JPH0922369A

JPH0922369A - マルチタスキング方式のカーネルにおける不正動作検出方法

Info

Publication number: JPH0922369A
Application number: JP7172020A
Authority: JP
Inventors: Hideji Masuda; 秀二増田
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 1995-07-07
Filing date: 1995-07-07
Publication date: 1997-01-21

Abstract

(57)【要約】【目的】ソフト的にメモリへの不正な書替え動作を検
出し、該不正書替え動作をしたタスク、処理を突き止め
る。【構成】利用者タスクを起動するタスクディスパッチ
処理及び利用者割込み処理への制御転送処理を実行する
マルチタスキング方式のカーネルにおける不正動作検出
方法において、保存手段１ｃは予め監視対象メモリ空間
１ａの内容を保存メモリ空間１ｂに保存し、比較手段１
ｄは、利用者タスクの起動、利用者タスクの処理終了、
利用者割込み処理の起動、利用者割込み処理終了のそれ
ぞれにおいて、監視対象メモリ空間１ａのメモリ内容と
メモリ１ｂに保存してあるメモリ内容とが一致している
か調べ、不正動作検出手段１ｅはメモリ内容の変化に基
づいて利用者タスク又は利用者割込み処理によるメモリ
書替え不正動作を識別する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は不正動作検出方法に係わ
り、特に利用者タスクを起動するタスクディスパッチ処
理及び利用者割込み処理への制御転送処理を実行するマ
ルチタスキング方式のカーネルにおける不正動作検出方
法に関する。近年の通信制御装置では組み込み型のＯ／
Ｓ（オペレーティングシステム）を使用してソフトウェ
アで処理を行うのが常識となっている。このような通信
装置では汎用ＣＰＵを使用し、Ｏ／Ｓはリアルタイム性
や高速応答性が要求されることから、イベントドリブン
型のマルチタスキング処理が可能なカーネルが主流であ
る。組み込み型のＯ／Ｓにおいてもソフトウェアデバッ
グのためにデバッガが用意されているのが普通であり、
デバッガの機能が充実していればソフト開発の効率化が
可能となり、十分な試験を実施できることから装置の信
頼性も向上する。本発明は、マルチタスク方式で最も厄
介なバグの一つである、処理に無関係なタスクによるメ
モリの不正な書き替え等の検出方式に関するものであ
り、ディスパッチ処理において不正な動作の検出を行う
ため、特別なハードウェア機構を必要としない点が特徴
である。

【０００２】

【従来の技術】マルチタスキング処理においては、複数
のタスクが同時に動いて処理を実行する。かかるマルチ
タスキングによるデバッグ中に、Ｏ／Ｓにより共通に管
理されている資源、例えばメモリの内容が不正に書き替
えられることがある。かかる場合には、メモリを書き替
えたタスクを発見する必要があるが、多数のタスクが並
行して動作しているためソフト的にその発見をするのが
難しかった。すなわち、不正にメモリの書き替えが行わ
れた場合、書き替えられたアドレスに対するアクセスを
ソフトのみで検出する手段はなかった。このため、従来
は、ＣＰＵのバス状態を監視するハードウェアを設け、
該ハードウェアにより特定アドレスのアクセスを検出
し、ＮＭＩ割り込み等でソフトに通知する機構を設けて
特定アドレスに対してアクセスが行われたことを検出し
ている。

【０００３】Ｏ／Ｓが管理するオブジェクト（セマフ
ォ、メールボックス、イベントフラグ等）に対する不正
操作についても同様であり、ソフト的にオブジェクトに
不正操作したタスクを発見するのが難しかった。このた
め、オブジェクトを管理しているメモリに対して前述の
ハードウェアにより不正な書き込みを行っている利用者
タスクや利用者割込み処理を突き止める方法でデバッグ
を行っている。尚、システムコール・トレース機能を有
するＯ／Ｓの場合には、トレース情報の解析により不正
な操作を行っている処理を見つけることが行われてい
る。

【０００４】

【発明が解決しようとする課題】しかし、上記従来の方
法では以下の問題点がある。すなわち、ハードウェアによるメモリアクセス検出法は、メモリ
不正書替え動作を行ったタスクや処理を発見するための
周辺回路が複雑で高価になる問題がある。又、ハードウェアによるメモリアクセス検出法は、メ
モリプールの空き領域のようにダイナミックに変化する
領域の不正書き込みに対処できない問題がある。これ
は、メモリプールの場合空き領域のアドレスが変化し、
予め監視すべき領域（アドレス）を特定できないからで
ある。更に、ハードウェアによるメモリアクセス検出法で
は、オブジェクトに対する正当なアクセスも検出してし
まう問題がある。すなわち、所定のオブジェクトに対す
る操作が許されている利用者タスクや利用者割込み処理
からの正当なアクセスをも検出する。このため、アクセ
ス資格との連携による不正アクセスのみの検出が要望さ
れている。不正なオブジェクト操作をトレース情報で検出する方
法は、バグの発生状況によっては必要なトレース情報が
失われて（トレース領域サイズ不足により）、原因が究
明できない問題がある。又、トレース情報が多いと不正な操作を行っている部
分を見つけるのに手間がかかる問題がある。

【０００５】以上から本発明の第１の目的は、メモリへ
の不正な書替え動作をソフト的に検出できる不正動作検
出方法を提供することである。本発明の第２の目的は、
メモリプールの空き領域のようにダイナミックに変化す
るメモリ領域の不正書替え動作を検出できる不正動作検
出方法を提供することである。本発明の第３の目的は、
入出力装置に対する不正のアクセス動作を検出できる不
正動作検出方法を提供することである。本発明の第４の
目的は、アクセス資格との連携によりオブジェクトに対
する不正な操作を検出できる不正動作検出方法を提供す
ることである。

【０００６】

【課題を解決するための手段】前記第１の目的は本発明
によれば、図１に示すように、予め設定されている監視
対象メモリ空間１ａの内容を別のメモリ空間１ｂに保存
する手段１ｃと、利用者タスクの起動、利用者タスクの
処理終了、利用者割込み処理の起動、利用者割込み処理
終了のそれぞれにおいて、監視対象メモリ空間１ａのメ
モリ内容とメモリ空間１ｂに保存してあるメモリ内容と
が一致しているか調べる手段１ｄと、メモリ内容の変化
に基づいて所定の利用者タスク又は利用者割込み処理に
よるメモリ書替え不正動作を識別する手段１ｅとにより
達成される。・・・請求項１

【０００７】前記第２の目的は、本発明によれば、監視
対象メモリにおける各空き領域の内容を保存する手段
と、利用者タスクの起動、利用者タスクの処理終了、利
用者割込み処理の起動、利用者割込み処理終了のそれぞ
れにおいて、各空き領域の内容と保存してある各空き領
域の内容とが一致しているか調べる手段と、少なくとも
１つの空き領域における内容変化に基づいて所定の利用
者タスク又は利用者割込み処理によるメモリ書替え不正
動作を識別する手段とにより達成される。・・・請求項
１１

【０００８】前記第３の目的は、本発明によれば、図２
に示すように、予め、監視対象である入出力装置のアド
レスＡＩＯと、該入出力装置にアクセス可能な利用者タ
スクあるいは利用者割込み処理を特定するアクセス資格
ＡＱＲとをそれぞれ設定する手段２ａと、利用者タスク
あるいは利用者割込み処理からカーネルの有する入出力
処理機能がコールされた時、該コール要求に含まれる入
出力アドレスと前記設定されているアドレスとを比較す
る第１の比較手段２ｂと、一致している場合には、該コ
ール要求を発行した利用者タスクあるいは利用者割込み
処理の識別子と前記アクセス資格ＡＱＲとを比較する第
２の比較手段２ｃと、識別子とアクセス資格の不一致に
基づいて、入出力装置に対する利用者タスクあるいは利
用者割込み処理の不正アクセスを識別する手段２ｄとに
より達成される。・・・請求項４

