JP2022522679A - セキュア・インターフェース・コントロールの通信インターフェース - Google Patents

Abstract

方法が提供される。この方法は、コンピュータのセキュア・インターフェース・コントロールとコンピュータのハードウェアとの間で動作するセキュア・インターフェース・コントロールの通信インターフェースによって実装される。これに関して、通信インターフェースは、命令を受信し、命令がミリコード化命令であるかを判定する。さらに、通信インターフェースは、命令がミリコード化命令であることに基づいて、ミリモードに入り、セキュア・インターフェース・コントロールが通信インターフェースを通じてハードウェアのミリコードを作動することを可能にする。その後、ミリコードが命令を実行する。

Description

本発明は、一般的にはコンピュータ技術に関し、より詳細には、セキュア・インターフェース・コントロールの通信インターフェースに関する。

クラウド・コンピューティングおよびクラウド・ストレージは、ユーザに、かれらのデータをサードパーティ・データセンタに格納して処理する機能を提供する。クラウド・コンピューティングは、顧客にハードウェアの購入も物理的なサーバの据え付けスペースの提供も求めず、仮想マシン（ＶＭ）を迅速かつ容易に顧客に供給する機能を促進する。顧客は、顧客の選好または必要性の変化に応じて容易にＶＭを拡大するようにしてもよいし、縮小するようにしてもよい。通常、クラウド・コンピューティングの提供者は、当該提供者のデータセンタのサーバ上に物理的に存在するＶＭを設定する。特にコンピューティング提供者が２つ以上の顧客のデータを同じサーバに格納することが多いため、顧客は、ＶＭ中のデータのセキュリティに不安を感じることが多い。顧客は、自身のコード／データとクラウド・コンピューティング提供者のコード／データとの間のほか、自身のコード／データと提供者の拠点で動作する他のＶＭのコード／データとの間のセキュリティを望ましいと考えるかもしれない。また、顧客は、提供者の管理者のほか、マシン上で動作する他のコードからの潜在的なセキュリティ侵害に対するセキュリティを望ましいと考えるかもしれない。

このように繊細な状況を扱うため、クラウド・サービス提供者は、適正なデータ分離および論理的なストレージ分割を保証するセキュリティ管理を実施する場合がある。クラウド・インフラを実装する際の仮想化の広範囲な利用は、オペレーティング・システム（ＯＳ）と下層のハードウェア（演算、記憶、あるいはネットワーク化ハードウェア）との間の関係が仮想化により変化するため、クラウド・サービスの顧客にとって特有のセキュリティ上の懸念事項となる。これにより、仮想化は、それ自体が適正な設定、管理、および保護を必要とする付加的なレイヤとして導入される。

一般的に、ホスト・ハイパーバイザの制御下でゲストとして動作するＶＭは、当該ゲストの仮想化サービスを透過的に提供するために、当該ハイパーバイザに依拠する。これらのサービスとしては、メモリ管理、命令エミュレーション、および中断処理が挙げられる。

１つまたは複数の実施形態によれば、方法が提供される。この方法は、コンピュータのセキュア・インターフェース・コントロールとコンピュータのハードウェアとの間で動作するセキュア・インターフェース・コントロールの通信インターフェースによって実装される。これに関して、通信インターフェースは、命令を受信し、命令がミリコード化命令であるかを判定する。さらに、通信インターフェースは、命令がミリコード化命令であることに基づいて、ミリモードに入り、前記セキュア・インターフェース・コントロールが通信インターフェースを通じてハードウェアのミリコードを作動することを可能にする。その後、ミリコードが命令を実行する。１つまたは複数の実施形態の技術的効果および利益として、コンテキストスイッチおよび関連する処理オーバヘッドの必要がなくなる。

１つもしくは複数の実施形態または上記方法の実施形態によれば、命令がミリコード化命令ではないことに基づいて、コンピュータのハードウェアにより命令が実行され得る。

１つもしくは複数の実施形態または上記方法の実施形態のいずれかによれば、通信インターフェースは、命令がミリコードにより実行された後に、ミリモードを終了し得る。これにより、本明細書の実施形態の技術的効果および利益として、通信インターフェースは、ソフトウェア・コンテキストスイッチも、このようなコンテキストスイッチと関連付けられたオーバヘッドも一切含まない。

１つもしくは複数の実施形態または上記方法の実施形態のいずれかによれば、セキュア・インターフェース・コントロールは、命令を発行する非セキュア・エンティティまたはセキュア・エンティティと通信し得る。

１つもしくは複数の実施形態または上記方法の実施形態のいずれかによれば、非セキュア・エンティティは、ハイパーバイザを含み、セキュア・エンティティは、セキュア・ゲストを含み、命令は、アーキテクト命令を含み得る。

１つもしくは複数の実施形態または上記方法の実施形態のいずれかによれば、ミリコードは、通信インターフェースの増強を利用することにより、セキュア実行コンテキストにおいて命令と関連付けられたセキュア・ストレージにアクセスし得る。

１つもしくは複数の実施形態または上記方法の実施形態のいずれかによれば、ミリコードは、命令の実行に際してセキュア・インターフェース・コントロールの機能を実行するハードウェアの拡張であり得る。

１つもしくは複数の実施形態または上記方法の実施形態のいずれかによれば、セキュア・インターフェース・コントロールとして作用するミリコードは、セキュア・エンティティをディスパッチ可能であり、セキュア・エンティティが動作している旨の指定を設定し、セキュア・ゲスト状態をハードウェアにロードする。

１つもしくは複数の実施形態または上記方法の実施形態のいずれかによれば、ハードウェアは、セキュア・エンティティと関連付けられたセキュア・ゲスト・ドメインが動作している間に、セキュア・ゲスト状態を使用することによって、セキュリティ確認を実行し得る。

１つまたは複数の実施形態によれば、上記方法の実施形態のいずれかは、コンピュータ・プログラム製品またはシステムとして実装可能である。

その他の特徴および利点については、本開示の技術によって実現される。本発明の他の実施形態および態様を本明細書において詳しく説明するが、これらは、本発明の一部と考えられる。利点および特徴とともに本発明をより深く理解するため、詳細な説明および図面を参照する。

本明細書に記載の独占権の明細は、本明細書の最後の特許請求の範囲において詳細に示し明確に請求する。本発明の実施形態の上記および他の特徴および利点については、添付の図面と併用する以下の詳細な説明から明らかである。

本発明の１つまたは複数の実施形態に係る、ゾーン・セキュリティのテーブルを示した図である。 本発明の１つまたは複数の実施形態に係る、ＤＡＴを実行するための仮想および絶対アドレス空間を示した図である。 本発明の１つまたは複数の実施形態に係る、ハイパーバイザの下で動作する仮想マシン（ＶＭ）をサポートするネスト状マルチパートＤＡＴを示した図である。 本発明の１つまたは複数の実施形態に係る、セキュア・ゲスト・ストレージのマッピングを示した図である。 本発明の１つまたは複数の実施形態に係る、動的アドレス変換（ＤＡＴ）動作のシステム概要を示した図である。 本発明の１つまたは複数の実施形態に係る、セキュア・インターフェース・コントロール・メモリのシステム概要を示した図である。 本発明の１つまたは複数の実施形態に係る、インポート動作のプロセス・フローを示した図である。 本発明の１つまたは複数の実施形態に係る、インポート動作のプロセス・フローを示した図である。 本発明の１つまたは複数の実施形態に係る、提供メモリ動作のプロセスを示した図である。 本発明の１つまたは複数の実施形態に係る、セキュア・インターフェース・コントロールの非セキュア・ハイパーバイザ・ページのセキュア・ページへの遷移のプロセス・フローを示した図である。 本発明の１つまたは複数の実施形態に係る、セキュア・インターフェース・コントロールによるセキュア・ストレージ・アクセスのプロセス・フローを示した図である。 本発明の１つまたは複数の実施形態に係る、セキュア・インターフェース・コントロールおよびハードウェアによるアクセス・タグ付けのプロセス・フローを示した図である。 本発明の１つまたは複数の実施形態に係る、プログラムおよびセキュア・インターフェース・コントロールによるセキュアおよび非セキュア・アクセスをサポートする変換のプロセス・フローを示した図である。 本発明の１つまたは複数の実施形態に係る、プログラムおよびセキュア・インターフェース・コントロールによるセキュア・ストレージ保護を伴うＤＡＴのプロセス・フローを示した図である。 本発明の１つまたは複数の実施形態に係る、セキュア・インターフェース・コントロールを含むシステムを示した図である。 本発明の１つまたは複数の実施形態に係る、図１５のセキュア・インターフェース・コントロールの通信インターフェースのプロセス・フローを示した図である。 本発明の１つまたは複数の実施形態に係る、クラウド・コンピューティング環境を示した図である。 本発明の１つまたは複数の実施形態に係る、抽象モデル・レイヤを示した図である。 本発明の１つまたは複数の実施形態に係る、システムを示した図である。 本発明の１つまたは複数の実施形態に係る、ノードを示した図である。

本明細書に示す図は、例示である。本発明の思想から逸脱することなく、図または図に記載の動作の多くの変形が可能である。たとえば、動作は、異なる順序で実行することも可能であるし、追加、消去、または修正することも可能である。また、用語「結合（coupled）」およびその変化形は、２つの要素間に通信経路を有することを表し、これら要素間の介在要素／接続部のない両者間の直接接続を暗示するものではない。これらの変化形はすべて、本明細書の一部と考えられる。

１つまたは複数の実施形態によれば、本発明は、同じコンピュータのセキュア・インターフェース・コントロールとハードウェアとの間の通信インターフェースの提供に関する。通信インターフェースは、ソフトウェア・レイヤから、最下位レベルのファームウェアおよびハードウェアが提供するセキュア・インターフェース・コントロールまで動作（たとえば、命令）を移動させることによって、ハードウェアが提供する処理効率を利用するように動作する。

ここで、本明細書の態様により具体的に関連する技術の要旨に移ると、コンテキストスイッチは、マシン内で動作するタスク（たとえば、スレッド等のプロセス）の状態を格納するソフトウェア・プロセスであり、タスクを復旧させることができ、実行は、後に同じポイントから再開されるようになる。コンテキストスイッチは、複数のプロセッサによる単一の中央演算処理装置（ＣＰＵ）の共有を可能にするため、マルチタスク・オペレーティング・システムの不可欠な機能である。コンテキストスイッチは当然ながら、関連するコスト処理オーバヘッドを有する。

ここで、本発明の態様の要旨に移ると、本発明の１つまたは複数の実施形態は、セキュア・ドメインの実行に際して付加的なセキュリティを提供するためにソフトウェアとハードウェアとの間のコンテキストスイッチを必要としない、セキュア・インターフェース・コントロールの効率的かつ軽量の通信インターフェースを提供することによって、技術的課題に対処する。通信インターフェースは特に、セキュア・インターフェース・コントロール機能の呼び出しにハードウェアを利用する。１つまたは複数の実施形態の技術的効果および利益として、コンテキストスイッチおよび関連する処理オーバヘッドの必要がなくなる。

ホスト・ハイパーバイザ（たとえば、非信頼エンティティ）の制御下でゲストとして動作する仮想マシン（ＶＭ）は、当該ゲストの仮想化サービスを透過的に提供するため、当該ハイパーバイザに依拠する。これらのサービスは、セキュア・エンティティと、別の非信頼エンティティとの間で、従来からこの他方のエンティティによるセキュア・リソースへのアクセスを可能にする任意のインターフェースに適用され得る。前述の通り、これらのサービスとしては、メモリ管理、命令エミュレーション、および中断処理が挙げられるが、これらに限定されない。たとえば、中断および例外インジェクションの場合、ハイパーバイザは通常、ゲストのプレフィックス・エリア（ローコア）に対する読み出しまたは書き込み、あるいはその両方を行う。本明細書において、用語「仮想マシン（VM:virtual machine）」は、物理マシン（コンピュータ機器、プロセッサ等）およびその処理環境（オペレーティング・システム（ＯＳ）、ソフトウェア・リソース等）の論理的表現を表す。ＶＭは、下層のホスト・マシン（物理的なプロセッサまたはプロセッサ集合）上で実行されるソフトウェアとして維持される。ユーザまたはソフトウェア・リソースの観点から、ＶＭは、それ自体の独立した物理マシンに見える。本明細書において、用語「ハイパーバイザ（hypervisor）」および「ＶＭモニタ（VMM:VM Monitor）」は、同じホスト・マシン上の複数の（および、場合により異なる）ＯＳを用いた複数のＶＭの実行を管理・許可する処理環境またはプラットフォーム・サービスを表す。ＶＭの展開には、ＶＭの導入プロセスおよびＶＭの起動（または、開始）プロセスが含まれることを理解されたい。別の例において、ＶＭの展開には、ＶＭの起動（または、開始）プロセスが含まれる（たとえば、ＶＭが過去に導入されて既に存在する場合）。

セキュア・ゲスト（たとえば、セキュア・エンティティ）の容易化およびサポートには技術的課題が存在し、ハイパーバイザがＶＭからのデータにアクセスできず、それにより上記のようなサービスを提供できなくなるように、ハイパーバイザへの依拠なく、ハイパーバイザとセキュア・ゲストとの間にセキュリティを追加する必要がある。

本明細書に記載のセキュア実行は、セキュア・ストレージと非セキュア・ストレージとの間のほか、異なるセキュア・ユーザに属するセキュア・ストレージ間の隔離を保証するハードウェア・メカニズムを提供する。セキュア・ゲストの場合は、「非信頼」非セキュア・ハイパーバイザとセキュア・ゲストとの間にセキュリティが追加される。このため、ゲストに代わってハイパーバイザが通常実行する機能の多くをマシンに組み込む必要がある。本明細書においては、ハイパーバイザとセキュア・ゲストとの間のセキュア・インターフェースを提供する新たなセキュア・インターフェース・コントロール（本明細書においては、「ＵＶ」とも称する）について説明する。本明細書においては、セキュア・インターフェース・コントロールおよびＵＶという用語を区別なく使用している。セキュア・インターフェース・コントロールは、ハードウェアとの協働によって、この付加的なセキュリティを提供する。また、下位レベル・ハイパーバイザがこの非信頼ハイパーバイザの仮想化を提供していてもよく、この下位レベル・ハイパーバイザは、信頼コードで実装された場合、セキュア・インターフェース・コントロールの一部にもなり得る。

