CN100471034C - 禁止大功率器件操作的独立安全处理器 - Google Patents

Abstract

一种用于向负载传递大功率信号的驱动器，包括：功率电路和驱动电路。功率电路用于响应于控制信号，向负载提供大功率信号。控制电路用于生成启动该电源电路的控制信号。控制电路包括应用处理器和安全电路。应用处理器用于在正常操作模式期间生成控制信号。安全电路用于在安全屏蔽操作模式期间抑制该控制信号的生成。安全电路包括独立于应用处理器的安全处理器，并用于监视该安全电路。

Description

禁止大功率器件操作的独立安全处理器

技术领域

本发明一般涉及用于控制大功率电平向大功率负载，如电动机传递的驱动电路，且更为具体地，本发明涉及用于禁止大功率器件的操作的独立安全处理器。

背景技术

本文的这部分意图介绍和以下描述和/或要求的本发明的各方面有关的本领域的各个方面。该部分提供了背景信息，以方便更好地理解本发明的各个方面。应该理解，应该以此来阅读本文的该部分，而不是作为现有技术的入口(admission)。

大功率器件常用于各种环境，包括，例如：工业设施和建筑环境。大功率器件一般包括各种不同的器件，例如：电动机和加热器件。尽管在通常条件下，这些器件的操作不会造成过度的危险，但在一些情况下，这些器件必须被可靠地禁止，以便不会对人类或其他设备造成危险。

例如，大功率电动机经常以高速旋转和/或提供较大的扭距，在某些情况下，会对人类或与电动机自身接触的其他设备或耦合到那些电动机的设备造成危险。特别是，当这些电动机或耦合到那些电动机的设备被人类，诸如工程师或服务技师替代、固定、修正、测试或操作时，希望可靠地禁止这些电动机，以便这些电动机停止旋转或释放(deliver)持续的扭矩。

一般地，鉴于与大功率器件相关联的可能的危险，许多现代工业和其他设施使用各种电子的和其他工艺，它们降低了事故的危险并增强了整个系统的安全性。此外，已经开发了能进一步降低事故风险的标准。例如，关于工业设施，已经开发了来自如NFPA、ISO、CEN、CENELEC以及IEC等组织的标准，以建立安全性要求。经常将用于增强系统安全性的这些工艺设计成符合或有助于制造工具来适应一个或多个这些组织的标准。

将一些用于增强系统安全性的工艺设计成可靠地禁止大功率器件。例如，经常使用如大功率接触器之类技术把驱动设备耦合到大功率驱动电路或与之断开。这些接触器经常包括以这样一种方式物理地彼此耦合的多个、冗余的大功率触点，即，如果将一个或多个触点锁定/焊接在适当的位置，则会提供指明已发生故障的信号。这个信号可以是，例如，操作员界面的指示灯的开启，或者简单的是，当接到命令启动操作时，大功率器件却不能启动。

因为其相对的技术简单和可靠，因此经常使用这些大功率接触器。然而，在这个范围内，大功率接触器是不利的，因为它们相对昂贵，并且体积很大。而且，在某些情况下，用于实现这些大功率接触器的断开和连接的程序是复杂和/或费时的。因此，这些大功率接触器的实现会消极地影响使用这些大功率器件的工业或其他系统的总体效率。

因为这些不利之处，已经努力去发现可被用于禁止大功率器件的其他机制。已经尝试的禁止大功率电动机的一种替代方法，例如，已经包含禁止向电动机传送高电平电能的驱动电路的大功率晶体管。然而，这种方法因此早已证明是不够可靠的。

当用于锁定大功率器件的操作时，一些安全系统使用安全继电器。然而，这些系统容易遭受危及其安全功能的安全继电器的单独故障。

因此，如果能够开发允许可靠禁止大功率器件的新机制，使得大功率器件不会不经意地以可能产生危害的方式启动操作，则是有利的。特别是，如果新机制提供比单独故障更大的冗余度，并提供故障检测以增加安全整体水平，则这是有利的。而且，如果新机制相对容易实现且不太昂贵，则这是有利的。

发明内容

本发明的发明人已经认识到，通过提供高度的冗余来实现安全电路，以及在正常操作期间，通过提供安全处理器来监视故障，该安全处理器独立于用于控制大功率驱动信号的生成的应用处理器。该安全处理器可在安全屏蔽(safe-off)操作模式期间抑制该驱动信号。

