典型小家电产品软件评估适用性探析

随着人们生活水平的提高以及对生活品质的不断追求，家庭对家用电器的功能需求也日益显著，家电产品质量和技术含量也在不断提高。以“灵巧、便利、安全”为导向的小家电产品已由传统的机械式、电子式逐渐向智能化方向发展。
如电热水壶产品不仅有自动控温功能，更增添了童锁等安全设计，全方位保障用户使用安全；电饭煲产品已由传统的机械式控制，到电子式控制，再到微电脑控制，具有对食品进行蒸、煮、炖、煨等多种操作功能；
电烤箱产品不仅具有传统的烘烤、定时、功率调档功能，还具有语音、自清洁、智能菜单等智能功能。 
然而，这些智能化的家电产品，其安全性（如过热保护、门锁、防电磁辐射、防爆等）仅仅依靠简单的电子线路故障评估是难以得到保证的，大多是依赖于电子控制器的软件运行。一旦软件失效，产品就可能因为软件非正常运行而导致机械伤害、火灾甚至爆炸等危险。因此，相比于传统机电式家电产品，仅仅通过设置简单的故障条件对产品进行安全性评估是不够的，必须对其进行软件评估[1]。
目前家用电器软件评估认证尚处于起步阶段，随着智能家电市场的不断发展，产品使用软件保护的电子控制器安全性评估迫在眉睫。为此，本文通过典型小家电产品案例，对其影响人们安全的结构形式进行软件评估适用性分析，总结出典型家电产品实施软件评估的判定依据。希望可以对从事相关领域的技术人员有所帮助。
2. 软件评估适用性判定方法
在智能化家电产品中，绝大部分功能是通过嵌入电子控制器实现。然而，这并意味着所有产品上的电子控制器都要进行软件评估。根据家用电器通用标准IEC 60335-1:2010《家用和类似用途电器的安全第1部分：通用要求》附录Q电子电路评估试验程序和附录R软件评估相关要求，对于电子控制器是通过保护电子电路对产品使用过程中所涉及的危险进行保护的，需要对产品进行软件评估符合性判定。在标准IEC 60335-1:2010的第3.9.3条款对保护电子电路进行了定义[2]：
“ 防止非正常运行状态下出现危险的电子电路。注：电路中的部分也可以起到功能作用”IECEE/CB Scheme/CTL DSH730决议对保护电子电路做了如下举例。如图1所示，电流从电源Us的L*流经三*管T2、T1到电热元件R回到电源N*，其中T2由“铂热敏电阻PT100-微处理器（MCU）”组合控制正常加热，当过热时负系数热敏电阻NTC将温度转为电压信息送入MCU，输出低电平锁住T1，从而切断R。“PT100-MCU-T1”系统可视为“电子式温控器”，而“NTC-MCU-T1”系统可视为保护电子电路。MCU同时也起到正常工作控制作用。

目前，常见家用电器产品电气结构形式如下：
（1）机械式结构   器具中不存在电子线路，非正常工作仅依赖如热断路器等保护装置的动作，这种结构的家电产品不需要进行软件评估。
（2）普通电子线路式结构   器具中有电子线路，但电子线路仅仅起到器具正常工作条件下功能实现作用，不具有安全保护功能的电子电路，这种结构的家电产品也不需要进行软件评估。
（3）保护电子电路式结构  器具中通常带有保护电子电路，但是对保护电子电路进行IEC 60335-1:2010中第19.11.2条和19.11.3条规定的模拟故障试验后，防止器具发生危险的是依赖符合GB 9364.1 的熔断器动作或热断路器动作等其它保护装置，而不是保护电子电路的动作，这种结构的家电产品也不需要进行软件评估。
（4）使用软件保护电子电路式结构  器具中通常带有程序控制的保护电子电路，对保护电子电路进行IEC 60335-1:2010中第19.11.3条规定的模拟故障试验后，保护电子电路动作，则要对电子控制器进行功能分析和相应试验，进一步判断是由软件保护还是其它硬件保护，如果是软件起保护作用，则依据IEC 60335-1:2010中第22.46条规定进行软件评估符合性分析。由此可见，家电产品是否需要进行软件评估，一般要通过产品结构分析及非正常试验来确定。

