📚 课程目录第2章 RTOS基础回顾

2. RTOS基础回顾

在讨论RTOS故障恢复与看门狗架构之前，必须先把实时操作系统的四个基础机制重新梳理清楚：任务调度、中断管理、内存管理与故障恢复。它们并不是彼此独立的模块，而是通过“时间确定性”和“资源确定性”这两条主线紧密耦合。任何一处出现异常，都会沿着调用链、优先级链或内存链扩散，最终表现为任务超时、系统死锁、看门狗误触发或复位后反复重启。理解这些关联，是设计可靠看门狗与恢复策略的前提。

一、任务调度：故障恢复的时间基准

RTOS调度器通常采用基于优先级的抢占式调度，并辅以时间片轮转。每个任务拥有独立栈空间、优先级和状态（就绪、运行、阻塞、挂起）。调度器在SysTick、PendSV等异常中完成上下文切换。对故障恢复而言，调度器提供了两个关键能力：一是“任务级心跳”，即高优先级监控任务可以周期性检查其他任务是否按时运行；二是“时间片预算”，即通过任务运行时间统计判断某任务是否长期占用CPU。

当某个任务因死循环、死锁或等待永不满足的信号量而无法让出CPU时，低优先级任务会被饿死，看门狗喂狗任务也可能无法执行。因此，看门狗架构必须与调度优先级协同设计：喂狗任务不能低于被监控任务，否则被监控任务卡死时喂狗任务同样无法运行，看门狗将失去意义。

/* 典型任务状态迁移 */
Ready --调度器选中--> Running --阻塞/延时--> Blocked
Running --被更高优先级抢占--> Ready
Blocked --事件到达/超时--> Ready
Running --调用vTaskSuspend--> Suspended

二、中断管理：故障传播的高速通道

中断是RTOS实时性的核心来源，也是故障传播最快的路径。Cortex-M架构中，中断优先级、BASEPRI、PRIMASK等寄存器决定了中断嵌套与临界区行为。常见问题包括：中断服务程序（ISR）执行时间过长导致系统节拍丢失；在ISR中调用了非FromISR版本API导致阻塞；中断优先级配置错误导致高优先级中断被屏蔽。

看门狗与中断管理的关系体现在两个层面。第一，硬件看门狗通常由独立时钟源驱动，若在中断中喂狗，一旦系统进入中断风暴，喂狗动作可能被反复执行，看门狗无法复位。第二，故障恢复常需要在中断中记录现场，例如保存PC、LR、xPSR和故障状态寄存器，这些信息是判断HardFault来源的关键。因此，中断管理不仅影响实时性，也直接影响故障可观测性。

建议将看门狗喂狗放在任务上下文而非中断上下文，并在喂狗前检查所有关键任务的“健康标志”，避免中断风暴掩盖任务级故障。

三、内存管理：故障恢复的资源边界

RTOS内存管理通常包括静态分配、动态堆分配和内存池。任务栈溢出、堆碎片、野指针和重复释放是嵌入式系统最常见的故障源。栈溢出会破坏相邻任务的控制块或数据，导致调度器行为异常；堆碎片会使长时间运行的系统无法申请到连续内存，最终触发分配失败。

故障恢复策略必须考虑内存边界。例如，在复位前保存故障日志时，不能依赖动态内存分配，而应使用静态缓冲区或备份SRAM。看门狗复位后，系统需要判断是“首次上电”还是“异常复位”，这通常依赖复位原因寄存器（RCC_CSR）和备份域中的魔术字。若内存管理不当，魔术字可能被栈溢出覆盖，导致复位原因误判。

基础机制	典型故障	对故障恢复的影响	看门狗协同要点
任务调度	任务饿死、死锁、优先级反转	监控任务无法运行，喂狗失败	喂狗任务优先级需高于被监控任务
中断管理	中断风暴、ISR阻塞、优先级错误	故障现场丢失，复位原因难定位	避免在ISR中喂狗，保留故障寄存器快照
内存管理	栈溢出、堆碎片、野指针	日志缓冲区被破坏，复位标志丢失	使用静态日志区与备份SRAM魔术字
故障恢复	复位循环、恢复不彻底	系统反复重启，无法进入安全状态	分级恢复：任务重启→系统复位→安全模式

四、四者关联：从故障注入到恢复闭环

把四个机制放在一起看，可以形成一条清晰的故障链：中断异常或任务死锁导致调度失衡，调度失衡导致监控任务无法喂狗，看门狗超时触发复位；复位后，系统通过复位原因寄存器和备份内存判断故障类型，再决定是重启任务、重启系统还是进入安全模式。若内存管理不可靠，复位原因可能丢失；若中断管理不当，故障现场可能被覆盖；若调度设计不合理，恢复任务本身也可能被饿死。

五、案例场景：任务死锁导致看门狗复位

某工业控制器使用FreeRTOS，包含采集任务、控制任务、通信任务和喂狗任务。采集任务优先级为5，控制任务为4，通信任务为3，喂狗任务为2。运行中通信任务因等待一个被低优先级任务持有的互斥量而阻塞，低优先级任务又因优先级反转无法运行，导致通信任务长期占用CPU等待。由于喂狗任务优先级最低，无法获得调度，看门狗超时复位。复位后系统未记录复位原因，反复重启。

复盘发现三个问题：第一，喂狗任务优先级过低；第二，互斥量未启用优先级继承；第三，复位原因寄存器未在启动时读取并保存。改进方案是将喂狗任务优先级提升到最高，启用优先级继承，并在启动早期读取RCC_CSR，将复位原因写入备份SRAM。改进后，系统能够区分“上电复位”和“看门狗复位”，并在连续两次看门狗复位后进入安全模式。

不要把所有故障都交给看门狗复位解决。任务级故障应优先尝试任务重启或资源释放，只有无法恢复的故障才触发系统复位，否则会掩盖真实问题并缩短设备寿命。

六、方法流程：从基础机制到恢复策略

梳理任务优先级与执行时间，确定关键任务和监控任务。
检查中断优先级分组、ISR执行时间和临界区长度。
评估任务栈深度、堆使用峰值和内存池余量。
设计喂狗策略：任务上下文喂狗，喂狗前检查健康标志。
保存复位原因与故障现场，写入备份SRAM或静态日志区。
制定分级恢复策略：任务重启、系统复位、安全模式。
通过故障注入验证恢复路径，观察是否出现复位循环。

总之，任务调度决定“谁在什么时候运行”，中断管理决定“谁可以打断谁”，内存管理决定“资源是否可靠”，故障恢复决定“出错后如何回到可控状态”。看门狗不是独立外设，而是这四个机制共同作用下的最后一道防线。只有把四者关联起来设计，才能避免“看门狗复位了，但问题依然存在”的尴尬局面。