TMS320F28335看门狗的双面性：系统守护与调试陷阱深度解析

光伏逆变器中的看门狗设计哲学

在150MHz主频的TMS320F28335 DSP平台上，看门狗定时器（WDT）如同一位沉默的守护者，时刻监视着光伏逆变器控制系统的运行状态。这个看似简单的硬件模块，实际上蕴含着嵌入式系统设计的深层智慧——它既能在程序跑飞时紧急复位，也可能因配置不当成为开发者的噩梦。

时钟同步机制是看门狗可靠工作的基础。当外部晶振信号经过PLL倍频生成SYSCLKOUT时，WDCR寄存器的WDPS位决定了看门狗的"心跳节奏"。一个典型的配置陷阱是：

// 危险配置示例：未考虑PLL锁定时间
EALLOW;
SysCtrlRegs.PLLCR.bit.DIV = 10;  // 直接修改PLL倍频因子
SysCtrlRegs.WDCR = 0x28;         // 立即启用看门狗
EDIS;

这段代码忽略了PLL需要约128个振荡器周期才能锁定新频率的事实。在此期间，系统时钟可能不稳定，导致看门狗提前触发。稳健的配置流程应包含：

1. 修改PLLCR寄存器后插入延时
2. 检查PLLSTS寄存器的LOCK位
3. 最后才启用看门狗

光伏逆变器的特殊工况带来了更多挑战。当电网电压骤降时，DSP可能短暂进入过载状态，此时喂狗间隔需要重新评估。我们通过实验测得不同负载下的执行时间波动：

工况状态	正常执行时间(ms)	电网扰动时时间(ms)	建议喂狗周期(ms)
MPPT算法	1.2	3.8	≥8
PWM生成	0.05	0.07	≥0.2
保护逻辑	0.3	1.5	≥4

中断模式与复位模式的失效恢复对比

传统看门狗配置往往简单粗暴地触发系统复位，但在光伏并网这种关键应用中，中断优先模式（WDENINT=1）能提供更优雅的故障恢复机制。当启用中断模式时，看门狗溢出会触发INT1.8中断，给系统最后一次自救机会。

中断服务例程的设计要点：

#pragma CODE_SECTION(WatchdogISR, "ramfuncs");
interrupt void WatchdogISR(void)
{
    EALLOW;
    SysCtrlRegs.WDKEY = 0x55;  // 紧急喂狗延长处理时间
    SysCtrlRegs.WDKEY = 0xAA;
    EDIS;
    
    // 保存关键状态到非易失性存储器
    SaveCriticalData();
    
    // 触发安全关机流程
    InitiateSafeShutdown();
    
    // 清除中断标志
    PieCtrlRegs.PIEACK.all = PIEACK_GROUP1;
}

这种模式特别适合处理：

• 瞬态干扰导致的暂时性故障
• 需要保存故障现场的分析场景
• 不允许立即复位的关键过程

但中断模式也有其致命缺陷——如果系统已严重崩溃（如堆栈溢出），中断服务程序可能无法正常执行。我们建议采用混合策略：

1. 首次溢出触发中断尝试恢复
2. 若500ms内未成功喂狗，强制硬件复位
3. 复位后通过检查WDCR寄存器判断复位原因

RTOS环境下的喂狗策略革新

当TMS320F28335运行µC/OS-II等实时操作系统时，传统单任务喂狗方式面临严峻挑战。多任务竞争可能导致喂狗间隔不可预测，而某个高优先级任务的死循环会掩盖其他任务的正常运行。

任务监控矩阵是解决方案的核心。我们为每个关键任务设计独立的状态标记：

typedef struct {
    Uint32 TaskID;
    volatile Uint32 LastTick;
    Uint32 Timeout;
} TaskMonitorItem;

TaskMonitorItem TaskList[] = {
    {TASK_MPPT, 0, 50},   // MPPT任务50ms超时
    {TASK_COMM, 0, 100},  // 通信任务100ms超时
    {TASK_PROTECT, 0, 20} // 保护任务20ms超时
};

看门狗服务任务定期检查该矩阵：

void WatchdogTask(void *pdata)
{
    while(1) {
        BOOL allOK = TRUE;
        for(int i=0; i<DIM(TaskList); i++) {
            if(OSTimeGet() - TaskList[i].LastTick > TaskList[i].Timeout) {
                allOK = FALSE;
                break;
            }
        }
        
        if(allOK) {
            ServiceWatchdog();  // 所有任务正常才喂狗
        }
        OSTimeDly(10);  // 每10ms检查一次
    }
}

这种设计带来三个优势：

1. 精确识别故障任务
2. 避免单一正常任务掩盖其他故障
3. 提供细粒度的系统健康状态监控

寄存器级操作与死亡代码检测

深入WDCR寄存器的每一位定义，开发者可以解锁看门狗的进阶用法。死亡代码检测技术利用看门狗作为程序流监控器，特别适合安全关键应用。

配置步骤示例：

1. 在关键代码段起始处写入特定模式到WDSCRATCH寄存器
2. 代码段结束时验证该模式
3. 异常时主动触发看门狗复位

; 关键安全代码示例
_start_of_critical_section:
    MOVW DP, #_SysCtrlRegs.WDSCRATCH
    MOV @28, #0x55AA    ; WDSCRATCH = 0x55AA
    
    ; ... 关键操作代码 ...
    
    CMP @28, #0x55AA    ; 检查是否被篡改
    SBF _code_tampered, NEQ
    
_end_of_critical_section:
    MOV @28, #0x0000    ; 清除标记

故障注入测试是验证看门狗可靠性的必要手段。我们推荐以下测试场景：

• 人为跳过喂狗操作
• 修改WDPS分频值模拟时钟异常
• 在中断服务程序中制造二次溢出
• 模拟电源跌落时的寄存器保持特性

测试中发现的典型问题包括：

• 低电压时WDCR配置位意外翻转
• 快速开关看门狗导致的计数器不同步
• 调试器连接状态下看门狗行为异常

通过SPI接口的在线监测工具可以捕获看门狗事件时间戳，与系统日志关联分析。某光伏逆变器项目的实测数据揭示了有趣的"假稳健性"现象：系统在实验室连续运行72小时无异常，但现场安装后平均每8小时发生一次看门狗复位。最终定位原因是电网谐波导致ADC采样中断服务程序偶尔超时。