Hercules MCU与TPS65381 PMIC协同设计：功能安全电源管理实战指南-拓冰建站

1. 项目概述与核心价值

在汽车电子和工业控制领域，我们常常会听到“功能安全”这个词。它不是一个简单的口号，而是关乎人身和财产安全的硬性要求。无论是汽车的刹车系统、转向助力，还是工厂里的机器人手臂，一旦核心控制器失效，后果都不堪设想。这类系统被称为“安全关键系统”，它们的设计必须遵循严格的标准，比如汽车领域的ISO 26262和工业领域的IEC 61508。这些标准的核心思想之一，就是要求系统具备“故障检测与处理”的能力，确保即使在部分硬件或软件出错时，系统也能进入一个预定义的、可控的安全状态，而不是彻底失控。

要实现这一点，光靠一个强大的微控制器（MCU）是不够的。MCU本身也需要被可靠地监控和供电。这就引出了我们今天要深入探讨的核心话题：如何为像TI Hercules系列这样的安全MCU，搭配一个同样“懂安全”的电源管理芯片（PMIC），构建一个从“心脏”（电源）到“大脑”（MCU）都足够稳健的硬件基础。TPS65381正是为此而生的多轨电源管理芯片，它与Hercules MCU的协同工作，是许多汽车动力总成、底盘控制、工业驱动器项目的基石。

我经历过不止一个项目，初期因为电源和MCU的“配合”问题，导致系统频繁复位甚至无法启动，调试过程令人抓狂。后来才明白，这不仅仅是连几根线、写几行初始化代码那么简单。它涉及到精确的硬件接口设计、严苛的通信时序，以及一套严谨的、状态机明确的软件握手协议。这份指南，就是把我踩过的坑、验证过的方案，结合TI官方的应用笔记，梳理成一套从硬件到软件的完整实操指南。无论你是正在评估Hercules+TPS65381方案，还是已经深陷调试泥潭，希望这里面的细节和原理剖析能给你带来实实在在的帮助。

2. 硬件接口设计：从原理图到PCB的实战考量

硬件是软件运行的舞台，一个糟糕的硬件设计会让软件调试变得举步维艰。Hercules MCU（以RM46x为例）与TPS65381的硬件连接，数据手册给出了推荐框图，但直接照搬到你的板子上，很可能会遇到各种“玄学”问题。下面我们就拆解几个关键连接点，看看在真实项目中需要特别注意什么。

2.1 电源轨与模拟基准：不只是连通那么简单

TPS65381为MCU提供了多路电源：VDD1（内核，如1.2V）、VDD3（外设，如3.3V）、VDD5（可选，如5V）以及给ADC参考的VCCAD和VREFHI。这里最容易出问题的是VCCAD。

VCCAD电压选择（3.3V vs 5V）数据手册框图显示VCCAD接5V，但在RM46控制卡参考设计中，它接了3.3V。这并非错误，而是基于系统级考虑的优化。VCCAD是ADC模块的供电和参考电压源之一。如果你的模拟信号输入范围是0-3.3V（例如来自一个3.3V供电的传感器或驱动芯片如DRV8301），那么将VCCAD也设置为3.3V，可以使ADC的输入动态范围达到最大，获得最佳的转换精度。如果接5V，而信号最大只有3.3V，相当于只用了ADC量程的66%，精度会有损失。所以，这个选择取决于你系统中模拟信号的范围。

实操心得：在画原理图前，务必整理出所有需要ADC采样的信号源及其电压范围。统一以VCCAD电压作为基准来设计前端调理电路，可以避免后期校准的麻烦。

VBAT供电与IGN点火信号时序这是一个经典的坑。TPS65381的VBAT引脚需要至少5.8V的输入电压才能正常工作。它还有一个IGN（点火）引脚，用于触发芯片从低功耗模式进入工作状态。数据手册要求，在VBAT电压上升到5.8V之前，IGN引脚必须保持为低电平。如果VBAT上电过程中，IGN已经是高电平，芯片可能无法正常启动，或者内部自检（BIST）会失败，导致NRES复位信号一直拉低，MCU无法启动。

如果你的电源（比如实验室电源或车载电池）上电速度很快（几十毫秒内从0V上升到6V），芯片内部的IGN消抖延时可能足以应对。但如果电源上电很慢（例如几百毫秒），内部的延时可能不够，就会导致芯片在VBAT未达标前就试图启动，进而失败。

