JP3360635B2 - プログラム検査システムとプログラム検査方法並びにその記憶媒体 - Google Patents

プログラム検査システムとプログラム検査方法並びにその記憶媒体

Info

Publication number
JP3360635B2
JP3360635B2 JP00791999A JP791999A JP3360635B2 JP 3360635 B2 JP3360635 B2 JP 3360635B2 JP 00791999 A JP00791999 A JP 00791999A JP 791999 A JP791999 A JP 791999A JP 3360635 B2 JP3360635 B2 JP 3360635B2
Authority
JP
Japan
Prior art keywords
data
program code
execution
program
type
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP00791999A
Other languages
English (en)
Other versions
JP2000207242A (ja
Inventor
千尋 小松
悟 藤田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP00791999A priority Critical patent/JP3360635B2/ja
Priority to US09/482,096 priority patent/US6772410B1/en
Publication of JP2000207242A publication Critical patent/JP2000207242A/ja
Application granted granted Critical
Publication of JP3360635B2 publication Critical patent/JP3360635B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/445—Program loading or initiating
    • G06F9/44589—Program code verification, e.g. Java bytecode verification, proof-carrying code

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、情報処理装置に関
し、特にコンピュータで構成されるコンピュータシステ
ムにおいて、個別の基本マシン命令セットを用いるコン
ピュータソフトウェア利用時におけるプログラムコード
の検査を行なうプログラム検査システムとその方法、さ
らに当該プログラム検査方法を実現させるためのプログ
ラムを記録するコンピュータ読みとり可能な記憶媒体に
関する。
【０００２】
【従来の技術】コンピュータのソフトウェアに関し、実
行時あるいは実行前にそのプログラムコードの検査を行
なう方法には、特開平８−２３４９９４号公報があり、
特開平８−２３４９９４号公報（以下、従来方式１と記
す）では、特にインタープリタ形式のプログラムに関し
て、プログラムコードの検査手法を記述している。
【０００３】従来方式１は、オペレーティングシステム
ＡのサーバコンピュータＡのコンピュータプログラムを
ダウンロードしたオペレーティングシステムＢのユーザ
コンピュータＢにおいて、コンピュータＢがそのコンピ
ュータプログラムを前処理としてチェックする際に、プ
ログラムコード中の個々の命令が持つ個々の命令が操作
することのできるデータの型に関する制約を利用し、本
実行の前処理によって、個々の命令が制約された型以外
のデータを操作する命令がプログラムコード中で発見さ
れた場合、そのプログラムコードの本実行を禁止する為
の手法である。
【０００４】また、従来方式１は、プログラムコード中
の分岐命令を全て調べ、それら全ての分岐先にスタック
のスナップショット（一時的処理）を格納する為の記憶
部を用意する。従来方式１は、プログラムコードの本実
行と同様のデータ型操作を行なう前実行処理を行ない、
その実行状態をデータ型操作のみをシミュレートした仮
想スタックに反映する。この前実行処理はプログラムの
先頭から順に行なわれ、前記のスナップショット記憶部
が用意されたプログラム位置では、仮想スタックの内容
をスナップショット記憶部に格納する。命令が分岐命令
の場合は、仮想スタックの内容を分岐先命令のあるスナ
ップショット記憶部に格納する。もし以前別の命令実行
時に同じスナップショット記憶部に再び仮想スタックの
内容を格納する場合は、その仮想スタックの内容と、既
に格納されている内容と比較し、スナップショットと仮
想スタックの間に違いが生じた場合は本実行を禁止する
ことによって、前方向、後方向の分岐を含むプログラム
コードも型検査を行なうことができる。
【０００５】しかしながら、従来方式１では、データス
タックの型に対してプログラムコード中の命令が唯一つ
の制約を持つことを前提として記載されいる。例えば、
あるＸという命令がＡ型のデータまたはＢ型のデータの
みを扱うことができるという制約を有していた場合、従
来方式１の手法によってあるスナップショットにＡ型が
記録され、その後同一スナップショットにＢ型が現れた
場合、本来有害ではないプログラムコードの本実行を禁
止してしまう。
【０００６】前記の制約範囲が唯一つに定まらない問題
に関して、「１９９５年１１月、ザ・ジャバ・バーチャ
ル・マシン・スペシフィケーション（The Java Virtual
Machine Specification） Sun Microsystems社著、１
２５〜１３７頁」（以下、従来方式２と記す）は、問題
の１つの解決方法を提案している。
【０００７】この従来方式２では、複数の異なるデータ
型が同一スナップショットに存在する必要のある場合、
それらのデータ型全てを包含するデータ型を決定して新
たにスナップショットに記録し、決定されたデータ型を
使用して、そのスナップショット位置から始まるプログ
ラムコードの実行を再度実行することで、型検査をやり
直す手法が紹介されている。
【０００８】
【発明が解決しようとする課題】しかしながら、前記に
記述の通りの従来方式１及び従来方式２によるプログラ
ムコード型検査には問題点がある。従来方式１の第１の
問題点は、プログラムコード中の命令が持つデータ型の
制約が、複数のデータ型を範囲として許容する命令を有
した基本マシン命令セットに於いて、正しい型検査を行
なうことができないことである。すなわち、従来方式１
の方法では、プログラムコードの同じ地点に於いて、仮
想実行のデータ型が異なる場合を、全て検査エラーとし
て認識する為である。また、従来方式１を複数のデータ
型を範囲として許容する命令に対応させようとしても、
再実行を含まない従来方式１のアルゴリズムでは、変化
したデータ型を再検査することは不可能である。
【０００９】また、従来方式１の第２の問題点は、ロー
カル変数のデータ型検査を正しく行なえないことであ
る。その理由は、従来方式１がプログラムコード検査の
為に記憶するスタックスナップショットにローカル変数
の状態を含めていない為に、分岐命令が現れた際、ロー
カル変数領域のマッチングができないことにある。この
ローカル変数にデータ型を著しく侵害するデータが含ま
れていたとしても、従来方式１では検査を通過してしま
う。
【００１０】次に、従来方式２の第１の問題点は、プロ
グラムコードによっては非常に長い実行時間を必要とす
ることである。すなわち、スタックのスナップショット
が、個々のスタック内容に関して、そのデータ型制約の
範囲の変更を必要とする度に、プログラムコードの検査
の為の仮想実行を繰り返し実行しなければならない為で
ある。これは、従来方式１が元来目的としていた効率的
実行の達成を著しく妨げている。
【００１１】また、従来方式２の第２の問題点は、保持
する必要のないローカル変数の型情報を保持し続けるこ
とによって、記憶装置を浪費することである。その理由
は、従来方式２がプログラムコード中で、将来的に使用
する可能性のなくなったローカル変数を見究める手段を
持たない為に、それらの情報を消去できないことにあ
る。
【００１２】このように、複数のデータ型を制約の範囲
として許容する命令を有した基本マシン命令セットに於
いて、その本実行の前に、プログラムコードの各命令の
データ型に関する制約が正しく守られているかどうかの
検査を、効率的に行なう方式は存在していない。
【００１３】［発明の目的］本発明の目的は、上記の問
題を解決し、複数のデータ型を制約の範囲として許容す
る命令を有した基本マシン命令セットを用いて記述され
たプログラムコードの検査を、再実行を伴わない手法を
用いて高速に、確実に行なうことにある。
【００１４】また、本発明の他の目的は、個々のデータ
の有効範囲を的確に見究めることによって、有効な記憶
装置利用を推し進めることにある。
【００１５】
【課題を解決するための手段】本発明の第１のシステム
は、検査対象プログラムを仮想実行することによってプ
ログラムの個々の命令が扱うデータ型を侵さないことを
保証することにより、プログラム本実行時の型検査を省
略し、高速化を図るプログラム検査システムであり、上
記システムはプログラム中の各命令の仮想実行を行なっ
て仮想実行状態に反映させる為の仮想実行手順と、仮想
実行時にデータが取り得る型の範囲制限を設定するデー
タ制約設定手順を有し、また、プログラム中の分岐によ
って合流する仮想実行状態をマージさせ、矛盾がないか
どうかを検査するマージ検査手順及び、取り得る型の範
囲が変更されたデータについて、以降のプログラムへの
影響を、プログラムを再実行することなく反映させる為
の後方反映手順を有することを特徴とする。
【００１６】また、前記仮想実行手順はプログラムの仮
想実行を行ない、仮想実行状態記憶部に実行状態のデー
タの型を設定する。同時にデータ制約設定手順は、実行
状態のデータが取り得る範囲を制限するデータ型制約を
設定する。上記仮想実行手順及びデータ制約設定手順に
よって、仮想実行が一度終了しているプログラム中、部
分の仮想実行状態には、必ずそのプログラム部分のデー
タ型制約が設定される。また、仮想実行状態中のデータ
が、各々が設定された制約を満たしていることを確認す
ることにより、プログラム中の各々の命令が、各々の命
令の持つ型制約に違反しないことを検査することができ
る。
【００１７】また、分岐によりプログラムの複数の部分
が合流する場合、上記マージ検査手順が、各々の仮想実
行状態のデータをマージする、すなわち、各々の仮想実
行状態の共通部分のみを使用可能状態として仮想実行を
継続させることにより、また、それによってデータが変
化した場合、そのデータからコピーあるいはマージの形
で生成された全てのデータに対し、上記後方反映手段が
データ変更を反映させることにより、一度仮想実行が終
了したプログラム部分について、プログラムの合流に起
因する、プログラム仮想実行の再実行を必要としない高
