JP7410161B2 - ページ変更検出によるセキュアなページング - Google Patents

Description

本発明は、一般に、コンピュータ技術に関し、より詳細には、ページ変更検出によるセキュアなページングに関する。

クラウド・コンピューティングおよびクラウド・ストレージは、それらのデータをサードパーティのデータ・センターに格納して処理する能力をユーザに提供する。クラウド・コンピューティングは、顧客がハードウェアを購入することも、物理的サーバのための床スペースを提供することも必要とせずに、ＶＭを顧客のために迅速かつ簡単にプロビジョニングする能力を促進する。顧客は、顧客の嗜好または要件の変化に従って、ＶＭを簡単に拡大または縮小することができる。通常、クラウド・コンピューティング・プロバイダは、プロバイダのデータ・センターで、サーバ上に物理的に存在するＶＭをプロビジョニングする。特に、コンピューティング・プロバイダが、多くの場合、通常は２人以上の顧客のデータを同じサーバ上に格納するため、顧客は、多くの場合、ＶＭ内のデータのセキュリティについて心配する。顧客は、顧客自身のコード／データとプロバイダのサイトで実行されている他のＶＭのコード／データの間のセキュリティだけでなく、顧客自身のコード／データとクラウド・コンピューティング・プロバイダのコード／データの間のセキュリティを要求することがある。加えて、顧客は、マシン上で実行されている他のコードからの可能性のあるセキュリティ違反に対するセキュリティだけでなく、プロバイダの管理者からのセキュリティを要求することがある。

そのような注意を要する状況に対処するために、クラウド・サービス・プロバイダは、適切なデータ分離および論理的ストレージ分離を保証するようにセキュリティ制御を実施することがある。クラウド・インフラストラクチャの実装における仮想化の広範囲に及ぶ使用の結果、仮想化が、オペレーティング・システム（ＯＳ：operating system）と基礎になるハードウェアの間の関係を（ハードウェアがコンピューティング、ストレージ、またはネットワークのいずれであっても）変更するため、クラウド・サービスの顧客に固有のセキュリティに関する懸念が生じる。このため仮想化は、それ自体が適切に構成され、管理され、保護されなければならない追加のレイヤとして導入される。

一般に、ホスト・ハイパーバイザの制御下でゲストとして実行されるＶＭは、そのハイパーバイザが仮想化サービスをそのゲストに透過的に提供することに依存する。これらのサービスは、メモリ管理、命令エミュレーション、および割り込み処理を含む。

メモリ管理の場合、ＶＭは、そのデータをメモリに常駐させるためにディスクから移動する（ページインする）ことができ、ＶＭは、そのデータをディスクに戻す（ページアウトする）こともできる。ページがメモリに常駐している間、ＶＭ（ゲスト）は、動的アドレス変換（ＤＡＴ：dynamic address translation）を使用してメモリ内のページをゲスト仮想アドレスからゲスト絶対アドレスにマッピングする。加えて、ホスト・ハイパーバイザは、メモリ内のゲスト・ページに関して、それ自身の（ホスト仮想アドレスからホスト絶対アドレスへの）ＤＡＴマッピングを有しており、ゲスト・ページを、ゲストから独立して透過的にメモリにページインし、メモリからページアウトすることができる。ホストＤＡＴテーブルによって、ハイパーバイザは、メモリ分離、または２つの分離したゲストＶＭ間のゲスト・メモリの共有を実現する。ホストは、必要な場合に、ゲスト・メモリにアクセスし、ゲストの代わりにゲストの動作をシミュレートすることもできる。

本発明の１つまたは複数の実施形態によれば、コンピュータ実装方法は、コンピュータ・システムのメモリのページのハッシュ値を計算することと、このハッシュ値をページの以前に計算されたハッシュ値と比較することとを含む。ハッシュ値が以前に計算されたハッシュ値に一致するということの決定に基づいて、ページごと、暗号化ごとの値をページの暗号化において使用することができる。ハッシュ値が以前に計算されたハッシュ値に一致しないということの決定に基づいて、ページごと、暗号化ごとの値の修正値をページの暗号化において使用することができる。利点としては、暗号化ごとの値の組み込みによって暗号化を改良しながら、基礎になるデータに対する変更が発生しなかった場合に、暗号化の更新を制限することが挙げられる。

本発明の追加または代替の実施形態に従って、ページをセキュア・ページから非セキュア・ページに変換するというホストの要求に応答して、セキュア制御インターフェイスによって暗号化が実行され得る。利点としては、ページを非セキュアにし、信頼できない実体によってアクセスできるようにする前に、暗号化によって、基礎になるデータへの直接アクセスを防ぐことが挙げられる。

本発明の追加または代替の実施形態に従って、暗号化された非セキュア・ページがストレージのホストに提供され得る。利点としては、信頼できないことがある実体によるメモリ・ページの入出力アクセスおよび移動のためのメモリ管理を可能にすることが挙げられる。

本発明の追加または代替の実施形態に従って、ハッシュ値を、セキュア制御インターフェイスのセキュア・テーブルに格納することができる。利点としては、変更を比較するための要約値を保存することが挙げられる。

本発明の追加または代替の実施形態に従って、非セキュア・ページがセキュア・ページに変換され得る。セキュア・インターフェイス制御（secure interface control）は、ページに関連付けられた暗号化ごとの値に基づいてセキュア・ページを復号し、復号されたページを生成することができる。復号されたページのハッシュ値が計算され得る。復号されたページのハッシュ値は、セキュア・テーブルに格納されているページのハッシュ値と比較され得る。復号されたページのハッシュ値がセキュア・テーブルに格納されているハッシュ値に一致するということの決定に基づいて、復号されたページの妥当性が確認され得る。利点としては、信頼できない実体に提供されたページが変更されていないことの検証が挙げられる。

本発明の追加または代替の実施形態に従って、セキュア・インターフェイス制御は、ファームウェア、ハードウェア、またはファームウェアとハードウェアの組み合わせを含むことができる。セキュア・ページは、ホストによって管理されているセキュア・コンテナまたはセキュア仮想マシンに割り当てられ得る。ホストは、ハイパーバイザまたはオペレーティング・システムであることができる。利点としては、暗号化を使用して、セキュアな実体からのセキュア・ページを信頼できない実体と共有することが挙げられる。

本発明の追加または代替の実施形態に従って、ページを暗号化することは、ページに関連付けられたアドレス値、１つまたは複数の乱数値、および暗号化ごとの値と、暗号によって保護されたハッシュ関数との組み合わせを組み込むことができる。利点としては、暗号化の複雑さ向上させてセキュリティを強化することが挙げられる。

本発明の他の実施形態は、コンピュータ・システムおよびコンピュータ・プログラム製品において、前述した方法の特徴を実装する。

追加の特徴および利点が、本開示の手法によって実現される。本発明のその他の実施形態および態様は、本明細書において詳細に説明され、本発明の一部と見なされる。本発明を利点および特徴と共によく理解するために、説明および図面を参照されたい。

本明細書に記載された専有権の詳細は、本明細書の最後にある特許請求の範囲において具体的に指摘され、明確に請求される。本発明の各実施形態の前述およびその他の特徴と利点は、添付の図面と併せて行われる以下の詳細な説明から明らかになる。

本発明の１つまたは複数の実施形態に従って、ゾーン・セキュリティのためのテーブルを示す図である。 本発明の１つまたは複数の実施形態に従って、ＤＡＴを実行するための仮想アドレス空間および絶対アドレス空間を示す図である。 本発明の１つまたは複数の実施形態に従って、ハイパーバイザの下で実行されている仮想マシン（ＶＭ：virtual machine）を支援するためのネストされたマルチパートＤＡＴ（multi-partDAT）を示す図である。 本発明の１つまたは複数の実施形態に従って、セキュア・ゲスト・ストレージのマッピングを示す図である。 本発明の１つまたは複数の実施形態に従って、動的アドレス変換（ＤＡＴ）動作のシステム概略図である。 本発明の１つまたは複数の実施形態に従って、セキュア・インターフェイス制御メモリのシステム概略図である。 本発明の１つまたは複数の実施形態に従って、インポート動作のプロセス・フローを示す図である。 本発明の１つまたは複数の実施形態に従って、インポート動作のプロセス・フローを示す図である。 本発明の１つまたは複数の実施形態に従って、提供されたメモリの動作のプロセスを示す図である。 本発明の１つまたは複数の実施形態に従って、セキュア・インターフェイス制御のセキュア・ページへの非セキュア・ハイパーバイザ・ページの遷移のプロセス・フローを示す図である。 本発明の１つまたは複数の実施形態に従って、セキュア・インターフェイス制御によって行われるセキュア・ストレージ・アクセスのプロセス・フローを示す図である。 本発明の１つまたは複数の実施形態に従って、セキュア・インターフェイス制御およびハードウェアによるアクセスのタグ付けのプロセス・フローを示す図である。 本発明の１つまたは複数の実施形態に従って、プログラムおよびセキュア・インターフェイス制御によってセキュア・アクセスおよび非セキュア・アクセスを支援するための変換のプロセス・フローを示す図である。 本発明の１つまたは複数の実施形態に従って、プログラムおよびセキュア・インターフェイス制御によるセキュア・ストレージの保護を伴うＤＡＴのプロセス・フローを示す図である。 本発明の１つまたは複数の実施形態に従って、暗号化の前にページの内容が変更されたかどうかを判定するためのプロセス・フローを示す図である。 本発明の１つまたは複数の実施形態に従って、セキュア・インターフェイス制御による暗号化および復号の制御のためのデータ・フローを示す図である。 本発明の１つまたは複数の実施形態に従って、クラウド・コンピューティング環境を示す図である。 本発明の１つまたは複数の実施形態に従って、抽象モデル・レイヤを示す図である。 本発明の１つまたは複数の実施形態に従って、システムを示す図である。 本発明の１つまたは複数の実施形態に従って、処理システムを示す図である。

本明細書において示される図は、実例である。本発明の思想から逸脱することなく、本明細書に記載された図または動作の多くの変形が存在することが可能である。例えば、動作は異なる順序で実行されることが可能であり、あるいは動作は追加、削除、または変更されることが可能である。また、「結合される」という用語およびその変形は、２つの要素間に通信経路が存在することを表しており、それらの要素間に要素／接続が介在しない要素間の直接的接続を意味していない。これらのすべての変形は、本明細書の一部であると見なされる。

本発明の１つまたは複数の実施形態は、基礎になるデータにおける変化が検出されたかどうかに基づいて、暗号化プロセスを変更するカウンタを使用してメモリ・ページの暗号化を実行する。セキュア・ドメイン内のデータのページがセキュアでない実体によってアクセスできないことを保証するように、セキュア・ストレージが管理され得る。セキュア・ドメイン内のデータが、ディスクへの格納などのために非セキュア・ドメインに転送されるときに、データが、非セキュア・ドメインに転送する前に暗号化され得る。セキュリティを強化するために、データのページを暗号化するときに、データに対する変更の検出時にインクリメントされるカウンタ値などの複数のアイテムが初期化ベクトルに結合され得る。したがって、データのページが変化しないままである場合、暗号化は、暗号化データの他の以前のコピーに一致し、既存のページング・アルゴリズムを維持する。しかし、基礎になるデータが変化した場合、暗号化ごとのカウンタの暗号化ごとの値が変更され、暗号化プロセスの一部として使用され得る。暗号化ごとの値を組み込むことによって、データ値の変更および暗号化ごとの値の変更の組み合わせに基づいて暗号化が変化するため、暗号化データ内のパターンを検出することをさらに困難にすることができる。暗号化ごとのカウンタと組み合わせてページ変更検出を含むことは、基礎になる内容が変化しないままである限り、ページアウトされた暗号化済みの内容の複数回の再使用を支援することができ、読み取り専用のメモリ・ページのための処理システムの効率向上に役立つことができる。これに対して、ページ変更検出が使用されず、例えばページの各アクセスで暗号化ごとのカウンタが変更された場合、基礎になるデータが変更されなかった場合でも、ページアウトされたページを複数回再使用することができない。

仮想マシン、コンテナ、ハイパーバイザ、オペレーティング・システム、およびその他のコンピュータ・システムの要素を支援するためのページングを参照して、本発明の実施形態が説明される。本明細書に記載されたプロセスが、多数のシステム構成に適用可能であり、本明細書でより詳細に説明される例示的なシステムに限定される必要がないということが、理解されるであろう。

本発明の１つまたは複数の実施形態は、ソフトウェアとマシンの間の効率的な軽量のセキュア・インターフェイス制御を活用して、セキュリティを強化する。

ホスト・ハイパーバイザの制御下でゲストとして実行される仮想マシン（ＶＭ）は、そのハイパーバイザが仮想化サービスをそのゲストに透過的に提供することに依存する。これらのサービスは、セキュアな実体と別の信頼できない実体の間の、この他の実体によるセキュア・リソースへのアクセスを従来は許可していた任意のインターフェイスに適用され得る。前述したように、これらのサービスは、メモリ管理、命令エミュレーション、および割り込み処理を含むことができるが、これらに限定されない。例えば、割り込みおよび例外の投入の場合、ハイパーバイザは、通常、ゲストのプレフィックス領域（ロー・コア）に対して、読み取りまたは書き込みあるいはその両方を行う。「仮想マシン」または「ＶＭ」という用語は、本明細書において使用されるとき、物理マシン（コンピューティング・デバイス、プロセッサなど）およびその処理環境（オペレーティング・システム（ＯＳ）、ソフトウェア・リソースなど）の論理的表現のことを指す。ＶＭは、基礎になるホスト・マシン（物理プロセッサまたはプロセッサのセット）上で実行されるソフトウェアとして維持される。ユーザまたはソフトウェア・リソースの視点からは、ＶＭは、それ自身が独立した物理マシンであるように見える。「ハイパーバイザ」および「ＶＭモニタ（ＶＭＭ：VM Monitor）」という用語は、本明細書において使用されるとき、同じホスト・マシン上で複数の（しばしば異なる）ＯＳを使用して実行するように、複数のＶＭを管理および許可する処理環境またはプラットフォーム・サービスのことを指す。ＶＭをデプロイすることが、ＶＭのインストール・プロセスおよびＶＭの有効化（または起動）プロセスを含むということが、理解されるべきである。別の例では、ＶＭをデプロイすることは、ＶＭの有効化（または起動）プロセスを含む（例えば、ＶＭがすでにインストールされているか、またはすでに存在する場合）。

セキュア・ゲストを促進し、支援するためには、ハイパーバイザがＶＭのデータにアクセスできず、したがって前述した方法でサービスを提供できないように、ハイパーバイザに依存しない、ハイパーバイザとセキュア・ゲストの間のセキュリティの向上が必要になるという技術的課題が存在する。

