JP2021117653A - 検査システム、検査方法及び検査プログラム - Google Patents

Abstract

【課題】メモリ領域オーバーランの検出機構の有効と無効を実行時に制御すること。【解決手段】領域割り付け部が検査対象プログラムのコンパイル時に検査対象のデータについて領域割り付け情報を生成する。そして、データ領域獲得部が検査対象プログラムの実行時にデータ領域を獲得し、領域割り付け情報に基づいて、獲得したデータ領域にデータを割り付ける。データ領域獲得部は、検査対象のデータを割り付ける際に、メモリ領域オーバーランが発生するとアクセス違反が検出されるように割り付ける。【選択図】図５

Description

本発明は、検査システム、検査方法及び検査プログラムに関する。

プログラムの実行時に、データＡの領域範囲を超えて書き込みが行われることによって、データＡに隣接して割り当てられたデータＢの領域が破壊されることがある。このような領域破壊は、メモリ領域オーバーランと呼ばれる。

メモリ領域オーバーランが発生した場合、オーバーランの発生時点では異常が発生せず、破壊されたデータＢの値を使って処理が行われ、異常終了などが発生して初めてデータＢが破壊されたことが検出される。このため、異常終了などが発生しない場合、データＢの領域破壊が検出されないことがある。このような領域破壊の未検出による障害の発生を防ぐため、領域破壊を検出する技術がある。

例えば、配列の領域を超えた書き込みを検出する技術として、配列を書き込み不能領域の前の隣接した領域に配置することで、配列の領域を超えた書き込みを、書き込み不能領域への書き込みとして検出する従来技術がある。

なお、スタック領域に記憶するデータの複製を同時に保存し、プログラムの実施時、記憶したデータと、複製データとを比較し、両者が異なっていたとき、プログラムの実行を中止し、スタック領域に記憶したデータに異常があることをユーザに通知する技術がある。

特開２００６−１８５２３３号公報 特開２０１０−１９８１４７号公報

配列を書き込み不能領域の前の隣接した領域に配置することで、配列の領域を超えた書き込みを、書き込み不能領域への書き込みとして検出する従来技術では、翻訳時に固定の検出機構が埋め込まれる。このため、この従来技術には、実行時に検出機構の有効と無効を制御することで検出機構を柔軟に運用することができないという問題がある。

なお、ＮｅｔＣＯＢＯＬには、翻訳オプションを指定することで、メモリ領域オーバーランを検出する機能があるが、ＮｅｔＣＯＢＯＬ以外の言語で作成されたプログラムを呼び出す場合には、メモリ領域オーバーランを検出することはできない。また、デバッグ用のツールとして、メモリ領域オーバーランを検出するツールがあるが、ツールを適用していないモジュールで発生したメモリ領域オーバーランを検出することはできない。

本発明は、１つの側面では、メモリ領域オーバーランの検出機構の有効と無効を実行時に制御可能にすることを目的とする。

１つの態様では、検査システムは、生成部と割り付け部を有する。前記生成部は、検査対象プログラムの実行時におけるアクセス対象のデータへのアクセスが該データのメモリ領域以外の領域への違反アクセスとなる可能性がある検査対象のデータへのアクセスであるか否かに基づいて、アクセス対象のデータの領域の割り付けに関する第１の情報をコンパイル時に生成して前記検査対象プログラムに関連付ける。前記割り付け部は、前記検査対象プログラムの実行開始時にアクセス対象のデータの領域を割り付ける際に、前記生成部により生成された第１の情報に基づいて、検査対象のデータについて、違反アクセスを禁止する割り付けを行う。

１つの側面では、本発明は、メモリ領域オーバーランの検出機構の有効と無効を実行時に制御可能にすることができる。

図１は、実施例に係る検査装置により検査されるプログラムの例を示す図である。 図２は、図１に示したプログラムのデータ領域割り付けを示す図である。 図３は、実施例に係る検査装置の機能構成を示す図である。 図４は、コンパイル部の機能構成を示す図である。 図５は、領域割り付け情報の一例を示す図である。 図６は、ポインタを用いてデータヘアクセスする命令群の例を示す図である。 図７は、実行部の機能構成を示す図である。 図８は、領域割り付け処理のフローを示すフローチャートである。 図９は、領域割り付け情報を出力する処理のフローを示すフローチャートである。 図１０は、検査対象プログラムが無効から有効になるときに実行されるコード部分に領域獲得処理を展開する処理のフローを示すフローチャートである。 図１１は、検査対象プログラムが有効から無効になるときに実行されるコード部分に領域解放処理を展開する処理のフローを示すフローチャートである。 図１２は、オプション解析部がメモリ領域オーバーラン検査オプションを解析する処理のフローを示すフローチャートである。 図１３は、データ領域獲得部による処理のフローを示すフローチャートである。 図１４Ａは、検査有効時の領域割り付け処理のフローを示す第１のフローチャートである。 図１４Ｂは、検査有効時の領域割り付け処理のフローを示す第２のフローチャートである。 図１５は、検査無効時の領域割り付け処理のフローを示すフローチャートである。 図１６は、データ領域解放部による処理のフローを示すフローチャートである。 図１７は、検査有効時の領域解放処理のフローを示すフローチャートである。 図１８は、検査無効時の領域解放処理のフローを示すフローチャートである。 図１９は、検査装置の効果を説明するための図である。 図２０は、実施例に係る検査プログラムを実行するコンピュータのハードウェア構成を示す図である。

以下に、本願の開示する検査システム、検査方法及び検査プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例は開示の技術を限定するものではない。

まず、実施例に係る検査装置によるデータ領域割り付けについて図１及び図２を用いて説明する。図１は、実施例に係る検査装置により検査される検査対象プログラムの例を示す図である。図１（ａ）はＣＯＢＯＬプログラムの例を示し、図１（ｂ）はＣプログラムの例を示す。

