企业官网建设流程全解析

样机第一次通电，输入端的电解电容炸了；换成固态电容后，第二次在现场热插拔，背板连接器引脚直接烧出一个凹坑。追下来的原因一点都不神秘——操作工带电插拔扩展模块，输入电容瞬间充电形成的浪涌电流接近30A，把整个电源前级打成了重伤。后来我把方案改成 TPS259483AYWPR 电子保险丝加 STM32F756ZG 系统级电源管理，三个月内没有再出现同类故障。这篇文章把整套方案的选型逻辑、内部机制、电阻电容计算、固件状态机和实测排障过程完整写出来，供正在做嵌入式电源、工业控制板、热插拔模块的朋友直接参考。

1. 传统电源保护方案的短板，以及"芯片化+MCU化"的解题思路

1.1 保险丝和自恢复保险丝的响应盲区

很多人对电源保护的第一反应是加保险丝，但保险丝本质上是"慢动作"器件。普通玻璃管/陶瓷保险丝的熔断特性与过流倍数强相关：1.5倍过流时动作时间可能长达几分钟甚至不动作，真正意义上的短路虽然最终会切断，但响应时间通常在几十毫秒量级。对于DC-DC输入级和CPU供电回路来说，几百微秒的过压欠压冲击就足以造成损坏，保险丝根本来不及。

自恢复保险丝（PPTC）的问题更隐蔽：动作后的保持电流与温度强相关，多次动作后阻值漂移，在工业24V系统中很难给出干净的恢复特性。最要命的是，热插拔场景下保险丝无法区分"容性负载充电浪涌"和"真实过流"，它会把上电瞬间的充电电流当作故障处理，导致频繁误断和连接器反复打火而加速老化。

1.2 分立MOSFET保护电路的复杂度已经走到天花板

用分立功率MOSFET搭电子开关，配合采样电阻、运放比较器、RC延时实现限流和短路保护，是很多嵌入式工程师熟悉的老路。这类电路在实验室调试阶段往往表现良好，但批量之后问题非常多：采样电阻的温漂使限流点随温度漂移，比较器的失调电压在低电流采样下占比过高，RC延时的精度只有±20%，短路时关断速度取决于运放带宽和驱动器延迟，量级在几十到几百微秒——这已经是分立方案的极限。

更麻烦的是，要同时实现限流、过压、欠压、软启动、反向阻断、故障告警六项功能，分立方案的元器件数量会轻松超过20颗，带来的调试成本、EMC问题和板级空间代价都很大。这也是我最终转向集成电子保险丝的根本原因。

1.3 为什么是 TPS259483 + STM32F756ZG 的组合

把"功率路径保护"交给专用eFuse芯片，把"管理与决策"交给MCU，是这套方案的核心理念。TPS259483AYWPR 内部集成了功率FET、电流采样、比较器、驱动器和完整的保护逻辑，硬件故障响应是本能级的，不依赖任何软件参与。STM32F756ZG 的职责则是外科医生：设置保护窗口、根据系统状态决定是否重试、记录故障事件、通过IMON持续监测负载电流趋势。两者是硬件层与系统层的分工，不是简单的冗余叠加。

这套组合的关键价值在于：故障时最优先动作的是TPS259483的硬件保护，MCU即使死机、跑飞、固件崩溃，功率路径依然安全；而MCU的正常工作时，又可以提供遥测、预警、重试策略和事件日志这些纯硬件方案给不了的东西。

2. TPS259483AYWPR 内部工作机制：六个故障维度一次讲清

2.1 集成背靠背FET：导通、关断与反向阻断

TPS259483A 内部在输入VIN和输出VOUT之间串联了两颗背靠背的功率FET。正常工作状态下两颗FET完全导通，电流路径上的等效导通电阻非常低（典型值在几十毫欧姆量级，具体以数据手册为准），满载时压降只有几十毫伏，损耗很小。

背靠背结构的意义在于双向阻断。当输出侧电压高于输入侧时——比如下游有储能电容、热插拔拔出的瞬间、或者后级感性负载产生反电动势——芯片可以阻断电流从VOUT反向流回VIN。这个能力在工业母线上非常重要，否则拔出板卡时会有电流倒灌到背板，造成连接器和相邻板卡的损坏。

2.2 可编程限流：把短路电流"按在地板上"

