虚拟化技术
从软件翻译到嵌套组合

pushf        ; EFLAGS → 栈；IF = bit 9
popf         ; 栈 → EFLAGS：想关中断
             ; CPL > IOPL ⇒ IF 静默丢弃

cli          ; 对照：受 IOPL 保护
             ; CPL > IOPL ⇒ #GP，陷入 VMM

两条在 ring 3 直接执行、不陷入；cli / sti 却会陷入——VMM 想抓它，抓不到。

; IN · guest 反汇编
      100e8  li       t0,3
      100ea  li       t1,4
      100ec  add      t2,t0,t1
      100f0  rdcycle  t5
; OP · TCG IR
      add_i64 x5/t0,$0x0,$0x3
      add_i64 x6/t1,$0x0,$0x4
      add_i64 x7/t2,x5/t0,x6/t1
      call csrr,$0x0,$1,x30/t5,env,$0xc00
      mov_i64 pc,$0x100f4
      exit_tb $0x0

; OUT · x86-64 机器码
      +0x00  mov  -0x10(%rbp),%ebx
      +0x05  jl   tb_exit
      +0x0f  movq $0x3,0x28(%rbp)
      +0x1f  movq $0x7,0x38(%rbp)
      +0x2b  mov  $0xc00,%esi
      +0x30  mov  %rbp,%rdi
      +0x33  call helper_csrr
      +0x3f  movq $0x100f4,0x1230(%rbp)
      +0x4a  jmp  tb_exit

1. t0 寄存器的「家」在 env：0x28(%rbp) 就是 gpr[5]，写回直接以 rbp 为基址，中间没有宿主寄存器参与。
2. 常量折叠 ≠ 逐指令替换模板：三条算术在宿主侧也只剩三条写回，但最后一条是算好的 0x7。
3. call 会让 SysV caller-saved 失效：被分到这些寄存器上的临时值，追下去就是某一位 RISC-V 寄存器（宿主寄存器 → TCG temp → gpr[i]）；所以发 call 前必须先写回 env 的 gpr 槽位，否则 helper 一返回就无处可寻。
4. 块首三条是例行开销：mov/test/jl 是 icount 检查，和 guest 指令无关。

; IN · guest 反汇编
      100f4  auipc  t3,1
      100f8  addi   t3,t3,24
      100fc  lw     t4,0(t3)
      10100  add    a0,t2,t4
      10104  li     a7,93
      10108  ecall
; OP · TCG IR
      mov_i64 x28/t3,$0x110f4
      add_i64 x28/t3,x28/t3,$0x18
      qemu_ld_i64 x29/t4,loc5,noat+un+lesl,0
      add_i64 x10/a0,x7/t2,x29/t4
      add_i64 x17/a7,$0x0,$0x5d
      call raise_exception,$0x8,$0,env,$0x8

; OUT · x86-64 机器码
      +0x0f  movq $0x1110c,0xe0(%rbp)
      +0x1f  movslq (%rbx),%rbx
      +0x22  mov  %rbx,0xe8(%rbp)
      +0x29  mov  0x38(%rbp),%r12
      +0x2d  add  %r12,%rbx
      +0x30  mov  %rbx,0x50(%rbp)
      +0x34  movq $0x5d,0x88(%rbp)
      +0x43  movq $0x10108,0x1230(%rbp)
      +0x56  call raise_exception

1. 地址在译时就算成常量：auipc + addi 折叠成 0x1110c，一条 movq 写进 env 槽。
2. lw 展开成 qemu_ld：user-mode 下 guest va == qemu va，x86_64 下用一条 movslq 即可完成访存； 全系统模式则要先做软件 TLB 的 tag 比较，未命中转 MMU helper。
3. ecall 变成 noreturn helper：异常号 0x8 入参，不返回，后端无需再为它生成后续代码。

1. vPE 是 vCPU 的字段：struct its_vpe 内嵌在 kvm_vcpu.arch.vgic_cpu.vgic_v3 里，与 vCPU 一一对应、不单独分配，生命周期跟着 vCPU 走。
2. 绑定 vPE = 一次调度动作：vCPU 上物理 CPU 时，把该 vPE 的 pending / property table 基址写进本 CPU 的 Redistributor（GICR_VPENDBASER / VPROPBASER）并置 Valid，此后硬件自己查表置位。
3. 下 CPU 就撤回绑定：清 Valid、收回状态；此后的 vLPI 由硬件记进 pending 表，并打一条 doorbell—— 每 vCPU 一条的宿主物理中断，只用来叫醒 vCPU，不投给 guest；重新驻留后硬件再逐个投递。

# 建映射（软件）：VFIO 把 guest 内存锁进设备 DMA 域
  def arm_smmu_attach_and_map(master, dom, iova, pa, prot):
      ste = stream_table[master.streamid]
      ste.config = S2_TRANS          # 只做 stage-2
      ste.s2vmid = dom.s2_cfg.vmid   # 所属 VM
      ste.s2ttb  = dom.pgtbl_ops.vttbr
      dom.pgtbl_ops.map_pages(iova, pa, prot)

