STM32光储逆变器实时控制：采样、调制与保护实战解析
光储逆变器这个行业，聊到后面大家都会认同一句话：它本质不是“逆变”，而是一台要打进电网、带起负载、还得伺候好电池的可编程电源。而STM32在这台电源里干的活，远不只是“跑跑逻辑”，而是把采样、调制、保护、通信这些事，在一个实时的框架里捏合起来。
这篇是STM32在光伏储能应用的下篇。上篇我们把精力放在了主电路拓扑、器件选型和硬件架构上，这篇我们把视角切换到控制链路本身：ADC怎么采得准、PWM怎么发得好、状态机怎么设计不打架，以及那些在调试现场才能撞见、但datasheet里永远查不到的坑。内容偏工程实战，适合刚转行做光储的嵌入式工程师，也适合那些已经在做电源、想从“能用”进阶到“好用”的同行。
1. 换个视角看问题：为什么非要把逆变器理解成“电源”
先说清楚我这句话的意思。传统电源设计里，我们习惯把产品分为电压源和电流源：电压源对外输出稳定电压，电流源对外输出稳定电流。光伏逆变器并网工作时，它的控制目标就是“向电网注入一个可控的正弦电流”，所以从电网侧看，它就是一台电流源。而离网模式下，逆变器要独立建立交流电压，给负载供电，这时候它就是一台电压源。
光储系统比普通逆变器更复杂，在于它有三个功率端口：光伏输入端口、电池端口、交流输出端口。任何一个端口的变化都会影响另外两个。光伏板功率飘忽不定，电池的充放电状态由BMS说了算，交流侧可能是并网也可能是离网，三个端口之间靠直流母线电压串联在一起。所以这套系统的本质是一台多输入多输出的受控电源，所有控制策略的终点，都是让能量按预期方向、预期大小流动，同时保证母线电压稳定。
STM32在这个系统里的角色，用一句话概括：对外是通信节点，对内是实时控制器。它要通过CAN和BMS通信，拿到电池允许的充电电流；要通过ADC采样光伏电压电流，算出MPPT的占空比；要捕获电网相位，调整逆变桥的调制波；还要在过流、过压、过温发生的瞬间，比功率器件炸掉之前更快地封锁PWM。这每一件事都不是孤立的，它们共享同一个定时器时基、同一个ADC序列、同一个中断优先级。
我一直觉得，做光储嵌入式开发和做普通消费电子有本质区别。消费电子里，MCU是主角，外设是陪衬；而光储逆变器里，MCU是配角，功率电路才是主角，MCU的任务是“伺候好”功率电路。这个视角一旦建立，很多软件上的取舍就变得清晰——比如为什么电流环必须放在中断里，为什么CAN通信不能抢占控制周期，为什么保护逻辑不能等主循环慢慢轮询。理解了“逆变器本质是电源”这个前提，下面这些技术细节才有落脚的框架。
2. 核心控制链路：采样、调制、保护三件事必须闭环
一个并网逆变器的控制周期，通常在一百微秒以内。在这个周期里，STM32要完成采样、坐标变换、PI运算、PWM占空比更新这一整套动作。但真正决定系统可靠性的，并不是这套算法跑得多快，而是三个基础环节有没有做好：ADC采到的数值是不是真值、PWM发出的波形是不是符合预期、保护路径是不是足够短。这三个环节任何一个掉链子，算法再漂亮也白搭。
2.1 采样链路：ADC读取精度才是控制精度的地基
电流采样常见两种方案：低功率用采样电阻加差分运放，中大功率用霍尔传感器或隔离放大器。采样电阻方案便宜、线性度好，但采样电阻上的压降会带来损耗，而且电阻功率选型要算清楚。霍尔方案隔离性好、不引入损耗，但带宽和温漂要留意。无论是哪种，信号进入STM32 ADC之前，都要经过一级运放调理，把信号幅度映射到ADC的满量程范围。
这里有一个非常容易被忽视的问题：采样时刻。开关管导通和关断瞬间，母线上会叠加极高的dv/dt和di/dt噪声，这时候ADC如果刚好在采样，读到的数据必然包含大量毛刺。工程上通用的做法是让PWM定时器的溢出事件或某个比较事件去触发ADC启动，把采样点放在PWM波形的中点。因为中点处开关管已经稳定，母线电压和电流都处于相对平静的状态。用生活类比来说，就是不要在放鞭炮的时候去听心跳，采样时机选对了，后面滤波才能少干活。
