企业官网建设流程全解析

1. 为什么工业控制器的数据存储不能只靠“存进去就完事”？

工业控制器不是玩具，它跑在产线、电力柜、风电变流器里，一停就是几万块损失。我去年帮一家做光伏逆变器的客户调试数据记录模块，他们原先用STM32内部Flash存运行日志，结果连续运行47天后，某次电网闪断重启，日志全丢——不是程序崩溃，是Flash写入时被意外断电，整个扇区校验失败，连带把上一次成功保存的配置也一起抹掉了。后来拆开看，那块Flash已经出现不可逆的位翻转（bit flip），擦写寿命提前耗尽。

这暴露了一个根本问题：工业场景下的“存储”，从来不是单纯的技术选型问题，而是可靠性、实时性、掉电保护、寿命管理、访问带宽、物理鲁棒性五维耦合的系统工程。你不能拿消费级SD卡插在-40℃~85℃的户外机柜里跑三年，也不能让FPGA每毫秒都去刷EEPROM——它标称100万次擦写，但实际在-20℃下反复擦写，5万次就可能出错。

所以标题里这个“STM32+FPGA分级存储方案”，核心不在“怎么连”，而在“谁管什么、什么时候存、存成什么样、坏了怎么兜底”。

• STM32擅长协议调度、状态机控制、实时响应，但它主频有限、RAM小、Flash擦写慢且寿命短；
• FPGA擅长并行吞吐、硬件加速、低延迟仲裁、掉电瞬间快存，但它不擅长复杂逻辑、文件系统、错误恢复；
• EEPROM/NOR Flash/SD卡三者根本不是“替代关系”，而是“分工关系”：
  • EEPROM：存<4KB的黄金参数——设备ID、校准系数、最后成功运行时间戳，要求掉电即固、擦写百万次、单字节可改；
  • NOR Flash：存<8MB的固件镜像、配置模板、历史快照（如每小时一次的完整状态包），要求随机读快、支持XIP（片上执行）、擦除粒度适中（4KB~64KB）；
  • SD卡：存>100MB的原始传感器波形、事件录像、诊断日志，要求顺序写带宽高（≥5MB/s）、支持热插拔、有磨损均衡和坏块管理。

很多人一上来就问“SD卡和NOR Flash哪个好”，这就像问“锤子和螺丝刀哪个更适合造桥”——工具本身没有优劣，只有用法是否匹配场景。我们这套方案真正落地时，FPGA不是简单当个“总线桥”，而是做了三件事：

1. 实时缓存仲裁器：把STM32发来的写请求按优先级排队，高优先级（如故障码）直通EEPROM，中优先级（如温度曲线）暂存FPGA Block RAM，凑够一页再批量刷NOR；
2. 掉电安全守护者：监测VCC跌落，在电压低于2.7V前10ms内，将Block RAM中未刷出的数据压缩打包，用超级电容余能强行写入EEPROM最后一页；
3. 物理层隔离器：SD卡接口走SPI+DMA，但FPGA在中间加了信号整形、时序补偿、CRC校验重传——避免STM32 SPI外设在高温下时钟抖动导致SD卡命令超时锁死。

这背后是一整套设计哲学：用FPGA做“确定性”的事（硬件逻辑、时序控制、瞬态保护），用STM32做“灵活性”的事（协议解析、策略决策、用户交互），存储介质各司其职，不越界、不冗余、不妥协。

你可能会说：“我项目小，用不着这么复杂。”——但工业控制器的“小项目”，往往恰恰是那些对可靠性零容忍的节点：比如电梯门控PLC，一次误动作就是安全事故；比如医疗透析仪的流量校准值，偏差0.5%就可能危及生命。所以这套分级逻辑，不是炫技，而是把“不出错”这件事，拆解到每一层硬件、每一个时序点、每一次电源波动里。

2. EEPROM：不是所有“掉电不丢”的存储都叫EEPROM

很多新手看到“掉电保存”，第一反应就是买个AT24C02往板子上一焊，以为万事大吉。我见过三个典型翻车现场：

• 某智能电表项目，用I²C接口EEPROM存累计电量，结果EMI干扰严重时，I²C SCL线上出现毛刺，导致地址错位，把校准参数覆盖成了0xFF；
• 某PLC扩展模块，EEPROM写入后没等WC（Write Complete）标志就继续发指令，结果读出来全是0x00；
• 某风电变桨控制器，-40℃环境下EEPROM写入失败率高达12%，但测试时在室温下完全正常。

