虛擬機監視器結構與實現技術
2009-01-01 00:00:00唐源李建平白雪黃源源
計算機應用研究 2009年5期
(1.電子科技大學 計算機科學與工程學院 成都 610054； 2.后勤工程學院 國際小波分析與應用研究中心 重慶 400016; 3.吉林大學 通信工程學院 長春 130012)
摘 要：首先介紹了虛擬機技術的發展歷史以及虛擬機監視器所具有的優點和特性，總結了其體系結構和分類，并分析了虛擬機監視器內部邏輯模塊；從CPU虛擬化、內存虛擬化、I/O虛擬化和硬件支持四個方面討論了虛擬機監視器的實現技術；最后基于當前學術界和業界對虛擬機技術的研究情況，闡述了未來虛擬機技術面對的機遇與挑戰。
關鍵詞：直接執行； 準虛擬化； 虛擬技術； 虛擬機監視器
中圖分類號：TP338文獻標志碼：A
文章編號：1001-3695(2009)05-1632-04
Architecture and implementation of virtual machine monitor
TANG Yuan1 LI Jianping1，2 BAI Xue3 HUANG Yuanyuan1
（1.School of Computer Science Engineering University of Electronic Science Technology of China Chengdu 610054 China; 2. International Centre for Wavelet Analysis Applications Logistical Engineering University Chongqing 400016 China; 3.School of Communication Engineering Jilin University Changchun 130012 China）
Abstract:After reviewing the history of virtual machine technology this paper introduced the advantages and characteristics of VMM summarized its architecture and taxonomy analyzed logical modules in the VMM and then described the VMM implementation technology in the aspects of CPU memory I/O and hardware support. Finally discussed the opportunities and challenges of future virtual machine technologies based on the current research in academia and industry.
Key words：direct execution; paravirtualization; virtualization; VMM(virtual machine moniter)
0 引言
20世紀 60 年代末，為了提高昂貴的計算資源的利用率，促使了虛擬機監視器（VMM）得到廣泛的研究和應用。然而，到了80和90年代，隨著現代多任務多用戶操作系統的普及和硬件成本的下降，VMM的價值不再受到重視。21世紀初，VMM重新成為研究熱點：Intel、AMD、Sun和IBM投入大量資金發展虛擬化戰略；各大學和研究院也正在研究基于虛擬機技術來解決可移植性、可擴展性、可靠性、安全和性能優化等方面的問題。
VMM的復興有以下一些原因：計算機硬件和現代操作系統性能日益提高，結構日益復雜，系統的脆弱性也日益突出[1]；安全和保密是信息技術領域中最令人困擾的兩個問題，學術界和業界都開始利用虛擬機提供保護機制；多處理器和64位機的出現增強了對虛擬技術的要求，因為單個系統很難充分有效地利用日漸強大的計算資源；虛擬機的特點能夠滿足在不同平臺上遷移進程和計算環境這類分布式系統的需求[2]；在許多不相關的用戶間共享相同的硬件環境。所以，如何降低系統成本、提高系統資源利用率、提高安全性和可靠性、增強可移植性等課題使虛擬機技術的重要性越來越明顯。
