JPH09134308A

JPH09134308A - 重要メモリ情報保護システム

Info

Publication number: JPH09134308A
Application number: JP9139296A
Authority: JP
Inventors: Peter Stutz; スタッツピーター; Martin Mueller; ミューラーマーチン; Daniel Flueckiger; フリュッキガーダニエル
Original assignee: Ascom Hasler Mailing Systems AG
Current assignee: Ascom Hasler Mailing Systems AG
Priority date: 1995-04-14
Filing date: 1996-04-12
Publication date: 1997-05-20
Also published as: EP0737944A3; EP0737944A2; CA2173908A1; US5668973A; SG42384A1

Abstract

(57)【要約】【課題】コンピュータシステムのメモリの中に格納さ
れている重要な情報を保護することを目的とする。【解決手段】アドレス出力を有し格納されているプロ
グラムを実行するプロセッサと、制御入力を有するメモ
リ、アドレス復号器、そしてウィンドウ回路とでコンピ
ュータシステムを構成する。ウィンドウ回路ではプロセ
ッサが指定するアドレスの範囲を検出し、それがメモリ
の保護範囲内である時にはプロセッサからの要求信号が
事前に存在している場合にのみメモリへのアクセスを許
可し、それ以外の場合はアクセスを拒絶することによ
り、メモリ内容がプロセッサの誤動作で破壊されること
を防止する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は一般的にはメモリ装
置内の重要または重大なデータの保護に関わり、詳細に
はまた郵便料金計器と呼ばれる、郵便料金メータ内のこ
のようなデータの保護に関する。

【０００２】

【従来の技術】重要な情報がコンピュータシステムの中
に格納されている際には、その情報の一部または全ての
損失に対する保安、例えばその情報のバックアップコピ
ーを取るといったこと、を講じるのが普通である。しか
しながらシステムによっては、システム内に格納されて
いる情報が信頼出来るものでならなくてはならず、バッ
クアップ内容を頼ると言うことが理論的に妥当性が少な
いかまたは意味を持たない場合もある。この様なシステ
ムの一例は電子式郵便料金メータであり、ここでは印刷
可能な郵便量が不揮発性メモリの中に格納されている。
使用者は格納されている郵便データを、減少させる（郵
便を印刷することによって）かまたは増加させる（認可
されたリセット操作によって）、事以外の方法で変更す
ることが出来てはならない。何処か単一の格納場所が全
ての当事者（顧客、郵便事業、ならびにメータの提供
者）から、利用可能印刷量の値の唯一の確定値として頼
りにされる必要がある。電子式郵便料金メータではこの
単一の格納場所はメータ自身の安全が保障された物理的
格納容器である。安全が保障された格納容器の中では、
ひとつまたは複数の不揮発性メモリのひとつまたは複数
のデータ項目が、印刷可能郵便料金量を定めている。

【０００３】

【発明が解決しようとする課題】プロセッサを採用して
いる昨今のシステムでの経験から、プロセッサが暴走し
た場合に備えることが有益であることが分かっている。
一般的にプロセッサはそれが格納しているプログラムを
実行し、かつ格納されているプログラムには誤りが無い
と仮定されている。しかしながら、希な環境のもとでは
プロセッサが格納されているプログラム、例えばデータ
とは別の何かを実行する場合がある。また別の希な環境
下ではプロセッサが、たとえそれが格納されているプロ
グラムを実行する場合であっても、プロセッサのレジス
タまたはメモリ位置の不正な内容のために誤った振る舞
いをする場合がある。前者は例えば、プロセッサの命令
ポインタまたはプログラムカウンタが、宇宙線を吸収し
たために１ビット変化しても発生する。後者は、プロセ
ッサレジスタまたはメモリ位置の内容が前記の、または
それ以外の機構で変更された場合に発生する。

【０００４】プログラム的な観点からは、格納されてい
るプログラムの正しさを検証する事は不可能である；プ
ログラムの試験並びにデバッグは最善でも設計者のコー
ドの正しさに対する自信をかなり高い水準（確実性まで
は至らないが）まで高めるだけである。これにもかかわ
らず、意外な内部状態の組み合わせ、または意外な入力
の組合わせが、完全にデバッグ済みと考えられていたプ
ログラムにエラーを発生させることは良く知られてい
る。

【０００５】これらの全ての理由から、重要なデータが
格納されていて、それが格納されているプログラムを駆
動するプロセッサの制御の下で単一場所に存在する必要
がある様なシステムに於いては、プロセッサの暴走を検
知し、プロセッサがこれら重要データを破壊する可能性
を最小に減じる手段を講じることが強く望まれている。
郵便料金メータの様な特定事例では印刷可能郵便量、ま
た引き落とし登録とも呼ばれる、が例えそのシステムが
顧客の見地から見て完全に動作しなくなり、予想される
プロセッサの異常期間がどれだけ長く経過した後であっ
ても、認定された技術者によって復元可能であることが
望ましい。

【０００６】郵便料金メータの様なシステム内の重要デ
ータを保護するために非常に多くの対策が試みられてき
ている。システム内の種々のメモリ装置に選択された出
力を提供するアドレス復号器を有するシステムでは、そ
のアドレス復号器の全ての選択出力を監視し、プロセッ
サが或るメモリ装置に書き込みを行うストローブを、
（ａ）そのアドレス復号器がメモり装置の内のひとつを
選択し、そして（ｂ）そのアドレス復号器がその特定メ
モリ装置以外のいずれのメモリ装置をも選択していな
い、という場合にのみ可能とする、と言うことが知られ
ている。

【０００７】システム内の種々のメモリ装置に選択され
た出力を提供するアドレス復号器を有する別のシステム
では、いずれかのメモリ装置に関連する選択された出力
を監視し、いずれかの選択出力が予め定められた時間よ
り長く選択されている場合に予め定められた動作を行う
ことが知られている。この予め定められた動作とは書き
込みストローブ並びにあるメモリ装置に対する選択出力
を中断する事である。

【０００８】これらの解決方法は、ある種のメモリ装置
（典型的には重要な郵便料金データを含む装置）をある
範疇の異常が発生した時点で隔離するが、これがプロセ
ッサの暴走に原因を発している場合には異常の復旧に対
してはほとんどまたは全く寄与しない。すなわち、それ
らの問題をその問題がプロセッサの物理的異常による問
題かまたはその他のシステム部品によるものかを明示し
て識別することが重要である。単純な物理的異常は旧来
の設計基準が守られていて、しかもそのシステムが規定
の環境下で使用されている場合は非常に希であり、従っ
てこの様な物理的異常の発生頻度は低いはずである。し
かしながら先に述べた故障モードの多くは、永続的な物
理的性質のものではなく、もしも適切に解消されれば、
機能を永久に失わせるに至らせる必要は無いものであ
る。

【０００９】更に別の解決方法が、明細書第７４０，４
２７号、米国特許第５，２７６，８４４として公布、名
称、重要メモリ情報に対する保護システム、及び明細書
第０８／００２，７３７に記載されており、いずれも本
発明の譲渡人の共同前任者に譲渡されており、そのいず
れもここで参照されている。いずれの解決方法もプロセ
ッサの暴走による問題に関しては有用であるが、考えら
れる欠点も有り、それは特定のメモリをそっくりそのま
までしか保護しないことである、また別の欠点は保護対
象であるアドレス範囲が製造時点で固定されてしまう点
である。更に別のメモリ保護構造がＰＣＴ公報番号８９
−１１１３４に記載されており、これもまた本発明の譲
受人の前任者に譲渡されている。

