L4マイクロカーネルファミリー

L4マイクロカーネルファミリーは第二世代マイクロカーネルのファミリーで、一般的にはUnix系のオペレーティングシステムの実装に使われるが他の様々なシステムにも使われる。前身のL3マイクロカーネルと同じように、ドイツのコンピュータ科学者ヨッヘン・リートケによってそれ以前のマイクロカーネルベースのオペレーティングシステムの性能の低さを解決する答えとしてL4は作られた。リートケは性能を最優先に設計したシステムであれば実用的なマイクロカーネルを作ることができるのではないかと考えた。彼のインテルi386のアセンブリ言語でハードコードした最初の実装はコンピュータ産業界の関心を引いた。これを始めとしてL4はプラットフォーム非依存、セキュリティの改善、分離、堅牢性に向けた開発が行われた。

オリジナルのL4カーネルインターフェースやその後継がいくつも再実装されている。L4KA::Pistachio、 L4/MIPS、 Fasco，WrmOSなどがある。このためL4はリートケの最初の実装だけを指すのではなくファミリーの名前になっている。 現在ではオリジナルのL4とその改良版のカーネルインターフェースを持つマイクロカーネルファミリーが該当する。L4は広く開発が行われている。一つのバリエーションであるOKL4はOpen Kernel Labsで開発され数十億台のモバイル機器に使われた。

1. 設計理念
-------

リートケによるマイクロカーネルの一般的な設計指針は以下のようなものである

ある概念をマイクロカーネル内で実現することが許されるのは、それをカーネルの外に移した場合、すなわち競合する実装が可能となることでシステム必須の機能が妨げられる場合だけである この考え方に基づいてL4マイクロカーネルはわずかな基本的機構を提供する
アドレス空間
スレッドとスケジューリング
プロセス間通信

2. 歴史
-----

Machのような第一世代マイクロカーネルのパフォーマンスの低さから、1990年代半ばに多くの開発者がマイクロカーネルについての考え方全体の再検討を行った。Machで使われる非同期のカーネル内バッファリングプロセス間通信が低い性能の原因の一つであることが分かった。このためMachベースのオペレーティングシステム開発者はファイルシステムやデバイスドライバのような時間的な制約が大きい要素をカーネルの中に戻した。これはいくらかのパフォーマンス改善をもたらすが、真のマイクロカーネルの極小原則に大きく反する。

Machのボトルネックの詳細な分析によれば、ワーキングセットが大きすぎる事を示している。IPCコードはメモリ空間的な局所性が特に低い。それが非常に多くのカーネル内のキャッシュミスの原因になっている。この分析により、効率のよいマイクロカーネルでは性能最優先のコードの大部分は少なくともキャッシュに収まるものでなくてはならず、できればキャッシュのわずかな部分を占める程度であるべき、という原則が導かれた。

2.1. L3
-------

ヨッヘン・リートケは、パフォーマンスに充分注意を払い、マシン固有の設計を行い、うまく作られた小さなIPCレイヤーを使う設計ならば実際のパフォーマンスが大幅に向上することを証明した。 Machの複雑なIPCシステムの代わりに、彼のL3マイクロカーネルはオーバーヘッドを最小限にして単純なメッセージを渡すだけにした。 必要なセキュリティポリシーの定義と実装は、ユーザー空間のサーバーの任務とみなされた。 カーネルの役割は、ユーザーレベルのサーバーがポリシーを実施するのに必要なメカニズムを提供することだけとされた。 1988年に開発されたL3は、例えばTÜV SÜDdate=September 2010}}などで長く使用され安全で堅牢なオペレーティングシステムであることを示した。

2.2. L4
-------

L3を使った経験から、リートケはいくつかの他のMachの発想も間違っていると結論づけた。マイクロカーネルの概念をさらに単純化して、高性能化を主眼に設計した最初のL4カーネルを開発した。少しでも性能を出せるように、カーネル全体をアセンブリ言語で記述した結果、IPCはMachの20倍高速になった。このような劇的な性能の向上は、オペレーティングシステムでは稀なことでリートケの業績は新たなL4の実装のきっかけとなり、ドレスデン工科大学やニューサウスウェールズ大学などの大学やリートケが1996年に働き始めるIBMなどのいくつもの研究施設でのL4ベースのシステムの研究が始められた。リートケはIBMのトーマス・J・ワトソン研究所で同僚と共にL4とマイクロカーネルシステム一般の研究と特にSawmill OSの研究を続けた。

