王長(zhǎng)林 魏明然 裴廣福

1.中國(guó)標(biāo)準(zhǔn)化研究院，缺陷產(chǎn)品管理中心 北京 100101；

2.中家院（北京）檢測(cè)認(rèn)證有限公司 北京 100176

1 引言

隨著自動(dòng)控制器從機(jī)械式轉(zhuǎn)換到電子式，越來越多的家用電器使用可編程電子電路作為控制器。這些電子控制器包含正常操作條件下的控制功能和非正常工作時(shí)的保護(hù)功能。在很多家電產(chǎn)品中，電子控制器已經(jīng)替代部分甚至全部傳統(tǒng)的機(jī)械式控制器，使得家電產(chǎn)品在功能的多樣性、產(chǎn)品的智能化方面得到良好的發(fā)展，同時(shí)可以更好的節(jié)約成本。

與家電產(chǎn)品對(duì)使用者或使用環(huán)境安全性相關(guān)聯(lián)的是家電產(chǎn)品所使用的電子控制器的可靠性。電子控制器的保護(hù)機(jī)制一旦失效，將導(dǎo)致嚴(yán)重后果，如火災(zāi)，機(jī)械危險(xiǎn)甚至爆炸。因此，將帶有電子控制器的家用電器的安全性評(píng)估與傳統(tǒng)機(jī)電設(shè)備的安全性評(píng)估進(jìn)行比較，只通過設(shè)置一個(gè)簡(jiǎn)單故障條件來判斷其合規(guī)性是不可能的，必須對(duì)其進(jìn)行軟件評(píng)估。

2 風(fēng)險(xiǎn)及風(fēng)險(xiǎn)評(píng)估的概念

在標(biāo)準(zhǔn)GB/T 23694-2013《風(fēng)險(xiǎn)管理 術(shù)語》（ISO Guide 73:2009，IDT）中有對(duì)風(fēng)險(xiǎn)的定義。

風(fēng)險(xiǎn)：不確定性對(duì)目標(biāo)的影響。

風(fēng)險(xiǎn)評(píng)估方法是通過對(duì)可能導(dǎo)致風(fēng)險(xiǎn)發(fā)生的因素進(jìn)行評(píng)估分析，從而確定風(fēng)險(xiǎn)發(fā)生概率的大小。

風(fēng)險(xiǎn)評(píng)估包括識(shí)別風(fēng)險(xiǎn)來源、事件及其原因和潛在后果，重點(diǎn)關(guān)注產(chǎn)品信息，用戶和使用方式、產(chǎn)品在消費(fèi)過程中各環(huán)節(jié)可能存在的危險(xiǎn)性和傷害嚴(yán)重程度；還包括理解風(fēng)險(xiǎn)性質(zhì)、確定風(fēng)險(xiǎn)等級(jí)，這是風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)應(yīng)對(duì)決策的基礎(chǔ)，通過分析確定危害的概率、等級(jí)和嚴(yán)重程度，確定風(fēng)險(xiǎn)的性質(zhì)和等級(jí)，為后續(xù)風(fēng)險(xiǎn)評(píng)估提供依據(jù)；它還包括將風(fēng)險(xiǎn)分析結(jié)果與風(fēng)險(xiǎn)標(biāo)準(zhǔn)進(jìn)行比較，以確定風(fēng)險(xiǎn)和/或其規(guī)模是否可接受或可容忍的過程。

3 軟件評(píng)估的內(nèi)容

家用電器的軟件評(píng)估是針對(duì)家用電器中使用的“電氣/電子/可編程電子系統(tǒng)（E/E/PES）”，在家用電器安全標(biāo)準(zhǔn)里稱其為帶有軟件的保護(hù)性電子電路(PEC with software)，這些系統(tǒng)的作用是用于控制或防止不符合家用電器安全標(biāo)準(zhǔn)要求的風(fēng)險(xiǎn)發(fā)生。

