S364 · Endpoint teardown admission production writer guard integration

/// Commit a typed, already-locked endpoint destruction after full graph
/// preflight. Removing the registry object is the linearization point; every
/// following mutation is allocation-free and exact.
fn preflight_and_teardown_endpoint_object_under_ipc_transaction(
    id: CapId,
    expected_owner: u64,
    revoker: Option<u64>,
) -> Result<EndpointTeardown, EndpointAuthorityError> {
    let preflight = preflight_endpoint_teardown_under_ipc_transaction(id, expected_owner)?;
    #[cfg(all(target_arch = "aarch64", target_os = "none", feature = "board-rpi5"))]
    let s364_writer_access = crate::g8l_target_dispatch_scheduler_owner_scheduler_mutation_production_migration_lifecycle_s364_endpoint_teardown_admission_writer_guard_integration::acquire_s364_production_scheduler_writer_access()
        .unwrap_or_else(|error| {
            panic!(
                "S364 endpoint-teardown admission scheduler writer guard failed closed: {:?}",
                error
            )
        });
    let capacity_reserved = unsafe {
        (&mut *core::ptr::addr_of_mut!(crate::task::scheduler::SCHEDULER))
            .try_reserve_ipc_wake_capacity(preflight.wake_capacity)
    };
    #[cfg(all(target_arch = "aarch64", target_os = "none", feature = "board-rpi5"))]
    drop(s364_writer_access);
    if !capacity_reserved {
        return Err(EndpointAuthorityError::WakeCapacityUnavailable);
    }
    let teardown = teardown_endpoint_object_under_ipc_transaction(id, expected_owner, revoker)
        .ok_or(EndpointAuthorityError::AuthorityGraphMismatch)?;
    assert_eq!(teardown.owner, preflight.owner);
    // The commit performs an independent exact snapshot equality assertion;
    // retaining the typed preflight value here documents that holder removal
    // was part of the atomic admission decision.
    let _ = preflight.holders;
    Ok(teardown)
}

#[cfg(all(target_arch = "aarch64", target_os = "none", feature = "board-rpi5"))]
pub fn acquire_s364_production_scheduler_writer_access(
) -> Result<G8lS364ProductionSchedulerWriterAccess, G8lS247WholeSchedulerAccessError> {
    let caller_cpu =
        crate::percpu::try_current_cpu_id().ok_or(G8lS247WholeSchedulerAccessError::InvalidCpu)?;
    if caller_cpu != crate::g8l_runtime_contract::CPU0 {
        return Err(G8lS247WholeSchedulerAccessError::InvalidCpu);
    }
    let access = crate::g8l_target_dispatch_scheduler_owner_scheduler_mutation_production_migration_lifecycle_s246_whole_scheduler_read_access_guard::S247_PRODUCTION_WHOLE_SCHEDULER_ACCESS_GATE
        .try_acquire_exclusive_for_valid_cpu(caller_cpu)?;
    Ok(G8lS364ProductionSchedulerWriterAccess { _access: access })
}

#[test]
fn boundary_has_exactly_one_s364_acquire_and_one_release() {
    let boundary = endpoint_teardown_admission_boundary();
    assert_eq!(
        boundary
            .matches("acquire_s364_production_scheduler_writer_access")
            .count(),
        1
    );
    assert_eq!(boundary.matches("drop(s364_writer_access)").count(), 1);
}

  {
    id: "g8l-s364-endpoint-teardown-admission-writer-guard-integration-partial",
    date: "2026-08-28",
    sequence: 364,
    status: "passed",
    umbrella_status: "partial",
    title:
      "S364 · Endpoint teardown admission production writer guard integration",
    summary:
