ASELSANMicrokernel
İZOLASYON MODELİ

Kapı ve Odalar

Capability tabanlı mikroçekirdekte izolasyon mekânsaldır: her oda kendi adres uzayını, kendi CNode'unu ve kendi görevlerini tutar; bir odaya girmenin tek yolu o odanın kapısındaki capability'ye sahip olmaktır. Yetki konumdan değil anahtardan gelir.

NEDEN CAPABILITY

Ambient authority yok: geçiş hakkı, geçmek istediğin kapıda yazılıdır

Klasik sistemlerde yetki çoğu zaman konumdan gelir: bir süreç doğru kullanıcıyla, doğru grupta veya çekirdeğin içinde olduğu için geniş bir yetki alanına sahiptir. Bu modelde tersi geçerlidir. Hiçbir görev “genel olarak yetkili” değildir; yalnız kendi CNode'unda taşıdığı capability kadar yetkilidir. Capability iptal edildiğinde kapı kapanır ve eski anahtar ölür.

Oda, bu ilkenin mekânsal karşılığıdır. Odanın içindekiler diğer odanın belleğine doğrudan erişemez. Odalar arasında tek geçiş yolu kapıdır ve kapı bir capability denetim noktasıdır.

Geçişin kuralı. Kapıdan geçen kimliği taşımaz; yanında getirdiği capability'yi taşır. Çekirdek, çağıranın kendi CNode'una bakar: hedef endpoint numarası orada mı, türü Endpoint mi, hakları ENDPOINT_SEND'i içeriyor mu? Üçü de doğruysa geçer; biri eksikse InvalidCapability döner ve çağrı hiçbir yan etki üretmeden biter.

Bu sayfadaki “kapı”, KAPI 1 / KAPI 2a / KAPI 2b ile karıştırılmamalıdır

Depoda KAPI 1, KAPI 2a, KAPI 2b-1, KAPI 2b-2, KAPI 2b-3a, KAPI 2b-3b-i, KAPI 2b-3b-ii ve KAPI 2b-4 adları radyo (SDIO Wi-Fi) get-up'ının donanım kontrol noktalarıdır ve makbuzları vardır. Bu sayfadaki kapı ise çekirdeğin capability denetimli IPC girişidir: bir odadan diğerine geçişin tek yolu, hedef odanın kapısındaki capability'yi kendi CNode'unda tutmaktır. İkisi aynı kelimeyi paylaşır, aynı şeyi anlatmaz.

KAPI 1 — CMD53 blok aktarımı
KAPI 2a — CMD53 yazma yolu gidiş-dönüş
KAPI 2b-1 — EROM çekirdek sayımı (salt-okunur)
KAPI 2b-2 — ARM CR4'ü HALT et
KAPI 2b-3a — cmd52 ile TCM'e toplu yazma
KAPI 2b-3b-i — BRCMFW.BIN'i microSD'den bul ve oku
KAPI 2b-3b-ii — firmware'i TCM'e aktar
KAPI 2b-4 — CR4 START
kernel/src/driver/rpi5_sdio_wifi.rskernel/src/main.rs
01 · ODALAR

Bugün hangi odalar var, hangisi gerçekten izole

Her kart bir oda adı, içindekiler, bugünkü izolasyon durumu ve o iddianın okunabileceği gerçek kaynak dosyaları listeler. “İzole değil” etiketi bir eksik değil, dürüst bir konumdur: o iş bugün çekirdeğin içinde koşuyor.

Çekirdek / TCB odası

EL1'de koşan, geri kalan her şeyin varsaydığı güvenilir çekirdek.

Kısmen
İçindekiler
  • Exception vektörleri, syscall girişi ve EL0/EL1 sınırı
  • MMU kök tabloları, ASID defteri ve page-table ormanı
  • GIC/timer, scheduler ve runqueue
  • CapabilityStore (yalnız provenance) ve CNode slot tabloları
Bugünkü izolasyon

EL0/EL1 sınırı donanımla zorunlu; ama çekirdeğin kendi içinde oda yok. Tek adres uzayı, tek TCB. Ayrı bir çekirdek modülü ayrı bir oda değildir.

