JPH04111138A - ソフトウェア障害検出方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔概　　要〕 共通サブルーチンを使用するソフトウェアモジュールの
実行により発生するソフトウェア障害を早期に検出可能
なソフトウェア障害検出方式に関し、 共通サブルーチンを使用するソフトウェアシステムにお
いて、ソフトウェアのメモリ容量を増大することな（、
安価なコストでソフトウェア開発者が予期しなかった命
令シーケンスの実行を詳細に検出できるようにすること
を目的とし、複数のプログラムの各命令に対応じて設定
された少なくとも１つの識別番号を含む識別番号情報を
記憶する記憶手段と、プロセッサにより前回実行された
命令に対応する前記識別番号情報を一時記憶する第１の
保持手段と、プロセッサにより今回実行される命令に対
応する前記識別番号情報を一時記憶する第２の保持手段
と、プロセンサにより前記命令が実行される毎に、前記
第１の保持手段に記憶されている識別番号情報に含まれ
る当該識別番号と前記第２の保持手段に記憶されている
識別番号情報に含まれる当該識別番号とを比較して、そ
れらの識別番号の関係が所定の許容条件を満足している
か否かを判別することによりプロセッサによる不正な命
令の実行を検出する検出手段と、該検出手段の検出結果
をプロセッサに通知する通知手段と、を具備するように
構成する。

〔産業上の利用分野］ 本発明は、電子計算機におけるソフトウェア障害を検出
するソフトウェア障害検出装置に係わり、特に共通サブ
ルーチンを使用するソフトウェアモジュールの実行によ
り発生するソフトウェア障害を早期に検出可能なソフト
ウェア障害検出方式に関する。

公知のノイマン型計算機は、プロセッサ（ＣＰＵ）が、
メモリに格納されているプログラムの命令を逐次読み出
すことにより各種処理を行うが、ソフトウェア（プログ
ラム）自身の誤りや、ハードウェア障害等により予定し
ていない命令を実行する場合がある。この場合、プロセ
ッサは全く予期できない命令シーケンスを実行すること
になり、その結果として正常な処理は実行不能となる。

このような電子計算機のソフトウェア障害は、処理実行
中において無限ループ、不正なメモリアクセスによるデ
ータ破壊、さらにはシステムダウン等の様々な現象とな
って現れる。したがって、ソフトウェア開発者が予期し
なかった命令が実行される現象（以下、暴走と表現する
）を可能な限り早期に検出し直ちに処理を中止させるこ
とは、ソフトウェア障害の原因を調査したり、上記障害
に起因する問題発生を防止する観点から非常に重要であ
る。

［従来の技術］ 従来上記のようなソフトウェア障害を検出する方式とし
て、以下に示す■〜■のような各種方式が行われている
。

■ウォッチドッグタイマ タイマ（ウォッチドッグタイマ）と、このタイマがタイ
ムアウトするとプロセッサに割り込み（タイマ割込み）
をかける回路を設ける。そしてソフトウェア（プログラ
ム）の所々に、このソフトウェアが正常に動作している
限り上記タイマのタイムアウトが発生しないように上記
タイマをリセットする命令（タイマリセント命令）を埋
め込んでおく。この場合、ソフトウェアが暴走すると（
例えば、無限ループ）、上記タイマリセット命令が実行
されなくなり、タイマからプロセッサに上記タイムアウ
ト割込みが加わるので、プロセッサは、ソフトウェア異
常の発生を検出できる。

■カウンタを　いた　工゛ 例えば、特開昭６１−１８０４５号公報のように、ソフ
トウェア実行前にソフトウェアの命令実行数あるいは実
行時間の期待値をカウンタに設定しておき、ソフトウェ
ア実行中にハードウェアによってカウンタをカウントし
、カウンタがカウントアウトしたときは、ソフトウェア
が予期しない動作をしたとみなす方式。

■メモリプロテクト ソフトウェアのメモリへのアクセスを監視するハードウ
ェアを設ける。

あるソフトウェアが動作するときは、予めそのソフトウ
ェアがアクセスする予定のプログラム領域とデータ領域
のみアクセスできるようなハードウェアを設けておき、
ソフトウェア実行中に障害が発生して予定以外のメモリ
領域をアクセスしようとすると、メモリ監視ハードウェ
アがプロセッサに割り込みをかけ異常を通知する。

■プログラムの　４コードとオペランドの例えば、特開
昭６１−４５３４０号の「暴走監視方式」のように、ソ
フトウェア（プログラム）の各命令データ毎に命令コー
ドとオペランドを識別するデータを付加しておき、ソフ
トウェアが暴走してオペランドを命令コードとして実行
しようとしたとき、これを検出することにより異常を検
出する。

■ソフトウェア　１− 例えば、特開昭６３−２１４３８９号の「プログラム暴
走防止装置」のように、各ソフトウェア毎にソフトウェ
ア識別番号を規定しておき、この識別番号を設定してお
くレジスタと、ソフトウェアが実行中に自識別番号を設
定するレジスタを設けておく。

そして、常時上記２つのレジスタの内容を比較すること
により予期したソフトウェア以外のソフトウェア動作を
検出する。

しかしながら、上記■〜■の方式は、以下に示すような
問題を有している。

［有］９フ■い吋１１点 この方式は、ソフトウェア障害によって例えば無限ルー
プに陥った場合の障害検出を簡単なハードウェアで実現
できるという利点を有する。

しかしながら、障害発生後に、たまたま前記タイマリセ
ット命令を実行する命令シーケンスに入った場合には、
障害検出は不可能である。また、本来の処理に不要な前
記タイマリセット命令をプログラム内の適宜な箇所に埋
め込む必要があるため、ソフトウェア開発の手間が煩雑
になると共に、実行速度が遅くなる。また、ソフトウェ
アのメモリ容量が増加する等の問題もある。

；■方式■Ｕ立 前記カウンタに設定すべき命令実行数あるいは実行時間
の期待値を予め決定するのが困難である。

またソフトウェアが暴走しても、前記カウンタがカウン
トアウトするまでは暴走の検出ができないため、暴走を
即座に検出できない等の問題がある。

つ迎ブ■いパ叩じ嘉 この方式は、大型計算機などで用いられており、非常に
有効であるが、前記メモリ監視ハードウェアのコストが
高いという問題がある。また、障害が発生しても不当な
メモリ領域のみをアクセスした場合には、障害を検出で
きないという問題がある。

Ω９フ■い旧ｌじ嘉 この方式は、命令語長が固定長でないプロセンサにおい
ては、暴走の結果、メモリ上の命令境界の途中に制御が
移る場合があるので、上記アーキテクチャのプロセッサ
には有効である。しかし、偶然命令境界へ制御が移った
場合には、例えそれが暴走の結果であっても異常を検出
できないという問題がある。

Ｄ瞑ブ■い凶１１点 この方式は、ソフトウェアの識別を検査することにより
、暴走の結果予期しないソフトウェアを実行した場合の
障害検出が可能となるので、上記■、■の方式よりも優
れている。また、上記■の方式よりも安価なコストで実
現できる。さらに、ソフトウェアの各モジュール単位で
障害検出が可能であるため、上記■の方式よりも詳細な
障害検出が可能である。しかし、障害が発生しても、た
またま同じ識別番号のソフトウェアを実行した場合や無
限ループの場合には、障害を検出できないという問題が
ある。さらに、共通サブルーチンのように複数のソフト
ウェアモジュールから実行されるソフトウェア（プログ
ラム）を有するシステムには対応できないという問題が
ある。

ところで、上記■の方式の上記問題点の一部は、上記他
の方式を適当に組み合わせることによって改善可能であ
る。例えば、上記■と■の方式を組み合わせることによ
り、ソフトウェアが無限ループに陥った場合の障害検出
も可能となる。しかしながら、共通サブルーチンを使用
するソフトウェアへの適用は困難であるという問題は依
然残る。

共通サブルーチンは、何らかの定型的な処理を行うソフ
トウェアであり、複数のソフトウェアモジュール（主プ
ログラム）がサブルーチンコールにより呼び出すことが
できる。この共通サブルーチンを使用する利点は、定型
的な処理が大きなソフトウェアで実現されており、この
処理が多くのソフトウェアモジュールから呼び出される
場合、この処理を必要とする全てのソフトウェアモジュ
ールに上記該当ソフトウェアを組み込むよりも、共通サ
ブルーチンとして、上記全てのソフトウェアモジュール
が共有した方がソフトウェアの容量（ステップ数、メモ
リ量）を削減でき、また開発期間も短縮できる。

〔発明が解決しようとする課題〕

前記■ウォッチドッグタイマ、■カウンタ、■メモリプ
ロテクト、■命令コードとオペランドの識別による方式
は、共通サブルーチンを使用したシステムでも上記特性
は有効であるが、上述した問題点は解消されない。

また、■ソフトウェア識別番号による方式は、共通サブ
ルーチンを使用する場合、次のような問題がある。

すなわち、共通サブルーチンを呼び出すソフトウェアモ
ジュールが複数存在する場合、共通サブルーチンにソフ
トウェア識別番号を与えることができない。これは共通
サブルーチンがモジュールＡから呼び出されたときは、
モジュールＡのソフトウェアとして動作し、モジュール
Ｂから呼び出されたときは、モジュールＢのソフトウェ
アとして動作しなければならないために発生する問題で
ある。

