(57)【要約】【課題】本来の処理に対する影響を抑制しつつ、障害が発生したプログラムを修復するためのプログラム修復システムを提供する。【解決手段】少なくとも２つのドメインを提供するマルチコアシステムにおいて、所定のプログラムを実行する主ドメインに障害が発生した場合に、当該プログラムを修復するプログラム修復システムであって、主ドメインとは異なる１または複数のサブドメイン内に、主ドメインの状態を検査する検査手段と、主ドメインに障害が発生した場合に、前記プログラムを復元する復元手段と、主ドメインに障害が発生した場合に、前記プログラムの代替処理を実行する緊急処理手段と、を有する。【選択図】図２
2010020621.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも２つのドメインを提供するマルチコアシステムにおいて、所定のプログラムを実行する主ドメインに障害が発生した場合に、当該プログラムを修復するプログラム修復システムであって、
主ドメインとは異なる１または複数のサブドメイン内に、
主ドメインの状態を検査する検査手段と、
主ドメインに障害が発生した場合に前記プログラムを復元する復元手段と、
主ドメインに障害が発生した場合に前記プログラムの代替処理を実行する緊急処理手段と、
を有することを特徴とするプログラム修復システム。
【請求項２】
主ドメインは、前記サブドメインにアクセス不可能であり、
前記サブドメインは、信頼されたプログラムのみを実行可能であり、かつ、主ドメインにアクセス可能である、
ことを特徴とする請求項１に記載のプログラム修復システム。
【請求項３】
通常時は、前記検査手段と前記プログラムとが並列に実行され、
プログラム復元時は、前記復元手段と前記緊急処理手段とが並列に実行される、
ことを特徴とする請求項１または２に記載のプログラム修復システム。
【請求項４】
主ドメインの状態を記憶する状態記憶手段と、
前記状態記憶手段を更新する状態変更手段と、
を主ドメイン内に有し、
前記検査手段は、前記状態記憶手段を参照して主ドメインの状態を検査する
ことを特徴とする請求項１〜３のいずれか１項に記載のプログラム修復システム。
【請求項５】
前記状態変更手段は、主ドメイン内で割り込み処理が発生するタイミングで、前記状態記憶手段を更新する
ことを特徴とする請求項４に記載のプログラム修復システム。
【請求項６】
少なくとも２つのドメインを提供するマルチコアシステムにおいて、所定のプログラムを実行する主ドメインに障害が発生した場合に、当該プログラムを修復するプログラム修復方法であって、
主ドメインとは異なる１または複数のサブドメイン内において、
主ドメインの状態を検査する工程と、
主ドメインに障害が発生した場合に前記プログラムを復元する工程と、
主ドメインに障害が発生した場合に前記プログラムの代替処理を実行する工程と、
を実行することを特徴とするプログラム修復方法。
【請求項７】
主ドメインは、前記サブドメインにアクセス不可能であり、
前記サブドメインは、信頼されたプログラムのみを実行可能であり、かつ、主ドメインにアクセス可能である、
ことを特徴とする請求項６に記載のプログラム修復方法。
【請求項８】
通常時は、前記検査する工程と前記プログラムとを並列に実行し、
プログラム復元時は、前記復元する工程と前記代替処理を行う工程とを並列に実行する
ことを特徴とする請求項６または７に記載のプログラム修復方法。
【請求項９】
主ドメイン内で、主ドメインの状態を記憶する状態記憶手段を更新する工程を実行し、
前記検査する工程では、前記状態記憶手段を参照して主ドメインの状態を検査する
ことを特徴とする請求項６〜８のいずれか１項に記載のプログラム修復方法。
【請求項１０】
前記状態記憶手段を更新する工程は、主ドメイン内で割り込み処理が発生するタイミングで行われる
ことを特徴とする請求項９に記載のプログラム修復方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マルチコアシステムにおけるプログラム修復システムおよび方法に関する。
【背景技術】
【０００２】
