微内核发展史与Mach、L4、seL4微内核OS的比较

目录

1.什么是微内核?

2.微内核的发展历史

2.1第一代微内核：从无到有

2.2第二代微内核：解决性能问题

2.3第三代微内核：主要重视安全问题等

3.Mach、L4、seL4微内核OS的简单比较

---

1.什么是微内核?

微内核设计的基本思想是简化内核功能，在内核之外的用户态尽可能多地实现系统服务，同时加入相互之间的安全保护。内核只提供最基础的服务，比如多进程调度、多进程通信（IPC)等。其中进程通信是作为连接应用与用户态系统服务的桥梁。

2.微内核的发展历史

2.1第一代微内核：从无到有

第一代微内核的主要代表是Mach，该系统由卡内基-梅隆大学的Avie Tevanian和Richard Rashid主导开发。在Mach刚刚开始设计时，UNIX的发展正如日中天，所以Mach在设计时的一大目标就是兼容UNIX，但是与UNIX不同的是Mach尝试使用微内核架构去设计。Mach以IPC是作为所有系统服务与内核交换数据的基础机制，充分运用IPC、虚拟内存、多进程等特性将冗余的系统服务移出内核作为进程运行。

1986年，经过两年的开发，第一版的Mach发布后的第二年，Mach就发布了第2版，不过由于时间仓促，加之没有足够的人手与资金，所以此时Mach内核并不提供完全的系统服务。为了支撑系统上层运行，这一版的内核包含了大量4.3版本的BSD系统(UNIX的一个分支)代码提供系统服务，并且BSD系统服务运行在内核状态，这导致Mach内核的代码体积甚至大于常规UNIX内核。第一版和第二版的Mach主要做了如下工作：1. 验证了微内核的可行性；2. 在多处理器计算机上进行移植验证了微内核在多处理器计算机上的运行；3. 最后为了提高IPC的效率，Mach使用共享内存机制来完成IPC。而Mach的共享内存机制是在虚拟内存技术的支持下实现的，只有需要对内存进行写入时才进行复制。这么一处理比每次都复制一遍内存节省了内存使用同时又加快了IPC机制的处理时间，这个改进称为写时复制，并且在如今的通用操作系统如Linux中常常用到。

经过测试，Mach 2.5的效率最多比UNIX少25%，但是考虑到Mach带来的可靠性、可拓展性、安全性，这个效率损失尚可以接受。当然此时Mach内核还不算完全的微内核。而考虑到微内核可以更高效地利用多处理器计算机的处理器核心资源，人们期待着等Mach把系统服务都搬到内核之外后可以把运行效率损失降下来。同时Mach在微内核方面小小的尝试迅速吸引了大批公司与组织的注意，开放软件基金会(Open Software Foundation， OSF)宣布下一代系统OSF/1将基于Mach的内核， NeXTSTEP也将使用Mach2.5， 甚至IBM也打算利用Mach构建Workplace OS。苹果公司这个时候也出手了，苹果公司也从此基于Mach2.5打造其操作系统内核XNU，XNU的构成如下图所示，Mach作为内核的内环，外环右侧是苹果的驱动框架（I/O Kit），外环左侧是BSD的系统服务代码提供UNIX兼容的服务层，这三者共同协作向上层提供完整的系统服务。XNU广泛地使用在苹果公司的OSX，IOS等系统中。

2.2第二代微内核：解决性能问题

第二代微内核的主要代表是L3和L4，以及QNX系统使用的Neutrino内核。前面第一代的微内核Mach由于效率问题虽然失败了，但是微内核的理念并没有被放弃，德国的计算机科学家Jochen Liedtke认为Mach的IPC效率低下的原因就是因为IPC部分不够精简，于是他开发了L3和L4微内核，对IPC部分进行了很彻底的精简：1. 内核的IPC机制只是单纯地传递信息，诸如安全权限检查这类的代码都省略掉，省略掉的功能全部由用户进程自己处理。如此一来IPC功能部分的代码执行时间大大缩短；2. IPC不使用内存传递消息，而使用寄存器传递消息，同时限制IPC每次传递的信息长度，这样省去了对内存的访问时间。L4微内核的IPC速度经过测试要比Mach快20倍，这个令人惊讶的优化效果吸引了众多的目光，使微内核的研究重新火热起来。后面L4内核又发展出了很多相关系统，比如Pistachio，L4/MIPS，与Fiasco等等，这些内核组成了L4的大家族，下图是发展历程。

2.3第三代微内核：主要重视安全问题等

在前面两代的基础上，第三代微内核蓬勃发展，许许多多微内核都被开发出来，主要代表有：seL4、Fiasco.OC、NOVA等。本来第一代微内核的设计隔离了使内核安全性降低的系统服务，让系统服务漏洞不会影响内核，进而提高了内核安全性，可以说是关上了破坏系统的门， 但是第二代系统却又给攻击者开了个窗户；由于第二代微内核在内核中省去了关于安全性检查等步骤，把所有关于安全检查功能的实现都交给系统服务自己去实现，这导致系统服务的通信接口直接暴露给用户态，任何进程都可能无限制地请求系统服务，系统服务不得不花费额外的代价来区分请求是否合法，容易造成拒绝服务攻击。比如正常的文件服务应该是从虚拟文件系统服务->文件系统服务->磁盘驱动服务这个流程来完成的，但是如果攻击者如果绕过虚拟文件系统服务，直接无限制地请求攻击者本身没有权限访问的文件系统服务，使文件系统服务长期处于满载状态，让其他进程无法通过正常的虚拟文件系统得到文件系统服务。为了增强安全性，且不过分影响性能，人们开始研发第三代微内核。

seL4是在第二代内核L4的基础上发展而来的。seL4不仅仅继承了L4内核家族的高性能特性，还具备基于端点(enndpoint)的IPC机制。这种IPC机制最大的特点是使用了能力空间的概念，进程在使用IPC请求系统服务时必须具备相对应的能力，进程持有不可伪造的令牌来表示拥有请求某种服务的能力。令牌可以被复制，可以被转移，还可以通过IPC进行传输。令牌其实是一个指向存在于内核空间内核对象的指针，所以普通进程并不能修改自身以及其他进程的权限分配，但是内核可以对令牌指定的权限进行控制，从而保证了用户态不能绕过能力空间这个机制对系统服务造成滥用。

3.Mach、L4、seL4微内核OS的简单比较

Mach、L4、seL4微内核OS的简单比较

微内核OS	通信机制	性能	安全性	可靠性	可拓展性
Mach	共享内存，同步	☆☆	×	☆☆	☆
L4	共享内存，异步	☆☆☆	×	☆☆	☆☆
seL4	同步和异步端点	☆☆☆☆	√	☆☆☆	☆☆☆