提升嵌入式系統可靠性的有效策略

一個工程師真正對項目負責，就需要考慮多方面，從規范完善的開發周期到嚴格執行和系統檢查，開發高可靠性嵌入式系統的技術有許多種。 ? 本文介紹幾個易操作且可以長久使用的技巧，它們對于確保系統更加可靠地運行并捕獲異常行為大有幫助。 ?

選擇可靠的硬件和軟件組件

我平時為啥不建議大家用最新版本的軟件。，就是因為新版本存在bug的可能性，如果要系統可靠，還是要使用經過長期驗證的軟硬件。 ? 硬件：使用經過嚴格測試的高可靠性處理器、存儲器和傳感器等，例如某些工業級嵌入式系統會選擇具有長時間運行穩定性的硬件組件。 ? 軟件：選擇經過驗證的操作系統、驅動程序和中間件，確保軟件組件之間的兼容性和穩定性。例如，采用實時操作系統（RTOS）可以提供更高的系統穩定性和可預測性。

檢查應用程序的CRC

對嵌入式工程師來說一個很大的好處是，我們的IDE和工具鏈可以自動產生應用程序或內存空間校驗和（Checksum），從而根據這個校驗和驗證應用程序是否完好。有趣的是，在許多這些案例中，只有在將程序代碼加載到設備時，才會用到校驗和。 然而，如果CRC或校驗和保持在內存中，那么驗證應用程序在啟動時（或甚至對長時間運行的系統定期驗證），是否仍然完好是確保意外之事不會發生的極好途徑。

現在一個編程過的應用程序發生改變的概率是很小的，但考慮每年交付的數十億個微控制器以及可能惡劣的工作環境，應用程序崩潰的機會并不是零。更有可能的是，系統中的一個缺陷可能導致某一扇區發生閃存寫入或閃存擦除，從而破壞應用程序的完整性。 ?

啟動時執行RAM檢查

為了建立一個更加可靠和扎實的系統，確保系統硬件正常工作非常重要。畢竟硬件會發生故障（幸運的是軟件永遠不會發生故障，軟件只會做代碼要它做的事，不管是正確的還是錯誤的）。在啟動時驗證RAM的內部或外部沒有問題，是確保硬件可以如預期般運作的一個好方法。 有許多不同的方法可用于執行RAM檢查，但常用的方法是寫入一個已知的模式，然后等上一小段時間再回讀。結果應該是所讀就是所寫。真相是，在大多數情況下 RAM檢查是通過的，這也是我們想要的結果。但也有極小的可能性檢查不通過，這時就為系統標示出硬件問題提供了極好的機會。 ?

使用堆棧監視器

對許多的嵌入式開發者而言，堆棧似乎是一股相當神秘的力量。當奇怪的事情開始發生，工程師終于被難倒了，他們開始思考，也許堆棧中發生了什么事。結果是盲目地調整堆棧的大小和位置等等。但該錯誤往往是與堆棧無關的，但怎能如此確定？畢竟，有多少工程師真的實際執行過最壞情況下的堆棧大小分析？ 堆棧大小是在編譯時就靜態分配好的，但堆棧是以動態的方式使用的。隨著代碼的執行，應用程序需要的變量、返回的地址和其它信息被不斷存儲在堆棧中。這種機制導致堆棧在其分配的內存中不斷增長。然而，這種增長有時會超出編譯時確定的容量極限，導致堆棧破壞相鄰內存區域的數據。
? 絕對確保堆棧正常工作的一種方法是實現堆棧監視器，將它作為系統“保健”代碼的一部分（有多少工程師會這樣做？）。堆棧監視器會在堆棧和“其它”內存區域之間創建一個緩沖區域，并填充已知的位模式。然后監視器會不斷的監視圖案是否有任何變化。如果該位模式發生了改變，那就意味著堆棧增長得太大了，即將要把系統推向黑暗地獄！此時監視器可以記錄事件的發生、系統狀態以及任何其它有用的數據，供日后用于問題的診斷。 ? 大多數實時操作系統（RTOS）或實現了內存保護單元（MPU）的微控制器系統中都提供有堆棧監視器?？膳碌氖?，這些功能默認都是關閉狀態，或者經常被開發人員有意關閉。在網絡上快速搜尋一下可以發現，很多人建議關閉實時操作系統中的堆棧監視器以節省56字節的閃存空間。等等，這可是得不償失的做法！ ?

使用MPU

在過去，是很難在一個小而廉價的微控制器中找到內存保護單元（MPU）的，但這種情況已經開始改變。 ? ? 現在從高端到低端的微控制器都已經有MPU，而這些 MPU為嵌入式軟件開發人員提供了一個可以大幅提高其固件（firmware）魯棒性的機會?？梢詤⒖矗?strong>嵌入式RTOS系統中使用內存保護單元（MPU）的好處 MPU 已逐漸與操作系統耦合，以便建立內存空間，其中的處理都分開，或任務可執行其代碼，而不用擔心被stomped on。 ? 倘若真有事情發生，不受控制的處理會被取消，也會執行其他的保護措施。請留意帶有這種組件的微控制器，如果有，請多加利用它的這種特性。 ?

建立一個強大的看門狗系統

你經常會發現的一種總是最受喜愛的看門狗（watchdog）實現是，在看門狗被啟用之處（這是一個很好的開始），但也是可以用周期性定時器將該看門狗清零之處；定時器的啟用是完全與程序中出現的任何情況隔離的。使用看門狗的目的是協助確保如果出現錯誤，看門狗不會被清零，即當工作暫停，系統會被迫去執行硬件重設定（hardware reset），以便恢復。使用與系統活動獨立的定時器可以讓看門狗保持清零，即使系統已失效。 ?

對應用任務如何整合到看門狗系統中，嵌入式開發人員需要仔細考慮和設計。例如，有種技術可能可以讓每個在一定時期內運行的任務標示它們可以成功地完成其任 務。在此事件中，看門狗不被清零，強制被復位。還有一些比較先進的技術，像是使用外部看門狗處理器，它可用來監視主處理器如何表現，反之亦然。 ?

避免易失存儲器分配

不習慣在資源有限環境下工作的工程師，可能會試圖使用其編程語言的特性，這種語言讓他們可以使用易失存儲器分配。畢竟，這是一種常在計算器系統中使用的技術，在計算器系統中，只有在有必要時，內存才會被分配。例如，以C開發時，工程師可能傾向于使用malloc來分配在堆（heap）上的空間。有一個操 作會執行，一旦完成，可以使用free將被分配的內存返回，以便堆的使用。 ?
在資源受限的系統，這可能是一場災難！使用易失存儲器分配的其中一個問題是，錯誤或不當的技術可能會導致內存泄漏或內存碎片。如果出現這些問題時，大多數的嵌入式系統并沒有資源或知識來監視堆或妥善地處理它。而當它們發生時，如果應用程序提出對空間的要求，但卻沒有所請求的空間可以使用，會發生什么事呢？ ? 使用易失存儲器分配所產生的問題是很復雜的，要妥善處理這些問題，可以說是一個噩夢！一種替代的方法是，直接以靜態的方式，簡化內存的分配。例如，只要在程序中簡單地建立一個大小為256字節長的緩沖區，而不是經由malloc請求這樣大小的內存緩沖區。此一分配的內存可在整個應用程序的生命周期期 間保持，且不會有堆或內存碎片問題方面的顧慮。 ?

審核編輯：黃飛

?