JP2024533120A - セキュア仮想マシンの診断状態の格納 - Google Patents

Abstract

仮想マシンの診断状態を格納するための少なくとも１つの要求が取得される。少なくとも１つの要求を取得することに基づいて、仮想マシンの格納された診断状態を提供するために、仮想マシンの診断状態の格納が実行される。格納を実行することは、暗号化されずに格納されている仮想マシンの診断状態を暗号化し、暗号化されずに格納されている仮想マシンの診断状態を暗号化する前の、信頼できない実体による仮想マシンの診断状態の読み取りを防ぐことを含む。

Description

１つまたは複数の態様は、一般に、コンピューティング環境内の処理を容易にすることに関連しており、特に、そのような処理を改善することに関連している。

仮想マシンの診断状態の格納（仮想マシン・ダンプとも呼ばれる）は、その後の分析のために、仮想マシンの状態をファイルで提供する。この格納は、多くの場合、仮想マシンの不具合の根本原因を見つけるために使用される。仮想マシンの状態は、例えば、仮想マシンのメモリのコピーに加えて、仮想マシンの１つまたは複数の中央処理装置の選ばれたレジスタのコピーを含む。

一部の仮想マシンはセキュア仮想マシンであり、セキュア仮想マシンでは、コンピュータ・システムのハードウェアおよびファームウェアが、仮想マシンが共有として能動的に指定する特殊なメモリ領域を除いて、セキュア仮想マシンの状態へのアクセスを拒否する。そのような仮想マシンは、通常は可能であると思われるような、ハイパーバイザによっても、仮想マシンをホストするオペレーティング・システムの管理者によっても、アクセスされ得ない。仮想マシンの状態へのアクセスは、ホスト・システム上の許可された実体が、暗号鍵または秘密文書のような機密情報を仮想マシンのメモリから読み取ることができるということを意味し、これはセキュリティ・リスクになる。

セキュア仮想マシンなどの仮想マシンの診断状態を格納することを含む、仮想マシンに関連する処理が、容易にされるべきである。

コンピューティング環境内の処理を容易にするためのコンピュータ・プログラム製品の提供によって、従来技術の欠点が克服され、追加の利点がもたらされる。コンピュータ・プログラム製品は、１つまたは複数のコンピュータ可読ストレージ媒体と、方法を実行するために１つまたは複数のコンピュータ可読ストレージ媒体に集合的に格納されたプログラム命令とを含む。この方法は、仮想マシンの診断状態を格納するための少なくとも１つの要求を取得することを含む。少なくとも１つの要求を取得することに基づいて、仮想マシンの格納された診断状態を提供するために、仮想マシンの診断状態の格納が実行される。格納を実行することは、暗号化されずに格納されている仮想マシンの診断状態を暗号化し、暗号化されずに格納されている仮想マシンの診断状態を暗号化する前の、信頼できない実体による仮想マシンの診断状態の読み取りを防ぐことを含む。

診断の目的で格納されている仮想マシンの状態のセキュリティを維持しながら、仮想マシン（例えば、セキュア仮想マシン）の診断状態が格納されてよい。

例として、仮想マシンの格納された診断状態は、仮想マシンのメモリの内容を含み、または仮想マシンの格納された診断状態は、仮想マシンの１つまたは複数のプロセッサ・レジスタの内容を含み、あるいはその両方である。

１つの例では、仮想マシンの診断状態の格納を開始するための診断状態格納開始要求が取得される。診断状態格納開始要求は、暗号化されずに格納されている仮想マシンの診断状態の少なくとも一部を暗号化することにおいて使用される第１の暗号鍵を取得するために使用される。

１つの例では、少なくとも１つの要求を取得することは、診断プロセッサ状態格納要求を取得することを含む。診断プロセッサ状態格納要求を取得することに基づいて、診断状態の格納を実行することは、例えば、第１の暗号鍵を使用して、仮想マシンの少なくとも１つのプロセッサの少なくとも選ばれた内容を暗号化し、暗号化されたプロセッサの内容を提供することと、暗号化されたプロセッサの内容を格納することとを含む。

１つの例では、少なくとも１つの要求を取得することは、セキュア・メモリからの変換要求を取得することを含む。セキュア・メモリからの変換要求を取得することに基づいて、診断状態の格納を実行することは、例えば、第２の暗号鍵を使用して、暗号化されていない仮想マシンのメモリの少なくとも選ばれた内容を暗号化し、メモリの暗号化された内容を提供することと、メモリの暗号化された内容を格納することとを含む。

例として、セキュア・メモリからの変換要求を取得することに基づいて、診断状態の格納を実行することは、例えば、格納される内容のメモリの単位が暗号化されているかどうかを判定することと、メモリの単位が暗号化されていないということの決定に基づいて、第２の暗号鍵を使用してメモリの単位を暗号化することとを含み、暗号化されているメモリの単位は、再暗号化されない。

暗号化されていない内容を暗号化すること（および暗号化された状態を再暗号化しないこと）によって、処理サイクルおよび複雑さが減らされ、システム性能を改善する。

１つの例では、格納された診断状態は、メモリの暗号化された内容を含む。さらに、１つの例では、診断メモリ状態格納要求が取得され、診断メモリ状態格納要求を取得することに基づいて、メモリの暗号化された内容を復号するために使用されるメタデータが格納される。

例として、このメタデータは、メモリの暗号化された内容を復号するために使用される１つまたは複数の選ばれた値を作成するために使用される１つまたは複数の選ばれた構成要素値を含む。

１つの例では、診断状態の格納を完了するための完了要求が取得され、完了要求を取得することに基づいて、仮想マシンの暗号化されて格納された診断状態を復号するために使用されるデータが提供される。

例として、このデータは、メモリの暗号化された内容の復号において使用される第２の暗号鍵と、暗号化において使用される１つまたは複数の選ばれた値を作成するために使用されるノンス値とを含む。さらに、１つの例では、データの少なくとも一部が暗号化される。

１つまたは複数の態様に関連するコンピュータ実装方法およびシステムも本明細書に記載され、請求される。さらに、１つまたは複数の態様に関連するサービスも本明細書に記載され、請求されてよい。

さらなる特徴および利点が、本明細書に記載された技術によって実現される。他の実施形態および態様は、本明細書において詳細に説明され、請求される態様の一部と見なされる。

１つまたは複数の態様は、本明細書の最後にある特許請求の範囲において例として具体的に指摘され、明確に請求される。前述の内容、ならびに１つまたは複数の態様の目的、特徴、および利点は、添付の図面と併せて行われる以下の詳細な説明から明らかになる。

本発明の１つまたは複数の態様を組み込んで使用するためのコンピューティング環境の１つの例を示す図である。 本発明の１つまたは複数の態様に従って、構成ダンプを実行することとも呼ばれる、構成（例えば、仮想マシン）の診断状態を格納する１つの例を示す図である。 本発明の１つまたは複数の態様に従って、構成ダンプ開始制御ブロックの１つの例を示す図である。 本発明の１つまたは複数の態様に従って、中央処理装置（ＣＰＵ：central processing unit）状態ダンプ制御ブロックの１つの例を示す図である。 本発明の１つまたは複数の態様に従って、セキュア中央処理装置ダンプ領域の１つの例を示す図である。 本発明の１つまたは複数の態様に従って使用されるセキュア・ストレージからの変換制御ブロックの１つの例を示す図である。 本発明の１つまたは複数の態様に従って、構成ストレージ状態ダンプ制御ブロックの１つの例を示す図である。 本発明の１つまたは複数の態様に従って、構成ダンプ完了制御ブロックの１つの例を示す図である。 本発明の１つまたは複数の態様に従って、コンピューティング環境内の処理を容易にする１つの例を示す図である。 本発明の１つまたは複数の態様に従って、コンピューティング環境内の処理を容易にする１つの例を示す図である。 本発明の１つまたは複数の態様に従って、コンピューティング環境内の処理を容易にする１つの例を示す図である。 本発明の１つまたは複数の態様を組み込んで使用するためのコンピューティング環境の別の例を示す図である。 本発明の１つまたは複数の態様に従って、図８Ａのメモリのさらなる詳細を示す図である。 本発明の１つまたは複数の態様に従って、クラウド・コンピューティング環境の１つの実施形態を示す図である。 本発明の１つまたは複数の態様に従って、抽象モデル・レイヤの１つの例を示す図である。

本発明の１つまたは複数の態様に従って、コンピューティング環境内の処理を容易にするための能力が提供される。例として、この能力は、格納されている仮想マシンの状態のセキュリティを維持しながら仮想マシン（例えば、セキュア仮想マシン）の診断状態が格納され得る（ダンプされるとも呼ばれる）技術を含む。例として、診断状態は、信頼できない実体（例えば、ハイパーバイザ）によって読み取り可能になる前に、暗号化される。

１つの例では、診断分析のために格納される（すなわち、ダンプされる）仮想マシンのメモリの内容が、例えば、ダンプ鍵と呼ばれる選択された鍵（第１の暗号鍵とも呼ばれる）を使用することによって、暗号化されてよい。例えば、ページアウトされ、ページング鍵（第２の暗号鍵とも呼ばれる）を使用して現在暗号化されているメモリが、選択された鍵を使用して復号され、再暗号化される。別の例として、本発明の態様に従って、複雑さおよび使用される中央処理装置のサイクル数を減らすために、暗号化された（ページング鍵を使用して暗号化された）メモリを再暗号化する代わりに、メモリの単位（例えば、メモリのページ）のための選ばれた一意の値（例えば、微調整値）が提供され、選択された鍵を使用してページング鍵が暗号化される。したがって、ページアウトされたページが、ダンプするために再暗号化される必要はなく、まだ暗号化されていないページのみが、ダンプするために再暗号化される。さらに説明するために、メモリの各単位に、微調整値または選ばれた一意の値と呼ばれる、例えば符号なし整数である値が与えられる。これらの値は、任意の整数から始まり、連続的に割り当てられる。この値は、例えば、リトルエンディアン・バイト配列に変換されてよく、例えば、ＡＥＳ（Advanced Encryption Standard：高度暗号化標準）アルゴリズムを使用して、この値の暗号化が実行されてよい。

１つまたは複数の態様では、仮想マシン（例えば、セキュア仮想マシン）のダンプまたは診断の格納を安全に容易にするために、ウルトラバイザ呼び出し（Ultravisor Call）と呼ばれる命令を使用するアプリケーション・プログラミング・インターフェイスが提供されて使用される。ウルトラバイザ呼び出し命令は、セキュア仮想マシンの診断状態を格納するために使用される１つまたは複数のコマンドを開始するために使用される。これらのコマンドは、例えば、構成ダンプ開始コマンド、中央処理装置状態ダンプ・コマンド、セキュア・ストレージからの変換コマンド、構成ストレージ状態ダンプ・コマンド、および構成ダンプ完了コマンドを含み、これらのコマンドの各々が、下でさらに説明される。

本発明の１つまたは複数の態様を組み込んで使用するためのコンピューティング環境の１つの実施形態が、図１を参照して説明される。例として、コンピューティング環境は、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ（ニューヨーク州アーモンク市）によって提供されるｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）命令セット・アーキテクチャに基づく。ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ命令セット・アーキテクチャの１つの実施形態は、“z/Architecture Principles of Operation," IBM Publication No.SA22-7832-12, Thirteenth Edition, September 2019という公開文献に記載されており、この公開文献は本明細書において参照によってその全体が本明細書に組み込まれている。しかし、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ命令セット・アーキテクチャは１つの例示的なアーキテクチャにすぎず、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎまたは他の実体あるいはその両方の、他のアーキテクチャまたは他の種類のコンピューティング環境あるいはその両方が、本発明の１つまたは複数の態様を含むか、または使用するか、あるいはその両方であってよい。ｚ／ＡｒｃｈｉｔｅｃｔｕｒｅおよびＩＢＭは、少なくとも１つの管轄区域内のＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎの商標または登録商標である。

図１を参照すると、１つの例では、コンピューティング環境１００は中央処理装置複合体（ＣＰＣ：central processor complex）１０２を含む。中央処理装置複合体１０２は、例えば、ＩＢＭ Ｚ（Ｒ）サーバ（または、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎもしくは他の実体によって提供される他のサーバもしくはマシン）であり、例えば、１つまたは複数のプロセッサ・ユニット（プロセッサとも呼ばれる）１１０および入出力（Ｉ／Ｏ：input/output）サブシステム１１１に結合されたメモリ１０４（システム・メモリ、メイン・メモリ、主記憶装置、中央記憶装置、ストレージとも呼ばれる）などの、複数のコンポーネントを含んでいる。プロセッサ・ユニット１１０の例としては、１つまたは複数の汎用プロセッサ（セントラル・プロセッサまたは中央処理装置（ＣＰＵ：central processing units）としても知られている）または１つまたは複数の他のプロセッサあるいはその両方が挙げられる。ＩＢＭ Ｚは、少なくとも１つの管轄区域内のＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎの商標または登録商標である。

