转自：http://blog.csdn.net/fool_duck/article/details/46917377
以下是基于 linux 0.11 内核的说明。
在init/main.c第138行，
在move_to_user_mode()之后，进程0通过fork()产生子进程，实际就是进程1（init进程）。
在main.c第23行：
static inline _syscall0(int,fork)通过 _syscall0 调用 fork 。_syscall0 即不带参数的系统调用：type name(void)，_syscall0 的定义在unistd.h中第133行：
#define _syscall0(type,name) \
type name(void) \
{ \
long __res; \
__asm__ volatile ("int $0x80" \ //调用0x80系统中断
: "=a" (__res) \
: "0" (__NR_##name)); \
if (__res >= 0) \
return (type) __res; \
errno = -__res; \
return -1; \
}在 kernel\sched.c 中的 sched_init 调用 system_call
void sched_init(void)
{
int i;
struct desc_struct * p;
if (sizeof(struct sigaction) != 16)
panic("Struct sigaction MUST be 16 bytes");
set_tss_desc(gdt+FIRST_TSS_ENTRY,&(init_task.task.tss));
set_ldt_desc(gdt+FIRST_LDT_ENTRY,&(init_task.task.ldt));
p = gdt+2+FIRST_TSS_ENTRY;
for(i=1;i<NR_TASKS;i++) {
task[i] = NULL;
p->a=p->b=0;
p++;
p->a=p->b=0;
p++;
}
/* Clear NT, so that we won't have troubles with that later on */
__asm__("pushfl ; andl $0xffffbfff,(%esp) ; popfl");
ltr(0);
lldt(0);
outb_p(0x36,0x43); /* binary, mode 3, LSB/MSB, ch 0 */
outb_p(LATCH & 0xff , 0x40); /* LSB */
outb(LATCH >> 8 , 0x40); /* MSB */
set_intr_gate(0x20,&timer_interrupt);
outb(inb_p(0x21)&~0x01,0x21);
set_system_gate(0x80,&system_call);
}
system_call 位于 kernel\system_call.s 中。在该文件第94行：
call _sys_call_table(,%eax,4)- 1
调用地址为：_sys_call_table + %eax * 4，此时 exa 的值为2（根据__NR_fork的定义），由于是32位机，指针占4个字节。
sys_call_table 的定义在 include\linux\sys.h 中第74行：
fn_ptr sys_call_table[] = { sys_setup, sys_exit, sys_fork, sys_read,
sys_write, sys_open, sys_close, sys_waitpid, sys_creat, sys_link,
sys_unlink, sys_execve, sys_chdir, sys_time, sys_mknod, sys_chmod,
sys_chown, sys_break, sys_stat, sys_lseek, sys_getpid, sys_mount,
sys_umount, sys_setuid, sys_getuid, sys_stime, sys_ptrace, sys_alarm,
sys_fstat, sys_pause, sys_utime, sys_stty, sys_gtty, sys_access,
sys_nice, sys_ftime, sys_sync, sys_kill, sys_rename, sys_mkdir,
sys_rmdir, sys_dup, sys_pipe, sys_times, sys_prof, sys_brk, sys_setgid,
sys_getgid, sys_signal, sys_geteuid, sys_getegid, sys_acct, sys_phys,
sys_lock, sys_ioctl, sys_fcntl, sys_mpx, sys_setpgid, sys_ulimit,
sys_uname, sys_umask, sys_chroot, sys_ustat, sys_dup2, sys_getppid,
sys_getpgrp, sys_setsid, sys_sigaction, sys_sgetmask, sys_ssetmask,
sys_setreuid,sys_setregid };即调用的是 sys_fork 。
sys_fork 的定义是一段汇编代码，位于 kernel\system_call.s 第208行：
_sys_fork:
call _find_empty_process
testl %eax,%eax
js 1f
push %gs
pushl %esi
pushl %edi
pushl %ebp
pushl %eax
call _copy_process
addl $20,%esp
1: ret
在 sys_fork 中，有两个主要的函数调用：_find_empty_process 和 _copy_process 。
_find_empty_process 位于 kernel\fork.c 中第135行，其作用是找到一个空的进程号（对应于一个进程控制块PCB），在linux 0.11版本中最多支持64个进程（全局数组task定义在sched.h中，数组大小为64）：
int find_empty_process(void)
{
int i;
repeat:
if ((++last_pid)<0) last_pid=1;
for(i=0 ; i<NR_TASKS ; i++)
if (task[i] && task[i]->pid == last_pid) goto repeat;
for(i=1 ; i<NR_TASKS ; i++)
if (!task[i])
return i;
return -EAGAIN;
}
全局变量last_pid用来记录上次使用的进程号，其定义在 kernel\fork.c 第22行：
long last_pid=0;- 1
在find_empty_process中，不断递增last_pid，寻找第一个未被其它进程使用的进程号作为新进程的进程号。如果递增后的值超出正数表示范围，则重新从1开始，并将其返回值存放在 %eax 中。若没能找到可用进程号，则跳转。若找到可用进程号则进行相关压栈操作，然后调用_copy_process 开始复制进程内容。
_copy_process 的定义位于 kernel\fork.c 第63行：
/*
* Ok, this is the main fork-routine. It copies the system process
* information (task[nr]) and sets up the necessary registers. It
* also copies the data segment in it's entirety.
