JP2002532784A - ネットワークドライバおよびソフトウェアのリモートインストールの方法および装置 - Google Patents

Abstract

(57)【要約】 本発明は、コンピュータシステムの１つ以上のメディアアクセス制御ユニット（３２０）と１つ以上のプロトコルドライバ（３１０）との間の経路におけるネットワークドライバインターフェース（３１５）へのリルーチンドライバ（３３５）のリモートインストールを提供する。ネットワークドライバインターフェース（３１５）のコードは、リルーチンドライバ（３３５）を挿入するために無効にされ、パッチされ、その後、再び動作可能にされる。コードの無効化および再動作化は、コンピュータシステムが後に続くパッチのインストールを再起動しないように実行される。

Description

【発明の詳細な説明】

【０００１】 （関連出願の相互参照） 本出願は、１９９８年１２月７日に出願された米国仮出願第６０／１１１，２
９２号の利益を主張する。

【０００２】 （発明の背景） （発明の分野） 本発明はネットワークコンピュータシステムの分野に関し、より詳細にはコン
ピュータシステムにおけるネットワークドライバおよびソフトウェアのリモート
インストールについての方法および装置に関する。

【０００３】 （背景情報） コンピュータシステムは、しばしばコンピュータの外部のソース（例えば、１
つ以上のネットワーク上）を用い情報通信を行なう。このような情報はより小さ
い情報のパケットとして頻繁に送信され、種々のネットワークトポロジー（例え
ば、「イーサネット（登録商標）」）上で伝達される。情報のルーチングは種々の
フォーマットまたはネットワークプロトコル、例えばＴＣＰ／ＩＰを用いる。エ
ンドコンピュータが情報を受け取り利用するために、そのコンピュータは適切な
ネットワークプロトコルドライバ（これ以降、プロトコルドライバと称する）を
有する必要がある。プロトコルドライバは通常、ネットワーク接続とエンドアプ
リケーション間のコンピュータの内部通信経路中で接続される。

【０００４】 図１は、従来技術によるアプリケーション通信へのメディアアクセス制御（Ｍ
ＡＣ）装置を示すブロック図である。このブロック図は、Ｍｉｃｒｏｓｏｆｔ（
登録商標）Ｗｉｎｄｏｗｓ（登録商標） ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍｓ
（例えば、Ｗｉｎｄｏｗｓ(登録商標)９５、Ｗｉｎｄｏｗｓ（登録商標）９８、
Ｗｉｎｄｏｗｓ（登録商標）ＮＴ等）（ワシントン州、レッドモンドに所在する
Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐ．により製造された）を利用するコンピュータシ
ステムの簡略図である。メディアアクセス制御装置（ＭＡＣ）１２０によるネッ
トワークによって、情報は例えばパケットとして初期的に受け取られる。ＭＡＣ
１２０はネットワーク上の物理送信メディアへのアクセスを制御するために使用
される。ＭＡＣ１２０はＮＤＩＳ１１５に対して情報をルーティングする。ＮＤ
ＩＳ１１５はネットワークドライバインターフェースである。ＮＤＩＳ１１５は
情報を受信し、プロトコルドライバ１１０（例えば、ＴＣＰ／ＩＰドライバ）と
して示される適切なプロトコルドライバに対して情報をルーティングする。プロ
トコルドライバ１１０は情報を受信し、ＷＩＮＳＯＣＫ１０５に対して情報をル
ーティングする。ＷＩＮＳＯＣＫはワシントン州、レッドモンドに所在するＭｉ
ｃｒｏｓｏｆｔ Ｃｏｒｐ．により製造されたインターフェースプログラムであ
る。ＷＩＮＳＯＣＫ１０５は情報を受信し、適切なアプリケーション１００に対
して情報をルーティングする。

【０００５】 ＭＡＣ１２０とプロトコルドライバ１１０との間で、異なるプロトコルドライ
バを現存する通信経路（これ以降、バインディングと称する）に挿入することは
、ある時には有用である。新しいプロトコルドライバが現存するバインディング
に加えられる場合、新たなプロトコルドライバを組み込む新たなバインディング
が構築されなければならない。新たなバインディングは新たなプロトコルドライ
バをＭＡＣ１２０にリンクする。

【０００６】 図２は図１のシステムにおける中間ドライバを挿入する従来技術を図示したブ
ロック図である。中間ドライバは新たなプロトコルドライバを既存のコンピュー
タシステムにインストールするために使用される。この方法は、ＩｍＳａｍｐの
中間ドライバサンプルＩＭＳＡＭＰ．ＳＹＳ．（ワシントン州、レッドモンドに
所在するＭｉｃｒｏｓｏｆｔ Ｃｏｒｐ．により入手可能）についての「ＲＥＡ
ＤＭＥ」ファイル中により完全に記述される。

【０００７】 この方法において、中間プロトコルドライバ１２５はＮＤＩＳ１１５に向かう
。番号１において、ＭＡＣ１２０はＮＤＩＳ１１５に情報をルーティングする。
番号２において、ＮＤＩＳ１１５は情報を受信し、その情報を中間プロトコルド
ライバ１２５にルーティングする。中間プロトコルドライバ１２５内で、情報は
、新たなバインディングを通して挿入プロトコルドライバ１３０に通される。挿
入プロトコルドライバ１３０から、中間プロトコルドライバ１２５中のＭＡＣ１
３５により、情報がＭＡＣ層フォーマットに変換される。次いで、番号３におい
て情報はＭＡＣ１３５からＮＤＩＳ１１５を通り、プロトコルドライバ１１０へ
の情報の連続的なルーティングを可能にする。プロトコルドライバ１１０から、
情報はＷＩＮＳＯＣＫ１０５を通り、適切なアプリケーション１００に手渡す。

【０００８】 上述した従来技術の方法はその有用性に影響するいくらかの制限を有する（特
に多数のコンピュータを用いネットワークを実行した場合）。第１に、中間プロ
トコルドライバソフトウェアは手動で各コンピュータ上にインストールされなけ
ればならない。例えば、個々のシステム技術者は物理的に各コンピュータまで出
向いて、中間プロトコルドライバソフトウェアおよび新たなプロトコルドライバ
を手動でロードしなければならない。多数のコンピュータが単にソフトウェアの
ロードに関与する場合、このことは実質的な時間投資（ｔｉｍｅ ｉｎｖｅｓｔ
ｍｅｎｔを含み得る。また、使用中のアプリケーションをインストールの間に終
了しなければならないように、コンピュータ操作者の生産性の損失も引き起こす
。第２に新たなプロトコルドライバの操作を可能にするため、コンピュータをシ
ャットダウンおよび再起動しなければならない。シャットダウンおよび再起動の
必要性は、使用中のアプリケーションをセーブし終了することも必要とする。多
数のコンピュータが関与する場合、このことは生産性の大きな損失を引き起こし
、ネットワークによって提供されるサービスを混乱させ得る。

【０００９】 いくつかのオペレーティングシステムが遠隔的にソフトウェアをネットワーク
上に配信する機構を提供することに留意すべきである。一般的にこれらのシステ
ムはサーバを含み、このサーバに対していくつかのコンピュータが接続される。
遠隔配信において、新たなソフトウェアがサーバ上にロードされ、次いで個々の
コンピュータに配信される、従ってインストールに要する時間は減少する。しか
しながら、遠隔配信を備えた場合でさえ、中間プロトコルドライバのインストー
ルは、ユーザ（例えば、システム技術者）が既存の使用中のアプリケーションを
終了し、インストールを実行し、コンピュータシステムをシャットダウンし、次
いで新たなプロトコルドライバの操作を可能にするためにコンピュータシステム
を再起動することを必要とする。 （発明の簡単な要旨） 本発明は、ネットワークドライバおよびソフトウェアを遠隔的にインストール
するための方法および装置を提供する。本発明の１つの実施形態によれば、イン
ストレーションアプリケーションおよびリルーティングドライバを、遠隔ホスト
からネットワーク上の第１の相手先コンピュータに送信するための、コンピュー
タでインプリメントされる方法が提供される。この第１の相手先コンピュータは
、ネットワークドライバインターフェースを含み、このネットワークドライバイ
ンターフェースは、１つ以上のメディアアクセス制御ユニットと１組の結合に応
じた１つ以上のプロトコルドライバとの間に通信を提供する。リモートホストは
、第１の相手先コンピュータにインストレーションアプリケーションを実行させ
るコマンドを、第１の相手先コンピュータに送る。このコマンドの受信に応答し
て、第１の相手先コンピュータは、インストレーションアプリケーションを実行
する。インストレーションアプリケーションの実行に応答して、第１の相手先コ
ンピュータは、ネットワークドライバインターフェースの変更を生じさせ、これ
により、第１の相手先コンピュータを再起動させることなく、１組の結合により
提供される１つ以上の通信経路にリルーティングドライバが挿入される。

