KCSAN (Kernel Concurrency Sanitizer)

KCSAN은 커널의 데이터 레이스(Data Race)를 탐지하는 Sanitizer입니다. 컴파일러 계측으로 메모리 접근에 워치포인트(Watchpoint)를 설정하고 짧은 지연(Latency) 동안 다른 CPU의 경합(Contention) 접근을 관측해 동기화가 누락된 동시 접근을 확률적으로 포착합니다. 메모리 배리어(Memory Barrier) 규약 기반으로 매크로(Macro) 주석(READ_ONCE/data_race)을 통한 의도 표기를 권장하며, 오버헤드(Overhead)는 중간 수준이고 페이지(Page) 레벨 공유 변수까지 포함합니다.

데이터 레이스 개요

KCSAN은 커널의 데이터 레이스(data race)를 탐지합니다. 데이터 레이스는 두 스레드(Thread)가 동시에 같은 메모리 위치에 접근하고, 그중 적어도 하나가 쓰기이며, 적절한 동기화(synchronization)가 없는 상황을 말합니다. C11 메모리 모델에서 데이터 레이스는 정의되지 않은 동작(UB)입니다.

워치포인트 기반 샘플링

KCSAN은 컴파일러 계측으로 모든 메모리 접근에 체크 코드를 삽입하되, 실제로는 확률적 샘플링으로 동작합니다. 하나의 접근에 "워치포인트(watchpoint)"를 설정하고, 짧은 딜레이(delay) 동안 다른 CPU에서 같은 주소에 접근하는지 감시합니다.

핵심 체크 로직

/* kernel/kcsan/core.c - KCSAN 워치포인트 체크 (간략화) */

static __always_inline void check_access(
    const volatile void *ptr,
    size_t size, int type)
{
    /* 1. 기존 워치포인트와 충돌하는지 체크 */
    long encoded_watchpoint;
    if (find_matching_watchpoint(
            (unsigned long)ptr, size,
            type & KCSAN_ACCESS_WRITE,
            &encoded_watchpoint)) {
        /* 충돌! 데이터 레이스 발견 */
        kcsan_report_known_origin(
            ptr, size, type, encoded_watchpoint);
        return;
    }

    /* 2. 확률적으로 이 접근에 워치포인트 설정 */
    if (!kcsan_should_sample())
        return;

    /* 3. 워치포인트 설정 */
    insert_watchpoint((unsigned long)ptr, size, type);

    /* 4. 짧은 딜레이 (다른 CPU의 접근 기회 제공) */
    udelay(KCSAN_UDELAY_TASK);

    /* 5. 워치포인트 해제. 값이 바뀌었으면 "놓친 레이스" 리포트 */
    remove_watchpoint((unsigned long)ptr);
}

marked vs unmarked 접근

LKMM에서 공유 변수 접근은 "marked"와 "unmarked"로 구분됩니다. KCSAN은 이 구분을 기준으로 판정합니다. CONFIG_KCSAN_STRICT=y는 unmarked 접근 자체를 레이스로 간주하는 가장 엄격한 모드입니다.

ASSERT 계열 매크로로 불변식 표기

때로는 "이 자료구조는 특정 문맥에서 배타적 접근이어야 한다"는 불변식을 코드로 표기해 두면, KCSAN이 자동으로 해당 구간에 워치포인트를 설정하여 침범을 검증해 줍니다.

/* 사용 예 */
void update(struct foo *f)
{
    spin_lock(&f->lock);

    /* 이 시점에 다른 writer가 있으면 KCSAN 레이스 리포트 */
    ASSERT_EXCLUSIVE_WRITER(f->counter);
    f->counter++;

    spin_unlock(&f->lock);
}

void destroy(struct foo *f)
{
    /* 해제 직전에는 어떤 접근도 없어야 함 */
    ASSERT_EXCLUSIVE_ACCESS(*f);
    kfree(f);
}

