JPS6112584B2 - - Google Patents

Description

【発明の詳細な説明】

本発明の背景 データ処理を行う企業においては、データのプ
ライバシーもしくは安全を確保する必要性が増大
している。このような企業は、広い意味では、大
型コンピユータを使用する通信企業や電子データ
処理企業等を含む。通信分野において、無線周波
通信又は電話線を介して伝送されるデータは、傍
受されたり、権限の無い使用者が変更したり、不
正目的で利用されたりしやすい。データが権限の
無い使用者又は侵入者に入手されやすい機会を少
なくし、そのような機会を無くし、又は抑制する
ために、各種の暗号システムが提案されてきた。 コンピユータの分野において、データの不正ア
クセスは、非常に複雑な問題をはらんでいる。複
数個の遠隔アクセス端末装置を利用し、このよう
な端末装置の任意のものが中央コンピユータ装置
にアクセスし、中央コンピユータ装置が計算装置
とデータ及びプログラムを含むメモリとを有して
いる、大型且つ複雑なタイムシエアリング・コン
ピユータ・システムにおいては、問題は益々複雑
になる。そのようなシステムにおいては、例えば
メモリ・システム中の各種の貯蔵装置にアクセス
したり、端末装置間を伝送させるメツセージを傍
受したり、又は遠隔アクセス・コンピユータ・ネ
ツトワーク中のホスト・コンピユータと端末装置
との間を伝送されるメツセージを傍受したりする
ことにより、不正な方法でデータ又はプログラム
を入手することができる。 １つのプログラムが、タスクを遂行するため
に、他のプログラムを呼出すような構成が取られ
ている場合、問題は更に複雑になる。そのような
融通性ある構成の利点は、呼出しプログラムのデ
ータやプログラム自体を、呼出されたプログラム
にとつてアクセス可能としたり、呼出されたプロ
グラムを使用しているオペレータにとつてアクセ
ス可能としたりすることを偶発的に許す不利益と
相殺されてしまう。このような事は、多くの理由
により望ましくない。例えば、高レベルの（即
ち、呼出している）プログラムは、高度に機密性
あるそれ自体のメモリ・ロケーシヨン中にデータ
を貯蔵しており、このようなデータは非常に限ら
れた伝播経路しか持たない。もしそのような高レ
ベル・プログラムの機密データが、低レベルの
（呼出されている）プログラムにとつて利用可能
となれば、そのような機密性は侵されてしまう。
他の例として、何か不正を働こうとするか又は或
る従業員に対する問題を起そうとする者は、高度
に機密なプログラム又はデータにアクセスし、故
意に手を加えて誤動作するようにするか、それら
を破壊して、重大な金銭上の損失を生ぜしめるで
あろう。とにかく１つのプログラムが、システム
内に存在する他のプログラムを呼出す柔軟性を実
現しようとすれば、プログラムの安全性、特に高
レベル・プログラムの安全性を維持するに、当つ
て重大な支障を生じることになる。 更に、現代のプライバシーを守る法規は、個人
又は企業のデータを不正な侵害及び使用から守る
ため、コンピユータの製造者及び使用者が益々多
くの義務を課するに至つた。コンピユータへの不
正なアクセスとしては、実に多くの場合が考えら
れる。即ち、上述したように、機密情報を知る必
要が無い者が、企業や個人のデータにアクセスす
る場合や、極端な場合としては、銀行又は給与デ
ータへ不正にアクセスして、金銭を不正に支払わ
せたり、間違つた人の勘定番号へ正しくない貸借
額を記入したりして、重大な金銭上の損失を与え
たりする場合が考えられる。 コンピユータ装置への不正なアクセスを防止す
るため、過去に提案された方法は、安全パスワー
ド妨害方式であつた。現在使用されている。通常
のマルチプログラム・タイムジエアリング・コン
ピユータ・システムにおいては、所定の使用者
は、アクセスを許されたメモリ領域を割当てられ
ており、更に特別の指定キー（即ちパスワード）
を与えられている。このパスワードは、或る範囲
のメモリ・アドレスが、その特定の使用者にとつ
てアクセス可能になるように要求するため使用さ
れる。通常の動作において、もし使用者が誤つて
自分に割当てられていないメモリ部分へアクセス
しようとすると、システムは割込みを生ずる。こ
の保護方式の場合、オペレーテイング・システム
では、メモリの一部分に誤つてアクセスしようと
しているプログラムはプロブレム状態即ち非特権
状態で動作しているものとみなされる。スーパー
バイザ状態即ち特権状態では、オペレーテイン
グ・システムは、その通常の使用において、それ
自体の変更を含む任意目的のため、コンピユータ
の任意の部分へアクセスすることを許される。過
去において、このようなスーパーバイザ状態へ偶
発的又は故意にアクセスしようとする試みを統制
するハードウエア装置が提案されたこともある。 本発明は、コンピユータの機密安全性を改善す
るために、スーパーバイザ状態への偶発的アクセ
スを防止するというような特定の問題を取扱うも
のではなく、所与のプログラムが、そのタスクを
遂行するため、他のプログラムを容易に呼出せる
システム柔軟性を保持しつつ、一方において、呼
出したプログラムが呼出されたプログラムにより
アクセスされないようにしてデータの安全性又は
プライバシーを維持するにはどうすればよいかと
いう一般的な問題を取扱うものである。そのよう
な機構を或るシステム環境中で容易且つ実際的な
らしめるためには、その機構は、比較的に使用が
容易でなくてはならず、その機能を容易に実行で
き、且つ要求される保護機能は、システム中で自
動的（即ち、本来的に備つているもの）でなけれ
ばならない。更に、そのようなシステムは、企業
へ受入れられるために、保護フイールド又はマス
クという基本的概念を有していることが必要であ
る。 本発明の目的 階層的安全レベルの概念を使用することによ
り、非常に改善されたプログラム及びデータ統合
システムが、通常型のCPU構造中で実現できる
ことが発見された。所与のプログラムの安全レベ
ルは、そのプログラムのためにシステムによつて
設定された保護基準と一致しなければならない保
護フイールドの量を決定する。従つて、そのプロ
グラムのための保護レベルは、或る幅を有する窓
（window）を設定し、その窓を通して保護フイー
ルドが安全検査のためにチエツクされる。 本発明の主たる目的は、オブジエクト・プログ
ラマが、主プログラムに対しても、サブ・アプリ
ケーシヨン（即ち、呼出されるプログラム）に対
しても、安全レベルを全く任意に設定することが
できる階層的安全機能を提供することである。 本発明の他の目的は、必要に応じてスイツチ・
オフすることのできる安全機能又はスーパーバイ
ザ状態アプリケーシヨンを提供することである。 本発明の他の目的は、安全チエツクを成功裏に
確定するために、保護フイールド・パスワードの
概念を利用した安全機構を提供することである。 本発明の他の目的は、プログラマが呼出しプロ
グラムを保有しておくことができ、呼出されたプ
ログラムの全て又は任意のものが、相互に対して
完全に安全に保つことができる安全機構を提供す
ることである。 本発明の他の目的は、呼出しプログラムが、呼
出されたプログラムからの侵害に対して常に安全
である安全機能を提供することである。 本発明の他の目的は、或る安全レベルにあるプ
ログラムが低レベルのプログラムを呼出す際に、
呼出しプログラムへ適用される安全チエツクが、
呼出されたプログラムのメモリ・アクセスが受け
なければならない安全チエツク中に含まれるよう
なモジユラー階層方式の安全機能を提供すること
である。 本発明の他の目的は、最低レベルを除く任意の
安全レベルのプログラムが、それより低いレベル
の他のプログラムを呼出し、且つその低レベル・
プログラムに対して完全な安全性を維持するよう
な完全機構を提供することである。 本発明の他の目的は、スーパーバイザによつて
割当てられた保護コードに固有な高度の安全性を
有し、且つ同時に走行中のプログラムに対しても
同程度の安全階層を容易に設定できる能力を有す
るシステムを提供することである。 本発明の他の目的は、現存するコンピユータ構
造及びデータ形式に容易に適合可能な安全機能を
提供することである。 本発明の他の目的は、マルチプログラム条件へ
容易に適合可能なシステムを提供することであ
る。 本発明の他の目的は、簡単で容易に入手可能な
ハードウエアで実施可能なシステムを提供するこ
とである。 発明の概略 本発明では、メモリ内の実行されるべき各プロ
グラムに対してそれぞれ安全レベル及びその安全
レベルに応じた長さの保護フイールドを割当て、
それら安全レベル及び保護フイールドをリンク・
スタツクに記憶しておく。又、命令及びデータを
記憶し得るそのメモリの各ロケーシヨンには、そ
れらプログラムのうちそのロケーシヨンをアクセ
スし得るプログラムの保護フイールドを命令又は
データと共に記憶しておく。プログラムの実行中
にそのメモリにおけるロケーシヨンの１つがアク
セスされる時、そのプログラムに対して割当てら
れていた安全レベル及び保護フイールドがリン
ク・スタツクから取出される。そして、メモリの
アクセスされたロケーシヨンにおける保護フイー
ルドとリンク・スタツクから取出された保護フイ
ールドとが比較される。この比較では、リンク・
スタツクから取出された安全レベルに従つて、比
較されるべき保護フイールドの長さが制御され
る。即ち、実行中のプログラムの安全レベルが高
ければ比較される保護フイールドは短いものとな
り、それが低ければ比較される保護フイールドは
長くなる。この保護フイールドの比較において一
致が得られると、そのメモリ・アクセスは有効な
ものと認められるが、不一致の場合には割込みが
生じてそのメモリ・アクセスは不適当なものとし
て処理される。従つて、安全レベルの高いプログ
ラムのために比較されるべき短かい保護フイール
ド部分を安全レベルの低い他のプログラムの保護
フイールド内に含ませるように割当てることによ
り、その安全レベルの高いプログラムはその安全
レベルの低いプログラムを有効にアクセスするこ
とができるが、安全レベルの低いプログラムがそ
れの高いプログラムをアクセスすることは防止さ
れる。 実施例 本明細書で開示される安全機関は、第２Ａ図か
ら第２Ｆ図に詳細に示されている。第１図は、シ
ステムの主たる機能コンポーネントを示してい
る。第１図において、実施例の制御システムは
CPU１（命令ユニツト２及びメモリ３）の下部
に配置されている。メモリから命令がアクセスさ
れて命令ユニツトに置かれたり、命令がメモリに
貯蔵される時、又はデータ動作がメモリで生じる
時、何らかの安全チエツクが必要である。最も基
本的な安全チエツクは、通常の安全パスワード・
チエツク法である。この検査法は、特定のメモリ
貯蔵動作又はフエツチ動作が、現在走つているプ
ログラムのための保護フイールド要件又はパスワ
ード要件に合致しているかどうかを決定する。本
発明における安全チエツクと、従来の保護チエツ
ク又はキーとの相違は、現在走つているプログラ
ムに必要な保護フイールドの量（ビツト幅）が注
目される点である。注目される量は、現在の安全
レベルに依存する。後の説明から明らかなよう
に、安全レベルが高くなれば（ｎの数が小さくな
れば）注目される保護フイールド（即ち、窓）は
それだけ小さくなる。従つて、小さな保護フイー