速なプログラム検査を実現することが可能になる。
【００１８】本発明の第２のシステムは、検査対象プロ
グラムを仮想実行することによってプログラム中で扱わ
れる個々のデータの有効範囲を特定することにより効率
的な記憶領域使用を実現する記憶領域管理システムであ
り、上記システムは、プログラムコードを本実行する前
に仮想実行を行なう為の仮想実行手順と、その仮想実行
手順の処理中に、そこで扱う全てのデータについて、各
々の最終使用位置を判定する有効範囲決定手順と、その
有効範囲決定手順によって、設定された情報に従って、
必要なくなった記憶領域の解放を行なう記憶領域解放手
順を有することを特徴とする。
【００１９】本発明の第２のシステムは、本発明の第１
のシステムの適用か、その他の理由によるプログラムコ
ード本実行前の仮想実行を行なうシステムを適用する仮
想実行手順を実行し、その仮想実行手順の処理中に、有
効範囲決定手順はそのプログラム中で扱われる各々のデ
ータが使用される最終位置を的確に見究め、その情報を
仮想実行後も保持しておく。
【００２０】また、記憶領域解放手順は、プログラムの
本実行時に適用され、各々のデータが、先ほど有効範囲
決定手順が設定した最終使用位置に達した場合、即座に
当該記憶領域の解放を行なうことによって、無駄のない
効率的な記憶領域管理を実現することができる。
【００２１】また、本発明は、個々の命令が処理するデ
ータ型に制約を有するプログラム命令セットを用いて記
述されたプログラムコードにおいて、その制約が正しく
満たされているかどうかを本実行前の仮想実行によって
前記プログラムコードを検査するプログラムを記録する
記録媒体において、前記仮想実行時に現れる各々のデー
タに対して、型情報として許容できる下限の型と、その
データの使用方法に基づく上限の型を設定し、前記各デ
ータが取り得る型の範囲を推論する為のデータ型推論ス
テップと、前記プログラムコード中に存在する分岐命令
に起因する、複数のパスの合流地点に於けるデータをマ
ージし、各々のデータの共通項をその地点の新たなデー
タとして設定するためのマージステップと、前記マージ
手段によってデータが変化した際、前記データの変化に
影響を受けるデータ全てに対して、変化の内容を反映さ
せる後方反映ステップと、前記後方反映手段が反映作業
の対象となるデータの選択に利用するために、前記マー
ジ手段のマージ時にデータが変化した場合、変化前のデ
ータと変化後のデータとを関連付けるための後方関連付
けステップと、を備え、前記データ型推論ステップが、
検査中の前記プログラムコードが前記データ型に制約を
侵している箇所を発見した場合、前記プログラムコード
の前記本実行を禁止するための判定ステップを含み、前
記プログラムコードを検査するためのプログラムを記録
することを特徴とする。
【００２２】
【発明の実施の形態】本発明による実施形態について、
図面を参照しつつ詳細に説明する。尚、ここで記述する
実施形態については、本発明の好適実施形態を、例とし
て述べているものであり、本発明特許の請求範囲を制限
するものではない。本発明により求める範囲は、前記請
求項目に記された内容をもって規定される。
【００２３】［第１の実施形態］次に、本発明の第１の
実施形態について、図面を参照して詳細に説明する。
【００２４】図１は本発明の第１の実施形態の外的構成
である。第１の実施形態の構成は、コンピュータまたは
それに類する機器構成１０と１１、及びそれらを接続す
るインターネット、ＬＡＮその他のネットワーク１２で
構成される。機器構成１０はキーボード等の入力装置１
０６と、ディスプレイ、プリンタその他の出力装置１０
５と、ＣＰＵその他の演算装置１０２と、ネットワーク
１２に接続する為の通信装置１０４と、プログラム、デ
ータなどを保存する為の記憶装置１０１を含む。必要で
あれば記憶装置より性能の高い一時記憶装置１０３を加
え、記憶装置１０１の役割の一部を担わせることもでき
る。
【００２５】この実施形態の例では、機器構成１０と同
様の構成を備えた機器構成１１を含んでいる。機器構成
１１は、機器構成１０と同様に、入力装置１１６、出力
装置１１５、演算装置１１２、通信装置１１４、記憶装
置１１１を含む。機器構成１０と機器構成１１は互いの
通信装置１０４、１１４をネットワーク１２によって接
続している。また、機器構成１０は本発明の根幹である
ベリファイヤ１０８を含み、機器構成１１はプログラム
コード１１７を含んでいる。以上が、第１の実施形態の
外的構成の例である。
【００２６】ここで、機器構成１０を使用しているユー
ザが、機器構成１１に含まれるプログラムコード１１７
をネットワーク１２を通じて機器構成１０の内部に読み
込んで実行したい場合を考える。
【００２７】プログラムコード１１７は、それが持つ命
令１つ１つが操作することのできるデータ型の制約を有
する命令セットで構成されているプログラムコードであ
る。
【００２８】このとき、プログラムコード１１７が機器
構成１０にとって信頼のおけるコードであるとは限らな
い。そこで機器構成１０は、機器構成１１から読み込ん
だプログラムコード１１７を読み込んでから実行するま
での間にベリファイヤ１０８にプログラムコード１１７
の検査をすることによって、プログラムコード１１７の
実行前にスタック溢れ、スタック枯渇、型操作の違反な
どの危険なコードを事前に排除することができる。
【００２９】また、プログラムコード１１７の実行時
に、これらの危険操作の判定を行なわなくて済み、実行
を高速化することができる。
【００３０】また、ネットワーク１２を介する必要はな
く、ベリファイヤ１０８と同じ機器構成１０の中にある
プログラムコード１０７に対しても、実行前にベリファ
イヤ１０８を利用して検査することによって、危険な実
行をあらかじめ回避する、あるいは実行を高速化するこ
とが可能となる。
【００３１】以下では、そのベリファイヤ１０８のプロ
グラムコード検査手段について説明を行なう。
【００３２】図２は本発明の第１の実施形態のベリファ
イヤ１０８内部の機能構成である。図２は本発明のベリ
ファイヤで実行中に必要となる情報を記憶させるべき、
記憶装置区域を図表化したもので、ベリファイヤ１０８
本体と、前述のデータ型制約を持った命令セットで書か
れているプログラムコード２１と、ベリファイヤ１０８
が現在プログラムコード２１のどの部分を検査すべきか
を示す仮想実行可能ポイントリスト２２と、検査の実行
中に必要な仮想スタック内容などを保持する仮想実行状
態２３と、後に説明する分岐元スナップショットテーブ
ル２４と、合流点スナップショットテーブル２５から成
る。
【００３３】プログラムコード２１は、個々の命令２１
１が扱うことのできるデータ型に制約を有している命令
セットの列によって構成されている。
【００３４】実行可能ポイントリスト２２は、プログラ
ムコード２１の中で、検査を開始することのできるポイ
ントを格納するもので、検査に必要な仮想実行状態が算
出されている即時実行リスト２２１と、検査に必要な仮
想実行状態が完全には算出されていない待機リスト２２
２と、検査に必要な仮想実行状態が完全に算出されない
まま検査を強行し、残りの仮想実行状態の算出を待って
いる最終検査リスト２２３の三部分から成る。
【００３５】また、ベリファイヤ１０８はプログラムコ
ード２１の先頭から検査を始め、検査の途中の実行状態
を分岐元スナップショットテーブル２４や合流点スナッ
プショットテーブル２５に格納して、各々の検査再開ポ
イントをこの仮想実行可能ポイント２２で管理する。
【００３６】仮想実行状態２３は、ベリファイヤ１０８
がプログラムコード２１の仮想実行を行なう際の実行状
態を保持する。仮想実行状態２３はプログラムコード２
１のどの部分を実行しているかを示すプログラムカウン
タ２３１と、スタックに幾つのデータが積まれているか
を示すスタックカウンタ２３２と、現在のスタックのデ
ータ型の状態を示す仮想スタック２３３及び現在のロー
カル変数のデータ型の状態を示す仮想ローカル変数２３
４で構成され、これらはベリファイヤ１０８が分岐元ス
ナップショットテーブル２４や合流点スナップショット
テーブル２５に情報を格納する為の元情報となる。
【００３７】分岐元スナップショットテーブル２４は、
プログラムコード２１の中に分岐命令がある場合、その
分岐の数の分だけ情報が格納される。格納される情報
は、プログラムコード２１のどの位置の命令かを示すオ
フセット２４１と、仮想実行状態２３と同様のスタック
カウンタ２４２、仮想スタック２４３、仮想ローカル変
数２４４があり、さらに分岐先のオフセット２４１を全
て保持する分岐先リスト２４５を含む。
【００３８】合流点スナップショットテーブル２５は、
分岐元スナップショットテーブル２４とは反対に、プロ
グラムコード２１の中に分岐命令がある場合、それらの
分岐命令の分岐先オフセット２５１の分だけ情報が格納
される。格納される情報は、分岐元スナップショットテ
ーブル２４と同様に、オフセット２５１、スタックカウ
ンタ２５２、仮想スタック２５３、仮想ローカル変数２
５４、分岐元のオフセットを全て保持する分岐元リスト
２５６、さらにそのオフセット２５１を分岐先とする分
岐命令数を保持する合流数カウンタ２５５を含んでい
る。
【００３９】仮想スタック２３３、２４３、２５３、及
び仮想ローカル変数２３４、２４４、２５４はいずれも
同じデータ構造を有しており、データ構造２７への仮想
スタック及び仮想ローカル変数内の各データポインタ２
６で構成されている。
【００４０】データ構造２７はデータ型の下限を決定す
る型を格納するデータ２７１、データ型の制約条件（上
限）を格納するデータ制約２７２、及び同一の起源を有
するデータへのポインタである後方影響リスト２７３を
含む。
【００４１】図３（Ａ）は本発明におけるプログラム検
査機構のシステム概念図である。ベリファイヤ１０８
は、プログラムコード２１から命令を読み出し、その仮
想実行を行なう。仮想実行によって変化するスタック値
やローカル変数値は、仮想実行状態２３に書き込まれ、
実際の本実行と同様の変数操作がシミュレートされる。
プログラムコード２１中に分岐命令が存在する場合、そ
の分岐元命令にはそれに対応する分岐元スナップショッ
トと、分岐先命令にはそれに対応する合流点スナップシ
ョットが、それぞれ分岐元スナップショットテーブル２
４、合流点スナップショット２５内に生成され、仮想実
行がそれらの命令に来た時点の仮想実行状態２３の内容
を保持する。
【００４２】各々の仮想スタック、仮想ローカル変数
は、変数の内容を示すデータ構造２７を指し示す各デー
タポインタ２６を記憶している。ベリファイヤ１０８
は、プログラムコード２１の命令を次々に仮想実行し、
その結果変化したデータ構造を各々のデータ構造２７に
反映していく。
【００４３】図３（Ｂ）はデータ構造のデータの変更、
及び本発明の基本理念について説明した図である。図３
（Ｂ）では、プログラムコード３０４の場合を例として
説明している。この例はクラス階層を持つオブジェクト
指向プログラムに於ける例であり、クラス階層３０５は
この例の前提となるクラスの上下関係を示している。こ
の場合、データ構造はステップ３０１、３０２、３０３
