コンピュート・プレッシャー レベル 1

new PressureObserver(callback) コンストラクターの手順は次のとおりです。

1. this.[[Callback]]をcallbackに設定します。

observe(source, options) メソッドの手順は次のとおりです。

1. relevantGlobalをthisの関連するグローバルオブジェクトとします。
2. relevantGlobalの所有文書集合内のdocumentをそれぞれについて、
   1. documentがトークン "compute-pressure" のポリシー制御機能を使用を許可されていない場合、 NotAllowedErrorで拒否された promiseを返します。
   注記
3. this.[[SampleIntervalMap]][source]を、 optionsのsampleIntervalに設定します。
4. promiseを新しい promiseとします。
5. pendingPromiseTupleを (source, promise) とします。
6. pendingPromiseTupleをthis.[[PendingObservePromises]]に追加します。
7. promiseに反応します。
   • promiseが履行されたか拒否された場合、次を行います。
     1. tupleを this.[[PendingObservePromises]]から削除します。
8. 次の手順を並行して実行します。
   1. platformCollectorを null とします。
   2. relevantGlobalのプラットフォームコレクターマッピングが sourceを含む場合、
      1. platformCollectorをrelevantGlobalのプラットフォーム コレクターマッピング[source]に設定します。
   3. そうでない場合、
      1. newCollectorを、関連付けられた プレッシャーソースが null である新しいプラットフォームコレクターとします。
      2. virtualPressureSourceを、 sourceとrelevantGlobalを指定して仮想プレッシャー ソースを取得するを呼び出した結果とします。
      3. virtualPressureSourceが null でない場合、
         1. virtualPressureSourceの サンプルを 提供できるが true の場合、
            1. newCollectorの関連付けられた プレッシャーソースをvirtualPressureSourceに設定します。
            2. newCollectorを virtualPressureSourceの 接続済み プラットフォームコレクターに追加します。
      4. そうでない場合、
         1. realPressureSourceを、 sourceについてテレメトリーデータを提供する実装定義の プレッシャー ソースとし、存在しない場合は null とします。
         2. newCollectorの関連付けられたプレッシャー ソースをrealPressureSourceに設定します。
      5. newCollectorの関連付けられたプレッシャーソースが null でない場合、
         1. platformCollectorをnewCollectorに設定します。
         2. relevantGlobalのプラットフォームコレクター マッピング[source]をplatformCollectorに設定します。
   4. platformCollectorが null の場合、relevantGlobalを指定して PressureObserver タスクソース上にグローバルタスクをキューに追加し、 promiseをNotSupportedErrorで拒否して、 これらの手順を中止します。
   5. sourceと relevantGlobalを指定して、データ 収集をアクティブ化するを呼び出します。
   6. relevantGlobalを指定して、PressureObserver タスクソース上にグローバルタスクをキューに追加し、 次の手順を実行します。
      1. promiseが拒否された場合、次の サブ手順を実行します。
         1. relevantGlobalのsourceに対する登録済みオブザーバー リストが空の場合、 sourceとrelevantGlobalを指定してデータ 収集を非アクティブ化するを呼び出します。
         2. 戻ります。
      2. オブザーバーがthisである新しい登録済み オブザーバーを、 relevantGlobalのsourceに対する登録済みオブザーバーリストに追加します。
      3. promiseを解決します。
9. promiseを返します。

unobserve(source) メソッドの手順は次のとおりです。

1. sourceがサポートされるソース型でない場合、"NotSupportedError" をスローします。
2. sourceに関連付けられたすべての recordsをthis.[[QueuedRecords]]から削除します。
3. this.[[SampleIntervalMap]][source]を削除します。
4. this.[[LastRecordMap]][source]を削除します。
5. this.[[AfterPenaltyRecordMap]][source]を削除します。
6. this.[[PendingObservePromises]]の (promiseSource, pendingPromise)をそれぞれについて、 sourceがpromiseSourceと等しい場合、pendingPromiseをAbortErrorで拒否します。
7. relevantGlobalをthisの関連するグローバルオブジェクトとします。
8. registeredObserverListを、relevantGlobalのsourceに対する登録済みオブザーバーリストとします。
9. thisであるオブザーバーを持つ登録済みオブザーバーを registeredObserverListから削除します。
10. registeredObserverListが空の場合、
    1. sourceと relevantGlobalを指定して、データ 収集を非アクティブ化するを呼び出します。
    2. relevantGlobalのプラットフォームコレクター マッピング[source]を削除します。

