JP2023510773A - セキュア・アプリケーション・プロセスを実行するためのプロセスベース仮想化システム - Google Patents

Abstract

本開示は、データ処理ユニットを含むプロセスベース仮想化システムに関する。システムは、コンピュータ可読記憶媒体を含み、コンピュータ可読記憶媒体の第１のメモリ・コンポーネントは、ＯＳ、セキュア・アプリケーションおよび非セキュア・アプリケーション、ならびにファームウェアによるアクセスのために構成され、コンピュータ可読記憶媒体の第２のメモリ・コンポーネントは、ファームウェアによる、かつＯＳおよび非セキュア・アプリケーションによるものではないアクセスのために構成される。データ処理ユニットは、ＯＳを用いて非セキュア・アプリケーション・プロセスを実行する第１の動作モードで動作するように、かつファームウェアを用いてセキュア・アプリケーションを実行する第２の動作モードで動作するように構成され、それにより第２のメモリ・コンポーネントを用いてアプリケーション・コードを実行する。

Description

本発明は、デジタル・コンピュータ・システムの分野に関し、より詳細には、プロセスベース仮想化システム（process-based virtualization system）に関する。

ドッカー（Docker）などのコンテナ・マネージャは、オペレーティング・システム・レベル仮想化を用いてコンテナと呼ばれるパッケージでソフトウェアを開発および配信する、結合されたサービスとしてのソフトウェア（software-as-a-service）およびサービスとしてのプラットフォーム（platform-as-a-service）製品のセットである。しかしながら、コンテナの実行は、コンテナが展開されるオペレーティング・システムにそれらが依存することに起因して脆弱である場合がある。

様々な実施形態が、独立請求項の主題によって記述される、セキュア・アプリケーション（secure application）を実行する方法、プロセスベース仮想化システム、およびコンピュータ・プログラム製品を提供する。有利な実施形態が、従属請求項において記述されている。本発明の実施形態は、それらが相互排他的ではない場合に、互いに自由に組み合わせられ得る。

１つの態様において、本発明は、コンピュータ可読記憶媒体（または機械可読媒体）を含む、プロセスベース仮想化システムに関し、コンピュータ可読記憶媒体の第１のメモリ・コンポーネントは、プロセスベース仮想化システムのオペレーティング・システム（ＯＳ）、セキュア・アプリケーションおよび非セキュア・アプリケーション（non-secure application）、ならびにファームウェアによるアクセスのために構成され、コンピュータ可読記憶媒体の第２のメモリ・コンポーネントは、ファームウェアおよびセキュア・アプリケーションによる、かつＯＳおよび非セキュア・アプリケーションによるものではないアクセスのために構成され、データ処理ユニットは、ＯＳを用いて非セキュア・アプリケーションを実行する第１の動作モードで動作するように構成され、データ処理ユニットは、ファームウェアを用いてセキュア・アプリケーションを実行する第２の動作モードで動作するように構成され、それにより第２のメモリ・コンポーネントを用いてセキュア・アプリケーションのアプリケーション・コードを実行する。

１つの態様において、本発明は、コンピュータ可読記憶媒体を提供することであって、コンピュータ可読記憶媒体の第１のメモリ・コンポーネントが、ＯＳ、セキュア・アプリケーションおよび非セキュア・アプリケーション、ならびにファームウェアによるアクセスのために構成され、コンピュータ可読記憶媒体の第２のメモリ・コンポーネントが、ファームウェアおよびセキュア・アプリケーションによる、かつＯＳおよび非セキュア・アプリケーションによるものではないアクセスのために構成される、提供することと、ＯＳを用いて非セキュア・アプリケーションを実行する第１の動作モードで動作するように構成される、データ処理ユニットを提供することと、ファームウェアを用いてセキュア・アプリケーションを実行する第２の動作モードで動作するようにデータ処理ユニットを構成することと、を含み、それにより第２のメモリ・コンポーネントを用いてセキュア・アプリケーションのアプリケーション・コードを実行する、方法に関する。

別の態様では、本発明は、具現化されるコンピュータ可読プログラム・コードを有するコンピュータ可読記憶媒体を含む、コンピュータ・プログラム製品に関し、コンピュータ可読プログラム・コードは、前述した実施形態による方法の全てのステップを実施するように構成される。

さらに、本発明の構成要素のいずれかが、コンピュータ・システムにおいてプロセスベース仮想化を実施するように提案するサービス・プロバイダによって、展開され、管理され、サービスされるなどであり得る。本発明の実施形態は、関連システム、方法、またはプログラム製品、あるいはそれらの組み合わせも提供し、かつ包含する。

本発明のこれらの特徴および他の特徴は、添付図面と併せて用いられる、以下の本発明の様々な態様の詳細な説明からさらに容易に理解されるであろう。

以下では、本発明の実施形態が、単なる例として、図面を参照してさらに詳細に説明される。

本主題の実施例による、プロセスベース仮想化システムのブロック図である。 本主題の実施例による、プロセスベース仮想化システムのブロック図である。 本主題の実施例による、マシン状態の表である。 本主題の実施例による、セキュア・アプリケーションを実行するための方法のフローチャートである。 本主題の実施例による、プロセスベース仮想化システムの第１のメモリ・コンポーネントおよび第２のメモリ・コンポーネントを示す図である。 本主題の実施例による、プロセスベース仮想化システムの第１のメモリ・コンポーネントおよび第２のメモリ・コンポーネントを示す図である。 本主題の実施例による、セキュア・アプリケーションを実行するための方法のフローチャートである。 本主題の実施例による、セキュア・アプリケーションを実行するための方法のフローチャートである。 本主題の実施例による、プロセスベース仮想化システムに使用されているアドレス変換ツリーを示すデータ構造を示す図である。 本主題の実施例による、プロセスベース仮想化システムに使用されているアドレス変換ツリーを示すデータ構造を示す図である。 本主題の実施例による、データ処理ユニットを示す図である。 本主題の実施例による、アドレス変換プロセスを示すフロー図である。

本発明の詳細な実施形態が、添付図面を参照して本明細書に開示される。図面において、類似の番号は、類似の要素を表す。開示される実施形態は、本発明の潜在的実施形態の単なる例示であり、様々な形態を取り得ることを理解されたい。加えて、様々な実施形態に関連して与えられる実施例のそれぞれが、限定ではなく例示であるように意図される。さらに、図面は、必ずしも縮尺通りではなく、いくつかの特徴が、特定の構成要素の詳細を示すために強調されることがある。したがって、本明細書に開示される特定の構造的かつ機能的詳細は、限定として解釈されるべきではなく、単に本発明を様々に採用するように当業者に教示するための代表的な基礎として、解釈されるべきである。

「一実施形態」、「実施形態」、「例としての実施形態」などへの明細書中の参照は、説明される実施形態が、特定の特徴、構造、または特性を含み得るが、あらゆる実施形態が必ずしも特定の特徴、構造、または特性を含まない場合があることを示している。さらに、そのような語句は、必ずしも同一の実施形態に言及していない。さらに、特定の特徴、構造、または特性が、実施形態に関連して説明されるとき、それは、明示的に説明されるか否かに関わらず、他の実施形態に関連するそのような特徴、構造、または特性に影響を及ぼす当業者の知識の範囲内にあると考えられる。

本発明の様々な実施形態の説明は、例示の目的で提示されているが、網羅的であること、または開示された実施形態に限定することを意図するものではない。多くの修正および変形が、説明された実施形態の範囲および思想から逸脱することなく当業者には明らかであろう。本明細書で使用される専門用語は、実施形態の原理、実際の用途、もしくは市場で見出される技術に対する技術的改善を最もよく説明するため、または本明細書で開示された実施形態を他の当業者が理解可能にするために、選択された。

オープンソース・オペレーティング・システムの基礎となるコードは、誰もが見て修正するように自由に利用可能である。しかしながら、これは、典型的には数百万行のコードを有するそのようなＯＳを実行中のコンピュータ・システムを、潜在的なセキュリティ脆弱性に晒すことがある。特に、コンテナのインスタンスなど、ＯＳに依拠するプロセスは、名前空間およびコントロール・グループ（別名、ｃｇｒｏｕｐｓ）のようなソフトウェア概念のみを通して隔離されるため、セキュリティ脆弱性に晒される場合がある。本主題は、コンピュータ・システム／ファームウェアが、セキュア・アプリケーションのプロセスをＯＳから独立してセキュアな方法で、かつハードウェアを用いてセキュア・アプリケーションを他のアプリケーションから隔離して実行することを可能にし得る。セキュア・アプリケーション・プロセスには、非セキュア・アプリケーション・プロセスとは異なった扱いがされる。例えば、アドレス空間は、ＯＳの代わりにファームウェアによって、セキュア・アプリケーションについてセットアップされる。加えて、ファームウェアが、ＯＳの代わりにセキュア・アプリケーションの実行を制御する。一方、信頼されないアプリケーションは、ＯＳの制御下で実行され得る。これは、セキュア・アプリケーションを実施するために必要な取り組みに起因して、通常セキュア・アプリケーションの数が非セキュア・アプリケーションの数よりもはるかに少ないため、特に有利であり得る。したがって、セキュア・アプリケーションに対してシステムを適合することは、既存システムとなおシームレスに統合しつつ、データへのアクセスをセキュアにし得る。例えば、ファームウェアは、ＯＳがセキュア・アプリケーションの暗号化データを用いて行うことができないタスクを行うだけでよいため、ＯＳと比較してはるかに少ない行数のコードを有し得る。

本主題は、プロセスベース仮想化システムのユーザにプロセスの透明な実行を提供し得る。即ち、ユーザは、ユーザのセキュア・アプリケーションの実行と非セキュア・アプリケーションの実行との差に気付かないことがある。プロセスは、実行されているコンピュータ・プログラムのインスタンスであってもよい。セキュア・アプリケーション・プロセスは、実行されているセキュア・アプリケーションのインスタンスであってもよい。非セキュア・アプリケーション・プロセスは、実行されている非セキュア・アプリケーションのインスタンスであってもよい。セキュア・アプリケーションおよび非セキュア・アプリケーションは、ユーザ定義されていてもよく、例えば、ユーザが、アプリケーションをセキュア・アプリケーションまたは非セキュア・アプリケーションとして定義していてもよい。

