P05 · YBO Key —— 设计附录
- 产品入口：P05-switch.md
- Level-1 规格：P05-key.md（本附录不改变任何 Level-1 数值）
- 总交付要求：P05-key-guide.md
- 引用的基础文件：X01 YBO-CAN 协议、X02 配置模式
1. 范围
章节标题：“1. 范围”本文是 Key Box 36 与 Key 4 / Key 8 面板的内部设计输入（面板与扩展单元延后，尚未设计；工作区的面板底板为占位，2026-10-29）：推荐器件与单元键数、架构、电源与 CAN、灯光与光学预算、按键与点动实现、结构与生产。目标值与需求以规格为准，本文只引用其 ID 和章节。以下为 2026-09-28 按原厂公开资料核对的设计推荐，不是已下单的 AVL。
2. 平台与选型
章节标题：“2. 平台与选型”2.1 推荐器件
章节标题：“2.1 推荐器件”| 模块 | 推荐器件/配置 | 选择理由与实施限制 |
|---|---|---|
| Key 主控与射频 | Espressif ESP32-C6-MINI-1-N4 模组（4 MB flash、PCB 天线、预认证） | RISC-V 160 MHz；BLE 5.3 用作服务通道，Wi-Fi 6 与 802.15.4 首版不启用；片内 2× TWAI（Classical CAN，符合 X01）、3 个 UART、22 个 GPIO；内置 USB Serial/JTAG 作维护口；Secure Boot v2、flash 加密、eFuse。保持 CAN 接收时为 modem-sleep，逻辑轨 14–25 mA。选型依据与其他方案见 Key 无线服务与主控评估。模组数据手册 |
| Key CAN | NXP TJA1463 | 保留 X01 所需 SIC 与唤醒能力；VCC 用 5 V、VIO 用 3.3 V；VBAT 正常工作上限 28 V，推荐接受控 5 V 常供电轨，绝不直接接 32 V 输入。数据手册 |
| Key LED | TI LP5036（36 路）一颗，Key 4 / Key 8 共用；低价备选 Lumissil IS31FL3236A | 每键 RGB 状态 3 路；图例背光每块板一组，白、红各 1 路，LED 颗数多时每色并用 2 路。Key 8 用 24 + 2…4 路，Key 4 用 12 + 2…4 路。LED 限流和光学实测后锁定工作电流，不按驱动器最大能力点亮。LP5036 |
| I2C 扩展口 | TI TCA9548A 8 通道 I2C 多路开关 | 每通道接一块 I2C 扩展单元；给每块板独立的地址空间，并能隔离把总线拉死的扩展口。数据手册 |
| 内部扩展 CAN | 主控的 TWAI1 加独立收发器（TJA1042 或 SIT1042 类） | 与 YBO CAN 的 TWAI0 / TJA1463 完全分开（KEY-22）；内部总线不要求 SIC；不配 CAN 扩展单元时收发器不使能。电气隔离（ISO1042、CA-IS3050 类）只作选配 |
| CAN 扩展单元 | 带 CAN 的小 MCU（候选 CH32V203）+ CAN 收发器 + 36 路 LED 驱动器 | 每块 8 键；MCU 的 CAN 能力、晶振要求与完整订货号按数据手册核对后冻结（KEY-O-12） |
| Key 电源 | TI LMR36506-Q1 → 5 V；TLV755P 3.3 V 档 → 逻辑轨 | 前级宽输入降压；后级 LDO 需计算发热。反接、浪涌、保险/限流、TVS 和布局仍需独立设计，宽输入芯片不代表整机通过瞬态测试。降压、LDO |
| 非易失存储 | 模组内 4 MB flash | 分区覆盖引导程序、两个应用槽、配置与出厂数据；双镜像由真实二进制验证，不凭标称容量承诺 |
主控用 ESP32-C6 模组：固件基于 ESP-IDF，与 Air Hub 的 ESP32-C5 同一工具链，不与 S32K 或 STM32 的引导程序二进制兼容。设计公司必须报价 CAN 栈、签名引导程序、BLE 服务、诊断与工具；不得强制 Core 更换 MCU。STM32G0B1CE 加预认证 BLE 模组、nRF54L15 加 SPI CAN 控制器、ESP32-H2 比较后未采用，记录在评估页。芯片选型是设计推荐，完整订货号、Flash 分区及供货须评审（KEY-O-03）。
替代料六项比较与 ECN 规则见 Switch 公共条款 §2。
2.2 基础单元、扩展单元与多个基础单元
章节标题：“2.2 基础单元、扩展单元与多个基础单元”每块板的上限定为 8 键：这是 ESP32-C6-MINI-1 的 22 个 GPIO 在保留第二路总线引脚的前提下能直接承载的按键数，同时一颗 36 路 LED 驱动器刚好覆盖。基础单元的引脚分配：
| 用途 | 引脚数 | 说明 |
|---|---|---|
| 按键输入 | 8 | 独立 GPIO；不使用启动配置引脚 |
| TWAI0（YBO CAN） | 2 | 接 TJA1463 |
| I2C（LED 驱动器） | 2 | 放在 GPIO8 / GPIO9：总线空闲为高，满足启动配置要求 |
| USB Serial/JTAG | 2 | GPIO12 / GPIO13，维护口 |
| 供电采样 ADC | 1 | |
| LED 驱动器使能 | 1 | |
| I2C 扩展中断 | 1 | 各 I2C 扩展单元的 I/O 扩展器开漏中断线并接；收发器模式脚硬件固定在 Normal，因为 Key 不休眠 |
| TWAI1（内部扩展 CAN） | 2 | 接内部总线收发器 |
| 预留：RS-485 | 3 | UART0 的 TX / RX 加方向控制，后续只需收发器 |