本发明的一个方面着眼于一种将大功率信号传递给负载的驱动器(drive)，该负载包括功率电路和驱动电路。功率电路用于响应于控制信号，向负载提供大功率信号。该控制电路用于生成启动所述功率电路的控制信号。该控制电路包括应用处理器和安全电路。应用处理器用于在正常操作模式期间生成控制信号。安全电路用于抑制安全屏蔽操作模式期间抑制控制信号的生成。该安全电路包括独立于应用处理器的安全处理器，并用于监视安全电路。

本发明的另一方面着眼于包括电动机和电动机驱动器的电动机控制系统。该电动机用于响应于至少一个大功率驱动信号而旋转。电动机驱动器用于响应于至少一个控制信号而生成至少一个大功率驱动信号。电动机驱动器包括应用处理器和安全电路。应用处理器用于在正常操作模式期间生成控制信号。安全电路用于在安全屏蔽操作模式期间抑制控制信号的生成。该安全电路包括独立于应用处理器的安全处理器，并用于监视安全电路。

附图说明

其后，将参考附图描述本发明，其中相同的参照号代表相同的元件，并且：

图1是根据本发明的一个说明性的实施例的电动机控制系统的简化框图；而

图2是图1的电动机控制系统中的电动机驱动器的简化电路图。

尽管本发明可有各种修改和替换形式，但在这里，通过附图中的例子来详细描述特定的实施例。然而，应该理解，这里对特定实施例的描述并不意图把本发明限制于公开的特定形式，相反，其意图是要覆盖由附加的权利要求所限定的落入本发明的精神和范围内的所有变化、等价物和替代物。

具体实施方式

下面将描述本发明的一个或多个特定的实施例。特别要指出的是，本发明并不限制于这里包含的实施例和例子，而是包括包含实施例的各部分以及不同实施例的元件组合的那些实施例的变化形式，它们都落入下面的权利要求的范围。应该认识到，在任何工程或设计方案中开发任一种这样的实际实现中，必须做出无数的特定实现的决定，以达到开发者的特定目的，如服从有关系统和有关商业的限制，这些限制因每个实现而不同。而且，应该认识到，这种开发努力可能是复杂且耗时的，但对可从这种公开中获益的本领域的技术人员来说，仍然是设计、制作和制造的例行工作。在该应用中，没有认为对本发明关键或必要的东西，除非明确指出是“关键”或“必要”的。

现在参考附图，其中贯穿几幅附图，相同的参照号对应于类似的组件，且特别地，参考图1，将在电动机控制系统10的上下文中描述本发明。电动机控制系统10包括电源12、电动机驱动器14、三相电动机16、负载18以及以其后描述的方式将前述各个组件链接在一起的多条线路和总线。电源12一般提供通过线路22、24、26从公共电网接收的三相交流电压。电源12的标称电压可根据特定的实现而变化。电动机驱动器14包括从电源12接收三相电并将交流电转换成直流电的整流器，以及位于整流器的正极和负极直流总线之间的逆变器(inverter)，它生成大功率信号，通过电源线32、34、36驱动电动机16。逆变器包括位于正、负极直流总线和电源线32、34、36之间的多个开关器件，这样，通过打开和关闭逆变器开关的特定组合，在每条线路32、34和36上生成正、负极直流电压脉冲。通过以特定顺序打开和关闭逆变器开关，可在每条电源线32、34和36上生成具有可控幅度和频率的交流电压。

每条线路32、34和36链接到电动机16三相绕组的每一个(并未单独编号或说明)。通过在电动机绕组两端提供已知顺序的交流电压，绕组中的交变电流在电动机的定子铁心内感应一个旋转的磁场。电动机的转子(未示出)链接到电动机铁心内的电动机轴38。转子包括棒或绕组或二者皆有，且当定子铁心内变化并旋转的磁场与转子相交时，在转子内感应电流且该转子电流依次产生定子铁心内的转子磁场。该转子磁场被旋转的定子磁场所吸引，且因此转子在定子铁心内旋转。负载18通过轴38连接到转子，并且因此，当转子旋转时，负载18也在以相同方向旋转。

