功率模块控制器及功率模块的驱动控制方法

技术领域

本发明涉及汽车控制技术领域，具体涉及一种功率模块控制器及功率模块的驱动控制方法。

背景技术

高压功率模块器件是新能源汽车的重要组成部分，功率模块控制器通常以DSP或MCU作为控制芯片。随着新能源汽车的发展，对核心部件的需求不仅仅局限于功能的实现，更聚焦于功能的安全性。

传统的功率模块控制器依靠控制芯片输出PWM波来实现开通或关断，再进一步的方案是控制芯片配置单个安全关断路径去使驱动电路无法工作。以上两个方案都是依靠控制芯片MCU或者DSP去实现的关断功能，当芯片发生内部故障后，实际上控制芯片处于一个不可信的状态，不应该继续用不可信的控制芯片控制驱动电路。

针对这个技术问题，现有技术的解决方案如下：现有技术一(CN 112297877 A)中配置了关断控制模块，该关断控制模块受到主控芯片的直接控制，当主控芯片失效时仍然会通过关断控制模块去控制三项全桥驱动电路；现有技术二(CN107910852B)中配置了两个关断路径，第一关断路径包括两个接触器，两个接触器连接到车用电机的三相，分别设置于车用电机的UV两相之间和VW两相之间；第二关断路径的输出端连接所述的车用电机的IGBT，通过对IGBT上三桥和下三桥的开启关断的控制来实现对车用电机转矩的关断控制。

但是，上述两种方案中的安全关断控制需要用到独立的复杂控制芯片或者如继电器之类的电控制器件，其对应的成本相对较高，且独立电控制器件的切换控制速度、稳定性和可靠性还有待加强。

因此，目前急需一种简单高效且具有多重安全关断路径的功率模块的驱动控制技术方案。

发明内容

鉴于以上所述现有技术的缺点，本发明提供一种具有多重安全关断路径的功率模块驱动控制技术方案，通过简单的控制芯片与逻辑电路的结构设计，实时监控控制芯片状态，能在控制芯片失效时，通过外设设备绕开控制芯片的控制端，直接控制驱动电路关断，提高汽车功率控制产品的安全性和可靠性。

为实现上述目的及其他相关目的，本发明提供的技术方案如下。

一种功率模块控制器，包括：

微控制模块；

逻辑处理模块，与所述微控制模块电连接；

驱动模块，与所述逻辑处理模块电连接，用于驱动功率模块；

外设电源管理模块，与所述逻辑处理模块电连接，与所述微控制模块通信连接，并为所述微控制模块、所述逻辑处理模块及所述驱动模块提供工作电压；

其中，所述功率模块控制器具有一级安全路径、二级安全路径及三级安全路径，所述一级安全路径为所述微控制模块经过所述逻辑处理模块后对所述驱动模块的脉宽调制控制路径，所述二级安全路径为所述微控制模块经过所述逻辑处理模块后对所述驱动模块的安全状态控制路径，所述三级安全路径为所述外设电源管理模块经过所述逻辑处理模块后对所述驱动模块的安全状态控制路径；

当所述功率模块控制器正常时，通过所述一级安全路径使所述驱动模块进入脉宽调制控制状态；当所述功率模块控制器发生第一类故障时，通过所述二级安全路径使所述驱动模块进入安全状态；当所述功率模块控制器发生第二类故障时，通过所述三级安全路径使所述驱动模块进入安全状态。

可选地，所述外设电源管理模块包括：

电源管理及控制单元，接收电源电压并对所述电源电压进行转换，得到多种规格的所述工作电压，为所述微控制模块、所述逻辑处理模块及所述驱动模块提供所述工作电压，与所述逻辑处理模块电连接，与所述微控制模块通信连接；

看门狗单元，与所述电源管理及控制单元、所述微控制模块通信连接，用于监控所述一级安全路径和所述二级安全路径的程序流，重启发生故障并进入死循环的所述微控制模块。

可选地，所述微控制模块还与上位机通信连接，所述上位机向所述微控制模块发出驱动控制指令，所述微控制模块接收到所述驱动控制指令后，所述微控制模块通过所述一级安全路径使所述驱动模块进入脉宽调制控制状态。

