iOS Secluded Memory（隐退内存）详解

Secluded memory 是 XNU 内核在普通 free page list 之外单独维护的一个物理页储备池 （队列名就叫 vm_page_queue_secluded），它在 iOS 上的唯一用途是为相机（Camera）预留应急内存。 源码注释写得非常直白：

vm_page_queue_head_t  vm_page_queue_secluded; /* reclaimable pages secluded for Camera */ — vm_page.h:1273（xnu-7195.141.2）

"secluded"（隐退、与世隔绝）的含义就是：这些页从普通 VM 的分配、回收、jetsam 统计视野里"隔离隐退"出去—— 系统其他部分既看不到它、也拿不到它，只有内核点名授权的极少数特权分配者才能动用。 页状态机为它单设一态 VM_PAGE_ON_SECLUDED_Q = 5，与 free / active / inactive 并列 vm_page.h:200-202。

相机是 iOS 里对内存爆发性与确定性要求最苛刻的场景：从按下快门到取景器出图只有几百毫秒， 而这一瞬间要为 sensor/ISP 管线、图像缓冲区抓取几十上百 MB 物理页。若此时系统内存紧张，普通路径只有两个坏结局：

• 普通分配等页回收（pageout 扫描、压缩器），延迟不可控；
• 更糟的是触发 jetsam，杀一堆后台 App 换内存，相机启动直接卡住。

Apple 的解法不是给 Camera 更高的 jetsam 优先级，而是直接从总账里藏起一块内存： >1GB RAM 的设备默认划出 90MB 不参与普通分配 vm_resident.c:1443-1447。这 90MB 平时"不存在"，关键时刻只有相机能瞬间吃掉——相当于给相机留的"私房钱"。

与本项目实测数据的关联

本工作区 report.md 的 40 次冷启动实测恰好构成一组对照：

• 一次冷启动全系统吞吐 ~1.2GB，mediaserverd 重建帧缓冲池 ~50MB → ~600MB—— 这正是 secluded 要保障的那类"必须成功且要快"的分配；
• 实测"空闲内存 ≥300MB 时，内存多少不影响启动速度"与机制一致： secluded 通道只在 free list 见底时才启用（§7），富余内存下根本不参与；
• 深压组（≤250MB free）实测 +180~240ms 的代价落在 IOKit/kmem 分配层， 而 secluded 池正是内核为这一水位准备的底仓之一；
• 以往 vm_stat 快照里完全找不到这 90MB——不是不存在，是被设计成看不见（§8、§9）。

恒等式 secluded_count = count_free + count_inuse 在所有路径以断言维护 vm_resident.c:3405-3407vm_resident.c:3530-3532。

取值优先级：代码默认 → 设备树 → boot-arg，后者依次覆盖 vm_resident.c:1437-1457：

/* vm_resident.c:1443-1457 (xnu-7195.141.2) */
secluded_mem_mb = 0;
if (max_mem > 1 * 1024 * 1024 * 1024) {
        secluded_mem_mb = 90;              /* 默认 90MB */
}
PE_get_default("kern.secluded_mem_mb", &secluded_mem_mb, ...);   /* 设备树 */
PE_parse_boot_argn("secluded_mem_mb", &secluded_mem_mb, ...);  /* boot-arg */
vm_page_secluded_target = secluded_mem_mb * 1024 * 1024 / PAGE_SIZE;

另有一个常量 secluded_shutoff_headroom = 150MB，注释标注 "original value from N56"（某 iPhone 硬件代号上用 Peace/munch 压力测试调出的经验值） vm_resident.c:1361-1362vm_resident.c:1476-1492。

回填①②：空闲页来源（启动期 + 运行期）

页被释放时，满足三个条件才进 secluded 队列而不是普通 free list vm_resident.c:3648-3677（启动早期版本更简单 vm_resident.c:3776-3782）：

/* vm_resident.c:3648-3669 */
} else if (vm_page_free_count > vm_page_free_reserved &&   // free list 高于保留水位
    vm_page_secluded_count < vm_page_secluded_target &&      // 池还没攒满
    num_tasks_can_use_secluded_mem == 0) {                 // 且没有特权任务在用
        vm_page_queue_enter_first(&vm_page_queue_secluded, mem, vmp_pageq);
        mem->vmp_q_state = VM_PAGE_ON_SECLUDED_Q;
        vm_page_secluded_count++;
        vm_page_secluded_count_free++;

回填③：文件缓存来源

被标记 eligible_for_secluded 的文件对象的干净页，在 vm_page_activate() 时挂上 secluded 队列、记入 inuse vm_resident.c:4911-4923：

