关于家电软件评估-1

neutron

广东安规检测
有限公司提供：

小型摆管淋雨试验机

IPX5X6X7喷水试验机

1000L恒温恒湿箱

各种试验指现货

可程式恒温恒湿试验箱

水平垂直燃烧机

自动卷线器试验机

耐划痕试验机

各种灯头量规现货

灼热丝试验机现货

GB1002插头量规

IPX1-X7淋雨现货

IEC61347/UL935镇流器热试验箱

灯具防风罩

IK冲击试验机

UL498插头插座量规

VDE0620插头插座量规

稳定性试验台

家电温升测试角

针焰试验机现货

热电偶焊机现货

家电125mm试验指

E12灯头量规

无绳壶无绳电熨斗插拔寿命试验机

IEC60335试验指甲

现在有时间了，发一些关于家电软件评估的主题，欢迎大家一起讨论。

1. 软件评估的来源
IEC 60335-1:2004 （Ed.4.0:2001+A1:2004）《家用和类似用途电器的安全 第一部分 通用要求》第4.1版增加了“附录R 软件评估
6 w5 R0 [8 v5 f7 t
”和三个相关定义（3.9.3/3.9.4/3.9.5）。
! f9 B* E7 _) a9 X
IEC 60335-1:2006（Ed.4.2）对附录R做了修改。

; x+ j& |9 W; i; W9 w: KIEC60335-1 I-SH 01:2007对22.46做了解释，没有任何实质性变化。
" y) U7 S+ n- G
' ^6 Z/ k) Z& R. `, ZIEC60335-1：2010 Ed.5.0对此作了全面的修改。取消了B/C类软件的分类，在通用要求中只提出了表R1的控制措施要求，相当于针

对B类软件；R2要求相当于C类软件。
- M  z9 w- K  {: g: l7 v* T, e+ ]
标准的变化反映了IEC TC61这帮电工们对软件评估这类现代技术不熟悉，但在逐渐改善。

) e) D7 Y6 ~3 H( n- |目前国内使用的版本是GB4706.1-2005，相当于IEC60335-1：2001 + A1:2004。

在CB认证中，按照IEC60335-1：2001 + A1:2004 +A2:2006；在3C认证中，具体实施软件评估时，对GB4706.1-2005做偏离说明，否则乱做多做对企业和工程师都无益。

2. 那些家电需要软件评估

3 T+ R; _1 j: K# d9 d内嵌可编程电子电路（PEC），就是单片机，用保护功能，就叫可编程保护电子电路，

保护功能：例如过热、爆炸、燃烧、电磁辐射、机械损伤，等等。
  b! I1 F+ \) L0 g! h, C: |  x
目前看主要是电磁灶、微波炉、部份智能洗衣机、部份贮水式热水器、变频空调器，等等。

" s. Q* G7 Y! r" k
1 H, o: S+ \8 L: ?  ?0 U顺便说，由于软件评估费时费力，是不是能够绕开？

回答：能！

' H( h6 |5 \: _0 s! }+ K4 U/ q就是不考虑软件控制的保护功能。

% o" Z! O5 w( `$ P3 ^但是，按照19.11.3的要求，就要进行double faults故障模拟，即要增加相当于软件控制的保护功能的硬件，可以实现，但很难成

' T' X% V4 y& V8 K& |功。

（335-1 ed.4.1）19.11.3如果器具装有使器具符合第19章要求的保护电子电路，则按19.11.2 中a）~f）的要求，相关试验以模拟
, P% Q  T; ?$ O
5 d. ]5 i' x8 D* p7 `( i# \  T7 A单一故障的方式重复进行。
; G) e9 t9 w3 |8 _: s% N
4 Z5 R1 ^5 s; Ied.4.2有个g）failure of an electronic power switching device in a partial turn-on mode with loss of gate (base)
# s8 R% }: J2 F$ g) Y
control. During this test, winding temperatures shall not exceed the values given in 19.7.

  a7 q+ z9 o) N( E9 H) a/ k以这条要求考核目前家电功率开关管的电路结构，基本上都不合格。



4 [$ ?9 @3 M6 L3. 要求

以目前使用的标准IEC60335-1：2001 + A1:2004 +A2:2006
0 C$ F$ i# k  {' D9 ?& w9 }
! d) [/ y7 ]) V0 |' i/ ^) [0 p0 X在第22章 结构 第22.46条：在保护电子电路中使用的软件，应为B类或C类软件。依据附录R通过软件评估确定其是否合格。

. c3 k2 U0 @6 ]$ g9 s/ B0 c软件评估按照附录R要求进行，评估方法和流程程序采用了IEC 60730-1（GB14536.1）《家用和类似用途电自动控制器 第1部分：通
7 k) _0 z, ~$ q& Y
  }/ U) d4 p1 }- h. v- ^. y  Z- p用要求》的附录H。
* R6 _- l3 o- Q2 K1 K
& O9 l' L5 X  m. w2 R3.9.3保护电子电路protective electronic circuit
4 A- c3 f* ]6 Y2 @; m防止非正常运行状态下出现危险的电子电路。
6 I" V; A; I( L& U9 t  a/ y" d注：电路中的部分也可以起到功能作用。