*/
int copy_process(int nr,long ebp,long edi,long esi,long gs,long none,
long ebx,long ecx,long edx,
long fs,long es,long ds,
long eip,long cs,long eflags,long esp,long ss)
{
struct task_struct *p;
int i;
struct file *f;
p = (struct task_struct *) get_free_page(); //获为新任务分配内存
if (!p)
return -EAGAIN;
task[nr] = p; //将新任务结构指针放入任务数组中，其中nr 是由前面find_empty_process()返回的任务号
*p = *current; /* NOTE! this doesn't copy the supervisor stack */
p->state = TASK_UNINTERRUPTIBLE; // 将新进程的状态先置为不可中断等待状态
p->pid = last_pid; // fork 对父进程返回子进程ID
p->father = current->pid;
p->counter = p->priority;
p->signal = 0;
p->alarm = 0;
p->leader = 0; /* process leadership doesn't inherit */
p->utime = p->stime = 0;
p->cutime = p->cstime = 0;
p->start_time = jiffies;
p->tss.back_link = 0;
p->tss.esp0 = PAGE_SIZE + (long) p;
p->tss.ss0 = 0x10;
p->tss.eip = eip;
p->tss.eflags = eflags;
p->tss.eax = 0; // fork 对子进程返回0
p->tss.ecx = ecx;
p->tss.edx = edx;
p->tss.ebx = ebx;
p->tss.esp = esp;
p->tss.ebp = ebp;
p->tss.esi = esi;
p->tss.edi = edi;
p->tss.es = es & 0xffff;
p->tss.cs = cs & 0xffff;
p->tss.ss = ss & 0xffff;
p->tss.ds = ds & 0xffff;
p->tss.fs = fs & 0xffff;
p->tss.gs = gs & 0xffff;
p->tss.ldt = _LDT(nr);
p->tss.trace_bitmap = 0x80000000;
if (last_task_used_math == current)
__asm__("clts ; fnsave %0"::"m" (p->tss.i387));
if (copy_mem(nr,p)) {
task[nr] = NULL;
free_page((long) p);
return -EAGAIN;
}
for (i=0; i<NR_OPEN;i++)
if (f=p->filp[i])
f->f_count++;
if (current->pwd)
current->pwd->i_count++;
if (current->root)
current->root->i_count++;
if (current->executable)
current->executable->i_count++;
set_tss_desc(gdt+(nr<<1)+FIRST_TSS_ENTRY,&(p->tss));
set_ldt_desc(gdt+(nr<<1)+FIRST_LDT_ENTRY,&(p->ldt));
p->state = TASK_RUNNING; /* do this last, just in case */
return last_pid;
}进程控制块中还保存有进程的任务状态段数据结构tss，用于存储处理器管理进程的所有信息。也就是说，在任务切换过程中，首先将处理器中各寄存器的当前值被自动保存当前进程的tss中；然后，下一进程的tss被加载并从中提取出各个值送到处理器的寄存器中。由此可见，通过在tss中保存任务现场各寄存器状态的完整映象，实现任务的切换。
struct tss_struct tss;因此，一旦在task[]数组中找到空闲项和进程号，我们就可以为该进程的进程控制块结构申请一个页面的内存。这个工作是在copy_process() 函数中完成的。
当然copy_process()函数的最主要的任务是为子进程复制父进程信息，并设置子进程的任务状态段，其中最关键的两步是：
- 把子进程tss中的eip设置为父进程系统调用返回地址，这样当子进程被调度程序选中后，将从父进程的fork()返回处开始执行。
p->tss.eip = eip;- 把子进程tss中的eax设置为0，而eax是存放函数返回值的地方，这样子进程中返回的是0。注意子进程并没有执行fork()函数，子进程的系统堆栈没有进行过操作，当然不会有像父进程那样的fork函数调用。但是当子进程开始运行时，就好像它从 fork 中返回一样。
p->tss.eax = 0;