CN100489782C - 一种虚拟机***及硬件设备的访问控制方法 - Google Patents

Abstract

本发明公开了一种虚拟机***及其设备的访问控制方法。该虚拟机***包括客户操作***和虚拟机监视器以及硬件。在该虚拟机***的非易失性存储介质中存储有各硬件设备的访问模式信息，所述虚拟机监视器包括访问控制模块和信息获取模块。访问控制模块用于在虚拟机监视器截获了客户操作***的设备访问指令后向信息获取模块发出获取该设备的访问控制信息的请求，并根据得到的访问控制信息产生相应的控制命令来控制客户操作***对设备的访问。本发明提供的***及方法，实现了根据不同访问模式对设备的访问控制，并可灵活设置硬件设备的访问模式，适应了多种场景的需要，促进了虚拟机***的推广应用，并具有良好的可扩展性。

Description

一种虚拟机***及硬件设备的访问控制方法

技术领域

本发明涉及虚拟机技术，尤其涉及一种虚拟机***及其硬件设备的访问控制方法。

背景技术

随着计算机技术的发展，虚拟化技术在计算机领域也得到广泛应用。虚拟机***的应用为用户的使用带来了许多方便，然而要将虚拟机***推广应用，还需要虚拟机***能够适应于各种各样的应用场景。

在目前的虚拟机***中，不同的硬件设备分别存在对应的设备访问模式。其中，当硬件设备为独占设备时，对应的访问模式为独占访问模式，当硬件设备为共享设备时，对应的访问模式为共享访问模式。然而，在目前的虚拟机***中设备访问模式种类少，并且硬件设备始终只能具有唯一的一种选择，即，要么作为独占设备，要么作为共享设备，而无法对硬件的访问模式进行改变和控制，因此，不能充分利用设备的特性，也无法满足不同应用场景对硬件设备的访问模式的不同需求。

并且，随着虚拟机***的推广应用，其应用场景也越来越复杂，现有虚拟机***中存在的这种固定的设备访问方式很难满足日益复杂的应用场景，因此也进一步限制了虚拟机***的推广应用。

发明内容

为此，本发明的目标在于提供一种能够实现多模式设备共享的虚拟机***。

本发明提供了一种虚拟机***，包括客户操作***、虚拟机监视器以及硬件。所述虚拟机***的非易失性存储介质中存储有各硬件设备的访问模式信息，所述虚拟机监视器包括访问控制模块和信息获取模块。

其中访问控制模块用于在虚拟机监视器截获了客户操作***的设备访问指令后向信息获取模块发出获取该设备的访问控制信息的请求，根据得到的访问控制信息产生相应的控制命令来控制客户操作***对设备的访问。

所述信息获取模块用于根据访问控制模块发出的请求获取包括访问模式信息的访问控制信息并将其发送给访问控制模块。

在上述的虚拟机***中，所述虚拟机***还包括设备切换模块，所述设备切换模块用于根据访问控制模块的控制命令执行设备切换。

在上述的虚拟机***中，所述虚拟机***还包括访问模式设置模块，所述访问模式设置模块用于根据不同的应用环境设置相应的访问模式信息。

在上述的虚拟机***中，所述访问模式设置模块设置在服务操作***和/或客户操作***中。

在上述的虚拟机***中，非易失性存储介质中存储的硬件设备的访问模式信息在初始化时还被保存在内存的预定区域中，所述信息获取模块从该内存的预定区域中获取访问模式信息。