可选地，所述微控制模块还与所述驱动模块通信连接，所述驱动模块具有故障自检功能，所述驱动模块在上电和运行过程中探测自身故障并反馈到所述微控制模块。

可选地，所述微控制模块还采集所述一级安全路径的驱动控制数据，并根据所述一级安全路径的驱动控制数据判断所述功率模块控制器是否发生所述第一类故障；当所述功率模块控制器发生所述第一类故障时，所述微控制模块通过所述二级安全路径使所述驱动模块进入安全状态。

可选地，所述电源管理及控制单元采集所述二级安全路径的驱动控制数据及所述微控制模块的运行数据，并根据所述二级安全路径的驱动控制数据及所述微控制模块的运行数据判断所述功率模块控制器是否发生所述第二类故障；当所述功率模块控制器发生所述第二类故障时，所述电源管理及控制单元通过所述三级安全路径使所述驱动模块进入安全状态。

可选地，所述一级安全路径的驱动控制数据或者所述二级安全路径的驱动控制数据至少包括：电子元器件的温度、输入的直流电压和逆变输出的交流电压。

可选地，所述逻辑处理模块包括第一逻辑处理单元、第二逻辑处理单元及第三逻辑处理单元，所述第一逻辑处理单元、所述第二逻辑处理单元及所述第三逻辑处理单元并行设置；所述微控制模块输出第一脉宽调制信号、第一使能信号、第一高边安全信号及第一低边安全信号，所述电源管理及控制单元输出电源管理信号；所述第一逻辑处理单元对所述第一脉宽调制信号及所述第一使能信号进行与运算，得到并向所述驱动模块输出第二脉宽调制信号；所述第二逻辑处理单元对所述第一高边安全信号及所述电源管理信号进行与运算，得到并向所述驱动模块输出第二高边安全信号；所述第二逻辑处理单元对过压信号、所述第一低边安全信号及所述电源管理信号进行与非运算，得到并向所述驱动模块输出第二低边安全信号；所述第三逻辑处理单元对所述第一使能信号及所述电源管理信号进行与运算，得到并向所述驱动模块输出第二使能信号。

可选地，所述第一逻辑处理单元包括一个两输入逻辑与门，所述第二逻辑处理单元包括一个两输入逻辑与门及一个三输入逻辑与非门，所述第三逻辑处理单元包括一个两输入逻辑与门。

可选地，所述驱动模块包括至少一个驱动芯片，所述驱动芯片分别与所述逻辑处理模块及所述功率模块电连接，所述驱动芯片在所述逻辑处理模块的输出信号的控制下对所述功率模块进行驱动控制。

一种功率模块的驱动控制方法，包括：

提供功率模块及功率模块控制器，所述功率模块控制器具有一级安全路径、二级安全路径及三级安全路径；

将所述功率模块与所述功率模块控制器电连接，以通过所述功率模块控制器对所述功率模块进行驱动控制；

对所述功率模块控制器进行监控，若所述功率模块控制器正常，则通过所述一级安全路径对所述功率模块进行脉宽调制控制；若所述功率模块控制器发生第一类故障，则通过所述二级安全路径使所述功率模块进入安全状态；若所述功率模块控制器发生第二类故障，则通过所述三级安全路径使所述功率模块进入安全状态。

可选地，所述第一类故障至少包括所述一级安全路径的运行故障，所述第二类故障至少包括所述二级安全路径的运行故障。

可选地，在对所述功率模块控制器进行监控时，采集所述一级安全路径的驱动控制数据，并根据所述一级安全路径的驱动控制数据判断所述功率模块控制器是否发生第一类故障。

可选地，在对所述功率模块控制器进行监控时，采集所述二级安全路径的驱动控制数据及所述功率模块控制器中控制模块的故障数据，并根据所述二级安全路径的驱动控制数据及所述功率模块控制器中控制模块的故障数据判断所述功率模块控制器是否发生第二类故障。

