虚拟化技术
从软件翻译到嵌套组合

# 运行时主循环：译时与运行时由 TB 缓存衔接
	def cpu_exec_loop(cpu, pc):
	    while True:
	        tb = tb_cache.lookup(pc, cpu.key_state)
	        if tb is None:              # 未命中 → 译时
	            tb = tb_gen_code(pc, cpu)
	            tb_cache.insert(pc, cpu.key_state, tb)
	        pc = tb.run(cpu)             # 命中 → 跑宿主码

	def tb_gen_code(pc, cpu):
	    while True:
	        insn = fetch_decode(pc)
	        if is_control_transfer(insn):
	            ir.append(emit_exit(insn)); break
	        ir.extend(trans_func[insn.opcode](insn))
	    return backend_emit(ir)     # 优化 → 分配 → 发射

• TB（Translation Block）：在一组 CPU 状态假设下生成、可独立查找、链接与失效的代码单元。
• 键不只有 PC：特权级、MMU 索引、浮点与向量状态都参与键；状态一变就必须重查。
• TB 不等于严格单基本块：内部可有标号与控制流；helper 调用也不自动封块。
• 块链接：goto_tb 把跳转槽修补成目标 TB 的宿主地址，之后直接跳，不回调度循环。

IN   428d      addi t0,zero,3
	     4311      addi t1,zero,4
	     006283b3  add     t2,t0,t1
	     c0002f73  rdcycle t5

	OP   add_i64 x5/t0,$0x0,$0x3
	     add_i64 x6/t1,$0x0,$0x4
	     add_i64 x7/t2,x5/t0,x6/t1
	     call csrr,$0x0,$1,x30/t5,env,$0xc00
	     mov_i64 pc,$0x100f4
	     exit_tb $0x0

	OUT  48c7452803000000  movq $0x3,0x28(%rbp)   # env->gpr[5]
	     48c7453004000000  movq $0x4,0x30(%rbp)   # env->gpr[6]
	     48c7453807000000  movq $0x7,0x38(%rbp)   # 常量折叠
	     e8f8a0aa0f        call helper_csrr       # SysV ABI

1. guest 寄存器的「家」在 env：0x28(%rbp) 即 gpr[5] 槽位，中间无宿主寄存器参与。
2. 常量折叠 ≠ 逐指令替换模板：三条算术剩三条，但末条是算好的 0x7——指令数随块内活跃性涨落。
3. helper 调用有两套约束：参数按 SysV 进 esi/rdi；分配器搬参、杀 caller-saved、同步 guest 全局状态。
4. rdcycle 退 helper 并封块：CSR 写可能改 mstatus/satp，跨点假设作废——封块由语义决定，helper 本身不是边界。

HCR_EL2.VM 打开 Stage-2；陷阱位决定系统寄存器与指令是否陷入。敏感操作不再由翻译器逐条识别，而由硬件在指令执行处判定。

# vmentry：__guest_enter 的尾部
	  ldp x0, x1, [x29, #CPU_XREG_OFFSET(0)]
	  ...
	  restore_callee_saved_regs x29
	  eret      # 按 SPSR_EL2/ELR_EL2 返回

	# vmexit：VBAR_EL2 → __kvm_hyp_vector
	el1_sync:      # guest 同步异常
	  mrs x0, esr_el2
	  ...          # 仅 HVC 可短路回 guest
	el1_trap:
	  mov x0, #ARM_EXCEPTION_TRAP
	  b   __guest_exit  # 存回 ctxt
	el1_irq: / el1_fiq: / el1_error:

1. 这是运行时查表路径，不是配置命令流：表由 ITS 命令队列建立——MAPD 映射设备到 ITT、MAPTI 建 EventID 映射、MAPC 建 Collection、VMAPP/VMAPTI 建 vPE 与虚拟映射。配置在软件、查表在硬件。
2. vPE 有两处硬件落点：vPE table 表项（ITS 侧，回答 pending 表在哪、目标 Redistributor 是谁，由 VMAPP 建立）与 Redistributor 持有的两页（RD 侧，回答往哪置位，驻留时写 VPENDBASER / VPROPBASER）。
3. 驻地决定走哪条：vPE 驻留 → 硬件直接置 pending 并注入，全程无 EL2 退出；未驻留 → 按映射里的 doorbell 产生物理中断，由 KVM 唤醒 vCPU 后重新驻留再兑现。

# 建映射（软件）：VFIO 把 guest 内存锁进设备 DMA 域
	def arm_smmu_attach_and_map(master, dom, iova, pa, prot):
	    ste = stream_table[master.streamid]
	    ste.config = S2_TRANS          # 只做 stage-2
	    ste.s2vmid = dom.s2_cfg.vmid   # 所属 VM
	    ste.s2ttb  = dom.pgtbl_ops.vttbr
	    dom.pgtbl_ops.map_pages(iova, pa, prot)

	# 运行时（硬件）：设备 DMA 查表，软件不参与
	def smmu_translate_dma(streamid, addr):
	    ste = stream_table[streamid]
	    pa  = walk(ste.s2ttb, addr)   # IPA -> PA
	    check_permission(ste, pa)     # 越界则 fault

具体一例：直通网卡 StreamID=0x10、s2vmid=7，建 IPA 0x4000_0000 → PA 0x1_2000_0000；driver 在描述符里填 0x4000_1000，SMMU 走出 0x1_2000_1000。若改成域外地址，得到的是 translation fault，而不是放行。

