Sistemi operativi (SO)

Approfondimento

L'organizzazione interna del kernel non è unica. Nei sistemi a kernel monolitico (Linux, gli Unix classici) tutti i servizi — gestione dei processi, memoria, file, driver — girano nello stesso spazio privilegiato: efficiente, perché le chiamate fra i moduli sono dirette, ma vulnerabile, perché un difetto in un driver può compromettere l'intero sistema. Nell'approccio a microkernel si tiene nel nucleo solo il minimo indispensabile (comunicazione fra processi e schedulazione di base) spostando i servizi in processi separati in modo utente: più robusto e modulare, al prezzo dell'overhead dei continui scambi di messaggi; i sistemi reali adottano spesso soluzioni ibride. La separazione fra modo utente e modo supervisore non è una convenzione software ma è imposta dall'hardware: un bit di modo nel processore abilita o vieta le istruzioni privilegiate (quelle che toccano direttamente l'hardware o le tabelle del SO), e una chiamata di sistema è realizzata da un'istruzione di trap che commuta in modo kernel saltando a un punto d'ingresso controllato — così un'applicazione non può «promuoversi» da sola ad accessi privilegiati. Esistono infine famiglie diverse di sistemi operativi secondo lo scopo: a lotti (batch), interattivi a partizione di tempo (time-sharing), in tempo reale (real-time, con scadenze temporali garantite), embedded e distribuiti; tutti condividono il modello a strati, ma bilanciano diversamente prestazioni, interattività e garanzie di tempo.

Approfondimento

Le politiche di scheduling si valutano su tempo di attesa, di risposta e di completamento, e ciascuna ha un carattere. Il FCFS (First-Come-First-Served) è equo ma soffre l'effetto convoglio: un processo lungo davanti fa attendere tutti gli altri. Lo SJF (Shortest Job First) minimizza il tempo medio di attesa — è ottimo in teoria — ma richiede di conoscere in anticipo la durata, che va stimata. Il Round Robin assegna a turno un quanto di tempo: un quanto troppo grande lo fa degenerare in un FCFS, uno troppo piccolo spreca tempo in continui cambi di contesto. Lo scheduling a priorità serve prima i processi più urgenti, ma rischia la starvation (attesa indefinita) di quelli meno prioritari, curata con l'aging (la priorità cresce con l'attesa). All'interno di un processo possono convivere più thread (flussi di esecuzione che condividono codice e dati ma hanno una pila propria), assai più leggeri da creare e commutare di interi processi. La condivisione di memoria fra thread introduce però i problemi della concorrenza: se due flussi aggiornano la stessa variabile senza coordinarsi si ha una corsa critica (race condition), dall'esito imprevedibile, che si evita garantendo la mutua esclusione sulle sezioni critiche (con semafori o lock). Un pericolo opposto è il deadlock (stallo), in cui più processi si bloccano a vicenda attendendo risorse che l'altro trattiene — situazione possibile solo se ricorrono insieme quattro condizioni: mutua esclusione, possesso-e-attesa, assenza di prelazione e attesa circolare.

Approfondimento

La paginazione ha una meccanica precisa che vale la pena vedere. Un indirizzo logico si spezza in due parti: il numero di pagina e lo scostamento (offset) all'interno della pagina; il numero di pagina indicizza la tabella delle pagine del processo, che fornisce il numero del frame fisico in cui la pagina risiede, e l'indirizzo fisico si compone unendo il frame all'offset. Poiché consultare la tabella a ogni accesso raddoppierebbe i tempi, si usa una cache di traduzioni (TLB). Complementare alla paginazione è la segmentazione, che divide lo spazio in segmenti di taglia variabile con significato logico (codice, dati, pila), più naturale per il programmatore ma soggetta a frammentazione esterna. Quando serve caricare una pagina e la RAM è piena, un algoritmo di sostituzione sceglie la vittima: FIFO (la pagina più vecchia) è semplice ma soffre l'anomalia di Belady (aumentare i frame può, paradossalmente, aumentare i page fault); LRU (la usata meno di recente) approssima bene l'algoritmo ottimo teorico, che scarterebbe la pagina destinata a essere riusata più tardi ma è irrealizzabile, perché richiederebbe di conoscere il futuro. Per evitare il thrashing il SO cerca di tenere in RAM il working set di ogni processo, cioè l'insieme delle pagine che esso sta effettivamente usando in un dato intervallo: se la somma dei working set supera la RAM disponibile, conviene ridurre il grado di multiprogrammazione anziché continuare a paginare.

Approfondimento

Sotto la visione logica ad albero, il file system deve decidere come disporre i blocchi di ciascun file sul disco, e le strategie hanno costi diversi. L'allocazione contigua (blocchi adiacenti) offre accesso diretto rapidissimo, ma soffre la frammentazione e la difficoltà di far crescere un file. L'allocazione concatenata collega ogni blocco al successivo con un puntatore: elimina la frammentazione esterna, ma l'accesso diretto al k-esimo blocco costa scorrere la catena; è l'idea alla base della tabella FAT, che raccoglie tutti i puntatori in un'unica tabella tenuta in memoria. L'allocazione indicizzata raccoglie invece gli indirizzi dei blocchi di un file in un blocco-indice: è la strategia degli inode di Unix/Linux, un descrittore per file che contiene attributi e puntatori (diretti e indiretti) ai blocchi dati, così da conciliare accesso diretto e file molto grandi. Poiché un'interruzione improvvisa — un blackout durante un aggiornamento — può lasciare le strutture del disco incoerenti, i file system moderni usano il journaling: prima di modificare i dati registrano l'intenzione in un giornale (log), sicché al riavvio le operazioni interrotte si completano o si annullano, ripristinando la coerenza — la stessa idea di transazione atomica che ritroveremo nelle basi di dati. È qui che si vede come la comodità dei nomi e delle cartelle poggi su un'accurata gestione fisica dei blocchi, nascosta all'utente ma decisiva per affidabilità e prestazioni.

Approfondimento

Il dialogo con i dispositivi ammette due stili. Nell'I/O a interrogazione (polling) il processore controlla ripetutamente se il dispositivo è pronto, sprecando cicli in attesa attiva; nell'I/O guidato dagli interrupt il dispositivo avvisa quando ha finito, liberando la CPU per altro lavoro. Per i trasferimenti massicci — un file dal disco alla RAM — interviene il DMA (Direct Memory Access): un controllore dedicato sposta i dati direttamente fra dispositivo e memoria senza passare dal processore, che riceve un solo interrupt a trasferimento concluso, così da non fare il «facchino» byte per byte. Sul versante della sicurezza, i tre obiettivi classici sono riservatezza, integrità e disponibilità (la triade CIA): rispettivamente, che i dati siano visti solo da chi ne ha diritto, non siano alterati indebitamente e restino accessibili quando servono. Il principio guida della protezione è quello del privilegio minimo: ogni processo e ogni utente deve possedere solo i permessi strettamente necessari, per contenere i danni di un errore o di un attacco. Su di esso si fondano tecniche moderne come il sandboxing (confinare un programma in un ambiente ristretto) e la virtualizzazione (macchine virtuali isolate sullo stesso hardware). L'autenticazione, l'autorizzazione e la cifratura — di cui ci occuperemo con le reti — sono gli strumenti con cui la politica di sicurezza traduce in pratica questi principi, mentre la protezione ne fornisce i meccanismi interni imposti dal kernel.