📚 课程目录第1章课程导入

课程导入：了解STM32机器人异常保护的重要性、学习目标、课程整体框架和适用场景

在机器人工程实践中，我们经常遇到这样的场景：一台正在执行任务的移动机器人突然卡在障碍物边缘，电机持续堵转发热；或者电池电压跌落到临界值，主控芯片还在满负荷运行；又或者操作人员按下急停按钮，但机器人因为软件逻辑没有及时响应而继续运动。这些看似“小概率”的异常，一旦发生，轻则损坏电机驱动、烧毁电池保护板，重则导致机器人失控伤人、撞毁设备。对于基于STM32的嵌入式机器人系统而言，异常保护不是“可选功能”，而是产品化、工程化的底线要求。本章作为整个《STM32机器人异常保护》课程的开篇，将帮助学习者建立全局认知：为什么要做异常保护、保护什么、用什么思路去实现，以及本课程将如何一步步带你构建一套完整的保护体系。

上图展示了本课程的核心体系：异常保护的本质是一个“检测—决策—执行”的闭环链路。左侧是四类核心异常源（卡死、低电量、碰撞、急停），中间是STM32主控的检测与决策逻辑，右侧是对应的保护执行动作。这张图将贯穿整个课程，后续每一章都会围绕其中的一个具体环节展开深入讲解。下面我们从三个维度来建立本章的完整认知。

一、核心原理：为什么STM32机器人必须建立异常保护机制

嵌入式机器人系统与普通消费电子产品的最大区别在于：它拥有物理执行机构（电机、舵机、液压缸等），并且运行在非受控环境中。这意味着系统不仅要处理“软件逻辑错误”，还要应对“物理世界的不确定性”。从工程控制论的角度看，异常保护本质上是一个安全状态机——系统在正常运行态（RUN）、异常检测态（FAULT_DETECTED）、安全响应态（SAFE_RESPONSE）和恢复态（RECOVERY）之间进行受控迁移。

具体来说，STM32机器人异常保护的重要性体现在以下四个层面：

硬件安全层面：电机堵转时，电流可能达到额定值的3-5倍，MOS管和绕组温度在数秒内即可超过150℃极限。如果没有过流保护，驱动板会烧毁，甚至引发锂电池起火。低电量时继续大电流放电，会永久损伤锂电芯，导致电池组鼓包报废。
人身安全层面：一台10kg的移动机器人以1m/s速度行驶时，动能约为5焦耳，足以撞伤脚踝。如果机械臂在异常状态下挥舞，更可能造成严重伤害。急停功能是机器人安全标准的强制要求（如ISO 10218、GB 11291），必须做到“按下即停、不可自动恢复”。
任务可靠性层面：在巡检、物流、探测等实际应用中，机器人一旦因异常停机，可能导致整个任务链路中断。良好的异常保护不是简单地“停机”，而是能够区分异常等级：轻微异常可以降速运行、尝试恢复；严重异常才执行紧急停机。
调试效率层面：在开发阶段，完善的异常保护机制能够帮助工程师快速定位问题。例如，通过记录“卡死时的电流曲线”和“碰撞时的IMU加速度峰值”，可以准确判断故障原因，而不是靠猜测反复试验。

核心认知：异常保护不是“事后补救”，而是系统设计的一部分。它要求我们在编写第一行业务逻辑代码之前，就定义好“什么是正常状态”、“什么是异常状态”、“异常发生后系统应该进入什么状态”。这种“安全优先”的设计思维，是嵌入式工程师从“能跑”走向“可靠”的关键分水岭。

二、判断方法与设计思路：如何识别和分类异常

异常保护的第一步是“识别异常”。在STM32系统中，异常信号通常来自三类来源：传感器数据（电流采样、电压检测、IMU、编码器）、外部事件（急停按钮、限位开关、遥控指令）、内部状态（看门狗超时、RTOS任务卡死、内存溢出）。我们需要为每一类异常定义明确的触发条件和判定阈值。

下表总结了本课程将涉及的四类核心异常及其典型特征：

异常类型	典型检测信号	判定阈值示例	响应动作
卡死 / 堵转	电机相电流、编码器转速	电流 > 额定值150% 且持续 > 500ms；或目标转速与实际转速偏差 > 30%	封锁PWM → 制动 → 尝试反转 → 失败则停机
低电量	电池电压（分压采样）、库仑计	电压 < 3.3V/节（锂电）；或剩余容量 < 15%	降功率运行 → 保存关键数据 → 安全停机
碰撞 / 冲击	IMU加速度计、碰撞开关、力矩传感器	加速度 > 2.5g 且持续 > 20ms；或碰撞开关电平跳变	立即停止运动 → 反向回退小段距离 → 重新规划
急停信号	GPIO外部中断（急停按钮）、CAN/串口指令	电平从高到低跳变（常闭触点断开）	立即切断电机电源 → 锁存急停状态 → 需人工复位

在设计异常保护逻辑时，需要遵循以下判断优先级原则：

安全等级优先：急停信号具有最高优先级，必须通过硬件中断或独立看门狗通道处理，不能依赖RTOS任务调度。
时间窗口判断：单次采样超阈值可能是噪声，需要设置“持续确认时间”（如连续10次采样均超阈值）才能触发保护，避免误动作。
分级响应：不是所有异常都直接停机。例如低电量可以分三级：警告（电量30%）、降载（电量20%）、停机（电量10%）。
状态锁存与恢复：急停和严重故障必须锁存状态，即使异常信号消失也不能自动恢复，需要人工确认后复位。

