Сбой питания при записи: FAT, потерянные кластеры и flush

Логгер в гараже отработал зиму без единой претензии, а весной я принёс карту домой — и ноутбук предложил её отформатировать. Двухмесячный архив показаний, судя по занятому месту, лежал где-то внутри, но файлы не открывались. Это не старость носителя: за зиму свет в гараже отключали десятки раз, каждый обрыв приходился на чью-то запись, и один из них наконец разорвал файловую систему в самый неподходящий момент структуры. Карту я тогда спас посекторной копией и проверкой диска на большом винте: вернул всё, кроме последних минут, записанных без close.

Разбираю по слоям, что именно ломается: где у FAT живёт размер файла, что такое потерянные кластеры и почему их не видно глазами, чем flush отличается от close и как дать логгеру секунду на прощание — диодом Шоттки и суперконденсатором, которые стоят дешевле самого модуля SD.

У FAT32 файл на карте — не сплошной кусок, а цепочка кластеров. Кластер — порция от 4 до 32 килобайт в зависимости от объёма карты и разметки. Порядок кластеров записан в таблице FAT, а в каталоге лежит запись с именем, датой и текущим размером. Пишете строку — библиотека ищет свободный кластер, вписывает его в цепочку таблицы FAT, кладёт байты в сектор и рано или поздно обновляет размер в каталоге. Четыре шага, и каждый заканчивается записью сектора во флеш-память.

Карта — не магнитофон: сектор в 512 байт уезжает целиком за один флеш-цикл, внутри контроллера есть свой буфер, а сам цикл занимает единицы миллисекунд. Если вольты пропали ровно в этот момент, контроллер либо дотягивает сектор от внутренних конденсаторов, либо оставляет его недописанным. Структура остаётся наполовину готовой, и таблица начинает врать о содержимом. Десятки миллисекунд на сектор — вот и вся разница между «файл жив» и «файл разорван»: у обрыва нет ни расписания, ни жалости.

Отсюда правило, которое все открывают на своей шкуре: вызов print у файла — не запись на карту. Между print и флеш-памятью сидит буфер на 512 байт, и всё, что меньше сектора, живёт только в оперативке платы. Выдернул шнур — выдернул вместе с ним и неотправленные строки, хоть скетч их уже «написал». Библиотека держит ровно один сектор, и это не опция, а устройство потока: print кладёт байты в RAM, flush гонит сектор целиком.

Половинчатая структура даёт характерные симптомы. Оборвалась цепочка в FAT — кластеры остаются помеченными занятыми, но не принадлежат ни одному файлу. Это и есть потерянные кластеры: Windows их не показывает, зато честно отражает занятое место, и карта «толстеет» без причины. Утилита проверки диска предлагает вернуть их в строй как FILE0000.CHK, а с флагом автоисправления может просто срезать. На ПК вас выручает chkdsk или fsck; на логгере, который живёт в поле без компьютера, лечения нет — библиотека SD чинить разметку не умеет, мусор копится, и однажды карта перестаёт монтироваться вовсе. Косвенный признак можно увидеть прямо на плате: после обрыва файл открывается, но readString возвращает только то, что числилось в каталоге на момент последнего close.

Стратегия на плате одна: не доводить до обрыва структуры. Закрывать файл аккуратно, копить журнал в оперативке и писать пакетами — приёмы из урока про пакетную запись. А какой разметке верит библиотека SD и чем FAT16 отличается от FAT32 на картах до 4 ГБ и выше — в разборе форматов: карты exFAT в этой истории не участвуют никак.

flush() выталкивает буфер на карту: сектор уезжает, цепочка в FAT обновляется. close() делает то же самое плюс закрывает запись в каталоге — вписывает финальный размер. Разница видна именно после обрыва: с flush, но без close файл существует, но каталог уверяет, что он короче, чем есть, — свежие строки числятся призраками, которые покажет только проверка диска. Механику обоих вызовов с таймингами я разбирал в уроке про flush и sync, базовое «записал — закрыл» — в уроке про println и close. Здесь следующий слой: что делать, когда питание умирает не по расписанию, а в произвольную миллисекунду.

Ответ железный: дать плате секунды после пропажи сети. Диод Шоттки от блока питания к плате плюс суперконденсатор 1 Ф на 5,5 В — копеечная связка. Розетку выключили, сеть мертва, а Uno с логгером без экранов и реле доживает на накопленной ёмкости несколько секунд. Скетч в это время следит за входным напряжением через делитель на аналоговом входе: просадка ниже порога — немедленно flush и close. На эти два вызова уходят миллисекунды, запас остаётся столетним. Суперконденсатор питает плату целиком, поэтому счёт бюджета ведите честно: Wi-Fi-модуль или реле на той же ёмкости съедают его за доли секунды. Делитель под порог считайте под свою сеть: резисторы 10 и 10 кОм делят 5 В пополам, для 12-вольтового ввода — 30 и 10 кОм, и порог пересчитывается пропорционально.

Граница метода: если обрыв случился в середине многосекторной записи, контроллеру карты нужно время дотянуть транзакцию — сотни миллисекунд на блок. Секунды суперкапа закрывают это с запасом, но не бесконечность: не вешайте на ту же ёмкость дисплей, свисток и сервопривод, иначе скетч успеет закрыть файл на плате, а карта — не успеть дописать сектор.

В модели видно то, чего без осциллографа на железе не увидишь: сколько байт стояло в буфере в момент обрыва. Включите тумблер и повторите отключение — потеря сожмётся в разы. На реальной плате частый flush означает лишние операции записи, а у флеш-памяти ресурс по стиранию конечен: для лога раз в две секунды это несущественно, для журнала по миллисекундам — уже бюджет, который надо считать.

Таймер flush соберите на millis без delay, как показано в уроке про millis вместо delay. Логгер с delay внутри пропустит момент просадки на целую паузу — а это ровно те секунды, ради которых в схему ставился суперконденсатор. Порядок всегда один: увидел просадку, flush, close, и только потом плата вправе гаснуть.

Единственное, что не заменит суперконденсатор, — дисциплина сессий записи. Если файл держится открытым сутками, а close зовётся только перед сном, любой обрыв между flush-ами оставит на карте призраков и оборванные цепочки. Держите сессию короткой — открыл, дописал, закрыл — так, как разобрано в уроке про сессию open-write-close: тогда окно уязвимости измеряется миллисекундами, а не часами работы логгера.