英特爾CPU虛擬化技術淺談
在前不久的IDF春季論壇上，Intel向人們展示了代號為“Vanderpool”的虛擬化技術。這項技術將運用在Intel今年遲些時候推出的桌面CPU、64位ItaniumCPU以及明年推出Xeon服務器芯片和移動CPU上，屆時Intel的CPU將擁有硬件層次的虛擬化技術。
提到虛擬化技術，大家并不陌生。這項技術在傳統的大型機和Unix系統上早已是很普及了，但因為桌面CPU大都使用的是X86架構，這決定了在其之上使用硬件級虛擬化技術的難度。Intel可謂創造先河，誓將該技術運用到桌面級產品上，用以提高CPU的性能和降低系統組建開銷。這也在一定程度上符合Intel目前的策略，不再一味追求CPU的速度，而把焦點集中在CPU的效率上來。本文就將為讀者詳細介紹Vanderpool Technology技術(以下簡稱VT)，它是什么、做些什么事、存在的問題及解決方法，還有在技術層面上它是如何運作的。
一、什么是虛擬化?它給我們帶來什么?
虛擬化能使用戶在一臺服務器上同時運行多個操作系統，這與“多重任務處理”技術有些類似。不過“多重任務處理”技術只允許用戶在同一機器設備的同一操作系統中運行多個程序，而虛擬化則可讓用戶在同一機器設備中運行多個操作系統。這樣用戶能更靈活高效地配用計算機資源，并且有助于提高安全性能。
想象一下，一個操作系統幾乎不需花任何時間就可被啟動，即使它崩潰了，你只需簡單地將它剔除出去，同時立即裝載一個新的。如果你正在同時運行幾個操作系統，當你準備給其中一個載入新的映像時，你可馬上將它關閉，并把該系統正在處理的工作分流給其他系統運行。如果你有5個RedHat的副本正在運行Apache服務器軟件，而其中一個因滿負荷而停止響應，沒問題，你只需簡單地將響應請求轉交給其他4個系統處理，同時重啟那個停止工作的系統就行了。
如果你已為你正在運行的操作系統存儲了一份“快照”，那么每當有一些不愉快的事情發生時你都可重新啟動它，例如被黑客攻擊、感染病毒。從一個安全的分區載入映像并修復好它就行了。虛擬化還可讓用戶毫不費時地重新安裝操作系統而不需像以往使用Ghost那樣去安裝設備驅動。你可簡單地就像使用普通程序那樣去載入、卸載和存儲操作系統。
同樣，它也允許你在同一臺機器上使用多個不同的操作系統。如果你是一名程序員，需要編寫代碼使它們在Windows 95/98/Me/2000/XP上都能運行，你可在你的辦公桌上準備5臺機器或是1臺運行了5種虛擬化操作系統的電腦。同時，作為程序員的你需在每個瀏覽器的每個版本上校驗這些代碼，很明顯微軟不會讓你在一個已擁有高版本IE的情況下去安裝更低版本的IE去做這些事，但你可一個個地安裝舊的操作系統或采取更好一些的解決方法——讓它們同時運行。
二、現有虛擬化技術及缺陷
是不是一切都很簡單和完美?然而在虛擬化世界并非一切都是盡善盡美的。最顯而易見的就是那么多的副本操作系統(上面例子中的操作系統副本多嗎?你可以想象一個網絡主機公司，20個、50個都是有可能的)同時運行在一臺計算機上需要占據很多的資源并導致更昂貴的服務器開銷。數據傳輸在任何情況下都變得更難，因為越多東西被載入，需要的存儲器容量也就越多。
是的，真正的殺手就是系統開銷。目前在計算機虛擬化方面有幾項技術，但它們都伴有不同程度降低系統性能方面的問題。單就CPU而言，其占用率可以從10%到超過40%。
很顯然，我們需要新的技術來解決這些問題。Intel所要采用的VT技術背后的思想就是降低虛擬化時的系統開銷。在我們深入了解它如何工作之前，我們有必要了解一下虛擬化技術到底是如何實現不同的操作系統工作在同一CPU上的。
目前主要存在有3種類型的虛擬化技術:Paravirtualisation、二元碼轉譯和模擬器。大家最為熟悉可能就是模擬器了。你可以讓一個超級任天堂的模擬器在Windows XP的一個窗口中運行，同時還可有另一個PS模擬器。這些都可看作是虛擬化的最基本形式。模擬器需耗費巨大的CPU開銷，如果你非要去模擬硬件裝置的每一個Bit位，你將花費大量的時間和精力。比較好的方法是跳過其中的某些部分，我們使用的模擬器就是這樣，它工作得也還過的去。
這個領域的另一端就是目前較流行的并被業界認可的“Paravirtualisation”(以下簡稱PV)技術。按字面意思理解，是編程序模擬的意思。它讓主機操作系統知道它們正工作在一個虛擬化的環境中，通過修改它們以使之工作得更好。因此操作系統需針對這種方法進行修改和調整，它們必須來回于操作系統的編寫人員和編寫虛擬化軟件人員之間。從這個角度來看，它并非是完全的虛擬化，因為存在這種合作的關系。
PV技術在開源代碼的操作系統中工作得不錯，Linux,、xBSD都是很合適的PV工作平臺的候選者，你可在這些系統中任意調整所需調整的地方，使PV能工作得更好。而Windows則不行，這大概能解釋最近為什么眾多IT巨頭吹捧開源虛擬化技術Xen了。
而“二元碼轉譯”(以下簡稱BT)技術可說是較折衷的方法了。它所要做的取決于操作系統將要做些什么，并在不知不覺中改變它。假如操作系統試圖去執行指令A，但該指令A會給虛擬化引擎帶來某些問題，那么BT將把它轉換成某些更合適的指令并偽造指令A應該返回的結果。這是一項欺騙工作，且占用大量CPU資源，另外用許多代碼取代一條代碼也不會使事情運作得快些。
當你了解這些后，你會感到頭痛。純粹致命的缺陷的確沒有，但都沒有一個簡單的解決方案。這些虛擬化的技術仍在繼續運用，只是人們都在盡量使其處在一個較低程度的缺陷范圍內工作罷了。是什么造成這樣的呢?
