特許 7379512 セキュア・ドメインと非セキュア・エンティティとの間のストレージ共用

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-11-06

(45)【発行日】2023-11-14

(54)【発明の名称】セキュア・ドメインと非セキュア・エンティティとの間のストレージ共用

(51)【国際特許分類】

   G06F 12/14 20060101AFI20231107BHJP

【ＦＩ】

G06F12/14 510E

【請求項の数】 12

(21)【出願番号】P 2021550298

(86)(22)【出願日】2020-03-02

(65)【公表番号】

(43)【公表日】2022-04-20

(86)【国際出願番号】 IB2020051753

(87)【国際公開番号】W WO2020183283

(87)【国際公開日】2020-09-17

【審査請求日】2022-08-24

(31)【優先権主張番号】16/296,308

(32)【優先日】2019-03-08

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】390009531

【氏名又は名称】インターナショナル・ビジネス・マシーンズ・コーポレーション

【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ

【住所又は居所原語表記】Ｎｅｗ Ｏｒｃｈａｒｄ Ｒｏａｄ， Ａｒｍｏｎｋ， Ｎｅｗ Ｙｏｒｋ １０５０４， Ｕｎｉｔｅｄ Ｓｔａｔｅｓ ｏｆ Ａｍｅｒｉｃａ

(74)【代理人】

【識別番号】100112690

【弁理士】

【氏名又は名称】太佐 種一

(72)【発明者】

【氏名】ヘラー、リサ、クラントン

(72)【発明者】

【氏名】ブサバ、ファディ

(72)【発明者】

【氏名】ブラッドベリー、ジョナサン

【審査官】平井 誠

(56)【参考文献】

【文献】米国特許出願公開第２０１９／００４２４６３（ＵＳ，Ａ１）

【文献】特表２０１６－５３６７２０（ＪＰ，Ａ）

【文献】SEONGWOOK JIN; ET AL，ARCHITECTURAL SUPPORT FOR SECURE VIRTUALIZATION UNDER A VULNERABLE HYPERVISOR，PROCEEDINGS OF THE 44TH ANNUAL IEEE/ACM INTERNATIONAL SYMPOSIUM ON MICROARCHITECTURE，米国，2011年，PAGE(S):272-283，http://dx.doi.org/10.1145/2155620.2155652

【文献】SEONGWOOK JIN; ET AL，H-SVM: HARDWARE-ASSISTED SECURE VIRTUAL MACHINES UNDER A VULNERABLE HYPERVISOR，IEEE TRANSACTIONS ON COMPUTERS，米国，IEEE，2015年10月，VOL:64, NR:10，PAGE(S):2833-2846，http://dx.doi.org/10.1109/TC.2015.2389792

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １２／１４

Ｇ０６Ｆ ２１／００－８８

(57)【特許請求の範囲】

【請求項1】

コンピュータ・システムのセキュア・インタフェース制御によって、前記コンピュータ・システムの非セキュア・エンティティが前記非セキュア・エンティティと前記コンピュータ・システムのセキュア・ドメインとの間で共用されているメモリのページにアクセスすることを、前記ページのセキュア・ストレージ保護インジケータがクリアであり前記ページに非セキュア・ページのマークが付けられていることに基づいて、有効化すること、
前記セキュア・インタフェース制御によって、前記非セキュア・エンティティが前記ページにアクセスすることを許す前に、前記ページの前記セキュア・ストレージ保護インジケータがクリアであることを確認すること、および
前記セキュア・インタフェース制御によって、前記ページの前記セキュア・ストレージ保護インジケータのチェックなしで、前記セキュア・ドメインのセキュア・エンティティに、前記ページへのアクセスを提供すること
を含む、方法。

【請求項2】

前記セキュア・インタフェース制御によって、前記非セキュア・エンティティによって確立されると共に前記セキュア・エンティティによって使用される動的アドレス変換マッピングが、前記セキュア・エンティティに前記ページへのアクセスを提供する前に変更されていないことを確認すること
をさらに含む、請求項１に記載の方法。

【請求項3】

前記セキュア・インタフェース制御によって、前記ページへの共用アクセスを確立することを求める前記セキュア・エンティティからのリクエストを受け取ること、
前記セキュア・インタフェース制御によって、前記ページが現在、前記セキュア・ストレージ保護インジケータがセットされたセキュア・ページとして識別されているかどうか、および前記ページが前記セキュア・エンティティの前記セキュア・ドメインに登録されているかどうかを判定すること、ならびに
前記セキュア・インタフェース制御によって、前記ページがセキュア・ページとして識別されており、かつ前記セキュア・エンティティの前記セキュア・ドメインに登録されていると判定したことに基づいて、前記ページを前記セキュア・ドメインに共用ページとして登録すること
をさらに含む、請求項１または請求項２に記載の方法。

【請求項4】

前記セキュア・インタフェース制御によって、前記ページが現在、セキュア・ページとして識別されていると共に前記セキュア・エンティティの前記セキュア・ドメインに登録されており、かつ前記ページが現在、ロックされていない、と判定したことに基づいて、前記ページをロックすること、および
前記セキュア・インタフェース制御によって、前記セキュア・エンティティまたは異なるコンテキストにおいては前記セキュア・インタフェース制御が、前記ページがロックされているときに前記ページにアクセスすることを防ぐこと
をさらに含む、請求項３に記載の方法。

【請求項5】

前記セキュア・インタフェース制御によって、前記ページがロックされているときに前記ページの１つまたは複数の許可チェックまたは状態更新を実行すること、および
前記セキュア・インタフェース制御によって、前記ページの前記１つまたは複数の許可チェックまたは状態更新を完了したことに基づいて、前記ページのロックを解除すること
をさらに含む、請求項４に記載の方法。

【請求項6】

前記ページへの共用アクセスを確立することを求める前記リクエストを受け取る前に前記ページが既にロックされていた、と判定したことに基づいて、前記セキュア・エンティティに使用中インジケータを送ること
をさらに含む、請求項４に記載の方法。

【請求項7】

前記ページに関連づけられたセキュア・ドメイン識別子と前記ページに関連づけられた仮想アドレス・マッピング・データとを含むゾーン・セキュリティ・テーブルを介して、前記セキュア・ドメインがチェックおよび更新される、請求項１から請求項６のいずれか一項に記載の方法。

【請求項8】

前記セキュア・ストレージ保護インジケータが、前記メモリの複数のページのうちのそれぞれのページに対する前記コンピュータ・システムのハードウェア内のビットを含む、請求項１から請求項７のいずれか一項に記載の方法。

【請求項9】

前記セキュア・インタフェース制御が、ファームウェア、ハードウェア、またはファームウェアとハードウェアの組合せを含み、前記非セキュア・エンティティがハイパーバイザを含み、前記セキュア・エンティティが前記セキュア・ドメイン内の前記ハイパーバイザにホストされるセキュア・ゲストである仮想機械を含む、請求項１から請求項８のいずれか一項に記載の方法。

【請求項10】

システムであって、
処理ユニットと、
セキュア・インタフェース制御と、
を備え、前記セキュア・インタフェース制御が、請求項１から請求項９のいずれか一項に記載の方法を前記処理ユニットに実行させるように構成されている、システム。

【請求項11】

処理ユニットに請求項１から請求項９のいずれか一項に記載の方法を実行させるように構成されている、コンピュータ・プログラム。

【請求項12】

請求項１１に記載のコンピュータ・プログラムを記録した、コンピュータ可読ストレージ媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は一般にコンピュータ技術に関し、より詳細には、セキュアな（secure）（以後、セキュア）ドメインと非セキュア（non-secure）・エンティティとの間のストレージ共用に関する。

【背景技術】

【0002】

クラウド・コンピューティングおよびクラウド・ストレージは、ユーザが所有するデータを第三者のデータ・センタに記憶し、それらのデータをそのデータ・センタで処理する能力をユーザに提供する。クラウド・コンピューティングは、ハードウェアを購入することまたは物理サーバのための床面積を提供することを顧客に要求することなしに、ＶＭを迅速かつ簡単に顧客に提供する能力を容易にする。顧客は、顧客の嗜好または要件の変化に応じてＶＭを簡単に拡張または縮小することができる。クラウド・コンピューティングのプロバイダは通常、プロバイダのデータ・センタのサーバ上に物理的に存在するＶＭを提供する。顧客はしばしば、ＶＭ内のデータのセキュリティについて心配する。これは特に、コンピューティング・プロバイダがしばしば、同じサーバ上に２以上の顧客のデータを記憶しているためである。顧客は、顧客が所有するコード／データとクラウド・コンピューティング・プロバイダのコード／データとの間のセキュリティ、および顧客が所有するコード／データとプロバイダのサイトで動作している他のＶＭのコード／データとの間のセキュリティを要望することがある。さらに、顧客が、プロバイダの管理者からのセキュリティ、および機械上で動作している他のコードによる潜在的なセキュリティ侵害に対するセキュリティを要望することもある。

【0003】

このような機密に関わる状況を取り扱うために、クラウド・サービス・プロバイダは、適正なデータ分離および論理ストレージ隔離を保証するためのセキュリティ制御を実装することがある。クラウド・インフラストラクチャを実装する際に仮想化が広範に使用されている結果、クラウド・サービスの顧客に対するセキュリティ上の特有の心配が生じている。これは、仮想化が、オペレーティング・システム（ＯＳ）と基礎をなすハードウェアとの間の関係を変化させるためである。このハードウェアは、コンピューティングもしくはストレージ・ハードウェアであることがあり、またはネットワーキング・ハードウェアであることさえある。これにより、仮想化は、それ自体が適正に構成、管理および防護されなければならない追加の層として導入される。

【0004】

一般に、ホスト・ハイパーバイザの制御下でゲストとして動作しているＶＭは、ゲストに対する仮想化サービスをトランスペアレントに（transparently）提供することを、このハイパーバイザに頼っている。これらのサービスには、メモリ管理、命令エミュレーションおよび割込み処理が含まれる。

【0005】

メモリ管理の場合、ＶＭは、そのＶＭのデータを、メモリに存在するようにディスクから移動させ（ページイン）、さらに、そのＶＭのデータをディスクに戻す（ページアウト）ことができる。そのページがメモリに存在する間、ＶＭ（ゲスト）は、動的アドレス変換（dynamic address translation）（ＤＡＴ）を使用して、メモリ内のページをゲスト仮想アドレスからゲスト絶対アドレスにマップする。さらに、ホスト・ハイパーバイザも、メモリ内のゲスト・ページに対するそれ自体の（ホスト仮想アドレスからホスト絶対アドレスへの）ＤＡＴマッピングを有しており、ホスト・ハイパーバイザは、ゲストとは独立に、またゲストに対してトランスペアレントに、ゲスト・ページをメモリにページインすることおよびメモリからページアウトすることができる。ハイパーバイザは、２つの別個のゲストＶＭ間でのゲスト・メモリのメモリ分離またはメモリ共用を、ホストＤＡＴテーブルによって提供する。ホストはさらに、必要に応じて、ゲストに代わって、ゲスト・メモリにアクセスして、ゲスト・オペレーションをシミュレートすることができる。

【発明の概要】

【0006】

本発明の１つまたは複数の実施形態によれば、コンピュータ実施方法（computerimplemented method）は、コンピュータ・システムのセキュア・インタフェース制御によって、コンピュータ・システムの非セキュア・エンティティがこの非セキュア・エンティティとコンピュータ・システムのセキュア・ドメインとの間で共用されているメモリのページにアクセスすることを、このページのセキュア・ストレージ保護インジケータがクリアでありこのページに非セキュア・ページのマークが付けられていることに基づいて、有効化することを含む。セキュア・インタフェース制御は、非セキュア・エンティティがこのページにアクセスすることを許す前に、このページのセキュア・ストレージ保護インジケータがクリアであることを確認することができる。セキュア・インタフェース制御は、このページのセキュア・ストレージ保護インジケータのチェックなしで、セキュア・ドメインのセキュア・エンティティに、このページへのアクセスを提供することができる。利点は、セキュア・ドメインと非セキュア・エンティティとの間のストレージ共用を含みうる。

【0007】

本発明の追加の実施形態または代替実施形態によれば、セキュア・インタフェース制御は、非セキュア・エンティティによって確立された、セキュア・エンティティによって使用される動的アドレス変換マッピングが、セキュア・エンティティにこのページへのアクセスを提供する前に変更されていないことを確認することができる。利点は、セキュア・エンティティによって使用されるアドレス変換が非セキュア・エンティティによって変更されていないことを保証することを含みうる。

【0008】

本発明の追加の実施形態または代替実施形態によれば、セキュア・インタフェース制御は、このページへの共用アクセスを確立することを求めるセキュア・エンティティからのリクエストを受け取ることができる。セキュア・インタフェース制御は、このページが現在、セキュア・ストレージ保護インジケータがセットされたセキュア・ページとして識別されているかどうか、およびこのページが、セキュア・エンティティのセキュア・ドメインに登録されているかどうかを判定することができる。セキュア・インタフェース制御は、このページがセキュア・ページとして識別されており、セキュア・エンティティのセキュア・ドメインに登録されていると判定したことに基づいて、このページを、セキュア・ドメインに、共用ページとして登録することができる。利点は、ストレージ保護ステータスおよびページ登録を追跡することを含みうる。

【0009】

本発明の追加の実施形態または代替実施形態によれば、セキュア・インタフェース制御は、このページが現在、セキュア・ページとして識別されており、セキュア・エンティティのセキュア・ドメインに登録されており、このページが現在、ロックされていないと判定したことに基づいて、このページをロックすることができる。セキュア・インタフェース制御は、セキュア・エンティティまたは異なるコンテキストにおいてはセキュア・インタフェース制御が、このページがロックされているときにこのページにアクセスすることを防ぐことができる。利点は、ある種の条件下でセキュア・ページへのアクセスを制限することを含みうる。

【0010】

本発明の追加の実施形態または代替実施形態によれば、セキュア・インタフェース制御は、このページがロックされているときにこのページの１つまたは複数の許可チェック（authorization check）または状態更新（state update）を実行することができる。セキュア・インタフェース制御は、このページの１つまたは複数の許可チェックまたは状態更新を完了したことに基づいて、このページのロックを解除することができる。利点は、ページの許可チェックを管理することを含みうる。

【0011】

本発明の追加の実施形態または代替実施形態によれば、このページへの共用アクセスを確立することを求めるリクエストを受け取る前にこのページが既にロックされていた、と判定したことに基づいて、セキュア・エンティティに使用中インジケータ（busy indicator）を送ることができる。利点は、通知タイミングを制御することを含みうる。

【0012】

本発明の追加の実施形態または代替実施形態によれば、このページに関連づけられたセキュア・ドメイン識別子およびこのページに関連づけられた仮想アドレス・マッピング・データを含むゾーン・セキュリティ・テーブルを介して、セキュア・ドメインをチェックおよび更新することができる。利点は、複数のページおよびゾーンのステータスを管理することを含みうる。

【0013】

本発明の追加の実施形態または代替実施形態によれば、セキュア・ストレージ保護インジケータは、メモリの複数のページのうちのそれぞれのページに対するコンピュータ・システムのハードウェア内のビットを含むことができる。利点は、メモリのストレージ保護インジケータを管理することを含みうる。

【0014】

本発明の追加の実施形態または代替実施形態によれば、セキュア・インタフェース制御は、ファームウェア、ハードウェア、またはファームウェアとハードウェアの組合せとすることができる。非セキュア・エンティティはハイパーバイザとすることができる。セキュア・エンティティは仮想機械とすることができ、この仮想機械は、セキュア・ドメイン内のハイパーバイザにホストされるセキュア・ゲストである。利点は、セキュア・エンティティからのセキュア・ページを非セキュア・エンティティと共用することを含みうる。

【0015】

本発明の他の実施形態は、上述の方法の特徴を、コンピュータ・システムおよびコンピュータ・プログラム製品に実装する。

【0016】

本開示の技法によって、追加の特徴および利益が実現される。本明細書には、本発明の他の実施形態および態様が詳細に記載されており、それらは、本発明の部分とみなされる。本発明ならびに本発明の利点および特徴をより十分に理解するためには、以下説明および図面を参照されたい。

【0017】

本明細書に記載された独占権の詳細は、本明細書の末尾の特許請求の範囲に具体的に示されており、明確に主張されている。本発明の実施形態の上記の特徴および利点ならびにその他の特徴および利点は、添付図面とともに解釈される以下の詳細な説明から明らかである。

