Publications | Yuki Nakata

2026

Reviewed

Cross-OS Container Transplantation: A Lightweight Defense Against Kernel and Network Exploits

Kotaro Sakamoto, Yuki Nakata, Katsuya Matsubara, and 2 more authors

In 2026 IEEE 50th Annual Computers, Software, and Applications Conference (COMPSAC) , Universidad Politécnica de Madrid, Madrid, Spain, Jul 2026

Abs

Container virtualization has become a dominant technology for deploying lightweight applications in cloud environments. However, because containers share the host OS kernel, they remain vulnerable to attacks that exploit kernel and network stack implementations. We propose Cross-OS Container Transplantation, which enhances security by running Linux binaries on FreeBSD via the Linuxulator emulation layer. By replacing Linux-specific kernel and network components with FreeBSD implementations, our method fundamentally mitigates implementation-dependent attacks. Additionally, we integrate the Capsicum framework for fine-grained sandboxing. Penetration testing demonstrates that our approach effectively thwarts attacks exploiting critical vulnerabilities. Performance evaluation indicates that our method achieves a significantly faster total container startup time than Kata Containers, while remaining comparable to native runC. With minimal runtime overhead, Cross-OS Container Transplantation provides a robust and lightweight defense against cross-layer exploits in containerized environments.
Reviewed

Bring Cloud-Native Networking to FreeBSD Jails: Porting Calico from Linux

Soma Sakaguchi, Shintaro Suzuki, Yuki Nakata, and 1 more author

AsiaBSDCon 2026 Proceedings, Mar 2026

Abs Website

While Linux containers benefit from a rich ecosystem of Container Network Interface (CNI) plugins such as Calico and Cilium, FreeBSD Jails have lacked native, standardized solutions for advanced networking. As a result, users have relied on manual, error-prone configurations, which limit scalability and integration with modern orchestration platforms. This presentation introduces porting Calico, a widely adopted CNI plugin, to the FreeBSD operating system. Our approach replaced Linux-specific components with FreeBSD-native equivalents: iptables with ipfw, netlink sockets with routing sockets, and Linux network namespaces with FreeBSD’s VNET. This work aims to bridge the gap between Linux and BSD container networking. By providing scalable, policy-driven capabilities that are compatible with existing Linux-centric infrastructure, FreeBSD will be empowered to participate more fully in the broader container networking ecosystem.

2025

Reviewed

Self-Hosted WebAssembly Runtime for Runtime-Neutral Checkpoint/Restore in Edge-Cloud Continuum

Yuki Nakata, and Katsuya Matsubara

In Proceedings of the 3rd International Workshop on Middleware for the Computing Continuum , Vanderbilt University, Nashville, TN, USA, Dec 2025

Abs

Checkpoint/restore (C/R) in the Edge-Cloud Continuum, where edge servers and cloud servers are integrated to combine their respective computational characteristics, enables application live migration for load balancing and service continuity that adapts to user mobility. WebAssembly (Wasm) provides architecture neutrality, allowing bytecode execution across diverse platforms. Furthermore, by leveraging runtime implementations specialized for particular environments and performance optimizations such as Just-In-Time (JIT) and Ahead-Of-Time (AOT) compilation, Wasm bytecode can be executed efficiently by using the runtime best suited to each environment. However, the diversity of runtimes and performance optimizations results in heterogeneous representations of application execution states, making it difficult to apply C/R across multiple runtimes. To address this heterogeneity, we propose a C/R method that employs a self-hosted Wasm runtime compiled into Wasm itself. By checkpointing and restoring application execution states within the self-hosted Wasm runtime, the representation of execution states can be unified. In addition, to mitigate the overhead of duplicated runtime executions, we also investigate optimization techniques for Wasm runtimes designed to be self-hosted. Our evaluation results demonstrate that C/R with a self-hosted Wasm runtime can eliminate runtime differences and enable efficient live migration with a minimal execution state.
Reviewed Oral