これらのプログラムでは、「ＤＡＴＡ１」、「ＩＤＸ１」、「ＬＥＮ１」、「ＧＲＰ１」がデータとして使われる。「ＤＡＴＡ１」はサイズが１００の配列であり、要素のサイズは１バイトである。「ＩＤＸ１」及び「ＬＥＮ１」は、４バイトのデータである。「ＧＲＰ１」は「ＤＡＴＡ２」をメンバとする構造体であり、「ＤＡＴＡ２」はサイズが２０の配列であり、要素のサイズは４バイトである。

図１では、「ＤＡＴＡ１」が、アドレス渡しの引数として「ＰＲＯＧ２」の呼び出し時に指定され、「ＤＡＴＡ１［２００］」に書き込みが行われることで、メモリ領域オーバーランが発生する。

図２は、図１に示したプログラムのデータ領域割り付けを示す図である。図２（ａ）は、検査無効時の割り付けを示し、図２（ｂ）は、検査有効時の割り付けを示す。ここで、検査無効は、メモリ領域オーバーラン検査が無効であることを示し、検査有効は、メモリ領域オーバーラン検査が有効であることを示す。また、「ＷＯＲＫＩＮＧ−ＳＴＯＲＡＧＥ−ＳＥＣＴＩＯＮ」は、データの領域割り付けであることを示す。配列は、ポインタを用いてアクセスされる。データが割り付けられる領域は、実行時にランタイムライブラリによって確保される。

図２（ａ）に示すように、検査無効時は、実施例に係る検査装置は、「ＤＡＴＡ１ポインタ」及び「ＤＡＴＡ２ポインタ」としてそれぞれ８バイトを割り付ける。そして、実施例に係る検査装置は、「ＩＤＸ１」として４バイトを割り付け、８バイトバウンダリ調整用空きとして４バイトを割り付け、「ＬＥＮ１」として４バイトを割り付け、８バイトバウンダリ調整用空きとして４バイトを割り付ける。そして、実施例に係る検査装置は、「ＤＡＴＡ１」として１００バイトを割り付け、８バイトバウンダリ調整用空きとして４バイトの空きを設け、「ＤＡＴＡ２」として８０バイトを割り付ける。

一方、検査有効時は、実施例に係る検査装置は、図２（ｂ）に示すように、「ＤＡＴＡ１ポインタ」及び「ＤＡＴＡ２ポインタ」としてそれぞれ８バイトを割り付ける。そして、実施例に係る検査装置は、「ＩＤＸ１」として４バイトを割り付け、８バイトバウンダリ調整用空きとして４バイトを割り付け、「ＬＥＮ１」として４バイトを割り付け、８バイトバウンダリ調整用空きとして４バイトを割り付ける。そして、実施例に係る検査装置は、ページ調整用の空きとしてページサイズ−３２バイトの空きを設け、次のページをアクセス禁止とする。

そして、実施例に係る検査装置は、ページ調整用の空きとしてページサイズ−１００バイトの空きを設け、「ＤＡＴＡ１」として１００バイトを割り付け、次のページをアクセス禁止とする。ページ調整用の空きとしてページサイズ−１００バイトの空きを設けることで、実施例に係る検査装置は、「ＤＡＴＡ１」をアクセス禁止ページの前に隣接させることができる。

そして、実施例に係る検査装置は、ページ調整用の空きとしてページサイズ−８０バイトの空きを設け、「ＤＡＴＡ２」として８０バイトを割り付け、次のページをアクセス禁止とする。ページ調整用の空きとしてページサイズ−８０バイトの空きを設けることで、実施例に係る検査装置は、「ＤＡＴＡ２」をアクセス禁止ページの前に隣接させることができる。

このように、実施例に係る検査装置は、メモリ領域オーバーランが発生する可能性がある「ＤＡＴＡ１」及び「ＤＡＴＡ２」をアクセス禁止ページの前に隣接させる。したがって、実施例に係る検査装置は、メモリ領域オーバーランが発生したときにＯＳ（Operating System）にアクセス違反を検出させることができる。なお、図２（ｂ）において、「ＬＥＮ１」と「ＤＡＴＡ１」の間のアクセス禁止ページはなくてもよい。

次に、実施例に係る検査装置の機能構成について説明する。図３は、実施例に係る検査装置の機能構成を示す図である。図３に示すように、実施例に係る検査装置１は、コンパイル部１０と、リンク部２０と、実行部３０とを機能として有する。図３のコンパイル部は生成部の一例であり、図３の実行部３０は割り付け部の一例である。

コンパイル部１０は、ソースプログラム２を読み込んでオブジェクトプログラム３を生成する。コンパイル部１０は、例えばファイルからソースプログラム２を読み込み、オブジェクトプログラム３をファイルに書き込む。コンパイル部１０は、メモリ領域オーバーラン検査有効をコンパイルオプションで指定されると、図２（ｂ）に示した割り付けを行うために必要な情報である領域割り付け情報を生成してオブジェクトプログラム３に埋め込む。なお、領域割り付け情報の詳細については後述する。

ユーザは、例えば、キーボードやマウスを用いてコンパイルの実行、ソースファイル、オブジェクトファイル、コンパイルオプションを指定する。なお、コンパイル部１０は、コンパイラプログラムがコンピュータで実行されることにより実現される。

リンク部２０は、オブジェクトプログラム３を読み込んで実行可能モジュール４を生成する。リンク部２０は、例えば、実行可能モジュール４をファイルに書き込む。なお、リンク部２０は、リンカプログラムがコンピュータで実行されることにより実現される。

実行部３０は、リンク部２０により生成された実行可能モジュール４をランタイムライブラリ５とともに実行する。メモリ領域オーバーラン検査有効が実行時オプションで指定されると、ランタイムライブラリ５は、領域割り付け情報に基づいて検査有効時の領域割り付けを行う。