一例において、セキュア・インターフェース・コントロールは、内部のセキュアな信頼ハードウェアまたはファームウェア、あるいはその両方により実装される。セキュア・ゲストまたはエンティティの場合、セキュア・インターフェース・コントロールは、セキュア環境の初期化および保守のほか、ハードウェア上のこれらセキュア・エンティティのディスパッチの調整を提供する。セキュア・ゲストは、能動的にデータを使用し、ホスト・ストレージに存在する場合、セキュア・ストレージにおいて「信用（in the clear）」に保たれる。セキュア・ゲスト・ストレージは、単一のセキュア・ゲストによりアクセス可能であり、このことは、ハードウェアによって厳密に強制される。すなわち、ハードウェアは、当該データに対する如何なる非セキュア・エンティティ（ハイパーバイザまたは他の非セキュア・ゲストを含む）のアクセスも、異なるセキュア・ゲストのアクセスも防止する。この例において、セキュア・インターフェース・コントロールは、最下位レベルのファームウェアの信頼された部分として動作する。最下位レベルすなわちミリコードは、実際のところ、ハードウェアの拡張であり、たとえばＩＢＭ（登録商標）のｚＡａｒｃｈｉｔｅｃｔｕｒｅ（登録商標）に規定された複雑な命令および機能の実装に用いられる。ミリコードは、ストレージのすべての部分にアクセス可能であり、ストレージは、セキュア実行に関しては、それ自体のセキュアＵＶストレージ、非セキュア・ハイパーバイザ・ストレージ、セキュア・ゲスト・ストレージおよび共有ストレージを含む。これにより、セキュア・ゲストまたは当該ゲストをサポートするハイパーバイザが必要とする任意の機能を提供可能である。また、セキュア・インターフェース・コントロールは、ハードウェアに直接アクセス可能であって、これにより、ハードウェアは、セキュア・インターフェース・コントロールにより確立された条件の制御下でセキュリティ確認を効率的に提供可能となる。

本発明の１つまたは複数の実施形態によれば、ソフトウェアは、ＵＶ Ｃａｌｌ（ＵＶＣ）命令を使用して、特定の動作の実行をセキュア・インターフェース・コントロールに要求する。たとえば、ハイパーバイザによるＵＶＣ命令の使用によって、セキュア・インターフェース・コントロールの初期化、セキュア・ゲスト・ドメイン（たとえば、セキュア・ゲスト設定）の生成、および当該セキュア設定内の仮想ＣＰＵの生成が可能となる。また、ハイパーバイザのページインまたはページアウト動作の一部としてのセキュア・ゲスト・ページのインポート（復号およびセキュア・ゲスト・ドメインへの割り当て）およびエクスポート（暗号化およびホストのアクセス許可）にも使用可能である。また、セキュア・ゲストは、ハイパーバイザと共有されるストレージの規定、セキュア・ストレージの共有、およびセキュア・ストレージの保護が可能である。

ここで図１を参照して、この図は、本発明の１つまたは複数の実施形態に係る、ゾーン・セキュリティのテーブル１００を大略示している。図１に示すゾーン・セキュリティ・テーブル１００は、セキュア・インターフェース・コントロールにより維持されるとともに、セキュア・インターフェース・コントロールおよびハードウェアによる使用によって、セキュア・エンティティがアクセスする任意のページへのセキュア・アクセスを保証する。ゾーン・セキュリティ・テーブル１００は、ホスト絶対アドレスによるインデックス１１０がなされている。すなわち、ホスト絶対ストレージのページごとに１つのエントリが存在する。各エントリは、アクセスするセキュア・エンティティに当該エントリが属することの確認に用いられる情報を含む。

さらに、図１に示すように、ゾーン・セキュリティ・テーブル１００は、セキュア・ドメインＩＤ１２０（このページと関連付けられたセキュア・ドメインを識別する）、ＵＶビット１３０（このページがセキュア・インターフェース・コントロールに提供され、セキュア・インターフェース・コントロールに所有されていることを示す）、無効アドレス比較（ＤＡ））ビット１４０（ホスト絶対として規定されたセキュア・インターフェース・コントロール・ページが関連するホスト仮想アドレスを持たない場合等の特定の状況において、ホストアドレス対比較の無効化に使用される）、共有（ＳＨ）ビット１５０（当該ページが非セキュア・ハイパーバイザと共有されることを示す）、およびホスト仮想アドレス１６０（このホスト絶対アドレスに対して登録されたホスト仮想アドレスを示す（ホストアドレス対と称する））を含む。なお、ホストアドレス対は、ホスト絶対アドレス－関連する登録されたホスト仮想アドレスを示す。ホストアドレス対は、このページのマッピングを表しており、ハイパーバイザによりインポートされた場合に、その比較によって、ゲストによる使用中はホストによる当該ページの再マッピングを行わないようにする。

仮想ストレージの実ストレージへのマッピングには、動的アドレス変換（ＤＡＴ）が用いられる。ゲストＶＭがハイパーバイザの制御下でページング可能なゲストとして動作している場合、ゲストは、ＤＡＴを使用して、そのメモリに存在するページを管理する。また、ホストは、ゲスト・ページがそのメモリに存在する場合、独立してＤＡＴを使用することにより、これらのページを（それ自体のページと併せて）管理する。ハイパーバイザは、ＤＡＴを用いて、異なるＶＭ間のストレージの隔離または共有、あるいはその両方を提供するほか、ハイパーバイザ・ストレージへのゲスト・アクセスを防止する。ハイパーバイザは、ゲストが非セキュア・モードで動作している場合、すべてのゲスト・ストレージにアクセス可能である。

ＤＡＴは、共通リソースの共有は許可しつつ、あるアプリケーションを別のアプリケーションから隔離可能である。また、ＶＭの実装も可能にするが、これは、アプリケーション・プログラムの同時処理と併せて、新バージョンのＯＳの設計およびテストに用いられるようになっていてもよい。仮想アドレスは、仮想ストレージ中の場所を識別する。アドレス空間は、連続した一連の仮想アドレスであって、ストレージ中のバイト位置で識別される関連する絶対アドレスへの各仮想アドレスの変換を可能にする特定の変換パラメータ（ＤＡＴテーブルを含む）を伴う。

ＤＡＴでは、マルチテーブル検索を使用して、仮想アドレスを関連する絶対アドレスに変換する。このテーブル構造は通常、ストレージ・マネージャにより規定・維持される。このストレージ・マネージャは、たとえば１ページのページアウトにより別のページを取り込むことによって、複数のプログラム間で絶対ストレージを透過的に共有する。ページのページアウトに際して、ストレージ・マネージャは、たとえば関連するページ・テーブルに無効ビットを設定することになる。ページアウトされたページにプログラムがアクセスを試みる場合、ハードウェアは、プログラム中断（ページ・フォールトと称することが多い）をストレージ・マネージャに提示することになる。これに応答して、ストレージ・マネージャは、要求されたページをページインし、無効ビットをリセットすることになる。これらはすべて、プログラムに対して透過的となるため、ストレージ・マネージャは、ストレージを仮想化して、種々異なるユーザ間で共有可能となる。

仮想アドレスは、主ストレージへのアクセスのためにＣＰＵが使用している場合、最初にＤＡＴによって実アドレスへと変換された後、プレフィクシングによって絶対アドレスへと変換される。特定のアドレス空間に関する最高レベルのテーブルの指定（起点および長さ）は、アドレス空間制御要素（ＡＳＣＥ）と呼ばれ、関連するアドレス空間を規定する。

ここで図２を参照して、この図は、本発明の１つまたは複数の実施形態に係る、ＤＡＴを実行するための例示的な仮想アドレス空間２０２および２０４ならびに絶対アドレス空間２０６を大略示している。図２に示す例においては、（アドレス空間制御要素（ＡＳＣＥ）Ａ２０８により規定された）仮想アドレス空間２０２および（ＡＳＣＥ Ｂ２１０により規定された）仮想アドレス空間２０４という２つの仮想アドレス空間が存在する。ストレージ・マネージャがマルチテーブル検索（セグメント２３０およびページ・テーブル２３２ａ、２３２ｂ）においてＡＳＣＥ Ａ２０８を使用することにより、仮想ページＡ１．Ｖ２１２ａ１、Ａ２．Ｖ２１２ａ２、およびＡ３．Ｖ２１２ａ３が絶対ページＡ１．Ａ２２０ａ１、Ａ２．Ａ２２０ａ２、およびＡ３．Ａ２２０ａ３へとマッピングされる。同様に、２テーブル（２３４および２３６）検索においてＡＳＣＥ Ｂ２１０を使用することにより、仮想ページＢ１．Ｖ２１４ｂ１およびＢ２．Ｖ２１４ｂ２がそれぞれ絶対ページＢ１．Ａ２２２ｂ１およびＢ２．Ａ２２２ｂ２へとマッピングされる。

ここで図３を参照して、この図は、本発明の１つまたは複数の実施形態に係る、ハイパーバイザの下で動作するＶＭのサポートに用いられるネスト状マルチパートＤＡＴ変換の一例を大略示している。図３に示す例においては、（ゲストＡＳＣＥ（ＧＡＳＣＥ）Ａ３０４により規定された）ゲストＡ仮想アドレス空間Ａ３０２および（ＧＡＳＣＥ Ｂ３０８により規定された）ゲストＢ仮想アドレス空間Ｂ３０６の両者が共有ホスト（ハイパーバイザ）の仮想アドレス空間３２５に存在する。図示のように、ゲストＡストレージ・マネージャがＧＡＳＣＥ Ａ３０４を使用することにより、ゲストＡに属する仮想ページＡ１．ＧＶ ３１０ａ１、Ａ２．ＧＶ ３１０ａ２、およびＡ３．ＧＶ ３１０ａ３がそれぞれゲスト絶対ページＡ１．ＨＶ ３４０ａ１、Ａ２．ＨＶ ３４０ａ２、およびＡ３．ＨＶ ３４０ａ３へとマッピングされ、ゲストＢストレージ・マネージャがＧＡＳＣＥ Ｂ３０８を使用することにより、ゲストＢに属する仮想ページＢ１．ＧＶ ３２０ｂ１およびＢ２．ＧＶ ３２０ｂ２がそれぞれ独立してゲスト絶対ページＢ１．ＨＶ ３６０ｂ１およびＢ２．ＨＶ ３６０ｂ２へとマッピングされる。この例において、これらのゲスト絶対ページは、共有ホスト仮想アドレス空間３２５に直接マッピングされた後、付加的なホストＤＡＴ変換によって、ホスト絶対アドレス空間３３０にマッピングされる。図示のように、ホスト・ストレージ・マネージャがホストＡＳＣＥ（ＨＡＳＣＥ）３５０を使用することにより、ホスト仮想アドレスＡ１．ＨＶ ３４０ａ１、Ａ３．ＨＶ３４０ａ３、およびＢ１．ＨＶ３６０ｂ１がＡ１．ＨＡ ３７０ａ１、Ａ３．ＨＡ ３７０ａ３、およびＢ１．ＨＡ ３７０ｂ１にマッピングされる。ゲストＡに属するホスト仮想アドレスＡ２．ＨＶ ３４０ａ２およびゲストＢに属するＢ２．ＨＶ ３６０ｂ２の両者は、同じホスト絶対ページＡＢ２．ＨＡ ３８０にマッピングされる。これにより、２つのゲスト間でデータを共有可能となる。ゲストＤＡＴ変換中、ゲスト・テーブル・アドレスはそれぞれ、ゲスト絶対として処理され、付加的なネスト状ホストＤＡＴ変換を受ける。

本明細書に記載の本発明の実施形態は、セキュア・ゲストおよびＵＶストレージ保護を提供する。非セキュア・ゲストおよびハイパーバイザによるセキュア・ストレージへのアクセスが禁止される。ハイパーバイザは、所与の内在するセキュア・ゲスト・ページに対して、以下を提供する。関連するホスト絶対アドレスは、単一のハイパーバイザ（ホスト）ＤＡＴマッピングによってのみアクセス可能である。すなわち、セキュア・ゲストに割り当てられた任意の所与のホスト絶対アドレスに対して、単一のホスト仮想アドレスがマッピングされる。また、所与のセキュア・ゲスト・ページと関連付けられたハイパーバイザＤＡＴマッピング（ホスト仮想－ホスト絶対）は、ページインの間は変化しない。セキュア・ゲスト・ページと関連付けられたホスト絶対ページは、単一のセキュア・ゲストに対してマッピングされる。

また、本発明の１つまたは複数の実施形態によれば、セキュア・ゲスト間のストレージの共有も禁止される。ストレージは、単一のセキュア・ゲストの制御の下、当該セキュア・ゲストとハイパーバイザとの間で共有される。ＵＶストレージは、セキュア・ストレージであり、セキュア・インターフェース・コントロールによるアクセスが可能である一方、ゲスト／ホストはアクセス不可能である。ストレージは、ハイパーバイザによってセキュア・インターフェース・コントロールに割り当てられる。本発明の１つまたは複数の実施形態によれば、これらのルールに対する如何なる違反未遂も、ハードウェアおよびセキュア・インターフェース・コントロールにより禁止されている。

ここで図４を参照して、この図は、本発明の１つまたは複数の実施形態に係る、セキュア・ゲスト・ストレージのマッピングの一例を大略示している。図４の例は、セキュア・ゲストＡとセキュア・ゲストＢとの間のストレージの共有を許可しない点を除いて、図３に類似する。図３の非セキュアな例では、ゲストＡに属するホスト仮想アドレスＡ２．ＨＶ ３４０ａ２およびゲストＢに属するＢ２．ＨＶ ３６０ｂ２の両者が同じホスト絶対ページＡＢ２．ＨＡ ３８０にマッピングされる。図４のセキュア・ゲスト・ストレージの例では、ゲストＡに属するホスト仮想アドレスＡ２．ＨＶ ３４０ａ２がホスト絶対アドレスＡ２．ＨＡ ４９０ａにマッピングされる一方、ゲストＢに属するＢ２．ＨＶ ３６０ｂ２がそれ自体のＢ２．ＨＡ ４９０ｂにマッピングされる。この例においては、セキュア・ゲスト間の共有が存在しない。

セキュア・ゲスト・ページは、ディスク上に存在する間、暗号化されている。ハイパーバイザは、セキュア・ゲスト・ページをページインすると、ＵＶ Ｃａｌｌ（ＵＶＣ）を発行するが、これによりセキュア・インターフェース・コントロールが当該ページを（共有されていなければ）セキュアとしてマーキングし、（共有されていなければ）復号し、適当なセキュア・ゲスト（たとえば、ゲストＡ）に属するものとして（ゾーン・セキュリティ・テーブルに）登録する。また、セキュア・インターフェース・コントロールは、関連するホスト仮想アドレス（たとえば、Ａ３．ＨＶ ３４０ａ３）を当該ホスト絶対ページ（ホストアドレス対と称する）に登録する。ハイパーバイザは、正しいＵＶＣを発行できない場合、セキュア・ゲスト・ページにアクセスしようとした場合に例外を受信する。ハイパーバイザがゲスト・ページをページアウトすると、ゲスト・ページを非セキュアとしてゾーン・セキュリティ・テーブルに登録する前に、ゲスト・ページを暗号化した類似のＵＶＣが（共有されていなければ）発行される。