Ｉ／Ｏサブシステム１１１は、中央処理装置複合体の一部であるか、または中央処理装置複合体から分離することができる。Ｉ／Ｏサブシステム１１１は、主記憶装置１０４と、中央処理装置複合体に結合された入出力制御ユニット１０８および入出力（Ｉ／Ｏ）デバイス１０６との間の情報の流れを方向付ける。

多くの種類のＩ／Ｏデバイスが使用されてよい。１つの特定の種類は、データ・ストレージ・デバイス１４０である。データ・ストレージ・デバイス１４０は、１つまたは複数のプログラム１４２、１つまたは複数のコンピュータ可読プログラム命令１４４、またはデータ、あるいはその組合せなどを格納することができる。コンピュータ可読プログラム命令は、本発明の態様の実施形態の機能を実行するように構成され得る。

中央処理装置複合体１０２は、取り外し可能／取り外し不可、揮発性／不揮発性のコンピュータ・システム・ストレージ媒体を含むか、またはそのようなコンピュータ・システム・ストレージ媒体に結合されるか、あるいはその両方であることができる。例えば、中央処理装置複合体１０２は、取り外し不可、不揮発性の磁気媒体（通常は、「ハード・ドライブ」と呼ばれる）、取り外し可能、不揮発性の磁気ディスク（例えば、「フロッピー（Ｒ）・ディスク」）に対する読み取りと書き込みを行うための磁気ディスク・ドライブ、あるいはＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、または他の光媒体などの取り外し可能、不揮発性の光ディスクに対する読み取りまたは書き込みを行うための光ディスク・ドライブ、あるいはその組合せを含むか、またはこれらに結合されるか、あるいはその両方であることができる。他のハードウェア・コンポーネントまたはソフトウェア・コンポーネントあるいはその両方を、中央処理装置複合体１０２と併用できるということが理解されるべきである。その例として、マイクロコードまたはミリコード、デバイス・ドライバ、冗長プロセッシング・ユニット、外部ディスク・ドライブ・アレイ、ＲＡＩＤシステム、テープ・ドライブ、およびデータ・アーカイブ・ストレージ・システムなどが挙げられるが、これらに限定されない。

さらに、中央処理装置複合体１０２は、他の多数の汎用または専用のコンピューティング・システム環境または構成で運用され得る。中央処理装置複合体１０２での使用に適し得る周知のコンピューティング・システム、環境、または構成、あるいはその組合せの例としては、パーソナル・コンピュータ（ＰＣ：personal computer）システム、サーバ・コンピュータ・システム、シン・クライアント、シック・クライアント、ハンドヘルドまたはラップトップ・デバイス、マイクロプロセッサ・システム、マイクロプロセッサベース・システム、セット・トップ・ボックス、プログラマブル・コンシューマ・エレクトロニクス、ネットワークＰＣ、マイクロコンピュータ・システム、メインフレーム・コンピュータ・システム、およびこれらのシステムまたはデバイスのいずれかを含む分散クラウド・コンピューティング環境などが挙げられるが、これらに限定されない。

中央処理装置複合体１０２は、１つまたは複数の実施形態では仮想化をサポートし、仮想化のサポートでは、例えば、メモリ１０４が、１つまたは複数の仮想マシン１１２（ゲストとも呼ばれる）、仮想マシンを管理するハイパーバイザ１１４などの仮想マシン・マネージャ、信頼できる実行環境１１５、およびプロセッサ・ファームウェア１１６を含む。ハイパーバイザ１１４の１つの例は、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ（ニューヨーク州アーモンク市）によって提供されるｚ／ＶＭ（Ｒ）ハイパーバイザである。ハイパーバイザは、ホストと呼ばれることがある。ｚ／ＶＭは、少なくとも１つの管轄区域内のＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎの商標または登録商標である。

１つまたは複数の実施形態では、信頼できる実行環境１１５は、例えば、本明細書に記載されているようなプロセスを実行するように構成されたハードウェアまたはファームウェアあるいはその両方において少なくとも部分的に実装されてよい。信頼できる実行環境は、メモリ保護ハードウェアを利用してメモリ保護を実施する、信頼できるファームウェア（ウルトラバイザと呼ばれる）またはハードウェアあるいはその両方である。ゲストの所有者は、ホスト鍵文書に埋め込まれた公開ホスト鍵を使用することによって、（例えば、ＩＢＭ Ｓｅｃｕｒｅ Ｅｘｅｃｕｔｉｏｎを使用して）情報を信頼できる実行環境に安全に渡すことができる。機密情報を処理するために、信頼できる実行環境は、一致する秘密ホスト鍵を使用する。秘密ホスト鍵は、サーバ（例えば、ＩＢＭ Ｚ（Ｒ）サーバ）に固有であり、ハードウェア保護される。

プロセッサ・ファームウェア１１６は、例えば、プロセッサのマイクロコードまたはミリコードを含む。プロセッサ・ファームウェア１１６は、例えば、上位レベルのマシン・コードの実装において使用される、ハードウェア・レベルの命令またはデータ構造あるいはその両方を含む。１つの実施形態では、プロセッサ・ファームウェア１１６は、例えば、信頼できるソフトウェアを含んでいるマイクロコードまたはミリコード、基盤になるハードウェアに固有のマイクロコードまたはミリコードとして通常は提供され、システムのハードウェアへのオペレーティング・システムのアクセスを制御する、独自のコードを含む。

中央処理装置複合体の仮想マシンのサポートは、多数の仮想マシン（ゲストとも呼ばれる）１１２を操作する能力を提供し、各仮想マシン１１２は、異なるプログラム１２０と共に動作し、Ｌｉｎｕｘ（Ｒ）オペレーティング・システムなどのゲスト・オペレーティング・システム１２２を実行することができる。各仮想マシン１１２は、別々のシステムとして機能することができる。すなわち、各仮想マシンは、独立してリセットされ、ゲスト・オペレーティング・システムを実行し、異なるプログラムと共に動作することができる。仮想マシン内で実行されるオペレーティング・システムまたはアプリケーション・プログラムは、完全なシステム全体にアクセスできるように見えるが、実際は、その一部のみが利用可能である。ｚ／ＶＭおよびＬｉｎｕｘが例として提供されているが、本発明の１つまたは複数の態様に従って、他の仮想マシン・マネージャまたはオペレーティング・システムあるいはその両方が使用されてよい。Ｌｉｎｕｘ Ｆｏｕｎｄａｔｉｏｎ（世界規模での商標の所有者であるＬｉｎｕｓ Ｔｏｒｖａｌｄｓの専用実施権者）からのサブライセンスに従って、登録商標Ｌｉｎｕｘ（Ｒ）が使用される。

１つの実施形態では、１つまたは複数の仮想マシン１１２がセキュア仮想マシンである。セキュア仮想マシンは、ハイパーバイザがセキュア仮想マシンの状態（例えば、メモリ、レジスタなど）を観察できない方法で、ハイパーバイザ（例えば、ハイパーバイザ１１４）によって開始される。例えば、機密コンピューティングの１つの実施形態では、ハイパーバイザは、セキュア仮想マシンを開始／停止することができ、ハイパーバイザは、セキュア仮想マシンを開始するために使用されるデータがどこにあるかを識別するが、実行中のセキュア仮想マシンの中を見ることはできない。セキュア仮想マシンを読み込む／開始するために使用されるデータは、ハイパーバイザがセキュア・マシンを見ることができない方法で暗号化されてよい。セキュア仮想マシン・イメージの所有者は、機密データをセキュア・ゲスト・メタデータ内に配置し、その後、セキュア仮想マシン・イメージをセキュア・ゲスト・メタデータと共に生成する。セキュア仮想マシンが読み込まれた後に、セキュア仮想マシントの状態とのすべての情報のやりとりが、信頼できる実行環境１１５などの信頼できる実行環境によって処理される。

本発明の態様に従って、仮想マシンの状態のセキュリティを維持しながら、セキュア仮想マシンの診断状態が格納されてよい（すなわち、セキュア仮想マシンがダンプされてよい）。１つの例では、診断状態は、信頼できない実体（例えば、ハイパーバイザ）によって読み取り可能になる前に、暗号化される。セキュア仮想マシンのダンプを安全に容易にするために、１つまたは複数の態様に従って、ハードウェアおよびファームウェアとのアプリケーション・プログラミング・インターフェイスが使用される。このアプリケーション・プログラミング・インターフェイスは、ハイパーバイザが暗号化されたバージョンの仮想マシンの状態にアクセスすることを可能にし、この状態が、仮想マシンの所有者に渡され得る。次に、この所有者は、この所有者が暗号化されたダンプの復号鍵を持っているインスタンス（例えば、唯一のインスタンス）であるため、この状態を（例えば、排他的に）復号し、分析のための暗号化されていない仮想マシンのダンプを取得することができる。例えば、仮想マシンを開始するために使用されるメタデータは、本明細書では所有者鍵または通信鍵と呼ばれる機密鍵を含み、この機密鍵は、例えば、信頼できるファームウェアのみが機密の所有者鍵を取得できるように保護される。この鍵は、暗号化された診断データを復号するために、例えば排他的に使用される。

１つの例として、アプリケーション・プログラミング・インターフェイスは、例えば、構成ダンプ開始コマンド、中央処理装置状態ダンプ・コマンド、セキュア・ストレージからの変換コマンド、構成ストレージ状態ダンプ・コマンド、および構成ダンプ完了コマンドを含む、複数のコマンドのための複数のウルトラバイザ呼び出しに分割される。例えば、各コマンドは、１つの実施形態では、ウルトラバイザ呼び出し動作を指定するオペコードおよび複数のオペランドを含むウルトラバイザ呼び出し命令の実行において指定される。例として、命令の第３のオペランド（例えば、即時フィールド）が０を指定する場合、通常のコマンドが指定され、命令の第２のオペランド（例えば、レジスタ）が、ウルトラバイザ（または他の信頼できる実体）によって実行されるコマンドを指定する、ストレージ内のウルトラバイザ制御ブロックを指し示す。

ウルトラバイザ呼び出し命令によって指定され得る、診断状態を格納するために使用される例示的なコマンドおよび制御ブロックが、図２～図６を参照して説明される。例えば、本発明の１つまたは複数の態様に従って、図２は、コマンドを使用する処理フローを示しており、図３～図６は、コマンドによって使用されるさまざまな制御ブロック／情報を示している。

最初に図２参照すると、構成ダンプ開始コマンド（診断格納開始要求とも呼ばれる）が呼び出される（２００）。例えば、ウルトラバイザ呼び出し命令が、例えばハイパーバイザ（例えば、ハイパーバイザ１１４）によって発行され、このウルトラバイザ呼び出し命令は、例えば、ウルトラバイザなどの信頼できる実体によって実行される、構成ダンプ開始コマンドを含んでいる制御ブロックへのポインタを指定する。そのような制御ブロックの例が、図３を参照して説明される。

１つの例では、構成ダンプ開始ウルトラバイザ制御ブロック３００は、例えば以下のフィールドを含む。

長さ３０２：このフィールド（例えば、バイト０～１）は、例えば符号なし２進整数（例えば、１６ビット）を含み、この値は、制御ブロック（パラメータ・ブロックとも呼ばれる）の長さをバイト単位で指定する。この長さは、選ばれた値（例えば、１６進数４０）を指定するべきであり、そうでない場合、選ばれた応答コード（例えば、１６進数０００５）が適用される。

コマンド・コード３０４：このフィールド（例えば、バイト２～３）は、符号なし２進整数（例えば、１６ビット）を含み、この値は、構成ダンプ開始ウルトラバイザ呼び出しコマンドのコマンド・コードを指定する。

応答コード３０６：このフィールド（例えば、バイト４～５）は、符号なし２進整数（例えば、１６ビット）を含み、この値は、応答コードを指定する。この値は、動作が完了するときに格納される。

復帰理由コード（Return Reason Code）３０８：このフィールド（例えば、バイト６～７）は、復帰理由コードを含む。

セキュア構成コンテキスト・ハンドル３１０：このフィールド（例えば、バイト２４～３１）は、ダンプ・プロセスを初期化するべきセキュア構成（例えば、仮想マシン）を識別する値（例えば、６４ビット値）を含む。

特殊な条件が存在する場合、選ばれたコード（例えば、１６進数０００１）以外の応答コードがウルトラバイザ呼び出し制御ブロックに格納される。構成ダンプ開始ウルトラバイザ呼び出しの特殊な条件は、例えば以下を含む。