4 Y, e- X- u8 E3 p8 m7 v3.9.4 B级软件software classB
: F: L6 b. {; m# [含有代码的软件，用于防止器具由于非软件故障而引起的危险。
5 d" u7 W7 c, J. Z6 V4 n# f) l* J

3.9.5 C级软件software classC
含有代码的软件，用于防止没有使用其他保护装置时出现的危险。
6 Y. @9 Z6 w- I- l/ W$ A
# [  D2 k/ R8 @& [; U注意这个Ed.4.2与GB4706.1-2005版有不一致的地方
! U' K5 ]& j; m1 QAnnex R
% \! o. D! @, k$ i' C(normative)
Software evaluation
+ G  U" K  c# Y* qSoftware shall be evaluated in accordance with the following clauses of Annex H of
3 A# T. x6 e4 a' I5 jIEC 60730-1, as modified below.
H.2 Definitions
( g* [3 C, U/ w% @Only definitions H.2.16 to H.2.20 are applicable.
+ U5 w1 }, X7 u8 T  z9 ^# sH.7 Information
Only footnotes 12) to 16) and 18) of Table 7.2 are applicable.
In footnote 15), replace “the requirements of 17, 25, 26 and 27” by “19.13 of IEC 60335-1”
4 o6 n0 R, n( O6 X; j9 b0 Gand replace “H.27” by “19.11.2 of IEC 60335-1”.
H.11.12 Controls using software
  G: U8 n& h* W! v& d! AAll of the subclauses of H.11.12 as modified below are applicable, except subclauses
3 _7 m. P8 |0 b% {2 \* CH.11.12.6 and H.11.12.6.1 which are not applicable.
In the second paragraph, replace “required in items 66 to 72 inclusive” by “referred to in
+ z% a9 F  h. nfootnotes 12) to 16) and 18) inclusive”.
2 ]4 A/ A2 q3 l' M+ O$ S. [H.11.12.7 Delete “and identified in table 7.2, requirement 68”.
' \# I- F$ O$ C6 t- ^H.11.12.7.1 Replace the text by the following:
* u/ n# E8 ~& d4 O' ?6 TFor appliances using software class C having a single channel with self-test and monitoring
" ?5 l+ j+ s0 K9 S4 t$ a6 _! t" Nstructure, the manufacturer shall provide the measures necessary to address the fault/errors
in safety related segments and data indicated in Table H.11.12.7-1.
5 ^+ ^# _* }: }+ aH.11.12.8 Replace the text by the following:
Software fault/error detection shall occur before compliance with 19.13 of IEC 60335-1 is
impaired.
- e% W0 J7 _7 c/ g5 b2 m0 G$ g* aH.11.12.8.1 Replace “result in the response declared in table 7.2, requirement 72” by “occur
before compliance with 19.13 of IEC 60335-1 is impaired”.
H.11.12.13 Replace the text by the following:
The software and safety related hardware under its control shall initialize and terminate
* _; D# M, i5 y* y, g7 w% Z3 tbefore compliance with 19.13 of IEC 60335-1 is impaired.

neutron

4. 家电软件评估——评估什么？
# \9 t1 X9 ^& X3 ^' U# [
, a- H7 D$ }  k2 h  \0 C目前许多人都是糊涂的：软件评估什么？了解软件评估的以为是黑盒白盒测试，其实跟黑盒测试毫无关系。
) i7 |4 q9 {7 c2 t
先看IEC60335标准的目标：就是保证家电的安全使用；

有了电子电路，就要按照19.11.2测试，检查电路故障情况下安全是否得到保障；
: {$ y* M/ q* F; L9 r2 M& b
如果有保护电子电路，在19.11.2试验中它就要起作用；

- j) D- a! u1 u在19.11.3中还要对保护电子电路进行故障模拟，同样是检查安全是否得到保障；当故障模拟试验进行到19.11.2的a）～f）时，由于同时要进行19.11.3的a）～f）故障模拟，这就出现了double faults状态；
  H& }. ?; q3 q6 e% }$ h
如果保护电子电路使用的是可编程电子电路PEC，上述测试就是黑盒测试，检查安全保护功能是否完善。

这些保护功能相当于一个安全卫士，通过了19.11.2和19.11.3的测试，说明这个卫士称职；
% N" X& g4 U2 Z) d. r  M9 w6 T
5 B3 w" b& ]$ k7 l! v问题来了，这个卫士称职归称职了，但要是他的身体状况不咋地，不能保证及时处理不安全现象，就不能保证安全功能及时实现，就是称职而不胜任；
6 V+ Z, c6 H& f' o8 _3 T2 s: ~# r( _
& i. m2 b% t5 N( x- y这个时候就要对这个卫士进行体能评估，就要考虑他万一缺胳膊少腿中毒脑残怎么办，这就是软件评估的主要内容：控制故障/错误的措施。

