企业官网建设流程全解析

一谈到嵌入式系统的稳定性，我最怕看到的不是代码跑飞，而是供电路径先扛不住。做过设备维护的朋友都懂这个场景：现场工人带电插拔一个 24V 端子，火花一闪，整个控制板的电源管理芯片当场击穿；或者负载短路，板载保险丝烧了，用户拆机一看，还得换保险丝。真正的原因不是“运气不好”，而是电源路径上没有一套“快速切断 + 可观测恢复”的保护机制。

这篇文章从项目实践视角，拆解一个我近期反复调试过的方案：用 TI 的电子保险丝 TPS259483AYWPR 和 ST 的 STM32L4S5ZI 搭建一条受保护的电源路径。简单说，TPS259483 负责在硬件层面快速限流、过压关断，STM32L4S5ZI 负责状态监控、故障记录和开合控制，两者配合解决嵌入式与工业应用中“电源路径失控”的典型问题。适合正在做嵌入式硬件、工业控制板、电源管理底层的朋友参考，也适合嵌入式软件工程师理解硬件侧的保护逻辑。

1. 电源保护这件事，为什么值得单独设计一层

在做嵌入式项目起步阶段，我自己也犯过一个常见错误：电源设计只给 DCDC 和 LDO，觉得后级负载不复杂，随便加个保险丝就完事。等设备真正到现场跑起来，问题才暴露出来。

1.1 从一次现场事故说起

之前协助调试一套 PLC 扩展模块，电源拓扑是 24V 总线进来，经过隔离 DCDC 降到 5V，再给板载 MCU 和几个传感器供电。初版方案里 5V 输出只放了一个自恢复保险丝。有一次现场检修，操作员带电拔插了一个传感器端子，端子内部两根线因为插件老化发生了短接，自恢复保险丝虽然保护了回路，但关断速度太慢，后级 MCU 的 3.3V LDO 已经先被打穿，板上通讯芯片也跟着烧了。

事后复盘：自恢复保险丝本质上还是“热效应”器件，动作时间在毫秒到秒级别，对于现代 3.3V/1.8V 内核的 MCU 来说，这个速度太慢了。而 DCDC 自带的过流保护一般侧重自身安全，它的限流点是按满载电流设计的，对短路过流响应速度达不到“保护后级敏感芯片”的要求。

由此我意识到，电源路径保护不是“加个保险丝”这么简单，它需要明确的分层设计。第一层是硬件快速响应，一旦检测到过流、过压、反向电压或温度异常，必须在微秒级的窗口里做出切断动作；第二层是软件决策，硬件切断之后，系统需要知道自己为什么被切断、什么时候可以恢复、恢复多少次就该彻底停下来等待人工介入。TPS259483 这类电子保险丝刚好补上第一层，而 STM32 这类 MCU 天然适合做第二层。

1.2 硬件限流和软件监控，两条腿缺一不可

单纯堆硬件保护也不行。以前我也试过只用 eFuse，不加监控逻辑，结果现场故障排查很痛苦：eFuse 触发了保护，板子黑灯，但没有任何日志记录当时是过流还是过压，只能靠猜。反过来，如果只靠软件做保护，靠 MCU 的 ADC 采样判断电流异常，再让 GPIO 去关断负载开关，响应速度又太慢，而且 MCU 本身如果死机或者被拉死，保护就失效了。

所以这套组合的真正价值在于“硬保护做底线，软监控做感知”。

TPS259483 内部有比较器和功率 MOSFET，检测到故障后自己就能关断，不依赖 MCU 活不活着；它的 PG（Power Good）和 FLT（Fault）引脚又能把状态告诉 MCU。STM32L4S5ZI 在收到状态信号之后，可以记录故障类型、时间戳，通过串口或者上位机上报给维护人员，同时决定是否重新使能，或者进入锁存状态等待人工处理。这样既保住了板子，又让“保护”这件事变得透明。

另外还有一层很多人忽略的因素：热插拔和电容性负载。嵌入式设备在工程现场经常需要带电插拔通信模块、IO 端子或者功能卡，板上的大容量电解电容在插入瞬间会吸收非常大的充电电流。如果没有软启动功能，这个浪涌电流足以让接触端子打火、电源轨瞬间跌落。TPS259483 的软启动引脚就是用来抹平这个问题的，配合 MCU 控制的 EN 引脚，可以把后级电源“缓缓推起来”，而不是一脚油门踩到底。