| 合计 | 22 | 无余量；启动配置引脚只分配给输出或预留 |
超过 8 键时用扩展单元，避免每 8 键重复一颗带射频的主控。扩展单元有两种，可同时挂在一个基础单元上：
| 基础单元 | I2C 扩展单元 | CAN 扩展单元 | |
|---|---|---|---|
| 主控 | ESP32-C6-MINI-1，带射频 | 无 | 带 CAN 的小 MCU，无射频 |
| 对外总线 | YBO CAN，TJA1463 | 无 | 无；只在内部扩展 CAN 上 |
| 与基础单元的连接 | — | I2C 加中断线，经 8 通道多路开关 | 内部扩展 CAN，差分 |
| 按键输入 | 8 路主控 GPIO | 一颗 16 位 I2C I/O 扩展器，带中断（AW9523B、XL9555 或 TCA9555），用其中 8 路 | 小 MCU 的 8 路 GPIO |
| LED | 一颗 36 路驱动器 | 一颗 36 路驱动器（LP5036 或 IS31FL3236A） | 一颗 36 路驱动器 |
| 供电 | 8–32 V 输入，板上生成 5 V 与 3.3 V | 由基础单元提供 5 V 与 3.3 V | 由基础单元提供 5 V，板上 LDO 生成 3.3 V |
| 距离 | — | 每口 ≤0.3 m；屏蔽双绞并降速后约 2 m，待实测 | 内部总线 ≤20 m (t) |
| 数量上限 | — | 8 块 | 16 块 (t) |
| 按键上报 | — | 中断后由基础单元读取 | 扩展单元主动上报 |
| 固件 | 有 | 无 | 有，功能固定 |
| 主控、收发器与驱动的成本 | 约 4.4 美元；带扩展时另加多路开关 0.70 与内部收发器约 0.45 | 约 0.85–1.26 美元 | 约 1.7–2.0 美元 |
选用原则：同一组装体内、线束很短的用 I2C 扩展单元，最便宜且没有固件；面板相距较远或块数多的用 CAN 扩展单元。已比较而未采用的是 RS-485 子总线：每块约 0.85–0.95 美元，但要自定义主从轮询协议，时延随块数线性增加。
I2C 扩展就是基础单元的 I2C 加一根中断线。规则：
- 基础单元上放一颗 8 通道 I2C 多路开关（TI TCA9548A，LCSC 约 0.70 美元），每个通道接一个扩展口，一口一块 I2C 扩展单元。一个基础单元因此最多带 8 块 I2C 扩展单元，连同基础单元共 72 键。
- 所有 I2C 扩展单元完全相同、地址固定，不设跳线也不需要位置编码；哪一块在哪个位置由通道号决定。
- 为什么不直接靠地址脚区分：LP5036 与 IS31FL3236A 各只有 4 个可选地址，AW9523B 4 个，TCA9555 8 个（均按数据手册核对）；基础单元自己的 LED 驱动器还要占一个，共用一条总线时只能带 3 块扩展单元、共 32 键。多路开关把每块板放进独立的地址空间，去掉了这个限制。
- 8 块不是硬上限：TCA9548A 有 3 个地址脚，一条总线可挂 8 颗；每个通道内还可再靠地址脚挂多块。实际上限由 5 V 轨的背光电流、线束与连接器数量、逐板轮询的时延和单点故障的范围决定，首版按 8 块设计并在
KEY-O-07、KEY-O-11验证。 - I2C 扩展只在同一组装体内使用：每个通道的线束不加措施 ≤0.3 m（100 kHz，串联电阻与 ESD 保护）；改用带地线的屏蔽双绞线、降低速率并加强上拉后可到约 2 m，这一距离是估算，须在最差线束与最大背光下实测误码后才能采用；更长的距离改用 CAN 扩展单元。
- 多路开关同时承担隔离：某个扩展口把 SDA 拉死时，主控取消选中该通道并可复位多路开关，其余通道与板上 LED 驱动器不受影响；隔离后按
KEY-21把丢失的按键标记为不可用。 - 基础单元上电时枚举扩展单元，运行中周期性探测；扩展单元的数量与位置是配置的一部分，与配置不符时上报而不是静默运行。
- 所有板的 LED 电流都取自基础单元的 5 V 轨；基础单元加 8 块 I2C 扩展单元、72 键全亮按初值估算约 320 mA@5 V，降压器与连接器按此核算。
内部扩展 CAN 由主控的 TWAI1 经独立收发器驱动。规则：
- 内部总线与 YBO CAN 在控制器、收发器、连接器上全部分开（
KEY-22）。内部总线短路或某块扩展单元持续发帧只影响内部总线；CAN 的故障界定会让出错的节点自行退出总线。 - 基础单元是唯一的出入口：扩展单元上报按键事件，基础单元把它们当作自己的按键处理并生成 X01 命令；回读状态由基础单元下发给对应的扩展单元显示。外部帧不转发到内部总线。
- 扩展单元主动上报，按键时延不随块数增加；首版按 16 块、总线 ≤20 m 设计，上限主要由供电决定。
- 帧格式优先复用 X01 的格式以共用代码，位速率、终端电阻、地址与枚举方式在
KEY-O-12冻结。 - 扩展单元由基础单元的 5 V 供电，两边共地，首版不做电气隔离；扩展面板另有独立供电、两边地电位不同时，才选配隔离收发器与隔离电源。远端压降按满配背光核算，线径与每段长度写进线束 ICD。
- CAN 扩展单元有自己的固件。这类小 MCU 没有硬件信任根，所以它不保存任何密钥；镜像由基础单元保存、校验签名后经内部总线下发，版本不符时扩展单元不投入使用（
SEC-05）。 - CAN 扩展单元把收发器换成 TJA1463 后，电气上就是一块不带射频的 Key，可以作为独立节点直接挂在 YBO CAN 上；是否作为产品配置提供归
KEY-O-11。
主控、收发器、多路开关与驱动的成本（LCSC 零售价，2026-09-28）：