プロセスベース仮想化システムは、例えば、コンテナベース仮想化システムであってもよい。プロセスベース仮想化システムは、コンピュータ・システムであってもよい。プロセスベース仮想化システムは、オペレーティング・システム・レベル仮想化を可能にし得る。ＯＳレベル仮想化は、複数の隔離された名前空間の存在を可能にするプロセスベース仮想化システムのカーネルによって可能にされ得る。コンテナは、そのような名前空間のうちの１つであり得る。コンテナは、ライブラリおよび他の依存関係などの、必要とする全ての部品を有するアプリケーションを含み得る。コンテナ・マネージャは、コンテナを管理（例えば、生成、削除、開始など）するために、プロセスベース仮想化システムにインストールされ得る。コンテナ・マネージャは、例えば、ドッカーまたはＬＸＣであってもよい。ＯＳレベル仮想化は、コンテナが仮想機械（ＶＭ）において実行中である場合に、ゲストＯＳレベル仮想化であり得る。仮想機械は、プロセスベース仮想化システムのゲストＯＳを含む。別の実施例では、ＯＳレベル仮想化は、プロセスベース仮想化システムが仮想機械を含まない場合にホストＯＳレベル仮想化であり得る。

一実施形態によれば、ファームウェアは、プロセスからシステム・コール（例えば、説明を明確にするために「ｓｃａｌｌ」と名付ける）を受信し、システム・コールが、セキュア・アプリケーションが暗号化フォーマットで第１のメモリ・コンポーネントに記憶されている（第１のメモリ・コンポーネントが暗号化セキュア・アプリケーションを記憶する）ことを示し、システム・コールを受信すると、第２の動作モードで動作するようにデータ処理ユニットを構成し、第２のメモリ・コンポーネントに暗号化されたセキュア・アプリケーションをコピーまたは移動し、第２のメモリ・コンポーネントにおいてコピーまたは移動されたセキュア・アプリケーションを復号し、復号されたセキュア・アプリケーションによる第２のメモリ・コンポーネントおよび第１のメモリ・コンポーネント内のデータへのアクセスを可能にするためにアドレス変換構造（address translation structure）をセットアップし、復号されたセキュア・アプリケーションを実行し、実行することが、アドレス変換構造を用いて第２のメモリ・コンポーネントにアクセスすることを含むように構成される。

ｓｃａｌｌを送信するプロセスは、非セキュア・アプリケーションの非セキュア・アプリケーション・プロセスであってもよい。非セキュア・アプリケーション・プロセスのシステム・コールｓｃａｌｌは、第１のメモリ・コンポーネント内のセキュア・アプリケーションを指し示し得る。例えば、非セキュア・アプリケーション・プロセスのシステム・コールｓｃａｌｌは、第１のメモリ・コンポーネント内のセキュア・アプリケーションの完全性保護されたコード部分および暗号により保護されたコード部分を指し示し得る。ロードされたセキュア・アプリケーションのコードが暗号によって保護され、かつ完全性保護されるため、システム・コールｓｃａｌｌは、セキュアでない部分から行われ得る。ファームウェアは、完全性保護されたコード部分および暗号により保護されたコード部分を第２のメモリ・コンポーネントにコピーし得る。復号および完全性チェックは、第２のメモリ・コンポーネントにおいて行われ得る。それらのチェックをパスする（即ち成功する）場合、セキュア・アプリケーションのコードが、セキュア・プロセスとして実行され得る。別の実施例では、セキュア・アプリケーションは、セキュア・コンテナの一部であってもよく、ｓｃａｌｌを送信するプロセスは、セキュア・コンテナの一部であってもよい。例えば、システム・コールｓｃａｌｌは、セキュア・コンテナのライブラリＯＳによって送信され得る。さらなる実施例では、ｓｃａｌｌを送信するプロセスは、セキュアＶＭ（ＳＶＭ）の一部であってもよい。セキュア・アプリケーション・プロセスは、第２のメモリ・コンポーネント内の復号され、完全性チェックされたコードを直接指し示し得る。

一実施形態によれば、ファームウェアは、プロセス初期化システム・コール（process initialization system call）をプロセスから受信し、コールが、セキュア・アプリケーションが暗号化フォーマットで第１のメモリ・コンポーネントに記憶されることを示し、プロセス初期化システム・コールを受信すると、第２の動作モードで動作するようにデータ処理ユニットを構成し、暗号化されたセキュア・アプリケーションを第２のメモリ・コンポーネントに移動またはコピーし、その後、第２のメモリ・コンポーネント内の移動またはコピーされたセキュア・アプリケーションを復号し、復号されたセキュア・アプリケーションによる第２のメモリ・コンポーネントおよび第１のメモリ・コンポーネント内のデータへのアクセスを可能にするためにアドレス変換構造をセットアップするように構成される。アドレス変換構造は、復号されたセキュア・アプリケーションがライブラリＯＳコールを使用することが可能にされ得るように、セットアップされ得る。初期化システム・コールを送信するプロセスは、非セキュア・アプリケーションの非セキュア・アプリケーション・プロセスであってもよい。

セキュア・アプリケーション・プロセスの実行が、初期化段階およびセキュア・アプリケーション実行段階によって可能にされ得る。本実施形態は、初期化段階を可能にし得る。初期化段階の間、ファームウェアは、実行時にセキュア・アプリケーションによって使用され得るメモリまたはインターフェースあるいはその両方をセットアップし得る。初期化段階をセキュア・アプリケーション実行段階から分離することによって、セキュア・アプリケーションのコード変更なしにセキュア・アプリケーションを実行することが可能となり得る。セキュア・アプリケーション実行段階の間、入力データまたは出力データが第１のメモリ・コンポーネントにおいて読み出され、または記憶され得るように、セキュア・アプリケーションの入力データの復号およびセキュア・アプリケーションの出力データの暗号化が、ライブラリＯＳコールによって行われ得る。データ処理ユニットは、初期化段階において第１のセキュア状態（本明細書で説明される）であってもよく、セキュア・アプリケーション実行段階において第２のセキュア状態であってもよい。

一実施形態によれば、アドレス変換構造は、パーティション・テーブル（partition table）およびセキュア・プロセスのためのセキュア・プロセス・テーブル（secure process table）を含み、パーティション・テーブルおよびセキュア・プロセス・テーブルが、第２のメモリ・コンポーネントに記憶され、アドレス変換構造をセットアップすることが、パーティション・エントリをパーティション・テーブルに追加することであって、追加されるパーティション・エントリがセキュア・プロセス・テーブルを指し示す、追加することと、セキュア・アプリケーションのセキュア・アプリケーション・プロセスに関連付けられたセキュア・プロセス・テーブルにプロセス・エントリを追加することであって、追加されるプロセス・エントリが、セキュア・アプリケーション・アドレス変換ツリーを指し示し、セキュア・アプリケーション・アドレス変換ツリーが有効アドレスの第２のメモリ・コンポーネントの物理アドレスへの変換を可能にするように構成される、追加することと、を含む。

セキュア・アプリケーション変換ツリーは、単一レベル・パーティション・スコープ指定基数変換ツリーであってもよく、その一例が、図６Ｄにおいて６２４と付番される。追加されたプロセス・エントリは、セキュア・アプリケーション・アドレス変換ツリーのページ・ディレクトリおよびページ・テーブルを位置特定することを可能にし得る。

一実施形態によれば、ファームウェアは、復号およびコピーを実行するためのアドレスを用いて、第１のメモリ・コンポーネント内の暗号化されたセキュア・アプリケーションの記憶位置を示すアドレスをさらに受信するように構成される。

セキュア・アプリケーションの命令を第１のメモリ・コンポーネントから第２のメモリ・コンポーネントへ移動することによって、例えばＯＳおよび非セキュア・アプリケーションによる、第２のメモリ・コンポーネント内の命令へのアクセスが妨げられ得る。これは、また、既存システムとの本主題のシームレスな統合を可能にし得るため、例えばセキュア・アプリケーションが第１のメモリ・コンポーネントにおいて任意の他のアプリケーションとして開始するため、有利であり得る。

受信したアドレスは、例えば、受信したプロセス初期化システム・コールまたは受信したシステム・コール（ｓｃａｌｌ）の一部であってもよい。

一実施形態によれば、暗号化されていないセキュア・アプリケーションは、セキュア・アプリケーションのコンテンツを示すハッシュ値に関連付けられ、ファームウェアは、ハッシュ値を用いて、セキュア・アプリケーションの暗号化されていないコンテンツの完全性チェックを実行するようにさらに構成される。完全性チェックが成功した場合、復号およびコピーが実行される。完全性チェックは、ハッシュ値が、なおセキュア・アプリケーションの現在のコンテンツを表すかどうかを判定することを含み得る。ハッシュ値がセキュア・アプリケーションの現在のコンテンツを表す場合、復号およびコピーが実行され得る。代替実施形態では、完全性チェックが復号と同時に行われる。復号は、完全性チェックにパスした場合に成功し、そうでない場合、失敗する。

本実施形態は、セキュア・アプリケーションの実行を開始する前でさえ、セキュア・アプリケーションのコードへのアクセスを妨げ得るため、本主題のセキュアな態様をさらに向上させ得る。これは、例えば、ファームウェアによって実行される前にセキュア・アプリケーションの悪意のある修正を防止し得る。

一実施形態によれば、データ処理ユニットは、パーティション・テーブルを含み、パーティション・テーブルは、論理プロセス識別子によってインデックス付与され、パーティション・テーブルは、セキュア・プロセス・テーブルを指し示すエントリを含み、前記エントリは、固定値によってインデックス付与され、セキュア・プロセス・テーブルは、セキュア・プロセス識別子（ＳＰＩＤ）によってインデックス付与され、データ処理ユニットは、セキュア・アプリケーション・プロセスのＳＰＩＤの値を含むセキュア・レジスタを含み、セキュア・アプリケーション・プロセスは、固定値を用いてセキュア・プロセス・テーブルを識別し、セキュア・レジスタの読み出し値に関連付けられたセキュア・プロセス・テーブルのエントリを用いてアドレス変換を実行するためにセキュア・レジスタに記憶された値を使用／読み出しするように構成される。読み出し値は、セキュア・レジスタに記憶されたＳＰＩＤ値である。

固定値は、予約された有効ＬＰＩＤ、ｅｆｆＬＰＩＤ＝「ＦＦＦ」ｘであってもよい。

セキュア・プロセス・テーブルは、ファームウェアによって維持されるテーブルであり、メモリ内のプロセスを記述する。セキュア・プロセスには、ファームウェアおよびセキュア・アプリケーション・プロセス自体によってのみアクセスされ得るＩＤが割り当てられ得るため、セキュア・プロセスのＳＰＩＤによりセキュア・プロセス・テーブルにインデックス付与することによって、本主題のセキュアな態様がさらに強化され得る。例えば、ＳＰＩＤは、セキュア・アプリケーション・プロセスに関連付けられたメモリ・テーブルを見つけるために使用される。このメモリ・テーブルは、セキュア・メモリ（第２のメモリ・コンポーネント）内にあり、ファームウェア（およびアドレス変換ハードウェア）によってのみアクセス可能である。メモリ・テーブル内の位置は、セキュア・アプリケーション・プロセスおよびファームウェアによってアクセス可能である。セキュア・アプリケーション・プロセスがセキュア・モード（第２の動作モード）で実行中である場合、ハードウェアは、このメモリ・テーブルを利用することが可能にされる。

