适用标准：IEC 60730-1:2022 (Ed. 6.0) / UL 60730-1:2024 (Sixth Edition)
核心章节：Annex H（功能安全要求）、H.9.12（软件控制）、H.13.2（故障评估）、Table H.2（故障/错误可接受措施）
阅读时长：约 8 分钟
1. 问题陈述：为什么白色家电必须关注 Class B？
如果你负责洗衣机、冰箱、空调等白色家电的控制器开发或认证，几乎一定会遇到 IEC 60730-1 Annex H 的功能安全要求。标准将控制功能按安全相关性分为三类：
| 控制功能类别 | 定义（H.3.21） | 安全意图 | 典型示例 |
|---|---|---|---|
| Class A | 不依赖其保障应用安全 | 失效不会导致危险 | 室温温控器、普通定时器 |
| Class B | 旨在防止设备进入不安全状态 | 单独失效不会直接导致危险，但叠加其他故障可能引发危险 | 热限制器、压力限制器、过温保护 |
| Class C | 旨在防止爆炸等特殊危险，或其失效可直接导致危险 | 失效即危险 | 燃烧器控制系统、无泄压保护的闭式水系统热切断器 |
Class B 是白色家电中最常见的安全等级。以洗衣机为例：加热管温控失效 + 过温保护（Class B）也失效，才可能引发火灾。因此标准对 Class B 的核心要求是：在单一故障条件下，控制器必须保持或进入 DEFINED STATE（安全状态）；第二个独立故障不在考虑范围内（H.13.2.2.1）。
⚠️ 注意：Class B 控制功能失效时，若设备同时存在另一故障，可能导致危险 malfunction、触电、火灾或机械伤害（H.13.2.2.1 NOTE）。
2. 合规框架：Class B 认证八步流程
下图概括了从设计到测试判定的完整路径，帮助你快速定位标准条款。
关键交付物：
- Table H.1 中的声明项（H.3 ~ H.12）：软件序列文档、程序文档、故障分析、软件类别与结构、分析措施、故障/错误检测时间、故障响应、硬件措施等。
- Table 14：电子元件故障模式（短路/开路）清单，用于故障评估。
- Table H.2：各部件故障/错误对应的可接受措施清单，是设计自检策略的直接依据。
3. 技术深入（一）：软件架构选型
3.1 Class B 可选的三种软件结构
标准对 Class B 的软件架构要求比 Class C 宽松，但仍必须满足 H.9.12.1.2.2 的以下结构之一：
实际选型建议：
- 单通道 + 周期性自检（Single Channel with Periodic Self-Test） 是白色家电 MCU 方案中最经济实用的选择。通过 Watchdog + 周期性 RAM/ROM/CPU 自检即可满足 Class B。
- 双通道无比较（Dual Channel without comparison） 适用于已有硬件冗余的场合，例如双 MCU 或主控 + 独立监控芯片架构。
- 如果产品未来可能升级安全等级，或希望一次性通过更严苛的审核，直接采用 Class C 架构（如双通道带比较）也是允许的（H.9.12.1.2.2 最后一句）。
3.2 软件开发生命周期（V-Model）
Class B/C 软件必须遵循 H.9.12.3 的 V-Model 或等效结构化流程：
- 软件安全需求规格（H.9.12.3.2.1）：描述每个安全相关功能、响应时间、软硬件接口、安全与非安全功能接口。
- 软件架构设计（H.9.12.3.2.2）：模块划分、中断处理、数据流、时序依赖；需通过静态分析（控制流分析、数据流分析、走查）验证。
- 模块设计与编码（H.9.12.3.2.3）：模块功能、接口、数据定义清晰；代码结构化，避免无条件跳转（GOTO）、限制指针/递归/中断使用。
- 测试与验证（H.9.12.3.3）：模块测试、集成测试、代码覆盖率；动态测试（功能测试、白盒测试）+ 静态测试（审查、静态分析）结合。
💡 提示：H.9.12.3.2.4 要求制定并持续使用编码标准（coding standard），明确禁止不安全的语言特性。建议在项目初期就建立 C 语言安全子集规范（如 MISRA-C 子集）。
