MobileGL/docs/Disaggregated/notes/p11/PLAN-P11.md

# P11 计划：persistent map 与 ≥16 MiB 采纳（重划范围）

> 2026-09-29，基于 `feat/disaggregated@74ae652e`（P10 收官头）。路线图行（原文在 [`README.md`](README.md)）写于 09-22，下表逐项与树的现状核对。档位名按 `design/07-memory-readback-verification.md`：T0 = client 分配 AHB、server 导入；T1 = server 导出 opaque fd；T2 = 拒绝，由 client 推送。

## 1. 路线图每一项的现状

| 路线图写的 | 现状（核对） | 处置 |
|---|---|---|
| `MOBILEGL_IPC_ADOPT_TIER` 0/1 在使用处 Fatal | 成立，但只在 server 角色判定（`AdoptTierIsEmulate`，调用者 `PipeApply.cpp`、`PipeWireCodec.cpp`）；client 只打一行日志。spawn 下 server 在首个 `map_persistent` 才死；tcp 的 server 读不到 client 的值，静默走 T2 | **A1** |
| `dataPlane = Stream` 上点名 T0 / T1 → 具名拒绝并强制 T2 | **没实现**，但 `CONTRACT-P6.md`、`design/06`、`design/07` 都说它存在 | **A1** |
| `kSegAdopt` / `SEG_ADOPT` | 只有枚举和预留槽，生产代码里没有 `Install(kSegAdopt, …)`；`protocol.fbs` 的注释写的是 T1 的形状 | T0 不用这个段；枚举保留，注释统一（**C**） |
| POST 探针选档（T0 主、Adreno 可选 T1、T2 回退） | 没有会话期探针；DriverPost 在 APK 进程里、会话之外。spike B（shell 域）：T0 在 Adreno / Mali 全链 OK；T1 只有 Adreno Vulkan 过 | T1 关闭（**C**）；T0 的选档并入 **B** |
| `SEG_ADOPT` 生命周期绑 `completedFrameSerial` | 链路的 `completedFrameSerial` 没有生产者（`AdvanceCompletedFrame` 只有测试调用）；两个后端各有自己的完成序号 | 并入 **B**（T0 靠 AHB 引用计数 + server 本地 fence 门控释放） |
| `gPipeInputs` 版本化 / 双缓冲 | 已由 P5e（ID-135 更正）与 P5f f1 的双块机制落地 | 关闭（**C**） |
| 前置开放问题 3（从 `untrusted_app` 重跑 extmem 探针） | 从没在 app 域跑过；exec 钩子（trace APK 的 `mobilegl_spike_spawn`）存在，但 extmem_probe 不在构建图里；持续 lock 下 GPU 并发访问从没测过 | **A3**（设备） |
| 门：`LargeArenaAdoptionScenario` 在所选档下绿 | 场景 6 例，split 下只经 inproc 环境条目跑到；两种档位下都绿，没有用例断言数据落在哪一档 | **A2** |
| 门：26.3 与两个 Create fixture SSIM ≥ 0.99 | T2 下已有 SPLIT / SPAWN 重放；create-indirect 在 Redmi 上 monolith 就坏（ID-P7-4） | T2 已满足；T0 臂随 **B** |
| 门：Adreno 830 上 p99 与峰值 RSS 不比采纳基线差 10% 以上 | 基线（163 → 21 ms / 40 → 115 fps / ~400 MB）没有构建号、设备、臂、定频记录，115 疑为 vsync 封顶；本分支从没测过峰值 RSS | 撤下，**A4** 同会话重建（只记录，不设门） |

## 2. 工作包

### A — 档位诚实化 + 复核 + 重建基线（先做）

- **A1**（主机，两后端）：握手拿到 LinkTerms 后由 client 算出本会话的实际档位。Stream 上设 0 / 1 → 一行具名 `Refuse` 并强制 T2；SharedSegments 上设 0 / 1 → 握手期具名 Fatal（B 之前）。档位作为协商值追加进 LinkTerms（flatbuffers 只追加），tcp 的 server 不再靠自己的环境。门：单元（Stream + 0 → 会话起、一行 Refuse、`map_persistent` 得 DECLINED；SharedSegments + 0 → 第一条 `map_persistent` 之前死）；集成（`LargeArenaAdoptionScenario` 的 Tcp 条目带 `ADOPT_TIER=0`，两后端）。red-once：删 Stream 分支；把检查挪回使用处。
- **A2**（主机，两后端）：新用例断言 arena 落在车道声明的档（`PersistentMapPeek` + `MGITEST_PERSISTENT_MAP_ARM`：monolith 声明 adopted，split 声明 emulated）；`LargeArenaAdoptionScenario.*` 经 `mgl_itest_register_split_arms` 登记三臂，并加进 Magma Buffers 车道。red-once：monolith 车道加 `MOBILEGL_DISABLE_LARGE_BUFFER_ADOPTION=1`；删 server 端的拒绝（Espryt inproc 真采纳）。
- **A3**（设备）：extmem_probe 打包成 `lib*.so`，经 exec 钩子在 app 进程里跑，逐行对照 shell 域；补两条腿：持续 lock 下 GPU 读 / CPU 写交替、128 MiB。任何一行与 shell 域不同 → 对应后端的 B 判 no-go。
- **A4**（设备，只记录）：同一 APK、同一会话、Redmi 定频、各臂交错：monolith 采纳 / monolith + `MOBILEGL_DISABLE_LARGE_BUFFER_ADOPTION=1` / spawn+shm T2 / inproc T2 × 两后端 × {26.3、create-instancing、rd12}；逐线程 CPU p50、wall p99、峰值 RSS（split = client + server VmHWM − 共享，monolith = VmHWM；外部 adb 采样即可）。产出 B 的 go / no-go 表。