所与の５つのホスト絶対ページＫ、Ｐ、Ｌ、Ｍ、およびＮを有する一例においては、ハイパーバイザがページインした場合に、セキュア・インターフェース・コントロールによってホスト絶対ページがそれぞれセキュアとしてマーキングされる。これにより、非セキュア・ゲストおよびハイパーバイザのアクセスを防止する。ホスト絶対ページＫ、Ｐ、およびＭは、ハイパーバイザがページインした場合に、ゲストＡに属するものとして登録され、ホスト絶対ページＬおよびＮは、ハイパーバイザがページインした場合に、ゲストＢに属するものとして登録される。共有ページ（単一のセキュア・ゲストとハイパーバイザとの間で共有されたページ）は、ページング中に暗号化も復号もされない。これらは、セキュアとしてマーキングされない（ハイパーバイザによるアクセスを許可する）が、ゾーン・セキュリティ・テーブル中に単一のセキュア・ゲスト・ドメインで登録される。

本発明の１つまたは複数の実施形態によれば、セキュア・ゲストが所有するページに非セキュア・ゲストまたはハイパーバイザがアクセスしようとする場合、ハイパーバイザは、セキュア・ストレージ・アクセス（ＰＩＣ３Ｄ）の例外を受信する。この決定のために変換ステップを追加する必要はない。

１つまたは複数の実施形態によれば、セキュア・エンティティがページにアクセスしようとする場合、ハードウェアは、ストレージが実際に当該特定のセキュア・ゲストに属することを確認する付加的な変換確認を実行する。属さない場合は、非セキュア・アクセス（ＰＩＣ３Ｅ）の例外がハイパーバイザに提示される。また、変換対象のホスト仮想アドレスがゾーン・セキュリティ・テーブルに登録されたホストアドレス対からのホスト仮想アドレスに一致しない場合は、セキュア・ストレージ違反（「３Ｆ」Ｘ）の例外が認識される。ハイパーバイザとの共有を可能にするため、変換確認によりアクセスが可能である限りは、セキュアとしてマーキングされていないストレージにセキュア・ゲストがアクセスするようにしてもよい。

ここで図５を参照して、この図は、本発明の１つまたは複数の実施形態に係る、ＤＡＴ動作のシステム概要５００を大略示している。システム概要５００は、ホスト一次仮想アドレス空間５１０およびホスト・ホーム仮想アドレス空間５２０を含み、そこからページがハイパーバイザ（ホスト）絶対アドレス空間５３０へと変換される（たとえば、ホストＤＡＴ変換５２５参照（なお、点線は、ＤＡＴ変換５２５によるマッピングを表す））。たとえば、図５は、２つの異なるホスト仮想アドレス空間によるホスト絶対ストレージの共有および２つのゲスト間のみならず、ホスト自体との上記ホスト仮想アドレスのうちの１つの共有を示している。これに関して、ホスト一次仮想アドレス空間５１０およびホスト・ホーム仮想アドレス空間５２０は、２つのホスト仮想アドレス空間の例であり、それぞれが別個のＡＳＣＥ（ホスト一次ＡＳＣＥ（ＨＰＡＳＣＥ）５９１およびホスト・ホームＡＳＣＥ（ＨＨＡＳＣＥ）５９２）によりアドレス指定される。なお、すべてのセキュア・インターフェース・コントロール・ストレージ（仮想および実の両者）がハイパーバイザにより提供され、セキュアとしてマーキングされる。提供されたセキュア・インターフェース・コントロール・ストレージは、関連するセキュア・エンティティが存在する限り、セキュア・インターフェース・コントロールのみがアクセス可能である。

図示のように、ホスト一次仮想アドレス空間５１０は、ゲストＡ絶対ページＡ１．ＨＶ、ゲストＡ絶対ページＡ２．ＨＶ、ゲストＢ絶対ページＢ１．ＨＶ、およびホスト仮想ページＨ３．ＨＶを含む。ホスト・ホーム仮想アドレス空間５２０は、セキュア・インターフェース・コントロール仮想ページＵ１．ＨＶ、ホスト仮想ページＨ１．ＨＶ、およびホスト仮想ページＨ２．ＨＶを含む。

本発明の１つまたは複数の実施形態によれば、すべてのセキュア・ゲスト（たとえば、セキュア・ゲストＡおよびセキュア・ゲストＢ）ストレージがセキュア・ゲスト設定に属するものとして、本明細書に記載のゾーン・セキュリティ・テーブルに登録され、また、関連するホスト仮想アドレス（たとえば、Ａ１．ＨＶ、Ａ２．ＨＶ、Ｂ１．ＨＶ）がホストアドレス対の一部として登録される。１つまたは複数の実施形態においては、すべてのセキュア・ゲスト・ストレージがホスト一次仮想空間においてマッピングされる。また、すべてのセキュア・インターフェース・コントロール・ストレージがセキュア・インターフェース・コントロールに属するものとして、ゾーン・セキュリティ・テーブルに登録されるとともに、関連するセキュア・ゲスト・ドメインに基づいてゾーン・セキュリティ・テーブルでさらに区別されていてもよい。本発明の１つまたは複数の実施形態によれば、ＵＶ仮想ストレージがホスト・ホーム仮想空間においてマッピングされ、関連するホスト仮想アドレスがホストアドレス対の一部として登録される。１つまたは複数の実施形態によれば、ＵＶ実ストレージは関連するホスト仮想マッピングを有さず、これを示すように、（仮想アドレス比較が無効であることを示す）ゾーン・セキュリティ・テーブル中のＤＡビットが設定される。ホスト・ストレージは非セキュアとしてマーキングされ、また、非セキュアとしてゾーン・セキュリティ・テーブルに登録される。

このように、「ゲスト絶対＝ホスト仮想」の場合、（ＨＰＡＳＣＥ５９１により規定された）ハイパーバイザ（ホスト）一次ＤＡＴテーブルは、ホスト一次仮想アドレス空間５１０のページを以下のように変換する。ゲストＡ絶対ページＡ１．ＨＶは、セキュア・ゲストＡに属するホスト絶対Ａ１．ＨＶにマッピングされ、ゲストＡ絶対ページＡ２．ＨＶは、セキュア・ゲストＡに属するホスト絶対Ａ２．ＨＡにマッピングされ、ゲストＢ絶対ページＢ１．ＨＶは、セキュア・ゲストＢに属するホスト絶対Ｂ１．ＨＡにマッピングされ、ホスト仮想ページＨ３．ＨＶは、ホスト絶対ページＨ３．ＨＡ（非セキュアホスト）にマッピングされる（非セキュアであるため、ホストアドレス対は存在しない）。さらに、（ＨＨＡＳＣＥ５９２により規定された）ハイパーバイザ（ホスト）ホームＤＡＴテーブルは、ホスト・ホーム仮想アドレス空間５２０のページを以下のように変換する。セキュア・インターフェース・コントロール仮想ページＵ１．ＨＶは、セキュアＵＶ仮想として規定されたホスト絶対ページＵ１．ＨＡにマッピングされ、ホスト仮想ページＨ１．ＨＶは、非セキュアとして規定されたホスト絶対ページＨ１．ＨＡにマッピングされ、ホスト仮想ページＨ２．ＨＶは、非セキュアとして規定されたホスト絶対ページＨ２．ＨＡにマッピングされる。非セキュアであるため、Ｈ１．ＨＡまたはＨ２．ＨＡと関連付けられたホストアドレス対は存在しない。

動作時、セキュア・インターフェース・コントロールに割り当てられたセキュア・ページにセキュア・ゲストがアクセスしようとする場合は、ハードウェアによって、セキュア－ストレージ違反（「３Ｆ」Ｘ）の例外がハイパーバイザに提示される。任意のセキュア・ページ（セキュア・インターフェース・コントロールに割り当てられたセキュア・ページを含む）に非セキュア・ゲストまたはハイパーバイザがアクセスしようとする場合は、ハードウェアによって、セキュア－ストレージ・アクセス（「３Ｄ」Ｘ）の例外がハイパーバイザに提示される。あるいは、セキュア・インターフェース・コントロール空間に対するアクセス未遂について、エラー条件が提示され得る。セキュア・インターフェース・コントロール・アクセス上のセキュア割り当ての不一致をハードウェアが検出した場合（たとえば、ストレージがセキュア・インターフェース・コントロールではなくセキュア・ゲストに属するものとしてゾーン・セキュリティ・テーブルに登録された場合または登録対と併用されるホストアドレス対の不一致が存在する場合）は、確認が提示される。

言い換えると、ホスト一次仮想アドレス空間５１０は、（セキュア・ゲストＡに属する）ホスト仮想ページＡ１．ＨＶおよびＡ２．ＨＶならびに（セキュア・ゲストＢに属する）Ｂ１．ＨＶを含み、これらがホスト絶対Ａ１．ＨＡ、Ａ２．ＨＡ、およびＢ１．ＨＡにそれぞれマッピングされる。また、ホスト一次仮想アドレス空間５１０は、ホスト絶対Ｈ３．ＨＡにマッピングされるホスト（ハイパーバイザ）ページＨ３．ＨＶを含む。ホスト・ホーム仮想空間５２０は、２つのホスト仮想ページＨ１．ＨＶおよびＨ２．ＨＶを含み、これらがホスト絶対ページＨ１．ＨＡおよびＨ２．ＨＡにマッピングされる。ホスト一次仮想アドレス空間５１０およびホスト・ホーム仮想アドレス空間５２０の両者は、単一のホスト絶対５３０にマッピングされる。セキュア・ゲストＡおよびセキュア・ゲストＢに属するストレージ・ページは、セキュアとしてマーキングされ、それぞれのセキュア・ドメインおよび関連するホスト仮想アドレスとともに、図１に示すゾーン・セキュリティ・テーブル１００に登録される。一方、ホスト・ストレージは、非セキュアとしてマーキングされる。ハイパーバイザは、セキュア・ゲストを規定している際、ホスト・ストレージをセキュア・インターフェース・コントロールに提供して、これらのセキュア・ゲストのサポートに要するセキュア・コントロール・ブロックに使用する必要がある。このストレージは、ホスト絶対空間またはホスト仮想空間において規定可能であり、一例においては具体的に、ホスト・ホーム仮想空間において規定可能である。図５を再び参照して、ホスト絶対ページＵ１．ＨＡおよびＵ２．ＨＡの（セキュアＵＶ絶対）は、ホスト絶対ストレージとして規定されたセキュア・インターフェース・コントロール・ストレージである。結果として、これらのページは、セキュアとしてマーキングされ、セキュア・インターフェース・コントロールおよび関連するセキュア・ドメインに属するものとして、図１に示すゾーン・セキュリティ・テーブル１００に登録される。これらのページがホスト絶対アドレスとして規定されていることから、関連するホスト仮想アドレスは存在せず、ゾーン・セキュリティ・テーブル１００においてＤＡビットが設定される。

変換後のハイパーバイザ（ホスト）絶対アドレス空間５３０の一例を図６に示す。図６は、本発明の１つまたは複数の実施形態に係る、セキュア・インターフェース・コントロール・メモリに関するシステム概要６００を示している。システム概要６００は、ホスト絶対ページＡ２．ＨＡセキュア・ゲストＡ（Ａ２．ＨＶ用）、ホスト絶対ページＢ１．ＨＡセキュア・ゲストＢ（Ｂ１．ＨＶ用）、ホスト絶対ページＨ１．ＨＡ非セキュア（ホスト）、ホスト絶対ページＨ２．ＨＡ非セキュア（ホスト）、ホスト絶対ページＵ３．ＨＡセキュアＵＶ実（ＨＶマッピングなし）、ホスト絶対ページＵ１．ＨＡセキュアＵＶ仮想（Ｕ１．ＨＶ用）、およびホスト絶対ページＡ１．ＨＡセキュア・ゲストＡ（Ａ１．ＨＶ用）を含むハイパーバイザ（ホスト）絶対アドレス空間６３０を示している。

ここで図７を参照して、この図は、本発明の１つまたは複数の実施形態に係る、インポート動作のプロセス・フロー７００を大略示している。ハイパーバイザがページアウトしたページにセキュア・ゲストがアクセスする場合は、プロセス・フロー７００に示すような一連のイベントが発生して、当該ページをセキュアにページインする。プロセス・フロー７００は、ブロック７０５で開始となり、セキュア・ゲストがゲスト仮想ページにアクセスする。たとえばページが無効であることから、ハードウェアは、プログラム中断コード１１（ＰＩＣ１１）が示すホスト・ページ・フォールトをハイパーバイザに提示する（ブロック７１５参照）。ハイパーバイザはこれを受けて、このゲスト・ページに対する利用可能な非セキュア・ホスト絶対ページを識別し（ブロック７２０参照）、暗号化されたゲスト・ページを識別したホスト絶対ページにページインする（ブロック７２５参照）。

その後、ブロック７３０において、ホスト絶対ページは、適当な（ホスト仮想アドレスに基づく）ホストＤＡＴテーブルにおいてマッピングされる。その後、ブロック７３５において、ハイパーバイザ（ホスト）は、セキュア・ゲストを再ディスパッチする。ブロック７４０において、セキュア・ゲストは、ゲスト・セキュア・ページに再アクセスする。ページ・フォールトはもはや存在しないものの、これがセキュア・ゲスト・アクセスであり、図１のゾーン・セキュリティ・テーブル１００においてページがセキュアとしてマーキングされていないことから、ハードウェアは、ブロック７４５において、非セキュア・ストレージの例外（ＰＩＣ３Ｅ）をハイパーバイザに提示する。このＰＩＣ３Ｅは、必要なインポートが発行されるまで、このセキュア・ページへのゲストのアクセスを防止する。次に、プロセス・フロー７００は、図８につながる「Ａ」へと進む。

ここで図８を参照して、この図は、本発明の１つまたは複数の実施形態に係る、インポート動作を実行するためのプロセス・フロー８００を大略示している。ＰＩＣ３Ｅに応じて、正常に動作する（たとえば、エラーなく期待通りに動作する）ハイパーバイザがインポートＵＶＣを発行することになる（ブロック８０５参照）。なお、この時点では、インポート対象のページが非セキュアとしてマーキングされ、ハイパーバイザ、他の非セキュア・エンティティ、およびセキュア・インターフェース・コントロールのみがアクセス可能である。セキュア・ゲストによるアクセスは不可能である。

インポートＵＶＣの一部として、セキュア・インターフェース・コントロールとして作用する信頼ファームウェアは、このページがセキュア・インターフェース・コントロールによって既にロックされているかを確認する（判定ブロック８１０参照）。ロックされている場合、プロセス・フロー８００は、ブロック８２０に進む。ブロック８２０においては、「ビジー」リターン・コードがハイパーバイザに返される。ハイパーバイザは、これに応答して遅延し（ブロック８２５参照）、インポートＵＶＣを再発行する（プロセス・フロー８００は、ブロック８０５に戻る）。ページが未だロックされていない場合、プロセス・フロー８００は、判定ブロック８２２に進む。

