一種VxWorks平臺下的軟件看門狗設(shè)計缺陷及改進(jìn)方法

蹇彪，李佳

（工業(yè)和信息化部電子第五研究所，廣州510610）

一種VxWorks平臺下的軟件看門狗設(shè)計缺陷及改進(jìn)方法

蹇彪，李佳

（工業(yè)和信息化部電子第五研究所，廣州510610）

介紹VxWorks平臺下基于定時器實(shí)現(xiàn)的軟件看門狗的一種設(shè)計缺陷，提供一種利用VxWorks中的信號量同步和任務(wù)優(yōu)先級實(shí)現(xiàn)的改進(jìn)方法。測試結(jié)果表明改進(jìn)后的看門狗能夠有效地提高系統(tǒng)運(yùn)行的可靠性。

VxWorks；看門狗；定時器；設(shè)計缺陷

0　引言

國防工業(yè)系統(tǒng)中，尤其是航空航天領(lǐng)域中的一些利用嵌入式計算機(jī)軟件作為控制核心的系統(tǒng)，如飛控系統(tǒng)、發(fā)動機(jī)控制系統(tǒng)等，通常需要工作在惡劣環(huán)境中，因此對系統(tǒng)可靠性的要求都比較高。這些系統(tǒng)的嵌入式軟件在運(yùn)行過程中，可能由于硬件電路的干擾，造成軟件的異常跳轉(zhuǎn)，從而形成非設(shè)計的死循環(huán)，導(dǎo)致軟件“跑飛”、功能失效等異常情況，這時候軟件若不能及時復(fù)位重新恢復(fù)正常運(yùn)行，可能導(dǎo)致整個系統(tǒng)任務(wù)失敗的嚴(yán)重后果。為了提高系統(tǒng)可靠性，這些系統(tǒng)通常都需要設(shè)計看門狗，在系統(tǒng)發(fā)生錯誤“跑飛”時，能夠及時地對系統(tǒng)進(jìn)行復(fù)位，使系統(tǒng)從故障狀態(tài)下恢復(fù)正常運(yùn)行。

1　看門狗

看門狗是指在系統(tǒng)中通過軟件或硬件方式在一定的時間周期內(nèi)監(jiān)控系統(tǒng)的運(yùn)行狀況，如果在規(guī)定的時間內(nèi)沒有收到來自系統(tǒng)的觸發(fā)信號，則將系統(tǒng)強(qiáng)制復(fù)位，以保證系統(tǒng)在受到干擾或故障時仍然能夠維持正常的工作狀態(tài)[1]。

單片機(jī)等無操作系統(tǒng)的嵌入式軟件屬于單任務(wù)應(yīng)用，看門狗一般由寄存器、定時器和看門狗電路等部件構(gòu)成，其原理如圖1所示。CPU正常工作過程中，寄存器計數(shù)值需要在一定的延時周期內(nèi)被清零，如果沒有清零動作，看門狗電路將產(chǎn)生一個復(fù)位信號使系統(tǒng)重新啟動或者通過一個非屏蔽中斷執(zhí)行故障恢復(fù)子程序。軟件設(shè)計邏輯如圖2所示，清看門狗計數(shù)器的命令必須在主程序內(nèi)，如果看門狗沒有被清零，復(fù)位后軟件將從啟動程序（地址0x0000）開始運(yùn)行[2]。因此設(shè)計看門狗時需要計算主程序的運(yùn)行時間，通常選擇看門狗延時周期遠(yuǎn)遠(yuǎn)高于計算出的循環(huán)時間，或者在測試到的循環(huán)時間基礎(chǔ)上預(yù)留較大余量。

