Ce que fait le noyau

Le noyau est le premier logiciel qui s'exécute lorsque votre serveur démarre, directement après le firmware. Tout ce qui se passe ensuite — chaque connexion réseau, chaque fichier sur le disque, chaque processus en cours — passe par cette couche unique. Sans noyau, votre machine n'est qu'un ensemble de composants isolés qui ne communiquent pas entre eux.

Cet article explique ce que fait le noyau sur les systèmes Linux et pourquoi ces choix ont de l'importance. Vous n'avez pas besoin d'un accès spécial, seulement d'un système Linux et de curiosité pour ce qui se trouve sous vos commandes.

Interruptions : le noyau comme réceptionniste

Lorsque vous appuyez sur une touche de votre clavier, le contrôleur du clavier envoie un signal au CPU. Ce signal est une interruption — une coupure qui demande l'attention du processeur. Le noyau capte ce signal et veille à ce que la bonne partie du système soit informée.

Sans une gestion correcte des interruptions, votre système ne réagit pas aux entrées utilisateur, au trafic réseau ou à l'activité du disque. Le noyau traite ces signaux efficacement, sans interrompre les processus d'une manière qui ralentit le système ou le rend instable.

Sur Linux, vous pouvez voir les interruptions en direct :

watch -n1 cat /proc/interrupts

Chaque ligne affiche une ligne d'interruption, le nombre de fois où elle a été activée par cœur de CPU, et le périphérique qui se trouve derrière. Vous voyez des cartes réseau, des contrôleurs de disque et des minuteries — tous via la même gestion du noyau.

Gestion de la mémoire : qui reçoit quoi

La mémoire vive est limitée et doit être attribuée avec soin. Le noyau décide quel processus reçoit combien de mémoire et quand. Ce n'est pas une formalité administrative : si les processus avaient un accès arbitraire à la mémoire des autres, chaque programme pourrait lire ou écraser n'importe quel autre programme.

Lorsque vous démarrez une application, celle-ci demande de la mémoire au système d'exploitation. Le noyau répond à cette demande, mais suit précisément ce qui est utilisé. Si la mémoire est pleine, le noyau détermine quelle mémoire peut être temporairement libérée ou déplacée vers le disque.

Le noyau gère également la mémoire virtuelle. Ce système ne fonctionne que si le processeur dispose d'une unité de gestion mémoire (MMU) — et tous les processeurs x86 et ARM modernes en ont une. La mémoire virtuelle donne à chaque processus son propre espace mémoire isolé, comme s'il était la seule application en cours d'exécution.

Un processus pense disposer d'un grand bloc de mémoire, alors qu'en réalité celui-ci est réparti sur la RAM physique et étendu au disque via le swap. Le noyau traduit les adresses virtuelles en adresses physiques, de sorte que les processus ne doivent jamais travailler directement avec des emplacements physiques. Cela augmente non seulement l'efficacité, mais aussi la sécurité.

Une conséquence directe de la mémoire virtuelle : si un programme plante ou est piraté, il ne peut normalement pas endommager d'autres programmes. Il est limité à son propre espace mémoire virtuel, et le noyau sépare strictement ces espaces. Ce principe est à la base du multitâche moderne : plusieurs programmes s'exécutent simultanément sans se déranger mutuellement.

Processus et ordonnancement

Un processus est une instance active d'un programme. Le noyau démarre les processus, les arrête et veille à ce qu'ils accèdent au processeur de manière organisée. C'est ce qu'on appelle l'ordonnancement.

Il y a presque toujours plus de processus actifs que de cœurs dans le processeur. Le noyau doit donc décider quel processus peut utiliser le processeur à quel moment. L'ordonnanceur du noyau Linux attribue des priorités en fonction de l'urgence, des droits d'utilisateur et du type de tâche. Un navigateur web dans lequel vous travaillez activement obtient la priorité sur une tâche en arrière-plan comme une mise à jour système.

Vous pouvez voir l'ordonnanceur à l'œuvre :

ps aux --sort=-%cpu | head -10

Cela affiche les dix processus qui consomment le plus de temps CPU à ce moment. Derrière cet ordre se trouve l'ordonnanceur de votre noyau.

Appels système : le pont

Les logiciels communiquent avec le noyau via des appels système, comme read() et write(). Lorsqu'un programme veut lire ou écrire un fichier, il appelle ces fonctions. Le noyau intercepte l'appel, vérifie si le programme a les droits appropriés, et effectue l'action de lecture ou d'écriture réelle sur le disque.

