POR Sequencing 深度 — 多 rail 上电 + Brown-out 检测

VIO 先于 VDD_core 的工程特点 + 应用场景:

• GPIO 上下拉电阻 → core 通过 ESD diode 漏电
• 长期可烧 core PMOS
• Aurix datasheet "PORST sequence" 章节明确禁止

VDD_core 先于 Pre-reg 的工程特点 + 应用场景:

• VDD_core LDO 输入断电
• LDO 输出 floating → core 不稳定
• Brown-out 误触发

VADC 跌出 5% 的工程特点 + 应用场景:

• ADC 读数偏差 1-2%
• 扭矩 / 位置传感读错
• ASIL D safety goal 违背

RESET 释放过早的工程特点 + 应用场景:

• rail 没稳 MCU 已开始 boot
• Flash 读错 / PLL 未锁 → boot fault
• 根因是 reset-delay 或 PG debounce 相对 rail settling + PLL lock 时间设得太短;SBC 只在 all-rails-PG 后再等一段可配 reset-delay 才释放 RESET(MC33907 = 1 或 10 ms,见 §4.1 / §8),须保证「rail soft-start + PLL lock」窗口落在 RESET 释放之前 —— 不是靠一个固定 50 ms 保证

RESET 释放过晚的工程特点 + 应用场景:

• MCU boot 慢,影响 wake-up 时间
• 不影响安全但影响用户体验

MC33907 sequencer 的工程特点 + 应用场景(值取自 MC33907/08 Datasheet Rev.6.0 + AN4766 Rev.7.0):

• 内置 buck/boost pre-regulator VPRE = 6.5 V(VSUP 2.7–40 V,cranking 可 boost),不是 5.5 V
• VCORE = 1.25 V(SMPS,非 LDO,可调 1.2–3.3 V,0.8 A@907 / 1.5 A@908)+ VCCA 3.3 V LDO + VAUX 5 V LDO(外挂 PNP);上电顺序硬件锁定 VPRE → VCORE → VCCA → VAUX
• Main state machine 管 VPRE/VCORE/VCCA/VAUX;独立 fail-safe state machine 管 WD / RSTB / FS0B
• RSTB 延时 = 1.0 ms 或 10 ms(INIT_FSSM1 二选一;POR / LPOFF 唤醒后自动取最长的 10 ms),不是 20–200 ms
• INIT_FS 须在 256 ms 内写完 + 7× WD refresh 才释放 FS0B(细节见 MC33907/08 安全 SBC 硬件设计)
• ASIL D(SEooC),配 Aurix / MPC5744P 已 validate

TLF35584 sequencer 的工程特点 + 应用场景(值取自 OPTIREG TLF35584 Data Sheet Rev.2.0):

• Buck/Boost pre-regulator(IQ 1.25 A,300 kHz–2.5 MHz),VSUP 4–40 V,cranking 可 step-up 撑住 pre-reg
• µC-supply 3.3/5 V @ 600 mA + Ref-LDO 5 V @ 150 mA(±1%) + 2× tracker 5 V @ 150 mA + comm-supply 5 V @ 200 mA + standby-LDO 3.3/5 V @ 10 mA(RTC/retention)
• UV/OV 监视各轨独立 bandgap 参考 + 可编程 pre-warning;多独立 bandgap;ABIST/LBIST
• Functional WD + Window WD(Q&A),开窗可编程;ASIL D(SEooC),LQFP-64 / VQFN-48

TPS65381A-Q1 sequencer 的工程特点 + 应用场景(值取自 TPS65381A-Q1 Datasheet):

• VDD6 异步 buck pre-regulator ≈ 6 V(内置 FET)喂下游各轨 —— 是「buck + 下游 4 轨」而非「buck + 5 LDO」
• 下游:VDD5 5 V LDO(CAN/FlexRay 收发器)+ VDD3/5 可选 3.3 或 5 V(MCU IO)+ VDD1 core 可调 0.8–3.3 V(外置 FET 控制器) + VSOUT1 sensor supply(tracking / 可调,带 short-to-GND/BAT 保护)
• 原生配 Hercules TMS570(VDD1 → TMS570LS core),亦可配 Aurix;Q&A WD + MCU-ERROR 监控;ASIL D

国产 ASIL-D SBC 的工程特点 + 应用场景(南芯 SC6259XQ 产品简介,2025-09 发布):

