JP2016164785A - セキュア・リカバリ装置及び方法 - Google Patents

Abstract

【課題】セキュアな場所からブート・イメージを回復するためのシステム及び方法を提供する。【解決手段】ハードウェア命令は、コンピュータ使用可能デバイス上でコンピュータ・オペレーティング・システムを立ち上げるためのブート・サイクルのシーケンスを開始する。ブート・サイクル中に、複数のブート・コードのレベルが検証され、それぞれのレベルがデバイスによって使用可能であるかどうかの判断が行われる。１つのブート・コードのレベルが使用不能であると判断された場合、セキュアな読み取り専用の場所からブート・コードのセキュア・コピーがロードされ、使用不能なコードを修復して、コンピュータ・オペレーティング・システムを立ち上げる。【選択図】図３

Description

主題技術は、一般に、コンピュータ・リカバリ・システム及び方法、すなわち、オペレ
ーティング・システムまたはファームウェアを回復することに関する。

一部のコンピュータ（たとえば、ノートブック）は、リカバリ・モードをサポートして
おり、このモードは、コンピュータの書き換え可能なオペレーティング・システムあるい
はファームウェアまたはその両方が破損した状態または破壊された状態になったときにそ
のコンピュータを良好な状態に復元することができる。一般に、ユーザは、コンピュータ
の立ち上げ（boot-up）時にキーストロークを介してリカバリ・モードを開始する。場合
によっては、そのファームウェアあるいはオペレーティング・システムまたはその両方に
問題があると判断した場合に、ノートブックが独自にリカバリ・モードを開始することが
できる。上記の解決策は主流の手法であったが、それにもかかわらず、ユーザは別個のリ
カバリ・デバイスを必要としている。ユーザは、リカバリ・デバイス（ＳＤカードまたは
ＵＳＢスティック）を持っていない場合、第２のコンピュータ上でインストーラをダウン
ロードし実行することにより、リカバリ・デバイスを作成しなければならない。リカバリ
・デバイスを挿入した後、システムはリカバリ・デバイスからブートし、それ自体を修復
しようと試みる。古いリカバリ・デバイスを持っている場合、ユーザは、まず手動でそれ
を更新しなければならない。

主題技術は、セキュアな場所からブート・イメージ（boot image）をロードするための
装置、システム、及び方法を提供する。
一態様の装置は、プロセッサと、１つのブート・イメージならびにそのブート・イメー
ジに対応し、それに対して冗長な１つまたは複数のブート・イメージを含む１つまたは複
数のブート・メモリ（boot memory）と、少なくとも１つのセキュア・ブート・イメージ
を含むセキュアな読み取り専用の場所（secure read-only location）と、コンピューテ
ィング・デバイスの立ち上げを開始するための開始及びリカバリ・ソフトウェア（initia
tion and recovery software）を含むメモリとを含む。この開始及びリカバリ・ソフトウ
ェアは、プロセッサによって実行されたときに、ブート・イメージの検証をロードして実
行することと、そのブート・イメージが検証によって使用不能であると判断された場合に
、冗長ブート・イメージの第２の検証をロードして実行することと、その冗長ブート・イ
メージが第２の検証によって使用不能であると判断された場合に、セキュアな読み取り専
用の場所からセキュア・ブート・イメージをロードすることをプロセッサに実行させる。
その他の諸態様は、対応するシステム、装置、及びコンピュータ・プログラム・プロダク
トを含む。

前述の装置及びその他の諸態様は、以下の特徴のうちの１つまたは複数を含むことがで
きる。たとえば、ブート・イメージの検証を実行することは、リカバリ・ソフトウェアが
、実行されたときに、それぞれのレベルがブート・コードのコア・トラステッド部分（co
re trusted piece）から上に検証される複数のブート・コード・レベルでブート・コード
の検証を実行することをプロセッサに実行させることを含むことができる。ブート・イメ
ージ、冗長ブート・イメージ、及びセキュア・ブート・イメージはそれぞれ、単一ブート
・レベルに関するブート・コードのコピーを含むことができる。複数のブート・コード・
レベルはブート・サイクルを含むことができ、ブート・イメージを使用不能であると判断
することは、リカバリ・ソフトウェアが、実行されたときに、ブート・サイクルを停止す
ることと、それぞれのブート・コードをロードして修復するためにセキュアな読み取り専
用の場所にアクセスすることと、最後に把握された検証可能なレベルでブート・サイクル
を再開することをプロセッサに実行させることを含むことができる。この方法は、ブート
障害の検出時またはユーザによる指示を受けて（たとえば、機械またはコンピュータの立
ち上げ時に専用のボタンまたはキーストロークを介して）自動的に開始することができる
。

前述の装置及びその他の諸態様は、以下の特徴のうちの１つまたは複数を含むことがで
きる。たとえば、ブート・イメージ及び冗長ブート・イメージの検証を実行することは、
暗号鍵を使用してブート・コードをチェックすることを含むことができる。リカバリ・ソ
フトウェアは、実行されたときに、ロードされたセキュア・ブート・イメージの検証を実
行することをプロセッサにさらに実行させることができる。ロードされたセキュア・ブー
ト・イメージの検証を実行することは、暗号鍵を使用してブート・コードをチェックする
ことを含むことができる。セキュアな読み取り専用の場所は、コンピューティング・デバ
イスに関連するシステム制御ボード上に位置する集積回路チップを含むことができる。メ
モリは、コンピューティング・デバイスに関連するメモリ媒体上の分離された隠しパーテ
ィションを含むことができる。セキュア・ブート・イメージは、ユーザが開始したキース
トロークに応答してロードすることができる。セキュア・ブート・イメージは、コンピュ
ーティング・デバイスのオペレーティング・システムをインストールするのに十分な情報
を含むことができ、リカバリ・ソフトウェアは、実行されたときに、ネットワーク・アク
セシビリティを含むデフォルト状態にオペレーティング・システムを復元することと、オ
ペレーティング・システムを最新バージョンに更新するためにネットワーク・ソースから
更新を取得するための所定の定義シーケンスを開始することをプロセッサにさらに実行さ
せることができる。