3 X9 [7 C! a: W2 S; r' x故障/错误的发生地指的是智能控制器内部硬件，不是其它。对于单片机构成的控制器，就是要考虑哪个硬件出了问题，软件控制程序内应有保障器具使用安全的措施。

tianchi0305

不是很清楚

af204

很不错的内容，对软件评估这块，还不是很清楚，比较了解有兄弟可以多多介绍一下这方面的

bill.z

以本人经验，软件保护只能辅助性保护，真正的单一故障异常时此保护就不起作用啊！

安老盖

软件评估目前在国内都是一个盲点，真正有作而且做的好的，不知道有没有？

neutron

5. 家电安全功能软件——结构设计
. P" c; x6 H: `" b1 D
要软件实现安全控制功能，同时要软件能够运转流畅，就要在设计阶段把好关，即避免错误的措施。
/ y* [' Q4 v; ^6 [) X. V) y
这方面在目前的标准中提得笼统，下面介绍Ed.5.0的要求。
9 ]8 X; f& v) d) o/ z
软件安全要求规范应包括：
3 J4 a5 G$ H6 F9 N4 F1 `——每个要执行的安全相关功能的描述，包括响应时间：
    ——涉及应用的功能，包括相关软件类别；
; J$ T; _6 r! \1 D    ——涉及检测、公布和管理软件或硬件故障的功能；
. z( R" D: N2 ?——软件和硬件之间接口的描述；
——任何安全相关功能和非安全相关功能之间接口的描述；
——任何用于把源代码生成目标代码的编译器的描述，包括用于像库函数选项、存储模式、优化方法、SRAM细节、时钟等级及芯片细节的编译器开关设置的细节。


软件结构规范应包括下列方面：
——控制软件故障/错误的技术和措施（参见R.2.2）。
——硬件与软件之间的相互作用。
+ `+ i6 y  @0 J——分成模块和指定安全功能的分配。
——模块的层与调用结构（控制流）。
0 O; ~- u' W9 s9 u: b& F2 ~  q——中断处理。
——数据流及数据存取限制。
' k4 l  u7 X1 H) c6 T; n1 b8 H——数据结构与存储。
! q$ m' o2 B$ j0 A——顺序和数据相关性的时间
3 O1 M& u1 b2 U  M
在评估过程中需要提供符合上述要求的证明文件，一般是利用下属框图来说明的：
8 u" A3 M0 g5 C  L——逻辑/功能块框图、
——顺序框图、
——有限态机/状态转换框图、
; j6 [  b/ n  e+ q, ?; J——数据流框图
4 |0 y; y7 S9 m$ p, \9 o
$ g3 y& z& y  v' T' C, t/ P3 w
软件的功能需要模拟或刺激测试试验：
——正常操作期间出现的输入信号，
6 p0 D5 g1 i% c8 e——预料发生的现象，
9 D" z, o  N: ^, p1 `4 U& _——要求系统动作的不希望的情形。
. [! Y- ?; @4 }& t% K4 [
; s/ `/ ~( }4 N% \; f. R, |目前，对大多数企业来说，由于条件限制，采用仿真器或直接使用产品无法实现这些模拟实验，可行的方法还是软件模拟。

neutron

引用第5楼bill.z于2010-02-21 13:30发表的  :
7 ^% a7 L- b& I! p以本人经验，软件保护只能辅助性保护，真正的单一故障异常时此保护就不起作用啊！

2 W( J$ W: J- O5 M" q& Z" `/ W软件保护功能是产品的保护功能之一，仔细看看19.11.2和19.11.3就会明白，单靠软件一路控制保护功能是不够的。

neutron

引用第6楼安老盖于2010-02-21 14:19发表的  :
软件评估目前在国内都是一个盲点，真正有作而且做的好的，不知道有没有？

以往的测试经验在这里部分有用，就是非正常测试，提示安全功能是否到位，涉及软件分析评估就是另一个领域了，电工知识和经验不太容易入门。

neutron

6. 控制软件故障/错误的技术和措施

6 r0 e; r$ ^$ i- F2 L; a3 q这是考虑软件运行期间遇到故障/错误怎么办的问题。
, {( D9 y+ |1 k' ~
所谓故障fault，基本上是有单片机内部元器件问题引起软件工作不正常，通常划归为两种：stuck-at滞位和DC故障。

error，不是中文中“错误”的意思，这是翻译问题，应该称作“偏离”，即偏离正常值的一种现象，常见的如ADC/CDA转换。

% V) ]  b( i" ~- e' `8 ]. D: {4 u# Y8 bstuck-at故障就是电路不能正常反转，粘滞在某个电平的现象；
0 f" m& H+ x( d, l7 T1 q, y
7 I/ w( p& G& i6 WDC=direct current 故障，也是一种stuck-at故障，一种短路故障，短路中的电平会发生变化，取决于哪根短路线强势。
; X* M5 b4 q" Z( u
% |& w6 j/ y! W9 P" t0 b: i一般软件设计人员不会考虑这些故障的，所以程序中不存在控制措施。

控制措施的作用就是，当软件运行中遇到这些故障/错误时，为了保障产品安全，即应当及时处理这些故障/错误，就是该断路就断路、该停机就停机，不要让危害发生。
8 M: B, ]  ^' n  U5 x2 R: [% A
这就是标准对软件的要求。