１６進数０００３：正常に実行された初期化ウルトラバイザ呼び出しコマンドを発行しなかった構成で、構成ダンプ開始ウルトラバイザ呼び出しコマンドが発行された。

１６進数０００５：構成ダンプ開始ウルトラバイザ呼び出しコマンドが、選ばれた値（例えば、１６進数４０）に等しくない長さで発行された。

１６進数００２０：セキュア構成コンテキスト・ハンドルが、定義されたセキュア構成の有効なハンドルでない。

１６進数０１０１：構成が、ダンプすることを許可しなかった。

１６進数０１０２：指定された構成のアンパック済みイメージ検証ウルトラバイザ呼び出しが、正常に完了しなかった。

１６進数０１０３：構成のダンプがすでに進行中である。

指定されたセキュア構成（例えば、セキュア仮想マシン）のダンプ・プロセスを初期化するために、構成ダンプ開始ウルトラバイザ呼び出しが使用される。この初期化の一部として、選ばれたセキュア構成データ（例えば、暗号化されたプロセッサの状態）をダンプするために、一意のダンプ鍵（例えば、明確にするために、本明細書では第１の暗号鍵と呼ばれる暗号鍵）が導出される。例として、コマンドは、保存された顧客通信鍵（customer communication key）（例えば、所有者鍵）および鍵導出シードから、ダンプ鍵を導出する。この鍵は、保存され、他のコマンドを介して提供されたデータを暗号化するために後で使用されてよい。

１つの例では、指定された構成を対象にするアンパック済みイメージ検証ウルトラバイザ呼び出し（セキュアな暗号解読済みイメージであるアンパック済みイメージの完全性を検証するために使用される）は、正常に完了しているべきであり、そうでない場合、動作が実行されず、選択された応答コード（例えば、１６進数０１０１）が格納される。構成ダンプ完了ウルトラバイザ呼び出しが正常に完了せずに、指定された構成の別の構成ダンプ開始ウルトラバイザ呼び出しが正常に完了した場合、動作が実行されず、選択された応答コード（例えば、１６進数０１０２）が格納される。

１つの例では、第１の命令が実行される時点まで、仮想マシンの状態が所有者に知られているため、セキュア仮想マシンがまだ設定プロセス中である場合、ダンプ・プロセスは開始されるべきではない。さらに、示されるように、このコマンドはダンプ・プロセスを開始し、他のアプリケーション・プログラミング・インターフェイス・コマンドがハイパーバイザによって呼び出されることを可能にする。ダンプ・プロセスが開始された後に、現在のプロセスが完了するまで、このセキュア仮想マシンの第２のダンプ・プロセスが開始されるべきでない。したがって、１つの例では、構成ダンプ開始コマンドを実行することに基づいて、選ばれた構成（例えば、仮想マシン）のダンプ（診断状態格納とも呼ばれる）がすでに進行中であるかどうかに関する判定が行われる（２１０）。構成のダンプがすでに進行中である場合、１つの例では、この処理に関してエラーが示される（２１２）。しかし、構成のダンプがまだ進行中でない場合、本明細書において説明されるように処理が続く。

例えば、構成ダンプを開始することに基づいて、仮想マシンの状態がダンプされるべきかどうかに関する判定が行われる。図２に戻り、１つまたは複数の中央処理装置の状態がダンプされるべきかどうかに関する照会が行われる（２２０）。１つまたは複数の中央処理装置の状態がダンプされるべきである場合、中央処理装置状態ダンプ・コマンド（診断プロセッサ状態格納要求とも呼ばれる）が開始される（２３０）。例えば、ウルトラバイザ呼び出し命令が、例えばハイパーバイザによって発行され、このウルトラバイザ呼び出し命令は、例えば信頼できる実体によって実行される中央処理装置状態ダンプ・コマンドを含んでいる制御ブロックへのポインタを指定する。そのような呼び出し制御ブロックの例が、図４Ａを参照して説明される。

１つの例では、中央処理装置状態ダンプ・ウルトラバイザ呼び出し制御ブロック４００は、例えば以下のフィールドを含む。

長さ４０２：このフィールド（例えば、バイト０～１）は、例えば符号なし２進整数（例えば、１６ビット）を含み、この値は、制御ブロックの長さをバイト単位で指定する。この長さは、選ばれた値（例えば、１６進数５０）を指定するべきであり、そうでない場合、選ばれた応答コード（例えば、１６進数０００５）が適用される。

コマンド・コード４０４：このフィールド（例えば、バイト２～３）は、符号なし２進整数（例えば、１６ビット）を含み、この値は、中央処理装置状態ダンプ・ウルトラバイザ呼び出しコマンドのコマンド・コードを指定する。

応答コード４０６：このフィールド（例えば、バイト４～５）は、符号なし２進整数（例えば、１６ビット）を含み、この値は、応答コードを指定する。この値は、動作が完了するときに格納される。

復帰理由コード４０８：このフィールド（例えば、バイト６～７）は、復帰理由コードを含む。中央処理装置状態ダンプ・ウルトラバイザ呼び出しコマンドの場合、このフィールドは例えば０である。

セキュア中央処理装置コンテキスト・ハンドル４１０：このフィールド（例えば、バイト２４～３１）は、ダンプされるべき状態を有するセキュア中央処理装置を識別する値（例えば、６４ビット値）を含む。

セキュア中央処理装置ダンプ領域始点４１２：選ばれた数（例えば、１２個）の０が追加されたこのフィールド（例えば、バイト３２～３９のビット０～５１）は、セキュア中央処理装置のダンプ領域の論理アドレス（例えば、６４ビットの論理アドレス）を含む。

特殊な条件が存在する場合、選ばれたコード（例えば、１６進数０００１）以外の応答コードがウルトラバイザ呼び出し制御ブロックに格納される。中央処理装置状態ダンプ・ウルトラバイザ呼び出しの特殊な条件は、例えば以下を含む。

１６進数０００３：正常に実行された初期化ウルトラバイザ呼び出しコマンドを発行しなかった構成で、中央処理装置状態ダンプ・ウルトラバイザ呼び出しコマンドが発行された。

１６進数０００５：中央処理装置状態ダンプ・ウルトラバイザ呼び出しコマンドが、選ばれた値（例えば、１６進数５０）に等しくない長さで発行された。

１６進数００２１：セキュア中央処理装置コンテキスト・ハンドルが、定義されたセキュア中央処理装置の有効なハンドルでない。

１６進数０１０１：指定されたセキュア中央処理装置を含んでいるセキュア構成で、構成ダンプ開始ウルトラバイザ呼び出しが完了しなかった。

１６進数０１０２：指定された中央処理装置の中央処理装置状態がすでにダンプされている。

１６進数０１０３：指定されたセキュア中央処理装置が、現在実行中である。

１６進数０１０４：セキュア中央処理装置ダンプ領域にアクセスしようとしているときに、アクセス例外が認識された。

セキュア中央処理装置ダンプ領域の形式の１つの例が、図４Ｂを参照して説明される。例として、セキュア中央処理装置ダンプ領域４２０は以下を含む。

セキュア中央処理装置ダンプ領域バージョン４２２：このフィールド（例えば、バイト０～３）は、符号なし２進整数（例えば、３２ビット）を含み、この値は、ウルトラバイザによって書き込まれたセキュア中央処理装置ダンプ領域のバージョンを指定する。このバージョン番号は、セキュア中央処理装置ダンプ領域内の他のフィールドのレイアウトを定義する。

セキュア中央処理装置ダンプ領域長４２４：このフィールド（例えば、バイト４～７）は、符号なし２進整数（例えば、３２ビット）を含み、この値は、ウルトラバイザによってセキュア中央処理装置ダンプ領域に書き込まれたデータのバイト数を指定する。

初期化ベクトル４２６：このフィールド（例えば、バイト８～１９）は、例えば、セキュア中央処理装置ダンプ領域のＡＥＳ２５６－ＧＣＭ（ガロア／カウンタ・モード）暗号化を実行するときにウルトラバイザによって使用される一意の初期化ベクトルを含む。

汎用レジスタ４２８：このフィールド（例えば、バイト３２～１５９）は、指定されたセキュア中央処理装置の選ばれた汎用レジスタ（例えば、汎用レジスタ０～１５）の内容を含む。

現在のプログラム状態ワード４３０：このフィールド（例えば、バイト１６０～１７５）は、指定されたセキュア中央処理装置の現在のプログラム状態ワードの内容を含む。

プレフィックス４３２：このフィールド（例えば、バイト１８４～１８７）は、指定されたセキュア中央処理装置のプレフィックス・レジスタの選ばれたビット（例えば、ビット３２～６３）を含む。

浮動小数点制御レジスタ４３４：このフィールド（例えば、バイト１８８～１９１）は、指定されたセキュア中央処理装置の浮動小数点制御レジスタを含む。

時刻（ＴＯＤ：Time-of-Day）プログラム可能レジスタ４３６：このフィールド（例えば、バイト１９６～１９９）は、指定されたセキュア中央処理装置の時刻プログラム可能レジスタを含む。

中央処理装置タイマー４３８：このフィールド（例えば、バイト２００～２０７）は、指定されたセキュア中央処理装置の中央処理装置タイマーを含む。

クロック比較器４４０：このフィールド（例えば、バイト２０９～２１５）は、指定されたセキュア中央処理装置のクロック比較器の選ばれたビット（例えば、ビット０～５５）を含む。

アクセス・レジスタ４４２：このフィールド（例えば、バイト２２４～２８７）は、指定されたセキュア中央処理装置の選ばれたアクセス・レジスタ（例えば、アクセス・レジスタ０～１５）の内容を含む。

制御レジスタ４４４：このフィールド（例えば、バイト２８８～４１５）は、指定されたセキュア中央処理装置の選ばれた制御レジスタ（例えば、制御レジスタ０～１５）の内容を含む。

ベクトル・レジスタ４４６：このフィールド（例えば、バイト４１６～９２７）は、指定されたセキュア中央処理装置の選ばれたベクトル・レジスタ（例えば、ベクトル・レジスタ０～３１）の内容を含む。

保護ストレージ指定レジスタ４４８：このフィールド（例えば、バイト１４４８～１４５５）は、指定されたセキュア中央処理装置の保護ストレージ指定レジスタの内容を含む。

保護ストレージ・セクション・マスク・レジスタ（Guarded Storage Section Mask Register）４５０：このフィールド（例えば、バイト１４５６～１４６３）は、指定されたセキュア中央処理装置の保護ストレージ・セクション・マスク・レジスタの内容を含む。

保護ストレージ・イベント・パラメータ・リスト・アドレス・レジスタ（Guarded Storage Event Parameter List Address Register）４５２：このフィールド（例えば、バイト１４６４～１４７１）は、指定されたセキュア中央処理装置の保護ストレージ・イベント・パラメータ・リスト・アドレス・レジスタの内容を含む。

ダンプ・フラグ４５４：このフィールド（例えば、バイト１５３６～１５３７）は、ダンプされた中央処理装置の内容に関する情報を伝達するフラグを含む。例示的なフラグ（例えば、ビット０）は、未解決セキュア命令傍受処理インジケータ（outstanding secure instruction interception processing indicator）を含む。このフラグが設定された場合、部分的な命令の結果が、ダンプされた中央処理装置状態に含まれてよい。

セキュア中央処理装置ダンプ領域タグ４５６：このフィールド（例えば、セキュア中央処理装置ダンプ領域の最後の１６バイト）は、この領域の内容の信頼性を検証するために使用される認証タグを含む。

１つの例では、フィールド４２２～４２６が認証され、フィールド４２８～４５４が暗号化される。

仮想マシンの中央処理装置（または中央処理装置のサブセット）ごとに、中央処理装置ダンプ・ウルトラバイザ・コマンドが実行されてよく、中央処理装置の暗号化された状態を生み出す。仮想マシンの状態の暗号化は、例えばダンプ鍵を使用して実行される。暗号化された中央処理状態は、汎用レジスタ、制御レジスタ、浮動小数点レジスタ、ベクトル・レジスタの内容に加えて、タイマー、浮動小数点制御レジスタ、または現在の命令アドレス、あるいはその組合せを含んでよいが、これらに限定されない。さらに、１つの例では、暗号化された中央処理状態は、暗号化されていない領域を含む。この領域には、例として、データの暗号化に使用される初期化ベクトルに加えて、その後のダンプ・データの復号および解釈を容易にするための長さおよびバージョンの指示が保存される。

このコマンドは、指定されたセキュア中央処理装置（または別のプロセッサ・ユニット）の暗号化された内容をダンプするために使用される。セキュア中央処理装置ダンプ領域は、例えば、バージョン情報、暗号化データのサイズ、および中央処理装置状態の暗号化に使用される初期化ベクトルを含んでいる、プレーン・テキスト・ヘッダーを含む。中央処理装置状態は、例えば、２５６ビットのダンプ鍵と共にＡＥＳ－ＧＣＭを使用して暗号化される。暗号化された中央処理装置ダンプ領域の認証タグが、暗号化された領域の直後に格納される。セキュア中央処理装置ダンプ領域の長さは、例えば、問い合わせウルトラバイザ呼び出しコマンドによって返される、例えば、セキュア中央処理装置のストレージ長以下である。

