嵌入式軟件可靠性設(shè)計(jì)要注意的問題

嵌入式軟件的最大特點(diǎn)是以控制為主，軟硬結(jié)合的較多，功能性的操作較多，模塊相互間調(diào)用的較多，外部工作環(huán)境復(fù)雜容易受到干擾或干擾別的設(shè)備，且執(zhí)行錯(cuò)誤的后果不僅僅是數(shù)據(jù)錯(cuò)誤而是有可能導(dǎo)致不可估量的災(zāi)難，所以總結(jié)起來(lái)，嵌入式軟件可靠性設(shè)計(jì)需注意的問題有四個(gè)方面：

1、軟件接口

先說(shuō)軟件接口中容易出問題的地方和編程人員容易犯的錯(cuò)誤。

軟件接口調(diào)用一般會(huì)有數(shù)據(jù)的賦值，賦值變量的數(shù)據(jù)類型可能會(huì)存在強(qiáng)制的數(shù)據(jù)轉(zhuǎn)換；需加以檢查。如果為了防范出問題的話，可以添加對(duì)數(shù)據(jù)范圍和數(shù)據(jù)類型的檢查。

賦值數(shù)據(jù)的數(shù)量不對(duì)路，多了少了的都不好，會(huì)出現(xiàn)意外的賦值結(jié)果，不過(guò)還好，這項(xiàng)錯(cuò)誤比較好檢查。

軟件編程中，會(huì)有對(duì)某一功能操作代碼的復(fù)用，比如對(duì)某個(gè)端口的數(shù)據(jù)檢查和控制，在整個(gè)程序中只會(huì)發(fā)生兩次，為了圖省事，可能就直接把該段代碼直接插入實(shí)際程序模塊中去了，這樣，在源程序代碼中，就出現(xiàn)了兩段完全相同，完成相同功能，只是服務(wù)于不同模塊的代碼，按道理來(lái)說(shuō)，這樣設(shè)計(jì)其實(shí)也沒啥問題，是的，你沒錯(cuò)，但你的行為會(huì)使別人無(wú)意中犯錯(cuò)。就像青年男女相處，女孩子純粹是想和男孩子充分享受溫馨的氣氛和心情，并不想更深入的發(fā)生什么，但女孩子邀請(qǐng)男生去的是她的家，在家里換上了家居的睡衣，窗戶緊閉，放著的還是曖昧的音樂，被男孩子半強(qiáng)迫發(fā)生后，無(wú)限哀怨地說(shuō)“我沒想到結(jié)果會(huì)是這樣的”，那怪得誰(shuí)來(lái)呢？在代碼方面，您的這種做法與貌似引誘男孩上鉤的^^無(wú)異。

有人會(huì)說(shuō)了，我這樣寫代碼怎么就算引誘呢？原因是程序可能會(huì)升級(jí)，您這幾行代碼在實(shí)際應(yīng)用過(guò)程中也不能保證是盡善盡美的，發(fā)現(xiàn)不完善的地方后，勢(shì)必會(huì)修改，如果你還能想得起來(lái)，可能不會(huì)遺漏，如果修改此代碼的是別的人，改了一個(gè)地方，別的地方?jīng)]改，是不是還留著隱患？那如何做呢？方法不難，把這段功能單獨(dú)做成一個(gè)模塊即可，對(duì)此端口的讀取和控制賦值均由此獨(dú)立模塊完成，如果數(shù)據(jù)的正確性影響大的話，還需要對(duì)端口數(shù)據(jù)的正確性進(jìn)行檢查和判斷。嵌入式軟件可靠性編程方法的四個(gè)目的是防錯(cuò)、判錯(cuò)、糾錯(cuò)、容錯(cuò)。對(duì)端口數(shù)據(jù)的判斷屬于判錯(cuò)的內(nèi)容，如果數(shù)據(jù)有錯(cuò)的話，糾錯(cuò)和容錯(cuò)的設(shè)計(jì)方法應(yīng)該不用我深入講解了吧？

2、軟硬件接口

硬件如男人，對(duì)外的執(zhí)行都靠它來(lái)實(shí)現(xiàn)，一旦出現(xiàn)問題，執(zhí)行后的后果就不可控了，周總理說(shuō)過(guò)“外交無(wú)小事”。但如何注意呢？

