Gentoo中文社区

[ ]   AML debugger interface
[]   ACPI Serial Port Console Redirection Support
[ ]   ACPI Firmware Performance Data Table (FPDT) support
[]   Allow supported ACPI revision to be overridden
<>   EC read/write access through /sys/kernel/debug/ec
<>   AC Adapter
<>   Battery
{}   Button
-M-   Video
{}   Fan
<>   ACPI Time and Alarm (TAD) Device Support
[]   Dock
--   Processor
<>   IPMI
<>   Processor Aggregator
<>   Thermal Zone
[]   Allow upgrading ACPI tables via initrd
[]   Debug Statements
[]   PCI slot detection driver
--   Container and Module Devices
[]   Memory Hotplug
<>   Smart Battery System
--   Hardware Error Device
<>   Allow ACPI methods to be inserted/replaced at run time
[]   APEI memory error recovering support
   APEI Error INJection (EINJ)
< >   APEI Error Record Serialization Table (ERST) Debug Support               
[ ]   Intel DPTF (Dynamic Platform and Thermal Framework) Support  ---->
   Extended Error Log support
   ACPI configfs support
< >   ACPI Platform Firmware Runtime Update and Telemetry
[]   ACPI PCC Address Space
[ ]   ACPI FFH Address Space
[]   PMIC (Power Management Integrated Circuit) operation region support  --->
[]   Platform Runtime Mechanism Support

[ ]   Remove the kernel mapping in user mode
翻译:在用户模式下删除内核映射
说明:是一种将Highmem页面映射到内核空间的技术

[ ]   Avoid speculative indirect branches in kernel
翻译:避免内核中的推测性间接分支
说明:待确定作用

[ ]     Enable return-thunks
翻译:启用返回thunks
说明:Thunk 的编程思维与原生 Promise 是一致的，原生 Promise 能实现的异步业务组合，Thunk 都能实现。区别有以下几点：

    原生 Promise 出现在 ES6，Thunk 没有使用特别的 JS 特性，ES3 下都能完美运行。
    Promise 封装出来的是个对象，异步业务隐藏在 promise 对象中，promise对象的方法或属性值可能被改写（入侵）；Thunk 封装出来是一个 thunk 函数，异步业务隐藏在函数里，对外而言就是一个黑盒，不会受到外部的入侵。
    Promise 通常自称符合函数式编程，但 Thunk 更符合函数式编程，而且是标准的 CPS 风格。
    功能同样强大，但 Thunk 的 API 更简洁一致，Thunk 封装也更简洁。
    Thunk 拥有完美的 debug 模式，Promise 好像没有？
    Thunk 的性能是原生 Promise 的4倍。

关于 Thunk 的 demo，可以看看 examples，用超乎你想象的简洁方式进行异步编程。

[ ] Enable UNRET on kernel entry
翻译:对内核条目启用UNRET
说明:待确定作用

[ ]   Mitigate RSB underflow with call depth tracking
翻译:通过呼叫深度跟踪减少RSB下溢
说明:待确定作用

[ ]     Enable call thunks and call depth tracking debugging
翻译:启用调用thunks和调用深度跟踪调试
说明:待确定作用

[ ]   Enable IBPB on kernel entry
翻译:在内核条目上启用IBPB
说明:待确定作用

[ ]   Enable IBRS on kernel entry
翻译:在内核条目上启用IBRS
说明:待确定作用

[ ]   Mitigate speculative RAS overflow on AMD
翻译:缓解AMD上的推测性RAS溢出
说明:待确定作用

[ ]   Mitigate Straight-Line-Speculation
翻译:减少直线推测
说明:straight-line speculation 漏洞的保护机制

[ ]   Force GDS Mitigation
翻译:强制GDS缓解
说明:待确定作用

附注：
参考一下网站：
https://access.redhat.com/documentation … rs_changes
https://blog.csdn.net/Linux_Everything/ … /122207171

( ) Opteron/Athlon64/Hammer/K8
翻译:
说明: AMD推出的

( ) Intel P4 / older Netburst based Xeon
翻译:
说明:Intel推出的

( ) Core 2/newer Xeon  support
翻译:
说明:Intel推出的

( ) Intel Atom                        latforms
翻译:
说明:Intel推出的

( ) Generic-x86-64                 debugfs
翻译:
说明:

[] Symmetric multi-processing support
翻译:对称多处理支持
说明:SMP(对称多处理器)支持,如果你有多个CPU或者使用的是多核CPU就选上

  -- Support x2apic
翻译:x2apic支持
说明:x2apic支持.具有这个特性的CPU可以使用32位的APIC ID(可以支持海量的CPU),并且可以使用MSR而不是mmio去访问 local APIC
(更加高效).可以通过"grep x2apic
/proc/cpuinfo"命令检查你的CPU是否支持这个特性.注意:有时候还需要在BIOS中也开启此特性才真正生效.[提示]在虚拟机中,还需要
VMM的支持(例如qemu-kvm).

