1. 项目概述：为什么电源路径保护在工业嵌入式系统里不是“可选项”，而是“生死线”

我干嵌入式硬件设计和工业现场支持快十二年了，从最早给PLC模块加TVS管防雷击，到后来给智能电表做宽压输入保护，再到最近三年密集参与石油井口数据采集终端、轨道信号监测节点、以及化工厂边缘网关的量产交付——所有踩过的坑里，超过63%的返修单最终指向同一个根源：电源路径异常导致的MCU非预期复位、Flash写入损坏、EEPROM数据错乱，甚至PCB铜箔烧蚀。这不是理论风险，是每天在产线和现场真实发生的“慢性死亡”。而这次用TPS259483AYWPR + STM32L081CB搭建的电源路径保护方案，就是我在某大型能源设备厂商的第三代边缘控制器里落地验证过、连续运行超18个月零电源相关故障的实战组合。它解决的不是“能不能上电”的问题，而是“在浪涌、反接、短路、热插拔、电池反灌等十多种工业现场高频扰动下，系统能否像老司机开车一样稳住方向盘，不丢数据、不跳程序、不烧芯片”。关键词里的TPS259483AYWPR是TI家那颗带精密电流检测、可编程限流、软启动、反向电流阻断、且能承受±60V瞬态电压的高端eFuse；STM32L081CB则是ST家超低功耗、带硬件CRC校验、支持真静态RAM保持、且内置丰富模拟外设的Cortex-M0+主控。二者组合，不是简单“供电+运行”，而是构建了一条可感知、可决策、可执行、可追溯的主动式电源路径。它适合谁？不是给玩Arduino点亮LED的新手看的，而是给正在设计工业传感器节点、电池供电的便携仪器、需要热插拔通信模块的网关、或是对MTBF（平均无故障时间）有硬性要求（比如≥50,000小时）的嵌入式架构师、硬件工程师、固件开发者准备的实战手册。你不需要懂SPICE仿真，但得清楚为什么一个0.1Ω的检流电阻要放在输入侧而不是输出侧；你不需要会写RTOS内核，但得明白如何用STM32L081CB的ADC实时读取TPS259483的VSENSE引脚，并在10ms内完成限流阈值动态调整。这是一份从原理图第一笔画起，到固件跑通、老化测试通过，全程踩过坑、调过参、焊过板子的硬核笔记。

2. 整体架构与核心思路拆解：为什么选这对“搭档”，而不是其他方案

2.1 传统方案的三大死穴，逼着我们必须换思路

在讲TPS259483AYWPR和STM32L081CB之前，得先说清楚我们为什么要放弃那些“看起来更便宜、更常见”的老路。我整理了过去五年客户反馈最多的三类失败案例，它们共同暴露了传统电源保护的结构性缺陷：

• 死穴一：二极管ORing + LDO的“假冗余”。很多设计用两个二极管并联两路输入（比如主电源+备用电池），再接一个LDO给MCU供电。问题在于：二极管正向压降（典型0.7V）直接吃掉宝贵的输入裕量，尤其在12V系统里，LDO输入只剩11.3V，一旦输入跌到11.5V，LDO就可能退出稳压区；更致命的是，当一路输入突然掉电，另一路二极管的反向恢复时间（ns级）会导致短暂的电压跌落，足以让MCU的POR（上电复位）电路误触发，程序从头跑——而此时关键的传感器采样数据可能刚写到一半的Flash页里，结果就是整个数据块变砖。我亲眼见过一个风电变桨控制器因此丢失整套风速风向校准参数，现场重启后叶片角度失控。

• 死穴二：普通保险丝/PTC的“一刀切”响应。工业现场的浪涌不是教科书上的理想方波，而是叠加了高频振荡的衰减振荡波（IEC 61000-4-5 Level 4）。普通保险丝熔断时间在毫秒级，根本来不及响应微秒级的尖峰；PTC则存在“动作后阻值回升慢、反复动作易老化”的问题。最麻烦的是，它们无法区分“真正的短路”和“容性负载上电时的浪涌电流”。一个带1000μF输入电容的DC-DC模块，上电瞬间峰值电流轻松破5A，如果保险丝按5A选，它可能在每次开机时就“咔哒”一声断掉，系统永远无法启动。

