摘要

  • TinyOS 用“分阶段”接口处理耗时操作：命令发起或拒绝请求并立即返回，提供方随后以事件报告自己所定义的完成状态。
  • 这种设计让多项活动共享一份小栈、让处理器及时休眠，却把序列、缓冲区保管、超时与恢复显式交给状态机。
  • sendDone 足以证明本地可以释放消息缓冲区，却不能单凭名称证明远端收到、接受或执行了消息。

先归还调用，再归还缓冲区

在同步程序里，函数返回常让人产生结束感。调用已经离开栈帧，工作仿佛也理应结束。TinyOS 偏偏把两种“归还”拆开。

应用调用 send。若无线电组件接下请求，命令仍会迅速返回，因为发送要等待硬件。与此同时，消息缓冲区不能改写；无线电还在保管其中的字节。等到 sendDone 到来，调用方才获得一个足够明确的本地事实：这项操作已到达接口规定的终点，缓冲区可以重新使用。

这不是语法上的繁复，而是证据边界。调用记录只能证明有人提出请求。命令的即时结果可以证明组件拒绝或受理。完成事件证明发出事件的组件跨过了哪个状态。无线电另一端、远端应用和物理世界若要作证，必须各自留下新的凭据。

2004 年 NSDI 论文 The Emergence of Networking Abstractions and Techniques in TinyOS 的作者是 Philip Levis、Sam Madden、David Gay、Joseph Polastre、Robert Szewczyk、Alec Woo、Eric Brewer 与 David Culler。论文把命令描述为启动动作的请求，把事件描述为请求的完成或来自环境的发生。两种方向都可能报告错误。接口没有把时间差藏起来，而是给它命名。

小内存让等待无处躲藏

早期 mote 的 RAM 只有若干 KB。若每个等待中的传感器转换、定时器和无线电操作都占用一条阻塞线程及独立调用栈，内存很快就会耗尽。让处理器空转等待硬件，则会把电池消耗在没有计算价值的时间上。

TinyOS 用任务处理延后的计算，用事件承接异步变化。任务队列为空时，处理器可以休眠，直到中断带来新工作。耗时操作因此不能堵在一次调用里：命令归还控制权，之后的事件再推进流程。

一份栈由多个信息流轮流使用，设备得以在等待时睡眠。这种节约没有消灭逻辑状态，只是改变了它的存放位置。程序必须记住哪项请求已经受理、哪个缓冲区仍被占用、正在等待什么事件，以及事件缺席时该怎么做。

所以，非阻塞并不意味着没有等待。它意味着等待变成了可见状态，不能再被一次看似普通的函数调用掩盖。

没有复制，便必须记录保管关系

复制消息需要 RAM、处理器周期和能量。TinyOS 组件常常只传递同一个缓冲区的指针。无线电使用它期间，调用方虽然仍拥有这块内存，却暂时没有改写权。

这使 sendDone 具有资产收据的意味。事件若来得太早，缓冲区可能在传输期间被覆盖；若永远不来，稀缺内存会长期冻结；若关联错了请求，程序可能放错资源；若重复处理同一事件，又可能把一项义务结算两次。

完成事件因此不是装饰性的回调。它关闭的是特定组件关系中的本地保管期。这一事实既重要又有限。它也许包含本地发送尝试乃至链路层结果，具体取决于实现；但它并不自动证明远端应用收到了数据，更不证明远端依照数据采取了正确行动。

同样的结构存在于云任务、存储写入、支付与网络配置中。工作先被队列受理，再被执行；写入先进入某个层级，再达到更强的持久性；指令先被控制面接收，再由设备生效。资源的保管转移往往早于最终业务结果。若把中间收据说成最终结果，就会诱发过早复用或无限等待。

nesC 把双向契约固定下来

nesC 的接口天生是双向的。命令从接口使用方流向提供方，事件从提供方返回使用方。send 与 sendDone 属于同一个接口类型，静态连线同时连接两种方向。

这种结构让编译器看到整个程序的组件关系，检查许多潜在竞争，进行全程序分析与优化。对动态保护代价过高的设备来说，把错误提前到编译阶段有直接价值。

不过，静态连线证明的是程序组合，不是外部权威。它能说明哪个编译组件连接到哪个函数，却不能认证实体传感器，不能确认无线电邻居属于哪个组织，也不能让一份测量天然成为真实世界的事实。

“事件”一词本身也没有统一的收据含义。有些事件回应先前请求，有些事件由环境发起，比如消息抵达、定时器到期或传感器条件变化。若把所有事件都当作回执，就和把所有命令都当作完成一样失真。证据的语义取决于事件承担的角色。

受理之后才产生未结义务

当服务繁忙时，提供方可以立即拒绝另一项请求，也可以把它排队。两种选择不能共享同一个“成功”状态。

拒绝意味着没有新的在途操作。调用方继续保管缓冲区，并决定等待、丢弃还是重试。受理则意味着提供方承担一项尚未结清的责任，缓冲区在事件到来前不能随意改动。

许多系统把提交、校验、受理、执行和完成都压成一盏绿灯。分阶段接口拒绝这种压缩。即时返回回答“请求是否被接下”，稍后事件回答“本地工作是否到达规定终点”。它们发生在不同时间，因为它们回答不同问题。

