Compiler Explorer

Source code

#![no_std]
use core::mem::MaybeUninit;

// データ型
type int_t = i32;
type uint_t = u32;
type ATR = uint_t;
type TASK = Option<unsafe extern "C" fn(EXINF)>;
type EXINF = MaybeUninit<isize>;
type PRI = int_t;
type ER_ID = int_t;

#[derive(Clone, Copy)]
#[repr(C)]
struct T_CTSK {
    /// タスク属性
    tskatr: ATR,
    /// タスクの拡張情報
    exinf: EXINF,
    /// タスクのメインルーチンの先頭番地
    task: TASK,
    /// タスクの起動時優先度
    itskpri: PRI,
    /// タスクのスタック領域のサイズ
    stksz: usize,
    /// タスクのスタック領域の先頭番地
    stk: *mut u8,
}

/// タスクを起動された状態で生成
const TA_ACT: ATR = 0x01;

extern "C" {
    fn acre_tsk(pk_ctsk: *const T_CTSK) -> ER_ID;
}

#[no_mangle]
pub fn call_acre_tsk_via_new_task() {
    new_task(
        hoge, 
        MaybeUninit::uninit(), 
        4, 
        Stack::Auto { size: 2048 },
    );
}

#[no_mangle]
pub fn call_acre_tsk_directly() {
    unsafe {
        acre_tsk(&T_CTSK {
            tskatr: 0,
            exinf: MaybeUninit::uninit(),
            task: Some(hoge),
            itskpri: 4,
            stksz: 2048,
            stk: core::ptr::null_mut(),
        });
    }
}

extern "C" fn hoge(x: EXINF) {}

enum Stack {
    Auto { size: usize },
    // タスクは `new_task` が返った後も生き残り、またいつ削除されるか分からないので、
    // 渡されるスタック領域は `&'static ...` でなければならない。`& ...` としてしまうと、
    // `new_task` が返った後に、作成したタスクのスタック領域を呼出し元が破壊できてしまう。
    Manual(&'static mut [MaybeUninit<u8>]),
}

#[inline]
fn new_task(
    // `TASK` とは異なり、ここには `unsafe` は付けない。
    // もしも `unsafe` を付けてしまうと、呼び出し側は `unsafe fn` を
    // 渡すことができ、`unsafe { ... }` ブロックを使わずにそうした関数を
    // 実行させることができてしまう。
    body: extern "C" fn(EXINF),
    exinf: EXINF,
    itskpri: PRI,
    stk: Stack,
) -> ER_ID {
    let (stk, stksz) = match stk {
        Stack::Auto { size } => (core::ptr::null_mut(), size),
        Stack::Manual(slice) => (slice.as_mut_ptr() as _, slice.len()),
    };

// `unsafe` ブロックの前でなぜメモリ安全性が保証されるかを説明するのが慣習です。

// Safety: ここで渡す `*const T_CTSK` の参照先は呼出しの期間中は有効。
    //         `stk` が non-null である場合、`stk[0..stksz]` の所有権は
    //         呼出し側が持っていたもので、これをカーネルに渡す。呼出し後に所有
    //         権は返ってこないが、`stk` は `&'static mut _` なのでこれでOK。
    //         `body` は `unsafe fn` ではないので、`body` の呼出しに関して
    //         メモリ安全性のために満たされるべき前提条件はない。
    // Assumptions: `acre_tsk` はTOPPERSカーネル仕様にしたがって実装されており、
    //              カーネル動作状態であり、カーネル管理外割り込みハンドラから
    //              呼び出されていないと仮定する。
    unsafe {
        acre_tsk(&T_CTSK {
            tskatr: 0,
            exinf,
            task: Some(body),
            itskpri,
            stksz,
            stk,
        })
    }
}