[论文解读] Femto-Containers: DevOps on Microcontrollers with Lightweight Virtualization & Isolation for IoT Software Modules

Koen Zandberg, Emmanuel Baccelli|arXiv (Cornell University)|Jun 17, 2021

Cloud Computing and Resource Management参考文献 17被引用 6

一句话总结

Femto-Containers 引入了一种轻量级、基于 eBPF 的虚拟化架构，可在低功耗微控制器上实现安全、隔离且敏捷的 DevOps。该系统实现低于 10% 的内存开销和亚毫秒级的启动时间，支持在 Arm Cortex-M、ESP32 和 RISC-V 平台上的多个软件模块并发执行，具备强大的隔离性与低资源消耗。

ABSTRACT

Development, deployment and maintenance of networked software has been revolutionized by DevOps,which have become essential to boost system software quality and to enable agile evolution.Meanwhile the Internet of Things (IoT) connects more and more devices which are not covered by DevOps tools:low-power, microcontroller-based devices.In this paper, we contribute to bridge this gap by designing Femto-Containers,a new architecture which enables containerization, virtualizationand secure deployment of software modules embedded on microcontrollers over low-power networks.As proof-of-concept, we implemented and evaluated Femto-Containers on popular microcontroller architectures (Arm Cortex-M, ESP32 and RISC-V), using eBPF virtualization, and RIOT, a common operating system in this space.We show that Femto-Containers can virtualize and isolate multiple software modules, executed concurrently, with very small memory footprint overhead (below 10%) and very small startup time (tens of microseconds) compared to native code execution.We show that Femto-Containers can satisfy the constraints of bothlow-level debug logic inserted in a hot code path, and high-level business logic coded in a variety of common programming languages.Compared to prior work, Femto-Containers thus offer an attractive trade-off in terms of memory footprint, energy consumption, agility and security.

研究动机与目标

• 解决低功耗、基于微控制器的物联网设备中缺乏 DevOps 支持的问题。
• 在资源受限设备上实现安全、隔离且可远程更新的软件模块。
• 设计一种轻量级虚拟化层，同时支持高层逻辑与底层调试监控功能。
• 在确保强隔离性和安全性的同时，实现最小的性能与资源开销。
• 弥合现代 DevOps 实践与资源受限的物联网微控制器生态系统之间的差距。

提出的方法

• 利用 eBPF 作为虚拟化引擎，在微控制器上执行可移植的字节码。
• 在 RIOT 操作系统上实现 Femto-Container 主机引擎，用于管理隔离的软件模块。
• 利用 eBPF 的指令集在无硬件内存保护的情况下强制实施内存与资源隔离。
• 通过统一的虚拟化层同时支持短期运行的调试逻辑与长期运行的业务逻辑。
• 通过将固定为零的位域压缩为可变长度指令，优化 eBPF 字节码以减小代码体积。
• 应用模糊测试与形式化验证技术，增强主机引擎对恶意代码的抗性。

实验结果

研究问题

• RQ1 基于 eBPF 的轻量级虚拟化是否能够在基于微控制器的物联网设备上实现安全、隔离且敏捷的 DevOps？
• RQ2 在低功耗微控制器上运行多个隔离的软件模块时，其性能与资源开销如何？
• RQ3 与 WebAssembly、JavaScript 和基于 Python 的容器等先前方案相比，Femto-Containers 在内存、能耗与安全性方面表现如何？
• RQ4 基于 eBPF 的虚拟化在资源受限设备上，对高层逻辑与底层逻辑的支持程度如何？
• RQ5 该系统是否能在最小化运行时与内存开销的同时，维持强隔离性与安全性？

主要发现

• Femto-Containers 在微控制器上实现虚拟化与隔离的内存开销低于 10%。
• Femto-Containers 的启动时间在数十微秒量级，接近原生执行性能。
• 该系统成功在 Arm Cortex-M、ESP32 和 RISC-V 架构上并发托管并隔离了多个软件模块。
• 与 WebAssembly、JavaScript（RIOTjs）和 Python（microPython）等先前解决方案相比，Femto-Containers 在内存效率与执行速度方面表现更优。
• 该架构同时支持长期运行的业务逻辑与短期运行、时间关键的调试监控功能，并提供强隔离保证。
• 基于 eBPF 的虚拟化实现了安全执行，且无需依赖硬件内存保护单元。