JPH08508352A - データ処理システムのための安全臨界プロセッサおよび処理方法 - Google Patents

Abstract

(57)【要約】 安全臨界環境においてアプリケーションソフトウエアを動作するためのシステムおよび方法が、データ処理実行のためのデータプロセッサと、オペレーティングシステムおよびアプリケーションソフトウエアと作用し合うための中間シェルとを具備する。２つのタイミング信号列間の時間間隔が所定の値よりも長いことをそして可能性のある安全臨界障害を構成することの決定のため、安全臨界プロセッサは中間シェルからタイミング信号列を受け取りそして可能性のある安全臨界障害を中間シェルへ指示する。

Description

【発明の詳細な説明】 データ処理システムのための安全臨界プロセッサ および処理方法 発明の背景 本発明はデータ処理システムのための安全臨界プロセッサおよび処理方法に関 するものである。 安全臨界環境とは、コンピュータの（プロセスや機能などの）ソフトウエア動 作のエラー（たとえば怠慢な出現あるいは不許可の出現、要求時の出現不履行、 誤った値または検出されないハードウエア障害）が可能性のある危険またはシス テム結果予測可能性の喪失を招くようなものをいう。怠慢な動作が死やけがや占 有上の病あるいは重大操作の直接の原因となるかもしれない場合に、あるいは死 やけがあるいは重大動作を招くおそれのある決定のためにコンピュータ活動結果 が頼りにされるであろう場合に、安全臨界環境が安全臨界コンピュータソフトウ エア構成要素に必要である。安全臨界環境が複数の標準または取決めの共通集合 でありそしてDOD-STD-2167およびDOD-STD-2168のもとで形成されるソフトウエア と協調して動作するたとえばMIL-STD-882Bなどの軍事上の仕様において取り扱わ れる。さらに、命令追従を保証するため、コンピュータプログラムの実行完了後 、コンピュータプログラム動作の再調査および検査を行う能力が 安全臨界環境の部分となる。 1992年10月22日付けで出願され本出願と同じ譲受人に譲渡された米国特許出願 第07/964,742号において、安全臨界環境を通常提供できずそしてパーソナルコン ピュータのための産業標準のオペレーティングシステムで動作するデータ処理シ ステムにおいて安全臨界環境を提供するためあるシステムが開示されている。こ のシステムにおいて、中間オペレーティングシェルが（たとえば、ＤＯＳ、マッ キントッシュのためのSystem 7というオペレーティングシステム、ウインドウズ 、ＯＳ／２などの）標準的なパーソナルコンピュータオペレーティングシステム に重畳されそして中間シェルの機能が、通常、安全臨界システムではないパーソ ナルコンピュータのために安全臨界環境をエミュレートすることである。安全臨 界性能の逸脱について全てのシステム機能の監視を行うため、シェルは安全臨界 の道具としてシステム性能の完全性をモニタしそしてオペレーティングシステム と作用し合い、これらをリアルタイムで修正するかあるいはシステムが進行しな いようにする。アプリケーションソフトウエアが通常のオペレーティングシステ ムと作用しあう必要がないように、シェルはさらにアプリケーションソフトウエ アと作用し合う機能をも有する。1992年10月22日付け出願の同時継続の米国出願 番号第07/964,742号の開示内容を参照されたい。 上述の継続出願において開示されているシステムは、 パーソナルコンピュータで利用できる標準コンピュータハードウエアの使用によ り安全臨界モニタの機能を実行できるけれども場合によっては処理速度を犠牲に してこれを行う。 発明の概要 本発明の主たる目的は、パーソナルコンピュータ速度と妥協することなく安全 臨界モニタ機能を実行するため、パーソナルコンピュータのメインプロセッサと 同時動作の安全臨界プロセッサを提供することである。 