玻尔百科在现代计算中，每个程序都在其各自的私有虚拟世界中运行，并相信自己独占着一个广阔的地址空间。这种强大的幻象被称为虚拟内存，它必须被映射到计算机有限的、共享的物理内存上。核心挑战在于创建一个既能高效利用空间以适应庞大的64位地址空间，又足够快速以不影响性能的映射系统。本文将深入探讨为解决此问题而设计的精巧数据结构：页表。我们将首先探讨基本的“原理与机制”，剖析两种主流方法——分层页表和反向页表——及其固有的权衡。随后，“应用与跨学科联系”部分将揭示操作系统如何利用这些结构来实现从系统安全到高性能虚拟化的各种功能，展示其作为计算机科学基石的角色。
想象你是一位剧作家，你写的每个程序都是一个演员。在计算机的世界里，你会希望你的每个演员都相信他们拥有整个舞台。他们可以随心所欲地放置他们的道具（数据）和剧本（代码），从地址零到数十亿、数万亿，而不用担心会碰到其他演员。这个宏伟的幻象被称为虚拟内存。它是计算机科学中最深刻、最优雅的概念之一。但这只是一个幻象。实际上，所有演员共享一个单一、有限的舞台：物理内存，即RAM。这个魔法的诀窍在于操作系统（OS）和处理器的内存管理单元（MMU）如何协作，将每个演员的私有虚拟世界映射到共享的物理世界。
这种映射不是逐个字母或逐个字节完成的。那就像给图书管理员一份目录，上面列出了每本书中每个字母的位置。这份目录会大到无法管理！取而代之的是，内存被划分为固定大小的块，称为页（page），通常大小为几千字节。虚拟地址空间是一系列虚拟页，而物理内存是一组物理帧（frame）。虚拟内存系统的工作就是维护一个映射：“虚拟页X存放在物理帧Y中”。保存这种映射的数据结构就是我们今天的主角：页表。
那么，这本内存“电话簿”中的每个条目需要包含哪些信息呢？页表中的一个条目，称为页表项（Page Table Entry, PTE），是一个小而强大的信息包。当然，它最重要的组成部分是物理帧号（Physical Frame Number, PFN）。这是转换的核心——它告诉硬件哪个物理帧对应于给定的虚拟页。
但仅仅一个电话号码是不够的。我们还需要更多的智能。PTE还包含一组控制位，每个位都是一个微小的开关，控制着内存的行为：
有效位（valid bit）：它回答了这样一个问题：“这个虚拟页当前是否真的在物理内存中？”如果该位置位，则转换有效，PFN可以使用。如果清零，则该页在别处（很可能在硬盘上），尝试访问它会触发缺页中断（page fault），这是一个信号，通知操作系统去找到它。这就是按需分页（demand paging）背后的机制，即仅在页面首次被需要时才加载它们的巧妙思想。
权限位（permission bits）：这些是安全卫士。通常有三个：读位、写位和执行位。它们防止程序意外（或恶意）地覆盖自己的代码，或试图将数据当作指令来执行。
状态位（status bits）：这些是硬件留给操作系统的小面包屑。每当一个页面被读取或写入时，访问位（accessed bit）就会被设置；每当一个页面被写入时，脏位（dirty bit）就会被设置。操作系统利用这些线索来做出明智的决策，比如当内存空间紧张时，哪些页面是驱逐出内存的好选择。
让我们把这个具体化。想象一个系统，它有48位的虚拟地址和46位的物理地址，使用8192字节（ 字节）的页。任何地址的低13位是页内“偏移量”，所以它们不需要转换。一个物理地址有 位用于其帧号。因此，这个系统的PTE必须包含一个33位的PFN。如果我们加上1个有效位、3个权限位、2个状态位，以及可能用于内存保护密钥等高级功能的8位，我们的总PTE大小就达到 位。硬件很可能会将其向上取整到一个方便的大小，比如8字节，以保持内存访问的对齐和效率。你的程序进行的每一次内存访问（如果尚未被缓存），都需要查询这些条目中的一个。
