7.3 错误处理与调试手段

7.3 错误处理与调试手段

本节摘要：再好的防护也挡不住所有错误，成熟工程的标志是错误发生时有章法：钩子体系在标准位置接住异常，断言在可疑处提前引爆，硬故障解剖把"跑飞"变成三步流程（读寄存器、取栈帧、映射代码），追踪录制让毫秒级的时序谜案可以回放。本节把四件工具一次配齐，并给出"带仪表交付"的工程规范与取证包格式——让每个故障都留下足够定罪的证据。

前两节给了望远镜（统计）与围栏（内存保护），本节是手术刀。嵌入式调试与桌面开发最大的不同：故障现场稍纵即逝（设备可能在客户手里、可能复位即失忆），所以一切手段的核心思想是让现场在故障瞬间自动保存。

一、钩子全家福与动作策略

内核在固定的异常位置回调用户函数，全家福五位成员。栈溢出钩子（2.4 节主角）：参数给出错任务句柄与名字。分配失败钩子（5.2 节部署）：堆见底时触发。空闲钩子：空闲任务每轮执行，用于喂狗、休眠指令、轻自检。滴答钩子：每个滴答执行，用于极轻的周期记账。断言：不算钩子但同属接错体系，内核自检失败时引爆。

关键设计是动作策略分两套。开发期策略是"停机保现场"：钩子里关中断、把关键信息写进掉电保持或不初始化的内存区、死循环等调试器——现场完整，调试器接上即可解剖。量产期策略是"降级求生存"：记录事件（不初始化内存区加事件队列）、执行降级预案（释放缓存、拒绝新连接、必要时请求复位）、继续服务。两套策略用编译开关切换，同一份钩子代码编译出两种人格。

⚠️ 钩子代码的三条军规：不许依赖可能已损坏的内存（栈溢出世界里，连任务名都可能不可信，钩子自己用静态缓冲）；不许再触发同类错误（分配失败钩子里不许再分配）；动作尽量短（溢出钩子多跑一行，现场就多一分被覆写的风险）。

二、断言布防：把暗雷提前引爆

断言回答"这里此刻必须为真吗"——不为真就当场停，比错误扩散后再排障便宜一个数量级。布防分三层。内核自检断言：配置打开后，内核在关键不变量处检查（链表完整性、临界区配对、参数合法性），3.4 节移植断言就是这层的实例。驱动边界断言：外设驱动入口检查句柄与状态——半数"玄学故障"在驱动入口就被拦下。业务不变量断言：状态机的非法迁移、缓存的一致性检查。量产版收缩策略按 5.2 节的思路：保便宜且高价值的检查，砍高频路径的重检查。

断言宏的实现要点是带位置且中断安全：记录行号与文件标识（用短编码不用长字符串，省内存），触发动作复用钩子的两套策略。一个常被忽视的细节：断言在终端态（关中断后）不应再依赖串口发送完成中断——直接寄存器写或写入内存区稍后处理。

三、硬故障解剖三步法

硬故障（跑飞、非法访问触发异常）是嵌入式最凶险的现场，解剖有固定章法。第一步，读故障寄存器：故障状态寄存器组告诉你异常类别（总线错误、用法错误、内存管理错误）与精确性，错误地址寄存器给出出事的地址。第二步，取栈帧：异常发生时硬件已把被中断现场的八个寄存器压栈——压到了哪个栈？返回值寄存器的特定位指明是主栈（说明出事在中断或内核态）还是进程栈（出事在任务里，3.1 节的栈帧接力知识在此上岗）。从栈帧取出程序计数器与链接寄存器，就是出事代码的位置与调用来源。第三步，映射代码：地址经映射表（或反汇编工具）对应到函数与行号，结合寄存器现场还原案情。