【００１０】コンピュータシステム内に”ウォッチド
グ”回路を具備することも良く知られている。その様な
システムでは、プロセッサで実行されるコードの中に周
期的に発生されたウォッチドグ信号を含み、これはウォ
ッチドグ回路を消去するように働く。もしもウォッチド
グ信号を受信することなく過大な時間が経過すると、こ
のウォッチドグ回路は、例えばシステムをシャットダウ
ンしたりプロセッサを再起動するといった保護動作を取
る。後者の動作の長所は、例えばその異常が命令ポイン
タまたはプログラムカウンタ内の値の疑似変化に起因す
る場合には、正常なプロセッサ機能を再設定出来る点で
ある。しかしながらウォッチドグ回路は予め定められた
期間が経過した後にトリガをかけるだけなので、プロセ
ッサの異常がその予め定められた期間の間でかつウォッ
チドグよるリセットの前に重要データを書き換えてしま
う可能性がある。もっとも望ましいのは、重要データが
プロセッサの異常に対して更に包括的な保護手段を享受
し、その保護手段によって適切なプロセッサ機能の現状
回復が可能な場合はそれが行えるように実現することで
ある。メモリの一部が保護されている場合でも、同一メ
モリの残りは保護対象とはされず、また保護対象である
メモリの部分が製造時点で完全に制約されるものではな
いシステムが非常に望ましい。

【００１１】

【発明の実施の形態】メモリ保護を行うためのコンピュ
ータシステムであって、アドレス出力を有し格納された
プログラムを実行するプロセッサと、制御入力を有する
メモリと、メモリの制御入力に対してプロセッサからの
関連するアドレス出力に応答して制御信号を供給するた
めのアドレス復号器と、そしてウィンドウ回路とを有す
るコンピュータシステムである。このウィンドウ回路は
アドレス出力に応答し、保護対象範囲内のプロセッサか
らのアドレスを示す範囲検出信号を生成するための範囲
検出器を含み、この保護対象範囲はメモリ内のアドレス
空間の全域とは完全に一致はしていない。保護範囲内の
メモリ位置へのアクセスは要求信号がプロセッサから受
信された時にのみ可能である。もしも要求信号が予期し
ない長時間継続された場合は、エラー状態が警報され、
例えばプロセッサがリセットされる。

【００１２】本発明の実施形態を説明する前に従来技術
について以下述べる。

【００１３】

【実施例】図１に示す典型的な従来技術のメモリアドレ
ス指定システムに於いて、プロセッサ１０は、データを
メモリ装置１１、１２、及び１３にシステムバス１９を
用いて書き込むことが可能であり、システムバスの内の
アドレスバス１４並びに書き込みストローブ線１５が図
示されている。アドレスバス１４のアドレス線のいくつ
かには従来型アドレス復号器１６が具備されている；こ
れらのいわゆる”高位”アドレス線はアドレスバスの高
位部１７として図示されている。アドレスバス１４のい
わゆる”低位”部はメモリ装置１１、１２、及び１３並
びにプロセッサ１０のメモリ空間の残りの装置に用意さ
れている。分かり易くするためにシステムバス１９のデ
ータ線やその他の制御線は図１から省かれている、同様
にシステムバス上のその他の装置、例えばキーボード、
表示器、読み出し専用メモリそしてプリンタも省かれて
いる。

【００１４】図１に於いて、プロセッサ１０からの書き
込みストローブ信号は線１５を経由してメモリ装置１
１、１２、及び１３の書き込みストローブ入力２１、２
２、２３にそれぞれ供給される。メモリ装置選択信号は
アドレス復号器１６からメモリ装置の”チップ可能化”
入力に延びる選択線２０を介して供給される。例えば選
択線３１、３２、及び３３はそれぞれの選択信号を、メ
モリ装置１１、１２、及び１３の対応するチップ可能化
入力４１、４２、及び４３にそれぞれ提供する。

【００１５】アドレス復号器１６からの線３４は図１に
明示されている以外のメモリ装置を、アドレス復号器が
選択する様子を一般的に示している。この様なメモリ装
置は典型的には、ＲＯＭ（読み出し専用メモリ）、及び
メモリ写像入出力装置、例えばキーボード、表示器、プ
リンタ、並びに個別の入出力ラッチを含む。

【００１６】注意されたいのは、図１のシステムでは書
き込みストローブ信号は、線１５上にプロセッサ１０か
ら出力されるとメモリ装置１１、１２、及び１３を含む
全てのメモリ装置に供給されると言うことである。もし
もプロセッサ１０が重篤な誤動作を起こしたとすると
（プロセッサまたはその他のシステム構成部品が物理
的、永久的な故障を起こした場合とは区別される様
な）、プロセッサ１０はアドレス復号器１６にとっては
意味があり時々刻々メモリ装置１１、１２、及び１３の
ひとつまたはいくつかを可能化するアドレスを、アドレ
スバス１４上に供給する可能性がある。仮に可能化期間
の間に線１５上に書き込みストローブ信号が発せられる
と、メモリ装置１１、１２、及び１３のいくつかまたは
全ての内容が失われる可能性がある。郵便料金メータの
場合は、引き落とし登録簿の内容が失われる可能性が有
り、これは郵便利用者及び郵便事業者いずれにとっても
重大な関心事である。

【００１７】図２は既知の従来システムであり、選択さ
れたメモリ装置、例えばメモリ装置１２、及び１３、こ
こでは”重要”メモリ装置と呼ぶ、の保護を強化したも
のである。この様なシステムを使用することは、メモリ
装置１２、及び１３の中に引き落とし登録簿データの様
な重要な郵便データが存在しているために試みられてい
るはずである。この様な場合メモリ装置１２、及び１３
は不揮発性メモリである。メモリ装置１１は相変わら
ず、図１と同様、線１５の書き込みストローブ信号を受
信しているが、一方重要メモリ装置１２、及び１３はそ
れぞれの書き込みストローブ入力２２および２３にゲー
ト信号４０を受信していることに注意されたい。

【００１８】更に図２を参照すると、アドレス復号器１
６の選択出力２０は図１同様それぞれのメモリ装置に接
続されている。しかしながら図２のシステムで異なるの
は、選択出力２０がまた多重入力ＡＮＤゲート６１に接
続されている点である。重要メモリ装置１２、及び１３
に対する選択線３２、及び３３はそれぞれゲート６５で
論理和が取られ直接ＡＮＤゲート６１に供給されてい
る。アドレス復号器１６からの残りの選択線は各々図２
に示されるように反転器６７及び６９で反転され、そし
てＡＮＤゲート６１に供給されている。図２のアドレス
復号器１６は、図１に示されるような多くの典型的なア
ドレス復号器１６とは異なっており、高位アドレスバス
１７の全ての可能性のあるアドレスがひとつまたはその
他の選択出力２０で復号されている。必要で有れば”該
当無し”選択出力が、システム設計に於いて物理的な対
応先を持たないアドレスに対して用意される。その結果
アクティブである選択出力２０の数が何時の時点でも唯
一で、それより多くもまた少なくも無いように出来る。

【００１９】理解されるように、ＡＮＤゲート６１の出
力６３が高状態であるのは、（ａ）重要メモリ装置のひ
とつが選択されていて、かつ（ｂ）それ以外のメモリ装
置が選択されていない場合のみである。信号６３はＡＮ
Ｄゲート６２のふたつの入力の内のひとつである；もう
一つは線１５の書き込みストローブ信号である。従って
重要メモリ装置はひとつまたはもう一方の重要メモリ装
置がアドレス復号器１６によって選択されている時にの
み、書き込みストローブ信号を受信する。

【００２０】システムが機械的な欠陥を被っていない環
境下では、図２のシステムは図１を超える重要データの
保護は行わない。例えば、アドレス復号器１６及びアド
レスバス１４並びに１７が電気的に完全であると仮定す
れば、ゲート６１及び６２は何の影響も受けない。ゲー
ト６１及び６２は２２並びに２３に於ける書き込みスト
ローブ入力を阻止するために機能するものであって、そ
れも線３２及び３３上に発せられるべき選択信号が欠落
しているという理由でメモリ装置１２、及び１３によっ
て無視される場合のみである。別の表現をすれば、電気
的には正常な図２のシステム内でプロセッサ１０が重篤
な誤動作をすると、単にアドレスバス１４上にそれらの
アドレスを出力することによって、重要メモリ装置内の
データを破壊することが可能である。プロセッサ１０は
有効アドレスをアドレスバス１４上に出力すると、対応
する選択信号線、例えば線３２、に信号が発せられこれ
はメモリ装置１２のチップ可能化入力４２で受信され
る。同様に、線４０上のストローブ信号がメモリ装置１
２の書き込みストローブ入力２２を可能状態にする。そ
の結果メモリ装置１２の内容が失われたりまたは損害を
被る可能性がある。