disconnect() メソッドの 手順は次のとおりです。

1. observer.[[QueuedRecords]]を空にします。
2. this.[[SampleIntervalMap]]をクリアします。
3. this.[[LastRecordMap]]をクリアします。
4. this.[[AfterPenaltyRecordMap]]をクリアします。
5. this.[[PendingObservePromises]]の (promiseSource, pendingPromise)をそれぞれについて、 pendingPromiseをAbortErrorで拒否します。
6. relevantGlobalをthisの関連するグローバルオブジェクトとします。
7. relevantGlobalの登録済みオブザーバーリスト順序付きマップの source → registeredObserverListをそれぞれについて、
   1. thisであるオブザーバーを持つ 登録済みオブザーバーを registeredObserverListから削除します。
   2. registeredObserverListが空の場合、
      1. sourceと relevantGlobalを指定して、データ収集を非アクティブ化するを 呼び出します。
      2. relevantGlobalのプラットフォームコレクター マッピング[source]を削除します。

takeRecords() メソッドの手順は次のとおりです。

1. recordsをobserver.[[QueuedRecords]]のクローンとします。
2. observer.[[QueuedRecords]]を空にします。
3. recordsを返します。

knownSources getter の手順は次のとおりです。

1. ユーザーエージェントのサポートされるソース型をアルファベット順で返します。

source の getter 手順は、その [[Source]] 内部スロットを返すことです。

state の getter 手順は、その [[State]] 内部スロットを返すことです。

time の getter 手順は、その [[Time]] 内部スロットを返すことです。

PressureRecord.toJSON が呼び出されたとき、Web IDL 標準の デフォルトの toJSON 手順を実行します。

sampleInterval メンバーは、 ミリ秒で表される 要求されたサンプリング 間隔を表します。値が 0 に設定されている場合、システムは PressureState に変更があった場合にのみ、 PressureUpdateCallback を呼び出します。

引数 observer が与えられたときの 観測ウィンドウをリセットする手順は、次のとおりです。

• observer.[[ObservationWindow]] を、 実装定義の範囲内にある、ミリ秒単位の 実装定義のランダム化された 整数値に設定します。
• observer.[[MaxChangesThreshold]] を、 実装定義の範囲内で、 observationWindow 内に許可される最大変更回数を示す 実装定義のランダム化された整数 値に設定します。
• observer.[[PenaltyDuration]] を、 実装定義の範囲内にある、ミリ秒単位の 実装定義のランダム化された 整数値に設定します。
• observer.[[ChangesCountMap]] マップを空にします。

関連するグローバルオブジェクト relevantGlobal の 所有文書集合を決定するには、次を行います。

1. owningDocumentSet を空の 集合とします。
2. relevantGlobal が Window の場合、relevantGlobal の 関連付けられた文書を owningDocumentSet に追加します。
3. そうでない場合、WorkerGlobalScope relevantGlobal の 所有者集合内の各 owner についてそれぞれ、
   1. owner が Document の場合、owner を owningDocumentSet に追加します。
   2. owner が WorkerGlobalScope の場合、 owningDocumentSet を owningDocumentSet と owner の 所有文書集合との和集合に設定します。
4. owningDocumentSet を返します。

引数 document が与えられたときの 文書が暗黙のフォーカスを持つ手順は、次のとおりです。

1. document が完全にアクティブでない場合、false を返します。
2. relevantGlobal を document の関連するグローバルオブジェクトとします。
3. アクティブな Picture-in-Picture セッションの開始元内の各 origin についてそれぞれ、
   1. relevantGlobal の関連設定オブジェクトのオリジンが origin と同一オリジンである場合、true を返します。
4. relevantGlobal のブラウジングコンテキストがキャプチャ中である場合、true を返します。
5. topLevelBC を relevantGlobal のブラウジングコンテキストのトップレベルブラウジングコンテキストとします。
6. topLevelBC がシステムフォーカスを持たない場合、false を返します。
7. focusedDocument を topLevelBC の 現在フォーカスされている領域のノード文書とします。
8. relevantGlobal の関連設定オブジェクトのオリジンが、 focusedDocument のオリジンと同一オリジンである場合、true を返します。
9. そうでない場合、false を返します。

