CN103858107B - 安全恢复装置和方法 - Google Patents

Abstract

公开了一种用于从安全位置恢复引导镜像的系统和方法。硬件指令发起引导周期序列以启动计算机支持设备上的计算机操作系统。在引导周期期间，多个级别的引导代码被验证并且确定是否每个界别都能够被设备使用。如果确定一个级别的引导代码不可用，则从安全只读位置加载该引导代码的安全副本以修复不可用代码而启动计算机操作系统。

Description

安全恢复装置和方法

技术领域

该主题技术一般地涉及计算机恢复系统和方法，即恢复操作系统或固件。

背景技术

一些计算机（例如笔记本）支持恢复模式，其能够在计算机的可重写操作系统和/或固件崩溃或被损坏时将其恢复回到良好状态。通常，用户在计算机启动时经由按键敲击而发起恢复模式。在一些情况下，如果确定固件和/或操作系统存在问题，则笔记本能够自行发起恢复模式。虽然以上情形已经成为了主流方式，但是用户还是需要单独的恢复设备。如果用户没有恢复设备（SD卡或USB棒），则用户必须通过下载安装程序并在第二计算机上运行来创建一个。在插入恢复设备后，系统将从恢复设备进行引导并且尝试自行修复。如果用户所拥有的恢复设备是旧的，则用户必须首先手工对其进行更新。

发明内容

该主题技术提供了一种用于从安全位置加载引导镜像的装置、系统和方法。在一个方面，一种装置包括处理器、包括引导镜像以及对应于该引导镜像并且作为其冗余的一个或多个引导镜像的一个或多个引导存储器、包括至少一个安全引导镜像的安全只读位置、和包括用于发起计算设备的开机的起动和恢复软件的存储器。该起动和恢复软件在被处理器执行时使得该处理器加载引导镜像并且对其执行验证，在该引导镜像通过验证而被确定为不可用的情况下，加载冗余引导镜像并对其执行第二验证，并且在该冗余引导镜像通过第二验证而被确定为不可用时，从安全只读位置加载安全引导镜像。其它方面包括相对应的系统、装置和计算机程序产品。

之前所描述的装置和其它方面可以包括以下特征中的一个或多个。例如，执行引导镜像的验证可以包括恢复软件在被执行时使得处理器在多个引导代码级别执行引导代码的验证，其中对每个级别从引导代码的核心受信任块起进行验证。该引导镜像、冗余引导镜像和安全引导镜像每一个可以包括用于单个引导级别的引导代码的副本。多个引导代码级别可以包括引导周期，并且确定引导镜像为不可用可以包括恢复软件在被执行时使得处理器停止该引导周期，访问安全只读位置以加载并修复相应引导代码，并且在最后已知的可验证级别恢复引导周期。该方法可以在检测到引导故障时自动发起，或者在用户指示（例如，在机器或计算机开机期间经由专用按钮或按键敲击）时发起。

之前所描述的装置和其它方面可以包括以下特征中的一个或多个。例如，执行引导镜像和冗余引导镜像的验证可以包括使用加密密钥检查引导代码。该恢复软件在被执行时可以进一步使得处理器执行对所加载的安全引导镜像的验证。执行对所加载的安全引导镜像的验证可以包括使用加密密钥检查引导代码。该安全的只读位置可以包括位于与计算设备相关联的系统控制板上的集成电路芯片。该存储器可以包括与计算设备相关联的存储器介质上的分离的隐藏分区。安全引导镜像可以响应于用户所发起的按键敲击而被加载。安全引导镜像可以包括用于安装计算设备的操作系统的足够信息，并且该恢复软件在被执行时可以进一步使得处理器将操作系统恢复至包括网络访问能力的缺省状态，并且发起预定序列以从网络源拉取更新以便将操作系统更新至最新版本。

在另一个方面，一种机器可读介质包括其上的指令，当被机器或计算设备执行时，该指令使得该机器或计算设备执行加载引导镜像的方法，包括发起引导周期的序列，每个周期从存储器介质加载一个级别的引导代码，确定一个级别的引导代码不可用，并且从安全只读位置加载该级别的引导代码的安全副本，其中该安全只读位置不与该存储器介质相关联。其它方面包括用于实施该计算机实施的方法的相对应的系统、装置和计算机程序产品。