【００２１】図３は別の従来技術によるシステムを示
し、これは重要メモリ装置、例えばメモリ装置１２及び
１３内のデータ保護を意図したものである。図３のシス
テムに於いて、プロセッサ１０、１４および１７、そし
てアドレス復号器１６は図１と同様である。重要メモリ
装置ではないメモリ装置１１は、図１の場合と同様、直
接線１５の書き込みストローブ信号を受信し、これもま
た図１と同様それに対応する選択信号３１を直接受信す
る。

【００２２】しかしながら重要メモリ装置１２および１
３は、選択信号も書き込みストローブ信号も直接受信す
ることは無い。その代わり、ＡＮＤゲート５１、５２、
および５３が用意されていて、後で説明する環境下で選
択信号３２及び３３、そして線１５の書き込みストロー
ブ信号を阻止する。

【００２３】図３に示すシステムに於いて、重要メモリ
装置への選択出力（ここでは選択信号３２及び３３）は
ＮＯＲゲート５４に供給される。ほとんどの時間プロセ
ッサ１０は重要メモリ装置１２及び１３にアクセスを試
みることはないので、選択信号３２および３３は信号が
発せられていない状態を維持する（此処では論理低状態
と仮定する）；その結果ゲート５４の出力５５は高とな
る。

【００２４】プロセッサ１０が重要メモリ装置１２、ま
たは１３のいずれかと読み書きを行おうとする際に、対
応する選択線３２または３３のひとつに信号が発せられ
る。ゲート５４の出力５５が低となり、計数器５６が計
数を開始する。

【００２５】アドレス線３２または３３に信号が発せら
れる状態が何らかの長時間継続するという故障モードが
考えられ得る。例えば機械的欠陥がアドレスバス１４及
び１７、アドレス復号器１６、または線３１、３２、３
３、及び３４の配線に生じると、重要メモリ装置１２、
または１３の選択を継続する結果となりうる。この様な
機械的欠陥の結果、プロセッサ１０からの書き込み命令
が、例えばメモリ装置１１への書き込みを意図したもの
であっても、機械的異常のためメモリ装置１２、または
１３の内容をも同様に変化させる可能性がある。

【００２６】今記述したように、図３のシステムはある
種の機械的故障に対する保護は行うが、それが提供する
のは見込まれるプロセッサの重篤誤動作の極一部の保護
のみである。今説明したように図３のシステムはプロセ
ッサが起こす可能性のある誤動作の多くの検出に失敗
し、起こしうる誤動作の特定の一部のみの保護に成功す
るに過ぎない。

【００２７】当業者は理解されるであろうが、システム
バス上に出力されるメモリ読み取り並びに書き込み命令
は、全バス動作の極一部に存在するだけである。プロセ
ッサが命令を実行するに先立って、プロセッサはその命
令をメモリ装置からシステムバスを経由してフェッチす
る必要がある。バスの監視者の観点からは、このフェッ
チ動作はメモリ読み取り動作と電気的に非常に似てお
り、各々はプロセッサ１０がアドレスをシステムバス上
に提供するという手順を含んでいる。アドレス復号器１
６はメモリ読み取りアドレスを処理するが、同様にして
これはフェッチアドレスをも処理する。正常に機能して
いるシステムでは、フェッチアドレスはデータ（すなわ
ち実行する命令）をデータを含む位置からのみ検索する
ことを表している、すなわち格納されているプログラム
を含むメモリ装置からである。正常に機能しているシス
テムではまた、フェッチが例えば引き落とし登録簿の様
なデータを含む位置から行われることは予期していな
い。ここで議論されている、メモリ装置１２、及び１３
が重要データを含んでいると仮定されている様なシステ
ムでは、メモリ装置１２、及び１３からフェッチが行わ
れることは予期されていない。実際一定時間内に、フェ
ッチ及びメモリアクセス（読み取りまたは書き込みのい
ずれか）がシステムバス上に交互に発生し通過すると言
うことは例外的とは言えないであろう。

【００２８】典型的な格納されているプログラムの通常
手順では（機械的欠陥の存在していないシステムに於い
て）、プロセッサ１０は選択線３２または３３への信号
発生を行うバスアクセスを開始した直ぐ後で、プロセッ
サのアドレス空間の何処か別の場所へのバスアクセスを
実行するように構成されている。この様なバスアクセス
は計数器５６をリセットし、ゲート５１、５２、及び５
３の結合を解除する。

【００２９】一例として従来の実行命令のフェッチで
は、アドレス復号器が選択線３２および３３に信号を発
するのを停止し、そして代わりに格納されているプログ
ラムを含むいずれかのメモリ装置への選択線に信号を発
する。これは機械的欠陥が存在しないシステムでの通常
の過程である。従って、フェッチ（少なくとも機械的欠
陥が存在しないシステムに於いて）は一般的に計数器５
６をほぼ連続的にリセット状態に保つが、プロセッサ異
常という特別な場合に命令ポインタまたはプログラムカ
ウンタがたまたま重要メモリを指し示す場合は例外であ
る。

【００３０】従って理解されるであろうが、機械的欠陥
以外の原因によって選択線３２または３３のひとつに継
続して信号が発せられた場合には、プロセッサが選択さ
れているメモリから実行命令をフェッチする事態が発生
する事が予想される。従ってプロセッサが重篤な誤動作
を行い、しかも一方でその命令ポインタまたはプログラ
ムカウンタが命令（実際はデータ）をメモリ装置１２、
及び１３のひとつの重要データからフェッチするような
事態が発生すると、計数器５６が予め定められた時間が
経過した後重要メモリ装置へのアクセスを阻止するはず
である。

【００３１】しかしながらもっと一般的な場合として、
プロセッサが重篤な誤動作をしてその命令ポインタまた
はプログラムカウンタが命令を重要データ以外のメモリ
装置からフェッチするようにさせた場合には、計数器５
６は周期的にクリアされ、重要メモリ装置へのアクセス
（ゲート５１、５２、及び５３）の阻止を終了させる。
纏めると、図３のシステムはいくつかの機械的故障に対
しては保護するが、プロセッサの重篤な誤動作で生じる
可能性のある問題に対して包括的に保護するものでは無
い。

【００３２】図４は更に別の従来技術によるこの問題へ
の解決方法を示しており、すなわち米国特許第５，２７
６，８４４に記載されている解決方法である。プロセッ
サ１０はアドレス信号をアドレスバス１４及びアドレス
復号器１６に、図１のシステムと同様に提供する。メモ
リ装置１１、１２、１３は全てそれぞれの選択信号を、
図１のシステムと同様アドレス復号器１６から受信す
る。メモリ装置１１は図１のシステムと同様、線１５の
書き込みストローブ信号を受信する。しかしながら重要
メモリ装置１２、及び１３はそれらの書き込みストロー
ブ入力２２、２３に、線１５からではなくウィンドウ回
路７０から入力を受信する。ウィンドウ回路７０はプロ
セッサ１０からＩ／Ｏポート処理（こちらが好ましい）
またはＩ／Ｏ処理を経由して要求を受信する。ここで用
語”アドレス指定可能ラッチ”が使用されているが、こ
れはプロセッサによりアドレス指定可能なラッチ、例え
ばプロセッサのメモリアドレス空間内のラッチ、または
プロセッサのＩ／Ｏアドレス空間内のラッチを意味す
る。後者の構成ではアドレス復号器１６からの選択信号
３５がウィンドウ回路７０に供給され、好適にこれはま
た低位アドレスビットを低位アドレスバス１８から受信
する。

