辅助电源 rail 级输出保护深度 — OVP/OCP/UVP + hiccup/latch/foldback + SCP

rail 级输出保护是变换器护自己 + 护下游,三道各守一类失效:

• OCP(过流) — 输出电流越限(过载或短路)。检测靠电流采样(Rsense / 电感 DCR / MOSFET RDS(on) sense)→ 比较器;检测点分 peak / valley / average:peak 在高边导通相测(受斜率补偿 + 前沿尖峰扰)、valley 在低边续流相测更稳、average 慢但抗噪。护开关/电感不热失控、护下游不被拉爆。短路是 OCP 的极端,要 SCP 快速封顶(§3)
• OVP(过压) — 输出冲出安全窗(反馈环故障、FB 分压电阻开路、高边管短路、输出被倒灌)。护下游 IC 不超 abs-max Vdd——这个窗比直觉紧:5 V CAN 收发器 TCAN1042-Q1 的 VCC abs max 只有 7 V(datasheet §7.1),高边管短路把 12 V 直通到 5 V 轨就是秒杀。动作分两类:crowbar(点 SCR 把轨短到地、靠上游 fuse/e-fuse 断源,属 latch 类)vs clamp(并联 TVS 软封顶,可恢复)——但 clamp 有量化陷阱:SMBJ5.0A 的钳位电压是 9.2 V @ 65 A(Littelfuse datasheet,VC×IPP≈600 W 自洽),高于 7 V abs-max,且 12 V 持续直通是准直流事件、600 W 级 TVS 热失控(同 TVS 应用设计的长事件结论)。持续硬过压只有"断开"能救:串联断开式 e-fuse(TPS25940-Q1 类 OV 切断)或 crowbar+fuse 配合
• UVP(欠压) — 输出跌破阈(被过载拖垮、输入 brownout)。常并进 power-good 撤销 + safe-state,或作 hiccup 的"没到调节=故障"判据

OVP 还有一个结构性要求:必须覆盖变换器自己救不了的失效。buck 高边管短路后,内部环路和限流全部失去执行器(失效的就是执行器本身),IC 顶多把 PG 拉低报警——所以喂贵重/安全负载的轨,OVP 动作路径要独立于变换器(下游 e-fuse、SBC 监控、crowbar)。三者里 OCP 的"检到之后怎么办"最有讲究——这是 §2 的四策略。

检到过流不是终点,怎么恢复才是核心决策。四种策略在"短路功耗"和"恢复方式"上分两轴:

• foldback 折返限流 — 输出电压越跌,限流点越往下折返($I\text{lim}$ 随 Vout 降而降),把短路功耗 $V\text{in}\cdot I$ 压住。见于部分线性器件与分立限流电路(现代车规 LDO 主流反而是 brick-wall,见 §3)。陷阱:撞非线性/恒功率/电机负载会"折返锁死"——算一个数:5 V LDO,限流从满压 500 mA 折返到零压 150 mA(线性),带 1.5 W 恒功率负载;5 V 时负载只要 0.3 A,没事;一旦瞬态把 Vout 拽到 2 V,负载需求 $1.5/2=0.75$ A,而折返限流只给 $150+350\times 2/5=290$ mA——需求曲线 $P/V\text{out}$ 与折返直线在低压区没有稳定交点,输出卡死在低压爬不起来
• hiccup 打嗝 — 检到硬故障就关一段固定 off-time,再软启重试;故障还在就重复。短路平均热应力低:LMR33630-Q1 硬短路下"限流运行 ~20 ms → 关断 94 ms"循环(datasheet §7.3.3),导通占空比 $20/(20+94)\approx 18\%$,平均热应力只有恒流硬扛的 ~1/6;故障清了自恢复。同步 buck 主流方案。陷阱:撞大 bulk 电容,上电充电像持续过载 → 一直 hiccup 起不来(器件级缓解见 §3:软启动期禁用 hiccup)
• latch 闩锁关断 — 检到故障锁死,停到掉电/显式复位。硬故障最稳(不反复灌应力),且故障不会静默自清。代价:要人/系统干预才恢复,伤可用性;适合安全相关轨(故障必须被看见 + 进 safe-state)
• brick-wall 恒流 — 把输出电流死钳在限值不动。最简单,但短路时持续高耗(LDO 上 $V\text{in}\cdot I\text{lim}$)→ 必须 OTP 过温兜底(实际上"brick-wall + OTP 热循环"= 现代车规 LDO 的事实标准,§3)

