一般的な周辺回路

周辺回路の正しさは定常状態だけでなく、以下のような動的な状態変化にも現れます。ボタンにはバウンスが発生し、リセット期間中はGPIOが高インピーダンスになる可能性があります。コイルの遮断時にも電流が流れており、ソフトウェアがハングアップしても監視タスクは稼働し続けることがあります。これらの状態変化を回路およびソフトウェアモデルに組み込むことで、「部品は正しく接続されているのに、なぜか偶発的な誤動作が発生する」という現象を説明できます。

起動前に、回路に明確な状態を持たせる

選択したMCUのリファレンスデザインに基づき、各電源ピン、デカップリングループ、アナログ電源、内部レギュレータ用コンデンサ、およびパワーオンシーケンスを確認します。デカップリングコンデンサは局所的な過渡電流を担うものであり、基板に大きなコンデンサが1つあるからといって電源ピン近傍のループを無視してはいけません。また、異なるMCUの特殊なコンデンサ端子に一律の値を適用してはいけません。

リセットは、電源がまだ安定していない段階をカバーする必要があります。単純なRC回路の解放時刻は、パワーオンスロープ、閾値、リーク電流、および急速な電源断と再起動の影響を受けます。保証された低電圧動作が必要な場合は、内蔵のBOR/PORまたは外部モニタと組み合わせるべきです。起動設定ピンのサンプリングタイミングはデータシートで確認し、外部ボタンや周辺機器がこのウィンドウ中にチップを誤った起動モードに引き込まないようにします。

外部クリスタルには、負荷コンデンサ、寄生要素、駆動レベル、発振器の利得マージンも関係しており、周波数が同じだからといって無条件に交換できるわけではありません。出力負荷はソフトウェアの初期化前に確実なデフォルト電位を持たせる必要があり、リセット期間中のピン状態は特に、リレーやモーターの意図しない動作を引き起こしてはいけません。

ボタンのデバウンス：状態変化を確認し、電位の繰り返し確認ではない

機械接点の瞬間的な開閉は複数のエッジを生成し、その持続時間はデバイスや操作によって異なります。ソフトウェアによるデバウンスでは、元の候補電位とその開始時刻を保存し、候補電位が設定されたウィンドウを超過して安定している場合にのみ、確認済み状態を更新します。確認済み状態が「解放」から「押下」に変化したときにのみ、1回のイベントを生成します。長押しと繰り返しトリガーは別途定義する必要があり、ループのたびに押下動作を実行してはいけません。

以下のモデルでは、1msごとにサンプリングし、ローレベルが押下を表すと仮定し、5msの安定ウィンドウを使用してアルゴリズムを示しています。実際のウィンドウはボタンの特性と応答要件に基づいて決定する必要があり、5msは汎用規格ではありません。また、離散サンプリングではサンプリングポイント間のすべてのスパイクを観察することはできません。

raw = [1]*3 + [0,1,0,1] + [0]*20 + [1,0,1] + [1]*10
stable = candidate = 1
since = 0
presses, releases = [], []
for now, level in enumerate(raw):
    if level != candidate:
        candidate, since = level, now
    if candidate != stable and now-since >= 5:
        stable = candidate
        (presses if stable == 0 else releases).append(now)
assert presses == [12]
assert releases == [34]
print('バウンスと長押しの軌跡：押下と解放は1回ずつのみ発生')

MCU上では、適切な符号なし時間差を使用してカウンタのアンダーフロー/オーバーフローを処理し、比較ウィンドウが使用される時間基準の安全範囲内であることを保証する必要があります。外部割り込みはシステムをウェイクアップしたりチェックを開始したりできますが、すべての元の割り込みを即座にビジネスロジックのボタンイベントとして扱うべきではありません。

ハードウェアのRCは急速な変化を低減しますが、緩やかなエッジはシュミットトリガ入力または対応するデバウンスデバイスと連携させる必要があります。最も単純なプルアップR、ノード対地C、ボタン対地の回路では、解放時にコンデンサがRを介して充電され、押下時にボタンを介して急速に放電します。両方向の時定数が異なるため、必要に応じて電流制限抵抗を追加し、終値と閾値時間を再計算する必要があります。τ = RC は論理反転のディレイではなく、例えば 0 から 0.7VCC へ充電するには −RC ln(0.3) ≈ 1.204RC が必要です。TI：ボタンのデバウンスとシュミットトリガ

確認するのは安定レベルか新しい押下か？

安定Lowの途中一標本を1にすると候補計時は再開するが、確定押下が即解放されるわけではない。窓を短くするとバウンスがイベントになる場合がある。窓は応答遅延と誤検出の取引。

