利用合同设计来改进嵌入式应用

嵌入式软件开发团队面临的最大挑战之一是他们花费太多时间调试软件。当我在参加的各种会议上与世界各地的团队和工程师交谈时，很明显，开发人员平均花费 40% 或更多的时间来调试他们的软件。

坦率地说，花费这么多时间进行调试是不可接受的，而且在许多情况下是不必要的。开发人员可以使用许多技术来更好地管理错误，但一种有趣的技术可以用来防止错误并及时发现错误，那就是一种称为“按合同设计”(DbC) 的设计方法。

在今天的文章中，我们将研究 DbC 以及如何使用它来改进我们的嵌入式软件。

合同设计简介

按合同设计编程背后的理念是，C 程序员的每个接口或函数都应该明确定义、精确且可验证。这意味着每个函数都应该与之关联：

· 前提条件——在调用函数之前保证满足的条件。前置条件在组件契约中指定，使函数不必在内部检查条件。

· 后置条件——只要满足所有先决条件，组件完成执行时保证满足的条件。

· 副作用– 被调用函数执行时对系统产生的影响。副作用是函数执行的有用工作。

· 不变量——在应用程序中指定的条件，必须满足该条件才能使用该组件。例如，restrict 与指针一起使用，该指针告诉编译器输入不会在程序中的其他任何地方使用。

通过正式定义这四项，该函数得到了完整的指定，并为任何使用该函数的开发人员提供了理解：

· 调用函数之前需要发生什么才能使其正常运行

· 调用该函数后预期的系统状态是什么

· 进入和退出时将保留的属性

· 将对系统进行的更改

按合同设计创建了使用函数的开发人员必须遵守的义务，才能从调用该函数中受益。如果他们不遵守这些义务，就会将错误注入到他们的应用程序中!

在 C 应用程序中利用合同设计

乍一看，合同设计是另一个超重的流程，会增加已经超负荷的开发周期。使用合同设计非常简单，可以改进代码库文档并减少软件中的缺陷，这还有提高软件质量的额外好处。按合同设计不必非常正式，而是可以完全在代码文档中处理。例如，请查看下面图 1 中的 Doxygen 函数头。

图 1 – Doxygen 中的按合同设计注释块示例

正如您从示例中看到的，注释块有一些与之关联的附加行，用于调用函数的前置条件和后置条件。在本例中，对于 Dio_Init，我们指定：

· 需要填充指定引脚功能和状态的配置表

· MCU上引脚数量的定义必须大于0

· 引脚端口数量的定义必须大于0

· 必须启用 GPIO 时钟

如果这些条件都满足，当开发人员调用 Dio_Init 函数并提供指定参数时，我们可以预期该函数的输出将配置与预定义配置表匹配的 GPIO 引脚。

使用断言验证合约

我们可以使用文档和注释来指定我们的前置条件和后置条件，但这并不意味着开发人员会遵循它们。在复杂的应用程序中，开发人员可能会忽略一个条件。如果发生这种情况，他们就违反了合同，而且无从知晓!相反，他们最终会遇到一个可能难以发现和解决的错误。需要有某种方法来验证合约;对于使用 C 语言的开发人员来说，该方法就是使用断言。

我发现断言的最佳定义是断言是：

“程序中特定点的布尔表达式，除非程序中存在错误，否则该表达式将为真。” (来源：未知，我找不到参考资料，但定义已深深印在我的脑海中!)

我认为我们应该用该定义中的缺陷替换错误，但就我们现在的目的而言，我们不要让这分散我们的注意力。

关于上述定义，我们需要注意以下三点：

· 断言将表达式计算为 true 或 false

· 断言是对代码中特定点的系统状态的假设

· 该断言验证了系统假设，如果不正确，则会揭示代码中的错误

从定义中可以看出，断言对于验证函数、模块或接口的契约特别有用。它们不用于错误处理，而是用于检测代码中的缺陷。

关于断言有很多知识，但是在考虑断言和按合同设计时，使用断言来评估合同非常简单。例如，考虑我们在图 2 中看到的 Dio_Init 函数。如果我们要包含代码来验证我们之前在注释中编写的合约，我们可能会拥有一个类似于下面图 2 的函数。

图 2 – 使用 Dio_Init 断言的 DbC 实现示例

正如您所看到的，我们对每个前提条件都有一个断言。我们还可以使用断言来执行对后置条件和不变量的检查，但此时您已经明白了。

断言为您提供了一种干净、简单的机制来强制执行合同设计。虽然一些时钟周期将用于评估表达式，但一旦开发完成，在系统验证之前，您可以禁用断言以获得一点额外的性能。一般来说，我通常会启用它们，但遵循NASA的规则很重要：

“让你测试的东西飞翔”

因此，如果您在启用断言的情况下进行测试，则在发布时启用它们。如果您禁用它们并发货，您的系统计时可能会发生变化，从而导致可能的竞争条件或其他有趣的缺陷。对于当今的现代处理器，如 Cortex-M4、Cortex-M23、Cortex-M33 等，计算表达式的开销通常非常低。

结论

按合同设计是一种简单的技术，开发人员可以使用它来完整地指定其功能、组件和接口。完全指定的接口可以减少实现混乱，并且可以进行验证以确保满足所有先决条件。可以使用断言捕获不满足任何条件的情况，断言告诉开发人员其应用程序中存在缺陷以及该缺陷在哪里!这可以大大减少调试嵌入式系统所花费的时间，从而节省时间、开发成本并减轻开发人员的压力。