家用电器软件评估适用性判定方法具体流程如图2所示。由图2可知，判定器具是否需要进行软件评估关键在于：器具是否带有保护电子电路，保护电子电路中是否使用了软件，以及非正常工作状态下器具的安全*终是否依赖于软件的正常运行。
3. 典型小家电产品软件评估判定案例
针对上述4种常见电气结构形式，列举相应结构形式的电热水壶、风扇、电咖啡壶、电烤箱4种典型产品案例，分析其电气结构及工作原理，并根据家用电器通用标准IEC 60335-1:2010附录Q电子电路评估试验程序及附录R软件评估相关要求，进行产品安全软件评估适用性判定。以便读者能更好地理解家用电器软件评估适用性判定方法。 
机械式和普通电子线路式这两种结构形式被广泛用于小家电产品中，如图3给出了常见的机械式电热水壶产品示例及其电路原理，产品由壶身和加热底座组成。闭合蒸汽开关，接通市电，加热器EH进行加热工作，当温度达到温控器ST限值时，ST动作切断电源，器具停止工作，器具进行非正常工作时，其安全保护措施仅依赖于热熔断体FU的动作，类似于这种机械式控制的家电产品不需要进行软件评估。

图4给出了一种电子式遥控电风扇产品内部结构示例及其电气原理图，由图可知，产品不仅具有电子线路，还具有电子控制器的程序控制电路，但电子控制器在工作中只起到电机调速、摇头、红外控制等功能作用，控制器的软件失效不会对器具造成危险，不具有保护电子电路，电机电路部分器具非正常试验按照IEC 60335-1第19.11.2、19.12、19.7及19.13等条款进行考核。类似于这种不具有保护电子电路的家电产品不需要进行软件评估。

图5给出了一种具有保护电子电路的电咖啡壶产品外观及其电路板示例，产品由咖啡机主体和水壶两部分组成，其电路主要由电源电路、驱动电路、程序控制电路、防干烧电路及加热器等部分组成。由图6电气控制原理图可看出：器具通过位置感应开关S1 闭合，将电信号发给程序控制IC电路的电子控制器，再由控制器发送电气指令到常开触点继电器HK，继电线圈通电，触点闭合，接通电路，加热器EH开始正常工作，并通过温控器ST动作，使器具停止工作。当器具工作处于非正常状态下，比如器具容器内液体烧干，此时防烧电路的探针S将感应到的信号通过电子控制器处理，并传送给常闭触点继电器DK，触点断开，切断电路。由此可以看出，“探针S—IC控制器—继电器DK”系统构成了器具的保护电子电路。保护电子电路在非正常工作状态下动作，依据IEC 60335-1:2010附录Q电子电路评估试验程序对动作的保护电子电路进行19.11.2 a)~g)的单一故障试验，即使在非正常条件下继电器DK失效，一直处于接通状态，器具仍可以通过热熔断体FU1和FU2动作，断开电源，非正常试验后按标准19.13条款进行符合性判断。因此，本案例产品虽具有保护电子电路，可通过软件控制器实现电子线路保护功能，但非正常工作状态下器具的安全*终不是依赖于软件的正常运行，类似这样具有保护电子电路却*终不是通过软件保护的产品也不需要进行软件评估。


本文接下来分析一种热解式自清洁烤箱产品是否需要进行软件评估。标准GB 4706.22-2008《家用和类似用途电器的安全 驻立式电灶、灶台、烤箱及类似用途器具的特殊要求》第3.105条对热解式自洁烤箱进行了定义[4]：
“通过加热烤箱使其温度超过350℃，从而将烤箱内的烹饪污物清除的一种烤箱。”
为确保烤箱在自清洁状态的安全，GB 4706.22-2008第22.109条对热解式自洁烤箱结构提出了要求[4]：
“热解式自洁烤箱应带有一个联锁装置，使得烤箱中心温度超过350℃时，即使出现故障条件时，烤箱也不会发生故障。”
根据标准条款要求，烤箱在自清洁状态下工作时，炉门应不可能被打开，以防止对人身造成烫伤危险。
图6给出了一种目前比较典型的热解式自洁烤箱产品及其内部结构，产品功能部件主要由红外线加热管、上/下发热管、热风机、排气电机、门锁电机、转盘电机等部分组成。其电路部分主要由电源电路、继电器驱动电路、程序控电路、门锁检测电路、过热保护电路以及温度传感电路等组成。

