3.3 存储栈

3.3 存储栈

本节摘要：存储栈是 Classic 里沉默的守夜人。它要在 EEPROM、NOR Flash 等脾气完全不同的介质上，给应用提供统一、可校验、掉电后仍逻辑一致的读写。校准、故障计数、学习值都靠它“记得自己是谁”。读完应能说明为何应用不许直接操作地址，以及写失败时栈必须提供哪些安全动作。

读前必看

阅读完本节，你应当能够：

1. 用物理异构、功能安全、时间语义三句话解释存储栈存在的理由。
2. 说出 NvM、MemIf、Fee/Ea 与底层驱动的分层。
3. 设计一次多参数更新时如何避免半新半旧。
4. 识别寿命写穿、编程中掉电、位翻转三类现场。

一、介质原罪和应用禁令

车规非易失存储器远没有消费电子固态盘那么体贴。一片典型 EEPROM 可以按字节写，寿命约百万次量级，写入耗时长；一片 SPI NOR Flash 往往最小擦除是数 KB 扇区，寿命更低，必须先擦后写，对电源跌落敏感。同一颗 ECU 可能两种都用：校准要小粒度常改，程序和配置要大块可靠。应用若各自封装驱动，除了重复，还会在同一地址上并发撕扯。复位发生在两人各写一半时，结果是静默错数据，比崩溃更危险。

所以第一条禁令：软件组件不直接操作寄存器，也不调用芯片厂私有编程库。统一入口让并发、队列、优先级和校验有地方站岗。第二条来自功能安全：写入成功不能当默认假设。寿命终点、编程窗口掉电、软错误硬错误、总线位翻转落在校验区，都要被检测并上报，而不是假装写过了。第三条是时间语义：汽车生命周期以年计。任意时刻断电，重启必须落到逻辑一致状态，而不是写到一半的中间态；里程和故障计数不能负增长或乱跳；相互关联的校准项必须作为原子单元更新。

这三重必然性让存储栈和通信、诊断、操作系统并列为核心能力。它不是通信的附庸。

二、分层怎么挡住介质脾气

非易失存储管理器面对应用：块标识、读、写、多块请求、启动时读出。应用看见的是“块 12 是转向零点”，看不见扇区。内存抽象接口把不同介质收成相似的读写擦语义。Flash EEPROM 仿真或 EEPROM 抽象再往下处理磨损、扇区、映射。最底是 MCAL 或板级驱动。排错仍然按层：应用写了但块状态没完成，先看 NvM 队列和立即写请求；扇区满或校验失败，往 Fee 和驱动走。

冗余和校验是默认装备而不是高级选项。高等级数据往往双份加校验，读时比较，不一致则进安全状态或用默认值并报事件。默认值从哪来必须配置：用出厂值还是用上一份有效备份，会改变车辆行为。不要让程序员在代码里藏一个魔法数。

⚠️ 常见坑：把学习值放在十毫秒任务里每次都请求写。寿命会在实验室之外提前耗尽，且诊断还以为是“偶发电故障”。
💡 关键直觉：存储栈卖的是时间上的一致性。空间上能放下数据不够，断电后仍能解释数据才够。

三、原子更新和启动读取

转向零点、温度补偿、线性表往往要一起生效。NvM 提供多块机制或显式序列：先写工作副本，校验通过再翻有效标志。应用自己连续写三个块但不设标志，中间复位就会半新半旧，控制律会在错误的坐标系里干活——这比丢失数据更糟，因为它看起来像正常值。

启动读取顺序要进模式管理。先读安全相关块，再允许相关运行实体启动。读失败走安全状态，而不是用未初始化 RAM 当校准。有人用“第一次写失败就跳过”加快启动，等于把随机数交给控制律。

诊断冻结帧和故障计数的保存策略要与 DEM 对齐：何时立即写、何时延迟到停车，关系到既要记得住、又不要在震动和电压不稳时写穿。这是诊断栈和存储栈的接口合同，应在配置评审里出现，而不是两个团队各自假设。

上电 → 读有效标志 → 读镜像 → 校验
         ├─ 通过：交付给应用
         └─ 失败：默认值或安全状态 + 报事件
运行 → 请求写 → 排队 → 编程 → 读回 → 翻标志
掉电 → 下一次上电修复未完成的提交
​

四、和操作系统、电源的耦合

写 Flash 可能关中断或占用很长时间。调度必须知道：十毫秒控制任务不能和一次扇区擦除死锁。常见做法是把写放到低优先级任务，并禁止在高压跌落中断里启动擦除。看门狗超时要覆盖最坏擦写时间。这些不是存储模块“内部优化”，是 OS 与存储的联合设计。

电源管理要给存储一个“即将掉电”的窗口，让队列冲刷。窗口太短，承诺的一致性兑现不了；窗口太长，用户已经离开车辆还在写。合同写进模式和电源管理，而不是靠运气。

第 4 章 Adaptive 的持久化集群会用另一套进程和文件系统语义。Classic 这一侧仍然是块和静态标识。混合时不要假设两边“都叫持久化所以能直接共用文件”。需要网关做语义翻译，见第 7.1 节。

