JPH0578858B2 - - Google Patents

Description

【発明の詳細な説明】 〔産業上の利用分野〕 本発明は、一般にデータ処理分野に関し、特に
更に安全な入出力（Ｉ／Ｏ）システムを提供する
ための装置に関する。

〔従来の技術および解決しようとする課題〕

多数のユーザを相互に分離しかつユーザをオペ
レーテイング・システムから分離するためには、
データ処理システムの保護が必要となる。保護と
は、プログラム、プロセスあるいはユーザのコン
ピユータ・システム資源に対するアクセスを制御
するための機構を指す。保護は、基本的には内部
の問題、即ちコンピユータ・システムに格納され
たプログラムおよびデータに対するアクセスを制
御する要件である。

コンピユータの安全保護は、充分な保護システ
ム、およびコンピユータが使用される外部環境の
配慮を必要とする。安全保護とは、システムが強
制されるポリシーに基いて、コンピユータ・シス
テム内部の主題による対象へのアクセスの調停で
ある。保証とは、システムおよびそのデータの保
全が維持される確実度である。

安全保護システムは、下記の如き能力を持たね
ばならない。即ち、 １ アクセス制御−コンピユータのアクセスを試
みる人間／事物を確実にかつ信頼性を以て識別
することができること ２ プロセス制御の保全性−人間／事物が特定の
機能に限定され、かつユーザの分離が保証され
ねばならないこと ３ システム保護の違反が検出できること ４ ユーザとコンピユータ間のメツセージが秘匿
でき、かつ改竄防止が可能であること ５ ハードウエアおよびソフトウエアが改竄防止
可能であること ６ システムが高い信頼性を以て設計できること これらの能力の多くは、他の計算システム、典
型的にはマサチユーセツツ工科大学（MIT）で
使用中の「マルチツクス（Multics MITの商
標）」およびHoneywell社の安全保護通信プロセ
ツサ（SCOMP）において見出される。

マルチツクスは、安全保護の理由から特権リン
グのプロセスをメモリーに格納し、仮想アドレス
指定を使用する。しかし、マルチツクス・システ
ムは、仮想Ｉ／Ｏ指令システムを使用することに
より許される保護の利点を利用していない。

前記SCOMPシステムもまた、安全保護の理由
から特権リングにおけるプロセスをメモリーに格
納し、仮想アドレス指定を使用する。しかし、
SCOMPはまた、仮想Ｉ／Ｏ指令システムを使用
することにより可能になる保護の利点を利用す
る。しかし、SCOMPは、物理的なＩ／Ｏに対す
る仮想Ｉ／Ｏの変換を実施するための個別の論理
ボードを含んでいる。

〔発明の目的〕

従つて、本発明の目的は、実現のコストが比較
的安くかつスループツトが改善された安全保護入
出力（Ｉ／Ｏ）指令システムを備えたデータ処理
システムの提供にある。

本発明については、特に頭書の特許請求の範囲
に記載されている。本発明の上記および他の目的
および利点の理解は、図面に関して以降の記述を
参照することにより得られよう。

本発明の方法が実施される方法、本発明の装置
が構成される方法、およびその使用方法について
は、添付図面と共に以降の詳細な記述を参照すれ
ば最もよく理解できよう。図面においては、同じ
参照番号は類似の要素を示している。

〔発明の要約〕 本発明は、周辺装置に対しシステム・バス上に
送出された入出力（Ｉ／Ｏ）指令のコンピユー
タ・システム内部の多重レベルの安全保護を提供
する。

システム・バス上に送出されるＩ／Ｏ指令は、
装置を識別する物理的なチヤネル番号、および装
置が実施する機能を指示する機能制御コードとを
含む。オペレーテイング・システムは、リング番
号、仮想チヤネル番号および機能制御コードを含
む仮想Ｉ／Ｏ指令を生成する。

フアームウエアは、仮想チヤネル番号を物理的
チヤネル番号に変換する前に仮想Ｉ／Ｏ指令につ
いて多数の検査を行なう。物理的Ｉ／Ｏ指令が生
成される前に行なわれるこれらの検査は、下記の
ものを含む。即ち、 ａ−ユーザがプロセスのアスセスのための特権が
与えられていることを検証する ｂ−IOLDバツフアが2KBの限度内にあることを
検証する ｃ−記述子が有効でありかつユーザが装置に対す
るアクセスを許容されていることを検証する ｄ−記述子を含むページのテーブルのサイズに対
するＩ／Ｏ記述子の仮想チヤネル番号の場所を
検証し、 ｅ−IOLDデータ・バツフアがシステムのソフト
ウエアによりIOLDとしてマークされているこ
とを検証する これは、多数のレジスタおよびテーブルを用い
て１つの制御ストアの留保部分をアクセスして検
証を行ない、仮想アドレスから物理的アドレスへ
の変換を行なうフアームウエアによつて行なわれ
る。

オペレーテイング・システムは、メモリー記述
子および装置記述子のツリーを生成し、このデー
タ構造の情報に対するポインタを記述子セグメン
トの基底レジスタに格納する。この情報は、１つ
の記述子セグメントのページ・テーブルの基底ア
ドレスを指定する。仮想チヤネル番号の上位ビツ
トの値を用いて、Ｉ／Ｏページ記述子ワードの物
理的メモリー・アドレスを与えるため基底アドレ
スに加えられるべき定数を決定する。このＩ／Ｏ
ページ記述子は、妥当性ビツト、Ｉ／Ｏ記述子テ
ーブルのサイズ、およびＩ／Ｏ記述子テーブルの
基底アドレスを含む。この仮想チヤネル番号は、
Ｉ／Ｏ記述子に対する指標として基底アドレスに
加えられる。

