JPH0795290B2 - 実時間ソフトウエア監視兼書込み保護制御装置 - Google Patents

Description

【発明の詳細な説明】 （イ）産業上の利用分野 本発明は、コンピユータプログラムの適切な実行ならび
にメモリに記憶されたデータの保護を独立的に検証し
て、単一の中央処理装置で実行される多重ソフトウエア
の隔離を行なう装置に関する。

（ロ）従来の技術 航空機の飛行制御装置のような多くの重要な安全性を利
用することが、アナログハードウエアにおいて実行され
ており、誤つたソフトウエアの実行によつて生ずること
があり得る潜在的な危険を回避している。

アナログハードウエアにおいて実行される機能と異な
り、ソフトウエア機能は、同じコンピユータで実行され
る他のソフトウエア機能と効果的に時間分割されてい
る。従つて、個々のソフトウエア機能は隔離しにくい。
ソフトウエアの適切な実行の検証を助けるために種々の
技術が利用されて来ている。

ソフトウエアの実行を監視し、かつデータを保護するこ
とは、ソフトウエアそれ自体において以前から達成され
ている。ソフトウエアに関連した監視の例としては、心
拍的監視（heartbeatmonitor）ならびにソフトウエアチ
ケツトチエツクがある。心拍的監視において、ソフトウ
エアは規則的間隔でパルスを出力し、実時間動作を検査
する。しかし、ソフトウエアあるいはハードウエアの故
障でも監視パルスを出力し続けることもあり得る。ソフ
トウエアチケツトチエツク監視では、各モジユールは、
二進ワードまたはフラグの形式でチケツト（ticket）を
出力し、その実行を表示する。監視モジユールは、チケ
ツトの受信を介して、ソフトウエアの実行を検証しよう
とするものである。従つて、この技術は、監視しようと
するのと同じ処理装置の直接制御の下に置かれている。

従つて、重要な安全性関連の機能を行なうソフトウエア
が適切に実行しているか、あるいはそのプログラムデー
タが変更されていないかを確かめることは困難である。

従来、ソフトウエアは、ソフトウエアモジユールと称す
る実行可能コードから成る小さい機能ブロツクに分けら
れる。各ソフトウエアモジユールは、航空学のための米
国無線技術委員会（RTCA）文書DO−178内に含まれる定
義に従つて、微妙（クリチカル）、必須、非微妙（ノン
・クリチカル）として分類することができる。なお、微
妙（クリチカル）とは、故障が発生する状態つまり設備
上の欠陥により飛行機が安全な飛行および着地ができな
くなってしまった時のための機能、必須とは、故障が発
生する状態つまり設備上の欠陥により飛行機の乗客数ま
たは不利な操作状況での操縦者の対処能力の低減に対す
る機能、非微妙（ノン・クリチカル）とは、故障が発生
する状態つまり設備上の欠陥により飛行機または操縦者
の対処能力を大幅に低減させないための機能をいう。こ
れらのソフトウエア範囲のうちの２つ以上に該当するモ
ジユールを有するソフトウエアパツケージが、共通の処
理装置によつて実行される場合、ソフトウエア臨界性範
囲についての明確な分割を行う何らかの隔離方法が必要
とされる。そうでなければ、該パツケージ内の全モジユ
ールの臨界性（criticality）は、ドキユメンテーシヨ
ン、検査、および確認要件に関するグループの最も微妙
な臨界性を台無しにしてしまう。

異なる臨界性レベルを有するソフトウエアを完全に隔離
するために、２つの基本的な問題が解決されねばならな
い。

1.実行検証 ソフトウエア実行は、非微妙なソフトウエアモジユール
が、間違つてプログラムの流れを妨げ、よつて適切な呼
出しシーケンスまたは微妙なモジユールの実行率に影響
を与えることが無いよう検査されねばならない。

2.データ隔離検証 クリチカルデータは、非微妙ソフトウエアがスクラツチ
パツドメモリの場所を間違つて変えてしまわないように
保護されねばならない。

従つて、ソフトウエアにおける走行安全性機能を実現す
る本質的問題は、多重臨界性ソフトウエアパツケージに
おける微妙なソフトウエアモジユールがきれいなデータ
により、適切なシーケンスで、完全に実行されるよう検
証することである。

本発明の実時間ソフトウエア監視兼書き込み保護制御装
置は、独立してソフトウエアの実行を検証する。それ
は、より低い臨界性レベルのソフトウエアから微妙デー
タを隔離し、かつ、保護し、よつて、単一処理装置内に
おいて、航空学のための米国無線技術委員会（RTCA）文
書DO−178に述べられているような臨界性の３つのレベ
ルに、ソフトウエアを隔離することが可能になる。本発
明は、ソフトウエアが適切なシーケンスで実行するこ
と、および全ソフトウエアタスクが特定時間内に完了す
ることを検証する。

