JP7466569B2 - セキュアな初期プログラム・ロード - Google Patents

Description

１つまたは複数の態様は、一般に、コンピューティング環境内の処理に関し、特に、コンピューティング環境内のセキュアな処理に関する。

セキュアな処理は、処理の多くの態様において賢明である。１つまたは複数の態様においてセキュリティを提供するのを支援するために、コモン・クライテリアが開発された。コモン・クライテリアは、コンピュータ・セキュリティ製品の仕様、実装、および評価のプロセスが厳格に実施されていることの保証、規格、および反復可能な方法を、対象の使用環境と一致するレベルで提供する。コモン・クライテリアの実施の責任を負う１つの組織は、少なくとも米国では、国家情報保証パートナーシップ（ＮＩＡＰ：National Information Assurance Partnership）である。ＮＩＡＰは、製品またはプロセスが特定のセキュリティ基準を満たしていることを認証するための方法を提供し、この方法が正常に完了したときに、本明細書ではコモン・クライテリア証明書と呼ばれる証明書が与えられる。

コモン・クライテリアの要件は、時間と共に変化する。例えば、コモン・クライテリア証明書に関する新しいオペレーティング・システムの保護プロファイルが追加されており、この保護プロファイルは、現在、セキュア・ブートのサポートを要求している。セキュア・ブートは、相手先商標製品製造会社（ＯＥＭ：Original Equipment Manufacturer）によって信頼されているソフトウェアのみを使用してデバイスが起動することを保証するために使用されるセキュリティ規格である。セキュア・ブートは、マルウェアからの攻撃および感染に抵抗するのに役立つ。コモン・クライテリア証明書を順守するために、セキュア・ブートの形態が使用される。

コンピューティング環境内の処理を容易にするためのコンピュータ・プログラム製品の提供によって、従来技術の欠点が克服され、追加の利点がもたらされる。このコンピュータ・プログラム製品は、処理回路によって読み取り可能なコンピュータ可読ストレージ媒体を含み、コンピュータ可読ストレージ媒体は、方法を実行するための命令を格納している。この方法は、コンピューティング環境のシステム・コンポーネントの初期プログラム・ロードを実行することを含む。初期プログラム・ロードを実行することは、システム・コンポーネントに関連する１つまたは複数の署名されたバイナリ・コード・コンポーネント（binary code components）の１つまたは複数の署名が検証されているかどうかを判定することを含む。１つまたは複数の署名が検証されているということの決定に基づいて、追加の検証が実行される。追加の検証を実行することは、システム・コンポーネントに関連する１つまたは複数のバイナリ・コード・コンポーネントのうちの選択されたバイナリ・コード・コンポーネントを取得することと、選択されたバイナリ・コード・コンポーネントが、１つまたは複数のバイナリ・コード・コンポーネントに関する特定の署名されたバイナリ・コード・コンポーネントであるかどうかを判定することとを含む。選択されたバイナリ・コード・コンポーネントが特定の署名されたバイナリ・コード・コンポーネントであるということの決定に基づいて、チェックが実行される。チェックの成功に基づいて、初期プログラム・ロードの実行が継続する。

カーネルなどのシステム・コンポーネントのセキュアな初期プログラム・ロードが提供され、コンピューティング環境内のセキュリティを強化し、コンピューティング環境内の処理を容易にする。

１つの実施形態では、１つまたは複数のバイナリ・コード・コンポーネントが、１つまたは複数の署名されたバイナリ・コード・コンポーネントおよび１つまたは複数の署名されていないバイナリ・コード・コンポーネントを含み、１つまたは複数のバイナリ・コード・コンポーネントが順序不同である。順序を必要としないことにより、パッケージが柔軟になり、パッケージの複雑さが軽減される。これによって、デバイス・コンポーネントをさらに追加することなどを可能にする。

１つの例として、１つまたは複数の署名が、１つまたは複数の署名されたバイナリ・コード・コンポーネントとは別に格納される。これによって、セキュリティを強化する。

１つの例では、選択されたバイナリ・コード・コンポーネントを取得することが、制御位置でのポインタに基づいて、選択されたバイナリ・コード・コンポーネントを選択することを含む。制御位置は、例えば、プログラム状態ワードである。

１つの例として、チェックを実行することは、ポインタがそれ自身を指し示しているかどうかを判定することを含み、ポインタがそれ自身を指し示していることに基づいて、チェックが成功する。

さらに、１つの例では、チェックの成功に基づいて、有効インジケータが、選択された値に設定される。

１つの実施形態では、初期プログラム・ロードの実行を継続することが、別のバイナリ・コード・コンポーネントを取得することと、別のバイナリ・コード・コンポーネントを取得することに基づいて、有効インジケータが選択された値に設定されているかどうかを判定することと、有効インジケータが選択された値に設定されているということの決定に基づいて、処理される他のバイナリ・コード・コンポーネントが存在することに基づいて取得することおよび判定することを繰り返すこととを含む。

１つの例では、初期プログラム・ロードの実行を継続することが、有効インジケータが選択された値以外の値に設定されているということの決定に基づいて、初期プログラム・ロードを終了することを含む。

１つの例では、追加の検証を実行することが、セキュアな初期プログラム・ロードが実行されるかどうかを判定することと、セキュアな初期プログラム・ロードが実行されるということの決定に基づいて、バイナリ・コード・コンポーネントが、１つまたは複数のバイナリ・コード・コンポーネントに関する特定の署名されたバイナリ・コード・コンポーネントであるかどうかの判定を実行することとをさらに含む。

一例として、特定の署名されたバイナリ・コード・コンポーネントは、１つまたは複数のバイナリ・コード・コンポーネントのうちの第１の署名されたバイナリ・コード・コンポーネントである。さらに、一例として、システム・コンポーネントはカーネルである。

さらに、１つの実施形態では、１つまたは複数のバイナリ・コンポーネントおよび１つまたは複数の署名が、情報報告ブロックの生成に使用される。情報報告ブロックは、少なくとも、１つまたは複数の署名が検証されているかどうかを判定することにおいて採用される。

１つまたは複数の態様に関連するコンピュータ実装方法およびシステムも本明細書に記載され、特許請求される。さらに、１つまたは複数の態様に関連するサービスも本明細書に記載されており、特許請求され得る。

その他の特徴および利点が、本明細書に記載された技術によって実現される。その他の実施形態および態様は、本明細書において詳細に説明され、特許請求される態様の一部と見なされる。

１つまたは複数の態様は、本明細書の最後にある特許請求の範囲において例として具体的に指摘され、明確に特許請求される。前述の内容、ならびに１つまたは複数の態様の目的、特徴、および利点は、添付の図面と併せて行われる以下の詳細な説明から明らかになる。

本発明の１つまたは複数の態様を組み込んで使用するためのコンピューティング環境の一例を示す図である。 本発明の１つまたは複数の態様を組み込んで使用するためのコンピューティング環境の別の例を示す図である。 本発明の１つまたは複数の態様に従って、初期プログラム・ロードおよびブート・プロセスの一例を示す図である。 本発明の１つまたは複数の態様に従って、初期プログラム・ロードおよびブート・プロセスの一例を示す図である。 本発明の１つまたは複数の態様に従って、初期プログラム・ロードおよびブート・プロセスの一例を示す図である。 本発明の態様に従って使用される初期プログラム・ロード（ＩＰＬ：initialprogram load）情報報告ブロックの一例を示す図である。 本発明の態様に従って使用されるＩＰＬ署名証明書リストのＩＰＬ情報ブロックの一例を示す図である。 本発明の態様に従って、図４のＩＰＬ情報ブロックのＩＰＬ署名証明書エントリの一例を示す図である。 本発明の態様に従って使用されるＩＰＬデバイス・コンポーネント・リストのＩＰＬ情報ブロックの一例を示す図である。 本発明の態様に従って、図６のＩＰＬ情報ブロックのＩＰＬデバイス・コンポーネント・エントリの一例を示す図である。 本発明の態様に従って、リストで管理されたＩＰＬデバイスのセキュアＩＰＬを実行するためのプロセスの一例を示す図である。 本発明の態様に従って、ガード・コード・セキュリティ・チェック・プロセスの一例を示す図である。 本発明の１つまたは複数の態様に関連して、コンピューティング環境内の処理を容易にする一実施形態を示す図である。 本発明の１つまたは複数の態様に関連して、コンピューティング環境内の処理を容易にする一実施形態を示す図である。 本発明の１つまたは複数の態様を組み込んで使用するためのコンピューティング環境の別の例を示す図である。 図１１Ａのメモリの詳細をさらに示す図である。 クラウド・コンピューティング環境の一実施形態を示す図である。 抽象モデル・レイヤの一例を示す図である。

本発明の態様に従って、システム・コンポーネントの初期プログラム・ロード（ＩＰＬ）を安全に実行するための能力が提供される。システム・コンポーネントは、例えば、オペレーティング・システムなどのカーネル、あるいは１つまたは複数のコード・コンポーネントを含む、その他のアプリケーション、プログラム、またはコードである。１つの特定の例では、カーネルは、ＩＢＭ Ｚ（Ｒ）サーバまたはＩＢＭ（Ｒ）ＬｉｎｕｘＯＮＥサーバにロードされるＬｉｎｕｘ（Ｒ）カーネルである。しかし、他の例では、他のカーネルもしくはシステム・コンポーネントまたはその両方がロードされてよく、あるいはカーネルもしくはシステム・コンポーネントまたはその両方が、他のサーバ、マシン、プロセッサ、デバイスなどにロードされてよく、あるいはその両方であってもよい。

本発明の１つまたは複数の態様を組み込んで使用するためのコンピューティング環境の一実施形態が、図１Ａを参照して説明される。１つの例では、コンピューティング環境は、インターナショナル・ビジネスマシーンズ・コーポレーション（ニューヨーク州アーモンク）によって提供されるｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）ハードウェア・アーキテクチャに基づく。ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）ハードウェア・アーキテクチャの一実施形態は、“z/Architecture Principles of Operation,” IBM Publication No. SA22-7832-11, September 2017に記載されており、この文献は本明細書において参照によってその全体が本明細書に組み込まれている。ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）ハードウェア・アーキテクチャは単に１つの例示的なアーキテクチャであり、コンピューティング環境は他のアーキテクチャに基づいてよい。

図１に示されているように、コンピューティング環境１００は、例えば、汎用コンピューティング・デバイスの形態で示されるコンピュータ・システム１１２を含んでいる。コンピュータ・システム１１２は、１つまたは複数のバスまたはその他の接続１２０あるいはその両方を介して互いに結合された、１つまたは複数のプロセッサまたはプロセッシング・ユニット１１４（例えば、中央処理装置（ＣＰＵ））、メモリ１１６（例えば、システム・メモリ、メイン・メモリ、主記憶装置、中央記憶装置、またはストレージとも呼ばれる）、および１つまたは複数の入出力（Ｉ／Ｏ：input/output）インターフェイス１１８を含んでよいが、これらに限定されない。

バス１２０は、メモリ・バスまたはメモリ・コントローラ、ペリフェラル・バス、アクセラレーテッド・グラフィックス・ポート、および任意のさまざまなバス・アーキテクチャを使用するプロセッサまたはローカル・バスを含む、任意の複数の種類のバス構造のうちの１つまたは複数を表す。例として、そのようなアーキテクチャは、ＩＳＡ（Industry Standard Architecture）、ＭＣＡ（Micro Channel Architecture）、ＥＩＳＡ（Enhanced ISA）、ＶＥＳＡ（Video Electronics Standards Association）ローカル・バス、およびＰＣＩ（Peripheral Component Interconnects）を含むが、これらに限定されない。

メモリ１１６は、例えば、プロセッサ１１４のローカル・キャッシュ１２３に結合されてよい、共有キャッシュなどのキャッシュ１２２を含んでよい。さらに、メモリ１１６は、１つまたは複数のプログラムまたはアプリケーション１２４、オペレーティング・システム１２６、ファームウェア１２７、および１つまたは複数のコンピュータ可読プログラム命令１２９を含んでよい。コンピュータ可読プログラム命令１２９は、本発明の態様の実施形態の機能を実行するように構成されてよい。