圖1　微處理器通過計數(shù)清除看門狗定時器

VxWorks、uC/OS、Linux等嵌入式操作系統(tǒng)都能夠支持多任務(wù)環(huán)境，因此這些平臺下嵌入式軟件的軟件結(jié)構(gòu)也不再由單一的主循環(huán)和中斷服務(wù)函數(shù)構(gòu)成，而是由若干個不同優(yōu)先級的任務(wù)和中斷服務(wù)函數(shù)構(gòu)成。由于操作系統(tǒng)在一定程度上降低了應(yīng)用系統(tǒng)中軟件設(shè)計的工作量，所以這些平臺下嵌入式軟件的看門狗設(shè)計一般通過軟件方式實(shí)現(xiàn)。設(shè)計方式根據(jù)實(shí)際使用需求的不同可以分為以下兩種。一種是僅需要提供應(yīng)用軟件的基本運(yùn)行保護(hù)，通過設(shè)計一個看門狗定時中斷，在中斷服務(wù)程序中執(zhí)行“喂狗”操作即可。當(dāng)中斷服務(wù)程序異常，即系統(tǒng)已無法提供最基本的服務(wù)時執(zhí)行復(fù)位重啟。另一種是需要保護(hù)特定的核心任務(wù)，通過設(shè)置一個更低級別的看門狗任務(wù)來守護(hù)核心任務(wù)，在看門狗任務(wù)中執(zhí)行“喂狗”操作，當(dāng)核心任務(wù)失敗時執(zhí)行復(fù)位重啟[3]。

圖2　應(yīng)用看門狗的程序設(shè)計基本流程

2　設(shè)計缺陷介紹

某機(jī)載系統(tǒng)的嵌入式軟件運(yùn)行在VxWorks平臺下，該軟件作為整個系統(tǒng)的控制中樞，使用VxWorks的看門狗定時器設(shè)計了軟件看門狗，用于提高系統(tǒng)的運(yùn)行可靠性。軟件結(jié)構(gòu)如圖3所示。看門狗定時器設(shè)計在看門狗任務(wù)中，當(dāng)軟件運(yùn)行異常，看門狗任務(wù)無法輪詢分配到CPU運(yùn)行時間時，看門狗定時器計數(shù)無法被及時清零，觸發(fā)看門狗“狗叫”，VxWorks系統(tǒng)復(fù)位，軟件重新啟動運(yùn)行。

圖3　軟件結(jié)構(gòu)圖

為了驗(yàn)證看門狗對系統(tǒng)安全保護(hù)措施的有效性，在軟件測試過程中通過故障注入方式分別在各工作任務(wù)和通信任務(wù)中插樁注入包含延時語句的故障代碼，模擬軟件“跑飛”的異常運(yùn)行情況。注入的故障代碼的觸發(fā)條件由與被測軟件通信的上位機(jī)下發(fā)的通信指令決定，以保證故障的觸發(fā)條件和觸發(fā)時機(jī)可控。測試結(jié)果如表1所示。

表1　看門狗測試結(jié)果

測試結(jié)果表明，該軟件看門狗僅能夠保護(hù)比看門狗任務(wù)優(yōu)先級高的工作任務(wù)，無法保護(hù)低優(yōu)先級任務(wù)。并且在高優(yōu)先級的通信任務(wù)異常時，看門狗不但未成功復(fù)位，系統(tǒng)還出現(xiàn)了“假死機(jī)”現(xiàn)象。通過對問題現(xiàn)象的隔離分析，發(fā)現(xiàn)系統(tǒng)失去響應(yīng)是因?yàn)榭撮T狗定時器中斷執(zhí)行復(fù)位失敗。當(dāng)通信任務(wù)“跑飛”觸發(fā)看門狗定時器回調(diào)函數(shù)執(zhí)行REBOOT進(jìn)行復(fù)位時，系統(tǒng)需要先保存中斷現(xiàn)場，并將程序指針重新指向程序入口地址。但是由于此時通信任務(wù)正在轉(zhuǎn)發(fā)處理通信數(shù)據(jù)，堆棧數(shù)據(jù)量較大，導(dǎo)致中斷現(xiàn)場保存時間過長，定時器中斷被其他外部中斷打斷了處理過程而未能及時返回。軟件復(fù)位最終未能完成，程序指針未能成功指向程序入口地址，引起了VxWorks操作系統(tǒng)的任務(wù)調(diào)度紊亂、喪失實(shí)時性。

通過以上分析，定位了該軟件導(dǎo)致看門狗保護(hù)策略失效的設(shè)計缺陷為：①僅能保護(hù)比看門狗任務(wù)優(yōu)先級高的任務(wù)；②在定時器中斷回調(diào)函數(shù)中執(zhí)行了會導(dǎo)致中斷阻塞的REBOOT操作。

