seL4

Operační systém typu mikrojádro vznikl jako reakce na neustálé zvětšování klasických monolitických operačních systémů, u kterých tak začal být obtížný další vývoj a údržba. Návrh mikrojádra proto odpovídá teorii strukturovaného programování. Výhoda mikrojádra spočívá v rozdělení systému na menší části (uživatelské servery a vlastní mikrojádro), což přináší vyšší přehlednost kódu.

Nevýhodou mikrojádra je nutnost častější změny kontextu při systémovém volání mezi uživatelským procesem, mikrojádrem a obsluhujícími servery a s tím související ztráty výkonu.

Špatný výkon první generace mikrokernelů, jako byl zejména Mach 3, vedl v polovině devadesátých let 20. století množství vývojářů k redefinici celého konceptu mikrokernelu.

Asynchronní vnitro-kernelový koncept meziprocesové komunikace (IPC) mikrokernelu Mach 3, používající velkou vyrovnávací paměť (buffer), se ukázal být jedním z hlavních důvodů pro jeho špatný výkon. Toto přimělo vývojáře na Machu založených operačních systémů k přenesení některých časově kritických komponent, jako jsou ovladače (systém GNU Hurd)[7] a souborové systémy, zpět do jádra, často až k přechodu k hybridnímu jádru (systémy macOS, NT).[8] I když to poněkud zmírnilo problémy s výkonem, je to jasné porušení minimalistického konceptu opravdových mikrokernelů (a plýtvá jejich hlavními výhodami).

Detailní analýza úzkého hrdla operačního systému Mach indikuje, že (jakékoliv další) požadavky na mikrokernel, dělají problém příliš složitým: kód meziprocesové komunikace (IPC), jehož většina je v jádře, představuje špatnou lokalizaci; což ve výsledku znamená příliš mnoho neúspěšných čtení cache CPU (musí se číst z mnohem pomalejší paměti). Tato analýza vedla k závěru, že efektivní mikrokernel musí být dostatečně malý, aby většina výkonu kritického kódu byla k dispozici v cache první úrovně (pokud možno malý zlomek zmíněné cache).

L4 family tree

Po zkušenosti s použitím svého mikrokernelu L3, dospěl Liedtke k závěru, že i několik dalších konceptů Machu bylo špatných (vizte též). Prostřednictvím zjednodušení konceptu mikrokernelu ještě vynalezl první mikrokernely L4 (první vlna mikrojader druhé generace), které byly od počátku primárně navrženy pro vysoký výkon. Za účelem vyždímat každý kousek výkonu jádra, byly celé napsány v assembleru a jejich meziprocesová komunikace (IPC) tak byla 20krát rychlejší než v případě Machu.

První vlna mikrojader druhé generace, je reprezentována zejména originálním systémem L4, který byl velice pečlivě vytvořen Jochenem Liedtkem v assembleru, což bylo důležité zejména pro vysoký výkon a rychlost tohoto systému. Ale brzy se ukázalo, že by bylo vhodné, aby nejen uživatelské servery, ale též vlastní mikrojádro, bylo co nejlépe přenositelné na jiné systémy, s jiným hardware a jinými CPU.

Proto se objevila druhá vlna (druhé generace mikrojader), která dala vzniknout mikrojádrům napsaným z větší části ve vyšších programovacích jazycích, zejména jako jsou programovací jazyky C a C++, a to mikrojádro L4Ka::Hazelnut a zejména L4Ka::Pistachio na univerzitě v Karlsruhe[9], a Fiasco na Technické univerzitě Drážďany.

Další vývoj přinesl potřebu třetí generace mikrojader, s vysokou bezpečností a dostupností, což vyústilo v požadavek formální (matematicky ověřené) bezchybnosti zdrojového kódu mikrojader. Tato nová situace vedla k vývoji třetí generace mikrojader, jako jsou seL4[10][11] a pozdější verze Fiasco (Fiasco.OC, které je součástí systému L4Linux).[12]

V roce 2006 tedy zahájila skupina NICTA programování třetí generace mikrokernelu, který se jmenuje seL4, s cílem poskytnout základ pro vysoce bezpečné a spolehlivé systémy, vhodné pro uspokojování bezpečnostních požadavků, jako jsou ty z Common Criteria i mimo ně. Od začátku byl vývoj zaměřený na formální verifikaci jádra. Pro usnadnění splnění někdy vzájemně si odporujícími požadavků na výkon a verifikaci, tým použil middle-out softwarový proces, počínaje spustitelnou (modelovou) specifikací napsanou v jazyce Haskell.[10] seL4 používá Capability-based access control pro umožnění formální (matematické) kontroly ohledně přístupnosti objektů. Poté je však tento modelový kód v Haskellu (přibližně 5700 řádek zdrojového kódu)[13] přepsán do jazyka C (přibližně 8700 řádek) a assembleru (přibližně 600 řádek).[11][6][14]