【０００９】前記第４の目的は、本発明によれば、図３
に示すように、予め、監視対象オブジェクトの識別子Ｉ
ＤＯと該オブジェクトの操作が可能な利用者タスクある
いは利用者割込み処理を特定するアクセス資格ＡＱＲと
をそれぞれ設定する手段３ａと、利用者タスクあるいは
利用者割込み処理からカーネルにオブジェクト操作が要
求された時、該操作要求に含まれるオブジェクト識別子
と前記設定されているオブジェ識別子ＩＤＯとを比較す
る第１の比較手段３ｂと、一致している場合には、該オ
ブジェクト操作要求を発行した利用者タスクあるいは利
用者割込み処理の識別子と前記アクセス資格ＡＱＲとを
比較する第２の比較手段３ｃと、利用者タスクあるいは
利用者割込み処理の識別子とアクセス資格との不一致に
基づいて、設定されているオブジェクトに対する利用者
タスクあるいは利用者割込み処理の不正操作を識別する
手段３ｄとにより達成される。・・・請求項６

【００１０】又、前記第４の目的は、本発明によれば、
予め、監視対象オブジェクトの識別子及び該オブジェク
トに対する操作内容をそれぞれ設定する手段と、利用者
タスクあるいは利用者割込み処理からカーネルにオブジ
ェクト操作が要求された時、該操作要求に含まれるオブ
ジェクト識別子、操作内容が前記設定されているオブジ
ェ識別子、操作内容とそれぞれ一致しているか比較する
手段と、両者の一致に基づいて、設定されているオブジ
ェクトに対する利用者タスクあるいは利用者割込み処理
の不正操作を識別する手段とにより達成される。・・・
請求項８

【００１１】更に、前記第４の目的は、本発明によれ
ば、予め、監視対象オブジェクトの識別子及びタスクの
異常終了とみなす異常終了コードあるいは異常終了とみ
なさない異常終了コードをそれぞれ設定する手段と、利
用者タスクあるいは利用者割込み処理からのシステムコ
ールにより要求されたオブジェクト操作に対する異常終
了時、該システムコールに含まれるオブジェクト識別子
が前記設定されているオブジェクト識別子と一致する
か、及び、異常終了コードが前記設定されている異常終
了コードと一致しているか比較する手段と、オブジェク
ト識別子及び異常終了コードの両方の一致に基づいて、
あるいはオブジェクト識別子の一致、異常コードの不一
致に基づいて利用者タスクあるいは利用者割込み処理の
異常を検出する手段とにより達成される。・・・請求項
１０

【００１２】

【作用】利用者タスクを起動するタスクディスパッチ処
理及び利用者割込み処理への制御転送処理を実行するマ
ルチタスキング方式のカーネルにおける不正動作検出方
法において、保存手段１ｃ（図１）は予め監視対象メモ
リ空間１ａの内容を保存メモリ空間１ｂに保存し、比較
手段１ｄは、利用者タスクの起動、利用者タスクの処理
終了、利用者割込み処理の起動、利用者割込み処理終了
のそれぞれにおいて、監視対象メモリ空間１ａのメモリ
内容とメモリ１ｂに保存してあるメモリ内容とが一致し
ているか調べ、不正動作検出手段１ｅはメモリ内容の変
化に基づいて所定の利用者タスク又は利用者割込み処理
によるメモリ書替え不正動作を識別する。この場合、保
存手段１ｃは、監視対象メモリ空間１ａ全体の内容を加
算し，演算結果を保存メモリ空間１ｂに保存し、比較手
段１ｄは、利用者タスクの起動、利用者タスクの処理終
了、利用者割込み処理の起動、利用者割込み処理終了の
それぞれにおいて、監視対象メモリ空間１ａの全体の内
容を加算し、加算結果と保存してある加算結果とを比較
することにより監視対象メモリ空間１ａのメモリ内容の
変化を検出する。以上のようにすれば、保存メモリ空間
のメモリ容量を少なくできる。・・・請求項１、２

【００１３】監視メモリ空間が、メモリプールのように
空き領域が変化する場合には、各空き領域の内容を保存
し、利用者タスクの起動、利用者タスクの処理終了、利
用者割込み処理の起動、利用者割込み処理終了のそれぞ
れにおいて、各空き領域の内容と保存してある各空き領
域の内容とが一致しているか調べ、少なくとも１つの空
き領域における内容変化に基づいて所定の利用者タスク
又は利用者割込み処理によるメモリ書替え不正動作を識
別する。この場合、空き領域毎に空き領域の内容を加算
し、加算結果を保存し、利用者タスクの起動、利用者タ
スクの処理終了、利用者割込み処理の起動、利用者割込
み処理終了のそれぞれにおいて、各空き領域毎に、該空
き領域の内容を加算し、加算結果と保存してある対応す
る空き領域の加算結果とを比較することによりメモリ内
容の変化を検出する。・・・請求項１１、１２

【００１４】利用者タスクを起動するタスクディスパッ
チ処理及び利用者割込み処理への制御転送処理を実行す
るマルチタスキング方式のカーネルにおける不正動作検
出方法において、設定手段２ａ（図２）は、予め、監視
対象である入出力装置のアドレスＡＩＯと、該入出力装
置にアクセス可能な利用者タスクあるいは利用者割込み
処理を特定するアクセス資格ＡＱＲとをそれぞれ設定
し、第１比較手段２ｂは、利用者タスクあるいは利用者
割込み処理からカーネルの有する入出力処理機能がコー
ルされた時、該コール要求に含まれる入出力アドレスと
前記設定されているアドレスを比較し、第２比較手段２
ｃは、アドレスが一致している場合には、該コール要求
を発行した利用者タスクあるいは利用者割込み処理の識
別子と前記アクセス資格ＡＱＲを比較し、不正動作検出
部２ｄは、識別子とアクセス資格の不一致に基づいて、
入出力装置に対する利用者タスクあるいは利用者割込み
処理の不正アクセスを識別する。・・・請求項４

【００１５】利用者タスクを起動するタスクディスパッ
チ処理及び利用者割込み処理への制御転送処理を実行す
るマルチタスキング方式のカーネルにおける不正動作検
出方法において、設定手段３ａ（図３）は、予め、監視
対象オブジェクトの識別子ＩＤＯと該オブジェクトの操
作が可能な利用者タスクあるいは利用者割込み処理を特
定するアクセス資格ＡＱＲとをそれぞれ設定し、第１比
較手段３ｂは、利用者タスクあるいは利用者割込み処理
からカーネルにオブジェクト操作が要求された時、該操
作要求に含まれるオブジェクト識別子と前記設定されて
いるオブジェ識別子ＩＤＯを比較し、識別子が一致して
いる場合には、第２比較手段３ｃは、該オブジェクト操
作要求を発行した利用者タスクあるいは利用者割込み処
理の識別子と前記アクセス資格ＡＱＲを比較し、不正動
作検出手段３ｄは、利用者タスクあるいは利用者割込み
処理の識別子とアクセス資格との不一致に基づいて、設
定されているオブジェクトに対する利用者タスクあるい
は利用者割込み処理の不正操作を識別する。・・・請求
項６

