💻 computer science

Query Cost Model Calibration in Confidential Virtual Machines

本文通过识别查询优化器中的硬件-软件失配，并提出一种轻量级的、感知机密虚拟机（CVM）的成本校准方法，显著缩小了与非加密环境之间的性能差距（恢复了高达 48% 的性能损失），从而解决了机密虚拟机中分析型查询的性能退化问题。

原作者： Qihan Zhang, Mengyuan Li, Ibrahim Sabek

发布于 2026-06-26

📖 1 分钟阅读☕ 轻松阅读

原作者： Qihan Zhang, Mengyuan Li, Ibrahim Sabek

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你拥有一个非常安全、高科技的保险库（一个机密虚拟机，或称 CVM），你在其中存储着最敏感的数据。这个保险库的设计初衷是，即使是建筑管理员（云服务提供商）也无法窥视内部。然而，这里有一个问题：将东西存入和取出这个保险库，比从一个普通的、不设防的房间（标准的 KVM）存取要慢得多，也复杂得多。

问题不仅仅在于保险库运行缓慢，还在于管理员（数据库的查询优化器）并没有意识到这一点。

问题所在：用错了地形的地图

把数据库管理员想象成一个 GPS 导航系统。

旧地图 (KVM)： 多年来，这个 GPS 一直在使用一张为开放高速公路设计的地图。它假设开车（移动数据）很快，且检查你的位置（内存访问）是瞬间完成的。
新地形 (CVM)： 现在，汽车正行驶在一个充满加密隧道系统的山地环境中。每当车辆转向时，都必须停下来出示特殊的身份证（RMP 检查）；每当移动货物时，都必须拆包、通过安全气闸舱移动，然后再重新打包（数据移动/缓冲跳板）。

因为 GPS 仍在沿用那张“开放高速公路”的地图，它会不断推荐看起来最快的路线。但在山地隧道中，这些“快”路线实际上是最慢的，因为它们涉及过多的身份检查或过多的货物处理。数据库最终会选择错误的计划，导致整个系统变得极其迟缓。

解决方案：重新校准 GPS

这篇论文的作者并没有试图重建山地隧道，也没有发明更快的汽车。相反，他们重新校准了 GPS。

他们创建了一个全新的、轻量级的“代价模型”，告诉数据库管理员：“嘿，在这个安全的保险库里，一次性移动大量数据是非常昂贵的，而随机跳转（比如在列表中查找特定项）甚至更加昂贵，因为这会触发大量的身份检查。”

他们在管理者的计算中加入了两个简单的“惩罚项”：

“搬运箱子”惩罚： 如果一个计划需要移动一大堆数据（例如哈希连接/Hash Join），管理者现在知道这将触发额外的“气闸”步骤，并为此增加时间成本。
“身份检查”惩罚： 如果一个计划需要随机跳转来寻找数据（例如索引扫描/Index Scan 或嵌套循环/Nested Loop），管理者知道这会触发许多“身份证”检查（RMP 检查），并为此增加时间成本。

结果：找到真正的快车道

通过用这些新规则更新 GPS，数据库管理者开始选择不同的路线。它不再选择那个在隧道里变成交通拥堵的“快速公路”路线，而是选择了虽然路程稍长、但在安全环境下反而更顺畅的路线。

发生了什么？

查询速度更快： 在测试中，这种简单的调整让保险库中的查询速度提升了高达 48%。
超越了不设防的房间： 在某些情况下，经过优化的安全保险库甚至比标准的、不设防的房间还要快！这听起来违反直觉，但之所以发生，是因为标准房间使用的是“糟糕的计划”（基于旧地图），而安全保险库使用的是“智能的计划”（基于新的、准确的地图）。

总结

这篇论文表明，你不需要完全重新设计安全的计算机系统来使其变得高效。你只需要教会数据库的决策者（优化器）规则已经发生了变化。通过为在安全环境中移动数据和检查身份设置一些简单的、现实的“代价”，系统会自动找到更好的工作方式，从而缩小安全计算与标准计算之间的性能差距。

技术摘要：机密虚拟机中的查询代价模型校准

问题陈述

采用机密计算（特别是像 AMD SEV-SNP 这样的机密虚拟机，简称 CVM）为无需修改源代码的传统数据库管理系统（DBMS）提供了一条实用的保护数据在用（data in use）的路径。然而，与传统的非加密虚拟机（KVM）相比，CVM 中的分析型查询面临着巨大的性能开销。

先前的研究主要集中在基准测试这些减速现象，而非优化它们。本文指出其根本原因是硬件与软件的不匹配：传统的查询优化器依赖于为 KVM 校准的代价模型，而这些模型在 CVM 环境下不再适用。因此，优化器会错误地对执行计划进行排序，从而选择在 KVM 中高效但在 CVM 中并非最优的策略。

作者将这种不匹配归因于 SEV-SNP 的两个特定架构特性：

数据移动开销： 在 CVM 中，数据在存储和内存之间的传输涉及加密处理和“蹦床缓冲区”（bounce-buffer，即在共享内存中暂存数据）的复制。这种开销是非均匀的；不同的查询计划（例如，哈希连接与嵌套循环连接）会引发不同的数据移动模式，从而导致可变的惩罚。
与 RMP 相关的转换开销： SEV-SNP 利用反向映射表（RMP）来验证页面所有权和权限。这在地址转换过程中引入了延迟，特别是在索引扫描和重度探测（probe-heavy）的嵌套循环等随机访问操作中。实验证据表明，这表现为每指令周期数（CPI）的显著增加，其原因在于转换和受保护内存检查，而非指令总执行数的增加。