2. 方案选型：TPS259483 与 STM32L4S5ZI 为什么能配合默契

选定这两颗芯片并不是随手抓的，我对比过普通负载开关、分立 MOSFET 驱动方案、以及更便宜的低端 MCU，最后留下的组合是有原因的。

2.1 TPS259483 不是普通保险丝，而是一个带保护功能的“智能开关”

TPS259483 属于 TI 的 TPS25948x 系列，这类器件常被称为电子保险丝（eFuse）或者保护型负载开关。和普通保险丝相比，它有几点本质差异：

• 限流值可以通过外部电阻设定，不需要换元件就能调整保护阈值
• 响应速度快，内部比较器直接驱动功率管关断，动作时间远快于热熔断
• 带有 PG 和 FLT 状态输出，方便 MCU 直接读取
• 支持软启动，可抑制容性负载浪涌
• 集成了过压、欠压、过温、短路保护

我这次选的是 TPS259483AYWPR 封装版本，适合中等电流的板级应用。在实际设计中，先确定输入电压域和后级负载电流，再从系列里选对应电流等级的型号。整个 TPS25948x 系列覆盖的电流范围很宽，工业上常用的 1A 到 6A 之间选择空间很大。

和分立 MOSFET 方案相比，eFuse 的好处是省心：分立方案里你要自己搭电流采样、比较器、驱动电路、故障锁存逻辑，PCB 面积大，响应时间的一致性也难保证；eFuse 把这些全部集成进一个芯片，少了一堆外围器件，保护阈值的一致性也好得多。这也是我推荐嵌入式项目优先考虑集成式方案的原因。

2.2 STM32L4S5ZI 在监控侧能干什么

如果说 TPS259483 是执行机构，那 STM32L4S5ZI 就是决策机构。选择这颗 MCU，我主要看中几点：

第一，这颗 MCU 属于 STM32L4+ 系列，Cortex-M4F 内核，120MHz 主频，2MB Flash，640KB SRAM。对一个电源监控任务来说，这配置算很充裕的。实际工程里我不会只跑电源监控这一个任务，通常还要跑通信协议、本地人机界面、固件升级，充足的资源可以避免后面塞不了功能的尴尬。

第二，它的 ADC 性能满足电源采样需求。12 位分辨率，最快到 5Msps，配合过采样功能，可以把电压分辨到毫伏级别。电源路径的微小跌落、缓慢漂移都能被捕捉到，这比 GPIO 高低电平判断精细得多。

第三，它的低功耗特性适合长期待机场景。很多工业设备上电后并不需要一直在全速运行，L4+ 系列可以在需要时进低功耗模式，由 FLT 这类事件唤醒 MCU 处理故障，这样整机功耗可以压得很低。另外 STM32L4S5 系列带 SMPS 高效供电选项，当 MCU 电流较大时，内部 SMPS 模式的效率比纯 LDO 模式高一些，对整个系统的热设计有好处。

第四，引脚资源丰富。我需要同时管理 EN、读取 PG、读取 FLT、接 ADC 采样、跑串口日志、控制状态灯，外加预留几个 IO 做扩展。STM32L4S5ZI 的 GPIO 数量足够支撑这些，不用为了省引脚去拼 I2C 扩展器。

2.3 整体架构：一条电源路径上的“闭合控制回路”

这套系统的整体架构其实很像一个闭环控制系统。我把信号流拆成三条线：

控制线：STM32 的 GPIO 接到 TPS259483 的 EN 引脚。MCU 可以主动打开或关闭电源路径，实现上电时序控制。在系统初始化时，MCU 先让所有负载处于断电状态，等到软件就绪了，再按顺序打开各路电源，避免“一边启动一边加载”的无序状态。

状态线：eFuse 的 PG 和 FLT 分别接到 MCU 的 GPIO 中断引脚。PG 代表输出电压已经建立并且达到正常范围，FLT 代表检测到故障。这两条线是硬件层面的实时状态，不经过 ADC 轮询，由外部中断触发，MCU 可以在微秒级感知到电源路径变化。

测量线：eFuse 输出电压经过分压电阻送到 STM32 的 ADC 输入。MCU 周期采样输出电压，做滤波、趋势判断，能够发现缓慢的电压漂移和间歇性的跌落，这些是上升沿中断看不出来的。

闭环思路是这样的：硬件检测到故障 -> eFuse 自动关断 -> FLT 通知 MCU -> MCU 记录并决策 -> 必要时通过 EN 重新打开或保持锁定。硬件负责“快”，软件负责“准”，两者互不干扰又互相补充。