解决方案：参考设计中使用了一个由三极管和RC电路构成的“IGN脉冲模拟电路”。它的作用就是确保上电初期IGN被强制拉低，直到VBAT电压稳定后，通过RC延时再释放IGN为高，模拟一个正确的“先供电，后点火”时序。对于大多数实验室环境和稳定电源，如果上电速度有保障，这个电路可以省略。但在车载环境下，由于电池和线束的存在，上电过程可能比较缓慢，强烈建议保留此电路，它能极大提高系统上电的鲁棒性。

2.2 SPI通信接口：选型与时序的魔鬼细节

SPI是MCU配置TPS65381和进行看门狗服务的唯一通道，其稳定性和时序准确性至关重要。

SPI模块选择（MibSPI vs SPI）Hercules MCU有功能强大的多缓冲SPI（MibSPI）和标准SPI。数据手册示例使用了MibSPI1/3/5，但RM46控制卡参考设计却用了SPI2。为什么？这通常是基于系统资源分配的决定。在参考设计中，MibSPI1预留给底板通信，MibSPI3用于连接电机驱动桥，MibSPI5与以太网功能复用。因此，空闲的SPI2就被分配给了TPS65381。虽然MibSPI可以通过DMA和缓冲区减轻CPU负担（例如，可以把4个看门狗应答合并到一个传输帧中），但标准SPI在软件控制下同样可以可靠工作。

关键时序参数：t_SUCS，t_HCS与t_HLCS这是最容易导致通信失败的地方。TPS65381对SPI的片选（NCS）信号有严格的时序要求：

t_SUCS（片选有效建立时间）：至少45ns。即NCS拉低后，要等待至少45ns才能发出第一个时钟（SCLK）边沿。
t_HCS（片选有效保持时间）：至少45ns。即最后一个时钟边沿之后，要维持至少45ns才能将NCS拉高。
t_HLCS（片选无效时间）：即两次16位SPI传输之间，NCS保持高电平的时间。TPS65381要求这个时间足够长，而Hercules的MibSPI在连续传输数据帧时，默认的片选无效时间可能太短。

软件配置要点：MCU的SPI模块复位后的默认配置通常不满足这些要求。特别是t_HLCS，需要通过配置SPI数据格式寄存器（SPIFMTx）中的wdelay字段来增加延迟。在80MHz的VCLK下，参考设计建议将wdelay设置为0x3F，作为效率与时序裕量的折中。务必在初始化SPI时，根据你的系统时钟频率，计算并设置好这个参数。通信不稳定的首要怀疑对象就是这里。

2.3 诊断与复位电路：给调试留个后门

DIAG_OUT引脚电容TPS65381的DIAG_OUT引脚用于输出模拟诊断信号（如内部基准电压）到MCU的ADC进行检测。数据手册明确要求，此引脚必须连接一个10nF到33nF的电容到地。如果没有这个电容，ADC采样到的电压会不稳定甚至完全错误，导致诊断测试失败。这是一个硬件上必须添加的元件。

NRES与ENDRV连接的可断开设计参考设计中在TPS65381的NRES（复位输出）到MCU的nPORRST（复位输入），以及TPS65381的ENDRV（使能外部功率级）到MCU的GIOA4之间，加入了DIP开关或跳线帽。这纯粹是为了调试方便，生产版本应直接连接。

NRES断开开关：当你的看门狗服务程序有问题时，TPS65381会不断触发MCU复位，导致你无法通过调试器连接MCU进行排查。此时断开这个开关，可以让MCU独立于TPS65381的复位，方便你烧录和调试代码。
ENDRV上拉电阻：ENDRV引脚内部有一个约4.87kΩ的上拉电阻。如果它要驱动的后级电路（如电机驱动器的使能端）下拉电阻太强（例如参考设计中DRV8301底板的1kΩ下拉），可能导致ENDRV无法被可靠拉高。参考设计通过增加一个500Ω的外部上拉电阻来克服这个问题。更好的做法是修改底板，移除那个1kΩ的下拉，但这通常受限于现有硬件。因此，需要根据实际负载计算是否需要加强上拉。

3. 软件配置流程：一步一步唤醒安全守护者

软件配置TPS65381就像和一个严格的守护者进行一套固定的握手仪式，步骤不能错，时机要掐准。整个流程的目标是：让芯片从完全未知的状态，安全地进入正常工作模式，并建立起可靠的看门狗监控机制。

