或许我们该重新审视微内核

# 也许我们该重新审视微内核 来源：https://notes.hella.cheap/maybe-we-should-revisit-microkernels.html ## 微内核 如果你想了解微内核的完整定义，可以阅读维基百科文章（https://en.wikipedia.org/wiki/Microkernel），但用一句话概括就是：这是一种内核，其中除调度、管理 I/O 设备访问以及进程间通信（IPC）之外的所有内容都运行在用户空间中。 ## 为什么要用微内核？ 更高的安全性、更高的可靠性、更好的模块化。安全性更高，因为在微内核系统中，某个驱动程序中的漏洞只会让攻击者访问该子系统（甚至可能仅限于该驱动程序），而不像当今主流操作系统那样，攻击者可以无限制地访问整个系统。可靠性更高，因为某个子系统崩溃只会导致该子系统瘫痪，而不会导致整个系统崩溃；如果 Windows 是微内核系统，那么 CrowdStrike 漏洞（https://en.wikipedia.org/wiki/2024_CrowdStrike-related_IT_outages）只会让部分 IT 安全人员无法获取遥测数据，而不会成为头版新闻。如果 Linux 是微内核系统，那么 Linux 内核团队就不必负责合并每个硬件设备的驱动程序，也不必为了正确审查代码而成为 Linux 内核所支持的每个芯片内部工作原理的专家。 ## 为什么不用微内核？ 如果微内核这么好，为什么不是所有操作系统都采用微内核？在 80 年代和 90 年代，很多人都在问这个问题，他们中的许多人确实构建了微内核操作系统，但结果发现答案是开销太高了¹（https://notes.hella.cheap/maybe-we-should-revisit-microkernels.html#fn:1）。 开销太高是因为 80 年代的计算机无法让用户空间进程直接访问特定的硬件设备。这意味着，例如当文件系统要执行磁盘读取时，它必须进行一次系统调用，而这会触发上下文切换，进而引发大量昂贵的锁定和内存复制操作。 ## 为什么现在要用微内核？ 用一个词回答：IOMMU（https://en.wikipedia.org/wiki/Input%E2%80%93output_memory_management_unit）。如今几乎所有在用的 PC 都配备了 IOMMU，它已经是标配大约十年了。通过正确使用 IOMMU 和共享内存，你可以完全消除正常路径中的上下文切换（正常路径指当有足够多核心，所有需要完成的工作都可以由当前正在运行的进程完成的情况），并且如果你愿意接受一点延迟，几乎可以消除整体上的上下文切换。 在微内核系统中，内核需要完成三件关键任务：调度、进程间通信以及管理 I/O 设备访问。 基于虚拟化技术（IOMMU 是其一部分）的微内核调度器看起来会像 Xen（https://xenproject.org/）虚拟机监视器那样。 对 I/O 设备的访问由 IOMMU 在硬件层面管理。 要实现零开销（至少在正常路径下）的 IPC，你只需要能够在进程间分配共享缓冲区，以及整数的原子比较并交换操作。这让你可以将共享缓冲区用作命令队列；只需一个环形缓冲区，配合原子操作来移动起始和结束指针。这样你就可以异步传递消息，无需上下文切换、无需在地址空间之间复制数据、也无需锁。这种模式如今在 GPU 驱动等场景中被广泛使用。 ## 共享库怎么办？ 当你的操作系统进程实际上是虚拟机来宾时，共享库如何工作？在启动时将库链接到程序中，并以外核（https://pdos.csail.mit.edu/6.828/2008/readings/engler95exokernel.pdf）风格在本地实现所有不需要在其他进程中完成的功能。如今每个应用都自带一份自己的操作系统副本（以 Electron 的形式），因此内存中冗余的库副本不再是三十年前那样的问题了。 ## 实际实现这样一个系统需要什么？ 其实并不复杂。Xen 已经具备你需要的虚拟机监视器层的大部分功能。你可以模仿 Mach 的做法，通过从 FreeBSD 复制代码来实现网络、文件系统等服务器。DRM（https://dri.freedesktop.org/docs/drm/gpu.html）已经基于异步命令缓冲区，因此你可以从 Linux 复制图形子系统并在用户空间中运行（尽管将显示服务器运行在同一进程中可能会更方便）。