安全臨界プロセッサは、コンピュータハウジング内の利用可能なスロット部に 装填されるプラグインボードとして構成できるし、あるいは、そこで利用可能な パワーを有するのが好ましい複数のコンピュータポートのうちの一つ（たとえば プリンタポートなど）またはこれと等価なポートに接続する装置として構成でき る。 本発明の上述の目的およびその他の目的は、中間シェルからのタイミング信号 列のうちの２つの信号間の時間間隔が所定値よりも長くそれにより可能性のある 安全臨界障害を構成することの決定のため中間シェルからのタイミング信号列の 受信手段と、中間シェルへの可能性のある安全臨界障害の指示のための手段とを 具備するデータ処理システムのための安全臨界プロセッサにより本発明により達 成される。 好ましい実施例において、電源が電圧を提供しそして電源電圧が所定の時間よ りも長い時間、所定限界の外側 にあることを、そしてそれにより可能性のある安全臨界障害を構成することの決 定のため、安全臨界プロセッサは電源電圧のモニタ手段を別途具備する。システ ムはさらにランダムアクセスメモリ（ＲＡＭ）を具備しそしてデータ処理手段は ＲＡＭ内のメモリ場所へのアクセス手段を有する。中間シェルはＲＡＭの読取り 専用部分のため定義される場所およびアプリケーションソフトウエアのためＲＡ Ｍの定義された場所の決定のための手段を具備し、安全臨界ププロセッサはＲＡ Ｍの定義場所格納手段と、データ処理手段による全てのメモリアクセスと格納場 所との比較を行い、不適当なアクセスが出現し、それにより可能性のある安全臨 界障害を構成するかどうかの決定手段とを有する。 さらに本発明によれば、データ処理手段が制御信号発生手段を有し、中間シェ ルがデータ処理手段より発生される制御信号の指示手段を有し、安全臨界プロセ ッサが発生される制御信号の指示の受け取り手段と、望ましくない比較とそれに よる可能性のある安全臨界障害を構成することの指示のため、これらを実際に発 生される制御信号とを比較する手段とを有する。 中間シェルは一意識別コード指示手段を有するのが好ましく、安全臨界プロセ ッサは、一意識別コードの格納手段と、中間シェルにより指示される識別コード と格納識別コードとの比較および望ましいあるいは望ましくない比較の中間シェ ルへの指示のため、中間シェルにより 指示される識別コードの受取手段とを具備する。 安全臨界プロセッサは、中間シェルからのデータの暗号化のため中間シェルか らのデータの受取手段と、暗号化データを中間シェルへ導くための手段と、暗号 化データの解読のため中間シェルからの暗号化データの受取手段とを別途具備す る。 暗号化手段は一意暗号化キーで暗号化するための手段を含み、解読化手段は、 前記一意暗号化キーで解読するための手段を含み、安全臨界プロセッサは、暗号 化データが一意暗号化キーで暗号化されなかったことを、そして可能性のある安 全臨界障害を構成することを指示するための手段を有する。 本発明の別の目的が、安全臨界プロセッサの使用により安全臨界環境において アプリケーションソフトウエアを動作する方法を提供することである。 本発明の上述の目的およびその他の目的は添付図面を参照しつつ以下の発明の 詳細な説明において開示される。 図面の簡単な説明 図１は本発明による安全臨界プロセッサを含むデータ処理システムのブロック 図である。 図２は本発明による安全臨界プロセッサの一実施例のブロック図である。 発明の詳細な説明 たとえば、Intel 80X86またはMotorola 680XXのマイ クロプロセッサをベースにした中央処理装置１１を具備する図１に示されるよう な現在のマイクロコンピュータシステムは、２種類のデータを含むＲＯＭ１２と 情報が送られる場所を特定するアドレス線と実際の情報を伝達するデータ線とを 含むシステムの他の要素と、ＣＰＵバス１８上で通信するバスシステムである。 