Ｉ／Ｏ記述子は、妥当性ビツト、読出しまたは
書込み許容ビツト、リング・ブラケツト・ビツ
ト、および物理的チヤネル番号を含んでいる。フ
アームウエアは、妥当性ビツトを検査し、適当な
読出しまたは書込み操作を仮想Ｉ／Ｏ指令が呼出
すことを検証し、家庭Ｉ／Ｏ指令のリング番号に
対してリング・ブラケツト・ビツトを検証する。
もし全てのこれらの検査が適正に行なわれるなら
ば、物理的チヤネル番号が指令における仮想チヤ
ネル番号を置換し、物理的Ｉ／Ｏ指令がシステ
ム・バス上に送出される。

記述子セグメントのページ・テーブル、および
Ｉ／Ｏ記述子テーブルが各ユーザ毎にある。この
ため、オペレーテイング・システムが１つのユー
ザの特権を容易に変更することを可能にする。

〔実施例〕

第１図は、各々が個々のインターフエースによ
り非同期システム・バス２と接続された多くのサ
ブシステムを含む多重処理システムを示してい
る。

これらサブシステムは、システム・バス・イン
ターフエース（SBI）２−１０によりシステム・
バス２と接続された中央サブシステム（CSS）４
と、SBI２−１０Ａによりシステム・バス２と接
続されたCSS ４Ａとを含む。僅かに２つのCSS
しか見えないが、その各々のインターフエースに
よりシステム・バス２に対していくつのCSSでも
接続することができる。SBIの各々は、米国特許
第3995258号の第９図に示される形式のバス・イ
ンターフエースの論理回路を含む。

また、SB１２−８を介してシステム・バス２
と接続されているのは、システム管理機能
（SMF）２０である。メモリー・サブシステム８
がSBI２−２によりシステム・バス２と接続され
ている。多数の周辺コントローラ１０、典型的に
は、デイスク・コントローラ、装置レコード・コ
ントローラ、磁気テープ・コントローラ、通信コ
ントローラ等が、SBI２−４と類似するその各々
のSBIにより、システム・バス２と接続すること
ができる。各周辺コントローラ１０はこれに多数
の適当な装置１８が接続されている。

各CSSは、１つのキヤツシユと、１つの制御ス
トアと、２つの中央処理装置（CPU）と、その
各仮想メモリー管理装置（VMMU）とを含む。
CSS４は、CPU４−２をそのVMMU０ ４−８
と共に、またCPU１４−４をそのVMMU１ ４
−１０、制御ストア４−１２およびキヤツシユ４
−６と共に有する。２連CPUを備えたCSSが開
示されているが、本発明は単一CPUを備えたシ
ステムにも内蔵し得ることが理解されよう。

サブシステム間の全ての通信は、１つのサブシ
ステムがシステム・バス２上に指令を送出しかつ
アドレス指定されたサブシステムから応答を受け
取ることにより行われる。

SMF２０は、システム１の初期化を制御する
と共に、多くのシステムおよび環境の機能の監視
を制御する。SMF２０は、CPUの１つからシス
テム・バス２を介して受け取られる指令でセツト
される監視タイマーおよび実時間クロツクを含
む。SMF２０は、最初にクロツクをセツトする
CPUに対してシステム・バス２上に対応する指
令を送出することにより、監視タイマーが「０」
に減分した時に応答する。更に、SMF２０は電
力および温度を監視し、もし電力または温度が予
め定めた限度を越えるならばサブシステムに警告
する。SMF２０の作動については、米国特許出
願第869164号「多重プロセツサ・システム用シス
テム管理装置」に記載されている。

このシステムは、物理的アドレスと仮想アドレ
スの双方を支持する。ほとんどのソフトウエア・
ビジブルなアドレスは仮想アドレスである。
VMMUは、この仮想アドレスを物理的アドレス
へ変換する。物理的アドレスは、キヤツシユまた
はメモリーをアドレス指定するためCPUにより
用いられる。例えば、CPU０４−２は仮想アド
レスをバスBP３８上でVMMU０４−８に対し
て送出する。VMMU０は、仮想アドレスを物理
的アドレスに変換し、物理的アドレスをキヤツシ
ユ４−６およびメモリー８へバスPA３９を介し
て送出する。もし物理的アドレスの内容がキヤツ
シユ４−６内に格納されているならば、このアド
レスは直ちにCPU０４−２へ返送され、さもな
ければ、物理的アドレスを含む指令がSBI２−１
０、システム・バス２およびSBI２−２を介して
メモリー８へ送出される。物理的アドレス場所の
内容は、SBI２−２、システム・バス２および
SBI２−１０を介して、応答指令によりCPU０４
−２へ返送される。

オペレーテイング・システム・ソフトウエア、
CPUおよびVMMUハードウエアおよび仮想Ｉ／
Ｏ処理からなる安全保護カーネルは、保全DPS
６PLUS製品に対する基準モニターの構成であ
る。この基準モニターは、３つの保全要件を満た
さねばならない抽象的概念である。それは、 １ 目的に対する主題の完全な調停 ２ 隔離、および ３ 検証、である。

この完全な調停の特質は、メモリーに対する全
ての要求を調停する仮想メモリー管理装置により
満たされる。この調停手順もまた、アクセス許容
検査を含む。仮想Ｉ／Ｏフアームウエアもまたこ
の要件の一部である。全てのＩ／Ｏ指令は仮想的
であり、あるアクセスの許容および検査の手順に
基いて許される。

隔離の特質は、ユーザのアプリケーシヨン処理
から安全保護およびシステム処理を切離すハード
ウエア・リング構造の使用により満たされる。こ
の特徴もまた、実行の定義域を許された許可と比
較する基となるハードウエアおよびフアームウエ
アにより強化され、記述子データ構造に含まれ
る。

検証の特質は、強化されるべき保全ポリシーの
様式の有無を問わない数字モデルと比較されてこ
れにより検証される模式的な最上レベルの仕様の
生成によつて満たされる。使用されるモデルは、
「信頼されるコンピユータ安全状態評価基準」
（DOD5200.28−STD／1985年12月）に記載され
るように検査される許可レベルに依存する。