Bugün TCB, çekirdek imajının tamamıdır ve küçük tutulması hedeflenir; çekirdek içi hata izolasyonu iddia edilmez.

  • kernel/src/arch/aarch64/exceptions.rssyscall girişi ve EL0/EL1 sınırı
  • kernel/src/ui/capability.rsCapabilityStore yalnız provenance; yetki CNode'da
  • kernel/src/mm/asid_allocator.rsASID 0 kalıcı olarak çekirdeğe ayrılır

EL0 görev odaları (strict ELF)

Kendi page-table kökü, kendi ASID'i ve kendi CNode'u olan kullanıcı görevleri.

Gerçekten izole
İçindekiler
  • Yalnız ELF LOAD segmentleri ve kendi kullanıcı stack'i
  • Kendi CNode'u: en fazla 16 capability slotu
  • Kendi ASID'i: TLB girdileri diğer odalardan ayrılır
  • Kendi sahip olduğu frame'ler ve geri alınabilir page-table ormanı
Bugünkü izolasyon

Kaynak düzeyinde gerçekten izole: strict ELF görevi allocate_page_table_root ile kendi kökünü alır, owns_page_table_root ve owned_user_page_tables ile sahipliğini taşır, ASID'i ayrıdır. Erişim yetkisi konumdan değil CNode'daki anahtardan gelir.

Ölçülmemiş kısım: bir odanın diğer odanın belleğine erişmeyi deneyip reddedildiğini gösteren EL0 veya fiziksel test bu sayfanın kaynaklarında yok. Legacy, çekirdek içine gömülü EL0 demolari ise kök tabloyu çekirdekle paylaşır.

  • kernel/src/mm/address_space.rsAddressSpace: root_phys, asid, is_owned
  • kernel/src/task/scheduler.rsTask.cnode, page_table_root, owns_page_table_root, asid
  • kernel/src/mm/user_page_table.rskullanıcı page-table ormanı ve geri alma
  • kernel/src/elf_plan.rsizinli pencere + yasaklı aralıklar + sayfa tavanı

UI-server odası (ekran)

Kareyi oluşturan, ölçekleyen ve panale veren yol.

İzole değil
İçindekiler
  • Surface raster ve kare kompozisyonu
  • Home/Lock/Settings sahneleri
  • DSI scanout yolu ve panel zamanlaması
  • Framebuffer capability'sinin sahibi taraf
Bugünkü izolasyon

Bugün ayrı bir EL0 görevi değil: kompozisyon çekirdek içinde, EL1'de koşuyor. Yani kendi adres uzayı ve kendi CNode'u olan bir oda değil.

Bu yüzden çerçeve kapısı bugün gerçek bir oda geçişi değil. Framebuffer capability'si ve CNode kaydı hazır; alıcı taraf EL0'a taşınmadığı için kapı henüz iki oda arasında açılmıyor.

  • kernel/src/ui/server.rskare kompozisyonu çekirdek içinde
  • kernel/src/ui/ios_home.rshome sahnesi
  • kernel/src/ui/raster.rsyazılı raster yüzeyi
  • kernel/src/driver/rpi5_dsi.rsDSI host tarafı

AselBrowser odası

HTML/CSS motoru ve sayfa çizimi; ürün hedefi Edge/Firefox/Chrome sınıfı tarayıcı.

Kısmen
İçindekiler
  • Bounded HTML/CSS alt kümesi parser'ı ve layout
  • Yazılım rasterizasyonu ve çift tamponlu present sözleşmesi
  • EL0 render-process capability jail modeli
  • Kendi capability kümesi: DisplayPresent, InputEvents, NetworkBrokerIpc, ClockMonotonic
Bugünkü izolasyon

Motor ayrı ve #![forbid(unsafe_code)] bir crate; RenderProcess modeli kendi capability kümesini ve compositor DMA tabanını taşır, dosya sistemi/MMIO/soket yüzeyi açmaz. Ama bu crate bugün çekirdeğe gömülüp EL0 görevi olarak yüklenmiyor.

Panoya giden yol hâlâ çekirdek içindeki tarayıcı/kare yolundan geçiyor. Yani kapının tarif ettiği ayrı oda, modelde var; çalışan görüntüde yok.

