arm/arm64: KVM: Fix migration race in the arch timer
authorChristoffer Dall <christoffer.dall@linaro.org>
Fri, 13 Mar 2015 17:02:55 +0000 (17:02 +0000)
committerChristoffer Dall <christoffer.dall@linaro.org>
Sat, 14 Mar 2015 12:48:00 +0000 (13:48 +0100)
commit1a74847885cc87857d631f91cca4d83924f75674
tree3b0e150dea2b18e21d0b7538237050160ea718e1
parent47a98b15ba7cf6a13bd94ab8455d3f586b16420b
arm/arm64: KVM: Fix migration race in the arch timer

When a VCPU is no longer running, we currently check to see if it has a
timer scheduled in the future, and if it does, we schedule a host
hrtimer to notify is in case the timer expires while the VCPU is still
not running.  When the hrtimer fires, we mask the guest's timer and
inject the timer IRQ (still relying on the guest unmasking the time when
it receives the IRQ).

This is all good and fine, but when migration a VM (checkpoint/restore)
this introduces a race.  It is unlikely, but possible, for the following
sequence of events to happen:

 1. Userspace stops the VM
 2. Hrtimer for VCPU is scheduled
 3. Userspace checkpoints the VGIC state (no pending timer interrupts)
 4. The hrtimer fires, schedules work in a workqueue
 5. Workqueue function runs, masks the timer and injects timer interrupt
 6. Userspace checkpoints the timer state (timer masked)

At restore time, you end up with a masked timer without any timer
interrupts and your guest halts never receiving timer interrupts.

Fix this by only kicking the VCPU in the workqueue function, and sample
the expired state of the timer when entering the guest again and inject
the interrupt and mask the timer only then.

Signed-off-by: Christoffer Dall <christoffer.dall@linaro.org>
Signed-off-by: Alex Bennée <alex.bennee@linaro.org>
Signed-off-by: Christoffer Dall <christoffer.dall@linaro.org>
arch/arm/kvm/arm.c
include/kvm/arm_arch_timer.h
virt/kvm/arm/arch_timer.c