本发明的有益效果：本发明中的功率模块控制器及功率模块的驱动控制方法，基于微控制模块、逻辑处理模块、驱动模块及外设电源管理模块形成功率模块控制器，结合微控制模块及外设电源管理模块这两种简单的控制芯片，以及逻辑处理模块及驱动模块的纯集成电路产品，形成了具有多重安全关断路径的功率模块驱动控制技术方案，能在正常时实现脉宽调制控制，在故障时使驱动模块及对应的功率模块进入安全状态，提高了功率控制产品的安全性和可靠性；同时，只需要简单的控制芯片和少数逻辑电子元器件，其对应的成本低，切换控制速度快，稳定性和可靠性强。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本发明。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术者来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1是本发明一示例性实施例示出的功率模块控制器的结构示意图；

图2是本发明一示例性实施例示出的图1中逻辑处理模块2的电路结构图；

图3是本发明一示例性实施例示出的一级安全路径的触发流程示意图；

图4是本发明一示例性实施例示出的二级安全路径的触发流程示意图；

图5是本发明一示例性实施例示出的三级安全路径的触发流程示意图；

图6是本发明一示例性实施例示出的功率模块的驱动控制方法的步骤示意图。

具体实施方式

以下将参照附图和优选实施例来说明本发明的实施方式，本领域技术人员可由本说明书中所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。应当理解，优选实施例仅为了说明本发明，而不是为了限制本发明的保护范围。

需要说明的是，以下实施例中所提供的图示仅以示意方式说明本发明的基本构想，遂图式中仅显示与本发明中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制，其实际实施时各组件的型态、数量及比例可为一种随意的改变，且其组件布局型态也可能更为复杂。

在下文描述中，探讨了大量细节，以提供对本发明实施例的更透彻的解释，然而，对本领域技术人员来说，可以在没有这些具体细节的情况下实施本发明的实施例是显而易见的，在其他实施例中，以方框图的形式而不是以细节的形式来示出公知的结构和设备，以避免使本发明的实施例难以理解。

如前述在背景技术中所述的，发明人研究发现：现有技术中功率模块的安全关断控制需要用到独立的复杂控制芯片或者如继电器之类的电控制器件，其对应的成本造价相对较高，电控制器件的切换控制速度慢，可能会使得功率模块未及时进入安全状态发生不可控制的危害，且电控制器件的稳定性和可靠性不足，可能会使得功率模块无法进入安全状态。因此，现有技术中功率模块的安全关断控制技术方案的成本造价相对较高且安全性及可靠性还有很多不足。

基于此，本发明提出一种具有多重安全关断路径的功率模块驱动控制技术方案：结合简单的控制芯片与逻辑电路，实时监控控制芯片状态，在控制芯片失效时，通过外设设备绕开控制芯片的控制端，直接控制驱动电路关断，提高功率控制产品的安全性和可靠性。

具体地，本发明的实施例分别提出一种功率模块控制器以及一种功率模块的驱动控制方法，以下将对这些实施例进行详细描述。

如图1所示，在本发明的一示例性实施例中，提出一种功率模块控制器，其包括：

微控制模块1；

逻辑处理模块2，与微控制模块1电连接；

驱动模块3，与逻辑处理模块2电连接，用于驱动功率模块；

外设电源管理模块4，与逻辑处理模块2电连接，与微控制模块1通信连接，并为微控制模块1、逻辑处理模块2及驱动模块3提供工作电压；

其中，功率模块控制器具有一级安全路径、二级安全路径及三级安全路径，一级安全路径为微控制模块1经过逻辑处理模块2后对驱动模块3的脉宽调制控制路径，二级安全路径为微控制模块1经过逻辑处理模块2后对驱动模块3的安全状态控制路径，三级安全路径为外设电源管理模块4经过逻辑处理模块2后对驱动模块3的安全状态控制路径；

当功率模块控制器正常时，通过一级安全路径使驱动模块3进入脉宽调制控制状态；当功率模块控制器发生第一类故障时，通过二级安全路径使驱动模块3进入安全状态；当功率模块控制器发生第二类故障时，通过三级安全路径使驱动模块3进入安全状态。

