作者 | RT-Thread
责编 | 伍杏玲
【CSDN 编者按】安卓系统是宏核心，而最近热议的华为鸿蒙操作系统是微核心。什么是微核心？微核心是如何发展？其优缺点是什么呢？一起来看看吧。
背景庞大的 UNIX 家族
计算机技术在二战后快速发展，构成计算机的主要基本单元从电子管发展到分立晶体管，再到后来的大规模积体电路。随着计算机技术发展，计算机效能越来越强劲，硬件越来越复杂，人们发现很难去直接管理计算机了，于是人们开始设计软件用于管理越来越复杂的计算机系统，这些软件称作系统级软件。
从最开始的批处理系统，多道程式系统，分时系统到上世纪 60 年代开始出现通用操作系统，计算机系统层出不穷，直到上世纪 70 年代才出现被大家广泛接受广泛使用的通用操作系统。其中最经典的当然就是 UNIX 系统了。
UNIX 系统，1971 年诞生于大名鼎鼎的贝尔实验室的一台 PDP-11/24 机器上，其后经过不断发展与传播，在 80 年代取得了巨大成功，UNIX 被移植到众多的处理器架构，并在众多行业得到广泛使用，甚至成为行业标准影响至今。
UNIX 以及类 UNIX 系统如 Linux 都是典型的宏核心设计，也就是把所有系统服务都放到核心里，因为系统服务程式码之间存在大量资料交换和大量的服务请求，而在同一个程式码段内进行函式呼叫（C 语言）或跳转（汇编或者机器码时代）是最直接、最高效的方法，在同一片地址空间也方便资料交换，所以这样的宏核心设计是很自然的。
但是随着 UNIX 核心功能的拓展（档案系统、TCP/IP网络协议栈、程式管理、内存管理、驱动程式等），UNIX 核心程式码也相应增加了很多，进而在可维护性、稳定性、安全性方面面临一些挑战。为了试图解决这些挑战，人们开始尝试使用微核心的思想来设计系统核心。
什么是微核心?
微核心设计的基本思想是简化核心功能，在核心之外的使用者态尽可能多地实现系统服务，同时加入相互之间的安全保护。核心只提供最基础的服务，比如多程式排程、多程式通讯（IPC）等。其中程式通讯是作为连线应用与使用者态系统服务的桥梁。
宏核心与微核心的对比示意图
宏核心系统相关的服务基本都是放于核心态核心中，例如档案系统、装置驱动、虚拟内存管理、网络协议栈等；而微核心则把更多的系统服务（例如档案系统、POSIX 服务、网络协议栈甚至外设驱动）放到使用者态应用，形成一个个服务，等待其他应用的请求。而后来，为了在宏核心与微核心之间扬长避短，也发展出了中间的混合核心的形态，部分服务也会放置于核心中。
微核心的发展历史
微核心这个概念从提出开始就在不断地发展、完善进步之中，到目前为止可以分为三代。
第一代微核心的主要代表是 Mach，该系统由美国卡耐基梅隆大学的 Avie Tevanian 和 Richard Rashid 主导开发。在 Mach 刚刚开始设计时，UNIX 的发展正如日中天，所以Mach在设计时的一大目标就是相容 UNIX，但是与 UNIX 不同的是 Mach 尝试使用微核心架构去设计。Mach 以 IPC 是作为所有系统服务与核心交换资料的基础机制，充分运用 IPC、虚拟内存、多程式等特性将冗余的系统服务移出核心作为程式执行。
1986年，经过两年的开发，第一版的 Mach 释出后的第二年，Mach 就释出了第2版，不过由于时间仓促，加之没有足够的人手与资金，所以此时 Mach 核心并不提供完全的系统服务。
为了支撑系统上层执行，这一版的核心包含了大量 4.3 版本的 BSD 系统（UNIX的一个分支）程式码提供系统服务，并且 BSD 系统服务执行在核心状态，这导致 Mach 核心的程式码体积甚至大于常规 UNIX 核心。
第一版和第二版的 Mach 主要做了如下工作：
1. 验证了微核心的可行性；
2. 在多处理器计算机上进行移植验证了微核心在多处理器计算机上的执行；
3. 最后为了提高 IPC 的效率，Mach 使用共享内存机制来完成 IPC。