【００１０】 （発明の詳細な説明） 本発明は、以下の説明および本発明の実施形態を説明するために用いられる添
付の図面を参照することにより、最良に理解され得る。

【００１１】 以下の説明において、本発明の深い理解を提供するために、多数の特定の詳細
について説明する。しかし、本発明は、これらの特定の詳細が無くとも実施可能
であることが理解される。別の例では、本発明を不明瞭にしないため、周知の接
続、構造および技術の詳細は記載していない。

【００１２】 ネットワークドライバおよびソフトウェアをコンピュータシステムに遠隔的に
インストールする方法および装置について説明する。これを達成するため、本発
明は、インストレーションを行っている間にコンピュータシステムの動作を継続
でき、かつ、リルーティングドライバの動作をイネーブルするためにコンピュー
タシステムをシャットダウンおよび再起動する必要のない様式で、リルーティン
グドライバのリモートインストレーションを可能にする。

【００１３】 図３は、本発明の１つの実施形態による、ＭＡＣとプロトコルドライバとの間
のリルーティングドライバの静的パッチングを示すブロック図である。このリル
ーティングドライバを挿入することによって生じる既存の結合または将来の結合
を実線で示す。リルーティングドライバを挿入することによってリルーティング
される既存の結合または将来の結合を点線で示す。

【００１４】 図３は、従来技術と同様の、ネットワーク情報（例えば、パケット）が、ＮＤ
ＩＳ３１５へとルーティングされている１つ以上のＭＡＣ ３２０Ａ〜ｉによっ
て受け取られる様子を示す。静的パッチをインストールする前に、ＮＤＩＳ３１
５は、情報を、１つ以上のプロトコルドライバ（単数または複数）３１０にルー
ティングする。次いで、プロトコルドライバ（単数または複数）３１０はこの情
報を、適切なアプリケーション（単数または複数）３００へのさらなるルーティ
ング用としてＷＩＮＳＯＣＫ ３０５にルーティングする。

【００１５】 リモートホスト（図示せず）からのリモート配信または直接的ローディングの
いずれかを介して、インストールアプリケーション３２５、ＤＬＬ３３０および
リルーティングドライバ３３５が、相手先のコンピュータ内のメモリにコピーさ
れ、インストールアプリケーション３２５が起動する。インストールアプリケー
ション３２５は、ＤＬＬ３３０によって提供されるインターフェース（符号Ａお
よびＢを参照）を通じて、リルーティングドライバ３３５のローディングをリク
エストする。インストールアプリケーション３２５は、制御コード３４０に結合
コード３４５を実行するようにリクエストして、リルーティングドライバ３３５
と少なくとも１つのＭＡＣ ３２０Ａとの間の新規結合（符号Ｃを参照）を確立
する。次いで、インストールアプリケーション３２５は、制御コード３４０に静
的パッチングコード３６５をインストールするようにリクエストする（符号Ｄを
参照）。符号Ｅにおいて、静的パッチングコード３６５は、ＮＤＩＳ３１５から
、テンプレートジャンプ（ｔｅｍｐｌｅｔｅ ｊｕｍｐ）（単数または複数）３
７５を、リルーティングドライバ３３５内のテンプレート（単数または複数）３
５０に挿入する。特に、ＮＤＩＳ３１５は、ＭＡＣ（単数または複数）３２０と
プロトコルドライバ（単数または複数）３１０との間の情報通信を行うための一
般的な呼び出しを有するコードを含む。この静的パッチは、これらの呼び出しの
各々を、１つのテンプレート（単数または複数）３５０に対するジャンプと取り
換える。静的パッチングコードインストレーションの詳細に関しては、本明細書
中、図６を参照して後述する。この結合は、各ＭＡＣ３２０について継続される
。インストレーション後、インストールアプリケーション３２５が削除され得る
。静的パッチが完了すると、リルーティングドライバ３３５が、ＭＡＣ（単数ま
たは複数）３２０とプロトコルドライバ（単数または複数）３１０との間にある
ＮＤＩＳ３１５に挿入される。

【００１６】 番号１において、静的パッチの後、１つ以上のＭＡＣ（単数または複数）３２
０によって受け取られた情報は、ＮＤＩＳ３１５にルーティングされる。番号２
において、次いで、プロトコルドライバ（単数または複数）３１０に向けられた
情報は、テンプレートジャンプ（単数または複数）３７５の１つから、リルーテ
ィングドライバ３３５内のテンプレート（単数または複数）３５０の１つへとジ
ャンプされる。番号３において、テンプレート（単数または複数）３５０によっ
て受け取られた情報は、挿入コード３５５へとルーティングされ得る。挿入コー
ド３５５は、新規なプロトコルドライバまたは別のプログラム（例えば、情報が
さらにルーティングされることを回避することができるセキュリティプログラム
）であり得る。挿入コード３５５が完成すると、情報は、テンプレート（単数ま
たは複数）３５０にルートバックされる。番号４において、テンプレート（単数
または複数）３５０は、情報をプロトコルドライバ３１０にルーティングし得、
あるいは、この情報をこれ以上通過させるのが望ましくない場合、情報を破棄す
ることもできる。番号５において、ＮＤＩＳ３１５へのリターンジャンプが実行
される。

【００１７】 静的パッチングコード３６５がインストールされた後、同じ情報を通信する経
路として、２種類のＮＤＩＳ３１５への結合が生じている点に留意されたい。１
つの結合は、ＮＤＩＳ３１５からリルーティングドライバ３３５への初期結合上
に確立される（図３において、この結合を、ＮＤＩＳ３１５とリルーティングド
ライバ３３５との間の断続線として示す）。第２の種類の結合は、ＮＤＩＳ３１
５とプロトコルドライバ（単数または複数）３１０との間にもともとある結合（
単数または複数）である（図３において、こういった結合（単数または複数）を
、ＮＤＩＳ３１５とプロトコルドライバ（単数または複数）３１０との間の断続
線として示す）。こういった結合は実質的には、静的パッチングによって除去さ
れる。これは、リルーティングドライバ３３５が、プロトコルドライバ３１０へ
の呼び出しを遮断し、その後、挿入コード３５５が完成した際に、プロトコルド
ライバ（単数または複数）３１０への呼び出しを発行するからである。リルーテ
ィングドライバ３３５は、プロトコルドライバ３１０への情報伝送ルートが１つ
だけであることを確認するために、入来する伝送を調査して、情報がプロトコル
ドライバ（単数または複数）３１０の１つまたはリルーティングドライバ３３５
自身へと向けられているか否かを判定する。プロトコルドライバ（単数または複
数）３１０の１つに向けられた情報は、挿入コード３５５へと送られる。リルー
ティングドライバ３３５に向けられた情報は、破棄されるか、または、他の目的
（例えば、セキュリティ目的）のために利用され得る。

【００１８】 図４は、本発明の１つの実施形態による、リルーティングドライバ３３５を遠
隔的にインストールする際のフロー図である。ブロック４００において、インス
トールアプリケーション３２５、ＤＬＬ３３０およびリルーティングドライバ３
３５を、リモートホスト（図示せず）からネットワークで結ばれた相手先コンピ
ュータのメモリに遠隔的にコピーする。ブロック４１０において、周知のリモー
トサービスリクエスト技術を用いて、インストールアプリケーション３２５を起
動する。リモートインストレーションでは、手作業によるソフトウェアのインス
トレーションは、リモートホストコンピュータにおいてのみ必要とされる点に留
意されたい。システム技術者がソフトウェアをリモートホストにロードした後、
そのソフトウェアは、ネットワーク上の他の個々のコンピュータにコピーされる
。従って、システム技術者は、ネットワーク内の個々の各コンピュータにインス
トレーションソフトウェアをロードするために生産時間を浪費せずにすむ。

【００１９】 図５は、本発明の１つの実施形態による、インストールアプリケーション３２
５の動作を示すフロー図である。インストールアプリケーション３２５が起動し
た後、ブロック５００において、インストールアプリケーション３２５は、少な
くとも１つのＭＡＣ３２０Ｘを識別する。ブロック５１０において、インストー
ルアプリケーション３２５は、ＭＡＣ ３２０Ｘを識別すると、リルーティング
ドライバ３３５のローディングをリクエストする。ブロック５２０において、イ
ンストールアプリケーション３２５は、制御コード３４０に結合コード３４５を
実行するようにリクエストして、リルーティングドライバ３３５とＭＡＣ３２０
Ｘとを結合させる。ブロック５３０において、インストールアプリケーション３
２５は、制御コード３４０に静的パッチングコード３６５を実行するようにリク
エストする。本明細書中、静的パッチングコード３６５の動作について、図６を
参照してさらに説明する。静的パッチングコード３６５が実行された後、ブロッ
ク５４０において、インストールアプリケーション３２５は、オプションとして
、ＤＬＬ３３０にインストールアプリケーション３２５を他の任意のＭＡＣ（単
数または複数）３２０に結合するように任意にリクエストする。ＭＡＣ（単数ま
たは複数）３２０全てが結合されると、インストールアプリケーション３２５は
削除され得る。