现在转到图2，更为详细地示出了电动机驱动器14的控制部分的简化框图。为了易于说明，且避免使本发明变得模糊，并未示出电动机驱动器14的整流器部分，相反示出了电动机驱动器14的控制部分。电动机驱动器14包括应用处理器100、集电极开路输出的六角倒相器102、线路驱动器104、以及用于生成控制向电动机16提供大功率驱动信号的控制信号的光耦合器光电二极管106。电动机驱动器14还包括安全处理器108，它有选择地控制线路驱动器104允许正常操作或将电动机驱动器14置于安全屏蔽状态，由此阻止电动机16的操作。一般地，可用通用或专用的独立作用的计算设备，如微处理器来实现应用处理器100和安全处理器108，这种计算设备可以是用于存储易于控制计算设备的功能的变量和/或程序指令(例如，软件或固件)的内置或外置的静态或动态的存储器。

这里使用的术语“断言”(assert)和“去断言”(deassert)是指各种控制和/或使能信号的逻辑状态。这些术语并不意图表示信号的布尔(Boolean)状态，而是其逻辑状态。例如，在正常操作期间，特定的逻辑信号可以使用布尔“0”或布尔“1”来断言。响应于故障状态，该逻辑信号可通过改变其布尔状态来去断言。因此，一个例子中，无论提供何种禁止器件接收使能信号所必需的布尔逻辑电平，使能信号都是去断言的。如果当器件的使能信号具有布尔“1”的值时该器件使能，则可通过为该使能信号提供布尔“0”来去断言。

首先，描述用于为电动机16生成驱动信号的电动机驱动器14的正常操作。如图2所示，分别通过线路110、112、114向电动机16传递第一、第二和第三相位驱动信号。光耦合器光电二极管106生成光信号，该光信号触发相关联的功率晶体管116来生成驱动信号。例如，功率晶体管116可以是绝缘栅极双极晶体管(IGBT)，尽管在替代的实施例中，也可以使用其它类型的功率晶体管器件(或其它的非晶体管功率传递器件)。电流根据接通哪一对对应的功率晶体管116，而在每一相流向或流出(away from)电动机16。如果并未接通给定一对的功率晶体管器件，则没有电流在相应的相位流向或流出电动机。线圈118、121、123分别串联耦合到电动机16和每个功率晶体管116之间。由于线圈118、121、123，可以使用常规的电流检测组件(未示出)来检测线路110、112、114上各自的第一、第二和第三相位的电流。一般地，功率晶体管116和相关联的整流器电路表示电源电路，而处理器100、108、六角倒相器102、线路驱动器104和光耦合器光电二极管106表示电动机驱动器14内的控制电路。

每个功率晶体管116电气地与电动机驱动器14的控制部分的其余部分隔离。如图所示，功率晶体管116是分别响应于对应的光耦合器光电二极管106发出的光信号的光敏器件。基于应用处理器100通过六角倒相器102和线路驱动器104提供的六个控制信号，光耦合器光电二极管106接通和断开。根据这个实施例，光耦合器光电二极管106可物理上与功率晶体管116分离，或者替代地，光耦合器光电二极管106可与其对应的功率晶体管116以集成模式封装在一起。

应用处理器100耦合到六角倒相器102，后者依次连接到八进制三态缓冲器/线路驱动器104。可在线路驱动器104的输入端提供上拉(pull-up)电阻器120，而在其输出端提供下拉(pull-down)电阻器122。为线路驱动器104供电的电压源(Vcc)也为上拉电阻器120提供电压。在一些实施例中，可在应用处理器100的输出端提供额外的上拉电阻器(未示出)。

六角倒相器102包括六个单独的倒相器组件，每个倒相器把应用处理器100提供的各个信号倒置，以产生用于线路驱动器104的信号。在正常操作期间，线路驱动器104只是作为缓冲器，即位于来自六角倒相器102的信号和提供给光耦合器光电二极管106的控制线路输出之间的缓冲器。也就是说，每一条控制线路输出的信号电平和相应的倒相器信号的信号电平是相同的。通过线路驱动器104内的六个单独的缓冲器组件，来提供线路驱动器104执行的缓冲功能，每个缓冲器组件分别耦合到各个六角倒相器102的单独元件和一个光耦合器光电二极管106之间。而且，因为在正常操作期间，六角倒相器102仅仅将应用处理器100的输出信号倒置，因此驱动器104在正常操作期间的输出信号的值相对于应用处理器100提供的值相反/反向。