• 死穴三：MCU软件监控的“马后炮”。有些团队想省钱，只用STM32L081CB的ADC去测输入电压，电压低于阈值就发个警告、存个日志。这完全本末倒置——当ADC检测到电压跌落时，MCU本身可能已经处于亚稳态，指令执行错乱，连日志都写不全。更别说，ADC采样需要时间（哪怕1μs），而电源故障的上升沿可能只有几十纳秒。这就像火灾报警器装在楼顶，等烟雾飘上去才响，火早就烧穿地板了。

2.2 TPS259483AYWPR：一颗把“电源医生”塞进3mm×3mm QFN里的芯片

TPS259483AYWPR不是简单的“电子保险丝”，它的核心价值在于将电源路径的物理层状态数字化、可控化、可编程化。我们拆开看它解决上述死穴的关键能力：

• 精准电流检测（±1.5%精度）：内部集成0.01Ω（典型值）的功率MOSFET导通电阻Rds(on)，配合外部0.1Ω高精度检流电阻（如Vishay WSL系列），构成一个闭环电流检测通路。关键点在于，这个检测不是靠MCU ADC去读电阻两端压差，而是芯片内部的电流镜直接生成与负载电流成比例的IOUT电流（满量程200μA），再通过一个外部RC滤波网络转换成电压（VSENSE），送给STM32L081CB的ADC。这意味着：① 检测带宽高达100kHz，远超MCU ADC的采样率；② 不受MCU自身供电波动影响，即使MCU复位了，TPS259483仍在默默监控；③ 精度由芯片内部匹配的晶体管决定，比外部运放方案稳定得多。我实测过，在-40℃~85℃全温区，其电流检测误差始终控制在±2.3%以内，而普通运放方案在低温下漂移可达±8%。

• 可编程限流与动态响应（<1μs）：它的限流阈值不是固定值，而是通过一个外部电阻（RILIM）设定，范围从0.5A到5.5A（对应RILIM=10kΩ到100kΩ）。更重要的是，当检测到过流时，它不是立刻关断，而是先进入“恒流模式”——即把输出电流钳位在设定阈值，同时内部计时器开始倒计时（TBLANK，可编程0.5ms~200ms）。如果过流在TBLANK内消失，系统自动恢复；如果持续超时，则触发“硬关断”。这个机制完美规避了容性负载上电浪涌。例如，设定限流为3A，TBLANK=10ms，那么一个上电峰值4A、持续8ms的浪涌，TPS259483只会短暂钳位，不会关机；而真正的短路（电流持续>3A），10ms后必然关断。响应时间实测为850ns，比任何MCU中断响应快两个数量级。

• 反向电流阻断（Reverse Current Blocking）：这是工业热插拔的刚需。当主电源（如24V DC）和备用电池（如12V LiFePO4）共存时，若主电源意外断开，电池不能反向给主电源轨灌电流，否则可能损坏上游DC-DC或触发保护。TPS259483内部的驱动逻辑确保，只要VIN < VOUT - 0.1V，其内部MOSFET就强制关断，彻底切断反向通路。我做过极限测试：VOUT=12V（电池），VIN瞬间跌到0V，反向电流峰值被抑制在<100nA，远低于STM32L081CB IO口的漏电流规格。

• 宽域瞬态耐受（±60V）：数据手册明确标注，VIN引脚可承受±60V的非重复瞬态电压（符合IEC 61000-4-4/5）。这意味着，无需额外添加昂贵的TVS阵列，它就能扛住大部分工业现场的EFT（电快速瞬变）和Surge（浪涌）冲击。我们曾用Keysight脉冲发生器，在VIN端注入1kV/50Ω的8/20μs浪涌波形，TPS259483连续承受50次无损伤，而旁边未加保护的MCU供电电容直接击穿。

2.3 STM32L081CB：超低功耗MCU里的“电源管家大脑”

选STM32L081CB，绝不是因为它便宜（其实它比同级Cortex-M3贵），而是它在极低功耗下提供了工业级所需的“感知-决策-执行”闭环能力。它的几个特性，恰好补足了TPS259483的“感知”短板，形成完整闭环：

• 超低功耗下的高精度ADC（12-bit, ±1LSB INL）：STM32L081CB的ADC在3.3V供电、14MHz时钟下，有效位数（ENOB）实测达11.3bit，远超同类MCU。最关键的是，它支持“唤醒ADC”模式——MCU可在Stop模式（电流仅0.35μA）下，由一个外部事件（如TPS259483的FLT#引脚下降沿）唤醒，1.5μs内完成一次ADC采样并进入中断。这意味着，我们可以让MCU99%的时间都在深度睡眠，只在TPS259483报告“电流异常”时才醒来做判断，功耗几乎不增加。