判定ブロック８２２において、セキュア・インターフェース・コントロールは、当該ページが非セキュア・ハイパーバイザと共有されたページであるかを確認する。共有されている場合（プロセス・フロー８００が判定ブロック８２４に進む場合）、セキュア・インターフェース・コントロールは、関連するセキュア・ゲスト・ドメイン、ホスト仮想アドレスとともに共有されたものとして、ホスト絶対アドレスをゾーン・セキュリティ・テーブルに登録する。このページは、非セキュアとしてマーキングされた状態を維持する。これによりインポートＵＶＣは完了となって、当該ページは、ゲストによるアクセスに利用可能となる。この処理は、ハイパーバイザによるゲストの再ディスパッチ（ブロック８３０）およびセキュア・ゲストのページ・アクセスの成功（ブロック８３５）と続く。

インポート対象のホスト仮想ページがハイパーバイザと共有されていない場合（プロセス・フロー８００がブロック８４０に進む場合）は、セキュア・インターフェース・コントロールがページをセキュアとしてマーキングすることになるため、ハイパーバイザは、当該ページにアクセスできなくなる。ブロック８４５においては、セキュア・インターフェース・コントロールがページをロックするため、他のＵＶＣは、ページ・ステータスを修正不可能である。ロックが設定されると（ブロック８５０）、セキュア・インターフェース・コントロールは、ゲスト・ページのコンテンツが暗号化中に変化していないことを確認する。変化があった場合は、エラー・リターン・コードがハイパーバイザに返され、それ以外の場合は、セキュア・インターフェース・コントロールがセキュア・ページを復号することになる。

ブロック８５５において、セキュア・インターフェース・コントロールは、ページをロック解除して他のＵＶＣによるアクセスを可能にし、セキュアかつ適当なゲスト・ドメインおよびホスト仮想アドレスと関連付けられたものとしてページをゾーン・セキュリティ・テーブルに登録することによって、ホストアドレスＨＶ－ＨＡ対を完了する。これにより、ゲストによるアクセスが可能となって、ＵＶＣが完了する。

ここで図９を参照して、この図は、本発明の１つまたは複数の実施形態に係る、提供メモリ動作に関するプロセス・フロー９００を大略示している。プロセス・フロー９００は、ブロック９０５で開始となり、ハイパーバイザがセキュア・インターフェース・コントロールに対してクエリＵＶＣを発行する。ブロック９１０において、セキュア・インターフェース・コントロールは、データ（たとえば、クエリＵＶＣ）を返す。このデータには、基準ゾーン固有ホスト絶対ストレージ必要量、基準セキュア・ゲスト・ドメイン固有ホスト絶対ストレージ必要量、可変セキュア・ゲスト・ドメイン固有ホスト仮想ストレージ必要量／ＭＢ、または基準セキュア・ゲストＣＰＵ固有ホスト絶対ストレージ必要量、あるいはその組み合わせが含まれ得る。

ブロック９１５において、ハイパーバイザは、（たとえば、クエリＵＶＣにより返されたサイズに基づいて）基準ゾーン固有ホスト絶対ストレージを予約する。ブロック９２０において、ハイパーバイザは、初期化をセキュア・インターフェース・コントロールに発行する。これに関して、ハイパーバイザは、ゾーン全体のセキュア・ゲスト設定間で調整が必要なＵＶ制御ブロックに提供ストレージを与える初期化ＵＶＣを発行可能である。初期化ＵＶＣは、基準ゾーン固有ストレージ起点を指定する。

ブロック９２５において、セキュア・インターフェース・コントロールは、提供ストレージをＵＶに登録し、セキュアとしてマーキングすることにより初期化（たとえば、初期化ＵＶＣ）を実装する。この初期化ＵＶＣについて、セキュア・インターフェース・コントロールは、提供ストレージをセキュアとしてマーキングし、提供ストレージの一部をゾーン・セキュリティ・テーブルに対して割り当て、一意のセキュア・ドメインとともに（ただし、関連するセキュア・ゲスト・ドメインを伴わずに）関連するホスト仮想アドレス対を有さないものとして、ＵＶ使用のために提供ストレージをゾーン・セキュリティ・テーブルに登録することができる。

ブロック９３０において、ハイパーバイザは、ストレージ（たとえば、基準および可変セキュア・ゲスト・ドメイン固有ストレージ）を予約する。たとえば、ハイパーバイザは、（たとえば、クエリＵＶＣにより返されたセキュア・ゲスト・ドメイン・ストレージのサイズに基づいて）基準および可変セキュア・ゲスト・ドメイン固有ストレージを予約する。ブロック９３５において、ハイパーバイザは、生成設定をセキュア・インターフェース・コントロールに発行する。これに関して、ハイパーバイザは、基準および可変セキュア・ゲスト・ドメイン固有ストレージ起点を指定する生成セキュア・ゲスト設定ＵＶＣを発行可能である。さらに、生成セキュア・ゲスト設定ＵＶＣは、このセキュア・ゲスト設定をサポートする必要があるＵＶ制御ブロックに提供ストレージを与える。

ブロック９４０において、セキュア・インターフェース・コントロールは、生成設定（たとえば、生成セキュア・ゲスト設定ＵＶＣ）を実装する。生成セキュア・ゲスト設定ＵＶＣについて、セキュア・インターフェース・コントロールは、提供ストレージをセキュアとしてマーキングし、ＵＶ使用のために提供ストレージをゾーン・セキュリティ・テーブルに登録し、提供ストレージに関連するセキュア・ゲスト・ドメインを登録することができる。提供基準（ホスト絶対）ストレージは、関連するホスト仮想アドレス対を有さないものとして登録される。提供可変（ホスト仮想）ストレージには、関連するホスト仮想アドレス対が登録される。

ブロック９４５において、ハイパーバイザは、（たとえば、クエリＵＶにより返されたサイズ）基準セキュア・ゲストＣＰＵ固有ストレージを予約する。ブロック９５０において、ハイパーバイザは、ストレージ起点を指定する。たとえば、ハイパーバイザは、基準セキュア・ゲストＣＰＵ固有ストレージ起点を指定するＵＶ生成セキュア・ゲストＣＰＵに対して発行する。ブロック９５５において、セキュア・インターフェース・コントロールは、生成ＣＰＵ（たとえば、生成セキュア・ゲストＣＰＵ ＵＶＣ）を実装する。生成セキュア・ゲストＣＰＵ ＵＶＣについて、セキュア・インターフェース・コントロールは、提供ストレージをセキュアとしてマーキングし、関連するセキュア・ゲスト・ドメインを伴わずに関連するホスト仮想アドレス対を有さないものとして、ＵＶ使用のために提供ストレージをゾーン・セキュリティ・テーブルに登録することができる。

ここで図１０を参照して、この図は、本発明の１つまたは複数の実施形態に係る、セキュア・インターフェース・コントロールの非セキュア・ハイパーバイザ・ページのセキュア・ページへの遷移に関するプロセス・フロー１０００を大略示している。プロセス・フロー１０００においては、３つのハイパーバイザ・ページ（たとえば、非セキュア・ハイパーバイザ・ページＡ、非セキュア・ハイパーバイザ・ページＢ、および非セキュア・ハイパーバイザ・ページＣ）を示している。

ハイパーバイザ（非セキュア）ページＡ、Ｂ、およびＣは、非セキュア・エンティティ（ハイパーバイザを含む）によりアクセス可能である。さらに、ハイパーバイザ（非セキュア）ページＡ、Ｂ、およびＣは、非セキュア（ＮＳ）としてマーキングされるとともに、非セキュアおよび非共有としてゾーン・セキュリティ・テーブル（たとえば、図１に示すゾーン・セキュリティ・テーブル１００）に登録される。矢印１００５においては、初期化ＵＶＣが発行されるが、これは、ゾーン全体と関連付けられたセキュア・インターフェース・コントロール実ストレージ・ページ１０１０（ＵＶ２）へとゲスト・ページＡを遷移させる。セキュア・インターフェース・コントロール実ストレージ１０１０は、セキュアとしてマーキングされるとともに、セキュア・ゲスト・ドメインおよびハイパーバイザのホスト絶対へのマッピング（ＨＶ－ＨＡ）を伴わずに、ＵＶとしてゾーン・セキュリティ・テーブル（たとえば、図１に示すゾーン・セキュリティ・テーブル１００）に登録可能である。代替として、一意のＵＶ２セキュア・ドメインが登録されるとともに、ＤＡビットが１に設定される。なお、セキュア・インターフェース・コントロール実ストレージ１０１０は、現実として、セキュア・インターフェース・コントロールによりアクセス可能である。

ハイパーバイザ（非セキュア）ページＢからは、矢印１０２５において、生成ＳＧ設定または生成ＳＧ ＣＰＵ ＵＶＣが発行され、これによって、セキュア・ゲスト・ドメインと関連付けられたセキュア・インターフェース・コントロール実ストレージ１０３０（ＵＶＳ）へとページが遷移する。セキュア・インターフェース・コントロール実ストレージ１０３０は、セキュアとしてマーキングされるとともに、関連するセキュア・ゲスト・ドメインとともに（ハイパーバイザのホスト絶対へのマッピング（ＨＶ－ＨＡ）を伴わずに）ＵＶとしてゾーン・セキュリティ・テーブル（たとえば、図１に示すゾーン・セキュリティ・テーブル１００）に登録可能である（すなわち、ＤＡビット＝１）。なお、セキュア・インターフェース・コントロール実ストレージ１０１０は、セキュア・ゲスト・ドメインの代わりに、現実として、セキュア・インターフェース・コントロールによりアクセス可能である。

ハイパーバイザ（非セキュア）ページＣからは、矢印１０４５において、生成ＳＧ設定ＵＶＣが発行され、これによって、セキュア・ゲスト・ドメインと関連付けられたセキュア・インターフェース・コントロール仮想ストレージ１０５０（ＵＶＶ）へとページが遷移する。セキュア・インターフェース・コントロール仮想ストレージ１０５０は、セキュアとしてマーキングされるとともに、セキュア・ゲスト・ドメインおよびハイパーバイザのホスト絶対へのマッピング（ＨＶ－ＨＡ）を伴って、ＵＶとしてゾーン・セキュリティ・テーブル（たとえば、図１に示すゾーン・セキュリティ・テーブル１００）に登録可能である。なお、セキュア・インターフェース・コントロール仮想ストレージ１０５０は、セキュア・ゲスト・ドメインの代わりに、ＵＶ仮想としてアクセス可能である。

ここで図１１を参照して、この図は、１つまたは複数の実施形態に係る、プログラムまたはセキュア・インターフェース・コントロールによるセキュア・ストレージ・アクセスに関するプロセス・フロー１１００を示している。これは、セキュア・インターフェース・コントロールがゲスト・ストレージまたはセキュア・インターフェース・コントロール・ストレージにアクセスし、当該アクセスへの正しいタグ付けによって、ハードウェアによる当該アクセスのセキュリティの確認を可能にする必要がある状況を表す。１１００は、セキュア・インターフェース・コントロールによるこのストレージ・アクセスのタグ付けを表す。プロセス・フロー１１００は、ブロック１１１０で開始となり、セキュア・インターフェース・コントロールは、セキュア・インターフェース・コントロール・ストレージにアクセスしているかを判定する。

これがセキュア・インターフェース・コントロール・ストレージへのアクセスではない場合、プロセス・フロー１１００は、（「いいえ」の矢印で示すように）判定ブロック１１１２へと進む。判定ブロック１１１２において、セキュア・インターフェース・コントロールは、セキュア・ゲスト・ストレージにアクセスしているかを判定する。これがセキュア・ゲスト・ストレージへのアクセスではない場合、プロセス・フロー１１００は、（図１２のプロセス・フロー１２００につながる）「Ｂ」に進んで、非セキュア・アクセスのデフォルト設定が使用されることになる。これがセキュア・ゲスト・ストレージへのアクセスである場合、プロセス・フロー１１００は、判定ブロック１１１３に進んで、セキュア・インターフェース・コントロールは、デフォルトのセキュア・ゲスト・ドメインが使用されているかを判定する。使用されている場合、プロセス・フロー１１００は、（図１２のプロセス・フロー１２００につながる）「Ｂ」に進んで、セキュア・ゲスト・アクセスのデフォルト設定が用いられることになる。使用されていない場合、プロセス・フロー１１００は、ブロック１１１４に進む。ブロック１１１４においては、適当なセキュア・ゲスト・ドメインがＳＧセキュア・ドメイン・レジスタにロードされる（そして、図１２のプロセス・フロー１２００につながる「Ｂ」へと進む）。

これがセキュア・インターフェース・コントロール・ストレージへのアクセスである場合、プロセス・フロー１１００は、（「はい」の矢印で示すように）判定ブロック１１２０へと進む。ブロック１１２０においては、アクセスがセキュアＵＶとしてタグ付けされる（たとえば、ＵＶセキュア・ドメイン・レジスタを使用する）。

その後、プロセス・フロー１１００は、判定ブロック１１３０に進んで、セキュア・インターフェース・コントロールは、これがＵＶＶ空間へのアクセスであるかを判定する（たとえば、ＳＧ設定変数テーブル）。ＵＶＶ空間へのアクセスである場合、プロセス・フロー１１００は、（「はい」の矢印で示すように）ブロック１１３４へと進む。ブロック１１３４においては、アクセスが仮想としてタグ付けされる。ブロック１１３６においては、適用可能なセキュア・ゲスト・ドメインがＵＶセキュア・ドメイン・レジスタにロードされる。ブロック１１３８においては、ＤＡＴ変換およびストレージ・アクセスの開始の準備が整う。判定ブロック１１３０に戻り、これがＵＶＶ空間へのアクセスではない場合、プロセス・フロー１１００は、（「いいえ」の矢印で示すように）ブロック１１４０へと進む。ブロック１１４０においては、アクセスが実としてタグ付けされる。

判定ブロック１１５０において、セキュア・インターフェース・コントロールは、これがＵＶＳ空間へのアクセスであるかを判定する（たとえば、ＳＧ設定またはＣＰＵテーブル）。これがＵＶＳ空間へのアクセスである場合、プロセス・フロー１１００は、（「はい」の矢印で示すように）ブロック１１３６へと進む。これがＵＶＳ空間へのアクセスではない場合、プロセス・フロー１１００は、（「いいえ」の矢印で示すように）ブロック１１７０へと進む。その後、このアクセスは、ＵＶ２空間へのアクセスとなる（たとえば、ゾーン・セキュリティ・テーブル）。ブロック１１７０においては、一意のＵＶ２セキュア・ドメインがＵＶセキュア・ドメイン・レジスタにロードされる。