のような手順で変化していく。
【００４４】まず、ステップ３０１で「load B」の命令
３０４１を仮想実行し、Ｂというデータをロードする。
この際、仮想スタックの内容を表すデータ構造３０６が
生成され、そのデータにＢが書き込まれる。
【００４５】同様に、ステップ３０２で「load A11」の
命令３０４２を仮想実行し、Ａ１１というデータをロー
ドする。この際、仮想スタックの内容を表すデータ構造
３０７が生成され、そのデータにＡ１１が書き込まれ
る。
【００４６】続いて、ステップ３０３で「B.Invoke
(A)」の命令３０４３（Ｂの関数をＡを引数にして呼び
出す）を仮想実行すると、データ構造３０６、３０７は
「関数Ｂ」、「引数Ａ」という限定されたデータとして
使用された為、データ内容に制約が掛けられる。この場
合はデータ構造３０６はＢとして使用された為、データ
制約にＢが書き込まれる。一方のデータ構造３０７はＡ
として使用された為、データ制約にＡが書き込まれる。
【００４７】このようにして、各々のデータ構造は、各
々のデータが取り得るデータの最大値（下限）と最小値
（下限）による範囲が決定される。図３（Ｂ）の例で
は、データ構造３０６は上限、下限ともにＢである為、
クラス階層３０５内の範囲３０９のようにデータがＢに
限定される。一方のデータ構造３０７は、上限がＡ、下
限はＡ１１であり、取り得るデータの範囲は３０８のよ
うに幅を持って推測される。
【００４８】このように本発明では、各々のデータを、
そのデータが取り得る範囲によって表現する。これらの
上限、下限が逆転した場合、つまり下限を下回る上限を
設定しようとした時、あるいは上限を上回る下限を設定
しようとした時、本発明によるプログラム検査は、その
プログラムコードを有害と判定し、本実行を禁止する。
以上が、本発明の基本となる動作の概要である。
【００４９】以下では、これらの情報を利用して、プロ
グラムコード２１を実際に検査する手法の好適実施形態
についてについて、順を追って説明していく。
【００５０】図４はプログラムコード２１の検査完了ま
でのステップをフローチャートに表したものである。図
４（ａ）のステップ４１はプログラムコードを記憶装置
上に読み出すプロセスであり、本発明の前処理に当たる
ものである。図４（ａ）のステップ４４は本発明によっ
て導き出されたプログラムコードの検査結果を受けて、
その実行可否を判定するステップであり、本発明の後処
理に当たるものである。そして図４のステップ４２及び
ステップ４３が本発明の根幹を成す処理となる。
【００５１】以後、図４（ａ）のステップ４２をパス
１、図４（ａ）のステップ４３をパス２と記述する。パ
ス１では、プログラムコード２１の中の分岐命令を検索
し、その分岐元、分岐先の情報を前記の分岐元スナップ
ショットテーブル２４及び合流点スナップショットテー
ブル２５に格納する。
【００５２】パス１は図４（ｂ）におけるステップ４２
１及び４２２の手順に分かれ、各々をパス１−１、パス
１−２と記述する。
【００５３】図５、図２５はパス１−１のフローチャー
ト及び概念図を、図６、図２６はパス１−２の フロー
チャート及び概念図を、それぞれ示している。
【００５４】パス１−１では、まず手順５０１で、実行
開始位置をプログラムコード２１の先頭に設定し、プロ
グラムコード２１の各々の命令に対し、分岐命令かどう
かを判定していく。図５における５０２の判定手順で分
岐命令でないと判断されたものは、他の手順を全てパス
し、次の命令の検査に移る。分岐命令であった場合、現
在のオフセットを分岐元スナップショットテーブルに追
加記録し（手順５０３）、その分岐先リストに、その命
令から分岐する可能性のある全ての分岐先のオフセット
を記録する。
【００５５】次に、各々の分岐先について、手順５０４
〜５０６を行なう。分岐先のオフセットがまだ合流点ス
ナップショットテーブル２５に登録されていなければ
（手順５０４）、合流点スナップショットテーブル２５
に分岐先のオフセット２５１にオフセットを記録する。
そして次に、その分岐先に対応する合流点スナップショ
ットの合流数カウンタに１を加え（手順５０５）、その
合流点スナップショットの分岐元リストに、分岐命令の
あったオフセットを追加する（手順５０６）。全ての分
岐先についてこの処理が終了したら（手順５０７，手順
５０８）、次の命令の検査に移る。
【００５６】この手順をプログラムコードの全ての命令
について行ない、このプログラムコードの全ての分岐関
係を分岐元スナップショットテーブル及び合流点スナッ
プショットテーブルに格納する。
【００５７】図２５はあるプログラムコード２４００の
パターンに於けるパス１−１の例を示している。プログ
ラムコード中の矢印２４０８〜２４１１はプログラムコ
ード２４００中の分岐を示す。ここでパス１−１はま
ず、プログラムの先頭からプログラムコード２４００を
先頭から調べる。命令２４０１が分岐命令なので、命令
２４０１に対応する分岐元スナップショット２４２０を
分岐元スナップショットテーブルに追加し、分岐先リス
トに分岐先命令である２４０５のオフセットを追加する
（ａ）。さらに分岐先命令である２４０５が合流点スナ
ップショットテーブルに登録されていないことを確認
し、２４０５に対応する合流点スナップショット２４３
０を合流点スナップショットテーブルに追加する
（ｃ）。合流点スナップショット２４３０の分岐元リス
トには分岐元である２４０１のオフセットを追加する。
【００５８】同様の手順を繰り返すことにより、分岐元
スナップショット、合流点スナップショットには図２５
の分岐元スナップショットテーブル（２４）２４２０〜
２４２３及び合流点スナップショットテーブル（２５）
２４３０〜２４３２のようなが情報が格納される。
【００５９】続いて、図６に示すように、パス１−２で
は、再びプログラムコードの先頭から検査を始め（手順
６０１）、合流数の調整を行なう。図６の手順６０２に
於いて、現在検査している命令の次の命令が合流点スナ
ップショットテーブル２５に格納されているかどうかを
調べ、格納されていなければ次の命令の検査に移る。も
し、格納されていた場合、手順６０３により現在検査中
の命令が、次の命令を次の実行命令としているかどうか
を調べる。ここで「次の命令」とはプログラムコード中
の並びで次順に当たる命令を示し、「次の実行命令」と
はプログラムコード実行時に現在の命令の次に実行され
る可能性のある命令を示している。
【００６０】図２５の例では、命令２４０４は絶対分岐
命令である為、次の命令２４０５が次の実行命令ではな
い。
【００６１】図６の手順６０３では、前記の定義におい
て現在の実行命令の次の命令が次の実行命令であるかど
うかを判定する。もしｙｅｓである場合、手順６０４で
次命令の合流点スナップショットの合流数カウンタを１
加算する。
【００６２】先の図２５のプログラムコード２４００の
例では、図２６に示すように、命令２４０３のみがこの
パターンに該当する為、命令２４０３の合流数カウンタ
が２から３に変更される。
【００６３】以上のパス１−１、パス１−２を全て終了
すると、パス１は完了し、図４に於けるステップ４３
（パス２）による「プログラムコード検査ステップ（ベ
リファイ）」の実行に移る。
【００６４】図７〜図２４は、図４に於けるステップ４
３（パス２）の内容を示したフローチャートである。パ
ス２では、またプログラムコードの先頭から検査を開始
する。パス２は前処理であるパス１を受け、プログラム
コードの正当性を実際に検査するアルゴリズムである。
【００６５】図７はパス２全体の流れを示したフローチ
ャートである。まず最初に手順７０１で、プログラムコ
ードの先頭命令に対応した合流点スナップショットが作
成されているかどうかを調べる。作成されていれば、先
頭命令は待機リストに、作成されていなければ、先頭命
令は即時実行リストに追加される。
【００６６】以降は、仮想実行可能ポイントリスト２２
により、即時実行リスト２２１、待機リスト２２２、最
終検査リスト２２３の３つのリストを監視し、即時実行
リスト２２１が空でない場合は、まず即時実行リスト２
２１に入っているオフセットが指す命令から仮想実行を
開始する。もし即時実行リスト２２１が空の場合は、同
様に待機リスト２２２が空かどうかを調べ、空でない場
合は待機リスト２２２に入っているオフセットが指す命
令から仮想実行を開始する。即時実行リスト２２１、待
機リスト２２２共に空である場合は、最終検査リスト２
２３が空かどうかを調べ、空でない場合は最終検査リス
ト２２３に入っているオフセットが指す命令の最終検査
を行なう。
【００６７】上記の検査中にいずれか一箇所でも検査に
失敗することがあれば、パス２はベリファイを偽（ｆａ
ｉｌ）と判定し、手順７１１でプログラムコード検査結
果を偽と確定する。いずれの箇所でも偽り（ｆａｉｌ）
と判定されなかった場合は、手順７１０でプログラムコ
ード検査結果を真と確定する。
【００６８】図８、図９、図１０は図７の手順７０５、
つまり即時実行リストの処理内容をフローチャートにし
たものである。ベリファイヤ１０８はまず即時実行リス
トからオフセットを１つ取り出す。オフセットが複数積
まれている場合は、最後に積まれたものから取り出すの
が実行効率が良いが、オフセットを取り出す順序は結果
に影響を与えない（手順８０１）。
【００６９】次に、今取り出したオフセットに対応する
合流点スナップショットに、そのオフセットを分岐先と
する分岐元スナップショット全ての仮想スタック、仮想
ローカル変数をマージし（手順８０２）、その結果をこ
の合流点スナップショットの仮想スタック、仮想ローカ
ル変数に設定する。このオフセットに合流する命令は、
分岐命令によるものと、このオフセットを次の実行命令
と判定した前命令があり、前者については各々が保持す
る分岐元スナップショットテーブル２４から分岐元スナ
ップショット２４２〜２４６を参照する。
【００７０】後者については、このオフセットを次の実
行命令と判定した前命令であり、前命令を仮想実行した
際にその仮想実行状態を、このオフセットの合流点スナ
ップショットに格納し、マージの際はそれを参照する。
なお、即時実行リストに格納されていたオフセットは、
このオフセットに合流する全ての命令の仮想実行状態を
スナップショットとして格納済みであることが保証され
ているオフセットである。
【００７１】合流点スナップショットの仮想スタック２
５３、仮想ローカル変数２５４、スタックカウンタ２５
２の生成が完了したら、同内容を仮想実行状態２３にコ
ピーし、プログラムコードの仮想実行を開始する。この
仮想実行は次の合流点に達するまで、あるいは次命令が
「次の実行命令」ではない命令にたどり着くまで続けら
れる（手順８０６，８０７）。
【００７２】図９に示すように、仮想実行中は、各々の
命令に対し、スタック操作の検査９０１、ローカル変数
操作の検査９０２、分岐命令の検査９０３を、各命令の
持つ実行順序と同様の順序で実行し、各命令の正当性を
検査する。例えば、ローカル変数からデータを読み出
し、そのデータをスタックにプッシュする処理を一命令
で行なう命令の場合、処理８０４で一度目は処理９０２
を行ない、仮想ローカル変数からデータポインタを読み