| 键数 | 全部用基础单元 | 基础单元加 I2C 扩展单元 | 基础单元加 CAN 扩展单元 |
|---|---|---|---|
| 40 | 5 个，约 22 美元 | 加 4 块，约 8.5–10.2 美元 | 加 4 块，约 11.7–12.9 美元 |
| 72 | 9 个，约 40 美元 | 加 8 块，约 11.9–15.2 美元 | 加 8 块，约 18.5–20.9 美元 |
| 136 | 17 个，约 75 美元 | 超出上限 | 加 16 块，约 32–37 美元 |
多个基础单元仍然保留，用于同一位置的按键控制关键回路、需要互不依赖的情况。所有按键挂在一颗主控后面时，基础单元故障会让整组面板失效，关键回路应分散到不同的基础单元。节点号、跨节点语义与安装框归 KEY-O-11。
2.3 Key Box 36 控制盒
章节标题：“2.3 Key Box 36 控制盒”规格见 P05-key.md §2.1 与 KEY-23…KEY-31。原理图与 PCB 由工作区 /srv/ybo/switch 的 tools/gen_key_box.py 与 tools/gen_key_pcb.py key_box 生成，输出在 key-box/。
线束针脚（TE AMPSEAL 35 立式插座 776231，3 排 12 / 11 / 12，4 mm 节距；插座颜色与同色插头 776164 键位配对，端子 770520 / 770854）：
| 针 | #1 黑 776231-1 | #2 本色 776231-2 | #3 灰 776231-4 | #4 蓝 776231-5 |
|---|---|---|---|---|
| 1–9 | 键 1–9 NO 输入（高有效） | 键 10–18 | 键 19–27 | 键 28–36 |
| 10–18 | 键 1–9 绿灯输出 | 键 10–18 | 键 19–27 | 键 28–36 |
| 19–27 | 键 1–9 红灯输出 | 键 10–18 | 键 19–27 | 键 28–36 |
| 28 | COM1+ | COM2+ | COM3+ | COM4+ |
| 29 | V+ | RS-485 A | AUX3 | 高边输出 HSO2 |
| 30 | GND | RS-485 B | AIN1 | AIN5 |
| 31 | CAN1 H | RS-485 TERM | AIN2 | AIN6 |
| 32 | CAN1 L | RS-485 屏蔽 | AIN3 | AIN7 |
| 33 | CAN1 TERM | AUX2 | AIN4 | AIN8 |
| 34 | CAN1 屏蔽 | GND | 传感器地 AGND3 | 传感器地 AGND4 |
| 35 | AUX1 | 高边输出 HSO1 | 回路电源 ALOOP3 | 回路电源 ALOOP4 |
NMEA 2000 插座（CAN2）：盖上前装式 M12 A 编码 5 针公座（Micro-C，接标准 N2K 支线的母头），引线接板上 J7（JST XH 5 针，位于隔离区内）；针脚 1 屏蔽、2 NET-S（N2K 12 V）、3 NET-C（N2K 0 V）、4 NET-H、5 NET-L。盒内不接 CAN2 终端（NMEA 2000 的终端在主干两端）。
终端：CAN1 的 120 Ω 在盒内，接在 TERM 与 CAN-H 之间，线束在插头内把 TERM 短接到 CAN-L 时接入；RS-485 的 120 Ω 接在 TERM 与 B 之间，线束把 TERM 短接到 A 时接入。屏蔽经 1 MΩ ∥ 4.7 nF 接 GND（CAN1、RS-485）或 NET-C（CAN2，可不贴）。空孔装密封塞。
电路：
| 部分 | 实现 |
|---|---|
| 输入保护 | 与基础单元相同的结构：保险丝（6.3 A 慢断，Littelfuse 0451006.MRL）、SMBJ150A + SMBJ33CA、LM74800-Q1；阻断 FET 为 250 V / 20 mΩ 的 IPB200N25N3（D2PAK，5 A 时约 0.5 W），理想二极管 FET 为 60 V 的 IPD50N06S4-09；过压钳位降到 34.2 V（100k / 3.74k，33.2–35.1 V），使 COM+ 在钳位时仍在 TIC12400 输入（35 V）额定内，TLE75008-ESD 输出（≥42 V）另有余量 |
| 电源轨 | 输入 9–32 V。VPROT → π 滤波 → VIN → 金升阳 K7805T-1000R3 5 V 模块（8–36 V 输入，1 A，SMD；TJA1463、ADS7038、模拟输入上拉，约 0.35 A 峰值）→ TLV75533 3.3 V（ESP32-C6、逻辑、TLE75008 VDD，峰值约 0.28 A）；VIN → LM317（DPAK，LM317MDT-TR）10 V 供 TIC12400 与 TLE75008 的 VS（≤60 mA，32 V 输入时约 1.3 W，DPAK 下铺铜散热；9 V 输入时 VS 约 7.3 V；固定 10 V 的 78M10 输入只到 35 V，低于钳位上限 35.1 V，K7809 模块要 13 V 输入，都不用）；VIN / 18.9 接 ADC |
| COM+ | 每组 VPROT → 0.5 A / 60 V PTC（Littelfuse 1812L050/60MR，第二货源 SMD1812P050TF/60）→ COMn+；一组 9 键双色全亮约 0.36 A；对地短路只断该组 |
