2. AMD EPYC处理器架构解析

在虚拟化平台建设中，处理器架构决定了单台宿主机能承载多少虚拟机、每台虚拟机可获得怎样的性能一致性，以及安全隔离能做到什么程度。AMD EPYC 之所以在虚拟化场景中受到重视，并不是因为某一个参数突出，而是因为 Zen 核心、Chiplet 封装、内存控制器、PCIe 通道与安全特性共同构成了一套适合“多租户、多负载、可预测”的硬件基础。理解这套架构，才能合理规划 vCPU 与物理核心的对应关系、NUMA 拓扑、设备直通路径以及加密虚拟化能力。

Zen 系列核心：从执行单元到虚拟化调度粒度

Zen 系列核心是 EPYC 的计算基本单元。每个 Zen 核心拥有独立的整数执行单元、浮点单元、一级指令/数据缓存和二级缓存，多个核心共享三级缓存。对虚拟化而言，关键点在于：一个 vCPU 最终要落到一个物理核心的硬件线程上执行。若把 vCPU 数量简单等同于物理核心数量，而忽略 SMT（同步多线程）带来的线程共享，就可能在 CPU 密集型虚拟机并发时出现争抢。

以一颗假设的 32 核 64 线程 EPYC 为例，若计划运行 20 台每台 4 vCPU 的虚拟机，总 vCPU 数为 80，已经超过 64 个硬件线程。此时若全部虚拟机同时满载，物理核心将出现排队。更稳妥的做法是控制 vCPU 与物理线程的超配比，例如按 1.5:1 以内规划，并借助 CPU 亲和性把关键虚拟机绑定到固定核心，减少跨核心迁移带来的缓存失效。Zen 核心的 L3 缓存按 CCD 分组共享，同一 CCD 内的核心通信延迟更低，因此把同一虚拟机的多个 vCPU 尽量放在同一 CCD 内，有利于降低内存访问抖动。

Chiplet 设计：CCD 与 IOD 的分工

EPYC 采用 Chiplet 设计，把计算与 I/O 分离：多个 CCD（Core Complex Die）承载 Zen 核心与 L3 缓存，一个 IOD（I/O Die）集中提供内存控制器、PCIe 控制器和 Infinity Fabric 互连。这种结构对虚拟化的直接影响是 NUMA 拓扑更明显：每个 CCD 到 IOD 中不同内存通道的距离并不完全一致，跨 CCD 访问远端内存的延迟高于本地访问。

因此，在虚拟化平台上应先确认 NUMA 节点分布，再决定虚拟机放置策略。例如，一台 8 vCPU 虚拟机若被分散到两个 NUMA 节点，其内存访问会同时跨越本地与远端路径，延迟波动增大；若将其限制在单个 NUMA 节点内，则性能更稳定。Chiplet 设计还意味着 PCIe 设备与内存通道的归属关系需要关注，尤其是直通网卡或 NVMe 设备时，设备所在 IOD 与虚拟机内存所在 NUMA 节点的距离会影响吞吐。

内存控制器与 NUMA：决定虚拟机性能稳定性

EPYC 的内存控制器集成在 IOD 中，每颗处理器提供多个 DDR 通道。以双路平台为例，若每路 8 个内存通道、每通道插入一条 32GB DDR4，则单路内存容量为 256GB，双路合计 512GB。虚拟化平台的内存规划不能只看总容量，还要看通道是否插满、频率是否一致。若只插一半通道，内存带宽会明显下降，虚拟机在数据库、缓存类负载下更容易出现延迟上升。

NUMA 是内存控制器分布的直接结果。每个处理器及其直连内存构成一个 NUMA 节点。虚拟机监控器通常提供“节点内优先分配”策略：当虚拟机内存小于单节点容量时，尽量把内存分配在同一节点；当虚拟机内存超过单节点容量时，才跨节点分配。实际配置中，可以用如下方式观察 NUMA 分布：

# 查看 NUMA 节点与内存分布
numactl --hardware

# 将虚拟机进程绑定到节点 0 的 CPU 与内存
numactl --cpunodebind=0 --membind=0 qemu-system-x86_64 ...

# 查看 PCIe 设备所属 NUMA 节点
cat /sys/bus/pci/devices/0000:41:00.0/numa_node

判断依据是：若虚拟机内存全部落在本地节点，且 vCPU 也绑定在同一节点，则跨节点访问比例应接近 0；若发现远端内存访问比例较高，应调整虚拟机放置或内存绑定策略。对于延迟敏感型虚拟机，建议单台虚拟机内存不超过单 NUMA 节点可用内存的 80%，为宿主机和其他虚拟机留出余量。

PCIe 通道：直通、SR-IOV 与设备放置

EPYC 提供大量 PCIe 通道，通常按 x16、x8、x4 等宽度分配给插槽、M.2、OCP 网卡等。虚拟化中常见的三种设备使用方式是：虚拟设备、PCIe 直通和 SR-IOV。虚拟设备兼容性最好但性能开销较大；直通把整块设备交给一台虚拟机，性能接近物理机但无法共享；SR-IOV 通过物理功能（PF）和虚拟功能（VF）把一块网卡拆成多个虚拟设备，兼顾性能与共享。

配置 SR-IOV 时，先在 BIOS 中启用 SR-IOV 与 ACS，再在宿主机开启 VF 数量，例如将一块双口 25G 网卡每口虚拟出 8 个 VF，则共 16 个 VF 可分配给不同虚拟机。需要注意：VF 所在 PCIe 设备与虚拟机内存应尽量处于同一 NUMA 节点，否则跨节点 DMA 会增加延迟。若使用直通，应确认 IOMMU 分组是否独立，避免把同组内其他关键设备一并隔离而影响宿主机管理网。

安全特性：从 AMD-V 到 SEV-SNP

AMD-V 是硬件辅助虚拟化的基础，提供嵌套页表（NPT）和标签化 TLB，使虚拟机内存地址转换由硬件完成，减少虚拟机退出开销。没有 AMD-V 时，敏感指令需要陷入模拟，性能损失明显。启用 AMD-V 后，虚拟机退出次数大幅下降，vCPU 执行效率更接近物理核心。

SEV（Secure Encrypted Virtualization）为每台虚拟机分配独立内存加密密钥，由处理器内存控制器完成加解密，宿主机无法直接读取虚拟机明文内存。SEV-ES 进一步加密虚拟机寄存器状态，减少虚拟机退出时的状态泄露。SEV-SNP 增加完整性保护，防止恶意宿主机篡改虚拟机内存。对多租户云平台而言，若租户对数据隔离有强要求，应在虚拟机规格中启用 SEV 或 SEV-SNP，并确认客户机操作系统与虚拟化平台均支持。

把架构参数落到虚拟化配置

综合来看，EPYC 架构对虚拟化的支撑可以归纳为四条主线：Zen 核心决定 vCPU 密度与调度粒度；Chiplet 与 IOD 决定 NUMA 拓扑和跨节点延迟；内存控制器与 PCIe 通道决定带宽和设备直通路径；AMD-V 与 SEV 系列决定隔离能力与安全等级。实际部署时，建议先采集 lscpu、numactl --hardware 和 lspci -vv 的输出，确认核心数、NUMA 节点、内存通道占用和 PCIe 设备归属，再据此制定虚拟机放置策略。只有把架构参数与虚拟化配置对应起来，才能让 EPYC 平台在密度、性能和隔离之间取得可预期的平衡。