JP2022522374A - 割り込みイネーブルのためのセキュア・インターフェース制御ハイレベル命令インターセプト - Google Patents

Abstract

割り込みをイネーブルする命令に対する部分的な命令解釈を提供するコンピュータのセキュア・インターフェース制御による方法が提供される。セキュア・インターフェース制御は、セキュア・ゲスト・ストレージからプログラム状況ワードまたは制御レジスタ値をフェッチする。セキュア・インターフェース制御は、信頼されないエンティティにゲスト割り込みマスク更新を通知する。信頼されないエンティティにおいて実行されるセキュア・エンティティの動作をサポートするために、信頼されないエンティティはセキュア・インターフェース制御を介して、コンピュータのハードウェアにおいて実行され、それと通信する。セキュア・インターフェース制御は、信頼されないエンティティから、ゲスト割り込みマスク更新の通知に応答して最高優先順位のイネーブルされたゲスト割り込みを提供する要求を受信する。セキュア・インターフェース制御はゲスト・プレフィックス・ページに割り込み情報を移動させて、その割り込みの挿入が有効と判定されたときにはセキュア・エンティティに割り込みを挿入する。【選択図】図１５

Description

本発明は一般的にコンピュータ技術に関し、より具体的には割り込みイネーブルのためのセキュア・インターフェース制御ハイレベル命令インターセプトに関する。

クラウド・コンピューティングおよびクラウド・ストレージは、ユーザに自身のデータをサード・パーティ・データ・センタで記憶および処理するためのケイパビリティを提供する。クラウド・コンピューティングは、顧客がハードウェアを購入したり物理サーバのためにフロア空間を提供したりする必要なしに、顧客に対する仮想マシン（ＶＭ：ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ）を迅速かつ容易にプロビジョニングする能力を促進する。顧客は、顧客のプリファレンスまたは要求の変更に従ってＶＭを容易に拡張または縮小することができる。通常、クラウド・コンピューティング・プロバイダはＶＭをプロビジョニングし、そのＶＭはプロバイダのデータ・センタのサーバに物理的に存在する。特に、コンピューティング・プロバイダはしばしば同じサーバに複数の顧客のデータを記憶するため、顧客はしばしばＶＭ内のデータのセキュリティについて懸念する。顧客は、自身のコード／データとクラウド・コンピューティング・プロバイダのコード／データとの間のセキュリティに加えて、顧客自身のコード／データとそのプロバイダのサイトで動作する他のＶＭのコード／データとの間のセキュリティも望むことがある。加えて顧客は、プロバイダの管理者からのセキュリティに加えて、マシンで動作する他のコードからのセキュリティ侵害の可能性に対するセキュリティも望むことがある。

こうしたセンシティブな状況に対処するために、クラウド・サービス・プロバイダは適切なデータ分離および論理的ストレージ分離を確実にするためのセキュリティ制御を実施してもよい。クラウド・インフラストラクチャの実現に仮想化を広く用いることによって、クラウド・サービスの顧客に独自のセキュリティの懸念がもたらされる。なぜなら、基礎的なハードウェアがコンピューティング、ストレージ、またはたとえネットワーク形成ハードウェアであっても、仮想化はそのハードウェアとオペレーティング・システム（ＯＳ：ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍ）との関係を変えてしまうためである。このため、仮想化はそれ自身が適切な構成、管理、および保護を受ける必要がある付加的なレイヤとして導入される。

一般的に、ホスト・ハイパーバイザの制御下でゲストとして動作するＶＭは、そのゲストに対する仮想化サービスを透過的に提供するためにそのハイパーバイザに頼っている。これらのサービスはメモリ管理、命令エミュレーション、および割り込み処理を含む。

メモリ管理の場合、ＶＭは自身のデータをディスクからメモリに存在するように移動（ページイン）でき、かつＶＭは自身のデータを出してディスクに戻すこと（ページアウト）もできる。ページがメモリに存在する間、ＶＭ（ゲスト）はダイナミック・アドレス変換（ＤＡＴ：ｄｙｎａｍｉｃ ａｄｄｒｅｓｓ ｔｒａｎｓｌａｔｉｏｎ）を用いてメモリ内のページをゲスト仮想アドレスからゲスト絶対アドレスにマップする。加えて、ホスト・ハイパーバイザはメモリ内のゲスト・ページに対して独自のＤＡＴマッピング（ホスト仮想アドレスからホスト絶対アドレスへ）を有し、ゲストとは独立に透過的にゲスト・ページをメモリの中および外にページできる。ハイパーバイザは、ホストＤＡＴテーブルを通じて、２つの別個のゲストＶＭ間のゲスト・メモリのメモリ分離または共有を提供する。ホストは、ゲストの代わりに必要なときにゲスト動作をシミュレートするためにゲスト・メモリにアクセスすることもできる。

命令エミュレーションおよび割り込み処理の場合、ゲストが特定の命令を実行するときに、ハイパーバイザが設定した制御に基づいて、マシンはハイパーバイザに制御を戻すことで、ハイパーバイザがゲストの代わりにその特定の命令をエミュレートできるようにする。たとえば、ロード・プログラム状況ワード（ＬＰＳＷ：Ｌｏａｄ ｐｒｏｇｒａｍ ｓｔａｔｕｓ ｗｏｒｄ）またはロード制御（ＬＣＴＬ：ｌｏａｄ ｃｏｎｔｒｏｌ）命令などがハイパーバイザによってエミュレートされることによって、ハイパーバイザは割り込みイネーブルをモニタして、ハイパーバイザによって維持されている保留割り込みを適切な優先順位のゲストに提供できるようにしてもよい。

１つ以上の実施形態によると、割り込みをイネーブルする命令に対する部分的な命令解釈を提供するコンピュータのセキュア・インターフェース制御による方法が提供される。セキュア・インターフェース制御は、セキュア・ゲスト・ストレージからプログラム状況ワードまたは制御レジスタ値をフェッチする。セキュア・インターフェース制御は、信頼されないエンティティにゲスト割り込みマスク更新を通知する。信頼されないエンティティにおいて実行されるセキュア・エンティティの動作をサポートするために、信頼されないエンティティはセキュア・インターフェース制御を通じてコンピュータのハードウェアにおいてそれと通信しながら実行される。セキュア・インターフェース制御は、信頼されないエンティティから、ゲスト割り込みマスク更新の通知に応答して最高優先順位のイネーブルされたゲスト割り込みを提供する要求を受信する。セキュア・インターフェース制御はゲスト・プレフィックス・ページに割り込み情報を移動させて、その割り込みの挿入が有効と判定されたときにはセキュア・エンティティに割り込みを挿入する。本明細書における１つ以上の実施形態の技術効果および利益は、セキュア・ゲスト状態またはメモリへの信頼されないエンティティによるアクセスを許可することなく、単一の場所にこの複雑なコードを常駐させることによって、複雑性およびリスクを低減することを含む。

１つ以上の実施形態または上記の方法実施形態によると、この方法はさらに、セキュア・エンティティによって、信頼されないエンティティによってモニタされるロード・プログラム状況ワードまたはロード制御を発行することを含み得る。

１つ以上の実施形態または上記の方法実施形態のいずれかによると、この方法はさらに、セキュア・インターフェース制御によって、フェッチすることに応答して、プログラム状況ワードまたは制御レジスタをロードすることを含み得る。

１つ以上の実施形態または上記の方法実施形態のいずれかによると、この方法はさらに、信頼されないエンティティによって、保留およびイネーブルされた割り込みの優先順位付けをして、最高優先順位のイネーブルされたゲスト割り込みを定めることを含み得る。

１つ以上の実施形態または上記の方法実施形態のいずれかによると、この方法はさらに、信頼されないエンティティによって、最高優先順位のイネーブルされたゲスト割り込みに対する割り込み情報を非セキュア・ストレージに記憶することを含み得る。

１つ以上の実施形態または上記の方法実施形態のいずれかによると、信頼されないエンティティは、状態記述の割り込み情報を提供できる。

１つ以上の実施形態または上記の方法実施形態のいずれかによると、信頼されないエンティティはセキュア・インターフェース制御に割り込み情報を提供するための命令を発行でき、割り込み情報はその命令に対するパラメータとして渡される。

１つ以上の実施形態または上記の方法実施形態のいずれかによると、この方法はさらに、セキュア・インターフェース制御によって、割り込みの挿入が無効と判定されたときには信頼されないエンティティに例外を発行することを含み得る。本明細書における１つ以上の実施形態の技術効果および利益は、セキュア・ゲスト状態またはメモリへの信頼されないエンティティのアクセスを許可することなく、単一の場所にこの複雑なコードを存在させることによって、複雑性およびリスクを低減することを含む。

１つ以上の実施形態または上記の方法実施形態のいずれかによると、この方法はさらに、セキュア・エンティティによって、挿入された割り込みを受信したことに応答して割り込みハンドラを実行することを含み得る。

１つ以上の実施形態または上記の方法実施形態のいずれかによると、セキュア・エンティティはセキュア・ゲストを含むことができ、信頼されないエンティティはハイパーバイザを含む。

１つ以上の実施形態によると、上記の方法実施形態のいずれかは、コンピュータ・プログラム製品またはシステムとして実現され得る。

本開示の技術によって、付加的な特徴および利点が実現される。本明細書において本発明の他の実施形態および態様が詳細に説明されており、本発明の一部とみなされる。利点および特徴とともに本発明をより良好に理解するために、説明および図面を参照されたい。

本明細書に記載される独占権の明細は、本明細書の末尾の請求項において特定的に指摘され、明確に請求されている。本発明の実施形態の前述およびその他の特徴および利点は、添付の図面とともに得られる以下の詳細な説明から明らかである。

本発明の１つ以上の実施形態によるゾーン・セキュリティに対するテーブルを示す図である。 本発明の１つ以上の実施形態によるＤＡＴを行うための仮想および絶対アドレス・スペースを示す図である。 本発明の１つ以上の実施形態によるハイパーバイザの下で動作する仮想マシン（ＶＭ）をサポートするためのネストされたマルチパートＤＡＴを示す図である。 本発明の１つ以上の実施形態によるセキュア・ゲスト・ストレージのマッピングを示す図である。 本発明の１つ以上の実施形態によるダイナミック・アドレス変換（ＤＡＴ）動作のシステム概要を示す図である。 本発明の１つ以上の実施形態によるセキュア・インターフェース制御メモリのシステム概要を示す図である。 本発明の１つ以上の実施形態によるインポート動作のプロセスの流れを示す図である。 本発明の１つ以上の実施形態によるインポート動作のプロセスの流れを示す図である。 本発明の１つ以上の実施形態による供与メモリ動作のプロセスを示す図である。 本発明の１つ以上の実施形態によるセキュア・インターフェース制御のセキュア・ページへの非セキュア・ハイパーバイザ・ページの移行のプロセスの流れを示す図である。 本発明の１つ以上の実施形態によるセキュア・インターフェース制御によって行われるセキュア・ストレージ・アクセスのプロセスの流れを示す図である。 本発明の１つ以上の実施形態によるセキュア・インターフェース制御およびハードウェアによって行われるアクセス・タグ付けのプロセスの流れを示す図である。 本発明の１つ以上の実施形態によるプログラムおよびセキュア・インターフェース制御によるセキュアおよび非セキュア・アクセスをサポートするための変換のプロセスの流れを示す図である。 本発明の１つ以上の実施形態によるプログラムおよびセキュア・インターフェース制御によるセキュア・ストレージ保護を伴うＤＡＴのプロセスの流れを示す図である。 本発明の１つ以上の実施形態による割り込みイネーブルのためのセキュア・インターフェース制御ハイレベル命令インターセプトに対するプロセスの流れを示す図である。 本発明の１つ以上の実施形態による割り込みイネーブルのためのセキュア・インターフェース制御ハイレベル命令インターセプトに対するプロセスの流れを示す図である。 本発明の１つ以上の実施形態によるクラウド・コンピューティング環境を示す図である。 本発明の１つ以上の実施形態による抽象化モデル・レイヤを示す図である。 本発明の１つ以上の実施形態によるシステムを示す図である。 本発明の１つ以上の実施形態によるノードを示す図である。

本明細書に示される図面は例示である。本発明の思想から逸脱することなく、図面またはそこに記載される動作には多くの変形が存在し得る。たとえば、動作は異なる順序で行われ得るし、動作は追加、削除、または変更され得る。加えて、「結合される（ｃｏｕｐｌｅｄ）」という用語およびその変形は、２つの構成要素間に通信経路を有することを説明するものであって、それらの間に介在する構成要素／接続を伴わない構成要素間の直接の接続を意図するものではない。これらの変形はすべて、本明細書の一部とみなされる。

本明細書における１つ以上の実施形態は、付加的なセキュリティを提供するためにソフトウェアとマシンとの間の効率的な軽量のインターフェースを利用している。この場合、このインターフェースは、セキュア・インターフェース制御が大多数の割り込みイネーブル命令（例、ロード・プログラム状況ワードまたはロード制御）をエミュレートすることを可能にする一方で、信頼されないエンティティがセキュア・エンティティの代わりに保留割り込みを維持することをなおも可能にするために使用される。この保留割り込み構造は、ハードウェアにおいてディスパッチされていないセキュア・エンティティに基づく割り込みの優先順位付けに対処するために、信頼されないエンティティによって必要とされる。本明細書における１つ以上の実施形態の技術効果および利益は、セキュア・ゲスト状態またはメモリへの信頼されないエンティティのアクセスを許可することなく、単一の場所にこの複雑なコードを存在させることによって、複雑性およびリスクを低減することを含む。

ホスト・ハイパーバイザ（例、信頼されないエンティティ）の制御下でゲストとして動作する仮想マシン（ＶＭ）は、そのゲストに対する仮想化サービスを透過的に提供するためにそのハイパーバイザに頼っている。これらのサービスは、セキュア・エンティティと別の信頼されないエンティティとの間の任意のインターフェースに適用でき、そのインターフェースはこの他方のエンティティによるセキュア・リソースへのアクセスを従来可能にするものである。前述のとおり、これらのサービスはメモリ管理、命令エミュレーション、および割り込み処理を含み得るが、これに限定されない。たとえば、割り込みおよび例外挿入のために、ハイパーバイザは通常ゲストのプレフィックス・エリア（低コア）への読取りもしくは書込みまたはその両方を行う。本明細書において用いられる「仮想マシン」または「ＶＭ」という用語は、物理マシン（コンピュータ・デバイス、プロセッサなど）およびその処理環境（オペレーティング・システム（ＯＳ）、ソフトウェア・リソースなど）の論理的表現を示す。ＶＭは、基礎的なホスト・マシン（物理プロセッサまたはプロセッサのセット）において実行されるソフトウェアとして維持される。ユーザまたはソフトウェア・リソースの観点からは、ＶＭは自身の独立した物理マシンであるようにみえる。本明細書において用いられる「ハイパーバイザ」および「ＶＭモニタ（ＶＭＭ：ＶＭ Ｍｏｎｉｔｏｒ）」という用語は、同じホスト・マシンにおいて複数の（かつ異なることもある）ＯＳを用いて複数のＶＭが実行され得るように管理を行う処理環境またはプラットフォーム・サービスを示す。当然のことながら、ＶＭの配置はＶＭのインストール・プロセスと、ＶＭのアクティベーション（または始動）プロセスとを含む。別の例において、ＶＭの配置はＶＭのアクティベーション（または始動）プロセスを含む（例、ＶＭが予めインストールされているか、または既に存在している場合）。