Cette couche forme le pont entre l'espace utilisateur et l'espace noyau — une séparation stricte qui garantit stabilité et sécurité. Un programme ne peut effectuer aucune action matérielle sans que le noyau ne la vérifie.

Vous pouvez suivre les appels système en direct avec strace :

strace -c ls /tmp

Cela exécute ls et affiche ensuite un résumé de tous les appels système traités par le noyau. Vous voyez read, write, open, close, mmap et des dizaines d'autres — tous contrôlés par le noyau.

Le noyau en chiffres

Le développement est réalisé par un réseau mondial de développeurs, mais Torvalds reste la figure de proue du processus. Ce n'est pas une note historique : cela détermine comment le noyau est géré et comment les décisions sont prises.

Le noyau contient des pilotes pour le matériel, les protocoles réseau, les systèmes de fichiers et le support pour d'innombrables processeurs et périphériques. La modularité permet d'ajouter ou de supprimer des fonctions sans redémarrer tout le système. C'est pourquoi Linux fonctionne sur les smartphones, les routeurs, les supercalculateurs et les serveurs cloud.

Ce que le noyau vous coûte

Le noyau résout beaucoup de choses, mais pas gratuitement. Chaque appel système implique un changement de contexte : le processeur bascule de l'espace utilisateur à l'espace noyau et inversement. Cela coûte des cycles CPU. L'ordonnanceur et la gestion de la mémoire consomment aussi de la capacité processeur. Sur un serveur moderne, cela est négligeable — généralement moins d'un pour cent du temps CPU. Mais sur les systèmes embarqués avec un processeur lent, cela compte.

Le noyau est aussi un morceau de logiciel qu'il faut maintenir. Les mises à jour de sécurité sortent régulièrement et doivent être installées. Une mise à jour du noyau nécessite un redémarrage, sauf si vous utilisez le patching à chaud comme kpatch ou kexec. C'est une complexité supplémentaire que vous ne voulez que si un redémarrage est inacceptable.

Le plus grand coût n'est cependant pas technique. Le noyau est flexible, mais cette flexibilité signifie que vous devez faire des choix. Un noyau compilé pour tout est volumineux et lent. Un noyau adapté à votre matériel est plus rapide et plus sûr, mais nécessite que vous sachiez ce dont votre système a besoin. Les noyaux de distribution comme ceux de Debian ou d'Ubuntu sont un bon compromis : ils fonctionnent sur presque tout, mais contiennent beaucoup de modules que vous n'utilisez pas.

Héberger soi-même semble magnifique, jusqu'à ce que quelque chose tombe en panne un dimanche soir à vingt-trois heures trente. Là, vous n'êtes pas un client qui attend au service d'assistance. Vous êtes le service d'assistance.

Vérification

Vérifiez quel noyau vous exécutez :

uname -r

Cela affiche votre version du noyau, par exemple 6.1.0-18-amd64 sur Debian 12. Comparez-la avec la version que votre distribution prend en charge. Un noyau trop ancien manque de correctifs de sécurité et de prise en charge pour le nouveau matériel.

Examinez quels modules du noyau sont chargés :

lsmod

Cela affiche les modules chargés, leur taille et quels autres modules ils utilisent. Si votre carte réseau ne fonctionne pas, il y a de fortes chances que le bon module manque.

Erreurs fréquentes

Reporter les mises à jour du noyau. Un noyau contient des correctifs de sécurité directement pertinents pour un serveur exposé sur internet. Ne reportez pas les mises à jour parce qu'un redémarrage est gênant. Planifiez un redémarrage, ou utilisez le patching à chaud si cela est vraiment impossible.

Charger trop de modules. Chaque module chargé est une surface d'attaque potentielle. Les noyaux de distribution chargent beaucoup de modules dont vous n'avez pas besoin. Pour un serveur qui ne sert que du trafic web, les modules pour le bluetooth et l'audio grand public sont superflus. Supprimez-les via modprobe -r ou mettez-les sur la liste noire.

Confondre le noyau avec la distribution. Le noyau est un composant de votre système d'exploitation. Les outils que vous utilisez — systemd, bash, le gestionnaire de paquets — fonctionnent dans l'espace utilisateur et ne sont pas le noyau. Si vous les confondez, vous résolvez des problèmes au mauvais niveau.

Le noyau est le régisseur invisible de votre système. Il coordonne tous les composants, protège l'intégrité du matériel et assure une exécution isolée et sûre des programmes. Sans le noyau, votre serveur reste une collection de composants sans lien. Avec le noyau, il devient un ensemble intégré et fonctionnel — et cet ensemble est exactement aussi bon que les choix que vous faites dans la couche au-dessus.