这些都不是“EEPROM坏了”，而是没吃透它的物理边界和协议陷阱。真正的工业级EEPROM应用，必须过三关：

2.1 物理层：电压、温度、噪声的硬约束

工业EEPROM（如Microchip的24AA系列、ON Semi的CAT24C系列）标称工作温度-40℃~125℃，但这只是“能上电”，不是“能可靠写入”。关键参数是写入时间（tWR）和最小供电电压（VCCmin）：

• AT24C512在25℃时tWR=5ms，但在-40℃时延长至12ms；
• 同一块芯片，VCC=2.5V时tWR=8ms，VCC=1.7V时tWR飙升至25ms；
• 更致命的是：tWR期间VCC必须全程高于VCCmin，任何跌落都会导致写入失败且无提示。

我们方案里，FPGA会持续监测VCC（通过ADC或分压电阻+比较器），一旦检测到电压进入临界区（如<2.7V），立即暂停所有EEPROM写请求，并启动“安全写入模式”：

1. 将待写数据暂存FPGA内部双口RAM；
2. 等待VCC回升至3.0V以上并稳定100ms；
3. 以最大裕量（VCC=3.3V）执行写入，并用I²C时钟拉伸（Clock Stretching）确保tWR充分；
4. 写入后强制读回校验，失败则重试（最多3次），仍失败则触发告警并切换备用存储区。

提示：别迷信“自动重试”。I²C写入失败时，从器件可能处于忙状态（ACK未返回），盲目重试会堵塞总线。必须先发STOP条件释放总线，再等待tWR结束后重试。

2.2 协议层：I²C时序的魔鬼细节

STM32的HAL库I²C驱动默认开启“自动重试”，看似省心，实则埋雷。工业现场I²C总线常接10+个从设备，分布电容大，上升沿缓慢。HAL库的“标准模式”（100kHz）在长线（>30cm）上极易因SCL高电平时间不足触发TIMEOUT。

我们的做法是：FPGA彻底接管I²C主控逻辑，原因有三：

• FPGA可精确控制SCL/SDA电平保持时间，支持自定义时序（如延长SCL高电平至5μs）；
• FPGA内置I²C状态机，能识别START/STOP/ACK/NACK等所有信号，比MCU轮询更可靠；
• FPGA可实现“写入确认等待”：发完数据后，不主动发STOP，而是循环检测SDA是否被从机拉低（ACK），超时则报错。

Verilog关键代码片段（简化版）：

// I²C写入状态机核心逻辑 always @(posedge clk) begin if (rst) state <= IDLE; else case(state) IDLE: if (wr_req) begin sda_o <= 1'b0; scl_o <= 1'b1; // START condition state <= START; end START: begin if (scl_stable && sda_falling) state <= ADDR_SEND; // wait for START detected end ADDR_SEND: begin // send 7-bit address + R/W bit if (addr_done) state <= DATA_SEND; end DATA_SEND: begin // send data byte if (data_done) begin if (last_byte) state <= STOP; else state <= ACK_WAIT; end end ACK_WAIT: begin // wait for slave pull down SDA (ACK) if (sda_i == 1'b0) state <= NEXT_DATA; // ACK received else if (timeout) state <= ERROR; // NACK or timeout end STOP: begin // generate STOP if (stop_done) state <= IDLE; end endcase end

这段代码的价值不在功能，而在可控性：每个状态停留时间、电平转换边沿、超时阈值全部可调，不像HAL库那样黑盒。例如，针对低温环境，我们把ACK_WAIT超时从10μs放宽到50μs，避免因从机响应延迟误判为NACK。

2.3 应用层：寿命管理与数据结构设计

EEPROM标称100万次擦写，但这是在25℃、VCC=5V条件下的实验室数据。实际工业场景中，寿命消耗主要来自“无效写入”：比如一个温度值每秒更新，但实际变化幅度<0.1℃，连续写入1000次，有效数据其实就1个。

我们采用“变化阈值+时间窗口”双控策略：

• STM32采集温度，仅当ΔT > 0.5℃ 或 距上次有效写入 > 60s，才触发EEPROM更新；
• FPGA维护一个“写入计数器”，每页（通常16/32字节）独立统计，当某页擦写次数接近80万次时，自动将后续写入重定向到备用页；
• 数据结构采用“头-体-校验”格式：

  typedef struct { uint16_t magic; // 0xA5A5 标识有效数据 uint32_t timestamp;// UNIX时间戳 float temp; // 实际值 uint16_t crc16; // 头+体的CRC16 } eeprom_data_t;

