JPH0736713A - プログラム実行管理装置 - Google Patents

Abstract

(57)【要約】 【目的】 同一仮想アドレス空間を共有しているスレッ
ド間でのスレッド操作からの保護を柔軟に行えるプログ
ラム実行管理装置の提供を目的とする。 【構成】 複数の並行に実行されるプログラム実行スレ
ッドが存在する場合に、あるスレッドをどのスレッドか
らであれば操作できるかという権限情報を記憶する記憶
部７と、あるスレッドが他のスレッドが操作を加えよう
とする際、操作元と操作対象のスレッド番号を検出する
検出部６及び１３と、記憶部７の権限情報によりこの操
作が不当であるか否かを判定する判定部１２を備える。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、計算機システム中での
プログラム実行スレッドの実行を管理する装置に関する
ものである。

【０００２】

【従来の技術】近年マイクプロセッサの性能向上により
複数の小型のコンピュータをネットワークでつないで使
用することが通常のこととなった。またマイクロプロセ
ッサの使用範囲の拡大により、オペレーティングシステ
ム（ＯＳ）はさまざまな適用範囲に対応することが必要
であり、柔軟な構成をとることができることが求められ
ている。このため、従来は、利用用途やハードウェアの
種類により複数のＯＳを使いわけてきた。１つのＯＳで
広い用途をカバーするためにマイクロカーネル化させた
オペレーティングシステムの技術がある。これは、必要
最小限の機能のみをこのマイクロカーネルにもたせ、そ
れ以外の機能は、マイクロカーネル外のユーザプログラ
ムとして提供するものである。こうすることで、従来の
複数のＯＳ機能を１つのマイクロカーネル上にユーザプ
ログラムの形で提供することが可能となり、柔軟な構成
が実現できる。

【０００３】このようなオペレーティングシステムで
は、プログラム実行の制御対象としてプロセスまたはス
レッドと呼ばれる制御単位が用いられる。個々のスレッ
ドは独立にプロセッサのレジスタ値やスタックなどを持
ち、オペレーティングシステムによりプロセッサを割り
当てられた間だけプログラムを実行し、一定時間後また
はハードウェア割り込みなどが発生したときにオペレー
ティングシステムはスレッドに対するプロセッサの割り
当てを解除して他のスレッドへプロセッサを割り当て
る。個々のスレッドは独立したレジスタ値を持っている
ため、仮想的に並列に動いているプロセッサであるとみ
なすことができる。

【０００４】このようなオペレーティングシステム上で
スレッド自体を操作したいとき、すなわちスレッドの実
行を一時停止したり再開したりしたいときやスレッドを
強制的に消滅させたいとき、またはスレッドの情報（レ
ジスタ値やスタック等の内部状態）を調べたいときのた
め、オペレーティングシステムはスレッド操作命令群を
備えており、あるスレッドから別のスレッドを操作する
ことが可能である。このようなスレッド操作命令群は、
ユーザプログラムからシステムコールとしてＯＳに指示
し、利用できるようになっている。

【０００５】このようなスレッド操作命令があるとき
に、どのスレッドからでもスレッド操作命令を発行でき
るようにすると、不当な操作もできることになってしま
うので保護の機能が必要になる。たとえば、スレッドを
強制的に消滅させるようなことは特定の権限を持つスレ
ッドだけから行えるようにすることが必要になる。

【０００６】さらに、仮想空間が複数あり、仮想空間ご
とに１つのプログラムやデータが配置されており、スレ
ッドもその空間内しか動きまわれないようなＭａｃｈ
（参考文献：「分散オペレ−ティングシステム」前川守
他編、共立出版）をはじめとするシステムの場合、同じ
空間内に存在するスレッドの保護を同一とし、スレッド
の保護をメモリ空間の保護に依存する方法をとってい
る。しかし、それらのスレッドを区別して保護すること
はできない。また、単一仮想空間のシステムのように、
１つのアドレス空間内にすべてのプログラムが配置さ
れ、複数のスレッドが存在する場合、スレッドの保護は
メモリ保護だけではなくオペレーティングシステムによ
り権限の設定が必要になる。

【０００７】ひとつの方法は、スレッドの所有者を決め
て、同一の所有者のスレッド間ではスレッドの操作を許
す方式であり、Ｕｎｉｘオペレーティングシステムのｓ
ｉｇｎａｌはこれに相当する。しかしこれでは同一の所
有者のスレッド間の保護の柔軟性に欠け、さらに、操作
権限を他の所有者のスレッドに渡すことができない。ま
た、複数の所有者のスレッドからのスレッド操作を可能
にしたりできないなど、柔軟にスレッドの操作ができる
ようなスレッド保護機能が不足していた。

【０００８】

【発明が解決しようとする課題】このように、従来のス
レッド実行管理メカニズムでは、操作権限の設定に柔軟
性に欠けたか、または、同一の仮想アドレス空間を共有
しているスレッド間では保護がなかったか、または制約
が強かった。

【０００９】以上のような状況に鑑み、本発明は別々の
仮想空間にいるスレッド間はもとより、同一仮想アドレ
ス空間を共有しているスレッド間でのスレッド操作命令
において、同一の方法で柔軟性があり、かつ十分な保護
を行うプログラム実行管理装置を提供することを目的と
する。

【００１０】

【課題を解決するための手段】本発明では個々のスレッ
ドに対してどのスレッドから操作できるかという情報を
登録したリストを設け、このリストにより許可されてい
る場合に限り、操作を許可する。また、メモリ保護機構
を用いたスレッド保護方法により、スレッド保護のため
に新規のハードウェアを必要とせずに実現できるように
なる。