現在利用可能な技術的解決策において、ハイパーバイザ（例、ＩＢＭ（ＩＢＭ社の登録商標）のｚ／ＶＭ（ＩＢＭ社の登録商標）、またはオープン・ソース・ソフトウェアのカーネル・ベース仮想マシン（ＫＶＭ：Ｋｅｒｎｅｌ Ｂａｓｅｄ Ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ））は、解釈実行開始（ＳＩＥ：Ｓｔａｒｔ－Ｉｎｔｅｒｐｒｅｔｉｖｅ－Ｅｘｅｃｕｔｉｏｎ）命令を発行してＳＩＥエントリ・ミリコードを呼び出すことによって、物理処理ユニットまたはホスト・サーバにおける新たなＶＭ仮想ＣＰＵ（ｖＣＰＵ：ｖｉｒｔｕａｌ ＣＰＵ）をディスパッチする。ミリコードは、プロセッサ・ハードウェアに対する拡張機能として動作する信頼されるファームウェアである。ＳＩＥ命令のオペランドは状態記述と呼ばれる制御ブロックであり、それはゲスト状態を含む。ＳＩＥエントリの際に、このゲスト状態（汎用目的および制御レジスタ、ゲスト命令アドレスおよびゲスト・プログラム状況ワード（ＰＳＷ：ｐｒｏｇｒａｍ－ｓｔａｔｕｓ－ｗｏｒｄ）を含む）がミリコードによってハードウェアにロードされる。これによって、ゲストｖＣＰＵが物理プロセッサで動作できるようになる。ｖＣＰＵがハードウェアで動作している間、ゲスト状態はハードウェア内に維持される。どこかの時点で、ハードウェア／ミリコードは制御をハイパーバイザに戻す必要がある。このことはしばしばＳＩＥエグジットと呼ばれる。これが必要になるのはたとえば、このｖＣＰＵがハイパーバイザによるエミュレーションを必要とする命令を実行するとき、またはｖＣＰＵのタイムスライス（すなわち、このｖＣＰＵが物理プロセッサで動作するために割り当てられた時間）が経過したときなどであってもよい。既存のハイパーバイザは、ｖＣＰＵをディスパッチするためにＳＩＥ命令を通じてこうしたインターフェースを使用することに頼っている。

セキュア・ゲスト（例、セキュア・エンティティ）を促進およびサポートするために、ハイパーバイザに頼らないハイパーバイザとセキュア・ゲストとの間の付加的なセキュリティが必要とされることで、ハイパーバイザはＶＭからのデータにアクセスできないために上述のやり方でサービスを提供できなくなるところに、技術的課題が存在する。

本明細書に記載されるセキュア実行は、セキュア・ストレージおよび非セキュア・ストレージの間、ならびに異なるセキュア・ユーザに属するセキュア・ストレージの間の分離を保証するためのハードウェア機構を提供する。セキュア・ゲストに対して、「信頼されない」非セキュア・ハイパーバイザとセキュア・ゲストとの間に付加的なセキュリティが提供される。これを行うためには、通常ハイパーバイザがゲストの代わりに行う機能の多くをマシンに組み込む必要がある。ハイパーバイザとセキュア・ゲストとのセキュア・インターフェースを提供するための、本明細書において「ＵＶ」とも呼ばれる新たなセキュア・インターフェース制御についてここに説明する。本明細書において、セキュア・インターフェース制御およびＵＶという用語は交換可能に用いられる。セキュア・インターフェース制御は、この付加的なセキュリティを提供するためにハードウェアと連携して働く。

一例において、セキュア・インターフェース制御は、内部のセキュアかつ信頼されるハードウェアもしくはファームウェアまたはその両方において実現される。セキュア・ゲストまたはエンティティに対して、セキュア・インターフェース制御は、セキュア環境の初期化および維持と、ハードウェアにおけるこれらのセキュア・エンティティのディスパッチの調整とを提供する。セキュア・ゲストがデータをアクティブに使用しており、かつそのデータがホスト・ストレージに存在するとき、それはセキュア・ストレージ内で「暗号化されずに」保たれる。セキュア・ゲスト・ストレージはその単一のセキュア・ゲストによるアクセスが可能であり、これはハードウェアによって厳密に実施される。つまり、ハードウェアは、任意の非セキュア・エンティティ（ハイパーバイザまたはその他の非セキュア・ゲストを含む）または異なるセキュア・ゲストがそのデータにアクセスすることを防ぐ。この例において、セキュア・インターフェース制御は、ファームウェアの最低レベルの信頼される部分として実行される。最低レベルすなわちミリコードは、実際にはハードウェアの拡張機能であり、たとえばＩＢＭ（ＩＢＭ社の登録商標）のｚＡａｒｃｈｉｔｅｃｔｕｒｅ（ＩＢＭ社の登録商標）などにおいて定義される複雑な命令および機能を実現するために用いられる。ミリコードはストレージのすべての部分にアクセスでき、セキュア実行の状況において、ストレージには自身のセキュアＵＶストレージ、非セキュア・ハイパーバイザ・ストレージ、セキュア・ゲスト・ストレージ、および共有ストレージが含まれる。このため、ミリコードは、セキュア・ゲストまたはそのゲストのサポートを行うハイパーバイザが必要とする任意の機能を提供できる。セキュア・インターフェース制御はハードウェアへの直接アクセスも有し、それによってハードウェアは、セキュア・インターフェース制御が確立した条件の制御下でセキュリティ・チェックを効率的に提供できる。

本発明の１つ以上の実施形態によると、セキュア・ページをマーク付けするためにハードウェア内にセキュア・ストレージ・ビットが提供される。このビットがセットされるとき、ハードウェアは任意の非セキュア・ゲストまたはハイパーバイザがこのページにアクセスすることを防ぐ。加えて、各セキュア・ページまたは共有ページはゾーン－セキュリティ・テーブルに登録され、セキュア－ゲスト－ドメイン識別（ＩＤ：ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）によってタグ付けされる。そのページが非セキュアであるときは、ゾーン－セキュリティ・テーブルにおいてそのようにマーク付けされる。このゾーン－セキュリティ・テーブルは、パーティションまたはゾーン毎にセキュア・インターフェース制御によって維持される。そのページがセキュア・ゲストまたはそれを所有するエンティティのみにアクセスされることを検証するためにセキュア・エンティティによって行われる任意のＤＡＴ変換においてハードウェアによって用いられるホスト絶対ページ毎に１つのエントリが存在する。

本発明の１つ以上の実施形態によると、ソフトウェアはＵＶコール（ＵＶＣ：ＵＶ Ｃａｌｌ）命令を用いて、セキュア・インターフェース制御が特定の動作を行うことを要求する。たとえばＵＶＣ命令は、セキュア・インターフェース制御を初期化し、セキュア・ゲスト・ドメイン（例、セキュア・ゲスト構成）を作成し、そのセキュア構成内に仮想ＣＰＵを作成するために、ハイパーバイザによって使用され得る。加えて、ハイパーバイザのページインまたはページアウト動作の一部として、セキュア・ゲスト・ページをインポート（復号してセキュア・ゲスト・ドメインに割り当てる）およびエクスポート（暗号化してホストのアクセスを許可する）するためにＵＶＣ命令が用いられ得る。加えてセキュア・ゲストは、ハイパーバイザと共有されるストレージの定義、セキュア・ストレージの共有化、および共有ストレージのセキュア化を行う能力を有する。

ハイパーバイザがセキュア・ゲスト・データを透過的にページインおよびページアウトするときにセキュリティを提供するために、セキュア・インターフェース制御はハードウェアとともに働いて、データの復号および暗号化を提供および保証する。このことを達成するために、ハイパーバイザは、ゲスト・セキュア・データをページインおよびページアウトするときに新たなＵＶＣを発行することが要求される。これらの新たなＵＶＣの際にセキュア・インターフェース制御によってセットアップされた制御に基づいて、ハードウェアはこれらのＵＶＣが確かにハイパーバイザによって発行されたことを保証することとなる。

この新たなセキュア環境において、ハイパーバイザがセキュア・ページをページアウトするときは常に、セキュア・ストレージからの新たな変換（エクスポート）ＵＶＣを発行することが要求される。このエクスポートＵＶＣに応答して、ＵＶまたはセキュア・インターフェース制御は、１）そのページがＵＶによって「ロック」されたことを示し、２）ページを暗号化し、３）ページを非セキュアに設定し、４）ＵＶロックをリセットすることとなる。エクスポートＵＶＣが完了したとき、ハイパーバイザはここで暗号化ゲスト・ページをページアウトすることができる。

加えて、ハイパーバイザがセキュア・ページをページインするときは常に、ハイパーバイザはセキュア・ストレージへの新たな変換（インポート）ＵＶＣを発行する必要がある。このインポートＵＶＣに応答して、ＵＶまたはセキュア・インターフェース制御は、１）ハードウェアにおいてそのページをセキュアとマーク付けし、２）ページがＵＶによって「ロック」されたことを示し、３）ページを復号し、４）特定のセキュア・ゲスト・ドメインに対する権限を設定し、５）ＵＶロックをリセットすることとなる。セキュア・エンティティによるアクセスが行われるときは常に、ハードウェアは変換の際にそのページに対する認可チェックを行う。これらのチェックは、１）そのページがアクセスを試みているセキュア・ゲスト・ドメインに確かに属していることを検証するためのチェック、および２）このページがゲスト・メモリに存在していた間にハイパーバイザがこのページのホスト・マッピングを変更していないことを確認するためのチェックを含む。ページがセキュアであるとマーク付けされたとき、ハードウェアはハイパーバイザまたは非セキュア・ゲストＶＭのいずれかによる任意のセキュア・ページへのアクセスを防ぐ。付加的な変換ステップは、別のセキュアＶＭによるアクセスを防ぎ、ハイパーバイザによるリマッピングを防ぐ。

ハイパーバイザが非セキュア・ゲストの代わりに命令をエミュレートする場合がある。しかし、セキュア・ゲストに対しては、セキュア・インターフェース制御が介在して、「信頼されない」ハイパーバイザがセキュア・ゲスト状態を損なうおそれがある任意の機能を提供する必要がある。この介在はいくつかの理由のために必要なことがある。たとえば、この命令のエミュレーションは、セキュア・ゲスト・メモリまたはセキュア・ゲスト設備へのアクセスを必要とすることがある。いくつかの場合には、ＵＶが命令を完全にエミュレートすることとなる。他の場合には、セキュア・インターフェース制御が命令のエミュレーションを完了するが、ゲスト状態に対する何らかの更新をハイパーバイザに通知することとなる。さらに他の場合には、ゲスト状態を損なわずにセキュア・インターフェース制御とハイパーバイザとの間で限定された情報を受け渡しするために、インターフェースが用いられる。このアプローチはセキュア・インターフェース制御とハイパーバイザとの間で軽量のインターフェースを利用して、この場合にはセキュア・インターフェース制御における保留割り込み構造の複製の最小化を可能にする。ここで図１を参照すると、本発明の１つ以上の実施形態によるゾーン・セキュリティに対するテーブル１００が一般的に示されている。図１に示されるゾーン－セキュリティ・テーブル１００は、セキュア・インターフェース制御によって維持され、セキュア・エンティティにアクセスされる任意のページに対するセキュア・アクセスを保証するために、セキュア・インターフェース制御およびハードウェアによって使用される。ゾーン－セキュリティ・テーブル１００は、ホスト絶対アドレスによってインデックス付けされる１１０。つまり、ホスト絶対ストレージの各ページに対して１つのエントリが存在する。各エントリは、そのエントリがアクセスを行うセキュア・エンティティに属することを検証するために用いられる情報を含む。

さらに、図１に示されるとおり、ゾーン－セキュリティ・テーブル１００は、セキュア・ドメインＩＤ１２０（このページに関連するセキュア・ドメインを識別する）と、ＵＶビット１３０（このページはセキュア・インターフェース制御に供与されたものであり、セキュア・インターフェース制御が所有することを示す）と、ディスエーブル・アドレス比較（ＤＡ：ｄｉｓａｂｌｅ ａｄｄｒｅｓｓ ｃｏｍｐａｒｅ）ビット１４０（たとえばホスト絶対として定められたセキュア・インターフェース制御ページが関連するホスト仮想アドレスを有さないときなど、特定の状況においてホスト・アドレス対比較をディスエーブルするために用いられる）と、共有（ＳＨ：ｓｈａｒｅｄ）ビット１５０（このページが非セキュア・ハイパーバイザと共有されていることを示す）と、ホスト仮想アドレス１６０（このホスト絶対アドレスに対して登録されたホスト仮想アドレスを示し、これはホスト・アドレス対と呼ばれる）とを含む。なお、ホスト・アドレス対は、ホスト絶対および関連する登録されたホスト仮想アドレスを示す。ホスト・アドレス対は、ハイパーバイザによってインポートされたときのこのページのマッピングを表し、その比較は、ゲストに使用されている間にホストがそのページをリマップしないことを保証する。

ダイナミック・アドレス変換（ＤＡＴ）は、仮想ストレージを実ストレージにマップするために用いられる。ゲストＶＭがハイパーバイザの制御下でページ可能ゲストとして動作するとき、ゲストは自身のメモリに存在するページを管理するためにＤＡＴを用いる。加えてホストは独立して、それらのゲスト・ページが自身のメモリに存在するときにそれらのページ（および自身のページ）を管理するためにＤＡＴを用いる。ハイパーバイザは、異なるＶＭ間のストレージの分離もしくは共有またはその両方を提供するため、およびハイパーバイザ・ストレージへのゲストのアクセスを防ぐためにＤＡＴを用いる。ゲストが非セキュア・モードで動作しているとき、ハイパーバイザはゲストのストレージのすべてにアクセスできる。

ＤＡＴは、１つのアプリケーションと別のアプリケーションとの分離を可能にする一方で、それらが共通のリソースを共有することをなおも可能にする。加えてＤＡＴはＶＭの実現を可能にし、それはアプリケーション・プログラムの同時処理とともに新たなバージョンのＯＳの設計およびテストに用いられてもよい。仮想アドレスは、仮想ストレージ内の場所を識別する。アドレス・スペースは仮想アドレスの連続配列であり、特定の変換パラメータ（ＤＡＴテーブルを含む）が伴うことによって、各仮想アドレスは、ストレージ内のバイト位置によってそのアドレスを識別する関連絶対アドレスに変換され得る。

ＤＡＴは、仮想アドレスを関連絶対アドレスに変換するためにマルチテーブル・ルックアップを用いる。このテーブル構造は通常、ストレージ・マネージャによって定義および維持される。このストレージ・マネージャは、たとえば１つのページをページアウトして別のページを取り入れることなどによって、複数のプログラム間で絶対ストレージを透過的に共有する。ページがページアウトされるとき、たとえばストレージ・マネージャは関連するページ・テーブルにおいて無効ビットをセットすることとなる。プログラムがページアウトされたページへのアクセスを試みるとき、ハードウェアはストレージ・マネージャに、しばしばページ・フォールトと呼ばれるプログラム割り込みを提供することとなる。応答において、ストレージ・マネージャは要求されたページをページインして、無効ビットをリセットすることとなる。これはすべてプログラムに対して透過的に行われ、ストレージ・マネージャがストレージを仮想化してそれをさまざまな異なるユーザに共有させることを可能にする。

ＣＰＵがメイン・ストレージにアクセスするために仮想アドレスを用いるとき、仮想アドレスは最初にＤＡＴによって実アドレスに変換され、次いでプレフィックス変換によって絶対アドレスにされる。特定のアドレス・スペースに対する最高レベルのテーブルの指定（オリジンおよび長さ）はアドレス・スペース制御エレメント（ＡＳＣＥ：ａｄｄｒｅｓｓ－ｓｐａｃｅ－ｃｏｎｔｒｏｌ ｅｌｅｍｅｎｔ）と呼ばれ、関連するアドレス・スペースを定義する。