即使 sendDone(message, success) 携带 success，也要追问“谁的哪一种成功”。它可以成为释放消息和推进状态机的充分依据，却不能代替远端应用发出的收据。局部证据无需被贬低；只要不借给它一个没有发言的角色，它就足够有用。

完成事件自己的传递也会失败

T2 报告揭示了一个关键反转：报告完成的路径本身也是系统的一部分，也要争夺有限资源。

高层组件在收到无线电的 sendDone 前会保留缓冲区。正常情况下，无线电栈需要把一个任务放入队列，再由该任务发出完成事件。但任务队列容量有限。若入队失败，调用方可能永远等不到事件。

TinyOS 有时选择从中断上下文直接发出 sendDone，以避免进度永久停滞。代价是执行模型被打破：原本假定在任务上下文运行的代码突然异步进入，可能造成竞争或内存破坏。

报告作者指出，这类脆弱性并不限于某个无线电栈。任何依赖“投递一个完成任务”的分阶段组件，都可能在队列饱和时丢失结束通知。若坚持任务上下文，义务可能永不关闭；若改从中断上下文送达，又可能破坏并发假设。

这不能被夸大成“所有 TinyOS 部署都发生过同一事故”。T2 是一个大型团队的设计回应，不是现场故障普查。它更可靠的结论是：收据不是抽象必然性。产生、排队和送达收据的运行路径也会失败。

状态机是一部小型运行账本

分阶段程序不能简单地把多个阻塞调用排成一行。它需要状态机：发出请求，记录待处理状态，等待匹配事件，再决定下一步。

状态可以区分空闲、已请求、被拒绝、已受理、硬件执行中、本地完成、超时和取消。超时不必被伪装成失败；它可以保留为“尚无结论”。重试可以沿用同一操作身份以便核对，也可以明确创建一项新操作。迟到事件若有相关标识，仍能找到原来的请求。

状态机当然也可能写错。它可能漏掉迁移、复用标识、隐瞒队列溢出，或把每次超时都变成重复操作。静态分析能够减少竞争，却不能保证业务语义正确。账本只有在状态名称对应可观察事实时才有价值。

Heng Lu 的“运行代码优先”可以作为一面当代透镜：命令声明的是意图，正在运行的组件与稍后事件提供更强证据。但事件并不因此获得无限主权；它只能证明发出者所控制的转变。这是后来的编辑比较，不是把一套后出的互联网治理理论倒推给 TinyOS 作者。

Culler 不是孤立的发明者

Berkeley 官方介绍把 TinyOS 与 Berkeley Motes 列为 David Culler 生涯中的代表性系统。他在研究环境、体系结构与社区形成中的位置，使他适合作为人物叙事的中心；但把系统归为一人之作，会破坏史实。

NSDI 论文有八位作者。nesC 论文由 David Gay、Philip Levis、Robert von Behren、Matt Welsh、Eric Brewer 与 Culler 共同完成。T2 报告的作者团队更加庞大，来自 Stanford、Berkeley、Intel Research、Technische Universität Berlin、UCLA、Crossbow、Arch Rock、Moteiv 与 Washington University。2012 年的十年回顾则由 Philip Levis 撰写。

共同署名不只是礼节。TinyOS 的知识来自语言、操作系统、无线电、硬件、部署经验和用户社区。它的历史与组件系统一样，是多种契约相互约束的结果。

成功之后出现的协调成本

Levis 在 2012 年回顾中记载，TinyOS 当时已成为重要的研究平台，也出现在商业产品中。他同时指出，资源最小化与缺陷预防所形成的优势，后来带来学习和维护负担。nesC 与细粒度组件帮助专家在极小设备上构建复杂系统，却让新使用者面对专门语言，并让成熟代码的控制流散落在许多组件之间。

这些采用情况属于 2012 年的历史观察，不能当作当前下载或部署统计。它们的意义在于说明：局部优雅不会免除长期协调成本。静态选择可以节省运行时内存，却可能增加人类理解系统所需的时间。

命令与完成的区分仍然经得住这项批评。今天的 future、promise、完成队列与持久任务状态换了表达方式，没有改变事实：提交不是结果，本地结果也不是端到端证明。

边界明确的收据才可复用

那条过早返回的命令并不残缺。它诚实地说：请求边界已经跨过，下一项事实由别的部分负责。

完成事件同样没有宣称无所不知。它说：这个组件已到达接口定义的完成状态，本地保管可以结束。如果运营者需要链路确认、远端接收、应用处理或物理效果，就要继续向相应角色索取证据。

微型设备的严苛约束让时间、保管和不确定性显露出来。大型系统有足够多的中间件把它们藏在一个“成功”标记后面，但缝隙仍在。诚实的系统保留这些缝隙，把请求与完成正确关联，让未决状态保持未决，并让运行中的证据只在自己的边界内发言。

来源