基于TPS259483 eFuse与STM32F745ZG的电源保护方案详解

前阵子调试一块工业控制板外设供电轨是 5V/5A负载里有小型电机、4G 通信模块和几路传感器。最初没做路径保护只靠前端 DC-DC 的限流扛着。结果现场一个传感器线缆被压伤导致短路DC-DC 直接进入打嗝保护主控因为 5V 掉电丢失了运行日志用户反馈是“设备偶发死机”。查了两周最后把方案改成 TPS259483AYWPR 电子保险丝配合 STM32F745ZG 做监督控制才把问题彻底压住。这篇文章就是把整个做法的来龙去脉梳理一下硬件上怎么接 eFuse软件上怎么设计状态机以及实测中哪些坑最容易踩。适合两类人看一类是正在做嵌入式电源保护的硬件工程师另一类是写设备驱动但总被电源问题背锅的软件工程师。1. 为什么电源路径需要“能听懂指令”的保险丝从一次现场故障说起1.1 那次故障的真实教训正常电流不代表上电安全板子刚设计出来的时候所有人都觉得“5V 输出有 DC-DC 限流就够了”。DC-DC 本身带过流保护输出短路时会启动打嗝模式听起来好像没问题。但问题恰恰出在这里打嗝保护对电源芯片是保护对系统却是灾难。4G 模块在打嗝期间反复上下电状态机乱掉传感器供电被中断后上位机还认为设备在线更麻烦的是 DC-DC 打嗝时输出电压是断续的主控处于一种“半死不死”的状态程序跑飞了也没人知道日志也写不了。后来我用电流钳抓波形才发现电机启动瞬间电流可以冲到 6A 以上持续时间只有几毫秒。DC-DC 的限流是峰值限流碰到这种短时浪涌会误动作而真正的短路故障反而是电压瞬间塌陷、电流迅速上升。这两者在系统层面如果不加区分你没法判断到底该恢复还是该锁定。传统保险丝不可恢复PPTC 热敏电阻响应又慢继电器体积大而且动作寿命有限。这时候我想到的是电子保险丝也就是 eFuse。1.2 电子保险丝、PPTC、继电器保护方案的一次横向对比做保护选型时我把自己常用的几种方案放在一起比较过方案响应速度可复位限流可调电压监控状态输出MCU 可控保险丝管较快否否否否否PPTC 热敏电阻慢秒级是否否否否继电器检测电路慢毫秒到秒级是困难需外扩需外扩是分立 MOS 管电路取决于环路复杂困难需外扩需外扩是eFuse微秒级是是是内置比较器FLT/PGEN 引脚控制eFuse 的优势不是某一点特别突出而是把快速限流、过压欠压保护、软启动、状态反馈全部集成在一个小封装里。尤其对于嵌入式设备PCB 尺寸有限你不可能为了几个保护功能堆一堆分立器件。另一个关键点是它带 EN 引脚意味着 MCU 可以在软件里决定什么时候把电源交给负载而不是让保护逻辑完全失控。1.3 TPS259483AYWPR 和 STM32F745ZG 的职责划分这里必须强调一个观念基本的过流、短路保护永远放在硬件层绝对不要指望 MCU 中断来救场。软件处理一次 GPIO 中断、再写一个寄存器最快也要几十微秒而 eFuse 内部的比较器和 FET 关断动作是微秒甚至亚微秒级的。STM32F745ZG 在这个项目里做的是“决策和监督”什么时候允许给负载上电控制 EN上电后什么时候算稳定读取 PG出了故障之后该自动重试还是锁定读取 FLT结合 IMON 电流采样做判断把每次故障发生的时间、类型、电流峰值记录到日志里方便现场排查这套划分避免了两个极端一是纯硬件保护电路无法远程控制、无法自动恢复二是纯软件保护在短路面前反应太慢。TPS259483AYWPR 承担快速切断STM32F745ZG 承担恢复策略和人机交互各干各擅长的活。2. 认识 TPS259483AYWPR 的引脚分工与关键参数设置思路2.1 先把引脚功能理清楚不是简单的一进一出TPS259483AYWPR 是 QFN 封装的卷带料内部集成了功率 FET。我第一次画原理图时差点把它当成一个带使能的电源开关实际上它的引脚功能比普通开关丰富得多。