口径：stage-2 only 是架构许可的一条路径；Linux 普通直通域在硬件支持时会优先选宿主管理的 S1，因此「物理 SMMU 用了 S1」不能推出「guest 有 vIOMMU」。SMMU 也不模拟设备。

• 不是所有事件都走完这条链：外部中断、NMI，以及只在 VMCS02 里 trap 的事件属于 L0 自己，就地处理后直接恢复 L2——从 L1 视角这些事件根本不存在。
• 「L0 保留最终控制」的准确含义是归属判定权在 L0，而不是层层转发。这条判定会贯穿四维：退出归谁处理、缺项归谁填、设备地址归谁分配。
• 合成的统一形状：L1 的要求（VMCS12 / EPT12 / L1 侧 IOMMU 映射）＋ L0 的约束（VMCS01 / EPT01 / 真实 IOMMU）→ 一份硬件当下可执行的产物。

1. host state 整组替换：VMCS02.host 必须是 L0 自己的（HOST_RIP 指 vmx_vmexit），因为从 L2 退出要回 L0，不是回 L1。
2. VMCS12.host 抄进 VMCS01.guest：硬件只有 guest/host 两个槽位，没有第三个承载「下层 hypervisor 的 host 状态」，只能借 guest 槽位。
3. guest state 大多直抄，例外是 CR0/CR4：有 guest/host mask 机制，装进 VMCS02 的是有效值再补写 CR0_READ_SHADOW。
4. control data 按位或、且严格单调：VMCS02 的 trap 集合 ⊇ VMCS01 ∪ VMCS12。多出来的正是「L1 想要而 L0 不想要」的事件。

# L0 处理 L1 的 VMX 指令：两条路
	# ① 改状态：L1 --exit--> L0 --entry--> L1
	def handle_vmwrite(vcpu, field, val):
	    vmcs12.field = val
	    nested_vmx_succeed(vcpu)   # 清 CF/ZF
	    # 改三处：结果寄存器 / RFLAGS / GUEST_RIP

	# ② 换环境：L1 --exit--> L0 --entry--> L2
	def handle_vmlaunch(vcpu):
	    prepare_vmcs02(vcpu, vmcs12)  # 合成
	    vmx_vcpu_run(vcpu)            # 不返回 L1

术语边界：Turtles 所说的「VMCS shadowing」是 L0 在软件里影子维护 VMCS12，与 Intel Haswell 之后的同名硬件特性不是一回事。

前两栏的共同点：L1 用影子页表跑 L2，于是 L2 的每次页故障与页表写都要 L1 处理并经 L0 转发。本节只展开第 ③ 栏。

1. 能力虚拟化：L0 把 EPT 能力暴露给 L1，L1 相信自己能建 EPT，于是建出 EPT12——但硬件只有一张 EPT。
2. 折叠：L0 把 EPT12 与自己的 EPT01 折叠成 EPT02，记的是两次翻译的终点；硬件对 L2 GPA 只遍历一次。
3. 缺项分流：EPT12 有映射 → 拼 EPT01 写入 EPT02；没有 → 说明该页尚未由 L1 分配，转给 L1。
4. 三种组合而不是四种：L0 能「多给」（假装有 EPT），但不能「凭空造」——CPU 没有 EPT 硬件就模拟不出 EPT 行为。

根因：L1 每处理一次 L2 退出，都要执行多条 vmread/vmwrite，而每条又各自触发一次对 L0 的退出。约 1000 周期是单层的模式切换成本。

KVM 同时充当 L0 与 L1、启用多维分页。DRW 是修改 L1 使其直读直写 VMCS12 的评测配置——它改动了 guest hypervisor，不能与未修改 guest 的数字合并成一个「6–8% 上界」。

# P = L2-PA，M = L1 帧，H = 机器地址
	EPT12: P->M   EPT01: M->H   EPT02: P->H

	def handle_l2_ept_fault(P, access):
	    if ept12_lookup(P).present:
	        install_ept02_from_ept12(P)  # 自补
	        resume_l2(); return
	    # EPT12 也缺 → 传统路径进 L1
	    if hyperupcall_ept_fault(P) == OK:
	        install_ept02_from_ept12(P)
	        resume_l2()               # 不进 L1
	    else:
	        inject_ept_fault_to_l1(P)
	        resume_l1()          # 慢路径

def hyperupcall_ept_fault(P, access):
	    if not try_lock(shared): return FALLBACK
	    if fault_log.is_full():   return FALLBACK
	    V = qemu_va_for(P)          # memslot 关系换算
	    M = walk_qemu_page_table(shared_cr3, V)
	    if M is not None:        # 复用已有帧
	        ept12_install(P, M, access)
	        fault_log.append(P); return SUCCESS
	    if page_fault_log.contains(P):
	        return FALLBACK       # L1 正并发处理
	    M = frame_pool.pop()
	    if M is None: return FALLBACK
	    ept12_install(P, M, access)
	    fault_log.append(P); return SUCCESS

一致性靠延迟补偿：L1 下次因其他 VM-exit 进入时消费 fault log 补自己的页表；shmem 缺页路径则包一层，先查 EPT12 是否已被填好。锁、双日志、帧池与原有 L1 路径共同兜住回退。