知识全景图/ 软件工程与系统/ 如何设计系统/ 如何设计操作系统/ 虚拟内存与地址空间

如何设计虚拟内存与地址空间

让每个进程以为自己拥有一片连续内存，同时不能破坏内核和其他进程。

定位：这页不把虚拟内存讲成术语表。它只回答一个失败：用户程序写错地址时，为什么不能让它把整个系统写坏。

一、坏场景：用户程序乱写内存

失败：程序 A 写到错误地址，覆盖了程序 B 的数据；或者用户程序写入内核地址，把调度器、文件表、页表自己破坏掉。没有地址空间，程序就是带权限的炸弹。

为什么失败	被迫设计	目标
内存只是地址到字节，不知道归属	地址空间	每个进程有自己的地址视图
虚拟地址需要落到物理内存	页表	记录虚拟页到物理页的映射
有些地址不能读写执行	页权限	把读、写、执行、用户态访问分开
非法访问不能拖垮系统	异常处理	杀掉坏进程或返回错误，内核继续运行

二、最小地址空间长什么样

区域	放什么	权限	为什么
text	程序代码	R / X	代码可执行，但不应被普通写入修改
data	全局变量	R / W	程序状态需要读写
heap	动态分配内存	R / W	malloc / new 需要增长空间
stack	调用栈	R / W	函数调用和局部变量需要栈
kernel mapping	内核代码和数据	仅内核态	系统调用和异常处理需要进入内核，但用户不能访问

三、最小对象

对象	字段	负责什么
`AddressSpace`	page_table、regions	一个进程看到的虚拟内存世界
`PageTable`	virtual_page、physical_page、flags	地址翻译和权限检查
`MemoryRegion`	start、end、type、permissions	记录 text / data / heap / stack 的边界
`PageFault`	address、reason、process、mode	解释为什么访问失败
`FrameAllocator`	free_pages、used_pages、reserved_pages	分配和回收物理页

map_user_page(address_space, va, pa, flags): assert flags.User == true assert va not in kernel_range page_table[va.page] = { physical: pa.page, flags: flags } on_page_fault(fault): if fault.address in kernel_range and fault.mode == user: kill(fault.process) else if can_grow_stack(fault): allocate_and_map_page() else: kill(fault.process)

四、四个关键设计取舍

问题	第一版选择	代价
是否每个进程独立页表	是	切换进程要切换页表，但隔离清楚
是否映射内核空间	所有进程页表保留内核映射，但用户不可访问	系统调用快，但权限必须严格
是否支持懒加载	第二版再做	第一版先完整加载程序，简单可靠
是否支持 swap	不做	先不把内存管理扩成性能工程

五、验收实验

实验	通过标准	证明了什么
互相隔离	程序 A 不能读取程序 B 的地址	进程地址空间独立
内核保护	用户程序写内核地址触发异常，系统继续运行	用户态 / 内核态边界成立
权限保护	写 text 段失败，执行 data 段失败	R / W / X 权限有效
栈增长	合法栈增长可分配新页，越界增长被拒绝	异常处理不是只有杀进程，也能按规则补页
内存耗尽	物理页不够时返回错误，不破坏页表	资源失败路径可控

六、回到操作系统主线

下一页：系统调用与内核边界

内存隔离之后，用户程序仍然要请求资源。继续看如何设计系统调用与内核边界。

上一步：进程与调度器

如果还没看“程序为什么会失控、内核怎样夺回 CPU”，先回到如何设计进程与调度器。

回总页

如果你想看完整 ToyOS 设计路线，回到如何设计操作系统。

一句话：虚拟内存不是为了“看起来内存更大”，第一版最重要的价值是隔离：让坏程序只能破坏自己，不能破坏内核和别人。