3. 故障分类与失效模式
在RTOS系统中，故障恢复与看门狗架构的设计前提，是准确识别故障的类型与失效模式。不同类型的故障在持续时间、可复现性、影响范围和处理策略上差异巨大：把瞬时故障当作永久故障处理，会导致系统频繁复位；把永久故障当作瞬时故障处理，则会让系统陷入无休止的重试。因此，本节从“持续时间”和“来源”两个维度建立故障分类框架，并结合RTOS常见异常场景，为后续的检测与恢复机制提供判断依据。
一、核心原理：两个正交的分类维度
工程上最实用的分类方式，是按持续时间和故障来源两个维度交叉划分。持续时间维度区分瞬时故障与永久故障，来源维度区分硬件故障与软件故障。二者组合后，可以得到四类典型失效模式，其恢复策略截然不同。
- 瞬时故障（Transient Fault）：持续时间短，通常由电磁干扰、电源毛刺、宇宙射线、静电放电等引起。故障消失后系统功能可自行恢复，重试往往有效。
- 永久故障（Permanent Fault）：故障持续存在，如芯片引脚损坏、Flash位翻转后无法擦除、焊点开裂、存储器单元失效。重试无效，必须隔离、降级或切换冗余通道。
- 硬件故障（Hardware Fault）：来源于物理器件，包括CPU、RAM、Flash、外设、时钟、电源、总线等。通常表现为总线错误、访问异常、时钟失锁。
- 软件故障（Software Fault）：来源于代码逻辑或运行状态，包括空指针、数组越界、栈溢出、死锁、优先级反转、资源泄漏、状态机跑飞。
关键判断：瞬时故障与永久故障的区别不在“是否严重”，而在“是否可自愈”。看门狗复位对瞬时故障有效，对永久故障只能反复复位，必须配合故障计数与降级策略。
二、四类失效模式与RTOS异常场景对照
下表将四类失效模式与RTOS中常见的异常场景、典型现象和处理方向对应起来，便于在调试与设计中快速定位。
| 失效模式 | 典型来源 | RTOS常见异常场景 | 典型现象 | 处理方向 |
|---|---|---|---|---|
| 瞬时硬件故障 | EMI、电源毛刺、ESD | 总线读写偶发错误、ADC采样跳变 | 偶发HardFault，复位后正常 | 重试、CRC校验、看门狗复位 |
| 永久硬件故障 | 器件损坏、焊点开裂 | 外设寄存器读写恒错、时钟失锁 | 每次访问同一地址均失败 | 隔离外设、切换冗余、降级运行 |
| 瞬时软件故障 | 竞态、未初始化变量 | 任务偶发死锁、队列指针异常 | 特定时序下才复现 | 加锁、超时、状态复位 |
| 永久软件故障 | 逻辑缺陷、栈溢出 | 任务栈溢出、空指针解引用、死循环 | 每次运行必现，复位后仍复现 | 修复代码、增大栈、断言拦截 |
三、常见RTOS异常场景与失效链路
RTOS中大量故障并非孤立发生，而是沿着“资源—任务—内核—硬件”的链路逐级放大。以下是最常见的几类场景：
- 栈溢出：任务栈空间不足或递归过深，破坏相邻任务控制块，导致调度器访问非法地址。属于永久软件故障，但常表现为随机HardFault。
- 优先级反转与死锁：低优先级任务持锁被中优先级任务抢占，高优先级任务长期阻塞，看门狗因喂狗任务被饿死而触发复位。
- 中断风暴：外设中断标志未清除或中断频率异常，CPU长期处于中断上下文，任务无法调度，系统表现为“假死”。
- 内存耗尽：动态申请未释放或碎片化，malloc返回NULL后未判断，后续解引用空指针。
- 看门狗误触发：喂狗任务优先级过低或喂狗周期设置过紧，正常负载波动即导致复位，属于配置型软件故障。
调试建议：在HardFault处理函数中保存LR、PC、PSR以及任务栈指针，结合RTOS的任务栈回溯，可以快速区分是栈溢出、空指针还是总线错误。
四、故障判定与恢复决策流程
面对一次异常，恢复策略的选择依赖于对故障类型的快速判定。下图给出从异常发生到恢复决策的判定路径，重点体现“瞬时/永久”与“硬件/软件”的交叉判断。
五、误区与复盘
常见误区一：把所有HardFault都当成硬件问题。实际上，空指针、栈溢出、非法指令等软件问题同样触发HardFault，且占比往往更高。应先读取故障状态寄存器（如Cortex-M的CFSR、HFSR）再下结论。
常见误区二：看门狗复位后不做故障记录。若不在复位前将故障类型、任务名、PC值写入备份寄存器或非易失存储，复位后系统“看起来正常”，但故障根因被掩盖，永久故障会反复触发复位，形成复位循环。
复盘时应建立故障台账，记录每次异常的故障类型、来源判定、复现次数、恢复动作、恢复耗时。对于瞬时故障，关注其发生频率是否随环境变化；对于永久故障，关注是否已触发降级路径。只有把故障分类落实到日志与健康管理数据中，看门狗与恢复架构才能真正从“盲目复位”升级为“有判断的恢复”。
/* 故障记录结构示例 */
typedef struct {
uint32_t fault_type; /* 0=瞬时 1=永久 */
uint32_t fault_source; /* 0=硬件 1=软件 */
uint32_t task_id;
uint32_t pc_value;
uint32_t count; /* 累计次数 */
} fault_record_t;
/* 复位前写入备份寄存器，复位后读取并决策 */
fault_record_t rec = { .fault_type = 1, .fault_source = 1,
.task_id = 3, .pc_value = 0x08004A2C, .count = 5 };
综上，故障分类的价值在于把“异常”转化为“可判定的类型”，再据此选择重试、复位、隔离或降级。瞬时与永久决定恢复动作的力度，硬件与软件决定修复的层次。掌握这一分类框架，是后续设计看门狗超时策略、任务健康监控与故障恢复状态机的基础。