而 Mach 的共享内存机制是在虚拟内存技术的支援下实现的，只有需要对内存进行写入时才进行复制。这么一处理比每次都复制一遍内存节省了内存使用同时又加快了 IPC 机制的处理时间，这个改进称为写时复制，并且在如今的通用操作系统如 Linux 中常常用到。
经过测试，Mach 2.5的效率最多比 UNIX 少 25%，但是考虑到 Mach 带来的可靠性、可拓展性、安全性，这个效率损失尚可以接受。
当然此时 Mach 核心还不算完全的微核心。而考虑到微核心可以更高效地利用多处理器计算机的处理器核心资源，人们期待着等 Mach 把系统服务都搬到核心之外后可以把执行效率损失降下来。
同时 Mach 在微核心方面小小的尝试迅速吸引了大批公司与组织的注意，开放软件基金会（Open Software Foundation，OSF）宣布下一代系统 OSF/1 将基于 Mach 的核心， NeXTSTEP 也将使用 Mach2.5， 甚至 IBM 也打算利用 Mach 构建 Workplace OS。苹果公司这个时候也出手了，苹果公司也从此基于 Mach2.5 打造其操作系统核心 XNU，XNU的构成如下图所示，Mach 作为核心的内环，外环右侧是苹果的驱动框架（I/O Kit），外环左侧是 BSD 的系统服务程式码提供 UNIX 相容的服务层，这三者共同协作向上层提供完整的系统服务。XNU 广泛地使用在苹果公司的 OSX、IOS等系统中。
这个时候由于 UNIX 系统广泛使用带来的商业利益，此时 BSD 系统开发者与 UNIX 的拥有者 AT&T 陷入了法律大战，Mach 使用的 BSD 相关程式码有了法律风险。
提升效能的期望和规避法律风险的需求推动着 Mach 3.0 的开发，Mach 3.0 的开发目标主要是为了替换 BSD 系统服务，同时尽量多地将系统服务放到核心之外去执行，成为名副其实的微核心设计。
经过众多开发者 3 年的努力，Mach 3.0 于 1990 年释出，但是由于在系统服务之间完全使用 IPC 通讯，而不是向宏核心那样直接进行函式呼叫，即便是多处理器机器上执行也效能损失惨重，Mach 3.0 最多比 UNIX 损失 67% 执行效率，这导致 Mach 3.0 以及其所代表的第一代微核心设计被看衰。此后断断续续有在 Mach 的基础上对效能进行提升的尝试，但是均不太理想，至此 Mach 成为了微核心第一代先驱者。
第二代微核心的主要代表是 L3 和 L4，以及 QNX 系统使用的 Neutrino 核心。前面第一代的微核心 Mach 由于效率问题虽然失败了，但是微核心的理念并没有被放弃，德国的电脑科学家 Jochen Liedtke 认为 Mach 的 IPC 效率低下的原因就是因为 IPC 部分不够精简，于是他开发了 L3 和 L4 微核心，对 IPC 部分进行了很彻底的精简：
1. 核心的 IPC 机制只是单纯地传递资讯，诸如安全许可权检查这类的程式码都省略掉，省略掉的功能全部由使用者程式自己处理。如此一来 IP C功能部分的程式码执行时间大大缩短；
2. IPC 不使用内存传递讯息，而使用暂存器传递讯息，同时限制 IPC 每次传递的资讯长度，这样省去了对内存的访问时间。L4 微核心的 IPC 速度经过测试要比 Mach 快 20 倍，这个令人惊讶的优化效果吸引了众多的目光，使微核心的研究重新火热起来。后面 L4 核心又发展出了很多相关系统，比如 Pistachio、L4/MIPS 与 Fiasco 等等，这些核心组成了 L4 的大家族。
第二代微核心的代表除了有 L4 核心，也还有其他微核心比如 Exokernel、Rambler 等，不过商业上最成功的则是目前黑莓公司旗下的 QNX 系统所使用的 Neutrino 核心（QNX，1980年诞生，最初以 QUICK UNIX 为名，后改为 QNX；2004 年 QNX 被 Harman 国际收购；2010 年 Harman 国际下被黑莓收购，QNX 成为黑莓旗下的资产），QNX 主要为高可靠领域提供解决方案，比如交通、能源、医疗、航天航空等。
