2. VxWorks系统架构与可靠性关键路径
要对VxWorks系统做有效的故障注入，第一步不是写注入代码，而是把系统拆成"可靠性关键路径"——即那些一旦出错就会直接导致任务超时、系统挂死、数据损坏或复位重启的组件与调用链。VxWorks作为典型的嵌入式实时操作系统，其架构可以划分为内核、任务调度、中断处理、内存管理、I/O与文件系统五个层次，每一层都有各自的失效模式和可注入点。本节按"从内核到外设"的顺序，逐层识别这些关键组件，并说明它们为什么是可靠性分析的重点。
一、内核：可靠性的地基
VxWorks内核（wind kernel）提供任务管理、信号量、消息队列、看门狗定时器等基础服务。它本身代码量不大，但几乎所有上层功能都依赖它。内核中最值得关注的是看门狗定时器（watchdog timer）和信号量：看门狗用于检测任务是否按时"喂狗"，一旦超时未喂，系统会触发复位或异常处理；信号量则决定任务能否获得共享资源。故障注入时，可以针对看门狗注入"喂狗延迟"或"喂狗丢失"，观察系统是否在预期时间内复位；也可以对信号量注入"获取失败"或"释放丢失"，模拟资源死锁。内核的失效往往不是崩溃，而是时序退化——任务还能跑，但响应时间超出截止期，这在实时系统中同样致命。
二、任务调度：实时性的核心
VxWorks默认采用基于优先级的抢占式调度，同优先级任务可选时间片轮转。调度器的可靠性关键点在于：优先级反转、任务饥饿和上下文切换开销。优先级反转的经典场景是：低优先级任务持有信号量，高优先级任务等待该信号量，而中优先级任务抢占CPU，导致高优先级任务被间接阻塞。VxWorks提供优先级继承（priority inheritance）和优先级天花板（priority ceiling）两种互斥信号量来缓解这一问题。故障注入可以模拟"低优先级任务长时间持锁"或"中优先级任务持续运行"，验证优先级继承是否生效。判断依据是：高优先级任务的阻塞时间是否被限制在临界区长度以内，而不是被中优先级任务无限拉长。
三、中断处理：最不可预测的路径
中断服务程序（ISR）运行在独立的中断上下文，不参与任务调度，因此对时序的影响最直接。VxWorks的中断处理分为"硬中断"和"延迟处理"（通过intConnect注册的ISR与taskSpawn创建的底半部任务）。可靠性关键点包括：中断延迟、ISR执行时间、中断嵌套深度以及ISR与任务间的共享数据竞争。故障注入可以在ISR中插入额外延时、模拟中断丢失或中断风暴，观察任务响应时间是否超出截止期、是否出现数据不一致。需要注意的是，ISR中不能调用可能阻塞的函数，否则会直接导致系统异常，这也是注入时验证代码规范性的重要检查点。
四、内存管理：隐蔽的失效源
VxWorks提供多种内存管理方式：memPartLib分区管理、memLib堆管理，以及可选的MMU保护。可靠性关键点集中在内存泄漏、碎片化、越界写和双重释放。这些错误往往不会立即崩溃，而是运行数小时甚至数天后才表现为分配失败或数据损坏。故障注入可以模拟"分配后不释放"、"释放后继续使用"或"写入超出边界"，配合内存检查工具（如memShow、边界哨兵）观察堆使用量曲线和异常触发点。判断依据是：在注入后，系统是否能在预期时间内暴露问题，以及暴露方式是否符合预期（分配失败、数据校验错误或异常复位）。
五、I/O与文件系统：与外界交互的脆弱面
VxWorks的I/O系统包括字符设备、块设备和网络设备，文件系统常见的有dosFs、rawFs、TrueFFS等。可靠性关键点在于：驱动超时、DMA错误、文件系统损坏和掉电写丢失。例如，向Flash写入时若在擦除过程中掉电，可能导致整个块失效；网络驱动在链路抖动时可能丢包或重复包。故障注入可以模拟"设备无响应"、"返回错误码"、"写入部分数据"或"掉电中断"，观察上层应用是否能检测、重试或安全降级。判断依据包括：错误是否被正确上报、重试是否有限度、文件系统是否能恢复挂载。
六、关键路径的交叉影响
上述五层并非孤立。一次中断延迟可能引发任务调度超时，进而导致看门狗复位；一次内存越界可能破坏信号量控制块，造成任务永久阻塞；一次文件系统写失败可能触发应用重试，进而耗尽内存。因此，识别关键路径时不能只看单层，而要追踪跨层调用链。例如，一个典型的可靠性关键路径是：网络中断 → ISR接收数据 → 底半部任务解析 → 申请内存 → 写入文件系统 → 释放信号量。这条链上任一环节注入故障，都可能表现为最终任务超时或数据丢失。故障注入的价值，正是通过可控地破坏某一环节，观察整条链的传播与恢复能力。