この問題を前記■の方式で解決するためには、共通サブ
ルーチンを使用せず、各ソフトウェアモジュール毎に、
上記共通サブルーチンと同等の機能を有する処理プログ
ラムを組み込む必要があり、その結果としてソフトウェ
ア量の削減ができないという問題が発生する。これは、
ソフトウェアを格納するメモリ容量が制限される環境（
制御機器等のソフトウェア）では深刻な問題となる。

本発明は、共通サブルーチンを使用するソフトウェアシ
ステムにおいて、ソフトウェアのメモリ容量を増大する
ことなく、安価なコストでソフトウェア開発者が予期し
なかった命令シーケンスの実行を詳細に検出できるよう
にすることである。

１課題を解決するための手段］ 第１図は本発明の原理説明図である。

記憶手段２は、複数のプログラムｌの各命令１ａに対応
じて設定された少なくとも１つの識別番号を含む識別番
号情報２ａを記憶する手段であり、例えばＲＡＭ　（ラ
ンダム・アクセス・メモリ）等の半導体メモリから成る
。

第１の保持手段３は、プロセッサ７により前回実行され
た命令１ａに対応する前記識別番号情報２ａを一時記憶
する手段であり、例えばフリップフロップ等から成る。

第２の保持手段４は、プロセッサ７により今回実行され
る命令１ａに対応する識別番号情報２ａを一時記憶する
手段であり、例えばフリップフロップ等から成る。

検出手段５は、プロセッサ７により前記命令１ａが実行
される毎に、前記第１の保持手段３に記憶されている識
別番号情報２ａに含まれる当該識別番号と前記第２の保
持手段３に記憶されている識別番号情報２ａに含まれる
当該識別番号とを比較して、それらの識別番号の関係が
所定の許容条件を満足しているか否かを判別することに
よりプロセッサ７による不正な命令１ａの実行を検出す
る手段であり、例えば比較回路やマルチプレクサ等から
成る。

通知手段６は、検出手段５の検出結果をプロセッサ７に
通知する手段であり、例えばＡＮＤ回路、フリップフロ
ップ等から成る。

前記検出手段５は、例えば前記比較する２つの識別番号
の差分が、予め定められた所定値以下であるか否かを判
別することによって、プロセッサ７の不正な命令１ａの
実行を検出する。あるいは、また、前記比較する２つの
識別番号のハミング距離が、予め定められた所定のハミ
ング距離以下であるか否かを判別することによって、プ
ロセッサ７の不正な命令１ａの実行を検出する。

ところで、識別番号２ａが、例えば請求項４記載のよう
に前記２つの識別番号の比較を禁止する比較禁止識別番
号を含んでいる場合、前記通知手段６は、この比較禁止
識別番号が前記第１の保持手段３に記憶されているとき
は前記検出手段５の検出結果を前記プロセッサ７に通知
しない。また、前記識別番号情報２ａが、例えば請求項
５記載のように複数のプログラム１に対応する複数の識
別番号が設定される複数の部分に区分されている場合、
検出手段５は、プロセッサ７により実行されるプログラ
ム１に応じて前記識別番号情報２ａから当該識別番号を
読み出して比較を行う。

識別番号情報２ａを、上述した請求項５記載のようにし
た場合、上記各手段を以下に示すようにしてもよい。

まず、請求項６記載のように、前記検出手段５を、プロ
セッサ７が実行する命令１ａのメモリ上に格納アドレス
によって識別番号情報２ａから識別番号を取り出して比
較を行うようにしてもよい。

また、請求項７記載のように、識別番号情報２ａに比較
すべき識別番号が設定されている前記識別番号情報の部
分を特定する特定情報を含ませるようにして、検査手段
５が識別番号情報２ａのその特定情報により特定される
部分から比較すべき当該識別番号を取り出して比較を行
うようにしてもよい。

さらには、請求項８記載のように識別番号情報２ａとし
て複数のプログラム１に対応する複数の識別番号が設定
される複数の部分に区分される第１の情報と比較すべき
識別番号を指定する第２の情報との２種類の情報を用意
し、前記検出手段５を、前記第２の保持手段４に前記第
２の情報が記憶されていたときは、以後のプロセッサ７
の命令１ａの実行においては、その第２の情報により指
定されるフィールドに設定された識別番号の比較を行う
ようにしてもよい。この場合、前記第２の情報を、例え
ば前記第１の情報の比較すべき識別番号以外の識別番号
をマスクするマスクデータを含む構成（フォーマット）
としてもよい。

〔作　　用〕

本発明によれば、まず記憶手段２に、プロセッサ７が実
行する複数のプログラム１の各命令１ａに対応する少な
くとも１つの識別番号を含む識別番号情報２ａが格納さ
れる。そして、プロセッサ７がプログラム１の命令１ａ
を実行する毎に、第２の保持手段４に格納されていたプ
ロセンサ７により前回実行された命令１ａに対応する識
別番号情報２ａが第１の保持手段３に転送され記憶され
ると共に、プロセッサ７により今回実行される命令１ａ
に対応する識別番号情報２ａが記憶手段２から読み出さ
れ第２の保持手段４に格納される。

続いて、検出手段５が第１の保持手段３に格納されてい
る識別番号情報２ａに含まれる当該識別番号と第２の保
持手段４に格納されている識別番号情報２ａに含まれて
いる当該識別番号との比較を行い、それらの識別番号の
関係が所定の許容条件を満足しているかを判別すること
により、プロセッサ７による不正な命令１ａの実行を検
出する。

この場合、各独立したプログラム１には、個別の固有の
識別番号を割り当てる。そして、複数のプログラム１（
以後、ソフトウェアモジュールと表現する）から呼び出
されるプログラム１（以後、共通サブルーチン）に割り
当てる識別番号とその共通サブルーチンを呼び出すソフ
トウェアモジュールの識別番号との間には、所定の条件
が満足される識別番号を割り当てる。この所定の条件と
しては、上記２つのプログラム１に割り当てられる識別
番号の差分が所定値以下となること、またはそれらの識
別番号間のハミング距離が所定値以下となること等が該
当する。

したがって、上記各所定の条件が満足されるように、共
通サブルーチンとその共通サブルーチンを呼び出すソフ
トウェアモジュール（メインプログラム）とに対して予
め適切な固有の識別番号を割り当てておくことにより、
検査手段５は、各ソフトウェアモジュールや共通サブル
ーチンの各プログラム１単位での暴走（予期しない命令
の実行）等のソフトウェア障害の発生を検出できるのみ
ならず、任意のソフトウェアモジュールが任意の共通サ
ブルーチンを呼び出した場合でもソフトウェア障害を正
しく検出できる。

特に、ハミング距離による検出は、差分を用いた検出よ
りも回路が簡単になると共に、１つの共通サブルーチン
が多数のソフトウェアモジュールから呼び出されたり、
１つのソフトウェアモジュールが多数のソフトウェアモ
ジュールもくしは共通サブルーチンを呼び出す場合等の
ように差分による比較が困難な場合にも、柔軟に対処で
きるという利点を有している。

また、請求項４記載のように、上記２つの識別番号の比
較を禁止する比較禁止識別番号を設け、この比較禁止識
別番号が前記第１の保持手段３に格納されているときに
は、通知手段６が比較結果をプロセッサに通知すること
を禁止するようにすれば、オペレーティングシステムの
ソフトウェアモジュールを管理するソフトウェアが、ア
プリケーションのソフトウェアモジュールを起動する際
に識別番号の比較異常が発生する事態を防止するなど、
識別番号の比較異常が予め予期されている場合等のよう
に、正常な動作が行われたにもかかわらず、比較異常が
発生する場合に、不要なソフトウェア障害の通知が行わ
れることを防止できる。

さらに、ソフトウェアモジュールが共通サブルーチンを
呼び出す場合に最適な識別番号情報２ａとして、請求項
５記載のように、識別番号情報２ａに複数の識別番号を
含ませる方式（以後、フィールド分割方式と表現する）
が考えられる。この場合、共通サブルーチンの識別番号
とその共通サブルーチンを呼び出すソフトウェアモジュ
ール（以後、メインプログラムと表現する）の識別番号
とを１つの識別番号情報２ａに持たせることができるの
で、ソフトウェアモジュールの実行時と共通サブルーチ
ンの実行時とで、識別番号情報２ａから取り出す識別番
号を切り換えることにより、各プログラム（ソフトウェ
アモジュール、共通サブルーチン）単位でのソフトウェ
ア障害の発生を正しく検出できると共に、メイン・プロ
グラムが共通サブルーチンを呼び出す場合でも、共通サ
ブルーチン内でのソフトウェア障害の発生を検出できる
。

尚、このフィールド分割方式の場合、共通サブルーチン
から復帰後のメイン・プログラムの最初の命令１ａでの
識別番号の検査には注意が必要である。すなわち、共通
サブルーチンは複数のソフトウェアモジュールから呼び
出されているため、共通サブルーチンの復帰命令に対応
する識別番号情報２ａのメイン・プログラムに対応する
識別番号は特定化できない。このため、共通サブルーチ
ンから復帰後のメイン・プログラムの最初の命令１ａで
の識別番号の検査においては、共通サブルーチンの識別
番号で行うか、または識別番号の検査を禁止するかのい
ずれかの方法をとらなければならない。