構成ダンプ開始ウルトラバイザ呼び出しコマンドは、中央処理装置状態ダンプ・ウルトラバイザ呼び出しコマンドを発行する前に正常に完了しているべきであり、そうでない場合、選ばれた応答コード（例えば、１６進数０１０１）が格納される。構成ダンプ開始ウルトラバイザ呼び出しコマンドと構成ダンプ完了ウルトラバイザ呼び出しコマンドの間に、指定されたセキュア中央処理装置コンテキスト・ハンドルに関して、中央処理装置状態ダンプ・ウルトラバイザ呼び出しコマンドが２回以上発行された場合、選ばれた応答コード（例えば、１６進数０１０２）が格納される。指定されたセキュア中央処理装置が現在実行中である場合、選ばれた応答コード（例えば、１６進数０１０３）が格納される。

図２に戻り、１つの例では、構成ダンプを開始すること（２００）に基づいて、仮想マシンのメモリがダンプされるべきかどうかに関する判定も行われる（２２２）。メモリがダンプされるべきである場合、１つの例では、ページアウト・プロセス中にダンプが発生する。例えば、ダンプされているメモリがセキュア構成（例えば、セキュア仮想マシン）に現在マッピングされているかどうかに関する判定が行われる（２２４）。ダンプされているメモリがセキュア構成にマッピングされている場合、１つの例では、セキュア・ストレージからの変換コマンドが開始される（２２６）。例えば、ハイパーバイザが、例えばウルトラバイザによって実行されるセキュア・ストレージからの変換コマンドを指定するセキュア・ストレージからの変換制御ブロックを指定することによって、例えば、ウルトラバイザ呼び出し命令が発行される。そのような制御ブロックの１つの例が、図４Ｃを参照して説明される。

１つの例では、セキュア・ストレージからの変換ウルトラバイザ呼び出し制御ブロック４７０は、例えば以下のフィールドを含む。

長さ４７２：このフィールド（例えば、バイト０～１）は、例えば符号なし２進整数（例えば、１６ビット）を含み、この値は、制御ブロックの長さをバイト単位で指定する。この長さは、選ばれた値（例えば、１６進数２０）を指定するべきであり、そうでない場合、選ばれた応答コード（例えば、１６進数０００５）が適用される。

コマンド・コード４７４：このフィールド（例えば、バイト２～３）は、符号なし２進整数（例えば、１６ビット）を含み、この値は、セキュア・ストレージからの変換ウルトラバイザ呼び出しコマンドのコマンド・コードを指定する。

応答コード４７６：このフィールド（例えば、バイト４～５）は、符号なし２進整数（例えば、１６ビット）を含み、この値は、応答コードを指定する。この値は、動作が完了するときに格納される。

復帰理由コード４７８：このフィールド（例えば、バイト６～７）は、復帰理由コードを含む。例えば１６進数「０００１」の応答コードが格納された場合、メモリの指定された単位（例えば、ストレージのブロック）のセキュリティ・プロパティが変更されるときに、例えば１６進数「００００」の復帰理由コードが格納される。メモリの指定された単位のセキュリティ・プロパティが望ましい状態にすでに設定されている場合、復帰理由コード、例えば「０００１」が格納される。

ホスト絶対アドレス４８０：選ばれた数、例えば、１２個の０ビットが右側に追加されたこのフィールド（例えば、バイト３２～３９のビット０～５１）は、非セキュア・ストレージに変換するためのメモリの単位（例えば、ストレージの４Ｋバイト・ブロック）の絶対アドレスを形成する。

特殊な条件が存在する場合、選ばれたコード（例えば、１６進数０００１）以外の応答コードがウルトラバイザ呼び出し制御ブロックに格納される。セキュア・ストレージからの変換ウルトラバイザ呼び出しの特殊な条件は、例えば以下を含む。

１６進数０００３：正常に実行された初期化ウルトラバイザ呼び出しコマンドを発行しなかった構成で、セキュア・ストレージからの変換ウルトラバイザ呼び出しコマンドが発行された。

１６進数０００５：セキュア・ストレージからの変換ウルトラバイザ呼び出しコマンドが、選ばれた値（例えば、１６進数２０）に等しくない長さで発行された。

１６進数００３０：ホーム・アドレス空間制御要素のＲビット（例えば、ビット５８）が、例えば１に設定されている。

１６進数００３１：構成の変数ストレージ領域にアクセスしようとするときの変換例外。

１６進数００３２：セキュア・ゲストの変数ストレージ領域が、リージョン－フレーム絶対アドレス（region-frame absolute address）またはセグメント－フレーム絶対アドレス（segment-frame absolute address）に変換される仮想アドレスを含んでいる。

１６進数０１０３：ホスト構成において、ホスト絶対アドレスを使用できない。

１６進数０１０４：ホスト絶対アドレスがウルトラバイザのストレージである。

１６進数０１０５：対応するホスト仮想アドレスが、セキュア・ストレージから何度も変換され過ぎた。

１つの例として、セキュア・ストレージからの変換ウルトラバイザ・コマンドは、セキュア・メモリをダンプするために使用され、このダンプでは、ダンプされているメモリの単位（例えば、メモリのページ）が、例えばページング鍵を使用して暗号化されて、格納される。セキュア・ストレージからの変換コマンドは、非セキュア・ストレージになるように、セキュア構成に関連付けられたメモリの単位（例えば、ストレージの４Ｋバイト・ブロック）のセキュリティ・プロパティを変更する。メモリの指定された単位が、非セキュア・ストレージになるようにすでに定義されている場合、動作が、さらなるアクションおよび選ばれた応答コード（例えば、１６進数「０００１」）を伴わずに完了し、選ばれた復帰理由コード（例えば、１６進数「０００１」）が格納される。メモリの単位が定義された共有ストレージでない場合、メモリの単位の内容からダイジェストが作成される。１つの例では、このダイジェストは信頼できる実体（例えば、ウルトラバイザ）によって維持される。メモリの単位の内容が（例えば、ページング鍵を使用して）暗号化され、その後、メモリの単位が非セキュアにされる。メモリの単位が定義された共有ストレージである場合、メモリの単位は、メモリの単位の内容に対する変更なしで、非セキュアにされる。

指定されたホスト絶対アドレスが、信頼できる実体によって所有されている場合、メモリの指定された単位が変更されず、選択された応答コード（例えば、１６進数「０１０４」）が格納される。

図２を参照すると、セキュア・ストレージからの変換の後に、処理が照会２２４に続く。ダンプされるメモリが、セキュア構成に現在マッピングされていない場合、構成ストレージ状態ダンプ・コマンド（診断メモリ状態格納要求とも呼ばれる）が開始される（２３２）。例えば、ハイパーバイザが、例えばウルトラバイザによって実行される構成ストレージ状態ダンプ・コマンドを指定する構成ストレージ状態ダンプ制御ブロックへのポインタを指定することによって、例えば、ウルトラバイザ呼び出し命令が発行される。そのような制御ブロックの１つの例が、図５を参照して説明される。

１つの例では、構成ストレージ状態ダンプ・ウルトラバイザ呼び出し制御ブロック５００は、例えば以下のフィールドを含む。

長さ５０２：このフィールド（例えば、バイト０～１）は、例えば符号なし２進整数（例えば、１６ビット）を含み、この値は、制御ブロックの長さをバイト単位で指定する。この長さは、選ばれた値（例えば、１６進数５８）を指定するべきであり、そうでない場合、選ばれた応答コード（例えば、１６進数０００５）が適用される。

コマンド・コード５０４：このフィールド（例えば、バイト２～３）は、符号なし２進整数（例えば、１６ビット）を含み、この値は、構成ストレージ状態ダンプ・ウルトラバイザ呼び出しコマンドのコマンド・コードを指定する。

応答コード５０６：このフィールド（例えば、バイト４～５）は、符号なし２進整数（例えば、１６ビット）を含み、この値は、応答コードを指定する。この値は、動作が完了するときに格納される。

復帰理由コード５０８：このフィールド（例えば、バイト６～７）は、復帰理由コードを含む。構成ストレージ状態ダンプ・ウルトラバイザ呼び出しコマンドの場合、このフィールドは例えば０である。

セキュア構成コンテキスト・ハンドル５１０：このフィールド（例えば、バイト２４～３１）は、ダンプされるべき状態を有するセキュア構成を識別する値（例えば、６４ビット値）を含む。

セキュア構成ストレージ・ダンプ領域始点５１２：選ばれた数（例えば、１２個）の０が追加されたこのフィールド（例えば、バイト３２～３９のビット０～５１）は、セキュア構成ストレージのダンプ領域の論理アドレス（例えば、６４ビットの論理アドレス）を含む。

セキュア構成絶対アドレス５１４：選ばれた数（例えば、２０個）の０が追加されたこのフィールド（例えば、バイト４０～４７のビット０～４３）は、選ばれた一意の構成要素（例えば、微調整構成要素（tweak components））を格納するためのストレージの例えば２５６フレームのうちの最初のフレームの、セキュア構成の絶対アドレス（例えば、６４ビットのアドレス）を含む。

特殊な条件が存在する場合、選ばれたコード（例えば、１６進数０００１）以外の応答コードがウルトラバイザ呼び出し制御ブロックに格納される。構成ストレージ状態ダンプ・ウルトラバイザ呼び出しの特殊な条件は、例えば以下を含む。

１６進数０００３：正常に実行された初期化ウルトラバイザ呼び出しコマンドを発行しなかった構成で、構成ストレージ状態ダンプ・ウルトラバイザ呼び出しコマンドが発行された。

１６進数０００５：構成ストレージ状態ダンプ・ウルトラバイザ呼び出しコマンドが、選ばれた値（例えば、１６進数５０）に等しくない長さで発行された。

１６進数００２０：セキュア構成コンテキスト・ハンドルが、定義されたセキュア構成の有効なハンドルでない。

１６進数００３１：構成の仮想ストレージ領域にアクセスしようとするときの変換例外。

１６進数０１０１：指定されたセキュア構成で、構成ダンプ開始ウルトラバイザ呼び出しが完了しなかった。

１６進数０１０２：セキュア構成ストレージ・ダンプ領域にアクセスするときに、アクセス例外が認識された。

１６進数０１０３：セキュア構成の絶対アドレスが、例えば、セキュア構成ストレージの長さより大きい。

特殊な選ばれた一意の構成要素（例えば、特殊な微調整構成要素）が格納される場合、選ばれたバイト（例えば、バイト１４～１５）が、対応するメモリの単位（例えば、ストレージの４Ｋバイト・ブロック）を解釈する方法に関する情報を提供するフラグを含む。例示的なフラグは以下を含む。

ビット 説明

１５ ゼロ・ページ

対応するメモリの単位（ストレージの４Ｋバイト・ブロック）が、セキュア構成によって格納されておらず、その内容が、０（または別の選ばれた値）であると仮定されてよい。

１４ 共有ページ

対応するメモリの単位（ストレージの４Ｋバイト・ブロック）が、定義された共有ストレージであり、暗号化されていない。

１３ マッピングされたページ

対応するメモリの単位（ストレージの４Ｋバイト・ブロック）が、セキュア・ページへの有効なマッピングを有する。

構成ストレージ状態ダンプ・コマンドが、特定の量のゲスト・メモリのページごとに、選ばれた一意の構成要素値（例えば、微調整構成要素値）および状態フラグをダンプする。

１つの例では、構成ストレージ状態ダンプ・ウルトラバイザ呼び出しコマンドは、セキュア構成の絶対アドレスによって指定されたメモリの単位（例えば、ストレージの４Ｋバイト・ブロック）に関して、例えば２５６個の選ばれた一意の構成要素値（例えば、微調整構成要素値）を、選ばれた一意の値（例えば、微調整）から開始して、セキュア構成のダンプ領域に格納する。指定された構成のダンプ領域のサイズは、例えば、ウルトラバイザ情報問い合わせウルトラバイザ呼び出しコマンドから取得され得る。

構成ストレージ状態ダンプ・ウルトラバイザ呼び出しは、セキュア構成ストレージのメモリの単位（例えば、４Ｋバイト・ブロック）の内容を暗号化または復号するときに使用される選ばれた一意の値（例えば、微調整値）を導出するために使用される、例えば１６バイトの選ばれた一意の構成要素値（例えば、微調整構成要素値）をダンプするために使用される。選ばれた一意の構成要素値は、セキュア構成内の例えば絶対アドレス０から始まるメモリの単位に対応する値から開始して、順番に出力される。例えば、選ばれた一意の構成要素値のバイト０～３が例えば１６進数「ＦＦＦＦＦＦＦＦ」である場合、メモリの単位は、指定された選ばれた一意の値を含まず、選ばれた一意の構成要素値の例えばバイト１４～１５が、対応するメモリの単位が解釈されるべき方法に関するさらなる情報を提供するフラグを含む。選ばれた一意の構成要素値が任意の他の値である場合、選ばれた一意の構成要素値と、例えば構成ダンプ完了ウルトラバイザ呼び出しから取得された、復号された選ばれた一意のノンス値（例えば、微調整ノンス（tweak nonce））との論理和が、ＡＥＳ－ＸＴＳ動作のための選ばれた一意の値として使用される。