現在のバス網は８、１２、１６、３２および６４ビットである。ＲＯＭは簡単プ ログラムをＣＰＵへ送信する立ち上げ情報、いずれの要素がシステムに存在する かどうかについてのシステム情報およびＣＰＵの機能実行のためのマイクロプロ グラムを含む。ＣＰＵ１１はさらに、プログラムおよびデータを格納するＲＡＭ １３とバス１８を介して通信する。同時継続の米国特許出願第07/964,742号に開 示されるごとく、ＲＡＭ１３および／またはＲＯＭ１２は、本発明による使用中 にロードされるオペレーティングシステム、中間シェルおよびアプリケーション ソフトウエアを有する。 ＣＰＵはさらにキーボード２１からの入力を受け取るキーボード制御部または プロセッサ１４とバス１８を通じて通信する。 データおよびソフトウエアもまたディスクコントローラ１５および１６を介し バス１８を通じて通信するフロッピーディスク１９およびハードディスク２０に 格納される。 システムはさらに入／出力コントローラ１７を通じて （プリンタ２３やモデムなどの）外部機器とも接続し、入／出力コントローラ１ ７は順次シリアルポートやパラレルポートなどのポートを介して外部機器が接続 されるところの入／出力バス２２と順次接続する。 マイクロコンピュータはさらに全要素への調整電圧Ｖの供給を行う電源２４を 含む。 本発明によるシステムは、安全臨界機能の保持のため、本発明の好ましい実施 例において、ＲＡＭ１３および／またはＲＯＭ１２に格納された中間シェルの制 御のもとでこれと協調動作するそしてＣＰＵバス１８に接続される安全臨界プロ セッサ１０をも含む。 本発明の代替実施例において、安全臨界プロセッサ１０′は入／出力バス２２ へ接続され、プリンタ２３が接続可能なようにする出力部にパラレルポートを提 供し、そして伝達路としての入／出力バス２２から印刷情報を受け取る。 図２は図１に図示の安全臨界プロセッサ１０、１０′を実施する方法の重要な 要素を示す。 安全臨界プロセッサは、ＣＰＵバス１８に直接接続されるときＣＰＵバス１８ からあるいは、そこで利用可能なパワー出力を有するのが好ましい（プリンタポ ートなどの）出力ポートまたは等価ポートに直接接続されるとき入／出力バス２ ２からデータを受け取る入力レジスタを含む。 入力レジスタ１０５の受信情報が安全臨界プロセッサ 内部バス１０７へ適用され、ここからシステムの種々の要素へ伝送される。プロ セッサはバス１８または２２へ情報を適用する出力レジスタ１０６をも具備する 。 安全臨界プロセッサは後述のごとく安全臨界プロセッサの主たる機能の全ての ものの支持のためマイクロプログラムを含む別のマイクロプロセッサ１０１を包 含する。 中間シェルが動作していることの検証を支持する監視タイマー１０４がバス１ ０７へ接続される。中間シェルは、事前定義された信号列のバスへの適用により 中間シェルが動作していることをバス１８または２２を通じて安全臨界プロセッ サに通知することが要求される。事前定義信号列は中間シェルが循環しているこ とを表わす。事前定義信号列は、マイクロプロセッサ１０１により設定される画 定時間内に出現しなければならない。監視タイマー１０４はマイクロプロセッサ １０１により設定された時間およびバス１０７を通じての受信信号列をモニター する。もし新規な事前定義信号列がマイクロプロセッサ１０１により設定される 時間期間内に受信されなければ、監視タイマー１０４は、バス１８または２２へ 適用される緊急の高優先度フラグを中間バス１０７へ送出し、動作を終了するか あるいはオペレータへ可能性のある障害を通知するよう直ちにシステムに通知す る。 使用において、マイクロプロセッサ１０１は通常監視タイマー１０４を不能化 する。ユーザは最初中間シェル をＲＡＭ１０８にロードし、それからアプリケーションプログラムがランされる 。