Secure MMU map과 pager fault

tblidx에 pmem_get_region_tblidx(pmem, reg)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if (!tblidx.pgt)가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

!tblidx.pgt를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

'continue;'로 직선 경로를 벗어난다. 이동 대상에서 memory_map / tee_pager_pmem / fobj에 걸린 lock, allocation, list 등록을 어디까지 되돌리는지 이어서 확인한다.

tblidx_get_entry(tblidx, NULL, &a)를 호출한다. 반환 결과는 현재 줄 또는 다음 if (a & TEE_MATTR_VALID_BLOCK) {에서 검사되는 흐름이다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

a & TEE_MATTR_VALID_BLOCK를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

tblidx_set_entry(tblidx, 0, 0)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

pgt_dec_used_entries(tblidx.pgt)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

tblidx_tlbi_entry(tblidx)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

}까지의 동작과 void tee_pager_early_init(void)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

tee_pager_early_init 함수 정의가 시작된다. 입력은 void이며, secure MMU setup and abort context에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.

바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 memory_map / tee_pager_pmem / fobj의 수명에 맞춰 묶어 읽는다.

size_t n = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

size_t n = 0;까지의 동작과 num_pager_tables = EFFECTIVE_VA_SIZE / CORE_MMU_PGDIR_SIZE;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

num_pager_tables에 EFFECTIVE_VA_SIZE / CORE_MMU_PGDIR_SIZE를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 pager_tables = calloc(num_pager_tables, sizeof(*pager_tables));가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

pager_tables에 calloc(num_pager_tables, sizeof(*pager_tables))를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if (!pager_tables)가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

!pager_tables를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

panic("Cannot allocate pager_tables")를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

panic("Cannot allocate pager_tables");까지의 동작과 /*에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'Note that this depends on add_pager_vaspace() adding vaspace'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'after end of memory.'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

'for (n = 0; n < num_pager_tables; n++) {'가 목록이나 후보를 순회한다. 반복 중 memory_map / tee_pager_pmem / fobj를 제거·추가하는 호출이 있는지와 loop 종료 뒤 iterator가 유효한지 확인한다.

core_mmu_find_table(인자 없음)를 호출한다. 반환 결과는 현재 줄 또는 다음 n * CORE_MMU_PGDIR_SIZE, UINT_MAX,에서 검사되는 흐름이다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

원본 547번 줄의 n * CORE_MMU_PGDIR_SIZE, UINT_MAX,는 앞의 if (!core_mmu_find_table(NULL, VCORE_START_VA + 결과를 받아 다음 &pager_tables[n].tbl_info))로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건이 유지되는지 확인한다.

원본 548번 줄의 &pager_tables[n].tbl_info))는 앞의 n * CORE_MMU_PGDIR_SIZE, UINT_MAX, 결과를 받아 다음 panic("can't find mmu tables");로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건이 유지되는지 확인한다.

panic("can't find mmu tables")를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

panic("can't find mmu tables");까지의 동작과 if (pager_tables[n].tbl_info.shift != TBL_SHIFT)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

pager_tables[n].tbl_info.shift != TBL_SHIFT를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

panic("Unsupported page size in translation table")를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

assert(pager_tables[n].tbl_info.num_entries에 = TBL_NUM_ENTRIES)를 = 연산으로 반영해 memory_map / tee_pager_pmem / fobj와 연결된 field를 갱신한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

assert(pager_tables[n].tbl_info.level에 = TBL_LEVEL)를 = 연산으로 반영해 memory_map / tee_pager_pmem / fobj와 연결된 field를 갱신한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

assert(pager_tables[n].tbl_info.level == TBL_LEVEL);까지의 동작과 pager_tables[n].pgt.tbl = pager_tables[n].tbl_info.table;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

pager_tables[n].pgt.tbl에 pager_tables[n].tbl_info.table를 = 연산으로 반영해 memory_map / tee_pager_pmem / fobj와 연결된 field를 갱신한다. 바로 다음 pager_tables[n].pgt.vabase = pager_tables[n].tbl_info.va_base;가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

pager_tables[n].pgt.vabase에 pager_tables[n].tbl_info.va_base를 = 연산으로 반영해 memory_map / tee_pager_pmem / fobj와 연결된 field를 갱신한다. 주소·크기 값이면 단위와 정렬, 덧셈 overflow를 함께 검산한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

pgt_set_used_entries(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

tbl_usage_count(&pager_tables[n].tbl_info))를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