引脚命名在各版本数据手册里大同小异我这边实际用到的核心引脚大概分三类控制类EN/UVLO、OVP、ILIM、CT状态类FLT、PG监控类IMON、VIN、VOUTEN/UVLO 既做开关控制也做欠压锁定阈值设定OVP 负责过压保护阈值ILIM 通过外部电阻设定限流值CT 接电容设置软启动时间。FLT 是故障标志输出通常低电平有效PG 是电源正常指示表示输出已经达到预期范围IMON 输出一个和负载电流相关的监控信号可以直接让 MCU 的 ADC 采样。第一次设计时可以不用把所有引脚都用满但 FLT、PG、IMON 这三个状态脚建议一定要接出来否则 MCU 就变成了一个只会按开关的遥控器。2.2 ILIM 限流电阻不是“随手选一个”而是要和负载峰值匹配限流值是整个保护方案的核心参数。定低了启动浪涌会误触发保护定高了短路故障时损坏能量太大。我这个项目的负载是几路外设并联实测最大稳态电流 3.2A电机启动瞬态峰值 4.2A于是把限流值设定在 6A 左右给正常峰值留出 40% 以上的裕量。选择限流电阻时需要注意ILIM 引脚通常是通过一个电阻到地限流电流和电阻值呈反比例关系电阻越小限流值越大。具体数值必须查数据手册里的曲线或公式不同型号的电流标定常数可能是不同的。我的经验有两条电阻精度选 1%不要用 5% 的普通排阻替代。限流点本身有温度漂移电阻再不准确整个保护阈值就不可控。PCB 布局时让电阻远离发热器件。电阻温度变化会导致限流点漂移我后文会单独讲这个坑。2.3 过压、欠压和软启动时间怎么一起定过压保护和欠压锁定都是通过分压电阻设置阈值的。输入母线是 12V我设置的欠压点大约是 9V过压点大约是 15V。为什么要这么宽因为这是工业现场12V 母线在电机启停时会有明显跌落和尖峰如果阈值卡得太紧电源本身一点正常波动就会让系统误动作。软启动时间则到 CT 引脚通常通过调节外接电容容量来改变内部限流环路的启动斜率。负载側的大容量电容越多软启动时间就要越长。计算公式数据手册里有我实际先用最保守的 2ms 起步然后根据示波器观察 VOUT 上升波形再递增。调试时建议把 CT 电容位置预留可更换的封装比改电阻方便得多。2.4 FLT 和 PG状态脚的上拉电阻别省FLT 和 PG 内部一般是开漏结构外部必须接上拉电阻到 MCU 的 I/O 电源我统一用了 10kΩ 上拉到 3.3V。如果不加上拉这两个引脚根本读不出有效电平如果上拉电阻太小比如 1kΩ开漏输出拉低时会增加额外功耗对低功耗设备不友好。还有一个很容易搞反的点PG 在输出正常时是高电平FLT 在正常时也是高电平。写代码的时候最好用带逻辑含义的宏定义不要直接判断引脚电平。比如#define EFUSE_PG_OK() HAL_GPIO_ReadPin(...) GPIO_PIN_SET比在状态机里写死数字更不容易出错。3. 把 STM32F745ZG 接进保护环路硬件连接和采样通路设计3.1 选型理由F745ZG 的性能放在这里有什么用有人会问只是读几个 GPIO 和 ADC 通道一个 8 位单片机也够了为什么上 STM32F745ZG说实话纯保护逻辑确实不需要 Cortex-M7 216MHz。但这块板的整体方案还包括 USB 日志导出、以太网通信、多路 ADC 采集、按键交互和远程固件升级F745ZG 的 LQFP144 封装提供足够的 I/O1MB Flash 和 320KB RAM 也让我不用抠内存。尤其是 ADC 部分F7 系列自带硬件过采样可以很方便地把 12 位 ADC 的抖动做平不用软件写复杂的均值算法。选型还有一个实际原因F745ZG 的 ADC 有多路采样保持可以同时监测几路电源域的 IMON 信号。我后面扩展了第二路 eFuse 做 12V 外设保护引脚资源还是够的。