| 输入 | 每个连接器一颗 TI TIC12400：IN0–IN8 为 9 个按键、IN9 为辅助输入（U12 的 IN9 不用，J4 29 改作高边输出）（接电源型开关，内部灌电流，轮询模式下脉冲润湿 1–15 mA），IN10 经 47k / 10k 以 ADC 模式读 COMn+；IN11 起只能作接地型开关，这里以 ADC 模式（0 mA）用于板上监测、高边输出电流与 +5V 读数（见下），其余不用。每个输入 10 nF，四路一颗排容（Yageo CA0612KRX7R9BB103，0612）；TIC12400 的 IEC 61000-4-2 ±8 kV 接触放电等级是按 15 nF 给的，10 nF 须经 ESD 试验确认；共用 INT，各自 CS |
| 输出 | 9 颗 Infineon TLE75008-ESD 菊花链（每颗 16 位，144 位帧，一根 CS）；IDLE 接 DO_EN（下拉），为低时睡眠、寄存器复位，上电与复位期间全部关断；IN0 / IN1 接地，不用跛行回家；VS 取 10 V 轨（7–18 V 标定，每颗 ≤4.2 mA），VDD 3.3 V；72 路按连接器针序排列；每路标称 330 mA（8 路全开、85 °C），开通后 110–260 µs 内过载阈值 1.25–2.3 A、之后 0.5–1.3 A，过载锁断、由 SPI 重新打开；关断状态开路检测（85 µA，VDS < 3.3 V）、逐路过温；输出钳位 42–55 V（感性负载重复 10 mJ @ 220 mA）；PG-TSDSO-24 底部焊盘接 GND 并打过孔；每路 10 nF，四路一颗 CA0612 排容。LCSC 库存少，量产走分销 |
| CAN1 | TJA1463 SIC + 共模扼流 + NUP3105L，同基础单元，TWAI0 |
| CAN2 | TI ISO1042 隔离收发器，TWAI1，经 J7 接盖上的 M12 NMEA 2000 插座；总线侧 NET-S → 100 V 二极管 → SMBJ18A → L78L05 → VCC2，NUP3105L 与共模扼流以 NET-C 为参考；PCB 上隔离区没有盒内地的铺铜与平面 |
| RS-485 | TI THVD1406 自动方向收发器（D 低时驱动，无 DE 脚），3.3 V 供电，非隔离；D = TXD0，R 经 1k 接 RXD0（J6 调试适配器可覆盖）；总线侧 10 Ω 抗脉冲电阻 + CDSOT23-SM712（−7 / +12 V），按 TI SLLSF87A §9.2；总线故障耐压 ±16 V，A / B 对 V+ 短路不受保护 |
| 模拟输入 | AIN1–8 由 TI ADS7038（8 通道 12 位 SPI ADC，WQFN-16，CS = IO11）读取，AVDD 即基准，取 +5V 经 10 Ω + 1 µF 滤波，与上拉同源做比例测量。每路：1k 0.1 % 2512 上拉经一对背靠背 BSS84DW（两个方向都隔断，栅源 100k + 12 V 稳压管，2N7002 经 10k 拉低导通）接到 +5V；经 0.1 A / 60 V PTC（MF-MSMF010-2）到采样点，再经 100 Ω 0.1 % 2512 采样电阻与 DMN6140L 接地；采样点经 30.1k / 20k 0.1 % 分压（满量程约 12.5 V，3.06 mV / LSB）与 10 nF 接 ADC。三种模式：电阻（上拉开、采样关）R = Rpu × V / (V5 − V)，Rpu = 1k + 2 × RDS（标定），190 Ω 约 0.9 Ω / LSB、400 Ω 约 1.2 Ω、1 kΩ 约 2.4 Ω；电流（采样开、上拉关）I = V / 100 − V / 50k，20 mA 约 2.0 V，约 0.031 mA / LSB；电压（都关）0–10 V 或 0–5 V，输入阻抗 50 kΩ，约 3 mV / LSB。采样 FET 由 74HC595 驱动（SER = MOSI、SRCLK = SCLK、RCLK = IO8），上拉开关由串在最后的第三颗 74HC595 驱动；/OE 为 DO_EN 取反（2N7002），栅极 100k 下拉，DO_EN 为低时全部为高阻。ALOOP3 / 4 为 VLOOP 经 0.1 A PTC，AGND3 / 4 为 GND 经 0.5 A PTC；第二颗 74HC595 串在后面（16 位），QB–QF 控制高边输出，QA、QG / QH 备用；第三颗 QA–QH 为 AIN1–8 上拉开关（24 位） |
| 回路电源 VLOOP | 金升阳 URB2424YMD-10WR3 隔离 DC-DC 模块（9–36 V 输入，24 V / 416 mA，1500 VDC，DIP 25.4 × 25.4 × 11.7 mm，Ctrl 悬空为开，装在顶面），VPROT 输入，输入侧 100 µF + 10 µF；输出 0V 接 GND（只用作稳压电源，不利用隔离），所以 12 / 24 V 船上回路电压都是 24 V，两线制变送器按 24 V 选用；输出短路与过流由模块自恢复保护，每路另有 0.1 A PTC；ALOOP3 / ALOOP4 供两线制变送器与有源传感器；12 V 输入满载时取约 1 A，计入整盒 5 A |
| 高边输出 | TI TPS2H160-Q1 B 版（双路 160 mΩ，40 V），VS 取 VPROT（在整盒电流采样之后）；HSO1 → J2 35，HSO2 → J4 29；限流 0.8 V × 2500 / 1.3k = 1.54 A（±15 %），负载每路 ≤1 A；GND 脚（HS_GND）按 SLVSD74 经 1k ∥ BAT46W 接 GND，CL / CS 电阻以 HS_GND 为参考，CS 读数含 HS_GND 的偏移（约 0.3 V，标定），裸焊盘只接 HS_GND、不打到地平面；CS 经 1k 接 U10 IN11（1 A 约 3.45 V，故障时 >4.5 V，SEL 选通道），FAULT 接 U10 IN12；IN1 / IN2 / DIAG_EN / SEL / THER 由第二颗 74HC595 的 QB–QF 控制，100k 下拉，复位期间关断；感性负载 ≤40 mJ，更大的负载端加续流二极管 |
