辅助电源 Inrush / Soft-start 控制深度 — 上电涌流抑制 + 3 种方案 + ASIL D DFA

Vin 12 V 阶跃后,bulk cap Vcap 在约 1 ms(3~5τ)内充至接近 12 V(线束 R + cap ESR 决定时间常数 τ ≈ 200 μs;t = τ 时仅充到 ≈63% = 7.6 V,3τ≈95%、5τ≈99%)。同期 Iin 在前 100 μs 飙到 30+ A,然后按 RC 指数衰减,1 ms 后回落到稳态 0.5 A。典型 $I\text{peak}/I\text{steady}$ 比值 = 12–80×,小容量 ECU 更高(本例 30 A / 0.5 A = 60×,全场景见 §2 表),这是为什么"普通"上电瞬间会触发各种保护。

每个后果都对应一个真实的 BMS / VCU 量产 NPI 阶段问题:

• ① 上游保护误跳(电子式,不是热熔 fuse) — RC 衰减涌流(峰 30 A、τ ≈ 200 μs)单次 I²t ≈ Ipk²·τ/2 ≈ 0.09 A²·s,而 5 A MINI blade fuse 的熔断 I²t = 25 A²·s(Littelfuse 297 目录值)——只有阈值的 0.4%,热熔 fuse 对典型 ECU 单次涌流天然免疫。真正误跳的是:(a) 上游电子式保护(zonal PDU e-fuse / 智能高边开关)的 μs 级 OC 比较器,阈值常按稳态 2× 设,30–80 A 峰直接触发 trip→retry 振荡;(b) fuse 贴额定 + 大 Cbulk 的疲劳角——若 1.5 A 稳态配 2 A MINI(熔断 I²t 仅 2.8 A²·s),80 A 级涌流(mF 级 Cbulk)单次 I²t ≈ 0.8 A²·s 已达阈值 ~29%,超出 fuse 厂重复脉冲降额窗($10^5$ 次寿命建议 ≲20%),元件热循环疲劳提前熔断
• ② 反接 MOSFET SOA 应力 — 导通中反接 MOSFET 压降 = 30 A × 30 mΩ = 0.9 V,瞬态耗散 = 30 A × 0.9 V = 27 W(持续 ~1 ms);单脉冲升温查 datasheet 瞬态热阻抗:$Zth\text{(JC)}$(1 ms) 量级 0.05–0.5 °C/W(die 越大越低)→ 单次 $\Delta T$ ≈ 27 W × 0.3 ≈ 8 °C,一次涌流烧不了管;真正的威胁是 reset 振荡把它变成周期重复脉冲——等效 Zth 随 duty 抬升 + 长期热循环疲劳焊点/键合,反接 MOSFET 缓慢退化
• ③ 12 V bus 下陷 — 线束总 R 100 mΩ × 30 A = 3 V 压降,12 V → 9 V,逼近同 bus 其它 ECU 的 SBC UV 告警窗(~8.5–9V)→ UV 告警/降级(若回路 R 更大或叠加电池+连接器内阻使 bus 跌破 8.5V,才真正触发 UV reset、整车 CAN 失效几秒)
• ④ 上电反复 reset 振荡 — 压降 → SBC UV → reset 自己 → 涌流停 → 电压回 → 再启动 → 又涌流 → ... 1 分钟可重启 100 次,MCU latch-up 风险 + 触发 ASIL D safe state 误激活;这个场景正是标准化测试覆盖点:ISO 16750-2:2023 §4.6.2 Reset behaviour(从 USmin 按 5% 阶梯逐级跌落、每步保持 ≥5 s,要求最低 functional status class C)与 LV124 E-09 复位特性——每一步都重新触发一次完整 soft-start

四者共同效应是 ECU 整车上线测试 fail 主要表现为"启动随机 / 部分电压条件下不上电 / 一启动就 reset",主机厂 NPI 阶段平均要花 2 周排查根因 — 几乎都指向 soft-start 没做或参数没调好。

NTC(负温度系数热敏电阻)冷态阻值高(典型 5 Ω),工作温度后降到 0.5 Ω。原理:冷启动时 NTC 限流到 12 V / 5 Ω = 2.4 A,过 200–300 ms 自热到稳态低阻态,涌流过去后变成几乎透明。

工业 PSU 用了 30 年,简单 + 便宜(BOM 3 元),但车规不达的根本原因 — 反复上电场景(车辆冷热启动循环、CAN sleep/wake、12V drop-recover,以及 ISO 16750-2 §4.6.2 阶梯跌落测试本身)NTC 来不及冷却回 5 Ω,第二次启动 NTC 已经是低阻态,等于没有 soft-start。+ NTC 寿命 ~ $10^4$ 次热应力量级,而 ECU 整个生命周期 sleep/wake + 启动循环在 $10^5$ 量级,早就烧穿。

把 NTC 换成全控 MOSFET + 闭环控制 IC:IC 监测 Vin / Iin / Tj,反馈控制 MOSFET 栅极,实现:

