JPH07281912A - スタック異常検出装置 - Google Patents

Abstract

(57)【要約】 【目的】 ＣＰＵに大きな負荷をかけることなく、スタ
ックポインタがオーバフローを生じた場合を確実に捉え
る。 【構成】 イニシャル時にスタック領域より一つ低いア
ドレスのキーワード領域に書き込まれたキーワードＫ
と、現在のキーワード領域の内容と異なるかどうかを判
別する（ステップ５０１）。異ならない場合はこのまま
元の処理に復帰する。異なる場合は、ＷＤＣ信号を低レ
ベルに固定する（ステップ５０３）。監視部３９がこの
状態を検出してＣＰＵを強制リセットする。従って、Ｃ
ＰＵは再度立ち上げ直されて正常な状態で処理を開始す
ることになる。このように、キーワード領域Ａ0より低
いアドレスにスタックポインタが進んでプログラムが暴
走したり、ＲＡＭが破壊されることを防止できる。しか
も瞬間的なスタック異常が生じていてもキーワードＫの
破壊として残存しているのでその検出が可能となった。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、スタック異常検出装置
に関し、特にコンピュータにおけるプログラムの実行に
伴うスタックオーバフローの検出装置に関する。

【０００２】

【従来の技術】マイクロコンピュータ等において、外来
ノイズによりＣＰＵの誤動作が発生した場合、スタック
ポインタの進みすぎ、いわゆるスタックオーバフローに
より、他領域のメモリ内容を破壊する可能性がある。一
般に、スタックオーバフローの異常を検出する方法とし
て、スタック領域の上限アドレスと実際のアドレス（ス
タックポインタの値）とを比較し、実際のアドレスがこ
の上限アドレスを超えた時、スタックオーバフローと判
断するものがある（例えば、特開平３−６６１８号）。

【０００３】

【発明が解決しようとする課題】しかしながら、上記技
術は、ソフトウェアで実現する場合、ＣＰＵが一つのシ
ステムでは、当然、常時連続モニタ不可能であるため、
瞬間的にスタックポインタのアドレスが上限値を超えた
時は異常検出できないという問題が有った。また、常時
連続モニタを可能にするにはハードウェアによる手段が
必要となるため、ソフトウェアで実現する場合と比べて
コストが増加するという問題が有った。

【０００４】この他に、スタックポインタが変化する状
況、即ち、ソフトウエア割込やハードウエア割込が生じ
た際に、スタックポインタの値が異常な値を示していな
いかを検出する技術が提案されている（特開平２−２９
３９３９号）。しかし、この技術も割込処理が発生する
たびに、スタックポインタチェック処理を実施するた
め、ＣＰＵに与える負荷が大きくなり、他の処理速度に
影響するため採用し難いものであった。

【０００５】この様な問題点に鑑み、本発明は、ＣＰＵ
に大きな負荷をかけることなく、かつスタックポインタ
がオーバフローを生じた場合を確実に捉えることを目的
としてなされたものである。

【０００６】

【課題を解決するための手段】請求項１記載の発明は、
プロセッサが使用するスタック領域のオーバフローを検
出するスタック異常検出装置であって、メモリ上のスタ
ック領域に隣接するあるいは近傍のアドレスに設けら
れ、所定キーワードが設定されたキーワード領域と、上
記キーワード領域の設定内容が上記所定キーワードと同
一か否かを監視し、同一でない場合はスタック異常と判
定する判定手段と、を備えたことを特徴とするスタック
異常検出装置である。

【０００７】請求項２記載の発明は、上記キーワード領
域が、スタック領域の最高点であるアドレスを越えたア
ドレスに設けられた請求項１記載のスタック異常検出装
置である。請求項３記載の発明は、上記所定キーワード
が、正常時にスタック領域に設定される可能性が低いま
たは無い値である請求項１または２記載のスタック異常
検出装置である。

【０００８】請求項４記載の発明は、上記所定キーワー
ドが、スタック領域の最高点であるアドレスの次のアド
レスに設けられている請求項２または３記載のスタック
異常検出装置である。請求項５記載の発明は、上記キー
ワード領域が、複数のアドレスにわたって設けられてい
る請求項１〜４のいずれか記載のスタック異常検出装置
である。

【０００９】

【作用及び発明の効果】請求項１記載の発明は、メモリ
上のスタック領域に隣接するあるいは近傍のアドレスに
キーワード領域が設けられている。このキーワード領域
には、所定キーワードが設定されている。そして判定手
段が、上記キーワード領域の設定内容が上記所定キーワ
ードと同一か否かを監視している。同一でない場合は判
定手段はスタック異常と判定する。

