cs on 오늘도 개발을 한다.

[CS] 부동소수점 알아보기

Sun, 02 Mar 2025 13:57:39 +0900

서론

이펙티브 자바의 “Item 60. 정확한 답이 필요하다면 float과 double은 피하라"에 대한 자료를 작성하며 정리한 부동소수점에 대한 정보들을 포스팅하고자 한다.

이진 부동소수점(binary floating point)

참고
- Floating Point Math
진법과, 그에 따른 분수 표현에 있어 문제가 있음
- 우리가 보통 사용하는 10진법의 경우, 10의 소인수를 사용하는 분수만 표현할 수 있음
  - ex) 1/2, 1/4, 1/5, 1/8, 1/10, …
- 반면, 1/3, 1/6, 1/7 과 같은 수는 분모가 3 또는 7과 같은 소수를 사용하기 때문에, 순환소수임
  - ex) 1/3을 10진법으로 나타내려면 0.333.... 임
- 이처럼, 컴퓨터가 사용하는 2진법(binary)에서는 2가 유일한 소인수이기 때문에, 분모가 2인 분수만 소인수로 깔끔하게 표현할 수 있음
  - ex) 1/2, 1/4, 1/8, …
- 반면, 10진법에서 표현할 수 있던 1/5, 1/10은 2진수에서는 순환소수로 표현됨
  - 따라서 0.1(1/10), 0.2(1/5)와 같은 수는 10진수에서는 깔끔한 소수이지만, 2진수 체계에서는 순환소수임
- 만약 순환소수에 대해 연산을 수행할 경우, 이를 2진수에서 사람이 읽을 수 있는 10진수로 변환하는 과정에서 남은 나머지 값들이 계속 전달되게 됨
  - 이 때문에 0.1 + 0.2 != 0.3과 같은 문제가 발생하는 것

IEEE 754 - 이진 부동소수점의 표현 방식

부동소수점의 연산에 관한 표준인 IEEE 754에서는 실수의 유한한 하위 집합을 표현하는데 사용되는 부동소수점의 포맷을 정의
- 포맷은 기수(radix), 정밀도(precision), 지수 범위(exponent range)로 이뤄짐
IEEE 754의 3절에서는 이진수 형식 3가지(32, 64, 128bit)와 십진수 형식 2가지(64, 128bit)의 기본 형식을 정의 - 단정도(single precision) 부동소수점은 32bit짜리(binary32)에 해당하며, 배정도(double precision) 부동소수점은 64bit짜리(binary64)에 해당함

사양 수준

부동소수점 산술은 실수 산술의 체계적인 근사치이므로, 실수 연속체의 유한 하위 집합 만 표현할 수 있음
또한, 이 표준의 산술이 기반하는 확장 실수(extends reals)는 음수/양수 무한대(-infinity, +infinity)를 포함하는 실수의 집합
- 따라서 부호를 갖는(signed) 0, 유한한 0이 아닌 수, 부호를 갖는 무한대, NaN와 같은 데이텀은 부동 소수점 데이터 표현 중 하나 이상에 매핑될 수 있음
- 표현할 수 있는 유한 부동소수점 집합는 다음 정수 매개변수들에 의해 정해짐
  - $b$ = 기수(2 또는 10)
  - $p$ = 정수부의 자릿수(정밀도)
  - $emax$ = 최대 지수 e
  - $emin$ = 최소 지수 e ($1-emax$)
  - p와 emax는 위에서 언급한 5가지 기본 형식에 따라 다르며, 각 형식은 기수와 비트수로 식별됨
부호를 갖는 0과 0이 아닌 부동소수점 숫자는 다음과 같은 형태로 표현됨 $$ (-1)^{s} \times b^q \times c $$
- s = 0 또는 1
- b = 기수(2 또는 10)
- q = $emin \le q+p-1 \le emax$인 아무 정수
- c = 이진 문자열 $d_0d_1d_2 \ldots d_{p-1}$($d_i$ 정수 자릿수 $0 \le d_i \le b$)로 표현되는 숫자
  - 따라서 c는 $0 \le c \le b^p$