在这里，我们遇到了第一个巨大挑战。如果页表只是一个由PTE组成的大数组，每个可能的虚拟页都有一个条目，那它会变得多大呢？让我们考虑一个经典的32位系统，使用4千字节（ 字节）的页。一个32位地址空间包含 字节。虚拟页的数量是 ，大约一百万。如果每个PTE是4字节，那么单个程序的页表将是 字节 = 4兆字节！这听起来可能不那么灾难性，但这是每个进程的开销。运行100个简单的程序就会消耗400MB宝贵的RAM，仅仅用于它们的页表。
对于现代的64位系统（即使是只使用48位虚拟地址的系统），情况要糟糕得天文数字般。虚拟页的数量是 。一个扁平的页表将会有数PB之大。这完全、彻底地不切实际。大多数程序只使用其广阔虚拟地址空间中一个微小、稀疏的部分——底部的一些页用于代码和数据，顶部的一些页用于栈。页表将是一片充满无效条目的沙漠，浪费巨量的内存。这个问题——巨大而稀疏的地址空间的暴政——是我们将要探讨的两种巧妙解决方案背后的驱动力。
你如何组织一部巨大且大部分为空的百科全书？你不会出版一百万卷空白的书。你会创建一个多级索引。A-B卷将你指向更具体的索引，而这些索引又指向实际的条目。这正是分层页表（hierarchical page tables）背后的思想，也称为多级页表。
我们不再使用单一、扁平的表，而是将虚拟页号（VPN）分成几个部分。在一个经典的两级方案中，VPN的最高几位用作页目录的索引。该目录中的条目并不指向物理帧；它指向另一个页表的基地址，即二级页表。然后，来自VPN的下一组比特被用来索引到这个二级表中，以找到包含物理帧号的最终PTE。
当TLB（转译后备缓冲器）未命中时，硬件的页表遍历器（page walker）会自动执行这一系列链式查找。这就像导航一个文件路径：第一个索引让你到达正确的目录，第二个索引让你到达其中的正确文件。这可以被看作是一种特殊的硬件寻址模式，一种“双重间接”访问，其中一次内存查找产生下一次查找的地址。
这个方案的美妙之处在于它对稀疏地址空间的效率。如果一大片虚拟内存未使用，页目录中相应的条目就简单地标记为无效。一整个二级页表——以及它本应包含的数千个PTE——就永远不会被分配。内存只为地址空间中实际在使用的区域消耗。通过将映射的页面在虚拟内存中紧密地放在一起，程序可以最小化它需要的二级页表的数量，从而极大地减少其内存占用。
但这种灵活性是有代价的。分层页表的最坏情况是一个程序非常稀疏地使用内存，小的分配分布在其虚拟地址空间的各个角落。想象一个基准测试，它触及512个页面，但安排得使每个页面都落入不同的顶级页目录区域。这将迫使操作系统分配512个独立的二级页表！为了几千字节的实际数据，程序可能会产生数兆字节的页表开销。内存成本不再是固定的；它对应用程序的内存访问模式很敏感。
此外，层次结构的深度也很重要。页表中的每一级都会在TLB未命中时的页表遍历中增加一次内存访问。层数 由虚拟地址宽度（）、页面大小（）和每级使用的索引位数（）决定，遵循关系 。增加页面大小 会缩小虚拟页号空间，这可以减少所需的层数。更大的页面也意味着TLB中的每个条目覆盖了更多的内存（更大的“TLB覆盖范围”），从而减少了这些代价高昂的页表遍历的频率。这就产生了一个基本的设计权衡：较小页面的开销（更多的页表层级，较低的TLB覆盖范围）与较大页面的浪费（内部碎片）之间的权衡。
如果我们从相反的方向来处理这个问题呢？与其为每个进程创建一个回答“这个虚拟页去哪儿了？”的表，不如我们为整个系统创建一个单一的、全局的表，回答“哪个虚拟页（如果有的话）在这个物理帧里？”。这就是反向页表（Inverted Page Table, IPT）背后的激进思想。