选策略 = 四轴权衡:可用性(自恢复→hiccup)× 安全(硬故障锁死→latch)× 热应力(灌进故障的功率→foldback/hiccup 低、brick-wall 高)× 启动鲁棒(大电容→别用激进 hiccup,非线性负载→别用 foldback)。按 ASIL 落:安全相关轨 = latch + fault 上报,非关键轨 = hiccup 自恢复。

同样是"输出短路保护",三类变换器的实现和热瓶颈完全不同:

• 同步 Buck — 峰谷双限流 + 深跌判据转 hiccup。逐周期限流分两半:peak 限流由峰值电流模式在高边天然实现,valley 限流在低边续流相测——过载时电感谷值电流回不到 $I\text{limit}$ 以下就跳过下一周期(降频),输出最大电流 $I\text{out,max}\approx (I\text{limit}+I\text{sc})/2$(LMR33630-Q1 Eq.1:低边谷值 3.5 A + 高边峰值 4.5 A → ~4.0 A typ)。转 hiccup 的判据不是"几个周期越限",而是"输出深跌":LMR33630-Q1 = 限流中 FB 跌破 0.4 V 即进 hiccup(关 94 ms 重试);LM61460-Q1 = VOUT 跌破设定值 40% 且持续超过 128 个时钟周期才进 hiccup(关 80 ms),且软启动期间 hiccup 禁用(到调节或 tSS2 = 13 ms 才使能)——这正是"大电容启动不误触"的器件级实现。还要管低边负电流/反灌保护:FPWM 下低边可 sink 电流,LM61460-Q1 负向限流 −3 A。近开关节点的硬短路 di/dt 极高,需快比较器
• LDO — brick-wall 限流 + TSD 热循环兜底(注意:不是教科书上的 foldback——现代车规 LDO 主流无折返)。TPS7B82-Q1(AEC-Q100,3–40 V / 300 mA)限流 I(CL) = 310/510/690 mA,测试条件"VOUT short to 90%×VOUT",datasheet 通篇无 foldback(§6.3.3 只说限到 I(LIM))。无电感,pass 管直接耗 $(V\text{in}-V\text{out})\cdot I$:14 V 输入短路 → $14\times 0.51\approx 7.1$ W typ 全烧在 pass 管,即便 TO-252(RθJA 31.1 °C/W)稳态温升也要 220 °C 量级 → 必进 TSD(175 °C Grade 1 / 185 °C Grade 0,迟滞 20 °C),然后在"TSD 关断 → 降 20 °C → 重启 → 再热"里循环——TSD 热循环就是 LDO 版的 hiccup,pass 管是热瓶颈,SCP 本质是热保护
• SBC(系统基础芯片) — 集成多 rail 保护 + 独立安全路径:每路 OC/OV/UV + 热,各自独立;故障经 SPI / fault pin 上报 MCU;故障反应可配置(重试自恢复或锁进 fail-safe,各家实现不同);安全 SBC 还带独立 fail-safe 输出——NXP FS65 的 VCORE/VAUX OV/UV monitor(DC ≥ 95%)+ FS0B fail-safe pin(详见 FS65 深度),Infineon TLE926x 系列同理。SBC 把整张 rail map 的保护 + 上报集中,并补上 §1 说的"独立于变换器的 OVP 路径"