図４は、コンパイル部１０の機能構成を示す図である。図４に示すように、コンパイル部１０は、オプション解析部１１と、ソース読み込み部１２と、構文解析部１３と、意味解析部１４と、領域割り付け部１５と、コード生成部１６と、オブジェクト出力部１７とを有する。

オプション解析部１１は、コンパイルオプションを解析する。オプション解析部１１は、例えば、メモリ領域オーバーラン検査が有効か否かを特定する。ソース読み込み部１２は、ソースプログラム２を読み込む。

構文解析部１３は、ソースプログラム２の構文解析を行う。意味解析部１４は、構文解析結果に基づいてソースプログラム２の意味解析を行う。コンパイル部１０は、メモリ領域オーバーラン検査が有効な場合、構文解析と意味解析において、後続するデータを破壊する可能性のあるデータを検査対象のデータとして特定し、特定した検査対象のデータにマークを付加する。

検査対象のデータには、例えば、以下がある。
・配列
・配列を含む構造体
・呼び出し（ＣＡＬＬ文）でアドレス渡し（ＢＹ ＲＥＦＥＲＥＮＣＥ）されるデータ
・外部属性（ＥＸＴＥＲＮＡＬ）を持つデータ
・ポインタを用いてアクセスされるデータ
・部分参照される文字列
・部分参照される文字列を含む構造体

領域割り付け部１５は、メモリ領域オーバーラン検査が有効な場合、マークが付加された検査対象のデータについては、実行時に領域の割り付けが変えられるような割り付けを行い、領域割り付け情報を生成する。ここで、領域割り付け情報は、実行時にランタイムライブラリ５がデータへのポインタを設定するための情報と検査対象のデータのサイズの情報を含む。

図５は、領域割り付け情報の一例を示す図である。図５に示すように、領域割り付け情報には、プログラム名情報、作業域のベースサイズ情報、検査するデータの個数、ＤＡＴＡ１ポインタオフセット、ＤＡＴＡ１サイズ情報、ＤＡＴＡ２ポインタオフセット、ＤＡＴＡ２サイズ情報が含まれる。

プログラム名情報は、プログラムの名前であり、ここでは「ＰＲＯＧ１」である。作業域のベースサイズ情報は、「ＤＡＴＡ１ポインタ」から「ＬＥＮ１」の後の８バイトバウンダリ調整用の空きまでのバイトサイズであり、ここでは「３２」である。検査するデータの個数は、検査対象のデータの個数であり、ここでは「２」である。

ＤＡＴＡ１ポインタオフセットはデータ領域の先頭からの「ＤＡＴＡ１ポインタ」のオフセットであり、ここでは「０」である。ＤＡＴＡ１サイズ情報は、「ＤＡＴＡ１」のサイズであり、ここでは「１００」である。ＤＡＴＡ２ポインタオフセットはデータ領域の先頭からの「ＤＡＴＡ２ポインタ」のオフセットであり、ここでは「８」である。ＤＡＴＡ２サイズ情報は、「ＤＡＴＡ２」のサイズであり、ここでは「８０」である。

図４に戻って、コード生成部１６は、構文解析結果及び意味解析結果に基づいてオブジェクトコードを生成する。コード生成部１６は、オブジェクトコードの生成において、検査対象のデータにアクセスする命令は、検査対象のデータへのポインタをロードして、ロードしたポインタを用いて検査対象のデータにアクセスするようにする。

図６は、ポインタを用いてデータヘアクセスする命令群の例を示す図である。図６において、Ｂａｓｅ−Ｒｅｇは、領域のベースアドレスを保持する。図６に示すように、「Ｄａｔａ」を「Ｒｅｇ２」にロードする場合には、「Ｄａｔａ」の領域ポインタオフセットに領域のベースアドレスを加えて「Ｒｅｇ１」にロードし、「Ｒｅｇ１」で指定されるアドレスのデータを「Ｒｅｇ２」にロードする。

同様に、「Ｒｅｇ２」の値を「Ｄａｔａ」にストアする場合には、「Ｄａｔａ」の領域ポインタオフセットに領域のベースアドレスを加えて「Ｒｅｇ１」にロードし、「Ｒｅｇ２」の値を「Ｒｅｇ１」で指定されるアドレスにストアする。

また、コード生成部１６は、領域割り付け情報をオブジェクトコード中に埋め込む。コード生成部１６は、オブジェクトコードが複数のセクションから構成される場合に、領域割り付け情報を例えば.ｔｅｘｔや.ｒｏｄａｔａなどの読み込み専用のセクションに埋め込む。なお、コード生成部１６は、領域割り付け情報をオブジェクトコード中に埋め込む代わりに、例えば、所定のファイルに出力してもよい。すなわち、領域割り付け情報が検査対象プログラムのオブジェクトコードと関連付けられれば、領域割り付け情報はオブジェクトコード以外に出力されてもよい。

また、コード生成部１６は、検査対象プログラムの実行開始時に実行されるコード部分に、領域割り付け情報に基づいて領域を獲得するランタイムライブラリ５を呼び出すコードを埋め込む。また、コード生成部１６は、検査対象プログラムの実行終了時に実行されるコード部分に、領域割り付け情報に基づいて領域を解放するランタイムライブラリ５を呼び出すコードを埋め込む。

オブジェクト出力部１７は、コード生成部１６により生成されたオブジェクトコードを、例えばファイルに出力する。

図７は、実行部３０の機能構成を示す図である。図７に示すように、実行部３０は、オプション解析部３１と、データ領域獲得部３２と、コード実行部３３と、データ領域解放部３４とを有する。

オプション解析部３１は、実行時オプションを解析する。オプション解析部３１は、例えば、メモリ領域オーバーラン検査が有効か否かを特定する。

データ領域獲得部３２は、領域割り付け情報に基づいて、必要なデータ領域を獲得し、領域割り付けを行う。そして、データ領域獲得部３２は、割り付けたデータのアドレスを、データをアクセスするためのポインタに設定する。検査対象のデータをアクセスする命令は、図６に示したように、ポインタを経由したアクセスを行うように構成されているため、実行可能モジュール４は、実行時にデータ領域獲得部３２により設定されたポインタ経由でデータにアクセスする。なお、データ領域獲得部３２の処理は、ランタイムライブラリ５により行われる。