継続的な運転が要求される計算機において、ＯＳやプログラムが正常に運転を続けているか監視するための方式としてウォッチドッグタイマが知られている。ＯＳやプログラムは、正常に動作している場合には、定期的にウォッチドッグタイマに信号を送る。一方、障害が発生すると、ウォッチドッグタイマには信号が入力されなくなる。一定時間以上信号の入力がないと、ウォッチドッグタイマはシステムをハードウェア的にリセットする。このような方法によるシステム監視では、再起動の間、計算機が一切のサービスを提供できないという問題がある。
【０００３】
これに対し、特許文献１には、サービスを継続して提供するために、二重系システムによってサービス機能を部分的に維持する手法が開示されている。特許文献１では、二重系システムにおける各計算機が、サービスを提供するプログラムと、自己の故障を検出するプログラムとを１つのＣＰＵで実行し、故障が修復可能であれば修復を行い、修復不可能であれば機能を部分的に維持して縮退運転を行う。
【特許文献１】特開２００７−１４０８８５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記のような従来技術の場合には、１つのＣＰＵで本来の処理と障害の有無を検査する処理を行っているため、本来の処理へのＣＰＵ割当時間の減少などによる悪影響が問題となりうる。厳しいリアルタイム性が要求されるシステムでは、ＣＰＵ割当時間の減少に伴う遅延によって、リアルタイム要件を満足できなくなる場合がある。
【０００５】
本発明は上記実情に鑑みてなされたものであって、その目的とするところは、本来の処理に対する影響を抑制しつつ、障害が発生したプログラムを修復する安全機能を付与する技術を提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するために本発明では、以下の手段または処理によって障害が発生したプログラムの修復を行う。
【０００７】
本発明は、マルチコアシステム上に構築されるプログラム修復システムであり、少なくとも２つの仮想的な実行環境であるドメインを提供し、主ドメインで実行中のプログラムに障害が発生したときにこれを修復するプログラム修復システムである。
【０００８】
本明細書において、マルチコアシステムとは、複数のプロセッサコアを有するコンピュータシステムのことを意味する。したがって、１つのプロセッサパッケージの中に複数のプロセッサコアを含むシステムや、それぞれが１つのプロセッサコアを有する複数のプロセッサを含むシステムや、これらの組み合わせが、本明細書におけるマルチコアシステムに該当する。
【０００９】
本明細書において、ドメインとは、プログラムが実行される仮想的な領域・環境を表し、各ドメインは互いに独立しており原則として他のドメインにアクセスすることができない。したがって、各ドメイン内でプログラムに異常が発生した場合であっても、他のドメ
インに影響を与えることがない。
【００１０】
このようなシステムにおいて、主ドメイン内で、ユーザにサービスを提供するためのプログラムを実行する。
【００１１】
一方、主ドメインとは異なる１または複数のサブドメイン内で、主ドメインの状態を検査する検査手段と、主ドメインに障害が発生した場合に、上記プログラムを復元する復元手段と、主ドメインに障害が発生した場合に、上記プログラムの代替処理を行う緊急処理手段と、を有する。検査手段と復元手段とを１つのドメインで実行し、緊急処理手段を別のドメインで実行することが好ましいが、全ての手段を１つのドメインで実行してもよい。
【００１２】
本発明によれば、マルチコアシステムを採用しているため、サービス提供のためのプログラムと、検査のためのプログラムとを独立して動作させることができる。したがって、安全機能の付加が与える本来の処理への悪影響を最小限とすることができる。また、プログラムの復元中に、緊急処理手段によって代替処理を行うことができるので、少なくとも最低限の機能は維持しつつシステムの復元を行うことができる。
【００１３】
本発明において、ユーザにサービスを提供するプログラムを提供する主ドメインはサブドメインへのアクセスが不可能なドメインであることが好適である。また、上記プログラムの検査・復元処理を行うサブドメインは、信頼されたプログラムのみを実行可能であり、主ドメインにアクセス可能なドメインであることが好適である。検査・復元処理を行うプログラムは、システム全体のセキュリティを担保するものであるので、これらのプログラムが改ざんされないようにセキュリティが確保されたドメイン内で実行することが好ましい。
【００１４】