【図面の簡単な説明】

【0018】

【図1】本発明の１つまたは複数の実施形態による、ゾーン・セキュリティのためのテーブルを示す図である。

【図2】本発明の１つまたは複数の実施形態による、ＤＡＴを実行するための仮想アドレス空間および絶対アドレス空間を示す図である。

【図3】本発明の１つまたは複数の実施形態による、ハイパーバイザの下で動作している仮想機械（virtual machine）（ＶＭ）をサポートするネストされた（nested）マルチパートＤＡＴを示す図である。

【図4】本発明の１つまたは複数の実施形態による、セキュア・ゲスト・ストレージのマッピングを示す図である。

【図5】本発明の１つまたは複数の実施形態による、動的アドレス変換（ＤＡＴ）オペレーションのシステム概略図を示す図である。

【図6】本発明の１つまたは複数の実施形態による、セキュア・インタフェース制御メモリのシステム概略図を示す図である。

【図7】本発明の１つまたは複数の実施形態による、インポート・オペレーションのプロセス・フローを示す図である。

【図8】本発明の１つまたは複数の実施形態による、インポート・オペレーションのプロセス・フローを示す図である。

【図9】本発明の１つまたは複数の実施形態による、供与メモリ・オペレーション（donated memory operation）のプロセス・フローを示す図である。

【図10】本発明の１つまたは複数の実施形態による、非セキュア（non-secure）ハイパーバイザ・ページからセキュア・インタフェース制御のセキュア・ページへの移行（transition）のプロセス・フローを示す図である。

【図11】本発明の１つまたは複数の実施形態による、セキュア・インタフェース制御によってなされたセキュア・ストレージ・アクセスのプロセス・フローを示す図である。

【図12】本発明の１つまたは複数の実施形態による、セキュア・インタフェース制御およびハードウェアによるアクセス・タグ付けのプロセス・フローを示す図である。

【図13】本発明の１つまたは複数の実施形態による、プログラムおよびセキュア・インタフェース制御によるセキュア・アクセスおよび非セキュア・アクセスをサポートする変換のプロセス・フローを示す図である。

【図14】本発明の１つまたは複数の実施形態による、プログラムおよびセキュア・インタフェース制御によるセキュア・ストレージ保護付きのＤＡＴのプロセス・フローを示す図である。

【図15】本発明の１つまたは複数の実施形態による、共用アクセス・ストレージ保護のためのプロセス・フローを示す図である。

【図16】本発明の１つまたは複数の実施形態による、セキュア・ドメインと非セキュア・エンティティとの間のストレージ共用のためのプロセス・フローを示す図である。

【図17】本発明の１つまたは複数の実施形態によるクラウド・コンピューティング環境を示す図である。

【図18】本発明の１つまたは複数の実施形態による抽象化モデル層を示す図である。

【図19】本発明の１つまたは複数の実施形態によるシステムを示す図である。

【図20】本発明の１つまたは複数の実施形態による処理システムを示す図である。

【発明を実施するための形態】

【0019】

本明細書に示された図は例示を目的としている。本発明の思想を逸脱しない、図および図に記載されたオペレーションに対する多くの変形態様が存在しうる。例えば、動作を異なる順序で実行することができ、または動作を追加、削除もしくは変更することができる。さらに、用語「結合された（coupled）」およびその変異語は、２つの要素間に通信経路を有することを示し、要素間に介在要素／接続がない要素間の直接接続を含意しない。これらの変形態様は全て本明細書の一部とみなされる。

【0020】

本発明の１つまたは複数の実施形態は、追加のセキュリティを提供するために、ソフトウェアと機械との間の効率的で軽量のセキュア・インタフェース制御を強化する。

【0021】

ホスト・ハイパーバイザの制御下でゲストとして動作している仮想機械（ＶＭ）は、ゲストに対する仮想化サービスをトランスペアレントに提供することを、このハイパーバイザに頼っている。これらのサービスは、セキュア・エンティティと信頼できない別のエンティティとの間のインタフェースに適用することができる。このインタフェースは従来、この別のエンティティによるセキュア・リソースへのアクセスを許している。前述のとおり、これらのサービスには、限定はされないが、メモリ管理、命令エミュレーションおよび割込み処理が含まれうる。例えば、割込みおよび例外インジェクション（exception injection）のために、ハイパーバイザは通常、ゲストのプレフィックス領域（ロー・コア（low core））に対する読出しもしくは書込みまたはその両方を実行する。本明細書で使用される用語「仮想機械」ないし「ＶＭ」は、物理機械（コンピューティング・デバイス、プロセッサなど）およびその処理環境（オペレーティング・システム（ＯＳ）、ソフトウェア・リソースなど）の論理表現のことを指している。ＶＭは、基礎をなすホスト機械（物理プロセッサまたは一組のプロセッサ）上で実行されるソフトウェアとして維持される。ユーザまたはソフトウェア・リソースから見ると、ＶＭは、それ自体の独立した物理機械であるように見える。本明細書で使用される用語「ハイパーバイザ」および「ＶＭモニタ（ＶＭＭ）」は、複数のＶＭを管理する処理環境またはプラットフォーム・サービスであって、それらのＶＭが、同じホスト機械上で複数の（時に異なる）ＯＳを使用して実行されることを可能にする処理環境またはプラットフォーム・サービスのことを指している。ＶＭをデプロイすることは、ＶＭのインストール・プロセスおよびＶＭの起動（または始動）プロセスを含むことを理解すべきである。別の例では、ＶＭをデプロイすることが、ＶＭの起動（または始動）プロセスを含む（例えばＶＭが以前にインストールされた場合またはＶＭが既に存在する場合）。

【0022】

セキュア・ゲストを容易にし、サポートするため、ハイパーバイザとセキュア・ゲストとの間の、ハイパーバイザに依存しない追加のセキュリティであって、ハイパーバイザが、ＶＭからのデータにアクセスすることができず、したがって上で説明したやり方でサービスを提供することができないような態様の追加のセキュリティが求められているという、技術上の課題が存在している。

【0023】

本明細書に記載されたセキュア実行（secure execution）は、セキュア・ストレージと非セキュア・ストレージの間の分離、および異なるセキュア・ユーザに属するセキュア・ストレージ間の分離を保証するハードウェア機構を提供する。セキュア・ゲストに関しては、「信頼できない」非セキュア・ハイパーバイザとセキュア・ゲストの間に追加のセキュリティが提供される。これを達成するためには、通常はゲストに代わってハイパーバイザが実行する機能の多くを機械に組み込む必要がある。ハイパーバイザとセキュア・ゲストの間にセキュア・インタフェースを提供するために、本明細書では「ＵＶ」とも呼ぶ新規のセキュア・インタフェース制御を説明する。本明細書では、用語セキュア・インタフェース制御とＵＶとが相互に交換可能に使用される。この追加のセキュリティを提供するために、セキュア・インタフェース制御はハードウェアと協力して働く。さらに、より低水準の（lower level）ハイパーバイザが、この信頼できないハイパーバイザに対して仮想化を提供していることがあり、このより低水準のハイパーバイザが、信頼できるコードの中に実装されている場合には、このハイパーバイザを、セキュア・インタフェース制御の部分とすることもできる。

【0024】

一例では、セキュア・インタフェース制御が、内部の信頼できるセキュア・ハードウェアもしくはファームウェアまたはその両方の中に実装される。この信頼できるファームウェアは、例えばプロセッサ・ミリコードまたはＰＲ／ＳＭ論理分割コード（logical partitioning code）を含むことができる。セキュア・ゲストまたはエンティティに関して、セキュア・インタフェース制御は、セキュア環境の初期化および維持、ならびにハードウェア上でのこれらのセキュア・エンティティのディスパッチの調整を提供する。セキュア・ゲストがデータを能動的に使用しており、セキュア・ゲストがホスト・ストレージに存在する間、セキュア・ゲストは、セキュア・ストレージ内で「妨げるものなしに（in the clear）」保たれる。その単一のセキュア・ゲストは、セキュア・ゲスト・ストレージにアクセスすることができる。このことは、ハードウェアによって厳しく強制される。すなわち、ハードウェアは、（ハイパーバイザまたは他の非セキュア・ゲストを含む）非セキュア・エンティティまたは異なるセキュア・ゲストがそのデータにアクセスすることを防ぐ。この例では、セキュア・インタフェース制御が、最も低水準のファームウェアの信頼できる部分として動作する。最も低水準のファームウェアまたはミリコードは、実際にハードウェアの拡張であり、複雑な命令および機能、例えばＩＢＭのｚＡｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）に定義された複雑な命令および機能を実施するために使用される。ミリコードは、ストレージの全ての部分にアクセスすることができ、セキュア実行のコンテキストでは、この部分が、それ自体のセキュアＵＶストレージ、非セキュア・ハイパーバイザ・ストレージ、セキュア・ゲスト・ストレージおよび共用ストレージを含む。このことは、このミリコードが、セキュア・ゲストまたはそのゲストをサポートするハイパーバイザが必要とする機能を提供することを可能にする。セキュア・インタフェース制御はさらに、ハードウェアに直接にアクセスすることができ、このことは、ハードウェアが、セキュア・インタフェース制御によって確立された条件の制御の下で、セキュリティ・チェックを効率的に提供することを可能にする。

【0025】

本発明の１つまたは複数の実施形態によれば、このソフトウェアは、ＵＶ呼出し（ＵＶＣ）命令を使用して、特定の動作を実行するようセキュア・インタフェース制御に要求する。例えば、ハイパーバイザはこのＵＶＣ命令を使用して、セキュア・インタフェース制御を初期化すること、セキュア・ゲスト・ドメイン（例えばセキュア・ゲスト構成）を生成すること、およびそのセキュア構成内に仮想ＣＰＵを生成することができる。さらに、このＵＶＣ命令を使用して、ハイパーバイザ・ページイン・オペレーションまたはハイパーバイザ・ページアウト・オペレーションの部分として、セキュア・ゲスト・ページをインポートすること（復号し、セキュア・ゲスト・ドメインに割り当てること）およびエクスポートすること（暗号化し、セキュア・ゲスト・ページへのホスト・アクセスを許すこと）もできる。さらに、セキュア・ゲストは、ハイパーバイザと共用するストレージを定義し、セキュア・ストレージを共用し、共用ストレージをセキュアにする能力を有する。

【0026】

多くの他のアーキテクテッド命令（architected instruction）と同様に、これらのＵＶＣコマンドを機械ファームウェアによって実行することができる。この機械はセキュア・インタフェース制御モードには入らず、その代わりに、この機械が現在動作しているモードでセキュア・インタフェース制御の機能を実行する。ハードウェアは、ファームウェア状態とソフトウェア状態の両方を維持し、そのため、これらのオペレーションを取り扱うためのコンテキストの切換え（switch of contexts）は起こらない。この低いオーバヘッドは、ソフトウェア、セキュア・インタフェース制御の複雑さを最小化し低減させ、それにもかかわらず必要なセキュリティ・レベルを提供するような形での、信頼できるファームウェアおよびハードウェアの異なる層間の緊密な協働を可能にする。

【0027】

本発明の１つまたは複数の実施形態によれば、セキュア・ゲスト環境およびサポート・ハイパーバイザ環境を適正に維持するためにセキュア・インタフェース制御およびハードウェアが必要とする制御ブロック構造のサポートにおいて、ハイパーバイザは、セキュア・ゲスト環境を初期化する間に、セキュア・インタフェース制御にストレージを供与する。その結果として、ハイパーバイザは、１）セキュア・ゲストを動作するゾーンを初期化するため、２）セキュア・ゲスト・ドメインを生成するため、および３）それぞれのドメインで動作するセキュアＣＰＵを生成するための準備において、とりわけ供与に必要なストレージの量を決定するために、照会ＵＶＣ（query UVC）命令を発する。ストレージが供与された後、そのストレージにはセキュア・ストレージのマークが付けられ、そのストレージは、セキュア・インタフェース制御に属するものとして登録され、非セキュアまたはセキュア・ゲスト・エンティティによるアクセスが禁じられる。このことは、関連エンティティ（例えばセキュア・ゲストＣＰＵ、セキュア・ゲスト・ドメインまたはゾーン）が破壊されるときまで事実であり続ける。

【0028】

一例では、ゾーン特定ＵＶ制御ブロックをサポートするＵＶストレージの第１のセクションが、初期化ＵＶＣの一部としてセキュア・インタフェース制御に供与され、このセクションは、本明細書ではＵＶ２ストレージと呼ぶものの中に存在する。（それぞれのセキュア・ゲスト・ドメインに対する）ベース（base）セキュア・ゲスト構成制御ブロックおよび可変(variable)セキュア・ゲスト構成制御ブロックをサポートするＵＶストレージの第２および第３のセクションは、セキュア・ゲスト構成生成（create-secure-guest-configuration）ＵＶＣの一部として供与され、それらのセクションはそれぞれ、ＵＶＳおよびＵＶＶストレージの中に存在する。セキュアＣＰＵ制御ブロックをサポートするＵＶストレージの第４のセクションおよび最終セクションもＵＶＳ空間に存在し、それらのセクションは、セキュア・ゲストＣＰＵ生成（create-secure-guest-CPU）ＵＶＣの一部として供与される。これらのそれぞれのエリアが供与されると、セキュア制御インタフェースは、（非セキュア・エンティティがそれらエリアにアクセスすることを防ぐために）それらのエリアにセキュアのマークを付け、さらに、（セキュア・ゲスト・エンティティがそれらのエリアにアクセスすることを防ぐために）それらのエリアを、ゾーン・セキュリティ・テーブルに、セキュア・インタフェース制御に属するものとして登録する。ＵＶ空間内のさらなる分離を提供するため、（特定のどのセキュア・ゲスト・ドメインにも関連づけられていない）ＵＶ２空間にさらに、固有のＵＶ２セキュア・ドメインのタグが付けられ、その一方で、ＵＶＳ空間とＵＶＶ空間の両方に、関連する特定のセキュア・ゲスト・ドメインのタグが付けられる。この例では、ＵＶＶ空間がホスト仮想空間に存在し、したがって、ホスト仮想－ホスト絶対マッピングによってＵＶＶ空間をさらに識別することができる。

【0029】

セキュア・インタフェース制御は、全てのストレージ（非セキュア・ストレージ、セキュア・ゲスト・ストレージおよびＵＶストレージ）にアクセスすることができるが、本発明の１つまたは複数の実施形態は、セキュア・インタフェース制御がＵＶストレージに非常に特異的にアクセスすることを可能にする機構を提供する。セキュア・ゲスト・ドメイン間の分離を提供する同じハードウェア機構を使用して、本発明の実施形態は、ＵＶストレージ内の同様の分離を提供することができる。このことは、セキュア・インタフェース制御が、意図および指定されたときにＵＶストレージだけにアクセスすること、セキュア・インタフェース制御が、所望の指定されたセキュア・ゲストに対するセキュア・ゲスト・ストレージだけにアクセスすること、および、セキュア・インタフェース制御が、指定されたときに、非セキュア・ストレージだけにアクセスすることを保証する。すなわち、セキュア・インタフェース制御は、セキュア・インタフェース制御がアクセスしようと意図するストレージを非常に明確に指定することができ、そのため、ハードウェアは、セキュア・インタフェース制御がそのストレージに実際にアクセスすることを保証することができる。さらに、セキュア・インタフェース制御は、セキュア・インタフェース制御が、指定されたセキュア・ゲスト・ドメインに関連づけられたＵＶストレージだけにアクセスすることを意図していることをさらに指定することができる。

【0030】

セキュリティを提供するため、ハイパーバイザが、セキュア・ゲスト・データをトランスペアレントにページインおよびページアウトしているときには、ハードウェアとともに働いているセキュア・インタフェース制御が、データの復号および暗号化を提供および保証する。これを達成するため、ハイパーバイザは、ゲスト・セキュア・データをページインおよびページアウトするときに、新たなＵＶＣを発行する必要がある。これらの新たなＵＶＣ中にセキュア・インタフェース制御によってセットアップされた制御に基づいて、ハードウェアは、これらのＵＶＣが実際にハイパーバイザによって発行されることを保証する。

