从AHCI协议到代码落地：用Wireshark抓包分析SATA FIS的‘对话’过程（附实战截图）-深圳市維司達科技有限公司

从AHCI协议到代码落地：用Wireshark抓包分析SATA FIS的‘对话’过程

第一次在Wireshark中看到SATA FIS数据包时，那种感觉就像意外截获了外星通讯——这些结构规整的十六进制数字串，实际上是硬盘控制器与主机之间加密般的对话。与网络协议分析不同，存储协议的抓包需要特殊的硬件环境和配置技巧，但回报是直观看到libata驱动中那些抽象数据结构在物理层上的真实投影。

1. 搭建SATA协议分析环境

1.1 硬件准备方案

要捕获原生SATA FIS，传统方案需要价格昂贵的协议分析仪。但开发者可以通过以下低成本组合实现：

支持端口复制的SATA扩展卡：如ASM1166芯片的PCIe转SATA卡，其调试模式可镜像端口数据
USB 3.0协议分析器：配合SATA转USB桥接芯片（如JMS578）的调试接口
虚拟化环境：QEMU的AHCI模拟器配合-device ahci,cap=0x1ff参数开启详细日志

# QEMU启动命令示例 qemu-system-x86_64 -hda disk.img -device ahci,cap=0x1ff,debug=0x1 \ -net none -nographic

1.2 Wireshark配置要点

在Wireshark中解析SATA流量需要特殊配置：

编辑init.lua启用SATA解析器：
```
dofile(DATA_DIR.."sata.lua")
```
捕获过滤器设置（当使用USB分析器时）：
```
usb.transfer_type == 0x02 && usb.device_address == 1
```
关键显示过滤器：
- sata.fis.type == 0x27（Register FIS - Host to Device）
- sata.fis.type == 0x34（DMA Setup FIS）

注意：实际捕获时会看到大量FIS_TYPE_DEV_BITS（0xA1）类型，这是设备状态更新信号，通常可忽略

2. FIS结构深度解析

2.1 Register FIS的二进制解剖

捕获到的Host to Device Register FIS（类型0x27）典型结构如下：

字节偏移	字段名	协议对应位域	Linux驱动中的映射
0	FIS类型	7:0	`struct ata_taskfile`
1	命令/状态	15:8	`tf->command`
2	特性寄存器	23:16	`tf->feature`
4-7	LBA低32位	55:24	`tf->lbal`/`tf->lbam`等
12	设备选择	95:88	`tf->device`

在libata驱动中，这些字段的填充发生在ata_tf_to_fis()函数：

// drivers/ata/libata-core.c void ata_tf_to_fis(struct ata_taskfile *tf, u8 pmp, int is_cmd, u8 *fis) { fis[0] = 0x27; // FIS类型 fis[1] = tf->command; fis[2] = tf->feature; memcpy(&fis[4], &tf->lbal, 4); // LBA拷贝 fis[12] = tf->device; }

2.2 DMA Setup FIS的流量特征

DMA传输时的关键FIS类型（0x34）包含以下核心字段：

DMA Buffer ID（字节1-3）：对应struct ata_queued_cmd中的tag字段
DMA Buffer Offset（字节4-7）：内存对齐检查点，必须8字节对齐
Transfer Count（字节8-11）：与prd表中的dw3字段校验

典型Wireshark捕获示例：

0000 34 01 00 00 00 00 00 00 00 04 00 00 01 00 00 00 0010 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00

这表示一个4KB的DMA传输请求（0x400字节），对应驱动中的ahci_fill_sg()函数调用。

3. 协议与代码的交叉验证

3.1 内存布局的物理证据

通过对比Wireshark捕获的FIS地址与内核内存分配，可以验证AHCI规范中的内存模型：

从PORT_FIS_ADDR寄存器值找到RX_FIS区域基址
在捕获的D2H FIS中查找PIO Setup FIS的偏移量
对比pp->rx_fis_dma与抓包实际地址

# 从Wireshark导出FIS地址的解析脚本 import struct def parse_fis_address(packet): fis_addr = struct.unpack('<Q', packet[32:40])[0] print(f"Actual FIS DMA Address: 0x{fis_addr:x}") return fis_addr & 0xFFFFFFFFFFFFF000 # 4K对齐掩码

3.2 命令触发时序分析

通过抓包可以清晰看到AHCI命令提交的硬件时序：

命令槽写入阶段：观察到PORT_CMD_ISSUE寄存器的置位信号
FIS接收阶段：约500ns后出现第一个D2H Register FIS
DMA阶段：当传输量大于8KB时，会看到多个DMA Setup FIS交错

关键发现：实际测试显示Linux 5.10+内核在NVMe兼容模式下会合并相邻的DMA FIS，这与传统AHCI行为不同

4. 高级调试技巧

4.1 错误注入测试

通过修改捕获的FIS包重放来测试驱动容错：

故意破坏FIS的CRC字段：

# 使用tcpreplay修改并重放 tcprewrite --fixcsum --infile=original.pcap --outfile=corrupted.pcap

观察libata的异常处理路径：
- 预期触发ata_eh_link_autopsy()中的错误恢复
- 检查/sys/kernel/debug/ata*/err_mask值变化

4.2 性能优化线索

从FIS时间戳中可以发现潜在优化点：

FIS响应延迟：统计H2D到D2H FIS的时间差
DMA间隙：连续DMA Setup FIS之间的间隔反映DMA引擎效率

# 使用R分析FIS时间序列 library(ggplot2) fis_data <- read.csv("fis_timestamps.csv") ggplot(fis_data, aes(x=seq, y=latency)) + geom_point(aes(color=type)) + geom_smooth(method="loess")

在最近为某分布式存储系统调试AHCI超时问题时，正是通过Wireshark发现了一个硬件Bug——当连续收到超过127个DMA Setup FIS后，控制器的DMA引擎会错误地重复使用PRD条目。这个发现最终促使我们修改了libata的ahci_qc_prep函数，主动限制单个命令的PRD数量。