多进程 / 多线程场景下的仪器资源独占与共享方案

1. 现状盘点与问题定义

1.1 现状代码事实核查

1.2 问题本质拆解

2. 两类并发场景的严格区分

3. 五个候选方案逐一评估与横向对比

方案 ①：全部收敛到单进程 + OpenTAP 内置同步

方案 ②：命名内核对象（Named Mutex / Named Semaphore）

方案 ③：数据库租约表（Lease + TTL + 心跳 + 崩溃回收）⭐ 推荐主体

方案 ④：独立设备代理进程（Device Broker + IPC）

方案 ⑤：直接复用 OpenTAP 生态能力

横向对比总表

4. 推荐目标架构：分层混合（租约表 + 仲裁规则 + 按需 Broker）

4.1 分层职责与决策规则

5. 租约完整生命周期：申请 / 续期 / 释放 / 超时抢占

5.1 租约状态机

5.2 申请 + 抢占 + 栅栏拒绝时序

5.3 核心 SQL（原子申请，一次事务完成回收+检查+写入）

BEGIN IMMEDIATE;                        -- 拿写锁：跨进程串行化入口（SQLite WAL 下读写不互斥，写写排队）

-- ① 顺带回收所有已过期租约（懒回收，无需独立守护也能自愈）
DELETE FROM device_lease
 WHERE resource_key = @rk AND expires_at < datetime('now');

-- ② 检查当前有效占用
SELECT owner_id, owner_type, state, grace_until INTO @cur FROM device_lease WHERE resource_key = @rk;

-- ③ 无占用 → 插入新租约（generation 取全局序）
INSERT INTO device_lease(resource_key, owner_id, owner_type, token_id, generation,
                         machine_name, host_process_id, state, acquired_at, heartbeat_at, expires_at)
VALUES(@rk, @owner, @otype, @token, @gen, @machine, @pid, 0,
        datetime('now'), datetime('now'), datetime('now', '+30 seconds'));

-- ④ 有占用且请求者是 Maintenance → 不直接抢，标记让渡窗口
UPDATE device_lease SET state = 1, grace_until = datetime('now','+30 seconds')
 WHERE resource_key = @rk AND state = 0;

COMMIT;

5.4 续期（心跳）与失效判定

// AutoDeviceLease 内部：TTL/3 周期定时器（Phase 1 即实现）
var affected = db.ExecuteNonQuery(@"
    UPDATE device_lease
       SET heartbeat_at = datetime('now'),
           expires_at   = datetime('now', '+30 seconds'),
           state        = CASE WHEN state = 1 THEN state ELSE 0 END   -- 保留让渡标记
     WHERE resource_key = @rk AND token_id = @token AND generation = @gen");

if (affected == 0) {
    // 行不在了或 generation 已被超越 ⇒ 我已被抢占/回收 —— 本地立即熔断：
    // 1) 停止下发任何命令  2) 释放物理连接  3) 会话标记 RecoveryRequired  4) 上报一次告警
    OnLeaseLost();
}
if (db.ReadState() == PendingHandover && InStepBoundary) {
    Dispose();   // 优雅让渡：只在 TestStep 边界释放，绝不在一条命令中间放手
}

6. 全自动 vs 手动维护的互斥仲裁规则

目标场景：工程师正打开机柜接 CAN 线（维护模式），全自动程序绝不能突然下发 OUTP ON。规则明确定义如下（策略引擎集中实现于新增 Aging.Infrastructure/Core/LeaseArbiter.cs）：

6.1 优先级矩阵（行=当前持有者，列=新请求者）

6.2 维护模式退出与自动流程恢复

• 工程师退出维护（ExitMaintenanceBtn_Click → CloseSession）：释放行 + UPDATE debug_session SET state=Closed（现有逻辑保持）；
• 自动工位对 PendingHandover 的感知延迟 ≤ 心跳周期（10s），老化长步骤（小时级）不适用抢占——对 grace 内未完成的步骤，策略改为"拒绝进入，已运行不打断"（可配置：安全类工位选择强占+设备紧急安全态；产能类工位选择排队等待）；
• HMI 侧建议：设备被自动占用时，维护申请显示"占用者:Station-3 · 已运行 01:23:45 · 预计剩余 02:10"（数据全在 device_lease + debug_session，一条 JOIN 即可）。