ILIM引脚通过外接电阻设定限流阈值。正常工作时FET完全导通，当输出电流接近限流阈值时，内部反馈环路开始线性限制电流，把电流"按住"；当输出出现严重的短路时，内部快速比较器会在极短时间内触发FET关断。这里存在两种典型响应：轻微过流进入线性限流状态，同时启动ITIMER计时；严重短路则快速关断，响应时间远快于任何机械保险丝。

这个特性让TPS259483能同时保护两种场景：热插拔时大电容充电带来的是"可控浪涌"，限流环路只把电流按压住，不会误断；而真正的输出短路会触发快速关断，保护后级和PCB走线。

2.3 过压、欠压窗口：给输入母线划定允许区间

通过EN/UVLO和OVLO引脚的外部分压电阻，可以设定允许的输入电压窗口。输入电压跌出窗口时，芯片自动关断，防止下游DC-DC在异常母线电压下工作。在24V工业系统中，我通常把窗口设在18V到30V：低于18V说明母线供电能力不足或正在欠压浪涌，高于30V说明母线存在过压冲击。

欠压保护与EN使能往往复用同一个引脚，这一点在硬件设计时要特别注意：EN不是一个简单的数字控制脚，它的阈值与分压电阻设置相关，MCU控制EN时需要考虑输入电压是否处于允许窗口内。

2.4 dV/dT软启动：热插拔浪涌的克星

dV/dT引脚对地接电容，电容越大输出爬坡越慢。原理很简单：内部恒流源对dV/dT引脚电容充电，输出电压的斜率就被钳制在这个电容决定的速率上。连接器接触的瞬间，输出侧大电容不再直接暴露在母线上，而是通过芯片的软启动控制缓慢充电，浪涌电流从几十安培降到限流值以内。

这一项是热插拔板卡最核心的收益。前文炸电容、烧连接器的根本原因就是"输出电容直接接在母线上充电"，有了软启动，冲击电流被完全驯服。

2.5 ITIMER故障定时：区分"正常浪涌"和"持续过载"

ITIMER引脚接电容，决定限流模式下允许的持续时间。如果输出电流超过限流阈值，但属于正常的启动浪涌——比如大容性负载正在充电，ITIMER窗口内电流回落到正常范围，保护逻辑复位，芯片继续正常工作。如果ITIMER计时到达而电流仍然超限，芯片判定为持续过载，关断输出并触发FLT。

这个定时窗口的设计是整套方案里最考究的地方：太短会把正常启动误判为故障，太长则会让FET在过载状态下持续消耗功率，增加热风险。计算逻辑在第4节展开。

2.6 FLT、PG和IMON：与MCU的三个接口

FLT是开漏输出，内部故障（限流超时、过压、欠压、热关断）时变为有效电平，这是MCU的中断源。PG是电源正常指示，输出达到目标电压后变为有效，建议作为"输出就绪"的判断依据。IMON则输出与负载电流成比例的电流信号，在外接电阻上形成电压，可以直接接入STM32F756ZG的ADC引脚做连续遥测。

需要注意的是，FLT和PG都是开漏结构，必须外部上拉；上拉电平要接到MCU的电源域，确保MCU断电时不会通过引脚倒灌电流。

3. 系统硬件架构：STM32F756ZG 与 TPS259483 的接口设计

3.1 为什么选 STM32F756ZG 做电源管理MCU

STM32F756ZG 基于ARM Cortex-M7内核，最高主频216MHz，配备1MB Flash和320KB SRAM，性能完全够用。在这个应用里它并不是只干电源管理的活，通常还承担控制逻辑、HMI界面、以太网通信甚至本地数据记录。Cortex-M7的FPU和DSP指令让电流采样滤波、功率计算这些数值运算非常轻松，ADC的采样率也足以捕捉电源动态过程。

选择F756ZG更实际的原因是其丰富的外设和工业级品质：多路ADC、足够的GPIO、DMA、多路定时器，以及以太网、CAN等工业通信接口。MCU资源富余意味着后续功能扩展不需要重新选型，这个冗余在工业产品生命周期里很重要。

3.2 接口分配：每个引脚接在哪、为什么

需要特别说明的是，EN引脚不是普通的数字IO，它同时参与了欠压窗口的设置。MCU把EN拉低可以强制关断，但在输入电压处于UVLO阈值以下时，即使MCU输出高电平，芯片也不会使能。因此，MCU的EN控制逻辑要设计成"只管发出命令，是否真正使能看硬件窗口是否满足"。

