QEMU Internal – Precise Exception Handling 5/5

Copyright (c) 2012 陳韋任 (Chen Wei-Ren)

最後,如同我之前所承諾的。我們來看 tlb_fill 從一般 C 函式和 code cache 被呼叫是什麼意思。

我們可以看到 retaddr == 0 時,tlb_fill 是從一般 C 函式被呼叫。

(gdb) b tlb_fill
(gdb) r -boot a -fda Image -hda hdc-0.11-new.img -vnc 0.0.0.0:1 -d in_asm,op,out_asm
Breakpoint 1, tlb_fill (addr=4294967280, is_write=2, mmu_idx=0, retaddr=0x0) at
/tmp/chenwj/qemu-0.13.0/target-i386/op_helper.c:4816
4816    {
(gdb) bt
#0  tlb_fill (addr=4294967280, is_write=2, mmu_idx=0, retaddr=0x0) at /tmp/chenwj/qemu-0.13.0/target-i386/op_helper.c:4816
#1  0x000000000050ee86 in __ldb_cmmu (addr=4294967280, mmu_idx=0) at /tmp/chenwj/qemu-0.13.0/softmmu_template.h:134
#2  0x000000000051045e in ldub_code (ptr=4294967280) at /tmp/chenwj/qemu-0.13.0/softmmu_header.h:87
#3  0x000000000051054b in get_page_addr_code (env1=0x110e390, addr=4294967280) at /tmp/chenwj/qemu-0.13.0/exec-all.h:325
#4  0x0000000000510986 in tb_find_slow (pc=4294967280, cs_base=4294901760, flags=68) at /tmp/chenwj/qemu-0.13.0/cpu-exec.c:139
#5  0x0000000000510b9d in tb_find_fast () at /tmp/chenwj/qemu-0.13.0/cpu-exec.c:188
#6  0x00000000005112db in cpu_x86_exec (env1=0x110e390) at /tmp/chenwj/qemu-0.13.0/cpu-exec.c:575
#7  0x000000000040aabd in qemu_cpu_exec (env=0x110e390) at /tmp/chenwj/qemu-0.13.0/cpus.c:767
#8  0x000000000040abc4 in cpu_exec_all () at /tmp/chenwj/qemu-0.13.0/cpus.c:795
#9  0x000000000056e417 in main_loop () at /tmp/chenwj/qemu-0.13.0/vl.c:1329
#10 0x00000000005721cc in main (argc=11, argv=0x7fffffffe1a8, envp=0x7fffffffe208) at /tmp/chenwj/qemu-0.13.0/vl.c:2992

我們可以看到 retaddr != 0 時,tlb_fill 是從 code cache 中被呼叫。

Breakpoint 1, tlb_fill (addr=28668, is_write=1, mmu_idx=0, retaddr=0x4000020c)
at /tmp/chenwj/qemu-0.13.0/target-i386/op_helper.c:4816
4816    {
(gdb) bt
#0  tlb_fill (addr=28668, is_write=1, mmu_idx=0, retaddr=0x4000020c) at /tmp/chenwj/qemu-0.13.0/target-i386/op_helper.c:4816
#1  0x000000000054e511 in __stl_mmu (addr=28668, val=982583, mmu_idx=0) at /tmp/chenwj/qemu-0.13.0/softmmu_template.h:272
#2  0x000000004000020d in ?? ()  <--- 我們在 code cache 裡!

我們來看一下 qemu.log 驗證一下我們對 QEMU 的了解。;) 既然 retaddr = 發生例外的 host binary 下一條指令位址減去 1,我們定位到 0x4000020d。

0x40000208:  callq  0x54e3a0
0x4000020d:  movzwl %bx,%ebp

瞧瞧 __stl_mmu 的位址,果然是 0x54e3a0。這代表我們在 code cache 呼叫 __stl_mmu。__stl_mmu 再去呼叫 tlb_fill 的時候發生例外。