4. 技术深入（二）：关键部件动态自检测试
这是 Class B 认证中最"硬核"的部分。Table H.2 针对 CPU、存储器、时钟、中断、I/O 等关键部件，列出了故障模式及可接受的检测措施。下图将核心内容汇总，方便你在设计自检程序时直接对照。
4.1 CPU 与程序流自检
寄存器（Registers）— Stuck-at / DC FAULT
- Functional test：上电或运行前对寄存器写入特定模式并回读验证。
- Periodic self-test：周期性执行 STATIC MEMORY TEST 或 WORD PROTECTION WITH SINGLE BIT REDUNDANCY。
- 冗余比较：若采用双 MCU，可通过 RECIPROCAL COMPARISON 或独立硬件 COMPARATOR 实现。
程序计数器（Programme Counter）— Stuck at
- 程序跑飞是 MCU 最常见的失效模式之一。
- INDEPENDENT TIME-SLOT MONITORING：独立硬件定时器监控主循环必须在规定时隙内"喂狗"或报告状态。
- LOGICAL MONITORING OF PROGRAM SEQUENCE：在关键路径设置"里程碑"变量，由独立监控逻辑检查执行顺序。
- Watchdog 是最常见的实现手段，但标准强调时隙监控必须同时检测上限和下限（H.13.2.1.1），即既要检测"跑飞导致超时"，也要检测"异常快速循环"（可能被旁路）。
指令译码与执行 — Wrong decoding
- 对 Class B 而言，此故障模式的标准措施主要是冗余 CPU 比较或 INTERNAL ERROR DETECTION；若使用带 ECC 或 Lockstep 的 MCU（如某些双核锁步 Arm Cortex-R），可天然覆盖此项。
4.2 中断自检
故障模式：无中断、中断过于频繁、不同中断源异常。
- TESTING PATTERN：周期性触发软件测试中断，验证中断向量表和响应机制。
- Time-slot monitoring：监控中断触发的时间窗口，检测"该来不来"或"不该来乱来"。
- DATA REDUNDANCY / MULTI-BIT BUS PARITY：对中断相关数据增加冗余校验。
4.3 时钟自检
故障模式：错误频率（对晶振时钟，主要考虑谐波/次谐波）。
- FREQUENCY MONITORING：独立时钟源（如内部低速 RC）交叉监控主时钟频率。
- Time-slot monitoring：若主循环任务在固定时隙完成，时钟漂移会直接导致时隙监控报警。
- 注意：Table H.2 中时钟的 Class B 列留空，意味着标准不强制 Class B 对时钟做专门自检；但 H.13.2.1.1 要求 safeguards 可包括硬件看门狗和电源电压监控，因此时钟监控通常作为最佳实践被纳入。
4.4 存储器自检
故障模式：数据错误、地址错误、地址译码错误、DC FAULT、stuck-at。
- ROM/Flash：
- Checksum / CRC：上电或周期性计算校验和。
- ABRAHAM TEST / TRANSPARENT GALPAT TEST：更全面的存储器走字测试。
- RAM：
- WALKPAT MEMORY TEST / STATIC MEMORY TEST：周期性写入并验证走字模式。
- WORD PROTECTION WITH MULTI-BIT REDUNDANCY：对关键安全变量增加多比特冗余（如 8-bit 数据扩展为 16-bit 带汉明距离）。
- REDUNDANT MEMORY WITH COMPARISON：双份存储并比较（注意：同一芯片内两份数据必须采用不同存储格式，见 H.9.12.2.1）。
4.5 I/O 外设与 A/D、D/A 自检
数字 I/O：
- PLAUSIBILITY CHECK：对输入信号做合理性判断（如温度传感器读数不可能在 1 ms 内跳变 50 °C）。
- INPUT COMPARISON：双通道输入比较。