/* 硬故障处理：现场自动保存，复位后吐出报告 */
void HardFault_Handler(void)
{
    volatile uint32_t *frame;         /* 由返回值寄存器判断栈 */
    frame = (using_psp()) ? (uint32_t *)get_psp()
                          : (uint32_t *)get_msp();

    fault_log_save(
        get_cfsr(), get_hfsr(),       /* 故障状态 */
        get_bfar(), get_mmfar(),      /* 出错地址 */
        frame[6], frame[5],           /* 程序计数器 链接寄存器 */
        frame[0], frame[1],           /* 出事时的部分寄存器现场 */
        using_psp() ? 1 : 0);         /* 任务态还是中断态 */

    system_reset();                   /* 量产策略：保存后复位 */
}
​

这套机制配合不初始化内存区（复位不清理的特殊段）就是完整的黑匣子：故障瞬间保存，复位后主程序检测到"上次是故障复位"，把记录吐出来上报。没有调试器接线的量产设备，靠它也能拿到第一现场。上线前必须实测一次黑匣子全链路（故意触发一个空指针调用，验证记录完整、上报成功）——没演练过的黑匣子只是心理安慰。

解剖流程的时序

四、追踪录制：让时序谜案可以回放

统计面板是汇总（谁占了多少），追踪录制是明细（每一次切换、每一次阻塞与唤醒的完整时间线）。内核的跟踪设施提供一整套可选的事件宏（任务切换、队列操作、滴答），默认为空，第三方录制器（按时间轴可视化任务切换的商业分析套件）通过填充这些宏把事件流写进环形缓冲，导出后回放成甘特图——哪两个任务的交互出了时序问题、优先级反转发生在哪一毫秒（4.2 节那类工单的最快解法）、中断打断的密度，图上一目了然。

使用要点三条。按需录制：环形缓冲有限，常态不开，异常触发（如统计发现某指标越线）后开启一段窗口——"事件后录制"模式用小缓冲抓住现场。先过滤后录制：事件类型可裁剪（只要任务事件、不要队列事件），信噪比比缓冲大小更重要。对齐时钟：多源数据（追踪加示波器）要能对上时间轴，GPIO 观测脚在追踪里也打个标，两边就有了共同坐标系。

五、带仪表交付：工程规范与取证包

把本章三节固化成两条团队规范。规范一，观测桩位是交付物：任何固件出厂必须带统计面板（哪怕只开分钟级快照）、黑匣子（硬故障加溢出加分配失败三处保存）、水位巡检——它们是"保险"，不是"调试期临时设施"。规范二，工单带取证包：任何故障工单的附件格式固定——故障寄存器与栈帧（黑匣子记录）、复位原因、任务快照与堆画像（最后一次统计）、固件版本与配置摘要。取证包格式统一后，排障的第一步永远是"读包"，而不是"再复现一次试试"——第 8 章的坑点排查流程将直接以取证包为输入。

💡 一个反直觉的经验法则：调试工具链的投资回报率高于业务代码的优化投入。工具齐全的团队，工单从进门到定位的平均时间是工具匮乏团队的几分之一——而工具链是一次投入、终身复利（3.4 节的移植档案同理）。

本节要点回顾

• 钩子动作分两套人格：开发期停机保现场、量产期降级求生存，编译开关切换；三条军规是不依赖受损内存、不二次触发、动作短；
• 断言三层布防（内核、驱动、业务），量产收缩按价值密度取舍；
• 硬故障三步法：读故障寄存器、按返回值判栈取帧、映射代码；配合不初始化内存区构成黑匣子，上线前必须全链路演练；
• 追踪录制是明细账：事件后录制加事件过滤加时钟对齐，是时序谜案的最快解法；
• 两条交付规范：观测桩位随固件出厂、工单带标准取证包——排障从"读包"开始而不是"再复现"。

第 7 章收束。观测、围栏、手术刀三件套齐备，系统从"黑盒"变成"带仪表的可维护资产"。最后一章回到工程全局：坑点系统排查的流程化、性能优化的账本思维，以及把内核接入网络与云生态的完整路径。