STM32F4 嵌入式系统韧性设计：LSI 停振后基于 RTC 备份域的秒级自恢复机制

1. 问题背景与失效机理

在工业控制、车载电子等嵌入式应用中，STM32F4 常使用 LSI（内部低速时钟，约 32kHz）作为 RTC 的时钟源，以降低功耗和成本。然而，LSI 由内部 RC 振荡器产生，其频率稳定性受温度、电压波动影响较大。当电源纹波过大、电磁干扰强烈或芯片老化时，LSI 可能完全停振。

LSI 停振的直接后果：

  • RTC 计数停止，时间戳冻结；
  • 依赖 RTC 唤醒的停机模式（Stop/Standby）无法自动恢复；
  • 若程序在低功耗循环中等待 RTC 中断，系统将永久挂起。

传统解决方案是定期检测 RTC 秒中断，若超时则强制复位。但这种方法需要 CPU 保持唤醒，违背低功耗设计初衷。本文提出一种硬件级自恢复方案：利用 RTC 备份域寄存器保存关键状态，并借助 RTC 的闹钟或唤醒定时器，在 LSI 失效后通过外部低速时钟（LSE）或内部高速时钟（HSI）重新初始化 RTC，实现秒级恢复。

2. 硬件架构与恢复原理

2.1 备份域的作用

STM32F4 的 RTC 和备份寄存器（BKP）位于备份域，由 VBAT 引脚供电。当主电源 VDD 断电时，备份域仍可工作。利用这一特性，我们可以在备份寄存器中存储一个“心跳标志”和上次正常计数值。

2.2 恢复流程设计

  1. 正常运行时：每次 RTC 秒中断更新备份寄存器中的计数值，并置位“心跳有效”标志。
  2. LSI 停振时：RTC 停止，秒中断不再触发。此时若系统处于停机模式，则无法自动唤醒。
  3. 检测机制：使用独立看门狗（IWDG）或外部事件（如 EXTI 引脚）检测系统无响应。但更优雅的做法是：在进入停机前，配置 RTC 闹钟 A 为 1 秒后触发，若 LSI 正常则闹钟正常触发唤醒；若 LSI 停振，闹钟不触发，系统将一直停止。
  4. 自恢复触发：利用窗口看门狗（WWDG）或一个定时器（如 TIM5）作为后备，但最可靠的是使用 LSE 作为 RTC 备用时钟源。当检测到 LSI 失效时，切换 RTC 时钟到 LSE，并重新初始化。

核心思想：不依赖 CPU 持续监控，而是通过硬件资源（如备份域写保护、RTC 时钟源切换）实现自动恢复。

3. 具体实现步骤

3.1 硬件准备

  • 开发板：STM32F407 Discovery（或任意 F4 系列）
  • 外部 32.768kHz 晶振（LSE）连接 PC14/PC15
  • 调试工具：ST-Link，串口打印

3.2 软件配置（HAL 库）

步骤1：使能 PWR 和备份域时钟，并取消写保护

void BKP_Config(void) {
    __HAL_RCC_PWR_CLK_ENABLE();
    __HAL_RCC_BKP_CLK_ENABLE();
    HAL_PWR_EnableBkUpAccess();  // 取消备份域写保护
}

步骤2：初始化 RTC，优先使用 LSE，若 LSE 失败则回退到 LSI

void RTC_Init(void) {
    RTC_HandleTypeDef hrtc;
    hrtc.Instance = RTC;
    hrtc.Init.HourFormat = RTC_HOURFORMAT_24;
    hrtc.Init.AsynchPrediv = 127;  // 异步分频
    hrtc.Init.SynchPrediv = 255;   // 同步分频，得到 1Hz
    hrtc.Init.OutPut = RTC_OUTPUT_DISABLE;
    hrtc.Init.OutPutPolarity = RTC_OUTPUT_POLARITY_HIGH;
    hrtc.Init.OutPutType = RTC_OUTPUT_TYPE_OPENDRAIN;

    // 尝试启用 LSE
    __HAL_RCC_LSE_CONFIG(RCC_LSE_ON);
    while (__HAL_RCC_GET_FLAG(RCC_FLAG_LSERDY) == RESET) {
        // 等待 LSE 就绪，超时则回退到 LSI
        if (HAL_GetTick() > 100) break;
    }
    if (__HAL_RCC_GET_FLAG(RCC_FLAG_LSERDY) == SET) {
        __HAL_RCC_RTC_CONFIG(RCC_RTCCLKSOURCE_LSE);
    } else {
        __HAL_RCC_LSE_CONFIG(RCC_LSE_OFF);
        __HAL_RCC_LSI_ENABLE();
        while (__HAL_RCC_GET_FLAG(RCC_FLAG_LSIRDY) == RESET);
        __HAL_RCC_RTC_CONFIG(RCC_RTCCLKSOURCE_LSI);
    }
    __HAL_RCC_RTC_ENABLE();

