μITRON (TOPPERS)系OSの保護ドメインをざっくりと理解する．

もなか @monamour555

TOPPERS/HRPカーネルの保護ドメインは，わかってしまえば簡単なのだけれども，大抵のエンジニアが慣れ親しんでいるPOSIXやWin32のプロセスモデルとは違うので，最初はとっつきづらい．

もなか @monamour555

μITRON/PX 由来のアレコレは，解説文書なく仕様書だけで理解するのは(無理ではないだろうけれど)ちょっとつらいはず．で，昔，Interface誌に解説を書いた…気がしていたのだけれど，見つからない．あれ，ボツになったんだっけか?

もなか @monamour555

(保護ドメインの概念が解らなくても，カーネルドメインにすべて記述すれば普通のμITRON …TOPPERS 第2世代なら ASP… カーネルとして使えるので． 実質無問題ではある)

もなか @monamour555

うーん．なんでボツになったのだっけか．連載が終わっちゃったからかなとか一瞬思ったのだけれど，時期的に整合しない．なんかの雑談で「じゃあ書きましょうか?」 とかいって下書きだけしてお蔵入りとかなら，まま，ありそげではある．

もなか @monamour555

web日記に書くと技術的に折り目正しくしないといけないから，ラフなツイートでお茶を濁す． まあたぶん，TOPPERSの保護ドメインが難しいと感じる最大の理由は，2つの要素から成り立っているということを図示していないこと． 図が無いのはTOPPERSの"伝統"なので諦めるしか無い．

もなか @monamour555

保護ドメインの要素の1つ目は，処理単位に関するもの．タスクとかハンドラとか．これらは現在的なOSのプロセスとスレッドの関係と近い．保護ドメインという名の，死なないプロセスみたいなものに処理単位が束縛される．スタックは厳密にはメモリなのだけれど，処理単位のリソースとして扱われる．

もなか @monamour555

ある処理単位の実行中は，その処理単位が所属する以外の保護ドメインの諸々が置かれているメモリ領域の読み書きが禁止される．そんなふうに考えておけば概ねOK．POSIXプロセスっぽい． 例外はカーネルドメインで，これに所属する処理単位の実行中は，メモリ保護なしの古き良きRTOSとなる．

もなか @monamour555

以上，処理単位の保護ドメイン．現在的なOSが持つ1タスク-nスレッドモデルを理解しているなら，まあちょっとキモいと感じるかもしれんけど理解できると思う． で，なんの解説文書もない状態では，理解に苦しむであろうアクセス許可ベクタ．これが，保護ドメインの要素の2つ目．

もなか @monamour555

μITRON由来OSのAPIは，ほぼすべて同期通信機能である．つまり，送信者と受信者が居る．これを意識できるかどうかが，アクセス許可ベクタのキモ． そして，たぶん送信タスクと受信タスクは違う保護ドメインに置きたくなったりするよなー，って想像できたなら，もう全貌は理解できている．

もなか @monamour555

μITRON4.0/PX由来のドメインモデルでは，基本的にすべてのカーネルオブジェクトは保護ドメインの所有物ではない．全オブジェクトはカーネルの所有物である．ここに合点できるかどうかが重要． (処理単位とかメモリとかでグダっている部分はあるのだけれどそれはひとまず目をそらして)．

もなか @monamour555

そして，μITRON仕様由来の各カーネルオブジェクトにアクセスする処理(API)は，それぞれ概ね「送信」「受信」「管理」「参照」の4つに概ね分けられるっていう気づきが重要．sig_sem / wai_sem / del_sem / ref_sem みたいに．

もなか @monamour555

これら前提が揃うと，アクセス許可ベクタの話ができる．APIの呼び出し側は処理単位なのだから，なんらか保護ドメインに所属している．カーネルは，APIの呼び出され時に，その呼び出しが4つの処理種別に応じてアクセス許可ベクタを参照し，呼び出しの許可/不許可を決定する．

もなか @monamour555

「アクセス許可ベクタは，ファイルシステムのアクセスパーミッションみたいなものだ」と思えば，だいたい合っている． ファイルシステムの場合，オーナーとかグループとかあるので，厳密には違うのだけれど． 0755 みたいなビットマップになっているという点については同じ．

もなか @monamour555

って，ざっくり解説でも結構な量の連ツイになっちゃう技術を，EV3のユーザ層にぽいって投げちゃうのって，おいおい随分な無理ゲーだなって思うのだけれどもなぁ． NCESは非常に優秀な方々が粒ぞろいでありますゆえ，無理ゲーだと認識していないのでありませう．なむ．

もなか @monamour555

余談なのだけれど，μITRON/PX由来のアクセス許可ベクタって，カーネルオブジェクトの動的生成が無いなら，静的解析でエラーチェックできるよぬ． PXのときはRLLが後ろに控えていたから，動的チェックに妥当性あったとは思うのだけれど．