使用IPT，每个物理RAM帧都恰好有一个条目。如果你的机器有1GB的RAM和4KB的页，那么你就有 个物理帧，你的IPT就将正好有 个条目，不多不少。页表的大小现在与物理内存的数量成正比，而不是任何进程虚拟地址空间的大小。对于拥有庞大虚拟地址空间的64位系统来说，这是一个巨大的胜利，立即驯服了“空间的暴政”。
但一如既往，没有免费的午餐。我们解决了空间问题，但我们制造了一个搜索问题。由于表是按物理帧号组织的，我们不能再使用虚拟页号作为直接索引。给定一个虚拟地址，我们如何找到它在IPT中对应的条目呢？
我们必须搜索它。在每次内存访问时对整个表进行线性扫描将会慢得灾难性。标准的解决方案是使用哈希表。虚拟页号（以及至关重要的，用于区分不同进程的地址空间标识符（ASID）或进程ID（PID））被输入到一个哈希函数中。结果是IPT中一个桶（bucket）的索引。然后系统遍历该桶中条目的链表，比较存储的（PID, VPN）对，直到找到匹配项。这就是在TLB未命中时展开的查找过程。
这个不同的目的改变了PTE本身的结构。一个分层PTE不需要存储它所映射的VPN；VPN在其位置中是隐含的。然而，一个反向PTE必须存储VPN和PID，因为它的位置只告诉你关于物理帧的信息。这就是它在哈希链搜索期间验证是否找到正确映射的方式。
我们现在面临着两种优美而相互竞争的虚拟内存管理哲学。它们之间的选择是一个经典的工程权衡，平衡了空间、时间和复杂性。
内存开销： 分层页表的大小与进程使用的虚拟页数量以及它们排列的稀疏程度成正比。反向页表的大小是固定的，与系统中的物理内存量成正比。对于内存布局紧凑的进程，分层方法可能非常节省空间。但随着进程内存变得稀疏，会有一个盈亏平衡点，此时分配许多小的二级页表的预期开销会超过系统级反向表的恒定、可预测的开销。
查找时间： 在TLB未命中时，性能特征截然不同。分层页表遍历是确定性的：对于一个4级表，它总是会执行恰好4次内存读取来找到最终的PTE。反向页表查找涉及哈希计算和沿着哈希链的搜索。在平均情况下，使用一个好的哈希函数，这非常快——实际上是常数时间，。然而，在最坏的情况下，一个糟糕的哈希或恶意模式可能导致许多条目在同一个桶中冲突，使查找退化为对许多条目的缓慢线性扫描。在一个具体的例子中，我们可以比较多级表的固定4次内存访问遍历与IPT的基于哈希的查找，两者可能PTE数据本身的内存占用相似，但表结构（内部指针与单个大型哈希表）的开销差异显著。
这种根本性的冲突——可预测但可能占用大量空间的分层树与节省空间但基于搜索的反向表——是现代操作系统和硬件设计的核心。
硬件和软件之间为维持虚拟内存幻象而进行的复杂舞蹈非常稳健，但它依赖于一个关键假设：页表本身总是可访问的。如果一个页表页本身不在内存中会发生什么？硬件页表遍历器试图获取一个PTE，然后……发生了缺页中断！这是一个递归性错误（recursive fault），一个潜在的灾难性情况。
如果操作系统缺页中断处理程序本身需要从磁盘调入，它可能会触发另一个中断，导致系统崩溃。为了防止这种情况，操作系统必须格外小心。缺页中断处理程序的代码、它的栈，以及至少内核自身页表的顶层必须被钉在（pinned）物理内存中，这意味着它们被永久驻留，并且不会被换出。操作系统必须有一个坚如磐石的基础，才能安全地解决中断，无论缺失的页面属于用户程序，还是属于找到它所必需的页表结构本身。