    if (HAL_RTC_Init(&hrtc) != HAL_OK) {
        Error_Handler();
    }
}

步骤3：在备份寄存器中存储心跳标志和计数值

#define BKP_HEARTBEAT_REG 1
#define BKP_COUNTER_REG   2
#define HEARTBEAT_MAGIC   0xA5A5

void BKP_WriteHeartbeat(uint32_t counter) {
    HAL_RTCEx_BKUPWrite(&hrtc, BKP_HEARTBEAT_REG, HEARTBEAT_MAGIC);
    HAL_RTCEx_BKUPWrite(&hrtc, BKP_COUNTER_REG, counter);
}

uint32_t BKP_ReadCounter(void) {
    return HAL_RTCEx_BKUPRead(&hrtc, BKP_COUNTER_REG);
}

uint8_t BKP_IsHeartbeatValid(void) {
    return (HAL_RTCEx_BKUPRead(&hrtc, BKP_HEARTBEAT_REG) == HEARTBEAT_MAGIC);
}

步骤4：配置 RTC 秒中断，并在中断回调中更新备份寄存器

void HAL_RTCEx_RTCEventCallback(RTC_HandleTypeDef *hrtc) {
    // 读取当前时间（简化：使用计数器）
    uint32_t counter = HAL_RTC_GetTime(hrtc, &sTime, RTC_FORMAT_BIN);
    BKP_WriteHeartbeat(counter);
}

步骤5：实现 LSI 失效检测与自恢复

在系统主循环中，检查 RTC 是否仍在运行。若发现 RTC 计数器长时间未更新（例如超过 2 秒），则判定 LSI 停振，执行恢复流程：

void CheckAndRecoverRTC(void) {
    static uint32_t last_counter = 0;
    static uint32_t last_tick = 0;
    uint32_t now_counter = HAL_RTC_GetTime(&hrtc, &sTime, RTC_FORMAT_BIN);
    uint32_t now_tick = HAL_GetTick();

    if (now_counter == last_counter) {
        if (now_tick - last_tick > 2000) {  // 2秒无更新
            // LSI 可能停振，尝试恢复
            RTC_DeInit();
            RTC_Init();  // 重新初始化，优先 LSE
            // 从备份域恢复计数
            if (BKP_IsHeartbeatValid()) {
                uint32_t saved = BKP_ReadCounter();
                // 设置 RTC 时间为 saved+1（秒级恢复）
                SetRTCTime(saved + 1);
            }
            last_counter = HAL_RTC_GetTime(&hrtc, &sTime, RTC_FORMAT_BIN);
            last_tick = HAL_GetTick();
        }
    } else {
        last_counter = now_counter;
        last_tick = now_tick;
    }
}

步骤6：完整主程序示例

int main(void) {
    HAL_Init();
    SystemClock_Config();  // 配置系统时钟，HSI 或 HSE
    BKP_Config();
    RTC_Init();

    // 使能 RTC 秒中断
    HAL_RTCEx_SetSecond_IT(&hrtc);
    HAL_NVIC_EnableIRQ(RTC_IRQn);

    while (1) {
        CheckAndRecoverRTC();
        // 其他任务...
        HAL_Delay(100);
    }
}

4. 注意事项与优化建议

  • 备份域写保护：在每次写入备份寄存器前，必须确保已调用 HAL_PWR_EnableBkUpAccess()，否则写操作无效。
  • LSE 起振时间：LSE 晶振起振可能需要 1~2 秒，在初始化时需设置超时，避免死等。
  • RTC 时钟源切换：切换时钟源前，必须将 RTC 从使能状态变为禁用（__HAL_RCC_RTC_DISABLE()），否则可能引发总线错误。
  • 低功耗模式：若系统进入 Stop 模式，RTC 秒中断可唤醒，但 LSI 停振时无法唤醒。此时可考虑使用 RTC 闹钟 A 配合外部中断（如按键）作为备用唤醒源。
  • 看门狗结合：建议配合独立看门狗（IWDG）使用，若系统完全卡死，IWDG 可强制复位，复位后从备份域恢复时间。
  • 时间补偿：LSI 频率精度低（±5%），若对时间精度要求高，应使用 LSE 或外部高精度时钟。

5. 总结

本文通过利用 STM32F4 的备份域和 RTC 时钟源切换机制，实现了一种秒级自恢复方案。当 LSI 停振时，系统能在 2 秒内检测到异常，并自动切换到 LSE 重新初始化 RTC，同时从备份寄存器恢复时间计数，确保嵌入式系统在恶劣环境下仍能可靠运行。该方案无需外部硬件，仅依赖芯片内部资源，适用于电池供电的 IoT 节点、工业传感器等场景。