【００１０】このことにより、万一、何等かの原因でス
タックがオーバフロー等により、上記キーワード領域を
スタックポインタが指した場合、当然そのアドレスに何
等かのデータが書き込まれることになる。この後、例え
スタックポインタが正常なスタック領域を指す状態にな
ったとしても、キーワード領域が書き換えられていると
いう状態は残っている。したがって、後で、そのキーワ
ード領域にアクセスして内容を調べることにより、スタ
ックポインタの値の異常が有ったことが判明する。即ち
スタックポインタが変化するその瞬間、あるいはその直
後に調査しなくても、オーバフロー等の異常の履歴が残
存しているので、ＣＰＵに過大な負担をかけない範囲で
スタックポインタの過去の異常のチェックが可能とな
る。このように、常時スタックポインタを監視している
のと同等の効果を、ＣＰＵに過大な負荷をかけることな
く、実施することができる。

【００１１】上記所定キーワードは、スタックポインタ
の異常時に書き換えられるコードと偶然一致する可能性
はかなり低い。このため、通常用いられるコード以外で
有れば、即ち、例えばプログラムに用いられていない値
（コード）、正常時にスタック領域に設定される可能性
が低い値（コード）あるいは正常時にスタック領域に設
定されることが無い値（コード）で有れば、いかなるコ
ードを所定キーワードとして設定しても本発明の目的を
達成できる。特に、予め、プログラムのデータも含めた
全コードをチェックしておき、そのコード以外のコード
を所定キーワードとして設定してもよい。また、プログ
ラム自体を、プログラムの起動時にプログラム内のデー
タも含めた全コードをチェックして、存在しないコード
を検出する処理と、この処理により得られた存在しない
コードをキーワード領域に設定する処理とを設けたプロ
グラムとして、プログラム自身で、使用されるコード以
外のコードを所定キーワードとして、自動設定するよう
にしてもよい。

【００１２】キーワード領域が設定されるアドレスは、
上記スタック領域に隣接するあるいは近傍のアドレスで
あればよい。例えば、スタック領域の最高点であるアド
レスを越えたアドレスでもよい。この場合、スタック領
域の最高点であるアドレスの次のアドレスでもよく、そ
れよりも更に先のアドレスでもよい。スタックは、アド
レスの高い方から低い方に積まれて行くので、上記スタ
ック領域の最高点を越えたアドレスとは最高点より低い
アドレスである。「スタック領域の最高点であるアドレ
スの次のアドレス」とは、最高点より一つ低いアドレス
であり、「それよりも更に先のアドレス」とは、もっと
低いアドレスを指している。

【００１３】また逆にスタックの起点となるスタートア
ドレスよりも高いアドレスにキーワード領域を設けても
よい。例えば、スタートアドレス＋１のアドレスをキー
ワード領域としてもよく、それよりも更に高いアドレス
をキーワード領域としてもよい。これは逆にアドレスが
戻りすぎる異常の検出に有効である。

【００１４】また、このキーワード領域も、一つのアド
レス領域のみでなく、複数のアドレスにわたってもよ
く、また連続して存在せずに不連続にキーワード領域を
設定してもよい。このようにすることにより、スタック
ポインタの各種の異常の検出に有効であり、また書き換
えられている領域の広さからその異常の程度も判定でき
る。

【００１５】

【実施例】以下、この発明をエンジン制御装置に具体化
した実施例について図面に基づいて説明する。 ［実施例１］図１は、実施例のエンジン制御装置を示す
ブロック図である。同図に示すように、制御回路１内に
設けられたマイクロコンピュータ３は、ＣＰＵ（中央処
理装置）５，リードオンリメモリ（ＲＯＭ）７，ランダ
ムアクセスメモリ（ＲＡＭ）９，タイマー１１および入
出力ポート１５を備えている。また、これらの構成要素
はバス１３を介して接続されており、このバス１３を介
して入出力データの転送が行われるようになっている。
ＲＯＭ７内には、エンジン制御用プログラム、その他の
処理プログラムおよびそれらの演算処理に必要な種々の
データが予め格納されている。タイマー１１はフリーラ
ンニングカウンタ，アウトプットコンペアレジスタ等を
有する。なお、図１には示していないが、マイクロコン
ピュータ３は、周知の入出力制御回路，メモリ制御回路
等を備えている。