What If the Runtime Was Portable Too? Self-Hosted Runtime Capabilities in Wasm

Yuki Nakata

In WasmCon NA (KubeCon + CloudNativeCon NA 2025 CNCF Co-located Event) , Nov 2025

Slides Website
Reviewed

Seamless Self-Healing in WebAssembly Container Orchestration with Runtime-Neutral Checkpointing

Katsuya Matsubara, Yuzuki Saito, Daigo Fujii, and 1 more author

In 2025 Thirteenth International Symposium on Computing and Networking Workshops (CANDARW) , Nov 2025

Abs

Modern cloud-native systems increasingly rely on WebAssembly (Wasm) containers for their lightweight nature and fast startup times. However, ensuring high availability in the face of inevitable failures remains a critical challenge. Traditional selfhealing mechanisms, often based on simple container restarts, cause service disruption and performance degradation. This paper presents a novel approach to achieve seamless self-healing in Wasm container orchestration by leveraging a runtime-neutral checkpointing framework. This framework, developed in our prior work, captures an application’s complete execution state independent of any specific runtime implementation. Building on this foundation, we demonstrate how this capability enables two key functions: hot restart and dynamic runtime switching. Hot restart allows a failed container to be restored from a checkpoint in milliseconds, eliminating the overhead of a cold startup. More importantly, we introduce a new paradigm for memory pressure alleviation without Pod eviction. By utilizing our runtime-neutral checkpoints, the orchestration system can gracefully switch a running application from a high-performance runtime (e.g., WasmEdge) to a more memory-efficient one (e.g., WAMR) when resources are constrained. Our empirical evaluation confirms that this approach effectively alleviates memory pressure while causing only a minimal, short-lived performance impact, proving to be a superior alternative to disruptive evictionbased methods.
Oral

Beyond Portability: Live Migration for Evolving WebAssembly Workloads

Yuki Nakata, and Daigo Fujii

In Japan Community Day at KubeCon + CloudNativeCon Japan 2025 , Jun 2025

Slides Website
JIT/AOTコード最適化と両立するWebAssemblyライブマイグレーション実現手法の検討

中田裕貴, and 松原克弥

In 研究報告システムソフトウェアとオペレーティング・システム（OS） , May 2025

Abs Slides Website

エッジコンピューティングでは，デバイス・エッジサーバ・クラウドサーバといった特性の異なる処理ノードを使い分けることが重要である．柔軟な処理ノード選択を実現する技術としてライブマイグレーション技術があるが，各ノードはアーキテクチャが異なるため，特に実行状態をともなうライブマイグレーションの実現が難しい．WebAssembly（Wasm）は，アーキテクチャ中立性による多様なプラットフォーム上でのバイトコード実行を可能にする．さらに，特定の処理ノードに特化したランタイム実装や，JIT/AOTコード最適化による実行性能を最適化できるランタイムも存在するため，エッジコンピューティングにおける共通アプリケーション実行基盤として注目されている．しかしながら，多様なランタイムと性能最適化は，各ランタイムが保持するアプリケーション実行状態が異なる形式・内容となるため，複数ランタイム間でのライブマイグレーションが困難になる．本研究では，多様なランタイムと性能最適化による実行状態表現の異種性に対処するために，セルフホスト型Wasmランタイムを用いたライブマイグレーション手法を提案する．任意のランタイム上で動作可能なセルフホストランタイムがアプリケーション実行状態を保存・復元することで，アプリケーション実行状態表現を統一化し，異なるランタイム間でのライブマイグレーションを実現できる．本稿では，ランタイムと実行最適化方式に中立なライブマイグレーション実現のためのセルフホストランタイムのプロトタイプ実装とそのアプリケーション実行性能の評価結果について報告する．
Oral