【００１１】

【作用】本発明によれば、スレッドごとにアクセス可否
を示す情報があるので、不当な操作命令や誤った操作命
令からスレッドを保護することができる。さらに、この
ような誤った操作命令を検出できるため、プログラムの
誤り（バグ）の検出が容易になる。

【００１２】また、複数のスレッドが同一の論理アドレ
ス空間を共有し、当該論理アドレス空間が複数のセグメ
ントに分割されていて各セグメントに対してアクセス制
御リストを指定できるようなシステムにおいて、各スレ
ッドに対して一意に対応するセグメントを割り当て、そ
のセグメントのアクセス制御リストをスレッドのアクセ
ス制御リストとして用いることにより、新たにスレッド
操作の権限判定のための命令をプロセッサの命令セット
に追加せずとも高速なスレッドアクセス権限管理が可能
になる。

【００１３】

【実施例】以下、図面を参照して本発明の一実施例につ
いて説明する。 （実施例１）本装置は、オペレーティングシステム（Ｏ
Ｓ）と呼ばれる計算機システム全体の実行制御を行うも
のの構成要素の一部である。ＯＳは計算機資源であるメ
モリ、プロセッサ、周辺機器を管理し、また、ユーザプ
ログラムとよばれるユーザが指示した実務上の処理を行
うプログラムの実行を制御する。一つの装置上には複数
のユーザプログラムがのっており、ＯＳがそれらのプロ
グラム間の制御も行う。

【００１４】ユーザプグラムは、実行上に必要となる物
理メモリなどの資源を確保したり、周辺機器にデータを
入出力したり、他のユーザプログラムにデータを転送し
たり、処理を依頼したり、実行を制御するためにＯＳに
対して指示を行うことが必要となる。このＯＳへ対する
指示をシステムコールを呼ばれる特別な手段で行う。本
実施例では、システムコールのうち、ユーザプログラム
の制御に関して説明する。

【００１５】図１は、本実施例の全体構成図である。プ
ログラム記憶部１には、計算機で処理する命令が記述さ
れたユーザプログラムや処理する対象のデータ、計算機
で処理途中の結果を一時的に記憶するスタックなどのデ
ータがメモリ空間上に蓄えられている。メモリ空間は、
複数の領域に区切られて管理され、それぞれの領域に
は、お互いを区別するための識別子がついており、メモ
リ領域ごとにプログラムやデータやスタックを配置して
いる。

【００１６】さらに、プログラム記憶部１に蓄えられて
いるプログラムを解釈実行し、データを処理する実行主
体であるプロセッサ２と、プロセッサ内の状態を管理す
るスレッド管理部３、プロセッサの実行状態の切り替え
処理を行う実行状態切り替え部４がある。

【００１７】プロセッサ２内には、命令の実行途中に一
時的に利用するレジスタ類、現在実行している命令のプ
ログラム記憶部での位置を示すためのプログラムカウン
タ（ＰＣ）、スタックデータの先頭位置を示すスタック
ポインタ（ＳＰ）などが存在し、これら一連のデータを
入れ替えることで、複数の別々のユーザプログラムの処
理を時分割で並行して進めることが可能となる。

【００１８】スレッドとは、上記プロセッサ内で使用す
る一連のデータのことを呼び、これを複数組用意し、こ
のスレッドを切り替えてプロセッサにセットし実際に実
行させることにより、時分割処理が可能となる。

【００１９】メモリ領域ＩＤ記憶部５は、現在実行中の
プログラムがプログラム記憶部１のどのメモリ領域に存
在しているかを、そのメモリ領域のＩＤとして記憶して
いるものである。これは、プロセッサ内のＰＣの値を利
用し、現在実行中のメモリ領域ＩＤを求めて、記憶して
いる。このメモリ領域ＩＤは、現在実行中のプログラム
ＩＤとみなすこともできる。

【００２０】スレッド管理部３の中にはスレッド管理テ
ーブルと呼ぶ表があり、プロセッサにセットするレジス
タの情報やその他の情報がスレッドごとに管理されてい
る。スレッドには、お互いを区別するためにスレッド識
別子（スレッドＩＤ）がついている。

【００２１】実行状態切替部４は、現在プロセッサ上で
実行しているスレッド（スレッドＩＤ＝１）を中断し、
スレッド（スレッドＩＤ＝１）の状態をスレッド管理テ
ーブルの所定の位置に退避し、別のスレッド（スレッド
ＩＤ＝２）を起動すべく、スレッド管理テーブルのスレ
ッド（スレッドＩＤ＝２）の情報をプロセッサ１に再セ
ットし、スレッド（スレッドＩＤ＝２）の実行を再開さ
せる。また、実行状態切替部４は、現在実行中のスレッ
ドＩＤをスレッドＩＤ記憶部６にセットする。実行状態
切替部４には、さらに、どのスレッドをセットし退避す
るかを決定するスレッドスケジューリング機構と、いつ
スケジューリングするか指示するタイマ部が存在する
（図示していない）。

【００２２】スレッド操作権限記憶部７は、スレッド保
護に関するテーブルを保持し、スレッドごとにスレッド
に対する操作を実行する権限がどうなっているかを記憶
するもので、操作権限判定部１２で使用される。

【００２３】さて、システムコールとしてユーザプログ
ラムを実行しているあるスレッドが他のスレッドに対し
て制御しようとする例として、Ｔｈｒｅａｄ＿Ｇｅｔ＿
Ｓｔａｔｕｓシステムコールを発行する場合について説
明する。

