做工业现场的设备，电源入口永远是最容易翻车的地方。我前几年做一批远程 IO 采集终端，现场反馈“上电就坏”，返修拆开看，板载保险丝根本没断，后级 DC-DC 却已经击穿。原因是 24V 母线在邻近大功率设备启停时会产生短时过冲和跌落，普通保险丝对这种“慢能量型”损伤没有任何感知，等它真正熔断，后面电路早完了。后来我把方案整体改成：电源入口放一颗集成 eFuse，具体就是标题里的 TPS259483AYWPR，再用 STM32F722VE 做使能控制、状态监测、故障记录和恢复策略，也就是嵌入式圈常说的“电源路径保护”。这篇文章我会把选型逻辑、硬件接线、固件状态机、以及调试中踩过的三个大坑完整讲一遍，适合正在做嵌入式或工业设备、想把手里的电源保护从“保命”升级成“可管理”的工程师参考。
1. 现场故障不只有短路，普通保险丝方案为什么不够用
1.1 工业电源树上的真实风险清单
很多人一提到电源保护，第一反应就是“串个保险丝或者 PTC”。我在实验室初期也这么干，后来发现工业现场真正把板子搞坏的根本不是单一短路，而是下面这几种叠加：负载短路，这个最直观，但保险丝的动作时间通常是毫秒级到秒级，后级功率器件可能早就先烧了；热插拔浪涌，现场换模块、插端子是常态，带电插拔时连接器接触抖动，输出电容瞬间充电，浪涌电流很容易超过额定值十倍以上；母线瞬态过压，工业 24V 母线不是干净的直流，电机启停、电磁阀动作都会在母线上叠加强烈的瞬态脉冲，普通 DC-DC 前端扛不住；反接，现场接线工人偶尔会把 24V 正负极接反，没有防护的话板上瞬间冒烟；负载缓慢老化，比如继电器线圈短路、传感器内部进水，电流从 1A 慢慢爬到 3A，保险丝因为“还没到熔断点”就一直扛着，其实是让整个系统带病运行。
这里面除了第一项，其余用传统保险丝都很难处理。保险丝是“一次性物理元件”，熔断后必须人工更换，现场没有备件就只能停机，更谈不上告诉上位机“哪一路、什么原因、什么时候坏的”。
1.2 分立保护电路的三宗“不透明”
也有工程师选择自己搭分立保护：一个 P 沟道 MOS 管，加一个比较器，再配采样电阻。样机阶段确实能跑，但放到批量生产就会遇到三个很麻烦的问题。
第一个是阈值漂移。比较器的参考电压、采样电阻的温度系数、MOS 管的导通电阻，都会随温度变化。设计时算好的 2A 保护点，在 85 度环境里可能变成 1.6A，导致正常工况误关断；在 -40 度又可能变成 2.5A，保护形同虚设。这在工业现场尤其危险，因为配电柜内部温度变化区间非常大。
第二个是“不可观测”。分立方案里比较器翻转后顶多拉一个 GPIO，你根本不知道是因为过流、过压、还是过温触发的。现场恢复后查不了原因，只能靠猜，这对工业设备的售后维护是灾难。客户问你“为什么停机”，你答不上来，信任就没了。
第三个是“恢复策略不可编程”。PTC 靠自身发热实现自恢复，冷却后自行导通，你无法控制什么时候恢复、恢复几次、失败后是否锁定。在某些场合，故障没排除就开始无限自动重试，反而会把故障扩大，比如短路点持续打火。
这些痛点，恰恰是集成 eFuse 加 MCU 组合的用武之地。
1.3 eFuse 加 MCU：让保护从“动作”变成“管理”
eFuse 本质上是把功率 FET、电流采样、比较器、基准源、热关断、逻辑控制全部封装在一颗芯片里的智能开关。它的动作阈值由电阻和电容精确设定，出厂就保证 1% 到 3% 左右的精度，不像分立方案那样受器件离散性摆布。而且它的动作速度远快于保险丝，短路时能在微秒级把 FET 关断，把故障能量限制住。
再加上 MCU 以后，价值就不只是“能动作”了。我可以在 STM32F722VE 里维护一套电源路径状态机：什么时候允许上电、上电斜率多快、故障后等待多久重试、连续失败几次就锁死并报警，全部可控。每次故障还能记录输入电压、输出电压、温度、时间戳，真正做到“事后可追溯”。