      "S364, preflight_and_teardown_endpoint_object_under_ipc_transaction içindeki exact try_reserve_ipc_wake_capacity(preflight.wake_capacity) mutation'ını S363 ile 44 production reader'ın kullandığı aynı statik S247 state word'e bağlar. Full endpoint identity, owner, provenance, holder, rendezvous, receiver, linked-reply, blocked-graph ve legacy-queue preflight writer'dan önce kapanır. Gerçek per-CPU kimliğinden yalnız CPU0 için S364 exclusive writer alınır; exact tek mutable scheduler aliası yalnız wake-capacity reservation'ı yürütür ve lease teardown helper çağrısından önce explicit bırakılır. Bu yüzden holder purge, primary endpoint wake ve reply-endpoint wake writer'ları S365–S367 olarak ayrı kalır. Guarded writer 37/69, açık writer 32, provider authority 0 ve whole-scheduler exclusion false'dur. İki direct production entry path vardır; supported-profile runtime observation=0'dır.",
    evidence: [
      "Focused S364 endpoint-teardown admission kapısının production wiring öncesindeki ilk koşusu 33/41 PASS ve 8 RED verdi. RED'ler actual admission boundary acquisition/drop/order ve CPU1 service production kaynakta henüz bağlı olmadığı için gerçek kaynak eksikleriydi.",
      "Boundary ve CPU1 service bağlandıktan sonra final focused sonuç 1 grup / 41 passed / 0 failed oldu. Product, coverage veya açık-kapı assertion'ı gevşetilmedi.",
      "S364 focused kabulü 41/41 PASS'tir. Bu sayı tek toplu senaryo değildir: inventory/preflight, host exclusion modeli, production cfg ve gerçek CPU identity, exact source ordering, iki entry path, drop-before-teardown ayrımı, CPU1 coverage service ve no-provider/no-admission sınırları ayrı testlerle tutulur.",
      "Final envanter 44 guarded reader + 37/69 guarded writer + 32 open writer olarak module constant, pending-request outcome ve production source assertion katmanlarında birlikte doğrulanır.",
      "Kaynak sırası full endpoint teardown preflight → S364 CPU0-only shared-gate writer → exact tek mutable SCHEDULER aliası → try_reserve_ipc_wake_capacity → writer drop → capacity error veya ayrı teardown helper çağrısı olarak kilitlidir.",
      "Endpoint registry exact bir non-reply normal endpoint identity ister. Missing, duplicate veya reply-object shape AuthorityGraphMismatch ile exclusive membership denenmeden kapanır.",
      "Endpoint owner task-owned ve kernel-shared entry path'lerinde exact doğrulanır. Beklenen owner ile registry owner eşleşmezse WrongObjectOwner writer öncesinde döner.",
      "Capability provenance store exact bir root Endpoint kaydı ister. Aynı id/kind sayısı bir değilse veya expected owner/root tuple'ı yoksa AuthorityGraphMismatch oluşur.",
      "S250 immutable read guard altında preflight_endpoint_holder_purge sonucu owned holders snapshot'ına alınır. S364 bu reader'ı değiştirmez veya writer lease'iyle nested upgrade etmez.",
      "Task-owned endpoint için owner CNode authority id, owner, Endpoint kind, root parent ve ENDPOINT_REVOKE hakkıyla birlikte writer öncesinde exact doğrulanır.",
      "Rendezvous cancellation preflight unparked=0 ve terminal=0 ister. In-flight veya terminal transition varsa wake-capacity writer acquisition'ına geçilmez.",
      "Waiting receiver varsa task id, wait token, generation'lı ENDPOINT_RECV authority ve scheduler blocked graph exact eşleşir. Waiter yoksa endpoint üzerindeki blocked count sıfır olmalıdır.",
      "Her reply slotu yalnız Waiting veya Replied state kabul eder. Reply object, identity, provenance, parked flag, caller blocked graph ve root reply authority exact tek tuple olarak doğrulanır.",
      "Legacy pending queue clone edilerek allocation-free taranır; reply_cap_id sıfır olmayan envelope authority-smuggling reddi üretir. Bu tarama mutation veya writer edinimi yapmaz.",
      "Wake capacity parked calls + optional waiting receiver + legacy queue uzunluğundan checked_add ile hesaplanır. Arithmetic overflow AuthorityGraphMismatch ile writer öncesinde fail-closed olur.",