3.3 上拉、采样电阻和电平匹配

FLT和PG的开漏极需要上拉电阻，阻值取10kΩ即可，上拉到MCU的3.3V电源域。如果MCU和TPS259483的供电时序不同——比如MCU还没上电、TPL485已先上电——开漏引脚处于高阻态，靠上拉电阻把电平拉到3.3V，MCU不会受到倒灌，这个设计是安全的。

IMON的处理要小心。IMON输出的是电流信号，外接采样电阻R_IMON将其转为电压。选电阻的原则是：最大负载电流时，IMON引脚电压不超过ADC参考电压的85%。举例：假设IMON的电流传递系数为K_imon（单位A/A，具体查手册），最大负载3A时IMON输出电流为3×K_imon，串联10kΩ电阻后，如果电压超过3V就偏高了，应适当减小电阻值。同时，IMON引脚旁边要加RC滤波，这个看似小事的处理对ADC读数稳定性影响巨大。

3.4 一个必须刻在心里的设计原则：保护不依赖软件

这套方案最容易被忽略、也最重要的设计原则是：TPS259483的硬件保护必须独立于MCU工作。MCU的每一次使能、关断、重试，都是在"增强体验"，而不是"唯一防线"。MCU复位、死循环、看门狗超时、固件跑飞，都不影响TPS259483对过流、过压、欠压、热过载的硬件响应。我在初期版本里犯过一个错误，把"软件限流"作为唯一保护手段，结果固件一处数组越界导致输出失控，几乎烧掉后级负载。后来才老老实实把硬件保护作为底盘，软件策略只做优化和遥测。

4. 24V/3A 工业模板的完整参数计算过程

假设一个典型的24V工业模板，系统参数如下：

• 母线电压：24V，正常工作范围20~28V，允许欠压18V，过压30V
• 最大稳态负载：2.5A，瞬时过载可达3A（如电机启动、电容充电）
• 下游容性负载：1000μF（多路DC-DC输入电容总和）
• 目标软启动时间：5ms（0→24V）
• 目标故障延时：15ms
• 限流设定：3.5A

4.1 限流电阻 R_ILIM 的计算

TPS25948系列通常以"限流电阻反比于限流电流"的方式编程，我按手册常见的公式形式演示：

R_ILIM = K / ILIM

若当前型号的K为100（单位按手册定义），目标ILIM=3.5A：

R_ILIM = 100 / 3.5 ≈ 28.6kΩ

取标准E96系列电阻28.7kΩ或30kΩ。电阻必须用1%精度，温度系数尽量选低。需要特别提醒的是，每个批次的数据手册给出的K值可能有微调，务必以最终选型型号手册中的公式和曲线为准，不要直接照搬其他型号的经验值。

4.2 软启动电容 C_dvdt 的计算

dV/dT引脚内部是恒流源给外部电容充电，输出爬坡斜率满足：

dv/dt = I_dvdt / C_dvdt

设手册典型I_dvdt = 5μA（具体值查手册），目标在5ms内从0爬到24V，即斜率4.8V/ms：

C_dvdt = 5μA / 4.8V/ms ≈ 1.04nF，取1nF标准电容。

实际项目中我会稍微取大一点，比如1.2nF，让软启动更保守。因为电容精度和内部电流源的偏差可能导致实际斜率偏快，留一点冗余能让热插拔场景更从容。但也不能取得太大，否则启动时间过长，下游负载一直处于欠压状态反而可能引发其他逻辑误判。

4.3 故障延时电容 C_ITIMER 的计算

ITIMER延时公式为：

t_fault = C_timer × ΔV_timer / I_timer

设内部比较阈值ΔV_timer=0.6V，内部电流I_timer=3μA（说明：具体数值以手册为准，这里用典型量级演示方法），目标延时15ms：

C_timer = 3μA × 15ms / 0.6V = 0.075μF

取标准值0.068μF或0.1μF。选0.068μF时延时约13.6ms，选0.1μF时延时约20ms。我最终选择了0.1μF，原因看下面的启动时间核算。

关键核算：1000μF负载电容在3.5A限流下从0充到24V的最短时间：

t = C × ΔV / I = 1000μF × 24V / 3.5A ≈ 6.86ms

加上下游DC-DC在输出爬坡接近末端时开始工作的附加电流阶段，整个启动过程最坏可能需要8~12ms。因此ITIMER必须大于这个区间，否则上电瞬间就会误报过流关断。20ms的延时提供了足够的裕量。