详细地，如图1所示，外设电源管理模块4包括：

电源管理及控制单元41，接收电源电压(图中未示出)并对电源电压进行转换，得到多种规格的工作电压，为微控制模块1、逻辑处理模块2及驱动模块3提供工作电压，与逻辑处理模块2电连接，与微控制模块1通信连接；

看门狗单元42，与电源管理及控制单元41、微控制模块1通信连接，用于监控一级安全路径和二级安全路径的程序流，重启发生故障并进入死循环的微控制模块1。

其中，外设电源管理模块4可以是系统基础芯片(System Basis Chip，SBC)，也可以是电源管理芯片(Power Management IC，PMIC)，还可以单独配置外设独立的电源管理及控制单元41和独立的看门狗单元(Watch Dog)42。以下实施例以集成式外设电源管理模块4展开叙述，单独的分离式的模块控制原理类似，不在实施例叙述。

在本发明的一可选实施例中，电源管理及控制单元41可以对如14V的汽车蓄电池电压进行降压转换，得到1.25V、1.3V、3.3V、5V等多种规格的工作电压，为微控制模块1、逻辑处理模块2及驱动模块3中的各种电子元器件供电并对工作电压进行监控。

在本发明的一可选实施例中，外设电源管理模块4与微控制模块1配置有通信接口，用于模块之间的信号交互，包括传递微控制模块1的状态信息，传递故障信息，记录故障信息；外设电源管理模块4配置有Reset接口，通过看门狗单元42时时监控微控制模块1，当微控制模块1的寄存器和内存的数据混乱，导致程序指针错误陷入死循环时，通过看门狗单元42对微控制模块1进行复位，擦除冷态故障。

详细地，除了通信连接，外设电源管理模块4与微控制模块1之间还有电连接，传递电信号和模拟信号，配置有输出口和输入口，外设电源管理模块4向微控制模块1输出模拟信号及工作电压。

详细地，微控制模块1为包含逻辑自检功能、flash存储功能及时钟(OSC)功能等多种功能的集成式控制芯片，可以是微控制单元(Microcontroller Unit，MCU)或者单片机(Single Chip Microcomputer，SCM)。

详细地，微控制模块1还与上位机(图中未示出)通信连接，上位机向微控制模块1发出驱动控制指令，微控制模块1接收到驱动控制指令后，微控制模块1通过一级安全路径使驱动模块3进入脉宽调制控制状态。

更详细地，如图1-图2所示，在本发明的一可选实施例中，一级安全路径由微控制模块1接收(上位机传递的)通信信号进入工作模式，输出第一脉宽调制信号(即第一PWM信号)到第一逻辑处理单元2a(即PWM传递单元)，第一逻辑处理单元2a经过逻辑运算放大输出稳定的适配驱动芯片的第二脉宽调制信号(即第二PWM信号)，第二脉宽调制信号控制驱动芯片动作，完成驱动电路正常的控制。

详细地，微控制模块1还与驱动模块3通信连接(图中未示出)，驱动模块3具有故障自检功能，驱动模块3在上电和运行过程中探测自身故障并反馈到微控制模块1。

详细地，微控制模块1还采集一级安全路径的驱动控制数据，并根据一级安全路径的驱动控制数据判断功率模块控制器是否发生第一类故障；当功率模块控制器发生第一类故障时，微控制模块1通过二级安全路径使驱动模块3进入安全状态。

其中，二级安全路径可以是一级安全路径的监控单元。

更详细地，微控制模块1采集一级安全路径的驱动控制数据并进行备份或二次计算校核，一级安全路径的驱动控制数据可以是电子器件的温度、输入端的直流电压、逆变输出的交流电压等用于驱动控制的信息，微控制模块1存储采集的信息并判断设置第一类故障的阈值，当一级安全路径的驱动控制数据触发达到所预设的故障阈值时，微控制模块1传递安全信号到逻辑处理模块2，微控制模块1通过二级安全路径使驱动模块3进入安全状态。

在本发明的一可选实施例中，如图2所示，二级安全路径还可以配置第一使能信号，若系统故障触发二级安全路径，通过配置的微控制模块1与逻辑处理模块2的I/O口，通过逻辑处理模块内部的逻辑电路处理使一级安全路径无法传递第二脉宽调制信号，使驱动模块3无法继续响应一级安全路径的控制动作。

