с чего решили?

Помехи классифицируются. От одних помех можно дешево и надежно защититься. От всех помех защититься не возможно.
По мере расширения класса подавляемых помех, стоимость защиты увеличивается. При недопустимом уровне помех,
когда цифровая схема начинает работать как аналоговая - аналитический аппарат становится другим.
Можно назвать это "капитуляцией".

Я предлагаю определить помехи, на которые ваше устройство должно адекватно реагировать (работать при помехе;
не работать при помехе, но восстанавливать работоспособность после снятия помехи) и проектировать цепи защиты исходя из
указанных ограничений. Обычно требования к помехам прописаны в руководящих документах для конкретного типа изделий.



Я обычно ставлю импульсное для 5В, затем линейный стабилизатор на 3.3В

Имеет ли смысл этот вопрос? Если процессор "вошёл в штопор", он может натворить непоправимое, и "выход из штопора" может быть уже не актуальным. То есть нельзя допускать штопор.
А по поводу выхода - внешний RESET должен работать. А снятие питания совершенно точно поможет.

За бусы фаулты тоже знаем и за другие. Везде поставил NVIC_Reset. Срабатывает иногда в 90 процентах случаев - пока штопор не отлавливает. А в STM32F03 - там только HARDFAULT.




Ну он только RESETом и выводится. Знаете более или менее надежные системы периодического сброса, проверенные опытом и временем, чтоб без програмной настройки были. Чтоб очень "деревянные" были, электричества не боялись ?!

Если речь идёт о том, что глючит периферия STM, то почему не может произойти сбой таймера-сторожа? Это такой же периферийный модуль.
Если остальные наблюдаемые эффекты Вас не смущают, и дело только в WDT, то я рекомендую Вам также поставить внешний таймер.
Несмотря на то, что сам я с такими эффектами не сталкивался, в особо ответственных применениях наряду с внутренним WDT, всегда использую ещё и внешний, тем более, что стоит он копейки.
Я тоже не так давно был неприятно удивлён, что модуль протоколирования операций на STM32 в условиях сильных помех писал в области Flash, куда ему писать было запрещено. Хотя адреса неоднократно программно проверяются перед записью. Пришлось через Option byte запрещать запись в некоторые сектора.
Но само по себе это печально. Пока я ещё верю, что схемотехнически, используя комплексные меры защиты, можно любой микроконтроллер заставить нормально работать в любых условиях.
Но знаю несколько человек, которые утверждают, что там где STM32 периодически выходит из строя в результате воздействия мощных электромагнитных помех, AVR работают устойчиво.

Уж если речь идет об STM32, то советую пролистать AN3307.

С питание аналогично, LM1117-3.3.
Помеха ЖЕСТКАЯ ! Резкое изменение потенциала земли в какую-либо сторону в момент резких выбросов ЭНЕРГИИ дальше по схеме. Ответ по поведению внутреностей ядра- имеет право, такое наблюдал, когда напряжение питания на цифровых схемах снижается до уровня работы в неопределенном гистерезисе цифр. уровней. Но тут с питанием все нормульно. Происходит сбой не изменяя вроде внутренего гистерезиса, хотя я уже склоняюсь до подобных представлений.
Что посоветуете из проверенных временем "не настраиваемых программно" схем внешнего периодического сброса ?!



Приятно услышать слово от закаленного трудоднями человека.

Я про 3 watchdog-а.


Пока есть питание, LSI RC генератор должен работать. А счетчик после него завалить? сомневаюсь. Ну, если вольт 3000 шарахнуть, все может быть.

Фанастика это то, что Вы все еще верите во встроеные watchdog-и и вообще в чудодейственный сброс.

Это обычная перефиферия со всеми обычными и потенциальными проблемами.

Но ей на пути можно и нужно навыставлять барьеров.
Неправильным выбором цепей защиты и неверной топологией можно натерпеться даже от средних помех.

Если бы вы озвучили параметры помехи и показали схему защиты с топологией,
то довольно быстро вам бы показали, где слабое место.

Автор написал, что происходит сброс настроек периферии. Значит и таймер-сторож может отключиться (сбросится в начальное состояние). Может конечно помочь принудительное включение таймера через Option byte, но надежнее проверенный путь - внешний WDT.

Это смотря с какой точки смотреть. если относительно земли, то по питанию.

Что-то слабо верится. Поставьте плату в отдельный экранированный корпус, нормально защитите все входы/выходы (продольный резистор + шотки земля-питание) (питание в т.ч - стабилитрон), нормально разведите плату (4-х слойка со слоями земли и питания+правильная разводка) и в такой блок можно будет напрямую молниями пулять без всяких сбоев, независимимо от процессора.

Мы делали блоки контроля тока ОПН - там импульсы напряжений до сотен кВ с токами до 100 кА с крутыми фронтами - и все нормально работало без сбоев. Да еще и питаться умело от этих самых импульсов.

А гальваноразвязку тоже с умом делать нужно, от высокочастотных помех она не спасет - фильтры нужны.

Чем встроенный watchdog хуже внешнего? Точнее, что мешает сделать такой же качественный? А то, что в STM32 его можно отключить, да, это не очень надежное решение.
Вообще-то, речь не только про сторожа. И про защиту. И про плохую землю. Про отсутствие экранов.

Печалит одно только существование документа... На ровной дороге такие документы не составляются, видимо как способ увести внимание что грабли из чужого огорода у ST немного получилось. Все еще надеюсь найти совет по штопору. В AVR при компиляции программ я в конце BIN файла обычно JMP 0 ставил, а тут некуда. Возможно ядро и работает, но ГДЕ-ТО там, а WATCHDOG завял. Может в оперативку в конец сгенерировать код на NVIC_Reset ???