在上述所有虚拟机***中，所述访问控制信息还包括设备状态信息和辅助控制信息。

在上述的虚拟机***中，所述设备状态信息存储在内存的预定区域中。

此外，本发明还提供了一种实现多模式设备共享的访问控制方法。所述方法包括：

步骤一，虚拟机***初始化，将非易失性存储介质中的预定的访问模式信息存储在内存的预定区域；

步骤二，虚拟机***截获客户操作***的设备访问请求指令；

步骤三，访问控制模块得到设备ID并向信息获取模块发出获取该设备的访问控制信息的请求；

步骤四，信息获取模块根据设备ID获取包括预定的访问模式信息在内的访问控制信息，并将其返回给访问控制模块；

步骤五，访问控制模块根据访问控制信息决定是否允许操作***对该设备进行访问。

在上述的方法中，所述步骤五具体包括：

当设备的访问模式为全共享模式时，访问控制模块直接允许发出设备访问指令的客户操作***进行访问；或

当访问模式对设备的客户操作***个数有限制时，访问控制模块则判断当前访问该设备的客户操作***的数目是否小于限定数目，如果小于，则允许发出设备访问指令的客户操作***进行访问，否则拒绝其访问或者拒绝比发出设备访问指令的客户操作***优先权低的客户操作***的访问而允许当前客户操作***的访问或者拒绝超时访问的客户操作***而允许当前客户操作***的访问；或

当访问模式对访问该设备的客户操作***有限制时，访问控制模块则判断发出设备访问指令的客户操作***与允许访问的客户操作***是否一致，如果一致则允许发出设备访问指令的客户操作***进行访问，否则拒绝其访问。

在上述所有方法中，所述预定的访问模式信息通过以下步骤进行设置：

步骤A1，从存储访问模式信息的非易失性存储介质或者内存的预定区域中获取访问模式信息；

步骤A2，在对访问模式信息进行修改后，利用修改后的访问模式信息更新非易失性存储介质中和内存的预定区域中存储的访问模式信息。

通过本发明，根据包括预定的访问控制信息在内的共享控制信息可以实现对共享设备的多种模式的访问控制。此外，由于本发明可以根据不同的应用场景设置不同的共享模式信息，因而实现灵活的设备共享方式，实现了多模式设备共享，进而满足了多种场景对于各种共享模式的需求，解决了虚拟机推广过程中遇到的关于设备共享方式的难题，可以极大的促进虚拟机***的推广应用。此外，基于本发明还可以扩展出多种共享模式，因此本发明还具有良好的可扩展性。

附图说明

图1为本发明的虚拟机***的一个实施例的结构示意图；

图2为本发明的硬件设备访问控制方法的流程图；

图3为本发明中设置访问模式信息的流程图。

具体实施方式

随着虚拟机***的应用，其应用场景也越来越复杂，各种应用场景对于设备访问模式的需求也可能大不相同。表1示出了各种场景下通用串行总线(Universal Serial Bus，简称USB)移动硬盘可能需要的访问模式。

表1  不同场景下USB硬盘的访问模式

 

场景	访问模式	说明
			1	固定独占	任何时刻都仅允许固定的一个客户操作***访问
2	前***占	任何时刻都仅允许前台客户操作***访问
			3	单个独占	同一时刻仅允许一个客户操作***访问，仅当前访问的客户操作***主动放弃访问权后，其他客户操作***才能访问
4	多个共享	同一时刻最多只允许N个客户操作***访问，N大于1小于全部客户操作***的总和
			5	全共享	同一时刻允许所有客户操作***访问

从表1可以看出，各种场景对于硬件设备的访问模式的要求各不相同，而现有虚拟机***的固定的设备访问方式显然无法满足这种需要。为此，本发明需要提供一种虚拟机***及硬件设备的访问控制方法。

本发明的思想在于为每个硬件设备建立对应的访问模式信息，并根据包括访问模式信息在内的访问控制信息来控制客户操作***对硬件设备的访问。

为实现对硬件设备的多种模式的访问，需要将硬件设备的访问模式信息存储在本发明的虚拟机***的非易失性存储介质中。此外，由于在虚拟机***中，虚拟机监视器主要用于资源分配和管理，因此在虚拟机***运行期间虚拟机监视器频繁地访问非易失性存储介质，将影响***的性能，因而优选的是，在初始化时将非易失性存储介质中存储的硬件设备的访问模式信息保存在内存的预定区域中，以供虚拟机监视器方便地获取访问模式信息。具体的初始化过程将在下文中进行描述。

上述的硬件设备的访问模式信息是访问控制信息的一部分。此外，访问控制信息还可包括设备状态信息和辅助控制信息。

其中设备状态信息是指将被访问的硬件设备的当前状态，诸如当前访问该设备的操作***及其数目等，具体可通过在虚拟机***运行期间建立各个硬件设备的设备访问清单来实现，当某一客户操作***对该硬件设备进行访问时，则将该客户操作***列入该硬件设备的设备访问清单，而当客户操作***停止对该硬件设备的访问时，则将其从设备访问清单中除去。在虚拟机***的运行过程中，设备状态信息可以与访问模式信息一起存储在内存的预定区域中。