本明細書に記載されたセキュアな実行は、セキュア・ストレージと非セキュア・ストレージの間の分離、および異なるセキュアなユーザに属するセキュア・ストレージ間の分離を保証するためのハードウェア・メカニズムを提供する。セキュア・ゲストの場合、「信頼できない」非セキュア・ハイパーバイザとセキュア・ゲストの間のセキュリティが強化される。これを行うには、通常はゲストの代わりにハイパーバイザが実行する機能の多くがマシンに組み込まれる必要がある。ハイパーバイザとセキュア・ゲストの間のセキュア・インターフェイスを提供するための新しいセキュア・インターフェイス制御（本明細書では、「ＵＶ」とも呼ばれる）が、本明細書において説明される。セキュア・インターフェイス制御およびＵＶという用語は、本明細書では交換可能なように使用される。セキュア・インターフェイス制御は、ハードウェアと連携して機能し、このセキュリティの向上を実現する。加えて、下位レベルのハイパーバイザが、この信頼できないハイパーバイザに仮想化を提供していることがあり、この下位レベルのハイパーバイザは、信頼できるコードで実装されている場合、セキュア・インターフェイス制御の一部になることもできる。

セキュア・インターフェイス制御は、１つの例では、内部のセキュアな信頼できるハードウェアまたはファームウェアあるいはその両方に実装される。この信頼できるファームウェアは、例えば、プロセッサのミリコードまたはＰＲ／ＳＭの論理分割コードを含むことができる。セキュア・ゲストまたはセキュアな実体に関して、セキュア・インターフェイス制御は、セキュアな環境の初期化および維持に加えて、ハードウェア上でこれらのセキュアな実体のディスパッチの調整を行う。セキュア・ゲストがデータを活発に使用しており、ホスト・ストレージに常駐している間、このセキュア・ゲストは、セキュア・ストレージ内で「疑いが晴れた状態」に保たれる。その単一のセキュア・ゲストによって、セキュア・ゲスト・ストレージにアクセスすることができ、このアクセスは、ハードウェアによって厳密に実施される。すなわち、ハードウェアは、任意のセキュアでない実体（ハイパーバイザまたはその他の非セキュア・ゲストを含む）または異なるセキュア・ゲストがそのデータにアクセスするのを防ぐ。この例では、セキュア・インターフェイス制御は、最低レベルのファームウェアの信頼できる部分として実行される。この最低レベル、またはミリコードは、実際にはハードウェアの拡張であり、例えばＩＢＭのｚＡｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）において定義されている複雑な命令および機能を実装するために使用される。ミリコードは、セキュアな実行との関連において、それ自身のセキュアＵＶストレージ、非セキュア・ハイパーバイザ・ストレージ、セキュア・ゲスト・ストレージ、および共有ストレージを含む、ストレージのすべての部分にアクセスすることができる。これによって、ミリコードは、セキュア・ゲストによって、またはそのゲストの支援においてハイパーバイザによって必要とされるすべての機能を提供することができる。セキュア・インターフェイス制御は、ハードウェアに直接アクセスすることもでき、セキュア・インターフェイス制御によって確立された条件の制御下で、ハードウェアが効率的にセキュリティ・チェックを実行できるようにする。

本発明の１つまたは複数の実施形態に従って、ソフトウェアは、ＵＶ呼び出し（ＵＶＣ：UV Call）命令を使用して、セキュア・インターフェイス制御に対して特定の動作を実行するよう要求する。例えば、ＵＶＣ命令は、ハイパーバイザによって、セキュア・インターフェイス制御を初期化し、セキュア・ゲスト・ドメイン（例えば、セキュア・ゲスト構成）を作成し、そのセキュアな構成内で仮想ＣＰＵを作成するために使用され得る。ＵＶＣ命令は、ハイパーバイザのページイン動作またはページアウト動作の一部として、セキュア・ゲスト・ページをインポートすること（復号してセキュア・ゲスト・ドメインに割り当てること）、およびエクスポートすること（暗号化してホストがアクセスできるようにすること）にも使用され得る。加えて、セキュア・ゲストは、ハイパーバイザと共有されるストレージを定義し、セキュア・ストレージを共有にし、共有ストレージをセキュアにする能力を有する。

これらのＵＶＣコマンドは、多くの他の設計された命令と同様に、マシンのファームウェアによって実行され得る。マシンは、セキュア・インターフェイス制御モードに移行せず、代わりにマシンは、現在実行されているモードでセキュア・インターフェイス制御機能を実行する。ハードウェアは、これらの動作を処理するためのコンテキストの切り替えがないように、ファームウェアとソフトウェアの両方の状態を維持する。この少ないオーバーヘッドによって、必要なレベルのセキュリティを引き続き提供しながら、セキュア・インターフェイス制御における複雑さを最小限に抑えて減らすような方法で、ソフトウェア、信頼できるファームウェア、およびハードウェアの異なるレイヤ間の緊密な連携を可能にする。

本発明の１つまたは複数の実施形態に従って、セキュア・ゲストを適切に維持するためにセキュア・インターフェイス制御およびハードウェアによって必要とされる制御ブロック構造の支援、およびハイパーバイザ環境の支援において、ハイパーバイザは、セキュア・ゲスト環境を初期化しながら、ストレージをセキュア・インターフェイス制御に提供する。その結果、（１）セキュア・ゲストを実行するようにゾーンを初期化すること、（２）セキュア・ゲスト・ドメインを作成すること、および（３）ドメインの各々において実行されるセキュアＣＰＵを作成することに備えて、ハイパーバイザは、特に、提供する必要があるストレージの量を決定するために、ＵＶＣ照会命令を発行する。ストレージが提供された後に、このストレージは、セキュアとしてマーク付けされ、セキュア・インターフェイス制御に属しているとして登録され、どの非セキュア・ゲストまたはセキュア・ゲストの実体によるアクセスも禁止される。関連する実体（例えば、セキュア・ゲストＣＰＵ、セキュア・ゲスト・ドメインまたはゾーン）が破棄されるまで、この状況が維持される。

１つの例では、ゾーン固有のＵＶ制御ブロックを支援するためのＵＶストレージの第１のセクションが、ＵＶＣ初期化の一部としてセキュア・インターフェイス制御に提供され、本明細書ではＵＶ２ストレージと呼ばれるものに存在する。（セキュア・ゲスト・ドメインごとに）ベースおよび可変セキュア・ゲスト構成制御ブロック（base and variable secure-guest-configuration control blocks）を支援するためのＵＶストレージの第２および第３のセクションが、セキュア・ゲスト構成作成ＵＶＣ（create-secure-guest-configuration UVC）の一部として提供され、ＵＶＳストレージおよびＵＶＶストレージにそれぞれ存在する。セキュアＣＰＵ制御ブロックを支援するためのＵＶストレージの第４および最後のセクションも、ＵＶＳ空間に存在し、セキュア・ゲストＣＰＵ作成ＵＶＣ（create-secure-guest-CPU UVC）の一部として提供される。これらの領域の各々が提供されるときに、セキュア制御インターフェイスは、これらの領域を、（すべてのセキュアでない実体によるアクセスを防ぐために）セキュアとしてマーク付けし、（すべてのセキュア・ゲストの実体によるアクセスを防ぐために）セキュア・インターフェイス制御に属しているとしてゾーン・セキュリティ・テーブルにも登録する。ＵＶ空間内のさらなる分離を提供するために、ＵＶ２空間（どの特定のセキュア・ゲスト・ドメインにも関連付けられていない）も、一意のＵＶ２セキュア・ドメインでタグ付けされ、一方、ＵＶＳ空間およびＵＶＶ空間の両方が、関連する特定のセキュア・ゲスト・ドメインでさらにタグ付けされる。この例では、ＵＶＶ空間がホスト仮想空間に存在し、したがって、ホスト仮想からホスト絶対へのマッピングによってさらに識別され得る。

セキュア・インターフェイス制御はすべてのストレージ（非セキュア・ストレージ、セキュア・ゲスト・ストレージ、およびＵＶストレージ）にアクセスすることができるが、本発明の１つまたは複数の実施形態は、非常に具体的には、セキュア・インターフェイス制御がＵＶストレージにアクセスすることを許可するメカニズムを提供する。本発明の実施形態は、セキュア・ゲスト・ドメイン間の分離を提供する同じハードウェア・メカニズムを使用して、ＵＶストレージ内で同様の分離を提供することができる。これによって、セキュア・インターフェイス制御が、意図され、指定された場合にのみＵＶストレージにアクセスすること、望ましい指定されたセキュア・ゲストのセキュア・ゲスト・ストレージのみにアクセスすること、および指定された場合にのみ非セキュア・ストレージにアクセスすることを保証する。すなわち、セキュア・インターフェイス制御は、アクセスしようとするストレージを極めて明示的に指定することができ、ハードウェアが、そのストレージに実際にアクセスすることを保証できるようにする。加えて、セキュア・インターフェイス制御は、指定されたセキュア・ゲスト・ドメインに関連付けられたＵＶストレージのみにアクセスしようとすることを、さらに指定することができる。

セキュリティを提供するために、ハイパーバイザがセキュア・ゲストのデータを透過的にページインおよびページアウトしているときに、ハードウェアと連携しているセキュア・インターフェイス制御は、データの復号および暗号化を提供し、保証する。これを実現するために、ハイパーバイザは、ゲストのセキュア・データをページインおよびページアウトするときに、新しいＵＶＣを発行する必要がある。ハードウェアは、これらの新しいＵＶＣの間にセキュア・インターフェイス制御によって設定された制御に基づいて、これらのＵＶＣがハイパーバイザによって実際に発行されることを保証する。

この新しいセキュアな環境では、ハイパーバイザは、セキュア・ページをページアウトしているときに常に、新しいセキュア・ストレージからの変換（エクスポート）ＵＶＣを発行する必要がある。セキュア・インターフェイス制御は、このエクスポートＵＶＣに応答して、（１）ページがＵＶによって「ロックされている」ことを示し、（２）ページを暗号化し、（３）ページを非セキュアに設定し、（４）ＵＶのロックをリセットする。エクスポートＵＶＣが完了した後に、ハイパーバイザは、次に暗号化されたゲスト・ページをページアウトできるようになる。

加えて、ハイパーバイザは、セキュア・ページにページインしているときに常に、新しいセキュア・ストレージへの変換（インポート）ＵＶＣを発行しなければならない。ＵＶまたはセキュア・インターフェイス制御は、このインポートＵＶＣに応答して、（１）ページをハードウェア内でセキュアとしてマーク付けし、（２）ページがＵＶによって「ロックされている」ことを示し、（３）ページを復号し、（４）特定のセキュア・ゲスト・ドメインに対する権限を設定し、（５）ＵＶのロックをリセットする。アクセスがセキュアな実体によって行われるときに常に、変換中にハードウェアは、そのページに対して許可チェックを実行する。これらのチェックは、（１）ページが、このページにアクセスしようとしているセキュア・ゲスト・ドメインに実際に属していることを検証するためのチェック、および（２）このページがゲスト・メモリに常駐している間にハイパーバイザがこのページのホストのマッピングを変更していないことを確認するためのチェックを含む。ページがセキュアとしてマーク付けされた後に、ハードウェアは、ハイパーバイザまたは非セキュア・ゲストＶＭのいずれかによるすべてのセキュア・ページへのアクセスを防ぐ。追加の変換ステップが、別のセキュアＶＭによるアクセスを防ぎ、ハイパーバイザによる再マッピングを防ぐ。

ここで図１を参照すると、本発明の１つまたは複数の実施形態に従って、ゾーン・セキュリティのためのテーブル１００が概して示されている。図１に示されているゾーン・セキュリティ・テーブル１００は、セキュアな実体によってアクセスされるすべてのページへのセキュアなアクセスを保証するために、セキュア・インターフェイス制御によって維持され、セキュア・インターフェイス制御およびハードウェアによって使用される。ゾーン・セキュリティ・テーブル１００は、ホスト絶対アドレス１１０によってインデックス付けされる。すなわち、ホスト絶対ストレージのページごとに１つのエントリが存在する。各エントリは、アクセスを行っているセキュアな実体に属しているとしてエントリを検証するために使用される情報を含んでいる。

さらに、図１に示されているように、ゾーン・セキュリティ・テーブル１００は、セキュア・ドメインＩＤ１２０（ページに関連付けられたセキュア・ドメインを識別する）と、ＵＶビット１３０（このページがセキュア・インターフェイス制御に提供されており、セキュア・インターフェイス制御によって所有されていることを示す）と、アドレス比較無効化（ＤＡ）ビット１４０（ホスト絶対として定義されたセキュア・インターフェイス制御のページが関連するホスト仮想アドレスを有していないなどの場合に、特定の環境内でホスト・アドレス対の比較を無効化するために使用される）と、共有（ＳＨ）ビット１５０（ページが非セキュア・ハイパーバイザと共有されていることを示す）と、ホスト仮想アドレス１６０（このホスト絶対アドレスの登録されたホスト仮想アドレスを示し、これらのアドレスはホスト・アドレス対と呼ばれる）とを含んでいる。ホスト・アドレス対が、ホスト絶対アドレスと、関連する登録されたホスト仮想アドレスとを示すということに注意する。ホスト・アドレス対は、ハイパーバイザによってインポートされた後の、このページのマッピングを表し、比較は、このページがゲストによって使用されている間に、ホストがこのページを再マッピングしていないことを保証する。

動的アドレス変換（ＤＡＴ）は、仮想ストレージを実ストレージにマッピングするために使用される。ゲストＶＭがハイパーバイザの制御下でページング可能なゲストとして実行されている場合、ゲストは、ＤＡＴを使用してメモリに常駐するページを管理する。加えて、ホストは、ゲスト・ページがメモリに常駐しているときに、独立してＤＡＴを使用して、それらのゲスト・ページを（ホスト自身のページと共に）管理する。ハイパーバイザは、ＤＡＴを使用して、異なるＶＭ間のストレージの分離または共有あるいはその両方を提供するだけでなく、ハイパーバイザ・ストレージへのゲストのアクセスを防ぐ。ハイパーバイザは、ゲストが非セキュア・モードで実行されているときに、すべてのゲストのストレージにアクセスすることができる。

ＤＡＴは、アプリケーションが共有リソースを共有することを引き続き許可しながら、アプリケーション間の分離を可能にする。また、ＤＡＴはＶＭの実装を許可し、ＶＭは、アプリケーション・プログラムの同時処理と共に、ＯＳの新しいバージョンの設計およびテストにおいて使用することができる。仮想アドレスは、仮想ストレージ内の位置を識別する。アドレス空間は、連続する一連の仮想アドレスであり、各仮想アドレスを関連する絶対アドレスに変換できるようにする特定の変換パラメータ（ＤＡＴテーブルを含む）を伴っており、絶対アドレスは、ストレージ内のバイト位置でそのアドレスを識別する。