(gdb) p __stl_mmu
$1 = {void (target_ulong, uint32_t, int)} 0x54e3a0

這裡我們可以看到 SOFTMMU 相關的 helper function 在各個地方都會被用到,不論是 QEMU 本身的函式 (一般 C 函式) 或是 code cache 都會調用 __{ld,st}{b,w,l,q}_{cmmu,mmu}。這些 helper function 又會調用 tlb_fill。tlb_fill 就是透過 retaddr 來判定是否需要回復 guest CPUState。

QEMU Internal – Precise Exception Handling 4/5

Copyright (c) 2012 陳韋任 (Chen Wei-Ren)

好! 我們現在找到例外 (本範例是頁缺失) 是發生在某個 TranslationBlock 裡頭,但是到底是哪一條 guest 指令觸發頁缺失? 我們需要從頭翻譯該 TranslationBlock 對應的 guest binary 來揪出罪魁禍首。一般情況下,QEMU 在翻譯 guest binary 時不會記錄 guest pc 資訊。這時,為了定位 guest pc,QEMU 在翻譯 guest binary 會記錄額外的資訊,包含 guest pc。

QEMU 會用到底下定義在 translate-all.c 資料結構:

  target_ulong gen_opc_pc[OPC_BUF_SIZE]; // 紀錄 guest pc。
  uint8_t gen_opc_instr_start[OPC_BUF_SIZE]; // 當作標記之用。

針對 x86,又在 target-i386/translate.c 定義以下資料結構:

  static uint8_t gen_opc_cc_op[OPC_BUF_SIZE]; // 紀錄 condition code。

現在來看 cpu_restore_state (translate-all.c)。searched_pc 傳入的 (幾乎) 是發生例外的 host pc。

int cpu_restore_state(TranslationBlock *tb,
                      CPUState *env, unsigned long searched_pc,
                      void *puc)
{
    tcg_func_start(s); // 初始 gen_opc_ptr 和 gen_opparam_ptr
 
    // 轉呼叫 gen_intermediate_code_internal,要求在生成 TCG IR
    // 的同時,為其生成相關的 guest pc 和其它資訊於下列資料結構。
    //
    //   gen_opc_pc, gen_opc_instr_start, 和 gen_opc_cc_op
    //
    gen_intermediate_code_pc(env, tb);
 
    // 轉呼叫 tcg_gen_code_common (tcg/tcg.c) 將 TCG IR 翻成 host binary。
    // 返回 TCG gen_opc_buf index。
    j = tcg_gen_code_search_pc(s, (uint8_t *)tc_ptr, searched_pc - tc_ptr);
 
    // gen_opc_instr_start[j] 若為 1,代表 gen_opc_pc[j] 和 gen_opc_cc_op[j]
    // 正是我們所要的資訊。
    while (gen_opc_instr_start[j] == 0)
        j--;
 
    // 回復 CPUState。
    gen_pc_load(env, tb, searched_pc, j, puc);
 
}

gen_intermediate_code_pc 是 gen_intermediate_code_internal 的包裝,search_pc 設為 1。當 search_pc 為 true,在翻譯 guest binary 的同時,生成額外資訊。

static inline void gen_intermediate_code_internal(CPUState *env,
                                                  TranslationBlock *tb,
                                                  int search_pc)
{
    // guest binary -&gt; TCG IR
    for(;;) {
 
        if (search_pc) {
            // gen_opc_ptr 為 TCG opcode buffer 目前位址,gen_opc_buf 為
            // TCG opcode buffer 的起始位址。
            j = gen_opc_ptr - gen_opc_buf;
            if (lj &lt; j) {
                lj++;
                while (lj cc_op; // 紀錄 condition code。
            gen_opc_instr_start[lj] = 1; // 填 1 作為標記。
            gen_opc_icount[lj] = num_insns;
        }
 
        // 針對 pc_ptr 代表的 guest pc 進行解碼並生成 TCG IR,返回下一個 guest pc。
        pc_ptr = disas_insn(dc, pc_ptr);
 