【００１６】利用者タスクを起動するタスクディスパッ
チ処理及び利用者割込み処理への制御転送処理を実行す
るマルチタスキング方式のカーネルにおける不正動作検
出方法において、予め、監視対象オブジェクトの識別子
及び該オブジェクトに対する操作内容をそれぞれ設定
し、利用者タスクあるいは利用者割込み処理からカーネ
ルにオブジェクト操作が要求された時、該操作要求に含
まれるオブジェクト識別子、操作内容が前記設定されて
いるオブジェ識別子、操作内容とそれぞれ一致している
か比較し、両者の一致に基づいて、設定されているオブ
ジェクトに対する利用者タスクあるいは利用者割込み処
理の不正操作を識別する。このようにしても、オブジェ
クトに対する不正操作を識別できる。・・・請求項８

【００１７】又、予め、監視対象オブジェクトの識別子
及びタスクの異常終了とみなす異常終了コード（あるい
は異常終了とみなさない異常終了コード）をそれぞれ設
定し、利用者タスクあるいは利用者割込み処理からのシ
ステムコールにより要求されたオブジェクト操作に対す
る異常終了時、該システムコールに含まれるオブジェク
ト識別子が前記設定されているオブジェクト識別子と一
致するか、及び、異常終了コードが前記設定されている
異常終了コードと一致しているか比較し、オブジェクト
識別子及び異常終了コードの両方の一致に基づいて（あ
るいはオブジェクト識別子の一致、異常コードの不一致
に基づいて）利用者タスクあるいは利用者割込み処理の
異常を検出する。・・・請求項１０

【００１８】

【実施例】

（Ａ）メモリ不正書替え動作検出 (a) メモリ不正書き替え動作検出タイミングの説明図４は本発明のメモリの不正書き替え動作検出タイミン
グの説明図である。１１はカーネルであり、タスクディ
スパッチ処理部１１ａ、利用者割り込み処理への制御転
送処理部１１ｂから構成される。１２，１３は利用者タ
スク、１５は利用者割込み処理、１６は監視対象メモリ
である。イベントドリブン型のタスクスケジューリング
では、システムコール発行や外部割り込みにより、利用
者タスク１２，１３の切替えや利用者割り込み処理１５
の実行が行われる。図４の例では次の順序で利用者タス
クや利用者割込み処理が実行される。

【００１９】処理(a)において、利用者タスク１２から
システムコールＡが発行されて利用者タスク１３の起動
が要求されると、タスクディスパッチ処理部１１ａはタ
スクスケジューリングアルゴリズムに従って利用者タス
ク１３を起動する。利用者タスク１３の処理(b)が終了
すると、利用者タスク１３はシステムコールＢを発行し
てタスク終了をタスディスパッチ処理部１１ａに通知す
る。これにより、タスクディスパッチ処理部１１ａは利
用者タスク１２を起動し、利用者タスク１２はシステム
コールＡの直後から処理(c)を実行する。利用者タスク
１２の処理(c)の実行中に割り込みが発生すると、制御
処理転送部１１ｂは利用者割り込み処理１５を起動す
る。利用者割り込み処理１５の処理(d)が終了すると、
利用者割り込み処理１５は割込み処理終了を制御転送処
理部１１ｂに通知する。これにより、制御転送処理部１
１ｂは割り込み元である利用者タスク１２を起動し、利
用者タスク１２は割込み発生直後から処理(e)を実行す
る。

【００２０】以上から明らかなように、処理切替え毎に
カーネル１１のタスクディスパッチ処理あるいは制御転
送処理が介在することになる。そこで、カーネル１１の
処理の切替えタイミングをメモリ不正書き込みの検出タ
イミングとし、該検出タイミング〜で監視対象メモ
リ１６の内容変化を調べる。処理(a)〜(d)のどこかでメ
モリの書き替えが行われれば、監視対象メモリの内容が
変化し、書き替えたタスクや処理を検出できる。図４の
例では、検出タイミングの時点のメモリ内容と検出タ
イミングの時点のメモリ内容が不一致となり、利用者
タスク１３の処理(b)の中で書き替えが行われたことが
分かる。

【００２１】(b) メモリの不正書替え動作検出の第１実
施例図５は、利用者タスクによるメモリの不正書替え動作検
出の第１実施例説明図である。図中、１１ａはカーネル
におけるディスパッチ処理部、１２〜１４は利用者タス
ク、１６は監視対象メモリ、１７はメモリ監視範囲の内
容を複写される作業領域、１８はメモリ監視範囲を記憶
する監視範囲記憶部、１９はデバッガ、２０はコンソー
ル装置である。

【００２２】カーネルにより利用者タスク１２が起動す
ると、(1) 利用者タスク１２はデバッガ強制起動割込み
を発生し、デバッガ１９を起動する。デバッガ１９は強
制起動割り込みにより起動されると、コンソール装置２
０を利用したコマンド入力が可能となる。(2) かかる状
態において、コンソール装置２０よりコマンド受け付け
部１９ａを介してメモリ監視範囲が入力されると、デバ
ッガ１９はメモリ監視設定コマンド１９ｂを実行して入
力されたメモリ監視範囲を記憶部１８に設定し、(3) 同
時に、指定範囲のメモリ内容を監視対象メモリ１６から
作業領域１７に複写する。そして、デバッガ終了コマン
ドにより、利用者タスク１２に復帰する。(4) 利用者タ
スク１２よりタスク切替のシステムコールが発生する
と、(5) ディスパッチ処理部１１ａは、監視対象メモリ
１６と作業領域１７の内容を比較する。(6) 比較の結
果、メモリ内容が一致していれば、ディスパッチ処理部
１１ａは利用者タスク１３を起動してタスクを切り替え
る。これにより、利用者タスク１３の処理が開始する。

【００２３】(7) 利用者タスク１３よりタスク切替のシ
ステムコールが発生すると、(8) タスクディスパッチ処
理部１１ａは前記と同様に監視対象メモリ１６と作業領
域１７の内容を比較する。(9) メモリ内容が一致してい
れば、利用者タスク１４にタスクが切り替わる。(10)
しかし、不一致であれば、タスクディスパッチ処理部１
１ａは、利用者タスク１４への切替を行わず、デバッガ
１９を起動する。デバッガ１９が起動されることによ
り、利用者はコンソール装置２０を利用して不正なメモ
リ書き込みを行った利用者タスクと書き込みを行ったプ
ログラムの範囲を突き止めることができる。すなわち、
カーネルは、不正動作が検出された時点（メモリ内容不
一致検出の時点）で、該不正動作を行ったタスク識別子
と検出部位（プログラム範囲）をログ収集して保持し、
デバッガ１９はコンソール装置２０からの不正タスク表
示要求により不正タスク表示コマンド１９ｃを実行し、
カーネルからログ収集結果を受信してコンソール装置２
０のディスプレイ画面に表示する。以上では、利用者タ
スクによる不正書替え動作検出を説明したが、利用者割
込み処理による不正書替え動作検出も同様に行われる。

【００２４】(c) メモリの不正書替え動作検出の第２実
施例図６は、利用者タスクによるメモリの不正書替え動作検
出の第２実施例説明図である。図中、１１ａはカーネル
におけるディスパッチ処理部、１２〜１４は利用者タス
ク、１６は監視対象メモリ、１７′はメモリ監視範囲の
全内容を加算した加算結果を記憶する加算結果格納領
域、１８はメモリ監視範囲を記憶する監視範囲記憶部、
１９はデバッガ、２０はコンソール装置である。第１実
施例の場合、メモリ内容の比較において監視範囲が広い
と作業領域１７の確保が難しくなる。そこで、メモリ内
容の変化を検出するための別の手段として、監視範囲内
のメモリ内容の加算を行い、加算結果の比較によるメモ
リ内容変化検出法を用いる。第２実施例では、書き替え
られた内容によっては変化を検出できない場合がある
が、非常に稀にしか発生せず、メモリ不正書き込みの検
出の目的には十分実用になる。