  [] Enable MPS table
翻译:启用MPS表
说明:如果是不支持acpi特性的古董级SMP系统就选上.但现今的64位系统早都已经支持acpi了,所以可以安全的关闭

  [] x86 CPU resource control support
翻译:x86 CPU资源控制支持
说明:

  [] Support for extended (non-PC) x86 platforms
翻译:支持扩展（非PC）x86平台
说明:支持非标准的PC平台: Numascale NumaChip, ScaleMP vSMP, SGI Ultraviolet. 绝大多数人都遇不见这些平台

  [ ] Numascale NumaChip
翻译:
说明:支持非标准的PC平台: Numascale NumaChip, ScaleMP vSMP, SGI Ultraviolet. 绝大多数人都遇不见这些平台

  [ ] ScaleMP vSMP
翻译:
说明:支持非标准的PC平台: Numascale NumaChip, ScaleMP vSMP, SGI Ultraviolet. 绝大多数人都遇不见这些平台

  [] SGI Ultraviolet
翻译:
说明:支持非标准的PC平台: Numascale NumaChip, ScaleMP vSMP, SGI Ultraviolet. 绝大多数人都遇不见这些平台

  [ ] Goldfish (Virtual Platform)
翻译:
说明:Goldfish是一种虚拟的ARM处理器，在Android的仿真环境中使用

  [ ] Intel MID platform support
翻译:Intel MID平台支持
说明:

  [] Intel Low Power Subsystem Support
翻译:英特尔低功耗子系统支持
说明:为了支持Intel低功耗子系统,就启用这个特性

  [] AMD ACPI2Platform devices support
翻译:
说明:为AMD Carrizo以及后继架构的I2C,UART,GPIO提供支持.

  -- Intel SoC IOSF Sideband support for SoC platforms
翻译:针对SoC平台的Intel SoC IOSF边带支持
说明:为主打低功耗的Intel SoC平台CPU开启"sideband"寄存器访问支持.这些CPU包括:BayTrail,Braswell,Quark

  [ ]   Enable IOSF sideband access through debugfs
翻译:通过调试启用IOSF边带访问
说明:待确定作用

  [] Single-depth WCHAN output
翻译:单深度WCHAN输出
说明:使用简化的 /proc/<PID>/wchan 值,禁用此选项会使用更加精确的wchan值(可以在"ps -l"结果的WCHAN域看到),但会轻微增加调度器消耗.

  [] Linux guest support  --->
翻译:Linux来宾支持
说明:

  Processor family (Generic-x86-64)  --->
翻译:处理器系列（通用-x86-64）
说明: 当前有的选项包括Pentium4、Athlon64、Core2和Atom，根据你的CPU进行选择。 然后你还可以顺便把和你系统无关的东西关掉，例如去掉针对AMD CPU的优化，去掉Server系统可能没有的无线网卡等硬件。这么做，可以缩小内核的尺寸。

  [] Old AMD GART IOMMU support
翻译:旧AMD GART IOMMU支持
说明:AMD平台相关

  [] Enable Maximum number of SMP Processors and NUMA Nodes
翻译:启用SMP处理器和NUMA节点的最大数量
说明:让内核支持x86_64平台所能支持的最大SMP处理器数量和最大NUMA节点数量.主要用于调试目的

  [] Cluster scheduler support
翻译:群集调度程序支持
说明:

  [] Multi-core scheduler support
翻译:多核心调度器支持
说明:针对多核CPU进行调度策略优化

  []   CPU core priorities scheduler support
翻译:CPU核心优先级调度器支持
说明:改进的多核调度支持,稍微耗资源,对核心较少的CPU用处不大

  [] Reroute for broken boot IRQs
翻译:为损坏的启动IRQ重新路由
说明:这是一个对某些芯片组bug(在某些情况下会发送多余的"boot IRQ")的修复功能.开启此选项之后,仅对有此bug的芯片组生效.要检查哪些芯片组有此bug可以查看"drivers/pci/quirks.c"文件中的"quirk_reroute_to_boot_interrupts_intel"函数

  [] Machine Check / overheating reporting
翻译:机器检查/过热报告
说明:MCE(Machine Check Exception)支持.让CPU检测到硬件故障(过热/数据错误)时通知内核,以便内核采取相应的措施(如显示一条提示信息或关机等).更多信息可以"man mcelog"看看.可以通过"grep mce /proc/cpuinfo"检查CPU是否支持此特性,若支持建议选中,否则请关闭.当然,如果你对自己的硬件质量很放心,又是桌面系统的话,不选也无所谓.

  []   Support for deprecated /dev/mcelog character device
翻译:支持弃用的/dev/mcelog字符设备
说明:待确定作用

  []   Intel MCE features
翻译:英特尔MCE功能
说明:这是一种额外的对像热度监控的Intel MCE特性的支持。机器检测异常(MCE)是一种当处理器发现硬件问题时的错误输出。MCE通常会导致内核严重错误(kernel panic)(相当于Windows中的"蓝屏")

  []   AMD MCE features
翻译:AMDMCE功能
说明:这是一种额外的对像热度监控的Intel MCE特性的支持。机器检测异常(MCE)是一种当处理器发现硬件问题时的错误输出。MCE通常会导致内核严重错误(kernel panic)(相当于Windows中的"蓝屏")