オペレーテイング・システムによつて生成され
るＩ／Ｏ指令は、仮想チヤネル番号およびリング
番号を含む。フアームウエアは、このリング番号
および指令の妥当性を検証し、メモリー８に格納
されたＩ／Ｏ記述子テーブルに関して、仮想チヤ
ネル番号を物理的チヤネル番号へ変換する。物理
的チヤネル番号を含むＩ／Ｏ指令はシステム・バ
ス２上に送出される。物理的チヤネル番号を認識
する周辺サブシステムが、指令の受入れを確認
し、指令の機能制御コード部分により指定される
動作を行なう。

CPUおよびVMMUの全ての動作は、制御スト
ア４−１２から読出される制御ストア・ワードの
選択されたビツトにより制御される。制御ストア
４−１２は、仮想アドレスから物理的アドレスへ
の変換を含む通常CSS動作を制御するためのＡ部
分と、現在ある仮想メモリー・システム内の仮想
Ｉ／Ｏの構成を制御するためのＢ部分とに分割さ
れる。

仮想Ｉ／Ｏ処理は、システム１の資源をユーザ
定義域から分離することにより、安全保護を行な
う。このため、Ｉ／Ｏ指令がシステム・バス２上
を周辺サブシステムへ送出される前に必要な許容
検査が完了することを保証する。

第２Ａ図乃至第２Ｄ図は、システム・バス２上
に送出されるＩ／Ｏ指令を示している。第２Ｅ図
は、リング番号および仮想チヤネル番号を有する
仮想Ｉ／Ｏ指令、および物理的チヤネル番号を有
する変換された物理的Ｉ／Ｏ指令のフオーマツト
を示している。

本文中の表記「IO」の定義については第２Ａ
図、第２Ｂ図および第２Ｃ図を参照すること。表
記「Ｉ／Ｏ」は、第２Ａ図、第２Ｂ図、第２Ｃ図
および第２Ｄ図を参照すること、即ち表記「Ｉ／
Ｏ」はIOおよびIOLDを包含することになる。

第２Ａ図は、CPUにより生成されるIO出力指
令のフオーマツトを示している。システム・バス
２上の信号は、３２のアドレス信号０〜２３，Ａ
〜Ｈおよび３２のデータ信号０〜３１を含む。ま
た、多くの制御信号（図示せず）も含まれてい
る。IO出力指令に対しては、アドレス信号８〜
１７が、分散サブシステムの物理的チヤネル番号
を指示し、アドレス信号１８〜２３が機能制御コ
ードを指示する。データ・ビツト０〜３１が、チ
ヤネル番号により指定されるサブシステムに対し
て転送される情報を特定する。データ・ビツトは
機能制御コードにより指示された通りにふるま
う。

第２Ｂ図は、装置のチヤネル番号を含むCPU
により生成されるIO入力指令のフオーマツト、
およびCPUにより要求される情報を指示する機
能制御コードを示している。データ・ビツト０〜
９は、この指令を生成したCPUの物理的チヤネ
ル番号を指定する。データ・ビツト16〜31は装置
に対する任意の情報を指示する。

第２Ｃ図は、IO入力指令に対するIO応答のフ
オーマツトを示している。ソース物理的チヤネル
番号は、この時は宛先の物理的チヤネル番号であ
る。データ・ビツト０〜31は、元の指令の機能制
御コードにより要求される情報を指示する。第２
Ｂ図のソース・チヤネル番号および第２Ｃ図の物
理的チヤネル番号の場合には、仮想チヤネル番号
から物理的チヤネル番号への変換が不要である。

第２Ｄ図は、入出力ロード（IOLD）の出力指
令の２サイクルのフオーマツトを示している。最
初のサイクルは１つのブロツク転送の始動メモリ
ー８のアドレスを指定し、第２のサイクルはブロ
ツクにおけるワードの範囲即ち数を指定する。

16進数09の機能制御コードが、16のアドレス・
ビツトＡ〜Ｈ，０〜７および16のデータ・ビツト
０〜15により指定される32ビツトのアドレスを示
していることを注意されたい。機能制御コードの
16進数0Dは、データ・ビツト０〜15が範囲を指
定することを示している。アドレス・ビツト８〜
17は、両バス・サイクルの間の同じ装置のチヤネ
ル番号を指定する。

第２Ｅ図は、仮想Ｉ／Ｏチヤネル番号指令のフ
オーマツト、および変換された物理的Ｉ／Ｏチヤ
ネル番号指令のフオーマツトを示している。第２
Ａ図、第２Ｂ図および第２Ｄ図のアドレス・ビツ
ト８〜17により指定される物理的チヤネル番号は
仮想チヤネル番号２〜８および方向(D)ビツト９か
ら変換されたものであることに注意。残りのアド
レスおよびデータ・ビツトは、変換なしに転送さ
れる。

Ｉ／Ｏチヤネル番号は、16進数010乃至3FFま
での範囲にある。CPUチヤネル番号は、16進数
000乃至00Fの範囲内にある。通信回線の如き全
二重通信装置は、送受の回線のどちらの半分がア
ドレス指定されつつあるかを識別する下位ビツト
(D)を持つ２つのチヤネル番号を使用する。

仮想チヤネルは０〜63の範囲にあり、１ページ
がカーネルのみのＩ／Ｏ記述子でありかつ１ペー
ジが共用されたＩ／Ｏ記述子である。アクセスさ
れるべきページは、仮想チヤネル番号のビツト２
（MSB）で決定される。