多通道采样时还要注意通道切换的建立时间。STM32的ADC是单次转换结构，通道切换后采样电容需要时间充电到输入电压，如果采样时间配得太短，相邻通道之间会串扰。我自己的习惯是：关键通道（如母线电压）用独立ADC或者独立采样序列，并且每个通道最少配置1.5个采样周期以上；DMA方式搬运结果，避免CPU逐个读取。软件上再加一阶低通滤波和中位值滤波两级处理，中位值滤波专门对付尖峰毛刺，低通滤波负责平滑，两个滤波器叠加之后波形已经相当干净。
采样基准的问题也值得一提。ADC的参考电压如果直接用MCU的工作电压，一旦母线波动或电源纹波大，参考就会飘。对光储这种功率环境，外部基准源（比如REF3030这类）花不了几块钱，却能明显提升采样稳定性。实在不想加外部基准，至少也要用内部VREFINT做软件校准，把零偏和增益误差修正掉。
2.2 PWM调制：高级定时器不是拿来点灯的，是拿来发波的
STM32里能输出互补PWM的定时器不外乎TIM1和TIM8这两路高级定时器。互补输出是驱动全桥/三相桥的刚需，因为上下桥臂必须严格保证先关断一个、再开通另一个，这个间隔就是死区。死区太短，上下管直通炸模块；死区太长，电流波形畸变、THD劣化。IGBT通常在微秒量级，MOSFET可以更短。具体数值要看栅极驱动芯片的传播延时和开关管的关断延时，一般留出两倍余量比较稳妥。
调制算法上，三相并网逆变器主流是SVPWM。它的母线电压利用率比SPWM高大约15%，意味着同样的直流电压能输出更高的交流电压，而且谐波性能更好。SPWM（含三次谐波注入）实现简单、适合单相和小功率，但三相系统建议直接上SVPWM。软件实现SVPWM就是先判断扇区，再计算占空比，核心是Clarke变换和扇区判断，这部分网上代码很多，但真正要命的是载波频率选择。载波频率越高，电流纹波越小、电感可以做得更小，但开关损耗线性上升。并网逆变器用IGBT一般取8k~16k，用碳化硅MOSFET可以到20k以上。载波频率定了之后，控制周期就是载波周期的两倍（对称PWM），ADC触发和中断优先级就要围绕这个周期来设计。
死区效应在轻载时尤其明显。死区期间电感电流流过续流二极管，导致实际输出电压和理想电压有偏差，电流过零点附近会产生一段“平台”失真。工程上有做死区补偿的，根据电流方向对占空比做前馈调整，但电流方向判断不准反而会越补越差。我的建议是：先用示波器看电流过零波形，确认畸变是否真的影响并网电流THD，再决定是否值得花精力做补偿。小功率家用光储产品，死区补偿往往是优化项，不是必须项。
2.3 保护逻辑：硬件先挡一刀，软件再算账
功率器件的损坏时间是微秒级的，STM32哪怕中断响应再快，也快不过比较器。所以**逐波限流（cycle by cycle）**这层保护必须用硬件实现：电流采样信号进比较器，超过阈值直接拉低PWM输出，这个周期内的脉冲立即切断，不需要CPU参与。等下一个PWM周期到来再重新开通，如果过流消失就恢复正常，如果持续过流就继续限流。这套机制的响应时间在百纳秒到微秒级，是逆变器保护的真正第一道防线。
IGBT驱动芯片自带的DESAT保护也很重要。DESAT引脚检测集电极-发射极的饱和压降，管子退饱和说明电流过大或者短路了，驱动芯片会软关断并将故障信号送给MCU。很多功率模块故障都是这个通道识别的。MCU这边的固件保护，主要处理的是过压、欠压、过温这类“慢故障”。慢故障不代表可以慢处理，一般推荐在1kHz~10kHz的中断里巡检，一旦发现越限，先按策略降功率或封锁PWM，同时记录故障标志。故障锁存是必须的，不能因为过温信号短暂抖动就反复启停，要在满足复位条件（比如温度降到阈值以下并且用户手动复位）之后才能清标志。
保护阈值的设计有个经验：硬件阈值要宽于软件阈值。软件率先介入，通过降功率或者软封锁来恢复正常工况；硬件阈值只是最后一道物理防线，平时最好碰不到它。这样既能保护设备，又不会因为一点小扰动就动不动切机，用户体验会好很多。
3. 通信与调试通道：系统不是一块孤立的控制板