他の態様の機械可読媒体は命令を含み、その命令は、機械またはコンピューティング・
デバイスによって実行されたときに、それぞれのサイクルがメモリ媒体から１つのブート
・コードのレベルをロードする、ブート・サイクルのシーケンスを開始することと、１つ
のブート・コードのレベルが使用不能であると判断することと、セキュアな読み取り専用
の場所からそのブート・コードのレベルのセキュア・コピーをロードすることであって、
そのセキュアな読み取り専用の場所がメモリ媒体に関連付けられていないことを含む、ブ
ート・イメージをロードする方法を機械またはコンピューティング・デバイスに実行させ
る。その他の諸態様は、コンピュータで実行される方法の実現のための対応するシステム
、装置、及びコンピュータ・プログラム・プロダクトを含む。

前述の方法及びその他の諸態様は、以下の特徴のうちの１つまたは複数を含むことがで
きる。たとえば、この方法は、そのブート・コードのレベルが使用不能であると判断する
前に最後に把握された検証可能なコードのレベルを検証することと、そのブート・コード
のレベルが使用不能であると判断したときにブート・サイクルのシーケンスを停止するこ
とと、セキュア・コピーを使用して使用不能なブート・コードのレベルを修復することと
、最後に把握された検証可能なレベルでブート・サイクルを再開することをさらに含むこ
とができる。この方法は、セキュア・コピーをロードする前に、そのブート・コードのレ
ベルの冗長コピーが使用不能であると判断することをさらに含むことができる。この方法
は、ロードされたセキュア・ブート・イメージの検証を実行することをさらに含むことが
できる。セキュアな読み取り専用の場所は、コンピューティング・デバイスに関連するシ
ステム制御ボード上に位置する集積回路チップを含むことができる。セキュア・コピーま
でのブート・サイクルのシーケンスは、コンピューティング・デバイスのオペレーティン
グ・システムをインストールするためのブート・コードを含むことができ、この方法は、
ネットワーク・アクセシビリティを含むデフォルト状態にオペレーティング・システムを
復元することと、オペレーティング・システムを最新バージョンに更新するためにネット
ワーク・ソースから更新を取得するための所定の定義シーケンスを開始することをさらに
含む。

他の一態様のコンピュータで実行される方法は、メモリ媒体上に保存されているブート
・プログラム内の使用不能なブート・コードのセクションを決定することと、セキュアな
読み取り専用集積回路からのブート・コードのセキュア・コピーにアクセスすることと、
使用不能なブート・コードのセクションをブート・コードのセキュア・コピーで置き換え
てメモリ媒体上のブート・プログラムを修復することと、修復されたブート・プログラム
を使用してメモリ媒体からデフォルト・オペレーティング・システムをロードすることを
含む。これに関して、デフォルト・オペレーティング・システムは、オペレーティング・
システムを最新バージョンに更新するためにネットワーク・ソースから更新を取得するた
めの動作の所定の定義シーケンスを開始するために必要十分な機能性を含むことができる
。このコンピュータで実行される方法は、使用不能なブート・コードのセクションをブー
ト・コードのセキュア・コピーで置き換える前に使用不能なブート・コードのセクション
に対応するブート・コードの冗長セクションも使用不能であると判断することと、ブート
・コードの冗長セクションをブート・コードのセキュア・コピーで置き換えることをさら
に含むことができる。

さらに他の一態様のコンピュータで実行される方法は、メモリ媒体上に保存されている
使用不能なブート・イメージを決定することと、セキュアな読み取り専用集積回路からの
ブート・イメージのセキュア・コピーにアクセスすることと、セキュア・コピーを使用し
てオペレーティング・システムをロードすることを含む。これに関して、このコンピュー
タで実行される方法は、使用不能なブート・イメージをセキュア・コピーで置き換えて、
メモリ媒体上に保存されているブート・イメージを修復することをさらに含むことができ
、セキュア・コピーを使用してデフォルト・オペレーティング・システムをロードするこ
とは、修復されたブート・イメージを使用してメモリ媒体からオペレーティング・システ
ムをロードすることを含む。このオペレーティング・システムは、オペレーティング・シ
ステムを最新バージョンに更新するためにネットワーク・ソースから更新を取得するため
の動作の所定の定義シーケンスを開始するために必要十分な機能性を含むデフォルト・オ
ペレーティング・システムにすることができる。さらにまたは代替例として、このコンピ
ュータで実行される方法は、使用不能なブート・イメージをセキュア・ブート・イメージ
で置き換える前に使用不能なブート・イメージに対応する冗長ブート・イメージも使用不
能であると判断することと、冗長ブート・イメージをセキュア・ブート・イメージで置き
換えることを含むことができる。

主題技術の様々な構成が例示として示され記載されている以下の詳細な説明から主題技
術のその他の構成が当業者にとって容易に明らかになることは言うまでもない。認識され
るように、主題技術はその他の種々の構成が可能であり、そのいくつかの詳細は、いずれ
も主題技術の範囲を逸脱せずに、様々なその他の点で変更可能である。したがって、図面
及び詳細な説明は、限定的なものとしてではなく、本質的に例示的なものと見なすべきで
ある。

添付図面に関連して詳細な説明を行う。

主題技術の一態様により、ファームウェア及びセキュアなメモリ場所を含む、ブート・イメージをロードするための装置及びシステムの典型的な図である。 主題技術の一態様により、ネットワークによってオペレーティング・システムを復元するための装置及びシステムの典型的な図である。 主題技術の一態様により、セキュアな場所からブート・イメージをロードするための典型的なプロセスを示すフローチャートである。 主題技術の一態様により、プロセッサ及びその他の内部コンポーネントを含み、セキュアな場所からブート・イメージをロードするための典型的なサーバ・システムを示す図である。