次に、上記フィールド分割方式において、検査手段５に
より比較を行う識別番号の選択は、例えば請求項６記載
のように識別番号の比較を行う命令１ａのメモリ上の格
納アドレスによって決定する。

この場合、プロセッサ７が出力するアドレス信号をデコ
ードすることによって当該識別番号を選択するための選
択信号を得るようにしてもよい（方法ａ）。但し、この
方式の場合、命令１ａの格納アドレスによって識別番号
の選択が一意的に決定されるため、共通サブルーチンの
メイン・プログラムへの復帰命令１ａに対応する識別番
号情報２ａのメイン・プログラムに対応する識別番号と
して前記比較禁止識別番号を設定しておく必要がある。

また、請求項７記載のように、比較すべき識別番号の設
定されている識別番号情報２ａの部分（フィールド）を
特定する特定情報を設け、検査手段５が識別番号情報２
ａのその特定情報により特定される部分から比較すべき
当該識別番号を取り出して、当該識別番号同士を比較す
るようにしてもよい（方式ｂ）。この方式の場合、命令
１ａ単位で当該識別番号を特定（指定）できるため、上
記共通サブルーチンから復帰した後のメイン・プログラ
ムの最初の命令１ａに対応する識別番号情報で共通サブ
ルーチンに対応する識別番号を特定しておくことにより
、上述した共通サブルーチン復帰時のメイン・プログラ
ムの最初の命令１ａの実行においても正しく識別番号の
比較を行うことができ、上記方式ａのように識別番号の
比較を禁止する必要はない。

さらに、請求項８記載のように、識別番号情報２ａとし
て、前記第１の情報と前記第２の情報の２種類の情報を
設けるようにした場合には（方法ｃ）、ソフトウェアモ
ジュールであるプログラム１の最初の命令１ａに対応す
る識別番号情報２ａをそのプログラム１に対応する識別
番号のみ比較するよう指定する上記第２の情報とし、２
番目以降の命令１ａに対応する識別番号情報２ａをその
プログラム１に割当られた識別番号とそのプログラム１
が呼び出す共通サブルーチンに割り当てられた識別番号
が当該部分（当該フィールド）に設定される第１の情報
としておく。また、上記プログラム１が呼び出す共通サ
ブルーチンの最初の命令１ａに対応する識別番号情報２
ａをその共通サブルーチンを指定する上記第２の情報と
し、２番目以降の命令１ａに対応する識別番号情報２ａ
をその共通サブルーチンに割り当てられた識別番号が当
該部分に設定される第１の情報に、更にその共通サブル
ーチンの最後の命令１ａである復帰命令に対応する識別
番号情報２ａとして、上記プログラム１に対応する識別
番号のみを比較するよう指定する上記第２の情報を設定
する。

このことにより検査手段５は、プロセッサ７が上記プロ
グラム１の命令１ａを実行している間は、そのプログラ
ム１に対応する識別番号同士を比較し、共通サブルーチ
ンの呼び出しが行われるとプロセッサ７の共通サブルー
チンの最初の命令１ａの実行時に、共通サブルーチンに
対応する識別番号の比較を行うように切り換え、共通サ
ブルーチンの２番目以降の命令１ａでは、その共通サブ
ルーチンに対応する識別番号の比較を行う。そして、共
通サブルーチンの最後の命令１ａである復帰命令がプロ
セッサ７により実行される時に、上記プログラム１に対
応する識別番号の比較を行うように切り換え、上記プロ
グラム１の復帰後の命令１ａ以降の実行においては、プ
ログラム１に対応する識別番号の比較を行う。尚、検査
手段５は、上記第２の情報が第２の保持手段４に設定さ
れた場合には、第１の保持手段３に記憶されている識別
番号情報２ａの当該識別番号と第２の保持手段４に記憶
されている識別番号情報２ａの当該識別番号との比較は
行わないようにする。

このように識別番号情報２ａとして、上記第１の情報と
上記第２の情報の２個の情報を用いるようにした場合、
前記方式すのように全ての識別番号情報２ａに比較すべ
き識別番号を特定する特定情報を付加する必要がなくな
るので、１つの識別番号情報２ａに含まれる識別番号の
種類が多くなる場合、識別番号情報２ａを格納するメモ
リ容量を小さ（できる。

また、上記第２の情報として請求項９記載のように、前
記第１の情報の比較すべき識別番号以外の識別番号をマ
スクするマスクデータを用いるようにすれば（方式ｄ）
、第１の情報と第２の情報との論理積をとることにより
第１の情報の検査手段５が比較すべき識別番号の選択を
上記論理積により同時に行えるので、２つの当該識別番
号を比較する比較回路を少なくできるという利点がある
。

［実　　施　　例］ 以下、図面を参照しながら本発明の詳細な説明する。

第２図は、本発明の一実施例である計算機１００の本発
明の要部に対応する回路のブロンク図である。

同図において、プログラムメモリ１０１は、ソフトウェ
アであるプログラムの各命令１０１ａを個別のアドレス
に記憶しているメモリであり、例えばＲＯＭ　（リード
・オンリ・メモリ）、ＲＡＭ（ランダム・アクセス・メ
モリ）等から成る。

また、識別番号メモリ１０２は、上記プログラムメモリ
１０１に格納されているプログラムの各命令１０１ａに
１対１に対応じて割り当てられた識別番号情報１０２ａ
を、個別のアドレスに上記各命令１０１ａに１対１に対
応じて記憶しているメモリであり、例えばＲＯＭ　（リ
ード・オンリ・メモリ）、ＲＡＭ（ランダム・アクセス
・メモリ）等から成る。上記識別番号情報１０２ａには
、通常の識別番号情報１０２ａ−１と比較禁止識別番号
情報１０２ａ−２との２種類があり、後述するように通
常識別番号情報１０２ａ−１の場合には、２つの識別番
号情報１０２ａの比較が行われるが、比較禁止識別番号
情報１０２ａ−２の場合には、２つの識別番号情報１０
２ａの比較は無効となる。

次に、プロセッサ１０３は、上記プログラムメモリ１０
１に格納されている命令１０１ａを１ワードづつ読み出
して実行する処理装置である。

さらに、レジスタＡは、上記プロセッサが１回前（前回
）に実行した命令１０１ａに対応する識別番号情報１０
２ａを格納するレジスタである。

また、レジスタＢは、プロセッサが現在（今回）実行す
る命令１０１ａに対応する識別番号情報１０２ａを格納
するレジスタである。

比較・比較禁止回路１０４は、上記レジスタＡ、レジス
タＢに格納されている識別番号情報１０２ａ、１０２ａ
を比較すると共に、レジスタＡ、レジスタＢに格納され
ている比較禁止識別番号情報１０２ａ−２が格納されて
いるか否かを判別する。

そして、その比較禁止識別番号情報１０２ａ−２が格納
されていなければ、上記比較結果（正常（一致）、異常
（不一致）を示す比較結果信号ａをプロセッサ１０３に
出力する。この場合、上記比較結果が異常（レジスタＡ
、Ｂに格納されている識別番号情報１０２ａが所定の比
較条件に合致しない）であれば、割り込みにより比較結
果が異常である旨の通知を上記比較結果信号ａにより行
うが、上記レジスタＡまたはレジスタＢに比較禁止識別
番号情報１０２ａ−２が格納されていれば、比較結果が
異常の場合でもプロセッサ１０３への割り込みを抑止す
る回路である。

アドレスバス１０５は、プロセッサ１０３がプログラム
メモリ１０１から命令１０１ａを読み出す際、メモリア
ドレスを指定するための信号線であり、プロセッサ１０
２が出力するアドレス信号はこのアドレスバス１０５を
介して識別番号メモリ１０２へも与えられる。

また、データバス１０６は、プロセンサ１０３がプログ
ラムメモリ１０１から命令１０１ａを読み出すための信
号線である。

さらに、識別番号ハス１０７は、プロセ、す１０３が、
アドレスバス１０５を介して識別番号メモリ１０２にア
ドレス信号を加えることにより識別番号メモリ１０２か
ら読み出される識別番号情報１０２ａをレジスタＢに転
送するためのハスである。

そして、レジスタハス１０８は、レジスタＢに格納され
ている識別番号情報１０２ａをレジスタＡへ転送するた
めのバスである。

次に、前記比較・比較禁止回路１０４の一実施例を第３
図に示す。

同図において比較回路２０１は、レジスタＡに格納され
ている識別番号情報１０２ａとレジスタＢに格納されて
いる識別番号情報１０２ａとを比較し、所定の比較方式
で定める比較条件に合致する場合は［ＯＪ　　（Ｌｏｌ
、Ｉ）を、合致しない場合には’　Ｉ　Ｊ　　（ｌ（ｉ
ｇｈ）を出力する回路である。

比較禁止回路２０２は、上記比較回路２０１と並行して
レジスタＡまたはレジスタＢに格納されている識別番号
情報１０２ａが、予め定められた比較禁止識別番号情報
１０２ａ−２であるか否か判定し、少なくともどちらか
一方のレジスタに格納されている識別番号情報１０２ａ
が上記比較禁止識別番号情報１０２ａ−２であれば「０
Ｊ（ＬＯのを出力し、それ以外の場合は’　Ｉ　Ｊ　　
（Ｈｉｇｈ）を出力する。

