ST L9788 发动机管理伴随 IC:执行器驱动 + VRS + MSC + 硬件 fail-safe

L9788 把发动机 ECU 的整套外设集成进 LQFP100(14×14mm,exposed pad)。约 30 路功率/预驱通道:INJ[1:4] 喷油器、IGN[1:6] 点火预驱、RLY[1:5] 继电器、O2H[1:2] 氧传感器加热(带电流检测)、SOL[1:2] 电磁阀、STR[1:3] 起动机/通用 HS-LS、PRD[1:5] 外部 MOSFET 预驱、LED[1:2],加 VRS 传感接口、CAN-FD/LIN、看门狗、电源树——否则需 10-15 颗分立 IC + 各自诊断/保护/MCU 接口。驱动级工作 5.5V ≤ VB_IN ≤ 18V,Tj −40~175°C,"Engineered for ISO 26262 compliant system"。

全 LS 驱动共用诊断框架:ON 态过流 OVC(短电池)+ 过温 OT;OFF 态开路 + 短地(三档电平判据);STA 驱动状态一致性(栅极信号 vs 输出电平比对,滤波 ~30µs)。

逐子系统 datasheet 级要点:

• INJ[1:4] 喷油(饱和 LS):RdsON 0.44Ω typ@150°C/3A;OVC 3-6A;钳位 55V typ;OVC 故障 FAST kill slew 5-20V/µs;INJ_ENA 引脚是数字硬件熄火通路(也是 SEO 通路)。
• IGN[1:6] 点火预驱:HS 电流源默认 14.7-30.3mA(可降档);关键值 Vth_STB_IGN 5.3-6.5V(监测 IGBT 集电极判短路/正常击穿);STB 时关断 auto-restart;开路电流门限 0.18-1.22mA;IGN_DIAG 选内部/smart IGBT(免诊断)vs 外部 IGBT(全诊断)。
• O2H[1:2] 氧加热(带电流检测,全器件最强):RdsON 0.16Ω typ@150°C/3A;OVC 可到 ~12A(作 heater)/3-6A(作 valve);电流回读 transresistance 0.8 V/A(P 沟道电流镜 + 外部 Rshunt)→ 加热闭环控温/老化诊断;MSC 一键改配成快 slew 的 valve 驱动。
• STR[1:3] 起动/通用 HS-LS:MSC 选 HS/LS;低压保持:配成 starter 时工作到 VB_IN=3.1V,且 MCU 因低压暂时失效时锁存 ON 达 THOLD 400-800ms(起动瞬间电池压降);双命令防误吸合(防多起动继电器同时吸);RLY4 可配 starter。
• PRD[1:5] 外部 MOS 预驱:栅流 4 档(20/10/4/2mA);VDS 比较器过流(8 档门限 150-950mV);PRD1&3 可驱外接 O2H 大功率 N-MOS。
• RLY[1:5] / SOL[1:2] / LED[1:2]:LS 驱动,各自 OVC/钳位/快速诊断。

VRS(可变磁阻)曲轴/凸轮轴传感接口把磁电式差分信号经 zero-crossing 比较器转成方波给 MCU 定时器捕获。难点:信号幅度随转速 + 气隙变化几个数量级(起动小信号 vs 高速大信号)。

VRS_A 全自适应迟滞(算法核心):输入经 peak detector 量化到 5 级(4 门限 PV1-PV4 typ 930/1600/2300/3000mV),Hysteresis Selection Table 据峰值选迟滞 HI1-HI5(电流 5/10/17/32/51µA → 20kΩ 上对应 100-1020mV)——迟滞随信号幅度自动跟随:低速小信号用小迟滞(不丢齿),高速大信号用大迟滞(抗电磁抖动)。自适应滤波 Tfilter(n)=Tperiod(n−1)/32(周期<128µs 饱和到 4µs)。迟滞电流只在过零瞬间施加防抖。输入差分耐压 ±200V(内部钳位)。这套模拟前端替代 MCU 端复杂的软件门限自适应。

MSC(Micro Second Channel)是 L9788 与 MCU 的高速接口:下行 up to 35MHz、上行 up to 2.18MBaud;物理层 = LVDS 差分时钟 CL + 下行数据 DI + 单端 EN/DO。

