▶ インターナショナル・ビジネス・マシーンズ・コーポレーションの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-11-16
(45)【発行日】2023-11-27
(54)【発明の名称】セキュア仮想マシン環境におけるゲスト命令の透過的解釈
(51)【国際特許分類】
G06F 21/50 20130101AFI20231117BHJP
G06F 9/455 20180101ALI20231117BHJP
G06F 21/53 20130101ALI20231117BHJP
【ＦＩ】
G06F21/50
G06F9/455 150
G06F21/53
【請求項の数】
14
(21)【出願番号】P 2021549560
(86)(22)【出願日】2020-02-27
(65)【公表番号】
(43)【公表日】2022-04-20
(86)【国際出願番号】 IB2020051667
(87)【国際公開番号】W WO2020183278
(87)【国際公開日】2020-09-17
【審査請求日】2022-07-25
(31)【優先権主張番号】16/296,316
(32)【優先日】2019-03-08
(33)【優先権主張国・地域又は機関】US
(73)【特許権者】
【識別番号】390009531
【氏名又は名称】インターナショナル・ビジネス・マシーンズ・コーポレーション
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【住所又は居所原語表記】Ｎｅｗ Ｏｒｃｈａｒｄ Ｒｏａｄ， Ａｒｍｏｎｋ， Ｎｅｗ Ｙｏｒｋ １０５０４， Ｕｎｉｔｅｄ Ｓｔａｔｅｓ ｏｆ Ａｍｅｒｉｃａ
(74)【代理人】
【識別番号】100112690
【弁理士】
【氏名又は名称】太佐 種一
(72)【発明者】
【氏名】ブサバ、ファディ
(72)【発明者】
【氏名】ヘラー、リサ
(72)【発明者】
【氏名】ブラッドベリー、ジョナサン
(72)【発明者】
【氏名】ボルントレガー、クリスチャン
(72)【発明者】
【氏名】インブレンダ、クラウディオ
【審査官】平井 誠
(56)【参考文献】
【文献】特開２０１７－１１１８１２（ＪＰ，Ａ）
【文献】特表２０１４－５３２２０１（ＪＰ，Ａ）
【文献】特表２０１６－５２３４２１（ＪＰ，Ａ）
【文献】特表２０１８－５２６７２０（ＪＰ，Ａ）
【文献】米国特許出願公開第２０１７／０１７７３９２（ＵＳ，Ａ１）
【文献】米国特許出願公開第２０１３／００９７３９２（ＵＳ，Ａ１）
【文献】米国特許出願公開第２０１６／０１４８００１（ＵＳ，Ａ１）
【文献】米国特許出願公開第２０１６／０３７８５２２（ＵＳ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５０
Ｇ０６Ｆ ９／４５５
Ｇ０６Ｆ ２１／５３
(57)【特許請求の範囲】
【請求項1】
システムのホスト・サーバ上に作成される仮想マシンによって、命令のストリームを実行することであって、前記命令のストリームからの命令はハイパーバイザに対してインターセプトされるべきものである、前記実行することと、前記仮想マシンがセキュア仮想マシンであるという判定に基づいて、前記ハイパーバイザが前記セキュア仮想マシンの任意のデータに直接アクセスすることを防ぐことと、
前記ホスト・サーバのセキュア・インターフェース制御によって、
前記命令が前記セキュア・インターフェース制御自身によって解釈可能ではないという判定に基づいて、
前記セキュア・インターフェース制御によって、前記セキュア仮想マシンから前記命令に関連する１つ以上のパラメータ・データを抽出することと、
前記セキュア・インターフェース制御によって、前記１つ以上のパラメータ・データを前記ハイパーバイザがアクセス可能なバッファに記憶することと、
前記セキュア・インターフェース制御によって、前記ハイパーバイザに前記命令をインターセプトすることとを行うことと
を含む、方法。
【請求項2】
前記命令が前記セキュア・インターフェース制御自身によって解釈可能であるという判定に基づいて、前記セキュア・インターフェース制御によって前記命令を実行することと、
前記命令のストリームの実行を続けるために実行制御を前記セキュア仮想マシンに戻すことと
を行う、請求項１に記載の方法。
【請求項3】
前記命令をインターセプトすることはさらに、前記セキュア・インターフェース制御によって、前記命令が部分的に完了したことを示す第１のフラグをセットすることと、
前記セキュア・インターフェース制御によって、前記セキュア仮想マシンが実行に対してロック状態であることを示す第２のフラグをセットすることと
を含む、請求項１または２に記載の方法。
【請求項4】
前記セキュア・インターフェース制御は、前記ロック状態の前記セキュア仮想マシンをディスパッチすることを防ぎ、前記ロック状態は、前記セキュア仮想マシンが前記ハイパーバイザからの応答を待っていることを示す、請求項３に記載の方法。
【請求項5】
前記命令が実行されるときにプログラム例外をもたらすという前記セキュア・インターフェース制御による判定に基づいて、前記セキュア仮想マシンに前記例外を提供することをさらに含む、請求項１ないし４のいずれか一項に記載の方法。
【請求項6】
前記ハイパーバイザによる前記命令の実行の完了の際に、前記セキュア・インターフェース制御によって、前記ハイパーバイザからの応答によって前記セキュア仮想マシンの状態を更新することをさらに含み、前記状態の少なくとも一部分は、前記ハイパーバイザがアクセス不可能なメモリのセキュア部分に記憶されている、請求項１ないし５のいずれか一項に記載の方法。
【請求項7】
前記ハイパーバイザは、前記命令に対する前記応答を専用バッファに記憶する、請求項６に記載の方法。
【請求項8】
前記実行の完了の際に、前記ハイパーバイザによって生成された前記応答が有効でないという判定に基づいて、前記セキュア・インターフェース制御によって前記ハイパーバイザに対するエラー条件をインターセプトすることをさらに含む、請求項６または７に記載の方法。
【請求項9】
メモリと、セキュア・インターフェース制御と、
前記メモリおよび前記セキュア・インターフェース制御と結合された処理ユニットとを含むシステムであって、
前記処理ユニットは、複数の仮想マシンをホストするハイパーバイザを実行するように構成され、前記ハイパーバイザはセキュア仮想マシンの任意のデータに直接アクセスすることを禁止されており、前記ハイパーバイザは前記仮想マシンからの１つ以上のゲスト命令を解釈するよう、請求項１ないし８のいずれか一項に記載の方法を行うように構成される、システム。
【請求項10】
コンピュータに、請求項１ないし８のいずれか一項に記載の方法を実行させるためのコンピュータ・プログラム。
【請求項11】
システムのホスト・マシンにおけるハイパーバイザによって、セキュア仮想マシンからのゲスト命令を実行することであって、前記ハイパーバイザは前記セキュア仮想マシンの任意のデータに直接アクセスすることを禁止されている、前記実行することと、前記ハイパーバイザによって、前記ゲスト命令に対する応答を予め定められたバッファに記憶することと、
前記ホスト・マシンのセキュア・インターフェース制御によって、前記応答を状態記述子の指定レジスタにコピーすることによって前記応答によって前記セキュア仮想マシンの前記状態記述子を更新することとを含み、前記状態記述子は前記ハイパーバイザによってアクセス不可能なメモリのセキュア部分に記憶されている、方法。
【請求項12】
前記ハイパーバイザによって生成された前記応答が有効でないという判定に基づいて、前記セキュア・インターフェース制御によって前記ハイパーバイザに対するエラー条件をインターセプトすることをさらに含む、請求項１１に記載の方法。
【請求項13】
前記セキュア・インターフェース制御によって、前記セキュア仮想マシンに関連する第１のフラグをリセットすることを含み、前記リセットは、命令ストリームの実行を続けるために前記セキュア仮想マシンがディスパッチされ得ることを示す、請求項１１または１２に記載の方法。
【請求項14】
メモリと、セキュア・インターフェース制御と、
前記メモリおよび前記セキュア・インターフェース制御と結合された処理ユニットとを含むシステムであって、
前記処理ユニットは、複数の仮想マシンをホストするハイパーバイザを実行するように構成され、前記ハイパーバイザはセキュア仮想マシンの任意のデータに直接アクセスすることを禁止されており、前記ハイパーバイザは前記仮想マシンからの１つ以上のゲスト命令を解釈するよう、請求項１１ないし１３のいずれか一項に記載の方法を行うように構成される、システム。
【発明の詳細な説明】
【技術分野】
【0001】
本出願はコンピュータ技術に関し、より具体的には仮想マシンに関する。
【背景技術】
【0002】
クラウド・コンピューティングは、顧客がハードウェアを購入したり物理サーバのためにフロア空間を提供したりする必要なしに、顧客に対する仮想マシンを迅速かつ容易にプロビジョニングする能力を促進する。顧客は、プリファレンスの変更によって仮想マシンを拡張または縮小することができる。通常、クラウド・コンピューティング・プロバイダは仮想マシンをプロビジョニングし、その仮想マシンはプロバイダのデータセンタに物理的に存在する。この環境において、顧客の仮想マシンはゲストとして動作しており、クラウド・プロバイダはホストとして動作するハイパーバイザ・コードを用いて、異なる顧客に属する可能性のある複数の仮想マシン間のサーバ・リソースを仮想化する。
【0003】
顧客はしばしば、仮想マシンにおけるデータのセキュリティについて懸念する。クラウド・オペレータは信頼されていないことがあり、顧客は、悪意があるか破損したコード（ハイパーバイザなど）、もしくは悪意ある意図をもってデータセンタを運用するシステム管理者、またはその両方によって危険にさらされるリスクなしに自身の作業をデプロイすることを希望することがある。たとえば、米国（Ｕ．Ｓ．：Ｕｎｉｔｅｄ Ｓｔａｔｅｓ）企業などのクラウド・コンピューティング・プロバイダがおそらくは召喚状によって機密文書または専有文書の引き渡しを強いられる可能性を低減または回避するべく、顧客は、クラウド・プロバイダが自身のデータにアクセスしないことを要求することがある。
【発明の概要】
【課題を解決するための手段】
【0004】
本発明の１つ以上の実施形態によると、コンピュータに実装される方法は、ホスト・サーバにおいて実行される仮想マシンによって、命令のストリームを実行することを含み、この命令のストリームからの命令はハイパーバイザに対してインターセプトされるべきものである。この方法はさらに、仮想マシンがセキュア仮想マシンであるという判定に基づいて、ハイパーバイザがセキュア仮想マシンの任意のデータに直接アクセスすることを防ぐことを含む。この方法はさらに、ホスト・サーバのセキュア・インターフェース制御によって、命令がセキュア・インターフェース制御自身によって解釈可能ではないという判定に基づいて、セキュア仮想マシンから命令に関連する１つ以上のパラメータ・データを抽出することと、そのパラメータ・データをハイパーバイザがアクセス可能なバッファに記憶することとを行うことを含む。その後、この命令はハイパーバイザにインターセプトされる。
【0005】
本発明の１つ以上の実施形態によると、この方法はさらに、ホスト・サーバのセキュア・インターフェース制御によって、命令がセキュア・インターフェース制御自身によって解釈可能であるという判定に基づいて、セキュア・インターフェース制御によって命令を実行することと、命令のストリームの実行を続けるために実行制御をセキュア仮想マシンに戻すこととを行うことを含む。
【0006】
本発明の１つ以上の実施形態によると、命令をインターセプトすることは、セキュア・インターフェース制御によって、その命令が部分的に完了したことを示す第１のフラグをセットすることと、セキュア・インターフェース制御によって、セキュア仮想マシンが実行に対してロックされたことを示す第２のフラグをセットすることとを含む。
【0007】
本発明の１つ以上の実施形態によると、この方法はさらに、この命令が実行されるときにプログラム例外をもたらすというセキュア・インターフェース制御による判定に基づいて、ハイパーバイザへの命令をインターセプトせずにセキュア仮想マシンに例外を提供することを含む。
【0008】