详细地，电源管理及控制单元41采集二级安全路径的驱动控制数据及微控制模块1的运行数据，并根据二级安全路径的驱动控制数据及微控制模块1的运行数据判断功率模块控制器是否发生第二类故障；当功率模块控制器发生第二类故障时，电源管理及控制单元41通过三级安全路径使驱动模块3进入安全状态。

其中，三级安全路径可以是二级安全路径的监控单元。同时，外设电源管理模块4内置看门狗单元41监控二级安全路径和一级安全路径的程序流，与微控制模块1通信信号连接接收微控制模块1的反馈信息，可以是故障信息、供电电压信息等，输出端配置Reset(复位)信号到微控制模块1，若微控制模块1程序流错误，尝试热复位运行过程中迅速中断，中断后系统仍报故障尝试冷复位持续拉低Reset信号使微控制模块1无法直接控制驱动模块3中的驱动芯片，判断为微控制模块1故障并绕开微控制模块1输入端直接与逻辑处理模块2电连接，拉低第一使能信号。

更详细地，二级安全路径的驱动控制数据可以是电子器件的温度、输入端的直流电压、逆变输出的交流电压等用于驱动控制的信息，电源管理及控制单元41存储采集的二级安全路径的驱动控制数据并判断设置第二类故障的阈值，当二级安全路径的驱动控制数据触发达到所预设的故障阈值时，电源管理及控制单元41传递安全信号到逻辑处理模块2；电源管理及控制单元41还可以配置接收微控制模块1的运行数据，尤其是微控制模块1的底层故障信息，可以是信号采集故障、逻辑信号处理故障、自检故障等，电源管理及控制单元41还可以配置接受外设电源管理模块4自身自检的故障，当电源管理及控制单元4接收到微控制模块1的底层故障信息及外设电源管理模块4自身的故障信息时，电源管理及控制单元41通过电信号拉低，按照三级安全路径使驱动模块3进入安全状态。

详细地，如图1-图2所示，逻辑处理模块2包括第一逻辑处理单元2a、第二逻辑处理单元2b及第三逻辑处理单元2c，第一逻辑处理单元2a、第二逻辑处理单元2b及第三逻辑处理单元2c并行设置。

更详细地，如图2所示，微控制模块1输出第一脉宽调制信号(即第一PWM信号)、第一使能信号、第一高边安全信号及第一低边安全信号，电源管理及控制单元41输出电源管理信号；第一逻辑处理单元2a对第一脉宽调制信号(即第一PWM信号)及第一使能信号进行与运算，得到并向驱动模块3输出第二脉宽调制信号(即第二PWM信号)；第二逻辑处理单元2b对第一高边安全信号及电源管理信号进行与运算，得到并向驱动模块3输出第二高边安全信号；第二逻辑处理单元2b对过压信号、第一低边安全信号及电源管理信号进行与非运算，得到并向驱动模块3输出第二低边安全信号；第三逻辑处理单元2c对第一使能信号及电源管理信号进行与运算，得到并向驱动模块3输出第二使能信号。

更详细地，在本发明的一可选实施例中，如图2所示，第一逻辑处理单元2a包括一个两输入逻辑与门，第二逻辑处理单元2b包括一个两输入逻辑与门及一个三输入逻辑与门，第三逻辑处理单元2c包括一个两输入逻辑与门。

更详细地，如图2所示，第一逻辑处理单元2a作为一级安全路径的逻辑电路控制单元，第一逻辑处理单元2a对第一脉宽调制信号及第一使能信号进行与运算，只有第一使能信号为高电平时，第一逻辑处理单元2a方可输出第二脉宽调制信号控制驱动模块3中驱动芯片正常控制的动作。

