📚 课程目录第4章软件保护基础

4. 软件保护基础

在嵌入式与工业控制设备中，断电往往不是“优雅关机”，而是电源电压在毫秒级跌落、MCU 复位或看门狗触发。硬件层面的掉电检测只能争取极短的时间窗口，真正决定数据是否损坏、系统能否恢复的，是软件对掉电中断的响应策略、关键数据的保存方式，以及文件系统是否具备原子写能力。本节从信号链视角出发，梳理从掉电检测到数据落盘的完整保护路径。

一、掉电中断处理：把“最后几毫秒”用在刀刃上

掉电中断通常由电源监控芯片（如 TPS3808、MAX809）或 MCU 内置的 BOR/PVD 模块产生。当供电电压低于阈值时，硬件先拉低一个 PWR_FAIL 或 BOR 引脚，MCU 进入高优先级中断。此时系统仍靠输入电容和板级储能维持数毫秒到数十毫秒，这段时间就是软件保护的“黄金窗口”。

掉电中断服务程序（ISR）必须遵循三条原则：极简、无阻塞、可重入安全。ISR 中不应调用 malloc、printf、文件系统写接口等可能阻塞或耗时不确定的函数，而应只做三件事：置位掉电标志、关闭非必要外设、触发关键数据保存流程。真正的落盘动作应放在主循环或低优先级任务中，由标志位驱动，避免在中断上下文里执行复杂逻辑。

void PWR_FAIL_IRQHandler(void)
{
    g_power_fail = 1;          // 仅置位，不执行耗时操作
    ADC_Stop();                // 关闭非关键外设
    PWM_Stop();
    EXTI_ClearITPendingBit(EXTI_Line0);
}

void main_loop(void)
{
    if (g_power_fail) {
        save_critical_data();  // 在主循环中完成保存
        fsync_config();
        while (1);             // 等待电源彻底跌落
    }
}

常见误区：在掉电 ISR 中直接调用 fwrite 或 fclose。文件系统内部可能涉及缓冲刷新、元数据更新和块擦写，耗时可达数十毫秒，往往在写一半时电源已耗尽，反而制造出半写文件。

二、关键数据保存：分级、分频与双备份

并非所有数据都值得在掉电瞬间抢救。工程上通常把数据分为三级：关键数据（校准参数、运行统计、故障记录）、重要数据（用户配置、阈值设定）、普通数据（日志、缓存）。掉电保护只针对前两级，普通数据可丢弃或依赖周期性落盘。

关键数据保存推荐采用“双备份 + 校验”结构：在非易失存储中划分 A/B 两个区域，每次写入时交替使用，并附带 CRC 校验和写入序号。上电恢复时读取序号较大且 CRC 正确的那一份，若两份都损坏则回退到出厂默认值。这种方式能有效抵抗“写一半掉电”导致的单区损坏。

写入时机：关键数据变化即写，重要数据定时写（如每 5 分钟），普通数据批量写。
写入粒度：尽量按扇区或页对齐，减少擦除次数。
磨损均衡：EEPROM/Flash 有擦写寿命，频繁写需配合磨损均衡或 FRAM 等器件。
校验策略：CRC16/CRC32 覆盖数据区，头部记录长度、版本和序号。

三、文件系统同步与原子写操作

当设备使用 FAT、LittleFS、SPIFFS 或 ext4 等文件系统时，掉电风险从“数据本身”扩展到“元数据一致性”。文件系统同步（fsync/sync）的作用是把页缓存、目录项和块位图真正刷入存储介质。没有同步，即使 write 返回成功，数据仍可能停留在内存缓存中。

原子写操作的核心思想是“先写临时文件，再重命名替换”。重命名在多数文件系统中是原子操作，要么指向旧文件，要么指向新文件，不会出现中间态。对于不支持重命名的裸 Flash，则采用“日志区 + 提交标记”的方式：先写数据到日志区，再写提交标志，最后更新主数据区。

// 原子写配置文件的典型流程
write_file("/cfg/config.tmp", buf, len);
fsync_file("/cfg/config.tmp");
rename("/cfg/config.tmp", "/cfg/config.dat");
fsync_dir("/cfg");   // 确保目录项落盘

下面这张信号链图展示了从电源跌落、掉电中断、关键数据保存到文件系统原子提交的完整路径，以及各环节的时间窗口与保护对象。

四、案例与复盘：一次“配置丢失”的排障

某工业网关在现场频繁断电后出现配置丢失。排查发现：配置写入使用 fopen("config.dat","w") 直接覆盖原文件，且未调用 fsync。掉电时文件长度已更新但数据块未写入，上电后文件系统读到长度为 0 或内容全为 0xFF 的文件，校验失败后回退默认配置。

整改方案分三步：第一，改为“写临时文件 + rename”原子替换；第二，每次写入后调用 fsync 并同步目录；第三，增加 A/B 双备份与 CRC 校验。整改后连续 200 次随机断电测试，配置恢复成功率 100%。

保护环节	关键动作	常见错误	验证方法
掉电检测	BOR/PVD 阈值配置，中断优先级最高	阈值过低，来不及响应	可调电源缓降测试
中断处理	只置标志、关外设，不阻塞	ISR 中调用文件写	示波器测 ISR 时长
关键数据保存	A/B 双备份 + CRC + 序号	单区覆盖写，无校验	随机断电 200 次
文件系统同步	fsync 文件与目录	只 write 不 fsync	断电后检查文件长度与内容
原子写	临时文件 + rename	直接覆盖原文件	注入写中断故障

工程建议：把“掉电保护”当作一条完整的信号链来设计，而不是零散地加几个 fsync。先确认硬件能提供多长的储能时间，再倒推软件各阶段的时间预算，最后用随机断电测试验证整条链路的鲁棒性。

总结来看，掉电中断处理解决“来得及响应”的问题，关键数据保存解决“存得对”的问题，文件系统同步与原子写解决“写得完整”的问题。三者缺一不可，共同构成软件层面断电保护的基础设施。