用改進的特征鍵值啟用系統特征的制作方法

專利名稱：用改進的特征鍵值啟用系統特征的制作方法
技術領域：
本發明大體上涉及系統中的特征的選擇性啟用，特別地涉及保證只有用戶已付費的特征被啟用。
背景技術：
許多大計算機系統的用戶會購買系統或者子系統，其中這種系統或者子系統具有可以通過購買額外的授權機器碼(LMC)特征以進行啟用的特征。例如，用戶可能會安裝具有6TB磁盤空間的800型IBM企業存儲服務器(ESS)，并且然后購買額外的用于閃速拷貝功能的LMC特征碼，其中閃速拷貝功能提供了在兩個或者多個磁盤上的兩個擴展盤區之間實現快速數據拷貝功能。用于高級功能的LMC特征碼可以基于給定機器序列號通過用于處于特定容量點(例如，1，2，5，10，20，30，或者40TB)的特定高級功能的特定特征碼進行定購。每個特征碼具有不同的定價并且一個啟用級別和另一個啟用級別之間的升級是以要升級的級別的價格和升級到的級別的價格之間的差價進行實際標價的。一旦定購，特征碼則存儲在針對特定的機器序列碼的訂購系統中，并且服務機構能夠通過因特網接口將用基于機器序列號的密鑰進行加密的LMC特征文件下載到磁盤。該文件中的數據包含機器序列號以及訂購的具體特征碼的標識符。將磁盤加載到給定機器中，由該機器解密，由該機器驗證并且由該機器應用。特征碼集合的更改可以在訂購(或者刪除)額外的LMC特征后通過重復該過程而應用到該機器上。該機器通過以下所述的方式驗證LMC特征文件保證解密的文件包含機器序列號，并且還保證不存在由比該特定特征所應用的類型的安裝容量小的容量啟用點所指定的LMC特征。例如，在閃速拷貝LMC特征的情況下，容量啟用的數量對在該機器上所有配置的容量都可以應用。在XRC(擴展遠程拷貝)的LMC特征的情況下，LMC特征啟用的數量只對配置在該機器上的CKD(計數密鑰數據)容量可以應用。一旦LMC特征文件被驗證和應用，則任何具有容量啟用的LMC特征在能被配置的可用容量的數量上會建立一個最大值限制。當磁盤被配置成陣列并且用在陣列中的磁盤的物理容量以所配置的容量進行計數時，則認為安裝在該機器上的存儲器已經被配置過了。沒有在LMC特征文件中指出的LMC特征不能在給定機器上啟用。具有規定容量限制的LMC特征在給定機器上被啟用并且在所有該高級功能所應用的類型的配置容量上是可用的。
上述方案具有一些限制，應該克服這些限制以實現更靈活的市場供應，以及實現后繼產品的功能。下列特征是所需求的a)啟用機制，其在一個更大容量范圍上允許更多的容量啟用的粒度級別，且不要求產品特征碼數量的相應增加；b)允許為多個容量類型選項指定高級功能的啟用機制。例如，所需求的是，只在固定塊存儲器上，只在CKD存儲器上，或者即在固定塊上又在CKD存儲器上可選擇地啟用閃速拷貝功能；c)通過安裝在機器上的多個虛擬機器映像分配給定高級功能的容量啟用(現有的800型ESS只具有一個單一的機器映像，但是后續產品可能具有多個機器映像，每一個映像由唯一的從機器序列號派生的序列號所標識，并且每一個映像對于連接的主機能夠顯示為一個單獨的機器)。分配必須以這樣一種方式進行管理所有機器映像上的啟用總數不能超過為機器所購買的啟用的數量；d)通過不依賴特定數字媒介的客戶訪問接口執行啟用的能力，包括支持人們可以通過產品支持的GUI接口輸入啟用的能力；e)管理給定功能的啟用而無需管理或者影響其它獨立功能的能力；f)提供用戶從通用訪問接口以清楚文本方式訪問在其機器上的啟用特征集，而不允許對整個機器群安裝的特征進行通用訪問的能力；以及g)相對于提供防止未事先購買而啟用功能的機器特定啟用，保持當前實現的現有特征的能力。

發明內容
本發明提供用于產生特征鍵值以啟用目標系統，例如IBM企業存儲服務器中的特定特征的方法。該鍵值包括標識目標系統的序列號的至少一部分的域，標識目標系統上需要啟用的特征的域，以及標識與需要啟用的特征相關的數量的域。包括序列號保證了特征鍵值將僅啟用指定系統上的特征，并且包括數量保證了只有用戶已付費的數量(例如存儲空間的數量)才會被啟用。也可以包括額外的域，以標識將啟用的該特征所基于的存儲結構，標識將啟用的該特征所基于的機器，以及標識在目標系統上為該特征所產生的一系列先前的特征鍵值。優選地，該鍵值利用施用于至少一部分目標系統的序列號的算法進行加密，從而保證特征鍵值僅可以由目標系統進行解密。