从翻译一个地址的简单需求出发，我们经历了一段充满权衡和巧妙设计的非凡旅程。分层页表和反向页表不仅仅是抽象的数据结构；它们是针对一个深层问题的竞争解决方案，每种方案都有其优雅之处和其阿喀琉斯之踵。它们是使现代计算的宏伟幻象成为可能的隐藏机器。
在我们完成了对页表原理和机制的探索之后，人们可能会留下这样一种印象：我们研究的是一种巧妙但或许小众的计算机工程技术，一个针对特定问题的解决方案。但事实远非如此。如果仅仅将页表看作是从虚拟地址到物理地址的映射，那就好比将小提琴看作只是一个木头和琴弦组成的盒子。真正的魔法，即音乐，是在你演奏它时发生的。
页表不仅仅是一个静态的数据结构；它是一种动态的、富有表现力的语言，操作系统用它来向硬件传达其意图。它是软件用来塑造程序所体验的现实的工具。通过操纵这些表——在这里改变一个权限位，在那里更新一个帧号——操作系统可以实现效率、安全和抽象的壮举，这些都是所有现代计算的基础。让我们来探索一下用这个非凡的乐器可以演奏出的一些美妙音乐。
你是否曾想过操作系统是如何启动的？它面临着一个经典的“鸡生蛋还是蛋生鸡”的困境。在内存管理单元（MMU）开启之前，处理器是一个头脑简单的生物：它看到的地址就是它得到的物理地址。但内核希望生活在一个复杂的虚拟世界中。所以，在某个时刻，操作系统必须拨动开关来开启MMU。但在那一瞬间会发生什么？处理器试图获取的下一条指令现在是一个虚拟地址。如果没有一个有效的页表已经就位，将这个虚拟地址映射回正确的物理位置，系统将立即因缺页中断而崩溃。这就像自己把自己脚下的地毯抽走。
解决方案是一段优雅的引导舞蹈。在启用MMU之前，引导加载程序（bootloader）会小心地构建一个临时的、“身份映射”的页表。这个特殊的表只是将一系列虚拟地址映射到完全相同的物理地址。这个窗口必须足够大，以覆盖CPU在那些关键的最初时刻可能需要接触到的一切：它当前正在执行的引导代码、它用于函数调用的栈、以防万一的异常向量表，以及至关重要的页表结构本身——MMU必须从物理内存中读取它们才能工作。一旦MMU被启用，执行就可以无缝地继续，因为在这个窗口内，实际上什么都没有改变。站在这个稳固的基础上，操作系统随后就可以执行更复杂的任务，切换到其最终的、复杂的内核地址空间，并确信自己不会在一阵逻辑的烟雾中消失。
对页表的同样精通也让另一个日常魔法成为可能：创建新进程。在类Unix系统上，当一个进程调用 [fork()](/sciencepedia/feynman/keyword/fork()|lang=zh-CN|style=Feynman) 时，它会创建一个几乎完全相同的子进程。幼稚的方法是费力地为新子进程复制父进程的每一页内存。对于一个大型应用程序来说，这将非常缓慢和浪费，特别是因为子进程通常很快就会用一个新程序替换其内存。
取而代之的是，操作系统使用写时复制（COW）完成了一次漂亮的手法。它创建子进程的页表，但不是分配新内存，而是简单地将子进程的页表项（PTE）指向父进程正在使用的相同物理帧。为了防止混乱，它接着做了一件聪明的事：它返回到父进程和子进程的PTE，并将它们全部标记为只读。现在，两个进程和平地共享内存。当其中一个试图写入一个共享页面时，硬件会将其捕获为保护违规。操作系统介入，看到这是一个COW页面，然后才为写入的进程制作一个私有副本，更新其PTE以指向新副本，并将其标记为可写。另一个进程不受影响。对不同页面的写入会为每个页面精确地触发一次这种复制，使得 [fork()](/sciencepedia/feynman/keyword/fork()|lang=zh-CN|style=Feynman) 快得惊人，同时只在绝对必要时才消耗额外的内存。