ここで図２を参照すると、本発明の１つ以上の実施形態によるＤＡＴを行うための仮想アドレス・スペース２０２および２０４ならびに絶対アドレス・スペース２０６の例が一般的に示されている。図２に示される例においては、２つの仮想アドレス・スペース、すなわち仮想アドレス・スペース２０２（アドレス・スペース制御エレメント（ＡＳＣＥ）Ａ ２０８によって定められる）および仮想アドレス・スペース２０４（ＡＳＣＥ Ｂ ２１０によって定められる）が存在する。仮想ページＡ１．Ｖ ２１２ａ１、Ａ２．Ｖ ２１２ａ２、およびＡ３．Ｖ ２１２ａ３は、マルチテーブル（セグメント２３０およびページ・テーブル２３２ａ、２３２ｂ）ルックアップにおいてストレージ・マネージャによって、ＡＳＣＥ Ａ ２０８を用いて絶対ページＡ１．Ａ ２２０ａ１、Ａ２．Ａ ２２０ａ２、およびＡ３．Ａ ２２０ａ３にマップされる。同様に、仮想ページＢ１．Ｖ ２１４ｂ１およびＢ２．Ｖ ２１４ｂ２は２テーブル２３４および２３６ルックアップにおいて、ＡＳＣＥ Ｂ ２１０を用いて絶対ページＢ１．Ａ ２２２ｂ１およびＢ２．Ａ ２２２ｂ２にそれぞれマップされる。

ここで図３を参照すると、本発明の１つ以上の実施形態によるハイパーバイザの下で動作するＶＭをサポートするために用いられるネストされたマルチパートＤＡＴ変換の例が一般的に示されている。図３に示される例においては、ゲストＡ仮想アドレス・スペースＡ ３０２（ゲストＡＳＣＥ（ＧＡＳＣＥ：ｇｕｅｓｔ ＡＳＣＥ）Ａ ３０４によって定められる）およびゲストＢ仮想アドレス・スペースＢ ３０６（ＧＡＳＣＥＢ ３０８によって定められる）の両方が、共有ホスト（ハイパーバイザ）仮想アドレス・スペース３２５に存在する。示されるとおり、ゲストＡに属する仮想ページＡ１．ＧＶ ３１０ａ１、Ａ２．ＧＶ ３１０ａ２、およびＡ３．ＧＶ ３１０ａ３は、ゲストＡストレージ・マネージャによってＧＡＳＣＥＡ３０４を用いてゲスト絶対ページＡ１．ＨＶ ３４０ａ１、Ａ２．ＨＶ ３４０ａ２、およびＡ３．ＨＶ ３４０ａ３にそれぞれマップされ、ゲストＢに属する仮想ページＢ１．ＧＶ ３２０ｂ１およびＢ２．ＧＶ ３２０ｂ２は、独立的にゲストＢストレージ・マネージャによって、ＧＡＳＣＥＢ３０８を用いてゲスト絶対ページＢ１．ＨＶ ３６０ｂ１およびＢ２．ＨＶ ３６０ｂ２にそれぞれマップされる。この例では、これらのゲスト絶対ページは共有ホスト仮想アドレス・スペース３２５に直接マップされた後に、ホスト絶対アドレス・スペース３３０に対する付加的なホストＤＡＴ変換を受ける。示されるとおり、ホスト仮想アドレスＡ１．ＨＶ ３４０ａ１、Ａ３．ＨＶ ３４０ａ３、およびＢ１．ＨＶ ３６０ｂ１は、ホスト・ストレージ・マネージャによってホストＡＳＣＥ（ＨＡＳＣＥ：ｈｏｓｔ ＡＳＣＥ）３５０を用いてＡ１．ＨＡ ３７０ａ１、Ａ３．ＨＡ ３７０ａ３、およびＢ１．ＨＡ ３７０ｂ１にマップされる。ゲストＡに属するホスト仮想アドレスＡ２．ＨＶ ３４０ａ２およびゲストＢに属するＢ２．ＨＶ ３６０ｂ２は、どちらも同じホスト絶対ページＡＢ２．ＨＡ ３８０にマップされる。これによって、これら２つのゲスト間でデータを共有することが可能になる。ゲストＤＡＴ変換の際に、各々のゲスト・テーブル・アドレスはゲスト絶対として処理され、付加的なネストされたホストＤＡＴ変換を受ける。

本明細書に記載される本発明の実施形態は、セキュア・ゲストおよびＵＶストレージ保護を提供する。非セキュア・ゲストおよびハイパーバイザによるセキュア・ストレージへのアクセスが禁止される。ハイパーバイザは、所与の存在するセキュア・ゲスト・ページに対して、以下が起こることを提供する。関連ホスト絶対アドレスは、単一のハイパーバイザ（ホスト）ＤＡＴマッピングのみを通じてアクセス可能である。すなわち、セキュア・ゲストに割り当てられた任意の所与のホスト絶対アドレスにマップされる単一のホスト仮想アドレスが存在する。所与のセキュア・ゲスト・ページに関連するハイパーバイザＤＡＴマッピング（ホスト仮想対ホスト絶対）は、ページインされている間は変わらない。セキュア・ゲスト・ページに関連するホスト絶対ページは、単一のセキュア・ゲストに対してマップされる。

本発明の１つ以上の実施形態によると、セキュア・ゲスト間のストレージの共有も禁止される。ストレージは、セキュア・ゲストの制御下で単一のセキュア・ゲストとハイパーバイザとの間で共有される。ＵＶストレージはセキュア・ストレージであり、セキュア制御インターフェースによってアクセス可能であるが、ゲスト／ホストはアクセスできない。ストレージは、ハイパーバイザによってセキュア制御インターフェースに割り当てられる。本発明の１つ以上の実施形態によると、これらの規則に違反しようとする任意の試みは、ハードウェアおよびセキュア制御インターフェースによって禁止される。

ここで図４を参照すると、本発明の１つ以上の実施形態によるセキュア・ゲスト・ストレージのマッピングの例が一般的に示されている。図４は図３と類似しているが、図４の例はセキュア・ゲストＡとセキュア・ゲストＢとのストレージの共有を許可しないところが異なっている。図３の非セキュアの例においては、ゲストＡに属するホスト仮想アドレスＡ２．ＨＶ ３４０ａ２およびゲストＢに属するＢ２．ＨＶ ３６０ｂ２は、どちらも同じホスト絶対ページＡＢ２．ＨＡ ３８０にマップされる。図４のセキュア・ゲスト・ストレージの例においては、ゲストＡに属するホスト仮想アドレスＡ２．ＨＶ ３４０ａ２はホスト絶対アドレスＡ２．ＨＡ ４９０ａにマップされ、一方でゲストＢに属するＢ２．ＨＶ ３６０ｂ２は自身のＢ２．ＨＡ ４９０ｂにマップされる。この例では、セキュア・ゲスト間の共有は存在しない。

セキュア・ゲスト・ページがディスク上に存在する間、それは暗号化される。ハイパーバイザがセキュア・ゲスト・ページをページインするとき、ハイパーバイザはＵＶコール（ＵＶＣ）を発行し、それによってセキュア制御インターフェースはそのページをセキュアとマーク付けし（共有されない限り）、そのページを復号し（共有されない限り）、かつそのページを適切なセキュア・ゲスト（たとえばゲストＡ）に属するものとして（ゾーン－セキュリティ・テーブルに）登録する。加えて、セキュア制御インターフェースは、関連するホスト仮想アドレス（たとえばＡ３．ＨＶ ３４０ａ３）をそのホスト絶対ページに対して登録する（ホスト・アドレス対と呼ばれる）。ハイパーバイザが正しいＵＶＣを発行できないとき、ハイパーバイザはセキュア・ゲスト・ページへのアクセスを試みるときに例外を受信する。ハイパーバイザがゲスト・ページをページアウトするとき、同様のＵＶＣが発行され、それによって、ゲスト・ページが非セキュアとマーク付けされて非セキュアとしてゾーン－セキュリティ・テーブルに登録される前に、ゲスト・ページが暗号化される（共有されない限り）。

５つの所与のホスト絶対ページＫ、Ｐ、Ｌ、Ｍ、およびＮを有する例において、ハイパーバイザがそれらをページインするときに、セキュア制御インターフェースによって各々のホスト絶対ページはセキュアとマーク付けされる。これによって、非セキュア・ゲストおよびハイパーバイザがそれらのホスト絶対ページにアクセスすることが防がれる。ホスト絶対ページＫ、Ｐ、およびＭは、ハイパーバイザがそれらをページインするときにゲストＡに属するものとして登録され、ホスト絶対ページＬおよびＮは、ハイパーバイザによってページインされるときにゲストＢに対して登録される。単一のセキュア・ゲストとハイパーバイザとに共有されるページである共有ページは、ページングの際に符号化も復号もされない。それらの共有ページはセキュアとマーク付けされない（ハイパーバイザによるアクセスを許可する）が、ゾーン－セキュリティ・テーブルにおいて単一のセキュア・ゲスト・ドメインとともに登録される。

本発明の１つ以上の実施形態によると、非セキュア・ゲストまたはハイパーバイザがセキュア・ゲストの所有するページへのアクセスを試みるとき、ハイパーバイザはセキュア・ストレージ・アクセス（ＰＩＣ３Ｄ）例外を受信する。これを定めるために付加的な変換ステップは必要とされない。

１つ以上の実施形態によると、セキュア・エンティティがページへのアクセスを試みるとき、ハードウェアは、ストレージがその特定のセキュア・ゲストに確かに属することを検証する付加的な変換チェックを行う。もしそうでなければ、非セキュア・アクセス（ＰＩＣ３Ｅ）例外がハイパーバイザに提供される。加えて、変換されているホスト仮想アドレスがゾーン－セキュリティ・テーブルに登録されたホスト・アドレス対からのホスト仮想アドレスと一致しないときは、セキュア・ストレージ侵害（‘３Ｆ’ｘ）例外が認識される。ハイパーバイザとの共有を可能にするために、セキュア・ゲストは変換チェックがアクセスを許可する限り、セキュアとマーク付けされていないストレージにアクセスしてもよい。

ここで図５を参照すると、本発明の１つ以上の実施形態によるＤＡＴ動作のシステム概要５００が一般的に示されている。システム概要５００はホスト一次仮想アドレス・スペース５１０と、ホスト・ホーム仮想アドレス・スペース５２０とを含み、ここからページがハイパーバイザ（ホスト）絶対アドレス・スペース５３０に変換される（例、ホストＤＡＴ変換５２５を参照、なお点線はＤＡＴ変換５２５を通じたマッピングを表す）。たとえば図５は、２つの異なるホスト仮想アドレス・スペースによるホスト絶対ストレージの共有に加えて、それらのホスト仮想アドレスの１つを２つのゲストだけでなくホスト自体とも共有することを示している。これに関して、ホスト一次仮想アドレス・スペース５１０およびホスト・ホーム仮想アドレス・スペース５２０は、２つのホスト仮想アドレス・スペースの例であり、その各々はホスト一次ＡＳＣＥ（ＨＰＡＳＣＥ：ｈｏｓｔ ｐｒｉｍａｒｙ ＡＳＣＥ）５９１およびホスト・ホームＡＳＣＥ（ＨＨＡＳＣＥ：ｈｏｓｔ ｈｏｍｅ ＡＳＣＥ）５９２という別個のＡＳＣＥによってそれぞれアドレス指定される。なお、すべてのセキュア・インターフェース制御ストレージ（仮想および実の両方）はハイパーバイザによって供与され、セキュアとマーク付けされる。いったん供与されると、セキュア・インターフェース制御ストレージは、関連するセキュア・エンティティが存在する限り、セキュア・インターフェース制御のみによってアクセスされ得る。

図示されるとおり、ホスト一次仮想アドレス・スペース５１０はゲストＡ絶対ページＡ１．ＨＶと、ゲストＡ絶対ページＡ２．ＨＶと、ゲストＢ絶対ページＢ１．ＨＶと、ホスト仮想ページＨ３．ＨＶとを含む。ホスト・ホーム仮想アドレス・スペース５２０はセキュア・インターフェース制御仮想ページＵ１．ＨＶと、ホスト仮想ページＨ１．ＨＶと、ホスト仮想ページＨ２．ＨＶとを含む。

本発明の１つ以上の実施形態によると、すべてのセキュア・ゲスト（例、セキュア・ゲストＡおよびセキュア・ゲストＢ）ストレージは、セキュア・ゲスト構成に属するものとして本明細書に記載されるゾーン－セキュリティ・テーブルに登録され、関連するホスト仮想アドレス（例、Ａ１．ＨＶ、Ａ２．ＨＶ、Ｂ１．ＨＶ）もホスト・アドレス対の一部として登録される。１つ以上の実施形態において、すべてのセキュア・ゲスト・ストレージは、ホスト一次仮想スペースにマップされる。加えて、すべてのセキュア・インターフェース制御ストレージもセキュア・インターフェース制御に属するものとしてゾーン－セキュリティ・テーブルに登録され、ゾーン－セキュリティ・テーブルにおいて関連するセキュア・ゲスト・ドメインに基づいてさらに区別されてもよい。本発明の１つ以上の実施形態によると、ＵＶ仮想ストレージはホスト・ホーム仮想スペースにマップされ、関連するホスト仮想アドレスはホスト・アドレス対の一部として登録される。１つ以上の実施形態によると、ＵＶ実ストレージは関連するホスト仮想マッピングを有さず、このことを示すためにゾーン－セキュリティ・テーブルのＤＡビット（仮想アドレス比較がディスエーブルされたことを示す）がセットされる。ホスト・ストレージは非セキュアとマーク付けされ、ゾーン－セキュリティ・テーブルにも非セキュアとして登録される。

よって、「ゲスト絶対＝ホスト仮想」である場合は、ハイパーバイザ（ホスト）一次ＤＡＴテーブル（ＨＰＡＳＣＥ５９１によって定められる）はホスト一次仮想アドレス・スペース５１０のページを次のとおりに変換する。ゲストＡ絶対ページＡ１．ＨＶはセキュア・ゲストＡに属するホスト絶対Ａ１．ＨＡにマップされ、ゲストＡ絶対ページＡ２．ＨＶはセキュア・ゲストＡに属するホスト絶対Ａ２．ＨＡにマップされ、ゲストＢ絶対ページＢ１．ＨＶはセキュア・ゲストＢに属するホスト絶対Ｂ１．ＨＡにマップされ、ホスト仮想ページＨ３．ＨＶはホスト絶対ページＨ３．ＨＡ非セキュア・ホストにマップされる（非セキュアであるためホスト・アドレス対は存在しない）。さらに、ハイパーバイザ（ホスト）ホームＤＡＴテーブル（ＨＨＡＳＣＥ５９２によって定められる）は、ホスト・ホーム仮想アドレス・スペース５２０のページを次のとおりに変換する。セキュア・インターフェース制御仮想ページＵ１．ＨＶはセキュアＵＶ仮想として定められたホスト絶対ページＵ１．ＨＡにマップされ、ホスト仮想ページＨ１．ＨＶは非セキュアとして定められたホスト絶対ページＨ１．ＨＡにマップされ、ホスト仮想ページＨ２．ＨＶは非セキュアとして定められたホスト絶対ページＨ２．ＨＡにマップされる。Ｈ１．ＨＡまたはＨ２．ＨＡのいずれかに関連するホスト・アドレス対は、それらが非セキュアであるために存在しない。

動作中に、セキュア・ゲストがセキュア・インターフェース制御に割り当てられたセキュア・ページへのアクセスを試みると、セキュア・ストレージ侵害（‘３Ｆ’Ｘ）例外がハードウェアによってハイパーバイザに提供される。非セキュア・ゲストまたはハイパーバイザが任意のセキュア・ページ（セキュア・インターフェース制御に割り当てられたものを含む）へのアクセスを試みると、セキュア・ストレージ・アクセス（‘３Ｄ’Ｘ）例外がハードウェアによってハイパーバイザに提供される。代替的に、セキュア・インターフェース制御スペースに対して行われたアクセスの試みに対して、エラー条件が提供され得る。ハードウェアがセキュア・インターフェース制御アクセスにおけるセキュア割り当てにおけるミスマッチを検出したとき（例、ストレージがセキュア・インターフェース制御ではなくセキュア・ゲストに属するものとしてゾーン－セキュリティ・テーブルに登録されているか、または用いられているホスト・アドレス対と登録された対とのミスマッチが存在するとき）、チェックが提供される。