打个比方：保险丝是家里墙上的断路器，跳了以后你只知道没电了；eFuse 加 MCU 是智能配电箱，它能告诉你哪一路跳了、因为什么跳、试了几次、现在是否已经恢复。工业现场维护差的就是这个“可见性”。
2. TPS259483AYWPR 选型拆解：先把这几个参数钉死
2.1 这颗 eFuse 适合放在电源树的哪一级
TPS259483AYWPR 属于 TI TPS25948 系列集成 eFuse，具体后缀含义在数据手册里可以核对（通常包含封装与卷带信息），但更关键的是它在电源树里的位置。我个人习惯把它放在两个层级。
第一个层级是板级入口。也就是 24V 或 12V 外部电源进板之后、第一级 DC-DC 之前。这一级保护整板，抵御反接、过压、入口短路。它承担的是“最后一道物理防线”的职责，所以选型时耐压、浪涌能力要往宽里留。
第二个层级是分支外设供电。比如给 RS485 总线末端、给对外传感器接口、给可插拔子卡供电的各路电源。这些分支的故障（线缆短路、接口进水）如果直接打进主电源树，会拖垮整个系统，用一路 eFuse 隔离是最好的做法。一颗主入口大电流 eFuse 加几颗分支小电流 eFuse，是工业板卡上很常见的组合。
这颗料的工作电压范围对 12V、24V 工业母线都很合适。选型时我重点看六个参数，下面逐一说明。
2.2 六个必须吃透的关键参数
| 参数 | 作用 | 设计要点 |
|---|---|---|
| 输入电压范围 | 决定能不能用在 12V/24V 母线 | 同时看绝对最大额定值，留过压瞬态裕量 |
| 电流限值 | 由 R_ILIM 外接电阻设定 | 按最大负载电流加 20%~30% 裕量，兼顾启动浪涌 |
| 输出斜率 dV/dt | 外接斜率电容设定 VOUT 上升时间 | 直接决定浪涌电流，是启动是否误触发的关键 |
| OVP 过压阈值 | 外部分压电阻设定 | 要与前端 TVS 动作电压错开，避免保护竞争 |
| 热关断 | 结温超限后自恢复关断 | 涉及 PCB 铜箔散热面积，需要实测热阻 |
| 故障输出 FLT | 开漏输出，动作时拉低 | MCU 侧上拉加滤波，配合软件确认 |
这里我想强调一点：很多人选 eFuse 只看“能不能限流”，但斜率参数才是最容易在调试阶段耗费时间的地方。后级 DC-DC 输入侧一般都有大电容，上电瞬间相当于对电容短路，输出斜率如果太陡，eFuse 会误判为过流立刻关断，产品表现为“上电就保护”。这个坑我后面第五节会展开讲，这里先记住结论：斜率电容的取值直接决定产品的上电体验。
2.3 封装与热设计的隐性约束
小封装 QFN 类 eFuse 的热设计经常被忽略。芯片内部的 FET 在限流状态下会消耗相当大的功率，例如 24V 输入、输出被短路时，限流 2A，芯片上瞬间要承受接近 48W 的功耗。虽然保护电路会在微秒级关断，但如果散热铜皮不足，热阻偏大，芯片依然可能在关断前就达到危险结温。
所以画板时我给自己立了几条规矩：功率地焊盘直接铺铜，多层板至少用过孔阵列连接到内层地平面，不能省；VIN、VOUT 引脚走线要能承受限流值，不能做得像信号线一样细，电源路径走线的寄生电阻和电感直接影响保护动作的干脆程度；芯片底下不要只留一个孤立小焊盘，尽量让铜皮延伸到更大的覆铜区域。这些看起来是“板厂基本功”，但电源路径保护芯片恰恰最吃这套基本功，很多返修板子的问题就出在散热铜皮不够大，导致芯片连续限流后热关断。
2.4 一个具体的计算锚点：24V/2A 用例
纸上谈兵没意思，我拿实际用例给个计算锚点。假设负载最大 2A，入口 24V，后级 DC-DC 输入端有 470uF 的储能电容。