操作系统最根本的承诺是提供一个稳定和安全的环境。它必须保护自己和其他程序免受有缺陷或恶意代码的侵害。页表是实现这一承诺的主要强制执行机制，扮演着数字王国的城墙角色。
每个现代处理器至少有两个特权级别：受信任的内核模式和受限制的用户模式。操作系统内核在特权模式下运行，而你所有的应用程序都在用户模式下运行。内核的代码和数据是如何受到保护的？通过页表。每个PTE都包含权限位，包括一个“用户/超级用户”位。对于任何属于内核的页面，该位被设置为“仅超级用户”。如果用户模式的应用程序试图读取、写入或执行来自内核页面的指令，MMU硬件会通过比较处理器当前的特权级别和PTE中的权限位，立即检测到特权违规。它在造成任何伤害之前阻止访问，并触发一个中断，将控制权交给内核。
一个聪明的攻击者可能会想：“如果我不能直接攻击内核，也许我可以攻击保护它的页表！” 一个漂亮的反制：操作系统将页表本身放置在仅限内核的内存中。用户代码修改页表的任何尝试，本身就是对一个仅限超级用户页面的访问，这会立即被硬件阻止。保护机制保护了它自己。这种分层防御，由MMU在每一次内存访问中无情地强制执行，正是使我们的计算机保持稳定和安全的原因。
这种内存隔离的原则超越了CPU。像网卡、存储控制器和GPU这样的现代外围设备本身就是强大的计算机。它们可以使用直接内存访问（DMA）直接访问系统内存，完全绕过CPU。一个不受约束或恶意的设备可能会通过覆盖任意内存（包括内核）而造成严重破坏。为了驯服这些强大的设备，现代系统包含了一个IOMMU——输入输出内存管理单元。IOMMU本质上是为设备服务的页表。对于每个设备，操作系统可以构建一套页表，定义一个私有的“沙箱”，精确指定该设备被允许接触哪些物理内存页面。这对于具有可信执行环境（TEE）的系统中的安全性是不可或缺的，在这些环境中，我们可能希望允许网卡将数据直接放入安全内存缓冲区（一个“飞地”），但阻止它访问系统上的任何其他内容。页表概念提供了一个统一的框架，用于在整个机器上强制执行隔离，从CPU核心到最远的外围设备 [@problem-id:3686113]。
页表的结构甚至可以被转化为数字取证的工具。想象一下，需要创建一个完美的、防篡改的日志，记录对系统内存布局所做的每一次更改。通过拦截对PTE的每一次修改，取证子系统不仅可以记录改变了什么，还可以记录它是如何改变的。由于许多PTE修改只改变少数几个标志（如“脏”位或“访问”位），而不是整个物理地址，因此可以使用增量编码方案。这创建了一个高度压缩但完整的审计跟踪，其中通过考虑不同字段变化的概率，最小化了日志条目的预期大小。页表本身的分层性质为识别被修改的页面提供了最有效的方式：虚拟页号，它对应于通过页表树的路径。
虚拟化，这项驱动云计算的技术，从根本上说是一种欺骗行为。虚拟机监视器（Hypervisor 或 Virtual Machine Monitor）创造了一种幻象，让“客户”操作系统认为自己拥有整台机器，包括其私有的物理内存。但实际上，它的“物理”内存只是由宿主机管理的另一层虚拟内存。页表是这个宏伟幻象的关键。
在早期，没有专门的硬件支持，这是通过一种称为影子分页（shadow paging）的技术实现的。虚拟机监视器阻止客户操作系统接触真实硬件的MMU。客户机创建自己的一套页表，以为它在编程硬件，但这些只是内存中的数据。与此同时，虚拟机监视器维护着一套独立的、隐藏的影子页表，它将客户机的虚拟地址直接映射到宿主机的实际物理内存。这些才是真实硬件使用的表。虚拟机监视器必须使影子表与客户机认为它的表的样子保持完美同步。怎么做呢？通过在影子表中将客户机的页表页标记为只读。每当客户机操作系统试图改变它的一个PTE时，就会触发一个缺页中断，陷入到虚拟机监视器中。虚拟机监视器检查尝试的更改，相应地更新其影子表，然后恢复客户机，而客户机对此一无所知。这是一种复杂的、优美的拦截和仿真之舞。