ルドのプログラムは、それだけ高い優先順位を有
する。 上述した特徴は、安全機能が働くために絶対に
必要であるが、本発明の更に著しい特徴は、各種
の階層的安全レベルを設定し、メモリ中の各サ
ブ・アプリケーシヨンごとに階層安全情報を自動
的に貯蔵し、或る安全要件が満足される限り、命
令ユニツトの保護部分をして、使用者の望むまま
に、１つのサブ・アプリケーシヨンから他のアプ
リケーシヨンへと分岐せしめる機能を備えている
点にある。 前述した如く、本発明の最も基本的な動作概念
は、オペレーテイング・システムによつて所与の
安全レベルを割当てられた所与のプログラムが、
定義に従つてそれより低い階層的安全レベルを与
えられねばならないサブ・アプリケーシヨンを呼
出すことができる点である。安全レベルの割当て
は、オペレーテイング・システム内に存在するプ
ログラムのパスワード部分によつて制御される。
更に、この機構は、特定のサブ・アプリケーシヨ
ンへ割当てられ且つ呼出しプログラムの保護フイ
ールド要件を満足させねばならない新しい保護フ
イールドを作りそしてそれも失わないようにし
て、それを追跡しなければならない。この機能を
遂行する基本的ブロツクは、第１図及び第２Ｄ
図、第５図に示される保護挿入論理回路４であ
る。この特定の回路へ送られる実際のデータは、
保護挿入命令および第２Ｅ図及び第２Ｆ図に示さ
れる回路の制御下で、システム内の多くの場所か
ら来る。第１図の保護挿入論理回路４は、その機
能を非常に単純化して示したものであることを注
意されたい。 第１図の保護論理回路５は、走つている特定の
プログラムに対する現在の階層レベル要件の制御
下で、各種の保護フイールド比較機能を遂行す
る。換言すれば、特定のメモリ動作を満足させね
ばならない保護フイールド（保護基準）は第４図
のケーブル１０８へ入り、アクセスされつつある
メモリ・ロケーシヨンの保護フイールドは、第４
図のケーブル１７０に入つて来る。同時に、特定
の階層安全レベル情報は、第４図の番号１８５で
示される８本の線の中の１本へ入る。この情報
は、第２Ｃ図のケーブル１３０から生じ、デコー
ダを通つて来るものである。保護論理回路５から
の線１０６の出力は、正しい保護フイールドが存
在するかどうかを示す。正しい保護フイールドが
存在しなければ、安全侵害中断即ち割込みが生じ
る。 第１図のリンク・スタツク回路６は、関連した
回路及び機能ユニツトを第２Ｃ図及び第２Ｄ図に
示されている。リンク・スタツク回路６は、本発
明の階層安全機構の動作を可能ならしめる制御機
能中の中心機能を実行する。リンク・スタツク回
路６の詳細は第３Ａ図−第３Ｄ図に示される。こ
の回路によつて、走行中のプログラムは、所与の
プログラム・ストリーム内で１時に８つの階層安
全レベルを呼出すことができ、且つ走行中のプロ
グラムがアクセスすべきでないレベルである全て
のジヨブに対しては、安全なメモリ安全が維持さ
れる。リンク・スタツク回路６は、リンク・リタ
ーンアドレスを保存すると共に、安全階層制御の
統一性を確実に保つ機構として働く。 今まで、本発明の全体的目的、特徴、動作する
ハードウエアの主たる構成部分について説明して
来たので、これからもつと詳細な動作上の原理及
び実施例の動作に必要な８個の新規な命令につい
て説明することにする。当業者には理解できるよ
うに、本発明の階層安全機構を正しく機能させる
ためには、システムを走らせるプログラマがこれ
ら特殊目的の命令を使用する必要がある。本発明
の目的を直接的に達成するため、特定の命令フオ
ーマツト及び機能が選択されたが、本発明の階層
安全機能の基本的機能及び概念を変更することな
く、多くの変更を加えてよいことが、当業者に理
解されよう。 本発明は、メモリへアクセスするに当つて問題
無しの確認をとることによつて、データへ選択的
にアクセスできるようにする。他のメモリ保護機
構と異なり、本発明は制御の精密度を貯蔵媒体の
フエツチ幅と同程度に小さくすることができる。
通常1000バイト又はそれ以上のバイトから成つて
いる大きなメモリ・ブロツクは、１つのユニツト
として制御される。即ち、従来の保護機構におい
ては、ブロツクの全ワードがアクセス可となる
か、又は全ワードがアクセス不可となるかのいず
れかである。更に、メモリの或る領域へ束縛され
たメイン・アプリケーシヨンは、サブ・アプリケ
ーシヨンがメイン・アプリケーシヨンのメモリへ
アクセスする能力を束縛するために、それ自体サ
ブ・アプリケーシヨンを制御することができ且つ
同一の保護機構を使用することができる。従つ
て、アクセス制御の階層が設定されることができ
る。 現在使用されているハードウエアでは、パリテ
イ乃至ECCビツトに関しては、非常に小さな程
度の２レベル階層が存在する。ハードウエアを保
守するエンジニアに対してのみ利用を許されるマ
シンの「診断状態」においては、パリテイ（又は
ECC）ビツトは、それを読取り又は書込むため
に、アクセスすることができる。「非診断状態」
においては、これらビツトはプログラム制御の下
になく、正しくないパリテイ又はECCビツトが
設定されていることをハードウエアが検出する
と、エラー条件が生じる。 例えばIBMモデル168メモリの１ワードは、72
ビツト（64データ・ビツトと8ECCビツト）より
成り、テープ又はIBMモデル20メモリの１ワード
（バイト）は、８データ・ビツトと１パリテイ・
ビツトより成る。 保護フイールドを呼ばれる非データ・ビツト
が、各貯蔵ワードに付加され、階層的制御状態が
利用される。負でない整数（レベル）が制御状態
へ割当てられ、CPUを制御しているプログラム
がどのレベルにあるかを示すため、特殊なレジス
タ（レベル・レジスタ）が設けられる。レベルｎ
で走つているプログラムに対しては、最初のｎビ
ツトを除いた保護フイールドの他の全ビツトが、
そのプログラムによる書込みのためにアクセス可
能である（保護コード書込み用）。有効なメモ
リ・アクセスを行うためには、保護フイールドの
最初のｎビツトが保護レジスタの最初のｎビツト
と一致しなければならない。従つて、レベル０が
最も特権的（privileged）である。何故ならば、
検査されるビツトは無いからである。全保護ビツ
トが変更されてよい。更に、最初のｎビツトを除
く保護レジスタの全ビツトが、レベルｎで走つて
いるプログラムによつて変更されてよい。 もしレベル・レジスタがｋビツト長であれば、
2k個の制御レベルが可能であり、保護フイール
ド及び保護レジスタは（２^k）−１ビツト長にする
ことができる。（２^k）−１個の異つた保護フイー
ルド・パターンが可能である。レベルｎで走つて
いるプログラムは、レベルｍで走つている２^(m-n
）個のサブプログラムを識別することができる。
ここでｍｋである。 レベルｎで走つているプログラムは、もしｍ＞
ｎであれば、レベルｍにあるサブプログラムを開
始してよい。レベルｎのプログラムは、そうする
前各メモリ・ワードにおける保護フイールドのビ
ツトｎからｍ−１までをセツトする。に、そのサ
ブプログラムがアクセスしようとしているすべて
のワードにおけるパターンと一致とするよう他の
データ・ワードは、これら保護フイールド・ビツ
ト中に異つたパターンを有するかも知れない。も
しレベルｍのサブプログラムが、保護フイールド
の最初のｍビツトと保護レジスタの最初のｍビツ
トと一致しないようなワードにアクセスしようと
すれば、安全侵害条件が生ずる。 １＜ｍであれば、レベルｍのサブプログラム
は、制御をレベル１へ戻すことはできない。標準
化されたリンク機構が設けられており、その機構
によつて、レベルｍのサブプログラムが制御を高
レベルへ引渡す時終了せんとする所与のサブプロ
グラムを開始したプログラムへ制御が確実に戻さ
れる。その制御の戻りは、開始プログラムが制御
を低レベルのサブプログラムへ与えた時、開始プ
ログラムが有していたレベルで起る。 制御の階層は、それを通してメモリ・ワードが
観察される種々の大きさの窓を与えるものと看做
することができる。高レベルでは（ｎの小さな値
の時）窓は広くなる。見えないビツトは、所与の
ワードへのアクセスが許されるべきかどうかを決
定する。 上述の概念は、本発明の安全制御階層を容易に
組込むことができるIBMシステム／370の拡張型
を説明することによつて、更に具体的なものとな
ろう。 現在使用されているメモリ・スペースより大き
いメモリ・スペースを使用することを避け（現在
８個のデータ・ビツトごとに１個の冗長ビツトが
あり、72ビツト・ワードでは、64データ・ビツト
ごとに8ECCビツトがある。）かつ保護フイール
ドのスペースを確保するために、本実施例のメモ
リ構造は、144ビツト幅であると仮定する。その
中で128ビツトがデータ・ビツトである。従つて
IBMシステム／370が現在使用しているデータ・
ビツトの８／９の割合を保持する。144ビツト・
ワードのECCは、９ビツトを必要とするから
（ピーターソン著、エラー・コレクテイング・コ
ードPeterson、Error Correcting Codes、MIT
Press、1961参照）、安全制御階層のためには、
７ビツト保護フイールドが残される。 144ビツト・ワードの外に、次の要件が必要で
ある。即ち整数０〜７が８個のレジスタより成る
リンク・スタツク回路が存在する。各リンク・ス
タツク・レジスタは、２個のフイールドより成
る。１つはレベル・フイールド（３ビツト）であ
り、他はアドレス・フイールド（24ビツト）であ
る。 リンク・スタツク・レジスタ０は、異つた態様
で処理される。 (イ) レベル・フイールドは、000へ固定されてい
る。 (ロ) アドレス・フイールドの低位７ビツトは、７
ビツト保護レジスタとして処理される。 (ハ) アドレス・フイールドのビツト５，６，７、
は３ビツト・レベル・レジスタとして処理され
る。 次に、コンピユータの命令種目として付加され
ねばならない８個の命令について説明する。これ
ら命令は、制御階層を実現するために、リンク・
スタツク・レジスタの処理段階で使用される。 特に強調したい点は、制御階層が、プロブレム
状態で走つているアプリケーシヨンへ、ストレー
ジ制御能力を与えるために、設計されていること
である。従つて、命令の大部分は、プロブレム状
態で使用可能である。オペレーテイング・システ
ムが、１つのユーザー・プログラムから他のユー
ザー・プログラムへ制御階層を切換えて使用する
ために、少数の追加的命令が必要である。 データ・フエツチの際の保護ビツトの検査は、
プロブレム状態でのみ起ることに注意されたい。
もしレベル・レジスタが整数ｎを含むならば（こ
こで０ｎ７とする）。データ・ワード保護フ
イールドの最初のｎビツトは、保護レジスタの最
初のｎビツトと一致しなければならない。貯蔵動
作においては、それを有効に行うために、貯蔵さ
れるワードの最初のｎビツトが、保護レジスタの
最切のｎビツトと一致しなければならない。 ８個の特殊命令の概説 前述した如く、第２Ａ図−第２Ｆ図、第３Ａ図
−第３Ｄ図、第４図、第５図に示される階層安全
機構のハードウエアは、特定のプログラムがプロ
ブレム状態で走つている時に自動的に動作する。
通常のプロブレム状態での走行中、メモリ・ワー
ドの保護フイールドは、通常のパスワード形式安
全システムと同じように自動的に検査される。勿
論、顕著な相異点は、プログラムが走つている特