第一步，算上电浪涌电荷量：Q = C × V = 470uF × 24V = 11.28mC。这意味着，如果 VOUT 在 1ms 内从 0 升到 24V，平均充电电流就是 Q / t = 11.28A，远超过 2A 的额定值。很多人想不通“空载上电怎么会过流”，其实就是靠这个公式想明白的。
第二步，确定允许的平均充电电流。限流点如果设 2.4A（给 2A 负载留 20% 裕量），启动阶段最好把平均充电电流压在 1.5A 以下，避免靠近限流点引起误触发。那么需要的上升时间 t > 11.28mC / 1.5A = 7.5ms。注意，这里说的是平均电流，实际充电过程在输出电容充满之前电流是连续的，安全裕量必须留足。
第三步，根据数据手册里“斜率电容与 dV/dt 的关系曲线”，反查能让 VOUT 上升时间约 10ms 的电容值。注意，这里一定要留两倍以上的裕量，因为电容的容差、温度特性和芯片内部电流源的离散性都会让实际时间偏离计算值。
第四步，限流电阻同样按数据手册的 ILIM 与 RILIM 关系曲线反查，先用电位器在样机上实测标定，再把固定贴片电阻焊上去。我踩过的最大教训就是：千万不要小看这一步，电阻取整到 E96 系列后，实际限流点可能偏差 10% 以上。
3. STM32F722VE 的接线与采样网络：把保护闭环起来
3.1 为什么选 F722 而不是更小的 MCU
写到这里我得解释一下，如果只是“监测一个 FLT 引脚 + 拉一个 EN 引脚”，其实一颗 8 位单片机就够。我选 STM32F722VE 是因为这套板子本身还要做通信协议栈、数据采集和本地管理，电源保护只是其中一个模块。
F722 的核心是 Cortex-M7，主频跑到 216MHz，有 512KB Flash 和 256KB SRAM。对我来说真正的价值点是：它有多个 12 位 ADC，可以同时采样输入电压、输出电压、板温和电流信号，不需要外部扩展 ADC；TQFP100 封装引出管脚足够多，EN、FLT、PG 各自独立接一个 GPIO，逻辑清晰；M7 的浮点性能跑滤波算法和协议栈都没有压力。还有一条很现实的原因——这颗料在供应链里相对好采购，备选替代也好找，这对量产项目很重要。
如果是纯电源保护卡、不带通信协议栈的场景，确实没必要上 M7，把状态机移植到 STM32G0 或普通 M0 芯片上也完全可行。关键在于“职责边界”：MCU 是大脑，eFuse 是执行器，两者之间的接口就是那几根 GPIO，选哪颗 MCU 取决于产品整体需求，而不是电源保护本身。
3.2 从 VIN 到负载的完整连接拓扑
我用文字描述一下整条链路的接法，方便你对着原理图核对。
电源入口先接 TVS 管（对 24V 母线建议选钳位电压合适的产品）和共模电感，再经过差模电容滤波，然后进入 TPS259483AYWPR 的 VIN 引脚；VOUT 直接连后级负载，或者在 VOUT 之后再分一路给对外接口的 eFuse（如果是一拖多的设计）。EN 引脚由 STM32 的一个 GPIO 通过 2kΩ 电阻驱动，默认状态下 MCU 输出低电平，确保 MCU 未初始化前负载不上电。FLT 引脚接 MCU 的 EXTI 输入，同时用 10kΩ 电阻上拉到 3.3V；PG（Power Good，若有）接另一个 GPIO。VIN 和 VOUT 分别经过电阻分压后接到两个 ADC 通道。
关于 EN 的时序，我建议做成“MCU 自检完成后才拉高”。也就是说，MCU 上电、ADC 初始化、日志系统就绪之后，再通过软件把 EN 置高，让 eFuse 开始输出。这样 MCU 自己还没跑起来的时候，负载是安全的，不会出现“MCU 启动过程中负载乱动”的问题。如果产品要求“一上电就必须供电”，那就改成 eFuse 的 EN 通过电阻直接接 VIN，让硬件自行上电，但 MCU 侧只做监测不参与使能，两者的逻辑要区分清楚，不能混在一起。
