JP2022522485A - 割り込み及び例外をセキュア仮想マシンにインジェクトする - Google Patents

Abstract

本発明の１つ又は複数の実施形態によると、コンピュータ実施方法が、ホスト・サーバ上で実行されている非セキュア・エンティティによって、セキュア・エンティティを開始することであって、非セキュア・エンティティは、セキュア・エンティティのあらゆるデータに直接アクセスすることが禁止されている、開始することを含む。方法は、ホスト・サーバによって生成される割り込みをセキュア・エンティティにインジェクトすることをさらに含む。インジェクトすることは、非セキュア・エンティティによって、割り込みについての情報を、セキュア・エンティティと関連付けられた非セキュア・ストレージの部分に追加することを含む。インジェクトすることは、ホスト・サーバのセキュア・インターフェース制御によって、割り込みをセキュア・エンティティにインジェクトすることをさらに含む。

Description

本出願は、コンピュータ・テクノロジーに関し、より具体的には、仮想マシン又はコンテナに関する。

クラウド・コンピューティングは、顧客がハードウェアを購入すること、又は物理サーバのためのフロアスペースを提供することを必要とせずに、顧客が迅速かつ容易に仮想マシンをプロビジョニングする能力を促進する。顧客は、好みの変化に応じて、仮想マシンを拡張又は縮小することができる。一般的に、クラウド・コンピューティング・プロバイダは、プロバイダのデータセンタに物理的に常駐する仮想マシンをプロビジョニングする。この環境においては、顧客の仮想マシンは、ゲストとして動作しており、クラウド・プロバイダは、ホストとして動作するハイパーバイザ・コードを用いて、異なる顧客に属する可能性がある複数の仮想マシン間でサーバ・リソースを仮想化する。

顧客は、多くの場合、仮想マシンにおけるデータのセキュリティについて懸念している。顧客は、自身のコード及びデータとクラウド・コンピューティング・プロバイダとの間のセキュリティ、又は、自身のデータ間のセキュリティだけでなく、自身のコード及びデータとプロバイダのサイトで動作している他のＶＭとの間のセキュリティを、要求することがある。プロバイダの管理者からのセキュリティ、並びにマシン上で動作している（ハイパーバイザ・コードを含む）他のコードにおける潜在的なセキュリティ違反に対するセキュリティが、顧客によって要求されることがある。これらの管理者及び他のコードは、悪意のある意図をもって行動していることがある。

一般に、ホスト・ハイパーバイザの制御下でゲストとして動作しているＶＭは、そのハイパーバイザに依存してそのゲストのための仮想化サービスをトランスペアレントに提供する。これらのサービスには、メモリ管理、命令エミュレーション及び割り込み処理が含まれる。

本発明の１つ又は複数の実施形態によると、コンピュータ実施方法が、ホスト・サーバ上で実行されている非セキュア・エンティティによって、セキュア・エンティティを開始することであって、非セキュア・エンティティは、セキュア・エンティティが明示的に共有していない、セキュア・エンティティのあらゆるデータに直接アクセスすることが禁止されている、開始することを含む。方法は、ホスト・サーバによって生成される割り込みをセキュア・エンティティにインジェクトすることをさらに含む。インジェクトすることは、非セキュア・エンティティによって、割り込みについての情報を、セキュア・エンティティと関連付けられた非セキュア・ストレージの部分に追加することを含む。インジェクトすることは、ホスト・サーバのセキュア・インターフェース制御によって、割り込みをセキュア・エンティティにインジェクトすることをさらに含む。１つ又は複数の例において、セキュア・エンティティは、セキュア仮想マシン、コンテナ、又はゲストである。１つ又は複数の例において、非セキュア・エンティティは、ハイパーバイザ、ＯＳ、又はホストである。

本発明の１つ又は複数の実施形態によると、方法は、インジェクトすることの前に、セキュア・インターフェース制御によって、割り込みをセキュア・エンティティにインジェクトすることが許可されているかどうかを判断することをさらに含み、インジェクトすることは、割り込みをセキュア・エンティティにインジェクトすることが許可されているとの判断に基づいて行われる。１つ又は複数の例において、セキュア・インターフェース制御は、セキュア・エンティティについての所定の許可可能な割り込みのリストに基づいて、割り込みをセキュア・エンティティにインジェクトすることが許可されていると判断する。許可可能な割り込みのリストは、そのセキュア・エンティティに固有のものである。

本発明の１つ又は複数の実施形態によると、割り込みについての情報は、割り込みをインジェクトするための識別子と、割り込みと関連付けられた１つ又は複数のパラメータとを含む。１つ又は複数の例において、方法は、インジェクトすることの前に、セキュア・インターフェース制御によって、割り込み及び１つ又は複数のパラメータをセキュア・エンティティにインジェクトすることが許可されているかどうかを判断することをさらに含み、インジェクトすることは、割り込み及び１つ又は複数のパラメータをセキュア・エンティティにインジェクトすることが許可されているとの判断に基づいて行われる。

１つ又は複数の例において、方法は、非セキュア・エンティティによってインジェクトする前に、セキュア・エンティティと関連付けられたプロセッサをアンディスパッチすることをさらに含む。さらに、非セキュア・エンティティによって割り込みについての情報を追加した後、仮想プロセッサを再ディスパッチしてセキュア・エンティティの動作を再開する。

本発明の１つ又は複数の実施形態によると、方法は、割り込みをセキュア・エンティティにインジェクトすることが許可されていないとの判断に応答して、セキュア・インターフェース制御によって、エラーを非セキュア・エンティティに示すことをさらに含む。

本発明の１つ又は複数の実施形態によると、セキュア・インターフェース制御は、ハードウェア、ミリコード、及び他の信頼できるファームウェアを含む。

さらに、本発明の１つ又は複数の実施形態によると、コンピュータ実施形態方法は、ホスト・サーバの非セキュア・エンティティ上で実行されているセキュア・エンティティによって、非セキュア・エンティティに転送される条件を生成する命令を実行することであって、非セキュア・エンティティは、セキュア・エンティティが明示的に共有していない、セキュア・エンティティのあらゆるデータに直接アクセスすることが禁止されている、実行することを含む。方法は、命令を実行したセキュア・エンティティと関連付けられたプロセッサをアンディスパッチし、次に、非セキュア・インティティが命令をエミュレートすることを含む。方法は、非セキュア・エンティティによって、割り込み又はプログラム例外をセキュア・エンティティに配信すべきかどうかを判断し、そのような判断に基づいて、セキュア・エンティティへの割り込み又はプログラム例外を、非セキュア・エンティティにインジェクトすることをさらに含む。割り込みをインジェクトすることは、割り込み又はプログラム例外が命令のエミュレーションによって発生することに基づいて、非セキュア・エンティティによって、割り込み又はプログラム例外についての情報をセキュア・エンティティと関連付けられた非セキュア・ストレージの部分に追加することを含む。割り込みをインジェクトすることは、セキュア・エンティティと関連付けられたプロセッサを再開してセキュア・エンティティの動作を再開することをさらに含む。

本発明の１つ又は複数の実施形態によると、方法は、インジェクトすることの前に、セキュア・インターフェース制御によって、セキュア・エンティティへのインジェクトのために、プログラム例外が有効かどうかを判断することをさらに含み、インジェクトすることは、セキュア・エンティティへのインジェクトのために、プログラム例外が有効であるとの判断に基づいて行われる。１つ又は複数の例において、セキュア・インターフェース制御は、命令に対応する所定の例外のリストに基づいて、プログラム例外が有効であることを判断する。１つ又は複数の例において、プログラム例外についての情報は、インジェクトされるプログラム例外についての識別子と、プログラム例外と関連付けられた１つ又は複数のパラメータとを含む。

上述の特徴は、少なくともシステム、コンピュータ・プログラム製品及びマシンによって提供することもできる。

付加的な技術的特徴及び利点が、本発明の技術を通じて実現される。本発明の実施形態及び態様は、本明細書において詳細に記載され、特許請求される主題の一部であると考えられる。よりよい理解のために、詳細な説明及び図面を参照されたい。

本明細書に記載された排他的権利の詳細は、明細書の結論部分にある特許請求の範囲において具体的に指摘され、明確に特許請求されている。本発明の実施形態の上記及び他の特徴と利点は、添付図面と共に以下の詳細な説明を読むことから明らかになる。

本発明の実施形態によるクラウド・コンピューティング環境を示す。 本発明の実施形態による抽象化モデル層を示す。 実施形態による、ホスティング・システムのための例示的システムを示す。 実施形態による、ホスティング・システムの例示的ブロック図を示す。 本発明の１つ又は複数の実施形態による、セキュア・インターフェース制御が、割り込みの通知をセキュアＶＭに与えるための例示的方法のフローチャートを示す。 本発明の１つ又は複数の実施形態による、セキュアＶＭが、非セキュア・エンティティにおいて例外を発生させるための例示的方法のフローチャートを示す。

本発明の種々の実施形態が、関連する図面を参照して本明細書で説明される。本発明の範囲から逸脱することなく、本発明の代替的な実施形態を考え出すこともできる。以下の説明及び図面においては、要素の間の種々の接続及び位置関係（例えば、上方（over）、下方（below）、隣接（adjacent）等）が述べられている。これらの接続もしくは位置関係又はその両方は、特に明記されていない限り、直接的なものであっても又は間接的なものであってもよく、本発明は、この点において限定的であることを意図するものではない。従って、エンティティの結合は、直接的結合であっても又は間接的結合であってもよく、エンティティ間の位置関係は、直接的な位置関係であっても又は間接的な位置関係であってもよい。さらに、本明細書に記載される様々なタスク及びプロセス・ステップは、本明細書で詳細に説明されていない付加的なステップ又は機能を有する、より包括的な手順又はプロセスに組み込むこともできる。

以下の定義及び略語が、特許請求の範囲及び明細書の解釈に用いられる。本明細書で用いられる場合、「含む（comprises）」、「含んでいる（comprising）」、「含む（includes）」、「含んでいる（including）」、「有する（has）」、「有している（having）」、「包含する（contains）」もしくは「包含している（containing）」という用語、又はそれらの任意の他の変形は、非排他的な包含をカバーすることが意図されている。例えば、要素のリストを含む組成物、混合物、プロセス、方法、物品、又は装置は、必ずしもそれらの要素のみに限定されるものではなく、明示的に列挙されていない他の要素、又は、そのような組成物、混合物、プロセス、方法、物品、もしくは装置に内在する他の要素を含むことができる。