【0031】

この新規のセキュア環境では、ハイパーバイザがセキュア・ページをページアウトしているときにはいつでも、ハイパーバイザは、新たなセキュア・ストレージからの変換（convert from secure storage）（エクスポート）ＵＶＣを発行する必要がある。このエクスポートＵＶＣに応答して、セキュア・インタフェース制御は、１）そのページがＵＶによって「ロックされている」ことを示し、２）そのページを暗号化し、３）そのページを非セキュアにセットし、４）ＵＶロックをリセットする。このエクスポートＵＶＣが完了した後、ハイパーバイザは次に、暗号化されたゲスト・ページをページアウトすることができる。

【0032】

さらに、ハイパーバイザがセキュア・ページをページインしているときにはいつでも、ハイパーバイザは、新たなセキュア・ストレージへの変換（convert to secure storage）（インポート）ＵＶＣを発行しなければならない。このインポートＵＶＣに応答して、ＵＶないしセキュア・インタフェース制御は、１）ハードウェア内で、そのページにセキュア・ページのマークを付け、２）そのページがＵＶによって「ロックされている」ことを示し、３）そのページを復号し、４）特定のセキュア・ゲスト・ドメインに権限（authority）をセットし、５）ＵＶロックをリセットする。セキュア・エンティティによってアクセスがなされているときにはいつでも、ハードウェアは、変換中にそのページに対する許可チェックを実行する。これらのチェックは、１）このページが実際に、このページにアクセスしようとしているセキュア・ゲスト・ドメインに属していることを確認するためのチェック、および２）このページがゲスト・メモリに存在している間、ハイパーバイザが、このページのホスト・マッピングを変更しなかったことを確かめるためのチェックを含む。ページにセキュア・ページのマークが付けられた後、ハードウェアは、ハイパーバイザまたは非セキュア・ゲストＶＭによるセキュア・ページへのアクセスを防ぐ。これらの追加の変換ステップは、別のセキュアＶＭによるアクセスを防ぎ、ハイパーバイザによる再マッピングを防ぐ。

【0033】

本発明の１つまたは複数の実施形態は、セキュア・ゲストがハイパーバイザとページを共用することを可能にする。セキュア・インタフェース制御は、デファイン・シェアード・ストレージ・コマンド（define-shared-storage command）またはメーク・シェアード・コマンド（make-shared command）などの１つまたは複数の共用コマンドを提供することができる。共用ページに関して、セキュア・インタフェース制御は、このページを単一のセキュア・ゲスト構成に割り当てること、およびこのページに非セキュア・ページのマークを付けることができる。このセキュア・ゲスト・アクセスは、このページが、ハイパーバイザによって再マップされていないこと、またはこのページが、異なるゲストに再割当てされていないことを確認し続けることができる。セキュア・インタフェース制御は、ハイパーバイザによるアクセスを許しつつ、異なるセキュア・ゲスト構成の共用ストレージ間の分離を提供することができる。

【0034】

次に図１を参照すると、本発明の１つまたは複数の実施形態による、ゾーン・セキュリティのためのテーブル１００が概括的に示されている。図１に示されたゾーン・セキュリティ・テーブル１００は、セキュア・エンティティによってアクセスされたページへのセキュア・アクセスを保証するために、セキュア・インタフェース制御によって維持され、セキュア・インタフェース制御およびハードウェアによって使用される。ゾーン・セキュリティ・テーブル１００は、ホスト絶対アドレス１１０によって索引付けされている。すなわち、ホスト絶対ストレージのページごとに１つのエントリが存在する。それぞれのエントリは、アクセスしているセキュア・エンティティにそのエントリが属していることを確認するために使用される情報を含む。

【0035】

さらに、図１に示されているように、ゾーン・セキュリティ・テーブル１００は、（このページに関連づけられたセキュア・ドメインを識別する）セキュア・ドメインＩＤ１２０、（このページが、セキュア・インタフェース制御に供与されたものであること、およびこのページが、セキュア・インタフェース制御によって所有されていることを示す）ＵＶビット１３０、（ホスト絶対ページと定義されたセキュア・インタフェース制御ページが関連ホスト仮想アドレスを有していないときなどのある種の状況においてホスト・アドレス対比較を無効（ディスエーブル）にするために使用される）アドレス比較無効化（disable address compare）（ＤＡ）ビット１４０、（このページが非セキュア・ハイパーバイザによって共用されていることを示す）共用（shared）（ＳＨ）ビット１５０、および（ホスト・アドレス対と呼ばれる、このホスト絶対アドレスに対して登録されたホスト仮想アドレスを示す）ホスト仮想アドレス１６０を含む。ホスト・アドレス対は、ホスト絶対アドレスおよび登録された関連ホスト仮想アドレスを示すことに留意されたい。ホスト・アドレス対は、ハイパーバイザによってインポートされた後のこのページのマッピングを表し、この比較は、このページがゲストによって使用されている間、ホストがこのページをリマップしないことを保証する。

【0036】

動的アドレス変換（ＤＡＴ）は、仮想記憶を実ストレージにマップするために使用される。ハイパーバイザの制御下で、ゲストＶＭが、ページング可能なゲストとして動作しているとき、ゲストは、ＤＡＴを使用して、ゲストのメモリに存在するページを管理する。さらに、ホストは、独立してＤＡＴを使用して、それらのページがホストのメモリに存在するときに、（ホスト自体のページとともに）それらのゲスト・ページを管理する。ハイパーバイザは、ＤＡＴを使用して、異なるＶＭ間でのストレージの分離もしくは共用またはその両方を提供し、ハイパーバイザ・ストレージへのゲスト・アクセスを防ぐ。ゲストが非セキュア・モードで動作しているとき、ハイパーバイザは、それらのゲストの全てのストレージにアクセスすることができる。

【0037】

ＤＡＴは、１つのアプリケーションを別のアプリケーションから分離することを可能にし、その一方で、それでも、それらのアプリケーションが共通のリソースを共用することを許す。さらに、ＤＡＴは、ＶＭの実装を可能にする。ＶＭは、ＯＳの新しいバージョンの設計および試験、ならびにアプリケーション・プログラムの並行処理に使用されることがある。仮想アドレスは、仮想ストレージ内の位置を識別する。アドレス空間は、連続する一連の仮想アドレスであり、それらの仮想アドレスは、（ＤＡＴテーブルを含む）特定の変換パラメータとともに、それぞれの仮想アドレスを関連絶対アドレスに変換することを可能にする。この関連絶対アドレスは、ストレージ内のバイト位置によってそのアドレスを識別する。

【0038】

ＤＡＴは、マルチテーブル・ルックアップを使用して、仮想アドレスを関連絶対アドレスに変換する。このテーブル構造は通常、ストレージ・マネージャによって定義および維持される。このストレージ・マネージャは、１つのページをページアウトして例えば別のページを持ち込むことによって、複数のプログラム間で絶対ストレージをトランスペアレントに共用する。そのページがページアウトされたとき、ストレージ・マネージャは、例えば、関連ページ・テーブル内の無効ビットをセットする。１つのプログラムが、ページアウトされたページにアクセスしようとすると、ハードウェアは、しばしばページ・フォールト（page fault）と呼ばれるプログラム割込みをストレージ・マネージャに提示する。これに応答して、ストレージ・マネージャは、リクエストされたページをページインし、無効ビットをリセットする。これは全て、そのプログラムに対してトランスペアレントに実行され、これによって、ストレージ・マネージャは、そのストレージを仮想化し、さまざまな異なるユーザ間でそのストレージを共用することができる。

【0039】

主ストレージにアクセスするためにＣＰＵによって仮想アドレスが使用されるとき、その仮想アドレスは最初にＤＡＴによって実アドレスに変換され、次いでプレフィックス変換（prefixing）によって絶対アドレスに変換される。特定のアドレス空間に対する最も高水準のテーブルの指示（designation）（起点および長さ）は、アドレス空間制御要素（address-space-control element）（ＡＳＣＥ）と呼ばれ、この指示が関連アドレス空間を定義する。

【0040】

次に図２を参照すると、本発明の１つまたは複数の実施形態による、ＤＡＴを実行するための例示的な仮想アドレス空間２０２、２０４および絶対アドレス空間２０６が概括的に示されている。図２に示された例には、２つの仮想アドレス空間、すなわち（アドレス空間制御要素（ＡＳＣＥ）Ａ ２０８によって定義された）仮想アドレス空間２０２、および（ＡＳＣＥ Ｂ ２１０によって定義された）仮想アドレス空間２０４が存在する。仮想ページＡ１．Ｖ ２１２ａ１、Ａ２．Ｖ ２１２ａ２およびＡ３．Ｖ ２１２ａ３は、ストレージ・マネージャによって、マルチテーブル（セグメント２３０およびページ・テーブル２３２ａ、２３２ｂ）ルックアップにおいて、ＡＳＣＥ Ａ ２０８を使用して、絶対ページＡ１．Ａ ２２０ａ１、Ａ２．Ａ ２２０ａ２およびＡ３．Ａ ２２０ａ３にマップされる。同様に、仮想ページＢ１．Ｖ ２１４ｂ１およびＢ２．Ｖ ２１４ｂ２は、２テーブル２３４および２３６ルックアップにおいて、ＡＳＣＥ Ｂ ２１０を使用して、それぞれ絶対ページＢ１．Ａ ２２２ｂ１およびＢ２．Ａ ２２２ｂ２にマップされる。

【0041】

次に図３を参照すると、本発明の１つまたは複数の実施形態による、ハイパーバイザの下で動作しているＶＭをサポートするために使用されるネストされたマルチパートＤＡＴ変換の一例が概括的に示されている。図３に示された例では、（ゲストＡＳＣＥ（ＧＡＳＣＥ）Ａ ３０４によって定義された）ゲストＡ仮想アドレス空間Ａ ３０２と（ＧＡＳＣＥＢ ３０８によって定義された）ゲストＢ仮想アドレス空間Ｂ ３０６がともに、共用ホスト（ハイパーバイザ）仮想アドレス空間３２５内に存在する。示されているように、ゲストＡに属する仮想ページＡ１．ＧＶ ３１０ａ１、Ａ２．ＧＶ ３１０ａ２およびＡ３．ＧＶ ３１０ａ３はそれぞれ、ゲストＡストレージ・マネージャによって、ＧＡＳＣＥＡ ３０４を使用して、ゲスト絶対ページＡ１．ＨＶ ３４０ａ１、Ａ２．ＨＶ ３４０ａ２およびＡ３．ＨＶ ３４０ａ３にマップされている。ゲストＢに属する仮想ページＢ１．ＧＶ ３２０ｂ１およびＢ２．ＧＶ ３２０ｂ２はそれぞれ、独立して、ゲストＢストレージ・マネージャによって、ＧＡＳＣＥＢ ３０８を使用して、ゲスト絶対ページＢ１．ＨＶ ３６０ｂ１およびＢ２．ＨＶ ３６０ｂ２にマップされている。この例では、これらのゲスト絶対ページが、共用ホスト仮想アドレス空間３２５内に直接にマップし、続いて、追加のホストＤＡＴ変換を経て、ホスト絶対アドレス空間３３０にマップする。示されているように、ホスト仮想アドレスＡ１．ＨＶ ３４０ａ１、Ａ３．ＨＶ ３４０ａ３およびＢ１．ＨＶ ３６０ｂ１は、ホスト・ストレージ・マネージャによって、ホストＡＳＣＥ（ＨＡＳＣＥ）３５０を使用して、Ａ１．ＨＡ ３７０ａ１、Ａ３．ＨＡ ３７０ａ３およびＢ１．ＨＡ ３７０ｂ１にマップされている。ゲストＡに属するホスト仮想アドレスＡ２．ＨＶ ３４０ａ２とゲストＢに属するＢ２．ＨＶ ３６０ｂ２はともに、同じホスト絶対ページＡＢ２．ＨＡ ３８０にマップされている。これによって、これらの２つのゲスト間でデータを共用することができる。ゲストＤＡＴ変換の間、それぞれのゲスト・テーブル・アドレスはゲスト絶対アドレスとして取り扱われ、追加のネストされたホストＤＡＴ変換を受ける。

【0042】

本明細書に記載された本発明の実施形態は、セキュア・ゲストおよびＵＶストレージ保護を提供する。非セキュア・ゲストおよびハイパーバイザによるセキュア・ストレージへのアクセスは禁じられる。ハイパーバイザは、存在する所与のセキュア・ゲスト・ページに関して以下のことが起こることを規定している。関連するホスト絶対アドレスには、単一のハイパーバイザ（ホスト）ＤＡＴマッピングによってのみアクセス可能である。すなわち、セキュア・ゲストに割り当てられた所与のホスト絶対アドレスにマップする単一のホスト仮想アドレスが存在する。所与のセキュア・ゲスト・ページに関連した（ホスト仮想アドレスからホスト絶対アドレスへの）ハイパーバイザＤＡＴマッピングは、そのページがページインされている間、変化しない。セキュア・ゲスト・ページに関連したホスト絶対ページは、単一のセキュア・ゲストに対してマップされる。

【0043】

本発明の１つまたは複数の実施形態によれば、セキュア・ゲスト間のストレージの共用も禁じられる。ストレージは、単一のセキュア・ゲストとハイパーバイザとの間で、そのセキュア・ゲストの制御下で共用される。ＵＶストレージはセキュア・ストレージであり、セキュア・インタフェース制御によるアクセスは可能だが、ゲスト／ホストはアクセスできない。ストレージは、ハイパーバイザによってセキュア・インタフェース制御に割り振られる。本発明の１つまたは複数の実施形態によれば、これらの規則の違反の企ては、ハードウェアおよびセキュア・インタフェース制御によって禁じられる。

【0044】

次に図４を参照すると、本発明の１つまたは複数の実施形態による、セキュア・ゲスト・ストレージのマッピングの一例が概括的に示されている。図４は図３に似ているが、図４の例は、セキュア・ゲストＡとセキュア・ゲストＢとの間のストレージの共用を許さない点が異なる。図３の非セキュア例では、ゲストＡに属するホスト仮想アドレスＡ２．ＨＶ ３４０ａ２およびゲストＢに属するＢ２．ＨＶ ３６０ｂ２がともに、同じホスト絶対ページＡＢ２．ＨＡ ３８０にマップされている。図４のセキュア・ゲスト・ストレージ例では、ゲストＡに属するホスト仮想アドレスＡ２．ＨＶ ３４０ａ２がホスト絶対アドレスＡ２．ＨＡ ４９０ａにマップしており、ゲストＢに属するＢ２．ＨＶ ３６０ｂ２がそれ自体のＢ２．ＨＡ ４９０ｂにマップしている。この例では、セキュア・ゲスト間の共用がない。

【0045】

ディスク上にある間、セキュア・ゲスト・ページは暗号化されている。ハイパーバイザがセキュア・ゲスト・ページをページインするとき、ハイパーバイザは、ＵＶ呼出し（ＵＶＣ）を発行する。このＵＶＣは、（共用されていない場合に）そのページにセキュア・ページのマークを付けること、（共用されていない場合に）そのページを復号すること、およびそのページを、適切なセキュア・ゲスト（例えばゲストＡ）に属しているとして（ゾーン・セキュリティ・テーブルに）登録することを、セキュア・インタフェース制御に実行させる。さらに、セキュア・インタフェース制御は、関連するホスト仮想アドレス（例えばＡ３．ＨＶ ３４０ａ３）を、そのホスト絶対ページ（ホスト・アドレス対と呼ばれる）に登録する。正しいＵＶＣを発行することにハイパーバイザが失敗した場合、ハイパーバイザは、そのセキュア・ゲスト・ページにアクセスしようとしたときに例外を受け取る。ハイパーバイザがゲスト・ページをページアウトするときにも、同様のＵＶＣが発行される。このＵＶＣは、（共用されていない場合に）ゲスト・ページを暗号化し、その後、そのゲスト・ページに非セキュア・ページのマークを付け、そのゲスト・ページを、ゾーン・セキュリティ・テーブルに非セキュア・ページとして登録する。

【0046】

５つの所与のホスト絶対ページＫ、Ｐ、Ｌ、ＭおよびＮを有する一例では、ハイパーバイザがそれらのページをページインするときに、セキュア・インタフェース制御によって、それぞれのホスト絶対ページにセキュア・ページのマークが付けられる。このことは、非セキュア・ゲストおよびハイパーバイザがそれらのページにアクセスすることを防ぐ。ホスト絶対ページＫ、ＰおよびＭは、ハイパーバイザがそれらのページをページインするときに、ゲストＡに属するものとして登録され、ホスト絶対ページＬおよびＮは、ハイパーバイザによってページインされるときに、ゲストＢに登録される。共用ページ、すなわち単一のセキュア・ゲストとハイパーバイザとの間で共用されたページは、ページング中に暗号化もまたは復号もされない。それらのページにはセキュア・ページのマークが付けられていない（それらのページはハイパーバイザによるアクセスを許す）が、それらのページは、単一のセキュア・ゲスト・ドメインとともに、ゾーン・セキュリティ・テーブルに登録される。