3.3 ADC 采样链路与抗混叠设计
24V 电压不能直接进 STM32 的 ADC，必须分压。我常用的分压组合是 100kΩ 和 15kΩ，分压比 15/(100+15)=0.1304，24V 对应的 ADC 输入电压约 3.13V，留了一点余量给 28V 过压瞬态。分压电阻用 0.1% 精度、低温度系数的型号，因为整个系统电压测量的精度基本由这两个电阻决定，这里省成本等于后面排查问题省不了时间。
分压点到 ADC 引脚之间加一个一阶 RC 抗混叠滤波器，串联电阻 1kΩ，并联电容 100nF。这个 RC 的截止频率在 1.6kHz 左右，对电源纹波和开关噪声有不错的抑制。另外 ADC 采样时间我会设成 480 个时钟周期，对于输出阻抗偏高的源来说，长采样时间能显著降低采样误差。12 位 ADC 配 3.3V 参考电压，每个 LSB 约 0.806mV，折算到输入端约 6.18mV，测 24V 来说足够用了。如果后续想提高精度，可以在软件里做校准，或者改用 16 位外部 ADC，但工业电源监测这个精度已经够用。
还有一个经验是：模拟部分的接地要单独处理。分压电阻的地、滤波电容的地尽量走信号地，只在主接地点与功率地单点汇合。开关电源的 di/dt 环路面积要控制小，否则 ADC 采样值里全是毛刺，软件滤波再怎么调都吃力。这个处理在原理图上看不出来，但布线阶段影响巨大。
3.4 EN 与 FLT 引脚的信号完整性细节
这两个引脚看着简单，实际最容易埋雷。EN 如果走线过长，又靠近电感或开关节点，容易把噪声耦合进去导致误开关。我的做法是在 EN 靠近芯片处加一个 1nF~10nF 的电容到地，和驱动电阻组成低通，吸收耦合进来的高频毛刺。
FLT 是开漏结构，上拉电阻必须加，否则电平不定。MCU 侧用 EXTI 的下降沿触发，但注意不要在中断服务函数里直接做“判定故障 + 执行恢复”，那是很不好的写法。中断里只应该置一个事件标志，真正的滤波、确认、状态迁移都放到主循环或 RTOS 任务里做。关于 FLT 抖动引起的“中断风暴”，第五节我会单独讲，那是我们项目里真实发生过的 Case。
4. 固件策略：电源路径状态机与恢复逻辑
4.1 五状态状态机结构与迁移条件
有了硬件闭环，固件侧的任务就是把它变成一套可管理的逻辑。我这里用裸机状态机为例，结构清晰也方便移植到 FreeRTOS 任务里。
typedef enum { PWR_OFF, /* 默认下电 */ PWR_ENABLING, /* 已拉高 EN，等待输出建立 */ PWR_ON, /* 正常供电 */ PWR_FAULT, /* 硬件 FLT 或软件阈值触发 */ PWR_RETRY_WAIT /* 退避等待后尝试恢复 */ } pwr_state_t;状态迁移大致是这样：系统上电默认 PWR_OFF，EN 保持低电平。收到启动指令后切到 PWR_ENABLING，拉高 EN，同时定时检查 VOUT 是否在设定时间内达到目标值的 90% 以上。VOUT 建立后进入 PWR_ON。在 PWR_ON 期间如果 FLT 变低，或者 ADC 采到的电流连续超限、电压异常，立刻记录现场快照并切到 PWR_FAULT，把 EN 拉低。在 PWR_FAULT 里做基础判断后进入 PWR_RETRY_WAIT，按退避策略延时，然后回到 PWR_ENABLING 重试；连续失败次数达到上限，就锁死到 PWR_OFF，必须人工或上位机干预才能复位。
