确定性因果链
实时系统不仅要回答“执行了什么”，还需要回答： 事件何时被系统感知、经过哪些执行阶段、结果何时产生，以及这个时间是否满足要求。
核心定义：把执行路径转化为时间模型
确定性因果链，是对一个系统事件如何沿着实际执行路径传播、处理并产生结果的结构化描述。
它把事件来源、事件识别、中断处理、任务就绪、调度决策、任务执行、资源访问和结果输出连接起来， 并为相关阶段建立明确的时间边界与验证条件。
1. 因果链的基本结构
对于由外部事件触发、需要任务参与处理的典型实时场景，可以使用下面的分析路径：
这是用于分析的典型路径，不代表每个事件都必须经过全部节点。具体路径取决于事件来源、系统状态和应用程序设计。
执行顺序
哪些阶段存在先后依赖？是否可能被高优先级中断、任务或资源竞争打断？
时间边界
每个阶段最多需要多少时间？哪些延迟来自硬件，哪些来自内核和应用程序？
状态条件
事件到达时，CPU 正在执行什么？目标任务是否就绪？是否存在临界区或阻塞？
完成判据
以任务开始、数据处理完成，还是物理输出生效作为链路的终点？
2. 事件层：确定因果分析的起点
因果链必须从可识别的事件开始。常见来源包括：
- 外部事件：GPIO 输入变化、传感器信号、外部设备请求。
- 定时事件：定时器中断、系统 Tick、周期性采样触发。
- 内部事件：任务间消息、同步对象变化、共享状态满足处理条件。
- 通信事件：串口接收、协议帧完成、通信状态发生变化。
对每类事件，应明确其触发条件、到达模式、最小间隔或最大到达频率，以及系统如何识别它。 如果多个事件可能同时到达，还需要分析它们之间的优先级和竞争关系。
3. 中断与调度层：从事件到任务执行
对中断驱动的任务处理路径，需要区分几个经常被混为一谈的时间点：
中断响应快，并不意味着目标任务必然立即运行； 目标任务进入就绪状态，也不意味着 CPU 一定马上切换到它。 中间可能存在中断处理、调度规则、当前执行状态、临界区以及更高优先级工作的影响。
需要逐项核对的因素
- 中断何时能够被 CPU 接受，是否受到中断屏蔽或更高优先级中断影响。
- 中断处理程序执行了多少工作，是否存在嵌套和共享资源访问。
- 目标任务何时进入就绪状态，是否满足运行条件。
- 调度器何时执行决策，目标任务是否具备运行资格。
- 上下文切换是否发生，以及切换过程的实际成本。
4. 执行层：WCET 是重要边界，而不是全部证明
当目标任务开始运行后，需要分析从任务入口到目标操作完成的执行路径。 这里的关键概念是最坏情况执行时间（Worst-Case Execution Time，WCET）。
上式用于建立分析框架，不是可以不加区分直接相加的通用公式。 各项必须使用一致的起止边界，并避免重复计算；如果阶段存在重叠、抢占或并行硬件操作，需要采用相应模型。
8051 平台上的执行时间分析
- 从目标芯片和编译配置出发，确认指令集、时钟条件和实际生成的机器代码。
- 检查条件分支、循环上界、调用路径和可达代码，识别可能的最长执行路径。
- 分析中断屏蔽区、上下文保存与恢复、调度器路径及其干扰。
- 结合反汇编指令周期核算与目标板测量，交叉验证分析结果。
5. 哪些因素会让时间边界变得难以证明？
真正的问题不是某项机制的名称，而是它是否引入了未建模、无界或难以验证的行为。
执行路径不明确
循环次数、递归深度或条件分支缺少可验证的边界，使最长路径难以确定。
中断干扰未建模
嵌套深度、到达频率、屏蔽区和处理时间未纳入响应时间分析。
资源等待无上界
锁竞争、任务阻塞或外部设备等待可能使完成时间超出预期。
内存行为不明确
分配失败、碎片、资源耗尽或访问路径不确定，可能影响执行和完成时间。
调度假设不成立
优先级、任务状态或调度触发条件与分析模型不一致。
验证范围不足
仅测试常见路径或平均负载，没有覆盖最不利状态和关键干扰组合。
6. 从“可预测”走向“可验证”
确定性不能只依赖设计者的直觉。它需要明确的假设、可复查的实现证据，以及与目标平台相匹配的验证方法。
建议建立的验证链
- ✓ 静态分析：检查代码路径、指令周期、资源布局与可达性。
- ✓ 目标板测量：使用 GPIO 时间标记或逻辑分析仪观察关键路径。
- ✓ 压力测试：组合任务负载、中断干扰和资源竞争，寻找边界情况。
- ✓ 证据记录：保留编译配置、芯片型号、分析假设、测量结果与已知限制。
静态分析和实测各有作用：前者帮助推导边界，后者用于检查实现与模型是否一致。 两者相互印证，比单独依赖一次测试峰值或理论估计更可靠。
7. 如何判断一条因果链满足实时要求？
判断依据不是“系统运行得很快”，而是从明确的起点到明确的终点， 在规定的工作条件与假设下，能够证明或充分论证其响应时间满足应用要求。
起点明确
说明计时从物理事件、硬件捕获、ISR 入口还是软件识别时刻开始。
终点明确
说明计时结束于任务启动、计算完成、输出寄存器更新还是外部信号生效。
约束明确
给出截止时间、输入到达条件、系统负载和允许的干扰范围。
证据充分
时间上界、实现路径和目标平台验证能够相互对应，已知限制得到记录。
8. 与 System View 其他模型的关系
确定性因果链不是孤立的功能模块，而是将前面各个系统模型连接起来的分析视角。
- 执行流模型：确认 CPU 实际经过哪些执行路径。
- 任务生命周期：解释任务何时就绪、运行、阻塞或恢复。
- 中断流模型：解释事件如何进入处理路径，以及中断如何影响当前执行。
- 调度周期模型：解释调度决策和任务切换在什么条件下发生。
- 内存视图模型：确认上下文、栈和内核对象的资源约束。
- 时间系统模型：明确 Tick、延迟、响应时间和执行时间的不同含义。
只有将这些结构与具体应用的输入条件、执行代码和截止时间结合起来， 才能对端到端实时行为进行有边界的分析。
语义总结
确定性因果链的核心，是让事件到结果之间的执行路径、状态条件与时间边界变得可描述、可分析、可验证。
一个实时系统不仅需要正确地执行任务，还需要在规定的条件下，于规定的时间范围内完成关键工作。 对这一目标的论证，必须同时覆盖内核机制、应用执行路径、硬件行为和实际运行条件。