本発明の１つ以上の実施形態によると、この方法はさらに、ハイパーバイザによる命令の実行の完了の際に、セキュア・インターフェース制御によって、ハイパーバイザからの応答によりセキュア仮想マシンの状態を更新することを含み、この状態の少なくとも一部分は、ハイパーバイザがアクセス不可能なメモリのセキュア部分に記憶されている。
【0009】
本発明の１つ以上の実施形態によると、ハイパーバイザは命令に対する応答を専用バッファに記憶する。
【0010】
本発明の１つ以上の実施形態によると、この方法はさらに、実行の完了の際に、ハイパーバイザによって生成された応答が有効でないという判定に基づいて、セキュア・インターフェース制御によってハイパーバイザに対するエラー条件をインターセプトすることを含む。
【0011】
本発明の１つ以上の実施形態によると、セキュア・インターフェース制御はミリコードを含む。
【0012】
さらに、本発明の１つ以上の実施形態によると、上述の特徴は少なくともシステム、コンピュータ・プログラム製品、およびマシンによって提供される。
【0013】
本発明の１つ以上の実施形態によると、コンピュータに実装される方法は、ホスト・マシンにおけるハイパーバイザによって、セキュア仮想マシンからのゲスト命令を実行することを含み、ハイパーバイザはセキュア仮想マシンの任意のデータに直接アクセスすることを禁止されている。この方法はさらに、ハイパーバイザによって、ゲスト命令に対する応答を予め定められたバッファに記憶することを含む。この方法はさらに、ホスト・マシンのセキュア・インターフェース制御によって、応答を状態記述子の指定レジスタにコピーすることによって応答によるセキュア仮想マシンの状態記述子を更新することを含み、状態記述子はハイパーバイザがアクセス不可能なメモリのセキュア部分に記憶されている。
【0014】
本発明の１つ以上の実施形態によると、この方法はさらに、ハイパーバイザによって生成された応答が有効でないという判定に基づいて、セキュア・インターフェース制御によってハイパーバイザに対するエラー条件をインターセプトすることを含む。
【0015】
本発明の１つ以上の実施形態によると、この方法はさらに、セキュア・インターフェース制御によって、セキュア仮想マシンに関連する第１のフラグをリセットすることを含み、このリセットは、命令ストリームの実行を続けるためにセキュア仮想マシンがディスパッチされ得ることを示す。
【0016】
上記の方法の特徴も、少なくともシステム、コンピュータ・プログラム製品、およびマシンによって提供され得る。
【0017】
本明細書に記載される特徴は、コンピュータ技術に対する改善を提供し、特に仮想マシン（ＶＭ：ｖｉｒｔｕａｌ ｍａｃｈｉｎｅｓ）をホストするコンピュータ・サーバに対して、コンピュータ・サーバがセキュアＶＭをホストすることを促進することによる改善を提供する。セキュアＶＭの場合、ハイパーバイザはもはやＶＭのデータの制御を委ねられておらず、ハイパーバイザさえもがセキュアＶＭに関連するメモリ、レジスタ、およびその他のこうしたデータにアクセスすることを禁止される。加えて、本明細書に記載される技術的特徴は、ホスト・コンピュータ・サーバがセキュアＶＭとハイパーバイザとの分離を促進することを促進することによって、コンピュータ・サーバによってホストされるＶＭのセキュリティを維持する。
【0018】
本発明の技術によって、付加的な技術的特徴および利益が実現される。本明細書において本発明の実施形態および態様が詳細に説明されており、請求される主題の一部とみなされる。より良好な理解のために、詳細な説明および図面を参照されたい。
【0019】
本明細書に記載される独占権の明細は、本明細書の末尾の請求項において特定的に指摘され、明確に請求されている。本発明の実施形態の前述およびその他の特徴および利点は、添付の図面とともに得られる以下の詳細な説明から明らかである。
【図面の簡単な説明】
【0020】
【図1】本発明の一実施形態によるクラウド・コンピューティング環境を示す図である。
【図2】本発明の一実施形態による抽象化モデル・レイヤを示す図である。
【図3】一実施形態によるホスティング・システムに対するシステムの例を示す図である。
【図4】一実施形態によるホスティング・システムのブロック図の例を示す図である。
【図5】本発明の１つ以上の実施形態によるセキュア仮想マシン環境におけるゲスト命令の透過的解釈のための方法の例を示す流れ図である。
【図6】本発明の１つ以上の実施形態によるセキュア仮想マシン環境におけるゲスト命令の透過的解釈のための方法の例を示す流れ図である。
【発明を実施するための形態】
【0021】
本明細書において、関連する図面を参照して本発明のさまざまな実施形態を説明している。本発明の範囲から逸脱することなく、本発明の代替的実施形態が考案され得る。以下の説明および図面において、構成要素間のさまざまな接続および位置関係（例、上、下、隣など）が示されている。これらの接続もしくは位置関係またはその両方は、別様に指定されない限り直接的または間接的であってもよく、本発明はこれに関して限定することは意図していない。したがって、エンティティの結合は直接的または間接的な結合を示すことができ、エンティティ間の位置関係は直接的または間接的な位置関係であり得る。さらに、本明細書に記載されるさまざまなタスクおよびプロセス・ステップは、本明細書に詳細に記載されていない付加的なステップまたは機能を有するより包括的な手順またはプロセスに組み込まれ得る。
【0022】
以下の定義および略語は、請求項および明細書の解釈に用いられるべきものである。本明細書において用いられる「含む（ｃｏｍｐｒｉｓｅｓ）」、「含む（ｃｏｍｐｒｉｓｉｎｇ）」、「含む（ｉｎｃｌｕｄｅｓ）」、「含む（ｉｎｃｌｕｄｉｎｇ）」、「有する（ｈａｓ）」、「有する（ｈａｖｉｎｇ）」、「含有する（ｃｏｎｔａｉｎｓ）」、もしくは「含有する（ｃｏｎｔａｉｎｉｎｇ）」という用語、またはその任意のその他の変形は、非排他的包含をカバーすることが意図される。たとえば、構成要素のリストを含む組成物、混合物、プロセス、方法、物品、または装置は、それらの構成要素のみに限定される必要はなく、明確にリストに挙げられていないその他の構成要素、あるいはこうした組成物、混合物、プロセス、方法、物品、または装置に固有のその他の構成要素を含み得る。
【0023】
加えて、本明細書において「例示的」という用語は、「一例、実例、または例示の役割をする」ことを意味するために用いられる。本明細書において「例示的」なものとして記載される任意の実施形態または設計は、他の実施形態または設計よりも好ましいか、または有利であると解釈される必要はない。「少なくとも１つ」および「１つ以上」という用語は、１以上の任意の整数、すなわち１、２、３、４などを含むものと理解されてもよい。「複数」という用語は、２以上の任意の整数、すなわち２、３、４、５などを含むものと理解されてもよい。「接続」という用語は、間接的「接続」および直接的「接続」の両方を含んでもよい。
【0024】
「約（ａｂｏｕｔ）」、「実質的に」、「約（ａｐｐｒｏｘｉｍａｔｅｌｙ）」という用語およびそれらの変形は、本出願の提出の時点で利用可能な機器に基づく特定量の測定に関連する誤差の程度を含むことが意図される。たとえば、「約」は所与の値の±８％もしくは５％、または２％の範囲を含み得る。
【0025】
簡潔にするために、本発明の態様の作製および使用に関する従来の技術は、本明細書において詳細に記載されることもされないこともある。特に、本明細書に記載されるさまざまな技術的特徴を実現するためのコンピュータ・システムおよび特定のコンピュータ・プログラムのさまざまな態様は周知である。したがって簡潔にするために、本明細書において、多くの従来の実施の詳細は、周知のシステムもしくはプロセスまたはその両方の詳細を提供することなく、簡単に言及されるだけであるか、または完全に省略される。
【0026】
典型的なクラウド環境に関する技術的課題は、（例、クラウド・プロバイダまたはクラウド管理者による）データおよびアルゴリズムに対するセキュアでない可能性のある望ましくないアクセスである。クラウド・プロバイダは通常ホストとしてハイパーバイザ・コードを実行し、顧客のＶＭはゲストとして動作する。このハイパーバイザ・コードは、複数のＶＭを単一の物理マシンで動作できるようにするために必要な仮想化機能を提供する。既存のシステムにおいて、ハイパーバイザ（およびしばしば拡張によってクラウド管理者）は、仮想化機能を提供するために顧客のデータの限られた部分にアクセスする必要があるような状況に対しては、顧客のデータおよびアルゴリズムにアクセスできる。たとえば、クラウド・プロバイダは、システムの性能および機能的問題点を分析するために、メモリをダンプすることがある。ダンプされたメモリは、顧客が露出を望まない顧客の秘密を含むことがある。加えて、システム・オペレータは内部プロセッサ・レジスタ状態を表示でき、これも秘密を露出する。ハイパーバイザは、他の理由とともに、たとえばゲスト命令を解釈してゲストの代わりにＩ／Ｏ動作を行うことなどのために、ゲスト・データにアクセスする必要がある。ゲスト・メモリへのハイパーバイザ・アクセスは、ゲストに機能の正確さを提供するために必要とされる。本発明の１つ以上の実施形態によって用いられるセキュアな実行において、ハイパーバイザはもはや信頼されないが、なおもゲスト命令解釈に参加し得る。したがって、本発明の１つ以上の実施形態は、信頼されないハイパーバイザがゲスト命令をセキュアにエミュレートするためのやり方を提供する。
【0027】
ホスト・ハイパーバイザの制御下でゲストとして動作する仮想マシンは、そのゲストに対する仮想化サービスを透過的に提供するためにそのハイパーバイザに頼っている。これらのサービスはメモリ管理、命令エミュレーション、および割り込み処理を含み得るが、これに限定されない。本発明の１つ以上の実施形態は、セキュア・エンティティと別の信頼されないエンティティとの間の任意のインターフェースに適用でき、そのインターフェースはこの他方のエンティティによるセキュア・リソースへのアクセスを従来可能にするものである。たとえば、割り込みおよび例外解釈のために、ハイパーバイザは通常ゲストのプレフィックス・エリア（低コア）への読取りもしくは書込みまたはその両方を行う。本明細書において用いられる「仮想マシン」または「ＶＭ」という用語は、物理マシン（コンピュータ・デバイス、プロセッサなど）およびその処理環境（オペレーティング・システム（ＯＳ：ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍ）、ソフトウェア・リソースなど）の論理的表現を示す。仮想マシン状態は、基礎的なホスト・マシン（物理プロセッサまたはプロセッサのセット）において実行されるハイパーバイザによって維持される。ユーザまたはソフトウェア・リソースの観点からは、仮想マシンは自身の独立した物理マシンであるようにみえる。本明細書において用いられる「ハイパーバイザ」および「ＶＭモニタ（ＶＭＭ：ＶＭ Ｍｏｎｉｔｏｒ）」という用語は、同じホスト・マシンにおいて複数の（かつ異なることもある）ＯＳを用いて複数のＶＭが実行され得るように管理を行う処理環境またはプラットフォーム・サービスを示す。当然のことながら、ＶＭの配置はＶＭのインストール・プロセスと、ＶＭのアクティベーション（または始動）プロセスとを含む。別の例において、ＶＭの配置はＶＭのアクティベーション（または始動）プロセスを含む（例、ＶＭが予めインストールされているか、または既に存在している場合）。
【0028】
しかし、セキュア・ゲストを促進するために、たとえばホスティング・ノードなどのコンピュータ・サーバがハイパーバイザとセキュア・ゲストとの間に付加的なセキュリティを提供しなければならず、そうするとハイパーバイザはＶＭからのデータにアクセスできなくなり、上述のやり方でサービスを提供できなくなるところに、技術的課題が存在する。
【0029】