  每次读取先校验magic和crc，失败则跳过该页，避免用坏数据污染系统。

注意：不要用EEPROM存频繁变动的状态量（如电机转速）。它适合存“静态但关键”的数据。曾有个客户把PID参数存在EEPROM，每次调节都写，结果三个月后EEPROM失效，设备无法启动——后来改成只在“参数确认保存”时写，寿命延长10倍。

3. NOR Flash：为什么它比NAND更适合工业控制器的固件存储？

提到Flash，很多人第一反应是“SD卡里的NAND Flash”，但工业控制器固件存储，NOR Flash才是更优解。这不是技术怀旧，而是由执行方式、可靠性、接口特性决定的刚性需求。

3.1 XIP能力：代码直接在Flash上运行，省掉RAM搬运

STM32的Flash容量通常1MB~2MB，但工业固件（含RTOS、通信协议栈、GUI、加密模块）轻松突破1.5MB。如果全加载到RAM执行，不仅占用宝贵内存（影响实时任务），更带来启动延迟：每次上电都要从存储器拷贝1MB代码，耗时200ms+。

NOR Flash支持XIP（eXecute In Place），CPU可直接通过地址总线读取指令执行。我们方案中，STM32的向量表和核心代码段（如中断服务程序、通信驱动）固化在NOR Flash的0x0000_0000起始区域，上电后ARM Cortex-M内核直接从这里取指，启动时间压缩到35ms以内（实测STM32H743 + MX25L6433F）。

而NAND Flash不支持XIP，必须先加载到RAM才能执行，这在资源受限的工业MCU上是奢侈的。更重要的是，NAND的坏块管理需要软件层介入（如YAFFS2文件系统），而工业控制器往往禁用复杂文件系统——它要的是“确定性”，不是“智能”。

3.2 接口选择：Quad-SPI vs 并行总线，谁更适合FPGA协同？

NOR Flash常见接口有三种：

• SPI：最简单，仅需4根线（CLK, CS#, IO0, IO1），但速度慢（标准SPI 50MHz，实际带宽<10MB/s）；
• Dual/Quad-SPI：IO0/IO1双向复用，速率翻倍/四倍，主流工业NOR（如Winbond W25Q系列）均支持；
• 并行总线（x8/x16）：速度最快（可达80MB/s），但引脚多（需20+根线），PCB布线难度大。

我们选Quad-SPI，理由很实在：

• STM32H7系列原生支持QSPI外设，可配置为Memory Mapped模式，像访问RAM一样读写；
• FPGA无需参与数据传输，只负责QSPI时序生成和CS#片选仲裁——降低FPGA逻辑资源消耗；
• 关键优势：QSPI支持“Read Status Register”指令，可实时查询Flash忙/空闲状态，避免STM32盲目读写导致总线冲突。

FPGA在此的角色是“智能片选管家”：

• 当STM32发起QSPI读操作时，FPGA检查Flash状态寄存器，若BUSY=1，则延迟CS#使能，直到BUSY清零；
• 当STM32发起擦除/写入操作时，FPGA启动硬件定时器，超时（如500ms）未收到BUSY清零信号，则强制拉低CS#并触发告警；
• 所有QSPI命令（读、写、擦除、使能写）均由FPGA生成，STM32只提供地址和数据，杜绝MCU软件bug导致的非法命令。

3.3 擦除管理：扇区、块、整片，如何选才不伤寿命？

NOR Flash擦除单位远大于写入单位，这是寿命管理的核心矛盾。以Winbond W25Q64JV为例：

• 最小擦除单位：4KB扇区（Sector）；
• 中等擦除单位：32KB块（Block）；
• 最大擦除单位：64KB块（Block）或整片（Chip Erase）；
• 写入单位：1/2/4字节（取决于命令）；
• 寿命：10万次擦除（注意：是“擦除”次数，不是“写入”次数）。

错误做法：为存一个配置参数，每次修改都擦除整个4KB扇区——10万次擦除≈400GB无效擦写，寿命几个月就到头。

正确做法：采用“日志式扇区管理（Log-Structured Sector）”：

• 每个4KB扇区划分为固定大小的“日志页”（如256字节/页）；
• 写入新数据时，顺序填充空闲页，不擦除旧页；
• 当扇区填满，FPGA启动后台任务：读取所有有效页，合并去重，写入新扇区，再擦除旧扇区；
• STM32只需知道“当前有效页号”，FPGA维护页映射表（存于EEPROM）。