【００３３】図５は米国特許第５，２７６，８４４の従
来技術によるウィンドウ回路７０を図示し、ラッチ８０
の出力８６は通常は低である。線８６は通常時低状態で
あるためＡＮＤゲート８１をオフ状態とし、このためメ
モリ１２への書き込みストローブ信号７２は発生されな
い。線８６が低状態であると、線１５の書き込みストロ
ーブ信号はウィンドウ回路７０の出力７２には何の影響
も与えない。同様の理由で出力７３にもまた信号は発せ
られない。線９６が通常時低状態であるため、ＡＮＤゲ
ート９１をオフ状態とし、このためメモリ１３への書き
込みストローブ信号７３は発生されない。

【００３４】線８６並びにこれに対応する線９６が共に
低であるとき、これは典型的にほとんどの場合である
が、一対の計数器８３、９３は連続的にクリアされてい
る。計数器８３、９３の出力８７及び９７は共に低であ
り、従ってＯＲゲート８５の出力７１は低となる。プロ
セッサ１０のリセット入力７５に受信される信号７１は
駆動状態ではないので、格納されているプログラムの通
常の実行を継続することが可能である。

【００３５】格納されているプログラムの制御の下、プ
ロセッサ１０は以下に示すように重要メモリ装置１２ま
たは１３への書き込みアクセスを得る。図５を参照する
と、メモリ装置１２に書き込みを行うために、プロセッ
サはアクセス要求を表す命令をラッチ８０に書き込む。
ラッチ８０の出力８６は高となり、ゲート８１をオン状
態として線１５の書き込みストローブ信号がウィンドウ
回路の出力７２、続いてメモリ装置１２の書き込みスト
ローブ入力に通知されることを可能とする。線８６が高
レベルであるため、反転器８２は低となり計数器８３へ
のクリア入力を取り除く。計数器８３は計数を開始し、
これが予め設定された閾値に達すると、その出力は高と
なりＯＲゲート８５をオン状態にする。これはプロセッ
サ１０をリセットする。計数器８３の予め設定された閾
値はラッチ８４へのプロセッサからの命令で変更可能で
ある。格納されたプログラムを実行する通常進行では、
通常はプロセッサ１０がメモリ装置１２にアクセスした
直ぐ後で、第二命令をラッチ８０に書き込み、ラッチ８
０の出力８６をその通常の低状態に戻す。これは計数器
８３をリセットし、プロセッサ１０の全てのリセットを
解除する。

【００３６】同様に、もしもプロセッサ１０が命令（設
定信号と呼ばれる）をラッチ９０に書き込んで線９６を
オン状態とすると、メモリ装置１３への書き込みアクセ
スが可能となり、反転器９２の出力が低となり、クロッ
ク９３が計数を開始する。通常の進行では、プロセッサ
１０は正しく適切に第二命令（クリア信号と呼ばれる）
をラッチ９０に書き込み、装置１３への書き込みストロ
ーブ信号をオフとし、また計数器９３をクリアする。計
数器９３はラッチ９４への命令によってプログラム可能
である。結果として、各々の計数器は個別にプログラム
可能である。理解されるように、ウィンドウ回路７０の
一部を構成しているラッチ８０、８４、９０、及び９４
は、メモリ写像ラッチまたはＩ／Ｏアドレス空間内のラ
ッチである。

【００３７】図４に戻り、リセット信号７１が発せられ
ると、これはそのリセット入力７５でプロセッサ１０を
リセットする。一般的にこれはプロセッサ１０へのハー
ドウェア割り込みであるが、好適にリセット入力であっ
て、これは最上位優先ハードウェア割り込みと考えられ
る。このリセット入力は固定メモリ位置（例えばあるプ
ロセッサによってはゼロ、または別のプロセッサではＦ
ＦＦ０である）での命令からプログラムを実行させ、命
令ポインタまたはプログラムカウンタの誤った内容で生
じる可能性のある問題を回避している。リセット入力は
またプロセッサ１０のその他の全ての内部状態をリセッ
トし、プロセッサ１０の誤った内部状態で生じる可能性
のある全ての問題を回避している。計数器８３、９３の
ひとつまたはもう一方をその閾値まで増加させる条件は
プロセッサが重篤な誤動作を行った結果であるため、プ
ロセッサがその後その格納されているプログラムを正し
く実行する可能性がある。

【００３８】従来技術の説明を続けると、好適にラッチ
７４がプロセッサ１０の外部に用意されていて、リセッ
ト信号７１をラッチする事が可能である。プロセッサ１
０用に格納されているプログラムは、ゼロで開始する実
行時にラッチ７４がセットされているかを見るためのチ
ェック手順を好適に有する。もしもセットされていない
場合は、電源投入後の初期運転のためのゼロからの実行
であると判断される。もしもラッチ７４がセットされて
いると、ゼロからの実行がウィンドウ回路７０からリセ
ットされたためであると判断し、プロセッサは適切にそ
の事態を留意することが出来る。ウィンドウ回路７０が
原因のリセットが繰り返し表示されると、好適にプロセ
ッサ１０は格納されているプログラムの制御の下、適切
な警告を使用者に警報する。

【００３９】図４並びに５に示す従来技術のシステム
は、図１、２、及び３に示す従来技術のシステムに比べ
ていくらかは改善されているが、先に述べたように更に
改善されることが望ましい。例えば図１、２、３、及び
４のシステムは各々、例えばメモリ１２及び１３の様な
全メモリチップ単位のみを保護する。従ってプロセッサ
で利用可能ないくつかのメモリはこの方法で保護され、
一方プロセッサで利用可能なその他のメモリは通常のや
り方で継続して利用可能であるため、少なくとも二つの
メモリ装置を持つ必要があり、各々は選択的に起動出来
るように個別の制御線を備える必要がある。

【００４０】この問題を考える際に最初に、少なくとも
ふたつのチップ（それらの内のひとつは保護され、もう
一方は保護されない）を用意しなければならない事を解
決しようと試みる人は、チップの個数を一メモリチップ
に減らすことは、単一のチップを用意し従来技術のウィ
ンドウ回路によってチップの保護を行えば容易に可能で
は無いかと考えるであろう。しかしこの文脈での”保護
された”はメモリアクセスが、プロセッサが適切なアク
セス要求を保護されているメモリにアクセスする以前に
のみ発生することを意味している。しかしながらバス処
理、例えば命令フェッチ中に行われるバス処理は、フェ
ッチのバスサイクルで挿入されるアクセス要求を行うこ
とは不可能である。言葉を変えれば、此処で使用する意
味での”保護されたメモリ”としてプログラムメモリを
用意することは出来ない。

【００４１】更に別の論点は、保護対象メモリアドレス
への全てのバス処理は比較的遅い処理である必要があ
り、それは先にアクセス要求が有ってその後にアクセス
要求のクリアが続くからである。これはバス帯域幅を消
費し、その不利益はほとんどのメモリ読み取り及び書き
込みサイクルにとって好ましくない。望ましいのは、時
間のかかるアクセス要求及びアクセス要求のクリアが、
本当に必要な時にのみ負担されることである。例えば郵
便料金メータでは、願わくばこれらの時間のかかる動作
が、引き落とし登録簿に含まれるメモリの重要箇所を行
進するときにのみ負担されることである。

【００４２】これら全ての理由により、ここで用いられ
ている意味で”保護”されてはいない少なくともいくつ
かのメモリを持つという選択の余地は少ないが、いくつ
かの保護されたメモリを持つことは好ましいと考えられ
る。知られている全ての従来技術によるメモリ保護シス
テムでは、先に示したように、少なくとも二つのメモリ
チップを必要とし、その内の少なくともひとつは保護さ
れたものであり、その内の少なくともひとつは保護され
ていないものである。

【００４３】本発明に基づくシステムは、今説明したよ
うに、重要なメモリ情報の精巧な保護を実現し、例え単
一のメモリ装置が使用される場合でも、その装置の一部
は保護され残りの部分は保護されないようにしている。
更に、システムを次のように設計することを可能とす
る、すなわち電源投入時単一メモリ装置の特定部分が保
護されるようにし、プロセッサの制御下では装置のこれ
よりは大きく、装置全体よりは小さい部分を保護するこ
とが行えるようにしている。