ファームウェア１２７は、プロセッサのマイクロコードまたはシステムのマイクロコードあるいはその両方を含んでよい。ファームウェア１２７は、例えば、上位レベルのマシン・コードの実装において使用される、ハードウェア・レベルの命令またはデータ構造あるいはその両方を含む。１つの実施形態では、ファームウェア１２７は、例えば、信頼できるソフトウェアを含んでいるマイクロコード、または基盤になるハードウェアに固有のマイクロコードとして通常は提供される、システムのハードウェアへのオペレーティング・システムのアクセスを制御する独自のコードを含む。１つの例では、ファームウェア１２７は、本発明の１つまたは複数の態様に従ってＩＰＬ処理（セキュアＩＰＬ処理を含む）において使用されるブート・ローダ１２８を含む。

コンピュータ・システム１１２は、例えばＩ／Ｏインターフェイス１１８を介して、１つまたは複数の外部デバイス１３０、１つまたは複数のネットワーク・インターフェイス１３２、または１つまたは複数のデータ・ストレージ・デバイス１３４、あるいはその組合せと通信してもよい。外部デバイスの例としては、ユーザ端末、テープ・ドライブ、ポインティング・デバイス、ディスプレイなどが挙げられる。１つの特定の例では、外部デバイス１３０は、システム・コンポーネント（例えば、Ｌｉｎｕｘまたはその他のカーネルなどのカーネル）の初期プログラム・ロードに使用されるＩＰＬロード・デバイス１３１である。ネットワーク・インターフェイス１３２は、コンピュータ・システム１１２が、ローカル・エリア・ネットワーク（ＬＡＮ：local area network）、一般的な広域ネットワーク（ＷＡＮ：wide area network）、またはパブリック・ネットワーク（例えば、インターネット）、あるいはその組合せなどの１つまたは複数のネットワークと通信できるようにし、他のコンピューティング・デバイスまたはシステムとの通信を実現する。

データ・ストレージ・デバイス１３４は、１つまたは複数のプログラム１３６、１つまたは複数のコンピュータ可読プログラム命令１３８、またはデータ、あるいはその組合せなどを格納してよい。コンピュータ可読プログラム命令は、本発明の態様の実施形態の機能を実行するように構成されてよい。

コンピュータ・システム１１２は、取り外し可能／取り外し不可、揮発性／不揮発性のコンピュータ・システム・ストレージ媒体を含むか、またはそのようなコンピュータ・システム・ストレージ媒体に結合されるか、あるいはその両方であってよい。例えば、コンピュータ・システム１１２は、取り外し不可、不揮発性の磁気媒体（通常は、「ハード・ドライブ」と呼ばれる）、取り外し可能、不揮発性の磁気ディスク（例えば、「フロッピー（Ｒ）・ディスク」）に対する読み取りと書き込みを行うための磁気ディスク・ドライブ、あるいはＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、またはその他の光媒体などの取り外し可能、不揮発性の光ディスクに対する読み取りと書き込みを行うための光ディスク・ドライブ、あるいはその組合せを含むか、またはこれらに結合されるか、あるいはその両方であってよい。その他のハードウェア・コンポーネントまたはソフトウェア・コンポーネントあるいはその両方を、コンピュータ・システム１１２と併用できるということが理解されるべきである。その例として、マイクロコード、デバイス・ドライバ、冗長プロセッシング・ユニット、外部ディスク・ドライブ・アレイ、ＲＡＩＤシステム、テープ・ドライブ、およびデータ・アーカイブ・ストレージ・システムなどが挙げられるが、これらに限定されない。

コンピュータ・システム１１２は、他の多数の汎用または専用のコンピューティング・システム環境または構成で運用されてよい。コンピュータ・システム１１２での使用に適した周知のコンピューティング・システム、環境、または構成、あるいはその組合せの例としては、パーソナル・コンピュータ（ＰＣ：personal computer）システム、サーバ・コンピュータ・システム、シン・クライアント、シック・クライアント、ハンドヘルドまたはラップトップ・デバイス、マイクロプロセッサ・システム、マイクロプロセッサベース・システム、セット・トップ・ボックス、プログラマブル・コンシューマ・エレクトロニクス、ネットワークＰＣ、ミニコンピュータ・システム、メインフレーム・コンピュータ・システム、およびこれらの任意のシステムまたはデバイスを含む分散クラウド・コンピューティング環境などが挙げられるが、これらに限定されない。

別の実施形態では、コンピューティング環境が論理パーティションまたは仮想マシンあるいはその両方をサポートする。そのような環境の一例が、図１Ｂを参照して説明される。１つの例では、コンピューティング環境１６１は、論理パーティションをサポートする中央処理装置複合体（ＣＰＣ：central processor complex）１６３を含んでいる。中央処理装置複合体１６３は、例えば、１つまたは複数のプロセッサ（中央処理装置（ＣＰＵ：central processing units）とも呼ばれる）１７１および入出力サブシステム１７３に結合されたメモリ１６５（システム・メモリ、メイン・メモリ、主記憶装置、中央記憶装置、ストレージとも呼ばれる）を含んでおり、これらの各々が下で説明される。

メモリ１６５は、例えば、１つまたは複数の論理パーティション１７５、ハイパーバイザ１７７などの論理パーティション・マネージャ、ファームウェア１７９、およびサービス要素１８２を含んでいる。ハイパーバイザ１７７の１つの例は、インターナショナル・ビジネスマシーンズ・コーポレーション（ニューヨーク州アーモンク）によって提供されるＰＲ／ＳＭ（ＴＭ）（プロセッサ・リソース／システム管理機構：Processor Resource/System Manager）である。ハイパーバイザは、ホストと呼ばれることがある。

ファームウェア１７９は、例えば、プロセッサまたはシステムあるいはその両方のマイクロコードを含む。やはりファームウェア１７９は、例えば、上位レベルのマシン・コードの実装において使用される、ハードウェア・レベルの命令またはデータ構造あるいはその両方を含む。１つの実施形態では、ファームウェア１７９は、例えば、信頼できるソフトウェアを含んでいるマイクロコード、または基盤になるハードウェアに固有のマイクロコードとして通常は提供される、システムのハードウェアへのオペレーティング・システムのアクセスを制御する独自のコードを含む。１つの例では、ファームウェア１７９は、本発明の１つまたは複数の態様に従ってＩＰＬ処理（セキュアＩＰＬ処理を含む）において使用されるブート・ローダ１８０を含む。

１つの態様では、１つまたは複数の論理パーティションの一部と見なされるか、または１つまたは複数の論理パーティションに結合されてよい、サービス要素１８２が、本明細書において説明されているように、カーネル（例えば、オペレーティング・システム１８３）の初期プログラム・ロードを容易にするために使用される。

ＣＰＣの論理パーティションのサポートは、多数の論理パーティション１７５を動作させることができるようにし、各論理パーティション１７５は、異なるプログラム１８５で動作し、Ｌｉｎｕｘなどのゲスト・オペレーティング・システム１８３を実行することができる。各論理パーティション１７５は、別々のシステムとして機能することができる。すなわち、各論理パーティションは、独立してリセットされ、ゲスト・オペレーティング・システムを実行し、異なるプログラムで動作することができる。論理パーティション内で実行されるオペレーティング・システムまたはアプリケーション・プログラムは、完全なシステム全体にアクセスできるように見えるが、実際は、その一部のみが利用可能である。

メモリ１６５は、論理パーティションに割り当てることができる物理プロセッサ・リソースであるプロセッサ（例えば、ＣＰＵ）１７１に結合される。例えば、論理パーティション１７５は、１つまたは複数の論理プロセッサを含み、それらの論理プロセッサの各々は、論理パーティションに動的に割り当てることができる物理プロセッサ・リソース１７１の全部または一部を表す。

さらに、メモリ１６５は、入出力（Ｉ／Ｏ）サブシステム１７３に結合される。入出力サブシステム１７３は、入出力制御ユニット１６９およびＩ／Ｏデバイス１６７と主記憶装置１６５の間の情報の流れを管理する。入出力サブシステム１７３は中央処理装置複合体に結合され、この結合において、入出力サブシステム１７３は中央処理装置複合体の一部であるか、または中央処理装置複合体から分離することができる。Ｉ／Ｏデバイス１６７の１つの例は、カーネル（例えば、Ｌｉｎｕｘカーネルまたはその他のカーネル）などのシステム・コンポーネントの初期プログラム・ロードに使用されるＩＰＬロード・デバイス１６８である。

初期プログラム・ロードは、プログラムが指定されたデバイスから読み取られることを引き起こすため、およびそのプログラムの実行を開始するためのメカニズムを提供する。初期プログラム・ロードおよびブート・プロセスを実行するためのさまざまなプロセスが存在する。初期プログラム・ロードおよびブート・プロセスの一例が、図２Ａ～図２Ｃを参照して説明される。１つの実施形態では、図２Ａを参照すると、プロセッサ１１４などのプロセッサ上で実行されているＩＰＬプロセスは、ＩＰＬロード・デバイス１３１などのＩＰＬデバイス２００にアクセスし、図２Ｂに示されているように、それに格納されているブート・ローダ・コード（例えば、Ｌｉｎｕｘブート・ローダ・コード）２０２をメモリ２０４（例えば、メモリ１１６）にロードする。次に、ブート・ローダ・コードが制御し、図２Ｃに示されているように、カーネル（例えば、Ｌｉｎｕｘカーネル）２１０をロードする。ブート・プロセスの終了時に、カーネル（例えば、Ｌｉｎｕｘカーネル）が制御する。

カーネル・インスタンス（例えば、Ｌｉｎｕｘインスタンス）がＬＰＡＲ（例えば、ＬＰＡＲ１７５）内で実行される別の実施形態では、上記のＩＰＬプロセスの代わりに、カーネルが、例えば、サービス要素（例えば、サービス要素１８２）を介して取り外し可能な媒体からメモリ（例えば、メモリ１６５）にコピーされてよい。その他の例も可能である。

１つまたは複数の実施形態では、ブート・ローダ・コード（ブート・ローダとも呼ばれる）が、ロードされるか、コピーされるか、またはその他の方法によってファームウェアに存在し、本発明の態様に従って、カーネルなどのシステム・コンポーネントのセキュアな初期プログラム・ロードの実行において使用される。

初期プログラム・ロードの１つの特定の種類は、リストで管理されたＩＰＬであり、本発明の態様に従って、リストで管理されたＩＰＬがセキュアＩＰＬプロセスにおいて使用される。リストで管理されたＩＰＬメカニズムは、バイナリ・コード・コンポーネント（ＢＣＣ：binary code components）のリストを含んでいるＩＰＬロード・デバイス（例えば、ＩＰＬロード・デバイス１６８）から、およびサービス要素（ＳＥ：service element）（例えば、サービス要素１８２）を介して取得された署名証明書から、カーネル（例えば、Ｌｉｎｕｘカーネル）のＩＰＬを実行するために使用される。１つの例では、バイナリ・コード・コンポーネントおよび署名証明書は、一緒にパッケージ化されず、カーネルのＩＰＬを実行するために任意の順序で実行され得る。したがって、特定のバイナリ・コード・コンポーネントのパッケージ形式は使用されず、このようにしてパッケージの柔軟性および容易な将来の拡張を実現する。

ＩＰロード・デバイスおよびサービス要素から取得された情報に基づいて、ＩＰＬ情報報告ブロック（ＩＩＲＢ：IPL information report block）が生成され、セキュアＩＰＬを実行するために使用される。ＩＰＬ情報報告ブロックは、さまざまなＩＰＬレコードの位置を特定するため、およびＩＰＬロード・デバイスの１つまたは複数のセキュアなコンポーネントの署名検証結果を報告するために使用される情報を含む。一例として、ＩＩＲＢは、ＩＰＬ署名証明書（ＩＳＣ：IPL signature certificate）リストおよびＩＰＬデバイス・コンポーネント（ＩＤＣ：IPL device component）リストという、２つの異なる種類のリストを含む。

