6.4 文件系统与网络栈

6.4 文件系统与网络栈

本节摘要：文件系统与网络栈是 RTOS 系统里最常见的「确定性破坏者」：一次闪存写入或一次 TCP 重传就能吃掉几十毫秒。本节分析它们的风险来源，给出一套「隔离、缓冲、削背压」的使用范式，并用一个数据记录仪案例演示完整落地。

别以为接入了文件系统和网络栈，实时系统就自动「升级」了。这两个组件恰恰是任务世界里最重的外来者：它们的内部行为（磨损均衡的长暂停、拥塞控制的重传等待）没有一项为截止期而生。第六章把它俩放在最后一节，就是为了收束一个纪律：重型组件可以用，但必须装在笼子里——笼子的名字叫隔离。

风险从哪来

文件系统的风险集中在介质层面。闪存写入前要先擦除，擦除以块为单位，一次擦除加写入可达数毫秒；文件系统的磨损均衡会不定时挑块搬家，多出不可预期的额外写入；掉电一致性要求它在关键操作后刷写元数据，又是一段漫长的同步等待。这些行为叠加的结果：一次看似普通的写文件调用，耗时从几十微秒到几十毫秒不等——它若发生在控制任务的调用链上，截止期预算当场穿底。

网络栈的风险集中在协议层面。TCP 为可靠性服务的重传机制，在链路抖动时引入百毫秒级的等待；拥塞控制的窗口伸缩让吞吐忽大忽小；协议栈自己的缓冲池一旦耗尽，发送调用转而阻塞。除此之外，网络栈通常以独立线程形态运行（如 lwIP 的 tcpip 线程），它与应用任务争抢处理器与内存，本身就成了一个新的调度实体。

两者的共同点：耗时分布是长尾的。平均值很有迷惑性，最坏情况才参与截止期核算——而长尾组件的最坏值往往超出预算一个数量级。

隔离范式：谁的孩子谁抱走

第一条纪律：截止期路径上零重型调用。控制任务、中断服务程序、任何参与截止期防守的代码，禁止直接调用文件系统与网络接口。数据要落盘、要上网，一律经由队列交给专职的低优先级任务处理——这个模式与 4.2 节的管线一脉相承，只是管道另一端换成重型组件。

第二条纪律：用缓冲消化长尾。专职任务前挂足深度的队列，介质或网络的慢速由缓冲吸收；缓冲耗尽时的丢弃策略提前定好（丢旧、丢新、覆盖），并与业务方书面确认。日志类场景还有更精细的做法：环形缓冲区先攒、专职任务批量写，闪存写入次数同时被摊薄。

第三条纪律：重型组件的任务降级与看护。专职任务优先级压到最低，让它永远抢不过截止期任务；同时给它独立的活动监控，卡死能被发现——第六章开头说过「慢的组件不该拖垮快的」，这里补上后半句：慢的组件必须可以被观察到慢。

文件系统的受限用法

选型上优先考虑为嵌入式设计的日志型文件系统：断电安全、对闪存友好，写入路径比 FAT 类文件系统的「先擦后写加表项更新」短得多。使用上遵守三条：写操作集中在一个任务、一个频率（比如每秒一次批量落盘）；绝不在文件系统调用里等待互斥量的同时持有其他内核锁（4.3 节的锁顺序纪律在这里最容易被违反）；关键数据落盘要有完整性标记（先写数据、再写标记），掉电后按标记恢复，而不是假设文件总是完好的。

网络栈的受限用法

网络侧的等价物是「非阻塞加超时」：所有套接字调用配超时上限，发送缓冲按「一秒网络抖动」的容量预置；对时延敏感的遥测优先用 UDP 这类无连接传输，可靠性由应用层按业务粒度补——比 TCP 的全量重传更可控。协议栈线程的优先级也要显式规划：它能高于后台任务、必须低于截止期任务。流量整形兜底：整机对外的报文速率在源头限幅，避免突发把自己挤进重传的泥潭。