図２および特に照会２２０、２２２に戻り、ダンプするべき中央処理装置がそれ以上ない場合、またはダンプするべきメモリがそれ以上ない場合、構成ダンプ完了呼び出し（完了要求とも呼ばれる）が行われる（２４０）。例えば、ハイパーバイザが、ウルトラバイザによって実行される構成ダンプ完了コマンドを指定する構成ダンプ完了制御ブロックを指定することによって、例えば、ウルトラバイザ呼び出し命令が発行される。そのような制御ブロックの１つの例が、図６を参照して説明される。

１つの例では、構成ダンプ完了ウルトラバイザ呼び出し制御ブロック６００は、例えば以下のフィールドを含む。

長さ６０２：このフィールド（例えば、バイト０～１）は、例えば符号なし２進整数（例えば、１６ビット）を含み、この値は、制御ブロックの長さをバイト単位で指定する。この長さは、選ばれた値（例えば、６４＋Ｎバイトの値）を指定するべきであり、そうでない場合、選ばれた応答コード（例えば、１６進数０００５）が適用される。値Ｎは、例えば、ウルトラバイザ情報問い合わせウルトラバイザ呼び出しコマンドによって返される構成終了ダンプ長（configuration finalize dump length）から取得されてよい。

コマンド・コード６０４：このフィールド（例えば、バイト２～３）は、符号なし２進整数（例えば、１６ビット）を含み、この値は、構成状態ダンプ完了ウルトラバイザ呼び出しコマンドのコマンド・コードを指定する。

応答コード６０６：このフィールド（例えば、バイト４～５）は、符号なし２進整数（例えば、１６ビット）を含み、この値は、応答コードを指定する。この値は、動作が完了するときに格納される。

復帰理由コード６０８：このフィールド（例えば、バイト６～７）は、復帰理由コードを含む。構成ダンプ完了ウルトラバイザ呼び出しコマンドの場合、このフィールドは例えば０である。

セキュア構成コンテキスト・ハンドル６０９：このフィールド（例えば、バイト２４～３１）は、ダンプが完了されるべきセキュア構成を識別する値（例えば、６４ビット値）を含む。

鍵導出シード６１０：このフィールド（例えば、バイト６４～１２７）は、中央処理装置状態に加えて、この制御ブロック内のデータを暗号化するために使用されるダンプ鍵を導出するために使用されるシードを含む。

初期化ベクトル６１２：このフィールド（例えば、バイト１２８～１４３）は、このウルトラバイザ呼び出しによって格納されるデータを暗号化するときに使用される初期化ベクトルを含む。

微調整ノンス（選ばれた一意のノンスとしても知られている）６１４：このフィールド（例えば、バイト１４４～１５９）は、選ばれた一意の値（例えば、微調整値）に使用されるノンス値を含む。この値は、メモリの単位（例えば、ストレージの４Ｋバイト・ブロック）を暗号化するために使用される選ばれた一意の値を作成するために、各非特殊な選ばれた一意の構成要素（例えば、微調整構成要素）との論理和が計算される。

ストレージ暗号鍵１（６１６）：このフィールド（例えば、バイト１６０～１９１）は、選ばれた一意の値（例えば、微調整値）を暗号化するために使用される第１のＡＥＳ－２５６ ＸＴＳ鍵を含み、その後、これらの選ばれた一意の値は、ダンプされたメモリの単位（例えば、ストレージの４Ｋバイト・ブロック）を復号するために使用される。

ストレージ暗号鍵２（６１８）：このフィールド（例えば、バイト１９２～２２３）は、メモリの単位（例えば、ストレージの４Ｋバイト・ブロック）を復号するために、暗号化された選ばれた一意の値（例えば、微調整値）と共に使用される、第２のＡＥＳ－２５６ ＸＴＳ鍵を含む。１つの例では、ストレージ暗号鍵１がストレージ暗号鍵２と組み合わせられて、ページング鍵になる。

認証タグ６２０：このフィールド（例えば、バイト２５６～２７１）は、認証される値（例えば、バイト６４～１４３）を追加認証データとして使用し、次に、暗号化されたフィールド（例えば、バイト１４４～２５５）からタグの残りの部分を計算することから導出される、ＡＥＳ－ＧＣＭ認証タグを含む。

特殊な条件が存在する場合、選ばれたコード（例えば、１６進数０００１）以外の応答コードがウルトラバイザ呼び出し制御ブロックに格納される。構成ダンプ完了ウルトラバイザ呼び出しの特殊な条件は、例えば以下を含む。

１６進数０００３：正常に実行された初期化ウルトラバイザ呼び出しコマンドを発行しなかった構成で、構成ダンプ完了ウルトラバイザ呼び出しコマンドが発行された。

１６進数０００５：構成ダンプ完了ウルトラバイザ呼び出しコマンドが、選ばれた値（例えば、１６進数１３０）に等しくない長さで発行された。

１６進数００２０：セキュア構成コンテキスト・ハンドルが、定義されたセキュア構成の有効なハンドルでない。

１６進数０１０１：指定されたセキュア構成で、構成ダンプ開始ウルトラバイザ呼び出しが完了しなかった。

指定されたセキュア構成のダンプ処理を完了するために、構成ダンプ完了ウルトラバイザ呼び出しが使用される。この呼び出しは、ダンプを復号し、その完全性をチェックするために顧客によって使用されるデータを返す。また、この呼び出しは、ダンプ・プロセスを完了し、したがって、構成ダンプ開始呼び出しによる新しいダンプ・プロセスの開始を可能にする。この呼び出しは、例えば、ダンプ鍵を作成するために使用された鍵導出シードを含み、そのため仮想マシンの所有者は、ダンプ鍵自体を計算することができる。また、この呼び出しは、返されたデータの暗号化された部分を暗号化するために使用される初期化ベクトル、および認証されて暗号化されたデータの内容を検証するために使用されるべきである認証タグを含む。暗号化された部分は、例えば、メモリ状態ダンプ呼び出しからの選ばれた一意の値の各々との論理和が計算される選択された一意のノンス値に加えて、それらの選ばれた一意の値を暗号化するために使用されるＡＥＳ ＸＴＳ（高度暗号化標準XEX Tweakable Block Cipher with Ciphertext Stealing）鍵を含む。

本明細書において説明されているように、ダンプを、信頼できない実体によって読み取り可能になる前に暗号化することによって、ダンプされる仮想マシンの状態のセキュリティを維持しながら、セキュア仮想マシンがダンプされてよい。セキュア仮想マシンのダンプを安全に容易にするために、ダンプ・アプリケーション・プログラミング・インターフェイスが採用される。このインターフェイスは、複数の呼び出しを使用し、各呼び出しが制御ブロックを指し示し、制御ブロックの例が本明細書において説明されている。本明細書に記載された各制御ブロック／領域は、１つまたは複数の実施形態では、追加のフィールド、より少ないフィールド、または他のフィールド、あるいはその組合せを含んでよい。さらに、各フィールドは、制御ブロック／領域内の異なる位置にあってよく、または異なるサイズもしくはデータ型のフィールドであってよく、あるいはその両方であってよい。さらに、制御ブロック／領域は、１つまたは複数の予備フィールドを含んでよい。多くの変形が可能である。

１つまたは複数の態様では、複数の技術を使用して仮想マシンのメモリがダンプされてよい。例えば、１つの技術は、ダンプ鍵を使用してメモリを直接暗号化することを含む。中央処理装置メモリ暗号化（central processing unit memory encryption）と呼ばれるこの技術を使用して、セキュア仮想マシンのページが暗号化される。セキュア仮想マシンの鍵とハイパーバイザの鍵は異なっているため、ハイパーバイザが結果を読み取るか、または書き込む場合、結果がランダムなデータになる。最適なセキュリティのために、暗号鍵は、中央処理装置のメモリ・コントローラから決して離れず、したがって、仮想マシンが現在実行されている中央処理装置のみがページを復号することができるため、暗号鍵は、セキュア仮想マシンのメモリをダンプするために使用され得ない。さらに、セキュア仮想マシンが停止されるときに、鍵が消去される。

セキュア仮想マシンのメモリにアクセスするために使用される鍵が通常はエクスポートされ得ないため、この保護メカニズムは、セキュア仮想マシンのメモリをダンプするために、エクスポートできないアクセス鍵を置き換えるためにエクスポートされ得る特殊なダンプ鍵を使用してメモリを暗号化するという１つの技術を残している。ページがディスクにスワップされた場合、このページは、ページを復号して再暗号化するため、ゲストのメモリに戻される。これは、さらなるメモリ負荷を引き起こし、暗号化／復号の負担をプロセッサ・サイクルにかける。

１つまたは複数の態様に従って、セキュア仮想マシンのメモリをダンプするために使用される別の技術は、メモリ保護と呼ばれ、メモリ保護は、ハイパーバイザによるファームウェアに対する要求の後にページが暗号化されるまで、ページが属しているセキュア仮想マシンおよび信頼できるファームウェア（例えば、ウルトラバイザ）を除いて、セキュア仮想マシンのページへのアクセスを拒否する。暗号化の後に、ページは、セキュア仮想マシンによってもはや使用不可能になるが、ハイパーバイザによってディスクに書き込まれ得る。同様に、ファームウェアに対する要求は、暗号化されたページを復号し、完全性をチェックし、セキュア仮想マシンに再びマッピングするために使用され、そのためセキュア仮想マシンは、ページに再びアクセスすることができる。

この保護メカニズムは、ダンプのためにスワップするためにページを暗号化するときに使用される鍵と同じ鍵を使用することができる。これは、ページが暗号化された後に、ゲストがページに再びアクセスしたい場合にのみ、ページがゲストに戻される必要があるということを意味する。まだ暗号化されていないページは暗号化されるが、すでに暗号化されているページは、ページがまだメモリ内にあるか、またはすでにディスク上にあるかにかかわらず、ダンプに直接書き込まれ得る。これは、ページがすでにディスクにページングされている場合に、ダンプに必要とされるＣＰＵサイクルにおける大幅な減少をもたらす。ダンプを調べるときにページを後で復号するために、暗号化に固有のデータがエクスポートされるべきである。そのようなデータは、例えば、メモリのページごとの選ばれた一意の値（例えば、微調整値）を含むことができる。

仮想マシンの内部の故障したカーネルによって書き込まれた診断状態の格納とは対照的に、本明細書において１つまたは複数の態様で説明されたように、診断状態の格納は、ハイパーバイザによって仮想マシンの外部で生成される。この生成は、仮想マシンの所有者によってトリガーされるか、またはハイパーバイザが、仮想マシンが故障しており、コードを正常に実行していないということを決定したときに、自動的にトリガーされる。

本発明の１つまたは複数の態様は、コンピュータ技術に密接に関係しており、コンピュータ内の処理を容易にし、その性能を改善する。セキュリティを維持しながら、あまり複雑でなく、より少ない処理サイクルを使用して性能を改善する方法で仮想マシン（例えば、セキュア仮想マシン）の診断状態を安全に格納することによって、処理が容易にされる。

コンピューティング環境内の処理が、本発明の１つまたは複数の態様に関連しているため、その処理を容易にする１つの実施形態のさらなる詳細が、図７Ａ～図７Ｃを参照して説明される。

図７Ａを参照すると、１つの実施形態では、仮想マシンの診断状態を格納するための少なくとも１つの要求が取得される（７００）。少なくとも１つの要求を取得することに基づいて、仮想マシンの格納された診断状態を提供するために、仮想マシンの診断状態の格納が実行される（７０２）。格納を実行することは、例えば、暗号化されずに格納されている仮想マシンの診断状態を暗号化し、暗号化されずに格納されている仮想マシンの診断状態を暗号化する前の、信頼できない実体による仮想マシンの診断状態の読み取りを防ぐことを含む（７０４）。

診断の目的で格納されている仮想マシンの状態のセキュリティを維持しながら、仮想マシン（例えば、セキュア仮想マシン）の診断状態が格納されてよい。

例として、仮想マシンの格納された診断状態は、仮想マシンのメモリの内容を含み（７０６）、または仮想マシンの格納された診断状態は、仮想マシンの１つまたは複数のプロセッサ・レジスタの内容を含み（７０８）、あるいはその両方である。

１つの例では、仮想マシンの診断状態の格納を開始するための診断状態格納開始要求が取得される（７１０）。診断状態格納開始要求は、暗号化されずに格納されている仮想マシンの診断状態の少なくとも一部を暗号化することにおいて使用される第１の暗号鍵を取得するために使用される（７１２）。