• 单芯片集成多达 7 路电源 = 5 DC-DC + 2 LDO(1 同步高压降压控制器 VPRE + 1 异步低压升压 LVBOOST + 3 低压降压 LVBK),12 V / 24 V 系统,QFN-56(8×8 mm)
• 提供 PGOOD / 复位 / 失效安全输出(fail-safe)/ 中断 + FCCU,配可配简易或挑战型(Q&A)看门狗;LBIST + ABIST;AEC-Q100 Grade 1
• 按 ISO 26262 ASIL-D 流程开发 —— 官方定位域控 / 智能座舱 / ADAS 安全域(过去国产多停在 ASIL B);主驱 PEU 量产仍以 NXP/Infineon 为主(见 §11)
• 选型仍须自查:每对 SBC + MCU 的 sequencing 需 OEM 重新验证 + JESD78 latch-up,不能直接照搬国际配对

Brown-out 阈值的工程特点 + 应用场景(下为 ±10% 通用设计窗口的算术示例;真实 SBC 阈值以 datasheet 为准,且 UV/OV 常不对称、各 rail 独立参考监视 —— TLF35584 即「UV/OV-monitoring of all rails with independent reference」+ 可编程 pre-warning):

• VDD_core 1.2 V:$1.2\times 0.9=1.08\text{V}$(UV)/ $1.2\times 1.1=1.32\text{V}$(OV)
• VIO 3.3 V:$3.3\times 0.9=2.97\text{V}$(UV)/ $3.3\times 1.1=3.63\text{V}$(OV)
• VADC 5 V:$5\times 0.9=4.5\text{V}$(UV)/ $5\times 1.1=5.5\text{V}$(OV)
• 超阈值 → SBC 硬件比较器立即拉低 RESET(core / 关键 rail),或先 pre-warning 中断再 RESET(取决于配置)

响应时间的工程特点 + 应用场景:

• SBC 内部比较器 + 100μs 时间窗
• 响应须落在该 item 由 FTTI 分配的 FRTI 预算内(随安全目标 / 被控对象动态逐项推导,非 ISO 26262 给定常数);100μs 是快速电机控制 rail 的典型 SBC 设计值
• 短于此 = 干扰滤除

ASIL D 联动 SafeState 的工程特点 + 应用场景:

• RESET 拉低 → MCU PWM 停
• 主驱 → ASC (主动短路)
• BMS → 接触器断开

SBC 配置错的工程特点 + 应用场景:

• reset-delay / PG debounce 设太短(短于 rail soft-start + PLL lock)→ RESET 早放、MCU 在未稳轨上 boot(§3.4)
• Brown-out 阈值设太宽(如 ±20%)→ 失去保护:5 V rail 允许跌到 4.0 V,ADC 参考已严重失准仍不 RESET

Vbat 跌的工程特点 + 应用场景:

• 启动时电池压跌 (cranking)
• Pre-reg 不够 → 下游 rail 不稳
• 需 boot-up 电容缓冲 + cranking-mode SBC

PCB 走线长的工程特点 + 应用场景:

• Vbat → SBC 走线长 → 启动延迟
• Rail → MCU 走线长 → V drop
• 解决:SBC 靠近 MCU + 短走线

Bulk Cap 不够的工程特点 + 应用场景:

• 每 rail 10-22μF + 0.1μF 退耦不够
• 启动 di/dt 引起跌
• 加 100μF Polymer

GND 平面不完整的工程特点 + 应用场景:

• 多层 PCB GND 平面被走线切断
• GND bounce 引起 Brown-out 误触
• 严格 GND plane 设计

先把主控 + SBC + pre-reg 拓扑 + RST 延时四项定死,后面时序才有依据:

下表把 KL15 到 FS0B 释放的关键节点排出来,直接对照示波器抓的波形:

RST 延时用 10 ms(不是虚构的 50 ms),使「VCORE soft-start + TC397 PLL lock」都落在 RSTB 释放前;若某平台 rail 电容大、soft-start 慢到 >10 ms,则须改用外部 PG 联锁而非仅靠 SBC reset-delay。

真实 MC33907 走 SPI + INIT_FS 序列(非臆造的 POR_DELAY 寄存器);WD answer 是 LFSR 算法生成的,禁止 hard-code(见 MC33907 设计 §4):

// SBC SPI 初始化(bootloader 首个任务,最高优先级)
spi_init(SBC_SPI);

// INIT_FSSM1:选 RSTB 延时 = 10 ms + 配 RSTB 安全行为
mc33907_write(INIT_FSSM1, RSTDLY_10MS | RSTB_CFG);
// INIT_FSSM2:配 FCCU/IO_23 监控(未用须 disable,否则触发 reset)
mc33907_write(INIT_FSSM2, FCCU_CFG);