  <M> Machine check injector support
翻译:机器检查喷油器支架
说明:让CPU检测到系统故障时通知内核,以便内核采取相应的措施

      Performance monitoring  --->
翻译:性能监控
说明:待确定作用

  [] IOPERM and IOPL Emulation
翻译:IOPERM和IOPL仿真
说明:对于旧程序提供IO调度支持

  [ ] Late microcode loading (DANGEROUS)
翻译:微代码加载延迟（危险）
说明:待确定作用

  < > /dev/cpu/*/msr - Model-specific register support
翻译:/dev/cpu/*/msr-特定于型号的寄存器支持
说明:是否打开Pentium CPU特殊功能寄存器的功能？这个选项桌面用户一般用不到，它主要用在Intel的嵌入式CPU中的，这个寄存器的作用也依赖与不同的CPU类型而有所不同，一般可以用来改变一些CPU原有物理结构的用途，但不同的CPU用途差别也很大。

  < > /dev/cpu/*/cpuid - CPU information support
翻译:/dev/cpu/*/cpuid-cpu信息支持
说明:是否打开记录Petium CPU相关信息功能？这会在/dev/cpu中建立一系列的设备文件，用以让过程去访问指定的CPU。一般不用选

  [] Enable 5-level page tables support
翻译:开启Linux的5级页表支持
说明:未来发展趋势，建议直接读源码，后续会分析源码,可参考：https://zhuanlan.zhihu.com/p/641479824?utm_id=0

  [ ] Enable statistic for Change Page Attribute
翻译:启用更改页属性的统计信息
说明:待确定作用

  [] AMD Secure Memory Encryption (SME) support
翻译:AMD安全内存加密（SME）支持
说明:待确定作用

  [ ]   Activate AMD Secure Memory Encryption (SME) by default
翻译:默认情况下激活AMD安全内存加密（SME）
说明:待确定作用

  [] NUMA Memory Allocation and Scheduler Support
翻译:NUMA内存分配和调度程序支持
说明:开启 NUMA(Non Uniform Memory Access) 支持.虽然说集成了内存控制器的CPU都属于NUMA架构.但事实上,对于大多数只有一颗物理CPU的个人电脑而言,即使支持NUMA架构,也没必要开启此特性.可以参考SMP/NUMA/MPP体系结构对比.此外,对于不支持"虚拟NUMA",或"虚拟NUMA"被禁用的虚拟机(即使所在的物理机是NUMA系统),也应该关闭此项

  []   Old style AMD Opteron NUMA detection
翻译:老式AMD Opteron NUMA检测
说明:AMD使用一种旧式的方法读取NUMA配置信息(新式方法是CONFIG_X86_64_ACPI_NUMA),所以如果你使用的是AMD多核CPU,建
议开启.不过,即使开启此选项,内核也会优先尝试CONFIG_X86_64_ACPI_NUMA方法,仅在失败后才会使用此方法,所以即使你不能确定
CPU的类型也可以安全的选中此

  []   ACPI NUMA detection
翻译:ACPI NUMA检测
说明:使用基于 ACPI SRAT(System Resource Affinity Table) 技术的NUMA节点探测方法.这也是检测NUMA节点信息的首选方法,建议选中

  [ ]   NUMA emulation
翻译:NUMA仿真
说明:即非一致性内存访问，是一种关于多个CPU如何访问内存的架构模型,参考:https://zhuanlan.zhihu.com/p/643610982

  [] Enable sysfs memory/probe interface
翻译:启用sysfs内存/探测接口
说明:sysfs文件系统,它的作用是将设备和驱动程序的信息导出到用户空间,方便了用户读取设备信息,同时支持修改和调整

  <M> Support non-standard NVDIMMs and ADR protected memory
翻译:支持非标准NVDIMM和ADR保护的内存
说明:支持 Intel Sandy Bridge-EP 处理器使用的不符合NVDIMM规范的非易失内存(以电容做后备电力且掉电后不会丢失数据的内存).仅有某些高端服务器才会使用这种外带电容供电的内存

  [] Check for low memory corruption
翻译:检查内存是否低损坏
说明:低位内存脏数据检查,即使开启此选项,默认也不会开启此功能(需要明确使用"memory_corruption_check=1"内核引导选项).这些脏
数据通常被认为是有bug的BIOS引起的,默认每60秒(可以通过memory_corruption_check_period内核参数进行调整)扫
描一次0-64k(可以通过memory_corruption_check_size内核参数进行调整)之间的区域.这种检查所占用的开销非常小,基本
可以忽略不计.如果始终检查到错误,则可以通过"memmap="内核引导参数来避免使用这段内存.一般没必要选中,如果你对BIOS不放心,带着它试运
行一段时间,确认没问题之后再去

  [ ]   Set the default setting of memory_corruption_check
翻译:设置memory_corrupon_check的默认设置
说明:设置memory_corruption_check的默认值,选中表示默认开启(相当于使用"memory_corruption_check=1"内核引导选项),不选中表示默认关闭

  -- MTRR (Memory Type Range Register) support
翻译:MTRR（内存类型范围寄存器）支持
说明:MTRR(Memory type range registers)是CPU内的一组MSR(Model-specific
registers),其作用是告诉CPU以哪种模式(write-back/uncachable/...)存取各内存区段效率最高.这对于AGP
/PCI显卡意义重大,因为write-combining技术可以将若干个总线写传输捆绑成一次较大的写传输操作,可以将图像写操作的性能提高2.5倍
或者更多.这段代码有着通用的接口,其他CPU的寄存器同样能够使用该功能.简而言之,开启此选项是个明智的选择