初期プログラム・ロード（ＩＰＬ）情報報告ブロック（ＩＩＲＢ）の一例が、図３を参照して説明される。１つの例では、ＩＰＬ情報報告ブロック３００（ＩＰＬ情報報告ブロックとも呼ばれる）が、ＩＰＬ情報報告ブロック・ヘッダー３０２（ＩＰＬ情報報告ブロック・ヘッダーとも呼ばれる）および１つまたは複数のＩＰＬ情報ブロック３０４を含んでいる。ＩＰＬ情報報告ブロック・ヘッダー３０２は、例えば、ＩＩＲＢの長さを示す長さフィールド、および選択されたＩＰＬパラメータのバージョン番号を指定するバージョン・フィールドを含む。他の例では、ＩＰＬ情報報告ブロック・ヘッダー３０２は、１つまたは複数のフラグ、あるいは他の、追加の、もしくはより少ない、またはその組合せの情報、あるいはその両方を含む。

１つまたは複数のＩＰＬ情報ブロック３０４は、１つの例では、ＩＰＬ情報報告ブロック・ヘッダー３０２の後に続く。例えば、ＩＰＬ署名証明書リストを識別するＩＰＬ情報ブロックの種類、およびＩＰＬデバイス・コンポーネント・リストを識別するＩＰＬ情報ブロックの別の種類を含む、複数の種類のＩＰＬ情報ブロックが存在する。各ＩＰＬ情報ブロックは、共通ヘッダーと、それに続く１つまたは複数の特定の種類のＩＰＬ情報ブロック・エントリを含む。

図４～７を参照して、ＩＰＬ情報ブロックに関する詳細がさらに説明される。例えば、図４～図５は、ＩＰＬ署名証明書リストのＩＰＬ情報ブロックに関連する情報の一例を示しており、図６～図７は、ＩＰＬデバイス・コンポーネント・リストのＩＰＬ情報ブロックに関連する情報の一例を示しており、これらの各々が下で説明される。

図４を参照して、ＩＰＬ署名証明書リスト（ＩＳＣ：IPL signature certificate list）のＩＰＬ情報ブロックの一例が説明される。１つの例では、ＩＰＬ署名証明書リスト４００のＩＰＬ情報ブロックは、例えば、１つまたは複数のカーネル配布者（例えば、Ｌｉｎｕｘ配布者）からのＸ．５０９証明書のリストを含む。Ｘ．５０９は、公開鍵証明書の形式を定義する規格である。１つまたは複数のＸ．５０９証明書が、署名されたコンポーネントを検証するために使用されてよい。

１つの例では、ＩＰＬ署名証明書リスト４００のＩＰＬ情報ブロックは、ＩＰＬ情報ブロック・ヘッダー４０２などのヘッダー、およびＩＰＬ署名証明書エントリ０～Ｘ４０４などの１つまたは複数のエントリを含む。ＩＰＬ情報ブロック・ヘッダー４０２は、例えば、ＩＰＬ情報ブロックの長さを示す長さフィールド、およびＩＰＬ情報ブロックの種類を示す種類フィールドを含む（例えば、１の値はＩＰＬ署名証明書リストを指定し、２の値はＩＰＬデバイス・コンポーネント・リストを指定する）。ＩＰＬ署名証明書エントリの詳細が、図５を参照してさらに説明される。

図５を参照すると、１つの例では、ＩＰＬ署名証明書エントリ４０４が、例えば、Ｘ．５０９証明書の例えば絶対ストレージ位置を指定する６４ビット符号なし２進整数であるＩＰＬ署名証明書アドレスを含むＩＰＬ署名証明書アドレス・フィールド５００と、例えば、Ｘ．５０９証明書内のバイト数を指定する６４ビット符号なし２進整数であるＩＰＬ情報証明書の長さを含むＩＰＬ署名証明書長さフィールド５０２とを含んでいる。

上で示されたように、ＩＰＬ署名証明書リストのＩＰＬ情報ブロックに加えて、１つの実施形態では、ＩＰＬデバイス・コンポーネント・リスト（ＩＤＣ）のＩＰＬ情報ブロックが存在する。ＩＰＬデバイス・コンポーネント・リストは、例えば、バイナリ・コード・コンポーネント（ＢＣＣ）を含む２つの種類（署名されていないバイナリ・コード・コンポーネントおよび署名されたバイナリ・コード・コンポーネント）、および署名された署名コンポーネント（ＳＣＣ：signed signature components）を含む第３の種類を含んでいる、３つの種類のＩＰＬデバイス・コンポーネント・エントリを含んでよい。１つまたは複数の署名されたバイナリ・コード・コンポーネントまたは署名されていないバイナリ・コード・コンポーネントあるいはその両方が存在することができる。各署名されたバイナリ・コード・コンポーネントは、カーネル配布者（例えば、Ｌｉｎｕｘ配布者）によって、署名されたバイナリ・コード・コンポーネントに署名したときに生成された、対応する署名された署名コンポーネントを含む。署名された署名コンポーネントおよび署名されたバイナリ・コード・コンポーネントは対を形成し、１つの例では、署名された署名コンポーネント・エントリが、署名されたバイナリ・コード・コンポーネント・エントリの直前に存在する。この形式は、最初に、ブート・ローダが署名された署名コンポーネントの位置を特定できるようにし、その後、次のコンポーネント・エントリ（後方／逆向きの連鎖は不要である）で、署名されたバイナリ・コード・コンポーネントを容易に見つけることができ、現在のエントリにある署名の検証に使用することができる。

ＩＰＬデバイス・コンポーネントのＩＰＬ情報ブロックの一例が、図６を参照して説明される。図６を参照すると、１つの例では、ＩＰＬデバイス・コンポーネント・リスト６００のＩＰＬ情報ブロックは、ＩＰＬ情報ブロック・ヘッダー６０２などのヘッダー、およびＩＰＬデバイス・コンポーネント・エントリ０～Ｘ６０４などの１つまたは複数のエントリを含む。ＩＰＬ情報ブロック・ヘッダー６０２は、例えば、ＩＰＬ情報ブロックの長さを示す長さフィールド、およびＩＰＬ情報ブロックの種類を示す種類フィールドを含む（例えば、１の値はＩＰＬ署名証明書リストを指定し、２の値はＩＰＬデバイス・コンポーネント・リストを指定する）。ＩＰＬデバイス・コンポーネント・エントリの詳細が、図７を参照してさらに説明される。

図７を参照すると、１つの例では、ＩＰＬデバイス・コンポーネント・エントリ６０４が例えば以下を含んでいる。

＊ 例えばコンポーネントのバイナリ・コードの絶対ストレージ位置を指定する、例えば６４ビット符号なし２進整数であるＩＰＬデバイス・コンポーネント・アドレスを含んでいるＩＰＬデバイス・コンポーネント・アドレス・フィールド７００。

＊ コンポーネントのバイナリ・コード内のバイト数を指定する、例えば６４ビット符号なし２進整数であるＩＰＬデバイス・コンポーネントの長さを含んでいるＩＰＬデバイス・コンポーネント長さフィールド７０２。

＊ 例えば以下のフラグなどの複数のフラグを含んでいるＩＰＬデバイス・コンポーネント・フラグ（ＤＣＦ：device component flags）フィールド７０４。

＊ 署名されたコンポーネント（ＳＣ：Signed component）フラグ（例えば、ビット０）。１である場合、コンポーネントのバイナリ・コードが署名されており、０である場合、コンポーネントのバイナリ・コードが署名されていない。

＊ コンポーネント署名検証済み（ＣＳＶ：Component signature verified）フラグ（例えば、ビット１）。１である場合、コンポーネントの署名検証が成功していることを示し、０である場合、コンポーネントの署名検証が失敗していることを示す。１つの例では、ＳＣフラグが１に設定されている場合にのみ、ＣＳＶが意味を持つ。ＳＣが０に設定される場合、ＣＳＶフラグも０に設定される。

＊ この署名されたコンポーネントを検証するために使用されたＸ．５０９証明書を含んでいるＩＰＬ署名証明書エントリのインデックスを指定する、例えば１６ビット符号なし２進整数を含んでいるＩＰＬ署名証明書インデックス（ＳＣＩ：signature certificate index）フィールド７０６。１つの例では、ＳＣビットが１に設定されている場合にのみ、ＳＣＩフィールドが意味を持ち、コンポーネントのバイナリ・コードが署名されていることを示す。署名されたバイナリ・コード・コンポーネントの検証が成功した場合、署名されたバイナリ・コード・コンポーネントの成功した検証に使用された証明書を含んでいるＩＰＬ署名証明書（ＩＳＣ）エントリのインデックスが、署名されたバイナリ・コード・コンポーネント・エントリのＳＣＩフィールドに保存される。

１つの実施形態では、ＩＰＬ情報ブロックを使用してセキュアＩＰＬ処理を実行するために、ブート・ローダは、（例えば、メモリ、レジスタなどの選択された位置に格納された）セキュアＩＰＬ（ＳＩＰＬ：secure IPL）フラグが（例えば、ＳＥのＩＰＬパネルを介してセキュアＩＰＬオプションを選択することによって）例えば１に設定された場合に、少なくとも１つの署名された署名コンポーネントと署名されたバイナリ・コード・コンポーネントの対が存在することを検証する。１つまたは複数の署名されていないバイナリ・コード・コンポーネントが存在してもよく、１つまたは複数の署名された署名コンポーネントと署名されたバイナリ・コード・コンポーネントの対と混在してよい。

ブート・ローダは、署名された署名コンポーネントと署名されたバイナリ・コード・コンポーネントの対を検出した場合、ＩＰＬ署名証明書（ＩＳＣ）リストを通過し、カーネル配布者（例えば、Ｌｉｎｕｘ配布者）のうちの１つから取得されたＸ．５０９証明書から公開鍵を１つずつ抽出し、署名検証が成功するまで、または配布者から取得されたすべての公開鍵がテストされ、どの公開鍵も署名を検証できないという状態になるまで、公開鍵を使用して、署名されたバイナリ・コード・コンポーネントの検証を試みる。

署名された署名エントリの後に続くエントリが署名されたバイナリ・コードを含んでいないか、またはバイナリ・コードが、署名を生成するために使用されたバイナリ・コードでない場合、ＣＳＶフラグが例えば０に設定される。

さらに説明するために、１つの例では、ＩＰＬロード・デバイス（例えば、ＩＰＬロード・デバイス１３１またはＩＰＬロード・デバイス１６８あるいはその両方）が、リストで管理されたＩＰＬの間に使用される固定ブロック直接アクセス・ロード・デバイス（fixed-block direct-access load device）である。固定ブロック直接アクセス・ロード・デバイスは、例えば、論理ブロックと呼ばれる同じサイズのデータ・ブロックを含んでいるデバイスである。デバイス上の各論理ブロックは、例えば０から開始して、連続的に番号付けされる。論理ブロックのアドレスは、論理ブロック・アドレス（ＬＢＡ：logical block address）と呼ばれる。

１つの実施形態では、最大３１個のプログラムをロード・デバイスに格納することができる。リストで管理されたＩＰＬの間にロードされるプログラムを選択する手段、およびロード・デバイス上のプログラム・コードの位置が、以下で定義される。

データは、ロード・デバイス上でブート・レコードおよび単一ブロック・テーブルの階層に構造化される。ブート・レコードは、デバイスをＩＰＬデバイスとして識別し、プログラム・テーブルを指し示す。

プログラム・テーブルは、例えば最大３１個のプログラムに対応する、例えば最大３１個のポインタのセットである。各ポインタは、リストで管理されたＩＰＬの間にロードされるプログラムのプログラム・コンポーネントを指定する、コンポーネント・テーブルの論理ブロック・アドレスを含む。単一のリストで管理されたＩＰＬ動作において、１つの例では、１つのプログラムのみがロードされ、１つのコンポーネント・テーブルのみが使用される。リストで管理されたＩＰＬ動作の間にロードされるプログラムは、リストで管理されたＩＰＬの入力パラメータのうちの１つである。