}까지의 동작과 static void *pager_add_alias_page(paddr_t pa)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

pager_add_alias_page(paddr_t pa)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 memory_map / tee_pager_pmem / fobj의 수명에 맞춰 묶어 읽는다.

unsigned idx를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

struct core_mmu_table_info *ti를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

원본 주석이 'Alias pages mapped without write permission: runtime will care'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 568번 줄의 uint32_t attr = TEE_MATTR_VALID_BLOCK | TEE_MATTR_SECURE |는 앞의 /* Alias pages mapped without write permission: runtime will care */ 결과를 받아 다음 TEE_MATTR_PR | (TEE_MATTR_MEM_TYPE_CACHED <<로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건이 유지되는지 확인한다.

원본 569번 줄의 TEE_MATTR_PR | (TEE_MATTR_MEM_TYPE_CACHED <<는 앞의 uint32_t attr = TEE_MATTR_VALID_BLOCK | TEE_MATTR_SECURE | 결과를 받아 다음 TEE_MATTR_MEM_TYPE_SHIFT);로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건이 유지되는지 확인한다.

원본 570번 줄의 TEE_MATTR_MEM_TYPE_SHIFT);는 앞의 TEE_MATTR_PR | (TEE_MATTR_MEM_TYPE_CACHED << 결과를 받아 다음 다음 block 경계로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건이 유지되는지 확인한다.

TEE_MATTR_MEM_TYPE_SHIFT);까지의 동작과 DMSG("0x%" PRIxPA, pa);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

DMSG("0x%" PRIxPA, pa)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

DMSG("0x%" PRIxPA, pa);까지의 동작과 ti = find_table_info(pager_alias_next_free);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

ti에 find_table_info(pager_alias_next_free)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 idx = core_mmu_va2idx(ti, pager_alias_next_free);가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

idx에 core_mmu_va2idx(ti, pager_alias_next_free)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 core_mmu_set_entry(ti, idx, pa, attr);가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

core_mmu_set_entry(ti, idx, pa, attr)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

find_core_pgt(pager_alias_next_free))를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

pager_alias_next_free에 SMALL_PAGE_SIZE를 += 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if (pager_alias_next_free >= (tee_mm_get_smem(pager_alias_area) +가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

tee_mm_get_smem(pager_alias_area)를 호출한다. 반환 결과는 현재 줄 또는 다음 tee_mm_get_bytes(pager_alias_area)))에서 검사되는 흐름이다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

tee_mm_get_bytes(pager_alias_area)))를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

pager_alias_next_free에 0를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

(void *)core_mmu_idx2va(ti, idx)를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 memory_map / tee_pager_pmem / fobj를 정리하거나 다음 단계로 진행하는지 확인한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

}까지의 동작과 static void region_insert(struct vm_paged_region_head *regions,에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

region_insert(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

struct vm_paged_region *reg,를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

struct vm_paged_region *r_prev)를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 memory_map / tee_pager_pmem / fobj의 수명에 맞춰 묶어 읽는다.

uint32_t exceptions에 pager_lock_check_stack(8)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

uint32_t exceptions = pager_lock_check_stack(8);까지의 동작과 if (r_prev)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

r_prev를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

TAILQ_INSERT_AFTER(regions, r_prev, reg, link)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

원본 593번 줄의 else는 앞의 TAILQ_INSERT_AFTER(regions, r_prev, reg, link); 결과를 받아 다음 TAILQ_INSERT_HEAD(regions, reg, link);로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건이 유지되는지 확인한다.

