为了优化群集特定配置的使用而按进程类型在群集之间分割进程的制作方法

分案申请的相关信息

本案是分案申请。该分案的母案是申请日为2011年07月01日、申请号为201180038399.7、发明名称为“用于虚拟化及云安全性的系统和方法”的发明专利申请案。

本申请案主张2010年7月1日申请的题目为“用于云安全性管理的系统和方法(asystemandmethodforcloudsecuritymanagement)”的第61/360,658号临时申请案的优先权，所述案以引用的方式完全并入本文中。

本方法及系统涉及计算机系统，且更明确来说，涉及虚拟化及云安全性。

背景技术：

在计算中，虚拟化是建立某些对象(例如，硬件平台、操作系统、存储装置或网络资源)的虚拟(而非实际)版本。

虚拟化是企业it的整体趋势的部分，企业it包括：自主计算，其为it环境将能够基于所感知的活动来管理其自身的一情形；及公用程序计算，其中计算机处理能力被视为客户端可仅在需要时支付以获得的公用程序。虚拟化的常见目标是使管理任务集中化，同时改善可调整性及工作负载。

使用高速个人计算机及智能型移动装置的大量用户的聚集显著增加虚拟化环境中所需的包处理性能。对每一包的处理是区分及保障服务所必要的。绿色计算正变为限制电力消耗所必须的。又，必须缩短基础结构部署调度以实现较快收益产生。

包括多核心cpu及硬件工业标准(例如，amc、快速pci(pciexpress)、advancedtca及刀片中心(bladecenter))的最近技术改善可实现预期性能等级，同时提供在集成与电力消耗比方面具有卓越性能的可调整解决方案。这还意味着将需要高性能软件包处理来有效率地实施不同协议且确保充足的服务质量。大多数高级网络已采用分级(class-based)服务质量的概念，因此所述网络需要每包处理以用于在包服务之间进行区分。

数据中心与远程用户之间的业务是使用ipsec加密且需要硬件密码引擎的辅助。多核心技术提供必要处理能力且以较低电力消耗提供高级网络所需的高集成度。然而，软件设计复杂性持续，从而使开发及集成困难。结果是妨碍了基于多核心的解决方案的部署。

随着虚拟化及云计算逐渐变得越来越流行，可将现存服务器在逻辑上分组为可用资源的单一、大的集区。将这些装置的容量聚集到可用资源的单一集区中使得能够有效率地利用服务器，此导致资本及操作费用两者的相关减少。然而，虚拟化使传统安全性措施不足以保护以免受虚拟环境中的新出现的安全性威胁。这是归因于在服务器与存储子系统之间的数据路径中缺乏主保护。保护的缺乏阻止企业体验主数据中心转变的全部益处。

虽然云计算常常被视为增加安全性风险且引入新的威胁媒介(vector)，但其也呈现改善安全性的令人激动的机会。云的特性(例如，标准化、自动化及到基础结构中的增加的可见性)可显著地提高安全性等级。在隔离域中运行计算服务，在运动中及静止时提供数据的默认加密，及经由虚拟存储装置控制数据均已变成可改善可信度及减少数据损失的活动。另外，硬化的运行时图像的自动供应(provisioning)及回收可减少攻击表面且改善鉴识(forensics)。

技术实现要素：

揭示了一种用于在异质多核心系统中分布虚拟机和应用程序的系统和方法。根据一个实施例，一种系统包含：第一多核心处理群集及第二多核心处理群集，其通过各种软件代理程序与硬件互连或进程间通信连接进行通信以将实时应用程序和虚拟机从所述第一多核心处理群集分布至所述第二多核心处理群集来执行。当由所述第一多核心处理群集执行所述软件指令时，它们致使所述第二多核心处理群集接收对服务的请求，建立新虚拟机或调用现存虚拟机以服务于所述请求，且返回想要的结果。