コンポーネント・テーブルはエントリのセットを含み、これらのエントリの各々は、ロード・デバイス上のプログラムの位置を示すポインタのリンク・リストである、コンポーネントの論理ブロック・アドレスを示す。コンポーネント・テーブル内の各エントリは、コンポーネントの種類、およびコンポーネントが格納される論理パーティションまたは仮想マシンのストレージ内の位置も含む。コンポーネントの種類の例としては、以下が挙げられる（他の例も可能である）。

ｘ^∪０１^∪ コードｘ^∪０１^∪は、コンポーネント・テーブル・エントリをコンポーネント・テーブル内の最後のエントリとして識別するために使用される。このエントリの後に続くコンポーネント・テーブルの内容は無視される。ＳＩＰＬフラグが１である場合、ロード・アドレス／ロードＰＳＷ／署名情報フィールド（例えば、コンポーネント・エントリのバイト２４～３１）が、有効なＰＳＷを含み、署名されたバイナリ・コード・コンポーネントの先頭を指し示す。

ｘ^∪０２^∪ コードｘ^∪０２^∪は、コンポーネントをロードされるバイナリ・コードとして指定する。ｘ^∪０２^∪タイプのコンポーネント・エントリがｘ^∪０３^∪タイプのコンポーネント・エントリの直後に存在する場合、バイナリ・コードは署名されたバイナリ・コードであり、そうでない場合、バイナリ・コードは署名されたバイナリ・コードではない。

１つの例では、ＳＩＰＬが１に設定され、ｘ^∪０２^∪タイプのコンポーネント・エントリがｘ^∪０３^∪タイプのコンポーネント・エントリの直後に存在し、バイナリ・コードがディスクのブロック・サイズの倍数でない場合、ディスクのブロックの未使用の部分に０が埋め込まれ、バイナリ・コードの署名を生成するときに、埋め込まれたバイトが使用される。

ｘ^∪０３^∪ コードｘ^∪０３^∪は、コンポーネント・テーブル・エントリを署名情報エントリとして識別するために使用され、次のコンポーネント・テーブル・エントリの署名されたバイナリ・コードの署名を含む。したがって、次のコンポーネント・テーブル・エントリは、署名されたバイナリ・コードを含むｘ^∪０２^∪タイプのコンポーネント・テーブル・エントリであり、この署名されたバイナリ・コードの署名が、配布者から取得された証明書のうちの１つからの公開鍵を使用して検証される。

コンポーネント内のポインタのリストは、セグメント・テーブルと呼ばれる。セグメント・テーブルは、リストで管理されたＩＰＬの間にロードされるデータのセグメントを指し示すポインタを含む。

したがって、１つの例では、次のコンポーネント・テーブル・エントリのセグメント・テーブルが署名されたバイナリ・コードを含まないか、またはバイナリ・コードが、現在のコンポーネント・テーブル・エントリのセグメント・テーブル内の署名を生成するために使用されたバイナリ・コードではない場合、ＩＰＬデバイス・コンポーネント・エントリ内のコンポーネント署名検証済み（ＣＳＶ）フラグが例えば０に設定され、ブート・ローダによるコンポーネントの署名検証が成功しなかったことを示す。そうでない場合、コンポーネント署名検証済みフラグが１に設定され、ブート・ローダによるコンポーネントの署名検証が成功したことを示す。ＣＳＶフラグは、どのバイナリ・コード・コンポーネントが署名検証エラーを含んでいるかを決定することにおいて役立つ。

セキュアＩＰＬフラグが例えば１に設定された場合、ブート・ローダは、署名検証が成功した場合にのみＩＰＬプロセスを継続する。そうではなく、このフラグが例えば０に設定された場合、ブート・ローダは、署名検証が成功しなかった場合でもＩＰＬプロセスを継続する。後者は、セキュアＩＰＬプロセスのテスト中に役立つ。

さらに、上で示されたように、１つの実施形態では、最後のコンポーネント・エントリ（ＦＣＥ：final component entry）と呼ばれるコンポーネント・テーブル内のコンポーネント・エントリが存在する。ＳＩＰＬフラグが例えば１である場合、最後のコンポーネント・エントリは、有効なＰＳＷを含み、第１の署名されたバイナリ・コード・コンポーネント（ＢＣＣ）の先頭を指し示す。各署名されたバイナリ・コード・コンポーネントおよび署名されていないバイナリ・コード・コンポーネントは、バイナリ・コード・コンポーネントの最上部にガード・コードを含み、ＩＰＬロード・デバイス（ＩＬＤ）イメージがＩＰＬロード・デバイス内で適切に設定されているかどうか、およびＦＣＥ内のＰＳＷが第１の署名されたバイナリ・コード・コンポーネント（例えば、ステージ３のブート・ローダ）の先頭を指し示しているかどうかを検出するように設計されている。そのような設計は、コンポーネント・エントリのいずれかが、意図的に、または意図せずに、アプリケーション・プログラムによって改ざんされているかどうかを検出することもできるであろう。

実行された第１のバイナリ・コード・コンポーネントのガード・コードは、１つまたは複数のセキュリティ・チェックに基づいて、ＩＰＬプロセスを継続するか、またはＩＰＬプロセスを終了する。

１つの選択肢は、ｖａｌｉｄ＿ｓｔａｒｔ＿ＰＳＷ（プログラム状態ワード）などのフラグなどのインジケータを例えば０に初期化することである。第１の署名されたバイナリ・コード・コンポーネントのガード・コードは、呼び出された場合、ＦＣＥのＰＳＷポインタをチェックし、ＰＳＷがそれ自身の署名されたコードの先頭を指し示しているかどうかを判定する。指し示している場合、ｖａｌｉｄ＿ｓｔａｒｔ＿ＰＳＷフラグが例えば１に設定される。そうでない場合、処理が（無効待機ＰＳＷ（disable wait PSW））トラップ・コードに入り、ＩＰＬプロセスを終了する。他の（署名された、および署名されていない）コンポーネント（例えば、すべてのコンポーネント）は、ｖａｌｉｄ＿ｓｔａｒｔ＿ＰＳＷフラグをチェックする。ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグが例えば１に設定された場合、処理が（無効待機ＰＳＷ）トラップ・コードを回避し、ＩＰＬプロセスを継続する。そうでない場合、処理が（無効待機ＰＳＷ）トラップ・コードに入り、ＩＰＬプロセスを終了する。

ガード・コードの別の選択肢は、ＩＰＬ情報報告ブロックの内容を検査し、それらの内容が適切に設定されているかどうかを判定することである。それらが適切に設定されている場合、ガード・コードはＩＰＬプロセスを継続する。そうでない場合、処理が（無効待機ＰＳＷ）トラップ・コードに入り、ＩＰＬプロセスを終了する。妥当性が確認され得る項目は、例えば、少なくとも１つの署名されたバイナリ・コード・コンポーネントが存在すること、各署名されたバイナリ・コード・コンポーネントが署名された署名コンポーネントに対応していること、各署名された署名コンポーネント・エントリが署名されたバイナリ・コード・コンポーネント・エントリの直前に存在すること、およびカーネル配布者によって、署名されたバイナリ・コード・コンポーネントに署名したときに生成された各署名された署名コンポーネントが、有効な署名された署名コンポーネントであること、である。追加の項目、より少ない項目、または異なる項目、あるいはその組合せの妥当性が確認されてよい。

さらに、セキュアＩＰＬプロセスの詳細が、図８～図９を参照してさらに説明される。例えば、図８は、セキュアな初期プログラム・ロードおよびブート・プロセスの一例を示しており、図９は、ガード・コードの処理を示しており、これらの各々が下でさらに説明される。

最初に図８を参照すると、例えば初期プログラム・ロード・デバイスからロードされたセキュア・ブート・イメージ（例えば、１つまたは複数の署名されたバイナリ・コード・コンポーネントまたは署名されていないバイナリ・コード・コンポーネントあるいはその両方を含んでいるＬｉｎｕｘブート・イメージ）、および例えばサービス要素（ＳＥ）を介して署名証明書からロードされた署名が使用され、ＩＰＬ情報報告ブロック（例えば、ＩＰＬ情報報告ブロック（ＩＩＲＢ）３００）を生成する（ステップ８００）。ブート・ローダは、ＳＥのＩＰＬパネルを介してセキュアＩＰＬ（ＳＩＰＬ）フラグが例えば１に設定された場合に、少なくとも１つの署名された署名コンポーネントと署名されたバイナリ・コード・コンポーネントの対が存在することを検証する（ステップ８０２）。

ブート・ローダは、ＩＤＣリストを通過し、署名された署名コンポーネントと署名されたバイナリ・コード・コンポーネントの対を検索する（ステップ８０４）。対が検出されたかどうかに関する判定が行われる（照会８０６）。対が検出されなかった場合、その他のコンポーネントが存在するかどうかに関する判定がさらに行われる（照会８０８）。その他のコンポーネントが存在する場合、処理がステップ８０４を続行する。しかし、その他のコンポーネントが存在しない場合、処理が、下で説明されるガード・コード・セキュリティ・チェック・プロセスを続行する（ステップ８１８）。

照会８０６に戻り、対が検出された場合、ブート・ローダがＩＳＣリストを通過し、カーネル（例えば、Ｌｉｎｕｘ）配布者のうちの１つから取得されたＸ．５０９証明書から公開鍵を抽出し、署名検証が成功するか、またはすべての公開鍵がテストされるまで、公開鍵を使用して、署名されたバイナリ・コード・コンポーネントの検証を試みる（ステップ８１０）。署名が検証されたかどうかに関する判定が行われる（照会８１２）。署名が検証された場合、コンポーネント署名検証済み（ＣＳＶ）フラグが例えば１に設定される（ステップ８１４）。その後、その他のコンポーネントが存在するかどうかに関する判定が行われる（照会８１６）。その他のコンポーネントが存在する場合、処理がステップ８０４を続行する。そうでない場合、処理が下で説明されるステップ８１８を続行する。

照会８１２に戻り、署名が検証されなかった場合、コンポーネント署名検証済み（ＣＳＶ）フラグが例えば０に設定される（ステップ８２０）。さらに、このＩＰＬがセキュアＩＰＬになるかどうかに関する判定が行われる（照会８２２）。このＩＰＬがセキュアＩＰＬになる場合、ＩＰＬプロセスが終了され（ステップ８２４）、処理が終了する（ステップ８２６）。

照会８２２に戻り、このＩＰＬがセキュアＩＰＬにならない場合、その他のコンポーネントが存在するかどうかに関する判定が行われる（照会８１６）。その他のコンポーネントが存在する場合、処理がステップ８０４を続行する。そうでない場合、処理がガード・コード・セキュリティ・チェック・プロセスを続行する（ステップ８１８）。

ガード・コード・セキュリティ・チェック・プロセスの一例が、図９を参照して説明される。１つの例では、ブート・ローダが、Ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグなどのインジケータを０に初期化する（ステップ９００）。プログラム状態ワード（ＰＳＷ）は、１つの例では、状態を格納するレジスタまたはその他の位置であり、プログラム・カウンタとして機能する。さらに、ブート・ローダは、制御を、ロードされたＰＳＷによって指し示されたバイナリ・コードに移す（ステップ９０２）。さらに、ブート・ローダは、ロードＰＳＷポインタから開始して、バイナリ・コード・コンポーネントを通過する（ステップ９０４）。

このＩＰＬがセキュアＩＰＬになるかどうかに関する判定が行われる（照会９０６）。このＩＰＬがセキュアＩＰＬである場合、このコンポーネントが第１の署名されたコンポーネントであるかどうかに関する判定が行われる（照会９０８）。このコンポーネントが第１の署名されたコンポーネントである場合、ロードされたＰＳＷがそれ自身（第１の署名されたコンポーネント）を指し示しているかどうかに関する判定がさらに行われる（照会９１０）。ロードされたＰＳＷがそれ自身（第１の署名されたコンポーネント）を指し示していない場合、処理がトラップ・コード（例えば、無効待機ＰＳＷ）に入り、ＩＰＬプロセスを終了する（ステップ９１２）。その後、処理が終了する（ステップ９１４）。