さらに、「例示的」という用語は、本明細書では「例、実例、又は例証として機能する」ことを意味するように用いられる。「例示的」であるとして本明細書に記載されるいずれの実施形態又は設計も、他の実施形態又は設計と比較して、必ずしも、好適である又は有利であると解釈されるべきではない。「少なくとも１つ」及び「１つ又は複数」という用語は、１よりも大きい又は１に等しい任意の整数、すなわち１、２、３、４などを含むように理解することができる。「複数の」という用語は、２よりも大きい又は２に等しい任意の整数、すなわち２、３、４、５などを含むように理解することができる。「接続」という用語は、間接的「接続」及び直接的「接続」の両方を含むことができる。

「約（about）」、「実質的に（substantially）」、「およそ（approximately）」という用語及びそれらの変形は、本出願時に利用可能な機器に基づいて、特定の量の測定と関連した誤差の程度を含むように意図される。例えば、「約」は、所与の値の±８％又は５％、又は２％の範囲を含むことができる。

簡潔にするために、本発明の態様の作成及び使用に関連する従来の技術については、本明細書で詳細に説明される場合も又は説明されない場合もある。特に、本明細書で説明される種々の技術的特徴を実装するためのコンピューティング・システムの種々の態様及び特定のコンピュータ・プログラムは周知である。従って、簡略にするために、本明細書では、多くの従来の実装の詳細については、周知のシステムもしくはプロセスの詳細又はその両方を与えることなく、単に簡潔に述べられるか又は完全に省略される。

典型的なクラウド環境に関する技術的問題は、（例えば、クラウド・プロバイダ又はクラウド管理者による）ＶＭデータ及びアルゴリズムへの潜在的に非セキュア（unsecure）で不必要なアクセスである。クラウド・プロバイダは、一般的に、ハイパーバイザ・コードをホストとして動作させ、顧客のＶＭはゲストとして動作する。このハイパーバイザ・コードは、複数のＶＭが単一の物理マシン上で実行されるのを可能にするために必要な仮想化機能を提供する。既存のシステムにおいて、ハイパーバイザ（多くの場合、その延長線上にあるクラウド管理者）は、仮想化機能を与えるために顧客のデータの制限された部分にアクセスしなければならない場合には、そのデータ及びアルゴリズムにアクセスすることができる。１つの仮想化の例は、ハイパーバイザによるＩ／Ｏ操作の処理である。これは、多数の仮想化ゲストについてのＩ／Ｏ操作を仮想化する複雑さのために必要である。この仮想化の第１の部分は、ゲストが、要求、例えばＩ／Ｏ要求ｘを開始するためにＩ／Ｏ命令を発行したときに始まる。これは、ハイパーバイザによる、Ｉ／Ｏ命令のゲスト・オペランド（レジスタ及びストレージの両方）へのアクセスを必要とする。この命令に応答して、ハイパーバイザは、適切な制御ブロック構造を更新してその要求を追跡し、ハードウェアにおけるＩ／Ｏ要求を開始する。これらの制御ブロック構造は、ハードウェア／ファームウェアによって使用され、関連したＩ／Ｏ割り込みｘがディスパッチされる場合には、それをゲストに直接提示することができる。しかしながら、このＩ／Ｏ要求が完了するのを待っている間にゲストが使用可能な待機状態に入る場合には、このゲストはいずれのワークも行っていないため、ハイパーバイザは、行うべきワークを有する別のゲストをハードウェア上にディスパッチすることができる。これを行うために、ハイパーバイザは、（ハードウェア／ファームウェアの助けを借りて）Ｉ／Ｏ割り込みｘがいつ保留になるかを監視し、仮想化の観点から該当する場合には、それをゲストに提示してゲストを再ディスパッチする。これを行うため、ハイパーバイザは、Ｉ／Ｏ割り込み情報を用いてゲストのプリフィックス・ページを更新し、ディスパッチする前にゲストのＩ／Ｏ割り込みハンドラを指し示すように、ゲストの命令アドレスを更新する。これには、ゲストのストレージ及びゲストの状態（命令アドレス）の両方にアクセスする必要がある。この機能及び同様の機能を提供するために、ハイパーバイザは、一般的に、マシン内のゲスト（ＶＭ）の状態及びストレージにアクセスする無制限の特権を有しており、この無制限の特権は、本明細書で説明されるように、非セキュアで信頼できない可能性があり、従って顧客にとっては好ましくない。しかしながら、ハイパーバイザは非セキュア・エンティティである可能性があり、ＶＭはセキュア・エンティティである。１つ又は複数の例において、セキュア・エンティティは、仮想コンテナ又はゲストをさらに含むことができる。１つ又は複数の例において、非セキュア・エンティティは、ＶＭにおいてインスタンス化されるオペレーティング・システムをさらに含むことができる。１つ又は複数の例において、ホスト１０もまた、非セキュア・エンティティと見なすことができる。従って、本発明の１つ又は複数の実施形態は、ハイパーバイザの特権を制限し、セキュアなゲストのファシリティへのアクセスを許可することなくハイパーバイザによって処理される、Ｉ／Ｏ操作の場合のような操作の完了をさらに容易にする。

ホスト・ハイパーバイザの制御下でゲストとして実行されている仮想マシン（ＶＭ）は、そのハイパーバイザに依存してそのゲストのための仮想化サービスをトランスペアレントに提供する。これらのサービスは、これらに限定されるものではないが、メモリ管理、命令エミュレーション、及び割り込み処理を含むことができる。本発明の１つ又は複数の実施形態によって提供される技術的な解決法は、セキュア・エンティティと、従来、この他のエンティティによるセキュア・リソースへのアクセスを可能にする別の信頼できないエンティティとの間のあらゆるインターフェースに適用することができる。例えば、割り込み及び例外エミュレーションのために、ハイパーバイザは、一般的に、ゲストのプレフィックス領域（低コア）の読み取り若しくはプレフィックス領域への書き込み又はその両方を行う。本明細書で用いられる場合には、「仮想マシン」又は「ＶＭ」という用語は、物理マシン（コンピューティング・デバイス、プロセッサ等）及びその処理環境（オペレーティング・システム（ＯＳ）、ソフトウェア・リソース等）の論理表現を指す。仮想マシンの状態は、基盤となるホスト・マシン（物理プロセッサ又はプロセッサのセット）上で実行されるハイパーバイザによって維持される。ユーザ又はソフトウェア・リソースの観点から、仮想マシンは、それ自体の独立した物理マシンであるように見える。本明細書で用いられる場合には、「ハイパーバイザ」又は「ＶＭモニタ（ＶＭＭ）」という用語は、複数のＶＭを管理して、それらが同じホスト・マシン上の複数の（多くの場合、異なる）ＯＳを用いて実行することを可能にする処理環境又はプラットフォーム・サービスを指す。ＶＭをデプロイすることは、ＶＭのインストール・プロセス及びＶＭのアクティブ化（又は開始）プロセスを含むことを理解されたい。別の例において、ＶＭをデプロイすることは、ＶＭのアクティブ化（又は開始）プロセスを含む（例えば、ＶＭが既にインストールされている場合又は既に存在する場合）。

現在利用可能な技術的解決法において、ハイパーバイザ（例えば、ＩＢＭ（登録商標）によるｚ／ＶＭ（登録商標）又はオープン・ソース・ソフトウェア・カーネル・ベースの仮想マシン（ＫＶＭ））は、ＳＩＥエントリ・ミリコードを呼び出させるＳｔａｒｔ－Ｉｎｔｅｒｐｒｅｔｉｖｅ－Ｅｘｅｃｕｔｉｏｎ（ＳＩＥ）命令を発行することによって、物理処理ユニット又はホスト・サーバ上に新しいＶＭの仮想ＣＰＵ（ｖＣＰＵ）をディスパッチする。ＳＩＥ命令のオペランドは、ゲストの状態を含む、状態記述（state description、ＳＤ）と呼ばれる制御ブロックである。既存の実装において、この状態記述は、ハイパーバイザ・ストレージ内にある。ＳＩＥ Ｅｎｔｒｙの際、このゲスト状態（汎用及び制御レジスタ、ゲスト命令・アドレス及びゲスト・プログラム状態語（ＰＳＷ））が、ミリコードによってハードウェアにロードされる。これにより、ゲストｖＣＰＵが物理プロセッサ上で実行されることが可能になる。ｖＣＰＵがハードウェア上で実行される間、ゲスト状態は、ハードウェアにおいて維持される。ある時点で、ハードウェア／ミリコードは、制御をハイパーバイザに戻さなくてはならない。これは、ＳＩＥ Ｅｘｉｔと呼ばれることが多い。これは、例えば、このｖＣＰＵがハイパーバイザによるエミュレーションを必要とする命令を実行する場合、又はｖＣＰＵのタイム・スライス（すなわち、このｖＣＰＵが物理プロセッサ上で実行されるために、このｖＣＰＵのために割り当てられた時間）が満了した場合に必要とされる場合がある。ＳＩＥ Ｅｘｉｔの際、ハードウェアは、任意の時点で単一のｖＣＰＵのみをサポートするためのリソースを有しており、ハイパーバイザ状態をハードウェアにロードしなければならないので、ミリコードは、現在のゲスト状態を状態記述に保存する。このｖＣＰＵがディパッチされない間、その状態は状態記述に維持される。この状態記述は、ハイパーバイザ・ストレージ内にあるので、このような場合、ハイパーバイザは、ＶＭについてのデータを制御し、このような制御は、場合によっては、ＶＭ上で実行されている命令をエミュレートするために必要とされる。既存のハイパーバイザは、ｖＣＰＵをディスパッチするために、ＳＩＥ命令を通じたこのようなインターフェースの使用に依存する。

しかしながら、セキュア・ゲストを容易にするために、ホスティング・ノードなどのコンピュータ・サーバが、ハイパーバイザとセキュア・ゲストとの間のさらなるセキュリティを提供しなければならず、その結果、ハイパーバイザはＶＭからのデータにアクセスすることができず、従って、上述の方法でサービスを提供できないという、技術的問題が存在する。

幾つかの命令、例えば入力／出力（Ｉ／Ｏ）操作は、ハイパーバイザに委ねられる。従って、ハイパーバイザは、それらの命令の解釈を行わなければならず、そのことによって、多くの場合、例えば、無効なパラメータ又はオペランドが指定されたときに、ゲスト例外（プログラム割り込み）が発生する可能性がある。これは、ハイパーバイザだけが、どのパラメータ又はオペランドが有効であるかの知識を有するが、例外（プログラム例外）をセキュア・ゲスト、つまりセキュアＶＭに直接提示することができないという状況をもたらし、従って、ハイパーバイザによって、セキュア・インターフェース制御を通じて割り込みをゲストにインジェクトすることを可能にする新しいインターフェースが提供される。さらに、ハイパーバイザがセキュアＶＭの代わりに外部割り込み又はＩ／Ｏ割り込みを監視している幾つかの状況においては、ハイパーバイザはまた、外部割り込み又はＩ／Ｏ割り込みをＶＭに提示できなければならない。