然而，在所有情况下，线路驱动器104不会输出与六角倒相器102的输出相同、而相对应用处理器100提供的输出反向的信号。相反，如果以下三个条件都满足，线路驱动器104响应于来自六角倒相器102信号，只输出正确的信号。首先，必须在线路驱动器104的Vcc输入终端124向其提供电源。其次，也必须向线路驱动器104的两个使能端126、128的每一个提供电源。还要在耦合到使能端126、128的线路上提供上拉电阻器120。如果不满足这些条件的任何一个，则线路驱动器104就停止提供与应用处理器100生成的信号对应的输出信号驱动电动机16。或者，线路驱动器104的每一个信号输出都是0值或有效0(effectively-zero)值，其中没有电流传导至任何一个光耦合器光电二极管106。

安全处理器108监视/控制提供给线路驱动器104的Vcc输入端124及提供给上拉电阻器120的电源。把电源与上拉电阻器120分离可防止当六角倒相器102的输出为0值时，电流流过上拉电阻器120。而且，因为六角倒相器102是集电极开路输出器件，故没有电源提供给上拉电阻器120会导致六角倒相器102的组件处于高阻抗，而状态不定。尽管六角倒相器102的输出是这种不定状态，但它们不能呈现高的电压值，并且因此，线路驱动器104的输入端保持为0伏特。同样，如果电源从线路驱动器104本身分离，则线路驱动器104的缓冲器组件不能在耦合到光耦合器光电二极管106的线路上输出非0电流。而且，如果对线路驱动器104的任一使能端126、128施加0电压电平，则每个缓冲器组件同样不能在任一控制输出线路上向光耦合器光电二极管106提供非0电流。

根据本发明的一个实施例，应用线路驱动器104的这些特征来提供冗余机制，用于关闭低功率逻辑部分，这样任何光耦合器光电二极管106不会命令任何功率晶体管116向电动机16传递大功率。

施加于使能端126的信号由使能逻辑130控制，该信号对用户提供的用于使能应用处理器100的外部使能输入信号起作用。使能逻辑130也接收来自与应用处理器100相关联的复位逻辑132的输入。一般地，如果不存在该硬件使能信号或复位是断言的，则使能逻辑130移除线路驱动器104的使能端126上的信号。

由图2可见，提供安全电路140，用于关闭线路驱动器104和对上拉电阻器120的电源，以提供安全屏蔽状态。安全电路140包括安全处理器108、安全使能输入块142、安全使能输入校验块144、安全电源块146、安全电源校验块148、与安全处理器108相关联的心跳(heartbeat)逻辑150，以及用于控制线路驱动器104的第二使能端128的使能逻辑152。

电动机控制系统10的一般安全状态是由触点154，156的状态确定。一般地，开关、继电器或其它起动器件(未示出)与触点154、156相关联，并被起动以有选择地启用或禁用电动机16的操作。例如，在正常操作期间，触点154，156都闭合，而在隔离模式期间，二者都断开。操作员或其它用户可选择隔离模式，以防止电动机16的旋转，由此将电动机16置于安全屏蔽状态。在说明性的实施例中，其上安装安全电路140的电路板上的内部电压电源提供电源电压(例如，24V)。

触点154的输出提供给安全使能输入块142和安全使能输入校验块144。安全处理器108接收安全使能输入块142和安全使能输入校验块144的输出，并进行监视，以确定其并发(concurrence)。如果安全使能输入块142和安全使能输入校验块144的输出不是并发，则安全处理器108通过在故障终端158断言信号来指示故障状态。因此，如果安全使能输入块142发生故障，则安全使能输入校验块144提供冗余测量。安全使能输入块142的输出也提供给安全使能逻辑152和安全电源块146的使能端160。

在说明性的实施例中，安全使能输入块142和安全使能输入校验块144是光学隔离的(例如，通过光耦合器)。安全使能输入校验块144的电路逻辑关于安全使能输入块142的电路逻辑反向，以确保短路不会导致安全使能输入块142和安全使能输入校验块144获得相同的状态，除非发生故障。因此，如果安全使能输入块142和安全使能输入校验块144具有相反的逻辑电平输出，则确定为并发。

