JPS592297A - 共有メモリのプロテクシヨン方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 本発明は、共有メモリのプロテクション方法に関するも
のである。

マルチコンピュータシステムの共有メモリＫｔ−１、シ
ステム全体の管理を受けもつオペレーティングシステム
も格納されており、これが誤って破壊されるとシステム
全体がダウンする。このため、共有メモリの保護は重要
な課題の一つである。

第１図は、本発明の前提となるマルチコンピュータシス
テムの構成例を示す。

共有メモリ１は、メモリ本体４と、メモリ制御装置６と
、接続される処理装置（ＣＰＵ）の台数分のＣＰＵ接続
機構８Ａ、ｓＱ　＜本例ではＣＰＵを２台とする）とか
ら構成される。メモリ制御装置６はメモリバスインター
フェイス５を介してメモリ本体４と接続され、この読み
書きの制御を行う。また、メモリ制御装置６は共有メモ
リ内バス７を介してＣＰＵ接続機構８Ａ、８Ｂと接続さ
れ、それらとのデータ転送を制御する。ＣＩ）　Ｕ接続
機構８Ａ、８Ｂは、各々共有メモリ１と処理装置２Ａ、
２１３との間のインターフェイス９Ａ・、９Ｂ？介して
、処理装置２Ａ、２Ｂの共有メモリ接続機構１０Ａ、Ｉ
ＯＢに接続される。

処理装置２人は、メモＩＪＩＩＡと、メモリ制御装置ｍ
１ｉｔ１３Ａと、共有メモリ接続機構１０Ａと、プログ
ラムの実行を行うジョブプロセッサ１５Ａと、複数台の
入出カプロセッサ１６Ａ、〜１６Ａイから構成される。

メモリＩＩＡは、メモリバスインターフェイス１２Ａ’
ｅ介してメモリ制御装置１３Ａによって制御される。メ
モリ制御装置ｉ３Ａと共有メモリ接続機構１０Ａは、Ｃ
ＰＵ内バス１４Ａに接続され、同じくバス１４Ａに接続
されたジョブプロセッサ１５Ａと複数台の入出力プロセ
ッサ１６Ａ、〜１６Ａｎとの間のデータ転送を行う。

各種の補助記憶装置３Ａ、や入出力装置３Ａ、は各々、
別個の入出力インターフエイス１７Ａ、。

１７Ａｒ、’に介して入出カプロセッサ１６Ａ、。

１６Ａ、に接続される。処理装置２Ｂについても同様で
ある。

以上説明したようなマルチコンピュータシステムにおい
て、一つの処理装置が誤って共有メモリの内容をこわし
てしまうと、全てのコンピュータの動作が異常となり、
システムダウンする危険性がめる。これを防ぐための有
効なメモリグロテクション方式として、従来、キープロ
テクション方式とエリアプロテクション方式が組合わせ
て使用されていた。

キープロテクション方式とは、プログラム毎にアクセス
キーと称するメモリアクセス付加情報をプログラム毎に
挿入し、一方、メモリアドンスを２にバイト程度のペー
ジに分割し、各ページ毎に前もってストレージキーと称
する特定パターンの書込み許可情報をメモリ制御装置１
３Ａ、１３Ｂ及び共有メモリ接続機構１０Ａ、ＩＯＨに
設定しておく。そしてメモリ書込み起動時にアクセスキ
ーとストレージキーを比較し、書込み不可の関係ならば
プロテクトエラーとし、メモリへの書込み紮行わない方
式である。

この従来のキープロデクジョン方式では、オールマイテ
ィキー、即ちどのようなストレージキーであっても書込
み可能なアクセスキーがｌｉ類だけであった。後で詳し
く説明するが、このオールマイティキーは、複数の入出
カプロセッサ１６Ａ、　。

・・・、１６ＪＪ、、・・・も使用するため、入出カプ
ロセッサのアトシス系故障によって共有メモリ１の内容
かこわされる危険がある。

共゛有メモリｌＫはオペレーティングシステムズログラ
ムのみが使用するシステム構成情報があり、この情報か
こわされると致命的であること、人出カブロセツザから
このエリアに１込む必要がないことから、次のようなエ
リアプロテクション方式Ｖこてこのエリアを防蹟してイ
タ。