3.1 初始化阶段：搭建通信桥梁

第一步：精确配置SPI在调用任何TPS65381驱动函数前，必须先正确初始化SPI模块。这不仅仅是设置波特率、时钟极性和相位（通常模式0，即CPOL=0， CPHA=0）。如前所述，最关键的是配置SPIFMT寄存器，确保满足t_SUCS，t_HCS，特别是t_HLCS的时间要求。参考代码中的spiInit()函数需要根据你的具体时钟进行修改。

// 伪代码示例：配置SPI格式寄存器（以某个寄存器字段为例） void spiInitForTPS65381(void) { // 1. 禁用SPI模块进行配置 spiREG->GCR0 = 0; // 禁用SPI // 2. 配置数据格式，重点设置wdelay以增加片选无效时间 // 假设系统时钟VCLK=80MHz， 一个时钟周期12.5ns // 我们需要t_HLCS至少250ns， 那么wdelay需要 >= 250ns / 12.5ns = 20个周期 // 为留裕量，设置为31（0x1F）或更大 spiREG->FMT0.BIT.WDELAY = 0x3F; // 设置足够的延迟 spiREG->FMT0.BIT.SHIFTDIR = 1; // MSB先发 spiREG->FMT0.BIT.PARITYENA = 0; // 无奇偶校验 spiREG->FMT0.BIT.PARITYPOL = 0; spiREG->FMT0.BIT.CHARLEN = 15; // 16位数据长度 (值=长度-1) // 3. 配置引脚功能为SPI， 使能模块等 // ... 其他标准配置 spiREG->GCR0 = 1; // 使能SPI }

3.2 强制进入与配置诊断模式

第二步：锁定诊断状态上电或复位后，TPS65381会执行内部自检（BIST），然后进入一个“等待配置”的状态。我们的第一个关键操作是强制它停留在“诊断模式”。在这个模式下，芯片的核心电压调节器已经工作（MCU得电），但看门狗和错误监控还未激活，允许我们安全地进行芯片配置和诊断测试。通过SPI写入安全检查控制寄存器（SAFETY_CHECK_CTRL），将其设置为0x17，即可实现此目的。

ecmpIfSetRegister(ECMP_SAFETY_CHECK_CONTROL, 0x17); // 强制进入并保持在诊断状态

第三步：配置工作模式接下来，我们需要告诉TPS65381我们希望的监控模式。主要是配置安全功能配置寄存器（SAFETY_FUNCTION_CONFIG）。

看门狗模式：TPS65381支持“窗口看门狗”和“问答（Q&A）看门狗”模式。Q&A模式更复杂也更安全，Hercules例程通常使用此模式。设置相应位以启用Q&A看门狗。
错误引脚模式：配置MCU的错误信号输出（nERROR）如何影响TPS65381。通常设置为“Hercules错误引脚模式”，即MCU可以通过拉低某个GPIO来主动向TPS65381报告错误。

// 示例：启用Q&A看门狗，并设置为Hercules错误引脚模式 ecmpIfSetRegister(ECMP_SAFETY_FUNCTION_CONFIG, 0xE4);

这个值0xE4是结合了特定配置位的掩码结果，具体每一位的含义需要查阅数据手册。

3.3 执行诊断测试与同步看门狗

第四步：进行内部诊断在诊断模式下，我们可以利用DIAG_OUT引脚和内部的模拟多路复用器，将一些关键的内部电压（如带隙基准电压VMON_BG、LDO输出电压等）输出到MCU的ADC进行测量，以验证芯片内部电源是否正常。例如，检查VMON_BG是否在2.2V至2.8V的合理范围内：

ecmpDiagMuxOutputMode(2); // 设置为模拟输出模式 ecmpDiagMuxSelectSignal(0x80); // 选择VMON Bandgap信号 ecmpDiagMuxEnable(); // 使能诊断多路复用器输出 // 等待信号稳定（需要足够的RC延时，具体时间取决于外部电容） for(volatile int i=0; i<10000; i++); adcStartConversion(adcREG1, 1); // 启动ADC转换 while(!adcIsConversionComplete(adcREG1, 1)); // 等待转换完成 adcResult = adcGetData(adcREG1, 1, &adcValue); // 将ADC值转换为电压，并与阈值比较 voltage = (adcValue * VCCAD) / 4095.0; // 假设12位ADC if (voltage < 2.2 || voltage > 2.8) { // 诊断失败，芯片可能有问题，应进入安全处理流程 handleSafetyError(); } ecmpDiagMuxDisable(); // 关闭诊断输出

