MCU异常现场：从故障地址到越界隔离

程序停在异常入口，调试器显示的那行代码未必就是破坏发生的位置。对于具备相应故障寄存器和内存保护单元的 MCU，排查应先判断现场证据是否可信，再把难以追溯的越界写入变成尽早触发的访问故障。

在常见的相关内核上，精确数据总线故障意味着异常与触发访问具有明确对应关系，保存的程序计数器通常能帮助定位相关指令。但写缓冲会改变另一类错误的报告时刻：处理器已经继续执行，先前写请求才从总线返回失败，形成非精确故障。此时栈中的执行位置只能说明错误被报告时运行到了哪里，不能直接断言该位置执行的语句写坏了内存。两种情况必须根据具体内核的状态位解释。

捕获程序应先保存故障状态、异常返回信息与相关栈指针，再按状态位判断故障地址寄存器是否有效。没有有效标志的地址不应被当成错误目标；若异常发生在入栈阶段，连自动保存的栈帧本身都可能不完整。具备浮点扩展的系统还应按异常返回信息区分基本与扩展帧，不能对所有现场套同一偏移。内核型号不同，可用寄存器与细节也不同，低端内核不能照搬高端器件的解码表。

现场保存路径要尽量减少新的依赖。故障处理时调用复杂格式化输出，可能继续使用已经损坏的栈或争用外设锁，进而覆盖最初证据。更稳妥的做法是将最小记录写入预留区域，重启后结合与现场固件一致的符号文件离线解析。对于非精确故障，可通过缩小可疑写入范围、增加受控检查点和复现输入逐步逼近。为了调试而改变缓冲行为可能影响时序，因此结论还应回到原运行配置验证。

若根因是任务栈或数组越界，等待最终总线错误往往太晚。越界地址可能仍属于合法静态存储器，写入在电气与总线层面均成功，只是破坏了其他对象。内存保护单元能够把部分原本可访问的地址设为禁止访问，使处理器在权限检查阶段报告异常。对向低地址增长的栈，可以在下方布置禁访区域，让连续增长型越界在接触关键数据之前被拦住，而不是仅在切换任务时才检查哨兵。

保护效果受区域粒度、对齐要求与访问模式约束。某些内核要求区域大小按特定规则设置，细小对象不一定能获得独立边界；一次跨过保护带的大步地址错误，也可能跳到另一个合法区域。特权任务若拥有过宽的访问权限，保护规则可能无法限制预期对象。应按实际内核配置区域优先关系与特权行为，让普通任务只拥有必需权限，并通过主动触碰边界验证硬件确实触发了预期异常。

还要明确保护单元覆盖哪些访问主体。处理器侧权限检查通常不能自动约束独立搬运控制器，后者的错误目标需要靠其自身边界检查或系统级防火墙处理。MCU 软件也不能把“启用保护”解释为所有野指针都能捕获。将任务栈、只读常量与关键状态分区，能缩小破坏范围，但现场中仍须记录实际命中的区域与访问类型。只有权限配置与任务模型对应，提前触发才会形成可操作的定位线索。

异常诊断首先是证据解释，其次才是源码定位。认清精确性与地址有效性，再用合适的权限边界把破坏前移，能够减少错误现场与最初违规访问之间的距离。