為了獲得該鍵值，用戶向鍵值服務器發送請求。該請求包括用戶設備的序列號的至少一部分，其中該特征需要在該用戶設備上啟用。收到請求時，服務器核實序列號是合法的，并且核實用戶設備被授權使用請求的特征和請求的數量。在請求被核實之后，產生該鍵值，對其進行加密并且發送回用戶設備。用戶設備嘗試解密該鍵值。如果該鍵值用序列號進行加密，則對該鍵值應用反向算法。如果鍵值被成功地解密，則用戶設備接著可以啟用該特征。優選地，用戶設備然后產生并且向服務器發送“簽名”，確認該特征已經被啟用。服務器使用該簽名，以維護在該用戶設備上所啟用特征的更新清單。


圖1是本發明的特征鍵值可以在其中使用的用戶設備的框圖；圖2是本發明的特征鍵值生成器可以在其中實現的服務器的框圖；圖3說明了示例性特征鍵值的域；圖4說明了示例性機器簽名的域；以及圖5說明了示例性鍵值簽名的域。
具體實施例方式
圖1是示例性用戶設備的框圖，例如IBM企業存儲服務器(ESS)100，本發明的特征鍵值可以在其中使用。盡管本發明可以在多種類型的系統上實現并且不限于在任何特定的系統上實現，這里將在以ESS作為目標系統的背景下對本發明進行描述。ESS 100通常被分成兩個同等的簇110和150。一個或者多個主機設備10和12通過主機設備適配器連接到每一個簇110和150。被配置成多個邏輯卷22的物理存儲設備20(例如磁盤陣列)通過存儲設備適配器130和170連接到簇110和150。單個ESS 100可以支持不同結構的主機和存儲設備，例如固定塊(FB)結構和計數密鑰數據(CKD)結構。因此，可能會存在一個或者多個FB主機10通過小型計算機系統接口(SCSI)適配器122和162連接到ESS 100簇110和150，以及可能會存在一個或者多個CKD主機12通過光纖連接(FICON)適配器124和164或者通過企業管理系統連接(ESCON)適配器126和166連接到ESS 100簇110和150。
每一個簇110、150還包括處理器112、152，用于存儲可以被處理器112、152執行的指令的存儲器114、154，以及非易失性存儲器116、156。每一個簇110、150進一步包括可以被配置成支持CKD格式數據142、182，FB格式數據144、184或者其兩者的緩存(cache)140、180。ESS 100的兩個簇上的硬件可以在邏輯上通過嵌入的固件進行劃分，這樣可以有多個ESS映像運行，每一個映像具有其自身的一組專用處理器、存儲器、緩存、NVS、主機設備適配器、存儲設備適配器以及物理存儲設備。同樣的，圖1也可以代表在ESS上每個ESS映像的配置。最后，每個映像可以配有一個或者多個拷貝設備118、158。拷貝設備118、158的例子包括，但不局限于，點對點遠程拷貝(PPRC)、擴展遠程拷貝(XRC)、閃速拷貝以及并發拷貝(CC)。
ESS 100還包括由生產廠商嵌入的序列號190，以唯一地標識該特定的用戶設備。當配置多個ESS映像時，每個ESS映像被分配一個唯一的從ESS序列號190派生的序列號。
圖2示意性地表示了可以用來產生以及通過網絡220向用戶設備100發送特征鍵值的服務器200，其中網絡220例如是因特網、撥號網絡或者任何其它類型的互連網絡。服務器200包括處理器202和用于存儲可以由處理器202執行的指令的存儲器204。服務器200還包括特征鍵值請求接收器206、鍵值生成器208、加密模塊210和鍵值發送器212，所有這些裝置都在處理器202的控制之下。
圖3表示了本發明的示例性特征鍵值300解密后的格式。應該注意的是，本發明不局限于圖3所示出的域以及它們的順序。第一個域302包含所有或者一部分目標ESS映像的序列號；即在其上啟用該特征的“虛擬”用戶設備100。在一個實施例中，第一個域302包含25個比特，允許鍵值300包括序列號的五個字符(優選地，五個最低階的字符)，其中字符在五個比特域中被編碼作為32個可能的字符中的一個。當被目標ESS映像接收到并與ESS映像的序列號進行比較時，第一個域302可以被用來驗證該鍵值300確實是為目標ESS映像而不是為了其它系統所產生。