一実施形態によれば、変換構造のセットアップ後、ファームウェアは、アプリケーション開始システム・コールをプロセスから受信し、アプリケーション開始システム・コールがアドレスを含み、アプリケーション開始システム・コールを受信すると、復号されたセキュア・アプリケーションを実行し、実行することが、アドレス変換構造を用いて第２のメモリ・コンポーネントにアクセスすることを含むようにさらに構成される。本実施形態は、セキュア・アプリケーション実行段階を可能にし得る。アプリケーション開始システム・コールを送信するプロセスは、非セキュア・アプリケーションであってもよい。

一実施形態によれば、データ処理ユニットは、第２の動作モードの少なくとも２つのセキュア状態を有し、２つのセキュア状態の第１のセキュア状態が、データ処理ユニットがファームウェアの実行を可能にするファームウェア状態であり、２つのセキュア状態の第２のセキュア状態が、データ処理ユニットがセキュア・アプリケーション・プロセスの実行を可能にするセキュア・アプリケーション・プロセス状態である。

一実施形態によれば、データ処理ユニットは、プロセス初期化システム・コールまたは割り込み要求を受信すると第１のセキュア状態に切り替え、アプリケーション開始システム・コールを受信すると第２のセキュア状態に切り替えるように構成される。

受信した（単一の）システム・コールｓｃａｌｌの場合、データ処理ユニットは、システム・コール（ｓｃａｌｌ）を受信するとセキュア・アプリケーションをセキュア・メモリ（第２のメモリ・コンポーネント）に移動もしくはコピーするように構成され、または割り込み要求を受信するように、かつ変換構造をセットアップすると第２のセキュア状態でプロセスが実行を開始もしくは再開することを可能にするように構成される。セキュア・アプリケーションの暗号化または完全性チェックが失敗した場合、セキュア・プロセスは、実行するために開始されなくてもよい。

一実施形態によれば、データ処理ユニットは、マシン状態レジスタ（machine state register）（ＭＳＲ）を含み、ＭＳＲはセキュア・ビットを含み、セキュア・ビットは、第１の値に設定されて第１の動作モードで動作するようにデータ処理ユニットに示され、セキュア・ビットは、第２の値に設定されて第２の動作モードで動作するようにデータ処理ユニットに示される。例えば、データ処理ユニットが第１の動作モードで動作するとき、コンピュータ可読記憶媒体に書き込まれたデータが、第１のメモリ・コンポーネントに書き込まれ、データ処理ユニットが第２の動作モードで動作するとき、コンピュータ可読記憶媒体は、第１のメモリ・コンポーネントおよび第２のメモリ・コンポーネントのデータへのアクセスを可能にするように構成される。

一実施形態によれば、セキュア・アプリケーション・プロセスは、セキュア・アプリケーションを含むコンテナの実行可能インスタンスである。

一実施形態によれば、コンテナは、プロセスベース仮想化システムの仮想機械において実行中である。

図１Ａは、本主題の実施例による、プロセスベース仮想化システム１００のブロック図である。プロセスベース仮想化システム１００は、ホスト・オペレーティング・システム（ハイパーバイザ）１１０、ファームウェア１２０、ハードウェア１３０、セキュア仮想機械（ＳＶＭ）１４０、およびＶＭ１５０を含む。ハードウェア１３０は、例えば、本主題の実施例によるデータ処理ユニット（例えば、プロセッサ・コア）を含み得る。プロセスベース仮想化システム１００の構成要素は、ネットワーク（図示せず）、例えばローカル・エリア・ネットワーク（ＬＡＮ）、インターネットなどのワイド・エリア・ネットワーク（ＷＡＮ）、またはその２つの組み合わせを介して相互接続されてもよく、有線、無線、または光ファイバ接続を含んでもよい。プロセスベース仮想化システム１００は、デスクトップ・コンピュータ、ラップトップ・コンピュータ、専用コンピュータ・サーバ、または当技術分野において既知の任意の他のコンピュータ・システムであってもよい。ある実施形態において、プロセスベース仮想化システム１００は、クラスタ化コンピュータおよびコンポーネントを利用して、ネットワークを通してアクセスされた際のシームレスなリソースの単一プールとして機能する、コンピュータ・システムを表し得る。例えば、そのような実施形態は、データ・センタ、クラウド・コンピューティング、ストレージ・エリア・ネットワーク（ＳＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、およびネットワーク・アタッチト・ストレージ（ＮＡＳ）・アプリケーションにおいて使用され得る。概して、本明細書で説明されるコンピューティング・システムは、本主題の実施例による機械可読プログラム命令を実行可能な、電子デバイス、または電子デバイスの組み合わせを表す。

ハイパーバイザ１１０は、ＳＶＭ１４０およびＶＭ１５０を管理、生成、および実行するように構成される仮想機械モニタ（ＶＭＭ）などの、システム・ソフトウェアを表す。ハイパーバイザ１１０は、信頼されないシステム・ソフトウェア・コンポーネントであってもよい。ハイパーバイザ１１０は、システム１００のコンピュータ可読記憶媒体の第１のメモリ・コンポーネントにアクセスおよび管理するように構成され得る。

ファームウェア１２０は、信頼されるハードウェア１３０によって実行されるデータを提供、制御、モニタリング、および操作するように構成された、信頼されるシステム・ソフトウェア・コンポーネントを表す。本実施形態では、ファームウェア１２０は、システム１００のコンピュータ可読記憶媒体の第２のメモリ・コンポーネントを管理する。さらにＳＶＭ１４０およびセキュア・コンテナ（またはセキュア・アプリケーション）のそれぞれが、第２のメモリ・コンポーネントに割り当てられ得る。ファームウェア１２０は、ウルトラバイザ・モードで動作し、ウルトラバイザ・モードは、ハイパーバイザ１１０モードより上の特権レベルである。ウルトラバイザは、ファームウェアを参照し得る。ウルトラバイザ・モードでは、ファームウェア１２０は、第１のメモリ・コンポーネントと第２のメモリ・コンポーネントとの間の分離を維持するためのハードウェア１３０と共に、レギュラー・パーティション・スコープ指定アドレス変換機構を制御するように構成される。加えて、ファームウェア１２０は、第２のメモリ・コンポーネント（図３Ｂおよび図３Ｃは第１のメモリ・コンポーネントおよび第２のメモリ・コンポーネントの例としてのコンテンツを示す）内のＳＶＭ１４０およびセキュア・コンテナそれぞれの分離を維持するように構成される。例えば、第２のメモリ・コンポーネントは、ファームウェアおよびセキュア・アプリケーションによるアクセスのために構成される。第２のメモリ・コンポーネントは、第２のメモリ・コンポーネントがＯＳおよび非セキュア・アプリケーションによってアクセスされないように構成される。

ハードウェア１３０の機構は、２つのメモリ・コンポーネント間の移行が発生するたびにファームウェア１２０を呼び出すために使用されてもよく、したがって、１つのメモリ・コンポーネント内のプロセスの状態が他のメモリ・コンポーネント内のプロセスの状態から適切に隔離されることを、ファームウェア１２０が保証することを可能にする。

プロセスベース仮想化システム１００のサブシステム（図示せず）は、プロセッサなどのハードウェア１３０のコンポーネントから独立してプロセスベース仮想化システム１００のメモリと対話し得る。これらのサブシステムは、全ての信頼されないデバイス（例えば、入力／出力（Ｉ／Ｏ）デバイス）が第２のメモリ・コンポーネントにアクセスできないように修正され得る。セキュアな、かつセキュア・アプリケーションによって使用されるサブシステム・データは、第１のメモリ・コンポーネントに暗号化フォーマットで記憶され得る。さらに、ウルトラバイザ・モードで動作するファームウェア１２０は、暗号化データを第２のメモリ・コンポーネントに移動またはコピーし、それを復号し得る。別の実施例では、ハードウェアは、ファームウェア１２０の指示の下で暗号化／復号を行い得る。第２のメモリ・コンポーネントのセキュア・データは、ハイパーバイザ１１０／ＶＭ１５０のメモリ領域、即ち第１のメモリ・コンポーネントに記憶される前に、暗号化されてもよく、セキュア・ハッシュが追加されてもよい。暗号化されたデータは、その後、ハイパーバイザ１１０によってディスク・ストレージにページ・アウトされ得る。したがって、ＳＶＭ１４０およびセキュア・コンテナに関連するデータおよび状態情報は、第２のメモリ・コンポーネント外部のクリア・テキスト・フォーマットでなくてもよく、セキュア・ハッシュにより完全性保護される。

ハードウェア１３０は、システム１００のためのハードウェア・コンポーネントを表す。本実施形態では、ＳＭＦ対応プロセッサ（例えば、データ処理ユニットは、ＳＭＦ対応プロセッサであり得る）は、ハードウェア１３０に含まれ、非対称鍵のセットを有し、ＳＶＭ１４０またはセキュア・アプリケーションあるいはその両方によって処理されるセキュア・データを保護するために使用される、関連する対称鍵を有し得る。

ＳＶＭ１４０は、ＶＭ１５０に類似である。加えて、ＳＶＭ１４０およびセキュア・アプリケーションは、ターゲット・プロセッサの公開ＳＭＦ鍵で暗号化されたセキュア・データと共にＳＭＦについてパッケージ化され得る。秘密ＳＭＦ鍵は、トラステッド・プラットフォーム・モジュール（ＴＰＭ）によって保護されてもよく、正しいファームウェア１２０がブート中にロードされるときにのみ利用可能となってもよい。本実施形態では、ＳＭＦ対応プロセッサを製造および供給する信頼できるエンティティは、それらの公開鍵についての証明書を発行し得る。