이진 교환 형식 인코딩

이진 교환 형식은 위처럼 3가지 부분으로 구성되어 있음
- S : 1 bit짜리 부호 비트. 0이면 양수, 1이면 음수
- E: w bit짜리 편향된 지수. ($E = e+bias$) (편향값인 bias값 만큼 더하거나 뺀 수)
  - $w = round(4 \times log_2(k)) - 13$
    - k = 비트 수(ex. binary64 -> k = 64)
  - $bias = emax (2^{w-1} - 1)$
- T: t(p-1) bit짜리 후행 부호 필드 이진 문자열. $T=d_1d_2 \ldots d_{p-1}$ 이며, 맨 앞의 비트인 $d_0$은 편향된 지수인 $E$에 암시적으로 인코딩 됨
  - $t = k - w - 1$
- 예시
  - 32bit라면, S = 1bit, E = $round(4 \times log_2(32)) - 13 = 8$bit, T = $32 - 8 - 1 = 23$ bit

이진 부동소수점의 특별한 수

E(지수부)가 $2^{w}-1$, 즉 $emax + 1$ (지수부의 모든 비트가 1)이라면 다음과 같은 특수한 값을 나타냄
- T(가수부)가 0인 경우, 부호화된 $\infty$
- T가 0이 아닌 경우, $NaN$
  - quiet NaN
    - 0/0, sqrt(-1), Infinity -Infinity와 같이 유효하지 않거나 사용할 수 없는 데이터 및 결과값에 대한 표현
    - T의 첫 번째 비트(d1)가 1
  - signaling NaN
    - 초기화되지 않은 변수, 표준의 범위를 벗어난 연산에 대한 표현
    - T의 첫 번째 비트가 0
      - 대신 무한대와 구분하기 위해 다른 비트가 0이 아니어야 함
    - 후행 필드들($d_2d_3 \ldots d_{p-1}$)이 진단 정보일 수 있는 페이로드 값을 가짐
반면, E도 0이고, T도 0인 경우 부호화된 0을 뜻함

서브노말

$e = emin$, 즉 E가 0이면서 T가 0이 아닌 값을 비 정규값, 또는 서브노말이라고 함
0과 극도로 가까운 값들을 표현하는데 사용

라운딩(Rounding)

무한한 정밀도를 요구하는, 무한소수와 같은 수에 대해 부동소수점으로 표현할 수 있는 가장 가까운 매칭 값을 찾는 연산
roundTiesToEven, roundTiesToAway, roundTowardPositive 등의 방법들이 있지만, 이진 포맷에서는 roundTiesToEven가 디폴트
- roundTiesToEven: 무한 정밀도 숫자와 가장 가까운 두 부동소수점 숫자가 있을 경우, 반올림 결과의 가장 낮은 자리수가 짝수인 값을 선택
  - 예시
    - 1.40 -> 1
    - 1.50 -> 2
    - 2.50 -> 2
    - -1.50 -> -2

10진수를 이진 부동소수점으로 변환하기

10진수를 이진 부동소수점으로 변환하는 과정은 다음과 같음
1. 부호(양수 또는 음수)에 따라 부호 비트를 설정함
2. 10진수의 정수부와 소수부를 2의 거듭제곱들의 합으로 치환하여, 각 거듭제곱들의 지수를 이진 비트로 기록함
  - ex) 118.625 라는 수를 2의 거듭제곱 합으로 분해하면
    - 118 = $2^6$ + $2^5$ + $2^4$ + $2^2$ + $2^1$ = $1110110_2$
    - 0.625 = $\frac{1}{2^1} + \frac{1}{2^3}$ = $0.101_2$
    - 118.625 = $1110110.101_2$
3. 정규화를 하여, 소수점 왼쪽에는 하나의 수만 남도록 함
  - $1110110.101_2$ -> $1.110110101_2 \times 2^6$
4. 정규화된 수의 2의 거듭제곱 부분의 지수(위 예시에서는 6)가 $e$가 되며, 지수부 $E = e + bias$ 라고 했으므로 편향값인 $bias$를 더해주면 지수부 값이 됨
  - $E = 6 + 127 = 133 = 10000101_2$
5. 반면, 소수부(소수점 아래 부분수)의 값들으이 오른쪽에 0으로 채워넣어 $t$ 비트만큼의 이진 문자열을 만들면 이것이 가수부가 됨
  - $T = 11011010100000000000000$