定のレベルに応じて、多い又は少ない保護ビツト
がシステムによつて検査されることである。 特殊命令の使用を必要とするのは、階層プログ
ラムをシステムへ最初に書込む時である。特殊命
令は、必要な安全データを設定し、且つ本発明の
階層安全機構を能動化するのに必要な動作を指定
する。 以下の説明から、或る命令はスーパーバイザー
状態でのみ使用可能であり、他の命令はスーパー
バイザー状態及びプロブレム状態の双方において
使用可能であることが分る。更に或る命令は、２
つの状態で幾分違つた効果を有する。 当業者には、スーパーバイザ状態でのみ使用可
能な命令が、システム動作命令の特権的セツト
（privileged set）の一部分を形成すること、その
ような特権的セツトの使用は、プロブレム・プロ
グラマをして本発明の安全機構を迂回せしめるこ
とになりかねないことが分る。 更に、具体的に後述するハードウエアの動作か
ら、本発明の安全機構は、８個の特殊命令に対応
する８個のサブシステム又はハードウエア・シー
ケンスを含むことが分る。後述する動作シーケン
ス・チヤートは、特殊命令が命令デコーダ中に現
われる時に生じる。ハードウエア動作のシーケン
スを掲げるものである。これら命令を使用したシ
ステム動作の典型的シーケンスは、後述する実施
例中で説明される。 特殊命令はの説明順序は、第６Ａ図及び第６Ｂ
図に示される順序と同一であるが、必ずしもシス
テム動作の特定シーケンスの順序に対応していな
い。以下の説明は機能的なものであり、システム
中で生じる機能を示したものである。ハードウエ
アの詳細な段階的動作については、後述する詳細
な動作の説明及び動作シーケンス・チヤートを参
照されたい。 １ メモリへの保護貯蔵（STORE
PROTECTION IN MEMORY） この命令の「メモリ中のアドレス」フイール
ドに指定された16バイト・ワードから始まり
「ワード数」フイールドで指定された数のワー
ドについて次のような動作が起る。もし保護フ
イールドの最初のｎビツトと保護レジスタの最
初のｎビツトが一致すれば（ここでｎは、プロ
ブレム状態の時レベル・レジスタの内容であ
り、スーパーバイザ状態の時０である。）メモ
リの保護フイールドは、保護レジスタの内容に
よつて置換される。上記の一致条件に対して、
特別のテストはなされない。何故ならば適当な
テストとしては、全てのデータ・フエツチ動作
及び全てのデータ貯蔵動作へ適用されるテスト
が望ましいからである。詳細については、後述
する「データ・フエツチ検査」及び「データ貯
蔵検査」を参照されたい。 この命令がプロブレム状態で果す機能は、サ
ブプログラムを呼出す準備として、プログラム
をして、それ自体のメモリを区分させることで
あり、そのプログラムの全データに対してサブ
プログラムがアクセスできない効果を生じる。
従つて、プロブレム状態では、プログラマは、
前に割当てられたメモリ境界内にとどまること
を要求され、上記メモリ境界は、最初のｎビツ
トについて保護フイールドのチエツクを必要と
する。チエツクの結果、一致が生じれば、プロ
グラムはサブプログラムのためにそれ以上の保
護ビツトを指定することができ、ｎを大きくす
ることによつて更に制限された安全レベルを設
定することができる。スーパーバイザ状態でｎ
を０にすることは、コンピユータがスーパーバ
イザ状態にある時、最初メモリがオペレーテイ
ング・システムによつてアプリケーシヨンへ割
当てられることを言い換えたものである。この
場合、メモリに対する特定保護コード（即ち、
プログラム）の割当てが開始されようとしてい
るので、保護レジスタと比較すべき保護フイー
ルドは未だ存在しない。 保護フイールド・ビツトが必要な数だけ一致
しなければ、メモリ状態は変更されず、安全侵
害No.1が表示される。この事は、保護コード
を貯蔵されようとしたメモリ領域がアプリケー
シヨン・プログラムへ割当てられなかつたこと
を示す。 ２ 低レベルへのリンク（LINK TO LOWER
LEVEL） この命令が生じると、次の事象が起る。プロ
ブレム状態では、レベル・フイールドがレベ
ル・レジスタの現在値ｎと比較され、レベル・
フイールドが大きければ、次の動作が起る。即
ちレベル・レジスタの現在値（これは命令のレ
ベル値よりも小さい。）が、リンク・スタツク
回路６のＩ番目のレジスタのレベル・フイール
ドに貯蔵される（ここでＩは命令のレベル表示
である）。次に、命令シーケンスへのリンク・
バツク・アドレスを含む命令カウンタの内容
が、リンク・スタツクのＩ番目のレジスタのア
ドレス・フイールドへ貯蔵される。この命令の
ブランチ・アドレス・フイールドは、命令カウ
ンタへゲートされ、レベル・フイールドのＩ値
は、第３Ｂ図のレベル・レジスタへゲートされ
る。この動作により、システムは後に低レベ
ル・プログラムの制御下で走ることができる。
新しいレベル指定は、保護フイールドの新たな
ビツトが検査されねばならないことを意味す
る。更に、リンク機構が能動化され、現在実行
中のサブ・アプリケーシヨン・プログラムが終
了した時、そのプログラムは元のプログラム・
ストリームへブランチ・バツクすることができ
る。 次に、この命令のレベル・フイールドにある
レベル値が、レベル・レジスタに貯蔵された現
在値ｎと等しいか又はそれより小さいと仮定す
る。この場合、安全侵害No.1が生じ、システ
ム中断が生じる。この場合の安全侵害No.1
は、レベル侵害を示す。即ち、システムの禁止
された階層レベルへ、ブランチがなされようと
している。この侵害が生じた時、保護フイール
ドの比較はなされない。 他方において、この命令が生じた時、システ
ムがスーパーバイザ状態にあれば、命令レジス
タのレベル・フイールドのレベルＩは、第３Ｂ
図のレベル・レジスタの内容を単に置換するだ
けである。更に、Ｉ番目のリンク・スタツク・
レジスタのレベル・フイールドはＩへセツトさ
れ、命令のブランチ・アドレス・フイールド
は、命令カウンタの現在の内容と置換された後
プロブレム状態へ入る。プロブレム状態及びス
ーパーバイザ状態における、この命令の効果上
の差異は、次の通りである。 プロブレム状態における「LINK TO
LOWER LEVEL」命令の目的は、サブ・アプ
リケーシヨンを呼出し、そのサブ・アプリケー
シヨンが、呼出しプログラムよりも制限された
環境で走るようにすることである（ｎが大きく
なる。）。プルブレム状態で走つているプログラ
ムは、この命令及び次に説明する「LINK
RETURN」命令によらないで、リンク・スタ
ツク回路へアクセスすることはできない。 スーパーバイザ状態における「LINK TO
LOWER LEVEL」命令の目的は、オペレーテ
イング・システムをして、アプリケーシヨン中
に記入されているレベルよりも制限的な保護レ
ベルへ、アプリケーシヨンを割当てることであ
る。このようにして、スーパーバイザ状態のプ
ログラムは、それ自体の使用目的のため、安全
管理機構の保護ビツトを保存することができ
る。 「LINK TO LOWER LEVEL」命令及び
「LINK RETURN」命令により、リンク・スタ
ツク回路は、低レベルのプログラムへアクセス
し、適当な安全レベルの呼出しプログラムへ、
低レベル・プログラムを確実に戻す制御手段を
与える。 ３ リンク・リターン（LINK RETURN） 第６Ａ図の命令形式を参照すれば分るよう
に、この命令は単に動作コードのみを有する。
この動作コードは、ハードウエア動作の適当な
シーケンスを開始して、システムをその現在の
階層走行レベルから、システムが呼出された元
のレベルへ戻す。この事は、次のようにして行
われる。ｎをレベル・レジスタの内容とする
と、リンク・スタツク回路６のｎ番地のレジス
タのレベル・フイールドの内容ｋがｎより小さ
い場合、それは、現在の命令シーケンスが低レ
ベルｋから呼出されたことを意味する。この時
点でリンク機構は、命令カウンタの内容をリン
ク・スタツク回路６のｎ番目のレジスタのアド
レス・フイールドで置換するように働く。これ
によつてシステムは、呼出しプログラム（開始
プログラム）の命令シーケンスの適当な地点へ
戻される。そして、上記レベル・フイールドの
内容ｋを第３Ｂ図のレベル・レジスタへ置くこ
とによつて開始プログラムの適当な階層レベル
がこのレジスタへ戻され、元のプログラムはシ
ステム制御を再び獲得することになる。 しかし、上記レベル・フイールドがレベル・
レジスタの内容に等しければ、安全侵害No.2
の中断が起る。そのような状態は、或るプログ
ラムがスーパーバイザ状態プログラムによつて
呼出されたレベルでそのプログラムが走つてい
る時か、或るプログラムがLINK RETURN命
令を誤つて出した時か、或るプログラムが安全
管理サブシステムからの通常の出口として
LINK RETURN命令を出した時に起る。本発
明が組込まれている計算システムの場合、所望
ならば、単にレジスタの内容をゼロへセツトす
ることによつて、上述した機能を遂行させるこ
とができる点に注意されたい。 他の可能な状態は、ｎ番目のリンク・スタツ
ク・レジスタのレベル・フイールドが、レベ
ル・レジスタの内容よりも大きい場合である。
この場合、安全侵害No.3の中断が発生する。
この状態は、システム内で通常起り得ない動作
条件であり、スーパーバイザ状態のプログラム
によつてリンク・スタツク回路が誤つて始動さ
れたか、又は他のハードウエアの誤動作に起因
する。プロブレム状態で「LINK TO LOWER
LEVEL」命令及び「LINK RETURN」命令を
使用すれば、このような状態は生じない。 ４ 保護捜入（INSERT PROTECTION） この命令は、サブ・アプリケーシヨンの保護
ビツトを指定するため、プロブレム状態で呼出
しプログラムによつて使用される。この命令は
次の機能を実行する。もしレベル・レジスタの
内容がｎであれば、命令レジスタの保護レベ
ル・フイールドの低順位７−ｎビツトが、現在
の保護レジスタの低順位７−ｎビツトと置換さ
れる。 ２個のレジスタの高順位ｎビツトは、通常一
致することに注意すべきである。しかし、この
一致条件はテストされない。 スーパーバイザ状態では、保護レジスタの全
７ビツトは、レベル・レジスタの内容が何であ
れ、命令レジスタの内容と置換される。これに
よつて、スーパーバイザは、プロブレム・プロ
グラムへ制御を戻す前に、プロブレム・プログ
ラムの状態を回復することができる。 ５ レベル・レジスタ貯蔵（STORE LEVEL
REGISTER）及び ６ 保護レジスタ貯蔵（STORE PROTECTION
REGISTER） これらの命令は、レベル・レジスタ又は保護
レジスタの現在の内容を貯蔵する。これらレジ
スタは、共に第３Ａ図及び第３Ｂ図に示される
リンク・スタツク回路６の最初のレジスタであ
る。これら命令の使用例は後に説明される。特
定の地点で、それを使用する理由も、その使用
例から明らかとなる。しかし、一般的に２つの
命令は同時に使用される。 これら命令のアドレス・フイールドで指定さ
れたワードがアクセス可能であれば、レベル・
レジスタ又は保護レジスタの現在の内容が、そ
の命令のアドレス・フイールドで指定されたア
ドレスへ右方を揃えて貯蔵される。もしワード
がアクセス可能でなければ、それは保護フイー
ルドが保護レジスタと一致しなかつたことを意