出して、続いて二度目の処理８０４では処理９０１を行
ない、その際に処理９０２で読み出したデータポインタ
を仮想スタックにプッシュする。
【００７３】もしこれらの手順のいずれかでｆａｉｌと
判定された場合は、即時実行リスト処理７０５自体がｆ
ａｉｌとなり、処理７１１でベリファイ全体も検査結果
が偽と判定される。
【００７４】図１０に示すように、仮想実行が、図８の
８１０に到達して終了した場合は、即時実行リストの処
理７０５は正常判定（ｏｋ）を返し、図８の８１２に到
達して終了した場合は、即時実行リストの処理７０５は
異常判定（ｆａｉｌ）を返す。図８の８１１に到達して
終了した場合は、次の命令が合流点であると判定した為
の終了であるため、次の命令の合流点スナップショット
に対して、現在の仮想実行状態を反映させる。
【００７５】図１０は即時実行リストの処理７０５のう
ち、次の命令の合流点スナップショットに反映させる部
分の処理をフローチャートにしたものである。図１０の
８１０〜８１２は図８の８１０〜８１２に対応してお
り、８１１が次命令が合流点のケースになる。
【００７６】まず、次の命令の合流点スナップショット
の仮想スタック、仮想ローカル変数、スタックカウンタ
が既に書き込み済かどうか調べ（手順１００１）、書き
込み済でなければ、現在の仮想実行状態２３の内容をそ
のまま次の命令の合流点スナップショットに書き込む
（手順１００２）。書き込み済である場合、つまり他の
分岐等が先にこの合流点スナップショットに書き込んで
しまっている場合は、それと現在の仮想実行状態をマー
ジしてこの合流点スナップショットの仮想スタック、仮
想ローカル変数、スタックカウンタを決定する（手順１
００３）。その際、マージに失敗したら即時実行リスト
処理７０５自体がｆａｉｌとなり、図７に示す処理７１
１で、ベリファイ全体も偽と判定される。マージ処理の
内容及びどのような場合に失敗するかについては、後述
する。
【００７７】手順１００２あるいは手順１００３を終え
て、手順１００４にたどり着いたら、次命令の合流点ス
ナップショットの合流数カウンタから１減算する（手順
１００４）。この値は、その合流先命令に合流する命令
のうちまだ仮想実行状態が定まっていないものの数を示
していおり、手順１００５でこの値が０になったかどう
かを判定する。もしこの合流数カウンタが０の場合は、
その合流先命令が最終検査リストにあるかどうかを判定
し（手順１００６）、もしあればその合流先命令の最終
検査を行なう（手順１００７）。もしなければその合流
先命令のオフセットを即時実行リストに加える（手順１
００８）。
【００７８】もしこの合流数カウンタが０でない場合
は、その合流先命令が最終検査リストにあるかどうかを
判定し（手順１００９）、もしなければ、次手順１０１
０で待機リストにあるかどうかを判定する。その合流先
命令が待機リストにない場合は、その合流先命令のオフ
セットを待機リストに加える。
【００７９】この処理は、合流点の命令に於いて、全て
の合流元の合流が済んでいるかどうかを確認している。
全ての合流元が合流済み（マージする為の仮想実行状態
を格納済み）の場合、その合流点から始まる仮想実行は
即時実行リスト処理として行なわれ、実行後に余分な作
業を必要としない。合流元のうちいくつかが合流してい
ない（マージする為の仮想実行状態を未格納な）場合、
その合流点から始まる仮想実行は待機リスト処理として
行なわれ、実行後に残りの合流していない合流元の仮想
実行状態格納を待つ形になる。全ての合流元が合流を済
ませたら、改めて今度は最終検査リスト処理を行なう。
【００８０】図１１、図１２は図７の手順７０７、つま
り待機リストの処理内容をフローチャートにしたもので
ある。動作はほとんど即時実行リスト処理７０５と同じ
内容のものである。本手順は即時実行リストが空の場合
（手順７０４）に続いて、処理される。
【００８１】まず、手順１１０１でプログラムカウンタ
を待機リストの最後の命令にセットし、待機リストから
オフセットを１つ取り出し、そのオフセットを手順１１
０２で最終検査リストに追加する。次に手順１１０３
で、今取り出したオフセットに対応する合流点スナップ
ショットに、そのオフセットを分岐先とする分岐元スナ
ップショットのうち、仮想実行状態を格納済みのものの
みを探しだし、その仮想スタック、仮想ローカル変数を
マージし、その結果をこの合流点スナップショットの仮
想スタック、仮想ローカル変数に設定する（手順１１０
３）。
【００８２】この時点では全ての合流元について仮想実
行状態のマージが終了しておらず、後に最終検査にて修
正することを前提として、即時実行リスト処理の時と同
様の仮想実行を開始する点に留意する。その後の処理は
手順８０３−８０７，１００１−１０１１，１１１１−
１１１３に示すように、即時実行リスト処理７０５と全
く同様に行なう。
【００８３】図１３は図９の手順９０１、つまりスタッ
ク操作の検査を行なう処理の内容をフローチャートにし
たものである。ここでは命令がスタック操作時にデータ
型違反及びスタックオーバーフロー、スタックアンダー
フローが無いかどうかを判定する。
【００８４】まず手順１３０１で、即時実行リストの仮
想実行（７０５）中、および待機リストの仮想実行（７
０７）中に於いて、現在仮想実行している命令がスタッ
クからデータをポップするかどうかを調べる。
【００８５】スタックからデータをポップする命令の場
合、手順１３０２で現在のスタックカウンタを調べ、も
しスタックカウンタが０ならば、スタックアンダーフロ
ーと判定してｆａｉｌを返す。ポップできるデータがス
タックにある場合は、命令が持つデータ制約と現在のス
タックのトップのデータ型がマッチするかどうかを調べ
る（手順１３０３）。実際に仮想スタックに格納されて
いるのはデータポインタ２６であり、マッチングはその
データポインタ２６が指し示すデータ構造２７をもって
行なう。
【００８６】ここで、マッチしない場合は型制約違反と
判定してｆａｉｌを返す。マッチする場合は、手順１３
０４で命令が持つデータ型制約がそのデータの持つ型制
約より厳しいか否かを判断し、厳しければ、手順１３０
５で命令が持つデータ型制約をそのデータの制約にす
る。正常にデータポインタをスタックからポップし、命
令が持つ型制約をポップしたデータポインタが指し示す
データ構造２７のデータ型制約２７２として設定する。
この制約はこのデータが生成されてからここでポップさ
れるまでの間の制約として設定される。ポップ操作の対
象はデータポインタ２６であり、データ構造２７はポッ
プの対象ではないことに注意されたい。
【００８７】次に手順１３０６で、現在仮想実行してい
る命令がスタックにデータをプッシュするかどうかを調
べる。
【００８８】スタックにデータをプッシュする命令の場
合、手順１３０７で現在のスタックカウンタを調べ、も
しスタックカウンタが最大スタックサイズに等しいなら
ば、スタックオーバーフローと判定して、ｆａｉｌを返
す。プッシュできる場合は、正常にスタックプッシュを
行ない、命令が持つ型制約をプッシュしたデータの型制
約２７２として設定する。ポップ処理と同様に、プッシ
ュ操作の対象もデータポインタ２６であり、データ構造
２７はポップの対象ではないことに注意されたい。
【００８９】図１４は図９の手順９０２、つまりローカ
ル変数操作の検査を行なう処理の内容をフローチャート
にしたものである。ここでは命令がローカル変数操作時
にデータ型違反及びにローカル変数領域外アクセスが無
いかどうかを判定する。
【００９０】まず手順１４０１で、即時実行リストの仮
想実行（７０５）中、および待機リストの仮想実行（７
０７）中に於いて、現在仮想実行している命令がローカ
ル変数からデータを読み出すかどうかを調べる。
【００９１】ローカル変数からデータを読み出す命令の
場合、手順１４０２で読み出すローカル変数番号が０か
らローカル変数最大番号の間に入っているかどうかを調
べ、領域外ならばｆａｉｌを返し、手順７１１に移行し
て検査結果を偽にセットする。領域内の場合は、命令が
持つデータ制約と指定ローカル変数のデータ型がマッチ
するかどうかを調べる（手順１４０３）。マッチしない
場合は型制約違反と判定してｆａｉｌを返し、手順７１
１に移行して検査結果を偽にセットする。マッチする場
合は正常にローカル変数のデータポインタ２６の読み出
しを行ない、命令が持つ型制約を読み出したデータポイ
ンタが指し示すデータの持つ型制約より厳しいか否かを
判断し（手順１４０４）、データ構造２７の型制約とし
て設定する（手順１４０５）。
【００９２】次に手順１４０６で、現在仮想実行してい
る命令がローカル変数にデータを書き込むかどうかを調
べる。
【００９３】ローカル変数にデータを書き込む命令の場
合、手順１４０７で書き込むローカル変数番号が０から
ローカル変数最大番号の間に入っているかどうかを調
べ、領域外ならばｆａｉｌを返し、手順７１１に移行し
て検査結果を偽にセットする。領域内の場合は、正常に
ローカル変数にデータポインタ２６の書き込みを行ない
（手順１４１０）、命令が持つ型制約を読み出したデー
タポインタが指し示すデータ構造２７の型制約として設
定する（手順１４１１）。
【００９４】図１５は図８の手順８０５、つまり分岐命
令の検査を行なう処理の内容をフローチャートにしたも
のである。ここでは分岐命令に到達した場合、その命令
に対応する分岐元スナップショットに現在の仮想実行状
態を格納及び、その命令の分岐先の合流点スナップショ
ットの処理を行なう。
【００９５】まず手順１５０１で、現在仮想実行してい
る命令が分岐命令かどうかを調べる。分岐命令の場合、
手順１５０２で現在の仮想実行状態をその命令の分岐元
スナップショットに格納する。続いて、分岐先各々につ
いて以下の処理を行なう。
【００９６】手順１５０３で分岐先命令の合流点スナッ
プショットの合流数カウンタを１減算する。手順１５０
４でその値が０でない場合は、そこで処理は終了し、次
の分岐先を調べにいく（手順１５１０）。もし、分岐先
命令の合流点スナップショットの合流数カウンタが０の
場合は、その分岐先命令が最終検査リストにある場合は
（手順１５０５）、そのオフセットを取り出して最終検
査を行なう（手順１５０７）。分岐先命令が最終検査リ
ストにない場合、もし分岐先命令が待機リストにあれば
（手順１５０６）、それは削除する（手順１５０７）。
そして手順１５０８で分岐先命令のオフセットを即時実
行リストに追加する。
【００９７】分岐命令が現れる度に、各々の命令の分岐
先命令の合流点スナップショットが更新されていき（手
順１５１１）、全ての合流点スナップショットは、その
合流数カウンタを見るだけで全ての合流元の仮想実行状
態が格納されたかどうかを知ることができる（手順１５
１０）。
【００９８】図１６、図１７は図７の手順７０９、つま
り最終検査リストの処理内容をフローチャートにしたも
のである。最終検査リスト処理７０９は、即時実行リス
ト処理７０５、待機リスト処理７０７とは違い、プログ
ラムコードの仮想実行を行なう処理ではない。最終検査
リスト処理７０９は、ある合流点に於いて、即時実行リ
ストが空で（手順７０４）、待機リストが空で（手順７