【００４４】本発明に基づくメモリ保護システムの概要
を示すには、保護されている一般的な形式のメモリアド
レス指定システムのメモリアクセス信号を最初に説明す
るのが分かり易い。図１３には従来技術の機能ブロック
図示されており、本発明に合わせて保護回路を含まない
典型的なメモリアドレス指定システムが図示されてい
る。プロセッサ１０は複数のアドレス線をひとつのアド
レスバスに供給する。ここでアドレス線はＡ０からＡ１
９まで番号が付けられているが、理解されるようにアド
レス線の総数は本発明とは関係なく、単にプロセッサ並
びにその他のシステム上の考慮から決定される。書き込
みストローブ信号ＷＲ＊１５は、この実施例では動作時
低であるが、ＲＡＭメモリ１２並びに図１３には簡略化
するために記載されていないその他の装置への書き込み
を制御する。（動作時低信号は此処では星印で示されて
おり、図では表示の上の横棒で示されている。）その他
の制御信号、読み取りを定義する信号及びＩ／Ｏバス遷
移信号は、図１３では簡略化のために省かれている。Ｉ
／Ｏ入力並びに出力ポートはＩ／Ｏポート回路２２０を
通してプロセッサが利用できる。従来型設計のアドレス
復号器１６は高位アドレス線（此処では線Ａ１７−Ａ１
９）を復号してＲＡＭチップ選択信号ＲＡＭＣＳ＊３２
を含むアドレス選択信号数を生成する。此処ではチップ
選択信号は動作時低と仮定されている。理解されるよう
に、メモリ１２への書き込み操作では書き込み信号１５
並びに選択信号３２の両方を発する必要があり、バスの
低位部の内容（此処では、線Ａ０−Ａ１６）はＲＡＭ内
のどのアドレスに書き込むかを決定する。このシステム
ではプロセッサ１０はＲＡＭ１２の任意のアドレスに書
き込み可能である。

【００４５】図６は本発明に基づくコンピュータシステ
ムの実施形態が示されている。プロセッサ１０は並列バ
スでシステム内の多くの装置に接続されており、これら
はメモリ装置１２及び簡略化のために省かれている例え
ばキーボード、表示器、並びに郵便料金印刷装置を制御
するための多くの個別入出力等を含む。簡略化のために
並列バスの全ては図示していない。図示されているアド
レスバス１４は、アドレスバスの高位部１７を従来技術
によるシステムと同様アドレス復号器１６に供給し、ア
ドレスバスの低位部をメモリ１２の様なその他の装置に
供給する。プロセッサは制御線１５を具備しこれは書き
込みストローブ信号であり、図１に示す従来技術による
システムでは装置１２の様な装置の書き込みストローブ
入力に直接供給されていた。アドレス復号器１６の出力
のひとつは選択信号３２であり、これはプロセッサがメ
モリ装置１２内で定義される範囲のアドレスを選択した
ことを表している。別の出力３５はプロセッサ１０から
の要求信号として定義され、これによってプロセッサは
メモリ１２の保護されている部分へのアクセスを要求す
る。線３４は全体的にその他のメモリアドレスまたは、
キーボード、表示器、またはその他の装置を選択するた
めにアドレス復号器１６によって選択されるはずのＩ／
Ｏアドレスを表す。

【００４６】この実施例に於いてメモリ１２へのアクセ
スを選択的に取りやめることは、書き込みストローブ信
号を選択的に阻止することにより実現される。（明らか
なように、アクセスを選択的に取りやめることは、メモ
リ装置１２への選択信号を選択的に阻止する事によって
も実現できるはずである。）再び図６に戻って、ウィン
ドウ回路１８２は、アドレスバスの低位部に現れるアド
レスを監視し、もしもそのアドレスが保護範囲内を示し
ている場合は、ウィンドウ回路１８２は要求信号３５が
既に存在している場合にのみ、制御信号がメモリ装置１
２に到達できるようにする。

【００４７】図７は本発明のいくつかの実施例のうちの
ひとつを示す。図７には警報線２０３、プロセッサへの
マスク不能割り込み入力２０２、及び割り込み処理装置
が示されている。この付加回路は特許第５，２７６，８
４４号のシステムのもので図４のラッチ７４として示さ
れているものと類似であり、同様に警報はプロセッサ１
０によってウィンドウ回路１８２が何らかの誤動作を行
った際に発せられる。警報信号２０２はプロセッサに割
り込みをかけ、その割り込みの理由によって正常なシス
テム機能が復元される。更に、ソフトウェアはマスク不
能割り込み起動（ＮＭＩ：non-masking interrupt)処理
手順を実行する際に、何故それに割り込みが掛けられた
かを判別することが可能である。もしもその割り込みが
警報線２０２によるものである場合は、ソフトウェアは
その事象を記録に残すことが可能であり、これは後ほど
の診断検査で有用である。

【００４８】当業者には理解できるであろうが、警報に
基づいてリセットするか割り込みとするかは設計上の要
素であって、いずれを選択しても本発明に適合する。以
下の説明では割り込みという用語を使用しているが、こ
の用語は総体的であって特に断らない限りリセットを含
む。

【００４９】これから図７のウィンドウ回路１８２を更
に詳細に説明する。図１１の入力は以下の通りである。
ＲＡＭＣＳ＊は動作時低のアドレス復号器からの信号で
あり、ＲＡＭチップ１２用に定められた範囲のアドレス
がプロセッサでアドレスバス上に選択されたことを示
す。ＷＲ＊は動作時低信号であり、ＣＰＵがメモリアド
レス空間のどこかの位置に書き込み（またはこの明細書
の文脈では書こうと）したときに、何時でも発せられ
る。Ａ１０−Ａ１６はアドレス線である。ＰＲＲＥＱは
プロセッサ１０がＲＡＭチップ１２の保護領域にアクセ
ス要求を出すことを許可する線である。ＣＬＯＣＫはシ
ステムクロック。ＰＧＭは８本の線の組であって、プロ
セッサ１０がプログラム可能モノステーブルフリップフ
ロップ２０５へプログラムするこを可能とする。

【００５０】出力は以下の通りである。出力ＲＡＭＣＳ
＊は上記のＲＡＭＣＳ＊入力と同じ。ＷＲＲＡＭ＊は動
作時低書き込みストローブ信号であって、これはウィン
ドウ回路によって選択的に可能化され、ＲＡＭチップ１
２部分の保護を有効とする。ＮＭＩ１及びＮＭＩ２はマ
スク不能割り込み信号であり、図１２に示す回路によっ
てプロセッサに供給される。

【００５１】箱２０４はプログラム可能アドレス復号器
であり、これはアドレス線Ａ１０−Ａ１６並びにＲＡＭ
ＣＳ＊信号を入力し、線２２１上に選択されたアドレス
が予め定められたアドレスの保護範囲内の時には動作時
高信号を生成する。

【００５２】モノフロップ２０５はプログラム可能単安
定フリップフロップである。ＰＲＲＥＱが発せられる
と、次にモノフロップのリセット入力が低となり、その
出力Ｑ＊に動作時低信号を出力しその時間幅はＰＧＲ入
力により制御されている。

【００５３】主要な構成部品の説明は以上である、次に
ウィンドウ回路の機能を多くの初期条件及び事象に従っ
て明らかにする。

【００５４】プロセッサで選択されたアドレスがＲＡＭ
１２の非保護部分の場合は、出力２２１は低でゲート２
０９をオフにする。その結果、ＷＲ＊信号１５は直接Ｗ
ＲＲＡＭ＊信号７２に伝えられる。ＲＡＭ１２への書き
込みアクセスは通常通りである。線２２１の状態はま
た、ゲート２０８をオンに、ゲート２０７をオフにし、
ＮＭＩ１が決して発せられないようにしている。