【００２４】このシステムコールは、スレッドＩＤで指
示されたスレッドの状態、つまりそのスレッドのレジス
タ類の情報を、このシステムコ−ルの呼び出し元のユー
ザプログラムに通知するものである。 いま、スレッド
１（スレッドＩＤ＝１）のスレッドがプログラムＡ（メ
モリ領域ＩＤ＝Ａ）を実行中、そこでスレッド２（スレ
ッドＩＤ＝２）の情報をこのシステムコールで得ようと
したとする。Ｃ言語で記載されているプログラムＡで
は、次のように記されている。

【００２５】 err ＝Thread＿Get ＿Status（２，＆Thread＿Statu
s）；ここで、関数Ｔｈｒｅａｄ＿Ｇｅｔ＿Ｓｔａｔｕ
ｓがスレッドの情報を得るシステムコールであって、第
１引数の２は、スレッドＩＤ＝２の情報を得ることを指
示しており、第２引数の＆Ｔｈｒｅａｄ＿Ｓｔａｔｕｓ
はシステムコールの結果得られたスレッド２の情報を格
納するメモリ領域の先頭位置を指示している。また、こ
のシステムコールの実行が成功したかどうかは、この関
数の返り値として変数ｅｒｒに入る。

【００２６】この関数をプログラムＡのスレッド１が実
行すると、スレッド１はシステムコールによりプロセッ
サの実行モードをユーザレベルから特権レベルに遷移さ
せ、ＯＳを呼び出す。特権レベルとは、ＯＳが処理を行
う専用レベルのことである。

【００２７】呼び出されたＯＳでは、ＯＳ内のシステム
コール受付部８に処理が移る。ここでは、このシステム
コールを呼び出した元のユーザプログラムの中断処理を
行い、要求されたシステムコールの種類と指示された引
数を受取り、それぞれその情報を引数検出部９とシステ
ムコールの種類判別部１０に送る。

【００２８】本例では、指示されたシステムコールは、
Ｔｈｒｅａｄ＿Ｇｅｔ＿Ｓｔａｔｕｓなので、システム
コールの種類判定部１０で、次には、Ｔｈｒｅａｄ＿Ｇ
ｅｔ＿Ｓｔａｔｕｓ実行部１１を呼び出す。

【００２９】そこでの処理は、図２に示したスレッド操
作権限記憶部７を使って行われる。この記憶部には、図
に示したようなテーブルを保持している。テーブルに
は、操作スレッドＩＤ、対象スレッドＩＤ、操作スレッ
ドが存在するメモリ領域ＩＤ、スレッド操作権限の各エ
リアを持っている。

【００３０】操作スレッドＩＤとはスレッド操作のシス
テムコールを実行しようとしているスレッドのスレッド
ＩＤのことで、対象スレッドＩＤとはこのシステムコー
ルの引数で指定された操作対象のスレッドＩＤを示す。
また、操作スレッドが存在するメモリ領域ＩＤとは、こ
の実行されようとしているシステムコールを含むプログ
ラムの存在するメモリ領域のＩＤのことであり、スレッ
ド操作権限とは、どういうスレッド操作が可能かを示す
もので、スレッドの内部状態を読み出す権限、スレッド
の内部状態を変更する権限、スレッドの実行を停止／再
開する権限の３つの権限を独立に指定できる。

【００３１】たとえば図の例では、スレッド１（スレッ
ドＩＤ＝１）が発したシステムコールでは、スレッド２
（スレッドＩＤ＝２）の内部状態の参照と変更は可能だ
が、スレッド２（スレッドＩＤ＝２）の実行の停止／再
開はできないことを示している。また、スレッド１（ス
レッドＩＤ＝１）は、スレッド３（スレッドＩＤ＝３）
に対しては実行の停止／再開はできるがそれ以外のスレ
ッド操作はできない。さらに、スレッド１（スレッドＩ
Ｄ＝１）は、スレッド２（スレッドＩＤ＝２）とスレッ
ド３（スレッドＩＤ＝３）以外のスレッドに対しては、
何のスレッド操作も受け付けないことを示している。

【００３２】スレッド１（スレッドＩＤ＝１）が対象ス
レッドの場合の例で、テーブル中の操作スレッドが存在
するメモリ領域ＩＤの部分にａｌｌという情報が保持さ
れているが、これは、このシステムコールがどのユーザ
プログラムから行われていても同等で、システムコ−ル
を実行するスレッドＩＤのみに実効権限が依存すること
を示している。

【００３３】メモリ領域ＩＤの欄がａｌｌでないとき
は、そのＩＤのメモリ領域に存在するプログラムからシ
ステムコールが実行された時の操作権限を規定する。た
とえば、スレッド３（スレッドＩＤ＝３）が、プログラ
ムＡ（メモリ領域ＩＤ＝Ａ）の実行中、スレッド１（ス
レッドＩＤ＝１）に対しては、すべての操作が可能であ
るが、それ以外のときは、操作不可である。つまり、ス
レッド３（スレッドＩＤ＝３）がプログラムＢ（メモリ
領域ＩＤ＝Ｂ）の実行中、スレッド１（スレッドＩＤ＝
１）に対して同様なシステムコールを実行しても操作で
きないし、スレッド５（スレッドＩＤ＝５）がプログラ
ムＡ（メモリ領域ＩＤ＝Ａ）においてスレッド１（スレ
ッドＩＤ＝１）に対して同じシステムコールを実行して
も操作できない。このテ−ブルに記載のないスレッド操
作は一切できない。

