中断、余量与那点“不体面”：嵌入式系统设计的现场边界

会议室里有人问，样机在实验室跑了一周没事，装到现场隔三差五复位。我没急着答。先问：看门狗喂狗放在哪个上下文？——嵌入式系统设计里，很多故障不是功能没写，是时序没交代清楚。代码能跑，和系统可预测，两码事。

实时不是“快”，是可预测的迟到上限

有人把主频高当成实时性强。这个误会很常见。实时系统的核心不是平均响应快，而是最坏情况下仍然满足截止时间。中断延迟、调度延迟、临界区长度、缓存命中不确定性，都会把“平均很快”撕开口子。硬实时和软实时得分开看：电机换相错过窗口可能烧管，界面刷新晚几十毫秒用户未必察觉。条件不同，设计约束就不同。 RTOS 不是魔法。优先级抢占调度建立在可估算的最坏执行时间上。WCET 估不出来，优先级表排得再漂亮，也只是纸面秩序。我见过把浮点运算塞进中断里的设计——能跑，但每次进中断都像把大门关上扫一遍地。外面排队的中断只能等。对吧？ 嵌入式系统中断响应时序与优先级抢占调度示意图 优先级反转更隐蔽。低优先级任务拿着互斥量，高优先级任务等锁，中优先级任务在旁边跑得欢。表面看高优先级被“卡住”，其实是资源协议没设计好。优先级继承、优先级天花板能缓解，但有代价：上下文切换变多，系统复杂度上升。临界区里关中断也一样，关中断时间必须有上限，否则实时性是被自己人关掉的。

BSP、HAL 和“板子一换就翻车”

换一块板子，驱动全重写，这种项目不罕见。硬件抽象层不是把寄存器读写包一层函数就完事。时钟树、引脚复用、DMA 通道、中断控制器映射，任何一处和板级支持包耦合，移植性就是口号。BSP 该干的活是把硬件差异关在边界内，不是把差异藏起来假装没有。 嵌入式系统BSP板级支持包与HAL硬件抽象层分层架构图 寄存器访问要 volatile，编译器优化可不管你的外设时序。可 volatile 也不是万能盾牌，内存屏障、读写顺序、缓存一致性，该写清楚还得写清楚。有人复制粘贴驱动，改个宏就上线。实验室里外设碰巧响应慢，现场换批次器件，时序余量不够，故障就来了。说实话，这类问题最不体面——不是算法错，是时序账没算。

内存与栈：静态分配不是保守，是买保险

动态内存在嵌入式系统设计里不是禁忌，但得有边界。启动时一次性分配、固定大小内存池、上限明确的队列，这些可以谈。运行中频繁 malloc/free，碎片和耗时不确定性会把实时性拖下水。栈更隐蔽。中断嵌套、递归、大局部数组，栈水位悄悄上涨。等它撞到相邻内存，现象可能像“随机死机”。栈使用上限要有测量，不是靠猜。MPU 或栈哨兵能帮忙，但别把保护机制当成免死金牌。 低功耗和实时也常打架。休眠越深，唤醒延迟越长。电池设备为了省电把 tick 关掉，结果事件唤醒后调度器还没醒透。看门狗喂狗放在高优先级任务里？如果那个任务被饿死，狗照样咬。放在中断里？中断风暴时可能掩盖主循环卡死。没有一种放法免费，得看失效模式。

验证：实验室里“跑通”最不值钱

跑通只是入场券。故障注入、长时间老化、边界负载、通信丢包、电源跌落，这些才逼近现场。HIL 测试能复现时序组合，但模型本身也可能骗人。形式化验证对安全关键模块有价值，成本也真实存在。RISC-V 生态在变，工具链和调试体验还在补课。趋势要看，别追着名词换芯片。 下次有人问为什么现场复位，先看喂狗上下文，再看栈水位。别急着换芯片。真的。