리포트 해석

==================================================================
BUG: KCSAN: data-race in task_struct_update / task_struct_read

write to 0xffff888103a5e000 of 4 bytes by task 1234 on cpu 0:
 task_struct_update+0x30/0x60
 worker_thread+0x1a0/0x340

read to 0xffff888103a5e000 of 4 bytes by task 5678 on cpu 2:
 task_struct_read+0x18/0x40
 another_worker+0x80/0x120

value changed: 0x00000001 → 0x00000002

Reported by Kernel Concurrency Sanitizer on:
CPU: 0 PID: 1234 Comm: worker Not tainted 6.8.0 #1
==================================================================

분석:
  - task 1234 (CPU 0)가 주소 0xffff888103a5e000에 4바이트 쓰기
  - task 5678 (CPU 2)가 같은 주소에서 4바이트 읽기
  - 동기화 없이 동시 접근 → 데이터 레이스
  - 해결: 적절한 락, READ_ONCE/WRITE_ONCE, 또는 atomic 연산 사용

False positive 억제 패턴

의도적 레이스(통계 카운터, 플래그 조기 읽기 등)는 명시적 표기로 False positive를 줄입니다.

/* 통계 카운터는 약간의 부정확성을 감수하는 경우 */
static unsigned long stat_count;

void record_event(void)
{
    /* KCSAN 경고 없이 증가 허용 */
    data_race(stat_count++);
}

unsigned long get_stat(void)
{
    return data_race(stat_count);  /* 근사값 허용 */
}

RCU lockless 패턴과 KCSAN

RCU 읽기 측은 lockless로 쓰기 측과 동시에 수행되어도 괜찮다는 것이 보장되는 전형적 marked 접근입니다. rcu_dereference(head)는 내부적으로 READ_ONCE를 사용하며 KCSAN이 레이스로 간주하지 않습니다. 쓰기 측은 rcu_assign_pointer()(내부 smp_store_release)를 사용해야 하며, 둘 중 하나라도 plain 접근을 쓰면 KCSAN이 즉시 경고합니다.

/* 올바른 RCU 패턴 */
struct node *reader(void)
{
    struct node *p;
    rcu_read_lock();
    p = rcu_dereference(head);  /* marked 읽기 */
    /* ... p 사용 ... */
    rcu_read_unlock();
    return p;
}

void writer(struct node *new)
{
    spin_lock(&lock);
    rcu_assign_pointer(head, new);  /* marked 쓰기 (release) */
    spin_unlock(&lock);
    synchronize_rcu();
    /* 기존 노드 free */
}

워치포인트 슬롯 소진과 샘플 손실

per-CPU 워치포인트 슬롯은 기본 64개입니다. 짧은 시간에 많은 접근이 몰리면 슬롯이 모두 점유되어 새 샘플이 포기됩니다. /sys/kernel/debug/kcsan의 통계에서 skipped: ...로 손실률을 볼 수 있으며, CONFIG_KCSAN_SKIP_WATCH를 낮춰 샘플 빈도를 올리거나, 문제 재현이 안 되면 반대로 값을 올려 슬롯 소진을 줄이는 식으로 튜닝합니다.

WEAK_MEMORY 모델 플래그

CONFIG_KCSAN_WEAK_MEMORY=y는 CPU가 재배열이 심한(weak) 메모리 모델을 사용한다고 가정하고 더 많은 재배열 가능성 레이스를 경고합니다. 특히 ARM64·POWER·RISC-V처럼 기본적으로 acquire/release 배리어 없이는 순서가 보장되지 않는 아키텍처에서 의미가 큽니다. x86(TSO)에서는 일부 재배열이 하드웨어적으로 방지되지만, 코드가 다른 아키텍처로 이식될 때를 대비해 개발 단계에서 이 옵션을 켜면 좋습니다.

Lockdep과의 조합 사용

KCSAN과 Lockdep은 서로 다른 층을 검증합니다. Lockdep은 락 순서(A→B vs B→A)와 불변식(같은 스레드가 같은 락을 재귀 획득하는지 등)을 본다면, KCSAN은 "락으로 보호된 변수에 락 없이 접근하는지"를 봅니다. 공통 디버그 커널에서는 둘을 함께 켜는 것이 이상적이지만 운영상 주의할 점이 있습니다.

litmus test와 교차 검증

LKMM은 herd7 시뮬레이터로 돌릴 수 있는 litmus 테스트를 제공합니다. 이론적으로 허용되는 상태를 구한 뒤 KCSAN 리포트와 교차 검증하면, 해당 패턴이 정말 "가능한 실제 레이스"인지 혹은 KCSAN 샘플링의 단순 관측인지 가릴 수 있습니다.

