一句话
SS1/SS2 是芯片的「安全开关信号」：正常时拉高，出严重故障时立刻拉低 SS1、延时 ΔtSS2 后拉低 SS2——这两个信号通常去驱动外部的安全 NMOS，把危险执行器断电。
五个触发源
- ERR 引脚监控失败（MCU「活着信号」异常）
- 相关电源的 OV / StG 故障
- 窗口看门狗或功能看门狗计数溢出
- 监控块的过温关断（TSD）
- SPI 主动请求离开 NORMAL 态（进 NORMAL 立即拉高，离开立即拉低）
ERR 监控：MCU 的「活着信号」
MCU 要以规定频率翻转 ERR 引脚——像心跳。三种异常判定：
| 情形 | 判定 |
|---|---|
| 高/低电平保持太久（> ΔtDET,LF） | 频率过低，出错 |
| 高/低电平太短（< ΔtDET,HF） | 频率过高（干扰或跑飞），出错 |
| 介于两者之间 | 正常，占空比变化不追究 |
两种反应模式
- 立即反应（默认）：检测到错误 → SS1 立刻拉低 → ΔtSS2 后 SS2 拉低
- 恢复延时模式（ERRRECEN=1）：先报中断 + 启动 ΔtREC 恢复倒计时；MCU 在时限内恢复合法翻转 → 什么也不发生；超时才拉 SS1/SS2。给「偶发干扰」留一条活路
SS1 与 SS2 为什么要分先后
SS1 → SS2 的延时 ΔtSS2（0~2500ms，SPI 可配）用于受控的安全关断序列：比如先让执行器回到安全位置，再切断动力电源。一步到位的断电有时反而制造新危险。
硬件含义
SFGND1/2 引脚要直接接到安全 NMOS 的源极——安全地与普通信号地分开走线，保证 SS 拉低时开关动作不受地弹干扰。
自测一下
看门狗计数溢出后，SS1/SS2 和 nRESET 分别怎么动作？
答案：计数溢出 → 触发「Move to INIT」→ nRESET 拉低（MCU 复位重来），同时安全状态控制立即拉低 SS1、ΔtSS2 后拉低 SS2。复位和安全断电是同时进行的两条独立路径，互为冗余。