[論文レビュー] The Quest-V Separation Kernel for Mixed Criticality Systems

Ye Li, Richard West+1 more|arXiv (Cornell University)|Oct 23, 2013

Real-Time Systems Scheduling参考文献 27被引用数 7

ひとこと要約

この論文では、実行時の仮想化に伝統的なハイパーバイザーに依存せずに、物理リソースを隔離されたサンドボックスに分割することで、マルチコアプロセッサ上でミックスドクリティシカルティーシステムを実現する分離カーネルQuest-Vを提示する。各サンドボックスが自らのリソースを直接管理できるようにすることで、実行時のオーバーヘッドを低減し、強固な隔離を実現しており、ハイパーバイザーはブート時およびサンドボックス間通信のためのみ使用される。その結果、安全で重要な用途に適した、形式的に検証可能な効率的で隔離されたシステム分割が実現される。

ABSTRACT

Multi- and many-core processors are becoming increasingly popular in embedded systems. Many of these processors now feature hardware virtualization capabilities, such as the ARM Cortex A15, and x86 processors with Intel VT-x or AMD-V support. Hardware virtualization offers opportunities to partition physical resources, including processor cores, memory and I/O devices amongst guest virtual machines. Mixed criticality systems and services can then co-exist on the same platform in separate virtual machines. However, traditional virtual machine systems are too expensive because of the costs of trapping into hypervisors to multiplex and manage machine physical resources on behalf of separate guests. For example, hypervisors are needed to schedule separate VMs on physical processor cores. In this paper, we discuss the design of the Quest-V separation kernel, that partitions services of different criticalities in separate virtual machines, or sandboxes. Each sandbox encapsulates a subset of machine physical resources that it manages without requiring intervention of a hypervisor. Moreover, a hypervisor is not needed for normal operation, except to bootstrap the system and establish communication channels between sandboxes.

研究の動機と目的

• ミックスドクリティシカルティーエンジニアドシステムにおける伝統的なハイパーバイザーの高い実行時オーバーヘッドを解消すること。
• 共有のマルチコアハードウェア上で、異なるクリティシカルティーレベルのサービス間の強固な隔離を実現すること。
• 通常の動作時にはフル機能のハイパーバイザーへの依存を減らすために、サンドボックスがリソースを独立して管理できるようにすること。
• 安全で重要な用途に適した、形式的に検証可能な軽量なシステムアーキテクチャを提供すること。
• ハードウェア仮想化機能（例：ARM Cortex A15、Intel VT-x）を活用して、隔離を損なわず、効率的なリソース分割を実現すること。

提案手法

• CPUコア、メモリ、I/Oなどの物理リソースを隔離されたサンドボックスに分割する分離カーネルの設計。
• 通常の動作時にはハイパーバイザーの干渉を必要とせず、各サンドボックスが割り当てられた物理リソースを自ら管理できるようにすること。
• システムのブートとサンドボックス間の安全な通信チャネル確立のため、最小限のハイパーバイザーのみを用いること。
• ハードウェア仮想化サポート（例：ARM MMU、x86 VT-x）を活用して、ハードウェアレベルでメモリおよびCPUの隔離を強制すること。
• ハイパーバイザーがセットアップ時に介在する、共有メモリ領域とメッセージパッシングを用いたサンドボックス間通信メカニズムの実装。
• 厳密なアクセス制御を強制し、サンドボックス間の干渉を防止する分離カーネルアーキテクチャにより、隔離特性の形式的検証を確保すること。

実験結果

リサーチクエスチョン

• RQ1 伝統的なハイパーバイザー基盤の仮想化と比較して、分離カーネルはミックスドクリティシカルティーシステムにおける実行時オーバーヘッドを低減できるか？
• RQ2 隔離を損なわず、リソース管理を個々のサンドボックスに委ねることはどの程度可能か？
• RQ3 通常のシステム動作時にはハイパーバイザーへの依存を最小限に抑えることで、どのようにして強固な隔離を達成できるか？
• RQ4 同じプラットフォーム上に高クリティシカルティーワークロードと低クリティシカルティーワークロードを共存させる場合、分離カーネルのパフォーマンスとリソース効率はどのようになるか？
• RQ5 ハードウェア仮想化機能は、ソフトウェアの複雑性を最小限に抑えながら、効果的に隔離を強制するために活用できるか？

主な発見

• Quest-Vは通常の動作時にはハイパーバイザーの干渉を排除しており、伝統的な仮想化と比較して実行時オーバーヘッドを顕著に低減している。
• ハードウェアによるメモリおよびCPUのパーティショニングによって、サンドボックス間の強固な隔離が達成されており、クリティシカルティーレベル間の干渉が発生しない。
• サンドボックス間通信は、ブート時のみハイパーバイザーが介在する軽量で安全なチャネルを介して確立されており、パフォーマンスへの影響を最小限に抑えている。
• 形式的検証が可能に設計されており、安全で重要な環境における信頼性を高めている。
• このアプローチにより、ハードウェア仮想化機能を備えた現代のマルチコアプロセッサ上で、ミックスドクリティシカルティーワークロードの効率的な共存が可能になった。
• リソース管理を個々のサンドボックスに委ねることで、ハイパーバイザーの攻撃面積と複雑性が削減された。