【００５５】プロセッサで選択されたアドレスがＲＡＭ
１２の保護部分内の場合であり、更にプロセッサがその
前にＲＡＭ１２のその部分にアクセス要求をしていなか
ったと仮定する、すなわちＰＲＲＥＱが発せられてはい
なかったと仮定する。するとゲート２０５は高出力を有
し（何故ならばＰＲＲＥＱが発せられていないから）、
そして線２２１は高出力を有する（何故ならばＡ１０−
Ａ１６のアドレスは保護されているアドレス範囲であ
り、ＲＱＭＣＳ＊はアドレス復号器１６で選択されてい
るので（図７）Ａ１７−Ａ１９のアドレスも同様にその
範囲でなければならないからである。）これはゲート２
０９がオンであることを意味し、従ってゲート２１０は
オフとなる。信号ＷＲＲＡＭ＊は決して発せられること
はなく、従ってＲＡＭ１２の内容は危険にさらされるこ
とは無い。

【００５６】次に上記の条件（アドレスバスが保護領域
のアドレスを含み、ＰＲＲＥＱは発せられていない）に
加えてもうひとつの事象、すなわちプロセッサがＷＲ＊
を発したと仮定する。普通の言葉で言うと、プロセッサ
が事前に許可を取り付けることなくＲＡＭ１２内の保護
アドレスに書き込みを行おうとした場合である。従って
ゲート２０８はオフとなる。モノフロップ２０５の出力
は高であり、従ってゲート２０７はオフとなる。ＮＭＩ
１３００出力は発せられている。従って次のことが理
解されよう、すなわちＮＭＩ１はプロセッサが事前の許
可を問い合わせることなくＲＡＭ１２の保護領域に書き
込みを行おうとした事象を表している。

【００５７】ＲＡＭ１２の保護領域への正常なアクセス
手順は以下の通りである：Ａ．ＰＲＲＥＱが発せられる。Ｂ．プロセッサがＲＡＭ１２の保護領域内のアドレス
に、予め定められた時間間隔内に全ての書き込みを行
う。Ｃ．ＰＲＲＥＱが、これもまた予め定められた時間間隔
内に取り消される。

【００５８】予め定められた時間間隔はモノフロップ２
０５をプログラムする事により設定されるが、これは次
に詳しく説明する。ＣＬＯＣＫ信号（図１１参照）のク
ロック速度は次のように選択される、すなわちＰＧＭ信
号（図１１参照）に依存して、その予め定められた間隔
が０．５μ秒から１３８μ秒の間となるように選択され
る。ＰＲＲＥＱは好適にプロセッサ１０のＩ／Ｏ空間の
特定の出力ポートである。

【００５９】次にもしもプロセッサ１０がＲＡＭ１２の
保護領域に書き込む前に許可要求を出すとどうなるかを
考える。最初にプロセッサはＰＲＲＥＱ２１１を発し、
これによってモノフロップ２０５が動作時低出力を出力
しこれは予め定められた時間継続する。これはゲート２
０９をオフにし、この結果ゲート２１０はＷＲ＊信号を
ＷＲＲＡＭ＊線に伝搬させる；平易に言葉で言えば、Ｒ
ＡＭ１２への書き込みアクセスはモノフロップ２０５の
出力が発せられたままに成っている限り許される。モノ
フロップ２０５の出力はまたゲート２０７をオフとする
ので、ＮＭＩ１は出力されない。

【００６０】正常手順は次のように確認できる、すなわ
ちプロセッサにとってはＰＲＲＥＱをＰＲＲＥＱが発せ
られている、予め定められた時間間隔の間に消去するこ
とである。もしもこれが行われると、ゲート２０５の出
力の立ち上がりがフリップフロップ２０６内にデータを
クロックに従って送り込み、そのデータは低である（何
故ならば信号ＰＲＲＥＱが低であるため。）ゲート２０
６の出力は変更されず低を維持する。

【００６１】一方、もしもプロセッサがＰＲＲＥＱを時
間内に消去することに失敗した場合は、ゲート２０５の
出力の立ち上がりがフリップフロップ２０６内にデータ
をクロックに従って送り込み、そしてそのデータは高で
ある（何故ならば信号ＰＲＲＥＱは高のままだからであ
る。）ゲート２０６の出力は高となる。その結果ＮＭＩ
２が発せられ、これはプロセッサが速やかにＰＲＲＥＱ
を消去する事に失敗したことを表している。

【００６２】プロセッサが誤動作をすると事態は更に悪
化しうる。例えば、モノフロップ２０５の時間間隔が経
過した後、プロセッサが保護されているＲＡＭに書き込
みを試みることもあり得る（上記のＢを冒している。）
これは結果として、プロセッサが速やかにＰＲＲＥＱの
消去に失敗した結果発せられているＮＭＩ２に加えて、
ＮＭＩ１をも発生させることになる。

【００６３】理解されるであろうが、信号ＮＭＩ１及び
ＮＭＩ２は各々プロセッサ１０が正しく無い行動を取っ
たことを表しており、いずれの場合もその誤動作は重大
である。ＮＭＩ１はプロセッサ１０が保護されているＲ
ＡＭに書き込みを試みる前に許可を問い合わせることを
行わなかったことを示し、そしてＮＭＩ２はプロセッサ
が速やかにＰＲＲＥＱを消去することに失敗したことを
示している。

【００６４】図１１を含む実施例は特許第５，２７６，
８４４号を凌ぐ長所を提供する。例えばこれはプロセッ
サに対して二つのデータ項目をＮＭＩ１並びにＮＭＩ２
信号経由で提供するのに比べて、従来技術によるシステ
ムが提供するのはこの様なデータの一項目に過ぎない。
本発明に基づくシステムが保護ＲＡＭへの認可されてい
ない書き込みを阻止しかつ警報を発するのに比べて、従
来技術によるシステムはこの様なアクセスを阻止するだ
けである。本発明に基づくシステムは単一メモリ装置内
に保護アドレス並びに非保護アドレスの両方を実現でき
る；従来技術では個別のメモリ装置を必要とする。以下
に更に説明するが、本発明に基づくシステムは保護され
ているアドレス範囲の一度での更新が可能であるが、一
方従来技術ではそれは出来ない。

【００６５】次に箱２０４を説明すると、これはプログ
ラム可能アドレス復号器であって、これはアドレス線Ａ
１０−Ａ１６とＲＡＭＣＳ＊信号とを入力とし、線２２
１に動作時高信号を、選択されたアドレスが予め定めら
れたアドレスの保護範囲の場合に生成する。好適な箱２
０４の実施例の詳細を図８に示す。図８に於いて、ゲー
ト１８７は二つの信号を結合する、ひとつは比較器１８
５からの信号でアドレスバス（このシステムでは線Ａ１
０−Ａ１６）上に現在存在しているアドレスが保護範囲
内であるか否かを表し、第二番目の信号（ＲＡＭＣＳ，
線３２）は、保護領域を有すると定義されているＲＡＭ
１２チップに対する選択信号である。

【００６６】システムハードウェアリセット時には、ラ
ッチ１８４が予め定められた状態から開始し、これはメ
モリの保護領域を定義する。ラッチ１８４の内容はアド
レス線Ａ１０−Ａ１６と比較器１８５の中で比較され
る。ラッチ１８４の内容をプロセッサが修正できるよう
ハードウェアに好適な備えがなされており、これは一時
プログラム線１８９（ＯＴＰ）を駆動することで行われ
る。線１８９は、最初にプロセッサ１０によって駆動さ
れると、並列プロセッサバスのデータ線Ｄ０−Ｄ６１
８３からのデータをラッチ１８４の中にクロックに従っ
て送り込む。好適にハードウェア１８４、１８５は、ラ
ッチ１８４の中への新たなデータの送り込みによって、
保護範囲が拡張はするが保護範囲の縮小または削除は行
えないように設定されている。

【００６７】フリップフロップ１８８及びゲート１８６
は、プロセッサがラッチを一度だけ再ロード可能とする
ために具備されている。ハードウェアリセット時にの
み、フリップフロップ１８８はラッチ１８４を可能化出
来る状態となる。

【００６８】簡略化のためにＯＴＰ線１８９とプロセッ
サとの間の接続は図８には図示されていないが、個別の
出力であって、Ｉ／Ｏポートまたはメモリ写像Ｉ／Ｏア
ドレスのいずれかの選択に関連するもので有ることが好
ましい。同様に簡略化するために、データ線１８３及び
ラッチ再プログラム信号１８９（図８）は図６並びに７
のシステムには図示されていない。