부동소수점 연산

덧셈 및 뺄셈
1. 두 수의 지수가 다를 경우, 지수가 작은 쪽을 큰 쪽에 맞춤
  - 작은 쪽의 가수를 오른쪽으로 시프트하여 맞춤
2. 가수를 더하거나, 뺌
- 이때 가수의 덧셈과 뺄셈은 이진수 덧셈/뺄셈과 같은 방식으로 이루어짐
- ex) $0101_2$ + $1001_2$ = $1110_2$
1. 연산 결과가 $1.XXXX \times 2^n$ 과 맞지 않으면 정규화 수행
2. 필요하다면 반올림 및 언더/오버플로우 처리
  - 결과가 너무 작으면 0, 너무 크면 $\infty$로 처리
곱셈 및 나눗셈
1. 두 수의 지수를 더하거나, 뺌
  - 뺄 때는 나누어지는 수의 지수 - 나누는 수의 지수
2. 가수끼리 정수 곱셈하듯 곱하거나, 정수 나눗셈하듯 나눔
3. 정규화 수행
4. 필요하다면 반올림 및 언더/오버플로우 처리

예시) 0.1 + 0.2

0.1과 0.2를 각각 부동소수점 표현으로 변환
- 소수를 2진수로 변환하기 위해서는 다음과 같은 과정 거침
  - 소수 부분을 2로 곱한 뒤, 정수 부분 저장
  - 소수 부분만 남긴 채, 다시 2를 곱함
  - 위 두 단계를 소수 부분이 0이 되거나, 포맷에서 지원하는 자릿수까지 반복
0.1의 경우, 다음과 같이 반복됨

10진수 값 × 2	정수부분	소수 부분
0.1 × 2	0	0.2
0.2 × 2	0	0.4
0.4 × 2	0	0.8
0.8 × 2	1	0.6
0.6 × 2	1	0.2
0.2 × 2	0	0.4
0.4 × 2	0	0.8
0.8 × 2	1	0.6
0.6 × 2	1	0.2

첫 번째 0 이후, 0011이 계속해서 나옴
0.000110011001100... 을 정규화 할 경우 1.1001100110011001100110011₂ × 2⁻⁴가 됨
- 이때, 가수 부분은 23비트 만큼만 저장
즉, 0.1은 지수가 (-4 + 127(bias)) = 123 = 01111011₂ 이고, 가수가 10011001100110011001101인 수로 표현
0.2는 위 표에서 볼 수 있듯 왼쪽으로 한 칸 쉬프트된 0.1이라고 볼 수 있음
- 따라서 0.2는 지수가 (-3 + 127(bias)) = 124 = 01111100₂ 이고, 가수가 10011001100110011001101인 수로 표현
둘을 더하기 위해서는 지수를 맞춰주어야 하므로 지수가 작은 0.1을 0.2에 맞춤
- 따라서 0.1의 가수들을 오른쪽으로 한 칸 시프트해, 지수를 -3으로 변환
- 가수는 1.10011001100110011001101 -> 0.110011001100110011001101
이후 가수끼리 덧셈
- 0.110011001100110011001101 (0.1) + 1.10011001100110011001101 (0.2) = 10.01100110011001100110010 * 2⁻³
구한 가수를 정규화하기 위해 오른쪽으로 시프트
- 1.00110011001100110011001 * 2⁻²
위 값은 정확히 0.3이 아니므로, 0.1 + 0.2 != 0.3와 같은 문제 발생

해결책?