【００２５】カーネル１１により利用者タスク１２が起
動すると、(1) 利用者タスク１２はデバッガ強制起動割
込みを発生し、デバッガ１９を起動する。デバッガ１９
は強制起動割り込みにより起動されると、コンソール装
置２０を利用したコマンド入力が可能となる。(2) かか
る状態において、コンソール装置２０よりコマンド受け
付け部１９ａを介してメモリ監視範囲が入力されると、
デバッガ１９はメモリ監視設定コマンド１９ｂを実行し
てメモリ監視範囲を記憶部１８に設定し、(3)同時に、
指定範囲のメモリ内容を加算し、加算結果を加算結果記
憶領域１７′に格納する。しかる後、デバッガ終了コマ
ンドにより、利用者タスク１２に復帰し、該利用者タス
クが実行される。(4) 利用者タスク１２よりタスク切替
のシステムコールが発生すると、(5) ディスパッチ処理
部１１ａは、監視対象メモリ１６におけるメモリ監視範
囲の内容を加算し、(6) 該加算結果と加算結果格納領域
１７′に格納されている加算結果を比較する。(7) 比較
の結果、加算結果が一致していれば、ディスパッチ処理
部１１ａは利用者タスク１３を起動してタスクを切り替
える。(8) 次に利用者タスク１３よりシステムコールの
発行によりタスク切替え要求が発生すると、(9) タスク
ディスパッチ処理部１１ａは同様に監視対象メモリ１６
におけるメモリ監視範囲の内容を加算し、(10) 該加算
結果と加算結果格納領域１７′に格納されている加算結
果を比較する。(11) 比較の結果、加算結果が一致して
いれば、利用者タスク１４に切り替わる。(12) しか
し、不一致であれば、タスクディスパッチ処理部１１ａ
は、利用者タスク１４への切替を行わず、デバッガ１９
を起動する。デバッガ１９が起動されることにより、利
用者は第１実施例の場合と同様にコンソール装置２０を
利用して不正なメモリ書替えを行った利用者タスクと書
替えを行ったプログラムの範囲を突き止めることができ
る。以上では、加算を施した場合について説明したが、
減算、排他的論理和演算その他の演算を施すことができ
る。

【００２６】（Ｂ）入出力装置に対す不正アクセス検出図７は入出力装置に対する不正アクセス検出の実施例で
ある。図中、１１はカーネルであり、ディスパッチ処理
部１１ａ、入出力処理部１１ｃを有している。１２〜１
４は利用者タスク、１９はデバッガ、２０はコンソール
装置、２１は記憶部であり、コンソール装置よりデバッ
ガを介して設定された監視対象の入出力装置のアドレス
ＡＩＯと、該入出力装置にアクセス可能な利用者タスク
あるいは利用者割込み処理を特定するアクセス資格ＡＱ
Ｒとを記憶する。カーネルの入出力処理機能が利用者タ
スクからＣＡＬＬされると、同時に入出力装置のアドレ
スが通知されるので、このアドレスと設定されている監
視対象の入力装置のアドレスＡＩＯの比較する。一致す
れば、アクセス資格ＡＱＲとカーネル１１が認識してい
る現在動作中の利用者タスク、利用者割込み処理等の識
別子を比較する。一致しなければ、アクセス資格のない
タスクあるいは処理から監視対象の入出力装置にアクセ
スが行われたことを検出できる。

【００２７】以下、入出力装置に対す不正アクセス検出
について詳細に説明する。カーネル１１により利用者タ
スク１２が起動すると、(1) 利用者タスク１２はデバッ
ガ強制起動割込みを発生し、デバッガ１９を起動する。
デバッガ１９は強制起動割り込みにより起動されると、
コンソール装置２０を利用したコマンド入力が可能とな
る。(2) かかる状態において、コンソール装置２０より
コマンド受け付け部１９ａを介して監視対象である入出
力装置のアドレスＡＩＯ（＝１００）、アクセス資格Ａ
ＱＲ（＝利用者タスク１４の識別子）が入力されると、
デバッガ１９は入出力監視設定コマンド１９ｄを実行し
てこれらＡＩＯ，ＡＱＲを記憶部２１に設定する。(3)
そして、デバッガ終了コマンドにより、利用者タスク１
２に復帰する。(4) 利用者タスク１２よりシステムコー
ルにより利用者タスク１３の起動が要求されると、(5)
ディスパッチ処理部１１ａは、タスクスケジューリング
アルゴリズムに従って利用者タスク１３を起動し、処理
を開始する。(6) そして、利用者タスク１３が入出力ア
ドレス＝１００として入出力処理機能をＣＡＬＬする
と、(7) カーネル１１の入出力処理部１１ｃは、不正ア
クセス判定処理を行う。

【００２８】図８は不正アクセス判定処理のフローであ
る。入出力処理機能がコールされると（ステップ１０
１）、入出力処理部１１ｃはＣＡＬＬと同時に通知され
る入出力装置のアドレスと記憶部２１に設定されている
監視対象のアドレスＡＩＯの比較を行う（ステップ１０
２）。アドレスが一致してなければ、処理を継続し（ス
テップ１０３）、一致していれば、アクセス資格ＡＱＲ
とカーネル１１が認識している現在動作中の利用者タス
クの識別子を比較する（ステップ１０４）。一致すれ
ば、正当なアクセスである。正当なアクセスの場合に
は、入出力処理実行後、利用者タスク１３に復帰するの
で、不正なアクセスが発生しない限り利用者タスク１３
の処理は通常通りに実行され続ける（ステップ１０
３）。一方、一致しなければ、アクセス資格のないタス
クあるいは処理から監視対象の入出力装置にアクセスが
行われたことになり（不正アクセス）、利用者タスクの
実行を中断してデバッガ１９を起動する（ステップ１０
５、１０６）。

【００２９】図７の例では、記憶部２１に設定されてい
るアクセス対象アドレスＡＩＯ（＝１００）と利用者タ
スク１３から依頼された入出力アドレス（＝１００）と
一致している。そこで、カーネル１１が管理している動
作中の処理（利用者タスク１３）とアクセス資格（＝利
用者タスク１４）を比較する。(8) 一致していないた
め,入出力処理部１１ｃは不正なアクセスと判断して、
利用者タスクの実行を中断しデバッガを起動する。デバ
ッガが起動されることにより、利用者はコンソール装置
２０を利用して不正動作を行ったタスクや、入出力処理
をＣＡＬＬしたプログラムを突き止めることができる。
すなわち、カーネル１１は、不正アクセス動作が検出さ
れた時点で、該不正アクセスを行ったタスクの識別子と
検出部位（プログラム範囲）をログ収集して保持し、デ
バッガ１９はコンソール装置２０からの不正タスク表示
要求によりカーネルからログ収集結果を受信してコンソ
ール装置２０のディスプレイ画面に表示する。

