって、この方法
と変換プログラムを、関連するアップレットが作成された時に、オンボード装置
すなわちマイクロプロセッサカードの外部で実現することが可能である。

【０１１２】 次に、まったく例示的な例として、Ｊａｖａ環境の枠組みで、本発明の主題で
ある、コードを標準化されたコードへ変換する方法について説明する。

【０１１３】 既存のＪａｖａコンパイラにより作成されるＪＶＭコードは下記の種々の基準
を満たす。 Ｃ１： 各命令の引数は、この命令が予測するタイプに実際に属する； Ｃ２： スタックはあふれない； Ｃ′３： 各分岐命令に対して、この分岐におけるスタックのタイプはこの分岐
に対する可能なターゲットにおけるものと同じである； Ｃ′４： コードの１つの点でレジスタに書込まれ、コードの別の点で同じレジ
スタから再び読出されるタイプｔの値は同じタイプｔで常に再び読出される。

【０１１４】 本発明の主題である検証法の実現は、検証のために提出されたオブジェクト・
コードにより検証される、基準Ｃ′３とＣ′４が下の基準Ｃ３とＣ４により置き
換えられることを意味する。 Ｃ３： 各分岐命令および各分岐ターゲットにおいてスタックは空きである； Ｃ４： サブプログラムのコード全体を通じて１つの同じタイプに同じレジス
タが使用される。

【０１１５】 上記基準を参照して、Ｊａｖａコンパイラはより弱い基準Ｃ′３とＣ′４のみ
を保証することが示されている。本発明の主題である検証プロセスおよび対応す
る管理プロトコルが実際により限定的な基準Ｃ３とＣ４を実際に保証して、アッ
プレットの実行と管理のセキュリティを確保することが示されている。

【０１１６】 標準化されたコードへのコードの変換をカバーする、標準化の概念は、本発明
の主題である検証プロセスに従って、基準Ｃ′３とＣ′４の基準Ｃ３とＣ４によ
る置き換えを独立に実現できる範囲まで種々の面で提案できて、各分岐命令およ
び各分岐ターゲットにおいてスタックが空きであることと、かつアップレットが
開くレジスタがタイプ付けられることを保証し、関連するアップレットの実行の
ために割当てられた単一のデータタイプが開かれている各レジスタに対応するよ
うに、または、他方では、一緒に、本発明の主題である検証プロセスの全体を満
たす。

【０１１７】 次に、本発明により特許請求されている、オブジェクト・コードを標準化され
たコードへ変換する方法を２つのことなる実現モードで説明する。第１の実現モ
ードは、基準Ｃ１、Ｃ２、Ｃ′３、Ｃ′４を満たすオブジェクト・コードの基準
Ｃ１、Ｃ２、Ｃ３、Ｃ′４を満たす標準化されたオブジェクト・コードへの、分
岐命令または分岐ターゲットによる変換に対応し、その後で、第２の実現モード
で請求されているように、第２の実現モードでは、同じ最初の基準が、基準Ｃ１
、Ｃ２、Ｃ′３、Ｃ４を満たす標準化されたオブジェクト・コード、たとえば、
タイプ付けられたレジスタを用いる標準化されたオブジェクト・コードに対応す
る、へ変換される。

【０１１８】 次に、本発明の主題であるコード変換法の第１の実現モードを図４ａを参照し
て説明する。図４ａに示されている実現モードでは、最初の従来コードが基準Ｃ
１＋Ｃ２＋Ｃ′３を満たすものと考えられ、変換の結果得られる標準化されたコ
ードは基準Ｃ１＋Ｃ２＋Ｃ３を満たすものと考えられる。

【０１１９】 上記図に従って、変換法は、この命令の実行の前および後のスタックのデータ
タイプを持つ、コードの、またはサブプログラムの現在の各命令Ｉ_iに対して、
段階５００で、各命令を注釈することにある。注釈データはＡＩ_iと記されてお
り、関係Ｉ_i←→ＡＩ_iにより関連する現在の命令に関連付けられる。注釈データ
はこの命令に関連するデータ流の解析により計算される。命令の実行の前および
後のデータタイプはｔｂｅ_iおよびｔａｅ_iとそれぞれ記されている。データ流の
解析による注釈データの計算は当業者に知られている従来の計算であるので、詳
細には説明しない。

【０１２０】 段階５００で実行される動作が付録の表Ｔ６に示されている。そこでは、１２
の命令を含んでいるアップレットのサブプログラムに対して、レジスタのタイプ
およびスタックのタイプで構成されている注釈データＡＩ_iが導入される。

【０１２１】 上記段階５００には、第１の命令Ｉ_i＝Ｉ₁にインデクスｉを配置する段階５０
０ａが続く。段階５００ａには、命令のうちで、かつ現在の各命令Ｉ_iのうちで
、それについては実行スタックが空きでないような、ＩＢと記されている分岐と
分岐ターゲットＣＩＢとの存在を検出する段階５０１が続く。この検出５０１は
、現在の各命令に割当てられているスタック変数のタイプの注釈データＡＩ_iを
基にして行われるテストにより実行される。このテストは現在の命令に対して Ｉ_iはＩＢまたはＣＩＢおよびスタック（ＡＩ）？空き と記されている。

【０１２２】 テスト５０１に対する応答が肯定であると、すなわち、空きでない実行スタッ
クの検出が存在すると、上記テストの後に、それらの分岐ＩＢまたは分岐ターゲ
ットＣＩＢの前に実行スタックの内容を一時的レジスタ内に空きにするため、お
よびこの分岐の後で一時的レジスタから実行スタックを再設定するために、命令
を挿入してそれらの分岐の両側にスタック変数を転送する。挿入段階は図４ａに
５０２で記されている。それの後に、 Ｉ_i＝最後の命令か？ と記されている最後の命令に達したことをテストする段階５０３が続く。テスト
５０３に対する応答が否定であると、増加５０４ｉ＝ｉ＋１が実行されて、次の
命令へ進み、段階５０１へ戻る。テスト５０３に対する応答が肯定であれば、終
りの段階が開始される。テスト５０１に対する応答が否定であると、転送命令の
挿入がない中でこの変換方法は段階５０３への分岐により続行される。図４ａに
示されているように、空きのスタックを有する分岐命令による標準化されたコー
ドへの従来のコードの変換法の実現により、プログラム断片の実行に何等の変更
も加えられない場合に、各分岐命令と各分岐ターゲット命令においてスタック変
数のスタックが空きであるような同じ最初のプログラム断片に対して標準化され
たオブジェクト・コードを得ることが可能にされる。Ｊａｖａ環境の場合には、
スタックとレジスタの間でデータを転送する命令はＪａｖａ仮想マシンのｌｏａ ｄ 命令およびｓｔｏｒｅ命令である。

【０１２３】 表Ｔ６で導入されている例へ戻って、この変換法は命令９においてスタックが
空きでないような分岐ターゲットを検出する。その後でこの方法は、スタックの
内容をレジスタ１に保存し、分岐時にスタックが空きであるようにするために、
上記命令９へ進む分岐命令５の前に命令ｉｓｔｏｒｅ １を挿入する。対称的に
、命令ｉｌｏａｄ １がターゲット９の前に挿入されて、分岐の前にそれがあっ
たのと全く同じにスタックの内容を再設定する。最後に、命令８の後で命令ｉｓ ｔｏｒｅ １ が挿入されて、命令９へ導く２つの経路でスタックが平衡するよう
にする。標準化されたコードへのこのようにして行われた変換の結果が表Ｔ７に
示されている。

【０１２４】 次に、最初の従来のオブジェクト・コードが基準Ｃ１＋Ｃ′４を満たし、標準
化されたオブジェクト・コードが基準Ｃ１＋Ｃ４を満たす場合に、図４ｂを参照
して本発明の主題である変換方法の第２の実現モードについて説明する。

【０１２５】 上記図４ｂを参照して、この方法は、それの実現モードにおいて、図４ａに示
されているものにほぼ同じである段階５００で求められているように、この命令
の実行前および後のレジスタデータのタイプを持つ現在の各命令Ｉ_iを注釈する
。このようにして、注釈データＡＩ_iはこの命令に関連するデータ流の解析によ
り計算される。