附图说明

包括作为本说明书的部分的随附图式说明目前优选实施例，且与上文所提供的一般描述及下文所给出的优选实施例的详细描述一起用以解释及教示本文中所揭示的原理。

图1说明根据一个实施例的供本系统使用的示范性系统层级布局。

图2说明根据一个实施例的供本系统使用的包括虚拟化及云安全性架构的示范性系统层级布局。

图3说明根据一个实施例的供本系统使用的示范性软件基础结构。

图4说明根据一个实施例的供本系统使用的示范性硬件基础结构。

图5说明根据一个实施例的供本系统使用的示范性硬件基础结构实施方案。

图6说明根据一个实施例的供本系统使用的具有虚拟化支持的示范性系统层级布局。

应注意，各图未必按比例绘制，且类似结构或功能的元件贯穿各图通常由相似参考数字表示以用于说明性目的。还应注意，各图仅既定促进对本文中所描述的各种实施例的描述。各图不描述本文中所揭示的教示的每一方面且不限制权利要求书的范围。

具体实施方式

揭示一种用于虚拟化及云安全性的系统及方法。根据一个实施例，一种系统包含：第一多核心处理群集及第二多核心处理群集，其与网络接口卡通信；及软件指令。当由所述第二多核心处理群集执行所述软件指令时，所述指令致使所述第二多核心处理群集接收对服务的请求；建立新虚拟机或调用现存虚拟机以服务所述请求；及将指示所述服务的成功完成的所要结果返回到所述第一多核心处理群集。

根据一个实施例，本系统提供快速路径包处理的有效实施以利用由多核心处理器提供的性能益处。为实现安全性目的，本系统包括完整、全面且即用的网络连接特征集合，所述网络连接特征包括：vlan、链路聚集、gre封装、经由ip隧穿的gtp及ip、通过虚拟路由管理、路由及虚拟路由的第3层转发、每包qos及过滤(acl)、ipsec、svti、ikev1及ikev2。

根据一个实施例，本系统可与一控制平面操作系统(os)完全集成以用于最大程度地再使用软件、简化集成及隐藏多核心设计复杂性。本系统在具有用于与内建式加速器(例如，密码引擎)介接的统一高级api的多核心平台上运行，且在包括低成本高容量硬件的不同多核心架构及用于网络装备的大atca配置上进行调整。本系统提供开放架构以使集成容易。

根据一个实施例，本系统的一个方面包括从数据中心中的服务器卸载包处理。本系统的又一方面包括并入额外软件堆栈以支持安全性及其它应用程序功能。

根据一个实施例，提供安全性软件堆栈、utm(统一威胁管理)或企业安全性堆栈。除了在系统上透明地运行的软件外，还存在可由包含于下文所描述的硬件刀片中的多核心处理群集加速的安全性相关功能。

根据一个实施例，本系统的另一方面包括提供虚拟化安全性。虚拟化安全平台是云计算安全平台的基础，且包括额外软件以从虚拟化服务器卸载包处理及安全性功能。根据一个实施例，实情为，包处理及安全性功能接着由作为本系统的部分的包处理虚拟机及安全性虚拟机来处置。

对于现存客户，虚拟化安全性软件是经由安全链路及远程呼叫中心而从远程服务器下载到现存用户的系统上。对于新用户，所述软件经预先安装且随着随附硬件一起递送。一旦软件在初始电力开启后经加载，客户的应用程序便取决于安全性应用而下载到各种硬件模块上的软件上。

由本系统提供的益处的简要概述包括以下各者：

·虚拟及物理设备到服务器虚拟化中的集成；

·虚拟机认知；

·每一虚拟机上的安全性策略的实施；

·虚拟机的可见性及控制；

·由设备及安全性软件的组合所提供的安全性；

·端点数据保护；

·业务及安全性功能的加速；

·用于第三方安全性软件供货商的开放软件框架；

·主机性能损失的消除；及

·数据安全性。

本系统包括集成于标准服务器平台中的分布式实时计算能力。可将分布式实时计算群集视作服务器群，且当增加工作负载时可按需求增加服务器群资源。可快速启动、撤销启动、升级或部署服务器群资源。