MOS負荷スイッチ：ゲート-ソース電圧とデフォルト状態

GPIOの駆動能力は、保証されたVOH/VOL、単ピンおよびポート全体の電流に基づいて確認する必要があり、絶対最大電流のみで設計してはいけません。大きな負荷はパワースイッチが担い、GPIOは制御を担当します。MOSが導通した後、直流ゲート電流はほぼ不要ですが、切り替え時にはゲート電荷を搬送する必要があります。

ローサイドNMOSでは、S端子をリターン端子に、D端子を負荷の下端に接続します。ゲート直列抵抗は充放電速度を制限し、リンギングの抑制に役立ちます。G-S間のプルダウンは、GPIOが高インピーダンス状態のときにデフォルトのオフ状態を提供します。抵抗値はミラー結合、リーク電流、駆動速度の両立も考慮する必要があり、プルダウンがあれば必ずしも誤導通しないわけではありません。ゲートクランプは S を基準にするべきで、すべてのハイサイドまたは浮遊スイッチに一律に「ゲート対地へのツェナーダイオード」を追加すべきではありません。

ハイサイドPMOSスイッチでは、通常S端子を正電源に、D端子を負荷に接続し、G端子をS端子にプルアップしてオフにし、適切なレベルシフト段によってローに引き下げてオンにします。ここでの端子配置は、専用の単一トランジスタによる逆接防止トポロジとは異なります。電源が12Vの場合、3.3VのGPIOではゲートを12V付近まで直接引き上げてオフにすることはできず、GPIOが損傷する可能性があります。レベルシフトが必要かどうかは、電源ドメインと実際のゲート-ソースウィンドウによって決まり、すべてのPMOSに同じ変換回路が必要なわけではありません。

オン抵抗は実際のVGSと温度に基づいて選択し、VGS(th) は微小なテスト電流で導通が始まることを示すだけであり、負荷が十分にオンになるための根拠としては使えません。耐圧は、電源、クランプ、寄生スパイクに基づいて決定し、「供給電圧×1.5」で完全なストレス予算を代替してはいけません。

DCリレー：遮断ループを完全に描く

正常な導通時、電流は電源からコイル、NMOSを経てリターン端に戻り、フリーホイーリングダイオードは逆バイアスされます。MOSが遮断されると、コイル電流は元の方向へ流れ続け、コイル下端の電圧が上昇し、ダイオードが下端から上端へ導通し、ローカルな閉ループを形成します。したがって、ダイオードの K（カソード）は電源側、A（アノード）はドレイン側 に接続され、コイルと並列になります。

5Vコイルの直流抵抗が70Ω、定常電流が約71.4mA、インダクタンスが0.1Hであると仮定すると、蓄エネルギーは約0.255mJです。0.7Vの一定逆方向電圧降下のみを考慮しコイル抵抗を無視して概算すると、電流の減衰時間は LI/V で約10.2msとなります。実際の電流はコイル抵抗、磁気回路の変化、クランプ特性の影響を受けるため、これはリレーの実測機械リリース時間ではありません。

通常のダイオードクランプは電圧が低く、電流減衰を延長し、結果としてリリース速度に影響を与えます。より高速なリリースが必要な場合は、より高い電圧のクランプを設計できますが、スイッチの耐圧と抑制器のエネルギーを再確認する必要があります。したがって、適切なエネルギー解放経路を確保することは必須ですが、すべてのコイルが同じフリーホイーリングダイオードを使用しなければならないわけではありません。OMRON：リレー抑制回路とリリース時間

コイル駆動の保護と、接点が切り替える負荷の保護は別の問題です。接点負荷にもインダクタンス、サージ、または大きな始動電流がある場合、接点の定格、アーク消弧、負荷側の抑制を別途評価する必要があります。駆動側にダイオードを追加しても、すべての接点ストレスを解決できるわけではありません。

フォトカプラ：絶縁境界とCTRの両方を閉じる

フォトカプラの入力LED電流は光に変換され、出力応答を生成します。両側に導電的な接続は必要ありません。しかし、電源、デバッグライン、またはグランドラインが両側をまたぐと、本来の絶縁境界を迂回する可能性があります。デバイスの耐圧テスト値は、PCB全体の長期的な動作絶縁能力を意味するものではなく、アプリケーションに必要なクリアランス、絶縁、および電源設計にも適合する必要があります。