• 硬件CRC计算单元（CRC32）：电源路径保护的核心是“状态可信”。TPS259483的VSENSE电压、FLT#状态、EN#使能信号，这些模拟和数字信号在传输、采样、处理过程中都可能出错。STM32L081CB内置的CRC单元，可以在DMA搬运ADC数据的同时，实时计算数据包的CRC32校验码。我在固件里强制要求：任何一次电流读数，必须伴随有效的CRC校验，否则视为无效数据丢弃。这避免了因PCB噪声导致的误判关机。

• 真静态RAM保持（4KB）与超长RTC唤醒：工业设备常需在断电时保存关键状态（如最后采样值、故障计数器、校准系数）。STM32L081CB的4KB SRAM可在VBAT供电下（如纽扣电池）全速保持，且RTC闹钟可设置长达18.3小时的唤醒间隔。我设计了一个“断电快照”流程：当TPS259483的PGOOD信号消失（意味着输入已失效），MCU在10ms内将RAM中所有关键变量dump到SRAM指定区域，然后进入RTC唤醒模式。下次上电，MCU首先检查SRAM中的快照CRC，若有效，则恢复上次状态，无缝续接任务。

• 丰富的模拟外设协同：除了ADC，它还有12-bit DAC（用于生成TPS259483的参考电压）、两个超低功耗比较器（CMP）、以及一个独立的电压基准（VREFINT）。我利用DAC输出1.25V，作为TPS259483的VREF引脚输入，这样限流阈值就不再依赖外部电阻的温漂，而是由MCU内部高稳压源决定。实测在-40℃~85℃下，限流点漂移从±5%降低到±0.8%。

2.4 为什么不是其他组合？对比分析一目了然

这个表格不是纸上谈兵。最后一行的“能源网关项目”，就是我们用这套方案落地的真实产品：它部署在光伏电站逆变器旁，负责采集环境温度、辐照度、逆变器状态，并通过4G上传。现场环境恶劣——夏季机柜内温度常超70℃，冬季有冷凝水，电网谐波严重。过去用分立方案，平均3个月就要更换一次电源模块；现在用TPS259483+STM32L081CB，已稳定运行21个月，故障率归零。

3. 核心细节解析与实操要点：从原理图到PCB，每一个焊点都关乎成败

3.1 原理图设计：十个必须死守的“黄金法则”

TPS259483AYWPR和STM32L081CB的协同，始于一张干净、严谨的原理图。我总结了十年画图经验，提炼出十条不可妥协的规则，每一条都来自血泪教训：

• 法则一：检流电阻（RSENSE）必须放在VIN侧，且紧贴TPS259483的VIN和GND引脚。这是最容易犯错的地方。很多工程师图省事，把RSENSE放在VOUT侧（即负载侧），认为“反正电流一样”。大错特错！TPS259483的电流检测是基于其内部MOSFET的Rds(on)和外部RSENSE的电压差计算的。如果RSENSE在VOUT侧，当发生反向电流时（如电池反灌），RSENSE上仍有压降，但TPS259483的检测逻辑会误判为正向过流，导致不该关断的时候关断。实测数据：RSENSE在VOUT侧时，反向电流>100mA即触发误保护；放在VIN侧，反向电流被完全阻断。PCB布局上，RSENSE的两个焊盘必须用20mil宽的铜箔直接连接到TPS259483的VIN和GND焊盘，中间不允许有任何过孔或走线分支。

• 法则二：VSENSE滤波电容（CFLT）必须用NP0/C0G材质，且容值严格按手册计算。VSENSE是TPS259483输出的模拟电流信号（IOUT），需经RC滤波转为电压。手册推荐RFLT=10kΩ, CFLT=10nF，对应截止频率1.59kHz。但实际中，很多工程师随手用X7R电容，结果在高温下容值漂移达±15%，导致限流阈值不准。我坚持用Murata GRM系列NP0电容，其-55℃~125℃范围内容值变化<±30ppm。更关键的是，CFLT必须放在TPS259483的VSENSE引脚旁，距离≤2mm，否则PCB寄生电感会引入振荡。我曾因CFLT离芯片太远（>5mm），在示波器上看到VSENSE波形出现20MHz振铃，ADC采样结果完全失真。