之前所描述的方法和其它方面可以包括以下特征中的一个或多个。例如，该方法可以包括在确定该级别的引导代码不可用之前验证最后已知的可验证级别的代码，在确定该级别的引导代码不可用时停止引导周期的序列，使用安全副本对不可用级别的引导代码进行修复，并且在最后已知的可验证级别恢复该引导周期。该方法可以进一步包括在加载安全副本之前确定该级别的引导代码的冗余副本不可用。该方法可以进一步包括执行对所加载的安全引导镜像的验证。该安全只读位置可以包括位于与计算设备相关联的系统控制板上的集成电路芯片。直到安全副本的该引导周期的序列可以包括用于安装计算设备的操作系统的引导代码，该方法进一步包括将操作系统恢复到包括网络访问能力的缺省状态，并且发起预定序列以从网络源拉取更行以便将操作系统更新至最新版本。

在另外的方面，一种计算机实施的方法包括确定引导程序中的不可用引导代码部分，该引导程序存储在存储器介质上，从安全只读集成电路访问引导代码的安全副本，利用引导代码的安全副本替换不可用引导代码部分以修复存储器介质上的引导程序，并且使用经修复的引导程序从存储器介质加载缺省操作系统。就此而言，该缺省操作系统可以包括用于发起预定操作序列来从网络源拉取更新以便将操作系统更新至最新版本的刚好足够的功能。该计算机实施的方法可以进一步包括在利用引导代码的安全副本替换不可用引导代码部分之前确定对应于该不可用引导代码部分的冗余引导代码部分也不可用，并且利用引导代码的安全副本替换该冗余引导代码部分。

在又另外的方面，一种计算机实施的方法包括确定不可用的引导镜像，该引导镜像存储在存储器介质上，从安全只读集成电路访问该引导镜像的安全副本，并且使用该安全副本加载操作系统。就此而言，该计算机实施的方法还可以包括利用该安全副本替换不可用的引导镜像以修复存储器介质上所存储的引导镜像，其中使用安全副本加载缺省操作系统包括使用经修复的引导镜像从存储器介质加载操作系统。该操作系统可以是包括用于发起预定操作序列来从网络源拉取更新以便将操作系统更新至最新版本的刚好足够的功能的缺省操作系统。除此之外或替选地，该计算机实施的方法可以包括在利用安全引导镜像替换不可用引导镜像之前确定对应于该不可用引导镜像的冗余引导镜像也不可用，并且利用安全引导镜像替换该冗余引导镜像。

所要理解的是，主题技术的其它配置将由于以下详细描述而对于本领域技术人员变为显而易见的，其中主题技术的各种配置通过图示而被示出和描述。如将要意识到的，该主题技术能够为其它和不同的配置并且其若干细节能够在各个其它方面进行修改，所有这些都并不背离该主题技术的范围。因此，附图和详细描述在本质上应被认为是说明性而非限制性的。

附图说明

将参考附图进行详细描述；

图1是根据主题技术的一个方面的包括固件和安全存储器位置的用于加载引导镜像的装置和系统的示例性示图。

图2是根据主题技术的一个方面的用于通过网络恢复操作系统的装置和系统的示例性示图。

图3是图示根据主题技术的一个方面的用于从安全位置加载引导镜像的示例性过程的流程图。

图4是图示根据主题技术的一个方面的包括处理器和其它内部组件的用于从安全位置加载引导镜像的示例性服务器系统的示图。

具体实施方式

现代计算机可以包括各种备份和恢复机制。由于（例如由于恶意软件或硬件故障所导致的）数据损坏，可能期望对可引导硬盘或其它存储机制上的固件或操作系统的镜像进行替换或修复。然而，如果不是困难的过程，使用恢复镜像对镜像进行恢复也可能是复杂的，并且恢复镜像自身也可能易于数据损坏。因此，恢复损坏的镜像可能不可避免地需要计算机技术人员以相当的成本介入。该主题技术提供了在所有其它事物都失败时用户能够求助的安全的数据库存（bank），减轻对于用户或计算机技术人员介入的需求。

