3、Power-Safe文件系统（PPS）：PFS设计原理、日志结构、写时复制（COW）机制
好，咱们今天聊聊Power-Safe文件系统，简称PPS。说实话，在QNX生态里，PPS是我个人最欣赏的一个设计。为什么？因为它把「断电不丢数据」这件事，做到了极致。
你想想看，嵌入式设备最怕什么？突然掉电。我早年做车载项目时，遇到过一台设备在OTA升级中途断电，结果文件系统直接挂了，整台车机变砖。从那以后，我对文件系统的可靠性就特别敏感。PPS的出现，算是彻底解决了这个心病。
3.1 PFS设计原理：为什么叫Power-Safe？
PPS的全称是Power-Safe文件系统。它不叫「高性能文件系统」，也不叫「大容量文件系统」，而是直接拿「Power-Safe」当名字。这说明什么？说明它的核心使命就是——在任何掉电场景下，保证数据完整性。
传统文件系统（比如FAT32、ext2）在写入过程中突然断电，很容易出现「半写状态」：数据只写了一部分，元数据还没更新，或者反过来。重启后，文件系统可能处于不一致状态，轻则丢文件，重则整个分区挂掉。
PPS的设计思路很直接：要么全部写完，要么跟没写过一样。它通过两种核心技术来实现这个承诺：日志结构（Log-structured）和写时复制（Copy-on-Write，COW）。
核心设计原则：
- 原子性：每次写入操作要么完全成功，要么完全不生效
- 崩溃一致性：任何时刻断电，重启后文件系统自动恢复到一致状态
- 无日志回放：不需要像ext3/4那样做fsck或日志重放
嗯，这里要注意：PPS不是简单的「日志文件系统」。它没有单独的日志区域，而是把日志思想融入了整个存储布局中。这一点，跟ZFS、btrfs有些神似，但实现上更轻量。
3.2 日志结构：把「写操作」变成「追加操作」
传统文件系统更新一个文件时，会直接覆盖原来的数据块和元数据块。如果覆盖到一半断电，数据就坏了。
PPS的做法完全不同——它从不覆盖现有数据。每次写入，都是把新数据追加到存储设备的空闲区域，然后更新一个「指针」指向新位置。这个指针的更新，是原子操作。
我打个比方：传统文件系统像在黑板上写字，写错了就擦掉重写。PPS像在便签纸上写字，写完一张贴一张，旧的便签纸先留着。只有确认新内容没问题了，才把旧便签纸撕掉。
具体来说，PPS的日志结构包含几个关键部分：
| 组件 | 作用 | 我的经验 |
|---|---|---|
| 数据块（Data Block） | 存储文件实际内容 | 大小固定，通常是4KB |
| 索引节点（Inode） | 记录文件元数据（大小、权限、时间戳等） | 每个文件一个，COW更新 |
| 检查点（Checkpoint） | 记录文件系统全局状态 | 掉电恢复的起点，我建议每30秒写一次 |
| 超级块（Superblock） | 文件系统配置信息 | 有备份，防止单点故障 |
写入流程大致是这样的：
- 应用程序发起write()调用
- PPS分配新的空闲数据块，写入新数据
- 分配新的Inode块，写入更新后的元数据
- 原子更新检查点，指向新的Inode位置
- 旧的数据块和Inode块变成「垃圾」，等待回收
你看，第4步是关键。检查点的更新是原子操作——要么整个写成功，要么完全不写。这就保证了：如果断电发生在第4步之前，重启后检查点仍然指向旧数据，新数据就像没发生过一样。如果断电发生在第4步之后，新数据就生效了。
避坑指南：我曾经在一个项目中，把检查点间隔设成了5秒。结果频繁掉电测试时，最多可能丢5秒的数据。后来我改成1秒一次，代价是写入放大增加了，但可靠性大幅提升。具体间隔怎么设，得看你的业务容忍度。
3.3 写时复制（COW）机制：不覆盖，只复制
写时复制，英文叫Copy-on-Write，简称COW。这个名字其实有点误导——它不是说「写的时候才复制」，而是说「每次写都复制一份新的」。更准确的名字应该是「写时重定向」。
COW在PPS中的应用，说白了就是一句话：任何数据块的修改，都不在原位置进行，而是写到新位置。
举个例子。假设你有一个文件，内容是一张图片。你想修改图片的某个部分：
- 传统文件系统：找到图片所在的数据块，直接覆盖写入。如果断电，数据块可能只写了一半。
- PPS的COW：分配一个新的数据块，把修改后的图片写入新块。然后更新Inode，让文件指向新块。旧块保留不动。
这样做的好处很明显：
- 原子性：Inode的更新是原子的，要么指向新块，要么指向旧块，没有中间状态
- 快照友好：旧块还在，可以轻松实现文件系统快照
- 碎片少：虽然写入是追加模式，但PPS有垃圾回收机制，长期运行也不会碎片化严重
当然，COW也有代价。最大的问题是写入放大——你只改了一个字节，PPS可能要把整个数据块（4KB）都复制一遍。对于小文件频繁修改的场景，这个开销不小。
注意：COW机制下，频繁的小写入会导致大量垃圾块产生。我曾经在一个数据采集项目中，每秒写入几十个几字节的日志条目。结果PPS的垃圾回收线程忙不过来，写入性能直线下降。后来我改用批量写入+缓冲区，才解决了这个问题。
3.4 垃圾回收：COW的「清道夫」
COW不断产生旧数据块，这些块不能一直占着空间。PPS有一个后台线程负责垃圾回收（Garbage Collection，GC）。
GC的工作流程：
- 扫描存储设备，找出「已废弃」的数据块（即不再被任何Inode引用的块）
- 如果某个块所在的区域还有「存活」的数据块，先把存活块搬移到新位置
- 整块区域标记为空闲，可以重新使用
嗯，这里有个细节：GC不是等空间满了才启动。PPS会设置一个阈值，比如空闲空间低于20%时，GC就开始工作。如果GC跟不上写入速度，写入操作会被阻塞——这叫「反压机制」。我建议你在设计系统时，给PPS预留足够的空闲空间（至少10-15%），否则GC会成为性能瓶颈。
3.5 实际项目中的PPS调优建议
最后，分享几个我在项目中积累的PPS调优经验：
- 块大小选择：默认4KB。如果你的文件平均大小很小（比如几百字节），可以考虑用1KB块，减少空间浪费。但块越小，元数据开销越大，需要权衡。
- 检查点间隔：默认30秒。对可靠性要求高的场景，可以缩短到1-5秒。代价是写入放大增加。
- GC阈值：默认20%。如果写入量大，建议提高到30-40%，给GC留更多缓冲。
- 避免频繁小写入：能用缓冲区就用缓冲区，减少COW的写入放大效应。
我记得有一次，客户的车载系统在高温环境下频繁掉电。我们用PPS做了1000次随机掉电测试，没有一次数据损坏。这就是Power-Safe这个名字的底气所在。
好，PPS的原理就聊到这里。下一节我们看看QNX的闪存文件系统——ETFS，它跟PPS有什么不同，又该怎么选型。