校准保存成功以后，下一次上电还可信吗？

主控回读到了新零点，只证明当前某处能读出新值。它是否已经持久保存、掉电后会选哪一份记录，还要看另外两段流程。

把错误先分三类：保存后某些位翻转；编程或擦除途中断电；主机按完整流程写入了本来就错误的内容。三类都能改变最终参数，但防护手段不同。

校验保护的是哪一层

CRC能发现所覆盖记录的一类损坏，却无法判断主机给出的零点是否符合机械位置。ECC也不能可靠包办所有写入中断。ST AN4894 Rev12第13页明确讨论了这个限制，并采用记录校验和启动恢复等配套机制。

双份不是复制两遍就结束

公开EEPROM仿真使用至少两页及页状态。借这个思路，可以给系统自己的配置记录设计：保留旧有效记录，先写候选新记录，校验后提交，重新上电再按版本与有效状态选择。具体擦写粒度、提交标志和掉电恢复必须与存储器能力匹配，不能宣称任意双份都会原子更新。

用一个合成32字节记录做软件故障注入即可先验证规则：在写载荷、写校验、写提交状态前后逐处模拟中断。重启后允许读到旧完整记录或新完整记录，不能混用半份旧系数与半份新系数；两份均无效时，应明确报告配置不可用。

低电压还会影响CPU执行与存储操作，不能只等软件最后一条命令。Microchip的EEPROM防损坏说明要求按具体器件条件处理欠压与复位；其行为不能直接套给另一颗芯片。

保存次数也要算进寿命

合成设每天20次参数更新，十年约 $20\times365\times10=73000$ 次逻辑写入。这还未计重试、迁移和底层写放大。它不是某型号寿命结论；需要再按实际耐久条件、写入分布与存储管理换成每个单元的负担。

实际放行应依次留下运行配置回读、持久记录校验、冷启动选择和校准结果复测。写入成功提示、重启后参数存在、机械误差满足要求，是三种证据，不能合成一个绿色勾。