実行環境に中立なWebAssemblyライブマイグレーション機構

中田裕貴

In さくらインターネット研究所テックトーク2025春 , Mar 2025

Slides Website

2024

Reviewed Poster

Feasibility of Runtime-Neutral Wasm Instrumentation for Edge-Cloud Workload Handover

Yuki Nakata, and Katsuya Matsubara

In The Ninth ACM/IEEE Symposium on Edge Computing (SEC) , Rome, Italy, Dec 2024

Awareded Abs Slides Website

Best Poster Award,The Ninth ACM/IEEE Symposium on Edge Computing (SEC)

In edge computing, flexibly offloading or handing over computing workloads among devices, edge, and cloud, achieved by live migration, is crucial because of its hierarchical and heterogeneous structure. Implementing the process migration requires the runtime system to capture and restore the state of a running application at any arbitrary time. WebAssembly (Wasm) has attracted attention as a common platform for edge computing since it provides not only architecture neutrality and secure sandboxing as a lightweight VM but also performs at a native-level performance with AOT/JIT code optimization. Unfortunately, the different code optimizations in various Wasm runtimes make it harder to insert instrumentation code into application binary at runtime. We are currently developing a self-hosted Wasm runtime, i.e., a runtime that can be executed on another runtime as a Wasm application instrumentation mechanism while handling the runtime heterogeneity, including AOT/JIT code transformation. One of the major concerns in our proposal is the overhead caused by the intervention of another runtime for instrumentation. This study discusses the feasibility of a self-hosted runtime with instrumentation for obtaining the application’s running state by comparing it with existing methods and evaluating it through preliminary experiments.
Poster

エッジコンピューティングにおけるWebAssemblyマイグレーションを活用した高可用性機能の検討

齊藤優月, 藤井大悟, 松原克弥, and 1 more author

In 情報処理学会第36回コンピュータシステム・シンポジウム , Dec 2024

Website
FreeBSDの透過的適用によるLinuxコンテナの隔離強化手法

鈴木進太郎, 中田裕貴, and 松原克弥

In コンピュータセキュリティシンポジウム2024論文集 , Oct 2024

Abs Website

クラウドにおける軽量なアプリケーション実行環境として普及しているコンテナ型仮想化は，コンテナ間およびコンテナとホスト間でOS カーネルを共有する．コンテナ仮想化における重大なセキュリティリスクのひとつは，OS カーネルの脆弱性を悪用することによる他コンテナやホスト環境への攻撃である．特に，コンテナシステムはLinux 環境を対象にした実装が多く，Linux カーネルの脆弱性がコンテナ隔離の脆弱性に直結する．本研究は，コンテナホストに異種OS を採用することで，低オーバヘッドでLinux コンテナの隔離を強化する手法の確立を目指している．本稿では，FreeBSD 独自のセキュリティ機能であるCapsicum をLinux アプリケーションへ透過的に適用することで，Linux コンテナにおける攻撃面の縮小化を実現する手法を提案する．
Reviewed Poster

A Checkpoint/Restore Mechanism with Interoperability Among Distinctive WebAssembly Interpreters

Daigo Fujii, Katsuya Matsubara, and Yuki Nakata

In 15th ACM SIGOPS Asia-Pacific Workshop on Systems(APSys 2024) , Kyoto, Japan, Sep 2024

Website
セルフホスト型ランタイムによる WebAssembly インストルメンテーションの実現可能性検討

中田裕貴, and 松原克弥

In 日本ソフトウェア科学会第41回大会 , Sep 2024

Abs Website

クラウドコンピューティング基盤に欠かせない機能のひとつであるVMマイグレーションの実現には，VMやVM内で稼働するアプリケーションの実行状態を任意のタイミングで抽出・復元する技術が必要不可欠である．本研究では，エッジ・クラウドコンピューティング向けシステム基盤としての活用が注目されているWebAssemblyを対象として，VMマイグレーションに最適なバイナリインストルメンテーション機能の実現手法として，セルフホスト型ランタイムに着目した．多種多様なランタイムが現存し，ネイティブコンパイル等の最適化技術が適用されることも多いWebAssemblyアプリケーションの実行状態抽出には，ランタイム中立性と実行時性能を両立できるバイナリインストルメンテーションが求められる．本稿では，WebAssemblyアプリケーションの実行状態を取得するためのインストルメンテーション機能を備えたセルフホスト型ランタイムについて，既存インストルメンテーション手法との比較や予備実験による評価により，その実現可能性を検討する．
Reviewed

