fix: complete orderly shutdown lifecycle · Pull Request !620 · openKylin（孵化期）/x-kernel

## 概述

本 PR 补全了系统的**有序关机生命周期（orderly shutdown）**：把"创建 PID 1"和"系统终止"从 `entry`/init 进程内部剥离，统一交由 `kruntime` 中持有 PID 1 task handle 的 **PID-less 生命周期 supervisor** 编排，从而让进程、mount、设备、平台按固定顺序完成 teardown 后再断电。此前 init 退出时会直接在 init 任务或 `exit_current` 内调用平台 power 接口，绕过文件系统与设备的生命周期。

## 主要变更

### 运行时编排层（`core/kruntime`）

- 将 `kiface` 接口 `SystemInitEntry::enter()` 重命名为 `SystemUserspace`，拆分为 `start() -> ktask::KtaskRef`（创建并激活 PID 1）与 `shutdown() -> khal::power::ShutdownMode`（终止用户态并选择终态）。
- 新增 `orderly_shutdown()`：依次执行 `SystemUserspace::shutdown()` → `fs_boot::shutdown_namespace()` → `kdriver` 总线 quiesce/remove → 按 `ShutdownMode` 调用 `khal::power::halt()` / `khal::power::power_off()`。
- 新增 `halt_system()`：在 `ipi` feature 下先停止远端 CPU，再执行平台 `halt()`。
- `late_init_main` 不再在 spawn init 后退出，而是 `terminal_task.join()` 后以 supervisor 身份执行 `orderly_shutdown()`。
- `lang_items` panic handler 从 `khal::power::shutdown()` 改为 `khal::power::power_off()`。

### 用户态终止（`posix/process`）

- 新增 `src/system_lifecycle.rs`：`request_shutdown()`（记录首个 HALT/POWER_OFF 请求，并对非 PID 1 请求者向 PID 1 投递 `SIGKILL`，best-effort）与 `shutdown_userspace()`（等待 PID 1 process exit completion → 向余下进程发信号并逐个等待退出，循环直至无新进程 → `kexec::clear_elf_cache()` → 返回首个请求的 terminal mode）。
- `spawn_init_process` 移除 `after_init_exit` 回调，改为返回 `ktask::KtaskRef`，关机策略不再在 init 进程内执行。
- `do_exit` 用 `Process::release_runtime_owners()` 取代原先的 `close_all_fds()` + `clear_exclusive_address_space()`，按序取走 mm user、fd table、`FsStruct`、`NsProxy` owner 后再发布进程退出。

### 进程资源模型（`kprocess` / `kresources` / `kfd`）

- `ProcessRuntime` 的 `fs_context`、`nsproxy` 与 `ProcessResources` 的 `fd_table` 改为 `Option<...>` 表达 attached/detached，新增 `exit_fs()` / `exit_namespaces()` / `exit_files()`；退出后 capability accessor 返回 `NoSuchProcess`。
- 删除基于 `Arc::strong_count` 的 `remove_all_if_unshared` 启发式逻辑，改为 `FdTable::drop()` 由最后一个 owner 触发逐项关闭；`unshare_fd_table()` 只在表确被共享时才复制。
- 新增 `Process::wait_for_exit()`（等待整个线程组的 process exit completion）；init 在保留全局 reaper identity 的同时仍发布 exit completion 作为 teardown 屏障。
- `ProcessLifecycleState::complete_exit_defer_wake()` 将 waiter 唤醒延迟到 process-domain 锁外执行。

### 文件系统 teardown（`fs/kvfs` / `fs/boot`）

- 新增 `MntNamespace::unmount_all()`：循环摘除 visible root 及其 covers stack，直至只剩私有 structural root，并复用已有的 `Mount`/`SuperBlock` final active-mount shutdown。
- 新增 `fs_boot::shutdown_namespace()`：先把静态 `INIT_FS` 的 root/pwd 重定向到 structural root，再 `unmount_all()`，避免 `INIT_FS` 固定真实 root mount。
- 新增对应单元测试（`unmount_all` 揭露 structural root、superblock sync 次数断言）。

### 平台 HAL（`arch/khal` / `platforms`）

- `khal::power` 由单一 `shutdown()` 拆分为 `halt()` 与 `power_off()`，并新增 `ShutdownMode`（`Halt`/`PowerOff`）表达 orderly shutdown 完成后的终态。
- 各平台 `SysCtrl` trait（aarch64/loongarch64/riscv64/x86_64/dummy）同步实现 `halt()`（保持供电停止 CPU）与 `power_off()`（移除电源）。