図１２は、本発明の１つまたは複数の実施形態に係る、プロセス・フロー１２００を示している。ゲストがディスパッチされた場合、ＳＩＥエントリ・ファームウェアは、ハードウェアに対して、ゲストが動作している（たとえば、ゲスト・モードがアクティブである）ことを示し得るとともに、ゲストがセキュアであるかを示し得る。ゲストがセキュアである場合は、関連するセキュア・ゲスト・ドメインをハードウェア（たとえば、ＳＧセキュア・ドメイン・レジスタ）にロード可能である。プログラムがストレージにアクセスしている場合、ハードウェアは、アクセス時点のプログラムの現在状態に基づいて、アクセスにタグ付け可能である。図１２は、このプロセスの一例をプロセス・フロー１２００にて示している。ブロック１２０５において、ハードウェアは、マシンが現在、ゲスト・モードで動作しているかを判定し、動作していない場合は、ブロック１２１０でホスト・アクセスであるものとして、ブロック１２１５で非セキュア・アクセスであるものとして、アクセスにタグ付け可能である。ブロック１２０５において、マシンがゲスト・モードで動作している場合は、ブロック１２２０でアクセスをゲスト・アクセスとしてタグ付け可能であり、さらにブロック１２２５において、現在のゲストがセキュア・ゲストであるかを判定する。ゲストがセキュアでない場合は、ブロック１２１５において、アクセスを非セキュアとしてタグ付け可能である。ゲストがセキュアである場合、ハードウェアは、ブロック１２３０において、ゲストにセキュアとしてタグ付け可能であり、これによって、セキュア・ゲストがディスパッチされた場合にロードされたＳＧセキュア・ドメイン・レジスタとセキュア・ゲストを関連付けることができる。ブロック１２３５においては、非セキュアおよびセキュア・ゲストの両者について、ＤＡＴステータスを確認可能である。ＤＡＴがオフの場合は、ブロック１２４０において、アクセスを現実としてタグ付け可能である。ＤＡＴがオンの場合は、ブロック１２４５において、アクセスを仮想としてタグ付け可能である。ＤＡＴがオフの場合にブロック１２４０でアクセスが実としてタグ付けされた場合またはＤＡＴがオンの場合にブロック１２４５でアクセスが仮想としてタグ付けされた場合、ハードウェアは、図１３においてさらに説明する通り、ブロック１２５０において、変換およびストレージ・アクセスの開始の準備が整う。

図１３は、本発明の１つまたは複数の実施形態に係る、プロセス・フロー１３００においてセキュアおよび非セキュアの両アクセスをサポートするようにハードウェアが実行する変換の一例を示している。ブロック１３０５において、ハードウェアは、アクセスがゲスト変換としてタグ付けされているかを判定する。ゲスト変換としてタグ付けされており、ブロック１３１０においてアクセスが仮想である場合は、ブロック１３１５においてゲストＤＡＴを実行可能である。ゲストＤＡＴ変換中は、ゲストＤＡＴテーブルに対するネスト状の中間フェッチが存在し得る。元の変換がセキュアとしてタグ付けされている場合は、ゲスト実かつセキュアとしてテーブル・フェッチをタグ付け可能である。また、テーブル・フェッチは、プロセス・フロー１３００の変換プロセスに従い得る。ブロック１３１５でゲスト仮想としてタグ付けされたアクセスおよびブロック１３１０でゲスト現実としてタグ付けされた（仮想＝「いいえ」）任意のアクセスに対してゲストＤＡＴが実行された後は、ブロック１３２０において、ゲスト・プレフィクシングおよびゲスト・メモリ・オフセットを適用可能である。ブロック１３２５において元のゲスト変換がセキュアとしてタグ付けされた場合は、ゲスト変換プロセスの完了時に、結果としてもたらされるアドレスをホスト仮想かつセキュアとしてタグ付け可能となる。プロセス１３００は、ホスト仮想としてタグ付けされた如何なるアクセスについても継続可能である。元のアクセスがブロック１３０５においてホスト・アクセスであり（ゲスト＝「いいえ」）、ブロック１３３０において仮想である場合は、ブロック１３３５において、ホストＤＡＴを実行可能である。ブロック１３３５においては、ホスト・テーブル・フェッチを非セキュアとしてマーキング可能である。ブロック１３３５においてホストＤＡＴが実行された後、または、ブロック１３３０において元のホスト・アクセスが現実としてタグ付けされた場合（仮想＝「いいえ」）、ブロック１３４０においては、ホスト・プレフィクシングを適用可能である。ブロック１３４５において、結果としてもたらされるアドレスは、ホスト絶対アドレスとなり得る。

図１４は、本発明の１つまたは複数の実施形態に係る、プロセス・フロー１４００においてハードウェアにより実行可能なセキュア・ストレージ保護を伴うＤＡＴ変換の一例を示している。図１３のブロック１３４５の続きとして、ブロック１４０５でセキュアＵＶアクセスが識別された場合、ハードウェアは、ブロック１４１０において、ストレージがセキュアＵＶストレージとして登録されているかを確認可能であり、登録されていない場合は、ブロック１４１５においてエラーが提示される。セキュアＵＶアクセスは、ＵＶストレージにアクセスする場合のセキュア・インターフェース・コントロールにより可能である。ブロック１４１０において、ストレージがセキュアＵＶストレージとして登録されている場合は、処理が継続するブロック１４２０でのドメイン確認用の指定のセキュア・ドメインとして（セキュアＵＶアクセスの前にセキュア・インターフェース・コントロールにより設定された）ＵＶセキュア・ドメイン・レジスタを使用可能な場合を除き、任意のセキュア・アクセスに対して実行可能であるのと同様に保護確認が継続し得る。また、ブロック１４２５（入力点Ｄ）でＵＶアクセスに対して検出された如何なる違反も、ブロック１４２５でセキュア・ゲスト違反に対して行われるように（セキュアＵＶ＝「いいえ」）、ブロック１４３５におけるハイパーバイザの例外ではなく、ブロック１４３０でエラーとして提示され得る。

ブロック１４０５において、セキュアＵＶアクセスとしてタグ付けされてないアクセスの場合、ハードウェアは、ブロック１４４０において、アクセスがセキュア・ゲスト・アクセスであるかを判定し、そうではなく、ブロック１４４５において当該ページがセキュアとしてマーキングされている場合は、ブロック１４３５において、例外がハイパーバイザに提示され得る。そうではなく、ブロック１４４０においてアクセスがセキュア・ゲスト・アクセスではなく、ブロック１４４５においてページがセキュアとしてマーキングされていない場合は、ブロック１４５０において変換が成功となる。

ブロック１４４０においてアクセスがセキュア・ゲスト・アクセスである場合、または、ブロック１４１０においてセキュアＵＶストレージとして登録されたストレージへのセキュアＵＶアクセスである場合、ハードウェアは、ブロック１４２０において、当該アクセスと関連付けられたセキュア・エンティティにストレージが登録されていることを確認することができる。これがセキュアＵＶアクセスである場合は、（セキュアＵＶストレージがアクセスされることに基づいてセキュア・インターフェース・コントロールによりロードされた）ＵＶセキュア・ドメイン・レジスタから指定のセキュア・ドメインを取得可能であり、セキュア・ゲスト・アクセスの場合は、（セキュア・エンティティのディスパッチに際してロードされた）ＳＧセキュア・ドメイン・レジスタから指定のセキュア・ドメインが取得される。ブロック１４２０において、アクセス対象のストレージが指定のセキュア・ドメインに登録されていない場合、ブロック１４２５でセキュアＵＶアクセスの場合は、ブロック１４３０でエラーが提示され、ブロック１４２５でセキュア・ゲスト・アクセスの場合は（セキュアＵＶ＝「いいえ」）、ブロック１４３５で例外がハイパーバイザに提示される。

ブロック１４４０および１４１０においてストレージへのセキュア・アクセスであり、ブロック１４２０において指定のセキュア・ドメインに登録されている場合、ブロック１４５５において仮想アドレス確認が無効すなわちＤＡビット＝１であり、ブロック１４６０においてアクセスが現実である場合は、ブロック１４５０において変換が完了となる。ただし、ブロック１４５５においてＤＡビット＝１であるものの、ブロック１４６０においてアクセスが仮想である場合（実＝「いいえ」）、ブロック１４２５でセキュアＵＶアクセスの場合は、ブロック１４３０でエラーが提示され、ブロック１４２５でセキュア・ゲスト・アクセスの場合は（セキュアＵＶ＝「いいえ」）、ブロック１４３５で例外がハイパーバイザに提示される。ブロック１４５５においてＤＡビット＝０であり、ブロック１４７５においてアクセスが仮想アクセスである場合、ハードウェアは、ブロック１４７０において、アクセスのホスト仮想－ホスト絶対マッピングが、このホスト絶対アドレスに対して登録されたものに一致するかを判定可能である。一致する場合は、ブロック１４５０において、変換が成功して完了する。ブロック１４７０においてマッピングが一致しない場合、ブロック１４２５でセキュアＵＶアクセスの場合は、ブロック１４３０でエラーが提示され、ブロック１４２５でセキュア・ゲスト・アクセスの場合は（セキュアＵＶ＝「いいえ」）、ブロック１４３５で例外がハイパーバイザに提示される。ＤＡビット＝０かつブロック１４７５においてアクセスが現実アクセスである場合（仮想＝「いいえ」）、ブロック１４２５でセキュアＵＶアクセスの場合は、ブロック１４３０でエラーが提示され、ブロック１４２５でセキュア・ゲスト・アクセスの場合は（セキュアＵＶ＝「いいえ」）、ブロック１４３５で例外がハイパーバイザに提示される。または、ブロック１４５０において、変換が成功して完了する。ブロック１４８０においては、Ｉ／Ｏサブシステムによる任意のアクセスにより、ブロック１４４５においてページがセキュアとしてマーキングされたかを確認可能であり、ページがセキュアである場合は、ブロック１４３５において、例外がハイパーバイザに提示され得る。ページがセキュアとしてマーキングされていない場合は、ブロック１４５０において変換が成功となる。

ゾーン・セキュリティ・テーブル・インターフェース１４８５を通じて、ストレージ登録およびマッピングのさまざまな確認を一体的に管理可能である。たとえば、ブロック１４１０、１４２０、１４５５、１４７０、および１４７５は、同じゾーンと関連付けられたゾーン・セキュリティ・テーブルとの連動により、さまざまなアクセスを管理可能である。

図１５は、本発明の１つまたは複数の実施形態に係る、システム１５００を示している。システム１５００としては、本明細書に記載のような任意のコンピュータ機器が可能であるが、プロセッサ１５０２、システム・メモリ１５０３、およびセキュア・インターフェース・コントロール１５３０をサポートするハードウェア１５０１を具備する。ハードウェア１５０１上では、１つまたは複数の非信頼エンティティをサポートする論理区画ハイパーバイザ１５１０が動作している（たとえば、非信頼エンティティ１５２１および１５２２により表されるハイパーバイザ）。非信頼（たとえば、非セキュア）エンティティ１５２１は、（セキュア・エンティティ１５４１ａ．０～セキュア・エンティティ１５４１ａ．ｎ（ｎは１以上の整数）により表される）１つまたは複数のセキュア・エンティティ（たとえば、ゲスト）をサポートする。同様に、非信頼エンティティ１５２２は、（セキュア・エンティティ１５４２ａ．０～セキュア・エンティティ１５４２ａ．ｎ（ｎは１以上の整数）により表される）１つまたは複数のセキュア・エンティティをサポートする。ハイパーバイザ１５２１および１５２２またはセキュア・エンティティ１５４１および１５４２、あるいはその両方のいずれかは、セキュア・インターフェース・コントロール１５３０に対して呼び出し（命令呼び出し）を行うことができる。ハイパーバイザ１５２１および１５２２またはセキュア・エンティティ１５４１および１５４２、あるいはその両方は、セキュア・インターフェース・コントロール１５３０と通信するシステム１５００のソフトウェアと考えられる。本特許に関して、記載のハイパーバイザは、非信頼エンティティ１５２１および１５２２に対応し、ホストまたはオペレーティング・システム（ＯＳ）とも称する。ＬＰＡＲハイパーバイザ１５１０は、信頼ファームウェアの一部であるが、必ずしもセキュア・インターフェース・コントロールの一部ではない。セキュア・エンティティ１５４１および１５４２は、ゲスト、仮想マシン（ＶＭ）、またはコンテナとも称し得る。

本明細書に記載の通り、セキュア・インターフェース・コントロール１５３０は、ハードウェア１５０１およびミリコード１５７０と協働してハイパーバイザ１５２１および１５２２とセキュア・エンティティ１５４１および１５４２との間にセキュア・インターフェースを提供することにより、付加的なセキュリティをもたらす。図示のように、セキュア・インターフェース・コントロール１５３０は、内部のセキュアかつ信頼ハードウェアまたはファームウェア（たとえば、システム１５００のソフトウェアとハードウェア１５０１との間でハードウェア１５０１上に存在）、あるいはその両方における実装によって、セキュア環境の初期化および保守のほか、これらのセキュア・エンティティのハードウェア１５０１上のディスパッチの調整を可能にする。すなわち、セキュア・インターフェース・コントロール１５３０は、ハードウェア１５０１によって厳密に強制されるように、単一の各セキュア・エンティティ１５４１および１５４２がデータ・セキュア・ストレージの明確に異なる部分を使用可能となるように、最下位レベルのファームウェアの信頼部分として動作する。

ＭＶＣＬ（Ｍｏｖｅ Ｃｈａｒａｃｔｅｒ Ｌｏｎｇ）およびＳＩＥ（Ｓｔａｒｔ Ｉｎｔｅｒｐｒｅｔｉｖｅ Ｅｘｅｃｕｔｉｏｎ）等のマシンのアーキテクト基準命令またはコマンドの多くは、ミリコード１５７０において実装される。これに関して、ミリコード１５７０は、ハードウェア・インターフェース（本明細書においては、通信インターフェース１５８０と称する）を使用することによって、より複雑なアーキテクチャ命令（すなわち、ミリコード化命令）の一実施態様を与えるハードウェア１５０１の拡張として作用する。この通信インターフェース１５８０は、これらのミリコード化命令および機能を実装するための「ミリモード」の開始および終了を提供するように最適化される。一方、１つまたは複数の実施形態によれば、セキュア・インターフェース・コントロール１５３０は、この通信インターフェース１５８０を利用し、セキュア・インターフェース・コントロール１５３０が必要とする新規追加機能の多くは、セキュアＳＩＥディスパッチおよびＵＶ Ｃａｌｌ（ＵＶＣ）等のミリコード１５７０において実装されているためである。なお、「セキュア・インターフェース・コントロール・モード」は存在しない。すなわち、システム１５００は、セキュア・インターフェース・コントロール・モードに対する出入りを行わず、むしろ、システム１５００の他の機能と同様に、ミリコード１５７０がセキュア・インターフェース・コントロール機能を実行する。結果として、セキュア・インターフェース・コントロール１５３０としての動作と「通常の」ミリコードとしての動作との間に遷移はない。これにより、本明細書の実施形態の技術的効果および利益として、通信インターフェース１５８０は、ソフトウェア・コンテキストスイッチも、このようなコンテキストスイッチと関連付けられたオーバヘッドも一切含まない。さらに、ハードウェア１５０１は、動作中のゲストまたはハイパーバイザ・コードの「アーキテクト」状態を維持し、「一時的」ミリコード状態から独立して保つ。たとえば、ハードウェア１５０１は、中断をモニタリングして、セキュア・インターフェース・コントロール１５３０を呼び出したアーキテクト・ゲストまたはハイパーバイザ、あるいはその両方のレベルに維持し続ける。