即ち、共有メモリ接続機構１０Ａ、ＩＯＢ内に、システ
ム構成制御エリアとそうでないエリアとの境界を設定す
るレジスタと、アクセスアドレスがその範囲かどうかを
比較判定する手段と、アクセス元が、ジョブプロセッサ
か入出カプロセッサかを識別する手段と金設け、入出カ
プロセッサからの書込みで、そのアドレスかシステｌ、
構成制（財）エリア内であればプロテクションエラーと
する。

しかし、このような従来方法では、後者のエリアプロテ
クション機構のためのノーー゛ドウエアか大きいという
欠点がある。即ち境界レジスタ、比較器、アクセス元判
定器が必要であり、寸た、処理装置内バス７上にアクセ
ス元を示す情報音のせねばならない。

本発明の目的は、上記した伝来方法の欠点をなくシ、簡
単なノ・−ドウエアで共有メモリの保ｎ　ｋ行えるよう
にした共有メモリのプロテクション方法全提供するにあ
る。

本発明は、プログラム側のオールマイティキーとして第
１アクセスキーと第２アクセスキーの２種類のものを設
け、システム管理情報エリアに設定された第１ストＶ−
ジキーに対してｔｉ第１アクセスキーのみによりアクセ
ス可能とし、入出力管理情報エリアに設定された第２ス
トレージキーに対しては第１及び第２アクセスキーのみ
によってアクセス可能とすることにより、ハードウェア
の複雑なエリアグロテクショス機構を用いずに入出カプ
ロセッサによるシステム管理情報の破壊を切土したこと
を特徴とするものである。

以下、本発明の実施例全詳細に説明する。第２図〜第６
図は本発明の方法を実現するだめの各装置の実施例であ
って、まず第２図は、共有メモリ接続機構１０（第１図
１ＯＡもしくは１０Ｂに相当）の構成を示したものであ
る。メモリ制御装置１３Ａ、１３Ｂの構成も同様である
。なお、第１図の二つの処理装置２Ａ、２Ｂに対応して
２組ずつの同一装置があるか、これらは同一のものであ
るから、以下でこれらの添字Ａ、Ｂｋ除いた符号で１組
の装置を表わすものとする。

第２図において、ジョブプロセッサ１５または入出カプ
ロセッサ１６よりアクセスキー４０、書込みファンクシ
ョン４１（本信号が１のとき書込み、・０のとき読み出
し）、仮想アドレス４２、メモリ起動信号４４が入力さ
れ、各データは各々、アクセスキーバッファ３５、書込
みファンクションバッファ３６、アドレスバッファ３７
、書込みデータバッファ３８にセットされる。メモリア
ドレスの最上位ビット５０とメモリ起動信号４４はコン
トローラ３２に入力され、最上位ビット５０が１の時は
、共有メモリ接続機構１０が動作を開始し、最上位ビッ
ト５０が００時はメモリ制御装置１３が動作を開始する
。メモリアドレスの最上位ビット５０以外のビット３４
はアドレス変換機構３１に入力され、その出力として物
理アドレス２２がメモリへ出力され、アドレス変換テー
ブル有効信号４９がコントローラ３２へ出力され、スト
レーンキー２９がプロテクションチェック機構３０へ出
力される。プロテクションチェック機構３０へは、他に
、アクスジキーパソファ出力３３、書込みファンクショ
ンバッファ出力２１が入力され、その出力としてプロテ
クトエラー信号２８がコントローラ３２へ入力される。

コントローラ３２は、アドレス変換テーブル有効信号４
９が０１かつ、プロテクトエラー信号２８が０の時は、
メモリ側へ起動信号２４を出力する。そうでない時は、
エラー信号４６を１とし、応答信号４５を出力し、メモ
リへの起動信号２４は出力されない。

メモリ側へ起動信号２４を出力した場合には、同時に、
書込みファンクション信号２１や書込みデータ２３もメ
モリ側へ転送され、次に、メモリ側より読出しデータ２
７やメモリエラー情報２６を伴って、応答信号２５が入
力される。コントローラ３２は応答信号２５を受けると
、メモリエラー情報２６の内容を処理装置内バス１４の
エラー情報４６にのせ、読出しデータ２７を読出しデー
タバッファ３９にセットし、その内容を処理装置内バス
１４の読出しデータ４８にのせ、応答信号４５を出力す
る。

