操作系统的运行机制（详解版）

事件总是由中断或陷阱引起的。陷阱（trap，或异常（exception））是一种软件生成的中断，或源于出错（如除数为零或无效存储访问），或源于用户程序的特定请求（执行操作系统的某个服务）。这种操作系统的中断特性规定了系统的通用结构。对于每种中断，操作系统有不同代码段来处理。中断服务程序用于处理中断。

由于操作系统和用户共享计算机系统的硬件和软件，需要确保用户程序的出错仅仅影响自己。由于共享，一个程序错误（bug）可能会对多个进程造成不利的影响。例如，如果一个进程陷入死循环，那么这个死循环可能阻止许多其他进程的正确运行。多道程序系统可能出现更多微妙错误，一个错误程序可能修改另一程序另一程序数据甚至操作系统本身。

如果对这些错误不加以预防，那么计算机只能一次执行一个进程，否则所有输出都值得怀疑。操作系统的正确设计必须确保错误程序（或恶意程序）不会造成其他程序的错误执行。

双重模式与多重模式的执行

为了确保操作系统的正确运行，必须区分操作系统代码和用户代码的执行。大多数计算机系统采用硬件支持，以便区分各种执行模式。

至少需要两种单独运行模式：用户模式（user mode）和内核模式（kernel mode）（也称为监视模式（supervisor mode)、系统模式（system mode）或特权模式（privileged mode））。计算机硬件可以通过一个模式位（mode bit）来表示当前模式：内核模式（0）和用户模式（1）。

有了模式位，就可区分为操作系统执行的任务和为用户执行的任务。当计算机系统执行用户应用时，系统处于用户模式。然而，当用户应用通过系统调用，请求操作系统服务时，系统必须从用户模式切换到内核模式，以满足请求，如图 1 所示。正如将会看到的，这种架构改进也可用于系统操作的许多其他方面。

图 1 用户模式到内核模式的转换

当系统引导时，硬件从内核模式开始。操作系统接着加载，然后开始在用户模式下执行用户程序。一旦有陷阱或中断，硬件会从用户模式切换到内核模式（即将模式位的状态设为 0）。因此，每当操作系统能够控制计算机时，它就处于内核模式。在将控制交给用户程序前，系统会切换到用户模式（将模式位设为 1）。

双重模式执行提供保护手段，以便防止操作系统和用户程序受到错误用户程序的影响。 这种防护实现为：将可能引起损害的机器指令作为特权指令（privileged instruction)，并且硬件只有在内核模式下才允许执行特权指令。如果在用户模式下试图执行特权指令，那么硬件并不执行该指令，而是认为该指令非法，并将其以陷阱形式通知操作系统。

切换到用户模式的指令为特权的，其他特权的例子包括 I/O 控制、定时器管理和中断管理等。许多其他特权指令在本书其他部分也会讨论到。

模式概念可以扩展，从而超过两个，这样 CPU 在设置和检测模式时，就会用到多个位。支持虚拟化（virtualization）技术的 CPU 有一种单独模式，用于表示虚拟机管理器（Virtual Machine Manager，VMM）是否正在控制系统。这种模式的特权要多于用户模式，但少于内核模式。这种特权模式可以改变 CPU 状态，以便创建和管理虚拟机。有时，不同的内核组件也会使用不同模式。

需要注意的是，除了模式外，CPU 设计人员也可采用其他方式来区分执行特权。例如，Intel 64 系列的 CPU 有四种特权级别（privilege level）并支持虚拟化，但是没有一个特定的虚拟化模式。

现在看一看计算机系统的指令执行的生命周期。最初，操作系统进行控制，这时指令执行在内核模式。当控制转交到一个用户应用时，模式也设置为用户模式。最终，通过中断、陷阱或系统调用，控制又返回到操作系统。

系统调用为用户程序提供手段，以便请求操作系统完成某些特权任务。系统调用可有多种方式，取决于底层处理器提供的功能。不管哪种，它都是进程请求操作系统执行功能的方法。系统调用通常会陷入中断向量的某个指定位置。这一般可由通用trap指令来完成，不过也有的系统（如 MIPS 系列）由专用syscall指令来完成系统调用。

当要执行系统调用时，硬件通常将它作为软件中断。控制通过中断向量转到操作系统的中断服务程序，并且模式位也设为内核模式。系统调用服务程序是操作系统的一部分。内核检查中断指令，判断发生了什么系统调用；参数表示用户程序请求何种服务。请求所需的其他信息可以通过寄存器、堆栈或内存（内存指针也可通过寄存器传递）来传递。内核首先验证参数是否正确和合法，然后执行请求，最后控制返回到系统调用之后的指令。

如果双重模式没有硬件支持，则操作系统会有严重缺点。例如，MS-DOS 是为 Intel 8088 体系结构而编写的，它没有模式位，因而没有双重模式。运行出错的程序可以通过写入数据而清除整个操作系统，多个程序可以同时写入同一设备，进而可能引起灾难结果。现今的 Intel CPU 确实提供双重模式执行。因此，大多数的当代操作系统，如 Microsoft Windows 7、UNIX 和 Linux，都利用了双重模式的优点，并为操作系统提供了更强保护。

一旦硬件保护到位，就可检测模式错误。这些错误通常由操作系统处理。如果一个用户程序出错，如试图执行非法指令或者访问不属于自己的地址空间内存，则通过硬件陷到操作系统。陷阱如同中断一样，通过中断向量可将控制转到操作系统。当一个程序出错时，可由操作系统来异常终止。这种情况的处理代码与用户请求的异常终止一样。操作系统会给出一个适当的出错信息，并倒出（dump）程序内存。倒出内存信息通常写到文件，这样用户或程序员可检查它，纠正错误并重新启动程序。

定时器

操作系统应该维持控制 CPU，防止用户程序陷入死循环，或不调用系统服务并且不将控制返给操作系统。为了实现这一目标，可以使用定时器（timer）。定时器可设置为在指定周期后中断计算机。指定周期可以是固定的（例如，1/60S）或可变的（例如，1ms〜1s）。可变定时器（variable timer）—般通过一个固定速率的时钟和计数器来实现。操作系统设置计数器。每次时钟滴答时，计数器都要递减。当计数器的值为 0 时，就会产生中断。例如，对于 10 位的计数器和 1ms 精度的时钟，可按时间步长为 1ms 和时间间隔为 1ms~1024ms 来产生中断。

在将控制交到用户之前，操作系统确保定时器已设置好以便产生中断。当定时器中断时，控制自动转到操作系统，而操作系统可以将中断作为致命错误来处理，也可以给予用户程序更多时间。当然，用于修改定时器的指令是特权的。

定时器可以防止用户程序运行过长。一种简单方法是，采用程序允许执行的时间来初始化计数器。例如，能运行 7 分钟的程序可以将计数器设置为 420。定时器每秒产生一次中断，计数器相应递减 1。只要计数器的值为正，控制就返回到用户程序。当计数器的值为负时，操作系统就会中止程序执行，因为它超过了设置的时间限制。