１つまたは複数の実施形態によれば、セキュア・エンティティ１５４１または１５４２が非信頼エンティティ１５２１または１５２２によりディスパッチされた場合、ＳＩＥエントリ・ミリコードは、セキュア・エンティティが動作している旨の新たな指定を設定し、セキュア・ドメインＩＤを含むセキュア・ゲスト状態をハードウェア１５０１にロードする。そして、ハードウェア１５０１は、この状態を用いて、当該ゲスト・ドメインが動作している間に、必要なセキュリティ確認を行う。

ミリコード１５７０は、既に信頼ファームウェアであるため、モードの切り替えなく「シームレス」に、ゲスト設備、ハイパーバイザ設備、およびセキュア・インターフェース・コントロール設備にアクセス可能である。また、すべてのストレージ（非セキュア・ストレージ、特定のセキュア・ゲスト・ドメインと関連付けられたセキュア・ストレージ、および特定のセキュア・ゲスト・ドメインと同様に関連付けられる場合がある補助セキュア・ストレージ）にもアクセス可能である。１つまたは複数の実施態様において、ミリコード１５７０は、適正なセキュリティ確認がハードウェア１５０１により実行され得るように、アクセスする意図のあるストレージの種類を指定可能な拡張ハードウェア設備を用いて上記を実行する。これらの確認は、セキュア・インターフェース・コントロール１５３０によりアクセスが実行される場合にも行われる。セキュア・インターフェース・コントロール１５３０は、ＵＶＣ命令の実行ならびに特定の他のホストもしくはゲスト命令および機能の解釈に際して、これらの新たなメカニズムを利用する（たとえば、ＵＶＣコマンドの一部は、セキュア・ゲストまたはセキュアＵＶストレージに対する任意のアクセスに対して、ミリコード１５７０を呼び出す）。

図１６は、本発明の１つまたは複数の実施形態に係る、図１５の通信インターフェース１５８０のプロセス・フロー１６００を示している。プロセス・フロー１６００は、図１５のハードウェア１５０１が２つの別個のコンテキスト（アーキテクトおよびミリコード）を既に維持している状態で、コンテキストスイッチなしで、ＵＶＣに対して既存のミリコード・インターフェース（たとえば、図１５の通信インターフェース１５８０）を使用する一例を示している。

プロセス・フロー１６００は、ブロック１６１０で開始となり、図１５のシステム１５００は、アーキテクト命令（たとえば、ＭＶＣＬまたはＵＶＣ）を実行する。アーキテクト命令は、セキュア・エンティティ１５４１、１５４２または非信頼エンティティ１５２１、１５２２等のプログラムまたはソフトウェアに由来し得る。判定ブロック１６２０において、通信インターフェース１５８０は、アーキテクト命令がミリコード化命令であるかを判定する。アーキテクト命令がミリコード化命令ではない場合、プロセス・フロー１６００は、ブロック１６４０へと進み、アーキテクト命令が、ミリコード制御を伴わずに、ハードウェア１５０１によって直接実行される。その後、プロセスは、ブロック１６４０で終了となる。

アーキテクト命令がミリコード化命令である場合、プロセス・フロー１６００は、ブロック１６５０へと進み、図１５の通信インターフェース１５８０がミリモードに入る。１５８０がミリモードに入ることにより、当該通信インターフェース１５８０を通じて、ハードウェア１５０１がミリコード化命令を実行するように作動（engage）される。ブロック１６６０において、図１５のミリコード１５７０は、ミリコード化命令を実行する。

これに関して、図１５のハードウェア１５０１において動作するセキュア・インターフェース・コントロール１５３０は、ハイパーバイザ１５２１および１５２２またはセキュア・エンティティ１５４１および１５４２、あるいはその両方からアーキテクト命令（たとえば、ＵＶＣ）を受信する。判定ブロック１６２０において、セキュア・インターフェース・コントロール１５３０は、通信インターフェース１５８０を利用することにより、アーキテクト命令がミリコード化命令であるかを判定する。なお、ミリコード１５７０は、アーキテクト命令の実行に際してセキュア・インターフェース・コントロールの機能を実行するハードウェアの拡張である。通信インターフェース１５８０を強化しているため、ミリコード１５７０は、セキュア実行コンテキストにおいて、（たとえば、アーキテクト命令と関連付けられたセキュア・エンティティ１５４１、１５４２に対して）特定のセキュア・ゲスト・ドメインと関連付けられたセキュア・ストレージを含むすべてのストレージにアクセス可能である。通信インターフェースの強化には、セキュア・アクセスの指定のためにミリコードが設定可能な制御ビットの追加が含まれる。さらに、セキュア・ゲストがディスパッチされた場合、ミリコードにおいて実行されたセキュア・インターフェース・コントロールは、セキュア・ゲストが動作している旨の指定を設定し、セキュア・ゲスト状態をハードウェアにロードすることができる。このセキュア・ディスパッチ・コードは、ゲスト状態の非セキュア部分およびゲスト状態のセキュア部分の両者に容易にアクセス可能である。ブロック１６７０において、図１５の通信インターフェース１５８０は、ミリモードを終了する。その後、プロセスは、ブロック１６４０で終了となる。一方、ハードウェアは、セキュア・ゲストと関連付けられたセキュア・ゲスト・ドメインが動作している間に、（ミリモードで動作していない場合でも）セキュア・ゲスト状態を使用することによって、セキュリティ確認を実行し続ける。

本開示は、クラウド・コンピューティングに関する詳細な説明を含むが、本明細書に挙げる教示内容の実装は、クラウド・コンピューティング環境に限定されないことが了解されるものとする。むしろ、本発明の実施形態は、その他任意の種類の既知のコンピューティング環境または今後開発されるコンピューティング環境と併せて実現可能である。

クラウド・コンピューティングは、最小限の管理労力またはサービス提供者との相互作用で迅速に設定および解除し得る設定可能なコンピューティング・リソース（たとえば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、ＶＭ、およびサービス）の共用プールへの簡便なオンデマンド・ネットワーク・アクセスを可能にするサービス提供のモデルである。このクラウド・モデルは、少なくとも５つの特性、少なくとも３つのサービス・モデル、および少なくとも４つの展開モデルを含み得る。

特性は、以下の通りである。

オンデマンド・セルフサービス：クラウド利用者は、サービス提供者との人間の相互作用の必要なく、必要に応じて自動的に、サーバ時間およびネットワーク・ストレージ等のコンピューティング機能を一方的に設定可能である。

広範なネットワーク・アクセス：各機能は、ネットワーク上で利用可能であり、シン／シックを問わず異種クライアント・プラットフォーム（たとえば、携帯電話、ラップトップ、およびＰＤＡ）による使用を促進する標準的な機構を通じてアクセスされる。

リソース・プーリング：マルチテナント・モデルを用いることにより、複数の利用者に対して、提供者のコンピューティング・リソースがプールされる。その際、要求に応じて、さまざまな物理的リソースおよび仮想的リソースが動的に割り当ておよび再割り当てされる。利用者は一般的に、提供されるリソースの正確な場所を制御も把握もできないが、より高い抽象化レベル（たとえば、国、州、またはデータセンタ）では、場所を特定し得る点において、ある意味で場所の独立性が存在する。

迅速な柔軟性：各機能は、場合によっては自動的に、高速スケール・アウトするように迅速かつ柔軟に設定され、高速スケール・インするように迅速に解除され得る。利用者にとって、設定に利用可能な機能は、見かけ上は制限なく、いつでも如何なる量でも購入可能である。

サービス測定：クラウド・システムは、サービスの種類（たとえば、ストレージ、処理、帯域幅、およびアクティブ・ユーザ・アカウント）に適した抽象化レベルでの測定機能を利用することによって、リソースの使用を自動的に制御および最適化する。リソースの使用量は、モニタリング、制御、および報告によって、利用サービスの提供者および利用者の両者に透明性をもたらし得る。

サービス・モデルは、以下の通りである。

サービスとしてのソフトウェア（ＳａａＳ）：利用者に提供される機能は、クラウド・インフラ上で動作する提供者のアプリケーションを使用する。これらのアプリケーションは、ウェブ・ブラウザ等のシン・クライアント・インターフェースを通じて、さまざまなクライアント機器からアクセス可能である（たとえば、ウェブベースの電子メール）。利用者は、ネットワーク、サーバ、オペレーティング・システム、ストレージ、あるいは個々のアプリケーション機能等、下層のクラウド・インフラを管理も制御もしない。ただし、ユーザ固有の限定されたアプリケーション構成の設定については、この限りではない。

サービスとしてのプラットフォーム（ＰａａＳ）：利用者に提供される機能は、提供者がサポートするプログラミング言語およびツールを用いて作成された利用者作成または取得アプリケーションをクラウド・インフラ上に展開する。利用者は、ネットワーク、サーバ、オペレーティング・システム、またはストレージ等、下層のクラウド・インフラを管理も制御もしない。ただし、展開されたアプリケーションと、場合によっては、アプリケーション・ホスティング環境の構成とを制御する。

サービスとしてのインフラ（ＩａａＳ）：利用者に提供される機能は、処理、ストレージ、ネットワーク、および他の基本的なコンピューティング・リソースを設定するが、利用者は、オペレーティング・システムおよびアプリケーション等、任意のソフトウェアを展開および実行可能である。利用者は、下層のクラウド・インフラを管理も制御もしない。ただし、オペレーティング・システム、ストレージ、展開されたアプリケーションを制御し、場合によっては、選択されたネットワーク・コンポーネント（たとえば、ホストのファイアウォール）を限定的に制御する。

展開モデルは、以下の通りである。

プライベート・クラウド：このクラウド・インフラは、ある組織のために単独で運用される。また、当該組織またはサード・パーティにより管理され、オンプレミスまたはオフプレミスとして存在し得る。

コミュニティ・クラウド：このクラウド・インフラは、複数の組織により共有され、懸案事項（たとえば、ミッション、セキュリティ要件、ポリシー、およびコンプライアンス事項）を共有する特定のコミュニティをサポートする。また、当該組織またはサード・パーティにより管理され、オンプレミスまたはオフプレミスとして存在し得る。

パブリック・クラウド：このクラウド・インフラは、一般の人々または大規模な業界団体が利用可能で、クラウド・サービスを販売する組織により所有される。

ハイブリッド・クラウド：このクラウド・インフラは、２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の組み合わせであり、それぞれに固有のエンティティは維持する一方、データおよびアプリケーションの移植性（たとえば、クラウド間の負荷分散のためのクラウド・バースティング）を実現する標準または個別の技術により結合される。

クラウド・コンピューティング環境は、ステートレス性、低結合、モジュール方式、およびセマンティック相互運用性に焦点を当てたサービス指向型である。クラウド・コンピューティングの中心には、相互接続ノードのネットワークを含むインフラがある。

ここで図１７を参照して、この図は、例示的なクラウド・コンピューティング環境５０を示している。図示のように、クラウド・コンピューティング環境５０は、たとえば個人用デジタル補助装置（ＰＤＡ）もしくは携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車コンピュータ・システム５４Ｎ、あるいはその組み合わせ等、クラウド利用者が使用するローカルのコンピュータ機器の通信を可能にする１つまたは複数のクラウド・コンピューティング・ノード１０を含む。ノード１０は、互いに通信するようにしてもよい。これらは、上述のプライベート、コミュニティ、パブリック、もしくはハイブリッド・クラウド、またはその組み合わせ等、１つまたは複数のネットワークにおいて物理的または仮想的にグループ化されていてもよい（図示せず）。これにより、クラウド・コンピューティング環境５０は、クラウド利用者がローカルのコンピュータ機器上でリソースを維持する必要のないサービスとしてのインフラ、プラットフォーム、またはソフトウェア、あるいはその組み合わせを提供することができる。図１７に示すコンピュータ機器５４Ａ～５４Ｎの種類は、例示を意図したものに過ぎず、コンピューティング・ノード１０およびクラウド・コンピューティング環境５０は、（たとえば、ウェブ・ブラウザを用いることにより）任意の種類のネットワークまたはネットワーク・アドレス指定可能な接続、あるいはその両方において、任意の種類のコンピュータ機器と通信可能であることが了解される。

ここで図１８を参照して、この図は、クラウド・コンピューティング環境５０（図１７）が提供する一組の機能的抽象化レイヤを示している。図１８に示すコンポーネント、レイヤ、および機能は、例示を意図したものに過ぎず、本発明の実施形態はこれらに限定されないことが予め了解されるものとする。図示のように、以下のレイヤおよび対応する機能が提供される。

ハードウェア・ソフトウェア・レイヤ６０は、ハードウェアおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例としては、メインフレーム６１、ＲＩＳＣ（縮小命令セット・コンピュータ）アーキテクチャ・ベースのサーバ６２、サーバ６３、ブレード・サーバ６４、記憶装置６５、およびネットワーク／ネットワーキング・コンポーネント６６が挙げられる。いくつかの実施形態において、ソフトウェア・コンポーネントとしては、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８が挙げられる。

仮想化レイヤ７０は、抽象化レイヤを提供し、考え得る仮想エンティティの例としては、仮想サーバ７１、仮想ストレージ７２、仮想ネットワーク７３（仮想プライベート・ネットワークを含む）、仮想アプリケーション／オペレーティング・システム７４、および仮想クライアント７５が挙げられる。