照会９１０に戻り、ロードされたＰＳＷがそれ自身（第１の署名されたコンポーネント）を指し示している場合、Ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグが例えば１に設定され、ＩＰＬプロセスが継続する（ステップ９１６）。その他のコンポーネントが存在するかどうかに関する判定が行われる（照会９１８）。その他のコンポーネントが存在する場合、処理がステップ９０４を続行する。そうではなく、その他のコンポーネントが存在しない場合、ＩＰＬが成功し（ステップ９２０）、処理が終了する（ステップ９１４）。

照会９０８に戻り、このコンポーネントが第１の署名されたコンポーネントでない場合、Ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグが例えば１に設定されているかどうかに関する判定がさらに行われる（照会９２２）。Ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグが１に設定されていない場合、処理がトラップ・コード（無効待機ＰＳＷ）に入り、ＩＰＬプロセスが終了される（ステップ９２４）。そうではなく、Ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグが例えば１に設定されている場合、トラップ・コードが回避され、ＩＰＬプロセスが継続する（ステップ９２６）。処理は照会９１８を続行する。

照会９０６に戻り、このＩＰＬがセキュアＩＰＬでない場合、Ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグが例えば１に設定され、ＩＰＬプロセスが継続する（ステップ９２６）。処理は照会９１８を続行する。

本明細書において説明されているように、１つまたは複数の態様では、コード・コンポーネントのパッケージの柔軟性を実現するために、署名されたコード・コンポーネントおよび署名されていないコード・コンポーネントが、任意の順序で出現することができる。コード・コンポーネントは、特定の順序でパッケージ化される必要はない。コード・コンポーネントは、任意の順序で（ディスクおよびメイン・メモリに）格納することができ、任意の順序で実行されてよい。また、新しい順序がないコンポーネントを、将来、容易に追加して維持することができる。したがって、順序がない実装は、特定のパッケージ形式に縛られること、およびパッケージの複雑さを防ぐ。

ブート・ローダは、ＩＰＬロード・デバイスからロードされたすべてのコードおよびデータ・ブロックを検証し、セキュリティの向上を実現する。ブート・ローダは、例えば、署名を検証し、コンポーネントの重複がないことを検証し、ＩＰＬロード・デバイスからロードされた初期ロードＰＳＷが有効であることを検証する。

ＰＳＷは、セキュアＩＰＬを実行してセキュリティの向上を実現するためのガード・コードを含んでいる署名されたコード・コンポーネントを指し示す。実行された第１のコンポーネントのガード・コードは、１つまたは複数のセキュリティ・チェックに基づいて、ＩＰＬプロセスを継続するか、またはＩＰＬプロセスを終了する。１つの選択肢は、Ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグを０に初期化することである。第１の署名されたコンポーネントのガード・コードは、呼び出された場合、０１タイプのエントリ（ＰＳポインタを含んでいる）をチェックし、ＰＳＷがそれ自身の署名されたコードの先頭を指し示しているかどうかを確認する。指し示している場合、Ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグが１に設定される。そうでない場合、処理が（無効待機ＰＳＷ）トラップ・コードに入り、ＩＰＬプロセスを終了する。他のすべての（署名された、および署名されていない）コンポーネントは、Ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグをチェックする。Ｖａｌｉｄ＿Ｓｔａｒｔ＿ＰＳＷフラグが１に設定された場合、処理が（無効待機ＰＳＷ）トラップ・コードを回避し、ＩＰＬプロセスを継続する。そうでない場合、処理が（無効待機ＰＳＷ）トラップ・コードに入り、ＩＰＬプロセスを終了する。別の選択肢は、ＩＰＬ情報報告ブロックを検査し、何が発生したかを調べることである。

コード・コンポーネントおよび対応する署名コンポーネントは、関連する新しい種類のコンポーネントを将来追加できるようにするために、別々になっている。例えば、コンポーネントの種類がさらに追加されてよい。署名を含む特定のコード形式には依存しない。ＩＰＬごとに、将来使用されることがある２つ以上の証明書の使用が許容される。例えば、ブート・ボリュームは、さまざまなコンポーネント（例えば、ステージ３のブート・ローダ、さまざまなカーネル、さまざまなパラメータ・リスト、さまざまなＲＡＭ（random access memory：ランダム・アクセス・メモリ）ディスク）を含んでよく、それらのコンポーネントから選択されたコンポーネントが起動され得る。この選択は、ブート・メニューを介して実行され、異なるコンポーネントを異なる時間に準備し、異なる鍵を使用して署名することができ（例えば、異なる鍵によって異なるコンポーネントに署名できるように、古い（署名済みの安定した）レスキュー・カーネル、ならびにより新しい標準カーネルおよび新しいレベル３のブート・ローダが存在することがある）、ｚＩＰＬは、署名鍵がまだ有効である限り、古いコンポーネントに再び署名することを必要とせずに、ブート・プロセスのコンポーネントの組合せを許容する。これによって、さまざまな所有者／ベンダーからのさまざまなコンポーネントの組合せ（例えば、あるベンダーからのカーネルおよび別のベンダーからのソフトウェア・ブート・ローダ）も可能にする。

本明細書において説明されているように、署名検証の設定は、例えば、別個のリスト内の異なるベンダーからの２つ以上の証明書を含んでよく、署名およびコンポーネントが別々のエントリ（例えば、タイプ３＋タイプ２）であり、署名がコンポーネント（タイプ３＋タイプ２）と対にされ、署名検証の設定は、攻撃に対する追加された保護のためのガード・コードをバイナリ・コード・コンポーネントに含んでよく、複数の署名されたバイナリ・コード・セクションおよび署名されていないバイナリ・コード・セクションが、どのような種類の構造も有さずに存在してよく、ブート・ローダが２つ以上の証明書（署名されたコード・セクションごとに１つ）を必要として／使用してよく、またはブート・ローダが、署名されたコード・セクションの署名に一致する証明書を検出するために、証明書を（１つずつ）テストし、一致した証明書のインデックスを署名されたコンポーネント・リストに格納し、あるいはこれらの組合せが実行される。

本発明の１つまたは複数の態様は、コンピュータ技術に密接に関係しており、コンピュータ内の処理を容易にし、その性能を改善する。１つまたは複数の態様では、セキュアＩＰＬロード・プロセスを提供することによって、セキュリティが強化され、処理が容易になる。本発明の１つまたは複数の態様に関連している、コンピューティング環境内の処理を容易にする一実施形態の詳細が、図１０Ａ～図１０Ｂを参照してさらに説明される。

図１０Ａを参照すると、一実施形態では、コンピューティング環境のシステム・コンポーネント（例えば、カーネル）の初期プログラム・ロードが実行される（１０００）。初期プログラム・ロードを実行することは、システム・コンポーネントに関連する１つまたは複数の署名されたバイナリ・コード・コンポーネントの１つまたは複数の署名が検証されているかどうかを判定することを含む（１００２）。１つまたは複数の署名が検証されているということの決定に基づいて、追加の検証が実行される（１００４）。追加の検証を実行することは、例えば、システム・コンポーネントに関連する１つまたは複数のバイナリ・コード・コンポーネントのうちの選択されたバイナリ・コード・コンポーネントを取得することと（１００６）、選択されたバイナリ・コード・コンポーネントが、１つまたは複数のバイナリ・コード・コンポーネントに関する特定の署名されたバイナリ・コード・コンポーネント（例えば、第１の署名されたバイナリ・コード・コンポーネント）であるかどうかを判定することと（１００８）を含む。選択されたバイナリ・コード・コンポーネントが特定の署名されたバイナリ・コード・コンポーネントであるということの決定に基づいて、チェックが実行される（１０１０）。チェックの成功に基づいて、初期プログラム・ロードの実行が継続する（１０１２）。

カーネルなどのシステム・コンポーネントのセキュアな初期プログラム・ロードが提供され、コンピューティング環境内のセキュリティを強化し、コンピューティング環境内の処理を容易にする。

１つの実施形態では、１つまたは複数のバイナリ・コード・コンポーネントが、１つまたは複数の署名されたバイナリ・コード・コンポーネントおよび１つまたは複数の署名されていないバイナリ・コード・コンポーネントを含み、１つまたは複数のバイナリ・コード・コンポーネントが順序不同である（１０１４）。順序を必要としないことにより、パッケージが柔軟になり、パッケージの複雑さが軽減される。これによって、デバイス・コンポーネントをさらに追加することなどを可能にする。

１つの例として、１つまたは複数の署名が、１つまたは複数の署名されたバイナリ・コード・コンポーネントとは別に格納される（１０１６）。これによって、セキュリティを強化する。

１つの例では、選択されたバイナリ・コード・コンポーネントを取得することが、制御位置（例えば、プログラム状態ワード）でのポインタに基づいて、選択されたバイナリ・コード・コンポーネントを選択することを含む（１０１８）。

１つの例として、図１０Ｂを参照すると、チェックを実行することは、ポインタがそれ自身（例えば、第１の署名されたコンポーネント）を指し示しているかどうかを判定することを含み、ポインタがそれ自身を指し示していることに基づいて、チェックが成功する（１０２０）。

さらに、１つの例では、チェックの成功に基づいて、有効インジケータが、選択された値に設定される（１０２２）。

１つの実施形態では、初期プログラム・ロードの実行を継続することが、別のバイナリ・コード・コンポーネントを取得することと（１０２４）、別のバイナリ・コード・コンポーネントを取得することに基づいて、有効インジケータが選択された値に設定されているかどうかを判定することと（１０２６）、有効インジケータが選択された値に設定されているということの決定に基づいて、処理される他のバイナリ・コード・コンポーネントが存在することに基づいて取得することおよび判定することを繰り返すこととを含む（１０２８）。

１つの例では、初期プログラム・ロードの実行を継続することが、有効インジケータが選択された値以外の値に設定されているということの決定に基づいて、初期プログラム・ロードを終了することを含む（１０３０）。

１つの例では、追加の検証を実行することが、セキュアな初期プログラム・ロードが実行されるかどうかを判定することと（１０３２）、セキュアな初期プログラム・ロードが実行されるということの決定に基づいて、バイナリ・コード・コンポーネントが、１つまたは複数のバイナリ・コード・コンポーネントに関する特定の署名されたバイナリ・コード・コンポーネントであるかどうかの判定を実行することと（１０３４）をさらに含む。

さらに、１つの実施形態では、１つまたは複数のバイナリ・コンポーネントおよび１つまたは複数の署名を使用して、情報報告ブロックが生成される（１０３６）。情報報告ブロックは、少なくとも、１つまたは複数の署名が検証されているかどうかを判定することにおいて採用される（１０３８）。

その他の変形および実施形態が可能である。

エミュレーション環境を含むが、これに限定されない、その他の種類のコンピューティング環境が、本発明の１つまたは複数の態様を組み込んで使用してもよく、その例が、図１１Ａを参照して説明される。この例では、コンピューティング環境３５は、例えば、１つまたは複数のバス４３またはその他の接続あるいはその両方を介して互いに結合された、ネイティブ中央処理装置（ＣＰＵ）３７、メモリ３９、および１つまたは複数の入出力デバイスまたはインターフェイスあるいはその両方４１を含む。例えば、コンピューティング環境３５は、インターナショナル・ビジネスマシーンズ・コーポレーション（ニューヨーク州アーモンク）によって提供されるＰｏｗｅｒＰＣ（Ｒ）プロセッサ、あるいはインターナショナル・ビジネスマシーンズ・コーポレーション、インテル、またはその他の企業によって提供されるアーキテクチャに基づくその他のマシン、あるいはその組合せを含んでよい。

ネイティブ中央処理装置３７は、環境内で処理中に使用される１つまたは複数の汎用レジスタまたは１つまたは複数の専用レジスタあるいはその両方などの、１つまたは複数のネイティブ・レジスタ４５を含む。これらのレジスタは、いずれかの特定の時点での環境の状態を表す情報を含む。