光储逆变器从来不单机工作。它要跟BMS说电池剩余电量，跟电表说当前输出功率，跟EMS（能量管理系统）收调度指令，可能还要跟手机App通信，让用户远程看发电数据。这些通信链路看起来是“杂活”，但往往直接决定系统能不能在真实场景里长期稳定运行。
3.1 CAN与BMS的握手：先问清楚电池能承受多大的电流
BMS是整个储能系统的“话事人”，它最清楚当前电池包的最高单体电压、最低单体电压、SOC和允许充放电电流。逆变器收到这些信息后，要动态调整自己的充放电功率，绝对不能自己想充多少就充多少。锂电池一旦过充轻则衰减、重则起火，这个责任在系统层面是“一票否决”的。
CAN硬件设计上，收发器推荐用带隔离的方案，因为功率板的地和电池包的地之间存在电位差，隔离可以避免共模干扰打坏MCU。终端电阻必须是两个120欧姆跨接在总线两端，少一个或者多一个都会导致反射，通信异常率升高。STM32的bxCAN外设相对老旧，发送邮箱只有三个，如果数据帧多，建议用FIFO思路管理发送，并且留一个邮箱给最高优先级的故障帧。接收侧配置好滤波器，只放行本机关心的ID，避免无效中断抢占CPU时间。
实际项目里，BMS报文往往会定义心跳机制——BMS每100ms发一帧在线报文，逆变器如果在500ms内没收到，就认为BMS失联，应当按安全的默认策略降功率或关机。这个超时判断不能只靠CAN中断里计数，要放到定时器或者主循环里去检查，因为中断里计数如果没人定时清，很容易出现虚假在线。协议上还有一个容易踩的坑：CAN报文的CRC和位填充是硬件做的，但数据的有效性要软件确认。收到一帧电池电流指令，先判断是否在合理范围内（比如0到200A），再判断变化率是否合理，防止BMS本身发了一帧异常数据导致逆变器跟着犯错。
3.2 串口和本地调试：printf出去的东西要有用
并网逆变器调试最常用的是串口。把printf重定向到UART，用USB转串口线连电脑，实时打印母线电压、电网相位、MPPT功率、电池电流这些关键量。这里有个实用技巧：定义一套简单的命令行解析，通过串口输入指令就能修改PID参数、MPPT步长、过压保护阈值等运行参数，不用每次改一个参数就重新编译烧录。这个功能前期开发的投入成本不高，后期现场调试能省下大量来回改固件的时间。
日志输出一定要分级。错误、警告、信息各自用不同的前缀和宏开关控制，平时只开信息和错误，查问题的时候再开详细调试日志。产品量产之后，串口可以保留一个隐藏的诊断模式，维护人员进入诊断模式后能看到内部状态变量，这比盲猜问题高效得多。另外，采样值和控制量打成日志是好事，但日志频率不要太高，串口115200波特率，每行50个字节，一秒钟也就打印两百多次，超过这个量日志本身就会拖延控制周期，一定要控制好打印节奏。
除了串口，示波器才是控制环调试的真正主角。我的习惯是在板子上预留两个DAC输出或PWM滤波输出，把内部控制量（比如电流环PI输出、锁相环角度）实时输出到示波器上。这样不用拆代码加断点，就能看到控制量在动态过程中的真实走向，配合功率波形对比，问题定位速度比纯靠串口打点快一个数量级。
4. 系统状态机与软件架构：把“电源”跑稳的核心
采样、PWM、通信这些模块是零件，真正把它们组装成一套可靠系统的是状态机和调度架构。光储逆变器至少包含这些状态：待机、软启动、光伏MPPT、电池充电、电池放电、并网输出、离网输出、故障停机。状态之间怎么切换、切换时PWM怎么处理、切换后控制目标怎么变，这是整个软件设计里最容易出bug的地方。
4.1 状态机设计：切换瞬间的控制“接力”
先看一个最典型的切换场景：离网转并网。离网模式下，逆变器建立自己的电压，负载由逆变器供电；并网模式下，逆变器要跟电网同步、转为电流控制。切换的瞬间如果处理不好，轻则负载闪断，重则冲击电流烧保险。工程上通常分两步：先让逆变器进入电网电压同步状态，通过软件锁相环把输出相位锁定到电网相位，幅值也调整到与电网一致，然后闭合继电器；继电器闭合之后，再把控制目标从电压控制切换为电流控制。关键是切换的瞬间，PI控制器输出的初始值要平滑衔接，通常做法是先把电流环给定设为0，等稳定一两个工频周期后再逐渐加载目标功率。
