一、虚拟化技术概述

　　虚拟化技术可针对具体应用目的创建特定目的的虚拟环境，安全、效率高，快照、克隆、备份、迁移等方便。系统虚拟化是将一台物理计算机虚拟成一台或多台虚拟计算机系统，每个都有自己的虚拟硬件，其上的操作系统认为自己运行在一台独立的主机(如阿里云主机)上，计算机软件在一个虚拟的平台上而不是真实的硬件平台上运行。虚拟化技术可以扩大硬件的容量，简化软件的重新配置过程。其中CPU的虚拟化可以单CPU模拟多CPU并行运行，允许一个平台同时运行多个操作系统，并且应用程序可以在相互独立的空间内运行而互不影响。虚拟化技术在降低硬件成本的同时，还可以显著提高系统的工作效率和安全性。

　　虚拟化系统的实现通常是在操作系统和硬件之间加入一个虚拟机监控程序，称为Hypervisor(如图1所示)。由Hypervisor主要负责各个操作系统之间的硬件资源协调。虚拟机监控程序是一种特殊操作系统，直接在裸机上运行(针对完全虚拟化技术)。虚拟机监控程序创建一个底层硬件平台抽象，一个或多个虚拟机(VM)共享这个底层硬件平台。在这种环境中，VM 只是操作系统及其应用程序的容器，一个 VM 与虚拟机监控程序上运行的其他 VMs 隔离，这支持多个操作系统或多个配置不同的相似操作系统。

　　图1 虚拟化系统结构

　　1、虚拟计算机系统三层含义-同质、高效、资源受控。

　　同质-本质上虚拟机和物理机是相同的、表现上有所差异，如一个物理核虚拟多个核。

　　高效-虚拟机效能接近物理机。

　　资源受控-虚拟机对系统资源有完全的控制能力，包括分配、管理、回收。

　　2、虚拟化分不同层面的虚拟化

　　硬件抽象层的虚拟化-客户机与宿主机硬件相似，指令集相似。

　　操作系统层虚拟化-内核可以提供多个相互隔离的用户态，其拥有独立的文件系统、网络、系统设置和库函数。

　　库函数层初始化-是不同的操作系统可以拥有共同的库函数接口，应用程序不需修改。

　　编程语言层虚拟化-编的程序运行在一个虚拟机上，与具体硬件无关。如Java。

　　3、虚拟机的优点

　　良好的封装，虚拟机的运行环境保持便捷，便于随时抓取状态、备份、克隆、挂起和恢复。

　　多实例-最大限度减少物理资源，提高利用率，便于管理。

　　隔离-每个应用程序可以再独立的操作系统中运行，互不干涉，崩溃也不会影响其他任务。

　　硬件无关性-只要拥有相同的硬件抽象层，虚拟机就可以无缝迁移，因此维护和升级简单。

　　安全-便于控制访问权利，病毒入侵检测等。

　　4、虚拟化分类

　　按照虚拟化程度分完全虚拟化和类虚拟化。完全虚拟化-客户及操作系统不需要任何修改即可运行，分软件辅助完全虚拟化和硬件辅助完全虚拟化，完全虚拟化能够模拟所有CPU指令。类虚拟化-操作系统需要做出适应性修改，回避那些难以模拟的指令。

　　按照宿主机是否存在独立操作系统分为hypervisor模型和宿主模型，前者需支持所有的物理资源管理(系统启动、内存管理、设备驱动等)，效率高、复杂;后者只需调用宿主操作系统API实现虚拟化，宿主操作系统可以是windows、linux，效率低、简单。第三类是两者的混和，VMM位于硬件层之上，但让出部分IO设备管理权给一个运行在特权虚拟机上的特权操作系统，VMM负责处理器和内存虚拟化。

　　二、虚拟化技术框架

　　虚拟环境组成:硬件、VMM、虚拟机，物理机中操作系统直接管理硬件(通过硬件抽象层HAL)，虚拟环境中VMM管理硬件(会构建一个或多个逻辑HAL)，操作系统运行在VMM 逻辑HAL之上，运行在非CPU最高特权。