１つの例では、図７Ｂを参照すると、少なくとも１つの要求を取得することは、診断プロセッサ状態格納要求を取得することを含む（７２０）。診断プロセッサ状態格納要求を取得することに基づいて、診断状態の格納を実行することは、例えば、第１の暗号鍵を使用して、仮想マシンの少なくとも１つのプロセッサの少なくとも選ばれた内容を暗号化し、暗号化されたプロセッサの内容を提供することと（７２２）、暗号化されたプロセッサの内容を格納することと（７２４）を含む。

１つの例では、少なくとも１つの要求を取得することは、セキュア・メモリからの変換要求を取得することを含む（７２６）。セキュア・メモリからの変換要求を取得することに基づいて、診断状態の格納を実行することは、例えば、第２の暗号鍵を使用して、暗号化されていない仮想マシンのメモリの少なくとも選ばれた内容を暗号化し、メモリの暗号化された内容を提供することと（７３０）、メモリの暗号化された内容を格納することと（７３２）を含む。

例として、セキュア・メモリからの変換要求を取得することに基づいて、診断状態の格納を実行することは、例えば、格納される内容のメモリの単位が暗号化されているかどうかを判定することと（７３６）、メモリの単位が暗号化されていないということの決定に基づいて、第２の暗号鍵を使用してメモリの単位を暗号化することとを含み、暗号化されているメモリの単位は、再暗号化されない（７３８）。

暗号化されていない内容を暗号化すること（および暗号化された状態を再暗号化しないこと）によって、処理サイクルおよび複雑さが減らされ、システム性能を改善する。

１つの例では、図７Ｃを参照すると、格納された診断状態は、メモリの暗号化された内容を含む（７５０）。さらに、１つの例では、診断メモリ状態格納要求が取得され（７５２）、診断メモリ状態格納要求を取得することに基づいて、メモリの暗号化された内容を復号するために使用されるメタデータが格納される（７５４）。

例として、このメタデータは、メモリの暗号化された内容を復号するために使用される１つまたは複数の選ばれた値を作成するために使用される１つまたは複数の選ばれた構成要素値を含む（７５６）。

１つの例では、診断状態の格納を完了するための完了要求が取得され（７６０）、完了要求を取得することに基づいて、仮想マシンの暗号化されて格納された診断状態を復号するために使用されるデータが提供される（７６２）。

例として、このデータは、メモリの暗号化された内容の復号において使用される第２の暗号鍵と、暗号化において使用される１つまたは複数の選ばれた値を作成するために使用されるノンス値とを含む（７７０）。さらに、１つの例では、データの少なくとも一部が暗号化される（７７２）。

他の変形および実施形態が可能である。

本発明の態様は、多くの種類のコンピューティング環境によって使用されてよい。本発明の１つまたは複数の態様を組み込んで使用するためのコンピューティング環境の別の実施形態が、図８Ａを参照して説明される。この例では、コンピューティング環境３６は、例えば、１つまたは複数のバス４０または他の接続あるいはその両方を介して互いに結合された、ネイティブ中央処理装置（ＣＰＵ）３７、メモリ３８、および１つまたは複数の入出力デバイスまたはインターフェイスあるいはその両方３９を含む。例として、コンピューティング環境３６は、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ（ニューヨーク州アーモンク市）によって提供されるＰｏｗｅｒＰＣ（Ｒ）プロセッサ、ヒューレット・パッカード社（カリフォルニア州パロアルト市）によって提供されるインテル（Ｒ）Ｉｔａｎｉｕｍ（Ｒ）ＩＩプロセッサ内蔵ＨＰ Ｓｕｐｅｒｄｏｍｅ、あるいはＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ、ヒューレット・パッカード社、インテル社、Ｏｒａｃｌｅ社、もしくは他の企業、またはその組合せによって提供されるアーキテクチャに基づく他のマシン、あるいはその組合せを含んでよい。ＰｏｗｅｒＰＣは、少なくとも１つの管轄区域内のＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎの商標または登録商標である。インテルおよびＩｔａｎｉｕｍは、米国および他の国における、インテル社またはその子会社の商標または登録商標である。

ネイティブ中央処理装置３７は、環境内で処理中に使用される１つまたは複数の汎用レジスタまたは１つまたは複数の専用レジスタあるいはその両方などの、１つまたは複数のネイティブ・レジスタ４１を含む。これらのレジスタは、いずれかの特定の時点での環境の状態を表す情報を含む。

さらに、ネイティブ中央処理装置３７は、メモリ３８に格納された命令およびコードを実行する。１つの特定の例では、中央処理装置は、メモリ３８に格納されたエミュレータ・コード４２を実行する。このコードは、あるアーキテクチャで構成されたコンピューティング環境が、別のアーキテクチャをエミュレートできるようにする。例えば、エミュレータ・コード４２は、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ命令セット・アーキテクチャ以外のアーキテクチャに基づくマシン（ＰｏｗｅｒＰＣプロセッサ、ＨＰ Ｓｕｐｅｒｄｏｍｅサーバなど）が、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ命令セット・アーキテクチャをエミュレートし、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ命令セット・アーキテクチャに基づいて開発されたソフトウェアおよび命令を実行できるようにする。

エミュレータ・コード４２に関連するさらなる詳細が、図８Ｂを参照して説明される。メモリ３８に格納されたゲスト命令４３は、ネイティブＣＰＵ３７のアーキテクチャ以外のアーキテクチャにおいて実行されるように開発された（例えば、マシン命令と相互関係がある）ソフトウェア命令を含む。例えば、ゲスト命４３は、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ命令セット・アーキテクチャに基づくプロセッサ上で実行するように設計されていてよいが、代わりに、例えばインテルＩｔａｎｉｕｍ ＩＩプロセッサであってよい、ネイティブＣＰＵ３７上でエミュレートされる。１つの例では、エミュレータ・コード４２は、メモリ３８から１つまたは複数のゲスト命令４３を取得するため、および取得された命令のローカル・バッファリングを任意選択的に提供するための命令フェッチ・ルーチン４４を含む。エミュレータ・コード４２は、取得されたゲスト命令の種類を決定するため、およびゲスト命令を、１つまたは複数の対応するネイティブ命令４６に変換するための命令変換ルーチン４５も含む。この変換は、例えば、ゲスト命令によって実行される機能を識別すること、およびこの機能を実行するためのネイティブ命令を選択することを含む。

さらに、エミュレータ・コード４２は、ネイティブ命令の実行を引き起こすためのエミュレーション制御ルーチン４７を含む。エミュレーション制御ルーチン４７は、ネイティブＣＰＵ３７に、１つまたは複数のすでに取得されたゲスト命令をエミュレートするネイティブ命令のルーチンを実行させ、そのような実行の終了時に、次のゲスト命令またはゲスト命令のグループの取得をエミュレートするために、制御を命令フェッチ・ルーチンに返してよい。ネイティブ命令４６の実行は、データをメモリ３８からレジスタに読み込むこと、データをレジスタからメモリに再び格納すること、あるいは変換ルーチンによって決定されたとおりに、何らかの種類の算術演算または論理演算を実行することを含んでよい。

例えば、各ルーチンは、メモリに格納されてネイティブ中央処理装置３７によって実行されるソフトウェアにおいて実装される。他の例では、ルーチンまたは動作のうちの１つまたは複数は、ファームウェア、ハードウェア、ソフトウェア、またはこれらの何らかの組合せにおいて実装される。エミュレートされたプロセッサのレジスタは、ネイティブＣＰＵのレジスタ４１を使用して、またはメモリ３８内の位置を使用することによって、エミュレートされてよい。実施形態では、ゲスト命令４３、ネイティブ命令４６、およびエミュレータ・コード４２は、同じメモリ内に存在してよく、または異なるメモリ・デバイス間で分配されてよい。

エミュレートされ得る命令、コマンドまたは呼び出しは、本発明の１つまたは複数の態様に従って、本明細書に記載されたウルトラバイザ呼び出しを含む。さらに、他の命令、コマンド、機能、動作、呼び出しまたは本発明の１つまたは複数の態様、あるいはその組合せが、本発明の１つまたは複数の態様に従ってエミュレートされてよい。

前述のコンピューティング環境は、使用可能なコンピューティング環境の例にすぎない。分割されない環境、分割された環境、クラウド環境、またはエミュレートされた環境、あるいはその組合せを含むが、これらに限定されない、他の環境が使用されてよく、実施形態はいずれか１つの環境に限定されない。本明細書ではコンピューティング環境のさまざまな例が説明されるが、本発明の１つまたは複数の態様が、多くの種類の環境と共に使用されてよい。本明細書で提供されるコンピューティング環境は、例にすぎない。

各コンピューティング環境は、本発明の１つまたは複数の態様を含むように構成されることが可能である。

１つまたは複数の態様がクラウド・コンピューティングに関連してよい。

本開示にはクラウド・コンピューティングに関する詳細な説明が含まれているが、本明細書において列挙された内容の実装は、クラウド・コンピューティング環境に限定されないと理解されるべきである。本発明の実施形態は、現在既知であるか、または今後開発される任意の他の種類のコンピューティング環境と組み合わせて実装され得る。

クラウド・コンピューティングは、構成可能な計算リソース（例えば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共有プールへの便利なオンデマンドのネットワーク・アクセスを可能にするためのサービス提供モデルであり、管理上の手間またはサービス・プロバイダとのやりとりを最小限に抑えて、これらのリソースを迅速にプロビジョニングおよび解放することができる。このクラウド・モデルは、少なくとも５つの特徴、少なくとも３つのサービス・モデル、および少なくとも４つのデプロイメント・モデルを含んでよい。

特徴は、次のとおりである。

オンデマンドのセルフ・サービス：クラウドの利用者は、サーバの時間およびネットワーク・ストレージなどの計算能力を一方的に、サービス・プロバイダとの人間的なやりとりを必要とせず、必要に応じて自動的にプロビジョニングすることができる。

幅広いネットワーク・アクセス：能力は、ネットワークを経由して利用可能であり、標準的なメカニズムを通じてアクセスできるため、異種のシン・クライアントまたはシック・クライアント・プラットフォーム（例えば、携帯電話、ラップトップ、およびＰＤＡ）による利用を促進する。

リソース・プール：プロバイダの計算リソースは、プールされて、マルチテナント・モデルを使用して複数の利用者に提供され、さまざまな物理的および仮想的リソースが、要求に従って動的に割り当ておよび再割り当てされる。場所に依存しないという感覚があり、利用者は通常、提供されるリソースの正確な場所に関して管理することも知ることもないが、さらに高いレベルの抽象化では、場所（例えば、国、州、またはデータセンター）を指定できることがある。

迅速な順応性：能力は、迅速かつ柔軟に、場合によっては自動的にプロビジョニングされ、素早くスケールアウトし、迅速に解放されて素早くスケールインすることができる。プロビジョニングに使用できる能力は、利用者には、多くの場合、任意の量をいつでも無制限に購入できるように見える。

測定されるサービス：クラウド・システムは、計測機能を活用することによって、サービスの種類（例えば、ストレージ、処理、帯域幅、およびアクティブなユーザのアカウント）に適した抽象レベルで、リソースの使用を自動的に制御および最適化する。リソースの使用状況は、監視、制御、および報告されることが可能であり、利用されるサービスのプロバイダと利用者の両方に透明性を提供する。

サービス・モデルは、次のとおりである。

サービスとしてのソフトウェア（ＳａａＳ）：利用者に提供される能力は、クラウド・インフラストラクチャ上で稼働しているプロバイダのアプリケーションの利用である。それらのアプリケーションは、Ｗｅｂブラウザ（例えば、Ｗｅｂベースの電子メール）などのシン・クライアント・インターフェイスを介して、さまざまなクライアント・デバイスからアクセスできる。利用者は、ネットワーク、サーバ、オペレーティング・システム、ストレージ、または個々のアプリケーション機能を含む基盤になるクラウド・インフラストラクチャを、限定的なユーザ固有のアプリケーション構成設定を行う可能性を除き、管理することも制御することもない。

サービスとしてのプラットフォーム（ＰａａＳ）：利用者に提供される能力は、プロバイダによってサポートされるプログラミング言語およびツールを使用して作成された、利用者が作成または取得したアプリケーションをクラウド・インフラストラクチャにデプロイすることである。利用者は、ネットワーク、サーバ、オペレーティング・システム、またはストレージを含む基盤になるクラウド・インフラストラクチャを管理することも制御することもないが、デプロイされたアプリケーション、および場合によってはアプリケーション・ホスティング環境の構成を制御することができる。

