HSE失效后不能靠轮询HSERDY切换，因轮询是软件事后发现，CPU可能已跑飞；CSS是硬件级机制，HSE停振即微秒级切回HSI并触发中断，需手动使能CSS、配置NVIC及编写中断处理函数。
为什么HSE失效后不能靠轮询HSERDY标志来切换
轮询 RCC_CR 寄存器里的 HSERDY 位，本质是软件“事后发现”——等你读到它被清零，内核可能已经因时钟丢失而跑飞或触发 HardFault。STM32 的 CSS（Clock Security System）是硬件级机制：一旦 HSE 停振，CSS 立即拉低 CSSON 对应的中断线，同时强制将 SYSCLK 切回 HSI，整个过程在微秒级完成，不依赖任何 CPU 指令执行。
必须开启CSS并配置NVIC中断服务函数
CSS 不是默认启用的，也不自动注册中断处理。你得手动做三件事：
- 调用
RCC_ClockSecuritySystemCmd(ENABLE)（HAL 库）或置位RCC_CR的CSSON位（寄存器操作） - 在 NVIC 中使能
RCC_IRQn（注意不是HardFault_IRQn或其他） - 实现
void RCC_IRQHandler(void)，并在其中调用RCC_GetITStatus(RCC_IT_CSS)判断是否为 CSS 中断，再执行恢复逻辑
漏掉任一环，CSS 触发后只会静默切频，但你收不到通知，无法记录日志、上报故障或降级外设功能。
HSE失效后切回HSI，串口/定时器会立刻失准
HSI 出厂精度约 ±1%，且随温度漂移；而你原来按 HSE（比如 8MHz）配置的 USARTDIV 或 ARR 值，在 SYSCLK 变成 ~16MHz（F4 系列）或 8MHz（F1 系列）后，波特率误差可能超 10%，定时器溢出时间翻倍或减半。所以中断里不能只打个日志就完事：
立即学习“前端免费学习笔记（深入）”；
- 立即重配置所有依赖系统时钟的外设：重新计算并写入
USARTDIV、ARR、PSC等寄存器 - 若使用 HAL，调用
HAL_RCC_OscConfig()重设时钟树，并用HAL_RCCEx_PeriphCLKConfig()同步外设时钟源 - 避免在 CSS 中断里调用未重入函数（如
printf），优先用 GPIO 打点或写寄存器标记状态
实际调试中容易忽略的硬件细节
CSS 只对 HSE 生效，且要求 HSE 必须是晶振模式（不是外部时钟输入模式）。常见踩坑点：
- 原理图上 HSE 晶振负载电容选错（比如标称 12pF 却用了 22pF），低温下起振失败，但 CSS 不会报错——因为 HSE 根本没成功启动过，
HSERDY一直为 0，CSS 无从监测 - PCB 布线过长或靠近电源/射频干扰源，导致 HSE 波形畸变，CSS 能检测到停振，但切回 HSI 后因电源噪声大，HSI 本身也不稳
- 某些 F1 系列芯片需在启用 CSS 前先使能 HSE（即
RCC_HSE_ON已置位），否则 CSS 逻辑不激活
真正难的不是写切换代码，而是让 HSE 在各种温湿度、电压波动下稳定起振——CSS 是兜底手段，不是替代晶振选型和 PCB 设计的捷径。
