芯片DMA零拷贝的两道边界：缓存归属与地址撤销

零拷贝让设备直接访问内存，却把数据可见性和地址生命周期交给了软硬件协同。芯片平台即使具备DMA与地址转换单元，也必须回答谁持有最新数据，以及旧请求何时不再触及被回收的页面。

在非硬件一致的平台上，处理器看到的缓存内容与设备访问的内存可能不是同一版本。发送缓冲区仍有脏缓存行时，设备可以读到旧内容；接收数据已经写入内存，处理器也可能继续命中旧缓存。内存屏障主要约束操作顺序，不能单独把脏数据写回，因而不等价于缓存维护。驱动应通过平台规定的映射与同步接口转移所有权，让缓存动作与传输方向匹配，而不是照搬另一种架构上的指令序列。

缓存行边界决定这种转移能否安全执行。假设接收区与一个仍被处理器修改的计数器共用缓存行，设备写回接收数据后，处理器的一次脏行回写可能覆盖它；反过来，粗暴失效整行又可能丢掉计数器尚未写回的更新。缓冲区起始地址对齐还不够，尾部和相邻对象也应隔离到合适边界。实现时要把内存分配、结构体布局与实际维护粒度一起检查，不能只以设备单次写入的字节宽度推断安全范围。

即使平台保证硬件一致，描述符发布仍然有顺序要求。处理器必须先准备地址、长度等字段，再以规定的屏障或发布操作置有效位，否则设备可能在看到有效位后读到未完成的字段。设备完成接收后，软件也要按照接口契约获取数据，不能把任意寄存器变化当成全部写入已经可见。芯片联调可利用缓冲区填充图样和不同缓存压力区分问题：只在禁用缓存后消失的故障，首先应查所有权交接，而不是盲目增加等待。

地址隔离处理另一条故障路径。设备使用的总线地址可能经输入输出地址转换单元映射到物理页面；撤销映射后，如果旧转换仍在转换缓存里，或者请求早已通过转换进入互连，旧事务仍可能触及原页面。页表内存已经改写，只说明软件意图改变，并不证明设备访问已经停止。若随即把页面交给另一个进程，旧设备写入便可能损坏新对象，因此页面回收必须建立在明确的设备停止与撤销完成语义上。

安全顺序通常需要先阻止提交新请求，按设备协议等待在途操作完成或执行可靠复位，再由平台映射接口完成撤销和必要失效，最后才释放物理内存。具体平台可能支持排空、完成通知或延迟回收机制，软件应遵循其保证，而不能自行假定一次寄存器写入完成了全部步骤。支持设备侧地址转换缓存时，还要考虑其失效协议；只清理转换单元内部缓存，不一定覆盖所有保留旧地址解释的位置。

复用设备虚拟地址也需要控制。若旧请求尚未消失就把同一地址映射到新页面，请求即使使用新的转换结果，也可能把旧任务数据写入新任务区域。延迟地址复用能缓解风险，却不能替代正确的停止与完成协议。验证可在取消传输、驱动卸载及设备复位时反复分配页面，给新页面放置保护图样，并检查异常中断和越界记录。正常收发测试无法证明这些生命周期边界，因为它从未迫使两个地址时代发生重叠。

零拷贝正确性的前提，是数据归属可交接、地址撤销可完成。把缓存同步与设备事务生命周期分别闭合，才能同时保住传输内容和被回收内存的隔离性。