Part III · 汇成一朵云 · 第 6 章
06

虚拟化与 Hypervisor

云的第一笔生意，是把一台昂贵物理机安全地切给很多租户。Hypervisor 维护的不是一个幻觉，而是一整套可出售的隔离边界。

难度 云核心 用时 约 55 分钟 交互 VM 运行路径 · 超售取舍 路线 螺旋式：先抓大图，再深入机制

0先把地图摊开

云的第一笔生意，是把一台昂贵物理机安全地切给很多租户。Hypervisor 维护的不是一个幻觉，而是一整套可出售的隔离边界。 本章不会把概念排成术语表，而是沿着一条真实系统路径走：先看它解决什么痛点，再看 OS/云平台怎样实现，最后回到工程取舍。

Hypervisor管理虚拟机、分配硬件、隔离租户的软件层。
vCPU虚拟 CPU，不等于物理核，而是可被调度的 CPU 时间份额。
二级地址翻译guest 虚拟地址到 host 物理地址的多层翻译。
设备虚拟化让 VM 安全访问网卡、磁盘等设备的机制。
虚拟化与 Hypervisor · 核心流程 分步动画 点击节点或用键盘 ← →
图 6.1核心机制路径。把这一章最容易散掉的流程压成可播放的五步。

6.1虚拟机是完整机器的抽象

进程抽象的是程序，虚拟机抽象的是整台电脑。它有自己的内核、磁盘、网卡和启动流程。云商卖给你的 EC2/ECS 实例，本质就是这个抽象的商品化版本。

6.2特权指令必须被接管

guest OS 以为自己是内核，但真正的硬件控制权在 hypervisor 手里。CPU 硬件虚拟化让敏感操作 trap 到 hypervisor，由它检查、模拟或安全执行。

6.3内存虚拟化叠在虚拟内存之上

guest 自己有页表，host 也要管理真实物理页。现代硬件用 EPT/NPT 做二级地址翻译，减少 hypervisor 介入，但 TLB、huge page、NUMA 仍会影响性能。

6.4设备是虚拟化最难的部分

CPU 和内存可以靠硬件辅助高效虚拟化，设备 I/O 更麻烦。云商会在模拟设备、半虚拟化 virtio、SR-IOV 直通之间做取舍：兼容、性能、隔离不能全都最大化。

6.5云实例规格是资源承诺的语言

2 vCPU / 8GB RAM 不是一台小物理机，而是一组调度和隔离承诺。理解这个，你才会读懂 steal time、burst credit、dedicated host 和 noisy neighbor。

虚拟化与 Hypervisor · 取舍实验 可玩模拟器 切换策略，看指标怎么变
图 6.2工程取舍。云和 OS 的概念真正进入工程时，几乎都不是“选最好”，而是在约束之间找一个诚实的点。

↔云与 OS 的桥

这一章不是孤立知识点。下面这张表把它和前后章节接起来：你会看到，同一个机制在单机、云平台和 AI 基建里会换名字，但问题结构没变。

本章机制云上形态为什么重要
vCPU云实例规格、Kubernetes node allocatable你买到的是可调度份额，不是裸核所有权。
设备虚拟化云盘、ENA 网卡、GPU passthrough性能敏感设备会推动更接近硬件的虚拟化方案。
隔离边界多租户安全、机密计算云商最核心的能力之一是让陌生租户安全共处。
深潜 读完本章后，怎么确认自己真的懂了？›

不要只背定义。你应该能把一个线上现象翻译回机制：慢在哪里、谁在排队、哪个抽象漏了、哪个资源被过度承诺。下面三个检查点可以当成小作业。

本章收束 · 你现在握住了什么

  • 虚拟机抽象的是整台机器，hypervisor 维护隔离与资源分配。
  • 多数指令直接执行，敏感操作和 I/O 需要 trap 或虚拟化。
  • 云实例规格是资源承诺，不是物理硬件切片的简单照片。
  • 超售让云便宜，也带来 noisy neighbor 和性能不确定性。

虚拟机完整但重。下一章看容器：不虚拟一整台机器，只隔离进程，为什么也能像一个小世界？