引数 observer が与えられたときの データを 受信してよい手順は、 次のとおりです。

1. relevantGlobal を observer の関連するグローバルオブジェクトとします。
2. relevantGlobal が Window オブジェクトの場合、
   1. relevantGlobal の関連付けられた Documentを指定して、 文書が暗黙のフォーカスを持つを実行した結果を返します。
3. relevantGlobal が WorkerGlobalScope オブジェクトの場合、
   1. owningDocuments を relevantGlobal の所有文書集合とします。
   2. owningDocuments 内の各 document についてそれぞれ、
      1. document を指定して文書が暗黙の フォーカスを持つを実行した結果が true の場合、 true を返します。
      2. そうでない場合、続行します。
4. false を返します。

1. observer.[[LastRecordMap]][source] が存在しない場合、true を返します。
2. record を observer.[[LastRecordMap]][source] とします。
3. sampleInterval を observer.[[SampleIntervalMap]][source] とします。
4. timeDeltaMilliseconds = timestamp - record.[[Time]] とします。
5. timeDeltaMilliseconds ≥ sampleInterval の場合、 true を返し、そうでない場合は false を返します。

1. observer.[[SampleIntervalMap]][source] > 0 の場合、true を返します。
2. observer.[[LastRecordMap]][source] が存在しない場合、true を返します。
3. record を observer.[[LastRecordMap]][source] とします。
4. record.[[State]] が state と等しくない場合、true を返します。
5. false を返します。

1. observer.[[ChangesCountMap]][source] をインクリメントします。
2. observer.[[ChangesCountMap]][source] ≤ observer.[[MaxChangesThreshold]] を返します。

ソース型 source と relevantGlobal が与えられたとき、仮想プレッシャーソースを取得するには、次の 手順を実行します。これらは 仮想プレッシャーソースまたは null を返します。

1. topLevelTraversable を null とします。
2. relevantGlobal が Window オブジェクトの場合、
   1. topLevelTraversable を relevantGlobal のナビゲータブルのトップレベル traversableに設定します。
3. relevantGlobal が DedicatedWorkerGlobalScope オブジェクトの場合、
   1. owningDocuments を relevantGlobal の所有文書集合とします。
   2. owningDocuments が空の場合、null を返します。
   3. 表明: owningDocuments のサイズは 1 です。
   4. topLevelTraversable を owningDocuments[0] のノードナビゲータブルのトップレベル traversableに設定します。
4. topLevelTraversable が null の場合、null を返します。
5. topLevelVirtualPressureSourceMapping を topLevelTraversable の仮想プレッシャー ソースマッピングとします。
6. virtualPressureSource を null とします。
7. topLevelVirtualPressureSourceMapping が source を含む場合、
   1. virtualPressureSource を topLevelVirtualPressureSourceMapping[source] に設定します。
8. virtualPressureSource を返します。

ソース型 source と relevantGlobal が与えられたとき、データ収集をアクティブ化するには、次の手順を実行します。

1. relevantGlobal のプラットフォームコレクターマッピングが source を 含まない場合、これらの手順を中止します。
2. platformCollector を relevantGlobal のプラットフォームコレクター マッピング[source] とします。
3. platformCollector のアクティブ化済みが true の場合、 これらの手順を中止します。
4. platformCollector のアクティブ化済みを true に設定します。
5. 実装定義の方法で、 relevantGlobal、source、および platformCollectorを指定して、データ収集手順の実行を開始します。
   注記