ＡＮＤ回路２０３は、上記比較回路２０１の出力と上記
比較禁止回路２０２の出力との論理積をとることにより
、上記比較禁止回路２０２から「ＯＪ　　（Ｌｏｗ）が
出力された場合（レジスタＡまたはレジスタＢの少なく
とも一方のレジスタに比較禁止識別番号情報１０２ａ−
２が格納されている場合）に、比較回路２０１から出力
される比較結果の出力を抑止するアンドゲートである。

ＦＦ２０４は、上記ＡＮＤ回路２０３の出力をラッチし
、そのラッチした信号を比較結果信号ａとしてプロセン
サ１０３に出力するフリップフロップであり、ＡＮＤ回
路２０３の出力が確定した時点でプロセッサ１０３に出
力する比較結果信号ａを確定する。

制御回路２０５は、プロセンサ１０３が命令１０１ａを
読み出すためにプログラムメモリ１０１をアクセスする
タイミングに応じて、レジスタＢの識別番号１０２ａの
ランチ、レジスタＢに格納されている識別番号１０２ａ
のレジスタＡへの格納、比較回路２０１の動作制御、及
びＦＦ２０４のラッチタイミングの制御を行う回路であ
る。

次に、上記構成の実施例の動作を第４図の制御フローを
示す図を参照しながら説明する。

■まず、計算機１００の立ち上げ時（電源投入時、初期
化時）において、レジスタＡ、レジスタＢには共に比較
禁止識別番号情報１０２ａ−２が格納（設定）される。

また、ＦＦ２０４は「０」に初期設定される。

■そして、プロセッサ１０３がプログラムメモＩＪ　１
０１に格納されているソフトウェア（プログラム）の実
行を開始し、プログラムメモＩＪ　１０１に対し最初の
命令１０２ａを読み込むアクセスを行うと、制御回路２
０５の制御によりレジスタＢの値がレジスタバス１０８
を介してレジスタＡに転送されてランチされると共に（
ＳＬ）、プログラムメモリ１０１に格納されている１番
目の命令１０１ａに対応する識別番号情報１０２が識別
番号メモリ１０２から読み出され、識別番号バス１０７
を介してレジスタＢにラッチされる（Ｓ２）。

続いて、比較回路２０１は、レジスタＡ。

Ｂに格納されている識別番号情報１０２ａ。

１０２ａを比較して、その比較結果（一致の場合は「０
」、不一致の場合は「１」）をＡＮＤゲート２０３に出
力する（３３−１）。

また、上記処理と並行して、比較禁止回路２０２は、レ
ジスタＡまたはレジスタＢに格納されている識別番号情
報１０２ａの少なくとも一方が比較禁止識別番号情報１
０２ａ−２であるか否かを判別して、その判別結果（少
なくとも一方のレジスタに比較禁止識別番号情報１０２
ａ−２が格納されていれば「０」、それ以外は「１」）
を、同じ＜ＡＮＤ回路２０３に出力する（Ｓ３−２）。

尚、上記処理５３−１と処理３３−２とをまとめて、処
理Ｓ３と表現する。

続いてＡＮＤ回路２０３は、比較回路２０１と比較禁止
回路２０２の出力との論理積をとり、その論理積の結果
をＦＦ２０４に出力する（Ｓ４）。

この場合、上述したようにレジスタＡには、レジスタＢ
に初期設定されていた比較禁止識別番号情報１０２ａ−
２が格納されているので、比較禁止回路２０２の出力は
「０」となり、ＡＮＤ回路２０３からは比較回路２０１
の出力はＦＦ２０４に出力されない。

次に、制御回路２０５は、ＡＮＤゲート２０３の出力を
ＦＦ２０４にラッチさせ、そのＦＦ２０４にラッチさせ
た信号を比較結果信号ａとしてプロセッサ１０３に出力
させる（Ｓ５）。

上述したように、ＡＮＤ回路２０３に対しては、比較禁
止回路２０２から「０」が出力されるので、ＦＦ２０４
には「０」がランチされる。

従って、プロセッサ１０３には「０」　（正常）の比較
結果信号ａが出力される。

このように、プロセッサ１０３が最初の命令１０１ａを
実行するときには、比較回路２０２の比較結果はプロセ
ンサ１０３に出力されない。

■次に、プロセンサ１０３が２番目の命令１０１ａを読
み出すために、プログラムメモリ１０１をアクセスする
と、上記処理ＳＬ、Ｓ２によりレジスタＡにレジスタＢ
に格納されている１番目の命令１０１ａに対応する識別
番号１０２ａがラッチされると共に、識別番号メモリ１
０２から上記２番目の命令１０１ａに対応する識別番号
１０２ａが読み出され、レジスタＢにラッチされる。そ
して、上記処理Ｓ３において、比較回路２０１がレジス
タＡ、Ｈにそれぞれ格納されている１番目の命令１０１
ａに対応する識別番号１０２ａと２番目の命令１０１ａ
に対応する識別番号１０２ａとの比較を行い、その比較
結果をＡＮＤゲート２０３に出力する。また、これと並
列して、比較禁止回路２０２は、レジスタＡもしくはレ
ジスタＢに比較禁止識別番号情報１０２ａ−２が格納さ
れているか否かを判別し、１番目の命令１０１ａと２番
目の命令１０１ａに対応する識別番号情報１０２ａが共
に比較禁止識別番号情報１０２ａ−２でなければ、「１
」をＡＮＤ回路２０３に出力する。

続いて上記処理Ｓ４．Ｓ５が行われ、レジスタＡ及びレ
ジスタＢに格納されている識別番号情報１０２ａが共に
比較禁止識別番号情報１０２ａ−２でなければ、ＡＤＮ
ゲート２０３を介してＦＦ２０４にラッチされる比較回
路２０１の比較結果が比較結果信号ａとしてプロセッサ
１０３に出力される。

上記処理Ｓ１〜Ｓ５は、プロセッサ１０３が次に実行す
る命令１０１ａをデータバス１０６を介して読み出すた
めに、プログラムメモリ１０１をアクセスする毎に繰り
返し行われる。

そして、比較回路２０１の比較結果が異常（「１」　：
連続する２つの命令１０１ａの識別番号情報１０２ａが
所定の比較条件に合致しない）であれば、割り込み等に
より比較結果が異常である旨を示す「１」の比較結果信
号ａがプロセッサ１０３に出力される。そして、プロセ
ッサ１０３は、上記異常の比較結果信号ａを入力すると
、ソフトウェア障害、すなわち予期したソフトウェアモ
ジュール以外のソフトウェアモジュールの実行が開始さ
れたものと判断し、次の命令１０１ａの実行を中止する
。

一方、比較回路２０１の比較結果が正常（レジスタＡと
レジスタＢに格納されている識別番号情報１０２ａが所
定の比較条件に合致する）であり、比較結果が正常であ
る旨を示す「０」の比較結果信号ａを入力した場合には
、プロセッサ１０３は、続いて次の命令１０１ａを読み
出すために、プログラムメモリ１０１を再びアクセスす
る。

以上のようにして、プロセッサ１０３がプログラムメモ
リ１０１に格納されている命令１０１ａを順次実行する
ためにプログラムメモリ１０１をアクセスする毎に、前
回実行した命令１０１ａに対応する識別番号情報１０２
ａと今回実行する命令１０１ａに対応する識別番号情報
１０２ａとが、所定の比較条件に合致しているか否かの
検出が行われ、合致していない場合には割り込み等によ
り直ちにプロセッサ１０３に比較結果の異常、すなわち
予期しないソフトウェアモジュールの実行が開始された
旨が通知される。

したがって、複数のソフトウェアモジュールの各命令１
０１ａ及び複数の共通サブルーチンの各命令１０１ａに
固有の識別番号情報１０２ａを割り当て（割り付け）で
おくことにより、任意の共通サブルーチンを呼び出した
とき、上記任意のソフトウェアモジュールの識別番号情
報１０２ａと、上記任意のソフトウェアモジュールが呼
び出した共通サブルーチンの識別番号情報１０２ａとが
比較されるので、各ソフトウェアモジュール及び各共通
サブルーチンに適宜な識別番号情報１０２ａを割り当て
（割り付け）でおくことにより、共通サブルーチンを使
用するシステムにおいても、ソフトウェア障害による暴
走が発生し予期されざるソフトウェアが実行されても、
上記２つの識別番号情報１０２ａが所定の比較条件に合
致しているか否かを検査することによりその暴走を検出
して、その暴走の実行を未然に防止することができる。

上記比較禁止番号情報１０２ａ−２は、例えば全てのビ
ットが「０」であるような番号とすることができる。こ
の場合、前記比較禁止回路２０２は、レジスタＡに格納
されている識別番号情報１０２ａの各ビットとレジスタ
Ｂに格納されている識別番号情報１０２ａの各ビットの
全ての組み合わせに対し論理積をとる回路によって実現
できる。

または、比較禁止識別番号情報１０２ａを記憶するレジ
スタを設け、予め比較禁止識別番号情報１０２ａ−２を
このレジスタに設定しておき、このレジスタの内容とレ
ジスタＡ及びレジスタＢに格納されている識別番号情報
１０２ａとを比較する回路によっても実現できる。