０６）、最終検査リストが空でないとき（手順７０
８）、全ての合流元の仮想実行状態が格納される前に待
機リスト処理として仮想実行を行なってしまった場合、
その後全ての合流元の仮想実行状態が格納された時に、
再び仮想実行をすることなく矛盾性の判定を行なう処理
である。
【００９９】図１６において、ベリファイヤ１０８はま
ず、手順１６０１によって最終検査リストからオフセッ
トを１つ取り出す。そして次に、そのオフセットが示す
合流点の合流点スナップショットに対する最終検査を行
なう（手順１００７）。
【０１００】図１６において、最終検査は３つの手順に
よって構成され、まず手順１６０２では、手順８０２の
時と同じく、その合流点の合流元全ての分岐元スナップ
ショットの仮想スタック、仮想ローカル変数、及びスタ
ックカウンタをマージし、その結果をその合流点の仮想
スタック、仮想ローカル変数、スタックカウンタとす
る。次に手順１６０３で、その仮想実行状態がマージす
る前の仮想実行状態と比較して変化したかどうかを判定
し、変化がない場合は最終検査リスト処理はここで正常
終了する。もしマージ前と比較して変化がある場合は、
手順１６０４によって、変化したデータ各々について、
その後方影響リストに従って変更結果を関連するデータ
に反映させる。
【０１０１】図１７は図１６に於ける手順１６０４の処
理内容を示している。まず手順１７０１によって変化の
あった最初のデータを選択し、そのデータの後方影響リ
ストにエントリがあるかどうかを調べる（手順１７０
２）。エントリがない場合は変化のあった次のデータに
検査を移す（手順１７０５）。エントリがあった場合
は、手順１７０３によってそのデータと影響先のデータ
をマージして影響先のデータを更新する。マージに失敗
した場合、すなわちマージしたデータが矛盾を含んでい
た場合は、最終検査リスト処理はｆａｉｌを返し、手順
７１１に移行して検査結果を偽にセットする。
【０１０２】影響先のデータがマージによって変化した
場合は、その影響先データについて最終検査を行なう。
すなわちそのデータのみに対し、手順１６０４を再帰的
に実行する。この再帰実行はマージされた影響先データ
に変化がなくなるまで続けられる。
【０１０３】上記処理を、変化のあった全てのデータに
対して完了した場合、最終検査リスト処理は正常終了す
る。その後、図４におけるステップ４４に移行する。そ
の間にどこか一箇所でもｆａｉｌを返した場合は、最終
検査リスト処理はｆａｉｌを返す。
【０１０４】図１８、図１９、図２０は仮想スタック及
び仮想ローカル変数のマージ処理をフローチャートにし
たものである。図８の８０２、図１０の１００３、図１
１の１１０３、図１２の１００３、図１６の１６０２の
処理はいずれも、この図２０のフローによって処理され
る。
【０１０５】図２０は、仮想スタック及び仮想ローカル
変数のデータマージ処理の全体を示したフローチャート
である。
【０１０６】まず、手順２００１によって、マージの対
象となる双方の仮想スタックのスタックポインタが同位
置にあることを確認する。もしスタックポインタが同一
でなければ、マージ処理２０００はｆａｉｌを返し、手
順７１１に移行して検査結果を偽にセットする。
【０１０７】次に、図１８に示すように、仮想スタック
の各々のデータポインタに対し、データマージ処理１８
００を行なう。スタックの先頭から、スタックポインタ
位置までの全てのデータをマージし、そのうち１つでも
ｆａｉｌを返したものがあればマージ処理２０００はｆ
ａｉｌを返し、手順７１１に移行して検査結果を偽にセ
ットする。
【０１０８】同様に、図１９に示すように、仮想ローカ
ル変数についても、全てのデータポインタに対して、デ
ータマージ処理１９００を行なう。
【０１０９】図１８は仮想スタックのデータポインタを
マージする処理のフローチャートを示している。手順１
８０１で各々のデータポインタが等しいデータ構造を指
し示しているかどうかを調べ、等しい場合はマージ後の
データポインタもそれらと等しいデータポインタを設定
する（手順１８０２）。等しくない場合、手順１８０３
によって、２つのデータポインタが指す各々のデータ構
造を調べ、両者がマージ可能でない場合は、手順１８０
０はｆａｉｌを返し、手順７１１に移行して検査結果を
偽にセットする。マージ可能の場合、手順１８０４で両
者をマージした新しいデータ構造を生成し、マージ後の
データポインタをそのデータ構造に対応づける（手順１
８０５）。更に、マージ前の各々のデータポインタが指
すデータ構造の後方影響リストに、新しく生成したデー
タ構造を追加する（手順１８０６）。
【０１１０】図２１は２つのデータポインタが違うデー
タ構造の値を指している場合のマージ処理を摸式的に示
している。なお、この例はクラス階層を持つオブジェク
ト指向プログラムに於ける例であり、クラス階層２１１
２はこの例の前提となるクラスの上下関係を示してい
る。ＯからＡに階層し、Ａ１−Ａ１１，Ａ２のようにク
ラス分けされている。
【０１１１】図２１において、データポインタ２１０２
はデータ構造２１０１を、データポインタ２１０３はデ
ータ構造２１０４を、それぞれ指している。この両者の
データポインタ２１０２，２１０３をマージすると、新
しいデータ構造２１０８が生成され、マージ後のデータ
ポインタ２１０７が新しいデータ構造２１０８を指す形
になる。また、この際、データ構造２１０１、２１０４
共に後方影響リストにデータ構造２１０８へのデータポ
インタ２１１０、２１１１が追加される。この後方影響
リストは、これらのデータ構造のデータが後に書き換わ
った場合、この後方影響リストに記載されているデータ
構造についても、その変更を反映しなければならないこ
とを意味している。
【０１１２】図２２は２つのデータポインタが同一デー
タ構造を値を指している場合のマージ処理を摸式的に示
している。仮想スタック２１２４、２１２５に対応する
データポインタ２１２２、２１２３は、どちらも同じデ
ータ構造２１２１を指している。この両者のデータポイ
ンタをマージすると、新しいデータ構造は生成されず、
マージ後の仮想スタック２１２７のデータポインタ２１
２６は、やはり同一データ構造２１２１を指す。これに
より後方影響リストの作成（図１８の手順１８０４、１
８０５、１８０６）及び最終検査１００７の際の変更反
映作業（図１６の手順１６０４）を削減すると共に、デ
ータの有効範囲を明確にすることが可能になる。
【０１１３】図２３は、マージする手順１８０３を示す
仮想スタックに於いてデータ１とデータ２をマージし、
その結果をデータ１に反映する手順を示したフローチャ
ートである。手順２２０１によってマージする双方のデ
ータに共通する上位データ型が存在するかどうかを調
べ、存在しない場合は手順１８０３はｆａｉｌを返す。
【０１１４】存在する場合、両者のデータに共通する上
位データ型のうち、最下位のものを選択し、データ１の
データに設定する（手順２２０２）。最後に手順２２０
３によって、書き換えられたデータ１のデータが、デー
タ１のデータ制約を満たすかどうかを調べ（手順２２０
３）、もしデータ制約を破るデータであった場合は、手
順１８０３はｆａｉｌを返す。このマージ作業は、ある
データがその後の使用方法に於いて決定される制約条件
を持つ場合、そのデータにマージされるデータは、全て
その制約を満たすデータであることを保証する作業であ
る。
【０１１５】例をあげると、あるデータがＡ型として使
用された場合、そのデータには「Ａ型より下位」という
制約条件が付く。以後、そのデータにマージされるデー
タは、少なくともＡ型以上の能力を持った（Ａ型として
使用できる）データでなければならない。マージされる
データと、元のデータの共通上位データ型がＡ型より上
位である場合、つまり双方のデータ型の共通能力がＡ型
に満たない場合には、それ以降のプログラム実行時に、
Ａ型として使用する部分が実行できなくなる為、このプ
ログラムの実行を停止する。
【０１１６】図２４は、図１９に示した手順１９０３に
よる仮想ローカル変数に於いて、データ１とデータ２を
マージし、その結果をデータ１に反映する手順を示した
フローチャートである。図２３の手順２２０１と同様の
判定を行ない、そこでｎｏと判定された場合、手順２３
０３でそのデータを「使用不可型」とする。使用不可型
は、どのデータとマージしても使用不可型となる最上位
型であり、そのデータ位置はプログラム中での読み出し
を禁止される。すなわち、ローカル変数からデータを読
み出す作業は、読み出すデータの型をそのデータの制約
に設定するため、制約を設定した時点で、使用不可型が
それを満たさない為にｆａｉｌを起こす。その他の作業
は図２３と同様に行ない、仮想ローカル変数のマージが
完了する。
【０１１７】図２７は、データマージ作業をＪａｖａ等
のクラス階層をもったオブジェクト指向言語の例で示し
たものである。図２７中の「Ｏ→Ａ→Ａ１，Ａ２→Ａ１
１の関連図」２６１１は、Ｊａｖａのクラス階層を示し
ており、図中の矢印は親クラスから子クラスの継承を表
している。２６１１では、最上位クラスにＯ型があり、
Ｏ型の子クラスとしてＡ型、Ａ型の子クラスとしてＡ１
型、Ａ２型があり、さらにＡ１の子クラスとしてＡ１１
型がある。プログラム２６００には分岐が存在し、命令
２６０５の次の命令は命令２６０２に戻るようなプログ
ラムとする。
【０１１８】ここで、プログラムの先頭から仮想実行を
開始し、命令２６０１でスタックにＡ１１型のデータを
生成したとする。仮想スタックに積まれたＡ１１型のデ
ータへのポインタは、そのまま命令２６０２の合流先ス
ナップショットにデータポインタにも書き込まれる。こ
こで、命令２６０３でこのデータがＡ１型で使用された
とすると、そのデータ２６０７のデータ制約にはＡ１型
が設定される。これにより、命令２６０２にはＡ１型の
制約を満たせないデータはマージ不可となる。
【０１１９】そのプログラムの先で、命令２６０４で上
記の２６０１の時と同じスタック位置に、今度はＡ２型
のデータが上書きされたとすると、次の分岐命令２６０
５で仮想スタック２６０８の内容が仮想スタック２６０
２にマージされる。この時、データ１は２６０６のＡ１
１型と２６０８のＡ２型の上位クラスであり、２６１１
のクラス階層ではＡ型となる。よって図２７の下図の２
６１０のように、データ構造２６０７のデータはＡ型に
変更される。この時、データ制約はＡ１型であったた
め、Ａ型はＡ１型としての制約を満たしておらず、この
マージはｆａｉｌする。
【０１２０】このマージ作業及びそれを利用したプログ
ラム検査機構は、当然ここで紹介したＪａｖａのような
言語に限られるものではない。データ型に階層関係があ
り、データを扱う命令に、その命令が扱うことのできる
データの型が決められているようなプログラム言語であ
れば、どのようなプログラム言語にも応用することがで
きる。また、本発明の権利範囲は請求項に記載された内
容によってのみ規定される。
【０１２１】このように、各々のデータが、そのデータ
の型制約を有して、その制約を満たさないデータの合流
を防ぐ機構を作ることにより、データ型が変化した場合
に、従来技術２のような、その部分のプログラムの検査
を改めてやり直す作業が必要なく、高速に検査を終了す
