JPS6155754A - 記憶保護方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 産業上の利用分野 本発明は、マルチプログラミングに班′ける記憶保護方
式に関する。

従来の技術 従来、この種のデータ鼠理装置の記憶保護方式には、リ
ング保護やキー保護が使われ、命令の実行に対する保護
やデータの参照に対する保護は次のように行われている
。なあ、プログラムは命令とデータにより構成されて詔
り、プログラムの実行は命令を実行することによって実
現される。また、データの参照は命令の実行により行わ
れる。

リング保護では、命令を実行するために与えられた実行
リング、すなわち実行権限とは独立にデータを指すアド
レス毎に参照のためのリング、すなわち参照権限が備え
られ、データに表示されている読取リング／書込リング
、すなわち読取許可権限／書込許可権限と該アドレスに
よる参照毎に照合することにより参照に対する保護がで
きる。

また、該実行リングと命令に与えられている奥行許可リ
ング、すなわち実行許可権限とを照合することにより、
プログラムが正しい実行リングで実行されていることが
確認される。この詳細については、特開昭５０−９２６
４６号公報を参照できる。

キー保護では、プログラムの呼び出しくコール）関係に
おいて、呼び出され側のプログラムはプログラムを実行
するために与えられた実行キー、すなわち実行権限を呼
び出し側のプログラムの実行キーに切り換えることによ
り呼び出し側のプログラムから渡されたデータを参照す
ることに対する保護を実現している。この詳細についＣ
は、ＩＢＭ　　Ｓｙｓｔｅｍ　　Ｊｏｕｓｎａｌ　　Ｖ
ｏｌｕｍｅ　　Ｔｈ１ｒｔｅａｎを参照できる。

発明が解決しようとする問題点 リング保護では、命令の奥行に対する保護はできていた
が、データを指すアドレス毎にリング保護情報を持たな
ければならないために、キー保腺よりも多くのアドレス
ビットを４ｊ”スル。

キー保護では、プログラムによる実行権限の切り換えが
行われていたために実行権限が定まらず、奥行に対する
保護が実現できない。

本発明の目的は、実行権限と参照権限をプログラムを実
行する権限として与えることにより、プログラムの実行
に対する保護を可能とすると同時に、データを指すアド
レスから不要なアドレスビットを削除することを可能と
する記憶保護方式を提供することにある。

問題点を解決するための手段 従って、本発明の方式は、プログラムの命令やデータな
どに割り付けられている読取許可権限フィールド、書込
許可権限フィールド、実行許可権限フィールドのそれぞ
れの内容とそのプログラムを実行するために与えられた
権限フィールドの内容とを照合することにより記憶保護
を行うデータ処理装置において、前記プログラムを実行
するために与えられた権限フィールドは実行権限フィー
ルドと参照権限フィールドとを含み、プログラムを実行
できるかどうかを前記実行許可権限フィールドの内容と
前記実行権限フィールドの内容とを照合することにより
判断する実行判断手段と、実行中のプログラムがデータ
を読み取りできる２！１１どうかを前記読取許可権限フ
ィールドの内容と前記参照権限の内容とを照合して判断
し実行中のプログラムがデータを書き込みできるかどう
かを前記書込許可権限と前記参照権限フィールドの内容
を照合することにより判断する参照判断手段と、前記参
照権限フィールドの内容をプログラムによって変更する
ための変更手段とをそなえることを特徴とする。

本発明の他の方式は、前記参照判断手段において、前記
参照権限フィールドの内容の代りに、前記実行権限フィ
ールドの内容で示す権限と前記参照権限フィールドの内
容で示す権限の小さな方を使って照合を行うことを可能
とする。また、本発明の他の方式は前記変更手段におい
て、前記実行権限フィールドの内容で示される権限と同
じあるいはそれより少ない権限の範囲で前記参照権限の
内容を変更することを可能とする。

作用 プログラムを実行するために与えられている権限フィー
ルドを実行権限フィールドと参照権限フィールドとの２
つによって構成し、°実行権限フィールドの内容を保持
しながら参照権限フイ・−ルドの内容をプログラム呼び
出し側の権限に切り換えることを可能とする。その結果
、データを指すアドレスに権＠清報を余分に持たずに、
プログラムの実行に対する保護を可能とする。