完整案例：列车数据记录仪

背景。某车载记录仪要在 CAN 总线上持续记录故障码与运行参数，闪存容量一吉比特，要求掉电不丢已记录数据；同时设备上还有一个周期十毫秒的控制任务负责车门与照明控制，截止期硬性。

操作。工程师的架构完全按隔离范式搭：控制任务最高优先级，其调用链上没有任何文件操作；记录任务最低优先级，从队列取记录项，先写入外置闪存的环形缓冲区，每攒满一页批量落盘一次并写入完整性标记；掉电检测引脚接中断，掉电中断只做一件事——把 RAM 里未落盘的最后几条记录同步写入，这段抢救代码被反复优化到两毫秒以内；闪存磨损均衡由文件系统内部调度，为吸收它的长暂停，队列深度按「最坏一次均衡搬家时间」配置。

结果。联调中控制任务的最坏响应时间稳定在两毫秒以内，与记录任务的写入活动完全不相关——跟踪时间线上两者时间片互不纠缠。断电测试三百次随机时刻切断电源，记录数据零丢失，文件系统零损坏。

解读。案例验证了范式的三个承诺。隔离做到了「互不纠缠」：控制任务的最坏响应在记录任务满负荷写入时不变，这就是「截止期路径零重型调用」的实证。缓冲做到了「长尾不外溢」：磨损均衡的毫秒级暂停被队列深度静态吸收，而非动态忍受。看护做到了「降级可见」：记录任务若卡死，队列水位随之增长，监控读数立即暴露。掉电抢救代码被压到两毫秒，这个数字是「中断里能做什么」的边界示范——只做同步写入这一件必须立刻做的事，其余逻辑全在重启后的任务侧。

变式。若记录仪要求支持远程实时回传（运维中心随时调取最近数据），网络栈加入架构：回传任务从已落盘数据读取上传，与记录任务通过「文件完成标记」衔接，上传速率在源头限幅；网络抖动只影响回传流畅度，不影响记录链路——重型组件再添一个，笼子照旧。

本节要点回顾

• 重型组件的耗时是长尾分布，截止期核算只认最坏值；
• 第一纪律：截止期路径零文件与网络调用，数据一律走队列出逃；
• 缓冲深度按组件最坏行为配置，丢弃策略与业务方书面确认；
• 日志型文件系统写入路径短且断电安全，是嵌入式首选；
• 网络侧配非阻塞加超时，时延敏感流量用应用层可控的可靠性；
• 隔离、缓冲、看护三件套，是任何重型组件进场的固定仪式。

/* 隔离范式落地：记录任务与控制任务的边界 */
void vLoggerTask(void *arg)
{
    LogEntry entry;
    for (;;) {
        /* 控制侧只投递不落盘：一次入队微秒级 */
        if (xQueueReceive(xLogQueue, &entry, portMAX_DELAY) == pdTRUE) {
            vFsAppendBatch(&entry);      /* 毫秒级操作只在这里发生 */
        }
    }
}
​

常见问题

问：文件系统选型的核心指标是什么？ 断电安全与写入路径长度，其次才是接口熟悉度。日志型文件系统在前两项上占优，FAT 类胜在与 PC 的互通性——有拔卡直读需求的设备另议。

问：网络栈的内存池要单独划吗？ 要。协议栈缓冲独立成池（或独立堆区），与业务内存隔离，网络风暴不至于挤垮业务分配。池的水位纳入 5.2 节的监控读数。

问：TLS 这类安全协议的握手怎么处理？ 握手是百毫秒级的重操作，发生在连接建立期，务必放在专职任务且错开实时任务的忙时；会话复用能显著降低重握手频次。

问：怎么验证隔离真的生效？ 人为让专职任务慢下来（放大其负载或注入延时），观测截止期任务的时间线——两者互不纠缠即隔离成立，这同样是 9.2 节验证矩阵里的一行。