本系统的性能可调整性是二维的：水平及垂直。相同设备功能可通过同质架构而垂直地扩展，且不同设备功能可通过异质架构而水平地扩展。下文更详细地解释同质及异质架构扩展。

本系统提供电力消耗最优化。应用程序加载驱动方法提供最佳电力消耗利用。按需求启用及停用资源以遵循绿色能源策略。

本系统的软件编程模型提供：所有现存应用程序无需被重写，且所有新出现的新应用程序可透明地运行。

图1说明根据一个实施例的供本系统使用的示范性系统层级布局。应用服务器101正运行服务器应用程序103。应用服务器101具有操作系统(os)104、驱动程序106、中间件套接字107及中间件代理程序105。应用服务器101正运行用于包及应用程序处理或安全性软件的多核心群集108，且经由pci-e(快速pci)底板109与网络接口卡(nic)110通信。网络接口卡(nic)110提供网络111接入。根据本文中所揭示的实施例，中间件套接字107及代理程序105与虚拟化及云安全性系统102通信。

图2说明根据一个实施例的供与本发明系统一起使用的包括虚拟化及云安全性架构的示范性系统层级布局。应用服务器201正运行服务器应用程序203。应用服务器201具有操作系统(os)204、驱动程序206、中间件套接字207及中间件代理程序205。应用服务器201正运行用于服务器应用程序的多核心群集208。应用服务器201需要包处理及安全性功能，且这些请求由虚拟化及云安全性系统(vcss)202拦截及服务。所述服务可经由中间件套接字207及代理程序205进行通信。根据本文中所揭示的实施例，中间件套接字207及代理程序205与虚拟化及云安全性系统(vcss)202通信。根据一个实施例，vcss202包括：硬件刀片，其具有插入到pci-e底板209中的多核心处理群集211；及最小软件堆栈，其包括网络套接字代理程序214、实时操作系统(rtos)213及控制/数据平面软件堆栈212。vcss202还可包括安全性支持215及应用层服务器代理程序216。中间件套接字207及代理程序205还可关于服务请求而与应用服务器代理程序216通信。应用服务器代理程序216与rtos213、控制/数据软件堆栈212及网络套接字代理程序214通信以经由pcie底板209通过网络接口卡(nic)210而通过hw/多核心处理群集来服务于请求。网络接口卡(nic)210提供网络217接入。下文紧跟着进行对控制/数据平面堆栈212及安全性软件215的更详细描述。

硬件(hw)刀片/多核心群集211提供用于开发智能网络连接及安全平台的硬件，其支持对智能网络/安全性加速及对聚合数据中心应用(例如，存储、安全性、深层包检查(dpi)、防火墙、wan最佳化及应用程序递送(adc)计算)的应用程序卸载的增长需求。hw/多核心群集211包含多核心处理器群集(例如，freescale的p4080eqoriq)、ddr存储器、快闪存储器、10gb或1gb网络接口、迷你sd/mmc卡槽、usb端口、串行控制台端口及电池后备式(batterybacked)rtc。配置硬件的软件包括实时os(即，linux及在linux下的驱动程序)以控制硬件块及功能。

一般来说，多核心群集及在多核心群集中的安全性硬件加速单元可处置适当功能以用于实施dpi/ddi(深层包检查/深层数据检查)。举例来说，协议分析包括http、sip及snmp；内容格式包括xml、html/javascript；且模式匹配包括ips模式及病毒模式。

hw/多核心群集的其它实施例可包括不同多核心群集(例如，来自caviumnetworks、netlogic及tilera的多核心群集)(例如)以加速其它新出现的功能。举例来说，caviumnetworks的nitrox系列有助于实施其它安全性措施，且tilera的gx系列有助于实施多媒体串流传输及压缩/解压缩应用。虽然所描绘的实施例包括pci-e形状因数，但在不脱离本系统的精神的情况下可使用atca及刀片中心及其它形状因数。

实时操作系统(rtos)213是既定服务于实时应用程序请求的操作系统(os)。rtos的关键特性是其关于其接受及完成应用程序的任务所采用的时间量的一致性的程度；可变性为抖动。硬实时操作系统相比于软实时操作系统具有较少抖动。主要设计目标并非高处理量，而是软或硬性能分类的保证。通常或一般可满足期限(deadline)的rtos为软实时os，但如果其可确定性地满足期限，则其为硬实时os。