実施例 次に本発明について図面を参照して詳細に説明する。第
１図はセグメント方式のデータ処理装置における保護機
構を示したものである。１０１と１０２はセグメント記
述子であり、各々命令セグメント１０３とデータセグメ
ント１０４を指している。セグメント記述子１０１、お
よび１０２は各々セグメントのアドレスフィールド１０
５および１０６、読取許可権限フィールド１０７および
１０８、書込許可権限フィールド１０９および１１０、
実行許可権限フィールド１１１および１１２を含んでお
り、対応するセグメントの主記憶上の位置およびセグメ
ント内の命令やデータを実行したり参照したりするため
に必要とされる権限を示す。各許可権限フィールドの内
容は、そのセグメントに命令が入るかデータが入るかに
よって、意味を持ったり持たなかったりする。例えば。

データセグメントに対して実行許可権限フィールドの内
容は意味を持たない。中央処理装置中のレジスタ１１３
は、実行する命令の命令アドレスフィールド°１１４、
命令を実行するために与えられた実行権限フィールド１
１５．およびデータを参照するために与えられた参照権
限１１６を含む。

中央処理装置中のレジスタ１１３に値がセットされてプ
ログラムの実行が開始される。まず、命令アドレスフィ
ールド１１４の指している命令セグメント１０３のセグ
メント記述子１０１中の実行許可権限フィールド１１１
の内容と実行権限フィールド１１５の内容とが照合され
、実行を許されていたら命令の実行が行われる。命令の
実行においてデータの参照が行われるときには、そのデ
ータが含まれているデータセグメント１０４のセグメン
ト記述子１０２中の読取許可権限フィールド１０８また
は書込許可権限フィールド１１０の内容と参照権限１１
６フイールドの内容が照合され、許されていたら各々読
み取りまたは書き込みが許される。例えば、Ｏ〜３のリ
ング値よりなるリング保護で考えてみると、数値の小さ
い方が権限が大きいと仮定する。実行許可権限３の命令
を実行権限１で実行しようとすると、奥行許可権限≧実
行権限の照合によって実行が許される。参照権限１で実
行されている命令で読取許可権限３のデータを読み取ろ
うとすると、読取許可権限≧参照権限の照合によって読
み取りが許される。書き込みについても同様である。中
央処理装置中のレジスタ１１３にある参照権限フィール
ド１１６は。

命令すなわち変更手段により変更することができる。参
照権限フィールド１１（５の内容の変更は、上記照合動
作の手順から、命令の実行には影響を与えることはなく
、データ参照を調整する機能となる。参照権限フィール
ド１１６に対して命令によってかつてに催眠の拡大が行
われることがないように、命令では実行権限フィールド
１１５の値より大きな権限を持つ値を参照権限１１６７
４−ルドにセットできないようにする。例えば、前記リ
ング保護の例では、実行権限が１ならば、参照権限には
１，２．３のいずれかだけ許される。または、データを
参照するときに参照権限フィールド１１６の代りに実行
権限フィールド１１５の内容で示される権限と参照権限
フィールド１１６の内容で示される権限の小さな方を使
）た照合を行う１例えば、前記リング保護の例では、実
行権限が３で参照権限が１のときには、３を照合に使う
というような保護対策がとられる・ 次に、プログラムのコール（呼び出し）において、中央
処理装置中のレジスタ１１３がどのように変わるかを説
明する。第２図を参照すると、実行許容権限２１７右よ
び２１８以外は、セグメン　。

ト記述子２０１および２０２、命令セグメント２０３詔
よび２０４、中央処理装置中のレジスタ２１３がコール
によってレジスタ２１９に変わるということで、内容は
第１図１に示す各権限フィールドの基太的位置と対応づ
けられる。コールが行われる場合、命令アドレスフィー
ルド２１４が命令アドレスフィールド２２０に変えられ
る他に、実行権限フィールド２１５の内容と呼び出され
側の命令セグメント２０４のセグメント記述子２０２に
含まれる実行許可権限フィールド２１２の内容との照合
が行われ、実行が詐されていたら奥行権限フィールド２
１５の内容は、そのまま実行権限フィールド２２１の内
容として使われる。該照合において実行が許されていな
いときには、呼び出され側の命令セグメントの定められ
た位置にある実行許容権限フィールド２１８の内容と実
行権限フィールド２１５の内容との照合が行われ、実行
が許されていたら実行権限フィールド２１１に呼び出さ
れ側の命令セグメント２０４のセグメント記述子２０２
に含まれる実行許可権限フィールド２１２の内容をセッ
トする。例えば、前記リング保護の例では、呼び出し側
の奥行権限が３、呼び出され側の実行許可権限が１、同
じく実行計容権限が３の場合には、コールによって実行
権限が３から１に代わることになる。