辅助控制信息是与硬件设备的访问控制相关的、虚拟机***的状态信息及其它设置信息，诸如访问时间信息，当前前台客户操作***、前台客户操作***的访问优先级等。

表2示出了内存的预定区域中可以包含的信息内容的一个实例。可以理解的是，还可以根据实际情况添加和删除其中存储的内容，诸如对于单个独占和多个共享等对允许访问者的数目有限制的访问模式，存储的内容中还可包括允许访问时间，即可以对访问时间加以限制。

表2  内存的预定区域中存储的信息内容

 

设备ID	访问模式	允访问者	允许访问者的数目	设备访问清单
					001	1(固定独占)	Guest OS1
002	2(前***占)
					003	3(单个独占)
004	4(多个共享)		3	Guest OS1，Guest OS2
					005	5(全共享)

设备ID是虚拟机***中用于区分不同硬件设备的标识，通过设备ID可以获取出相应硬件设备的访问模式信息、当前状态信息等。在虚拟机***中不同设备的资源信息的集合是唯一，每个硬件设备的中断号、I/O地址、DMA通道、内存地址的集合都是不同，因此可以使用各设备的资源信息的集合来构建设备ID。

如表2所示，为了便于根据设备ID获得硬件设备的访问模式信息，可以建立访问模式信息与设备ID之间的映射。此外，还可建立设备ID与其设备访问模式在内存中的存储位置之间的映射关系。这样，在通过设备ID直接得到相应的存储位置后，即可从该存储位置得到硬件设备的访问模式信息。

下面将参考附图结合实施例对本发明进行详细的描述。

图1示出了本发明的虚拟机***的一个实施例的结构示意图。本发明的虚拟机***包括服务操作***、客户操作***、虚拟机监视器以及硬件。

其中，客户操作***是用户使用的操作***，诸如windows XP等的操作***，其中包括有应用模块和驱动模块，应用模块发出的设备访问请求由经驱动模块转换成设备访问指令。

服务操作***是为客户操作***提供各种服务的操作***，包括访问模式设置模块，用于根据不同的应用环境设置相应的访问模式信息。

虚拟机监视器运行在硬件之上，具有***资源控制权，负责管理虚拟机***的硬件资源(处理器、内存以及其他设备等)的分配，包括访问控制模块、信息获取模块和设备切换模块。

其中，访问控制模块用于在虚拟机监视器截获了客户操作***的设备访问指令后向信息获取模块发出获取访问控制信息的请求，并根据得到的访问控制信息产生相应的控制命令来控制客户操作***对设备的访问。在需要设备切换的情况下，发送控制命令给设备切换模块，由设备切换模块来执行设备的切换。在不需设备切换的情况下，直接发送控制命令给CPU或者DMA控制器，通知其继续设备访问指令的执行。

信息获取模块用于根据访问控制模块发出的请求获取访问控制信息，并将访问控制信息发送给访问控制模块。

设备切换模块用于根据访问控制模块的控制命令执行设备切换。

下面将参考图2详细描述本发明硬件设备的访问控制方法。

图2为本发明硬件设备访问控制方法的流程图。如图2所示，在虚拟机***启动时，首先进行初始化过程。直接从非易失性存储介质(诸如硬盘、FLASH等)中读取其中存储的访问模式信息，并将所得到的各个硬件设备的访问模式信息存储在内存的预定区域中(步骤200)。诸如，在虚拟机***启动过程中，可以通过虚拟机***提供的访问非易失性存储介质的接口读取非易失性存储介质中存储的访问模式信息，并通过内存写入指令实现将所得到的各个硬件设备的访问模式信息存储在内存的预定区域中。

在虚拟机***初始化后，在客户操作***中，当用户操作或者应用模块触发了设备访问请求时，驱动模块将该设备访问请求转换为设备访问指令，并将设备访问指令交给CPU或者DMA控制器。