    }
}

tcg_gen_code_search_pc 是 tcg_gen_code_common 的包裝,search_pc (應命名為 offset) 設為發生例外的 host binary 與其所屬 basic block 在 code cache 開頭 (tc_ptr) 的 offset。注意! 此時傳入 gen_code_buf 的是觸發例外的 TranslationBlock 其 tc_ptr。也就是說,現在 TCG IR -> host binary 中的 host binary 是寫在發生例外 host binary 所屬 basic block 在 code cache 的開頭。我們把這段 host binary 覆寫了! 當然寫的內容和被覆寫的內容一模一樣。我們只想要透過這個方式反推觸發例外的 guest pc。

static inline int tcg_gen_code_common(TCGContext *s, uint8_t *gen_code_buf,
                                      long search_pc)
{
    for(;;) {
        switch(opc) {
        case INDEX_op_nopn:
            args += args[0];
            goto next;
        case INDEX_op_call:
            dead_args = s-&gt;op_dead_args[op_index];
            args += tcg_reg_alloc_call(s, def, opc, args, dead_args);
            goto next;
        }
        args += def-&gt;nb_args;
    next:
        // 如果 offset (search_pc) 落在 tc_ptri (gen_code_buf) 和 code cache
        // 目前存放 host binary 的位址之間, 返回 TCG gen_opc_buf index。
        if (search_pc &gt;= 0 &amp;&amp; search_pc <s>code_ptr - gen_code_buf) {
            return op_index;
        }
        op_index++;
    }
}

此時,gen_opc_pc 和 gen_opc_cc_op 已存放發生例外的 guest pc 和當時的 condition code。gen_pc_load 負責回復 CPUState。

void gen_pc_load(CPUState *env, TranslationBlock *tb,
                unsigned long searched_pc, int pc_pos, void *puc)
{
    env-&gt;eip = gen_opc_pc[pc_pos] - tb-&gt;cs_base;
    cc_op = gen_opc_cc_op[pc_pos];
}

至此,CPUState 已完全回復,我們回來看 tlb_fill。raise_exception_err (target-i386/op_helper.c) 這時候拉起虛擬 CPU 的 exception_index (env->exception_index),並設置 error_code (env->error_code)。

void tlb_fill(target_ulong addr, int is_write, int mmu_idx, void *retaddr)
{
    ret = cpu_x86_handle_mmu_fault(env, addr, is_write, mmu_idx, 1);
    if (ret) {
        if (retaddr) {
 
            // 當客戶發生頁缺失 (ret == 1) 且 tlb_fill 是從 code cache 中被
            // 呼叫 (retaddr != 0),我們會在這裡。
 
            /* now we have a real cpu fault */
            pc = (unsigned long)retaddr;
            tb = tb_find_pc(pc);
            if (tb) {
                /* the PC is inside the translated code. It means that we have
                   a virtual CPU fault */
                cpu_restore_state(tb, env, pc, NULL);
            }
        }
        raise_exception_err(env-&gt;exception_index, env-&gt;error_code);
    }
    env = saved_env;
}

raise_exception_err 實際上是 raise_interrupt 的包裝 (wrapper)。QEMU_NORETURN 前綴代表此函式不會返回。它其實是 GCC 擴展 __attribute__ ((__noreturn__)),定義在 qemu-common.h [1]。

static void QEMU_NORETURN raise_interrupt(int intno, int is_int, int error_code,
                                          int next_eip_addend)
{
    ... 略 ...
 
    env-&gt;exception_index = intno;
    env-&gt;error_code = error_code;
    env-&gt;exception_is_int = is_int;
    env-&gt;exception_next_eip = env-&gt;eip + next_eip_addend;
    cpu_loop_exit();
}

cpu_loop_exit (cpu-exec.c) 用 longjmp 返回至 cpu_exec (cpu-exec.c) 中處理例外的分支。

void cpu_loop_exit(void)
{
    env-&gt;current_tb = NULL;
    longjmp(env-&gt;jmp_env, 1);
}

來看 cpu_exec。cpu_exec 裡用到許多 #ifdef,強烈建議查看經過預處理之後結果,即 ${BUILD}/i386-softmmu/cpu-exec.i 中的 cpu_x86_exec。

int cpu_exec(CPUState *env)
{
    // 進行翻譯並執行的迴圈。
    /* prepare setjmp context for exception handling */
    for(;;) {
        if (setjmp(env-&gt;jmp_env) == 0) { // 正常流程。
            /* if an exception is pending, we execute it here */
            if (env-&gt;exception_index &gt;= 0) {
 