• dV/dt 闭环控制 — 可编程 SS time 10–200 ms(dVdT / gate 电容决定)
• I × V SOA 监测 — MOSFET 工作点在 SOA 边界外立刻关栅
• OC / OV / OT 全套保护 — 短路 / 过压 / 过温三件套

dV/dt 闭环怎么实现 + 为什么要功率限制(两个易混点):

• dV/dt 闭环:IC 用一路恒流源(µA 级)给 dVdT/SS/gate 电容充电得线性参考,使 VOUT 以 $dV/dt=I\text{chg}/C\text{ramp}$ 恒速爬(不是 RC 指数)→ 涌流被钳成 $I=C\text{bulk}\cdot dV/dt$ 恒定平台,与负载冷热无关(e-fuse 胜 NTC 的根)。三种实现:dVdT 引脚(TPS2663x 外挂电容;TPS25940-Q1 悬空默认 30 V/ms)、precharge FET 栅电容(TPS12111-Q1 的 G 引脚 100 µA 充 Cg,§4.1 worked design)、功率限制 + 故障定时器(LM5066/LM5069,无显式 ramp 引脚)
• 功率限制(PLIM)是第二条独立环:电流环把 ID 限在 Ilimit,但 ramp 期 VDS 仍高(VOUT 未建),VDS×Ilimit 可能越 SOA;PLIM 监测 VDS×ID,触到恒功率双曲线就主动回拉栅极压低 ID,让工作点沿恒功率线滑而非恒流线——大 Cbulk/高 Vin 下不烧管。这是选"带功率限制"(TPS2663x/LM5066)而非"仅电流限"的核心判据

主流 IC(2026,注意区分车规/工业档——本页早期版本曾写"LM5066-Q1 / LTC4380-Q1",两者均不存在 -Q1 车规型号,已订正):

• TI TPS1211-Q1 家族 — 3.5–40 V(45 V abs max),AEC-Q100 Grade 1,外置 back-to-back N-FET;−30 V 是输出端反压耐受(datasheet §8.3.7 output reverse polarity,SRC-GND abs max −30 V),别当输入反接指标;输入反接单说:back-to-back 能阻断反向负载电流,但控制器 VS 引脚 abs max 仅 −1 V,输入反接场景须按 datasheet §9.3 加地线 N-FET(Q4)+ Zener 保护控制器——漏掉 Q4,反接 −12 V 即超 abs max 损坏 IC;TPS12111-Q1 变体带独立 precharge 驱动(G 引脚)专为大容性负载,12 V PDU/zonal → ECU AUX 的车规默认(datasheet SLUSEQ9E)
• TI LM5066 — 10–80 V hot-swap 控制器 + PMBus 遥测,ILIM 门限 26/50 mV,外置 MOSFET + shunt;工业档(服务器/基站背板),车规项目别照抄评估板
• TI TPS2663x — 4.5–60 V / 0.6–6 A / 31 mΩ 集成 FET,dVdT + PLIM 双环,工业档;车规集成 FET 类看 TPS25940-Q1(2.7–18 V,只能放在前端钳位之后)
• ADI LTC4380 — 4–72 V surge stopper,外置 N-FET + TMR 引脚 SOA 限时,自带 inrush 控制(见 输入瞬态防护深度 的 worked design)
• Infineon BTS50085-1TMA — Classic PROFET 智能高边开关(5.0–58 V,集成 FET + 限流 + 过温 retry),PDU/BCM 侧集成方案

EV 12 V ECU AUX(15–30 W,5 A 量级)默认 TPS12111-Q1 类控制器 + 外置 FET(或在 PDU 侧由 PROFET 统一做限流),BOM 8–15 元,寿命 > $10^8$ 次(无机械件)。这是 EV ECU AUX 真正的主流方案。

只用在HV bus 大容量场景(主驱 IGBT/SiC 模块 1–2 mF + BMS HV 接入)— 这种场景下 e-fuse MOSFET 也扛不住 400 V × 100 A 涌流,只能上两级继电器策略:

1. K2(小继电器)+ Pre-charge R(典型 50 Ω / 500 W)先接通,RC 时间常数 50 Ω × 1 mF = 50 ms,Cbulk 在 200 ms 内充到 95% Vin
2. K1(主继电器)闭合 — 此时 VK1 = 5% Vin,继电器触点不被电弧烧
3. K2 断开,Pre-charge R 退出

关键约束:K1 不能先于 95% 闭合,否则继电器触点烧;K2 必须在 K1 闭合后才断,否则 R 短路烧毁。VCU 软件控制时序 + BMS HV 接入 InitState。

继电器机械寿命 $10^5$–$10^6$ 次,对照整车 15 年 × ~10 次上下电/日 ≈ 5.5 万次——选型即覆盖全生命周期,不设定期更换;预充单元的失效模式(pre-charge R 热损、触点粘连)靠 BMS 上电自检(预充电流/时间窗口监测)+ DTC 上报兜底。