图1是根据主题技术的一个方面的包括固件和安全存储器位置的用于加载引导镜像的装置和系统的示例性示图。根据一个方面，计算机系统100可以包括系统板101（例如主板），其包括处理器102和一个或多个固件103；以及硬盘104。系统100可以被配置为使用跨固件和内核分区两者的一个或多个引导镜像105和/或操作系统的根文件系统来启动操作，其中每个引导镜像包括多个级别的引导代码。例如，引导镜像105可以存储在硬盘104上。在其它方面，可以包括一个或多个冗余引导镜像106（例如，在硬盘104的隐藏分区或其它可写存储器上），它们对应于引导镜像105并且作为引导镜像105的冗余，这在引导镜像105失败的情况下提供了其副本。

系统100还可以包括与系统板101相关联或者位于其上的安全存储器位置107。例如，安全存储器位置107可以被实施为位于系统控制板101上或者与之集成的集成电路芯片。该安全数据库存可以被实施为存储一个或多个安全镜像108的安全只读存储器硬件，其包括用于恢复计算机支持设备的全部或部分引导路径的受信任引导代码。在一个方面，安全镜像108可以提供引导镜像105的副本。由于它是已知良好镜像的只读副本，并且与内核和/或硬盘分离开，所以其中的引导代码可以被认为是被信任的。在一些方面，当引导失败时，可以在引导周期期间通过硬件开关或一系列按键敲击来触发使用安全镜像108的恢复。在其它方面，如以下所描述的，系统100可以在引导失败时自动访问安全存储器位置107。

固件103可以包括起动和恢复指令109，当被处理器执行时，其可进行操作而使得处理器加载并执行对引导镜像的验证。在引导镜像105或者其一个或多个部分通过验证而被确定为不可用（例如，被损坏）的情况下，指令109可以访问安全位置107以使用安全镜像108加载操作系统。替选地，当确定引导镜像105无法被验证或者不可使用时，指令109可以尝试加载并执行对冗余引导镜像106的第二验证。在冗余引导镜像106通过第二验证也被确定为不可用的情况下，该软件可以加载并执行安全引导镜像108。

当系统100被引导时，可以使用加密密钥来对引导镜像或者引导镜像的一部分进行验证。就此而言，系统100可以在从引导代码的核心受信任块开始的每个级别执行校验和，并且如果确定代码异常和/或引导失败，则可以加载镜像的冗余副本或者其一个或多个部分以恢复引导路径。冗余镜像16（和安全镜像108）可以包括整个镜像的副本或者一个或多个级别的引导代码，并且也可以利用加密密钥进行验证。如之前所描述的，如果冗余副本被确定为不可用，则系统100可以从安全存储器位置107恢复该级别的引导代码。

引导镜像105、冗余引导镜像106和安全引导镜像108可以包括用于单个引导级别的引导代码，或者可以包括被划分为多个级别的代码。由于引导代码可以在逐个级别的基础上进行恢复，所以一旦确定了不可用的镜像或其部分，该过程（process）就可进行操作以停止引导周期，访问冗余副本106和/或安全副本108以修复该部分代码，并且随后在最后已知的可验证级别恢复引导周期。例如，如果在固件级别出现故障（ED至只读至可写入），则过程可以在下一个固件级别重新开始。然而，如果内核故障，则可以在固件级别的结束时重新开始引导验证过程。在恢复过程期间，如果例如在硬盘的恢复分区上存储的冗余引导代码也被发现不可用，则系统（自动或者在用户发起按键敲击或开关时）可以将安全镜像108的相关部分从安全位置107复制到硬盘104等，替代不可使用的冗余引导代码。可以使用加密密钥进一步检查冗余引导代码以验证安全镜像被正确复制和/或没有硬件错误。

如之前所描述的，安全位置107可以包括非可移动芯片，例如eMMC、EEPROM、NAND闪存等。替选地，安全恢复镜像可以存储在从操作系统进行隐藏的固态驱动的主机保护区域中。例如，安全恢复镜像108可以存储在驱动器的eMMC的写保护分区上。在另一个方面，安全恢复镜像108可以存储在安全数字（SD）或微型SD卡上。系统100的计算机实施可以包括设备内的隐藏槽，例如电池隔间内的隐藏槽。恢复镜像可以通过将其从计算机中移除并且将其编程在单独计算机上（或者通过将其插入设备自身上的正常SD卡槽中）而被更新。在一个示例中，可以保持SD或微型SD恢复镜像与设备的主存储器介质分离，其中系统100被配置为忽略存储器介质的写保护开关针对操作系统的广告。