ソース型 source と relevantGlobal が与えられたとき、データ収集を非アクティブ化するには、次の手順を実行します。

1. relevantGlobal のプラットフォームコレクターマッピングが source を 含まない場合、これらの手順を中止します。
2. platformCollector を relevantGlobal のプラットフォームコレクター マッピング[source] とします。
3. platformCollector のアクティブ化済みが false の場合、 これらの手順を中止します。
4. 実装定義の方法で、 relevantGlobal、source、および platformCollectorを指定したデータ収集手順の実行を停止します。
5. platformCollector のアクティブ化済みを false に設定します。
6. platformCollector の関連付けられたプレッシャーソースが仮想プレッシャーソースである場合、
   1. platformCollector を、その関連付けられた プレッシャーソースの接続済みプラットフォームコレクターから削除します。
7. そうでない場合、 platformCollector の関連付けられたプレッシャーソースに テレメトリーデータの取得を停止するよう通知するための、実装定義の手順を実行します。

relevantGlobal、source、および platformCollector が与えられたときの データ 収集手順は、次のとおりです。

1. pressureSource を platformCollector の関連付けられたプレッシャーソースとします。
2. pressureSource が null の場合、これらの手順を中止します。
3. sample を pressureSource の最新 サンプルとします。
4. sample が null の場合、これらの手順を中止します。
5. state を null とします。
6. pressureSource が仮想プレッシャーソースである場合、
   1. state を、 sample のデータに格納されているPressureState に設定します。
7. そうでない場合、
   1. 寄与要因の 変化が実質的であるが false の場合、これらの手順を中止します。
   2. state を、 source と sample のデータから計算された調整済みプレッシャー状態に設定します。
      注記
8. 表明: state は null ではありません。
9. rawTimestamp を sample のタイムスタンプとします。
10. timeValue を、 rawTimestamp と relevantGlobal に基づく相対高解像度時刻とします。
11. relevantGlobal の source に対する登録済みオブザーバーリスト内の各 observer についてそれぞれ、
    1. observer を指定してデータを受信してよいを 実行した結果が false の場合、続行します。
    2. observer、source、および timeValue を指定してレートテストに合格するを 実行した結果が false の場合、続行します。
    3. observer、source、state を指定してディスパッチすべきであるを実行した結果が false の場合、続行します。
    4. record を、新しい PressureRecord オブジェクトとし、その [[Source]] を source に設定し、 [[State]] を state に設定し、 [[Time]] を timeValue に設定します。
    5. observer.[[AfterPenaltyRecordMap]][source] が存在する場合、
       1. observer.[[AfterPenaltyRecordMap]][source] を record に設定します。
       2. 続行します。
    6. observer と source を指定してレート 難読化テストに合格するを実行した結果が false の場合、
       1. observer.[[AfterPenaltyRecordMap]][source] を record に設定します。
       2. observer.[[ChangesCountMap]][source] を 0 に設定します。
       3. observer.[[PenaltyDuration]] の期間のタイマーを、次のコールバックで作成します。
          1. observer.[[AfterPenaltyRecordMap]][source] が存在する場合、
             1. record を observer.[[AfterPenaltyRecordMap]][source] とします。
             2. observer.[[AfterPenaltyRecordMap]][source] を削除します。
             3. observer、 source、record を指定して レコードをキューに追加するを実行します。
       4. 続行します。
    7. observer、source、record を指定してレコードをキューに追加するを実行します。

引数 observer、 source、record が与えられたとき、 レコードを キューに追加するには、次の手順を実行します。

1. observer.[[QueuedRecords]] のサイズが キューに追加できる最大レコード数より大きい場合、最初の項目を削除します。
2. record を observer.[[QueuedRecords]] に追加します。
3. observer.[[LastRecordMap]][source] を record に設定します。
4. observer の関連するグローバルオブジェクトを指定して、 プレッシャー オブザーバータスクをキューに追加するを実行します。

PressureObserver タスクソースは、10.6.5 プレッシャーオブザーバーに通知するためのタスクをスケジュールする際に使用されるタスクソースです。

relevantGlobal が入力として与えられたとき、プレッシャーオブザーバータスクをキューに追加するには、次の手順を実行します。

1. relevantGlobal のプレッシャーオブザーバータスクがキューに追加済みが true の場合、 戻ります。
2. relevantGlobal のプレッシャーオブザーバータスクがキューに追加済みを true に設定します。
3. relevantGlobal を指定して、PressureObserver タスク ソース上にグローバルタスクをキューに追加し、プレッシャーオブザーバーに通知します。

relevantGlobal が入力として与えられたとき、プレッシャーオブザーバーに通知するには、 次の手順を実行します。

1. relevantGlobal のプレッシャーオブザーバータスクがキューに追加済みを false に設定します。
2. notifySet を、 relevantGlobal の登録済みオブザーバーリスト内のすべてのオブザーバーからなる新しい集合とします。
3. notifySet の各 observer についてそれぞれ、
   1. records を observer.[[QueuedRecords]] のクローンとします。
   2. observer.[[QueuedRecords]] を空にします。
   3. records が空でない場合、« records, observer » と "report" を指定して observer.[[Callback]] を呼び出します。