实时os具有用于调度的高级算法。调度器灵活性使得能够实现对进程优先权的较宽计算机系统协调(orchestration)，但实时os更常专用于应用程序的窄集合。实时os的关键因素是最小中断等待时间及最小线程切换等待时间。然而，相比针对实时os在一给定时段内可执行的工作量，实时os针对其可如何快速或如何可预测地响应而更有价值。实时os的实例包括来自windriver的vxworks或linux。

根据一个实施例，安全性软件215包含以下各者中的一者或一者以上：具有nat(网络地址翻译)的状态防火墙、ipsecvpn、sslvpn、ids(入侵检测系统)及ips(入侵预防系统)、应用程序业务节流、防病毒及反间谍程序软件、应用程序防火墙(http及sip)、l4到l7负载平衡器、业务管制(policing)及塑形、虚拟化及云计算支持，及对web服务、移动装置及社会网络连接的支持。以下表1提供对模块的描述。

表1：安全性软件模块

根据一个实施例，安全性的硬件加速具有用于协议分析的深层包检查/深层数据检查(ddp/ddi)。ddp/ddi使得安全性设备及安全功能性的部署能够增加。

应用层服务器代理程序216服务于由应用程序客户端代理程序205及207发送到应用服务器216的不同应用程序以服务于那些请求。所述服务可为客户端希望服务器代表客户端完成的任何实时及计算密集型任务。一旦完成服务，则服务器基于在其与客户端之间定义的信号交换机制经由接口将结果递送到客户端。

图3说明根据一个实施例的供本系统使用的示范性软件基础结构。示范性软件基础结构301包括对丰富内容媒体(richcontentmedia,rcm)应用程序302的支持。基础结构301包括进程间通信303模块及对各种操作系统304的支持。基础结构301包括rcm框架305、通用api306、对各种编解码器及库扩展307的支持、系统框架308及数据框架309。

应用程序框架302可经由api(应用程序编程接口)介接到任何丰富内容多媒体应用程序或来自各种来源的软件服务(soa)。应用程序可来自一个或一个以上群组，所述一个或一个以上群组包括安全性、安全性解密/加密、视频压缩/解压缩、音频压缩/解压缩、成像压缩(imagingcompression)/解压缩(定义为文字、音频或视频及图形)与用于远程或本地来源的解码及编码的组合。在此状况下，编码为压缩技术且解码为解压缩技术。内容来源可来自在服务器、pc或其它移动装置上运行的本地装置。内容来源可为经由从服务器、web服务器、应用服务器、数据中心中的数据库服务器运行的lan、wan的远程装置或经由因特网接入的任何云计算应用程序。

较新应用程序(例如，图像辨识、语音辨识和模式辨识)可从基本文字、音频、视频及成像扩展以通过特殊算法在本地或远程运行来编码及解码。换句话说，应用程序框架可经扩展以通过特殊算法介接模式辨识应用程序从而从本地服务器、pc或移动装置压缩及解压缩或从来自因特网的远程云计算资源远程地压缩及解压缩。

进程间通信303模块在群集、操作系统、硬件系统互连及超管理器上发生。示范性实施例包括用于进程间通信的如下文所解释的dds。重点包括：通过进程间通信连接或硬件互连经由分布式消息接发传递的通信(ipc)；独立于os、平台及硬件互连；对系统规模的透明性及在不修改代码的情况下重配置；多个生产者及消费者；分布式处理间通信技术；基于消息的协议或数据中心分布式数据服务；透明的应用程序到应用程序连接；可靠递送通信模型；独立于操作系统(windows、linux及unix)；独立于硬件平台(risc、dsp或其它者)。

