4. 驱动系统保护需求定义

在电源与驱动系统中，“保护”不是单一功能，而是一组围绕功率器件、负载、控制环路和人身安全建立的需求集合。不同应用场景对保护目标、安全等级、响应时间和恢复策略的要求差异很大：电机驱动更关注堵转、过流和转矩冲击；逆变器更关注桥臂直通、母线过压和输出短路；PFC 更关注输入浪涌、母线过压和电感饱和；DC-DC 更关注输出过压、过流和热积累。若保护需求定义不清，后续的采样、比较、驱动封锁和软件策略就无从落地。

一、保护目标：先明确“保什么”

保护目标通常分为四类：第一类是器件安全，防止 MOSFET、IGBT、SiC 器件因过流、过压、过温而损坏；第二类是负载安全，防止电机绕组过热、电池过充过放、负载被异常电压或电流冲击；第三类是系统可用性，避免误保护导致频繁停机；第四类是人身与功能安全，在故障时确保能量被安全隔离，避免触电、起火或失控。以 48V 三相电机驱动为例，若母线电压 48V、额定相电流 10A、峰值电流 30A，则过流保护阈值通常设在 35A～40A，并在 10μs 内封锁 PWM，防止桥臂电流超过器件 SOA。若阈值设得过低，启动或加速时的正常冲击就会触发误保护；设得过高，则短路时器件来不及关断。

二、安全等级：按风险分配保护强度

安全等级不是所有场景都要求 SIL 或 ASIL。对于普通风机、泵类 DC-DC，保护目标以器件和负载安全为主，可采用硬件比较器加软件确认的方式；对于伺服电机驱动、车载逆变器，若涉及人身或车辆安全，则需考虑功能安全等级，例如 ASIL-B 或 ASIL-C，要求具备独立关断路径、诊断覆盖率和故障响应时间证明。工程上常用“风险矩阵”来分配：故障严重度越高、暴露概率越大、可控性越差，安全等级越高。例如，逆变器输出短路属于高严重度、中等暴露、低可控性，通常要求硬件级快速关断；而 PFC 输出过压属于中等严重度、高暴露、高可控性，可由软件降载加硬件钳位共同处理。

三、响应时间：从“检测”到“关断”的链路预算

响应时间必须按信号链逐段分配，而不是只写一个总指标。以逆变器桥臂直通保护为例，典型链路为：电流采样（分流电阻或霍尔）→ 信号调理（运放带宽）→ 比较器翻转 → 驱动封锁 → 功率管关断。若要求总响应时间小于 2μs，则各段预算可分配为：采样与调理 0.3μs、比较器 0.2μs、驱动封锁 0.5μs、器件关断 0.8μs，留 0.2μs 余量。若比较器本身延迟就有 1μs，则无论软件多快都无法满足。因此，响应时间定义必须落到具体器件参数上，例如比较器传播延迟、驱动器关断延时、MOSFET 关断时间。对于过温保护，响应时间可放宽到秒级，因为热时间常数远大于电气故障。

四、恢复策略：自动、手动与退避

恢复策略决定故障后系统是自动重启、降载运行还是锁存停机。对于 DC-DC 输出过流，常用“打嗝模式”：检测到过流后关断 10ms，再软启动尝试，若连续 3 次仍过流则锁存。对于 PFC 母线过压，可先关闭 PFC 开关，待母线电压降到安全值后自动恢复，但需限制单位时间内重试次数。对于逆变器短路和电机堵转，通常采用故障锁存，必须手动复位或上位机清除，因为反复自动重合可能扩大故障。恢复策略还要考虑“恢复前的安全条件”：母线电压低于 30V、温度低于 85℃、故障标志已清除，才允许重新使能。

五、示例：48V 电机驱动保护需求表

表中阈值和时间为教学示例，实际设计需根据器件 SOA、散热条件和安全等级重新计算。保护需求定义完成后，应逐条映射到硬件比较器、驱动封锁引脚和软件状态机，确保每条需求都有明确的实现路径和验证方法。