      "Production wrapper exact target_arch=aarch64, target_os=none ve feature=board-rpi5 cfg kesişimindedir. try_current_cpu_id gerçek kimliği türetir; yalnız CPU0 kabul edilir.",
      "Wrapper exact S247_PRODUCTION_WHOLE_SCHEDULER_ACCESS_GATE üzerinde try_acquire_exclusive_for_valid_cpu kullanır. Ayrı state word, caller-supplied CPU veya reader-to-writer upgrade yoktur.",
      "preflight_and_teardown_endpoint_object_under_ipc_transaction boundary'sinde exact bir acquire_s364 occurrence'ı, exact bir addr_of_mut!(SCHEDULER) aliası ve exact bir drop(s364_writer_access) vardır.",
      "S364 lease altında yalnız try_reserve_ipc_wake_capacity(preflight.wake_capacity) yürütülür. Endpoint registry removal, provenance revoke, holder purge veya wake mutation guarded dilime taşınmaz.",
      "Reservation sonucu owned bool'a alınır ve writer exact tek tail'de bırakılır. WakeCapacityUnavailable dahil recoverable sonuç lease canlıyken public return etmez.",
      "drop(s364_writer_access), teardown_endpoint_object_under_ipc_transaction çağrısından kaynak sırasıyla önce gelir. Bu ayrım S364'ün downstream writer'ları yanlışlıkla kapattığını iddia etmesini engeller.",
      "Teardown helper içindeki purge_endpoint_holders_exact S365 olarak açık kalır. S364 holder snapshot'ını okur ve kapasite ayırır; holder removal mutation'ını sahiplenmez.",
      "Teardown commit kendi bağımsız holder-preflight snapshot'ını yeniden alır ve purge sonucunu bununla exact assert eder. S364 bu post-admission equality invariant'ını kaldırmaz, kendi lease kapsamına çekmez veya S365 writer coverage'ı gibi saymaz; yalnız yeterli wake slotunun teardown linearization'ından önce ayrıldığını garanti eder.",
      "Teardown helper içindeki wake_tasks_on_revoked_endpoint(id) primary endpoint wake writer'ı S366 olarak açık kalır.",
      "Cancelled linked CALL retire akışındaki wake_tasks_on_revoked_endpoint(reply_cap_id) reply-endpoint wake writer'ı S367 olarak açık kalır.",
      "Teardown helper toplam exact üç mutable SCHEDULER aliası taşır; S364 boundary'sinin lease'i helper çağrısından önce bırakıldığı için bu üçü 37/69 sayısına eklenmez.",
      "Task-owned destroy ve kernel-shared destroy iki direct production entry path olarak aynı typed preflight/admission helper'ına gelir. Bu sayı API çağrı frekansı veya runtime observation değildir.",
      "Host-testable execute_s364_guarded_endpoint_teardown_admission_commit yalnız CPU0 callback'ini çalıştırır. Non-CPU0, active reader veya active writer callback'ten önce InvalidCpu/contended error ile kapanır.",
      "Host callback error exclusive membership'i bırakır ve gate yeniden alınabilir. Success receipt nonzero token ve owned output taşır; lease veya scheduler referansı dışarı sızmaz.",
      "S363→S364 token monotonluğu doğrulandı; iki kapı ayrı exclusive transaction'dır. S363 notification cancellation lease'i endpoint teardown admission'a taşınmaz.",
      "S364 preflight S363'ün 44 reader / 36 guarded writer / 33 open snapshot'ını exact doğrular ve yalnız doğru zincir 37/69 guarded, 32 open sonucu üretir. Inventory drift fail-closed error'dır.",
      "Pending S245 request yalnız non-consuming view ile incelenir. Request id korunur, request take edilmez, S244 admission yayınlanmaz ve provider authority oluşturulmaz.",
      "CPU1 coverage service S363 service'inden sonra ve tarihsel S242 consumer'dan önce bağlıdır. Service S247 writer edinmez ve endpoint teardown runtime'ını çalıştırmaz.",
      "Tarihsel S287 endpoint teardown admission audit'i model-level lease/order kanıtı olarak ayrı kalır. S364 gerçek board-rpi5 static wrapper ve exact production acquisition/drop sınırını ekler.",
