当嵌入式系统出现严重问题时，我倾向于将错误写入闪存中的特殊日志文件，然后重新启动（如果内存不足，则没有太多选择）。
我意识到即使这样也可能出错，因此我尝试将其最小化（通过在最终写入期间不分配任何内存，并提高写入进程的优先级）。
但这依赖于检索日志文件的人。现在我正在考虑在重新启动之前通过 intertubes 发送消息以报告错误。
再想一想，当然，最好在重启后发送该消息，但这确实让我开始思考......
如果发现不可恢复的错误，我应该怎么做？如何在处于不稳定状态的系统中尽可能安全地执行这些操作？
【问题讨论】：
标签： embedded
一种策略是使用在开机/重启期间未初始化的 RAM 部分。这可以用来存储重启后的数据，然后当你的应用重启时，在代码的早期它可以检查内存并查看它是否包含任何有用的数据。如果是，则将其写入日志，或通过通讯频道发送。
如何保留未初始化的 RAM 部分取决于平台，并且取决于您是否运行管理 RAM 初始化的成熟操作系统 (Linux)。如果您在一个由 C 启动代码完成 RAM 初始化的小型系统上，那么您的编译器可能有办法将数据（文件范围变量）放在不同的部分（除了通常的例如 .bss ) 不是由 C 启动代码初始化的。
如果数据没有被初始化，那么它可能会在上电时包含随机数据。要确定它是否包含随机数据或有效数据，请使用哈希，例如CRC-32，以确定其有效性。如果您的处理器有办法告诉您是在重新启动还是在上电复位，那么您还应该使用它来确定上电后数据无效。
【讨论】：
对此没有单一的答案。我将从看门狗定时器开始。如果出现严重错误，这会重新启动系统。
需要考虑的其他事项 - 日志文件中不是的内容也很重要。如果您记录了各种任务/操作的例行更新，那么您可以从缺失的内容中学习。
最后，如果出现问题而您仍在运行：进入临界区，关闭尽可能多的操作系统，关闭外围设备，尽可能多地记录状态信息，然后重新启动！
【讨论】：
您要确保做的一件事是不损坏可能合法存在于闪存中的数据，因此，如果您尝试在崩溃情况下写入信息，则需要谨慎操作，并了解系统可能是一个非常糟糕的状态，所以你所做的任何事情都需要以一种不会让事情变得更糟的方式来完成。
通常，当我检测到崩溃状态时，我会尝试将信息吐出串行端口。可从崩溃状态访问的 UART 驱动程序通常非常简单 - 它只需要一个简单的轮询驱动程序，当忙位清除时将字符写入发送数据寄存器 - 崩溃处理程序通常不需要很好地配合多任务处理，所以轮询很好。而且一般不需要担心传入的数据；或者至少不需要担心以无法通过轮询处理的方式传入的数据。事实上，崩溃处理程序通常不能期望多任务处理和中断处理能够正常工作，因为系统已经搞砸了。
我尝试让它写入寄存器文件、堆栈的一部分和任何可能可用且有趣的重要 OS 数据结构（当前任务控制块或其他东西）。看门狗定时器通常负责在此状态下重置系统，因此崩溃处理程序可能没有机会写入所有内容，因此首先转储最重要的内容（不要不让崩溃处理程序启动看门狗 - 你不想让一些错误错误地阻止看门狗重置系统）。
当然，这在开发设置中最有用，因为当设备发布时，它可能没有任何东西连接到串行端口。如果您希望能够在发布后捕获这些类型的故障转储，则需要将它们写入适当的位置（例如可能是闪存的保留部分 - 只需确保它不是正常数据/文件系统区域的一部分，除非您确保它不会损坏该数据）。当然，您需要在启动时检查该区域，以便可以检测到它并将其发送到有用的地方，否则没有意义，除非您可能会在事后取回单元并将它们连接到可以查看的调试设置数据。
【讨论】：
我认为正确的异常处理最著名的例子是导弹自毁。该异常是由软件中的算术溢出引起的。显然有很多跟踪/记录媒体涉及，因为根本原因是已知的。发现被调试了。
因此，每个嵌入式设计都必须包含 2 个功能：记录媒体（如日志文件）和优雅停止，如禁用所有计时器/中断、关闭所有端口并处于无限循环或在导弹发生时 - 自毁。
【讨论】：
在嵌入式系统中重新启动之前将消息写入闪存通常是一个坏主意。正如您所指出的，没有人会阅读该消息，如果问题不是暂时性的，您会磨损闪光灯。
当系统处于不一致状态时，您几乎无法可靠地做任何事情，最好的办法是尽快重新启动系统，以便您可以从暂时性故障（时序、特殊外部事件、等等。）。在某些系统中，我编写了一个陷阱处理程序，它使用一些保留的内存，以便它可以设置串行端口，然后发出堆栈转储和注册内容，而无需额外的堆栈空间或破坏寄存器。
这样的转储简单重启是合理的，因为如果问题是暂时的，重启将解决问题，您希望保持简单并让设备继续运行。如果问题不是暂时的，那么您无论如何都不会取得进展，有人可以过来连接诊断设备。
关于故障和恢复的非常有趣的论文：WHY DO COMPUTERS STOP AND WHAT CAN BE DONE ABOUT IT?
【讨论】：
对于一个非常简单的系统，您有可以摆动的别针吗？例如，当您启动时将其配置为具有高输出，如果事情向南（即看门狗重置挂起）则将其设置为低。
【讨论】：
你有没有考虑过使用垃圾收集器？
我不是在开玩笑。
如果你在嵌入式系统中做动态分配， 为什么不预留一个标记缓冲区，当粪便碰到旋转的鼓风机时进行标记和清扫。
您可能已经获得了 malloc（或其他）实现的源代码，对吧？
如果您的嵌入式系统没有库资源，请忘记我曾经建议过它，但请告诉我们其他人它在什么设备中，这样我们就可以避免使用它。哎呀（你如何在没有库源的情况下进行调试？）。
如果你的系统已经死了......谁在乎它需要多长时间。很明显，它立即运行并不重要。 如果是这样，您无论如何都不能冒险“死”？
【讨论】：