嵌入式软件的可靠性：技术、方法和工具

提升嵌入式软件可靠性的整体策略：技术与实践

对于开发者而言，确保嵌入式软件的可靠性至关重要，因为这类系统中的故障可能导致从数据丢失、安全威胁到重大经济损失等一系列严重后果。本文将探讨旨在最大程度减少嵌入式系统中错误、故障和失效的各种方法和实践，内容涵盖硬件机制、软件方法以及系统级的测试与监控策略。

嵌入式系统可靠性概念简介

在深入探讨提升可靠性的方法之前，清晰理解基本术语至关重要。可靠性是指系统在规定条件下，于特定时间内执行其预期功能的能力。失效、故障和错误则是可靠性的对立面。

错误：测量值与真实值之间的偏差。这是在开发或操作过程中可以纠正的问题。
故障：一种异常情况，会降低或完全损害功能单元执行其任务的能力。故障可能导致失效。
失效：系统或其组件完全或部分丧失执行其功能的能力。
崩溃：设备意外故障或基础设施损坏，导致对象无法继续运行，通常伴随重大的物质损失，但无人身伤亡。
灾难：由重大事故引起，导致包括人员伤亡在内的悲剧性后果的事件。

理解这些区别有助于有针对性地应用方法，在不同层面预防和检测问题。

硬件与底层稳定性机制

嵌入式系统的可靠性始于硬件层面以及能够预防或减轻关键状态后果的底层软件解决方案。

看门狗定时器（WDT）是一种基本机制。它旨在当固件因不正确的输入数据、执行错误或压力条件而挂起时，自动复位微控制器（MCU）。如果软件未能在指定间隔内“喂狗”（即重置其计数器），WDT将启动系统复位，防止系统进入不可操作状态。

窗口看门狗（WWDG）通过增加对上限和下限的控制，扩展了WDT的概念。固件必须在严格定义的时间窗口内重置WWDG。过早或过晚重置都被视为错误，并导致系统重启。这允许检测系统挂起以及代码执行过快或不正确的情况。

位填充（Bit Stuffing）是一种数据编码方法，用于CAN或USB等传输协议。其本质是在一定数量的连续相同电平位（例如五个）之后强制插入一个反转位。这可以防止总线上直流分量的累积，更重要的是，对于可靠性而言，如果发现违反此规则的位序列，接收器可以检测到同步错误或数据损坏。

用于内存溢出控制的MPU（内存保护单元）是处理器的一个硬件组件，它在没有虚拟内存支持的情况下提供内存保护。MPU允许定义具有不同访问权限（读取、写入、执行）的内存区域。一旦尝试进行未经授权的访问，MPU会生成一个异常。在嵌入式系统环境中，这对于防止堆栈或堆溢出至关重要。通过在堆栈/堆与其他内存区域之间配置禁止区域，可以检测到超出分配边界的写入尝试，从而发出潜在错误或漏洞的信号。

CPU锁步模式运行（Lockstep Mode）是一种容错方法，其中多个处理器核心（通常是两个）同时或以最小时间差执行相同的指令集。这些核心的输出会不断进行比较。如果结果不匹配，则表明其中一个核心存在硬件故障，系统可以启动中断或复位。这种方法允许检测由外部影响（例如电磁干扰或辐射）引起的故障，显著提高了安全关键系统的可靠性。

矩阵访问监视器（MAM）是某些微控制器中特有的硬件模块。它为各种外设和模块（核心、DMA、以太网）提供详细的访问控制和内存保护。MAM允许软件配置每个从属设备的访问权限，确保隔离并防止未经授权的操作，从而增强整体系统稳定性。

数据与进程保护的软件方法

除了硬件机制之外，还有许多软件方法旨在增强数据完整性并确保正确的进程执行。

投票（Majoring）是一种基于共识的决策技术。例如，通过UART传输数据时，可以根据位间隔内的多个采样来确定位的值。如果大多数采样指示为'1'，则该位被解释为'1'。此原理也适用于数据存储：对于NVRAM，可以存储三份相同的数据副本，读取时选择三份中至少有两份匹配的版本，从而确保对单比特错误的弹性。

堆栈涂色（Stack Painting）是一种诊断方法，其中堆栈的未使用部分填充有特定模式（例如，一个魔术数字）。定期检查此模式可以确定堆栈的最大使用量，并在模式被破坏时检测溢出。这为优化内存分配和在开发早期阶段识别潜在问题提供了有价值的指标。

传感器读数充分性检查对于依赖外部数据的系统至关重要。任何传感器都可能发生故障或传输不正确的数据。因此，在测量物理量后，必须立即检查读数是否存在异常值、荒谬值或超出允许范围的情况，以防止系统行为不正确。

应用前配置验证——根据ISO-26262等标准，配置参数在使用前必须在运行时进行验证。这允许检测配置不正确的程序或损坏的设置，防止系统在不可操作或危险状态下启动。

临界区（Critical Sections）是需要独占访问的代码块。例如，在处理共享资源（FIFO、全局变量）或上下文切换期间（例如，当引导加载程序加载新应用程序时）。在临界区内，通常会禁用中断，以防止数据或状态被外部修改，这可能导致数据损坏或系统挂起。

心跳LED——一种简单而有效的系统健康指示器。闪烁的LED表示主程序循环（superloop）正在执行，并且固件没有冻结。这提供了设备状态的快速视觉监控。

反馈——控制系统的基本原理。嵌入式系统通常使用反馈来确认命令执行。例如，微控制器可以使用ADC测量H桥两端的电压，以确保电流确实供应给负载，从而确认命令的正确执行。

错误纠正码（ECC）是一种先进的数据编码方法，它不仅能检测，还能在信息存储或传输过程中自动纠正错误。与简单的校验和不同，ECC可以恢复原始数据，这对于内存（例如RAM）和数据存储的可靠性至关重要。

CRC（循环冗余校验）是一种广泛使用的错误检测方法。接收数据包时，检查其CRC可确保数据在传输过程中未被损坏。同样，引导加载程序在写入或启动应用程序之前应验证其校验和。CRC32不匹配表示固件损坏，从而阻止执行不正确或潜在危险的代码。

奇偶校验位——最简单的错误控制形式，本质上是一个单比特CRC。它常用于UART等串行接口中，以检测传输字节中的单比特错误。

数据包序列编号——传输数据时，对数据包进行编号允许接收方检测流连续性丢失或丢包。此要求常见于ISO-26262等安全标准中，以确保通信完整性。

测试、监控与系统级可靠性方法

如果没有系统化的测试和对系统状态的持续监控，全面的可靠性方法是无法实现的。

单元测试是高质量开发的基础。它们允许独立验证单个代码组件，定位故障原因，并确保重构时的安全性。测试不仅是验证工具，也是代码的活文档。理想情况下，用于调试构建的测试可以直接嵌入到固件中，并在启动时或根据命令运行。

健康监控器（HM）是一个专门的任务、线程或周期性功能，持续跟踪所有关键系统组件的状态：错误计数器、状态寄存器和外设状态。如果检测到异常，HM会通知用户或另一个控制系统。例如，HM可以识别多核系统中不正确的中断配置并自动恢复它们，从而防止故障。它能够检测单元测试可能遗漏的问题，显著提高产品的整体容错能力。