4.4 过压欠压分压电阻的计算

EN/UVLO和OVLO引脚内部各自有一个比较阈值（设为V_BG=1.2V，具体查手册）。以两个独立分压器为例：

欠压分压器：VIN=18V时，UVLO引脚电压等于1.2V。底电阻取10kΩ：

R_up_uv = 10kΩ × (18V / 1.2V - 1) = 140kΩ

过压分压器：VIN=30V时，OVLO引脚电压等于1.2V。底电阻取10kΩ：

R_up_ov = 10kΩ × (30V / 1.2V - 1) = 240kΩ

正常24V时，UVLO引脚电压为24V×10k/(140k+10k)≈1.6V，高于阈值，芯片不会欠压关断；OVLO引脚电压为24V×10k/(240k+10k)≈0.96V，低于阈值，芯片不会过压关断。注意这组计算基于内部基准相等的假设，实际器件可能采用不同的基准和滞环结构，选型时必须依照手册计算并留5%以上的余量。

4.5 热设计与SOA验证

正常运行时的损耗按导通电阻计算：2.5A² × 26mΩ ≈ 0.16W（RON典型值按手册），这个量级在PCB自然散热下没有问题。

真正要评估的是故障态。当输出短路、输入24V时，限流3.5A，FET上承受的压降接近24V，瞬时功率达到：

24V × 3.5A = 84W

虽然ITIMER会在20ms后切掉，但必须查数据手册中的SOA（安全工作区）曲线，确认芯片能否承受84W×20ms的矩形功率脉冲。在我的24V/3.5A设计里这是可行的；但如果母线是48V、限流更大，这个脉冲能量会显著加大，我就必须缩短ITIMER或依赖更快的短路快速关断路径，而不是靠延时保护。热设计上，VQFN底部散热焊盘必须通过过孔阵列连接到内层和背面铜皮，否则长时间3A连续运行壳温会高得离谱。

4.6 与上游保险丝的协调

如果模板前面还有板级保险丝，必须做I²t协调：让TPS259483作为第一道保护，保险丝只是最后防线。后级短路时，TPS259483在几十微秒到20ms内就能切断，释放的热能量很小，前级5A快熔保险丝不应熔断。这个协调需要查看保险丝的时间-电流特性曲线，确保在TPS259483的关断时间点上，保险丝的动作能量远大于实际故障能量。我见过一些设计把保险丝反而放在了保护芯片前面，结果后级每短路一次，保险丝先烧了，维护成本居高不下。

5. STM32F756ZG 固件实现：状态机、故障恢复与遥测

5.1 软件分层：从寄存器到应用的状态机

固件我建议分四层：pwr_hw.c负责硬件初始化和直接读写；pwr_monitor.c负责ADC采样、软件滤波和阈值判断；pwr_state.c实现电源状态机；pwr_event.c把故障、告警、恢复事件上报给上层应用。用STM32CubeMX配置GPIO、ADC+DMA、EXTI和定时器，HAL库可以直接跑通。

配置要点：

• EN引脚配置为推挽输出，初始为低电平，确保上电时输出关闭；
• FLT配置为上拉输入+EXTI下降沿触发，中断回调里只置标志位，不做复杂操作；
• ADC1配置为单通道+DMA循环采样，采集IMON电压；
• 一个1ms系统定时器作为状态机节拍。

5.2 上电初始化流程：先自检再放行

上电后MCU先做自身自检（ADC自校准、GPIO状态检查），再从备份寄存器或者EEPROM读取上次的故障记录。如果发现上一次是因为过流锁存的，MCU不会盲目重新使能，而是等待管理层的指令。

自检通过后，MCU置EN=1，进入STARTING状态，启动一个5ms超时计时器等待PG有效。如果PG正常来到，进入ON状态；如果超时PG没来，说明负载可能短路或者下游电容异常，MCU关闭输出并记录事件。这里有个细节：PG有效不代表负载一定正常，它只代表VOUT爬到了阈值以上，所以PG只能作为"第一阶段就绪"信号，真正判断负载是否健康要靠IMON电流是否在合理范围。