先ずシステムにおいて安全臨界レベルを設定するために、アプリケーシヨンプ ログラムは中間シェルと作用し合う。この安全臨界レベルは、中間シェルにより マイクロプロセッサ１０１へ与えられる時間値へ翻訳され、マイクロプロセッサ １０１はそれからこの時間値を、監視タイマーのため事前定義信号列が出現しな ければならないところの時間として設定する。中間シェルがアプリケーションプ ログラム動作を開始するとき、それは直ちにマイクロプロセッサにこの事実を通 知し、マイクロプロセッサ１０１がその機能実行のため監視タイマー１０４を可 能化する。 監視タイマーは引き続き事前定義信号列ならびにその前に障害が画定されると ころのそしてこれら事前定義信号列の受信と受信との間で生じ得るところの最大 時間期間を捜す。マイクロプロセッサ１０１が監視タイマー１０４を不能化する ときであるモニタ動作終了をマイクロプロセッサ１０１に中間シェルが通知する まで、安全臨界プロセッサはソフトウエア活動の独立観測装置として動作する。 安全臨界プロセッサは電源２４からの電圧Ｖを直接入力として受信する電源モ ニター１０３をも具備する。コンピュータパワーが許容可能な余裕の範囲内にあ ることの検証のため、電源モニターはシステムにおけるパワーレベルをモニター する。電源モニターは画定された時間 の間のレンジ外の読取りの発生を認定できそしてかかる事象をバス１０７を通じ マイクロプロセッサ１０１に通知する。 監視タイマーの場合と同様に、電源モニターはシステムの初期立上げの際に不 能化される。電源モニターのモニターおよび報告機能は、バス１８、２２を介し てのマイクロプロセッサ１０１へ向う信号による電源モニター機能の始動および 停止を指示する中間シェルにより起動される。マイクロプロセッサ１０１が引き 続き適当な時間に電源モニタ１０３を可能化しそしてこれを不能化する。電源の 任意の障害がバス１０７を通じマイクロプロセッサ１０１へ直ちに伝達され、マ イクロプロセッサ１０１は引き続きこの事実をバス１８、２２を通じ中間シェル へ伝達できる。 安全臨界プロセッサはＲＡＭ１３、フロッピディスク１９およびハードディス ク２０のアドレスマップの格納のため内部１０７へ接続されるＲＡＭ１０８を有 する。ＲＡＭ１０８におけるメモリマップ格納の目的は、あるアドレスが違法に アクセスされたかどうかの決定のため、全てのＣＰＵおよび入出力バスの活動を モニタすることである。 マイクロプロセッサ１０１は、読取り専用として指定されたアドレスが書き込 まれるどうかあるいはシステムにより使用される定義領域の外側のアドレスが読 み取られあるいは書き込まれるかどうかの決定のためバスのア ドレス活動をモニターする。このような出現の検出で、オペレータに直ちに通知 できるようマイクロプロセッサ１０１は中間シェルに通知する。 マイクロプロセッサ１０１はＣＰＵ１１による制御信号活動が正しいかどうか の認定のためバス活動をモニタする。このことについて、中間シェルは、予想さ れる制御信号の指示のため安全臨界プロセッサと通信する。これらの信号はＲＡ Ｍ１０８に格納され、マイクロプロセッサ１０１はバス１８、２２を通じて実際 の制御信号を受信しそしてこれらの実際の制御信号が正しいかどうかを見るため ＲＡＭ１０８の格納信号と比較する。モニターされる制御信号のタイプは、クロ ック割り込み、入出力装置信号および検査信号そしてダイレクトメモリアクセス 信号などのシステム割り込みである。入出力装置へ向う信号のモニタ動作はシス テムが不適当な装置への入力または出力を行っていないことの検証を可能にする 。割り込みモニタ動作はクロックサイクル時間およびＣＰＵ１１の活動を検証す る。 他のモニタ機能と類似して、アドレスアクセスおよ制御信号モニタ動作はシス テム立ち上げのときアイドル状態である。