【００３０】（Ｃ）オブジェクトに対する不正操作検出 (a) オブジェクトに対する不正操作検出の第１実施例図９はオブジェクトに対する不正操作検出の第１実施例
の構成図である。図中、１１はカーネルであり、ディス
パッチ処理部１１ａ、オブジェクト操作処理部１１ｄを
有している。１２〜１４は利用者タスク、１９はデバッ
ガ、２０はコンソール装置、２１は記憶部であり、コン
ソール装置よりデバッガを介して設定された監視対象オ
ブジェクトの識別子ＩＤＯと、該オブジェクト操作が可
能な利用者タスクあるいは利用者割込み処理を特定する
アクセス資格ＡＱＲとを記憶する。オブジェクト不正操
作検出の概略は以下の通りである。例えば、利用者タス
ク１３からオブジェクト操作処理機能が呼出されると、
同時にオブジェクト識別子が通知されるので、オブジェ
クト操作処理部１１ｄはこの識別子と設定されている監
視対象オブジェクトの識別子ＩＤＯを比較する。一致す
れば、設定されているアクセス資格ＡＱＲとカーネルが
認識している現在動作中の利用者タスクの識別子あるい
は利用者割込み処理の識別子とを比較する。一致しなけ
れば、アクセス資格のないタスクあるいは処理が監視対
象オブジェクトを不正に操作したことを検出できる。

【００３１】オブジェクトとしてはセマフォ、メールボ
ックス、イベントフラグ、メモリプール等があり、Ｏ／
Ｓにより管理されている。このうちセマフォは、整数を
値としてとる変数で、Ｐ及びＶ命令によってのみ値が変
更される。１つのセマフォに対しては、一時的にはただ
１つのタスクだけがＰ又はＶ命令を実行できる。Ｓをセ
マフォ値とするとき、あるタスクがＰ（Ｓ）を実行する
と、Ｓの値が１減らされた後、そのＳの値がＳ≧０なら、そのタスクは実行を続ける。Ｓ＜０なら、そのタスクは停止し、Ｓ対する待ち行列
に入る。タスクＶ（Ｓ）を実行すると、Ｓの値が１増加された
後、そのＳの値がＳ＞０なら、そのタスクは実行を続ける。Ｓ≦０なら、Ｓに対する待ち行列から１つタスクを取
り出し、そのタスクの実行を再開させる。Ｖ（Ｓ）を実
行したタスク自身も実行を継続する。

【００３２】図１０はＲＭＳ６８Ｋのセマフォを用い
た排他制御の説明図である。尚、ATSENは、そのタスク
がある危険部分の排他制御のためにセマフォを用いるこ
とを宣言するもの、WTSENはセマフォを通して、危険部
分の使用を要求するものであり、SGSEM はその使用を開
放するものである。又、WTSENはセマフォ値を−１し、S
GSENは＋１する。まずタスクｂがセマフォを通して危険
部分の使用を要求する。この場合、セマフォ値が１なの
で、その要求は受け付けられ、使用が許可される。その
とき、セマフォ値は−１されて０となる。しかる後、タ
スクａが走行し、同じセマフォに対して使用要求したと
き、セマフォ値が１でないので、使用中であり、使用が
許可されず、タスクａはセマフォキューに入る。さら
に、タスクｃが走行し、同じセマフォを要求するが、同
様にセマフォキューにタスクｃも入る。この時のセマフ
ォ値は２回−１され、−２になっている。その後、タス
クｂがSGSENにより使用を開放し、セマフォキューにあ
るタスクａが、その使用を許可される。更に、タスクa
が開放することにより、タスクcの使用が許可され、最
後にセマフォ値は１に戻り、セマフォキューも空とな
る。又、メールボックスはタスク間の交信手段であり、
あるタスクによってメッセージが置かれ、他のタスクに
よってメッセージが取り出される構造で表現された待ち
行列である。メッセージを送る側のタスクはメールボッ
クスに対してメッセージを送り、又、メッセージを受信
する側のタスクはメールボックス上でメッセージの到着
を待つ。かかるメールボックスを用いて同期制御や排他
制御が行われる。

【００３３】以下、図９に従ってオブジェクトの不正操
作検出方法を詳述する。カーネル１１により利用者タス
ク１２が起動すると、(1) 利用者タスク１２はデバッガ
強制起動割込みを発生し、デバッガ１９を起動する。デ
バッガ１９は強制起動割り込みにより起動されると、コ
ンソール装置２０を利用したコマンド入力が可能とな
る。(2) かかる状態において、コンソール装置２０より
コマンド受け付け部１９ａを介して監視対象オブジェク
トの識別子ＩＤＯ（＝２８）、アクセス資格ＡＱＲ（＝
利用者タスク１４の識別子）が入力されると、デバッガ
１９はオブジェクト監視設定コマンド１９eを実行して
これらＩＤＯ，ＡＱＲを記憶部２１に設定する。(3) し
かる後、デバッガ終了コマンドにより、利用者タスク１
２に復帰する。(4) 利用者タスク１２よりシステムコー
ルにより利用者タスク１３の起動が要求されると、(5)
ディスパッチ処理部１１ａは、タスクスケジューリング
アルゴリズムに従って利用者タスク１３を起動し、利用
者タスク１３は処理を開始する。(6) そして、利用者タ
スク１３がシステムコール(オブジェクト識別子＝２
３）を発行してオブジェクト操作を要求すると、(7) カ
ーネル１１のオブジェクト操作処理部１１ｄは、不正操
作判定処理を行う。

【００３４】図１１は不正操作判定処理のフローであ
る。オブジェクト操作のシステムコールが発行されると
（ステップ２０１）、オブジェクト操作処理部１１ｄは
システムコールに含まれるオブジェクト識別子と記憶部
２１に設定されているオブジェクト識別子ＩＤＯとの比
較を行う（ステップ２０２）。オブジェクト識別子が一
致してなければ、処理を継続し（ステップ２０３）、一
致していれば、アクセス資格ＡＱＲとカーネル１１が認
識している現在動作中の利用者タスクの識別子を比較す
る（ステップ２０４）。一致すれば、正当なオブジェク
ト操作である。正当なオブジェクト操作の場合には、オ
ブジェクト操作処理後、利用者タスク１３に復帰するの
で、不正なオブジェクト操作が発生しない限り利用者タ
スク１３の処理は通常通りに実行され続ける（ステップ
２０３）。一方、一致しなければ、アクセス資格のない
タスクあるいは処理が監視対象のオブジェクトを操作し
たことになり（不正操作）、利用者タスクの実行を中断
してデバッガ１９を起動する（ステップ２０５、２０
６）。

【００３５】図９の例では、記憶部２１に設定されてい
るオブジェクト識別子ＩＤＯ（＝２８）と利用者タスク
１３が発行したシステムコールに含まれるオブジェクト
識別子（＝２８）が一致している。そこで、カーネル１
１が管理している動作中の処理（＝利用者タスク１３）
とアクセス資格（＝利用者タスク１４）を比較する。
(8) 一致していないため、オブジェクト操作処理部１１
ｄは不正なオブジェクト操作と判断して、利用者タスク
の実行を中断しデバッガを起動する。デバッガ１９が起
動されることにより、利用者はコンソール装置２０を利
用して不正操作を行ったタスクやオブジェクト操作のシ
ステムコールを発行したプログラム部分を突き止めるこ
とができる。すなわち、カーネル１１は、オブジェクト
の不正操作が検出された時点で、該不正操作を行ったタ
スクの識別子と検出部位（プログラム範囲）をログ収集
して保持し、デバッガ１９はコンソール装置２０から不
正タスク表示要求が入力されるとカーネルからログ収集
結果を受信してコンソール装置２０のディスプレイ画面
に表示する。

【００３６】(b) 第２実施例図１２はオブジェクト不正操作の検出の第２実施例の構
成図である。１１はカーネル、１１ｅはイベント通知処
理部、１２は利用者カーソル、１９はデバッガ、２０は
コンソール装置、２１はオブジェクト操作検出条件が設
定される記憶部、２３はイベントフラグ管理情報記憶部
である。第２実施例では、イベントフラグの不正操作を
例にして説明する。又、フラグＩＤ＝１０のフラグに対
し、本来セットされるはずのないビット７がセットされ
る現象が発生しているものとする。