【００３４】Ｔｈｒｅａｄ＿Ｇｅｔ＿Ｓｔａｔｕｓ処理
部では、図３に示すステップに従って処理する。まず、
ステップ１にて、このシステムコールを実行した操作ス
レッドＩＤ、メモリ領域ＩＤをそれぞれスレッドＩＤ記
憶部６とメモリ領域ＩＤ記憶部５から情報を得る。上述
したように、現在実行中のスレッドＩＤは、実行状態切
替部４でセットされ、現在実行中のメモリ領域ＩＤは、
プロセッサの内部にあるＰＣの情報からセットされてい
る。さらに、システムコールの第一引数から対象スレッ
ドＩＤ検出部１３が対象スレッドＩＤを得ている。第二
引数からは、スレッド情報格納位置検出部１４が、この
システムコ−ルの実行結果を格納するユ−ザプログラム
のメモリ位置を検出する。

【００３５】次にステップ２にて、以上の３つの情報を
もとにスレッド操作権限記憶部７のテーブルを引き、該
当エントリをサーチする。もし、見つかれば、ステップ
３に進み、なければステップ８を行うエラー処理部１５
へ進む。

【００３６】サーチは、テーブルの上から順に比較を行
い、最初にマッチしたエントリの情報を次のステップ以
降で利用する。テーブルのフィールドのａｌｌ部分は、
すべてにマッチすることを意味する。もし、テーブルの
最後のエントリまで比較し、マッチしなかったらサーチ
の失敗となる。

【００３７】ステップ３では、見つかったエントリの操
作権限を表す部分のうち、スレッド内部状態読出権限に
該当する部分の情報を読み出し、許可か否かを判断す
る。この判定は操作権限判定部１２で行う。もし判定で
許可されればステップ４へ進み、不許可になればステッ
プ８のエラー処理へ移る。

【００３８】次のステップ４では、対象スレッドに対し
て、許可されたスレッドの内部状態を読み出すためのス
レッド管理テ−ブルの参照操作を実行する。この処理は
スレッド状態参照実行部１６にて行う。ここでは、該当
スレッドの内部状態であるスレッド情報を、スレッド情
報格納位置検出部１４で指示されたメモリ中に格納す
る。

【００３９】ステップ５にて、ステップ４での処理結果
を判定する。処理が成功するとステップ６にて、成功を
示すコードをシステムコール終了部１７へ伝える。失敗
するとステップ７にて、失敗を示すコードをシステムコ
ール終了部１７へ伝える。

【００４０】ステップ８では、エラーコードをシステム
コール終了部１７へ伝える。Ｔｈｒｅａｄ＿Ｇｅｔ＿Ｓ
ｔａｔｕｓ実行部１１での処理を終えると、最後にシス
テムコール終了部１７に処理が進む。このシステムコ−
ルを実行したユ−ザプログラムに返す返値をシステムコ
ールの返値として戻るように処理を行い、中断していた
呼出元のユーザプログラムの実行ができるように復帰処
理を行い、実行レベルを特権レベルからユーザレベルへ
戻す処理を行う。

【００４１】以下にはスレッドを操作する他のシステム
コ−ルについて説明する。Ｔｈｒｅａｄ＿Ｓｅｔ＿Ｓｔ
ａｔｕｓ（スレッドＩＤ、スレッドステータス）なるシ
ステムコールは、上記で説明した、Ｔｈｒｅａｄ＿Ｇｅ
ｔ＿Ｓｔａｔｕｓの逆の操作で、第１引数に指定された
スレッドに引き数に指定されたスレッド情報をセットす
る。

【００４２】ＯＳ内部の処理は、システムコール受付部
８からシステムコールの種類判別部１０を経てＴｈｒｅ
ａｄ＿Ｓｅｔ＿Ｓｔａｔｕｓ実行部に移る。Ｔｈｒｅａ
ｄ＿Ｓｅｔ＿Ｓｔａｔｕｓ実行部は、Ｔｈｒｅａｄ＿Ｇ
ｅｔ＿Ｓｔａｔｕｓ実行部１１のうちスレッド状態参照
実行部１６をスレッド状態変更実行部に置き換えた構成
を持つ。内部処理は、Ｔｈｒｅａｄ＿Ｇｅｔ＿Ｓｔａｔ
ｕｓと同様であるが、スレッド操作権限記憶部７のテー
ブルをサーチする際、先ほどの例と違い、スレッドの内
部状態を変更する権限をチェックして、権限があるかど
うか判定する。そして、権限があるとスレッド状態変更
実行部にて、変更処理する。変更処理は、第２引数で指
定されたスレッド情報をスレッド管理部３の内部のスレ
ッド管理テーブルの該当スレッドの該当部分に格納する
ものである。

【００４３】Ｔｈｒｅａｄ＿Ｓｕｓｐｅｎｄ（スレッド
ＩＤ）なるシステムコールは、引き数で指定されたスレ
ッドに対し実行の一時停止の処理を行うものである。こ
の処理は、Ｔｈｒｅａｄ＿Ｇｅｔ＿Ｓｔａｔｕｓ実行部
１１に代る、Ｔｈｒｅａｄ＿Ｓｕｓｐｅｎｄ実行部が行
う。実行権があるかどうかの判定は、上記と同様で、ス
レッド操作権限のうちのスレッドの実行を停止／再開す
る権限で判定するところがちがう。そして権限がある場
合には、Ｔｈｒｅａｄ＿Ｓｕｓｐｅｎｄ実行部の中のス
レッド停止処理実行部が、対象スレッドの状態をスレッ
ド管理部３内のスレッド管理テーブルから得る。管理テ
ーブル内部には、ステータス情報を格納しているところ
がある。その情報が実行可能状態なら、停止状態へ変更
する。また、停止状態なら、何もしない。また、対象ス
レッドがこのシステムコールを発したスレッド自身のと
きは、上記処理に続き、本システムコール終了時に実行
状態切替部４に制御を移し、次に動作するスレッドを決
定し起動してもらう。