本明細書で説明されるセキュア実行は、セキュア・ストレージと非セキュア・ストレージとの間だけでなく、異なるセキュア・ユーザに属するセキュア・ストレージの間の分離を保証するためのハードウェア機構を提供する。セキュア・ゲストに対しては、付加的なセキュリティが、「信頼できない」非セキュア・ハイパーバイザとセキュア・ゲストとの間に与えられる。これを行うために、ハイパーバイザが一般にゲストの代わりに行う機能の多くを、マシンに組み込むことが必要である。ハイパーバイザとセキュア・ゲストとの間のセキュア・インターフェースを提供する新しいセキュア・インターフェース制御が、本明細書で説明される。本明細書では、セキュア・インターフェース制御及びＵＶという用語は、交換可能に使用される。セキュア・インターフェース制御は、ハードウェアと協働して機能し、この付加的なセキュリティを提供する。さらに、下位レベルのハイパーバイザは、この信頼できないハイパーバイザのための仮想化を提供することができ、この下位レベルのハイパーバイザが信頼できるコードで実装される場合、それもまたセキュア・インターフェース制御の一部とすることができる。
。

一例では、セキュア・インターフェース制御は、内部のセキュアかつ信頼できるハードウェアもしくはファームウェア又はその両方で実装される。セキュア・ゲスト又はエンティティのために、セキュア・インターフェース制御は、セキュア環境の初期化及び保守、並びにハードウェア上のこれらのセキュア・エンティティのディスパッチの連携を提供する。セキュア・ゲストは、データをアクティブに使用し、ホスト・ストレージ内に常駐している間、セキュア・ストレージ内で「安全に（in the clear）」保持される。セキュア・ゲスト・ストレージには、その単一のセキュア・ゲストがアクセスすることができ、これは、ハードウェアによって厳格に実施される。つまり、ハードウェアは、あらゆる非セキュア・エンティティ（ハイパーバイザ又は他の非セキュア・ゲストを含む）又は異なるセキュア・ゲストがそのデータにアクセスするのを防止する。この例において、セキュア・インターフェース制御は、ファームウェアの最下位レベルの信頼できる部分として実行される。最下位レベル又はミリコードは、実際には、ハードウェアの延長であり、例えば、ＩＢＭのｚＡｒｃｈｉｔｅｃｔｕｒｅ（登録商標）において定められる複雑な命令及び機能を実施するために使用される。ミリコードは、セキュア実行の文脈において、自身のセキュアＵＶストレージ、非セキュア・ハイパーバイザ・ストレージ、セキュア・ゲスト・ストレージ及び共有ストレージを含む、ストレージの全ての部分にアクセスすることができる。本明細書において、ストレージ及びメモリという用語は、交換可能に使用される。これにより、セキュア・ゲストが必要とする、又はそのゲストを支援するハイパーバイザが必要とする、あらゆる機能を与えることが可能になる。セキュア・インターフェース制御は、ハードウェアに直接アクセスすることもでき、それにより、ハードウェアが、セキュア・インターフェース制御によって確立された状況の制御下で、セキュリティ・チェックを効率的に提供することが可能になる。

本発明の１つ又は複数の実施形態は、ハードウェア又はファームウェアが割り込みをＶＭにインジェクトすることを可能にする新しいインターフェースを提供することによって、そうした技術的問題に対処する。さらに、本発明の１つ又は複数の実施形態は、ハイパーバイザがサービスをＶＭに提供することを依然として可能にしながら、そうしたさらなるセキュリティを提供する。このことは、セキュア・ゲスト・ファシリティにアクセスし、一般的にはゲストの代わりにハイパーバイザによって行われる機能又は機能の部分を、新しい「セキュア・インターフェース制御」に組み込むことによって行われる。本発明の１つ又は複数の実施形態によって使用されるインジェクト手法は、ハイパーバイザがインジェクトする必要があり得るあらゆる割り込みタイプに適用することができる。１つ又は複数の例において、そうした機能は、ミリコードもしくは他のハードウェア・モジュール又はその両方を用いて提供することができ、本説明では、まとめて、セキュア・インターフェース制御によって提供される機能と呼ぶ。ミリコードは、プロセッサ・ハードウェアの拡張として動作する信頼できるファームウェアである。従って、本発明の１つ又は複数の実施形態は、ハイパーバイザが、割り込みをセキュア・ゲストにセキュアにかつ安全にインジェクトし、このゲストによって処理される必要がある割り込み条件が発生したことを、セキュア・インターフェース制御を通じて通信するのを容易にする。

ここで背景技術の簡単な説明が続き、その後、割り込みもしくは例外又はその両方を、ハイパーバイザによってセキュアＶＭにインジェクトするための本発明の１つ又は複数の実施形態により使用される特定の特徴が説明される。本開示はクラウド・コンピューティングに関する詳細な説明を含むが、本明細書に記載される教示の実装は、クラウド・コンピューティング環境に限定されないことが予め理解される。むしろ、本発明の実施形態は、現在知られている又は後に開発される任意の他のタイプのコンピューティング環境と関連して実施することが可能である。

クラウド・コンピューティングは、最小限の管理労力又はサービス・プロバイダとの対話で迅速にプロビジョニング及び解放することができる構成可能なコンピューティング・リソース（例えば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、及びサービス）の共有プールへの、便利なオンデマンドのネットワークアクセスを可能にするためのサービス配信のモデルである。このクラウドモデルは、少なくとも５つの特徴、少なくとも３つのサービスモデル、及び少なくとも４つのデプロイメント・モデルを含むことができる。

特徴は、以下の通りである。

オンデマンド・セルフ・サービス：クラウド・コンシューマは、必要に応じて、サーバ時間及びネットワーク・ストレージ等のコンピューティング機能を、人間がサービスのプロバイダと対話する必要なく自動的に、一方的にプロビジョニングすることができる。

広範なネットワークアクセス：機能は、ネットワーク上で利用可能であり、異種のシン又はシック・クライアント・プラットフォーム（例えば、携帯電話、ラップトップ、及びＰＤＡ）による使用を促進する標準的な機構を通じてアクセスされる。

リソースのプール化：プロバイダのコンピューティング・リソースは、マルチテナント・モデルを用いて、異なる物理及び仮想リソースを要求に応じて動的に割り当て及び再割り当てすることにより、複数のコンシューマにサービスを提供するためにプールされる。コンシューマは、一般に、提供されるリソースの正確な位置についての制御又は知識を持たないという点で位置とは独立しているといえるが、より抽象化レベルの高い位置（例えば、国、州、又はデータセンタ）を特定できる場合がある。

迅速な弾力性：機能は、迅速かつ弾力的に、幾つかの場合自動的に、プロビジョニングして素早くスケールアウトし、迅速にリリースして素早くスケールインさせることができる。コンシューマにとって、プロビジョニングに利用可能なこれらの機能は、多くの場合、無制限であり、いつでもどんな量でも購入できるように見える。

サービスの測定：クラウド・システムは、サービスのタイプ（例えば、ストレージ、処理、帯域幅、及びアクティブなユーザアカウント）に適した何らかの抽象化レベルでの計量機能を用いることによって、リソースの使用を自動的に制御及び最適化する。リソース使用を監視し、制御し、報告し、利用されるサービスのプロバイダとコンシューマの両方に対して透明性をもたらすことができる。

サービスモデルは以下の通りである。

Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ（ＳａａＳ）：クラウド・インフラストラクチャ上で動作しているプロバイダのアプリケーションを使用するために、コンシューマに提供される機能である。これらのアプリケーションは、ウェブ・ブラウザ（例えば、ウェブ・ベースの電子メール）などのシン・クライアント・インターフェースを通じて、種々のクライアント・デバイスからアクセス可能である。コンシューマは、限定されたユーザ固有のアプリケーション構成設定の考え得る例外として、ネットワーク、サーバ、オペレーティング・システム、ストレージ、又は個々のアプリケーション機能をも含めて、基礎をなすクラウド・インフラストラクチャを管理又は制御しない。

Ｐｌａｔｆｏｒｍ ａｓ ａ Ｓｅｒｖｉｃｅ（ＰａａＳ）：プロバイダによってサポートされるプログラミング言語及びツールを用いて生成された、コンシューマが生成した又は取得したアプリケーションを、クラウド・インフラストラクチャ上にデプロイするために、コンシューマに提供される機能である。コンシューマは、ネットワーク、サーバ、オペレーティング・システム、又はストレージなどの基礎をなすクラウド・インフラストラクチャを管理又は制御しないが、デプロイされたアプリケーション、及び場合によってはアプリケーションホスティング環境構成に対して制御を有する。

Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ（ＩａａＳ）：コンシューマが、オペレーティング・システム及びアプリケーションを含み得る任意のソフトウェアをデプロイ及び動作させることができる、処理、ストレージ、ネットワーク、及び他の基本的なコンピューティング・リソースをプロビジョニンングするために、コンシューマに提供される機能である。コンシューマは、基礎をなすクラウド・インフラストラクチャを管理又は制御しないが、オペレーティング・システム、ストレージ、デプロイされたアプリケーションに対する制御、及び場合によってはネットワーク・コンポーネント（例えば、ホストのファイアウォール）選択の限定された制御を有する。

デプロイメント・モデルは以下の通りである。

プライベート・クラウド：クラウド・インフラストラクチャは、ある組織のためだけに運営される。このクラウド・インフラストラクチャは、その組織又は第三者によって管理することができ、構内又は構外に存在することができる。

コミュニティ・クラウド：クラウド・インフラストラクチャは、幾つかの組織によって共有され、共通の関心事項（例えば、任務、セキュリティ要件、ポリシー、及びコンプライアンス上の考慮事項）を有する特定のコミュニティをサポートする。クラウド・インフラストラクチャは、その組織又は第三者によって管理することができ、オンプレミス又はオフプレミスに存在することができる。

パブリック・クラウド：クラウド・インフラストラクチャは、一般公衆又は大規模な業界グループに利用可能であり、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：クラウド・インフラストラクチャは、固有のエンティティのままであるが、データ及びアプリケーションの移行性を可能にする標準化された又は専用の技術（例えば、クラウド間の負荷分散のためのクラウドバースティング）によって結び付けられる２つ又はそれより多いクラウド（プライベート、コミュニティ、又はパブリック）の混成物である。

クラウド・コンピューティング環境は、ステートレス性、低結合性、モジュール性、及びセマンティック相互運用性に焦点を置くことを指向するサービスである。クラウド・コンピューティングの中心は、相互接続されたノードのネットワークを含むインフラストラクチャである。