ＳＶＭは、ＳＶＭの内部で実行中のアプリケーションのセキュアな実行を可能にし得る。そのために、ＳＶＭは、ハイパーバイザではなく所与のＯＳ（例えば、ゲストＯＳ１６０）を信頼する。しかしながら、通常のＶＭの内部で実行中のアプリケーションは、ＯＳが信頼できない場合、セキュアにされる必要があり得る。即ち、セキュア・アプリケーションは、ＯＳおよび存在すればハイパーバイザ１１０の両方を信頼できない。本主題は、そのようなアプリケーションをセキュアにすることが可能であり得る。プロセスベース仮想化システム１００のＶＭおよびＳＶＭのそれぞれが、例えば、コンテナを有効にしてもよく、コンテナは、セキュア・コンテナまたは非セキュア・コンテナあるいはその両方であってもよい。セキュア・コンテナは、バンキング・オペレーションなどのセキュア・アプリケーションを表す。例えば、ＶＭ１５０は、コンテナ１８０Ａ～Ｎを開発、配信、インストール、および実行するためにゲスト・オペレーティング・システム１６０によって少なくとも一部実行されるコンテナ・マネージャ１７０を含み、コンテナ１８０Ａ～Ｎは、本明細書において、コンテナ１８０Ａおよびセキュア・コンテナ１８０Ｎの組み合わせを示している。本明細書でコンテナ１８０Ｂと示されるコンテナの別のセットも存在し、コンテナ１８０Ｂは、コンテナ１８０Ａに含まれるアプリケーションおよびライブラリ・オペレーティング・システムのコピーを含むことに留意されたい。これに対して、セキュア・コンテナ１８０Ｎは、アプリケーションおよびセキュア・ライブラリ・オペレーション・システムのセキュア・バージョンを含む。本明細書で用いられる、セキュア・コンテナ１８０Ｎのアプリケーションおよびセキュア・ライブラリ・オペレーション・システムのセキュア・バージョンは、コンテナ１８０Ａおよびコンテナ１８０Ｂにおいて見つけられるアプリケーションおよびライブラリ・オペレーション・システムのバージョンと比較したときに、より高いレベルのセキュリティを有する。コンテナ・マネージャ１７０は、例えば、ドッカーまたはＬＸＣであってもよい。コンテナ１８０Ａ～Ｎのコンテナは、コンテナ・マネージャ１７０を用いて生成され得る。コンテナは、例えば、アプリケーションおよび必要なライブラリを含み得る。セキュア・コンテナ１８０Ｎは、第１のメモリ・コンポーネントおよび第２のメモリ・コンポーネント内のデータにアクセスするためにセキュア・ライブラリ・コールを実行し得る、セキュア・アプリケーションを含み得る。

コンテナ・マネージャ１７０は、例えば、ゲスト・オペレーティング・システム１６０におけるインスタンス化、インストール、または実行、あるいはそれらの組み合わせのためのコンテナ・イメージを受信するように構成され得る。例えば、コンテナ・イメージは、ドッカー・レジストリなどのコンテナ・リポジトリから取得したドッカー・イメージであってもよい。例えば、コンテナ・イメージは、コンテナを生成するための命令を用いた読み取り専用テンプレートであってもよい。コンテナ・イメージを用いると、コンテナ１８０Ａ～Ｎは、ゲスト・オペレーティング・システム１６０における１つまたは複数のプロセスとしての実行のためにコンテナ・マネージャ１７０によってインスタンス化され得る。

プロセスベース仮想化システム１００は、ＶＭ内で実行中のコンテナを用いて仮想化を可能にする。

図１Ｂは、本主題の実施例による、プロセスベース仮想化システム１９０のブロック図である。

プロセスベース仮想化システム１９０は、図１Ａを参照して説明されるように、ホスト・オペレーティング・システム（ＯＳ）１９５、ファームウェア１９６、およびハードウェア１９７を含む。ハードウェア１９７は、例えば、本主題の実施例によるデータ処理ユニット（例えば、プロセッサ・コア）を含み得る。

プロセスベース仮想化システム１９０は、例えばＶＭを使用することなく（即ちハイパーバイザを使用することなく）、コンテナのみを使用して仮想化を提供する。

プロセスベース仮想化システム１９０は、コンテナを有効にし得る。コンテナは、セキュア・コンテナまたは非セキュア・コンテナあるいはその両方であってもよい。例えば、プロセスベース仮想化システム１９０は、コンテナ１９２Ａ～Ｎを開発、配信、インストール、および実行するためにホスト・オペレーティング・システム（ＯＳ）１９５によって少なくとも一部実行されるコンテナ・マネージャ１９１を含む。コンテナ１８０Ａおよび１８０Ｂと同様に、コンテナ１９２Ａおよび１９２Ｂは、アプリケーションおよびライブラリ・オペレーティング・システムのコピーを含むことが理解される。さらに、セキュア・コンテナ１８０Ｎと同様に、セキュア・コンテナ１９２Ｎは、アプリケーションおよびライブラリ・オペレーティング・システムのよりセキュアなバージョンを含む。コンテナ・マネージャ１９１は、例えば、ドッカーまたはＬＸＣであってもよい。コンテナ１９２Ａ～Ｎのコンテナは、コンテナ・マネージャ１９１を用いて生成され得る。

図２は、本主題の実施例による、データ処理ユニットのマシン状態を示すＭＳＲからのビットのテーブルである。異なるマシン状態が、第１の動作モードおよび第２の動作モードのために提供される。本実施例では、典型的な第１の動作モード２１０は、ＭＳＲ（Ｓ）ビット２２０を用いて第２の動作モードと共に拡張される。ＭＳＲ（Ｓ）ビット２２０は、例えばセキュア・ビットである。

第１の動作モード２１０において、データ処理ユニットは、４つの異なるマシン状態２５１～２５４を有し得る。４つのマシン状態２５１～２５４のそれぞれが、ハイパーバイザ１１０などの対応するコンポーネントおよび非セキュア・アプリケーションのためのデータ処理ユニットのデータおよびリソースへのアクセスを可能にする。例えば、信頼されないアプリケーションおよびハイパーバイザ１１０は、ＭＳＲ（Ｓ）ビット２２０が０に設定されている場合に動作され得る。状態２５２は、データ処理ユニットがプロセスベース仮想化システム１００の一部である場合にハイパーバイザ１１０に関連付けられ、データ処理ユニットがプロセスベース仮想化システム１９０の一部である場合にホストＯＳ１９５に関連付けられる。状態２５２は、本明細書において説明の簡略化のためにハイパーバイザ状態と呼ばれる。

第２の動作モード２１０は、ＭＳＲ（Ｓ）ビット２２０が１に設定されている場合にアクティブであり得る。例えば、ＭＳＲ（Ｓ）ビット２２０は、セキュア・アプリケーションに対して１に設定される。第２の動作モードでは、データ処理ユニットは、マシン状態２４１～２４４を有し得る。少なくとも２つの状態２４１～２４２は、セキュア・アプリケーションの実行を可能にするために使用され得る。（例えば、ＶＭ１５０において）実行されるセキュア・アプリケーションが変更なしで動作され得ることを可能にするために、２つの状態が、１に等しいＭＳＲ（Ｓ）ビット２２０を用いてサポートされる。

マシン状態２４１～２４４および２５１～２５４の各マシン状態が、ＭＳＲのビットのセットの値のそれぞれの組み合わせによって定義され得る。ビットのセットは、例えば、ファームウェアによって維持／設定され得る。ビットのセットは、セキュア・ビットを含む。ビットのセットは、ＭＳＲ（ＨＶ）およびＭＳＲ（ＰＲ）ビットをさらに含み得る。第２の動作モードにおいて、ファームウェア状態（またはウルトラバイザ状態）が、ＭＳＲ（Ｓ）ビット２２０、ＭＳＲ（ＨＶ）ビット２３０、およびＭＳＲ（ＰＲ）ビット２４０をそれぞれ１、１、および０に設定することによって定義される。セキュア・アプリケーションを実行するために、ＭＳＲ（ＰＲ）ビットは、データ処理ユニットが状態０ｂ１１１であるように反転されてもよい。したがって、セキュア・アプリケーションのコードのコード変更なしに、ファームウェアは、そうでなければハイパーバイザ状態２５２に入ったときにハイパーバイザ１１０（またはホストＯＳ１９５）の代わりに制御を維持し得る。これは、ファームウェアがハイパーバイザ１１０（またはホストＯＳ１９５）に対する制御を与える前に、セキュア・データおよび状態情報を保存およびクリアすることを可能にする。ファームウェア状態からハイパーバイザ状態への状態の遷移は、割り込みダブル・ワード命令から戻るファームウェアによってＭＳＲ（Ｓ）ビット２２０を０にリセットすることによって実行され得る。これは、例としての実施態様を提供し、代替の等価な機構が当業者によって実施され得る。

データ処理ユニットは、それが切り替えられる状態に関連付けられたコンポーネントによるデータへのアクセスを可能にするために、状態２４１～２４４と状態２５１～２５４との間で切り替えまたは遷移するように構成され得る。例えば、状態２４１（ＭＳＲ（Ｓ、ＨＶ、ＰＲ）＝０ｂ１１１）において、セキュア・アプリケーションが実行されてもよく、セキュア・メモリに記憶されたデータにアクセスすることを可能にされてもよい。ハードウェア１３０は、ファームウェアのみがＭＳＲ（Ｓ）ビットを設定可能であるように構成され得る。ファームウェア１２０が、セキュア状態と非セキュア状態との間の遷移を制御するため、およびＳＶＭまたはセキュア・プロセス／コンテナのセキュリティを保証するために、ファームウェア１２０は、ＭＳＲ（Ｓ）ビットを制御し、または状態がハードウェアによって自動的に変更されるたびに制御を受ける。

図３Ａは、セキュア・アプリケーションの実行を可能にするための方法のフローチャートである。セキュア・アプリケーションは、例えばセキュア・コンテナ１８０Ｎの一部であってもよい。セキュア・アプリケーション・プロセスの実行は、図１Ａまたは図１Ｂのシステムにおいて実施され得るが、それは、その実施態様に限定されない。

データ処理ユニットは、ステップ３０１において、例えばセキュア・ビットを１に設定することによって、第２の動作モードで動作するように構成され得る。ステップ３０１は、例えば、ファームウェア１２０によってプロセス初期化システム・コールまたは別のシステム・コール（例えば、ｓｃａｌｌという）を所与のプロセスから受信すると、実行され得る。所与のプロセスは、非セキュア・アプリケーションのプロセスであってもよい。ファームウェア１２０は、例えば、データ処理ユニットが第２の動作モードで動作し得るようにセキュア・ビットＭＳＲ（Ｓ）を設定し得る。