同样的道理也适用于并网转离网。电网失电瞬间，逆变器必须在几个毫秒内从电流源切到电压源模式，否则负载感知到断电就掉电了。这个切换速度取决于电压环的响应能力和中断里能否快速更改变换状态，软件上建议提前把电压环的PID参数和初始占空比准备好，切换发生时直接无缝启用，而不是现场重新计算一遍。
状态机在代码上的一个重要原则：状态入口和出口做集中处理，不在主循环里散落一堆“if (状态 == 某个值)”逻辑。每个状态对应一个enter函数、一个tick函数、一个exit函数，切换只在指定的transition函数里发生，这样排查状态卡死或者跳变问题会轻松很多。状态机切换前要检查所有前提条件，比如并网继电器闭合前必须确认电网电压和频率在允许范围内，MPPT启动前必须确认母线电压已经建立，否则一上来就是故障。
4.2 MPPT与充放电策略：能量管理的“三权分立”
光伏侧的核心算法是MPPT。最常见的扰动观察法（P&O）思路非常简单：往一个方向改变占空比，观察功率变化，如果功率变大就继续这个方向，功率变小就反向。但实际使用中，云层遮挡导致的功率突变会让P&O误判，扰动步长太大会在最大功率点附近来回震荡，步长太小又会拖慢跟踪速度。工程上会做变步长处理：功率变化大时用大步长快速逼近，接近最大功率点时用小步长精细收敛。电导增量法理论上更优，但对采样精度要求更高，很多产品最后还是P&O加变步长的组合，成本和复杂度都更可控。
电池侧的策略相对直接：BMS下发允许充电电流，逆变器按恒流充电；电池电压接近满充时切换为恒压模式，电流自然下降。这个CC-CV切换逻辑要放在控制环外面，由状态机根据电池电压主动切换目标值，不能等PI控制器自己慢慢绕。另外还需要一个恒功率（CP）模式，用于限制母线电压或者响应电网调度指令，说白了就是“规定时间内最多充多少瓦”。
这三个功率端口（光伏、电池、交流）之间的协调，最后都归结为母线电压稳定的问题。母线电压是三个端口能量吞吐的中枢：光伏输入多了母线电压就升高，逆变器要多往电网送电或者加大电池充电功率把母线拉下来；电网断电时母线电量少了，就要靠电池补。母线电压控制环的带宽通常不高，但它是系统级稳定性的关键，PID参数不合适时，三个端口会互相“抢能量”，表现出来就是母线电压低频振荡。调试时务必先用示波器看母线电压的环路响应，再决定每个端口各自的内环参数，别一上来就盲目加PI增益。
4.3 电网锁相：过零检测只能做备份，软件PLL才能上强度
并网控制需要知道电网电压的实时相位，用来做dq变换和电流指令合成。早期产品常用过零检测加定时器捕获，每个周期抓一个过零点，然后按50Hz匀速推算相位。这个方案在电网质量好的时候能用，但电网谐波大、频率波动快或者电压跌落时，过零检测会产生抖动甚至误触发，锁相环相位就会失真。
现代工程实现普遍用软件锁相环，比如SOGI-PLL（二阶广义积分器锁相环）。它在静止坐标系下构造一个正交虚拟信号，通过PI调节器把电网电压的q轴分量调节到零，从而跟踪实时相位。SOGI本身是一个带通滤波器，对谐波有一定抑制能力，配合PI可以做到几个工频周期内收敛。在STM32上实现SOGI-PLL也就是在每个采样周期跑一次二阶滤波器加一次PI，几十微秒的运算量，对F103都算不上压力。电网频率的测量倒是可以用定时器捕获来做，用于频率保护和电网异常判断，但相位跟踪的重任必须交给软件PLL，这个分工组合是我比较推荐的架构。
4.4 实时性设计：控制环放中断，业务逻辑放任务
光储逆变器的控制实时性要求非常高，电流内环周期通常在50到100微秒之间，电压外环在1到10毫秒之间。电流内环必须用定时器中断或者ADC中断来调度，不能放在操作系统的任务里跑，因为任务调度的抖动会直接反映在电流波形上。如果用了FreeRTOS，我建议把控制环拿到中断上下文去执行，或者给控制任务设置最高优先级并禁止时间片轮转，保证一到周期就立刻执行。