コード実行部３３は、実行可能モジュール４に制御を移すことにより、実行可能モジュール４を実行する。

データ領域解放部３４は、実行可能モジュール４の実行が終了すると、データ領域獲得部３２によって獲得されたデータ領域を解放する。

次に、図８〜図１１を用いて、コンパイル部１０による処理のフローについて説明する。図８は、領域割り付け処理のフローを示すフローチャートである。図８に示すように、領域割り付け部１５は、プログラム名情報のサイズと作業域のベースサイズ情報のサイズと検査するデータ個数域のサイズを加えて、領域割り付け情報のサイズを初期化する（ステップＳ１）。また、領域割り付け部１５は、検査対象データ情報の起点をＮＵＬＬで初期化し（ステップＳ２）、ポインタオフセットを０で初期化し（ステップＳ３）、通常データオフセットを０で初期化する（ステップＳ４）。また、領域割り付け部１５は、検査するデータの個数を０で初期化し（ステップＳ５）、ベースサイズを０で初期化する（ステップＳ６）。

そして、領域割り付け部１５は、ユーザーデータがあるか否かを判定し（ステップＳ７）、ない場合には、ステップＳ２０へ進む。一方、ユーザーデータがある場合には、領域割り付け部１５は、後続するデータを破壊する可能性があるデータのマークが付加されているか否かを判定する（ステップＳ８）。

そして、マークが付加されていない場合には、領域割り付け部１５は、領域の割り付け位置に通常データオフセットを設定し（ステップＳ９）、割り付けるデータのサイズに７を加え８で割った商に８を掛けた値を割り付けサイズとする（ステップＳ１０）。なお、ここでは、バウンダリサイズを８としている。そして、領域割り付け部１５は、通常データオフセットに割り付けサイズを加え（ステップＳ１１）、ベースサイズに割り付けサイズを加える（ステップＳ１２）。

そして、領域割り付け部１５は、次に割り付けるデータがあるか否かを判定し（ステップＳ１９）、ある場合には、ステップＳ８に戻る。一方、次に割り付けるデータがない場合には、領域割り付け部１５は、ポインタオフセットをポインタ領域サイズに設定し（ステップＳ２０）、通常データオフセットを通常データ領域サイズに設定する（ステップＳ２１）。

ステップＳ８において、後続するデータを破壊する可能性があるデータのマークが付加されている場合には、領域割り付け部１５は、領域の割り付け位置にポインタオフセットを設定する（ステップＳ１３）。そして、領域割り付け部１５は、領域割り付け情報のサイズにポインタオフセット域のサイズとサイズ情報域のサイズを加え（ステップＳ１４）、検査対象データ情報を生成する（ステップＳ１５）。ここで、検査対象データ情報は、ポインタオフセットと割り付けるデータのサイズである。そして、領域割り付け部１５は、検査するデータの個数に１を加え（ステップＳ１６）、ポインタオフセットにポインタサイズを加え（ステップＳ１７）、ベースサイズにポインタサイズを加える（ステップＳ１８）。そして、領域割り付け部１５は、ステップＳ１９へ移動する。

このように、領域割り付け部１５が割り付けを行いながら領域割り付け情報の生成に必要な情報を生成するので、コード生成部１６は領域割り付け情報を生成することができる。なお、領域割り付け情報のサイズ、ポインタ領域サイズ、通常データ領域サイズなどは、オブジェクト生成時に使われる。

図９は、領域割り付け情報を出力する処理のフローを示すフローチャートである。図９に示すように、コード生成部１６は、領域割り付け情報のセクション内の出力位置（オフセット）を保存する（ステップＳ３１）。コード生成部１６は、保存した出力位置を、図１０及び図１１に示す処理で使用する。

そして、コード生成部１６は、プログラム名情報を出力し（ステップＳ３２）、作業域のベースサイズ情報を出力する（ステップＳ３３）。コード生成部１６は、ベースサイズを、作業域のベースサイズ情報として出力する。そして、コード生成部１６は、検査するデータの個数を出力する（ステップＳ３４）。そして、コード生成部１６は、検査するデータの個数が０であるか否かを判定し（ステップＳ３５）、０である場合には、処理を終了する。

一方、検査するデータの個数が０でない場合には、コード生成部１６は、検査対象データ情報の起点から検査対象データの情報を１つ取得する（ステップＳ３６）。そして、コード生成部１６は、検査対象データ情報からポインタオフセットを出力し（ステップＳ３７）、検査対象データ情報からサイズ情報を出力する（ステップＳ３８）。そして、コード生成部１６は、検査対象データが残っているか否かを判定し（ステップＳ３９）、残っている場合には、ステップＳ３６へ戻り、残っていない場合には、処理を終了する。

このように、コード生成部１６が領域割り付け情報を出力するので、実行部３０は、領域割り付け情報に基づいて領域の獲得とデータの割り付けを行うことができる。

図１０は、検査対象プログラムが無効から有効になるときに実行されるコード部分に領域獲得処理を展開する処理のフローを示すフローチャートである。図１０に示すように、コード生成部１６は、プログラムが検査対象プログラムか否かを判定し（ステップＳ４１）、検査対象プログラムでない場合には、通常の領域獲得処理を展開する（ステップＳ４５）。

一方、プログラムが検査対象プログラムの場合には、コード生成部１６は、領域割り付け情報を出力したセクションのベースアドレスと、領域割り付け情報のセクション内の出力位置から領域割り付け情報のアドレスを求める命令を出力する（ステップＳ４２）。そして、コード生成部１６は、領域割り付け情報のアドレスと、ランタイムライブラリ５へのインタフェースをランタイムライブラリ５の呼び出しのパラメータとして展開する命令を出力する（ステップＳ４３）。そして、コード生成部１６は、検査有効と検査無効の切り替え可能な領域を獲得するランタイムライブラリ５を呼び出す命令を出力する（ステップＳ４４）。