| 板上监测 | Q2 与 VPROT 之间串 10 mΩ 2512（新网络 VFET），INA186A2（50 V/V，共模到 40 V）→ U9 IN11，5 A 对应 2.5 V，约 6.5 A 饱和；两颗 10k NTC 经 4.7k 上拉（TH1 在 TLE75008 区，TH2 在输入 FET 旁）→ IN12 / IN13；3.3 V 轨 → IN14；10 V（VS）由各 TIC12400 自测 |
| 主控 | ESP32-C6-WROOM-1-N8（8 MB flash、PCB 天线、预认证，18 × 25.5 × 3.1 mm；Key 4 / 8 面板仍用 MINI-1-N4）：23 个 GPIO 全部用完（IO11 为 ADC 片选，见下）；MINI-1 的 22 个 GPIO 已用完，换模组后多出 IO10 / IO11，flash 翻倍给双应用槽与日志留余量 |
| 复位与服务按键 | SW1 RESET（EN）与 SW2 SERVICE（IO9）、状态灯 D11 装在 PCB 顶面左侧，开盖即可操作；盒外不开孔（见下文“复位与恢复出厂”） |
TIC12400 只有 IN0–IN9 带灌电流，因此每颗只接 9 键 + 1 辅助，4 个连接器用 4 颗；它的 VS 在 85 °C 环境下推荐 ≤24 V，所以 VS 由 10 V 稳压供给，输入引脚额定 0–35 V 与 VS 无关。输入高于 VS（24 V 船、充电 28.8 V）的工作状态须台架确认（KEY-O-13）。
GPIO：SPI SCLK IO19 / MOSI IO18 / MISO IO20（TIC12400、TLE75008 与 ADS7038 共用；未选中时 SO / SDO 为高阻），TIC CS IO0–IO3（上拉），ADC CS IO11（上拉），TIC INT IO15（上拉），输出 CS IO21（上拉），输出 EN IO10（下拉），TWAI0 IO4 / IO5，TWAI1 IO22 / IO23，VIN 采样 IO6，状态灯 IO7，BOOT / SERVICE 按键 IO9，USB IO12 / IO13（调试串口），UART0 接 RS-485 与测试焊盘（量产时用 eFuse 关闭 UART0 上的 ROM 日志，免得开机向总线发数据）；IO8 为 AIN 模式锁存（启动配置脚，上拉，空闲为高）。
5 A 电源通路：整盒 ≤5 A（灯约 1.4 A、高边输出 2 × 1 A、通用输出、回路电源约 0.6 A、电子部分约 0.2 A，由固件按 INA186 读数做预算）；V+ / GND 各一针（J1 29 / 30），另有 J2 34 作第二根 GND，线束用 1.5 mm²，端子型号与额定按 TE 数据在 D1 核对；上游支路保险 ≤7.5 A。PCB 上 VPROT 走 In4 整层平面（+5V 改为走线），V+ → 保险丝 → Q1 → Q2 → 采样电阻一段为 2 mm 走线。OV 钳位模式下 Q1 承担 (VIN − 34.2 V) × 负载电流：200 V / 350 ms 的未抑制甩负荷在满载下超出单颗 D2PAK 的安全工作区，船上是否需要按此等级设计、或改为过压关断，须在 D1 决定（KEY-O-13）。
复位与恢复出厂：盒外不设按键或开孔——盖板上的按键要单独密封（IP67）、会被误碰，也让不开盖就能清配置，不符合 SEC-04 的“须经物理动作”和防篡改的本意。两颗按键都在 PCB 顶面（插座同一面），拆下盖板后可直接按到：SW1 RESET 拉低 EN 重启；SW2 SERVICE 运行中短按打开限时 BLE 服务窗口（KEY-19），按住 ≥10 s 恢复出厂（状态灯快闪提示，松手后执行：清除配置、配对与日志，保留出厂数据、设备密钥与固件；执行期间所有输出关断，完成后重启并以“未配置”状态等待配置）；按住 SW2 再按 SW1 进入 ROM 下载模式，量产后由 eFuse 关闭。不开盖时的服务窗口可另加外部按键组合（例如上电后 10 s 内按住 1、2 号键 5 s），是否需要在 KEY-O-09 一并决定。
模拟输入的限制：电阻模式是比例测量，与 +5V 的绝对值无关；电流与电压模式的精度跟随 +5V（K7805T-1000R3，出厂 ±2 %，温漂 ±0.03 %/°C），产线逐路标定后 −25…70 °C 内剩余漂移最大约 ±1.5 %（典型更小，台架确认），U11 IN11 读 +5V 用于监视漂移。ADS7038 没有中断脚（8 个通道都作模拟输入），电流模式下的过流靠固件 ≤1 ms 轮询后关采样 FET：对 32 V 短路时约 0.3 A（采样电阻约 9 W）持续到固件动作或 PTC 断开，采样电阻因此用 2512；电阻模式下读数超过 5 V 时关上拉（开着时上拉电阻约 0.73 W、向 +5V 倒灌约 27 mA，2512 能承受）；电压模式能承受 32 V，经 30.1k 进 ADC 钳位二极管约 0.6 mA（≤10 mA）。不支持：快速信号（随 5–10 ms 的扫描采样）与 1 kΩ 以上的电阻量程（分辨率变差）。干接点可按电阻模式读通断。
SPI 时序：TIC12400 ≤4 MHz、每帧 32 位；TLE75008 ≤5 MHz、每颗 16 位，9 颗一帧 144 位，约 30 µs。5–10 ms 扫描一次按键并刷新一次输出即可满足 KEY-03。