通信标准数据分布服务(datadistributionservice；dds)使得能够实现系统可调整性，所述可调整性可支持通信要求的范围，从具有间歇及高度可变的通信规范的固定及移动装置的对等式通信变化到巨大的群通信。

dds标准特别适合于分布实时数据以用于记录以及用于一般分布式应用程序开发及系统集成。dds指定经设计以用于启用实时数据分布的api。其使用发布-预订通信模型且支持消息接发及数据对象中心数据模型两者。dds提供相对于基于内容的过滤及转变、每数据流连接性监视、冗余、复制、递送努力(deliveryeffort)及定序以及自发性发现的若干增强的能力。此外，dds提供相对于数据对象生命周期管理、最佳努力及可预测递送、递送定序、资源管理及状态通知的新能力。

rcm框架305提供核心服务(soa)以用于在203应用程序上运行的应用程序与企业soa当中的通信，或跨越多个基于实时的操作系统及在本系统上运行的基于处理器soa的应用程序而扩展。rcm框架305提供经由分布式消息接发传递的通信(ipc)及基于数据中心dds的分布式消息通信。其为独立于os、平台及系统或硬件互连的，对系统规模为透明的且可在不修改代码的情况下重配置。所述框架支持到rdms存储装置中的事件记录及检查。

系统框架308包括本地硬件群集及资源调度器及管理、供应、配置、重定位及远程接入。多个实时os配置支持以下各者：

·amp(不对称实时多处理)：不同os控制不同hw群集，如控制/数据平面

·smp(对称实时多处理)：同一类型的应用程序正运行于同一hw群集上，如数据平面

·处理间通信：各种os之间的通信

·全局资源调度器及群集的管理

·全局及局部资源加载、统计及迁移

·虚拟化基础结构接口及群集的管理。

基于ip的网络应用可分割为三个基本元素：数据平面、控制平面及管理平面。

数据平面是一网络节点的子系统，其从一接口接收包及发送包，以由适用协议所需的某一方式处理所述包，且在适当时递送、丢弃或转发所述包。对于路由功能，数据平面由路由器用以对包作出转发决策的程序(算法)的集合组成。算法界定了来自所接收包的信息以在其转发表中寻找特定条目，以及路由功能用于寻找所述条目的确切程序。数据平面从较高级处理器卸载包转发。对于数据平面接收且未经寻址以用于递送到节点自身的包中的大部分或全部，其执行所有需要的处理。类似地，对于ipsec功能，安全网关查核安全性关联(securityassociation)对于传入流是否有效，且如果有效，则数据平面在本地寻找信息以将安全性关联应用到包。

控制平面维持可用以改变由数据平面使用的数据的信息。维持此信息需要处置复杂信令协议。在数据平面中实施这些协议将导致不良转发性能。管理这些协议的常见方式是使数据平面检测传入的信令包且在本地将所述包转发到控制平面。控制平面信令协议可更新数据平面信息且将传出的信令包注入数据平面中。此架构起作用，因为信令业务是全局业务的极小部分。对于路由功能，控制平面由一个或一个以上路由协议组成，所述一个或一个以上路由协议提供路由信息在路由器之间的交换，以及路由器用以将此信息转换到转发表中的程序(算法)。一旦数据平面检测到路由包，其就将其转发到控制平面以使路由协议计算新路线、添加或删除路线。转发表是用此新信息来更新。当路由协议必须发送包时，包被注入于数据平面中以在传出流中发送。对于ipsec安全性功能，用于密钥交换管理的信令协议(例如，ike或ikev2)位于控制平面中。传入的ike包在本地被转发到控制平面。当更换密钥时，位于数据平面中的安全性关联由控制平面更新。传出的ike包被注入于数据平面中以在传出流中发送。

为了给下一代网络应用程序提供完整的解决方案，当相比于在因特网起始时的简单tcp/ip堆栈时，包处理在现今要复杂得多。参看本文中针对控制平面及数据平面的定义的描述。高速处理必须集中于简单处理且是在快速路径或数据平面中完成。软件堆栈正运行于由多个cpu核心完成以处置数据平面任务的数据平面上。将复杂处理委派(delegate)到慢速路径及控制平面。快速路径必须集成大量协议且经设计以使得添加新协议将不会损失整个系统的性能。

