📚 课程目录第3章内核内存管理基础

3. 内核内存管理基础：kmalloc/kfree、内存屏障、DMA缓冲区与一致性

在安全驱动开发中，内存管理是连接硬件与内核的桥梁。错误的分配、释放或同步操作不仅会导致系统崩溃，更可能引入严重的安全漏洞（如缓冲区溢出、use-after-free、数据竞争）。本章将深入剖析内核内存管理的四大核心主题：动态内存分配、内存屏障、DMA缓冲区管理以及一致性模型。

安全视角： 驱动中的内存错误是CVE（通用漏洞披露）的高发区。理解底层机制是编写安全、可靠驱动代码的前提。

3.1 内核动态内存分配：kmalloc 与 kfree

内核空间的内存分配与用户空间截然不同。驱动不能使用 malloc，而必须使用内核提供的专用API。其中，kmalloc 和 kfree 是最基础、最常用的分配器，用于分配物理连续、大小固定的内存块。

3.1.1 kmalloc 核心特性

物理连续性： 分配的内存块在物理地址空间中是连续的，这对于DMA操作至关重要。
分配大小限制： 通常用于分配小于一个页面（通常为4KB）的内存块。对于大块内存，应使用 __get_free_pages 或 vmalloc。
GFP标志（Get Free Pages）： 控制分配行为的关键参数。

GFP标志	含义	使用场景
`GFP_KERNEL`	标准分配，可能睡眠（阻塞）。	进程上下文，无原子性要求。
`GFP_ATOMIC`	原子分配，不会睡眠。分配失败几率更高。	中断处理程序、软中断、自旋锁持有期间。
`GFP_DMA`	分配可用于DMA操作的内存（位于ZONE_DMA区域）。	需要与旧式ISA设备或特定DMA控制器交互。
`GFP_KERNEL \| GFP_DMA32`	分配位于32位地址空间内的DMA内存。	大多数现代DMA设备。

3.1.2 典型使用模式

#include <linux/slab.h>

struct my_device_data {
    int id;
    char buffer[256];
};

static struct my_device_data *dev_data;

// 分配内存
dev_data = kmalloc(sizeof(struct my_device_data), GFP_KERNEL);
if (!dev_data) {
    pr_err("Failed to allocate memory\n");
    return -ENOMEM;
}

// 使用内存
dev_data->id = 1;
strncpy(dev_data->buffer, "Hello from kernel", sizeof(dev_data->buffer));

// 释放内存
kfree(dev_data);
dev_data = NULL; // 防止悬空指针

安全陷阱： 使用 kfree 后，务必立即将指针置为 NULL。悬空指针是导致 use-after-free 漏洞的常见原因。此外，kmalloc 返回的内存未清零，可能包含敏感信息，请使用 kzalloc 进行零初始化分配。

3.2 内存屏障：保证多核与设备可见性

现代处理器和编译器为了优化性能，会重排内存访问指令。在单线程环境下，这通常无害。但在多核系统或与硬件设备交互时，这种重排会导致数据不一致。内存屏障（Memory Barrier）就是用来强制约束访问顺序的指令。

3.2.1 为什么需要内存屏障？

考虑以下场景：CPU0 写入数据到缓冲区，然后设置一个“数据就绪”标志位。CPU1 轮询该标志位，一旦发现为真，就读取缓冲区数据。如果没有屏障，CPU1 可能看到标志位已置位，但缓冲区数据仍然是旧的（因为CPU0的写操作被重排了）。

    核心概念： 内存屏障保证屏障之前的所有内存访问（读/写）在屏障之后的任何内存访问之前完成，并且全局可见。

3.2.2 Linux 内核中的屏障API

API	作用	典型场景
`mb()`	通用内存屏障（读+写）。	CPU与CPU之间的数据同步。
`rmb()`	读内存屏障。保证屏障前的读操作先于屏障后的读操作完成。	读取描述符环（Descriptor Ring）的状态。
`wmb()`	写内存屏障。保证屏障前的写操作先于屏障后的写操作完成。	写入DMA描述符后，再更新“门铃”寄存器。
`dma_rmb()`	DMA相关的读屏障。保证对DMA缓冲区的读取顺序。	读取DMA传输完成的状态位。
`dma_wmb()`	DMA相关的写屏障。保证对DMA缓冲区的写入顺序。	填充DMA缓冲区后，通知设备开始传输。
`smp_mb()`	仅用于SMP（对称多处理）系统的屏障。在单核系统上被优化为空操作。	内核线程间的同步。

3.2.3 内存屏障与DMA交互示例

// 假设 dev->desc 是DMA描述符，dev->doorbell 是门铃寄存器

// 1. 填充DMA描述符
dev->desc->buffer_addr = dma_addr;
dev->desc->length = size;
dev->desc->flags = DMA_TX_START;

// 2. 写屏障：确保描述符的写入在门铃写入之前完成
wmb(); // 或 dma_wmb();