（ハ）作用 本発明は、コンピユータプログラムの適切な実行を検証
し、かつ、メモリの選択された範囲が不注意に変更され
ないよう保護する、装置であり、従つて単一の中央処理
装置において実行する多重プログラムのためのデータの
明確な隔離および保護が行なわれる。

独立のソフトウエア監視装置は、中央処理装置において
実行するソフトウエアから一連のデータキーを受信す
る。該データキーシーケンス、すなわち直列のデータキ
ーはROMに対してアドレスを発生し、該ROMは複数の適正
なコード、すなわちデータキーと整合されていなければ
ならず、それにより適切なモジュールが実行されるコー
ドを出力し、それは入力データキーの選択された部分と
比較されて該入力データキーの有効性、従つて中央処理
装置において実行するソフトウエアの適切な動作を検証
する。ここで、データキーの有効性とは、適正コードと
比較され同一とみなされた場合に有効とされる。従って
データキーの有効性は、適正コードとの比較により確立
される。その上、メモリの選択された範囲は書込み保護
信号によつて隔離され、従つて微妙なデータの不注意な
変更を防いでいる。なお、隔離とは、隔離することの
他、隔離されて設置することも意味している。従ってソ
フトウエアの隔離とは、異なるソフトウエアが識別され
隔離されることにより、ある一つのモジュールの実行が
他のモジュールの実行の妨げにはならないことを意味す
る。

（ニ）実施例 第１図に示されるように、本発明はソフトウエア監視集
積回路10およびソフトウエア識別ROM11から成つてい
る。各ソフトウエアモジユールは、図示されていない
が、中央処理装置（CPU）からの入力あるいは出力があ
ると、ソフトウエア監視集積回路10に、二進データキー
１を書き込む。データキーとは、実行されるモジュール
およびその臨界性の分類を独自に識別する二進ワードの
ことである。ソフトウエア監視装置10は、ソフトウエア
識別ROM11に記憶された、確定した適正コードシーケン
ス（分岐を含む）とデータキー１を比較する。適正デー
タキー１がソフトウエア監視装置10に書込まれる度毎
に、ソフトウエア監視装置10は新らしい状態に遷移す
る。従つて、ソフトウエア監視装置10とROM11とで状態
マシンを形成する。従つて、ソフトウエア監視装置10
は、データキー１が正しく、かつ、適切なシーケンス内
にあると検証する。データキー１がシーケンスを外れ
て、入れられる場合、ソフトウエアの故障がリード線50
に告げられる。書き込み保護制御信号４は、現在の実行
モジユールに対応するが、それがシステムスクラツチパ
ツドメモリ（図示されていない）に与えられて、微妙な
データが不注意に変更されないよう保護する。

データキー１の適正シーケンスは分岐を含むこともでき
る。データキー１の多重適正シーケンスは選択的に定め
ることができるので、ソフトウエア監視集積回路10はモ
ード入力８を有する。１つ以上の適正シーケンスが定め
られている場合、モード入力８はいずれのシーケンスが
適正であるか判定する。例えば、飛行制御装置利用例に
おいて、巡航シーケンスは、着陸モード中、適正シーケ
ンスセツトから除外される。

多くの利用例において、それぞれが異なる繰り返し度を
有する、若干の独立したソフトウエアタスクが実行され
ることになつている。本発明において、個別のソフトウ
エアタスクが一時的に中止され、他のタスクが、それが
前に中止された全くその時点で再開されることができ
る。従つて、各個別タスクはソフトウエア監視装置10に
よつて監視され、定められた繰り返し度で完了する。

次に、第２図では、本発明の詳細な説明が与えられる。
本発明は、ソフトウエア監視集積回路10ならびにソフト
ウエア識別ROM11を有している。図示されてはいない
が、中央処理装置（CPU）における、各ソフトウエアモ
ジユールの実行の開始と終了において、データキー１
は、ソフトウエア監視装置10に、従つて通常のＤタイプ
ラツチ21,22,23および34に、同時に、与えられる。デー
タキー１はキーコード３、分岐コード７、および書込み
保護コード４を有している。キーコード３は、独自にキ
ーコード３を同定する、通常８ビツトを有する２進コー
ドとなつている。分岐コード７は通常２ビツトを有する
２進コードであつて、実行しようとするプログラム制御
における分岐を特定する。通常、４ビツトから成る書込
み保護コードは、スクラツチパツドメモリの何れの範囲
がCPUによつてアクセスされ得るかを特定する。次のデ
ータキー１の受信によつて変更されるまで、メモリ書込
み保護機能は有効のままとなつている。