【００２０】 図６は、本発明の１つの実施形態による、静的パッチングコード３６５の動作
を示すフロー図である。ブロック６００において、制御コード３４０は、コンピ
ュータシステムのオペレーティングシステムのバージョンを識別する。この工程
が必要なのは、様々なバージョンのオペレーティングシステムに対して静的パッ
チングコード３６５を選択的に構成するからである。この選択的構成は、各バー
ジョンのオペレーティングシステムを評価して、ＮＤＩＳ３１５の命令コード中
のプロトコルドライバ（単数または複数）ＣＡＬＬのオフセットを判定すること
により、事前決定される。これらのアドレスは、周知のデバッグ技術を用いて判
定され得る。

【００２１】 ブロック６１０において、制御コード３４０は、識別されたオペレーティング
システムバージョンに対してオフセットデータが利用可能か否かを識別して、静
的パッチングコード３６５のインストレーションを可能にする。オフセットデー
タが無い場合、制御コード３４０は、ユーザに通知するためにインストールアプ
リケーション３２５にリターンする（ブロック６６０）。オフセットデータが有
る場合、制御コード３４０は、ＮＤＩＳ３１５命令コードのスタートメモリアド
レスを識別する（ブロック６２０を参照）。ブロック６３０において、制御コー
ド３４０は、ＮＤＩＳ３１５内の少なくとも特定のパッチ対象コードへのアクセ
スをディセーブルする。特定の１つのプロセッサコンピュータシステムにおいて
、ブロック６３０は、全ての割り込みをディセーブルすることにより行われ得る
。本明細書中、マルチプロセッサコンピュータシステムにおいてブロック６３０
を行うための技術については、図１２を参照して後述する。

【００２２】 ブロック６４０において、静的パッチングコード３６５を用いて、ＮＤＩＳ３
１５内の命令コードを静的にパッチする。これは、各所定のメモリアドレス内の
命令を、（所定のオフセットを用いて）リルーティングドライバ３３５内のテン
プレート（単数または複数）３５０に対するテンプレートジャンプ（単数または
複数）３７５で上書きすることにより、行われる。本明細書中、この静的パッチ
コード３６５を用いた命令の上書きについては、図７および８を参照して後述す
る。

【００２３】 ブロック６５０において、制御コード３４０は、パッチされたＮＤＩＳ３１５
内のコードへのアクセスを再イネーブルする。ブロック６６０において、制御コ
ード３４０は、インストールアプリケーション３２５にリターンする。ＮＤＩＳ
３１５内にパッチされているコードへのアクセスをディセーブルおよび再イネー
ブルすれば、既存の使用中のアプリケーションおよびシステムをシャットダウン
／再起動させることなく、パッチング（およびゆえにリルーティングドライバの
インストレーション）を行うことが可能となる。

【００２４】 図７は、静的パッチングコード３６５を挿入する前の、ＮＤＩＳ３１５からの
基本命令コードのブロックである。ＮＤＩＳ３１５が命令スタック内の命令「Ｃ
ＡＬＬ Ｘ」に到達すると、ＮＤＩＳ３１５は、変数「Ｘ」によって識別されて
いるプロトコルドライバ（例えば、プロトコルドライバ（単数または複数）３１
０の１つ）を呼び出す。静的パッチングコード３６５がインストールされている
間、命令「ＣＡＬＬ Ｘ」は、テンプレートジャンプ３７５で上書きされる。こ
の上書きにより、「ＣＡＬＬ Ｘ」は、リルーティングドライバ３３５内のテン
プレート（単数または複数）３５０の１つへのジャンプと取り換えられ、これに
より、テンプレート３５０の命令が、プロトコルドライバＸに対する意図される
ルーチンへの呼び出しの代わりに実行される。

【００２５】 図８は、本発明の１つの実施形態による、テンプレート（単数または複数）３
５０の１つへの呼び出しに対するＮＤＩＳ３１５のパッチングを示す図である。
このパッチングでは、「ＣＡＬＬ Ｘ」命令をテンプレートジャンプ３７５で上
書きする−−すなわち、リルーティングドライバ３３５内のテンプレート３５０
アドレスへの「ＪＵＭＰ」を行う。ジャンプ命令の長さは、図７において先に図
示した「ＣＡＬＬ Ｘ」および「＜ＩＮＳＴＲＵＣＴＩＯＮ９２０＞」の両方に
上書きされる点に留意されたい。次いで、「ＪＵＭＰ」は、テンプレート３５０
のアドレスに為される。テンプレート３５０は、新規な命令（例えば、命令９５
０）を含み得、これらの新規な命令において、さらなる挿入コード３５５が実行
または呼び出され得る。さらなる挿入コード３５５が完成すると、テンプレート
３５０は、「ＣＡＬＬ Ｘ」および残りの置換された命令（例えば、「＜ＩＮＳ
ＴＲＵＣＴＩＯＮ９２０＞」）を実行し、ＮＤＩＳ３１５内の次のアドレス（す
なわち、「＜ＩＮＳＴＲＵＣＴＩＯＮ９３０＞」）にジャンプバックする。この
ような様式で、リルーティングドライバ３３５への静的パッチがＮＤＩＳ３１５
に導入される。このＮＤＩＳ３１５の命令コード内の特定のメモリアドレスにお
ける上書きは、当該オペレーティングシステムに対する呼び出し全てが、異なる
テンプレート３５０に対応する異なるテンプレートジャンプ３７５を用いて上書
きされるまで、繰り返される。

【００２６】 図９は、本発明の１つの実施形態による、テンプレート（単数または複数）３
５０の１つの動作を示すフロー図である。ブロック９００において、ＭＡＣのリ
クエストに応答して、ＮＤＩＳ３１５内のテンプレートジャンプ３７５からテン
プレート３５０へのジャンプが行われる。上述したように、このＭＡＣのリクエ
ストは、静的パッチングコード３６５をインストールする際に確立された２重結
合のため、プロトコルドライバ３１０またはリルーティングドライバ３３５へと
送られ得る。ブロック９１０において、テンプレート３５０は、情報がリルーテ
ィングドライバ３３５行きかどうかを判定する。

【００２７】 情報がリルーティングドライバ３３５行きではない場合、その情報は、プロト
コルドライバ（単数または複数）３１０の１つへと向けられたものであり、その
情報は、静的パッチングコード３６５を通じて受け取られる。次いで、ブロック
９２０において、情報は、挿入コード３５５へとルーティングされる。挿入コー
ド３５５が完了すると、情報は、挿入コード３５５の命令の結果に応じて、ＣＡ
ＬＬを介して適切なプロトコルドライバ３１０にルーティングされるかまたはル
ーティングされなくなり得る。ブロック９３０において、呼び出しが適切なプロ
トコルドライバ（単数または複数）３１０にルーティングされる場合、挿入コー
ド３５５からリターンする際に適切なプロトコルドライバ３１０が呼び出される
。ブロック９５０において、呼び出しからリターンする際、テンプレート３５０
からＮＤＩＳ３１５へのジャンプバックが実行される。あるいは、呼び出しがプ
ロトコルドライバ（単数または複数）３１０にルーティングされていない場合、
ブロック９５０において、情報をプロトコルドライバ３１０にルーティングする
ことなくＮＤＩＳ３１５へのジャンプバックが行われる。

【００２８】 情報がリルーティングドライバ３３５行きである場合、その情報は、ＮＤＩＳ
３１５とリルーティングドライバ３３５との間の結合を通じて受け取られる。ブ
ロック９４０において、テンプレート３５０は、所定の規定のアクションを実行
する。このアクションは、情報の破棄または情報の他のコード命令へのルーティ
ングであり得る。ブロック９５０において、規定のアクションからリターンする
際、ＮＤＩＳ３１５へのリターンジャンプバックが実行される。

【００２９】 従って、本発明の１つの実施形態は、中央のホストコンピュータからのネット
ワークドライバおよびソフトウェアを遠隔的にインストールする方法および装置
を提供する。本発明は、従来技術に対して実質的な利点を提供し得、特に大型の
コンピュータネットワークではその効果が大きくなる。

【００３０】 第１に、本発明のリモートインストレーションでは、ホストコンピュータに接
続されている個々のコンピュータへアプリケーションを配信する際、システム技
術者は、そのアプリケーションをホストコンピュータにインストールするだけで
すむ。このリモートインストレーションは、システム技術者がソフトウェアを各
個々のコンピュータに手作業でロードする必要を軽減する。

