OTP（One-Time Programmable，一次性熔丝可编程）是ASIL-D级高频同步Buck及PMIC内部集成的非易失性熔丝存储模块。在ADAS域控制器、自动驾驶安全电源系统中，OTP用于固化芯片上电默认参数，上电后由硬件自动加载，无需MCU软件介入即可建立安全电源轨，满足ISO 26262 ASIL-D对单点故障度量SPFM≥99%、潜伏故障度量LFM≥90%的硬件指标要求。
高频典型开关频率覆盖1MHz至4MHz，集成高/低侧功率MOS，常见车规封装如HVQFN-56，代表器件包括NXP FS85/FS6600、MPS MPQ70160-AEC1、TI TPS65223-Q1等。
一、OTP存储的配置内容
OTP熔丝阵列保存芯片上电复位的硬件默认值。当输入电压VIN越过UVLO阈值后，硬件自动将熔丝数据加载至镜像寄存器，整个过程不依赖I2C或SPI软件干预。
Buck核心参数：输出电压VOUT默认值；开关频率（支持1/2/2.2/3/4MHz高频选项）；扩频FSS使能；工作模式（强制PWM或自动PWM-PFM）；相位交错设置；DVS动态电压调节默认查找表。
保护阈值（安全关键项）：过压OV、欠压UV、逐周期过流OCP、热预警及热关断阈值；电源良好PGood窗口阈值。
上电时序状态机：各路Buck/LDO的上电顺序与延时；通道使能/禁止配置。
接口与安全配置：I2C-PEC或SPI-CRC校验使能；看门狗参数；故障引脚行为定义；安全状态Safe-State响应策略；ABIST/LBIST内置自检使能选项。
上电流程简述：VIN上电→UVLO释放→硬件读取OTP熔丝→加载镜像寄存器→Buck按OTP配置启动输出。此后MCU可通过I2C/SPI动态改写寄存器，但动态改写仅修改易失性镜像寄存器，不会改写OTP熔丝本身，断电后丢失，下次上电自动恢复OTP默认值。
二、ASIL-D对OTP的特殊安全机制
普通消费类PMIC的OTP仅用于参数固化，而ASIL-D系统中的OTP属于安全关键存储，必须具备故障检测能力，防止熔丝位单比特翻转导致电源输出异常，威胁ADAS功能安全。
冗余存储与CRC/ECC校验：关键安全参数采用双份熔丝阵列备份存储。硬件读取时自动执行CRC校验，检测单比特翻转。若校验失败，芯片进入预定义的安全失效状态（Safe-State），关断输出或进入安全低功耗模式，同时置位Fault标志上报MCU。
ABIST上电内置自检：上电阶段自动对OTP存储阵列执行读取完整性自检，检测熔丝开路或短路故障。自检通过后才允许Buck启动输出。
OTP编程锁死机制：OTP熔丝仅允许芯片制造端或整机产线一次性烧录，用户系统运行期间禁止改写。烧录完成后安全熔丝锁死，运行模式下只读不可再烧写，防止运行中的噪声、高压或宇宙射线误改写熔丝位。需注意，OTP为一次性不可擦除重写。部分器件提供MOTP（多页一次性可编程）方案，允许产线分步多次烧录，但本质仍非Flash，烧写次数有限，且禁止在整车运行期间在线修改。
OTP与I2C寄存器的本质区别：OTP熔丝为非易失存储，断电保持数据，由产线一次性烧录，运行期间只读，其作用是提供芯片上电硬件默认配置，确保MCU未就绪前安全电源已经建立。I2C/SPI镜像寄存器为易失性RAM，断电丢失，运行中MCU可读写，用于动态调电压、调模式、调时序。在安全架构中，OTP构成ASIL-D的基础安全基线——当MCU失效或I2C总线卡死时，芯片仍使用OTP固化的保护阈值执行保护逻辑，不会出现不受控输出。安全电源的故障阈值和Safe-State行为必须固化在OTP中，不能完全依赖软件寄存器。
三、高频Buck下OTP参数对电源性能的影响
在1–4MHz高频同步降压架构中，多项关键参数由OTP直接决定，硬件启动阶段即生效，软件后修改仅为二次调整。