  • userspace/asel_browser/src/el0.rsEL0 render-process capability jail modeli
  • userspace/asel_browser/src/lib.rsforbid(unsafe_code), CapabilitySet
  • kernel/src/ui/browser.rspanodaki kare yolunda kullanılan çekirdek içi tarayıcı

Radyo odası

Wi-Fi SDIO, Bluetooth UART ve Ethernet MAC taleplerinin kapı yüzü.

İzole değil
İçindekiler
  • WifiClaim / BtClaim / EthClaim sahiplik kayıtları
  • Barunmapped, CellularAbsent, NoSocketLayer gibi fail-closed ret tipleri
  • Trafik sayaçları (rx/tx byte ve paket)
  • Radyo get-up'ının KAPI makbuzları
Bugünkü izolasyon

Radyo sürücüleri çekirdek içinde koşuyor; ayrı adres uzayı yok. Kapı burada bir oda sınırı değil, capability biçimli bir yüz olarak modellenmiştir.

Radyo sessizdir: bu yüz radyoyu açmaz, yalnız kim neyi talep edebilir sorusunu fail-closed cevaplar. Ayrı bir radyo odası hedef, bugünkü durum değil.

  • kernel/src/driver/rpi5_radio.rsfail-closed radyo/trafik yüzü
  • kernel/src/driver/rpi5_sdio_wifi.rsSDIO get-up ve KAPI makbuzları
  • kernel/src/driver/rpi5_bt_uart.rsBluetooth UART claim

Depolama odası

Blok aygıtı, bölümleme ve FAT32 okuma yolu.

İzole değil
İçindekiler
  • Block device ve partition katmanı
  • FAT32 okuma yolu
  • SD kart soğuk başlatma ve denetleyici yolu
  • Radyo firmware'ini karttan okuyan yol
Bugünkü izolasyon

Bugün çekirdek içi sürücü; kendi CNode'u ve adres uzayı olan bir depolama servisi yok.

Kalıcı denetim kaydı da bu odada değil: capability provenance'ı RAM'de tutulur, yeniden başlatmada silinir. Diske yazılan bir yetki defteri bugün yok.

  • kernel/src/storage/block.rsblok aygıtı katmanı
  • kernel/src/storage/partition.rsbölümleme
  • kernel/src/driver/rpi5_fat32.rsFAT32 okuma yolu

Bellek / Tcb / Untyped odaları (henüz yok)

seL4 modelinin kalan kaynak tipleri.

İskele
İçindekiler
  • CapabilityKind::Memory — sayfa frame veya bellek nesnesi
  • CapabilityKind::Tcb — suspend/resume/configure yetkisi
  • CapabilityKind::Untyped — retype bekleyen ham bellek
  • mint_memory / mint_tcb / mint_untyped giriş noktaları
Bugünkü izolasyon

Tipler ve mint giriş noktaları var; enum yorumu bu üçünün M5.4/M5.5'i bekleyen iskele olduğunu açıkça yazıyor. Framebuffer ve Endpoint tam yetkin olan iki tür.

Bu yüzden bellek kapısı bugün açılmıyor: kapısı olmayan odaya kimse giremez, ama bu üç oda da henüz gerçekten yok.

  • kernel/src/ui/capability.rsCapabilityKind::Memory/Tcb/Untyped ve iskele yorumu
02 · KAPILAR

Dört kapı türü: çağrı, bildirim, çerçeve, bellek

Her kapı bir capability türüne dayanır. Açılma koşulu capability'nin hedef odanın CNode'una yazılması, kapanma koşulu ise o slotun generation bump'ıyla iptal edilmesidir.