其他业务逻辑——通信解析、状态上报、按键扫描、显示刷新——放在主循环或者低优先级任务里就可以了。这些逻辑的响应哪怕是几十毫秒，对系统稳定性几乎没有影响。中断里只做采样、控制运算和PWM更新，不做串口打印、不做CAN发送，更不做阻塞等待。很多人在中断里加了teatime的浮点运算导致中断时间过长，后续所有任务都被拖慢，这一点要特别注意。
关于M3和M4的选择，如果项目还在选型阶段，建议直接选带FPU的M4或M7内核，比如STM32F334、G474、F407或者H7系列。三相并网控制里涉及大量的Clarke、Park变换和PI运算，没有FPU的话浮点计算会吃掉大量CPU周期，控制周期做短就很难了。F334这类带高分辨率定时器（HRTIM）的型号尤其适合光储这种对PWM精度要求高的场景，输出分辨率能到几百皮秒，比普通定时器强很多。预算允许的话，控制板选型优先看这几个系列，而不是盯着F103不放。
5. 调试手记与问题排查：那些datasheet上查不到的坑
这节内容全部来自实战。我不打算系统性地教某个模块怎么用，那东西看参考手册就行。我想分享的是几个我在光储项目中真实遇到过、排查了很久才定位的问题，每个问题都对应一条可以复用的经验。
5.1 ADC多通道切换时数据串扰
现象：母线电压采样值和实测值偏差大，尤其当ADC序列里前一通道是高电压信号时。排查到最后发现是通道切换后采样电容没有充分建立电压——STM32的ADC在通道切换后，内部采样电容需要时间充电到目标电压，如果采样时间配的过短，前一通道的残余电荷会残留，造成“串扰”。
解决：一是把各通道的采样时间配置至少到2.5个周期以上，二是把无关紧要的通道排在后面，优先保证关键通道的精度，三是用DMA循环采集并丢弃每次序列的前两次结果，让采样电容充分稳定。如果硬件允许，关键信号（母线电压、两路电流）建议用同一个ADC的不同注入组，利用注入通道的独立采样时间配置，干扰可以压到最低。
5.2 CAN通信跑着跑着“失联”
现象：系统运行几小时后，上位机突然收不到数据，重新上电又好了。用CAN分析仪抓总线，发现器件进入bus-off状态。原因通常是总线上连续错误太多，CAN控制器自动离线。背后的诱因往往是总线上某个节点的时钟偏差过大，或者终端电阻匹配不良，反射导致位错误累积。
解决：CAN波特率不要卡在极限值，预留余量；终端电阻严格检查；收发器地线必须和总线共地，隔离方案也要保证两侧地电位在安全范围。软件上必须做bus-off恢复，STM32的bxCAN有主动恢复模式，但恢复之后要做状态同步，把自己节点重新接入由外部主机发现。之前项目里做的方案是：bus-off后先等50ms，然后恢复通信，恢复之后先发一帧优先级最高的“节点上线”报文通知主机，让主机重新分配发送任务。注意不要在bus-off期间频繁重发，越急越乱。
5.3 定时器延时函数突然卡死
现象：程序里用HAL_Delay或者自己写的while延时，运行一段时间后卡死在延时函数里，看门狗把系统复位。排查发现SysTick的中断被另外一个更高优先级的中断长期挤占，或者SysTick的重装载值被某个库函数改掉了。更多的情况是：在ADC中断里调用了延时函数，而ADC中断的优先级高于SysTick，SysTick一直得不到执行，延时函数永远数不完。
解决：第一，中断服务函数里绝对不要调用延时函数；第二，如果确实需要延时，用DWT计数器做延时，DWT是内核调试单元，不受SysTick优先级影响，精度高而且不会卡死；第三，SysTick的优先级不要设成最低，至少在定时器中断和ADC中断之下，保证系统的时基不能被极端情况饿死。DWT延时的实现网上很多，代码就几行，值得封装成工具函数存到自己的库里。
5.4 按键处理：光储设备的人机交互比想象中烦人
现象：设备面板上的按键，按下之后程序要么没反应，要么一次按了两次。这是因为按键抖动没有正确处理。光储设备的按键往往直接接在长线缆上，感应到的工业干扰比玩具键盘严重得多。