言い換えると、ホスト一次仮想アドレス・スペース５１０はホスト仮想ページＡ１．ＨＶおよびＡ２．ＨＶ（セキュア・ゲストＡに属する）ならびにＢ１．ＨＶ（セキュア・ゲストＢに属する）を含み、これらはホスト絶対Ａ１．ＨＡ、Ａ２．ＨＡ、およびＢ１．ＨＡにそれぞれマップされる。加えて、ホスト一次仮想アドレス・スペース５１０はホスト（ハイパーバイザ）ページＨ３．ＨＶを含み、これはホスト絶対Ｈ３．ＨＡにマップされる。ホスト・ホーム仮想スペース５２０は２つのホスト仮想ページＨ１．ＨＶおよびＨ２．ＨＶを含み、これらはホスト絶対ページＨ１．ＨＡおよびＨ２．ＨＡにマップされる。ホスト一次仮想アドレス・スペース５１０およびホスト・ホーム仮想アドレス・スペース５２０は、両方とも単一のホスト絶対５３０にマップされる。セキュア・ゲストＡおよびセキュア・ゲストＢに属するストレージ・ページはセキュアとマーク付けされ、それらのセキュア・ドメインおよび関連するホスト仮想アドレスとともに図１に示されるゾーン－セキュリティ・テーブル１００に登録される。他方でホスト・ストレージは、非セキュアとマーク付けされる。ハイパーバイザがセキュア・ゲストを定めているとき、ハイパーバイザは、これらのセキュア・ゲストのサポートに必要なセキュア制御ブロックに用いるためにホスト・ストレージをセキュア・インターフェース制御に供与する必要がある。このストレージはホスト絶対またはホスト仮想スペースのいずれかで定められてもよく、一例において具体的には、ホスト・ホーム仮想スペースで定められる。図５に戻ると、ホスト絶対ページＵ１．ＨＡおよびＵ２．ＨＡセキュアＵＶ絶対は、ホスト絶対ストレージとして定められるセキュア・インターフェース制御ストレージである。結果として、これらのページはセキュアとマーク付けされ、図１に示されるゾーン－セキュリティ・テーブル１００に、セキュア・インターフェース制御に属するものとして関連するセキュア・ドメインとともに登録される。これらのページはホスト絶対アドレスとして定められるために関連するホスト仮想アドレスは存在しないため、ゾーン－セキュリティ・テーブル１００にはＤＡビットがセットされる。

変換後のハイパーバイザ（ホスト）絶対アドレス・スペース５３０の例が図６に見出され得る。図６には、本発明の１つ以上の実施形態によるセキュア・インターフェース制御メモリに関するシステム概要６００が示されている。システム概要６００はハイパーバイザ（ホスト）絶対アドレス・スペース６３０を示しており、これはホスト絶対ページＡ２．ＨＡセキュア・ゲストＡ（Ａ２．ＨＶに対するもの）と、ホスト絶対ページＢ１．ＨＡセキュア・ゲストＢ（Ｂ１．ＨＶに対するもの）と、ホスト絶対ページＨ１．ＨＡ非セキュア（ホスト）と、ホスト絶対ページＨ２．ＨＡ非セキュア（ホスト）と、ホスト絶対ページＵ３．ＨＡセキュアＵＶ実（ＨＶマッピングなし）と、ホスト絶対ページＵ１．ＨＡセキュアＵＶ仮想（Ｕ１．ＨＶに対するもの）と、ホスト絶対ページＡ１．ＨＡセキュア・ゲストＡ（Ａ１．ＨＶに対するもの）とを含む。

ここで図７を参照すると、本発明の１つ以上の実施形態によるインポート動作に対するプロセスの流れ７００が一般的に示されている。ハイパーバイザによってページアウトされたページにセキュア・ゲストがアクセスするとき、そのページをセキュアに中に戻すために、たとえばプロセスの流れ７００に示されるような一連のイベントが生じる。プロセスの流れ７００はブロック７０５にて開始され、ここでセキュア・ゲストはゲスト仮想ページにアクセスする。たとえばそのページが無効であるために、ハードウェアは、プログラム割り込みコード１１（ＰＩＣ１１：ｐｒｏｇｒａｍ－ｉｎｔｅｒｒｕｐｔｉｏｎ－ｃｏｄｅ１１）によって示されるホスト・ページ・フォールトをハイパーバイザに提供する（ブロック７１５を参照）。次にハイパーバイザは、このゲスト・ページに対して利用可能な非セキュア・ホスト絶対ページを特定し（ブロック７２０を参照）、特定されたホスト絶対ページに暗号化されたゲスト・ページをページインする（ブロック７２５を参照）。

ブロック７３０において、次いでホスト絶対ページは適切な（ホスト仮想アドレスに基づく）ホストＤＡＴテーブルにマップされる。ブロック７３５において、次いでハイパーバイザ・ホストはセキュア・ゲストを再ディスパッチする。ブロック７４０において、セキュア・ゲストはゲスト・セキュア・ページに再アクセスする。ページ・フォールトはもはや存在しないが、このセキュア・ゲスト・アクセスおよびページは図１のゾーン－セキュリティ・テーブル１００においてセキュアとマーク付けされていないため、ブロック７４５において、ハードウェアは非セキュア・ストレージ例外（ＰＩＣ３Ｅ）をハイパーバイザに提供する。このＰＩＣ３Ｅは、必要なインポートが発行されるまで、ゲストによるこのセキュア・ページへのアクセスを防ぐ。次に、プロセスの流れ７００は「Ａ」に進み、これは図８に接続する。

ここで図８を参照すると、本発明の１つ以上の実施形態によるインポート動作を行うためのプロセスの流れ８００が一般的に示されている。挙動の良好なハイパーバイザ（例、エラーなしに予期される方式で動作している）は、ＰＩＣ３Ｅに応答してインポートＵＶＣを発行することとなる（ブロック８０５を参照）。なお、この時点でインポートされるべきページは非セキュアとマーク付けされており、ハイパーバイザと、その他の非セキュア・エンティティと、セキュア・インターフェース制御とのみによるアクセスが可能である。セキュア・ゲストはそのページにアクセスできない。

インポートＵＶＣの一部として、セキュア・インターフェース制御として動作する信頼されるファームウェアは、このページがすでにセキュア・インターフェース制御によってロックされているかどうかをチェックする（判定ブロック８１０を参照）。もしそうであれば、プロセスの流れ８００はブロック８２０に進む。ブロック８２０において、「ビジー」戻りコードがハイパーバイザに戻され、ハイパーバイザはそれに応答してインポートＵＶＣを遅延させ（ブロック８２５を参照）、再発行する（プロセスの流れ８００はブロック８０５に戻る）。もしそのページがまだロックされていなければ、次いでプロセスの流れ８００は判定ブロック８２２に進む。

判定ブロック８２２において、セキュア・インターフェース制御は、そのページが非セキュア・ハイパーバイザと共有されるページかどうかをチェックする。もしそのページが共有されていれば（プロセスの流れ８００は判定ブロック８２４に進む）、セキュア・インターフェース制御はゾーン－セキュリティ・テーブルにホスト絶対アドレスとともに、関連するセキュア・ゲスト・ドメイン、ホスト仮想アドレス、および共有されていることを登録する。このページは非セキュアとマーク付けされたままである。これによってインポートＵＶＣは完了し、このページはゲストによるアクセスのために利用可能となる。ハイパーバイザがゲストを再ディスパッチすることによって処理が続き（ブロック８３０）、セキュア・ゲストはページに正常にアクセスする（ブロック８３５）。

インポートされるべきホスト仮想ページがハイパーバイザと共有されていないとき（プロセスの流れ８００はブロック８４０に進む）、セキュア・インターフェース制御はそのページをセキュアとマーク付けすることとなるため、ハイパーバイザはそのページにアクセスできなくなる。ブロック８４５において、セキュア・インターフェース制御はページをロックして、他のＵＶＣがページ状態を変更できないようにする。ロックが設定されたとき（ブロック８５０）、セキュア・インターフェース制御は、ゲスト・ページが暗号化されている間にその内容が変わらなかったことを検証することとなる。もしその内容が変わっていれば、ハイパーバイザにエラー戻りコードが戻され、そうでなければセキュア・インターフェース制御はセキュア・ページを復号することとなる。

ブロック８５５において、セキュア・インターフェース制御はページのロックを解除し、他のＵＶＣによるアクセスを可能にし、そのページをゾーン－セキュリティ・テーブルに、セキュアでありかつ適切なゲスト・ドメインおよびホスト仮想アドレスと関連するものとして登録して、ホスト・アドレスＨＶ－＞ＨＡ対を完了させる。これによってゲストによるアクセスが可能になり、ＵＶＣが完了する。

ここで図９を参照すると、本発明の１つ以上の実施形態による供与メモリ動作に関するプロセスの流れ９００が一般的に示されている。プロセスの流れ９００はブロック９０５で開始され、ここでハイパーバイザはクエリＵＶＣをセキュア・インターフェース制御に発行する。ブロック９１０において、セキュア・インターフェース制御はデータを戻す（例、クエリＵＶＣ）。このデータは、必要とされるベース・ゾーン－特定的ホスト絶対ストレージの量、必要とされるベース・セキュア－ゲスト－ドメイン－特定的ホスト絶対ストレージの量、ＭＢ毎に必要とされる可変セキュア－ゲスト－ドメイン－特定的ホスト－仮想ストレージの量、もしくは必要とされるベース・セキュア－ゲスト－ＣＰＵ－特定的ホスト絶対ストレージの量、またはその組み合わせを含み得る。

ブロック９１５において、ハイパーバイザはベース・ホスト－絶対ゾーン－特定的ストレージ（例、クエリＵＶＣから戻されたサイズに基づく）を予約する。ブロック９２０において、ハイパーバイザはセキュア・インターフェース制御に初期化を発行する。これに関して、ハイパーバイザは、ゾーン全体に対するセキュア・ゲスト構成の間で調整する必要があるＵＶ制御ブロックに対する供与ストレージを提供する初期化ＵＶＣを発行できる。初期化ＵＶＣは、ベース・ゾーン－特定的ストレージ・オリジンを特定する。

ブロック９２５において、セキュア・インターフェース制御は、ＵＶに対して供与ストレージを登録してセキュアとマーク付けすることによって、初期化（例、初期化ＵＶＣ）を実現する。初期化ＵＶＣに対して、セキュア・インターフェース制御は供与ストレージをセキュアとマーク付けし、ゾーン－セキュリティ・テーブルに対してその供与ストレージのいくらかを割り当て、ＵＶ使用のためにゾーン－セキュリティ・テーブルに供与ストレージを独自のセキュア・ドメインとともに登録できるが、関連するセキュア－ゲスト－ドメインは伴わず、関連するホスト－仮想アドレス対は有さないものとして登録する。

ブロック９３０において、ハイパーバイザはストレージ（例、ベースおよび可変セキュア－ゲスト－ドメイン－特定的ストレージ）を予約する。たとえば、ハイパーバイザはベースおよび可変（例、セキュア－ゲスト－ドメイン・ストレージのサイズに基づく）セキュア－ゲスト－ドメイン－特定的ストレージ（例、クエリＵＶＣによって戻されたサイズ）を予約する。ブロック９３５において、ハイパーバイザはセキュア・インターフェース制御に作成構成を発行する。これに関して、ハイパーバイザは、ベースおよび可変セキュア－ゲスト－ドメイン－特定的ストレージ・オリジンを特定する作成－セキュア－ゲスト－構成ＵＶＣを発行できる。さらに、この作成－セキュア－ゲスト－構成ＵＶＣは、このセキュア・ゲスト構成をサポートするために必要とされるＵＶ制御ブロックに対する供与ストレージを提供する。

ブロック９４０において、セキュア・インターフェース制御は作成構成（例、作成－セキュア－ゲスト－構成ＵＶＣ）を実施する。作成－セキュア－ゲスト－構成ＵＶＣに対して、セキュア・インターフェース制御は供与ストレージをセキュアとマーク付けし、供与ストレージをＵＶ使用のためにゾーン－セキュリティ・テーブルに登録し、かつ供与ストレージを関連するセキュア－ゲスト－ドメインとともに登録できる。供与ベース（ホスト－絶対）ストレージは、関連するホスト－仮想アドレス対を有さないものとして登録される。供与可変（ホスト－仮想）ストレージは、関連するホスト－仮想アドレス対とともに登録される。

ブロック９４５において、ハイパーバイザはベース・セキュア－ゲスト－ＣＰＵ－特定的ストレージ（例、クエリ－ＵＶから戻されたサイズ）を予約する。ブロック９５０において、ハイパーバイザはストレージ・オリジンを特定する。たとえば、ハイパーバイザはＵＶに、ベース・セキュア－ゲスト－ＣＰＵ－特定的ストレージ・オリジンを特定する作成－セキュア－ゲスト－ＣＰＵを発行する。ブロック９５５において、セキュア・インターフェース制御は作成－ＣＰＵ（例、作成－セキュア－ゲスト－ＣＰＵ ＵＶＣ）を実施する。作成－セキュア－ゲスト－ＣＰＵ ＵＶＣに対して、セキュア・インターフェース制御は供与ストレージをセキュアとマーク付けし、かつ供与ストレージをＵＶ使用のためにゾーン－セキュリティ・テーブルに登録できるが、関連するセキュア－ゲスト－ドメインは伴わず、関連するホスト－仮想アドレス対は有さないものとして登録する。

ここで図１０を参照すると、本発明の１つ以上の実施形態によるセキュア・インターフェース制御のセキュア・ページへの非セキュア・ハイパーバイザ・ページの移行に関するプロセスの流れ１０００が一般的に示されている。このプロセスの流れ１０００には、３つのハイパーバイザ・ページが示されている（例、非セキュア・ハイパーバイザ・ページＡ、非セキュア・ハイパーバイザ・ページＢ、および非セキュア・ハイパーバイザ・ページＣ）。

ハイパーバイザ（非セキュア）ページＡ、Ｂ、およびＣは、非セキュア・エンティティ（ハイパーバイザを含む）によってアクセス可能である。さらに、ハイパーバイザ（非セキュア）ページＡ、Ｂ、およびＣは非セキュア（ＮＳ：ｎｏｎ－ｓｅｃｕｒｅ）とマーク付けされるとともに、ゾーン－セキュリティ・テーブル（例、図１に示されるゾーン－セキュリティ・テーブル１００）に非セキュアおよび非共有と登録される。矢印１００５において、初期化ＵＶＣが発行され、それによってゲスト・ページＡはゾーン全体（ＵＶ２）に関連するセキュア・インターフェース制御実ストレージ・ページ１０１０に移行される。セキュア・インターフェース制御実ストレージ１０１０はセキュアとマーク付けされるとともに、ゾーン－セキュリティ・テーブル（例、図１に示されるゾーン－セキュリティ・テーブル１００）にＵＶとして登録されてもよく、セキュア・ゲスト・ドメインおよびハイパーバイザ対ホスト絶対（ＨＶ－＞ＨＡ）マッピングは伴わない。代わりに、セキュア・インターフェース制御実ストレージ１０１０は独自のＵＶ２セキュア・ドメインとともに登録され、ＤＡビットは１にセットされる。なお、セキュア・インターフェース制御実ストレージ１０１０は、実のものとしてセキュア・インターフェース制御にアクセスされ得る。

ハイパーバイザ（非セキュア）ページＢから矢印１０２５において、作成－ＳＧ－構成または作成－ＳＧ－ＣＰＵ ＵＶＣが発行され、それによってこのページはセキュア・ゲスト・ドメイン（ＵＶＳ）に関連するセキュア・インターフェース制御実ストレージ１０３０に移行される。セキュア・インターフェース制御実ストレージ１０３０はセキュアとマーク付けされるとともに、ゾーン－セキュリティ・テーブル（例、図１に示されるゾーン－セキュリティ・テーブル１００）にＵＶとして関連するセキュア・ゲスト・ドメインとともに登録されてもよく、ハイパーバイザ対ホスト絶対（ＨＶ－＞ＨＡ）マッピングは伴わない（すなわち、ＤＡビット＝１）。なお、セキュア・インターフェース制御実ストレージ１０１０は、セキュア・ゲスト・ドメインの代わりに実のものとしてセキュア・インターフェース制御にアクセスされ得る。