【００４４】別の実施例として、停止状態に複数の停止
状態レベルをとることができる場合、実行可能状態のと
きにＴｈｒｅａｄ＿Ｓｕｓｐｅｎｄシステムコ−ルが発
せられたら、停止状態レベルを０へ変更し、既に停止状
態であったならば停止状態レベルを１つ上げる。このレ
ベルは、停止状態が厳しくなかなか実行に移らない状態
なほど大きな値が与えられるものである。

【００４５】Ｔｈｒｅａｄ＿Ｒｅｓｕｍｅ（スレッドＩ
Ｄ）なるシステムコールは、引数で指定されたスレッド
に対し実行再開の処理を行うものである。この処理は、
Ｔｈｒｅａｄ＿Ｒｅｓｕｍｅ実行部が行い、実行権があ
るかどうかの判定は、Ｔｈｒｅａｄ＿Ｓｕｐｅｎｄ実行
部におけるのと同様である。権限がある場合には、Ｔｈ
ｒｅａｄ＿Ｒｅｓｕｍｅ実行部中のスレッド再開実行部
が、対象スレッドの状態をスレッド管理部３内のスレッ
ド管理テーブルから得る。管理テーブル内部には、ステ
ータス情報を格納しているところがあり、その情報を停
止状態なら、実行可能状態へ変更する。既に実行可能状
態であったならば何もしない。

【００４６】別の実施例として、停止状態に複数の停止
状態レベルをとることができる場合、Ｔｈｒｅａｄ＿Ｒ
ｅｓｕｍｅシステムコ−ルが発せられたら、停止状態な
ら停止状態レベルを１つ下げる。もし、既に停止状態レ
ベルが０なら、実行可能状態へ変更し、既に実行可能状
態なら何もしない。

【００４７】本実施例では、スレッド実行／再開の権限
を１つの権限にまとめているが、別々の権限にするため
に、実行停止の権限を、スレッドの内部状態を書き出す
権限とスレッドの実行を停止／再開する権利の２つとも
ある場合に可能とし、実行再開の権限を、スレッドの内
部状態を読み出す権限とスレッドの実行を停止／再開す
る権利の２つともある場合に可能とする実施例も可能で
ある。

【００４８】なお、本実施例ではスレッドの内部状態を
読み出す権限、変更する権限（消去する権限を含む）、
スレッドの実行を停止／再開する権限の３種類を独立に
指定できるようにしているが、これに限られるものでは
ない。指定できる種類（スレッド操作権限記憶部の操作
権限に含まれるフィールドの数）を増やし、停止権限、
再開権限を別個に指定できるようにしても、スレッドを
消去する権限をこれらとは別に設けてもよい。

【００４９】また、上では各システムコールに対応する
実行部について別々に説明したが、実際のシステムでは
これら実行部を必要な分だけ並列に設けておく。その
際、共通の機能である１３，１４，１５，７，１２につ
いてはいずれのシステムコールについても同一のものあ
るいは共通のものを利用するようにし、各システムコー
ルで実行する内容が異なる１６に相当するもののみを並
列に設けて、操作権限判定と並行してあるいはその後に
対応する実行部へ処理を振り分ければよい。 （実施例２）次に、実施例１にスレッド制御に関して時
間的制約を付加した例を説明する。これは、プラント制
御のためのリアルタイム処理のように決められた時間内
に処理を終わらさなければならない場合に必要な処理で
ある。

【００５０】実施例のプログラム構成を図４に示す。実
際にプラント制御用のリアルタイム処理を行うプロセス
制御プログラム（メモリ領域ＩＤ＝Ｂ）と、そのプログ
ラムに常駐し、リアルタイム処理を実行するリアルタイ
ムスレッド（スレッドＩＤ＝５）がある。

【００５１】さらにそのプロセス制御プログラム、リア
ルタイムスレッドを制御する制御プログラム（メモリ領
域ＩＤ＝Ｃ）、制御スレッド（スレッドＩＤ＝４）があ
る。その他、上記以外の一般のユ−ザプログラムやスレ
ッドが同じシステム上に複数存在できる。その例とし
て、上記のプログラムを保守するためのデバッグプログ
ラム（メモリ領域ＩＤ＝Ｄ）とデバック処理をする任意
のスレッド（スレッドＩＤ＝６）がある。なお、本例で
のメモリ空間上でのプロクラム配置を図の（ｂ）に示
す。

【００５２】この例では、プラント制御の運用中でリア
ルタイム処理が必要な時間は、９：００から１７：００
である。この間は、リアルタイムスレッドはその処理に
専念するため、他のスレッドからの制御を受けない。例
外は、制御スレッドからの制御である。つまり、制御プ
ログラムを実行する制御スレッドのみが、たとえば、プ
ラント異常動作時の停止等の処理のみが可能となる。

【００５３】プラントの操業の終わる１７：００以降
は、リアルタイム処理が必要ないので、上記のような制
限はなくなり、一般のスレッドでも制御できる。これに
より、デバッガーがプロセス制御プログラムをデバッグ
する際にリアルタイムレッドを制御可能になり、有効な
措置である。