【０１２６】 注釈段階５００の後に、種々のタイプで採用されている元のレジスタを検出し
、それらの元のレジスタを別々の標準化されたレジスタに分割することにより、
レジスタの再割当てを実行する段階、６０１と記されている段階、が続く。１つ
の標準化されたレジスタが使用される各データタイプに割当てられている。段階
６０１の後に、上記標準化されたレジスタを使用するオペランドを操作する命令
を再更新する段階６０２が続く。段階６０２にコンテキスト続行段階３０２が続
く。

【０１２７】 表Ｔ６に与えられている例を参照して、この変換方法は、ｒ０と記されている
、ランク０のレジスタに２つのタイプ、ｏｂｊｅｃｔ、命令０と１、およびｉｎ ｔ 、命令９およびそれ以後、が用いられることを検出することが示されている。
その後で、この方法は元のレジスタｒ０を２つのレジスタ、ｏｂｊｅｃｔタイプ
の使用のためのレジスタ０と、ｉｎｔタイプの使用のためのレジスタ１、に分割
する。その後で、ｉｎｔタイプのレコード０の参照をレコード１の参照に変換す
ることにより、レコード０の参照が再び書込まれる。得られた標準化されたコー
ドが付録の表Ｔ８に示されている。

【０１２８】 上記表Ｔ８を参照して導入された例においては、スタックを標準化するため、
およびレジスタ０を２つのレジスタに分割することによりタイプ付けられたレジ
スタをつくるために、新しいレジスタが同時に用いられることが、限定しないや
り方で注目される。

【０１２９】 次に、図４ａに示されているように空きスタックを持つ分岐命令で従来のコー
ドを標準化されたコードへ変換する方法を、図５ａに関連して、好適な、限定し
ない実現モードでより詳細に説明する。

【０１３０】 この実現モードは、命令内、および現在の各命令Ｉ_i内で、分岐ＩＢ、または
、スタックが空きではないような、それぞれ分岐ターゲットＣＩＢ、の存在を検
出する段階５０１に関する。

【０１３１】 スタックが空きでない、この条件は段階５０４ａでは、Ｉ_iｓｔａｃｋ≠ｅｍ
ｐｔｙ、と記されている、ターゲット命令の決定に続いて、変換プロセスは、上
記段階５０４ａにおいて、それらの命令に、新しいレジスタのセットを組み合わ
せる、それらの命令においてアクティブであるスタック場所ごとに１つ、ことで
ある。このように、ｉが、関連させられたスタックタイプが空きでなく、タイプ
がｔｐ１_i〜ｔｐｎ_i、ｎ＞０、スタックは空きでない、であるような分岐ターゲ
ットのランクを示すならば、変換プロセスはｎ個の新しくて、まだ使用されてい
ない、レジスタ、ｒ₁〜ｒ_n、を割当て、かつそれらを対応する命令ｉに関連させ
る。この操作は段階５０４ａで行われる。

【０１３２】 段階５０４ａの後に、ランクｉの検出された各命令を調べて、テスト段階５０
４で、分岐ターゲットＣＩＢまたは分岐ＩＢの存在を検出する段階５０４が続く
。段階５０４は： ∃？ＣＩＢ，ＩＢおよびＩ_i＝ＣＩＢ により示されているテストの形で示されている。

【０１３３】 ランクｉの命令が、先行する同等性により表されている分岐ターゲットＣＩＢ
であり、かつこの命令におけるスタック変数のスタックが空きでない、すなわち
、テスト５０４に対する応答が肯定である、場合には、分岐と、例外の増大また
はプログラム戻りより成るランクｉ−１のあらゆる先行する命令に対して、この
条件は： Ｉ_i-1＝ＩＢ，例外の増大，プログラム戻り により示されている、テスト段階５０５において実現される。ランクｉの検出さ
れた命令は分岐によってのみアクセスできる。上記テスト５０４に対する応答が
肯定であると、変換プロセスは、ランクｉの関連する検出された命令の前に新し
いレジスタのセットからｌｏａｄタイプのロード命令のセットを挿入する段階５
０６を実行する。挿入動作５０６の後に全ての分岐をランクｉの検出された命令
へ、最初に挿入されたロード命令ｌｏａｄへ再び向ける段階５０７が続く。挿入
動作および再び向ける動作が付録の表Ｔ９に示されている。

【０１３４】 順次進行しているランクｉ−１のあらゆる先行命令に対して、すなわち、ラン
クｉの現在の命令が分岐により、先行する命令から同時にアクセスできる時に、
この条件はテスト５０８により実行され、関係 Ｉ_i-1→Ｉ_i および ＩＢ→Ｉ_i により記号化されている。変換プロセスは、ランクｉの検出された命令の前に新
しいレジスタのセットに対してバックアップするために検出されたバックアップ
命令ｓｔｏｒｅのセットを挿入すること、およびこの新しいレジスタのセットか
らロードするためにロード命令のセットｌｏａｄを挿入する段階５０９である。
段階５０９の後に、ランクｉの検出された命令に対する第１の挿入されたロード
命令ｌｏａｄへ全ての分岐を再び向ける段階５１０が続く。

【０１３５】 無条件分岐より成るランクｉの任意の検出された命令に対して、ランクｉの検
出された命令が決定された命令への分岐である場合に、この条件は Ｉ_i＝ＩＢ無条件 と記されているテスト５１１により実行される。図５ａに示されている変換プロ
セスは、ランクｉの検出された命令、多数のバックアップ命令ｓｔｏｒｅの前に
、テスト５１１に対する肯定応答で、段階５１２における挿入である。変換プロ
セスは、命令ｉの前に、例として表Ｔ１１に示されているようにｎ個の命令を挿
入する。命令ｓｔｏｒｅはアドレスｒ₁〜ｒ_nをアドレスする。ここに、ｎはレジ
スタの数を示す。したがって、バックアップ命令が新しい各命令に関連させられ
る。

【０１３６】 条件付き分岐よりなるランクｉのあらゆる検出された命令と、この条件付き分
岐命令により操作されるオペランドの、０より大きい、数ｍＯｐに対して、この
条件は： Ｉ_i＝ＩＢ条件 ｍＯｐ＞０ と記されているテスト５１３により実現される。上記テスト５１３に対する肯定
応答で、この変換プロセスは、ランクｉのこの検出された命令の前に段階５１４
で、ｓｗａｐ＿ｘと記されている並べ換え命令を、ランクｉの検出された命令の
ｍＯｐオペランドのスタック変数と、以後のｎ個の変数のスタックのトップに挿
入することより成る。この並べ換え操作によってスタック変数のスタックのトッ
プに、新しいレジスタｒ₁〜ｒ_nのセット中で調べるべきｎ個の値を集めることが
可能にされる。段階５１４に、ランクｉの命令の前に、新しいレジスタｒ₁〜ｒ_n のセットをバックアップするためにバックアップ命令ｓｔｏｒｅのセットを挿入
することである段階５１５が続く。上記挿入段階５１５自体に、ランクｉの命令
の後に、新しいレジスタｒ１〜ｒｎのセットからロードするためにロード命令ｌ ｏａｄ のセットを挿入する段階５１６が続く。対応する挿入操作のセットが付録
の表Ｔ１２に示されている。

【０１３７】 終了にするという理由で、図５ａを参照して、テスト５０４に対する応答が否
定であると、変換プロセスの続行がコンテキスト続行段階、続行５０３、により
実現されること、テスト５０５、５０８、５１１および５１３に対する否定応答
自体の後にコンテキスト続行段階、続行５０３、を介する変換プロセスの続行が
続くこと、および同じことが上記再方向付け段階５０７および５１０と挿入段階
５１２と５１６に適用されることが示されている。

【０１３８】 次に、図５ｂを参照して、図４ｂに示されている、タイプ付けされたレジスタ
を用いてオブジェクト・コードを標準化し、標準化されたオブジェクト・コード
に変換する方法について一層詳しく説明する。この実現モードは、より具体的に
は、種々のタイプに使用される元のレジスタを検出することによりレジスタを再
び割当てる段階６０１の非限定的の、好適な実現に関するものである。