また、上記比較禁止識別番号情報１０２ａ−２は、オペ
レーティングシステムなどソフトウェアモジュールを管
理するソフトウェアが、ソフトウェアモジュール（プロ
セスもしくはタスク）を起動する際に識別番号情報１０
２ａの比較異常が発生するのを抑止したりする場合など
、正常なソフトウェアモジュールが実行されるにもかか
わらず識別番号の比較異常が発生することが予め予期さ
れている場合等に用いる。尚、上記のような場合、オペ
レーティングシステムの識別番号情報１０２ａと上記オ
ペレーティングシステムに起動されるソフトウェアモジ
ュールの識別番号情報１０２ａとを適当に選択し上記２
つの識別番号情報１０２ａが、前記所定の条件に合致さ
せるようにして、比較禁止識別番号情報１０２ａ−２を
用いないようにすることも可能である。

続いて、比較禁止識別番号情報１０２ａ−２が全てのビ
ットが「０」である番号情報であると仮定して、比較回
路２０１の構成の複数の例を説明する。

Φ１１七−ＬＬＬ較 この方式は、前回の命令１０１ａに対応する識別番号情
報１０２ａの値Ｎ１と現在（今回）の識別番号情報１０
２ａの値Ｎ２との差分の絶対値Ｄ＝ｌＮ１−Ｎ２＋を求
め、その所定値りが予め定められた絶対値ＤＣ以下であ
れば「０」　（正常）を、より大きければ「ｌ」　（異
常）を出力する。

尚、上記所定値りは、必ずしも差分の絶対値とする必要
はなく差分そのものの値であってもよい。

この方式の一具体例を説明すると、例えば共通サブルー
チンの識別番号情報１０２ａが、「１０」（１０進表示
、以下同様）であり、上記絶対値ＤＣを「３」に設定し
た場合、上記共通サブルーチンの呼び出しは、識別番号
情報１０２ａが「７」。

ｒ８」、　　ｒ９」、　　’ＩＯＪ、　　ｒｌｌ」、　
　ｒｌ：）＋、　　ｒｌ３．＋であるソフトウェアモジ
ュールからのみ許可される。そして、上記のような識別
番号情報１０２ａ以外の識別番号情報１０２ａをもつソ
フトウェアモジュールから上記共通サブルーチンを呼び
出した場合には、そのソフトウェアモジュールの最初の
命令１０１ａを読み出した時点で異常が検出される。

２ハミング距　による　ゞ この方式は、比較する２個の識別番号情報１０２ａ（前
回の命令１０１ａに対応する識別番号情報１０２ａと今
回の命令１０１ａに対応する識別番号１０２ａ）のハミ
ング距離Ｈを算出し、このハミング距離Ｈが予め定めら
れた所定値ＨＣ以下であるときは「０」　（正常）を、
大きいときは「１」　（異常）を出力する方式である。

上記ハミング距離Ｈは、上記２個の識別番号情報１０２
ａを２進表示して各対応するビット同士を比較したとき
の異なっているビットの数である。

−具体例を取り上げて説明すると、例えば共通サブルー
チンの識別番号情報１０２ａがｒｌｏＩＪ「２進表示）
、上記値ＨＣが「１」であるときには、上記共通サブル
ーチンの呼び出しは、識別番号情報１０２ａが ｒｌｏｏ　Ｊ　、　　ｒｉｌｌ　　」、　　’００１　
　Ｊであるソフトウェアモジュールからのみ許可され、
それ以外のソフトウェアモジュールからの呼び出しは異
常となる。

このハミング距離Ｈによる方式は、上述した差分を用い
た方式に較べ、回路構成が簡単（単純）になるという利
点がある。

第５図は、このハミング距離Ｈによる比較を行う比較回
路の一例を示す図である。

同図において黒丸で示すのは２人力ＥＸＯＲ（Ｅｘｃｌ
ｕｓｉｖｅ　ＯＲ：イクスクルーシブＯＲ）回路３０１
．３０２，３０３であり、白丸で示すのは２人力Ａ、　
Ｎ　Ｄ回路３１１．３１２．３１３である。

尚、この例は識別番号情報１０２ａが３ピントで構成さ
れ、上記所定値ＨＣが’ＩＪに設定されている場合に通
用した例である。

レジスタＡ、Ｂは３ビツト構成となっており、ＥＸＯＲ
３０１，ＥＸＯＲ３０２、及びＥＸＯＲ３０３は、それ
ぞれレジスタＡの第１ビツトＡ。

とレジスタＢの第１ビツトＢ１、レジスタＡの第２ビツ
トＡ２とレジスタＢの第２ピントＢｚ、及びレジスタＡ
の第２ピントＡ３とレジスタＢの第３ビツトＢ３との排
他的論理和をとる回路であり、ＥＸＯＲ３０１とＥＸＯ
Ｒ３０２０：）出力がＡＮＤ回路３１１に、ＥＸＯＲ３
０２とＥＸＯＲ３０３の出力がＡＮＤ回路３１２に、そ
してＥＸＯＲ３０ＩとＥＸＯＲ３０３の出力がＡＮＤ回
路３１３に入力している。

そして、ＡＮＤ回路３１１，３１２，３１３の出力が３
人力ＯＲ回路４０１に入力し、この３人力ＯＲ回路４０
１により上記ＡＮＤ回路３１１゜３１２．３１３の出力
の論理和がとられ、その論理和の結果が比較結果として
出力される。

すなわち、レジスタＡとレジスタＢにおいてハミング距
離Ｈが「２」以上の場合には、ＥＸＯＲ３０１、ＥＸＯ
Ｒ３０２及びＥＸＯＲ３０３の内、少なくとも２つ以上
のＥＸＯＲの出力が「１」となる。この結果、ＡＮＤ回
路３１１、ＡＮＤ回路３１２及びＡＮＤ回路３１３の内
、少なくとも１つのＡＮＤ回路が「１」となる。したが
って、３入力ＯＲ回路４０１による論理和はｒｌ、とな
り、比較結果として「ｌ」　（異常）が出力される。

また、逆にハミング距離Ｈが「１」以下でれば、ＥＸＯ
Ｒ３０１，ＥＸＯＲ３０２及びＥＸＯＲ３０３の内、そ
の出力が「１」となるＥＸＯＲは１個以下である。した
がって、２人力ＡＮＤ回路３１１．３１２，３１３の出
力はいずれもｒＱ、となり、その結果として３入力回路
４０１から出力される比較結果は「０」　（正常）とな
る。

０をフィールド　　　る この方式は、識別番号情報１０２ａをいくつかの部分（
以下、フィールドと表現する）に分割し、その分割した
フィールドにソフトウェアモジュールや共通サブルーチ
ン等に予め割り当てられた識別番号を格納することによ
り、異なる複数のソフトウェアモジュールが同一の共通
サブルーチンを実行しても予期しない命令の実行を検出
可能とするものである。

ここでは、識別番号情報１０２ａが第６図に示すように
フィールドＦ１、フィールドＦ２の２つのフィールドか
ら構成される例を取り上げて説明する。

上記フィールドＦ、にはソフトウェアモジュールの識別
番号を格納し、フィールドＦ２には上記ソフトウェアモ
ジュールが使用する共通サブルーチンの識別番号を格納
しておく。そして、ソフトウェアモジュールが実行され
るときはフィールドＦ１のみ比較検査し、共通サブルー
チンに実行が移行したときは、フィールドＦ２のみを比
較検査するようにする。このことにより、異なる複数の
ソフトウェアモジュールが同一の共通サブルーチンを実
行する場合でも、予期しない命令の実行を検出すること
ができる。

例えば、ソフトウェアモジュールＡのモジュール識別番
号がＭＡ、ソフトウェアモジュールＢの識別番号がＭＢ
であり、それらのソフトウェアモジュールが識別番号Ｓ
１の同一共通サブルーチンを呼び出すとすれば、 （Ｃ）　　フィールドＦ２の識別番号が格納されている
。

となる。

ところで、この方式の場合、共通サブルーチンの呼び出
し命令（ＣＡＬＬ）の近傍の命令の検査では注意が必要
である。これは共通サブルーチンが複数のソフトウェア
モジュールから呼び出されるため、メイン・プログラム
の復帰命令（ＲＥＴ）に対応するフィールドＦ１の識別
番号を特定化することができないためである。

このことについて、第７図を参照しながら説明する。

同図に示すように、ソフトウェアモジュールＡがｒＣＡ
ＬＬ　　ＸＪのステートメントで共通サブルーチンＸを
呼び出し、共通サブルーチンＸの実行に移行した場合に
は、それまでのフィールドＦ１の検査からフィールドＦ
２の検査に切り換わる。

この場合には、ＣＡＬＬ命令に対応する識別番号として
フィールドＦｌにソフトウェアモジュールの識別番号を
フィールドＦ２の識別番号に共通サブルーチンの識別番
号を設定することにより、正しい識別番号の検査を行う
ことができる。共通サブルーチンの呼び出し側では、フ
ィールドＦ２の識別番号をその呼び出す共通サブルーチ
ンの識別番号に特定化できるからである。