/* vm_resident.c:4911-4923 */
if (secluded_for_filecache &&
    vm_page_secluded_target != 0 &&
    num_tasks_can_use_secluded_mem == 0 &&
    m_object->eligible_for_secluded) {
        vm_page_queue_enter(&vm_page_queue_secluded, m, vmp_pageq);
        m->vmp_q_state = VM_PAGE_ON_SECLUDED_Q;
        vm_page_secluded_count_inuse++;          // 记为“在用”的干净文件页
        assert(!m_object->internal);              // 只收外部(文件)对象
}

标记接口是内核 KPI memory_object_mark_eligible_for_secluded() memory_object.c:1891-1922——开源 XNU 树里没有调用方，调用者应在闭源 pager / kext 中。

溢出与倒池

• 溢出回流：池子超过 target 后，vm_pageout_scan 每轮把溢出页移回 active 或 free 队列 vm_pageout.c:1759-1806（注释 SECLUDED_AGING_BEFORE_ACTIVE）；
• kill 前倒池：jetsam 因页短缺准备杀特权进程（相机）时，vm_page_secluded_drain() 把整池倒回 free/active vm_resident.c:3510-3567（详见 §8）。

资格在 execve 收尾处按进程名硬编码授予，且要求是 Apple 平台二进制 kern_exec.c:1562-1577（iOS 14.8）：

/* bsd/kern/kern_exec.c:1562-1577 (xnu-7195.141.2) */
if (secluded_for_apps &&
    load_result.platform_binary) {                        // 必须是 Apple 平台二进制
        if (strncmp(p->p_name, "Camera", sizeof(p->p_name)) == 0) {
                task_set_could_use_secluded_mem(task, TRUE);      // 只有 Camera
        } else {
                task_set_could_use_secluded_mem(task, FALSE);
        }
        if (strncmp(p->p_name, "mediaserverd", sizeof(p->p_name)) == 0) {
                task_set_could_also_use_secluded_mem(task, TRUE);  // mediaserverd 跟随
        }
}

could → can 的转换：只有前台相机真正"开闸"

拿到 could_use 身份还不够，memorystatus 在调整进程优先级时动态开关 kern_memorystatus.c:2335-2342：

/* memorystatus_update_priority_locked() */
if (secluded_for_apps &&
    task_could_use_secluded_mem(p->task)) {
        task_set_can_use_secluded_mem(
            p->task,
            (priority >= JETSAM_PRIORITY_FOREGROUND));   // 只有前台才放开
}

can_use 置位时全局计数 num_tasks_can_use_secluded_mem + 1，切后台立即 −1 task.c:9235-9270。这个计数直接控制 §5 的回填铁律：相机前台 = 池只出不进；相机退后台 = 池重新积累。

"内存大户" shutoff 通道（唯一的例外）

任何任务（不需要 Camera 身份）满足"用得特别多且逼近自身 limit"时，也临时允许动用池子，并触发 suppression：

/* task.c:9310-9318 */
if (is_alloc && secluded_shutoff_trigger != 0) {           // trigger 默认 max_mem/2
        uint64_t phys_used = get_task_phys_footprint(task);
        uint64_t limit = get_task_phys_footprint_limit(task);
        if (phys_used > secluded_shutoff_trigger &&        // 用量已过半内存
            limit > secluded_shutoff_trigger &&
            phys_used > limit - secluded_shutoff_headroom) { // 距 limit 不足 150MB
                start_secluded_suppression(task);            // 顺手停止回填
                return TRUE;
        }
}

suppression 的实现是把 vm_page_secluded_target 置 0（不再回填），直到该任务退出才恢复 vm_resident.c:9774-9815。源码注释："Allow a really large app to effectively use secluded memory until it exits." （默认触发线 max_mem/2 来自一次 N56 设备上 Peace/munch 压力测试的调参 vm_resident.c:1476-1492）。

IOKit 旁路：相机管线的 DMA 缓冲这么拿页

驱动以 kIOMemoryUseReserve 选项创建 IOBufferMemoryDescriptor 时 IOMemoryDescriptor.cpp:524/567，IOKit 会在 mach_make_memory_entry_64 的权限位里加 MAP_MEM_GRAB_SECLUDED vm_user.c:2727-2744，产出的 VM 对象带 can_grab_secluded 标志； 此后该对象的缺页 vm_fault.c:1044-1049、UPL 落页 vm_pageout.c:5650-5655 / 8778-8783 全程带 VM_PAGE_GRAB_SECLUDED 通行证，与进程身份无关。

vm_page_grab_options() 的入口逻辑决定了 secluded 的角色定位 vm_resident.c:3175-3202：

/* vm_resident.c:3175-3192 */
if ((vm_page_free_count < vm_page_free_reserved) &&          // free list 已见底（保留水位以下）
    !(current_thread()->options & TH_OPT_VMPRIV)) {
        /* 普通任务拿不到页了 —— 但特权者还有一条路 */
        if (vm_page_secluded_count > 0 &&
            ((grab_options & VM_PAGE_GRAB_SECLUDED) ||          // IOKit 预留对象
            task_can_use_secluded_mem(current_task(), TRUE))) { // 或特权任务
                mem = vm_page_grab_secluded();

secluded 通道只在普通 free list 见底时启用。内存充裕时大家（包括相机）都走普通分配； 只有系统真的挤到普通任务拿不到页的程度，储备才启用——这正是"储备"二字的本义，也解释了为什么实测中 富余内存（≥300MB free）时内存量不影响相机启动速度。