这种纯软件的方法虽然巧妙，但带来了巨大的开销。最终，处理器制造商增加了对虚拟化的硬件支持，通常称为二维或嵌套分页（nested paging）（例如，Intel的EPT）。这种硬件能理解两个层次的页表：一套由客户机操作系统控制（映射客户机虚拟地址到客户机“物理”地址），另一套由虚拟机监视器控制（映射客户机“物理”地址到宿主机物理地址）。处理器会自动遍历这两套表来完成最终的转换。这极大地提高了性能，但也引入了新的、有趣的权衡。例如，在云环境中，虚拟机监视器可能希望使用“气球驱动程序”从客户机回收内存。如果客户机返回了几个分散的4 KiB页面，而这些页面是之前由嵌套页表中的一个大页条目映射的2 MiB大区域的一部分，那么虚拟机监视器别无选择，只能“拆分”这个大页。它必须将这个高效的大页映射分解成512个更小的4 KiB映射，这是一个代价高昂的操作，需要更新许多PTE并在所有CPU上使缓存的转换失效。这说明了即使在最先进的虚拟化环境中，页表结构与系统性能之间也存在着持续的相互作用。
页表的用途延伸到了迷人且意想不到的领域，弥合了硬件架构与高级软件之间的鸿沟。其中一个最优雅的例子是在像Java、Python或C#这样的托管编程语言的优化中。
这些语言使用垃圾收集器（GC）来自动管理内存。一种常见且高效的技术是分代GC，它观察到大多数对象生命周期很短。堆被分为“新生代”和“老年代”。GC在新生代上运行得更频繁，这很高效。然而，GC必须知道任何从老年代对象指向新生代对象的指针。为了跟踪这些指针，运行时实现了一个“写屏障（write barrier）”——一段在每次指针写入时运行的小代码。这个检查可能会很慢。
在这里，与硬件的美妙协作成为可能。现代PTE有几个硬件未使用并为软件保留的位。一个聪明的语言运行时可以使用其中一两个位来标记其堆的每个页面为“新生代”或“老年代”。当写屏障需要检查指针写入的目标时，MMU已经完成了大部分工作！硬件已经翻译了虚拟地址，这意味着该页面的PTE已被读取，其内容（包括我们软件定义的代际位）现在正位于超快的TLB中。写屏障只需对TLB数据进行一次快速检查即可完成其检查，完全避免了对单独的软件数据结构进行慢得多的查找。这是一个协同设计的完美例子，其中我们使用页表结构方式的微小改变，在一个完全不同的领域带来了显著的性能提升。
展望未来，随着计算任务越来越多地由通用CPU和专用加速器（如GPU）共享，对统一内存模型的需求变得至关重要。共享虚拟内存（Shared Virtual Memory, SVM）允许CPU和GPU在同一个虚拟地址空间中操作，使用简单的指针访问相同的数据结构，就像它们是同一CPU上的两个线程一样。这是通过一个为两者服务的统一页表结构实现的。然而，这给内存系统带来了巨大的压力。CPU和GPU现在都有自己的TLB，都可能会未命中，从而触发页表遍历。页表的设计——例如，经典的分层表与内存高效的反向表——具有深远的影响。分层表由于自然地由两个代理都使用的虚拟地址索引，为在映射发生变化时保持CPU和GPU的TLB一致性提供了更直接的路径。结构的选择直接影响页表遍历所消耗的带宽以及在这些不同类型的处理器之间维护一致内存视图的复杂性，这是下一代计算机系统设计中的一个核心挑战。
从计算机生命的第一刻到高性能计算的前沿，页表无处不在。它们不仅仅是一个技术细节，而是抽象的基本构件，效率的强大工具，以及安全的坚定执行者。它们是我们每天居住的数字世界中沉默、无形的建筑师。