ハイパーバイザ（非セキュア）ページＣから矢印１０４５において、作成－ＳＧ－構成ＵＶＣが発行され、それによってこのページはセキュア・ゲスト・ドメイン（ＵＶＶ）に関連するセキュア・インターフェース制御仮想ストレージ１０５０に移行される。セキュア・インターフェース制御仮想ストレージ１０５０はセキュアとマーク付けされるとともに、ゾーン－セキュリティ・テーブル（例、図１に示されるゾーン－セキュリティ・テーブル１００）にＵＶとして、セキュア・ゲスト・ドメインおよびハイパーバイザ対ホスト絶対（ＨＶ－＞ＨＡ）マッピングとともに登録され得る。なお、セキュア・インターフェース制御仮想ストレージ１０５０は、セキュア・ゲスト・ドメインの代わりにＵＶ仮想としてアクセスされ得る。

ここで図１１を参照すると、１つ以上の実施形態によるプログラムまたはセキュア・インターフェース制御によって行われるセキュア・ストレージ・アクセスに関するプロセスの流れ１１００が示されている。この図面は、セキュア・インターフェース制御がゲスト・ストレージまたはセキュア・インターフェース制御ストレージにアクセスしようとしており、ハードウェアがそのアクセスのセキュリティを検証できるようにそのアクセスを正しくタグ付けする必要があるという状況を表している。１１００は、このセキュア・インターフェース制御によるストレージ・アクセスのタグ付けを説明するものである。プロセスの流れ１１００はブロック１１１０で開始され、ここでセキュア・インターフェース制御は、自身がセキュア・インターフェース制御ストレージにアクセスしているのかどうかを判定する。

もしこれがセキュア・インターフェース制御ストレージへのアクセスでなければ、次いでプロセスの流れ１１００は判定ブロック１１１２に進む（ＮＯ矢印で示されるとおり）。判定ブロック１１１２において、セキュア・インターフェース制御は、自身がセキュア・ゲスト・ストレージにアクセスしているのかどうかを判定する。もしこれがセキュア・ゲスト・ストレージへのアクセスでなければ、次いでプロセスの流れ１１００は「Ｂ」（図１２のプロセスの流れ１２００に接続する）に進み、非セキュア・アクセスに対するデフォルト設定を用いることとなる。もしこれがセキュア・ゲスト・ストレージへのアクセスであれば、次いでプロセスの流れ１１００は判定ブロック１１１３に進み、ここでセキュア・インターフェース制御は、デフォルト・セキュア・ゲスト・ドメインが用いられているかどうかを判定する。もしｙｅｓであれば、次いでプロセスの流れ１１００は「Ｂ」（図１２のプロセスの流れ１２００に接続する）に進み、セキュア・ゲスト・アクセスに対するデフォルト設定を用いることとなる。もしｎｏであれば、次いでプロセスの流れ１１００はブロック１１１４に進む。ブロック１１１４において、適切なセキュア・ゲスト・ドメインがＳＧ－セキュア－ドメイン・レジスタにロードされる（それから「Ｂ」に進み、これは図１２のプロセスの流れ１２００に接続する）。

もしこれがセキュア・インターフェース制御ストレージへのアクセスであれば、次にプロセスの流れ１１００はブロック１１２０に進む（ＹＥＳ矢印で示されるとおり）。ブロック１１２０において、アクセスはセキュアＵＶ（例、ＵＶ－セキュア－ドメイン・レジスタを用いる）とタグ付けされる。

次いでプロセスの流れ１１００は判定ブロック１１３０に進み、ここでセキュア・インターフェース制御は、これがＵＶＶスペース（例、ＳＧ－構成変数テーブル）へのアクセスであるかどうかを判定する。もしこれがＵＶＶスペースへのアクセスであれば、次いでプロセスの流れ１１００はブロック１１３４に進む（ＹＥＳ矢印で示されるとおり）。ブロック１１３４において、アクセスは仮想とタグ付けされる。ブロック１１３６において、適用可能なセキュア・ゲスト・ドメインがＵＶ－セキュア－ドメイン・レジスタにロードされる。ブロック１１３８において、ＤＡＴ変換およびアクセス・ストレージの開始準備が整う。判定ブロック１１３０に戻って、もしこれがＵＶＶスペースへのアクセスでなければ、次いでプロセスの流れ１１００はブロック１１４０に進む（ＮＯ矢印で示されるとおり）。ブロック１１４０において、アクセスは実とタグ付けされる。

判定ブロック１１５０において、セキュア・インターフェース制御は、これがＵＶＳスペース（例、ＳＧ構成またはＣＰＵテーブル）へのアクセスであるかどうかを判定する。もしこれがＵＶＳスペースへのアクセスであれば、次いでプロセスの流れ１１００はブロック１１３６に進む（ＹＥＳ矢印で示されるとおり）。もしこれがＵＶＳスペースへのアクセスでなければ、次いでプロセスの流れ１１００はブロック１１７０に進む（ＮＯ矢印で示されるとおり）。よってこのアクセスはＵＶ２スペース（例、ゾーン－セキュリティ・テーブル）へのアクセスと考えられる。ブロック１１７０において、独自のＵＶ２セキュア・ドメインがＵＶ－セキュア－ドメイン・レジスタにロードされる。

図１２は、本発明の１つ以上の実施形態によるプロセスの流れ１２００を示している。ゲストがディスパッチされるとき、ＳＩＥエントリ・ファームウェアはハードウェアに対して、ゲストが動作中である（例、ゲスト・モードがアクティブである）ことを示してもよく、かつそのゲストがセキュアかどうかを示し得る。もしゲストがセキュアであれば、関連するセキュア・ゲスト・ドメインがハードウェア（例、ＳＧ－セキュア－ドメイン・レジスタ）にロードされ得る。プログラムがストレージにアクセスするとき、ハードウェアはアクセスの時点のプログラムの現行状態に基づいてアクセスをタグ付けできる。図１２は、プロセスの流れ１２００においてこのプロセスの例を示している。ブロック１２０５において、ハードウェアはマシンが現在ゲスト・モードで動作しているかどうかを判定でき、もしそうでなければ、ブロック１２１０においてそのアクセスがホスト・アクセスであるとタグ付けでき、かつブロック１２１５において非セキュア・アクセスとタグ付けできる。ブロック１２０５において、もしマシンがゲスト・モードで動作していれば、ブロック１２２０においてそのアクセスはゲスト・アクセスとタグ付けされてもよく、さらにブロック１２２５において、現在のゲストがセキュア・ゲストであるかどうかが判定される。もしゲストがセキュアでなければ、ブロック１２１５においてそのアクセスは非セキュアとタグ付けされ得る。もしゲストがセキュアであれば、ブロック１２３０においてハードウェアはゲストをセキュアとタグ付けでき、それによってセキュア・ゲストは、そのセキュア・ゲストがディスパッチされたときにロードされたＳＧ－セキュア－ドメイン・レジスタと関連付けられ得る。非セキュアおよびセキュア・ゲストの両方に対して、ブロック１２３５においてＤＡＴ状態がチェックされ得る。もしＤＡＴがオフであれば、ブロック１２４０においてアクセスが実とタグ付けされ得る。もしＤＡＴがオンであれば、ブロック１２４５においてアクセスが仮想とタグ付けされ得る。ＤＡＴがオフであることによってブロック１２４０においてアクセスが実とタグ付けされるか、またはＤＡＴがオンであることによってブロック１２４５において仮想とタグ付けされたとき、ブロック１２５０においてハードウェアは変換およびアクセス・ストレージを開始する準備が整い、これについては図１３でさらに説明する。

図１３は、本発明の１つ以上の実施形態によるプロセスの流れ１３００においてセキュアおよび非セキュア・アクセスの両方をサポートするためにハードウェアによって行われる変換の例を示している。ブロック１３０５において、ハードウェアはアクセスがゲスト変換とタグ付けされているかどうかを判定でき、もしそうであり、かつブロック１３１０においてアクセスが仮想であれば、次いでブロック１３１５においてゲストＤＡＴが行われ得る。ゲストＤＡＴ変換の際に、ゲストＤＡＴテーブルに対するネストされた中間フェッチが起こり得る。このテーブル・フェッチはゲスト実とタグ付けされてもよく、かつ元の変換がセキュアとタグ付けされているときはセキュアとタグ付けされ得る。このテーブル・フェッチも、プロセスの流れ１３００の変換プロセスに従い得る。ブロック１３１５においてゲスト仮想とタグ付けされたアクセスに対するゲストＤＡＴが行われた後、およびブロック１３１０においてゲスト実（仮想＝Ｎｏ）とタグ付けされた任意のアクセスに対して、ブロック１３２０においてゲスト・プレフィックス変換およびゲスト・メモリ・オフセットが適用され得る。ゲスト変換プロセスが完了すると、ブロック１３２５において、結果として得られたアドレスはホスト仮想とタグ付けされてもよく、かつ元のゲスト変換がセキュアとタグ付けされているときはセキュアとタグ付けされ得る。ホスト仮想とタグ付けされた任意のアクセスに関してプロセス１３００が続き得る。ブロック１３０５において元のアクセスがホスト・アクセス（ゲスト＝Ｎｏ）であり、かつブロック１３３０において仮想であるとき、次いでブロック１３３５においてホストＤＡＴが行われ得る。ブロック１３３５において、ホスト・テーブル・フェッチは非セキュアとマーク付けされ得る。ブロック１３３５においてホストＤＡＴが行われた後、またはブロック１３３０において元のホスト・アクセスが実（仮想＝Ｎｏ）とタグ付けされたときに、次いでブロック１３４０においてホスト・プレフィックス変換が適用され得る。ブロック１３４５において、結果として得られたアドレスはホスト絶対アドレスであり得る。

図１４は、本発明の１つ以上の実施形態によるプロセスの流れ１４００においてハードウェアによって行われ得るセキュア・ストレージ保護を伴うＤＡＴ変換の例を示している。図１３のブロック１３４５からの続きで、ブロック１４０５においてセキュアＵＶアクセスが識別されたとき、次いでブロック１４１０においてハードウェアはストレージがセキュアＵＶストレージとして登録されているかどうかを検証でき、もしそうでなければ、ブロック１４１５においてエラーが提供される。セキュアＵＶアクセスは、ＵＶストレージにアクセスするときにセキュア制御インターフェースによって行われ得る。ブロック１４１０において、ストレージがセキュアＵＶストレージとして登録されているとき、処理の続きのブロック１４２０におけるドメイン・チェックに対する特定のセキュア・ドメインとしてＵＶ－セキュア－ドメイン－レジスタ（セキュアＵＶアクセスを行う前にセキュア制御インターフェースによってセットアップされる）が用いられ得る場合を除いて、任意のセキュア・アクセスに対して行われ得るとおりの保護チェックが続き得る。加えて、ブロック１４２５においてＵＶアクセスに対して検出される侵害（エントリ・ポイントＤ）は、ブロック１４２５におけるセキュア・ゲストの侵害（セキュアＵＶ＝Ｎｏ）に対して行われるようなブロック１４３５におけるハイパーバイザに対する例外ではなく、ブロック１４３０におけるエラーとして提供され得る。

ブロック１４０５においてセキュアＵＶアクセスとタグ付けされていなかったアクセスに対して、ブロック１４４０においてハードウェアはアクセスがセキュア・ゲスト・アクセスかどうかを判定し、もしそうではなく、かつブロック１４４５においてそのページがセキュアとマーク付けされていれば、ブロック１４３５においてハイパーバイザに例外が提供され得る。そうではなくて、ブロック１４４０においてアクセスがセキュア・ゲスト・アクセスではなく、かつブロック１４４５においてページがセキュアとマーク付けされていないとき、次いでブロック１４５０において変換が成功する。

アクセスがブロック１４４０においてセキュア・ゲスト・アクセスであるか、またはブロック１４１０においてセキュアＵＶストレージとして登録されているストレージに対するセキュアＵＶアクセスであるとき、ブロック１４２０においてハードウェアは、ストレージがそのアクセスに関連するセキュア・エンティティに登録されていることを確認するためのチェックを行い得る。もしこれがセキュアＵＶアクセスであれば、ＵＶ－セキュア－ドメイン・レジスタ（アクセスされるセキュアＵＶストレージに基づいてセキュア制御インターフェースによってロードされる）から特定のセキュア・ドメインを得ることができ、セキュア・ゲスト・アクセスに対しては、ＳＧ－セキュア－ドメイン・レジスタ（セキュア・エンティティがディスパッチされるときにロードされる）から特定のセキュア・ドメインが得られる。ブロック１４２０において、アクセスされているストレージが特定のセキュア・ドメインに登録されていないとき、ブロック１４２５におけるセキュアＵＶアクセスに対してはブロック１４３０においてエラーが得られ、ブロック１４２５におけるセキュア・ゲスト・アクセス（セキュアＵＶ＝Ｎｏ）に対してはブロック１４３５においてハイパーバイザに例外が提供される。

ブロック１４２０において特定のセキュア・ドメインに登録されている、ブロック１４４０およびブロック１４１０におけるストレージへのセキュア・アクセスに対して、仮想アドレス・チェックがディスエーブルされるとき、すなわちブロック１４５５においてＤＡビット＝１であり、かつブロック１４６０においてアクセスが実であるとき、次いでブロック１４５０において変換が完了する。しかし、ブロック１４５５においてＤＡビット＝１であるがブロック１４６０においてアクセスが仮想（実＝Ｎｏ）であるとき、ブロック１４２５におけるセキュアＵＶアクセスに対してはブロック１４３０においてエラーが得られ、ブロック１４２５におけるセキュア・ゲスト・アクセス（セキュアＵＶ＝Ｎｏ）に対してはブロック１４３５においてハイパーバイザに例外が提供される。ブロック１４５５においてＤＡビット＝０であり、かつブロック１４７５においてアクセスが仮想アクセスであるとき、次いでブロック１４７０において、ハードウェアはアクセスのホスト仮想対ホスト絶対マッピングがこのホスト絶対アドレスに対して登録されたものと一致するかどうかを判定し得る。もしそうであれば、次いでブロック１４５０において変換は正常に完了する。もしブロック１４７０においてマッピングが一致しなければ、ブロック１４２５におけるセキュアＵＶアクセスに対してはブロック１４３０においてエラーが得られ、ブロック１４２５におけるセキュア・ゲスト・アクセス（セキュアＵＶ＝Ｎｏ）に対してはブロック１４３５においてハイパーバイザに例外が提供される。もしＤＡビット＝０であり、かつブロック１４７５においてアクセスが実アクセス（仮想＝Ｎｏ）であれば、ブロック１４２５におけるセキュアＵＶアクセスに対してはブロック１４３０においてエラーが得られ、ブロック１４２５におけるセキュア・ゲスト・アクセス（セキュアＵＶ＝Ｎｏ）に対してはブロック１４３５においてハイパーバイザに例外が提供され、代替的にはブロック１４５０において変換が正常に完了してもよい。ブロック１４８０におけるＩ／Ｏサブシステムによる任意のアクセスは、ブロック１４４５においてページがセキュアとマーク付けされているかどうかをチェックされてもよく、もしそのページがセキュアであれば、ブロック１４３５においてハイパーバイザに例外が提供されてもよく、もしそのページがセキュアとマーク付けされていなければ、ブロック１４５０において変換が成功する。

ストレージ登録およびマッピングのさまざまなチェックは、ゾーン・セキュリティ・テーブル・インターフェース１４８５を通じて集合的に管理され得る。たとえば、ブロック１４１０、１４２０、１４５５、１４７０、および１４７５は、さまざまなアクセスを管理するために同じゾーンに関連付けられたゾーン・セキュリティ・テーブルとインターフェースし得る。