以上の全ての照合で実行が許されない場合はコールを許
されていないプログラムを呼び出そうとしたことになる
。な詔、呼び出し側にも実行許容権限フィールド２１７
が存在するが、第２図２Ｉこ示す関係では使われない。

次に、実行が許された場合には、参照権限フィールド２
２２には実行権限フィールド２２１と同じ値がセットさ
れ、呼び出され側は、その命令権限フィールドを持たさ
れて実行が開始される。コールから戻りにおいては。

中央処理装置中のレジスタの内容は、レジスタ２１３の
状態に回復されることになる。

実行権限の変更が行われなかった、すなわち、実行権限
２１５がそのまま実行権限２２１として使われた場合に
、呼び出され側が呼び出し側から受は取ったデータを指
すアドレスをそのまま使ってデータを参照したら呼び出
し側が同じ処理を行ったときの保護がそのま才適用され
るから、該データを指すアドレスが誤ったものであって
も保護は十分に行われる。

しかし、実行権限フィールドの内容の変更が行われた場
合は１次のようになる。実行権限フィールド２２１が実
行権限フィール２１５よりも権限が多くなっていを場合
例えば、前記リング保護の例では、３から１に変わった
ときには、呼び出され側は呼び出し側よりも多くのデー
タを参照できることになり、呼び出し側から受は取った
データを指すアドレスが誤ったものであったら、呼び出
し側が参照することの許されていないデータの変更、す
なわちデータ破壊をおこしてしまう可能性が出てくる。

この問題をさけるために、呼び出され側は、呼び出し側
から渡されたデータのアドレスを使ってデータ参照を行
うときには、既に説明した命令によって、参照権限フィ
ールド２２２に呼び出し側の実行権限フィールド２１５
または参照権限フィールド２１６、一般には参照権限フ
ィールド２１６の内容がセットされる。そして、処理が
終了したら、参照権限フィールド２２２を同じく変更命
令によって前の値に回復する。ここで重要なことは、参
照権限フィールド２２２の内容を変更している間にも、
実行権限フィールド２２１の内容と実行許可権限フィー
ルド２１２の内容の照合により命令毎に実行が許されて
いるかどうかを調べることが可能であるということであ
る。実行権限フィールド２２１の内容と参照権限フィー
ルド２２２の内容が同一のもの、すなわち、同じ値をと
るとしたら、参照権限フィールドの内容すなわち実行権
限を変更した時点に実行許可権限フィールド２１２の内
容により命令の実行が許されなくなる事態に詔ちいって
しまう。もう一つの重要なことは、データを指すアドレ
ス毎に保１ｉｆｆ報を持たなくても、参照に対する保護
が実現されているということである。

次に、特許請求の範囲に示された方式が、許可権限の構
成や照合の条件に依存しないことを別の実施例により詳
細に説明する。

キー保護における構成例を示す第３図を参照すると、キ
ー保護では、０〜１５のような数値をキーに割り当て、
キーの値が一致したときにだけ処理が許されるという照
合が行われる。第３図においては、キー８とキー５を例
としてとりあげ、カッコ内に示した。また、ページ毎に
保護を行い、コールを命令による割り込みにより行うシ
ステムが示されている。主記憶上のページに１対１に存
在するハードウェアレジスタ３０１と３０２は、ページ
のアドレス３０３．および３０４と許可キー３０５．お
よび３０６を有している。図の例では、１つの許可キー
が読取許可権限、書込許可権限、実行許可権限に共通し
て使われる。他に、制御用のビットを設けて、読み取り
のときにはその制御用のビットの値によっては照合を行
わずに無条件で許可するというような例もあるが、照合
の処理にその分を追加するだけでよく、以下の説明には
影響を持たない。主記憶上のページ３０７゜３０８は、
命令およびデータが入りている。中央処理装置中のレジ
スタの内容３０９．３１０は、割り込みによりレジスタ
の内容３０９からレジスタの内容３１０に変わるものと
する。３３１，３１２は命令アドレス、３１３，３１４
は実行キー。

３１５．３１６は参照キーであり第２図と対応付けられ
る。呼び出し側が命令によって割り込みを発生すると、
中央処理装置中のレジスタの値が切り換えられ、実行キ
ー、参照キーのそれぞれが８から５に変わる。命令の実
行は、実行キー３１４と許可キー３０６とが値５で一致
しているから許されることになる。また、自分自身のデ
ータを参照するときも同様に参照キー３１６と許可キー
３０６とが一致していることから許されることになる。