【０１３９】 上記図５ｂを参照して、上記段階６０１は、各レジスタｒ_jのＩＤ_jと記されて
いる寿命時間間隔を、段階６０３、で決定することであることが示されている。
「ｌｉｖｅ ｒａｎｇｅ」または「ｗｅｂｓ」、と記されているそれらの寿命時
間間隔は、レジスタｒが部分トレースのあらゆる点で生きているように、それら
のトレースの最大セットとして定義される。それらの概念のより詳しい定義につ
いては、Ｍｏｒｇａｎ ＫＡＵＦＭＡＮＮ、１９９７、Ｓｔｅｖｅｎ Ｓ． Ｍ
ＵＣＨＮＩＣＫにより編集された「進歩したコンパイラ設計および実装（Ａｄｖ
ａｎｃｅｄ Ｃｏｍｐｉｌｅｒ Ｄｅｓｉｇｍ ａｎｄ Ｉｍｐｌｅｍｅｎｔａ
ｔｉｏｎ）」と題する著作の１６．３節を参照すると有用である。段階６０３は
、関係 ＩＤ_j←→ｒ_j により示されている。そこに請求されているように対応する寿命時間間隔ＩＤ_j
は各レジスタｒ_jに関連付けられている。

【０１４０】 上記段階６０３に、各寿命時間間隔ＩＤ_jの、ｔｐ_jと記されている、主データ
タイプを決定する段階６０４が続く。レジスタｒ_jに対する寿命時間間隔ＩＤ_jの
主なタイプは、上記寿命時間間隔に属するバックアップ命令ｓｔｏｒｅによりこ
のレジスタｒｊに保存さされているデータタイプの上限により定められる。

【０１４１】 段階６０４自体には、上で段階６０３と６０４により定められた寿命時間間隔
の間の干渉グラフを設定することにある段階６０５が続く。この干渉グラフは向
けられていないグラフで構成され、空きの各ピークは寿命時間間隔で構成され、
ピークが他のピークのレジスタをアドレスするバックアップ命令を含んでいるな
らば、２つのピークＩＤ_j1とＩＤ_j2の間にそれの弧、ａ_j1,j2と記されている、
が存在し、またはそれの逆も真である。図５ｂには、干渉グラフの構造が記号で
示されている。当業者に知られている計算技術を基にしてこの構造を実現するこ
とが可能である。このタイプのグラフの構造についての詳細は、Ａｄｄｉｓｏｎ
‐Ｗｅｓｌｅｙにより１９８６年に発行されたＡｌｆｒｅｄ Ｖ．ＡＨＯ、Ｒａ
ｖｉ ＳＥＴＨＩ およびＪｅｆｆｒｅｙ Ｄ．ＵＬＬＭＡＮ著「コンパイラ：
原理、技術およびツール（Ｃｏｍｐｉｌｅｒｓ：ｐｒｉｎｃｌｅｓ，ｔｅｃｈｎ
ｉｑｕｅｓ，ａｎｄ ｔｏｏｌｓ）」と題する著作の９．７節を参照すると有用
である。

【０１４２】 段階６０５には、全てのピーク対、干渉グラフのピーク対の２つのピークが同
じ関連させられた主データタイプを持っていない、の間に弧を加えることにより
、干渉グラフ中の各レジスタｒ_jに割当てられているデータタイプの独自性を、
段階６０６で、翻訳することにある図５ｂに示されている標準化法が続く。各レ
ジスタｒ_jに割当てられているデータタイプの独自性のキャラクタの翻訳は干渉
グラフにおける基準Ｃ４を翻訳することおよび考慮することに明らかに対応し、
この基準は説明で以前に述べたことが理解される。その後で、段階６０６には、
干渉グラフの具体例例示が行われる段階６０７が続く。この具体例例示は、通常
の技術で主張されているように干渉グラフのペインティング段階としてより一般
的に名付けられている。段階６０７中は、干渉グラフ中の２つの隣接する間隔が
異なるレジスタ番号を受けるようにして、変換プロセスが各寿命間隔ＩＤ_jkにレ
ジスタ番号ｒｋを割当てる。

【０１４３】 この操作は任意の適切なプロセスを基にして実行できる。非限定的な例として
、好適なプロセスが、 ａ） 干渉グラフ中の最小限度のピークを選択し、それをグラフから抽出する
ことにある。最小限度というのは、隣接するピークの最小数として定義
される。この段階はグラフが空きになるまで繰り返される。

【０１４４】 ｂ） 以前に抽出された各ピークは抽出とは逆の順序、最後に除去されたもの
が最初に入れられる、で順次干渉グラフに再び入れられる。そうすると
隣接する全てのピークに割当てられていた番号とは異なる最小レジスタ 番
号を入れられる各レジスタに割当てることができる。

【０１４５】 最後に、図４ｂに示されている、段階６０２により、変換および再割当てプロ
セスがレジスタに対するアクセス命令を関連するアップレットのサブプログラム
のコードで書き替える。対応する寿命時間間隔内での所与のレジスタに対するア
クセスは異なるレジスタへのアクセスにより置き換えられる。それの数は例示段
階、ペインティング段階とも名付けられる、中に割当てられていた。

【０１４６】 本発明の主題において請求されているように、プログラム断片すなわちアップ
レットの管理プロトコルと検証プロセスの実現を可能にする、オンボードデータ
処理システムと、アップレットの開発システムとについてのより詳細な説明を図
６を参照して次に行う。

【０１４７】 参照番号１０を有する対応するオンボードシステムについては、このオンボー
ドシステムは再プログラム可能なタイプのシステムであって、図１ｂに示されて
いるような重要な部品を含んでいることが想起される。上記オンボードシステム
は直列リンクにより端末装置に相互接続すべきであると考えられる。端末装置自
体は、たとえばローカルネットワークを、またもし適切であれば遠隔ネットワー
クを、介して、参照番号２０を有するアップレット開発コンピュータにリンクさ
れている。オンボードシステム１０では端末装置が直列リンクへ送るコマンドの
読出しと実行を行う主プログラムを走らす。また、マイクロプロセッサカード用
の、たとえばＩＳＯ７８１６の標準コマンドなどの、標準コマンドを実行でき、
主プログラムは２つの追加コマンドを認識する。そのうちの１つのコマンドはア
ップレットの遠隔ローディングのためのものであり、他方はマイクロプロセッサ
カードに以前ロードされたアップレットを選択するためのものである。

【０１４８】 本発明の主題に従って、主プログラムの構造は、図２を参照して上で説明した
ように、ダウンロードされたプログラム断片を管理するプロトコルに従って、ダ
ウンロードされたプログラム断片を管理および検証する少なくとも１つのモジュ
ールを含むようにして実現される。

【０１４９】 このために、メモリ、特に書込みできない固定メモリＲＯＭ、の構造が特に、
主プログラムから離れて、上記のようにプロトコル管理および検証モジュール１
７を含むようにして変更される。最後に、ＥＥＰＲＯＭタイプの不揮発性の書き
替え可能なメモリについては、これは、本発明の主題である管理プロトコルおよ
び検証プロセスを実現することを可能にする、１８と記されている、アップレッ
トのディレクトリを含むから有利である。

【０１５０】 同じ図６を参照して、上の説明で述べたように、Ｊａｖａ環境の枠組み内で基
準Ｃ１＋Ｃ２＋Ｃ′３＋Ｃ′４を満たす、従来のオブジェクト・コードを同じプ
ログラム断片に対する標準化されたオブジェクト・コードへ変換することを実際
に可能にする、本発明の主題に合致するアップレット開発システムが、従来のＪ
ａｖａコンパイラ２１に関連させられて、図４ａ、図４ｂおよび図５ａ、図５ｂ
を参照した説明で上で述べた第１の実現モードおよび第２の実現モードで求めら
れた標準化されたコードを変換するために進む、２２と記されている、コード変
換器モジュールを含むことが示されている。一方では、以前に述べたように、空
きスタックを持つ分岐命令で元の命令を標準化されたオブジェクト・コードへ標
準化することと、他方では、タイプ付けされたレジスタを用いて標準化されたコ
ードへ標準化することは、本発明の主題である検証方法により課される検証基準
Ｃ３とＣ４を満たすことを可能にする。

