关于家电软件评估-1

neutron

广东安规检测
有限公司提供：

小型摆管淋雨试验机

IPX5X6X7喷水试验机

1000L恒温恒湿箱

各种试验指现货

可程式恒温恒湿试验箱

水平垂直燃烧机

自动卷线器试验机

耐划痕试验机

各种灯头量规现货

灼热丝试验机现货

GB1002插头量规

IPX1-X7淋雨现货

IEC61347/UL935镇流器热试验箱

灯具防风罩

IK冲击试验机

UL498插头插座量规

VDE0620插头插座量规

稳定性试验台

家电温升测试角

针焰试验机现货

热电偶焊机现货

家电125mm试验指

E12灯头量规

无绳壶无绳电熨斗插拔寿命试验机

IEC60335试验指甲

小型摆管淋雨试验机

IPX5X6X7喷水试验机

1000L恒温恒湿箱

各种试验指现货

可程式恒温恒湿试验箱

水平垂直燃烧机

自动卷线器试验机

耐划痕试验机

各种灯头量规现货

灼热丝试验机现货

GB1002插头量规

IPX1-X7淋雨现货

IEC61347/UL935镇流器热试验箱

灯具防风罩

IK冲击试验机

UL498插头插座量规

VDE0620插头插座量规

稳定性试验台

家电温升测试角

针焰试验机现货

热电偶焊机现货

家电125mm试验指

E12灯头量规

无绳壶无绳电熨斗插拔寿命试验机

IEC60335试验指甲

现在有时间了，发一些关于家电软件评估的主题，欢迎大家一起讨论。
6 q' T+ b0 i4 q2 E: u! j% h$ O
+ I0 \' @" f( V" l1. 软件评估的来源
IEC 60335-1:2004 （Ed.4.0:2001+A1:2004）《家用和类似用途电器的安全 第一部分 通用要求》第4.1版增加了“附录R 软件评估
6 M% {8 z  i4 x3 B
/ p! T6 A$ [$ r6 B1 T  N+ X”和三个相关定义（3.9.3/3.9.4/3.9.5）。

IEC 60335-1:2006（Ed.4.2）对附录R做了修改。

IEC60335-1 I-SH 01:2007对22.46做了解释，没有任何实质性变化。
0 E# `" G" J; N) j# D) h
$ z4 M6 i" S- w! c2 m+ dIEC60335-1：2010 Ed.5.0对此作了全面的修改。取消了B/C类软件的分类，在通用要求中只提出了表R1的控制措施要求，相当于针

对B类软件；R2要求相当于C类软件。

标准的变化反映了IEC TC61这帮电工们对软件评估这类现代技术不熟悉，但在逐渐改善。

9 [. k' |! B( y) f! A目前国内使用的版本是GB4706.1-2005，相当于IEC60335-1：2001 + A1:2004。
/ G' K3 u0 f5 d' q& R9 r
在CB认证中，按照IEC60335-1：2001 + A1:2004 +A2:2006；在3C认证中，具体实施软件评估时，对GB4706.1-2005做偏离说明，否则乱做多做对企业和工程师都无益。
$ n7 X( d  t! P6 K! w, b" I
2. 那些家电需要软件评估
7 R) w5 i* c) m' u! j3 W5 m
内嵌可编程电子电路（PEC），就是单片机，用保护功能，就叫可编程保护电子电路，
' I$ K+ K/ J6 `! h
保护功能：例如过热、爆炸、燃烧、电磁辐射、机械损伤，等等。