// 7x good WD refresh(answer 由 LFSR 算法算,不能写死;seed 见 datasheet 6.5)
for (int i = 0; i < 7; i++)
    mc33907_wd_refresh(lfsr_next());   // 第1次关 INIT_FS 相,第7次清 RST_ERR_CNT

// 释放 FS0B(SPI 写 FS_OUT),须在 POR 后 256 ms 内完成
mc33907_write(FS_OUT, FS0B_RELEASE);

// 之后进入周期性 WD(open window 内 refresh),交给 FSM deep 的 SAFE_CHECK

现代 MCU(TC397)core 由片上 EVR 从 3.3 V 生成,EVR soft-start + 反馈稳定需时间;若 SBC 只监 3.3 V PG 就按 reset-delay 释放 RESET,core 可能还没到 1.25 V。缓解:reset-delay 取够(MC33907 用 10 ms 档而非 1 ms),或把 MCU 片上 core-PG 也接进 SBC 联锁。

真实 SBC 的 UV/OV 不对称(如 5 V rail UV 4.6 V / OV 5.5 V),且各 rail 独立参考;照抄「±10% 对称」会在 OV 侧过松、UV 侧误触。缓解:每 rail 按 datasheet UV/OV + pre-warning 分别设,别用一个 ±% 套所有 rail。

PG(放行下一 rail,约 90% nominal)与 brown-out UV(拉 RESET)若无足够迟滞,rail 在边界处小幅波动会 PG↔UV 反复翻转 → RESET 抖动、reboot loop。缓解:UV 阈值低于 PG 阈值并留迟滞;SBC 内部比较器加 100 µs 时间窗滤除毛刺(§5.2)。

RESET 释放后 SBC 开一个 WD open window,MCU 必须在窗口内首次喂狗;若 boot ROM + Flash CRC + OS 起来慢于窗口,MCU 还没跑到喂狗代码就被 SBC 复位 → 表现为「一上电就 reboot loop」。缓解:首次 WD 窗口按最坏 boot 时间(含低温 Flash 慢)留裕量;或用 SBC 的长启动窗口档。

热启动叠加 cranking,Vbat 可瞬跌到 4.5 V 以下;纯 buck pre-reg 会 dropout,下游全 rail 跌 → 全局 brown-out。缓解:选 buck/boost pre-reg(MC33907 GATE_LS boost / TLF35584 step-up-down),VSUP 输入加 bulk + 慢 decay(见 §6.2 / §6.4)。

旧资料常写「POR_DELAY 50 ms」;真实 MC33907 RSTB 延时只有 1/10 ms 两档,TLF35584 也在低 ms 量级。误用 50 ms 一是拖慢 wake(影响用户体验 §3.5),二是掩盖真正该核的「rail soft-start + PLL lock < RESET 释放」时序论证。缓解:用 datasheet 实值,并把时序裕量当作要论证的量(§8.2),不是拍一个大数了事。

低温下 LDO/SMPS soft-start 变慢、Flash 访问变慢、TC397 PLL lock 时间拉长;若 reset-delay 与首次 WD 窗口按常温设,冷启动即可能 RESET 早放或首次喂狗超时。缓解:reset-delay 取 10 ms 档 + 首次 WD 窗口按 −40 ℃ 最坏 boot 留 ≥10 ms cold margin;SAFE_CHECK 入口用「PLL lock 标志」而非固定时刻(与 FSM deep C1 口径一致)。

整车已运行、SBC 处 normal 态时再遇 start-stop cranking(Vbat 二次跌到 4.5 V),不同于冷上电的首次 sequencing:此时 MCU 在跑,pre-reg 若 dropout 会触发运行中 brown-out → 非计划 RESET → 丢失行驶态。缓解:cranking-capable SBC(boost pre-reg)+ VSUP hold-up 电容;brown-out 响应须与该 item FRTI 预算对齐(§5.2),让 MCU 有序进 safe state 而非硬复位。

ISO 7637-2 类瞬态(load dump、pulse)会让 rail 短暂越界;若 brown-out 比较器无时间窗,会把 µs 级干扰误判成真 brown-out 而拉 RESET。缓解:brown-out 比较器加约 100 µs 时间窗(短于此 = 滤除,§5.2);VSUP 侧按 MC33907 设计 §6 的 ISO 7637-2 Class 加 TVS/clamp,把瞬态挡在 pre-reg 之前。