  []   MTRR cleanup support
翻译:MTRR清理支持
说明:MTRR cleanup的功能是将MTRR中的内存布局由连续布局转化为离散布局,这样X驱动就可以在其中添加writeback项(也就是一个内存段),算是一种优化措施.建议开启.可以使用"mtrr_chunk_size"来限制每段内存的最大尺寸

  (0)     MTRR cleanup enable value (0-1)
翻译:
说明:"1"表示默认开启CONFIG_MTRR_SANITIZER特性,相当于使用"enable_mtrr_cleanup","0"表示默认关闭
CONFIG_MTRR_SANITIZER特性,相当于使用"disable_mtrr_cleanup".建议图形界面用户设为"1".仅在开启后导
致无法正常启动或者显卡驱动不能正常工作的情况下才需要关闭

  (1)     MTRR cleanup spare reg num (0-7)
翻译:
说明:这里设定的值等价于使用内核引导参数"mtrr_spare_reg_nr=N"中的"N".也就是告诉内核有多少个内存段(reg)可以被清理或改写(参
见"/proc/mtrr"文件).在多数情况下默认值是"1",其含义是最多允许使用1个空闲的"reg".一般保持其默认值即可.修改此项的值通常是
为了解决某些MTRR故障.

  [] Indirect Branch Tracking
翻译:间接分支跟踪
说明:对应用程序使用 “CPU jump“ 的函数表（该函数表包含跨程序的内存地址）的能力进行限制和添加其他保护,据悉，幽灵、熔断漏洞是 Google Project Zero 团队此前发现的三个安全漏洞变体的统称，该漏洞可利用分支预测执行 （speculative execution）特性中一个硬件缺陷使其按照攻击者规划的方向进行预测执行从获取某些机密信息。而最近新发现的 Spoiler 漏洞也正是基于此。此类漏洞仅仅凭借软件层面的修复是完全不够的，但硬件层面的修复往往伴随着性能损失，故此 CET 技术或无形之中提高了英特尔处理器在未来的性能

  [] Memory Protection Keys
翻译:内存保护密钥
说明:Intel MPK 是一个有效的提供数据权限隔离的手段，并且性能十分地高效，切换权限仅需要 20 个左右的 CPU 指令周期。可是挑战在于：1）MPK 只能针对用户态的页，该如何用在特权模式下做同级隔离；2）当应用程序调用内核函数时，权限切换该如何设计；3）MPK 不能够控制内存页的可执行权限，该如何防止 ROP[39]等类似的代码复用攻击

      TSX enable mode (off)  --->
翻译:TSX启用模式（关闭）
说明:这也是一项牺牲内核安全性换取性能的实现。英特尔事务扩展技术（TSX）是intel为旗下的CPU开发的一项优化指令集，但是存在僵尸负载漏洞（ZombieLoad）。

  [] Software Guard eXtensions (SGX)
翻译:软件保护扩展（SGX）
说明:Intel Software Guard Extensions（Intel SGX）为云计算和企业环境提供了基于硬件的数据安全控制。它通过硬件级别的内存加密，将特定的应用程序代码和数据隔离在内存中。

该功能的目标是像一个倒置的沙盒，不是保护系统免受恶意代码的影响，而是保护应用程序免受被入侵的内核、虚拟机监视器或其他应用程序的影响。

Intel SGX的基本能力是通过为程序代码、数据和关键知识产权提供更高级别的隔离和认证，从操作系统、应用程序和硬件平台上减少软件受攻击的风险。Intel SGX已被用于增强多个用例和应用程序的安全性

  [ ] X86 userspace shadow stack
翻译:X86用户空间影子堆栈
说明:待确定作用

  [] EFI runtime service support
翻译:EFI运行时服务支持
说明:EFI/UEFI支持.如果你打算在UEFI/EFI平台上安装Linux(2010年之后的机器基本都已经是UEFI规格了),那么就必须开启此项(开启后也依然可以在传统的BIOS机器上启动).UEFI启动流程与传统的BIOS相差很大.虽然Linux受到了所谓"安全启动"问题的阻挠(已经解决),但是UEFI依然将迅速一统江湖.[提示]在UEFI平台上安装Linux的关键之一是首先要用一个支持UEFI启动的LiveCD以UEFI模式启动机器

  []   EFI stub support
翻译:EFI存根支持
说明:EFI stub支持.如果开启此项,就可以不通过GRUB2之类的引导程序来加载内核,而直接由EFI固件进行加载,这样就可以不必安装引导程序了.不过这是一个看上去
很美的特性,由于EFI固件灵活性比GRUB2差许多,所以缺点有三:(1)不能在传统的BIOS机器上启动.(2)给内核传递引导参数很麻烦(需要使
用"efibootmgr
-u").(3)不能使用intrd[待修正,可使用"initrd="].不过,针对后两点的解决办法是:使用CONFIG_CMDLINE和
CONFIG_INITRAMFS_SOURCE.更多细节可参考"Documentation/x86/efi-stub.txt"文档

  []     EFI handover protocol (DEPRECATED)
翻译:EFI切换协议（已弃用）
说明:

  []     EFI mixed-mode support
翻译:EFI混合模式支持
说明:允许在32位固件上启动64位内核.选"N".