第五步：插入调试断点（仅开发阶段）在诊断测试后，例程中通常会放置一个汇编死循环asm(“ b #-8”)。这就像在说：“配置好了，诊断也通过了，现在先停在这里别动。” 这样做的目的是让你在通过调试器（如CCS）下载程序后，能稳稳地停在这里，然后手动将程序计数器（PC）移到下一条指令，开始运行看门狗服务程序。这个循环在量产代码中必须删除。

第六步：同步看门狗定时器在开始喂狗之前，必须确保MCU的喂狗节奏和TPS65381内部看门狗定时器的窗口同步。TPS65381的看门狗以固定的周期运行，分为“开放窗口”和“关闭窗口”。MCU必须在“开放窗口”内完成喂狗应答。同步的窍门在于：对看门狗窗口配置寄存器（WDT_WINx_CFG）的任何写操作，都会立即启动一个新的看门狗令牌-应答序列。因此，在完成所有配置后，最后再配置窗口参数，就等于给了MCU一个明确的同步起点。之后，MCU的喂狗任务就以此为基准，周期性地执行。

3.4 看门狗服务与进入活动模式

第七步：计算与发送看门狗答案这是Q&A看门狗模式的核心。TPS65381会周期性地通过SPI发送一个4位的“令牌”（Token）。MCU必须根据当前令牌值和内部看门狗状态寄存器的值，通过一个固定的算法，计算出一个8位的“答案”（Answer），并通过SPI写回特定的答案寄存器。算法在数据手册中有详细描述，本质是一系列异或和位操作。例程中的ecmpSendWdgAnswer()函数实现了这个算法。关键点在于：一个看门狗周期内，需要连续计算并发送4个答案。每发送一个答案，芯片内部的答案计数器会递减，并生成下一个令牌，如此循环。

void ecmpSendWdgAnswer(void) { uint16 token, status, answer; uint16 t0, t1, t2, t3, a0, a1; token = ecmpIfGetRegister(ECMP_WDG_TOKEN) & 0x0F; // 获取低4位令牌 status = ecmpIfGetRegister(ECMP_WDG_STATUS); // 获取状态 // 分解令牌位和状态位（根据手册算法） t0 = token & 1; t1 = (token >> 1) & 1; t2 = (token >> 2) & 1; t3 = (token >> 3) & 1; a0 = (status >> 6) & 1; a1 = (status >> 7) & 1; // 根据数据手册SLVSBC4中的公式计算答案 answer = (t0 ^ (a1 ^ t3)) | ((t0 ^ a1 ^ (t1 ^ t2)) << 1) | ((t0 ^ a1 ^ (t3 ^ t1)) << 2) | ((t2 ^ a1 ^ (t0 ^ t3)) << 3) | ((t1 ^ a0) << 4) | ((t3 ^ a0) << 5) | ((t0 ^ a0) << 6) | ((t2 ^ a0) << 7); ecmpIfSetRegister(ECMP_WDG_ANSWER, answer); // 发送答案 }

喂狗任务需要在实时中断（RTI）或实时操作系统（如FreeRTOS）的任务中，以精确的周期被调用，确保4个答案在规定的窗口内完成发送。例程中的时序是在开放窗口期间发送前3个答案，在关闭窗口开始后5ms发送第4个答案，从而实现同步。

第八步：启用看门狗复位并进入活动模式当MCU成功服务看门狗一段时间（失败计数器归零）后，说明软件运行稳定。此时，需要执行最后两步：

启用看门狗复位功能：通过配置寄存器，使能TPS65381的NRES复位输出。这样，如果后续看门狗服务失败，芯片才能真正复位MCU。
```
ecmpEnableWdg(); // 使能看门狗复位
```
离开诊断模式：调用ecmpLeaveDiagnosticState()函数。这个函数会清除TPS65381内部的错误状态寄存器（如果存在历史错误），然后释放ENDRV信号（使能外部功率电路），最后将芯片状态切换到“活动模式”。至此，系统完全启动，处于功能安全监控之下。