ここで図１を参照すると、例示的なクラウド・コンピューティング環境５０が示される。図示のように、クラウド・コンピューティング環境５０は、例えば、携帯情報端末（ＰＤＡ）又は携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、もしくはコンピュータ・システム５４Ｎ又はそれらの組み合わせなどのような、クラウド・コンシューマによって用いられるローカル・コンピューティング・デバイスと通信することができる、１つ又は複数のクラウド・コンピューティング・ノード１０を含む。ノード１０は、互いに通信することができる。これらのノードは、上述のようなプライベート・クラウド、コミュニティ・クラウド、パブリック・クラウド、もしくはハイブリッド・クラウド、又はこれらの組み合わせなど、１つ又は複数のネットワークにおいて物理的又は仮想的にグループ化することができる（図示せず）。このことは、クラウド・コンピューティング環境５０が、クラウド・コンシューマがローカル・コンピューティング・デバイス上にリソースを保持する必要のない、ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ａｓ ａ ｓｅｒｖｉｃｅ、ｐｌａｔｆｏｒｍ ａｓ ａ ｓｅｒｖｉｃｅ、もしくはｓｏｆｔｗａｒｅ ａｓ ａ ｓｅｒｖｉｃｅ又はそれらの組み合わせを提供することを可能にする。図１に示されるコンピューティング・デバイス５４Ａ～Ｎのタイプは単に例示であることを意図し、コンピューティング・ノード１０及びクラウド・コンピューティング環境５０は、任意のタイプのネットワーク上でもしくはネットワーク・アドレス指定可能な接続（例えば、ウェブ・ブラウザを用いる）上で又はその両方で、任意のタイプのコンピュータ化されたデバイスと通信できることを理解されたい。

ここで図２を参照すると、クラウド・コンピューティング環境５０（図１）によって提供される機能抽象化層のセットが示される。図２に示されるコンポーネント、層、及び機能は単に例示であることを意図し、本発明の実施形態はそれらに限定されないことを予め理解されたい。図示されるように、以下の層及び対応する機能が提供される。

ハードウェア及びソフトウェア層６０は、ハードウェア及びソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例として、メインフレーム６１と、ＲＩＳＣ（Reduced Instruction Set Computer（縮小命令セットコンピュータ））アーキテクチャ・ベースのサーバ６２と、サーバ６３と、ブレード・サーバ６４と、ストレージ・デバイス６５と、ネットワーク及びネットワーク・コンポーネント６６と、が含まれる。幾つかの実施形態において、ソフトウェア・コンポーネントは、ネットワーク・アプリケーション・サーバ・ソフトウェア６７と、データベース・ソフトウェア６８とを含む。

仮想化層７０は、抽象化層を提供し、この層により、仮想エンティティの以下の例、すなわち、仮想サーバ７１、仮想ストレージ７２、仮想プライベート・ネットワークを含む仮想ネットワーク７３、仮想アプリケーション及びオペレーティング・システム７４、並びに仮想クライアント７５を提供することができる。

一例においては、管理層８０は、以下で説明される機能を提供することができる。リソース・プロビジョニング８１は、クラウド・コンピューティング環境内でタスクを実行するために利用されるコンピューティング・リソース及び他のリソースの動的な調達を提供する。計量及び価格決定８２は、クラウド・コンピューティング環境内でリソースが利用される際のコスト追跡と、これらのリソースの消費に対する課金又は請求とを提供する。一例において、これらのリソースは、アプリケーション・ソフトウェア・ライセンスを含むことができる。セキュリティは、クラウド・コンシューマ及びタスクに対する識別情報の検証と、データ及び他のリソースに対する保護とを提供する。ユーザ・ポータル８３は、コンシューマ及びシステム管理者のために、クラウド・コンピューティング環境へのアクセスを提供する。サービス・レベル管理８４、要求されるサービス・レベルが満たされるように、クラウド・コンピューティング・リソースの割り当て及び管理を提供する。サービス・レベル・アグリーメント（Service Level Agreement、ＳＬＡ）の計画及び履行８５は、ＳＬＡに従って将来の要件が予測されるクラウド・コンピューティング・リソースの事前配置及び調達を提供する。

ワークロード層９０は、クラウド・コンピューティング環境を利用することができる機能の例を提供する。この層から提供することができるワークロード及び機能の例として、マッピング及びナビゲーション９１、ソフトウェア開発及びライフサイクル管理９２、仮想教室教育配信９３、データ分析処理９４、トランザクション処理９５、及びソース・コード・バージョニング９６が挙げられる。これらが幾つかの例に過ぎず、他の実施形態において、層は異なるサービスを含み得ることを理解されたい。

図３は、本発明の１つ又は複数の実施形態による例示的なホスティング・ノード１０を示す。ホスティング・ノード１０は、ネットワーク１６５を介して、１つ又は複数のクライアント・デバイス２０Ａ～２０Ｃと直接又は間接的に通信している。ホスティング・ノード１０は、クラウド・コンピューティング・プロバイダのデータセンタ又はホスト・サーバとすることができる。ホスティング・ノード１０は、ハイパーバイザ１２を実行し、このハイパーバイザ１２は、１つ又は複数の仮想マシン１５（１５Ａ～１５Ｎ）をデプロイすることを容易にする。ホスティング・ノード１０は、ハイパーバイザ１２が、セキュア・インターフェース制御１１を含む仮想マシン１５に１又は複数のサービスを提供することを容易にする１つ又は複数のハードウェア・モジュール及びミリコードを含むハードウェア層１１をさらに含む。既存の技術的解決法においては、ハイパーバイザ１２とハードウェア／ミリコード１３との間、ハードウェア／ミリコード１３と１つ又は複数のＶＭ１５との間、ハイパーバイザ１２と１つ又は複数のＶＭ１５との間、及びハードウェア／ミリコード１３を通じたハイパーバイザ１２からＶＭ１５までの間で、通信が行われる。セキュアＶＭ環境を容易にするために、本発明の１つ又は複数の実施形態によるホスティング・ノード１０は、ハイパーバイザ１２と１つ又は複数のＶＭ１５との間にいずれの直接通信も含まず、代わりに、セキュア・インターフェース制御１１を通して通信を提供する。

例えば、ホスティング・ノード１０は、クライアント・デバイス２０Ａが仮想マシン１５Ａ～１５Ｎの１つ又は複数をデプロイするのを容易にすることができる。仮想マシン１５Ａ～１５Ｎは、異なるクライアント・デバイス２０Ａ～２０Ｃからのそれぞれの要求に応答してデプロイすることができる。例えば、クライアント・デバイス２０Ａは仮想マシン１５Ａをデプロイすることができ、クライアント・デバイス２０Ｂは仮想マシン１５Ｂをデプロイすることができ、クライアント・デバイス２０Ｃは仮想マシン１５Ｃをデプロイすることができる。ホスティング・ノード１０はまた、クライアントが、（仮想マシンとして実行されることなく）物理サーバをプロビジョニングするのを容易にすることができる。本明細書で説明される例は、ホスティング・ノード１０におけるリソースのプロビジョニングを「仮想マシン」の一部として具体化するが、説明される技術的解決法を適用して、リソースを物理サーバの一部としてプロビジョニングすることができる。

一例において、クライアント・デバイス２０Ａ～２０Ｃは、人、企業、政府機関、会社内の部署、又は他のいずれかのエンティティなどの同一のエンティティに属するものとすることができ、ホスティング・ノード１０は、エンティティのプライベート・クラウドとして運用することができる。この場合、ホスティング・ノード１０は、エンティティに属するクライアント・デバイス２０Ａ～２０Ｃによってデプロイされる仮想マシン１５Ａ～１５Ｎだけをホストする。別の例では、クライアント・デバイス２０Ａ～２０Ｃは、異なるエンティティに属するものとすることができる。例えば、第１のエンティティは、クライアント・デバイス２０Ａを所有することができ、一方、第２のエンティティは、クライアント・デバイス２０Ｂを所有することができる。この場合、ホスティング・ノード１０は、異なるエンティティからの仮想マシンをホストするパブリック・クラウドとして動作することができる。例えば、仮想マシン１５Ａ～１５Ｎは、仮想マシン１５Ａが容易に仮想マシン１５Ｂにアクセスができないシュラウド方式でデプロイすることができる。例えば、ホスティング・ノード１０は、ＩＢＭ ｚＳｙｓｔｅｍｓ（登録商標）プロセッサ・リソース／システム・マネージャ（ＰＲ／ＳＭ）論理パーティション（ＬＰＡＲ）フィーチャを用いて、仮想マシン１５Ａ～１５Ｎを覆い隠すことができる。ＰＲ／ＳＭ ＬＰＡＲなどのこれらのフィーチャは、パーティション間の分離を提供し、よって、ホスティング・ノード１０が、異なる論理パーティション内の同じ物理ホスティング・ノード１０上に、異なるエンティティについての２つ又はそれより多い仮想マシン１５Ａ～１５Ｎをデプロイすることを容易にする。

クライアント・デバイス２０Ａ～２０Ｃのクライアント・デバイス２０Ａは、コンピュータ、スマートフォン、タブレット・コンピュータ、デスクトップ・コンピュータ、ラップトップ・コンピュータ、サーバ・コンピュータなどの通信装置、又はホスティング・ノード１０のハイパーバイザ１２による仮想マシンのデプロイメントを要求する任意の他の通信装置である。クライアント・デバイス２０Ａは、ネットワーク１６５を介して、又は直接、ハイパーバイザによる受信要求を送ることができる。仮想マシン１５Ａ～１５Ｎの仮想マシン１５Ａは、クライアント・デバイス２０Ａ～２０Ｃのクライアント・デバイス２０Ａからの要求に応答してハイパーバイザ１２がデプロイする仮想マシン・イメージである。ハイパーバイザ１２は、仮想マシンを作成して実行するソフトウェア、ファームウェア、又はハードウェアとすることができる仮想マシン・モニタ（ＶＭＭ）である。ハイパーバイザ１２は、仮想マシン１５Ａがホスティング・ノード１０のハードウェア・コンポーネントを使用してプログラムの実行若しくはデータの格納又はその両方を行うことを、容易にする。適切なフィーチャ及び修正を用いて、ハイパーバイザ１２は、ＩＢＭ ｚＳｙｓｔｅｍｓ（登録商標）、ＯＲＡＣＬＥ ＶＭ ＳＥＲＶＥＲ（商標）、ＣＩＴＲＩＸ ＸＥＮＳＥＲＶＥＲ（商標）、ＶＭＷＡＲＥ ＥＳＸ（商標）、ＭＩＣＲＯＳＯＦＴ ＨＹＰＥＲ－Ｖ（商標）、ＫＶＭ、又は任意の他のハイパーバイザとすることができる。ハイパーバイザ１２は、ホスティング・ノード１０上で直接実行されているネイティブ・ハイパーバイザ、又は別のハイパーバイザ上で実行されているホストされたハイパーバイザとすることができる。