触点156的输出提供给安全电源块146和安全电源校验块148。此外，安全处理器108监视安全电源块146和安全电源校验块148的输出，以确定两者并发，且如果不出现并发，则指示故障状态。如果安全电源块146发生故障，则安全电源校验块148提供冗余测量。安全电源块146的输出也提供给安全使能逻辑152。安全电源校验块148提供电源信号，用于馈给线路驱动器104的Vcc输入端124，以及用于向上拉电阻器120供电。

在说明性的实施例中，安全电源块146包括向线路驱动器104提供5V电压的供给泵。该电路天性是安全的，其中没有电能供给输入，因此不会发生供给泵的操作并不会生成输出功率(即，安全状态)。安全电源校验块148的逻辑状态与安全电源块146的逻辑状态反向，以确保短路不会导致逻辑获得相同的状态，除非发生故障。

为了安全电源块146运行并提供必要的电压电源，必须在其使能端160，162接收使能信号。如以上所示，第一使能终端160耦合到安全使能输入块142的输出。如果不出现安全使能信号(即，触点154并未闭合或安全使能信号输入块142已经发生故障)，则安全电源块146不会向线路驱动器104或上拉电阻器120供电。第二使能终端162耦合到安全处理器108的故障端158，这样如果安全处理器108识别出故障状态，则也从线路驱动器104和上拉电阻器120中移除该电力。

心跳逻辑150提供对安全处理器108的监视，以确定其故障。安全处理器108输出周期性脉冲，称为为“心跳”。如果安全处理器108发生故障(例如，时钟故障、重要的时钟减慢)，则心跳信号将停止，且心跳逻辑150会检测到不存在心跳信号。例如，心跳逻辑150可以供给泵方式操作，在缺少心跳信号的情况下，这种方式衰变(decay)为安全屏蔽状态。心跳逻辑150的输出也提供给安全使能逻辑152。

可通过安全处理器108内实现的监督定时器(WDT)164来提供安全处理器108额外的监督。安全处理器108的固件不断更新WDT164，以提供安全电路140正确操作的冗余。例如，可在启动对安全处理器108的逻辑输入的处理之前设定WDT164，而在处理完成之后复位WDT164。

安全处理器108也可以实现内部诊断进程，以校验其适当的操作。例如，在主程序每个循环期间，可调用固件诊断。该诊断程序可检查固件程序校验和，以校验程序并未破坏。该诊断程序也可以检查正使用的RAM，以校验数据单元(location)并未发生故障。在一些实施例中，可复制并比较存储寄存器，以校验多个单元并无不符，因此对程序增加额外的冗余。如果检测到故障，则安全处理器108在故障终端158状态指示故障情况(即，通知应用处理器100)，且诊断程序停止(例如，进入死循环)。停止的程序将不会导致心跳信号和WDT164产生安全屏蔽状态。

安全使能逻辑152提供信号，用于在第二使能终端128使能线路驱动器104。如果安全使能输入块142指示正常操作模式的使能，心跳逻辑150指示安全处理器108的适当操作，而安全电源校验块148指示出现用于供给线路驱动器104的Vcc输入终端124和上拉电阻器120的功率，则安全使能逻辑152只使能线路驱动器104。如果这些条件都不存在，则安全使能逻辑152使线路驱动器104禁用。

线路驱动器104还包括状态终端166，它提供指示线路驱动器104的状态的状态信号。如果在使能终端126，128，从线路驱动器104移除任一使能信号，在状态终端166指示线路驱动器104的禁用。安全处理器108也监视在状态终端166提供的信号，以校验其状态是否与安全处理器108基于对输入的独立监视所确定的应然状态相符。

响应于识别故障状态，即，基于安全使能输入块142和安全使能输入校验块144之间的不并发、安全电源块146和安全电源校验块148之间的不并发、或安全使能逻辑152的输出，安全处理器108通过在其故障终端158断言信号来表示该故障。向应用处理器100提供该故障信号，由此阻止其操作。也向安全电源块146提供该故障信号，以中断对线路驱动器104和上拉电阻器120的电源。响应于检测到故障状态，安全处理器108也中断其心跳信号，导致心跳逻辑150停止断言它对安全使能逻辑152的出现，依次在第二使能终端128移除该信号。

