[VladislavS 39]

Спасибо за притворяющийся рабочим датчик тем более. Тут и до 737 MAX  недалеко.

[Arlleex 160]

21 минуту назад, VladislavS сказал:

Спасибо за притворяющийся рабочим датчик тем более. Тут и до 737 MAX  недалеко.

Еще раз. Отлаживаете на столе, пока температура плюсовая, плохо припаянная ножка "контачит". Глюков нет.

Понесли в поле. Там минус. От температуры припой отошел от ножки и контакт пропал. Девайс завис намертво, не подавая признаков жизни. С отладчиком будете танцевать? Повезло знчит, раз отладчиком можно подцепиться. Но не повезет, когда заказчика достанут постоянные глюки железок, и он обратится к другому производителю

[VladislavS 39]

Хорошо вам, дисплеи, логи... А тут герметично опаяют и лети себе. Одна надежда на полный цикл испытаний.

[jcxz 218]

1 час назад, Arlleex сказал:

Все признаки, события и отказы такого жизненно важного модуля, как тактовый генератор, обрабатывать просто необходимо. При отказе основного рабочего генератора система должна переключиться на резервный и либо продолжить работать в штатном режиме (если позволительно) с рапортом в бортжурнал, либо уйти в безопасное состояние и посылать сигнал бедствия SOS.

При отказе источника питания тоже должна SOS посылать и куда-то уйти?  

[Arlleex 160]

49 минут назад, jcxz сказал:

При отказе источника питания тоже должна SOS посылать и куда-то уйти?  

Я бы сказал так: если ошибку реально обработать программно с соответствующими уведомлениями пользователя (хоть сразу, хоть потом), то явно лучше это сделать, чем этого не сделать.

Отказ источника питания - это, разумеется, крайность; принятие соответствующих мер по дальнейшему функционированию устройства решается на другом уровне и в задачу программного обеспечения целевого МК, как правило, не входит.

Ведь никогда нельзя предугадать, что откажет и при каких обстоятельствах - источник питания сгорит или же юзверь в порыве ненависти к зависшему устройству топором превратит последнего в щепки

[haker_fox 61]

9 hours ago, VladislavS said:

На каждый чих телеметрию и диагностику не повесишь.

Статусный светодиод  не спасёт отца русской демократии?))) Он может быть в устройстве даже штатно. Хотя бы на плате.

5 hours ago, VladislavS said:

Хорошо вам, дисплеи, логи... А тут герметично опаяют и лети себе. Одна надежда на полный цикл испытаний.

Ааа... теперь вижу, что не спасёт))) А как в таком исполнении вообще диагностировать отказы?

5 hours ago, jcxz said:

При отказе источника питания тоже должна SOS посылать и куда-то уйти?

Конечно. Если источника два, а лучше - три)

[VladislavS 39]

Господа, если что, я двумя ногами за полную диагностику, телеметрию и прочие ништяки. Мой посыл был в том, что надо хорошо обдумывать правильную реакцию на сбой. Может устройство выполнять остальные функции без АЦП - пусть выполняет, только система должна знать об отказе и не делать тангаж -45 градусов. А иначе пусть лучше висит в месте сбоя и ничего не делает.

[HardEgor 71]

10 часов назад, VladislavS сказал:

Хорошо вам, дисплеи, логи... А тут герметично опаяют и лети себе. Одна надежда на полный цикл испытаний.

Для этого есть программный флаг/признак или аппаратный выход ERROR.

 

10 часов назад, Arlleex сказал:

Еще раз. Отлаживаете на столе, пока температура плюсовая, плохо припаянная ножка "контачит". Глюков нет.

Понесли в поле. Там минус. От температуры припой отошел от ножки и контакт пропал.

Предусмотреть все такие ошибки  - это в разы, а то и на порядок, удорожить разработку, такое делается для критического или жизненно важного оборудования.

А потом проводят через испытание все выпускаемые приборы. Это вообще большой и сложный комплекс мероприятий.

[adnega 11]

15 часов назад, simark1979 сказал:

Добавил задержку перед началом работы с АЦП, работает без сбоев.

А что за МК? Тут было несколько тем с такой же проблемой, да и в своих проектах в последнее время несколько раз столкнулся с тем же (F030, F303).

Побеждал не задержками, а постоянным мониторингом готовности АЦП и повторным включение АЦП по неготовности.

Насчет бесконечных циклов. Там где нет точных ограничений на время выполнения - использую бесконечные циклы ожидания и только от того, что точно взведется.

Все остальное обернуто в машины состояний с соответствующими таймаутами.

В прерываниях не допускаю вообще никаких ожиданий - ни конечных, ни бесконечных.

Если где-то что-то зависнет в бесконечном цикле, то будет перезагрузка по watchdog.

Видел его сработки в плане АЦП и в плане монтажа кварца.

Кста, везде как стандарт завел светодиод "РАБОТА", который должен мигать 1 Гц на уровне SysTick.

В SysTick так же проверяется "живучесть" mainloop`а.

[simark1979 0]

12 hours ago, adnega said:

А что за МК? Тут было несколько тем с такой же проблемой, да и в своих проектах в последнее время несколько раз столкнулся с тем же (F030, F303).

У меня STM32F205
Но тут это совершенно не причём, у меня опрос внешнего АЦП по spi