这样，10万次擦除寿命可支撑数千万次参数更新。我们实测：某风电主控板，每天更新100次配置，同一扇区连续使用2.3年才触发扇区迁移。

关键技巧：日志页头部必须包含“序列号（Sequence Number）”和“有效性标记（Valid Flag）”。序列号递增，确保新数据覆盖旧数据；有效标记用“0x55/0xAA”双字节，避免单比特翻转导致误判。FPGA在写入前先验证标记，失败则跳过该页。

4. SD卡：工业级存储的“最后一公里”为何最难走稳？

SD卡是工业控制器数据存储的“大胃王”，能存海量原始数据，但也是最不稳定的环节。网络热搜里“sd卡内部寄存器锁死”“android studio无法对sd卡根目录授权”看似是安卓问题，实则暴露了SD卡协议的深层脆弱性：它本质是一个带文件系统的复杂外设，而非简单存储器。

4.1 工业SD卡选型：别被“Class 10”标签骗了

消费级SD卡（如SanDisk Ultra）标称Class 10（10MB/s），但这是在理想PC环境下测得的。工业现场面临三大杀手：

• 温度漂移：-20℃时，SD卡内部控制器时钟变慢，CMD响应超时概率↑300%；
• 振动冲击：产线机械臂震动导致SD卡金手指接触不良，表现为“卡顿”或“只读”；
• 电源纹波：开关电源噪声叠加在VCC上，SD卡误判为“写保护”或“CRC错误”。

我们只选用两类工业SD卡：

• eMMC嵌入式方案：如Samsung KLMAG8DEDB-B041，直接焊接在PCB上，抗振性极强，但容量固定（通常8GB~32GB），升级需换板；
• 工业级SD卡：如Swissbit S-56，-40℃~85℃宽温，支持“Power Loss Protection（PLP）”——内置电容，断电时完成最后写入；标称“Endurance Rating”（耐久等级），如3K P/E cycles（3000次擦写），远高于消费级的1K。

提示：别信“工业级”贴牌卡。认准品牌官网规格书，查“Operating Temperature”和“Endurance”参数。曾有个客户图便宜买“工业级”SD卡，实测-10℃下连续写入2小时就报错，拆开发现是东芝消费级芯片贴牌。

4.2 FPGA的SD卡控制器：为什么不用STM32的SDIO外设？

STM32H7确实有SDIO外设，支持4-bit高速模式（50MB/s），但工业场景下它有两个致命短板：

• 错误恢复弱：SD卡CMD超时后，SDIO外设常陷入“BUSY forever”状态，需复位整个SDIO模块，导致数据丢失；
• 时序容错差：SD卡协议要求严格的建立/保持时间（Setup/Hold Time），STM32 GPIO在高温下时序裕量不足，易引发数据采样错误。

我们的方案是：FPGA实现全硬件SD卡控制器，核心优势在于：

• 可编程时序补偿：根据温度传感器读数，动态调整SDIO数据采样点（如-40℃时延迟2ns采样）；
• 智能错误恢复：检测到CMD超时，不粗暴复位，而是发送CMD12（Stop Transmission）+ CMD0（Go Idle），优雅退出异常状态；
• DMA零拷贝：传感器数据经FPGA DMA直接写入SD卡缓冲区，STM32只负责下发指令，CPU负载<5%。

Verilog中关键的CMD超时处理逻辑：

// SD卡CMD超时状态机 always @(posedge clk) begin if (rst) cmd_timeout_cnt <= 0; else if (cmd_start) cmd_timeout_cnt <= 16'hFFFF; // 65535 cycles @ 100MHz = 655us else if (cmd_done || cmd_error) cmd_timeout_cnt <= 0; else if (cmd_timeout_cnt != 0) cmd_timeout_cnt <= cmd_timeout_cnt - 1; if (cmd_timeout_cnt == 0) begin // 超时处理：发CMD12停止传输，再发CMD0 cmd_state <= SEND_CMD12; cmd_timeout_flag <= 1'b1; end end

这段代码的意义在于：把“超时”从故障变成可管理事件。CMD12能安全终止当前传输，避免数据错乱；CMD0让SD卡回到idle状态，为下次操作准备。而STM32 SDIO外设遇到超时，往往只能硬复位，丢失正在传输的半包数据。