第３図は、ＣＰＵ接続機構８の構成を示したものである
。共有メモリ接続機構１０からの起動信号２４が入力さ
れると、共有メモＩＪＩ”ｌ／＜スフの選択要求信号５
７が出力される。この要求信号５７が共有メモリ制御装
置６内で優先判定され、選ばれたＣＰＵ接続機構８に対
し選択受付信号５８が入力されると、ＣＰＵ接続機構８
内の全てのゲーート６５〜７０がオン状態となり、起動
信号２４、物理アドレス２２、書込みデータ２３か共有
メモリ内バス７の起動信号５９、物理アドレス６０、書
込みデータ６１にのせられ、共有メモリ制御装置６へ転
送される。そして、共有メモリ制御装置６から応答信号
６２、エラー情報６３、読出しデータ６４か入力され、
処理装置２側へ、応答信号２５、エラー情報２６、読出
しデータ２７として転送される。

第４図は、共有メモリ制御装置６の構成を示したもので
るる。各ＣＰＵ接続機構８に対応して、個別に配線され
た選択要求信号５７Ａ、５７Ｂが、選択コントローラ７
７に入力され、同時に二つ以上の要求があれば、最も優
先レペ／Ｌ、の高いものカー選ばれ、各ＣＰＵ接続機構
８に対応して個別に配線された選択受付信号５８の中で
、該選ばれたものに対応する信号がオンする。これを受
けたＣＰＵ接続機構８は起動信号５９、物理アドレス６
０、書込み信号６１を送出する。これらは、共有メモリ
制御装置６を通過し、起動信号７１、物理アドレス７２
、書込みデータ７３としてメモリへ送出される。メモリ
より応答信号７４、エラー情報７５、読出しデータ７６
が送出され、これらは、共有メモリ制御装置６を通過し
、応答信号６２、エラー情報６３、読出しデータ６４と
して、ＣＰＵ接続機構８へ送出される。

第５図は、第２図で説明した共有メモリ接続機構１０ま
たはメモリ制御装置１３内のアドレス変換機構３１の詳
細構成を示したものである。仮想アドレス３４の下位ビ
ットはそのまま物理アドレス２２の下位ビットとなる。

仮想アドレス３４の上位ビットはレジスタファイルのア
ドレスに入力される。レジスタファイルは、バリッドビ
ット５１、ストレージキー５２、フレーム情報５３から
なり、メモリアドレスに応応して、アドレス変換テーブ
ル有効信号４９、ストレージキー２９、フレーム情報及
び仮想アドレスの下位ビラトラ合わせた物理アドレス２
２が出力される。

第６図は、同じく、共有メモリ接続機構１０まタハメモ
リ制御装置１３内のグロテクションチェク機構３０の詳
細構成を示したものである。ストレージキー２９とアク
セスキーパソファ出力３３は、リードオンリーメモリ５
４のアドレスとなっており、ストレージキー２９とアク
セスキー３３の全ての組合わせに関し、その組合わせが
書込み可の関係か、書込み不可の関係かを指定する。即
ち、リードオンリーメモリ５４の出力５５は、書込み可
の時０１書込み不可の時１どなる。本出力及び書込みフ
ァンクションバッファ出力２１（書込みの時１、読出し
の時０）がアンドゲート５６に入力され、その出力がプ
ロテクトエラー信号２８である。

