Магическое слово 0xAA55: первый запуск против чужой памяти

Плата вернулась с объекта через год: стояла в щитке насосной под чужим скетчем счётчика воды. Я прошил свой термостат, включил — и увидел в мониторе порог 190 и режим 3, которых не задавал никто. Причина прозаична: EEPROM не очищается при перепрошивке — там, где жил чужой счётчик, остались его байты, и мой скетч принял их за свои настройки. На свежей плате такого не бывает, а на плате с биографией — регулярно, и каждую такую плату я теперь прогоняю через слово-печать.

Стандартная защита — маркер-байт: в разделе уже два разбора, однобайтовый 0x42 с дефолтами и 0xA5 с версией структуры. Оба отлично ловят пустую память со всеми 255, но против живого мусора от прошлого скетча одиночный байт слаб: байт-маркер — это 1 шанс из 256, что случайный байт совпадёт с ним, а мусор в живой памяти не случайный. Прошлый скетч писал по этим же адресам свои значения, и одно из них имеет все шансы оказаться вашим маркером.

Моё решение для плат с историей — слово из двух байт: 0x55 и 0xAA, пара 0xAA55. Совпадение двух байт сразу — 1 шанс из 65536; для сравнения, пара 0x55AA держит подпись загрузочного сектора IBM PC с 1981 года — конвенция, пережившая четыре десятка лет компьютерной техники. Дальше: где стоит слово, в каком порядке пишется, как прибор говорит вердикт вспышками и чего слово не делает ни при каких условиях.

Блок конфига я раскладываю так: поля с адреса 10, слово-печать в самом конце — на 18-м и 19-м адресах, младший байт 0x55 первым. Печать пишется последней, после всех полей: обрыв питания посреди заливки дефолтов оставит блок без печати, и на следующем старте проверка снова увидит «не совпало» — заливка повторится целиком. Правило то же, что у нуль-терминатора строки в уроке про SSID: последний байт превращает недописанное в готовое.

Вердикты загрузки прибор показывает вспышками — прибор без экрана обязан говорить. Одна длинная — слово сошлось, конфиг загружен. Двойная — память свежая, 255 и 255: первый запуск, заливаю дефолты и ставлю печать. Тройная — слово не сошлось: чужой мусор или битая ячейка, заводской сброс и новая печать. Три состояния, три ритма — язык, который читается через комнату. Ручной сброс кнопкой с удержанием живёт в отдельном уроке: здесь сброс не по воле человека, а по вердикту проверки.

И честная граница применимости. На Uno с загрузчиком optiboot EEPROM переживает перепрошивку — потому «старые байты» там реальны. На ATtiny85 всё наоборот: чип по умолчанию стирает EEPROM при заливке прошивки, сохранение лечится фьюзом EESAVE. Там сценарий «плата с чужим прошлым» встречается реже, зато настройки пропадают при каждом обновлении прошивки. Сначала узнайте поведение своей платы, потом выбирайте глубину защиты.

Лестница в loadCfg короткая и жёсткая: пара 255 и 255 — свежая память; пара не совпала — чужое или битое; совпала — грузим поля и всё равно страхуем значения границами: порог больше 250 квантов после деградации ячейки прижимается к дефолту. Никакой ветки «а вдруг повезёт» нет: слово — единственный вход к полям конфига. Порог хранится делённым на четыре — та же упаковка, что в тюнинге кнопками, и то же правило при чтении: значение в границах или дефолт.

Заводской сброс по несоответствию — не паника, а штатный сценарий. Байты чужого скетча честно приняты за мусор, поверх залиты дефолты, поставлена печать — прибор продолжает жизнь с заводскими настройками, и хозяин узнаёт об этом по трём вспышкам при включении. Потеря правки оператора при таком сбросе стоит меньше, чем работа по чужим порогам: неделя с рассадой при 190 вместо 500 единиц дороже одного повторного прохода по меню.

Печать обязана жить столько же, сколько конфиг: она лежит в ячейках, которые больше ничего не пишет, и ставится через update. Если слово сотрётся от старости ячейки, ваш же валидный конфиг получит тройное мигание и сброс — отсюда же правило карты: на адреса печати не наступает никто, раскладка зон фиксируется до прошивки, а за разъезды зон отвечает карта адресов.

Переключите сценарий на «чужой скетч» и смотрите в монитор: печать читается как 55 и 194. Свежий глаз видит 55 и думает, что это 0x55, — это 0x37, пятьдесят пять в десятичной системе; ровно на таких парах ловятся первые глаза, и в рабочих скетчах я печатаю байты в HEX. Вердикт — тройное мигание, поверх заливаются дефолты. Подвигайте ручку A0 и повторите: байт в ячейке конфига меняется, вердикт — нет. Чтобы обмануть слово, чужой мусор должен угадать два байта подряд — 1 шанс из 65536; повторите опыт десяток раз — совпадения не увидите, и это лучший аргумент в пользу двух байт вместо одного.

Сценарий «свой конфиг» даёт одну длинную вспышку и загрузку — та лестница, по которой плата ходит каждый день. На живой плате всё то же делает скетч из code-блока: loadCfg стоит в setup до любого обращения к полям, и ни одна ветка программы не читает конфиг мимо проверки. Пересадка чипа из платы в плату — тот же «чужой» сценарий, но с сюрпризом: если раскладка адресов совпадает, слово остаётся, настройки валидны — прибор продолжает работать без заливки дефолтов.

Слои не конкурируют, а складываются: слово отвечает на вопрос «моя ли память», версия — «та ли раскладка полей», контрольная сумма — «цела ли моя запись». Слово с версией стоят рядом во всех моих конфигах; сумма — по потребности: CRC8 по блоку ловит тихую деградацию ячейки, которую слово пропустит, если печать цела, а поля испортились. Цена вопроса — один-два байта карты.

И про свежую память отдельно: 255 — стёртое состояние ячейки, а не ноль; пара 255 255 — самый честный признак первого запуска, механика разбиралась в уроке про 0xFF. Но плата после заливки нулями — кто-то прогнал очистку — читается как 00 00: это тоже «не совпало», вердикт будет тройным. Пользователю разница не видна: обе ветки ведут к дефолтам. Разработчику — видна: строка в мониторе с прочитанными байтами говорит, что именно лежало на месте печати.