相对 SPI 的三个价值:① 原子刷新——下行 32-bit 数据帧的 31 个 bit 直映 31 路功率级,一帧同步刷新全部喷油/点火/继电器开关状态(SPI 要多字节事务且非同步,喷油正时容不得错位);② LVDS 差分 35MHz——机舱强 EMI 下噪声免疫 + 带宽碾压单端 SPI;③ 协议级 activity watchdog——监控 tMSC_mon 100/142/185µs,超时无有效数据帧即 OUT_DIS=0 自动关断全部驱动(~300µs 到位),把"通信链路健康"做进协议(SPI 没有)。加 even parity + 帧长校验 + CMD_ERROR 内建完整性。

L9788 有多条不依赖 MCU 软件/时钟的硬件安全路径:

• SEO(Secure Engine Off):KEY_OFF 后经可编程延时(T_SEO_DELAY 4 档 100-920ms,§6.3 有表),纯硬件路径熄火,计数器时钟独立于 MCU。PFI:SEO_OUT→INJ_ENA 直接关内部喷油;GDI:SEO_OUT→外部 GDI 驱动 enable(key off 关外部驱动)。
• 起动机安全切断(§6 完全没有):双极性 EN_P/EN_N 或内部 FAULT_WARN 任一有效即切断 RLY4/STR2/STR3;该电路物理隔离(trench isolation、上层不走线、本地从电池线自供电、EN 逻辑也在隔离区)——确保芯片其余部分任何失效都不能阻止起动继电器切断。这是起动机(最危险执行器)的"低压保持 + 防误动 + 强制切断"三件套之一。
• MSC activity watchdog:断链(100-185µs 无帧)即关全驱动(见 §4)。
• WDA Q&A 看门狗:经 MSC 问答 + ERR_CNT 3-bit 升级(详见 topic-sbc §5.1)。

场景:4 缸自然吸气 PFI 汽油机 ECU,L9788(DS12308)+ TC2xx MCU,额定工况 6000 rpm WOT;12V 系统 VB = 14V 稳态,起动时 VB 最低 5V。喷油器饱和型:Rinj = 12 Ω,Linj = 8 mH;点火线圈:Lcoil = 5 mH,Rprimary = 0.4 Ω,Itarget = 10 A;曲轴齿轮 60-2(58 有效齿)。

G1 · INJ OVC 档位选错 → 起动瞬间误触发。L9788 INJ 过流保护 OVC 门限有 3-6 A 可配范围。PFI 饱和式喷油器稳态饱和电流约 1.2 A，冷起动时线圈电阻可低至 9 Ω，Ipeak 瞬间可到 14/9 = 1.6 A。这仍远低于 3 A 下限，不会误触发。真正危险的是设计师把 INJ OVC 配为最低档却同时更换了接近 GDI 低阻（~2 Ω）的喷油器——此时 Ipeak > 6 A 在"保护"范围内，在 OVC 触发故障 latch 后整个进气行程无喷油，热车重启时混合气不均匀导致失火。正确做法：OVC 档位必须与喷油器规格书中最低冷起阻抗配合，留至少 2× 余量。

G2 · VRS 小信号彻底消失 — 极低速 + 超大气隙。peak detector 持续跟踪信号幅度；若 Vpeak < HI1 最小迟滞 100 mV（信号本身已低于 100 mV），则过零检测根本不发生——FLW_OUT 固定不动，MCU 看不到任何齿脉冲，发动机位置丢失。典型场景：-40 °C 冷启动 + 气隙因装配偏差偏大（> 1.5 mm），信号幅度可能低于 80 mV。MCU 软件必须加 "no-tooth timeout" 检测（超过 1 个曲轴周期无齿信号即报错），而不是无限等待 VRS 信号。

G3 · MSC watchdog 时钟温度漂移 → 有效窗口比标称短 15%。t_MSC_mon 由 L9788 内部 RC 振荡器计时，-40~125 °C 时钟漂移可达 ±15%。若选 100 µs 档且处于低温偏快极端，实际 watchdog 仅有 85 µs 有效窗口。MCU firmware 若按标称 100 µs 设计刷新余量，在低温工况下会出现因 watchdog 提前超时导致执行器意外关断的间歇性故障。固件应按最严酷 85 µs（= 100 µs × 85%）核算。

G4 · O2H 电流回读 Rshunt 布线误差 — 共模偏移污染测量。0.8 V/A 电流回读用 P 沟道电流镜 + 外部 Rshunt，Rshunt 的参考端必须是真正的 GND-LS（L9788 LS 地）。若 PCB 布局将 Rshunt 回路走在有压降的大电流地平面上（L9788 GND-LS 与 Rshunt 下端不是等电位），共模偏移直接叠加到 0.8 V/A 读数上——0.1 V GND 偏移 → 0.1 / 0.8 = 125 mA 假读误差，加热闭环控温偏差约 8% 满量程。需 Kelvin 四线连接：Rshunt 力端 + 检测端分别走线到 L9788 引脚。