# herd7 예시: store-buffering (SB) 패턴
$ cat SB.litmus
C SB
{ }

P0(int *x, int *y) {
  WRITE_ONCE(*x, 1);
  r1 = READ_ONCE(*y);
}

P1(int *x, int *y) {
  WRITE_ONCE(*y, 1);
  r2 = READ_ONCE(*x);
}

exists (0:r1=0 /\ 1:r2=0)

$ herd7 -conf linux-kernel.cfg SB.litmus
Test SB Allowed
States 4
0:r1=0; 1:r2=0;   # LKMM이 가능하다고 인정하는 상태
...
Observation SB Sometimes 1 3

# KCSAN이 같은 변수에 대해 "write/read race"를 리포트했다면
# herd7 결과가 "Sometimes"인 것과 부합 (실제로 일어날 수 있는 레이스).
# 반대로 "Never"로 나왔다면 KCSAN의 거짓 경고 가능성을 의심.

atomic_t / atomic_long_t / KCSAN_ACCESS_* 판정 차이

KCSAN이 접근을 분류할 때는 "타입"이 아니라 계측 후 생성되는 KCSAN_ACCESS_* 플래그가 기준입니다. 같은 변수라도 어떤 API로 읽고 쓰는지에 따라 marked/unmarked가 달라집니다.

흔한 실수와 디버깅(Debugging) 팁

• "아무 경고도 안 뜬다" — 기본 샘플링 주기가 크면 드문 레이스는 잡히지 않습니다. CONFIG_KCSAN_SKIP_WATCH를 1000 이하로 낮추고 오래 돌려보세요.
• 폭주하는 false positive — 먼저 의도적 레이스를 data_race()로 감쌉니다. 그래도 많으면 해당 파일에 KCSAN_SANITIZE := n을 설정하고, 나중에 범위를 좁혀 가며 복원합니다.
• "data_race 값이 이상" — 컴파일러가 여전히 분할/재배열할 수 있습니다. 정확성이 필요하면 READ_ONCE/WRITE_ONCE를 사용하세요.
• 인터럽트 컨텍스트 접근 — KCSAN_UDELAY_INTERRUPT(기본 20μs)가 너무 길면 지연이 문제될 수 있습니다. RT 환경에서는 줄이세요.
• "strict 모드 경고가 너무 많다" — 레거시 코드에 plain 접근이 광범위하게 남아 있는 상태. 점진적으로 READ_ONCE/WRITE_ONCE로 마킹하면서 strict을 켜세요.

커널 설정

CONFIG_KCSAN=y
CONFIG_KCSAN_STRICT=y                # LKMM 엄격 모드 (기본값 n, opt-in 권장)
CONFIG_KCSAN_WEAK_MEMORY=y           # weak memory model 가정
CONFIG_KCSAN_REPORT_ONCE_IN_MS=3000  # 같은 사이트 리포트 재발 간격
CONFIG_KCSAN_SKIP_WATCH=4000         # 접근 N개당 1회 샘플링
CONFIG_KCSAN_UDELAY_TASK=80          # 태스크 컨텍스트 딜레이 (μs)
CONFIG_KCSAN_UDELAY_INTERRUPT=20     # 인터럽트 컨텍스트 딜레이 (μs)
CONFIG_KCSAN_VERBOSE=y               # 값 변경 정보 포함

특정 접근을 데이터 레이스로 간주하지 않아도 될 때는 data_race(expr) 매크로, ASSERT_EXCLUSIVE_WRITER(), ASSERT_EXCLUSIVE_ACCESS() 등을 사용해 의도를 명시합니다.

참고자료

• KernelConcurrencySanitizer (KCSAN) — 커널 공식 문서
• LWN: Finding race conditions with KCSAN
• LWN: KCSAN-finding data races in the Linux kernel
• Linux Kernel Memory Model (LKMM) — litmus test 모음
• 소스 코드: kernel/kcsan/core.c, kernel/kcsan/report.c, include/linux/kcsan-checks.h, Documentation/dev-tools/kcsan.rst