常见网络使用状况是由vpn/ipsec隧道构成的状况及聚集http的gbps、视频及音频串流的状况。由于l3/l7协议经加密，因此仅由流亲和性构成的数据平面设计不能将特定核心指派到所述协议中的每一者。此情形仅在一旦所有预ipsec处理及有效负载的解密完成后才成为可能。在每一层级处，如果包不能在快速路径层级处加以处置，则可发生异常。实施额外协议在初始呼叫流中添加测试且需要更多指令。总性能将较低。然而，存在一些软件设计规则，其可导致特征与性能之间的优良折衷。

管理平面提供到整个系统中的管理接口。其含有支持操作管理、管理或配置/供应动作的过程，例如：

·用于支持统计数据收集及聚集的设施

·对管理协议的实施的支持

·经由web页或传统snmp管理的命令行接口、图形用户配置接口。还可实施基于xml的更复杂的解决方案。

本系统支持丰富内容多媒体(rcm)应用程序。由于丰富内容多媒体应用程序消耗及产生大量不同类型的数据，因此在现今具有能够处理、操纵、发射/接收及检索/存储所有各种数据(例如，数据、语音、音频及视频)的分布式数据框架是极为重要的。本系统还支持下文表2中所列出的其它丰富数据类型，且不限于成像、模式辨识、话音辨识及动画。数据类型可从基本类型格式扩展且变成多个固有数据类型的组合数据类型。因为复杂数据类型发射及接收端将需要在传输之前将极其复杂的数据串流“压缩”到某一特定工业标准或专属算法中，所以在接收点的端处需要将数据“重构”回成原始数据类型。视频数据在通过特定算法压缩之后可变成不同数据类型，即，mpeg4及h.264。相同情况适用于音频数据。因此，在目的地处的数据重构之前需要支持某些类型的数据同步机制。新出现的应用程序可与通过类似于上文所陈述的描述的表所列出的任何数据类型混合。

表2：数据类型

在网络中心计算模型内，令人畏缩的挑战是管理分布式数据及促进所述数据的局部化管理。解决这些要求的一架构方法通常称作分布式数据库。分布式数据库模型的益处在于，其保证对企业为关键的所有信息的连续实时可用性且促进位置透明软件的设计，此直接影响软件模块再使用。

软件应用程序跨越动态网络获得对实时改变的信息的可靠瞬时接入。所述架构独特地将对等式数据分布服务网络连接及实时存储器内数据库管理系统(dbms)集成到完整解决方案中，所述解决方案在动态配置的网络环境中管理快速改变的数据的存储、检索及分布。其保证对企业为关键的所有信息的连续实时可用性。dds技术用以使得能够实现用于分布式数据库管理的真实非集中式数据结构，而dbms技术用以提供实时dds数据的持续性(persistence)。

根据一个实施例，嵌入式应用程序无需知晓sql或obdc语意，且未强制企业应用程序知晓发布-预订语意。因此，数据库变成遍及系统而分布的数据表的聚集。当节点通过对表执行sql插入(insert)、更新(update)或删除(delete)语句来更新所述表时，所述更新主动地经推送到其它主机，所述主机需要经由实时发布及预订消息接发的对同一表的本地接入。此架构方法使得能够实时复制任何数目个远程数据表。

图4说明根据一个实施例的供本系统使用的示范性硬件基础结构。主机406(对于主机的描述，参看图1)经由主机及存储器接口401与各种群集通信。硬件基础结构包括运行相同操作系统及应用程序的一个或一个以上处理元件(pe1402、pe2403、pe3405及pe4404)的群集。处理元件经由进程间通信连接407通信。

为了整合示范性硬件基础结构的描述，返回参看上文所描述的硬件刀片。取决于硬件刀片的封装密度，每一硬件刀片可包括(例如)freescale的qoriq4080的群集(在一个ic封装内具有8个cpu)或多个群集。一般来说，一个freescale的qoriq4080(作为一实例)群集对应于图4中的硬件基础结构的处理元件的一个群集(例如，pe1…pe18)。

如果安装两个硬件刀片且每一刀片具有相同类型的多核心群集(例如，freescale的qoriq)，则其称为同质群集扩展。在另一实施例中，硬件刀片具有在一个刀片中包括一个以上群集的容量。