一例において、管理レイヤ８０は、後述の機能を提供するようにしてもよい。リソース設定８１は、クラウド・コンピューティング環境におけるタスクの実行に利用されるコンピューティング・リソースおよび他のリソースの動的な調達を提供する。測定・価格設定８２は、クラウド・コンピューティング環境においてリソースが利用される場合のコスト追跡ならびにこれらリソースの消費に対する請求もしくはインボイスを提供する。一例において、これらのリソースには、アプリケーション・ソフトウェア・ライセンスが含まれ得る。セキュリティは、クラウド利用者およびタスクの識別情報確認のほか、データおよび他のリソースの保護を提供する。ユーザ・ポータル８３は、利用者およびシステム管理者に対してクラウド・コンピューティング環境へのアクセスを提供する。サービス・レベル管理８４は、所要サービス・レベルを満足するように、クラウド・コンピューティング・リソースの割り当ておよび管理を提供する。サービス・レベル合意（ＳＬＡ）計画・実行８５は、ＳＬＡに従って将来的な要件が見込まれるクラウド・コンピューティング・リソースの事前の取り決めおよび調達を提供する。

ワークロード・レイヤ９０は、クラウド・コンピューティング環境を利用可能な機能の例を提供する。このレイヤから提供可能なワークロードおよび機能の例としては、マッピングおよびナビゲーション９１、ソフトウェア開発・ライフサイクル管理９２、仮想教室教育提供９３、データ解析処理９４、トランザクション処理９５、および通信インターフェース９６が挙げられる。これらは、一部の例に過ぎず、他の実施形態においては各レイヤに異なるサービスを含み得ることが了解される。

ここで図１９を参照して、この図は、本発明の１つまたは複数の実施形態に係る、システム１９００を示している。システム１９００は、ネットワーク１６５等を介して１つまたは複数のクライアント機器２０Ａ～２０Ｅと直接的または間接的に連通した例示的なノード１０（たとえば、ホスト・ノード）を具備する。ノード１０としては、クラウド・コンピューティング提供者のデータセンタまたはホスト・サーバが可能である。ノード１０は、１つまたは複数のＶＭ１５（１５Ａ～１５Ｎ）の展開を容易化するハイパーバイザ１２を実行する。ノード１０は、ＶＭ１５Ａ～１５Ｎおよびハイパーバイザ１２が必要とする機能を直接サポートするほか、ハイパーバイザ１２による１つまたは複数のサービスのＶＭ１５への提供を容易化するハードウェア／ファームウェア・レイヤ１１をさらに具備する。これと同時に起こる実施態様においては、ハードウェア／ファームウェア・レイヤ１１とハイパーバイザ１２との間、ハードウェア／ファームウェア・レイヤ１１とＶＭ１５との間、ハイパーバイザ１２とＶＭ１５との間、およびハードウェア／ファームウェア・レイヤ１１を介したハイパーバイザ１２とＶＭ１５との間で通信が提供される。本発明の１つまたは複数の実施形態によれば、セキュア・インターフェース・コントロールがハードウェア／ファームウェア・レイヤ１１に設けられ、ハイパーバイザ１２とＶＭ１５との間の直接通信が除外される。

たとえば、ノード１０は、クライアント機器２０ＡによるＶＭ１５Ａ～１５Ｎのうちの１つまたは複数の展開を容易化し得る。ＶＭ１５Ａ～１５Ｎは、異なるクライアント機器２０Ａ～２０Ｅからの各リクエストに応じて展開されるようになっていてもよい。たとえば、ＶＭ１５Ａがクライアント機器２０Ａにより展開され、ＶＭ１５Ｂがクライアント機器２０Ｂにより展開され、ＶＭ１５Ｃがクライアント機器２０Ｃにより展開されるようになっていてもよい。また、ノード１０は、クライアントによる物理的なサーバの設定（ＶＭとしては動作しない）を容易化し得る。本明細書に記載の各例では、ＶＭの一部として、ノード１０におけるリソースの設定を具現化するが、上記技術的解決手段の適用によっても、物理的なサーバの一部としてリソースを設定可能である。

一例において、クライアント機器２０Ａ～２０Ｅは、人物、事業、政府機関、企業内の部署、またはその他任意のエンティティ等、同じエンティティに属していてもよく、また、ノード１０は、エンティティのプライベート・クラウドとして運用されるようになっていてもよい。この場合、ノード１０は、エンティティに属するクライアント機器２０Ａ～２０Ｅにより展開されたＶＭ１５Ａ～１５Ｎを単独でホスティングする。別の例において、クライアント機器２０Ａ～２０Ｅは、異なるエンティティに属していてもよい。たとえば、第１のエンティティがクライアント機器２０Ａを所有する一方、第２のエンティティがクライアント機器２０Ｂを所有していてもよい。この場合、ノード１０は、異なるエンティティのＶＭをホスティングするパブリック・クラウドとして運用されるようになっていてもよい。たとえば、ＶＭ１５Ａ～１５Ｎは、ＶＭ１５ＡがＶＭ１５Ｂへのアクセスを容易化しない被覆状態にて展開されていてもよい。たとえば、ノード１０は、ＩＢＭ ｚ Ｓｙｓｔｅｍｓ（Ｒ）Ｐｒｏｃｅｓｓｏｒ Ｒｅｓｏｕｒｃｅ／Ｓｙｓｔｅｍｓ Ｍａｎａｇｅｒ（ＰＲ／ＳＭ）Ｌｏｇｉｃａｌ Ｐａｒｔｉｔｉｏｎ（ＬＰＡＲ）機能を使用して、ＶＭ１５Ａ～１５Ｎを被覆していてもよい。これらＰＲ／ＳＭ ＬＰＡＲのような機能は、区画間の隔離を提供するため、異なる論理区画における同じ物理的ノード１０上の異なるエンティティに対して、ノード１０による２つ以上のＶＭ１５Ａ～１５Ｎの展開を容易化する。

クライアント機器２０Ａ～２０Ｅのうちのクライアント機器２０Ａは、コンピュータ、スマートフォン、タブレット・コンピュータ、デスクトップ・コンピュータ、ラップトップ・コンピュータ、サーバ・コンピュータ等の通信装置、またはノード１０のハイパーバイザ１２によるＶＭの展開を要求するその他任意の通信装置である。クライアント機器２０Ａは、ハイパーバイザにより受信されるリクエストをネットワーク１６５経由で送るようにしてもよい。ＶＭ１５Ａ～１５ＮのうちのＶＭ１５Ａは、クライアント機器２０Ａ～２０Ｅのうちのクライアント機器２０Ａからのリクエストに応じてハイパーバイザ１２が展開するＶＭイメージである。ハイパーバイザ１２は、ＶＭモニタ（ＶＭＭ）であり、これは、ＶＭを生成して実行するソフトウェア、ファームウェア、またはハードウェアであってもよい。ハイパーバイザ１２は、プログラムの実行またはデータの格納、あるいはその両方のためのＶＭ１５Ａによるノード１０のハードウェア・コンポーネントの使用を容易化する。適当な機能および改良を伴って、ハイパーバイザ１２は、ＩＢＭ ｚ Ｓｙｓｔｅｍｓ（Ｒ）、Ｏｒａｃｌｅ ＶＭ Ｓｅｒｖｅｒ、Ｃｉｔｒｉｘ ＸｅｎＳｅｒｖｅｒ、Ｖｍｗａｒｅ ＥＳＸ、Ｍｉｃｒｏｓｏｆｔ Ｈｙｐｅｒ－Ｖハイパーバイザ、またはその他任意のハイパーバイザであってもよい。ハイパーバイザ１２は、ノード１０上で直接実行されるネイティブ・ハイパーバイザであってもよいし、別のハイパーバイザ上で実行されるホスティング・ハイパーバイザであってもよい。

ここで図２０を参照して、この図は、本発明の１つまたは複数の実施形態に係る、本明細書の教示内容を実装するためのノード１０を示している。ノード１０としては、本明細書に記載の通り、さまざまな通信技術を利用する任意数のコンピュータ機器およびネットワークの包含または採用、あるいはその両方を行った電子的コンピュータ・フレームワークが可能である。ノード１０は、スケーリング、拡張、およびモジュール化が容易であって、異なるサービスに変更することも可能であるし、一部の特徴を他の特徴とは独立に再構成することも可能である。

本実施形態において、ノード１０は、１つまたは複数の中央演算処理装置（ＣＰＵ）２００１ａ、２００１ｂ、２００１ｃ等を含み得るプロセッサ２００１を有する。プロセッサ２００１は、処理回路、マイクロプロセッサ、演算ユニットとも称するが、システム・バス２００２を介して、システム・メモリ２００３および他のさまざまな構成要素に結合されている。システム・メモリ２００３は、リード・オンリー・メモリ（ＲＯＭ）２００４およびランダム・アクセス・メモリ（ＲＡＭ）２００５を含む。ＲＯＭ２００４は、システム・バス２００２に結合され、ノード１０の特定の基本機能を制御する基本入出力システム（ＢＩＯＳ）を含んでいてもよい。ＲＡＭは、システム・バス２００２に結合され、プロセッサ２００１が使用する読み出し／書き込みメモリである。

図２０のノード１０は、プロセッサ２００１による読み出し・実行が可能な有形記憶媒体の一例であるハード・ディスク２００７を具備する。ハード・ディスク２００７は、ソフトウェア２００８およびデータ２００９を格納する。ソフトウェア２００８は、プロセッサ２００１によってノード１０上で実行される（図１～図１９を参照して説明したプロセス等のプロセスを実行する）命令として格納される。データ２００９は、ソフトウェア２００８の動作のサポートおよびソフトウェア２００８の動作による使用のためにさまざまなデータ構造として構造化された定性的または定量的な変数の一組の値を含む。

図２０のノード１０は、ノード１０のプロセッサ２００１、システム・メモリ２００３、ハード・ディスク２００７、および他の構成要素（たとえば、周辺機器および外部機器）間の通信を相互接続してサポートする１つまたは複数のアダプタ（たとえば、ハード・ディスク・コントローラ、ネットワーク・アダプタ、グラフィックス・アダプタ等）を具備する。本発明の１つまたは複数の実施形態において、１つまたは複数のアダプタは、中間バス・ブリッジを介してシステム・バス２００２に接続された１つまたは複数のＩ／Ｏバスに接続可能であり、この１つまたは複数のＩ／Ｏバスは、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）等の一般的なプロトコルを利用可能である。

図示のように、ノード１０は、キーボード２０２１，マウス２０２２、スピーカ２０２３、およびマイク２０２４をシステム・バス２００２に相互接続するインターフェース・アダプタ２０２０を具備する。ノード１０は、システム・バス２００２をディスプレイ２０３１に相互接続するディスプレイ・アダプタ２０３０を具備する。ディスプレイ・アダプタ２０３０（またはプロセッサ２００１、あるいはその両方）は、ＧＵＩ２０３２の表示および管理等、グラフィックス性能を提供するグラフィックス・コントローラを具備し得る。また、通信アダプタ２０４１がシステム・バス２００２をネットワーク２０５０に相互接続することにより、サーバ２０５１およびデータベース２０５２等、他のシステム、機器、データ、およびソフトウェアとノード１０が通信できるようにする。本発明の１つまたは複数の実施形態において、ソフトウェア２００８およびデータ２００９の動作は、サーバ２０５１およびデータベース２０５２によって、ネットワーク２０５０上で実現可能である。たとえば、ネットワーク２０５０，サーバ２０５１、およびデータベース２０５２が一体になり、サービスとしてのプラットフォーム、サービスとしてのソフトウェア、またはサービスとしてのインフラ、あるいはその組み合わせとして（たとえば、分散システムにおけるウェブ・アプリケーションとして）、ソフトウェア２００８およびデータ２００９の内部反復を提供可能である。

本明細書に記載の実施形態は必然的に、コンピュータ技術、特に、ＶＭをホスティングするコンピュータ・サーバに基づく。さらに、本発明の１つまたは複数の実施形態は、ＶＭをホスティングするコンピュータ・サーバによるセキュアＶＭ（ハイパーバイザでさえ、セキュアＶＭに関連付けられたメモリ、レジスタ、および他のデータへのアクセスが禁止されている）のホスティングを容易化することによって、コンピュータ技術自体、特に、ＶＭをホスティングするコンピュータ・サーバの動作の改善を容易化する。また、本発明の１つまたは複数の実施形態は、セキュアＶＭおよびハイパーバイザの分離を容易化するハードウェア、ファームウェア（たとえば、ミリコード）、またはその組み合わせを含むセキュア・インターフェース・コントロール（本明細書においては、「ウルトラバイザ」または「ＵＶ」とも称する）を使用することにより、コンピュータ・サーバがホスティングするＶＭのセキュリティを維持することによって、ＶＭをホスティングするコンピュータ・サーバの改善に向けた大きなステップを提供する。セキュア・インターフェース・コントロールは、本明細書に記載の通り、ＶＭの初期化／終了の間にＶＭ状態保護への実質的なオーバヘッドの追加なく、セキュリティを容易化する軽量な中間動作を提供する。

本明細書に開示の本発明の実施形態は、セキュア・インターフェース・コントロールの通信インターフェースを実装するシステム、方法、またはコンピュータ・プログラム製品、あるいはその組み合わせ（本明細書においては、システム）を含んでいてもよい。なお、説明ごとに、異なる図面の他の類似要素に対して、要素の識別子を再利用している。

本明細書においては、関連する図面を参照して、本発明の種々実施形態を説明する。本発明の範囲から逸脱することなく、本発明の代替実施形態を考案可能である。以下の説明および図面においては、さまざまな接続および位置関係（たとえば、上方（over）、下方（below）、隣接（adjacent）等）が要素間に規定される。これらの接続または位置関係あるいはその両方は、別段の指定のない限り、直接的でも間接的でも可能であり、この点に関して、本発明は何らの制限も意図していない。したがって、エンティティの結合は、直接的または間接的な結合を表すことができ、エンティティ間の位置関係としては、直接的または間接的な位置関係が可能である。さらに、本明細書に記載のさまざまなタスクおよびプロセス・ステップは、本明細書に詳しく記載していない付加的なステップまたは機能を有するより包括的な手順またはプロセスに組み込み可能である。

以下の定義および略語は、特許請求の範囲および本明細書の解釈のために使用するものとする。本明細書において、用語「備える（comprise、comprising）」、「具備する（include、including）」、「有する（have、having）」、「含む（contain、containing）」、またはこれらのその他任意の変形は、非排他的な包含を網羅することが意図される。たとえば、要素の一覧を含む組成物、混合物、プロセス、方法、品目、または装置は、必ずしもこれらの要素だけに限定されず、このような組成物、混合物、プロセス、方法、品目、または装置に対して明示的に一覧化もされていなければ固有でもない他の要素を含み得る。

また、本明細書において、用語「例示的な（exemplary）」は、「一例、事例、または実例として機能する」を意味するものとして使用している。本明細書で「例示的（exemplary）」として記載する如何なる実施形態も設計も、他の実施形態または設計より好ましいものまたは有利なものとしては必ずしも解釈されないものとする。用語「少なくとも１つ（at least one）」および「１つまたは複数（one or more）」は、１以上の任意の整数すなわち１、２、３、４等を含むものと理解可能である。用語「複数（a plurality）」は、２以上の任意の整数すなわち２、３、４、５等を含むものと理解可能である。用語「接続（connection）」は、間接的な「接続（connection）」および直接的な「接続（connection）」の両者を含み得る。