### 系统调用与调度器

- `sys_reboot` 的 `HALT`/`POWER_OFF` 不再直接调平台电源，而是 `request_shutdown()` + `do_exit(0, true)`，由 supervisor 继续完成 teardown。
- `ktask::exit_current` 移除 init 特判，所有非 idle 任务统一发布 `Exited`、唤醒 joiner 并进入 GC 路径，不再在退出路径直接断电。
- 阻塞型 TIPC wait/connect 改用 `ktask::future::interruptible()` 包装，确保 fatal signal 能中断阻塞 syscall。
- `select`、`pidfd_getfd`、`close_range`、procfs `/proc/*/task/*/fd` 等 fd 访问点改为传播 `KResult`。
- `ktask::future` 新增 `wait_until_completed()`，`TaskInner::join()` 与进程退出屏障复用同一套注册失败 yield/retry 语义。

### 文档同步

- 同步更新 `kruntime`、`ksyscall`、`khal`、`fs/boot`、`fs/kvfs`、`posix/process`、`posix/fs`、`process/kexec`、`process/kfd`、`process/kprocess`、`process/kidentity`、`task/ktask`、`tee/tipc` 的 design/security 文档，补充有序关机约定、FMEA（如 T-11/F-10/F-11）与审计清单。

## Diagram Walkthrough

以下流程图展示了本次变更的核心数据流：正常关机的触发入口、supervisor 的 teardown 顺序以及内核各 owner 的释放次序。

```mermaid
flowchart TD
    %% ===== 正常关机入口 =====
    R["reboot(2) 系统调用"] --> R1["request_shutdown() 记录终态并向 PID 1 投递 SIGKILL"]
    R1 --> R2["发起进程执行 do_exit()"]

%% ===== 生命周期 supervisor（late-init 线程）=====
    L0["late-init 线程（PID-less 内核线程）"] --> L1["SystemUserspace::start() 创建并激活 PID 1"]
    L1 --> L2["返回 KtaskRef，supervisor join() PID 1 leader task"]
    R2 --> L2
    L2 --> S1["SystemUserspace::shutdown() 等待 PID 1 process completion"]
    S1 --> S2["向余下进程发送 SIGKILL 并逐个等待其完成 do_exit()"]
    S2 --> S3["kexec::clear_elf_cache() 释放 VfsFile 所有者"]

%% ===== 内核 teardown 顺序 =====
    S3 --> K1["fs_boot::shutdown_namespace() 重定向 INIT_FS"]
    K1 --> K2["MntNamespace::unmount_all() 摘除 mount 树"]
    K2 --> K3["最后一个 Mount/SuperBlock drop 驱动 final shutdown"]
    K3 --> K4["kdriver 总线 quiesce/remove"]
    K4 --> K5["按 ShutdownMode 调用 halt() / power_off() 平台断电"]
```

## 新增功能

- **有序关机生命周期**：init 正常退出或 `reboot(POWER_OFF)` 时，统一走 supervisor 的 join → userspace teardown → namespace → device → platform 顺序。
- **`MntNamespace::unmount_all()`**：支持整棵初始 mount 树的循环摘除并自然触发 superblock final shutdown。
- **`Process::wait_for_exit()`**：跨线程组的进程级退出等待原语。
- **中断阻塞 syscall**：TIPC 等阻塞路径接入 interruptible future，fatal signal 可打断等待。

## Bug 修复

- 移除 `exit_current` 中 init 任务直接调用平台 power 的路径，避免绕过进程与 mount 生命周期。
- 移除 init 内 `after_init_exit` 中在退出进程内直接 sync/unmount/poweroff 的逻辑。
- 修复共享 fd table 退出误关其它进程 fd 的风险：以 `Option` owner 取走 + `Drop` 最后一个 owner 关闭取代瞬时 `Arc::strong_count` 判断。
- 修复退出进程的 `FsStruct`/`NsProxy` 仍固定 root mount 的问题：最后线程在发布退出前完成 owner 释放。
- 修复 `INIT_FS` 固定真实 root mount 导致 superblock final shutdown 不可达的问题：`shutdown_namespace()` 先把 root/pwd 重定向到 structural root。

## 破坏性变更

- `kruntime::SystemInitEntry` 接口重命名为 `SystemUserspace`，`enter()` 拆分为 `start() -> ktask::KtaskRef` 与 `shutdown() -> khal::power::ShutdownMode`（`kiface` 单实现 provider 需同步更新）。
- `posix_process::spawn_init_process` 签名变更：移除 `after_init_exit` 回调，返回值改为 `ktask::KtaskRef`。
- `khal::power::shutdown()` 拆分为 `halt()` 与 `power_off()`，并新增 `ShutdownMode` 枚举；各平台 `kplat::sys::SysCtrl` 的 `shutdown()` 同步改为 `halt()`/`power_off()`。
- `Process::close_all_fds` 移除，由 `Process::release_runtime_owners()` 取代。
- `ProcessResources::fd_table()` 等 fd 访问接口改为返回 `KResult`。

类型	指派人员	状态
审查	Debin 郭伟康王1宁于博 WitcherTheWhite	进行中 (0/1人)
测试	王1宁 x-cibot	进行中 (0/1人)

openKylin（孵化期） / x-kernel .gitee-modal { width: 500px !important; }

搜索帮助

openKylin（孵化期） / x-kernel