モニタ動作は、アプリケーションソフ トウエアのロードおよび安全臨界レベルの指示の後、中間シェルを通じて開始さ れる。その後、中間シェルは読取り専用と指定されるメモリ使用のアドレスおよ び活動のための画定領域を供給する。条件が指示するときに、中間シ ェルは、ＲＡＭ１０８の内容の変化を順次生じさせるマイクロプロセッサ１０１ とのバスを介しての通信によってモニタアドレスを変化できる。臨界レベルは、 どの活動が監視されるかをそして不適当な活動の認識で形成される動作を指図す る。 安全臨界プロセッサの別の要素がマイクロプロセッサ１０１に直接接続された 識別ＲＯＭないしＩＤＲＯＭ１０２である。ＩＤＲＯＭ１０２が製造の際に装着 される一意識別コードを含みそしてこれは特定の安全臨界プロセッサに特有であ る。このコードはマイクロプロセッサ１０１によってアクセス可能なだけであり そして内部バス１０７または出力レジスタ１０６を通じてボード外で利用可能で ない。 ＩＤＲＯＭ１０２の目的は安全臨界プロセッサと特定中間シェルとを整合する ことである。中間シェルは、中間シェルおよび安全臨界プロセッサの両方の装着 の際に識別コードが知らしめられている。こうして、複製中間シェルと一緒に使 用される任意のソフトウエアは別のコンピュータで使用不可能である。なぜなら 、中間シェルは、それが最初識別コードを安全臨界プロセッサに送信しそしてマ イクロプロセッサ１０１に整合があることを指示させなければ動作しないからで ある。 ＩＤＲＯＭ１０２に格納される識別コードはさらにアプリケーションソフトウ エアがそれのために装着されるところの特定機械とは別の機械でそのコピーが違 法使用 されないことの保証のため、アプリケーションソフトウエアと一緒に使用される 。 識別コードおよびＩＤＲＯＭ１０２はさらに後述するごとく安全臨界プロセッ サの暗号化能力で使用可能である。 安全臨界プロセッサはバス１０７へ接続される暗号器１０９および解読器１１ ０をも具備する。暗号器１０９は製造のときに装着される暗号化キーを有しそし て中間シェルまたはアプリケーションソフトウエアによって読み取られない。中 間シェルは、バス１８、２２で、安全臨界プロセッサへのデータ伝達およびデー タの暗号化された形式のものを受け取る。暗号器１０９の使用は、データログ内 の情報が変造されなかったことの保証のため、データログ上に署名が行われるこ とを可能にする。これは、アプリケーションソフトウエアおよび中間シェルの性 能の検証および防護として働く。 暗号器１０９により暗号化される暗号データ形式はそれの検証および認証のた めに使用できる補助的な情報を包含する。ログは関連情報の暗号コピーおよび読 取り可能コピーの両方を包含できるので、暗号化情報の検索が許容される。暗号 データの実際の検証のために、安全臨界プロセッサはバス１８、２２を介して暗 号化データを受け取り、情報を解読する解読器１１０へ適用し、それが同じ安全 臨界プロセッサによって実際に暗号化されたことの検証を行い、そして表示のた め情報をシステムに 供給する。 暗号化情報内に包含されるデータは最初与えられた情報だけでなく、データを 暗号化した特定の安全臨界プロセッサによってのみ認識できる検証および署名情 報をも包含する。この検証および署名情報は安全臨界プロセッサ１０の外部に伝 送されないので、暗号キーの決定またはデータの変造を行うことは事実上不可能 である。 ログ内の暗号データ記録の数および順序は中間シェルにより制御されそしてこ れら記録内の関連情報は安全臨界レベルに基づいて中間シェルにより定められる 。 中間シェルはさらに、安全臨界プロセッサが正しく動作していることの保証の ため、バス１８、２２を介しての安全臨界プロセッサとの通信によって安全臨界 プロセッサの動作をモニタする。この通信は健全性検査の形式でありそして知ら れる結果動作の性能を要求する。