Çağrı kapısı (endpoint)

Uygulandı
CapabilityKind::Endpoint
ENDPOINT_SENDENDPOINT_RECVENDPOINT_GRANTENDPOINT_REVOKEEndpointRights::REPLY (tek kullanımlık reply nesnesi)
Açılma
mint_endpoint(owner, badge) capability'yi önce sahibinin CNode'una yazar; CNode insert başarısızsa endpoint global registry'ye hiç yayımlanmaz. Paylaşım grant_task_endpoint_to_task ile, çekirdek kaynaklı paylaşım mint_kernel_shared_endpoint + grant_kernel_shared_endpoint_to_task ile açılır.
Kapanma
revoke_endpoint_grant(grant, actor) typed yetki ister; nesne imhası ayrı bir yoldur (destroy_task_endpoint_object). CNode slot'u temizlenirken generation bump edilir, böylece eski (id, generation) çifti ölür. Endpoint'e bloke olmuş görevler wake_tasks_on_revoked_endpoint ile uyandırılır.
Kimlik
Çağıranın kendi CNode'unda hedef endpoint id'si aranır: tür Endpoint olmalı ve ENDPOINT_SEND içermeli. Ayrıca hedef, registry'de normal (reply olmayan) bir endpoint olmalı. Aksi hâlde çağrı IpcError::InvalidCapability ile biter; hak ihlali ayrıca loglanır.
kernel/src/arch/aarch64/exceptions.rskernel/src/ui/capability.rskernel/src/task/scheduler.rsabi/src/lib.rs

Bildirim kapısı (notification)

Uygulandı
CapabilityKind::Notification
NOTIFICATION_SIGNALNOTIFICATION_WAITNOTIFICATION_GRANTNOTIFICATION_REVOKE
Açılma
mint_notification(owner) ile nesne doğar, grant_task_notification_to_task ile başka bir odanın CNode'una yazılır. Bekleyen taraf mask ve göreli timeout verir.
Kapanma
revoke_notification_grant ve destroy_notification_object ayrı yollardır. Bekleyen kimliği capability generation'ı içerdiği için, iptal edilip yeniden mint edilen bir capability eski bekleyişi tatmin edemez.
Kimlik
Bekleyici kimliği üçlüdür: task_id, capability_generation, mask. Sıfır task, sıfır generation veya boş mask reddedilir; kayıtlı bekleyiciyle eşleşmeyen mutasyon StaleWaiter / ExactWaiterMismatch ile fail-closed biter.
kernel/src/ipc_notification.rskernel/src/ipc_wait.rskernel/src/ui/capability.rs

Çerçeve kapısı (framebuffer)

Kısmen
CapabilityKind::Framebuffer
READWRITEVSYNCDMA
Açılma
grant_framebuffer bölge kapsamlı bir grant üretir ve CNode'a otomatik kaydeder; alt paylaşım delegate_framebuffer_grant ile yapılır ve delegation zinciri tutulur.
Kapanma
revoke_grant(grant_id, revoker) ile kapanır; zincir get_delegation_chain ile sorgulanabilir. Bu, bugün gerçekten çalışan iki tam yetkin capability türünden biridir.
Kimlik
Grant sahibi ve bölge (FramebufferRegion) birlikte doğrulanır; haklar istenen işlemi kapsamalıdır. Ancak alıcı taraf bugün EL0'da ayrı bir oda olmadığı için bu kapı henüz odalar arası bir geçiş değil.
kernel/src/ui/framebuffer.rskernel/src/ui/capability.rskernel/src/main.rs

Bellek kapısı (memory / untyped / tcb)

İskele
CapabilityKind::Memory · Tcb · Untyped
READ / WRITE (maske hazır)VSYNC / DMA (framebuffer ile paylaşılan bitler)
Açılma
mint_memory, mint_tcb ve mint_untyped giriş noktaları bugün de var; fakat enum yorumu bu türlerin M5.4/M5.5'i bekleyen iskele olduğunu yazıyor.
Kapanma
Bugün kapatılacak gerçek bir bellek kapısı yok. En yakın mekanizma, ELF yükleme politikasıdır: izinli pencere, yasaklı aralık listesi ve sayfa tavanı.
Kimlik
Ölçülmedi — bu türler için uçtan uca bir EL0 kapı testi yok. Kaynakta duran şey tip ve mint imzasıdır, çalışan bir geçiş değil.
kernel/src/ui/capability.rskernel/src/elf_plan.rskernel/src/main.rs
03 · KAPI KURALLARI

Altı kural ve her birinin bugünkü durumu

Kurallar hedef mimarinin değil, bugünkü kodun ölçüsüdür. Uygulandı etiketi kaynak ve host/QEMU düzeyini anlatır; fiziksel kart ölçümü ayrı bir kanıt sınıfıdır.