E/ E/ PES或 PEC不單單指可編程的電子元件（如 MCU），而是由可編程電子元件、各種傳感器和檢測(cè)電路、各種執(zhí)行器件三大部分構(gòu)成的完整電路系統(tǒng)。因此，軟件評(píng)估的目的不僅是評(píng)估可編程電子元件，還要評(píng)估整個(gè)系統(tǒng)。家用電器的功能包括安全相關(guān)功能和非安全功能，軟件評(píng)估僅對(duì)安全相關(guān)的部分進(jìn)行評(píng)估，而非安全相關(guān)的部分不需要評(píng)估。

以目前使用的標(biāo)準(zhǔn)GB 4706.1-2005（IEC 60335-1 Ed 4.1）第22章結(jié)構(gòu)中第22.46條指出，用于保護(hù)電子電路中的軟件應(yīng)為B類或C類軟件，使用的保護(hù)軟件級(jí)別應(yīng)根據(jù)風(fēng)險(xiǎn)等級(jí)確定。一般性危害使用B級(jí)軟件，防止特定危害（如爆炸等）使用C級(jí)軟件。軟件評(píng)估按照附錄R的要求進(jìn)行。評(píng)估方法和程序見GB/T 14536.1-2008（IEC 60730-1 Ed3.1）附錄H。同時(shí)，功能安全分析和軟件評(píng)估測(cè)試需要綜合考慮家電安全的一般要求和特殊要求。

家電中任何軟件功能的實(shí)現(xiàn)都是基于相應(yīng)的硬件環(huán)境，所以家電的軟件評(píng)估，不僅僅是對(duì)“軟件”的評(píng)估，更是對(duì)電子控制器整個(gè)系統(tǒng)的評(píng)估。這包括對(duì)電子電路硬件的評(píng)估以及可編程電子器件的內(nèi)部評(píng)估。某些風(fēng)險(xiǎn)的產(chǎn)生是沒有辦法通過外圍電路防護(hù)的，如集成電路或芯片內(nèi)部的電子元件或電路失效，這就需要通過保護(hù)性軟件周期自檢識(shí)別故障，防止軟件在執(zhí)行過程中因?yàn)橛布墓收蠈?dǎo)致執(zhí)行錯(cuò)誤，從而引起危險(xiǎn)發(fā)生。

4 風(fēng)險(xiǎn)評(píng)估在軟件評(píng)估中的應(yīng)用

軟件評(píng)估在家用電器安全認(rèn)證中非常重要，但并非所有使用電子控制器的家用電器都需要進(jìn)行軟件評(píng)估。需要通過風(fēng)險(xiǎn)評(píng)估來評(píng)估家用電器是否需要進(jìn)行軟件評(píng)估。

首先對(duì)家電產(chǎn)品進(jìn)行風(fēng)險(xiǎn)識(shí)別，可通過對(duì)電子控制器進(jìn)行功能分析來判斷其是否需要做軟件評(píng)估，確定哪些功能是一般性功能，哪些功能是與安全相關(guān)的功能。我國(guó)家電產(chǎn)品檢測(cè)主要依據(jù)GB 4706.1-2005（IEC 60335-1 Ed4.1）的標(biāo)準(zhǔn)要求，其中家用電器可能存在火災(zāi)、機(jī)械危險(xiǎn)甚至爆炸等危險(xiǎn)，這些危險(xiǎn)都需要有產(chǎn)品結(jié)構(gòu)、機(jī)械保護(hù)裝置或者電子電路的保護(hù)措施。

其次對(duì)家電產(chǎn)品存在的風(fēng)險(xiǎn)進(jìn)行風(fēng)險(xiǎn)分析，對(duì)于發(fā)生概率高、傷害嚴(yán)重的風(fēng)險(xiǎn)需要加強(qiáng)防護(hù)?？梢酝ㄟ^GB 4706.1-2005第19章的非正常工作試驗(yàn)來判斷哪些防護(hù)用到了軟件，需要進(jìn)行軟件評(píng)估。如果在非正常工作時(shí)系統(tǒng)安全依賴于機(jī)械保護(hù)裝置，如熱斷路器或保險(xiǎn)絲，則無需進(jìn)行軟件評(píng)估；如果由保護(hù)性電子電路確保家用電器的安全，則電子控制器需要按照19.11.2條款的試驗(yàn)進(jìn)行電子電路故障測(cè)試，進(jìn)一步確定電子控制器中屬于PEC的部分，根據(jù)不同的風(fēng)險(xiǎn)確定對(duì)應(yīng)的PEC后，再根據(jù)標(biāo)準(zhǔn)要求對(duì)PEC進(jìn)行測(cè)試，按照19.11.3試驗(yàn)的順序事先對(duì)PEC施加19.11.2的故障條件，然后重復(fù)該P(yáng)EC所保護(hù)的19.X（包括19.10X）等試驗(yàn)，如果電子控制器在雙重故障測(cè)試期間不依賴軟件進(jìn)行保護(hù)，則無需進(jìn)行軟件評(píng)估；如果在雙重故障試驗(yàn)過程中是依靠軟件防護(hù)危險(xiǎn)，則需要對(duì)相關(guān)家電產(chǎn)品進(jìn)行軟件評(píng)估。