　　对物理资源虚拟的三个主要任务：处理器虚拟化、内存虚拟化和I/O虚拟化。若硬件直接支持虚拟化技术则CPU辅助完成虚拟化过程，在CPU、芯片组以及IO设备等加入专门针对虚拟化的支持，从而高容易、高效的实现虚拟化。

　　图2 虚拟化环境组成

　　1、VMM介绍

　　虚拟机VMM(虚拟机监控器)运行在物理CPU的最高特权级，VMM向下管理宿主机物理资源，包括处理器管理、内存管理、外设管理、中断管理、系统时间管理等，向上则管理虚拟环境资源，包括：

　　1) 虚拟物理资源-处理器、内存、IO设备等。

　　2) 多个独立虚拟环境的调度-类似于进程调度。

　　3) 虚拟环境间的通信机制--VMM提供VMM与虚拟环境之间、虚拟环境之间的通信API，通信方式可以是共享内存、事件通知等。

　　4) 虚拟环境的管理-创建、删除、暂停等。

　　2、硬件辅助虚拟化

　　1)处理器虚拟化：

　　VMM最核心部分，内存、IO虚拟化都赖于处理器虚拟化的正确实现。处理器的虚拟化就是模拟处理器的所有关键环节-指令集、内存访问。三个关键概念：虚拟寄存器、虚拟上下文、虚拟CPU，其中虚拟CPU与物理CPU具有一致的功能，其功能由物理CPU和VMM共同完成(非敏感指令直接物理CPU完成，敏感指令VMM陷入后再模拟)。处理器虚拟化包括：

　　a、指令集模拟：正确模拟指令的行为。操作系统试图访问关键资源时，VMM会将访问定位在VMM的虚拟寄存器上。操作系统执行操作时(进程切换等)，通过VMM“陷入”再模拟进行，陷入手段包括：处理器保护机制触发异常、VMM主动通过陷阱调用、异步中断(处理器内部中断源和外部中断)。

　　b、中断和异常的模拟：模拟硬件中断和软件异常的执行。

　　c、对称多处理器的模拟：虚拟处理器个数与物理CPU没有必然联系，向操作系统呈现SMP的存在。

　　2) 内存虚拟化：核心要求是每个客户机物理地址从0开始、大粒度地址连续(如256M)，基本做法在于引入一层新的地址空间-客户机物理地址空间，使用时由VMM将地址转化为实际物理地址。

　　3) IO虚拟化：截获客户机操作系统对设备的访问请求，通过软件模拟真实物理效果，“欺骗客户机”

　　3、基于软件的完全虚拟化

　　若硬件在虚拟化支持存在缺陷，可通过软件弥补。两种可行方案-模拟执行(完全虚拟化)和直接源代码改写(类虚拟化)。软件模拟技术是在一种硬件平台上通过软件模拟出另外一种硬件平台，从而可以运行其上的操作系统、应用程序。模拟的核心是模拟指令集的执行效果，可模拟相同的硬件体系结构，也可模拟不同的。

　　1) 基于软件的CPU虚拟化

　　a、模拟技术最简单的就是解释执行-取指、模拟执行效果、再取指，缺点是性能差。如java即为解释型执行，具有硬件平台无关性。

　　b、扫描和修补-大部分指令直接由物理CPU执行，部分操作系统敏感指令通过陷阱陷入到VMM模拟执行。

　　c、二进制代码翻译-物理CPU不能直接执行客户机操作系统操作，待执行代码都在VMM缓冲区里。

　　2) 内存虚拟化：为了实现客户机物理地址到宿主机物理地址的映射，VMM维护了一张映射表。VMM截获客户机内存操作指令，并映射到VMM分配给该客户机的相应宿主机物理地址。翻译过程通过影子页表实现，直接翻译到宿主机物理地址。

　　3) IO虚拟化：虚拟机中侦测出来的设备是VMM虚拟的设备，可以多于或少于真实设备，功能和型号也可同可不同，模拟设备与操作系统交互的API即可。