3. 核心参数设计：那些必须算清楚的数据

这是整套方案里最容易出问题的部分。设计电源路径保护，不能照参考设计抄完就投板，必须根据后级负载特征算清楚限流阈值、启动时间和采样比例。

3.1 限流阈值：留足余量，但别太宽松

设置过流保护阈值，第一原则是“比正常工作最大电流高 20%~30%，但比后端任何可承受的极限电流低”。

我这次项目的后级稳态电流大约 1.5A，瞬态峰值到 2A 左右，所以把限流点设在 2.5A 附近。TPS259483 的限流阈值通过外部电阻设定，手册里有一张电阻值和对应限流电流的对照表。选电阻的时候注意两点：

第一，使用精度至少 1% 的电阻，最好 0.5%。限流阈值完全由这颗电阻决定，阻值偏差等于把保护点也做偏了。

第二，要考虑电阻本身的功率。虽然 ILIM 引脚流过的电流一般很小，但如果选用的电阻阻值很低，引脚内部参考电流流过时仍会产生微小的自热，长时间运行会导致电阻漂移。我在实际选型时宁愿用稍大一点的封装，保持稳定。

计算思路很简单：拟定的限流点 2.5A，对照数据手册的曲线或者公式得到电阻值，再在标准阻值表里找最接近的值。投板之后用电子负载做一次实测校准，看实际触发限流的点是否落在设计范围内。如果偏差超过 5%，就要检查电阻精度和焊接工艺。

3.2 软启动电容：把你的电源轨“扶”起来

软启动设计是 eFuse 应用里最容易抄错的地方。很多参考设计会用一颗固定电容，比如 1nF 或者 10nF，但这并不一定适合你的后级负载。

软启动的本质是：限制输出电压的爬升斜率，让浪涌电流控制在限流值以内。如果后级接了 1000µF 的电解电容，启动瞬间要是没有软启动，那个充电电流可能达到几十安培，直接把输入端电压拉垮。

计算方法并不复杂。eFuse 的 SS 引脚内部会有一个电流源给外部电容充电，输出端的爬升时间和电容容值成正比。我先按下式和目标启动时间估算电容：

C_SS ≈ I_SS × t_SS / V_REF(SS)

其中 I_SS 是内部充电电流，V_REF(SS) 是内部比较电压，这两个参数在数据手册里可以查到。我设计的 5V 电源轨，希望启动时间在 5ms 左右，根据手册参数估算出大概需要的容值，然后选取最接近的标准容值。

有一个细节值得注意：电容的容值不要图省事往大了取。软启动太慢，意味着系统长时间处于“功率管半导通”的状态，这个阶段 eFuse 的功率管压降大、发热也大；软启动太快，又起不到抑制浪涌的作用。我一般以 5ms 作为工业应用里的默认目标，再根据实际负载电容的充电效果微调。

3.3 输出电压采样：ADC 分压电路的权衡

MCU 要实时读取电源轨电压，但 STM32L4S5ZI 的 ADC 输入范围只有 0~3.3V，所以 5V 电源轨不能直接进 ADC，必须通过分压网络。

我用的分压方案是：上臂 R1 = 10kΩ，下臂 R2 = 20kΩ。这样分压系数是 10/(10+20) = 1/3，5V 对应的 ADC 输入电压是 1.667V，留出了足够的裕量，不会把 ADC 输入打到底。

这里要特别提醒：分压电阻的阻值不能取得太大。STM32 的 ADC 在采样时会从输入源抽取一个小电流，如果源阻抗过高，内部采样电容充不满，读数就会偏低，而且这个误差会随温度变化。10kΩ 级别的分压网络勉强可用，但如果想获得稳定的采样结果，最好加一个电压跟随器，或者把分压电阻降到 1kΩ/2kΩ 级别。我这次考虑到功耗和精度平衡，用了 10k/20k，并开启了 ADC 的较长采样时间。实测效果稳定，但如果要求更高的长期稳定性，后续会考虑加运放。

12 位 ADC 在 3.3V 参考下的分辨率约为 0.8mV/LSB，经过 1/3 分压之后，等效到电源轨的电压分辨率约 2.4mV。这个精度足以发现电源轨的异常跌落，够用了。