受信したプロセス初期化システム・コール（または受信したｓｃａｌｌ）は、第１のメモリ・コンポーネント内の暗号化フォーマットのセキュア・コンテナ１８０Ｎのセキュア・アプリケーションを含む暗号化ファイルを指し示し得る。図３Ｂおよび図３Ｃは、プロセスベース仮想化システム１００および１９０それぞれについての第１のメモリ・コンポーネントおよび第２のメモリ・コンポーネントの例としてのコンテンツを示す。プロセスベース仮想化システム１００の第１のメモリ・コンポーネント（本明細書では通常メモリ３１０Ａと呼ばれる）は、暗号化セキュア・アプリケーションおよびセキュア・ライブラリ・オペレーティング・システム３０２、ドッカー・エンジンを含み得るＶＭ１５０、ゲストＯＳ１６０、ならびにセキュア・コンテナを暗号化フォーマットで含む。プロセスベース仮想化システム１９０の第１のメモリ・コンポーネント３１０Ｂは、コンテナ・マネージャ１９１、ホストＯＳ１９５、ならびに暗号化セキュア・アプリケーションおよびライブラリ・オペレーティング・システム３０２を含む、暗号化フォーマットを用いたセキュア・コンテナを含む。

ステップ３０３において、ファームウェア１２０は、暗号化セキュア・アプリケーションを第２のメモリ・コンポーネントに移動する。ステップ３０４において、ファームウェア１２０は、セキュア・アプリケーションを復号し得る。一実施例では、ファームウェアは、復号されたセキュア・アプリケーションの完全性チェックを実行し得る。完全性チェックは、セキュア・アプリケーションの暗号化されていないコンテンツに関連付けられたハッシュを用いて、例えばコードに何も変更がない（例えば、ビットが反転されている）ことを確認するために、実行され得る。完全性チェックが失敗である場合、セキュア・プロセス／コンテナへの遷移は失敗し、第２のメモリ・コンポーネントは、復帰の前にクリアされる。この場合、ステップ３０５～３０７は、実行されない。図３Ｂに示されるように、第２のメモリ・コンポーネント３１２Ａは、プロセスベース仮想化システム１００のセキュア・メモリであり、変換：基数ツリー３０９と、ｅｆｆＬＰＩＤ＝ＦＦＦであるファームウェア１２０と、セキュア・アプリケーションおよびセキュア・ライブラリＯＳを暗号化されていないフォーマットで含むセキュア・コンテナ３０８と、を含む。第２のメモリ・コンポーネント３１２Ａは、ＳＶＭ１４０を暗号化されていないフォーマットでさらに含み得る。図３Ｂに示されるように、プロセスベース仮想化システム１９０の第２のメモリ・コンポーネントは、本明細書ではセキュア・メモリ３１２Ｂと呼ばれ、変換：基数ツリー３０９と、ファームウェア１９６と、セキュア・コンテナを暗号化されていないフォーマットで含むセキュア・コンテナ３０８と、を含む。

ステップ３０５において、ファームウェア１２０は、セキュア・アプリケーションによる第２のメモリ・コンポーネント内のデータへのアクセスを可能にするために、第２のメモリ・コンポーネントにおいて変換構造をセットアップする。変換構造は、図６Ｄに示されるように、パーティション・テーブルおよびプロセス・テーブルを含み得る。セットアップは、セキュア・プロセス・テーブルを指し示すパーティション・テーブル内の新たなエントリを生成することによって実行され得る。エントリは、また、変換ツリー、例えば、図３Ｂおよび図３Ｃの変換：基数ツリー３０９などのセキュア・プロセス・スコープ指定基数ツリーにセキュア・アプリケーションを関連付けるセキュア・プロセス・テーブルに追加され得る。即ち、ファームウェア１２０は、パーティション・テーブルを有し、変換ツリーを用いてアドレス変換のためにセットアップする。例えば、プロセスベース仮想化システム１００および１９０の第２のメモリ・コンポーネント３１２Ａおよび３１２Ｂは、セキュア・アプリケーション・アドレス変換ツリーを記憶し得る。

一実施例では、図３Ａの方法は、セキュア・アプリケーションを開始するステップ３０７をさらに含み得る。一実施例では、セキュア・アプリケーションの開始は、プロセス初期化システム・コールの受信後、アプリケーション開始システム・コールを受信することに応答して実行され得る。即ち、ステップ３０１～３０５は、受信したプロセス初期化システム・コールに応答して実行されてもよく、ステップ３０７は、受信したアプリケーション開始システム・コールに応答して実行されてもよい。別の実施例では、ステップ３０１～３０７は、受信した他のシステム・コール（ｓｃａｌｌ）に応答して実行され得る。

図４は、セキュア・アプリケーションを実行するための方法のフローチャートである。セキュア・アプリケーションは、例えばコンテナ、例えばセキュア・コンテナ１８０Ｎに含まれるコンテナの一部であってもよい。

ステップ４０１において、ファームウェア１２０は、例えば、非セキュア・アプリケーションのプロセスからアプリケーション開始システム・コールを受信し得る。アプリケーション開始システム・コールは、セキュア・アプリケーション・アドレス変換ツリーを示すアドレスを含む。

アプリケーション開始システム・コールを受信すると、ファームウェア１２０は、ステップ４０３においてセキュア・アプリケーションを実行し得る。セキュア・アプリケーションの実行は、セキュア・アプリケーション・アドレス変換ツリーを用いて第２のメモリ・コンポーネントにアクセスすることを含む。

図５は、セキュア・コンテナ、例えばセキュア・コンテナ１８０Ｎに含まれるコンテナを実行するための方法のフローチャートである。

ステップ５０１において、レベルｌｅｖ＝２を有するシステム・コール（例えば、ｕｃａｌｌ）が受信され得る。システム・コールは、セキュア・コンテナのセキュア・アプリケーションを開始するために受信される。システム・コールは、データ処理ユニットがファームウェア状態０ｂ１１０である間に受信され得る。

ステップ５０３において、セキュア・アプリケーションが（例えば、ｕｒｆｉｄまたはｈｒｉｆｄ命令を用いて）開始し得る。セキュア・アプリケーションの実行は、状態ＭＳＲ（Ｓ、ＨＶ、ＰＲ）＝０ｂ１１１において実行され得る。

セキュア・アプリケーションによって引き起こされる、またはトリガされる割り込みは、ステップ５０５～５０９を参照して説明されるように処理され得る。例えば、セキュア・アプリケーションが、例えば、ディスクからデータを読み出すためのＯＳ対応動作を必要とする場合、データ処理ユニットは、ステップ５０５において、状態２４２（ＭＳＲ（Ｓ、ＨＶ、ＰＲ）＝０ｂ１１０）に切り替え得る。状態２４２において、ファームウェアは、セキュア・アプリケーションの代理としてＯＳ動作を管理し得る。ファームウェアのコードの行数が限定された状態を保つために、ファームウェアは、セキュア・アプリケーションの要求された動作を実行するために、ＯＳを使用し得る。ファームウェアは、ステップ５０７～５０９においてＯＳが動作を実行することを可能にする所与の状態に、データ処理ユニットを切り替え得る。所与の状態は、セキュア・アプリケーションが図１Ａのプロセスベース仮想化システム１００の一部である場合に状態２５４であり、セキュア・アプリケーションが図１Ｂのプロセスベース仮想化システム１９０の一部である場合に状態２５２である。動作の要求されたデータは、第１のメモリ・コンポーネントに記憶される前に暗号化されてもよく、例えば、データは、セキュア・アプリケーションによって要求され得るように、暗号化フォーマットでディスクに提供または（事前）記憶されてもよい。動作が行われた後、データ処理ユニットは、再びファームウェア状態２４２に切り替える。ＯＳが動作を完了すると、ＯＳがセキュア・アプリケーションを再開することを選択する場合に、ファームウェア１２０に戻り、ファームウェア１２０は、セキュア状態０ｂ１１１（２４１）を復元し、制御をセキュア・アプリケーションに渡す。セキュア・アプリケーションが事前処理されたデータを用いて実行を続けるように、ファームウェアは、状態２４１に切り替える前に、例えば要求されたデータまたは動作の結果を事前処理し得る。事前処理は、例えば、セキュア・アプリケーションの出力データの暗号化またはセキュア・アプリケーションの入力データの復号を含み得る。セキュア・アプリケーションに関連せず、セキュア・アプリケーションが実行されている間に受信された割り込みは、確実にＯＳに反映され得る。

一実施例では、データ処理ユニットは、ステップ５０５において状態２４１ ０ｂ１１１から状態２４２ ０ｂ１１０に切り替え得る。データ処理ユニットは、ステップ５０７およびステップ５０９において状態２４２ ０ｂ１１０からハイパーバイザ状態に切り替えて、ホストＯＳが割り込みを処理することを可能にし得る。

図６Ａ～図６Ｄは、本主題の実施例による、第２のメモリ・コンポーネントに記憶されたデータへのアクセスを可能にする、データ・コンポーネントを示す。図６Ａおよび図６Ｂは、異なる受信有効アドレスに対するデータ処理ユニットの異なる状態を示すデータ構造６０１および６１０を示す。データ構造６０１および６１０は、プロセスベース仮想化システム１００および１９０それぞれについての所与の受信有効アドレス（ＥＡ）に、どの変換ツリーが使用され得るかを示す。

データ構造６０１および６１０は、セルを有するテーブルとして説明されてもよく、各セルが、２つの変数Ｖ１およびＶ２の別個の値の対によって定義される。変数Ｖ１は、データ構造の第１の列によって示される有効アドレスの最初の２つのビットの値を指し、変数Ｖ２は、ＭＳＲ（Ｓ、ＨＶ、ＰＲ）ビットの値を指す。本主題は、Ｖ１のそれぞれの別個の値に関連付けられたデータ処理ユニットの状態を定義するために、有効アドレスの最初の２つのビットを利用する。

データ構造の各セルは、２つの識別子の値を含む、２つのレジスタを示す。２つの識別子は、プロセス識別子および論理パーティション識別子（またはＶＭ識別子）である。例えば、受信アドレスが象限０にあり（即ち、ＥＡ（０：１）＝００）かつＭＳＲ（Ｓ、ＨＶ、ＰＲ）＝０ｂ１１１である場合、対応するセルは、プロセス（所与のアドレスを送信する）の識別子およびプロセスが実行中の論理パーティションの識別子から名付けられたレジスタ（例えば、ＳＰＩＤＲ）を示す。アドレス変換機構は、示されたレジスタのコンテンツおよび図６Ｄに示されるパーティション・テーブルを用いて、所与のアドレスを変換する（プロセスが正しいモードで実行中の場合）。

