故障注入与恢复实验
环境与命题
浏览器状态机包含稳定映像 A、候选映像 B、启动确认、Watchdog、失败计数、回滚和安全模式。它验证状态闭环，不模拟 Flash 物理损坏和密码学实现。
步骤
- 选择“正常候选”，确认 B 自检后提交；
- 选择“候选校验失败”，确认不启动 B；
- 选择“启动后超时”，确认 Watchdog 记录原因并回滚 A；
- 连续触发三次启动失败，确认进入安全模式而非无限循环；
- 为真实板卡设计断电点：擦除前、写一半、验证后、切换标志时、首次启动未确认时。
通过条件
每条路径都有终态；旧稳定映像在候选确认前不被破坏；失败原因和映像身份可在重启后读取；重试有上限；安全模式提供受限恢复入口。
真实测试还必须记录电源跌落波形、Flash 擦写边界、Bootloader 版本、密钥/签名策略和 HIL 脚本提交。清理时恢复稳定槽位并导出故障日志。