端到端走一遍真器件设计,全部数字来自 TI TPS1211-Q1 datasheet(SLUSEQ9E)§9.2 typical application——12 V PDU 给 zonal controller 供电。设计点:Vin = 12 V / Cout = 1 mF / 最大负载 25 A / OC 阈值 IOC = 30 A / 短路阈值 ISC = 35 A / 故障定时 tOC = 1 ms / 充电时间 Tstart = 10 ms / UVLO = 6.5 V:

1. 涌流平台 $I\text{inrush}=C\text{out}\cdot V\text{in}/T\text{start}$ = 1 mF × 12 V / 10 ms = 1.2 A(仅稳态满载的 5%——precharge 期下游负载未使能,平台可以远低于稳态)
2. Precharge 栅电容 $C\text{g}=C\text{out}\cdot I\text{(G)}/I\text{inrush}$ = 1 mF × 100 μA / 1.2 A = 83.3 nF → 82 nF(G 引脚充电电流 I(G) = 100 μA typ;串 Rg 220–470 Ω 稳定 slew 控制并限制关断放电)
3. 电流采样电阻 $R\text{sns}=V\text{(SNS-WRN)}/I\text{OC}$ = 25 mV / 30 A = 833 μΩ → 800 μΩ 1%(OC 阈值电压推荐窗 10–200 mV,取 25 mV 平衡噪声与 shunt 耗散)
4. OC 阈值编程 $R\text{IWRN}=11.9\times R\text{SET}/(R\text{sns}\cdot I\text{OC})$ = 11.9 × 100 Ω / (800 μΩ × 30 A) = 49.5 kΩ → 49.9 kΩ 1%(RSET = 100 Ω)
5. 短路阈值编程 $R\text{ISCP}=I\text{SC}\cdot R\text{sns}/15.6\mu \text{A}-600\Omega$ = 1.19 kΩ → 1.2 kΩ 1%(ISCP-CS− 间加 1 nF 滤 di/dt 寄生,防误跳)
6. 故障定时器 $C\text{TMR}=82\mu \text{A}\times t\text{OC}/1.2\text{V}$ = 68.3 nF → 68 nF(允许 1 ms 过流瞬态不跳)
7. 主 FET — back-to-back ×2 Nexperia BUK7S0R5-40HJ(40 V / 0.47 mΩ typ @ VGS 10 V / Qg 190 nC),25 A 满载导通损耗 25² × 2 × 0.47 mΩ ≈ 0.6 W;$C\text{BST}\ge Q\text{g(tot)}/1\text{V}$ = 380 nF → 470 nF
8. UVLO 分压 — V(UVLOR) = 1.18 V:R1 = 470 kΩ / R2 = 105 kΩ → 6.5 V
9. SOA 校核 — precharge FET Q3 最恶劣点在 ramp 起点:VDS ≈ 12 V、ID = 1.2 A → 峰值耗散 14.4 W,随 VOUT 爬升线性衰减(平均 ~7 W,持续 10 ms),对照 Q3 的 SOA 10 ms 线取 ≥50% 余量(主 FET 满增强后才接管、几乎无 SOA 应力——这正是 precharge 变体的价值)

小容量 ECU 同公式直接缩放:450 μF PEU AUX 在同样 1.2 A 平台下 Tstart = 450 μF × 12 V / 1.2 A = 4.5 ms,Cg 缩到 39 nF 档。整套 BOM(控制器 + 双 FET + precharge FET + 阻容)约 12–18 元。

ECU 冷启动 → Vin 上电的完整时序(典型 EV PEU AUX):

详见 POR Sequencing 深度 — soft-start PG 是 POR 的第一个 enable 输入。PG 的具体形态因 IC 而异:LM5066 有专用 PGD 引脚;TPS1211x-Q1 没有 PG,用 FLT 状态 + IMON 或下游 SBC 自身的 UV 释放门限兜底——联锁逻辑不变:输出没建稳,下游不许起。

e-fuse 因为短路 / SOA 超限关栅 → PG 不拉高 → POR 永远不 enable → MCU 不上电。这条链路是故意设计的"先 soft-start 后 POR"安全联锁,目的是把任何上电异常吸收在 e-fuse 这一层,不让异常传到 SBC / MCU。

5 个失效模式按 MOSFET / IC / 外围器件分类,SM 设计的杠杆都在 PG 信号 + Iin 监测两条独立诊断:

soft-start 失效后 ECU 进 Safe State 1 — Vin 切断 + 上报 DTC + 不允许重启,需要维护介入。不进 SS2(切主功率)是因为 ECU 还没上电就失败,主功率还没起来。

只列高风险 3 类:

• Power(共 Vin)— soft-start IC 跟反接 MOSFET 共 Vin,反接事件同时挂掉两者;缓解:e-fuse IC 内置反接检测 + 双路保护
• Communication(PG 信号)— soft-start PG → POR enable 是单根线,断了 ECU 不上电;缓解:PG redundancy(双 PG / I/V 监测互查)
• Implementation(BSP 配置)— soft-start Css / Rs 参数错配,流片后才发现;缓解:仿真 worked example + DV 测试 100% 上电涌流 oscilloscope 抓波