図４は、本発明の１つ又は複数の実施形態による例示的なホスティング・ノードのコンポーネントを示す。ホスティング・ノード１０は、サーバ・コンピュータ、デスクトップ・コンピュータ、タブレット・コンピュータ、スマートフォン、又はハイパーバイザ１２を実行し、次に仮想マシン１５Ａ～１５Ｎをデプロイする任意の他のコンピュータなどのコンピュータとすることができる。ホスティング・ノード１０は、電子回路などのハードウェアを含むコンポーネントを含む。ホスティング・ノード１０は、他のコンポーネントの中でも、プロセッサ１０５、メモリ・コントローラ１１５に結合されたメモリ１１０、及びローカルＩ／Ｏコントローラ１３５を介して通信可能に結合された、周辺機器又は制御デバイスなどの１つ又は複数の入力デバイス１４５もしくは出力デバイス１４０又はその両方を含む。これらのデバイス１４０及び１４５は、例えば、バッテリ・センサ、位置センサ（高度計４０、加速度計４２、ＧＰＳ４４）、インジケータ／識別灯などを含むことができる。従来のキーボード１５０及びマウス１５５などの入力デバイスは、Ｉ／Ｏコントローラ１３５に結合することができる。当技術分野で知られるように、Ｉ／Ｏコントローラ１３５は、例えば、１つ又は複数のバス又は他の有線若しくは無線接続とすることができる。Ｉ／Ｏコントローラ１３５は、コントローラ、バッファ（キャッシュ）、ドライバ、中継器、及び受信機などの付加的な要素を有することもでき、これらは、簡略にするために省略されている。

Ｉ／Ｏデバイス１４０、１４５は、例えば、ディスク及びテープ・ストレージ、ネットワーク・インターフェース・カード（ＮＩＣ）、又は（他のファイル、デバイス、システム又はネットワークにアクセスするための）変調器／復調器、無線周波数（ＲＦ）又は他の送受信機、電話インターフェース、ブリッジ、ルータ等の、入力及び出力の両方を通信するデバイスをさらに含むことができる。

プロセッサ１０５は、特にメモリ１１０に格納されたハードウェア命令又はソフトウェアを実行するためのハードウェア・デバイスである。プロセッサ１０５は、特注又は市販のプロセッサ、中央処理ユニット（ＣＰＵ）、ホスティング・ノード１０と関連付けられた幾つかのプロセッサの中の補助プロセッサ、半導体ベースのマイクロプロセッサ（マイクロチップ又はチップセットの形の）、マクロプロセッサ、又は命令を実行するための他のデバイスとすることができる。プロセッサ１０５は、キャッシュ１７０を含むことができ、このキャッシュ１７０は、限定されるものではないが、実行可能命令のフェッチを高速化するための命令キャッシュ、データ・フェッチ及びストアを高速化するためのデータ・キャッシュ、並びに、実行可能命令及びデータの両方のための仮想アドレスから物理アドレスへの変換を高速化するのに使用される変換ルックアサイド・バッファ（ＴＬＢ）を含むことができる。キャッシュ１７０は、より多くのキャッシュ・レベル（Ｌ１、Ｌ２など）の階層として編成することができる。

メモリ１１０は、揮発性メモリ要素（例えば、ＤＲＡＭ、ＳＲＡＭ、ＳＤＲＡＭなどのランダム・アクセス・メモリ（ＲＡＭ））、不揮発性メモリ要素（例えば、フラッシュ・メモリ、ＲＯＭ、消去可能プログラム可能読み取り専用メモリ（ＥＰＲＯＭ）、電気的消去可能プログラム可能読み出し専用メモリ（ＥＥＰＲＯＭ）、プログラム可能読み出し専用メモリ（ＰＲＯＭ）、テープ、コンパクト・ディスク読み出し専用メモリ（ＣＤ－ＲＯＭ）、ディスク、ディスケット、カートリッジ、カセット等）のうちの１つ又は組み合わせを含むことができる。さらに、メモリ１１０は、電子、磁気、光学、又は他のタイプのストレージ媒体を組み込むことができる。メモリ１１０は、分散型アーキテクチャを有することができ、そこで、種々のコンポーネントは、互いから遠隔に配置されるが、プロセッサ１０５によってアクセスすることができる。

メモリ１１０内の命令は、１つ又は複数の別個のプログラムを含むことができ、その各々は、論理機能を実施するための実行可能命令の順序付けされたリストを含む。図２の例において、メモリ１１０内の命令は、ハイパーバイザ１２を実行する好適なオペレーティング・システム（ＯＳ）を含む。オペレーティング・システムは、他のコンピュータ・プログラムの実行を制御することができ、スケジューリング、入力・出力制御、ファイル及びデータ管理、メモリ管理、並びに通信制御及び関連サービスを提供する。ｚＳｙｓｔｅｍ（商標）のような例において、ホスティング・ノード１０の製造業者は、ハイパーバイザ１２を提供することができる。ハイパーバイザ１２がハードウェア製造業者によって提供されない、ｚＳｙｓｔｅｍのものとは異なる構造を有するシステムの場合、提供されるクラウド・コンピューティングは、例えば、ＶＭＷＡＲＥ（商標）、ＫＶＭ、又は他のハイパーバイザ・プロバイダからのハイパーバイザ１２を使用することができる。一例において、物理ホスティング・ノード１０の管理者は、製造業者により提供されるサービスを適用するために必要とされる場合を除き、ハイパーバイザ１２を修正することはできない。例えば、ハイパーバイザ１２は、「ライセンス内部コード（Licensed Internal Code、ＬＩＣ）」もしくはホスティング・ノード１０のためのマイクロコード又はその両方の一部として提供することができる。

例えば、プロセッサ１０５に対する命令、又は他の取り出し可能情報を含む付加的なデータは、ハードディスク・ドライブ又はソリッド・ステート・ドライブなどのストレージ・デバイスとすることができるストレージ１２０内に格納することができる。メモリ１１０又はストレージ１２０内に格納された命令は、プロセッサが、本開示のシステム及び方法の１つ又は複数の態様を実行するのを可能にするものを含むことができる。

ホスティング・ノード１０は、ユーザ・インターフェース又はディスプレイ１３０に結合されたディスプレイ・コントローラ１２５をさらに含むことができる。幾つかの実施形態において、ディスプレイ１３０は、ＬＣＤスクリーンとすることができる。他の実施形態において、ディスプレイ１３０は、複数のＬＥＤ状態灯を含むことができる。幾つかの実施形態において、ホスティング・ノード１０は、ネットワーク１６５に結合するためのネットワーク・インターフェース１６０をさらに含むことができる。ネットワーク１６５は、ブロードバンド接続を介して、ホスティング・ノード１０と外部サーバ、クライアント等の間で通信するためのＩＰベースのネットワークとすることができる。実施形態において、ネットワーク１６５は、衛星ネットワークとすることができる。ネットワーク１６５は、ホスティング・ノード１０と外部システムとの間でデータを送受信する。幾つかの実施形態において、ネットワーク１６５は、サービス・プロバイダによって管理されるマネージドＩＰネットワークとすることができる。ネットワーク１６５は、例えば、ＷｉＦｉ、ＷｉＭａｘ、衛星又はいずれか他のものなどの無線プロトコル及び技術を用いて、無線方式で実装することができる。ネットワーク１６５はまた、ローカル・エリア・ネットワーク、広域ネットワーク、メトロポリタン・エリア・ネットワーク、インターネット、又は他の同様のタイプのネットワーク環境のような、パケット交換網（packet-switched network）とすることもできる。ネットワーク１６５は、固定無線ネットワーク、無線ローカル・エリア・ネットワーク（ＬＡＮ）、無線広域ネットワーク（ＷＡＮ）、パーソナル・エリア・ネットワーク（ＰＡＮ）、仮想プライベート・ネットワーク（ＶＰＮ）、イントラネット又は他の好適なネットワーク・システムとすることができ、信号を受送信するための機器を含むことができる。

クライアント・デバイス２０Ａは、ホスティング・ノード１０の特定のハードウェア・コンポーネントもしくはソフトウェア・コンポーネント又はその両方にアクセス可能な対応する仮想マシン１５Ａをデプロイするよう、ハイパーバイザ１２に要求することがある。例えば、クライアント・デバイス２０Ａは、仮想マシン１５Ａが所定数のプロセッサ、所定量の揮発性メモリ（例えば、ランダム・アクセス・メモリ（ＲＡＭ））、所定量の不揮発性メモリ（例えば、ストレージ空間）、又は任意の他のハードウェア・コンポーネントにアクセスできることを要求することがある。代替的に又はこれに加えて、クライアント・デバイス２０Ａは、仮想マシン１５Ａが対応する一意の識別子によって識別される、電子回路などの特定のハードウェア・コンポーネントにアクセスできることを要求することがある。例えば、クライアント・デバイス２０Ａは、仮想マシン１５Ａが特定のタイプのプロセッサ、コプロセッサ、ネットワークカード、又は任意の他のチップもしくは電子回路にアクセスできることを要求することがある。一例において、クライアント・デバイス２０Ａは、電子回路の製造業者によって提供される識別子を用いて、電子回路を識別することができる。一例において、識別子は、バージョン識別子と共に使用することができる。代替的に又はこれに加えて、クライアント・デバイス２０Ａは、仮想マシン１５Ａが、オペレーティング・システム、アプリケーション、基本入力／出力システム（ＢＩＯＳ）、ブートイメージ、又は任意の他のソフトウェア・コンポーネントにアクセスできることを要求することがある。要求されるソフトウェア・コンポーネントは、ホスティング・ノード１０のハードウェア・コンポーネント内にファームウェア及び組み込みプログラムを含むことができる。クライアント・デバイス２０Ａは、それぞれのソフトウェア・コンポーネントの開発者／製造業者によって提供されるそれぞれの一意の識別子を用いて、要求されるソフトウェア・コンポーネントを識別することができる。一例において、識別子は、ソフトウェア・コンポーネントのバージョン識別子と共に使用することができる。

図５は、本発明の１つ又は複数の実施形態による、ハイパーバイザが、セキュア・インターフェース制御を通じて、割り込みの通知をセキュアＶＭに提供するための例示的方法のフローチャートを示す。方法は、ＳＩＥ（Ｓｔａｒｔ Ｉｎｔｅｒｐｒｅｔｉｖｅ Ｅｘｅｃｕｔｉｏｎ）命令の実行により、セキュアＶＭ １５Ａ ｖＣＰＵをディスパッチし、プロセッサ１０５及び他のコンピューティング・リソースをセキュアＶＭ １５Ａに割り当てることを含む。ＳＩＥ命令は、プロセッサ１０５を、一般に状態記述子（ＳＤ）と呼ばれるメモリ１１０内の制御ブロックで定められたエミュレーション状態にする。一般的に、ＳＩＥ命令は、ＳＤをアドレス指定する１つのオペランドを有する。つまり、ＳＤは、セキュアＶＭ １５Ａのためにクライアント・デバイス２０Ａによって要求される場合がある、プロセッサ１０５上でエミュレートされるハードウェア状態を定めるフィールドを含む。プロセッサ１０５は、セキュアＶＭ １５Ａを開始したクライアント２０の要求を受けて別のプロセッサ・アーキテクチャの挙動をエミュレートするように指示され得るので、１つ又は複数の例において、プロセッサ１０５は仮想プロセッサとみなすことができる。

