Що відбувається, коли у мікроконтролерів закінчено оперативну пам'ять?

Це може бути просто збіг обставин, але я помітив мікроконтролери, які я перезавантажував, коли у них закінчувалася оперативна пам’ять (Atmega 328, якщо це специфічно для обладнання). Це те, що роблять мікроконтролери, коли у них не вистачає пам'яті? Якщо ні, що станеться тоді?

Чому / як? Покажчик стека, безумовно, сліпо збільшується до не виділеного діапазону пам’яті (або перевертається), але що станеться тоді: чи є якийсь захист, який змушує його перезавантажуватись чи це (серед інших ефектів) результат перезапису критичного дані (які я вважаю різними від коду, який, на мою думку, виконується безпосередньо з флеш)?

Я не впевнений, що це повинно бути тут чи на переповнюванні стека. Будь ласка, дайте мені знати, чи потрібно це перемістити, хоча я впевнений, що обладнання у цьому має роль.

Оновлення

Мені слід зазначити, що мене особливо цікавить власне механізм пошкодження пам’яті (це результат перенесення SP -> це залежить від відображення пам'яті UC тощо)?

Взагалі стек і купа врізаються один в одного. У цей момент все стає безладним.

Залежно від MCU може статися (або буде) одна з кількох речей.

1. Змінні пошкоджуються
2. Стек псується
3. Програма псується

Коли 1 трапляється, ти починаєш дивно поведінку - речі не роблять те, що слід. Коли 2 трапляється, всяке пекло проривається. Якщо зворотна адреса в стеці (якщо така є) пошкоджена, то там, де повернеться поточний дзвінок, - це хтось здогадався. В цей час MCU почне робити випадкові речі. Коли 3 повториться, хто знає, що було б. Це відбувається лише тоді, коли ви виконуєте код з оперативної пам'яті.

Взагалі, коли стек псується, він закінчується. Тільки те, що трапляється, полягає в MCU.

Можливо, спроба виділити пам'ять в першу чергу не вдається, тому корупція не трапиться. У цьому випадку MCU може створити виняток. Якщо не встановлений обробник винятків, найчастіше MCU просто зупиниться (еквівалент while (1);. Якщо встановлений обробник, він може перезавантажитися.

Якщо розподіл пам’яті продовжується, або якщо вона намагається, не вдається, і просто продовжується без виділення пам’яті, то ви перебуваєте в царинах «хто знає?». MCU може закінчитися перезавантаженням через правильну комбінацію подій (перерви спричинили, що в кінцевому підсумку скидання чіпа тощо), але немає гарантії того, що це станеться.

Як правило, велика ймовірність того, що це станеться, хоча, якщо це ввімкнено, - це внутрішній таймер (якщо такий існує) таймер часу та перезавантаження мікросхеми. Коли програма повністю пройде AWOL через подібний збій, інструкції щодо скидання таймера, як правило, не запускаються, тому він вичерпається та скидається.

Альтернативний вигляд: мікроконтролерам не вистачає пам'яті.

Принаймні, не при правильному програмуванні. Програмування мікроконтролера не зовсім схоже на програмування загального призначення, щоб правильно це зробити, ви повинні знати про його обмеження та відповідно програмувати. Існують інструменти, які допоможуть це забезпечити. Шукайте їх та вивчайте їх - принаймні, як читати сценарії та попередження про посилання.

Однак, як кажуть Маєнко та інші, у погано запрограмованого мікроконтролера може не вистачити пам’яті, а потім зробити все, включаючи нескінченний цикл (який, принаймні, дає можливість таймеру сторожового часу скинути його. Ви ввімкнули таймер сторожового вікна, чи не так? )

Загальні правила програмування мікроконтролерів уникають цього: наприклад, вся пам'ять або виділяється на стеці, або виділяється статично (глобально); "новий" або "малок" заборонено. Так само є рекурсія, щоб максимальну глибину введення підпрограми можна було проаналізувати та показати, що вона вміщується у наявний стек.

Таким чином, максимальний необхідний обсяг пам’яті може бути обчислений під час компіляції або зв’язку програми та порівняння з розміром пам’яті (часто кодується у скрипті лінкера) для конкретного процесора, на який ви орієнтовані.

Тоді у мікроконтролера може не вистачити пам’яті, але програма може. І в такому випадку ти дістаєшся

• перепишіть його, менший розмір, або
• виберіть більший процесор (вони часто доступні з різними розмірами пам'яті).

Одним загальним набором правил програмування мікроконтролерів є MISRA-C , прийняті автомобільною промисловістю.

На мій погляд, найкраща практика - використовувати підмножину SPARK-2014 для Ада. Ада насправді орієнтована на невеликі контролери, такі як AVR, MSP430 та ARM Cortex, досить добре і, таким чином, забезпечує кращу модель для програмування мікроконтролерів, ніж C. Але SPARK додає до програми примітки у вигляді коментарів, де описано, що робить програма.

Тепер інструменти SPARK аналізуватимуть програму, включаючи ці примітки, та доводять властивості щодо неї (або повідомляють про можливі помилки). Вам не доведеться витрачати час або кодовий простір, займаючись помилковими доступами до пам'яті або цілими переповненнями, оскільки вони, як було доведено, ніколи не трапляються.

Незважаючи на те, що з SPARK працює більше передньої роботи, досвід показує, що вона може швидше та дешевше дістатися до продукту, оскільки ви не витрачаєте час на переслідування таємничих перезавантажень та іншої дивної поведінки.

Порівняння MISRA-C та SPARK

Мені дуже подобається відповідь Маєнка, і я поставив це +1 собі. Але я хочу уточнити це до гострої точки:

Якщо мікроконтролеру не вистачає пам'яті, все може статися.

Ви дійсно не можете покластися ні на що, коли це станеться. Коли в машині не вистачає пам'яті стека, стек, швидше за все, пошкоджується. І як це станеться, може статися все, що завгодно. Змінні значення, розливи, часові регістри, всі стають пошкодженими, порушуючи потоки програми. Якщо / то / elses може оцінити неправильно. Зворотні адреси є зібраними, завдяки чому програма переходить до випадкових адрес. Будь-який код, написаний у програмі, може виконуватись. (Розгляньте код на зразок: "if [умова], то {fire_all_missles ();}"). Також цілий ряд інструкцій, які ви не написали, може виконати, коли ядро ​​переходить на непоєднане місце пам'яті. Усі ставки відключені.

AVR має вектор скидання за нульовою адресою. Коли ви перезаписуєте стек з випадковим сміттям, ви зрештою обертаєтеся та записуєте якусь зворотну адресу, і це вказуватиме на "нікуди"; тоді, коли ви повернетеся з підпрограми до цього нікуди, виконання буде обведено навколо адреси 0, де зазвичай відбувається перехід на обробник скидання.