QUESTION
Android boot image의 kernel·ramdisk 적재 단계에서 실제로 바뀌는 상태는 무엇인가?
header field의 byte size와 storage page alignment를 분리한다. destination address를 header가 직접 제공하는 모델의 신뢰 경계도 확인한다.
각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. 이 문장을 기준으로 코드를 위에서 아래로 읽으면, 함수 이름을 외우는 대신 어느 시점에 어떤 상태를 신뢰할 수 있는지 판단할 수 있다.
이 페이지는 현재 upstream LK가 아니라 classic AOSP aboot 고정 커밋을 다룬다. 현대 Android의 A/B, AVB, GKI 부트 경로와 동일하다고 간주하지 않는다.
STRUCTURE
객체와 주소가 놓이는 구조
각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다.
boot_img_hdr / image buffers를 중심에 놓고 왼쪽의 입력이 어떤 검사를 거쳐 오른쪽 결과로 공개되는지 표시했다. 실제 디버깅에서는 각 블록의 주소와 크기를 로그에 대입한다.
CALL PATH
실행 흐름
화살표는 단순 호출 순서만 뜻하지 않는다. 각 단계가 성공을 반환할 때 다음 단계가 읽을 수 있는 상태가 무엇인지 함께 확인한다. 오류 반환이 발생하면 바로 다음 화살표로 진행하지 않고 해당 단계의 정리 경로를 따라간다.
STATE LEDGER
단계별 입력과 출력
호출 순서를 함수 이름으로만 외우지 않고, 각 단계가 무엇을 받아 무엇을 공개하는지 적은 표다. 실제 소스에서 생산 필드가 다르면 표를 고치는 방식으로 사용한다.
| # | 단계 | 진입 시 신뢰할 상태 | 성공 뒤 남아야 할 상태 | 다음 소비자 |
|---|---|---|---|---|
| 01 | boot partition | classic aboot storage boot path | boot header page | boot_img_hdr |
| 02 | boot_img_hdr | boot partition 완료 상태 | kernel payload | page rounding |
| 03 | page rounding | boot_img_hdr 완료 상태 | ramdisk payload | kernel/ramdisk load |
| 04 | kernel/ramdisk load | page rounding 완료 상태 | tags/DT area | boot_linux |
| 05 | boot_linux | kernel/ramdisk load 완료 상태 | tags/DT area | 최종 최종 부트로더 이미지 또는 다음 stage |
공통 불변 조건: 각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. 한 단계의 출력이 다음 단계의 입력 조건을 만족하지 않으면 오류가 실제로 드러난 위치보다 앞의 생산 단계부터 조사한다.
UPSTREAM SOURCE
원본 코드
아래 코드는 LK / classic AOSP aboot AOSP 9d6e28f의 app/aboot/aboot.c에서 482-570줄을 그대로 가져온 것이다. 설명을 위해 실제 코드를 가짜 의사 코드로 바꾸지 않았다.
482 enter_critical_section();
483
484 /* do any platform specific cleanup before kernel entry */
485 platform_uninit();
486
487 arch_disable_cache(UCACHE);
488
489#if ARM_WITH_MMU
490 arch_disable_mmu();
491#endif
492 bs_set_timestamp(BS_KERNEL_ENTRY);
493 entry(0, machtype, (unsigned*)tags_phys);
494}
495
496unsigned page_size = 0;
497unsigned page_mask = 0;
498
499#define ROUND_TO_PAGE(x,y) (((x) + (y)) & (~(y)))
500
501static unsigned char buf[4096]; //Equal to max-supported pagesize
502#if DEVICE_TREE
503static unsigned char dt_buf[4096];
504#endif
505
506int boot_linux_from_mmc(void)
507{
508 struct boot_img_hdr *hdr = (void*) buf;
509 struct boot_img_hdr *uhdr;
510 unsigned offset = 0;
511 unsigned long long ptn = 0;
512 int index = INVALID_PTN;
513
514 unsigned char *image_addr = 0;
515 unsigned kernel_actual;
516 unsigned ramdisk_actual;
517 unsigned imagesize_actual;
518 unsigned second_actual = 0;
519
520#if DEVICE_TREE
521 struct dt_table *table;
522 struct dt_entry *dt_entry_ptr;
523 unsigned dt_table_offset;
524 uint32_t dt_actual;
525#endif
526
527 uhdr = (struct boot_img_hdr *)EMMC_BOOT_IMG_HEADER_ADDR;
528 if (!memcmp(uhdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {
529 dprintf(INFO, "Unified boot method!\n");
530 hdr = uhdr;
531 goto unified_boot;
532 }
533 if (!boot_into_recovery) {
534 index = partition_get_index("boot");
535 ptn = partition_get_offset(index);
536 if(ptn == 0) {
537 dprintf(CRITICAL, "ERROR: No boot partition found\n");
538 return -1;
539 }
540 }
541 else {
542 index = partition_get_index("recovery");
543 ptn = partition_get_offset(index);
544 if(ptn == 0) {
545 dprintf(CRITICAL, "ERROR: No recovery partition found\n");
546 return -1;
547 }
548 }
549
550 if (mmc_read(ptn + offset, (unsigned int *) buf, page_size)) {
551 dprintf(CRITICAL, "ERROR: Cannot read boot image header\n");
552 return -1;
553 }
554
555 if (memcmp(hdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {
556 dprintf(CRITICAL, "ERROR: Invalid boot image header\n");
557 return -1;
558 }
559
560 if (hdr->page_size && (hdr->page_size != page_size)) {
561 page_size = hdr->page_size;
562 page_mask = page_size - 1;
563 }
564
565 /*
566 * Update the kernel/ramdisk/tags address if the boot image header
567 * has default values, these default values come from mkbootimg when
568 * the boot image is flashed using fastboot flash:raw
569 */
570 update_ker_tags_rdisk_addr(hdr);
LINE BY LINE
482-570줄 해설
원본에 보이는 모든 줄을 순서대로 설명한다. 빈 줄도 block 경계로 남겨, 코드와 설명의 위치가 어긋나지 않게 했다.
enter_critical_section();enter_critical_section(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 boot header page 항목과 대조한다.
(빈 줄)enter_critical_section();까지의 동작과 /* do any platform specific cleanup before kernel entry */에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 kernel payload 상태가 아래 블록의 입력으로 사용되는 경계다.
/* do any platform specific cleanup before kernel entry */원본 주석이 'do any platform specific cleanup before kernel entry'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.
platform_uninit();platform_uninit(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.
(빈 줄)platform_uninit();까지의 동작과 arch_disable_cache(UCACHE);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
arch_disable_cache(UCACHE);arch_disable_cache(UCACHE)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.
(빈 줄)arch_disable_cache(UCACHE);까지의 동작과 #if ARM_WITH_MMU에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
#if ARM_WITH_MMU#if 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.
arch_disable_mmu();arch_disable_mmu(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.
#endif#endif 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.
bs_set_timestamp(BS_KERNEL_ENTRY);bs_set_timestamp(BS_KERNEL_ENTRY)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.
entry(0, machtype, (unsigned*)tags_phys);entry(0, machtype, (unsigned*)tags_phys)를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
}현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.
(빈 줄)}까지의 동작과 unsigned page_size = 0;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
unsigned page_size = 0;unsigned page_size = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
unsigned page_mask = 0;unsigned page_mask = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
(빈 줄)unsigned page_mask = 0;까지의 동작과 #define ROUND_TO_PAGE(x,y) (((x) + (y)) & (~(y)))에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
#define ROUND_TO_PAGE(x,y) (((x) + (y)) & (~(y)))#define 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.
(빈 줄)#define ROUND_TO_PAGE(x,y) (((x) + (y)) & (~(y)))까지의 동작과 static unsigned char buf[4096]; //Equal to max-supported pagesize에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
static unsigned char buf[4096]; //Equal to max-supported pagesize원본 501번 줄의 static unsigned char buf[4096]; //Equal to max-supported pagesize는 앞의 이전 block 경계 결과를 받아 다음 #if DEVICE_TREE로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건이 유지되는지 확인한다.
#if DEVICE_TREE#if 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.
static unsigned char dt_buf[4096];static unsigned char dt_buf[4096]를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
#endif#endif 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.
(빈 줄)#endif까지의 동작과 int boot_linux_from_mmc(void)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
int boot_linux_from_mmc(void)boot_linux_from_mmc 함수 정의가 시작된다. 입력은 void이며, classic aboot storage boot path에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.