Stateful VM Migration Among Heterogeneous WebAssembly Runtimes for Efficient Edge-cloud Collaborations

Daigo Fujii, Katsuya Matsubara, and Yuki Nakata

In Proceedings of the 7th International Workshop on Edge Systems, Analytics and Networking(EdgeSys ’24) , Athens, Greece, Apr 2024

Abs

WebAssembly (Wasm) has been attracting attention as a common platform for edge computing thanks to its architecture neutrality, sandboxing for security, and lightweight characteristics that fit the requirements for distributed and cooperated processing with heterogeneous compute nodes, which consist of edge devices and clouds. Virtual machine (VM) migration technology enables seamless and flexible workload offloading on edge-cloud collaboration, but unfortunately, VM migration among different Wasm runtimes is complicated since the Wasm standardization does not specify the implementation design of internal runtime very well. Nevertheless, many implementations of Wasm runtime already exist, and each has different characteristics. We therefore aim to implement a stateful VM migration among most of the major Wasm runtimes. In this work, we prototyped a VM migration mechanism between WasmEdge and WAMR to investigate the technical challenges and determine the feasibility of implementing the runtime-neutral VM migration. Our experimental results on heterogenous VM migration demonstrate the value of coexisting multiple runtimes well-suited for each edge and cloud and seamlessly offloading the workloads among them.
Reviewed

Penetration Testing for Linux Jail as Exploit-resistant Linux Container

Shintaro Suzuki, Yuki Nakata, and Katsuya Matsubara

AsiaBSDCon 2024 Proceedings, Mar 2024

Abs Website

Container virtualization technologies such as Docker [1] are now widely used as lightweight application execution environments in cloud services. They are based on OS pro- cesses, which are lightweight compared with traditional VMs, resulting in faster startup and a lower memory footprint. Many cloud services [2], [3] take advantage of the characteristics of containers for rapid scale-out, scale-in, and more efficient resource usage. We aim to achieve a container sandbox with Container Transplantation in which Linux containers run compatibly in another OS and apply another OS-specific security mechanism to resolve the trade-off between robust container isolation and container characteristics and application performance. Since many cloud services utilize Linux as the environment for hosting containers, vulnerabilities in the Linux kernel and its functions are directly linked to container vulnerabilities. Unfortunately, attacks that exploit those vulnerabilities often have fatal adverse effects that make it impossible for cloud services to run correctly, such as unauthorized access to hosts and other containers through privilege escalation and the theft of sensitive information. We have proposed that executing Linux containers in another OS can avoid these various attacks that exploit vulnerabilities related to the Linux kernel and its functionality. Moreover, it is possible to apply unique security models and functions implemented in various OSes to Linux containers to achieve more finely-grained access control and isolation between containers resilient to attacks targeting specific OSes. This paper investigates the possibility of resisting attacks using Linux kernel vulnerabilities through the Linux jails. Among the vulnerabilities in Linux Kernel 4.4, emulated by Linux jails on FreeBSD13.2, we have chosen those that the Linuxulator can emulate. Then, we categorized the Linux kernel vulnerabilities that the secure container must be able to avoid, tried the attacks on both Linux and the Linuxulator, and summarized the success or failure of the attacks. Linux- ulator, and summarized the success or failure of the attacks. Our experimental results illustrate that the Linuxulator can efficiently repel exploits against Linux kernel vulnerabilities.
異種OS機能連携によるセキュアコンテナ実現に向けたFreeBSD上でのCNI準拠コンテナネットワーキングの実現