如果安装两个硬件刀片且第一刀片具有freescale的qoriq4080且第二刀片具有caviumnetwork的群集octeoniicn68xx，则freescale群集对应于pe1…pe18且cavium群集对应于pe2…pe216(假设使用16个核心)，其被称作异质群集扩展。

主机406为一标准服务器，其表示基于x86的群集。其可执行服务器应用程序。举例来说，所述主机可表示应用服务器、web服务器或数据库服务器。其可运行所有通用应用程序、i/o功能，及os的其它系统相关任务。

图5说明根据一个实施例的供本系统使用的示范性硬件基础结构实施方案。主机506经由主机及存储器接口501与各种群集通信。硬件基础结构包括运行相同或不同操作系统及应用程序的一个或一个以上处理元件的群集。在此实例中，pe1为运行三个串流的音频引擎502，pe2为安全性引擎503，pe3为视频编码引擎505，且pe4为运行两个串流的视频解码引擎。处理元件经由进程间通信连接507通信或经由共享存储器508。

图6说明根据一个实施例的供本系统使用的具有虚拟化支持的示范性系统层级布局。应用服务器601包括一个或一个以上虚拟主机610、611。虚拟主机610及611包括具有操作系统(os)及应用程序(app)的虚拟机(vm)。中间件612与vcss602通信，且超管理器609及604处置资源调度及分配。服务器601正运行用于包应用程序处理的多核心群集608。多核心群集经由pci-e底板606与网络接口卡(nic)607通信。网络接口卡(nic)607提供网络615接入。vcss602包括具有多核心群集605(hw/多核心)的硬件刀片、用于调度及分配资源的超管理器604、具有虚拟机支持的接口603，及若干安全性虚拟机功能(sf1、sf2…sfn)613及包处理虚拟机功能(pkt1、pkt2…pktn)614。

也称作虚拟机管理器(vmm)的超管理器609允许多个操作系统(称为客体)同时在主机计算机上运行。超管理器被如此命名是因为其在概念上比监督程序高一个层级。超管理器向客体操作系统呈现虚拟操作平台且管理客体操作系统的执行。多种操作系统的多个实例可共享虚拟化的硬件资源。超管理器安装于仅有任务为运行客体操作系统的服务器硬件上。非超管理器虚拟化系统用于专用服务器硬件上的类似任务，但也通常用于桌上型、便携式及甚至手持型计算机上的任务。

主机超管理器609的实例包括由vmware、citrix及microsoft提供的产品。在硬件刀片上的嵌入式超管理器的实例包括由windriver及greenhillssoftware提供的产品。

嵌入式超管理器604为基于实时的超管理器。嵌入式超管理器用于实时嵌入式虚拟化中。超管理器允许开发者在单一装置中充分利用多个操作系统，因此开发者可扩展及增强装置功能性；超管理器通过增加可靠性及减少风险来促进多核心处理器的采用；且超管理器提供对下一代嵌入式装置进行架构设计所需的新软件配置选项。

若干安全性虚拟机功能(sf…613)及包处理虚拟机功能(pkt…614)及所有其它基于实时的虚拟机正共享hw/多核心群集605。由于所述虚拟机功能及虚拟机呈软件实例形式，因此其可在闲置状态期间存储于hw/多核心群集605中的局部存储器中且可由嵌入式超管理器604启动。另外，在应用服务器601中运行的超管理器609可基于运行的虚拟机610、611来启动sf1…sfn或pkt1…pktn。当虚拟机611需要到及从nic607的网络615接入的功能时，前端612转换对接口603的服务请求。在接口603接收到请求之后，其建立pkt1614以运行所述功能。相同情况适用于安全性功能(sf)。如果虚拟机611需要安全性功能的服务，则前端612转换对接口603的请求。接口603接着如服务器般作出反应以通过调用虚拟机sf1或sf2…sfn来服务于所述安全性请求。