【0047】

本発明の１つまたは複数の実施形態によれば、非セキュア・ゲストまたはハイパーバイザが、セキュア・ゲストによって所有されたページにアクセスしようとすると、ハイパーバイザが、セキュア・ストレージ・アクセス（ＰＩＣ３Ｄ）例外を受け取る。これを決定するのに追加の変換ステップは必要ない。

【0048】

１つまたは複数の実施形態によれば、セキュア・エンティティがページにアクセスしようとすると、ハードウェアが、ストレージが実際にその特定のセキュア・ゲストに属していることを確認する追加の変換チェックを実行する。その特定のセキュア・ゲストに属していない場合には、ハイパーバイザに、非セキュア・アクセス（ＰＩＣ３Ｅ）例外が提示される。さらに、変換中のホスト仮想アドレスが、ゾーン・セキュリティ・テーブル内の登録されたホスト・アドレス対のホスト仮想アドレスと一致しない場合には、セキュア・ストレージ違反（‘３Ｆ’ｘ）例外が認識される。ハイパーバイザによる共用を可能にするため、セキュア・ゲストは、変換チェックがアクセスを許す限り、セキュア・ストレージのマークが付けられていないストレージにアクセスすることができる。

【0049】

次に図５を参照すると、本発明の１つまたは複数の実施形態による、ＤＡＴオペレーションのシステム概略図５００が概括的に示されている。システム概略図５００は、ホスト・プライマリ（primary）仮想アドレス空間５１０およびホスト・ホーム（home）仮想アドレス空間５２０を含み、これらの空間のページが、ハイパーバイザ（ホスト）絶対アドレス空間５３０に変換される（例えばホストＤＡＴ変換５２５参照。点線は、ＤＡＴ変換５２５によるマッピングを表していることに留意されたい）。例えば、図５は、２つの異なるホスト仮想アドレス空間によるホスト絶対ストレージの共用、２つのゲスト間での、それらのホスト仮想アドレスのうちの１つのホスト仮想アドレスの共用、および、ホスト自体による、それらのホスト仮想アドレスのうちの１つのホスト仮想アドレスの共用を示している。この点に関して、ホスト・プライマリ仮想アドレス空間５１０およびホスト・ホーム仮想アドレス空間５２０は、２つのホスト仮想アドレス空間の例であり、これらの２つのホスト仮想アドレス空間はそれぞれ、別個のＡＳＣＥ、すなわちホスト・プライマリＡＳＣＥ（ＨＰＡＳＣＥ）５９１およびホスト・ホームＡＳＣＥ（ＨＨＡＳＣＥ）５９２によってアドレスされる。セキュア・インタフェース制御ストレージ（仮想ストレージと実ストレージの両方）は全てハイパーバイザによって供与されたものであり、それらのストレージにはセキュア・ストレージのマークが付けられていることに留意されたい。供与された後、セキュア・インタフェース制御ストレージには、関連するセキュア・エンティティが存在する限り、セキュア・インタフェース制御だけがアクセスすることができる。

【0050】

示されているとおり、ホスト・プライマリ仮想アドレス空間５１０は、ゲストＡ絶対ページＡ１．ＨＶ、ゲストＡ絶対ページＡ２．ＨＶ、ゲストＢ絶対ページＢ１．ＨＶおよびホスト仮想ページＨ３．ＨＶを含む。ホスト・ホーム仮想アドレス空間５２０は、セキュア・インタフェース制御仮想ページＵ１．ＨＶ、ホスト仮想ページＨ１．ＨＶおよびホスト仮想ページＨ２．ＨＶを含む。

【0051】

本発明の１つまたは複数の実施形態によれば、全てのセキュア・ゲスト（例えばセキュア・ゲストＡおよびセキュア・ゲストＢ）ストレージが、本明細書に記載されたゾーン・セキュリティ・テーブルに、セキュア・ゲスト構成に属するものとして登録され、さらに、関連するホスト仮想アドレス（例えばＡ１．ＨＶ、Ａ２．ＨＶ、Ｂ１．ＨＶ）が、ホスト・アドレス対の部分として登録される。１つまたは複数の実施形態では、全てのセキュア・ゲスト・ストレージが、ホスト・プライマリ仮想空間でマップされる。さらに、全てのセキュア・インタフェース制御ストレージが、やはりゾーン・セキュリティ・テーブルに、セキュア・インタフェース制御に属するものとして登録され、さらに、全てのセキュア・インタフェース制御ストレージを、関連するセキュア・ゲスト・ドメインに基づいて、ゾーン・セキュリティ・テーブル内で区別することができる。本発明の１つまたは複数の実施形態によれば、ＵＶ仮想ストレージがホスト・ホーム仮想空間でマップされ、関連するホスト仮想アドレスが、ホスト・アドレス対の部分として登録される。１つまたは複数の実施形態によれば、ＵＶ実ストレージは、関連するホスト仮想マッピングを有しておらず、このことを示すために、（仮想アドレス比較が無効化されていることを示す）ゾーン・セキュリティ・テーブル内のＤＡビットがセットされる。ホスト・ストレージには非セキュア・ストレージのマークが付けられ、さらに、ホスト・ストレージは、ゾーン・セキュリティ・テーブルに、非セキュア・ストレージとして登録される。

【0052】

したがって、「ゲスト絶対＝ホスト仮想」である場合には、（ＨＰＡＳＣＥ ５９１によって定義された）ハイパーバイザ（ホスト）プライマリＤＡＴテーブルが、ホスト・プライマリ仮想アドレス空間５１０のページを以下のように変換する。ゲストＡ絶対ページＡ１．ＨＶが、セキュア・ゲストＡに属するホスト絶対Ａ１．ＨＡにマップされ、ゲストＡ絶対ページＡ２．ＨＶが、セキュア・ゲストＡに属するホスト絶対Ａ２．ＨＡにマップされ、ゲストＢ絶対ページＢ１．ＨＶが、セキュア・ゲストＢに属するホスト絶対Ｂ１．ＨＡにマップされ、ホスト仮想ページＨ３．ＨＶが、ホスト絶対ページＨ３．ＨＡ非セキュア・ホストにマップされる（このページは非セキュア・ページであるためホスト・アドレス対は存在しない）。さらに、（ＨＨＡＳＣＥ ５９２によって定義された）ハイパーバイザ（ホスト）ホームＤＡＴテーブルが、ホスト・ホーム仮想アドレス空間５２０のページを以下のように変換する。セキュア・インタフェース制御仮想ページＵ１．ＨＶが、セキュアＵＶ仮想ページとして定義されたホスト絶対ページＵ１．ＨＡにマップされ、ホスト仮想ページＨ１．ＨＶが、非セキュア・ページとして定義されたホスト絶対ページＨ１．ＨＡにマップされ、ホスト仮想ページＨ２．ＨＶが、非セキュア・ページとして定義されたホスト絶対ページＨ２．ＨＡにマップされる。Ｈ１．ＨＡまたはＨ２．ＨＡは非セキュア・ページであるため、それらのページに関連づけられたホスト・アドレス対は存在しない。

【0053】

オペレーションの際、セキュア・ゲストが、セキュア・インタフェース制御に割り当てられたセキュア・ページにアクセスしようとした場合には、ハードウェアによって、ハイパーバイザに、セキュア・ストレージ違反（‘３Ｆ’Ｘ）例外が提示される。非セキュア・ゲストまたはハイパーバイザが、セキュア・ページ（セキュア・インタフェース制御に割り当てられたセキュア・ページを含む）にアクセスしようとした場合には、ハードウェアによって、ハイパーバイザに、セキュア・ストレージ・アクセス（‘３Ｄ’Ｘ）例外が提示される。あるいは、セキュア・インタフェース制御空間に対して試みられたアクセスに対して、エラー条件を提示することもできる。セキュア・インタフェース制御アクセスに関して、ハードウェアが、セキュア割当ての不整合を検出した場合（例えば、ストレージが、セキュア・インタフェース制御に属するものとしてではなく、セキュア・ゲストに属するものとしてゾーン・セキュリティ・テーブルに登録されている場合、または使用されているホスト・アドレス対と登録された対との間に不整合がある場合）には、チェックが提示される。

【0054】

言い換えると、ホスト・プライマリ仮想アドレス空間５１０は、（セキュア・ゲストＡに属する）ホスト仮想ページＡ１．ＨＶおよびＡ２．ＨＶ、ならびに（セキュア・ゲストＢに属する）Ｂ１．ＨＶを含み、それらのページはそれぞれ、ホスト絶対Ａ１．ＨＡ、Ａ２．ＨＡおよびＢ１．ＨＡにマップする。さらに、ホスト・プライマリ仮想アドレス空間５１０はホスト（ハイパーバイザ）ページＨ３．ＨＶを含み、このページは、ホスト絶対Ｈ３．ＨＡにマップする。ホスト・ホーム仮想空間５２０は、２つのホスト仮想ページＨ１．ＨＶおよびＨ２．ＨＶを含み、それらのページは、ホスト絶対ページＨ１．ＨＡおよびＨ２．ＨＡにマップする。ホスト・プライマリ仮想アドレス空間５１０とホスト・ホーム仮想アドレス空間５２０はともに単一のホスト絶対アドレス空間５３０にマップする。セキュア・ゲストＡおよびセキュア・ゲストＢに属するストレージ・ページにはセキュア・ページのマークが付けられ、図１に示されたゾーン・セキュリティ・テーブル１００に、それらのセキュア・ドメインおよび関連ホスト仮想アドレスとともに登録される。他方、ホスト・ストレージには非セキュアのマークが付けられる。ハイパーバイザがセキュア・ゲストを定義しているとき、ハイパーバイザは、これらのセキュア・ゲストのサポートにおいて必要とされるセキュア制御ブロックに対して使用するために、セキュア・インタフェース制御にホスト・ストレージを供与しなければならない。このストレージは、ホスト絶対空間またはホスト仮想空間に定義することができ、一例では、特に、ホスト・ホーム仮想空間に定義することができる。図５に戻る。ホスト絶対ページＵ１．ＨＡおよびＵ２．ＨＡセキュアＵＶ絶対は、ホスト絶対ストレージとして定義されたセキュア・インタフェース制御ストレージである。その結果として、これらのページにはセキュア・ページのマークが付けられ、これらのページは、図１に示されたゾーン・セキュリティ・テーブル１００に、セキュア・インタフェース制御に属するものとして、関連するセキュア・ドメインとともに登録される。それらのページはホスト絶対アドレスとして定義されているため、関連するホスト仮想アドレスは存在せず、そのため、ゾーン・セキュリティ・テーブル１００内のＤＡビットがセットされる。

【0055】

この変換後のハイパーバイザ（ホスト）絶対アドレス空間５３０の一例が図６に示されている。図６には、本発明の１つまたは複数の実施形態による、セキュア・インタフェース制御メモリに関するシステム概略図６００が示されている。システム概略図６００は、ハイパーバイザ（ホスト）絶対アドレス空間６３０を示しており、ハイパーバイザ（ホスト）絶対アドレス空間６３０は、ホスト絶対ページＡ２．ＨＡセキュア・ゲストＡ（Ａ２．ＨＶに対するもの）、ホスト絶対ページＢ１．ＨＡセキュア・ゲストＢ（Ｂ１．ＨＶに対するもの）、ホスト絶対ページＨ１．ＨＡ非セキュア（ホスト）、ホスト絶対ページＨ２．ＨＡ非セキュア（ホスト）、ホスト絶対ページＵ３．ＨＡセキュアＵＶ実（ＨＶマッピングなし）、ホスト絶対ページＵ１．ＨＡセキュアＵＶ仮想（Ｕ１．ＨＶに対するもの）、およびホスト絶対ページＡ１．ＨＡセキュア・ゲストＡ（Ａ１．ＨＶに対するもの）を含む。

【0056】

次に図７を参照すると、本発明の１つまたは複数の実施形態による、インポート・オペレーションのためのプロセス・フロー７００が概括的に示されている。セキュア・ゲストが、ハイパーバイザによってページアウトされたページにアクセスすると、そのページを再びセキュアにページインするために、プロセス・フロー７００に示されたイベントなどの一連のイベントが実行される。プロセス・フロー７００はブロック７０５から始まり、ブロック７０５で、セキュア・ゲストがゲスト仮想ページにアクセスする。このページは例えば無効であるため、ハードウェアは、プログラム割込みコード（program-interruption-code）１１（ＰＩＣ１１）によって示された、ホスト・ページ・フォールトをハイパーバイザに提示する（ブロック７１５参照）。これを受けて、ハイパーバイザは、このゲスト・ページに対する使用可能な非セキュア・ホスト絶対ページを識別し（ブロック７２０参照）、暗号化されたゲスト・ページを、識別されたホスト絶対ページにページインする（ブロック７２５参照）。

【0057】

次いで、ブロック７３０で、このホスト絶対ページを、（ホスト仮想アドレスに基づいて）適切なホストＤＡＴテーブルにマップする。次いで、ブロック７３５で、ハイパーバイザ・ホストが、セキュア・ゲストを再びディスパッチする。ブロック７４０で、セキュア・ゲストが、ゲスト・セキュア・ページに再びアクセスする。ページ・フォールトはもはや存在しないが、このセキュア・ゲスト・アクセスおよびページは、図１のゾーン・セキュリティ・テーブル１００内でセキュアのマークが付けられていないため、ブロック７４５で、ハードウェアは、ハイパーバイザに、非セキュア・ストレージ例外（ＰＩＣ３Ｅ）を提示する。このＰＩＣ３Ｅは、必要なインポートが発行されるまで、ゲストがこのセキュア・ページにアクセスすることを防ぐ。次に、プロセス・フロー７００は、図８に接続された「Ａ」に進む。

【0058】

次に図８を参照すると、本発明の１つまたは複数の実施形態による、インポート・オペレーションを実行するためのプロセス・フロー８００が概括的に示されている。行儀のよい（well-behaved）ハイパーバイザ（例えば期待されるやり方でエラーなく実行するハイパーバイザ）は、このＰＩＣ３Ｅに応答して、インポートＵＶＣを発行する（ブロック８０５参照）。この時点で、インポートするページには、非セキュアのマークが付けられており、このページには、ハイパーバイザ、他の非セキュア・エンティティおよびセキュア・インタフェース制御だけがアクセスできることに留意されたい。セキュア・ゲストはこのページにアクセスできない。

【0059】

このインポートＵＶＣの一部として、セキュア・インタフェース制御の役目を果たす信頼できるファームウェアが、このページがセキュア・インタフェース制御によって既にロックされているかどうかを知るためのチェックを実行する（判断ブロック８１０参照）。ロックされている場合、プロセス・フロー８００はブロック８２０に進む。ブロック８２０で、ハイパーバイザに「使用中（busy）」リターン・コードが返され、ハイパーバイザは、それに応答して遅延し（ブロック８２５参照）、インポートＵＶＣを再発行する（プロセス・フロー８００はブロック８０５に戻る）。ページがまだロックされていない場合、プロセス・フロー８００は判断ブロック８２２に進む。

【0060】

判断ブロック８２２で、セキュア・インタフェース制御は、そのページが、非セキュア・ハイパーバイザによって共用されているページであるかどうかを知るためのチェックを実行する。そのページが共用されている場合には（プロセス・フロー８００は判断ブロック８２４に進み）、セキュア・インタフェース制御が、ホスト絶対アドレスを、関連セキュア・ゲスト・ドメイン、ホスト仮想アドレスとともに、ゾーン・セキュリティ・テーブルに、共用されているとして、登録する。このページは、非セキュアのマークが付けられたままである。これによってインポートＵＶＣは完了し、このページは、この時点で、ゲストによるアクセスに対して使用可能である。処理は進んで、ハイパーバイザがゲストを再びディスパッチし（ブロック８３０）、セキュア・ゲストは、成功のうちにこのページにアクセスする（ブロック８３５）。