常见设计误区：很多初学者将异常保护写成“if-else”嵌套在业务主循环中。这在简单演示中可行，但在真实机器人中会导致严重问题——当电机堵转导致主循环卡死时，保护代码根本得不到执行。正确的做法是：关键保护（急停、过流）必须放在中断服务函数或独立硬件定时器中，与主业务逻辑隔离。

三、案例拆解：从一次“烧板事故”看异常保护的必要性

为了更直观地理解异常保护的价值，我们来看一个真实的工程案例。某高校实验室开发了一台基于STM32F407的四轮差速移动机器人，用于室内巡检。在一次调试中，机器人被地毯边缘卡住，但操作人员没有及时发现。

初始现象：机器人左前轮被地毯纤维缠住，电机堵转。此时操作人员正在远端查看串口日志，没有注意到机器人已经停止移动。

关键数据：

电机额定电流：2A（堵转电流实测达到 6.8A）
驱动芯片：TB6612（最大持续电流 3.2A）
电池：3S 锂电（11.1V，2200mAh，放电倍率 20C）
保护机制：无（当时仅依赖驱动芯片自身的热关断）

事故过程：堵转持续约 40 秒后，TB6612 芯片表面温度超过 150℃，触发芯片内部热关断。但此时电机仍处于短路状态，电流从电机绕组直接回流，导致 PCB 铜箔过热烧断。同时，电池因持续大电流放电，电压从 11.1V 跌至 8.5V，电池保护板触发过放保护，整个系统断电。最终结果是：驱动板烧毁、电池容量永久衰减 30%、电机绕组绝缘层损坏。

复盘分析：如果当时系统具备基本的异常保护功能，这个事故完全可以避免。我们需要的保护逻辑其实很简单：

// 伪代码：电机堵转保护
// 每10ms执行一次（定时器中断）
void Motor_Overcurrent_Check(void) {
    static uint8_t fault_count = 0;
    float motor_current = ADC_GetCurrent(CH_LEFT_FRONT);
    
    if (motor_current > 3.0f) {  // 超过额定值150%
        fault_count++;
        if (fault_count >= 50) {  // 持续500ms确认
            Motor_DisableAll();   // 封锁PWM
            Buzzer_On(1000);      // 蜂鸣器报警
            LED_SetRed();
            System_Log("FAULT: Motor stall detected, current=%.1fA", motor_current);
            // 尝试反转3秒
            Motor_SetSpeed(-20);
            Delay(3000);
            if (ADC_GetCurrent(CH_LEFT_FRONT) > 3.0f) {
                System_EnterSafeStop();  // 反转无效，进入安全停机
            }
        }
    } else {
        fault_count = 0;
    }
}

结果对比：加入上述保护逻辑后，同样的堵转场景下，系统在 500ms 内检测到异常，1 秒内完成 PWM 封锁和报警，电机和驱动板温度始终未超过 60℃。操作人员听到蜂鸣器后及时到场处理，机器人仅需重新上电即可恢复。

案例经验总结：

异常保护必须独立于主逻辑，使用定时器中断或专用RTOS任务，确保主循环卡死时保护仍有效。
阈值设定需要留有余量：额定电流 2A 的电机，保护阈值设为 3A（150%）是合理的，但需要确认驱动芯片的承受能力。
保护动作要分步执行：先尝试恢复（反转），再决定是否停机，避免误触发导致任务中断。
所有保护事件必须记录日志，包括触发时间、电流值、动作结果，便于事后分析。

四、常见误区与总结复盘

在异常保护的学习和实践中，初学者容易陷入以下几个误区，需要特别警惕：

误区一：认为“加了看门狗就等于有保护”。看门狗只能解决“程序跑飞”的问题，无法处理“程序正常运行但物理世界异常”的情况。电机堵转时，主循环可能依然在正常执行，看门狗不会触发。

误区二：所有异常都直接停机。过度保护会导致机器人频繁停机，可用性极差。正确的做法是分级处理：轻微异常（如瞬时电流尖峰）只记录不动作；中等异常（如低电量警告）降功率运行；严重异常（如急停、过流持续）才执行停机。

误区三：忽略异常恢复机制。保护动作执行后，系统如何退出保护状态？是自动恢复还是人工复位？这需要在设计初期就明确。例如，低电量停机后，充电完成应该自动恢复；但急停触发后，必须人工按下复位按钮才能重新上电。

本章核心总结：STM32机器人异常保护是一个系统工程，它包含“检测（传感器/信号采集）→ 判断（阈值/时间窗口/优先级）→ 执行（断电/报警/降载/复位）→ 记录（日志/状态上报）”四个环节。本课程后续章节将逐一深入：第2-4章讲解卡死保护（电流检测、编码器反馈、PWM封锁策略）；第5-7章讲解低电量管理（电压采样、电量估算、分级降载）；第8-10章讲解碰撞检测（IMU融合、碰撞开关、柔性响应）；第11-12章讲解急停系统（硬件中断、状态锁存、安全回路设计）。每一章都会结合STM32的具体外设（ADC、定时器、外部中断、DMA等）给出可落地的代码实现和调试方法。

学习本课程时，建议你准备一块STM32开发板（F103或F407均可）、一个直流电机驱动模块、一个编码器电机、一个蜂鸣器和一个急停按钮。每学完一章，就在实际硬件上验证对应的保护逻辑。只有亲手触发一次“堵转保护”、亲耳听到“急停报警”，才能真正理解异常保护的精髓——它不是一段冷冰冰的代码，而是机器人在物理世界中安全生存的“免疫系统”。