  [ ]   Enable EFI fake memory map
翻译:启用EFI伪内存映射
说明:选"Y"等价于使用"efi_fake_mem"内核引导参数,仅供调试使用

      Timer frequency (300 HZ)  --->
翻译:定时器频率（300赫兹）
说明:Linux 内核中有大量的函数需要时间管理，比如周期性的调度程序、延时程序等。硬件定时器提供时钟源，时钟源的频率可以设置， 设置好以后就周期性的产生定时中断，系统使用定时中断来计时

  (0x1000000) Physical address where the kernel is loaded
翻译:加载内核的物理地址
说明:加载内核的物理地址.如果内核不是可重定位的(CONFIG_RELOCATABLE=n),那么bzImage会将自己解压到该物理地址并从此地址开始运
行,否则,bzImage将忽略此处设置的值,而从引导装载程序将其装入的物理地址开始运行.仅在你确实知道自己是在干什么的情况下才可以改变该值,否则
请保持默认

  -- Build a relocatable kernel
翻译:构建可重定位内核
说明:使内核可以在浮动的物理内存位置加载,主要用于调试目的.仅在你确实知道为什么需要的时候再开启,否则请关闭

  []   Randomize the address of the kernel image (KASLR)
翻译:随机化内核映像的地址（KASLR）
说明:KASLR技术允许kernel image加载到VMALLOC区域的任何位置。当KASLR关闭的时候，kernel image都会映射到一个固定的链接地址。对于黑客来说是透明的，因此安全性得不到保证。KASLR技术可以让kernel image映射的地址相对于链接地址有个偏移。偏移地址可以通过dts设置。如果bootloader支持每次开机随机生成偏移数值，那么可以做到每次开机kernel image映射的虚拟地址都不一样。因此，对于开启KASLR的kernel来说，不同的产品的kernel image映射的地址几乎都不一样。因此在安全性上有一定的提升

  (0x1000000) Alignment value to which kernel should be aligned
翻译:内核应该与之对齐的对齐值
说明: 内核编译、运行时的物理地址匹配,不要更改该值除非你知道你在干嘛

  [] Randomize the kernel memory sections
翻译:随机化内核内存部分
说明:堆栈随机化是一项安全增强，它允许对系统调用发生时，内核使用的堆栈添加一个随机偏移。这给基于stack的攻击增加了难度，因为stack攻击通常要求stack有个固定的layout。现在每次系统调用，stack的layout都变化的话，攻击就无规律可寻了

  [ ] Linear Address Masking support
翻译:线性地址屏蔽支持
说明: 线性地址掩码（Linear Address Masking，LAM ) 是一种允许软件使用 64 位线性地址中未翻译的地址位，来存储元数据的 CPU 硬件特征。现各 CPU 厂商以不同的形式实现了这一技术，其中 Intel 将其命名为 LAM，AMD 将其命名为高位地址忽略（Upper Address Ignore，UAI），Arm 称之为高字节忽略 ( Top Byte Ignore，TBI )

  [ ] Disable the 32-bit vDSO (needed for glibc 2.3.3)
翻译:禁用32位vDSO
说明:vDSO机制（virtual dynamic shared object，虚拟动态共享对象）是kernel提供的一个优化，用来减少某些频繁调用的系统调用的时间开销。vDSO是在kernel提供的内存空间里面的一小块区域，通常都会被map到每个user-space进程的地址空间里去。这块区域里面包含了系统调用的实现，在某些情况下可以在user-space上下文就执行这些系统调用的工作。这样就能让调用者避免真的走完整的系统调用流程，从而能避免进出kernel产生上下文切换的开销。跟timekeeping有关的系统调用例如gettimeofday()都由vDSO实现了，因为这类调用需要在user space快速完成，并且调用的也特别频繁

      vsyscall table for legacy applications (Emulate execution only)  --->
翻译:用于遗留应用程序的vsyscall表
说明:设置内核引导参数"vsyscall=[native|emulate|none]"的值.对于使用Glibc-2.14以上版本的系统来说,如果不需要使用特别老旧的静态二进制程序,应该将此项设为"None"以提升性能与安全性

  [ ] Built-in kernel command line
翻译:内置内核命令行
说明:将内核引导参数直接编进来.在无法向内核传递引导参数的情况下(比如在嵌入式系统上,或者想使用 EFI stub kernel),这就是唯一的救命稻草了.如果你使用grub之类的引导管理器,那么就可以不需要此特性

  [ ] Enforce strict size checking for sigaltstack
翻译:对sigaltstack强制执行严格的大小检查
说明:待确定作用

  [] Kernel Live Patching
翻译:内核实时修补程序
说明:

- - Kernel performance events and counterspert users)
翻译:内核性能事件和反专家用户
说明:

   [ ]   Debug: use vmalloc to back perf mmap() buffers
翻译:调试：使用vmalloc备份perf-mmap（）缓冲区
说明:主要用于调试vmalloc代码.