【００３１】 第２に、このリモートインストレーションは、使用中のシステムが動作したま
までの状態でも達成可能であり、新規ドライバおよび／またはソフトウェアの動
作をイネーブルするためにシステムをシャットダウンおよび起動させる必要がな
い。これは、インストレーション中に既存のアプリケーションを保存および終了
する必要を軽減し得、また、作業時間およびシステムアクセスの維持に繋がり得
る。

【００３２】 第３に、図２を参照して説明した従来技術では、中間プロトコルドライバによ
って受け取られる情報を、中間プロトコルドライバを用いて（ＮＤＩＳを通じた
プロトコルドライバへのルーティング用として）ＭＡＣ層フォーマットに再変換
する必要があった。そのため、パケットは、ＭＡＣ層フォーマットからプロトコ
ル層フォーマットへと２回変換される（すなわち、１回目は、ＭＡＣからＮＤＩ
Ｓを通じたリルーティングドライバへの初期の伝送、２回目は、中間ドライバか
らＮＤＩＳを通じたプロトコルドライバへの伝送）。従来技術とは対照的に、本
発明では、情報をリルーティングドライバからプロトコルドライバへとルーティ
ングする際、ＭＡＣ層フォーマットに再度変換することは不要である。

【００３３】 上記の本発明の実施形態ではリモートインストレーションに関して説明したが
、所望ならば、本発明は、個々のコンピュータに手作業でインストールすること
も可能であることが理解される。

【００３４】 （別の実施形態） 上記の本発明の実施形態では、ネットワークドライバおよびソフトウェアを遠
隔的にインストールする方法および装置を提供する。本発明の別の実施形態では
、このリモートインストレーションの実施形態を用いて，配信されたパケットに
基づくセキュリティシステムを、１つ以上の個々のネットワークコンピュータに
インストールする。

【００３５】 現在、ネットワークで接続されたコンピュータは、ネットワーク（例えば、イ
ンターネット）を通じた電子的侵入に対して無防備である。ネットワーク上のコ
ンピュータへのアクセスを制限するために、コンピュータネットワークでは一般
的には、コンピュータセキュリティ手段を用いて，選択されたパラメータに基づ
いてネットワークへのアクセスを制限している。

【００３６】 図１０は、本発明の１つの実施形態による、配信されたパケットに基づくセキ
ュリティを用いたネットワークを示すブロック図である。スイッチングネットワ
ークへの最初のアクセスセキュリティは、ファイアウォールによって提供される
。ファイアウォールは一般的には、個人単位でのシステムへのアクセス権を与え
られている者を除き、システムへのアクセスをブロックする。アクセス権限の最
新状態および有効状態を保つためには、継続的な更新を必要とする。大型のコン
ピュータネットワークの場合、最新の個々のアクセス認証を保持することは、時
間がかかり、また困難でもある。従って、アクセスリストから独立した別のセキ
ュリティ手段として、パケットに基づくセキュリティシステムがある。

【００３７】 パケットに基づくセキュリティシステムは、インストレーションが容易でかつ
／または低コストであるため、サーバ（単数または複数）の１つ以上および／ま
たは個々のコンピュータ１０００Ａ〜ｉの１つ以上にインストール可能である。
このパケットに基づくセキュリティシステムは、いくつかの所定の基準に従い、
ネットワークを介して受け取られた情報パケットを評価する。

【００３８】 本発明の１つの実施形態において、配信されたパケットに基づくセキュリティ
システムのためのリルーティングドライバが提供される。このリルーティングド
ライバは、受け取られたネットワーク情報を、所定のパラメータおよび／または
動的パラメータと比較して評価し得る。これらのパラメータに基づいて、このセ
キュリティシステムは、情報を連続的にプロトコルドライバに伝送することを防
止または許可し得る。このような様式で、望ましくない情報をＮＤＩＳレベルに
おいて阻止し、プロトコルドライバまたはコンピュータのアプリケーションレベ
ルに侵入させないようにする。また、本発明は、さらなるセキュリティ評価を行
うために、未伝送情報を保存する能力を提供する。さらに、本発明は、個々のコ
ンピュータが動作している間に（各コンピュータシステムをシャットダウンおよ
び再起動させることなく）分散され、リモートホストを通じて個々のコンピュー
タにインストールされ得る。

【００３９】 図１１Ａは、本発明の１つの実施形態による、パケットに基づくセキュリティ
用のリルーティングドライバのインストレーションおよび部分的動作を示すブロ
ック図である。１つ以上のＭＡＣ（単数または複数）１１２０によって受け取ら
れたネットワーク情報は、ＮＤＩＳ１１１５にルーティングされる。リルーティ
ングドライバ１１３５をインストールする前に、ＮＤＩＳ１１１５は、情報をプ
ロトコルドライバ１１１０にルーティングする。次いで、プロトコルドライバ１
１１０は、この情報を適切なアプリケーション１１００へのさらなるルーティン
グ用としてＷＩＮＳＯＣＫ １１０５にルーティングする。

【００４０】 上述したように、インストール／セキュリティアプリケーション１１２５、Ｄ
ＬＬ１１３０およびリルーティングドライバ１１３５は、相手先のコンピュータ
内のメモリにコピーされ、インストール／セキュリティアプリケーション１１２
５が起動する。インストール／セキュリティアプリケーション１１２５は、ＤＬ
Ｌ１１３０によって提供されるインターフェース（符号ＡおよびＢを参照）を通
じて、リルーティングドライバ１１３５のローディングをリクエストする。イン
ストール／セキュリティアプリケーション１１２５は、制御コード１１４０に結
合コード１１４５を実行するようにリクエストし、これにより、リルーティング
ドライバ１１３５内の取得ユニット１１６０と、ＭＡＣ１１２０Ｘとして示す少
なくとも１つのＭＡＣ１１２０との間の新規結合を確立する（符号Ｃを参照）。
インストール／セキュリティアプリケーション１１２５は次いで、制御コード１
１４０に静的パッチングコード１１６５をインストールするようにリクエストす
る（符号Ｄを参照）。符号Ｅにおいて、静的パッチングコード１１６５は、ＮＤ
ＩＳ １１１５から、テンプレートジャンプ１１７５を、リルーティングドライ
バ１１３５内のテンプレート１１５０に挿入する。取得ユニット１１６０への結
合は、残りのＭＡＣ１１２０Ａ〜ｉの各々についても維持される。静的パッチが
完了すると、リルーティングドライバ１１３５は、ＭＡＣ（単数または複数）１
１２０とプロトコルドライバ（単数または複数）１１１０との間のＮＤＩＳ１１
１５に挿入される。

【００４１】 上述したように、各ＭＡＣについて少なくとも２つの結合が生じている。１つ
の結合は、ＮＤＩＳ１１１５からリルーティングドライバ１１３５内の取得ユニ
ット１１６０への初期結合上に確立される；図１１Ａにおいて、この結合を、Ｎ
ＤＩＳ１１１５と取得ユニット１１６０との間の断続線として示す。残りの結合
（単数または複数）は、ＮＤＩＳ１１１５とプロトコルドライバ（単数または複
数）１１１０との間の初期結合であり、この初期結合は、静的パッチ（図示せず
）によってリルーティングドライバ１１３５に進路変更される。その結果、ＭＡ
Ｃから受け取られた所与のパケットについて、ＮＤＩＳ１１１５は、プロトコル
ドライバ（単数または複数）１１１０の少なくとも１つおよび取得ユニット１１
６０を呼び出そうと試みる。しかし、静的パッチのため、各試みは、テンプレー
ト（単数または複数）１１５０の１つへのエントリ（ｅｎｔｒｙ）を生じる。図
１１Ａ中の丸で囲んだ番号１〜５は、ＮＤＩＳ１１１５がプロトコルドライバ（
単数または複数）１１１０の１つを呼び出そうと試みるタイミングを示し、図１
１Ｂ中の丸で囲んだ番号は、ＮＤＩＳ１１１５が取得ユニット１１６０を呼び出
そうと試みるタイミングを示す。

【００４２】 図１１Ａを参照して、番号１において、ＭＡＣ１１２０からＮＤＩＳ１１１５
へのリクエストが為される。番号２において、（プロトコルドライバ１１１０）
への呼び出しが試みられた際に）ＮＤＩＳ１１１５内のテンプレートジャンプ１
１７５から、テンプレート１１５０へのジャンプが受け取られる。テンプレート
１１５０は、リクエストがリルーティングドライバ１１３５行きかどうかを判定
する。リクエストがリルーティングドライバ１１３５行きである場合、本明細書
中おいて図１１Ｂを参照して後述するような、パケットに基づくセキュリティに
関連するさらなるアクションがとられる。リクエストがリルーティングドライバ
１１３５行きではない場合、情報は、プロトコルドライバ１１１０へと向けられ
る（図１１Ａの主題）。