3.2 关键接线关系EN、FLT、PG、IMON 的连法我实际搭的硬件连接关系如下eFuse 的 VIN 接前端 DC-DC 输出的 12V 母线或者 5V 次级轨VOUT 接负载EN 引脚由 STM32F745ZG 的 GPIO 推挽驱动中间串联 100Ω 电阻FLT 和 PG 各自接 10kΩ 上拉到 3.3V同时接到两个 GPIOIMON 输出串联 1kΩ 电阻并联 0.1μF 电容到地然后接 ADC 输入通道那个 100Ω 电阻是防冲击用的避免 GPIO 在初始化阶段因为输出电平不确定而反复 toggle EN。GPIO 复位时默认可能是浮空输入这时 EN 悬空会不会导致 eFuse 误开启我试过某些 eFuse 的 EN 内部有下拉悬空时是关闭的但不同型号行为不同稳妥的做法是在 EN 外部加一个 100kΩ 下拉电阻确保 MCU 还没初始化之前负载不会上电。这个细节帮我避免过好几次“一插上调试器外设就自己动起来”的尴尬。3.3 采样通路设计ADC 不是简单接一根线就能读准IMON 信号是模拟量直接拿到 MCU 的 ADC 引脚之前一定要做低通滤波。原因很简单负载电流里含有高频纹波特别是电机这类设备IMON 电压会跟着电流一起抖动。如果直接采样你会看到 ADC 读数值在几十到几百之间乱跳根本没法做阈值判断。我选的 1kΩ 电阻加 0.1μF 电容组成一个截止频率约 1.6kHz 的低通滤波器把高频分量滤掉。这个截止频率足够保留几十毫秒级的过流趋势又不会让采样值乱跳。另外要注意ADC 的 VREF 引脚要单独去耦不要直接和 MCU 的 3.3V 电源共用一根走线。虽然 F745ZG 内部有参考电压缓冲但工业现场地线上的噪声很容易通过 VREF 串进转换结果。我接了独立的 1μF 和 0.1μF 陶瓷电容并且让 VREF 走线远离 DC-DC 的电感区。3.4 负载电容对启动过程的影响负载的储能电容不是一个随便选的参数。电机驱动板、4G 模块电源输入常有几百微法的电容这些电容在通电瞬间等于短路需要很大的充电电流。如果软启动时间太短限流点还没建立起来电容充电电流就会触发保护。反过来如果软启动时间太长设备开机响应会变得迟钝。我最后的平衡点是这样找的先把 CT 电容设为 1nF测上电波形每次增加电容容量重新测直到 VOUT 上升曲线没有明显电流尖峰为止。实测下来一个 470μF 负载电容加上 4A 稳定电流软启动时间大约需要 1ms 到 3ms 比较合适。4. 软件状态机受控上电、非阻塞按键、故障自恢复4.1 代码分层的思路驱动、板级、业务分开这个项目的软件我按嵌入式代码分层的习惯组织不把所有逻辑堆在一个 main 函数里。最底层是 HAL 库的 GPIO、ADC、TIM 初始化中间一层封装board_efuse.c提供efuse_enable()、efuse_disable()、efuse_pg_status()、efuse_fault_status()、efuse_read_imon()这些接口最上层才是电源状态机。为什么要这么分因为换一块板子、换一个 eFuse 型号时只需要改中间层接口里的引脚映射和寄存器操作状态机不用动。后面我扩展多路电源管理就是靠新增几个 board 层实例完成的。4.2 电源状态机不要用延时函数要用事件驱动电源控制最忌讳的就是写HAL_Delay()等上电完成。如果延时时电源没正常起来整个程序就被卡死如果用户按键扫描也在 while 里等系统反应会变得很差。我设计的状态机大概是这样状态主要行为退出条件PWR_STATE_OFF负载断电等待按键检测到开机事件设置 EN1PWR_STATE_RAMP_UP已使能 eFuse等待 PGPG1 或超时进入故障PWR_STATE_ON正常运行持续监控 FLT/IMON故障事件或关机请求PWR_STATE_FAULT记录故障类型拉低 EN用户确认或达到自动重试条件PWR_STATE_RETRY_WAIT等待重试间隔定时器超时后回到 RAMP_UP核心循环由一个 5ms 的 SysTick 节拍驱动每拍调用按键扫描、状态机执行、ADC 采样不会因为某一项操作阻塞其他逻辑。