フォトトランジスタ出力の場合、CTR = IC/IF であり、デバイスのビン分け、入力電流、温度、経年変化、テスト条件によって変化します。ある設計条件で利用可能な最低CTRが50%、IFが2mAであると仮定すると、出力電流の予算は1mAとなります。3.3Vを10kΩのプルアップで引き、ローレベルを0.2Vにしたい場合、約0.31mAが必要であり、静的な予算には余裕があります。ただし、CTRは通常指定されたVCEで測定されるため、飽和ローレベル能力と動的な伝播時間を確認する必要があり、この比率だけですべての論理指標が満たされることを証明してはいけません。Vishay フォトトランジスタフォトカプラ資料

プルアップ抵抗が大きすぎると、エッジが出力コンデンサによって遅延し、小さすぎるとより多くのシンク電流を要求します。深い飽和は遮断を延長する可能性もあります。高速論理用フォトカプラと通常のフォトトランジスタ出力構造は異なり、デバイスの電源とインターフェース仕様に基づいて接続する必要があり、LED電流を大きくするだけで任意のボーレートを実現できるわけではありません。

LED：PWMで平均値を制御、電流制限で瞬時値を制御

直列抵抗の電流は (V供給 − VF − スイッチ電圧降下)/R で計算され、最高供給電圧、最低VF、および許容誤差に基づいて最大電流を確認する必要があります。PWM調光は導通比率を変更するだけであり、電流制限を代替するものではありません。20%のデューティ比だからといって、瞬時電流を定格連続値の5倍に無制限に高めることはできず、パルス定格と熱制約を満たす必要があります。

定電流駆動にも電圧マージンと許容動作範囲が必要です。12V入力、3V LED、100mAの場合、リニア定電流器では約0.9Wを消費し、LEDの電気出力は0.3Wであるため、制御消費電力を無視すると効率は25%に過ぎません。スイッチング定電流方式は特定の条件下で効率を改善できますが、複雑さ、リップル、EMIも異なります。アドレス指定可能なRGB LEDは、制御と駆動を製品に統合しており、そのデータプロトコル、電圧、および電源過渡現象は別途確認する必要があります。

ウォッチドッグ：進捗によって健全性を証明する

メインループにウォッチドッグのリフレッシュ処理を配置することが必ずしも誤りではありません。ループがウォッチドッグの地点に到達する前にすべての重要な作業を完了する必要がある場合、ハングアップはリフレッシュを阻止します。逆に、独立した監視タスクが無条件でウォッチドッグをリフレッシュする場合、他のタスクがすべて停止していても、障害を永久的に隠蔽する可能性があります。

各重要なタスクは、意味のある進捗を完了した後に、そのラウンドの健全性の証拠を更新し、監視側が集約してからリフレッシュする必要があります。外部入力を待機することが許可されているタスクについては、有界待機、タイムアウトリトライ、または制御されたオフラインを明確な状態として扱い、データを受信し続けることを要求してはいけません。健全性フラグは周期ごとにクリアするか、インクリメンタルシーケンスを使用する必要があり、一度セットされて永久に有効にしてはいけません。

タイムアウトとウィンドウは、最長の合法ブロック、起動、Flash消去、低消費電力状態、およびクロック許容誤差に基づいて設定され、最長タスクの2倍に固定してはいけません。独立したクロックと「ウィンドウチェック」は異なる属性であり、独立したウォッチドッグにもウィンドウ機能がある場合があります。具体的なスリープ/デバッグフリーズおよび起動後のウォッチドッグ無効化可否は、モデルごとのデータシートで確認してください。ST STM32WB 独立ウォッチドッグとウィンドウオプション

リセット後は、原因を早期に読み取り、必要な障害コンテキストを保持し、連続する異常再起動によるアクチュエータの動作を制限します。ウォッチドッグは制御不能からの回復に使用されるものであり、プログラムロジックの正しさを証明するものではなく、故障時のハードウェアデフォルト安全状態に代わるものではありません。

回路予算の再計算

from math import isclose, log
assert isclose(-log(1-0.7), 1.203972804325936)
i, inductance = 5/70, 0.1
assert isclose(i*1000, 71.42857142857143)
assert isclose(0.5*inductance*i*i*1000, 0.2551020408163265)
assert isclose(inductance*i/0.7*1000, 10.20408163265306)
assert isclose((3.3-0.2)/10000*1000, 0.31)
assert isclose((12-3)*0.1, 0.9)
assert isclose(3/12, 0.25)
print('RC閾値、コイル蓄エネルギー、CTR負荷、リニアLED損失の計算が通過')

デバウンス波形と数値計算でモデルの関係を確認できます。コイル、接点、絶縁の性能は実際の動作条件で測定します。

続きの参照

• MCUの選定と開発エコシステム：ピンとシステムリソースの予算。
• 保護回路：逆接防止、クランプ、SOA、および故障エネルギー。
• センサー：サンプリングと誤差分析。