CPU或者DMA控制器在接收到来自客户操作***的设备访问指令后，CPU将控制权交给虚拟机监视器，使虚拟机***从NON-ROOT模式(客户操作***具有控制权的运行模式)陷入ROOT模式(虚拟机监视器具有控制权的运行模式)，例如CPU可以通过调用VM-EXIT命令，使得虚拟机从NON-ROOT模式切换为ROOT模式，这样，虚拟机监视器就可以截获客户操作***发出的设备访问指令(步骤201)。

在虚拟机监视器截获了来自客户操作***的设备访问指令之后，访问控制模块根据设备访问指令中硬件设备的端口地址、中断号、内存地址和DMA通道信息等资源集合信息获知被访问的硬件设备的设备ID，然后向信息获取模块发出请求，请求信息获取模块获取该设备的访问控制信息(步骤202)。

信息获取模块根据设备ID从内存的预定区域中得到该硬件设备的访问模式信息和设备状态信息，并从虚拟机***得到辅助控制信息。诸如在虚拟机***中，每个客户操作***的属性中包括是否为前台的信息，因此只要通过检查各个虚拟机***的属性信息，即可得知当前的前台客户操作***。信息获取模块获取访问控制信息之后，将得到的访问控制信息返回访问控制模块(步骤203)。此外，也可由访问控制模块直接从内存的预定区域和虚拟机***中获取访问控制信息，而不用通过信息采集模块来获取访问控制信息。

访问控制模块得到访问控制信息后，根据访问控制信息确定是否允许该客户操作***对该硬件设备进行访问(步骤204)。

下面将以表1中USB硬盘的访问模式为例描述具体的控制判断过程。

1)当设备访问模式为固定独占模式时，访问控制模块判断访问模式信息中的允许访问者与发出设备访问指令的客户操作***是否一致，如果一致，则允许发出设备访问指令的客户操作***对该硬件设备进行访问，否则拒绝访问；

2)当设备访问模式为前***占模式时，访问控制模块判断辅助控制信息中前台客户操作***是否与发出设备访问指令的客户操作***一致，如果一致，则允许发出设备访问指令的访问硬件设备，否则拒绝访问；

3)当设备访问模式为单个独占模式时，访问控制模块判断设备当前状态中当前访问该硬件设备的客户操作***的数目，如果数目为零，则允许发出设备访问指令的客户操作***进行访问，否则拒绝访问；

4)当设备访问模式为多个共享模式时，访问控制模块判断设备当前状态中当前访问该设备的客户操作***数目是否小于访问模式信息中的最大允许访问数目，如果是，则允许发出设备访问指令的客户操作***进行访问，否则拒绝访问；

5)当设备访问模式为全共享模式时，则直接允许发出设备访问指令的客户操作***进行访问。

在允许客户操作***对硬件设备进行访问的情况下，进一步判断是否需要进行设备切换，诸如对于前***占设备，如果此时有其它客户操作***正在访问该设备则需要进行切换，那么访问控制模块就发送控制命令给设备切换模块，由设备切换模块将该设备从其它客户操作***切换至被允许访问的操作***，诸如可以忽略、抛弃其它客户操作***发出的访问指令或者访问数据等或者将其访问的地址影射到其它无关的地方，或者向其他客户操作***发出消息通知其停止访问，同时发出控制命令使得相应的CPU或者DMA控制器继续处理被允许的客户操作***的设备访问指令，进而完成设备切换；如果无需执行设备切换，则访问控制模块直接发送控制命令给相应的CPU或者DMA控制器通知其继续处理被允许的客户操作***的设备访问指令。

访问控制模块发出控制命令之后，则将CPU将操作权交给客户操作***，并将操作结果返回给客户操作***中的驱动模块，例如CPU可以调用VM-ENTRY命令使虚拟机从ROOT模式陷入NON-ROOT模式，客户操作***的驱动模块得到操作结果信息后将该信息返回给上层客户操作***。此外，也可仅针对需要返回操作结果的访问指令返回操作结果。

