陷阱入口与系统调用

普通函数call改变控制流，仍在原特权下使用原地址空间权限。系统调用跨越资源保护边界：调用者能提出请求，却不能把自己的参数当作已经可信的内核指针、权限或长度。

陷阱入口与线程调度也有不同职责。一次查询PID的调用可以进入内核、马上返回同一线程，整个过程中没有切换进程。反过来，定时器中断可能导致内核转而运行另一线程；是否调度是入口后的决策，不是trap的定义。

一次有界write请求 ​

P在PC=0x1020执行OS-16的系统调用指令，寄存器中保存fd=3, buf=0x12F0, n=32。入口保存用户寄存器。内核先验证fd可写，再检查整个用户区间 [0x12F0,0x1310) 可读；它横跨虚页0x12和0x13，不能只检查首字节。若n可能造成定宽溢出，先验证n≤65536−buf，再构造端点。

若0x13是已保留但尚未驻留的合法匿名页，OS-16的拷贝用户内存助手在可睡眠上下文中按既定策略处理该缺页，恢复后完成拷贝。若0x13没有合法映射，助手返回错误，不盲目把用户地址当内核地址读取。本例选择先把32B完整复制到内核暂存区、再修改文件，保证此模型中的用户拷贝失败不造成半次文件更新；这不是POSIX对所有write错误的通用原子性承诺。

请求成功后，返回值寄存器写入32，PC返回0x1024，其他需保留寄存器恢复。若把PC错误恢复到0x1020，程序会再次提交同一请求；若普通缺页也统一加4，则会跳过本应重试的访存。

用户指针会变，检查不能替代受控使用 ​

多线程进程可能在另一个线程检查指针后解除映射。先验证地址、再直接裸读并不能构成通用安全证明；内核需要规定用户拷贝时如何处理变化和故障，必要时锁定映射或捕获异常。OS-16主线限定单线程进程，因此示例没有这种交错，边界扩展时仍须补该协议。

内核也可能处理设备中断。中断处理器不能随意使用被中断线程的用户栈：该栈可无空间、不可写甚至已损坏。可信入口资源是防止一次错误参数变成内核任意内存写的组成部分。

一次系统调用成本可拆成入口/返回、参数验证和拷贝、服务逻辑、可能的I/O等待。固定入口成本不代表整次调用常数时间；拷贝n字节至少有随n增长的工作，阻塞还会产生上下文切换理路上下文切换与线程派发Context switch and dispatch · Ready running blocked用就绪、运行、阻塞三态解释CPU执行权交接，逐步核对用户trap frame、内核续点和地址空间恢复。。

语言级异常由语言运行时寻找处理器，通常不改变CPU特权；硬件陷阱由ISA与内核共同处理。语言除法异常有时可借硬件异常实现，但这种实现连接不能把所有throw、普通call与系统调用合为同一个接口。