みんなのためにも、実際にどのようにやっているのか教えてくれたら助かるよ。

特権のないタスクが安全でないなら、やっぱり特権がないままだよね。その一方で、追加の検証が必要な安全でないコードは…申し訳ないけど、ドキュメントがちょっと誤解を招く感じだね。あれは…フレームカーネルの文脈で解釈する必要がある。Rustベースのフレームカーネル全体はカーネル空間で動作するけど、論理的には二つの部分に分かれているんだ。特権のあるOSフレームワークと、特権のないOSサービスね。ここで「特権」とは、安全でないRustカーネルコードを含む安全なコードを指していて、「特権なし」はすべて安全なRustカーネルコードを指す。これはすべてカーネルコードの話で、フレームカーネルはユーザースペースプログラムの言語に制限をかけないよ。

これ、逆な気がする。特権のないタスクが安全でないなら、やっぱり特権がないままだよね。その一方で、追加の検証が必要な安全でないコードは…何も守れない部分でしか許可されてないの？特権のないタスクはコアカーネルと同じメモリ空間で動いているから、許可されていないことをしないようにするためのランタイムチェックがないんだ。ランタイムでそれを強制する唯一の方法は、マイクロカーネルアーキテクチャを採用することだよ。ここで提案されている代替アーキテクチャは、コードが安全でない機能を使わないように静的に特権を強制することなんだ。

私の理解では、彼らはカーネル空間/ユーザ空間の意味で特権/特権なしを言っているわけじゃないんだ。すべてがカーネルの特権レベルで動いている。ただ、彼らは論理的にRustの安全でない機能を使うことが許可された（小さい）コアライブラリのようなコードのセットを定義していて、それ以外のカーネルの実装コード（ドライバも含む？）はそのライブラリを使って、直接Rustの安全でない機能を使うことが禁止されている（おそらくリンタールールによって）。これは、あなたが一般的な使い方に基づいて合理的に解釈した用語の過剰な重複なんだ。

新しいマイクロカーネルは…それを改善したのかな？忘れちゃったけど、実際にはそんなに悪くない印象があった。SeL4はこんな感じのマイクロカーネルだね。彼らはIPCをLinuxよりもずっと積極的に最適化したらしい。sel4 ipcを使ってメッセージを送るのは、Linuxのsyscallよりも1桁か2桁速いらしいよ。ほとんどのプログラムがLinuxよりもsel4の方がパフォーマンスが良いって言われても驚かないけど、実際にどうなのか知りたいな。

問題なのは、多くのマイクロカーネル嫌いが、30年前に真実だったことを繰り返している一方で、基本的なタスクのためにたくさんのコンテナを動かしていることだね。

安全でないRustで書かれた部分が、他の部分が安全なRustを使えるようにするためのメモリとアクセス管理を実装しているんだ。

新しいマイクロカーネルが…それを減らしたと思ってた？直したの？実際、問題の本質は現代のハードウェアで、これがモノリシックカーネルへのシステムコールを高くしてるんだよ。だからio_uringやvirtioがうまく機能するんだ。OSとアプリケーション（またはvirtioのためのハイパーバイザーとゲスト）の間でリクエストと返信をキューイングして、アドレス空間間の遷移を避けてる。将来のどんなOSも、うまく機能するためには何らかのキューイングシステムコールメカニズムが必要になるだろうし、一度それを手に入れれば、OSのコンポーネントをモノリスやマイクロカーネル、あるいは他の何かとして構成することはあまり重要じゃなくなるよ。

Asterinasは比較的新しいカーネルだから、一般的な用途にはまだまだ粗いところが多い。でも、ターゲットを絞った実世界のサービスを効率的かつ信頼性高く動かすことが目的なら、そのギャップはそんなに大きくないと思う。1年以内にそのマイルストーンに到達できると信じてるよ。Linuxの名前空間やcgroupsのような重要な機能を積極的に実装中だし、Asterinasベースの最初のディストリビューションにも取り組んでる。最初の焦点は、Confidential VMの中でAsterinasをゲストOSとして使うこと。このユースケースはセキュリティを優先していて、Asterinasはメモリ安全性の保証と小さなTCBのおかげでLinuxよりも明らかに優位性があるんだ。