ることが可能になる。
【０１２２】なお、上記プログラム検査方法の各ステッ
プをプログラムとしてコンピュータが読み取り可能な記
憶媒体に格納することが可能である。すなわち、図１に
ついて説明すれば、機器構成１０，１１とに一時記憶装
置１０３，１１３とが備えられ、プログラムコード１０
７，１１７の検査を行うプログラムを一時記憶装置１０
３，１１３に格納することができる。この一時記憶装置
１０３，１１３はフロッピーディスクやＣＤ−ＲＯＭ，
ＣＤ−Ｒ等のパッケージ媒体であってもよく、機器構成
１０，１１の主記憶装置としてもよい。
【０１２３】［第２の実施形態］次に、本発明の第２の
実施形態について説明する。
【０１２４】本発明の第２の実施形態は、プログラム実
行にスタックを利用した言語形式に依らないプログラム
言語に、第１の実施形態を応用することである。
【０１２５】スタックを利用した実行状態の保存は、プ
ログラム実行の利便性を高めるためのものであり、本発
明の基本的な部分には全く関係しない。スタック、ロー
カル変数等を分類せずに一元的に管理し、読み込み順序
などにも制限をも受けない通常の記憶領域読み書きのみ
を利用してプログラム実行を行なうプログラム言語に関
しても、第１の実施形態の「スタックスナップショッ
ト」を必要な記憶領域のスナップショットに変更するこ
とで、どのような記憶形態にも対応する。
【０１２６】例として、一般的な記憶部としてメモリを
用い、高速にアクセスするあるいは演算に使用する部分
のみレジスタに保存する一般的コンパイラ言語において
も、必要な記憶領域をスナップすることにより、第１の
実施形態と同様のプログラム検査が可能であり、高速性
等の効果も同様に受けることができる。
【０１２７】［第３の実施形態］次に、本発明の第３の
実施形態について説明する。本発明の第３の実施の形態
は、第１の実施形態を行なうことにより、各データがプ
ログラム中で使用される可能性のある区域を限定するこ
とによって、記憶領域のより効果的な解放を可能にする
記憶領域管理システムである。
【０１２８】第１の実施形態では、プログラム全体を検
査している為、各データがプログラムのどの部分で生成
され、使用され、また別のデータに上書きされることに
よって消去されるのかを、明確に把握することが可能で
ある。
【０１２９】図２８はデータの生存期間を示した図であ
る。プログラム２７００の中の命令２７０１で生成され
たデータ構造２７０８は、２７０２〜２７０５などの命
令によって使用されている。しかし従来手法２では、こ
のデータが２７０５以降使用されていないにも関わら
ず、データが別のデータに上書きされ、明示的に不必要
と判明する２７０６の時点になるまでは、データ構造２
７０８の記憶領域を解放する手段を有しなかった。
【０１３０】本発明の第１の実施形態では、全てのデー
タにおいて、各々のデータが必要とされている区間を割
り出すことが容易にできる為、プログラムの本実行時に
このデータの記憶領域を２７０５が終了した時点で解放
することを可能にするための情報を残すことができる。
これによりプログラム本実行時のデータ記憶効率を向上
させることができる。
【０１３１】［第４の実施形態］本発明の第４の実施形
態は、第１の実施形態を前提とした実行系に於いて、各
データの型情報を省略することによって実行効率、記憶
領域効率の向上を図った際、そのデータへのアクセスが
本実行時の実行系のみに限定されてしまわないように型
情報の復元を行なうことである。
【０１３２】第１の実施形態では、あらかじめプログラ
ムコードを検査することによって本実行時の検査を省略
し、実行速度を向上させることを可能にすると共に、本
実行で使用されるデータから型情報を省略することによ
って、データ記憶効率を向上させることを可能にする
が、その反面、プログラムコードの実行順序通りの手順
を踏んだ実行系以外のプロセスからアクセスしようとし
ても、型情報を失ったあとのデータの本来の型を知るこ
とができず、アクセスすることができない。
【０１３３】例として、プログラムコードの実行系とは
独立に動作するガーベージコレクションのプロセスがこ
れらの本実行中のデータの状態を検査したい場合など、
型情報を失ってしまったデータから、プログラムコード
本来の実行順序ではない方法でアクセスしたい場面は多
数存在する。
【０１３４】本発明の第４の実施形態では、第１の実施
形態を応用することで、これらの失われた型情報を、動
的に復元することを可能にする。すなわち、プログラム
コード中のある地点でのデータの型が必要になった場
合、第１の実施形態をプログラムの先頭から実行し、そ
の地点まで実際に仮想実行することで、その地点の型情
報を動的に割り出すことができる。
【０１３５】さらに、前記手順の高速化を進める為、プ
ログラム検査目的で第１の実施の形態を処理している際
中に、プログラムコード中のいくつかのポイントに於け
る型情報をキャッシュとして保持しておくことで、第４
の実施形態を実現する際には、それらのキャッシュ地点
のうち、型情報を必要としている現地点に最も近いキャ
ッシュ地点から復元処理を開始することによって、非常
に少ないステップで型情報の復元を可能にすることがで
きる。
【０１３６】第４の実施形態は、第１の実施形態が、ど
の地点からでも実行を開始できるという特徴を活かした
発明である。
【０１３７】
【発明の効果】本発明によれば、第１の効果は、複数の
データ型を制約の範囲として許容する命令を有した基本
マシン命令セットを用いて記述されたプログラムコード
を仮想実行を用いた方法によって検査する際、全てのプ
ログラムコードに対して１度のみの仮想実行しか必要と
しないことにある。これにより、プログラムコードの検
査速度が向上する。すなわち、１度目の仮想実行時に、
プログラム中で使用される各々のデータに対し、それが
生成されてから消滅するまでの間の全ての使用形態のう
ち最も厳しい制約について、記憶しておくことによっ
て、２度目からはその制約条件との適合性検査作業のみ
行なえば良いからである。また、データの内容が変更に
なった場合、関連するデータについて後ろ方向に変更内
容を反映させることによって、そのデータが到達しうる
全ての制約条件をチェックするすることが可能になるか
らである。
【０１３８】また、第２の効果は、個々のデータの有効
範囲を決定し、プログラム本実行時のデータ記憶時間を
必要最小限にすることによって効率的な記憶装置利用を
可能にすることにある。これにより、使用する可能性の
なくなったデータを、即座に別のデータを記憶する為に
解放することができる。すなわち、プログラム検査時の
仮想実行時に、同一データを同じデータポインタとして
処理する機構を有することで、データの最終使用位置を
特定し、その内容を記憶しておくことによって、本実行
時に最終使用位置を考慮した記憶領域解放作業を行なう
機構を有する為である。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に適用されるコンピ
ュータシステムのブロック図である。
【図２】本発明の第１の実施の形態の機能ブロック図で
ある。
【図３】本発明の第１の実施の形態における動作の具体
例を説明するブロック図である。
【図４】本発明の第１の実施の形態における動作を示す
フローチャートである。
【図５】本発明の第１の実施の形態における動作を示す
フローチャートである。
【図６】本発明の第１の実施の形態における動作を示す
フローチャートである。
【図７】本発明の第１の実施の形態における動作を示す
フローチャートである。
【図８】本発明の第１の実施の形態における動作を示す
フローチャートである。
【図９】本発明の第１の実施の形態における動作を示す
フローチャートである。
【図１０】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図１１】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図１２】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図１３】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図１４】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図１５】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図１６】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図１７】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図１８】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図１９】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図２０】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図２１】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図２２】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図２３】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図２４】本発明の第１の実施の形態における動作を示
すフローチャートである。
【図２５】本発明の第１の実施の形態における動作の具
体例を説明する図である。
【図２６】本発明の第１の実施の形態における動作の具
体例を説明する図である。
【図２７】本発明の第１の実施の形態における動作の具
体例を説明する図である。
【図２８】本発明の第３の実施の形態における動作の具
体例を説明する図である。
【符号の説明】
１０，１１ コンピュータ（中央処理装置；プロセッ
サ；データ処理装置 １０１，１１１ 記憶装置 １０２，１１２ 演算装置 １０３，１１３ 一時記憶装置 １０４，１１４ 通信装置 １０５，１１５出力装置 １０６，１１６ 入力装置 １０７，１１７ プログラムコード １０８ ベリファイヤ ２１プログラムコード ２２仮想実行可能ポイントリスト ２３仮想実験状態 ２４分岐元スナップショットテーブル ２５合流点スナップショットテーブル ２６ポインタデータ ２７データスタック ２１１ 命令スタック ２２１即時実行リスト ２２２待機リスト ２２３最終検査リスト ２３１プログラムカウンタ ２３２，２４２，２５２スタックカウンタ ２３３，２４３，２５３仮想スタック ２３４，２４４，２５４仮想ローカル変数 ２４１，２５１ オフセット ２４５分岐先リスト ２５５合流数カウンタ ２５６分岐元リスト ２７１データ ２７２データ制約 ２７３後方影響リスト ３０５ クラス階層
───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.7，ＤＢ名) G06F 11/28