3.4 过压和欠压保护，能设就设上

TPS259483 这类 eFuse 一般支持可调的过压/欠压保护阈值，通过 VINS 引脚的分压电阻设置。如果不配置，芯片默认也有一个内部阈值，但那个通常只是一个很宽的绝对安全范围，并不能针对你自己的输入电源做精细保护。

设计逻辑是这样：我的输入电源是 5V，DCDC 输出。正常情况下它的波动应该控制在 4.75V~5.25V 之间，但实际因为负载变化、线路压降、线束老化，可能会有偏差。如果把欠压阈值设到 4.4V、过压阈值设到 5.6V，那么当输入电压偏离正常范围时，eFuse 可以及时切断后级，保护那些对接入电压敏感的传感器，而不是等到后级芯片真正坏了才发现问题。

分压电阻的计算按照芯片内部比较器的基准电压走，同样是查手册公式，选标准阻值。我强调这个概念是因为很多工程师觉得过压和欠压保护“可有可无”，实际上在工业环境里，输入电源被误接入更高电压等级是非常常见的事故，比如 24V 电源错接到了 12V 设备上。如果有过压保护，后级直接免死。

4. 完整实现：从原理图到固件，一步步把保护做扎实

设计思路清楚了，参数算好了，接下来是实际落地。我会按照硬件接线、软件架构、故障处理和恢复机制三块来展开。

4.1 原理图连线与 PCB 布局注意点

先给出一份我项目里用的连接表，方便对照：

信号连接一览

• VIN：接隔离 DCDC 输出的 5V，并加 10µF + 0.1µF 去耦电容
• VOUT：输出到 5V_PROT 电源轨，接 22µF 陶瓷电容和 470µF 电解电容
• EN：接 STM32 的 PC0 输出引脚，默认低电平，通过 MCU 拉高使能
• PG：接 STM32 的 PC1，开漏输出，外部上拉到 3.3V，10kΩ 电阻
• FLT：接 STM32 的 PC2，开漏输出，外部上拉到 3.3V，10kΩ 电阻
• ILIM：接 GND，中间串接限流设定电阻 R_SET
• SS：接 GND，接软启动电容 C_SS
• VOUT_SENSE：通过 10k/20k 分压后接入 STM32 的 ADC 输入 PA4

PCB 布局上有几个点不只是习惯，而是必须注意的：

第一，功率路径走线要够宽。在 2.5A 限流条件下，从 VIN 到 VOUT 的铜箔宽度至少按 2A/mm² 的载流能力算，4 层板的话外层铜厚通常 1oz，走线至少要 1.2mm 宽，同时铺铜区域尽量短而直，避免引入额外压降。压降意味着发热，也意味着 POE 供电设备中这个路径的可用电压会变少。

第二，VOUT_SENSE 采样点不要放在输出电容脚，要放在负载侧端子上。这样才能感知到真实负载端的电压，而不是 eFuse 引脚上的电压。如果输出路径上有压降，采样点位置不对，会差出几十毫伏，长期监控时会被误判成电压跌落。

第三，输入和输出电容尽量靠近芯片引脚。这个对所有开关型器件都适用，eFuse 毕竟是一个线性功率管，没有开关噪声，但它需要足够的储能电容来应对负载瞬态变化。电解电容的摆放位置同样会影响 ESR 参数的实际表现。

第四，如果系统中有多路 eFuse，信号地尽量不要共享成电源地的延长线，避免负载电流在地线上产生压降干扰 PG/FLT 的高低电平判定。工业板卡上这一点尤其重要，因为地电位偏移是导致误判的重要原因。

4.2 软件架构：把代码分层，别把状态机写成一坨

固件部分，我建议按嵌入式项目里常见的分层思路组织，不要把所有逻辑堆在中断里。

软件结构可以拆成三块：

硬件抽象层（HAL）：封装 GPIO、ADC、EXTI 的底层驱动，提供 power_io_init()、power_adc_read_mv()、power_enable()、power_disable() 这类接口。

电源路径状态机层：负责开机时序、关断流程、故障挂起状态。这一层不直接操作寄存器，只调用硬件抽象层接口。

应用层：负责串口上报、日志记录、看门狗喂狗、远程控制指令解析。

我实际用到的状态机大致是这六个状态：POWER_OFF（断电待命）、STARTING（等待 PG 建立）、RUNNING（正常运行）、FAULT_LATCH（故障锁存）、FAULT_RETRY（自动重试中）、OVERTEMP_WAIT（过温等待）。