現代のコンピュータは、様々なバックアップ及びリカバリ・メカニズムを含んでいる可
能性がある。データ破損（たとえば、悪意のあるソフトウェアまたはハードウェア障害の
結果として発生する）により、ブート可能なハード・ドライブまたはその他の記憶メカニ
ズム上のファームウェアのイメージまたはオペレーティング・システムを置換または修復
することが望ましい場合がある。しかし、リカバリ・イメージを使用してそのイメージを
復元することは、難しいプロセスではない場合でも複雑なプロセスである可能性があり、
リカバリ・イメージ自体もデータ破損の影響を受けている可能性がある。したがって、破
損したイメージを回復することは、必然的に、相当な費用でコンピュータ技術者による介
入を必要とする可能性がある。主題技術は、他のすべてのものが故障したときにユーザが
頼ることができるセキュアなデータ・バンクを提供し、ユーザまたはコンピュータ技術者
による介入の必要性を軽減する。

図１は、主題技術の一態様により、ファームウェア及びセキュアなメモリ場所を含む、
ブート・イメージをロードするための装置及びシステムの典型的な図である。一態様によ
れば、コンピュータ・システム１００は、プロセッサ１０２及び１つまたは複数のファー
ムウェア１０３を含むシステム・ボード１０１（たとえば、マザーボード）と、ハード・
ドライブ１０４とを含むことができる。システム１００は、ファームウェア、カーネル・
パーティション、あるいはオペレーティング・システムのルート・ファイル・システム、
またはこれらの組み合わせに及ぶ１つまたは複数のブート・イメージ１０５を使用して動
作を始動するように構成することができ、それぞれのブート・イメージは複数のブート・
コードのレベルを含む。たとえば、ブート・イメージ１０５はハード・ドライブ１０４上
に保存することができる。その他の諸態様では、ブート・イメージ１０５に対応し、それ
に対して冗長で、ブート・イメージ１０５が故障した場合にそのコピーを提供する、１つ
または複数の冗長ブート・イメージ１０６を（たとえば、ハード・ドライブ１０４の隠し
パーティションまたはその他の書き換え可能なメモリ上に）含めることができる。

システム１００は、システム・ボード１０１に関連するかまたはその上に位置するセキ
ュアなメモリ場所１０７も含むことができる。たとえば、セキュアなメモリ場所１０７は
、システム制御ボード１０１上に位置するかまたはそれと統合された集積回路チップとし
て実現することができる。このセキュアなデータ・バンクは、コンピュータ使用可能デバ
イス（computer-enabled device）のブート・パスの全部または一部分を復元するための
トラステッド・ブート・コードを含む、１つまたは複数のセキュア・イメージ１０８を保
存するセキュアな読み取り専用メモリ・ハードウェアとして実現することができる。一態
様では、セキュア・イメージ１０８は、ブート・イメージ１０５のコピーを提供すること
ができる。これは、既知の良好なイメージの読み取り専用コピーであり、カーネルあるい
はハード・ディスクまたはその両方から分離されているので、その中のブート・コードは
トラステッドであると見なすことができる。いくつかの態様では、ブート障害の際に、ハ
ードウェア・スイッチによってまたはブート・サイクル中の一連のキーストロークによっ
て、セキュア・イメージ１０８を使用するリカバリをトリガすることができる。その他の
態様では、以下に記載するように、ブート障害の際にシステム１００によってセキュアな
メモリ場所１０７に自動的にアクセスすることができる。

ファームウェア１０３は、プロセッサによって実行されたときに、ブート・イメージの
検証をロードして実行することをプロセッサに実行させるように動作可能である、開始及
びリカバリ命令１０９を含むことができる。検証によってブート・イメージ１０５あるい
はその１つまたは複数の部分が使用不能である（たとえば、破損している）と判断された
場合、命令１０９はセキュアな場所１０７にアクセスし、セキュア・イメージ１０８を使
用してオペレーティング・システムをロードすることができる。代わって、ブート・イメ
ージ１０５を検証できないかまたはそれが使用不能であると判断した際に、命令１０９は
、冗長ブート・イメージ１０６の第２の検証をロードして実行しようと試みることができ
る。第２の検証によって冗長ブート・イメージ１０６も使用不能であると判断された場合
、ソフトウェアはセキュア・ブート・イメージ１０８をロードして実行することができる
。

システム１００がブートされるときに、暗号鍵を使用して、ブート・イメージまたはブ
ート・イメージの一部分を検証することができる。これに関して、システム１００は、ブ
ート・コードのコア・トラステッド部分から上にそれぞれのレベルでチェックサムを実行
することができ、コード異常あるいはブート障害またはその両方が決定された場合、その
イメージの冗長コピーあるいはその１つまたは複数の部分をロードして、ブート・パスを
回復することができる。冗長イメージ１０６（及びセキュア・イメージ１０８）は、イメ
ージ全体のコピーあるいは１つまたは複数のブート・コードのレベルを含むことができ、
暗号鍵で検証することもできる。前述のように、冗長コピーが使用不能であると判断され
た場合、システム１００はセキュアなメモリ場所１０７からそのブート・コードのレベル
を回復することができる。

ブート・イメージ１０５、冗長ブート・イメージ１０６、及びセキュア・ブート・イメ
ージ１０８は、単一のブート・レベルに関するブート・コードを含む場合もあれば、複数
のレベルにパーティション化されたコードを含む場合もある。ブート・コードはレベルご
とに復元することができるので、使用不能なイメージまたはその一部分が決定されると、
プロセスは、ブート・サイクルを停止し、冗長コピー１０６あるいはセキュア・コピー１
０８またはその両方にアクセスして、コードのその部分を修復し、次に、最後に把握され
た検証可能なレベルでブート・サイクルを再開するように動作可能である。たとえば、フ
ァームウェア・レベルで（ＥＣから読み取り専用ないし書き換え可能に）障害が発生して
いる場合、プロセスは次のファームウェア・レベルで再始動することができる。しかし、
カーネルが故障した場合、ファームウェア・レベルの終わりでブート検証プロセスを再始
動することができる。リカバリ・プロセス中に、たとえば、ハード・ドライブのリカバリ
・パーティション上に保存された冗長ブート・コードも使用不能であることが判明した場
合、システムは（自動的にまたはユーザ開始のキーストロークまたはスイッチを受けて）
セキュア・イメージ１０８の関連部分をセキュアな場所１０７からハード・ドライブ１０
４などへコピーし、使用不能な冗長ブート・コードを置換することができる。冗長ブート
・コードは、暗号鍵を使用して、セキュア・イメージが正しくコピーされたことあるいは
いかなるハードウェア・エラーも存在しないことまたはその両方を検証することにより、
さらにチェックすることができる。