--   UTS namespace
翻译:UTS命名空间
说明:uname()系统调用的命名空间支持

[]   TIME namespace
翻译:TIME命名空间
说明:time namespace使用类似UTS namespace的方法允许不同进程看到不同的系统时间

--   IPC namespace
翻译:IPC命名空间
说明:进程间通信对象ID的命名空间支持

--   User namespace
翻译:用户命名空间
说明:允许容器使用user命名空间.如果开启此项,建议同时
开启CONFIG_MEMCG和CONFIG_MEMCG_KMEM选项,以允许用户空间使用"memory
cgroup"限制非特权用户的内存使用量.systemd服务单元(service
unit)中的"PrivateUsers="指令依赖于它.如果你打算构建一个VPS服务器也必须选"Y".

--   PID Namespaces
翻译:进程PID命名空间
说明:进程PID命名空间支持

--   Network namespace
翻译:网络协议栈的命名空间
说明:网络协议栈的命名空间支持.systemd服务单元(service unit)中的"PrivateNetwork=/PrivateDevices="指令依赖于它.

[ ] Make expert-level adjustments to RCU configuration
翻译:对RCU配置进行专家级调整
说明:

  - - Offload RCU callback processing from boot-selected CPUs
翻译:从引导选定的CPU卸载RCU回调处理
说明:帮助调试内核可以开启,否则请关闭.

  [ ]   Offload RCU callback processing from all CPUs by default
翻译:默认情况下，从所有CPU卸载RCU回调处理
说明:待确定作用

  [ ] RCU callback lazy invocation functionality
翻译:RCU回调延迟调用功能
说明:待确定作用

- - Enable bpf() system
翻译:启用伯克利数据包过滤器
说明:

  [ ] Enable BPF Just In Time compiler
翻译:启用BPF实时编译器
说明:

  [ ]   Permanently enable BPF JIT and remove BPF interpreter
翻译:永久启用BPF JIT并删除BPF解释器
说明:待确定用途

  [ ] Disable unprivileged BPF by default
翻译:默认情况下禁用无特权BPF
说明:

  [ ] Preload BPF file system with kernel specific program and map iterators  --->
翻译:使用内核特定程序和映射迭代器预加载BPF文件系统
说明:

          --- Preload BPF file system with kernel specific program and map iterators
           翻译:使用内核特定程序和映射迭代器预加载BPF文件系统
           说明:

          <M>   bpf_preload kernel module
           翻译:bpf预加载内核模块
           说明:

  [ ] Enable BPF LSM Instrumentation
翻译:启用BPF LSM检测
说明:当前用于提的遥测内核基础结构（审计，性能等）与访问强制（即LSM）脱节。增强审核提供的信息需要更改内核，审核，其策略语言和用户空间组件。此外，基于新添加的遥测数据构建MAC策略需要更改各种LSM及其各自的策略语言。新版本中增加了一个新的LSM，允许将BPF程序附加到LSM hook，这有助于统一和动态审核和MAC策略。

附注：
BPF原来是Berkely Packet Filter(伯克利数据包过滤器)的缩写，原来是提升pcap过滤性能的，比当时最快的包过滤技术快20倍，只所以性能高，是因为它工作在内核中，避免包从内核态复制到用户态所以速度快，后来Alexei Starovoitov 大牛在2014年重新实现了BPF，将其扩展成了通用的执行引擎，称为eBPF，官方缩写仍是BPF。

简单解释BPF作用，BPF提供了一种当内核或应用特定事件发生时候，执行一段代码的能力。BPF 采用了虚拟机指令规范，所以也可以看一种虚拟机实现，使我们可以在不修改内核源码和重新编译的情况下，提供一种扩展内核的能力的方法。

BPF程序不像一般程序可以独立运行，它是被动运行的，需要事件触发才能运行，有点类似js里面的监听，监听到按钮点击执行一小段代码。这些事件包括系统调用，内核跟踪，内核函数，用户函数，网络事件等。

具体能干嘛那，作用还是很强大,可以进行系统故障诊断，因为其有透视内核的能力;网络性能优化，因为它可以在内核态接收网络包，并做修改和转发;系统安全，因为它可以中断非法连接等;性能监控，因为其透视能力，可以查看函数耗费时间从而我们可以知道问题到底出在哪里。

[ ] Compile also drivers which will not load
翻译:编译同时不加载驱动程序
说明:用于调试驱动程序,通常不需要

   [ ] Compile the kernel with warnings as errors
翻译:编译内核时将警告作为错误
说明:编译器应该如何处理警告,有助于提高内核代码的质量和稳定性,需要

   ()  Local version - append to kernel release
翻译:本地版本-附加到内核版本
说明:开发人员可以给定一个特殊版本号或命名他们自定义的内核 ,通常不需要

   [ ] Automatically append version information to the version string
翻译:自动将版本信息附加到版本字符串
说明:自动增加版本信息到版本字符串,通常不需要

   ()  Build ID Salt
翻译:创建id名字
说明:待确定作用

       Kernel compression mode (Gzip)  --->
翻译:内核压缩模式
说明:内核压缩模式,默认Gzip

   ()  Default init path
翻译:默认初始化路径
说明:待确定作用

   ((none)) Default hostname
翻译:系统主机名
说明:自定义在用户根系统未加载之前的主机Hostname，除了网络启动一般不用

   -*- System V IPC
翻译:System V 进程通信消息列队
说明:SYSTEM V的接口使用时间比较久，应用广泛，很多旧的产品功能采用

   [] POSIX Message Queues
翻译:POSIX 进程通信消息列队
说明:POSIX的接口设计较好，学习使用都比较容易

附注：(详情请网络查询)
一、posix消息队列与system v消息队列的差别：
1、对posix消息队列的读总是返回最高优先级的最早消息，对system v消息队列的读则可以返回任意指定优先级的消息。
2、当往一个空队列放置一个消息时，posix消息队列允许产生一个信号或启动一个线程，system v消息队列则不提供类似机制。