更详细地，如图2所示，第二逻辑处理单元2b作为二级安全路径的逻辑电路控制单元，此时，电源管理信号为低电平，第二逻辑处理单元2b对第一高边安全信号及电源管理信号进行与运算，得到并向驱动模块3输出第二高边安全信号；第二逻辑处理单元2b对过压信号、第一低边安全信号及电源管理信号进行与非运算，得到并向驱动模块3输出第二低边安全信号。输出第二低边安全信号和第二高边安全信号到驱动模块3中，控制驱动芯片进入所预设的安全状态；第二高边安全信号和第二低边安全信号用于驱动模块3中驱动芯片控制驱动电路进入上桥臂或者下桥臂的安全状态。

可选地，还可以配置额外的逻辑电路单元，该逻辑电路单元由与门组成，与上述第二逻辑处理单元2b接收的输入端信号一致，输出第二低边安全信号，避免信号的冲突，也可以配置逻辑非门来达到同样的效果。

同时，第二逻辑处理单元2b可以判断过压信号，过压信号由硬件过压采集电路输出，第二逻辑处理单元2b可以判断硬件是否过压来决定所要进入的安全状态通道，保护功率模块的安全。过压信号除了逻辑电路来判断外，也可以由微控制模块1来处理，可以达到同样的目的。

更详细地，如图2所示，第二逻辑处理单元2b及第三逻辑处理单元2c作为三级安全路径的逻辑电路控制单元，当三级安全路径触发时，拉高电源管理信号，输出第二低边安全信号和第二高边安全信号到驱动模块3中，控制驱动芯片进入所预设的安全状态。

更详细地，如图2所示，还可以配置第二使能信号，第二使能信号的输入端是电源管理信号和第一使能信号，作为判断驱动芯片的输入信号控制驱动芯片是否可以进入工作。根据实际的策略或者需要可以灵活的运用该信号。

需要说明的是，逻辑处理模块2不仅限于如图2所示的逻辑与门构成，还可以涵盖非门、或门等逻辑元器件，可以根据实际项目自由搭配，灵活度较高，但目的都是为了使信号更稳定，使系统能进入所预设的安全状态。

详细地，如图1所示，驱动模块3包括至少一个驱动芯片，驱动芯片分别与逻辑处理模块2及功率模块(图中未示出)电连接，驱动芯片在逻辑处理模块2的输出信号的控制下对功率模块进行驱动控制。驱动模块3驱动芯片的数量根据实际需要配置，可以是1，也可以是n，n为大于等于2的整数。

更详细地，如图3所示，为本发明中功率模块控制器的一级安全路径触发流程，其具体触发流程包括：

步骤S100，通讯检测运行控制请求；

实际实施例中，微控制模块1输入端收到电源供电或通讯唤醒系统后检测整车控制请求，整车的通讯请求一般是通讯协议(CAN)，当检测到通信信号后响应控制信息。

步骤S101，输出第一PWM信号；

微控制模块1接收到控制请求后，内部模块处理通信信号转化为第一PWM信号传递到第一逻辑处理单元2a。

步骤S102，检测第一使能信号；

微控制模块1、电源管理及控制单元41具备故障采集功能，触发二级安全路径和三级安全路径时，微控制模块1拉低第一使能信号。

步骤S103，锁止PWM信号；

第一逻辑处理单元2a接收到低电平的第一使能信号，锁止PWM信号输出。

步骤S104，输出第二PWM信号；

第一逻辑处理单元2a接收到高电平的第一使能信号，正常输出第二PWM信号。

步骤S105，判断第二使能信号；

驱动模块3接收第二使能信号，第二使能信号在本实施例中狭义的作为判断是否进入二级安全路径或三级安全路径。

步骤S106，锁止进入控制状态；

若第二使能信号为高电平，判断为进入了二级安全路径或三级安全路径，锁止驱动模块3，禁止进入控制状态。

步骤S107，进入控制状态。

若第二使能信号为低电平，判断为可以进入正常的驱动，可控制状态。

更详细地，如图4所示，为本发明中功率模块控制器的二级安全路径触发流程，其具体触发流程包括：

步骤S200，微控制模块实时检测系统；

微控制模块1输入端收到电源供电或通讯唤醒系统后检测整车控制请求，整车的通讯请求一般是通讯协议(CAN)，当检测到通信信号后响应控制信息或Self-test自检或检测系统故障。