ＤＡＴは、複数の検索テーブルを使用して、仮想アドレスを関連する絶対アドレスに変換する。このテーブル構造は、通常、ストレージ・マネージャによって定義され、維持される。このストレージ・マネージャは、例えば、あるページをページアウトし、別のページを取り込むことによって、複数のプログラム間で絶対ストレージを透過的に共有する。ページがページアウトされるときに、ストレージ・マネージャは、例えば、関連するページ・テーブル内で無効ビットを設定する。プログラムが、ページアウトされたページにアクセスしようとするときに、ハードウェアがプログラム割り込み（多くの場合、ページ・フォールトと呼ばれる）をストレージ・マネージャに提示する。それに応じて、ストレージ・マネージャは、要求されたページをページインし、無効ビットをリセットする。これは、プログラムにとってすべて透過的に実行され、ストレージ・マネージャがストレージを仮想化し、さまざまな異なるユーザ間で共有することを可能にする。

ＣＰＵによって仮想アドレスが使用されて主記憶装置にアクセスする場合、仮想アドレスは、まずＤＡＴを用いて実アドレスに変換され、次にプレフィックス変換を用いて絶対アドレスに変換される。特定のアドレス空間に対する最高レベルのテーブルの指定（原点および長さ）は、アドレス空間制御要素（ＡＳＣＥ：address-space-control element）と呼ばれ、関連するアドレス空間を定義する。

ここで図２を参照すると、本発明の１つまたは複数の実施形態に従って、ＤＡＴを実行するための例示的な仮想アドレス空間２０２および２０４ならびに絶対アドレス空間２０６が概して示されている。図２に示されている例では、仮想アドレス空間２０２（アドレス空間制御要素（ＡＳＣＥ）Ａ２０８によって定義される）および仮想アドレス空間２０４（ＡＳＣＥ Ｂ２１０によって定義される）という２つの仮想アドレス空間が存在する。ストレージ・マネージャによって、ＡＳＣＥ Ａ２０８を使用して、仮想ページＡ１．Ｖ２１２ａ１、Ａ２．Ｖ２１２ａ２、およびＡ３．Ｖ２１２ａ３が、複数の検索テーブル（セグメント２３０およびページ・テーブル２３２ａ、２３２ｂ）内で、絶対ページＡ１．Ａ２２０ａ１、Ａ２．Ａ２２０ａ２、およびＡ３．Ａ２２０ａ３にマッピングされる。同様に、ＡＳＣＥ Ｂ２１０を使用して、仮想ページＢ１．Ｖ２１４ｂ１およびＢ２．Ｖ２１４ｂ２が、２つの検索テーブル２３４および２３６内で、絶対ページＢ１．Ａ２２２ｂ１およびＢ２．Ａ２２２ｂ２にそれぞれマッピングされる。

ここで図３を参照すると、本発明の１つまたは複数の実施形態に従って、ハイパーバイザの下で実行されているＶＭを支援するために使用されるネストされたマルチパートＤＡＴ変換の例が、概して示されている。図３に示されている例では、ゲストＡの仮想アドレス空間Ａ３０２（ゲストＡＳＣＥ（ＧＡＳＣＥ）Ａ３０４によって定義される）およびゲストＢの仮想アドレス空間Ｂ３０６（ＧＡＳＣＥＢ３０８によって定義される）の両方が、共有ホスト（ハイパーバイザ）仮想アドレス空間３２５に存在する。図に示されているように、ゲストＡのストレージ・マネージャによって、ＧＡＳＣＥＡ３０４を使用して、ゲストＡに属している仮想ページＡ１．ＧＶ３１０ａ１、Ａ２．ＧＶ３１０ａ２、およびＡ３．ＧＶ３１０ａ３が、ゲスト絶対ページ（guest absolute pages）Ａ１．ＨＶ３４０ａ１、Ａ２．ＨＶ３４０ａ２、およびＡ３．ＨＶ３４０ａ３にそれぞれマッピングされ、ゲストＢのストレージ・マネージャによって、独立してＧＡＳＣＥＢ３０８を使用して、ゲストＢに属している仮想ページＢ１．ＧＶ３２０ｂ１およびＢ２．ＧＶ３２０ｂ２が、ゲスト絶対ページＢ１．ＨＶ３６０ｂ１およびＢ２．ＨＶ３６０ｂ２にそれぞれマッピングされる。この例では、これらのゲスト絶対ページは、共有ホスト仮想アドレス空間３２５に直接マッピングされ、その後、ホスト絶対アドレス空間３３０への追加のホストＤＡＴ変換を受ける。図に示されているように、ホストのストレージ・マネージャによって、ホストＡＳＣＥ（ＨＡＳＣＥ）３５０を使用して、ホスト仮想アドレスＡ１．ＨＶ３４０ａ１、Ａ３．ＨＶ３４０ａ３、およびＢ１．ＨＶ３６０ｂ１が、Ａ１．ＨＡ３７０ａ１、Ａ３．ＨＡ３７０ａ３、およびＢ１．ＨＡ３７０ｂ１にマッピングされる。ゲストＡに属しているホスト仮想アドレスＡ２．ＨＶ３４０ａ２、およびゲストＢに属しているＢ２．ＨＶ３６０ｂ２の両方が、同じホスト絶対ページ（host absolute page）ＡＢ２．ＨＡ３８０にマッピングされる。これによって、これら２つのゲスト間でデータを共有できるようにする。ゲストＤＡＴ変換中に、ゲストのテーブル・アドレスの各々が、ゲスト絶対として扱われ、追加のネストされたホストＤＡＴ変換を受ける。

本明細書に記載された本発明の実施形態は、セキュア・ゲストおよびＵＶストレージの保護を実現する。非セキュア・ゲストおよびハイパーバイザによるセキュア・ストレージへのアクセスが禁止される。ハイパーバイザは、特定の常駐するセキュア・ゲスト・ページに関して、次のことを発生させる。関連するホスト絶対アドレスが、単一のハイパーバイザ（ホスト）ＤＡＴマッピングのみによってアクセス可能になる。すなわち、セキュア・ゲストに割り当てられた特定のホスト絶対アドレスにマッピングされる単一のホスト仮想アドレスが存在する。特定のセキュア・ゲスト・ページに関連付けられたハイパーバイザの（ホスト仮想からホスト絶対への）ＤＡＴマッピングは、このページがページインされている間に変化しない。セキュア・ゲスト・ページに関連付けられたホスト絶対ページは、単一のセキュア・ゲストに関してマッピングされる。

本発明の１つまたは複数の実施形態に従って、セキュア・ゲスト間のストレージの共有も禁止される。ストレージは、セキュア・ゲストの制御下で、単一のセキュア・ゲストとハイパーバイザの間で共有される。ＵＶストレージは、セキュア・ストレージであり、セキュア・インターフェイス制御によってアクセス可能であるが、ゲスト／ホストによるアクセスは不可能である。ストレージは、ハイパーバイザによってセキュア・インターフェイス制御に割り当てられる。本発明の１つまたは複数の実施形態によれば、これらのルールの試みられたすべての違反が、ハードウェアおよびセキュア・インターフェイス制御によって禁止される。

ここで図４を参照すると、本発明の１つまたは複数の実施形態に従って、セキュア・ゲスト・ストレージのマッピングの例が概して示されている。図４は図３に似ているが、図４の例が、セキュア・ゲストＡとセキュア・ゲストＢの間のストレージの共有を可能にしない点が異なっている。図３のセキュアでない例では、ゲストＡに属しているホスト仮想アドレスＡ２．ＨＶ３４０ａ２、およびゲストＢに属しているＢ２．ＨＶ３６０ｂ２の両方が、同じホスト絶対ページＡＢ２．ＨＡ３８０にマッピングされる。図４のセキュア・ゲスト・ストレージの例では、ゲストＡに属しているホスト仮想アドレスＡ２．ＨＶ３４０ａ２がホスト絶対アドレスＡ２．ＨＡ４９０ａにマッピングされ、一方、ゲストＢに属しているＢ２．ＨＶ３６０ｂ２が、それ自身のＢ２．ＨＡ４９０ｂにマッピングされる。この例では、セキュア・ゲスト間に共有が存在しない。

セキュア・ゲスト・ページは、ディスク上に存在する間、暗号化されている。ハイパーバイザは、セキュア・ゲスト・ページをページインするときにＵＶ呼び出し（ＵＶＣ）を発行し、このＵＶＣは、セキュア・インターフェイス制御に、（共有されていない限り）ページをセキュアとしてマーク付けし、（共有されていない限り）復号し、適切なセキュア・ゲスト（例えば、ゲストＡ）に属しているとして（ゾーン・セキュリティ・テーブルに）登録することを実行させる。加えて、ハイパーバイザは、関連するホスト仮想アドレス（例えば、Ａ３．ＨＶ３４０ａ３）を、そのホスト絶対ページ（ホスト・アドレス対と呼ばれる）に登録する。ハイパーバイザは、正しいＵＶＣを発行できない場合、セキュア・ゲスト・ページにアクセスしようとするときに、例外を受信する。ハイパーバイザがゲスト・ページをページアウトするときに同様のＵＶＣが発行され、このＵＶＣは、ゲスト・ページを非セキュアとしてマーク付けして、非セキュアとしてゾーン・セキュリティ・テーブルに登録する前に、（共有されていない限り）ゲスト・ページを暗号化する。

５つの特定のホスト絶対ページＫ、Ｐ、Ｌ、Ｍ、およびＮを含んでいる例では、ハイパーバイザがこれらのホスト絶対ページをページインするときに、セキュア・インターフェイス制御によってホスト絶対ページの各々がセキュアとしてマーク付けされる。これによって、非セキュア・ゲストおよびハイパーバイザがこれらのホスト絶対ページにアクセスするのを防ぐ。ハイパーバイザがホスト絶対ページＫ、Ｐ、およびＭをページインするときに、これらのホスト絶対ページが、ゲストＡに属しているとして登録され、ホスト絶対ページＬおよびＮが、ハイパーバイザによってページインされるときに、ゲストＢに登録される。共有ページ（単一のセキュア・ゲストとハイパーバイザの間で共有されたページ）は、ページング中に暗号化も復号も実行されない。これらの共有ページは、セキュアとしてマーク付けされない（ハイパーバイザによるアクセスを許可する）が、単一のセキュア・ゲスト・ドメインと共にゾーン・セキュリティ・テーブルに登録される。

本発明の１つまたは複数の実施形態に従って、非セキュア・ゲストまたはハイパーバイザが、セキュア・ゲストによって所有されているページにアクセスしようとするときに、ハイパーバイザがセキュア・ストレージ・アクセス（ＰＩＣ３Ｄ）例外を受信する。これを決定するための追加の変換ステップは不要である。

１つまたは複数の実施形態に従って、セキュアな実体がページにアクセスしようとするときに、ハードウェアが追加の変換チェックを実行し、ストレージがその特定のセキュア・ゲストに実際に属していることを検証する。ストレージがその特定のセキュア・ゲストに属していない場合、非セキュア・アクセス（ＰＣＩ３Ｅ）例外がハイパーバイザに提示される。加えて、変換されているホスト仮想アドレスが、ゾーン・セキュリティ・テーブル内の登録済みのホスト・アドレス対のホスト仮想アドレスに一致しない場合、セキュア・ストレージ違反（「３Ｆ」ｘ）例外が認識される。ハイパーバイザとの共有を可能にするために、セキュア・ゲストは、変換チェックがアクセスを許す限り、セキュアとしてマーク付けされていないストレージにアクセスすることができる。

ここで図５を参照すると、本発明の１つまたは複数の実施形態に従って、ＤＡＴ動作のシステム概略図５００が概して示されている。システム概略図５００は、一次ホスト仮想アドレス空間（host primary virtual address space）５１０およびホーム・ホスト仮想アドレス空間（host home virtual address space）５２０を含んでおり、これらの仮想アドレス空間のページが、ハイパーバイザ（ホスト）絶対アドレス空間５３０に変換される（例えば、ホストＤＡＴ変換５２５を参照（点線がＤＡＴ変換５２５によるマッピングを表していることに注意する））。例えば、図５は、２つの異なるホスト仮想アドレス空間によるホスト絶対ストレージの共有を示しており、２つのゲスト間だけでなく、ホスト自体とのそれらのホスト仮想アドレスのうちの１つの共有も示している。これに関して、一次ホスト仮想アドレス空間５１０およびホーム・ホスト仮想アドレス空間５２０は、２つのホスト仮想アドレス空間の例であり、これらのホスト仮想アドレス空間の各々は、別々のＡＳＣＥ（一次ホストＡＳＣＥ（ＨＰＡＳＣＥ：host primary ASCE）５９１およびホーム・ホストＡＳＣＥ（ＨＨＡＳＣＥ：host home ASC）５９２）によってそれぞれアドレス指定される。すべてのセキュア・インターフェイス制御のストレージ（仮想および現実の両方）が、ハイパーバイザによって提供され、セキュアとしてマーク付けされるということに注意する。セキュア・インターフェイス制御のストレージは、提供された後に、関連するセキュアな実体が存在する限り、セキュア・インターフェイス制御のみによってアクセスされ得る。

図に示されているように、一次ホスト仮想アドレス空間５１０は、ゲストＡの絶対ページＡ１．ＨＶ、ゲストＡの絶対ページＡ２．ＨＶ、ゲストＢの絶対ページＢ１．ＨＶ、およびホスト仮想ページＨ３．ＨＶを含んでいる。ホーム・ホスト仮想アドレス空間５２０は、セキュア・インターフェイス制御の仮想ページＵ１．ＨＶ、ホスト仮想ページＨ１．ＨＶ、およびホスト仮想ページＨ２．ＨＶを含んでいる。

本発明の１つまたは複数の実施形態に従って、すべてのセキュア・ゲスト（例えば、セキュア・ゲストＡおよびセキュア・ゲストＢ）ストレージが、本明細書に記載されたゾーン・セキュリティ・テーブルに、セキュア・ゲスト構成に属しているとして登録され、関連するホスト仮想アドレス（例えば、Ａ１．ＨＶ、Ａ２．ＨＶ、Ｂ１．ＨＶ）も、ホスト・アドレス対の一部として登録される。１つまたは複数の実施形態では、すべてのセキュア・ゲスト・ストレージが、一次ホスト仮想空間内でマッピングされる。加えて、すべてのセキュア・インターフェイス制御のストレージが、やはりゾーン・セキュリティ・テーブルに、セキュア・インターフェイス制御に属しているとして登録され、関連するセキュア・ゲスト・ドメインに基づいて、ゾーン・セキュリティ・テーブル内でさら区別されてよい。本発明の１つまたは複数の実施形態に従って、ＵＶ仮想ストレージが、ホーム・ホスト仮想空間（host home virtual space）内でマッピングされ、関連するホスト仮想アドレスがホスト・アドレス対の一部として登録される。１つまたは複数の実施形態に従って、ＵＶ実ストレージが、関連するホスト仮想マッピングを有しておらず、ゾーン・セキュリティ・テーブル内のＤＡビット（仮想アドレスの比較が無効化されることを示す）が、そのことを示すように設定される。ホスト・ストレージが、非セキュアとしてマーク付けされ、非セキュアとしてゾーン・セキュリティ・テーブルにも登録される。