本発明に係るプログラム修復システムにおいて、通常時は、前記検査手段と主ドメイン内のプログラムとが並列に実行されると共に、プログラム復元時は、前記復元手段と前記緊急処理手段が並列に実行されることが好適である。
【００１５】
このようにすれば、検査処理や復元処理を実行中であっても、本来の処理や緊急処理が妨げられない。
【００１６】
また、本発明に係るプログラム修復システムは、主ドメイン内に、主ドメインの状態を記憶する状態記憶手段と、状態記憶手段を更新する状態変更手段を有することが好適である。この場合、上述の検査手段は、主ドメイン内にある状態記憶手段を参照して主ドメインの状態を検査する。
【００１７】
このようにすれば、主ドメイン内で行う必要のある処理は、自ドメイン内の状態記憶手段を更新する処理だけであり、作業コストが小さいものとなる。また、検査手段は状態記憶手段を参照することで、主ドメインの状態を検査することができる。したがって、プログラムを修復するための安全機能の付加が与える本来の処理への悪影響を最小限とすることができる。
【００１８】
また、本発明における状態変更手段は、主ドメイン内で割り込み処理が発生するタイミングで、前記状態記憶手段を更新することが好適である。
【００１９】
割り込み処理は主ドメインにおいて必須の機能であり、また、頻繁に行われるものであるため、状態記憶手段の更新も頻繁にされることになる。
【００２０】
なお、本発明は、上記手段の少なくとも一部を有するプログラム修復システムとして捉えることができる。また、本発明は、上記処理の少なくとも一部を含むプログラム修復方法、または、かかる方法を実現するためのプログラムとして捉えることもできる。上記手段および処理の各々は可能な限り互いに組み合わせて本発明を構成することができる。
【発明の効果】
【００２１】
本発明によれば、本来の処理に与える影響を抑制しつつ、プログラムの障害発生の検出および修復を行うことが可能となる。
【発明を実施するための最良の形態】
【００２２】
以下に図面を参照して、この発明の好適な実施の形態を例示的に詳しく説明する。
【００２３】
本実施形態は、マルチプロセッサコアのＣＰＵを有し、複数のドメインを有する処理システムである。各ドメインは、基本的に互いに独立した実行環境であり、他のドメインにアクセスすることができない。ただし、ドメイン間のアクセスを制御する機構を設けることで、他のドメインに対するアクセスが許可されたドメインを設けることができる。例えば、ＡＲＭ社のＴｒｕｓｔＺｏｎｅ（登録商標）技術は安全ドメインと非安全ドメインを提供できるため、マルチコアプロセッサ上でＴｒｕｓｔＺｏｎｅを用いることで、複数のドメインを有する本処理システムを好適に実現可能である。
【００２４】
本処理システムで作動する種々のプログラムの概略図を図１に示す。このシステムでは、安全ドメイン１２０と非安全ドメイン１３０の２つのドメインが提供される。また、特権モードで動作し、安全ドメイン１２０と非安全ドメイン１３０との間の全ての変更を両方向に管理するモニタプログラム１１０が設けられる。
【００２５】
安全ドメイン１２０内では、安全オペレーティングシステム（ＯＳ）１２２が実行され、その上で複数の安全アプリケーションプログラム（ＡＰ）１２４，１２６が実行される。安全ドメイン１２０は、信頼されたプログラムのみが実行可能な環境であり、安全ＯＳ１２２や、安全ＡＰ１２４，１２６は、その信頼性が保証されたプログラムである。
【００２６】
非安全ドメイン１３０内では、非安全ＯＳ１３２が実行され、その上で複数の非安全ＡＰ１３４，１３６が実行される。これらの非安全ＡＰ１３４，１３６は、非安全ＯＳ１３２と協働して実行される。
【００２７】
これらの実行環境は互いに独立しているため、あるドメインで異常が発生しても他のドメインに対して悪影響を及ぼすことがない。非安全ドメイン１３０側から安全ドメイン１２０側へのアクセスは、モニタプログラム１１０によって禁止されるので、非安全ＡＰ１３４，１３６が改ざんされたりしても、安全ドメイン１２０を改ざんしたりすることはできない。一方、安全ドメイン１２０側から非安全ドメイン１３０側へのアクセスは許可されるため、安全ＡＰ１２４，１２６は非安全ドメイン１３０に割り当てられたメモリにアクセスし、正常に動作しているかを検査したり、リセットをかけたりすることができる。
【００２８】
また、本処理システムはマルチコアプロセッサを採用しているため、安全ドメイン１２０内の安全ＡＰ１２４，１２６や、非安全ドメイン１３０内の非安全ＡＰ１３４，１３６は並列に実行可能である。