      "S363 tarihsel focused testindeki global S364 absence assertion'ı ilk selected regression'da RED oldu. S363 notification boundary'sinde absence korunup ayrı endpoint boundary'sinde exact-one S364 acquire doğrulandı; S363 coverage değişmedi.",
      "Final seçili regresyon 9 grup / 187/187 PASS'tir: S364 41/41, S363 48/48, S287–S290 60/60, S250 11/11, capability mint/source 9/9 ve IPC queue source 18/18.",
      "Seçili regresyon summary'si 854 B / cd6b2652d958816726384ff67b38980471b47d949735289b78a8c525e08e7599 olarak /tmp/aselsanos-s364-selected.nrr3Yv altında ölçüldü.",
      "Fresh izole AArch64 profilleri 4/4 exit 0 verdi. Build logları board-qemu 111450 B / 2c8205ebdc9517214c36c25b330805a5043bf3150cfeca25e336d8499d2d401f / 293 warning header; board-rpi4 150243 B / 6056dbf3004ca7fd31585a39bc8260d3e7ab236583eb27f58b9214bf1fb5e6a4 / 391; board-rpi5 590587 B / 6942adf4fdcdddf6ac3a23814167d97239800c32b09814901aee6304f3abf713 / 1336 ve board-rpi5+smp 590477 B / 52b3ca74fca9a2bcb2e34c6cf77de82346a2e03474156005511fa74e91928337 / 1336'dır. Zero-warning iddiası yoktur.",
      "Build log ölçüleri ELF boyutu gibi sunulmaz. Fresh ELF'ler qemu 12629152 B / e17a263578537651ea2bdb345ca390e21948cff2e528059e7808184a7937e563; rpi4 7736848 B / 63980aa2848fd3dc08a45fd4e1db46bc65385fcf88ad1ac68668c1a5506488ac; rpi5 13765224 B / e8c4dc336bbd39bb3cc4141f32ed85fb3ffa55954926f4052a941b382cf26863 ve rpi5+smp 13771648 B / 1320f0a65f1cc7ebfc6d2faf386b20fcf484c32cc08469fed325bcae6256f715 olarak ayrı ölçüldü.",
      "S238–S364 dependency matrisi 128 gruptur ve iki bağımsız seri koşunun her biri 2562/2562 PASS verdi. 12159 B raw özetler 695d434e79ea0ffbfd2d51f45ab9c9f116f9b33c13646819227017e9731a1954 / 473dd9f01b94476599c9dc4a999f1a634f252527b888dd4f14d088cfb2ad6314; 32 diff result satırı timing alanıdır. 12415 B normalize özetler 1f1936fb1d5b60b8cff6326d4ba236aba965fc169286b7ed39293ad13d352ce5 ile byte-eşittir.",
      "Exact yedi frozen G8h assertion dışındaki seri workspace 327 sonuç grubu / 4417 PASS / 0 fail / 7 filtered verdi; 30947 B summary SHA-256 7e6c199f01624c3bf9886ddc85806743d5526d71f262012e5d6ca6c9c63b06ab'dır.",
      "Filtresiz workspace exit 101 ile yalnız frozen S96 wiring_does_not_mutate_timer_gic_boot_or_expand_runtime_scope source-identity reddinde durdu; 280 sonuç grubunda 4162 PASS / 1 fail, 26528 B summary SHA-256 ac91d51fe6d79bbf0fa02e31d951f9587d127ac1a25aeb71e351acf98f9a365b'dir. Global workspace GREEN iddia edilmez.",
      "make verify-qemu 116354 B / d1961c5ab81f34e7820f93e1097591aed76d587fef65f71d799c7710c5ab9c4a ile strict ELF W^X 31/31, S130–S154+S271, RuntimePmm, EL0x4096, IPC reply 20/20, scheduler SEC5 ve kernel fault/panic marker 0 PASS verdi. Board-qemu sonucu S364 RPi5 runtime invocation kanıtı değildir.",
      "S364 modülü, focused testi ve güncellenen S363 boundary testi scoped rustfmt check'inde boş çıktılı PASS'tir. Seçili git diff check de boş çıktı verdi. Global cargo fmt 103054 B / 2ebb93dc9f522d05b2586369a3d94c44a5d83e059760efb0118e6e99df680ece ile miras farklarda RED'dir; global format GREEN iddia edilmez.",
      "Fresh build, dependency, workspace, QEMU ve format artifact dizinleri sırasıyla /tmp/aselsanos-s364-builds-final.MDKjvR, /tmp/aselsanos-s364-dependency-final.IpsuLF, /tmp/aselsanos-s364-workspace-final.VU0GFp, /tmp/aselsanos-s364-qemu-final.aSivlZ ve /tmp/aselsanos-s364-format-final.9QlI6E olarak kaydedildi. Geçici path'ler kalıcı proof/status yerine geçmez.",