BigDecimal first = BigDecimal.valueOf(0.1);
BigDecimal second = BigDecimal.valueOf(0.2);
BigDecimal result = first.add(second);
System.out.println(BigDecimal.valueOf(0.3).equals(result)); // true

표현 가능한 값의 범위가 $-10^{-999999999} \sim 10^{999999999}$ 까지로 훨씬 넓은 BigDecimal을 쓸 것을 권장

참고

추가로 읽으면 좋을 것들

[CS] 가상화 알아보기 (w. Hypervisor, Docker)

Thu, 15 Aug 2024 19:45:01 +0900

서론

CS 스터디에서 8월 13일 발표한 가상화에 대해 정리한 문서를 블로그에 공유하고자 한다.

가상화에 대하여

`가상화`란?

가상화(Virtualization)란 하나의 물리적인 하드웨어 시스템(컴퓨터) 위에 추상화 계층을 생성해, 여러 개의 시뮬레이션 환경 또는 전용 리소스로 분할할 수 있게 해주는 기술을 말합니다. 즉, 하드웨어에 묶여있던 자원들을 추상화를 통해 분산하여 사용할 수 있게 해주는 기술인 것입니다.
이러한 분리는 하이퍼바이저(Hypervisor)라고 부르는 소프트웨어를 통해 이뤄지며, 가상화를 통해 생성된 가상 표현을 VM(Virtual Machine, 가상 머신)이라고 합니다.

가상화의 역사

가상화는 1960년대 대형 메인프레임 컴퓨터를 사용하던 시절, 각 메인프레임들이 한 번에 한 프로세스만 수행하던 것을 개선하고자 등장하게 되었습니다.
당시 고객의 요구로 한 메인프레임이 동시에 둘 이상의 사용자, 또는 둘 이상의 프로세스를 지원할 수 있어야 했고, 이를 위해 IBM에서는 가상 메모리를 도입한 하이퍼바이저인 IBM CP-40, CP-67 OS를 출시하며 가상화 SW가 시장에 등장하게 되었습니다.
이후 단일 공급자 IT 스택, 레거시 애플리케이션의 리소스 사용 방식으로는 변화에 유연하게 대응하기 어렵다는 점이 대두되고 인터넷이 성장하자 가상화 사용이 점점 증가하게 되었습니다.

가상화의 종류

도커의 등장으로 가장 잘 알려진 가상화인 운영체제 가상화(OS-Level Virtualization)(또는 컨테이너화(Containerization))이외에도 여러 유형의 가상화들이 존재합니다.

운영체제 가상화(OS-Level Virtualization)

컨테이너화(Containerization)라고도 불리는 이 방법은, OS의 중앙 자원 및 작업 관리자인 커널이 여러 사용자 공간(커널 외부에서 실행되는 모든 코드) 인스턴스를 허용하는 가상화를 말합니다.
사용자 공간 인스턴스(user space instance)로는 컨테이너(LXC, Solaris Container, Docker), 존(Solaris Container), 가상 커널(DragonFly BSD)등이 있습니다.
각 컨테이너들은 컴퓨터 전체에 가용한 자원 중 일부만 할당되며, 컨테이너상에서 실행되는 프로그램들은 컨테이너에 할당된 리소스들을 현재 컴퓨터(컨테이너)의 가용한 전체 리소스로 인식합니다.

OS-level virtualization - Wikipedia

데스크톱 가상화(Desktop Virtualization)

출처: VDI(가상 데스크톱 인프라)란? (feat. VDI vs. DaaS 비교 분석) | 가비아 라이브러리 (gabia.com)

중앙 서버에서 가상 머신들을 생성해 여러 데스크톱 환경을 실행하고 이를 클라이언트 기기에서 로그인한 사용자에게 스트리밍하므로써, 물리적 클라이언트 장치와 데스크톱 환경을 분리하는 것을 말합니다.
이를 가상 데스크톱 인프라(Virtual Desktop Infrastructure, VDI)라고도 합니다.
또한 VDI를 클라우드 환경을 통해 제공하는 것을 서비스형 데스크톱(Desktop-as-a-Service, DaaS)라고 합니다.