在一些实施例中，尽管只有一组来自安全使能输入块142的输入，但说明了安全使能输入校验块144、安全电源块146、安全电源校验块148和安全使能逻辑157，向安全处理器108的冗余端口提供每个信号，还增加监视的冗余。可独立执行每个端口上的信号的逻辑分析，并比较每个逻辑进程的结果，以确定并发和/或识别端口之一的故障状态。每个端口的处理也可与心跳信号的生成相连(tie into)。例如，每个端口的处理可与心跳信号循环的一半相关联。如果任一进程无法适当运行，则各个心跳将不能计时(clock)(即，暂停于高状态或低状态)。

安全电路140排列也为触点154，156提供冗余。如果不能断开触点154，则不存在安全使能输入会导致安全使能逻辑152为线路驱动器104移除该使能信号。如果不能闭合触点154，则触点156的断开状态阻止向线路驱动器104供电。如果不能闭合触点156，则仍不向线路驱动器104和上拉电阻器120供电，因为触点154是断开的，可以从安全电源块146移除使能信号。安全处理器108也可基于其监视来识别触点154，156的状态之间的失配。

当如图2所示实现时，电动机驱动器14提供多个冗余的通路，这样操作员或其它控制实体可使驱动电路通过控制线路向光耦合器光电二极管106提供0值控制信号，以便电动机16停止从功率晶体管116接收供电。电动机驱动器14的电路是足够冗余的，它满足IEC61800-5-2标准的SIL-3的要求，该标准要求来自组件故障的冗余以及检测这种故障的能力。以上详细描述了安全电路140的冗余和监视能力。电动机驱动器14满足SIL-3的要求的事实并不意味着指示电动机驱动器14保证不向电动机16提供电压。当然，尽管控制线路不能向光耦合器光电二极管106输出，但仍然可以想到，一个或多个功率晶体管116可以向电动机16提供电压。当然，因为如果功率晶体管116以应用处理器100确定的脉宽调制(PWM)方式在特定时间提供电压，则电动机16只能产生持续不变的旋转和扭矩，大多数情况下，任一功率晶体管116电流的无意传导只会导致电动机16经历度数有限的一次运动，如用于两极电动机的180度或用于四极电动机的90度。如果当触发安全隔离时，电动机16仍运转，则电动机16将惯性运转到停止。安全电路140从Vcc输入端124和上拉电阻器120中移除供电会防止电力提供给光耦合器光电二极管106，同时线路驱动器104的使能端128去断言作为控制线路输出的逻辑抑制。

电动机驱动器14的排列也为系统集成和认证提供了便利。因为安全处理器108独立于应用处理器100，则可对应用处理器100的固件做出各种变化，而不必要求安全功能和固件的完全重新认证。同样，应用固件中出现的错误不能危及电动机驱动器14的安全功能。因此，可为一类产品一次认证安全处理器108实现的安全电路140和固件。可修正该类的一个或多个成员的应用固件，而不会影响安全认证。这种隔离减少了实现对应用固件的修正所需的成本和时间。可在与应用处理器100不同的电路板上实现安全电路140，以进一步增加它们之间的隔离。线路驱动器104可包括在任一电路板上，根据特定的实施例而定。

以上公开的特定实施例只是说明性的，因为本发明可作修改并以不同但等价的方式实现，这对可从这里的教义中获益的本领域的技术人员来说是明显的。而且，除了下面权利要求中的描述外，并不意图对这里所示的构造或设计的细节进行限制。因此，很明显，可对以上公开的特定实施例进行替换或修正，且所有这些改变被认为是在本发明的范围和精神之内。因此，这里所要求的保护作为下面的权利要求中提出。

Claims (21)

1.一种用于向负载传递大功率信号的驱动器，该驱动器包括：

功率电路，用于响应于控制信号，向该负载提供大功率信号；以及

控制电路，用于生成启动该功率电路的控制信号，该控制电路包括：

应用处理器，用于在正常操作模式期间，生成控制信号；以及

安全电路，用于在安全屏蔽操作模式期间，抑制控制信号的生成，该安全电路包括独立于应用处理器的安全处理器并用于监视该安全电路。

2.如权利要求1所述的驱动器，其特征在于，所述控制信号间接耦合到所述功率电路。

3.如权利要求1所述的驱动器，其特征在于，所述控制电路包括线路驱动器，该线路驱动器用于从应用处理器接收控制信号，而所述安全电路用于在安全屏蔽操作模式期间禁用线路驱动器。