【0061】

インポートするホスト仮想ページがハイパーバイザによって共用されていない場合、（プロセス・フロー８００はブロック８４０に進み、）セキュア・インタフェース制御が、そのページにセキュアのマークを付け、もはやハイパーバイザがそのページにアクセスできないようにする。ブロック８４５で、セキュア・インタフェース制御はそのページをロックし、他のＵＶＣがページ・ステータスを変更できないようにする。ロックをセットした後、（ブロック８５０で、）セキュア・インタフェース制御は、ゲスト・ページが暗号化される間にゲスト・ページの内容が変化しなかったことを確認する。ゲスト・ページの内容が変化した場合には、ハイパーバイザにエラー・リターン・コードが返され、変化しなかった場合には、セキュア・インタフェース制御がセキュア・ページを復号する。

【0062】

ブロック８５５で、セキュア・インタフェース制御は、ページのロックを解除して、他のＵＶＣによるアクセスを可能にし、そのページを、ゾーン・セキュリティ・テーブルに、セキュアとして登録し、適切なゲスト・ドメインおよびホスト仮想アドレスに関連づけて、ホスト・アドレスＨＶ→ＨＡ対を完成させる。これによって、ゲストによるアクセスが可能になり、ＵＶＣが完了する。

【0063】

次に図９を参照すると、本発明の１つまたは複数の実施形態による、供与メモリ・オペレーションに関するプロセス・フロー９００が概括的に示されている。プロセス・フロー９００はブロック９０５から始まり、ブロック９０５で、ハイパーバイザが、セキュア・インタフェース制御に照会ＵＶＣを発行する。ブロック９１０で、セキュア・インタフェース制御は、データ（例えば照会ＵＶＣ）を返す。このデータは、必要なベース・ゾーン特定（zone-specific）ホスト絶対ストレージの量、必要なベース・セキュア・ゲスト・ドメイン特定（secure-guest-domain-specific）ホスト絶対ストレージの量、ＭＢごとに必要な可変セキュア・ゲスト・ドメイン特定（secure-guest-domain-specific）ホスト仮想ストレージの量、もしくは必要なベース・セキュア・ゲストＣＰＵ特定（secure-guest-CPU-specific）ホスト絶対ストレージの量、またはこれらの組合せを含むことができる。

【0064】

ブロック９１５で、ハイパーバイザが、ベース・ホスト絶対ゾーン特定ストレージを（例えば照会ＵＶＣによって返されたサイズに基づいて）予約する。ブロック９２０で、ハイパーバイザは、セキュア・インタフェース制御に初期化を発行する。この点に関して、ハイパーバイザは、ゾーン全体に対するセキュア・ゲスト構成間の調整に必要なＵＶ制御ブロックのための供与されたストレージ（以後、供与ストレージ）を提供する初期化ＵＶＣを発行することができる。この初期化ＵＶＣは、ベース・ゾーン特定ストレージ起点を指定する。

【0065】

ブロック９２５で、セキュア・インタフェース制御は、供与ストレージをＵＶに登録し、供与ストレージにセキュアのマークを付けることにより、初期化（例えば初期化ＵＶＣ）を実施する。この初期化ＵＶＣに関して、セキュア・インタフェース制御は、供与ストレージにセキュアのマークを付け、その供与ストレージの一部をゾーン・セキュリティ・テーブルに割り当て、その供与ストレージを、ＵＶが使用するために、ゾーン・セキュリティ・テーブルに、固有のセキュア・ドメインとともに、関連セキュア・ゲスト・ドメインは含めずに、関連ホスト仮想アドレス対を持たないものとして、登録することができる。

【0066】

ブロック９３０で、ハイパーバイザは、ストレージ（例えばベースおよび可変セキュア・ゲスト・ドメイン特定ストレージ）を予約する。例えば、ハイパーバイザは、ベースおよび（例えばセキュア・ゲスト・ドメイン・ストレージのサイズに基づく）可変セキュア・ゲスト・ドメイン特定ストレージ（例えば照会ＵＶＣによって返されたサイズ）を予約する。ブロック９３５で、ハイパーバイザは、構成生成（create configuration）をセキュア・インタフェース制御に発行する。この点に関して、ハイパーバイザは、ベースおよび可変セキュア・ゲスト・ドメイン特定ストレージ起点を指定するセキュア・ゲスト構成生成ＵＶＣを発行することができる。さらに、このセキュア・ゲスト構成生成ＵＶＣは、このセキュア・ゲスト構成をサポートするために必要なＵＶ制御ブロックのための供与ストレージを提供する。

【0067】

ブロック９４０で、セキュア・インタフェース制御は、構成生成（例えばセキュア・ゲスト構成生成ＵＶＣ）を実施する。このセキュア・ゲスト構成生成ＵＶＣに関して、セキュア・インタフェース制御は、供与ストレージにセキュアのマークを付け、この供与ストレージを、ＵＶが使用するために、ゾーン・セキュリティ・テーブルに登録し、この供与ストレージを、関連セキュア・ゲスト・ドメインとともに登録することができる。ベース（ホスト絶対）供与ストレージは、関連ホスト仮想アドレス対を持たないものとして登録される。可変（ホスト仮想）供与ストレージは、関連ホスト仮想アドレス対とともに登録される。

【0068】

ブロック９４５で、ハイパーバイザが、ベース・セキュア・ゲストＣＰＵ特定ストレージ（例えば照会ＵＶによって返されたサイズ）を予約する。ブロック９５０で、ハイパーバイザはストレージ起点を指定する。例えば、ハイパーバイザは、ベース・セキュア・ゲストＣＰＵ特定ストレージ起点を指定するセキュア・ゲストＣＰＵ生成を、ＵＶに発行する。ブロック９５５で、セキュア・インタフェース制御が、ＣＰＵ生成（例えばセキュア・ゲストＣＰＵ生成ＵＶＣ）を実施する。このセキュア・ゲストＣＰＵ生成ＵＶＣに関して、セキュア・インタフェース制御は、供与ストレージにセキュアのマークを付け、その供与ストレージを、ＵＶが使用するために、ゾーン・セキュリティ・テーブルに、関連セキュア・ゲスト・ドメインなしで、関連ホスト仮想アドレス対を持たないものとして、登録することができる。

【0069】

次に図１０を参照すると、本発明の１つまたは複数の実施形態による、非セキュア・ハイパーバイザ・ページからセキュア・インタフェース制御のセキュア・ページへの移行に関するプロセス・フロー１０００が概括的に示されている。プロセス・フロー１０００には、３つのハイパーバイザ・ページ（例えば非セキュア・ハイパーバイザ・ページＡ、非セキュア・ハイパーバイザ・ページＢおよび非セキュア・ハイパーバイザ・ページＣ）が示されている。

【0070】

ハイパーバイザ（非セキュア）ページＡ、ＢおよびＣには、（ハイパーバイザを含む）非セキュア・エンティティがアクセスすることができる。さらに、ハイパーバイザ（非セキュア）ページＡ、ＢおよびＣには、非セキュア（ＮＳ）のマークが付けられており、ハイパーバイザ（非セキュア）ページＡ、ＢおよびＣは、ゾーン・セキュリティ・テーブル（例えば図１に示されたゾーン・セキュリティ・テーブル１００）に、非セキュアおよび非共用として登録されている。矢印１００５において、初期化ＵＶＣが発行される。この初期化ＵＶＣは、ゲスト・ページＡを、ゾーン全体に関連したセキュア・インタフェース制御実ストレージ・ページ（ＵＶ２）１０１０に移行させる。セキュア・インタフェース制御実ストレージ１０１０にセキュアのマークを付けることができ、セキュア・インタフェース制御実ストレージ１０１０を、ゾーン・セキュリティ・テーブル（例えば図１に示されたゾーン・セキュリティ・テーブル１００）に、ＵＶとして、セキュア・ゲスト・ドメインおよびハイパーバイザ－ホスト絶対（ＨＶ→ＨＡ）マッピングなしで登録することができる。その代わりに、セキュア・インタフェース制御実ストレージ１０１０は、固有のＵＶ２セキュア・ドメインとともに登録され、ＤＡビットが１にセットされる。セキュア・インタフェース制御実ストレージ１０１０には、セキュア・インタフェース制御が実ストレージとしてアクセスすることができることに留意されたい。

【0071】

矢印１０２５において、ハイパーバイザ（非セキュア）ページＢから、ＳＧ構成生成ＵＶＣまたはＳＧ ＣＰＵ生成ＵＶＣが発行される。このＵＶＣは、このページを、セキュア・ゲスト・ドメインに関連したセキュア・インタフェース制御実ストレージ（ＵＶＳ）１０３０に移行させる。セキュア・インタフェース制御実ストレージ１０３０にセキュアのマークを付けることができ、セキュア・インタフェース制御実ストレージ１０３０を、ゾーン・セキュリティ・テーブル（例えば図１に示されたゾーン・セキュリティ・テーブル１００）に、ＵＶとして、関連セキュア・ゲスト・ドメインとともに、ハイパーバイザ－ホスト絶対（ＨＶ→ＨＡ）マッピングなし（すなわちＤＡビット＝１）で登録することができる。セキュア・インタフェース制御実ストレージ１０３０には、セキュア・ゲスト・ドメインに代わって、セキュア・インタフェース制御が実ストレージとしてアクセスすることができることに留意されたい。

【0072】

矢印１０４５において、ハイパーバイザ（非セキュア）ページＣから、ＳＧ構成生成ＵＶＣが発行される。このＵＶＣは、このページを、セキュア・ゲスト・ドメインに関連したセキュア・インタフェース制御仮想ストレージ（ＵＶＶ）１０５０に移行させる。セキュア・インタフェース制御仮想ストレージ１０５０にセキュアのマークを付けることができ、セキュア・インタフェース制御仮想ストレージ１０５０を、ゾーン・セキュリティ・テーブル（例えば図１に示されたゾーン・セキュリティ・テーブル１００）に、ＵＶとして、セキュア・ゲスト・ドメインおよびハイパーバイザ－ホスト絶対（ＨＶ→ＨＡ）マッピングとともに登録することができる。セキュア・インタフェース制御仮想ストレージ１０５０には、セキュア・ゲスト・ドメインに代わって、ＵＶ仮想ストレージとしてアクセスすることができることに留意されたい。

【0073】

次に図１１を参照すると、１つまたは複数の実施形態による、プログラムまたはセキュア・インタフェース制御によってなされたセキュア・ストレージ・アクセスに関するプロセス・フロー１１００が示されている。この図は、セキュア・インタフェース制御が、ゲスト・ストレージまたはセキュア・インタフェース制御ストレージにアクセスしようとしており、そのアクセスのセキュリティをハードウェアが確認することを可能にするために、そのアクセスに正しくタグ付けしなければならない状況を表している。プロセス・フロー１１００は、セキュア・インタフェース制御によるストレージ・アクセスのこのタグ付けを示している。プロセス・フロー１１００はブロック１１１０から始まり、ブロック１１１０で、セキュア・インタフェース制御は、セキュア・インタフェース制御がセキュア・インタフェース制御ストレージにアクセスしているかどうかを判定する。

【0074】

このアクセスが、セキュア・インタフェース制御ストレージへのアクセスでない場合、プロセス・フロー１１００は、（いいえの矢印によって示されているように）判断ブロック１１１２に進む。判断ブロック１１１２で、セキュア・インタフェース制御は、セキュア・インタフェース制御がセキュア・ゲスト・ストレージにアクセスしているかどうかを判定する。このアクセスが、セキュア・ゲスト・ストレージへのアクセスでない場合、プロセス・フロー１１００は、非セキュア・アクセスのためのデフォルト設定を使用する（図１２のプロセス・フロー１２００に接続された）「Ｂ」に進む。このアクセスが、セキュア・ゲスト・ストレージへのアクセスである場合、プロセス・フロー１１００は判断ブロック１１１３に進み、判断ブロック１１１３で、セキュア・インタフェース制御は、デフォルト・セキュア・ゲスト・ドメインが使用されているどうかを判定する。はいの場合、プロセス・フロー１１００は、セキュア・ゲスト・アクセスのためのデフォルト設定を使用する（図１２のプロセス・フロー１２００に接続された）「Ｂ」に進む。いいえの場合、プロセス・フロー１１００はブロック１１１４に進む。ブロック１１１４で、適切なセキュア・ゲスト・ドメインをＳＧセキュア・ドメイン・レジスタにロードする（プロセス・フロー１１００は、図１２のプロセス・フロー１２００に接続された「Ｂ」に進む）。

【0075】

このアクセスが、セキュア・インタフェース制御ストレージへのアクセスである場合、プロセス・フロー１１００は、（はいの矢印によって示されているように）ブロック１１２０に進む。ブロック１１２０で、そのアクセスにセキュアＵＶのタグを付ける（例えば、そのアクセスはＵＶセキュア・ドメイン・レジスタを使用する）。

【0076】

プロセス・フロー１１００は次いで判断ブロック１１３０に進み、判断ブロック１１３０で、セキュア・インタフェース制御は、このアクセスが、ＵＶＶ空間（例えばＳＧ構成可変テーブル（SG-Config Variable Table））へのアクセスであるかどうかを判定する。このアクセスがＵＶＶ空間へのアクセスである場合、プロセス・フロー１１００は、（はいの矢印によって示されているように）ブロック１１３４に進む。ブロック１１３４で、そのアクセスに仮想アクセスのタグを付ける。ブロック１１３６で、適用可能なセキュア・ゲスト・ドメインをＵＶセキュア・ドメイン・レジスタにロードする。ブロック１１３８では、ＤＡＴ変換およびストレージ・アクセスが始まる準備ができている。判断ブロック１１３０に戻る。このアクセスが、ＵＶＶ空間へのアクセスではない場合、プロセス・フロー１１００は、（いいえの矢印によって示されているように）ブロック１１４０に進む。ブロック１１４０で、そのアクセスに実アクセスのタグを付ける。

【0077】

判断ブロック１１５０で、セキュア・インタフェース制御は、このアクセスが、ＵＶＳ空間（例えばＳＧ構成またはＣＰＵテーブル）へのアクセスであるかどうかを判定する。このアクセスがＵＶＳ空間へのアクセスである場合、プロセス・フロー１１００は、（はいの矢印によって示されているように）ブロック１１３６に進む。このアクセスがＵＶＳ空間へのアクセスではない場合、プロセス・フロー１１００は、（いいえの矢印によって示されているように）ブロック１１７０に進む。このアクセスはＵＶ２空間（例えばゾーン・セキュリティ・テーブル）へのアクセスであるということになる。ブロック１１７０で、固有のＵＶ２セキュア・ドメインをＵＶセキュア・ドメイン・レジスタにロードする。

【0078】

図１２は、本発明の１つまたは複数の実施形態によるプロセス・フロー１２００を示している。ゲストがディスパッチされると、ＳＩＥ Ｅｎｔｒｙファームウェアは、ゲストが動作していること（例えばゲスト・モードがアクティブであること）をハードウェアに示すことができ、そのゲストがセキュアであるかどうかを示すことができる。ゲストがセキュアである場合、関連セキュア・ゲスト・ドメインをハードウェアに（例えばＳＧセキュア・ドメイン・レジスタに）ロードすることができる。プログラムがストレージにアクセスしているとき、ハードウェアは、そのアクセスの時点におけるプログラムの現在の状態に基づいて、そのアクセスにタグを付けることができる。図１２は、プロセス・フロー１２００の中のこのプロセスの一例を示している。ブロック１２０５で、ハードウェアは、機械が現在、ゲスト・モードで動作しているかどうかを判定することができ、ゲスト・モードで動作していない場合には、ブロック１２１０で、そのアクセスに、ホスト・アクセスであるとのタグを付けることができ、ブロック１２１５で、そのアクセスに、非セキュア・アクセスであるとのタグを付けることができる。ブロック１２０５で、機械がゲスト・モードで動作している場合、ブロック１２２０で、そのアクセスに、ゲスト・アクセスのタグを付けることができ、さらに、ブロック１２２５で、現在のゲストがセキュア・ゲストであるかどうかを判定することができる。ゲストがセキュアでない場合、ブロック１２１５で、そのアクセスに、非セキュアのタグを付けることができる。ゲストがセキュアである場合、ブロック１２３０で、ハードウェアは、そのゲストに、セキュアのタグを付けることができ、それによって、そのセキュア・ゲストを、そのセキュア・ゲストがディスパッチされたときにロードされたＳＧセキュア・ドメイン・レジスタに関連づけることができる。非セキュア・ゲストとセキュア・ゲストの両方に関して、ブロック１２３５で、ＤＡＴステータスをチェックすることができる。ＤＡＴがオフの場合、ブロック１２４０で、そのアクセスに、実アクセスのタグを付けることができる。ＤＡＴがオンの場合、ブロック１２４５で、そのアクセスに、仮想アクセスのタグを付けることができる。ＤＡＴがオフの場合に、ブロック１２４０で、そのアクセスに、実アクセスのタグを付けた後、またはＤＡＴがオンの場合に、ブロック１２４５で、そのアクセスに、仮想アクセスのタグを付けた後に、ブロック１２５０において、ハードウェアは、変換を開始し、ストレージにアクセスする準備ができている。これについては図１３でさらに説明する。