{바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 boot_img_hdr / image buffers의 수명에 맞춰 묶어 읽는다.
struct boot_img_hdr *hdr = (void*) buf;struct boot_img_hdr *hdr = (void*) buf를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
struct boot_img_hdr *uhdr;struct boot_img_hdr *uhdr를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
unsigned offset = 0;unsigned offset = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
unsigned long long ptn = 0;unsigned long long ptn = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
int index = INVALID_PTN;int index = INVALID_PTN를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
(빈 줄)int index = INVALID_PTN;까지의 동작과 unsigned char *image_addr = 0;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
unsigned char *image_addr = 0;unsigned char *image_addr = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
unsigned kernel_actual;unsigned kernel_actual를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
unsigned ramdisk_actual;unsigned ramdisk_actual를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
unsigned imagesize_actual;unsigned imagesize_actual를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
unsigned second_actual = 0;unsigned second_actual = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
(빈 줄)unsigned second_actual = 0;까지의 동작과 #if DEVICE_TREE에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
#if DEVICE_TREE#if 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.
struct dt_table *table;struct dt_table *table를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
struct dt_entry *dt_entry_ptr;struct dt_entry *dt_entry_ptr를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
unsigned dt_table_offset;unsigned dt_table_offset를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
uint32_t dt_actual;원본 524번 줄의 uint32_t dt_actual;는 앞의 unsigned dt_table_offset; 결과를 받아 다음 #endif로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건이 유지되는지 확인한다.
#endif#endif 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.
(빈 줄)#endif까지의 동작과 uhdr = (struct boot_img_hdr *)EMMC_BOOT_IMG_HEADER_ADDR;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
uhdr = (struct boot_img_hdr *)EMMC_BOOT_IMG_HEADER_ADDR;uhdr = (struct boot_img_hdr *)EMMC_BOOT_IMG_HEADER_ADDR를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.
if (!memcmp(uhdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {!memcmp(uhdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.
dprintf(INFO, "Unified boot method!\n");dprintf(INFO, "Unified boot method!\n")를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.
hdr = uhdr;hdr에 uhdr를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 boot_linux 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.
goto unified_boot;'goto unified_boot;'로 직선 경로를 벗어난다. 이동 대상에서 boot_img_hdr / image buffers에 걸린 lock, allocation, list 등록을 어디까지 되돌리는지 이어서 확인한다.
}현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.
if (!boot_into_recovery) {!boot_into_recovery를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.
index = partition_get_index("boot");index에 partition_get_index("boot")를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 ptn = partition_get_offset(index);가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.
ptn = partition_get_offset(index);ptn에 partition_get_offset(index)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if(ptn == 0) {가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.
if(ptn == 0) {ptn == 0를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.
dprintf(CRITICAL, "ERROR: No boot partition found\n");dprintf(CRITICAL, "ERROR: No boot partition found\n")를 호출한다. 반환 결과는 현재 줄 또는 다음 return -1;에서 검사되는 흐름이다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.
return -1;-1를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 boot_img_hdr / image buffers를 정리하거나 다음 단계로 진행하는지 확인한다.
}현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.
}현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.
else {원본 541번 줄의 else {는 앞의 } 결과를 받아 다음 index = partition_get_index("recovery");로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건이 유지되는지 확인한다.
index = partition_get_index("recovery");index에 partition_get_index("recovery")를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 ptn = partition_get_offset(index);가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.
ptn = partition_get_offset(index);ptn에 partition_get_offset(index)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if(ptn == 0) {가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.
if(ptn == 0) {ptn == 0를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.
dprintf(CRITICAL, "ERROR: No recovery partition found\n");dprintf(CRITICAL, "ERROR: No recovery partition found\n")를 호출한다. 반환 결과는 현재 줄 또는 다음 return -1;에서 검사되는 흐름이다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.
return -1;-1를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 boot_img_hdr / image buffers를 정리하거나 다음 단계로 진행하는지 확인한다.
}현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.
}현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.
(빈 줄)}까지의 동작과 if (mmc_read(ptn + offset, (unsigned int *) buf, page_size)) {에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
if (mmc_read(ptn + offset, (unsigned int *) buf, page_size)) {mmc_read(ptn + offset, (unsigned int *) buf, page_size)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.
dprintf(CRITICAL, "ERROR: Cannot read boot image header\n");dprintf(CRITICAL, "ERROR: Cannot read boot image header\n")를 호출한다. 반환 결과는 현재 줄 또는 다음 return -1;에서 검사되는 흐름이다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.
return -1;-1를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 boot_img_hdr / image buffers를 정리하거나 다음 단계로 진행하는지 확인한다.
}현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.
(빈 줄)}까지의 동작과 if (memcmp(hdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
if (memcmp(hdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {memcmp(hdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.
dprintf(CRITICAL, "ERROR: Invalid boot image header\n");dprintf(CRITICAL, "ERROR: Invalid boot image header\n")를 호출한다. 반환 결과는 현재 줄 또는 다음 return -1;에서 검사되는 흐름이다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.
return -1;-1를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 boot_img_hdr / image buffers를 정리하거나 다음 단계로 진행하는지 확인한다.