2.3. L4Ka::Hazelnut
-------------------

1999年、リートケはカールスルーエ大学のシステムアーキテクチャグループを引き継ぐ形でマイクロカーネルシステムの研究を続けた。高級言語による高性能マイクロカーネルの構築が可能であることを証明するためにグループはIA-32およびARMベースのマシンで動作するカーネルのC++版であるL4Ka::Hazelnutを開発した。この試みは成功し、性能は依然許容範囲とみなされた。そのためアセンブリ言語だけの版のカーネルは実質的に開発中止になった。

2.4. L4/Fiasco
--------------

L4Kaの開発と並行して1998年にTUドレスデンのオペレーティングシステムグループがL4/Fiascoと呼ばれるL4カーネルインターフェースの独自のC++実装の開発を始めた。L4Ka::Hazelnutはカーネル内では全く並行動作を認めず、その後継のL4Ka::Pistachioでは特定の割り込みポイントでのみ割り込みが許可されるのに対してL4/Fiascoは割り込みのレイテンシを小さくするために完全プリエンプティブであった。これはTUドレスデンで開発されていたハードリアルタイム処理が可能なオペレーティングシステムDROPSの基礎として使うための必要性からであった。しかし、完全プリエンプティブな設計の複雑さのためFiascoの後継版のカーネルでは限られた割込みポイントを除いてカーネル内では割込みを禁止する従来のL4の方針に戻された。

3. プラットフォームの非依存化
----------------

3.1. L4Ka::Pistachio
--------------------

L4Ka::PistachioとFiascoの後期バージョンがリリースされるまでは全てのL4マイクロカーネルは本質的に根本的なところでCPUアーキテクチャに密接に結びつけられていた。L4開発の次の大きな変革は、高い移植性を得ながら高性能を維持するプラットフォームに依存しないAPIの開発であった。カーネルの基本的な考え方は同じであるが新しいAPIは、マルチプロセッサへのより良い対応、スレッドとアドレス空間の間の制約の緩和、ユーザーレベルスレッドコントロールブロックと仮想レジスタの導入など、それ以前のL4のバージョンからは多数の大きな違いがある。2001年の初めに新しいL4 APIをリリースした後、カールスルーエ大学のシステムアーキテクチャグループは新しいカーネルL4Ka::Pistachioの実装を行った。これは性能と移植性の両方を重視して完全にゼロから書き直された。二条項BSDライセンスでリリースされている。

3.2. L4/Fiascoの初期バージョン以降
------------------------

L4/Fiascoは何年にも渡って大きく改良が続けられた。

Ver.1.1 x86, ARMのいくつかのアーキテクチャをサポートした
Ver.1.2 APIの拡張
例外IPC CPU例外をユーザーアプリケーションに送信可能
バージョンX.2形式のUTCB
ローカルIPC
Alienスレッド システムコールの細かい制御が可能またFiascoはLinuxのシステムコールへのインターフェースが用意され、Linuxのユーザランドで動かすことができる。2018年現在、マイクロカーネルFiasco.OCと基本的なユーザー環境のL4Reとしてx86、x86_64、ARM、MIPSのアーキテクチャをサポートして開発が続けられている。L4Re上ではLinuxカーネルを動かすことができる。

3.3. ニューサウスウェールズ大学とNICTA
------------------------

開発はニューサウスウェールズ大学でも続けられいくつかの64ビットプラットフォームでL4実装が行われた。この結果がL4/MIPSとL4/Alphaである。リートケのオリジナルは遡ってL4/x86と呼ばれる。UNSWのカーネルはリートケのオリジナル同様ゼロから書き起こされたもので移植性が考慮されていなかった。高い移植性を持つL4Ka::PistachioのリリースによりUNSWのグループは自分たちのカーネルを放棄してL4Ka::Pistachioを高度に最適化する事を選んだ。その成果にはその時点での最高速のメッセージパッシングの報告もあった。また、ユーザーレベルデバイスドライバがカーネル内のドライバと同等に動作することを実証した。さらにx86、ARM、MIPSの各プロセッサで動くL4上の移植性の高いLinuxであるWombatを開発した。XScaleプロセッサにおいてWombatは本来のLinuxに比較してコンテクストスイッチのコストが1/30となることを実証した。

UNSWグループは後に拠点をNICTAに移しL4Ka::Pistachioから分岐した新しいL4、NICTA::L4-embeddedを開発した。これは名前が示すように商用の組み込みシステム向けで、メモリの使用量を少なくすることを優先して実装され、複雑さを抑えることを目指した。プリエンプションポイントなしでも高いリアルタイム応答性を維持するため、ほとんど全てのシステムコールは十分短時間で終了するようにAPIは変更された。