上述给出的访问控制仅仅是示例。事实上，还可以添加其他的控制规则。诸如对于对允许访问的数目有限制的访问模式(例如，单独访问模式或多个访问模式)还可以设定每个设备允许访问的时间。当访问模式信息中对设备访问时间进行了限制时，虚拟机***中需要对每个正在访问的设备的访问时间进行记录，并在信息获取模块获取的辅助控制信息中包括当前正在访问的设备的访问时间。访问控制模块获取该设备的访问时间之后，即可拒绝访问超时的客户操作***的访问，然后再根据访问控制信息来控制对于该设备的访问，或者首先判断当前状态是否允许访问，在不允许访问的情况下，如果存在超时设备，则将由设备切换模块执行设备切换，将该设备从超时客户操作***切换至发出设备访问控制指令的客户操作***。

此外，还可以根据需要添加优先级规则。诸如对于对允许访问的数目有限制的访问模式(例如单独访问模式或多个访问模式)可以设置优先级规则，根据虚拟机***中设置的客户操作***的优先级来进一步对设备访问进行控制。当设备状态信息表明当前访问该设备的客户操作***的数目已经为最大时，则查看设备访问清单，如果存在优先级低的客户操作***，则可以由设备切换模块执行设备切换，以拒绝优先级相对较低的客户操作***的访问允许优先级高的客户操作***进行访问。具体是拒绝优先级最低的或者所有优先级较低的当中访问时间最长的客户操作***的访问或者使用其他方式拒绝策略，这个可以根据***的需求进行设置。因此，基于本发明的思想可以设置多种访问模式制定多种访问规则，本发明具有很大的可扩展性。

在上述实施例的***和方法中，通过在许虚拟机***的运行期间，在内存的预定区域中保存预定的访问模式信息并根据包括访问模式信息在内的访问控制信息来控制对硬件设备的访问即可实现在***运行过程中根据虚拟机***中设定的的访问模式的来控制硬件设备的访问。

此外，图3还示出了根据不同的应用场景设置访问模式信息的方法过程。

如图3所示，当虚拟机***陷入服务操作***具有控制权的Root-3模式时，服务操作***中的访问模式设置模块发出读取访问模式信息的请求，驱动模块将该请求转换成设备访问指令通过虚拟机监视器提供的设备访问接口直接从非易失性存储介质(诸如硬盘、FLASH等)中并呈现给用户。此外，访问模式设置模块还可直接从内存的预定区域中获取访问模式信息，或者向访问控制模块发出请求，由设备访问控制模块命令信息获取模块获取内存的预定区域中存储的访问模式信息，并将所获取设备访问信息返回给访问模式设置模块(步骤300)。

然后，用户在服务操作***对访问模式信息进行修改。在修改信息确认后，访问模式设置模块再次发出设备访问请求，利用修改后的信息更新存储在非易失性存储介质中的访问模式信息，并同时更新内存的预定区域中存储的访问模式信息。访问模式设置模块对内存中的存储的访问模式信息的更新除了可以采用通常的内存访问方式直接进行更新之外，访问模式设置模块还可以向访问控制模块发出请求，由访问控制模块来执行对访问模式信息的更新(步骤301)。

需要注意的是，本发明并非仅能够在服务操作***进行参数设置。可以替代的方案是，在客户操作系中设置访问模式设置模块以对参数进行设置。还可以在客户操作***以及服务操作***中都设置访问模式设置模块。当访问模式设置模块设置在客户操作***时，可以对于客户操作***的参数设置权限加以限制以保证***安全，诸如通过身份验证等方式。

与在服务操作***中设置访问模式信息的情况不同的是，在客户操作***进行模式设置需要在***运行在NON-ROOT模式下时执行参数设置，即客户操作***具有控制权的模式下。具体过程与通常在客户操作***对内存和非易失性存储设备进行读写的过程类似，此处不再详述。

通过本发明，可以实现对硬件设备的访问控制，并可根据不同的应用场景设置不同的访问模式，从而实现了硬件设备的多模式访问，并可以满足多种场景对于各种访问模式的需求，进而有利于虚拟机***的推广应用。此外，由于基于本发明可以根据实际需求增加访问模式并制定相应的访问规则，因此本发明的***还具有良好的可扩展性。