6.3 审计闭环

• device_lease 表本身就是"占用历史"（Release 时改写 released_at 再保留 7 天，或双表：当前 + 归档）；
• 每条经 DeviceService 的命令继续写 debug_operation，新增两列 owner_type, lease_generation，即可回答"这条 OUTP ON 是哪个工位、哪一代持有者发的"——事故追溯闭环。

7. 异常场景处理：死锁 / 孤儿锁 / 时钟 / 幂等

8. 独占 or 分时复用：设备分组与 Slot 绑定策略

8.1 设备访问模式（新增列，注册页可配）

8.2 决策规则（新增 DeviceDefinition.access_mode 列，注册页下拉选择）

8.3 工位 ↔ 设备分组：绑定到 Slot 体系

• 复用现有 SlotDeviceMapping 表：工位身份 = SlotId。工位进程启动参数带 SlotId → 组租约自动展开为该 Slot 绑定的全部设备 resource_key 列表（按字典序申请）；
• 组申请原子化：新增 AcquireGroupAsync(groupKey, ...)：查 device_group（或即时 JOIN SlotDeviceMapping）→ 排序 → 单事务逐台 INSERT，任一冲突整体回滚 → 避免"占了一半"的半死状态；
• 共享设备不进组：CHAMBER-01 这类跨 Slot 设备在 DeviceDefinition.access_mode 标 TimeShared/SharedRead，组申请时跳过，命令执行时才抢短租约；
• CAN 多工位共卡：resource key 细化到 CAN_CARD01:CH2——ResourceKey 本来就支持 Channel（见 Contracts/ResourceKey.cs），CAN 帧 ID 级再细分可用 resource_type='CAN_FRAME' + channel=帧段（Broker 阶段实现命令级串行化时够用）。

9. 本仓库改造清单（具体到文件）

9.1 数据库 DDL（新增到 Plugin.DeviceConfig/Model/DeviceConfigModel.cs InitDatabase 的 sqls 列表）

-- ① 跨进程租约表（核心新表）
CREATE TABLE IF NOT EXISTS device_lease (
    resource_key     TEXT PRIMARY KEY,        -- 'CAN-001:Generic' 与 ResourceKey.ToString() 一致
    owner_id         TEXT NOT NULL,           -- 'Station3.Run20261103' 工位可读标识
    owner_type       INTEGER NOT NULL,        -- 0=Production 1=Maintenance 2=ReadOnly
    token_id         TEXT NOT NULL,           -- ResourceOwnerToken.TokenId
    generation       INTEGER NOT NULL,        -- 栅栏令牌：每次成功申请 +1（全局取 max+1）
    machine_name     TEXT NOT NULL DEFAULT '',
    host_process_id  INTEGER NOT NULL DEFAULT 0,
    slot_id          TEXT,                    -- 关联工位 Slot（组审计用）
    state            INTEGER NOT NULL DEFAULT 0,  -- 0=Active 1=PendingHandover
    acquired_at      TEXT NOT NULL,
    heartbeat_at     TEXT NOT NULL,
    expires_at       TEXT NOT NULL,           -- 全部由 DB datetime('now') 生成
    grace_until      TEXT,
    note             TEXT DEFAULT ''
);
CREATE INDEX IF NOT EXISTS idx_lease_expire ON device_lease(expires_at);

-- ② 设备访问模式（现有表加列，老库幂等迁移）
ALTER TABLE DeviceDefinition ADD COLUMN access_mode INTEGER NOT NULL DEFAULT 0;
--    0=Exclusive 1=TimeShared 2=SharedRead

-- ③ 工位设备组（组租约的展开依据；也可不建表，运行时 JOIN SlotDeviceMapping）
CREATE TABLE IF NOT EXISTS device_group (
    group_key   TEXT PRIMARY KEY,     -- = SlotId 或自定义
    resource_key TEXT NOT NULL,
    order_hint  INTEGER DEFAULT 0,
    PRIMARY KEY (group_key, resource_key)
);