【００６９】理解されるであろうが、実施例では最上位
アドレス、例えばメモリ装置の最初の１Ｋ、が保護され
るように示されているが、保護メモリをメモリ装置１２
のアドレス空間のどちらかの端または別の場所にしなけ
ればならないと言う、システム側からの要求は無い。こ
れは単にプログラム可能アドレス復号器２０４（図８）
の回路が最も簡単になるのは、保護領域が装置のアドレ
ス空間の一方の端に有る場合で、それは比較器１８５が
唯ひとつで済むからである。もしもＲＡＭ装置１２がア
ドレス００００Ｈから開始するように定義されていて、
保護領域をそのメモリ装置の一方の端またはその反対側
に確立しようと設計で一度決めれば、高位側を保護する
のが好適であるのは明らかであり、何故ならば低位端は
プロセッサに電源が投入された時点またはそれがリセッ
トされた時点で実行が開始される場所だからである；プ
ログラム実行のフェッチは確かにアドレス００００Ｈか
ら行われるので、００００Ｈをアドレスの保護領域に含
むことは好ましくない。

【００７０】当業者には理解されるであろうが、本発明
から離れることなく、保護領域をメモリ装置１２のアド
レス空間の中央部に置くことが、例えばふたつの比較器
１８５を用い、アドレスの保護範囲の上位並びに下位境
界を検出することにより行える。

【００７１】これも当業者には理解されるであろうが、
本発明では実施例としてウィンドウ回路がメモリ装置へ
のアクセスをその書き込みストローブ信号を阻止するこ
とによって拒否するように記述しているが、本発明では
メモリの保護領域を保護するために特定の制御信号が阻
止されることは何ら要求していない。例えば、保護範囲
の保護は、書き込み信号を阻止するのではなくて保護さ
れているメモリ装置のチップ選択線を阻止することによ
っても実現できる。これとは別にウィンドウ回路が両方
の制御信号（書き込みストローブ並びにチップ選択）
を、アドレスの保護領域に認可されていないアクセスが
試みられた時に阻止する事も可能である。一般的に言っ
て、本発明はメモリ装置の制御信号の内の少なくともひ
とつを、保護範囲のアドレスが要求信号の無い状態で存
在する時点で、選択的に拒絶することを要求しており、
ここでその保護範囲はメモリ装置のアドレス空間の全域
よりも小さく定義されている。

【００７２】これもまた当業者には理解されるように、
本発明ではアドレス復号器１６とウィンドウ回路１８２
とを図６及び７で別々に図示しているが、好適に二つの
機能要素を適切な回路を含む単一アプリケーション特定
集積回路（ＡＳＩＣ）で用意されている。

【００７３】再び図７に戻ると、ここには割り込み処理
装置２００が図示されている。割り込み処理装置２００
は図１２に更に詳細に図示されている。二つのマスク不
能割り込み信号ＮＭＩ１及びＮＭＩ２はゲート２１３で
結合され、マスク不能割り込みとしてプロセッサ１０に
提供される。加えてこれらはラッチ２１４のゲート操作
を行い、これは線ＮＭＩ１及びＮＭＩ２の状態を格納し
これはプロセッサ１０のＩ／Ｏ空間の個別の入力ポート
に提供される。その結果プロセッサの割り込み処理手順
は、その割り込みがＮＭＩ１及びＮＭＩ２信号のいずれ
か、またはその両方のどれを原因として発生したかを判
別することが出来る。これは郵便料金メータのソフトウ
ェア設計だけでなく、後々の診断時にも有益である。

【００７４】当業者には理解されるで有ろうが、ウィン
ドウ回路をアドレス復号器とは区別した機能とする（両
方とも単一のＡＳＩＣに組み込まれてはいるが）システ
ムを提案しているが、本発明の利点の多くは機能分離を
行わなくても利用可能である。図９に示されるように、
比較器１８５（図８）の機能はアドレス復号器１６’
（図９）の中に組み込める。この別の実施例に於いて、
アドレス復号器は二つの出力３２ａ並びに３２ｂを有
し、それらの一方またはそのもう一方はメモリ装置１２
でカバーされる範囲内のアドレスがアドレス指定される
度に駆動される。出力３２ａはそのアドレスが保護範囲
に入るときに駆動され、出力３２ｂはそれ以外の場合に
駆動される。この様な構成に於いて、ウィンドウ回路１
８２’（図９）の回路は図１０に示すようにもっと簡単
に出来る。選択線３２ａは要求信号３５が線１９１上に
出力された場合にのみ、ゲート１９３を介して通され
る。線１９１は、図９に示すように、選択線３２ｂとゲ
ート１９２で再結合され、その出力はメモリ装置１２を
選択する。この実施例に於いて書き込み信号１５はウィ
ンドウ回路で選択的に拒絶されるのではなく、直接メモ
リ装置１２に通される。これは正当に提出された要求信
号が無い状態でメモリの保護部分にアクセスしようと試
みられた際に、制御線（書き込みストローブまたは選択
線）を拒絶するという、本発明の一般的な応用例の別な
方法を示していると考えられる。ゲート１９４はプログ
ラム可能タイマであり、これは信号３５が長時間駆動さ
れて残っていると出力７１を発生する。

【００７５】図９及び図１０の構成は、本発明のひとつ
の実施例を表したものではあるが、図７及び図１１の実
施例ほどは好適で無いと考えられる。例えば、本当に阻
止するのが必要なのは書き込みアクセスだけの場合で
も、不必要に読みとりアクセスをも阻止してしまう。こ
れは二つの異なる警報ＮＭＩ１及びＮＭＩ２を提供はし
ない。これはクロック１９４で決められた予め定められ
た時間間隔が経過した後でも、アクセスを認める。とは
言っても、これは本発明の主旨である、単位メモリ装置
の保護領域へのアクセスは事前の要求があった場合にの
み許されるという内容は体現している。

【００７６】これもまた理解されるように、簡単なシス
テムではメモリアドレス用のアドレス復号器１６は存在
せず、単にＩ／Ｏアドレス用の復号器のみが存在する場
合がある。この様な簡単なシステムでは、メモリ装置１
２はプロセッサのメモリアドレス空間内の単なるメモリ
装置であろう。この様な場合、ウィンドウ回路１８２は
選択的に装置１２の選択線または書き込みストローブ線
を拒絶するが、これらはいずれもメモリ装置１２への制
御入力である。

【００７７】以上から理解されるであろうが、提案され
ているのは精巧なメモリ保護システムであって、これは
プロセッサの暴走を含む多数の故障からメモリの選択部
分を保護し、しかも保護対象メモリ装置また非保護対象
メモリ装置と言うように多数のメモリ装置を必要とはし
ないシステムであることが理解されよう。今まで提供さ
れた事に加えて、保護領域の大きさは一時方式のソフト
ウェア制御によって拡張出来る。

【００７８】以上は提出された実施例に基づく本発明の
説明であるが、種々の改変、代わりの構造、及び同等品
を採用することは可能である。従って、上記の説明並び
に図面は、本発明の範囲を制限するものではなく、本発
明は添付の特許請求の範囲で定義される。

【図面の簡単な説明】

【図１】従来技術によるメモリアドレス指定システムの
機能ブロック図。

【図２】従来技術によるメモリアドレス指定システムの
機能ブロック図。

【図３】従来技術によるメモリアドレス指定システムの
機能ブロック図。

【図４】従来技術によるメモリアドレス指定システムの
機能ブロック図。

【図５】図４に示すウィンドウ回路の機能ブロック図。

【図６】本発明に基づく、ウィンドウ回路を含むメモリ
アドレス指定システムの機能ブロック図。

【図７】本発明の別の実施例に基づく、メモリアドレス
指定システムの機能ブロック図。

【図８】例えば図１１に示すシステムで使用されるプロ
グラム可能アドレス復号器を示す。

【図９】本発明の別の実施例の機能ブロック図。

【図１０】図９の実施例で使用されるウィンドウ回路の
図式図。

【図１１】図７の実施例で使用されるウィンドウ回路の
図式図。

【図１２】図７の実施例で使用される割り込み処理回路
の図式図。

【図１３】従来技術によるメモリアドレス指定システム
の機能ブロック図を示し、これは本発明に基づくウィン
ドウシステムを図７のシステムから取り除いた物と同等
である。複数の図に渡って同様の構成要素は可能な限り
同じ参照記号で示している。