【００５４】本実施例システムの全体構成は、実施例１
の図１とほぼ等しい。付け加わった機能のみを図５を用
いて説明する。まず、スレッド操作権限記憶部７のテー
ブルの構成が図５のように変わる。新しくテーブルに有
効期限を表すエントリが付加されている。ここには、設
定されているスレッド操作の権限がどの時刻に有効かを
示す情報が保持されている。

【００５５】以上の設定を用いてプラント制御の例を実
現するため、スレッド操作権限記憶部７のテーブルに図
５に示すようにスレッド操作権限を設定する。なお、こ
のテーブルへの新たな設定／削除／変更は、ユーザプロ
グラムからそれぞれ専用のシステムコールで行う。その
際に今までに設定されている権限と矛盾があるかどうか
チェックも行われ、テーブルの設定の反映は、設定に矛
盾のない形で行われる。

【００５６】テーブルの（１）の設定により、運用時間
の９：００から１７：００については、スレッドＩＤ＝
４の制御スレッドは、メモリ領域ＩＤ＝Ｃの制御プログ
ラムの実行中には、スレッドＩＤ＝５のリアルタイムス
レッドに対して、すべてのスレッド操作ができる。ま
た、（３）の設定により、１７：００以降も同様な操作
が可能な設定となっている。

【００５７】さて、スレッドＩＤ＝４の制御スレッド以
外のスレッドは、（２）の設定により、スレットＩＤ＝
５のリアルタイムスレッドに対して、９：００から１
７：００までは、すべてのスレッド操作ができない。し
かし、その時間帯をすぎると（３）の設定中で操作スレ
ッドの欄がａｌｌなので、どのスレッドからでもすべて
の操作が可能となる。

【００５８】以上の制御を実現するために、実施例１の
構成に現在時刻記憶部１８を追加する。そして、実施例
１における図３のステップ２にて、現在時刻情報を付加
してテーブルを検索する。他は変わらない。

【００５９】以下にはスレッド操作権限記憶部７のテー
ブルを図７のように変更した例を説明する。これは、従
来のテーブルに新たに、対象スレッドが存在するメモリ
領域ＩＤのフィールドを付加したものである。この場
合、指定された操作メモリ領域のプログラムを実行中の
指定された操作スレッドが、指定された対象メモリ領域
にいる指定された対象スレッドに対するスレッド操作の
権限を制限することになる。

【００６０】これによれば、前例のようなプロセス制御
リアルタイム処理を実現しようとする場合、メモリとス
レッドの配置は図６のようにできる。この場合、前例と
異なり、それぞれ制御プログラム実行用の専用の制御ス
レッド、プロセス制御用の専用リアルタイムスレッドは
不要で任意のスレッドで実現できる。

【００６１】つまり、複数のプログラム間に制御を移し
ながら一連の処理を行うようなスレッド構成でも実現で
きる。この例でのスレッド操作権限記憶部７のテーブル
の指定は、図７のようになる。つまり、テーブルの
（１）の記述により、メモリ領域Ｃ（制御プログラム）
を実行している任意のスレッドが、メモリ領域Ｂ（プロ
セス制御プログラム）を実行している任意のスレッドに
対しては、９：００から１７：００間は、すべてのスレ
ッド操作が可能になる。また、（３）の記述により、１
７：００以降も同様にすべての操作が可能である。とこ
ろが、（２）の記述により、メモリ領域Ｃ以外のメモリ
領域を実行している任意のスレッドからは、メモリ領域
Ｂに存在するすべてのスレッドに対して９：００から１
７：００の間はいっさいのスレッド操作ができない。し
かし、１７：００以降は、（３）の記述によりすべての
スレッド操作が可能である。

【００６２】スレッド操作権限記憶部７を含めた全体構
成を図８に示す。新たにつけ加わったものは、対象メモ
リ領域ＩＤ検出部１９である。これは、システムコール
で指定された対象スレッドＩＤから、現在そのスレッド
が存在するメモリ領域ＩＤをスレッド管理テーブルを用
いて検出するものである。その検出フローチャートを図
９に示す。

【００６３】そして、実施例１における図３のステップ
２にて、現在時刻情報と対象メモリ領域ＩＤ情報を付加
して検索する。他は変わらない。 （実施例３）本実施例は、スレッド操作の許否の制御と
メモリ管理とを連携させて行うものである。

【００６４】図１０は、本実施例におけるメモリ管理の
仕組みを示したものである。図に示すような論理アドレ
ス空間は６４ビットの大きさを持っており、その中をい
くつかの領域（セグメント）に分割されている。

【００６５】ここでアドレス６４ビットを２つのフィー
ルドに分割し、上位３２ビットをセグメント番号を示す
ものとし、下位３２ビットをそのセグメント内のオフセ
ットを示すものとする。なお、１つのセグメントの大き
さは可変である。

【００６６】このセグメントは、それぞれがお互いに不
正なアクセスをされないようにメモリ管理機構のメモリ
保護機能により保護される。このメモリ保護機能はプロ
セッサがメモリアクセスを行う際に高速にそのアクセス
が正当かどうかチェックするものであり、これはＯＳに
よって管理されている。