4. 典型问题排查与调试技巧实录

即使按照指南操作，在实际调试中依然会遇到各种问题。下面是我总结的几个最常见的问题场景及其排查思路。

4.1 问题一：程序卡在等待诊断状态循环

现象：程序启动后，一直卡在类似while (ecmpIfGetBit(ECMP_WDG_STATUS, 2) == 1);的循环里，无法进入后续流程。排查步骤：

检查硬件连接：首先用万用表或示波器检查TPS65381的VBAT电压是否达到5.8V以上？NRES引脚到MCU nPORRST的线路是否连通（如果用了DIP开关，确认是否在ON位置）？
检查IGN时序：用示波器同时抓取VBAT和IGN引脚的波形。确保在VBAT上升到5.8V之前，IGN为低电平。如果IGN上电就是高电平，检查IGN模拟电路或MCU的GPIO初始化状态。
检查SPI通信：使用逻辑分析仪或示波器抓取SPI总线（NCS， SCLK， MOSI， MISO）的波形。重点看：
- NCS拉低后，是否有足够长的t_SUCS（>45ns）才开始SCLK？
- 16位数据传输之间，NCS拉高的时间t_HLCS是否足够长？
- MOSI线上发送的数据是否正确（例如发送强制诊断状态的命令0x17）？
- MISO线上是否有数据返回？可以尝试读取一个已知寄存器（如设备ID）来验证SPI双向通信是否正常。
电源复位：尝试完全断电（拔掉电源），等待几秒后再上电。有时芯片可能处于一种锁死状态，需要完全下电复位。

4.2 问题二：下载程序后点击运行，立即进入安全状态

现象：在CCS中编译下载程序后，一点击“Run”（运行）按钮，MCU似乎运行了，但很快TPS65381的ERROR灯亮起（如果有），或系统无反应，测量ENDRV发现为低（安全状态）。原因与解决：这通常是因为程序从诊断模式切换到活动模式的过程中，看门狗服务没有及时跟上。标准的调试顺序应该是：

编译并下载程序到Flash。
确保NRES的DIP开关在ON（连接）状态。
给整个系统完全断电，再重新上电。这是最关键的一步！目的是让TPS65381和MCU都经历一个完整的上电复位序列，从初始状态开始执行你刚下载的程序。
重新上电后，再通过CCS连接MCU。此时程序应停在asm(“ b #-8”)那个死循环处。
在CCS的调试视图中，将程序计数器（PC）拖到死循环之后的下一条指令。
点击“Resume”（继续运行）或“Run”。此时看门狗服务任务应该能正常启动并同步。

切记不要在下载程序后，直接按MCU的硬件复位按钮然后运行。因为MCU复位了，但TPS65381可能没有复位，两者状态不同步。

4.3 问题三：TPS65381不断复位MCU（电源指示灯闪烁）

现象：系统不断重启，复位指示灯规律性闪烁。排查思路：

看门狗服务失败：这是最常见的原因。检查喂狗任务是否被正确触发？其执行周期是否与TPS65381的看门狗窗口匹配？用示波器监控一个GPIO，在喂狗函数里翻转它，看看翻转周期是否稳定且符合预期。
SPI时序问题：在使能了编译器优化后，代码执行速度加快，可能导致SPI连续传输之间的间隔t_HLCS变短，低于芯片要求，造成通信错误，看门狗应答失败。解决方法：检查并增大SPI格式寄存器中的wdelay值。
诊断测试失败：如果诊断测试（如检查内部电压）失败，程序可能主动进入了错误处理循环。检查ADC采样代码和阈值判断逻辑。
紧急处理：为了打断这种循环以进行调试，可以：
- 将NRES的DIP开关拨到OFF，断开复位链路。
- 或者，按住MCU的nRST按钮，然后触发一下IGN脉冲（如按下PORCYC按钮），等待约1秒后释放nRST按钮。这个操作可以强制TPS65381进入“安全状态”。在安全状态下，NRES保持高电平（不复位MCU），核心电压正常输出，但ENDRV为低（禁用外部驱动）。此时你可以连接调试器，重新烧录程序。

4.4 问题四：代码无优化时正常，开启优化后看门狗失败

现象：在调试阶段（编译器优化关闭 -O0）一切正常，但为了节省代码空间和提高性能，开启优化（如 -O2）后，系统开始出现看门狗复位。根本原因：编译器优化会重组代码、内联函数、减少内存访问，这可能显著改变关键函数的执行时间，特别是喂狗函数和其中SPI访问的时序。最可能的影响就是前面反复提到的SPI片选无效时间t_HLCS。解决方案：

首要检查：确认SPI的wdelay配置是否留有足够裕量。优化后代码执行快，两次SPI调用间隔可能缩短，需要更大的wdelay。
关键函数隔离：将喂狗函数ecmpSendWdgAnswer()以及相关的SPI读写函数标记为#pragma或__attribute__((optimize(“O0”)))，禁止编译器对其进行优化，保持其时序稳定。
使用volatile变量：确保用于计算答案的令牌和状态寄存器变量被声明为volatile，防止编译器优化掉“看似冗余”的读取操作。
精确计时：如果喂狗任务基于RTI中断，优化可能影响中断响应时间。检查中断优先级，并考虑使用更精确的硬件定时器触发喂狗。