5.3 故障状态机：从FLT中断到恢复策略

typedef enum { ST_OFF, // 输出关闭，等待启动命令 ST_STARTING, // 已使能，等待PG ST_ON, // 正常运行 ST_FAULT, // 检测到故障，评估是否重试 ST_LATCH // 锁定，需要管理命令解除 } pwr_state_t; void PWR_StateMachine(void) { static pwr_state_t st = ST_OFF; static uint32_t tick_start = 0; static uint8_t retry_cnt = 0; switch (st) { case ST_OFF: if (PowerOnCmd) { HAL_GPIO_WritePin(EN_PORT, EN_PIN, GPIO_PIN_SET); tick_start = HAL_GetTick(); st = ST_STARTING; } break; case ST_STARTING: if (ReadPg()) { retry_cnt = 0; st = ST_ON; } else if (HAL_GetTick() - tick_start > START_TIMEOUT_MS) { HAL_GPIO_WritePin(EN_PORT, EN_PIN, GPIO_PIN_RESET); RecordEvent(EVT_START_TIMEOUT); retry_cnt = 0; st = ST_FAULT; } break; case ST_ON: if (FaultFlag) { HAL_GPIO_WritePin(EN_PORT, EN_PIN, GPIO_PIN_RESET); RecordEvent(EVT_HW_FAULT); st = ST_FAULT; } break; case ST_FAULT: // 有限重试策略：最多3次，重试前冷却500ms并检查母线电压 if (retry_cnt < MAX_RETRY && IsVinStable() && IsVoutDischarged()) { DelayMs(500); HAL_GPIO_WritePin(EN_PORT, EN_PIN, GPIO_PIN_SET); tick_start = HAL_GetTick(); retry_cnt++; st = ST_STARTING; } else { st = ST_LATCH; } break; case ST_LATCH: // 锁定输出，等待上位机复位命令 break; } }

故障响应的关键在于"MCU不参与快的关断，只参与慢的恢复"。FLT中断到来时，真正切断输出的是TPS259483的硬件逻辑，MCU只是把FaultFlag置起来，状态机在1ms任务里处理后续的重试决策。这样既不会因为中断服务程序过长导致其他实时任务卡死，也不会影响硬件保护的速度。

恢复策略上，我用的是"瞬时故障快恢复、过流故障冷却重试、连续失败锁定"三级策略。具体规则是：

• 如果故障期间VIN母线电压本身已经跌出窗口（说明是母线侧问题），不重试，直接等母线恢复；
• 如果是输出过流，重试前必须等VOUT放电到安全电平，防止带着电荷重新启动导致二次浪涌；
• 连续3次重试失败后锁存，除了手动断电，只有收到CAN/以太网的管理指令才能复位。这样可以防止故障点反复冲击系统造成绝缘破坏、连接器加速老化。

5.4 IMON电流遥测与趋势预警

IMON电流用ADC+DMA连续采样，DMA每次搬运8个样本触发一次中断，软件做一阶IIR滤波后再换算实际电流：

static float imon_current_ma; // 滤波后的电流值 void PWR_AdcFilter(uint16_t* raw_samples) { uint32_t sum = 0; for (int i = 0; i < 8; i++) { sum += raw_samples[i]; } float raw_current = (sum / 8.0f) * VREF / 4096.0f / R_IMON_OHM; // 一阶低通滤波，系数0.15，兼顾响应速度和噪声抑制 imon_current_ma = imon_current_ma * 0.85f + raw_current * 1000.0f * 0.15f; }

换算关系是基于IMON传递系数K_imon的：实际负载电流 = IMON引脚电压 / R_IMON_OHM / K_imon。具体系数查手册后写死。

这套遥测除了显示，更重要的是趋势预警。我在代码里设了两个软件阈值：超过额定电流的115%持续100ms，发出告警事件但不切断；超过限流阈值的90%持续200ms，软件主动关断。硬件保护仍然是最后防线，但软件可以在硬件动作之前提前发现异常趋势——比如负载慢慢爬升导致连接器接触电阻增大，这靠硬件限流是发现不了的。

5.5 看门狗与复位风暴防护

独立看门狗IWDG在启动后开放，喂狗逻辑放在状态机的ON和STARTING状态中；在FAULT和LATCH状态故意不喂狗，让MCU复位。这里有个容易踩的坑：如果复位后默认动作是"重新使能输出"，就会出现输出反复开关的复位风暴——MCU复位→使能输出→故障→锁存→IWDG复位→又使能输出，循环往复，把故障点一遍遍冲击。

解决办法是把故障锁存标志写进RTC备份寄存器或者片外EEPROM：复位后PowerOn初始化时首先读取该标志，如果存在锁存记录，MCU直接进入ST_LATCH并等待管理指令，而不是自动恢复输出。只在收到明确的"故障清除确认"后，才清除锁存标志并允许重新启动。

6. 实测结果、典型波形与调试踩坑记录

6.1 三组关键实测波形

第一组是上电软启动波形。24V母线供电稳定，EN拉高后VOUT以设定斜率爬升，从0到24V大概用时6ms（比理论5ms略慢，主要差在电容精度）。输入电流峰值被压在3.5A以内，而没有软启动的对照组，1000μF负载电容的充电电流峰值超过12A。