【００２９】
〈機能構成〉
次に、本実施形態に係るプログラム修復システムの機能構成を、図２を参照して説明する。本システムでは、主ドメイン１０，検査ドメイン２０、および緊急処理ドメイン３０の３つのドメインを定義する。
【００３０】
主ドメイン１０は、ユーザにサービス機能を提供するアプリケーションプログラムが実行されるドメインであり、上述の非安全ドメインに相当する。
【００３１】
また、検査ドメイン２０は、主ドメイン１０のサービス機能の状態が正常であるか検査し、異常が発生した場合には主ドメイン１０を復元するプログラムが実行されるドメインであり、上述の安全ドメインに相当する。また、緊急処理ドメイン３０は、主ドメイン１０の復元中に、サービス機能の代替処理を行うプログラムが実行されるドメインであり、上述の安全ドメインに相当する。なお、ここでは、検査ドメイン２０と緊急処理ドメイン３０とを異なるドメインとしているが、これらを１つのドメイン（安全ドメイン）で構成しても構わない。
【００３２】
検査ドメイン２０および緊急処理ドメイン３０は、改ざんされないことが必要である。これらのドメインを非安全ドメインから独立した安全ドメインとすることで、悪意のある非安全ドメイン内のプログラムからの改ざんを防ぐことができる。さらに、ＲＯＭに格納されたプログラムイメージ自体の改ざんを防ぐために、セキュアブートを利用して攻撃や事故などを防ぐことが好ましい。セキュアブートは、電源投入直後に起動されるブートＲＯＭやＢＩＯＳを検証し、ブートプロセスにおける信用の連鎖を確立しながら、プラットフォームが改ざんされていないことを保証する技術である。
【００３３】
主ドメイン１０は、ユーザにサービス機能を提供するアプリケーションプログラム以外に、割り込み処理部１１、主ドメイン状態変更部１２、および主ドメイン状態記憶部１３を有する。
【００３４】
検査ドメイン２０は、主ドメイン状態参照部２１、主ドメイン状態比較部２２、主ドメイン前状態記憶部２３、比較処理制御部２４、緊急状態制御部２５、および主ドメイン復元部２６を有する。
【００３５】
緊急処理ドメイン３０は、緊急処理用ソフトウェア３１を有する。
【００３６】
なお、上記の各機能部は、ＲＯＭに格納されたプログラムがＣＰＵによって実行されることで、その機能が実現されるが、一部についてはハードウェアとして実装しても構わない。
【００３７】
各機能部について、その処理内容を示すフローチャート共に説明する。図３は主ドメイン１０による処理、図４は検査ドメイン２０による検査処理、図５は検査ドメイン２０による復元処理および緊急処理ドメイン３０による緊急処理を示すフローチャートである。
【００３８】
〈主ドメインの処理〉
まず、主ドメイン１０の各機能部について、図３のフローチャートとともに説明する。主ドメイン１０では、割り込みが発生すると、割り込み信号が割り込み処理部１１に通知される。このような割り込み信号は、主ドメインで行われるページフォルトやＩ／Ｏ制御の際に生じる。割り込み処理部１１は、割り込み信号に対する本来の処理の前に、主ドメイン状態変更部１２を起動する（ステップＳ１０）。
【００３９】
すると、主ドメイン状態変更部１２は、主ドメイン状態記憶部１３の内容を更新する（ステップＳ１１）。なお、主ドメイン状態記憶部１３に記憶されるデータのことを、主ドメイン１０の状態値、または単に、状態値と呼ぶことにする。割り込み信号は頻繁に発生するので、主ドメイン１０が正常に稼働していれば主ドメイン状態記憶部１３の状態値は、常時更新されることになる。なお、主ドメイン状態変更部１２による状態値の更新は、
短期間の間に重複した値をとらないことが望ましい。例えば、主ドメイン状態変更部１２は、状態値を単にインクリメントしても良い。
【００４０】
主ドメイン１０の状態値が更新されると、割り込み処理部１１が、割り込み信号に対する本来の処理を実行する（ステップＳ１３）。なお、ここでは割り込み信号処理の前に状態値の更新を行っているが、割り込み信号処理の後に状態の更新を行っても構わない。
【００４１】
〈検査ドメインによる検査処理〉
次に、検査ドメイン２０の各機能部について、図４のフローチャートとともに説明する。検査ドメイン２０では、定期的に主ドメイン１０の検査を行い、異常が発生していれば主ドメイン１０の復元処理を行う。なお、本システムは、マルチコアシステムで動作しているため、主ドメインの処理と検査ドメインの処理とを並行して実行可能であり、検査ドメインによる検査処理が主ドメインの動作に悪影響を及ぼさない。