【０１５１】 コード変換器モジュールの後にＪａｖａＣａｒｄ変換器２３が続く。それは遠
隔ネットワークまたはローカルネットワークによる端末装置への伝送、および直
列リンクを介する、マイクロプロセッサカード１０への伝送を可能にする。した
がって、図６に示されているアップレット開発システム２０は、アップレットの
ＪａｖａソースコードからＪａｖａコンパイラ２１により発生されたコンパイル
されたクラスファイルを、等しいが、管理プロトコルと、マイクロプロセッサカ
ード１０に搭載されている検証モジュール１７とにより課された追加の制約Ｃ３
とＣ４を観察するクラスファウルに変換することを可能にする。それらの変換さ
れたクラスファイルは標準ＪａｖａＣａｒｄ変換器２３によりカード上のダウン
ロード可能なアップレットに変換される。

【０１５２】 次に、本発明の主題であるプロトコル・コンポーネントと、方法およびシステ
ムのセットの特に注目に値するコンポーネントを情報提供のためにのみ与えるこ
とにする。

【０１５３】 説明の初めで述べた先行技術の検証方法と比較して、本発明の主題である検証
方法は、検証努力を、各アップレットの実行のセキュリティにとって重要である
オペランドのタイピング特性に集中すること、すなわち、各命令に関連している
タイプ制約とスタックあふれなしを観察すること、が注目に値するようである。
他の検証はセキュリティに関しては重要ではないようであり、特に、コードが最
初にあらゆるレジスタを最初に読出す前にそのレジスタを正しく初期化する検証
がそうである。これに反して、本発明の主題である検証法は、方法が初期化され
る時に仮想マシンからの全てのレジスタを零に初期化するように動作して、初期
化されていないレジスタの読出しがカードのセキュリティを妥協できないように
することを保証する。

【０１５４】 また、各分岐命令または各分岐ターゲット命令でスタックが空きでなければな
らないと求められる、本発明の主題である検証方法により課される要求が、分岐
の実行前と、プログラムが分岐した命令の実行後にスタックが同じ状態、空き、
であることを保証する。この動作モードは、関連するサブプログラムまたはアッ
プレットのコードがたどる実行経路がどのようなものであっても、スタックが一
貫した状態にあることを保証する。スタックの一貫性は、分岐または分岐ターゲ
ットが存在していてさえも、そのようにして保証される。ＴｐｘＮｂ、使用され
る実行スタックの最大サイズとコード中の分岐ターゲットの最大数との積、に比
例するある量のランダムアクセスメモリを必要とする、各分岐ターゲットにおけ
るスタックのタイプをランダムアクセスメモリに保存する必要がある、先行技術
の方法およびシステムに反して、本発明の主題である検証方法は検証中の命令の
時に実行スタックのタイプを必要とするのみであり、コードの他の点ではこのス
タックのタイプをメモリに保持する必要はない。したがって、本発明の主題であ
る方法はＴｐに比例するがＮｂ、したがって、サブプログラムまたはアップレッ
トのコードの長さとは独立である、ある量のランダムアクセスメモリにより満た
される。

【０１５５】 サブプログラムのコード全体にわたって１つの同じタイプで所与のレジスタを
使用せねばならない、請求されている基準Ｃ４で求められている要求は、一貫し
たやり方で、たとえば、プログラムの１つの点でｓｈｏｒｔ整数を書込み、プロ
グラムの他の点でオブジェクト参照としてそれを再び読出すことにより、上記コ
ードがレジスタを使用しないことを保証する。

【０１５６】 先行技術で記述されている検証方法、特に前記した、Ｔｉｍ ＬＩＮＤＨＯＬ
ＭおよびＦｒａｎｋ ＹＥＬＬＩＮにより編集された「Ｊａｖａ仮想マシン仕様
（Ｊａｖａ Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ Ｓｐｅｃｉｆｉｃａｔｉｏｎ）
」と題する検証方法では、Ｊａｖａ仕様では、分岐命令を通じる上記仕様の一貫
性を保証するために、各分岐ターゲットにおけるレジスタタイプのテーブルのコ
ピーをランダムアクセスメモリに保持する必要がある。この操作はＴ_rｘＮ_bに比
例するある量のランダムアクセスメモリを必要とする。ここにＴ_rはサブプログ
ラムにより使用されるレジスタの数を示し、Ｎ_bはこのサブプログラムのコード
中の分岐ターゲットの数を示す。

【０１５７】 これに反して、本発明の主題である検証方法はコードの種々の点におけるコピ
ーをランダムアクセスメモリに保持することなくレジスタタイプのグローバルテ
ーブルで動作する。したがって、この検証方法を実現するために求められるラン
ダムアクセスメモリはＴ_rに比例するがＮ_bとは独立であり、したがって、関連す
るサブプログラムのコードの長さとは独立である。

【０１５８】 所与のレジスタが全ての点において、すなわち、関連するコードのあらゆる命
令において、同じタイプで使用される、請求される制約がサブプログラムの検証
を顕著かつ大幅に簡単にする。これに反して、先行技術の検証方法では、一方で
は、検証方法を実行可能にするプログラムコードのサイズを減少すること、他方
では、検証動作中のランダムアクセスメモリの消費を減少することを可能にする
。複雑さの程度は、本発明の主題である検証方法では、先行技術の検証方法の（
Ｏ（Ｔ_p＋Ｔ_r）ｘＮ_b）ではなくて、Ｏ（Ｔ_p＋Ｔ_r）の形であり、しかし検証さ
れるコードの実行のセキュリティについて同じ保証を提供する。

【０１５９】 最後に、元の従来コードを標準化されたコードへ変換するプロセスは、追加情
報を検証コンポーネント、すなわち、マイクロプロセッサカードまたはオンボー
ド処理システム、へ送ることなく、コードのローカル化された変換により実現さ
れる。

【０１６０】 図４ｂと図５ｂに示されているレジスタを再割当てする方法については、この
方法は、 − レジスタ再割当てにより同じレジスタを異なる主タイプを持つ２つの間隔に 割当てることをできなくする。したがって、これは所与のレジスタがコード 全体にわたって同じタイプが使用されることが保証される； − 上記文献に記載されている、既存のレジスタ割当てアルゴリズムが固定数の レジスタをとり、レジスタとスタックの間の、「スピル」と呼ばれる、転送 を最少にし、本発明の主題で請求されているレジスタの再割当ては、レジス タの総数が可変である枠組み内で動作し、その結果、レジスタの総数を最小 にするプロセスが実行される時にレジスタとスタックの間の転送を実行する 目的がない。 という事実により、特に米国特許第４，５７１，６７８号および第５，２４９，
２９５号に記載されているように、先行技術の既知の方法とは異なる。

【０１６１】 本発明の主題である、オンボードシステムにダウンロードされたプログラム断
片を管理するプロトコルと、このダウンロードされたプログラム断片を検証する
方法、およびダウンロードされたプログラム断片のオブジェクト・コードを変換
する方法はもちろんソフトウエアで実現できる。

【０１６２】 したがって、本発明は再プログラム可能なオンボードシステムの内部メモリに
直接ロードできるコンピュータプログラム・プロダクトにも関する。このオンボ
ードシステムは、オンボードシステムのマイクロプロセッサにより、オブジェク
ト・コード、一連の命令、より成るプログラム断片をダウンロードすることを可
能にする。そのオブジェクト・コードは、実行スタックと、そのオブジェクト・
コードを解釈できるようにそれらの命令を介して操作されるローカルレジスタす
なわち変数とが装備されている仮想マシンによって、オンボードシステムのマイ
クロプロセッサにより実行できる。対応するコンピュータプログラム・プロダク
トが、このオンボードシステムが端末装置に相互接続され、このプログラムがこ
のオンボードシステムのマイクロプロセッサにより仮想マシンを介して実行され
る時に、上で説明した図２と図６に示されているように、このオンボードシステ
ムにダウンロードされたプログラム断片を管理するプロトコルを実行するオブジ
ェクト・コードの部分を含む。

【０１６３】 本発明は、図６参照して示されているように、再プログラム可能なメモリを有
するマイクロプロセッサカードなどの、再プログラム可能なオンボードシステム
の内部メモリに直接ロードできるコンピュータプログラム・プロダクトにも関す
る。このコンピュータプログラム・プロダクトは、図３ａないし図３ｊを参照し
て、説明の上で示しかつ述べたように、このオンボードシステムにダウンロード
されたプログラム断片を検証する段階を実行するオブジェクト・コードの部分を
含む。この検証は、このオンボードシステムが端末装置に相互接続され、このプ
ログラムがこのオンボードシステムのマイクロプロセッサにより仮想マシンを介
して実行されるときに、行われる。