現在利用可能な技術的解決策において、ハイパーバイザ（例、ＩＢＭ（ＩＢＭ社の登録商標）のｚ／ＶＭ（ＩＢＭ社の登録商標）、またはオープン・ソース・ソフトウェアのカーネル・ベース仮想マシン（ＫＶＭ：Ｋｅｒｎｅｌ Ｂａｓｅｄ Ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ））は、解釈実行開始（ＳＩＥ：Ｓｔａｒｔ－Ｉｎｔｅｒｐｒｅｔｉｖｅ－Ｅｘｅｃｕｔｉｏｎ）命令を発行してＳＩＥエントリ・ミリコードを呼び出すことによって、物理処理ユニットまたはホスト・サーバにおける新たなＶＭ仮想ＣＰＵ（ｖＣＰＵ：ｖｉｒｔｕａｌ ＣＰＵ）をディスパッチする。ＳＩＥ命令のオペランドは状態記述（ＳＤ：ｓｔａｔｅ ｄｅｓｃｒｉｐｔｉｏｎ）と呼ばれる制御ブロックであり、それはゲスト状態を含む。既存の実施において、この状態記述はハイパーバイザ・ストレージに存在する。ＳＩＥエントリの際に、このゲスト状態（汎用目的および制御レジスタ、ゲスト命令アドレスおよびゲスト・プログラム状況ワード（ＰＳＷ：ｐｒｏｇｒａｍ－ｓｔａｔｕｓ－ｗｏｒｄ）を含む）がミリコードによってハードウェアにロードされる。これによって、ゲストｖＣＰＵが物理プロセッサで動作できるようになる。ｖＣＰＵがハードウェアで動作している間、ゲスト状態はハードウェア内に維持される。どこかの時点で、ハードウェア／ミリコードは制御をハイパーバイザに戻す必要がある。このことはしばしばＳＩＥエグジットと呼ばれる。これが必要になるのはたとえば、このｖＣＰＵがハイパーバイザによるエミュレーションを必要とする命令を実行するとき、またはｖＣＰＵのタイムスライス（すなわち、このｖＣＰＵが物理プロセッサで動作するために割り当てられた時間）が経過したときなどである。ＳＩＥエグジットの際に、ハードウェアは任意の所与の時間に単一のｖＣＰＵのみをサポートするためのリソースを有し、かつここでハードウェアにハイパーバイザ状態をロードする必要があるため、ミリコードは現在のゲスト状態を状態記述にセーブする。このｖＣＰＵがディスパッチされていない間、その状態は状態記述において維持される。この状態記述はハイパーバイザ・ストレージ内に存在するため、こうした場合のハイパーバイザはＶＭに対するデータの制御を有し、場合によってはＶＭで実行中の命令を解釈するためにこうした制御が必要とされる。既存のハイパーバイザは、ｖＣＰＵをディスパッチするためにＳＩＥ命令を通じてこうしたインターフェースを使用することに依る。
【0030】
さらに、複数のＶＭを管理しているハイパーバイザはゲスト命令、すなわちＶＭにおいて実行される命令を解釈する必要がある。この解釈の一部として、既存の解決策におけるハイパーバイザは通常、ＳＤおよびＶＭの他のデータに完全にアクセスでき、このＳＤおよびデータはハイパーバイザを実行しているホスト・マシンの一部であるメモリに記憶されている。なお、ＶＭにおいて実行されるすべての命令がハイパーバイザによる解釈を必要とするわけではない。通常は、たとえばＩ／Ｏアクセスなどのシステム・レベルのアクセスを必要とする命令が、こうしたハイパーバイザ解釈を必要とする。ハイパーバイザ解釈を必要とするこうしたゲスト命令は、ゲスト・モードからハイパーバイザへのＳＩＥエグジット・インターセプト（ゲスト命令ストリームの割り込み）をもたらす。次いでハイパーバイザは、どの命令がインターセプトをもたらしたかをチェックし、ゲスト・レジスタまたはゲスト・メモリに存在する対応するゲスト・データの読取りもしくは書込みまたはその両方を行うことによって、その命令を解釈する。インターセプトされたＶＭは、次いで自身の命令ストリームの実行を続けるために再ディスパッチされる。
【0031】
なお通常、「命令インターセプト」に対する事例は、ＶＭのオペレーティング・システムがハードウェア特性を識別するためのＣＰＵＩＤ命令を発行すること、マシン特定的レジスタ（ＭＳＲ：ｍａｃｈｉｎｅ－ｓｐｅｃｉｆｉｃ ｒｅｇｉｓｔｅｒｓ）にアクセスすること、またはＩ／Ｏポートに直接アクセスすることを含む。インターセプトを必要とするこうした命令が検出されたとき、解決のために制御は直ちにハイパーバイザ１２に移される。たとえば、ＶＭが制御レジスタ（ＣＲ：Ｃｏｎｔｒｏｌ Ｒｅｇｉｓｔｅｒ）またはマシン特定的レジスタ（ＭＳＲ）の値の読取りまたは更新を行うための命令を発行するとき、場合によってはこの動作がインターセプトされて制御はハイパーバイザ１２に移され、ここでＶＭの挙動がハイパーバイザによってシミュレートされ、ハイパーバイザはＶＭの状態記述子からの１つ以上のデータ値にアクセスする必要がある。さらに、インターセプトされる動作にはホスト・プログラム例外も含まれてもよく、これはハイパーバイザ１２によって対処される。
【0032】
セキュアＶＭの場合、ハイパーバイザがもはやセキュアＶＭのデータの制御を委ねられていないとき、ゲスト命令の従来の解釈はもはや不可能である。この技術的課題が存在するのは、ハイパーバイザがゲスト・データ（レジスタおよびそのメモリ）にアクセスできないためである。たとえハイパーバイザに限定的なゲスト状態アクセスが与えられても、ハイパーバイザはサイドチャネル攻撃を防止または制限するためにセキュアＶＭの挙動を観察することができない。よって、ホスティング・ノードに対する技術的課題は、ＶＭがたとえばＩ／Ｏデバイスなどのホスティング・ノードのシステム・リソースにアクセスするための限定的な「能力」または「権限」を有するときに、セキュア・インターフェース制御もしくはハイパーバイザまたはその両方がセキュアＶＭにおけるゲスト命令を解釈および実行することを促進することである。
【0033】
本発明の１つ以上の実施形態によると、ハイパーバイザにゲスト・データを露出することなく、かつゲスト・アプリケーションまたはオペレーティング・システムを書き換える必要なしに、セキュアＶＭにおける命令を解釈するための技術的解決策が記載される。言い換えると、ミリコードおよびハイパーバイザによるゲスト命令の解釈は、セキュアＶＭ自体に対して透過的である。したがって、既存のアプリケーションおよびオペレーティング・システムをそのまま使用でき、こうしたセキュアＶＭを提供するホスティング・ノードおよびハイパーバイザは既存の製品と互換性がある。言い換えると、本発明の１つ以上の実施形態は、既存のＶＭ、オペレーティング・システム、およびコンピュータ・アプリケーション・コードを変更する必要がないこと、およびハイパーバイザがセキュアＶＭの状態もしくはデータまたはその両方にアクセスすることを禁止するセキュア方式で同様にＶＭをディスパッチするホスティング・ノードもしくはハイパーバイザまたはその両方においてコードを使用できることを促進することによって、技術的課題に対処している。本発明の１つ以上の実施形態は、セキュアＶＭに対するゲスト命令を解釈しようとするセキュア・インターフェース制御（例、ミリコード）におけるゲスト命令解釈の基礎的な実施の改善を用いることによって、こうした技術的解決策を促進している。
【0034】
１つ以上の例において、こうした機能は、ミリコードもしくはその他のハードウェア・モジュールまたはその両方を用いることによって提供でき、本記載においてハードウェア・モジュールおよびミリコードは集合的に「セキュア・インターフェース制御」と呼ばれる。したがって、本発明の１つ以上の実施形態は、セキュア・インターフェース制御（ミリコードならびに内部の信頼されるハードウェアおよびファームウェア）の使用によって、信頼されないハイパーバイザによるセキュアＶＭにおける命令のセキュア解釈のためにハイパーバイザを促進する。セキュア・インターフェース制御は、セキュアＶＭと信頼されないハイパーバイザとの間の命令実行を調整する。ゲスト命令は非セキュアＶＭと同様にインターセプトされるが、制御はハイパーバイザに直ちに戻されず、制御は最初にセキュア・インターフェース制御に与えられ、セキュア・インターフェース制御は必要なゲスト・データを抽出し、それをゲスト命令に対するインターセプト条件および付加的なコンテキスト情報とともにハイパーバイザに渡す。ハイパーバイザは要求を処理し、セキュア・インターフェース制御に応答を戻す。次いでセキュア・インターフェース制御は、インターセプトされた命令に依存して、必要に応じてゲスト状態を更新することとなる。したがって、セキュア・インターフェース制御はハイパーバイザをセキュアＶＭのデータから分離し、セキュアＶＭに関連するデータのセキュリティを改善する。
【0035】
ここで背景技術の簡単な説明を続け、その後にハイパーバイザによってセキュアＶＭに割り込みもしくは例外またはその両方を挿入するために本発明の１つ以上の実施形態によって用いられる特定の特徴を説明する。この開示はクラウド・コンピューティングに対する詳細な説明を含むが、本明細書に記述される教示の実現はクラウド・コンピューティング環境に限定されないことが予め理解される。むしろ本発明の実施形態は、現在公知であるか、または後に開発される任意のその他のタイプのコンピューティング環境とともに実現され得る。
【0036】
クラウド・コンピューティングは、最小限の管理努力またはサービスのプロバイダとのインタラクションによって迅速にプロビジョニングおよびリリースされ得る構成可能なコンピューティング・リソース（例、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共有プールへの便利なオンデマンド・ネットワーク・アクセスを可能にするためのサービス配信のモデルである。このクラウド・モデルは少なくとも５つの特性と、少なくとも３つのサービス・モデルと、少なくとも４つの配置モデルとを含んでいる。
【0037】
特性は次のとおりである。
【0038】
オンデマンド・セルフサービス。クラウド消費者は、たとえばサーバ時間およびネットワーク・ストレージなどのコンピューティング・ケイパビリティを、必要に応じて自動的に、サービスのプロバイダとの人的インタラクションを必要とせずに一方的にプロビジョニングできる。
【0039】
広範なネットワーク・アクセス。ケイパビリティはネットワークを通じて利用可能であり、様々なシンまたはシック・クライアント・プラットフォーム（例、携帯電話、ラップトップ、およびＰＤＡ）による使用を容易にする標準的な機構を通じてアクセスされる。
【0040】
リソース・プール。マルチテナント・モデルを用いて複数の消費者にサービスするために、プロバイダのコンピューティング・リソースはプールされ、要求に従って異なる物理および仮想リソースが動的に割り当ておよび再割り当てされる。消費者は一般的に、提供されるリソースの正確な場所に対する制御も知識も有さないが、より高い抽象化レベルにおける場所（例、国、州、またはデータセンタ）を特定できてもよいという点で、場所独立性の意味が存在する。
【0041】
迅速な順応性。ケイパビリティは、素早くスケール・アウトするために場合によっては自動的に、迅速かつ順応的にプロビジョニングされ、かつ素早くスケール・インするために迅速にリリースされ得る。消費者にとって、プロビジョニングのために利用可能なケイパビリティはしばしば無制限にみえ、任意のときに任意の量を購入できる。
【0042】
従量制サービス。クラウド・システムは、サービスのタイプ（例、ストレージ、処理、帯域幅、およびアクティブ・ユーザ・アカウント）に対して適切な何らかの抽象化レベルにおいて計測ケイパビリティを利用することによって、リソースの使用を自動的に制御および最適化する。リソースの使用をモニタ、制御、および報告して、使用されるサービスのプロバイダおよび消費者の両方に対する透明性を提供できる。
【0043】
サービス・モデルは次のとおりである。
【0044】
サービスとしてのソフトウェア（ＳａａＳ：Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）。消費者に提供されるケイパビリティは、クラウド・インフラストラクチャにおいて動作するプロバイダのアプリケーションの使用である。アプリケーションは、さまざまなクライアント・デバイスからたとえばウェブ・ブラウザ（例、ウェブ・ベースのｅメール）などのシン・クライアント・インターフェースを通じてアクセス可能である。消費者はネットワーク、サーバ、オペレーティング・システム、ストレージ、または個々のアプリケーション・ケイパビリティさえも含む基盤となるクラウド・インフラストラクチャを管理または制御することはなく、例外となり得るのは限られたユーザ特有のアプリケーション構成設定である。
【0045】
サービスとしてのプラットフォーム（ＰａａＳ：Ｐｌａｔｆｏｒｍ ａｓ ａ Ｓｅｒｖｉｃｅ）。消費者に提供されるケイパビリティは、プロバイダによってサポートされるプログラミング言語およびツールを用いて作成された、消費者が作成または取得したアプリケーションのクラウド・インフラストラクチャへの配置である。消費者はネットワーク、サーバ、オペレーティング・システム、またはストレージを含む基盤となるクラウド・インフラストラクチャを管理または制御することはないが、配置されたアプリケーションおよびおそらくはアプリケーション・ホスティング環境構成に対する制御を有する。