第二個域304包含鍵值類型，標識將由鍵值300啟用的目標ESS映像的特征。在一個實施例中，該域包含八個比特，因此可以支持多達256種不同的特征。
第三個域包含可選的鍵值生成號306，其被用于防止先前的鍵值繼續保持有效以及被再次使用。從在為目標ESS映像產生第一個鍵值時生成號被設成0開始，每一個后續鍵值的生成號都增加1。當鍵值300被目標ESS映像接收到時，目標映像確認新鍵值的生成號比緊接的前一個鍵值在生成號序列上大1。如果生成域306是10比特的域，在滾動回以生成號0重新開始之前可以提供多達1024個生成號。應該注意的是，更長的域將提供更多可能的生成號，并且由此增加了企圖破壞鍵值重復使用保護的難度。
根據鍵值類型，額外的鍵值數據可以包括在鍵值中，其進一步定義了啟用類型的特征。鍵值數據308可以包括數量域310，其指示與鍵值類型相關的啟用的數量。例如，特征類型可以應用到ESS映像的給定資源，例如存儲器、內存儲器，或者處理器，并且該數量指定了當該特征起作用時可以配置到目標系統上的這些資源的數量。為了保證LMC鍵值300規定合適的啟用級別，如果LMC鍵值300指定了現有配置已經超過的數量，則不能接受LMC鍵值300，并且另外的，一旦LMC鍵300值被接收，資源的配置就被局限于指定了資源數量限制的LMC鍵值集合中的數量。在一個實施例中，數量值310是分成兩部分的數值。第一個部分提供基數或者尾數，而第二個部分，這里稱為指數(“exp”)，提供縮放因子部分。在一個實施例中，基數是10比特數值，提供有0至1023的初始值，以及指數是4比特數值。縮放因子可以設計為25*exp并且乘以基數，以獲得啟用的數量。利用exp＝0表示值0至1023。所有后續的范圍使用32到1023范圍中的尾數(例如，exp＝1，尾數＝32表示1024，其是可以被表示的大于1023的下一個更大的值)。盡管可以選擇其它指數和縮放因子，但是選擇25是因為它允許從1到284的數值可以由14個比特表示(即，鍵值大小是有限的)，并且尾數的平方根(SQRT(210)＝25)的放縮范圍的重疊允許在所表示的范圍中達到更高的精度(例如，連續值x(n)和x(n+1)之間的距離＜＝1/32×(n+1))。這允許數量域310能夠在多個要求不同范圍的用途中進行使用(例如，處理器可以在1-100的范圍內，內存儲器可能在1GB-1TB的范圍內，容量可能在1TB-1PB的范圍)。
鍵值數據308還可以包括范圍域(scope)312，其標識特征類型和數量可以對其適用的資源類型的子集。例如，在一個ESS映像上，容量既可以分配給固定塊也可以分配給CKD邏輯卷。給定特征類型可以啟用CKD容量、固定塊容量，或者既啟用CKD容量又啟用FB容量。在此例中，兩比特的范圍域312提供了必要的三種指示。其它的特征類型可以具有其它的資源子類型，并且域312的長度必須足夠長以對想要的可應用的資源子類型組合的變化進行編碼。
另一個包含填充比特的域314可以包括在鍵值300中，用以支持其它以后會增加的域，或者用以對鍵值300的大小向上湊整為偶數個字節，例如8字節。
圖4說明了本發明的示例性機器簽名400解密后的格式。存在一個且僅有一個可以應用到特定ESS或者用戶設備的機器簽名。機器簽名包含所有或者部分ESS系統100的序列號190，并且可以包括域402，其中域402包含用于支持其它以后會增加的域或者用于對鍵值300的大小向上湊整為偶數個字節，例如8字節的填充比特。在一個實施例中，利用與在LMC特征鍵300中所使用的格式相同的格式，對序列號190進行編碼。加密的機器簽名400是從目標機器的圖形用戶界面接口中獲取的。