              /* 2. 再來到這裡,處理例外。 */
 
            }
 
            next_tb = 0; /* force lookup of first TB */
            for(;;) {
 
            } /* inner for(;;) */
        }
 
        /* 1. 我們先來到這裡。 */
 
    } /* outer for(;;) */
}

O.K.,到這裡就是一個循環。:-) 接著,我們來驗證一下我們對 QEMU 的理解。

[1] http://gcc.gnu.org/onlinedocs/gcc/Function-Attributes.html

QEMU Internal – Precise Exception Handling 3/5

Copyright (c) 2012 陳韋任 (Chen Wei-Ren)

首先我們來看 __stb_mmu。請看 ${SRC}/softmmu_template.h 和 ${BUILD}/i386-softmmu/op_helper.i。SOFTMMU 相關的 helper function 是透過 softmmu_* 檔案內的巨集加以合成。這裡只挑部分加以描述。

SUFFIX 可以是 b (byte, 8)、w (word, 16)、l (long word, 32) 和 q (quad word, 64),代表資料大小。MMUSUFFIX 可以是 cmmu 或是 mmu,分別代表欲讀取的是 code 或是 data。mmu_idx 代表索引的是內核態亦或是用戶態的 TLB。addr 代表 guest virtual address。

// ${SRC}/softmmu_template.h
void REGPARM glue(glue(__st, SUFFIX), MMUSUFFIX)(target_ulong addr,
                                                 DATA_TYPE val,
                                                 int mmu_idx)
{
   ...
}

接著看展開巨集後的函式體。

// ${BUILD}/i386-softmmu/op_helper.i
void __stb_mmu(target_ulong addr, uint8_t val, int mmu_idx)
{
 redo:
    // 查找 TLB
    tlb_addr = env-&gt;tlb_table[mmu_idx][index].addr_write;
    if (...) {
 
        // TLB 命中
 
    } else {
 
        // TLB 不命中
 
        /* the page is not in the TLB : fill it */
        // retaddr = GETPC();
        retaddr = ((void *)((unsigned long)__builtin_return_address(0) - 1));
 
        // 試圖填入 TLB entry。
        tlb_fill(addr, 1, mmu_idx, retaddr);
        goto redo;
    }
}

這裡 QEMU 利用 GCC 的 __builtin_return_address 擴展 [1] 來判定 tlb_fill 是從一般 C 函式或是 code cache 中被呼叫。retaddr 若為 0,表前者,retaddr 若不為 0,表後者。之後,我們會透過 GDB 更加清楚前面所述所代表的意思。我們關注 retaddr 不為 0,也就是從 code cache 中呼叫 tlb_fill 的情況。

在看 tlb_fill 之前,我們先偷看 cpu_x86_handle_mmu_fault (target-i386/helper.c) 的註解。我們關注返回值為 1,也就是頁缺失的情況。

/* return value:
   -1 = cannot handle fault
   0  = nothing more to do
   1  = generate PF fault
*/
int cpu_x86_handle_mmu_fault(CPUX86State *env, target_ulong addr, ...)
{
  ...
}

我們來看 tlb_fill。

void tlb_fill(target_ulong addr, int is_write, int mmu_idx, void *retaddr)
{
    ret = cpu_x86_handle_mmu_fault(env, addr, is_write, mmu_idx, 1);
    if (ret) {
        if (retaddr) {
 
            // 當客戶發生頁缺失 (ret == 1) 且 tlb_fill 是從 code cache 中被
            // 呼叫 (retaddr != 0),我們會在這裡。
 
            /* now we have a real cpu fault */
            pc = (unsigned long)retaddr;
            tb = tb_find_pc(pc);
            if (tb) {
                /* the PC is inside the translated code. It means that we have
                   a virtual CPU fault */
                cpu_restore_state(tb, env, pc, NULL);
            }
        }
        raise_exception_err(env-&gt;exception_index, env-&gt;error_code);
    }
    env = saved_env;
}