このように、コード生成部１６が、領域割り付け情報のアドレスを求める命令、ランタイムライブラリ５の呼び出しのパラメータを展開する命令、及び、検査有効と検査無効の切り替え可能な領域を獲得するランタイムライブラリ５を呼び出す命令を出力する。したがって、検査対象プログラムの実行開始時に、実行部３０は、検査有効と検査無効の切り替え可能な領域を獲得することができる。

図１１は、検査対象プログラムが有効から無効になるときに実行されるコード部分に領域解放処理を展開する処理のフローを示すフローチャートである。図１１に示すように、コード生成部１６は、プログラムが検査対象プログラムか否かを判定し（ステップＳ５１）、検査対象プログラムでない場合には、通常の領域解放処理を展開する（ステップＳ５５）。

一方、プログラムが検査対象プログラムの場合には、コード生成部１６は、領域割り付け情報を出力したセクションのベースアドレスと、領域割り付け情報のセクション内の出力位置から領域割り付け情報のアドレスを求める命令を出力する（ステップＳ５２）。そして、コード生成部１６は、領域割り付け情報のアドレスと、ランタイムライブラリ５へのインタフェースをランタイムライブラリ５の呼び出しのパラメータとして展開する命令を出力する（ステップＳ５３）。そして、コード生成部１６は、検査有効と検査無効の切り替え可能な領域を解放するランタイムライブラリ５を呼び出す命令を出力する（ステップＳ５４）。

このように、コード生成部１６が、領域割り付け情報のアドレスを求める命令、ランタイムライブラリ５の呼び出しのパラメータを展開する命令、及び、検査有効と検査無効の切り替え可能な領域を解放するランタイムライブラリ５を呼び出す命令を出力する。したがって、検査対象プログラムの実行終了時に、実行部３０は、検査有効と検査無効の切り替え可能な領域を解放することができる。

次に、図１２〜図１８を用いて、実行部３０による処理のフローについて説明する。図１２は、オプション解析部３１がメモリ領域オーバーラン検査オプションを解析する処理のフローを示すフローチャートである。図１２に示すように、オプション解析部３１は、メモリ領域オーバーラン検査の無効の指定があるか否かを判定し（ステップＳ６１）、ある場合には、検査無効フラグを設定する（ステップＳ６２）。

一方、メモリ領域オーバーラン検査の無効の指定がない場合には、オプション解析部３１は、プログラム単位の検査の指定があるか否かを判定し（ステップＳ６３）、ある場合には、プログラムの情報を設定する（ステップＳ６４）。

このように、オプション解析部３１がメモリ領域オーバーラン検査オプションを解析するので、データ領域獲得部３２がメモリ領域オーバーラン検査オプションに基づいてデータ領域を獲得して割り付けることができる。

図１３は、データ領域獲得部３２による処理のフローを示すフローチャートである。図１３に示すように、データ領域獲得部３２は、検査無効フラグの設定があるか否かを判定し（ステップＳ７１）、ある場合には、検査無効時の領域割り付けを行う（ステップＳ７２）。

一方、検査無効フラグの設定がない場合には、データ領域獲得部３２は、プログラム情報の設定があるか否かを判定し（ステップＳ７３）、ない場合には、検査有効時の領域割り付けを行う（ステップＳ７４）。一方、プログラム情報の設定がある場合には、データ領域獲得部３２は、検査対象のプログラムか否かを判定し（ステップＳ７５）、検査対象のプログラムの場合には、検査有効時の領域割り付けを行う（ステップＳ７４）。一方、検査対象のプログラムでない場合には、データ領域獲得部３２は、検査無効時の領域割り付けを行う（ステップＳ７２）。

図１４Ａ及び図１４Ｂは、検査有効時の領域割り付け処理のフローを示すフローチャートである。図１４Ａに示すように、データ領域獲得部３２は、ベースサイズをページサイズで割った商（ベースサイズ／ページサイズ）に１を加えてページサイズを掛けた値を領域サイズとする（ステップＳ８１）。この処理により、領域サイズは、ページサイズの倍数であってベースサイズにページ調整用の空きを加えた値に設定される。なお、ベースサイズは、領域割り付け情報の作業域のベースサイズ情報の値である。そして、データ領域獲得部３２は、領域サイズにページサイズを加える（ステップＳ８２）。この処理により、領域サイズは、アクセス禁止ページの大きさを加えた値になる。

そして、データ領域獲得部３２は、検査するデータの個数が０であるか否かを判定し（ステップＳ８３）、０である場合には、ステップＳ８９へ進む。一方、検査するデータの個数が０でない場合には、データ領域獲得部３２は、ＩＤＸを０に初期化し（ステップＳ８４）、サイズ情報［ＩＤＸ］をページサイズで割った商に１を加えてページサイズを掛けた値を領域サイズに加える（ステップＳ８５）。そして、データ領域獲得部３２は、領域サイズにページサイズを加え（ステップＳ８６）、ＩＤＸに１を加える（ステップＳ８７）。そして、データ領域獲得部３２は、ＩＤＸが検査するデータの個数より小さいか否かを判定し（ステップＳ８８）、小さい場合には、ステップＳ８５に戻る。

一方、ＩＤＸが検査するデータの個数より小さくない場合には、データ領域獲得部３２は、領域サイズの領域を獲得し、獲得した領域の先頭アドレスを領域アドレスに設定する（ステップＳ８９）。そして、データ領域獲得部３２は、ベースサイズをページサイズで割った商に１を加えてページサイズを掛けた値を領域アドレスに加える（ステップＳ９０）。そして、データ領域獲得部３２は、領域アドレスからページサイズ分の領域をアクセス禁止に設定し（ステップＳ９１）、領域アドレスにページサイズを加える（ステップＳ９２）。