また、共通サブルーチンＸのＲＥＴ命令によってメイン
・プログラムであるソフトウェアモジュールＡの命令Ｃ
に復帰したときには、上記ＲＥＴ命令に対応するフィー
ルドＦ１に上記メイン・プログラムの識別番号が設定さ
れていないので（換言すれば上述したように特定できな
いために設定できないので）、共通サブルーチンから復
帰後のメイン・プログラムの最初の命令Ｃにおける識別
番号の検査はフィールドＦ２に設定された識別番号によ
り行う必要がある（この場合、命令Ｃに対応するフィー
ルドＦ２には共通サブルーチンの識別番号を設定してお
く）。または識別番号の検査を禁止するようにしてもよ
い。そして、識別番号の検査を禁止する場合には、前述
した比較禁止識別番号情報１０２ａ−２を用いる方式を
とればよい。

［フィールド比較回路方式］ 上述した識別番号情報１０２ａを、ソフトウェアモジュ
ールの識別番号を特定するフィールドと共通サブルーチ
ンの識別番号を特定するフィールドの２つのフィールド
に分割して、ソフトウェアモジュールまたは共通サブル
ーチンの実行に応じて、当該フィールドを比較検査する
方式の一例であり、ソフトウェアモジュールの命令１０
１ａを格納するメモリ空間と共通サブルーチンの命令１
０１ａを格納するメモリ空間とを予め分割しておき、プ
ロセッサがどちらのメモリ空間をアクセスしているかを
アドレスデコーダを用いて検査し、アドレスデコーダか
ら出力される検出信号を用いて比較するフィールドを選
択する方式。

第８図は、上記フィールド比較回路方式に適用される比
較・比較禁止回路１０４の一構成例を示す図である。

同図において、前述した第２図及び第３図に示されてい
るブロックと同一のブロックには同一番号を付与し、詳
しい説明は省略する。

アドレスデコーダ３０１は、アドレスバス１０５に接続
されており、プロセンサ１０３から出力されるアドレス
信号をデコードし、特に図示していない主記憶装置の予
め定められた領域マツプ（メモリマツプ）に基づいて、
フィールド選択信号ＦＳＥＬ　（一般に複数の信号）を
生成し、フィールド比較回路３０１に出力する。

例えば、上記主記憶装置がソフトウェアモジュールの格
納領域と共通サブルーチンの格納領域とを有しており、
それぞれの格納領域が主記憶装置の０番地から９９９番
地（ソフトウェアモジュール格納領域）、１０００番地
から１９９９番地（共通サブルーチン格納領域）にマン
プされている場合には、上記アドレスデコーダ３０１の
出力は以下のようになる。

フィールド比較回路３１０は、アドレスデコーダ３０２
から入力するフィールド選択信号ＰＳＥＬに基づいて、
レジスタＡ及びレジスタＢから識別番号情報１０２ａの
フィールドＦ１またはフィールドＦ２のいずれかのフィ
ールドを選択して比較する回路である。

第９図に上記フィールド比較回路３１０の一構成例を示
す。

同図において、フィールドＦ１比較回路３１１は、レジ
スタＡとレジスタＢに格納されている双方ノフィールド
Ｆ、の識別番号を比較して、その比較結果を出力する回
路である。

また、フィールドＦ２比較回路３１２は、レジスタＡと
レジスタＢに格納されている双方のフィールドＦ２の識
別番号を比較して、その比較結果を出力する回路である
。

そして、比較結果選択回路（マルチプレクサ）３１３は
、上記フィールドＦ１比較回路３１２と上記フィールド
比較回路３１３から出力される２つの比較結果を人力し
、前記アドレスデコーダ３０Ｉから加わるフィールド選
択信号ＦＳＥＬにより指示されるフィールドの比較結果
をＡＮＤ回路２０３に選択出力するマルチプレクサであ
る。

尚、上記比較回路３１０は、フィールドの数が２個の場
合に対応した例であるが、この回路は予め定義されてい
るフィールドの数に等しい複数の比較回路を設けること
により、容易に任意のフィールド数に対応できる。すな
わち、共通サブルーチンがさらに他の共通サブルーチン
を呼び出し、さらにその共通サブルーチンが別の共通サ
ブルーチンを呼び出すというように、プログラムが複数
の階層構造になっている場合にも、前記識別番号情報１
０２ａに上記階層構造の階層数に対応するフィールド数
を設け、更にその各フィールドに１対１に対応する比較
回路を設けることにより対応できる。ところで、この方
式では、プログラムの存在するメモリアドレスによって
一意的にフィールド選択が決定されるため、共通サブル
ーチンがら復帰した最初の命令（例えば、第７図に示す
命令Ｃ）では、フィールドＦ＋が選択される。したがっ
て、共通サブルーチンの復帰命令（ＲＥＴ）に対応する
フィールドＦ１の識別番号としては比較禁止識別番号情
報１０２ａ−２を設定しておく必要がある。このことに
より、誤った識別番号の検査を防止できる。

（Ｂ） 第１０図に示すように、前記フィールドＦ１Ｆ２に加え
、さらに識別番号情報１０２ａの先頭にフィールド選択
フィールドＦ、を設け、このフィールド選択フィールド
Ｆｓの内容をフィールド選択信号ＦＳＥＬとして用いる
。

この場合、フィールド選択フィールドＦ、は、「１」の
ときにフィールドＦ、を、「２」のときにフィールドＦ
２を検査するように予め決定されている。

第１１図にこの方式を用いた比較・比較禁止回路４００
の一構成例を示す。

同図に示すように、比較・比較禁止回路４００は第９図
に示す比較・比較禁止回路１０４からアドレスデコーダ
３０１を取り除いた構成となっている。そして、フィー
ルド比較回路３１０には現在の命令１０１ａに対応する
識別番号情報１０２ａを保持するレジスタ已に格納され
ているフィールド選択フィールドＦ、、の内容がフィー
ルド選択信号ＦＳＥＬとして加わるようになっており、
フィールド比較回路３１０は前述した第９図に示す比較
回路３１０と同様にして現在の命令１０１ａに対応する
フィールド（ＦｌまたはＦ２）についての比較結果を出
力する。

この方式では、命令１０１ａ単位にフィールド選択を指
定できるため、共通サブルーチンから復帰した最初の命
令（例えば第７図に示す命令Ｃ）に対応するフィールド
識別番号１０２ａのフィールド選択フィールドＦｓにフ
ィールドＦ２を選択するフィールド選択信号ＦＳＥＬを
設定し、かつそのフィールドＦ２に上記共通サブルーチ
ンの識別番号を設定しておくことにより、前述した共通
サブルーチン復帰時の問題を回避できる。

（Ｃ） フィールドに対応じて分割された識別番号とフィールド
の選択を指定するフィールド選択情報とを切り換えて指
定できる識別番号情報５０１を用いる方式。

第１２図（ａ）に上記識別番号情報５０１の形式（フォ
ーマット）の−例を示す。

同図に示すように識別番号情報５０１は先頭の１ビツト
の選択指定ビット５０１−１とその選択指定ピッ）５０
１−１に続く所定ビットの情報５０１−２（以後、指定
情報５０１−２と表現する）とから成っている。

選択指定ピッ）５０１−１は、上記指定情報５０１−２
が前記フィールドＦ＋　と前記フィールドＦ２とから成
っているか、または前記フィールドＦ１　もしくは前記
フィールドＦ２のいずれのフィールドに設定された識別
番号を選択するかを指定するフィールド選択情報となっ
ているかを示すビットである。

そして、前記指定情報５０１−２は、同図（ｂ）に示す
ように選択指定ビット５０１１が「０」のときはフィー
ルドＦ１及びフィールドＦ２からなっており、また「１
」のときは同図（Ｃ）に示すように上記フィールド選択
情報となっている。

第１３図に、上記識別番号情報５０１を用いた比較回路
６００を示す。

同図において、設定選択回路６０１は前記識別番号メモ
リ１０２（第２図参照）から読み出された上記識別番号
情報５０１の選択指定ビット５０１−１を入力し、その
選択指定ビット５０１１が「０」のときは、識別番号パ
ス１０７上に出力されているフィールドＦ、とフィール
ドＦ２の識別番号から成る指定情報５０１−２をレジス
タＢに設定し、「１」のときは識別番号ハス１０７上に
出力されているフィールド選択情報に等しい指定情報５
０１−２をフィールド選択レジスタ６０２に設定する。

また、このようにフィールド選択レジスタ６０２にフィ
ールド選択情報を設定するときには、比較結果がＡＮＤ
回路２０３を介してＦＦ２０４に出力されないなように
する必要があるが、これは設定選択回路６０１がフィー
ルド選択レジスタ６０２にフィールド選択情報を設定す
るためにフィールド選択レジスタ６０２に加える設定信
号を比較禁止回路２０２にも出力することにより実現で
きる（第８図参照）。

すなわち、比較禁止回路２０２が、上記設定信号が加わ
ったときＡＮＤ回路２０３に対し「０」を出力すること
により、フィールド選択レジスタ６０２にフィールド選
択情報が設定される際に、比較回路３１１または比較回
路３１２の比較結果がＦＦ２０４に出力されるのを禁止
できる。そして、フィールド選択レジスタ６０２に格納
されているフィールド選択情報は、フィールド選択信号
ＦＳＥＬとして前記比較選択回路（マルチプレクサ）３
１３に出力される。