用一颗真芯片把三保护 + 恢复策略走通:TI LMR33630-Q1(AEC-Q100,3.8–36 V / 3 A 同步 buck,datasheet SNVSB26C),12 V 电池轨 → 5 V / 3 A,喂 CAN 收发器(TCAN1042-Q1)+ 传感器。这条轨与 输出纹波电容选型的 worked design 同平台,这里只算保护面:

1. OCP 窗口核算 — 输出最大电流 $I\text{out,max}\approx (I\text{limit}+I\text{sc})/2$:typ $(3.5+4.5)/2=4.0$ A;最坏情况 min $(2.9+3.85)/2\approx 3.4$ A > 3 A 额定 ✓(限流窗天生高于额定,不用外部整定——集成 buck 的限流是"护自己"的,精度 ±15% 量级,不能当精密负载限流用)。电感 Isat 要按限流上限选:max $(4.1+5.05)/2\approx 4.6$ A,硬短路瞬间峰值到 ISC max 5.05 A → Isat ≥ 6 A 档(热态还要降额,见 POL rail 深度角点)
2. 硬短路行为 — 输出对地短路:先逐周期限流(降频),FB 跌破 0.4 V → hiccup:关断 94 ms → 软启重试(内部 tSS 4 ms)→ 短路仍在则限流运行 ~20 ms → 再关断。平均输出电流 $\approx 4.0\times 18\%\approx 0.7$ A,IC 温升可控、自恢复无需干预 — 对 CAN/传感器这类非安全关键轨,策略正确
3. UVP/PG 对账 — PG 下阈 92%(falling,typ):$5\times 0.92=4.6$ V 拉低 PG;下游逻辑的 POR/BOR 阈必须低于 4.6 V 才能形成"PG 先报、POR 后动"的顺序;PG glitch 滤波 60–170 µs——比它短的负载瞬态凹坑不报警,软件侧防抖别再叠 ms 级滤波(叠了就把真 brownout 滤没了)
4. OVP 缺口分析 — LMR33630-Q1 没有 OVP 动作路径:PG 上阈 107% 只报警(FB 越窗拉低 PG),不能断开输出。最危险失效 = 高边管短路 → 5 V 轨直通 12 V,而 TCAN1042-Q1 abs max 7 V。三个选项:(a) TVS SMBJ5.0A——钳位 9.2 V @ 65 A 仍超 7 V,且 12 V 准直流直通会烧 TVS,只护瞬态不护硬短;(b) 下游串断开式 e-fuse(TPS25940-Q1 类,2.7–18 V,OV 阈值可设、越限切断)——持续过压唯一自洽解;(c) 该轨若喂安全 MCU,用 SBC 的独立 VMON(FS65 DC ≥ 95%)触发 fail-safe。默认取 (b),BOM +3–5 元,换来 abs-max 硬保证
5. 恢复策略终审 — 本轨 hiccup 自恢复 ✓(非安全);若同平台复用到安全相关轨(如喂 ASIL D MCU 的 5 V),恢复策略要改:e-fuse OV/OC 配 latch + fault 上报,或由 SBC 监控裁决——器件一样,策略跟着 rail 的 ASIL 走

rail 保护不是孤立模块,动作会撞上复位域、安全态、上电时序——不协调就互相打架:

• 与 POR/BOR:核心轨被 latch 关掉 → 喂的 MCU 掉电 → POR/BOR 复位,MCU 死等人复位才活。所以核心轨用 latch 要想清楚谁来复位;UVP 常直接喂 POR/PG 链(阈值对账见 §4 第 3 步)
• 与 safe-state:哪个保护动作把系统送进 safe-state?安全相关轨 OCP 的动作可能是"latch off + 报 safe-state manager → 驱动 STO/切相"。关键:保护必须可观测(fault pin → MCU),不能静默——hiccup 自清就违反了"故障必须被看见"
• 与 sequencing:sequenced 上电的合法涌流(大输出电容充电)不能误触 OCP——软启动时长与 OCP blanking 要协同,好器件把这条做进了硬件(LM61460-Q1 软启动期禁用 hiccup、到调节或 tSS2 才使能;同 inrush/soft-start 深度的 blanking vs 软启动对账);反过来,下游轨的 UVP 不该因上游还没上来就乱 trip(时序顺序)

rail 保护翻车几乎都在"策略选错了负载类型"和"保护没和系统其余部分对账":