サービスとしてのインフラストラクチャ（ＩａａＳ）：利用者に提供される能力は、処理、ストレージ、ネットワーク、および他の基本的な計算リソースのプロビジョニングであり、利用者は、オペレーティング・システムおよびアプリケーションを含むことができる任意のソフトウェアをデプロイして実行できる。利用者は、基盤になるクラウド・インフラストラクチャを管理することも制御することもないが、オペレーティング・システム、ストレージ、デプロイされたアプリケーションを制御することができ、場合によっては、選ばれたネットワーク・コンポーネント（例えば、ホスト・ファイアウォール）を限定的に制御できる。

デプロイメント・モデルは、次のとおりである。

プライベート・クラウド：このクラウド・インフラストラクチャは、組織のためにのみ運用される。この組織またはサード・パーティによって管理することができ、オンプレミスまたはオフプレミスに存在することができる。

コミュニティ・クラウド：このクラウド・インフラストラクチャは、複数の組織によって共有され、関心事（例えば、任務、セキュリティ要件、ポリシー、およびコンプライアンスに関する考慮事項）を共有している特定のコミュニティをサポートする。これらの組織またはサード・パーティによって管理することができ、オンプレミスまたはオフプレミスに存在することができる。

パブリック・クラウド：このクラウド・インフラストラクチャは、一般ユーザまたは大規模な業界団体が使用できるようになっており、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：このクラウド・インフラストラクチャは、データとアプリケーションの移植を可能にする標準化された技術または独自の技術（例えば、クラウド間の負荷バランスを調整するためのクラウド・バースト）によって固有の実体を残したまま互いに結合された２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の複合である。

クラウド・コンピューティング環境は、ステートレス性、低結合性、モジュール性、および意味的相互運用性に重点を置いたサービス指向の環境である。クラウド・コンピューティングの中心になるのは、相互接続されたノードのネットワークを含んでいるインフラストラクチャである。

ここで図９を参照すると、例示的なクラウド・コンピューティング環境５０が示されている。図示されているように、クラウド・コンピューティング環境５０は、クラウドの利用者によって使用されるローカル・コンピューティング・デバイス（例えば、パーソナル・デジタル・アシスタント（ＰＤＡ：personal digital assistant）または携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車コンピュータ・システム５４Ｎ、あるいはその組合せなど）が通信できる１つまたは複数のクラウド・コンピューティング・ノード５２を含んでいる。ノード５２は、互いに通信してよい。ノード５２は、１つまたは複数のネットワーク内で、本明細書において前述されたプライベート・クラウド、コミュニティ・クラウド、パブリック・クラウド、またはハイブリッド・クラウド、あるいはこれらの組合せなどに、物理的または仮想的にグループ化されてよい（図示されていない）。これによって、クラウド・コンピューティング環境５０は、クラウドの利用者がローカル・コンピューティング・デバイス上でリソースを維持する必要のないインフラストラクチャ、プラットフォーム、またはソフトウェアあるいはその組合せをサービスとして提供できる。図９に示されたコンピューティング・デバイス５４Ａ～Ｎの種類は、例示のみが意図されており、コンピューティング・ノード５２およびクラウド・コンピューティング環境５０は、任意の種類のネットワークまたはネットワーク・アドレス可能な接続（例えば、Ｗｅｂブラウザを使用した接続）あるいはその両方を経由して任意の種類のコンピュータ制御デバイスと通信することができると理解される。

ここで図１０を参照すると、クラウド・コンピューティング環境５０（図９）によって提供される機能的抽象レイヤのセットが示されている。図１０に示されたコンポーネント、レイヤ、および機能は、例示のみが意図されており、本発明の実施形態がこれらに限定されないということが、あらかじめ理解されるべきである。図示されているように、次のレイヤおよび対応する機能が提供される。

ハードウェアおよびソフトウェア・レイヤ６０は、ハードウェア・コンポーネントおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例としては、メインフレーム６１、ＲＩＳＣ（Reduced Instruction Set Computer）アーキテクチャベースのサーバ６２、サーバ６３、ブレード・サーバ６４、ストレージ・デバイス６５、ならびにネットワークおよびネットワーク・コンポーネント６６が挙げられる。一部の実施形態では、ソフトウェア・コンポーネントは、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。

仮想化レイヤ７０は、仮想サーバ７１、仮想ストレージ７２、仮想プライベート・ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５などの仮想的実体を提供できる抽象レイヤを備える。

１つの例では、管理レイヤ８０は、以下で説明される機能を提供してよい。リソース・プロビジョニング８１は、クラウド・コンピューティング環境内でタスクを実行するために利用される計算リソースおよび他のリソースの動的調達を行う。計測および価格設定８２は、クラウド・コンピューティング環境内でリソースが利用される際のコスト追跡、およびそれらのリソースの利用に対する請求書またはインボイスの送付を行う。１つの例では、それらのリソースは、アプリケーション・ソフトウェア・ライセンスを含んでよい。セキュリティは、クラウドの利用者およびタスクのＩＤ検証を行うとともに、データおよび他のリソースの保護を行う。ユーザ・ポータル８３は、クラウド・コンピューティング環境へのアクセスを利用者およびシステム管理者に提供する。サービス・レベル管理８４は、必要なサービス・レベルを満たすように、クラウドの計算リソースの割り当てと管理を行う。サービス水準合意（ＳＬＡ：Service Level Agreement）計画および実行８５は、今後の要求が予想されるクラウドの計算リソースの事前準備および調達を、ＳＬＡに従って行う。

ワークロード・レイヤ９０は、クラウド・コンピューティング環境で利用できる機能の例を示している。このレイヤから提供されてよいワークロードおよび機能の例としては、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想クラスルーム教育の配信９３、データ解析処理９４、トランザクション処理９５、およびセキュア仮想マシンのダンプ処理９６が挙げられる。

本発明の態様は、任意の可能な統合の技術的詳細レベルで、システム、方法、またはコンピュータ・プログラム製品、あるいはその組合せであってよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を含んでいる１つまたは複数のコンピュータ可読ストレージ媒体を含んでよい。

コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持および格納できる有形のデバイスであることができる。コンピュータ可読ストレージ媒体は、例えば、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁ストレージ・デバイス、半導体ストレージ・デバイス、またはこれらの任意の適切な組合せであってよいが、これらに限定されない。コンピュータ可読ストレージ媒体のさらに具体的な例の非網羅的リストは、ポータブル・フロッピー（Ｒ）・ディスク、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ：random access memory）、読み取り専用メモリ（ＲＯＭ：read-only memory）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ：erasable programmable read-only memoryまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：static random access memory）、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ－ＲＯＭ：compact disc read-only memory）、デジタル・バーサタイル・ディスク（ＤＶＤ：digital versatile disk）、メモリ・スティック、フロッピー（Ｒ）・ディスク、命令が記録されているパンチカードまたは溝の中の隆起構造などの機械的にエンコードされるデバイス、およびこれらの任意の適切な組合せを含む。本明細書において使用されるとき、コンピュータ可読ストレージ媒体は、電波または他の自由に伝搬する電磁波、導波管または他の送信媒体を伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、あるいはワイヤを介して送信される電気信号などの、それ自体が一過性の信号であると解釈されるべきではない。

本明細書に記載されたコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体から各コンピューティング・デバイス／処理デバイスへ、あるいはネットワーク（例えば、インターネット、ローカル・エリア・ネットワーク、広域ネットワーク、またはワイヤレス・ネットワーク、あるいはその組合せ）を介して外部コンピュータまたは外部ストレージ・デバイスへダウンロードされ得る。このネットワークは、銅伝送ケーブル、光伝送ファイバ、ワイヤレス送信、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組合せを備えてよい。各コンピューティング・デバイス／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェイスは、コンピュータ可読プログラム命令をネットワークから受信し、それらのコンピュータ可読プログラム命令を各コンピューティング・デバイス／処理デバイス内のコンピュータ可読ストレージ媒体に格納するために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：instruction-set-architecture）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、あるいはＳｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同様のプログラミング言語などの手続き型プログラミング言語を含む１つまたは複数のプログラミング言語の任意の組合せで記述されたソース・コードまたはオブジェクト・コードであってよい。コンピュータ可読プログラム命令は、ユーザのコンピュータ上で全体的に実行すること、ユーザのコンピュータ上でスタンドアロン・ソフトウェア・パッケージとして部分的に実行すること、ユーザのコンピュータ上およびリモート・コンピュータ上でそれぞれ部分的に実行すること、あるいはリモート・コンピュータ上またはサーバ上で全体的に実行することができる。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ：local area network）または広域ネットワーク（ＷＡＮ：wide area network）を含む任意の種類のネットワークを介してユーザのコンピュータに接続されてよく、または接続は、（例えば、インターネット・サービス・プロバイダを使用してインターネットを介して）外部コンピュータに対して行われてよい。一部の実施形態では、本発明の態様を実行するために、例えばプログラマブル・ロジック回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ：field-programmable gate arrays）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：programmable logic arrays）を含む電子回路は、コンピュータ可読プログラム命令の状態情報を利用することによってコンピュータ可読プログラム命令を実行し、電子回路をカスタマイズしてよい。

本発明の態様は、本明細書において、本発明の実施形態に従って、方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図またはブロック図あるいはその両方を参照して説明される。フローチャート図またはブロック図あるいはその両方の各ブロック、ならびにフローチャート図またはブロック図あるいはその両方に含まれるブロックの組合せが、コンピュータ可読プログラム命令によって実装され得るということが理解されるであろう。

これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作を実施する手段を作り出すべく、コンピュータ、または他のプログラム可能なデータ処理装置のプロセッサに提供されてマシンを作り出すものであってよい。これらのコンピュータ可読プログラム命令は、命令が格納されたコンピュータ可読ストレージ媒体がフローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作の態様を実施する命令を含んでいる製品を備えるように、コンピュータ可読ストレージ媒体に格納され、コンピュータ、プログラム可能なデータ処理装置、または他のデバイス、あるいはその組合せに特定の方式で機能するように指示できるものであってもよい。

コンピュータ可読プログラム命令は、コンピュータ上、他のプログラム可能な装置上、または他のデバイス上で実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作を実施するように、コンピュータ、他のプログラム可能なデータ処理装置、または他のデバイスに読み込まれてもよく、それによって、一連の動作可能なステップを、コンピュータ上、他のプログラム可能な装置上、またはコンピュータ実装プロセスを生成する他のデバイス上で実行させる。

図内のフローチャートおよびブロック図は、本発明のさまざまな実施形態に従って、システム、方法、およびコンピュータ・プログラム製品の可能な実装のアーキテクチャ、機能、および動作を示す。これに関連して、フローチャートまたはブロック図内の各ブロックは、規定された論理機能を実装するための１つまたは複数の実行可能な命令を備える、命令のモジュール、セグメント、または部分を表してよい。一部の代替の実装では、ブロックに示された機能は、図に示された順序とは異なる順序で発生してよい。例えば、連続して示された２つのブロックは、実際には、含まれている機能に応じて、１つのステップとして実現されるか、同時に実行されるか、時間的に部分的または完全に重複する方法で実質的に同時に実行されるか、あるいは場合によっては逆の順序で実行されてよい。ブロック図またはフローチャート図あるいはその両方の各ブロック、ならびにブロック図またはフローチャート図あるいはその両方に含まれるブロックの組合せは、規定された機能または動作を実行するか、あるいは専用ハードウェアとコンピュータ命令の組合せを実行する専用ハードウェアベースのシステムによって実装され得るということにも注意する。

上記に加えて、顧客の環境の管理を提供するサービス・プロバイダによって、１つまたは複数の態様が提供されること、提示されること、デプロイされること、管理されること、サービス提供されることなどが行われてよい。例えば、サービス・プロバイダは、１人または複数の顧客のために１つまたは複数の態様を実行するコンピュータ・コードまたはコンピュータ・インフラストラクチャあるいはその両方を作成すること、維持すること、サポートすることなどを行うことができる。その見返りとして、サービス・プロバイダは、例えばサブスクリプションまたは料金契約あるいはその両方に従って、顧客から支払いを受け取ってよい。追加または代替として、サービス・プロバイダは、１つまたは複数のサード・パーティへの広告コンテンツの販売から支払いを受け取ってよい。

１つの態様では、１つまたは複数の実施形態を実行するために、アプリケーションがデプロイされてよい。１つの例として、アプリケーションのデプロイは、１つまたは複数の実施形態を実行するよう機能するコンピュータ・インフラストラクチャを提供することを含む。

さらなる態様として、コンピュータ可読コードをコンピューティング・システムに統合することを含むコンピューティング・インフラストラクチャがデプロイされてよく、このコンピューティング・インフラストラクチャでは、コンピューティング・システムと組み合わせたコードが、１つまたは複数の実施形態を実行できる。

さらなる態様として、コンピュータ可読コードをコンピュータ・システムに統合することを含んでいる、コンピューティング・インフラストラクチャを統合するためのプロセスが提供されてよい。コンピュータ・システムは、コンピュータ可読媒体を備え、このコンピュータ可読媒体では、コンピュータ媒体が１つまたは複数の実施形態を含む。コンピュータ・システムと組み合わせたコードは、１つまたは複数の実施形態を実行できる。