上記構成のフィールド比較回路６００を有する比較・比
較禁止回路１０４を用いる場合には、まずソフトウェア
モジュールの最初の命令１０１ａに対応する識別番号１
０２ａには、第１２図（Ｃ）に示す形式のフィールドＦ
１のみを比較する旨を指示するフィールド選択情報が指
定情報５０１−２となっている識別番号情報５０１を用
いる。また２番目以降の命令１０１ａに対応する識別番
号１０２ａには、第１２図に示す形式のフィールドＦに
本ソフトウェアモジュールの識別番号が、フィールドＦ
２に上記ソフトウェアモジュールが呼び出す共通サブル
ーチンの識別番号が設定された識別番号情報５０１を用
いる。

一方、共通サブルーチンの最初の命令１０１ａに対応す
る識別番号１０２ａには、第１２図（Ｃ）に示す形式の
フィールドＦ２のみを比較する旨を指示するフィールド
選択情報が指定情報５０１−２となっている識別番号情
報５０１を用い、２番目以降の命令１０１ａに対応する
識別番号情報５０１には、フィールドＦ２にこの共通サ
ブルーチンの識別番号が設定された識別番号情報５０１
を用いる。そして、上記共通サブルーチンの最後の命令
（ＲＥＴ）に対応する識別番号として、第１２図（Ｃ）
に示すフィールドＦ１のみ比較するようなフィールド選
択情報が指定情報５０１−２となっている識別番号情報
５０１を用いる。

そして、ソフトウェアモジュールの実行中は、そのソフ
トウェアモジュールの最初の命令１０１ａに対応する識
別番号情報５０１のフィールド選択情報の指示によりフ
ィールドＦ１に設定された識別番号のみを比較し、上記
ソフトウェアモジュールが共通サブルーチンの呼び出し
を行うと、その共通サブルーチンの最初の命令１０１ａ
の読み出しアクセス時にフィールドＦ２に設定された識
別番号の比較を指示するフィールド選択情報を存する識
別番号情報５０１の読み出しを行い、共通サブルーチン
の実行中においてはフィールドＦ２に設定された識別番
号のみを比較する。

そして、共通サブルーチンの最後の命令１０１ａ　（Ｒ
ＥＴ）の読み出しアクセス時に、フィールドＦ＋に設定
された識別番号の比較を指示するフィールド選択情報を
有する識別番号情報５０１の読み出しを行い、上記ソフ
トウェアモジュールに復帰する。このことにより、ソフ
トウェアモジュールに復帰後は、フィールドＦ１に設定
された識別番号の比較を行う。尚、上述したように、フ
ィールド選択情報を有する識別番号情報５０１を読み出
したときは、比較禁止回路２０２によりＡＮＤ回路２０
３がフィールドＦ１またはフィールドＦ２に設定された
識別番号の比較結果を出力することが禁止される。

この方式（Ｃ）は、前述した方式（Ｂ）と比較した場合
、フィールド選択情報を各識別番号情報１０２ａ毎に設
ける必要がないので、識別番号情報１０２ａを格納する
メモリの容量を小さくできるという利点がある。この利
点はフィールド数が多い場合に特に顕著となる。

（Ｄ） フィールドに対応じて分割された識別番号とその識別番
号をマスクするための比較マスク情報とを切り換えて指
定できる識別番号情報７０１を用いる方式。

第１４図（ａ）に上記識別番号情報７０１の形式（フォ
ーマット）の−例を示す。

同図（ａ）に示すように、識別番号情報７０１は先頭の
１ビツトの選択指定ビット７０１−１とその選択指定ビ
ット７０１−１に続く所定ビットの情報７０１−２（以
後、選択情報７０１−２と表現する）から成っている。

選択指定ピント７０１−１は、上記選択情報７０１−２
が前記フィールドＦ１及び前記フィールドＦ２とからな
るかまたは後述する比較回路８０４が比較する識別番号
を生成するための比較マスク情報のいずれかであるかを
示すビットである。

上記選択情報７０１−２は同図０））に示すように上記
選択指定ピッ）７０１−１がｒＱ、のときはフィールド
Ｆ＋及びフィールドＦ２とから成っており、「１」のと
きは同図（Ｃ）に示すように上記比較マスク情報となっ
ている。

第１５図に上記識別番号情報７０１を用いた比較回路８
００を示す。

同図において設定選択回路８０１は前記識別番号メモリ
１０２（第２図参照）から読み出された上記識別番号情
報７０１の選択指定ビット７０１１を入力し、その選択
指定ピノｌ−７０１−１が「０」のときは、 識別番号バス１０７上に出力されているフィールドＦ１
及びフィールドＦ２の識別番号をレジスタＢに設定する
。一方、上記選択指定ビット７０１−１が「１」のとき
は、上記識別番号バス１０７上の比較マスク情報をマス
クレジスタＭＲに設定する。

また、レジスタＡ、レジスタＢに格納されているフィー
ルドＦ１及びフィールドＦ２の識別番号は、それぞれマ
スク回路８０２、及びマスク回路８０３によりマスクレ
ジスタ７０２に格納されている比較マスク情報と論理積
がとられ、各々のマスク回路８０２，８０３の論理積の
結果が比較回路７０４に出力される。そして比較回路７
０４は上記入力される２つの論理積の結果同士を比較し
、その比較結果をＡＮＤ回路２０３へ出力する。

尚、マスクレジスタＭＲに上記比較マスク情報を設定す
る際、比較回路８０４の比較結果がＡＮＤ回路２０３を
介してＦＦ２０４に出力されないようにする必要がある
が、これは設定選択回路８０１がマスクレジスタＭＲに
上記マスク情報を設定するために、マスクレジスタＭＲ
に加える設定信号を比較禁止回路２０２に出力すること
により実現できる（第８図参照）。すなわち、比較禁止
回路２０２が上記設定信号が加わったとき、ＡＮＤ回路
２０３に対し「０」を出力することにより、マスクレジ
スタＭＲに比較マスク情報が設定される際に、比較回路
８０４の比較結果の出力がＡＮＤ回路２０３を介してＦ
Ｆ２０４に出力されるのを禁止することができる。

上記構成の比較回路８００を用いる場合、ソフトウェア
モジュールの最初の命令１０１ａに対応する識別番号１
０２ａには、第１４図（Ｃ）に示す形式のフィールドＦ
１に設定された識別番号のみを比較するようにする比較
マスク情報を有する識別番号情報７０１を用いる。そし
て、上記ソフトウェアモジュールの２番目以降の命令１
０１ａに対応する識別番号１０２ａには、第１４図（ｂ
）に示す形式のフィールドＦ１にこのソフトウェアモジ
ュールの識別番号が、フィールドＦ２にこのソフトウェ
アモジュールが呼び出す共通サブルーチンの識別番号が
設定された識別番号情報７０１を用いる。

尚、フィールドＦ２に共通サブルーチンの識別番号を設
定するのは、その共通サブルーチンを呼び出す命令１０
１　ａ　（ＣＡＬＬ）に対応する識別番号情報７０１の
みであってもよい。

また、上記共通サブルーチンの最初の命令１０１ａに対
応する識別番号１０２ａには第１４図（Ｃ）に示す形式
のフィールドＦ１に設定された識別番号のみを比較する
ようにする比較マスク情報を有する識別番号情報７０１
を用い、この共通サブルーチンの２番目以降の命令１０
１ａに対応する識別番号１０２ａには、第１４図（ｂ）
に示す形式のフィールドＦ２にこの共通サブルーチンの
識別番号が設定された識別番号情報７０１を用いる。そ
して、この共通サブルーチンの最後の命令１０１ａに対
応する識別番号１０２ａには、フィールドＦ１に設定さ
れた識別番号のみを比較するようにする比較マスク情報
を有する識別番号情報７０１を用いる。

そして、更にソフトウェアモジュールの上記共通サブル
ーチンの復帰後の命令１０１ａ以降の命令１０１ａに対
応する識別番号１０２ａには、再び第１４図ら）に示す
形式のフィールドＦ＋にソフトウェアモジュールの識別
番号が設定された識別番号情報７０１を用いる。

そして、ソフトウェアモジュールが実行中には、フィー
ルドＦ１に設定された識別番号のみを比較し、ソフトウ
ェアモジュールが共通サブルーチンの呼び出しを行うと
、その共通サブルーチンの最初の命令１０１ａの読み出
しアクセス時に、設定選択回路８０１によりフィールド
Ｆ２に設定された識別番号の比較を行うための比較マス
ク情報をマスクレジスタＭＲに設定し、共通サブルーチ
ンの２番目以降の命令１０１ａの実行においてはフイー
ルドＦ２に設定された識別番号のみで比較を行う。そし
て、共通サブルーチンの最後の命令１０１ａの実行時に
、設定選択回路８０１によりその最後の命令１０１ａに
対応する識別番号１０２ａを読み出して、その識別番号
１０２ａからフィールドＦ＋に設定された識別番号のみ
で比較を行うようにする比較マスク情報をマスクレジス
タＭＲに設定して、上記共通サブルーチンを呼び出した
ソフトウェアモジュールに復帰する。そして、上記復帰
後、ソフトウェアモジュールの命令１０１ａが行われる
毎に、フィールドＦ、に設定された識別番号の比較が行
われる。