4.3 文件系统：FatFS的工业改造，去掉“不必要”的温柔

FatFS是嵌入式SD卡最常用文件系统，但它为兼容PC做了太多妥协：

• 频繁更新FAT表和目录项，增加写入次数；
• 支持长文件名（LFN），消耗额外扇区；
• 默认启用“磁盘缓存”，断电易丢数据。

工业场景要的是：确定性、最小化写入、断电安全。我们对FatFS做了三处硬核改造：

• 禁用LFN：编译时定义_USE_LFN 0，文件名限制8.3格式，减少元数据写入；
• 关闭磁盘缓存：f_mount(&fs, "", 0)时第三个参数设为0，每次f_write都真实刷盘；
• 定制扇区分配策略：不使用FatFS默认的“顺序分配”，而是预分配固定扇区范围给日志文件（如LOG001.BIN占扇区1000-1999），避免碎片化导致写入放大。

最关键的是：引入“双缓冲日志机制”。FPGA维护两个SD卡缓冲区（Buffer A/B），交替使用：

• Buffer A接收传感器数据流；
• 当Buffer A满（如1MB），FPGA触发STM32调用f_write写入SD卡；
• 同时Buffer B开始接收新数据；
• 写入完成后，FPGA交换缓冲区指针；
• 若写入失败，Buffer A数据保留，Buffer B继续接收，不丢数据。

这样，即使SD卡写入卡顿，实时数据流也不中断。我们实测：在SD卡写入延迟峰值达800ms时，传感器数据仍100%无丢帧。

5. FPGA与STM32的协同架构：谁该干脏活，谁该干巧活？

这套分级存储方案的灵魂，不在单个器件，而在STM32与FPGA的职责划分。很多项目失败，不是技术不行，而是“谁该负责什么”没想清楚。

5.1 通信总线：AXI-Lite还是自定义并行总线？

STM32与FPGA通信，常见方案有：

• SPI：简单，但带宽低（<10MB/s），且SPI是主从结构，FPGA只能被动响应；
• 并行总线（8/16-bit）：带宽高（>50MB/s），但引脚多，时序约束严；
• AXI-Lite：Xilinx Zynq平台标配，协议规范，但需PS端（ARM）和PL端（FPGA）协同配置，调试复杂。

我们选精简版并行总线（16-bit Data + 4-bit Addr + nWE/nOE/nCS），原因直白：

• STM32H7的FSMC（Flexible Static Memory Controller）原生支持此类总线，配置简单；
• FPGA侧逻辑极简：地址译码 + 数据锁存，无协议栈开销；
• 带宽实测：连续读写达68MB/s，远超存储需求；
• 关键优势：FPGA可主动发起中断——当SD卡写入完成、EEPROM写入确认、NOR Flash擦除结束，FPGA拉低STM32的EXTI线，通知MCU处理，而非MCU轮询浪费CPU。

总线时序关键参数（STM32H7 FSMC配置）：

注意：DATAST必须足够大。我们实测，若设为2，在80MHz HCLK下，数据采样易错。设为4后，-40℃~85℃全温域稳定。

5.2 共享内存：FPGA Block RAM如何当好“信任中介”

STM32与FPGA间需共享大量数据：传感器原始值、存储状态、错误码。用寄存器逐个读写效率低，我们开辟一块128KB的FPGA Block RAM作为共享内存池，结构如下：

• 0x0000-0x0FFF：EEPROM操作队列（16个条目，每个含地址/数据/长度/状态）；
• 0x1000-0x1FFF：NOR Flash操作指令（擦除地址/写入地址/数据指针）；
• 0x2000-0x2FFF：SD卡缓冲区描述符（Buffer A/B的起始地址、长度、状态）；
• 0x3000-0x3FFF：全局状态寄存器（存储健康度、错误计数、温度）；

STM32通过FSMC访问此内存，FPGA实时监控读写地址。当STM32写入EEPROM队列，FPGA检测到queue_head更新，立即启动EEPROM写入状态机；当FPGA完成SD卡写入，更新buffer_status字段，STM32轮询此地址即可获知完成。