五、介质脾气的具体对照

车规 EEPROM 往往允许较小粒度写入，寿命以数十万到百万次量级宣传，写入时间以毫秒计，适合校准和小计数。NOR Flash 常以扇区为最小擦除单位，必须先擦后写，对电源跌落更敏感，适合较大配置块。同一 ECU 两种都用时，应用仍只看见块标识。块属性里应声明是否立即写、是否冗余、是否启动必读。把学习值放在十毫秒任务里每次请求写，EEPROM 会在实验室之外提前耗尽，诊断还以为是偶发电故障。

上电修复是存储栈的隐秘价值。提交未完成时，下一次启动应能回到上一份有效镜像或默认值，并报事件。应用若在启动任务里不等待读完成就开始控制，会用未初始化 RAM 当校准。模式管理应把“安全相关块读完成”当作允许相关运行实体启动的条件。这是生命顺序，不是优化开关。

与诊断的合同：冻结帧何时立即写、何时延迟到停车。震动和电压不稳时写 Flash，失败率会上升。合同写进配置评审，避免两个团队各自假设。与电源的合同：即将掉电的窗口长度必须覆盖队列冲刷的最坏时间，并与看门狗超时一起设计。窗口靠运气，一致性承诺就是广告。

问题：校准“有时丢”却很难复现，优先怀疑什么？

优先怀疑写过程掉电和半新半旧，而不是怀疑芯片坏了。掉电窗口若短于队列冲刷，提交未完成，下次启动可能回到旧镜像、默认值或损坏块，表现取决于修复策略是否配置。半新半旧更阴险：三个关联参数只写成功两个，控制律在错误坐标系里“正常工作”。复现手段是掉电注入和读有效标志，而不是加倍路试。路试加不出提交语义。提交语义在配置里，不在公里数里。

寿命设计是存储栈里最容易被日志习惯摧毁的部分。十毫秒任务里每次请求写同一学习值，等于把寿命除以车速采样频率。实验室跑几小时看不出来，用户三年后的冬天会突然丢失零点。丢失零点表现为控制律怪异，诊断可能报无关的电故障。根因在写频率，不在介质品牌。块属性应声明立即写还是延迟写、是否冗余、是否启动必读。学习值通常延迟到停车或变化超过阈值才写；安全相关校准启动必读并冗余。把所有块都当立即写加冗余，内存和寿命会一起破产。破产后有人会建议换成更大的 Flash。更大的 Flash 救不了十毫秒写一次的习惯。习惯要改在应用用法和块配置，不在采购清单。采购清单解决的是容量，不是时间语义。时间语义才是存储栈真正出售的东西。

启动必读与运行可写的分离，决定控制律会不会用随机 RAM 当校准。必读块没完成就启动相关运行实体，等于把未初始化内存交给执行器。有人用跳过失败加快启动，加快的是进入错误坐标系的速度。速度在展示时好看，在冬天第一次冷启动时会把零点丢掉。丢掉零点的车仍可能行驶，行驶在错误的中点上。错误的中点比丢失更危险，因为它看起来像正常值。正常值不会点灯，不点灯就没有诊断故事，没有故事就没有召回线索，直到足够多的用户描述同一类怪异。怪异的根因在启动顺序，不在算法天才。把“安全相关块读完成”写成模式条件，天才才能在正确的坐标系里施展。施展之前先认路，认路是存储栈对应用层的约束，约束看起来不友好，友好的是断电之后系统还认识自己。
写 Flash 与看门狗、调度的联合设计常被当成优化细节。擦除可能很长，必须落在允许延迟的任务并声明最坏时间。十毫秒控制任务与扇区擦除死锁，会表现为偶发截止期，截止期会复位，复位会让未提交的写更糟，更糟会在下一圈启动以半新半旧出现。链条很长，起点却是把长操作塞进了短格子。短格子是 Classic 的信仰。信仰允许延迟的任务存在，就是为了不污染短格子。污染发生后，有人会建议关掉看门狗再擦。关掉看门狗是拆掉安全机制来成全存储习惯。习惯应改，机制不应拆。改习惯的方法是队列、延迟写、掉电窗口。窗口长度覆盖最坏冲刷，并与电源管理签约。签约比祈祷电压稳更工程。

本节速览

• 三理由：介质异构、安全可证明、多年生命周期的一致性。
• 应用只看见块：地址和扇区属于下层。
• 写失败是一等公民：要检测、隔离、上报。
• 关联参数要原子：防半新半旧。
• 写频率是寿命设计：不是日志习惯。
• 掉电窗口是跨模块合同：存储、电源、OS 一起签。

下一节操作系统：运行实体如何在确定节拍里执行，存储写和通信中断如何与截止期共存。