テープ・ドライブの如き半二重通信装置は、論
理値０のＤビツトを使用して入力動作を指定し、
また論理値１では出力動作を指定する。

カード・リーダの如き単一方向性の装置は、論
理値０（偶数の機能制御コード）にセツトされた
Ｄビツトを有することになる。

リング保護は１組の階層的レベルの保護からな
り、内側から外側へ０、１、２、Ｎ−１と番号を
付した１組のＮ個の同心円と見倣すことができ
る。円０に含まれるメモリー８のスペースはリン
グ０と呼ばれ、円１と２の間に含まれるメモリー
８のスペースはリング２と呼ばれる。１つのプロ
セスの各セグメントが、メモリー８の１つのリン
グに置かれる。１つのセグメントが中心に近付く
程、その保護および特権が大きくなる。番号０、
１、２、３が付された４つのリングがCSSにより
保持され、リング０は最も大きな特権が与えら
れ、リング３は最も小さな特権が与えられてい
る。

Ｉ／Ｏを除くオペレーテイング・システムの安
全保護カーネルはリング０に駐在する。メモリー
管理のプロセスのスケジユーリングは、リング１
に駐在する。認められたソフトウエアはリング２
に駐在する。前記DODの基準を満すソフトウエ
アは、１つの安全保護あるいは安全保護カーネル
により強化された保全性に抵触し得る。前記
DODの基準を満すソフトウエアはまた、高い保
全性を要求する機能を提供する。ユーザのアプリ
ケーシヨンは最も低い特権のリング３にあり、前
記DODの基準を満さないリング２の安全保護カ
ーネル・インターフエース・パツケージにより支
持されている。アプリケーシヨン・ソフトウエア
は、前記DODの基準を満すソフトウエアの先に
実行することはできない。

ユーザはオペレーテイング・システムにより１
つの分類が与えられる。この分類は非分類、秘
密、および極秘である。これは、特定のリングに
おけるプロセスに対するユーザのアクセスを与え
る。極秘の分類を有するあるユーザがリング１に
対するアクセスが許されるものとすれば、秘密の
ユーザはリング２に対するアクセスが許され、非
分類のユーザはリング３に対するアクセスが許さ
れ、次いで下記のルールが妥当する。ユーザは読
出しができない、即ちリング２におけるプロセス
に対するアクセスが許された秘密の物類を有する
ユーザはリング１あるいはリング０におけるプロ
セスは読出すことができない。ユーザは書込みが
できない、即ち秘密の分類を持つユーザはリング
３にプロセスを書込むことはできない。

１つの手順が、そのリング・ブラケツトと呼ば
れる３つのリング番号R1、R2およびR3と関連さ
せられている。もしR3＞R2ならば、この手順は
R3より上位でないリングからアクセスできるリ
ングR2に対するゲートである。もしR2＝R3なら
ば、この手順はゲートではない。

第３図は、本発明の一部をなすVMMUおよび
CPUの一部を示している。VMMU０ ４−８お
よびVMMU１ ４−１０、ならにびCPU０ ４
−２およびCPU１ ４−４が重複であることに
注意されたい。従つてVMMU０ ４−８および
CPU０ ４−２が本発明の記述のために使用さ
れることになる。しかし、本発明はVMMU１
４−１０およびCPU１ ４−４でも等しく良好
に作動し得ることが理解されよう。

CPU０ ４−２のレジスタ・フアイル４６は、
64個の32ビツト・レジスタを含む。これらアドレ
スの機能については、米国特許出願第722237号
「単一半導体チツプにおけるマイクロプロセツサ」
に記載されている。また、VMMU０ ４−８の
VM−RAM３０において専用化される記述子の
セグメントの基底レジスタも含まれている。

演算数はBPバス３８から受取られ、データ・
イン・レジスタ２６に格納され、バス４０、演算
論理装置（ALU）４８、BIバス４４、またはシ
フタ２４およびBIバス４４を介して、レジス
タ・フアイル４６の１つのレジスタに格納され
る。算術演算は、１つの演算数をＡバス４２に、
また別の演算数をＢバス４０上に読込み、両演算
数をその各々のALU４８の入力に加えることに
より、レジスタ・フアイル４６における２つの演
算数について行なわれる。

ALU４８は、制御ストア４−１２の信号（図
示せず）により指定される算術演算を行なう。算
術演算の結果は、BIバス４４を介し、あるいは
シフタおよびBIバス４４を介してレジスタ・フ
アイル４６へ書戻される。

32ビツトのＱレジスタ２２は、ALU４８の拡
張として64ビツト演算数を処理するように働く。
Ｑレジスタ２２はまた、２進数の乗除算命令の間
部分積および部分商を格納する。シフタ２４は、
Ｑレジスタ２２およびALU４８と共に作動して、
64ビツトのシフト操作を実行する。制御ストア４
−１２からの制御信号（図示せず）は、レジス
タ・フアイル４４、ALU４８、シフタ２４、Ｑ
レジスタ２２およびデータ・イン・レジスタ２６
の全ての動作を制御する。

VMMU０ ４−８は、制御ストア４−１２の
信号を受取り32ビツトの仮想メモリーのランダ
ム・アクセス・メモリー（VM−RAM）３０の
28の場所の１つをアドレス指定するデコーダ３２
を含む。本発明のDSBR５４の部分は、VM−
RAM３０の２つの場所に格納される。情報は、
BPバス３８、BPラツチ３６および内部バス３４
からVM−RAM３０へロードされる。制御信号
（図示せず）は、ラツチ３６の入出力を制御する。

第４図は、第２Ｅ図に示されるように仮想Ｉ／
Ｏ指令を物理的Ｉ／Ｏ指令に変換するための論理
のフローを示している。

オペレーテイング・システムは、どのユーザが
装置に対するアクセスを有するかを定義する各装
置に対するアクセス制御リストを維持する。１つ
のプロセスが１つの新しい装置をアドレス指定す
ることが必要な時常に、オペレーテイング・シス
テムは目標装置のリストを調べてプロセスに対す
るアクセスが許与されるかどうかを判定する。も
しアクセスが許されるならば、オペレーテイン
グ・システム５０が、メモリー８の１つの場所に
格納される仮想Ｉ／Ｏ指令５２を生成して、以降
の情報をVM−RAM３０の場所に格納される
DSBR５４にロードする。