前述のように、セキュアな場所１０７は、取り外し不能なチップ、たとえば、ｅＭＭＣ
、ＥＥＰＲＯＭ、ＮＡＮＤフラッシュなどを含むことができる。代わって、セキュア・リ
カバリ・イメージは、オペレーティング・システムから隠された、ソリッドステート・ド
ライブのホストで保護されたエリア内に保存することができる。たとえば、セキュア・リ
カバリ・イメージ１０８は、そのドライブのｅＭＭＣの書き込み禁止パーティション上に
保存することができる。他の態様では、セキュア・リカバリ・イメージ１０８は、セキュ
ア・デジタル（ＳＤ）またはマイクロＳＤカード上に保存することができる。システム１
００のコンピュータ実現例は、デバイス内に、たとえば、電池室内に、隠しスロットを含
むことができる。リカバリ・イメージは、それをコンピュータから取り外し、別個のコン
ピュータ上でそれをプログラミングすることにより（またはデバイス自体の通常のＳＤカ
ード・スロットにそれを挿入することにより）更新することができる。一例では、ＳＤま
たはマイクロＳＤリカバリ・イメージはデバイスのメイン・メモリ媒体から分離して保持
することができ、システム１００はオペレーティング・システムに対するメモリ媒体の書
き込み禁止スイッチのアドバタイズメントを無視するように構成されている。

一態様によれば、侵入を防止するためにＳＤデバイスに追加の回路を提供することがで
きる。この回路は、使用可能状態または使用不可状態のいずれかにラッチすることができ
る。ある状態が選択されると、システムがリセットされるまで、それがアクティブのまま
になる可能性がある（たとえば、変更することができない）。その回路が使用可能である
場合、システム１００がそれからブートできるように、ＳＤカードを電気的に接続するこ
とができる。その回路が使用不可である場合、ＳＤカードは電気的に切断することができ
、システムはそれからブートするかまたはそれに書き込むことができず、誤動作している
オペレーティング・システムまたはリモート・アタッカによって変更されないようにそれ
を保護する。一態様では、回路状態は読み取り専用ブート・スタブ・ファームウェア（た
とえば、ファームウェア１０３内）を介して選択することができる。システム１００は、
リカバリ・モードが選択されたと判断した場合、その回路を使用可能にすることができる
。一方で、システムは、ファームウェアが書き換え可能でなければならないと判断した場
合、その回路を使用不可にすることができる。一例では、システム１００に関連するハー
ドウェア上でリカバリ・ボタンがアクティブにされた場合、その回路状態を選択すること
ができる。

また、前述の追加の回路は、チップがリカバリ・モードでのみ動作可能になるように、
集積回路あるいは完全なチップ保護の実装あるいはその両方に含めることもできる。これ
に関して、追加の回路は、チップがリカバリ・モードでは書き込み可能であるが、その他
のモードでは読み取り専用になるように、チップの書き込み禁止状態を制御することがで
きる。この目的のために、チップは、通常のブート中の偶発的なまたは悪意のある変更か
ら保護することができるが、依然としてリカバリ・モードではリカバリ・イメージの更新
を可能にすることができる。

図２は、主題技術の一態様により、ネットワークによってオペレーティング・システム
を復元するための装置及びシステムの典型的な図である。いくつかの態様では、前述のリ
カバリ・メカニズムは、オペレーティング・システムを既知の良好な状態にするのに十分
な情報をインストールすることができるだけであり、コア・イメージの残りはその他のソ
ースから取得することができる。たとえば、コンピュータ使用可能デバイス２００は、オ
ペレーティング・システムをデフォルト・バージョンに復元するために（たとえば、図１
に関連して述べた通り）、ファームウェア２０１、メモリ媒体２０２（たとえば、ハード
・ドライブ）、あるいはセキュア・メモリ２０３、またはこれらの組み合わせの上に１つ
または複数のブート・イメージを含むことができる。一態様では、この１つまたは複数の
ブート・イメージは、デフォルト・オペレーティング・システムのネットワーク・リカバ
リ・イメージを含み、ネットワーク・アクセシビリティを有する限られた特徴セットを含
むことができる。インストール後、デフォルト・オペレーティング・システムは、自動的
にまたはユーザ・アクションを受けて、オペレーティング・システムを最新バージョンに
更新するためにネットワーク２０４によって更新を取得するための所定の定義シーケンス
を開始することができる。オペレーティング・システムに対する更新は、１つまたは複数
のリモート・サーバ２０５によって提供することができる。このように、リカバリ・プロ
セスは、まず、搭載されているリカバリ・プロセスを使用して、短い時間（たとえば、高
速ブート・パスの場合は３０秒）内にコンピュータを使用可能な場所に復元し、次に１つ
または複数のバックグラウンド・プロセスでオペレーティング・システムを更新し、次に
ユーザがコンピュータをリブートするときに使用するために最新のオペレーティング・シ
ステムを提供することができる。