以上がキーグロテクション方式を用いた本実施ψ１１の
構成であり、以下ではこの実施例での本発明の方法を述
べる。

第７図は、プロテクションチェック機構３０（第６図）
のリードオンリーメモリ５４のパターン例を示したもの
で、本図の例では、ストレージキー２９、アクセスキー
３３共３ビツト構成で、ストレージキー３ビツトはリー
ドオンリーメモリ５４の上位３ビツトのアドレスに割当
てられ一アクセスキー３ビットはリードオンリーメモリ
５４の下位３ビツトのアドレスに割当てられる。共有メ
モリ１を含めたオールマ′イテイキ−（第１アクセスキ
ー）ｉ、ＡＫＥＹ二〇とし、各処理装置２の専用メモリ
１１だけに通用するオー）レマイテイキ−（第２アクセ
スキー）を、ＡＫＥＹ＝１とし、第１アクセスキーのみ
書込み可能なストレージキー（第１ストレーンキー）を
、５ＫＥＹ二〇とし、第１アクセスキー及び第２アクセ
スキーでのミ書込み可能なストレージキー（第２ス゛ト
レージキー）ｋＳＫＥＹ＝１とするための、リードオン
リーメモリのデータは、５ＫＥＹ＝Ｏ〜７　、ＡＫＥＹ
二〇（リードオンリーメモリ５４の下位３ビツトが００
もの）の時０（＄込み司）　、５ＫＥＹ＝０．、ＡＫＥ
Ｘ＝１（リードオンリーメモリのアドレス０００００１
　）の時１（書込み不可）、５ＫＥＹ＝＝１〜７　；　
ＡＫＥＹ＝１の時０（書込み可）、５ＫＥＹ＝０〜１．
ＡＫＥＹ＝２〜７０時１（書込み不可）である。５ＫＥ
Ｙ＝２〜７．ＡＫＥＹ＝２〜７０組合わせについては、
別に定められた規則（システム管理、入出力管理よりも
低いレペ／Ｌ、の保護関係を各種プログラムに対し定め
たもの）に従って設定される力ｉ、本発明には直接の関
係はない。

第８図は、以上のようにして、リードオンリーメモリ５
４の全てのアドレスに対して、データを設定した時の、
ストレージキー２９、アクセスキー３３相互の関係を図
式化したものである。第１ストレージキー（８ＫＥＹ二
〇）に書込み可能なアクセスキーは、同図の８ＫＥＹ＝
０から点線矢印で示された第１アクセスキー（ＡＫＥＹ
　＝　Ｏ）のみである。第２ストレージキー（ＳＫＥＹ
　：　１　）に書込み可能なアクセスキーは第１アクセ
スキー（ＡＫＥＹ＝０　）及び第２アクセスキー（ＡＫ
ＥＹ＝１）１１７）ミである。５ＫＥＹ−＝２〜７につ
いては、例えば本図に示すようなバイナリ−ツリ一方式
のキー７゜ロテクションを設定する。なお８ＫＥＹ＝２
〜７については、ＡＫＢＹ＝０．１で書込み可でおれば
、他はバイナリ−ツリ一方式でなくどのような関係であ
っても本特許に含まれる。

第９図は、アクセスキーを指定する元としてのプログラ
ムステータスワードの様式を示したものである。プログ
ラムステータスワードは、プログラムの状態を表わす情
報であり、少なくとも次のような情報をも含む。第１と
して、ＯＳフラグ（Ｏ８）であり、オペレーティングシ
ステムプログラム実行中は１、ユーザープログラム実行
中は０である。第２として、プログラムレベル（ＰＬＶ
Ｌ）であり、実行中のプログラムのレベルを表わし、こ
のレベルより旨い割込みのみが受付可能である。第３に
、アクセスキー（ＡＫＥＹ）であり、そのプログラムが
メモリ書込みを行う（ジョブプロセッサによるメモリ書
込み）時、あるいはそのプログラムの起動により、入出
力プロセッサが入出力機器からメモリへのデータ転送を
依頼され、メモリ書込みを行う時、本アクセスキー情報
モメモリアクセス付カロ情報として転送され、先に述べ
たような、ストレージキーとの比較によるプロテクトチ
ェックが行われる。第４としてコンディションコード（
ＣＣ）であり、各命令終了毎に、その演算結果（ＮＥＧ
Ａ、ＺＥＲＯ等）がセットされる。

本プログラムスデータスワニドは、割込みや、スーパー
バイザーコール等でプログラムが切替わると、現情報が
メモリの特定のエリアにセーブされ、新情報がセットさ
れる。元のプログラムへ復旧すると、セーブしていた元
の情報が再セットされる。

