📚 课程目录第3章时钟安全机制( CSS)

3. 时钟安全机制(CSS)：主时钟失效时的自动切换与中断处理

时钟安全机制，英文叫 Clock Security System，简称 CSS。说白了，就是给主时钟配了个“心跳监测器”。

我刚开始用 STM32 做产品时，觉得这功能可有可无。直到有一次，一个现场设备在高温环境下跑了几个月，突然死机了。排查了三天，最后发现是外部晶振停振了。从那以后，我对 CSS 的态度就变了——它不是锦上添花，而是保命用的。

3.1 CSS 到底在保护什么？

STM32 的主时钟源，通常是外部晶振（HSE）。晶振这东西，看着简单，其实挺娇气。焊接不良、振动过大、温度剧变、老化，都可能导致它停振。

一旦 HSE 挂了，而你的系统又依赖它跑主频——

CPU 直接“断粮”，程序跑飞
外设时钟丢失，通信中断
看门狗可能也救不回来，因为系统已经彻底乱了

CSS 的作用就是：检测到 HSE 失效后，自动把系统时钟切到 HSI（内部高速振荡器），同时触发一个中断，让你有机会做善后处理。

核心要点：CSS 只监控 HSE，不监控 HSI 或 PLL。它也不是万能保险——切换需要时间，大约几个微秒到十几个微秒。

3.2 CSS 的工作流程

我习惯把 CSS 的工作分成三个阶段：监测、切换、通知。下面这张图能帮你快速建立整体认知。

流程其实不复杂。但有几个细节，我当年踩过坑，得跟你聊聊。

3.3 配置 CSS 的步骤

配置 CSS 分三步走。我建议你按这个顺序来，不容易漏。

使能 CSS —— 在 RCC 时钟控制寄存器里，把 CSSON 位置 1。
配置中断 —— CSS 中断是 NMI（不可屏蔽中断），你需要在 NVIC 里使能它。
写中断服务函数 —— 在 NMI_Handler 里做善后处理。

代码怎么写？我直接给你一个能用的例子。

/* 使能时钟安全系统 */
RCC->CR |= RCC_CR_CSSON;

/* 配置 NVIC 使能 NMI 中断 */
/* 注意：NMI 的中断号是固定的，不需要手动设置优先级 */
NVIC_EnableIRQ(NMI_Handler_IRQn);

/* NMI 中断服务函数 */
void NMI_Handler(void)
{
    /* 检查是否是 CSS 引起的中断 */
    if (RCC->CIR & RCC_CIR_CSSF)
    {
        /* 清除 CSS 标志位 */
        RCC->CIR |= RCC_CIR_CSSC;

        /* 善后处理：
         * 1. 记录故障日志
         * 2. 关闭关键外设
         * 3. 切换到安全模式
         * 4. 尝试重新启动 HSE
         */
        save_error_log(ERROR_CLOCK_FAILURE);
        enter_safe_mode();

        /* 可选：尝试重新使能 HSE */
        RCC->CR |= RCC_CR_HSEON;
        /* 等待 HSE 稳定 */
        while (!(RCC->CR & RCC_CR_HSERDY))
        {
            /* 超时处理 */
        }
        /* 如果 HSE 恢复，可以重新配置 PLL 并切换回去 */
    }
}

我的习惯：在 NMI_Handler 里不要做复杂操作。记录日志、关外设、切安全模式就够了。重启 HSE 的操作可以放到主循环里做，中断里只做最紧急的事。

3.4 中断处理：NMI 的特殊性

CSS 触发的中断是 NMI，不是普通中断。NMI 有几个特点，你得心里有数。

特性	说明
优先级	固定最高，不可屏蔽，不可调整
触发源	CSS 是 NMI 的触发源之一，还有硬件错误等
响应速度	比普通中断快，但中断函数要精简
标志位	CSSF（时钟安全标志位），在 RCC->CIR 里

你想想看，NMI 的优先级最高，意味着它不能被其他中断打断。这既是好事也是坏事——好事是它一定能被执行，坏事是如果你在里面写了个死循环，整个系统就彻底卡死了。

我曾经犯过的错：在 NMI_Handler 里调用了 printf 打印日志。结果 printf 依赖 UART，UART 依赖时钟，时钟已经切到 HSI 了，UART 配置没更新，直接卡在发送函数里。系统彻底死机。

教训：NMI 里只做寄存器级别的操作，别调用任何依赖外设时钟的库函数。

3.5 切换后的系统状态

CSS 自动切换后，系统时钟源变成了 HSI。HSI 的精度和稳定性都不如 HSE，而且频率固定（STM32F1 是 8MHz，F4 是 16MHz）。这意味着：

CPU 性能下降，原来跑 72MHz 的，现在只能跑 8MHz
外设时钟频率变了，UART 波特率、定时器周期都会乱
PLL 被自动关闭，如果你依赖 PLL 输出，需要重新配置

所以，CSS 切换只是“保命”，不是“治病”。真正的善后，还得靠你的软件逻辑。

3.6 实战中的避坑指南

做项目这么多年，关于 CSS 我总结了几条经验，分享给你。

避坑 1：CSS 使能时机

我建议在 HSE 稳定后再使能 CSS。如果 HSE 还没稳定你就开了 CSS，它可能会误触发。代码里先等 HSERDY 置位，再写 CSSON。

避坑 2：中断标志位清除顺序

清除 CSSF 标志位时，要先读 CIR 寄存器，再写 CSSC 位。有些库函数直接写 CSSC 可能清不掉。我习惯这样写：

uint32_t tmp = RCC->CIR;
tmp &= ~RCC_CIR_CSSF;
RCC->CIR = tmp | RCC_CIR_CSSC;

避坑 3：调试时的注意事项

用调试器单步跑的时候，CSS 可能会因为调试暂停而误触发。我一般会在调试阶段把 CSS 注释掉，等程序稳定了再打开。

3.7 一个完整的 CSS 应用场景

给你讲个真实案例。我之前做的一个工业控制器，现场环境温度经常到 70°C 以上。晶振在这种环境下偶尔会停振。我们加了 CSS 后，处理逻辑是这样的：

CSS 检测到 HSE 失效，自动切到 HSI
NMI 中断里记录故障码到备份寄存器
主循环检测到故障码后，尝试重新启动 HSE
如果 HSE 恢复，重新配置 PLL，切回 HSE
如果连续 3 次重启失败，系统进入安全模式，只保留基本功能

这个方案用了两年，现场再没因为晶振问题死过机。

嗯，CSS 的内容差不多就这些。记住一句话：CSS 是最后一道防线，不是第一道防线。晶振的选型、PCB 布局、焊接质量，这些才是根本。CSS 只是帮你兜底。