したがって、「ゲスト絶対＝ホスト仮想」である場合、ハイパーバイザ（ホスト）一次ＤＡＴテーブル（ＨＰＡＳＣＥ５９１によって定義される）は、一次ホスト仮想アドレス空間５１０のページを、次のように変換する。ゲストＡの絶対ページＡ１．ＨＶが、セキュア・ゲストＡに属しているホスト絶対Ａ１．ＨＡにマッピングされ、ゲストＡの絶対ページＡ２．ＨＶが、セキュア・ゲストＡに属しているホスト絶対Ａ２．ＨＡにマッピングされ、ゲストＢの絶対ページＢ１．ＨＡが、セキュア・ゲストＢに属しているホスト絶対Ｂ１．ＨＡにマッピングされ、ホスト仮想ページＨ３．ＨＶが、ホスト絶対ページＨ３．ＨＡ 非セキュア・ホストにマッピングされる（非セキュアであるため、ホスト・アドレス対が存在しない）。さらに、ハイパーバイザ（ホスト）ホームＤＡＴテーブル（ＨＨＡＳＣＥ５９２によって定義される）が、ホーム・ホスト仮想アドレス空間５２０のページを、次のように変換する。セキュア・インターフェイス制御の仮想ページＵ１．ＨＶが、セキュアＵＶ仮想として定義されたホスト絶対ページＵ１．ＨＡにマッピングされ、ホスト仮想ページＨ１．ＨＶが、非セキュアとして定義されたホスト絶対ページＨ１．ＨＡにマッピングされ、ホスト仮想ページＨ２．ＨＶが、非セキュアとして定義されたホスト絶対ページＨ２．ＨＡにマッピングされる。Ｈ１．ＨＡおよびＨ２．ＨＡは非セキュアであるため、これらのいずれかに関連付けられたホスト・アドレス対は存在しない。

動作中に、セキュア・ゲストが、セキュア・インターフェイス制御に割り当てられたセキュア・ページにアクセスしようとした場合、ハードウェアによってセキュア・ストレージ違反（「３Ｆ」Ｘ）例外がハイパーバイザに提示される。非セキュア・ゲストまたはハイパーバイザが、いずれかのセキュア・ページ（セキュア・インターフェイス制御に割り当てられたセキュア・ページを含む）にアクセスしようとした場合、ハードウェアによってセキュア・ストレージ・アクセス（「３Ｄ」Ｘ）例外がハイパーバイザに提示される。代替として、セキュア・インターフェイス制御の空間に対して試みられたアクセスに関して、エラー状態が提示され得る。ハードウェアが、セキュア・インターフェイス制御のアクセス時に、セキュアな割り当てにおいて不一致を検出した場合（例えば、ストレージが、セキュア・インターフェイス制御ではなくセキュア・ゲストに属しているとしてゾーン・セキュリティ・テーブルに登録されたか、または使用されているホスト・アドレス対に、登録済みの対との不一致が存在する場合）、チェックが提示される。

言い換えると、一次ホスト仮想アドレス空間５１０は、ホスト仮想ページＡ１．ＨＶおよびＡ２．ＨＶ（セキュア・ゲストＡに属している）ならびにＢ１．ＨＶ（セキュア・ゲストＢに属している）を含んでおり、これらのホスト仮想ページは、ホスト絶対Ａ１．ＨＡ、Ａ２．ＨＡ、およびＢ１．ＨＡにそれぞれマッピングされる。加えて、一次ホスト仮想アドレス空間５１０は、ホスト絶対Ｈ３．ＨＡにマッピングされるホスト（ハイパーバイザ）ページＨ３．ＨＶを含んでいる。ホーム・ホスト仮想空間５２０は、ホスト絶対ページＨ１．ＨＡおよびＨ２．ＨＡにマッピングされる２つのホスト仮想ページＨ１．ＨＶおよびＨ２．ＨＶを含んでいる。一次ホスト仮想アドレス空間５１０およびホーム・ホスト仮想アドレス空間５２０の両方は、単一のホスト絶対５３０にマッピングされる。セキュア・ゲストＡおよびセキュア・ゲストＢに属しているストレージ・ページは、セキュアとしてマーク付けされ、それらのセキュア・ドメインおよび関連するホスト仮想アドレスと共に、図１に示されているゾーン・セキュリティ・テーブル１００に登録される。一方、ホスト・ストレージは、非セキュアとしてマーク付けされる。ハイパーバイザは、セキュア・ゲストを定義している場合、これらのセキュア・ゲストの支援において必要なセキュア制御ブロック（secure control blocks）に使用するために、ホスト・ストレージをセキュア・インターフェイス制御に提供しなければならない。このストレージは、ホスト絶対空間またはホスト仮想空間のいずれかにおいて、および１つの例では、特に、ホーム・ホスト仮想空間において定義され得る。図５に戻り、ホスト絶対ページＵ１．ＨＡおよびＵ２．ＨＡ セキュアＵＶ絶対は、ホスト絶対ストレージとして定義されているセキュア・インターフェイス制御のストレージである。その結果、これらのページは、セキュアとしてマーク付けされ、セキュア・インターフェイス制御に属しているとして、関連するセキュア・ドメインと共に、図１に示されているゾーン・セキュリティ・テーブル１００に登録される。これらのページはホスト絶対アドレスとして定義されるため、関連するホスト仮想アドレスが存在せず、そのためゾーン・セキュリティ・テーブル１００内のＤＡビットが設定される。

変換後のハイパーバイザ（ホスト）絶対アドレス空間５３０の例が、図６で見出すことができる。図６では、本発明の１つまたは複数の実施形態に従って、セキュア・インターフェイス制御メモリに関するシステム概略図６００が示されている。システム概略図６００は、ホスト絶対ページＡ２．ＨＡ セキュア・ゲストＡ（Ａ２．ＨＶ用）、ホスト絶対ページＢ１．ＨＡ セキュア・ゲストＢ（Ｂ１．ＨＶ用）、ホスト絶対ページＨ１．ＨＡ 非セキュア（ホスト）、ホスト絶対ページＨ２．ＨＡ 非セキュア（ホスト）、ホスト絶対ページＵ３．ＨＡ セキュアＵＶ現実（ＨＶマッピングなし）、ホスト絶対ページＵ１．ＨＡ セキュアＵＶ仮想（Ｕ１．ＨＶ用）、およびホスト絶対ページＡ１．ＨＡ セキュア・ゲストＡ（Ａ１．ＨＶ用）を含んでいるハイパーバイザ（ホスト）絶対アドレス空間６３０を示している。

ここで図７を参照すると、本発明の１つまたは複数の実施形態に従って、インポート動作のプロセス・フロー７００が概して示されている。セキュア・ゲストが、ハイパーバイザによってページアウトされたページにアクセスするときに、そのページを安全に取り戻すために、プロセス・フロー７００に示されているイベントなどの一連のイベントが発生する。プロセス・フロー７００はブロック７０５で開始し、ブロック７０５で、セキュア・ゲストがゲスト仮想ページにアクセスする。例えばこのページが無効であるため、ハードウェアが、プログラム割り込みコード１１（ＰＩＣ１１）によって示されたホスト・ページ・フォールトをハイパーバイザに提示する（ブロック７１５を参照）。次に、ハイパーバイザは、このゲスト・ページの使用可能なセキュアでないホスト絶対ページを識別し（ブロック７２０を参照）、暗号化されたゲスト・ページを識別されたホスト絶対ページにページインする（ブロック７２５を参照）。

ブロック７３０で、次にホスト絶対ページが、（ホスト仮想アドレスに基づいて）適切なホストＤＡＴテーブル内でマッピングされる。ブロック７３５で、次にハイパーバイザ（ホスト）が、セキュア・ゲストを再ディスパッチする。ブロック７４０で、セキュア・ゲストがセキュア・ゲスト・ページに再アクセスする。ページ・フォールトはすでに存在しないが、このセキュア・ゲストのアクセスおよびページが、図１のゾーン・セキュリティ・テーブル１００内でセキュアとしてマーク付けされていないため、ブロック７４５で、ハードウェアが非セキュア・ストレージ例外（ＰＩＣ３Ｅ）をハイパーバイザに提示する。このＰＩＣ３Ｅは、必要なインポートが発行されるまで、ゲストによるこのセキュア・ページへのアクセスを防ぐ。次に、プロセス・フロー７００は、図８に接続されている「Ａ」に進む。

ここで図８を参照すると、本発明の１つまたは複数の実施形態に従って、インポート動作を実行するためのプロセス・フロー８００が概して示されている。正常に動作する（例えば、エラーのない期待される方法で動作している）ハイパーバイザが、ＰＩＣ３Ｅに応答して、インポートＵＶＣを発行する（ブロック８０５を参照）。この時点で、インポートされるページが、非セキュアとしてマーク付けされ、ハイパーバイザ、他のセキュアでない実体、およびセキュア・インターフェイス制御のみによってアクセス可能であるということに注意する。セキュア・ゲストによって、このページにアクセスすることはできない。

インポートＵＶＣの一部として、セキュア・インターフェイス制御として機能する信頼できるファームウェアが、セキュア・インターフェイス制御によってこのページがすでにロックされているかどうかをチェックして確認する（判定ブロック８１０を参照）。このページがロックされている場合、プロセス・フロー８００がブロック８２０に進む。ブロック８２０で、「ビジー」復帰コードがハイパーバイザに返され、それに応じてハイパーバイザは、遅延し（ブロック８２５を参照）、インポートＵＶＣを再発行する（プロセス・フロー８００がブロック８０５に戻る）。このページがまだロックされていない場合、プロセス・フロー８００が判定ブロック８２２に進む。

判定ブロック８２２で、セキュア・インターフェイス制御が、このページが、非セキュア・ハイパーバイザと共有されたページであるかどうかをチェックして確認する。このページが共有されている場合（プロセス・フロー８００が判定ブロック８２４に進む）、セキュア・インターフェイス制御が、ホスト絶対アドレスを、関連するセキュア・ゲスト・ドメイン、ホスト仮想アドレスと共に、共有されているとしてゾーン・セキュリティ・テーブルに登録する。このページは、非セキュアとしてマーク付けされたままである。これでインポートＵＶＣが完了し、ゲストによってこのページにアクセスできるようになった。処理は、ハイパーバイザがゲストを再ディスパッチすること（ブロック８３０）、およびセキュア・ゲストがこのページに正常にアクセスすること（ブロック８３５）に進む。

インポートされるホスト仮想ページがハイパーバイザと共有されていない場合（プロセス・フロー８００がブロック８４０に進む）、セキュア・インターフェイス制御は、ハイパーバイザがこのページにアクセスできなくなるように、このページをセキュアとしてマーク付けする。ブロック８４５で、セキュア・インターフェイス制御は、他のＵＶＣがページの状態を変更できないように、ページをロックする。（ブロック８５０で）ロックが設定された後に、セキュア・インターフェイス制御は、ゲスト・ページの内容が、暗号化されている間に変化しなかったことを検証する。ゲスト・ページの内容が変化していた場合、エラー復帰コードがハイパーバイザに返され、そうでない場合、セキュア・インターフェイス制御がセキュア・ページを復号する。

ブロック８５５で、セキュア・インターフェイス制御がページのロックを解除して、他のＵＶＣによるアクセスを許可し、ページを、セキュアとして、ＨＶ－＞ＨＡホスト・アドレス対を完成させるための適切なゲスト・ドメインおよびホスト仮想アドレスに関連付けて、ゾーン・セキュリティ・テーブルに登録する。これによって、ゲストによるアクセスを許可し、ＵＶＣを完了する。

ここで図９を参照すると、本発明の１つまたは複数の実施形態に従って、提供されたメモリの動作に関するプロセス・フロー９００が概して示されている。プロセス・フロー９００はブロック９０５で開始し、ブロック９０５で、ハイパーバイザが照会ＵＶＣをセキュア・インターフェイス制御に発行する。ブロック９１０で、セキュア・インターフェイス制御がデータ（例えば、照会ＵＶＣ）を返す。このデータは、ゾーン固有のベース・ホスト絶対ストレージの必要な量、セキュア・ゲスト・ドメイン固有のベース・ホスト絶対ストレージの必要な量、ＭＢごとのセキュア・ゲスト・ドメイン固有の可変ホスト仮想ストレージの必要な量、またはセキュア・ゲストＣＰＵ固有のベース・ホスト絶対ストレージの必要な量、あるいはその組み合わせを含むことができる。

ブロック９１５で、ハイパーバイザは、ホスト絶対ゾーン固有のベース・ストレージを（例えば、照会ＵＶＣによって返されたサイズに基づいて）確保する。ブロック９２０で、ハイパーバイザが、初期化をセキュア・インターフェイス制御に発行する。これに関して、ハイパーバイザは、ゾーン全体のセキュア・ゲスト構成間の調整に必要とされるＵＶ制御ブロックのために提供されるストレージを提供する、初期化ＵＶＣを発行することができる。初期化ＵＶＣは、ゾーン固有のベース・ストレージの原点を指定する。

ブロック９２５で、セキュア・インターフェイス制御が、提供されたストレージをＵＶに登録し、セキュアとしてマーク付けすることによって、初期化（例えば、初期化ＵＶＣ）を実施する。初期化ＵＶＣの場合、セキュア・インターフェイス制御は、提供されたストレージをセキュアとしてマーク付けし、その提供されたストレージの一部をゾーン・セキュリティ・テーブルに割り当て、提供されたストレージを、一意のセキュア・ドメインと共に、ただし関連するセキュア・ゲスト・ドメインなしで、関連するホスト仮想アドレス対を有していないとして、ＵＶ使用のためのゾーン・セキュリティ・テーブルに登録することができる。

ブロック９３０で、ハイパーバイザがストレージ（例えば、セキュア・ゲスト・ドメイン固有のベースおよび可変ストレージ）を確保する。例えば、ハイパーバイザは、（例えば、セキュア・ゲスト・ドメインのストレージのサイズに基づいて）セキュア・ゲスト・ドメイン固有のベースおよび可変ストレージ（例えば、照会ＵＶＣによって返されたサイズ）を確保する。ブロック９３５で、ハイパーバイザが、構成作成をセキュア・インターフェイス制御に発行する。これに関して、ハイパーバイザは、セキュア・ゲスト・ドメイン固有のベースおよび可変ストレージの原点を指定するセキュア・ゲスト構成作成ＵＶＣを発行することができる。さらに、セキュア・ゲスト構成作成ＵＶＣは、このセキュア・ゲスト構成を支援するために必要なＵＶ制御ブロックのために提供されるストレージを提供する。