坂口颯麻, 鈴木進太郎, 中田裕貴, and 1 more author

In 研究報告インターネットと運用技術（IOT） , Mar 2024

Abs

クラウドコンピューティング基盤における軽量なアプリケーション実行環境として，コンテナ型仮想化が広く活用されている．コンテナをマルチテナント・クラウドで利用する場合，OS カーネル共有に起因する脆弱性回避のために，追加で堅牢なコンテナ間隔離が必要となる．著者らは，FreeBSD 上で Linux コンテナ実行環境を実現することで，追加の隔離にかかるオーバヘッドを最小化しつつ，OS カーネルの脆弱性に対する攻撃の回避を行う手法を提案している．本提案手法では，コンテナ内のアプリケーションやユーザから異種 OS 上で動作していることを隠蔽できることが，攻撃回避成功の要となっている．しかし，本手法が異種 OS として採用する FreeBSD では，コンテナのネットワーク分離を実現できる vnet 機能が，Linux コンテナでネットワーク分離に用いられている Network Namespace 機能と互換性がないことが課題となっている．特に，Kubernates の Pod などで必要となる，複数のコンテナ間で共有されたネットワーク空間を実現することが難しい．本研究では，jail の入れ子構造の仕組みを活用して，FreeBSD 上で Linux Network Namespace 互換機能を実装し，コンテナランタイムから CNI 仕様に準拠したコンテナネットワーキング制御を可能にすることで，異種 OS 上での動作を隠蔽できる Linux 互換コンテナネットワーキングを実現する．

2023

Poster

実行時性能と両立するWebAssemblyライブマイグレーションの実現に向けたAhead-Of-Timeコンパイラの分析

中田裕貴, 藤井大悟, and 松原克弥

In 第21回ディペンダブルシステムワークショップ(DSW 2023) , Dec 2023

Website
ランタイム中立なWebAssemblyライブマイグレーションの実現可能性検討

藤井大悟, 松原克弥, and 中田裕貴

In コンピュータシステム・シンポジウム論文集 , Nov 2023

Abs

OSやハードウェアアーキテクチャに対する中立性や安全性などの観点から，クラウドコンピューティング実行基盤としてのWebAssemblyが注目されている．WebAssemblyの実行環境は，軽量さが特徴のWebAssembly Micro Runtime (WAMR)，クラウドネイティブ向けの機能が充実しているWasmEdgeなど，様々なランタイムが存在し，それらランタイムごとにその特性が異なる．特に，エッジデバイス，エッジクラウド，データセンタクラウドが連携するエッジコンピューティングにおいては，各システム基盤の用途や計算資源制約やに応じて最適なWebAssemblyランタイムが異なるため，求められる応答性能や負荷状況に応じて，複数のシステム基盤を使い分けながら計算処理を継続実行できるライブマイグレーション技術が有用である．本研究では，異なるWebAssemblyランタイム間で，実行中のアプリケーションをマイグレーションできる機能の実現可能性を検討する．WasmEdgeとWAMRの2種類のWebAssemblyランタイムを対象として，WebAssembly仕様と各ランタイム実装の分析から，アプリケーションの実行状態を再現するのに必要な情報を特定し，実行状態を保存・復元する機能をそれぞれのランタイムへプロトタイプ実装した．さらに，実験により，それぞれのランタイムのアプリケーション実行性能を評価し，マイグレーション機能の実装にともなうオーバヘッドを確認した．
Reviewed

Reducing Attack Surface with Container Transplantation for Lightweight Sandboxing

Yuki Nakata, Shintaro Suzuki, and Katsuya Matsubara

In Proceedings of the 14th ACM SIGOPS Asia-Pacific Workshop on Systems (APSys ’23) , Seoul, Republic of Korea, Aug 2023