【００６７】図１１は上記メモリ保護の機能を図示した
もので、メモリ管理装置ＭＭＵ３０によって実現してい
る。このＭＭＵには、現在実行しているスレッドの番号
ＣＵＲＴＨを保持するレジスタであるスレッドＩＤ記憶
部２５、プロセッサ２１内のプログラムカウンタ（Ｐ
Ｃ）２２の値から現在実行しているプログラムの存在す
るセグメント番号を抽出するセグメント抽出部２６、こ
れからアクセスしようとするアドレス（２３）のセグメ
ント番号を抽出するセグメント抽出部２７、及びメモリ
保護情報を高速に検索するためのキャッシュである連想
メモリＴＬＢ２８を備えている。連想メモリＴＬＢの各
エントリは、操作スレッドＩＤ、対象セグメントＩＤ、
操作セグメントＩＤ（以上を「タグ」と言う）、メモリ
アクセス権限（読み出しＲ、書き込みＷ、実行Ｘ）のフ
ィールドで構成される。

【００６８】ここで、６４ビットの論理アドレスＡＤＤ
Ｒの上位３２ビットをセグメント番号ＭＳＩＤとし、下
位３２ビットをセグメント内オフセットＯＦＳとして、
このメモリ保護機構の動作について以下に説明する。あ
る論理アドレスＡＤＤＲのメモリをプロセッサがアクセ
スしようとするとき、ＭＭＵのセグメント抽出部２７セ
グメント抽出部２６はＡＤＤＲをセグメント番号ＭＳＩ
Ｄとセグメント内オフセットＯＦＳに分離する。また現
在実行中のプログラムを示すプログラムカウンタＰＣの
値から現在実行中のプログラムの存在するセグメント値
ＰＣＭＳＩＤを抽出する。これらＭＳＩＤとＰＣＭＳＩ
Ｄ及び現在のスレッド番号を示すＣＵＲＴＨを連想メモ
リＴＬＢ２８に加える。ＴＬＢはこれら入力に適合する
タグを持つエントリを探す。ただし全ビットが１である
ようなフィールドがタグ中にある場合、それは任意の入
力に適合する項目とみなされる。例えば、操作セグメン
トＩＤのフィールドが全ビット１であれば、操作スレッ
ドかどのセグメントに存在する場合にも、そのタグは現
在の状況に適合するものとしてこれをもつエントリが選
択される。

【００６９】そして、もし適合するエントリがあれば、
ＴＬＢはそれに対するメモリアクセス権限のフィールド
の内容ＰＥＲＭを出力する。アクセス権限判定部２９で
は、ＰＥＲＭの値を、これからしようとしているアクセ
スの種別記憶部２４の内容を表す信号ＡＣＣＥＳＳと比
較し、このメモリアクセス要求が許可されているかどう
かを判定する。許可されない場合はプロセッサ２１のエ
ラー処理部３１に対してＦＡＵＬＴ信号を返す。また適
合するタグがＴＬＢ２８中に見つからない場合も同様に
プロセッサ２１に対してＦＡＵＬＴ信号を返す。もし許
可される場合は、ＭＭＵ３０はここに図示しないアドレ
ス変換機構によりプロセッサの出力する仮想アドレスを
物理アドレスへ変換し、システムアドレスバスへと出力
する。オペレーティングシステムはＴＬＢの内容を適切
に更新することによりユーザ及びオペレーティングシス
テムの要求するメモリアクセス保護を実現する。

【００７０】このようなメモリ管理機構を備えたシステ
ムにおいて、図１２（ａ）のように各実行スレッドに対
して固有のセグメントを割り付け、そのセグメント内に
スレッド情報のうちユーザ書き換え可能な部分を置くこ
とにより、スレッド操作の保護属性メモリ操作の保護に
帰着させ、新たなハードウェアの追加をすることなく、
メモリ保護のハードウェアを用いてスレッド操作のアク
セス管理を行うことができる。

【００７１】実施例１と同様に、プログラムセグメント
Ａ上のプログラムを実行しているスレッド１がスレッド
２の制御情報にアクセスしようとする例で説明する。実
施例１の場合と違って上記のメモリ管理機構を備えてい
るため、同一論理アドレス空間内であっても異なるメモ
リセグメント上のプログラムでは異なるメモリ保護条件
を設定することができる。そこで、オペレーティングシ
ステムを構成するプログラムをあるセグメント中に置
き、そのセグメント中のプログラムからは任意のメモリ
にアクセスできるようにメモリ保護条件を設定すること
により、メモリアクセスに関しては特権レベルへの遷移
と同等の効果を得ることができる。この場合、ＯＳに対
するシステムコールは特別な命令ではなく、通常のセグ
メント間サブルーチン呼出し命令により行うことができ
る。

【００７２】ここで、スレッド情報が図１３に示すよう
にスレッド１の情報がセグメント番号１０１に、スレッ
ド２の情報がセグメント番号１０２にというように１対
１に対応しているとする。オペレーティングシステムは
この対応関係を図１２（ａ）のようにスレッド管理テー
ブル中に記録している。

【００７３】図１２（ｂ）は実施例１で示した動作例と
同じように動作するようにＴＬＢ２８の内容を設定した
例を示している。たとえばこの例においてスレッド１が
セグメント９１中のプログラムを実行している時にスレ
ッド２の内部情報を調べるためセグメント１０２内にあ
るメモリ内容を読み出す場合、ＭＭＵ３０はプロセッサ
がアクセスしたい仮想アドレスからセグメント番号１０
２を抽出し、これとスレッド番号１とセグメント番号９
１をキーとしてＴＬＢ２８を検索し、適合するエントリ
があるのでそれに対するメモリ保護情報をアクセス権限
判定部２９へ出力する。この例では読み出し権限（Ｒ）
があるため、アクセスを許可する。