根据一个方面，可以随SD设备提供附加电路以防止入侵。该电路可以被锁存在使能状态或无效状态。一旦状态被选择，其就可以保持活动（例如，无法改变）直至系统重置。当该电路被使能时，SD卡可以电连接，使得系统100能够从其进行引导。当该电路被无效时，SD卡可以被断开电连接，并且系统不能从其进行引导或写入，而防止其被故障操作系统或远程攻击方改变。在一个方面，电路状态可以经由只读引导存根（stub）固件（例如在固件103中）进行选择。如果系统100确定已经选择了恢复模式，则其可以使能该电路。否则，如果确定固件应当是可重写入的，则其可以使得该电路无效。在一个示例中，可以在与系统100相关联的硬件上激活恢复按钮的情况下选择该电路状态。

之前所描述的附加电路还可以包括在集成电路和/或全芯片保护实施中，使得该芯片仅能够以恢复模式进行操作。就此而言，该附加电路可以控制芯片的写保护状态，使得该芯片可在恢复模式中进行写入而在其它模式中是只读的。为此，可以在正常引导期间保护该芯片免于意外或恶意更改，但是仍然可以允许在恢复模式中对恢复镜像进行更新。

图2是根据主题技术的一个方面的用于通过网络恢复操作系统的装置和系统的示例性示图。在一些方面，之前所描述的恢复机制可以仅安装用于使得操作系统处于已知良好状态的足够信息，其中核心镜像的其余部分可以从其它源拉取。例如，计算机支持设备200可以包括在固件201、存储器介质202（例如，硬盘）和/或安全存储器203上的一个或多个引导镜像以将操作系统恢复至缺省版本（例如，参考图1所讨论的）。在一个方面，一个或多个引导镜像可以包括缺省操作系统的网络恢复镜像，包括具有网络访问能力的有限特征集合。在安装之后，缺省操作系统可以自动或者在用户动作时发起预定序列以通过网络204拉取更新以便将操作系统更新为最新状态。对操作系统的更新可以由一个或多个远程服务器205来提供。以这种方式，恢复过程可以首先使用机载恢复过程在短时间段内（例如，针对快速引导路径的30秒）将计算机恢复至可用位置，并且随后在一个或多个背景过程中对操作系统进行更新，提供了最新的操作系统以供用户下一次重启计算机时使用。

在一些方面，随着发布进一步的操作系统和固件更新，安全镜像108可以被自动更新。以这种方式，当系统需要恢复时，操作系统和/或固件可以恢复到更新状态而不是当设备从工厂运输时可用的状态。这在原厂软件在其发布时可能具有安全弱点的方面可能是很重要的。在另外的方面，系统100可以被配置为防止安装比安全镜像旧的操作系统。就此而言，当尝试安装操作系统时，可以针对引导镜像105、冗余镜像106或安全镜像107执行检查以验证操作系统至少与镜像一样旧。恢复镜像也能够使得操作系统保护无效以便能够安装其所包含的操作系统和固件，或者其可以包括之前所描述的网络恢复镜像使得其能够通过网络取得当前操作系统和固件。

图3是图示根据主题技术的一个方面的用于从安全位置加载引导镜像的示例性过程的流程图。在步骤301，系统100发起引导周期的序列，其中每个周期从存储器介质加载一个级别的引导代码。在步骤302，系统100尝试加载和执行用于引导周期的引导代码，并且在步骤303，确定引导代码是否可用。在一个方面，可以执行代码的验证以确定其是否可用于对设备进行引导。在另一个方面，可以根据验证确定引导周期并未完全执行、出现故障或产生了错误、被损坏等。

如果引导代码可用，则其被执行。否则，在可选步骤304，在确定引导镜像通过验证被确定为不可用时，系统100尝试加载引导代码的冗余副本。如之前所描述的，该副本可以从硬盘104或其它存储器介质上的隐藏分区进行加载。在一些方面，包括冗余副本在内的引导代码的一个或多个周期可以从例如读/写固件的固件进行加载。如果系统100尝试加载引导代码的冗余副本，则在步骤305，系统100将确定该冗余副本是否也不可用。如果该冗余引导代码可用，则其被执行并且过程结束。否则，在步骤306，当确定原始和冗余引导镜像都被确定为不可用时，系统100尝试从安全位置加载引导代码的安全副本。在一些方面中，用来加载安全镜像的安全位置不与存储器介质相关联。为此，如果冗余副本存储在诸如硬盘或记忆棒的一个存储器介质上，则安全位置可以被实施为例如集成电路中的只读固件。

