4.3 RVWMO 内存模型与同步原语

4.3 RVWMO 内存模型与同步原语

本节摘要：RISC-V 采用弱内存顺序模型 RVWMO：硬件允许在合法范围内重排访存，单核语义不变，多核共享数据时却需要软件用屏障与原子原语钉住顺序。本节用一个"读到标志却读到旧数据"的经典事故拆解弱模型的边界，再把锁与消息传递的正确实现完整推一遍。

为什么顺序不能白送

先立一个朴素直觉：程序里先写的语句，硬件就先执行。在单核世界里这个直觉永远成立——硬件必须保证单线程视角下结果与顺序执行一致。但多核芯片上，要让"全局所有观察者看到一致的先后顺序"成立，硬件就得在每个写操作后等它广播到所有缓存才准执行下一条，访存延迟会被通信延迟吞掉。于是主流架构都选择了折中：硬件获得重排的自由（写可以先进缓冲、读可以提前发射），把这个自由换成的性能返还给程序员；代价是"顺序"从硬件承诺降级为软件请求——需要顺序的场合，你得出示屏障。RISC-V 的这版折中叫 RVWMO，弱模型家族里偏强的一档，但弱就是弱，法则是明确的。

弱模型的边界可以压缩成三句口诀。第一句，单核如旧：任何单线程程序观察到的行为与顺序执行一致，依赖同一地址的访存不被重排。第二句，跨核自由：不同地址的访存可以以任意顺序被其他核观察到——你的写 A 与写 B 在你看来有序，在别人眼里可能倒序抵达。第三句，显式恢复：需要跨核顺序的地方，用 fence 指令或原子指令上的获取与释放标记把顺序钉回来。三句话之外的一切直觉都不可信，包括"写完马上读回来就该别人也看得见"。

经典事故：标志到了，数据没到

看这个最小事故现场。生产核往数据区写入一条记录，然后置标志；消费核轮询标志，见置位就读数据。两边的 C 代码在逻辑上无懈可击，压测却偶发读到空数据。把两边汇编的时序画出来，真相立刻现形。

事故的机理就一句话：生产核的两次写在硬件缓冲里被交换了顺序，标志先于数据抵达消费核的世界。单核视角生产核什么都没做错，弱模型允许这种交换；错的是软件假设了"程序顺序等于全局可见顺序"。

修复有两种姿势，语义等价、粒度不同。姿势一是屏障：生产核在两条写之间插一条 fence w, w（前面所有写先于后面所有写对全局可见），消费核在判断与读取之间插 fence r, r。姿势二是获取与释放标记：把置标志的写改成带释放标记的原子操作（指令上的 rl 后缀），把读标志改成带获取标记（aq 后缀），顺序承诺跟着原子指令走，不需要裸的屏障——代码意图也更明确，现代编译器与库倾向于这种写法。

锁的正确打开方式

互斥锁是弱模型下最考验功力的场景，因为它要同时满足两条性质：只有一个核能进临界区（互斥性），临界区内的写对后进者可见（顺序性）。用第二章埋过伏笔的 lr 与 sc 对，标准实现如下。

lock:
    lr.w  t0, (a0)      # 读锁值并设保留
    bnez  t0, lock      # 非零即有人持锁 重试
    li    t1, 1
    sc.w  t1, t1, (a0)  # 条件写 竞争失败则 t1 非零
    bnez  t1, lock      # 写失败 回到开头
    fence rw, rw       # 进临界区前钉住顺序
    ret

unlock:
    fence rw, rw        # 临界区内的写先落地
    sw    zero, 0(a0)   # 释放锁
    ret
​

逐行读价值连城。lr 与 sc 的组合保证互斥：保留集机制让并发条件写只有一个赢家。两道屏障各司其职：进锁前的 fence 防止临界区内的访存被提前到拿锁之前（否则临界区外的写会"穿越"进禁区）；解锁前的 fence 保证临界区内的全部写在释放信号之前对其他核可见（否则别的核拿到锁却看到半成品数据）。少任何一道屏障，锁在轻载测试里都能通过，在高压下偶发错乱——这正是弱模型 bug 的职业特征：低频、难复现、换块芯片可能消失。

值得一提：aq 与 rl 标记同样可以用于 lr 与 sc，许多现代实现里"带标记的原子加法"直接构成自旋锁的更简写法；规范还保留了保留集可能被陷入清零的条款，所以持锁路径上要避免可被中断的窗口——这些细节串起了第二章 A 扩展与本章模型两条线。

工程现场：压测数据错乱的完整归因

背景：回到第四章开头的主线案例——多核板卡驱动压测偶发数据错乱。现场特征：错乱数据总是"旧值"，标志位却始终正确置位；换成更强的编译优化级别，错乱频率反而升高。

操作：按本节框架归因。第一层排除翻译与保护：错乱地址的页表与 PMP 均正常。第二层看同步：驱动的生产者与消费者恰是"标志加数据"结构，代码里没有任何屏障，置标志用的是普通存储指令。第三层做对照实验：在置标志前插入 fence w, w，压测十万轮错误归零；换用带 rl 标记的原子交换置标志，同样归零。两组对照把根因钉死在缺失的顺序承诺上——优化级别升高后，编译器还可能对访存做软件层重排，进一步放大了硬件重排的暴露面。

结果：驱动改用获取与释放标记的原生写法，压测长跑稳定；顺带在团队规范里加了一条：跨核共享数据的发布必须走标记原子或显式屏障，普通写不承担同步职责。

解读：这次归因的普适价值在于三步法：先洗清翻译与保护的嫌疑（上一节的三层安检图），再审查同步结构（有没有屏障、有没有标记），最后用"加屏障即消失"的对照实验一锤定音。数据错乱类问题的诊断最忌凭感觉猜，三层框架能把它变成有序排查。

变式：把 fence 换成 fence iow, iow 的窄域形式，观察对纯内存同步场景效果相同——屏障的域选择决定了它的开销，域越窄性能越好；再故意在解锁路径漏掉 fence，压测观察"新持有者读到旧数据"的另一种错乱形态，体会两道屏障为何缺一不可。

本节要点回顾

• 弱模型三句口诀：单核如旧、跨核自由、显式恢复——三句之外的一切顺序直觉都不可信；
• 标志加数据是重灾区：写交换顺序导致"标志先行数据迟到"，屏障或释放标记是标准处方；
• fence 的域语法：前后各一个 iorw 子集，域越窄开销越小，按需收窄是性能功课；
• 锁要两道屏障：进前防穿越、出前保落地，lr 与 sc 只解决互斥不解决顺序；
• aq 与 rl 是现代姿势：顺序承诺随原子指令走，代码意图清晰，编译器与库优先支持。

到这里，内存子系统三层防线全部落成。下一章我们换一个视角：不看规范条文，看硅片内部——同一套 ISA 是如何被做成不同脾气的处理器的。