开关频率与扩频FSS：OTP设定的频率值（如2MHz或4MHz）决定了外围电感电容的选型。同时，扩频功能的使能状态也在OTP中固化，用于改善EMI表现，适配ADAS域控制器板上SAR-ADC、CAN-FD等噪声敏感电路。若OTP烧录频率错误，外围LC参数不匹配将直接导致环路不稳定甚至输出振荡。
PWM/PFM模式默认配置：为模拟域（如IMU、SAR-ADC）供电的Buck通道，OTP建议烧录强制PWM模式，确保上电即进入固定频率工作，避免PFM变频噪声干扰采样精度。后续软件可再修改模式，但OTP保证在MCU未启动阶段已处于安全的低噪声模式。
OV/UV保护阈值固化：这是ASIL-D的核心要求。即使运行中的软件跑飞或误写寄存器关闭保护，OTP中的保护阈值始终不变，防止SOC内核因过压而烧毁。
四、典型工程风险与对策
OTP烧录错误导致上电即异常：MCU尚未启动，Buck已按错误OTP参数输出，可能引发过压、时序错乱，造成SOC不开机甚至硬件损坏。对策是在产线必须执行OTP读取回读校验，CRC校验通过后方可流出。
OTP-CRC校验失效触发Safe状态：现象为上电无输出，Fault引脚持续告警。原因可能是熔丝阵列单元物理损坏。需要结合芯片安全诊断寄存器定位OTP故障根因。
混淆OTP与I2C寄存器：调试阶段通过I2C改好参数后断电重启，所有配置恢复旧状态，原因是忘记将正确参数重新烧录至OTP熔丝。需明确区分：I2C寄存器改写不能永久保存。
ASIL-D分解误区：若将OV/UV阈值全部交由I2C寄存器设置，OTP仅设宽松默认值，一旦MCU死机，保护阈值即失效，无法满足ASIL-D单点故障度量指标。安全关键阈值必须固化在OTP中。
五、OTP、MOTP与Flash对比
OTP为一次性可编程熔丝，部分器件支持MOTP多页方案，由产线烧录，运行期间只读，可靠性高且无擦写磨损，是ASIL-D电源的主流方案，用于固化上电安全基线。
MOTP具备有限次数的可编程能力（几十至几百次），可类比微型Flash，成本较高，仅少量PMIC用于产线多次调参，但绝不允许整车运行期间反复擦写。
片内Flash可反复擦写，但在电源PMIC中几乎不采用。模拟电源芯片极少集成Flash，因其可靠性和高温FIT指标难以满足车规安全要求。需要指出的是，MCU域控芯片本身使用Flash存储程序，而Buck/PMIC电源芯片的安全配置几乎全部采用OTP熔丝方案。
六、典型应用架构
车载12V电池经过前置高压Buck后，接入ASIL-D PMIC（HVQFN-56封装，内置多路高频同步Buck及OTP存储）。上电瞬间MCU尚未完成启动，PMIC硬件读取OTP熔丝，按照固化时序和保护阈值启动各路Buck，为智驾SOC内核、DDR、MEMS-IMU、SAR-ADC等提供安全电源。MCU启动后通过I2C读取OTP镜像状态，可动态微调输出电压和工作模式。一旦MCU死机或I2C总线故障，PMIC不再接收软件命令，仍然坚守OTP固化的OV/UV/OCP保护阈值，触发Safe安全状态，保障系统安全降级。
七、设计检查清单
安全相关保护阈值（OV/UV/OCP、Safe-State行为）必须固化到OTP熔丝中，不能仅依赖I2C软件寄存器。OTP烧录后必须执行回读及CRC校验。为模拟采样域供电的Buck通道，OTP默认配置应设为强制PWM模式。软件流程中需读取OTP镜像寄存器，确认上电默认配置，执行一致性诊断。故障诊断逻辑应监控OTP-CRC状态位，出现校验失败时系统上报安全故障。设计团队必须明确区分：I2C寄存器用于运行时的动态调整，断电即失效，不可替代OTP安全基线。
注：本文信息综合自公开技术资料及芯片数据手册，仅供学习参考。