这套状态机的核心思想是：硬件负责“快动作”——微秒级关断由 eFuse 自己完成；固件负责“慢决策”——判断怎么恢复、恢复几次、是否上报。两者分工明确，不会互相干扰。如果固件试图去模拟硬件的微秒级保护，那既做不准，又会让系统不稳定。
4.2 ADC 数据的滤波与阈值判定
ADC 原始值直接拿来做故障判定是新手最容易踩的坑。电源纹波、分压网络噪声、采样瞬间的开关干扰，都会让单次采样值跳变。我用的组合是中值滤波加滑动平均：先连续采 16 个点，排序取中值，丢掉异常尖峰；再做 4 次滑动平均，得到平滑后的测量值。这个组合对脉冲型噪声的抑制比单纯平均好很多，而且计算量对 M7 来说可以忽略。
uint16_t adc_smooth_read(ADC_HandleTypeDef *hadc, uint32_t channel) { uint16_t buf[16]; uint32_t sum = 0; for (int i = 0; i < 16; i++) { ADC_ChannelConfTypeDef sConfig = {0}; sConfig.Channel = channel; sConfig.Rank = 1; sConfig.SamplingTime = ADC_SAMPLETIME_480CYCLES; HAL_ADC_ConfigChannel(hadc, &sConfig); HAL_ADC_Start(hadc); HAL_ADC_PollForConversion(hadc, 10); buf[i] = HAL_ADC_GetValue(hadc); HAL_ADC_Stop(hadc); } /* 冒泡排序取中值，16 个点无所谓性能 */ for (int i = 0; i < 15; i++) { for (int j = i + 1; j < 16; j++) { if (buf[j] < buf[i]) { uint16_t t = buf[i]; buf[i] = buf[j]; buf[j] = t; } } } uint16_t median = buf[8]; /* 二次滑动平均，实际项目里可以精简为一次 */ static uint16_t hist[4] = {0, 0, 0, 0}; hist[0] = hist[1]; hist[1] = hist[2]; hist[2] = hist[3]; hist[3] = median; return (hist[0] + hist[1] + hist[2] + hist[3]) / 4; }阈值判定方面，软件不做“微秒级保护”，那是硬件的事。软件只做“毫秒级仲裁”：比如 VOUT 低于目标值 70% 且持续 5ms，判定为欠压；VOUT 高于目标值 115% 且持续 5ms，判定为过压。这样的设计既不会被瞬态误触发，又能在硬件保护没有动作的异常工况下兜底。
4.3 故障恢复：退避重试与事件记录
故障恢复策略决定了一套设备在现场的自愈能力和“作死”概率。我的默认策略是：瞬时故障（比如短暂的母线跌落）允许立即重试一次；持续性故障必须退避重试，间隔 1s、5s、30s 递增；连续 3 次失败后锁死，不再自动恢复，同时置一个报警状态，等待上位机远程指令或现场人工排除。
这里说一个真实观察：很多人喜欢“无限重试”，觉得这样省事。但在短路点没有排除的情况下，无限重试等于让 eFuse 反复进入限流状态，芯片和线缆都会被反复加热，现场更危险。锁死机制其实是保护现场安全，也方便售后定位。
