【嵌入式】嵌入式系统稳定性建设：完善代码容错处理的必由之路
作者简介：阿里巴巴嵌入式技术专家，深耕嵌入式+人工智能领域，具备多年的嵌入式硬件产品研发管理经验。
博客介绍：分享嵌入式开发领域的相关知识、经验、思考和感悟。提供嵌入式方向的学习指导、简历面试辅导、技术架构设计优化、开发外包等服务，有需要可私信联系。
️ 专栏介绍：本文归属于专栏《嵌入式系统稳定性建设》，专栏文章平均质量分92，持续更新中，欢迎大家免费订阅关注。
专栏导航：
1.【嵌入式】嵌入式系统稳定性概览：为何它如此重要？
2.【嵌入式】嵌入式系统稳定性建设：进程监控的不可或缺之力
3.【嵌入式】嵌入式系统稳定性建设：完善代码容错处理的必由之路
4.【嵌入式】嵌入式系统稳定性建设：静态代码扫描的稳定性提升术
嵌入式系统稳定性建设：完善代码容错处理的必由之路
- 1. 概述
- 2. 怎么做异常处理
-
- 2.1 明确返回值的意义
- 2.2 使用错误码和错误消息
- 2.3 使用断言（assert）
- 2.4 异常退出时清理已申请的资源
- 2.5 记录日志到文件中
- 2.6 编写清晰的文档和注释
- 2.7 使用静态分析工具
- 3. 总结
1. 概述
异常处理又称异常错误处理，它提供了处理程序运行时出现任何意外或异常情况的方法。异常处理通常是防止未知错误的发生所采取的处理措施，对于某一类型的错误，异常处理应该提供相应的处理方法。例如，在设计程序时，如果可能会碰到除0错误或者数组访问越界错误，程序员应该在程序中设计相应的异常处理代码以便发生异常情况时，程序做出相应的处理。
嵌入式开发中，一般使用C语言居多，C语言作为一种过程式的编程语言，在错误处理方面并不像一些现代的高级语言（如Java、C#或Python）那样具有内置的异常处理机制。然而，通过一系列编程习惯和技巧，C语言程序员同样可以编写出健壮、稳定的程序，优雅地处理可能出现的异常和错误情况。
2. 怎么做异常处理
2.1 明确返回值的意义
C语言函数通常通过返回值来反馈操作的成功或失败。因此，为函数设计合理的返回值至关重要。例如，如果函数可能失败，则最好返回一个整数值，其中0表示成功，使用非0值表示特定的错误代码。
int my_function(void)
{
// ... 执行一些操作 ...
if (/* 操作成功 */) {
return 0; // 成功
} else {
return -1; // 失败
}
}
调用此函数的代码应该检查返回值，并根据需要处理错误。除此之外，绝大多数C库函数和系统调用都支持通过返回值来判断执行是否成功，如果执行失败则通过返回值来告诉调用者发生了什么错误。所以调用现有函数（不管是自己写的还是别人写的还是系统函数）时，如果不能保证一定执行成功，都必须判断返回值，不要纠结多那几行代码。
以开源软件ffmpeg中的一个函数为例进行演示。可以看到，该函数中一共出现了6个if和return组合在一起使用的代码段，除了最后一个return 0，前面5个都是为了容错处理而写的，正是这些看似无用 的代码使得该函数真正做到了有错知错（能检查出异常）并勇于承认错误（能返回错误）。
static int configure_simple_filtergraph(FilterGraph *fg)
{
OutputStream *ost = fg->outputs[0]->ost;
AVFilterContext *in_filter, *out_filter;
int ret;
avfilter_graph_free(&fg->graph);
fg->graph = avfilter_graph_alloc();
if (!fg->graph)
return AVERROR(ENOMEM);
switch (ost->st->codec->codec_type) {
case AVMEDIA_TYPE_VIDEO:
ret = configure_video_filters(fg, &in_filter, &out_filter);
break;
case AVMEDIA_TYPE_AUDIO:
ret = configure_audio_filters(fg, &in_filter, &out_filter);
break;
default: av_assert0(0);
}
if (ret < 0)
return ret;
if (ost->avfilter) {
AVFilterInOut *outputs = avfilter_inout_alloc();
AVFilterInOut *inputs = avfilter_inout_alloc();
outputs->name = av_strdup("in");
outputs->filter_ctx = in_filter;
outputs->pad_idx = 0;
outputs->next = NULL;
inputs->name = av_strdup("out");
inputs->filter_ctx = out_filter;
inputs->pad_idx = 0;
inputs->next = NULL;
if ((ret = avfilter_graph_parse(fg->graph, ost->avfilter, &inputs, &outputs, NULL)) < 0)
return ret;
av_freep(&ost->avfilter);
} else {
if ((ret = avfilter_link(in_filter, 0, out_filter, 0)) < 0)
return ret;
}
if (ost->keep_pix_fmt)
avfilter_graph_set_auto_convert(fg->graph,
AVFILTER_AUTO_CONVERT_NONE);
if ((ret = avfilter_graph_config(fg->graph, NULL)) < 0)
return ret;
ost->filter = fg->outputs[0];
return 0;
}
2.2 使用错误码和错误消息
除了简单的返回值之外，还可以定义一组错误码，并为每个错误码提供描述性的错误消息。可读性更高的错误消息更有助于调试和记录错误，提高排查bug和修复bug的效率。
#define SUCCESS 0
#define ERROR_INVALID_INPUT -1
#define ERROR_OUT_OF_MEMORY -2
// ... 其他错误码 ...
const char *error_messages[] = {
"Success",
"Invalid input",
"Out of memory",
// ... 其他错误消息 ...