서버 가상화(Server Virtualization)

하나의 서버 컴퓨터에서 여러 개의 가상 머신을 구동해 컴퓨팅 자원을 최대한 활용하고 여러 어플리케이션을 구동할 수 있는 가상화입니다. #

네트워크 기능 가상화(Network Function Virtualization)

NFV의 아키텍처

네트워크 하드웨어로부터 라우터, 방화벽, 로드 밸런서등의 물리적인 네트워크 기능을 추상화하여, 하이퍼바이저위에서 실행중인 소프트웨어로 추상화하는 가상화를 말합니다.
따라서 네트워크 관리자는 하드웨어들을 건드리지 않고도 네트워크를 관리할 수 있고, 서비스 제공업체에 새로운 기능을 요청하면 제공업체는 새 VM을 가동해 해당 요청을 처리할 수 있게 됩니다.

장점

자원의 효율화

가상화 이전에는 하나의 애플리케이션에 하나의 서버(물리적인 CPU를 포함한)가 필요했습니다. 이러한 형태는 한 서버에서 가용한 자원을 최대로 활용할 수 없으며 사용중이지 않은 자원은 낭비 되어왔습니다.
이와 다르게, 서버 가상화를 통해 단일 컴퓨터에 자체 OS를 포함한 VM들을 실행해 다수의 애플리케이션을 실행하므로써 하드웨어의 컴퓨팅 자원을 효율적으로 사용할 수 있게 되었습니다.

시스템 관리

물리적 컴퓨팅 자원들이 가상화되었으므로, 이들을 소프트웨어 도구를 사용해 관리할 수 있게 됩니다.
인프라를 복제하는데도 자동화를 할 수 있고, 프로비저닝이 더 빨라집니다.

빠른 장애 복구

기존의 경우, 시스템 장애가 일어나면 IT 인프라 현장에 직접 접근해 물리적 서버를 교체 및 수리 하는데 많은 시간이 걸렸습니다.
반면 가상 환경에서는 중복되는 가상 머신으로 대체하여 빠르게 장애를 복구할 수 있습니다.

단점

자원 효율성

시스템에 가상화를 도입하게 되면 VM, 하이퍼바이저, 게스트 OS에서 더 많은 컴퓨팅 능력을 요구할 수 있어 때때로 하드웨어 자원 요구량을 증가시키기도 합니다.

공유 자원

VM들은 하이퍼바이저, 호스트 OS, 프로세서 내부 자원(L3 캐시, 시스템 버스 등), 프로세스 외부 자원(메인 메모리, I/O 기기 및 네트워크)을 공유하기 때문에, 단일 장애 지점이 존재할 수 밖에 없습니다.
또한 한 VM에서 실행중인 소프트웨어가 다른 VM에서 실행중인 소프트웨어에 영향을 미칠 수도 있습니다. (= 격리 위반이 발생할 수 있습니다.)

간섭

공간적 격리 실패(공유 메모리로 인한) 또는 시간적 격리 실패(간섭 지연 또는 페널티로 인한)에 의해 한 VM에서 실행중인 소프트웨어가 다른 VM에서 실행중인 소프트웨어의 동작에 영향을 미칠 수 있습니다.
이러한 간섭이 가능한 경로의 수는 VM의 수가 늘어남에 따라 빠르게 증가합니다.
예시로 아래 그림은 6개의 공유 자원(빨간색으로 표시된)을 사용하는 애플리케이션 쌍 간에 발생 가능한 3가지 간섭 경로를 나타냅니다.

출처: Virtualization via Virtual Machines (cmu.edu)

`하이퍼바이저(Hypervisor)`

하이퍼바이저(또는 가상 머신 모니터(VMM))란, 호스트 머신에서 가상 머신(VM)을 생성 및 실행하는 소프트웨어로 VM들을 생성 및 관리합니다.
하이퍼바이저는 CPU, 메모리, 스토리지 등 컴퓨팅 자원들을 기존 게스트 머신 간에, 또는 새로운 VM으로 쉽게 재배치할 수 있는 자원 풀로 취급해 물리적 자원과 가상 환경을 분리합니다.