Abs

Containers, which have evolved in Linux primarily, have become a significant trend in the cloud due to their lightweight virtualization and growing convenient ecosystem. However, the laxer isolation of containerization also introduces attack surfaces on the underlying Linux kernel. Unfortunately, combining other virtualizations, such as the traditional VM and interposition by application kernel, for sandboxing could spoil the lightweight and scalable nature of the containers. In this study, we propose another approach to lightweight sandboxing that focuses on the fact that such attackers have mostly assumed containers rely on Linux. It can avert major vulnerability exploits derived from Linux by transplanting Linux containers onto the FreeBSD kernel. Furthermore, it can fortify the isolation by transparently applying "Capsicum," a unique sandbox mechanism that is nonstandard in Linux, to the transplanted containers. This paper analyzes vulnerabilities faced by Linux containers, identifies technical issues in transplanting Linux containers onto FreeBSD, and designs a mechanism to transparently apply the Capsicum sandbox to Linux applications to explore the feasibility of our approach.
Poster

異種OS機能連携によるセキュアコンテナ実現に向けた予備評価

鈴木進太郎, 中田裕貴, and 松原克弥

In xSIG (cross-disciplinary workshop on computing Systems, Infrastructures, and programminG) 2023 , Aug 2023

Website

2022

異種OS機能連携によるセキュアコンテナ実現に向けた検討

鈴木進太郎, 中田裕貴, and 松原克弥

In コンピュータシステム・シンポジウム論文集 , Nov 2022

Abs

クラウドサービスにおけるアプリケーション実行環境として広く活用されているコンテナ型仮想化は，不特定多数のユーザが単一のホスト内に同居するため，コンテナ間の隔離を強固にする必要がある．しかし，追加の隔離環境は，堅牢なコンテナ間隔離を実現する代わりに，コンテナの高速な起動という特性やアプリケーション性能が損なわれる．このトレードオフを解消するために，我々は異種 OS 機能連携によって OS カーネルの脆弱性を悪用した攻撃を回避し，異種 OS 固有のセキュリティ機能を利用できるセキュアコンテナの実現を目指している．本稿では，FreeBSD の OS 機能を活用した Linux コンテナ互換実行と FreeBSD 固有のセキュリティ機能の適用について検討し，異種 OS 機能連携による特定 OS カーネルを対象にした攻撃回避の実現可能性について議論する．
Oral

BitVisorであやつるコンテナネットワーク

中田裕貴

In BitVisor Summit 11 , Dec 2022

Slides Website

2021

Reviewed

Concentrated Isolation for Container Networks Toward Application-aware Sandbox Tailoring

Yuki Nakata, Katsuya Matsubara, and Ryosuke Matsumoto

In Proceedings of the 14th IEEE/ACM International Conference on Utility and Cloud Computing (UCC ’21) , Leicester, United Kingdom, Dec 2021

Abs

Containers provide a lightweight and fine-grained isolation for computational resources such as CPUs, memory, storage, and networks, but their weak isolation raises security concerns. As a result, research and development efforts have focused on redesigning truly sandboxed containers with system call intercept and hardware virtualization techniques such as gVisor and Kata Containers. However, such fully integrated sandboxing could overwhelm the lightweight and scalable nature of the containers. In this work, we propose a partially fortified sandboxing mechanism that concentratedly fortifies the network isolation, focusing on the fact that containerized clouds and the applications running on them require different isolation levels in accordance with their unique characteristics. We describe how to efficiently implement the mechanism to fortify network isolation for containers with a para-passthrough hypervisor and report evaluation results with benchmarks and real applications. Our findings demonstrate that this fortified network isolation has good potential to tailor sandboxes for containerized PaaS/FaaS clouds.
マイクロサービス型システムの監視におけるグラフDB採用によるメトリック問い合わせ最適化の検討