對(duì)讀進(jìn)來(lái)的硬件接口的數(shù)據(jù)要判斷其真?zhèn)危?/p>

對(duì)輸出的數(shù)據(jù)的執(zhí)行效果要檢測(cè)；

對(duì)輸出的數(shù)據(jù)的可能后果要進(jìn)行預(yù)防性設(shè)計(jì)，數(shù)據(jù)輸出的過(guò)程，我們從設(shè)計(jì)上要做一個(gè)分析，分析的思路是一般容易局限在穩(wěn)態(tài)過(guò)程，忽視了過(guò)渡過(guò)程。舉例說(shuō)明，比如我們控制一個(gè)支路的供電，從軟件控制來(lái)說(shuō)，直接給繼電器一個(gè)啟動(dòng)信號(hào)，讓開狀態(tài)的觸點(diǎn)閉合就可以了，非“關(guān)”即“開”，是受控繼電器的兩個(gè)穩(wěn)態(tài)狀態(tài)，但事實(shí)上，在從開到閉合的過(guò)程中，支路供電的電壓并不是一個(gè)簡(jiǎn)單0V—24V(24V為示例而已)的跳變狀態(tài)，而是一個(gè)抖動(dòng)，有沖擊信號(hào)的過(guò)程，這種情況在硬件上的防護(hù)是必不可少的，但在軟件上也不是可以事不關(guān)己、高高掛起的。

另外在邏輯上，宜將容易被干擾和容易產(chǎn)生的干擾控制動(dòng)作從時(shí)序上控制好，予以分開隔離。比如，控制繼電器的過(guò)程是容易產(chǎn)生抖動(dòng)尖峰脈沖而干擾數(shù)據(jù)總線和控制信號(hào)總線的，這時(shí)候從控制上，不宜同時(shí)實(shí)施數(shù)據(jù)的發(fā)送和接收工作，不宜作出其他的控制動(dòng)作，惹不起咱躲得起，躲過(guò)這一陣干擾的時(shí)候總可以了吧？

3、軟件代碼

軟件的可靠性是隨著時(shí)間的推移，可靠性逐漸增加的，這一點(diǎn)區(qū)別于電子可靠性、機(jī)械可靠性。電子可靠性服從指數(shù)分布，在整個(gè)生命周期內(nèi)，其失效率為一個(gè)常數(shù)；機(jī)械可靠性因?yàn)槟p、腐蝕、運(yùn)動(dòng)等因素的存在，隨時(shí)間推移可靠度會(huì)下降。因此也就有了軟件可靠性設(shè)計(jì)的一個(gè)特定規(guī)律和注意事項(xiàng)。

既然需要通過(guò)時(shí)間推移，通過(guò)不斷改進(jìn)，軟件可靠性得到提升。那么軟件的可維護(hù)性就是一個(gè)大問題了。這也是為什么軟件工程管理方面特別關(guān)注軟件文檔、注釋的原因了。但做這些要求的人只是人云亦云，并不理解如此做法的真正動(dòng)機(jī)。至于注釋如何去做、變量如何命名、軟件配置管理如何操作，這里面既有很常規(guī)的方法，也有一些我們司空見慣然而是錯(cuò)誤的做法。信手舉上幾個(gè)值得注意的細(xì)節(jié)供參考。

變量定義時(shí)宜將變量類型的變量名程中體現(xiàn)于其中；如AD_result_int、Cal_result_float等。這樣為的好檢查，防止數(shù)據(jù)類型的強(qiáng)制轉(zhuǎn)換或強(qiáng)制賦值時(shí)出現(xiàn)數(shù)據(jù)類型的錯(cuò)誤；

注釋要充分；

代碼的布局風(fēng)格宜統(tǒng)一，便于閱讀查找；

不可出現(xiàn)非受控的default流程，所有數(shù)值和變量，不論是調(diào)用函數(shù)時(shí)賦予的、讀取接口讀進(jìn)來(lái)的、還是中間變量計(jì)算出來(lái)的，在應(yīng)用前都宜作數(shù)據(jù)有效性的判斷，并對(duì)判定的所有可能結(jié)果均做受控的對(duì)應(yīng)處理。