【0046】
サービスとしてのインフラストラクチャ（ＩａａＳ：Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）。消費者に提供されるケイパビリティは、オペレーティング・システムおよびアプリケーションを含む、消費者が任意のソフトウェアを配置および実行することが可能な処理、ストレージ、ネットワーク、およびその他の基本的なコンピューティング・リソースのプロビジョニングである。消費者は基盤となるクラウド・インフラストラクチャを管理または制御することはないが、オペレーティング・システム、ストレージ、配置されたアプリケーションに対する制御、およびおそらくはネットワーク形成コンポーネント（例、ホスト・ファイアウォール）の選択に対する限られた制御を有する。
【0047】
配置モデルは次のとおりである。
【0048】
プライベート・クラウド。このクラウド・インフラストラクチャは、ある組織に対してのみ操作される。これはその組織またはサード・パーティによって管理されてもよく、オンプレミスまたはオフプレミスに存在してもよい。
【0049】
コミュニティ・クラウド。このクラウド・インフラストラクチャは複数の組織によって共有され、共通する関心事項（例、任務、セキュリティ要件、ポリシー、およびコンプライアンスの検討）を有する特定のコミュニティをサポートする。これはそれらの組織またはサード・パーティによって管理されてもよく、オンプレミスまたはオフプレミスに存在してもよい。
【0050】
パブリック・クラウド。このクラウド・インフラストラクチャは、一般人または大規模な産業グループに対して利用可能にされ、クラウド・サービスを販売する組織が所有している。
【0051】
ハイブリッド・クラウド。このクラウド・インフラストラクチャは２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の複合体であり、それらのクラウドは独自のエンティティに留まるが、データおよびアプリケーション・ポータビリティを可能にする標準または独自の技術（例、クラウド間のロード・バランシングのためのクラウド・バースティング）によってともに結合される。
【0052】
クラウド・コンピューティング環境はサービス指向型であり、ステートレス性、低結合性、モジュラリティ、およびセマンティックな相互運用性に焦点を合わせている。クラウド・コンピューティングの中心には、相互接続されたノードのネットワークを含むインフラストラクチャがある。
【0053】
ここで図１を参照すると、例示的なクラウド・コンピューティング環境５０が示されている。示されるとおり、クラウド・コンピューティング環境５０は１つ以上のクラウド・コンピューティング・ノード１０を含み、たとえばパーソナル・デジタル・アシスタント（ＰＤＡ：ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ）もしくは携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車のコンピュータ・システム５４Ｎ、あるいはその組み合わせなどの、クラウド消費者によって用いられるローカル・コンピュータ・デバイスが、このクラウド・コンピューティング・ノード１０によって通信してもよい。ノード１０は互いに通信してもよい。これらのノードは、たとえば上述したプライベート、コミュニティ、パブリック、もしくはハイブリッド・クラウド、またはその組み合わせなどの１つ以上のネットワークにおいて、物理的または仮想的にグループ化（図示せず）されてもよい。このことは、クラウド・コンピューティング環境５０がインフラストラクチャ、プラットフォーム、もしくはソフトウェア、またはその組み合わせを、クラウド消費者がそれに対するリソースをローカル・コンピュータ・デバイスにおいて維持する必要のないサービスとして提供することを可能にする。図１に示されるコンピュータ・デバイス５４Ａ～Ｎのタイプは単なる例示であることが意図されており、コンピューティング・ノード１０およびクラウド・コンピューティング環境５０は、任意のタイプのネットワークもしくはネットワーク・アドレス可能接続（例、ウェブ・ブラウザを使用するもの）またはその両方を通じて、任意のタイプのコンピュータ・デバイスと通信できることが理解される。
【0054】
ここで図２を参照すると、クラウド・コンピューティング環境５０（図１）によって提供される機能的抽象化レイヤのセットが示されている。図２に示されるコンポーネント、レイヤ、および機能は単なる例示であることが意図されており、本発明の実施形態はそれらに限定されないことが予め理解されるべきである。示されるとおり、以下のレイヤおよび対応する機能が提供される。
【0055】
ハードウェアおよびソフトウェア・レイヤ６０は、ハードウェアおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例は、メインフレーム６１、ＲＩＳＣ（縮小命令セット・コンピュータ（Ｒｅｄｕｃｅｄ Ｉｎｓｔｒｕｃｔｉｏｎ Ｓｅｔ Ｃｏｍｐｕｔｅｒ））アーキテクチャ・ベースのサーバ６２、サーバ６３、ブレード・サーバ６４、ストレージ・デバイス６５、ならびにネットワークおよびネットワーク形成コンポーネント６６を含む。いくつかの実施形態において、ソフトウェア・コンポーネントは、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。
【0056】
仮想化レイヤ７０は抽象化レイヤを提供し、この抽象化レイヤから仮想エンティティの以下の例が提供されてもよい。仮想マシン７１、仮想ストレージ７２、仮想プライベート・ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５。
【0057】
一例において、管理レイヤ８０は以下に記載される機能を提供してもよい。リソース・プロビジョニング８１は、クラウド・コンピューティング環境内でタスクを行うために使用されるコンピューティング・リソースおよびその他のリソースの動的調達を提供する。計測および価格決定８２は、クラウド・コンピューティング環境内でリソースが使用される際のコスト追跡と、これらのリソースの消費に対する請求書またはインボイスの送付とを提供する。一例において、これらのリソースはアプリケーション・ソフトウェア・ライセンスを含んでもよい。セキュリティは、クラウド消費者およびタスクに対するアイデンティティ検証、ならびにデータおよびその他のリソースの保護を提供する。ユーザ・ポータル８３は、消費者およびシステム管理者に対するクラウド・コンピューティング環境へのアクセスを提供する。サービス・レベル管理８４は、要求されるサービス・レベルが満たされるようにクラウド・コンピューティング・リソースの割り当ておよび管理を提供する。サービス・レベル・アグリーメント（ＳＬＡ：Ｓｅｒｖｉｃｅ Ｌｅｖｅｌ Ａｇｒｅｅｍｅｎｔ）計画および実現８５は、ＳＬＡによって将来の要求が予測されるクラウド・コンピューティング・リソースに対する事前の取り決めおよびその調達を提供する。
【0058】
ワークロード・レイヤ９０は、クラウド・コンピューティング環境が使用され得る機能の例を提供する。このレイヤから提供され得るワークロードおよび機能の例は、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想教室の教育配信９３、データ分析処理９４、トランザクション処理９５、およびソース・コード・バージョニング９６を含む。これらは単なるいくつかの例であり、他の実施形態におけるレイヤは異なるサービスを含み得ることが理解される。
【0059】
図３は、本発明の１つ以上の実施形態によるホスティング・ノード１０の例を示している。ホスティング・ノード１０は、ネットワーク１６５を介して１つ以上のクライアント・デバイス２０Ａ～２０Ｃと通信する。加えて、クライアント・デバイス２０Ａ～２０Ｃは、ホスティング・ノード１０と直接通信し得る。ホスティング・ノード１０は、クラウド・コンピューティング・プロバイダのデータセンタまたはホスト・サーバであり得る。ホスティング・ノード１０は、１つ以上の仮想マシン１５（１５Ａ～１５Ｎ）の配置を促進するハイパーバイザ１２を実行する。ホスティング・ノード１０はさらにセキュア・インターフェース制御１１を含み、セキュア・インターフェース制御１１は１つ以上のハードウェア・モジュールと、ハイパーバイザ１２が仮想マシン１５に１つ以上のサービスを提供することを促進するミリコードとを含む。既存の技術的解決策においては、ハイパーバイザ１２とセキュア・インターフェース制御１１との間、セキュア・インターフェース制御１１と１つ以上のＶＭ１５との間、ハイパーバイザ１２と１つ以上のＶＭ１５との間、およびセキュア・インターフェース制御１１を通じたハイパーバイザ１２からＶＭ１５への通信が存在する。セキュアＶＭ環境を促進するために、本発明の１つ以上の実施形態によるホスティング・ノード１０は、ハイパーバイザ１２と１つ以上のＶＭ１５との間に任意の直接通信を含まない。
【0060】
たとえば、ホスティング・ノード１０はクライアント・デバイス２０Ａが仮想マシン１５Ａ～１５Ｎの１つ以上を配置することを促進できる。仮想マシン１５Ａ～１５Ｎは、別個のクライアント・デバイス２０Ａ～２０Ｃからのそれぞれの要求に応答して配置されてもよい。たとえば、仮想マシン１５Ａはクライアント・デバイス２０Ａによって配置されてもよく、仮想マシン１５Ｂはクライアント・デバイス２０Ｂによって配置されてもよく、仮想マシン１５Ｃはクライアント・デバイス２０Ｃによって配置されてもよい。加えてホスティング・ノード１０は、（仮想マシンとして動作することなく）クライアントが物理サーバをプロビジョニングすることを促進してもよい。本明細書に記載される例は、「仮想マシン」の一部としてのホスティング・ノード１０のリソースのプロビジョニングを具現化するが、記載される技術的解決策は、リソースを物理サーバの一部としてプロビジョニングすることに適用され得る。
【0061】
一例において、クライアント・デバイス２０Ａ～２０Ｃは、たとえば人、ビジネス、政府機関、会社の部署、または任意のその他のエンティティなどの同じエンティティに属していてもよく、ホスティング・ノード１０はそのエンティティのプライベート・クラウドとして動作されてもよい。この場合、ホスティング・ノード１０は、そのエンティティに属するクライアント・デバイス２０Ａ～２０Ｃによって配置された仮想マシン１５Ａ～１５Ｎのみをホストする。別の例において、クライアント・デバイス２０Ａ～２０Ｃは別個のエンティティに属していてもよい。たとえば、第１のエンティティはクライアント・デバイス２０Ａを所有してもよく、一方で第２のエンティティはクライアント・デバイス２０Ｂを所有してもよい。この場合、ホスティング・ノード１０は、異なるエンティティからの仮想マシンをホストするパブリック・クラウドとして動作されてもよい。たとえば、仮想マシン１５Ａ～１５Ｎは、仮想マシン１５Ａが仮想マシン１５Ｂへのアクセスを促進しないような覆い隠された方式で配置されてもよい。たとえば、ホスティング・ノード１０はＩＢＭ ｚ Ｓｙｓｔｅｍｓ（ＩＢＭ社の登録商標）プロセッサ・リソース／システム・マネージャ（ＰＲ／ＳＭ：Ｐｒｏｃｅｓｓｏｒ Ｒｅｓｏｕｒｃｅ／Ｓｙｓｔｅｍｓ Ｍａｎａｇｅｒ）ロジカル・パーティション（ＬＰＡＲ：Ｌｏｇｉｃａｌ Ｐａｒｔｉｔｉｏｎ）機構を用いて、仮想マシン１５Ａ～１５Ｎを覆い隠してもよい。たとえばＰＲ／ＳＭ ＬＰＡＲなどのこれらの機構は、パーティション間の分離を提供することによって、ホスティング・ノード１０が異なるエンティティに対する２つ以上の仮想マシン１５Ａ～１５Ｎを同じ物理ホスティング・ノード１０の異なるロジカル・パーティションに配置することを促進する。
【0062】