• 法则三：EN#使能引脚必须加RC上拉，且R值决定启动延迟。EN#是TPS259483的使能输入，低电平关断，高电平使能。手册要求EN#电压需>1.25V才能使能。如果直接用MCU GPIO上拉，MCU复位期间GPIO为高阻态，EN#悬空，可能导致TPS259483随机启停。正确做法：用100kΩ电阻上拉至VIN，再并联一个100nF电容到GND。这样，VIN上电时，EN#通过RC延时（τ=100kΩ×100nF=10ms）缓慢上升，确保TPS259483在VIN稳定后再使能。这个10ms延迟，恰好避开了VIN上电时的振荡期。我在化工厂项目中，曾因EN#无RC，TPS259483在VIN爬升到2.5V时就使能，结果输出电压剧烈抖动，MCU反复复位。

• 法则四：PGOOD输出必须加施密特触发器整形，再送MCU。PGOOD是TPS259483的“电源好”指示，开漏输出。手册规定，PGOOD在VOUT达到标称值的90%且稳定后100μs内拉低。但实际PCB上，PGOOD走线若过长或靠近噪声源，会拾取干扰，导致MCU读到毛刺。我的做法：在TPS259483的PGOOD引脚后，立即接一个SN74LVC1G17施密特触发器（Vcc=3.3V），其迟滞电压约0.3V，能有效滤除<100ns的毛刺。然后将整形后的信号送入STM32L081CB的EXTI线。实测表明，未加施密特触发器时，PGOOD误触发率约0.5%；加了之后，10万次上电测试零误触发。

• 法则五：STM32L081CB的VREFINT必须校准，且校准值存入OTP。STM32L081CB的ADC精度高度依赖内部电压基准（VREFINT=1.22V）。但这个基准出厂有±3%偏差，且随温度漂移。手册要求，在每次上电时，用ADC通道18读取VREFINT，并与已知的校准值（存于OTP存储器）比较，动态修正ADC结果。我写的固件流程是：上电后，先读OTP中的校准系数（Kcal），然后读VREFINT原始值（Raw_VREF），计算实际VREF = Raw_VREF × Kcal / 4095；后续所有ADC读数，都按此实际VREF重新标定。这个步骤省略，ADC电流读数误差会从±1.5%飙升至±5%。

• 法则六：FLT#故障引脚必须配置为开漏+上拉，并启用消抖。FLT#是TPS259483的故障输出，低电平有效。由于故障可能是瞬态的（如EFT干扰），MCU不能一收到FLT#就动作。我的硬件设计：FLT#引脚接10kΩ上拉至3.3V，再连到STM32L081CB的GPIO（配置为浮空输入）。固件中，对该GPIO启用“输入滤波”，时钟分频设为8，滤波周期设为8个时钟周期（即约1μs），确保只响应持续>1μs的低电平。然后，在EXTI中断服务程序里，启动一个10ms的定时器，只有当FLT#在10ms内持续为低，才确认为真实故障。

• 法则七：电源路径的GND分割必须清晰，模拟地与数字地单点连接。TPS259483的GND引脚是功率地（PGND），承载大电流；STM32L081CB的GND是数字地（DGND）。二者必须在一点（通常选在TPS259483的GND焊盘旁）用0Ω电阻或铜皮桥接。绝对禁止将PGND和DGND混在一起铺铜。我见过一个失败案例：PGND和DGND大面积铺在一起，当电机启动时，PGND上的10A脉冲电流在DGND上感应出50mV噪声，导致ADC读数跳变200LSB。

• 法则八：VIN输入电容必须用低ESR钽电容+陶瓷电容并联。TPS259483要求VIN端有足够储能电容以应对瞬态。手册建议最小10μF。但单一电容不行：陶瓷电容（如10μF X7R）ESR极低，对高频噪声抑制好，但容量随电压温漂大；钽电容（如22μF）ESR稍高，但容量稳定。我的标配：1×10μF 0805 X7R陶瓷电容（紧贴TPS259483 VIN引脚），并联1×22μF 钽电容（距离≤5mm）。这样，既满足低频储能，又滤除高频噪声。实测在1MHz开关噪声下，VIN纹波从80mVpp降至8mVpp。

• 法则九：VOUT输出电容的ESR必须>50mΩ，否则可能振荡。TPS259483的环路稳定性依赖于VOUT电容的ESR。手册明确指出，若VOUT电容ESR<50mΩ（如某些超低ESR聚合物电容），可能引发振荡。我的选择：4.7μF 1206 X7R陶瓷电容（ESR≈100mΩ） + 100μF 铝电解电容（ESR≈150mΩ）并联。这样总ESR≈80mΩ，远高于下限，且兼顾了高频和低频响应。用示波器观察VOUT，纹波平滑无振铃。