そして、図１４Ｂに示すように、データ領域獲得部３２は、検査するデータの個数が０であるか否かを判定し（ステップＳ９３）、０である場合には、検査有効時の領域割り付け処理を終了する。一方、検査するデータの個数が０でない場合には、データ領域獲得部３２は、ＩＤＸを０に初期化する（ステップＳ９４）。そして、データ領域獲得部３２は、サイズ情報［ＩＤＸ］をページサイズで割った余り（サイズ情報［ＩＤＸ］％ページサイズ）をページサイズから引いた値を空サイズとする（ステップＳ９５）。そして、データ領域獲得部３２は、領域アドレスに空きサイズを加えてデータ先頭アドレスとする（ステップＳ９６）。

そして、データ領域獲得部３２は、領域先頭アドレスにポインタオフセット［ＩＤＸ］を加えたアドレスの領域にデータ先頭アドレスを設定する（ステップＳ９７）。この処理により、データへのポインタが設定される。そして、データ領域獲得部３２は、サイズ情報［ＩＤＸ］をページサイズで割った商に１を加えてページサイズを掛けた値を領域アドレスに加える（ステップＳ９８）。そして、データ領域獲得部３２は、領域アドレスからページサイズ分の領域をアクセス禁止に設定し（ステップＳ９９）、領域アドレスにページサイズを加える（ステップＳ１００）。

そして、データ領域獲得部３２は、ＩＤＸに１を加え（ステップＳ１０１）、ＩＤＸが検査するデータの個数より小さいか否かを判定する（ステップＳ１０２）。そして、データ領域獲得部３２は、ＩＤＸが検査するデータの個数より小さい場合には、ステップＳ９５に戻り、ＩＤＸが検査するデータの個数より小さくない場合には、検査有効時の領域割り付け処理を終了する。

このように、データ領域獲得部３２は、データ領域を獲得し、獲得したデータ領域へのデータ及びアクセス禁止ページの割り付けと、データへのポインタの設定を、検査有効時の領域割り付け処理として行う。したがって、実行可能モジュール４は、ポインタを介してデータにアクセスすることができる。また、メモリ領域オーバーランが発生すると、ＯＳがアクセス違反を検出することができる。

図１５は、検査無効時の領域割り付け処理のフローを示すフローチャートである。図１５に示すように、データ領域獲得部３２は、ベースサイズをバウンダリサイズで割った商に１を加えてバウンダリサイズを掛けた値を領域サイズとする（ステップＳ１１１）。

そして、データ領域獲得部３２は、検査するデータの個数が０であるか否かを判定し（ステップＳ１１２）、０である場合には、ステップＳ１１７へ進む。一方、検査するデータの個数が０でない場合には、データ領域獲得部３２は、ＩＤＸを０に初期化し（ステップＳ１１３）、サイズ情報［ＩＤＸ］をバウンダリサイズで割った商に１を加えてバウンダリサイズを掛けた値を領域サイズに加える（ステップＳ１１４）。そして、データ領域獲得部３２は、ＩＤＸに１を加え（ステップＳ１１５）、ＩＤＸが検査するデータの個数より小さいか否かを判定し（ステップＳ１１６）、小さい場合には、ステップＳ１１４に戻る。

一方、ＩＤＸが検査するデータの個数より小さくない場合には、データ領域獲得部３２は、領域サイズの領域を獲得し、獲得した領域の先頭アドレスを領域アドレスに設定する（ステップＳ１１７）。そして、データ領域獲得部３２は、ベースサイズをバウンダリサイズで割った商に１を加えてバウンダリサイズを掛けた値を領域アドレスに加える（ステップＳ１１８）。

そして、データ領域獲得部３２は、検査するデータの個数が０であるか否かを判定し（ステップＳ１１９）、０である場合には、検査無効時の領域割り付け処理を終了する。一方、検査するデータの個数が０でない場合には、データ領域獲得部３２は、ＩＤＸを０に初期化し（ステップＳ１２０）、領域先頭アドレスにポインタオフセット［ＩＤＸ］を加えたアドレスの領域にデータ先頭アドレスを設定する（ステップＳ１２１）。そして、データ領域獲得部３２は、サイズ情報［ＩＤＸ］をバウンダリサイズで割った商に１を加えてバウンダリサイズを掛けた値を領域アドレスに加える（ステップＳ１２２）。

そして、データ領域獲得部３２は、ＩＤＸに１を加え（ステップＳ１２３）、ＩＤＸが検査するデータの個数より小さいか否かを判定する（ステップＳ１２４）。そして、データ領域獲得部３２は、ＩＤＸが検査するデータの個数より小さい場合には、ステップＳ１２１に戻り、ＩＤＸが検査するデータの個数より小さくない場合には、検査無効時の領域割り付け処理を終了する。

このように、データ領域獲得部３２は、データ領域を獲得し、獲得したデータ領域へのデータの割り付けと、データへのポインタの設定を、検査無効時の領域割り付け処理として行う。したがって、実行可能モジュール４は、ポインタを介してデータにアクセスすることができる。

図１６は、データ領域解放部３４による処理のフローを示すフローチャートである。図１６に示すように、データ領域解放部３４は、検査無効フラグの設定があるか否かを判定し（ステップＳ１３１）、ある場合には、検査無効時の領域解放を行う（ステップＳ１３２）。

一方、検査無効フラグの設定がない場合には、データ領域解放部３４は、プログラム情報の設定があるか否かを判定し（ステップＳ１３３）、ない場合には、検査有効時の領域解放を行う（ステップＳ１３４）。一方、プログラム情報の設定がある場合には、データ領域解放部３４は、検査対象のプログラムか否かを判定し（ステップＳ１３５）、検査対象のプログラムの場合には、検査有効時の領域解放を行う（ステップＳ１３４）。一方、検査対象のプログラムでない場合には、データ領域解放部３４は、検査無効時の領域解放を行う（ステップＳ１３２）。