事件记录我建议写到片内 Flash 的环形日志区，每条记录包含：时间戳（用 RTC 或系统时基）、故障代码、故障时的输入电压/输出电压/电流/温度快照、重试次数。这些数据通过 RS485/Modbus 或以太网接口上报给上位机。有一次我们去客户现场处理死机问题，就是靠日志里的“故障前 2 秒 VOUT 缓慢下降”这条线索定位到是外部 24V 电源老化，而不是板子自己的问题。
4.4 与 RTOS 任务划分的考虑
如果项目跑 FreeRTOS，我建议把电源管理单独做成一个 1kHz 周期的定时任务，优先级放在中等偏上，只做采样、滤波、状态机。FLT 引脚的中断回调只做一件事：置事件标志。日志写入、通信上报放低优先级任务，避免阻塞电源管理。
实际遇到过的问题是：有人把 ADC 采样写在通信回调里，结果消息一多，采样周期抖动到几百毫秒，故障判定完全失真。电源管理这种“固定周期、低抖动”的任务，请务必让它独占一个定时源，不要和其他业务耦合。哪怕用裸机定时器中断触发采样，也比和通信混在一起可靠得多。
5. 实测排查：三个差点让项目翻车的故障
5.1 上电瞬间误触发过流保护
第一个 bug 发生在样机第一次完整上电。现象是：只要 MCU 拉高 EN，FLT 马上就拉低，VOUT 电压只爬了一小段斜坡就停了，像是被硬生生掐断。
排查过程我建议按“先波形、后代码”的顺序。第一步用示波器同时抓 EN、VOUT、FLT 三个信号，发现 VOUT 上升确实存在，但斜率很陡，从 0 到 24V 大约只用了不到 1ms。第二步用电子负载手动模拟，确认不是负载本身的短路。第三步回到设计，用 2.4 节的公式一算，470uF 输出电容在 1ms 内充电，平均电流超过 11A，严重超过限流点，eFuse 当然要动作。
根因就是斜率电容选小了，导致启动浪涌超过限流。修复方式是按照 10ms 的上升时间重新选取斜率电容，并给输出端预留充足余量。改完之后上电波形非常漂亮，VOUT 平滑爬升，FLT 全程无动作。这个 Case 我印象极深，因为它是“理论计算偷懒，调试两小时找补”的典型。如果你正在做类似设计，我建议第一次画板就把斜率电容按最保守的上升时间取值，哪怕慢一点，也比上电就翻车好。
5.2 输出电容太大，限流点被“吃掉”
第二个 bug 是带外设子板时发现的。单独给主板供电没问题，但插上子板后，上电有一半概率启动失败。子板输入侧有 220uF 的电解电容，再加几颗 MLCC。
这里有个容易被忽略的机制：eFuse 在限流状态下以恒流方式给电容充电，如果充电电流被压到限流点附近，充电时间会拉长；而某些 eFuse 内部有限流持续时间窗口，长时间处于限流状态会被判定为故障关断。也就是说，输出电容越大，启动越慢，越容易撞上保护判定窗口。
排查时我先量了启动电流波形，确认启动阶段电流一直贴在限流点上；再看数据手册确认时限流持续时间限制；最后把限流点从 2A 提高到 2.5A，同时把输出斜率适当放慢，问题解决。这个 Case 的教训是：不要只按“稳态负载电流”选限流点，必须把启动阶段的充电电流预算进去；必要时把后级负载分成两路，分别用 eFuse 启动，交错上电，避免启动浪涌叠加。
5.3 FLT 中断风暴与滤波权衡
第三个 bug 是调试后期最烦人的一类：系统在电机启动瞬间会周期性进入 PWR_FAULT，然后自动恢复，又立刻故障，形成“抖动”。用示波器一看，FLT 引脚上根本不是干净的低电平，而是叠加了一大串毛刺和振铃，耦合进去的噪声触发了 EXTI。
我最初在中断里直接判断“FLT 拉低就是故障”，结果每次毛刺都触发一次完整的状态迁移，恢复逻辑被反复打断。后来改成两步处理：硬件上在 FLT 引脚对地加一个小电容，吸收高频振铃；软件上确认机制改成“FLT 连续保持低电平超过 2ms 才认定故障”，在 1kHz 周期任务里轮询 FLT 状态，而不是完全依赖中断。
