仮想化 — 1台のマシンを、仕切って複数に使う

ゲストOSに「本物のマシンに見せる」やり方は、歴史的に3つあります。

• 完全仮想化 — ゲストOSを改造せずそのまま動かす。特権命令をハイパーバイザが捕まえて肩代わりする（トラップ＆エミュレート）。互換性は高いが、捕まえる処理が重い
• 準仮想化（paravirt） — ゲストOSを仮想化に気づかせて改造し、重い特権命令の代わりにハイパーバイザへの直接呼び出し（ハイパーコール）を使う。速いがゲストの改造が要る
• ハードウェア支援仮想化 — CPU自体（Intel VT-x／AMD-V）に仮想化専用の動作モードを足し、改造なしで速く動かす

鍵は特権レベルです。OSは本来、最も強い権限の層（リング0※1）で動くつもりでいます。ところが仮想化ではハイパーバイザこそが最強でいたい。そこでVT-x／AMD-Vは、ハイパーバイザ用の VMX root モード（※2）とゲスト用の非rootモードを別に設けました。ゲストOSは自分がリング0にいると思い込んだまま動け、危険な操作の瞬間だけ自動でハイパーバイザ側へ制御が移ります（VMExit）。「ゲストには最強に見せつつ、実権はハイパーバイザが握る」——この二重構造が支援機構の核です。

なお中級で見た Type1（ベアメタル）／Type2（ホスト型） の違いは「ハイパーバイザの置き場所」の話で、上のどの方式とも組み合わさります。

メモリ仮想化の難所は、アドレス変換が二段になることです。

• 通常のOSは「仮想アドレス → 物理アドレス」を1段だけ変換する
• VMでは、ゲストの「物理アドレス」すら偽物。だから「ゲスト仮想 → ゲスト物理 → ホスト物理」と二段変換が要る
• 昔の解決策が シャドウページテーブル（※3）——ハイパーバイザが「ゲスト仮想 → ホスト物理」の合成表をソフトで作って持つ。しかしゲストが表を書き換えるたび同期が要り、とても重かった

これをハードで解いたのが EPT／NPT（拡張ページテーブル／ネストページテーブル）です。二段目の「ゲスト物理 → ホスト物理」の対応表をCPUが直接引けるようになり、ソフトでの同期がまるごと不要になりました。仮想化の性能が実用域に届いた大きな一歩が、この二段目のハード化です。同じ「見せかけのアドレス」を扱う話として、プロセスとメモリ の仮想メモリと発想が地続きなことも押さえると理解が深まります。

中級では「CPU・メモリ・ストレージ・ネットワークを見せかける」と概観しました。ここではCPUとI/Oを実装の目線で深掘りします。

vCPUスケジューリング — VMに割り当てた vCPU（※4）は、実体としては物理コアの時間の割り当てです。ハイパーバイザが物理コアを時分割し、各vCPUを順番に走らせます。ここで難しいのが、複数vCPUを持つVMで一部だけ実行され残りが止まると、ゲスト内のロック待ちなどが崩れること（co-scheduling問題）。物理コアより多くのvCPUを約束すると（オーバーコミット）、混雑時に取り合いが起きます。

I/O仮想化は、速さを求めて3段階に進化しました。

1. エミュレーション — 実在のデバイス（NICなど）の振る舞いをソフトで真似る。改造不要で互換性は高いが最も遅い
2. virtio（準仮想化I/O） — ゲストに専用ドライバを入れ、無駄な真似をやめて効率化した「仮想化前提のデバイス」。エミュレーションより大幅に速い
3. SR-IOV（パススルー） — 物理デバイス自身が複数の仮想機能（VF）を提供し、各VMがハイパーバイザを介さず直接デバイスと話す。ほぼ実機の速度。ただしハードとドライバの対応が要り、VMの移動などで制約が出る

「ソフトで真似る → 準仮想化で賢く → ハードを直接分ける」——遅さを削るこの流れは、NIC のような実デバイスをどう共有するかという問いへの答えでもあります。

中級では「コンテナはOSを積まず軽い」と対比しました。上級の核心は、その軽さの代償である隔離の深さの差です。

• VM — 各VMが独立したカーネルを丸ごと持つ。ハイパーバイザという薄い境界の下で、他VMとはカーネルレベルで分離される。隔離は強いが重い
• コンテナ — ホストのカーネルを共有し、名前空間（namespace）とcgroupで「見える範囲と使える量」を仕切るだけ。カーネルは1つを分け合うので、カーネルの脆弱性を突かれると隣へ波及しうる。隔離は弱めだが軽い

つまり両者の差は「速さ対安全」ではなく、境界がどの層に引かれているかです。VMはハードウェアに近い層で、コンテナはOSの中の仕切りで隔てる。マルチテナントで強い隔離が要るなら、コンテナをさらにVMの中で走らせる（軽量VMでコンテナを包む）折衷も使われます。詳しくは Docker／コンテナ と、その土台を貸し出す クラウド を参照。

• CPUオーバーコミット — vCPUを物理コアより多く約束し、混雑時にスケジューリング待ちで急に遅くなる
• NUMAの無視 — 大きなVMがCPUと遠いメモリを掴み、二段変換より前の段階で遅延が増える
• SR-IOVの移動制約 — デバイス直結ゆえにVMのライブマイグレーションが難しくなる（速さと柔軟さの綱引き）
• カーネル共有の油断 — コンテナをVM並みの隔離と思い込み、カーネル脆弱性の横展開リスクを見落とす
• 準仮想化ドライバ欠如 — virtioドライバを入れ忘れ、遅いエミュレーション経路のまま運用してしまう