いくつかの態様では、さらにオペレーティング・システム及びファームウェアの更新が
リリースされると、セキュア・イメージ１０８を自動的に更新することができる。このよ
うに、システムが回復する必要がある場合、オペレーティング・システムあるいはファー
ムウェアまたはその両方は、そのデバイスが工場から出荷されたときに使用可能であった
状態の代わりに、更新された状態に回復することができる。これは、元の工場出荷ソフト
ウェアがそのリリースの時点でセキュリティ上の脆弱性を持っていた可能性があるので、
重要なことである可能性がある。他の一態様では、システム１００は、セキュア・イメー
ジより古いオペレーティング・システムのインストールを防止するように構成することが
できる。これに関して、オペレーティング・システムをインストールしようと試みると、
そのオペレーティング・システムが少なくともそのイメージと同じ程度に古いものである
ことを検証するために、ブート・イメージ１０５、冗長イメージ１０６、またはセキュア
・イメージ１０７と照らし合わせてチェックを実行することができる。また、リカバリ・
イメージは、それが含むオペレーティング・システム及びファームウェアをインストール
できるようにオペレーティング・システム保護を使用不可にできる場合もあれば、ネット
ワークを介して現行のオペレーティング・システム及びファームウェアをフェッチできる
ように前述のネットワーク・リカバリ・イメージを含む場合もある。

図３は、主題技術の一態様により、セキュアな場所からブート・イメージをロードする
ための典型的なプロセスを示すフローチャートである。ステップ３０１で、システム１０
０は、それぞれのサイクルがメモリ媒体から１つのブート・コードのレベルをロードする
、ブート・サイクルのシーケンスを開始する。ステップ３０２で、システム１００は、１
つのブート・サイクルに関するブート・コードをロードして実行しようと試み、ステップ
３０３で、そのブート・コードが使用可能であるかどうかを判断する。一態様では、その
コードがデバイスをブートするために使用可能であるかどうかを判断するために、そのコ
ードの検証を実行することができる。他の態様では、その判断は、ブート・サイクルが完
全に実行されなかったこと、故障していたかまたはエラーを発生したこと、破損していた
ことなどの検証から得られる可能性がある。

ブート・コードが使用可能である場合、それは実行される。そうではない場合、任意選
択のステップ３０４で、検証によりブート・イメージが使用不能であると判断されたとき
に、システム１００はブート・コードの冗長コピーをロードしようと試みる。前述のよう
に、このコピーはハード・ドライブ１０４またはその他のメモリ媒体上の隠しパーティシ
ョンからロードすることができる。いくつかの態様では、冗長コピーを含む、ブート・コ
ードの１つまたは複数のサイクルは、ファームウェア、たとえば、読み取り／書き込みフ
ァームウェアからロードすることができる。システム１００がブート・コードの冗長コピ
ーをロードしようと試みる場合、ステップ３０５で、システム１００は、冗長コピーも使
用不能であるかどうかについて判断を行う。冗長ブート・コードが使用可能である場合、
それは実行され、プロセスは終了する。そうではない場合、ステップ３０６で、元のブー
ト・イメージと冗長ブート・イメージの両方が使用不能であると判断されたときに、シス
テム１００はセキュアな場所からブート・コードのセキュア・コピーをロードしようと試
みる。いくつかの態様では、セキュア・イメージをロードするために使用されるセキュア
な場所はメモリ媒体に関連付けられていない。この目的のために、冗長コピーがハード・
ドライブまたはメモリ・スティックなどの１つのメモリ媒体上に保存されている場合、そ
のセキュアな場所は、たとえば、集積回路内に読み取り専用ファームウェアとして実現す
ることができる。

図４は、主題技術の一態様により、プロセッサ及びその他の内部コンポーネントを含み
、セキュアな場所からブート・イメージをロードするための模範的なサーバ・システムを
示す図である。いくつかの態様では、コンピュータ化されたデバイス４００（たとえば、
コンピュータ・システム１００など）は、プロセッサ４０１、システム・バス４０２、読
み取り専用メモリ４０３、システム・メモリ４０４、ネットワーク・インターフェース４
０５、入出力インターフェース４０６などのいくつかの内部コンポーネントを含む。一態
様では、プロセッサ４０１は、入出力インターフェース４０６を介して記憶媒体４０７（
たとえば、ハード・ドライブ、データベース、またはデータ・クラウド）と連絡している
可能性もある。いくつかの態様では、デバイス４００のこれらの要素のすべてを単一のデ
バイスに統合することができる。その他の態様では、これらの要素を別個のコンポーネン
トとして構成することができる。

プロセッサ４０１は、本明細書に記載された動作及び機能を実行するためのコードまた
は命令を実行し、要求フロー及びアドレス・マッピングを管理し、計算を実行してコマン
ドを生成するように構成することができる。プロセッサ４０１は、サーバ４００内のコン
ポーネントの動作をモニターし制御するように構成される。このプロセッサは、汎用マイ
クロプロセッサ、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）、特定用途
向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）
、プログラム可能論理デバイス（ＰＬＤ）、コントローラ、状態機械、ゲーテッド・ロジ
ック、個別ハードウェア部品、または上記のものの組み合わせにすることができる。複数
命令からなる１つまたは複数のシーケンスは、プロセッサ４０１内のＲＯＭ上にファーム
ウェアとして保存することができる。同様に、複数命令からなる１つまたは複数のシーケ
ンスは、システム・メモリ４０５、ＲＯＭ４０３に保存されそこから読み出されるか、記
憶媒体４０７から（たとえば、入出力インターフェース４０６を介して）受信されるソフ
トウェアにすることができる。ＲＯＭ４０３、システム・メモリ４０５、及び記憶媒体４
０７は、そこで命令／コードがプロセッサ４０１によって実行可能である、機械またはコ
ンピュータで読み取り可能な媒体の例を表している。機械またはコンピュータで読み取り
可能な媒体は一般に、システム・メモリ４０４またはプロセッサ４０１内のバッファに使
用されるダイナミック・メモリなどの揮発性媒体と、電子媒体、光媒体、及び磁気媒体な
どの不揮発性媒体の両方を含み、プロセッサ４０１に命令を提供するために使用される任
意の媒体またはメディアを指すことができる。

いくつかの態様では、プロセッサ４０１は、１つまたは複数の外部装置と（たとえば、
入出力インターフェース４０６を介して）連絡するように構成される。プロセッサ４０１
は、システム・メモリ４０４あるいは記憶媒体４０７またはその両方に保存されたデータ
を読み取り、１つまたは複数の外部装置からの要求に応答して１つまたは複数の外部装置
に読み取ったデータを転送するようにさらに構成される。読み取ったデータは、１つまた
は複数の外部装置上に描画すべき１つまたは複数のウェブ・ページあるいはその他のソフ
トウェア・プレゼンテーションまたはその両方を含むことができる。１つまたは複数の外
部装置は、パーソナル・コンピュータ、サーバ、ワークステーション、ラップトップ・コ
ンピュータ、ＰＤＡ、スマートフォンなどのコンピューティング・システムを含むことが
できる。