第二组是输出短路波形。用功率MOSFET快速把VOUT对地短路，VOUT在数十微秒内跌落，FLT同步拉低，EN维持原状态，母线电压几乎没有波动。这个响应速度是保险丝完全做不到的。

第三组是持续过载波形。电子负载拉到4A，超过3.5A限流后输出电压被压住，进入ITIMER计时，大约20ms后芯片关断，FLT拉低，VOUT跌落，随后MCU按重试策略进行下一轮启动。

6.2 踩坑记录一：启动误报过流，问题出在ITIMER与dV/dt不匹配

样机每当上电接近目标电压时偶尔触发FLT关断，不是每次都复现，排查了很久。用示波器同时抓VOUT和输入电流发现，VOUT爬坡到18V左右，下游DC-DC开始启动，输入电流叠加上一个约2.8A的短脉冲，与限流3.5A之间的裕量太小；恰好dV/dt进入收尾阶段，输出电流仍然偏高，ITIMER判断为过载。

解决方式是三个参数联动：限流从3.5A提高到4A，ITIMER从10ms调到20ms，软启动稍微延长。改完以后再上电，启动过程稳定，不再误报。经验是：dV/dt、ITIMER、ILIM三者是三角关系，修改任何一个都要重新计算另外两个，不能只动一个参数就以为没事。

6.3 踩坑记录二：PG信号在启动中反复翻转

MCU同时用PG判断"输出就绪"，但启动阶段PG在有效与无效之间反复抖动，导致状态机里出现多次切换。原因是PG比较器阈值附近正好处在VOUT爬坡的中后段，此时下游负载切换产生的毛刺叠加到了VOUT上，PG在阈值边界来回跳动。

处理方式分两层：硬件上PG加1kΩ串联电阻和10nF并联电容组成RC滤波，软件上对PG做10ms持续电平确认，两个措施叠加后抖动消失。如果MCU资源允许，更稳妥的做法是直接用IMON和VOUT的ADC采样判定就绪，PG只作为硬件级的备份信号。

6.4 踩坑记录三：IMON噪声大，ADC读数抖得没法用

IMON换算出来的负载电流在满载时波动达到±15%，用来做趋势预警完全没法看。查了走线发现，IMON信号从TPS259483到MCU过了两个过孔，中间还经过一段DC-DC电感正下方的缝隙，噪声耦合非常严重。

整改措施是：IMON走线尽量短直，远离开关节点和高di/dt路径，在芯片侧直接并联1nF电容做RC滤波，采样时刻用定时器触发ADC避开PWM开关瞬态。整改后波动降到±2%以内，趋势预警才真正可用。

6.5 布局布线与热设计的几条硬经验

PCB布局上，输入电容和输出电容必须紧贴VIN/VOUT引脚，VQFN底部散热焊盘打多孔阵列连接到内层GND和背面铜皮。功率回路的面积要最小化：VIN→芯片→VOUT→负载电容→GND的这个环路，面积越大，辐射噪声和地弹就越大，会直接影响IMON这类模拟信号。

热插拔板卡还有一个容易忽略的点：输入侧电容要控制在2.2μF以内，大的电容放在输出侧由软启动控制充电。因为连接器接触瞬间，输入电容是直接暴露在母线上的，它的浪涌电流不受dV/dt控制；而输出侧的大电容被TPS259483的软启动驯服，这才是真正消除插拔冲击的关键。输入侧再配合一个TVS管，防止母线过压冲击打到芯片上。

关于长期热运行，我做过对比：同样的3A负载连续运行，底部焊盘过孔阵列完整、背面铺铜充分的板子，壳温比偷懒省过孔的板子低了8℃。VQFN这种封装，散热路径完全依赖底部焊盘和过孔，这一块不能省。

整套方案跑下来，我最大的体会是：电源保护设计不是把元器件堆上去就算完，要先想清楚"故障来了谁负责关断、谁负责恢复、谁负责通知"。TPS259483做硬件关断，STM32F756ZG做策略恢复和事件记录，各司其职，哪怕MCU代码写得再差，板子也不会烧。最后分享一个固定的习惯：每次改完dV/dt、ILIM、ITIMER三个参数中的任何一个，我都会把另外两个重新算一遍，再做一轮完整的热插拔、短路、过载实验。这套流程比任何仿真都管用，已经帮我避开了好几次批量返工的雷。