【００３７】カーネル１１により利用者タスク１２が起
動すると、(1) 利用者タスク１２はデバッガ強制起動割
込みを発生し、デバッガ１９を起動する。デバッガ１９
は強制起動割り込みにより起動されると、コンソール装
置２０を利用したコマンド入力が可能となる。(2) かか
る状態において、コンソール装置２０よりコマンド受け
付け部１９ａを介して監視対象オブジェクトの識別子Ｉ
ＤＯ（＝１０）、機能ＦＮＣ（＝セットフラグ）、デー
タＤＴＡ（＝セットビット７）が入力されると、デバッ
ガ１９はオブジェクト操作条件設定コマンド１９ｆを実
行してこれらＩＤＯ，ＦＮＣ，ＤＴＡを記憶部２１に設
定する。(3) そして、デバッガ終了コマンドにより、利
用者タスク１２の実行を再開させる。(4) 利用者タスク
１２がイベントフラグ操作のシステムコール(フラグＩ
Ｄ＝１０、セットフラグ、セットビット７）を発行して
イベントフラグ操作を要求する。(5) カーネルのイベン
ト通知処理部１１ｅは、セットフラグのシステムコール
が発行されると、デバッガの設定条件をもとに不正操作
検出処理を実行する。

【００３８】図１３はイベントフラグの不正操作検出の
処理フローである。オブジェクト操作（セットフラグ）
のシステムコールが発行されると（ステップ３０１）、
イベント通知処理部１１ｅは、記憶部２１に設定されて
いるオブジェクト操作条件（イベントフラグ操作条件）
を参照する（ステップ３０２）。ついで、システムコー
ルに含まれるオブジェクト操作条件と設定されているオ
ブジェクト操作検出条件との比較を行う（ステップ３０
３）。すなわち、システムコールに含まれるオブジェク
ト識別子（フラグＩＤ＝１０）、機能コード（＝セット
フラグ）、データ（＝セットビット７）と、記憶部２１
に設定されているオブジェクト識別子ＩＤＯ（＝１
０）、機能コードＦＮＣ（＝セットフラグ）、データ
（＝セットビット７）とをそれぞれ比較する。

【００３９】オブジェクト操作条件が異なれば、正当な
オブジェクト操作であり、イベントフラグ操作処理後に
利用者タスク１３に復帰し、利用者タスク１３の処理を
継続する（ステップ３０４，３０５）。一方、オブジェ
クト操作条件が一致すれば、利用者タスク１２が設定さ
れているイベントフラグの不正操作をしたことになり
（不正操作）、利用者タスクの実行を中断してデバッガ
１９を起動する（ステップ３０６，３０７）。図１２の
例では、オブジェクト操作検出条件が一致するから、イ
ベント通知処理部１１ｅは利用者タスク１２の実行を中
断し、デバッガ１９を起動することになる。デバッガが
起動されることにより、利用者はコンソール装置２０を
利用して不正操作を行ったタスクやシステムコールを発
行したプログラム範囲を突き止めることができる。

【００４０】(c) オブジェクト不正操作検出の第３実施
例図１４はオブジェクト操作のシステムコールが単純に異
常終了したことによりタスクの異常検出を行う第３実施
例の構成図である。図中、１１はカーネル、１１ｆはシ
ステムコール処理部、１２は利用者タスク、１９はデバ
ッガ、２１はオブジェクト操作検出条件が設定される記
憶部である。デバッガ１９は既に説明したように強制起
動により起動する。そして、(1) デバッガ１９はオブジ
ェクト操作条件設定コマンドに従ってオブジェクト操作
検出条件を記憶部２１に設定する。第３実施例は、オブ
ジェクト操作のシステムコールが、単純に異常終了する
とタスクに異常ありと判定するものである。このため、
オブジェクト操作検出条件におけるオブジェクトの種類
／オブジェクト識別子として「全種類」が、システムコ
ール異常終了コードとして「全種類」がそれぞれ設定さ
れる。

【００４１】デバッガによるオブジェクト操作検出条件
設定が終了すれば、利用者タスク１２の処理が開始す
る。そして、(2) 利用者タスク１２がオブジェクト操作
のシステムコールを発行して所定のオブジェクト操作を
要求すると、(3) カーネル１１のシステムコール処理部
１１ｆは要求されたオブジェクト操作を実行しようとす
る。しかし、要求されたオブジェクト操作が実行できな
い場合、例えば、セマフォを獲得したいけれどセマフォ
がない、あるいは、領域を獲得したいけれど領域がない
等により要求されたオブジェクト操作が実行できない場
合には、システムコール異常終了とする。(4) かかる異
常終了により、システムコール処理部１１ｆは記憶部２
１に設定されているオブジェクト操作検出条件を参照す
る。

【００４２】オブジェクト操作検出条件において、オブ
ジェクトの種類／オブジェクト識別子は「全種類」、シ
ステムコール異常終了コードは「全種類」となってい
る。このため、システムコール処理部１１ｆは、システ
ムコールで要求されたオブジェクトの種類や異常終了コ
ードに関係なく、直ちに利用者タスク１２の実行を中断
し、デバッガ１９を起動する。以後、利用者はコンソー
ル装置２０を利用して異常終了したタスクを突き止める
ことができる。

【００４３】(d) オブジェクト不正操作検出の第４，第
５実施例図１５は、指定したオブジェクト操作が異常終了したこ
とによりタスクの異常を検出する第４実施例の構成図で
ある。第４実施例において、第３実施例（図１４）と異
なる点は、オブジェクト種別／オブジェクト識別子を
指定すると共に、タスクの異常とみなす異常終了コー
ドを指定している点である。予め、監視対象オブジェク
トの種類／識別子(イベントフラグ/識別子＝１０）及び
タスクの異常とみなす異常終了コード（コード＝８）を
それぞれ記憶部２１に設定しておく。利用者タスク１２
からのシステムコールにより要求されたオブジェクト操
作に対する異常終了時、イベント通知処理部１１ｅは、
該システムコールに含まれるオブジェクトの種別／識別
子が前記設定されているオブジェクトの種別／識別子と
一致するか、及び、異常終了コードが前記設定されてい
る異常終了コードと一致しているか比較する。オブジェ
クトの種類／識別子及び異常終了コードの両方が一致し
ている場合には、イベント通知処理部１１ｅは、システ
ムコールを発行した利用者タスク１２の異常とみなし、
該タスクの実行を中断し、デバッガを起動する。以後、
利用者はコンソール装置を利用して異常終了したタスク
を突き止めることができる。

【００４４】図１６は、指定したオブジェクトが指定し
た異常終了コード以外の異常で終了したことによりタス
クの異常を検出する第５実施例の構成図である。第５実
施例において、第３実施例（図１４）と異なる点は、
オブジェクト種別／オブジェクト識別子を指定すると共
に、タスクの異常とみなさない異常終了コードを指定
している点である。予め、監視対象オブジェクトの種類
／識別子(イベントフラグ/識別子＝１０）及びタスクの
異常とみなさない異常終了コード（コード＝７）をそれ
ぞれ記憶部２１に設定しておく。利用者タスク１２から
のシステムコールにより要求されたオブジェクト操作に
対する異常終了時、イベント通知処理部１１ｅは、該シ
ステムコールに含まれるオブジェクトの種類／識別子が
前記設定されているオブジェクトの種類／識別子と一致
するか、及び、異常終了コードが前記設定されている異
常終了コードと一致しないか比較する。オブジェクトの
種類／識別子が一致し、異常終了コードが不一致の場
合、イベント通知処理部１１ｅは、システムコールを発
行した利用者タスク１２の異常とみなし、該タスクの実
行を中断し、デバッガを起動する。以後、利用者はコン
ソール装置を利用して異常終了したタスクを突き止める
ことができる。