クライアント・デバイス２０Ａ～２０Ｃのうちのクライアント・デバイス２０Ａは、たとえばコンピュータ、スマートフォン、タブレット・コンピュータ、デスクトップ・コンピュータ、ラップトップ・コンピュータ、サーバ・コンピュータ、またはホスティング・ノード１０のハイパーバイザ１２による仮想マシンの配置を要求する任意のその他の通信装置などの通信装置である。クライアント・デバイス２０Ａは、ネットワーク１６５を介するか、または直接的にハイパーバイザが受信するための要求を送信してもよい。仮想マシン１５Ａ～１５Ｎのうちの仮想マシン１５Ａは、クライアント・デバイス２０Ａ～２０Ｃのうちのクライアント・デバイス２０Ａからの要求に応答してハイパーバイザ１２が配置する仮想マシン・イメージである。ハイパーバイザ１２は仮想マシン・モニタ（ＶＭＭ：ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ ｍｏｎｉｔｏｒ）であり、これは仮想マシンを作成および実行するソフトウェア、ファームウェア、またはハードウェアであってもよい。ハイパーバイザ１２は、仮想マシン１５Ａがホスティング・ノード１０のハードウェア・コンポーネントを用いてプログラムの実行もしくはデータの記憶またはその両方を行うことを促進する。適切な特徴および修正を伴うハイパーバイザ１２は、ＩＢＭ ｚ Ｓｙｓｔｅｍｓ（ＩＢＭ社の登録商標）、オラクル（ＯＲＡＣＬＥ）ＶＭ ＳＥＲＶＥＲ（ＴＭ）、シトリックス（ＣＩＴＲＩＸ）ＸＥＮＳＥＲＶＥＲ（ＴＭ）、ブイエムウェア（ＶＭＷＡＲＥ）ＥＳＸ（ＴＭ）、マイクロソフト（ＭＩＣＲＯＳＯＦＴ）（Ｒ）ＨＹＰＥＲ－Ｖ（ＴＭ）、または任意のその他のハイパーバイザであってもよい。ハイパーバイザ１２は、ホスティング・ノード１０において直接実行されるネイティブ・ハイパーバイザであってもよいし、別のハイパーバイザにおいて実行されるホステッド・ハイパーバイザであってもよい。
【0063】
図４は、本発明の１つ以上の実施形態によるホスティング・ノードの例のコンポーネントを示している。ホスティング・ノード１０は、たとえばサーバ・コンピュータ、デスクトップ・コンピュータ、タブレット・コンピュータ、スマートフォン、またはハイパーバイザ１２を実行する任意のその他のコンピュータなどのコンピュータであってもよく、このハイパーバイザ１２が次に仮想マシン１５Ａ～１５Ｎを配置する。ホスティング・ノード１０は、たとえば電子回路などのハードウェアを含むコンポーネントを含む。ホスティング・ノード１０は、他のコンポーネントの中でも特に、プロセッサ１０５と、メモリ・コントローラ１１５に結合されたメモリ１１０と、たとえばローカルＩ／Ｏコントローラ１３５を介して通信可能に結合された周辺デバイスまたは制御デバイスなどの１つ以上の入力デバイス１４５もしくは出力デバイス１４０またはその両方とを含む。これらのデバイス１４０および１４５は、たとえば電池センサ、位置センサ（高度計、加速度計、ＧＰＳ）、およびインジケータ／識別ライトなどを含んでもよい。たとえば従来のキーボード１５０およびマウス１５５などの入力デバイスが、Ｉ／Ｏコントローラ１３５に結合されてもよい。当該技術分野において公知であるとおり、Ｉ／Ｏコントローラ１３５は、たとえば１つ以上のバスまたはその他の有線もしくはワイヤレス接続などであってもよい。Ｉ／Ｏコントローラ１３５は、簡略化のために省略された付加的なエレメントを有してもよく、それはたとえば通信を可能にするためのコントローラ、バッファ（キャッシュ）、ドライバ、リピータ、および受信機などである。
【0064】
Ｉ／Ｏデバイス１４０、１４５はさらに、入力および出力の両方と通信するデバイスを含んでもよく、それはたとえばディスクおよびテープ・ストレージ、ネットワーク・インターフェース・カード（ＮＩＣ：ｎｅｔｗｏｒｋ ｉｎｔｅｒｆａｃｅ ｃａｒｄ）または変調器／復調器（他のファイル、デバイス、システム、またはネットワークにアクセスするためのもの）、無線周波数（ＲＦ：ｒａｄｉｏ ｆｒｅｑｕｅｎｃｙ）またはその他のトランシーバ、電話のインターフェース、ブリッジ、およびルータなどである。
【0065】
プロセッサ１０５は、特にメモリ１１０に記憶されたハードウェア命令またはソフトウェアを実行するためのハードウェア・デバイスである。プロセッサ１０５は、特注されるかまたは商業的に入手可能なプロセッサ、中央処理ユニット（ＣＰＵ：ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）、ホスティング・ノード１０に関連するいくつかのプロセッサのうちの補助プロセッサ、半導体ベースのマイクロプロセッサ（マイクロチップまたはチップ・セットの形態）、マクロプロセッサ、または命令を実行するためのその他のデバイスであってもよい。プロセッサ１０５はキャッシュ１７０を含み、キャッシュ１７０は、実行可能命令フェッチを加速するための命令キャッシュ、データ・フェッチおよび記憶を加速するためのデータ・キャッシュ、ならびに実行可能命令およびデータの両方に対する仮想対物理アドレス変換を加速するために用いられる変換ルックアサイド・バッファ（ＴＬＢ：ｔｒａｎｓｌａｔｉｏｎ ｌｏｏｋａｓｉｄｅ ｂｕｆｆｅｒ）を含んでもよいが、これに限定されない。キャッシュ１７０は、より多くのキャッシュ・レベル（Ｌ１、Ｌ２など）の階層として組織化されてもよい。
【0066】
メモリ１１０は、揮発性メモリ・エレメント（たとえば、ランダム・アクセス・メモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）ＲＡＭ、たとえばＤＲＡＭ、ＳＲＡＭ、ＳＤＲＡＭなど）および不揮発性メモリ・エレメント（たとえば、フラッシュ・メモリ、ＲＯＭ、消去可能プログラマブル・リード・オンリ・メモリ（ＥＰＲＯＭ：ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）、電気的消去可能プログラマブル・リード・オンリ・メモリ（ＥＥＰＲＯＭ：ｅｌｅｃｔｒｏｎｉｃａｌｌｙ ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）、プログラマブル・リード・オンリ・メモリ（ＰＲＯＭ）、テープ、コンパクト・ディスク・リード・オンリ・メモリ（ＣＤ－ＲＯＭ：ｃｏｍｐａｃｔ ｄｉｓｃ ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）、ディスク、ディスケット、カートリッジ、またはカセットなど）のうちの１つまたは組み合わせを含んでもよい。さらに、メモリ１１０は電子、磁気、光学、またはその他のタイプのストレージ媒体を組み込んでもよい。なお、メモリ１１０は、さまざまなコンポーネントが互いに離れて位置しているがプロセッサ１０５によってアクセスされ得るような分散型アーキテクチャを有してもよい。
【0067】
メモリ１１０内の命令は、１つ以上の別個のプログラムを含んでもよく、各々のプログラムは論理機能を実現するための実行可能命令の順序付きリストを含む。図４の例において、メモリ１１０内の命令は、ハイパーバイザ１２を実行する好適なオペレーティング・システム（ＯＳ）を含む。オペレーティング・システムは、他のコンピュータ・プログラムの実行を制御してもよく、スケジューリング、入力－出力制御、ファイルおよびデータ管理、メモリ管理、ならびに通信制御および関連サービスを提供する。たとえばｚ Ｓｙｓｔｅｍ（ＩＢＭ社の登録商標）などの例において、ホスティング・ノード１０の製造者はハイパーバイザ１２を提供してもよい。ｚ Ｓｙｓｔｅｍ（ＩＢＭ社の登録商標）とは異なる構造を有する、ハードウェア製造者によってハイパーバイザ１２が提供されないシステムの場合には、提供されるクラウド・コンピューティングは、たとえばＶＭＷＡＲＥ（ＴＭ）またはその他のハイパーバイザ・プロバイダなどからのハイパーバイザ１２を用いてもよい。一例において、物理ホスティング・ノード１０の管理者は、製造者によって提供されるサービスを適用するために必要なとき以外はハイパーバイザ１２を修正できない。たとえば、ハイパーバイザ１２は、ホスティング・ノード１０に対する「ライセンス内部コード（ＬＩＣ：Ｌｉｃｅｎｓｅｄ Ｉｎｔｅｒｎａｌ Ｃｏｄｅ）」もしくはマイクロコードまたはその両方の一部として提供されてもよい。
【0068】
たとえばプロセッサ１０５に対する命令またはその他の検索可能な情報などを含む付加的なデータがストレージ１２０に記憶されてもよく、ストレージ１２０はたとえばハード・ディスク・ドライブまたは固体ドライブなどのストレージ・デバイスであってもよい。メモリ１１０またはストレージ１２０に記憶された命令は、プロセッサが本開示のシステムおよび方法の１つ以上の態様を実行することを可能にする命令を含んでもよい。
【0069】
ホスティング・ノード１０はさらに、ユーザ・インターフェースまたはディスプレイ１３０に結合されたディスプレイ・コントローラ１２５を含んでもよい。いくつかの実施形態において、ディスプレイ１３０はＬＣＤスクリーンであってもよい。他の実施形態において、ディスプレイ１３０は複数のＬＥＤ状態ライトを含んでもよい。いくつかの実施形態において、ホスティング・ノード１０はさらに、ネットワーク１６５への結合のためのネットワーク・インターフェース１６０を含んでもよい。ネットワーク１６５は、ブロードバンド接続を介したホスティング・ノード１０と外部サーバおよびクライアントなどとの通信のためのＩＰベースのネットワークであってもよい。ある実施形態において、ネットワーク１６５は衛星ネットワークであってもよい。ネットワーク１６５は、ホスティング・ノード１０と外部システムとの間でデータを送信および受信する。いくつかの実施形態において、ネットワーク１６５は、サービス・プロバイダによって管理されるマネージドＩＰネットワークであってもよい。ネットワーク１６５は、たとえばＷｉＦｉ、ＷｉＭａｘ、衛星、または任意のその他のものなどのワイヤレス・プロトコルおよび技術などを用いたワイヤレス方式で実現されてもよい。加えてネットワーク１６５は、たとえばローカル・エリア・ネットワーク、広域ネットワーク、メトロポリタン・エリア・ネットワーク、インターネット、またはその他の類似のタイプのネットワーク環境などのパケット・スイッチ・ネットワークであってもよい。ネットワーク１６５は、固定ワイヤレス・ネットワーク、ワイヤレス・ローカル・エリア・ネットワーク（ＬＡＮ：ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）、ワイヤレス広域ネットワーク（ＷＡＮ：ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）、パーソナル・エリア・ネットワーク（ＰＡＮ：ｐｅｒｓｏｎａｌ ａｒｅａ ｎｅｔｗｏｒｋ）、仮想プライベート・ネットワーク（ＶＰＮ：ｖｉｒｔｕａｌ ｐｒｉｖａｔｅ ｎｅｔｗｏｒｋ）、イントラネット、またはその他の好適なネットワーク・システムであってもよく、信号を受信および送信するための機器を含んでもよい。
【0070】
クライアント・デバイス２０Ａはハイパーバイザ１２に対して、ホスティング・ノード１０の特定のハードウェアもしくはソフトウェアまたはその両方のコンポーネントへのアクセスを有する対応仮想マシン１５Ａを配置することを要求してもよい。たとえばクライアント・デバイス２０Ａは、仮想マシン１５Ａが予め定められた数のプロセッサ、予め定められた容量の揮発性メモリ（たとえばランダム・アクセス・メモリ（ＲＡＭ）など）、予め定められた容量の不揮発性メモリ（たとえばストレージ・スペースなど）、または任意のその他のハードウェア・コンポーネントにアクセスできることを要求してもよい。代替的または付加的に、クライアント・デバイス２０Ａは、仮想マシン１５Ａが、たとえば対応する独自の識別子によって識別された電子回路などの特定のハードウェア・コンポーネントにアクセスできることを要求してもよい。たとえば、クライアント・デバイス２０Ａは、仮想マシン１５Ａが特定のタイプのプロセッサ、コプロセッサ、ネットワーク・カード、または任意のその他のチップもしくは電子回路にアクセスできることを要求してもよい。一例において、クライアント・デバイス２０Ａは、電子回路の製造者によって提供された識別子を用いて電子回路を識別してもよい。一例において、識別子はバージョン識別子とともに用いられてもよい。代替的または付加的に、クライアント・デバイス２０Ａは、仮想マシン１５Ａが、たとえばオペレーティング・システム、アプリケーション、基本入力／出力システム（ＢＩＯＳ：ｂａｓｉｃ ｉｎｐｕｔ／ｏｕｔｐｕｔ ｓｙｓｔｅｍ）、ブート・イメージ、または任意のその他のソフトウェア・コンポーネントなどの特定のソフトウェア・コンポーネントにアクセスできることを要求してもよい。要求されるソフトウェア・コンポーネントは、ファームウェアおよびホスティング・ノード１０のハードウェア・コンポーネント内の埋め込みプログラムを含んでもよい。クライアント・デバイス２０Ａは、それぞれのソフトウェア・コンポーネントの開発者／製造者によって提供されるそれぞれの独自の識別子を用いて、要求されるソフトウェア・コンポーネントを識別してもよい。一例において、識別子はソフトウェア・コンポーネントのバージョン識別子とともに用いられてもよい。