1 VMM系統結構概述
1.1 VMM的優點和特性
Goldberg和Popek等人在文獻[3，4]中對VMM和虛擬機作了如下定義：VMM是一個系統軟件，可以維護多個高效的、隔離的程序環境，該環境支持用戶直接去訪問真實硬件，而這樣的程序環境就稱為虛擬機。虛擬機是一個真實存在的計算機系統的硬軟件副本，其中部分虛擬處理器指令子集以本地（native）方式執行在宿主（host）處理機上，其他部分指令以仿真方式執行。從以上定義可以看出，VMM管理計算機系統的真實資源，為虛擬機提供接口。所以，使用VMM有以下優點[5~8]：
a)VMM的實現相比于Linux或Windows這類操作系統的實現要簡單很多。因為VMM避免了像TCP/IP Sockets和文件系統這類高級抽象，這將有利于安全性和可靠性，也便于擴展和修改。
b)VMM允許系統管理者配置虛擬機運行的環境。虛擬機的各項設置可以與真實機不同，如真實機有512 MB內存，可以設置虛擬機內存64 MB，有利于開發者在各種環境下測試軟件。
c)VMM允許在相同硬件上同時執行不同的操作系統，稱之為GuestOS。系統管理者可以用這種能力來聯合多個使用不充分的分散計算機，為不可信和不安全代碼增強了隔離性，同時增強了可靠性，在一個虛擬機中的軟件發生故障也不會影響到其他虛擬機。
d)當操作系統升級后，仍然可以在虛擬機中運行早期開發的軟件，由此可以降低軟件開發成本。同時成本的降低還來源于減少硬件產品的購置。
e)針對擁有10~100個處理器的可擴展計算機，VMM能夠方便地開發功能強大、可靠的系統軟件。
f)虛擬機控制了程序運行的整個軟件環境，包括操作系統和應用軟件，因此可以封裝程序地址空間和進程狀態，然后在不同的硬件上熱遷移（hot migration）整個工作環境，由此提高性能和達到負載平衡。
文獻[4]中規定了一個可稱之為VMM軟件必須滿足的三個本質特性：
a)等價性。VMM提供一個幾乎等價于源機器的執行環境，任何運行在虛擬機中的程序如同直接運行在未虛擬化的源機器上。
b)資源控制。VMM能夠控制真實系統的資源，而虛擬機中的客戶（guest）軟件不能改變真實系統的設置。如果客戶軟件要改變系統資源，必須顯式地讓VMM來控制資源。
c)效率。大多數虛擬處理器指令在真實處理器上直接執行，這類指令稱為無害（innocuous）指令，它們不受VMM干涉也不用仿真；另一部分敏感（sensitive）指令需要VMM解釋執行。直接執行的指令速度快、效率高，解釋執行的指令也可以進行優化。
1.2 VMM的分類
可以將VMM按結構分為以下三類：
a)經典VMM （classic VMM），如圖1(a)所示。可以將這種類型的VMM看成是從底層硬件平臺分離出來的軟件層，在VMM上層實現的虛擬機能夠各自運行自己的操作系統和應用程序[1]。因為VMM直接運行在裸機上，其內核必須運行在處理器的最高特權級（如x86的ring0），而客戶操作系統（GuestOS）則運行在較低的特權級上。VMM能完全控制對硬件資源的訪問，每個虛擬機完全獨立于其他的虛擬機。
經典VMM是硬件與軟件之間的間接層，為底層硬件提供統一的接口。從上層操作系統的角度來看，不同的硬件和不同的I/O系統是沒有區別的，它能夠提供兩種形式的應用：(a)將VMM建立在多種硬件平臺上，因為VMM對虛擬機和其上的軟件進行了完全的封裝，VMM層能夠將其映射或重映射到不同的硬件平臺，甚至在不同的硬件上進行移植；(b)在一個平臺上虛擬多個虛擬機，利用VMM強有力的隔離性，也可以在單個硬件平臺上支持多種不同的虛擬機。