일반적으로 하이퍼바이저는 하드웨어상에서 직접 실행되는 타입 1(bare-metal) 또는 호스트 운영체제 위에서 실행되는 타입 2(Hosted)로 나뉩니다.

타입 1

출처: Virtualization via Virtual Machines (cmu.edu)

타입 1 하이퍼바이저는 호스트의 하드웨어에서 직접 실행 되어 게스트 OS들을 관리합니다.
그리고 호스트 OS를 대신해 하드웨어에 직접 가상 머신들의 자원들을 조정합니다.
타입 1과 같은 형태의 하이퍼바이저는 1960년대 IBM CP에서 시작되었으며, 엔터프라이즈 및 서버기반 환경에서 일반적인 형태입니다.
KVM(커널-기반 가상 머신), MS Hyper-V, VMWare vSphere 등이 타입 1의 대표적인 예시 입니다.

타입 2

출처 : Virtualization via Virtual Machines (cmu.edu)

타입 2 하이퍼바이저는 일반 프로그램처럼 호스트 OS 위 에서 실행되는 하이퍼바이저를 말합니다.
게스트 OS를 호스트 OS로부터 추상화시키는 방식으로 동작하며, 가상 머신들의 자원은 호스트 OS에 의해 스케줄링되며 이후 하드웨어에 의해 실행됩니다.
타입 2에 해당하는 하이퍼바이저로는 Oracle VirtualBox, VMWare Workstation 등이 있습니다.

`가상 머신(Virtual Machine)`

가상 머신(또는 게스트 머신)이란, 하드웨어 자원 풀에서 생성된 컴퓨팅 환경으로, 자체 CPU, 메모리, 네트워크 인터페이스, 저장공간 등을 갖춘 격리된 시스템을 말합니다.
달리 말하자면, 게스트 OS를 위한 가상 운영 환경을 제공하는 하드웨어 플랫폼의 소프트웨어 시뮬레이션이라고 할 수 있습니다.
이러한 VM들을 실행하는 물리적 기기를 호스트 머신이라고 부르며, 호스트 머신의 자원을 사용하는 VM들을 게스트 머신이라고 부릅니다.
가상 머신을 사용하게 되면, 한 컴퓨터에서 여러 개의 서로 다른 OS를 동시에 실행할 수 있으며 각 OS는 호스트 머신에서 실행되는 것과 동일한 방식으로 실행됩니다.

What is a virtual machine (VM)? (redhat.com)

Docker는 어디에 속하는가? 그리고 Docker가 많이 사용되는 이유는?

OS 가상화, 즉 컨테이너화와 가상 머신을 사용하는 가상화 중 Docker는 컨테이너화에 속한다고 할 수 있습니다.

가상 머신 - 컨테이너의 차이점

가상 머신의 경우, 하이퍼바이저를 사용해 물리적 하드웨어를 가상화하게 됩니다. 따라서 각 가상 머신에 게스트 OS와 이에 필요한 프로세서, 메모리 등의 자원을 할당하여 사용합니다.
또한 서로 다른 OS를 실행하는 가상 머신들이 하나의 물리적 하드웨어 위에서 구동될 수 있습니다.
컨테이너는 하드웨어 대신 운영체제를 가상화하기 때문에 별도의 게스트 OS 없이 호스트 OS위에서 구동됩니다. 따라서 각 컨테이너들은 애플리케이션과 이에 필요한 의존성 및 라이브러리만 포함하며, 가상 머신과 달리 메인 메모리 등의 자원을 미리 할당할 필요가 없습니다.