この仕様では、Document document が与えられた場合の、次の文書アンロード時のクリーンアップ手順を 定義します。

1. relevantGlobal を document の関連するグローバルオブジェクトとします。
2. relevantGlobal の 登録済みオブザーバーリスト順序付きマップの各 source キーについてそれぞれ、
   1. source と relevantGlobal を指定してデータ収集を 非アクティブ化するを呼び出します。
   2. relevantGlobal のプラットフォーム コレクターマッピング[source] を削除します。

WorkerGlobalScope relevantGlobal の closing フラグが true に設定されるたびに、次の 手順を実行します。

1. relevantGlobal の 登録済みオブザーバーリスト順序付きマップの各 source キーについてそれぞれ、
   1. source と relevantGlobal を指定してデータ収集を 非アクティブ化するを呼び出します。
   2. relevantGlobal のプラットフォーム コレクターマッピング[source] を削除します。

一意または非常に精密な値に、オリジンを共有していないサイトから同時にアクセスできる場合、 同一オリジンではないサイトをまたいでユーザーを識別できる 可能性があります。 この攻撃は、11.2.1 データ最小化、11.2.2 レート 難読化、 および 11.2.7 同一オリジン制限によって緩和されます。

コンピューターセキュリティにおいて、隠れチャネルは、本来通信を許可されるべきでないプロセス間で情報を転送する能力を 作り出します。現代のマルチプロセスウェブエンジンでは、一般的な ケースとして各ウィンドウまたはタブは独自のプロセス内に存在します（同一オリジンの文書、または 同一サイトのサイトは、通常同じプロセスを共有します）。この API を使用すると、クロスサイト隠れチャネル C を作成できる可能性があります。あるタブ上のサイト A がまず CPU の状態を 操作した後、チャネル C にブロードキャストします。次に、別のタブ上のサイト B（サイト A と同一サイトではない）が、 この API を使用して CPU の状態がいつ変化したかを知ることで、 チャネル C からブロードキャストされたデータを読み取ります。 このプロセスは、サイト A と B の両方でスクリプトが実行されている限り繰り返されます。

この攻撃は、11.2.2 レート難読化および11.2.5 キャリブレーション破壊によって緩和されます。 実装者は、長時間実行されるスクリプトについて、これらすべての緩和策を考慮することが推奨されます。

標的型匿名解除攻撃は、ユーザーの 匿名性を危険にさらす重大な脅威の一種です。 これらの攻撃により、悪意のある、または部分的に侵害されたウェブサイト（以下「悪意のある サイト」）は、 ウェブサイト訪問者がメールアドレスや ソーシャルメディアのハンドルなど、特定の公開識別子を所有しているかどうかを確認できます。

匿名性は一部の人にとっては贅沢かもしれませんが、特定の人々にとってはそれ以上のものであり、 生存に関わる問題です。たとえば、政治的抗議活動に参加する人、機密性の高い話題を扱う ジャーナリストとして働く人などを考えてください。

例として、攻撃者は公開 リソース共有サービス（「被害者サイト」）などを使用して標的とリソースを非公開で共有し、その後、サイドチャネルを介してリソースを読み込む際の 副作用（アクセス成功を示すもの）を測定できます。ログイン済みの訪問者が埋め込まれたリソースに 正常にアクセスできる場合、現在の訪問者が実際に意図された標的であることを示します。

特に、CPU 全体のプレッシャーに関する信頼できる情報を公開すると、攻撃サイトは クロスオリジンナビゲーションの対象（たとえば別の サイトの iframe またはポップアップウィンドウ）が CPU 負荷の高い操作を実行したかどうかを把握できるようになります。

ポップアンダーや タブアンダーなどの手法を使用して、 読み込みを ユーザーから隠すことができます。

考えられる攻撃の 1 つは、悪意のあるウェブサイトが、ユーザーがログインしている被害者サイト上のリソース （たとえば動画ストリーミングサイトやオンライン文書エディター）へのポップアップを開き、 特定のユーザーと共有されたリソースを指すようにすることです。