宮越七菜, 林友佳, 中田裕貴, and 1 more author

In 研究報告インターネットと運用技術（IOT） , Feb 2021

Abs

システムの拡張性や可用性などを向上する設計手法のひとつとして，マイクロサービス・アーキテクチャが注目されている．一方，マイクロサービス型システムでは，負荷に応じたスケールアウトなどの対応により，コンポーネントの数やそれらの依存関係が動的に変化する．分散システムの障害が複数要因の組み合わせで起きる傾向とあいまって，これら依存関係の動的変化は，マイクロサービス型システムの監視における障害発生時の状態把握や障害原因の追究を難しくしている．著者らは，依存関係の動的変化をともなう分散システムを対象とした監視において，コンポーネント間の依存関係に着目しつつ，システムの状態を迅速に把握できる可視化手法を提案している．本研究は，マイクロサービス型システムの監視において収集されるメトリックを管理するデータベースとして，グラフ DB の採用を検討する．本稿では，依存関係に着目したシステム状態可視化にともなって発行されるメトリック問い合わせを分析することで，依存関係情報や各メトリックの保存と探索におけるグラフ DB の有用性を議論する．また，監視ツールの評価に用いるためのマイクロサービス型システムの監視テストベッドの構築についても紹介する．
Oral

SKBパケット選抜総選挙〜僕たちは誰について行けばいい？

中田裕貴

In Open Source Conference 2021 Online Hokkaido , Jun 2021

Slides Website

2020

Reviewed

BLEビーコンを活用した地域課題解決型PBLの実践

中田裕貴, and 松原克弥

教育システム情報学会誌, Jun 2020
コンテナ型クラウドサービス基盤におけるハードウェア仮想化技術の併用によるネットワーク制御の検討

中田裕貴, 松原克弥, and 松本亮介

In コンピュータシステム・シンポジウム論文集 , Nov 2020

Awareded Abs

Best Presentation Award for Young Scientists, the 32nd IPSJ Computer Systems Symposium (ComSys2020) and IPSJ Computer Science Research Award for Young Scientists, Information Processing Society of Japan (IPSJ)

マルチテナント方式のクラウドサービス基盤では，各テナントが平等にリソースを使用できる公平性，テナント間分離による性能低下を抑えたインスタンス性能，既存アプリケーションを改変せずに実行可能とする利便性の3つのサービス品質に十分な配慮を行う必要がある．近年注目されているコンテナ型仮想化技術によるクラウドサービス基盤では，複数のテナントそれぞれに対して，1つのプラットフォーム上で動作するプロセス単位で分離したインスタンスを提供する．その際に広く用いられているOSによるネットワークインタフェースの多重化方式は，パケット送受信の際に多くのOS機能を経由することでネットワークI/O性能が低下する課題がある．この課題に対して，OSカーネルのバイパスなどの高速にパケット処理を行うパケット送受信経路の最適化技術や，軽量なOS機能の実装などのOS処理に対する最適化技術がある．しかし，これらの手法は，トラフィックの公平性，ネットワークI/O性能，利便性のサービス品質すべてを最適にすることが難しい．本研究では，各テナントに割り当てたプロセスのそれぞれに対して，ハードウェア仮想化技術を用いた軽量ハイパーバイザにより実現する仮想ネットワークインタフェースを提供し，ネットワークI/O性能と利便性を最大限維持しつつ，それら仮想ネットワークインタフェースへのトラフィック制御によりテナント間の公平性を実現する手法を提案する．本手法は，コンテナ型仮想化技術向けのネットワーク機能においてハードウェア仮想化技術を併用することで，OSカーネルのバイパスなどを使用した際のトラフィック制御，複数のOS機能間経由にともなう冗長処理削減による性能低下抑制，既存OS向けアプリケーションをそのまま利用できる利便性を両立できる．
Reviewed Poster

マルチテナント向けコンテナ集積型クラウドサービスにおけるネットワーク分離・制御方式の検討

中田裕貴, 松本亮介, and 松原克弥

In インターネットと運用技術シンポジウム論文集 , Nov 2020

Awareded

Best Poster Award, the 13th IPSJ Internet and Operation Technology Symposium (IOTS2020)
マルチテナント向けコンテナ環境における軽量かつ柔軟なARPスプーフィング対策の実現