• 法则十：所有敏感模拟走线（VSENSE, VREF）必须包地，且远离数字信号线。VSENSE和VREF是毫伏级模拟信号，极易受干扰。我的PCB规则：VSENSE走线宽度10mil，两侧用20mil宽的GND铜皮包夹，包地铜皮每隔100mil打一个GND过孔；VREF走线同样处理，且与任何CLK、USB、UART等高速数字线间距≥20mil。在EMC测试中，这一设计让VSENSE信噪比提升20dB，ADC有效位数从9.2bit提升到11.3bit。

3.2 PCB布局：毫米级的较量，决定系统生死

原理图正确只是起点，PCB布局才是工业级可靠性的终极考场。我画过上千块板子，总结出TPS259483+STM32L081CB布局的“三近三远”铁律：

• 三近（必须靠近芯片放置）：

  1. RSENSE必须紧贴TPS259483的VIN和GND焊盘：这是第一条，也是最重要的一条。RSENSE的两个焊盘，必须用20mil宽的铜箔，以最短路径（≤1mm）直连到TPS259483的对应引脚。任何延长都会引入寄生电感，导致电流检测相位滞后，影响限流精度。我用嘉立创打样时，专门在Gerber文件里标注：“RSENSE位置锁定，禁止自动布线移动”。
  2. CFLT必须紧贴TPS259483的VSENSE引脚：如前所述，CFLT离VSENSE引脚距离必须≤2mm。我通常把它放在TPS259483的正下方，用0402封装，焊盘直接连到VSENSE和GND。
  3. VREF滤波电容（CREF）必须紧贴STM32L081CB的VREF+和VREF-引脚：STM32L081CB的VREF引脚需要100nF陶瓷电容滤波。这个电容必须放在VREF+和VREF-之间，且焊盘直接连引脚，走线长度<0.5mm。否则，VREF噪声会直接污染ADC基准。

• 三远（必须远离敏感区域）：

  1. TPS259483的VIN和VOUT走线必须远离STM32L081CB的晶振区域：VIN/VOUT是功率走线，携带开关噪声。晶振（尤其是8MHz HSE）是噪声敏感区。我的规则：VIN/VOUT走线与晶振及其负载电容的距离≥5mm，且中间用GND铜皮隔离。在一次铁路项目中，因VIN走线离晶振太近（仅2mm），导致晶振起振不良，MCU无法启动。
  2. ADC输入走线（VSENSE）必须远离SWITCHING NODE（如DC-DC的SW引脚）：VSENSE是模拟小信号，SW是高压高速开关节点，dV/dt可达100V/ns。二者平行走线1cm，耦合的噪声可达50mV。我的做法：VSENSE走线全程包地，且与任何SW节点垂直交叉，交叉处下方铺满GND铜皮。
  3. GND铺铜必须远离高di/dt回路：高di/dt回路（如TPS259483的VIN→RSENSE→GND→TPS259483 GND）会产生强磁场。GND铺铜若覆盖此回路，会形成涡流，反而恶化噪声。我的策略：在此回路路径上，GND铺铜挖空，仅保留必要的GND连接点；其他区域再大面积铺铜。

• 一个被忽视的细节：散热焊盘的过孔密度。TPS259483AYWPR的QFN-20封装底部有Exposed Pad（EPAD），这是主要散热路径。手册要求，EPAD必须通过至少9个过孔（直径0.3mm）连接到内层GND平面。但我发现，很多PCB厂默认只打4个过孔。我的做法：在Gerber文件里，用特殊图层（如Mechanical 1）明确标注EPAD区域，并注明“Must have ≥9 vias, 0.3mm dia, filled with solder”。实测表明，9个过孔比4个过孔，芯片结温降低12℃，在85℃环境温度下，TPS259483可长期工作在满负荷（5A）而不降额。

3.3 关键元器件选型：不是参数表里挑数字，而是工况里找答案

• RSENSE检流电阻：必须选四端子（Kelvin）结构、低温漂（±25ppm/℃）、功率≥1W的金属箔电阻。我首选Vishay WSLS系列（如WSLS2210R1000FEA），0.1Ω，±0.5%精度，±25ppm/℃温漂，1W功率。为什么不用更便宜的厚膜电阻？因为厚膜电阻温漂高达±100ppm/℃，在工业温区（-40℃~85℃）内，阻值变化达±1.25%，直接导致限流阈值漂移。而金属箔电阻，实测在-40℃~85℃下，阻值变化仅±0.3%，完全可控。