これは、中間シェルおよび安全臨界プロセッサ が互いに他のものの損失を認識しそして必要に応じ矯正動作をとることを可能に する。 安全臨界プロセッサは、内部問題を認識できるようバックグラウンドモードに おいて自己試験をも実行できる。発見された任意の問題が障害モード動作の起動 のため中間シェルへ指示される。自己試験は、マイクロプロセッサ１０１から暗 号器１０９への既知メッセージの送信そして引き続く既知メッセージの解読器１ １０への送信および結果の検証を含む。さらにモニタハードウエアの ラップアラウンド試験が、出力レジスタのデータが入力レジスタ１０５のデータ と同じことの検証により実行できる。 安全臨界プロセッサは、それが入出力バス２２へ直接接続される構成において 使用されるとき、図２に示されるごとく内部バス１０７への直接アクセスを有す るコネクタをも含む。これはプリンタ２３へ接続し、入出力バス２２からプリン タ２３へのプリンタデータの通り抜け手段として動作する。この動作において、 マイクロプロセッサ１０１はプリンタデータを認識しそして入力レジスタから直 接プリンタ２３へのおよびその反対方向へデータを直接的に転送するよう動作す る。 安全臨界プロセッサは、これと中間シェルとの間の通信のために使用される共 用メモリまたは先入れ先出しメモリと一緒に構成できることが理解されよう。安 全臨界プロセッサは、識別と暗号化のために使用される一般内部プログラムおよ び情報の格納のためＥＥＲＯＭ（電気的消去・書き込み可能ＰＲＯＭ）メモリを 含むことができる。識別および暗号化キーにおける実際のシステムは、外部装置 による任意の制御処理動作およびその情報へのアクセスを除去するマイクロコン トローラのタイプのチップの部分として記憶されるのが好ましい。装置の障害が 、修理および／または取り替えのため、安全臨界プロセッサの工場への戻しを要 求する。安全臨界プロセッサは、オペレータがバックアップシステムへ切り替え る ことができるまで障害を受けた動作が要求される場合において、冗長構成要素を 含むことが理解されよう。 明細書の説明は例示のためでありそして本発明の精神および技術思想から逸脱 することなく種々の修正および変更が可能であることを理解されたい。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，Ｍ Ｃ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ，ＳＮ， ＴＤ，ＴＧ)，ＡＴ，ＡＵ，ＢＢ，ＢＧ，ＢＲ，ＢＹ， ＣＡ，ＣＨ，ＣＺ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＧＢ，Ｈ Ｕ，ＪＰ，ＫＰ，ＫＲ，ＫＺ，ＬＫ，ＬＵ，ＭＧ，ＭＮ ，ＭＷ，ＮＬ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ， ＳＤ，ＳＥ，ＳＫ，ＵＡ (72)発明者 アデルソン，アレグザンダ エム. アメリカ合衆国 10566 ニューヨーク, ピークスキル，マウンテンサイド トレイ ル（番地なし) (72)発明者 エビ，ジェイムズ エイ. アメリカ合衆国 08534 ニュージャージ ー，ペニントン，ハーバトン ウッズビル ロード 37 (72)発明者 メデイロス，ジョエル イー. アメリカ合衆国 08075 ニュージャージ ー，デルラン，ベントウッド ドライブ 225

Claims (1)

