Xen 4.22 vyšel. Host už nesmí mít procesor jiného výrobce než hostitel

Projekt Xen vydal 30. července 2026 verzi 4.22 svého hypervizoru, tedy programu, který na jednom fyzickém stroji rozdělí procesor a paměť mezi několik oddělených operačních systémů. Podle poznámek k vydání je to práce osmi měsíců; předchozí verze 4.21 vyšla 19. listopadu 2025. Nejnápadnější změna přitom není přírůstek, ale úbytek.

Předstírat cizí procesor už nejde

Od roku 2009 uměl Xen hostovi namluvit, že běží na procesoru druhého výrobce. Nebyla to kuriozita. Byla to podmínka živé migrace, tedy přesunu běžícího virtuálního stroje z jednoho serveru na druhý bez vypnutí. Když se v racku míchaly stroje s Intelem a s AMD, dala se sestavit sada vlastností procesoru, kterou zvládaly obě strany, a host se pak dal přestěhovat tam i zpátky.

Verze 4.22 to ruší. Host smí být nastavený jen na téhož výrobce, jakého má hostitelský procesor. Projekt to v souboru CHANGELOG.md odůvodňuje takhle (přeloženo): „Když se to v roce 2009 přidávalo, šlo procesory Intelu a AMD s dostatkem triků donutit, aby byly dost kompatibilní na živou migraci hosta. Výrobci se ale od té doby rozcházejí způsobem, který Xen nedokáže vyrovnat, a s příchodem bezpečnostních problémů se spekulativním prováděním se možnost, že by to bylo použitelné, uzavřela.“

Tiskovou zprávu k vydání rozeslala Linux Foundation, pod kterou Xen spadá. Tuhle položku neuvádí; je jen v seznamu změn od projektu.

Kvóty na Xenstore

Xenstore je malá stromová databáze, kterou si hypervizor, správcovská doména a jednotliví hosté předávají konfiguraci a oznámení o změnách. Host do ní může zapisovat a může si hlídat, kdy se něco změní.

Xen 4.22 na to nasazuje strop: kvótu na doménu a takzvanou hloubku sledování, tedy mez pro to, jak hluboko se dá zanořit hlídání změn. Podle tiskové zprávy je to obrana proti hostovi, který si bere víc zdrojů, než mu patří. Kvóty dávají smysl tam, kde na jednom stroji běží zákazníci, kteří o sobě navzájem nevědí. Takového provozu přibývá: v letošním průzkumu Uptime Institute mají cizí datová centra poprvé největší podíl firemní zátěže.

Co je v seznamu změn a co jen v tiskové zprávě

Z novinek pro procesory je v seznamu podpora funkce Bus Lock Threshold na čipech AMD Zen 5 a novějších. Když host zneužívá pomalé atomické instrukce, které zamykají celou sběrnici, Xen mu je nově omezí tempem, aby tím netrpěl celý stroj. Přibylo také načítání mikrokódu z archivu CPIO v samostatných modulech zavaděče a příkaz get-core-temp v nástroji xenpm, který na platformách Intelu vypíše teploty jader.

Tisková zpráva ale na prvním místě uvádí něco jiného: podporu FRED (Flexible Return and Event Delivery), tedy nového způsobu, jakým procesory x86 obsluhují přerušení, výjimky a systémová volání. Odvolává se na ni i citovaný zástupce Citrixu. V materiálech samotného projektu FRED nenajdete ani jednou, ať už v poznámkách k vydání, v přehledu funkcí nebo v souboru CHANGELOG.md.

Kód pro něj ve verzi 4.22 je. Soubor entry-fred.S, který obsluhuje vstupní body FREDu, ve značce RELEASE-4.22.0 leží; ve značce RELEASE-4.21.0 chybí. Autor ho napsal v prosinci 2024, do stromu se ale dostal až letos v březnu, tedy v cyklu 4.22. Rozpor mezi oběma zdroji nerozhodneme, jen ho zaznamenáváme: podle nás je pravděpodobnější, že tiskovou zprávu psal někdo štědřeji než správci seznamu změn, než že by šlo o omyl v datu.

Arm a RISC-V

Na Armu umí hosté nově uspat se do paměti a zase se probudit, a to standardní cestou přes rozhraní PSCI. Platí to jen pro obyčejné hosty, ne pro doménu, která má přímý přístup k hardwaru. Pokračuje také podpora profilu Armv8-R s jednotkou MPU, kterou používají systémy s nároky na funkční bezpečnost, a rozhraní FF-A se posunulo na verzi 1.2. Naopak podpora instrukční sady ThumbEE z Xenu zmizela.

U RISC-V je vidět, že je celá věc rozdělaná. Rozšíření SSTC pro časovače umí zatím jen sám Xen, hosté ne. Přibyly pomocné funkce pro sestavení domény z popisu hardwaru (device tree), což je podle projektu základ pro budoucí spouštění hostů. Kdo si chce Xen pro RISC-V přeložit, potřebuje překladač gcc aspoň ve verzi 12.2, kdežto pro x86 a Arm stačí 5.1.

Kdo do Xenu mluví

Na seznamu členů projektu jsou vedle AMD, Armu a AWS také Ford, Honda, Renesas, EPAM a Vates. Právě odtud jsou skoro všechny citace v tiskové zprávě. Kazuo Tsubouchi z Hondy v ní mluví o softwarově definovaných vozidlech a o tom, že různé úlohy s různými nároky mají běžet na společné výpočetní platformě; Aish Dubey z Renesasu o mixed-criticality systémech, tedy o strojích, kde vedle sebe běží úloha, na které závisí bezpečnost, a úloha, na které nezávisí nic.

Artem Mygaiev z EPAM popisuje práci skupiny pro funkční bezpečnost: nové nástroje postavené na QEMU umožňují opakovaně vstřikovat do systému poruchy a měřit, jak se zachová, k tomu přibylo měření pokrytí kódu testy až po úroveň modifikovaného pokrytí podmínek a rozhodnutí (MC/DC) a strukturované fuzzování. Ford uvádí, že do projektu poslal prvního mentorovaného vývojáře. Vates si podle svého vyjádření vzal na starost hlavně rozjezd RISC-V.

Co se vyhodilo

Kromě cizích výrobců procesoru zmizely z Xenu volby cpuid_mask_*, označené za zastaralé už ve verzi 4.7, a rozhraní SYSCTL_get_cpu_levelling_caps, o kterém projekt píše, že ho nejspíš nepoužívala žádná nadstavba. Skončila podpora Xenoprofile: nástroj oprofile sám přestal Xen podporovat v roce 2014 a od té doby se na tom v Xenu nic nedělalo. Nástroj xenpm se přestal stavět mimo x86, protože tam stejně nic užitečného neuměl.

Změna, o kterou zakopnou správci nadstaveb: volání pro vytvoření domény teď chce hodnotu DOMID_ANY, když má číslo přidělit systém sám. Dřívější zástupné hodnoty už nic takového neznamenají.

Zdroje: tisková zpráva Linux Foundation, poznámky k vydání a přehled funkcí na wiki projektu, CHANGELOG.md ve značce RELEASE-4.22.0 a zpráva o vydání na Phoronixu. Značku RELEASE-4.22.0 podepsal Andrew Cooper 29. července ve 20:06 UTC, tedy den před oznámením.