本明細書において考察されるとおり、本明細書における１つ以上の実施形態は、この付加的なセキュリティを提供するためにソフトウェアとマシンとの間の効率的な軽量のウルトラバイザ・インターフェースを利用している。この場合、このインターフェースは、ウルトラバイザが大多数の割り込みイネーブル命令（例、ロード・プログラム状況ワードまたはロード制御）をエミュレートすることを可能にする一方で、ハイパーバイザがゲストの代わりに保留割り込みを維持することをなおも可能にするために使用される。この保留割り込み構造は、ハードウェアにおいてセキュア・ゲストがディスパッチされていないときの割り込みの優先順位付けに対処するために、ハイパーバイザによって必要とされる。本明細書における１つ以上の実施形態の技術効果および利益は、セキュア・ゲスト状態またはメモリへのハイパーバイザのアクセスを許可することなく、単一の場所にこの複雑なコードを存在させることによって、複雑性およびリスクを低減することを含む。

上記に鑑みて、割り込みイネーブルのためのセキュア・インターフェース制御ハイレベル命令インターセプトのための動作を、図１５～１６に関して考察する。ここで図１５を参照すると、本発明の１つ以上の実施形態による割り込みイネーブルのためのセキュア・インターフェース制御ハイレベル命令インターセプトに対するプロセスの流れ１５００が示されている。セキュア環境のコンポーネントによってどの動作が行われているのかを示すために、プロセスの流れ１５００にセキュア・エンティティ１５０２（例、セキュア・ゲストまたはコンテナ）、セキュア・インターフェース制御１５０４、および信頼されないエンティティ１５０６（例、ハイパーバイザまたはＯＳ）が重ね合わせられている。

プロセスの流れ１５００はブロック１５１０で開始され、ここでセキュア・エンティティ１５０２は割り込み（例、ＬＰＳＷおよびＬＣＴＬ）をイネーブルし得る命令を発行し、その命令は信頼されないエンティティ１５０６によってモニタされる。ブロック１５２０において、セキュア・インターフェース制御１５０４はセキュア・ゲスト・ストレージから新たなＰＳＷ（例、ＬＰＳＷに対して）または制御レジスタ値（例、ＬＣＴＬに対して）をフェッチする。ブロック１５３０において、セキュア・インターフェース制御１５０４は新たなＰＳＷまたは制御レジスタをセキュア・エンティティ状態にロードし、これはフェッチに応答したものであり得る。

ブロック１５４０において、セキュア・インターフェース制御１５０４は、信頼されないエンティティ１５０６にゲスト割り込みイネーブル更新を通知する。ブロック１５５０において、信頼されないエンティティ１５０６は、保留およびイネーブルされた割り込みの優先順位付けをして、最高優先順位のイネーブルされたゲスト割り込みを定める。ブロック１５６０において、信頼されないエンティティ１５０６は、最高優先順位の割り込み（例、最高優先順位のイネーブルされたゲスト割り込み）に対する割り込み情報を非セキュア・ストレージに記憶する。一例において、この非セキュア・ストレージは、このゲスト割り込みに関連する状態記述であり得る。別の例において、この非セキュア・ストレージは、挿入割り込みＵＶＣ命令への入力として用いられることとなるパラメータ・ブロックである。プロセスの流れ１５００は丸Ｚに進み、これは図１６およびプロセスの流れ１６００に接続する。

ここで図１６を参照すると、本発明の１つ以上の実施形態による割り込みイネーブルのためのセキュア・インターフェース制御ハイレベル命令インターセプトに対するプロセスの流れ１６００が示されている。セキュア環境のコンポーネントによってどの動作が行われているのかを示すために、プロセスの流れ１６００にセキュア・エンティティ１６０２、セキュア・インターフェース制御１６０４、および信頼されないエンティティ１６０６が重ね合わせられている。なお、図１６のセキュア・エンティティ１６０２、セキュア・インターフェース制御１６０４、および信頼されないエンティティ１６０６は、図１５のセキュア・エンティティ１５０２、セキュア・インターフェース制御１５０４、および信頼されないエンティティ１５０６と類似のものである。

プロセスの流れ１６００はブロック１６１０で開始され、ここで信頼されないエンティティ１６０６はセキュア・インターフェース制御１６０４に対して、最高優先順位のイネーブルされたゲスト割り込みを提供するよう要求する。この要求は通知に応答して行われ得る。一例において、この要求は、割り込みを挿入すべきだという表示およびその割り込みに関する情報によるＳＩＥディスパッチであり得る。別の例において、この要求は、割り込み情報およびＵＶＣに関連するパラメータ・ブロックにおける関連ゲストの表示による挿入割り込みＵＶＣ命令であり得る。判定ブロック１６２０において、セキュア・インターフェース制御１６０４は、割り込み挿入が有効かどうかを判定する。たとえば、セキュア・インターフェース制御１６０４は、関連ゲストが挿入される割り込みに対してイネーブルされているかどうかを判定する。もし割り込み挿入が有効でなければ、プロセスの流れ１６００はブロック１６４０に進む（ＮＯ矢印で示されるとおり）。ブロック１６４０において、セキュア・インターフェース制御１６０４は信頼されないエンティティ１６０６に例外を発行する。

もし割り込み挿入が有効であれば、プロセスの流れ１６００はブロック１６６０に進む（ＹＥＳ矢印で示されるとおり）。ブロック１６６０において、セキュア・インターフェース制御１６０４はゲスト・プレフィックス・ページに割り込み情報を移動させて、セキュア・エンティティ１６０２に割り込みを挿入する（例、ゲスト状態を更新する）。ブロック１６７０において、セキュア・エンティティ１６０２は挿入された割り込みを受信したことに応答して、割り込みハンドラを実行する。

この開示はクラウド・コンピューティングに対する詳細な説明を含むが、本明細書に記述される教示の実現はクラウド・コンピューティング環境に限定されないことが理解されるべきである。むしろ本発明の実施形態は、現在公知であるか、または後に開発される任意のその他のタイプのコンピューティング環境とともに実現され得る。

クラウド・コンピューティングは、最小限の管理努力またはサービスのプロバイダとのインタラクションによって迅速にプロビジョニングおよびリリースされ得る構成可能なコンピューティング・リソース（例、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、ＶＭ、およびサービス）の共有プールへの便利なオンデマンド・ネットワーク・アクセスを可能にするためのサービス配信のモデルである。このクラウド・モデルは少なくとも５つの特性と、少なくとも３つのサービス・モデルと、少なくとも４つの配置モデルとを含んでいる。

特性は次のとおりである。

オンデマンド・セルフサービス。クラウド消費者は、たとえばサーバ時間およびネットワーク・ストレージなどのコンピューティング・ケイパビリティを、必要に応じて自動的に、サービスのプロバイダとの人的インタラクションを必要とせずに一方的にプロビジョニングできる。

広範なネットワーク・アクセス。ケイパビリティはネットワークを通じて利用可能であり、様々なシンまたはシック・クライアント・プラットフォーム（例、携帯電話、ラップトップ、およびＰＤＡ）による使用を容易にする標準的な機構を通じてアクセスされる。

リソース・プール。マルチテナント・モデルを用いて複数の消費者にサービスするために、プロバイダのコンピューティング・リソースはプールされ、要求に従って異なる物理および仮想リソースが動的に割り当ておよび再割り当てされる。消費者は一般的に、提供されるリソースの正確な場所に対する制御も知識も有さないが、より高い抽象化レベルにおける場所（例、国、州、またはデータセンタ）を特定できてもよいという点で、場所独立性の意味が存在する。

迅速な順応性。ケイパビリティは、素早くスケール・アウトするために場合によっては自動的に、迅速かつ順応的にプロビジョニングされ、かつ素早くスケール・インするために迅速にリリースされ得る。消費者にとって、プロビジョニングのために利用可能なケイパビリティはしばしば無制限にみえ、任意のときに任意の量を購入できる。

従量制サービス。クラウド・システムは、サービスのタイプ（例、ストレージ、処理、帯域幅、およびアクティブ・ユーザ・アカウント）に対して適切な何らかの抽象化レベルにおいて計測ケイパビリティを利用することによって、リソースの使用を自動的に制御および最適化する。リソースの使用をモニタ、制御、および報告して、使用されるサービスのプロバイダおよび消費者の両方に対する透明性を提供できる。

サービス・モデルは次のとおりである。

サービスとしてのソフトウェア（ＳａａＳ：Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）。消費者に提供されるケイパビリティは、クラウド・インフラストラクチャにおいて動作するプロバイダのアプリケーションの使用である。アプリケーションは、さまざまなクライアント・デバイスからたとえばウェブ・ブラウザ（例、ウェブ・ベースのｅメール）などのシン・クライアント・インターフェースを通じてアクセス可能である。消費者はネットワーク、サーバ、オペレーティング・システム、ストレージ、または個々のアプリケーション・ケイパビリティさえも含む基盤となるクラウド・インフラストラクチャを管理または制御することはなく、例外となり得るのは限られたユーザ特有のアプリケーション構成設定である。

サービスとしてのプラットフォーム（ＰａａＳ：Ｐｌａｔｆｏｒｍ ａｓ ａ Ｓｅｒｖｉｃｅ）。消費者に提供されるケイパビリティは、プロバイダによってサポートされるプログラミング言語およびツールを用いて作成された、消費者が作成または取得したアプリケーションのクラウド・インフラストラクチャへの配置である。消費者はネットワーク、サーバ、オペレーティング・システム、またはストレージを含む基盤となるクラウド・インフラストラクチャを管理または制御することはないが、配置されたアプリケーションおよびおそらくはアプリケーション・ホスティング環境構成に対する制御を有する。

サービスとしてのインフラストラクチャ（ＩａａＳ：Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）。消費者に提供されるケイパビリティは、オペレーティング・システムおよびアプリケーションを含む、消費者が任意のソフトウェアを配置および実行することが可能な処理、ストレージ、ネットワーク、およびその他の基本的なコンピューティング・リソースのプロビジョニングである。消費者は基盤となるクラウド・インフラストラクチャを管理または制御することはないが、オペレーティング・システム、ストレージ、配置されたアプリケーションに対する制御、およびおそらくはネットワーク形成コンポーネント（例、ホスト・ファイアウォール）の選択に対する限られた制御を有する。

配置モデルは次のとおりである。

プライベート・クラウド。このクラウド・インフラストラクチャは、ある組織に対してのみ操作される。これはその組織またはサード・パーティによって管理されてもよく、オンプレミスまたはオフプレミスに存在してもよい。

コミュニティ・クラウド。このクラウド・インフラストラクチャは複数の組織によって共有され、共通する関心事項（例、任務、セキュリティ要件、ポリシー、およびコンプライアンスの検討）を有する特定のコミュニティをサポートする。これはそれらの組織またはサード・パーティによって管理されてもよく、オンプレミスまたはオフプレミスに存在してもよい。

パブリック・クラウド。このクラウド・インフラストラクチャは、一般人または大規模な産業グループに対して利用可能にされ、クラウド・サービスを販売する組織が所有している。

ハイブリッド・クラウド。このクラウド・インフラストラクチャは２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の複合体であり、それらのクラウドは独自のエンティティに留まるが、データおよびアプリケーション・ポータビリティを可能にする標準または独自の技術（例、クラウド間のロード・バランシングのためのクラウド・バースティング）によってともに結合される。

クラウド・コンピューティング環境はサービス指向型であり、ステートレス性、低結合性、モジュラリティ、およびセマンティックな相互運用性に焦点を合わせている。クラウド・コンピューティングの中心には、相互接続されたノードのネットワークを含むインフラストラクチャがある。

ここで図１７を参照すると、例示的なクラウド・コンピューティング環境５０が示されている。示されるとおり、クラウド・コンピューティング環境５０は１つ以上のクラウド・コンピューティング・ノード１０を含み、たとえばパーソナル・デジタル・アシスタント（ＰＤＡ：ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ）もしくは携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車のコンピュータ・システム５４Ｎ、あるいはその組み合わせなどの、クラウド消費者によって用いられるローカル・コンピュータ・デバイスが、このクラウド・コンピューティング・ノード１０によって通信してもよい。ノード１０は互いに通信してもよい。これらのノードは、たとえば上述したプライベート、コミュニティ、パブリック、もしくはハイブリッド・クラウド、またはその組み合わせなどの１つ以上のネットワークにおいて、物理的または仮想的にグループ化（図示せず）されてもよい。このことは、クラウド・コンピューティング環境５０がインフラストラクチャ、プラットフォーム、もしくはソフトウェア、またはその組み合わせを、クラウド消費者がそれに対するリソースをローカル・コンピュータ・デバイスにおいて維持する必要のないサービスとして提供することを可能にする。図１７に示されるコンピュータ・デバイス５４Ａ～Ｎのタイプは単なる例示であることが意図されており、コンピューティング・ノード１０およびクラウド・コンピューティング環境５０は、任意のタイプのネットワークもしくはネットワーク・アドレス可能接続（例、ウェブ・ブラウザを使用するもの）またはその両方を通じて、任意のタイプのコンピュータ・デバイスと通信できることが理解される。

ここで図１８を参照すると、クラウド・コンピューティング環境５０（図１７）によって提供される機能的抽象化レイヤのセットが示されている。図１８に示されるコンポーネント、レイヤ、および機能は単なる例示であることが意図されており、本発明の実施形態はそれらに限定されないことが予め理解されるべきである。示されるとおり、以下のレイヤおよび対応する機能が提供される。

ハードウェアおよびソフトウェア・レイヤ６０は、ハードウェアおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例は、メインフレーム６１、ＲＩＳＣ（縮小命令セット・コンピュータ（Ｒｅｄｕｃｅｄ Ｉｎｓｔｒｕｃｔｉｏｎ Ｓｅｔ Ｃｏｍｐｕｔｅｒ））アーキテクチャ・ベースのサーバ６２、サーバ６３、ブレード・サーバ６４、ストレージ・デバイス６５、ならびにネットワークおよびネットワーク形成コンポーネント６６を含む。いくつかの実施形態において、ソフトウェア・コンポーネントは、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。

仮想化レイヤ７０は抽象化レイヤを提供し、この抽象化レイヤから仮想エンティティの以下の例が提供されてもよい。仮想サーバ７１、仮想ストレージ７２、仮想プライベート・ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５。

一例において、管理レイヤ８０は以下に記載される機能を提供してもよい。リソース・プロビジョニング８１は、クラウド・コンピューティング環境内でタスクを行うために使用されるコンピューティング・リソースおよびその他のリソースの動的調達を提供する。計測および価格決定８２は、クラウド・コンピューティング環境内でリソースが使用される際のコスト追跡と、これらのリソースの消費に対する請求書またはインボイスの送付とを提供する。一例において、これらのリソースはアプリケーション・ソフトウェア・ライセンスを含んでもよい。セキュリティは、クラウド消費者およびタスクに対するアイデンティティ検証、ならびにデータおよびその他のリソースの保護を提供する。ユーザ・ポータル８３は、消費者およびシステム管理者に対するクラウド・コンピューティング環境へのアクセスを提供する。サービス・レベル管理８４は、要求されるサービス・レベルが満たされるようにクラウド・コンピューティング・リソースの割り当ておよび管理を提供する。サービス・レベル・アグリーメント（ＳＬＡ：Ｓｅｒｖｉｃｅ Ｌｅｖｅｌ Ａｇｒｅｅｍｅｎｔ）計画および実現８５は、ＳＬＡによって将来の要求が予測されるクラウド・コンピューティング・リソースに対する事前の取り決めおよびその調達を提供する。

ワークロード・レイヤ９０は、クラウド・コンピューティング環境が使用され得る機能の例を提供する。このレイヤから提供され得るワークロードおよび機能の例は、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想教室の教育配信９３、データ分析処理９４、トランザクション処理９５、および割り込みイネーブルのためのハイレベル命令インターセプト９６を含む。これらは単なるいくつかの例であり、他の実施形態におけるレイヤは異なるサービスを含み得ることが理解される。