書込みパルス信号２が存在する場合、データキー１はラ
ツチ21,22および23内にストローブされる。制御パルス3
2が存在する場合には、データキー１はラツチ34内にス
トローブされる。データキー１と書込みパルス２の入力
に際して、分岐コード７はラツチ21からAND回路41に出
力される。分岐コード７は、何れのプログラム分流が、
与えられたデータキー１に関連するかを定める。モード
信号８もまたAND回路41への入力となつている。AND回路
41は選択された分岐を任意に妨げる働きをし、かつ、分
岐制御信号９を出力する。分岐制御信号９と旧キーコー
ド信号19とで、ソフトウエア識別ROM11のアドレスを形
成する。直ぐ前のキーコード３に対応する旧キーコード
19は、キーコード３および遅延書込みパルス25aの入力
に際して、ラツチ24からソフトウエア識別ROM11に出力
される。適正キーコード５および適正書込み制御コード
６は、分岐制御信号９および旧キーコード19のアドレス
によつて定められる、ソフトウエア識別ROM11の出力と
なつている。

データキー１がソフトウエア監視装置10に書込まれると
すぐ、キーコード３はラツチ22から比較器12に出力さ
れ、そして書込み保護コード４はラツチ23から比較器12
に出力される。

ソフトウエア識別ROM11は、比較器12に対して、適正キ
ーコード５ならびに適正書込み制御コード６を出力す
る。キーコード３および書込み保護制御コード４は、比
較器12において、適正キーコード５および適正書込み保
護コード６と比較される。該比較が有効でない場合（等
しくない場合）、ORゲート26に作用するリード12a上の
比較器12からの出力によつて、ラツチ13がセツトされ、
故障を表示する。ラツチ13へのクロツク入力は、遅延さ
れた書込みパルス25aである。書込みパルス２からその
入力を受信する遅延25の長さは、通常、数ナノ秒となつ
ている。遅延25は、比較器12に関連する内部積分回路遅
延を受入れるだけの十分な長さでなければならない。ラ
ツチ13が、比較器12への入力について比較の不一致を示
すようにセツトされる場合、それは、図示されていない
が、システムリセツトによりクリアされるまで、セツト
されたままとなつている。

前述のように、書き込まれた全データキーを監視するこ
とに加えて、ソフトウエア監視装置10は、データキー１
の定められたシーケンスが割り当てられた時間間隔内に
受信されたことを確認しなければならない。最終キー検
出器18が、ANDゲート27への出力によつて、最終キーコ
ード３が受信されていることを表示し、さらに比較器12
がデータキー１が適切なシーケンスになつていることを
確認する場合、ラツチ14は、ANDゲート27に作用するリ
ード12a上の比較器12からの出力によつてセツトされ、
シーケンスの最終有効キーコード３が受信されているこ
とを表示する。ソフトウエアのタスクを完了するために
割り当てられた時間期間は、タスクタイマ15によつて監
視され、該タイマはCPUからタイムベース入力15aを受信
する。タスクタイマがタスク終了信号16を出力する場
合、ラツチ14がセツトされていなければ、そこでラツチ
17が、ANDゲート28ならびにORゲート29を介して、セツ
トされ、故障を表示する。

上記の説明は、単一タスクに対応するデータキー１の単
一シーケンスの監視に適用される。各々が異なる繰返し
度を有する多重タスクの監視は、タスク間で切換えるこ
とによつて、本発明により達成される。データキー１
は、データをラツチ34にストローブする制御パルス32を
介して、ソフトウエア監視装置10に書込まれる。ラツチ
34は制御コード34aを、制御コード検出器36に出力す
る。制御コード34aが無効である場合、ラツチ38はORゲ
ート37を介してセツトされるが、該ゲートの出力は、遅
延装置35からの出力によつてラツチ38にストローブさ
れ、そして無効信号39はORゲート40に出力される。ラツ
チ34もまた、タスク選択コード34bを出力し、該コード
は、多重タスク環境において、ソフトウエア識別ROM11
へのアドレスの一部となり、さらにタスク選択デコーダ
44への入力となつている。ラツチ23、ラツチ24およびタ
スクタイマ15は単一タスクに専念しなければならないの
で、複数のラツチ23、ラツチ24およびタスクタイマ15が
備えられるが、第２図には示されていない。タスク選択
デコーダ44は、タスク選択コード34bに含まれる情報に
依つて、ｎ個のラツチ23、ラツチ24およびタスクタイマ
15のうちの１つを作動する。