TAILQ_INSERT_HEAD(regions, reg, link)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

TAILQ_INSERT_TAIL(&reg->fobj->regions, reg, fobj_link)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

TAILQ_INSERT_TAIL(&reg->fobj->regions, reg, fobj_link);까지의 동작과 pager_unlock(exceptions);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

pager_unlock(exceptions)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

DECLARE_KEEP_PAGER(region_insert)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

DECLARE_KEEP_PAGER(region_insert);까지의 동작과 static struct vm_paged_region *alloc_region(vaddr_t base, size_t size)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

alloc_region(vaddr_t base, size_t size)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 memory_map / tee_pager_pmem / fobj의 수명에 맞춰 묶어 읽는다.

struct vm_paged_region *reg = NULL를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

struct vm_paged_region *reg = NULL;까지의 동작과 if ((base & SMALL_PAGE_MASK) || !size) {에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

(base & SMALL_PAGE_MASK) || !size를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

EMSG("invalid pager region [%" PRIxVA " +0x%zx]", base, size)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

panic(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

}까지의 동작과 reg = calloc(1, sizeof(*reg));에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

reg에 calloc(1, sizeof(*reg))를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if (!reg)가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

!reg를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

NULL를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 memory_map / tee_pager_pmem / fobj를 정리하거나 다음 단계로 진행하는지 확인한다.

get_pgt_count(base, size)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

sizeof(struct pgt *))를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

!reg->pgt_array를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

free(reg)를 호출한다. 반환 결과는 현재 줄 또는 다음 return NULL;에서 검사되는 흐름이다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

NULL를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 memory_map / tee_pager_pmem / fobj를 정리하거나 다음 단계로 진행하는지 확인한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

}까지의 동작과 reg->base = base;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

reg->base에 base를 = 연산으로 반영해 memory_map / tee_pager_pmem / fobj와 연결된 field를 갱신한다. 주소·크기 값이면 단위와 정렬, 덧셈 overflow를 함께 검산한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

reg->size에 size를 = 연산으로 반영해 memory_map / tee_pager_pmem / fobj와 연결된 field를 갱신한다. 주소·크기 값이면 단위와 정렬, 덧셈 overflow를 함께 검산한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

reg를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 memory_map / tee_pager_pmem / fobj를 정리하거나 다음 단계로 진행하는지 확인한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

}까지의 동작과 void tee_pager_add_core_region(vaddr_t base, enum vm_paged_region_type type,에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

tee_pager_add_core_region(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

struct fobj *fobj)를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 memory_map / tee_pager_pmem / fobj의 수명에 맞춰 묶어 읽는다.

struct vm_paged_region *reg = NULL를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

size_t n = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

size_t n = 0;까지의 동작과 assert(fobj);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

assert(fobj)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

assert(fobj);까지의 동작과 DMSG("0x%" PRIxPTR " - 0x%" PRIxPTR " : type %d",에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

DMSG(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

원본 634번 줄의 base, base + fobj->num_pages * SMALL_PAGE_SIZE, type);는 앞의 DMSG("0x%" PRIxPTR " - 0x%" PRIxPTR " : type %d", 결과를 받아 다음 다음 block 경계로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건이 유지되는지 확인한다.

base, base + fobj->num_pages * SMALL_PAGE_SIZE, type);까지의 동작과 reg = alloc_region(base, fobj->num_pages * SMALL_PAGE_SIZE);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

reg에 alloc_region(base, fobj->num_pages * SMALL_PAGE_SIZE)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 주소·크기 값이면 단위와 정렬, 덧셈 overflow를 함께 검산한다. 바로 다음 if (!reg)가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

!reg를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

panic("alloc_region")를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

panic("alloc_region");까지의 동작과 reg->fobj = fobj_get(fobj);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

reg->fobj에 fobj_get(fobj)를 = 연산으로 반영해 memory_map / tee_pager_pmem / fobj와 연결된 field를 갱신한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

tee_pager_npages < min_npages를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

min_npages에 tee_pager_npages를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if (tee_pager_npages < total_min_npages)가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

tee_pager_npages < total_min_npages를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

total_min_npages에 tee_pager_npages를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

#else 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

stat_handle_fault 함수 정의가 시작된다. 입력은 void이며, secure MMU setup and abort context에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.