板卡与外壳：PCB 180×110 mm、6 层（顶面信号 / GND / 信号 / 信号 / VPROT / 底面信号，4 层布不通后改用）；J1 / J2 在上边，J3 / J4 在下边（插座装在顶面，穿过盖板），模拟输入前端（每路上拉开关、PTC、采样与分压、ADS7038、第三颗 74HC595）在顶面 J3 / J4 上方，其余器件在底面中间；ESP32-C6-WROOM-1 装在底面左边缘（板上 y 66–84 mm），天线端齐板边，天线下方及两侧 6.5 × 26 mm 四层禁铜，外壳须为塑料或开天线窗。插座板上占位约 70×26 mm，盖面开孔 60.5×24.7 mm、密封垫约 77×32 mm，PCB 到盖板内侧约 19 mm，盖板 ≤5 mm。外壳外观模型约 204×134×38 mm（两端固定耳处长 228 mm）：底壳内腔 188×118 mm，PCB 下方留 11 mm 给底面器件，四角 M3 螺柱固定 PCB，盖板四角螺钉与周边密封圈压紧，盖板右侧为 M12 NMEA 2000 插座（开孔 Ø16.2 mm，位于隔离区上方，印 "N2K"），盖板上印插座编号 1–4；模型与渲染图由 tools/gen_key_box_3d.py 与 tools/render_key_box.sh 生成，是外观与空间研究，不是开模数据。
成本估算（1000 台、美元 7.1，人民币）：Key Box 36 整盒约 1140（其中主控 WROOM-1-N8 约 3 美元，已核价，比 MINI-1-N4 的 LCSC 价约 3.9 美元便宜约 6； TE 原装 AMPSEAL 插座、插头与端子 4 套约 600（估算），RS-485、8 路模拟输入（含 ADS7038 约 1.3 美元，未核价）与板上监测约 50，5 V 与回路电源改用模块（K7805T-1000R3、URB2424YMD-10WR3，替换 LMR36510 与 LM51551 升压）后合计约 60，未核价；输出驱动 TLE75008-ESD 1k 约 0.96 美元一颗（LCSC 阶梯价），高边输出约 11，5 A 电源通路约 10，6 层板比 4 层多约 25，未核价）；36 键系统含按键（每个约 15）与线束约 1760，即每键约 49；连接器换为兼容件（4 套约 120，已核价）后整盒约 660，36 键系统约 1280，每键约 36。面板方案（Key 8 + I2C 扩展单元）每键约 18，另有 10–20 万的面板模具。
3. 架构与框图
章节标题：“3. 架构与框图”V+ 8–32 V -- protection -- LMR36506-Q1 -- 5 V --+-- TJA1463 VCC / VBAT +-- LED anodes / driver supply +-- TLV755P 3.3 V -- ESP32-C6-MINI-1 |-- TWAI0 (Classical CAN) -- TJA1463 -- CANH/L |-- 4/8 key GPIOs |-- I2C -- LP5036 |-- I2C + INT -- 8-channel I2C switch -- expansion ports (up to 8 units: | I/O expander + LP5036 each, no MCU) |-- BLE service link (PCB antenna, off by default) |-- TWAI1 -- transceiver -- internal expansion CAN (up to 16 units: | small CAN MCU + transceiver + LED driver each) |-- reserved: UART0 for RS-485 +-- USB Serial/JTAG / supply sense / testGND --------------------------------------------------------------- common returnTJA1463 VIO 为 3.3 V；VBAT 推荐接受控 5 V 常供轨。总线接口与 Core 的 SIC/时序要求保持一致，不因 Key 无需加密而替换整个 CAN 协议。
主控与存储：Key 4/8 用 ESP32-C6-MINI-1-N4，Key Box 用 ESP32-C6-WROOM-1-N8，同一芯片、固件平台共用；供方提交完整订货号/引脚表、启动与看门狗设计、CAN 接收负载、RAM/Flash 余量和实际分区表。分区须覆盖引导程序、签名/版本元数据、两个应用槽、配置与出厂数据；双镜像是否容纳由真实二进制验证，不能以"支持 OTA"掩盖断电后不可启动。启用 Secure Boot v2、flash 加密并在量产关闭 JTAG 与下载模式。正常 CAN 数据不新增加密；已有认证和签名配置按 X01/X02 实现。
4. 电源与 CAN
章节标题：“4. 电源与 CAN”Key 无电池、不休眠（KEY-05）：收发器与 MCU 在总线空闲时保持接收与按键响应，静态电流按规格 §2 的 ≤20 mA@12 V 上限设计：TJA1463 Normal 模式隐性态 ICC 典型 7 mA@5 V，主控 modem-sleep 14–25 mA@3.3 V（经 LDO 取自 5 V），按 85 % 降压效率折算约 10–16 mA@12 V，射频关闭状态下测量；启用内部扩展 CAN 时其收发器再增加数毫安，基础单元仍须落在上限内，不配 CAN 扩展单元时该收发器不使能；先验证总线空闲后的首帧响应与首个按键不丢失，再核算静态电流。5 V 轨不得在期望保持接收期间关闭。