ＭＳＲ（Ｓ、ＨＶ、ＰＲ）ビットの値は、ＭＳＲレジスタから読み出され得る。ＭＳＲレジスタは、図６Ｃに示されるデータ処理ユニット６１５の一部である。ＭＳＲレジスタは、例えば、データ処理ユニット６１５の命令順序付けユニット（ＩＳＵ）６１６の一部であってもよい。加えて、ＳＰＩＤＲなどのデータ構造のセルにおいて示されるレジスタは、例えば、図６Ｃに示されるようにデータ処理ユニットのロード・ストア・ユニット（ＬＳＵ）／メモリ管理ユニット（ＭＭＵ）６１７の一部であってもよい。

図６Ｄに示されるように、図６Ａのデータ構造６０１および図６Ｂのデータ構造６１０の各セル内の２つのレジスタの値は、変換が実行され得るようにファームウェアによって制御されるパーティション・テーブルのインデックスとして使用され得る。例えば、セキュア・コンテナについて、２つのインデックスは、図６Ｄに示されるようにパーティション・スコープ指定ツリーを用いて所与のアドレスを変換することが可能であり得る。

図６Ｄに示されるように、パーティション・テーブル６２０は、論理パーティションＩＤ毎のエントリを含む。パーティション・テーブル６２０の各エントリが、対応するプロセス・テーブルを参照する。例えば、ＦＦＦに等しい論理パーティションＩＤによってインデックス付与されるエントリは、図６Ｄに示されるように、セキュア・プロセス・テーブル６２１を指し示してもよい。また、０に等しい論理パーティションＩＤによってインデックス付与されるエントリは、図６Ｄに示されるように、通常プロセス・テーブル６２２を指し示してもよい。セキュア・プロセス・テーブル６２１は、セキュア・プロセス毎のエントリを含み、セキュア・プロセスＩＤによってインデックス付与される。セキュア・プロセス・テーブル６２１の各エントリは、ページ・ディレクトリの位置および変換ツリー６２３のページ・テーブルを指し示す。変換ツリー６２３は、図６Ｄに示されるようなパーティション・スコープ指定変換ツリーであってもよい。変換ツリー６２３は、図６Ｄに示されるように、受信した有効アドレスを変換するために使用され得る。例えば、変換ツリー６２３の階層型変換テーブルの最高次数変換テーブルの原点は、例えば、セキュア・アプリケーション・プロセスに関連付けられたセキュア・プロセス・テーブルのエントリによって提供される。有効アドレスは、階層型変換テーブルの各テーブルにインデックス付与するために使用されて、次のテーブルの原点アドレスを判断して、例えば、物理メモリのページのアドレスを有するページ・テーブル・エントリ（ＰＴＥ）が位置特定される。

いくつかの実施形態が、プロセスベース仮想化のための方法、コンピュータ・システム、およびコンピュータ・プログラム製品のうちの１つまたは複数を提供する。少なくとも１つのそのような実施形態は、プロセスベース仮想化システムのオペレーティング・システム、セキュア・アプリケーション、非セキュア・アプリケーション、およびファームウェアにコンピュータ可読記憶媒体の第１のメモリ・コンポーネントへのアクセスを認可することを含み、ファームウェアおよびセキュア・アプリケーションが、コンピュータ可読記憶媒体の第２のメモリ・コンポーネントへのアクセスを許可され、オペレーティング・システムおよび非セキュア・アプリケーションが、第２のメモリ・コンポーネントにアクセスすることを禁止される。実施形態は、データ処理ユニットがオペレーティング・システムを用いて非セキュア・アプリケーションを実行するように、第１の動作モードで動作するようにデータ処理ユニットを修正することを含む。実施形態は、データ処理ユニットがファームウェアを用いてセキュア・アプリケーションを実行し、かつセキュア・アプリケーションのアプリケーション・コードが第２のメモリ・コンポーネントを用いて実行されるように、第２の動作モードで動作するようにデータ処理ユニットを修正することを含む。

少なくとも１つのそのような実施形態は、プロセスからシステム・コールを受信することを含み、システム・コールが、セキュア・アプリケーションが暗号化フォーマットで第１のメモリ・コンポーネントに記憶されていることを示す。少なくとも１つのそのような実施形態は、第２の動作モードで動作するようにデータ処理ユニットを修正することによって、システム・コールの受信に応答することを含む。少なくとも１つのそのような実施形態は、暗号化されたセキュア・アプリケーションを第２のメモリ・コンポーネントにコピーすることを含む。少なくとも１つのそのような実施形態は、第２のメモリ・コンポーネント内のセキュア・アプリケーションを復号することを含む。少なくとも１つのそのような実施形態は、復号されたセキュア・アプリケーションによる第２のメモリ・コンポーネントおよび第１のメモリ・コンポーネント内のデータへのアクセスを提供するアドレス変換構造を生成することを含む。少なくとも１つのそのような実施形態は、第２のメモリ・コンポーネントがアドレス変換構造を用いてアクセスされるように、復号されたセキュア・アプリケーションを実行することを含む。

少なくとも１つのそのような実施形態は、方法を実行するプログラム命令を含むファームウェアを含む。方法は、セキュア・アプリケーションが暗号化フォーマットで第１のメモリ・コンポーネントに記憶されていることを示すプロセス初期化システム・コールをプロセスから受信することを含む。方法は、プロセス初期化システム・コールの受信に応答することを含む。方法は、第２の動作モードで動作するようにデータ処理ユニットを構成することを含む。方法は、暗号化されたセキュア・アプリケーションを第２のメモリ・コンポーネントにコピーすることを含む。方法は、第２のメモリ・コンポーネント内のセキュア・アプリケーションを復号することを含む。方法は、復号されたセキュア・アプリケーションに第２のメモリ・コンポーネントおよび第１のメモリ・コンポーネント内のデータへのアクセスを認可するアドレス変換構造を生成することを含む。

少なくとも１つの実施形態において、アドレス変換構造は、パーティション・テーブルおよびセキュア・プロセス・テーブルを含む。少なくとも１つの実施形態において、パーティション・テーブルおよびセキュア・プロセス・テーブルは、第２のメモリ・コンポーネントに記憶される。少なくとも１つの実施形態において、アドレス変換構造を生成することは、パーティション・テーブルに（ｉ）セキュア・プロセス・テーブルを指し示すパーティション・エントリおよび（ｉｉ）セキュア・アプリケーションのセキュア・アプリケーション・プロセスに関連付けられたプロセス・エントリを追加することを含み、プロセス・エントリが、有効アドレスの物理アドレスへの変換を可能にするセキュア・アプリケーション・アドレス変換ツリーを指し示す。

少なくとも１つの実施形態は、方法を実行するプログラム命令を含むファームウェアを含む。方法は、第１のメモリ・コンポーネント内のセキュア・アプリケーションの記憶位置を示すアドレスを受信することを含む。方法は、アドレスを使用して、暗号化されたセキュア・アプリケーションをコピーし、かつセキュア・アプリケーションを復号することを含む。

少なくとも１つの実施形態において、暗号化セキュア・アプリケーションは、暗号化セキュア・アプリケーションのコンテンツに関連付けられたハッシュ値に関連付けられる。少なくとも１つの実施形態において、ファームウェアを介して実行され得る方法は、ハッシュ値を用いて暗号化セキュア・アプリケーションの完全性チェックを実行することを含む。

少なくとも１つの実施形態において、アドレス変換構造は、パーティション・テーブルおよびセキュア・プロセス・テーブルを含み、パーティション・テーブルは、論理プロセス識別子によってインデックス付与される。少なくとも１つの実施形態において、パーティション・テーブルは、セキュア・プロセス・テーブルを指し示すエントリを含み、セキュア・プロセス・テーブルを指し示すエントリは、固定値によってインデックス付与される。少なくとも１つの実施形態において、セキュア・プロセス・テーブルは、セキュア・プロセス識別子によってインデックス付与される。少なくとも１つの実施形態において、データ処理ユニットは、セキュア・アプリケーションのセキュア・アプリケーション・プロセスのセキュア・プロセス識別子の値を含む、セキュア・レジスタを含む。少なくとも１つの実施形態において、セキュア・アプリケーション・プロセスは、固定値を用いてセキュア・プロセス・テーブルを識別し、セキュア・レジスタの値に関連付けられたセキュア・プロセス・テーブルのエントリを用いてアドレス変換を実行するために、セキュア・レジスタに記憶された値を用いる。

少なくとも１つの実施形態は、方法を実行するプログラム命令を含むファームウェアを含む。方法は、変換構造が生成されていると判断することを含む。方法は、プロセスからアプリケーション開始システム・コールを受信することを含む。方法は、アプリケーション開始システム・コールを受信すると、アドレス変換構造を用いて第２のメモリ・コンポーネントにアクセスすることによって、復号されたセキュア・アプリケーションを実行することを含む。

少なくとも１つの実施形態において、データ処理ユニットは、第２の動作モードにおいて少なくとも第１のセキュア状態および第２のセキュア状態を含む。少なくとも１つの実施形態において、第１のセキュア状態は、データ処理ユニットがファームウェアの実行を可能にするファームウェア状態を含み、第２のセキュア状態は、データ処理ユニットがセキュア・アプリケーションの実行を可能にするセキュア・アプリケーション・プロセス状態を含む。

少なくとも１つの実施形態において、方法は、プロセス初期化システム・コールまたは割り込み要求を受信することに応答して、第１のセキュア状態に切り替えることを含む。少なくとも１つの実施形態において、方法は、アプリケーション開始システム・コールを受信することに応答して、第２のセキュア状態に切り替えることを含む。

少なくとも１つの実施形態において、データ処理ユニットは、値が第１のセキュア状態および第２のセキュア状態を示すビットのセットを含む。

少なくとも１つの実施形態において、データ処理ユニットは、ビットのセットが、データ処理ユニットについての動作モードを示すマシン状態レジスタ・ビットと、ハイパーバイザ状態を示すマシン状態レジスタ・ビットと、マシン状態レジスタの特権状態（privileged state）または問題状態（problem state）を示すマシン状態レジスタ・ビットと、を含むマシン状態レジスタを含む。

少なくとも１つの実施形態において、データ処理ユニットは、セキュア・ビットを含むマシン状態レジスタを含み、第１の値に設定されているセキュア・ビットが、データ処理ユニットを第１の動作モードで動作させ、第２の値に設定されているセキュア・ビットが、データ処理ユニットを第２の動作モードで動作させる。少なくとも１つの実施形態において、第１の動作モードにおいて、データ処理ユニットが、コンピュータ可読記憶媒体に書き込まれるデータを第１のメモリ・コンポーネントに書き込む。少なくとも１つの実施形態において、第２の動作モードにおいて、コンピュータ可読記憶媒体が、第１のメモリ・コンポーネントおよび第２のメモリ・コンポーネントに含まれるデータにアクセスするように修正される。

