H 확장: 하이퍼바이저

왜 하드웨어 가상화가 필요한가

가상 머신을 만드는 가장 오래된 방법은 트랩하고 흉내 내기(trap-and-emulate)다. 게스트 운영체제를 권한이 낮은 U 모드에서 돌리면, 게스트가 특권 명령(csrw satp, sret, sfence.vma …)을 실행할 때마다 불법 명령 예외가 나서 하이퍼바이저로 넘어온다. 하이퍼바이저는 그 명령을 해독하고, 게스트 몫의 가짜 레지스터에 결과를 반영한 뒤 게스트로 돌아간다. 1974년 Popek과 Goldberg가 정리한 “가상화 가능한 구조”의 조건이 바로 이 방식이 성립하는 조건이다.

RISC-V의 기본 특권 구조는 이 방식을 쓰기 쉽게 설계되었다. 특권 명령이 몇 개 없고 모두 확실히 트랩되기 때문이다. 하지만 트랩 한 번에 수백 사이클이 들고, 게스트 커널은 생각보다 훨씬 자주 특권 동작을 한다. 특히 가상 메모리가 문제다. 게스트가 고친 페이지 테이블을 하드웨어가 그대로 쓸 수 없으니, 하이퍼바이저는 게스트 페이지 테이블을 감시하며 진짜 주소를 넣은 섀도 페이지 테이블(shadow page table)을 따로 만들어 둘을 계속 맞춰야 한다.

H 확장은 게스트 운영체제를 수정 없이 돌리면서 트랩 횟수를 크게 줄인다. 대가는 하드웨어 복잡도와 2단계 페이지 워크의 비용이다. 이 장의 뒤쪽에서 그 비용을 정확히 세어 본다. H 확장이 켜지려면 정수 레지스터가 32개인 RV32I·RV64I 베이스여야 하고(E 베이스 불가), mtval이 읽기 전용 0이면 안 되며, 페이지 기반 변환(RV32는 Sv32, RV64는 최소 Sv39)이 있어야 한다. misa의 비트 7(문자 H)이 이 확장을 나타낸다.

V 비트와 다섯 가지 모드

H 확장은 새 특권 수준을 끼워 넣지 않는다. 대신 하트에 가상화 모드(virtualization mode) 비트 V를 하나 더한다. V는 CSR로 보이는 값이 아니라 하트 내부의 상태이고, 트랩과 트랩 복귀 때만 바뀐다. V=1이면 하트는 지금 게스트를 실행하고 있으며 2단계 주소 변환이 켜진다. 원래의 S 모드는 HS 모드(hypervisor-extended supervisor)로 이름이 바뀌고, 하이퍼바이저나 KVM 같은 호스팅 기능이 있는 OS가 여기서 돈다.

명목 권한(nominal privilege)이라는 말에 주목하자. VS 모드의 명목 권한은 S다. 그래서 게스트 커널 안에서는 sret도, csrr a0, sstatus도 그대로 실행된다. 권한의 크기는 M > HS > VS > VU 순서이며, HS는 VS보다 높다. 이 순서가 뒤에서 볼 트랩 위임 규칙의 바탕이다.

하이퍼바이저 CSR과 VS CSR 바꿔치기

H 확장이 더하는 CSR은 두 무리다. 하나는 HS 모드만 쓰는 하이퍼바이저 CSR(h로 시작)으로, 게스트를 어떻게 다룰지 정한다. 다른 하나는 VS CSR(vs로 시작)로, 보통의 S CSR을 그대로 복제한 게스트 전용 사본이다. 주소를 보면 규칙이 보인다. S CSR이 0x1xx이면 짝이 되는 VS CSR은 0x2xx, 하이퍼바이저 CSR은 대부분 0x6xx다.

M 모드에도 두 CSR이 더해진다. 게스트 물리 주소를 담는 mtval2(0x34B)와 변환된 명령어를 담는 mtinst(0x34A)로, HS의 htval·htinst와 같은 역할을 M 쪽에서 한다.

바꿔치기 규칙

H 확장의 가장 영리한 부분이 여기다. V=1일 때 게스트 커널이 csrr a0, sepc(주소 0x141)를 실행하면, 하트는 sepc가 아니라 vsepc를 읽는다. 게스트 커널은 자기가 진짜 S 모드에 있다고 믿고 평소의 주소를 쓰지만, 하드웨어가 조용히 게스트 사본으로 연결해 준다. 그동안 HS의 진짜 sepc는 값을 그대로 지키며 기계 동작에 영향을 주지 않는다.