【００１６】また、制御回路１において、エアフローメ
ータ，負圧センサ，水温センサ等のセンサ群１７からの
電圧信号は、アナログマルチプレクサを含むＡ／Ｄ変換
器１９に送り込まれる。そして、その後前記電圧信号が
Ａ／Ｄ変換器１９にて所定の変換周期で順次２進の信号
に変換され、入出力ポート１５に送り込まれる。また、
スタータスイッチ，スロットルセンサ等ＳＷ群２１から
の信号は入力バッファ２３に入力された後、入出力ポー
ト１５に送り込まれる。基準位置センサ，クランク角セ
ンサ等タイミングセンサ群２５からの角度位置信号は、
波形整形回路２７で矩形状の基準位置信号及びクランク
角信号に波形整形された後、入出力ポート１５に送り込
まれる。

【００１７】このようにして取り込まれたデータに基づ
いて、プログラムによりＣＰＵ５にて、所定の演算処理
が実行される。この演算結果に基づいて生成された出力
データが、入出力ポート１５，出力回路３１を介してア
クチュエータ群２９に送り込まれる。このことにより所
望のエンジン制御が実現されている。

【００１８】ＣＰＵ５は図２に示すごとく、スタックポ
インタ３３を含むレジスタ群３５を有する。スタックポ
インタ３３は図３に示すごとく、ＲＡＭ９内に割り当て
られたスタック領域３７内のいずれかのアドレスを指定
する。ＣＰＵ５は必要に応じてスタックポインタ３３で
示されている位置のスタック領域３７からデータを出し
入れする。

【００１９】制御回路１は上述した構成以外に、図４に
示すＣＰＵ５の動作状態をモニタする監視部３９を有す
る。この監視部３９はＣＰＵ５が何らかの理由で動作停
止する、もしくは無限ループに入るとＷＤＣパルスを出
力できなくなるので、それを検出した監視部３９がＣＰ
Ｕ５を強制リセットする。このような監視部３９はウォ
ッチドッグタイマとして一般的に知られている。

【００２０】次に、ＣＰＵ５により実行される制御を、
図５のフローチャートに基づいて説明する。イグニッシ
ョンスイッチ（ＩＧＰ）オンによるリセット後に開始さ
れるメインループのイニシャル処理内で、スタックポイ
ンタ３３初期化により、スタックポインタ３３にはスタ
ートアドレス（図３のＡs0の位置）が設定される（ステ
ップ１０１）。その後、図３に示すごとく、本プログラ
ム内でスタックポインタ３３が進む最高点（スタック領
域中最低アドレス）Ａsnの次のアドレスＡ0、すなわち
スタックポインタ３３が到達し得ないアドレスにキーワ
ードＫを書き込む（ステップ１０３）。

【００２１】ここでキーワードＫは、プログラム内容を
調べてスタック領域３７に書かれない値を設定してお
く。具体的には割込処理、サブルーチン・コール時の戻
り先アドレス、及び回避データ、またプログラム実行時
にワークＲＡＭとしてスタック領域に格納したデータが
取り得ない値である。この様な値が存在しない場合は、
出現頻度が最低のデータ値を設定する。このようにプロ
グラム内容を調べる処理は、予めプログラム設計時に完
了してプログラム自体にそのデータを組み込んでおいて
もよい。またプログラムの内容を調べて、スタック領域
に書かれることがない値を設定する、あるいは頻度が最
低の値を設定する処理をプログラム自体に組み込んでお
き、キーワードＫの書き込み処理（ステップ１０３）の
前に実行して、適切なキーワードＫを決定できるように
してもよい。

【００２２】上述したイニシャル処理（ステップ１０
１，１０３等）の終了後、メイン処理１０５のループに
入る。メイン処理１０５は複数のサブルーチン（Ｓｂ
１，Ｓｂ２，…）を含んで構成される。また、メイン・
ループ処理中にタイマー１１等が割り込み処理（Ｉｎｔ
１，…）を起動する。またサブルーチン処理や割り込み
処理中には図５に示すごとくネスティングが存在する。

【００２３】図７を参照して、スタックポインタ３３の
動作例を説明する。イニシャル終了後、またはメイン処
理が次の周回に入った時、正常で有れば、当然、スタッ
クポインタ３３はスタック領域のスタート・アドレスＡ
s0を指す。そしてメイン処理１０５の中でサブルーチン
Ｓｂ１がコールされた時、コール元アドレスをスタート
・アドレスＡs0に格納してスタックポインタ３３は次の
アドレスＡs1を指す（ステップ２０１）。尚、本実施例
では１６ビットＣＰＵの処理なのでスタックポインタは
アドレスが２づつ変化される。