【００４３】 番号３において、情報は、フィルタユニット１１５５にルーティングされる。
フィルタユニット１１５５は、意図されるプロトコルドライバ１１１０に情報を
送るべきか否かを判定するための情報を評価するコードを含み得る。情報をこれ
以上先に送ることが望ましくない場合、情報を破棄するかまたはフィルタユニッ
ト１１５５によってさらに利用することができ、番号５において、ＮＤＩＳ１１
１５へのジャンプバックが実行される。情報が受容可能と判定された場合、情報
は、テンプレート１１５０にルートバックされる。次いで、番号４において、テ
ンプレート１１５０は、ＮＤＴＳ １１１５から抽出されたＣＡＬＬ Ｘをパッ
チング中に実行することにより、この情報をプロトコルドライバ１１１０にルー
ティングする。番号５において、この情報がプロトコルドライバ１１１０からテ
ンプレート１１５０へとリターンする際、ＮＤＩＳ１１１５へのリターンジャン
プが実行される。

【００４４】 図１１Ｂは、本発明の１つの実施形態による、パケットに基づくセキュリティ
用のリルーティングドライバの動作の別の部分（特に、ＮＤＩＳ１１１５がリル
ーティングドライバ１１３５を呼び出そうと試みる場合）を示すブロック図であ
る。この場合、番号２において、（リルーティングドライバ１１３５の呼び出し
の試みに際し）テンプレート１１５０へのジャンプはやはり、ＮＤＩＳ１１１５
内のテンプレートジャンプ１１７５から受け取られる。テンプレート１１５０は
、リクエストがリルーティングドライバ１１３５行きかどうかを判定する。番号
３において、情報は、（例えば、ＮＤＩＳ１１１５から抽出されたＣＡＬＬ Ｘ
をパッチング中に行うことにより）取得ユニット１１６０へと送られる。取得ユ
ニット１１６０は、所定の命令に従って、この情報をさらなるセキュリティ評価
用として保存し、番号４において、ＮＤＩＳ１１１５へのジャンプバックが実行
される。

【００４５】 １つの実施形態において、取得ユニット１１６０によって保存された情報（以
下、この情報を日付とする）のさらなるセキュリティ評価を、別のアプリケーシ
ョン（例えば、インストール／セキュリティアプリケーション）によって行うこ
とができる。取得情報は、システムアドレススペース（例えば、プロトコルドラ
イバ、リルーティングドライバ、ＮＤＩＳおよびＭＡＣが常駐する場所）におい
て発生する。多くのアプリケーションが、システムアドレススペースから発生す
るデータへのアクセスを必要とする。これを達成するための典型的な方法は、シ
ステム呼び出し（例えば、Ｉ／Ｏ ＡＰＩ）を作成することにより達成される。
これらのシステム呼び出しは、ＣＰＵリソース用途ではあまり効率が良くなく、
ユーザアドレススペースとシステムアドレススペースとの間メモリのコピーを行
うことが多い。加えて、これらのシステム呼び出しはまた、ＣＰＵの状態がユー
ザモードからスーパーバイザーモードへと移行し、またユーザモードにリターン
するような、少なくとも２つの損失を伴うＣＰＵの状態移行を生成する。このオ
ーバーヘッドを最小限にする１つのオプションとして、コードのより多くをシス
テムアドレススペースにおいて実行することがある。こうすると、ソフトウェア
をデバッグする困難性が増加し、多数のオペレーティングシステム上の複数のＣ
ＰＵの利点を活かすことができないという不利点も生じる。

【００４６】 １つの実施形態において、システムアドレススペース内のデバイスドライバと
、ユーザスペース内のアプリケーション（単数または複数）との間に、共有メモ
リバッファを作成する。このようにすると、アプリケーションが、メモリ読出し
以上のオーバーヘッドを生じることなく、システムアドレススペース内のデータ
にアクセスすることが可能となる。しかし、ドライバコードを実行しているＣＰ
Ｕが、アプリケーションを実行しているＣＰＵによってアクセスされているメモ
リを同時に修正し得るという状況を回避する必要が出てくる。

【００４７】 この同時使用の状況を回避するために、１つの実施形態において、２つのカウ
ンタを用いて、バッファの状態を信号にして送ることができる。１つのカウンタ
（「書込みカウント」）は、メモリバッファに書き込まれるアイテムのカウント
数である。もう一方のカウンタ（「読み出しカウント」）は、バッファから読み
出されるアイテムのカウント数である。「書き込みカウント」を変更できるのは
製造者のみであり、「読み出しカウント」を変更できるのは消費者だけである。
「読出しカウント」が「書き込みカウント」と等しくない場合、バッファ内に有
効データが含まれる。以下にこの一例を示す。 アプリケーションの実行： Ｌｏｏｐ： ｉｆ“読み出しカウント”＜＞“書き込みカウント” 次のバッファを得る 次のアイテムを読み出す アイテムを処理する 読み出しカウントをインクリメントする Ｅｌｓｅ 信号を待つ ｅｎｄｉｆ Ｇｏ ｔｏ ｌｏｏｐ システムアドレスの実行： Ｌｏｏｐ： 入来データを待つ 空のバッファを割り当てる Ｉｆ 割り当てが失敗 データを処分 ｅｎｄｉｆ Ｇｏ ｔｏ ｌｏｏｐ データを処理する データをバッファに書き込む 書き込みカウントをインクリメントする ｉｆ“ｗｒｉｔｅ ｃｏｕｎｔ”＝１＋“ｒｅａｄ ｃｏｕｎｔ”；データを
空のバッファに入れる 信号を送る Ｇｏ ｔｏ ｌｏｏｐ 図１１Ａおよび１ｌＢは、ＮＤＩＳ１１１５への２重結合の利用を通じてパケ
ットに基づくセキュリティを提供する、本発明の１つの実施形態を示す。特に、
ＮＤＩＳ１１１５からプロトコルドライバ（単数または複数）１１１０への任意
の結合を用いて、パケットをリルーティングドライバを通じてプロトコルドライ
バ（単数または複数）１１１０にルーティングする。しかし、ＭＡＣ（単数また
は複数）１１２０とリルーティングドライバ１１３５との間の結合を、パケット
をその後のセキュリティ評価用として取得するメカニズムとして用いる。パケッ
トをセキュリティ評価用として取得する別個の経路を提供することにより、この
取得プロセスに別個のコンテキストが提供される。当該分野において周知のよう
に、別個のコンテキストを提供すると、取得プロセスの間のプログラミングの柔
軟性を高めることが可能となる。

【００４８】 別の実施形態において、２重結合は用いられず、それよりも、これらのパケッ
トをその後のセキュリティ評価用として取得しないか、ＮＤＩＳ１１１５からプ
ロトコルドライバ（単数または複数）１１１０へのルーティングの間にこれらの
パケットを取得するかのどちらかである。ＮＤＩＳ１１１５からプロトコルドラ
イバ（単数または複数）１１１０へのルーティングの間にパケットを取得するシ
ステムにおいて、ＭＡＣ（単数または複数）１１２０の各々は、リルーティング
ドライバ１１３５に結合させなくてもよい（図５からのオプションの工程５４０
は行わない）。

【００４９】 例えば、本発明の１つの実施形態において、ＮＤＩＳ１１１５への単一の結合
のみを用いて、フィルタユニット１１５５によって受容可能とみなされた情報が
、適切なプロトコルドライバ１１１０へのルーティング用としてテンプレート１
１５０にルーティングされる。フィルタユニット１１５５によって受容不可能と
みなされた情報は、取得ユニット１１６０へのルーティング用としてテンプレー
ト１１５０にルートバックされる。

【００５０】 このように、配信されたパケットに基づくセキュリティを提供する本発明の別
の実施形態について説明してきた。これらの実施形態では、リルーティングドラ
イバが、関連付けられたソフトウェアを用いてネットワークを介して受け取った
情報パケットの遮断および評価を行う。評価が終了すると、情報をプロトコルド
ライバへ継続してルーティングすることが可能にされ得る。あるいは、情報は、
さらなるセキュリティ評価用として阻止および／または保存され得る。これらの
実施形態において、情報は遠隔的に配信され、コンピュータシステムをシャット
ダウンおよび再起動させることなく、リモートホスト上の個々のコンピュータが
動作しているときに個々のコンピュータにインストールされ得る。

【００５１】 さらに、上記の実施形態では配信されたパケットに基づくセキュリティを提供
するシステムについて説明したが、フィルタユニット中に別の評価パラメータを
提供することにより、他の実施形態も実施され得る。例えば、フィルタユニット
は、特定のルーティング情報を有する情報をフィルタリングおよび取得するため
のパラメータを含み得、そうすることでネットワークの利用状況をモニタリング
し得る。

