应采用追加写入+双页轮换机制替代原地覆盖：每次更新在活跃页末尾追加带版本号、逻辑地址和CRC校验的新记录，读取时取同地址最大序号项；页满后迁移有效记录至空闲页并擦除旧页，状态标记与CRC校验为掉电安全底线。
直接用追加写入（Append-Only）代替原地覆盖
Flash物理上不支持“把 0 改回 1”，所以任何“修改”本质都是擦除整页 + 重写。硬要原地更新一个 uint32_t，等于每次都在透支同一块扇区的寿命。真实项目里，Flash_Erase() 调用次数就是寿命倒计时器。
正确做法是彻底放弃“地址固定”的思维：不把配置参数存死在某个物理地址，而是每次更新都往当前活跃页末尾追加一条带版本号的新记录。旧记录不动，新记录自然“浮出水面”。读取时只需遍历所有有效记录，取 virt_addr 相同但 seq_num 最大的那条——它就是最新值。
关键点：
- 每条记录头部必须包含
virt_addr（逻辑地址）、seq_num（单调递增序号）、crc32（校验数据完整性） - 页末尾预留 4 字节存放状态标记，如
PAGE_STATE_ACTIVE或PAGE_STATE_FULL - 追加写入前必须检查剩余空间是否 ≥ 记录头 + 数据长度；不够就触发页切换
双页轮换（Two-Page Swap）是最小可行磨损均衡架构
单页方案在写满后必须立即擦除才能继续，而擦除期间断电 = 全页数据丢失。双页结构天然规避这个风险：始终有一页是干净的（PAGE_STATE_ERASED），另一页是正在写的（PAGE_STATE_ACTIVE）。当活跃页写满，就把所有有效数据迁移到空闲页，再擦除旧页——整个过程可分步、可中断、可掉电恢复。
立即学习“C++免费学习笔记（深入）”；
迁移不是全量拷贝：只搬运 virt_addr 唯一且 seq_num 最大的记录，跳过所有被覆盖的旧版本。这既是垃圾回收，也是磨损分散。
实操要点：
- 两页物理地址不能相邻（避免擦除干扰），建议间隔至少一个扇区
- 页切换必须原子化：先写新页状态为
PAGE_STATE_ACTIVE，再更新全局页指针，最后才擦除旧页 - 掉电后恢复逻辑：启动时扫描两页，找状态合法、
seq_num总和最大的那页作为当前活跃页
状态标记和 CRC 校验不是可选项，是掉电安全底线
没有状态标记，系统无法区分哪页是“刚擦完还没来得及写”还是“写到一半断电了”；没有 CRC，可能把半截乱码当有效数据加载，导致设备行为异常甚至崩溃。
常见错误现象：Flash_Read() 返回全 0xFF 却没做校验 → 把擦除态误认为有效数据；页尾 4 字节被意外改写 → 状态误判为 PAGE_STATE_FULL 导致拒绝写入。
必须强制执行：
- 每次写入记录前，先计算
crc32并写入头部；读取时先验 CRC，失败则跳过该记录 - 页状态更新必须放在页末尾最后 4 字节，且写入后立即
__DSB()+__ISB()刷新流水线 - 状态值不用枚举名硬编码，统一用宏定义如
#define PAGE_STATE_ACTIVE 0xAAAA5555，避免编译器优化掉写操作
别低估擦除耗时对实时性的冲击
Flash_Erase() 在 STM32 或 AT32 上典型耗时 20–40ms，期间 CPU 若未关闭中断或未屏蔽看门狗，极易触发复位。更危险的是：擦除中途断电，页状态标记可能写了一半，变成非法值。
工程上必须拆解擦除动作：
- 把擦除拆成“标记待擦除” + “后台低优先级任务执行擦除”两阶段，主循环完全不阻塞
- 擦除前先将页状态设为
PAGE_STATE_ERASING，擦除成功后再改为PAGE_STATE_ERASED；重启后若发现PAGE_STATE_ERASING，说明上次失败，需重新擦除 - 禁止在中断服务程序中调用任何 Flash 操作函数；所有写入必须在任务上下文完成
最易被忽略的一点：不同 MCU 的 Flash 控制器对“写入顺序”有隐式要求。比如某些 AT32 型号要求先写数据、再写状态标记；而 STM32F103 则相反。不查对应芯片手册的 FLASH_ProgramWord() 时序说明，代码可能在某批次芯片上间歇性失效。