A

Capability'siz kapı yok.

Uygulandı

Yetkinin asıl sahibi CNode'dur; global store yalnız provenance tutar ve haklar bilinçli olarak oradan çıkarılmıştır. Çağrı yolu, hedef id'yi çağıranın kendi CNode'unda bulamazsa çağrı yan etkisiz biter.

kernel/src/ui/capability.rskernel/src/arch/aarch64/exceptions.rskernel/src/task/scheduler.rs
B

Kapı tek amaçlıdır; haklar ayrıdır.

Uygulandı

Endpoint tarafında SEND, RECV, GRANT ve REPLY ayrı haklardır; CALL her zaman SEND ister, almak ayrı syscall'dır. Reply nesneleri tek kullanımlık ayrı bir yaşam döngüsüne sahiptir ve genel iptal yolu onları reddeder.

kernel/src/ui/capability.rskernel/src/arch/aarch64/exceptions.rs
C

Kapı iptal edilebilir olmalı; iptal eski anahtarı öldürmeli.

Kısmen

CNode slot'undan çıkarma generation'ı bump eder, bu yüzden eski (id, generation) çifti geçersizleşir. Exact iptal önce preflight eder: bayat generation veya değişmiş hak/provenance demeti, yeni slot sakini iptal edemez. Eksik olan: çapraz CPU yarışı. Yollar global IPC transaction kilidi ve IRQ guard'ı ile serileştirilir; production RPi5 yolunda ayrıca writer guard'lar fail-closed panikler. Ancak GENERIC_SMP kapalıdır ve genel çapraz CPU iptal/uyandırma arbitrasyonu açıktır.

kernel/src/ui/capability.rskernel/src/task/scheduler.rskernel/src/arch/aarch64/exceptions.rs
D

Kapı çağrısı bounded olmalı; sonsuz bekleme yok.

Uygulandı

CALL, RECV ve notification wait için göreli tick veren timeout varyantları vardır; çekirdek bunları yarım-aralık güvenli mutlak deadline'a çevirir. Ortak deadline tablosu 32 kayıt kapasitelidir, timer IRQ başına en fazla bir kayıt emekliye ayrılır ve tam-dolu tablo için üst sınır 320 ms olarak sabitlenmiştir. Kuyruk tarafı da sınırlıdır: capacity=8. Fiziksel RPi gecikmesi bu sayfada ölçülmüş değildir.

kernel/src/ipc.rsabi/src/lib.rskernel/src/ipc_queue.rs
E

Kapı geçişi kaydedilir (provenance).

Kısmen

Her mint için provenance kaydı düşer: kim, hangi tick'te, hangi üst capability'den. İptal kaydı silinmez; kim iptal etti ve hangi tick'te bilgisi işaretlenir, delegation zinciri sorgulanabilir. Eksik olan kalıcılık: bu kayıt RAM'dedir, yeniden başlatmada kaybolur ve diskte bir yetki defteri yoktur.

kernel/src/ui/capability.rskernel/src/task/scheduler.rs
F

Başarısızlık fail-closed olmalı; yarım kapı bırakılmaz.

Uygulandı

Mint hataları tiplidir ve yayımlama sırası bilinçlidir: CNode insert başarısızsa endpoint ne döner ne registry'ye girer. Id ile genel iptal, endpoint ve notification kimliklerini reddeder ve typed yetki yoluna gönderir. Scheduler writer guard'ları alınamazsa panikleyerek durur; yarım mutasyonla devam etmez.

kernel/src/ui/capability.rskernel/src/task/scheduler.rskernel/src/ipc_notification.rs
04 · KAPI ENVANTERİ

Hangi kapı, kimden kime, hangi capability ile

Bu tablo bir yetki matrisidir: satırdaki kaynak oda, hedefteki kapıyı kendi CNode'unda taşımadan geçemez. Son satır bilinçli olarak capability değildir; yeni bir oda açılırken uygulanan yükleme politikasıdır.