【００５２】 また、別の実施形態をリモートインストレーションに関して説明したが、所望
ならば、これらの実施形態は、手作業でも個々のコンピュータにインストール可
能であることが理解されるべきである。

【００５３】 シャットダウンおよび再起動を回避するために、ＮＤＩＳ内の所定の命令コー
ドへのアクセスは、ディセーブルされてから、その後再イネーブルされるべきで
あり、これにより、メモリアドレスの静的パッチコードでの上書きが可能となる
。上述したように、これは、割り込みをディセーブルおよび再イネーブルするこ
とにより、特定の１つのプロセッサシステムにおいて行われ得る。上記の実施形
態の各々はまた、後述するようにアクセスをディセーブルおよび再イネーブルす
ることにより、マルチプロセッサシステムでもインプリメントされ得る。

【００５４】 図１２は、本発明の１つの実施形態による、マルチプロセッサシステム内のコ
ードへのアクセスをディセーブルおよび再イネーブルするフロー図である。ブロ
ック１２００において、所与の中央処理装置（ＣＰＵ）において、修正対象コー
ドが、所与のＣＰＵのキャッシュ内に導入され、「ブロッキングコード」で上書
きされ、これにより、第１のバージョンのコードが作成される。このブロッキン
グコードは、別のＣＰＵがこのコードを処理する（ｐｒｏｇｒｅｓｓｉｎｇ ｐ
ａｓｔ）ことを回避する。ブロッキングコードをインプリメントする方法は色々
あるが、１つの方法としては、ＣＰＵにシリアル化命令をループさせるコードを
書き込む方法がある。その結果、他のあらゆるＣＰＵ（すなわち、パッチを行わ
ないＣＰＵ）は、修正対象コードへアクセスできなくなる（または、ディセーブ
ルされる）。

【００５５】 ブロック１２１０において、第１のバージョンのコードは、所与のＣＰＵのキ
ャッシュから共有メモリに書き込まれる。その結果、別のＣＰＵが修正対象コー
ドを実行しようと試みた場合、その別のＣＰＵは、共有メモリからのブロッキン
グコードにアクセスすることとなる。

【００５６】 ブロック１２２０において、ブロッキングコード以外のコードを、所与のＣＰ
Ｕのキャッシュにおいて必要に応じて修正することができ、これにより、第２の
バージョンのコードを作成する。例えば、１つの実施形態において、コードをテ
ンプレートジャンプで上書きすることができ、これにより、ＮＤＩＳの静的パッ
チをもたらす。

【００５７】 ブロック１２３０において、第２のバージョンのコードを、所与のＣＰＵのキ
ャッシュから共有メモリに書き込む。

【００５８】 ブロック１２４０において、所与のＣＰＵのキャッシュ内の事前挿入されたブ
ロッキングコードを所望のコードで上書きし、これにより第３のバージョンのコ
ードを作成する。

【００５９】 ブロック１２５０において、（ブロッキングコードを持たない）第３のバージ
ョンのコードを、共有メモリに書き込む。その結果、共有メモリ内のパッチ化コ
ードと、そのアドレスにおけるコード実行しようと試みるＣＰＵとが、パッチ化
コードを入手する。

【００６０】 上記の技術を用いれば、本発明の上記の別の実施形態を、単数および複数のプ
ロセッサシステムにインストールすることが可能となる。

【００６１】 上記の実施形態を、ＮＤＩＳ上の所定の命令コードアドレスに対する静的パッ
チに関して説明してきた。静的パッチングは、ＮＤＩＳ内のＣＡＬＬのオフセッ
トを事前に決定しておくことを必要とする。しかし、特定の状況において、ＮＤ
ＩＳ内の呼び出しアドレスの識別を自動化し、かつ／または、異なるアドレスを
用いる異なるバージョンのオペレーティングシステムおよび／あるいは異なるア
ドレスを用いる新規なバージョンのオペレーティングシステムを収容することが
望ましい場合もある。従って、１つの実施形態は、動的パッチ技術を提供し、こ
の動的パッチ技術は、リルーティングドライバが個々の命令コード位置から情報
を受け取る際、個々の命令コード位置をパッチする。このような様式で、情報が
送出される特定の命令位置全てがパッチされるまで、各ＣＡＬＬをインクリメン
ト的にパッチする。

【００６２】 図１３は、本発明の１つの実施形態による、ＭＡＣとプロトコルドライバとの
間のリルーティングドライバの動的パッチングを示すブロック図である。上述し
たように、インストールアプリケーション１３２５、ＤＬＬ１３３０およびリル
ーティングドライバ１３３５は、相手先コンピュータ内のメモリにコピーされ、
インストールアプリケーション１３２５が起動する。インストールアプリケーシ
ョン１３２５は、ＤＬＬ１３３０によって提供されるインターフェースを通じて
、リルーティングドライバ１３３５のローディングをリクエストする。次いで、
リルーティングドライバ１３３５は、制御コード１３４０に結合コード１３４５
を実行するようリクエストし、これにより、リルーティングドライバ１３３５内
の動的パッチングコード１３６０と各ＭＡＣ１３２０Ａ〜ｉとの間の新規結合を
確立する。

【００６３】 リルーティングドライバ１３３５内の動的パッチングコード１３６０に情報を
ルーティングする１つの結合がある。この結合を、図１３内のＮＤＩＳ１３１５
と動的パッチングコード１３６０との間の点線として示す。今、リルーティング
ドライバ１３３５は、パッチを挿入する必要のあるＮＤＩＳ １３１５命令コー
ド内の位置を判定するために、情報パケットを受け取るよう待機している。

【００６４】 番号１において、ネットワークからの情報が、ＭＡＣ１３２０によって受け取
られる。この情報は、適切なプロトコルドライバ（単数または複数）１３１０お
よび／またはリルーティングドライバ１３３５へのルーティング用として、ＮＤ
ＩＳ １３１５に転送される。ＮＤＩＳ１３１５は、ＮＤＩＳ１３１５のパッチ
が作成されていないため、この情報をプロトコルドライバ１３１０に転送する。
複数の結合があるため、ＮＤＩＳ１３１５はさらに、同じ情報を動的パッチング
コード１３６０に転送する。動的パッチングコード１３６０は、その情報を送っ
た命令コードアドレスに動的パッチを施すべきか否かを判定する。

【００６５】 番号３において、情報を送った命令コードアドレスに動的パッチを施すべきで
ある場合、動的パッチングコード１３６０によって動的パッチが実行される。動
的パッチングコード１３６０は、ＮＤＩＳ１３１５内の指定されたコードを、リ
ルーティングドライバ１３３５内のテンプレート１３５０に対するテンプレート
ジャンプ１３７５で上書きする。その命令コード位置におけるＮＤＩＳ１３１５
を通し次回に情報が通過するとき、プロトコルドライバ１３１０行きの情報は、
図１４を参照して後述するようなさらなるアクション用として、リルーティング
ドライバ１３３５内の動的パッチングコード１３６０にルーティングされる。

【００６６】 図１４は、本発明の１つの実施形態による、動的パッチングコード１３６０の
動作を示すフロー図である。ブロック１４００において、動的パッチングコード
１３６０は呼び出しを受け取る。動的パッチングコードは２重に結合されている
ため、この呼び出しは、テンプレートの１つかまたはＮＤＩＳ１３１５からのも
のであり得る。ブロック１４１０において、動的パッチングコード１３６０は、
その呼び出しがテンプレートの１つからのものであるか否かを判定する。

【００６７】 その呼び出しがテンプレートの１つからのものである場合、その呼び出しは、
さらなるアクション用として挿入コードにルーティングされる（ブロック１４４
０を参照）。挿入コードが完成すると、その呼び出しは、さらなるアクション用
としてテンプレートにリターンされる（ブロック１４５０を参照）。

【００６８】 ブロック１４１０において呼び出しがテンプレートの１つからのものではない
場合、その呼び出しは、ＮＤＩＳ１３１５の未パッチ部分から受け取られたもの
であるため、ＮＤＩＳ１３１５内の命令コードをパッチするためのアクションを
とる必要が出てくる。ブロック１４２０において、呼び出しスタックから呼び出
し情報にアクセスする。ブロック１４３０において、上述したように呼び出しを
パッチする。制御は、ブロック１４３０からブロック１４５０に送られる。

【００６９】 このように、ＮＤＩＳの動的パッチを用いてプロトコルドライバを遠隔的にイ
ンストールするための本発明の１つの実施形態を説明してきた。パッチされるＮ
ＤＩＳ命令コードの位置を確立するために何らかの情報をＮＤＩＳからプロトコ
ルドライバへと送る必要があるため、この動的パッチは、初期段階では、先述し
た静的パッチの実施形態の場合ほど効果的ではない。