しかし、呼び出し側から与えられたデータを指すアドレ
スによフて参照を行うときには、参照キー３１６、値が
５と許可キー３０５、値が８が一致しないことから参照
を許されない。そこで既に述べた命令により参照キー３
１６の値を８に変えることにより参照を可能にする。参
照キー３１６の値が８になっている間も、実行キー３１
４と許可キー３０６との照合すなわち一致の確認を続け
ることができる。なお、権限の大きさを比較できないこ
とから、命令による参照キーの変更は無条件にできるよ
うにしなければならない。特定の奥行キーでだけ命令の
実行を許すというようなことも考えられる。照合は一致
の確認により行われ、リング保護の大小比較とは異って
いる。

読取許可権限／書込許可権限／実行許可権限を許可キー
にまとめたのとは逆に、参照キーを読取キー／書込キー
に分けることも可能である。しかし、実行権限と参照権
限とを分離して、実行権限の値を維持しながら参照権限
を切り換えるという基本的な考えは同じものであるとい
える。　゛発明の効果 本発明によれば、プログラムの実行に対する保護を行う
とともに、不要なアドレスビットを追加しないで済むよ
うな記憶保護を行うことができる。

【図面の簡単な説明】

第１図は本発明の一実施例の各種権限の基本的な位置を
示す図、第２図は本発明の一実施例のコールにおける各
種権限の電化や位置を示す図、第３図は他の実施例を示
す図である。 １０１．１０２，２０１，２０２・・・・・・セグメン
ト記述子、１０３，２０３．２０４　・・・・・・命令
セグメント、１０４・・・・−・データセグメント、１
０５，１０６゜２０５．２０６・・・・・・セグメント
の主記憶上のアドレス、１０７，１０８，２０７，２０
８・・・・・・読取許可（り限％　１０９，１１０，２
０９．２１０・・・・・・書込許可権限、１１１，１１
２，２１１，２１２・・・・・・実行許可権限、１１３
，２１３，２１９　・・・・・・中央処理装は中のレジ
スタ、１１４，２１４，２２０　・・・・・・実行する
命令の命令アドレス、１１５，２１５，２２１　　・・
・・・・実行権限、１１６，２１６，２２２　・・・・
・・参照権限。 ２１７．２１８・・・・・・実行許容権限、３０１．３
０２・・・・・・主記憶上のページに１対１に存在する
ハードウェアレジスタ、３０３，３０４・・・・・・ペ
ージの主記憶上のアドレス、３０５．３０（５・・・・
・・許可キー、３０７．３０８・・・・・・主記憶上の
自分ページ、３０９゜３１０・・・・・・中天処理装置
中のレジスタの内容、３１１．３１２・・・・・・実行
する命令の命令アドレス、３１３．３１４・・・・・・
奥行キー、３１５，３１６・・・・・・参照キー。 ３．、／／

Claims (1)

1. 【特許請求の範囲】 １、プログラムの命令やデータなどに割り付けられてい
   る読取許可権限フィールド、書込許可権限フィールド、
   および実行許可権限フィールドのそれぞれの内容とその
   プログラムを実行するために与えられた権限フィールド
   の内容とを照合することにより記憶保護を行うデータ処
   理装置において、 前記プログラムを実行するために与えられた権限フィー
   ルドは実行権限フィールドと参照権限フィールドとを含
   み、プログラムを実行できるかどうかを前記実行許可権
   限フィールドの内容と実行権限フィールドの内容とを照
   合することにより判断する実行判断手段と、実行中のプ
   ログラムがデータを読み取りできるかどうかを前記読取
   許可権限の内容と参照権限の内容とを照合し、実行中の
   プログラムがデータを書き込みできるかどうかを前記書
   込許可権限の内容と参照権限の内容を照合することによ
   り判断する参照判断手段と、前記参照権限フィールドの
   内容をプログラムにより変更するための変更手段とをそ
   なえることを特徴とする記憶保護方式。 ２、前記参照判断手段において、前記参照権限フィール
   ドの内容の代りに、前記実行権限の内容と、前記参照権
   限の内容のうち権限の小さな値を使って照合を行うこと
   を可能とする特許請求の範囲第１項記載の記憶保護方式
   。 ３、前記変更手段において、前記実行権限フィールドの
   内容で示される権限と同じあるいはそれより少ない権限
   の範囲で前記参照権限フィールドの内容を変更するよう
   にしたことを特徴とする特許請求の範囲第１項記載の記
   憶保護方式。