ブロック９４０で、セキュア・インターフェイス制御が、構成作成（例えば、セキュア・ゲスト構成作成ＵＶＣ）を実施する。セキュア・ゲスト構成作成ＵＶＣの場合、セキュア・インターフェイス制御は、提供されたストレージをセキュアとしてマーク付けし、提供されたストレージをＵＶ使用のためのゾーン・セキュリティ・テーブルに登録し、提供されたストレージを関連するセキュア・ゲスト・ドメインと共に登録することができる。提供されたベース（ホスト絶対）ストレージは、関連するホスト仮想アドレス対を有していないとして登録される。提供された可変（ホスト仮想）ストレージは、関連するホスト仮想アドレス対と共に登録される。

ブロック９４５で、ハイパーバイザは、セキュア・ゲストＣＰＵ固有のベース・ストレージ（例えば、照会ＵＶによって返されたサイズ）を確保する。ブロック９５０で、ハイパーバイザがストレージの原点を指定する。例えば、ハイパーバイザは、セキュア・ゲストＣＰＵ固有のベース・ストレージの原点を指定するセキュア・ゲストＣＰＵ作成をＵＶに発行する。ブロック９５５で、セキュア・インターフェイス制御が、ＣＰＵ作成（例えば、セキュア・ゲストＣＰＵ作成ＵＶＣ）を実施する。セキュア・ゲストＣＰＵ作成ＵＶＣの場合、セキュア・インターフェイス制御は、提供されたストレージをセキュアとしてマーク付けし、提供されたストレージを、関連するセキュア・ゲスト・ドメインなしで、関連するホスト仮想アドレス対を有していないとして、ＵＶ使用のためのゾーン・セキュリティ・テーブルに登録することができる。

ここで図１０を参照すると、本発明の１つまたは複数の実施形態に従って、セキュア・インターフェイス制御のセキュア・ページへの非セキュア・ハイパーバイザ・ページの遷移に関するプロセス・フロー１０００が概して示されている。プロセス・フロー１０００では、３つのハイパーバイザのページ（例えば、非セキュア・ハイパーバイザのページＡ、非セキュア・ハイパーバイザのページＢ、および非セキュア・ハイパーバイザのページＣ）が示されている。

ハイパーバイザ（非セキュア）のページＡ、Ｂ、およびＣは、セキュアでない実体（ハイパーバイザを含む）によってアクセスされ得る。さらに、ハイパーバイザ（非セキュア）のページＡ、Ｂ、およびＣは、非セキュアおよび非共有としてゾーン・セキュリティ・テーブル（例えば、図１に示されているゾーン・セキュリティ・テーブル１００）に登録されるのと同時に、非セキュアとして（ＮＳ：non-secure）としてマーク付けされる。矢印１００５で、初期化ＵＶＣが発行され、ゲスト・ページＡを、ゾーン全体（ＵＶ２）に関連付けられたセキュア・インターフェイス制御の実ストレージ・ページ１０１０に遷移させる。セキュア・インターフェイス制御の実ストレージ１０１０は、ＵＶとして、セキュア・ゲスト・ドメインなし、かつ絶対（ＨＶ－＞ＨＡ）マッピングをホストするためのハイパーバイザなしで、ゾーン・セキュリティ・テーブル（例えば、図１に示されているゾーン・セキュリティ・テーブル１００）に登録されるのと同時に、セキュアとしてとしてマーク付けされ得る。代わりに、実ストレージ１０１０は、一意のＵＶ２セキュア・ドメインと共に登録され、ＤＡビットが１に設定される。セキュア・インターフェイス制御の実ストレージ１０１０が、セキュア・インターフェイス制御によって現実としてアクセスされ得るということに注意する。

ハイパーバイザ（非セキュア）のページＢから、矢印１０２５で、ＳＧ構成作成またはＳＧ－ＣＰＵ作成ＵＶＣが発行され、このページを、セキュア・ゲスト・ドメイン（ＵＶＳ）に関連付けられたセキュア・インターフェイス制御の実ストレージ１０３０に遷移させる。セキュア・インターフェイス制御の実ストレージ１０３０は、ＵＶとして、関連するセキュア・ゲスト・ドメインと共に、絶対（ＨＶ－＞ＨＡ）マッピングをホストするためのハイパーバイザなし（すなわち、ＤＡビット＝１）で、ゾーン・セキュリティ・テーブル（例えば、図１に示されているゾーン・セキュリティ・テーブル１００）に登録されるのと同時に、セキュアとしてとしてマーク付けされ得る。セキュア・インターフェイス制御の実ストレージ１０１０が、セキュア・ゲスト・ドメインの代わりに、セキュア・インターフェイス制御によって現実としてアクセスされ得るということに注意する。

ハイパーバイザ（非セキュア）のページＣから、矢印１０４５で、ＳＧ構成作成ＵＶＣが発行され、このページを、セキュア・ゲスト・ドメイン（ＵＶＶ）に関連付けられたセキュア・インターフェイス制御の仮想ストレージ１０５０に遷移させる。セキュア・インターフェイス制御の仮想ストレージ１０５０は、ＵＶとして、セキュア・ゲスト・ドメイン、および絶対（ＨＶ－＞ＨＡ）マッピングをホストするためのハイパーバイザと共に、ゾーン・セキュリティ・テーブル（例えば、図１に示されているゾーン・セキュリティ・テーブル１００）に登録されるのと同時に、セキュアとしてとしてマーク付けされ得る。セキュア・インターフェイス制御の仮想ストレージ１０５０が、セキュア・ゲスト・ドメインの代わりに、ＵＶ仮想としてアクセスされ得るということに注意する。

ここで図１１を参照すると、１つまたは複数の実施形態に従って、プログラムまたはセキュア・インターフェイス制御によって行われるセキュア・ストレージ・アクセスに関するプロセス・フロー１１００が示されている。この図は、セキュア・インターフェイス制御がゲスト・ストレージまたはセキュア・インターフェイス制御のストレージにアクセスしようとしており、ハードウェアがそのアクセスのセキュリティを検証できるようにするために、そのアクセスに正しくタグ付けしなければならない状況を表している。１１００は、セキュア・インターフェイス制御によるストレージ・アクセスのこのタグ付けを表している。プロセス・フロー１１００はブロック１１１０で開始し、ブロック１１１０で、セキュア・インターフェイス制御が、セキュア・インターフェイス制御のストレージへのアクセスを行っているかどうかを判定する。

このアクセスが、セキュア・インターフェイス制御のストレージへのアクセスでない場合、プロセス・フロー１１００が判定ブロック１１１２に進む（「いいえ」の矢印で示されている）。判定ブロック１１１２で、セキュア・インターフェイス制御が、セキュア・ゲスト・ストレージへのアクセスを行っているかどうかを判定する。このアクセスが、セキュア・ゲスト・ストレージへのアクセスでない場合、プロセス・フロー１１００が、非セキュア・アクセスのデフォルト設定を使用する「Ｂ」（図１２のプロセス・フロー１２００に接続されている）に進む。このアクセスが、セキュア・ゲスト・ストレージへのアクセスである場合、プロセス・フロー１１００が判定ブロック１１１３に進み、判定ブロック１１１３で、セキュア・インターフェイス制御が、デフォルトのセキュア・ゲスト・ドメインが使用されているかどうかを判定する。デフォルトのセキュア・ゲスト・ドメインが使用されている場合、プロセス・フロー１１００が、セキュア・ゲスト・アクセスのデフォルト設定を使用する「Ｂ」（図１２のプロセス・フロー１２００に接続されている）に進む。デフォルトのセキュア・ゲスト・ドメインが使用されていない場合、プロセス・フロー１１００がブロック１１１４に進む。ブロック１１１４で、適切なセキュア・ゲスト・ドメインがＳＧセキュア・ドメイン・レジスタに読み込まれる（図１２のプロセス・フロー１２００に接続されている「Ｂ」に進む）。

このアクセスが、セキュア・インターフェイス制御のストレージへのアクセスである場合、プロセス・フロー１１００がブロック１１２０に進む（「はい」の矢印で示されている）。ブロック１１２０で、アクセスが、セキュアＵＶとしてタグ付けされる（例えば、ＵＶセキュア・ドメイン・レジスタを使用する）。

次に、プロセス・フロー１１００が判定ブロック１１３０に進み、判定ブロック１１３０で、セキュア・インターフェイス制御が、このアクセスがＵＶＶ空間（例えば、ＳＧ構成可変テーブル）へのアクセスであるかどうかを判定する。このアクセスがＵＶＶ空間へのアクセスである場合、プロセス・フロー１１００がブロック１１３４に進む（「はい」の矢印で示されている）。ブロック１１３４で、アクセスが仮想としてタグ付けされる。ブロック１１３６で、適用可能なセキュア・ゲスト・ドメインがＵＶセキュア・ドメイン・レジスタに読み込まれる。ブロック１１３８で、ＤＡＴ変換およびストレージ・アクセスを開始する準備ができる。判定ブロック１１３０に戻り、このアクセスがＵＶＶ空間へのアクセスでない場合、プロセス・フロー１１００がブロック１１４０に進む（「いいえ」の矢印で示されている）。ブロック１１４０で、アクセスが現実としてタグ付けされる。

判定ブロック１１５０で、セキュア・インターフェイス制御が、このアクセスがＵＶＳ空間（例えば、ＳＧ構成またはＣＰＵテーブル）へのアクセスであるかどうかを判定する。このアクセスがＵＶＳ空間へのアクセスである場合、プロセス・フロー１１００がブロック１１３６に進む（「はい」の矢印で示されている）。このアクセスがＵＶＳ空間へのアクセスでない場合、プロセス・フロー１１００がブロック１１７０に進む（「いいえ」の矢印で示されている）。このアクセスは、ＵＶ２空間（例えば、ゾーン・セキュリティ・テーブル）へのアクセスである。ブロック１１７０で、一意のＵＶ２セキュア・ドメインがＵＶセキュア・ドメイン・レジスタに読み込まれる。

図１２は、本発明の１つまたは複数の実施形態に従って、プロセス・フロー１２００を示している。ゲストがディスパッチされるときに、ＳＩＥエントリ・ファームウェア（SIE Entry firmware）が、ゲストが実行中である（例えば、ゲスト・モードが有効である）ことをハードウェアに示すことができ、ゲストがセキュアであるかどうかを示すことができる。ゲストがセキュアである場合、関連するセキュア・ゲスト・ドメインがハードウェア（例えば、ＳＧセキュア・ドメイン・レジスタ）に読み込まれ得る。プログラムがストレージにアクセスしているときに、ハードウェアが、アクセスの時点でのプログラムの現在の状態に基づいてアクセスにタグ付けすることができる。図１２は、このプロセスの例をプロセス・フロー１２００に示している。ブロック１２０５で、ハードウェアが、マシンがゲスト・モードで現在実行中であるかどうかを判定し、ゲスト・モードで実行中でない場合、ブロック１２１０でホストのアクセスであるとして、およびブロック１２１５で非セキュア・アクセスであるとして、アクセスにタグ付けすることができる。ブロック１２０５で、マシンがゲスト・モードで実行中である場合、ブロック１２２０で、ゲストのアクセスとしてアクセスにタグ付けすることができ、ブロック１２２５で、現在のゲストがセキュア・ゲストであるかどうかをさらに判定する。ゲストがセキュアでない場合、ブロック１２１５で、非セキュアとしてアクセスにタグ付けすることができる。ゲストがセキュアである場合、ブロック１２３０で、ハードウェアがセキュアとしてゲストにタグ付けすることができ、セキュア・ゲストがディスパッチされたときに読み込まれたＳＧセキュア・ドメイン・レジスタに、セキュア・ゲストを関連付けることができる。ブロック１２３５で、非セキュア・ゲストおよびセキュア・ゲストの両方に関して、ＤＡＴの状態をチェックすることができる。ＤＡＴがオフである場合、ブロック１２４０で、現実としてアクセスにタグ付けすることができる。ＤＡＴがオンである場合、ブロック１２４５で、仮想としてアクセスにタグ付けすることができる。アクセスが、ＤＡＴがオフの場合に、ブロック１２４０で現実としてタグ付けされるか、またはＤＡＴがオンの場合に、ブロック１２４５で仮想としてタグ付けされた後に、ブロック１２５０で、ハードウェアは、図１３でさら説明されるように、変換およびストレージ・アクセスを開始する準備ができる。

図１３は、本発明の１つまたは複数の実施形態に従って、セキュア・アクセスおよび非セキュア・アクセスの両方を支援するためにハードウェアによって実行される変換の例をプロセス・フロー１３００に示している。ブロック１３０５で、ハードウェアは、アクセスがゲスト変換としてタグ付けされているかどうかを判定することができ、アクセスがゲスト変換としてタグ付けされており、ブロック１３１０で、アクセスが仮想である場合、ブロック１３１５で、ゲストＤＡＴが実行され得る。ゲストＤＡＴ変換の間に、ゲストＤＡＴテーブルに対するネストされた中間フェッチが存在することができる。テーブルのフェッチが、ゲスト現実として、および元の変換がセキュアとしてタグ付けされている場合はセキュアとして、タグ付けされ得る。テーブルのフェッチも、プロセス・フロー１３００の変換プロセスに従うことができる。ブロック１３１５で、ゲスト仮想としてタグ付けされたアクセスに対してゲストＤＡＴが実行され、ブロック１３１０で、ゲスト現実（仮想＝いいえ）としてタグ付けされたアクセスに対してゲストＤＡＴが実行された後に、ブロック１３２０で、ゲスト・プレフィックス変換およびゲスト・メモリ・オフセットが適用され得る。ゲスト変換プロセスの完了時に、ブロック１３２５で、得られたアドレスが、ホスト仮想として、および元のゲスト変換がセキュアとしてタグ付けされている場合はセキュアとして、タグ付けされ得る。プロセス１３００は、ホスト仮想としてタグ付けされた任意のアクセスに関して、続行することができる。元のアクセスが、ブロック１３０５でホストのアクセスであり（ゲスト＝いいえ）、ブロック１３３０で仮想である場合、ブロック１３３５でホストＤＡＴが実行され得る。ブロック１３３５で、ホストのテーブルのフェッチが非セキュアとしてマーク付けされ得る。ブロック１３３５でホストＤＡＴが実行された後に、またはブロック１３３０で元のホストのアクセスが現実（仮想＝いいえ）としてタグ付けされた場合に、ブロック１３４０でホスト・プレフィックス変換が適用され得る。ブロック１３４５で、得られたアドレスは、ホスト絶対アドレスであることができる。