もしセツトされるならば、ビツト０は、新しい
スタツクが用いられるべきことを示し、呼出しお
よび戻り命令が許される。これは、本発明の一部
をなすものではなく、従つてこれ以上記述しな
い。

もしセツトされるならば、ビツト１は、仮想
Ｉ／Ｏ指令がオペレーテイング・システム５０に
より生成されることを示す。

ビツト４−23は、メモリー８における物理的ペ
ージのフレーム基底アドレスを指定する。しか
し、ビツト24〜31は、この基底アドレスをオフセ
ツトして、記述子のセグメント・ページ・テーブ
ル５６が１つのモジユールの４ワード境界で始動
することを許容する。

記述子のセグメント・ページ・テーブル５６
は、通常の仮想メモリー・アドレスから物理的メ
モリー・アドレスへの変換において用いられる４
ページの記述子PD０乃至PD３を含む。この通常
の操作はまた、IOLDの範囲指令の処理も含む。

記述子セグメント・ページ・テーブル５８はま
た、１つのＩ／Ｏページ記述子４および１つの
Ｉ／Ｏページ記述子５を含む。仮想チヤネル番号
の上位ビツトの状態（仮想Ｉ／Ｏ指令のビツト
２）は、16進数８がオフセツト基底アドレスに加
算されてＩ／Ｏページ記述子４を見出すことを指
定する。16進数Ａは、オフセツト基底アドレスに
加算されてＩ／Ｏページ記述子５を見出す。

Ｉ／Ｏページ記述子４は、64I／Ｏ記述子（図
示せず）のテーブルを指示し、Ｉ／Ｏページ記述
子５は63乃至127として識別される64のＩ／Ｏ記
述子のテーブルを指示する。Ｉ／Ｏ記述子は、典
型的にはＩ／Ｏページ記述子５により選択される
ものである。

128のＩ／Ｏ記述子は、64の大域記述子および
64の局所記述子に分けられる。大域記述子は、シ
ステムの装置記述子と見做され、安全保護カーネ
ルがプロセス内にカーネル・フアイル・システム
装置のアクセスを許容するため使用される。局所
記述子は、プロセスに対しては専用と定義され、
安全保護カネールによりプロセスのアドレス・ス
ペースにマツプされるユーザＩ／Ｏ装置と関連さ
せられる。

Ｉ／Ｏページ記述子５における情報は下記の如
くである。

ビツト０は、妥当はＩ／Ｏページ記述子を表示
する妥当標識Ｖを指定する。ビツト１は、ページ
がアクセスされたことを示す標識Ｕを指定する。

ビツト２は、ページが修正されたことを示す修
正標識Ｍを指定する。

ビツト４〜23は、Ｉ／Ｏ記述子テーブル５８の
物理的ページ・フレーム番号アドレスを指定す
る。

ビツト26〜30は、Ｉ／Ｏ記述子テーブル５８に
おける仮想装置記述子の数を指定する。もし仮想
チヤネル番号がＩ／Ｏ装置のテーブル・サイズよ
り大きければ、誤りが表示される。

物理的ページ・フレーム番号は、Ｉ／Ｏ記述子
テーブル５８のメモリー８の基底アドレスを指定
する。仮想チヤネル番号ビツト２〜８は、Ｉ／Ｏ
記述子テーブル５８におけるＩ／Ｏ記述子を指示
する。

Ｉ／Ｏ記述子は、プロセスが装置に対して有す
る読出しまたは書込み操作のためのアクセス権、
および装置の物理的チヤネル番号を定義する。
Ｉ／Ｏ記述子における他の情報は下記の如くであ
る。

ビツト０、妥当標識Ｖは、もし「０」であれば
Ｉ／Ｏチヤネル誤りを示す（トラツプ３７）。

ビツト１、読み出し許容標識Ｒは、もしこのビ
ツトが１で、プロセスがR2より小さいかあるい
はこれと等しいリング番号で実行されつつあるな
らば、読み出し操作を指示するIOLD命令を許容
する。もしこのアクセス検査が満たされなけれ
ば、Ｉ／Ｏチヤネルのアクセス誤り（トラツプ３
８）が表示される。

ビーツト２、書き込み保護標識Ｗは、もしこの
ビツト１で、プロセスがR1より小さいかあるい
はこれと等しいリング番号で実行されつつあるな
らば、書き込み操作を指示するIOLD命令を許容
する。もしこのアクセス検査が満たされなけれ
ば、Ｉ／Ｏチヤネルのアクセス誤りが表示され
る。

IOLD命令の場合は、ビツト４および５、R1が
この装置の媒体に対する書込みブラケツトの最も
大きなリング番号を指定する。ビツト６および
７、R2は、この装置に対する読出しブラケツト
の最も大きなリング番号を指定する。

Ｉ／Ｏ命令の場合は、ビツト４および５、R1
は、この装置に対する制御ブラケツトの最も大き
なリング番号を指定する。

ビツト16〜22は零でなければならず、ビツト23
〜31と仮想チヤネル番号の元の指令ビツトＤは、
指令が読出し指令であるか書込み指令であるかに
拘らず、Ｉ／Ｏ装置の物理的チヤネル番号を構成
する。

DSBR５４は、一義的なフレーム番号でロード
され、各ユーザ毎にオフセツトされる。従つて、
DSBRビツト４−３１は、一義的な記述子セグメ
ント・ページ・テーブル５６を指示する。ユーザ
の数と同じ数の記述子セグメント・ページ・テー
ブル５６がある。また、各ユーザ毎に一義的なプ
ロセス記述子セグメント６０がある。