【0071】
前に記したとおり、セキュアＶＭとなる仮想マシン１５Ａに対して、その仮想マシン１５Ａに関連するメモリ１１０、ストレージ１２０、レジスタ、および任意のその他のデータの部分（単数または複数）に対するすべての非セキュア・ゲストおよびハイパーバイザ１２によるアクセスが禁止される。１つ以上の例において、ハイパーバイザ１２は、任意の所与の常駐のセキュア・ゲスト・ページに対して、関連するホスト絶対アドレスが、単一のハイパーバイザ（ホスト）ＤＡＴマッピングのみを通じてアクセス可能であることを保証する。すなわち、セキュアＶＭ１５Ａに割り当てられた任意の所与のホスト絶対アドレスにマップされる単一のホスト仮想アドレスが存在する。さらに、任意の所与のセキュア・ゲスト・ページに関連するハイパーバイザＤＡＴマッピング（ホスト仮想対ホスト絶対）は、ページインされている間は変わらない。さらに、任意のセキュア・ゲスト・ページに関連するホスト絶対ページは、単一のセキュア・ゲストのみに対してマップされる。加えて、特にセキュアＶＭ１５Ａの場合には、仮想マシン１５間のメモリ／レジスタの共有は存在しない。さらに、１つ以上の例において、ハイパーバイザ１２は、ストレージ１２０のセキュア部分をセキュア・インターフェース制御１１に割り当てる。このストレージ１２０のセキュア部分は、一旦割り当てられるとセキュア・インターフェース制御１１のみによってアクセス可能である。セキュア・インターフェース制御１１に一旦割り当てられると、仮想マシン１５もしくはハイパーバイザ１２またはその両方はどれもセキュア部分の内容にアクセスできなくなる。
【0072】
これらの規則に違反しようとする任意の試みは、セキュア・インターフェース制御１１およびホスティング・ノード１０によって禁止され、かつ警告を発生させることができる。警告は、１人以上の職員に通知を送信すること、ホスティング・ノード１０の動作を遮断すること、１つ以上のクライアント・デバイス２０からの要求を遮断すること、およびセキュアＶＭ１５（および任意のその他のセキュアＶＭ）の動作を遮断することなどによって生じ得る。
【0073】
図５は、本発明の１つ以上の実施形態によるハイパーバイザがセキュアＶＭからのゲスト命令の透過的な解釈を行う方法の例の流れ図を示している。この方法は、５０１において、クライアント・デバイス２０ＡからセキュアＶＭ１５Ａを開始するための要求を受信することを含み得る。１つ以上の例において、この要求は、たとえば別のＶＭ１５Ｂ～１５Ｎ、ハイパーバイザ１２によって実行されているコンピュータ・アプリケーション、および管理者などの任意の他のソースから受信されてもよい。
【0074】
この方法は、セキュアＶＭ１５Ａに対する非セキュア状態記述子（ＳＤ：ｓｔａｔｅ ｄｅｓｃｒｉｐｔｏｒ）を作成することを含む。１つ以上の例において、非セキュアＳＤは、ハイパーバイザ１２またはその他の非セキュア・エンティティによるアクセスが不可能なメモリの一部分に記憶されたセキュアＳＤに対する参照を含む。たとえば、セキュア・インターフェース制御１１はセキュアＳＤを作成し、そのセキュアＳＤに対する参照を非セキュアＳＤに付加する。セキュアＳＤは、ＶＭ汎用レジスタ（ＧＲ：ｇｅｎｅｒａｌ ｒｅｇｉｓｔｅｒｓ）、アクセス・レジスタ（ＡＲ：ａｃｃｅｓｓ ｒｅｇｉｓｔｅｒｓ）、制御レジスタ（ＣＲ：ｃｏｎｔｒｏｌ ｒｅｇｉｓｔｅｒｓ）、ＶＭタイマー（クロック・コンパレータおよびＣＰＵタイマーを含む）、ＶＭプレフィックス・レジスタ、仮想ＣＰＵ番号（ＶＣＮ：ｖｉｒｔｕａｌ ＣＰＵ ｎｕｍｂｅｒ）、プログラム状況ワード（ＰＳＷ：ｐｒｏｇｒａｍ－ｓｔａｔｕｓ ｗｏｒｄ）、および命令アドレス（ＩＡ：ｉｎｓｔｒｕｃｔｉｏｎ ａｄｄｒｅｓｓ）を含み得る。加えてＳＤは、たとえば特定の命令（例、ロード・プログラム状況ワード（ＬＰＳＷ：Ｌｏａｄ Ｐｒｏｇｒａｍ Ｓｔａｔｕｓ Ｗｏｒｄ）および無効化ページ・テーブル・エントリ（ＩＰＴＥ：Ｉｎｖａｌｉｄａｔｅ Ｐａｇｅ Ｔａｂｌｅ Ｅｎｔｒｙ）など）がホストに対するインターセプトを必要とするかどうか、またはＶＭ命令実行を開始し得る前にＶＭ変換ルックアサイド・バッファ（ＴＬＢ）のパージが必要かどうかを示すためのインターセプト制御（ＩＣ：ｉｎｔｅｒｃｅｐｔｉｏｎ ｃｏｎｔｒｏｌ）ビットなどの制御情報を含み得る。上述のＳＤフィールドは例示的なものであり、たとえば他のＶＭ状態に対するさまざまな他のフィールドを含むものなど、本発明の１つ以上の実施形態においては異なっていてもよい。非セキュアＶＭの場合は、非セキュアＳＤ自体が、セキュアＶＭの場合にセキュアＳＤの一部として記載された上記のフィールド／パラメータを含む。
【0075】
ハイパーバイザ１２はオペランドとして非セキュアＳＤを有するＳＩＥ命令を発行し、この命令の実行はセキュア・インターフェース制御１１が取り扱う。ＶＭ１５をディスパッチして、プロセッサ（単数または複数）１０５およびその他のコンピューティング・リソースをＶＭ１５に割り当てるために、ＳＩＥ（解釈実行開始（ｓｔａｒｔ ｉｎｔｅｒｐｒｅｔｉｖｅ ｅｘｅｃｕｔｉｏｎ））命令が用いられる。ＳＩＥ命令は、プロセッサ１０５を非セキュアＳＤにおいて定められるエミュレーション状態にする。セキュアＶＭの場合は、セキュアＶＭ１５Ａのディスパッチを開始するためにセキュアＳＤがアクセスされる。１つ以上の例において、非セキュアＳＤは、ディスパッチされるＶＭがセキュア／非セキュアであるかどうかを示すための識別子を含み、したがってセキュア・インターフェース制御１１はメモリの適切なセキュア／非セキュア部分からフィールド／パラメータにアクセスする。
【0076】
５０５において、この方法はさらに、セキュアＶＭ１５Ａにおいてゲスト命令を実行することを含む。５１０において、インターセプト条件をもたらす命令に遭遇するまで、セキュアＶＭ１５Ａの命令ストリームは実行を継続できる。５１０および５１５において、命令がインターセプト条件をもたらしたとき、そのインターセプト命令を有するＶＭは、そのＶＭがセキュアＶＭとしてディスパッチされたかどうかを判定する。
【0077】
ＶＭが非セキュアＶＭとしてディスパッチされているとき、ハイパーバイザ１２はそのＶＭに関連するデータもしくはメモリまたはその両方にアクセスでき、５２０においてインターセプト命令の実行は既存の解決策と同様に進行する。セキュア・インターフェース制御は、ＶＭのＳＤに記憶された状態フラグに基づいて、そのＶＭがセキュアまたは非セキュアＶＭとしてディスパッチされたかどうかを判定する。
【0078】
ＶＭが非セキュアＶＭである場合は、非セキュアＶＭにおける命令ストリームの実行が停止され、制御はハイパーバイザ１２に移され、ハイパーバイザ１２は非セキュアＶＭのＳＤに直接アクセスして非セキュアＶＭのデータにアクセスすることによって、インターセプト命令を解釈する。たとえば、ハイパーバイザ１２によって使用されるデータは、ＧＲ、ＣＲ、ゲスト・メモリ、もしくは非セキュアＶＭのその他のレジスタ、またはその組み合わせに記憶された値を含み得る。インターセプトされた命令の解釈が完了したとき、ハイパーバイザ１２は応答において１つ以上の値を記憶することによって、ゲスト状態を適切に更新する。たとえばハイパーバイザ１２は、非セキュアＶＭのＳＤが維持されているメモリ位置においてこれらの値を更新することによって、非セキュアＶＭの１つ以上のレジスタに更新された値を直接記憶する。ハイパーバイザ１２は、命令解釈の一部としてゲスト・メモリも更新してもよい。
【0079】
代わりに、もしＶＭがセキュアＶＭ１５Ａであれば、５２５において、インターセプト命令を実行するためにセキュア・インターフェース制御１１が呼び出される。５３０において、セキュア・インターフェース制御１１は、その命令が実行によって抑制または無効化プログラム例外をもたらすはずであるかどうかを判定する。セキュア・インターフェース制御１１はインターセプト命令の実行をシミュレートして、その実行がプログラム例外をもたらし得るかどうかを判定する。たとえば、その命令はホスティング・ノード１０において利用できないコンピューティング・リソースを要求し得る。代替的または付加的に、インターセプト命令はセキュアＶＭ１５Ａが実行されている特権レベルにおいて許可されない命令であり得る。代替的または付加的に、インターセプト命令はメモリ・アクセスの際の境界条件に反し得る。セキュア・インターフェース制御１１は、インターセプト命令の実行によってもたらされ得る任意のその他のタイプのプログラム例外をチェックできる。もしインターセプト命令の実行によって例外が発生すれば、５３５において、セキュア・インターフェース制御１１はセキュアＶＭ１５Ａに例外を提供する。
【0080】
１つ以上の例において、プログラム割り込みのタイプによって命令は抑制または無効化される。もし抑制または無効化ゲスト例外が適用されれば、命令インターセプトはハイパーバイザ１２に到達せず、代わりにプログラム例外に対処するためにセキュアＶＭ１５Ａの割り込みハンドラに制御が直接与えられる。最初にプログラム例外に対処する必要があるため、ハイパーバイザに対する命令をインターセプトする理由がない。たとえば、ＬＣＴＬＧ命令がインターセプトされ、かつ命令に対して提供されたストレージ・オペランドがページ・フォールトを有するとき、最初にページ・フォールトを解決するためにセキュアＶＭ１５Ａにプログラム例外が与えられる。ページ・フォールトが解決されると、ＬＣＴＬＧが再び実行され、このときプログラム例外は伴わない。したがってその後の実行において、本明細書に記載される特徴を用いて、ハイパーバイザ１２に対して命令がインターセプトされる。
【0081】
いくつかのプログラム例外は、ホストに関係する。こうした場合はＳＩＥエグジットが呼び出され、ハイパーバイザ１２にプログラム例外が提供される。たとえばホスト・ページ・フォールトの場合、ハイパーバイザ１２はゲスト・ページをホスト絶対ページにマップし、次いでＶＭを再ディスパッチする。
【0082】
なお、プログラム例外は無効化、抑制、および完了を行い得る。抑制または無効化の違いは、命令アドレス（ＩＡ：Ｉｎｓｔｒｕｃｔｉｏｎ Ａｄｄｒｅｓｓ）が更新されるやり方にある。無効化例外において、ＩＡは例外の原因となった命令を指しており、一方で抑制例外において、ＩＡは例外を伴う命令の後の、次の順序の命令を指す。どちらの場合にも、ゲスト状態またはメモリに対する他の更新は行われない。
【0083】
代わりに、インターセプト命令の結果として完了例外がもたらされるとき、５３７においてセキュア・インターフェース制御１１は、インターセプト命令に対する完了例外（単数または複数）フラグを検出しマーク付けする。プログラム事象記録（ＰＥＲ：Ｐｒｏｇｒａｍ Ｅｖｅｎｔ Ｒｅｃｏｒｄｉｎｇ）などの完了例外は通常、関連する命令の完了後に提供される。非セキュアＶＭ環境において、ハイパーバイザ１２はこうしたＰＥＲ例外を検出し、ハイパーバイザ１２はゲスト命令の解釈を終了したときにそれらのＰＥＲ例外をＶＭに提供する。セキュアＶＭ環境において、セキュア・インターフェース制御１１はこうしたＰＥＲプログラム例外を検出し、ゲスト命令の実行が終了したときにそれらのＰＥＲプログラム例外がセキュアＶＭに提供されるようにマーク付けする。
【0084】
さらに、５４０において、セキュア・インターフェース制御１１はどの命令がインターセプトされているかをチェックする。たとえば、セキュア・インターフェース制御１１は、インターセプトされるべき命令および場合によってはその命令の１つ以上のオペランドに基づいて、その命令をセキュア・インターフェース制御１１自身によって解釈できるかどうかを判定する。たとえばゲスト非同期割り込み（例、ＬＣＴＬＧ命令）をイネーブルし得るゲスト制御レジスタの書込みなどのいくつかの動作は、通常セキュア・インターフェース制御によって完了されてからインターセプトされ、最小限必要なゲスト状態をハイパーバイザ１２に提供することで、ハイパーバイザ１２は任意の過去にアクティブだったがディスエーブルされたゲスト割り込みがイネーブルされたかどうかをチェックできる。次いでハイパーバイザ１２は保留およびイネーブルされたゲスト割り込みの優先順位付けをして、最高優先順位の割り込みをセキュア・インターフェース制御を通じてゲストにセキュアに提供する。本発明の１つ以上の実施形態によると、セキュアＶＭ環境において、セキュア・インターフェース制御１１はセキュアＶＭの代わりにＬＣＴＬＧ解釈を解釈する。同様に、非セキュアＶＭに対してハイパーバイザ１２に戻ってインターセプトを行うセット・プレフィックス（ＳＰＸ：Ｓｅｔ Ｐｒｅｆｉｘ）命令に対して、本発明の１つ以上の実施形態においては、セキュア・インターフェース制御１１による解釈が行われることとなる。オペランドがセキュア・インターフェース制御１１によってアクセス可能であるとき、その命令はセキュア・インターフェース制御１１によって解釈可能とみなされ得る。命令がセキュア・インターフェース制御１１によって解釈可能であるとき、５４５において、その命令実行はセキュア・インターフェース制御１１自身によって完了され、セキュアＶＭ１５Ａの命令ストリームは再開される。