(圖04，傳統的軟件虛擬化技術)
三、什么問題困擾著我們?
對于X86系統架構的CPU而言，至少在32位領域，有太多讓人頭痛的條條框框，但作為一條總則，它們都包含有環轉換器(Ring Transitions)和有關指令。從概念意義上說，環是一種劃分系統特權級別的方法(因此“Ring”也稱作特權環)。你可讓操作系統運行在一個特權級別上而不會使之被用戶程序更改。這樣即使你的程序出了問題，它也不會導致系統崩潰，而操作系統能取得控制權，關閉出毛病的程序。這些環強行控制系統的不同部分。
Intel公司的X86系列CPU(包括80386、80486、Pentium、Pentium Pro、Pentium Ⅱ、Pentium Ⅲ以及現在的Pentium 4CPU)，提供4個特權級別R0、R1、R2和R3。較大的數字表示較低的特權，我們可簡單理解為運行在某一級別的程序無法改變運行在較小數字級別上的程序，但較低數字級別上的程序可干擾甚至控制運行在較高數字級別的程序。
在實際運用中，被經常用到的只有R0和R3，即最高級別和最低級別。操作系統運行在R0上，而用戶程序運行在R3上。X86架構在向64位擴展時，采用的方法之一就是通過去掉中間的特權級別——R1和R2。幾乎沒有人注意到它們消失了，除了那些使用虛擬化技術的特定人群。
像VMware這類軟件模式的虛擬化機(Virtual Machines，以下簡稱VM)顯然必須運行在R0級別上，但如它們要想保持完全控制權，就必須使操作系統在這個級別之外。最顯而易見的解決辦法是強迫主機操作系統運行在一個較低級別的環中，如R1。它們的部分代碼原先被設定為從R0到R3，而不是R1到R3。雖然在PV環境中，你能修改操作系統從而使它工作得很好，但如果你要找到一個圓滿的解決方法，就必須使操作系統工作在R1級別中。
可如此一來又出現問題了，有些指令只有當它們從R0級里發出或發往R0級時才會工作，如果不在正確的環中，這些指令會運作得很古怪。如果你試圖這么去做，會有很不好的后果。讓代碼在正確的環中執行確實能防止操作系統破壞VM，同時也防止運行在主機操作系統上的軟件破壞操作系統自身。這就是所謂的“0/1/3”模式。
還有一種模式被稱為“0/3”模式。這種模式將VM放入R0級別中運行，而將操作系統和用戶程序都放入R3級別中。但從本質上而言，它還是像“0/1/3”模式一樣去處理其他事情。在R3級別里，有特權的操作系統能更輕松地執行用戶程序，由于不存在環的阻隔，也使它運行的更快一些，但系統穩定性不佳。
另外一個方式去使用“0/3”模式，就是讓CPU保有兩份運行于R0級別中的事物的頁表。一份為操作系統，另一份為運行在R3級別中的老程序。這樣可擁有一份完整的存儲器保護集，用來把用戶程序隔離到操作系統空間之外。當然，這同樣需要消耗性能，只是以不同的方式罷了。
概括來說，在“0/1/3”模式中，系統安全性更高一些，但從R3到R1、R3到R0或R1到R0轉換時性能會受到一些影響，反過來也是。在“0/3”模式中，只存在R0與R3之間的轉換，所以它潛在的比一個非主機操作系統運行得更快一些。但如你碰到一個問題，“0/3”模式比“0/1/3”模式更容易出現藍屏。盡管未來將廣泛使用“0/3”模式，主要是因為上文我們提到向在64位擴展時已去掉了R1和R2，所以你必須被迫使用“0/3”模式。對計算機而言，這被稱作是進步，同樣，毀滅性的崩潰被認為是“古怪”行為。
理論上，如果你可忍受一點不穩定性，或者在“0/1/3”模式中犧牲一點速度，那么應該說的很完美的。可它們在某些方面確實還存在一些缺陷，主要存在以下4點。首先是那些檢驗指令自己所在環的指令，另外是那些處在錯誤的環中卻沒有正確保護CPU現場的指令。最后兩點是截然相反的，就是那些應引發錯誤卻沒有導致錯誤的指令，以及那些本不該導致錯誤卻引發許多錯誤的指令。所有這些都讓編寫VM的天才程序員們活得不輕松。
