安全架构，如何走到真正的执行端？

从危险场景说起

评审一张电驱安全架构图时，可以先选定一个具体问题：当系统出现可能造成危险运动的异常时，安全动作经过哪些环节才能生效？这比先统计图上有多少个安全方框，更容易发现设计中的接口和证据缺口。

例如，对超速防护，先明确受保护对象、允许的运动边界、速度测量来源，以及异常时需要达到的安全状态。不同负载、惯量、制动方式和应用环境，可能需要不同的反应策略。

沿着实际执行路径走一遍

可以按“测量—判定—触发—执行—反馈”的顺序开展设计审查。在每个环节，记录使用的信号、负责的器件、响应约束和故障后的行为。

• 测量：速度或位置来自哪里，数据异常如何被发现？
• 判定：谁判断越界，阈值和故障反应时间如何确定？
• 触发：关断指令通过什么接口传递，接口失效会怎样？
• 执行：驱动电路如何改变功率器件状态，是否有实际电路证据？
• 反馈：怎样确认动作已发生，哪些危险仍需由制动或机械措施控制？

安全要求，需要一直走到能改变危险运动的地方。

黑盒接口，需要补齐什么

当驱动板由供应商提供且内部实现暂不可见时，建议建立专门的安全接口清单。关注项可以包括关断实现、通道间关系、执行诊断、供电异常反应，以及监控器自身故障后的行为。

这些项目是索取资料和开展验证的起点。是否能够满足某个目标等级，需要结合完整设计、分析、测试及适用标准作出判断。

形成一张可执行的评审表

每个问题可以整理为“安全需求—设计实现—供应商证据—验证方法—当前缺口—责任人”。这样，评审结果能够进入整改和复核，而不只是停留在图纸上的意见。

IEC 61800-5-2涉及安全相关电驱系统的设计开发、集成与验证。本文给出的是项目审查思路，不将其中的建议清单当作完整标准条款。