【００４５】（Ｄ）メモリプールの空き領域に対する不
正書き込み動作の検出図１７は、メモリプールの空き領域に対する不正書き込
み動作検出方式の説明図であり、監視対象メモリはメモ
リプール内の空き領域で、内容変化検出方式は加算結果
比較方式である。図中、３１はメモリプールで、左側は
メモリブロック返却前のメモリプール、右側はメモリブ
ロック返却後のメモリプールである。メモリプール３１
の空き領域はメモリブロック返却によりダイナミックに
変化する。従って、メモリブロック返却ごとにメモリプ
ールの空き領域３１ａ〜３１ｃの内容加算を行い、加算
結果を空き領域の最終アドレス３１ａ′〜３１ｃ′に最
終ワードとして格納する。又、ディスパッチ処理部によ
るディスパッチ処理では、各空き領域毎に内容の加算を
行い、加算結果と該空き領域の最終アドレスに格納され
ている加算結果とを比較し、一致／不一致により空き領
域への不正書き込みの有無を判断する。

【００４６】図１８はメモリプールの空き領域に対する
不正書き込み動作検出処理のフロー図である。タスク切
換のシステムコールあるいは利用者割込み等が発生した
か、換言すれば、検出タイミングになったかチェックす
る（ステップ４０１）。検出タイミングになれば、すな
わち、利用者タスクの起動、利用者タスクの処理終了、
利用者割込み処理の起動、利用者割込み処理終了のそれ
ぞれにおいて、メモリプール３１の各空き領域毎に内容
の加算を行い、加算結果と対応する空き領域の最終アド
レスに格納されている加算結果とを比較する（ステップ
４０２）。少なくとも１つの空き領域において加算結果
が異なる場合には、空き領域への不正書き込みがあった
ものとみなし、利用者タスクの実行を中断し、デバッガ
を起動する（ステップ４０３、４０４）。以後、利用者
はコンソール装置を利用してメモリプールの空き領域に
不正書き込みをしたタスクあるいは処理を突き止めるこ
とができる。

【００４７】一方、ステップ４０２において、全空き領
域の加算結果が一致（空き領域の内容が一致）していれ
ば、あるいは、ステップ４０１において、「ＮＯ」であ
れば、メモリブロックの返却（リリースブロック）によ
りメモリプールの空き領域が変化したかチェックする
（ステップ４０５）、変化してなければ初めに戻り、ス
テップ４０１以降の処理を繰り返す。しかし、空き領域
が変化すれば、新たな空き領域の内容を加算し（ステッ
プ４０６）、該加算結果を空き領域の最終アドレスに格
納し（ステップ４０７）、以後、初めに戻り、ステップ
４０１以降の処理を繰り返す。尚、演算は加算に限ら
ず、減算、排他的論理和演算その他の演算を採用するこ
とができる。又、以上では空き領域の加算結果を比較し
て空き領域への不正書き込み動作を検出したが、空き領
域の内容を保存しておき、保存内容と空き領域の内容を
比較することにより不正書き込み動作を検出することも
できる。以上、本発明を実施例により説明したが、本発
明は請求の範囲に記載した本発明の主旨に従い種々の変
形が可能であり、本発明はこれらを排除するものではな
い。

【００４８】

【発明の効果】以上本発明は、異常となる現象は分かっ
ているが、その現象を引き起こすタスクあるいは処理が
不明な場合に適用して有効である。又、マルチタスキン
グ方式のＯ／Ｓでは、タスクが数１０本同時に動作して
いるのが普通なので、異常現象だけ分かっていても発生
元タスクを特定するのは困難なことが多い。本発明によ
れば、異常現象をブレーク条件として設定することによ
り、該現象が発生した時点で利用者タスクを中断してデ
バッガを起動するため、デバッガのメモリ表示機能等に
より異常現象の発生元タスクやシステムの状態を調査す
ることができる。

【００４９】本発明によれば、ソフト的にメモリへの不
正な書替え動作を検出し、該不正書替え動作をしたタス
ク、処理を突き止めることができる。この結果、デバッ
グを効率良く行うことができる。又、この場合、監視メ
モリ領域の内容変化、すなわち、監視メモリ領域への不
正書替え動作を、該領域の内容を加算してその加算結果
の比較により行うことにより、不正書替え動作検出に使
用するメモリ容量を著しく少なくできる。本発明によれ
ば、メモリプールの空き領域のようにダイナミックに変
化するメモリ領域の不正書替え動作を検出し、該不正書
替え動作をしたタスク、処理を突き止めることができ
る。この結果、デバッグを効率良く行うことができる。
又、空き領域の内容変化を加算結果の比較により行うこ
とにより、不正書替え動作検出に使用するメモリ容量を
著しく少なくできる。

【００５０】本発明によれば、アクセス資格との連携に
より、入出力装置に対する不正のアクセス動作やオブジ
ェクトに対する不正なアクセス操作を検出し、該不正ア
クセス、不正操作をしたタスク、処理を突き止めること
ができる。この結果、デバッグを効率良く行うことがで
きる。