// 3. 通知硬件
iowrite32(1, dev->doorbell);

最佳实践： 在驱动开发中，优先使用 dma_rmb() 和 dma_wmb()。它们针对DMA场景进行了优化，并且在非DMA的CPU间同步场景下也能正确工作。避免过度使用 mb()，因为它会强制所有CPU核同步，带来性能开销。

3.3 DMA缓冲区与一致性模型

DMA（直接内存访问）允许硬件设备直接读写系统内存，无需CPU干预。这极大地提升了I/O性能。然而，CPU和DMA设备对内存的访问存在缓存一致性问题。Linux内核提供了两种DMA一致性模型来解决这个问题。

3.3.1 一致性DMA缓冲区（Consistent DMA Buffer）

也称为“同步”或“coherent”映射。内核保证CPU和DMA设备在任何时刻看到的缓冲区内容是一致的。这通常通过禁用该内存区域的CPU缓存（或使用硬件一致性协议如IOMMU/SMMU）来实现。

API： dma_alloc_coherent() / dma_free_coherent()
优点： 使用简单，无需手动管理缓存刷新。CPU和DMA可以随时访问。
缺点： 分配和释放开销较大，且可能占用宝贵的“一致性”内存区域（如ZONE_DMA）。
适用场景： 控制结构、描述符环、状态寄存器映射等需要频繁、小数据量交互的场景。

3.3.2 流式DMA缓冲区（Streaming DMA Buffer）

也称为“异步”映射。内核不保证一致性，驱动必须在CPU访问前“同步”缓冲区，在DMA访问前“反同步”。这通常涉及刷新或无效化CPU缓存。

API： dma_map_single() / dma_unmap_single() 以及 dma_sync_single_for_cpu() / dma_sync_single_for_device()
优点： 性能高，适用于大数据块传输（如网络包、磁盘数据）。分配灵活，可以使用任何 kmalloc 或页面分配器获得的内存。
缺点： 使用复杂，必须严格遵守“所有权”协议，否则会导致数据损坏。
适用场景： 网络驱动、存储驱动、视频采集等大数据量、高吞吐场景。

3.3.3 两种模型对比

特性	一致性DMA (Coherent)	流式DMA (Streaming)
缓存一致性	硬件保证，始终一致	软件管理，需要显式同步
API	`dma_alloc_coherent`	`dma_map_single` / `dma_sync_*`
性能	较低（缓存禁用或硬件开销）	高（充分利用缓存）
使用复杂度	低	高
内存来源	专用一致性内存池	任意内核内存
典型用途	描述符环、控制寄存器	网络数据包、文件系统缓冲区

3.3.4 流式DMA的正确使用流程

// 1. 分配缓冲区 (例如使用 kmalloc)
struct my_packet *buf = kmalloc(pkt_size, GFP_KERNEL);

// 2. 映射缓冲区到DMA地址，并指定数据传输方向 (DMA_TO_DEVICE)
dma_addr_t dma_handle = dma_map_single(dev, buf, pkt_size, DMA_TO_DEVICE);
if (dma_mapping_error(dev, dma_handle)) {
    kfree(buf);
    return -EIO;
}

// 3. 将 dma_handle 写入硬件描述符，并通知设备开始DMA传输
// ... (硬件开始从 buf 读取数据)

// 4. 传输完成后，在CPU访问前同步缓冲区
dma_sync_single_for_cpu(dev, dma_handle, pkt_size, DMA_TO_DEVICE);

// 5. CPU可以安全地读取 buf 中的数据
process_packet(buf);

// 6. 如果还要进行下一次DMA传输，需要再次同步给设备
dma_sync_single_for_device(dev, dma_handle, pkt_size, DMA_TO_DEVICE);

// 7. 最终，解除映射并释放内存
dma_unmap_single(dev, dma_handle, pkt_size, DMA_TO_DEVICE);
kfree(buf);

安全关键： 在流式DMA中，绝对不要在DMA设备拥有缓冲区所有权时访问它。这会导致数据竞争和难以调试的损坏。同样，在解除映射（dma_unmap_single）后，dma_handle 立即失效，不能再使用。

3.4 本章知识结构图

下图总结了内核内存管理、内存屏障与DMA缓冲区模型之间的核心关系与数据流。

3.5 本章小结

kmalloc/kfree： 是内核驱动最基础的内存分配器，必须理解GFP标志的含义和适用上下文。
内存屏障： 是保证多核和DMA场景下数据一致性的关键工具。滥用会降低性能，缺失会导致数据损坏。
DMA缓冲区： 一致性模型（Coherent）简单安全但性能受限；流式模型（Streaming）性能高但需要严格遵守同步协议。
安全原则： 始终检查分配返回值，释放后置空指针，正确使用DMA同步API，避免在设备拥有缓冲区时访问。

    下一阶段预告： 在掌握了内核内存管理基础后，我们将进入“字符设备驱动与并发控制”，学习如何创建安全的设备接口并使用互斥锁、自旋锁保护共享数据。