【００４２】
まず、比較処理制御部２４が起動して（ステップＳ２０）処理が開始される。比較処理制御部２４は、主ドメイン状態比較部２２を起動する（ステップＳ２１）。主ドメイン状態比較部２２は、主ドメイン前状態記憶部２３を参照する（ステップＳ２２）。なお、主ドメイン前状態記憶部２３には、後述するように、検査処理を行うたびにドメインの状態値が格納されるので、直近の検査処理後の状態値を取得することができる。また、主ドメイン状態参照部２１が、主ドメイン状態記憶部１３を参照して、現在の主ドメインの状態値を取得する（ステップＳ２３）。上述したように、検査ドメインは主ドメインよりもセキュリティレベルが高いので、検査ドメインからは主ドメインを参照することが可能である。
【００４３】
そして、主ドメイン状態比較部２２が、ステップＳ２２で取得した主ドメインの直前の状態値と、ステップＳ２３で取得した主ドメインの現在の状態値とを比較する（ステップＳ２４）。主ドメインの状態値は、主ドメインが正常に稼働している間は、主ドメイン状態変更部１２によって随時更新されるものであるので、異なるタイミングで取得した２つの状態値は異なるものとなる。逆に、２つの状態値が一致している場合には、主ドメインに異常が発生したとみなすことができる。このようにして、主ドメインが動作しているか、または障害により停止しているかを判断することができる。
【００４４】
そこで、ステップＳ２４の比較結果として、２つの状態値が異なる場合（Ｓ２５：ＮＯ）は、主ドメインは正常であると判断し、今回取得した状態値を主ドメイン前状態記憶部２３に格納して、処理を終わる（ステップＳ２６）。そして、一定時間が経過した後、検査処理が再び実行される。
【００４５】
一方、ステップＳ２４の比較結果として、２つの状態値が一致する場合（Ｓ２５：ＹＥＳ）は、主ドメインに異常が発生したと判断し、復元処理を開始する（ステップＳ２７）。復元処理については、以下で説明する。
【００４６】
〈検査ドメインによる復元処理および緊急処理ドメインによる緊急処理〉
主ドメイン１０に異常が発生したことが検知されると、主ドメイン状態比較部２２は主ドメイン１０を停止し、緊急状態制御部２５が緊急処理ドメイン３０を起動させる（ステップＳ３０）。緊急処理用ソフトウェア３１は、主ドメイン１０のユーザにサービスを提供しているプログラムの代替処理を実行する（ステップＳ３１）。緊急処理用ソフトウェア３１は、主ドメインソフトウェアと同等の機能を提供しても良いが、緊急処理に備えて容量の大きなプログラムを格納しておくとメモリ使用効率が悪いので、サービスを続行するために最低限必要な機能のみを提供すればよい。
【００４７】
そして、主ドメイン復元部２６が、主ドメインのソフトウェアを復元する（ステップＳ３２）。これは、例えば、主ドメインのサービス提供プログラムを再起動したり、主ドメインのＯＳを再起動したりすることで実行可能である。主ドメイン１０が復旧するまで待機する（ステップＳ３３）が、この間は、緊急処理用ソフトウェア３１がサービスを提供し続ける。本システムは、マルチコアシステムであるので、主ドメイン１０の復元処理と、緊急処理用ソフトウェア３１を並行して実行可能であり、主ドメイン１０を復元中であってもサービスの提供を続行可能である。
【００４８】
主ドメイン１０が復旧したら、主ドメイン状態参照部２１が、主ドメイン状態記憶部１３を参照して、その状態値を主ドメイン前状態記憶部２３に保存する（ステップＳ３４）。これにより、その後の検査処理が正しく行えるようになる。また、主ドメイン復元部２６が、比較処理制御部２４の次回の起動時期を決定する（ステップＳ３５）。以上により、主ドメイン復元部２６の処理は終了する。
【００４９】
そして、緊急処理ドメイン３０から主ドメイン１０に切り替える（ステップＳ３６）ことで、ユーザにサービスを提供するプログラムを本来のものに戻し、正常状態に復帰する。これ以降は、比較処理制御部２４が、所定の間隔で実行されて、再び主ドメイン１０を監視することになる。
【００５０】
〈本実施形態の作用・効果〉
本実施形態のプログラム修復システムでは、各コアが並列に動作するマルチコアシステムを利用して、サービス機能を動作させる主ドメインと、主ドメインを監視する検査ドメインを並列に実行可能である。したがって、検査ドメインによる検査処理が、主ドメインの処理に対して与える悪影響を抑制することができる。