【０１６４】 本発明はコンピュータプログラム・プロダクトにも関する；このコンピュータ
プログラム・プロダクトは、図４ａ図４ｂ、図５ａ、図５ｂおよび図６に示され
、説明において上で述べたように、プログラム断片のオブジェクト・コードをこ
の同じプログラム断片に対する標準化されたオブジェクト・コードに変換する方
法の諸段階を実行するオブジェクト・コードの部分を含む。

【０１６５】 本発明は、再プログラム可能なオンボードシステム、たとえば、書き替え可能
なメモリを装備されているマイクロプロセッサ、に使用できる媒体に記録される
コンピュータプログラム・プロダクトにも関する。このオンボードシステムはこ
のマイクロプロセッサにより、それらの命令を介して操作される実行スタックお
よびローカル変数またはレジスタが装備されている仮想マシンを介して実行でき
て、このオブジェクト・コードの解釈を行えるようにするオブジェクト・コード
より成るプログラム断片をダウンロードすることを可能にする。上記コンピュー
タプログラム・プロダクトは、図２に示されており、かつ説明の中で上で述べた
ように、仮想マシンを介してオンボードシステムのマイクロプロセッサにより読
出すことができて、ダウンロードされたプログラム断片のダウンロードを管理す
る手順の実行を指令するプログラムのモジュールと、図３ａないし３ｊに示され
ており、かつ上で説明したように、仮想マシンを介してオンボードシステムのマ
イクロプロセッサにより読出すことができて、このプロトコルを構成しているオ
ブジェクト・コードを、命令ごとに、検証する手順の実行を指令するプログラム
のモジュールと、図２に示されているように、仮想マシンを介してオンボードシ
ステムのマイクロプロセッサにより読出すことができて、このプログラム断片の
オブジェクト・コードのこの同じプログラム断片の標準化されたオブジェクト・
コードへの変換に続いて、またはその変換なしに、ダウンロードされたプログラ
ム断片の実行を指令するプログラムのモジュールとを少なくとも含む。

【０１６６】 上記コンピュータプログラム・プロダクトは、図２に示し、かつ図２を参照し
て上で述べたように、仮想マシンを介してオンボードシステムのマイクロプロセ
ッサにより読出すことができて、上記プログラム断片の検証手順に失敗した場合
に、プログラム断片の、オンボードシステムにおける、実行の禁止を指令するプ
ログラムのモジュールを含みもする。

【０１６７】 付録

【０１６８】

【表１】

【０１６９】

【表２】

【０１７０】

【表３】

【０１７１】

【表４】

【０１７２】

【表５】

【０１７３】

【表６】

【０１７４】

【表７】

【０１７５】

【表８】

【０１７６】

【表９】

【０１７７】

【表１０】

【０１７８】

【表１１】

【０１７９】

【表１２】

【図面の簡単な説明】

【図１ａ】 従来のプログラム可能でないオンボード・データ処理システムを表す図である
。

【図１ｂ】 従来のアップレットのダウンロードにより再プログラム可能なオンボード・デ
ータ処理システムを表す図である。

【図２】 再プログラム可能なオンボードシステムにダウンロードされたプログラム断片
を管理する方法を示す流れ図を表す。

【図３ａ】 例により、本発明の主題に従って、ダウンロードされたプログラム断片を検証
する方法の流れ図を表す。

【図３ｂ】 本発明の主題である、ダウンロードされたプログラム断片を、管理する方法お
よび検証する方法により実現されるデータタイプとサブタイピングの関係を示す
図を表す。

【図３ｃ】 分岐命令の管理に関連する、図３ａに示されている検証方法の詳細を表す。

【図３ｄ】 サブルーチン呼出し命令の管理に関連する、図３ａに示されている検証方法の
詳細を表す。

【図３ｅ】 例外ハンドラ・ターゲットの管理に関連する、図３ａに示されている検証方法
の詳細を表す。

【図３ｆ】 適合しない分岐のターゲットの管理に関連する、図３ａに示されている検証方
法の詳細を表す。

【図３ｇ】 分岐ターゲットの不存在の管理に関連する、図３ａに示されている検証方法の
詳細を表す。

【図３ｈ】 タイプスタックに対する現在の命令の効果の管理に関連する、図３ａに示され
ている検証方法の詳細を表す。

【図３ｉ】 レジスタを読出す命令の管理に関連する、図３ａに示されている検証方法の詳
細を表す。

【図３ｊ】 レジスタに書込むための命令の管理に関連する、図３ａに示されている検証方
法の詳細を表す。

【図４ａ】 プログラム断片のオブジェクト・コードを、分岐命令と、分岐ターゲット命令
と、空きスタックとを有するこの同じプログラム断片のための標準化されたオブ
ジェクト・コードへ変換する方法を示す流れ図を表す。

【図４ｂ】 タイプ付けされたレジスタ、単一の特定のデータタイプが各レジスタに起因し
ている、を使用させる、プログラム断片のオブジェクト・コードを、この同じプ
ログラム断片のための標準化されたオブジェクト・コードへ変換する方法を示す
流れ図を表す。

【図５ａ】 図４ａに示されている変換方法の実現の詳細を表す。

【図５ｂ】 図４ｂに示されている変換方法の実現の詳細を表す。

【図６】 標準化されたオブジェクト・コードの開発のための装置と、本発明の主題に従
ってプログラム断片の検証を管理するプロトコルの実現と、プログラム断片を検
証する方法の実現を行えるようにする再プログラム可能なマイクロプロセッサカ
ードとの完全なアーキテクチャの機能図である。

Claims (27)