# r: n7 k, ]: H% f( l目前看主要是电磁灶、微波炉、部份智能洗衣机、部份贮水式热水器、变频空调器，等等。
4 G$ S" O3 u+ o6 P' s+ p+ @% M

3 A9 ]) a2 k9 V/ d- \顺便说，由于软件评估费时费力，是不是能够绕开？
# [0 y5 K6 _# g$ b
回答：能！
) J  w- p( i4 D# q
就是不考虑软件控制的保护功能。
9 P, G, s! z4 K% W6 ?% k" ?  D, H
. B/ P( a' e+ b& u* C' X/ d5 {但是，按照19.11.3的要求，就要进行double faults故障模拟，即要增加相当于软件控制的保护功能的硬件，可以实现，但很难成
4 a' y  ]& j) @, O; ?4 j
功。
" h( j' p. b  t
（335-1 ed.4.1）19.11.3如果器具装有使器具符合第19章要求的保护电子电路，则按19.11.2 中a）~f）的要求，相关试验以模拟

单一故障的方式重复进行。
" s7 \0 }  W" o1 e1 q2 Y
) k) ~) \5 ?! O/ |% r+ Zed.4.2有个g）failure of an electronic power switching device in a partial turn-on mode with loss of gate (base)
$ b! q) i7 I5 q; n9 n. F5 Y
control. During this test, winding temperatures shall not exceed the values given in 19.7.

以这条要求考核目前家电功率开关管的电路结构，基本上都不合格。



3. 要求

以目前使用的标准IEC60335-1：2001 + A1:2004 +A2:2006

在第22章 结构 第22.46条：在保护电子电路中使用的软件，应为B类或C类软件。依据附录R通过软件评估确定其是否合格。

软件评估按照附录R要求进行，评估方法和流程程序采用了IEC 60730-1（GB14536.1）《家用和类似用途电自动控制器 第1部分：通
. H) \9 h' D* A0 ?' W# w
5 M5 ]$ F6 F% P, @7 C1 l用要求》的附录H。
7 e, u" h. d/ `/ R& L, O! ^9 i
3.9.3保护电子电路protective electronic circuit
7 d) s5 s8 c+ j2 Q3 F防止非正常运行状态下出现危险的电子电路。
) _* S) I9 J2 Q) H: U: L  S- w注：电路中的部分也可以起到功能作用。
1 r8 ]6 d" G' r/ o" k

+ x# l' ]' `0 o* K+ a" a5 N$ e3.9.4 B级软件software classB
含有代码的软件，用于防止器具由于非软件故障而引起的危险。


3.9.5 C级软件software classC
9 S4 n' f6 F- t% ^" U含有代码的软件，用于防止没有使用其他保护装置时出现的危险。

% N& ?% p, I2 M注意这个Ed.4.2与GB4706.1-2005版有不一致的地方
+ L& ?4 M* Q3 ?* f. R7 n% ^* l1 z; `Annex R
2 J# b7 @* M0 I$ `" Z7 T(normative)
9 T) \% B3 C4 Q1 }Software evaluation
; o% P, ~8 x4 I$ a( ^/ F, aSoftware shall be evaluated in accordance with the following clauses of Annex H of
IEC 60730-1, as modified below.
H.2 Definitions
Only definitions H.2.16 to H.2.20 are applicable.
+ T- g6 n# z0 E, _! eH.7 Information
7 A8 Y/ ?& m; ~+ b. r) g/ YOnly footnotes 12) to 16) and 18) of Table 7.2 are applicable.
In footnote 15), replace “the requirements of 17, 25, 26 and 27” by “19.13 of IEC 60335-1”
and replace “H.27” by “19.11.2 of IEC 60335-1”.
H.11.12 Controls using software
All of the subclauses of H.11.12 as modified below are applicable, except subclauses
H.11.12.6 and H.11.12.6.1 which are not applicable.
' @0 n, C2 P: L3 DIn the second paragraph, replace “required in items 66 to 72 inclusive” by “referred to in
# T+ o; x% b" {- \6 u6 v) sfootnotes 12) to 16) and 18) inclusive”.
H.11.12.7 Delete “and identified in table 7.2, requirement 68”.
" W( R+ W7 l8 s' bH.11.12.7.1 Replace the text by the following:
9 }" F5 v" t' }. zFor appliances using software class C having a single channel with self-test and monitoring
7 y/ y, {9 O4 j( estructure, the manufacturer shall provide the measures necessary to address the fault/errors
% a  V5 X& E6 D: ]* @1 Pin safety related segments and data indicated in Table H.11.12.7-1.
H.11.12.8 Replace the text by the following:
Software fault/error detection shall occur before compliance with 19.13 of IEC 60335-1 is
impaired.
/ Q* ^  E; [) G/ U8 `# `' h+ hH.11.12.8.1 Replace “result in the response declared in table 7.2, requirement 72” by “occur
! f5 i' ]& Q2 ]9 U2 D  H7 {. vbefore compliance with 19.13 of IEC 60335-1 is impaired”.
H.11.12.13 Replace the text by the following:
The software and safety related hardware under its control shall initialize and terminate
# t( L" a! x* z& N7 gbefore compliance with 19.13 of IEC 60335-1 is impaired.