• Free Software Foundation (FSF) – organizace (nadace), která zastřešuje Projekt GNU
  • Projekt GNU – projekt původně Richarda Stallmana, který má za cíl vyvinout kvalitní a svobodný operační systém – GNU
    • GNU GPL – licence napsané Richardem Stallmanem a dalšími, k uskutečnění cílů Projektu GNU
      • GNU Hurd – svobodný operační systém založený na mikrokernelu GNU Mach, vyvíjený Projektem GNU
        • GNU Mach – jádro operačního systému GNU Hurd; mikrokernel
      • Linux (jádro) – jádro svobodného operačního systému, vyvíjené Linux Foundation; modulární monolitické jádro
      • Linux-libre – jádro svobodného operačního systému, vyvíjené dcerou FSF (FSFLA), fork Linux (jádro); modulární monolitické jádro

• Berkeley Software Distribution – obchodní organizace při University of California, Berkeley, která vyvinula licenci BSD a používala pro práce nad operačním systémem BSD Unix.
  • BSD licence – licence organizace BSD, která používala pro BSD Unix a odvozená díla
    • FreeBSD – svobodný operační systém, který vznikl z BSD Unixu; modulární monolitické jádro
    • DragonFly BSD – svobodný operační systém, fork FreeBSD 4.8 s hybridním jádrem
    • NetBSD – svobodný operační systém, který vznikl z BSD Unixu (před FreeBSD); modulární monolitické jádro
    • OpenBSD – svobodný operační systém, fork NetBSD zaměřený na bezpečnost; monolitické jádro
    • MINIX 3 – svobodný operační systém; mikrojádro navržené a vytvořené vědcem Andrewem S. Tanenbaumem

• Fiasco.OC - mikrojádro třetí generace, pokračovatel L4, vytvořené Technickou univerzitou Drážďany. Více vizte L4Linux.
• SELinux - bezpečnostní rozšíření systému Linux

Související témata

• prof. Jochen Liedtke - autor původního návrhu L4, některé jeho názory a myšlenky
• Formální verifikace - moderní metoda ověřování kvality software
• Bezpečnostně zaměřený operační systém

• Jochen Liedtke, Ulrich Bartling, Uwe Beyer, Dietmar Heinrichs, Rudolf Ruland, Gyula Szalay. Two years of experience with a μ-Kernel based OS, ACM Press 1991
• Liedtke, Jochen; Haeberlen, Andreas; Park, Yoonho; Reuther, Lars; Uhlig, Volkmar (2000-10-22). "Stub-Code Performance is Becoming Important" (PDF). In Proceedings of the 1st Workshop on Industrial Experiences with Systems Software (WIESS), San Diego, CA, October 2000. Retrieved on 2006-09-05.Je zde použita šablona {{Cite conference}} označená jako k „pouze dočasnému použití“.Archivováno 5. 9. 2006 na Wayback Machine (on L4 kernel and compiler)
• Cheng Guanghui, Nicholas Mc Guire. L4/Fiasco/L4Linux Kickstart, Distributed & Embedded Systems Lab – Lanzhou University
• (October 2014) "From L3 to seL4: What Have We Learnt in 20 Years of L4 Microkernels?". 24th ACM SIGOPS Symposium on Operating Systems Principles: 133-150.Je zde použita šablona {{Cite conference}} označená jako k „pouze dočasnému použití“. Evolution of L4 design and implementation approaches

• (anglicky) Gernot Heiser's web page
• (anglicky) Gernot Heiser's blog
• (anglicky) Why No Operating System Is Safe
• (anglicky) L4Hq: L4 headquarters, community site for L4 projects
• (anglicky) The L4 microkernel family: Overview over L4 implementations, documentation and projects
• (anglicky) Official TUD:OS Wiki
• (anglicky) L4Ka: Implementations L4Ka::Pistachio and L4Ka::Hazelnut
• (anglicky) UNSW: Implementations for DEC Alpha and MIPS architecture
• (anglicky) OKL4: Commercial L4 version from Open Kernel Labs
• (anglicky) NICTA L4: Research Overview and Publications
• (anglicky) Genode Operating System Framework, an offspring of the L4 community
• (česky) Zdrojové kódy seL4 otevřeny
• (slovensky) Vyvinutý operačný systém s matematickým dôkazom o svojej bezpečnosti