Docker의 장점

도커는 앞서 말씀드린 것 처럼 여러 패키지, 종속성들을 묶어 이미지화 할 수 있어 이식성이 뛰어나다는 장점이 있습니다.
이는 여러 클라우드 환경이 보편화된 현재에 상당한 장점인데, 특히 어제는 A 공급자의 클라우드에서 실행하던 것을 오늘은 B 공급자의 클라우드에 배포해야하는 등 유연함이 필요한 상황에 빛을 발합니다.
이에 더해 운영체제와 관련된 세부 정보를 추상화하므로, 개발/테스트/프로덕션 등 다양한 환경에서 배포할 때의 문제를 해결하고, CI/CD를 포함한 자동화 및 파이프라인 구현에 알맞습니다.
그리고 미리 일정량의 자원을 할당해주어야 하는 VM과 달리, 도커 컨테이너는 온디맨드 방식으로 자원을 요청하기 때문에 더 시스템 자원을 효율적으로 사용할 수 있습니다.

한 Host OS상에서 구동되므로 컨테이너 간 간섭이 예상되는데, 이를 어떻게 방어할 수 있는가?

Docker는 기본적으로 Linux OS 위에서만 실행됩니다.
따라서 Linux에서 프로세스 격리를 위해 사용되는 namespace와 cgroup를 사용해 격리성을 높일 수 있습니다.

`namespace`

namespace는 Linux 커널의 기능으로, 전역 시스템 자원(커널 자원)을 추상화하여 각 네임스페이스내에 격리된 자체 전역 자원 인스턴스가 있는 것처럼 보이게하는 기능입니다.
즉, 각 프로세스들은 본인이 속한 네임스페이스의 자원을 볼 수 있으며, 다른 네임스페이스의 자원은 볼 수 없습니다.
이러한 네임스페이스 유형으로는 cgroup, IPC, Network, Mount, PID(Process ID) 등이 있습니다.
일반적으로 Linux에서는 새로운 프로세스를 실행할 경우 1번 프로세스의 네임스페이스를 공유하게 됩니다.

`cgroup`

cgroup(control group)은 Linux 커널의 기능으로, CPU 시간, 시스템 메모리, 네트워크 대역폭 등의 자원을 프로세스 모음에 할당 및 제한하고, 이들을 모니터링할 수 있는 기능입니다.
프로세스들은 일련의 매개변수 또는 제한(limits)에 의해 각각의 프로세스 모음에 바인딩됩니다.
부모로 부터 자식 프로세스가 생성되는 Linux 프로세스 모델처럼, cgroup 모델 역시 계층적이며 자식 cgroup은 부모 cgroup의 특정 속성을 상속하는 등 유사한 형태를 띕니다.

`Enhanced Container Isolation (ECI)`

ECI(Enhanced Container Isolation)는 컨테이너에서 실행되는 악성 워크로드들이 Docker 또는 호스트를 손상시키지 못하게 추가적인 보안 계층을 제공하는 기능입니다.
ECI는 모든 프로세스를 Linux 사용자-네임스페이스를 통해 권한 없이(unprivileged) 실행하며, --privileged 플래그도 무시합니다. 또한 컨테이너나 유저가 내부 설정을 수정할 수 없게해 Docker VM의 불변성을 보장합니다.
그리고 컨테이너 탈출을 방지하기 위해 몇몇 중요 system call을 검사하고, 컨테이너 내부의 /proc과 /sys 일부를 가상화해 추가적으로 격리를 진행합니다.
또한 사용자 콘솔에서 Docker Desktop VM에 접근하지 못하도록 차단합니다.
ECI를 사용하면 기능 및 성능에 대한 영향을 최소화한체, 이러한 기능들이 적용됩니다.

Docker 위에 Docker를 올릴 수 있을까?

가능합니다.
크게 도커 컨테이너 내부에서 privileged 모드를 통해 도커 데몬을 실행하는 DinD(Docker in Docker) 방식과, 동일한 도커 데몬상에 컨테이너를 추가 생성한 뒤 소켓 파일(/var/run/docker.sock)을 공유해 호스트 컨테이너(도커 서버)가 도커 명령을 실행하는 방식인 DooD(Docker out of Docker) 두 가지가 있습니다.