圖5說明了本發明的示例性鍵值簽名500解密后的格式。安裝在ESS映像或者“虛擬”用戶設備上的每個LMC特征鍵值300具有相關聯的鍵值簽名500。鍵值簽名500包含所有或者部分目標ESS映像的序列號、特征類型域502、鍵值生成域504，以及可以包括一個或者多個域506，其中域506包含用于支持其它以后會增加的域或者用于對鍵值300的大小向上湊整為偶數個字節，例如8字節的填充比特。在一個實施例中，利用與在LMC特征鍵300中所使用的格式相同的格式，對序列號190進行編碼并且特征類型502和鍵值生成號504可以具有與相關聯的LMC特征鍵值300中相應的域304、306的值相同的值。針對給定ESS映像上的給定LMC特征鍵值300的加密鍵值簽名500是從ESS機器的圖形用戶界面接口中獲得的。
再次參考圖2，在工作中，想要更換ESS或者其它用戶設備100配置的用戶通過網絡220向服務器200發送鍵值請求。該請求包括用戶設備100的序列號190以及機器簽名400。ESS機器100用基于機器序列號190的密鑰對機器簽名400進行加密，并且鍵值服務器200知道怎樣用機器序列號190的信息對機器簽名400進行解碼。服務器200的接收器206接收該請求，并且使用包括在請求中的機器序列號190解密機器簽名400。如果解密后的機器簽名中機器序列號190匹配請求中的機器簽名400，則鍵值服務器200允許用戶訪問該機器的LMC特征信息。這種驗證防止一些沒有權限訪問給定物理機器的人獲得對該機器的LMC特征信息的訪問權。LMC特征信息是機器100上啟用的所有特征類型以及其它相關信息，例如啟用數量和對于每個特征類型的啟用范圍，的統一列表。通過考慮記錄在數據庫中的或者其它機器信息來源中的為機器100定購的所有特征碼，來產生該列表。可能會存在為給定特征類型定購的多個特征碼，其中不同特征碼可以為給定特征類型指定給定的啟用單元(例如，1、10、100)，并且該機器的啟用數量是為該特征類型定購的所有特征碼中的啟用單元之和。如果在目標設備上只有單個映像，那么所有啟用的特征類型都可適用于該映像。如果在目標設備上有多個映像，那么用戶可以要求給定鍵值類型的可用啟用在可用的映像上進行分配，以便所有映像上的所有啟用之和小于或者等于在目標系統100上該特征類型的所有啟用之和。一旦定義了啟用的特征鍵值到ESS映像的分配，接收器206然后將請求傳遞到鍵值生成器208。鍵值生成器208為ESS系統100上正處理的所有ESS映像創建LMC特征鍵值300集合，其中每個LMC特征鍵值300包含合適的域以在適用的ESS映像上啟用具有需要的數量和范圍需要的特征類型。在每個鍵值300被創建后，優選地在加密模塊210中對其進行加密。加密模塊210可以以任何已知的方式加密鍵值300，但是為了額外的安全，優選地使用用戶設備100的所有或者部分序列號190，以產生密鑰。ESS系統(即用戶設備)100使用相同的算法，以利用ESS系統序列號190產生解密鑰，以便設備100將只能準確地解密為ESS系統100上的一個ESS映像所產生的LMC特征鍵值300。
在鍵值300加密后，它們可以既可以由發送器212通過網絡220發送回可應用的ESS映像(即用戶設備)100，這些鍵值被載入到可以隨后被機器的圖形用戶界面接口提供的功能所訪問的存儲媒質中，以使得鍵值被發送到可應用的ESS映像，或者鍵值300也可以以人可讀的格式(例如，鍵值被加密的字節可以被表示成一串16進制數字)來提供，以至于它們可以通過由機器的圖形用戶界面接口提供的功能被人工地輸入到可應用的ESS映像上。
當接收到鍵值300后，用戶設備100中的邏輯試圖使用在解密算法中的其序列號190對鍵值300進行解密。如果解密成功(在處理中驗證嵌入的ESS映像ID 302匹配至少ESS映像序列號190的一部分)，邏輯然后驗證該特征類型被ESS映像所支持；生成號306，如果使用的話，比在該特征類型的前一個鍵值上所使用的生成號大1；范圍312，如果使用的話，指定在用戶設備100上可用的資源子集；以及數量310，如果使用的話，不超過由用戶設備100中的范圍所指定的被配置的資源。如果鍵值300不能通過以上的任一驗證測試，則其將被拒絕。
如果鍵值300是合法的，則所指定的特征類型在ESS映像上根據范圍312所指定的資源子集以及根據在鍵值300中給出的的啟用數量310進行啟用。用戶設備100隨后為每一個安裝的LMC特征鍵值300產生鍵值簽名500。然后，鍵值簽名500可以用于向鍵值服務器200進行驗證具有特定ESS映像序列號、特征類型、以及鍵值生成號的給定LMC特征鍵值300已經實際上在給定ESS映像100上被啟用。鍵值服務器200可以用簽名500在每個用戶設備和每個設備的每個子集上維護何種特征已經被啟用，以什么數量進行啟用的記錄。