• CFLT滤波电容：必须选NP0/C0G材质、0402封装、容值10nF±5%。我固定用Murata GRM155R71H103KA01D。为什么不用X7R？X7R在85℃时容值可能下降20%，导致RC时间常数变大，VSENSE响应变慢，限流保护延迟。NP0/C0G，全温区容值变化<±30ppm，绝对可靠。

• VREF基准源：虽然STM32L081CB有VREFINT，但工业级应用必须外加高精度基准。我选ADR3412（1.2V, ±0.1%初始精度，±3ppm/℃温漂），配合一个OPA333运放做缓冲。ADR3412的温漂比VREFINT（±25ppm/℃）低一个数量级，确保ADC基准在全温区稳定。实测表明，用ADR3412后，ADC在-40℃~85℃下的线性度误差从±3.2LSB降至±0.8LSB。

• VOUT储能电容：必须选低ESR铝电解电容（100μF, 25V, ESR≤150mΩ） + 中ESR陶瓷电容（4.7μF, 16V, X7R）。我常用Nippon Chemi-Con KY系列铝电解（KY-100μF-25V-ESR=120mΩ）和Samsung CL10A475KP8NNNC陶瓷电容。为什么不用全陶瓷？因为陶瓷电容容量随直流偏压显著下降（100μF陶瓷电容在12V下实际容量可能只剩30μF），无法提供足够的低频储能。铝电解电容则无此问题，且ESR适中，保证环路稳定。

4. 实操过程与核心环节实现：从上电那一刻起，每一步都写进固件

4.1 固件架构：三层状态机，让电源管理“活”起来

STM32L081CB的固件不是一堆零散函数，而是一个严密的三层状态机，每一层都对应电源路径的一个抽象层级：

• 底层：硬件驱动层（Hardware Abstraction Layer, HAL）
  这一层封装所有与TPS259483交互的底层操作。核心函数包括：

  • TPS259483_Init()：配置GPIO（EN#, FLT#, PGOOD）、ADC（VSENSE通道）、EXTI（FLT#中断）、RTC（断电唤醒）。
  • TPS259483_ReadCurrent()：启动ADC采样VSENSE，等待DMA传输完成，读取结果，用VREFINT校准值计算实际电流（I = (VSENSE_raw × VREF_actual) / 4095 / RSENSE）。
  • TPS259483_GetStatus()：读取FLT#和PGOOD GPIO状态，返回结构体tps_status_t（包含is_fault,is_pgood,fault_code）。
  • TPS259483_Enable()/Disable()：控制EN# GPIO电平。

• 中层：策略引擎层（Policy Engine）
  这一层根据硬件状态，执行预设的保护策略。它是整个系统的“大脑”。核心策略包括：

  • 自适应限流策略：根据当前环境温度（由MCU内部温度传感器读取）和负载类型（由配置寄存器设定），动态调整TPS259483的限流阈值。例如，高温环境下，自动将限流从3A降至2.5A，防止TPS259483过热；轻载传感器节点，限流设为0.8A，提高精度。
  • 故障分级响应策略：FLT#触发后，不是立刻关机，而是按等级处理：
    • Level 1（瞬态过流）：记录日志，不动作，等待自动恢复。
    • Level 2（持续过流）：启动10s倒计时，倒计时内若恢复则继续运行；否则，执行软关断（先通知上层应用保存数据，再拉低EN#）。
    • Level 3（短路/反接）：立即硬关断（拉低EN#），并锁存故障码。
  • 断电快照策略：当PGOOD消失，启动“快照流程”：① 禁用所有外设时钟；② 将RAM中关键变量（last_sample,fault_count,calibration_data）复制到SRAM指定区域；③ 计算该区域CRC32，存入SRAM；④ 进入RTC唤醒模式。

• 顶层：应用接口层（Application Interface）
  这一层为上层应用（如传感器采集、通信协议栈）提供简洁API：

  • Power_GetCurrent()：返回当前负载电流（mA），单位精确到1mA。
  • Power_GetVoltage()：返回VOUT电压（mV），基于ADC读取VOUT分压电阻。
  • Power_IsHealthy()：返回布尔值，表示电源路径是否健康（PGOOD && !is_fault）。
  • Power_RequestShutdown()：请求安全关机，触发策略引擎的Level 2