【0079】

図１３は、本発明の１つまたは複数の実施形態による、セキュア・アクセスと非セキュア・アクセスの両方をサポートするためにプロセス・フロー１３００においてハードウェアによって実行される変換の一例を示している。ブロック１３０５で、ハードウェアは、そのアクセスにゲスト変換のタグが付けられているかどうかを判定することができ、ゲスト変換のタグが付けられており、ブロック１３１０で、そのアクセスが仮想アクセスである場合、ブロック１３１５で、ゲストＤＡＴを実行することができる。ゲストＤＡＴ変換の間、ゲストＤＡＴテーブルのためのネストされた介在フェッチが存在しうる。それらのテーブル・フェッチに、ゲスト実フェッチのタグを付けることができ、元の変換にセキュアのタグが付けられた場合には、それらのテーブル・フェッチにセキュア・フェッチのタグを付けることができる。それらのテーブル・フェッチはさらに、プロセス・フロー１３００の変換プロセスに従うことができる。ブロック１３１５でゲスト仮想アクセスのタグが付けられたアクセスに対して、ゲストＤＡＴが実行された後、およびブロック１３１０でゲスト実アクセスのタグが付けられたアクセス（仮想＝いいえ）に対して、ブロック１３２０で、ゲスト・プレフィックス変換およびゲスト・メモリ・オフセットを適用することができる。このゲスト変換プロセスが完了したら、ブロック１３２５で、結果として生じたアドレスに、ホスト仮想アドレスのタグを付けることができ、元のゲスト変換にセキュアのタグが付けられた場合には、結果として生じたアドレスに、セキュア・アドレスのタグを付けることができる。ホスト仮想アクセスのタグが付けられた任意のアクセスに対して、プロセス１３００を続けることができる。ブロック１３０５で、元のアクセスがホスト・アクセスであり（ゲスト＝いいえ）、ブロック１３３０で、元のアクセスが仮想アクセスである場合、ブロック１３３５で、ホストＤＡＴを実行することができる。ブロック１３３５で、ホスト・テーブル・フェッチに、非セキュア・フェッチのマークを付けることができる。ブロック１３３５でホストＤＡＴを実行した後、またはブロック１３３０で、元のホスト・アクセスに実アクセスのタグが付けられた場合（仮想＝いいえ）、ブロック１３４０で、ホスト・プレフィックス変換を適用することができる。ブロック１３４５で、結果として生じたアドレスはホスト絶対アドレスでありうる。

【0080】

図１４は、本発明の１つまたは複数の実施形態による、プロセス・フロー１４００においてハードウェアによって実行することができるセキュア・ストレージ保護付きのＤＡＴ変換の一例を示している。図１３のブロック１３４５から続いて、ブロック１４０５で、セキュアＵＶアクセスが識別された場合、ハードウェアは、ブロック１４１０で、ストレージが、セキュアＵＶストレージとして登録されているかどうかを確認することができ、セキュアＵＶストレージとして登録されていない場合には、ブロック１４１５で、エラーを提示する。ＵＶストレージにアクセスするときには、セキュア・インタフェース制御によってセキュアＵＶアクセスを実行することができる。ブロック１４１０で、ストレージが、セキュアＵＶストレージとして登録されている場合、保護チェックを続けることができ、（セキュアＵＶアクセスを実行する前にセキュア・インタフェース制御によってセットアップされた）ＵＶセキュア・ドメイン・レジスタを、処理が続く場合にブロック１４２０で実行されるドメイン・チェックのための指定されたセキュア・ドメインとして使用することができることを除いて、この保護チェックは、任意のセキュア・アクセスに対して実行することができる。さらに、ブロック１４２５でＵＶアクセスに対して検出された違反（入口点Ｄ）を、ブロック１４３０で、エラーとして提示することができ、ブロック１４２５でのセキュア・ゲスト違反（セキュアＵＶ＝いいえ）に対しては、ブロック１４３５で、ハイパーバイザに例外を提示することができる。

【0081】

ブロック１４０５でセキュアＵＶアクセスのタグが付けられていなかったアクセスについて、ハードウェアは、ブロック１４４０で、そのアクセスがセキュア・ゲスト・アクセスであるかどうかを判定し、そのアクセスがセキュア・ゲスト・アクセスではなく、ブロック１４４５で、そのページにセキュアのマークが付けられている場合、ブロック１４３５で、ハイパーバイザに例外を提示することができる。一方、ブロック１４４０で、そのアクセスがセキュア・ゲスト・アクセスでなく、ブロック１４４５で、そのページにセキュアのマークが付けられていない場合、ブロック１４５０で、変換は成功となる。

【0082】

ブロック１４４０で、そのアクセスがセキュア・ゲスト・アクセスである場合、または、そのアクセスが、ブロック１４１０でセキュアＵＶストレージとして登録されたストレージへのセキュアＵＶアクセスである場合、ハードウェアは、ブロック１４２０で、そのストレージが、そのアクセスに関連したセキュア・エンティティに登録されていることを確かめるためのチェックを実行することができる。このアクセスがセキュアＵＶアクセスである場合、（アクセスされているセキュアＵＶストレージに基づいてセキュア・インタフェース制御によってロードされた）ＵＶセキュア・ドメイン・レジスタから、指定されたセキュア・ドメインを取得することができ、セキュア・ゲスト・アクセスに関して、指定されたセキュア・ドメインは、（セキュア・エンティティがディスパッチされたときにロードされた）ＳＧセキュア・ドメイン・レジスタから取得される。ブロック１４２０で、アクセスされているストレージが、指定されたセキュア・ドメインに登録されていない場合、ブロック１４２５でのセキュアＵＶアクセスに関しては、ブロック１４３０でエラーが提示され、ブロック１４２５でのセキュア・ゲスト・アクセス（セキュアＵＶ＝いいえ）に関しては、ブロック１４３５で、ハイパーバイザに例外が提示される。

【0083】

ブロック１４４０およびブロック１４１０におけるストレージに対するセキュア・アクセスであって、ブロック１４２０で、指定されたセキュア・ドメインに登録されたセキュア・アクセスに関して、ブロック１４５５で、仮想アドレス・チェックが無効化されており、すなわちＤＡビット＝１であり、かつ、ブロック１４６０でそのアクセスが実アクセスである場合、ブロック１４５０で、変換は完了となる。しかしながら、ブロック１４５５ではＤＡビット＝１だが、ブロック１４６０で、そのアクセスが仮想アクセスである（実アクセス＝いいえ）場合には、ブロック１４２５でのセキュアＵＶアクセスに関して、ブロック１４３０でエラーが提示され、ブロック１４２５でのセキュア・ゲスト・アクセス（セキュアＵＶアクセス＝いいえ）に関して、ブロック１４３５で、ハイパーバイザに例外が提示される。ブロック１４５５でＤＡビット＝０、ブロック１４７５で、そのアクセスが仮想アクセスである場合、ハードウェアは、ブロック１４７０で、そのアクセスのホスト仮想－ホスト絶対マッピングが、このホスト絶対アドレスに対して登録されているマッピングと一致するかどうかを判定することができる。一致する場合、ブロック１４５０で、変換は成功のうちに完了となる。ブロック１４７０で、このマッピングが一致しない場合、ブロック１４２５でのセキュアＵＶがアクセスに関しては、ブロック１４３０でエラーが提示され、ブロック１４２５でのセキュア・ゲスト・アクセス（セキュアＵＶアクセス＝いいえ）に関しては、ブロック１４３５で、ハイパーバイザに例外が提示される。ブロック１４７５で、ＤＡビット＝０であり、そのアクセスが実アクセスである（仮想アクセス＝いいえ）場合、ブロック１４２５でのセキュアＵＶがアクセスに関しては、ブロック１４３０でエラーが提示され、ブロック１４２５でのセキュア・ゲスト・アクセス（セキュアＵＶアクセス＝いいえ）に関しては、ブロック１４３５で、ハイパーバイザに例外が提示され、あるいは、ブロック１４５０で、変換は成功のうちに完了となる。ブロック１４８０でのＩ／Ｏサブシステムによるアクセスは、ブロック１４４５でそのページにセキュア・ページのマークが付けられているかどうかを知るためのチェックを実行することができる。そのページがセキュア・ページである場合、ブロック１４３５で、ハイパーバイザに例外を提示することができ、そのページにセキュア・ページのマークが付けられていない場合、ブロック１４５０で、変換は成功となる。

【0084】

ゾーン・セキュリティ・テーブル・インタフェースによって、ストレージ登録およびマッピングのさまざまなチェックを集合的に管理することができる１４８５。例えば、ブロック１４１０、１４２０、１４５５、１４７０および１４７５は、さまざまなアクセスを管理するために、同じゾーンに関連づけられたゾーン・セキュリティ・テーブルとインタフェースすることができる。

【0085】

次に図１５を参照すると、本発明の１つまたは複数の実施形態による、共用アクセス・ストレージ保護のためのプロセス・フロー１５００が概括的に示されている。ブロック１５０５で、セキュア・ゲストなどのセキュア・エンティティが、メモリのページを共用することが計画されているが、このページの内容が秘密である場合に、このページのデータ内容を共用することの一部としてではなく、例えばメモリ管理の一部として、このメモリのページを暗号化することができる。暗号化は、セキュア・インタフェース制御のサービスとして提供することができ、または、セキュア・ゲストが、別個の暗号化プロセスを実施することを選んでもよい。

【0086】

図１５の例では、ブロック１５１０で、セキュア・エンティティが、セキュア・インタフェース制御にセット・シェアード・アクセス・コマンド（set-shared-access command）を発行することができる。セキュア・インタフェース制御において、このセット・シェアード・アクセス・コマンドを、このページへの共用アクセスを確立することを求めるセキュア・エンティティからのリクエストとして受け取ることができる。セキュア・インタフェース制御は、ブロック１５１５で、このページが現在、セキュア・ストレージ保護インジケータがセットされた（例えばＳＳＰ＝１）セキュア・ページとして識別されているかどうかを判定することができ、ブロック１５２０で、このページが、このコマンドを発行したセキュア・エンティティのセキュア・ドメインに登録されているかどうかを判定することができる。セキュア・インタフェース制御は、ブロック１５１５で、このページがセキュア・ページとして識別されていると判定したことに、およびブロック１５２０で、このページが、セキュア・エンティティのセキュア・ドメインに登録されていると判定したことに基づいて、このページを、セキュア・ドメインに、共用ページとして登録することができる。ブロック１５３０で、セキュア・インタフェース制御によって、このページが現在、セキュア・ページとして識別されており（ブロック１５１５）、セキュア・エンティティのセキュア・ドメインに登録されており（ブロック１５２０）、このページがまだロックされていない（ブロック１５２５）と判定したことに基づいて、このページをロックすることができる。セキュア・インタフェース制御は、同じセキュア・ページを管理することを企てているセキュア・エンティティまたはセキュア・インタフェース制御が、このページがロックされているときにこのページにアクセスすることを防ぐことができる。例えば、セキュア・インタフェース制御は、異なるプロセッサ上でもしくは異なるコンテキストでまたはその両方でのページ登録の変更の企てを試みているセキュア・エンティティもしくはセキュア・インタフェース制御またはその両方が、このページがロックされているときにこのページにアクセスすることを防ぐことができる。このページがロックされているときにこのページの１つまたは複数の許可チェックもしくは状態更新またはその両方を、セキュア・インタフェース制御によって実行することができる。この許可チェックおよび状態更新は例えば、暗号化された内容をハイパーバイザがメモリにページインおよびメモリからページアウトしているときにその内容に対する変更を維持および検出するために使用される、機械の完全性状態（integrity state）に関係するチェックおよび更新を含むことができる。ブロック１５３５で、このページの１つまたは複数の許可チェックを完了したことに基づいて、このページのロックを解除し、このページを、セキュア・ドメインに、共用ページとして登録することができる。ブロック１５４０で、このページに、非セキュア・ページのマークを付けることができる。

【0087】

いくつかの実施形態では、暗号化が必要な場合に、ブロック１５０５を、プロセス・フロー１５００の後の方で、すなわち、ページをロックした後、ページを共用し、このページに非セキュア・ページのマークを付ける前の時点で、実行することができる。ブロック１５４５で、このページへの共用アクセスを確立することを求めるリクエストを受け取る前にこのページが既にロックされていたと判定したことに基づいて（ブロック１５２５＝はい）、セキュア・エンティティに使用中インジケータを送ることができる。例えば以前に発行されたコマンドが完了するための追加の時間を提供するため、および再試行レートを遅くするめに、ブロック１５５０で、使用中インジケータを遅延させることができる。この遅延は、セキュア・インタフェース制御またはセキュア・ゲストによって実行することができる。このページがセキュア・ドメインに登録されなかった場合（ブロック１５２０＝いいえ）、または、このページがセキュア・ページでなく（ブロック１５１５＝いいえ）、このページが共用されていた場合（ブロック１５６０＝はい）、ブロック１５５５で、エラーを報告することができる。このページがセキュア・ページでなく（ブロック１５１５＝いいえ）、このページが共用ページでなかった場合（ブロック１５６０＝いいえ）、ブロック１５５５で、非セキュア・エンティティに例外を提示することができる。

【0088】

次に図１６を参照すると、本発明の１つまたは複数の実施形態による、セキュア・ドメインと非セキュア・エンティティとの間のストレージ共用のためのプロセス・フロー１６００が概括的に示されている。プロセス・フロー１６００は、図１５のプロセス・フロー１５００の変形形態である。

【0089】

ブロック１６０５で、コンピュータ・システムのセキュア・インタフェース制御は、コンピュータ・システムの非セキュア・エンティティがこの非セキュア・エンティティとコンピュータ・システムのセキュア・ドメインとの間で共用されているメモリのページにアクセスすることを、このページのセキュア・ストレージ保護インジケータがクリアであり（例えばＳＳＰ＝０）このページに非セキュア・ページのマークが付けられていることに基づいて、有効化することができる。ブロック１６１０で、セキュア・インタフェース制御は、非セキュア・エンティティがこのページにアクセスすることを許す前に、このページのセキュア・ストレージ保護インジケータがクリアであることを確認することができる。セキュア・ストレージ保護インジケータは、メモリの複数のページのうちのそれぞれのページに対するコンピュータ・システムのハードウェア内のビットとすることができる。非セキュア・エンティティはハイパーバイザとすることができる。セキュア・エンティティは仮想機械とすることができ、この仮想機械は、セキュア・ドメイン内のハイパーバイザにホストされるセキュア・ゲストである。ブロック１６１５で、セキュア・インタフェース制御は、このページのセキュア・ストレージ保護インジケータのチェックなしで（例えばＳＳＰのチェックなしで）、セキュア・ドメインのセキュア・エンティティに、このページへのアクセスを提供することができる。

【0090】

それでも、アクセス確認の一部として、ホスト・アドレスのメモリ・マッピング・テストを実行することができるが、ＳＳＰのチェックを回避することはさらに、非セキュア・エンティティがセキュア・ストレージにアクセスすることができないことを保証しつつ、処理速度を高めることができる。セキュア・インタフェース制御は、非セキュア・エンティティによって確立された、セキュア・エンティティによって使用される動的アドレス変換マッピングが、セキュア・エンティティにこのページへのアクセスを提供する前に変更されていないことを確認することができる。このページに関連づけられたセキュア・ドメイン識別子およびこのページに関連づけられた仮想アドレス・マッピング・データを含む、図１のゾーン・セキュリティ・テーブル１００などのゾーン・セキュリティ・テーブルを介して、セキュア・ドメインをチェックおよび更新することができる。

【0091】

本開示はクラウド・コンピューティングに関する詳細な説明を含むが、本明細書に記載された教示の実施態様はクラウド・コンピューティング環境だけに限定されないことを理解されたい。本発明の実施形態は、現在知られているまたは後に開発される他の任意のタイプのコンピューティング環境において実施することができる。