步骤S201，是否检测到二级安全路径所预设的故障；

微控制模块1可以预设二级安全路径可触发的故障，即功率模块控制器的第一类故障，可以是系统过温、系统过压、部分的通讯丢帧或错误等。微控制模块1实时检测二级安全路径所预设的故障，若检测不到所预设的故障，返回步骤S200持续检测系统。

步骤S202，拉低第一使能信号；

若微控制模块1检测到二级安全路径所预设的故障，拉低第一使能信号，使第一安全路径无法输出PWM信号，回到步骤S103，锁止PWM输出。

步骤S203，是否检测到桥臂故障；

微控制模块1输入端接收驱动模块3反馈的桥臂故障/驱动故障信号。根据反馈的故障信息，使系统进入所预设的安全通道，保证系统的安全性。

根据实际实施的芯片或MOS管，若驱动芯片数量＜2pcs可以不判断桥臂故障/驱动故障信号来进入所预设的安全通道。

步骤S204、步骤S205，输入第一低边安全信号/输出第二高边安全信号；

驱动模块3与微控制模块1通信连接，可以是SPI通信或CAN通信。若微控制模块1接收到驱动模块3反馈的下桥臂故障，输出第一高边安全信号。

若微控制模块1输入端没有接收到驱动模块3反馈的驱动故障信号或接收到上桥臂故障，输出第一低边安全信号。

步骤S206、S207，检测电源管理信号；

逻辑处理模块2输入端接收外设电源管理模块4传递的电源管理信号，配置逻辑门电路判断电源管理信号，判断是进入三级安全路径或继续二级安全路径的流程。

步骤S208，进入三级安全路径；

若逻辑处理模块2输入端接收到外设电源管理模块4传递的电源管理信号，进入三级安全路径跳回步骤S301，检测三级安全路径所预设的故障。

步骤S209、S210，输出第二低边安全信号/输出第二高边安全信号；

逻辑处理模块2输入端接收步骤S204第一低边安全信号和步骤S205第一高边安全信号，通过逻辑电路与步骤S208的电源管理信号做判断。

若检测不到电源管理信号，逻辑处理模块2接收到第一低边安全信号，输出第二低边安全信号。

若检测不到电源管理信号，逻辑处理模块2接收到第一高边安全信号，输出第二高边安全信号。

步骤S211、S212，判断第二使能信号；

驱动模块3输入端接收逻辑处理模块2传递的第二使能信号。

若驱动模块3接收到第二使能信号是低电平，返回步骤S107，进入控制状态。

步骤S213，进入预设安全状态。

若驱动模块3接收到第二使能信号是高电平，判断第二高边安全信号和第二低边安全信号，使系统进入预设的安全状态。

更详细地，如图5所示，为本发明中功率模块控制器的三级安全路径触发流程，其具体触发流程包括：

步骤S300，外设电源管理模块实时检测系统；

外设电源管理模块4用于检测三级安全路径所预设的故障，即功率模块控制器的第二类故障，如检测部分系统故障、信号故障和微控制模块1本体故障等。

步骤S301，是否检测到三级安全路径所预设的故障；

若外设电源管理模块4检测不到三级安全路径所预设的故障，反馈步骤S300持续检测系统。

若外设电源管理模块4检测到三级安全路径所预设的故障，拉低第一使能信号使第一安全路径无法输出PWM信号，回到步骤S103，锁止PWM输出。

步骤S303，拉低电源管理信号；

外设电源管理模块4检测到三级安全路径所预设的故障，拉高电源管理信号，使系统无法进入一级安全路径和二级安全路径。

步骤S304，判断过压信号；

逻辑处理模块2输入端接收硬件过压比较电路输出的过压信号。

通过判断过压信号，保护系统功率器件的安全性，使系统进入所预设的安全通道。

步骤S305，输出第二高边安全信号&第二低边安全信号；

逻辑处理模块2的逻辑电路判断过压信号和输入的第一低压安全信号和第一高边安全信号，输出第二高边安全信号和第二低边安全信号。

在本发明的一可选实施例中，将安全通道分成了两类，若系统过压控制第二高边安全信号和第二低边安全信号使系统进入第一类安全通道；若系统不过压控制第二高边安全信号和第二低边安全信号使系统进入第二类安全通道。