바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 memory_map / tee_pager_pmem / fobj의 수명에 맞춰 묶어 읽는다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

#endif 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

#endif까지의 동작과 bool tee_pager_handle_fault(struct abort_info *ai)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

tee_pager_handle_fault 함수 정의가 시작된다. 입력은 struct abort_info *ai이며, secure MMU setup and abort context에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.

바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 memory_map / tee_pager_pmem / fobj의 수명에 맞춰 묶어 읽는다.

struct vm_paged_region *reg를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

vaddr_t page_va에 ai->va & ~SMALL_PAGE_MASK를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 주소·크기 값이면 단위와 정렬, 덧셈 overflow를 함께 검산한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

원본 1759번 줄의 uint32_t exceptions;는 앞의 vaddr_t page_va = ai->va & ~SMALL_PAGE_MASK; 결과를 받아 다음 bool ret;로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건이 유지되는지 확인한다.

bool ret를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

bool clean_user_cache = false를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

bool clean_user_cache = false;까지의 동작과 #ifdef TEE_PAGER_DEBUG_PRINT에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

#ifdef 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

!abort_is_user_exception(ai)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

abort_print(ai)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

#endif 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

#endif까지의 동작과 /*에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'We're updating pages that can affect several active CPUs at a'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'time below. We end up here because a thread tries to access some'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'memory that isn't available. We have to be careful when making'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'that memory available as other threads may succeed in accessing'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'that address the moment after we've made it available.'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'That means that we can't just map the memory and populate the'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'page, instead we use the aliased mapping to populate the page'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'and once everything is ready we map it.'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

exceptions에 pager_lock(ai)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

exceptions = pager_lock(ai);까지의 동작과 stat_handle_fault();에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

stat_handle_fault(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

stat_handle_fault();까지의 동작과 /* check if the access is valid */에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

원본 주석이 'check if the access is valid'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

abort_is_user_exception(ai)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

reg에 find_uta_region(ai->va)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

clean_user_cache에 true를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

원본 1787번 줄의 } else {는 앞의 clean_user_cache = true; 결과를 받아 다음 reg = find_region(&core_vm_regions, ai->va);로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건이 유지되는지 확인한다.

reg에 find_region(&core_vm_regions, ai->va)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if (!reg) {가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

!reg를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

reg에 find_uta_region(ai->va)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

clean_user_cache에 true를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

!reg || !reg->pgt_array[0]를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

ret에 false를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

'goto out;'로 직선 경로를 벗어난다. 이동 대상에서 memory_map / tee_pager_pmem / fobj에 걸린 lock, allocation, list 등록을 어디까지 되돌리는지 이어서 확인한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

}까지의 동작과 if (tee_pager_unhide_page(reg, page_va))에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

tee_pager_unhide_page(reg, page_va)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

'goto out_success;'로 직선 경로를 벗어난다. 이동 대상에서 memory_map / tee_pager_pmem / fobj에 걸린 lock, allocation, list 등록을 어디까지 되돌리는지 이어서 확인한다.

goto out_success;까지의 동작과 /*에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'The page wasn't hidden, but some other core may have'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'updated the table entry before we got here or we need'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'to make a read-only page read-write (dirty).'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

pager_update_permissions(reg, ai, &ret)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 'secure physical memory는 non-secure mapping으로 노출되지 않고 pager가 배치한 page의 hash와 permission이 backing fobj 계약과 일치해야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'Nothing more to do with the abort. The problem'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'could already have been dealt with from another'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'core or if ret is false the TA will be paniced.'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