前级 LMR36506-Q1 生成 5 V，后级 TLV755P 3.3 V 档供 MCU/VIO；核算降压效率、LDO (5−3.3)×I 损耗、LED/收发器峰值和余量；模组要求 3.0–3.6 V 且电源能提供 0.5 A 峰值，BLE 发射峰值（0 dBm 约 130 mA，9 dBm 约 190 mA）计入 LDO 发热与 5 V 轨余量。12 V 输入电流作为规格判据；8/24/32 V 分别记录输入功率和温升。器件额定电压不能替代系统浪涌设计。
输入保护提交具体电路及协调计算：上游支路保护、反接器件、TVS 工作/钳位电压与脉冲能量、LC 阻尼和浪涌电流。禁止仅复制一个 SMBJ33A 名称就声称通过 ISO 瞬态试验。供电瞬态不得只引用 ISO 标准名称：D1 冻结源阻抗、峰值、持续时间、重复次数、极性及功能判据，结合船上 12/24 V 安装和实际线束选取测试。
CAN：收发器模式脚/复位态明确；未供电不得拖垮总线；ESD/共模器件按波形和 EMC 评审选取，不能无限增加总线电容。Key 支路不贴固定 120 Ω 终端；接口针脚、线束压降/地差、扭矩和屏蔽见冻结 ICD。TJA1463 不是通用电源芯片，VBAT 不直接接 32 V。
5. 灯光与光学预算
章节标题：“5. 灯光与光学预算”每块板上有三样：按键、每键一颗 RGB 状态灯（3 路）、以及整块板共用的一组图例背光。背光只负责暗光下照亮标签，不表达状态，亮度是全局的日夜设置，所以一块板一组即可：白光一路，夜间红光一路，LED 颗数多时每色并用两路。基础单元、I2C 扩展单元与 CAN 扩展单元都按这个构成。推荐 LP5036（36 路）一颗作为共同物料。
| 型号 | 状态 RGB | 白/红图例 | 总通道 | 驱动配置 |
|---|---|---|---|---|
| Key 4 | 12 | 1 组，2…4 | 14…16 | 1×LP5036 |
| Key 8 | 24 | 1 组，2…4 | 26…28 | 1×LP5036，8…10 路空余 |
| I2C 扩展单元（每块 8 键） | 24 | 1 组，2…4 | 26…28 | 每块 1×LP5036，经多路开关由基础单元直接驱动 |
| CAN 扩展单元（每块 8 键） | 24 | 1 组，2…4 | 26…28 | 每块 1×LP5036，由板上小 MCU 按基础单元下发的状态驱动 |
图例不是“剩余通道顺带实现”。一颗 RGB 状态灯用颜色、亮度与闪烁节奏表达全部状态（确认 ON、OFF、等待、未知、拒绝/锁定、失联），夜间红光模式下只靠节奏区分。背光用导光板或侧发光把一组 LED 的光匀到整块板的标签上，均匀度用金样确认。状态窗与图例光学隔离，防串光；夜间只开启红色通道，异常通过闪烁节奏区分。亮度曲线、最低可见亮度、全灭、日光可读性和摄像头可见闪烁用金样与测试冻结。
初始调试可从每状态 LED 1 mA、每图例 1.5 mA 开始，仅为电路估算点；白/红图例通常互斥。最终电流由亮度、温度和规格 §2 的输入功耗目标共同约束。驱动输出的电压余量、灌流功耗与封闭外壳温升需计算和实测，不使用裸芯片热阻推导整机温升已合格。
LED 驱动器的通信可读不代表每个 LED 开路/短路均可诊断；若需要现场故障诊断，供方须证明检测机制。EOL 光学检验覆盖所有通道，不生成不存在的硬件故障标志。
6. 按键、状态机与点动
章节标题：“6. 按键、状态机与点动”基础单元的按键使用独立 GPIO，I2C 扩展单元的按键经 I/O 扩展器逐路读取，CAN 扩展单元的按键由板上小 MCU 读取并上报带时间信息的事件，三者同样做消抖与长按时钟，检测所有组合不产生矩阵鬼键；启动配置引脚不接按键，避免上电时按住某键改变启动模式。本地亮度组合键应在手势判定层截获，不能先触发对应负载再识别组合。状态机按规格 §3 实现。
点动保持必须配合 Core 的 momentary_timeout_ms 和续约机制。D1 前冻结保持周期、失联截止时间、释放优先级与卡键处理，并通过拔线/掉电试验。Key 的普通节点心跳不能自动证明每个点动键仍按下。
无线服务通道：BLE 协议栈与服务任务平时不运行，由规定的物理动作启动并限时（KEY-19）；服务任务只读写配置存储与升级暂存区，与命令生成、点动续约没有调用关系（KEY-18）；CAN 与按键任务的优先级高于 BLE，固件传输期间按键到 CAN 的时限仍按 KEY-03 验证（KEY-20）。Wi-Fi 与 802.15.4 在首版固件中不初始化。
7. 结构与生产
章节标题：“7. 结构与生产”密封设计以装配后的面板、图例、螺柱、线缆出口与配对连接器为单位。提交安装面板厚度、螺柱扭矩、密封压缩率、按键力/行程/寿命、透光与遮光、夜间金样、可更换图例、公差与线束弯曲空间。模组 PCB 天线须远离金属台面与螺柱并按原厂净空布置，在最终外壳、安装面板与线束条件下实测服务距离；服务距离以手持一臂之内可用为目标。52 mm 开孔和外形仍须验证，不能依据竞争产品尺寸直接声明兼容。图例更换不应破坏主密封，若必须拆密封则提供备件和重装验收方法。前 IP67 目标不表示背面可浸水，不声明机舱防点燃。
PCB 提交叠层、阻抗、CAN 布局、回流、ESD 路径和测试点；按工艺评审确定板材、铜厚、表面处理、三防漆与掩膜区。按键接触、调试/测试接点不可被随意涂覆。首版建议按 IPC-A-610 Class 2 工艺报价，并单列提高工艺等级的差价。
量产测试点覆盖输入/5 V/3.3 V、复位/SWD、CAN TX/RX、I2C 及必要 ADC。治具验证所有键与 LED、CAN 实收实发、静态/全亮电流；仅 MCU 自检不能替代外部通信和光学测试。模具寿命、试产良率、检测节拍与返修复测纳入报价。