システム１に対する総メモリー・サイズは、16
メガバイトまでの物理的メモリーおよび２ギガバ
イトの仮想メモリーである。メモリー８がこの物
理的メモリー・バイトを格納し、多くの大容量記
憶装置が仮想メモリー・バイトを格納する。

１つのセグメント・サイズは、２メガバイト以
下である。１つのプロセスは、1024以下のセグメ
ントを含む。１ページは、セグメント当たり1024
ページまでの2Kバイトを含む。仮想アドレスは、
10ビツトのセグメント番号、および20ビツトの変
位として表わされ、これはDSBR５４の内容およ
び以降のテーブルとの関連において、所要の２倍
精度ワード（30ビツト）のメモリー８の物理的ア
ドレスを生成する。

１つのプロセスの全ての記述子を保有する一義
的なプロセスの記述子セグメントにおいては、記
述子セグメント・ページ・テーブル５６は、セグ
メント記述子（SD）０〜２５５を指示する記述
子（PD）０、SD２５６〜５１１を指示するPD
１、SD５１２〜７６７を指示するPD２、および
SD７６８〜１０２３を指示するPD３を含んでい
る。

PD０乃至PD３は各々、その各々のセグメント
記述子テーブルを指示する。このセグメント記述
子テーブルの内容は、もしページが付されていれ
ば、ページ記述子のテーブルを指示する。このペ
ージ・テーブルは、オペレーテイング・システム
により生成される仮想アドレスと対応する主記憶
装置８における物理的アドレスを保有する記述子
を格納している。これが、仮想メモリー・アドレ
スを物理的メモリー・アドレスに変換するための
通常のシステム動作である。

通常の動作中、第２Ｄ図のIOLD範囲指令が下
記の如くに処理される。

記述子セグメント・ページ・テーブル５６の選
択されたページ記述子、例えばPD１は、プロセ
ツサの記述子セグメント６０のページ番号がロー
ドされる。各プロセツサの記述子セグメント６０
は、ページ当たり256のセグメント記述子を含む。
妥当性Ｖビツトに加えて、ビツト１は特権標識
（PR）である。もしセツトされるならば、特権命
令の実行はリング０にある場合のみ許される。も
しセツトされなければ特権命令は許されず、特権
命令に遭遇するならば、トラツプ１３が呼出され
る。IOLD（IO）ビツト２がセツトされれば、こ
れが直接メモリー・アスセス（DMA）転送のた
めのIOLDバツフア・セグメントがあることを示
す。もしセツトされず、IOLD命令が実行されて
このセグメントを指示するならば、保護されたメ
モリー・トラツプ１４が呼出される。

ペーシ番号ビツト４乃至22、プラス、プロセツ
サ記述子セグメント６０のオフセツト・ビツト２
３乃至３１は、1024の32ビツト・ページ記述子を
格納するIOLDバツフア・セグメント・ページ・
テーブル６２の選択されたページ記述子（PDX）
を指示する。

ビツト０、１および２（Ｖ、ＵおよびＭ）は先
に述べた。IOLDバツフア・セグメント・ペー
ジ・テーブル６２のページ番号ビツト４乃至23
は、メモリー８におけるIOLDバツフア・セグメ
ント・ページ・フレーム６４を指示する。最大バ
ツフア・ページ・サイズは、もしIOLDバツフ
ア・セグメント・プログラム・テーブル６２のペ
ージ番号がページ・フレーム６４の基底アドレス
を指示するならは、2048バイトとなる。もしこの
基底アドレスが一回のオフセツトにより増分され
るならば、ページ間に跨がることが許されないた
め、レンジは2048バイトより小さくなる。

ユーザが仮想Ｉ／Ｏから物理的Ｉ／Ｏへ初めて
変換する間、記述子セグメント・ページ・テーブ
ル５６の内容の一部およびＩ／Ｏ記述子テーブル
５８の内容の一部がキヤツシユ４−６へ移される
ことが判るであろう。同じユーザに対して要求さ
れる以上のＩ／Ｏ指令の変換は、比較的遅いメモ
リー８の速度ではなくキヤツシユ４−６の速度で
行なうことができる。

第５図の記述においては、第２Ａ図乃至第２Ｃ
図の指令がIO指令と呼ばれ、第２Ｄ図の指令は
IOLD指令と呼ばれる。フアームウエアは、
IOLD指令としてIOLD指令の両方のサイクルを
取扱うことになる。従つて、Ｉ／Ｏの表示はIO
とIOLDの両方を指す。

第５図は、仮想Ｉ／Ｏフアームウエアの構成を
示すフロー図である。CPU０ ４−２がソフト
ウエア命令を実行し、これが更に仮想Ｉ／Ｏチヤ
ネル番号を物理的Ｉ／Ｏチヤネル番号へ変換する
ため制御ストア４−１２のＢ部分をアドレス指定
する。

判断ブロツク７２は、DSBR５４の内容のビツ
ト１をテストし、もしこれが仮想Ｉ／Ｏ動作でな
ければ、ブロツク７４へ分岐する。判断ブロツク
は、第３図のレジスタ・フアイル４６に情報を送
り、ALU４８およびシフタ２４において呼出さ
れた動作を実施し、その結果をレジスタ・フアイ
ル４６に戻することにより構成され、こでフアー
ムウエアに対して使用できる。これは、内容ソー
ト４−１２からの信号により行なわれる。ブロツ
ク７４は、指令が物理的チヤネル番号を持つとし
て解釈し、CPU０ ４−２をして指令を直接シ
ステム・バス２上に送出させる。さもなければ、
判断ブロツク７６は、CPU０ ４−２が実行中
のメモリーにおけるＩ／Ｏ命令のその時のリング
番号のビツト０および１を読出す。もしこれが特
権命令でなければ、即ち、リング０またはリング
１の命令でなければ、ブロツク７８はトラツプ１
３を呼出してオペレーテイング・システムにプロ
セスを停止することを通知する。