【００７０】 実施形態において、静的パッチング技術と動的パッチング技術とを組合わせて
用いることが可能である。例えば、所与のオペレーティングシステム上のデータ
が利用可能である場合、静的パッチング技術が用いられる。しかし、オペレーテ
ィングシステム上のデータが利用不可能である場合、ユーザに通知が行き、かつ
／または、動的パッチング技術が用いられる。別の実施例として、全ての既知の
呼び出しについて静的パッチング技術が用いられ得、１つ以上の呼び出しがミス
（ｍｉｓｓｅｄ）された場合、動的パッチング技術がインストールされ得る。

【００７１】 プロトコルドライバのリモートインストレーションおよびパケットに基づくセ
キュリティシステムに関連して本発明を説明してきたが、本発明はまた、動作可
能とさせるためにＮＤＩＳに結合させる必要のあるようなドライバを用いた他の
ソフトウェアをインストールする場合にも用いられ得る。加えて、本発明の実施
形態をパケットに基づくセキュリティシステムに関連して説明してきたが、冗長
符号を用いた別の動作を行うための別の挿入コートが用いられ得るような、別の
実施形態もインプリメントされ得る。

【００７２】 図３〜１４に示すアイテムは、コンピュータシステムに格納され、コンピュー
タシステム上で実行される点に留意されたい。このようなコンピュータシステム
は、（内的なおよびネットワークを介した他のコンピュータシステムに対する）
コードおよびデータの格納および通信を、機械的に読取可能なメディア（例えば
、磁気ディスク、光学ディスク、ランダムアクセスメモリ、リードオンリーメモ
リ、搬送波、信号等）を用いて行う。加えて、本発明の一部をソフトウェアにイ
ンプリメントする実施形態について説明したが、別の実施形態では、これらの部
分の１つ以上を、ソフトウェア、ファームウェアおよび／またはハードウェアの
任意の組合わせを用いてインプリメントすることも可能である。

【００７３】 本発明をいくつかの実施形態に関して説明してきたが、当業者であれば、本発
明はこれらの実施形態に限定されないことを認識する。本発明の方法および装置
は、添付の特許請求の範囲の精神および範囲内で改変および変更を用いて実施可
能である。したがって、本明細書の記載は、本発明を限定するものではなく、例
示的なものであるとみなされるべきである。

【図面の簡単な説明】

【図１】 図１は、従来技術による、ＭＡＣからアプリケーションへの通信を示すブロッ
ク図である。

【図２】 図２は、従来技術による、中間ドライバを図１のシステムに挿入する様子を示
すブロック図である。

【図３】 図３は、本発明の１つの実施形態による、ＭＡＣとプロトコルドライバとの間
のリルーティングドライバの静的パッチングを示すブロック図である。

【図４】 図４は、本発明の１つの実施形態による、リルーティングドライバを遠隔的に
インストールする様子を示すフロー図である。

【図５】 図５は、本発明の１つの実施形態による、インストールアプリケーション３２
５の動作を示すフロー図である。

【図６】 図６は、本発明の１つの実施形態による、静的パッチングコード３６５の動作
を示すフロー図である。

【図７】 図７は、静的パッチングコード３６５を挿入する前の、ＮＤＩＳ３１５からの
基本命令コードのブロックである。

【図８】 図８は、本発明の１つの実施形態による、テンプレート（単数または複数）３
５０の１つに対する呼び出しに対するＮＤＩＳ３１５のパッチングを示す図であ
る。

【図９】 図９は、本発明の１つの実施形態による、テンプレート（単数または複数）３
５０の１つの動作を示すフロー図である。

【図１０】 図１０は、本発明の１つの実施形態による、配信されたパケットに基づくセキ
ュリティを備えるネットワークを示すブロック図である。

【図１１Ａ】 図１１Ａは、本発明の１つの実施形態による、パケットに基づくセキュリティ
用のリルーティングドライバのインストレーションおよび部分的動作を示すブロ
ック図である。

【図１１Ｂ】 図１１Ｂは、本発明の１つの実施形態による、パケットに基づくセキュリティ
用のリルーティングドライバの別の部分の動作を示すブロック図である。

【図１２】 図１２は、本発明の１つの実施形態による、マルチプロセッサシステム内のコ
ードへのアクセスをディセーブルおよび再イネーブルする様子を示すフロー図で
ある。

【図１３】 図１３は、本発明の１つの実施形態による、ＭＡＣとプロトコルドライバとの
間のリルーティングドライバの動的パッチングを示すブロック図である。

【図１４】 図ｌ４は、本発明の１つの実施形態による、動的パッチングコード１３６０の
動作を示すフロー図である。

【手続補正書】

【提出日】平成１３年７月３日（２００１．７．３）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】特許請求の範囲

【補正方法】変更

【補正の内容】

【特許請求の範囲】

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ )，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ， ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ， ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，Ｃ Ｒ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＥＥ，ＥＳ，ＦＩ ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ， ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，Ｋ Ｚ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ， ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，Ｓ Ｋ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ ，ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ

Claims (29)