本発明の１つ又は複数の実施形態によると、ＳＤフィールドは、（１）ゲストのページ・ゼロを特定するセキュアＶＭの（すなわち、ゲストの）実アドレス・ゼロが割り当てられる絶対メモリ・アドレスを含むオリジン・フィールド、（２）セキュアＶＭ １５Ａの現ＰＳＷ（プログラム状態語）のためのフィールド、（３）セキュアＶＭ １５Ａの汎用レジスタ（ＧＲ）及び制御レジスタ（ＣＲ）のための保存領域、及び（４）他のゲストの状態のための様々な他のフィールドを含む。

方法は、５０５において、ホスト１０が、割り込みをインジェクトすべきであると判断し、その割り込みをセキュアＶＭ １５Ａにインジェクトできるように生成することを含む。割り込みは、Ｉ／Ｏ割り込み、外部割込み、又は任意の他のタイプの割り込みとすることができる。先述のように、ハイパーバイザ１２は、メモリ、レジスタ、又はセキュアＶＭ １５Ａの任意の他のデータに直接アクセスすることができず、ゲスト割り込み情報をＶＭプリフィックス・ページに直接保存して、再ディスパッチする前に割り込みの新ＰＳＷを現在のＶＭ状態すなわちＳＤにロードすることによって、既存の技術的解決法で行うことができるようにハイパーバイザ１２が割り込みをセキュアＶＭ １５Ａに直接インジェクトすることを防止する。

５１０において、必要に応じて、割り込みを受け取ることになるセキュアＶＭ １５Ａの仮想プロセッサが、ホスト１０によってアンディスパッチされる。さらに、５１５において、ハイパーバイザ１２は、インジェクトされる割り込みと割り込みに関連付けられた１つ又は複数のパラメータとを、仮想プロセッサのＳＤに追加する。１つ又は複数の例において、この追加は、代わりに、セキュア・インターフェース制御によって実施されるインジェクション命令をハイパーバイザ１２が典型的な方法で発行することによって、実行することができる。ハイパーバイザ１２によって要求されている命令を識別すると、セキュア・インターフェース制御は、割り込み条件をセキュアＶＭ １５Ａにインジェクトするか、又は次のディスパッチで処理するために関連するＳＤに割り込み情報をセキュアに追加することができる。５２０において、ハイパーバイザ１２はさらに、セキュア仮想マシンを再ディスパッチすることによって、セキュアＶＭ １５Ａに割り当てられたプロセッサ１０５の動作を再開する。

この時点で、ハイパーバイザ１２が、セキュアＶＭ １５Ａのために仮想プロセッサを再ディスパッチするとき、このｖＣＰＵを再ディスパッチするためのＳＩＥエントリの間に、５２５において、セキュア・インターフェース制御１１は、インジェクトされた割り込み及びそのパラメータが有効であるかどうか、及び、インジェクトされている割り込みのタイプ対してプロセッサ１０５が有効であるかどうかをチェックする。セキュアＶＭ １５Ａが開始されたときに、クライアント２０又はデフォルト設定は、セキュアＶＭ １５Ａが受け取ることができる割り込みのリストを提供することができる。１つ又は複数の例において、特定のタイプの割り込み、例えばＩ／Ｏ割り込みは、例えばセキュリティ上の理由で、セキュアＶＭ １５Ａに到達することが制限されることがある。さらに、Ｉ／Ｏ割り込みと関連付けられたパラメータの１つ又は複数のタイプが、セキュアＶＭ １５Ａに到達することが制限されることがある。例えば、セキュアＶＭ １５Ａによって実行される、テキスト、メモリ・ポインタ若しくはスクリプトを含むパラメータ、又は他のいずれかのタイプのパラメータが、制限されることがある。１つ又は複数の例において、セキュア・インターフェース制御１１は、セキュアＶＭ １５Ａについて制限される（又は許可される）割り込みタイプもしくはパラメータ・タイプ又はその両方のリストにアクセスすることができる。例えば、そうしたリストは、セキュア・インターフェース制御１１に割り当てられたメモリのセキュア部分に格納することができる。１つ又は複数の例において、異なるリストを異なるセキュアＶＭに適用することができる。

割り込みタイプ及びパラメータ・タイプの検証が成功した場合、５３０及び５３５において、セキュア・インターフェース制御１１は、割り込みをセキュアＶＭ １５Ａにインジェクトし、セキュアＶＭ １５Ａの実行が再開する。セキュア・インターフェース制御１１は、割り込み及び対応するパラメータについての情報をセキュアＶＭ １５Ａのメモリ（プリフィックス・ページ）及びレジスタに追加することによって、割り込みをインジェクトする。さらに、５３５において、セキュアＶＭ １５Ａの実行が再開して、割り込みが発生する。

セキュア・インターフェース制御１１によって検証されている割り込みもしくはパラメータ又はその両方の値が不適切である場合、５４０において、セキュア・インターフェース制御１１は、例えば検証インターセプトを介して、エラーをハイパーバイザ１２に示し、セキュアＶＭ １５Ａの実行は再開されない。セキュア・インターフェース制御１１又はハイパーバイザ１２は、検証インターセプトを受信すると、本明細書で説明されるようなセキュリティ侵害の可能性を示す警告を発することができる。

従って、上述の方法は、ハイパーバイザ１２がセキュアＶＭ １５Ａと関連付けられたメモリ／レジスタ空間に直接アクセスできないときに、ハイパーバイザ１２が割り込みをセキュアＶＭ １５Ａにインジェクトすることを容易にする。

さらに、本発明の１つ又は複数の実施形態は、セキュアＶＭ １５Ａが、ハイパーバイザ１２において割り込み又はプログラム例外を発生させることを容易にする。

セキュアＶＭ １５Ａが、例えばセキュアＶＭ １５Ａで実行されているアプリケーションによって行われている動作の一部として、プログラム命令を実行するときに、及び、プログラム命令がインターセプトをハイパーバイザ１２に要求する場合に、技術的問題が存在する。ハイパーバイザ１２は、プログラム命令と関連付けられるが、例外をＶＭに提示するのに必要なセキュアＶＭ １５Ａと関連付けられたレジスタ／メモリのいずれにもアクセスすることができないゲスト例外があることを、ゲスト・プログラム命令のエミュレーションの一部として判断する。本明細書に説明される本発明の１つ又は複数の実施形態は、例外をＶＭ １５Ａにインジェクトすることを容易にする。

図６は、本発明の１つ又は複数の実施形態による、ハイパーバイザが、ゲスト命令のエミュレーションに応答して、セキュアＶＭにおいて例外を発生させる例示的方法のフローチャートを示す。方法は、６０５において、セキュアＶＭ １５Ａが、ハイパーバイザの介入を要求する命令を発行することを含む。例えば、命令は、ホスト１０のＩ／Ｏチャネルに対する要求、非同期割り込みを可能にする命令、又はハイパーバイザ１２にサービスすることを要求する他のいずれかのそうした命令とすることができる。

代わりに、本発明の１つ又は複数の実施形態において、セキュア・インターフェース制御１１は、６１０において、例えば状態記述子を介して、命令及び他の限定されたゲスト状態情報をハイパーバイザ１２に提示する。１つ又は複数の例において、ハードウェア又はセキュア・インターフェース制御は、セキュアＶＭ １５Ａによって実行されている命令がハイパーバイザによる介入を要求していることを識別し、それに応答して、命令をインターセプトする。つまり、ハードウェア又はセキュア・インターフェース制御は、ＶＭによる命令の実行を停止し、現在のゲスト状態をセキュア・ストレージに保存する。セキュア・インターフェース制御１１は、オペランド及びオペコードのような、命令エミュレーションに必要とされるゲスト状態の部分を、例えば情報を状態記述子にコピーすることによってハイパーバイザ１２にセキュアに公開し、ゲスト・インターセプトを処理するハイパーバイザ・コードの実行を開始する。従って、命令は、セキュアＶＭ １５Ａからのいかなる文脈もなしに実行するためにハイパーバイザ１２に渡されることに留意されたい。セキュア・インターフェース制御１１は、このようにインターセプトされる所定の命令（又は命令のタイプ）のリストに基づいて、インターセプトされる命令を識別する。６１５において、ハイパーバイザ１２は、命令をエミュレートする。

６２０において、ハイパーバイザ１２は、命令のエミュレーションの際に例外が発生したかどうかを判断する。例外が発生しなかった場合、６２５において、ハイパーバイザ１２は、セキュアＶＭ １５Ａの実行を再開する。それに応じて、６３０において、セキュアＶＭ １５Ａは、セキュアＶＭ １５Ａと関連付けられた状態記述子に従って、ゲスト状態を用いて動作を再開する。

代わりに、ゲスト命令のエミュレーションの際に例外が発生した場合、６３５において、ハイパーバイザ１２は、どの例外をセキュアＶＭ １５Ａに提示するかを判断する。ハイパーバイザ１２は、それに応じて、セキュアＶＭ １５Ａに報告される例外についての情報を、例えば状態記述子に含める。情報は、報告される例外に対応する１つ又は複数のパラメータと共に、報告される例外の識別子を含むことができる。１つ又は複数の例において、報告される例外は、命令の実行中に実際に発生した例外とは異なる場合がある。６４０において、ハイパーバイザ１２は、状態記述子の更新を完了すると、ＳＩＥ命令を用いてセキュアＶＭ １５Ａを再ディスパッチする。代替的に、ハイパーバイザ１２は、命令を介してセキュア・インターフェース制御１１を呼び出し、次のディスパッチにおいて例外をセキュアＶＭ １５Ａに提示すべきであることを示すことができ、セキュア・インターフェース制御は、状態記述子又は同様の制御ブロックに対して適切な更新を行うことができる。

ＳＩＥエントリの間、セキュア・インターフェース制御１１は、セキュアＶＭ １５Ａの状態記述子をチェックし、ハイパーバイザ１２によって追加された例外情報を識別する。６４５において、セキュア・インターフェース制御１１は、例外をセキュアＶＭ １５Ａに渡すかどうかを判断する。セキュア・インターフェース制御１１は、セキュアＶＭ １５Ａに渡すことが可能な例外のリストに基づいて、判断を行う。例外のリストは、セキュアＶＭ １５Ａに固有のものとすることができ、所定のリスト又はセキュアＶＭ １５Ａを開始したクライアントによって提供されるリスト等とすることができる。