二、队列中的每个消息具有如下属性：
1、一个无符号整数优先级(posix)或一个长整数类型(system v)
2、消息的数据部分长度(可以为0)
3、数据本身(如果长度大于0)

   [] General notification queue
翻译:内核的通用通知队列
说明:通用通知机制是建立在标准管道驱动之上的，它可以有效地将来自内核的通知消息拼接到用 户空间打开的管道中

   [] Enable process_vm_readv/writev syscalls
翻译:启用process_vm_readv/writev系统调用
说明:用于在多个进程的地址空间之间,高效传输大块数据
> 使能这两个系统调用，这些调用允许具有正确权限的进程直接读取或写入另一个进程的地址空间。
> 现在它们只用于openMPI快速进程通信，也可以用于调试程序，未来也许还会有其他用途。看情况勾选

   [ ] uselib syscall (for libc5 and earlier)
翻译:uselib系统调用（用于libc5及更早版本）
说明:启用老旧的uselib()系统接口支持,仅在你需要使用基于libc5的古董级程序时才需要,推荐不选择
       
   [] Auditing support
翻译:审计支持
说明: 安全选项，与18-Security options相关。
内核有用日志记录事件的能力，比如记录系统调用和文件访问，管理员可以评审这些日志，
确定可能存在的安全裂口，比如失败的登录尝试，用户对系统文件不成功的访问。
这种功能称为Linux审计系统

       IRQ subsystem  --->
翻译: IRQ子系统
说明:当计算机的某个硬件设备需要处理器去执行某些工作时，该硬件会发出一个硬件信号，通知处理器去处理这个请求。这个信号就是IRQ。当处理器正在执行其他工作时，如果它收到周边设备传来的中断信号，它会停下来，优先处理这个信号代表的工作，完成后再继续处理之前未完成的工作

       --->>
          Expose irq internals in debugfs not load
          翻译:在未加载的调试中暴露irq内部
          说明:
   
       Timers subsystem  --->
翻译:计时器子系统
说明:负责在某个时间点触发中断,就是我们所说的分时系统

       BPF subsystem  --->
翻译:BPF 子系统
说明:BPF是一个工作在操作系统内核的数据包捕获机制,它先捕获链路层的数据包而后再过滤,最后将特定的过滤后的数据包提供给应用层

       Preemption Model (Voluntary Kernel Preemption (Desktop))  --->
翻译:抢占模型（自愿内核抢占（桌面））
说明:有三种
非强占式内核(服务器)
强占式内核(低延迟桌面)
voluntary kernel preemption(桌面)

   [] Preemption behaviour defined on boot
翻译:引导时定义的抢占行为
说明:允许在启动和运行时选择内核抢占模型

   [ ] Core Scheduling for SMT
翻译:SMT的核心调度
说明:> 不选，SMP(Processor type and features -> Symmetric multi-processing support）相关项。
> 同步多线程（SMT，Simultaneous Multithreading）技术。
> SMT技术是通过提升CPU核心后端执行单元的利用率，来提升整体的并行性能。
> 确切不需要那么多多线程性能，关闭此项杜绝可能的性能开销，以求极致的单核性能。
> 超过4核心可以考虑关闭。

       CPU/Task time and stats accounting  --->
翻译:CPU/进程的时间及状态统计
说明:

   -*- CPU isolation
翻译:CPU隔离
说明:CPU隔离功能，确保运行关键任务是不被打断。

       RCU Subsystem  --->
翻译:RCU子系统
说明:kernel非对称锁机制,对数据没有强一致性要求,适用于读多写少环境

   <*> Kernel .config support
翻译:Kernel.config支持
说明:将.config配置信息保存在内核中,选上它及它的子项使得其它用户能从/proc中得到内核的配置
                       
   []   Enable access to .config through /proc/config.gz
翻译:Enable access to .config through /proc/config.gz
说明:允许通过 /proc/config.gz 文件访问内核的配置信息

   < > Enable kernel headers through /sys/kernel/kheaders.tar.xz
翻译:通过/sys/kernel/kheaders.tar.xz启用内核标头
说明:编译kernel headers为一个模块，供需要时调用，不选。

   (18) Kernel log buffer size (16 => 64KB, 17 => 128KB)
翻译:
说明:内核日志文件大小调整，保持默认

   (12) CPU kernel log buffer size contribution (13 => 8 KB, 17 => 128KB)
翻译:
说明:内核日志文件大小调整,保持默认

   [ ] Printk indexing debugfs interface
翻译:Printk索引调试接口
说明:内核debug调试打印接口,可不选。

       Scheduler features  --->
翻译:调度器功能
说明:基于task的内核进程调度,可不选。

   [] Memory placement aware NUMA scheduler
翻译:内存位置感知NUMA调度程序
说明:> 不选，服务选项。关闭根据NUMA系统的节点分布状况进行进程/内存均衡(就是简单的内存移动)。
> 这个选项对UMA系统无效；或嵌入式Linux不需要。

   []   Automatically enable NUMA aware memory/task placement
翻译:自动启用支持NUMA的内存/任务放置
说明:不选，上一项的附属选项。NUMA自动调整。

   -*- Control Group support  --->
翻译:控制组支持
说明:是一种进程管理机制,可以针对一组进程进行系统资源的分配和管理,可用于Cpusets,CFS(完全公平调度器),内存管理等子系统.此外,systemd与Docker/LXC等容器也依赖于它

   -*- Namespaces support  --->
翻译:命名空间支持
说明:主要用于支持基于容器的轻量级虚拟化技术(比如LXC和Linux-VServer以及Docker).