应当注意的是，在附图中包括两个客户操作***，这只是为了说明方便，事实上，本发明的虚拟机***根据需要可以包含更多的客户操作***，但是这些都不影响本发明的实现。另外，本发明的以Xen为例示出了多个实施例，但是本发明并不限于此，实际上本发明的思想可以应用于以VmWare为代表的虚拟机***、以Xen为代表的虚拟机***、这些***的变型以及其他结构类型的虚拟机***中。

本领域技术人员应当理解的是，本发明所示出的实施例，仅仅是为了有助于发明的理解，而并非是对本发明做出的任何限制。此外，任何没有背离本发明的范畴的情况下，任何变型和替代都属于本发明的范畴。

Claims (10)

1.一种虚拟机***，包括客户操作***、虚拟机监视器以及硬件，其特征在于，所述虚拟机***的非易失性存储介质中存储有各硬件设备的访问模式信息，所述虚拟机监视器包括访问控制模块和信息获取模块，其中

所述访问控制模块用于在虚拟机监视器截获了客户操作***的设备访问指令后向信息获取模块发出获取该设备的访问控制信息的请求，根据得到的访问控制信息产生相应的控制命令来控制客户操作***对设备的访问；

所述信息获取模块用于根据访问控制模块发出的请求获取包括访问模式信息的访问控制信息并将其发送给访问控制模块。

2.根据权利要求1所述的虚拟机***，其特征在于，所述虚拟机***还包括设备切换模块，所述设备切换模块用于根据访问控制模块的控制命令执行设备切换。

3.根据权利要求1所述的虚拟机***，其特征在于，所述虚拟机***还包括访问模式设置模块，所述访问模式设置模块用于根据不同的应用环境设置相应的访问模式信息。

4.根据权利要求3所述的虚拟机***，其特征在于，所述访问模式设置模块设置在服务操作***和/或客户操作***中。

5.根据权利要求1所述的虚拟机***，其特征在于，非易失性存储介质中存储的硬件设备的访问模式信息在初始化时还被保存在内存的预定区域中，所述信息获取模块从该内存的预定区域中获取访问模式信息。

6.根据权利要求1至5任一项所述的虚拟机***，其特征在于，所述访问控制信息还包括设备状态信息和辅助控制信息。

7.根据权利要求6所述的虚拟机***，其特征在于，所述设备状态信息存储在内存的预定区域中。

8.一种设备的访问控制方法，所述方法包括：

步骤一，虚拟机***初始化，将非易失性存储介质中的预定的访问模式信息存储在内存的预定区域；

步骤二，虚拟机***截获客户操作***的设备访问请求指令；

步骤三，访问控制模块得到设备ID并向信息获取模块发出获取该设备的访问控制信息的请求；

步骤四，信息获取模块根据设备ID获取包括所述预定的访问模式信息在内的访问控制信息，并将其返回给访问控制模块；

步骤五，访问控制模块根据访问控制信息决定是否允许操作***对该设备进行访问。

9.根据权利要求8所述的方法，其特征在于，所述步骤五具体包括：

当设备的访问模式为全共享模式时，访问控制模块直接允许发出设备访问指令的客户操作***进行访问；或

当访问模式对访问该设备的客户操作***个数有限制时，访问控制模块则判断当前访问该设备的客户操作***的数目是否小于限定数目，如果小于，则允许发出设备访问指令的客户操作***进行访问，否则拒绝其访问或者拒绝比发出设备访问指令的客户操作***优先权低的客户操作***的访问而允许当前客户操作***的访问或者拒绝超时访问的客户操作***而允许当前客户操作***的访问；或

当访问模式对访问该设备的客户操作***有限制时，访问控制模块则判断发出设备访问指令的客户操作***与允许访问的客户操作***是否一致，如果一致则允许发出设备访问指令的客户操作***进行访问，否则拒绝其访问。

10.根据权利要求8或9所述的方法，其特征在于，所述预定的访问模式信息通过以下步骤进行设置：

步骤A1，从存储访问模式信息的非易失性存储介质或者内存的预定区域中获取访问模式信息；

步骤A2，在对访问模式信息进行修改后，利用修改后的访问模式信息更新非易失性存储介质中和内存的预定区域中存储的访问模式信息。

Images