📚 课程目录第1章课程导入

1. 课程导入

在嵌入式实时操作系统（RTOS）中，系统一旦跑飞、死锁、任务饿死或中断风暴，后果往往不是“卡一下”这么简单，而是设备失控、通信中断、安全功能失效。RTOS故障恢复与看门狗架构，正是解决“系统出问题后如何被检测、如何被复位、如何被恢复、如何避免反复复位”的一整套工程方法。本课程围绕这条主线展开，帮助你把零散的看门狗配置、异常处理、复位源分析、任务监控和恢复策略，串成可落地的架构能力。

一、学习目标：从“会喂狗”到“会设计恢复体系”

很多工程师对看门狗的理解停留在“定时喂狗，不喂就复位”。但真正可靠的系统，需要回答更细的问题：谁在喂狗？喂狗任务本身死了怎么办？复位后如何区分是正常上电还是看门狗触发？复位后要不要保留故障现场？恢复后如何避免同一故障反复发生？本课程的学习目标可以归纳为四个层次：

概念层：理解硬件看门狗、软件看门狗、窗口看门狗、任务级监控、独立看门狗与系统看门狗的区别与适用边界。
机制层：掌握RTOS下任务监控、心跳机制、超时判定、复位源识别、异常向量捕获与故障现场保存的基本原理。
架构层：能够设计“检测—判定—复位—恢复—记录—降级”的完整恢复链路，而不是只配置一个看门狗寄存器。
实战层：能够针对任务死锁、中断风暴、内存耗尽、栈溢出、看门狗误触发等典型故障，给出可验证的恢复方案。

核心判断：看门狗不是“复位按钮”，而是系统最后一道安全防线。好的看门狗架构，应该让系统在故障时“可检测、可复位、可恢复、可追溯”，而不是简单地把设备重启一遍。

二、核心概念：先分清几个容易混淆的对象

在进入具体实现前，需要先建立统一的概念坐标系。RTOS故障恢复涉及的对象很多，最容易混淆的是“看门狗类型”和“监控层级”。硬件看门狗通常由MCU内部独立计数器实现，一旦超时直接触发复位，可靠性最高，但灵活性有限；软件看门狗依赖系统定时器或任务调度，灵活但本身可能受系统故障影响；窗口看门狗要求喂狗时间落在特定窗口内，既能检测“喂太晚”，也能检测“喂太早”，适合安全等级较高的场景。

任务级监控则不同，它不直接复位芯片，而是监控关键任务是否按时“报到”。例如，一个高优先级控制任务每10ms翻转一次心跳标志，监控任务在50ms内未看到翻转，就判定该任务异常。此时可以选择重启该任务、重启相关服务，或者触发系统级复位。理解这些层级，才能避免“所有问题都靠看门狗复位”的粗暴做法。

三、整体知识框架：四层对象与一条恢复链路

上图给出了本课程的整体知识框架。纵向看，系统被划分为四个层次：硬件看门狗层、软件看门狗层、任务级监控层、恢复与记录层。横向看，所有故障处理都遵循同一条链路：检测 → 判定 → 复位 → 恢复 → 记录 → 降级。这条链路是后续章节反复使用的分析工具。

检测阶段关注“谁发现了异常”，例如窗口看门狗发现喂狗过早、任务监控发现心跳丢失、硬件异常向量捕获到HardFault。判定阶段要区分“真故障”和“误触发”，例如系统负载瞬时升高导致喂狗延迟，是否应该立即复位。复位阶段要选择复位范围：是重启单个任务、重启通信协议栈，还是整机复位。恢复阶段要决定恢复动作：重新初始化外设、重建任务、恢复配置、进入安全模式。记录阶段要把复位源、故障任务、栈指针、关键寄存器保存到非易失存储。降级阶段则是在无法完全恢复时，保证系统进入最低安全运行状态。

层级	典型对象	检测方式	恢复动作
硬件看门狗	IWDG、WWDG	计数器超时 / 窗口越界	芯片复位
软件看门狗	软定时器、监控任务	超时未喂狗	任务重启 / 系统复位
任务级监控	心跳标志、签到计数器	心跳丢失 / 超时	任务重建 / 服务重启
恢复与记录	复位源寄存器、备份RAM	复位后读取标志	现场保存 / 安全降级

四、案例场景：一个“喂狗任务自己死了”的典型故障

假设系统有一个低优先级喂狗任务，每200ms喂一次硬件看门狗。某次通信任务异常，占满CPU，喂狗任务长时间得不到调度，硬件看门狗超时复位。复位后系统重新运行，但通信任务再次异常，于是反复复位，形成复位循环。这个案例暴露了两个问题：第一，喂狗任务本身没有被监控；第二，复位后没有记录复位源，无法判断是看门狗触发还是上电复位。

改进方案是：把喂狗动作分散到多个关键任务的心跳中，由独立监控任务汇总判断；同时启用窗口看门狗，防止“喂太早”掩盖任务未执行的问题；复位后在启动阶段读取复位源寄存器，并把故障信息写入备份RAM。下面是一段示意性代码，展示复位源识别与恢复决策的基本结构：

void System_Init(void)
{
    uint32_t reset_src = RCC_GetResetSource();

    if (reset_src & RCC_RESET_IWDG) {
        Log_Write(LOG_WDG_RESET, Get_BackupReg(BKP_FAULT_TASK));
        Recovery_EnterSafeMode();
    } else if (reset_src & RCC_RESET_POR) {
        Log_Write(LOG_POWER_ON, 0);
        Recovery_NormalBoot();
    }

    RCC_ClearResetFlags();
    WDG_Init(WWDG_TIMEOUT_500MS, WWDG_WINDOW_300MS);
    MonitorTask_Start();
}

提示：复位源寄存器是故障恢复的“黑匣子入口”。每次复位后先读它，再决定走正常启动还是恢复流程，可以避免把看门狗复位误判为普通上电。

五、常见误区与复盘要点

第一个误区是“喂狗越频繁越安全”。实际上，喂狗频率过高会掩盖任务未执行的问题，窗口看门狗正是为了解决这一点。第二个误区是“所有故障都靠整机复位”。整机复位代价高，且可能丢失关键数据，应该优先考虑任务级恢复和服务级重启。第三个误区是“复位后不记录现场”。没有复位源和故障任务信息，就无法定位根因，系统会陷入反复复位的循环。第四个误区是“看门狗配置后不再验证”。必须通过注入故障、模拟任务阻塞、制造中断风暴等方式，验证看门狗是否按预期触发，恢复流程是否真正生效。

注意：看门狗架构的验证不能只看“复位成功”。还要确认复位后系统能否正常恢复、故障信息是否被保存、恢复时间是否满足业务要求。否则，看门狗只是把故障从“死机”变成了“反复重启”。

本课程后续将沿着“检测—判定—复位—恢复—记录—降级”这条主线，逐一展开硬件看门狗配置、软件看门狗设计、任务监控实现、复位源分析、故障现场保存、恢复策略与测试验证。掌握这条主线，你就能把RTOS故障恢复从零散技巧，升级为可设计、可验证、可维护的系统架构能力。