【００２４】その後、割り込みが発生して割り込み処理
Ｉｎｔ１により、割り込まれた元アドレスをアドレスＡ
s1に格納してスタックポインタ３３は次のアドレスＡs2
を指す（ステップ３０１）。更に、割り込み処理Ｉｎｔ
１内で各種レジスタの内容をＰＵＳＨ命令（退避させる
レジスタ等の内容をスタックに積む命令）を実行する
（ステップ３０３）ため、スタックポインタ３３はＡs2
からＡs3に移動する。その後、割り込み処理Ｉｎｔ１内
からサブルーチンＳｂ２がコールされて（ステップ３０
５）、スタックポインタ３３はＡs4を指す（ステップ４
０１）。その後、サブルーチンＳｂ２の終了時にスタッ
クポインタ３３はＡs4からＡs3に戻り（ステップ４０
３）、更に、割り込み処理Ｉｎｔ１で、ＰＵＬＬ命令
（退避されていたレジスタ等の内容を復帰させる命令）
が実行されて、スタックポインタ３３はＡs3からＡs2に
戻り（ステップ３０７）、更に割り込み処理Ｉｎｔ１終
了時にスタックポインタ３３はＡs2からＡs1に戻る（ス
テップ３０９）。更に、サブルーチンＳｂ１に戻った
後、その終了時にスタックポインタ３３はＡs1からＡs0
に戻り（ステップ２０３）、メイン処理に帰って来る。

【００２５】このような処理を繰り返している間に、ス
タックポインタ３３の値がいくつか余分に進んでしまう
異常が発生することがある。例えば、プログラム動作中
にノイズ等何らかの理由によりサブルーチン、割り込み
処理がコールされる前の状態に復帰しない様な誤動作が
発生したり、上述したＰＵＳＨ命令後ＰＵＬＬ命令が実
施されなかった様な場合である。このような事態が生じ
ると、その時点あるいはそれ以後のスタックポインタ３
３の変更処理でスタック領域３７の最高点であるアドレ
スＡsnを越える場合がある。このような場合には、アド
レスＡsnの一つ下のキーワード領域Ａ0をスタックポイ
ンタ３３が指すことになり、この状態で割込処理、サブ
ルーチンコールあるいはデータの退避処理が実行される
と、キーワード領域Ａ0に帰り先のアドレスや退避デー
タが書き込まれてしまい、キーワードＫは破壊されてし
まう。

【００２６】この状態は図６に示すスタック異常検出処
理にて、破壊されたか否かが判定されて、破壊されてい
る場合は必要な処理が実行される。スタック異常検出処
理はメイン処理の１つであり８ｍｓ毎にコールされるサ
ブルーチンとし、イニシャル時にステップ１０３の処理
で書き込まれたキーワードＫと現在のキーワード領域Ａ
0の内容と異なるかどうかを判別する（ステップ５０
１）。異ならない場合はこのまま元の処理に復帰する。
異なる場合はＷＤＣ信号のＬｏセットを無限に繰り返す
処理（ステップ５０３）に移る。即ち、図４に示したＷ
ＤＣ信号が低レベルに固定されてしまうことになる。こ
のようにＣＰＵ５は正常にＷＤＣパルスを出力できない
ため、監視部３９がこの状態を検出してＣＰＵ５を強制
リセットする。従って、ＣＰＵ５は再度立ち上げ直され
て正常な状態で処理を開始することになる。

【００２７】このように図６の処理により、キーワード
領域Ａ0より低いアドレスにスタックポインタ３３が進
んで、サブルーチンがコール元に戻らずに暴走したり、
ＲＡＭ領域が破壊されることを防止できる。しかもハー
ドウェア手段を必要とせず瞬間的なスタック異常が生じ
ていても、キーワード領域Ａ0にキーワードＫの破壊と
して残存しているのでその検出が可能となった。 ［他の実施例］実施例２として、キーワード領域設定の
他の例を示す。図３にＡxで示すように、キーワード領
域のアドレス（１６ビット分）も一つでなく、２つでも
それ以上でも良い。このようにキーワード領域を複数の
アドレスに設定し、その全領域をステップ５０１でチェ
ックして、そのアドレスの一つでも破壊されているキー
ワードが発見されれば、ステップ５０３を実行すれば良
い。こうすれば、万一、領域Ａ0を飛び越すようなスタ
ックポインタ３３の異常が生じても発見することがで
き、異常発見の確率が増大する。例えば、いかなる値を
もスタック領域の値が取り得る場合等に発見精度を上げ
ることができる。

