6.4 中断优先级分组与临界区时序演练

6.4 中断优先级分组与临界区时序演练

本节摘要：中断代码再守规矩，配置错了也是全盘皆输。本节讲清 Cortex-M 中断优先级体系的三个易错点：数值方向（越小越急）、优先级分组（子优先级不参与抢占）、内核的两级阈值（最低级心跳与可调用接口的上限）；列出四种典型配置错误的症状与修法。然后用 GPIO 翻转法做一次实测演练：量出中断进入延迟、唤醒与切换开销、临界区的真实代价，最终产出一张系统时间预算表——实时性的承诺从此有数据背书。

本节是第 6 章的收官，也是全册"时序"主题的落点。前面所有的规则都建立在"配置正确"这个假设上，现在把假设变成可验证的事实。

一、数值方向：最大的直觉陷阱

Cortex-M 的中断优先级寄存器名义上八位，多数芯片只实现高几位（常见四位，即十六档）。第一个陷阱紧跟而来：数值越小，中断越急。零是最高紧急度，最大值是最低——与"优先级数值越大越高"的任务世界（2.3 节）正好相反。两套规则共存于同一颗芯片，配置时的思维切换极易出错：把"通信中断最重要"写成零号优先级、又把"日志中断"写成十五号，结果通信被日志压制——因为日志的十五其实比零"低"，错了方向的反义词才对。防御手段是在工程里定义一层命名常量（如"紧急""高""普通"映射到具体数值），配置代码只出现名字不出现裸数字。

第二个陷阱是优先级分组。硬件把优先级位劈成两段：抢占优先级位与子优先级位。只有抢占位决定谁能打断谁；子优先级只在多个同级中断同时挂起时决定先响应谁，不产生嵌套。内核要求把全部实现位配成抢占位（3.4 节坑一的修法）——否则"可屏蔽范围"的计算与实际抢占结构对不上。有些芯片复位默认分组就含子优先级位，内核启动断言会拦截；有些芯片默认全抢占位，掩盖了隐患直到换芯片那天爆发——所以这一项要显式配置，不依赖默认值。

优先级空间与两级阈值

第三块拼图是两级阈值。内核在优先级空间上画两条线：一条是"可调用接口的上限"——数值小于它的中断处于内核屏蔽范围之外（特区），既不被临界区挡，也不许碰内核接口；另一条是"最低级"——滴答与切换异常的家（3.1 节的铁律）。两条线把中断世界切成三段：特区、许可区、保留区。理解三段论，四种典型配置错误的病理就全部可读了。

二、四种典型配置错误的症状与修法

**错误一：特区里调用了接口。**把电机保护中断设为最急，又在它的服务程序里入队——特区中断被基地址屏蔽挡不住，接口的内部防护对它失效，链表操作与任务侧竞争。症状：断言偶发拦截（开了断言的话），或全系统最诡异的那种偶发错乱。修法：二选一——把它的优先级降到许可区，或改用裸标志（易失变量加屏障，任务侧轮询）。

**错误二：分组含子优先级位。**启动即被断言拦截（3.4 节坑一是它的标准形态）。修法：进调度前把分组配成全抢占位。这条错误最"友好"，因为它死在起跑线上。

**错误三：中断优先级高于阈值但忘了它是"特区"。**常见变体：团队给串口中断配了零号（最急），又正常调用中断安全接口——接口在特区不被保护，等于裸奔。症状与错误一同源。修法同上，本质是"阈值"这个概念没有进入团队共识——本节的三段论图就是为此画的。

**错误四：数值方向写反。**把不急的配成零号、最急的配成大数值，系统"看似工作"但关键响应偶发恶化。修法：命名常量层加代码评审清单里的一条"方向复核"。这种错误最阴险——功能测试全绿，只有压力与时序测试能暴露。

三、演练：把时间账量出来

规则与配置都对了，最后一步是用数据说话。GPIO 翻转法的原理：用空闲引脚的电平变化标记事件与响应的边界，示波器或逻辑分析仪量边沿间隔。三组测量，逐层逼近真相。

**测量一：中断进入延迟。**外部信号线与观测引脚同接示波器；服务程序第一行翻转观测脚。两路波形的间隔 = 硬件识别加向量跳转加（可能的）临界区阻挡。若此间隔抖动大，抖动来源大概率是长临界区——把临界区内的代码段再细分观测脚，锁定最重的一段。

**测量二：唤醒与切换开销。**服务程序最后一行翻转观测脚甲，被唤醒任务的第一行翻转观测脚乙。间隔 = 退出中断加调度裁决加上下文切换（3.1 节的接力全过程）。这个数字就是"事件到处理"路径的系统税，第 8 章优化时它是基线。

**测量三：临界区代价。**在一段已知长度的临界区前翻转观测脚，区后再翻转；同时用一个周期中断做探针（许可区内、周期触发），测量它的响应延迟在临界区内被推迟多少。这个数字直接回答"我的临界区税有多重"，是 3.3 节"短字诀"的定量版。

/* 观测脚封装：翻转即边界（用宏保证零额外开销） */
#define PROBE_TOGGLE()  do { GPIO->ODR ^= PIN_OBS; } while (0)

void EXT_ISR_HANDLER(void)      /* 外部中断：测量一与测量二 */
{
    PROBE_TOGGLE();             /* 边界1 进入延迟到此为止 */
    uint32_t v = capture();
    BaseType_t w = pdFALSE;
    xQueueSendFromISR(xQ, &v, &w);
    PROBE_TOGGLE();             /* 边界2 服务程序结束 */
    portYIELD_FROM_ISR(w);
}

void worker_task(void *arg)     /* 底半：测量二的终点 */
{
    for (;;) {
        xQueueReceive(xQ, NULL, portMAX_DELAY);
        PROBE_TOGGLE();         /* 边界3 任务接手 */
        process();
    }
}
​

**产出一：时间预算表。**三组数据加上业务约束，填出全系统的时间账单：每个关键事件从发生到处理的最大允许值、实测值、余量。这张表是实时性的"验收合同"——客户或认证机构要的"满足硬实时"，最终由它背书。**产出二：临界区审计清单。**测量三暴露的重临界区逐个登记（位置、长度、压住了谁），按 3.3 节的手段逐个收缩。两张表挂在团队看板上，比一百句"我们要保证实时性"都有效。

💡 演练的收获常在意料之外：多数团队第一次量出"唤醒切换开销"的真实数字后，会发现它远小于想象——真正吃掉时间的不是内核，而是自己的长临界区与长中断。数据先于直觉，这是时序工程的信条。

四、收束：时间经营学的完整闭环

第 6 章四个主题至此闭环：定时器把周期工作组织好（6.1），空闲时段睡得深（6.2），事件入口守得住（6.3），优先级配置量得出（6.4）。四个主题对应时间轴的四类问题——准、省、快、稳，合起来就是一个嵌入式系统在时间维度上的全部经营。下一章转向空间维度：观测、安全与调试——先给系统装上仪表盘，再给内存装上围栏，最后练硬故障解剖的手艺。

本节要点回顾

• 三个易错点：数值越小越急、分组必须全抢占位、两级阈值切出特区许可区保留区；
• 四种配置错误各有病理：特区调接口（最险）、分组错（死得最早）、方向写反（最隐蔽）——命名常量与启动断言是两级防线；
• GPIO 翻转法三组测量：进入延迟、唤醒切换开销、临界区代价——零成本把时间账量出来；
• 两张产出表：时间预算表是验收合同，临界区审计清单是优化清单；
• 数据先于直觉：吃掉时间的通常不是内核，而是自己的临界区与长中断。