さらに、ネイティブ中央処理装置３７は、メモリ３９に格納された命令およびコードを実行する。１つの特定の例では、中央処理装置は、メモリ３９に格納されたエミュレータ・コード４７を実行する。このコードは、あるアーキテクチャで構成されたコンピューティング環境が、別のアーキテクチャをエミュレートできるようにする。例えば、エミュレータ・コード４７は、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）ハードウェア・アーキテクチャ以外のアーキテクチャに基づくマシン（ＰｏｗｅｒＰＣ（Ｒ）プロセッサ、またはその他のサーバもしくはプロセッサなど）が、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）ハードウェア・アーキテクチャをエミュレートし、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）ハードウェア・アーキテクチャに基づいて開発されたソフトウェアおよび命令を実行できるようにする。

エミュレータ・コード４７に関連する詳細が、図１１Ｂを参照してさらに説明される。メモリ３９に格納されたゲスト命令４９は、ネイティブＣＰＵ３７のアーキテクチャ以外のアーキテクチャにおいて実行されるように開発された（例えば、マシン命令と相互関係がある）ソフトウェア命令を含む。例えば、ゲスト命令４９は、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）ハードウェア・アーキテクチャ・プロセッサ上で実行するように設計されていてよいが、代わりに、例えばインテル・プロセッサであってよい、ネイティブＣＰＵ３７上でエミュレートされる。１つの例では、エミュレータ・コード４７は、メモリ３９から１つまたは複数のゲスト命令４９を取得するため、および取得された命令のローカル・バッファリングを任意選択的に提供するための命令フェッチ・ルーチン５１を含む。エミュレータ・コード４７は、取得されたゲスト命令の種類を決定するため、およびゲスト命令を、１つまたは複数の対応するネイティブ命令５５に変換するための命令変換ルーチン５３も含む。この変換は、例えば、ゲスト命令によって実行される機能を識別すること、およびこの機能を実行するためのネイティブ命令を選択することを含む。

さらに、エミュレータ・コード４７は、ネイティブ命令の実行を引き起こすためのエミュレーション制御ルーチン５７を含む。エミュレーション制御ルーチン５７は、ネイティブＣＰＵ３７に、１つまたは複数のすでに取得されたゲスト命令をエミュレートするネイティブ命令のルーチンを実行させ、そのような実行の終了時に、次のゲスト命令またはゲスト命令のグループの取得をエミュレートするために、制御を命令フェッチ・ルーチンに返してよい。ネイティブ命令５５の実行は、データをメモリ３９からレジスタにロードすること、データをレジスタからメモリに再び格納すること、あるいは変換ルーチンによって決定された何らかの種類の算術演算または論理演算を実行することを含んでよい。

例えば、各ルーチンは、メモリに格納されてネイティブ中央処理装置３７によって実行されるソフトウェアにおいて実装される。他の例では、ルーチンまたは動作のうちの１つまたは複数は、ファームウェア、ハードウェア、ソフトウェア、またはこれらの何らかの組合せにおいて実装される。エミュレートされたプロセッサのレジスタは、ネイティブＣＰＵのレジスタ４５を使用して、またはメモリ３９内の位置を使用することによって、エミュレートされてよい。実施形態では、ゲスト命令４９、ネイティブ命令５５、およびエミュレータ・コード３７は、同じメモリ内に存在してよく、または異なるメモリ・デバイス間で分配されてよい。

ＩＢＭ、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ、ＩＢＭ Ｚ、ｚ／ＯＳ、ＰＲ／ＳＭ、およびＰｏｗｅｒＰＣは、少なくとも１つの管轄区域内のインターナショナル・ビジネスマシーンズ・コーポレーションの商標または登録商標である。インテルおよびＩｔａｎｉｕｍは、米国およびその他の国における、インテル社またはその子会社の商標または登録商標である。Ｌｉｎｕｘは、米国またはその他の国あるいはその両方における、リーナス・トーバルズ（Linus Torvalds）の登録商標である。

１つまたは複数の態様がクラウド・コンピューティングに関連してよい。

本開示にはクラウド・コンピューティングに関する詳細な説明が含まれているが、本明細書において示された教示の実装は、クラウド・コンピューティング環境に限定されないと理解されるべきである。むしろ、本発明の実施形態は、現在既知であるか、または今後開発される任意のその他の種類のコンピューティング環境と組み合わせて実装できる。

クラウド・コンピューティングは、構成可能な計算リソース（例えば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共有プールへの便利なオンデマンドのネットワーク・アクセスを可能にするためのサービス提供モデルであり、管理上の手間またはサービス・プロバイダとのやりとりを最小限に抑えて、これらのリソースを迅速にプロビジョニングおよび解放することができる。このクラウド・モデルは、少なくとも５つの特徴、少なくとも３つのサービス・モデル、および少なくとも４つの展開モデルを含むことができる。

特徴は、次のとおりである。

オンデマンドのセルフ・サービス：クラウドの利用者は、サーバの時間およびネットワーク・ストレージなどの計算能力を一方的に、サービス・プロバイダとの人間的なやりとりを必要とせず、必要に応じて自動的にプロビジョニングすることができる。

幅広いネットワーク・アクセス：クラウドの能力は、ネットワークを経由して利用可能であり、標準的なメカニズムを使用してアクセスできるため、異種のシン・クライアントまたはシック・クライアント・プラットフォーム（例えば、携帯電話、ラップトップ、およびＰＤＡ）による利用を促進する。

リソース・プール：プロバイダの計算リソースは、プールされ、マルチテナント・モデルを使用して複数の利用者に提供される。さまざまな物理的および仮想的リソースが、要求に従って動的に割り当ておよび再割り当てされる。場所に依存しないという感覚があり、利用者は通常、提供されるリソースの正確な場所に関して管理することも知ることもないが、さらに高い抽象レベルでは、場所（例えば、国、州、またはデータセンター）を指定できる場合がある。

迅速な順応性：クラウドの能力は、迅速かつ柔軟に、場合によっては自動的にプロビジョニングされ、素早くスケールアウトし、迅速に解放されて素早くスケールインすることができる。プロビジョニングに使用できる能力は、利用者には、多くの場合、任意の量をいつでも無制限に購入できるように見える。

測定されるサービス：クラウド・システムは、計測機能を活用することによって、サービスの種類（例えば、ストレージ、処理、帯域幅、およびアクティブなユーザのアカウント）に適した抽象レベルで、リソースの使用を自動的に制御および最適化する。リソースの使用量は監視、制御、および報告することができ、利用されるサービスのプロバイダと利用者の両方に透明性が提供される。

サービス・モデルは、次のとおりである。

ＳａａＳ（Software as a Service）：利用者に提供される能力は、クラウド・インフラストラクチャ上で稼働しているプロバイダのアプリケーションの利用である。それらのアプリケーションは、Ｗｅｂブラウザ（例えば、Ｗｅｂベースの電子メール）などのシン・クライアント・インターフェイスを介して、さまざまなクライアント・デバイスからアクセスできる。利用者は、ネットワーク、サーバ、オペレーティング・システム、ストレージ、または個々のアプリケーション機能を含む基盤になるクラウド・インフラストラクチャを、限定的なユーザ固有のアプリケーション構成設定を行う可能性を除き、管理することも制御することもない。

ＰａａＳ（Platform as a Service）：利用者に提供される能力は、プロバイダによってサポートされるプログラミング言語およびツールを使用して作成された、利用者が作成または取得したアプリケーションをクラウド・インフラストラクチャにデプロイすることである。利用者は、ネットワーク、サーバ、オペレーティング・システム、またはストレージを含む基盤になるクラウド・インフラストラクチャを管理することも制御することもないが、デプロイされたアプリケーション、および場合によってはアプリケーション・ホスティング環境の構成を制御することができる。

ＩａａＳ（Infrastructure as a Service）：利用者に提供される能力は、処理、ストレージ、ネットワーク、およびその他の基本的な計算リソースのプロビジョニングであり、利用者は、オペレーティング・システムおよびアプリケーションを含むことができる任意のソフトウェアをデプロイして実行できる。利用者は、基盤になるクラウド・インフラストラクチャを管理することも制御することもないが、オペレーティング・システム、ストレージ、デプロイされたアプリケーションを制御することができ、場合によっては、選択されたネットワーク・コンポーネント（例えば、ホスト・ファイアウォール）を限定的に制御できる。

展開モデルは、次のとおりである。

プライベート・クラウド：このクラウド・インフラストラクチャは、組織のためにのみ運用される。この組織またはサード・パーティによって管理することができ、オンプレミスまたはオフプレミスに存在することができる。

コミュニティ・クラウド：このクラウド・インフラストラクチャは、複数の組織によって共有され、関心事（例えば、任務、セキュリティ要件、ポリシー、およびコンプライアンスに関する考慮事項）を共有している特定のコミュニティをサポートする。これらの組織またはサード・パーティによって管理することができ、オンプレミスまたはオフプレミスに存在することができる。

パブリック・クラウド：このクラウド・インフラストラクチャは、一般ユーザまたは大規模な業界団体が使用できるようになっており、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：このクラウド・インフラストラクチャは、データとアプリケーションの移植を可能にする標準化された技術または独自の技術（例えば、クラウド間の負荷バランスを調整するためのクラウド・バースト）によって固有の実体を残したまま互いに結合された２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の複合である。

クラウド・コンピューティング環境は、ステートレス、疎結合、モジュール性、および意味的相互運用性に重点を置いたサービス指向の環境である。クラウド・コンピューティングの中心になるのは、相互接続されたノードのネットワークを含んでいるインフラストラクチャである。

ここで図１２を参照すると、例示的なクラウド・コンピューティング環境５０が示されている。図示されているように、クラウド・コンピューティング環境５０は、クラウドの利用者によって使用されるローカル・コンピューティング・デバイス（例えば、パーソナル・デジタル・アシスタント（ＰＤＡ：personal digital assistant）または携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車コンピュータ・システム５４Ｎ、あるいはその組合せなど）が通信できる１つまたは複数のクラウド・コンピューティング・ノード５２を含んでいる。ノード５２は、互いに通信してよい。ノード５２は、１つまたは複数のネットワーク内で、本明細書において前述されたプライベート・クラウド、コミュニティ・クラウド、パブリック・クラウド、またはハイブリッド・クラウド、あるいはこれらの組合せなどに、物理的または仮想的にグループ化されてよい（図示されていない）。これによって、クラウド・コンピューティング環境５０は、クラウドの利用者がローカル・コンピューティング・デバイス上でリソースを維持する必要のないインフラストラクチャ、プラットフォーム、またはＳａａＳ、あるいはその組合せを提供できる。図１２に示されたコンピューティング・デバイス５４Ａ～Ｎの種類は、例示のみが意図されており、コンピューティング・ノード５２およびクラウド・コンピューティング環境５０は、任意の種類のネットワークまたはネットワーク・アドレス可能な接続（例えば、Ｗｅｂブラウザを使用した接続）あるいはその両方を経由して任意の種類のコンピュータ制御デバイスと通信することができると理解される。

ここで図１３を参照すると、クラウド・コンピューティング環境５０（図１２）によって提供される機能的抽象レイヤのセットが示されている。図１３に示されたコンポーネント、レイヤ、および機能は、例示のみが意図されており、本発明の実施形態がこれらに限定されないということが、あらかじめ理解されるべきである。図示されているように、次のレイヤおよび対応する機能が提供される。

ハードウェアおよびソフトウェア・レイヤ６０は、ハードウェア・コンポーネントおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例は、メインフレーム６１、ＲＩＳＣ（Reduced Instruction Set Computer）アーキテクチャベースのサーバ６２、サーバ６３、ブレード・サーバ６４、ストレージ・デバイス６５、ならびにネットワークおよびネットワーク・コンポーネント６６を含む。一部の実施形態では、ソフトウェア・コンポーネントは、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。

仮想化レイヤ７０は、仮想サーバ７１、仮想ストレージ７２、仮想プライベート・ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５などの仮想的実体を提供できる抽象レイヤを備える。