いくつかの態様では、システム・メモリ４０４は、デバイス４００を管理するために使
用されるデータ及び情報を一時的に保存するために使用される揮発性メモリを表している
。主題技術の一態様によれば、システム・メモリ４０４は、ダブル・データレート（ＤＤ
Ｒ）ＲＡＭなどのランダム・アクセス・メモリ（ＲＡＭ）である。システム・メモリ５０
４を実現するために、その他のタイプのＲＡＭも使用することができる。メモリ４０４は
、単一のＲＡＭモジュールまたは複数のＲＡＭモジュールを使用して実現することができ
る。システム・メモリ４０４はデバイス４００の一部として描写されているが、当業者で
あれば、システム・メモリ４０４が主題技術の範囲を逸脱せずにデバイス４００から分離
できることを認識するであろう。代わって、システム・メモリ４０４は、磁気ディスク、
フラッシュ・メモリ、周辺ＳＳＤなどの不揮発性メモリにすることができる。

入出力インターフェース４０６は、１つまたは複数の外部装置に結合し、１つまたは複
数の外部装置からデータを受信し、１つまたは複数の外部装置にデータを送信するように
構成することができる。入出力インターフェース４０６は、たとえば、バス４０２を介し
て、入出力インターフェース４０６をプロセッサ４０１に動作可能に結合するための電気
接続及び物理接続の両方を含むことができる。入出力インターフェース４０６は、バス４
０２に取り付けられた内部コンポーネント（たとえば、プロセッサ４０１）と１つまたは
複数の外部装置（たとえば、ハード・ドライブ）との間でデータ、アドレス、及び制御信
号を伝達するように構成される。入出力インターフェース４０６は、シリアルアタッチド
ＳＣＳＩ（ＳＡＳ）、ファイバ・チャネル・インターフェース、ＰＣＩエクスプレス（Ｐ
ＣＩｅ）、ＳＡＴＡ、ＵＳＢなどの標準的なインターフェースを実現するように構成する
ことができる。入出力インターフェース４０６は、１つのインターフェースのみを実現す
るように構成することができる。代わって、入出力インターフェース４０６は、ユーザに
よって選択されるかまたは組み立て時にプログラミングされた構成パラメータを使用して
個別に選択可能な複数のインターフェースを実現するように構成することもできる。入出
力インターフェース４０６は、１つまたは複数の外部装置とバス４０２あるいはそれに動
作可能に取り付けられた内部デバイスまたはその両方との間の伝送をバッファリングする
ための１つまたは複数のバッファを含むことができる。

当業者であれば、本明細書に記載されている様々な例示的なブロック、モジュール、エ
レメント、コンポーネント、方法、及びアルゴリズムは電子ハードウェア、コンピュータ
・ソフトウェア、またはその両方の組み合わせとして実現できることを認識するであろう
。ハードウェアとソフトウェアのこの互換性を例証するために、様々な例示的なブロック
、モジュール、エレメント、コンポーネント、方法、及びアルゴリズムは、その機能性に
関して上記で一般的に記載されている。このような機能性がハードウェアとして実現され
るかまたはソフトウェアとして実現されるかは、システム全体に課せられた特定の適用及
び設計上の制約によって決まる。当業者であれば、それぞれの特定の適用例のために様々
な方法で上記の機能性を実現することができる。様々なコンポーネント及びブロックは、
いずれも主題技術の範囲を逸脱せずに、異なる配置にする（たとえば、異なる順序で配置
するかまたは異なる方法でパーティション化する）ことができる。

開示されているプロセスにおける諸ステップの特定の順序または階層は模範的な手法の
例示であることは言うまでもない。設計上の好みに基づいて、プロセスにおける諸ステッ
プの特定の順序または階層を再編成できることは言うまでもない。諸ステップのうちのい
くつかは同時に実行することができる。付随する方法請求項は、サンプル順序で様々なス
テップの諸要素を提示しており、提示されている特定の順序または階層に限定されるもの
ではない。

上記の説明は、当業者が本明細書に記載された様々な態様を実践できるように提供され
たものである。上記の説明は主題技術の様々な例を提供しており、主題技術はこれらの例
に限定されない。これらの態様に対する様々な変更は当業者にとって容易に明らかになり
、本明細書に定義された包括的原理はその他の態様に適用することができる。したがって
、特許請求の範囲は本明細書に示されている諸態様に限定するためのものではなく、請求
項の表現と一致した全範囲が授与されるべきであり、その請求項においては単数形の要素
に対する言及は、特にそのように指定されない限り、「唯一のもの（one and only one）
」を意味するものではなく、むしろ「１つまたは複数（one or more）」を意味するもの
である。特に他の指定がない限り、「いくつかの（some）」という用語は１つまたは複数
を指している。男性形の代名詞（たとえば、彼の（his））は女性形及び中性形（たとえ
ば、彼女の（her）及びそれの（its））を含み、逆もまた同様である。見出し及び小見出
しがある場合、便宜上使用されているだけであり、主題技術を限定するものではない。

「ように構成される（configured to）」、「ように動作可能である（operable to）」
、及び「ようにプログラミングされる（programmed to）」という述語は、主題に関する
有形または無形の特定の変更を意味するものではなく、むしろ、交換可能に使用されるも
のである。たとえば、ある動作またはコンポーネントをモニターし制御するように構成さ
れたプロセッサは、そのプロセッサがその動作をモニターし制御するようにプログラミン
グされていることまたはそのプロセッサがその動作をモニターし制御するように動作可能
であることも意味することができる。同様に、コードを実行するように構成されたプロセ
ッサは、コードを実行するようにプログラミングされたかまたはコードを実行するように
動作可能であるプロセッサとして解釈することもできる。