上ではさまざまな実施形態が説明されたが、それらは単なる例である。例えば、１つまたは複数の態様を組み込むため、または１つまたは複数の態様を使用するため、あるいはその両方のために、他のアーキテクチャのコンピューティング環境が使用され得る。さらに、さまざまな命令、コマンド、機能、呼び出しまたは動作、あるいはその組合せが使用されてよい。多くの変形が可能である。

本明細書では、さまざまな態様が説明される。さらに、本発明の態様の思想から逸脱することなく、多くの変形が可能である。本明細書に記載された各態様または特徴およびその変形を、特に矛盾しない限り、任意の他の態様または特徴と組み合わせることができるということに、注意するべきである。

さらに、他の種類のコンピューティング環境が、恩恵を受けることができ、使用され得る。例として、プログラム・コードの格納または実行あるいはその両方を行うのに適した、システム・バスを介して直接的または間接的にメモリ素子に結合された少なくとも２つのプロセッサを含んでいる、データ処理システムを使用できる。これらのメモリ素子は、例えば、プログラム・コードの実際の実行時に使用されるローカル・メモリ、バルク・ストレージ、および実行時にバルク・ストレージからコードが取得されなければならない回数を減らすために少なくとも一部のプログラム・コードを一時的に格納するキャッシュ・メモリを含む。

入出力デバイスまたはＩ／Ｏデバイス（キーボード、ディスプレイ、ポインティング・デバイス、ＤＡＳＤ、テープ、ＣＤ、ＤＶＤ、サム・ドライブ、および他の記憶媒体などを含むが、これらに限定されない）は、直接的に、または介在するＩ／Ｏコントローラを通じて、システムに結合され得る。ネットワーク・アダプタがシステムに結合され、介在するプライベート・ネットワークまたはパブリック・ネットワークを通じて、データ処理システムを、他のデータ処理システムまたはリモート・プリンタまたはストレージ・デバイスに結合できるようにしてもよい。モデム、ケーブル・モデム、およびイーサネット（Ｒ）・カードは、使用可能なネットワーク・アダプタのうちの、ごくわずかの種類にすぎない。

本明細書で使用される用語は、特定の実施形態を説明することのみを目的としており、制限することを意図していない。本明細書において使用されるとき、単数形「ａ」、「ａｎ」、および「ｔｈｅ」は、文脈で特に明示的に示されない限り、複数形も含むよう意図されている。「備える」または「備えている」あるいはその両方の用語は、本明細書で使用される場合、記載された機能、整数、ステップ、動作、要素、またはコンポーネント、あるいはその組合せの存在を示すが、１つまたは複数の他の機能、整数、ステップ、動作、要素、コンポーネント、またはこれらのグループ、あるいはその組合せの存在または追加を除外していないということが、さらに理解されるであろう。

下の特許請求の範囲内のすべての手段またはステップおよび機能要素の対応する構造、材料、動作、および等価なものは、もしあれば、具体的に請求されるとき、他の請求される要素と組み合わせて機能を実行するための任意の構造、材料、または動作を含むことが意図されている。１つまたは複数の実施形態の説明は、例示および説明の目的で提示されているが、網羅的であることは意図されておらず、開示された形態に限定されない。多くの変更および変形が、当業者にとって明らかであろう。さまざまな態様および実際的な適用を最も適切に説明するため、および他の当業者が、企図されている特定の用途に適しているようなさまざまな変更を伴う多様な実施形態を理解できるようにするために、実施形態が選択されて説明された。

Claims (20)

1. コンピューティング環境内の処理を容易にするためのコンピュータ・プログラム製品であって、前記コンピュータ・プログラム製品が、
   １つまたは複数のコンピュータ可読ストレージ媒体と、前記１つまたは複数のコンピュータ可読ストレージ媒体に集合的に格納されたプログラム命令とを備え、前記プログラム命令が、
   仮想マシンの診断状態を格納するための少なくとも１つの要求を取得することと、
   前記少なくとも１つの要求を取得することに基づいて、前記仮想マシンの格納された診断状態を提供するために、前記仮想マシンの診断状態の格納を実行することとを含む方法を実行し、前記格納を前記実行することが、暗号化されずに格納されている前記仮想マシンの前記診断状態を暗号化し、暗号化されずに格納されている前記仮想マシンの前記診断状態を暗号化する前の、信頼できない実体による前記仮想マシンの前記診断状態の読み取りを防ぐことを含む、コンピュータ・プログラム製品。
2. 前記仮想マシンの前記格納された診断状態が、前記仮想マシンのメモリの内容を含む、請求項１に記載のコンピュータ・プログラム製品。
3. 前記仮想マシンの前記格納された診断状態が、前記仮想マシンの１つまたは複数のプロセッサ・レジスタの内容を含む、請求項１または２に記載のコンピュータ・プログラム製品。
4. 前記方法が、前記仮想マシンの診断状態の格納を開始するための診断状態格納開始要求を取得することをさらに含み、前記診断状態格納開始要求が、暗号化されずに格納されている前記仮想マシンの前記診断状態の少なくとも一部を暗号化することにおいて使用される第１の暗号鍵を取得するために使用される、請求項１ないし３のいずれか一項に記載のコンピュータ・プログラム製品。
5. 前記少なくとも１つの要求を前記取得することが、診断プロセッサ状態格納要求を取得することを含み、前記診断プロセッサ状態格納要求を取得することに基づいて、前記診断状態の前記格納を前記実行することが、
   前記第１の暗号鍵を使用して、前記仮想マシンの少なくとも１つのプロセッサの少なくとも選ばれた内容を暗号化し、暗号化されたプロセッサの内容を提供することと、
   前記暗号化されたプロセッサの内容を格納することとを含む、請求項４に記載のコンピュータ・プログラム製品。
6. 前記少なくとも１つの要求を前記取得することが、セキュア・メモリからの変換要求を取得することを含み、前記セキュア・メモリからの変換要求を取得することに基づいて、前記診断状態の前記格納を前記実行することが、
   第２の暗号鍵を使用して、暗号化されていない前記仮想マシンのメモリの少なくとも選ばれた内容を暗号化し、メモリの暗号化された内容を提供することと、
   前記メモリの暗号化された内容を格納することとを含む、請求項１ないし５のいずれか一項に記載のコンピュータ・プログラム製品。
7. 前記セキュア・メモリからの変換要求を取得することに基づいて、前記診断状態の前記格納を前記実行することが、
   格納される内容のメモリの単位が暗号化されているかどうかを判定することと、
   前記メモリの単位が暗号化されていないということを決定することに基づいて、前記第２の暗号鍵を使用して前記メモリの単位を暗号化することとを含み、暗号化されているメモリの単位が再暗号化されない、請求項６に記載のコンピュータ・プログラム製品。
8. 前記格納された診断状態が、メモリの暗号化された内容を含み、前記方法が、
   診断メモリ状態格納要求を取得することと、
   前記診断メモリ状態格納要求を取得することに基づいて、前記メモリの暗号化された内容を復号するために使用されるメタデータを格納することとをさらに含む、請求項１ないし７のいずれか一項に記載のコンピュータ・プログラム製品。
9. 前記メタデータが、前記メモリの暗号化された内容を復号するために使用される１つまたは複数の選ばれた値を作成するために使用される１つまたは複数の選ばれた構成要素値を含む、請求項８に記載のコンピュータ・プログラム製品。
10. 前記方法が、
    診断状態の前記格納を完了するための完了要求を取得することと、
    前記完了要求を取得することに基づいて、前記仮想マシンの暗号化されて格納された診断状態を復号するために使用されるデータを提供することとをさらに含む、請求項１ないし９のいずれか一項に記載のコンピュータ・プログラム製品。
11. 前記データが、メモリの暗号化された内容の復号において使用される第２の暗号鍵と、暗号化において使用される１つまたは複数の選ばれた値を作成するために使用されるノンス値とを含み、前記データの少なくとも一部が暗号化される、請求項１０に記載のコンピュータ・プログラム製品。
12. コンピューティング環境内の処理を容易にするためのコンピュータ・システムであって、前記コンピュータ・システムが、
    メモリと、
    前記メモリと通信する少なくとも１つのプロセッサとを備え、前記コンピュータ・システムが方法を実行するように構成されており、前記方法が、
    仮想マシンの診断状態を格納するための少なくとも１つの要求を取得することと、
    前記少なくとも１つの要求を取得することに基づいて、前記仮想マシンの格納された診断状態を提供するために、前記仮想マシンの診断状態の格納を実行することとを含み、前記格納を前記実行することが、暗号化されずに格納されている前記仮想マシンの前記診断状態を暗号化し、暗号化されずに格納されている前記仮想マシンの前記診断状態を暗号化する前の、信頼できない実体による前記仮想マシンの前記診断状態の読み取りを防ぐことを含む、コンピュータ・システム。
13. 前記方法が、前記仮想マシンの診断状態の格納を開始するための診断状態格納開始要求を取得することをさらに含み、前記診断状態格納開始要求が、暗号化されずに格納されている前記仮想マシンの前記診断状態の少なくとも一部を暗号化することにおいて使用される第１の暗号鍵を取得するために使用される、請求項１２に記載のコンピュータ・システム。
14. 前記少なくとも１つの要求を前記取得することが、診断プロセッサ状態格納要求を取得することを含み、前記診断プロセッサ状態格納要求を取得することに基づいて、前記診断状態の前記格納を前記実行することが、
    前記第１の暗号鍵を使用して、前記仮想マシンの少なくとも１つのプロセッサの少なくとも選ばれた内容を暗号化し、暗号化されたプロセッサの内容を提供することと、
    前記暗号化されたプロセッサの内容を格納することとを含む、請求項１３に記載のコンピュータ・システム。
15. 前記少なくとも１つの要求を前記取得することが、セキュア・メモリからの変換要求を取得することを含み、前記セキュア・メモリからの変換要求を取得することに基づいて、前記診断状態の前記格納を前記実行することが、
    第２の暗号鍵を使用して、暗号化されていない前記仮想マシンのメモリの少なくとも選ばれた内容を暗号化し、メモリの暗号化された内容を提供することと、
    前記メモリの暗号化された内容を格納することとを含む、請求項１２ないし１４のいずれか一項に記載のコンピュータ・システム。
16. 前記格納された診断状態が、メモリの暗号化された内容を含み、前記方法が、
    診断メモリ状態格納要求を取得することと、
    前記診断メモリ状態格納要求を取得することに基づいて、前記メモリの暗号化された内容を復号するために使用されるメタデータを格納することとをさらに含む、請求項１２ないし１５のいずれか一項に記載のコンピュータ・システム。
17. コンピューティング環境内の処理を容易にするコンピュータ実装方法であって、前記コンピュータ実装方法が、
    仮想マシンの診断状態を格納するための少なくとも１つの要求を取得することと、
    前記少なくとも１つの要求を取得することに基づいて、前記仮想マシンの格納された診断状態を提供するために、前記仮想マシンの診断状態の格納を実行することとを含み、前記格納を前記実行することが、暗号化されずに格納されている前記仮想マシンの前記診断状態を暗号化し、暗号化されずに格納されている前記仮想マシンの前記診断状態を暗号化する前の、信頼できない実体による前記仮想マシンの前記診断状態の読み取りを防ぐことを含む、コンピュータ実装方法。
18. 前記方法が、前記仮想マシンの診断状態の格納を開始するための診断状態格納開始要求を取得することをさらに含み、前記診断状態格納開始要求が、暗号化されずに格納されている前記仮想マシンの前記診断状態の少なくとも一部を暗号化することにおいて使用される第１の暗号鍵を取得するために使用される、請求項１７に記載のコンピュータ実装方法。
19. 前記少なくとも１つの要求を前記取得することが、診断プロセッサ状態格納要求を取得することを含み、前記診断プロセッサ状態格納要求を取得することに基づいて、前記診断状態の前記格納を前記実行することが、
    前記第１の暗号鍵を使用して、前記仮想マシンの少なくとも１つのプロセッサの少なくとも選ばれた内容を暗号化し、暗号化されたプロセッサの内容を提供することと、
    前記暗号化されたプロセッサの内容を格納することとを含む、請求項１８に記載のコンピュータ実装方法。
20. 前記少なくとも１つの要求を前記取得することが、セキュア・メモリからの変換要求を取得することを含み、前記セキュア・メモリからの変換要求を取得することに基づいて、前記診断状態の前記格納を前記実行することが、
    第２の暗号鍵を使用して、暗号化されていない前記仮想マシンのメモリの少なくとも選ばれた内容を暗号化し、メモリの暗号化された内容を提供することと、
    前記メモリの暗号化された内容を格納することとを含む、請求項１７ないし１９のいずれか一項に記載のコンピュータ実装方法。

Images