Claims (18)

    (57)【特許請求の範囲】
  1. 【請求項１】 個々の命令が処理するデータ型に制約を
    有するプログラム命令セットを用いて記述されたプログ
    ラムコードについて、その制約が正しく満たされている
    かどうかを本実行前の仮想実行によって前記プログラム
    コードを検査するプログラム検査システムにおいて、 前記仮想実行時に現れる各々のデータに対して、型情報
    として許容できる下限の型と、そのデータの使用方法に
    基づく上限の型を設定し、前記各データが取り得る型の
    範囲を推論する為のデータ型推論手段と、 前記プログラムコード中に存在する分岐命令に起因す
    る、複数のパスの合流地点に於けるデータをマージし、
    各々の前記データの共通項をその地点の新たなデータと
    して設定するためのマージ手段と、 前記マージ手段によって前記データが変化した際、前記
    データの変化に影響を受けるデータ全てに対して、変化
    の内容を反映させる後方反映手段と、 前記後方反映手段が反映作業の対象となるデータの選択
    に利用するために、前記マージ手段によるマージ時に前
    記データが変化した場合、変化前のデータと変化後のデ
    ータとを関連付けるための後方関連付け手段と、を備
    え、 前記データ型推論手段が、前記検査中のプログラムコー
    ド内に前記型制約を侵している箇所を発見した場合、前
    記プログラムコードの前記本実行を禁止するための判定
    手段を備えることを特徴とするプログラム検査システ
    ム。
  2. 【請求項２】 請求項１に記載のプログラム検査システ
    ムにおいて、 前記マージ手段を実現する為の機構として、前記プログ
    ラムコード中に存在する分岐命令を前記仮想実行前に調
    査し、分岐元、分岐先の関係とその分岐数の情報を保存
    するための分岐前処理手段を備え、 前記マージ手段は、前記分岐前処理手段によって得られ
    た前記分岐数情報を参照し、前記プログラム検査時に、
    マージ処理が終了した分岐元の数を前記分岐数情報から
    減じていくことで、全ての分岐元のマージ処理について
    データの制約が侵されないことを証明するための分岐処
    理カウント手段を備えることを特徴とするプログラム検
    査システム。
  3. 【請求項３】 前記マージ手段は、前記マージ対象とな
    る２つのデータが、同一データ構造を指し示した場合、
    新たなデータを作成せず、前記同一データ構造を持つデ
    ータに統一する同一データ合流判定手段を備えることを
    特徴とする請求項１または２に記載のプログラム検査シ
    ステム。
  4. 【請求項４】 プログラムコードを本実行する前に、前
    記プログラムコードの仮想実行を行なうシステムを利用
    した記憶領域管理システムであって、 前記プログラムコードを前記本実行する前に、前記プロ
    グラムコード内のデータ型制約の検査のみを前記本実行
    と同様に行なうことのできる仮想実行手段と、 前記仮想実行手段の処理中に、各々の前記データの最終
    使用位置を判定、記憶する為のデータ有効範囲決定手段
    と、 前記データ有効範囲決定手段によって設定されたデータ
    有効範囲情報を元に、前記プログラムコードの前記本実
    行時に、前記データ有効範囲を越えたデータについて記
    憶領域の解放を行なうための記憶領域解放手段と、を備
    えることを特徴とする記憶領域管理システム。
  5. 【請求項５】 プログラムコードに対して事前に型情報
    の制約を侵さないことを検証することによって前記プロ
    グラムコードの本実行時の型情報処理を省略したシステ
    ムについて、前記プログラムコードの本実行以外の別プ
    ロセスからデータを参照する為の記憶領域外部参照管理
    システムであって、 前記プログラムコードの前記本実行時の現在実行地点
    と、前記別プロセスが参照するデータ位置情報を元に、
    前記プログラムコードの先頭から現在実行地点までの仮
    想実行を行う仮想実行手段によって参照されるデータの
    型情報を復元する型情報復元手段を備えることを特徴と
    する記憶領域外部参照管理システム。
  6. 【請求項６】 請求項５に記載の記憶領域外部参照管理
    システムにおいて、 前記仮想実行手段は、前記本実行時前に開始し、前記プ
    ログラムコードの少なくとも１つ以上の箇所で前記デー
    タの型情報を前記仮想実行が終了した後も保持する型情
    報キャッシュ手段を備え、 前記型情報復元手段は、前記データの型情報の復元を、
    前記型情報キャッシュ手段によって保持されている前記
    型情報のうち、参照したいデータの位置に最も近いプロ
    グラム地点の前記型情報を元に、参照したいデータの前
    記型情報を算出する第２の型情報復元手段を含むことを
    特徴とする記憶領域外部参照管理システム。
  7. 【請求項７】 個々の命令が処理するデータ型に制約を
    有するプログラム命令セットを用いて記述されたプログ
    ラムコードについて、その制約が正しく満たされている
    かどうかを本実行前の仮想実行によって前記プログラム
    コードを検査するプログラム検査方法であって、 前記仮想実行時に現れる各々のデータに対して、型情報
    として許容できる下限の型と、そのデータの使用方法に
    基づく上限の型を設定し、前記各データが取り得る型の
    範囲を推論する為のデータ型推論ステップと、 前記プログラムコード中に存在する分岐命令に起因す
    る、複数のパスの合流地点に於けるデータをマージし、
    各々の前記データの共通項をその地点の新たなデータと
    して設定するためのマージステップと、 前記マージステップによって前記データが変化した際、
    前記データの変化に影響を受けるデータ全てに対して、
    変化の内容を反映させる後方反映ステップと、 前記後方反映ステップが反映作業の対象となるデータの
    選択に利用するために、前記マージステップによる前記
    マージ時に前記データが変化した場合、変化前のデータ
    と変化後のデータとを関連付けるための後方関連付けス
    テップと、を備え、 前記データ型推論ステップが、前記検査中のプログラム
    コード内に前記型制約を侵している箇所を発見した場
    合、前記プログラムコードの前記本実行を禁止するため
    の判定ステップと、を含むことを特徴とするプログラム
    検査方法。
  8. 【請求項８】 請求項７に記載のプログラム検査方法に
    おいて、 前記マージステップを実現する為の機構として、前記プ
    ログラムコード中に存在する分岐命令を前記仮想実行前
    に調査し、分岐元、分岐先の関係とその分岐数の情報を
    保存するための分岐前処理ステップを含み、 前記マージステップは、前記分岐前処理ステップによっ
    て得られた前記分岐数情報を参照し、前記プログラム検
    査時に、マージ処理が終了した分岐元の数を前記分岐数
    情報から減じていくことで、全ての分岐元のマージ処理
    についてデータの制約が侵されないことを証明するため
    の分岐処理カウントステップを含むことを特徴とするプ
    ログラム検査方法。
  9. 【請求項９】 前記マージステップは、前記マージ対象
    となる２つのデータが、同一データ構造を指し示した場
    合、新たなデータを作成せず、前記同一データ構造を持
    つデータに統一する同一データ合流判定ステップを含む
    ことを特徴とする請求項７または８に記載のプログラム
    検査方法。
  10. 【請求項１０】 プログラムコードを本実行する前に、
    前記プログラムコードの仮想実行を行なうシステムを利
    用した記憶領域管理方法であって、 前記プログラムコードを前記本実行する前に、前記プロ
    グラムコード内のデータ型制約の検査のみを前記本実行
    と同様に行なうことのできる仮想実行ステップと、 前記仮想実行ステップの処理中に、各々の前記データの
    最終使用位置を判定、記憶する為のデータ有効範囲決定
    ステップと、 前記データ有効範囲決定ステップによって設定されたデ
    ータ有効範囲情報を元に、前記プログラムコードの前記
    本実行時に、前記データ有効範囲を越えたデータについ
    て記憶領域の解放を行なうための記憶領域解放ステップ
    と、を含むことを特徴とする記憶領域管理方法。
  11. 【請求項１１】 プログラムコードに対して事前にデー
    タの型情報の制約を侵さないことを検証することによっ
    て前記プログラムコードの本実行時の型情報処理を省略
    したシステムについて、前記プログラムコードの本実行
    以外の別プロセスからデータを参照する為の記憶領域外
    部参照管理方法であって、 前記プログラムコードの前記本実行時の現在実行地点
    と、前記別プロセスが参照するデータ位置情報を元に、
    前記プログラムコードの先頭から現在実行地点までの仮
    想実行を行う仮想実行ステップによって、参照されるデ
    ータの型情報を復元する型情報復元ステップを含むこと
    を特徴とする記憶領域外部参照管理方法。
  12. 【請求項１２】 請求項１１に記載の記憶領域外部参照
    管理方法において、 前記仮想実行ステップは、前記本実行時前に開始し、前
    記プログラムコードの少なくとも１つ以上の箇所で前記
    データの型情報を、前記仮想実行が終了した後も保持す
    る型情報キャッシュステップを含み、 前記型情報復元ステップは、前記データの型情報の復元
    を、前記型情報キャッシュステップによって保持されて
    いる前記型情報のうち、参照したいデータの位置に最も
    近いプログラム地点の前記型情報を元に、参照したいデ
    ータの前記型情報を算出する第２の型情報復元ステップ
    を含むことを特徴とする記憶領域外部参照管理方法。
  13. 【請求項１３】 個々の命令が処理するデータ型に制約
    を有するプログラム命令セットを用いて記述されたプロ
    グラムコードについて、その制約が正しく満たされてい
    るかどうかを本実行前の仮想実行によって前記プログラ
    ムコードを検査するプログラムをコンピュータが読み取
    り可能に記録する記録媒体において、 前記仮想実行時に現れる各々のデータに対して、型情報
    として許容できる下限の型と、そのデータの使用方法に
    基づく上限の型を設定し、前記各データが取り得る型の
    範囲を推論する為のデータ型推論ステップと、 前記プログラムコード中に存在する分岐命令に起因す
    る、複数のパスの合流地点に於けるデータをマージし、
    各々の前記データの共通項をその地点の新たなデータと
    して設定するためのマージステップと、 前記マージステップによって前記データが変化した際、
    前記データの変化に影響を受けるデータ全てに対して、
    変化の内容を反映させる後方反映ステップと、 前記後方反映ステップが反映作業の対象となるデータの
    選択に利用するために、前記マージステップによるマー
    ジ時に前記データが変化した場合、変化前のデータと変
    化後のデータとを関連付けるための後方関連付けステッ
    プと、を備え、 前記データ型推論ステップが、前記検査中のプログラム
    コード内に前記型制約を侵している箇所を発見した場
    合、前記プログラムコードの前記本実行を禁止するため
    の判定ステップを含む各ステップを実現するプログラム
    を記録するコンピュータ読みとり可能な記憶媒体。
  14. 【請求項１４】 前記プログラムの検査において、前記
    マージステップを実現する為の機構として、前記プログ
    ラムコード中に存在する分岐命令を前記仮想実行前に調
    査し、分岐元、分岐先の関係とその分岐数の情報を保存
    するための分岐前処理ステップを含み、 前記マージステップが、前記分岐前処理ステップによっ
    て得られた分岐数情報を参照し、前記プログラムの検査
    時に、マージ処理が終了した分岐元の数を前記分岐数情
    報から減じていくことで、全ての分岐元のマージ処理に
    ついてデータの制約が侵されないことを証明するための
    分岐処理カウントステップを含むプログラムを記録する
    請求項１３に記載のコンピュータ読みとり可能な記憶媒
    体。
  15. 【請求項１５】 前記マージステップが、前記マージ対
    象となる２つのデータが、同一データ構造を指し示した
    場合、新たなデータを作成せず、前記同一データ構造を
    持つデータに統一する同一データ合流判定ステップを含
    むプログラムを記録する請求項１３または１４に記載の
    コンピュータ読みとり可能な記憶媒体。
  16. 【請求項１６】 プログラムコードを本実行する前に、
    前記プログラムコードの仮想実行を行なうシステムを利
    用した記憶領域管理方法であって、 前記プログラムコードを前記本実行する前に、前記プロ
    グラムコード内のデータ型制約の検査のみを前記プログ
    ラムコードの前記本実行と同様に行なうことのできる仮
    想実行ステップと、 前記仮想実行ステップの処理中に、各々の前記データの
    最終使用位置を判定、記憶する為のデータ有効範囲決定
    ステップと、 前記データ有効範囲決定ステップによって設定されたデ
    ータ有効範囲情報を元に、前記プログラムコードの前記
    本実行時に、前記データ有効範囲を越えたデータについ
    て記憶領域の解放を行なうための記憶領域解放ステップ
    と、を実現させるためのプログラムを記録することを特
    徴とするコンピュータ読みとり可能な記憶媒体。
  17. 【請求項１７】 プログラムコードに対して事前に前記
    プログラムコードの型情報の制約を侵さないことを検証
    することによって前記プログラムコードの本実行時の型
    情報処理を省略したシステムについて、前記プログラム
    コードの本実行以外の別プロセスからデータを参照する
    為のプログラム検査方法であって、 前記プログラムコードの前記本実行時の現在実行地点
    と、前記別プロセスが参照するデータ位置情報を元に、
    前記プログラムコードの先頭から現在実行地点までの前
    記仮想実行を行う仮想実行ステップによって、参照され
    るデータの型情報を復元する型情報復元ステップを含
    み、前記各ステップを実現させるためのプログラムを記
    録することを特徴とするコンピュータ読みとり可能な記
    憶媒体。
  18. 【請求項１８】 請求項１７に記載のコンピュータ読み
    とり可能な記憶媒体において、 前記仮想実行ステップは、前記本実行時前に開始し、前
    記プログラムコードの少なくとも１つ以上の箇所で前記
    データの型情報を前記仮想実行が終了した後も保持する
    型情報キャッシュステップを含み、 前記型情報復元ステップは、前記データの型情報の復元
    を、前記型情報キャッシュステップによって保持されて
    いる前記型情報のうち、参照したいデータの位置に最も
    近いプログラム地点の前記型情報を元に、参照したいデ
    ータの前記型情報を算出する第２の型情報復元ステップ
    を含み、前記各ステップを実現させるためのプログラム
    を記録する請求項１７に記載のコンピュータ読みとり可
    能な記憶媒体。
JP00791999A 1999-01-14 1999-01-14 プログラム検査システムとプログラム検査方法並びにその記憶媒体 Expired - Fee Related JP3360635B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP00791999A JP3360635B2 (ja) 1999-01-14 1999-01-14 プログラム検査システムとプログラム検査方法並びにその記憶媒体
US09/482,096 US6772410B1 (en) 1999-01-14 2000-01-13 Program verifying system, program verifying method, and storage medium for storing software of program verifying method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP00791999A JP3360635B2 (ja) 1999-01-14 1999-01-14 プログラム検査システムとプログラム検査方法並びにその記憶媒体