さらに、１つ又は複数の例において、セキュア・インターフェース制御１１は、実行のためにハイパーバイザ１２に渡される命令に基づいて、セキュアＶＭ １５Ａに渡される例外が適切であるかどうかをチェックする。例えば、セキュア・インターフェース制御１１は、ハイパーバイザ１２に対してインターセプタされ得るゲスト命令のリストを持つことができ、各命令について、ハイパーバイザ１２がセキュアＶＭ １５Ａに戻すことができる１つ又は複数の例外のセットを持つことができる。渡される例外が、セキュアＶＭ １５Ａによって実行されていた命令に対応する例外のセットからのものではない場合、６５０において、セキュア・インターフェース制御１１は、本明細書で説明されるような警告を発することによって、例えば妥当性インターセプトを通じてエラーを示す。

さらに、６４５において、セキュア・インターフェース制御１１は、例外と共に渡されるパラメータをチェックすることによって、セキュアＶＭ １５Ａに渡される例外の特性を判断する。パラメータが１つ又は複数の許可されたパラメータ・タイプと一致しない場合、６５０において、セキュア・インターフェース制御１１は、エラー条件又は警告を発する。

代わりに、ハイパーバイザ１２によってセキュアＶＭ １５Ａに渡される例外及びパラメータが有効である場合、６５５において、セキュア・インターフェース制御１１は、例外をセキュアＶＭ １５Ａにインジェクトする。例外をセキュアＶＭ １５Ａにインジェクトすることは、例えば、例外が発生したＶＭ １５Ａのオペレーティング・システムに示す１つ又は複数のレジスタ値及びメモリ（低コア）値を変えることを含む。６３０において、セキュアＶＭの実行がさらに再開される。再開は、セキュアＶＭ １５Ａが、インターセプトされる前に実行されていた命令のために発生した例外を処理することを含む。

従って、本発明の１つ又は複数の実施形態は、ハイパーバイザ１２によって例外をセキュアＶＭ １５Ａにインジェクトすることを容易にする。

本発明の１つ又は複数の実施形態によると、コンピュータ・サーバは、ハイパーバイザもしくはセキュアＶＭのコード／アーキテクチャ又はその両方を変える必要なく、セキュアＶＭに関連付けられたメモリ、レジスタ、及び他のデータにハイパーバイザがアクセスすることを禁止するセキュアＶＭをホストして、割り込みをハイパーバイザにインジェクトすること若しくは例外をセキュアＶＭにインジェクトすること及びその両方を行うことができる。代わりに、本発明の１つ又は複数の実施形態によると、ミリコードを含むセキュア・インターフェース制御は、状態記述子及びストレージ／メモリのセキュア部分を用いて割り込み／例外情報を通信することによって、そうしたインジェトを容易にする。さらに、セキュア・インターフェース制御は、割り込み／例外情報についての妥当性チェックを行ってセキュアＶＭとハイパーバイザとの間で悪意のある情報が渡されることを防止し、こうした方法でセキュアＶＭのセキュリティを維持し続ける。

本発明の１つ又は複数の実施形態は、コンピュータ技術、特に仮想マシン・ホスティング・コンピュータ・サーバに根差している。さらに本発明の１つ又は複数の実施形態は、ホスティング・コンピュータ・サーバがセキュアＶＭをホストするのを容易にすることによって、コンピュータ・テクノロジー自体、特に仮想マシン・ホスティング・コンピュータ・サーバの動作の改善を容易にし、そこでは、ハイパーバイザは、セキュアＶＭと関連付けられたメモリ、レジスタ及び他のそうしたデータにアクセスすることが禁止される。さらに、本発明の１つ又は複数の実施形態は、ミリコードを含むハードウェア層もしくはセキュア・インターフェース制御又はその両方を用いてセキュアＶＭとハイパーバイザとの分離を容易にし、コンピューティング・サーバによってホストされるＶＭのセキュリティを維持することによって、ＶＭホスティング・コンピューティング・サーバの改善に向けた重要なステップを提供する。ハードウェア層は、本明細書に説明されるように割り込み若しくは例外又はその両方をインジェクトするために実質的にオーバーヘッドを追加することなく、セキュリティを容易にするための軽量な中間動作を提供する。

本発明は、システム、方法もしくはコンピュータ・プログラム製品又はそれらの組み合わせを、いずれかの可能な技術的詳細レベルで統合したものとすることができる。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を有するコンピュータ可読ストレージ媒体（単数又は複数）を含むことができる。

コンピュータ可読ストレージ媒体は、命令実行デバイスにより使用される命令を保持及び格納できる有形デバイスとすることができる。コンピュータ可読ストレージ媒体は、例えば、これらに限定されるものではないが、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁気ストレージ・デバイス、半導体ストレージ・デバイス、又は上記のいずれかの適切な組み合わせとすることができる。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的なリストとして、以下のもの、すなわち：ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、消去可能プログラム可能読み出し専用メモリ（ＥＰＲＯＭ又はフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク読み出し専用メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、メモリ・スティック、フロッピー・ディスク、パンチカードもしくは命令がそこに記録された溝内の隆起構造のような機械的にエンコードされたデバイス、及び上記のいずれかの適切な組み合わせが挙げられる。本明細書で使用される場合、コンピュータ可読ストレージ媒体は、電波、又は他の自由に伝搬する電磁波、導波管もしくは他の伝送媒体を通じて伝搬する電磁波（例えば、光ファイバ・ケーブルを通る光パルス）、又はワイヤを通って送られる電気信号などの、一時的信号自体として解釈されない。

本明細書で説明されるコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれのコンピューティング／処理デバイスに、又は、例えばインターネット、ローカル・エリア・ネットワーク、広域ネットワーク、及び／又は無線ネットワークなどのネットワークを介して外部コンピュータ又は外部ストレージ・デバイスにダウンロードすることができる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、及び／又はエッジ・サーバを含むことができる。各コンピューティング／処理デバイスにおけるネットワーク・アダプタ・カード又はネットワーク・インターフェースは、ネットワークからコンピュータ可読プログラム命令を受け取り、コンピュータ可読プログラム命令を転送して、それぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体内に格納する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セットアーキテクチャ（ＩＳＡ）命令、機械命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、又は、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語、及び、「Ｃ」プログラミング言語若しくは類似のプログラミング言語などの従来の手続き型プログラミング言語を含む１つ又は複数のプログラミング言語の任意の組み合わせで記述されるソース・コード又はオブジェクト・コードとすることができる。コンピュータ可読プログラム命令は、完全にユーザのコンピュータ上で実行される場合もあり、一部がユーザのコンピュータ上で、独立型ソフトウェア・パッケージとして実行される場合もあり、一部がユーザのコンピュータ上で実行され、一部が遠隔コンピュータ上で実行される場合もあり、又は完全に遠隔コンピュータ若しくはサーバ上で実行される場合もある。最後のシナリオにおいて、遠隔コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）若しくは広域ネットワーク（ＷＡＮ）を含むいずれかのタイプのネットワークを通じてユーザのコンピュータに接続される場合もあり、又は外部コンピュータへの接続がなされる場合もある（例えば、インターネットサービスプロバイダを用いたインターネットを通じて）。幾つかの実施形態において、例えば、プログラム可能論理回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、又はプログラム可能論理アレイ（ＰＬＡ）を含む電子回路は、本発明の態様を実施するために、コンピュータ可読プログラム命令の状態情報を利用することによってコンピュータ可読プログラム命令を実行して、電子回路を個別化することができる。

本発明の態様は、本発明の実施形態による方法、装置（システム）及びコンピュータ・プログラム製品のフローチャート図もしくはブロック図又はその両方を参照して説明される。フローチャート図もしくはブロック図又はその両方の各ブロック、並びにフローチャート図もしくはブロック図又はその両方におけるブロックの組み合わせは、コンピュータ可読プログラム命令によって実装できることが理解されるであろう。

これらのコンピュータ可読プログラム命令を、汎用コンピュータ、専用コンピュータ、又は他のプログラム可能データ処理装置のプロセッサに与えて機械を製造し、それにより、コンピュータ又は他のプログラム可能データ処理装置のプロセッサによって実行される命令が、フローチャートもしくはブロック図又は両方の１つ又は複数のブロック内で指定された機能／動作を実施するための手段を作り出すようにすることができる。これらのコンピュータ・プログラム命令を、コンピュータ、他のプログラム可能データ処理装置もしくは他のデバイス又はその組み合わせを特定の方式で機能させるように指示することができるコンピュータ可読媒体内に格納し、それにより、そのコンピュータ可読媒体内に格納された命令が、フローチャートもしくはブロック図又は両方の１つ又は複数のブロックにおいて指定された機能／動作の態様を実施する命令を含む製品を含むようにすることもできる。

コンピュータ可読プログラム命令を、コンピュータ、他のプログラム可能データ処理装置、又は他のデバイス上にロードして、一連の動作ステップをコンピュータ、他のプログラム可能データ処理装置、又は他のデバイス上で行わせてコンピュータ実施のプロセスを生産し、それにより、コンピュータ又は他のプログラム可能装置上で実行される命令が、フローチャートもしくはブロック図又は両方の１つ又は複数のブロックにおいて指定された機能／動作を実行するためのプロセスを提供するようにすることもできる。

図面内のフローチャート及びブロック図は、本発明の様々な実施形態による、システム、方法、及びコンピュータ・プログラム製品の可能な実装の、アーキテクチャ、機能及び動作を示す。この点に関して、フローチャート内の各ブロックは、指定された論理機能を実装するための１つ又は複数の実行可能命令を含む、モジュール、セグメント、又はコードの一部を表すことができる。幾つかの代替的な実装において、ブロック内に示される機能は、図に示される順序とは異なる順序で生じることがある。例えば、連続して示される２つのブロックは、関与する機能に応じて、実際には実質的に同時に実行されることもあり、又はこれらのブロックはときとして逆順で実行されることもある。ブロック図もしくはフローチャート図又は両方の各ブロック、及びブロック図もしくはフローチャート図又はその両方におけるブロックの組み合わせは、指定された機能又は動作を実行する、又は専用のハードウェアとコンピュータ命令との組み合わせを実行する、専用ハードウェア・ベースのシステムによって実装できることにも留意されたい。

本発明の種々の実施形態の説明は、説明のために提示されたものであるが、網羅的であること又は本発明を開示した形態に限定することを意図したものではない。当業者には、本発明の範囲及び趣旨から逸脱することなく、多くの修正及び変形が明らかになるであろう。本明細書で使用される用語は、実施形態の原理、実際の適用、又は市場で見られる技術に比べた技術的改善を最もよく説明するため、又は当業者が本明細書で開示される実施形態を理解できるように選択されたものである。

Claims (25)

