海光CPU开启虚拟化失败如何排查？

Question

在部署虚拟化环境时，部分用户使用海光CPU（Hygon C86）服务器遇到开启虚拟化失败的问题。常见表现为BIOS中已启用SVM模式（Secure Virtual Machine），但系统仍无法识别VT-x或报错“hardware virtualization is not available”。该问题可能源于BIOS设置未正确生效、固件版本过旧导致虚拟化支持异常，或操作系统内核不兼容海光CPU的虚拟化特性。此外，SELinux策略或GRUB启动参数配置不当也可能抑制虚拟化功能启用。需结合dmesg日志、/proc/cpuinfo中是否含svm标志及BIOS底层配置进行综合排查。

Answer 1

海光C86服务器虚拟化开启失败的深度排查与解决方案

1. 问题现象与初步诊断

在部署基于KVM、Xen等内核级虚拟化技术的环境时，部分用户反馈在搭载海光C86系列CPU的国产化服务器上，尽管BIOS中已明确启用SVM（Secure Virtual Machine）模式，系统仍无法识别硬件虚拟化支持，表现为：

• egrep -c 'svm|vmx' /proc/cpuinfo 返回0
• dmesg日志中出现“hardware virtualization is not available”错误
• libvirt或QEMU启动虚拟机时报错“no hypervisor available”
• virt-manager提示“KVM acceleration not available”

该类问题并非普遍存在于所有海光平台，多集中于早期固件版本或特定主板型号。

2. 排查路径：从底层到操作系统层

为系统性定位问题，建议按以下层级逐步排查：

1. 确认BIOS设置是否真正生效
2. 检查CPU物理支持与/proc/cpuinfo输出
3. 分析dmesg启动日志中的关键信息
4. 验证GRUB引导参数对虚拟化的干预
5. 评估SELinux策略是否限制了KVM模块加载
6. 核查内核版本与海光CPU微码兼容性
7. 更新系统固件（BIOS/UEFI）至推荐版本
8. 确认是否存在ACPI或IOMMU配置冲突
9. 测试加载kvm-amd模块的手动行为
10. 使用专用工具如seabios或coreboot日志辅助分析

3. 关键诊断命令与输出示例

命令	预期输出（正常）	异常表现
cat /proc/cpuinfo | grep svm	flags包含svm标志	无svm或vmx字段
lsmod | grep kvm	kvm_amd、kvm存在	模块未加载
dmesg | grep -i virtualization	“Using SVM”提示	“SVM: disabled by BIOS”
kvm-ok（来自cpu-checker包）	VT-x/SVM enabled	not available
systemctl status libvirtd	active (running)	failed due to no KVM

4. BIOS层面排查要点

海光C86基于Zen架构衍生设计，其虚拟化开关位于高级CPU配置中，常见名称包括：

• SVM Mode → 设置为Enabled
• Nested Paging → 建议开启以提升性能
• IOMMU → 必须启用以支持设备直通
• Secure Boot → 某些版本会干扰KVM模块签名验证

注意：部分主板存在“Save & Exit”后设置未持久化的问题，需重启二次进入BIOS确认状态。

5. 内核与GRUB参数影响分析

即使BIOS开启SVM，以下内核参数可能禁用虚拟化：

# 错误配置示例：
GRUB_CMDLINE_LINUX="... kvm.ignore_msrs=1 kvm.disabled=1 ..."

# 正确配置应移除上述限制：
GRUB_CMDLINE_LINUX="... intel_iommu=on iommu=pt ..."
    

执行grub2-mkconfig -o /boot/grub2/grub.cfg后需重启生效。

6. SELinux与安全模块的潜在干扰

在强制模式下，SELinux可能阻止QEMU进程访问/dev/kvm设备。可通过以下方式验证：

# 查看audit日志：
ausearch -m avc -ts recent | grep kvm

# 临时设为宽容模式测试：
setenforce 0
    

若问题消失，则需调整SELinux策略或添加相应规则。

7. 固件与驱动兼容性矩阵

海光C86型号	最低推荐BIOS版本	兼容内核版本	已知问题
C86-3250	2.00.00-DH-1.3.1	5.10+	旧版BIOS忽略SVM设置
C86-4384	3.11	5.15+	需关闭Hyper-Threading模拟
C86-2P	1.22	4.19+	ACPI _CRS资源冲突
C86-7385	4.05	6.1+	需更新ucode_amd.bin

8. 自动化检测脚本示例

#!/bin/bash
echo "=== 检测海光C86虚拟化支持状态 ==="
grep -q svm /proc/cpuinfo && echo "[PASS] CPU支持SVM" || echo "[FAIL] 未检测到SVM标志"
dmesg | grep -i svm | grep -q "disabled" && echo "[WARN] SVM被BIOS或内核禁用"
lsmod | grep -q kvm_amd && echo "[INFO] KVM-AMD模块已加载"
[ -c "/dev/kvm" ] && echo "[PASS] /dev/kvm设备存在" || echo "[FAIL] KVM设备缺失"
    

9. Mermaid流程图：故障诊断决策树

graph TD
            A[虚拟化不可用] --> B{BIOS中SVM是否启用?}
            B -- 否 --> C[进入BIOS开启SVM模式]
            B -- 是 --> D[检查/proc/cpuinfo是否有svm]
            D -- 无svm --> E[刷新BIOS至最新版本]
            D -- 有svm --> F[检查dmesg日志]
            F --> G{日志是否显示SVM disabled?}
            G -- 是 --> H[检查GRUB参数是否禁用KVM]
            G -- 否 --> I[尝试手动加载kvm-amd模块]
            I --> J{模块加载成功?}
            J -- 否 --> K[检查CPU微码更新]
            J -- 是 --> L[验证SELinux与udev规则]

10. 高级调试手段：微码与ACPI分析

对于深层问题，可使用如下方法：

• 通过cpuid工具直接查询CPU功能位（EAX=0x8000000A）
• 提取DSDT表并反编译：iasl -d /sys/firmware/acpi/tables/DSDT
• 使用rdmsr检查MSR_VM_CR（0xC0010114）寄存器值
• 加载调试版内核并启用CONFIG_KVM_DEBUG_FS
• 在initramfs阶段插入kvm模块测试早期加载可行性

部分海光平台存在MSR写保护机制，默认锁定SVM_ENABLE位，需通过特定厂商工具解锁。