📚 课程目录第4章时钟安全系统(CSS)

4. 时钟安全系统（CSS）：HSE失效时的最后一道防线

时钟安全系统，英文叫 Clock Security System，简称 CSS。说白了，就是 STM32 内置的一个“看门狗”，但它不看程序跑飞，它专门盯着外部高速时钟 HSE。

我最早接触 CSS 是在一个工业控制项目上。现场环境恶劣，晶振偶尔会被强干扰“打停”。设备死机倒还好，关键是有些执行机构停在半空中，那才叫危险。从那以后，只要用到 HSE，我必定开启 CSS。

4.1 CSS 的工作原理

CSS 的核心逻辑很简单：检测 HSE 失效 → 自动切换系统时钟 → 触发中断。整个过程由硬件完成，不需要软件干预。

具体流程是这样的：

使能 CSS：通过 RCC_CSR 寄存器的 CSSON 位开启。
硬件监控：CSS 模块持续检测 HSE 的输出脉冲。如果 HSE 正常，它什么都不做。
检测到失效：如果 HSE 连续丢失若干个时钟脉冲，CSS 判定 HSE 失效。
自动切换：硬件立即将系统时钟源切换到 HSI（内部高速振荡器，8MHz）。
产生中断：同时，CSS 会触发一个不可屏蔽的中断（NMI），通知 CPU 处理异常。

关键点：CSS 只监控 HSE。HSI、LSE、LSI 都不在它的管辖范围内。另外，CSS 中断是 NMI，优先级最高，你无法通过 NVIC 屏蔽它。

为什么会设计成 NMI？我个人的理解是：时钟是芯片的“心跳”。心跳停了，任何中断处理都失去了意义。NMI 能保证 CPU 在第一时间响应，哪怕主程序已经乱成一锅粥。

4.2 CSS 的配置方法

配置 CSS 其实就两步：使能 CSS，然后编写 NMI 中断服务函数。但这里有几个坑，我一个个说。

4.2.1 使能 CSS

使能 CSS 的代码极其简单，但时机很重要。我建议在系统时钟初始化完成之后、进入主循环之前开启。

/* 使能时钟安全系统 */
RCC_ClockSecuritySystemCmd(ENABLE);

或者用寄存器操作：

RCC->CSR |= RCC_CSR_CSSON;

注意：CSS 一旦使能，就不能通过软件关闭，除非复位。所以配置前要想清楚，你的系统是否真的需要这个保护。

4.2.2 编写 NMI 中断服务函数

NMI 的中断向量在 startup 文件中默认是一个死循环（HardFault_Handler 的别名）。你需要重写它。

void NMI_Handler(void)
{
    /* 1. 检查是否是 CSS 引起的中断 */
    if (RCC_GetFlagStatus(RCC_FLAG_CSS) != RESET)
    {
        /* 2. 清除 CSS 标志位 */
        RCC_ClearFlag();

        /* 3. 用户自定义处理：保存关键数据、切换备用时钟、报警等 */
        /* 例如：切换到 HSI 后，重新配置 PLL */
        /* 例如：点亮故障指示灯 */
        /* 例如：记录错误日志到 Flash */

        /* 4. 注意：此时系统时钟已经是 HSI，所有外设时钟频率都变了 */
        /* 需要重新配置所有依赖系统时钟的外设 */
    }
}

我在项目中遇到过一个问题：NMI 里只清了标志位，没重新配置外设。结果串口波特率乱掉，打印出来的全是乱码。嗯，这个坑我替你们踩过了。

4.3 HSE 失效时的自动切换机制

自动切换是 CSS 最核心的价值。它保证了系统在 HSE 失效后不会立刻死机，而是降级运行。

切换过程完全由硬件完成，时序非常快。我实测过，从 HSE 失效到系统时钟切换到 HSI，大约只需要几个微秒。这个时间远小于看门狗复位的时间，所以系统可以做到“无感切换”。

切换后的系统状态：

项目	切换前	切换后
系统时钟源	HSE（或 PLL 倍频后）	HSI（8MHz）
系统时钟频率	例如 72MHz	8MHz
AHB/APB 分频	保持不变	保持不变
外设工作状态	正常	频率降低，可能异常
PLL	使能	自动关闭

你想想看，一个原本跑在 72MHz 的系统，突然降到 8MHz。外设的时序全部变了。串口波特率、定时器溢出时间、ADC 采样率……这些都需要在 NMI 里重新计算并配置。

我的建议：在设计阶段就预留好“降级模式”。比如串口在 8MHz 下也能正常通信，只是速率降低。这样 CSS 触发后，系统还能维持基本功能，而不是直接瘫痪。

4.4 CSS 的典型应用场景

不是所有项目都需要 CSS。我个人总结了几种必须开启的场景：

工业现场：电磁干扰强，晶振容易停振。
汽车电子：温度变化剧烈，晶振频率可能漂移甚至失效。
安全关键系统：比如医疗设备、消防控制器，不允许突然死机。
远程设备：无人值守，无法手动复位。

反过来，如果你的系统对成本敏感，或者对实时性要求不高，复位重启也能接受，那 CSS 就不是必须的。

4.5 避坑指南与调试技巧

CSS 虽然好用，但调试起来有点麻烦。因为一旦触发，系统时钟就变了，调试器可能连不上。我分享几个经验：

仿真时不要开 CSS：调试阶段先关闭 CSS，用软件模拟 HSE 失效来测试 NMI 代码。等代码稳定了再开启。
用 GPIO 输出状态：在 NMI 里翻转一个 GPIO 引脚，用示波器观察。这是最直观的调试方法。
记录故障原因：在 NMI 里把 CSS 标志位保存到备份寄存器（RTC 的 BKP 域），复位后可以读取，判断上次复位是否由 HSE 失效引起。

曾经有个项目，同事在 NMI 里调用了 printf，结果 printf 依赖串口，串口依赖系统时钟。系统时钟已经切到 HSI 了，串口配置没更新，printf 直接卡死。记住：NMI 里不要调用任何依赖时钟的外设函数，除非你确认它们已经重新配置过。

4.6 CSS 与低功耗模式的配合

CSS 在低功耗模式下需要特别注意。当 MCU 进入 Stop 或 Standby 模式时，HSE 和 HSI 都会关闭。此时 CSS 也会停止工作。

唤醒后，系统默认使用 HSI。如果你需要重新切换到 HSE，记得先重新使能 CSS。否则 HSE 再次失效时，系统不会自动切换。

我习惯在唤醒后的时钟初始化函数里，统一做两件事：重新配置 PLL，重新使能 CSS。这样无论从哪种模式唤醒，都能保证时钟安全。

void SystemClock_Config(void)
{
    /* 配置 HSE、PLL、系统时钟 */
    /* ... */

    /* 重新使能 CSS */
    RCC_ClockSecuritySystemCmd(ENABLE);
}

嗯，到这里 CSS 的核心内容就差不多了。你可能会问：CSS 触发后，系统还能恢复吗？答案是：硬件不会自动切回 HSE，需要你在 NMI 里手动尝试重新启动 HSE 并切换。如果 HSE 仍然不稳定，那就继续用 HSI 降级运行。