例如，假設用戶設備100被分成N個映像，其中每一個具有其自身的特征鍵值集合。如果運營鍵值服務器200的提供商提供對用戶設備100可用且能夠在映像中共享的特征，則對于提供商重要的是，管理特征的分配以防止所有映像上的啟用總和超過該機器上授權的啟用。因此，通過鍵值服務器200了解哪些鍵值在哪些映像上是激活的對提供商是非常重要的。更具體地，如果用戶設備100被許可使用該特征的100個單元且用戶想要在映像1上安裝20個單元以及在映像2上安裝80個單元，則用戶可以從鍵值服務器200請求鍵值。在驗證該許可之后，服務器200產生并且發送兩個具有生成號0的鍵值，用于分別在第一和第二個映像上安裝20個和80個單元。一段時間后，用戶想要變更配置，并且在映像1上安裝80個單元以及在映像2上安裝20個單元。用戶不是去獲取允許在映像1上安裝該特征的80個單元的新鍵值，這將不能防止在映像2上同時使用原來的80個單元，而是用戶首先請求用于在映像2上安裝該特征的20個單元的鍵值。安裝該具有生成號1的鍵值，且用戶設備100產生新鍵值簽名并且將其發送到服務器200，或者在從機器的圖形界面上收到后由用戶人工提供。現在，鍵值服務器200將允許用戶為在映像1上安裝該特征的80個單元請求鍵值，該鍵值也具有生成號1。新鍵值生成號超過前一生成號，從而使前一鍵值失效。這防止用戶試圖為在映像2上的80個單元安裝原來的鍵值。
注意以下是很重要的盡管本發明已經以具有完整功能的數據處理系統為背景進行了描述，在本領域的普通技術人員將理解到本發明的方法能夠以指令的計算機可讀媒質的形式以及以多種形式進行分布，并且不論實際上用于實現分布的信號承載媒體的特定類型，本發明都可以應用。計算機可讀媒質的例子包括可記錄類型媒質，例如軟盤、硬盤驅動器、RAM和光驅；以及傳輸類型媒質，例如數字和模擬的通信鏈路。
為了解釋和說明，本發明的描述已經進行了展示，但是不是完全的或者局限于已公開形式的發明。對于本領域的普通技術人員，許多改進和變形是顯而易見的。選擇和描述實施例是為了最好地解釋本發明的原理、實際的應用，以及讓本領域的其它普通技術人員對于適用于所設想的特定用途的具有多種改進的多種實施例來理解本發明。而且，盡管上面針對一種設備進行描述，本領域的需求可以由方法、包含指令的計算機程序產品，或者用于將包括集成計算機可讀程序的計算基礎設施設置到計算系統中的方法來滿足。
權利要求
1.一種用于產生鍵值以在計算機化系統上啟用授權的特征的方法，包括接收鍵值請求，其中鍵值是為了在目標系統上啟用授權的特征，該請求包括目標系統的序列號；產生標識目標系統的序列號的至少一部分的機器標識符；產生標識在目標系統上將要啟用的特征的鍵值類型；產生標識與將要啟用的特征相關的數量的鍵值數據值；將機器標識符、鍵值類型和鍵值數據值加密到特征鍵值中；以及將機器標識符、鍵值類型和鍵值數據值發送到目標系統；其中如果機器標識符對應于目標系統的序列號的一部分并且鍵值類型標識了目標系統上所支持的特征，則啟用該特征；以及在目標系統上為該鍵值類型僅啟用由鍵值數據值所指示的數量。
2.根據權利要求1的方法，其中目標系統包括存儲系統，該方法進一步包括產生資源范圍，其標識在多個存儲結構的哪些上，該特征將要被啟用；以及將存儲類型加密到特征鍵值中；其中如果資源范圍標識了沒有在目標系統上安裝的資源，則目標系統拒絕該特征鍵值。
3.根據權利要求2的方法，其中存儲結構是從包括計數密鑰數據(CKD)結構和固定塊結構的組中選擇的。
4.根據權利要求2的方法，進一步包括產生機器標識符以標識存儲系統的分區；以及將機器標識符加密到特征鍵值中；其中該特征鍵值可應用于該被標識的分區。
5.根據權利要求1的方法，進一步包括產生鍵值生成號，其標識在目標系統上相對于之前為將要啟用該特征而產生的特征鍵值順序的下一個號碼；以及將鍵值生成號加密到特征鍵值中；其中如果鍵值生成號不比當前為該特征類型所安裝的特征鍵值的鍵值生成號大一，則目標系統拒絕該特征鍵值。
