关于家电软件评估-1

neutron

广东安规检测
有限公司提供：

小型摆管淋雨试验机

IPX5X6X7喷水试验机

1000L恒温恒湿箱

各种试验指现货

可程式恒温恒湿试验箱

水平垂直燃烧机

自动卷线器试验机

耐划痕试验机

各种灯头量规现货

灼热丝试验机现货

GB1002插头量规

IPX1-X7淋雨现货

IEC61347/UL935镇流器热试验箱

灯具防风罩

IK冲击试验机

UL498插头插座量规

VDE0620插头插座量规

稳定性试验台

家电温升测试角

针焰试验机现货

热电偶焊机现货

家电125mm试验指

E12灯头量规

无绳壶无绳电熨斗插拔寿命试验机

IEC60335试验指甲

现在有时间了，发一些关于家电软件评估的主题，欢迎大家一起讨论。
% z) L5 c; i# ~$ y" v
1. 软件评估的来源
$ g* {- O! |* R4 _( jIEC 60335-1:2004 （Ed.4.0:2001+A1:2004）《家用和类似用途电器的安全 第一部分 通用要求》第4.1版增加了“附录R 软件评估
" A" g& }# A6 p9 m1 H* M6 j
8 G$ S% R& Z+ _”和三个相关定义（3.9.3/3.9.4/3.9.5）。
5 D  c3 D( M3 q
4 a% [* |; ~; ^4 {9 EIEC 60335-1:2006（Ed.4.2）对附录R做了修改。

IEC60335-1 I-SH 01:2007对22.46做了解释，没有任何实质性变化。

( O6 h5 o% B0 U4 W) S! H; n8 rIEC60335-1：2010 Ed.5.0对此作了全面的修改。取消了B/C类软件的分类，在通用要求中只提出了表R1的控制措施要求，相当于针

对B类软件；R2要求相当于C类软件。

! Q" B# r% b; r% x  |3 }1 `! I标准的变化反映了IEC TC61这帮电工们对软件评估这类现代技术不熟悉，但在逐渐改善。

% N! ]! t; F$ p4 C0 l目前国内使用的版本是GB4706.1-2005，相当于IEC60335-1：2001 + A1:2004。
0 H  [* b- r% K9 h, V
在CB认证中，按照IEC60335-1：2001 + A1:2004 +A2:2006；在3C认证中，具体实施软件评估时，对GB4706.1-2005做偏离说明，否则乱做多做对企业和工程师都无益。
+ O. n+ O* W. d$ D
2. 那些家电需要软件评估
1 I0 b5 C# L! a4 W( g% I: [1 p/ c) Z
内嵌可编程电子电路（PEC），就是单片机，用保护功能，就叫可编程保护电子电路，
3 [& Q. W! C7 y) v  E  E
保护功能：例如过热、爆炸、燃烧、电磁辐射、机械损伤，等等。
% l# H" k: p" {3 U" Q2 A+ s) P
目前看主要是电磁灶、微波炉、部份智能洗衣机、部份贮水式热水器、变频空调器，等等。

( ^2 `& D$ }8 l* e
顺便说，由于软件评估费时费力，是不是能够绕开？
& B! Q4 c( a7 d( S
6 G/ Q: M% ?$ d0 f) h回答：能！
- o3 z4 t9 z4 Z- h! w4 {
就是不考虑软件控制的保护功能。

但是，按照19.11.3的要求，就要进行double faults故障模拟，即要增加相当于软件控制的保护功能的硬件，可以实现，但很难成

功。
3 d* D, z  N* \# @
（335-1 ed.4.1）19.11.3如果器具装有使器具符合第19章要求的保护电子电路，则按19.11.2 中a）~f）的要求，相关试验以模拟

单一故障的方式重复进行。
+ W4 N7 i" n4 \; A9 X
ed.4.2有个g）failure of an electronic power switching device in a partial turn-on mode with loss of gate (base)

control. During this test, winding temperatures shall not exceed the values given in 19.7.

# P* U3 }1 U* W" R0 q以这条要求考核目前家电功率开关管的电路结构，基本上都不合格。

( z8 q0 v! }3 ]3 D

3. 要求

! e; F$ c$ P! A4 [; c, R以目前使用的标准IEC60335-1：2001 + A1:2004 +A2:2006

  t+ p9 A9 O# I* {' \* v" B在第22章 结构 第22.46条：在保护电子电路中使用的软件，应为B类或C类软件。依据附录R通过软件评估确定其是否合格。
" k8 S' H& C. a% L  G' M9 C
软件评估按照附录R要求进行，评估方法和流程程序采用了IEC 60730-1（GB14536.1）《家用和类似用途电自动控制器 第1部分：通
2 B! Q( ^: G) r# B
用要求》的附录H。

3.9.3保护电子电路protective electronic circuit
: I, x7 C2 W6 I; t防止非正常运行状态下出现危险的电子电路。
1 u# U! _$ M, E注：电路中的部分也可以起到功能作用。