如图7所示电气工作原理图，以高温自清洁工作过程为例：接通市电AC，器具处于待机状态，转动编码开关选择“高温自清洁”功能，通过编码器输入确认信号，时间控制继电器REL1闭合，接通定时器选择自清洁时间，门锁继电器REL3常开触点闭合，启动门锁电机M1对门炉上锁，一旦炉门成功上锁后，门锁开关处于闭合状态，门锁继电器REL3断开，红外加热管继电器REL7、高档排气电机继电器REL5工作，如果上锁不成功，门锁开关处于断开状态，则门锁继电器REL2常闭触点断开，切断所有发热电路；炉心温度通过PT1000传感器获得，其AD采样电路见图8所示，当炉心温度在200℃与 400℃之间时，高档排气电机REL5、红外发热管REL7、下发热管REL8工作; 当炉心温度高于设定温度（450度）时，继电器REL7断开，红外发热管E1停止工作，而当炉心温度低于默认设定温度值时，继电器REL7又重新接通，红外发热管E1继续工作，从而保持炉心温度在设定值范围内，直至高温自清洁结束，门锁继电器工作直至门锁正常开锁后停止。 
从上述烤箱高温自清洁工作原理可以看出，门锁继电器REL2、REL3以及门锁开关构成一个联锁装置，使得炉门在未关闭状态，无法启动器具。 在工作过程中，意外打开炉门，加热管继电器将停止工作，蜂鸣器BU并一直报警，通知用户，以避免对用户造成伤害。“炉心温度PT1000传感器-可编程控制器MC9S08AW32CFUE-门锁继电器REL2、REL3-门锁电机M1-门锁开关状态（继电器反馈信号）”电路系统构成保护电子电路。门锁电机控制检测电路和门锁检测电路分别如图9、图10所示，门锁工作时反馈信号I/O为高电平，门锁停止时反馈信号I/O为低电平，当检测到门及门锁检测I/O为低电平时，表示门已经上锁。对保护电子电路实施IEC 60335-1:2010第19.11.2a)~g)模拟单一故障试验，如进行19.11.2f):“集成电路的失效。要考虑集成电路故障条件下所有可能的输出信号。”例如，炉心温度PT1000传感器I/O口或门锁控制I/O口出现输出故障，器具就可能在非正常工作状态下，因过热或门锁开关被意外打开而发生危险，造成不符合19.13条的要求。因此，类似于这种非正常工作状态下安全（过热保护、门锁）*终依赖于软件保护实现的器具，应按照IEC 60335-1:2010第22.46条款：“如果使用可编程保护电子电路来满足本标准要求，则软件中应含有用于控制表R.1 所述的故障/错误条件的措施。”进行软件评估考核。

4. 结论
本文通过解读标准IEC 60335-1:2010第19章非正常工作、附录Q电子电路评估试验程序，以及附录R软件评估相关技术，探究了家用电器实施软件评估的适用性判定方法，并结合典型小家电产品安全测试实例，对电热水壶、风扇、电咖啡壶、电烤箱产品进行了软件评估适用性判定。但对家电产品是否需要进行软件评估不能一概而论，而要结合附录Q电子电路评估试验程序及非正常试验，对其控制器进行功能分析和相应试验才可判定。

（来源：《日用电器》杂志  整理：CVC威凯）

国内外认证/检测

CCC认证、中国节能认证检验、中国能源效率标识检验、生产许可证检验、CQC自愿认证检验……
香港安全规例认证、新加坡PSB认证、CB认证、CE认证、PSE认证检验、SASO认证、VDE认证检验、能源之星检验…

安全、性能、能效、EMC、环境适应性、可靠性试验……