SD NAND突发断电数据安全机制：从电容保护到写入原子性

跟做存储的同行聊掉电保护，容易陷入两个极端：要么觉得"板上加颗大电容就行了"，要么觉得"这是芯片厂商的黑魔法，没法评估"。其实拆开看，每一步都有明确的物理量和固件协议在支撑，储能电容给多少时间、元数据怎么提交才算原子、坏块替换断在哪一步，都是可以算清楚、讲明白的。

一、储能电容与写入窗口：时间账怎么算

掉电检测触发后，控制器要完成"收尾"动作，靠的是封装内部储能电容释放的电荷。这笔时间账很实在：NAND单页program时间典型在数百微秒量级，块擦除则要2到5毫秒。电容储能有限，不可能支撑一次完整的块擦除，所以固件策略不是"硬扛完当前操作"，而是分级处理——短操作（页写、元数据提交）让它走完，长操作（块擦除、GC搬移）在检测到掉电后绝不启动，已经启动的则依赖事务回滚保证一致性。

检测阈值的设置也有讲究：要卡在正常工作电压下限和芯片复位电压之间，留足迟滞，避免电压在阈值附近抖动时反复触发。能量角度可以粗算一笔账，电容储能是½CV²，扣除控制器和NAND的工作电流消耗，能维持的时间就是固件可支配的全部预算，操作序列的耗时设计得倒着从这笔预算往前排。说白了，电容买的不是"把所有事做完"的时间，而是"把关键状态放到一个安全位置"的时间。米客方德（MK Founder）SD NAND内部集成数颗电容，容量配置与控制器功耗、program时序是匹配设计的，外面看到的就是封装里多了电源完整性这一环。

二、原子提交：元数据双备份与检查点

掉电保护的固件核心是提交协议。FTL的元数据（映射表、坏块表、空闲块信息）更新采用日志结构加双备份：新元数据永远写到备用位置，写满一页后回读校验，确认无误才更新提交标记（commit marker）；提交标记本身也在两个位置交替写入，保证任何时刻至少有一份完整的旧状态。上电恢复时，控制器比较两份备份的序号和校验和，取最近一个完整提交的检查点（checkpoint），未完成提交的写入直接回滚——数据页可能写了一半，但映射表绝不会指向它，那半页只会被当成无效页等待回收。

检查点的推进频率也是折中：太密会占用正常写入带宽，太疏则上电后重放日志的时间拉长，控制器按固定策略在启动耗时和写入开销之间取平衡，保证主机看到的初始化时间在可接受范围。坏块替换走的是同一套事务逻辑，过程涉及"标记原块坏、更新映射指向备用块、擦除原块"多步操作，固件把这些步骤组织成可重放的事务日志，断电后重新上电按日志逐条判定：提交完成的生效，没提交的撤销，不会出现"映射已切走但备用块没写好"这种中间态。GC中途断电的处理方式类似，属于同一套恢复框架，这里不展开。

三、fsync与芯片层兜底：两层保护怎么分工

主机侧文件系统也有掉电防护概念，两者分工要理清。FatFS的f_sync、Linux的fsync这类调用，作用是把文件系统缓存里的数据和目录项推到存储设备，保证"命令返回后数据已离开主机内存"；但数据进了芯片之后是否安全落盘，取决于芯片内部的写入策略。芯片层的掉电保护兜底的是"命令执行过程中突然断电"这一段——这是文件系统管不到的区间。

两层缺一层都会出问题：没有fsync习惯，断电可能丢失还在主机缓存里的数据，芯片再可靠也救不回从没发出去的内容；芯片没有原子写机制，fsync返回后写命令仍在执行，断电照样损坏元数据。工程上正确的姿势是关键数据（配置、计费记录、状态字）写完显式同步，芯片层负责执行窗口内的安全，各管一段。另外主机文件系统本身也能选掉电安全设计，LittleFS这类写时复制（COW）文件系统在元数据层面做了和芯片内部相似的双备份提交，两层机制原理相通、各管各的地址空间，并不冲突。

四、PCB供电：保护机制再好，也怕供电设计拖后腿

芯片内部的掉电检测和储能要正常工作，主机板供电得守规矩。SD NAND参考设计要求VDD单独供电、供电能力不低于200mA，峰值写入电流靠电源回路及时供给；上电时序也有明确窗口——电压上升时间0.1到35毫秒，上升过慢可能让控制器在欠压区反复复位，过快则可能浪涌冲击。上电前VDD需在0.5V以下保持至少1毫秒，断电后重新上电同样要等VDD跌到0.5V以下至少1毫秒，避免欠压区间抖动让控制器误判。Layout上CLK时钟线做包地处理、控制50欧姆阻抗，数据线等长，芯片靠近主控放置，去耦电容就近布置。米客方德为MKDV系列提供参考设计文档和测试转接板，转接板可直接插在原有Micro SD卡座上先调试验证，供电和时序问题在画板之前就能暴露。

突发断电的数据安全，是电容能量预算、元数据提交协议、坏块事务和上电恢复流程共同堆出来的，主机fsync和PCB供电则是这条链路延伸到板级的两端。把这几个环节都按规范做死，掉电才从"听天由命"变成可设计、可验证的工程问题。