初始化代码的简化版：

void power_path_init(void) { // PC0 -> EN, 默认低电平 GPIO_InitTypeDef gpio = {0}; gpio.Pin = GPIO_PIN_0; gpio.Mode = GPIO_MODE_OUTPUT_PP; gpio.Pull = GPIO_PULLDOWN; gpio.Speed = GPIO_SPEED_FREQ_HIGH; HAL_GPIO_Init(GPIOC, &gpio); HAL_GPIO_WritePin(GPIOC, GPIO_PIN_0, GPIO_PIN_RESET); // PC1 -> PG, PC2 -> FLT, 开漏输入，外部上拉 gpio.Pin = GPIO_PIN_1 | GPIO_PIN_2; gpio.Mode = GPIO_MODE_IT_FALLING; gpio.Pull = GPIO_PULLUP; HAL_GPIO_Init(GPIOC, &gpio); // 配置 EXTI 中断优先级，并启动 ADC 采样 HAL_NVIC_SetPriority(EXTI15_10_IRQn, 2, 0); HAL_NVIC_EnableIRQ(EXTI15_10_IRQn); }

启动电源路径时，不要简单地把 EN 拉高就完事。我在内部做了一个时序窗口：拉高 EN 之后，启动一个 10ms 的 PT100 状态看门狗，如果 PG 没有在 10ms 内出现，说明 eFuse 没有进入正常状态。这时候不能盲目重复使能，要通过 FLT 的状态来判断是输入电压问题、限流太小问题，还是后级短路问题。

void power_path_start(void) { fault_count = 0; power_io_set_en(true); uint32_t timeout = HAL_GetTick() + 20u; while (HAL_GetTick() < timeout) { if (power_io_get_pg()) { path_state = STATE_RUNNING; return; } } // PG 超时未建立，进入故障记录 path_state = STATE_FAULT_LATCH; fault_manager_save(FAULT_PG_TIMEOUT); }

4.3 故障处理：记录现场，而不是急着重启

故障处理是所有功能里最考验工程经验的环节。我的经验是：故障发生时，先记录，再决策，千万不要自动重启超过两次。

FLT 中断服务程序里做最小化处理：

void EXTI15_10_IRQHandler(void) { // FLT 引脚在 PC2，检查中断标志 if (__HAL_GPIO_EXTI_GET_IT(GPIO_PIN_2)) { __HAL_GPIO_EXTI_CLEAR_IT(GPIO_PIN_2); // 记录故障时刻，保存到备份寄存器 fault_timestamp = HAL_GetTick(); HAL_RTC_GetTime(&hrtc, &rtc_time, RTC_FORMAT_BIN); backup_reg_write(REG_FAULT_TIME_H, rtc_time.Hours << 8 | rtc_time.Minutes); backup_reg_write(REG_FAULT_TIME_L, rtc_time.Seconds); fault_count++; backup_reg_write(REG_FAULT_COUNT, fault_count); // 设置一个标志，主循环来处理 fault_event_flag = 1; } }

在主循环里处理恢复策略：

while (1) { if (fault_event_flag) { fault_event_flag = 0; power_io_set_en(false); if (fault_count > 2) { // 超过两次，不做自动恢复，等待人工介入 path_state = STATE_FAULT_LATCH; led_blink_error(); } else { // 第一次/第二次故障，延时后尝试恢复 HAL_Delay(500); path_state = STATE_STARTING; power_path_start(); } } }

这个策略是经过一次惨痛教训总结出来的。最初版固件里，我设置了无限自动恢复，结果是一个持续短路的负载让 eFuse 在 5 秒内连续触发几十次保护。虽然 eFuse 没烧，但热积累导致 PCB 上的铜箔温度明显升高，再继续下去迟早出事。后来改成仅两次自动恢复、第三次锁死，配合串口日志上报故障原因，现场维护人员可以第一时间知道是否出现了持续性短路。

5. 实测遇到的四个典型问题，以及排查思路

调试这套组合的过程中，我踩过不少坑。挑四个最有代表性的问题出来，作为避坑参考。

5.1 上电瞬间 FLT 误触发，板子一上电就保护

现象：一插上 24V 电源，LED 直接闪故障灯，FLT 拉到低电平，eFuse 拒绝启动。

排查过程：先用示波器同时抓 VIN、EN、VOUT 和 FLT 四路信号。发现 EN 拉高时，VOUT 还没建立，FLT 已经触发。问题出在负载端的 470µF 电容充电电流超过了限流点。