1. 【特許請求の範囲】 １．処理動作実行のためのデータ処理手段と、オペレーティングシステムおよび アプリケーションソフトウエアと作用し合うための中間シェルを形成する手段と を有する、安全臨界環境においてアプリケーションソフトウエアを動作するため のシステムにおいて、 ２つのタイミング信号列間の時間間隔が所定値よりも長く、可能性のある安全 臨界障害を構成していることの決定のため、中間シェルからのタイミング信号列 を受け取るための手段と、 可能性のある安全臨界障害を中間シェルへ指示するための手段とを安全臨界プ ロセッサが有することを特徴とするシステム。 ２．供給電圧を提供するための電源を具備し、そして安全臨界プロセッサが、供 給電圧が所定の時間よりも長い時間所定の限界の外側にあることをそして可能性 のある安全臨界障害を構成することの決定のため、供給電圧をモニタするための 手段を別途具備する請求項１のシステム。 ３．ランダムアクセスメモリ（ＲＡＭ）を具備し、そしてデータ処理手段がＲＡ Ｍ内のメモリ場所へのアクセス手段を有し、中間シェルがＲＡＭの読取り専用部 分の定義された場所およびアプリケーションソフトウエアのた めＲＡＭの定義された場所の決定のための手段を具備し、安全臨界プロセッサが ＲＡＭの定義場所格納手段と、データ処理手段による全てのメモリアクセスと格 納場所との比較を行い、不適当なアクセスが出現し、それにより可能性のある安 全臨界障害を構成するかどうかの決定を行う手段とを有する請求項１のシステム 。 ４．データ処理手段が制御信号発生手段を有し、中間シェルがデータ処理手段よ り発生される制御信号の指示手段を有し、安全臨界プロセッサが発生される制御 信号の指示の受け取り手段と、望ましくない比較とそれによる可能性のある安全 臨界障害を構成することの指示のため、これらを実際に発生される制御信号とを 比較する手段とを有する請求項１のシステム。 ５．中間シェルが一意識別コード指示手段を有し、安全臨界プロセッサが、一意 識別コードの格納手段と、中間シェルにより指示される識別コードと格納識別コ ードとの比較および望ましい比較の中間シェルへの指示のため、中間シェルによ り指示される識別コードの受取手段とを具備する請求項１のシステム。 ６．安全臨界プロセッサが、中間シェルからのデータの暗号化のため中間シェル からのデータの受取手段と、暗号化データを中間シェルへ導くための手段とを別 途具備する請求項１のシステム。 ７．安全臨界プロセッサが、暗号化データの解読のため中間シェルからの暗号化 データの受取手段を別途具備す る請求項６のシステム。 ８．暗号化手段が、一意暗号化キーで暗号化するための手段を含み、解読化手段 は、前記一意暗号化キーで解読するための手段を含み、安全臨界プロセッサが、 暗号化データが一意暗号化キーで暗号化されなかったことを、そして可能性のあ る安全臨界障害を構成することを指示するための手段を有する請求項７のシステ ム。 ９．メインバスを別途具備し、安全臨界プロセッサがメインバスからの信号受け 取り手段を有する請求項１のシステム。 １０．メインバスを別途具備し、入出力コントローラがメインバスからの信号を 受け取りそして入出力バスが入出力コントローラから信号を受け取り、そして安 全臨界プロセッサが入出力バスからの信号受取手段と入出力バスからの信号を送 り込むための出力手段を有する請求項１のシステム。 １１．処理動作実行のためデータ処理手段が提供され、オペレーティングシステ ムおよびアプリケーションソフトウエアと作用し合うため中間シェルの形成のた め手段が提供される、安全臨界環境においてアプリケーションソフトウエアを動 作するための方法において、 ２つのタイミング信号列間の時間間隔が所定値よりも長く、可能性のある安全 臨界障害を構成していることの決定のため、中間シェルからタイミング信号列を 安全臨界プロセッサにおいて受け取りそして可能性のある安全 臨界障害を中間シェルへ指示することを備えたことを特徴とする方法。 １２．供給電圧を提供し、安全臨界プロセッサにおいて供給電圧をモニタし、そ して供給電圧が所定の時間よりも長い時間所定の限界の外側にあるかどうかそし て可能性のある安全臨界障害を構成するかどうかを決定することを備えた請求項 １１の方法。 １３．データ処理手段によりアクセスされるランダムアクセスメモリ（ＲＡＭ） を提供し、中間シェル内のアプリケーションソフトウエアのためＲＡＭの定義さ れた場所およびＲＡＭの読取り専用部分の定義された場所を決定し、安全臨界プ ロセッサにＲＡＭの定義場所を格納し、データ処理手段による全てのメモリアク セスと格納場所との比較を行い、不適当なアクセスが出現し、それにより可能性 のある安全臨界障害を構成するかどうか決定することを別途備えた請求項１１の 方法。 １４．データ処理手段が制御信号を発生し、中間シェルがデータ処理手段より発 生される制御信号を指示し、発生される制御信号の指示を安全臨界プロセッサに おいて受け取り、これらを実際に発生される制御信号と比較し、望ましくない比 較とそれによる可能性のある安全臨界障害を構成することを指示することを備え た請求項１１の方法。 １５．中間シェルが一意識別コードを指示し、安全臨界プロセッサが、一意識別 コードを格納し、中間シェルに より指示される識別コードを受け取り、これらを格納識別コードと比較し、そし て望ましい比較を中間シェルへ指示することを備える請求項１１の方法。 １６．中間シェルからのデータを安全臨界プロセッサにて受け取り、これを暗号 化しそして暗号化データを中間シェルへ導くことを別途備える請求項１１の方法 。 １７．中間シェルからの暗号化データを安全臨界プロセッサにて受け取りそして これを解読することを別途備える請求項１６の方法。 １８．暗号化の段階は一意暗号化キーで暗号化することを含み、解読の段階は、 前記一意暗号化キーで解読することを含み、暗号化データが一意暗号化キーで暗 号化されなかったことを、そして可能性のある安全臨界障害を構成することを指 示することを別途含む請求項１７の方法。 １９．安全臨界環境の実施のためデータ処理システムで使用するための安全臨界 プロセッサにおいて、 ２つのタイミング信号列間の時間間隔が所定値よりも長く、可能性のある安全 臨界障害を構成しているかどうかの決定のため、タイミング信号列を受け取るた めの手段と、 可能性のある安全臨界障害を指示するための手段とを具備する安全臨界プロセ ッサ。 ２０．供給電圧が所定の時間よりも長い時間所定の限界の外側にあるかどうかそ して可能性のある安全臨界障害 を構成するかどうかの決定のため、供給電圧をモニタするための手段を別途具備 する請求項１９の安全臨界プロセッサ。 ２１．ランダムアクセスメモリ（ＲＡＭ）の定義された場所を格納する手段と、 メモリアクセスと格納場所との比較を行い、不適当なアクセスが出現し、それに より可能性のある安全臨界障害を構成するかどうかの決定を行う手段を別途具備 する請求項１９の安全臨界プロセッサ。 ２２．発生される制御信号の指示を受け取る手段と、望ましくない比較とそれに よる可能性のある安全臨界障害を構成することの指示のため、これらを実際に発 生される制御信号と比較する手段とを有する請求項１９の安全臨界プロセッサ。 ２３．一意識別コードの格納手段と、一意識別コードを受け取りこれを格納され た識別コードと比較しそして望ましい比較を指示するための手段を別途具備する 請求項１９のシステム。 ２４．データを受け取り、これを暗号化するための手段と暗号化データを出力す るための手段とを別途具備する請求項１９の安全臨界プロセッサ。 ２５．暗号化データを受け取り、これを解読するための手段を別途具備する請求 項１９の安全臨界プロセッサ。 ２６．暗号化手段が、一意暗号化キーで暗号化するため の手段を含み、解読化手段は、前記一意暗号化キーで解読するための手段を含み 、さらに暗号化データが一意暗号化キーで暗号化されなかったことを、そして可 能性のある安全臨界障害を構成することを指示するための手段を別途具備する請 求項２５の安全臨界プロセッサ。