根据一个实施例，基于云的架构提供用于云安全性的模型，所述模型由驻留于安全虚拟化运行时层上的面向服务的架构(soa)安全层组成。云递送服务层是复杂的分布式soa环境。不同服务在企业内跨越不同的云而扩展。服务可驻留于连接在一起以形成单一云应用程序的不同管理或安全性域中。一soa安全模型完全适用于云。一web服务(ws)协议堆栈形成soa安全性的基础且因此还形成云安全性的基础。

soa的一个方面是容易地集成来自不同提供者的不同服务的能力。相比于大多数企业soa环境，云计算更进一步推动此模型，这是因为云有时支持大量租户、服务及标准。此支持是以高度动态及敏捷的方式且在极其复杂的信任关系下提供。具体来说，云soa有时支持大的且开放的用户群体，且其不可假设在云提供者与订户之间建立的关系。

一般所属领域的技术人员应理解，本系统不限于具有目前所揭示的多核心群集配置的实施方案，且包括任何适当替代者的实施例实现本目标。

一般所属领域的技术人员应理解，本系统不限于具有安全性软件应用程序的实施方案，且包括音频压缩/解压缩、视频压缩/解压缩、成像压缩/解压缩、话音压缩/解压缩或任何适当替代者的实施例实现本目标。

在上文的描述中，仅出于解释的目的，阐述特定命名法以提供对本发明的详尽理解。然而，所属领域的技术人员将显而易见，不需要这些特定细节实践本发明的教示。

本文中的详细描述的一些部分是依据对计算机存储器内的数据位的操作的算法及符号表示来呈现。这些算法描述及表示是数据处理领域的技术人员用以向其他所属领域的技术人员最有效地传达其工作的要点的手段。在此且大体来说设想算法为导致所要结果的步骤的自相一致的序列。所述步骤是需要物理操纵物理量的步骤。通常(但未必)，这些量采用能够被存储、传送、组合、比较及以其它方式操纵的电信号或磁信号的形式。已证明将这些信号称为位、值、元件、符号、字符、项、数字或其类似者时常(主要出于普通用途)为便利的。

然而，应记住，所有这些及类似术语应与适当物理量相关联且仅为应用于这些量的便利标记。除非如从以下论述中显而易见的另外特定声明，否则应了解，遍及所述描述，利用例如“处理”或“计算”或“运算”或“确定”或“显示”或其类似者的术语的论述指代计算机系统或类似电子计算装置的动作及过程，所述计算机系统或类似电子计算装置操纵表示为计算机系统的寄存器及存储器内的物理(电子)量且将其转变为类似地表示为计算机系统存储器或寄存器或其它此种信息存储、传输或显示装置内的物理量的其它数据。

本发明还涉及一种用于执行本文中的操作的设备。此设备可特定建构以用于所需目的，或此设备可包含一通用计算机，所述计算机通过存储于其中的计算机程序选择性地启动或重配置。此计算机程序可存储于计算机可读存储媒体中，所述计算机可读存储媒体例如(但不限于)任何类型的磁盘，包括软盘、光盘、cd-rom及磁光盘、只读存储器(rom)、随机存取存储器(ram)、eprom、eeprom、磁卡或光卡或适用于存储电子指令的任何类型的媒体，且所述媒体中的每一者耦合到计算机系统总线。

本文中所呈现的算法并非固有地涉及任何特定计算机或其它设备。各种通用系统、计算机服务器或个人计算机可根据本文中的教示与程序一起使用，或建构更特定设备以执行所需方法步骤可证明为便利的。从以下描述将看出多种这些系统所需的结构。将了解，多种编程语言可用以实施如本文所描述的本发明的教示。

此外，代表性实例的各种特征与附属权利要求可以未特定及显式地列举的方式组合，以便提供本教示的额外有用实施例。还明确注意，出于原始揭示内容的目的以及出于限制所主张的标的物的目的，所有值范围或实体的群组的指示揭示每一可能的中间值或中间实体。还明确注意，各图中所展示的组件的尺寸及形状经设计以有助于理解实践本教示的方式，但既定不限制实例中所展示的尺寸及形状。

揭示一种用于虚拟化及云安全性的系统及方法。尽管已相对于特定实例及子系统描述了各种实施例，但一般所属领域的技术人员将显而易见，本文中所揭示的概念不限于这些特定实例或子系统，而是也扩展到其它实施例。如在所附权利要求书中所指定的所有这些其它实施例包括于这些概念的范围内。