【特許請求の範囲】
1. 【請求項１】 書き替え可能なメモリを装備されているマイクロプロセッサ
   ・カードなどの、再プログラム可能なオンボードシステムにダウンロードされた
   プログラム断片を管理するプロトコルであって、 前記プログラム断片は、オンボードシステムのマイクロプロセッサにより仮想
   マシンを介して実行できるオブジェクト・コード、一連の命令、で構成され、仮
   想マシンには実行スタックおよびローカル変数、またはそれらの命令を介して操
   作されてこのオブジェクト・コードを解釈することを可能にするレジスタが備え
   られており、前記オンボードシステムは端末装置に相互接続されており、 前記オンボードシステムにダウンロードされたプログラム断片を管理するプロ
   トコルにおいて、 このプロトコルは、少なくとも前記オンボードシステムのレベルにおいて、 ａ） このプログラム断片のダウンローディングのためのコマンドを検出する こと；およびこの段階に対する応答が肯定であれば、ダウンローディン グのためのコマンドを検出することと、 ｂ） このプログラム断片を構成しているオブジェクト・コードを読出すこと 、 およびこのオブジェクト・コードを一時的に保存することと、 ｃ） メモリに一時的に保存されているオブジェクト・コードの全体を命令ご とに検証プロセスにかけることと、 前記オブジェクト・コードの検証が成功した場合に、 ｄ） ダウンロードされたプログラム断片を利用可能なプログラム断片のディ レクトリに記録することと、 前記オブジェクト・コードの検証が成功しなかった場合に、 ｅ） 前記オンボードシステムにおける前記プログラム断片の実行を禁止する ことと、 を含み、 前記検証プロセスは、一時的に保存されているオブジェクト・コードの 実行開始時に前記仮想マシンの状態を表すタイプスタックおよびレジス タタイプのテーブルを初期化する段階と、現在の各命令に対して、ター ゲット、分岐命令ターゲット、例外ハンドラ呼出しのターゲット、また はサブルーチン呼出しのターゲットの存在を判別することにより、命令 ごとに連続して検証する段階と、タイプスタックおよびレジスタタイプ のテーブルについての前記現在の命令の効果の検証および更新とを、少 なくとも含む、 ことを特徴とする、前記オンボードシステムにダウンロードされたプログラム 断片を管理するプロトコル。
2. 【請求項２】 実行を禁止する前記段階ｅ）が、 ｆ） 一時的に記録されているプログラム断片を利用可能なプログラム断片の 前記ディレクトリに記録することをぬかす時に、一時的に記録されてい るプログラム断片を削除することと、 ｇ） 誤りコードを読取り機へ送ることとを、 含むことを特徴とする請求項１に記載のプロトコル。
3. 【請求項３】 ダウンローディングのためのコマンドを検出する前記段階ａ
   ）に対する応答が否定であれば、 ｂ′） コマンドを検出して、プログラム断片のディレクトリから利用可能なプ ログラム断片を選択すること；およびこの段階に対する応答が肯定であ れば、コマンドを検出して、利用可能なプログラム断片を選択することと 、 ｃ′） 前記選択された利用可能なプログラム断片を呼出すことと、 ｄ′） 変数のタイプのダイナミックな検証がなく、呼出された利用可能なプロ
   グ ラム断片により操作されるオブジェクトに対するアクセス権がなく、また は各命令が実行される時に実行スタックのあふれがない仮想マシンを介し て前記選択された利用可能なプログラム断片を実行すること、およびこの 段階に対する応答が否定であれば、コマンドを検出して利用可能なプログ ラム断片を選択することと、 ｅ′） オンボードシステムの標準コマンドを処理することを続けることとを、
   含むことを特徴とする請求項１または２に記載のプロトコル。
4. 【請求項４】 書き替え可能なメモリを装備されているマイクロプロセッサ
   ・カードなどの、再プログラム可能なオンボードシステムにダウンロードされた
   プログラム断片をオンボードシステムのマイクロプロセッサにより仮想マシンで
   検証する方法であって、 前記プログラム断片はオブジェクト・コードで構成されて、少なくとも１つの
   サブプログラム、一連の命令、を含み、前記仮想マシンには実行スタックと、そ
   れらの命令により操作されてこのオブジェクト・コードを解釈することを可能に
   するオペランド・レジスタとが備えられており、前記オンボードシステムは読取
   り器に相互接続されており、 前記オンボードシステムにダウンロードされたプログラム断片をオンボードシ
   ステムのマイクロプロセッサにより仮想マシンで検証する方法において、 前記検証する方法は、ダウンローディングのためのコマンドの検出と、このプ
   ログラム断片を構成している前記オブジェクト・コードの前記書き替え可能なメ
   モリへの保存とに続いて、各サブプログラムに対して、 α） タイプスタックと、仮想マシンの状態を表すデータによるレジスタタイ プのテーブルとを、一時的に保存されているオブジェクト・コードの実 行の開始時に、初期化する段階を実行することと、 β） ターゲットと、分岐命令ターゲットと、例外ハンドラ呼出しのターゲッ トまたはサブルーチン呼出しのターゲットの存在を、各現在の命令ごと に、識別することにより、前記一時的に保存されているオブジェクト・ コードの検証を命令ごとに行うことと、 γ） 分岐命令ターゲットと、サブルーチン呼出しのターゲットまたは例外ハ ンドラ呼出しのターゲットの存在を基にした、前記タイプスタックのデ ータタイプおよびレジスタタイプの前記テーブルのデータタイプについ ての前記現在の命令の効果の検証および更新を行うこととを有し、 前記検証は、レジスタタイプのテーブルが全ての命令の検証中に修正さ れない時に成功し、検証プロセスは、レジスタタイプのテーブルが安定 するまで命令ごとに実行され、修正がなければ、検証プロセスは別の方 法で中断される、 ことを特徴とする、前記オンボードシステムにダウンロードされたプログラム 断片をオンボードシステムのマイクロプロセッサにより仮想マシンで検証する 方法。
5. 【請求項５】 検証プロセス中に操作される変数タイプが、少なくとも、 − プログラム断片中で定められているオブジェクト・クラスに対応する クラス識別子と、 − タイプｓｈｏｒｔと、ｐビットに符合化された整数と、飛び越し命令Ｊ ＳＲの戻りアドレスについてのタイプｒｅｔａｄｄｒとを少なくとも含 んでいる数値変数タイプと、 − 零オブジェクトの参照に関連するタイプｎｕｌｌと、 − オブジェクトに関連するタイプｏｂｊｅｃｔと、 − 全てのタイプの交差を表して、値０、ｎｉｌに対応する第１の特定のタ イプ⊥と、 − 全てのタイプの連合を表し、値の任意のタイプに対応する第２の特定の タイプＴと、 を含むことを特徴とする請求項４に記載の検証する方法。
6. 【請求項６】 全ての前記変数タイプがサブタイピング関係： ｏｂｊｅｃｔεＴ； ｓｈｏｒｔ、ｒｅｔａｒｄｄｒεＴ； ⊥εｎｕｌｌ、ｓｈｏｒｔ、ｒｅｔａｄｄｒ を検証することを特徴とする請求項５に記載の検証する方法。
7. 【請求項７】 前記現在の命令が分岐命令ターゲットであると、前記検証す る方法はタイプスタックが空きであることを検証することを含み、肯定的な検 証の場合に検証プロセスが以後の命令のために続行され、さもなければ検証プ ロセスは失敗しプログラム断片は除去されることを特徴とする請求項４から６ のいずれか１項に記載の検証する方法。
8. 【請求項８】 前記現在の命令がサブルーチン呼出しのターゲットであると 、前記検証プロセスは、以前の命令が無条件分岐、サブルーチン戻りまたは例外
   の増大であることを検証し、前記検証プロセスは、肯定的な検証の場合には、ｒ ｅｔａｄｄｒ タイプの実体、サブルーチンの戻りアドレス、により変数タイプの
   スタックの再更新へ進み、さもなければ検証プロセスは失敗してプログラム断片
   は拒否されることを特徴とする請求項４から７のいずれか１項に記載の検証する
   方法。
9. 【請求項９】 現在の命令が例外ハンドラ呼出しのターゲットであると、前
   記検証プロセスは、以前の命令が無条件分岐、サブルーチン戻りまたは例外の増
   大であることを検証し、前記検証プロセスは、肯定的な検証の場合には、例外タ
   イプに入ることによりタイプスタックの再更新へ進み、さもなければ検証プロセ
   スは失敗してプログラム断片は拒否されることを特徴とする請求項４から８のい
   ずれか１項に記載の検証する方法。
10. 【請求項１０】 現在の命令が多数の適合できない分岐命令ターゲットであ
    ると、検証プロセスは失敗し、プログラム断片は拒否されることを特徴とする請
    求項４から９のいずれか１項に記載の検証する方法。
11. 【請求項１１】 現在の命令がどのような分岐命令ターゲットでもないと、
    検証プロセスはタイプスタックの更新へ進むことにより続行することを特徴とす
    る請求項４から１０のいずれか１項に記載の検証する方法。
12. 【請求項１２】 タイプスタックについての現在の命令の効果の検証段階が