}현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.
(빈 줄)}까지의 동작과 if (hdr->page_size && (hdr->page_size != page_size)) {에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
if (hdr->page_size && (hdr->page_size != page_size)) {hdr->page_size && (hdr->page_size != page_size)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.
page_size = hdr->page_size;page_size에 hdr->page_size를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 주소·크기 값이면 단위와 정렬, 덧셈 overflow를 함께 검산한다. 바로 다음 page_mask = page_size - 1;가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.
page_mask = page_size - 1;page_mask에 page_size - 1를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 boot_linux 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.
}현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.
(빈 줄)}까지의 동작과 /*에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.
/*원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.
* Update the kernel/ramdisk/tags address if the boot image header원본 주석이 'Update the kernel/ramdisk/tags address if the boot image header'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.
* has default values, these default values come from mkbootimg when원본 주석이 'has default values, these default values come from mkbootimg when'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.
* the boot image is flashed using fastboot flash:raw원본 주석이 'the boot image is flashed using fastboot flash:raw'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.
*/원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.
update_ker_tags_rdisk_addr(hdr);update_ker_tags_rdisk_addr(hdr)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.
DETAILS
내부 동작을 더 깊게 읽기
진입 조건을 먼저 고정한다
boot partition에서 들어온 실행은 classic aboot storage boot path에 놓여 있다. 이때 interrupt, MMU/cache, stack, heap 중 무엇이 이미 준비되었는지 소스의 호출자까지 올라가 확인한다. 같은 함수라도 SPL, relocation 전후, app thread처럼 호출 문맥이 달라지면 허용되는 API와 지연 시간이 달라진다.
header field의 byte size와 storage page alignment를 분리한다. destination address를 header가 직접 제공하는 모델의 신뢰 경계도 확인한다.
중심 객체의 생성과 공개를 나눈다
이 글의 중심 객체는 boot_img_hdr / image buffers다. 메모리를 확보한 시점, 필드를 채운 시점, 전역 list나 다른 subsystem에 공개한 시점을 구분한다. 공개 뒤 오류가 발생한다면 목록에서 제거하고 child, buffer, reference를 역순으로 정리하는지 확인한다.
빌드 산출물 관점에서는 최종 부트로더 이미지 안에 해당 symbol과 section이 실제로 포함되었는지도 map과 objdump로 검증한다.
주소, 크기와 정렬을 계산한다
부트 코드의 오류는 논리보다 주소 계산에서 먼저 드러나는 경우가 많다. source range, destination range, header가 말하는 payload size, block 또는 page 단위를 표로 적고 각 구간의 끝 주소를 직접 계산한다. 끝 주소는 start + size - 1인지 exclusive end인지 API 계약을 확인한다.
각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다.
성공 flag와 실제 완료 시점을 맞춘다
boot_img_hdr → page rounding → kernel/ramdisk load 구간에서는 부분 초기화 상태가 생길 수 있다. flag, list insertion, callback 등록, storage write 완료 중 무엇이 성공의 기준인지 찾는다. hardware write나 DMA가 포함되면 함수 반환과 장치 완료가 같은 시점인지도 확인한다.
다른 CPU, interrupt handler, USB completion 또는 shell command가 상태를 관찰할 수 있다면 memory ordering과 lock 범위도 함께 읽는다.
마지막 handoff의 계약을 적는다
정상 경로는 boot_linux에서 끝난다. 이 단계가 함수 반환인지, scheduler 전환인지, 다른 image로의 비복귀 분기인지 구분한다. 비복귀 handoff라면 cache clean/invalidate, interrupt disable, 장치 quiesce, argument register와 FDT 또는 image address가 최종 점검 항목이다.
반환하는 경로라면 caller가 오류와 부분 성공을 구분하고 다음 후보 또는 복구 경로를 선택하는지 확인한다.
IMPLEMENTATION NOTES
구현을 읽을 때 놓치기 쉬운 부분
page 정렬이 모든 component offset을 결정한다
classic header 뒤 kernel, ramdisk, second stage와 DT 영역은 page size에 맞춰 이어진다. 각 offset은 이전 component의 실제 size를 page up한 값으로 계산해야 하며 header field를 byte pointer에 바로 더하면 안 된다.