6.根據權利要求1的方法，其中在鍵值數據中標識的數量包括等于2N的基數、具有2N比特的尾數，和指數(exp)；以及該數量被計算為尾數×基數exp。
7.根據權利要求1的方法，其中該請求進一步包括機器簽名，該方法進一步包括使用目標系統的序列號解密機器簽名，并且驗證請求的合法性；以及驗證機器簽名包括該目標系統的序列號。
8.根據權利要求1的方法，其中將機器標識符、鍵值類型和鍵值數據值加密到特征鍵值中包括在加密算法中采用目標系統序列號的至少一部分。
9.一種用于產生鍵值以在計算機化系統上啟用授權的特征的設備，包括用于產生標識目標系統的序列號的至少一部分的機器標識符的裝置；用于產生標識將要在目標系統上啟用的特征的鍵值類型的裝置；用于產生標識與將要啟用的特征相關的數量的鍵值數據值的裝置；用于將機器標識符、鍵值類型和鍵值數據值加密到特征鍵值中的裝置；以及用于將該特征鍵值發送到目標系統的裝置；其中如果機器標識符對應于目標系統的序列號的一部分并且該鍵值類型標識了在目標系統上支持的特征，則啟用該特征；以及在目標系統上為該鍵值類型僅啟用由鍵值數據值所指示的數量。
10.根據權利要求9的設備，其中目標系統包括存儲系統，該設備進一步包括用于產生資源范圍的裝置，其中范圍資源標識在多個存儲結構的哪些上，該特征將要被啟用；以及用于將存儲類型加密到特征鍵值中的設備；其中如果資源范圍標識了沒有在目標系統上安裝的資源，則目標系統拒絕該特征鍵值。
11.根據權利要求10的設備，其中存儲結構是從包括計數密鑰數據(CKD)結構和固定塊結構的組中選擇的。
12.根據權利要求10的設備，包括用于產生機器標識符以標識存儲系統的分區的裝置；以及用于將機器標識符加密到特征鍵值中的裝置；其中該特征鍵值可應用于該被標識的分區。
13.根據權利要求9的設備，進一步包括用于產生鍵值生成號的裝置，其中鍵值生成號標識在目標系統上相對于之前為將要啟用該特征而產生的特征鍵值順序的下一個號碼；以及用于將鍵值生成號加密到特征鍵值中的裝置；其中如果鍵值生成號不比當前為該特征類型所安裝的特征鍵值的鍵值生成號大一，則目標系統拒絕該特征鍵值。
14.根據權利要求9的設備，其中在鍵值數據中標識的數量包括等于2N的基數、具有2N比特的尾數，和指數(exp)；以及該數量被計算為尾數×基數exp。
15.一種用于在計算機化系統中啟用特征的方法，包括從功能服務器請求特征鍵值以在系統上啟用特征；從該服務器接收加密的鍵值；將鍵值解密成機器標識符、標識將要在系統上啟用的特征的鍵值類型以及標識與將要啟用的特征相關的數量的鍵值數據值；驗證機器標識符對應于系統序列號的至少預先定義的一部分；驗證在系統上可以支持由鍵值類型標識的特征；驗證在系統上可以支持由鍵值數據值標識的數量；以及在該系統上為該鍵值類型以由鍵值數據值所標識的數量啟用該特征。
16.根據權利要求15的方法，其中該系統包括存儲系統，該方法進一步包括進一步將特征鍵值解密成資源范圍，其中資源范圍標識了在多個存儲結構的哪些上，該特征將要被啟用；以及如果資源范圍標識了沒有在系統上安裝的資源，則拒絕該特征鍵值。
17.根據權利要求16的方法，其中該存儲結構是從包括計數密鑰數據(CKD)結構和固定塊結構的組中選擇的。
18.根據權利要求16的方法，其中特征鍵值進一步被解密成機器標識符以標識存儲系統的分區，其中特征鍵值可應用于該被標識的分區。
19.根據權利要求15的方法，進一步包括進一步將特征鍵值解密成鍵值生成號，其標識在目標系統上相對于之前為將要啟用該特征而產生的特征鍵值順序的下一個號碼；其中如果鍵值生成號不比當前為該特征類型所安裝的特征鍵值的鍵值生成號大一，則系統拒絕該特征鍵值。
20.根據權利要求18的方法，進一步包括進一步將特征鍵值解密成鍵值簽名；以及在系統上的多個分區中分配與特征類型相關的數量。
21.根據權利要求15的方法，其中請求鍵值包括將該請求通過因特網發送到服務器。