一例を挙げると、管理レイヤ８０は、以下で説明される機能を提供することができる。リソース・プロビジョニング８１は、クラウド・コンピューティング環境内でタスクを実行するために利用される計算リソースおよびその他のリソースの動的調達を行う。計測および価格設定８２は、クラウド・コンピューティング環境内でリソースが利用される際のコスト追跡、およびそれらのリソースの利用に対する請求書の作成と送付を行う。一例を挙げると、それらのリソースは、アプリケーション・ソフトウェア・ライセンスを含んでよい。セキュリティは、クラウドの利用者およびタスクのＩＤ検証を行うとともに、データおよびその他のリソースの保護を行う。ユーザ・ポータル８３は、クラウド・コンピューティング環境へのアクセスを利用者およびシステム管理者に提供する。サービス・レベル管理８４は、必要なサービス・レベルを満たすように、クラウドの計算リソースの割り当てと管理を行う。サービス水準合意（ＳＬＡ：Service Level Agreement）計画および実行８５は、今後の要求が予想されるクラウドの計算リソースの事前準備および調達を、ＳＬＡに従って行う。

ワークロード・レイヤ９０は、クラウド・コンピューティング環境で利用できる機能の例を示している。このレイヤから提供されてよいワークロードおよび機能の例としては、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想クラスルーム教育の配信９３、データ解析処理９４、トランザクション処理９５、およびセキュアＩＰＬ処理９６が挙げられる。

本発明の態様は、任意の可能な統合の技術的詳細レベルで、システム、方法、またはコンピュータ・プログラム製品、あるいはその組合せであってよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を含んでいるコンピュータ可読ストレージ媒体を含んでよい。

コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持および格納できる有形のデバイスであることができる。コンピュータ可読ストレージ媒体は、例えば、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁ストレージ・デバイス、半導体ストレージ・デバイス、またはこれらの任意の適切な組合せであってよいが、これらに限定されない。コンピュータ可読ストレージ媒体のさらに具体的な例の非網羅的リストは、ポータブル・フロッピー（Ｒ）・ディスク、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ：random access memory）、読み取り専用メモリ（ＲＯＭ：read-only memory）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ：erasable programmable read-only memoryまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：static random access memory）、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ－ＲＯＭ：compact disc read-only memory）、デジタル多用途ディスク（ＤＶＤ：digital versatile disk）、メモリ・スティック、フロッピー（Ｒ）・ディスク、パンチカードまたは命令が記録されている溝の中の隆起構造などの機械的にエンコードされるデバイス、およびこれらの任意の適切な組合せを含む。本明細書において使用されるとき、コンピュータ可読ストレージ媒体は、それ自体が、電波またはその他の自由に伝搬する電磁波、導波管またはその他の送信媒体を伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、あるいはワイヤを介して送信される電気信号などの一過性の信号であると解釈されるべきではない。

本明細書に記載されたコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体から各コンピューティング・デバイス／処理デバイスへ、またはネットワーク（例えば、インターネット、ローカル・エリア・ネットワーク、広域ネットワーク、または無線ネットワーク、あるいはその組合せ）を介して外部コンピュータまたは外部ストレージ・デバイスへダウンロードされ得る。このネットワークは、銅伝送ケーブル、光伝送ファイバ、無線送信、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組合せを備えてよい。各コンピューティング・デバイス／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェイスは、コンピュータ可読プログラム命令をネットワークから受信し、それらのコンピュータ可読プログラム命令を各コンピューティング・デバイス／処理デバイス内のコンピュータ可読記憶媒体に格納するために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：instruction-set-architecture）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、あるいは、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同様のプログラミング言語などの手続き型プログラミング言語を含む１つまたは複数のプログラミング言語の任意の組合せで記述されたソース・コードまたはオブジェクト・コードであってよい。コンピュータ可読プログラム命令は、ユーザのコンピュータ上で全体的に実行すること、ユーザのコンピュータ上でスタンドアロン・ソフトウェア・パッケージとして部分的に実行すること、ユーザのコンピュータ上およびリモート・コンピュータ上でそれぞれ部分的に実行すること、あるいはリモート・コンピュータ上またはサーバ上で全体的に実行することができる。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ：local area network）または広域ネットワーク（ＷＡＮ：wide area network）を含む任意の種類のネットワークを介してユーザのコンピュータに接続されてよく、または接続は、（例えば、インターネット・サービス・プロバイダを使用してインターネットを介して）外部コンピュータに対して行われてよい。一部の実施形態では、本発明の態様を実行するために、例えばプログラマブル論理回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ：field-programmable gate arrays）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：programmable logic arrays）を含む電子回路は、コンピュータ可読プログラム命令の状態情報を利用することによって、電子回路をカスタマイズするためのコンピュータ可読プログラム命令を実行してよい。

本発明の態様は、本明細書において、本発明の実施形態に従って、方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図またはブロック図あるいはその両方を参照して説明される。フローチャート図またはブロック図あるいはその両方の各ブロック、ならびにフローチャート図またはブロック図あるいはその両方に含まれるブロックの組合せが、コンピュータ可読プログラム命令によって実装され得るということが理解されるであろう。

これらのコンピュータ可読プログラム命令は、コンピュータまたはその他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令が、フローチャートまたはブロック図あるいはその両方のブロックに指定される機能／動作を実施する手段を作り出すべく、汎用コンピュータ、専用コンピュータ、または他のプログラム可能なデータ処理装置のプロセッサに提供されてマシンを作り出すものであってよい。これらのコンピュータ可読プログラム命令は、命令が格納されたコンピュータ可読ストレージ媒体がフローチャートまたはブロック図あるいはその両方のブロックに指定される機能／動作の態様を実施する命令を含んでいる製品を備えるように、コンピュータ可読ストレージ媒体に格納され、コンピュータ、プログラム可能なデータ処理装置、または他のデバイス、あるいはその組合せに特定の方式で機能するように指示できるものであってもよい。

コンピュータ可読プログラム命令は、コンピュータ上、その他のプログラム可能な装置上、またはその他のデバイス上で実行される命令が、フローチャートまたはブロック図あるいはその両方のブロックに指定される機能／動作を実施するように、コンピュータ、その他のプログラム可能なデータ処理装置、またはその他のデバイスにロードされ、コンピュータ上、その他のプログラム可能な装置上、またはコンピュータ実装プロセスを生成するその他のデバイス上で一連の動作可能なステップを実行させるものであってもよい。

図内のフローチャートおよびブロック図は、本発明のさまざまな実施形態に従って、システム、方法、およびコンピュータ・プログラム製品の可能な実装のアーキテクチャ、機能、および動作を示す。これに関連して、フローチャートまたはブロック図内の各ブロックは、規定された論理機能を実装するための１つまたは複数の実行可能な命令を備える、命令のモジュール、セグメント、または部分を表してよい。一部の代替の実装では、ブロックに示された機能は、図に示された順序とは異なる順序で発生してよい。例えば、連続して示された２つのブロックは、実際には、含まれている機能に応じて、実質的に同時に実行されるか、または場合によっては逆の順序で実行されてよい。ブロック図またはフローチャート図あるいはその両方の各ブロック、ならびにブロック図またはフローチャート図あるいはその両方に含まれるブロックの組合せは、規定された機能または動作を実行するか、または専用ハードウェアとコンピュータ命令の組合せを実行する専用ハードウェアベースのシステムによって実装され得るということにも注意する。

上に加えて、顧客の環境の管理を提供するサービス・プロバイダによって、１つまたは複数の態様が提供されること、提示されること、デプロイされること、管理されること、サービス提供されることなどが行われてよい。例えば、サービス・プロバイダは、１人または複数人の顧客のために１つまたは複数の態様を実行するコンピュータ・コードまたはコンピュータ・インフラストラクチャあるいはその両方を作成すること、維持すること、サポートすることなどを行うことができる。その見返りとして、サービス・プロバイダは、例えばサブスクリプションまたは料金契約あるいはその両方の下で、顧客から支払いを受け取ってよい。追加または代替として、サービス・プロバイダは、１つまたは複数のサード・パーティへの広告コンテンツの販売から支払いを受け取ってよい。

１つの態様では、１つまたは複数の実施形態を実行するために、アプリケーションがデプロイされてよい。１つの例として、アプリケーションのデプロイは、１つまたは複数の実施形態を実行するよう機能するコンピュータ・インフラストラクチャを提供することを含む。

さらに別の態様として、コンピュータ可読コードをコンピューティング・システムに統合することを含むコンピューティング・インフラストラクチャがデプロイされてよく、このコンピューティング・インフラストラクチャでは、コンピューティング・システムと組み合わせたコードが、１つまたは複数の実施形態を実行できる。

さらに別の態様として、コンピュータ可読コードをコンピュータ・システムに統合することを含んでいる、コンピューティング・インフラストラクチャを統合するためのプロセスが提供されてよい。コンピュータ・システムは、コンピュータ可読媒体を備え、このコンピュータ可読媒体では、コンピュータ媒体が１つまたは複数の実施形態を含む。コンピュータ・システムと組み合わせたコードは、１つまたは複数の実施形態を実行できる。

上ではさまざまな実施形態が説明されたが、それらは単なる例である。例えば、１つまたは複数の実施形態を組み込んで使用するために、他のアーキテクチャのコンピューティング環境が使用され得る。さらに、さまざまな命令または動作が使用されてよい。さらに、さまざまなブート・プロセスが使用されてよい。多くの変形が可能である。

さらに、他の種類のコンピューティング環境が、恩恵を受けることができ、使用され得る。一例として、プログラム・コードの格納または実行あるいはその両方を行うのに適した、システム・バスを介して直接的または間接的にメモリ素子に結合された少なくとも２つのプロセッサを含んでいる、データ処理システムを使用できる。これらのメモリ素子は、例えば、プログラム・コードの実際の実行時に使用されるローカル・メモリ、バルク・ストレージ、および実行時にバルク・ストレージからコードが取得されなければならない回数を減らすために少なくとも一部のプログラム・コードを一時的に格納するキャッシュ・メモリを含む。

入出力デバイスまたはＩ／Ｏデバイス（キーボード、ディスプレイ、ポインティング・デバイス、ＤＡＳＤ、テープ、ＣＤ、ＤＶＤ、サム・ドライブ、およびその他の記憶媒体などを含むが、これらに限定されない）は、直接的に、または介在するＩ／Ｏコントローラを通じて、システムに結合できる。ネットワーク・アダプタがシステムに結合され、介在するプライベート・ネットワークまたはパブリック・ネットワークを通じて、データ処理システムを、他のデータ処理システムまたはリモート・プリンタまたはストレージ・デバイスに結合できるようにしてもよい。モデム、ケーブル・モデム、およびイーサネット（Ｒ）・カードは、使用可能なネットワーク・アダプタのうちの、ごくわずかの種類にすぎない。

本明細書で使用される用語は、特定の実施形態を説明することのみを目的としており、制限することを意図していない。本明細書において使用されるとき、単数形「ある（ａ）」、「１つの（ａｎ）」、および「その（ｔｈｅ）」は、特に明示的に示されない限り、複数形も含むことが意図されている。「備える（ｃｏｍｐｒｉｓｅ）」または「備えている（ｃｏｍｐｒｉｓｉｎｇ）」あるいはその両方の用語は、本明細書で使用される場合、記載された機能、整数、ステップ、動作、要素、またはコンポーネント、あるいはその組合せの存在を示すが、１つまたは複数のその他の機能、整数、ステップ、動作、要素、コンポーネント、またはこれらのグループ、あるいはその組合せの存在または追加を除外していないということが、さらに理解されるであろう。

特許請求の範囲内のすべてのミーンズまたはステップ・プラス・ファンクション要素の対応する構造、材料、動作、および等価なものは、もしあれば、具体的に特許請求されるとき、その他の特許請求される要素と組み合わせて機能を実行するための任意の構造、材料、または動作を含むことが意図されている。１つまたは複数の実施形態の説明は、例示および説明の目的で提示されているが、網羅的であることは意図されておらず、開示された形態に限定されない。多くの変更および変形が可能であるということは、当業者にとって明らかであろう。さまざまな態様および実際的な適用を最も適切に説明するため、および他の当業者が、企図されている特定の用途に適しているようなさまざまな変更を伴う多様な実施形態を理解できるようにするために、実施形態が選択されて説明された。