    、少なくとも、 − タイプ実行スタックが現在の命令が含んでいるオペランドの数と少なく とも同数のエントリを含んでいることを検証する段階と、 − スタックを解く段階と、スタックのトップにおけるエントリのタイプ がこの命令のオペランドのオペランド・タイプのサブタイプであること を検証する段階と、 − タイプスタックについての十分なメモリ空間の存在を検証して、現在の 命令の結果を積み重ねるために進む段階と、 − それらの結果に割当てられているスタックデータ・タイプを積み重ねる 段階と、 を含むことを特徴とする請求項４から１１のいずれか１項に記載の検証する方法
    。
13. 【請求項１３】 現在の命令がアドレスｎのレジスタを読み出す命令である
    と、検証プロセスは、 − エントリｎをレジスタタイプのテーブルに読み込むことにより、この読 出しの結果のデータタイプを検証することと、 − この現在の命令のオペランドに対応するスタックのエントリのスタック を解くことにより、およびこの結果のデータタイプをスタックすること により、タイプスタックについての現在の命令の効果を判定することと
    、 を含むことを特徴とする請求項１２に記載の検証する方法。
14. 【請求項１４】 現在の命令がアドレスｍのレジスタへ書込む命令であると
    、検証プロセスは、 − タイプスタックと、アドレスｍのこのレジスタに書込まれているオペラ ンドのタイプｔとについての現在の命令の効果を判定することと、 − アドレスｍにおけるレジスタタイプのテーブルのタイプエントリを、以 前に保存されたタイプのすぐ上のタイプと、アドレスｍのこのレジスタ に書込まれているオペランドのタイプｔの上のタイプとで置き換えるこ とと、 を含むことを特徴とする請求項１２に記載の検証する方法。
15. 【請求項１５】 各命令のオペランドがこの命令により操作されるデータタ
    イプに属し、実行スタックがいかなるあふれ現象も示さず、各分岐命令に対して
    、この分岐におけるスタック変数のタイプがこの分岐命令ターゲットにおけるの
    と同じである、プログラム断片のオブジェクト・コードを、この同じプログラム
    断片に対する標準化されたオブジェクト・コードに変換する方法であって、 この同じプログラム断片に対する標準化されたオブジェクト・コードは、各命
    令のオペランドがこの命令により操作されるデータタイプに属し、実行スタック
    がいかなるあふれ現象も示さず、実行スタックは各分岐命令と各分岐命令ターゲ
    ットとにおいて空きであり、 前記プログラム断片のオブジェクト・コードを、この同じプログラム断片に対
    する標準化されたオブジェクト・コードに変換する方法において、 前記変換する方法は、前記オブジェクト・コードの全ての命令に対して、 − 注釈データはこの命令に関連するデータ流の分析により計算され、各現 在の命令を、この命令の実行の前および後のスタックのデータタイプで 注釈することと、 − それに対しては前記実行スタックが空きでなく、検出操作は、各現在の 命令に割当てられたスタック変数のタイプの注釈データを基にして、空 きでない実行スタックの検出の存在する中で行われ、前記命令内および 各現在の命令内で、分岐の存在、または分岐命令ターゲットのそれぞれ の存在を検出することと、 − それぞれ、この分岐の前に実行スタックの内容を一時的なレジスタ内に 入れて空きにするため、およびこの分岐の後で前記一時的なレジスタか ら実行スタックを再設定するために、命令を挿入してスタック変数をそ れらの分岐またはそれらの分岐命令ターゲットのいずれかの側に転送す ること、およびさもなければいかなる転送命令も挿入しないで、この同 じプログラム断片に対する標準化されたオブジェクト・コードを得るこ とを可能にすることとを含み、 前記標準化されたオブジェクト・コードにおいては、実行スタックは 各分岐命令と各分岐命令ターゲットとにおいて、前記プログラム断片の 実行に対するいかなる修正も存在しない中で、空きである、 ことを特徴とする、プログラム断片のオブジェクト・コードを、この同じプロ グラム断片に対する標準化されたオブジェクト・コードに変換する方法。
16. 【請求項１６】 各命令のオペランドがこの命令により操作されるデータ タイプに属し、このオブジェクト・コードの命令によりレジスタに書込まれた 所与のタイプのオペランドが、同じ所与のデータタイプを有するこのオブジェ クト・コードの別の命令により同じレジスタから再び読み出される、プログラ ム断片のオブジェクト・コードを、この同じプログラム断片に対する標準化さ れたオブジェクト・コードに変換する方法であって、 この同じプログラム断片に対する標準化されたオブジェクト・コードは、各 命令のオペランドがこの命令により操作されるデータタイプに属し、同じデータ
    タイプが前記標準化されたオブジェクト・コード全体にわたって同じレジスタに
    割当てられており、 前記プログラム断片のオブジェクト・コードを、この同じプログラム断片に対
    する標準化されたオブジェクト・コードに変換する方法において、 前記変換する方法は、前記オブジェクト・コードの全ての命令に対して、 − 注釈データはこの命令に関連するデータ流の分析により計算され、各現 在の命令を、この命令の実行の前および後のレジスタのデータタイプで 注釈することと、 − 種々のタイプで採用されている元のレジスタを検出することにより、そ れらの元のレジスタを別々の標準化されたレジスタ−使用される各デー タタイプごとに１つの標準化されたレジスタ−に分割することにより、 および前記標準化されたレジスタを使用するオペランドを操作する命令 を再更新することによりレジスタの再割り当てを実行することとを、 含むことを特徴とする、プログラム断片のオブジェクト・コードを、この同じ プログラム断片に対する標準化されたオブジェクト・コードに変換する方法。
17. 【請求項１７】 前記命令内でおよび各現在の命令内で、それに対して実 行スタックが空きでないような、分岐の存在、またはそれぞれ分岐命令ターゲ ットの存在を検出することを含む段階が、ランクｉの各対応する命令の検出に 続いて、 − １つの新しいレジスタがこの命令においてアクティブである各スタック 変数に関連させられ、ランクｉの各命令に新しいレジスタのセットを関 連させることと、 − ランクｉの検出された各命令を調べ、かつ分岐命令ターゲットまたは分 岐のそれぞれの存在を判別することとを含み、 そして、ランクｉの命令が分岐命令ターゲットである場合、かつ、こ の命令においては実行スタックは空きではない場合に、 ・ 分岐、例外の増大、またはプログラム戻りより成る、ランクｉ−１ の、あらゆる先行命令に対して、ランクｉの検出された命令が分岐 によってのみアクセスでき、 ・・ ランクｉの前記検出された命令の前に、ロード命令ｌｏａｄのセッ トを挿入して新しいレジスタのセットからロードし、ランクｉの検 出された命令への全ての分岐を最初に挿入されたロード命令ｌｏａ ｄへ再び向け、そして、 ・ ランクｉ−１の、あらゆる先行命令に対して、順次に続いて、 分岐により、ランクｉ−１の先行命令から、ランクｉの検出された 命令が同時にアクセスでき、 ・・ ランクｉの検出された命令の前にバックアップ命令ｓｔｏｒｅのセ ットを挿入して新しいレジスタのセットにバックアップし、かつロ ード命令ｌｏａｄのセットを挿入してこの新しいレジスタのセット からロードし、ランクｉの前記検出された命令が所与の命令への分 岐である場合には、ランクｉの検出された命令への全ての分岐を最 初に挿入されたロード命令ｌｏａｄへ再び向け、 ・ 無条件分岐より成るランクｉのあらゆる検出された命令に対して
    、 ・・ ランクｉの検出された命令の前に、多数のバックアップ命令ｓｔ ｏｒｅ、新しい各レジスタに関連させられているバックアップ命 令、を挿入し、そして、 ・ 条件付き分岐より成るランクｉのあらゆる検出された命令に対して 、およびこの条件付き分岐命令により操作されるオペランドの数ｍ ＞０に対して、 ・・ ランクｉのこの検出された命令の前に、順列命令、ｓｗａｐ−ｘ、 をランクｉの検出された命令のｍ個のオペランドおよびｎ個の以後 の値の実行スタックのトップに挿入し、この順列操作は実行スタッ クのトップに、新しいレジスタのセットにおいてバックアップすべ きｎ個の値を集めることを可能にし、そして、 ・・ ランクｉの命令の前に、バックアップ命令ｓｔｏｒｅのセットを挿 入して新しいレジスタのセットをバックアップし、そして、 ・・ ランクｉの検出された命令の後に、ロード命令ｌｏａｄのセットを 挿入して新しいレジスタのセットからロードすること、 を特徴とする請求項１５に記載の変換する方法。
18. 【請求項１８】 種々のタイプで採用されている元のレジスタを検出するこ
    とによりレジスタを再割当てすることを含む段階が、 − 各レジスタの寿命時間間隔を決定することと、 − レジスタｒのための寿命時間間隔ｊの主データタイプは、寿命時間間隔ｊに
    属するバックアップ命令ｓｔｏｒｅによってこのレジスタｒに保存されているデ
    ータタイプの上限によって定められており、各寿命時間間隔の主データタイプを
    決定することと、 − 干渉グラフは、向きを定められていないグラフで構成され、そのグラフの各
    極大は寿命時間間隔で構成され、極大が他の極大のレジスタにアドレスされたバ
    ックアップ命令を含んでいるならば、そのグラフの２つの極大ｊ１とｊ２の間に