b)宿主型VMM（host VMM），如圖 1(b)所示。在這種結構中，VMM不是獨立構成運行在所有軟件之下的一層抽象，而是與現存的宿主操作系統（HostOS）共享硬件。VMM內核可以充分地利用宿主操作系統提供的I/O設備驅動及底層服務[9]。例如，I/O VMM將虛擬機的虛擬顯卡置于宿主操作系統之上，宿主操作系統完全控制、驅動和管理虛擬機的I/O顯示設備，而客戶操作系統（GuestOS）不用考慮顯示設備是什么。又如，當GuestOS發出要讀寫虛擬磁盤的命令時，I/O VMM將這個命令解釋為在HostOS的文件系統中讀寫文件的系統調用。VMware Workstation采用的正是這種宿主型的結構。
宿主型結構的VMM有三個重要的優勢：(a)VMM安裝簡單，安裝一個VMM就像在HostOS上安裝一個應用軟件，而不是像經典VMM需要安裝在裸機上；(b)VMM利用HostOS提供豐富的I/O設備接口；(c)VMM還可以使用HostOS環境提供的調度策略、資源管理和其他服務。
c）混合型 VMM（hybrid VMM）。Hybrid VMM（HVM）[5]具有以上兩種VMM所有的優點，又避免了完全軟件解釋機（complete software interpreter machine，CSIM）所引起的性能損失。HVM與VMM的差別在于對特權指令的處理：普通VMM可以直接執行某些特權指令，而混合型VMM用純軟件解釋每個特權指令。它們對所有非特權指令處理是一樣的，均采用直接執行（direct execution）技術。
1.3 VMM組成模塊
VMM功能通常由三個邏輯模塊組成[2，4]，即調度器（dispatcher）、分配器（allocator）和一組解釋例程（interpreters）。調度器處于VMM的頂層。當機器執行特權指令產生trap時，通過中斷進入調度器，調度器再決定應該調用某分配器或解釋例程。分配器決定系統資源如何分配。解釋例程仿真特權指令，它不改變硬件資源，但需要訪問特權資源。例如虛擬機執行一個將改變虛擬機環境資源的特權指令時，虛擬機產生一個trap到VMM調度器，然后調度器調用分配器，分配器再按VMM的要求實現資源分配。每個特權指令對應一個解釋例程。當虛擬機執行一個不改變虛擬機環境資源的特權指令時，調度器調用一個解釋例程來仿真相應的特權指令，如圖2所示。
2 VMM實現技術
2.1 VMM在計算機系統結構中的位置
虛擬機的實現必須考慮計算機系統結構。典型的計算機系統可以通過接口來描述[2]。圖3顯示了重要的接口和實現層。在軟硬件邊界附近的三個接口對虛擬機的構建非常重要，它們包括ISA（instruction set architecture）、ABI（application binary interface）和API（application programming interface）。
圖中1、2、3、4分別代表不同的接口：1代表高級語言庫調用 （highlevel language library call）；2代表系統調用（system call）；3代表系統指令集（system ISA）；4代表用戶指令集（user ISA）。
ISA由接口3和4構成，是硬件和軟件的分界線。接口4是對操作系統和應用程序都可見的用戶ISA；接口3是僅對操作系統可見的系統ISA，它是一種允許直接控制、分配和監視硬件資源（處理器、內存和I/O）的特權操作。
ABI包括兩個主要部分：所有的用戶指令集（接口4），而系統指令集不包含在ABI中；如果應用程序要直接與硬件資源交互，需要通過系統調用（接口2）訪問操作系統。
API由接口1和 4構成。API最主要的部分是標準庫（libraries），應用程序通過這個標準庫調用操作系統提供的各種服務。
實現虛擬技術就在于指令集的映射，這種映射可以發生在 ISA、ABI和API三個位置，分別實現不同的功能和目的。接口3和4處指令的執行需要具有最高的特權級。VMM實現技術主要包括 CPU 的虛擬化、內存的虛擬化和I/O 的虛擬化技術。
2.2 CPU虛擬化