味し、安全侵害No.1の中断が起る。 これらの命令は、スーパーバイザ状態で常に
有効であり、プロブレム状態では、保護レジス
タの最初のｎビツトが、貯蔵されようとしてい
るワードの保護フイールドの最初のｎビツトと
一致する時、常に有効である。 ７ リンク・スタツクへのロード（LOAD
INTO LINK STACK） この命令及び次のSTORE FROM LINK
STACK命令は、マルチプログラミング状況に
おいて（又は、いくつかの異つたアプリケーシ
ヨンがある場合に）、各アプリケーシヨンが階
層安全機構を即時に使用したい時に、現在の階
層安全機構を使用できるようにする。この命令
はスーパーバイザ状態でのみ有効であり、当業
者に明らかなように、現在走つているプログラ
ムのステータス情報を保存する命令が必要であ
る。これは、現在走つているプログラムが
CPUを再び割当てられた時、そのプログラム
が中断後実行シーケンスの正しい質問地点へ戻
らなければならないからである。通常のオペレ
ーテイング・システム・シーケンスは、命令レ
ジスタ及び命令カウンタの内容を検査してい
る。しかし当然分るように、所与のアプリケー
シヨン・プログラムが静止した時点で、システ
ムはリンク・スタツク回路状態のコピーをメモ
リ中に有し、リンク・スタツク回路状態の内容
を回復することができる。 LOAD INTO LINK STACK命令は、２つ
の有意フイールドを含む。動作コード・フイー
ルドは、動作を指定し、アドレス・フイールド
は、このアドレスで始まる８個の４バイト・ワ
ードの内容がメモリから取出されて、８個のリ
ンク・スタツク・レジスタへロードされるアド
レスを指定する。具体的には、各32ビツト・メ
モリ・ワードについて、ビツト５−７はリン
ク・スタツク・レジスタのレベル・フイールド
へ入れられ、ビツト８−３１は第３Ａ図−第３
Ｄ図に示されるリンク・スタツク・レジスタの
右方部分へ入れられる。各メモリ・ワードのビ
ツト０−４は、必要でないので無視される。 ８ リンク・スタツクからの貯蔵（STORE
FROM LINK STACK） この命令は、LOAD INTO LINK STACK
命令の反対であり、リンク・スタツク回路６の
内容を、この命令のアドレス・フイールドで指
定されたアドレスから始まるメモリ・ロケーシ
ヨンに貯蔵する。従つてこの命令は、８個のリ
ンク・スタツク・レジスタの内容を、アドレ
ス・フイールドで指定されたアドレスから始ま
る、８個の連続的４バイト・メモリ・ワードに
貯蔵する。各リンク・スタツク・レジスタのレ
ベル・フイールドは、ビツト位置５−７へ入
り、アドレス・フイールドは、ビツト位置８−
３１へ入り、ビツト位置０−４は不変のまま残
される。従つて、LOAD INTO LINK
STACK及びSTORE FROM LINK STACKの
命令は、リンク・スタツク情報を所望のワー
ド・ロケーシヨンに保存し、必要な時にそれを
リンク・スタツク回路６へ戻す。これらの命令
は、全てのマルチプログラミング動作を制御す
るオペレーテイング・システムの制御下で、ス
ーパーバイザ状態でのみ使用される。 特殊命令の使用例 以下に述べるところは、これまで詳細に説明し
た８個の特殊命令の使用法を、それら命令の機能
が本発明と関連を有する限りにおいて、説明した
ものである。この使用例は、本発明の階層安全シ
ステムを利用する場合に、プロブレム・プログラ
ム又はアプリケーシヨン・プログラマが前記特殊
命令を使用する方法を例示する。プログラマは、
ここに開示される階層安全システムのハードウエ
ア構成に従つて、種々のサブ・アプリケーシヨン
を呼出したり、サブ・アプリケーシヨンがシステ
ム・メモリへアクセスするのを制御したりする。 更に、この使用例は、スーパーバイザ状態のオ
ペレーテイング・システム・モジユールを書くシ
ステム・プログラマが１つの手段を提供できるこ
と、そしてその手段を利用することにより、アプ
リケーシヨン・プログラマがここに開示される階
層安全機構を使用して、直接的な相互干渉を起し
てはならないアプリケーシヨンの指定可能部分を
相互に弧立化させることができることを示す。 先ず、アプリケーシヨン・プログラムは、それ
が如何なる種類のものであれ、入力及び出力要件
を満たして走るものと仮定する。入力及び出力ル
ーチンは、スーパーバイザに存在しており、その
入口（エントリ地点）は、指示されたレーベル
（既知のアドレス）のところにあるものと仮定す
る。更に、IBM system／370コンピユータと同
じように、スーパーバイザ・コール命令
（SVC）の群が存在しているものと仮定する。更
に、或るSVC命令は、オペレーテイング・シス
テムによつて、本発明の階層安全機構をオンにオ
イツチする旨の要求として解釈されるものと仮定
する。注意すべきことは、ゼロのレベル表示は、
オフにスイツチされたことを意味し、機構の全て
の他の状態（即ち、レベル１−７）はオンと看做
されることである。更に、次の命令（現在の命令
群の一部ではない）がフエツチされる時、要求し
ているプログラムへ制御を戻す手段が命令ユニツ
ト中に設けられているものと仮定する。更に、こ
のSVC命令は、非常に少量ではあるが高度に有
用な情報を通信するため、前に指定したレジスタ
の使用を予想しているものと仮定する。即ち、オ
ペレーテイング・システムは、要求するプログラ
ムが安全管理階層の低レベルのうち最大限いくつ
を割当てる能力を必要とするかの記述
（statement）を、上記レジスタの中に発見する
ものと仮定する。勿論、この記述は、プログラム
を書きそのような要求を行うプログラマによつて
与えられねばならない。 ｎ個の低レベルを準備するため、階層安全機構
をオンにすべき要求を受取ると、オペレーテイン
グ・システムは、アプリケーシヨン・プログラム
の（現在のレベル＋ｎ）が７を超えないことをチ
エツクしなければならない。ｎは設定可能の最低
レベルである。もし７を超えれば、オペレーテイ
ング・システムはアプリケーシヨンを終らせる。
７を超えなければ、制御はアプリケーシヨンへ戻
される。 アプリケーシヨンは、STORE LEVEL
REGISTER（SL）命令によつてそれ自体の現在
レベルを決定する。もし貯蔵された値がｋであれ
ば、保護フイールドの最初のｋビツトは使用され
ない。アプリケーシヨンは、STORE
PROTECTION IN MEMORY（SPM）命令を使
用して、そのデータ領域の全てに現在の保護マス
クを貯蔵することにより、ワーキング・ストレー
ジを準備する。次いで、アプリケーシヨンは、そ
れ自体に与えた値と反対の値を有すべきプログラ
ムのための貯蔵領域に保護フイールドの（Ｋ＋
１）番目のビツトを強制することによつて、
INPUT及びOUTPUTサブプログラムの専用貯蔵
領域を準備する。これらサブプログラム保護フイ
ールドの（ｋ＋２）番目のビツトは、異つた値へ
強制される。それによつて、これらサブプログラ
ムに独特な別個のワーキング・ストレージが確保
される。 サブプログラムのマスクは、２進パターン
1000000及び1100000を右方へｋビツトだけシフト
し、そのシフト結果とアプリケーシヨン保護マス
クとを排他的OR結合することによつて発生され
てよい。上記２進パターンの最初の１ビツトは、
アプリケーシヨンの（ｋ＋１）番目の保護ビツト
と不一致を起すために、（Ｋ＋１）番目の保護ビ
ツトとして強制される。これらパターンの第２ビ
ツトは異つており、発生されるマスクの（ｋ＋
２）番目のビツトが相互に異るように強制され
る。勿論、メイン・アプリケーシヨンが走つてい
る間、（ｋ＋１）番目及び（ｋ＋２）番目の保護
ビツトは階層安全機構によつて検査されず従つて
アプリケーシヨンは、保護ビツトを自由に設定す
る。 十分なレベルが使用可能かどうかをオペレーテ
イング・システムが確認するよう要求することに
よつて、アプリケーシヨンは、それ自体大型シス
テム中のサブアプリケーシヨンとして使用される
ことができる。上記アプリケーシヨンは、レベル
５又はそれ以上のレベルで走ることができる。 STORE LEVEL REGISTER命令は、後に要
求プログラムをしてそれ自体の割当てレベルを確
認させる。勿論、もし割当てられたレベルが常に
同一（即ち、ゼロ）であるべきならば、要求を伝
える必要はない。 命令シーケンス 以下に掲げるプログラム・リステイングにおい
て、プログラムはオペレーテイング・システムが
本発明の階層安全機構をスイツチ・オンにすべき
旨の要求を出す前に、前述した特殊レジスタへ数
値２を入れる。 プログラムは、入力又は出力ルーチンを呼出す
前に、それ自体のレベルｋとそれ自体の保護キー
（保護レジスタの最左方ｋビツトに等しい。）とを
発見する。次にプログラムはそのメモリ・スペー
スを３つの部分に分ける。

【表】 システムは、この区分を行うためにSPM命令
（STORE PROTECTION IN MEMORY）を使
用する。この区分の効果は、プログラムが保護レ
ジスタの（ｋ＋１）番目及び（ｋ＋２）番目の位
置に10を挿入することによつて、保護フイールド
を拡張した後に入力プログラムを呼出し、又はそ
れらの位置に11を捜入することによつて出力プロ
グラムを呼出せることであり、呼出されたプログ
ラムは、呼出しプログラムがアクセスできないメ
モリ領域へアクセスできず、その領域の指定され
た部分へのみアクセスできる。 最初のLINK RETURN命令は、入力又は出力
サブルーチンから呼出しプログラムへ制御を戻
し、呼出しプログラムの安全状態ｋが回復され
る。第２番目のLINK RETURN命令は、アプリ
ケーシヨンが階層安全機構の使用を通常のやり方
で終了したことを意味する。それは、SVC命令
と同じように、この種の要求が通常処理されるス
ーパーバイザ状態で、オペレーテイング・システ
ムの一定地点へ制御を移す。 SVC命令の外に、次の命令が使用されている
ことに注意されたい。スーパーバイザ状態からの
LLL（LINK TO LOWER LEVEL） プロブレム状態からのLLL これらの場合の各々へ戻るLR（LINK
RETURN） 区分メモリへのSPM（STORE
PROTECTION IN MEMORY） SPMのための保護レジスタを設定するIP
（INSERT PROTECTION） レベルを確認するためのSLR（STORE
LEVEL REGISTER） SPR命令（STORE PROTECTION
REGISTER）は使用されていないが、説明され
たプログラムの注意深い文書化によつて、SPR命
令の使用は、フアイルを終らせるための自己文書
化ステツプで必要に応じて説明される。 オペレーテイング・システムが或る時点で何ら
かの理由により、このプログラムの走行を中断す
る必要があれば（サブプログラムの１つが、その
時点でCPUを実際に有しているとしても）、オペ
レーテイング・システムは、その時点でSLS命令
（STORE FROM LINK STACK）を出し、LLS
命令（LOAD INTO LINK STACK）により、
プログラムを回復して走行を再開するのに必要な
全ての情報を保存する。勿論、この場合全ての状
態レジスタ及び他のワーキング・レジスタを含む
システム機構に通常保存されるステータス情報で
あつて、現在走つているプログラムに関する全て
のステータス情報が保存され且つ回復されるもの
と仮定する。しかし、これらの情報及び手順は周