さもなければ、ブロツク８０は、記述子セグメ
ント・ページ・テーブル（DSPT）５６のＩ／Ｏ
ページ記述子４または５についてメモリー８の場
所を計算する。これは、仮想チヤネル番号の上位
ビツト（ビツト２）の状態に従つて、基底アドレ
ス（記述子セグメント基底レジスタ５４のビツト
４〜31）を16進数８または16進数Ａに加算する
CPU０ ４−２によつて行なわれる。

ブロツク８２は、メモリー８の場所からＩ／Ｏ
ページ記述子を取出し、これを第３図のCPU０
４−２のレジスタ・フアイル４６の作業レジスタ
に格納する。

判断ブロツク８４は、Ｉ／Ｏページ記述子の妥
当Ｖビツト０をテストする。この妥当ビツトが真
であることは、ページがメモリー８にあることを
示している。もし真でなければ、ページ誤りが生
じて、オペレーテイング・システムに対しページ
をメモリー８に入れるように指示する。ページは
通常はデイスク・サブシステムにある。ブロツク
８６は、この時、ハードウエアにより構成される
標準的なページ誤りルーチンを呼出すことにな
る。

さもなければ、ブロツク８８は、記述子セグメ
ント・ページ・テーブル５６からのＩ／Ｏページ
記述子をCPU０ ４−２のレジスタ・フアイル
４６の作業レジスタに格納する。Ｉ／Ｏ記述子の
メモリー８における場所は、Ｉ／Ｏページ記述子
の物理的ページ・フレーム番号に仮想チヤネル番
号を加えることにより生成される。

判断ブロツク９０は、Ｉ／Ｏページ記述子に格
納されたテーブル・サイズを仮想チヤネル番号と
比較して、Ｉ／Ｏ記述子テーブル５８が仮想チヤ
ネル番号を収容できることを確認する。もし仮想
チヤネル番号がこのサイズよりも大きければ、ブ
ロツク９２がトラツプ３７を呼出して誤り表示さ
れた仮想チヤネル番号を表示する。

もしＩ／Ｏ記述子テーブル５８が充分に大きけ
れば、ブロツク９４はメモリー８からＩ／Ｏ記述
子を取出し、これをCPU０ ４−２のレジス
タ・フアイル４６の作業レジスタに格納する。

判断ブロツク９６は、Ｉ／Ｏ記述子の妥当Ｖビ
ツト０をテストし、もしこのビツトがリセツトさ
れてＩ／Ｏ誤りトラツプ番号３７を表示するなら
ば、ブロツク９８へ分岐する。

さもなければ、ブロツク１００は仮想Ｉ／Ｏ指
令のリング・ビツト０および１かR_effを計算す
る。

R_effは、IOLDまたはＩ／Ｏ指令を構成する指
令が格納されるリングの最大値（最も小さな特権
が与えられる）である。

判断ブロツク１０１は、指令を開始したメモリ
ー８における命令の命令コード・フイールドを調
べることにより、仮想Ｉ／Ｏ指令がIO指令（第
２Ａ図、第２Ｂ図または第２Ｃ図）、あるいは
IOLD指令（第２Ｄ図）のいずれであるかをテス
トする。もしこの命令がIO指令を求めるならば、
判断ブロツク１０３は値R_effをＩ／Ｏ記述子に照
してテストする。もし値_effがR1よりも大きけれ
ば、ブロツク１０５はトラツプ３８のＩ／Ｏアク
セス誤り操作を開始する。もし値R_effがR1より小
さいかあるいはこれと等しければ、フアームウエ
アはブロツク１１８へ分岐し、このブロツクは仮
想チヤネル番号をＩ／Ｏ記述子テーブル５８の
Ｉ／Ｏ記述子からの物理的チヤネル番号と置換す
る。

判断ブロツク１０２は、仮想Ｉ／Ｏ指令のＤビ
ツト９をテストする。もしビツト９が装置入力指
令を示すならば、判断ブロツク１０８はＩ／Ｏ記
述子のＲビツト１がセツトされるか、また値R_eff
がＩ／Ｏ記述子のR2のビツト６および７より小
さいかこれと等しいかをテストする。もしそうで
あれば、ブロツク１４０はＭビツト２をIOLDバ
ツフア・ページ記述子にセツトする。もしそうで
なければ、ブロツク１０６はフアームウエアのア
クセス検査を介してアクセスの誤り38を求める。

もし判断ブロツク１０２が、仮想IOLD指令に
おけるＤビツトの状態をテストすることにより装
置の出力指令を表示したならば、判断ブロツク１
０４がＩ／Ｏ記述子のＷビツトがセツトされ値
R_effがＩ／Ｏ記述子のR1（ビツト４および５）よ
り小さいかあるいはこれと等しいことをテストす
る。さもなければ、ブロツク１０６がトラツプ38
を生成する。

ブロツク１１０はＩ／Ｏページ記述子の修正子
Ｍビツト（ビツト２）をセツトする。

判断ブロツク１１２は、プロセツサの記述子セ
グメント（PDS）６０に置かれるIOLDバツフア
に対するセグメント記述子におけるＩ／Ｏビツト
２がセツトされるかどうかをテストする。もしセ
ツトされなければ、ブロツク１１４がトラツプ１
４の保護の抵触ルーチンを呼出す。さもなけれ
ば、判断ブロツク１１６が、定数（2048）を第２
Ｄ図の第２のサイクル範囲の範囲データ・フイー
ルドのビツト０〜15と比較することにより、
IOLDバツフア・サイズが2048バイトより小さい
かこれと等しいかをテストする。この範囲がペー
ジに跨がらないことを保証するため、フアームウ
エアは、第２Ｄ図の範囲プラス、オフセツトが
2048より大きくないことを調べる。このオフセツ
トは、通常の仮想アドレスから物理的アドレスへ
の変換中に計算される。もしどちらかのテストの
答が得られなければ、ブロツク１１４がトラツプ
14の保証低触ルーチンを呼出す。

