[论文解读] The Quest-V Separation Kernel for Mixed Criticality Systems

Ye Li, Richard West+1 more|arXiv (Cornell University)|Oct 23, 2013

Real-Time Systems Scheduling参考文献 27被引用 7

一句话总结

本文提出 Quest-V，一种分离内核，通过将资源划分为隔离沙盒的方式，在多核处理器上实现混合关键性系统，且在运行时无需依赖传统虚拟机监视器。它通过允许每个沙盒直接管理自身资源，仅在引导阶段和沙盒间通信时使用虚拟机监视器，从而实现低开销和强隔离，为安全关键应用提供高效、可形式化验证的系统分区。

ABSTRACT

Multi- and many-core processors are becoming increasingly popular in embedded systems. Many of these processors now feature hardware virtualization capabilities, such as the ARM Cortex A15, and x86 processors with Intel VT-x or AMD-V support. Hardware virtualization offers opportunities to partition physical resources, including processor cores, memory and I/O devices amongst guest virtual machines. Mixed criticality systems and services can then co-exist on the same platform in separate virtual machines. However, traditional virtual machine systems are too expensive because of the costs of trapping into hypervisors to multiplex and manage machine physical resources on behalf of separate guests. For example, hypervisors are needed to schedule separate VMs on physical processor cores. In this paper, we discuss the design of the Quest-V separation kernel, that partitions services of different criticalities in separate virtual machines, or sandboxes. Each sandbox encapsulates a subset of machine physical resources that it manages without requiring intervention of a hypervisor. Moreover, a hypervisor is not needed for normal operation, except to bootstrap the system and establish communication channels between sandboxes.

研究动机与目标

• 解决传统虚拟机监视器在混合关键性嵌入式系统中运行时开销过高的问题。
• 在共享多核硬件上实现不同关键性级别服务之间的强隔离。
• 通过允许沙盒独立管理资源，减少在正常运行时对完整功能虚拟机监视器的依赖。
• 提供一种可形式化验证的轻量级系统架构，适用于安全关键应用。
• 利用硬件虚拟化功能（如 ARM Cortex A15、Intel VT-x）实现高效的资源分区，同时不牺牲隔离性。

提出的方法

• 设计一种分离内核，将物理资源（如 CPU 核心、内存和 I/O）划分为隔离的沙盒。
• 允许每个沙盒在正常运行时自主管理其分配的物理资源，无需虚拟机监视器介入。
• 仅在系统引导和建立沙盒间安全通信通道时使用轻量级虚拟机监视器。
• 利用硬件虚拟化支持（如 ARM MMU、x86 VT-x）在硬件层面强制实施内存和 CPU 隔离。
• 通过共享内存区域和消息传递机制在沙盒间实现通信，通信通道的建立由虚拟机监视器在设置阶段管理。
• 通过分离内核架构确保形式化验证，强制实施严格的访问控制，防止跨沙盒干扰。

实验结果

研究问题

• RQ1 与传统的基于虚拟机监视器的虚拟化相比，分离内核是否能降低混合关键性系统中的运行时开销？
• RQ2 在不损害隔离性的前提下，资源管理能在多大程度上委托给各个沙盒？
• RQ3 在系统正常运行期间，如何在最小依赖虚拟机监视器的前提下实现强隔离？
• RQ4 在相同平台上共驻高关键性和低关键性工作负载时，分离内核的性能和资源效率如何？
• RQ5 硬件虚拟化功能能否被有效用于强制实施隔离，同时最小化软件复杂性？

主要发现

• Quest-V 在正常运行时消除了对虚拟机监视器的干预，与传统虚拟化相比显著降低了运行时开销。
• 系统通过硬件强制实施的内存和 CPU 分区实现了沙盒间的强隔离，确保不同关键性级别之间无干扰。
• 沙盒间通信通过轻量级、安全的通道实现，仅在启动时由虚拟机监视器中介，最大限度减少性能影响。
• 该架构设计支持形式化验证，增强了在安全关键环境中的可信度。
• 该方法可高效地在具备硬件虚拟化支持的现代多核处理器上共驻混合关键性工作负载。
• 通过将资源管理卸载给各个沙盒，系统降低了虚拟机监视器的攻击面和复杂性。