-- ④ debug_session 加 3 列（会话↔租约联动可视化）
ALTER TABLE debug_session ADD COLUMN lease_generation INTEGER;
ALTER TABLE debug_session ADD COLUMN lease_owner_type INTEGER;
ALTER TABLE debug_session ADD COLUMN heartbeat_at TEXT;

-- ⑤ debug_operation 加 2 列（命令级追溯）
ALTER TABLE debug_operation ADD COLUMN lease_generation INTEGER;
ALTER TABLE debug_operation ADD COLUMN idempotency_key TEXT;   -- 幂等重试去重
CREATE UNIQUE INDEX IF NOT EXISTS idx_op_dedup ON debug_operation(idempotency_key) WHERE idempotency_key != '';

9.2 接口与实现改动

9.3 关键接口签名（Phase 1 核心代码示例）

// DbLeaseStore —— 原子申请（对应 §5.3 SQL）
public sealed class DbLeaseStore
{
    public DbLeaseStore(string dataDbPath) { /* PRAGMA journal_mode=WAL; busy_timeout=5000 */ }

    public enum AcquireResult { Acquired, Renewed, QueuedHandover, RejectedMaintenanceHeld, RejectedByProductionHeld }

    public AcquireResult TryAcquire(string resourceKey, ResourceOwnerToken owner, OwnerType type,
                                string machine, int pid, string? slotId, int ttlSeconds);
    public bool  Renew(string resourceKey, string tokenId, long generation, int ttlSeconds);
    public bool  Release(string resourceKey, string tokenId);
    public long  CurrentGeneration(string resourceKey);          // FenceCheck 用
    public int   SweepExpired();                                   // 懒回收兜底
    public (bool valid, string? holder, int? graceSec) ProbeConflict(string resourceKey);
}

// AutoDeviceLease 心跳（Phase 1）——独立线程，UI 卡顿不影响
_beacon = new Timer(_ => {
    try {
        if (!_store.Renew(DeviceId, _owner.TokenId, _owner.Generation, _ttl))
            { LeaseLost?.Invoke(this, EventArgs.Empty); return; }
        if (_store.IsPendingHandover(DeviceId)) _handoverTcs.TrySetResult(true);
        _failCount = 0;
    } catch { if (++_failCount >= 2) LeaseLost?.Invoke(this, EventArgs.Empty); }
}, null, _ttlMs/3, _ttlMs/3);

// TestStep 基类在步骤边界让渡（集成测试演示用法）
if (lease.HandoverRequested) lease.Dispose();   // 步骤结束点检查，绝不在命令中途放手

10. 测试要点

10.1 单元（HMI.UnitTest 或新建 xUnit）

10.2 多进程集成（利用 Plugin.IntegrationTest 扩展，重点）

// 伪代码：主进程 fork N 个自身 --station-worker 模式的子进程
for (int s = 0; s < 4; s++)
    Process.Start(exe, $"--worker {s} --device CAN-001 --loops 200");

// 子 worker 逻辑：循环 [TryAcquire → 发一帧 → 校验 → Dispose]，统计成功轮转次数
// 主进程断言：① 任意时刻 device_lease 只有 1 行有效 ② 所有帧的 generation 单调 ③ 无双写
//           ④ 中途 Kill(随机 worker) → 其余 worker ≤ TTL+5s 内接管，测试继续收敛为 PASS

11. 分阶段实施计划与工作量

12. 风险、反模式与不推荐做法

已知局限（诚实声明）

• SQLite 单写者：租约写 QPS 上限约百级；老化节拍（秒级）远低于此，但高频遥测不要走租约表（走结果通路）。
• Phase 1 后多机仍受限：单机内多进程完全解决；多机需要把 device_lease 所在库放到服务器（表结构不变，DbLeaseStore 换连接工厂即可——这是 Phase 3 前的最小台阶）。
• Broker 单点：Phase 3 引入看门狗拉起；Broker 重启期间命令短暂不可用（设备本身不受影响）。

13. 结论