図１４は、本発明の１つまたは複数の実施形態に従って、ハードウェアによって実行され得るセキュア・ストレージ保護を伴うＤＡＴ変換の例をプロセス・フロー１４００に示している。図１３のブロック１３４５から続けて、ブロック１４０５で、セキュアＵＶアクセスが識別された場合、ブロック１４１０で、ハードウェアは、ストレージがセキュアＵＶストレージとして登録されているかどうかを検証することができ、ストレージがセキュアＵＶストレージとして登録されていない場合、ブロック１４１５でエラーが提示される。ＵＶストレージにアクセスしている場合、セキュア・インターフェイス制御によってセキュアＵＶアクセスが行われ得る。ブロック１４１０で、ストレージがセキュアＵＶストレージとして登録されている場合、任意のセキュア・アクセスに対して実行されるように、保護チェックが継続することができるが、処理が継続する場合、ブロック１４２０で、ＵＶセキュア・ドメイン・レジスタ（セキュアＵＶアクセスを行う前にセキュア・インターフェイス制御によって設定される）が、ドメイン・チェックのために指定されたセキュア・ドメインとして使用され得るという点が異なる。加えて、ブロック１４２５でセキュア・ゲスト違反（セキュアＵＶ＝いいえ）に対して実行されるような、ブロック１４３５でのハイパーバイザへの例外ではなく、ブロック１４２５でＵＶアクセスに対して検出された任意の違反（エントリ・ポイントＤ）が、ブロック１４３０でエラーとして提示され得る。

ブロック１４０５でセキュアＵＶアクセスとしてタグ付けされていないアクセスの場合、ブロック１４４０で、ハードウェアは、アクセスがセキュア・ゲストのアクセスであるかどうかを判定し、アクセスがセキュア・ゲストのアクセスでなく、かつブロック１４４５でページがセキュアとしてマーク付けされている場合、ブロック１４３５で、例外がハイパーバイザに提示され得る。しかし、ブロック１４４０でアクセスがセキュア・ゲストのアクセスではなく、ブロック１４４５でページがセキュアとしてマーク付けされていない場合、ブロック１４５０で変換が成功する。

アクセスが、ブロック１４４０で、セキュア・ゲストのアクセスであるか、またはブロック１４１０で、セキュアＵＶストレージとして登録されたストレージへのセキュアＵＶアクセスである場合、ブロック１４２０で、ハードウェアは、ストレージがアクセスに関連付けられたセキュアな実体に登録されていることをチェックして確認することができる。アクセスがセキュアＵＶアクセスである場合、指定されたセキュア・ドメインをＵＶセキュア・ドメイン・レジスタから取得することができ（セキュアＵＶストレージがアクセスされているということに基づいて、セキュア・インターフェイス制御によって読み込まれる）、セキュア・ゲストのアクセスの場合、指定されたセキュア・ドメインをＳＧセキュア・ドメイン・レジスタから取得することができる（セキュアな実体がディスパッチされるときに読み込まれる）。ブロック１４２０で、アクセスされているストレージが指定されたセキュア・ドメインに登録されていない場合、ブロック１４２５でセキュアＵＶアクセスである場合は、ブロック１４３０でエラーが選択され、ブロック１４２５でセキュア・ゲストのアクセス（セキュアＵＶ＝いいえ）である場合は、ブロック１４３５で例外がハイパーバイザに提示される。

ブロック１４２０で指定されたセキュア・ドメインに登録された、ブロック１４４０およびブロック１４１０でのストレージへのセキュア・アクセスに関して、ブロック１４５５で仮想アドレス・チェックが無効化されている（すなわち、ＤＡビット＝１）であり、かつブロック１４６０でアクセスが現実である場合、ブロック１４５０で変換が完了する。しかし、ブロック１４５５でＤＡビット＝１であるが、ブロック１４６０でアクセスが仮想（現実＝いいえ）である場合、ブロック１４２５でセキュアＵＶアクセスである場合は、ブロック１４３０でエラーが選択され、ブロック１４２５でセキュア・ゲストのアクセス（セキュアＵＶ＝いいえ）である場合は、ブロック１４３５で例外がハイパーバイザに提示される。ブロック１４５５でＤＡビット＝０であり、かつブロック１４７５でアクセスが仮想アクセスである場合、ブロック１４７０で、ハードウェアは、ホスト仮想からホスト絶対へのアクセスのマッピングが、このホスト絶対アドレスに関して登録されているマッピングに一致するかどうかを判定することができる。一致する場合、ブロック１４５０で変換が正常に完了する。ブロック１４７０で、マッピングが一致しない場合、ブロック１４２５でセキュアＵＶアクセスである場合は、ブロック１４３０でエラーが選択され、ブロック１４２５でセキュア・ゲストのアクセス（セキュアＵＶ＝いいえ）である場合は、ブロック１４３５で例外がハイパーバイザに提示される。ＤＡビット＝０であり、かつブロック１４７５でアクセスが現実のアクセス（仮想＝いいえ）である場合、ブロック１４２５でセキュアＵＶアクセスである場合は、ブロック１４３０でエラーが選択され、ブロック１４２５でセキュア・ゲストのアクセス（セキュアＵＶ＝いいえ）である場合は、ブロック１４３５で例外がハイパーバイザに提示され、代替として、ブロック１４５０で変換が正常に完了してよい。ブロック１４８０でのＩ／Ｏサブシステムによるアクセスは、ブロック１４４５でページがセキュアとしてマーク付けされているかどうかをチェックして確認することができ、ページがセキュアである場合、ブロック１４３５で例外をハイパーバイザに提示することができ、ページがセキュアとしてマーク付けされていない場合、ブロック１４５０で変換が成功する。

ゾーン・セキュリティ・テーブル・インターフェイス１４８５を介して、ストレージの登録およびマッピングのさまざまなチェックが集合的に管理され得る。例えば、ブロック１４１０、１４２０、１４５５、１４７０、および１４７５は、さまざまなアクセスを管理するために同じゾーンに関連付けられているゾーン・セキュリティ・テーブルとインターフェイスをとることができる。

ここで図１５を参照すると、本発明の１つまたは複数の実施形態に従って、暗号化の前にページの内容が変化しているかどうかを判定するためのプロセス・フロー１５００が概して示されている。プロセス・フロー１５００は、図１６のデータ・フロー１６００を参照してさらに説明される。ブロック１５０５で、プロセス・フロー１５００が開始する。ブロック１５１０で、コンピュータ・システムのメモリのセキュア・ページのハッシュ値が計算される。例えば、コンピュータ・システムの一部であってよいセキュア・インターフェイス制御１６０５は、セキュア・ページ１６１０の内容が非セキュア・ドメイン１６２５内の非セキュア・ページ１６２０（すなわち、アクセス可能だが暗号化されている）として提供される前に、セキュア・ドメイン１６１５内のセキュア・ページ１６１０のハッシュ関数を計算することができる。ブロック１５１０のハッシュ関数は、セキュア・ページ１６１０の１つまたは複数のデータ・ビットにおける変化の検出を支援するためのチェックサムの形態であることができる。セキュア・ページ１６１０は、非セキュア・ハイパーバイザまたはオペレーティング・システムなどのセキュアでない実体によって、直接アクセス可能でなくてよい。非セキュア・ページ１６２０は、図７のプロセス・フロー７００のブロック７２５などのさまざまなプロセスによって使用され得る。セキュア・インターフェイス制御１６０５の暗号化／復号制御１６３０によって、暗号化および復号が管理され得る。暗号化および復号は、図８のプロセス・フロー８００などのさまざまなプロセスの一部としても、呼び出され得る。セキュア・インターフェイス制御１６０５は、ファームウェア、ハードウェア、またはファームウェアとハードウェアの組み合わせを含むことができる。例えば、セキュア・インターフェイス制御１６０５は、処理ユニット（例えば、コンピュータ・プロセッサの処理回路）の一部であるか、または処理ユニットによって呼び出し可能であることができる。セキュア・ページ１６１０を、ホストによって管理されているセキュア・コンテナまたはセキュア仮想マシンに割り当てることができ、ホストは、例えばハイパーバイザまたはオペレーティング・システムである。

プロセス・フロー１５００のブロック１５１５で、ブロック１５１０で計算されたハッシュ値が、ページの以前に計算されたハッシュ値と比較される。例えば、セキュア・インターフェイス制御１６０５のセキュア・テーブル１６３５は、関連するページの複数のページ識別子１６４０およびハッシュ値１６４５を格納することができる。セキュア・ページ１６１０のハッシュ値が計算されるときに、セキュア・インターフェイス制御１６０５は、ページ識別子１６４０において関連するアドレスの検索を実行し、ハッシュ値１６４５がセキュア・ページ１６１０の以前に計算されたハッシュ値を含んでいるかどうかを判定することができる。

ハッシュ値が同じページに対して以前に計算されたハッシュ値に一致しないということの決定に基づいて、ブロック１５２０で、ページごと、暗号化ごとの値の修正値を、ブロック１５２５で、ページの暗号化において使用することができる。ハッシュ値が同じページに対して以前に計算されたハッシュ値に一致するということの決定に基づいて、ブロック１５２５で、暗号化ごとのカウンタ１６５０の暗号化ごとの値を、変更／インクリメントなしで、ページの暗号化において使用することができる。暗号化ごとのカウンタ１６５０の値は、ページごとに管理され得る。暗号化ごとのカウンタ１６５０の初期値は、暗号化ごとの値が使用され、関連するページが参照される前に、確立され得る。例えば、暗号化ごとのカウンタ１６５０は、暗号化された値と復号された値の間の関係をさらにランダム化するために、暗号化／復号制御１６３０によって、暗号化または復号の一部として使用され得る。１つの例として、ページを暗号化することは、ページに関連付けられたアドレス値、１つまたは複数の乱数値、および暗号化ごとの値と、暗号によって保護されたハッシュ関数との組み合わせを組み込むことができる。基礎になるデータに対する変更が存在する場合にのみ、暗号化ごとの値を変更することによって、変更されていないデータの得られた暗号化が、同じデータの以前に実行された暗号化のコピーと一致することができる。ハイパーバイザまたはオペレーティング・システムなどのセキュアでない実体が、非セキュア・ページ１６２０の暗号化された内容を理解できなくても、変更されていない状態を識別することは、変更されていない暗号化データのコピーをさらに作成するのを避けること、または変更されていないページの更新を防ぐこと、あるいはその両方によって、より効率的なメモリ管理を可能にすることができる。ブロック１５３０で、プロセス・フロー１５００が終了する。

本発明の実施形態では、暗号化は、ページをセキュア・ページ１６１０から非セキュア・ページ１６２０に変換するというホスト（例えば、ハイパーバイザまたはオペレーティング・システム）の要求に応答して、セキュア制御インターフェイス１６０５の暗号化／復号制御１６３０によって実行され得る。暗号化された非セキュア・ページ１６２０は、例えばメモリ管理動作の一部として、格納のためにホストに提供され得る。計算されたハッシュ値は、セキュア制御インターフェイス１６０５のセキュア・テーブル１６３５のハッシュ値１６４５に格納され得る。その後の動作時に、セキュア制御インターフェイス１６０５は、非セキュア・ページ１６２０をセキュア・ページ１６１０に変換することができ、暗号化／復号制御１６３０は、ページに関連付けられた暗号化ごとの値に基づいてセキュア・ページ１６１０を復号し、復号されたページを生成することができる。セキュア・インターフェイス制御１６０５は、復号されたページのハッシュ値を計算し、復号されたページのハッシュ値を、セキュア・テーブル１６３５に格納されたハッシュ値１６４５と比較することができる。復号されたページのハッシュ値が、セキュア・テーブル１６３５に格納されたハッシュ値１６４５のうちの１つに一致するということの決定に基づいて、復号されたページの妥当性を確認することができ、妥当性が確認されて復号されたページを、セキュア・ドメイン１６１５においてセキュア・ページ１６１０として使用可能にすることができる。この妥当性確認によって、非セキュア・ページ１６２０が、非セキュア・ドメイン１６２５内にある間に変更されなかった（例えば、ディスクにキャッシュされて取り出されなかった）ことを確認することができる。セキュアと非セキュアの間のページ変換は、ページのアクセス性を制限するために、ページに関連付けられたビットまたはタグを設定することを含むことができる。

本開示にはクラウド・コンピューティングに関する詳細な説明が含まれているが、本明細書において示された教示の実装は、クラウド・コンピューティング環境に限定されないと理解されるべきである。むしろ、本発明の実施形態は、現在既知であるか、または今後開発される任意のその他の種類のコンピューティング環境と組み合わせて実装できる。

クラウド・コンピューティングは、構成可能な計算リソース（例えば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、ＶＭ、およびサービス）の共有プールへの便利なオンデマンドのネットワーク・アクセスを可能にするためのサービス提供モデルであり、管理上の手間またはサービス・プロバイダとのやりとりを最小限に抑えて、これらのリソースを迅速にプロビジョニングおよび解放することができる。このクラウド・モデルは、少なくとも５つの特徴、少なくとも３つのサービス・モデル、および少なくとも４つのデプロイメント・モデルを含むことができる。

特徴は、次のとおりである。

オンデマンドのセルフ・サービス：クラウドの利用者は、サーバの時間およびネットワーク・ストレージなどの計算能力を一方的に、サービス・プロバイダとの人間的なやりとりを必要とせず、必要に応じて自動的にプロビジョニングすることができる。

幅広いネットワーク・アクセス：能力は、ネットワークを経由して利用可能であり、標準的なメカニズムを使用してアクセスできるため、異種のシン・クライアントまたはシック・クライアント・プラットフォーム（例えば、携帯電話、ラップトップ、およびＰＤＡ）による利用を促進する。

リソース・プール：プロバイダの計算リソースは、プールされ、マルチテナント・モデルを使用して複数の利用者に提供される。さまざまな物理的および仮想的リソースが、要求に従って動的に割り当ておよび再割り当てされる。場所に依存しないという感覚があり、利用者は通常、提供されるリソースの正確な場所に関して管理することも知ることもないが、さらに高い抽象レベルでは、場所（例えば、国、州、またはデータセンター）を指定できる場合がある。

迅速な順応性：能力は、迅速かつ柔軟に、場合によっては自動的にプロビジョニングされ、素早くスケールアウトし、迅速に解放されて素早くスケールインすることができる。プロビジョニングに使用できる能力は、利用者には、多くの場合、任意の量をいつでも無制限に購入できるように見える。

測定されるサービス：クラウド・システムは、計測機能を活用することによって、サービスの種類（例えば、ストレージ、処理、帯域幅、およびアクティブなユーザのアカウント）に適した、ある抽象レベルで、リソースの使用を自動的に制御および最適化する。リソースの使用量は監視、制御、および報告することができ、利用されるサービスのプロバイダと利用者の両方に透明性が提供される。

サービス・モデルは、次のとおりである。

ＳａａＳ（Software as a Service）：利用者に提供される能力は、クラウド・インフラストラクチャ上で稼働しているプロバイダのアプリケーションの利用である。それらのアプリケーションは、Ｗｅｂブラウザ（例えば、Ｗｅｂベースの電子メール）などのシン・クライアント・インターフェイスを介して、さまざまなクライアント・デバイスからアクセスできる。利用者は、ネットワーク、サーバ、オペレーティング・システム、ストレージ、または個々のアプリケーション機能でさえも含む基盤になるクラウド・インフラストラクチャを、限定的なユーザ固有のアプリケーション構成設定を行う可能性を除き、管理することも制御することもない。

