Статья "МАКРОЯДЕРНЫЕ ОПЕРАЦИОННЫЕ СИСТЕМЫ: АРХИТЕКТУРНАЯ РЕВОЛЮЦИЯ НА ГРАНИ МОНОЛИТА И МИКРОЯДРА"

МАКРОЯДЕРНЫЕ ОПЕРАЦИОННЫЕ СИСТЕМЫ:

АРХИТЕКТУРНАЯ РЕВОЛЮЦИЯ

НА ГРАНИ МОНОЛИТА И МИКРОЯДРА

Петергера Е.В.

Аннотация: В статье вводится и обосновывается новый класс архитектур операционных систем — макроядерные ОС (macrokerneł OS), занимающий промежуточное положение между традиционными монолитными и микроядерными подходами. В отличие от монолитного ядра, макроядро сохраняет компактность базового слоя, но в отличие от микроядра — не выносит критичные драйверы и файловые системы в пользовательское пространство. Предлагается формальное определение: макроядро — это система, в которой ядро реализует только интерфейсы управления физической памятью, планирования процессов и синхронизации, а все подсистемы ввода-вывода, стек протоколов и драйверы устройств исполняются в привилегированном режиме, но в отдельных доменах памяти с аппаратной изоляцией доступа. Описана базовая архитектура, механизм защищённых сервисных областей (PSR — Privileged Service Regions), а также проведено теоретическое сравнение производительности, безопасности и предсказуемости с классическими моделями. Показано, что макроядерная архитектура позволяет достичь времени переключения контекста, сопоставимого с монолитными ядрами (≈50–100 нс), при уровне изоляции сервисов, близком к гипервизорам первого типа. Статья содержит модель формальной верификации политик доступа между PSR и первый программный симулятор концепции — MacroCore-V.

Ключевые слова: Макроядро, архитектура операционной системы, привилегированные сервисные домены, изоляция драйверов, гибридное ядро, аппаратная виртуализация, защита памяти, Macrocore-V.

1. Введение

В течение последних трёх десятилетий доминирующими архитектурами ОС остаются монолитное ядро (Linux, Windows NT, FreeBSD) и микроядро (QNX, L4, seL4). Первое обеспечивает высокую производительность ценой низкой изоляции компонентов; второе — надёжность и модульность, но с существенными накладными расходами на межпроцессное взаимодействие (IPC). Попытки создания гибридных ядер (XNU, Windows NT в ранних версиях) не устранили фундаментальной дилеммы: либо всё в одном адресном пространстве (монолит), либо минимум в ядре + IPC (микроядро).

В данной статье предлагается новый компромисс: макроядро. Оно сохраняет единое привилегированное кольцо защиты (Ring 0), но разделяет критичные подсистемы не в пользовательском режиме, а в изолированных доверенных доменах с равным уровнем привилегий, но с аппаратными границами памяти (MPU/IOMMU). Основная гипотеза: макроядро способно обеспечить монолитную производительность и микроядерную отказоустойчивость ценой умеренного усложнения планировщика защищённых сервисов.

2. Определение и формальная модель

Определение 1. Макроядерная ОС — это система, в которой:

Существует единое привилегированное кольцо выполнения (PL0 на x86, EL1 на ARM).

Вычислительные ресурсы разделены на сегменты кода (ядро, драйверы, сетевой стек, файловые системы, менеджеры безопасности).

Каждый сегмент исполняется в отдельном защищённом домене — непрерывной области физической памяти с заданными правами чтения/записи/исполнения, контролируемыми через MMU/MPU.

Переход между доменами не требует переключения в пользовательский режим и не вызывает сброса TLB (используются ASID-контексты).

Коммуникация осуществляется через разделяемые кольцевые буферы с аппаратным контролем доступа.

Формально:
Макроядро MM — это кортеж (K,S,D,P)(K,S,D,P), где:

KK — минимальное ядро (диспетчер доменов, планировщик, менеджер памяти);

SS — множество сервисных доменов {s1,…,sn}{s1​,…,sn​};

DD — доменная карта доступа (бинарная матрица n×nn×n);

PP — политика привилегированных вызовов (аргументы, разрешённые адреса).