中田裕貴, 松原克弥, and 松本亮介

In 研究報告システムソフトウェアとオペレーティング・システム（OS） , Feb 2020

Abs

近年，コンテナ型仮想化技術を用いて，マルチテナント向けクラウドコンピューティング基盤を実現する事例が増えている．コンテナ型仮想化システムでは，OS カーネルを共有しつつ，プロセス単位で OS リソースを多重化することで，各コンテナ環境を隔離する．しかし，隔離空間から抜けて，他コンテナに対しての攻撃が可能な OS リソースや機能が存在する．これらの利用は実行権限によって制限されているが，粒度が不十分である．従来，これらの OS リソースの制限をおこなうために，コンテナのセキュリティ機能を用いた制御，仮想マシンを用いた OS 多重化による隔離，ユーザランドにおけるネットワークスタックの再構築などの手法が提案されている．しかし，これらの手法は，設定が柔軟でなかったり，ネットワークのオーバヘッドを増大させる課題があった．本研究では，ハードウェア仮想化技術を用いつつ，OS を多重化せずに軽量かつ柔軟なネットワーク隔離手法を提案する．
Oral

コンテナ型仮想化技術におけるネットワーク分離の研究開発事情

中田裕貴

In Infra Study Meetup #8「インフラの研究開発」 , Nov 2020

Slides Website
Oral

「おいしくてつよくなる」eBPFのはじめかた

中田裕貴

In Open Source Conference 2020 Online/Hokkaido , Jul 2020

Slides Website

2019

BLEビーコンを活用した地域課題解決型PBLの実践

中田裕貴, and 松原克弥

JSiSE研究会研究報告, Mar 2019

2018

HTTPリクエスト単位でインスタンスの再配置が可能な低コストで高速なスケジューリング手法

松本亮介, 中田裕貴, and 栗林健太郎

In 研究報告インターネットと運用技術（IOT） , Jun 2018

Abs

スマートフォンや PC のモバイル化，SNS の爆発的普及に伴い，個人の Web サイトであってもコンテンツ次第でアクセスが集中する機会が増大してきている．我々は，サービス利用者に専門的な知識を要求せず，アクセス数や負荷に応じて反応的かつ高速にリソースをインスタンスに再割当てすることで，サービス利用者や事業者に手間を強いることなく突発的なアクセス集中に耐えうる FastContainer アーキテクチャを提案した．一方で，従来のホスティングサービスやクラウドサービスと同様に，インスタンスの収容サーバ障害時に，HTTP タイムアウトが生じない程度での可用性を担保しサービスを継続提供するためには，複数収容サーバに横断して，それぞれ複数インスタンスを立ち上げておく必要があった．そのため，利用者にとってはサービス利用コストの増加に繋がっていた．本研究では，HTTP リクエスト処理時において，単一のインスタンスであっても，収容サーバの状態に応じて自動的にインスタンスを別の収容サーバに再配置しサービスを継続させる，HTTP リクエスト単位での低コストで高速なインスタンススケジューリング手法を提案する．高速にインスタンスを再配置するために，Web サーバソフトウェア自体を拡張することなく，Web サーバプロセス起動時に実行されるシステムコールを監視して，起動完了する直前のシステムコール実行前の段階でプロセスイメージを作成しておくことにより，インスタンス再配置時には高速に Web サーバプロセスをそのイメージから起動させる．

2017

Oral

Implementation and Status of ’mruby in BitVisor’

中田裕貴, and 松原克弥

In BitVisor Summit 6 , Dec 2017

Slides Website
Oral

My Challenge of Embedding Mruby into a Bare-metal Hypervisor

Yuki Nakata

In RubyKaigi 2017 , Sep 2017

Slides Website