neutron

4. 家电软件评估——评估什么？

目前许多人都是糊涂的：软件评估什么？了解软件评估的以为是黑盒白盒测试，其实跟黑盒测试毫无关系。
0 A6 f' T2 ^) }8 G9 X% B8 T; N
先看IEC60335标准的目标：就是保证家电的安全使用；

有了电子电路，就要按照19.11.2测试，检查电路故障情况下安全是否得到保障；

如果有保护电子电路，在19.11.2试验中它就要起作用；

在19.11.3中还要对保护电子电路进行故障模拟，同样是检查安全是否得到保障；当故障模拟试验进行到19.11.2的a）～f）时，由于同时要进行19.11.3的a）～f）故障模拟，这就出现了double faults状态；

8 }  B4 t# f9 k2 k' s如果保护电子电路使用的是可编程电子电路PEC，上述测试就是黑盒测试，检查安全保护功能是否完善。
! Y& S5 n, p3 T2 k9 V5 u' h0 x3 y
( Q2 Y- Y/ z" ]5 ~, A9 @+ g这些保护功能相当于一个安全卫士，通过了19.11.2和19.11.3的测试，说明这个卫士称职；

问题来了，这个卫士称职归称职了，但要是他的身体状况不咋地，不能保证及时处理不安全现象，就不能保证安全功能及时实现，就是称职而不胜任；

* K- M3 C$ m+ E* D( ~这个时候就要对这个卫士进行体能评估，就要考虑他万一缺胳膊少腿中毒脑残怎么办，这就是软件评估的主要内容：控制故障/错误的措施。

+ q3 x0 E5 ]/ a3 ^7 A+ ]$ y$ J故障/错误的发生地指的是智能控制器内部硬件，不是其它。对于单片机构成的控制器，就是要考虑哪个硬件出了问题，软件控制程序内应有保障器具使用安全的措施。

tianchi0305

不是很清楚

af204

很不错的内容，对软件评估这块，还不是很清楚，比较了解有兄弟可以多多介绍一下这方面的

bill.z

以本人经验，软件保护只能辅助性保护，真正的单一故障异常时此保护就不起作用啊！

安老盖

软件评估目前在国内都是一个盲点，真正有作而且做的好的，不知道有没有？

neutron

5. 家电安全功能软件——结构设计
& z5 \2 e% e/ a* f: u& E3 {) ~
要软件实现安全控制功能，同时要软件能够运转流畅，就要在设计阶段把好关，即避免错误的措施。
9 z4 e. i0 E* [  k. |  W% v' m
这方面在目前的标准中提得笼统，下面介绍Ed.5.0的要求。