用語「およそ（about）」、「実質的に（substantially）」、「約（approximately）」、およびこれらの変形は、本願の出願時点で利用可能な機器に基づく特定の量の測定と関連付けられた誤差の程度を含むことが意図される。たとえば、「およそ（about）」は、所与の値の±８％、５％、または２％の範囲を含み得る。

本発明は、考え得る任意の技術的詳細統合レベルにおけるシステム、方法、またはコンピュータ・プログラム製品、あるいはその組み合わせであってもよい。コンピュータ・プログラム製品は、本発明の態様をプロセッサに実行させるコンピュータ可読プログラム命令が格納された（１つまたは複数の）コンピュータ可読記憶媒体を具備していてもよい。

コンピュータ可読記憶媒体としては、命令実行デバイスが使用する命令を保持および格納し得る有形デバイスが可能である。コンピュータ可読記憶媒体は、たとえば電子記憶装置、磁気記憶装置、光学記憶装置、電磁記憶装置、半導体記憶装置、またはこれらの任意好適な組み合わせであってもよいが、これらに限定されない。コンピュータ可読記憶媒体のより具体的な例の非網羅的な一覧には、携帯型コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリー・メモリ（ＲＯＭ）、消去・プログラム可能リード・オンリー・メモリ（ＥＰＲＯＭもしくはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、携帯型コンパクト・ディスク・リード・オンリー・メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、メモリ・スティック、フロッピ（登録商標）・ディスク、パンチカードもしくは命令が記録された溝中の隆起構造等の機械的符号化デバイス、ならびにこれらの任意好適な組み合わせが含まれる。本明細書において、コンピュータ可読記憶媒体は、電波等の自由伝搬電磁波、導波路等の送信媒体を伝搬する電磁波（たとえば、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを通じて送信される電気信号等、本質的に一時的な信号としては解釈されないものとする。

本明細書に記載のコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体から各コンピュータ／処理機器にダウンロードすることも可能であるし、たとえばインターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、または無線ネットワーク、あるいはその組み合わせを介して外部コンピュータまたは外部記憶装置にダウンロードすることも可能である。ネットワークには、送信銅ケーブル、送信光ファイバ、無線送信、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組み合わせが含まれていてもよい。各コンピュータ／処理機器のネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、当該コンピュータ可読プログラム命令を転送して、各コンピュータ／処理機器内のコンピュータ可読記憶媒体に格納する。

本発明の動作を実行するコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路の設定データ、あるいはＳｍａｌｌｔａｌｋ（登録商標）、Ｃ＋＋等のオブジェクト指向プログラミング言語ならびに「Ｃ」プログラミング言語もしくは類似のプログラミング言語等の手続き型プログラミング言語を含む１つまたは複数のプログラミング言語の任意の組み合わせで記述されたソース・コードまたはオブジェクト・コードであってもよい。コンピュータ可読プログラム命令は、独立型ソフトウェア・パッケージとして全部または一部をユーザのコンピュータ上で実行するようにしてもよいし、一部をユーザのコンピュータ上、一部をリモート・コンピュータ上で実行するようにしてもよいし、全部をリモート・コンピュータまたはサーバ上で実行するようにしてもよい。後者のシナリオでは、ローカル・エリア・ネットワーク（ＬＡＮ）またはワイド・エリア・ネットワーク（ＷＡＮ）等、任意の種類のネットワークを通じてリモート・コンピュータをユーザのコンピュータに接続するようにしてもよいし、（たとえば、インターネット・サービス・プロバイダを用いることによりインターネットを通じて）外部コンピュータに接続するようにしてもよい。いくつかの実施形態においては、本発明の態様を実行するため、コンピュータ可読プログラム命令の状態情報を利用して電子回路をカスタマイズすることにより、たとえばプログラマブル論理回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ）を含む電子回路がコンピュータ可読プログラム命令を実行するようにしてもよい。

本明細書においては、本発明の実施形態に係る方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図またはブロック図あるいはその両方を参照して、本発明の態様を説明している。フローチャート図またはブロック図あるいはその両方の各ブロックならびにフローチャート図またはブロック図あるいはその両方のブロックの組み合わせは、コンピュータ可読プログラム命令により実装可能であることが了解される。

これらのコンピュータ可読プログラム命令は、コンピュータ等のプログラム可能データ処理装置のプロセッサを介した実行によって、フローチャート図またはブロック図あるいはその両方の１つまたは複数のブロックに規定の機能／動作を実装する手段を生成するように、汎用コンピュータ、専用コンピュータ、または他のプログラム可能データ処理装置のプロセッサに提供されてマシンを生成していてもよい。また、これらのコンピュータ可読プログラム命令は、命令が格納されたコンピュータ可読記憶媒体が、フローチャート図またはブロック図あるいはその両方の１つまたは複数のブロックに規定の機能／動作の態様を実装する命令を含む製造品を含むように、コンピュータ、プログラム可能データ処理装置、または他の機器、あるいはその組み合わせに対して特定の様態で機能するように指示し得る当該コンピュータ可読記憶媒体に格納されていてもよい。

また、コンピュータ可読プログラム命令は、コンピュータ、他のプログラム可能装置、または他の機器上での実行によって、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに規定の機能／動作を実装するように、コンピュータ、他のプログラム可能データ処理装置、または他の機器へのロードによって、一連の動作ステップをコンピュータ、他のプログラム可能装置、または他の機器上で実行させることにより、コンピュータ実装プロセスを生成するようにしてもよい。

図中のフローチャートおよびブロック図は、本発明の種々実施形態に係るシステム、方法、およびコンピュータ・プログラム製品の考え得る実施態様のアーキテクチャ、機能、および動作を示している。この点、フローチャートまたはブロック図の各ブロックは、特定の論理機能を実装する１つまたは複数の実行可能命令を含む命令のモジュール、セグメント、または一部を表していてもよい。いくつかの代替実施態様において、ブロックに記載の機能は、図面に記載の順序から外れて発生するようになっていてもよい。たとえば、連続して示す２つのブロックは実際のところ、関与する機能に応じて、実質的に同時に実行されるようになっていてもよいし、場合により逆の順序で実行されるようになっていてもよい。また、ブロック図またはフローチャート図あるいはその両方の各ブロックならびにブロック図またはフローチャート図あるいはその両方のブロックの組み合わせは、特定の機能または動作を実行する専用ハードウェアベースのシステムにより実装することも可能であるし、専用ハードウェアおよびコンピュータ命令の組み合わせを実行することも可能である。

本明細書において使用する専門用語は、特定の実施形態の説明のみを目的としており、何ら限定を意図したものではない。本明細書において、単数形「a」、「an」、および「the」は、文脈上の別段の明確な指定のない限り、複数形も同様に含むことが意図される。さらに、本明細書において使用する場合の用語「備える（compriseまたはcomprising、あるいはその両方）」は、記載の特徴、整数、ステップ、動作、要素、または構成要素、あるいはその組み合わせの存在を規定するが、１つまたは複数の他の特徴、整数、ステップ、動作、要素、構成要素、またはその群、あるいはその組み合わせの存在または追加を除外するものではない。

本明細書の種々実施形態の説明は、例示を目的として提示しているものの、何ら網羅的でもなければ、開示の実施形態に限定されることを意図したものでもない。上記実施形態の範囲および思想から逸脱することなく、当業者には、多くの改良および変形が明らかとなるであろう。本明細書において使用する専門用語は、上記実施形態の原理、実際の用途、もしくは市場において見られる技術の技術的改良を最もよく説明すること、または、当業他者が本明細書に開示の実施形態を理解できるようにすることを目的として選定したものである。

Claims (25)

1. 方法であって、
   コンピュータのセキュア・インターフェース・コントロールと前記コンピュータのハードウェアとの間で動作する前記セキュア・インターフェース・コントロールの通信インターフェースによって、命令を受信することと、
   前記通信インターフェースによって、前記命令がミリコード化命令であるかを判定することと、
   前記通信インターフェースによって、前記命令が前記ミリコード化命令であることに基づいて、ミリモードに入り、前記セキュア・インターフェース・コントロールが前記通信インターフェースを通じて前記ハードウェアのミリコードを作動することを可能にすることと、
   前記ミリコードによって、前記命令を実行することと、
   を含む、方法。
2. 前記命令が前記ミリコード化命令ではないことに基づいて、前記コンピュータの前記ハードウェアにより前記命令が実行される、請求項１に記載の方法。
3. 前記通信インターフェースが、前記命令が前記ミリコードにより実行された後に、前記ミリモードを終了する、請求項１または２に記載の方法。
4. 前記セキュア・インターフェース・コントロールが、前記命令を発行する非セキュア・エンティティまたはセキュア・エンティティと通信する、請求項１ないし３のいずれか一項に記載の方法。
5. 前記非セキュア・エンティティが、ハイパーバイザを含み、前記セキュア・エンティティが、セキュア・ゲストを含み、前記命令が、アーキテクト命令を含む、請求項４に記載の方法。
6. 前記ミリコードが、前記通信インターフェースの増強を利用することにより、セキュア実行コンテキストにおいて前記命令と関連付けられたセキュア・ストレージにアクセスする、請求項１ないし５のいずれか一項に記載の方法。
7. 前記ミリコードが、前記命令の実行に際して前記セキュア・インターフェース・コントロールの機能を実行する前記ハードウェアの拡張である、請求項１ないし６のいずれか一項に記載の方法。
8. 前記セキュア・インターフェース・コントロールとして作用する前記ミリコードが、セキュア・エンティティをディスパッチしており、セキュア・エンティティが動作している旨の指定を設定し、セキュア・ゲスト状態を前記ハードウェアにロードする、請求項１ないし７のいずれか一項に記載の方法。
9. 前記ハードウェアが、前記セキュア・エンティティと関連付けられたセキュア・ゲスト・ドメインが動作している間に、前記セキュア・ゲスト状態を使用することによって、セキュリティ確認を実行する、請求項８に記載の方法。
10. プログラム命令が組み込まれたコンピュータ可読記憶媒体を含むコンピュータ・プログラム製品であって、前記プログラム命令が、
    コンピュータのセキュア・インターフェース・コントロールと前記コンピュータのハードウェアとの間で動作する前記セキュア・インターフェース・コントロールの通信インターフェースによって、命令を受信することと、
    前記通信インターフェースによって、前記命令がミリコード化命令であるかを判定することと、
    前記通信インターフェースによって、前記命令が前記ミリコード化命令であることに基づいて、ミリモードに入り、前記セキュア・インターフェース・コントロールが前記通信インターフェースを通じて前記ハードウェアのミリコードを作動することを可能とすることと、
    前記ミリコードによって、前記命令を実行することと、
    を含む動作をコンピュータに実行させることが可能である、コンピュータ・プログラム製品。
11. 前記命令が前記ミリコード化命令ではないことに基づいて、前記コンピュータの前記ハードウェアにより前記命令が実行される、請求項１０に記載のコンピュータ・プログラム製品。
12. 前記通信インターフェースが、前記命令が前記ミリコードにより実行された後に、前記ミリモードを終了する、請求項１０または１１に記載のコンピュータ・プログラム製品。
13. 前記セキュア・インターフェース・コントロールが、前記命令を発行する非セキュア・エンティティまたはセキュア・エンティティと通信する請求項１０ないし１２のいずれか一項に記載のコンピュータ・プログラム製品。
14. 前記非セキュア・エンティティが、ハイパーバイザを含み、前記セキュア・エンティティが、セキュア・ゲストを含み、前記命令が、アーキテクト命令を含む、請求項１３に記載のコンピュータ・プログラム製品。
15. 前記ミリコードが、前記通信インターフェースの増強を利用することにより、セキュア実行コンテキストにおいて前記命令と関連付けられたセキュア・ストレージにアクセスする、請求項１０ないし１４のいずれか一項に記載のコンピュータ・プログラム製品。
16. 前記ミリコードが、前記命令の実行に際して前記セキュア・インターフェース・コントロールの機能を実行する前記ハードウェアの拡張である、請求項１０ないし１５のいずれか一項に記載のコンピュータ・プログラム製品。
17. 前記セキュア・インターフェース・コントロールとして作用する前記ミリコードが、セキュア・エンティティをディスパッチしており、セキュア・エンティティが動作している旨の指定を設定し、セキュア・ゲスト状態を前記ハードウェアにロードする、請求項１０ないし１６のいずれか一項に記載のコンピュータ・プログラム製品。
18. 前記ハードウェアが、前記セキュア・エンティティと関連付けられたセキュア・ゲスト・ドメインが動作している間に、前記セキュア・ゲスト状態を使用することによって、セキュリティ確認を実行する、請求項１７に記載のコンピュータ・プログラム製品。
19. システムであって、
    ミリコードを含むハードウェアと、
    セキュア・インターフェース・コントロールと、
    前記セキュア・インターフェース・コントロールと前記ハードウェアとの間で動作する前記セキュア・インターフェース・コントロールの通信インターフェースと、
    を備え、
    前記通信インターフェースによって、命令を受信することと、
    前記通信インターフェースによって、前記命令がミリコード化命令であるかを判定することと、
    前記通信インターフェースによって、前記命令が前記ミリコード化命令であることに基づいて、ミリモードに入り、ミリモードに入り、前記セキュア・インターフェース・コントロールが、前記通信インターフェースを通じて前記ハードウェアのミリコードを作動することを可能にすることと、
    前記ミリコードによって、前記命令を実行することと、
    を含む動作を行わせるように実行可能な、システム。
20. 前記命令が前記ミリコード化命令ではないことに基づいて、前記コンピュータの前記ハードウェアにより前記命令が実行される、請求項１９に記載のシステム。
21. 前記通信インターフェースが、前記命令が前記ミリコードにより実行された後に、前記ミリモードを終了する、請求項１９または２０に記載のシステム。
22. 前記セキュア・インターフェース・コントロールが、前記命令を発行する非セキュア・エンティティまたはセキュア・エンティティと連通した、請求項１９ないし２１のいずれか一項に記載のシステム。
23. 前記非セキュア・エンティティが、ハイパーバイザを含み、前記セキュア・エンティティが、セキュア・ゲストを含み、前記命令が、アーキテクト命令を含む、請求項２２に記載のシステム。
24. 前記ミリコードが、前記通信インターフェースの増強を利用することにより、セキュア実行コンテキストにおいて前記命令と関連付けられたセキュア・ストレージにアクセスする、請求項１９ないし２３のいずれか一項に記載のシステム。
25. 前記ミリコードが、前記命令の実行に際して前記セキュア・インターフェース・コントロールの機能を実行する前記ハードウェアの拡張である、請求項１９ないし２４のいずれか一項に記載のシステム。

Images