'goto out;'로 직선 경로를 벗어난다. 이동 대상에서 memory_map / tee_pager_pmem / fobj에 걸린 lock, allocation, list 등록을 어디까지 되돌리는지 이어서 확인한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

}까지의 동작과 pager_get_page(reg, ai, clean_user_cache);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

pager_get_page(reg, ai, clean_user_cache)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

pager_get_page(reg, ai, clean_user_cache);까지의 동작과 out_success:에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

'out_success' label이다. 이곳을 참조하는 branch를 역검색하고 각 진입 경로의 register, stack, lock 조건이 같은지 확인한다.

tee_pager_hide_pages(인자 없음)를 호출한다. 반환 결과는 현재 줄 또는 다음 ret = true;에서 검사되는 흐름이다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

ret에 true를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

'out' label이다. 이곳을 참조하는 branch를 역검색하고 각 진입 경로의 register, stack, lock 조건이 같은지 확인한다.

pager_unlock(exceptions)를 호출한다. 반환 결과는 현재 줄 또는 다음 return ret;에서 검사되는 흐름이다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

ret를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 memory_map / tee_pager_pmem / fobj를 정리하거나 다음 단계로 진행하는지 확인한다.

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

}까지의 동작과 void tee_pager_add_pages(vaddr_t vaddr, size_t npages, bool unmap)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

tee_pager_add_pages 함수 정의가 시작된다. 입력은 vaddr_t vaddr, size_t npages, bool unmap이며, secure MMU setup and abort context에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.

바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 memory_map / tee_pager_pmem / fobj의 수명에 맞춰 묶어 읽는다.

size_t n = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

size_t n = 0;까지의 동작과 DMSG("0x%" PRIxVA " - 0x%" PRIxVA " : %d",에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

DMSG(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

vaddr, vaddr + npages * SMALL_PAGE_SIZE, (int)unmap)를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

vaddr, vaddr + npages * SMALL_PAGE_SIZE, (int)unmap);까지의 동작과 /* setup memory */에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

원본 주석이 'setup memory'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

'for (n = 0; n < npages; n++) {'가 목록이나 후보를 순회한다. 반복 중 memory_map / tee_pager_pmem / fobj를 제거·추가하는 호출이 있는지와 loop 종료 뒤 iterator가 유효한지 확인한다.

struct core_mmu_table_info *ti = NULL를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

struct tee_pager_pmem *pmem = NULL를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

vaddr_t va에 vaddr + n * SMALL_PAGE_SIZE를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 주소·크기 값이면 단위와 정렬, 덧셈 overflow를 함께 검산한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

struct tblidx tblidx = { }를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

unsigned int pgidx = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 memory_map / tee_pager_pmem / fobj를 직접 소유하는지 pointer만 빌리는지, secure MMU setup and abort context를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

paddr_t pa에 0를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 주소·크기 값이면 단위와 정렬, 덧셈 overflow를 함께 검산한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

uint32_t attr에 0를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

uint32_t attr = 0;까지의 동작과 ti = find_table_info(va);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

ti에 find_table_info(va)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 pgidx = core_mmu_va2idx(ti, va);가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

pgidx에 core_mmu_va2idx(ti, va)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 fault deploy page 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'Note that we can only support adding pages in the'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'valid range of this table info, currently not a problem.'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

core_mmu_get_entry(ti, pgidx, &pa, &attr)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 memory_map / tee_pager_pmem / fobj의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 fobj 항목과 대조한다.

core_mmu_get_entry(ti, pgidx, &pa, &attr);까지의 동작과 /* Ignore unmapped pages/blocks */에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 fobj 상태가 아래 블록의 입력으로 사용되는 경계다.

원본 주석이 'Ignore unmapped pages/blocks'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.