图4是图示根据主题技术的一个方面的包括处理器和其它内部组件的用于从安全位置加载引导镜像的示例性服务器系统的示图。在一些方面，计算机化的设备400（例如，计算机系统100等）包括若干内部组件，诸如处理器401、系统总线402、只读存储器403、系统存储器404、网络接口405、I/O接口406等。在一个方面，处理器401还可以经由I/O接口406与存储介质407（例如硬盘、数据库或数据云）进行通信。在一些方面，设备400的所有这些部件都可以被集成到单个设备中。在其它方面，这些部件可以被配置为单独组件。

处理器401可以被配置为执行代码或指令以执行这里所描述的操作和功能，管理请求流和地址映射，并且执行计算并生成命令。处理器401被配置为监视和控制服务器400中的组件的操作。处理器可以是通用微处理器、微控制器、数字信号处理器（DSP）、专用集成电路（ASIC）、现场可编程门阵列（FPGA）、可编程逻辑设备（PLD）、控制器、状态机、门逻辑、离散硬件组件或者以上的组合。一个或多个指令序列可以作为固件存储在处理器401内的ROM上。同样，一个或多个指令序列可以是存储在系统存储器405、ROM403上和从系统存储器405、ROM403读取的软件，或者是（例如经由I/O接口406）从存储介质407接收的软件。ROM403、系统存储器405和存储介质407表示处理器401能够在其上执行指令/代码的机器或计算机可读介质的示例。机器或计算机可读介质通常可以指代用来向处理器401提供指令的介质，包括诸如用于系统存储器404或者用于处理器401内的缓冲器的动态存储器的易失性介质以及诸如电子介质、光学介质和磁性介质的非易失性介质。

在一些方面，处理器401被配置为（例如经由I/O接口406）与一个或多个外部设备进行通信。处理器401进一步被配置为读取存储在系统存储器404和/或存储介质407中的数据，并且响应于来自一个或多个外部设备的请求而将所读取的数据传输至一个或多个外部设备。所读取的数据可以包括要被呈现在一个或多个外部设备上的一个或多个网页和/或其它软件呈现。一个或多个外部设备可以包括计算系统，诸如个人计算机、服务器、工作站、膝上计算机、PDA、智能电话等。

在一些方面，系统存储器404表示用来临时存储用于管理设备400的数据和信息的易失性存储器。根据主题技术的一个方面，系统存储器404是诸如双倍数据速率（DDR）RAM的随机存取存储器（RAM）。其它类型的RAM也可以被用来实施系统存储器504。存储器404可以使用单个RAM模块或多个RAM模块来实施。虽然系统存储器404被描绘为设备400的一部分，但是本领域技术人员将会认识到的是，系统存储器404可以与设备400分离而并不背离该主题技术的范围。替选地，系统存储器404可以是非易失性存储器，诸如磁盘、闪存、外围SSD等。

I/O接口406可以被配置为耦接至一个或多个外部设备以从一个或多个外部设备接收数据并且向一个或多个外部设备发送数据。I/O接口406可以包括用于例如经由总线402而将I/O接口406操作地耦接至处理器401的电气和物理连接。I/O接口406被配置为在附接至总线402的内部组件（例如处理器401）和一个或多个外部设备（例如硬盘）之间传输数据、地址和控制信号。I/O接口406可以被配置为实施标准接口，诸如串行连接SCSI（SAS）、光纤信道接口、PCI Express（PCIe）、SATA、USB等。I/O接口406可以被配置为仅实施一个接口。替选地，I/O接口406可以被配置为实施多个接口，它们可使用用户所选择的配置参数而被单独选择或者在组装时进行编程。I/O接口406可以包括一个或多个缓冲器以用于对在一个或多个外部设备和总线402和/或与之操作地附接的内部设备之间的传输进行缓冲。