知であり、ここでは詳細に説明しない。それらの
間のSLS及びLLSは、ここで開示される階層安全
機構を使用することによつて生じる全ての追加的
費用に見合うものである。 特別な場合には、或るメモリ領域の保護フイー
ルドを再コード化することが必要である。例えば
オペレーテイング・システムがいくつかの保護コ
ードをいくつかのアプリケーシヨンへ割当て、上
記保護コードの１つが、他の保護コードの最初の
セグメントであるような場合である。しかしこの
ような場合は、当技術分野のプログラマに自明で
あり、さしたる困難なしにプログラマによつて自
動的に処理されるであろう。

【表】

【表】 実施例の動作の詳細な説明 次に第２Ａ図−第２Ｆ図、第３Ａ図−第３Ｄ
図、第４図、第５図に示されるハードウエア内に
起る具体的動作シーケンスをステツプごとに詳説
する。説明は８つの部分に分けられ、各々の部分
は、第６Ａ図及び第６Ｂ図に示される特殊命令の
実行を説明している。これら命令は、システム内
で特定シーケンスの動作を生じさせる。 説明の終りに掲げるマイクロ・シーケンス・チ
ヤートは、詳細な回路を参照することなく、動作
を簡略に説明したものである。以下の詳細な説明
を読みながら上記チヤートを参照すれば、各シー
ケンスで生じる動作を理解することができよう。 特殊命令シーケンスの開始は、動作コード
（OP）が第２Ａ図の命令レジスタ７に現われるこ
とによつて生じる。メイン・プログラム命令スト
リームにおける特殊命令の発生は、前述した如
く、システム・プログラムによつて決定されてお
り、その特殊命令は、必要に応じ命令ユニツトに
よつて命令レジスタへ自動的にロードされる。命
令レジスタは３つのフイールドを有する。最左端
フイールドは、動作コード用であり、OPとレー
ベルを付されている。Ａ及びＢフイールドはデー
タ用であり、それらの使用法は次の説明する。８
個の特殊命令の機能的内容は、第６Ａ図及び第６
Ｂ図に明示されている。命令カウンタ８は、第２
Ａ図の命令レジスタ７に隣接している。本実施例
において、この命令カウンタ８は命令ユニツト９
又は他の装置によつてロードすることができる。
更に、それは命令ユニツト９又は他の装置によつ
て増加される。メイン・メモリ１０は、第２Ｂ図
に示される。メモリ１０は、中央処理ユニツトに
より通常の態様で使用され、安全メモリ階層を得
るために本発明の装置によつて使用される。 命令レジスタ７の動作コード・フイールドは、
ケーブル１７３を介して第２Ｃ図のデコーダ１７
６へ送られ、そこで動作コードが解読される。命
令レジスタ７がCPUによつてロードされた後、
第２Ａ図の命令ユニツト９からの線１５４上にパ
ルスが現われる。線１５４は第２Ｃ図へ延長さ
れ、ゲート１７４へ印加される。それによつて８
個の特殊命令の各々に対応する線１５６，１５
８，１６０，１６２，１６４，１６６，１６８，
２７６の１本がアクチブとなり、特殊命令のシー
ケンスが開始されることになる。 STORE PROTECTION IN MEMORY（SPM） この命令によるシーケンスは、デコーダ１７６
による命令の解読により開始される。デコーダ１
７６は、線１５６上にパルスを発生する。線１５
６は第２Ｅ図へ行き、シングル・シヨツト１７８
をオンにする。これにより、SPM−１パルスが
発生され、このパルスは、第２Ｆ図のOR回路２
９６を介して線２５８へ行く。線２５８は第２Ｃ
図へ行き、線２５８のパルスは命令レジスタのＡ
フイールドを保持レジスタ１１へゲートする。更
に、第２Ｄ図において、SPM−１パルスは、ゲ
ート１０１を介して命令レジスタ７のＢフイール
ドをワード・カウンタ１２へゲートする（ケーブ
ル１０２）。 第２Ｅ図で、シングル・シヨツト１７８がオフ
になると、OR回路１８０を介してチエツク・パ
ルス発生器１８２をオンにするパルスが発生す
る。チエツク・パルス発生器１８２は、一連のシ
ングル・シヨツトで構成されてよく、これらのシ
ングル・シヨツトは、パルス・シーケンスSPM
−２からSPM−５までを発生する。これらのパ
ルスは順次に発生される。SPM−２パルスは、
第２Ｆ図のOR回路２９８を介して線２６０へ送
られる。線２６０は、第２Ｂ図へ行き、その線上
のパルスは、ゲート１０５を介して保持レジスタ
１１をメモリ・アドレス・レジスタ１３へゲート
するのに使用される。（ケーブル１０４） 第２Ｆ図上のSPM−３パルスは、OR回路３０
０を介して線２６２へ行く。線２６２は第２Ｂ図
へ行き、そこでその線上のパルスは、メモリへ
「読出し」コマンドを与えるためOR回路１８４を
通る。 第２Ｂ図で、SPM−４パルスはAND回路１８
６へ印加される。このAND回路が、線１０６に
よつて能動化されていれば、保護レジスタ（リン
ク・スタツクのレジスタ０）から来るケーブル１
０８は、メモリ・データ・レジスタ１４の保護フ
イールドへゲートされる。 第４図に示される保護論理回路が働く態様は次
のとおりである。メモリ・データ・レジスタ１４
の保護フイールドの内容は、ケーブル１７０を介
して第４図の上部に印加され、リンク・スタツク
回路６（第３Ｂ図）の保護レジスタの内容は、ケ
ーブル１０８を介して第４図の左上方へ印加され
る。リンク・スタツク（LS）のレベル・レジス
タのデコード値は、第４図の左方で線１８５の１
つへ加される。もしレベル・レジスタの値がゼロ
であればメモリ・データ・レジスタ１４の保護フ
イールド・ビツトは、リンク・スタツク（LS）
の保護レジスタの対応するビツトと一致する必要
がない。何故ならば、線１８５のゼロ信号はOR
回路１５を通り、出力線１０６上に現われるから
である。もしレベル・レジスタの値が１であれ
ば、メモリ・データ・レジスタ（MDR）の保護
フイールドの最左方ビツトは、線１０６上に出力
が現われる前に、保護レジスタの最左方ビツトと
一致しなければならない。もしレベル・レジスタ
の値が２であればMDR保護フイールドの２つの
左方ビツトは、線１０６上に出力が現われる前
に、LS保護レジスタの２つの左方ビツトと一致
しなければならない。以下レベル・レジスタに現
われる最大値７に至るまで同様である。LSレベ
ル・レジスタの値が７であれば、MDR保護フイ
ールドの全ビツトがLS保護レジスタの対応する
ビツトと一致しなければならない。 従つて、クロツクされねばならない保護ビツト
の数は、LSレベル・レジスタにセツトされた値
（ｎ）によつて決定されることが分る。もしマシ
ンがスーパーバイザ状態にあれば、レベル・レジ
スタの値は無視される。何故ならば、第２Ｃ図に
おいて、線１１８がアクチブであれば、それは
OR回路１５７を通り、線１８５のゼロ線を能動
化するからである。換言すれば、もしマシンがス
ーパーバイザ状態にあるか、又はレベル・レジス
タの値がゼロであれば、マシンは保護フイールド
の全ビツトを変更することができる。もしスーパ
ーバイザ状態になければ、次のようになる。もし
レベル・レジスタの値が１であれば、マシンは６
個の右方ビツトを変更することができる。もし値
が２であれば、５個の右方ビツトを変更すること
ができる。もし値が３であれば、右方の４ビツト
を変更することができる。もし値が４であれば、
右方の３ビツトを変更することができる。もし値
が５であれば、右方の２ビツトを変更することが
できる。もし値が６であれば、最右方ビツトを変
更することができる。もし値が７であれば、どの
ビツトをも変更することができない。前述した如
く、所与レベルのプログラムが有効に動作するた
めに、保護フイールドのいくつかのビツトが検査
されねばならないかを決定するのは、レベル・レ
ジスタ（ｎ）の値である。残りの（７−ｎ）ビツ
トは、或るレベルのプログラムによつて呼出され
た低レベル階層プログラムの制御を実効化するた
め、上記或るレベルのプログラムによつて変更さ
れてよい。 チエツク・パルス発生器１８２から発生された
SPM−５パルスは、第２Ｅ図のOR回路１９６を
通つて線１２０へ行く。線１２０は第２Ｂ図の
OR回路１８８を通つて延長され、メモリへ「貯
蔵」コマンドを与える。第２Ｄ図の下部において
SPM−５パルスは、ワード・カウント１２の内
容（デコーダ１６によつて解読される）を検査す
るために、ゲート１９０へ印加される。ワード・
カウンタがオール・ゼロであれば、線１２２上に
パルスが現われ、オール・ゼロでなければ、線１
２４上にパルスが現われる。線１２２は第２Ｅ図
へ延長され、そこで線１２２上のパルスはパルス
発生器１９２を始動する。これによつて、SPM
−７パルス、次いでSPM−８パルスが発生す
る。線１２４は第２Ｅ図へ行き、線１２４上のパ
ルスはシングル・シヨツト１９４をオンにする。
これによつてSPM−６パルスが発生し、それは
第２Ｆ図のOR回路３０２を通つて線２６４へ行
く。線２６４は第２Ｃ図へ延長され、そこで線２
６４上のパルスは保持レジスタ１１を増進する。
第２Ｄ図において、SPM−６パルスは、ワー
ド・カウンタ１２を減じる。第２Ｅ図でシング
ル・シヨツト１９４がオフになると、パルスが
OR回路１８０へ与えられ、パルス・シーケンス
SPM−２からSPM−５までが発生する。 SPM−７パルスは、第２Ｅ図のOR回路２００
へ印加され、OR回路２００の出力の線１２６へ
与えられる。線１２６は、第２Ａ図のOR回路１
９８へ延長される。OR回路１９８の出力は、命
令カウンタ８を増進する。 SPM−８パルスは、第２Ｅ図のOR回路２０２
へ印加される。OR回路２０２の出力線１２８は
第２Ａ図へ延長され、線１２８上のパルスは、
CPU命令ユニツト９上部で「命令フエツチ」を
要求する。 LINK TO LOWER LEVEL（LLL） この命令のシーケンスは、線１５８（第２Ｃ
図）を能動化する命令（デコーダ１７６によつて
解釈される）によつて開始される。線１５８は第
２Ｃ図のゲート１７４から始まる。線１５８は第
２Ｅ図へ延長され、そこで線１５８上のパルスは
シングル・シヨツト２４２へ印加される。これは
LLL−１パルスを発生する。 LLL−１パルスは第２Ａ図へ行き、そこで線１
１８の状態を検査するためゲート３０４へ印加さ
れる。線１１８がアクチブであれば、線１４４上
にパルスが現われる。線１１８がアクチブでなけ
れば、線１４６上にパルスが現われる。これらの
線は第２Ｆ図へ延長され、そこで線１４４上のパ
ルスは、パルス発生器２４４を能動化する。パル
ス発生器２４４は、パルス・シーケンスLLL−７
からLLL−１０までを発生する。線１４６上のパ
ルスは、パルス発生器２０４を能動化する。パル
ス発生器２０４は、LLL−２パルス次いでLLL−
３パルスを発生する。 第２Ｆ図のLLL−２パルスは、OR回路３０６
を介して線２６６へ行く。線２６６は第３Ｃ図へ
行き、そこでリンク・スタツク・フリツプ・フロ
ツプ１７を１状態へセツトする。第２Ｄ図におい
て、LLL−２パルスは、命令レジスタ７のＢフイ
ールドを第１比較レジスタ１８へゲートする（ケ
ーブル１０２）。OR回路３０６の出力線２６６
（第２Ｆ図）は、レベル・レジスタを第２比較レ
ジスタ１９へゲートするために使用される（ケー
ブル１３０）。 LLL−３パルスは第２Ｄ図へ延長され、そこで
比較ユニツト２０を検査するために、ゲート２０
６へ印加される。もし第１比較レジスタ１８が第
２比較レジスタ１９より小であるか、又はそれと
等しければ、線１３２上にパルスが現われる。そ