【図面の簡単な説明】

【図１】本発明の第１の原理説明図である。

【図２】本発明の第２の原理説明図である。

【図３】本発明の第３の原理説明図である。

【図４】メモリ不正書替え検出タイミングの説明図であ
る。

【図５】利用者タスクによるメモリの不正書替え動作検
出の第１実施例である。

【図６】利用者タスクによるメモリの不正書替え動作検
出の第２実施例である。

【図７】入出力装置に対する不正アクセス動作検出の実
施例である。

【図８】Ｉ／Ｏ不正アクセスの判定処理フローである。

【図９】オブジェクトに対する不正操作検出の第１実施
例である。

【図１０】セマフォを用いた排他制御の説明図である。

【図１１】オブジェクト不正操作の判定処理フローであ
る。

【図１２】オブジェクト不正操作検出の第２実施例であ
る。

【図１３】イベントフラグ不正操作検出の処理フローで
ある。

【図１４】オブジェクト不正操作検出の第３実施例であ
る。

【図１５】オブジェクト不正操作検出の第４実施例であ
る。

【図１６】オブジェクト不正操作検出の第５実施例であ
る。

【図１７】メモリプールの空き領域に対する不正書替え
検出の説明図である。

【図１８】メモリプールの空き領域に対する不正書き込
み動作検出の処理フローである。

【符号の説明】

１ａ・・監視対象メモリ空間１ｂ・・保存メモリ空間１ｃ・・保存手段１ｄ・・比較手段１ｅ・・不正動作検出手段

Claims

【特許請求の範囲】

【請求項１】利用者タスクを起動するタスクディスパ
ッチ処理及び利用者割込み処理への制御転送処理を実行
するマルチタスキング方式のカーネルにおける不正動作
検出方法において、予め設定されている監視対象メモリ空間の内容を保存す
る第１ステップ、利用者タスクの起動、利用者タスクの処理終了、利用者
割込み処理の起動、利用者割込み処理終了のそれぞれに
おいて、監視対象メモリ空間のメモリ内容と保存してあ
るメモリ内容とが一致しているか調べる第２ステップ、メモリ内容の変化に基づいて所定の利用者タスク又は利
用者割込み処理によるメモリ書替え不正動作を識別する
第３ステップを有することを特徴とする不正動作検出方
法。
【請求項２】前記第１ステップは、監視対象メモリ空
間全体の内容を加算し、あるいはその他の演算処理を施
して該演算結果を保存し、第２ステップは、監視対象メモリ空間全体の内容を加算
し、あるいはその他の演算処理を施し、該演算結果と保
存してある演算結果を比較することにより監視対象メモ
リ空間のメモリ内容の変化を調べることを特徴とする請
求項１記載の不正動作検出方法。
【請求項３】前記方法は更に、デバッガを設け、該デ
バッガを介して監視対象メモリ空間を設定するステップ
を有し、前記第３ステップは、メモリ内容の変化が検出された時、デバッガを起動する
ステップ、デバッガによりメモリ内容を書き替えた利用者タスクの
識別子あるいは利用者割込み処理の識別子を出力するス
テップを有することを特徴とする請求項１記載の不正動
作検出方法。
【請求項４】利用者タスクを起動するタスクディスパ
ッチ処理及び利用者割込み処理への制御転送処理を実行
するマルチタスキング方式のカーネルにおける不正動作
検出方法において、予め、監視対象である入出力装置のアドレスと、該入出
力装置にアクセス可能な利用者タスクあるいは利用者割
込み処理を特定するアクセス資格とをそれぞれ設定する
第１ステップ、利用者タスクあるいは利用者割込み処理からカーネルの
有する入出力処理機能がコールされた時、該コール要求
に含まれる入出力アドレスと前記設定されているアドレ
スを比較する第２ステップ、一致している場合には、該コール要求を発行した利用者
タスクあるいは利用者割込み処理の識別子と前記アクセ
ス資格を比較する第３ステップ、識別子とアクセス資格の不一致に基づいて、入出力装置
に対する利用者タスクあるいは利用者割込み処理の不正
アクセスを識別する第４ステップを有することを特徴と
する不正動作検出方法。
【請求項５】前記方法は、更に、デバッガを設け、該
デバッガを介して前記監視対象である入出力装置のアド
レスとアクセス資格を設定するステップを有し、前記第４ステップは、コール要求を発行した利用者タスクあるいは利用者割込
み処理の識別子と前記アクセス資格の不一致が検出され
た時、デバッガを起動するステップ、デバッガによりアクセスした利用者タスクの識別子ある
いは利用者割込み処理の識別子を出力するステップを有
することを特徴とする請求項４記載の不正動作検出方
法。
【請求項６】利用者タスクを起動するタスクディスパ
ッチ処理及び利用者割込み処理への制御転送処理を実行
するマルチタスキング方式のカーネルにおける不正動作
検出方法において、予め、監視対象オブジェクトの識別子と該オブジェクト
の操作が可能な利用者タスクあるいは利用者割込み処理
を特定するアクセス資格とをそれぞれ設定する第１ステ
ップ、利用者タスクあるいは利用者割込み処理からカーネルに
オブジェクト操作が要求された時、該操作要求に含まれ
るオブジェクト識別子と前記設定されているオブジェ識
別子を比較する第２ステップ、一致している場合には、該オブジェクト操作要求を発行
した利用者タスクあるいは利用者割込み処理の識別子と
前記アクセス資格を比較する第３ステップ、利用者タスクあるいは利用者割込み処理の識別子とアク
セス資格との不一致に基づいて、設定されているオブジ
ェクトに対する利用者タスクあるいは利用者割込み処理
の不正操作を識別する第４ステップを有することを特徴
とする不正動作検出方法。
【請求項７】前記方法は、更に、デバッガを設け、該
デバッガを介して前記監視対象オブジェクトの識別子と
アクセス資格を設定するステップを備え、前記第４ステップは、オブジェクト操作要求を発行した利用者タスクあるいは
利用者割込み処理の識別子とアクセス資格の不一致が検
出された時、デバッガを起動するステップ、デバッガによりアクセスした利用者タスクの識別子ある
いは利用者割込み処理の識別子を出力するステップを有
することを特徴とする請求項６記載の不正動作検出方
法。
【請求項８】利用者タスクを起動するタスクディスパ
ッチ処理及び利用者割込み処理への制御転送処理を実行
するマルチタスキング方式のカーネルにおける不正動作
検出方法において、予め、監視対象オブジェクトの識別子及び該オブジェク
トに対する操作内容をそれぞれ設定する第１ステップ、利用者タスクあるいは利用者割込み処理からカーネルに
オブジェクト操作が要求された時、該操作要求に含まれ
るオブジェクト識別子、操作内容が前記設定されている
オブジェ識別子、操作内容とそれぞれ一致しているか比
較する第２ステップ、両者の一致に基づいて、設定されているオブジェクトに
対する利用者タスクあるいは利用者割込み処理の不正操
作を識別する第３ステップを有することを特徴とする不
正動作検出方法。
【請求項９】前記方法は、更に、デバッガを設け、該
デバッガを介して前記監視対象のオブジェクト識別子と
オブジェクトに対する操作内容を設定するステップを備
え、前記第３ステップは、前記両者の一致が検出された時、デバッガを起動するス
テップ、デバッガによりアクセスした利用者タスクの識別子ある
いは利用者割込み処理の識別子を出力するステップを有
することを特徴とする請求項８記載の不正動作検出方
法。
【請求項１０】利用者タスクを起動するタスクディス
パッチ処理及び利用者割込み処理への制御転送処理を実
行するマルチタスキング方式のカーネルにおける不正動
作検出方法において、予め、監視対象オブジェクトの識別子及びタスクの異常
終了とみなす異常終了コードあるいは異常終了とみなさ
ない異常終了コードをそれぞれ設定する第１ステップ、利用者タスクあるいは利用者割込み処理からのシステム
コールにより要求されたオブジェクト操作に対する異常
終了時、該システムコールに含まれるオブジェクト識別
子が前記設定されているオブジェクト識別子と一致する
か、及び、異常終了コードが前記設定されている異常終
了コードと一致しているか比較する第２ステップ、オブジェクト識別子及び異常終了コードの両方の一致に
基づいて、あるいはオブジェクト識別子の一致、異常コ
ードの不一致に基づいて利用者タスクあるいは利用者割
込み処理の異常を検出する第３ステップを有することを
特徴とする不正動作検出方法。
【請求項１１】利用者タスクを起動するタスクディス
パッチ処理及び利用者割込み処理への制御転送処理を実
行するマルチタスキング方式のカーネルにおける不正動
作検出方法において、監視対象メモリにおける各空き領域の内容を保存する第
１ステップ、利用者タスクの起動、利用者タスクの処理終了、利用者
割込み処理の起動、利用者割込み処理終了のそれぞれに
おいて、各空き領域の内容と保存してある各空き領域の
内容とが一致しているか調べる第２ステップ、少なくとも１つの空き領域における内容変化に基づいて
利用者タスク又は利用者割込み処理によるメモリ書替え
不正動作を識別する第３ステップを有することを特徴と
する不正動作検出方法。
【請求項１２】前記第１ステップは、監視対象メモリ
における空き領域毎に、空き領域の内容を加算し、ある
いはその他の演算処理を施して、該演算結果を保存し、第２ステップは、監視対象メモリにおける各空き領域毎
に、空き領域の内容を加算し、あるいはその他の演算処
理を施し、該演算結果と保存してある対応する空き領域
の演算結果とを比較することにより監視対象メモリにお
ける各空き領域の内容が一致しているか調べることを特
徴とする請求項１１記載の不正動作検出方法。