1987年计算机科学家安德鲁·坦纳鲍姆在阿姆斯特丹自由大学的办公室里发布了一个注定要改变操作系统历史的系统——Minix。Minix的设计哲学用一句话概括内核只做最少的、最必要的事剩下的全部丢到用户态。文件系统驱动、内存管理、进程调度全部跑在用户空间彼此之间严格隔离。任何一个驱动崩溃不会导致内核panic。当时所有人都在用宏内核的Unix觉得把驱动放内核里是天经地义的。坦纳鲍姆的微内核被骂了二十多年说他过度设计说他的IPC性能开销不可接受。然后2006年英特尔开始推多核处理器。人们突然发现微内核的模块化隔离架构天然适合多核并发。今天的QNX、L4、包括苹果iOS底层的大量设计都是微内核思想的延续。坦纳鲍姆用二十年证明了架构上的克制不是保守是跨周期的远见。你的家庭财务系统需要的正是一次微内核重构。内核层只做保命的事操作系统的内核是什么是那几千行必须跑在内核态、绝不崩溃、一旦崩溃全系统完蛋的核心代码。内存管理、中断向量表、时钟中断、看门狗。内核不负责计算不负责渲染不负责处理你的键盘输入——它只保证一件事系统还活着。你家里谁在扮演内核不是你的股票账户。不是你的基金组合。是你那张发工资的银行卡是你那张从来不碰的应急储备卡是你抽屉里那份已经连续缴费了七年的重疾险保单。这三样东西是你整个财富操作系统运行在内核态的三个核心模块。内核层的第一模块主时钟发生器——你的工资流。你写的每一行代码修好的每一个Bug交付的每一个需求最终都转化为工资卡上那串每月准时到达的数字。它就是你这台机器的晶振。只要它还在振荡你的系统就还有心跳你就还有机会重试、修复、重建。所以你要保护的不是某只股票的浮盈是你制造这个时钟信号的能力。一次跳槽加薪带来的现金流增量可能比你用三倍本金在股市里博弈出来的收益还多而且它几乎没有回撤。第七章我会展开讲这个主线程的调度策略但在架构设计这一节你只需要记住内核层的第一行代码是保护你的主动收入不被中断。内核层的第二模块看门狗定时器——应急储备金。你设计的嵌入式系统看门狗是独立的、和主逻辑没有任何耦合的硬件模块。它不在乎你跑的是什么程序也不参与你的业务逻辑。它只做一件事如果主程序在规定时间内没有踢狗它就直接复位整个系统。你的应急储备金就是你的财务看门狗。6个月的基础生活费放在一张独立的银行卡里和你的证券账户没有任何绑定关系不做任何理财不参与任何“短期闲置资金再利用”。它不需要收益。它唯一的任务是当你失业、生病、或者遭遇任何足以让你中断收入的重大冲击时它直接接管系统控制权按最低功耗维持生存等你找到下一个时钟源。我在2.1节让你去开的那张独立的储蓄卡就是你的看门狗硬件。内核层的第三模块中断向量表与保护电路——保险。重疾险、医疗险、定期寿险、意外险。这些东西在没出事的时候看起来像是静默的内存占用。你每年交几万块保费换回来一份你看不见摸不着的合同。你有时候会怀疑这是不是智商税。我给你一个技术翻译保险是你的中断向量表。你知道中断向量表是怎么工作的吗当某个硬件异常发生时——比如除零、非法指令、内存访问越界——CPU停止当前的一切执行跳到中断向量表里预设好的处理程序地址执行紧急处理。这个跳转过程不需要操作系统干预是CPU在硬件层面自动完成的。它极端可靠没有时延不会被任何用户态程序拦截。你的保险保单就是在你的人生发生硬件级异常——心梗、车祸、癌症——时自动执行的那条跳转指令。它不需要你在这个时候调用、申请、审批。它是合同约定的、法律强制执行的、不可绕过的资金注入。没有它你的内核在被异常中断时连异常处理函数在哪里都不知道直接panic。中国有一句话“一夜回到解放前。”这句话翻译成系统语言就是一次未被处理的硬件异常直接导致操作系统从用户态到内核态的全量崩溃所有进程被杀所有数据被清空。保险是你防止这件事发生的最后一道硬件保护电路。系统服务层跑在后台的守护进程内核层之上是系统服务层。在操作系统中这一层是什么是你登录之后自动启动的那一系列守护进程。systemd、cron、syslogd、网络管理服务、时间同步服务。你不一定感知到它们的存在但它们默默地在后台维持着系统的日常运行。它们不追求极致的性能不需要华丽的用户界面。它们唯一的要求是稳定、可预测、不崩溃。你的家庭财务里哪些东西应该跑在这一层第一债券和固定收益类资产。国债、大额存单、高等级信用债基金、储蓄型国债。它们不负责让你的资产翻倍。它们负责提供稳定的、可预期的利息收入像系统服务层一样不管前台行情怎么波动它们都在后台稳稳地输出。你感受不到它们的存在但它们每年自动产生的那几个点的利息是你整个财富系统的基础收益底座。第二自住房产。你的房子首先是一个消费型服务——它为你提供居住功能免除你被房东中断租约的随机中断信号。