真正取页的 vm_page_grab_secluded()（vm_resident.c:3369-3507）分两级：

• 优先拿池内 free 页（不属于任何对象，直接交付，统计 grab_success_free）；
• 否则偷一张干净的文件缓存页：pmap_disconnect 断映射 → 检查 busy/laundry/dirty 状态 （脏页放弃，统计 grab_failure_dirty）→ 干净页 vm_page_free_prepare_object 后交付 （grab_success_other）。

等不到页的特权任务在专属等待队列 vm_page_free_wanted_secluded 上睡眠 vm_resident.c:3845-3861，有页入池时被优先唤醒 vm_resident.c:3674-3677。

1. 压力等级分母直接扣除： memorystatus_level = available × 100 / (total_pages − vm_page_secluded_count) kern_memorystatus.c:5119-5121vm_pageout.c:4410-4414—— 90MB 对内存压力百分比"不存在"，系统按少了 90MB 的总内存来管理，这块储备不会让系统"虚胖"。
2. 可用页口径只算溢出部分：VM_CHECK_MEMORYSTATUS 宏里 available = 外部可分页页 + free + 仅 over-target 的 secluded 页 + purgeable vm_page.h:1533-1539。池子攒到目标值后多出来的部分重新算可用。
3. vm_stat 完全看不见它：secluded 页不在 free/active/inactive/wired 任何一栏里 （连启动期的初始 wire count 都显式把它扣掉 vm_resident.c:1181-1186）。 vm_stat（HOST_VM_INFO）没有对应字段——这正是设计目标。
4. 杀进程前的"抢救"：当 jetsam 因 kMemorystatusKilledVMPageShortage 准备杀一个 有 secluded 特权的进程（即相机）时，先 vm_page_secluded_drain() 把整池倒回 free/active vm_resident.c:3510-3567，倒完压力缓解就不杀了；即使没完全脱离 pressure、只要出了 critical 水位也宣告成功免杀 kern_memorystatus.c:5518-5564：

"We're about to kill a process that has access to the secluded pool. Drain that pool into the free or active queues to make these pages re-appear as 'available', which might make us no longer need to kill that process. […] This is an important process and we'd rather not kill it unless absolutely necessary." — kern_memorystatus.c:5522-5560（xnu-7195.141.2）

配套设计：相机使用期间池子只出不进（§5 回填铁律），避免相机与回填逻辑互相打架； 相机退出/被杀后 task_terminate 清标志 task.c:3109-3116，池子重新积累，为下次启动做准备。

内核导出了一整套 sysctl（定义于 vm_unix.c，iOS 14.8 行号见 vm_unix.c:3034-3057）：

# 越狱设备（本工作区 iPhone 12 Pro / iOS 14.8.1 / Taurine）直接可读：
sysctl vm.page_secluded_target             # 5760（= 90MB / 16KB）
sysctl vm.page_secluded_count              # 池内当前总页数
sysctl vm.page_secluded_count_free         # 池内空闲页
sysctl vm.page_secluded_count_inuse        # 池内文件缓存页
sysctl vm.page_secluded_count_over_target  # 超标部分（对 jetsam 可用）
sysctl vm.page_secluded_eligible           # eligible 对象的驻留页数
sysctl vm.page_secluded_grab_success_free  # 从池内 free 页成交次数
sysctl vm.page_secluded_grab_success_other # 偷文件页成交次数
sysctl vm.page_secluded_grab_for_iokit     # IOKit 通道请求次数
sysctl vm.num_tasks_can_use_secluded_mem   # 当前有几个特权任务（前台相机=1）

典型动态：相机在前台拍照/录像时 page_secluded_count 逐渐下降（只出不进）； 退到后台后缓慢回升（回填重启）。把这条采样并入 probe/ 的 camwatch 时间线， 即可与 40 次冷启动实验的内存曲线对齐验证。

六个版本的 kern_exec.c Camera 打标对比（iOS 10 无门槛 + testCamera → iOS 11+ 平台二进制门槛 → iOS 18 扩名单），源码已存档于 skill 的 session-archive 目录，可逐行复核。