8. 变更记录
章节标题：“8. 变更记录”| 日期 | 版本 | 变更 | 记录 |
|---|---|---|---|
| 2026-09-10 | R0.1 | 建立文件：四线 CAN、灯光与生产实现 | changelog |
| 2026-09-22 | R0.2 | 按 Switch 统一骨架重排；并入原规格 §5 的推荐芯片与键数放大；去掉休眠表述以符合 KEY-05；框图改为 Classical CAN |
任务 20260921-1700 |
| 2026-09-28 | R0.3 | 主控由 STM32G0B1CE 改为 ESP32-C6-MINI-1 模组并加入 BLE 服务通道；LED 驱动器改为 LP5036，图例背光按区域驱动；§2.2 改为每块板 8 键、基础单元加不带主控的扩展单元（经 8 通道 I2C 多路开关，最多 8 块，共 72 键）与多个基础单元，给出引脚分配、扩展总线规则并预留第二路 CAN 与 RS-485；静态电流预算重算；框图、存储、天线与固件结构随之改写 | 任务 20260928-0836、任务 20260928-0908 |
| 2026-09-28 | R0.4 | §2.1 加入 I2C 多路开关、内部扩展 CAN 收发器与 CAN 扩展单元；§2.2 改为基础单元、I2C 扩展单元与 CAN 扩展单元三者对照，给出两条扩展总线的规则与成本；TWAI1 由预留改为内部扩展 CAN；I2C 线长规则改为不加措施 0.3 m、采取措施后约 2 m 待实测；框图、静态电流与 LED 表随之改写；图例背光由按区域改为每块板一组 | 任务 20260928-1330 |
| 2026-10-19 | R0.5 | 正文只写当前状态：去掉主控决定日期与更换过程 | 任务 20261019-1200 |
| 2026-10-21 | R0.6 | 新增 §2.3 Key Box 36 / 18 控制盒：线束针脚、电路（TIC12400 输入、NCV7240B 输出、隔离 CAN2）、GPIO、板卡与成本 | 任务 20261020-2336 |
| 2026-10-22 | R0.7 | §2.3：CAN2 改经 J7 与盖上的 M12 NMEA 2000 插座引出，#2 插座 29–32、34–35 针改为备用，去掉 CAN2 终端电阻；输出目录改为 key-box/；取消 Key Box 18 |
任务 20261022-0322 |
| 2026-10-25 | R1.0 | §2.3：输出驱动由 NCV7240B 改为 TLE75008-ESD（VS 取 10 V、VDD 3.3 V、IDLE = DO_EN）；输入与输出的 131 颗 ESD 电容改为 30 颗 4 × 10 nF 排容（输入由 15 nF 改为 10 nF，待 ESD 试验）；10 V 轨改用 DPAK 的 LM317；回路电源改为 URB2424YMD-10WR3（24 V / 416 mA）；模拟前端评估过 AD74412R，按推荐电路只少约 12 个器件、每盒多约 13 美元，不采用 | 任务 20261024-2322 |
| 2026-10-29 | R1.1 | 注明 Key 4 / Key 8 面板与扩展单元延后，工作区面板底板为占位；Key Box 36 为首期 | 任务 20261029-0443 |
| 2026-10-23 | R0.9 | §2.3：模拟输入改由 ADS7038（IO11 片选，23 个 GPIO 用完）读取，每路加可关断上拉（背靠背 BSS84DW，第三颗 74HC595）与 30.1k / 20k 分压，增加 0–10 V 电压模式，电阻量程 0–1000 Ω，上电为高阻；TIC12400 不再读模拟输入；前端移到 PCB 顶面；PCB 由 4 层改为 6 层；兼容 AMPSEAL 4 套核价约 120；+5V 改用 K7805T-1000R3 模块，输入改为 9–32 V，TIC12400 VS 仍用 LM317L；回路电源改用 URB2424YMD-6WR3 隔离模块（固定 24 V / 250 mA，0V 接地），去掉 BOOST_OFF；TPS2H160 加 GND 网络（1k ∥ BAT46W）；整盒原装约 1140、兼容连接器约 660 | 任务 20261023-1233 |
| 2026-10-22 | R0.8 | §2.3：#2 插座 29–32、34 针为 RS-485（THVD1406，非隔离），#3 / #4 的 30–35 针为 8 路软件可配置模拟输入（0–190 Ω / 4–20 mA，TIC12400 ADC + 74HC595 模式锁存）与传感器地、回路电源；板上监测（INA186 整盒电流、2 个 NTC、3.3 V）；IO8 用作锁存，22 个 GPIO 用完；LM51551 升压的变送器回路电源（12 V 升到 24 V，24 V 直通）；AUX4 改为高边输出 HSO2，J2 35 为 HSO1（TPS2H160-Q1）；整盒 5 A（6.3 A 保险丝、D2PAK 阻断 FET、INA186A2、VPROT 内层平面）；成本随之更新；Key Box 主控改为 ESP32-C6-WROOM-1-N8（输出 EN 移到 IO10，IO11 备用，Key 4 / 8 不变），模组移到底面左边缘；RESET / SERVICE 按键与状态灯移到 PCB 顶面，新增“复位与恢复出厂”（盒外不开孔，SERVICE 按住 ≥10 s 恢复出厂） | 任务 20261022-0420 |