4.如权利要求3所述的驱动器，其特征在于，所述控制电路用于从所述线路驱动器移除功率。

5.如权利要求3所述的驱动器，其特征在于，所述控制电路用于向所述线路驱动器去断言使能信号。

6.如权利要求3所述的驱动器，其特征在于，所述安全电路还包括用于为线路驱动器生成电源的安全电源块。

7.如权利要求6所述的驱动器，其特征在于，所述安全电路还包括用于校验输入到所述安全电源块的电源存在的安全电源校验块，且所述安全处理器用于监视安全电源块和安全电源校验块的输出，并响应于未并发的输出来识别故障状态。

8.如权利要求6所述的驱动器，其特征在于，所述安全电路还包括安全使能输入块，它用于接收安全使能信号，并响应于正断言的该安全使能信号，启用所述安全电源块。

9.如权利要求8所述的驱动器，其特征在于，所述安全处理器用于监视所述安全使能输入块和安全电源块的输出，并响应于未并发的输出来识别故障状态。

10.如权利要求6所述的驱动器，其特征在于，所述安全电路还包括用于校验所述安全使能信号的安全使能输入校验块和安全处理器，该安全处理器用于监视所述安全使能输入块和所述安全使能输入校验块的输出并响应于未并发的输出来识别故障状态。

11.如权利要求6所述的驱动器，其特征在于，所述安全处理器用于响应于识别故障状态，禁用所述安全电源块。

12.如权利要求1所述的驱动器，其特征在于，所述安全处理器用于生成心跳信号，且所述安全电路还包括心跳逻辑，该心跳逻辑用于响应于不存在该心跳信号的测得，而生成用于抑制控制信号的生成的信号。

13.如权利要求3所述的驱动器，其特征在于，所述安全电路还包括：

安全电源块，用于为线路驱动器生成电源；

安全电源校验块，用于校验输入到所述安全电源块的电源的存在；

安全使能输入块，用于接收安全使能信号，并响应于正断言的该安全使能信号，而启用所述安全电源块；以及

安全使能输入校验块，用于校验所述安全使能信号，其中所述安全处理器用于监视所述安全电源块、所述安全电源校验块、所述安全使能输入块以及所述安全使能输入校验块的输出，以识别故障状态。

14.如权利要求13所述的驱动器，其特征在于，所述安全处理器用于响应于识别故障状态，禁用所述安全电源块。

15.如权利要求13所述的驱动器，其特征在于，所述安全电路还包括用于为线路驱动器生成使能信号的安全使能逻辑，该安全使能逻辑用于响应于对所述安全输入块的输出和所述安全电源校验块的输出之一的去断言，而移除该使能信号。

16.如权利要求15所述的驱动器，其特征在于，所述安全处理器用于生成心跳信号且所述安全电路还包括心跳逻辑，该心跳逻辑响应于心跳信号的存在的测得而生成输出，所述安全使能信号还用于响应于心跳逻辑输出的去断言而移除使能信号。

17.如权利要求3所述的驱动器，其特征在于，所述驱动器还包括耦合到应用处理器和线路驱动器之间的倒相器，以及耦合到将该倒相器耦合到所述线路驱动器的线路上的至少一个上拉电阻器，其中所述安全电路用于在安全屏蔽操作模式期间，移除对该上拉电阻器供电的电源。

18.如权利要求1所述的驱动器，其特征在于，所述安全处理器用于识别安全电路中的故障状态。

19.如权利要求18所述的驱动器，其特征在于，所述安全处理器用于通知应用处理器所述故障状态。

20.如权利要求1所述的驱动器，其特征在于，所述负载包括电动机。

21.一种电动机控制系统，该系统包括：

电动机，用于响应于至少一个大功率驱动信号而旋转；以及

电动机驱动器，用于响应于至少一个控制信号而生成所述至少一个大功率驱动信号，该电动机驱动器包括：

应用处理器，用于在正常操作模式期间，生成所述控制信号；以及

安全电路，用于在安全屏蔽操作模式期间，抑制所述控制信号的生成，该安全电路包括独立于所述应用处理器的安全处理器，并用于监视该安全电路。

Images