うでなければ、線１３４上にパルスが現われる。
線１３２は、第２Ｅ図へ行き、そこでOR回路２
０８へ印加される。OR回路２０８の出力線１３
６は第２Ａ図へ行く。線１３６上のパルスは、第
１安全侵害を知らせる。線１３４は第２Ｆ図へ行
き、線１３４上のパルスはパルス発生器２１０を
能動化して、LLL−４，LLL−５，LLL−６の各
パルスを発生する。 第２Ｆ図のLLL−４パルスは、OR回路３０８
を介して線２５６へ行く。線２５６は第３Ａ図へ
行き、線２５６上のパルスは、ケーブル１３０を
介してレベル・レジスタをリンク・スタツク回路
の左側へゲートする。LLL−４パルスは第３Ａ図
で使用され、命令カウンタ８をリンク・スタツク
の左側へゲートする（ケーブル１１２）。 第２Ｆ図のLLL−５パルスは、OR回路３１０
を介して線２６８へ行く。線２６８は第３Ｂ図へ
行き、線２６８上のパルスは、命令レジスタ７の
Ｂフイールド（第２Ａ図）をレベル・レジスタへ
ゲートする（ケーブル１０２）。第２Ｆ図のLLL
−５パルスは、OR回路３１２を介して線２７０
へ行く。線２７０は第２Ａ図へ行き、線２７上の
パルスは、ゲート２７１を介して命令レジスタ７
のＡフイールドを命令カウンタ８へゲートする
（ケーブル１００）。 第２Ｅ図のLLL−６パルスは、OR回路２０２
を通つて線１２８へ行く。線１２８は第２Ａ図へ
行き、そこで「命令フエツチ」を要求する。 第２Ｆ図のLLL−７パルスは、OR回路３１０
を通つて線２６８へ行く。線２６８は第３Ｂ図へ
行き、そこで（線２６８上の）命令レジスタ７の
Ｂフイールドをレベル・レジスタへゲートする
（ケーブル１０２）。 第２Ｆ図のLLL−８パルスは、OR回路３０８
を通つて線２５６へ行く。線２５６は第３Ａ図へ
行き、そこでレベル・レジスタをリンク・スタツ
ク回路の左側へゲートする（ケーブル１３０）。 第２Ｆ図のLLL−９パルスは、OR回路３１２
を通つて線２７０へ行く。線２７０は第２Ａ図へ
行き、線２７０上のパルスは、命令レジスタ７の
Ａフイールドを命令カウンタ８へゲートする（ケ
ーブル１００）。 LLL−９パルスは、第２Ａ図の左上方へ延長さ
れ、命令ユニツト９をプロブレム状態（非スーパ
ーバイザ状態）へセツトする。 第２Ｅ図のLLL−10パルスは、OR回路２０２
を通つて線１２８へ行く。線１２８は第２Ａ図へ
行き、線１２８上のパルスは、「命令フエツチ」
を要求する。 LINK RETURN（LR） この命令はデコーダ１７６によつて解釈され、
ケーブル１７６は線１６０上にパルスを発生す
る。線１６０は第２Ｃ図のゲート１７４から出
る。線１６０は第２Ｆ図へ行き、線１６０上のパ
ルスは、パルス発生器２１４を能動化するパルス
発生器２１４、LR−１及びLR−２のパルス・シ
ーケンスを発生する。 第２Ｆ図のLR−１パルスは、OR回路３０６を
通つて線２６６へ行く。線２６６は第３Ｃ図へ行
き、線２６６上のパルスは、リンク・スタツク・
フリツプ・フロツプ１７を１状態へセツトする。
更に線２６６は第２Ｄ図へ行き、線２６６上のパ
ルスは、ゲート２６７を介してレベル・レジスタ
を第２比較レジスタ１９へゲートする（ケーブル
１３０）。更にLR−１パルスは第２Ｄ図へ行き、
ゲート１１５を介してリンク・スタツク回路の左
側を第１比較レジスタ１８へゲートする。 LR−２パルスは第２Ｄ図へ行き、比較ユニツ
ト２０を検査するために、ゲート３１６へ印加さ
れる。第１比較レジスタ１８が第２比較レジスタ
１９に等しければ、線２７８上にパルスが現われ
る。線２７８は第２Ａ図へ行き、線２７８上のパ
ルスは第２安全侵害を知らせる。第１比較レジス
タ１８が第２比較レジスタ１９より大であれば、
線４０２上にパルスが現われる。線４０２は第２
Ａ図へ行き、線４０２上のパルスは、第３安全侵
害を知らせる。第１比較レジスタ１８が第２比較
レジスタ１９より小であれば、線２８０上にパル
スが現われる。線２８０は第２Ｆ図へ行き、パル
ス発生器３１４を能動化する。パルス発生器３１
４は、パルス・シーケンスLR−３からLR−６ま
でを発生する。 LR−３パルスは第２Ｃ図へ行き、ゲート１２
１を介してリンク・スタツク・ケーブル１１４を
保持レジスタ１１へゲートする。更に、LR−３
パルスは第２Ａ図へ行き、ゲート１１７を介し
て、リンク・スタツク・ケーブル１１６を命令カ
ウンタ８へゲートする。 LR−４パルスは第３Ｂ図へ行き、ゲート１０
７を介して保持レジスタ１１をレベル・レジスタ
へゲートする（ケーブル１０４）。 第２Ｅ図のLR−５パルスは、OR回路２００を
通つて線１２６へ行く。線１２６は第２Ａ図へ行
き、線１２６上のパルスは、命令カウンタ８を増
進するために、OR回路１９８を通る。 第２Ｅ図はLR−６パルスは、OR回路２０２を
通つて線１２８へ達する。線１２８は第２Ａ図へ
延長され、線１２８上のパルスは、命令ユニツト
９による「命令フエツチ」を要求する。 INSERT PROTECTION（IP） 先ず、第５図に詳細に示される保護挿入論理回
路４を説明する。挿入されるべき保護ビツトは、
命令レジスタ７の（第２Ａ図）のＢフイールドに
存在し、これらのビツトは、ケーブル１０２を介
して第５図へ到り、ゲート２１６−２２８へ印加
される。これらゲートの出力は、IP−１パルスの
制御の下に、ケーブル１７２を介して第３Ｂ図の
LS保護レジスタへ転送される。第５図の線４０
０は、第２Ｃ図の保護論理回路５への入力線から
分岐されている。これらの線は０から６までの番
号を付されている。これらの番号は、第３Ｂ図の
レベル・レジスタのデコード値を表わし、値
「０」は、マシンがスーパーバイザ状態にあるこ
とを表わす。 これらの線が第５図で機能する態様は次のとお
りである。もし「０」線がアクチブであれば、ゲ
ート２１６から２２８までが能動化され、７ビツ
トの全てがケーブル１０２からケーブル１７２へ
転送される。もし「１」線がアクチブであれば、
ゲート２１８から２２８までが能動化され、右方
の６ビツトがケーブル１０２からケーブル１７２
へ転送される。もし「２」線がアクチブであれ
ば、ゲート２２０から２２８が能動化され、右方
の５ビツトがケーブル１０２からケーブル１７２
へ転送される。もし「３」線がアクチブであれ
ば、ゲート２２２から２２８までが能動化され、
右方の４ビツトがケーブル１０２からケーブル１
７２へ転送される。もし「４」線がアクチブであ
れば、ゲート２２４から２２８までが能動化さ
れ、右方３ビツトがケーブル１０２からケーブル
１７２へ転送される。もし「５」線がアクチブで
あれば、ゲート２２６及び２２８が能動化され、
右方２ビツトがケーブル１０２からケーブル１７
２へ転送される。もし「６」線がアクチブであれ
ば、ゲート２２８のみが能動化され、右方の１ビ
ツトのみがケーブル１０２からケーブル１７２へ
転送される。 IPシーケンスは、第２Ｃ図のゲート１７４から
来る線１６２上のパルスによつて開始される。勿
論、このパルスはデコーダ１７６からの対応する
出力線上で発生したものである。線１６２は第２
Ｆ図へ行き、線１６２上のパルスは、パルス・シ
ーケンスIP−１，IP−２，IP−３を発生するため
パルス発生器２３０を能動化する。第３Ｂ図にお
いて、IP−１パルスは、ケーブル１７２を保護レ
ジスタへゲートする。前述した如く、ケーブル１
７２は保護挿入論理回路４（第２Ｄ図）から来
る。第２Ｅ図において、IP−２パルスはOR回路
２００を介して線１２６へ送られる。線１２６は
第２Ａ図へ行き、線１２６上のパルスは、命令カ
ウンタ８を増進するために、OR回路１９８を通
過する。 第２Ｅ図において、IP−３パルスは、OR回路
２０２を通つて線１２８へ到る。線１２８は第２
Ａ図へ行き、線１２８上のパルスは、「命令フエ
ツチ」を要求する。 STORE LEVEL（SL） この命令のシーケンスは、命令レジスタ７の動
作コードがデコーダ１７６によつてデコードさ
れ、第２Ｃ図のゲート１７４から出ている線１６
４上にパルスが発生することによつて開始され
る。線１６４は第２Ｅ図へ行き、線１６４上のパ
ルスは、パルス発生器２３２を能動化する。パル
ス発生器２３２は、パルス・シーケンスSL−１
からSL−３を発生する。 第２Ｆ図において、SL−１パルスはOR回路２
３４を介して線１４２へ行く。線１４２は第２Ｂ
図へ行き、線１４２上のパルスは、ゲート１４３
を介してケーブル１００をメモリ・アドレス・レ
ジスタ１３へゲートするために使用される。ケー
ブル１００、命令レジスタ７（第２Ａ図）のＡフ
イールドから来る。 SL−２パルスは、第２Ｆ図のOR回路３００を
介して線２６２へ行く。線２６２は第２Ｂ図へ行
き、線２６２上のパルスは、読出しコマンドをメ
モリへ与えるために、OR回路１８４を通る。 SL−３パルスは、線１０６の状態を検査する
ために、第２Ｆ図のゲート４１２へ印加される。
線１０６がアクチブであれば、第２Ｅ図のパルス
発生器４１６を能動化するパルスが、線４０４上
に現われる。パルス発生器４１６は、パルス・シ
ーケンスSL−４からSL−７までを発生する。線
１０６がアクチブでなければ、線４０６上にパル
スが現われ、このパルスは、第２Ｅ図のOR回路
２０８を介して線１３６へ達する。線１３６は第
２Ａ図へ達し、第１安全侵害を知らせる。 SL−４パルスは第２Ｂ図へ達し、ゲート１３
１を介して、LSレベル・レジスタをメモリ・デ
ータ・レジスタ１４のＤフイールドへゲートする
（ケーブル１３０）。 SL−５パルスは、第２Ｅ図のOR回路１９６を
介して線１２０へ達する。線１２０は第２Ｂ図へ
達し、貯蔵コマンドをメモリ１０へ与えるため、
OR回路１８８を通過する。 第２Ｅ図において、SL−６パルスはOR回路２
００を介して線１２６へ達する。線１２６は第２
Ａ図へ達し命令カウンタ８を増進するため、OR
回路１９８を通過する。 第２Ｅ図において、SL−７パルスは、OR回路
２０２を介して、線１２８へ達する。線１２８は
第２Ａ図へ達し、線１２８上のパルスは命令ユニ
ツトに対して「命令フエツチ」を要求する。 STORE PROTECTION REGI−STER（SPR） この命令のシーケンスは、線１６６上のパルス
によつて開始される。このパルスは第２Ｃ図のゲ
ート１７４から生じる。線１６６は第２Ｆ図へ行
き、線１６６上のパスルはパスル発生器４０１を
始動する。パスル発生器４０１はパルス・シーケ
ンスSPR−１からSPR−３までを発生する。 第２Ｆ図において、SPR−１パスルはOR回路
２３４を介して線１４２へ達する。線１４２は第
２Ｂ図へ行き、線１４２上のパルスは、ゲート１
４３を介してケーブル１００をメモリ・アドレ
ス・レジスタ１３へゲートする。ケーブル１００
は、第２Ａ図の命令レジスタ７のＡフイールドか
ら来る。 SPR−２パルスは、第２Ｆ図のOR回路３００
を介して、線２６２へ達する。線２６２は第２Ｂ
図へ行き、線２６２上のパルスは、読出しコマン
ドをメモリ１０へ与えるためOR回路１８４を通
過する。 第２Ｆ図のSPR−３パルスは、線１０６の状態
を検査するために、ゲート４１４へ印加される。
線１０６がアクチブであれば、パルス発生器４１
８を始動するため、パルスが線４０８に現われ
る。パルス発生器４１８は、パルスSPR−４から
SPR−７までを発生する。線１０６がアクチブで
なければ、線４１０にパルスが現われる。このパ
ルスは、第２Ｅ図のOR回路２０８を介して、線