リソースの読み込みによって CPU へのプレッシャーが増加すると仮定すると、これによって、 ユーザーがそのリソースへのアクセス権を持つアカウントにログインしているかどうかを攻撃サイトに明らかにする サイドチャネルが形成され、 ユーザーの匿名性が解除されます。

現代の CPU は高プレッシャー状態から速やかに回復するため、考えられる緩和策の 1 つとして、 ポップアップや iframe コンテンツを読み込んだ後、数秒間 読み取りを一時的に無効化する方法があります。

この仕様は、その高価値なユースケースに対処するために必要な最小限まで、 基盤となるプラットフォームの低レベルな詳細に関連するデータの公開を制限するという一般的な データ最小化 原則に 従います。これには、 デバイスに関する識別情報の公開を制限することへの考慮も含まれます。

この仕様の文脈におけるデータ最小化原則の具体的な適用については、 11.2.2 レート難読化および11.2.7 同一オリジン制限で説明します。

この仕様では、実装定義の スライド式観測ウィンドウにわたるプレッシャー変化の回数を追跡し、 プレッシャー 変化回数に対する実装定義のしきい値を超えた場合にフラグを設定する レート難読化緩和策を実装することを要求します。同様に、複数の状態にまたがる大量のプレッシャー状態変更などの 異常な活動を実装が監視し、同様にこのフラグを設定することも推奨されます。

このフラグが設定された場合、実装はプレッシャーオブザーバーに ペナルティを与えることが推奨され、その期間中は通常どおり プレッシャー状態の変化をスクリプトに通知できなくなります。このペナルティの期間は 実装定義であり、ランダム化することが 推奨されます。 ペナルティ後にプレッシャーオブザーバーに通知するが動作を再開すると、 最新のプレッシャー状態のみを 報告し、このペナルティ中にプラットフォームコレクターから受信した中間状態の情報は 無視します。

実装経験に基づき、実装者は次を使用しなければなりません。

• PressureObserver の [[MaxChangesThreshold]] 内部 スロットには、50 回から 100 回の変更の範囲。
• PressureObserver の [[PenaltyDuration]] 内部スロットには、5000 ミリ秒から 10000 ミリ秒の範囲。

このセクションは非規範的です。

実装経験に基づき、実装者は次を使用することが推奨されます。

• PressureObserver の [[ObservationWindow]] 内部スロットには、 300000 ミリ秒（5 分）から 600000 ミリ秒（10 分）の範囲。

キャリブレーションプロセスでは、攻撃者は、作り出したワークロードによって加えられたプレッシャーに応じて、 この API が特定のプレッシャー状態への遷移を最も高い確率で報告するように CPU を操作しようとします。 この キャリブレーション 破壊緩和策は、これらのプレッシャー状態遷移に寄与する実装定義の 低レベルハードウェアメトリクスを実行時にわずかに変更することで、このキャリブレーションプロセスの 成功を遅らせるか、防止できます。 初期キャリブレーションが成功したとしても、この緩和策が継続的に動作している間は、 その結果は実行時に無効化されます。再キャリブレーションの試みも 同様に緩和されます。

このセクションは非規範的です。

実装経験に基づき、実装者は 120000 ミリ秒（2 分）から 240000 ミリ秒（4 分）の範囲内でランダム化された時間値に対して、この緩和策を適用することが推奨されます。

デフォルトでは、データ配信は、 アクティブな Picture-in-Picture セッションの開始元、 キャプチャ中の文書、 または存在する場合はシステムフォーカスを持つ文書と同一オリジンから提供された文書に制限されます。

上記の規則の下でデータ配信の条件を満たす文書は、子ナビゲータブル内の文書にデータ配信を委譲できます。

この機能を iframe などのサードパーティーコンテキストに拡張できるのは、 宣言された ポリシーによってのみです。

共有ワーカーは、トップレベル文書とそれに関連付けられた iframe など、複数の文書間で共有できます。所有者集合内の文書の 1 つが上記のデータ 配信要件を満たす場合、共有ワーカーも データ配信の条件を満たします。これは、埋め込まれた iframe が埋め込み側の文書へデータを渡せることを意味します。