3　設(shè)計改進(jìn)方法

VxWorks提供了二進(jìn)制、互斥和計數(shù)等三種信號量用于實(shí)現(xiàn)任務(wù)間的通信、同步和互斥。由于互斥信號量不可以在中斷服務(wù)程序中釋放，計數(shù)信號量只是在二進(jìn)制信號量基礎(chǔ)上增加了對信號量釋放次數(shù)的計數(shù)，而二進(jìn)制信號量在經(jīng)過高度優(yōu)化后，是所有任務(wù)間通信機(jī)制中，速度最快、最常用的手段[4-5]。因此，針對上述軟件設(shè)計缺陷，利用二進(jìn)制信號量對看門狗功能進(jìn)行了設(shè)計改進(jìn)。改進(jìn)后的軟件結(jié)構(gòu)如圖4所示。

主要改進(jìn)措施為：①更改了看門狗喂狗操作所在任務(wù)和需要保護(hù)的工作任務(wù)的任務(wù)優(yōu)先級，將看門狗喂狗操作放到低優(yōu)先級任務(wù)中，比所有需要保護(hù)的工作任務(wù)的優(yōu)先級低；②新建一個具有最高優(yōu)先級的看門狗復(fù)位執(zhí)行任務(wù)，以確保REBOOT復(fù)位動作能夠立即被執(zhí)行；③刪除看門狗定時器中斷回調(diào)函數(shù)中的REBOOT操作語句，改為釋放復(fù)位信號量的方式通知具有最高優(yōu)先級的看門狗復(fù)位任務(wù)執(zhí)行REBOOT操作。

圖4　改進(jìn)后的軟件結(jié)構(gòu)圖

對改進(jìn)后的軟件看門狗按照表1執(zhí)行了回歸測試，所有測試結(jié)果均為通過。測試結(jié)果表明，任意工作任務(wù)、通信任務(wù)等出現(xiàn)異?！芭茱w”情況下，系統(tǒng)均能夠觸發(fā)看門狗成功地執(zhí)行復(fù)位重啟。

4　結(jié)語

本文介紹了VxWorks平臺下某機(jī)載系統(tǒng)嵌入式軟件中存在的一種看門狗設(shè)計缺陷，通過對軟件缺陷原因進(jìn)行分析，提出了利用信號量同步和任務(wù)優(yōu)先級實(shí)現(xiàn)的改進(jìn)方法。通過回歸測試驗(yàn)證表明，改進(jìn)后的看門狗設(shè)計方法能夠有效地提高嵌入式系統(tǒng)運(yùn)行的可靠性，具有較強(qiáng)的工程應(yīng)用價值。

[1]李觀文，衣平，鄧英華．看門狗技術(shù)在改善系統(tǒng)可靠性中的應(yīng)用.機(jī)床電氣[J]，2005，1：26-27.

[2]王彬，李文新，李得天，劉禮．通過看門狗軟件設(shè)計提高抗干擾能力的方法．計算機(jī)技術(shù)與發(fā)展[J]，2012，22(10)：188-189.

[3]Kovacs G,Kiss B,Eric N.Watchdog–A Practical Approach of Fault Detection[C].Information Control Problems in Manufacturing.[s.l.]: [s.n.],2006:124-126.

[4]王才善，陳光武．基于VxWorks的實(shí)時多任務(wù)程序設(shè)計機(jī)制分析.鐵路計算機(jī)應(yīng)用[J]，2009，18(5):12-15.

[5]武華，劉軍偉．基于VxWorks的多任務(wù)程序設(shè)計.計算機(jī)技術(shù)與發(fā)展[J]，2011，21(9)：163-165.

JIAN Biao,LI Jia
（Research Center of Software Quality Engineering，CEPREI，Guangzhou 510610）

Introduces the design detect of software watchdog,which is implemented based on timer of VxWorks,provides an improvement method, which uses synchronized semaphore and task priority.Test results show that this method improves the reliability effectively of the system.

VxWorks;Watchdog;Timer;Design Detect

1007-1423（2016）16-0047-04DOI：10.3969/j.issn.1007-1423.2016.16.014

蹇彪（1987-），男，湖南常寧人，碩士，研究方向?yàn)榍度胧杰浖y試

2016-05-04

2016-05-25Design Defect of Software Watchdog and Its Improvement Method Based on VxWorks

李佳（1988-），女，湖南長沙人，本科，研究方向?yàn)檐浖煽啃?/p>