方法论

作者提出了一种轻量级的、感知 CVM 的代价校准方法，直接集成到查询优化器的代价模型中。该方法并非重新设计执行引擎，而是调整算子的估计代价，以反映 SEV-SNP 中执行路径的真实相对价格。

核心机制

该校准通过引入两个额外的开销项来增强标准的代价公式（标准公式通常将代价分解为 CPU、内存和 I/O），这两个开销项均源自优化器已有的物理代理指标：

数据移动代价 (datamovecost)： 该项根据工作集大小 ($ws $) 和**溢出因子** ($ x $) 对算子进行惩罚。当工作集超过有效缓存预算时，会计算溢出因子。其代价模型为$ ws \cdot \eta_{dm} \cdot \sigma(x) $，其中$ \eta_{dm} $是校准后的惩罚系数，$ \sigma(x)$ 在活动足迹超出缓存时激活该项，从而触发加密内存流量和蹦床缓冲区的交互。
RMP 开销代价 (rmptcost)： 该项根据页面访问强度 ( $a$ ) 和局部性对算子进行惩罚。其模型为 $a \cdot \eta_{rmp} \cdot (1 + \alpha_{rmp} \cdot \sigma(x))$ 。它捕捉了地址转换和 RMP 验证带来的增加的延迟，这种延迟对随机访问算子（如索引扫描、基于索引探测的嵌套循环连接）的影响尤为严重。

特定算子的校准

作者将这些项应用于 PostgreSQL 中的特定算子：

扫描（顺序扫描、位图扫描、索引扫描）： 顺序扫描和位图扫描主要针对工作集溢出时的数据移动进行计费。索引扫描则同时针对数据移动和 RMP 开销进行计费，因为索引遍历涉及指针追踪和非连续页面访问，这会触发转换检查。
连接（Joins）：
- 嵌套循环（Nested Loop）： 如果内侧是索引驱动的，则会对数据移动和条件 RMP 开销进行计费。
- 哈希连接（Hash Join）： 代价模型明确考虑了哈希表大小相对于末级缓存（LLC）的关系。如果哈希表超过 LLC，该算子将承受显著的数据移动和转换成本。
- 合并连接（Merge Join）： 主要针对数据移动计费，若输入缺乏局部性，则包含条件 RMP 成本。
物化/记忆化（Materialize/Memoize）： 根据缓冲中间状态的大小进行计费。

这些代价项的参数使用来自各工作负载的代表性查询子集进行调优，旨在实现跨场景的稳健校准，而无需进行详尽的优化。

核心贡献

识别性能失真： 本文证明了 RMP 检查和数据移动开销是 CVM 中面向优化器的性能失真的主要驱动因素。通过 CPI 通胀和蹦床缓冲区活动分析提供的经验证据表明，这些开销是依赖于算子且对计划敏感的。
CVM 校准代价模型： 作者提出了一个实用的代价模型扩展，通过注入针对 RMP 敏感的随机访问和数据移动的定向惩罚，在保留优化器架构的同时，使计划决策更符合 CVM 的实际情况。
实现与评估： 该校准在 PostgreSQL 16.9 中实现。评估涵盖了在 AMD SEV-SNP 硬件上的标准 OLAP 基准测试（JOB、CEB、Stack 和 TPC-DS）。

结果

评估显示，校准显著缩小了 KVM 和 SEV-SNP 之间的性能差距：

时间节省： 校准使各工作负载的总执行时间减少了 3.54% 至 48.35%。
- JOB：提升 6.90%。
- CEB：提升 17.14%。
- Stack：提升 48.35%。
- TPC-DS：提升 3.54%。
跨环境性能： 在 CEB 和 Stack 工作负载上，经过校准的 SEV-SNP 执行优于未校准的 KVM 基准线，这表明代价模型的修正可以回收足够的效率，使其在特定场景下超越非加密基准。
查询覆盖率： 大比例的查询受益于校准（在不同工作负载中范围为 38.8% 到 62.5%）。
延迟分布： 校准使查询延迟分布向下移动，降低了中位数延迟并压缩了离散度（标准差）。例如，在 Stack 工作负载中，最大延迟从 50.80s 降至 13.84s，标准差从 7.00s 降至 2.24s。

意义与主张

本文声称，CVM 中高性能数据库工作负载的主要障碍不仅是原始硬件开销，而是软件代价模型的不匹配。通过重新校准优化器以理解数据移动和 RMP 检查的具体代价，系统可以自动选择能够最小化这些惩罚的执行计划。

作者强调，他们的方法是轻量级的：由于它仅修改优化器的代价估计逻辑，而不增加新的执行时机制，因此引入了微不足道的开销。他们将这项工作定位为超越基准测试的重要一步，旨在通过解决导致传统 DBMS 在机密环境中表现不佳的“硬件–软件不匹配”问题来实现优化。论文结论指出，虽然工作负载特征会影响改进程度，但合理的代价模型校准足以显著缓解 KVM 与 CVM 之间的性能差距。