软硬件看门狗需分层协同、职责隔离：硬件狗（如STM32 IWDG）用独立LSI时钟兜底底层崩溃，软件狗通过多级心跳表监控业务异常；二者超时阈值、触发条件与复位处理路径必须错开，且硬件狗初始化后严禁关闭，复位原因须在汇编层捕获并固化。
软硬件看门狗不是简单地“都开一个”，而是必须分层协同、职责隔离、互不干扰。单独启用软件看门狗（比如基于RTOS定时器的任务心跳检测）在主CPU死锁或中断被全局禁用时完全失效；单独依赖硬件看门狗（如STM32的IWDG）又无法感知业务逻辑卡死（例如某任务在等待一个永远不会到来的信号量）。真正的双重备份，是让硬件看门狗兜住底层崩溃，软件看门狗盯住业务异常，二者触发条件、超时阈值、复位后处理路径全部错开。
硬件看门狗必须用独立时钟源，且初始化后禁止关闭
这是工业级部署的硬性底线。以STM32为例，IWDG必须使用LSI（低速内部RC振荡器），不能切到HSE/HSI——否则主晶振故障时看门狗同步停摆。初始化代码中严禁调用IWDG_WriteAccessCmd(IWDG_WriteAccess_Enable)之后再关写保护，更不能在任何异常处理函数里尝试HAL_IWDG_Stop()。一旦启动，它就必须全程运行，直到系统断电。
常见错误现象：
- 调试阶段为方便暂停程序，手动在
while(1)前加了__BKPT()，结果烧录到现场后，因JTAG未连接导致断点触发死机，但看门狗已被停用，设备永久僵死 - 误将
WWDG（窗口看门狗）当IWDG用，WWDG依赖APB时钟，主频降频或总线卡顿时喂狗失败，引发误复位
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 在
SystemInit()之后、任何外设初始化之前就完成IWDG配置与启动，确保即使后续Flash擦写出错、GPIO初始化失败，看门狗仍在计时 - 超时时间按最差工况设定：比如主循环最长执行周期为800ms，那
Reload值应至少覆盖2.5秒（留足余量），避免电压跌落导致MCU主频瞬时下降而误触发
软件看门狗不能依赖单一任务，得用多级心跳表+状态快照
RTOS下的“软件看门狗”如果只是起一个高优先级任务，每秒检查一次其他任务是否还在uxTaskGetTickCount()更新，那它本身就成了单点故障源——这个任务若被更高优先级中断持续抢占，也会假死。
正确做法是构建轻量级心跳表（heartbeat table），每个关键任务在自己的上下文里更新专属标志位，由一个专用喂狗任务轮询检查。示例结构：
typedef struct {
uint32_t last_update; // 上次更新tick
uint32_t timeout_ms; // 允许最大间隔
bool is_alive; // 实时有效性标记
} hb_entry_t;
hb_entry_t g_hb_table[TASK_MAX] = {0};
每个任务在主循环末尾调用hb_update(TASK_ID_SENSOR)，喂狗任务则每200ms扫描全表，对超时项标记is_alive = false，并触发分级响应（如重启通信子系统而非整机复位）。
容易踩的坑：
- 心跳更新未用
__atomic_store_n()或临界区保护，多核/多任务下出现写撕裂，导致last_update读到半截值 - 把所有任务timeout设成同一值，失去分级意义；实际应按任务重要性区分：传感器采集任务超时设为1.2s，OTA升级校验任务可设为15s
软硬协同的关键：复位原因识别与差异化恢复路径
硬件看门狗复位和软件看门狗主动调用NVIC_SystemReset()产生的复位，在MCU寄存器里是不同来源（如STM32的RCC_CSR中IWDGRSTF与SFTRSTF位）。必须在bootloader或Reset_Handler第一时间读取并保存，否则上电后被清零。
为什么这点致命？
- 连续两次
IWDG复位，大概率是硬件或底层驱动问题，应进入安全模式（禁用非必要外设、降低主频、只上报基础状态） - 连续多次
soft_wdt触发，则说明业务逻辑存在稳定缺陷，需冻结该功能模块并上报详细心跳失败日志 - 若
IWDG复位后紧接着soft_wdt也失败，基本可判定为Flash数据损坏或RAM位翻转，应强制擦除配置扇区并恢复出厂默认
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 在SRAM中划出一块保留区域（如
__attribute__((section(".backup_ram")))），复位前写入原因码，复位后首条指令就读取 - 不要在
main()开头才解析复位源——此时HAL_Init()可能已覆盖部分寄存器，必须在C库初始化前完成
真正难的从来不是“怎么启动两个看门狗”，而是如何让它们在系统濒临崩溃的边缘依然保持各自的判断力，并在复位后不互相掩盖真相。硬件看门狗的计数器必须跑在LSI上，软件看门狗的心跳必须分散在各任务栈内，复位原因必须在汇编层就捕获并固化——这三件事做不到位，所谓的“双重备份”只是自欺欺人的并联冗余。
