ネットワーク経由で組み込みソフトのバグを修正する　――後からモジュールを追加できるITRON仕様OSの開発

　本開発で動的な保護ドメイン生成・削除サービス・コールを実装した理由は二つあります．

　第1の理由は，保護ドメインを静的に生成する場合の冗長性を許容できないことです．保護ドメインを動的に生成するのではなく，システムで必要と想定する保護ドメインの最大数を静的にベース・モジュールに生成させようという，割り切ったアイデアもありました．TLB（translation look-aside buffer；アドレス変換情報テーブル）のみを持つRISCプロセッサであれば，一つの保護ドメインが必要とする管理領域のメモリ・サイズは少ないので，保護ドメインの最大数をシステムに静的に生成しておく程度の冗長性は許容範囲であると考えられます．しかし，今回開発対象としたプロセッサ「ARM920T」のMMUは，外部メモリに保護ドメインごとのページ・テーブルを必要とします．一つの保護ドメインが必要とするページ領域サイズが大きいので，使用しない保護ドメインを静的に生成しておく冗長性を許容できません．

　第2の理由は，保護ドメイン削除機能を利用するのはローダ機能のみであることです．「ローダ機能が保護ドメインを削除するときは，所属する資源をすべて削除しているはず」ということを前提としました．

　保護ドメインの動的削除機能の実装にあたっては，削除しようとする保護ドメインに所属するオブジェクトが残っていた場合，保護ドメインを削除し，所属オブジェクトを削除しない仕様（コラム「保護ドメインを動的に削除する場合の仕様検討」で挙げた2）に該当する）としました^注4．

 注4；実際には，保護ドメイン削除時に所属するタスクが存在するかどうかを確認する実装としている．所属しているタスクが存在した場合，システム自体を暴走させてしまうからである．