### B — 同机外部 client（Termux 一类）走共享内存，再上 T0（两后端）

**消费者（用户 2026-09-29）**：从 Termux 之类的其他 app 里启动的 GL 程序，连同一台设备上的 render server。这类 client 是另一个 app（另一个 uid、另一组 SELinux 类别），今天只能走 TCP loopback——Stream 数据面，T0 在上面不可能；render server 的 `@abstract` / 文件路径 unix 端点按其注释"只有本 app 能连"（`ServerControlActivity.java`）。所以 B 先要一条跨 app、能传 fd 的通道，数据面才能换成共享内存：

- **B0（设备探针，先做）**：跨 app 的 client 用 **retrace client + server app** 实现（用户 2026-09-29；不走 Termux 的路子）。两种 client：(a) retrace client 作为可执行文件在 adb shell 里运行（`shell` 域，最好驱动，先用它打通全链）；(b) trace APK 里的 retrace client，render server 跑在另一个包名的 APK 里（`untrusted_app` 域、不同 uid 与类别，代表 Termux 一类 client 的真实处境，复核 ① ②）。测 ① retrace client 能否连上 server app 的 abstract unix 套接字并用 `SCM_RIGHTS` 传 fd（MLS 类别下预计被拒，要实测）；② 不通时由两个 app 自己的 Java 侧引导：server app 暴露一个 bound Service，返回 socketpair 一端的 `ParcelFileDescriptor`，client app 绑定后交给原生 client；③ 经这条通道传 AHardwareBuffer 并导入（接 A3）。
- **B1（跨 app 共享内存数据面）**：控制面走 B0 选出的通道、数据面 `SharedSegments`（memfd 经 fd 传）——P10 设备实测同一 rd12 在 tcp loopback 51 fps、spawn+shm 120 fps（`notes/p10/C-MEASUREMENTS.md` §2），这一步本身就是外部 client 最大的收益，与 T0 无关。
- **B2（T0）**：在 B1 的通道上做 AHB 导入，形状如下。**必须留开关（用户 2026-09-29）**：`MOBILEGL_IPC_ADOPT_TIER` 就是这个开关——`2`（默认）= 不走零拷贝，行为与今天相同（共享内存段 + client 推送，T2）；`0` = 走零拷贝（T0）。开了但本会话用不了（server 自测不通过、server 端关了零拷贝、数据面是 Stream）时退回 T2 并记一行具名日志，不 Fatal（A1 现在共享段上 0/1 的握手期 Fatal 随 B2 改为此回退）；server 端另有允许 / 禁止零拷贝的开关。默认值在 B2 的真机门之后按数据再议。

B2 的形状：控制 op `AdoptStore` 经 unix 套接字传 AHB（Stream 上 A1 拒绝）；Espryt `glBufferStorageExternalEXT`、Magma `VK_ANDROID_external_memory_android_hardware_buffer` 导入；server 起角色时自测、发布 `kCapAdoptT0`；client 取 min(旋钮, caps, 数据面规则)；释放由 server 本地 fence 门控；CPU 读前 server 排空常驻写并等 GPU。主机只能验协议与回退（Linux 没有 AHB），GPU 正确性靠设备门。控制协议修订 3 → 4。预期：T0 省的是 RSS 与 Create 类持久映射推送，不减少 26.3 的 stage 字节。

### C — 只改文档

关闭 `gPipeInputs` 版本化与 T1；`completedFrameSerial` 生命周期与探针选档并入 B；撤下采纳基线三个数（改指 A4）；修文档漂移：`Config.h` 的 "plain memcpy"（`0ee3384b2` 起是 GPU 有序落地）、`MG_Backend/Init.cpp` 的 "DirectVulkan 不注册资源表"、三处档位定义（`protocol.fbs`、`PersistentMapTracker.h` 注释）、`notes/p0/README.md` 里基线的 "Adreno" 归属。

## 3. 待裁定（集成者先按建议走，可推翻）

| 事项 | 建议 |
|---|---|
| B 是否排期 | **排**（用户 2026-09-29：Termux 一类的外部 GL 程序）。顺序 B0 → B1 → B2；B0 的结果决定通道形状，A3 决定 B2 在 app 域是否可行 |
| inproc 的 `local` 档 | 与外部 client 无关；随 A4 的数据再议 |
| 门的口径 | 性能与 RSS 只记录（`MEASUREMENTS.md` 规矩）；正确性门照常 |

## 4. 门与规矩

同 P10：`~/w7/notes/p9/gate.sh` 全套 + verify 三车道；G1 同机；LinkTerms / 控制协议只追加；每个新门 red-once；设备只用红米（锁 `~/w7/locks/2f7cbe2e.lock`）；不拉 LFS；提交一行、无署名尾注。