高可靠性实现：C语言为GD32工业级应用添加异常处理与看门狗防护机制

工业级应用的可靠性不是靠"代码写得好"来保证的，而是靠一套系统性的防护机制：异常捕获、自动复位、看门狗喂狗——三道铁闸缺一不可。

一、程序原理：为什么工业级必须加这三层防护

异常处理的本质是"兜底"。‌ C语言没有try-catch，但GD32的硬故障异常(HardFault、BusFault、UsageFault、MemManage)天然提供了最后一道防线。当程序跑飞、除零、越界访问触发硬件异常时，CPU自动跳转到对应Handler。如果Handler里只写一个while(1)，系统就死了;如果Handler记录故障、拉低告警、触发复位，系统就活了。

看门狗的本质是"监督"。‌ 工业现场电磁环境复杂，程序跑飞概率远高于实验室。独立看门狗(IWDG)由内部RC振荡器驱动，与主时钟完全隔离——即使主时钟被干扰锁死，IWDG依然在倒计时。窗口看门狗(WWDG)更进一步，要求喂狗必须在指定时间窗口内完成，喂早了也复位，杜绝"乱喂狗"掩盖真正故障。

两者的协同逻辑是：异常处理负责"软故障"的精准捕获与记录，看门狗负责"硬卡死"的强制拉回。‌ 缺任何一层，可靠性链条就会断裂。

二、程序框架：四模块协同的防护架构

一个工业级GD32工程的可靠性框架应包含四个模块：

模块一：故障捕获层(fault_handler.c)。‌ 重写所有Fault Handler，在其中记录故障类型、故障地址(通过SCB->CFSR、SCB->HFSR、SCB->MMFAR寄存器读取)、当前堆栈信息，然后触发系统复位或告警输出。

模块二：看门狗管理层(wdt_manager.c)。‌ 封装IWDG和WWDG的初始化、喂狗、超时阈值配置。提供wdt_feed()统一接口，主循环中每个关键任务节点调用一次。

模块三：状态监控层(system_monitor.c)。‌ 周期性检测关键变量合法性、任务执行时间是否超时、外设通信是否应答。一旦异常，主动触发复位而非等待看门狗超时。

模块四：主循环调度层(main.c)。‌ 采用时间片轮询+状态机架构，每个状态执行时间设上限，超时即视为故障，调用系统复位接口。

三、具体程序实现：从寄存器到应用的完整代码链

第一步：IWDG初始化与喂狗封装。‌

void wdt_init(uint16_t prescaler, uint16_t reload) {

iwdg_write_access_enable(IWDG_WRITEACCESS_ENABLE);

iwdg_prescaler_value_config(prescaler);

iwdg_reload_value_config(reload);

iwdg_enable();

wdt_feed(); // 首次喂狗

}

void wdt_feed(void) {

iwdg_counter_reload();

}

典型工业配置：预分频64、重载值2500，约1.6秒超时。主循环中每500ms喂一次，留足余量。

第二步：HardFault Handler重写。‌

void HardFault_Handler(void) {

uint32_t cfsr = SCB->CFSR;

uint32_t hfsr = SCB->HFSR;

uint32_t mmfar = SCB->MMFAR;

fault_log_record(cfsr, hfsr, mmfar); // 记录故障寄存器

gpio_bit_set(GPIOA, GPIO_PIN_8); // 拉高故障指示LED

NVIC_SystemReset(); // 强制复位重启

}

关键细节：复位前必须点亮故障LED，否则上电后无任何故障痕迹。更完善的方案是将故障信息写入GD32的备份寄存器(BKP_DATA)或外部EEPROM，复位后读取分析。

第三步：窗口看门狗叠加保护。‌

void wwdg_init(uint32_t counter, uint32_t window) {

wwdg_enable(counter, window);

wwdg_interrupt_enable();

}

void WWDG_IRQHandler(void) {

if(wwdg_flag_get()) {

fault_log_record(0xDEAD, 0, 0); // WWDG超时标记

wwdg_flag_clear();

NVIC_SystemReset();

}

}

WWDG的窗口值设为0x7F(计数器值大于此才喂狗)，防止喂狗过早。中断中记录故障后立即复位，确保不会进入不可控状态。

第四步：主循环中的超时监控。‌

while(1) {

task_state = run_task_state_machine(task_state);

if(task_timeout_flag) {

fault_log_record(0xBAD, 0, 0);

NVIC_SystemReset();

}

wdt_feed();

delay_ms(10);

}

四、工业应用要点

GD32的IWDG一旦启动无法停止，这是"最后手段"的硬件保障。工业项目中必须在bootloader阶段判断是否为看门狗复位，若是则跳过自检、快速启动，否则进入完整自检——用BKP寄存器区分复位源是关键。

三层防护叠加后，GD32在工业现场的MTBF可从裸奔状态的数百小时提升至数万小时级别。代码不贵，贵的是那些让代码"不崩"的设计。