其中第一點是顯而易見的。如果你給予操作系統R1級別的特權，當它檢驗自己運行所處的環時，它會返回1而不是0。如果此時運行于該系統的一段程序期望自己應該處在R0環時，那么它會因為得到的是R1而導致錯誤。這會導致藍屏的出現，存儲器清除或另一些不理想的后果。二元碼轉譯技術可捕捉到這種錯誤，并把返回值偽裝成0，但這意味著需要幾十上百條指令來完成這一工作，顯然速度受到極大影響。
保護現場是一個潛在的更糟糕的問題，有些CPU里的東西在上下文開關程序中并不是很容易被保存的。那些隱藏的段寄存器狀態就是一個很好的例子。一旦它們被載入主存，其中一部分無法被保存，導致內存常駐部分和CPU中實際值間的不同而引起意外中斷。當然我們可為它們設立工作區，但這樣做極為復雜且需付出很高的代價使之表現得聰明一些。
那些本該引起某些問題卻沒有導致這些問題的指令也是擺在我們眼前的一道難題。如果你期望一條指令應在你后面的設計的中斷陷阱中造成錯誤，但卻沒有，這一點也不會讓人因為沒有錯誤而高興。與此相反的情況也極為常見，如果不在正確的環中向CR0和CR4寫入，則會產生錯誤，導致系統崩潰。雖然這兩種錯誤在你不注意時可被修正，但卻造成很多性能損失。
整個所涉及到的虛擬化技術就是要將操作系統放在一個它本不應該在的地方，不斷地運轉去嘗試解決所有撲來的問題。存在許多問題，這些問題也不斷的發生，所以性能損失也就沒什么奇怪的了。
#p#
四、解決之道
Intel的VT技術能解決這些困擾。VT的目的是在盡可能最小化程序員痛苦的同時盡可能多的增加“virtualization holes”(虛擬化孔)。這種解決方案中，VT-X針對X86而VT-i針對Itanium，分別引入了一種新的模式針對不同的CPU。這里我們主要來看看VT-X，實際上VT-i的功能與VT-X有很多相同的地方。
這種新的模式被稱為VMX，并且引入了一個虛擬化機監控器VMM運行于其中。它被設定在R0級別下，你可以認為是R-1級或者看成是在環的旁邊運行。主機操作系統和所有的程序在VMX模式中運行，與此同時VMM運行在VMX根模式中。
任何一個運行在VMX模式下的操作系統，都擁有所有運行于非VT系統中的一般操作系統的功能和特性。它也處在R0級別中，與平常一樣有權利處理每一件事情，而且并不知道有什么東西正在它的旁邊運行。當情況得到授權，CPU進入VMX根模式，VMM就可以切換到其他一個運行在另一VMX實例的操作系統。這些切換被稱做VM登錄和VM退出。
VT技術所表現出來的不可思議的地方就在于它將從VMX模式到VMX根模式(或從VMX根模式到VMX模式)的登錄和退出處理易于操作。一旦主機操作系統被涉及到，那它一定是獨自處在自己的世界里的，你必須保存虛擬化世界的完整狀態并當你返回時重新載入它。雖然在VT里還有很多事物要去處理，但它被設計為一項任務，所以客觀地說它實際是一個簡單而并不費力的進程。
因為每一個操作系統實例都在正確的位置運行，所以前面所提到的4個問題也就不存在了。相關聯的工作區也不再需要，與此有關的系統開銷沒有了。這些能有效提高速度。但這些并非免費，只是付出的代價要少很多。
啟動一個新的主機操作系統，你需為其留出一塊4kB的存儲區并將它傳遞給一個VMPTLRD指令。這塊區域將用來存儲該系統實例不被激活時的所有狀態和重要Bit位。只要該操作系統實例存在，則這塊區域一直有效，直到在其上運行一條VMCLEAR指令。這樣就設立了一個虛擬化機實例。
如果你想要把控制權交給虛擬化機，你要么登錄VMX非根模式或簡單一點，運行VMX模式即可。這些提到的VM登錄指令就是VMLAUNCH和VMRESUME，兩者并沒有太大的區別。VMRESUME指令只是簡單地從剛開始已經初始化的4kB存儲區里載入CPU狀態，并把控制權交給主機操作系統。VMLAUNCH做的也是同樣的工作，但它會啟動一個虛擬化機控制構件VMCS，它包含一些設立VM的現場背后的記錄，因為這需花費一些時間，所以人們盡量避免在并發登錄時使用VMLAUNCH。