１３６へ達する。線１３６は第２Ａ図へ行き、線
１３６上のパルスは、第１安全侵害を知らせる。 SPR−４パルスは第２Ｂ図へ行き、ゲート１８
６を介して第３Ｂ図のLS保護レジスタをメモ
リ・データ・レジスタ１４のＥフイールドへゲー
トする（ケーブル１０８）。 第２Ｅ図において、SPR−５パルスは、OR回
路１９６を介して線１２０へ達する。線１２０は
第２Ｂ図へ行き、線１２０上のパルスは、貯蔵コ
マンドをメモリ１０へ与えるため、OR回路１８
８を通過する。 第２Ｅ図において、SPR−６パルスはOR回路
２００を介して線１２６へ達する。線１２６は第
２Ａ図へ行き、線１２６上のパルスは、命令カウ
ンタ８を増進するために、OR回路１９８を通過
する。 第２Ｅ図において、SPR−７パルスはOR回路
２０２を介して線１２８へ達する。線１２８は第
２Ａ図へ行き、線１２８上のパルスは、「命令フ
エツチ」を要求する。 LOAD INTO LINK STACK（LLS） この命令のシーケンスは、第２Ｃ図の線１６８
上のパルスによつて始動される。このパルスは第
２Ｃ図のゲート１７４から生じる。線１６８は第
２Ｅ図へ行き、線１６８上のパルスは、LIS−１
パルスを発生するため、シングル・シヨツト３１
８を始動する。LLS−１パルスは第２Ａ図へ達
し、線１１８の条件を検査するために、ゲート３
３８へ印加される。線１１８がアクチブであれ
ば、線２５０上にパルスが現われる。線１１８が
アクチブでなければ、線２４８上にパルスが現わ
れる。 線２４８は第２Ｅ図へ行き、線２４８上のパル
スはOR回路２０８へ印加される。OR回路２０８
の出力は線１３６である。線１３６は第２Ａ図へ
行き、線１３６上のパルスは第１安全侵害を知ら
せる。線２５０は第２Ｅ図へ行き、線２５０上の
パルスは、LLS−２パルスを発生するため、シン
グル・シヨツト３２０を始動する。 第２Ｆ図において、LLS−２パルスは、OR回
路３４２を介して、線２７２へ達する。線２７２
は第２Ｄ図へ行き、線２７２上のパルスはワー
ド・カウンタ１２をオール・ゼロへリセツトす
る。更に第２Ｆ図において、LLS−２パルスは、
OR回路２９６を介して線２５８へ達する。線２
５８は第２Ｃ図へ行き、線２５８上のパルスは、
ケーブル１００及びゲート２５９を介して、命令
レジスタ７のＡフイールドを保持レジスタ１１へ
ゲートする。更に、第２Ｆ図において、LLS−２
パルスは、OR回路３４２を介して線２７２へ達
する。線２７２は第３Ｃ図へ行き、線２７２上の
パルスは、リンク・スタツク・フリツプ・フロツ
プ１７を０状態へリセツトする。 第２Ｅ図のシングル・シヨツト３２０がオフに
なると、パルス発生器３２４を始動するために、
OR回路３２２を通るパルスが発生される。パル
ス発生器３２４は、パルスLLS−３からLLS−７
までを発生する。 第２Ｆ図において、LLS−３パルスは、OR回
路２９８を通つて線２６０へ行く。線２６０は第
２Ｂ図へ達し、線２６０上のパルスは、ゲート１
０５を介して保持レジスタ１１をメモリ・アドレ
ス・レジスタ１３へゲートする。（ケーブル１０
４） 第２Ｆ図において、LLS−４パルスはOR回路
３００を介して、線２６２へ行く。線２６２は第
２Ｂ図へ行き、そこで線２６２上のパルスは、読
出しコマンドをメモリへ与えるために、OR回路
１８４を通る。 LLS−５パルスは第３Ａ図へ行き、そこでその
パルスは、ケーブル２８４を介してMDRのＣフ
イールドをゲート２８５を介してリンク・スタツ
クの左方側へゲートし、更にMDRのＣ、Ｄ、Ｅ
フイールド（ケーブル２８６）をケーブル１１２
を介してリンク・スタツクの右方側へゲートする
ために使用される。 第２Ｆ図において、LLS−６パルスはOR回路
３４４を介して線２７４へ達する。線２７４は第
２Ｄ図へ行き、線２７４上のパルスは、ワード・
カウンタを増進するために使用される。更に、第
２Ｆ図において、LLS−６パルスはOR回路３０
２を介して、線２６４へ達する。線２６４は第２
Ｃ図へ行き、線２６４上のパルスは、保持レジス
タ１１を増進するために使用される。 LLS−７パルスは第２Ｄ図へ行き、ゲート１９
１を介してデコーダ１６（従つて、ワード・カウ
ンタ１２の内容）を検査するために使用される。
ワード・カウンタ１２が00………01000であれ
ば、線２９０上にパルスが現われる。そうでなけ
れば、線２８８上にパルスが現われる。線２８８
は第２Ｅ図へ行き、線２８８上のパルスは、パル
ス発生器３２４を始動するため、OR回路３２２
を通る。更に、線２９０は第２Ｅ図へ達し、線２
９０上のパルスはパルス発生器３２６を始動す
る。パルス発生器３２６は、LLS−８及びLLS−
９のパルスを発生する。 第２Ｅ図において、LLS−８パルスはOR回路
２００を介して線１２６へ達する。線１２６は第
２Ａ図へ行き、線１２６上のパルスは、命令カウ
ンタ８を増進するため、OR回路１９８を通る。 第２Ｅ図において、LLS−９パルスはOR回路
２０２を通つて線１２８へ達する。線１２８は第
２Ａ図へ行き、線１２８上のパルスは、命令ユニ
ツト９へ「命令フエツチ」を要求する。 STORE FROM LINK STACK（SLS） この命令のシーケンスは、第２Ｃ図のゲート１
７４からの線２７６上のパルスによつて開始され
る。線２７６は第２Ｅ図へ行き、線２７６上のパ
ルスは、SLS−１パルスを発生するため、シング
ル・シヨツト３２８を始動する。 SLS−１パルスは第２Ａ図へ行き、線１１８を
検査するため、ゲート３４０へ印加される。１１
８がアクチブであれば、線２５４上にパルスが現
われる。線１１８がアクチブでなければ、線２５
２上にパルスが現われる。線２５２は第２Ｅ図へ
行き、線２５２上のパルスはOR回路２０８を介
して線１３６へ行く。線１３６は第２Ａ図へ行
き、線１３６上のパルスは第１安全侵害を知らせ
る。線２５４は第２Ｆ図へ行き、線２５４上のパ
ルスは、SLS−２パルスを発生するため、シング
ル・シヨツト３３０を始動する。 第２Ｆ図において、SLS−２パルスはOR回路
３４２を介して線２７２へ行く。線２７２は第２
Ｄ図へ行き、線２７２上のパルスは、ワード・カ
ウンタ１２をゼロへリセツトする。更に、線２７
２は第３Ｃ図へ行き、線２７２上のパルスは、リ
ンク・スタツク・フリツプ・フロツプ１７を０状
態へリセツトする。第２Ｆ図において、SLS−２
パルスは、OR回路２９６を介して線２５８へ行
く。線２５８は第２Ｃ図へ行き、線２５８上のパ
ルスは、ケーブル１００及びゲート２５９を介し
て命令レジスタ７のＡフイールドを保持レジスタ
１１へゲートする。 第２Ｆ図において、シングル・シヨツト３３０
がオフになると、パルス発生器３３４を始動する
ため、OR回路３３２を通るパルスが発生する。
パルス発生器３３４は、パルスSLS−３からSLS
−６までを発生する。 第２Ｆ図において、SLS−３パルスは、OR回
路２９８を介して線２６０へ行く。線２６０は第
２Ｂ図へ行き、線２６０上のパルスは、ケーブル
１０４及びゲート１０５を介して保持レジスタ１
１をメモリ・アドレス・レジスタ１３へゲートす
る。SLS−３パルスは第２Ｂ図へ行き、ケーブル
１１４及びゲート１１９を介して、リンク・スタ
ツク回路６（第３Ａ図及び第３Ｂ図）の左側をメ
モリ・データ・レジスタ１４のＣフイールドへゲ
ートし、ケーブル１１６及びゲート１１３を介し
て、リンク・スタツク回路６の右側をメモリ・デ
ータ・レジスタ１４のＣ、Ｄ、Ｅフイールドへゲ
ートする。 第２Ｅ図において、SLS−４はOR回路１９６
を通つて、線１２０へ行く。線１２０は第２Ｂ図
へ行き、線１２０上のパルスは、貯蔵コマンドを
メモリ１０へ与えるために、OR回路１８８を通
る。 第２Ｆ図において、SLS−５パルスは、OR回
路３４４を通つて、線２７４へ行く。線２７４は
第２Ｄ図へ行き、線２７４上のパルスは、ワー
ド・カウンタ１２を増進する。更に第２Ｆ図にお
いて、SLS−５パルスはOR回路３０２を通つて
線２６４へ達する。線２６４は第２Ｃ図へ行き、
線２６４上のパルスは保持レジスタ１１を増進す
る。 SLS−６パルスは第２Ｄ図へ行き、ゲート１９
３を介してワード・カウンタ１２のデコード値を
検査するために使用される。ワード・カウンタ１
２の内容が00………01000であれば、線２９４上
にパルスが現われる。そうでなければ、線２９２
上にパルスが現われる。線２９２は第２Ｆ図へ行
き、線２９２上のパルスはOR回路３３２を通過
してパルス発生器３３４を始動する。更に、線２
９４は第２Ｆ図へ行き、線２９４上のパルスは、
SLS−７及びSLS−８パルスを発生するために、
パルス発生器３３６を始動する。 第２Ｅ図において、SLS−７パルスはOR回路
２００を通つて線１２６へ達する。線１２６は第
２Ａ図へ達し、線１２６上のパルスは、命令カウ
ンタ８を増進するため、OR回路１９８を通過す
る。 第２Ｅ図において、SLS−８パルスはOR回路
２０２を通つて線１２８へ行く。線１２８は第２
Ａ図へ行き、線１２８上のパルスは「命令フエツ
チ」を要求する。 CHECK DATA FETCH（CDF） 次にデータ・フエツチが起る時に、メモリ・デ
ータ・レジスタ１４中の保護フイールドを検査す
る命令について説明する。第２Ａ図及び第２Ｂ図
において、命令ユニツト９がデータ・フエツチを
要求された時、データがメモリ・データ・レジス
タ１４へ入れられ、線１４８上にパルスが発生す
る。線148は第２Ｆ図へ行き、線１４８上のパル
スは、線１０６の状態を検査するため、ゲート２
４２へ印加される。線１０６がアクチブであれ
ば、線１５０上にパルスが現われる。線１０６が
アクチブでなければ、線１５２上にパルスが現わ
れる。線１５０は第２Ａ図へ伸長され、線１５０
上のパルスは、データ・フエツチが許されること
を命令ユニツト９へ知らせる。線１５２上のパル
スは第２Ｅ図へ行き、OR回路２０８を介して線
１３６へ伝えられる。線１３６は第２Ａ図へ行き
線１３６上のパルスは第１安全侵害を知らせる。 CHECK DATA STORE（CDS） 次に、データ貯蔵が起る時、メモリ・データ・
レジスタ１４の保護フイールドをチエツクする命
令について説明する。データ貯蔵動作において、
命令ユニツト９は、メモリ・データ・レジスタ１
４の保護フイールドを取出すため、先ずメモリ・
ワードをフエツチしなければならない。このフエ
ツチがなされると、命令ユニツト９は線２４６上
にパルスを発生する。線２４６は第２Ｆ図へ行
き、線２４６上のパルスは、線１０６の条件を検
査するため、ゲート３４６へ印加される。第４図
の保護論理回路５は保護レジスタの最初のビツト
部分とメモリ・ワードの保護フイールド・ビツト
とが一致するかどうかを調べ、一致した時に線１
０６がアクチブになる。比較されるビツト数は、
レベル・レジスタによつて与えられる。線１０６
がアクチブであれば、第２Ｆ図のゲート３４６に
よつて線２５６上にパルスが現われる。線１０６
がアクチブでなければ、線２５８上にパルスが現
われる。線２５６は第２Ａ図へ行き、線２５６上
のパルスは、データ貯蔵が許される旨を命令ユニ
ツト９へ知らせる。第２Ｅ図において、線２５８
上のパルスはOR回路２０８を通つて線１３６へ
行く。線１３６は第２Ａ図へ行き、線１３６上の
パルスは、第１安全侵害を知らせる。 データ・フエツチ動作及びデータ貯蔵動作の安