【符号の説明】

１０プロセッサ１１、１２、１３メモリ装置１４アドレスバス１５書き込みストローブ線１６アドレス復号器１７高位アドレスバス１８低位アドレスバス１９システムバス２０選択線２１、２２、２３書き込みストローブ入力３１、３２、３３選択線４０ゲート信号４１、４２、４３チップ可能化入力５１、５２、５３、６１、６２、８１、９１ＡＮＤゲ
ート５４、６５、８５、１９２ＯＲゲート５６、８３、９３計数器６７、６９、８２、１９５反転回路７０、１８２ウィンドウ回路７４、８０、８４、９０、９４、２１４ラッチ回路

Claims

【特許請求の範囲】

【請求項１】アドレス出力を有し格納されているプロ
グラムを実行するプロセッサと、制御入力を有するひと
つのメモリと、そしてウィンドウ装置とを含むメモリ保
護コンピュータシステムであって、前記ウィンドウ装置
が：アドレス出力に応答してプロセッサからのアドレス
が、メモリ内のアドレス空間の全域とは一致はしない保
護範囲からのもので有ることを表す、範囲検出信号を生
成するための範囲検出装置と；プロセッサからの出力に
応答して、プロセッサからの要求を認識しかつ要求信号
を生成するための要求装置と；そしてプロセッサとメモ
リとの中間に位置し、範囲検出信号と要求信号とに応答
して、要求信号が存在しない状態で範囲検出信号が駆動
された場合に、メモリへの制御入力を拒絶するための拒
絶装置とを含む、前記コンピュータシステム。
【請求項２】請求項第１項記載のコンピュータシステ
ムに於いて、このコンピュータシステムが更に郵便料金
印刷機を含み、そしてメモリが印刷可能郵便料金の量を
表す情報を含む、前記コンピュータシステム。
【請求項３】請求項第１項記載のコンピュータシステ
ムに於いて、範囲検出装置が更に保護範囲を異なる範囲
に設定するための異なる範囲を表す、プロセッサからの
指令を受信するように応答する装置を含む、前記コンピ
ュータシステム。
【請求項４】請求項第１項記載のコンピュータシステ
ムに於いて、要求装置が第一アドレス指定可能ラッチを
含み、プロセッサからの異なる範囲を表す指令が第一ア
ドレス指定可能ラッチへのデータ値である、プロセッサ
書き込み指令を含む、前記コンピュータシステム。
【請求項５】請求項第３項記載のコンピュータシステ
ムに於いて、ウィンドウ装置が更に第二ラッチを含み、
これが保護範囲への後続の変更を阻止するために、異な
る範囲を表すプロセッサからの指令に応答する、前記コ
ンピュータシステム。
【請求項６】請求項第５項記載のコンピュータシステ
ムに於いて、要求装置が第一アドレス指定可能ラッチを
含み、異なる範囲を表すプロセッサからの指令が、第一
アドレス指定可能ラッチへのデータ値のプロセッサ書き
込み指令を含み、第二ラッチ装置が第二ラッチを含み、
これはシステムリセット時にリセットされ、第一アドレ
ス指定可能ラッチへのデータ値のプロセッサ書き込み指
令によってセットされ、そして第二ラッチのセット出力
が第一アドレス指定可能ラッチへの後続の書き込みを阻
止する、前記コンピュータシステム。
【請求項７】請求項第１項記載のコンピュータシステ
ムが更に、タイミング装置を含み、これは要求信号の発
生及び要求信号の消滅に応答し、要求信号が発生されて
から予め定められた時間内に、その要求信号が消滅され
なかった場合に警報出力を生成する、前記コンピュータ
システム。
【請求項８】請求項第７項記載のコンピュータシステ
ムに於いて、プロセッサが更に割り込み入力を含み、計
数装置からの警報出力が機能的に割り込み入力に結合さ
れている、前記コンピュータシステム。
【請求項９】請求項第８項記載のコンピュータシステ
ムが更に、事象格納装置を含み、これは割り込み信号を
受信したことに応答して、リセット信号の発生を表す情
報を格納し、前記事象格納装置の内容はプロセッサの入
力として利用できる、前記コンピュータシステム。
【請求項１０】請求項第６項記載のコンピュータシス
テムが更に、プロセッサが予め定められた値を変更する
ことを可能とするための装置を含む、前記コンピュータ
システム。
【請求項１１】請求項第１項記載のコンピュータシス
テムに於いて、プロセッサが更に書き込み制御信号を含
み、システムが更に範囲検出信号が発生し、要求信号が
存在しない状態での書き込み制御信号が発生したという
事象を警報するための拒絶装置に応答する装置を含む、
前記コンピュータシステム。
【請求項１２】アドレス出力を有し格納されているプ
ログラムを実行するプロセッサと、制御入力を有するひ
とつのメモリと、そしてウィンドウ装置とを含むコンピ
ュータシステムで使用されるメモリ保護方法であって、
前記ウィンドウ装置が：アドレス出力に応答して、プロ
セッサからのアドレスが、メモリ内のアドレス空間の全
域とは一致はしない保護範囲からのもので有ることを表
す、範囲検出信号を生成するための範囲検出装置と；プ
ロセッサからの出力に応答して、プロセッサからの要求
を認識しかつ要求信号を生成するための要求装置と；そ
してプロセッサとメモリとの中間に位置し、範囲検出信
号と要求信号とに応答して、要求信号が存在しない状態
で範囲検出信号が駆動された場合に、メモリへの制御入
力を拒絶するための拒絶装置とを含み；前記方法が次の
手順：プロセッサからのアドレス出力を、範囲検出装置
に入力し；もしもプロセッサからのアドレス出力が、プ
ロセッサからのアドレスとして保護範囲内に存在するこ
とを表す場合は、範囲検出信号を生成し；そしてもしも
範囲検出信号が要求信号が発生していない状態で発せら
れた場合は、メモリへの制御入力を拒絶する、以上の手
順を含む前記方法。
【請求項１３】請求項第１２項記載の方法に於いて、
ウィンドウ装置が更にタイミング装置を含み、本方法が
更に次の手順：要求信号発生時にタイミング装置を起動
し；そして要求信号が消滅する前に、タイミング装置が
予め定められた時間を測定した場合に警報を提供する、
以上の手順を含む前記方法。
【請求項１４】請求項第１３項記載の方法に於いて、
警報を提供する手順がプロセッサへの割り込みを含む、
前記方法。
【請求項１５】請求項第１４項記載の方法に於いて、
システムが更に事象格納装置を含み、これは割り込み信
号を受信したことに応答して、割り込み信号の発生を表
す情報を格納し、前記事象格納装置の内容はプロセッサ
の入力として利用でき、前記方法が更にプロセッサの割
り込みに続いて、事象格納装置からの入力を受信する手
順を含む、前記方法。
【請求項１６】請求項第１３項記載の方法に於いて、
警報を提供する手順が更にメモリへの制御入力の拒絶を
含む、前記方法。
【請求項１７】請求項第１２項記載の方法に於いて、
拒絶手順が更に警報の提供を含む、前記方法。
【請求項１８】請求項第１７項記載の方法に於いて、
警報を提供する手順がプロセッサへの割り込みを含む、
前記方法。
【請求項１９】請求項第１８項記載の方法に於いて、
システムが更に事象格納装置を含み、これは割り込み信
号を受信したことに応答して、割り込み信号の発生を表
す情報を格納し、前記事象格納装置の内容はプロセッサ
の入力として利用でき、前記方法が更にプロセッサの割
り込みに続いて、事象格納装置からの入力を受信する手
順を含む、前記方法。