「態様（aspect）」などの語句は、このような態様が主題技術にとって不可欠であるこ
とまたはこのような態様が主題技術のすべての構成に適用されることを意味するものでは
ない。一態様に関連する開示内容はすべての構成に適用される場合もあれば、１つまたは
複数の構成に適用される場合もある。一態様は１つまたは複数の例を提供することができ
る。一態様などの語句は１つまたは複数の態様を指す可能性があり、逆もまた同様である
。「実施形態（embodiment）」などの語句は、このような実施形態が主題技術にとって不
可欠であることまたはこのような実施形態が主題技術のすべての構成に適用されることを
意味するものではない。一実施形態に関連する開示内容はすべての実施形態に適用される
場合もあれば、１つまたは複数の実施形態に適用される場合もある。一実施形態は１つま
たは複数の例を提供することができる。「一実施形態」などの語句は１つまたは複数の実
施形態を指す可能性があり、逆もまた同様である。「構成（configuration）」などの語
句は、このような構成が主題技術にとって不可欠であることまたはこのような構成が主題
技術のすべての構成に適用されることを意味するものではない。一構成に関連する開示内
容はすべての構成に適用される場合もあれば、１つまたは複数の構成に適用される場合も
ある。一構成は１つまたは複数の例を提供することができる。「一構成」などの語句は１
つまたは複数の構成を指す可能性があり、逆もまた同様である。

「模範的（exemplary）」という単語は、「一例または例示として機能すること」を意
味するために本明細書で使用されている。「模範的」として本明細書に記載されている任
意の態様または設計は必ずしも他の態様または設計より好ましいかまたは有利であると解
釈すべきではない。

本発明全体を通して記載されている様々な態様の諸要素と構造上及び機能上同等であっ
て、当業者にとって既知であるかまたは後で既知のものになるものはいずれも、参照によ
り明白に本明細書に組み込まれ、特許請求の範囲によって包含されるものである。その上
、本明細書に開示されているものはいずれも、このような開示が特許請求の範囲に明示的
に列挙されているかどうかにかかわらず、世間一般に提供されたものではない。いかなる
請求要素も、その要素が「ための手段」という表現を使用して明白に列挙されていないか
または方法の請求項の場合にその要素が「ためのステップ」という表現を使用して列挙さ
れていない限り、米国特許法第１１２節第６項の規定に基づいて解釈されるべきではない
。さらに、「含む（comprise）」という用語は請求項内で移行語として使用されるときに
解釈されるので、「含む（include）」、「有する（have）」などの用語は、説明または
特許請求の範囲において使用される範囲で、「含む（comprise）」と同様に包括的なもの
である。

Claims (24)

