4. 可靠性指标与故障注入度量

在VxWorks这类嵌入式实时系统中谈可靠性，不能只停留在“系统很稳”这种主观判断上。可靠性工程的核心是把“稳不稳”转化为可测量、可比较、可验收的数字。故障注入的价值也正在于此：它不是为了制造故障，而是为了用受控的故障去逼出系统真实的容错能力，并用一组指标把这种能力量化出来。本节围绕MTBF、可用性、失效概率、故障覆盖率和注入效率五个指标，说明它们各自的物理含义、相互关系，以及如何为VxWorks系统定义一套可落地的度量体系。

五个指标分别回答什么问题

MTBF（平均故障间隔时间）回答的是“系统平均能连续正常工作多久”。对可修复系统，MTBF = 累计正常运行时间 / 故障次数。例如某VxWorks控制节点连续运行720小时，期间发生3次导致重启的故障，则MTBF = 720/3 = 240小时。注意MTBF描述的是故障发生的频度，不直接等于寿命，也不代表系统不会在下一秒失效。

可用性（Availability）回答的是“在任意时刻系统处于可工作状态的概率”。稳态下 A = MTBF / (MTBF + MTTR)，其中MTTR是平均修复时间。若MTBF=240h、MTTR=2h，则A = 240/242 ≈ 99.17%。可用性把“多久坏一次”和“坏了多久能修好”结合起来，对VxWorks这种常驻无人值守设备尤其关键——一次快速重启若能自动恢复，可用性损失可能远小于一次需要人工介入的挂死。

失效概率（Failure Probability）回答的是“在给定时间窗口内发生失效的可能性”。若假设失效率λ恒定，可靠度 R(t) = e^(−λt)，失效概率 F(t) = 1 − R(t)，且 λ = 1/MTBF。以MTBF=240h为例，λ≈0.004167/h，运行24小时的失效概率约为 1 − e^(−0.1) ≈ 9.5%。它适合回答“一次关键任务窗口内出问题的风险有多大”。

故障覆盖率（Fault Coverage）回答的是“注入的故障中，有多少被检测机制发现或正确处理”。覆盖率 = 被检测（或恢复）的故障数 / 注入故障总数。它衡量的是检测与容错机制的有效性，而不是系统本身的失效率。

注入效率（Injection Efficiency）回答的是“故障注入这件事本身做得值不值、准不准”。它通常包含两层含义：一是注入成功率，即有效注入次数占计划注入次数的比例；二是单位代价产出，即每单位时间或每次注入能覆盖多少有效故障场景。注入效率低，往往意味着注入点选得不准、注入时机不可控或观测手段不足。

指标之间的因果链

这五个指标不是并列的，而是存在一条清晰的因果链。故障注入产生原始数据：注入了多少次、检测到多少次、漏检多少次。由这些数据先算出故障覆盖率和注入效率，它们反映的是“测试做得怎么样”。覆盖率越高，说明系统的检测与恢复机制越有效；而检测机制有效，会直接降低未被发现的故障转化为系统失效的概率，从而拉长MTBF、提高可用性、降低给定窗口内的失效概率。因此，覆盖率是“因”，MTBF和可用性是“果”，注入效率则是保证这条链可持续、可重复的工程约束。

理解这条链对VxWorks系统尤为重要。VxWorks常用于航空、工业控制、通信设备等场景，很多节点无人值守，一次未检测到的内存越界或任务死锁可能长期潜伏，直到某个特定时序才爆发。故障注入的意义就是把这类潜伏故障提前暴露，用覆盖率指标证明“我们的看门狗、心跳、内存保护确实能抓住它们”。

如何为VxWorks系统定义度量体系

定义度量体系，关键是让每个指标都有明确的采集口径、计算方式和判定阈值，否则数字之间不可比。建议按以下方式落地。

第一，明确统计边界。MTBF统计的是“系统级失效”，需要先定义什么算失效：是任务异常退出、系统复位，还是输出超差？对VxWorks节点，通常把“导致系统重启或关键任务停止服务”的事件计为失效。MTTR则要区分自动恢复（如看门狗复位，可能只有秒级）和人工恢复（现场检修，可能数小时），两者应分别统计，避免用一个人工修复时间拉低整体可用性评估。

第二，把覆盖率拆成可观测的子项。不要只报一个总覆盖率，而应按注入类型分别统计。例如内存位翻转覆盖率、任务挂起覆盖率、中断丢失覆盖率。这样能看出哪类故障的检测机制薄弱。若内存位翻转覆盖率高而中断丢失覆盖率低，说明校验机制有效但中断监控不足，改进方向就非常明确。

第三，定义注入效率的代价口径。代价可以是注入耗时、占用的测试机时、对被测系统正常运行的干扰程度。对VxWorks实时系统，注入本身不能破坏实时性，否则测出的数据失真。因此注入效率应同时记录“单次注入平均耗时”和“注入期间系统抖动是否超限”。

第四，设定判定阈值并形成闭环。例如要求故障覆盖率≥90%、注入效率≥5次/h、MTBF≥200h、可用性≥99%。每轮注入后对照阈值，未达标则回到注入点选择和检测机制设计上改进，再测一轮。这样度量体系就不是一次性报表，而是驱动可靠性增长的闭环。

一个可参考的度量卡示例

需要强调的是，上述数值均为教学示例，用于说明计算口径，不代表任何真实系统的实测结果。实际项目中，MTBF和可用性应基于现场运行日志或加速寿命试验数据，覆盖率与注入效率应基于受控的注入试验记录。只有数据来源、统计边界和计算公式三者一致，度量体系才真正可用。

最后要避免一个常见误区：把覆盖率当成可靠性本身。覆盖率85%不等于系统可靠度85%，它只说明在注入的故障集合中有85%被处理。真正的可靠性还要看未被覆盖的15%会带来多大后果、发生频率多高。因此，度量体系应把覆盖率、MTBF、可用性、失效概率和注入效率放在一起看，用覆盖率指导改进方向，用MTBF和可用性衡量最终效果，用注入效率保证测试可持续。这样，故障注入才从“做实验”升级为“用数据驱动VxWorks系统可靠性增长”的工程方法。