22.一種由特征服務器產生的用于目標系統的數據結構包括標識目標系統的序列號的至少一部分的機器標識符域；標識將要在目標系統上啟用的特征的鍵值類型域；標識與將要被啟用的特征相關的數量的鍵值數據域；其中在該數據結構被發送到目標系統之后，如果機器標識符域對應于目標系統的序列號的一部分并且鍵值類型域標識了在目標系統上支持的特征，則啟用該特征；以及在目標系統上為由鍵值類型域標識的特征僅啟用由鍵值數據域所指示的數量。
23.根據權利要求22的數據結構，其中目標系統包括存儲系統，并且該數據結構進一步包括資源范圍域，其標識在多個存儲結構的哪些上該特征將要被啟用，其中如果資源范圍標識了沒有在目標系統上安裝的資源，則目標系統拒絕該數據結構。
24.根據權利要求23的數據結構，其中存儲結構是從包括計數密鑰數據(CKD)結構和固定塊結構的組中選擇的。
25.根據權利要求23的數據結構，進一步包括標識存儲系統的分區的機器標識符，其中數據結構可應用于該被標識的分區。
26.根據權利要求22的數據結構，進一步包括生成號域，其標識在目標系統上相對于之前為將要啟用的該特征而產生的數據結構的數據結構的順序，其中如果生成號不比當前為該特征類型所安裝的數據結構的生成號大一，則目標系統拒絕該數據結構。
27.根據權利要求22的數據結構，其中數據結構在加密算法中采用目標系統的序列號的至少一部分進行加密。
28.一種可以在可編程計算機中使用的計算機可讀介質的計算機程序產品，該計算機程序產品具有在其中實現的用于產生特征啟用鍵值的計算機可讀代碼，計算機可讀代碼包括的指令用于接收鍵值請求，其中鍵值是為了在目標系統上啟用授權的特征，該請求包括目標系統的序列號；產生標識目標系統的序列號的至少一部分的機器標識符；產生標識在目標系統上將要啟用的特征的鍵值類型；產生標識與將要啟用的特征相關的數量的鍵值數據值；將機器標識符、鍵值類型和鍵值數據值加密到特征鍵值中；以及將機器標識符、鍵值類型和鍵值數據值發送到目標系統；其中如果機器標識符對應于目標系統的序列號的一部分并且鍵值類型標識了在目標系統上支持的特征，則啟用該特征；以及在目標系統上為該鍵值類型僅啟用由鍵值數據值所指示的數量。
29.根據權利要求28的程序產品，其中目標系統包括存儲系統，該程序產品進一步包括的指令用于產生資源范圍，其標識在多個存儲結構的哪些上，該特征將要被啟用；以及將存儲類型加密到特征鍵值中；其中如果資源范圍標識了沒有在目標系統上安裝的資源，則目標系統拒絕該特征鍵值。
30.根據權利要求29的程序產品，其中存儲結構是從包括計數密鑰數據(CKD)結構和固定塊結構的組中選擇的。
31.根據權利要求28中的程序產品，進一步包括的指令用于產生機器標識符以標識存儲系統的分區；以及將機器標識符加密到特征鍵值中；其中該特征鍵值可應用于該被標識的分區。
32.根據權利要求28的程序產品，進一步包括的指令用于產生鍵值生成號，其標識在目標系統上相對于之前為將要啟用的該特征而產生的特征鍵值順序的下一個號碼；以及將生成號加密到特征鍵值中；其中如果鍵值生成號不比當前為該特征類型所安裝的特征鍵值的鍵值生成號大一，則目標系統拒絕該特征鍵值。
33.根據權利要求28的程序產品，其中在鍵值數據中標識的數量包括等于2N的基數，具有2N比特的尾數，和指數(exp)；以及該數量被計算為尾數×基數exp。
34.根據權利要求28的程序產品，其中該請求進一步包括機器簽名，該指令進一步包括的指令用于使用目標系統的序列號解密機器簽名，并且驗證請求的合法性；以及驗證機器簽名包括該目標系統的序列號。
35.一種可以在可編程計算機中使用的計算機可讀介質的計算機程序產品，該計算機程序產品具有在其中實現的用于啟用特征的計算機可讀代碼，該計算機可讀代碼包括的指令用于從功能服務器請求特征鍵值以在系統上啟用特征；從該服務器接收加密的鍵值；將鍵值解密成機器標識符、標識將要在系統上啟用的特征的鍵值類型以及標識與將要啟用的特征相關的數量的鍵值數據值；驗證機器標識符對應于系統序列號的至少預先定義的一部分；驗證在系統上可以支持由鍵值類型標識的特征；驗證在系統上可以支持由鍵值數據值標識的數量；以及在該系統上為該鍵值類型以由鍵值數據值所標識的數量安裝該特征。
36.根據權利要求35的程序產品，其中該系統包括存儲系統，該程序產品進一步包括的指令用于進一步將特征鍵值解密成資源范圍，其中資源范圍標識了在多個存儲結構的哪些上，該特征將要被啟用；以及如果資源范圍標識了沒有在系統上安裝的資源，則拒絕該特征鍵值。