プログラムステータスワード上のアクセスキーは、プロ
グラムの一つ一つに個廟の値を割当てられる。

第１０図は、入出カプロセッサの制御方式を示したもの
である。ユーザープログラムより起＃Ｊを受けたオペレ
ーティングシステムプログラムは、メモリ上にコマンド
（アクセスキー含）を用意しくＰｌ）、ポインタを接続
しくＰ２）、入出カプロセッサに連絡割込みを入れる（
Ｐ３）。これを受けた入出カプロセッサは、ポインタｔ
［み（Ｐ４）、コマンドをポインタより切離しくＰ５）
、コマンドを読む（Ｐ６）。このコマンドの内容に従い
、データを入出力機器からメモリへ転送する（Ｐｌ）。

続いて終了情報をメモリ上ヘセットしくＰ８）、ポイン
タを接続しくＰ９）、ジョブプロセッサへ連絡割込みを
入れる（ＰＬＯ）。割込みを受付けたジョブプロセッサ
のオペレーティングシステムプログラムは、ポインタを
読み（ｐＨ）、終了情報全ポインタより切離しくＰｌ２
）、終了情報を読む（Ｐｌ３）。終了情報に異常がなけ
ればユーザープログラムに応答を返し、ユーザープログ
ラムは、入出カプロセッサにより転送データを処理する
（Ｐｌ４）。以上の処理の中で、メモリ上へのコマンド
（アクセスキー含）の用ｔ（Ｐｌ）、ポインタの接続（
Ｐ２）、ポインタよりの切離しくＰ５）、終了情報のセ
ラ）　（Ｐ８）、ポインタの接続’（Ｐ　９　）　、ポ
インタよりの切離しくＰｌ２）については、書込もうと
するメモリエリアがプログラム共通のエリアであり、ま
た、ユーザープログラムによって破壊されてはならない
入出力管理情報である。このように、入出カプロセッサ
も入出力管理情報のアクセスのだめのオールマイティキ
ーを用いたメモリ書込み機能を必要とし、このために入
出力管理情報エリアのストレージキーを第２ストレージ
キー（ＳＫＥＹ＝１　）に設定し、アクセスキーは第２
アクセスキー（ＡＫＴｈＥＹ＝１　）ｋ用いるようにす
る。また、本図の処理の中で、入出力機器からメモリへ
のデータ転送（Ｐｌ）については、書込もうとするエリ
アが、ユーザープログラムに関係したエリアである。従
って、そのエリアのストレージキーは、一般ユーザープ
ログラム用ストレージキー（ＳＫＥＹ＝２〜７）であり
、アクセスキーは、コマンド内に設定さｎたアクセスキ
ーが用いられる。

一方、システム管理情報を格納した共有メモリ１内のエ
リアに対しては、入出力プロスッザの用いるオールマイ
ティキー（第２アクセスキー）よりも更に強いオールマ
イティキー（第１アクセスキー）を設定しておく。

第１１図は、専用メモリ、共有メモリのストレージキー
の割付は例を示したものである。専用メモＩＪ（Ｍ）１
１（７）オペレーティングシステムプログラム使用エリ
アは、第２ストレージキー（ＳＫＥＹ＝１　）が設定さ
れる。このエリアには、入出力管理情報も含まれ、入出
カプロセッサのシステムプログラムは、第２アクセスキ
ー（ＡＫＥＹ＝１　）を用いてアクセスする。このオペ
レーティングシステムプログラムは、第１アクセスキー
（ＡＫＥ’Ｙ二〇）または第２アクセスキー（ＡＫＥＹ
＝１’）を用いてアクセスする。専用メモリ１１のプロ
グラム間共有エリア（ＧＬＢ）Ｋは、一般のストレージ
キ＝（ＳＫＥＹ＝２〜７）が用いられる。専用メモリ１
１のプログラムワークエリア（ＷＫ）には、ストレージ
キー＝２が用いられるが、この部分のプロテクトは、別
の手段により与えられるものとする（本特許には関係な
いため、説明を省略する）。共有メモリ１のシステム管
理情報エリア（Ｏ８）には第１ズトレージキ−（ＳＫＥ
Ｙ二〇）が用いられる。オペレーティングシステムプロ
グラムは、第１アクセスキー（ＡＫＥＹ＝Ｏ）、に用い
てアクセスする。共有メモリのプログラム間共有エリア
（Ｇｌ、Ｂ）には、一般のストレージキー（ＳＫＥＹ＝
２〜７）が用いられる。