};
int my_function(void)
{
int result = /* 执行操作 */;
if (result != SUCCESS) {
fprintf(stderr, "Error: %s\n", error_messages[-result]);
return result;
}
return SUCCESS;
}
2.3 使用断言（assert）
断言是一种在开发过程中用于检测程序内部错误的方法。它们通常用于验证不应该发生的条件。如果断言失败，程序将终止执行，这有助于在开发阶段捕获逻辑错误。
#include 注意：断言应仅用于开发和调试阶段，因为它们会导致程序终止。在生产环境中，应该避免使用断言来处理可能发生的错误情况。
2.4 异常退出时清理已申请的资源
当函数失败或发生异常时，确保释放已分配的资源非常重要。这包括动态分配的内存、打开的文件句柄、锁定的互斥量等。使用goto语句跳转到函数末尾统一处理异常或封装资源管理的函数可以简化资源清理的过程。
void my_function(void)
{
int *ptr = malloc(sizeof(int));
if (ptr == NULL) {
// 处理内存分配失败的情况
return;
}
// ... 执行一些操作 ...
free(ptr); // 确保释放内存
}
或者，使用封装了资源管理的函数：
void safe_free(void **ptr) {
if (*ptr != NULL) {
free(*ptr);
*ptr = NULL;
}
}
void my_function(void) {
int *ptr = malloc(sizeof(int));
if (ptr == NULL) {
// 处理内存分配失败的情况
return;
}
// ... 执行一些操作 ...
safe_free((void **)&ptr); // 使用封装函数释放内存
}
2.5 记录日志到文件中
在程序运行时记录关键信息和错误有助于调试和监控程序的行为。可以使用标准库中的fprintf函数将日志消息写入文件或使用专门的日志库（如嵌入式Linux平台最常用的syslog）。
#define LOG_FILE "program.log"
void log_message(const char *message) {
FILE *file = fopen(LOG_FILE, "a");
if (file != NULL) {
fprintf(file, "%s\n", message);
fclose(file);
}
}
void my_function(void)
{
// ... 执行一些操作 ...
if (/* 发生错误 */) {
log_message("An error occurred: ...");
// 处理错误
}
}
2.6 编写清晰的文档和注释
编写清晰的文档和注释有助于其他程序员（包括未来的你）理解代码的预期行为和如何处理异常情况。确保为函数和变量提供描述性的名称，并使用注释来解释复杂或不寻常的代码段。它们能够帮助读者（包括未来的你自己）理解代码的功能、输入、输出以及可能的异常情况。
/**
* @brief 读取文件内容并返回字符串
*
* 这个函数打开指定的文件，读取内容，并返回一个指向内容的字符串指针。
* 如果文件打开失败或读取过程中发生错误，则返回NULL。
*
* @param filename 文件名
*
* @return 指向文件内容的字符串指针，或NULL（如果发生错误）
*/
char* read_file_content(const char* filename) {
FILE *file = fopen(filename, "r"); // 打开文件以读取
if (file == NULL) {
// 打开文件失败，返回NULL
return NULL;
}
fseek(file, 0, SEEK_END); // 定位到文件末尾
long length = ftell(file); // 获取文件长度
fseek(file, 0, SEEK_SET); // 定位回文件开头
char* content = malloc(length + 1); // 分配内存（包括一个终止符'\0'）
if (content == NULL) {
// 内存分配失败，关闭文件并返回NULL
fclose(file);
return NULL;
}
size_t bytesRead = fread(content, 1, length, file); // 读取文件内容
if (bytesRead != length) {
// 读取错误，释放内存，关闭文件并返回NULL
free(content);
fclose(file);
return NULL;
}
content[length] = '\0'; // 在字符串末尾添加终止符
fclose(file); // 关闭文件
return content; // 返回指向文件内容的指针
}
2.7 使用静态分析工具
静态分析工具可以检查代码中的潜在问题，如内存泄漏、未初始化的变量、空指针解引用等。使用像Clang Static Analyzer、Cppcheck或Splint这样的工具可以帮助发现并修复代码中的错误。
根据以往经验，一个大型项目，经过静态分析工具扫描后，可以提前发现30%的bug。
3. 总结
虽然嵌入式C语言没有内置的异常处理机制，但通过精心设计返回值、使用错误码和错误消息、断言、资源清理、日志记录编写文档和注释以及静态代码扫描等措施，仍然可以编写出健壮、稳定的C语言程序。这些技巧不仅有助于在开发阶段捕获和修复错误，还能提高程序的可靠性和可维护性。