本领域技术人员将会意识到的是，这里所描述的各种说明性块、模块、部件、组件、方法和算法可以被实施为电子硬件、计算机软件或者二者的组合。为了说明硬件和软件的该互换能力，以上已经一般性地在它们的功能方面对各说明性块、模块、部件、组件、方法和算法进行了描述。这样的功能被实施为硬件还是软件取决于施加于特定应用和在整体系统上施加的设计约束。技术人员可以针对每个特定应用以变化方式实施所期望的功能。各个组件和块可以以不同方式进行安排（例如，以不同顺序安排或者以不同方式划分），全部都不背离主题技术的范围。

所要理解的是，所公开的过程中的步骤的具体顺序或层级是对示例性方法的说明。基于设计偏好，所要理解的是，过程中的步骤的具体顺序或层级可以重新安排。一些步骤可以同时执行。所附方法权利要求以样本顺序给出了各步骤的要素，这并非意味着被限于所给出的具体顺序或层级。

提供之前的描述以使得任何本领域技术人员能够实践这里所描述的各个方面。之前的描述提供了主题技术的各个示例，并且主题技术不限于这些示例。对这些方面的各种修改对于本领域技术人员将是显而易见的，并且这里所定义的一般原则可以应用于其它方面。因此，权利要求并非意在被限于这里所示出的方面，而是与语言权利要求相符，除非特别指出，否则其中以单数形式对要素的引用并非意在意味着“一个且仅一个”而是表示“一个或多个”。除非另外具体指出，否则术语“一些”是指一个或多个。男性化的代词（例如，他的）包括女性和中性（例如，她的和它的），反之亦然。如果存在，标题和副标题仅是为了便利而并非对本发明进行限制。

谓语“被配置为”、“可操作以”和“被编程为”并非意味着对主语的任何特定的有形或非有形修改，而是相反地意在被可互换地使用。例如，被配置为监视和控制组件或操作的处理器也可以意味着被编程为监视和控制操作的处理器或者可操作以监视和控制操作的处理器。同样，被配置为执行代码的处理器可以被理解为被编程为执行代码或可操作以执行代码的处理器。

诸如“方面”的短语并非意味着这样的方面对于主题技术而言是必要的或者这样的方面应用于主题技术的所有配置。涉及一个方面的公开可以应用于所有配置或者一个或多个配置。一个方面可以提供一个或多个示例。诸如方面的短语可以是指一个或多个方面，反之亦然。诸如“实施例”的短语并非意味着这样的实施例对于主题技术而言是必要的或者这样的实施例应用于主题技术的所有配置。涉及一个实施例的公开可以应用于所有实施例或者一个或多个实施例。实施例可以提供一个或多个示例。诸如“实施例”的短语可以是指一个或多个实施例，反之亦然。诸如“配置”的短语并非意味着这样的配置对于主题技术而言是必要的或者这样的配置应用于主题技术的所有配置。涉及一种配置的公开可以应用于所有配置或者一种或多种配置。一种配置可以提供一个或多个示例。诸如配置的短语可以是指一种或多种配置，反之亦然。

词语“示例性”在这里被用来表示“用作示例或说明”。这里被描述为“示例性”的任何方面都并非必然被理解为是优选的或者优于其它方面或设计。

贯穿本公开所描述的各个方面的要素的本领域技术人员已知或以后知道的所有结构和功能等同形式明确通过引用结合于此并且意在被权利要求所包含。此外，这里所描述的内容都并非意在专用于公众，无论这样的公开是否在权利要求中被明确引用。除非该要素明确使用短语“用于...的装置”记载，或者在方法权利要求的情况下该要素使用短语“用于...的步骤”记载，否则权利要求的要素都不应当在U.S.C.§112第六段的规定下进行理解。此外，就术语“包括”、“具有”等在描述或权利要求中所使用的范围而言，这样的术语意在以术语“包含”当其在权利要求中被用作过度词语进行解释时相类似的方式而是包括性的。

Claims (16)