Publications (2)

Publication Number Publication Date
JP2000207242A JP2000207242A (ja) 2000-07-28
JP3360635B2 true JP3360635B2 (ja) 2002-12-24

Family

ID=11678947

Family Applications (1)

Application Number Title Priority Date Filing Date
JP00791999A Expired - Fee Related JP3360635B2 (ja) 1999-01-14 1999-01-14 プログラム検査システムとプログラム検査方法並びにその記憶媒体

Country Status (2)

Country Link
US (1) US6772410B1 (ja)
JP (1) JP3360635B2 (ja)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020062476A1 (en) * 2000-07-14 2002-05-23 Saxe James Benjamin Case-reduced verification condition generation system and method by use of dynamic single assumption and assigning labels to variables at control join points
US20030154266A1 (en) * 2000-09-01 2003-08-14 Mark Bobick Server system and method for discovering digital assets in enterprise information systems
US6880149B2 (en) * 2002-04-01 2005-04-12 Pace Anti-Piracy Method for runtime code integrity validation using code block checksums
US7181733B2 (en) * 2003-01-16 2007-02-20 Sun Microsystems, Inc. Method and apparatus for detecting an overflow condition in a kernel stack during operating system development
US7617531B1 (en) * 2004-02-18 2009-11-10 Citrix Systems, Inc. Inferencing data types of message components
TWI305323B (en) * 2004-08-23 2009-01-11 Faraday Tech Corp Method for verification branch prediction mechanisms and readable recording medium for storing program thereof
US8578347B1 (en) * 2006-12-28 2013-11-05 The Mathworks, Inc. Determining stack usage of generated code from a model
US7624131B2 (en) * 2007-01-18 2009-11-24 Microsoft Corporation Type restriction and mapping for partial materialization
US9027003B2 (en) * 2008-03-31 2015-05-05 Vmware, Inc. Precise branch counting in virtualization systems
US8499297B2 (en) 2008-10-28 2013-07-30 Vmware, Inc. Low overhead fault tolerance through hybrid checkpointing and replay
US8875115B2 (en) * 2008-11-29 2014-10-28 International Business Machines Corporation Type merging technique to reduce class loading during Java verification
CN109815136B (zh) * 2019-01-02 2022-03-29 腾讯科技（武汉）有限公司 一种业务运营的数据处理方法和装置

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE69217228T2 (de) 1991-08-07 1997-08-21 Unisys Corp Verfahren zum aufstellen von multi-objekt-bedingungen in dateien
JPH05143301A (ja) 1991-11-19 1993-06-11 Toshiba Corp ソフトウエア開発支援システム
US5748964A (en) * 1994-12-20 1998-05-05 Sun Microsystems, Inc. Bytecode program interpreter apparatus and method with pre-verification of data type restrictions
US5668999A (en) * 1994-12-20 1997-09-16 Sun Microsystems, Inc. System and method for pre-verification of stack usage in bytecode program loops
US6067575A (en) * 1995-12-08 2000-05-23 Sun Microsystems, Inc. System and method for generating trusted, architecture specific, compiled versions of architecture neutral programs

Also Published As

Publication number Publication date
JP2000207242A (ja) 2000-07-28
US6772410B1 (en) 2004-08-03

Similar Documents

Publication Publication Date Title
US7784044B2 (en) Patching of in-use functions on a running computer system
US10866813B2 (en) Linking virtualized application namespaces at runtime
JP6177179B2 (ja) エラーハンドリングをもつトランザクションのグラフ型計算
Abdulla et al. An integrated specification and verification technique for highly concurrent data structures
Krishnamurthi et al. Verifying aspect advice modularly
JP3360635B2 (ja) プログラム検査システムとプログラム検査方法並びにその記憶媒体
EP0718764B1 (en) Bytecode program interpreter apparatus and method with pre-verification of data type restrictions
US8930884B2 (en) Efficient extraction of software dependencies from program code
WO1996012224A1 (en) Method and apparatus for testing object-oriented programming constructs
Artho et al. Combined static and dynamic analysis
WO2005031569A1 (en) Systems and methods for dynamically linking application software into a running operating system kernel
Tsai et al. Testing extensible design patterns in object-oriented frameworks through scenario templates
Chajed et al. Certifying a file system using crash hoare logic: correctness in the presence of crashes
Derrick et al. Verifying correctness of persistent concurrent data structures: a sound and complete method
US7603388B2 (en) Representing file data using virtual hierarchy
US20080295079A1 (en) System and Method for Verifying and Testing System Requirements
Musuvathi et al. Partial-order reduction for context-bounded state exploration
Kokologiannakis et al. Dynamic partial order reductions for spinloops
Atig et al. Context-bounded analysis of TSO systems
Elmas et al. Precise race detection and efficient model checking using locksets
Tasiran et al. Location pairs: a test coverage metric for shared-memory concurrent programs
Yuan et al. Verified functional programming of an IoT operating system's bootloader
Sistla et al. CMV: Automatic verification of complete mediation for Java Virtual Machines
US11334627B2 (en) Data processing
Fasse et al. Modular termination verification with a higher-order concurrent separation logic (Intermediate report)

Legal Events

Date Code Title Description
FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20071018

Year of fee payment: 5

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20081018

Year of fee payment: 6

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20091018

Year of fee payment: 7

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20091018

Year of fee payment: 7

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20101018

Year of fee payment: 8

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20111018

Year of fee payment: 9

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20121018

Year of fee payment: 10

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20131018

Year of fee payment: 11

LAPS Cancellation because of no payment of annual fees