3 J( N$ u( j% s9 R+ b+ f软件安全要求规范应包括：
" o* I( |: |/ [" g9 M( e; B+ W$ v——每个要执行的安全相关功能的描述，包括响应时间：
    ——涉及应用的功能，包括相关软件类别；
2 A/ g$ t* Z. u9 g" a+ E    ——涉及检测、公布和管理软件或硬件故障的功能；
- y/ k3 |) Z0 W* j7 u——软件和硬件之间接口的描述；
6 x. A9 q2 C: a——任何安全相关功能和非安全相关功能之间接口的描述；
- K& t6 G5 x1 W( H+ H( O——任何用于把源代码生成目标代码的编译器的描述，包括用于像库函数选项、存储模式、优化方法、SRAM细节、时钟等级及芯片细节的编译器开关设置的细节。
4 {/ }9 `  Z0 v6 U) ?
# c* s+ M# g8 f' ^0 Z( Q0 V! U
软件结构规范应包括下列方面：
2 b8 G2 w& f/ N: P5 u) `* b——控制软件故障/错误的技术和措施（参见R.2.2）。
——硬件与软件之间的相互作用。
" Y' Z0 C- c  ?——分成模块和指定安全功能的分配。
——模块的层与调用结构（控制流）。
, e0 a. h4 m) E* e5 P/ }——中断处理。
1 q; C- t" k: ^) w) V; P9 l——数据流及数据存取限制。
* w( _. m8 f* A  s6 q& q——数据结构与存储。
——顺序和数据相关性的时间

在评估过程中需要提供符合上述要求的证明文件，一般是利用下属框图来说明的：
——逻辑/功能块框图、
——顺序框图、
——有限态机/状态转换框图、
——数据流框图
8 J. m3 p$ G/ k( v: B
; E2 R4 U% k' Z# i1 V. f) H
$ k2 f: b7 i/ a软件的功能需要模拟或刺激测试试验：
6 w3 o1 e% E& G——正常操作期间出现的输入信号，
——预料发生的现象，
4 w% o8 H- {0 r——要求系统动作的不希望的情形。
8 \8 F0 Y2 Y$ V) A: R- J% Z2 l, L
目前，对大多数企业来说，由于条件限制，采用仿真器或直接使用产品无法实现这些模拟实验，可行的方法还是软件模拟。

neutron

引用第5楼bill.z于2010-02-21 13:30发表的  :
以本人经验，软件保护只能辅助性保护，真正的单一故障异常时此保护就不起作用啊！

软件保护功能是产品的保护功能之一，仔细看看19.11.2和19.11.3就会明白，单靠软件一路控制保护功能是不够的。

neutron

引用第6楼安老盖于2010-02-21 14:19发表的  :
软件评估目前在国内都是一个盲点，真正有作而且做的好的，不知道有没有？

% y- Y- l& m4 J# r5 T4 o
以往的测试经验在这里部分有用，就是非正常测试，提示安全功能是否到位，涉及软件分析评估就是另一个领域了，电工知识和经验不太容易入门。

neutron

6. 控制软件故障/错误的技术和措施

' c" }) b9 b' c# v1 T7 F这是考虑软件运行期间遇到故障/错误怎么办的问题。

! k& L" \8 j8 R# w所谓故障fault，基本上是有单片机内部元器件问题引起软件工作不正常，通常划归为两种：stuck-at滞位和DC故障。

- o) D. n. x+ v4 l% ]; zerror，不是中文中“错误”的意思，这是翻译问题，应该称作“偏离”，即偏离正常值的一种现象，常见的如ADC/CDA转换。

4 J( H+ j* @' M7 u2 ~' Ystuck-at故障就是电路不能正常反转，粘滞在某个电平的现象；
$ u6 ]% i8 e- q* v' s
6 ^$ M: A1 b  G- R  nDC=direct current 故障，也是一种stuck-at故障，一种短路故障，短路中的电平会发生变化，取决于哪根短路线强势。
* \" n" h+ N( Z! y
一般软件设计人员不会考虑这些故障的，所以程序中不存在控制措施。
& c) P% x+ A6 {& N/ \, a' r
控制措施的作用就是，当软件运行中遇到这些故障/错误时，为了保障产品安全，即应当及时处理这些故障/错误，就是该断路就断路、该停机就停机，不要让危害发生。

# Y/ x4 ]/ I( V+ c, F这就是标准对软件的要求。