従つて、本発明は、ソフトウエアの実行を監視し、か
つ、データを保護する。中央処理装置とは独立の装置と
なつている。従つて、不適切なソフトウエアの実行は、
即座に、検出され、高度の信頼度と信用度をもつて報告
される。

本発明の良好な実施例により説明して来たが、使用され
た用語は説明のためであつて限定するものでなく、本発
明の真の範囲ならびに発明の精神から逸脱することな
く、より広い範囲で、特許請求の範囲内で、種々の変更
がなされ得る点を理解されたい。

【図面の簡単な説明】

第１図は本発明を実行するためのブロツク図、第２図は
ソフトウエア監視集積回路の詳細なブロツク図である。 図中、10はソフトウエア監視集積回路、11はソフトウエ
ア識別ROM、12は比較器、13,14,17,21,22,23,24,31,34,
38はラツチ、15はタスクタイマ、18は最終キー検出器、
25,35は遅延装置、26,29,37,40はORゲート、27,28はAND
ゲート、36は制御コード検出器、41は論理AND回路、お
よび44はタスク選択デコーダをそれぞれ示す。

フロントページの続き (72)発明者 バイアラン ハリス ヒル アメリカ合衆国アリゾナ州85023，フエニ ツクス，ノース・34ス・アベニユー・ 16814 (72)発明者 ドナルド アーサー ピーターソン，ジユ ニア アメリカ合衆国アリゾナ州85024，フエニ ツクス，ノース・９ス・プレイス・19402 (56)参考文献 特開 昭54−18641（ＪＰ，Ａ) 特開 昭58−171798（ＪＰ，Ａ) 特開 昭55−18760（ＪＰ，Ａ)

Claims (3)

【特許請求の範囲】
1. 【請求項１】実時間ソフトウエア監視兼書込み保護制御
   装置であって、 中央処理装置（CPU）におけるプログラムの実行中、選
   択された時点に発生し、前記CPU内の変更されてはなら
   ないメモリの範囲を表す書込み保護制御コードがそれぞ
   れ含まれている一連のデータキーを発生するシーケンス
   手段（１）と、 前記データキーに応答し、アドレス・コードを発生する
   アドレス手段（21、22、24、41）と、 前記アドレス・コードに応答して、それぞれ前記アドレ
   ス・コードに対応する複数のシーケンシャルな適正コー
   ドであって、適正書込み保護コードをそれぞれ含む前記
   適正コードを与える適正コード手段（11）と、 前記シーケンス手段（１）及び前記適正コード手段（1
   1）に結合し、前記適正コードの選択された部分を、対
   応する前記データキーの選択された部分と比較して、前
   記データキーの有効性を示す信号を与える比較手段（1
   2）とを備え、 前記比較手段により、前記書込み保護コードと前記書込
   み保護適正コードとの比較が行われ、前記書き込み保護
   コードの有効性が確立され、 更に、前記データキーを受信するように結合され、前記
   一連のデーターキーの最後のデータキーの発生を示す信
   号を発生する最後のデータキー表示手段（18）と、 前記データキーの有効性を示す信号及び前記最後のデー
   タキーの発生を示す信号に応答して、前記一連のデータ
   キーの有効な完了を示す完了信号を与える完了手段（1
   4、27）と、 前記比較手段と前記最後のデータキー表示手段に結合
   し、前記比較手段で行われた比較が有効でないとき又は
   前記最後のデータキーが所定のタスク完了時間より前に
   受信されないとき、誤りを表示する誤り表示手段（12
   a、13、14、17、26、27、40、50）と、 を備えた実時間ソフトウエア監視兼書込み保護制御装
   置。
2. 【請求項２】特許請求の範囲第１項に記載の装置におい
   て、前記完了手段は、 前記CPUから時間ベース信号を受信するように結合さ
   れ、ソフトウエア・タスク持続時間のタイミングを与
   え、処理装置タスクの終了を表す終了信号を与える手段
   （15）と、 前記終了信号と前記完了信号に応答して、ソフトウエア
   ・タスクの有効な実行を示す信号を与える手段（25）
   と、 を備えた実時間ソフトウエア監視兼書込み保護制御装
   置。
3. 【請求項３】特許請求の範囲第２項に記載の装置におい
   て、 前記データキーに応答し、前記アドレス・コードの一部
   となり、複数のソフトウエア・タスクから選択されたソ
   フトウエア・タスクを指定するタスク選択信号を発生す
   る手段（33、44）と、 前記データキーに応答して制御コードを発生する手段
   （34、36）と、 前記制御コードに応答して、前記制御コードの有効性を
   表す信号を発生する手段（37、38、40、50）と、 を備えた実時間ソフトウエア監視兼書込み保護制御装
   置。