もし両方のテストが成功すれば、ブロツク１１
８が仮想Ｉ／Ｏ指令の仮想チヤネル番号をＩ／Ｏ
記述子に含まれる物理的チヤネル番号と置換す
る。

フアームウエアは、次にブロツク７４へ分岐
し、IOまたはIOLD指令が通常の指令として処理
され、第１図のシステム・バス２と接続されたサ
ブシステムにより通常の指令として取扱われる。

本発明についてはその望ましい実施態様に関し
て示し記したが、当業者には、本発明の主旨およ
び範囲から逸脱することなく、形態および細部に
おける上記および他の変更が可能であることが理
解されよう。

【図面の簡単な説明】

第１図はデータ処理システムの全体ブロツク
図、第２Ａ図乃至第２Ｅ図は入出力指令のフオー
マツトを示す図、第３図は仮想メモミー管理およ
び中央処理装置を示す部分ブロツク図、第４図は
安全保護入出力システムのレジスタおよびテーブ
ルを示すブロツク図、および第５図は仮想入出力
フアームウエアの構成を示すフロー図である。 １……多重処理システム、２……システム・バ
ス、２−１０……システム・バス・インターフエ
ース（SBI）、４……中央サブシステム（CSS）、
４−２……中央処理装置（CPU）０、４−６…
…キヤツシユ、４−８，４−１０……仮想メモリ
ー管理装置（VMMU）、４−１２……制御スト
ア、１４……周辺コントローラ、２０……システ
ム管理機能（SMF）、２２……Ｑレジスタ、２４
……シフタ、２６……データ・イン・レジスタ、
３０……仮想メモリーのランダム・アクセス・メ
モリー（VM−RAM）、３２……デコーダ、３４
……内部バス、３６……BPラツチ、３８……BP
バス、４０……バス、４２……Ａバス、４４……
BIバス、４６……レジスタ・フアイル、４８…
…演算論理装置（ALU）、５０……オペレーテイ
ング・システム、５４……DSBR、５６，５８…
…記述子セグメント・ページ・テーブル、６０…
…プロセス記述子セグメント、６２……IOLDバ
ツフア・セグメント・ページ・テーブル、６４…
…IOLDバツフア・セグメント・ページ・フレー
ム。

Claims (1)

1. 【特許請求の範囲】 １ 仮想Ｉ／Ｏ指令を物理的Ｉ／Ｏ指令へ変換す
   る装置において、 装置を識別する仮想チヤネル番号を含む仮想
   Ｉ／Ｏ指令を格納する第１の手段と、 ユーザを識別する記述子セグメントを格納する
   第２の手段と、 前記第１の手段と接続されて該第１の手段に格
   納された前記チヤネル番号の第１の部分に応答
   し、前記第２の手段と接続されて前記第２の手段
   に格納された前記ユーザを識別する記述子セグメ
   ントに応答して、前記ユーザが使用できる一連の
   装置を識別するＩ／Ｏページ記述子を見出す第１
   のテーブル手段と、 前記第１の手段および前記第１のテーブル手段
   と接続され、前記チヤネル番号および前記Ｉ／Ｏ
   ページ記述子に応答して、前記装置を識別する物
   理的チヤネル番号を含むＩ／Ｏ記述子を見出す第
   ２のテーブル手段と、 前記第１の手段および前記第２のテーブル手段
   と接続され、前記ユーザ識別子を介してユーザの
   装置へのアクセスを決定し前記Ｉ／Ｏ識別子を介
   して適切な仮想Ｉ／Ｏ指令操作を決定することに
   よつてユーザの特権を検証するための比較手段を
   有し、ユーザの特権の検証に応答して前記仮想チ
   ヤネル番号を前記物理的チヤネル番号により置換
   することにより、前記物理的Ｉ／Ｏ指令を生成す
   る第３の手段とを設けることを特徴とする装置。 ２ プロセスのユーザ特権（リング番号）と仮想
   チヤネル番号とを含む仮想入出力指令が第１のレ
   ジスタ５２に入力され、更に前記ユーザに対して
   一意のセグメント記述子を第２のレジスタ５４に
   入力するシステムにおいて、仮想入出力指令を物
   理的入出力指令に変換する方法であつて、 前記記述子がページ記述子のグループ５６を保
   持する記憶装置内の記憶場所の基底アドレスを含
   み、 前記第２のレジスタに保持された基底アドレス
   と前記第１のレジスタに保持された仮想チヤネル
   番号の一部を組み合わせることによつて前記ペー
   ジ記述子の特定の１つの前記記憶装置内のアドレ
   スを決定し、 前記１つのページ記述子を取り出すため、該１
   つのページ記述子のアドレスを用いて前記記憶装
   置をアクセスし、 前記第１のレジスタに保持された前記仮想チヤ
   ネル番号と前記１つのページ記述子の一部を組み
   合わせることによつて特定の入出力記述子５８の
   前記記憶装置内のアドレスを決定し、 前記特定の入出力記述子を用いることを許すプ
   ロセスの必要な特権（リング番号）の表示と物理
   的チヤネル番号とを含む前記特定の入出力記述子
   を取り出すため、該特定の入出力記述子のアドレ
   スを用い、 前記入出力記述子に含まれる表示から決定され
   る必要な特権と前記指令に含まれるユーザ特権と
   を比較し、 前記ユーザ特権が前記必要な特権によつて許さ
   れた特権の範囲に入る場合は、前記入出力記述子
   に含まれる物理的チヤネル番号を用いて物理的入
   出力指令を発生することを特徴とする方法。