全有効性をチエツクする。CHECK DATA
FETCH及びCHECK DATA STOREの動作シー
ケンスにおいて、第３Ｂ図の上部にある右方のレ
ベル「０」リンク・スタツチ・レジスタは、レベ
ル表示と保護フイールドとを含むことに注意され
たい。走行中のプログラムはこのレベルに対して
等価関係を有しなければならず、かつ上記保護フ
イールドは、読出し及び書込み動作の双方におい
て、目的の保護フイールドと一致しなければなら
ない。リンク・スタツク・レジスタ中に貯蔵され
た２進値は、ケーブル１３０及び１０８を介し
て、第４図の保護論理回路５へ転送される。即
ち、ケーブル１３０上の値は第２Ｃ図のデコーダ
２１へ入り、デコーダ２１の出力は、保護論理回
路５の左側へ入り、ケーブル１０８上の値は、直
接に保護論理回路５へ入る。メモリ・データ・レ
ジスタ１４からの保護フイールドは、ケーブル１
７０を介して、保護論理回路５へ転送される。保
護論理回路５において、第３Ｂ図のレベル・レジ
スタに貯蔵されたレベルによつて指定された保護
フイールドのビツトが、第３Ｂ図の保護レジスタ
に貯蔵された保護フイールドと比較される。これ
らの比較は、ここで説明した新しい動作を含む全
てのデータ・フエツチ及びデータ貯蔵について行
われる。 動作シーケンス・チヤート STORE PROTECTION IN Ｍ−EMORY
（SPM） SPM−１ 命令レジスタのＡフイールドを保持
レジスタへゲート 命令レジスタのＢフイールドをワード・カウン
タへゲート →SPM−２ SPM−２ 保持レジスタをMARへゲート →SPM−３ SPM−３ 読出しコマンドをメモリへ →SPM−４ SPM−４ 保護レジスタをメモリ・データ・レ
ジスタの保護フイールドへ （保護論理が一致するか、又はスパーバイザ状
態に含まれれば） →SPM−５ SPM−５ 貯蔵コマンドをメモリへ ワード・カウンタはゼロか？ NO→SPM−６ YES→SPM−７ SPM−６ 保持レジスタを増進 ワード・カウンタを減少 →SPM−２ SPM−７ 命令カウンタを増進 →SPM−８ SPM−８ 命令フエツチを要求 終了 LINK TO LOWER LEVEL（LLL） LLL−１ 線１１８はアクチブか？ NO→LLL−２（スーパーバイザ状態でない。） YES→LLL−７（スーパーバイザ状態であ
る。） LLL−２ リンク・スタツク・フリツプフロツプ
を１へセツト 命令レジスタのＢフイールドを第１比較レジス
タへゲート レベル・レジスタを第２比較レジスタへゲート →LLL−３ LLL−３ 第１比較レジスタ第２比較レジス
タ？ YES→第１安全侵害を表示 NO→LLL−４ LLL−４ レベル・レジスタをリンク・スタツク
の左側へゲート 命令カウンタをリンク・スタツクの右側へゲー
ト →LLL−５ LLL−５ 命令レジスタのＢフイールドをレベ
ル・レジスタへゲート 命令レジスタのＡフイールドを命令カウンター
へゲート →LLL−６ LLL−６ 命令フエツチを要求 終了 LLL−７ 命令レジスタのＢフイールドをレベ
ル・レジスタへゲート →LLL−８ LLL−８ レベル・レジスタをリンク・スタツク
回路へゲート →LLL−９ LLL−９ 命令レジスタのＡフイールドを命令カ
ウンタへゲート CPUをプロブレム状態へセツト →LLL−１０ LLL−１０ 命令フエツチを要求 終了 LINK RETURN（LR） LR−１ リンク・スタツク・フリツプ・フロツ
プを１へセツト レベル・レジスタを第２比較レジスタへゲート リンク・スタツクの回路左側を第１比較レジス
タへゲート →LR−２ LR−２ 比較ユニツトをテスト 第１比較レジスタ＜第２比較レジスタ→LR−
３ 第１比較レジスタ＝第２比較レジスタ→第２安
全侵害を表示 第１比較レジスタ＞第２比較レジスタ→第３安
全侵害を表示 LR−３ リンク・スタツク回路の左側を保持レ
ジスタへゲート リンク・スタツク回路の右側を命令カウンタへ
ゲート →LR−４ LR−４ 保持レジスタをレベル・レジスタへゲ
ート LR−５ LR−５ 命令カウンタを増進 →LR−６ LR−６ 命令フエツチを要求 終了 INSERT PROTECTION（IP） IP−１ 保護挿入論理回路の出力を保護レジスタ
へゲート →IP−２ IP−２ 命令カウンタを増進 →IP−３ IP−３ 命令フエツチを要求 終了 STORE LEVEL（SL） SL−１ 命令レジスタのＡフイールドをメモ
リ・アドレス・レジスタへゲート →SL−２ SL−２ 読出しコマンドをメモリへ →SL−３ SL−３ 保護テスト（線１０６） 線１０６アクチブ→SL−４ 線１０６非アクチブ→第１安全侵害を表示 SL−４ レベル・レジスタをメモリ・データ・
レジスタのＤフイールドへゲート →SL−５ SL−５ 貯蔵コマンドをメモリへ →SL−６ SL−６ 命令カウンタを増進 →SL−７ SL−７ 命令フエツチを要求 終了 STORE PROTECTION REGISTER（SPR） SPR−１ 命令レジスタのＡフイールドをメモ
リ・アドレス・レジスタへゲート →SPR−２ SPR−２ 読出しコマンドをメモリへ →SPR−３ SPR−３ 保護テスト（線１０６） 線１０６アクチブ→SPR−４ 線１０６非アクチブ→第１安全侵害を表示 SPR−４ 保護レジスタをメモリ・データ・レジ
スタのＥフイールドへゲート →SPR−５ SPR−５ 貯蔵コマンドをメモリへ →SPR−６ SPR−６ 命令カウンタを増進 →SPR−７ SPR−７ 命令フエツチを要求 LOAD INTO LINK STACK（LLS） LLS−１ 線１１８はアクチブか？ NO→第１安全侵害を表示 YES→LLS−２ LLS−２ ワード・カウンタをゼロへリセツト 命令レジスタのＡフイールドを保持レジスタへ
ゲート リンク・スタツク・フリツプ・フロツプを０へ
リセツト →LLS−３ LLS−３ 保持レジスタをメモリ・アドレス・レ
ジスタへゲート →LLS−４ LLS−４ 読出しコマンドをメモリへ →LLS−５ LLS−５ メモリ・データ・レジスタのＣフイー
ルドをリンク・スタツク回路の左側へゲート メモリ・データ・レジスタのＣ、Ｄ、Ｅフイー
ルドをリンク・スタツク回路の右側へゲート →LLS−６ LLS−６ ワード・カウンタを増進 保持レジスタを増進 →LLS−７ LLS−７ ワード・カウンタは０………01000
か？ NO→LLS−３ YES→LLS−８ LLS−８ 命令カウンタを増進 →LLS−９ LLS−９ 命令フエツチを要求 終了 STORE FROM LINK STACK（SLS） SLS−１ 線１１８はアクチブか？ NO→第１安全侵害を表示 YES→SLS−２ SLS−２ ワード・カウンタをゼロへリセツト リンク・スタツク・フリツプ・フロツプを０へ
リセツト 命令レジスタのＡフイールドを保持レジスタへ
ゲート →SLS−３ SLS−３ 保持レジスタをMARへゲート リンク・スタツク回路の左側をメモリ・デー
タ・レジスタのＣフイールドへゲート リンク・スタツク回路の右側をメモリ・デー
タ・レジスタのＣ、Ｄ、Ｅフイールドへゲート →SLS−４ SLS−４ 貯蔵コマンドをメモリへ →SLS−５ SLS−５ ワード・カウンタを増進 保持レジスタを増進 →SLS−６ SLS−６ ワード・カウンタは00………1000か？ NO→SLS−３ YES→SLS−７ SLS−７ 命令カウンタを増進 →SLS−８ SLS−８ 命令フエツチを要求 CHECK DATA FETCH（CDF） 線１４８上のパルス 線１０６はアクチブか？ YES→データを取るようにCPUへ信号 NO→第１安全侵害を表示 CHECK DATA STORE（CDS） 線２４６上のパルス 線１０６はアクチブか？ YES→貯蔵許可 NO→第１安全侵害を表示 結 論 これまでの説明から、極めて応用自在で柔軟性
に富む安全機構が、各システム・ワード（即ち、
データ・ワード命令）中に非常に小さな追加的貯
蔵スペースを設けることによつて実現できること
が分る。この貯蔵スペースは階層情報を貯蔵する
のに使用される。本明細書で説明した実施例にお
いて、少数のECCビツトを必要とする大いきワ
ードを使用することによつて、追加的スペースは
不要となつた。開示されたハードウエアは、シス
テムに課された安全規定を実効化するため、最も
能率的な方法で階層安全情報を使用するように設
計されている。即ち、走行中のプログラムは、そ
の割当てられた保護フイールドに関するそれ自体
の安全レベルで許されたメモリ・セグメントへの
みアクセスする。更に、プログラムは、低い安全
レベルで走るためサブ・アプリケーシヨンを呼出
すことができるが、高い安全レベルで走るために
は呼出すことができない。更に、走行中のプログ
ラムは、非常に精密な限定を必要とするチヤネル
を介してのみ高い安全レベルの呼出しプログラム
へ戻ることができる。リンク・アドレスは１群の
特殊レジスタに保存され、プログラムが偽の又は
不正確なリンク・バツク・アドレスによつて、安
全機構を破壊することはできない。 本明細書で開示されたハードウエア機構は、１
つの最適実施例に過ぎず、当業者はこのような複
雑なハードウエア機構の形態及び詳細部分につい
て多くの変更をなしてよい。保護フイールド又は
レベル・フイールドは、容易に拡大して使用する
ことができ、システム設計者が時間及びハードウ
エアの節減に必要であると認めた場合には、特殊
命令のあるものは、更に詳細な命令に分割する
か、又は他の命令と組合せることもできる。

【図面の簡単な説明】

第１図は階層安全機構の機能ブロツク図、第２
図は第２Ａ図から第２Ｆ図までの構成図、第２Ａ
図から第２Ｆ図までは本発明の最適実施例の構造
を例示した論理兼機能ブロツク図、第３図は第３
Ａ図から第３Ｄ図までの構成図、第３Ａ図から第
３Ｄ図は第２Ｃ図に示されたリンク・スタツク・
ブロツクの論理兼機能ブロツク図、第４図は第２
Ｃ図に示された保護論理回路の論理図、第５図は
第２Ｄ図に示された保護挿入論理回路の論理図、
第６図は第６Ａ図及び第６Ｂ図の構成図、第６Ａ
図及び第６Ｂ図はシステム動作に必要な８個の特
殊命令のフオーマツトを示す図である。 １……CPU、２……命令ユニツト、３……メ
モリ、４……保護挿入論理回路、５……保護論理
回路、６……リンク・スタツク回路。

Claims (1)

1. 【特許請求の範囲】 １ 複数のプログラムの各々に割当てられた安全
   レベル及び保護フイールドを記憶したリンク・ス
   タツクと、 前記プログラムの１つによるアクセスが許され
   るべきロケーシヨンに当該プログラムに割当てら
   れた保護フイールドを記憶したメモリと、 実行中のプログラムによりアクセスされたロケ
   ーシヨンにおける前記保護フイールドの内容と前
   記リンク・スタツクにおける前記実行中のプログ
   ラムに割当てられた保護フイールドが前記リン
   ク・スタツクにおける前記実行中のプログラムに
   割当てられた安全レベルにより決まる部分におい
   て一致するかどうかを決定する論理手段と、 より成り、前記実行中のプログラムがアクセスす
   べき他のプログラムに対する保護フイールドは前
   記実行中のプログラムに割当てられた安全レベル
   により決る部分において前記実行中のプログラム
   に対する保護フイールドを含むように割当てられ
   ることを特徴とするメモリ保護装置。