64-bit 덧셈으로 end를 계산하고 download buffer 범위 안인지 component별로 검증한다.
header load address와 target memory map을 대조한다
kernel_addr, ramdisk_addr, tags_addr가 LK/aboot image, heap, framebuffer, secure carveout과 겹치지 않아야 한다. header 값을 강제 override하는 board code가 있다면 최종 destination을 로그에 남긴다.
copy 순서 중 source와 destination이 겹치는 경우를 별도로 처리한다.
cmdline과 device tree 선택은 image copy 뒤에도 바뀐다
header cmdline, target 추가 인자, serial number와 boot mode가 최종 kernel command line으로 합쳐진다. 길이 제한과 NUL 종료, 중복 보안 flag의 우선순위를 확인한다.
DT table을 쓰는 경로에서는 platform id와 revision match가 실패할 때 fallback entry가 무엇인지 기록한다.
OBJECT LIFETIME
객체와 수명
| 대상 | 만들어지는 시점 | 유효 범위 | 확인할 조건 |
|---|---|---|---|
boot_img_hdr / image buffers | boot_img_hdr | boot_linux 또는 오류 정리 완료까지 | 각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. |
| 입력 buffer / metadata | boot partition | parse와 검증이 끝날 때까지 | 길이, 정렬, 소유권, 변조 가능성 |
| 등록된 list / descriptor | page rounding | subsystem 종료 또는 image handoff까지 | 이중 등록, dangling pointer, 오류 unwind |
| hardware 또는 persistent state | 실제 write/probe가 완료된 뒤 | reset 또는 명시적 해제·갱신까지 | flush, timeout, 전원 차단, rollback |
최종 부트로더 이미지 | link/image 생성 시점 | 다음 stage가 새 image로 교체할 때까지 | load address, entry, section과 header 일치 |
FAILURE PATH
실패 지점과 증상
| # | 조건 | 관찰되는 증상 | 먼저 볼 단계 |
|---|---|---|---|
| 01 | header size overflow | read 길이 wrap | boot_img_hdr |
| 02 | destination overlap | kernel이 ramdisk 덮음 | page rounding |
| 03 | page size 오판 | 다음 payload offset 오류 | kernel/ramdisk load |
로그가 끊긴 마지막 함수만 고치지 않는다. 그 함수가 받은 주소, size, flag가 만들어진 앞 단계까지 올라가고, 오류 뒤 등록 객체와 hardware 상태가 남았는지도 확인한다.
EVIDENCE
소스 밖에서 확인할 증거
소스 해석은 실제 빌드 산출물과 target 로그로 닫아야 한다. 아래 명령의 보드 이름과 toolchain prefix는 사용 중인 빌드 환경에 맞게 바꾼다.
| # | 목적 | 명령 또는 계측 | 판정 기준 |
|---|---|---|---|
| 01 | ELF symbol | nm -n build-*/lk.elf | grep 'int boot_linux_from_mmc' | aboot app과 storage/USB callback의 link 주소를 확인한다. |
| 02 | boot image | unpack_bootimg --boot_img boot.img --out out | header version, page size, kernel·ramdisk·DT 영역을 분리해 계산한다. |
| 03 | partition 정보 | fastboot getvar all | bootloader가 보는 slot, partition size, unlocked 상태를 기록한다. |
| 04 | USB protocol | fastboot -v <command> | host request와 target response가 끊기는 packet을 찾는다. |
| 05 | flash 경계 | partition base + offset + length 직접 계산 | block 단위와 byte 단위를 섞지 않았는지 검증한다. |
LAB
직접 확인할 실험
- 01boot.img를 unpack해 계산 offset 대조
boot_img_hdr진입 전후에 boot header page의 주소·크기·반환값과 timestamp를 함께 남긴다. 결과는 정상 부팅 여부로 끝내지 말고 각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. 조건이 처음 깨지는 줄을 기록한다. - 02kernel_size 경계값 변조 후 거부 확인
page rounding진입 전후에 kernel payload의 주소·크기·반환값과 timestamp를 함께 남긴다. 결과는 정상 부팅 여부로 끝내지 말고 각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. 조건이 처음 깨지는 줄을 기록한다. - 03RAM 영역 겹침 검사를 추가해 실패 로그 확인
kernel/ramdisk load진입 전후에 ramdisk payload의 주소·크기·반환값과 timestamp를 함께 남긴다. 결과는 정상 부팅 여부로 끝내지 말고 각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. 조건이 처음 깨지는 줄을 기록한다.
PRIMARY REFERENCES