SBC 多 rail 上电时序 — 数学 + Latch-up 防护

EV PEU 多 rail 上电是严格 staged sequence —— SBC 先把 Vbat 稳到 VPRE 中间轨(~6-6.5V),再按 core(SBC 外供时 ~1.0-1.25V)→ 3.3V(IO)→ 5V(analog)→ nRESET 顺序逐档拉起,各档之间靠 PG 门控隔开(典型 ms 级,总 sequencing 时间 ~几-几十 ms)。下图把主轨波形画在一起,清楚看到时序约束(为看清 core→IO→analog 分档,横轴刻度取示意值):

Latch-up 是 CMOS 工艺永久性失效模式 — 一旦触发,即使断电也救不回,必须更换 MCU。下图把"正确 vs 错误"时序的物理后果一次说清:

真实车规 SBC 的第一档不是 core,而是 VPRE 前级预稳压器:一颗 SMPS 把宽范围 Vbat(2.7-40V)稳到固定 ~6-6.5V 中间轨,再从 VPRE 分出 VCORE(SMPS)+ 若干 LDO —— 把「12V 直喂 LDO」的巨大压差砍到最低(热预算见 §11)。这一步四家主流 SBC 都一样(数值锚各家 datasheet):

两类 core 供电必须分清:(A) SBC 外供 core —— FS65 VCORE、TPS65381A VDD1、L9396 外置 FET 直接把 1.1-1.2V core 排在 IO 之前;(B) 单电源 MCU 片上 EVR 自生 core —— Aurix TC3xx 用片上 EVR33(LDO)+ EVRC(SMPS)从单一 3.3/5V 生成 VDDP3(IO)与 VDD(core,0.95-1.025V),S32K3 亦有内部 PMC,此时 SBC 只供单一 3.3/5V,core↔IO 的片内排序归 MCU 上电状态机管。除 MCU 主轨外,系统级还常有独立外部轨(Ethernet PHY 1.8/2.5V、ADC Vref、sensor 供),这些轨之间同样要 staged + PG 门控。每 rail 加 PG 监视,任一未起 → SBC 停在该档 + 报 fault。

每个 rail 出口接 SBC 的 PG pin(Vfb 反馈到 SBC):

• $Vrail>Vthreshold$ (典型 90% of nominal) → PG=1
• 否则 PG=0 → SBC 不允许下一 rail 启动

典型 PG 阈值(90% nominal 通用窗口示例;真实阈值以 datasheet 为准,且 UV/OV 常不对称、各轨独立参考):

• VPRE 6.5V:PG ≈ 5.85V(前级先过门,下游才允许起)
• SBC 外供 core:PG ≈ 0.99V(S32K3 core 1.1V × 90%)/ ≈ 1.08V(TPS65381A VDD1 1.2V × 90%)
• 3.3V(IO)rail: PG = 2.97V
• 5V(analog)rail: PG = 4.5V

注意:SBC 只对自己供的轨做 PG 监视;单电源 MCU 的片上 core(Aurix EVRC / S32K3 内部)由 MCU 内部 PMC / LVD 监视,不进 SBC PG 链。PG 信号在 SBC 内部 sequencer 用,不需要 MCU 介入 — MCU 还没起,根本不能监视。

链接:低压辅助电源 §4 SBC

NXP FS65 / Infineon TLF35584 / TI TPS65381A-Q1 / ST L9396 都集成有限状态机 自动 sequencing。下表是概念化的通用序(实机名与数值锚各家 datasheet,差异见备注):

EV 主驱所有 SBC 都跑这套(细节 IC 之间略有差异:TLF35584 无独立低压 core SMPS,core 档对应架构 B 的片上 EVRC;TPS65381A / L9396 的 core 走外置 FET 属架构 A)。

MCU 的 reset 引脚 (nRESET) 是所有 rail 稳后才释放的最后一关:

• 所有 PG=1
• 等待 datasheet 规定的 reset-delay(可配,如 MC33907 RSTB 延时 1.0ms 或 10ms;POR/LPOFF 唤醒后取最长的 10ms)——防瞬态
• SBC 释放 nRESET → MCU 启动

如果 nRESET 太早释放(rail 还在 rampup):

• MCU clock PLL 未锁
• Flash 未 ready
• 程序 fetch 错 → 启动失败 → reboot loop

SBC 内置初始化 timeout 防 reboot loop:MCU 必须在首刷窗口内交出第一次 good watchdog refresh,否则触发 reset 并计一次初始化失败。TLF35584 连续 3 次 INIT timer(默认 600ms)失败 → 进 fail-safe;FS65 用 fault error counter(默认 final=6),数到上限才锁进 latched Deep Fail-Safe,需 power-cycle(重新上 12V)才退出。

EV 下电时反过来:

下电进入 SHUTDOWN 态的触发条件是 EN_SBC = 0 或 Vin < Vmin,之后按下表逆序逐级关断:

关键:core(~1.0-1.25V)最后关 — 防止 core 关后 IO 浮空(同 latch-up 反向风险)。

下表汇总主流 SBC + MCU cohort:一般由 MCU 厂决定 SBC 选择(自家生态 sequencing + safety case 已对齐),每对都验证过 sequencing 完整性,选型按组合选:

混搭(主 MCU 配第三方 SBC)理论上能跑,但要重新做 sequencing 验证 + JESD78 latch-up 测试 + I0-I3 评审,ASIL D 项目通常不接受。(具体 EV OEM 车型的 MCU/SBC BOM 属供应链非公开信息,本表不点名整车厂,只列器件 cohort 与生态定位。)

汽车 MCU / SBC 必跑的 latch-up 验证标准是 JEDEC JESD78(现行版 JESD78F,2022 发布)。它定义两类 latch-up 应力,分别打上电时序错、总线灌流这些真实触发路径:

• 供电过压测试(Supply Overvoltage Test):对供电脚施加 1.5× Vmax 过压脉冲(模拟 rail 冲高 / 时序错叠压)。
• 信号脚注入测试(Signal-Pin I-test):对 IO / signal pin 注入 ±100 mA trigger 电流(正、负各一次;注入时把 pin 电压钳在 1.5× Vmax 以内防过应力)—— 正电流打 IO-先于-core 灌基板那条路径,负电流打反向负摆(N+/P 衬底正偏)。E-test 版用电压脉冲代替电流脉冲。

温度类:Class I = 室温(25℃);Class II = 升温(取器件最高工作温度,车规常到 125℃)。Pass 标准:施加上述应力后器件不进 latch-up(供电电流不超限、去应力后恢复正常),而非「trigger current 要大于某值」。

EV MCU / SBC 必过 JESD78F Class II(±100 mA 注入 @ 125℃)。这条标准解释了为什么 §5 的 staged sequencing + PG 门控是硬要求:器件的 latch-up 余量是按 ±100mA 单脉冲验的,而时序错造成的是持续注入,远超验证边界。

SBC sequencing 失败的典型坑集中在架构误解 / 外加 rail / 阈值不准 / cranking / 下电时序。下表 7 个反复出现的:

前面都是定性时序;真投产第一道定量关是从 EN 有效到 MCU 交出第一次 good watchdog refresh,能不能落进 SBC 的初始化窗口。挑 EPS ASIL D 场景走一遍数字:SBC = MC33FS6522(FS65 系,VPRE 6.5V / VCORE SMPS 1.1V / INIT_FS 256ms,数值锚 FS6500 datasheet),MCU = S32K344(lockstep M7)。ramp 段的 soft-start 取 SMPS/LDO 典型量级(非 datasheet 保证值,已标注)。

第 1 步 — EN → nRESET 释放的 sequencing 时长:逐档 ramp + PG debounce + reset-delay 相加:

第 2 步 — nRESET → 首次 good WD refresh 必须 < INIT_FS 256ms:MCU 上电后要完成 PLL 锁、flash 初始化、(可选)secure boot / app 拷贝、RTOS 起、WD driver 配好并算出第一个 challenger answer:

第 3 步 — 系统级 wake → alive:

t(12V 稳 → MCU alive) ≈ t(EN→nRESET) + t(nRESET→首刷) ≈ 15.2 + 50 ≈ 65 ms(典型,远小于常见 100–200 ms 唤醒预算)。

关键洞察:

• binding 的不是 rail ramp(~15ms),而是 boot-到-首刷 vs 256ms INIT_FS 窗口。普通 flash boot 有 3× 以上余量;一旦叠 secure boot + 大 app 拷贝,就可能撞 256ms(FS65 §6 陷阱同源)—— 这时要么把首刷点提前(WD driver 先于重业务初始化 / GOTO_INITFS 显式重开窗口临时禁 WD),要么确认 boot 路径 < 256ms。
• reset-delay(10ms)是 sequencing 时长里的大头,但它是必要的 stable 防瞬态;缩它省不了几毫秒还增风险,不是优化点。
• 总 sequencing 时间只有 ~15ms 量级(不是旧稿说的「30-50ms」)—— 真正决定「多久能动」的是 MCU boot,不是 SBC 拉轨。

worked design 给的是标称;真投产要守住这几条边界与折中,它们决定方案站不站得住:

• cranking:前级必须撑住下游(buck vs buck-boost)。冷启 Vbat 可跌到 4.5-6V,纯 buck 前级(输出 6.5V)会掉出调节区 → 下游全线 UV → 反复复位。EPS/制动这类 crank 期不能断的负载,前级必须能 step-up(TLF35584 的 boost 仅在 Vbat 低于 VPRE_REG,boost,UV 时接入;L9396 boost 9V/300mA)。选纯 buck 前级 = 默认放弃 crank-through。
• INIT_FS / INIT-timer 窗口 vs boot 时长。FS65 首刷 256ms、TLF35584 INIT timer 600ms(连续 3 次失败→fail-safe)—— 窗口是固定上限,secure boot + OTA 校验会吃掉大半。窗口不能为迁就慢 boot 而无限放大(放大 = 削弱「MCU 卡死」的检出速度、拉长 FTTI);正解是压 boot 路径 / 提前首刷点,而非改窗口。
• 架构 A vs B 的监视归属。SBC 外供 core(架构 A)时 core 的 UV/OV 进 SBC PG 链,安全论证里 core 失效由 SBC SM 覆盖;片上 EVR(架构 B)时 core 由 MCU 内部 PMC/LVD 覆盖,别在 FMEDA 里把 core 监视重复算给 SBC,也别假设 SBC 能 sequencing 一条它根本没连的 core —— 架构选错会让 sequencing 波形图与真实拓扑对不上,评审必被打回。

• topology_vpre_core_ldo(真实 SBC = VPRE 前级 6-6.5V → VCORE SMPS + LDO;FS65/TPS65381A/TLF35584/L9396 四家一致)
• core_supply_arch_a_vs_b(架构 A SBC 外供 core 外置 FET/SMPS vs 架构 B 单电源 MCU 片上 EVR 自生 core)
• latchup_pnpn_scr(寄生 PNPN 晶闸管触发物理 + 正向注入 / 反向负摆两条路径)
• pg_gated_sequencer_fsm(SBC 内置状态机 VPRE→core→IO→analog→nRESET-last + PG 门控)
• jesd78f_latchup_test(供电 1.5×Vmax + signal ±100mA I-test + Class I/II 温度)
• worked_sequencing_time_budget(FS6522+S32K344:EN→nRESET ~15ms,boot→首刷 vs INIT_FS 256ms)
• corner_cranking_initwindow_arch(cranking 前级 step-up / INIT 窗口 vs boot / 架构 A·B 监视归属)