【0092】

クラウド・コンピューティングは、最小限の管理労力またはサービスのプロバイダとの最小限のインタラクションで迅速に供給およびリリースすることができる構成可能なコンピューティング・リソース（例えばネットワーク、ネットワーク帯域、サーバ、処理、メモリ、ストレージ、アプリケーション、ＶＭおよびサービス）の共用プールへの便利なオンデマンド・ネットワーク・アクセスを可能にするサービス配信モデルである。このクラウド・モデルは、少なくとも５つの特徴、少なくとも３つのサービス・モデル、および少なくとも４つのデプロイメント（deployment）モデルを含むことができる。

【0093】

特徴は以下のとおりである。
オンデマンド・セルフサービス：クラウド・コンシューマは、サーバ時間およびネットワーク・ストレージなどのコンピューティング機能を、このサービスのプロバイダとのヒューマン・インタラクションを必要とすることなく必要に応じて自動的に一方的に供給することができる。
ブロード・ネットワーク・アクセス：機能は、ネットワーク上で利用可能であり、異種のシンまたはシック・クライアント・プラットフォーム（例えば移動電話、ラップトップおよびＰＤＡ）による使用を促進する標準的機構を通してアクセスされる。
リソース・プーリング（resource pooling）：マルチテナント・モデルを使用して複数のコンシューマにサービスを提供するために、プロバイダのコンピューティング・リソースがプールされており、要求に応じて、異なる物理的および仮想リソースが動的に割当ておよび再割当てされる。コンシューマは一般に、提供されたリソースの正確な位置を制御できずまたは正確な位置を知らないが、より高次の抽象化レベル（例えば国、州またはデータセンタ）で位置を指定することができるという意味で、位置独立の感覚がある。
ラピッド・エラスティシティ（rapid elasticity）：機能は、素早くスケールアウトするために迅速かつ弾力的に、場合によっては自動的に供給することができ、素早くスケールインするために迅速にリリースすることができる。コンシューマにとって、供給に利用可能な機能はしばしば無限であるように見え、いつでも好きな量だけ購入することができる。
メジャード・サービス（measured service）：クラウド・システムは、サービスのタイプ（例えば、ストレージ、処理、帯域および使用中ユーザ・アカウント）に対して適切なある抽象化レベルで計測機能に介入することによって、リソースの使用状況を自動的に制御および最適化する。リソースの使用状況を監視、制御および報告して、利用されているサービスのプロバイダとコンシューマの両方に透明性を提供することができる。

【0094】

サービス・モデルは以下のとおりである。
ソフトウェア・アズ・ア・サービス（ＳａａＳ）：コンシューマに提供されるこの機能は、クラウド・インフラストラクチャ上で動作しているプロバイダのアプリケーションを使用する機能である。ウェブ・ブラウザなどのシン・クライアント・インタフェース（例えばウェブ・ベースの電子メール）を通してさまざまなクライアント・デバイスからアプリケーションにアクセス可能である。場合によっては可能な限られたユーザ固有のアプリケーション構成の設定を除けば、コンシューマは、ネットワーク、サーバ、オペレーティング・システム、ストレージまたは個々のアプリケーション機能を含む基礎をなすクラウド・インフラストラクチャを管理もまたは制御もしない。
プラットフォーム・アズ・ア・サービス（ＰａａＳ）：コンシューマに提供されるこの機能は、クラウド・インフラストラクチャ上で、プロバイダがサポートするプログラム言語およびツールを使用して作成されたコンシューマ作成または取得のアプリケーションをデプロイする機能である。コンシューマは、ネットワーク、サーバ、オペレーティング・システムまたはストレージを含む基礎をなすクラウド・インフラストラクチャを管理もまたは制御もしないが、デプロイされたアプリケーションおよび場合によってはアプリケーション・ホスティング環境構成は制御することができる。
インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）：コンシューマに提供されるこの機能は、処理、ストレージ、ネットワークおよび他の基本的なコンピューティング・リソースを供給する機能であり、コンシューマは任意のソフトウェアをデプロイおよび動作することができ、これらのソフトウェアは、オペレーティング・システムおよびアプリケーションを含むことができる。コンシューマは、基礎をなすクラウド・インフラストラクチャを管理もまたは制御もしないが、オペレーティング・システム、ストレージおよびデプロイされたアプリケーションは制御することができ、場合によっては、選択されたネットワーク構成要素（例えばホスト・ファイアウォール）を限定的に制御することができる。

【0095】

デプロイメント・モデルは以下のとおりである。
プライベート・クラウド：このクラウド・インフラストラクチャは、組織体のためだけに運営される。インフラストラクチャは、その組織体または第三者が管理することができ、オンプレミス（on-premises）またはオフプレミス（off-premises）で存在することができる。
コミュニティ・クラウド：このクラウド・インフラストラクチャは、いくつかの組織体によって共有され、利害（例えばミッション、セキュリティ要件、ポリシーおよびコンプライアンス上の問題）を共有する特定のコミュニティをサポートする。インフラストラクチャは、その組織体または第三者が管理することができ、オンプレミスまたはオフプレミスで存在することができる。
パブリック・クラウド：このクラウド・インフラストラクチャは、一般大衆または大きな産業グループが利用可能であり、クラウド・サービスを販売している組織体によって所有される。
ハイブリッド・クラウド：このクラウド・インフラストラクチャは、固有のエンティティを維持しているが、データおよびアプリケーション・ポータビリティを可能にする標準化された技術または独占技術（例えばクラウド間のロード・バランシングのためのクラウド・バースティング（cloud bursting））によって１つに結合された２つ以上のクラウド（プライベート、コミュニティまたはパブリック）の合成体である。

【0096】

クラウド・コンピューティング環境は、ステートレス性、低結合、モジュール性および意味論的相互運用性（semantic interoperability）に重きを置くサービス指向の環境である。クラウド・コンピューティングの中心には、相互接続されたノードのネットワークを含むインフラストラクチャがある。

【0097】

次に図１７を参照すると、例示的なクラウド・コンピューティング環境５０が示されている。示されているとおり、クラウド・コンピューティング環境５０は１つまたは複数のクラウド・コンピューティング・ノード１０を含み、クラウド・コンシューマによって使用されるローカル・コンピューティング・デバイス、例えばパーソナル・ディジタル・アシスタント（ＰＤＡ）もしくは携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃまたは自動車コンピュータ・システム５４Ｎあるいはこれらの組合せは、これらのノードと通信することができる。ノード１０は互いに通信することができる。それらのノードは、上で説明したプライベート、コミュニティ、パブリックまたはハイブリッド・クラウドまたはこれらの組合せなどの１つまたは複数のネットワークに、物理的にまたは仮想的にグループ分けされていることがある（図示せず）。これによって、クラウド・コンピューティング環境５０は、インフラストラクチャ、プラットフォームもしくはソフトウェアまたはこれらの組合せをサービスとして提供することができ、そのため、クラウド・コンシューマは、ローカル・コンピューティング・デバイス上にリソースを維持する必要がない。図１７に示されたタイプのコンピューティング・デバイス５４Ａ～Ｎは単なる例であることが意図されていること、ならびにコンピューティング・ノード１０およびクラウド・コンピューティング環境５０は、任意のタイプのネットワーク上もしくはアドレス指定可能なネットワーク接続上またはその両方で（例えばウェブ・ブラウザを使用して）、コンピュータ化された任意のタイプのデバイスと通信することができることが理解される。

【0098】

次に図１８を参照すると、クラウド・コンピューティング環境５０（図１７）によって提供される一組の機能抽象化層が示されている。図１８に示された構成要素、層および機能は単なる例であることが意図されており、本発明の実施形態はそれらに限定されないことを予め理解しておくべきである。図示のとおり、以下の層および対応する機能が提供される。

【0099】

ハードウェアおよびソフトウェア層６０は、ハードウェア構成要素およびソフトウェア構成要素を含む。ハードウェア構成要素の例は、メインフレーム６１、ＲＩＳＣ（縮小命令セット・コンピュータ）アーキテクチャ・ベースのサーバ６２、サーバ６３、ブレード・サーバ（blade server）６４、ストレージ・デバイス６５ならびにネットワークおよびネットワーキング構成要素６６を含む。いくつかの実施形態では、ソフトウェア構成要素が、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。

【0100】

仮想化層７０は抽象化層を提供し、この層から、仮想エンティティの以下の例を提供することができる：仮想サーバ７１、仮想ストレージ７２、仮想専用ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５。

【0101】

一例では、管理層８０が以下の機能を提供することができる。リソース供給（Resource provisioning）８１は、クラウド・コンピューティング環境内でタスクを実行する目的に利用されるコンピューティング・リソースおよびその他のリソースの動的調達を提供する。計量および価格決定（Metering and Pricing）８２は、クラウド・コンピューティング環境内でリソースが利用されたときの費用追跡、およびこれらのリソースの消費に対する課金または請求を提供する。一例では、これらのリソースがアプリケーション・ソフトウェア・ライセンスを含むことがある。セキュリティは、クラウド・コンシューマおよびタスクの識別確認ならびにデータおよび他のリソースの保護を提供する。ユーザ・ポータル８３は、コンシューマおよびシステム管理者に、クラウド・コンピューティング環境へのアクセスを提供する。サービス水準管理８４は、必要なサービス水準が達成されるようなクラウド・コンピューティング・リソースの割振りおよび管理を提供する。サービス水準合意（Service Level Agreement）（ＳＬＡ）計画および履行８５は、ＳＬＡによって将来必要になると予想されるクラウド・コンピューティング・リソースの事前調整および調達を提供する。

【0102】

ワークロード層９０は、クラウド・コンピューティング環境を利用することができる機能の例を提供する。この層から提供することができるワークロードおよび機能の例は、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想教室教育配信９３、データ解析処理９４、トランザクション処理９５、および仮想機械に関連づけられたセキュア・ストレージへのアクセスの制御９６を含む。これらは一部の例でしかないこと、および他の実施形態ではこれらの層が異なるサービスを含みうることが理解される。

【0103】

次に図１９を参照すると、本発明の１つまたは複数の実施形態によるシステム１９００が示されている。システム１９００は、１つまたは複数のクライアント・デバイス２０Ａ～２０Ｅと直接にまたは間接的に、例えばネットワーク１６５を介して間接的に通信する例示的なノード１０（例えばホスティング・ノード）を含む。ノード１０は、クラウド・コンピューティング・プロバイダのデータセンタまたはホスト・サーバとすることができる。ノード１０は、ハイパーバイザ１２を実行する。ハイパーバイザ１２は、１つまたは複数のＶＭ１５（１５Ａ～１５Ｎ）のデプロイを容易にする。ノード１０はさらに、セキュア・インタフェース制御１１を含むハードウェア／ファームウェア層１３を含む。セキュア・インタフェース制御１１は、ハイパーバイザ１２が１つまたは複数のサービスを仮想機械１５に提供するのを容易にする１つまたは複数のハードウェア・モジュールおよびファームウェアを含む。ハイパーバイザ１２とセキュア・インタフェース制御１１の間、セキュア・インタフェース制御１１と１つまたは複数のＶＭ１５の間、およびハイパーバイザ１２と１つまたは複数のＶＭ１５の間の通信、ならびにセキュア・インタフェース制御１１を通したハイパーバイザ１２からＶＭ１５への通信が存在しうる。セキュアＶＭ環境を容易にするため、本発明の１つまたは複数の実施形態によるホスティング・ノード１０は、ハイパーバイザ１２と１つまたは複数のＶＭ１５との間の直接通信を一切含まない。

【0104】

例えば、ホスティング・ノード１０は、ＶＭ１５Ａ～１５Ｎのうちの１つまたは複数のＶＭをクライアント・デバイス２０Ａがデプロイするのを容易にすることができる。ＶＭ１５Ａ～１５Ｎは、異なるクライアント・デバイス２０Ａ～２０Ｅからのそれぞれのリクエストに応答してデプロイすることができる。例えば、ＶＭ１５Ａは、クライアント・デバイス２０Ａによってデプロイすることができ、ＶＭ１５Ｂは、クライアント・デバイス２０Ｂによってデプロイすることができ、ＶＭ１５Ｃは、クライアント・デバイス２０Ｃによってデプロイすることができる。ノード１０はさらに、クライアントが、（ＶＭとして動作しない）物理サーバを供給するのを容易にすることができる。本明細書に記載された例は、ノード１０内のリソースをＶＭの一部として供給することを実施するが、記載された技術的ソリューションを適用して、それらのリソースを物理サーバの一部として供給することもできる。

【0105】

一例では、クライアント・デバイス２０Ａ～２０Ｅが、同じエンティティ、例えば同じ人間、ビジネス、政府機関、企業内の部門または他のエンティティに属していてもよく、そのエンティティのプライベート・クラウドとしてノード１０を動作させることができる。その場合、ノード１０は単に、そのエンティティに属するクライアント・デバイス２０Ａ～２０ＥによってデプロイされたＶＭ１５Ａ～１５Ｎをホストする。別の例では、クライアント・デバイス２０Ａ～２０Ｅが異なるエンティティに属していてもよい。例えば、第１のエンティティは、クライアント・デバイス２０Ａを所有することができ、その一方で、第２のエンティティは、クライアント・デバイス２０Ｂを所有することができる。その場合には、異なるエンティティからのＶＭをホストするパブリック・クラウドとしてノード１０を動作させることができる。例えば、ＶＭ１５ＡがＶＭ１５Ｂへのアクセスを容易にしないシュラウドされた（shrouded）方式で、ＶＭ１５Ａ～１５Ｎをデプロイすることができる。例えば、ノード１０は、ＩＢＭ ｚ Ｓｙｓｔｅｍｓ（Ｒ） Ｐｒｏｃｅｓｓｏｒ Ｒｅｓｏｕｒｃｅ／Ｓｙｓｔｅｍｓ Ｍａｎａｇｅｒ（ＰＲ／ＳＭ）Ｌｏｇｉｃａｌ Ｐａｒｔｉｔｉｏｎ（ＬＰＡＲ）フィーチャを使用して、ＶＭ１５Ａ～１５をシュラウドすることができる。ＰＲ／ＳＭ ＬＰＡＲなどのこれらのフィーチャは、パーティション間の分離を提供し、したがって、ノード１０が、異なる論理パーティション内の同じ物理ノード１０上の異なるエンティティに対して２つ以上のＶＭ１５Ａ～１５Ｎをデプロイすることを容易にする。ＰＲ／ＳＭ ＬＰＡＲハイパーバイザは、この分離を提供するための特定のハードウェアを有する信頼できる内部ファームウェア内に実装される。

【0106】

クライアント・デバイス２０Ａ～２０Ｅからのクライアント・デバイス２０Ａは、ノード１０のハイパーバイザ１２によるＶＭのデプロイメントをリクエストする、コンピュータ、スマートフォン、タブレット・コンピュータ、デスクトップ・コンピュータ、ラップトップ・コンピュータ、サーバ・コンピュータまたは他の通信装置などの通信装置である。クライアント・デバイス２０Ａは、ネットワーク１６５を介してハイパーバイザが受け取るリクエストを送ることができる。ＶＭ１５Ａ～１５ＮからのＶＭ１５Ａは、クライアント・デバイス２０Ａ～２０Ｅからのクライアント・デバイス２０Ａからのリクエストに応答してハイパーバイザ１２がデプロイするＶＭイメージである。ハイパーバイザ１２はＶＭモニタ（ＶＭＭ）であり、そのＶＭＭは、ＶＭを生成および動作するソフトウェア、ファームウェアまたはハードウェアとすることができる。ハイパーバイザ１２は、ＶＭ１５Ａが、ノード１０のハードウェア構成要素を使用して、プログラムの実行もしくはデータの記憶またはその両方を実施することを容易にする。適切なフィーチャおよび変更がある場合、ハイパーバイザ１２は、ＩＢＭ ｚ Ｓｙｓｔｅｍｓ（Ｒ）、オラクル（Oracle）のＶＭ Ｓｅｒｖｅｒ、シトリックス（Citrix）のＸｅｎＳｅｒｖｅｒ、ＶｍｗａｒｅのＥＳＸ、Ｍｉｃｒｏｓｏｆｔ Ｈｙｐｅｒ－Ｖハイパーバイザ、または他の任意のハイパーバイザとすることができる。ハイパーバイザ１２は、ノード１０上で直接に実行されるネイティブのハイパーバイザ、または別のハイパーバイザ上で実行されるホステッド（hosted）・ハイパーバイザとすることができる。