+ |# Q1 R7 K* U7 {0 c3.9.4 B级软件software classB
含有代码的软件，用于防止器具由于非软件故障而引起的危险。


3.9.5 C级软件software classC
+ G: f3 K# S4 N; ?5 `. o! q4 c+ g含有代码的软件，用于防止没有使用其他保护装置时出现的危险。
& _/ m/ E& f; Z2 \5 q( @, W
注意这个Ed.4.2与GB4706.1-2005版有不一致的地方
Annex R
6 ]5 v& P. R% Q  }  G(normative)
. U1 D2 b3 N7 ]# sSoftware evaluation
Software shall be evaluated in accordance with the following clauses of Annex H of
$ p4 G5 @, I/ a, ?5 p! x/ t" M$ ^3 fIEC 60730-1, as modified below.
H.2 Definitions
/ I1 v! }3 J' K3 g1 |) xOnly definitions H.2.16 to H.2.20 are applicable.
H.7 Information
Only footnotes 12) to 16) and 18) of Table 7.2 are applicable.
In footnote 15), replace “the requirements of 17, 25, 26 and 27” by “19.13 of IEC 60335-1”
  O+ {" v0 q; q/ n. S3 yand replace “H.27” by “19.11.2 of IEC 60335-1”.
" ^, N7 N. ]# j% kH.11.12 Controls using software
All of the subclauses of H.11.12 as modified below are applicable, except subclauses
. g1 e( H  o8 w* xH.11.12.6 and H.11.12.6.1 which are not applicable.
In the second paragraph, replace “required in items 66 to 72 inclusive” by “referred to in
footnotes 12) to 16) and 18) inclusive”.
H.11.12.7 Delete “and identified in table 7.2, requirement 68”.
  N6 h9 k# U# ~& J, GH.11.12.7.1 Replace the text by the following:
For appliances using software class C having a single channel with self-test and monitoring
: I+ [+ S. ?4 ~  P0 C' q' H8 Dstructure, the manufacturer shall provide the measures necessary to address the fault/errors
in safety related segments and data indicated in Table H.11.12.7-1.
H.11.12.8 Replace the text by the following:
Software fault/error detection shall occur before compliance with 19.13 of IEC 60335-1 is
impaired.
% Z: N# g1 \3 T* L" U5 A( @H.11.12.8.1 Replace “result in the response declared in table 7.2, requirement 72” by “occur
* H; \3 Z. u7 u/ Vbefore compliance with 19.13 of IEC 60335-1 is impaired”.
' S/ V8 s) Q3 a6 y$ vH.11.12.13 Replace the text by the following:
9 O# Q0 c) f' m2 h! ~9 q: k1 WThe software and safety related hardware under its control shall initialize and terminate
before compliance with 19.13 of IEC 60335-1 is impaired.

neutron

4. 家电软件评估——评估什么？
: H; v) ?: j& |9 g, u
; g7 y9 T( [# L目前许多人都是糊涂的：软件评估什么？了解软件评估的以为是黑盒白盒测试，其实跟黑盒测试毫无关系。

先看IEC60335标准的目标：就是保证家电的安全使用；
; ^$ z, Y/ ~0 a6 X
$ K% `7 K1 m9 \) z1 E有了电子电路，就要按照19.11.2测试，检查电路故障情况下安全是否得到保障；
  T% V) F7 Z/ L0 K- ~; s
4 {# `" M$ P! O! c: a! d' |如果有保护电子电路，在19.11.2试验中它就要起作用；
0 k8 D7 c# ~: u0 w1 T6 Y
在19.11.3中还要对保护电子电路进行故障模拟，同样是检查安全是否得到保障；当故障模拟试验进行到19.11.2的a）～f）时，由于同时要进行19.11.3的a）～f）故障模拟，这就出现了double faults状态；
" x' x9 c, X. j2 f7 j3 m9 P9 I2 p
- e4 h6 ~+ J' R* g/ J) L- k' K" B如果保护电子电路使用的是可编程电子电路PEC，上述测试就是黑盒测试，检查安全保护功能是否完善。
9 O7 {+ O8 l, M5 R; R- w5 O
这些保护功能相当于一个安全卫士，通过了19.11.2和19.11.3的测试，说明这个卫士称职；

* B0 k* D' S# V- M  c问题来了，这个卫士称职归称职了，但要是他的身体状况不咋地，不能保证及时处理不安全现象，就不能保证安全功能及时实现，就是称职而不胜任；
5 h$ V4 F& [% }: |- w4 j
这个时候就要对这个卫士进行体能评估，就要考虑他万一缺胳膊少腿中毒脑残怎么办，这就是软件评估的主要内容：控制故障/错误的措施。

故障/错误的发生地指的是智能控制器内部硬件，不是其它。对于单片机构成的控制器，就是要考虑哪个硬件出了问题，软件控制程序内应有保障器具使用安全的措施。

tianchi0305

不是很清楚

af204

很不错的内容，对软件评估这块，还不是很清楚，比较了解有兄弟可以多多介绍一下这方面的

bill.z

以本人经验，软件保护只能辅助性保护，真正的单一故障异常时此保护就不起作用啊！

安老盖

软件评估目前在国内都是一个盲点，真正有作而且做的好的，不知道有没有？

neutron

5. 家电安全功能软件——结构设计
6 O. E* S, L' Q) g4 v) Y
4 n( u7 y6 k1 j  H8 }( C" }7 o要软件实现安全控制功能，同时要软件能够运转流畅，就要在设计阶段把好关，即避免错误的措施。