入出カプロセッサは通常複数台実装されるが、その台数
が多いとそのアドレス系の故障により、従来方式で説明
したようなシステム管理情報エリアへの異常なアクセス
の危険性かめるが、上記の実施例によると、入出カプロ
セッサの用いる第２アクセスキーよりも更に強い第１ア
クセスキーのみによってしか、共有メモリ内のシステム
管理情報へはアクセスできない。ところが、オペレーテ
ィングシステムプログラムと、入出カプロセッサのシス
テムプログラムとが正しければ、入出カプロセッサが共
有メモリの最重要部を破壊できるオニルマイティキー（
第１アクセスキー）を使用することはなく、従来のキー
プロテクション方式のみによった時の欠点は解消される
。また、ハード二重故障により、アクセスキーとアドレ
スとが同時に異常となり、共有メモリの厳重要部全破壊
するという確率は非常に小さく、実運用上問題はない。

しかもハードウェア上では、従来のエリアプロテクショ
ン方式のような特別な機構を必要としない。

以上の説明から明らかなように、本発明によれば、簡単
なハードウェアで、共有メモリのシステム構成制御情報
のプロテクション、特に、入出カプロセッサのアドレス
系の故障に対するプロテクションを実現できるという効
果がある。

【図面の簡単な説明】

第１図は本発明の前提となるマルチコンピュータシステ
ムの構成例を示すブロック図、第２図〜第６図は本発明
の方法を実現するための各装置の実施例を示す図、第７
図はプロテクションチェック機構内のリードオンリーメ
モリのパターン例を示す図、第８図はメトレージキーと
アクセスキー相互の関係の説明図、第９図はプログラム
ステータスワードの様式を示す図、第１０図は入出カプ
ロセッサの制御方式を示す図、第１１図は専用メモリ、
共有メモリのストレージキーの割付は例を示す図である
。 １・・・共有メモＩＪ、２Ａ、２Ｂ・・・処理装置、３
Ａ１〜３Ａ、、、−，３Ｂ、〜３Ｂ、、・・・入出力装
置、６・・・メモリ制御装置、８Ａ、８Ｂ・・・ＣＰＵ
接続機構、１０Ａ、ＩＯＢ・・・共有メモリ接続機構、
１１Ａ。 １１Ｂ・・・専有メモリ、１３Ａ、１３Ｂ・・・メモリ
制御装置、１５Ａ、１５Ｂ・・・ジョブプロセッサ、１
６人、　〜１６Ａｎ、１６Ｂ、〜１６Ｂ　、、−・・入
出カプロセッサ、２９．５２・・・ストレージキー、３
０・・・プロテクションチェック機構、３１・・・アト
ｖスＲ換機Ｌ　３５・・・アクセスキーパソファ、３３
．４０・・・アクセスキー、５４・・・リードオンリ着
４１ＺＪ 著ｉ層

Claims (1)

【特許請求の範囲】
1. １、複数の処理装置により共有さね、る共有メモリ内の
   システム管理情報エリアにはプログラム上の第１アクセ
   スキーによってのみ書込み可能なように構成された第１
   ストレージキーを設定し、上記各処理装置毎の専用メモ
   リ内の入出力管理情報を含むシステム管理情報エリアに
   はプログラム上の第２アクセス千−及び上記第１アクセ
   スキーによってのみ書込み可能な第２ストレージキーを
   設定するとともに、上記処理装置のシステム管理プログ
   ラムは上記第１アクセスキーを用いて上記共有メモリ及
   び専用メモリのシステム管理情報の書換えを行い、かつ
   上記各処理装置に接続された入出力処理装置内の入出力
   管理プログラムは上記第２アクセスキーを用いて上記専
   用メモリの入出力管理情報の書換えを行うようにし、か
   くして該入出力管理情報の書換え時に誤ったアドレスへ
   アクセスしてもその第２アクセスキーによっては上記共
   有メモリ内のシステム管理情報へはアクセスできないよ
   うにしたこと全特徴とする共有メモリのプロテクション
   方法。