그 이유 때문에 모든 S CSR에 짝이 있는 것은 아니다. senvcfg, scounteren, scontext는 VS 사본이 없어서 V=1에서도 같은 레지스터가 그대로 쓰인다. 하이퍼바이저는 게스트를 바꿀 때 이런 CSR을 손으로 저장·복원해야 한다.

hstatus 한눈에 보기

hstatus는 mstatus가 M 모드를 위해 하는 일을 게스트에 대해 한다. 트랩이 들어올 때 하드웨어가 기록하는 필드(SPV·SPVP·GVA)와, 게스트의 특정 동작을 가로채는 필드(VTSR·VTW·VTVM)가 핵심이다.

2단계 주소 변환: VS-stage와 G-stage

메모리 가상화가 H 확장의 두 번째 기둥이다. V=1이면 모든 메모리 접근이 두 번 변환된다. 첫 단계 VS-stage는 게스트 커널이 vsatp로 관리하는 평범한 Sv39/Sv48 페이지 테이블이고, 게스트 가상 주소(GVA)를 게스트 물리 주소(GPA)로 바꾼다. 둘째 단계 G-stage는 하이퍼바이저가 hgatp로 관리하며, GPA를 진짜 슈퍼바이저 물리 주소(SPA)로 바꾼다. 게스트는 G-stage가 있다는 사실조차 모른다. 섀도 페이지 테이블이 필요 없어지는 이유다.

hgatp와 Sv39x4

hgatp는 satp와 비슷하게 생겼다. MODE, 가상 머신 식별자 VMID, G-stage 루트 테이블의 PPN이 들어간다. ASID가 프로세스를 구별하듯 VMID는 가상 머신을 구별해, 게스트를 바꿀 때 TLB를 통째로 비우지 않아도 되게 한다. HSXLEN=64에서 MODE 값은 0(Bare), 8(Sv39x4), 9(Sv48x4), 10(Sv57x4)이고 나머지는 예약이다. HSXLEN=32이면 0(Bare)과 1(Sv32x4)뿐이다.

G-stage만의 규칙

• 모든 G-stage 접근은 U 모드 접근으로 본다. 그래서 G-stage의 리프 PTE는 U=1이어야 한다. U=0이면 게스트 페이지 폴트가 난다. PTE 형식이 같아서 하이퍼바이저가 자기 페이지 테이블 일부를 G-stage와 함께 쓸 수도 있다.
• VS 페이지 테이블을 읽는 접근은 G-stage에서 원래 접근 종류(명령 인출·읽기·쓰기)와 상관없이 암묵적 읽기(A/D 갱신이면 쓰기)로 권한을 검사한다. 다만 예외가 나면 원래 접근 종류로 보고한다. 명령 인출 중이었다면 명령 게스트 페이지 폴트(20)가 된다.
• G-stage PTE의 G 비트는 아직 쓰지 않는다. 소프트웨어는 0으로 둔다.
• vsstatus.MXR은 VS-stage에만 작용하고, HS 수준 sstatus.MXR은 두 단계 모두에 작용한다.

중첩 페이지 워크의 비용

TLB가 모두 빗나간 최악의 경우를 세어 보자. 게스트가 n단계 페이지 테이블(Sv39이면 3)을, 하이퍼바이저가 m단계 G-stage(Sv39x4이면 3)를 쓴다고 하자.

1. 게스트 페이지 워크는 vsatp.PPN에서 시작한다. 이 값은 GPA다. 루트 테이블의 PTE 주소 vsatp.PPN × 4096 + VPN[n−1] × 8도 GPA이므로, 그 PTE를 읽으려면 먼저 G-stage 워크(m번 읽기)로 SPA를 구해야 한다. 그다음에야 PTE 자체를 읽는다(1번). 한 게스트 단계에 m + 1번이다.
2. 게스트 PTE 안의 PPN이 가리키는 다음 테이블도 GPA다. 그래서 n개의 게스트 단계 모두 같은 일을 반복한다: n × (m + 1)번.
3. 마지막 리프 PTE가 준 것은 데이터의 GPA다. 이를 SPA로 바꾸려면 G-stage 워크가 한 번 더 필요하다: + m번.