• hiccup 撞大 bulk 电容 — 上电充电像持续过载 → 一直 hiccup 起不来;选软启动期禁用 hiccup 的器件(LM61460-Q1 类),或软启动拉长到充电电流 < 限流
• foldback 撞非线性/电机/恒功率负载 — 折返锁死(§2 的 1.5 W 恒功率算例),输出卡低压爬不起;这类负载别用 foldback
• 恢复策略与 rail 的 ASIL 错配 — 非关键轨用 latch 丢可用性(瞬态故障也锁死);安全相关轨用 hiccup 则故障静默自清、进不了 safe-state——本该 latch + 报 MCU
• OCP blanking 太短/太长 — 太短误触 sequenced 涌流;太长真短路多灌一段应力;按软启动时长对账(§5)
• LDO 短路只核稳态、没核 TSD 热循环 — brick-wall LDO 短路必进 TSD 循环(§3 的 7.1 W 算例);要核的不是"会不会过热"(必过热)而是热循环工况下的寿命与邻居——TSD 迟滞 20 °C 意味着 pass 管在 155–175 °C 反复横跳,焊点疲劳 + 把 PCB 局部烤到邻近器件降额
• 拿 TVS 当 OVP — 5 V TVS 钳位电压 9.2 V @ 额定电流,护不住 7 V abs-max,持续过压还会烧 TVS;TVS 只护瞬态,持续过压要断开式(§4 第 4 步)
• UVP/PG 阈不和下游 POR 对齐 — PG 92% 阈(4.6 V @ 5 V 轨)与下游 POR 阈顺序错了,MCU 意外复位或该复位时没复位;PG glitch 滤波(60–170 µs)之上别再叠长滤波

标称工况的保护逻辑只是设计点,下面三个角把保护判据本身打歪——DV 前先在纸面算穿:

• 输出被外部源倒灌/双源对拉 — 诊断供电、跳线、双电源冗余切换时输出可能被外部顶高:auto/PFM 模式的同步 buck 不 sink 电流,输出被顶到 PG 上阈(107%)只能报警;FPWM 模式低边会主动 sink(LM61460-Q1 负向限流 −3 A)把外源拉塌——到底想不想 sink 是系统决策:冗余供电架构里误 sink = 把备份源当短路打;先定对拉行为,再选 FPWM/auto 与是否加理想二极管
• 深度 dropout(cranking)下保护判据失真 — cold crank 输入跌穿,buck 进 dropout、输出掉出调节:此时 LM61460-Q1 明确禁用 hiccup(dropout 期间输出低不是输出故障,datasheet §9.2),PG 拉低但不是短路——系统侧必须区分"输入不足"与"输出故障"两种 PG=0:拿 Vin 监测做仲裁,别把 crank 判成 SCP 去 latch(那就是 cranking 鲁棒性页说的"启动即锁死" DV fail)
• 高温角:TSD 余量塌缩 — TSD 是绝对阈不是相对阈:105 °C 舱温热浸下,LDO 离 TSD(175 °C)的余量只剩 70 °C,短路后毫秒级进 TSD、热循环频率大增;Grade 0 器件(TJ 165 °C 额定)TSD 185 °C,正常满载已在 TSD 20 °C 内——高温下保护动作从"异常"变成"日常",寿命核算要按热浸工况的 TSD 循环次数做,别拿 25 °C 台架数据交差