【００２８】実施例３として、スタックポインタ３３が
進む最高点（スタック領域中の最低アドレス）の次のア
ドレスにキーワードＫを置いているが、図３にＡyで示
すように、スタックポインタ３３のスタートアドレス＋
１のアドレスにもキーワードＫを置いても良い。更にこ
のようにスタック領域３７よりも高い方のアドレスにキ
ーワード領域を配置する場合も、複数アドレスにわたっ
てキーワード領域を配置しても良く、それらをステップ
５０１でチェックして、そのアドレスの一つでも破壊さ
れているキーワードＫが発見されれば、ステップ５０３
を実行すれば良い。こうすれば、逆にアドレスが戻りす
ぎる異常の検出に有効である。

【００２９】実施例４として、実施例１，２，３を組み
合わせたキーワード領域の配置としても良い。このよう
にすれば、より一層異常発見の制度が向上する。尚、各
実施例において、図６のチェックプログラムを８ｍｓ毎
の割込みとしているがこれに限定されない。チェックプ
ログラムはメインルーチンに直接配置してもよく、更
に、ＣＰＵ５の負担が過大にならない限りサブルーチン
や割込ルーチンに配置しても良い。また、ＣＰＵ５が割
り込んでもエンジン制御に影響のないタイミングを選択
し、割り込みにて図６の処理を実行してもよい。

【００３０】また、キーワードＫとしては、異常時にキ
ーワードＫと同じ値（コード）がキーワード領域に書き
込まれるのを防止するため、正常時にスタック領域３７
に設定される可能性が低い値あるいは正常時にスタック
領域３７に設定されることが無い値が設定される。この
ようなキーワードＫを決定する場合、１６ビット（２バ
イト）のキーワードＫそのものの設定が行われない可能
性をチェックしても良いが、８ビット（１バイト）とし
てスタック領域３７に設定される可能性の低いあるいは
無いコードを決定し、それを２つ並べて、１６ビットの
キーワードＫとしても良い。また、その８ビットを反転
して、反転前の８ビットと反転後の８ビットとを並べ
て、１６ビットのキーワードＫとしても良い。また、８
ビット自体がスタック領域３７に設定される可能性が低
いまたは無いならば、これに他のいかなる８ビットを組
み合わせて構成した１６ビットでもよい。またその８ビ
ットは、スタック領域３７に設定される可能性が低いま
たは無いのであるから、その８ビットに対して、その８
ビットに所定の演算をして求めた８ビット、あるいは予
め決定しておいた他の適当な８ビットコードを組み合わ
せて１６ビットのキーワードＫとしても良い。

【００３１】上記各実施例において、ステップ５０１の
処理が判定手段としての処理に該当する。ＣＰＵ５とし
て、１６ビットタイプを用いたが、８ビットタイプ、３
２ビットタイプ等のいずれを用いてもよい。

【図面の簡単な説明】

【図１】 実施例のエンジン制御装置を示すブロック図
である。

【図２】 レジスタ群の構成説明図である。

【図３】 ＲＡＭ内のスタック領域周辺の説明図であ
る。

【図４】 ＣＰＵとＣＰＵの動作状態をモニタする監視
部との関係を示すブロック図である。

【図５】 ＣＰＵが実施する処理の一例を示すフローチ
ャートである。

【図６】 スタック異常検出処理のフローチャートであ
る。

【図７】 スタックポインタの動作例の説明図である。

【符号の説明】

Ａ0…キーワード領域 １…制御回路 ３…マイクロコンピュータ ５…ＣＰＵ ３３…スタックポインタ ３５…レジスタ群 ３７…スタック領域 ３９…監視部

Claims (5)

【特許請求の範囲】
1. 【請求項１】 プロセッサが使用するスタック領域のオ
   ーバフローを検出するスタック異常検出装置であって、 メモリ上のスタック領域に隣接するあるいは近傍のアド
   レスに設けられ、所定キーワードが設定されたキーワー
   ド領域と、 上記キーワード領域の設定内容が上記所定キーワードと
   同一か否かを監視し、同一でない場合はスタック異常と
   判定する判定手段と、 を備えたことを特徴とするスタック異常検出装置。
2. 【請求項２】 上記キーワード領域が、スタック領域の
   最高点であるアドレスを越えたアドレスに設けられた請
   求項１記載のスタック異常検出装置。
3. 【請求項３】 上記所定キーワードが、正常時にスタッ
   ク領域に設定される可能性が低いまたは無い値である請
   求項１または２記載のスタック異常検出装置。
4. 【請求項４】 上記所定キーワードが、スタック領域の
   最高点であるアドレスの次のアドレスに設けられている
   請求項２または３記載のスタック異常検出装置。
5. 【請求項５】 上記キーワード領域が、複数のアドレス
   にわたって設けられている請求項１〜４のいずれか記載
   のスタック異常検出装置。