請注意! 如果 retaddr != 0,其值代表的 (幾乎) 是發生例外的 host binary 所在位址。QEMU 利用它來查找是哪一個 TranslationBlock 中的 host binary 發生例外。tb_find_pc (exec.c) 利用該 host binary pc 進行查找,取得 tb。

TranslationBlock *tb_find_pc(unsigned long tc_ptr)
{
    // tbs 是 TranslationBlock * 數組。每一個在 code cache 中 (已翻譯好的)
    // basic block 都有相對應的 TranslationBlock 存放其相關資訊。
 
    /* binary search (cf Knuth) */
    m_min = 0;
    m_max = nb_tbs - 1;
    while (m_min &gt; 1;
        tb = &amp;tbs[m];
        // tc_ptr 代表 host binary 在 code cache 的起始位址。
        v = (unsigned long)tb-&gt;tc_ptr;
        if (v == tc_ptr)
            return tb;
        else if (tc_ptr &lt; v) {
            m_max = m - 1;
        } else {
            m_min = m + 1;
        }
    }
    return &amp;tbs[m_max];
}

一但找到該負責的 tb,QEMU 就會回復 guest CPUState 以便 guest exception handler 處理 guest 的頁缺失例外。

    if (tb) {
        /* the PC is inside the translated code. It means that we have
           a virtual CPU fault */
        cpu_restore_state(tb, env, pc, NULL);
    }

接著我們看 cpu_restore_state (translate-all.c)。

[1] http://gcc.gnu.org/onlinedocs/gcc/Return-Address.html

QEMU Internal – Precise Exception Handling 2/5

Copyright (c) 2012 陳韋任 (Chen Wei-Ren)

這裡以 linux-0.11 當範例,請至 [1][2] 下載代碼和硬盤映像編譯。我們觀察以 guest pc 0xe4c0 為開頭的 basic block。使用 QEMU 0.13 [3] 運行 linux-0.11。

$ mkdir build; cd build
$ ../qemu-0.13.0/configure --prefix=$INSTALL --target-list=i386-softmmu \
    --enable-debug --extra-cflags="--save-temps"
$ make install
$ gdb qemu
(gdb) r -boot a -fda Image -hda hdc-0.11-new.img -vnc 0.0.0.0:1 -d in_asm,op,out_asm

登入後,下 `ls`。觀察 qemu.log 並定位至 0xe4c0。首先,我們可以看到如下內容:

IN:
0x0000e4c0:  sub    $0x4,%esp
0x0000e4c3:  mov    0x8(%esp),%eax
0x0000e4c7:  mov    %al,(%esp)
0x0000e4ca:  movzbl (%esp),%eax
0x0000e4ce:  mov    0xc(%esp),%edx
0x0000e4d2:  mov    %al,%fs:(%edx)
0x0000e4d5:  add    $0x4,%esp
0x0000e4d8:  ret

OP:
 ---- 0xe4c0
 movi_i32 tmp1,$0x4
 mov_i32 tmp0,esp
 sub_i32 tmp0,tmp0,tmp1
 mov_i32 esp,tmp0
 mov_i32 cc_src,tmp1
 mov_i32 cc_dst,tmp0

 ... 略 ...

OUT: [size=450]
0x40bbeff0:  mov    0x10(%r14),%ebp
0x40bbeff4:  sub    $0x4,%ebp

 ... 略 ...

0x4011813b:  callq  0x54d38a
0x40118140:  mov    0x10(%r14),%ebp

 ... 略 ...