      "Source-bound Kod generator sequence=364 Operations identity'sini production endpoint teardown admission acquire satırı, exact S364 S247 guard wrapper'ı, focused test ve bu ayrı Operations kaydıyla eşler. S1–S327 tarihsel katalog korunur; hiçbir pre-S328 kapı çıkarılmaz veya birleştirilmez.",
      "İlk publication snapshot registry'si S1–S364 aralığında 364/364 kapı / 1019 exact excerpt / pre-S328 327/327 / missing=none ve SHA-256 0f0692f88a24c3bdfd2e0a8e1efa18f0d89cd78eceb5d80df6b6854e59f8e5b1 verdi. Website 616/616, lint, boş TypeScript ve 24/24 statik route PASS'tir.",
      "Production/main deployment 89c07820-7ade-4cd6-a5ac-5303f7b8d1ee ile 116 upload + 84 existing = 200 export dosyası olarak tamamlandı. Cache-busted custom-domain /code/, /operations/, /timeline/ ve /yol-haritasi/ HTTP 200 ve deployment out'u ile raw byte-exact PASS verdi.",
      "Canlı /code/ 19840552 B / 888cd4d57b329f16fb7014a036ff286c6022e0122224d50aebf94503bf95adbf, /operations/ 12131626 B / be40f5dfe9ee7c0b68667b78c3e75da9b299537dc290e7a91407763701c4d916, /timeline/ 4206408 B / 8dc9e3b073ca1c9d8bf059ee00a41be2aff08326a7bd2d8eb9272f0d3bfde069 ve /yol-haritasi/ 4206156 B / 4fc01fcafb54f23d181d9b360613df38bd8917c1aa7b266eafd65030776d0c38 ölçüldü.",
      "/code/ no-transform header'ı edge rewrite occurrence'ını 0'da tuttu; literal kapı etiketleri 364/364 ve pre-S328 327/327'dir. Immutable deployment hostname curl exit 28 / HTTP 000 sonucu custom-domain PASS yerine geçirilmez.",
      "S364 sırasında güç, SD kart, Mac kart erişimi, UART capture, raw validation, archive veya promotion yapılmadı: physical/device operations=0 ve RUNBOOK_EXECUTED_IN_S364=NO.",
      "S364 bazlı bağlayıcı olmayan planlama görünümü R1 S364–S394, R2 S419–S469, R3 S548+, kaba S524–S574 ve risk paylı merkez yaklaşık S549'dur. Bu projeksiyon yeni sıra veya ürün taahhüdü değildir.",
    ],
    commands: [
      "cargo test -p aselsan_microkernel_simulation --test g8l_target_dispatch_scheduler_owner_scheduler_mutation_production_migration_lifecycle_s364_endpoint_teardown_admission_writer_guard_integration -- --test-threads=1",
      "run S364, S363, S287-S290, S250, capability_mint_source and ipc_queue_source serially",
      "run four fresh AArch64 profile builds; run S238-S364 dependency list twice; run filtered and unfiltered serial workspace audits; make verify-qemu",
      "npm run code:generate; npm test; npm run lint; npx tsc --noEmit; npm run build; npm run deploy; cache-busted curl + cmp for four custom-domain routes",
    ],
    terminalSessions: [
      {
        id: "g8l-s364-focused-source-contract",
        title: "S364 focused endpoint teardown admission writer membership",
        commandLines: [
          "cargo test -p aselsan_microkernel_simulation --test g8l_target_dispatch_scheduler_owner_scheduler_mutation_production_migration_lifecycle_s364_endpoint_teardown_admission_writer_guard_integration -- --test-threads=1",
        ],
        outputLines: [
          "initial test result: RED; S364 focused 33 passed; 8 failed; production boundary/service not yet wired",
          "final test result: ok; S364 focused 1 group / 41 passed; 0 failed",
          "shared S247 gate: 44 guarded readers + 37/69 guarded writers; 32 writers open",
          "full endpoint graph preflight < S364 writer < exact capacity reservation < writer release < S365-S367 teardown writers remain open",
          "direct source paths=2; supported-profile runtime observations=0; provider authority=0",
        ],
        exitCode: 0,
        outputMode: "complete",
      },
      {
        id: "g8l-s364-selected-endpoint-regression",
        title: "S364 selected endpoint teardown regression",
        commandLines: [
          "run S364, S363, S287-S290, S250, capability_mint_source and ipc_queue_source serially",