【００５１】
また、この検査処理のために、主ドメイン側が追加で行わなければならない処理は、割り込み発生時の主ドメイン状態記憶部の更新処理だけである。この処理は、負荷の軽い処理であるので、主ドメインに与える悪影響を少なくすることができる。割り込みは頻繁に発生するものなので、状態値は随時更新されることになる。また、割り込みハンドラに状態更新処理を追加するだけでよいので、主ドメイン側のプログラム変更も最小限とすることができる。
【００５２】
また、緊急処理用ソフトウェアを用意し、主ドメインのプログラム復元時にこの緊急処理プログラムを動作させることで、復元処理の間も最低限の機能の提供は継続することができる。
【００５３】
このように、本実施形態のプログラム修復システムでは、通常時に余計な負荷を与えず、また、異常発生時であってもサービス機能の提供を継続できる。つまり、本来の処理に対する悪影響を最小限としつつも、障害が発生したプログラムを修復することが可能となる。
【００５４】
（変形例）
上記の実施形態では、主ドメインで状態値を更新・格納しておき、復元ドメインがこの値の変化を監視することで、主ドメインが正常に動作しているか否かを判断していた。しかしながら、主ドメインが正常に動作しているか否かの検査は、このような方法に限られるものではない。例えば、検査ドメインは、主ドメイン内のプログラムの正しいハッシュ値を記憶しておき、検査の際にはプログラムのハッシュ値を求めて記憶しておいたものと一致するか否かを判断してもよい。この方法によれば、主ドメイン内のプログラムの改ざんを検出することが可能である。なお、このように、プログラムの改ざんも「障害」に該当する。
【００５５】
また、複数のドメインを提供するための仕組みは、図１で説明したようにモニターソフトウェアによってドメインを区切る方法に限られるものではない。例えば、図６に示すように、各コアに固有のＲＡＭ領域を割り当て、その上でそれぞれがＯＳを稼働する。そして、チップとバスとの間に設けたフィルタによって、あるコアからの別のコアに割り当てられたＲＡＭ領域へのアクセスを禁止することでドメインの分離が実現できる。さらに、あるコアから他のコアに対してアクセスを許可するようにしておけば、安全ドメインと非安全ドメインとの区別を設けることができる。
【００５６】
また、図７に示すように、マルチコアシステム上でホストＯＳを実行、その中で仮想マシン環境（プログラム）を実現し、仮想マシン環境上でゲストＯＳを実行することで、ドメインを区切ってもよい。各ゲストＯＳは、仮想的に独立した実行環境である。そして、ゲストＯＳからはホストＯＳに対してアクセスができないものの、ホストＯＳはゲストＯＳに対してアクセスすることができる。よって、ホストＯＳが安全ドメインで、ゲストＯＳが非安全ドメインとすることができる。
【図面の簡単な説明】
【００５７】
【図１】安全ドメインと非安全ドメインを説明する図である。
【図２】本実施形態に係るプログラム修復システムの機能ブロック図を示す図である。
【図３】主ドメインによる処理の流れを示すフローチャートである。
【図４】検査ドメインによる検査処理の流れを示すフローチャートである。
【図５】検査ドメインによる復元処理および緊急処理ドメインによる緊急処理の流れを示すフローチャートである。
【図６】安全ドメインと非安全ドメインを実現する別の例を示す図である。
【図７】安全ドメインと非安全ドメインを実現する別の例を示す図である。
【符号の説明】
【００５８】
１０  主ドメイン
１１  割り込み処理部
１２  主ドメイン状態変更部
１３  主ドメイン状態記憶部
２０  検査ドメイン
２１  主ドメイン状態参照部
２２  主ドメイン状態比較部
２３  主ドメイン前状態記憶部
２４  比較処理制御部
２５  緊急状態制御部
２６  主ドメイン復元部
３０  緊急処理ドメイン
３１  緊急処理用ソフトウェア
【図１】
2010020621.tif 000003
【図２】
2010020621.tif 000004
【図３】
2010020621.tif 000005
【図４】
2010020621.tif 000006
【図５】
2010020621.tif 000007
【図６】
2010020621.tif 000008
【図７】
2010020621.tif 000009