4. 商業的展開
--------

2005年11月、NICTAはクアルコム社の移動局モデムチップセットにNICTA版L4を供給することを発表した。これにより2006年後半以降の携帯電話でL4が使われる事になった。2006年8月、UNSWのジャーノット・ハイザー教授と組み込み用リアルタイムOSリーダーのスピンアウトによりOpen Kernel Labsが設立され、商業目的のL4のサポートを行い、OKL4というブランド名の商業利用向けのL4の開発もNICTAと密接に協力して行った。2008年4月にリリースされたOKL4バージョン2.1は一般利用可能なバージョンのL4でCapability-based securityを特徴に持っていた。2008年10月にリリースされたOKL4 3.0は最後のオープンソース版OKL4である。これ以降のバージョンのOKL4はクローズドソースでネイティブハイパーバイザとして動くように書き換えられOKL4 Microvisorと呼ばれるようになった。OK LabsはまたWombatの後継の準仮想化LinuxをOK:Linuxとして供給し、準仮想化したSymbian OSとAndroidの供給も行った。OK LabはNICTAからseL4の権利も取得した。OKL4の出荷は2012年初めには15億台を超えた。ほとんどはクアルコムのワイヤレスモデムチップである。他のものには車載インフォティメントシステムが含まれる。A7以降のAシリーズやTシリーズ、Mシリーズ、SシリーズといったAppleのSoCに含まれるSecure EnclaveコプロセッサではNICTAが2006年に開発したL4-embeddedカーネルベースのL4オペレーティングシステムが動作している。これは現在、全てのiOSデバイスおよびAppleシリコンを搭載したMacやApple WatchでL4が出荷されていることを意味し、2021年の総出荷量はおよそ22億台とされる。

5. 高度な保証：seL4
-------------

2006年にNICTAのグループはseL4と呼ばれる第3世代マイクロカーネルの設計を開始した。これはコモンクライテリアを満たす、あるいはそれ以上のセキュリティ要件を満たすために高い安全性と信頼性が得られるような基本方針で設計された。最初からカーネルの形式的証明を目指して開発を行った。性能と検証の時に相反する要求を満たすために、チームはHaskellで書かれた実行可能な定義からソフトウェアによる処理を行いその結果を用る方法をとった。seL4ではオブジェクトのアクセス権についての形式的推論を可能にするために capability-basedアクセス制御 を用いている。

機能の正しさの形式的証明は2009年に完了した。この証明はカーネルの実装がその定義に対して正しいことを示し、従ってデッドロック、ライブロック、バッファオーバーフロー、数値演算の例外、初期化していない変数の使用などの実装バグの無いことを意味する。seL4は汎用のOSカーネルとしては初めて証明されたという主張がなされている。

seL4は、カーネルリソースの管理に新しい方法をとっている。カーネルリソースの管理はユーザーレベルに任され、ユーザーリソースと同じCapability-based securityのアクセス制御を受ける。このモデルはチューリッヒ工科大学による研究OSのBarrelfishでも採用されたもので、プロパティ分離についての推論を容易にして、seL4がコアセキュリティプロパティの完全性と秘匿性を強制することを後に証明することを可能にするものとなった。NICTAのチームはCから実行可能な機械語への変換の正確さの確認を行い、seL4のトラステッド・コンピューティング・ベースからコンパイラを取り除いた。これは実行可能なカーネルにおいて高度なセキュリティが証明されているという事である。seL4はまた、ハードリアルタイムシステムに必須な完全性と最悪ケースにおける正確な実行時間の解析を行ったと最初に公表された保護モードのOSカーネルである。

2014年7月29日、NICTAとジェネラル・ダイナミクス・ミッション・システムズは隅から隅まで検証されたseL4をオープンソースでリリースした。カーネルコードと検証コードはGPLv2で提供され、ほとんどのライブラリとツールは2条項BSDライセンスで提供されている。研究者のコメントによれば、ソフトウェアの形式的証明のコストはより高い信頼性を提供するにもかかわらず従来の「高度な保証」を有するソフトウェアを設計するコストよりも低いとしている。具体的には、従来の「高度な保証」を有するソフトウェアでは1行あたりのコストは1000米ドルであるのに対し、開発中のseL4の1行あたりのコストは400米ドルと見積もられた。

NICTAはアメリカ国防高等研究計画局の高保証サイバー軍事システム計画