1. プロセッサと、
   １つのブート・イメージならびに当該ブート・イメージに対応し、当該ブート・イメー
   ジに対して冗長な１つまたは複数のブート・イメージを含む１つまたは複数のブート・メ
   モリと、
   少なくとも１つのセキュア・ブート・イメージを含むセキュアな読み取り専用の場所と
   、
   コンピューティング・デバイスの立ち上げを開始するための開始及びリカバリ・ソフト
   ウェアを含んだメモリとを含み、
   前記開始及びリカバリ・ソフトウェアは、前記プロセッサによって実行されたときに、
   ブート・イメージの検証をロードして実行することと、
   前記ブート・イメージが前記検証によって使用不能であると判断された場合に、冗長
   ブート・イメージの第２の検証をロードして実行することと、
   前記冗長ブート・イメージが前記第２の検証によって使用不能であると判断された場
   合に、前記セキュアな読み取り専用の場所からセキュア・ブート・イメージをロードする
   こと
   を前記プロセッサに実現させる、コンピューティング・デバイス。
2. ブート・イメージの検証を実行することは、前記リカバリ・ソフトウェアが、実行され
   たときに、
   複数のブート・コード・レベルでブート・コードの検証を実行し、それぞれの前記レベ
   ルがブート・コードのコア・トラステッド部分から上に検証されること
   を前記プロセッサに実現させることを含む、請求項１記載のコンピューティング・デバイ
   ス。
3. 前記ブート・イメージ、冗長ブート・イメージ、及びセキュア・ブート・イメージがそ
   れぞれ、単一ブート・レベルに関するブート・コードのコピーを含む、請求項２記載のコ
   ンピューティング・デバイス。
4. 前記複数のブート・コード・レベルが１つのブート・サイクルを含み、前記ブート・イ
   メージを使用不能であると判断することは、前記リカバリ・ソフトウェアが、実行された
   ときに、
   前記ブート・サイクルを停止することと、
   それぞれのブート・コードをロードして修復するために前記セキュアな読み取り専用の
   場所にアクセスすることと、
   最後に把握された検証可能なレベルで前記ブート・サイクルを再開すること
   を前記プロセッサに実現させることを含む、請求項２記載のコンピューティング・デバイ
   ス。
5. 前記ブート・イメージ及び前記冗長ブート・イメージの検証を実行することは、暗号鍵
   を使用してブート・コードをチェックすることを含む、請求項１記載のコンピューティン
   グ・デバイス。
6. 前記リカバリ・ソフトウェアは、実行されたときに、
   ロードされた前記セキュア・ブート・イメージの検証を実行すること
   を前記プロセッサにさらに実行させる、請求項１記載のコンピューティング・デバイス。
7. ロードされた前記セキュア・ブート・イメージの検証を実行することは、暗号鍵を使用
   してブート・コードをチェックすることを含む、請求項６記載のコンピューティング・デ
   バイス。
8. 前記セキュアな読み取り専用の場所が、前記コンピューティング・デバイスに関連する
   システム制御ボード上に位置する集積回路チップを含む、請求項１記載のコンピューティ
   ング・デバイス。
9. 前記メモリが、前記コンピューティング・デバイスに関連するメモリ媒体上の分離され
   た隠しパーティションを含む、請求項１記載のコンピューティング・デバイス。
10. 前記セキュア・ブート・イメージが、ユーザが開始したキーストロークに応答してロー
    ドされる、請求項１記載のコンピューティング・デバイス。
11. 前記セキュア・ブート・イメージが、前記コンピューティング・デバイスのオペレーテ
    ィング・システムをインストールするのに十分な情報を含み、前記リカバリ・ソフトウェ
    アは、実行されたときに、
    ネットワーク・アクセシビリティを含むデフォルト状態に前記オペレーティング・シス
    テムを復元することと、
    前記オペレーティング・システムを最新バージョンに更新するためにネットワーク・ソ
    ースから更新を取得するための所定の定義シーケンスを開始すること
    を前記プロセッサにさらに実行させる、請求項１記載のコンピューティング・デバイス。
12. 機械で実行可能な命令が保存されている機械可読媒体であって、前記命令が、機械また
    はコンピュータによって実行されたときに、
    ブート・サイクルのシーケンスを開始し、それぞれのサイクルがメモリ媒体から１つの
    ブート・コードのレベルをロードすることと、
    １つのブート・コードのレベルが使用不能であると判断することと、
    セキュアな読み取り専用の場所から前記ブート・コードのレベルのセキュア・コピーを
    ロードすることであって、前記セキュアな読み取り専用の場所が前記メモリ媒体に関連付
    けられていないこと
    を含む、ブート・イメージをロードする方法を前記機械またはコンピュータに実行させる
    、機械可読媒体。
13. 前記方法が、
    前記ブート・コードのレベルが使用不能であると判断する前に最後に把握された検証可
    能なコードのレベルを検証することと、
    前記ブート・コードのレベルが使用不能であると判断したときに前記ブート・サイクル
    のシーケンスを停止することと、
    前記セキュア・コピーを使用して前記使用不能なブート・コードのレベルを修復するこ
    とと、
    前記最後に把握された検証可能なレベルで前記ブート・サイクルを再開すること
    をさらに含む、請求項１２記載の機械可読媒体。
14. 前記方法が、
    前記セキュア・コピーをロードする前に、前記ブート・コードのレベルの冗長コピーが
    使用不能であると判断すること
    をさらに含む、請求項１２記載の機械可読媒体。
15. 前記方法が、
    ロードされた前記セキュア・ブート・イメージの検証を実行すること
    をさらに含む、請求項１２記載の機械可読媒体。
16. 前記セキュアな読み取り専用の場所が、前記コンピューティング・デバイスに関連する
    システム制御ボード上に位置する集積回路チップを含む、請求項１２記載の機械可読媒体
    。
17. 前記セキュア・コピーまでの前記複数ブート・サイクルのシーケンスが、前記コンピュ
    ーティング・デバイスのオペレーティング・システムをインストールするためのブート・
    コードを含み、前記方法が、
    ネットワーク・アクセシビリティを含むデフォルト状態に前記オペレーティング・シス
    テムを復元することと、
    前記オペレーティング・システムを最新バージョンに更新するためにネットワーク・ソ
    ースから更新を取得するための所定の定義シーケンスを開始すること
    をさらに含む、請求項１２記載の機械可読媒体。
18. ブート・イメージを回復する、コンピュータで実行される方法であって、
    ブート・プログラム内の使用不能なブート・コードのセクションを決定することであっ
    て、前記ブート・プログラムがメモリ媒体上に保存されていることと、
    セキュアな読み取り専用集積回路からのブート・コードのセキュア・コピーにアクセス
    することと、
    前記使用不能なブート・コードのセクションをブート・コードの前記セキュア・コピー
    で置き換えて前記メモリ媒体上の前記ブート・プログラムを修復することと、
    前記修復されたブート・プログラムを使用して前記メモリ媒体からデフォルト・オペレ
    ーティング・システムをロードすること
    を含む、コンピュータで実行される方法。
19. 前記デフォルト・オペレーティング・システムが、前記オペレーティング・システムを
    最新バージョンに更新するためにネットワーク・ソースから更新を取得するための動作の
    所定の定義シーケンスを開始するために必要十分な機能性を含む、請求項１８記載のコン
    ピュータで実行される方法。
20. 前記使用不能なブート・コードのセクションをブート・コードの前記セキュア・コピー
    で置き換える前に前記使用不能なブート・コードのセクションに対応するブート・コード
    の冗長セクションも使用不能であると判断することと、
    ブート・コードの前記冗長セクションをブート・コードの前記セキュア・コピーで置き
    換えること
    をさらに含む、請求項１８記載のコンピュータで実行される方法。
21. ブート・イメージを回復するためのコンピュータで実行される方法であって、
    メモリ媒体上に及びされている使用不能なブート・イメージを決定することと、
    セキュアな読み取り専用集積回路からの前記ブート・イメージのセキュア・コピーにア
    クセスすることと、
    前記セキュア・コピーを使用してオペレーティング・システムをロードすること
    を含む、コンピュータで実行される方法。
22. 前記使用不能なブート・イメージを前記セキュア・コピーで置き換えて、前記メモリ媒
    体上に保存されている前記ブート・イメージを修復すること
    をさらに含み、
    前記セキュア・コピーを使用して前記デフォルト・オペレーティング・システムをロー
    ドすることが、前記修復されたブート・イメージを使用して前記メモリ媒体から前記オペ
    レーティング・システムをロードすることを含む、請求項２１記載のコンピュータで実行
    される方法。
23. 前記オペレーティング・システムが、前記オペレーティング・システムを最新バージョ
    ンに更新するためにネットワーク・ソースから更新を取得するための動作の所定の定義シ
    ーケンスを開始するために必要十分な機能性を含むデフォルト・オペレーティング・シス
    テムである、請求項２１記載のコンピュータで実行される方法。
24. 前記使用不能なブート・イメージを前記セキュア・ブート・イメージで置き換える前に
    前記使用不能なブート・イメージに対応する冗長ブート・イメージも使用不能であると判
    断することと、
    前記冗長ブート・イメージを前記セキュア・ブート・イメージで置き換えること
    をさらに含む、請求項２１記載のコンピュータで実行される方法。