( N- I  y$ m  h  C0 P7 e  w: Y8 \这方面在目前的标准中提得笼统，下面介绍Ed.5.0的要求。

软件安全要求规范应包括：
——每个要执行的安全相关功能的描述，包括响应时间：
    ——涉及应用的功能，包括相关软件类别；
: d$ n& W- d+ g5 |" ]1 a2 i" A    ——涉及检测、公布和管理软件或硬件故障的功能；
——软件和硬件之间接口的描述；
——任何安全相关功能和非安全相关功能之间接口的描述；
——任何用于把源代码生成目标代码的编译器的描述，包括用于像库函数选项、存储模式、优化方法、SRAM细节、时钟等级及芯片细节的编译器开关设置的细节。

3 S8 a* j- ^7 ?! ?- g! [4 m
0 _& G& C  H1 H4 p8 Q' R7 q/ _5 \软件结构规范应包括下列方面：
4 Q) o; ^- r) X1 Q' c! R8 J——控制软件故障/错误的技术和措施（参见R.2.2）。
8 j  I, F0 B! Q0 x( T; [  F6 a0 W- o" [——硬件与软件之间的相互作用。
- M) U6 D0 }% O8 {& X——分成模块和指定安全功能的分配。
——模块的层与调用结构（控制流）。
4 Z& R  G* V  @# `3 a  D5 I0 Q——中断处理。
! F8 a0 R/ ?+ K! Z——数据流及数据存取限制。
: q8 y) t( @8 g) B2 [6 o5 Q——数据结构与存储。
. X; {& v: X/ G+ C/ J7 e) v. N——顺序和数据相关性的时间
4 q( ~) y7 G7 ~* S
' k  v9 p8 @, Z+ ?5 C% d在评估过程中需要提供符合上述要求的证明文件，一般是利用下属框图来说明的：
——逻辑/功能块框图、
" q9 g' E* l2 Q6 ~1 v. O  r, d——顺序框图、
  m" W1 J/ X6 ]* W6 H9 e; \——有限态机/状态转换框图、
7 H9 _/ s* g6 I9 _" P——数据流框图

# h" e0 e( i& L, q
软件的功能需要模拟或刺激测试试验：
; i) i9 v1 `3 l! W——正常操作期间出现的输入信号，
2 O+ i* G( @* b. ~4 }7 z——预料发生的现象，
& ^0 u$ y; @0 D' |0 k——要求系统动作的不希望的情形。

7 b7 ^7 k0 h& m" u& }目前，对大多数企业来说，由于条件限制，采用仿真器或直接使用产品无法实现这些模拟实验，可行的方法还是软件模拟。

neutron

引用第5楼bill.z于2010-02-21 13:30发表的  :
0 T. S: I4 n: C' r7 g+ g3 B以本人经验，软件保护只能辅助性保护，真正的单一故障异常时此保护就不起作用啊！

' d1 k; l- [3 T3 E软件保护功能是产品的保护功能之一，仔细看看19.11.2和19.11.3就会明白，单靠软件一路控制保护功能是不够的。

neutron

引用第6楼安老盖于2010-02-21 14:19发表的  :
6 c: x2 q- [" j! B9 q  ^软件评估目前在国内都是一个盲点，真正有作而且做的好的，不知道有没有？

  Y2 P( Z6 B2 R
, h, T. _6 Y- E- X: S+ Y以往的测试经验在这里部分有用，就是非正常测试，提示安全功能是否到位，涉及软件分析评估就是另一个领域了，电工知识和经验不太容易入门。

neutron

6. 控制软件故障/错误的技术和措施

这是考虑软件运行期间遇到故障/错误怎么办的问题。

所谓故障fault，基本上是有单片机内部元器件问题引起软件工作不正常，通常划归为两种：stuck-at滞位和DC故障。

error，不是中文中“错误”的意思，这是翻译问题，应该称作“偏离”，即偏离正常值的一种现象，常见的如ADC/CDA转换。

( u" ~0 u; n# L' _) U) Q* Lstuck-at故障就是电路不能正常反转，粘滞在某个电平的现象；

1 S" G( Q) Y2 Q; j1 b% }; h) tDC=direct current 故障，也是一种stuck-at故障，一种短路故障，短路中的电平会发生变化，取决于哪根短路线强势。

: \$ v4 M, a) ~. _1 O一般软件设计人员不会考虑这些故障的，所以程序中不存在控制措施。

$ g2 c3 |  B' l5 C控制措施的作用就是，当软件运行中遇到这些故障/错误时，为了保障产品安全，即应当及时处理这些故障/错误，就是该断路就断路、该停机就停机，不要让危害发生。
% ~/ n$ B  E6 D% B/ \4 v
这就是标准对软件的要求。