1.一种计算设备，包括：

处理器；

一个或多个引导存储器，包括引导镜像以及对应于所述引导镜像并且作为所述引导镜像的冗余的一个或多个引导镜像；

安全只读位置，包括至少一个安全引导镜像；和

存储器，包括用于发起所述计算设备的引导周期的起动和恢复软件，所述起动和恢复软件在被所述处理器执行时使得所述处理器：

加载引导镜像并且对所述引导镜像执行验证，所述引导镜像包括多个级别的引导代码；

在一个级别的引导代码通过所述验证被确定为不可用的情况下，停止所述引导周期，并且加载冗余级别的引导代码并对所述冗余级别的引导代码执行第二验证；并且

在所述冗余级别的引导代码通过所述第二验证被确定为不可用的情况下，从所述安全只读位置加载安全级别的引导代码，以便利用所述安全级别的引导代码来替换该不可用的引导代码并且在最后已知的可验证级别恢复同一个引导周期。

2.根据权利要求1的计算设备，其中对每个级别从引导代码的核心受信任块起进行验证。

3.根据权利要求1的计算设备，其中对所述引导镜像执行验证包括使用加密密钥来检查各个级别的引导代码。

4.根据权利要求1的计算设备，其中恢复软件在被执行时进一步使得所述处理器：

对所加载的安全级别的引导代码执行验证。

5.根据权利要求4的计算设备，其中对所加载的安全引导镜像执行验证包括使用加密密钥来检查多个级别的引导代码。

6.根据权利要求1的计算设备，其中所述安全只读位置包括位于与所述计算设备相关联的系统控制板上的集成电路芯片。

7.根据权利要求1的计算设备，其中所述存储器包括在与所述计算设备相关联的存储器介质上的分离的隐藏分区。

8.根据权利要求1的计算设备，其中所述安全引导镜像响应于用户发起的按键敲击而被加载。

9.根据权利要求1的计算设备，其中恢复软件在被执行时进一步使得所述处理器：

将操作系统恢复至包括网络访问能力的缺省状态；并且

发起预定序列以从网络源拉取更新以便将所述操作系统更新至最新版本。

10.根据权利要求1所述的计算设备，其中恢复软件在被执行时进一步使得所述处理器：

验证所述计算设备的操作系统至少与所述安全级别的引导代码同样旧。

11.一种恢复引导镜像的计算机实施的方法，包括：

启动引导程序以在计算设备上加载操作系统，所述引导程序存储在存储器介质上；

验证所述引导程序中的引导代码的第一部分；

确定所述引导程序中的引导代码的第二部分不可用；

响应于确定所述第二部分不可用，停止所述引导程序并且从安全只读集成电路访问引导代码的安全副本；

利用所述引导代码的安全副本替换不可用的所述引导代码的第二部分以修复所述存储器介质上的所述引导程序；和

在经验证的所述引导代码的第一部分的末尾处恢复同一个引导程序；

使用经修复的引导程序从所述存储器介质加载缺省操作系统。

12.根据权利要求11的计算机实施的方法，其中所述缺省操作系统包括用于发起预定操作序列来从网络源拉取更新以便将所述操作系统更新至最新版本的功能。

13.根据权利要求11的计算机实施的方法，进一步包括：

在利用所述引导代码的安全副本替换不可用的所述引导代码的第二部分之前，确定对应于不可用的所述引导代码的第二部分的冗余引导代码部分也不可用；并且

利用所述引导代码的安全副本替换所述冗余引导代码部分。

14.一种恢复引导镜像的计算机实施的方法，包括：

使用带有多个连续级别的代码的引导镜像来启动计算设备的引导周期；

确定所述多个连续级别的代码中的一个级别的代码是不可用的；

响应于所述确定而暂停所述计算设备的所述引导周期；

从安全只读集成电路访问所述引导镜像的安全副本；

使用所述安全副本来修复所述引导镜像的代码；

在修复了所述引导镜像之后，在不可用的所述一个级别的代码之前的一个级别的代码的末尾处，重新启动所述计算设备的同一个引导周期；并且

使用所修复的引导镜像加载操作系统。

15.根据权利要求14的计算机实施的方法，其中所述操作系统是包括用于发起预定操作序列来从网络源拉取更新以便将所述操作系统更新至最新版本的功能的缺省操作系统。

16.根据权利要求14的计算机实施的方法，进一步包括：

在修复所述引导镜像之前，确定所述引导镜像的冗余副本也不可用；并且

使用所述安全引导镜像修复所述冗余副本。