以熱水器為例，作為以加熱為主要功能的產(chǎn)品，由于產(chǎn)品設(shè)計(jì)的不合理，可能導(dǎo)致在使用過程中發(fā)生過電流、過熱燃燒等危險(xiǎn)，造成嚴(yán)重甚至非常嚴(yán)重的后果。如果熱水器使用機(jī)械式熱斷路器來防止系統(tǒng)過熱，則無需進(jìn)行軟件評(píng)估。但是如果采用溫度傳感器、MCU加繼電器這種保護(hù)性電子電路的方式替代機(jī)械式熱斷路器來防止系統(tǒng)發(fā)生過熱的風(fēng)險(xiǎn)，這種依賴于電子電路和相關(guān)保護(hù)軟件正常運(yùn)行的防護(hù)方式就需要進(jìn)行軟件評(píng)估。

最后需要對(duì)家電產(chǎn)品存在的風(fēng)險(xiǎn)進(jìn)行風(fēng)險(xiǎn)評(píng)價(jià)，對(duì)于一旦發(fā)生就會(huì)造成嚴(yán)重以及非常嚴(yán)重的風(fēng)險(xiǎn)要加強(qiáng)防護(hù)，使產(chǎn)品的風(fēng)險(xiǎn)處于可以接受或容忍的范圍。

系統(tǒng)風(fēng)險(xiǎn)分析文件是通過風(fēng)險(xiǎn)識(shí)別，風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)價(jià)的全過程形成的。由于電子控制器的核心部件——可編程電子元件是高度集成的元件，其硬件結(jié)構(gòu)和軟件代碼被封裝在芯片中，人眼無法識(shí)別，需要借助風(fēng)險(xiǎn)評(píng)估的結(jié)果、非正常試驗(yàn)的數(shù)據(jù)和相關(guān)軟件工具來檢查樣品。對(duì)于軟件評(píng)估來講，這些資料和工具均屬于樣品的一部分。通過對(duì)資料的預(yù)審、對(duì)產(chǎn)品的靜態(tài)分析和動(dòng)態(tài)測(cè)試后，可以判定電子控制器是否通過軟件評(píng)估試驗(yàn)。

5 風(fēng)險(xiǎn)分析對(duì)軟件評(píng)估的意義

隨著家電行業(yè)的發(fā)展，越來越多的家電產(chǎn)品使用電子控制器替代傳統(tǒng)的機(jī)電式控制器，從信號(hào)控制到模糊控制，再到智能感知、家電物聯(lián)、智能家居、三網(wǎng)融合等，都離不開軟件的開發(fā)和測(cè)試。家電軟件評(píng)估將成為家電質(zhì)量評(píng)估的必要組成部分。

風(fēng)險(xiǎn)評(píng)估是軟件評(píng)估的一個(gè)重要組成部分。在進(jìn)行軟件評(píng)估之前，有必要確定系統(tǒng)的風(fēng)險(xiǎn)，確定不同風(fēng)險(xiǎn)的風(fēng)險(xiǎn)等級(jí)，并對(duì)相應(yīng)的風(fēng)險(xiǎn)采取不同的保護(hù)措施。有助于提高產(chǎn)品質(zhì)量、提升產(chǎn)品安全防護(hù)能力、降低產(chǎn)品風(fēng)險(xiǎn)傷害的嚴(yán)重程度。