步骤S306，判断第二使能信号；

驱动模块3输入端接收逻辑处理模块2传递的第二使能信号。

若驱动模块3接收到第二使能信号是低电平，返回步骤S107，进入控制状态。

步骤S307，进入预设的安全状态。

若驱动模块3接收到第二使能信号是高电平，则判断第二高边安全信号和第二低边安全信号，使系统进入预设的安全状态。

在上述功率模块控制器中，结合简单的控制芯片与逻辑电路形成了具有三级安全路径的功率模块控制器，当功率模块控制器正常时，通过一级安全路径使驱动模块3进入脉宽调制控制状态；当功率模块控制器发生第一类故障时，通过二级安全路径使驱动模块3进入安全状态；当功率模块控制器发生第二类故障时，通过三级安全路径使驱动模块3进入安全状态。通过微控制模块1与外设电源管理模块4的两级采集、逻辑自检与判断，能实时监控控制芯片(微控制模块1与外设电源管理模块4)状态，在控制芯片(如微控制模块1)失效时，通过其他模块如外设电源管理模块4及逻辑处理模块2绕过控制芯片的控制端，直接控制驱动电路进入安全状态，提高了功率控制产品的安全性和可靠性。同时，只需要简单的控制芯片和少数逻辑电子元器件，其对应的成本低，切换控制速度快，稳定性和可靠性强。

基于上述功率模块控制器的设计思路，如图6所示，在本发明的另一示例性实施例中，提出一种功率模块的驱动控制方法，其包括步骤：

S1、提供功率模块及功率模块控制器，功率模块控制器具有一级安全路径、二级安全路径及三级安全路径；

S2、将功率模块与功率模块控制器电连接，以通过功率模块控制器对功率模块进行驱动控制；

S3、对功率模块控制器进行监控，若功率模块控制器正常，则通过一级安全路径对功率模块进行脉宽调制控制；若功率模块控制器发生第一类故障，则通过二级安全路径使功率模块进入安全状态；若功率模块控制器发生第二类故障，则通过三级安全路径使功率模块进入安全状态。

详细地，在步骤S1中，提供上述实施例所述的功率模块控制器及功率模块，功率模块控制器具有一级安全路径、二级安全路径及三级安全路径；当功率模块控制器正常时，通过一级安全路径使驱动模块进入脉宽调制控制状态；当功率模块控制器发生第一类故障时，通过二级安全路径使驱动模块进入安全状态；当功率模块控制器发生第二类故障时，通过三级安全路径使驱动模块进入安全状态。详情可参见上述功率模块控制器相关实施例的描述，在此不再赘述。

其中，第一类故障至少包括一级安全路径的运行故障，第二类故障至少包括二级安全路径的运行故障。

详细地，在步骤S2中，将功率模块与功率模块控制器电连接，以通过功率模块控制器对功率模块进行驱动控制，该功率模块可以是汽车上的各种功率器件。

详细地，在步骤S3中，在对功率模块控制器进行监控时，采集一级安全路径的驱动控制数据，并根据一级安全路径的驱动控制数据判断功率模块控制器是否发生第一类故障。

详细地，在步骤S3中，在对功率模块控制器进行监控时，采集二级安全路径的驱动控制数据及功率模块控制器中控制模块(如微控制模块1或者外设电源管理模块4)的故障数据，并根据二级安全路径的驱动控制数据及功率模块控制器中控制模块的故障数据判断功率模块控制器是否发生第二类故障。

与上述功率模块控制器类似，在上述功率模块的驱动控制方法中，在基于一级安全路径的脉宽调制驱动控制基础上，增设了安全关断(或者进入安全状态)的二级安全路径和三级安全路径，形成了两级叠加的安全监控机制，对一级安全路径的运行状态或者上位控制芯片的状态进行实时监控，在控制芯片失效时，通过二级安全路径或者三级安全路径，直接控制驱动电路或者功率模块进入安全状态，提高了功率控制产品的安全性和可靠性。

上述实施例仅示例性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，但凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。