它是你这台机器运行的基础设施。你当然可以额外配置投资性房产但自住房必须被归类到系统服务层来管理它的价值波动不应该和你的证券账户的波动共用同一套心情管理模块。第三企业年金和社保。你每个月工资条上被扣掉的养老保险、企业年金相当于一个托管在外部云端的系统服务。它在你退休之后提供一个基础的生活费输出。你不需要日常管理它但你需要在做整个系统的容量规划时把这部分未来收入流纳入计算。系统服务层有一个共同特征它们不需要你频繁操作。你不需要每天盯着债券价格的波动做交易就像你不需要每天重启一次cron服务。你把它们配置好它们就跑在后台提供持续的、低维护的稳定收益。这一层的存在让你的内核层和下一层的应用层之间有了一个缓冲带——当应用层出问题时系统服务层还能维持基础运转你有时间从容处理。用户应用层允许崩溃的沙箱最上面一层是用户应用层。这一层跑的是什么是你所有的高风险资产。股票、主动管理型基金、行业ETF、加密货币、期权、私募股权、天使投资。它们是你财富系统里的Chrome浏览器、Photoshop、Steam游戏库。它们可以占用大量资源可以让你获得超额体验但它们也可能突然闪退吃掉你几个G的内存然后被OOM Killer杀掉。这一层的核心设计原则只有一条允许崩溃不能污染内核。你设计一个沙箱会做三件事第一限制CPU配额不能让它占满所有核心导致系统无响应。第二限制内存上限超过直接kill。第三隔离文件系统访问它看不到宿主机的重要数据。你的权益类投资需要同样的三套机制。CPU配额就是仓位限制。单只股票不超过总资产的10%单个行业不超过30%。这个上限不因为你对这只股票的“信心”而改变。你对自己的信心最不可信。内存上限就是你投入权益类资产的总资金池。这笔钱必须是你在覆盖了内核层和系统服务层之后剩下的余量。它永远不能反向侵蚀你的应急金。池子里的钱亏完了就是应用崩溃系统仍然存活。文件系统隔离就是你的权益类投资账户必须和你的生活账户物理分离。证券账户里的钱不应该影响你支付这个月的房租。你在1.3节里学到的教训——因为股市暴跌推迟一笔应该立刻支付的账单——就是沙箱失效的典型症状。这一层的资产可以亏。亏到零都可以。只要你的沙箱配额设得对一个应用崩溃不会拖垮你的内核。你甚至可以在应用层同时跑多个互相独立的策略——长期价值投资、行业轮动、小仓位的Crypto投机——它们跑在不同的沙箱里各有各的内存限制各自为自己的表现负责。通信协议资金流向是单向的架构分层画好了最后一个问题是层与层之间怎么通信答案是资金只能从内核层向上流动绝不反向。内核层产生的现金流——你的工资——在每个月的到达中断触发后先满足内核层自己的需要生活费、应急金的补充、保费支出。然后剩余资金向上分配给系统服务层定投债券基金、偿还房贷本金、存入年金账户。最后还有剩余的钱才进入用户应用层买入股票、配置基金、小仓位高风险投机。这个方向不能反转。你绝不能因为应用层的一个“绝佳机会”去反向调用内核层的资源。你不能从应急储备金里“暂借”一笔钱去补仓。你不能把下个月的生活费“挪用”几天去做短线。你不能因为股票被套就停止保费的缴纳。在微内核架构里用户态进程不能直接访问内核内存空间。任何一次这种越权访问都会被硬件内存保护单元当场拦截抛出段错误。你的财务防火墙必须是同样级别的硬件级阻断——那张独立的应急储备卡不和证券账户绑定就是硬件级的保护。反过来应用层的收益允许向下回流。股票赚了钱可以提取一部分补充应急金可以提前还贷可以转入系统服务层去增厚安全垫。这是合法的系统调用从上到下是利润的落袋为安。但请注意这种下行的系统调用必须在“发薪日”——也就是你预设的固定时间窗口——执行。不能随时、随机、凭心情操作。你需要一个cron定时任务而不是一个被情绪驱动的命令行。我认识一个华为的工程师他每季度末做一次资产再平衡。如果应用层的资产涨超了预设比例他就把超出的利润转出来要么买成债券要么补充到下一年度的家庭旅行预算里。他管这个过程叫“把GC回收的内存归还给操作系统”。已经跑了八年收益不谈心态极度健康。这一节我拉出来的三层架构图是你后面所有操作的基础。你现在不需要立刻填满每一层。大多数刚工作三到五年的工程师内核层还没建稳就开始在应用层堆代码这是所有悲剧的源头。我在下一章会详细展开每一层应该配置哪些具体的资产类别以及怎么在中国当前的市场环境下去实现它们。但在这之前请你先在心里把这张三层架构图焊死在认知基座上内核层现金、应急金、保险——活下来。系统服务层固收、房产、年金——稳得住。用户应用层权益、Crypto、风投——输得起。资金只向上走风险只向下沉。这是你财富操作系统的微内核架构。它不保证你暴富但它保证你的系统不会在你最脆弱的时候从内核态直接崩溃。