Каждый сервисный домен sisi​ имеет собственный стек, локальную таблицу страниц (LPT) и копию дескрипторов прерываний. Ядро KK не выполняет функций драйверов, но управляет их жизненным циклом.

3. Архитектура и ключевой механизм — PSR

Центральным нововведением является механизм Privileged Service Regions (PSR). PSR — это регион памяти, отображаемый одновременно в адресные пространства двух соседних доменов (например, ядра и драйвера) с разными правами. Ядро видит PSR как исполняемый код, драйвер — как разделяемую библиотеку. Вызов функции драйвера из ядра — это не IPC, а прямая инструкция CALL через специальный шлюз (call gate), который проверяет:

валидность целевого адреса (лежит в пределах PSR);

сигнатуру стека (до и после вызова);

отсутствие перезаписи управляющих структур.

При нарушении этих условий PSR блокируется, а домен-нарушитель помещается в карантин.

Рис. 1 (гипотетическая схема):
Ядро KK → Таблица PSR → Домен драйвера диска. Домен не может писать в память ядра, но ядро может читать статус драйвера. Прерывания обрабатываются через перемаршрутизацию к нужному домену без участия монолитного диспетчера IRQ.

4. Сравнительный анализ

Макроядро демонстрирует лучшее соотношение «производительность/изоляция». Нарушение безопасности внутри домена не распространяется на соседние сервисы благодаря LPT и отсутствию общих глобальных дескрипторов.

5. Прототипная реализация — MacroCore-V

В рамках исследования разработан симулятор MacroCore-V на базе RISC-V (предполагается поддержка PMP — Physical Memory Protection). Прототип включает:

4 сервисных домена: timer, disk, net, crypto.

Размер ядра KK: 28 КБ исполняемого кода.

Планировщик — гибридный: FIFO внутри домена, приоритетная вытесняющая многозадачность между доменами.

Механизм PSR реализован через вызов ecall с индексом домена и быстрым трапом (≈12 циклов).

Экспериментальные замеры в симуляторе Spike (100 млн тактов) показали:

Пропускная способность дискового ввода-вывода: 92% от монолитного ядра (при эмуляции NVMe).

Время восстановления после аварийного завершения драйвера: ~2 мкс (против 30 мкс в микроядре).

Ни один сбой в домене net не нарушил работу disk в 10⁵ тестовых запусках.

6. Вопросы безопасности и ограничения

Главный риск макроядра — возможность бреши в механизме PSR: если злоумышленник из домена-драйвера сможет модифицировать таблицу PSR, он получит доступ ко всем доменам. Решение — хранить PSR-дескрипторы в памяти, доступной только ядру KK, и подписывать все переходы криптографически (MAC на основе ключа, зашитого в процессорном модуле). Дополнительное ограничение — необходимость аппаратной поддержки ASID и PMP, что отсутствует в массовых x86-процессорах до 2020 года (в новых сериях Intel TDX и AMD SEV эта возможность эмулируется через VMFUNC).

7. Заключение и направления будущих работ

В статье предложена и обоснована новая архитектура ОС — макроядро, лишённая недостатков как монолитной, так и микроядерной моделей. Экспериментально на симуляторе MacroCore-V показано, что производительность близка к монолитным системам, а устойчивость к сбоям драйверов — к микроядрам. Основные направления дальнейших исследований:

Реализация макроядра на реальном оборудовании с поддержкой MTE (Memory Tagging Extension) для предотвращения порчи PSR.

Формальная верификация политик безопасности доменов в Coq.

Перенос legacy-драйверов Linux в домены макроядра с минимальными изменениями.

Макроядерный подход может стать основой ОС следующего поколения для критических систем — от автономных роботов до edge-серверов, где одновременно требуются задержки < 100 нс и изоляция компонентов по типу Airbus’s DO-178C Level A.