【0107】

次に図２０を参照すると、本発明の１つまたは複数の実施形態による、本明細書の教示を実施するためのノード１０が示されている。ノード１０は、本明細書に記載されたさまざまな通信技術を利用する任意の数および組合せのコンピューティング・デバイスおよびネットワークを含み、もしくはそのようなコンピューティング・デバイスおよびネットワークを使用し、またはそのようなコンピューティング・デバイスおよびネットワークを含み、使用する、電子コンピュータ・フレームワークとすることができる。ノード１０は、異なるサービスに変化する能力または他から独立していくつかのフィーチャを再構成する能力を有したまま、簡単にスケーリング、拡張、およびモジュール化することができる。

【0108】

この実施形態では、ノード１０がプロセッサ２００１を有し、プロセッサ２００１は、１つまたは複数の中央処理ユニット（ＣＰＵ）２００１ａ、２００１ｂ、２００１ｃなどを含むことができる。処理回路、マイクロプロセッサ、コンピューティング・ユニットとも呼ばれるプロセッサ２００１は、システム・バス２００２を介してシステム・メモリ２００３および他のさまざまな構成要素に結合されている。システム・メモリ２００３は、リード・オンリー・メモリ（ＲＯＭ）２００４およびランダム・アクセス・メモリ（ＲＡＭ）２００５を含む。ＲＯＭ２００４は、システム・バス２００２に結合されており、基本入出力システム（ＢＩＯＳ）を含むことができ、ＢＩＯＳは、ノード１０のある種の基本機能を制御する。ＲＡＭは、プロセッサ２００１によって使用されるためにシステム・バス２００２に結合された読出し－書込みメモリである。

【0109】

図２０のノード１０はハードディスク２００７を含む。ハードディスク２００７は、プロセッサ２００１が読み、実行することができる有形のストレージ媒体の例である。ハードディスク２００７は、ソフトウェア２００８およびデータ２００９を記憶している。ソフトウェア２００８は、（図１～１９を参照して説明したプロセスなどのプロセスを実行するために）プロセッサ２００１によってノード１０上で実行される命令として記憶されている。データ２００９は、ソフトウェア２００８のオペレーションをサポートするように、およびソフトウェア２００８のオペレーションによって使用されるようにさまざまなデータ構造で編成された定性的または定量的変量の一組の値を含む。

【0110】

図２０のノード１０は、プロセッサ２００１、システム・メモリ２００３、ハードディスク２００７およびノード１０の他の構成要素（例えば周辺および外部デバイス）を相互接続し、それらの構成要素間の通信をサポートする１つまたは複数のアダプタ（例えばハードディスク・コントローラ、ネットワーク・アダプタ、グラフィクス・アダプタなど）を含む。本発明の１つまたは複数の実施形態では、この１つまたは複数のアダプタを、介在するバス・ブリッジを介してシステム・バス２００２に接続された１つまたは複数のＩ／Ｏバスに接続することができ、この１つまたは複数のＩ／Ｏバスは、ペリフェラル・コンポーネント・インターコネクト（Peripheral Component Interconnect）（ＰＣＩ）などの一般的なプロトコルを利用することができる。

【0111】

示されているとおり、ノード１０は、キーボード２０２１、マウス２０２２、スピーカ２０２３およびマイクロフォン２０２４をシステム・バス２００２に相互接続するインタフェース・アダプタ２０２０を含む。ノード１０は、システム・バス２００２をディスプレイ２０３１に相互接続するディスプレイ・アダプタ２０３０を含む。ディスプレイ・アダプタ２０３０（もしくはプロセッサ２００１またはその両方）は、ＧＵＩ２０３２の表示および管理などのグラフィクス性能を提供するグラフィクス・コントローラを含むことができる。通信アダプタ２０４１が、システム・バス２００２をネットワーク２０５０に相互接続し、ノード１０が、サーバ２０５１やデータベース２０５２などの他のシステム、デバイス、データおよびソフトウェアと通信することを可能にする。本発明の１つまたは複数の実施形態では、ソフトウェア２００８およびデータ２００９のオペレーションを、ネットワーク２０５０上で、サーバ２０５１およびデータベース２０５２によって実施することができる。例えば、ソフトウェア２００８およびデータ２００９の内部反復を、プラットフォーム・アズ・ア・サービス、ソフトウェア・アズ・ア・サービスもしくはインフラストラクチャ・アズ・ア・サービスまたはこれらの組合せとして（例えば分散システム内のウェブ・アプリケーションとして）提供するために、ネットワーク２０５０、サーバ２０５１およびデータベース２０５２を結合することができる。

【0112】

本明細書に記載された実施形態は必然的に、コンピュータ技術、特にＶＭをホストするコンピュータ・サーバに根差したものである。さらに、本発明の１つまたは複数の実施形態は、ＶＭをホストするコンピュータ・サーバが、ハイパーバイザでさえもセキュアＶＭに関連づけられたメモリ、レジスタおよび他のデータにアクセスすることが禁じられているセキュアＶＭをホストすることを容易にすることによって、コンピューティング技術のオペレーション自体の改良、特にＶＭをホストするコンピュータ・サーバのオペレーションの改良を容易にする。さらに、本発明の１つまたは複数の実施形態は、ハードウェア、ファームウェア（例えばミリコード）またはこれらの組合せを含むセキュア・インタフェース制御（本明細書では「ＵＶ」とも呼ばれる）を使用して、セキュアＶＭとハイパーバイザとの分離を容易にすることによって、したがって、コンピューティング・サーバにホストされるＶＭのセキュリティを維持することによって、ＶＭホスティング・コンピューティング・サーバの改良に向けてのかなりのステップを提供する。セキュア・インタフェース制御は、本明細書に記載されたとおり、ＶＭの初期化／終了時のセキュアＶＭ状態に重大なオーバヘッドを追加することなく、セキュリティを容易にするための軽量の介在オペレーションを提供する。

【0113】

本明細書に開示された本発明の実施形態は、ＶＭのセキュア・ストレージへのアクセスを制御するシステム、方法もしくはコンピュータ・プログラム製品（本明細書ではシステム）またはこれらの組合せを含むことがある。それぞれの説明に関して、要素の識別子は、異なる図の他の類似の要素に対して再使用されていることに留意されたい。

【0114】

本明細書では、本発明のさまざまな実施形態が関連図を参照して説明される。本発明の範囲を逸脱することなく本発明の代替実施形態を考案することができる。以下の説明および図面には、要素間のさまざまな接続および位置関係（例えば上、下、隣りなど）が示されている。これらの接続もしくは位置関係またはその両方は、特に指定されていない限り、直接的なものであることまたは間接的なものであることができ、本発明は、この点に関して限定を意図したものではない。したがって、実体の結合は、直接結合または間接結合であることができ、実体間の位置関係は、直接的位置関係または間接的位置関係であることができる。さらに、本明細書には詳細に記載されていない追加のステップまたは機能を有するより包括的な手順またはプロセスに、本明細書に記載されたさまざまなタスクおよびプロセス・ステップを組み込むことができる。

【0115】

特許請求の範囲および本明細書の解釈のために、以下の定義および略語が使用される。本明細書で使用されるとき、用語「備える（comprises）」、「備える（comprising）」、「含む（includes）」、「含む（including）」、「有する（has）」、「有する（having）」、「含有する（contains）」もしくは「含有する（containing）」、またはこれらの用語の他の変異語は、非排他的包含（non-exclusive inclusion）をカバーすることが意図されている。例えば、要素のリストを含む組成物、混合物、プロセス、方法、物品または装置は、必ずしもそれらの要素だけに限定されるわけではなく、明示的にはリストに入れられていない他の要素、あるいはこのような組成物、混合物、プロセス、方法、物品または装置に固有の他の要素を含みうる。

【0116】

さらに、本明細書では、用語「例示的な」が、「例、事例または実例として役立つ」ことを意味するものとして使用されている。本明細書に「例示的」として記載された実施形態または設計は必ずしも、他の実施形態または設計よりも好ましいまたは有利であるとは解釈されない。用語「少なくとも１つの」および「１つまたは複数の」は、１以上の任意の整数、すなわち１、２、３、４などを含むと理解してもよい。用語「複数の」は、２以上の任意の整数、すなわち２、３、４、５などを含むと理解してもよい。用語「接続」は、間接「接続」と直接「接続」の両方を含むことがある。

【0117】

用語「約」、「実質的に」、「およそ」およびこれらの用語の変異語は、特定の数量の大きさに関連した、本出願の提出時に利用可能な機器に基づく誤差の程度を含むことが意図されている。例えば、「約」は、所与の値の±８％、５％または２％の範囲を含みうる。

【0118】

本発明は、インテグレーションの可能な技術的詳細レベルにおいて、システム、方法もしくはコンピュータ・プログラム製品、またはこれらの組合せであることができる。コンピュータ・プログラム製品は、本発明の態様をプロセッサに実行させるためのコンピュータ可読プログラム命令をその上に有するコンピュータ可読ストレージ媒体を含むことができる。

【0119】

このコンピュータ可読ストレージ媒体は、命令実行デバイスが使用するための命令を保持および記憶することができる有形のデバイスとすることができる。このコンピュータ可読ストレージ媒体は例えば、限定はされないが、電子ストレージ・デバイス、磁気ストレージ・デバイス、光学ストレージ・デバイス、電磁気ストレージ・デバイス、半導体ストレージ・デバイスまたはこれらの適当な組合せとすることができる。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的なリストは、ポータブル・コンピュータ・ディスケット、ハードディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリー・メモリ（ＲＯＭ）、消去可能なプログラマブル・リード・オンリー・メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク・リード・オンリー・メモリ（ＣＤ－ＲＯＭ）、ディジタル・バーサタイル・ディスク（ＤＶＤ）、メモリ・スティック、フロッピー（Ｒ）・ディスク、機械的にコード化されたデバイス、例えばパンチカードまたはその上に命令が記録された溝の中の一段高くなった構造体、およびこれらの適当な組合せを含む。本明細書で使用されるとき、コンピュータ可読ストレージ媒体は、それ自体が一過性の信号、例えば電波もしくは他の自由に伝搬する電磁波、ウェーブガイドもしくは他の伝送体内を伝搬する電磁波（例えば光ファイバ・ケーブル内を通る光パルス）、または電線を通して伝送される電気信号であると解釈されるべきではない。

【0120】

本明細書に記載されたコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体から対応するそれぞれのコンピューティング／処理デバイスにダウンロードすることができ、またはネットワーク、例えばインターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワークもしくは無線ネットワークまたはそれらの組合せを介して外部コンピュータもしくは外部ストレージ・デバイスにダウンロードすることができる。このネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータもしくはエッジ・サーバ、またはこれらの組合せを含むことができる。それぞれのコンピューティング／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インタフェースは、コンピュータ可読プログラム命令をネットワークから受け取り、それらのコンピュータ可読プログラム命令を、対応するそれぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体に記憶するために転送する。

【0121】

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、機械命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、もしくは集積回路用の構成データであってもよく、またはＳｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同種のプログラミング言語などの手続き型プログラミング言語を含む、１つまたは複数のプログラミング言語の任意の組合せで書かれた、ソース・コードもしくはオブジェクト・コードであってもよい。このコンピュータ可読プログラム命令は、全体がユーザのコンピュータ上で実行されてもよく、一部がユーザのコンピュータ上で実行されてもよく、独立型ソフトウェア・パッケージとして実行されてもよく、一部がユーザのコンピュータ上で、一部が遠隔コンピュータ上で実行されてもよく、または全体が遠隔コンピュータもしくは遠隔サーバ上で実行されてもよい。上記の最後のシナリオでは、遠隔コンピュータが、ローカル・エリア・ネットワーク（ＬＡＮ）もしくはワイド・エリア・ネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続されてもよく、またはこの接続が、外部コンピュータに対して（例えばインターネット・サービス・プロバイダを使用してインターネットを介して）実施されてもよい。いくつかの実施形態では、本発明の態様を実施するために、例えばプログラム可能論理回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ）またはプログラム可能論理アレイ（ＰＬＡ）を含む電子回路が、このコンピュータ可読プログラム命令の状態情報を利用してその電子回路をパーソナライズすることにより、このコンピュータ可読プログラム命令を実行してもよい。

【0122】

本明細書では、本発明の態様が、本発明の実施形態による方法、装置（システム）およびコンピュータ・プログラム製品の流れ図もしくはブロック図またはその両方の図を参照して説明される。それらの流れ図もしくはブロック図またはその両方の図のそれぞれのブロック、およびそれらの流れ図もしくはブロック図またはその両方の図のブロックの組合せは、コンピュータ可読プログラム命令によって実施することができることが理解される。

【0123】

これらのコンピュータ可読プログラム命令は、機械を形成する汎用コンピュータ、専用コンピュータまたは他のプログラム可能データ処理装置のプロセッサに、それらのコンピュータまたは他のプログラム可能データ処理装置のプロセッサによって実行されるこれらの命令が、これらの流れ図もしくはブロック図またはその両方の図のブロックに指定された機能／動作を実施する手段を生成するような態様で、提供することができる。これらのコンピュータ可読プログラム命令はさらに、特定の方式で機能するようにコンピュータ、プログラム可能データ処理装置もしくは他のデバイスまたはこれらの組合せに指図することができるコンピュータ可読ストレージ媒体に、その中に命令が記憶されたコンピュータ可読ストレージ媒体が、これらの流れ図もしくはブロック図またはその両方の図のブロックに指定された機能／動作の態様を実施する命令を含む製品を含むような態様で、記憶することができる。

【0124】

これらのコンピュータ可読プログラム命令はさらに、コンピュータ、他のプログラム可能装置または他のデバイス上で一連の動作ステップを実行させて、コンピュータによって実施されるプロセスを生み出すために、このコンピュータ、他のプログラム可能データ処理装置または他のデバイス上に、このコンピュータ、他のプログラム可能装置または他のデバイス上で実施されるこれらの命令が、これらの流れ図もしくはブロック図またはその両方の図のブロックに指定された機能／動作を実施するような態様で、ロードすることができる。

【0125】

添付図中の流れ図およびブロック図は、本発明のさまざまな実施形態によるシステム、方法およびコンピュータ・プログラム製品の可能な実施態様のアーキテクチャ、機能および動作を示す。この点に関して、それらの流れ図またはブロック図のそれぞれのブロックは、指定された論理機能を実施する１つまたは複数の実行可能命令を含む、命令のモジュール、セグメントまたは部分を表すことがある。いくつかの代替実施態様では、ブロックに示された機能を、図に示された順序とは異なる順序で実行することができる。例えば、連続して示された２つのブロックが、実際は、実質的に同時に実行されることがあり、または、含まれる機能によってはそれらのブロックが逆の順序で実行されることもある。それらのブロック図もしくは流れ図またはその両方の図のそれぞれのブロック、ならびにそれらのブロック図もしくは流れ図またはその両方の図のブロックの組合せを、指定された機能もしくは動作を実行しまたは専用ハードウェアとコンピュータ命令の組合せを実施するハードウェアベースの専用システムによって実施することができることにも留意すべきである。

【0126】

本明細書で使用される用語の目的は特定の実施形態を説明することだけであり、それらの用語が限定を目的とすることは意図されていない。文脈からそうでないことが明らかである場合を除き、本明細書で使用されるとき、単数形の「ａ」、「ａｎ」および「ｔｈｅ」は複数形も含むことが意図されている。本明細書で使用されるとき、用語「備える（comprises）」もしくは「備える（comprising）」またはその両方は、明示された特徴、完全体（integer）、ステップ、動作、要素もしくは構成要素またはこれらの組合せの存在を指定するが、他の１つもしくは複数の特徴、完全体、ステップ、動作、要素、構成要素もしくはこれらのグループ、またはこれらの組合せの存在または追加を排除しないことも理解される。

【0127】

本明細書のさまざまな実施形態の説明は例示のために提示されたものであり、それらの説明が網羅的であること、または開示された実施形態に限定されることは意図されていない。当業者には、記載された実施形態の範囲および思想を逸脱しない多くの変更および変形が明白になるであろう。本明細書で使用されている用語は、実施形態の原理、実際的用途、もしくは市場に出ている技術には見られない技術的改良を最もうまく説明するように、または本明細書に開示された実施形態を他の当業者が理解することができるように選択した。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】