KapıSyscallKaynak odaHedef odaCapability türüBugünkü durumKaynak dosya
MINT_ENDPOINTx8=13EL0 görev odasıkendi CNode'uEndpointKaynak düzeyinde çalışıyor; CNode dolarsa id 0 döner
abi/src/lib.rs
kernel/src/arch/aarch64/exceptions.rs
IPC_CALLx8=10çağıran odaendpoint sahibi odaEndpoint · SENDKaynak düzeyinde çalışıyor; capacity=8 bounded FIFO
kernel/src/arch/aarch64/exceptions.rs
kernel/src/ipc.rs
IPC_CALL_TIMEOUTx8=15çağıran odaendpoint sahibi odaEndpoint · SEND + deadlineKaynak + QEMU SLA; fiziksel RPi gecikmesi ölçülmedi
kernel/src/ipc.rs
kernel/src/ipc_deadline.rs
IPC_RECV / IPC_REPLYx8=11, 12sunucu odasıtek kullanımlık reply nesnesiEndpoint · RECV / REPLYKaynak düzeyinde çalışıyor; reply nesnesi one-shot
kernel/src/ipc.rs
kernel/src/ui/capability.rs
NOTIFICATION_SIGNALx8=17sinyal veren odabekleyen odaNotification · SIGNALKaynak düzeyinde çalışıyor; bits + mask modeli
kernel/src/ipc_notification.rs
kernel/src/task/scheduler.rs
NOTIFICATION_WAIT_TIMEOUTx8=18bekleyen oda—Notification · WAIT + deadlineKaynak düzeyinde çalışıyor; kimlik generation'a bağlı
kernel/src/ipc_notification.rs
kernel/src/ui/capability.rs
Framebuffer grant—çerçeve sahibiUI odası (bugün çekirdek içi)Framebuffer · READ/WRITE/VSYNC/DMAGrant + delegation zinciri var; alıcı taraf EL0'da değil
kernel/src/ui/framebuffer.rs
kernel/src/main.rs
Kernel-shared endpoint—çekirdekEL0 görev odasıEndpointKaynak düzeyinde çalışıyor; çekirdek nesnesi yalnız çekirdekten imha edilir
kernel/src/ui/capability.rs
Bellek / Tcb / Untyped kapıları———Memory · Tcb · Untypedİskele: tip ve mint imzası var, M5.4/M5.5 bekliyor
kernel/src/ui/capability.rs
Oda açılışı (ELF yükleme penceresi)—çekirdekyeni EL0 odası— (capability değil; yükleme politikası)İzinli pencere + yasaklı aralıklar + sayfa tavanı ile reddeder
kernel/src/elf_plan.rs
kernel/src/mm/address_space.rs
05 · BUGÜN NE YOK

Ölçülmemiş olanı ölçülmüş gibi yazmayan liste

Bu bölümdeki her satır, kapının bugün nerede bittiğini söyler. “Ölçülmedi”, “yok” ve “yalnız model” etiketleri bilinçli olarak ayrıdır; üçü farklı iş yükü demektir.

Oda başına ayrı adres uzayı garantisinin çapraz erişim testi

Ölçülmedi

Strict ELF görevleri kendi page-table kökünü ve ASID'ini alır; bu kaynakta okunabilir. Ama “A odası B odasının belleğini okuyamaz” cümlesini kanıtlayan bir EL0 ya da fiziksel test bu sayfanın kaynaklarında yok. Ayrıca legacy, çekirdek içine gömülü EL0 demolari kök tabloyu çekirdekle paylaşır; o görevler bu modelde ayrı oda sayılmaz.

kernel/src/mm/address_space.rskernel/src/task/scheduler.rskernel/src/mm/user_page_table.rs

Kapı iptalinin çapraz CPU yarış durumu

Ölçülmedi

Tek CPU'da yollar global IPC transaction kilidi ve IRQ guard'ı ile serileştirilir; production RPi5 yolunda ek writer guard'lar vardır. Fakat GENERIC_SMP kapalı ve production Generic SMP cross-CPU scheduler/timer/signal/revoke/wake/reaper arbitrasyonu açık. İki CPU'nun aynı kapıyı aynı anda iptal etmesi ölçülmüş değildir.