少なくとも１つの実施形態において、セキュア・アプリケーションのセキュア・アプリケーション・プロセスが、セキュア・アプリケーションを含むコンテナの実行可能インスタンスである。少なくとも１つの実施形態において、コンテナは、プロセスベース仮想化システムの仮想機械の中で実行中である。

本発明は、任意の可能な統合の技術的詳細レベルにおけるシステム、方法、またはコンピュータ・プログラム製品、あるいはそれらの組み合わせであってもよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令をその上に有するコンピュータ可読記憶媒体（または複数の媒体）を含み得る。

コンピュータ可読記憶媒体は、命令実行デバイスによる使用のための命令を保持し、記憶し得る有形デバイスであり得る。コンピュータ可読記憶媒体は、例えば、電子記憶デバイス、磁気記憶デバイス、光学記憶デバイス、電磁気記憶デバイス、半導体記憶デバイス、または前述したものの任意の適当な組み合わせであってもよいが、これらに限定されない。コンピュータ可読記憶媒体のより具体的な例の非網羅的リストは、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、静的ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ－ＲＯＭ）、デジタル・バーサタイル・ディスク（ＤＶＤ）、メモリ・スティック、フロッピー（Ｒ）・ディスク、パンチカードまたは命令をその上に記録させる溝内の隆起構造などの機械的に符号化されたデバイス、および前述したものの任意の適当な組み合わせを含む。本明細書で用いられるコンピュータ可読記憶媒体は、電波もしくは他の自由伝播する電磁波、導波管もしくは他の伝送媒体を通って伝播する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、または電線を通って伝送される電気信号などの、一過性信号それ自体であると解釈されるべきではない。

本明細書で説明されるコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体からそれぞれのコンピューティング／処理デバイスに、あるいはネットワーク、例えば、インターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、もしくはワイヤレス・ネットワーク、またはそれらの組み合わせを介して外部コンピュータまたは外部記憶デバイスに、ダウンロードされ得る。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはそれらの組み合わせを含み得る。各コンピューティング／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、コンピュータ可読プログラム命令をネットワークから受信し、それぞれのコンピューティング／処理デバイス内のコンピュータ可読記憶媒体の記憶用にコンピュータ可読プログラム命令を転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、機械命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路用の構成データ、またはＳｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語もしくは類似のプログラミング言語などの手続き型プログラミング言語を含む、１つもしくは複数のプログラミング言語の任意の組み合わせで書かれたソース・コードもしくはオブジェクト・コードのいずれかであってもよい。コンピュータ可読プログラム命令は、ユーザのコンピュータ上で完全に、ユーザのコンピュータ上で部分的に、スタンドアロン・ソフトウェア・パッケージとして、ユーザのコンピュータ上で部分的にかつリモート・コンピュータ上で部分的に、またはリモート・コンピュータもしくはサーバ上で完全に、実行してもよい。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）もしくはワイド・エリア・ネットワーク（ＷＡＮ）を含む任意の種類のネットワークを通してユーザのコンピュータに接続されてもよく、または、接続は、（例えば、インターネット・サービス・プロバイダを用いてインターネットを通して）外部コンピュータに対して行われてもよい。いくつかの実施形態では、例えば、プログラマブル・ロジック回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ）を含む電子回路は、本発明の態様を実行するために、コンピュータ可読プログラム命令の状態情報を用いて電子回路を個別化することによって、コンピュータ可読プログラム命令を実行し得る。

本発明の態様は、発明の実施形態による、方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図またはブロック図あるいはその両方を参照して、本明細書において説明される。フローチャート図またはブロック図あるいはその両方の各ブロック、およびフローチャート図またはブロック図あるいはその両方のブロックの組み合わせが、コンピュータ可読プログラム命令によって実施され得ると理解されたい。

コンピュータまたは他のプログラマブル・データ処理装置のプロセッサを介して実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定される機能／動作を実施する手段を作り出すように、これらのコンピュータ可読プログラム命令は、コンピュータ、または他のプログラマブル・データ処理装置のプロセッサに提供されてマシンを作り出すものであってもよい。コンピュータ可読記憶媒体に記憶される命令を有するコンピュータ可読記憶媒体が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定される機能／動作の態様を実施する命令を含む製品を含むように、これらのコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体に記憶され、コンピュータ、プログラマブル・データ処理装置、または他のデバイス、あるいはそれらの組み合わせに特定の方式で機能するように指示し得るものであってもよい。

コンピュータ、他のプログラマブル装置、または他のデバイス上で実行する命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定される機能／動作を実施するように、コンピュータ可読プログラム命令は、コンピュータ実施されるプロセスを作り出すために、コンピュータ、他のプログラマブル・データ処理装置、または他のデバイス上にロードされ、コンピュータ、他のプログラマブル装置、または他のデバイス上で一連の動作ステップを実行させるものであってもよい。

図面中のフローチャートおよびブロック図は、本発明の様々な実施形態によるシステム、方法、およびコンピュータ・プログラム製品の考えられる実施態様のアーキテクチャ、機能性、および動作を示している。この点に関して、フローチャートまたはブロック図内の各ブロックは、指定された論理機能を実施するための１つまたは複数の実行可能命令を含む、モジュール、セグメント、または命令の一部を表し得る。いくつかの代替実施態様において、ブロック内に記載された機能は、図面中に記載された順序以外で発生してもよい。例えば、連続して示される２つのブロックが、実際には、同時に、実質的に同時に、部分的または全体的に時間的に重複して実行されて、１つのステップとして実現されてもよく、または、ブロックが、関係する機能性次第で逆の順序で実行されることがあってもよい。ブロック図またはフローチャート図あるいはその両方の各ブロック、およびブロック図またはフローチャート図あるいはその両方におけるブロックの組み合わせが、指定された機能もしくは動作を実行し、または専用ハードウェアおよびコンピュータ命令の組み合わせを実行する専用ハードウェア・ベース・システムによって実施され得ることにも留意されたい。

Claims (20)