   [] Checkpoint/restore support
翻译:检查点/恢复支持
说明:在内核中添加"检查点/恢复"支持.也就是添加一些辅助的代码用于设置进程的 text, data, heap 段,并且在 /proc 文件系统中添加一些额外的条目.用于检测两个进程是否共享同一个内核资源的kcmp()系统调用依赖于它.使用systemd的建议开启此项

   [] Automatic process group scheduling
翻译:自动进程组调度
说明:每个TTY动态地创建任务分组(cgroup),这样就可以降低高负载情况下的桌面延迟.也就是传说中的桌面"鸡血补丁",桌面用户建议开启.但服务器建议关闭.

   -*- Kernel->user space relay support (formerly relayfs)
翻译:内核->用户空间中继支持（以前为relayfs）
说明:内核空间向用户空间传递大量数据的接口，保持默认状态

   -*- Initial RAM filesystem and RAM disk (initramfs/initrd) support
翻译:初始RAM文件系统和RAM磁盘（initramfs/initrd）支持
说明:初始内存文件系统(initramfs,2.6以上内核的新机制,使用cpio格式,占据的内存随数据的增减自动增减)与初始内存盘(initrd,2.4以前内核遗留的老机制,使用loop设备,占据一块固定的内存,需要额外开启CONFIG_BLK_DEV_RAM选项才生效)支持,一般通过lilo/grub的initrd指令加载

   ()    Initramfs source file(s)
翻译:Initramfs源文件
说明:initramfs是编到内核中的一种根文件系统，使用的是cpio格式，处理流程和我们之前介绍的initrd机制的cpio格式的流程几乎一样，
只不过这个是编译到内核里的，需要用到时内核会自行解压使用

   []   Support initial ramdisk/ramfs compressed using gzip
翻译:支持使用gzip压缩初始化内存/ ramfs
说明:

   []   Support initial ramdisk/ramfs compressed using bzip2
翻译:略
说明:

   []   Support initial ramdisk/ramfs compressed using LZMA
翻译:略
说明:

   []   Support initial ramdisk/ramfs compressed using XZ
翻译:略
说明:

   []   Support initial ramdisk/ramfs compressed using LZO
翻译:略
说明:

   []   Support initial ramdisk/ramfs compressed using LZ4
翻译:略
说明:

   []   Support initial ramdisk/ramfs compressed using ZSTD
翻译:略
说明:

   -*- Boot config support
翻译:Boot配置支持
说明:编辑引导文件,必须

   [ ]   Force unconditional bootconfig processing
翻译:强制进行无条件的bootconfig处理
说明:辑引导文件

   [ ]   Embed bootconfig file in the kernel
翻译:在内核中嵌入bootconfig文件
说明:在嵌入式系统中，通常需要配置内核引导参数。这些参数可以通过一个名为bootconfig的文件来设置，该文件包含了内核引导时需要的配置信息。
要在Linux内核中嵌入bootconfig文件，你需要在内核的配置过程中指定bootconfig文件的位置。这通常是通过内核的配置系统完成的

   [] Preserve cpio archive mtimes in initramfs
翻译:在initramfs中保留cpio存档mtimes
说明:initramfs 根文件系统归档

       Compiler optimization level (Optimize for performance (-O2))  --->
翻译:编译器优化级别（针对性能进行优化（-O2））
说明:内核压缩级别，-0s可能会产生错误代码

   [ ] Configure standard kernel features (expert users)  --->
翻译:配置标准内核功能（专家用户）
说明:专家级别的调整内核配置，不选。

       Kernel Performance Events And Counters  --->
翻译:内核性能事件和计数器
说明:性能相关的事件和计数器支持(既有硬件的支持也有软件的支持).大多数现代CPU都会通过性能计数寄存器对特定类型的硬件事件(指令执行,缓存未命中,分支
预测失败)进行计数,同时又丝毫不会减慢内核和应用程序的运行速度.这些寄存器还会在某些事件计数到达特定的阈值时触发中断,从而可以对代码进行性能分
析. Linux Performance Event 子系统对上述特性进行了抽象,提供了针对每个进程和每个CPU的计数器,并可以被
tools/perf/ 目录中的"perf"工具使用

   [] Profiling support
翻译:分析支持
说明:必选，扩展性能支持

       Kexec and crash features  --->
翻译:Kexec和崩溃功能
说明:

https://www.yuque.com/scynull/ld8tuq/kv … singleDoc#

《移动云电脑 DD 最终版本》

http://oneindex.gentoo.site/PDF/%E5%86% … df?preview

http://oneindex.gentoo.site/PDF/%E9%BB% … df?preview