図１７は、検査有効時の領域解放処理のフローを示すフローチャートである。図１７に示すように、データ領域解放部３４は、ベースサイズをページサイズで割った商に１を加えてページサイズを掛けた値を領域先頭アドレスに加えた値をアクセス禁止領域アドレスに設定する（ステップＳ１４１）。そして、データ領域解放部３４は、アクセス禁止領域アドレスからページサイズ分の領域のアクセス禁止を解除する（ステップＳ１４２）。

そして、データ領域解放部３４は、検査するデータの個数が０であるか否かを判定し（ステップＳ１４３）、０である場合には、ステップＳ１４９に進む。一方、検査するデータの個数が０でない場合には、データ領域解放部３４は、ＩＤＸを０に初期化する（ステップＳ１４４）。そして、データ領域解放部３４は、ポインタオフセット［ＩＤＸ］のポインタの値にサイズ情報［ＩＤＸ］を加えた値をアクセス禁止領域アドレスに設定する（ステップＳ１４５）。そして、データ領域解放部３４は、アクセス禁止領域アドレスからページサイズ分の領域のアクセス禁止を解除し（ステップＳ１４６）、ＩＤＸに１を加える（ステップＳ１４７）。

そして、データ領域解放部３４は、ＩＤＸが検査するデータの個数より小さいか否かを判定し（ステップＳ１４８）、小さい場合には、ステップＳ１４５に戻る。一方、ＩＤＸが検査するデータの個数より小さくない場合には、データ領域解放部３４は、領域を解放する（ステップＳ１４９）。

このように、データ領域解放部３４は、データ領域獲得部３２により設定されたアクセス禁止を解除して領域を解放するので、解放された領域の再利用を可能とすることができる。

図１８は、検査無効時の領域解放処理のフローを示すフローチャートである。図１８に示すように、データ領域解放部３４は、領域を解放する（ステップＳ１５１）。このように、データ領域解放部３４は、検査無効の場合には、領域を解放するだけで、解放された領域の再利用を可能とすることができる。

次に、検査装置１の効果について説明する。図１９は、検査装置１の効果を説明するための図である。図１９に示すように、検査装置１は、メモリ領域オーバーランが発生する可能性がある「ＤＡＴＡ１」及び「ＤＡＴＡ２」それぞれの後がアクセス禁止ページになるように「ＤＡＴＡ１」及び「ＤＡＴＡ２」を割り付ける。したがって、「ＤＡＴＡ１」又は「ＤＡＴＡ２」においてメモリ領域オーバーランが発生すると、ＯＳがアクセス違反のエラーを検出することができる。

上述してきたように、実施例では、領域割り付け部１５が検査対象プログラムのコンパイル時に検査対象のデータについて領域割り付け情報を生成する。そして、データ領域獲得部３２が検査対象プログラムの実行開始時にデータ領域を獲得し、領域割り付け情報に基づいて、獲得したデータ領域にデータを割り付ける。データ領域獲得部３２は、検査対象のデータを割り付ける際に、各データの後ろが禁止ページになるように割り付ける。したがって、メモリ領域オーバーランが発生すると、ＯＳがアクセス違反を検出するので、検査装置１は、メモリ領域オーバーランを検出することができる。また、検査装置１は、メモリ領域オーバーランの検出を有効にするか無効にするかを実行時に制御可能とすることができる。

また、実施例では、オプション解析部３１が、実行時のオプションを解析し、検査有効であるか否かを特定する。そして、データ領域獲得部３２は、オプション解析部３１により検査有効が特定された場合に、検査対象のデータの後ろが禁止ページになるようにデータを割り付ける。したがって、ユーザは、メモリ領域オーバーランの検出を有効にするか無効にするかを実行時にオプションで指定することができる。

また、実施例では、検査対象プログラムの実行終了時に、データ領域解放部３４は、禁止ページの設定を解除して領域を解放するので、解放された領域の再利用を可能とすることができる。

また、実施例では、コード生成部１６が、検査有効と検査無効の切り替え可能な領域を獲得するランタイムライブラリ５を呼び出す命令を出力する。したがって、データ領域獲得部３２は、データ領域を獲得し、領域割り付け情報に基づいて、獲得したデータ領域にデータを割り付けることができる。

なお、実施例では、検査装置１について説明したが、検査装置１が有する構成をソフトウェアによって実現することで、同様の機能を有する検査プログラムを得ることができる。そこで、検査プログラムを実行するコンピュータについて説明する。

図２０は、実施例に係る検査プログラムを実行するコンピュータのハードウェア構成を示す図である。図２０に示すように、コンピュータ５０は、メインメモリ５１と、ＣＰＵ（Central Processing Unit）５２と、ＬＡＮ（Local Area Network）インタフェース５３と、ＨＤＤ（Hard Disk Drive）５４とを有する。また、コンピュータ５０は、スーパーＩＯ（Input Output）５５と、ＤＶＩ（Digital Visual Interface）５６と、ＯＤＤ（Optical Disk Drive）５７とを有する。

メインメモリ５１は、プログラムやプログラムの実行途中結果等を記憶するメモリである。ＣＰＵ５２は、メインメモリ５１からプログラムを読み出して実行する中央処理装置である。ＣＰＵ５２は、メモリコントローラを有するチップセットを含む。

ＬＡＮインタフェース５３は、コンピュータ５０をＬＡＮ経由で他のコンピュータに接続するためのインタフェースである。ＨＤＤ５４は、プログラムやデータを格納するディスク装置であり、スーパーＩＯ５５は、マウスやキーボード等の入力装置を接続するためのインタフェースである。ＤＶＩ５６は、液晶表示装置を接続するインタフェースであり、ＯＤＤ５７は、ＤＶＤの読み書きを行う装置である。