原因分析：限流点设在 2.5A，理论上后级稳态电流只有 1.5A，但 470µF 电容的浪涌充电电流在启动瞬间远高于 2.5A，被限流电路识别为过流。

解决办法：把软启动电容从最初的 10nF 加大到 47nF，输出电压爬升变缓，电容充电电流平均值下降，启动过程中不再触碰限流阈值。另外在 EN 拉高之前加了一个小延时，确保输入电压已经完全稳定。

5.2 PG 信号一直不反转，可是 VOUT 明明已经正常

现象：VOUT 已经达到 5V，用电压表测量正常，但 PG 始终没有动作，MCU 收不到就绪信号。

排查过程：检查 PG 引脚波形，发现引脚一直保持在高电平——正常情况下开漏输出应该在输出正常时拉低，这里完全没有拉低动作。

原因分析：PG 引脚是开漏输出，需要外部上拉到 MCU 侧电源。我在原理图里确实放了上拉电阻，但放置的位置离 MCU 的 GPIO 引脚太远，中间经过了一段比较长的走线，在 MCU 侧量到的电压脉冲幅度不够。另一个隐藏问题是上拉电阻接了 5V 而不是 3.3V，导致 MCU 的引脚承受了超过 VDD 的电压，虽然只是轻微过压，但会触发输入保护。

解决办法：把上拉电阻移到 MCU 引脚附近，上拉电源改为 3.3V，并在 MCU 内部使能上下拉中的下拉，避免引脚在整个时序过程中悬空。

5.3 ADC 采样读数比万用表低 30mV，而且不稳定

现象：用万用表测 VOUT 是 5.002V，MCU 通过 ADC 读到的却只有 4.97V，并且读数在 4.95V~4.99V 之间跳。

排查过程：这个误差很典型。检查分压电阻，标称阻值没问题；检查 ADC 配置，采样时间是默认的 1.5 周期，太短了。10kΩ 分压网络自身的输出阻抗接近 6.7kΩ，STM32 内部 ADC 的采样电容在很短的时间内充不满，导致采样结果偏低。

解决办法：把 ADC 采样时间设到最大（比如 810 个周期以上），同时开启硬件过采样模式，把 16 次采样取平均。实测读数稳定性明显改善，误差缩小到 ±5mV 以内。如果后续还想提高精度，我会在分压器和 ADC 之间加一个运放跟随器，彻底消除源阻抗带来的误差。

5.4 自动恢复策略太激进，板子越保护越热

现象：在模拟负载短路的测试中，eFuse 反复保护又反复恢复，FLT 波形像心跳一样周期性出现，板子上 eFuse 位置的 PCB 表面温度明显升高。

原因分析：就是我前面提到的，固件里的自动恢复机制没有次数和冷却时间限制。短路的负载每次被切断后，只要一恢复，就立刻再次拉低 FLT，形成“故障-恢复-故障”的循环。这个过程中功率管反复开关，热积累非常快。

解决办法：限定最多自动恢复 2 次，之后必须等待外部干预（例如串口命令）才能重新使能。同时增加一个冷却计时器，在两次恢复之间至少强制等待 2 秒，确保功率管温度回落到安全区间。

常见问题速查表

6. 几点经验，给正在做电源保护的嵌入式工程师

做这套方案最大的体会是：保护系统一定要分两层去看，硬件层追求“快且稳”，软件层追求“准且可解释”。不要把保护逻辑全压在固件里指望软件反应，也不要让硬件粗暴地一断了之。TPS259483 这类电子保险丝的价值在于把“切断”这个动作做得又快又灵活，而 STM32 的价值在于让每一次切断都有据可查。

另外分享两个调试小技巧。第一个，样机焊好后，先别急着接真实负载，用一个几十欧的功率电阻作为假负载，测一下 FLT 动作时刻和 PG 上升/下降沿之间的时间关系，记录下来。如果产品出了问题，这些时序数据会比任何计算器估算都靠谱。第二个，把故障时间戳写进 RTC 或者备份寄存器，设备交付之后如果出现偶发故障，现场人员拿到的不是一句“不知道怎么回事就断电了”，而是准确到秒的故障时刻和故障类型。就凭这一条，我给客户做售后排查时省了大量时间。

电源路径保护这件事，做好了平时谁都不会注意，但做不好一次，就够你加好几个星期的班。希望这套实践思路能帮你在设计阶段就避开那些我踩过的坑。