伪代码大概是这个样子static void power_path_fsm(int tick_ms) { switch (pwr_state) { case PWR_STATE_OFF: if (key_event KEY_PRESS_LONG) { efuse_enable(); pwr_state PWR_STATE_RAMP_UP; rampup_timer 0; } break; case PWR_STATE_RAMP_UP: rampup_timer tick_ms; if (efuse_pg_status() true) { pwr_state PWR_STATE_ON; } else if (rampup_timer RAMPUP_TIMEOUT_MS) { efuse_disable(); pwr_state PWR_STATE_FAULT; fault_code FAULT_NO_PG; } break; case PWR_STATE_ON: if ((efuse_fault_status() false) || (efuse_read_imon() IMON_OC_THRESHOLD)) { efuse_disable(); pwr_state PWR_STATE_FAULT; fault_code FAULT_OC; } break; /* FAULT 与 RETRY_WAIT 状态略思路类似 */ default: break; } }4.3 非阻塞按键长按开机、短按清故障是怎么实现的按键处理没有单独开一个任务而是利用了 SysTick 每 5ms 调用一次按键扫描函数。消抖时间设置成 20ms也就是连续 4 次扫描结果一致才认为按键状态变化。长按开机逻辑是检测到按下事件后如果按键保持按下超过 1 秒触发开机短按一次在 FAULT 状态下清除故障并重新尝试上电。这样用户不需要看到电路原理图只需要按照“长按开、短按复位”的方式操作设备。这里有一个很实用的细节按键扫描函数只记录事件不改变电源状态。状态机通过查询按键事件来切换状态而不是在按键中断里直接调用efuse_enable()。这样即使按键误触发也只是产生一个事件不会把电源路径搞乱。中断里只应该置标志位这种原则在这里依然适用。4.4 ADC 采样与故障恢复策略自动重试次数不能无限IMON 的 ADC 采样我用了 8 次连续采样的平均值每 5ms 触发一次 DMA 转换DMA 完成中断里把结果累加到环形缓冲。直接在状态机里读单个 ADC 值不靠谱因为低通滤波后的信号仍然会有缓慢波动单个采样点可能高于阈值连续采 8 次平均后才比较平滑。故障恢复策略这块我的原则是“可以自动恢复但绝不能无限重试”。每次检测到短路或过流先把 EN 拉低强制 eFuse 关断等待 500ms 让输出电容放电再重新使能。如果连续 5 次都在上电后 100ms 内再次故障就进入 HALT 状态不再自动尝试必须等现场人员短按复位或断电重启。因为如果是负载彻底损坏无限重试只会让故障点反复发热甚至把隐患扩大。日志方面FAULT 状态会记录故障代码、发生时刻、故障前的 IMON 峰值写入内部 Flash 的一个日志区。要注意 Flash 擦写寿命所以只在状态变化时记录不要每 5ms 写一次。5. 实测波形与四个容易踩的坑5.1 上电浪涌和短路在示波器上如何区分测试时用电流探头夹在 VIN 线上同时用普通探头测量 VOUT 和 FLT。上电浪涌的波形特征是VOUT 缓慢爬升电流出现一个明显但不算激进的尖峰FLT 始终是高电平。短路故障的波形特征则是VOUT 瞬间跌到接近 0电流快速上升随后 FLT 拉低。