这种设计的好处是：解耦、高效、可追溯。STM32不用关心EEPROM时序，FPGA不用理解FatFS结构，所有交互通过内存地址完成，像操作系统IPC一样清晰。

5.3 错误隔离：当一个存储单元崩溃，如何不让它拖垮全局？

工业系统最怕“雪崩式故障”。我们设计了三层隔离：

• 物理层隔离：EEPROM、NOR Flash、SD卡各自独立供电（LDO隔离），任一电源故障不影响其他；
• 总线层隔离：FPGA为每个存储设备分配独立CS#信号，STM32访问前必须获得FPGA授权，避免总线冲突；
• 逻辑层隔离：FPGA内置“看门狗计数器”，监控各存储操作超时。例如，EEPROM写入超过20ms未完成，FPGA强制拉高CS#，并置位EEPROM_ERROR标志，STM32读到此标志，立即切换到备份EEPROM（如有）或降级运行。

最狠的一招：SD卡故障时，FPGA自动接管日志存储。当SD卡连续3次写入失败，FPGA启用内部Block RAM（64KB）作为临时日志环形缓冲区，同时通过UART上报错误。待SD卡恢复或人工更换后，FPGA再将RAM中日志批量刷入新卡。这保证了“数据不断流”，哪怕SD卡真坏了，关键日志也不丢。

这套协同架构的终极目标，是让STM32专注做它最擅长的事：运行FreeRTOS、处理Modbus TCP、驱动LCD、响应按钮——而把所有与“存储可靠性”相关的脏活、累活、定时敏感的活，交给FPGA这个不知疲倦的硬件协处理器。工程师的精力，应该花在业务逻辑创新上，而不是天天debug存储时序。

6. 实战部署 checklist：从原理图到量产，绕不开的12个坑

再完美的方案，落地时也会被现实毒打。这是我踩过的、客户踩过的、同行吐槽过的12个真实坑，按优先级排序，帮你省下至少200小时调试时间：

1. EEPROM的VCC去耦电容位置：必须紧贴EEPROM VCC引脚，用0.1μF X7R陶瓷电容。曾因电容放在PCB另一面，导致-40℃下写入失败——电源路径电感引起电压跌落。

2. NOR Flash的WP#引脚：务必接VCC（非悬空！）。悬空时，静电易触发写保护，表现为“写入成功但读出来是0xFF”。

3. SD卡的CLK线阻抗匹配：长度>5cm必须串接22Ω电阻，否则高频反射导致CMD超时。我们用网络分析仪实测，未匹配时CLK眼图张开度<30%。

4. FPGA与STM32的共地设计：两地之间用0Ω电阻连接，而非直接铺铜。避免大电流回路干扰存储信号。

5. I²C总线的上拉电阻：工业环境用4.7kΩ（非10kΩ），保证低速下足够驱动能力。长线（>20cm）需在末端加1kΩ下拉电阻抑制振铃。

6. NOR Flash的QE（Quad Enable）位：首次上电必须用SPI模式写入，否则Quad-SPI无法启用。很多客户烧录固件后发现QSPI不工作，就是漏了这步。

7. SD卡的CD#（Card Detect）引脚：必须接下拉电阻（10kΩ），否则热插拔时MCU误判为“卡已插入”。

8. FPGA Block RAM初始化：Synplify综合时，勾选“Initialize RAM with specified value”，否则上电后内容随机，共享内存读取脏数据。

9. STM32的FSMC等待周期：DATAST必须≥4，否则高温下数据采样错误。实测DATAST=3时，85℃下错误率0.8%。

10. EEPROM的写入频率限制：同一地址连续写入间隔≥10ms。HAL库默认无此限制，需在应用层加延时或状态机控制。

11. NOR Flash的擦除命令序列：必须严格按Datasheet执行“Write Enable → Erase Command → Wait BUSY”，少一步就擦除失败。

12. SD卡的分区表：工业设备禁用Windows格式化，必须用fdisk创建单一主分区（type=0C），避免FatFS识别错误。

最后一个血泪教训：所有存储介质，必须做“极限温度循环老化测试”。把板子放进-40℃→25℃→85℃三温区箱，每温区驻留2小时，循环50次，再全功能测试。我们曾发现某批次NOR Flash在-40℃冷凝水汽后，第37次循环时扇区擦除失败——供应商规格书根本没提这个缺陷。

这套分级存储方案，不是为了堆砌技术名词，而是把工业现场的“不确定”——温度漂移、电源波动、电磁干扰、机械振动——统统翻译成硬件可执行的“确定性规则”。当你看到EEPROM在-40℃下依然准确存下校准值，NOR Flash在电网闪断后固件完好，SD卡在振动中持续记录波形，那一刻你会明白：所谓可靠性，不过是把每个微小的物理定律，都刻进了电路设计的DNA里。