ＬＡＮインタフェース５３は、ＰＣＩエクスプレス（ＰＣＩｅ）によりＣＰＵ５２に接続され、ＨＤＤ５４及びＯＤＤ５７は、ＳＡＴＡ（Serial Advanced Technology Attachment）によりＣＰＵ５２に接続される。スーパーＩＯ５５は、ＬＰＣ（Low Pin Count）によりＣＰＵ５２に接続される。

そして、コンピュータ５０において実行される検査プログラムは、コンピュータ５０により読み出し可能な記録媒体の一例であるＤＶＤに記憶され、ＯＤＤ５７によってＤＶＤから読み出されてコンピュータ５０にインストールされる。あるいは、検査プログラムは、ＬＡＮインタフェース５３を介して接続された他のコンピュータシステムのデータベース等に記憶され、これらのデータベースから読み出されてコンピュータ５０にインストールされる。そして、インストールされた検査プログラムは、ＨＤＤ５４に記憶され、メインメモリ５１に読み出されてＣＰＵ５２によって実行される。

また、実施例では、配列のインデックスの値が配列のサイズより大きい場合にアクセス違反を検出したが、検査装置１は、配列のインデックスの値が負の値の場合にアクセス違反を検出してもよい。検査装置１は、配列をページの先頭に割り付け、配列を割り付けたページの前のページをアクセス禁止にすることで、配列のインデックスの値が負の値の場合にアクセス違反を検出することができる。

１ 検査装置
２ ソースプログラム
３ オブジェクトプログラム
４ 実行可能モジュール
５ ランタイムライブラリ
１０ コンパイル部
１１ オプション解析部
１２ ソース読み込み部
１３ 構文解析部
１４ 意味解析部
１５ 領域割り付け部
１６ コード生成部
１７ オブジェクト出力部
２０ リンク部
３０ 実行部
３１ オプション解析部
３２ データ領域獲得部
３３ コード実行部
３４ データ領域解放部
５０ コンピュータ
５１ メインメモリ
５２ ＣＰＵ
５３ ＬＡＮインタフェース
５４ ＨＤＤ
５５ スーパーＩＯ
５６ ＤＶＩ
５７ ＯＤＤ

Claims (9)

1. 検査対象プログラムの実行時におけるアクセス対象のデータへのアクセスが該データのメモリ領域以外の領域への違反アクセスとなる可能性がある検査対象のデータへのアクセスであるか否かに基づいて、アクセス対象のデータの領域の割り付けに関する第１の情報をコンパイル時に生成して前記検査対象プログラムに関連付ける生成部と、
   前記検査対象プログラムの実行開始時にアクセス対象のデータの領域を割り付ける際に、前記生成部により生成された第１の情報に基づいて、検査対象のデータについて、違反アクセスを禁止する割り付けを行う割り付け部と
   を有することを特徴とする検査システム。
2. コンピュータが、
   検査対象プログラムの実行時におけるアクセス対象のデータへのアクセスが該データのメモリ領域以外の領域への違反アクセスとなる可能性がある検査対象のデータへのアクセスであるか否かに基づいて、アクセス対象のデータの領域の割り付けに関する第１の情報をコンパイル時に生成して前記検査対象プログラムに関連付け、
   前記検査対象プログラムの実行開始時にアクセス対象のデータの領域を割り付ける際に、前記第１の情報に基づいて、検査対象のデータについて、違反アクセスを禁止する割り付けを行う
   処理を実行することを特徴とする検査方法。
3. コンピュータに、
   検査対象プログラムの実行時におけるアクセス対象のデータへのアクセスが該データのメモリ領域以外の領域への違反アクセスとなる可能性がある検査対象のデータへのアクセスであるか否かに基づいて、アクセス対象のデータの領域への違反アクセスを禁止する割り付けに関する第１の情報をコンパイル時に生成して前記検査対象プログラムに関連付ける、
   処理を実行させることを特徴とする検査プログラム。
4. 前記第１の情報は、検査対象のデータへのアクセスに用いられるポインタの領域と検査対象以外のデータの領域とを合わせた領域のサイズ、検査対象のデータの個数、各検査対象のデータサイズを含むことを特徴とする請求項３に記載の検査プログラム。
5. 前記検査対象プログラムの実行開始時に違反アクセスを禁止する割り付けを行う処理をランタイムライブラリによって前記第１の情報に基づいて実行するコードを前記検査対象プログラムのコンパイル時に生成してオブジェクトコードに埋め込む処理を前記コンピュータにさらに実行させることを特徴とする請求項３又は４に記載の検査プログラム。
6. コンピュータに、
   検査対象プログラムの実行開始時にアクセス対象のデータの領域を割り付ける際に、検査対象プログラムの実行時におけるアクセス対象のデータへのアクセスが該データのメモリ領域以外の領域への違反アクセスとなる可能性がある検査対象のデータへのアクセスであるか否かに基づいて生成された、アクセス対象のデータの領域への違反アクセスを禁止する割り付けに関する第１の情報に基づいて、検査対象のデータについて、違反アクセスを禁止する割り付けを行う、
   処理を実行させることを特徴とする検査プログラム。
7. 前記違反アクセスを禁止する割り付けを行う処理は、アクセス対象のデータの領域を獲得し、検査対象のデータをページの境界に隣接して割り付け、該境界の該検査対象のデータの直前又は直後のページをアクセス禁止に設定することを特徴とする請求項６に記載の検査プログラム。
8. 前記検査対象プログラムの実行時のオプションで検査有効が指定されたか否かを判定する処理を前記コンピュータにさらに実行させ、
   検査有効が指定された場合に、前記違反アクセスを禁止する割り付けを行う処理を前記コンピュータに実行させることを特徴とする請求項６又は７に記載の検査プログラム。
9. 前記検査対象プログラムの実行終了時に、前記アクセス禁止を解除し、獲得した領域を解放する処理を前記コンピュータにさらに実行させることを特徴とする請求項７に記載の検査プログラム。

Images