如果只盯着电流值做判断最容易犯的错误是把正常浪涌当成过流故障但如果同时看 VOUT 是否掉电区别就很明显。这印证了状态机里“PG 检测”不能省略的原因只靠 IMON 阈值判断故障会把启动过程误判成故障。5.2 ILIM 电阻的温度漂移一个非常隐蔽的限流点偏移有次老化测试时设备稳定运行两小时后偶发启动失败抓波形发现限流点明显变低了。排查到最后原因让人哭笑不得ILIM 电阻摆放位置靠近一个功率电阻温度从室温升到 70 度以上电阻阻值变化导致限流点偏移原本 6A 的限流点漂到了 5A 以下。后来把 ILIM 电阻挪到远离发热源的位置问题就消失了。这件事告诉我们选完阻值只是第一步布局才是决定限流点稳定性的关键。任何和电流设定有关的电阻都尽量避开 DC-DC 电感、功率 MOS、大电流走线的热辐射区域。5.3 故障之后的恢复逻辑别把硬件闩锁和自动重试搞混不同型号的 eFuse 对故障的响应方式不同有的故障后会闩锁需要把 EN 拉低再拉高复位有的会自动重试。使用 TPS259483AYWPR 时我一开始代码里只判断了 FLT 电平恢复发现故障后即使把 EN 变高输出还是没起来。原因是我没有真正把 EN 拉低足够时间内部闩锁没有被清除。后来我在 FAULT 状态里强制把 EN 拉低 10ms 以上再重新使能问题才解决。这个 10ms 时间应该做成宏定义现场调试时可以调整。处理故障恢复时也要注意 FLT 信号本身可能在上电瞬间因为 PG 未建立而短暂拉低软件里要加一个 20ms 到 50ms 的去抖窗口避免把正常上电误判为故障。5.4 上游电源被拖垮保护了下游上游反而成了短板eFuse 在下游短路时快速切断听起来很好但短路发生的瞬间输入侧的电压会被瞬间拉低。如果上游 DC-DC 的输入电容不够大可能会出现上电瞬间整个 12V 母线跌落超过 10%导致主控复位。我针对这个问题做了两件事第一在 eFuse 的 VIN 侧增加 100μF 储能电容缓解瞬时冲击第二控制多路 eFuse 的顺序上电时间让几路大负载错开 10ms 到 50ms 启动避免多路同时开启时母线电流叠加。顺序上电的实现很简单就是在状态机的 RAMP_UP 状态里分别维护不同的启动延迟F745ZG 的定时器资源足够支撑多路延时。6. 原理图自检清单与后续扩展思路6.1 落地前一定要过的硬件检查项整理这份清单的时候都是从实际调试中总结出来的每次画完板子先逐项确认能减少很多返工EN 引脚外部是否加了下拉电阻确保 MCU 复位期间负载不会误上电FLT 和 PG 是不是都配了上拉电阻上拉电压是否和 MCU I/O 电压域一致ILIM 电阻精度是否 1% 以上布局是否远离发热源IMON 低通滤波的截止频率是否和 ADC 采样周期匹配VREF 去耦电容是否足够走线是否避开了电感和大电流回路VIN 侧是否预留了足够的储能电容测试点是否预留 VIN、VOUT、FLT、IMON软启动 CT 电容是否预留了可更换封装方便调试启动斜率输出电容的 ESR 是否在 eFuse 手册允许范围内6.2 从单路保护扩展到多路电源管理的想法这块板做完后其实可以继续保持同一个思路扩展。比如用 F745ZG 控制两路或三路 TPS259483AYWPR分别保护 12V 外设轨、5V 逻辑轨和电池备份轨。MCU 自己记录每一路的 PG、FLT、IMON 采样值按固定周期把状态打包成一条日志通过 USB 或者以太网发给上位机。这样现场工程师不用拆机箱、不用拿万用表直接看监控界面就能知道是哪一路电源出了问题、故障发生时的电流多大、自动恢复了几次。我个人的经验是这类带 MCU 的电子保险丝方案最值钱的地方不是保护动作本身而是它为系统提供了“事后可追溯”的能力。故障波形、电流峰值、恢复记录都能形成闭环下一次设计不会再重复踩同样的坑。如果你也在做嵌入式或工业应用的电源路径保护建议从一块小板的单路保护开始把状态机跑通再横向扩展这样风险最可控调试也最快。