【００７４】またもう１つの例として、図１２（ｂ）の
状況でスレッド１がスレッド４の情報をアクセスしよう
とした場合はセグメント１０４内のメモリをアクセスす
るが、スレッド番号１とセグメント番号１０４をキーと
してＴＬＢを検索する。この場合は適合するエントリが
ないのでＴＬＢは不一致信号を出力し、ＭＭＵはアクセ
ス不許可を示すＦＡＵＬＴ信号をプロセッサへ伝える。

【００７５】すなわち、本実施例は、実施例１における
スレッド管理テーブルの内容を論理アドレス空間の所定
の位置に配置し、スレッド操作権限記憶部をＴＬＢに置
き換えで実施例１と同様に動作させるようにしたもので
ある。

【００７６】

【発明の効果】以上詳述したように、本発明によればあ
るスレッドによる操作からあるスレッドを保護すること
を適切に行うことができる。またメモリ保護機構を用い
ることにより新規ハードウェアの必要なく高速なスレッ
ド操作保護を行うことができる。

【図面の簡単な説明】

【図１】 本発明の実施例１に係るシステムの全体構成
を示す図。

【図２】 図１のスレッド操作権限記憶部７の内部構成
例を示す図。

【図３】 本実施例システムの動作を示すフロー図。

【図４】 実施例２におけるプログラム構成例を示す
図。

【図５】 実施例２におけるスレッド操作権限記憶部７
の内部構成例と関連システム構成を示す図。

【図６】 実施例２における別のプログラム構成例を示
す図。

【図７】 図６に対応するスレッド操作権限記憶部７の
内部構成例を示す図。

【図８】 実施例２で図７に対するシステムの全体構成
を示す図。

【図９】 図８の対象メモリ領域ＩＤ検出部１９の動作
を示すフロー図。

【図１０】 実施例３における論理アドレス空間の説明
図。

【図１１】 実施例３に係るシステムの全体構成を示す
図。

【図１２】 実施例３におけるスレッド情報とセグメン
トの関係の説明図及び図１１のＴＬＢ２８の設定例を示
す図。

【図１３】 実施例３におけるスレッドの制御情報の論
理アドレス空間への配置例を示す図。

【符号の説明】

１…プログラム記憶部、 ２，２１…プロセッサ、 ３
…スレッド管理部、４…実行状態切替部、 ５…メモリ
領域ＩＤ記憶部、 ６…スレッドＩＤ記憶部、 ７…ス
レッド操作権限記憶部、 ８…システムコール受付部、
９…引数検出部、 １０…システムコールの種類判定
部、 １１…システムコール実行部、１２…操作権限判
定部、 １３…対象スレッドＩＤ検出部、 １４…操作
の種類判定部、 １５…エラー処理部、 １６…スレッ
ド状態参照実行部、 １７…システムコール終了部、
１８…現在時刻記憶部、 １９…対象メモリ領域ＩＤ検
出部、 ２２…プログラムカウンタ、 ２３…アクセス
アドレス記憶部、２４…アクセス種別記憶部、 ２５…
スレッドＩＤ記憶部、 ２６，２７…セグメント抽出
部、 ２８…ＴＬＢ、 ２９…アクセス権限判定部、
３０…ＭＭＵ。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 吉田 英樹 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内 (72)発明者 高橋 俊成 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内

Claims (4)

【特許請求の範囲】
1. 【請求項１】 複数の並行に実行されるスレッドにより
   プログラムを実行する手段と、 あるスレッドをどのスレッドから操作できるかを示す権
   限情報を記憶する手段と、 あるスレッドが他のスレッドに操作を加えようとする際
   に前記権限情報によりこの操作を行う権限があるか否か
   を検証する手段と、 権限があると検証された場合に前記操作の実行を許可す
   る手段とを具備したことを特徴とするプログラム実行管
   理装置。
2. 【請求項２】 スレッドに対する操作の権限情報に加え
   て、時刻間隔を指定する情報を記憶しておき指定された
   時刻間隔の間に権限が適用されるような検証を行うこと
   を特徴とする請求項１記載のプログラム実行管理装置。
3. 【請求項３】 複数の並行に実行されるスレッドによ
   り、複数の領域に分割された論理アドレス空間に配置さ
   れた各プログラムを実行する手段と、 あるスレッドをどのスレッドがどの領域に存在するとき
   に操作できるかを示す権限情報を記憶する手段と、 あるスレッドがある領域から他のスレッドに操作を加え
   ようとする際に前記権限情報によりこの操作を行う権限
   があるか否かを検証する手段と、 権限があると検証された場合に前記操作の実行を許可す
   る手段とを具備したことを特徴とするプログラム実行管
   理装置。
4. 【請求項４】 複数の並行に実行されるスレッドによ
   り、複数の領域に分割された論理アドレス空間に配置さ
   れた各プログラムを実行する手段と、 ある領域をどのスレッドがアクセスできるかを示すメモ
   リアクセス許否情報を記憶する手段と、 あるスレッドが他の領域にアクセスしようとする際に前
   記許否情報によりこのアクセスが許可されるか否かを検
   証する手段と、 許可されると検証された場合にアクセスしようとする論
   理アドレスを物理アドレスに変換する手段とを備え、 各スレッドに対応して確保された論理アドレス空間中の
   領域に各スレッドの情報を記憶することにより、 あるスレッドが他のスレッドに操作を加えようとする際
   に前記許否情報により示される許否によりこの操作を行
   う権限があるかを検証するようにしたことを特徴とする
   プログラム実行管理装置。