關(guān)于軟件可維護(hù)性編程方法方面的文章資料在網(wǎng)上是鋪天蓋地，不予贅述，綜合采用之即可。很多文章把軟件可維護(hù)性編程規(guī)范推薦做成企業(yè)的嵌入式軟件可靠性設(shè)計(jì)規(guī)范，實(shí)在是有點(diǎn)以偏概全，有失偏頗的，用一句娛樂圈的話來(lái)說(shuō)，“愛情是生活的重要內(nèi)容，但它不是生活的全部”，軟件可維護(hù)性編程方法亦然。

軟件代碼在執(zhí)行中容易出現(xiàn)的下一個(gè)問題是跑飛，程序指針受到干擾，跳轉(zhuǎn)到了一個(gè)非受控位置，執(zhí)行了不該執(zhí)行的代碼。如果執(zhí)行了不該執(zhí)行的代碼，如果在程序中加入了足夠的變量判斷、讀值判斷、狀態(tài)檢測(cè)判斷等，那倒還好了，后果也不會(huì)太嚴(yán)重，甚至最終還是可能自己跑回來(lái)的。但有一種跑飛是比較可怕的，一般我們?cè)赗OM中存放的程序目標(biāo)代碼是1-3字節(jié)的指令，就是最多3條字段的目標(biāo)碼組成了執(zhí)行動(dòng)作，如果程序指針跑飛到了某個(gè)3字節(jié)指令的第2個(gè)字節(jié)上的時(shí)候，執(zhí)行的后果是什么，可就真的沒人知道了，即使在程序上作了足夠的數(shù)據(jù)判錯(cuò)、邏輯跳轉(zhuǎn)的防范措施，結(jié)果也不會(huì)好。而且ROM一般是不可能全部都被程序代碼填滿的，總有富余空間，富余空間中的默認(rèn)內(nèi)容是啥，這些默認(rèn)字節(jié)是否也會(huì)導(dǎo)致一些操作呢？單片機(jī)中的默認(rèn)空間是0FFH，DSP的我沒查過(guò)，大家有興趣查一下，跳到這些字段里，也是容易出麻煩的。

好了，不再羅嗦，直接給出解決方法吧，就是每隔一段程序代碼或控制區(qū)域，就人為放置上幾個(gè)NOP指令，在NOP指令后放置一個(gè)長(zhǎng)跳轉(zhuǎn)的ERR處理程序。注意NOP最少放置3個(gè)，這樣任何的跑飛最多只能占用2個(gè)NOP，第三個(gè)NOP一樣還是能把程序代碼揪回來(lái)，揪回來(lái)后就執(zhí)行ERR處理程序。

如果碰到安全性、可靠性等級(jí)要求比較高的程序，推薦的處理方法可以采用熱備份的處理方法，即用兩段代碼同時(shí)執(zhí)行同一個(gè)功能，執(zhí)行的結(jié)果進(jìn)行對(duì)比，如果一致則放行通過(guò)，如果結(jié)果不一致，咋處理就看您的嘍。但是… …國(guó)人有的是辦法，為了圖省事，你領(lǐng)導(dǎo)不是要求我編熱備份程序嗎，那好，我就把原來(lái)的代碼復(fù)制一遍，重新插入到某個(gè)地方，您這和明朝時(shí)代馮保太監(jiān)(還是嚴(yán)嵩、張居正阿？拿不準(zhǔn)了，大家有興趣的翻看《明朝那些事兒》查閱下)玩的沒啥兩樣，自己寫奏章，自己給自己審批奏章。既然是備份就是為了防止一個(gè)人出問題，那最好的辦法自然是不同的人來(lái)編這段，如果原理計(jì)算方法上也不同，數(shù)據(jù)采集通道也不同，那就過(guò)年帶娶媳婦的，好上加好了。

安全性和可靠性的編程細(xì)節(jié)注意事項(xiàng)還有很多，窺一斑難見全豹呵，諸位仁兄一起努力鉆研了。