5. 基于HalCoGen的工程构建与移植要点

TI提供了基于HalCoGen（硬件配置生成工具）的示例工程，包括无操作系统（NoRTOS）和FreeRTOS两个版本。这些工程是极好的起点，但在移植到自己的项目时，需要注意以下几点。

5.1 工程结构梳理

示例工程通常包含以下关键文件：

ecmp.h/ecmp.c：TPS65381的高层驱动，包含模式配置、看门狗服务、诊断测试等函数。
ecmp_if.h/ecmp_if.c：TPS65381的底层SPI接口抽象层，直接操作寄存器进行读写。
sys_main.c：主函数所在文件，包含了初始化和主循环（或任务创建）。
notification.c（FreeRTOS项目）：通常放置看门狗喂狗任务。

在移植时，你需要将ecmp和ecmp_if这两个模块的源文件和头文件复制到你的项目中。

5.2 配置与修改步骤

使用HalCoGen配置MCU：打开或创建你的HalCoGen工程（.hcg文件）。正确配置：
- 系统时钟：确保VCLK等时钟频率与你软件中SPIwdelay的计算一致。
- SPI模块：配置你所使用的SPI模块（如SPI2）的引脚、基本参数（波特率建议先设为较低值如1Mbps调试）。
- ADC模块：配置用于采样DIAG_OUT的ADC通道。
- RTI或硬件定时器：配置一个高优先级的中断，用于周期性触发喂狗（NoRTOS方案）。
- FreeRTOS设置（如果使用）：配置系统时钟节拍（tick）。
生成代码：点击Generate，让HalCoGen生成底层驱动代码。
集成安全驱动：将ecmp和ecmp_if文件复制到你的项目目录。
修改主程序：在sys_main.c的main()函数中，参照示例添加必要的初始化序列：
- 初始化系统时钟、引脚。
- 初始化SPI、ADC。
- 调用ecmpInit()（该函数内部会强制进入诊断模式并配置芯片）。
- 执行诊断测试（可选，但建议保留）。
- （仅NoRTOS）配置RTI中断，在中断服务程序（ISR）中调用喂狗函数。
- （仅FreeRTOS）创建喂狗任务（Task）。
- 同步并启动看门狗服务。
- 调用ecmpLeaveDiagnosticState()进入活动模式。
实现喂狗机制：
- NoRTOS：在RTI ISR中，维护一个软件计数器，到达指定周期（如10ms）后调用一次ecmpSendWdgAnswer()。注意一次看门狗周期需要调用4次。
- FreeRTOS：创建一个高优先级的任务，使用vTaskDelayUntil()确保精确的周期，在该任务中循环调用喂狗函数。

5.3 调试与验证建议

分步调试：不要试图一次完成所有功能。先注释掉看门狗使能和活动模式切换，只测试SPI读写和诊断模式进入。用调试器读取TPS65381的寄存器，验证通信是否正常。
信号测量：善用示波器。
- 测量NRES引脚，在成功进入活动模式前，它应该是高电平。如果持续为低，说明芯片在复位MCU。
- 测量ENDRV引脚，进入活动模式后，它应该变为高电平。
- 测量SPI波形，确认时序。
打印日志：如果MCU有可用的串口，在代码关键节点（如“进入诊断模式”、“诊断测试通过”、“开始喂狗”、“进入活动模式”）添加串口打印信息，这对于追踪程序流非常有帮助。
压力测试：系统稳定后，可以尝试人为制造一些异常，如临时阻塞喂狗任务（在FreeRTOS中挂起该任务），观察系统是否能按预期被TPS65381复位，以此验证安全机制是否真正生效。

将Hercules MCU与TPS65381协同工作，是构建符合功能安全要求系统的重要一步。这个过程要求开发者兼具硬件和软件视角，对时序、状态机和故障处理有清晰的理解。从仔细审查原理图上的每个外围电路，到精确计算SPI的延时参数，再到在软件中实现严丝合缝的状态切换和看门狗服务，每一步都需要耐心和严谨。我最深刻的体会是，功能安全相关的调试，可观测性至关重要。无论是示波器上的一个波形，还是串口输出的一行日志，都能帮你快速定位问题是出在硬件连接、时序配置，还是软件逻辑上。把这个基础打牢，后续的上层应用开发才能在一个可靠的地基上进行。