kernel/src/task/scheduler.rskernel/src/ui/capability.rs

Provenance kaydının kalıcılığı

Yok

Capability provenance'ı RAM'de tutulur: oluşturma tick'i, kim iptal etti, hangi tick'te ve üst capability zinciri kaydedilir. Yeniden başlatmada bu kayıt silinir; diske yazılan bir yetki defteri, mühür ya da geri alma noktası yoktur.

kernel/src/ui/capability.rskernel/src/storage/block.rs

CNode derinliği ürün için yeterli değil

İskele sınırı

Oda başına 16 slot. Kaynak yorumu bunun prototip olduğunu ve gerçek sistemlerde 128–4096 arası olduğunu yazıyor. Taşma davranışı fail-closed'dur (OwnerCNodeFull) ama kapı sayısı arttıkça 16 yetki ürüne yetmez.

kernel/src/ui/capability.rs

Eşzamanlı oda sayısı ASID ile sınırlı

İskele sınırı

ASID uzayı 256 girdidir ve ASID 0 kalıcı olarak çekirdeğe ayrılmıştır; yani aynı anda en fazla 255 kullanıcı adres uzayı. Bu bir ürün kapasitesi kararı değil, bugünkü defterin sınırıdır.

kernel/src/mm/asid_allocator.rs

UI ve radyo odalarının EL0'a taşınması

Yok

Kompozisyon ve radyo sürücüleri çekirdek içinde koşar. Framebuffer capability'si ve CNode kaydı hazır olsa da UI tarafı ayrı bir oda olmadığı için çerçeve kapısı bugün odalar arası bir geçiş değildir.

kernel/src/ui/server.rskernel/src/driver/rpi5_radio.rs

Oda gözetimi ve yeniden başlatma

Yalnız model

Servis öldürme/yeniden başlatma, karantina ve backoff kararları R1 model kapılarında modellenmiştir; bunlar kaynak/model kapılarıdır, fiziksel çalıştırma değildir. Bir odanın çöküp kendi kapısıyla geri gelmesi bugün kanıtlanmış değildir.

simulation/tests/g8l_target_dispatch_scheduler_owner_scheduler_mutation_production_migration_lifecycle_s562_r1_service_kill_restart_supervision_model.rswebsite/src/lib/nav.ts

Platform izolasyonunun fiziksel kabulü

Ölçülmedi

R2 hattındaki production_platform_isolation kabul tanımlayıcısı fiziksel kanıt ister (physical_evidence_required). Bu, kabul edilmiş bir izolasyon ölçümü değil, bekleyen bir kapıdır. Kaynak PASS fiziksel PASS değildir; R1 fiziksel boot cephesi hâlâ açıktır.

simulation/tests/g8l_target_dispatch_scheduler_owner_scheduler_mutation_production_migration_lifecycle_s708_r2_production_platform_isolation_contract.rswebsite/src/lib/nav.ts
06 · NEREYE BAĞLANIR

Bu modelin komşu sayfaları

İzolasyon modeli tek başına okunmaz: kanıt sınırı, misyon, kod kapıları ve sürücü envanteri ile birlikte anlam kazanır.

Güvenlik/guvenlik

Koşulan adversarial inceleme, düzeltilen ve düzeltilmeyen bulgular.

Misyon/misyon

Capability microkernel hedef mimarisi ve kanıt sınırı.

Kod/code

Kapı numaralarına göre kod kanıtı ve kaynak ağacı.

Sürücüler/driver

Hangi sürücü depoda var, hangisi donanımda çalıştı.

Saat/saat

Deadline'ların ve provenance tick'lerinin dayandığı monotonik saat ile duvar saati ayrımı.

İşlemler/operations

Deadline, teardown ve süpervizyon model kapılarının kaydı.

Timeline/timeline

M5 Capability, M6 Gerçek IPC ve M7 User IPC'nin sıradaki yeri.

Bu sayfa yalnız yukarıdaki kaynak dosyalarda okunabilen iddiaları taşır. Bir kapının fiziksel kartta ölçüldüğüne dair bir makbuz burada listelenmiyorsa, o ölçüm yapılmamıştır.