4. 栈回溯原理

当内核发生Oops时，系统会打印出一串以[<...>]开头的调用栈信息。要读懂这些信息，必须理解CPU如何在函数调用过程中管理栈帧（Stack Frame），以及调试器或内核如何利用寄存器（FP、LR、SP）逆向还原调用路径。本节将分别剖析ARM64和x86_64两种主流架构的栈帧布局与回溯机制。

4.1 栈帧基本概念

栈帧是函数在栈上分配的一块连续内存区域，用于保存局部变量、参数、返回地址以及必要的寄存器上下文。每个活跃的函数调用对应一个栈帧。栈帧的边界由两个寄存器界定：

• SP（Stack Pointer）：指向当前栈帧的栈顶（低地址）。
• FP（Frame Pointer）：指向当前栈帧的栈底（高地址），是回溯的锚点。

在ARM64中，FP通常使用x29寄存器；在x86_64中，FP使用rbp寄存器。LR（Link Register）在ARM64中为x30，用于保存函数返回地址。

4.2 ARM64架构栈帧布局与回溯

4.2.1 栈帧布局

ARM64遵循AAPCS64（ARM Architecture Procedure Call Standard for 64-bit）调用约定。在开启帧指针（-fno-omit-frame-pointer）时，每个函数的栈帧头部固定保存FP和LR，形成“帧记录”（Frame Record）。

关键点：在ARM64中，FP指向的是栈帧中保存上一帧FP的位置，而不是栈帧的起始边界。LR紧挨在FP下方（低地址方向）。

4.2.2 回溯算法

ARM64的栈回溯算法非常简洁，核心是遍历帧记录链表：

1. 从当前异常上下文中获取FP和LR。
2. 读取FP指向的内存地址，得到上一帧的FP（old_fp = *fp）。
3. 读取FP+8处的内存地址，得到当前函数的返回地址（pc = *(fp + 8)）。
4. 将FP更新为old_fp，重复步骤2-3，直到FP为0或无效地址。

对应的C语言伪代码如下：

void unwind_arm64(unsigned long fp, unsigned long lr) {
    unsigned long pc = lr;
    while (fp != 0 && fp & 0xf == 0) {  // 16字节对齐检查
        printk("[<%016lx>] func\n", pc);
        pc = *(unsigned long *)(fp + 8);  // 返回地址
        fp = *(unsigned long *)(fp);      // 上一帧FP
    }
}

4.2.3 内联SVG：ARM64栈帧链回溯示意图

4.3 x86_64架构栈帧布局与回溯

4.3.1 栈帧布局

x86_64的System V ABI调用约定与ARM64有显著差异。在开启帧指针（-fno-omit-frame-pointer）时，函数入口会执行push rbp; mov rbp, rsp，形成经典的“rbp链”。

关键区别：x86_64的返回地址由CALL指令自动压栈，位于保存的RBP上方（高地址）；而ARM64的LR由被调用函数手动保存到栈帧中。

4.3.2 回溯算法

x86_64的栈回溯同样基于链表遍历：

1. 从异常上下文获取RBP和RIP（当前指令指针）。
2. 读取RBP指向的内存，得到上一帧的RBP（old_rbp = *rbp）。
3. 读取RBP+8处的内存，得到返回地址（ret_addr = *(rbp + 8)）。
4. 将RBP更新为old_rbp，RIP更新为ret_addr，重复直到RBP为0。

4.3.3 内联SVG：x86_64栈帧布局与回溯

4.4 ARM64 vs x86_64 栈回溯对比

4.5 实战：从Oops输出中提取栈回溯

以下是一个ARM64内核Oops的典型栈回溯片段：

CPU: 1 PID: 123 Comm: insmod Not tainted 5.10.0 #1
Hardware name: Freescale i.MX8MM EVK (DT)
pstate: 60000005 (nZCv daif -PAN -UAO -TCO BTYPE=--)
pc : my_driver_write+0x18/0x30 [my_module]
lr : vfs_write+0xc8/0x1d0
sp : ffff8000123abc80
x29: ffff8000123abc90 x28: 0000000000000000
...
Call trace:
 my_driver_write+0x18/0x30 [my_module]
 vfs_write+0xc8/0x1d0
 ksys_write+0x68/0xf0
 __arm64_sys_write+0x1c/0x30
 el0_svc_common+0x88/0x140
 el0_svc_handler+0x38/0x60
 el0_svc+0x8/0xc

解读要点：

• pc：当前指令指针，指向my_driver_write+0x18，即崩溃发生在该函数偏移0x18处。
• x29 (FP)：值为0xffff8000123abc90，指向当前栈帧中保存的上一帧FP。
• Call trace：内核通过遍历FP链自动生成的调用路径，从最内层（崩溃点）到最外层（系统调用入口）。
• 偏移量：如+0x18/0x30，分子表示崩溃点在函数内的偏移，分母表示函数总大小。结合反汇编可精确定位到具体指令。

4.6 小结