解决：按键扫描不要在主循环里忙等，放一个10ms的定时器中断扫描。扫描逻辑用状态机：读到低电平进入“可能按下”状态，连续两次都低电平才确认为有效按下，释放也一样做两次确认。按键消抖时间要超过振荡周期，实践上20ms比较稳妥。长按和短按属于给用户的功能，可以通过记录按下持续时长区分，一般短按300ms以内，长按1秒以上，系统别在中断里解析长按逻辑，只记录事件，主循环里根据事件执行动作。另外，按键电路上最好加一个RC滤波和二极管防护，软件消抖解决不了所有问题，硬件上先挡住一大半干扰，后面会省心很多。
5.5 打印日志淹没控制节奏
现象：系统运行基本正常，但只要打开串口调试日志，电流波形马上出现毛刺，逆变器甚至触发过流保护。原因是日志打印阻塞了主循环，或者串口中断占用了太多CPU时间，导致控制周期被拉长，PI控制器在一个周期内执行了两次甚至三次运算，输出突变。
解决：日志输出加节流。一是按时间节流，比如每200ms只输出一帧调试数据；二是按内容节流，用环形缓冲区异步打印，中断填缓冲区，主循环低优先级任务负责真正发送；三是最狠的做法，调试模式下关掉控制环，只输出开环测试数据，避免日志干扰真实控制。我在自己项目里采用的方案是：正常模式下只输出错误和告警，调试模式下用命令行主动开启详细日志，并且日志通过DMA发送，不占用CPU——这个组合目前用下来基本没有副作用。
5.6 浮点运算性能不足导致的控制周期毛刺
现象：用STM32F103做三相并网控制，控制周期写的是100微秒，实际用GPIO翻转测试发现周期抖动达到30%以上，电流波形自然也不干净。原因是M3没有FPU，Clarke变换和PI运算的浮点库调用开销太大，再加上中断里可能有隐式类型转换，CPU在某个采样点瞬间算不过来，下溢事件被拖后，PWM更新就发生了抖动。
解决：选型时优先带FPU的M4/M7；代码里如果实在要跑在M3上，把坐标变换里的三角函数用查找表替代，浮点运算改造成Q格式定点运算。还有一个容易忽略的点：整个控制中断代码块里的全局变量尽量声明为volatile，避免编译器优化掉重复加载，这个虽然影响不大但积少成多。引脚翻转测中断延时的办法建议常驻调试代码里，软发布版本里可以留着，排查偶发性毛刺时特别有用。
5.7 PID参数整定：示波器比凭感觉快
控制环参数整定这块，很多新手喜欢用理论公式算一遍，然后直接填参数试机。但功率电路的参数受到母线电容ESR、电感饱和特性、滤波电容寄生参数影响，理论计算值和实际差个两三倍都很正常。我的做法是从小PI增益开始，先让系统稳定不振荡，然后慢慢加大P，观察母线电压或电流波形直到出现轻微振荡，再回退一点；之后加大I，消除稳态误差，同样以波形临界振荡为参考。
整定过程中一定要用示波器看控制量输出，比如电流环的PI输出就是调制波，如果调制波上下饱和，说明增益过大或者母线电压不够。如果调制波形平滑但电流波形畸变，大概率是采样问题而不是PI问题，先回头查采样，别在参数上反复浪费时间。这个“先波形后参数”的排查顺序，能帮你少走很多弯路。
6. 写在最后：把系统装进脑子里
从事光储逆变器开发这几年，我最大的体会是：如果一个工程师只是把自己定位成“写MCU程序的”，那他大概率会在系统联调时被各种跨模块的诡异问题折磨到怀疑人生。但如果能从“我做的是一台受控电源”这个角度去理解整个项目，很多设计决策会变得非常自然——采样时机跟着PWM走，保护层次从硬件到软件逐级递进，状态切换优先考虑能量流向是否安全，通信和业务逻辑主动避开控制周期。
最后分享一个实用的小技巧。调试光储逆变器时，强烈建议在硬件设计阶段就预留两路DAC，或者用两路PWM经过RC滤波引出模拟信号，把母线电压和一路电流的内部控制量实时输出给示波器。这样你能同时看到功率波形和内部控制量，两者对照，问题定位速度会快得惊人。这个预留电路成本不到十块钱，但对开发调试效率的提升是巨大的。这个项目往后走，还可以把单向逆变升级成双向储能变流，把控制算法从PQ控制扩展到虚拟同步机，底层这套“电源思维”的软件框架不需要推倒重来，这正是我坚持从电源本质去理解光储逆变器的原因。