这样做的代价是故障响应从“微秒级”变成了“毫秒级”。很多人会担心变慢，但这里要理清：真正的硬件级快速保护（短路、过流关断）是 eFuse 自己完成的，和 MCU 响应速度无关；MCU 只是负责确认和决策，慢几毫秒完全不影响安全性。相反，如果 MCU 被噪声干扰乱动作，反而会造成更大的系统问题。这个权衡想通了，就不会在滤波上患得患失。
5.4 排查链路小结与表格化复盘
三个 Case 走下来，我的排查方法论基本固定成一套流程：示波器抓关键波形 → 核对配置参数是否偏离设计 → 用数据手册确认保护判据 → 最后才动代码或改硬件。每次改动只动一个变量，改完复测所有相关波形，并且把故障记录表、配置参数表、波形截图三样东西归档。这样即便三个月后翻回来查问题，也能快速定位当时是怎么改的、为什么改。
| 故障现象 | 根因 | 关键修复 |
|---|---|---|
| 上电即保护 | 斜率电容过小，浪涌超限 | 增大斜率电容，上升时间调到 10ms |
| 带子板启动失败 | 输出电容充电拉长限流时间 | 提高限流点，放慢斜率，必要时分路交错上电 |
| FLT 抖动误恢复 | EMI 耦合 + 中断直接判定 | FLT 加滤波电容，软件 2ms 连续确认 |
6. 量产前的收尾：测试清单与最后把关
6.1 必测的几个波形和临界条件
样机功能正常不代表能批量出货。我给自己定的电源路径保护测试清单至少有这几项：冷启动、热启动、断电 1 秒后快速重新上电；满负载热循环 8 小时以上，监测 eFuse 封装温度；输出端用电子负载做快速短路测试，抓 FLT 和 VOUT 的关断波形，确认动作时间在数据手册指标内；输入侧用可编程电源做 20V 到 32V 的过压跌落扫频，确认 OVP 阈值与 TVS 动作电压没有冲突；最后做高温箱里的老化测试，确认限流点不随温度漂移到临界值。
每项测试我都要留原始记录，包括示波器截图、温度曲线、故障日志导出。因为工业客户验收时最常问的问题就是“你怎么证明保护电路可靠”，没有这些记录，光靠口头承诺是过不了审的。
6.2 器件选型的最后几点
快量产时再查一遍器件，重点关注三类：分压电阻和限流电阻必须选温漂低、精度高的型号，因为它们直接决定电压阈值和限流点的常温精度；斜率电容尽量选 C0G/NPO 材质，X7R 在高温下容值会衰减，直接影响启动斜率；输出端 MLCC 要注意 DC 偏压特性，标称 10uF 的电容在 24V 偏压下实际可能只剩 4uF 左右，这会影响电源稳定性和浪涌预算，选型时要用电容厂商的 DC-bias 曲线折算实际容量。
TVS 管和 eFuse 的 OVP 阈值还容易存在“保护竞争”：母线过压时，TVS 先钳位还是 eFuse 先关断，取决于两者的触发电压和响应时间。理想情况是 eFuse 的 OVP 阈值略低于 TVS 的钳位电压，让 eFuse 先关断，TVS 作为最后防线吸收剩余能量。这个配合关系建议在选型阶段就算清楚，别到测试时才来调。
6.3 说点个人体会
做了几年嵌入式硬件和固件，我最深的体会是：电源保护设计的目标不是“不坏”，而是“坏了以后系统还有完整的可观测性”。eFuse 提供确定性的硬件动作，STM32F722VE 提供策略和记录能力，两者拆开都不稀奇，合在一起才是完整的电源路径保护方案。
如果你现在正在设计类似的产品，我的建议是：先拿 EVM 评估板把波形跑明白，再动笔画自己的板子；斜率电容和限流电阻这两个参数先用公式粗算，再用实测标定；故障恢复策略一定设计成可配置的，因为现场工况永远比实验室复杂。等你的设备在现场经历过几次真正的故障，并且能从日志里快速定位原因时，你就会明白这套方案的价值在哪里——至少对我来说，它帮我少跑了好几趟客户现场。