從這一點來看，主機操作系統開始了它的愉快之旅，盡可能地運轉，毫無察覺是否有其他東西正在它的一旁運行。正如過去所計劃的一樣，它存在于自己的世界里，全速運行，或接近全速。唯一的問題是你如何打破這一切美好的景象而將它關閉到一邊，以使得機器里的其他操作系統能真正運行。這就是VT技術所體現出來的復雜的一面——VMCS中一些特別的位映像。
這些位映像是一些32位的字段，每一個Bit位標志一個事件。如果某個事件被觸發，則對應的Bit位被置位，CPU觸發一條VM退出指令，并將控制權返還給運行在VMX根模式下的VMM。VMM可做任何想做的事，然后將VMRESUME指令傳遞給下一個操作系統，或剛離開的那個操作系統。這個被啟動的操作系統同樣很好地運行著，直到觸發另一條VM退出指令。如此這樣以每秒上千次的速度重復著。
什么能觸發這些指令呢?它們可以是引腳信號、CPU、異常和頁面錯誤這些平臺事件，所有這些都會觸發VM退出指令。VT技術的完美之處在于它有很強的適應性，另一個與此類似之處就是在調試程序中設置斷點，你可在每個事件上都設置一個，或者一個也不設置，這都取決于你自己。
引腳信號事件要做的是當有一個內部中斷或一個不可屏蔽中斷發生時，則觸發退出指令。而CPU事件，則是當你設置任意Bit位在某一字段，當相應的CPU狀態接收到它時，則觸發退出指令。雖然大多數指令需要去設置，但也有一些指令無條件地引發VM退出指令。這是在一個非常細小的層面上控制VM，允許每當你需要時登錄和退出。
異常位映像也是一些32位的字段，每個Bit位標志每個32位指令地址的異常情況。如果Bit位被設定并有一個異常被拋出，它就會引發VM退出指令。如果Bit位是空的或沒有異常，那么主機操作系統則繼續它的快樂之旅，與平常一樣。這是一種從VMX模式退出而進入VMX根模式的系統開銷非常低的方法。
最后還有頁面錯誤退出，它與異常退出十分相像，只不過它用兩個32位字段來控制。這些字段內的Bit位對每一個可能出問題的頁面錯誤代碼進行映像，因此你可細心地從中挑選從哪里退出。同樣，它也是基于很細小的層面，系統開銷也很低。
在計算機里，VT工作在一個比傳統的R0環更有特權的級別中。任何一個主機操作系統都可在沒有改變的舊有架構下運行，并且不知道一個控制程序在控制它們。當遭遇到某些用戶設置的觸發器，控制權將被轉交給運行在更高級別的VMX根模式上的VMM。因為這是一種被動觸發事件，而不需被積極監視，因此系統開銷降到了最低限。
VT技術使得安裝和卸載那些比以往VM模式更穩定的運行環境變得簡單。如果你需運行虛擬化系統，沒有理由不用一個擁有Vanderpool功能的CPU去實現它，而軟件虛擬化機會逐漸不被人關注。
這也許不錯，但必須記得，這必須付出代價。每一次登錄意味著建立4kB的存儲區域，每一次退出要向這4kB存儲區內寫入數據。這看上去有些耗費過多，可與那些較老的方式比較，它的速度驚人地快。
總結
Intel的VT技術給人們帶來了驚喜，它讓我們可在硬件級別上完成計算機的虛擬化工作。目前時機成熟了，Intel將首先在其桌面CPU中引入該技術，最新的Pentium 4 6系列CPU就支持VT，這讓更多的用戶都能涉足到新技術的應用，大大提高了用戶使用CPU的效率，編寫VMM不再那么困難了。
不過我們也要清醒地認識到，現有的虛擬化技術不會馬上消失，相反它們會變得更為普遍且系統開銷問題也正得到改善，而大型服務器提供商們也不會在現有的技術上發生巨大的變化，畢竟目前還用得過去。加上AMD公司也發布了在其64位CPU上使用Pacifica虛擬化技術，因此VT想要取代現有的計算機虛擬化技術或得到人們的認同還需一段時間。可我們相信硬件級別的虛擬化技術毋庸置疑的是未來計算機發展的方向，有著燦爛的前途。
【編輯推薦】