37.根據權利要求36的程序產品，其中該存儲結構是從包括計數密鑰數據(CKD)結構和固定塊結構的組中選擇的。
38.根據權利要求36的程序產品，進一步包括的指令用于進一步解密機器標識符以標識存儲系統的分區，其中特征鍵值可應用于該被標識的分區。
39.根據權利要求35中的程序產品，進一步包括的指令用于進一步將鍵值解密成鍵值生成號，其標識在目標系統上相對于之前為將要啟用該特征而產生的特征鍵值順序的下一個號碼；其中如果鍵值生成號不比當前為該特征類型所安裝的特征鍵值的鍵值生成號大一，則系統拒絕該特征鍵值。
40.根據權利要求35的程序產品，進一步包括的指令用于進一步將特征鍵值解密成鍵值簽名；以及在系統上的多個分區中分配與特征類型相關的數量。
41.根據權利要求35的程序產品，其中用于請求鍵值的指令包括用于將請求通過因特網發送到服務器的指令。
42.一種用于設置計算基本設施的方法，包括將計算機可讀代碼集成到計算系統中，其中該代碼與計算系統相結合，能夠執行下列處理接收鍵值請求，其中該鍵值用于在目標系統上啟用授權的特征，該請求包括目標系統的序列號；產生標識目標系統的序列號的至少一部分的機器標識符；產生標識在目標系統上將要啟用的特征的鍵值類型；產生標識與需啟用的特征相關的數量的鍵值數據值；將機器標識符、鍵值類型和鍵值數據值加密到特征鍵值中；以及將機器標識符、鍵值類型和鍵值數據值發送到目標系統；其中如果機器標識符對應于目標系統的序列號的一部分并且鍵值類型標識了目標系統上所支持的特征，則啟用該特征；以及在目標系統上為該鍵值類型僅啟用由鍵值數據值所指示的數量。
43.根據權利要求42的方法，其中目標系統包括存儲系統，并且該代碼還能夠產生資源范圍，其標識在多個存儲結構的哪些上，該特征將要被啟用；以及將存儲類型加密到特征鍵值中；其中如果資源范圍標識了沒有在目標系統上安裝的資源，則目標系統拒絕該特征鍵值。
44.根據權利要求43中的方法，其中存儲結構是從包括計數密鑰數據(CKD)結構和固定塊結構的組中選擇的。
45.根據權利要求43中的方法，其中該指令進一步能夠產生機器標識符以標識存儲系統的分區；以及將機器標識符加密到特征鍵值中；其中該特征鍵值可應用于該被標識的分區。
46.根據權利要求42的方法，其中該代碼進一步能夠產生鍵值生成號，其標識在目標系統上相對于之前為將要啟用的該特征而產生的特征鍵值順序的下一個號碼；以及將鍵值生成號加密到特征鍵值中；其中如果鍵值生成號不比當前為該特征類型所安裝的特征鍵值的鍵值生成號大一，則目標系統拒絕該特征鍵值。
47.根據權利要求42的方法，其中在鍵值數據中標識的數量包括等于2N的基數、具有2N比特的尾數，和指數(exp)；以及該數量被計算為尾數×基數exp。
48.根據權利要求42的方法，其中該請求進一步包括機器簽名，該指令進一步能夠使用目標系統的序列號解密機器簽名，并且驗證請求的合法性；以及驗證機器簽名包括該目標系統的序列號。
49.根據權利要求42中的方法，其中將機器標識符、鍵值類型和鍵值數據值加密到特征鍵值中包括在加密算法中采用目標系統的序列號的至少一部分。
全文摘要
特征鍵值用于在目標系統中，例如在IBM企業存儲服務器(ESS)中啟用特定的特征。鍵值包括標識目標系統的序列號的至少一部分的域，標識在目標系統上將要啟用的特征的域，以及標識與將啟用的特征相關的數量的域。包括序列號保證特征鍵值將僅在指定的系統上啟用特征，并且包括數量保證只有用戶所付費的(例如，存儲空間的)數量將被啟用。也可以包括額外的域，以標識其中將要啟用該特征的存儲結構，標識其中將要啟用該特征的機器，以及標識在目標系統上為該特征所產生的先前特征鍵值的順序。優選地，鍵值以使用目標系統的序列號的至少一部分的算法進行加密，從而保證該特征鍵值僅能被目標系統所解密。
文檔編號G06F1/00GK1782942SQ20051008029
公開日2006年6月7日 申請日期2005年6月28日 優先權日2004年12月3日
發明者理查德·A·里普伯杰, 海倫娜·C·伯頓 申請人:國際商業機器公司