ＰａａＳ（Platform as a Service）：利用者に提供される能力は、プロバイダによって支援されるプログラミング言語およびツールを使用して作成された、利用者が作成または取得したアプリケーションをクラウド・インフラストラクチャにデプロイすることである。利用者は、ネットワーク、サーバ、オペレーティング・システム、またはストレージを含む基盤になるクラウド・インフラストラクチャを管理することも制御することもないが、デプロイされたアプリケーション、および場合によってはアプリケーション・ホスティング環境の構成を制御することができる。

ＩａａＳ（Infrastructure as a Service）：利用者に提供される能力は、処理、ストレージ、ネットワーク、およびその他の基本的な計算リソースのプロビジョニングであり、利用者は、オペレーティング・システムおよびアプリケーションを含むことができる任意のソフトウェアをデプロイして実行できる。利用者は、基盤になるクラウド・インフラストラクチャを管理することも制御することもないが、オペレーティング・システム、ストレージ、デプロイされたアプリケーションを制御することができ、場合によっては、選択されたネットワーク・コンポーネント（例えば、ホスト・ファイアウォール）を限定的に制御できる。

デプロイメント・モデルは、次のとおりである。

プライベート・クラウド：このクラウド・インフラストラクチャは、組織のためにのみ運用される。この組織またはサード・パーティによって管理することができ、オンプレミスまたはオフプレミスに存在することができる。

コミュニティ・クラウド：このクラウド・インフラストラクチャは、複数の組織によって共有され、関心事（例えば、任務、セキュリティ要件、ポリシー、およびコンプライアンスに関する考慮事項）を共有している特定のコミュニティを支援する。これらの組織またはサード・パーティによって管理することができ、オンプレミスまたはオフプレミスに存在することができる。

パブリック・クラウド：このクラウド・インフラストラクチャは、一般ユーザまたは大規模な業界団体が使用できるようになっており、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：このクラウド・インフラストラクチャは、データとアプリケーションの移植を可能にする標準化された技術または独自の技術（例えば、クラウド間の負荷バランスを調整するためのクラウド・バースト）によって固有の実体を残したまま互いに結合された２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の複合である。

クラウド・コンピューティング環境は、ステートレス、疎結合、モジュール性、および意味的相互運用性に重点を置いたサービス指向の環境である。クラウド・コンピューティングの中心になるのは、相互接続されたノードのネットワークを含んでいるインフラストラクチャである。

ここで図１７を参照すると、例示的なクラウド・コンピューティング環境５０が示されている。図示されているように、クラウド・コンピューティング環境５０は、クラウドの利用者によって使用されるローカル・コンピューティング・デバイス（例えば、パーソナル・デジタル・アシスタント（ＰＤＡ：personal digital assistant）または携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車コンピュータ・システム５４Ｎ、あるいはその組み合わせなど）が通信できる１つまたは複数のクラウド・コンピューティング・ノード１０を含んでいる。ノード１０は、互いに通信してよい。ノード１０は、１つまたは複数のネットワーク内で、本明細書において前述されたプライベート・クラウド、コミュニティ・クラウド、パブリック・クラウド、またはハイブリッド・クラウド、あるいはこれらの組み合わせなどに、物理的または仮想的にグループ化されてよい（図示されていない）。これによって、クラウド・コンピューティング環境５０は、クラウドの利用者がローカル・コンピューティング・デバイス上でリソースを維持する必要のないインフラストラクチャ、プラットフォーム、またはＳａａＳ、あるいはその組み合わせを提供できる。図１７に示されたコンピューティング・デバイス５４Ａ～Ｎの種類は、例示のみが意図されており、コンピューティング・ノード１０およびクラウド・コンピューティング環境５０は、任意の種類のネットワークまたはネットワーク・アドレス可能な接続（例えば、Ｗｅｂブラウザを使用した接続）あるいはその両方を経由して任意の種類のコンピュータ制御デバイスと通信することができると理解される。

ここで図１８を参照すると、クラウド・コンピューティング環境５０（図１７）によって提供される機能的抽象レイヤのセットが示されている。図１８に示されたコンポーネント、レイヤ、および機能は、例示のみが意図されており、本発明の実施形態がこれらに限定されないということが、あらかじめ理解されるべきである。図示されているように、次のレイヤおよび対応する機能が提供される。

ハードウェアおよびソフトウェア・レイヤ６０は、ハードウェア・コンポーネントおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例としては、メインフレーム６１、ＲＩＳＣ（Reduced Instruction Set Computer）アーキテクチャベースのサーバ６２、サーバ６３、ブレード・サーバ６４、ストレージ・デバイス６５、ならびにネットワークおよびネットワーク・コンポーネント６６が挙げられる。一部の実施形態では、ソフトウェア・コンポーネントは、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。

仮想化レイヤ７０は、仮想サーバ７１、仮想ストレージ７２、仮想プライベート・ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５などの仮想的実体の例を提供できる抽象レイヤを備える。

一例を挙げると、管理レイヤ８０は、以下で説明される機能を提供することができる。リソース・プロビジョニング８１は、クラウド・コンピューティング環境内でタスクを実行するために利用される計算リソースおよびその他のリソースの動的調達を行う。計測および価格設定８２は、クラウド・コンピューティング環境内でリソースが利用される際のコスト追跡、およびそれらのリソースの利用に対する請求書の作成と送付を行う。一例を挙げると、それらのリソースは、アプリケーション・ソフトウェア・ライセンスを含んでよい。セキュリティは、クラウドの利用者およびタスクのＩＤ検証を行うとともに、データおよびその他のリソースの保護を行う。ユーザ・ポータル８３は、クラウド・コンピューティング環境へのアクセスを利用者およびシステム管理者に提供する。サービス・レベル管理８４は、必要なサービス・レベルを満たすように、クラウドの計算リソースの割り当てと管理を行う。サービス水準合意（ＳＬＡ：Service Level Agreement）計画および実行８５は、今後の要求が予想されるクラウドの計算リソースの事前準備および調達を、ＳＬＡに従って行う。

ワークロード・レイヤ９０は、クラウド・コンピューティング環境で利用できる機能の例を示している。このレイヤから提供されてよいワークロードおよび機能の例としては、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想クラスルーム教育の配信９３、データ解析処理９４、トランザクション処理９５、および仮想マシンのセキュア・ストレージへのアクセスの制御９６が挙げられる。これらが単なる例であり、他の実施形態では、各レイヤが異なるサービスを含むことができるということが理解される。

ここで図１９を参照すると、本発明の１つまたは複数の実施形態に従って、システム１９００が示されている。システム１９００は、ネットワーク１６５などを介して１つまたは複数のクライアント・デバイス２０Ａ～２０Ｅと直接的または間接的に通信する例示的なノード１０（例えば、ホスティング・ノード）を含んでいる。ノード１０は、クラウド・コンピューティング・プロバイダのデータセンターまたはホスト・サーバであることができる。ノード１０は、１つまたは複数のＶＭ１５（１５Ａ～１５Ｎ）のデプロイを容易にするハイパーバイザ１２を実行する。ノード１０は、セキュア・インターフェイス制御１１を含むハードウェア／ファームウェア・レイヤ１３をさらに含んでいる。セキュア・インターフェイス制御１１は、ハイパーバイザ１２が１つまたは複数のサービスを仮想マシン１５に提供するのを容易にする１つまたは複数のハードウェア・モジュールおよびファームウェアを含んでいる。ハイパーバイザ１２とセキュア・インターフェイス制御１１の間、セキュア・インターフェイス制御１１と１つまたは複数のＶＭ１５の間、ハイパーバイザ１２と１つまたは複数のＶＭ１５の間、およびセキュア・インターフェイス制御１１を介したハイパーバイザ１２とＶＭ１５の間には、通信が存在することができる。セキュアなＶＭ環境を促進するために、本発明の１つまたは複数の実施形態に従うホスティング・ノード１０は、ハイパーバイザ１２と１つまたは複数のＶＭ１５の間に、直接通信を何も含まない。

例えば、ホスティング・ノード１０は、クライアント・デバイス２０ＡがＶＭ１５Ａ～１５Ｎのうちの１つまたは複数をデプロイするのを容易にすることができる。個別のクライアント・デバイス２０Ａ～２０Ｅからの各要求に応答して、ＶＭ１５Ａ～１５Ｎがデプロイされてよい。例えば、クライアント・デバイス２０ＡによってＶＭ１５Ａがデプロイされてよく、クライアント・デバイス２０ＢによってＶＭ１５Ｂがデプロイされてよく、クライアント・デバイス２０ＣによってＶＭ１５Ｃがデプロイされてよい。ノード１０は、クライアントが（ＶＭとして実行するのではなく）物理的サーバをプロビジョニングするのを容易にすることもできる。本明細書に記載された例は、ＶＭの一部としてノード１０内のリソースのプロビジョニングを具現化するが、説明された技術的解決策は、物理的サーバの一部としてリソースをプロビジョニングするように適用されてもよい。

１つの例では、クライアント・デバイス２０Ａ～２０Ｅは、人、企業、政府機関、会社内の部門、または任意のその他の実体などの、同じ実体に属してよく、ノード１０は、実体のプライベート・クラウドとして運用されてよい。この場合、ノード１０は、実体に属しているクライアント・デバイス２０Ａ～２０ＥによってデプロイされているＶＭ１５Ａ～１５Ｎのみをホストする。別の例では、クライアント・デバイス２０Ａ～２０Ｅは、個別の実体に属してよい。例えば、第１の実体はクライアント・デバイス２０Ａを所有してよく、第２の実体はクライアント・デバイス２０Ｂを所有してよい。この場合、ノード１０は、異なる実体のＶＭをホストするパブリック・クラウドとして運用されてよい。例えば、ＶＭ１５Ａ～１５Ｎは、ＶＭ１５ＡがＶＭ１５Ｂへのアクセスを容易にしないような、覆い隠される方法でデプロイされてよい。例えば、ノード１０は、ＩＢＭ ｚ Ｓｙｓｔｅｍ（Ｒ）プロセッサ・リソース／システム・マネージャ（ＰＲ／ＳＭ：Processor Resource/System Manager）論理パーティション（ＬＰＡＲ：Logical Partition）機能を使用してＶＭ１５Ａ～１５Ｎを覆い隠してよい。ＰＲ／ＳＭ ＬＰＡＲなどのこれらの機能は、パーティション間を分離することによって、ノード１０が、同じ物理ノード１０上の異なる実体のために、異なる論理パーティション内で、２つ以上のＶＭ１５Ａ～１５Ｎをデプロイするのを容易にする。ＰＲ／ＳＭ ＬＰＡＲハイパーバイザは、この分離を提供するために特定のハードウェアと共に、信頼できる内部ファームウェアにおいて実装される。

クライアント・デバイス２０Ａ～２０Ｅからのクライアント・デバイス２０Ａは、コンピュータ、スマートフォン、タブレット・コンピュータ、デスクトップ・コンピュータ、ラップトップ・コンピュータ、サーバ・コンピュータ、またはノード１０のハイパーバイザ１２によるＶＭのデプロイメントを要求する任意のその他の通信装置などの、通信装置である。クライアント・デバイス２０Ａは、ネットワーク１６５を介してハイパーバイザによって受信するための要求を送信してよい。ＶＭ１５Ａ～１５ＮからのＶＭ１５Ａは、クライアント・デバイス２０Ａ～２０Ｅからのクライアント・デバイス２０Ａからの要求に応答してハイパーバイザ１２がデプロイするＶＭイメージである。ハイパーバイザ１２は、ＶＭモニタ（ＶＭＭ）であり、ＶＭを作成して実行するソフトウェア、ファームウェア、またはハードウェアであってよい。ハイパーバイザ１２は、ＶＭ１５Ａがノード１０のハードウェア・コンポーネントを使用してプログラムを実行すること、またはデータを格納すること、あるいはその両方を容易にする。ハイパーバイザ１２は、適切な機能および変更を伴って、ＩＢＭ ｚ Ｓｙｓｔｅｍ（Ｒ）、ＯｒａｃｌｅのＶＭ Ｓｅｒｖｅｒ、ＣｉｔｒｉｘのＸｅｎＳｅｒｖｅｒ、ＶｍｗａｒｅのＥＳＸ、Ｍｉｃｒｏｓｏｆｔ Ｈｙｐｅｒ－Ｖハイパーバイザ、または任意のその他のハイパーバイザであってよい。ハイパーバイザ１２は、ノード１０上で直接実行されるネイティブ・ハイパーバイザであるか、または別のハイパーバイザ上で実行されるホストされたハイパーバイザであってよい。

ここで図２０を参照すると、本発明の１つまたは複数の実施形態に従って、本明細書の教示を実装するためのノード１０が示されている。ノード１０は、本明細書において説明されているように、さまざまな通信技術を利用するコンピューティング・デバイスおよびネットワークの任意の数および組み合わせを備えるか、または採用するか、あるいはその両方である、電子的コンピュータ・フレームワークであることができる。ノード１０は、容易にスケーリング可能であり、拡張可能であり、モジュール式であり、異なるサービスに変化する能力、または他の機能とは無関係に、一部の機能を再構成する能力を有することができる。

この実施形態では、ノード１０が、１つまたは複数の中央処理装置（ＣＰＵ：central processing units）２２０１ａ、２００１ｂ、２００１ｃなどを含むことができるプロセッサ２００１を含んでいる。プロセッサ２００１は、処理回路、マイクロプロセッサ、コンピューティング・ユニットとも呼ばれ、システム・バス２００２を介してシステム・メモリ２００３およびさまざまな他のコンポーネントに結合される。システム・メモリ２００３は、読み取り専用メモリ（ＲＯＭ：read only memory）２００４およびランダム・アクセス・メモリ（ＲＡＭ：random access memory）２００５を含む。ＲＯＭ２００４は、システム・バス２００２に結合され、ノード１０の特定の基本機能を制御する基本入出力システム（ＢＩＯＳ：basic input/output system）を含んでよい。ＲＡＭは、プロセッサ２００１で使用するためにシステム・バス２００２に結合された読み取り書き込みメモリである。

図２０のノード１０は、プロセッサ２００１による読み取りおよび実行が可能な有形のストレージ媒体の例であるハード・ディスク２００７を含んでいる。ハード・ディスク２００７は、ソフトウェア２００８およびデータ２００９を格納する。ソフトウェア２００８は、（図１～１９を参照して説明されたプロセスなどのプロセスを実行するために）プロセッサ２００１によってノード１０上で実行される命令として格納される。データ２００９は、ソフトウェア２００８の動作を支援し、ソフトウェア２００８の動作によって使用されるさまざまなデータ構造に構造化された定性的変数または定量的変数の値のセットを含む。

図２０のノード１０は、ノード１０のプロセッサ２００１、システム・メモリ２００３、ハード・ディスク２００７、およびその他のコンポーネント（例えば、周辺機器および外部デバイス）の間を相互接続し、これらの間の通信を支援する１つまたは複数のアダプタ（例えば、ハード・ディスク・コントローラ、ネットワーク・アダプタ、グラフィックス・アダプタなど）を含む。本発明の１つまたは複数の実施形態では、１つまたは複数のアダプタを、中間バス・ブリッジを介してシステム・バス２００２に接続された１つまたは複数のＩ／Ｏバスに接続することができ、１つまたは複数のＩ／Ｏバスが、ＰＣＩ（Peripheral Component Interconnect）などの一般的なプロトコルを利用することができる。