在前面两代的基础上，第三代微核心蓬勃发展，许许多多微核心都被开发出来，主要代表有：seL4、Fiasco.OC、NOVA 等。
本来第一代微核心的设计隔离了使核心安全性降低的系统服务，让系统服务漏洞不会影响核心，进而提高了核心安全性，可以说是关上了破坏系统的门， 但是第二代系统却又给攻击者开了个窗户。
由于第二代微核心在核心中省去了关于安全性检查等步骤，把所有关于安全检查功能的实现都交给系统服务自己去实现，这导致系统服务的通讯界面直接暴露给使用者态，任何程式都可能无限制地请求系统服务，系统服务不得不花费额外的代价来区分请求是否合法，容易造成拒绝服务攻击。
比如正常的档案服务应该是从虚拟档案系统服务->档案系统服务->磁盘驱动服务这个流程来完成的，但是如果攻击者如果绕过虚拟档案系统服务，直接无限制地请求攻击者本身没有许可权访问的档案系统服务，使档案系统服务长期处于满载状态，让其他程式无法通过正常的虚拟档案系统得到档案系统服务。为了增强安全性，且不过分影响效能，人们开始研发第三代微核心。
seL4 是在第二代核心 L4 的基础上发展而来的。seL4 不仅仅继承了 L4 核心家族的高效能特性，还具备基于端点（enndpoint）的 IPC 机制。
这种 IPC 机制最大的特点是使用了能力空间的概念，程式在使用 IPC 请求系统服务时必须具备相对应的能力，程式持有不可伪造的令牌来表示拥有请求某种服务的能力。令牌可以被复制，可以被转移，还可以通过 IPC 进行传输。令牌其实是一个指向存在于核心空间核心物件的指标，所以普通程式并不能修改自身以及其他程式的许可权分配，但是核心可以对令牌指定的许可权进行控制，从而保证了使用者态不能绕过能力空间这个机制对系统服务造成滥用。
seL4 还是第一个完全通过形式化验证的核心，通俗说形式化验证就是在数学软件的帮助下使用数学语言自动化地推导检查系统的每一个执行状态。seL4 形式化验证相关论文。
其他的微核心系统：Fuchsia、Minix
Fuchsia 是 Google 开发的一款全新操作系统，试图覆盖手机、平板甚至笔记本等一系列领域。Google 为该系统配备了 Vulkan 图形界面、3D 桌面渲染 Scenic、Flutter 应用开发框架，还有一个称为 zircon 的微核心。
zircon 核心是从高通平台的一个 Bootloader 专案：Little Kernel发展而来。zircon核心属于微核心设计，只提供 IPC、程式管理、地址空间管理功能。zircon 区别于以程式或者以档案为核心的设计，zircon 是以内存为核心来设计的，内存在 zircon 中是以物件的方式存在，可以通过 channel 通讯机制传递虚拟内存物件（Virtual memory object）的控制程式码，程式拿到控制程式码后可以把这块内存对映到自己的空间。
Minix 系统则由荷兰阿姆斯特丹的 Vrije 大学的 Andrew S.Tanenbaum 教授所开发。
该系统最大的特点是可以故障隔离，自动重启失败的服务。
Minix 使用分层设计，最底层的微核心提供中断处理、程式管理、程式通讯等服务，这一层执行在核心态；中间层提供轮回服务（Reincarnation Server）、档案服务、程式管理、X 图形服务以及驱动等，这一层执行在使用者态，最上层为使用者程式。
其中轮回服务负责在中间层的服务出现崩溃时重启这些服务，从而保证服务的自我修复。Minix 由于其自我修复特性被英特尔管理引擎（ME）所选用，该管理引擎主要负责管理英特尔芯片的内部模组。
微核心的优缺点
一、优点
宣告：本文系投稿，版权归作者所有。
5G 沙龙来啦！扫描下方二维码，加小助手微信，回复“5G”，进群获取直播连结！