Claims (17)

1. コンピューティング環境内の処理を容易にするためのコンピュータ・プログラムであって、
   コンピュータに、前記コンピューティング環境のシステム・コンポーネントの初期プログラム・ロードを実行させることを含み、前記初期プログラム・ロードを実行することが、
   前記システム・コンポーネントに関連する１つまたは複数の署名されたバイナリ・コード・コンポーネントの１つまたは複数の署名が検証されているかどうかを判定することと、
   前記１つまたは複数の署名が検証されているということの決定に基づいて、追加の検証を実行することとを含み、前記追加の検証を実行することが、
   前記システム・コンポーネントに関連する１つまたは複数のバイナリ・コード・コンポーネントのうちの選択されたバイナリ・コード・コンポーネントを取得することと、
   前記選択されたバイナリ・コード・コンポーネントが、前記１つまたは複数のバイナリ・コード・コンポーネントに関する特定の署名されたバイナリ・コード・コンポーネントであるかどうかを判定することと、
   前記選択されたバイナリ・コード・コンポーネントが前記特定の署名されたバイナリ・コード・コンポーネントであるということの決定に基づいてチェックを実行することと、
   チェックの成功に基づいて、前記初期プログラム・ロードの実行を継続することとを含み、
   前記選択されたバイナリ・コード・コンポーネントを取得することが、制御位置でのポインタに基づいて前記選択されたバイナリ・コード・コンポーネントを選択することを含む、
   コンピュータ・プログラム。
2. 前記１つまたは複数のバイナリ・コード・コンポーネントが、前記１つまたは複数の署名されたバイナリ・コード・コンポーネントおよび１つまたは複数の署名されていないバイナリ・コード・コンポーネントを含み、前記１つまたは複数のバイナリ・コード・コンポーネントが順序不同である、請求項１に記載のコンピュータ・プログラム。
3. 前記１つまたは複数の署名が、前記１つまたは複数の署名されたバイナリ・コード・コンポーネントとは別に格納される、請求項１に記載のコンピュータ・プログラム。
4. 前記制御位置がプログラム状態ワードである、請求項１に記載のコンピュータ・プログラム。
5. 前記チェックを実行することが、前記ポインタがそれ自身を指し示しているかどうかを判定することを含み、前記ポインタがそれ自身を指し示していることに基づいて前記チェックが成功する、請求項１に記載のコンピュータ・プログラム。
6. 前記チェックの成功に基づいて、有効インジケータが、選択された値に設定される、請求項１に記載のコンピュータ・プログラム。
7. 前記初期プログラム・ロードの実行を継続することが、
   別のバイナリ・コード・コンポーネントを取得することと、
   前記別のバイナリ・コード・コンポーネントを取得することに基づいて、前記有効インジケータが前記選択された値に設定されているかどうかを判定することと、
   前記有効インジケータが前記選択された値に設定されているということの決定に基づいて、処理される他のバイナリ・コード・コンポーネントが存在することに基づいて前記取得することおよび前記判定することを繰り返すこととを含む、請求項６に記載のコンピュータ・プログラム。
8. 前記初期プログラム・ロードの実行を継続することが、前記有効インジケータが前記選択された値以外の値に設定されているということの決定に基づいて前記初期プログラム・ロードを終了することを含む、請求項７に記載のコンピュータ・プログラム。
9. 前記追加の検証を実行することが、
   セキュアな初期プログラム・ロードが実行されるかどうかを判定することと、
   前記セキュアな初期プログラム・ロードが実行されるということの決定に基づいて、前記選択されたバイナリ・コード・コンポーネントが、前記１つまたは複数のバイナリ・コード・コンポーネントに関する前記特定の署名されたバイナリ・コード・コンポーネントであるかどうかの前記判定を実行することとをさらに含む、請求項１に記載のコンピュータ・プログラム。
10. コンピューティング環境内の処理を容易にするためのコンピュータ・プログラムであって、
    コンピュータに、前記コンピューティング環境のシステム・コンポーネントの初期プログラム・ロードを実行させることを含み、前記初期プログラム・ロードを実行することが、
    前記システム・コンポーネントに関連する１つまたは複数の署名されたバイナリ・コード・コンポーネントの１つまたは複数の署名が検証されているかどうかを判定することと、
    前記１つまたは複数の署名が検証されているということの決定に基づいて、追加の検証を実行することとを含み、前記追加の検証を実行することが、
    前記システム・コンポーネントに関連する１つまたは複数のバイナリ・コード・コンポーネントのうちの選択されたバイナリ・コード・コンポーネントを取得することと、
    前記選択されたバイナリ・コード・コンポーネントが、前記１つまたは複数のバイナリ・コード・コンポーネントに関する特定の署名されたバイナリ・コード・コンポーネントであるかどうかを判定することと、
    前記選択されたバイナリ・コード・コンポーネントが前記特定の署名されたバイナリ・コード・コンポーネントであるということの決定に基づいてチェックを実行することと、
    チェックの成功に基づいて、前記初期プログラム・ロードの実行を継続することとを含み、
    前記特定の署名されたバイナリ・コード・コンポーネントが、前記１つまたは複数のバイナリ・コード・コンポーネントのうちの第１の署名されたバイナリ・コード・コンポーネントである、コンピュータ・プログラム。
11. 前記システム・コンポーネントがカーネルである、請求項１に記載のコンピュータ・プログラム。
12. 前記初期プログラム・ロードを実行することが、
    前記１つまたは複数のバイナリ・コンポーネントおよび前記１つまたは複数の署名を使用して情報報告ブロックを生成することと、
    前記情報報告ブロックを、少なくとも、前記１つまたは複数の署名が検証されているかどうかを判定することにおいて採用することと
    をさらに含む、請求項１に記載のコンピュータ・プログラム。
13. コンピューティング環境内の処理を容易にするためのコンピュータ・システムであって、前記コンピュータ・システムが、
    メモリと、
    前記メモリと通信するプロセッサとを備えており、前記コンピュータ・システムが方法を実行するように構成されており、前記方法が、
    前記コンピューティング環境のシステム・コンポーネントの初期プログラム・ロードを実行することを含み、前記初期プログラム・ロードを実行することが、
    前記システム・コンポーネントに関連する１つまたは複数の署名されたバイナリ・コード・コンポーネントの１つまたは複数の署名が検証されているかどうかを判定することと、
    前記１つまたは複数の署名が検証されているということの決定に基づいて、追加の検証を実行することとを含み、前記追加の検証を実行することが、
    前記システム・コンポーネントに関連する１つまたは複数のバイナリ・コード・コンポーネントのうちの選択されたバイナリ・コード・コンポーネントを取得することと、
    前記選択されたバイナリ・コード・コンポーネントが、前記１つまたは複数のバイナリ・コード・コンポーネントに関する特定の署名されたバイナリ・コード・コンポーネントであるかどうかを判定することと、
    前記選択されたバイナリ・コード・コンポーネントが前記特定の署名されたバイナリ・コード・コンポーネントであるということの決定に基づいてチェックを実行することと、
    チェックの成功に基づいて、前記初期プログラム・ロードの実行を継続することとを含み、
    前記選択されたバイナリ・コード・コンポーネントを取得することが、制御位置でのポインタに基づいて前記選択されたバイナリ・コード・コンポーネントを選択することを含む、
    コンピュータ・システム。
14. 前記チェックを実行することが、前記ポインタがそれ自身を指し示しているかどうかを判定することを含み、前記ポインタがそれ自身を指し示していることに基づいて前記チェックが成功する、請求項１３に記載のコンピュータ・システム。
15. コンピューティング環境内の処理を容易にするためのコンピュータ・システムであって、前記コンピュータ・システムが、
    メモリと、
    前記メモリと通信するプロセッサとを備えており、前記コンピュータ・システムが方法を実行するように構成されており、前記方法が、
    前記コンピューティング環境のシステム・コンポーネントの初期プログラム・ロードを実行することを含み、前記初期プログラム・ロードを実行することが、
    前記システム・コンポーネントに関連する１つまたは複数の署名されたバイナリ・コード・コンポーネントの１つまたは複数の署名が検証されているかどうかを判定することと、
    前記１つまたは複数の署名が検証されているということの決定に基づいて、追加の検証を実行することとを含み、前記追加の検証を実行することが、
    前記システム・コンポーネントに関連する１つまたは複数のバイナリ・コード・コンポーネントのうちの選択されたバイナリ・コード・コンポーネントを取得することと、
    前記選択されたバイナリ・コード・コンポーネントが、前記１つまたは複数のバイナリ・コード・コンポーネントに関する特定の署名されたバイナリ・コード・コンポーネントであるかどうかを判定することと、
    前記選択されたバイナリ・コード・コンポーネントが前記特定の署名されたバイナリ・コード・コンポーネントであるということの決定に基づいてチェックを実行することと、
    チェックの成功に基づいて、前記初期プログラム・ロードの実行を継続することとを含み、
    前記特定の署名されたバイナリ・コード・コンポーネントが、前記１つまたは複数のバイナリ・コード・コンポーネントのうちの第１の署名されたバイナリ・コード・コンポーネントである、請求項１３に記載のコンピュータ・システム。
16. コンピューティング環境内の処理を容易にするコンピュータ実装方法であって、前記コンピュータ実装方法が、
    前記コンピューティング環境のシステム・コンポーネントの初期プログラム・ロードを実行することを含み、前記初期プログラム・ロードを実行することが、
    前記システム・コンポーネントに関連する１つまたは複数の署名されたバイナリ・コード・コンポーネントの１つまたは複数の署名が検証されているかどうかを判定することと、
    前記１つまたは複数の署名が検証されているということの決定に基づいて、追加の検証を実行することとを含み、前記追加の検証を実行することが、
    前記システム・コンポーネントに関連する１つまたは複数のバイナリ・コード・コンポーネントのうちの選択されたバイナリ・コード・コンポーネントを取得することと、
    前記選択されたバイナリ・コード・コンポーネントが、前記１つまたは複数のバイナリ・コード・コンポーネントに関する特定の署名されたバイナリ・コード・コンポーネントであるかどうかを判定することと、
    前記選択されたバイナリ・コード・コンポーネントが前記特定の署名されたバイナリ・コード・コンポーネントであるということの決定に基づいてチェックを実行することと、
    チェックの成功に基づいて、前記初期プログラム・ロードの実行を継続することとを含み、
    前記チェックを実行することが、ポインタがそれ自身を指し示しているかどうかを判定することを含み、前記ポインタがそれ自身を指し示していることに基づいて前記チェックが成功する、
    コンピュータ実装方法。
17. コンピューティング環境内の処理を容易にするコンピュータ実装方法であって、前記コンピュータ実装方法が、
    前記コンピューティング環境のシステム・コンポーネントの初期プログラム・ロードを実行することを含み、前記初期プログラム・ロードを実行することが、
    前記システム・コンポーネントに関連する１つまたは複数の署名されたバイナリ・コード・コンポーネントの１つまたは複数の署名が検証されているかどうかを判定することと、
    前記１つまたは複数の署名が検証されているということの決定に基づいて、追加の検証を実行することとを含み、前記追加の検証を実行することが、
    前記システム・コンポーネントに関連する１つまたは複数のバイナリ・コード・コンポーネントのうちの選択されたバイナリ・コード・コンポーネントを取得することと、
    前記選択されたバイナリ・コード・コンポーネントが、前記１つまたは複数のバイナリ・コード・コンポーネントに関する特定の署名されたバイナリ・コード・コンポーネントであるかどうかを判定することと、
    前記選択されたバイナリ・コード・コンポーネントが前記特定の署名されたバイナリ・コード・コンポーネントであるということの決定に基づいてチェックを実行することと、
    チェックの成功に基づいて、前記初期プログラム・ロードの実行を継続することとを含み、
    前記特定の署名されたバイナリ・コード・コンポーネントが、前記１つまたは複数のバイナリ・コード・コンポーネントのうちの第１の署名されたバイナリ・コード・コンポーネントである、コンピュータ実装方法。

Images