指令集通常可分為非特權指令和特權指令兩種。非特權指令不能改變共享資源的值或狀態。共享資源包括處理器、內存、計時器和特殊目的的寄存器等。非特權指令如算術運算指令、邏輯運算指令等。特權指令是所有用來訪問共享資源的值或狀態的指令，這類指令包括關機、設置計時器、設置程序計數器、改變重定位寄存器的值和I/O相關的指令。
處理器有用戶模式和特權模式兩個狀態。在非虛擬化的環境中，用戶模式下只能執行非特權指令，而特權模式下可以執行所有的指令，如操作系統就運行在特權模式。假如一個特權指令在用戶模式執行，將產生一個trap去執行中斷例程。在虛擬機環境中，VMM運行在特權模式，并且控制訪問所有虛擬機共享的資源，虛擬機則運行在用戶模式，所以虛擬機的特權和非特權指令都運行在非特權模式。以x86為例，VMM運行在ring0下，客戶操作系統中原來在ring0、ring1、ring2下執行的代碼將在 ring1執行，原來在ring3下執行的代碼仍然在ring3下執行。虛擬機的非特權指令用直接執行技術（直接在硬件上執行，不用VMM干涉）。虛擬機的操作系統（GuestOS）執行特權指令時，將產生trap（因為虛擬機運行在用戶模式），進入VMM，然后VMM仿真執行特權指令。VMM調度虛擬機，如同傳統的操作系統調度進程。
CPU是否支持虛擬化，要看它是否支持基本的直接執行技術。實現基本的直接執行要求在CPU的非特權模式運行虛擬機的特權代碼（如操作系統內核）和非特權代碼，而VMM運行在特權模式。不幸的是，大多數現代的CPU體系結構在設計時未考慮對虛擬化的支持，包括流行的x86體系結構。目前有幾種技術解決在不支持虛擬化的CPU上實現VMM，最普遍的是準虛擬化技術和結合二進制代碼翻譯的直接執行技術[1，10]。
1)準虛擬化 用容易虛擬化和更高效的等價方式來重置原指令集的不可虛擬化的部分，通過這種方式定義虛擬機接口。該技術的優點是開銷小、性能好，但客戶操作系統（GuestOS）需要進行修改。由于不改變ABI接口，客戶應用程序并不需要修改。Cambridge大學的Xen和Stanford大學的Disco就是采用這種技術的VMM，前者實現了對x86體系結構的虛擬，后者實現了對MIPS體系結構的虛擬。不能向后兼容是準虛擬化技術最大的缺點，因此實現全兼容并且具有高性能的VMM將是計算機工程領域的重大挑戰。
2)結合快速二進制代碼翻譯的直接執行 為了實現與x86結構有兼容能力的虛擬機，VMware設計了一種新的虛擬技術——結合二進制代碼翻譯的直接執行。這種VMM運行特權模式代碼需要在二進制代碼翻譯器的控制下進行，翻譯器將特權代碼翻譯成一個功能相似的程序塊，使其可以直接執行在CPU上。其翻譯速度快，可用于優化直接執行。因此傳統的直接執行與快速、運行時二進制翻譯相結合的技術就是：可虛擬化代碼直接執行，而不可虛擬化代碼在特權模式下進行二進制翻譯。
上述兩種方法看起來非常相似，但有一個本質區別：二進制代碼翻譯器并不改變操作系統或應用程序的源代碼，而是在相應代碼第一次執行時進行翻譯；準虛擬化通過改變源代碼來重置源指令集。
2.3 內存虛擬化
內存虛擬化方法：VMM維護一個虛擬機內存管理數據結構——鏡像頁表（shadow page table）。VMM通過鏡像頁表給不同的虛擬機分配機器的內存頁，如操作系統虛擬內存一樣，VMM能將虛擬機內存換頁到磁盤，因此，虛擬機申請的內存可以超過機器的物理內存。VMM也可以根據每個虛擬機的要求，動態地分配相應的內存。
內存虛擬化面臨兩個挑戰：a)VMM的內存虛擬子系統通常控制了分配多少內存給每個虛擬機，針對使用情況進行頁的交換，然而運行在虛擬機中的操作系統（即GuestOS）卻比VMM有更多的信息決定置換出哪些頁更好。VMware ESX通過在GuestOS中運行一個氣球進程（balloon process）來解決這個問題。當VMM要從虛擬機中減少內存時，就讓氣球進程去申請內存，造成內存緊張，GuestOS就會用其具有的頁交換信息去選擇適當的頁給氣球進程，氣球進程再通知VMM。b)現代操作系統和應用程序非常復雜，運行多個虛擬機會造成很多重復的代碼和數據。針對這個問題，可以采用基于內容的頁共享技術。