G5 · STR THOLD 低压锁存 → 强制二次起动。起动瞬间电池压降时 MCU 可能因 UVLO 复位（约 4.5 V），此时 L9788 STR 凭借自身 3.1 V 保持功能和 THOLD = 400-800 ms 锁存继续驱动起动继电器。若 MCU 复位快速（< 400 ms）重新上电并再次通过 MSC 命令 STR ON，而此时发动机已经点火运转，则起动机重新咬合飞轮——严重机械损坏风险。正确系统设计：MCU 复位后应先读取 L9788 故障状态 + 发动机转速（VRS 信号有转速则不允许 STR ON）再决策，STR 使能须设软件互锁。

G6 · INJ_ENA 悬空 → SEO 熄火路径永久失效。INJ_ENA 是所有 4 路喷油的硬件 enable 引脚，L9788 内部 SEO_OUT 经此路径实现 KEY_OFF 后硬件熄火。若 PCB 设计者不了解其为低有效且留为悬空（内部无上拉），则 INJ_ENA 电平不确定——L9788 喷油通道可能完全不响应，也可能 SEO 路径永久失效而不报任何 DTC。这是一个"功能正常但安全路径静默失效"的典型设计盲区，需在 ECU FMEA 中显式标注 INJ_ENA 引脚为"Safety-Critical Connection"。

G7 · MSC 帧 parity 错仅置标志 → 错误命令在轮询前已执行。MSC 帧 parity 错误仅置 CMD_ERROR 标志，不立即关断输出；L9788 仍按收到的（含错误 bit 的）32-bit 帧执行执行器命令。若 MCU 每 MSC 刷新周期（62.5 µs）之后才轮询 CMD_ERROR，一个 bit 翻转导致的错误喷油或错误点火命令已经在轮询前执行完毕。ASIL B 及以上系统必须用 "回读比较"（MSC 上行帧反射当前执行器状态，MCU 比对下行命令）而不是单纯依赖 CMD_ERROR 标志作为完整性检测。

C1 · 起动低压竞争 — VB=5V 时 STR 锁存 + MCU 快速复位。冷启 -40 °C 弱电池，起动瞬间 VB 跌至 5 V。L9788 Pre-Buck/Pre-Boost 边界工作；MCU UVLO 约 4.5 V，在 VB 过渡期间可能反复复位。THOLD 最大 800 ms 维持 STR ON，保证带动飞轮。但若 MCU 在 400 ms 内完成复位并重新通过 MSC 发出 STR=1（未检测 VRS 转速），则 STR 在发动机已点火后重新吸合——轻则齿损，重则飞轮打坏。系统需"发动机已运转则禁 STR"软件互锁，以 VRS 有持续齿脉冲（N > 0）作为互锁条件而非仅看 KEY 状态。

C2 · MSC LVDS 阻抗失配 — 35 MHz 反射导致帧错误率上升。LVDS 差分线对标准特性阻抗 100 Ω，PCB 过孔、差分线对不等长（> 5 mm skew）或终端电阻偏差（> ±5%）均引入反射。在 35 MHz（位周期 28.6 ns）下，3 cm 走线传播延迟约 200 ps，反射可造成眼图严重劣化。症状：随温度变化的间歇性 CMD_ERROR，高温（铜电阻率上升）或低温（介电常数变化）时集中出现。排查：差分线等长控制 < 0.5 mm，终端 100 Ω ±1%，过孔对齐 +去耦电容紧贴终端。在 EMC 等级高的机舱 ECU 中，LVDS PCB 设计错误是 MSC 可靠性的头号杀手。

C3 · OVC 误判与催化剂损伤 — INJ 误触发引发持续失火。INJ OVC 触发后 L9788 置 fault latch，MCU 必须主动清除才能恢复喷油；若 MCU 诊断程序将误触发的 OVC fault 错误识别为"喷油器故障"并禁用该缸，则该缸持续失火（生燃油进排气管），催化剂温度因未燃 HC 快速上升至 900 °C 以上，超过 TWC 最高使用温度 800 °C，造成催化剂烧结永久失效。正确流程：OVC fault 首次触发后只记 DTC + 降级运行（减少喷油时长 30%），连续 3 次后才禁缸；并将催化剂温度传感器信号纳入联合判定，防止单一 OVC 读数触发过激降级。