【0085】
命令がセキュア・インターフェース制御１１自身によって解釈可能でないとき、５５０において、セキュア・インターフェース制御１１はそのゲスト命令に関連する部分的完了フラグを第１の状態にセットし、たとえば部分的完了＝１とする。本文書においては、部分的完了フラグが第１の状態＝１および第２の状態＝０を有することが記載されているが、本発明の１つ以上の実施形態においては２つの状態に対して他の値も使用され得ることが理解される。
【0086】
さらに５５２において、セキュア・インターフェース制御１１はインターセプト命令を含むセキュアＶＭ１５Ａに関連するロックＶＭフラグを第１の状態にセットし、たとえばロックＶＭ＝１とする。本文書においては、ロックＶＭフラグが第１の状態（例、＝１）および第２の状態（例、＝０）を有することが記載されているが、本発明の１つ以上の実施形態においては２つの状態に対して他の値も使用され得ることが理解される。ロックＶＭフラグは、セキュアＶＭ１５Ａが「ロック」されているか、すなわち命令ストリームの実行が停止されて、命令解釈の完了を待っている状態であるかどうかを示すものである。加えてロックＶＭフラグは、セキュア制御インターフェースによってセキュアＶＭ１５Ａに転送されたインターセプト命令に対するハイパーバイザ応答が有効化されたかどうかを示す。本明細書に記載される例において、第１の状態（すなわちロックＶＭ＝１）ではセキュアＶＭ１５Ａに対する応答を有効化すべきであるとみなされ、そうでない（すなわちロックＶＭ＝０）ときは現時点で応答を有効化する必要はないとみなされる。ロックＶＭは、ハイパーバイザ１２が応答を伴わずに偶発的に、または悪意をもってセキュアＶＭをディスパッチすることも防ぎ、かつハイパーバイザが命令解釈の完了前にセキュアＶＭ１５Ａに割り込みの挿入を試みることも防ぐ。したがってロックＶＭは、解釈されているゲスト命令に対して必要とされる応答をセキュアＶＭ１５Ａが受信するまで、セキュアＶＭ１５Ａをロックする。
【0087】
セキュアＶＭ１５Ａがロック状態であるとき、セキュアＶＭ１５Ａは命令解釈に関するハイパーバイザ１２からの応答を待っていることがセキュア・インターフェース制御１１に示される。こうした場合、セキュア・インターフェース制御１１はセキュア・インターフェース制御が有効な応答を受信するまでセキュアＶＭ１５Ａがディスパッチされることを防ぎ、有効な応答を受信した場合にはロックＶＭフラグの状態が変更される。
【0088】
５５５において、セキュア・インターフェース制御１１はさらに、ハイパーバイザ１２が実行する命令をインターセプトする。ハイパーバイザ１２に対するインターセプトは、セキュア・インターフェース制御１１がメモリのセキュア部分から命令に関連する１つ以上のパラメータ・データを抽出することと、そのパラメータ・データをハイパーバイザ１２に対してアクセス可能にすることとを含む。セキュア・インターフェース制御１１は命令と、そのオペランドと、そのデータとを調べることによって、セキュアＶＭ１５Ａからパラメータ・データを抽出できる。オペランドおよびデータは、セキュアＶＭ１５Ａに関連するハードウェア・レジスタおよびメモリに記憶され得る。ＳＩＥエグジットにおいて、ゲスト状態はセキュアＳＤにセーブされ、インターセプトの理由（およびその他のハイパーバイザ関係の情報）は非セキュアＳＤにセーブされる。ＶＭが動作していた物理プロセッサはここでフリーになり、ハイパーバイザは同じＶＭを再ディスパッチしてもよいし、新たなＶＭを同じ物理プロセッサにディスパッチしてもよい。インターセプトされたゲスト命令に関するロックＶＭおよびその他の情報はセキュアＳＤにセーブされて、任意の利用可能なプロセッサに対するＶＭのディスパッチを可能にする。
【0089】
セキュア・インターフェース制御１１は、この特定の命令の実行のために専用バッファを作成するか、またはこうしたインターセプトされたゲスト命令を実行するために用いられる専用バッファを用いることによって、抽出されたパラメータをハイパーバイザ１２に対してアクセス可能にできる。セキュア・インターフェース制御１１は、セキュアＶＭ１５Ａからのデータ（ハイパーバイザが命令解釈のために必要とするもの）を専用バッファに記憶して、インターセプトされているゲスト命令の解釈に用いるべきオペランド／データとして、この記憶データをハイパーバイザ１２に渡す。
【0090】
ハイパーバイザ１２はしばしば、セキュアＶＭ１５Ａの命令ストリームのうちのどの命令がインターセプトをもたらしたかを正確に知らない。ハイパーバイザ１２の側で必要とされる特定の動作のみである。インターセプトの際に、ハイパーバイザ１２は、たとえば命令を実行する理由など、解釈に必要とされるもの以外の任意のその他のコンテキストを伴わずに命令解釈を実行するようにスケジュールされる。したがって５６０において、ハイパーバイザ１２は命令のソース／理由に関する知識なしに命令を解釈する。
【0091】
図６は、本発明の１つ以上の実施形態によるインターセプトされたセキュアＶＭ命令の解釈完了後にハイパーバイザからセキュアＶＭに応答を戻すための方法に対する流れ図を示している。命令解釈が完了した際に、ハイパーバイザ１２は任意の割り込み挿入を伴わない（５６２）か、または割り込み挿入を伴って（５６４）、セキュアＶＭをディスパッチする。本明細書に記載されるとおり、ディスパッチはＳＩＥ命令を用いて行われ得る。セキュアＶＭディスパッチ動作の一部として、ＶＭに関連するセキュアＳＤからゲスト状態が読取られ、プロセッサ・ハードウェア（レジスタ、メモリなど）にロードされる。１つ以上の例において、ハイパーバイザ１２は、たとえば識別子などの割り込みパラメータ関連情報と、パラメータとを専用バッファに記憶することによって、セキュア・インターフェース制御１１を介してＶＭに割り込みを挿入する。セキュア・インターフェース制御１１は、ＳＩＥ呼び出しによって実行の制御を受信する。
【0092】
５７０において、セキュア・インターフェース制御１１は、ロックＶＭフラグが１にセットされているかどうかをチェックする。ロックＶＭ＝０（または１に等しくない）であるとき、セキュア・インターフェース制御１１は、呼び出されたＳＩＥ命令によって異なるＶＭ（インターセプト命令を有さないもの）がディスパッチされているものとみなし、したがって５７５において異なるＶＭが入れられ、そのＶＭに対する命令ストリームの実行が開始される。
【0093】
代替的に、ロックＶＭ＝１であるとき、すなわちハイパーバイザ１２がインターセプト命令を発行したセキュアＶＭ１５Ａに実行の制御を戻すとき、５８０において、セキュア・インターフェース制御１１は、ハイパーバイザ１２から命令に対する応答が受信されたかどうかをチェックする。セキュア・インターフェース制御１１は、ハイパーバイザ１２が命令応答を提供するようにセットアップされた専用バッファの指定位置をチェックすることによって、この判定を行う。もし応答が見出されなければ、５８２において、セキュア・インターフェース制御１１はエラー条件によってハイパーバイザ１２にインターセプトを行う。もし専用バッファに応答が提供されていれば、５８５において、セキュア・インターフェース制御１１はその応答が有効であることを確認する。もし応答が無効であれば、５８２において、セキュア・インターフェース制御１１はエラー条件によってハイパーバイザ１２にインターセプトを行う。
【0094】
１つ以上の例において、セキュア・インターフェース制御１１は、ハイパーバイザから受信した応答のタイプに基づいて応答の有効性を確認する。たとえば、提供された応答はインターセプトされた命令タイプに対して有効である。したがって、許可されたインターセプト命令の各々に対して、セキュア・インターフェース制御１１は許容される１つ以上の可能な応答タイプを有する。たとえば、セキュア・インターフェース制御１１は、インターセプト命令に対して予期される応答タイプのリストによって、応答のデータ・タイプが有効であることをチェックする。たとえば、インターセプト命令がＩ／Ｏ動作の要求であるとき、セキュア・インターフェース制御１１は、応答がＩ／Ｏ動作に対して適切なデータ・タイプのものであることを検証するためのチェックを行う。
【0095】
もし応答が有効と判定されれば、この方法は５９０において、セキュア・インターフェース制御１１がハイパーバイザ１２からの応答に基づいてセキュアＶＭ１５Ａの状態を更新することによって進行する。状態を更新することは、セキュアＶＭ１５Ａに関連するレジスタおよびメモリを更新することを含み得る。セキュアＶＭ１５Ａに対するＳＤは、セキュア・インターフェース制御１１のみがアクセス可能なメモリのセキュア部分に記憶されているため、セキュア・インターフェース制御１１のみがそれにアクセスできる。したがって、この応答はセキュアなままであり、他のＶＭおよびハイパーバイザ１２からはアクセス不可能である。
【0096】
さらに５９２において、セキュア・インターフェース制御１１はインターセプト・ゲスト命令の実行を完了する。この完了は、セキュア・インターフェース制御１１が、セキュアＶＭ１５Ａに対する部分的完了およびロックＶＭのフラグを第２の状態に更新すること、すなわち部分的完了＝０およびロックＶＭ＝０にセットすることを含む。５９５において、セキュア・インターフェース制御１１は、インターセプト命令が自身に関連付けられた対応する完了例外を有するかどうかを判定する。もし例外が存在すれば、５９７において、セキュア・インターフェース制御１１は完了例外をセキュアＶＭ１５Ａに提供し、これはセキュアＶＭ１５Ａが例外に対処した後に自身が実行していた命令ストリームを再開することを示す。代替的に、もしインターセプト命令に対するプログラム例外が存在しなければ、５９８において、セキュア・インターフェース制御１１は実行の制御をセキュアＶＭ１５Ａに戻し、セキュアＶＭ１５Ａは次に命令ストリームを再開する。
【0097】
したがって、本発明の１つ以上の実施形態は、ホスティング・ノードにおけるハイパーバイザによって、セキュアＶＭに対するゲスト命令を解釈することを促進する。ゲスト命令は通常どおりに（非セキュアＶＭと同様に）インターセプトされるが、制御はハイパーバイザに直ちに戻されず、代わりにセキュア・インターフェース制御に与えられる。セキュア・インターフェース制御はゲスト・データを抽出して、それをインターセプトの理由とともにハイパーバイザに渡す。ハイパーバイザは要求を処理し、セキュア・インターフェース制御に応答を戻す。
【0098】
セキュア・インターフェース制御は、プログラム事象記録（ＰＥＲ）を含むプログラム例外をチェックし、要求をハイパーバイザに渡す前にゲスト命令が部分的に完了されたとマーク付けする。無効化または抑制プログラム・インターセプトの存在下では、ハイパーバイザへの信号伝達は行われず、プログラム例外が得られる。加えてセキュア・インターフェース制御は、ゲスト命令の結果を更新する前にハイパーバイザの応答をチェックおよび検証する。プログラム事象記録（ＰＥＲ）などの完了タイプのプログラム例外に対して、セキュア・インターフェース制御はその命令が完了プログラム例外を有することをマーク付けし、ハイパーバイザから戻った際に、セキュア・インターフェース制御は命令を完了してプログラム割り込みを強制する。
【0099】
セキュアＶＭがハイパーバイザに対するインターセプトを行う時間から、ハイパーバイザが応答する時間までの間に、セキュア・インターフェース制御はハイパーバイザが同じＶＭを任意の物理ＣＰＵに対してディスパッチすることを防ぐ。このことによって、部分的に完了した命令が完全に完了するまで、ハイパーバイザがセキュアＶＭに割り込み（ＩＯ、外部またはマシン・チェック）または例外（例、プログラム例外）を挿入することも防がれる。