這是 QEMU 第一次遇到尚未翻譯,以 guest pc 0xe4c0 開頭的 basic block 時所產生的輸出,這包括 guest binary (IN: 以下內容)、TCG IR (OP: 以下內容) 和 host binary (OUT: 以下內容)。

再繼續往下搜尋 0xe4c0,會看到以下內容:

IN:
0x0000e4c0:  sub    $0x4,%esp
0x0000e4c3:  mov    0x8(%esp),%eax
0x0000e4c7:  mov    %al,(%esp)
0x0000e4ca:  movzbl (%esp),%eax
0x0000e4ce:  mov    0xc(%esp),%edx
0x0000e4d2:  mov    %al,%fs:(%edx)
0x0000e4d5:  add    $0x4,%esp
0x0000e4d8:  ret

OP:
 ---- 0xe4c0
 movi_i32 tmp1,$0x4
 mov_i32 tmp0,esp
 sub_i32 tmp0,tmp0,tmp1
 mov_i32 esp,tmp0
 mov_i32 cc_src,tmp1
 mov_i32 cc_dst,tmp0

 ... 略 ...

RESTORE:
0x0000: 0000e4c0
0x0007: 0000e4c3
0x000d: 0000e4c7
0x0011: 0000e4ca
0x0015: 0000e4ce
0x001b: 0000e4d2
spc=0x4011813f pc_pos=0x1b eip=0000e4d2 cs_base=0

這裡就是重點了。spc 指的是發生例外的 host pc,eip 指的是與其相對映發生例外的 guest pc。這邊請注意,由於我們將 guest binary 翻譯成 host binary 並執行,真正發生例外的是 host binary (位於 code cache),但是我們必須將它映射回 guest pc,查出哪一條 guest 指令發生例外,並做後續處理。我們看一下第一次翻譯 0xe4d2 所得的 host binary。

0x4011813b:  callq  0x54d38a
0x40118140:  mov    0x10(%r14),%ebp

我們可以看到 spc 0x4011813f == 0×40118140 – 1,也就是 callq 0x54d38a 下一條指令所在位址減去 1。這裡做點弊,我們在 gdb 下 print __stb_mmu。

(gdb) print __stb_mmu
$1 = {void (target_ulong, uint8_t, int)} 0x54d38a

可以得知,我們在呼叫 __stb_mmu 的時候發生例外。__{ld,st}{b,w,l,q}_{cmmu,mmu} 是用來存取 guest 內存的 helper function。它們首先會查找 TLB (env1->tlb_table) 試圖取得 guest virtual address 相對映的 host virtual address。如果 TLB 命中,可直接利用該 host virtual address 存取 guest 內存內容。如果 TLB 不命中,則會呼叫 tlb_fill (target-i386/op_helper.c)。tlb_fill 會呼叫 cpu_x86_handle_mmu_fault 查找客戶頁表。如果命中,代表該 guest virtual address 所在的頁已存在,tlb_fill 會將該頁項目填入 TLB 以便後續查找。如果不命中,代表發生頁缺失,QEMU 會回復 guest CPUState,並拉起 guest exception index (env->exception_index) 通知 guest 頁缺失發生。最後交由 guest 頁缺失 handler 將該頁載入。

我先給出一個 precise exception handling 的大致流程,之後再透過閱讀代碼有更深的體會。底下給出關鍵的資料結構 TranslationBlock,它負責掌管 guest binary 和 host binary 的關係,其中 pc 代表此 basic block 起始的 guest pc,tc_ptr 指向翻譯好的 host binary 在 code cache 中的位址。

                                                                     code cache
          guest binary                   TranslationBlock           (host binary)

0x0000e4c0:  sub    $0x4,%esp         0x40bbeff0:  mov 0x10(%r14),%ebp
0x0000e4ca:  movzbl (%esp),%eax                                 0x40bbeff4:  sub $0x4,%ebp
0x0000e4ce:  mov    0xc(%esp),%edx
0x0000e4d2:  mov    %al,%fs:(%edx)                                      ... 略 ...
0x0000e4d5:  add    $0x4,%esp
0x0000e4d8:  ret                                                0x4011813b: callq  0x54d38a
                                               (3) offset  -->  0x40118140: mov    0x10(%r14),%ebp (1)

                                                                        ... 略 ...