1. コンピュータ実施方法であって、
   ホスト・サーバ上で実行されている非セキュア・エンティティによってセキュア・エンティティを開始することであって、前記非セキュア・エンティティは、前記セキュア・エンティティのあらゆるデータに直接アクセスすることが禁止されている、開始することと、
   前記ホスト・サーバによって又は前記非セキュア・エンティティによって生成される割り込みを前記セキュア・エンティティにインジェクトすることと
   を含み、前記インジェクトすることは、
   前記非セキュア・エンティティによって、前記割り込みについての情報を前記セキュア・エンティティと関連付けられた非セキュア・ストレージの部分に追加することと、
   前記ホスト・サーバのセキュア・インターフェース制御によって、前記割り込みを前記セキュア・エンティティにインジェクトすることと
   を含む、コンピュータ実施方法。
2. 前記非セキュア・エンティティはハイパーバイザであり、前記セキュア・エンティティはセキュア仮想マシンである、請求項１に記載のコンピュータ実施方法。
3. 前記セキュア・エンティティはコンテナであり、前記非セキュア・エンティティはオペレーティング・システムである、請求項１又は請求項２に記載のコンピュータ実施方法。
4. 前記インジェクトすることの前に、前記セキュア・インターフェース制御によって、前記割り込みを前記セキュア・エンティティにインジェクトすることが許可されているかどうかを判断することをさらに含み、前記インジェクトすることは、前記割り込みを前記セキュア・エンティティにインジェクトすることが許可されているとの判断に基づいて行われる、請求項１から請求項３までのいずれか１項に記載のコンピュータ実施方法。
5. 前記セキュア・インターフェース制御は、前記セキュア・エンティティについての所定の許可可能な割り込みのリストに基づいて、前記割り込みを前記セキュア・エンティティにインジェクトすることが許可されていると判断する、請求項４に記載のコンピュータ実施方法。
6. 前記許可可能な割り込みのリストは、前記セキュア・エンティティに固有のものである、請求項５に記載のコンピュータ実施方法。
7. 前記方法は、
   前記割り込みを前記セキュア・エンティティにインジェクトすることが許可されていないとの判断に応答して、前記セキュア・インターフェース制御によって、エラーを前記非セキュア・エンティティに示すことをさらに含む、請求項４に記載のコンピュータ実施方法。
8. 前記非セキュア・エンティティによってインジェクトする前に、前記セキュア・エンティティと関連付けられた仮想プロセッサをアンディスパッチすることをさらに含む、請求項１から請求項７までのいずれか１項に記載のコンピュータ実施方法。
9. 前記インジェクトすることの前に、前記セキュア・インターフェース制御によって、前記割り込み及び１つ又は複数のパラメータを前記セキュア・エンティティにインジェクトすることが許可されているかどうかを判断することをさらに含み、前記インジェクトすることは、前記割り込み及び前記１つ又は複数のパラメータを前記セキュア・エンティティにインジェクトすることが許可されているとの判断に基づいて行われる、請求項１から請求項８までのいずれか１項に記載のコンピュータ実施方法。
10. 前記割り込みについての前記情報を追加することは、
    前記非セキュア・エンティティによって、前記割り込みについての前記情報を前記セキュア・エンティティと関連付けられた状態記述子に格納すること、及び
    前記非セキュア・エンティティによって、前記割り込みについての前記情報を前記セキュア・エンティティと関連付けられた状態記述子に格納するための前記セキュア・インターフェース制御に対する命令を発行すること
    のうちの１つを含む、請求項１から請求項９までのいずれか１項に記載のコンピュータ実施方法。
11. メモリと、
    セキュア・インターフェース制御と、
    前記メモリ及び前記セキュア・インターフェース制御と結合された処理ユニットと
    を含むシステムであって、
    前記処理ユニットは、１つ又は複数のセキュア・エンティティをホストする非セキュア・エンティティを実行するように構成され、前記非セキュア・エンティティは、セキュア・エンティティのあらゆるデータに直接アクセスすることが禁止されており、前記非セキュア・エンティティによって生成される割り込みを前記セキュア・エンティティにインジェクトする方法が、
    前記非セキュア・エンティティによって、前記割り込みについての情報を前記セキュア・エンティティと関連付けられた非セキュア・ストレージの部分に追加することと、
    前記セキュア・インターフェース制御によって、前記割り込みを前記セキュア・エンティティにインジェクトすることと
    を含む、システム。
12. 前記方法は、
    前記非セキュア・エンティティによってインジェクトする前に、前記セキュア・エンティティと関連付けられたプロセッサをアンディスパッチすること
    をさらに含む、請求項１１に記載のシステム。
13. 前記方法は、
    前記非セキュア・エンティティによって前記割り込みについての前記情報を追加した後、仮想プロセッサを再ディスパッチして前記セキュア・エンティティの動作を再開すること
    をさらに含む、請求項１２に記載のシステム。
14. コンピュータ実行可能命令を含むコンピュータ可読ストレージ媒体を含むコンピュータ・プログラム製品であって、前記コンピュータ実行可能命令は、処理ユニットによって実行されるときに、
    ホスト・サーバ上で実行されている非セキュア・エンティティによってセキュア・エンティティを開始することであって、前記非セキュア・エンティティは、前記セキュア・エンティティのあらゆるデータに直接アクセスすることが禁止されている、開始することと、
    前記非セキュア・エンティティによって、前記ホスト・サーバによって生成される割り込みを前記セキュア・エンティティにインジェクトすることと
    を含み、前記インジェクトすることは、
    前記非セキュア・エンティティによって、前記割り込みについての情報を前記セキュア・エンティティと関連付けられた非セキュア・ストレージの部分に追加することと、
    前記非セキュア・エンティティによって、前記セキュア・エンティティと関連付けられたプロセッサを再開して前記セキュア・エンティティの動作を再開することと、
    セキュア・インターフェース制御によって、前記割り込みを前記セキュア・エンティティにインジェクトすることと
    を含む方法を前記処理ユニットに実行させる、コンピュータ・プログラム製品。
15. 前記方法は、
    前記非セキュア・エンティティによってインジェクトする前に、前記セキュア・エンティティと関連付けられたプロセッサをアンディスパッチすること
    をさらに含む、請求項１４に記載のコンピュータ・プログラム製品。
16. 前記セキュア・インターフェース制御は、前記セキュア・エンティティについての所定の許可可能な割り込みのリストに基づいて、前記割り込みを前記セキュア・エンティティにインジェクトすることが許可されていると判断する、請求項１５に記載のコンピュータ・プログラム製品。
17. 前記方法は、
    前記非セキュア・エンティティによって前記割り込みについての前記情報を追加した後、仮想プロセッサを再ディスパッチして前記セキュア・エンティティの動作を再開すること
    をさらに含む、請求項１５又は請求項１６に記載のコンピュータ・プログラム製品。
18. 前記割り込みについての前記情報は、前記割り込みをインジェクトするための識別子と、前記割り込みと関連付けられた１つ又は複数のパラメータとを含む、請求項１４から請求項１７までのいずれか１項に記載のコンピュータ・プログラム製品。
19. コンピュータ実施方法であって、
    ホスト・サーバの非セキュア・エンティティ上で実行されているセキュア・エンティティによって、前記非セキュア・エンティティに転送されるプログラム例外を生成し、プログラム例外を生成する命令を実行することであって、前記非セキュア・エンティティは、前記セキュア・エンティティのあらゆるデータに直接アクセスすることが禁止されている、実行することと、
    セキュア・インターフェース制御によって、前記命令を前記非セキュア・エンティティに提示することと、
    前記非セキュア・エンティティによって、前記命令を実行することと、
    前記非セキュア・エンティティからの前記プログラム例外を前記セキュア・エンティティにインジェクトすることと
    を含み、前記インジェクトすることは、
    前記プログラム例外が前記命令のエミュレーションによって発生していることに基づいて、前記非セキュア・エンティティによって、前記プログラム例外についての情報を前記セキュア・エンティティと関連付けられた非セキュア・ストレージの部分に追加することと、
    前記非セキュア・エンティティによって、前記セキュア・エンティティと関連付けられたプロセッサを再開して前記セキュア・エンティティの動作を再開することと
    を含む、コンピュータ実施方法。
20. 前記セキュア・インターフェース制御によって前記命令を前記非セキュア・エンティティに提示する前に、前記セキュア・エンティティと関連付けられたプロセッサをアンディスパッチすること
    をさらに含む、請求項１９に記載のコンピュータ実施方法。
21. 前記非セキュア・エンティティによって前記プログラム例外についての前記情報を追加した後、仮想プロセッサを再ディスパッチして前記セキュア・エンティティの動作を再開すること
    をさらに含む、請求項２０に記載のコンピュータ実施方法。
22. 前記プログラム例外についての前記情報は、インジェクトされる前記プログラム例外についての識別子と、前記プログラム例外と関連付けられた１つ又は複数のパラメータとを含む、請求項１９又は請求項２０に記載のコンピュータ実施方法。
23. メモリと、
    セキュア・インターフェース制御と、
    前記メモリ及び前記セキュア・インターフェース制御と結合された処理ユニットと
    を含むシステムであって、
    前記処理ユニットは、複数のセキュア・エンティティをホストする非セキュア・エンティティを実行するように構成され、前記非セキュア・エンティティは、セキュア・エンティティのあらゆるデータに直接アクセスすることが禁止されており、前記システムは、前記非セキュア・エンティティからのプログラム例外を前記セキュア・エンティティにインジェクトする方法を実行するように構成され、前記方法は、
    前記セキュア・インターフェース制御によって、命令を前記非セキュア・エンティティに提示することと、
    前記非セキュア・エンティティによって、前記命令を実行することと、
    前記非セキュア・エンティティからの前記プログラム例外を前記セキュア・エンティティにインジェクトすることと
    を含み、前記インジェクトすることは、
    前記プログラム例外が前記命令のエミュレーションによって発生していることに基づいて、前記非セキュア・エンティティによって、前記プログラム例外についての情報を前記セキュア・エンティティと関連付けられた非セキュア・ストレージの部分に追加することと、
    前記非セキュア・エンティティによって、前記セキュア・エンティティと関連付けられたプロセッサを再開して前記セキュア・エンティティの動作を再開することと
    を含む、システム。
24. 前記方法は、
    前記セキュア・インターフェース制御によって前記命令を前記非セキュア・エンティティに提示する前に、前記セキュア・エンティティと関連付けられたプロセッサをアンディスパッチすること
    をさらに含む、請求項２３に記載のシステム。
25. 前記方法は、
    前記非セキュア・エンティティによって前記プログラム例外についての前記情報を追加した後、仮想プロセッサを再ディスパッチして前記セキュア・エンティティの動作を再開すること
    をさらに含む、請求項２３又は請求項２４に記載のシステム。

Images