합치면 페이지 테이블 읽기는 n(m+1) + m = nm + n + m = (n+1)(m+1) − 1번이고, 실제 데이터 접근 1번이 따로 붙는다. Sv39 게스트를 Sv39x4 위에서 돌리면 3·3 + 3 + 3 = 15번, Sv48 위의 Sv48x4라면 4·4 + 4 + 4 = 24번이다. 가상화가 없을 때 각각 3번, 4번이던 것에 비하면 5–6배다. 24라는 숫자는 x86-64의 4단계 × 4단계 중첩 페이징을 분석한 Bhargava 등(ASPLOS 2008)의 결과와도 같다.

게스트 페이지 폴트와 트랩 위임

H 확장은 원인 코드도 늘린다. 게스트를 위한 예외 넷과 인터럽트 넷이다. VS 모드의 ecall은 HS 모드의 ecall(9)과 다른 코드 10을 받는다. 두 ecall을 따로 위임할 수 있게 하려는 것이다.

가상 명령 예외

V=1에서 어떤 명령이 막혔는데, 그 명령이 HS 모드였다면 실행될 수 있었던(HS-qualified) 경우에는 불법 명령 예외(2) 대신 가상 명령 예외(virtual instruction, 22)가 난다. 예를 들어 게스트 커널이 hgatp를 읽거나, VTSR=1일 때 sret을, VTVM=1일 때 satp에 쓰거나, HLV·HFENCE 같은 하이퍼바이저 명령을 실행하는 경우다. 규격은 M이 가상 명령 예외를 HS로 곧장 위임하고, 불법 명령 예외는 먼저 M에서 살펴보는 것이 보통이라 가상 명령 예외가 더 빨리 처리될 것이라고 설명한다.

위임은 두 단계로

예외와 인터럽트는 기본적으로 모두 M으로 간다. medeleg/mideleg이 HS로 내려 보내고, V=1에서 일어난 트랩이라면 hedeleg/hideleg가 한 번 더 VS로 내려 보낸다. 트랩은 자기보다 권한이 낮은 모드로는 가지 않으므로, HS에서 일어난 트랩이 VS로 가는 일은 없다.

게스트 페이지 폴트가 HS로 오면 stval에는 평소처럼 게스트 가상 주소가, htval에는 실패한 게스트 물리 주소를 오른쪽으로 2비트 민 값(또는 0)이 들어간다. 2비트를 미는 이유는 RV32에서도 34비트 GPA를 담기 위해서이고, PMP 주소 레지스터와 PTE가 물리 주소를 담는 방식과 같다. 폴트가 VS 페이지 테이블을 읽다가 났다면 htval은 그 PTE의 GPA이고, htinst에는 특별한 의사 명령 값 0x00003000(RV64, VS-stage 변환용 64비트 읽기)이나 0x00003020(A/D 갱신용 쓰기)이 들어가 이 상황을 알려 준다. RV32 게스트라면 0x00002000·0x00002020이다.

하이퍼바이저 명령과 월드 스위치

HLV · HLVX · HSV: 게스트의 눈으로 메모리 읽기

하이퍼바이저는 종종 게스트의 가상 주소로 메모리를 읽어야 한다. 게스트가 SBI 호출로 넘긴 버퍼 주소를 따라가거나, MMIO 폴트를 일으킨 게스트 명령어를 가져와 해독할 때다. 소프트웨어로 두 단계 페이지 테이블을 걸어가는 대신 가상 머신 로드·스토어(virtual-machine load/store) 명령을 쓴다. 이 명령들은 V=0인 HS(또는 M, HU=1이면 U)에서 실행되지만, 메모리 접근만은 V=1이고 권한이 hstatus.SPVP인 것처럼 2단계 변환을 거친다.

HLVX는 게스트의 명령어를 가져오는 일을 흉내 내려고 만들었다. 실행만 되고 읽기는 안 되는 페이지에서도 명령어를 읽을 수 있어야 하기 때문이다. 그래도 예외는 명령 인출 예외가 아니라 일반 로드 예외로 보고된다. V=1에서 이 명령들을 실행하면 가상 명령 예외, HU=0인 U 모드에서 실행하면 불법 명령 예외다.

HFENCE.VVMA와 HFENCE.GVMA

V=1에서 sfence.vma를 실행하면 그 인자는 게스트 가상 주소와 게스트 ASID로 해석되고, 현재 VMID의 VS-stage 변환에만 적용된다. 게스트 커널은 평소대로 sfence.vma를 쓰면 되고, G-stage는 건드릴 수 없다. G-stage 테이블을 고친 하이퍼바이저는 hfence.gvma로 정리해야 한다.