【0100】
本発明の１つ以上の実施形態によると、コンピュータ・サーバは、ハイパーバイザに命令をインターセプトするか、もしくはセキュアＶＭに応答を挿入するか、またはその両方を行うために、ハイパーバイザもしくはセキュアＶＭまたはその両方のコード／アーキテクチャを変更する必要なく、セキュアＶＭに関連するメモリ、レジスタ、およびその他のデータにハイパーバイザがアクセスすることを禁止するセキュアＶＭをホストできる。その代わりに、本発明の１つ以上の実施形態によると、ミリコードを含むセキュア・インターフェース制御は、状態記述子の構造の改善と、ストレージ／メモリのセキュア部分とを用いてデータをセキュアにすることを促進する。加えて、セキュア・インターフェース制御はＶＭ状態からのデータを記憶することによって、１つ以上のパラメータをハイパーバイザに対してアクセス可能にすべきである場合に、セキュア・インターフェース制御（ミリコード）がそれを行い得るようにする。
【0101】
本発明の１つ以上の実施形態は、コンピュータ技術、特に仮想マシン・ホスティング・コンピュータ・サーバに根差したものである。さらに、本発明の１つ以上の実施形態は、ＶＭをホストするコンピュータ・サーバがセキュアＶＭをホストすることを促進することによって、コンピューティング技術自体の動作、特に仮想マシン・ホスティング・コンピュータ・サーバの動作に対する改善を促進するものであり、ここではハイパーバイザさえもがセキュアＶＭに関連するメモリ、レジスタ、およびその他のこうしたデータにアクセスすることを禁止される。加えて、本発明の１つ以上の実施形態は、ミリコードを含むセキュア・インターフェース制御を用いてセキュアＶＭとハイパーバイザとの分離を促進することによって、コンピュータ・サーバによってホストされるＶＭのセキュリティを維持することによって、ＶＭホスティング・コンピュータ・サーバの改善に向けた顕著なステップを提供する。本明細書に記載されるとおり、セキュア・インターフェース制御は、ＶＭの初期化／エグジットの際にセキュア化ＶＭ状態に対して実質的なオーバーヘッドを加えることなくセキュリティを促進するための軽量の中間動作を提供する。
【0102】
本発明は、任意の可能な技術的詳細レベルのインテグレーションにおけるシステム、方法、もしくはコンピュータ・プログラム製品、またはその組み合わせであってもよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を行わせるためのコンピュータ可読プログラム命令を有するコンピュータ可読ストレージ媒体（または複数の媒体）を含んでもよい。
【0103】
コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持および記憶できる有形デバイスであり得る。コンピュータ可読ストレージ媒体は、たとえば電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁気ストレージ・デバイス、半導体ストレージ・デバイス、または前述の任意の好適な組み合わせなどであってもよいが、それに限定されない。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的リストは以下を含む。ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ：ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ）、消去可能プログラマブル・リード・オンリ・メモリ（ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ）（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：ｓｔａｔｉｃ ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）、ポータブル・コンパクト・ディスク・リード・オンリ・メモリ（ＣＤ－ＲＯＭ：ｃｏｍｐａｃｔ ｄｉｓｃ ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ）、デジタル多用途ディスク（ＤＶＤ：ｄｉｇｉｔａｌ ｖｅｒｓａｔｉｌｅ ｄｉｓｋ）、メモリ・スティック、フレキシブル・ディスク、機械的にコード化されたデバイス、たとえばパンチ・カードまたは記録された命令を有する溝の中の隆起構造など、および前述の任意の好適な組み合わせ。本明細書において用いられるコンピュータ可読ストレージ媒体は、たとえば電波もしくはその他の自由に伝播する電磁波、導波路もしくはその他の伝送媒体を通じて伝播する電磁波（例、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを通じて伝送される電気信号など、それ自体が一時的信号のものであると解釈されるべきではない。
【0104】
本明細書に記載されるコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれのコンピューティング／処理デバイスにダウンロードされ得るか、またはたとえばインターネット、ローカル・エリア・ネットワーク、広域ネットワーク、もしくは無線ネットワーク、またはその組み合わせなどのネットワークを介して外部コンピュータまたは外部ストレージ・デバイスにダウンロードされ得る。ネットワークは銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、もしくはエッジ・サーバ、またはその組み合わせを含んでもよい。各コンピューティング／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、ネットワークからコンピュータ可読プログラム命令を受信して、そのコンピュータ可読プログラム命令をそれぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体に記憶するために転送する。
【0105】
本発明の動作を実行するためのコンピュータ可読プログラム命令はアセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：ｉｎｓｔｒｕｃｔｉｏｎ－ｓｅｔ－ａｒｃｈｉｔｅｃｔｕｒｅ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路に対する構成データ、または１つ以上のプログラミング言語の任意の組み合わせで書かれたソース・コードもしくはオブジェクト・コードであってもよく、このプログラミング言語はオブジェクト指向プログラミング言語、たとえばＳｍａｌｌｔａｌｋ、またはＣ＋＋など、および手続き型プログラミング言語、たとえば「Ｃ」プログラミング言語または類似のプログラミング言語などを含む。コンピュータ可読プログラム命令は、すべてがユーザのコンピュータで実行されてもよいし、スタンド・アロン・ソフトウェア・パッケージとして部分的にユーザのコンピュータで実行されてもよいし、一部がユーザのコンピュータで、一部がリモート・コンピュータで実行されてもよいし、すべてがリモート・コンピュータまたはサーバで実行されてもよい。後者のシナリオにおいて、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ：ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）または広域ネットワーク（ＷＡＮ：ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）を含む任意のタイプのネットワークを通じてユーザのコンピュータに接続されてもよいし、（たとえば、インターネット・サービス・プロバイダを用いてインターネットを通じて）外部コンピュータへの接続が行われてもよい。いくつかの実施形態において、たとえばプログラマブル・ロジック回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ：ｆｉｅｌｄ－ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙｓ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ａｒｒａｙｓ）などを含む電子回路は、本発明の態様を行うために電子回路をパーソナライズするためのコンピュータ可読プログラム命令の状態情報を使用することによって、コンピュータ可読プログラム命令を実行してもよい。
【0106】
本明細書においては、本発明の実施形態による方法、装置（システム）、およびコンピュータ・プログラム製品の流れ図もしくはブロック図またはその両方を参照して、本発明の態様を説明している。流れ図もしくはブロック図またはその両方の各ブロック、および流れ図もしくはブロック図またはその両方におけるブロックの組み合わせは、コンピュータ可読プログラム命令によって実現され得ることが理解されるだろう。
【0107】
これらのコンピュータ可読プログラム命令は、汎用目的コンピュータ、特定目的コンピュータ、またはマシンを生成するためのその他のプログラマブル・データ処理装置のプロセッサに提供されることによって、そのコンピュータまたはその他のプログラマブル・データ処理装置のプロセッサを介して実行される命令が、流れ図もしくはブロック図またはその両方の単数または複数のブロックにおいて指定される機能／動作を実現するための手段を生じてもよい。これらのコンピュータ可読プログラム命令は、コンピュータ、プログラマブル・データ処理装置、もしくはその他のデバイスまたはその組み合わせに特定の方式で機能するように指示できるコンピュータ可読ストレージ媒体にも記憶されることによって、命令が記憶されたコンピュータ可読ストレージ媒体が、流れ図もしくはブロック図またはその両方の単数または複数のブロックにおいて指定される機能／動作の態様を実現する命令を含む製造物を含んでもよい。
【0108】
コンピュータ可読プログラム命令は、コンピュータ、他のプログラマブル・データ処理装置、または他のデバイスにもロードされて、コンピュータに実現されるプロセスを生成するためにコンピュータ、他のプログラマブル装置、または他のデバイスにおいて一連の動作ステップを行わせることによって、そのコンピュータ、他のプログラマブル装置、または他のデバイスにおいて実行される命令が、流れ図もしくはブロック図またはその両方の単数または複数のブロックにおいて指定される機能／動作を実現してもよい。
【0109】
図面における流れ図およびブロック図は、本発明のさまざまな実施形態によるシステム、方法、およびコンピュータ・プログラム製品の可能な実施のアーキテクチャ、機能、および動作を示すものである。これに関して、流れ図またはブロック図の各ブロックは、指定される論理機能（単数または複数）を実現するための１つ以上の実行可能命令を含むモジュール、セグメント、または命令の一部を表してもよい。いくつかの代替的実施において、ブロック内に示される機能は、図面に示されるものとは異なる順序で起こってもよい。たとえば、連続して示される２つのブロックは、実際には実質的に同時に実行されてもよいし、関与する機能によってはこれらのブロックがときに逆の順序で実行されてもよい。加えて、ブロック図もしくは流れ図またはその両方の各ブロック、およびブロック図もしくは流れ図またはその両方のブロックの組み合わせは、指定された機能または動作を行うか、特定目的のハードウェアおよびコンピュータ命令の組み合わせを実施または実行する特定目的のハードウェア・ベースのシステムによって実現され得ることが注目されるだろう。
【0110】
本発明のさまざまな実施形態の説明は例示の目的のために提供されたものであるが、開示される実施形態に対して網羅的または限定的になることは意図されていない。記載される実施形態の範囲および思想から逸脱することなく、当業者には多くの修正および変更が明らかになるだろう。本明細書において用いられる用語は、実施形態の原理、市場に見出される技術に対する実際の適用、または技術的改善点を最もよく説明するか、または他の当業者が本明細書に開示される実施形態を理解できるようにするために選択されたものである。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】