操作系統對頁表的頻繁更改增加了更新鏡像頁表操作的開銷，使用硬件來管理鏡像頁表將是未來研究的方向。
2.4 I/O虛擬化
三十年前，IBM主機的I/O子系統采用基于通道（channel）的結構，處理器通過一個單獨的通道來訪問I/O設備。當前的計算機環境具有更豐富和更多樣化的I/O設備，如x86計算環境支持一個龐大的不同供應商提供的、具有不同編程接口的I/O設備集合，這使得I/O虛擬化變得更加困難。
VMware Workstation采用宿主型的體系結構，使用宿主操作系統的I/O設備驅動程序。這種結構的缺點之一是大大增加了虛擬化的性能開銷；另一個缺點是現代操作系統如Windows和Linux并沒有資源管理的支持為虛擬機提供性能隔離和服務保證，而這是很多服務器環境的基本要求。
與CPU的發展趨勢類似，I/O子系統的產業趨勢是朝著硬件支持的方向發展。擁有足夠的硬件支持，直接傳送類似IBM主機的通道I/O設備到虛擬機中的軟件是完全可能的，這將有效地消除所有I/O虛擬開銷[11]。要做到這一點，I/O裝置需要了解虛擬機的情況和能夠支持多個虛擬接口，以便VMM能安全地映射接口到虛擬機。
2.5 VMM硬件支持
由于硬件上的限制對虛擬化帶來諸多不利，許多芯片制造廠商已經推出新一代的CPU以更好地支持虛擬化。例如Intel使用Vanderpool[12]技術、AMD使用Pacifica[13]技術通過給處理器增加一個新的執行模式，使VMM能安全、透明地使用直接執行去運行虛擬機。Intel的VTx(或稱Vanderpool)引入針對虛擬化的擴展指令集VMX，定義了兩種新的CPU操作模式：VMX根模式和VMX非根模式。VMM運行在VMX根模式下，而GuestOS運行在非根模式下，兩種模式都支持特權級。這樣使客戶操作系統也可運行在所需的特權級下，消除了客戶操作系統到VMM特權級轉換的問題。Intel 的 VTd也非常關注內存保護和直接分配技術，提供了在多個虛擬機與I/O之間進行直接通信的架構。內存虛擬化方面，AMDV（或稱Pacifica）虛擬化技術引入了新指令以實現獨特的內存模式，其中大部分指令都是針對MMU（memory management unit）設計的，可以進行內存分配。在I/O虛擬化方面，AMD推出的I/O 內存映射單元技術可以提供額外的指令來支持硬件虛擬化，它可以改進 DMA 映射和硬件設備的訪問，并支持直接分配技術。
3 VMM的前景
根據當前產品和研究的情況，可以從以下三個方面來討論VMM的前景：
a)服務器系統。在數據中心，管理員能夠快速地創建、監視和管理運行在數百臺物理機器上的數千個虛擬機。創建新的服務器時，管理員無須配置單個計算機，而是從現有的模板中實例化新的虛擬機，再將這些虛擬機映射到物理資源上，這種映射是高度動態的。單個計算機并不專門提供特定的服務，而是作為硬件資源池中的一部分。虛擬機根據數據中心的需要在物理機器間快速移動的能力稱為熱遷移，也即VMM移動正在運行的虛擬機而不使服務中斷。
未來VMM必須能自動進行負載平衡、檢測硬件故障和根據特定的服務要求創建、終止和遷移虛擬機。
b)桌面系統。VMM在分布式系統的好處對桌面系統同樣有效，它有利于管理桌面機和筆記本的集合。虛擬機提供了強有力的、統一的范式來重構桌面系統管理。在VMM層解決問題有益于運行在虛擬機上的所有軟件，無論其生產年代和供應商，這種獨立性也降低了購買和維護冗余設備的需求。類似于分布式系統，虛擬機的移動能力顯著地改變了機器的使用方式，如collective[14]和Internet suspend/resume[15]項目證明了在本地與大區域上遷移整個用戶計算環境的可行性，使用戶可以攜帶自己的計算環境到任何地方。
不斷增強的基于虛擬機環境的動態特性要求更具動態性的網絡拓撲結構。未來的邏輯計算環境與物理位置相分離，那么虛擬交換機、虛擬防火墻和疊加網絡將越來越重要。