월드 스위치

하이퍼바이저가 게스트 A를 멈추고 게스트 B를 돌리는 일을 월드 스위치(world switch)라 한다. VS CSR 덕분에 저장할 것이 분명하다. 게스트의 정수 레지스터와 함께 vs* CSR을 메모리에 저장하고 B의 값을 넣으면 된다. 주의할 점은 vsatp와 hgatp를 한꺼번에 바꿀 방법이 없다는 것이다.

시간도 가상화해야 한다. 게스트가 time을 읽으면 하드웨어가 htimedelta를 더한 값을 돌려준다. 게스트를 다른 하트로 옮기거나 잠시 멈췄다 다시 돌릴 때 게스트가 보는 시간이 매끄럽게 이어지게 하려는 것이다. Sstc가 있으면 게스트 커널은 stimecmp(실제로는 vstimecmp)에 직접 써서 타이머를 맞출 수 있고, 비교 기준은 time + htimedelta다.

게스트에게 인터럽트 전달하기

게스트 커널이 보는 인터럽트는 S 수준 인터럽트(소프트웨어 1, 타이머 5, 외부 9)다. 하지만 하드웨어에서 이들은 VS 수준 인터럽트(2, 6, 10)로 존재한다. hideleg의 비트 2·6·10을 켜 두면, VS 수준 인터럽트가 게스트에게 위임되면서 자동으로 S 수준 번호로 번역된다. 게스트의 vscause에는 9·5·1이 기록된다. 수정하지 않은 커널이 자기 인터럽트를 그대로 알아보게 하려는 장치다.

VS 수준 인터럽트가 걸리는 길은 세 가지다.

• 소프트웨어 주입: 하이퍼바이저가 hvip의 VSEIP(10)·VSTIP(6)·VSSIP(2)를 쓴다. 에뮬레이션한 장치의 인터럽트를 게스트에 넣을 때 쓴다.
• 게스트 타이머: Sstc의 vstimecmp가 만료되면 hip.VSTIP가 켜진다.
• 게스트 외부 인터럽트: 장치를 게스트에 직접 붙여 준(pass-through) 경우, 인터럽트 컨트롤러가 가상 하트 몫의 인터럽트를 따로 모아 hgeip의 비트로 알린다. hstatus.VGEIN이 고른 비트가 곧 게스트의 외부 인터럽트(VSEIP)가 된다.

AIA 규격(22장)의 IMSIC는 H 확장을 가진 하트에 대해 게스트 인터럽트 파일을 둘 수 있고, 그 개수는 정확히 GEILEN개다. 게스트 커널이 vsiselect·vsireg로 접근하는 인터럽트 파일은 hstatus.VGEIN이 고른 게스트 파일이다. 그래서 게스트는 자기 인터럽트 파일을 진짜 S 수준 파일처럼 다루고, 장치는 MSI를 그 파일에 바로 쓴다. 하이퍼바이저는 가상 하트를 다른 물리 하트로 옮길 때만 VGEIN과 IOMMU의 MSI 변환을 고치면 된다. GEILEN은 구현마다 다르며 RV64에서 최대 63, RV32에서 최대 31이다. 그보다 많은 가상 하트는 hvip로 흉내 내면 된다.

확인 퀴즈

더 읽을거리

• The RISC-V Instruction Set Manual, Volume II — “H” Extension for Hypervisor Support, Version 1.0 (v20260120)
• Volume II — Control and Status Registers (CSR 주소 목록)
• Volume II — RISC-V Privileged Instruction Set Listings (HLV·HSV·HFENCE 인코딩)
• RISC-V Advanced Interrupt Architecture v1.0 — IMSIC (게스트 인터럽트 파일)
• Gerald J. Popek, Robert P. Goldberg, “Formal Requirements for Virtualizable Third Generation Architectures”, Communications of the ACM 17(7), 1974
• Ravi Bhargava, Benjamin Serebrin, Francesco Spadini, Srilatha Manne, “Accelerating Two-Dimensional Page Walks for Virtualized Systems”, ASPLOS 2008 — 중첩 페이지 워크 24회 분석
• 이 책의 18장(트랩), 19장(가상 메모리), 22장(SBI·AIA)