        ],
        outputLines: [
          "historical S363 boundary assertion initially RED on obsolete global S364 absence; distinct endpoint boundary exact-one mapping restored",
          "S365 holder purge, S366 primary wake and S367 reply wake remain separate open writers",
          "final result: 9 groups / 187 passed / 0 failed",
        ],
        exitCode: 0,
        outputMode: "complete",
      },
      {
        id: "g8l-s364-core-acceptance",
        title: "S364 four-profile, dependency, workspace and QEMU acceptance",
        commandLines: [
          "run four fresh AArch64 profile builds",
          "run S238-S364 dependency list twice and normalize timing fields",
          "run filtered and unfiltered serial workspace audits",
          "make verify-qemu",
        ],
        outputLines: [
          "four profiles 4/4 exit 0; log and ELF byte/hash measurements recorded separately; zero-warning not claimed",
          "dependency 128 groups / 2562/2562 twice; normalized 12415-byte summaries are SHA-256 identical",
          "filtered workspace 327 groups / 4417 PASS / 7 filtered; unfiltered frozen-S96 remains RED",
          "QEMU W^X 31/31 + S130-S154 + S271 + RuntimePmm + EL0x4096 + IPC 20/20 + SEC5 PASS; not an S364 runtime observation",
        ],
        exitCode: 0,
        outputMode: "complete",
      },
      {
        id: "g8l-s364-live-publication",
        title: "S364 Operations/Timeline/Kod production publication",
        commandLines: [
          "npm run code:generate && npm test && npm run lint && npx tsc --noEmit && npm run build",
          "npm run deploy",
          "cache-busted curl + cmp for /code/, /operations/, /timeline/ and /yol-haritasi/",
        ],
        outputLines: [
          "registry S1-S364: 364/364 gates; 1019 exact excerpts; pre-S328 327/327; missing=none",
          "website 616/616 PASS; lint PASS; TypeScript empty-output PASS; static routes 24/24",
          "deployment 89c07820-7ade-4cd6-a5ac-5303f7b8d1ee; 116 upload + 84 existing = 200 export files",
          "four custom-domain routes HTTP 200 and raw byte-exact=true; code no-transform; edge rewrites=0",
          "immutable hostname curl exit 28 / HTTP 000; not substituted for custom-domain evidence",
        ],
        exitCode: 0,
        outputMode: "complete",
      },
    ],
    terminalSessionsNote:
      "Terminal kartları focused kaynak kabulünü, seçili endpoint regresyonunu, dört-profil/dependency/workspace/QEMU kabulünü ve canlı yayını ayrı gösterir. S364 yalnız admission reservation writer'ıdır; downstream purge/wake kodlarını test edilmiş olsa bile kendi guard coverage'ına katmaz. Raw günlüklerin byte/hash kimlikleri kalıcı proof/status kaydında tutulur.",
    limitations: [
      "S364 otuz yedinci production writer'ın dar kaynak entegrasyonudur. Yalnız exact endpoint teardown wake-capacity reservation guarded'dır.",
      "S365 endpoint-holder purge, S366 primary endpoint wake ve S367 reply-endpoint wake ayrı açık kapılardır; S364 lease'i teardown helper çağrısından önce bırakılır.",
      "Production provider authority ve whole-scheduler exclusion tamamlanmadı; S245 request tüketilmez ve S244 admission yayınlanmaz.",
      "İki static entry path wiring envanteridir; S364-specific supported-profile invocation/observation kanıtı yoktur.",
      "Kalan 32 production writer, global rustfmt, frozen-S96 filtresiz workspace, default-parallel PTY determinism, transient-contention liveness/soak, Generic SMP ve fiziksel kabul açıktır.",
      "physical/device operations=0 · RUNBOOK_EXECUTED_IN_S364=NO.",
    ],
  },