Чёрный ящик: кольцевой журнал и дамп после сбоя

Теплица на участке третий раз за месяц ловила один и тот же вечер: насос включался, порог срабатывал, всё по плану — а утром хозяин звонил с вопросом, что это было в полночь. Плате было что рассказать: смена режима, превышение порога, команда с кнопки — но рассказывать она умеет только в монитор, а монитор к ней приезжает раз в неделю. Потоковый журнал в файл мы собирали в уроке про лог с кнопкой — он живёт, пока жив провод и ноутбук. Для узла в ящике нужен бортовой самописец: последние минуты жизни на борту, выгрузка по требованию.

Решение из авиации — чёрный ящик: кольцевой журнал на N ячеек в оперативке. Каждое событие — метка millis, код, значение — пишется в следующую ячейку; круг замкнулся — пишем поверх старейшей. Журнал всегда полон последних минут, размер известен заранее, запись стоит микросекунды и не тормозит боевой цикл. Одна улика перед зависанием — это паттерн из урока про сторож и последний лог; здесь улик шестнадцать, и они складываются в хронологию, по которой виден сценарий, а не одна строка-обрывок.

Разберём структуру записи, указатель головы и печать дампа в хронологическом порядке, посчитаем, почему поток событий в EEPROM не заливаем, и соберём скетч, где ящик живёт рядом с боевым кодом, не мешая ему. Заодно — грабля порядка печати, из-за которой журнал читается задом наперёд, и вопрос переполнения millis для узлов, которые живут месяцами.

Запись — три параллельных массива: unsigned long t[16] под метки, byte kod[16] под коды событий, int zn[16] под значения. Указатель head показывает, куда писать следующим: head = (head + 1) % 16, и когда круг замкнётся, свежая запись ляжет поверх старейшей — то самое кольцо, которое аппаратный UART крутит для принятых байтов в буфере из урока про буфер UART. Ноль копирований, ноль сдвигов: запись — всегда одна ячейка, микросекунды на любой частоте.

Печать дампа идёт от старейшей к свежей: начинаем с ячейки head + 1 и крутим по модулю 16 — тогда хронология читается как журнал, а не как шифр. Коды событий — байты: 0x01 кнопка, 0x02 порог пробит, 0x03 возврат в норму, 0x04 команда с порта; при дампе код печатается в HEX рядом с текстом — шестнадцатеричный формат из урока про BIN, HEX и DEC. Метка времени — сырые миллисекунды: 86400000 — это сутки, и читать их столбиком привыкаешь за вечер; перевод в часы с минутами делает таблица на компьютере, а не плата.

Значение — int: уровень с делителя, счётчик, длительность. Три массива на 16 записей — около ста байтов оперативки из двух тысяч: на Uno бюджет уходит незаметно. Захотите 64 записи — умножайте на четыре и проверяйте свободную память: журнал обязан помещаться рядом с боевым кодом, а не вместо него.

Каждая запись дублируется печатью в порт, если монитор подключён: смена состояния печатается на ходу, а кольцо хранит её же для потом. Двойная запись стоит одну строку кода в pishi(): печать сверху, массив снизу. Без этого журнал превращается в тайну за семью печатями: плата молчит неделями, и единственная возможность узнать, что было, — приехать с монитором и сказать dump.

Порог с гистерезисом — обязательная пара: пробитие ловится один раз при пересечении вверх, возврат — при спуске на 50 ниже порога. Без гистерезиса значение, пляшущее около порога, завалит журнал сотнями однотипных записей и вытеснит остальное — кольцо честно забудет старое, и улики не будет. То же правило спама мы проводили в потоковом журнале: пишем смену состояния, а не каждое измерение.

Дамп по команде dump сам попадает в журнал кодом 0x04 — и после выгрузки видно, сколько раз ящик вскрывали. Метки с millis() здесь хватает: разность двух unsigned long корректна, пока событие не старше 49,7 суток, — та же механика вычитания, что в планировщике на миллис. Для узла, живущего месяцами без перезагрузок, метьте вместо millis счётчик проходов loop: переполнение меток тоже событие, и журнал его честно поймает.

Метки читаются столбиком, но смысл у них человеческий: 60000 — минута, 3600000 — час, 86400000 — сутки. Перед разбором я делю их на 60000 с округлением до минут в таблице на компьютере — и хронология событий становится читаемой на глаз, без калькулятора и пересчёта в голове. Колонку с сырыми миллисекундами при этом не выбрасывайте: точность до единиц миллисекунд отличает «порог пробит до нажатия кнопки» от «после».

Первый вопрос к кольцу — почему RAM, если есть энергонезависимая EEPROM. Арифметика ресурса: ячейка EEPROM держит около 100 000 перезаписей, мы считали её в уроке про износ ячеек. Событие каждые 100 мс — это 864 000 записей в сутки; даже распределённый по кругу износ тянется дни, не месяцы. Поток — в RAM, и это не компромисс, а осознанный выбор: оперативка не имеет ресурса записи и стоит цикл в пару тактов.

EEPROM в схеме всё равно занимает своё место — двумя редкими ходами. Первый: вехи — смены режима, старты, сбои — с частотой раз в часы и реже живут в энергонезависимом журнале с тем же кольцевым принципом, его разбор в уроке про кольцевой журнал EEPROM. Второй: последнее событие перед падением — байт-флаг поверх паттерна из урока про сторож: RAM умирает вместе со сбросом, а флаг остаётся. Два этажа вместе покрывают и разбор полёта на живой плате, и разбор после смерти.

Отдельный трюк для упорных: секция .noinit — массив с атрибутом секции, который компилятор не чистит при старте, и после сброса в нём лежит то, что было до. На AVR с optiboot это работает, но требует понимания инициализации переменных — я такой ящик собирал один раз на логгере погоды и в бой не ставил: флаг в EEPROM плюс RAM-кольцо закрывают девять сценариев из десяти, а .noinit — десятый, редкий и капризный.

Если журнал всё-таки едет в EEPROM, два правила продлевают его жизнь. Первое: update вместо write — ячейка не перепрошивается, если байт не изменился, и пороги, меняющиеся раз в сутки, перестают жечь ресурс зря. Второе: шаг записи не мельче пары минут и только по смене состояния — тогда круг из 16 записей тратит за год десятки тысяч циклов, а не миллионы. Третий ход — счётчик израсходованных циклов в отдельной ячейке: он честно скажет, когда журнал пора переносить на новый адрес.

Эмуляция в симуляторе честная до предела: ребут здесь — команда crash, которая очищает журнал и печатает заставку, как это делает настоящий сброс с оперативкой. На живой плате глобальные массивы после сброса обнуляются точно так же — ящик начинается с чистого листа, и за ту часть улик, что обязана пережить смерть, отвечает байт-флаг в EEPROM из урока про сторож.