    弧が存在し、またはそのグラフの２つの極大ｊ１とｊ２の間に弧が存在するなら
    ば、極大が他の極大のレジスタにアドレスされたバックアップ命令を含んでおり
    、寿命時間間隔の間に干渉グラフを設定することと、 − 極大対の２つの極大は同じ関連付けられた主データタイプを持たないが、干
    渉グラフの全ての極大対の間の弧を加えることにより、干渉グラフ中の各レジス
    タに割当てられているデータタイプの独自性を翻訳することと、 − 種々のレジスタ番号が干渉グラフ中の２つの隣接する寿命時間間隔に割当て
    られるようにして、各寿命時間間隔にレジスタ番号を割当てることにより、干渉
    グラフの例示を行うこととを、 含むことを特徴とする請求項１６に記載の変換する方法。
19. 【請求項１９】 少なくとも１つのマイクロプロセッサと、１つのランダム
    アクセスメモリと、１つの入力／出力モジュールと、１つの電気的に再プログラ
    ム可能な不揮発性メモリと、１つの固定メモリとを含み、その固定メモリに主プ
    ログラムと、主プログラムを実行可能にする仮想マシンと、前記マイクロプロセ
    ッサを用いる少なくとも１つのプログラム断片とがインストールされている、プ
    ログラム断片をダウンロードすることにより再プログラムできるオンボードシス
    テムにおいて、 前記オンボードシステムはダウンロードされたプログラム断片を管理および検
    証するための少なくとも１つのプログラムモジュールを含み、前記管理および検
    証するためのプログラムモジュールは固定メモリにインストールされていること
    を特徴とするオンボードシステム。
20. 【請求項２０】 少なくとも１つのマイクロプロセッサと、１つのランダム
    アクセスメモリと、１つの入力／出力モジュールと、１つの電気的に再プログラ
    ム可能な不揮発性メモリと、１つの固定メモリとを含み、その固定メモリに主プ
    ログラムと、主プログラムを実行可能にする仮想マシンと、前記マイクロプロセ
    ッサを用いる少なくとも１つのプログラム断片とがインストールされている、プ
    ログラム断片をダウンロードすることにより再プログラムできるオンボードシス
    テムにおいて、 前記オンボードシステムは、請求項１から３のいずれか１項に記載のダウンロ
    ードされたプログラム断片を管理するプロトコルに従って、ダウンロードされた
    プログラム断片を管理および検証するための少なくとも１つのプログラムモジュ
    ールを含み、前記管理および検証するためのプログラムモジュールは固定メモリ
    にインストールされていることを特徴とするオンボードシステム。
21. 【請求項２１】 請求項４から１４のいずれか１項に記載の検証プロセスに
    従って、ダウンロードされたプログラム断片を検証する少なくとも１つのサブプ
    ログラムモジュールを含むことを特徴とする請求項２０に記載のオンボードシス
    テム。
22. 【請求項２２】 各命令のオペランドがこの命令により操作されるデータタ
    イプに属し、実行スタックはいかなるあふれ現象も示さず、各分岐命令に対して
    、この分岐におけるスタック変数のタイプがこの分岐命令ターゲットにおけるの
    と同じであり、このオブジェクト・コードの命令によりレジスタに書込まれた所
    与のタイプのオペランドが、同じ所与のデータタイプを持つこのオブジェクト・
    コードの他の命令によりこの同じレジスタから、この同じプログラム断片のため
    の標準化されたオブジェクト・コードに再び読込まれ、その同じプログラム断片
    において、各命令のオペランドはこの命令により操作されるデータタイプに属し
    、実行スタックはあふれ現象を示さず、実行スタックは各分岐命令および各分岐
    命令ターゲットにおいて空きであり、同じデータタイプが前記標準化されたオブ
    ジェクト・コード全体にわたって同じレジスタに割り当てられる、プログラム断
    片のオブジェクト・コードを変換する方法において、 変換システムは、開発コンピュータまたは開発ワークステーションのワーキン
    グメモリにインストールされている、このオブジェクト・コードを、請求項１５
    から１８のいずれか１項に記載の方法に従って、標準化されたオブジェクト・コ
    ードに変換するプログラムモジュールを少なくとも含み、前記プログラム断片の
    ための標準化されたオブジェクト・コードを発生することを可能にして、このダ
    ウンロードされたプログラム断片を検証する基準を満たすことを特徴とするプロ
    グラム断片のオブジェクト・コードを変換する方法。
23. 【請求項２３】 再書込み可能なメモリを装備されているマイクロプロセッ
    サカードなどの、再プログラム可能なオンボードシステムの内部メモリに直接ロ
    ードされ得るコンピュータプログラム・プロダクトであって、 このオンボードシステムは、実行スタックと、それらの命令により操作される
    ローカル変数またはレジスタとを装備されて、このオブジェクト・コードを解釈
    することを可能にする仮想マシンを介してオンボードシステムのマイクロプロセ
    ッサにより実行できるオブジェクト・コード、一連の命令、より成るプログラム
    断片をダウンロードすることを可能にし、 このオンボードシステムが端末装置に相互に接続されて、このプログラムがこ
    のオンボードシステムのマイクロプロセッサにより前記仮想マシンを介して実行
    される時に、このオンボードシステムにダウンロードされたプログラム断片を管
    理する請求項１から３のいずれか１項に記載のプロトコルを実行するオブジェク
    ト・コードの部分を含む、コンピュータプログラム・プロダクト。
24. 【請求項２４】 再書込み可能なメモリを装備されているマイクロプロセッ
    サカードなどの、再プログラム可能なオンボードシステムの内部メモリに直接ロ
    ードされ得るコンピュータプログラム・プロダクトであって、 このオンボードシステムは、実行スタックと、それらの命令により操作される
    オペランドレジスタとを装備されて、このオブジェクト・コードを解釈すること
    を可能にする仮想マシンを介してオンボードシステムのマイクロプロセッサによ
    り実行できるオブジェクト・コード、一連の命令、より成るプログラム断片をダ
    ウンロードすることを可能にし、 このオンボードシステムが端末装置に相互に接続されて、このプログラムがこ
    のオンボードシステムのマイクロプロセッサにより前記仮想マシンを介して実行
    される時に、このオンボードシステムにダウンロードされたプログラム断片を請
    求項４から１４のいずれか１項に記載の検証する方法の段階を実行するオブジェ
    クト・コードの部分を含む、コンピュータプログラム・プロダクト。
25. 【請求項２５】 ダウンロードされたプログラム断片のオブジェクト・コー
    ドを、この同じプログラム断片に対する標準化されたオブジェクト・コードに請
    求項１５から１８のいずれか１項に記載の変換する方法の段階を実行するオブジ
    ェクト・コードの部分を含むコンピュータプログラム・プロダクト。
26. 【請求項２６】 再書込み可能なメモリを装備されているマイクロプロセッ
    サカードなどの、再プログラム可能なオンボードシステムに使用できる媒体に記
    録されているコンピュータプログラム・プロダクトであって、 このオンボードシステムは、実行スタックと、それらの命令を介して操作され
    るローカル変数またはレジスタとを装備されて、このオブジェクト・コードを解
    釈することを可能にする仮想マシンを介してオンボードシステムのマイクロプロ
    セッサにより実行できるオブジェクト・コード、一連の命令、より成るプログラ
    ム断片をダウンロードすることを可能にし、 − このオンボードシステムのマイクロプロセッサにより前記仮想マシンを介し て読出すことができて、ダウンロードされたプログラム断片のダウンローデ ィングを管理する手順の実行を指令することができるプログラム資源と、 − このオンボードシステムのマイクロプロセッサにより前記仮想マシンを介し て読出すことができて、前記プログラム断片を構成しているオブジェクト・ コードを、命令ごとに、検証する手順の実行を指令することができるプログ ラム資源と、 − このオンボードシステムのマイクロプロセッサにより前記仮想マシンを介し て読出すことができて、このプログラム断片のオブジェクト・コードの、こ の同じプログラム断片のための標準化されたオブジェクト・コードへの変換 に続いて、または変換なしで、ダウンロードされたプログラム断片の実行を 指令することができるプログラム資源とを、 少なくとも含むコンピュータプログラム・プロダクト。
27. 【請求項２７】 このオンボードのマイクロプロセッサにより前記仮想マ シンを介して読出すことができて、このプログラム断片の検証手順に成功しな かった場合に、前記プログラム断片の、前記オンボードシステムにおける、実 行の禁止を指令できるプログラム資源を更に含む請求項２６に記載のコンピュ ータプログラム・プロダクト。