c)安全性。VMM能夠重構現有軟件系統以增強安全性，同時也便于使用新的方法去構建安全系統。將有安全漏洞的某些功能移到虛擬機的外面，使它們與客戶操作系統一起運行但又與之隔離，VMM提供了相同的功能但具有更強的抗攻擊能力。這樣的研究實例有Stanford大學的Livewire[16]，它利用虛擬機來進行入侵檢測。另一個是Michigan大學的ReVirt[17]，它利用記錄日志的辦法在指令級別上重現操作系統的執行，這樣可以重現入侵監測等非確定的行為。虛擬機特別適合作為構件去構建高安全保障的系統。例如，美國國家安全管理局的NetTop體系結構使用VMware隔離多個環境，每個環境有權使用不同安全分類的、分離的網絡。
VMM的這些能力使得它很適合構建可信計算環境，如Stanford大學的Terra系統，從硬件開始，逐級進行驗證，建立一個可信任的計算平臺。此外，VMM提供的靈活的資源管理使系統能夠更耐攻擊，快速復制虛擬機和動態適應大工作量的能力提供了一個強有力的工具去處理分布式拒絕服務攻擊造成的大量請求。
虛擬化技術正成為全球的熱點，并在中國開始得到廣泛關注。除了以上三個領域，在計算機系統中還有眾多課題都顯示出虛擬技術的重要性。比如在網格計算領域，可以利用虛擬機技術的封裝和隔離的特性[18]；而在中間件領域，虛擬機更是其核心技術；軟件分發是將應用程序打包進入虛擬機，VMM的廣泛部署暗示著軟件公司能夠分發包含復雜軟件環境的完整虛擬機。
4 結束語
計算機科學中的任用問題都可以用另一個間接層來解決，VMM正是扮演了這樣一個角色。當前，對VMM的研究一方面集中在傳統的系統兼容性、可管理性、可擴展性和性能優化上；另一方面則利用VMM具有封裝和隔離特性來實現可移植性、安全性、入侵檢測和可信計算等。
在VMM層可以獲得虛擬機機器狀態的信息，并且能夠干預虛擬機的執行，由此可以利用虛擬機的這些特性從一個全新的角度審視和彌補現有安全技術的不足，重構現有軟件系統以增強安全性或使用新的方法去建立安全系統。我國的計算機硬軟件與國外相比處于相對落后狀態，在信息安全領域也同樣如此，VMM的研究還處于起步狀態。利用VMM來解決安全和可靠性問題，將是我國研究VMM很好的切入點。
參考文獻：
［1］ROSENBLUM M GARFINKEL T. Virtual machine monitors:current technology and future trends[J]. IEEE Computer 2005，38(5):39-47.
[2]SMITH J E NAIR R. Virtual machines: versatile platforms for systemsandprocesses[M]. Beijing: PublishingHouseofElectronicsIndustry 2006:382-390.
[3]GOLDBERG R P. Survey of virtual machine research[J]. Computer 1974，7(6):34-45.
[4]POPEK G J GOLDBERG R P. Formal requirements for virtualizable thirdgeneration architectures[J]. Communications of the ACM 1974，17(7):412-421.
[5]ROBIN J S IRVINE C E. Analysis of the Intel Pentium’s ability to support a secure virtual machine monitor[C]//Proc ofthe 9th USENIX Security Symposium. 2000.
[6]MENASCE D A. Virtualization: concepts applications and performance modeling[C]//Proc of the 31st Int Computer Measurement Group Conf. 2005.
