引言

电机驱动在工业、电梯、车辆等场合，一旦故障不能安全地“停到安全态”，后果从炸机到人身事故都有可能。故障安全设计的核心思想是：任何单一故障都不能导致危险未被抑制，即失效也要朝安全侧偏。为此要构建层层设防的关断体系——纳秒级硬件互锁兜住直通与短路，微秒级安全转矩关断路径响应综合硬件故障，毫秒级看门狗防程序跑飞，再叠加监控诊断层做预警与有序停机。这套体系的设计难点不在单点保护，而在于保证“保护链本身不因单点失效而失效”。本文梳理各层职责、硬件互锁与看门狗的实现，以及安全关断路径的设计纪律。

原理拆解

第一层是硬件直接互锁，最快最硬：过流比较器、IGBT 去饱和（退饱和）检测、上下桥臂直通互锁等，一旦触发直接通过驱动芯片的使能/故障脚在纳秒到微秒内封波，绝不经过软件。第二层是安全转矩关断（STO）类安全关断路径：按安全标准采用双通道冗余，两路独立监测、交叉比对，任一通道故障时共同把功率级切到安全态，杜绝危险转矩，响应在微秒级。第三层是软件看门狗：用独立于主 CPU 的看门狗定时器（外部 WDT 或独立 MCU）监测主程序是否按时“喂狗”，程序跑飞、死循环时强制复位，防止控制失控输出，响应在数十毫秒。第四层是监控诊断：对过温、欠压、过压、通信中断、堵转等设多级阈值，先降额预警、再有序停机并报故障码。设计纪律是“分层+独立+失效安全”：快速路径必须纯硬件、不经软件；保护通道要冗余交叉；任一环失效都要导向安全停，而非危险运行。

关键参数表

表 1  电机驱动故障安全设计 关键参数对比

现场调试

故障安全要“主动注入故障”验证，而不是等真故障。第一步测硬件互锁：用电流探头+故障注入或专用测试台模拟过流/去饱和，确认封波时延在微秒内、且不经软件路径。第二步验证直通互锁：在桥臂驱动信号上检查死区与互锁逻辑，确保异常输入不会产生直通。第三步验证 STO 双通道：分别注入单通道故障，确认另一通道能安全关断、且系统不误复位到运行态，检查两通道独立性（不同电源、不同采样、不同走线）。第四步测看门狗：故意让主程序停喂狗或进死循环，确认独立 WDT 在设定时间内复位、复位后不自动回到使能运行态。第五步测监控层阈值：逐一制造过温/欠压/通信断，验证分级响应、故障码记录与安全停梯逻辑。每项都要留存波形证据。

常见误区

一是把关键保护放进软件主循环，跑飞或高负载时来不及执行，过流封波被延误导致炸机——保护链的快路径必须是硬件。二是 STO 两通道共用电源/时钟/采样，失去独立性，一个共因故障使双通道同时失效，冗余形同虚设。三是看门狗由被监测的同一 CPU 以软件模拟，程序跑飞时狗也跟着飞，必须用独立于主程序的硬件狗。四是复位后自动恢复到运行/使能态，故障未排除就重新上电运行，造成反复炸机，复位后须停在安全关断态需人工/条件复位。五是只看单点保护不验保护链完整性，忽视“保护电路本身故障怎么办”，缺失效安全分析。六是监控阈值设成单级直接急停，既扰产线又掩盖早期征兆，应分级降额预警。

实战案例

某电梯门机驱动器现场偶发 IGBT 炸管，分析是瞬时过流时软件保护响应偏慢。整改构建分层安全体系：保留并优化硬件过流比较器+驱动故障脚直通互锁，实测封波时延 <0.5μs，彻底兜住直通与短路；增设双通道 STO 安全链路，两路分别用独立比较器与独立电源监测，交叉校验后关断功率级，任一通道故障共同进入安全态；主控制改用外部独立看门狗，程序超时强制复位且复位后停在使能关闭态；监控层增加堵转早期识别与分级降额。整改后做故障注入验收：模拟过流、单通道失效、程序死循环均安全停机或封波，无一例炸管，门机运行安全与可用性同时提升。

工程要点

故障安全靠分层：纳秒硬件互锁、微秒安全关断路径、毫秒看门狗、秒级监控诊断，各司其职、层层兜底。快路径必须纯硬件、不经软件，任何把关键保护交给软件的架构都不可靠。安全通道要真独立、双通道交叉，杜绝共因失效；看门狗必须独立于被监测程序。复位后默认停在安全关断态，禁止自动恢复运行。要做失效安全分析：假设保护电路自身故障，系统是否仍安全。监控阈值分级、先预警后停机，兼顾安全与连续运行。一切以故障注入实测为准，留存波形证据，验证“单点故障不导致危险未抑制”。

延伸阅读

故障安全是功能安全标准落地的工程抓手。爱控电子具备过流/直通硬件互锁、STO 双通道路径与独立看门狗方案，可配合安全等级验证与故障注入测试。建议进一步研究 IEC 61508/ISO 13849 的 PL/SIL 目标如何分解到硬件互锁与安全路径、失效模式分析（FMEA/FMEDA）方法、以及宽禁带器件更快故障演化对封波时延提出的新要求。