この方式は、上記方式（Ａ）　、　（Ｂ）　、　（Ｃ）
と比較した場合、識別番号情報１０２ａ　（７０１）の
検査すべきフィールドを、命令１０１ａ単位で指定でき
る利点があり、比較回路も１個ですむという利点がある
。

尚、以上説明した実施例は、いずれもプロセッサ１０３
の外付は回路となっているが、プロセッサ１０３の内部
回路に同様の機能を設けるようにしてもよい。また、上
記識別番号をプロセッサ１０３の命令１０１ａの中に組
み込むことも可能である。

また、フィールドの数も２個に限定されることなく、そ
の数はシステムにおける最大のプログラムの階層構成数
に対応じて設定すればよい。

〔発明の効果］ 以上説明したように本発明によれば、共通サブルーチン
を使用するソフトウェアシステムにおいて、ソフトウェ
ア障害の結果暴走が発生し、予期しないソフトウェアモ
ジュールが実行されても、前回実行された命令に対応す
る識別番号と現在実行される命令に対応する識別番号と
が所定の許容条件を満足するか否かを判別することによ
り、ソフトウェアモジュール内に特殊の命令を埋め込む
もしくは共通サブルーチンを使用（実行）する毎に識別
番号の変更を行うという煩雑な作業、またはウォッチド
ッグタイマ、カウンタ、メモリプロテクト等の他の手段
を別個に設けなくても上記暴走を確実に検出することが
可能となる。

また、上記許容条件としては、例えば２つの当該識別番
号間の差分もしくはハミング距離が、予め定められた所
定値以下となっているかを検査する方法等を用いること
ができ、ハミング距離を用いる方法の場合は、上記差分
を用いる方法よりも回路構成が簡単になるという利点が
ある。

さらに、請求項４記載のように比較禁止識別番号を設け
、前回の命令に対応する識別番号情報がその比較禁止識
別番号であった場合にはプロセッサに対する上記識別番
号の比較結果をプロセッサに通知することを禁止するよ
うにすれば、常動作が行われるにもかかわらず比較異常
が発生することが予期されている場合の不用な比較結果
通知を未然に禁止することが可能となる。

さらに、請求項５記載のように１つの識別番号情報を複
数の部分（フィールド）に分割し、その分割された複数
のフィールドの中に複数の識別番号を設定するようにし
て、プロセッサが実行しているソフトウェアモジュール
に対応する当該識別番号を上記識別番号情報の当該フィ
ールドから取り出して識別番号の比較を行う方法によっ
ても、共通サブルーチンを使用するソフトウェアシステ
ムでのソフトウェア障害を正しく検出できる。

この方式を用いた場合の識別番号情報から当該識別番号
を取り出す方法としては、例えばプロセッサが実行する
命令のメモリ上の格納アドレスに基づいて行う方法（方
法Ｉ）、請求項７記載のように識別番号情報の一部にそ
の識別番号情報に設定されている複数の識別番号の中か
ら比較すべき識別番号を特定する特定情報を設け、その
特定情報に基づいて識別番号情報の中から随時比較すべ
き識別番号を取り出す方法（方法■）、または請求項８
記載のように識別番号情報として、比較すべき識別番号
を特定する特定情報を別に設け、対応する識別番号情報
がその特定情報である命令をプロセッサが実行する毎に
以後に比較すべき識別番号を指定する方法（方法■）等
がある。

そして、上記方法■の場合には、上記方法Ｉを用いたと
きに処理が複雑となる共通サブルーチンから復帰後のメ
イン・プログラムの最初の命令実行時の識別番号の比較
を容易に行うことが可能となる。また、上記方法■の場
合には、識別番号情報に設定される識別番号の数が多く
なる場合に、前記方法■よりも識別番号情報の格納メモ
リ容量を小さくすることができるという利点がある。

さらに、上記特定情報を、例えばマスクデータを含む構
成とすれば命令単位で識別番号を特定でき、さらに識別
番号を比較する回路を少なくすることができるという利
点がある。

【図面の簡単な説明】

第１図は本発明の原理ブロック図、 第２図は一実施例のシステム構成を示すブロック図、 第３図は比較・比較禁止回路の一構成例を示すブロック
図、 第４図は実施例の全体動作を説明する図、第５図はハミ
ング距離による比較を行う回路を示す図、 第６図は識別番号情報の一構成例を示す図、第７図はフ
ィールド分割方式における識別番号比較の注意点を説明
する回、 第８図はフィールド分割方式における比較・比較禁止回
路の一構成例を示すブロック図、第９図はフィールド分
割方式における比較回路の一構成例を示すブロック図、 第１０図はフィールド分割方式における識別番号情報の
第１の構成例を示す図、 第１１図は第１０図に示す識別番号情報を用いる比較・
比較禁止回路の一構成例を示すプロ、り図、 第１２図（ａ）〜（Ｃ）はフィールド分割方式における
識別番号情報の第２の構成例を示す図、第１３図は第１
２図（ｂ）、　（Ｃ）に示す識別番号情報を用いる比較
・比較禁止回路の一構成例を示す図、第１４図（ａ）〜
（Ｃ）はフィールド分割方式における識別番号情報の第
３の構成例を示す図、第１５図は第１４図（ｂ）、　（
Ｃ）に示す識別番号情報を用いる比較・比較禁止回路の
一構成例を示す図記憶手段、 ・識別番号情報、 第１の保持手段、 第２の保持手段、 検出手段、 通知手段。 特許 出 願 人 冨士通株式会社 しシスタＡ レンズタＢ （Ｌ叡ン・Ｉ番号ｂパ３已ットで゛オ菰Ａ′されＨＣか
°１の４０１ ハミノク゛ｙ巨両ＩＩｌ：よ酎し較りゴ）同Ｙ各を示寸
図ＷＪ　５　図 （α） 識′別奉づ （ｂｌ フィールド選オ尺ヤ汽専艮 ｃｌ

Claims (1)

1. 【特許請求の範囲】 １）複数のプログラム（１）の各命令（１ａ）に対応し
   て設定された少なくとも１つの識別番号を含む識別番号
   情報（２ａ）を記憶する記憶手段（２）と、 プロセッサ（７）により前回実行された命令（１ａ）に
   対応する前記識別番号情報（２ａ）を一時記憶する第１
   の保持手段（３）と、 プロセッサ（７）により今回実行される命令（１ａ）に
   対応する前記識別番号情報（２ａ）を一時記憶する第２
   の保持手段（４）と、 プロセッサ（７）により前記命令（１ａ）が実行される
   毎に、前記第１の保持手段（３）に記憶されている識別
   番号情報（２ａ）に含まれる当該識別番号と前記第２の
   保持手段（３）に記憶されている識別番号情報（２ａ）
   に含まれる当該識別番号とを比較して、それらの識別番
   号の関係が所定の許容条件を満足しているか否かを判別
   することによりプロセッサ（７）による不正な命令（１
   ａ）の実行を検出する検出手段（５）と、 該検出手段（５）の検出結果をプロセッサ（７）に通知
   する通知手段（６）と、 を具備することを特徴とするソフトウェア障害検出方式
   。 ２）前記識別番号（２ａ）は、前記２つの識別番号の比
   較を禁止する比較禁止識別番号を含んでおり、 前記通知手段（６）は、この比較禁止識別番号が前記第
   １の保持手段（３）に記憶されているときは前記検出手
   段（５）の傑出結果を前記プロセッサ（７）に通知しな
   いことを特徴とする請求項１記載のソフトウェア障害検
   出方式。 ３）前記識別番号情報（２ａ）は、複数のプログラム（
   １）に対応する複数の識別番号が設定される複数の部分
   に区分されており、 前記検出手段（５）は、プロセッサ（７）により実行さ
   れるプログラム（１）に応じて前記識別番号情報（２ａ
   ）から当該識別番号を読み出して比較を行うことを特徴
   とする請求項１記載のソフトウェア障害検出方式。 ４）前記検出手段（５）は、プロセッサ（７）が実行す
   る命令（１ａ）のメモリ上の格納アドレスによって、識
   別番号情報（２ａ）から当該識別番号を取り出して比較
   を行うことを特徴とする請求項５記載のソフトウェア障
   害検出方式。 ５）前記識別番号情報（２ａ）は、比較すべき識別番号
   が設定されている前記識別番号情報の部分を特定する特
   定情報を含んでおり、 前記検出手段（５）は、前記識別番号情報（２ａ）のそ
   の特定情報により特定される部分から比較すべき当該識
   別番号を取り出して比較を行うことを特徴とする請求項
   ５記載のソフトウェア障害検出方式。 ６）前記識別番号情報（２ａ）は、複数のプログラム（
   １）に対応する複数の識別番号が設定される複数の部分
   に区分される第１の情報と、比較すべき識別番号を指定
   する第２の情報との２種類の情報から成り、 前記検出手段（５）は、前記第２の保持手段（４）に前
   記第２の情報が記憶されていたときは、以後のプロセッ
   サ（７）の命令（１ａ）の実行においては、その第２の
   情報により指定されるフィールドに設定された識別番号
   の比較を行うことを特徴とする請求項５記載のソフトウ
   ェア障害検出方式。