【特許請求の範囲】
1. 【請求項１】 配信されたパケットに基づくセキュリティシステムであって
   、 ネットワーク内の複数のコンピュータを介して、該複数のコンピュータのそれ
   ぞれをシャットダウンまたは再起動することなくインストールおよび動作可能に
   し、所定の標準に従って該ネットワークを介して受け取られたパケットを評価し
   、該ネットワークからプロトコルドライバへのこのようなパケットの送信を選択
   的に可能にする、セキュリティシステム。
2. 【請求項２】 前記インストールは、パッチング技法を用いて行われる、請
   求項１に記載のセキュリティシステム。
3. 【請求項３】 前記複数のコンピュータのそれぞれが、前記配信されたパケ
   ットに基づくセキュリティシステムの第１のコードを格納するユーザスペースと
   、プロトコルドライバおよび該セキュリティシステムに基づいて配信されたパケ
   ットの第２のコードを格納するシステムアドレススペースとの間に共有されたメ
   モリバッファを形成し、ここで、該第２のコードは、前記ネットワークを介して
   受信されたパケットに関する情報を格納するために該共有されたメモリに接続さ
   れ、該第１のコードは、該共有されたメモリバッファに格納された情報を評価す
   るために該共有されたメモリバッファに接続される、請求項１に記載のセキュリ
   ティシステム。
4. 【請求項４】 前記インストールは、前記ネットワークのホストコンピュー
   タから遠隔的に行われる、請求項１に記載のセキュリティシステム。
5. 【請求項５】 コンピュータシステムが複数のネットワークコンピュータを
   含み、該ネットワークコンピュータのそれぞれが、 物理的送信メディアを介して提供されたデータからパケットを取り出すために
   該ネットワークの該物理的送信メディアに接続されたメディアアクセス制御ユニ
   ットと、 該メディアアクセス制御ユニットに接続されたプロトコルドライバと、 該メディアアクセス制御ユニットと該プロトコルドライバとの間にインストー
   ルされ、そしてシャットダウンまたは再起動することなく使用可能にされ、それ
   により、該パケットを評価し、そして該プロトコルドライバに該パケットの異な
   るパケットの連続した送信を選択的に可能にする、フィルタコードと、 を含む、コンピュータシステム。
6. 【請求項６】 前記インストールは、パッチング技法を用いて行われる、請
   求項５に記載のコンピュータシステム。
7. 【請求項７】 前記複数のコンピュータのそれぞれが、セキュリティアプリ
   ケーションを格納するユーザスペースと、前記メディアアクセス制御ユニット、
   前記プロトコルドライバ、および前記フィルタコードを格納するシステムアドレ
   ススペースとの間に共有されたメモリバッファを含み、該フィルタコードは、前
   記ネットワークを介して受け取ったパケットに関する情報を格納するために該共
   有されたメモリに接続され、該セキュリティアプリケーションは、該共有された
   メモリバッファに格納された情報を評価するために該共有されたメモリバッファ
   に接続される、請求項５に記載のコンピュータシステム。
8. 【請求項８】 前記インストールは、前記ネットワークのホストコンピュー
   タから遠隔的に行われる、請求項５に記載のコンピュータシステム。
9. 【請求項９】 コンピュータ実現方法であって、 各複数のコンピュータによってインストールされるコードをネットワークを介
   してリモートホストから該複数のコンピュータに配信する工程であって、該各複
   数のコンピュータは、該ネットワークに接続されたメディアアクセス制御ユニッ
   トとプロトコルドライバとの間の通信経路を提供するように実行され、パケット
   のための該通信経路は、該ネットワークを介して送られるパケットの経路である
   工程と、 該リモートホストから該各複数のコンピュータに、該複数のコンピュータのそ
   れぞれが該コードを実行するようにコマンドを送る工程と、 該コマンドの実行に応答する該各複数のコンピュータが、該メディアアクセス
   制御ユニットと該プロトコルドライバとの間の該通信経路においてドライバをイ
   ンストールする工程であって、該コンピュータを再起動することなく、該インス
   トールされたドライバを使用可能にし、該通信経路に沿って該ネットワークを介
   して受け取られる該パケットの異なるパケットの連続送信を選択的に可能にする
   ことを評価する工程と、 を含む、方法。
10. 【請求項１０】 前記インストールする工程は、パッチング技法を用いて行
    われる、請求項９に記載の方法。
11. 【請求項１１】 前記コマンドに応答して前記各複数のコンピュータはまた
    、実行し、前記プロトコルドライバを格納するシステムアドレススペースとセキ
    ュリティアプリケーションを格納するユーザスペースとの間の共有されたメモリ
    バッファを形成し、ここで、該ドライバは、前記ネットワークを介して受信され
    たパケットに関する情報を格納するための該共有されたメモリに接続され、該ア
    プリケーションは、該共有されたメモリバッファに格納された情報を評価するた
    めに該共有されたメモリバッファに接続されている、請求項９に記載の方法。
12. 【請求項１２】 前記インストールする工程は、前記ネットワークドライバ
    インターフェースと前記プロトコルドライバとの間でのインストールを含む、請
    求項１０に記載の方法。
13. 【請求項１３】 命令を提供する装置読み出し可能メディアであって、一組
    のプロセッサによって実行された場合、該一組のプロセッサが動作を実行する命
    令を提供し、該命令は、 ネットワークを介してリモートホストから複数のコンピュータに、該各複数の
    コンピュータによってインストールされるコードを配信する工程であって、該各
    複数のコンピュータは、該ネットワークに接続されたメディアアクセス制御ユニ
    ットとプロトコルドライバとの間で通信経路を提供するように実行されるルーチ
    ンを含み、パケットのための該通信経路は、該ネットワークを介して該パケット
    を送る工程と、 該リモートホストから該各複数のコンピュータまで、該各複数のコンピュータ
    が該コードを実行するようにコマンドを送る工程と、 該コマンドの実行に応答する該各複数のコンピュータが、該メディアアクセス
    制御ユニットと該プロトコルドライバとの間の該通信経路において、ドライバを
    インストールする工程であって、該コンピュータを再起動することなく、該イン
    ストールされたドライバを使用可能にし、該通信経路に沿って該ネットワークを
    介して受け取られる、該パケットの異なるパケットの連続送信を選択的に可能に
    することを評価する工程と、を含む、 メディア。
14. 【請求項１４】 前記インストールする工程は、パッチング技法を用いて行
    われる、請求項１３に記載のメディア。
15. 【請求項１５】 前記コマンドに応答する前記各複数のコンピュータはまた
    、実行し、前記プロトコルドライバを格納するシステムアドレススペースとセキ
    ュリティアプリケーションを格納するユーザスペースとのでの共有されたメモリ
    バッファを形成し、該ドライバは、前記ネットワークを介して受信されたパケッ
    トに関する情報を格納するための該共有されたメモリに接続され、該アプリケー
    ションは、該共有されたメモリバッファに格納された情報を評価するために該共
    有されたメモリバッファに接続されている、請求項１３に記載のメディア。
16. 【請求項１６】 配信されたパケットセキュリティシステムの一部であるコ
    ードを、ネットワーク上の複数のコンピュータのそれぞれにインストールする工
    程であって、該コードは、該複数のコンピュータの所与のコンピュータに該ネッ
    トワークを介して送信されたパケットが、プロトコルドライバに提供される前に
    、該コードによって受け取られるようにインストールされる工程と、 シャットダウンまたは再起動することのない少なくとも第１の該複数のコンピ
    ュータが、該ネットワークからパケットを受け取る工程と、 配信されたパケットに基づくセキュリティシステムのパラメータに依存する該
    プロトコルドライバに該パケットを選択的に送る該第１のコンピュータ上で該コ
    ードを実行する工程と、を含む、コンピュータ実現方法。
17. 【請求項１７】 前記インストールする工程は、パッチング技法を用いて行
    われる、請求項１６に記載の方法。
18. 【請求項１８】 前記インストールする工程は、前記ネットワークを介して
    遠隔的に行われる、請求項１６に記載の方法。
19. 【請求項１９】 命令を提供する装置読み出し可能メディアであって、一組
    のプロセッサによって実行された場合、該一組のプロセッサが動作を実行する命
    令を提供し、該命令は、シャットダウンまたは再起動することなく、配信された
    パケットセキュリティシステムの一部であるコードを、ネットワーク上の複数の
    コンピュータのそれぞれでインストールおよび使用可能にする工程であって、該
    複数のコンピュータの所与のコンピュータに、該ネットワークを介して送信され
    たパケットがプロトコルドライバに提供される前に該コードによって受け取られ
    るように該コードがインストールされる工程とを含み 該コードは、該ネットワークからパケットを受け取る該複数のコンピュータの
    １つに応答して実行した場合、該配信されたパケットに基づくセキュリティシス
    テムのパラメータに依存する該プロトコルドライバに該パケットを選択的に送る
    、コンピュータで読み出し可能なメディア。
20. 【請求項２０】 前記インストールは、パッチング技法を用いて行われる、
    請求項１９に記載のメディア。
21. 【請求項２１】 前記インストールは、前記ネットワークを介して遠隔的に
    行われる、請求項１９に記載のメディア。
22. 【請求項２２】 コンピュータ実現方法であって、配信されたパケットセキ
    ュリティシステムの一部である第１および第２のコードを、ネットワーク上の各
    複数のコンピュータにインストールする工程であって、該第１のコードは、ユー
    ザアドレススペースにインストールされ、該第２のコードは、システムアドレス
    スペースにインストールされ、該第２のコードは該複数のコンピュータの所与の
    コンピュータに該ネットワークを介して送信されたパケットが、該システムスペ
    ースのプロトコルドライバに提供される前に該第２のコードに受け取られる、工
    程と、 シャットダウンまたは再起動することのない少なくとも第１の該複数のコンピ
    ュータが、該ネットワークからパケットを受け取る工程と、 該第２のコードが、該ユーザアドレススペースおよび該システムアドレススペ
    ースとの間に共有されたメモリバッファに該パケットから少なくともある情報を
    格納する工程と、 該第１のコードは、該共有されたメモリバッファから情報にアクセスする工程
    、 を含む、方法。
23. 【請求項２３】 前記インストールする工程は、パッチング技法を用いて行
    われる、請求項２２に記載の方法。
24. 【請求項２４】 前記インストールする工程は、前記ネットワークを介して
    遠隔的に行われる、請求項２２に記載の方法。
25. 【請求項２５】 前記第２のコードは、ネットワークドライバインターフェ
    ースと前記プロトコルドライバとの間の通信経路において存在する、請求項２２
    に記載の方法。
26. 【請求項２６】 命令を提供する装置読み出し可能メディアであって、一組
    のプロセッサによって実行された場合、該一組のプロセッサが動作を実行する命
    令を提供し、該命令は、シャットダウンまたは再起動することなく、配信された
    パケットセキュリティシステムの一部である第１および第２のコードを、ネット
    ワーク上の複数の各コンピュータ上でインストールおよび使用可能にし、ユーザ
    アドレススペースにおいて該第１のコードをインストールし、システムアドレス
    スペースにおいて該第２のコードをインストールし、それにより、該複数のコン
    ピュータの所与のコンピュータに該ネットワークを介して送信されたパケットが
    、該システムスペースにおいてプロトコルドライバに提供される前に、該第２の
    コードによって受け取られるように該第２のコードがインストールされる工程と
    、を含み、 該第２のコードは、該ネットワークからパケットを受け取る第１の該複数のコ
    ンピュータに応答して実行した場合、該ユーザアドレススペースと該システムア
    ドレススペースとの間に共有されたメモリバッファに該パケットから少なくとも
    所定の情報を格納し、 該第１のコードは、該第１のコンピュータによって実行される場合、該共有さ
    れたメモリバッファから該情報にアクセスする、 メディア。
27. 【請求項２７】 前記インストールする工程は、パッチング技法を用いて行
    われる、請求項２５に記載のメディア。
28. 【請求項２８】 前記インストールはする工程、前記ネットワークを介して
    遠隔的に行われる、請求項２５に記載のメディア。
29. 【請求項２９】 前記第２のコードは、ネットワークドライバインターフェ
    ースと前記プロトコルドライバとの間の通信経路において存在する、請求項２６
    に記載の方法。