ここで図１９を参照すると、本発明の１つ以上の実施形態によるシステム１９００が示されている。システム１９００はノード１０の一例（例、ホスティング・ノード）を含み、このノード１０はたとえばネットワーク１６５などを介して、１つ以上のクライアント・デバイス２０Ａ～２０Ｅと直接的または間接的に通信している。ノード１０は、クラウド・コンピューティング・プロバイダのデータセンタまたはホスト・サーバであり得る。ノード１０は、１つ以上のＶＭ１５（１５Ａ～１５Ｎ）の配置を促進するハイパーバイザ１２を実行する。ノード１０はさらにハードウェア／ファームウェア・レイヤ１１を含み、このハードウェア／ファームウェア・レイヤ１１は、ＶＭ１５Ａ～Ｎおよびハイパーバイザ１２が必要とする機能に対する直接的サポートを提供し、かつハイパーバイザ１２がＶＭ１５に１つ以上のサービスを提供することを促進する。現在の実施においては、ハードウェア／ファームウェア・レイヤ１１とハイパーバイザ１２との間、ハードウェア／ファームウェア・レイヤ１１とＶＭ１５との間、ハイパーバイザ１２とＶＭ１５との間、およびハードウェア／ファームウェア・レイヤ１１を介したハイパーバイザ１２とＶＭ１５との間の通信が提供される。本発明の１つ以上の実施形態によると、ハードウェア／ファームウェア・レイヤ１１にセキュア・インターフェース制御が提供され、ハイパーバイザ１２とＶＭ１５との間の直接的通信が排除される。

たとえば、ノード１０はクライアント・デバイス２０ＡがＶＭ１５Ａ～１５Ｎの１つ以上を配置することを促進できる。ＶＭ１５Ａ～１５Ｎは、別個のクライアント・デバイス２０Ａ～２０Ｅからのそれぞれの要求に応答して配置されてもよい。たとえば、ＶＭ１５Ａはクライアント・デバイス２０Ａによって配置されてもよく、ＶＭ１５Ｂはクライアント・デバイス２０Ｂによって配置されてもよく、ＶＭ１５Ｃはクライアント・デバイス２０Ｃによって配置されてもよい。加えてノード１０は、（ＶＭとして動作することなく）クライアントが物理サーバをプロビジョニングすることを促進してもよい。本明細書に記載される例は、ＶＭの一部としてのノード１０のリソースのプロビジョニングを具現化するが、記載される技術的解決策は、リソースを物理サーバの一部としてプロビジョニングすることにも適用され得る。

一例において、クライアント・デバイス２０Ａ～２０Ｅは、たとえば人、ビジネス、政府機関、会社の部署、または任意のその他のエンティティなどの同じエンティティに属していてもよく、ノード１０はそのエンティティのプライベート・クラウドとして動作されてもよい。この場合、ノード１０は、そのエンティティに属するクライアント・デバイス２０Ａ～２０Ｅによって配置されたＶＭ１５Ａ～１５Ｎのみをホストする。別の例において、クライアント・デバイス２０Ａ～２０Ｅは別個のエンティティに属していてもよい。たとえば、第１のエンティティはクライアント・デバイス２０Ａを所有してもよく、一方で第２のエンティティはクライアント・デバイス２０Ｂを所有してもよい。この場合、ノード１０は、異なるエンティティからのＶＭをホストするパブリック・クラウドとして動作されてもよい。たとえば、ＶＭ１５Ａ～１５Ｎは、ＶＭ１５ＡがＶＭ１５Ｂへのアクセスを促進しないような覆い隠された方式で配置されてもよい。たとえば、ノード１０はＩＢＭ ｚ Ｓｙｓｔｅｍｓ（ＩＢＭ社の登録商標）プロセッサ・リソース／システム・マネージャ（ＰＲ／ＳＭ：Ｐｒｏｃｅｓｓｏｒ Ｒｅｓｏｕｒｃｅ／Ｓｙｓｔｅｍｓ Ｍａｎａｇｅｒ）ロジカル・パーティション（ＬＰＡＲ：Ｌｏｇｉｃａｌ Ｐａｒｔｉｔｉｏｎ）機構を用いて、ＶＭ１５Ａ～１５Ｎを覆い隠してもよい。たとえばＰＲ／ＳＭ ＬＰＡＲなどのこれらの機構は、パーティション間の分離を提供することによって、ノード１０が異なるエンティティに対する２つ以上のＶＭ１５Ａ～１５Ｎを同じ物理ノード１０の異なるロジカル・パーティションに配置することを促進する。

クライアント・デバイス２０Ａ～２０Ｅのうちのクライアント・デバイス２０Ａは、たとえばコンピュータ、スマートフォン、タブレット・コンピュータ、デスクトップ・コンピュータ、ラップトップ・コンピュータ、サーバ・コンピュータ、またはノード１０のハイパーバイザ１２によるＶＭの配置を要求する任意のその他の通信装置などの通信装置である。クライアント・デバイス２０Ａは、ネットワーク１６５を介してハイパーバイザが受信するための要求を送信してもよい。ＶＭ１５Ａ～１５ＮのうちのＶＭ１５Ａは、クライアント・デバイス２０Ａ～２０Ｅのうちのクライアント・デバイス２０Ａからの要求に応答してハイパーバイザ１２が配置するＶＭイメージである。ハイパーバイザ１２はＶＭモニタ（ＶＭＭ：ＶＭ ｍｏｎｉｔｏｒ）であり、これはＶＭを作成および実行するソフトウェア、ファームウェア、またはハードウェアであってもよい。ハイパーバイザ１２は、ＶＭ１５Ａがノード１０のハードウェア・コンポーネントを用いてプログラムの実行もしくはデータの記憶またはその両方を行うことを促進する。適切な特徴および修正を伴うハイパーバイザ１２は、ＩＢＭ ｚ Ｓｙｓｔｅｍｓ（ＩＢＭ社の登録商標）、オラクル（Ｏｒａｃｌｅ）のＶＭ Ｓｅｒｖｅｒ（ＴＭ）、シトリックス（Ｃｉｔｒｉｘ）のＸｅｎＳｅｒｖｅｒ（ＴＭ）、ブイエムウェア（Ｖｍｗａｒｅ）のＥＳＸ（ＴＭ）、マイクロソフト（Ｍｉｃｒｏｓｏｆｔ）（Ｒ）Ｈｙｐｅｒ－Ｖ（ＴＭ）ハイパーバイザ、または任意のその他のハイパーバイザであってもよい。ハイパーバイザ１２は、ノード１０において直接実行されるネイティブ・ハイパーバイザであってもよいし、別のハイパーバイザにおいて実行されるホステッド・ハイパーバイザであってもよい。

ここで図２０を参照すると、本発明の１つ以上の実施形態による本明細書の教示を実現するためのノード１０が示されている。本明細書に記載されるとおり、ノード１０は、さまざまな通信技術を使用した任意の数および組み合わせのコンピュータ・デバイスおよびネットワークを含むか、もしくは使用するか、またはその両方である電子コンピュータ・フレームワークであり得る。ノード１０は、容易にスケーラブルであり、拡張可能であり、かつモジュール式であってもよく、他のものとは独立に異なるサービスに変化したり、いくつかの特徴を再構成したりする能力を有する。

この実施形態において、ノード１０はプロセッサ２００１を有し、このプロセッサ２００１は１つ以上の中央処理ユニット（ＣＰＵ：ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔｓ）２００１ａ、２００１ｂ、２００１ｃなどを含み得る。プロセッサ２００１は処理回路、マイクロプロセッサ、コンピューティング・ユニットとも呼ばれ、システム・バス２００２を介してシステム・メモリ２００３およびさまざまなその他のコンポーネントに結合される。システム・メモリ２００３は、リード・オンリ・メモリ（ＲＯＭ：ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）２００４およびランダム・アクセス・メモリ（ＲＡＭ：ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）２００５を含む。ＲＯＭ２００４はシステム・バス２００２に結合され、かつノード１０の特定の基本機能を制御する基本入力／出力システム（ＢＩＯＳ：ｂａｓｉｃ ｉｎｐｕｔ／ｏｕｔｐｕｔ ｓｙｓｔｅｍ）を含んでもよい。ＲＡＭは、プロセッサ２００１による使用のためにシステム・バス２００２に結合された読取り書込みメモリである。

図２０のノード１０はハード・ディスク２００７を含み、このハード・ディスク２００７はプロセッサ２００１によって読取り可能で実行可能な有形ストレージ媒体の一例である。ハード・ディスク２００７は、ソフトウェア２００８およびデータ２００９を記憶する。ソフトウェア２００８は、たとえば図１～１９を参照して説明したプロセスなどのプロセスを行うために、プロセッサ２００１によってノード１０において実行されるための命令として記憶される。データ２００９は、ソフトウェア２００８の動作をサポートし、かつそれによって用いられるためのさまざまなデータ構造に組織化された質的変数または定量的変数の値のセットを含む。

図２０のノード１０は、プロセッサ２００１、システム・メモリ２００３、ハード・ディスク２００７、およびノード１０の他のコンポーネント（例、周辺デバイスおよび外部デバイス）を相互接続してそれらの間の通信をサポートする１つ以上のアダプタ（例、ハード・ディスク・コントローラ、ネットワーク・アダプタ、グラフィックス・アダプタなど）を含む。本発明の１つ以上の実施形態において、１つ以上のアダプタは、中間バス・ブリッジを介してシステム・バス２００２に接続された１つ以上のＩ／Ｏバスに接続されてもよく、この１つ以上のＩ／Ｏバスは、たとえばペリフェラル・コンポーネント・インターコネクト（ＰＣＩ：Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）などの共通プロトコルを使用し得る。

示されるとおり、ノード１０はキーボード２０２１、マウス２０２２、スピーカ２０２３、およびマイクロホン２０２４をシステム・バス２００２に相互接続するインターフェース・アダプタ２０２０を含む。ノード１０は、システム・バス２００２をディスプレイ２０３１に相互接続するディスプレイ・アダプタ２０３０を含む。ディスプレイ・アダプタ２０３０（もしくはプロセッサ２００１またはその両方）は、たとえばディスプレイおよびＧＵＩ２０３２の管理などのグラフィックス性能を提供するためのグラフィックス・コントローラを含み得る。通信アダプタ２０４１はシステム・バス２００２とネットワーク２０５０とを相互接続して、ノード１０がたとえばサーバ２０５１およびデータベース２０５２などの他のシステム、デバイス、データ、およびソフトウェアと通信することを可能にする。本発明の１つ以上の実施形態において、ソフトウェア２００８およびデータ２００９の動作は、サーバ２０５１およびデータベース２０５２によってネットワーク２０５０上で実施され得る。たとえばネットワーク２０５０と、サーバ２０５１と、データベース２０５２とが組み合わさって、サービスとしてのプラットフォーム、サービスとしてのソフトウェア、もしくはサービスとしてのインフラストラクチャ、またはその組み合わせとして（例、分散型システムにおけるウェブ・アプリケーションとして）ソフトウェア２００８およびデータ２００９の内部反復を提供し得る。

本明細書に記載される実施形態は、必然的にコンピュータ技術、特にＶＭをホストするコンピュータ・サーバに根差したものである。さらに、本発明の１つ以上の実施形態は、ＶＭをホストするコンピュータ・サーバがセキュアＶＭをホストすることを促進することによって、コンピューティング技術自体の動作、特にＶＭをホストするコンピュータ・サーバの動作に対する改善を促進するものであり、ここではハイパーバイザさえもがセキュアＶＭに関連するメモリ、レジスタ、およびその他のこうしたデータにアクセスすることを禁止される。加えて、本発明の１つ以上の実施形態は、ハードウェア、ファームウェア（例、ミリコード）、またはその組み合わせを含むセキュア・インターフェース制御（本明細書においては「ウルトラバイザ（ｕｌｔｒａｖｉｓｏｒ）」または「ＵＶ」とも呼ばれる）を用いてセキュアＶＭとハイパーバイザとの分離を促進することによって、コンピュータ・サーバにホストされるＶＭのセキュリティを維持することによって、ＶＭホスティング・コンピュータ・サーバの改善に向けた顕著なステップを提供する。本明細書に記載されるとおり、セキュア・インターフェース制御は、ＶＭの初期化／エグジットの際にセキュア化ＶＭ状態に対して実質的なオーバーヘッドを加えることなくセキュリティを促進するための軽量の中間動作を提供する。

本明細書において開示される本発明の実施形態は、割り込みイネーブルのためのセキュア・インターフェース制御ハイレベル命令インターセプトを実現するシステム、方法、もしくはコンピュータ・プログラム製品（本明細書においてはシステム）、またはその組み合わせを含んでもよい。なお、各々の説明に対して、異なる図面の他の類似の構成要素に対して構成要素の識別子が再使用されている。

本明細書において、関連する図面を参照して本発明のさまざまな実施形態を説明している。本発明の範囲から逸脱することなく、本発明の代替的実施形態が考案され得る。以下の説明および図面において、構成要素間のさまざまな接続および位置関係（例、上、下、隣など）が示されている。これらの接続もしくは位置関係またはその両方は、別様に指定されない限り直接的または間接的であってもよく、本発明はこれに関して限定することは意図されていない。したがって、エンティティの結合は直接的または間接的な結合を示すことができ、エンティティ間の位置関係は直接的または間接的な位置関係であり得る。さらに、本明細書に記載されるさまざまなタスクおよびプロセス・ステップは、本明細書に詳細に記載されていない付加的なステップまたは機能を有するより包括的な手順またはプロセスに組み込まれ得る。

以下の定義および略語は、請求項および明細書の解釈に用いられるべきものである。本明細書において用いられる「含む（ｃｏｍｐｒｉｓｅｓ）」、「含む（ｃｏｍｐｒｉｓｉｎｇ）」、「含む（ｉｎｃｌｕｄｅｓ）」、「含む（ｉｎｃｌｕｄｉｎｇ）」、「有する（ｈａｓ）」、「有する（ｈａｖｉｎｇ）」、「含有する（ｃｏｎｔａｉｎｓ）」、もしくは「含有する（ｃｏｎｔａｉｎｉｎｇ）」という用語、またはその任意のその他の変形は、非排他的包含をカバーすることが意図される。たとえば、構成要素のリストを含む組成物、混合物、プロセス、方法、物品、または装置は、それらの構成要素のみに限定される必要はなく、明確にリストに挙げられていないその他の構成要素、あるいはこうした組成物、混合物、プロセス、方法、物品、または装置に固有のその他の構成要素を含み得る。

加えて、本明細書において「例示的」という用語は、「一例、実例、または例示の役割をする」ことを意味するために用いられる。本明細書において「例示的」なものとして記載される任意の実施形態または設計は、他の実施形態または設計よりも好ましいか、または有利であると解釈される必要はない。「少なくとも１つ」および「１つ以上」という用語は、１以上の任意の整数、すなわち１、２、３、４などを含むものと理解されてもよい。「複数」という用語は、２以上の任意の整数、すなわち２、３、４、５などを含むものと理解されてもよい。「接続」という用語は、間接的「接続」および直接的「接続」の両方を含んでもよい。

「約（ａｂｏｕｔ）」、「実質的に」、「約（ａｐｐｒｏｘｉｍａｔｅｌｙ）」という用語およびそれらの変形は、本出願の提出の時点で利用可能な機器に基づく特定量の測定に関連する誤差の程度を含むことが意図される。たとえば、「約」は所与の値の±８％もしくは５％、または２％の範囲を含み得る。

本発明は、任意の可能な技術的詳細レベルの統合におけるシステム、方法、もしくはコンピュータ・プログラム製品、またはその組み合わせであってもよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を行わせるためのコンピュータ可読プログラム命令を有するコンピュータ可読ストレージ媒体（または複数の媒体）を含んでもよい。

コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持および記憶できる有形デバイスであり得る。コンピュータ可読ストレージ媒体は、たとえば電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁気ストレージ・デバイス、半導体ストレージ・デバイス、または前述の任意の好適な組み合わせなどであってもよいが、それに限定されない。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的リストは以下を含む。ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ：ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ）、消去可能プログラマブル・リード・オンリ・メモリ（ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ）（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：ｓｔａｔｉｃ ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）、ポータブル・コンパクト・ディスク・リード・オンリ・メモリ（ＣＤ－ＲＯＭ：ｃｏｍｐａｃｔ ｄｉｓｃ ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ）、デジタル多用途ディスク（ＤＶＤ：ｄｉｇｉｔａｌ ｖｅｒｓａｔｉｌｅ ｄｉｓｋ）、メモリ・スティック、フレキシブル・ディスク、機械的にコード化されたデバイス、たとえばパンチ・カードまたは記録された命令を有する溝の中の隆起構造など、および前述の任意の好適な組み合わせ。本明細書において用いられるコンピュータ可読ストレージ媒体は、たとえば電波もしくはその他の自由に伝播する電磁波、導波路もしくはその他の伝送媒体を通じて伝播する電磁波（例、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを通じて伝送される電気信号など、それ自体が一時的信号のものであると解釈されるべきではない。

本明細書に記載されるコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれのコンピューティング／処理デバイスにダウンロードされ得るか、またはたとえばインターネット、ローカル・エリア・ネットワーク、広域ネットワーク、もしくは無線ネットワーク、またはその組み合わせなどのネットワークを介して外部コンピュータまたは外部ストレージ・デバイスにダウンロードされ得る。ネットワークは銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、もしくはエッジ・サーバ、またはその組み合わせを含んでもよい。各コンピューティング／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、ネットワークからコンピュータ可読プログラム命令を受信して、そのコンピュータ可読プログラム命令をそれぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体に記憶するために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令はアセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：ｉｎｓｔｒｕｃｔｉｏｎ－ｓｅｔ－ａｒｃｈｉｔｅｃｔｕｒｅ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路に対する構成データ、または１つ以上のプログラミング言語の任意の組み合わせで書かれたソース・コードもしくはオブジェクト・コードであってもよく、このプログラミング言語はオブジェクト指向プログラミング言語、たとえばＳｍａｌｌｔａｌｋ、またはＣ＋＋など、および手続き型プログラミング言語、たとえば「Ｃ」プログラミング言語または類似のプログラミング言語などを含む。コンピュータ可読プログラム命令は、すべてがユーザのコンピュータで実行されてもよいし、スタンド・アロン・ソフトウェア・パッケージとして部分的にユーザのコンピュータで実行されてもよいし、一部がユーザのコンピュータで、一部がリモート・コンピュータで実行されてもよいし、すべてがリモート・コンピュータまたはサーバで実行されてもよい。後者のシナリオにおいて、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ：ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）または広域ネットワーク（ＷＡＮ：ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）を含む任意のタイプのネットワークを通じてユーザのコンピュータに接続されてもよいし、（たとえば、インターネット・サービス・プロバイダを用いてインターネットを通じて）外部コンピュータへの接続が行われてもよい。いくつかの実施形態において、たとえばプログラマブル・ロジック回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ：ｆｉｅｌｄ－ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙｓ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ａｒｒａｙｓ）などを含む電子回路は、本発明の態様を行うために電子回路をパーソナライズするためのコンピュータ可読プログラム命令の状態情報を使用することによって、コンピュータ可読プログラム命令を実行してもよい。

本明細書においては、本発明の実施形態による方法、装置（システム）、およびコンピュータ・プログラム製品の流れ図もしくはブロック図またはその両方を参照して、本発明の態様を説明している。流れ図もしくはブロック図またはその両方の各ブロック、および流れ図もしくはブロック図またはその両方におけるブロックの組み合わせは、コンピュータ可読プログラム命令によって実現され得ることが理解されるだろう。

これらのコンピュータ可読プログラム命令は、汎用目的コンピュータ、特定目的コンピュータ、またはマシンを生成するためのその他のプログラマブル・データ処理装置のプロセッサに提供されることによって、そのコンピュータまたはその他のプログラマブル・データ処理装置のプロセッサを介して実行される命令が、流れ図もしくはブロック図またはその両方の単数または複数のブロックにおいて指定される機能／動作を実現するための手段を生じてもよい。これらのコンピュータ可読プログラム命令は、コンピュータ、プログラマブル・データ処理装置、もしくはその他のデバイスまたはその組み合わせに特定の方式で機能するように指示できるコンピュータ可読ストレージ媒体にも記憶されることによって、命令が記憶されたコンピュータ可読ストレージ媒体が、流れ図もしくはブロック図またはその両方の単数または複数のブロックにおいて指定される機能／動作の態様を実現する命令を含む製造物を含んでもよい。

コンピュータ可読プログラム命令は、コンピュータ、他のプログラマブル・データ処理装置、または他のデバイスにもロードされて、コンピュータに実現されるプロセスを生成するためにコンピュータ、他のプログラマブル装置、または他のデバイスにおいて一連の動作ステップを行わせることによって、そのコンピュータ、他のプログラマブル装置、または他のデバイスにおいて実行される命令が、流れ図もしくはブロック図またはその両方の単数または複数のブロックにおいて指定される機能／動作を実現してもよい。

図面における流れ図およびブロック図は、本発明のさまざまな実施形態によるシステム、方法、およびコンピュータ・プログラム製品の可能な実施のアーキテクチャ、機能、および動作を示すものである。これに関して、流れ図またはブロック図の各ブロックは、指定される論理機能（単数または複数）を実現するための１つ以上の実行可能命令を含むモジュール、セグメント、または命令の一部を表してもよい。いくつかの代替的実施において、ブロック内に示される機能は、図面に示されるものとは異なる順序で起こってもよい。たとえば、連続して示される２つのブロックは、実際には実質的に同時に実行されてもよいし、関与する機能によってはこれらのブロックがときに逆の順序で実行されてもよい。加えて、ブロック図もしくは流れ図またはその両方の各ブロック、およびブロック図もしくは流れ図またはその両方のブロックの組み合わせは、指定された機能または動作を行うか、特定目的のハードウェアおよびコンピュータ命令の組み合わせを実施または実行する特定目的のハードウェア・ベースのシステムによって実現され得ることが注目されるだろう。

本明細書において用いられる用語は、単に特定の実施形態を説明する目的のためのものであり、限定することは意図されていない。本明細書において用いられる単数形「ａ」、「ａｎ」、および「ｔｈｅ」は、状況が別様を明確に示さない限り複数形も含むことが意図される。この明細書において用いられるときの「含む（ｃｏｍｐｒｉｓｅｓ）」もしくは「含む（ｃｏｍｐｒｉｓｉｎｇ）」またはその両方の用語は、記述される特徴、整数、ステップ、動作、エレメント、もしくは構成要素、またはその組み合わせの存在を特定するが、１つ以上の他の特徴、整数、ステップ、動作、エレメント、構成要素、もしくはそのグループ、またはその組み合わせの存在または付加を除外しないことがさらに理解されるだろう。

本明細書におけるさまざまな実施形態の説明は例示の目的のために提供されたものであるが、開示される実施形態に対して網羅的または限定的になることは意図されていない。記載される実施形態の範囲および思想から逸脱することなく、当業者には多くの修正および変更が明らかになるだろう。本明細書において用いられる用語は、実施形態の原理、市場に見出される技術に対する実際の適用または技術的改善点を最もよく説明するか、または他の当業者が本明細書に開示される実施形態を理解できるようにするために選択されたものである。

Claims (25)

1. 割り込みをイネーブルする命令に対する部分的な命令解釈を提供するコンピュータのセキュア・インターフェース制御によって、セキュア・ゲスト・ストレージからプログラム状況ワードまたは制御レジスタ値をフェッチすることと、
   前記セキュア・インターフェース制御によって、信頼されないエンティティにゲスト割り込みマスク更新を通知することであって、前記信頼されないエンティティは、前記信頼されないエンティティにおいて実行されるセキュア・エンティティの動作をサポートするために、前記セキュア・インターフェース制御を介して、前記コンピュータのハードウェアにおいて実行され、それと通信する、前記通知することと、
   前記セキュア・インターフェース制御によって、前記ゲスト割り込みマスク更新を前記通知することに応答して、最高優先順位のイネーブルされたゲスト割り込みを提供する要求を前記信頼されないエンティティから受信することと、
   前記セキュア・インターフェース制御によって、ゲスト・プレフィックス・ページに割り込み情報を移動し、前記割り込みの挿入が有効と判定されたときに前記セキュア・エンティティに前記割り込みを挿入することと
   を含む、方法。
2. 前記セキュア・エンティティによって、前記信頼されないエンティティによってモニタされるロード・プログラム状況ワードまたはロード制御を発行することをさらに含む、請求項１に記載の方法。
3. 前記フェッチすることに応答して、前記セキュア・インターフェース制御によって、前記プログラム状況ワードまたは制御レジスタをロードすることをさらに含む、請求項１または２に記載の方法。
4. 前記信頼されないエンティティによって、保留およびイネーブルされた割り込みの優先順位付けをして、前記最高優先順位のイネーブルされたゲスト割り込みを決定することをさらに含む、請求項１～３のいずれか一項に記載の方法。
5. 前記信頼されないエンティティによって、前記最高優先順位のイネーブルされたゲスト割り込みに対する割り込み情報を非セキュア・ストレージに記憶することをさらに含む、請求項１～４のいずれか一項に記載の方法。
6. 前記信頼されないエンティティは、状態記述に前記割り込み情報を提供する、請求項５に記載の方法。
7. 前記信頼されないエンティティは、前記セキュア・インターフェース制御に前記割り込み情報を提供するための命令を発行し、前記割り込み情報は前記命令に対するパラメータとして渡される、請求項５に記載の方法。
8. 前記割り込みの前記挿入が無効と判定されたときに、前記セキュア・インターフェース制御によって、前記信頼されないエンティティに例外を発行することをさらに含む、請求項１～７のいずれか一項に記載の方法。
9. 前記挿入された割り込みを受信したことに応答して、前記セキュア・エンティティによって割り込みハンドラを実行することをさらに含む、請求項１～８のいずれか一項に記載の方法。
10. 前記セキュア・エンティティはセキュア・ゲストを含み、前記信頼されないエンティティはハイパーバイザを含む、請求項９に記載の方法。
11. 自身によって具現化されるプログラム命令を有するコンピュータ可読ストレージ媒体を含むコンピュータ・プログラム製品であって、前記プログラム命令はコンピュータによって実行可能であることで、
    割り込みをイネーブルする命令に対する部分的な命令解釈を提供するコンピュータのセキュア・インターフェース制御によって、セキュア・ゲスト・ストレージからプログラム状況ワードまたは制御レジスタ値をフェッチすることと、
    前記セキュア・インターフェース制御によって、信頼されないエンティティにゲスト割り込みマスク更新を通知することであって、前記信頼されないエンティティは、前記信頼されないエンティティにおいて実行されるセキュア・エンティティの動作をサポートするために、前記セキュア・インターフェース制御を介して、前記コンピュータのハードウェアにおいて実行され、それと通信する、前記通知することと、
    前記セキュア・インターフェース制御によって、前記ゲスト割り込みマスク更新を前記通知することに応答して、最高優先順位のイネーブルされたゲスト割り込みを提供する要求を前記信頼されないエンティティから受信することと、
    前記セキュア・インターフェース制御によって、ゲスト・プレフィックス・ページに割り込み情報を移動し、前記割り込みの挿入が有効と判定されたときに前記セキュア・エンティティに前記割り込みを挿入することと
    の動作を行わせる、コンピュータ・プログラム製品。
12. 前記プログラム命令は、
    前記セキュア・エンティティによって、前記信頼されないエンティティによってモニタされるロード・プログラム状況ワードまたはロード制御を発行することを行わせるためにさらに実行可能である、請求項１１に記載のコンピュータ・プログラム製品。
13. 前記プログラム命令は、
    前記フェッチすることに応答して、前記セキュア・インターフェース制御によって、前記プログラム状況ワードまたは制御レジスタをロードすることを行わせるためにさらに実行可能である、請求項１１または１２に記載のコンピュータ・プログラム製品。
14. 前記プログラム命令は、
    前記信頼されないエンティティによって、保留およびイネーブルされた割り込みの優先順位付けをして、前記最高優先順位のイネーブルされたゲスト割り込みを決定することを行わせるためにさらに実行可能である、請求項１１～１３のいずれか一項に記載のコンピュータ・プログラム製品。
15. 前記プログラム命令は、
    前記信頼されないエンティティによって、前記最高優先順位のイネーブルされたゲスト割り込みに対する割り込み情報を非セキュア・ストレージに記憶することを行わせるためにさらに実行可能である、請求項１１～１４のいずれか一項に記載のコンピュータ・プログラム製品。
16. 前記信頼されないエンティティは、状態記述に前記割り込み情報を提供する、請求項１５に記載のコンピュータ・プログラム製品。
17. 前記信頼されないエンティティは前記セキュア・インターフェース制御に前記割り込み情報を提供するための命令を発行し、前記割り込み情報は前記命令に対するパラメータとして渡される、請求項１５に記載のコンピュータ・プログラム製品。
18. 前記プログラム命令は、
    前記割り込みの前記挿入が無効と判定されたときに、前記セキュア・インターフェース制御によって、前記信頼されないエンティティに例外を発行することを行わせるためにさらに実行可能である、請求項１１～１７のいずれか一項に記載のコンピュータ・プログラム製品。
19. 前記プログラム命令は、
    前記挿入された割り込みを受信したことに応答して、前記セキュア・エンティティによって割り込みハンドラを実行することを行わせるためにさらに実行可能である、請求項１１～１８のいずれか一項に記載のコンピュータ・プログラム製品。
20. 前記セキュア・エンティティはセキュア・ゲストを含み、前記信頼されないエンティティはハイパーバイザを含む、請求項１９に記載のコンピュータ・プログラム製品。
21. 割り込みをイネーブルする命令に対する部分的な命令解釈を提供するコンピュータのセキュア・インターフェース制御を含むシステムであって、前記システムは、
    前記セキュア・インターフェース制御によって、セキュア・ゲスト・ストレージからプログラム状況ワードまたは制御レジスタ値をフェッチすることと、
    前記セキュア・インターフェース制御によって、信頼されないエンティティにゲスト割り込みマスク更新を通知することであって、前記信頼されないエンティティは、前記信頼されないエンティティにおいて実行されるセキュア・エンティティの動作をサポートするために、前記セキュア・インターフェース制御を介して、前記コンピュータのハードウェアにおいて実行され、それと通信する、前記通知することと、
    前記セキュア・インターフェース制御によって、前記ゲスト割り込みマスク更新を前記通知することに応答して、最高優先順位のイネーブルされたゲスト割り込みを提供する要求を前記信頼されないエンティティから受信することと、
    前記セキュア・インターフェース制御によって、ゲスト・プレフィックス・ページに割り込み情報を移動し、前記割り込みの挿入が有効と判定されたときに前記セキュア・エンティティに前記割り込みを挿入することと
    の動作を提供するために実行可能である、システム。
22. 前記システムは、
    前記セキュア・エンティティによって、前記信頼されないエンティティによってモニタされるロード・プログラム状況ワードまたはロード制御を発行することの動作を提供するために実行可能である、請求項２１に記載のシステム。
23. 前記システムは、
    前記フェッチすることに応答して、前記セキュア・インターフェース制御によって、前記プログラム状況ワードまたは制御レジスタをロードすることの動作を提供するために実行可能である、請求項２１または２２に記載のシステム。
24. 前記システムは、
    前記信頼されないエンティティによって、保留およびイネーブルされた割り込みの優先順位付けをして、前記最高優先順位のイネーブルされたゲスト割り込みを決定することの動作を提供するために実行可能である、請求項２１～２３のいずれか一項に記載のシステム。
25. 前記システムは、
    前記信頼されないエンティティによって、前記最高優先順位のイネーブルされたゲスト割り込みに対する割り込み情報を非セキュア・ストレージに記憶することの動作を提供するために実行可能である、請求項２１～２４のいずれか一項に記載のシステム。

Images