  # 运行时（硬件）：设备 DMA 查表，软件不参与
  def smmu_translate_dma(streamid, addr):
      ste = stream_table[streamid]
      pa  = walk(ste.s2ttb, addr)   # IPA -> PA
      check_permission(ste, pa)     # 越界则 fault

一例：网卡 StreamID=0x10、s2vmid=7，IPA 0x4000_0000 → PA 0x1_2000_0000；描述符填 0x4000_1000 就走到 0x1_2000_1000，填域外地址则 translation fault。

• 不是所有事件都走完这条链：外部中断、NMI，以及只在 VMCS02 里 trap 的事件属于 L0 自己，就地处理后直接恢复 L2——从 L1 视角这些事件根本不存在。
• 「L0 保留最终控制」的准确含义是归属判定权在 L0，而不是层层转发。这条判定会贯穿四维：退出归谁处理、缺项(lazy-alloc)归谁填。
• 合成的统一形状：L1 的要求（VMCS12 / EPT12）＋ L0 的约束（VMCS01 / EPT01）→ 一份硬件当下可执行的产物（VMCS02 / EPT02）。

1. host state 整组替换：VMCS02.host 必须是 L0 自己的（HOST_RIP 指 vmx_vmexit），因为从 L2 退出要回 L0，不是回 L1。
2. VMCS12.host 抄进 VMCS01.guest：硬件只有 guest/host 两个槽位，没有第三个承载「下层 hypervisor 的 host 状态」，只能借 guest 槽位。
3. guest state 大多直抄，例外是 CR0/CR4：有 guest/host mask 机制，装进 VMCS02 的是有效值再补写 CR0_READ_SHADOW。
4. control data 按位或、且严格单调：VMCS02 的 trap 集合 ⊇ VMCS01 ∪ VMCS12。多出来的正是「L1 想要而 L0 不想要」的事件。

# L0 处理 L1 的 VMX 指令：两条路
  # ① 改状态：L1 --exit--> L0 --entry--> L1
  def handle_vmwrite(vcpu, field, val):
      vmcs12.field = val
      nested_vmx_succeed(vcpu)   # 清 CF/ZF
      # 改三处：结果寄存器 / RFLAGS / GUEST_RIP

  # ② 换环境：L1 --exit--> L0 --entry--> L2
  def handle_vmlaunch(vcpu):
      prepare_vmcs02(vcpu, vmcs12)  # 合成
      vmx_vcpu_run(vcpu)            # 不返回 L1

术语边界：Turtles 所说的「VMCS shadowing」是 L0 在软件里影子维护 VMCS12，与 Intel Haswell 之后的同名硬件特性不是一回事。

前两栏的共同点：L1 用影子页表跑 L2，于是 L2 的每次页故障与页表写都要 L1 处理并经 L0 转发。本节只展开第 ③ 栏。

1. 能力虚拟化：L0 把 EPT 能力暴露给 L1，L1 相信自己能建 EPT，于是建出 EPT12——但硬件只有一张 EPT。
2. 折叠：L0 把 EPT12 与自己的 EPT01 折叠成 EPT02
3. 缺项分流：EPT12 有映射 → 拼 EPT01 写入 EPT02；没有 → 说明该页尚未由 L1 分配，转给 L1。

# P = L2-PA，M = L1 帧，H = 机器地址
  EPT12: P->M   EPT01: M->H   EPT02: P->H

  def handle_l2_ept_fault(P, access):
      if ept12_lookup(P).present:
          install_ept02_from_ept12(P)  # 自补
          resume_l2(); return
      # EPT12 也缺 → 传统路径进 L1
      if hyperupcall_ept_fault(P) == OK:
          install_ept02_from_ept12(P)
          resume_l2()               # 不进 L1
      else:
          inject_ept_fault_to_l1(P)
          resume_l1()          # 慢路径

def hyperupcall_ept_fault(P, access):
      if not try_lock(shared): return FALLBACK
      if fault_log.is_full():   return FALLBACK
      V = qemu_va_for(P)          # memslot 关系换算
      M = walk_qemu_page_table(shared_cr3, V)
      if M is not None:        # 复用已有帧
          ept12_install(P, M, access)
          fault_log.append(P); return SUCCESS
      if page_fault_log.contains(P):
          return FALLBACK       # L1 正并发处理
      M = frame_pool.pop()
      if M is None: return FALLBACK
      ept12_install(P, M, access)
      fault_log.append(P); return SUCCESS

一致性靠延迟补偿：L1 下次因其他 VM-exit 进入时消费 fault log 补自己的页表；shmem 缺页路径则包一层，先查 EPT12 是否已被填好。锁、双日志、帧池与原有 L1 路径共同兜住回退。