ハードウェア仮想化支援 ─ VT-x/EPTと二段アドレス変換

なぜ仮想化にハードウェア支援が要るのか

仮想化の目標は、ゲストOSに「自分が物理マシンを独占している」と錯覚させることです。問題はx86の設計にあります。OSは本来リング0で動き、特権命令（割り込み制御、ページテーブル基底レジスタの書き換え等）を実行します。しかし仮想マシン上ではVMM（ハイパーバイザ）がリング0を握るため、ゲストOSは下位リングへ追い出されます。

ここで古典的な要件が立ちはだかります。仮想化がトラップ&エミュレートで成立するには、すべての特権命令が非特権モードで実行されたとき例外（トラップ）を起こす必要があります。ところがx86には、非特権モードでも例外を出さずこっそり値を読めてしまう命令（センシティブだがトラップしない命令）が複数あり、ゲストは自分が降格された事実を検知できてしまいます。

VT-x/AMD-V ─ root と non-root という新しい軸

Intel VT-xとAMD-Vは、リングとは直交する新しい動作状態をCPUに追加してこの問題を解きます。それがVMX rootモード（VMMが走る）とVMX non-rootモード（ゲストが走る）です。

肝心なのは、non-rootモードのゲストがリング0をそのまま使える点です。ゲストカーネルは降格されないので、リング圧縮も命令の書き換えも不要になります。代わりに、VMMが「どの操作で介入したいか」を事前に設定しておき、その契機に達するとCPUが自動でroot側へ制御を戻します。この遷移がVM Exit、逆方向がVM Entryです。

ゲストとVMMの状態（レジスタ群、制御レジスタ、Exitの理由など）は、IntelではVMCS（VM Control Structure）、AMDではVMCBというメモリ上の構造体に保持されます。VM EntryでゲストのコンテキストがロードされCPUがnon-rootへ入り、VM Exitでゲスト状態が退避されVMMへ戻ります。リングを切り替えるのではなく実行モードの軸を1本増やしたことが、VT-x/AMD-Vの本質です。

二段アドレス変換 ─ EPT/NPTが解く問題

CPUの観点だけ仮想化しても、メモリが残ります。ゲストOSは自分のページテーブルでゲスト仮想アドレス（GVA）をゲスト物理アドレス（GPA）へ変換しているつもりですが、GPAは本物の物理アドレスではありません。GPAをホスト物理アドレス（HPA）へ写すもう一段の変換が要ります。

ハードウェア支援がない時代はシャドウページテーブルで対処していました。VMMがGVA→HPAを直接表す影の表を作り、ゲストがページテーブルを書き換えるたびに同期します。正しく動きますが、ゲストのページテーブル更新ごとにVM Exitが多発し、保守も複雑でした。

これを解くのがEPT（Intel: Extended Page Tables）／NPT（AMD: Nested Page Tables）です。CPUに二段目の変換表を持たせ、ゲストの一段目（GVA→GPA）には一切介入せず、ハードウェアがGPA→HPAを補って変換を完結させます。

二段アドレス変換（GVA -> GPA -> HPA）
  一段目: ゲストのページテーブル   GVA -> GPA   （ゲストOSが管理）
  二段目: EPT/NPT（VMMが管理）     GPA -> HPA   （CPUが自動で適用）

  ゲストはGPAまでしか知らない。CPUがEPTでHPAへ写す。
  -> ゲストのページテーブル書き換えでVM Exitが起きなくなる

シャドウ方式に比べ、ゲストのメモリ管理が原理どおりに動き、Exit回数が激減します。一方で代償もあります。

このコストを和らげるため、ラージページ（2MB/1GB）でページウォークの段数を減らす、TLBエントリにVPID/ASIDという識別子を付けてVM Entryごとのフラッシュを避ける、といった最適化が併用されます。

VM Exit ─ 仮想化の主たるオーバーヘッド

VM Exitは、ゲスト状態の退避・VMM状態のロード・Exit理由の解析を伴う重い遷移で、一回あたり数百〜千サイクル級のコストがかかります。性能チューニングの要諦は「Exitの回数をいかに減らすか」に尽きます。

VM Exitを誘発する代表例
  CPUID / 一部の制御レジスタ書き換え
  I/Oポートアクセス（設定により）
  外部割り込みの受信
  EPT違反（ゲストが未マップのGPAへアクセス）
  ハイパーコール（ゲストからVMMへの明示要求）

EPTがシャドウページテーブルを置き換えたのも、割り込みやI/Oの直結化が進んだのも、すべて「Exitを減らす」という一本の動機に貫かれています。どの契機でExitするかはVMCS/VMCBの制御ビットで細かく設定でき、VMMは介入が必要な操作だけを選んで捕捉します。

ポステッド割り込みとSR-IOV ─ デバイスを直結する

仮想化で最後まで重いのが割り込みとI/Oです。素朴な実装では、デバイスの割り込みは必ずVMMが受け（VM Exit）、宛先ゲストを判定して仮想割り込みを注入し直します。割り込みが多いほどExitが積み上がります。

ポステッド割り込み（Posted Interrupt）は、この経路を短絡します。割り込みコントローラ（APIC仮想化）と連携し、対象ゲストが実行中ならVM Exitなしで直接割り込みを届けます。VMMはデータパスから外れ、配送のためだけの遷移が消えます。

I/O側を解くのがSR-IOV（Single Root I/O Virtualization）です。1枚の物理デバイス（PF: Physical Function）が、独立したレジスタとキューを持つ複数の仮想機能（VF: Virtual Function）をハードウェアで提供します。各VFを個別のゲストへ**そのまま割り当て（パススルー）**れば、ゲストはVMMを介さずデバイスを直接叩けます。

これらはPCI Expressのトポロジと密接で、VFの提供やパススルーはPCIeの機能（BARやコンフィグ空間）の上に構築されます。

まとめ

• VT-x/AMD-Vはリングと直交するroot/non-rootモードを追加し、ゲストにリング0を使わせたまま特権操作だけをVM Exitで捕捉する。これでリング圧縮もバイナリ変換も不要になった。
• EPT/NPTはGPA→HPAの二段目をハードウェアで処理し、ゲストの一段目（GVA→GPA）に介入しない。代償としてTLBミス時のページウォークが二次元化し、メモリ参照回数が大きく増える。
• 性能の主敵はVM Exitで、ポステッド割り込み（割り込み配送の直結）とSR-IOV（VFのパススルー）、それを支えるIOMMUがExitとI/O経路を削る。

CPUのモード遷移という観点ではCPUの命令パイプラインやCISC/RISCの設計思想と地続きで、メモリ側はキャッシュ・TLB階層の理解がそのまま仮想化性能の理解につながります。