1. プロセスベース仮想化のためのコンピュータ・システムであって、
   １つまたは複数のコンピュータ・プロセッサと、
   一過性信号自体ではない少なくとも１つのコンピュータ可読記憶媒体と、
   前記少なくとも１つのコンピュータ可読記憶媒体上に記憶されたプログラム命令であって、前記１つまたは複数のコンピュータ・プロセッサの少なくとも１つのコンピュータ・プロセッサによって、前記少なくとも１つのコンピュータ・プロセッサに、
   プロセスベース仮想化システムのオペレーティング・システム、セキュア・アプリケーション、非セキュア・アプリケーション、およびファームウェアにコンピュータ可読記憶媒体の第１のメモリ・コンポーネントへのアクセスを認可することであって、前記ファームウェアおよび前記セキュア・アプリケーションが、前記コンピュータ可読記憶媒体の第２のメモリ・コンポーネントへのアクセスを許可され、前記オペレーティング・システムおよび前記非セキュア・アプリケーションが、前記第２のメモリ・コンポーネントにアクセスすることを禁止される、前記認可すること、
   データ処理ユニットが前記オペレーティング・システムを用いて前記非セキュア・アプリケーションを実行するように、第１の動作モードで動作するように前記データ処理ユニットを修正すること、および
   前記データ処理ユニットが前記ファームウェアを用いて前記セキュア・アプリケーションを実行し、かつ前記セキュア・アプリケーションのアプリケーション・コードが前記第２のメモリ・コンポーネントを用いて実行されるように、第２の動作モードで動作するように前記データ処理ユニットを修正すること、
   を含む方法を実行させるように実行可能である、前記プログラム命令と、
   を備える、コンピュータ・システム。
2. 前記ファームウェアが、
   プロセスからシステム・コールを受信するプログラム命令であって、前記システム・コールが、前記セキュア・アプリケーションが暗号化フォーマットで前記第１のメモリ・コンポーネントに記憶されていることを示す、前記プログラム命令と、
   前記第２の動作モードで動作するように前記データ処理ユニットを修正することによって、前記システム・コールの受信に応答するプログラム命令と、
   暗号化された前記セキュア・アプリケーションを前記第２のメモリ・コンポーネントにコピーするプログラム命令と、
   前記第２のメモリ・コンポーネント内の前記セキュア・アプリケーションを復号するプログラム命令と、
   復号された前記セキュア・アプリケーションによる前記第２のメモリ・コンポーネントおよび前記第１のメモリ・コンポーネント内のデータへのアクセスを提供するアドレス変換構造を生成するプログラム命令と、
   前記第２のメモリ・コンポーネントが前記アドレス変換構造を用いてアクセスされるように、前記復号されたセキュア・アプリケーションを実行するプログラム命令と、
   を含む、請求項１に記載のシステム。
3. 前記ファームウェアが、
   前記セキュア・アプリケーションが暗号化フォーマットで前記第１のメモリ・コンポーネントに記憶されていることを示すプロセス初期化システム・コールをプロセスから受信するプログラム命令と、
   前記第２の動作モードで動作するように前記データ処理ユニットを構成して、前記プロセス初期化システム・コールの受信に応答するプログラム命令と、
   暗号化された前記セキュア・アプリケーションを前記第２のメモリ・コンポーネントにコピーし、前記第２のメモリ・コンポーネント内の前記セキュア・アプリケーションを復号するプログラム命令と、
   復号された前記セキュア・アプリケーションに前記第２のメモリ・コンポーネントおよび前記第１のメモリ・コンポーネント内のデータへのアクセスを認可するアドレス変換構造を生成するプログラム命令と、
   を含む、請求項１に記載のシステム。
4. 前記アドレス変換構造が、パーティション・テーブルおよびセキュア・プロセス・テーブルを含み、前記パーティション・テーブルおよび前記セキュア・プロセス・テーブルが、前記第２のメモリ・コンポーネントに記憶され、前記アドレス変換構造を生成することが、前記パーティション・テーブルに（ｉ）前記セキュア・プロセス・テーブルを指し示すパーティション・エントリおよび（ｉｉ）前記セキュア・アプリケーションのセキュア・アプリケーション・プロセスに関連付けられたプロセス・エントリを追加することを含み、前記プロセス・エントリが、有効アドレスの物理アドレスへの変換を可能にするセキュア・アプリケーション・アドレス変換ツリーを指し示す、請求項２に記載のシステム。
5. 前記ファームウェアが、
   前記第１のメモリ・コンポーネント内の前記セキュア・アプリケーションの記憶位置を示すアドレスを受信するプログラム命令と、
   前記アドレスを使用して前記暗号化されたセキュア・アプリケーションをコピーし、前記セキュア・アプリケーションを復号するプログラム命令と、
   を含む、請求項２に記載のシステム。
6. 前記暗号化されたセキュア・アプリケーションが、前記暗号化されたセキュア・アプリケーションのコンテンツに関連付けられたハッシュ値に関連付けられ、前記ファームウェアが、前記ハッシュ値を用いて前記暗号化されたセキュア・アプリケーションの完全性チェックを実行するプログラム命令を含む、請求項２に記載のシステム。
7. 前記アドレス変換構造が、パーティション・テーブルおよびセキュア・プロセス・テーブルを含み、前記パーティション・テーブルが、論理プロセス識別子によってインデックス付与され、前記パーティション・テーブルが、前記セキュア・プロセス・テーブルを指し示すエントリを含み、前記セキュア・プロセス・テーブルを指し示すエントリが、固定値によってインデックス付与され、前記セキュア・プロセス・テーブルが、セキュア・プロセス識別子によってインデックス付与され、前記データ処理ユニットが、前記セキュア・アプリケーションのセキュア・アプリケーション・プロセスのセキュア・プロセス識別子の値を含むセキュア・レジスタを含み、前記セキュア・アプリケーション・プロセスが、前記固定値を用いて前記セキュア・プロセス・テーブルを識別し、前記セキュア・レジスタの値に関連付けられた前記セキュア・プロセス・テーブルのエントリを用いてアドレス変換を実行するために前記セキュア・レジスタに記憶された値を用いる、請求項２に記載のシステム。
8. 前記ファームウェアが、
   前記変換構造が生成されていると判断するプログラム命令と、
   前記プロセスからアプリケーション開始システム・コールを受信するプログラム命令と、
   前記アプリケーション開始システム・コールを受信すると、前記アドレス変換構造を用いて前記第２のメモリ・コンポーネントにアクセスすることによって、前記復号されたセキュア・アプリケーションを実行するプログラム命令と、
   を含む、請求項３に記載のシステム。
9. 前記データ処理ユニットが、前記第２の動作モードにおいて少なくとも第１のセキュア状態および第２のセキュア状態を含み、前記第１のセキュア状態が、前記データ処理ユニットが前記ファームウェアの実行を可能にするファームウェア状態を含み、前記第２のセキュア状態が、前記データ処理ユニットが前記セキュア・アプリケーションの実行を可能にするセキュア・アプリケーション・プロセス状態を含む、請求項１に記載のシステム。
10. 前記データ処理ユニットが、
    プロセス初期化システム・コールまたは割り込み要求を受信することに応答して前記第１のセキュア状態に切り替え、かつアプリケーション開始システム・コールを受信することに応答して前記第２のセキュア状態に切り替えるプログラム命令を含む、請求項９に記載のシステム。
11. 前記データ処理ユニットが、値が前記第１のセキュア状態および前記第２のセキュア状態を示すビットのセットを含む、請求項９に記載のシステム。
12. 前記ビットのセットが、前記データ処理ユニットについての動作モードを示すマシン状態レジスタ・ビットと、ハイパーバイザ状態を示すマシン状態レジスタ・ビットと、マシン状態レジスタの特権状態または問題状態を示すマシン状態レジスタ・ビットと、を含む前記マシン状態レジスタを、前記データ処理ユニットが含む、請求項１１に記載のシステム。
13. （ｉ）前記データ処理ユニットが、セキュア・ビットを含むマシン状態レジスタを含み、第１の値に設定されている前記セキュア・ビットが、前記データ処理ユニットを前記第１の動作モードで動作させ、第２の値に設定されている前記セキュア・ビットが、前記データ処理ユニットを前記第２の動作モードで動作させ、
    （ｉｉ）前記第１の動作モードにおいて、前記データ処理ユニットが、前記コンピュータ可読記憶媒体に書き込まれるデータを前記第１のメモリ・コンポーネントに書き込み、
    （ｉｉｉ）前記第２の動作モードにおいて、前記コンピュータ可読記憶媒体が、前記第１のメモリ・コンポーネントおよび前記第２のメモリ・コンポーネントに含まれるデータにアクセスするように修正される、
    請求項１に記載のシステム。
14. 前記セキュア・アプリケーションのセキュア・アプリケーション・プロセスが、前記セキュア・アプリケーションを含むコンテナの実行可能インスタンスである、請求項２に記載のシステム。
15. 前記コンテナが、前記プロセスベース仮想化システムの仮想機械の中で実行中である、請求項１４に記載のシステム。
16. プロセスベース仮想化のための方法であって、
    少なくとも１つのコンピュータ・プロセッサによって、プロセスベース仮想化システムのオペレーティング・システム、セキュア・アプリケーション、非セキュア・アプリケーション、およびファームウェアにコンピュータ可読記憶媒体の第１のメモリ・コンポーネントへのアクセスを認可することであって、前記ファームウェアおよび前記セキュア・アプリケーションが、前記コンピュータ可読記憶媒体の第２のメモリ・コンポーネントへのアクセスを許可され、前記オペレーティング・システムおよび前記非セキュア・アプリケーションが、前記第２のメモリ・コンポーネントにアクセスすることを禁止される、前記認可することと、
    前記少なくとも１つのコンピュータ・プロセッサによって、データ処理ユニットが前記オペレーティング・システムを用いて前記非セキュア・アプリケーションを実行するように、第１の動作モードで動作するように前記データ処理ユニットを修正することと、
    前記少なくとも１つのコンピュータ・プロセッサによって、前記データ処理ユニットが前記ファームウェアを用いて前記セキュア・アプリケーションを実行し、かつ前記セキュア・アプリケーションのアプリケーション・コードが前記第２のメモリ・コンポーネントを用いて実行されるように、第２の動作モードで動作するように前記データ処理ユニットを修正することと、
    を含む、方法。
17. 前記少なくとも１つのコンピュータ・プロセッサによって、プロセスからシステム・コールを受信することであって、前記システム・コールが、前記セキュア・アプリケーションが暗号化フォーマットで前記第１のメモリ・コンポーネントに記憶されていることを示す、前記受信することと、
    前記少なくとも１つのコンピュータ・プロセッサによって、前記第２の動作モードで動作するように前記データ処理ユニットを修正することによって、前記システム・コールの受信に応答することと、
    前記少なくとも１つのコンピュータ・プロセッサによって、暗号化された前記セキュア・アプリケーションを前記第２のメモリ・コンポーネントにコピーすることと、
    前記少なくとも１つのコンピュータ・プロセッサによって、前記第２のメモリ・コンポーネント内の前記セキュア・アプリケーションを復号することと、
    前記少なくとも１つのコンピュータ・プロセッサによって、復号された前記セキュア・アプリケーションによる前記第２のメモリ・コンポーネントおよび前記第１のメモリ・コンポーネント内のデータへのアクセスを提供するアドレス変換構造を生成することと、
    前記少なくとも１つのコンピュータ・プロセッサによって、前記第２のメモリ・コンポーネントが前記アドレス変換構造を用いてアクセスされるように、前記復号されたセキュア・アプリケーションを実行することと、
    を含む、請求項１６に記載の方法。
18. 前記少なくとも１つのコンピュータ・プロセッサによって、前記セキュア・アプリケーションが暗号化フォーマットで前記第１のメモリ・コンポーネントに記憶されていることを示すプロセス初期化システム・コールをプロセスから受信することと、
    前記少なくとも１つのコンピュータ・プロセッサによって、前記第２の動作モードで動作するように前記データ処理ユニットを構成することによって、前記プロセス初期化システム・コールの受信に応答することと、
    前記少なくとも１つのコンピュータ・プロセッサによって、前記暗号化されたセキュア・アプリケーションを前記第２のメモリ・コンポーネントにコピーすること、および前記第２のメモリ・コンポーネント内の前記セキュア・アプリケーションを復号することと、
    前記少なくとも１つのコンピュータ・プロセッサによって、前記復号されたセキュア・アプリケーションに前記第２のメモリ・コンポーネントおよび前記第１のメモリ・コンポーネント内のデータへのアクセスを認可するアドレス変換構造を生成することと、
    を含む、請求項１６に記載の方法。
19. アドレス変換構造は、パーティション・テーブルおよびセキュア・プロセス・テーブルを含み、前記パーティション・テーブルおよび前記セキュア・プロセス・テーブルが、前記第２のメモリ・コンポーネントに記憶され、前記アドレス変換構造を生成することが、前記パーティション・テーブルに（ｉ）前記セキュア・プロセス・テーブルを指し示すパーティション・エントリおよび（ｉｉ）前記セキュア・アプリケーションのセキュア・アプリケーション・プロセスに関連付けられたプロセス・エントリを追加することを含み、前記プロセス・エントリが、有効アドレスの物理アドレスへの変換を可能にするセキュア・アプリケーション・アドレス変換ツリーを指し示す、請求項１６に記載の方法。
20. プロセスベース仮想化のためのコンピュータ・プログラム製品であって、前記コンピュータ・プログラム製品が、具現化されたプログラム命令を有するコンピュータ可読記憶媒体を含み、前記コンピュータ可読記憶媒体が、一過性信号自体ではなく、前記プログラム命令が、デバイスに、
    プロセスベース仮想化システムのオペレーティング・システム、セキュア・アプリケーション、非セキュア・アプリケーション、およびファームウェアにコンピュータ可読記憶媒体の第１のメモリ・コンポーネントへのアクセスを認可することであって、前記ファームウェアおよび前記セキュア・アプリケーションが、前記コンピュータ可読記憶媒体の第２のメモリ・コンポーネントへのアクセスを許可され、前記オペレーティング・システムおよび前記非セキュア・アプリケーションが、前記第２のメモリ・コンポーネントにアクセスすることを禁止される、前記認可することと、
    データ処理ユニットが前記オペレーティング・システムを用いて前記非セキュア・アプリケーションを実行するように、第１の動作モードで動作するように前記データ処理ユニットを修正することと、
    前記データ処理ユニットが前記ファームウェアを用いて前記セキュア・アプリケーションを実行し、かつ前記セキュア・アプリケーションのアプリケーション・コードが前記第２のメモリ・コンポーネントを用いて実行されるように、第２の動作モードで動作するように前記データ処理ユニットを修正することと、
    を含む方法を実行させるように前記デバイスによって実行可能である、コンピュータ・プログラム製品。

Images