當 QEMU 發現例外是發生在 code cache 裡,這代表需要處理 precise exception。首先,QEMU 會透過 host pc (0x4011813f) 查出相對應的 TranslationBlock – (1)。接下來,QEMU 會回復 guest CPUState。主要概念是這樣,透過之前查找到的 TranslationBlock 的 pc,我們從該 pc 所指的 guest binary 重新再翻譯一次,同時產生額外的資訊以便回復 guest CPUState – (2)。那要如何得知我們已經翻譯到發生 exception 的 guest binary? 這裡的重點在於,我们重新翻译 guest binary,直到 host binary 地址到达了出现异常的位置,这个时候 guest pc 就是产生异常的指令。我們便可以回復 guest CPUState – (3)。

接下來各小節的主題分別是:

* Precise Exception Handling 3/5 – (1)

* Precise Exception Handling 4/5 – (2) (3)

* Precise Exception Handling 5/5 – 驗證我們對 QEMU 的理解。

接下來,我們來看代碼。;)

[1] http://www.oldlinux.org/oldlinux/viewthread.php?tid=13681&extra=page%3D1
[2] http://oldlinux.org/Linux.old/bochs/linux-0.11-devel-060625.zip
[3] http://wiki.qemu.org/download/qemu-0.13.0.tar.gz

QEMU Internal – Precise Exception Handling 1/5

Copyright (c) 2012 陳韋任 (Chen Wei-Ren)

一般計算機架構會定義當例外/中斷發生時,當下的 CPU 狀態應當為何,這個稱之為 precise exception。假設當下流水線是底下這樣:

  A. addl %eax,(%esp)
  B. addl %ebx,(%esp)
  C. movl %esi,(%ebp)
  D. subl %ecx,5

當執行到指令 (C),欲從 %ebp 所指的內存位址讀取資料至 %esi 時,發生頁缺失例外。以 x86 對 precise exception 的定義,在指令 (C) 之前的指令,即 (A) 和 (B) 其結果必須完成。也就是說,暫存器/內存的內容應該更新; 在指令 (C) 之後的指令,即 (D) 的結果必須捨棄。此範例取自 [1]。(註: 對此段匯編的解讀,我直接引用 [1]。如果單從 AT&T 語法來看,指令 (C) 應為將 %esi 其值寫至 %ebp 所指位址。)

Precise exception 在 binary translation 中佔有重要地位。在此以 QEMU 為例,說明 QEMU 如何確保 pecise exception。由以上對 pecise exception 的說明,我們可以知道 precise exception 必須考量暫存器和內存。在 binary translation 中,我們關注的是客戶 (guest) 的 precise exception。因此,我們必須確保當 guest 代碼發生例外時,guest 的暫存器和內存其內容必須滿足 precise exception 的要求。這樣 guest 的 exception handler 才能正確處理該例外。

就 guest 暫存器而言,在 QEMU 中需要考量的是 CPUState。QEMU 在每一個可能會發生例外的指令或是 helper function 之前,會將 CPUState 中的大部分內容更新,少數未更新的內容會在 guest 真正發生例外時重新再計算。以 x86 為例,pc 和 condition code 屬於後者。在 binary translation 中,出於效能上的考量,通常會在一個 basic block 的結尾才更新 guest pc,而非每翻譯一個 guest 指令就更新 guest pc。

就 guest 內存而言,我們將重點放在 guest memory store operation 上,因為只有 memory store operation 會修改 guest 內存的內容。第一,QEMU 會依照 guest 原本 memory store operation 的順序進行翻譯。第二,針對所有潛在會發生例外的 guest 指令,QEMU 保留其相對於 guest memory store operation 的順序。簡單來說,QEMU 不會 reorder guest 指令順序。這簡化了 QEMU 維護 precise exception 的複雜度,但同時也喪失了一些潛在可能的優化 [2][3]。硬體对异常的处理可能还有别的行为,只要滿足 precise exception 的規範,同样是可以接受的。在 QEMU,我们选择了一个最为保守的实现方式。

接下來以 guest 頁缺失例外為例,讓我們來觀察當 guest 發生頁缺失時,QEMU 是如何維護正確的 guest 暫存器和內存。

[1] The Technology Behind Crusoe™ Processor
[2] http://lists.gnu.org/archive/html/qemu-devel/2012-02/msg04138.html
[3] http://people.cs.nctu.edu.tw/~chenwj/log/QEMU/agraf-2012-03-02.txt