図に示されているように、ノード１０は、キーボード２０２１、マウス２０２２、スピーカ２０２３、およびマイクロホン２０２４をシステム・バス２００２に相互接続するインターフェイス・アダプタ２０２０を含んでいる。ノード１０は、システム・バス２００２をディスプレイ２０３１に相互接続するディスプレイ・アダプタ２０３０を含んでいる。ディスプレイ・アダプタ２０３０（またはプロセッサ２００１あるいはその両方）は、ＧＵＩ２０３２の表示および管理などのグラフィックス性能を提供するために、グラフィックス・コントローラを含むことができる。通信アダプタ２０４１は、システム・バス２００２をネットワーク２０５０と相互接続し、ノード１０が、サーバ２０５１およびデータベース２０５２などの他のシステム、デバイス、データ、およびソフトウェアと通信できるようにする。本発明の１つまたは複数の実施形態では、ソフトウェア２００８およびデータ２００９の動作が、サーバ２０５１およびデータベース２０５２によってネットワーク２０５０上に実装され得る。例えば、ネットワーク２０５０、サーバ２０５１、およびデータベース２０５２は、組み合わさって、ＰａａＳ（Platform as a Service）、ＳａａＳ（Software as a Service）、またはＩａａＳ（Infrastructure as a Service）、あるいはその組み合わせとして（例えば、分散システム内のＷｅｂアプリケーションとして）、ソフトウェア２００８およびデータ２００９の内部の反復を提供することができる。

本明細書に記載された実施形態は、必然的にコンピュータ技術に根差しており、特に、ＶＭをホストするコンピュータ・サーバに根差している。さらに、本発明の１つまたは複数の実施形態は、コンピューティング技術自体の動作に対する改良を促進し、特に、ハイパーバイザがセキュアＶＭに関連付けられたメモリ、レジスタ、およびその他のそのようなデータにアクセスすることを禁止されていても、ＶＭをホストするコンピュータ・サーバがセキュアＶＭをホストするのを容易にすることによって、ＶＭをホストするコンピュータ・サーバの動作に対する改良を促進する。加えて、本発明の１つまたは複数の実施形態は、ハードウェア、ファームウェア（例えば、ミリコード）、またはこれらの組み合わせを含むセキュア・インターフェイス制御（本明細書では「ＵＶ」とも呼ばれる）を使用して、セキュアＶＭとハイパーバイザの分離を促進し、このようにして、コンピューティング・サーバによってホストされるＶＭのセキュリティを維持することによって、コンピューティング・サーバをホストするＶＭの改善に向かう重要な手順を提供する。セキュア・インターフェイス制御は、本明細書において説明されているように、ＶＭの初期化／終了時に、ＶＭの状態を保護することに大きなオーバーヘッドを追加せずに、セキュリティを促進するための軽量の中間動作を提供する。

本明細書で開示された本発明の実施形態は、ＶＭのセキュア・ストレージへのアクセスを制御するシステム、方法、またはコンピュータ・プログラム製品（本明細書ではシステム）、あるいはその組み合わせを含んでよい。説明ごとに、要素の識別子が、異なる図の他の類似する要素に再使用されるということに注意する。

本明細書では、関連する図面を参照して、本発明のさまざまな実施形態が説明される。本発明の範囲を逸脱することなく、本発明の代替の実施形態が考案され得る。以下の説明および図面において、要素間のさまざまな接続および位置関係（例えば、上、下、隣接など）が示される。それらの接続または位置関係あるいはその両方は、特に規定されない限り、直接的または間接的であることができ、本発明はこの点において限定するよう意図されていない。したがって、実体の結合は、直接的結合または間接的結合を指すことができ、実体間の位置関係は、直接的位置関係または間接的位置関係であることができる。さらに、本明細書に記載されたさまざまな作業および工程段階は、本明細書に詳細に記載されない追加の段階または機能を含んでいるさらに包括的な手順または工程に組み込まれ得る。

以下の定義および略称が、特許請求の範囲および本明細書の解釈に使用される。本明細書において使用されているように、「備える」、「備えている」、「含む」、「含んでいる」、「有する」、「有している」、「含有する」、もしくは「含有している」という用語、またはこれらの任意のその他の変形は、非排他的包含をカバーするよう意図されている。例えば、要素のリストを含んでいる組成、混合、工程、方法、製品、または装置は、それらの要素のみに必ずしも限定されず、明示的に列記されていないか、またはそのような組成、混合、工程、方法、製品、もしくは装置に固有の、その他の要素を含むことができる。

さらに、「例示的」という用語は、本明細書では「例、事例、または実例としての役割を果たす」ことを意味するために使用される。「例示的」として本明細書に記載された任意の実施形態または設計は、必ずしも他の実施形態もしくは設計よりも好ましいか、または有利であると解釈されるべきではない。「少なくとも１つ」および「１つまたは複数」という用語は、１以上の任意の整数（すなわち、１、２、３、４など）を含んでいると理解されてよい。「複数」という用語は、２以上の任意の整数（すなわち、２、３、４、５など）を含んでいると理解されてよい。「接続」という用語は、間接的「接続」および直接的「接続」の両方を含んでよい。

「約」、「実質的に」、「近似的に」、およびこれらの変形の用語は、本願書の出願時に使用できる機器に基づいて、特定の量の測定に関連付けられた誤差の程度を含むよう意図されている。例えば、「約」は、特定の値の±８％または５％、あるいは２％の範囲を含むことができる。

本発明は、任意の可能な統合の技術的詳細レベルで、システム、方法、またはコンピュータ・プログラム製品、あるいはその組み合わせであってよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を含んでいる１つ（または複数）のコンピュータ可読ストレージ媒体を含んでよい。

コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持および格納できる有形のデバイスであることができる。コンピュータ可読ストレージ媒体は、例えば、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁ストレージ・デバイス、半導体ストレージ・デバイス、またはこれらの任意の適切な組み合わせであってよいが、これらに限定されない。コンピュータ可読ストレージ媒体のさらに具体的な例の非網羅的リストは、ポータブル・フロッピー（Ｒ）・ディスク、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ：random access memory）、読み取り専用メモリ（ＲＯＭ：read-only memory）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ：erasable programmable read-only memoryまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：static random access memory）、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ－ＲＯＭ：compact disc read-only memory）、デジタル多用途ディスク（ＤＶＤ：digital versatile disk）、メモリ・スティック、フロッピー（Ｒ）・ディスク、パンチカードまたは命令が記録されている溝の中の隆起構造などの機械的にエンコードされるデバイス、およびこれらの任意の適切な組み合わせを含む。本明細書において使用されるとき、コンピュータ可読ストレージ媒体は、それ自体が、電波またはその他の自由に伝搬する電磁波、導波管またはその他の送信媒体を伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、あるいはワイヤを介して送信される電気信号などの一過性の信号であると解釈されるべきではない。

本明細書に記載されたコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体から各コンピューティング・デバイス／処理デバイスへ、またはネットワーク（例えば、インターネット、ローカル・エリア・ネットワーク、広域ネットワーク、または無線ネットワーク、あるいはその組み合わせ）を介して外部コンピュータもしくは外部ストレージ・デバイスへダウンロードされ得る。このネットワークは、銅伝送ケーブル、光伝送ファイバ、無線送信、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組み合わせを備えてよい。各コンピューティング・デバイス／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェイスは、コンピュータ可読プログラム命令をネットワークから受信し、それらのコンピュータ可読プログラム命令を各コンピューティング・デバイス／処理デバイス内のコンピュータ可読ストレージ媒体に格納するために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：instruction-set-architecture）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、あるいは、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同様のプログラミング言語などの手続き型プログラミング言語を含む、１つもしくは複数のプログラミング言語の任意の組み合わせで記述されたソース・コードまたはオブジェクト・コードのいずれかであってよい。コンピュータ可読プログラム命令は、ユーザのコンピュータ上で全体的に実行すること、ユーザのコンピュータ上でスタンドアロン・ソフトウェア・パッケージとして部分的に実行すること、ユーザのコンピュータ上およびリモート・コンピュータ上でそれぞれ部分的に実行すること、あるいはリモート・コンピュータ上またはサーバ上で全体的に実行することができる。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ：local area network）または広域ネットワーク（ＷＡＮ：wide area network）を含む任意の種類のネットワークを介してユーザのコンピュータに接続されてよく、または接続は、（例えば、インターネット・サービス・プロバイダを使用してインターネットを介して）外部コンピュータに対して行われてよい。一部の実施形態では、本発明の態様を実行するために、例えばプログラマブル論理回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ：field-programmable gate arrays）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：programmable logic arrays）を含む電子回路は、コンピュータ可読プログラム命令の状態情報を利用することによって、電子回路をカスタマイズするためのコンピュータ可読プログラム命令を実行してよい。

本発明の態様は、本明細書において、本発明の実施形態に従って、方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図またはブロック図あるいはその両方を参照して説明される。フローチャート図またはブロック図あるいはその両方の各ブロック、ならびにフローチャート図またはブロック図あるいはその両方に含まれるブロックの組み合わせが、コンピュータ可読プログラム命令によって実装され得るということが理解されるであろう。

これらのコンピュータ可読プログラム命令は、コンピュータまたはその他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作を実施する手段を作り出すべく、汎用コンピュータ、専用コンピュータ、または他のプログラム可能なデータ処理装置のプロセッサに提供されてマシンを生成するものであってよい。これらのコンピュータ可読プログラム命令は、命令が格納されたコンピュータ可読ストレージ媒体がフローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作の態様を実施する命令を含んでいる製品を備えるように、コンピュータ可読ストレージ媒体に格納され、コンピュータ、プログラム可能なデータ処理装置、または他のデバイス、あるいはその組み合わせに特定の方式で機能するように指示できるものであってもよい。

コンピュータ可読プログラム命令は、コンピュータ上、その他のプログラム可能な装置上、またはその他のデバイス上で実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作を実施するように、コンピュータ、その他のプログラム可能なデータ処理装置、またはその他のデバイスに読み込まれてもよく、それによって、一連の動作可能なステップを、コンピュータ上、その他のプログラム可能な装置上、またはコンピュータ実装プロセスを生成するその他のデバイス上で実行させる。

図内のフローチャートおよびブロック図は、本発明のさまざまな実施形態に従って、システム、方法、およびコンピュータ・プログラム製品の可能な実装のアーキテクチャ、機能、および動作を示す。これに関連して、フローチャートまたはブロック図内の各ブロックは、規定された論理機能を実装するための１つまたは複数の実行可能な命令を備える、命令のモジュール、セグメント、または部分を表してよい。一部の代替の実装では、ブロックに示された機能は、図に示された順序とは異なる順序で発生してよい。例えば、連続して示された２つのブロックは、実際には、含まれている機能に応じて、実質的に同時に実行されるか、または場合によっては逆の順序で実行されてよい。ブロック図またはフローチャート図あるいはその両方の各ブロック、ならびにブロック図またはフローチャート図あるいはその両方に含まれるブロックの組み合わせは、規定された機能または動作を実行するか、あるいは専用ハードウェアとコンピュータ命令の組み合わせを実行する専用ハードウェアベースのシステムによって実装され得るということにも注意する。

本明細書で使用される用語は、特定の実施形態を説明することのみを目的としており、制限することを意図していない。本明細書において使用されるとき、単数形「ａ」、「ａｎ」、および「ｔｈｅ」は、特に明示的に示されない限り、複数形も含むことが意図されている。「備える」または「備えている」あるいはその両方の用語は、本明細書で使用される場合、記載された機能、整数、ステップ、動作、要素、またはコンポーネント、あるいはその組み合わせの存在を示すが、１つまたは複数のその他の機能、整数、ステップ、動作、要素コンポーネント、またはこれらのグループ、あるいはその組み合わせの存在または追加を除外していないということが、さらに理解されるであろう。

本明細書におけるさまざまな実施形態の説明は、例示の目的で提示されているが、網羅的であることは意図されておらず、開示された実施形態に制限されない。記載された実施形態の範囲および思想を逸脱することなく多くの変更および変形が可能であることは、当業者にとって明らかであろう。本明細書で使用された用語は、実施形態の原理、実際の適用、または市場で見られる技術を超える技術的改良を最も適切に説明するため、あるいは他の当業者が本明細書で開示された実施形態を理解できるようにするために選択されている。

Claims (6)

1. コンピュータ・システムのメモリのページのハッシュ値を計算することと、
   前記ハッシュ値を前記ページの以前に計算されたハッシュ値と比較することと、
   前記ハッシュ値が前記以前に計算されたハッシュ値に一致するということの決定に基づいて、ページごと、暗号化ごとの値を前記ページの暗号化において使用することと、
   前記ハッシュ値が前記以前に計算されたハッシュ値に一致しないということの決定に基づいて、前記ページごと、暗号化ごとの値の修正値を前記ページの暗号化において使用することとを含む、方法。
2. 前記ページをセキュア・ページから非セキュア・ページに変換するというホストの要求に応答して、セキュア制御インターフェイスによって前記暗号化が実行される、請求項１に記載の方法。
3. 暗号化された前記非セキュア・ページを、格納のために前記ホストに提供することをさらに含む、請求項２に記載の方法。
4. メモリと、
   処理ユニットと、
   前記処理ユニットおよび前記メモリとインターフェイスをとるセキュア・インターフェイス制御とを備えているシステムであって、前記セキュア・インターフェイス制御が、
   前記メモリのページのハッシュ値を計算することと、
   前記ハッシュ値を前記ページの以前に計算されたハッシュ値と比較することと、
   前記ハッシュ値が前記以前に計算されたハッシュ値に一致するということの決定に基づいて、ページごと、暗号化ごとの値を前記ページの暗号化において使用することと、
   前記ハッシュ値が前記以前に計算されたハッシュ値に一致しないということの決定に基づいて、前記ページごと、暗号化ごとの値の修正値を前記ページの暗号化において使用することとを含む動作を実行するように構成される、システム。
5. コンピュータに、
   コンピュータ・システムのメモリのページのハッシュ値を計算することと、
   前記ハッシュ値を前記ページの以前に計算されたハッシュ値と比較することと、
   前記ハッシュ値が前記以前に計算されたハッシュ値に一致するということの決定に基づいて、ページごと、暗号化ごとの値を前記ページの暗号化において使用することと、
   前記ハッシュ値が前記以前に計算されたハッシュ値に一致しないということの決定に基づいて、前記ページごと、暗号化ごとの値の修正値を前記ページの暗号化において使用することとを実行させるためのプログラム。
6. 請求項５に記載のプログラムを記憶したコンピュータ読取可能な記憶媒体。
   

Images