- MULTIPLE PARALLEL OUTPUTS / OUTPUT VERIFICATION：对关键输出（如继电器驱动）设置回读引脚，验证实际输出状态是否与指令一致。
模拟 A/D、D/A：
- TESTING PATTERN：注入已知参考电压，验证转换结果。
- CODE SAFETY：对转换结果增加安全码或范围校验。
5. 技术深入（三）：故障评估与 EMC
5.1 单一故障评估（H.13.2.2）
Class B 的故障评估核心逻辑：
- 引入单一故障（Table 14 规定的短路/开路模式，或软件故障）。
- 观察控制器响应，必须满足 H.13.2.2.2 的 a) ~ d) 之一：
-
- 失效并进入安全状态（输出断电）；
-
- 在 FAULT REACTION TIME 内进入 DEFINED STATE；
-
- 继续运行，但下次启动时识别故障并导向 a) 或 b)；
-
- 按相关 Part 2 要求持续运行（仅当 Part 2 明确允许时）。
-
- Defined State 期间的故障：若控制器已处于安全状态，再引入单一故障，仍必须保持安全状态或再次安全关断（H.13.2.2.3）。
测试条件（H.13.2.5.1）：
- 电压：额定电压的 85 % ~ 110 %
- 负载：制造商声明的最不利负载
- 温度：(20 ± 5) °C（或制造商声明范围）
- 底部铺薄纸，检测是否引燃
- 对可能释放可燃气体的元件施加约 3 mm、能量 ≥ 0.5 J 的电火花
通过准则（H.13.2.5.2）：
- 无火焰、无炽热金属/塑料、薄纸不引燃、无爆炸；
- 若继续运行，须满足 Clause 6（防触电）和 Clause 15（电气强度）；若停止运行，仍须满足 Clause 6；
- 保护功能不丧失；测试后绝缘无劣化。
5.2 EMC 抗扰度要求（Clause H.25）
Class B 控制功能需进行 H.25.4 ~ H.25.13 的 EMC 抗扰度测试，适用测试等级为 2、3 或 4（由相关 Part 2 或制造商声明确定）。
| 测试项目 | 标准引用 | 关键关注点 |
|---|---|---|
| 谐波与间谐波 | IEC 61000-4-13 | 电网信号干扰 |
| 电压暂降与中断 | IEC 61000-4-11 | 低压/中压电网故障模拟 |
| 浪涌抗扰度 | IEC 61000-4-5 | 雷击/开关瞬态 |
| 电快速瞬变脉冲群 | IEC 61000-4-4 | 继电器/接触器切换干扰 |
| 射频电磁场辐射 | IEC 61000-4-3 | 无线通信环境 |
| 静电放电 | IEC 61000-4-2 | 人体/物体静电 |
| 电源频率磁场 | IEC 61000-4-8 | 工频磁场环境 |
| 电源频率变化 | IEC 61000-4-28 | 电网频率漂移 |
对于声明用于 IEC 60335-1:2020 的 protective controls，EMC 测试等级直接引用 IEC 60335-1 的 19.11.4（Table H.12 第三行）。
6. 常见陷阱与设计建议
✅ 设计 Checklist
- 功能分类声明：在 Table H.1 req. H.12 中明确声明哪些功能属于 Class B，避免审核时范围不清。
- 故障反应时间（FAULT REACTION TIME）：必须在 Table H.1 req. H.11 中声明，且其合理性将在故障分析中被评估（H.9.12.2.6）。
- 自检周期：软件故障/错误检测不得晚于声明的时间。对于热保护类应用，通常要求毫秒级到秒级响应。
- Watchdog 不是万能药：独立时隙监控必须同时检测"超时"和"过快"，纯看门狗只能检测超时。
- RAM 测试不要破坏运行状态：采用 Transparent GALPAT 或静态测试，避免在自检期间改写关键运行数据。
- ROM 校验和范围：确保校验和覆盖所有安全相关代码段，包括中断向量表和启动代码。
- A/D 参考电压监控：若温度保护依赖 A/D，建议增加独立的参考电压监控或周期性注入已知电压自检。
- 软件下载完整性：若支持远程升级，Class B 软件需通过通信校验确保 Hamming Distance ≥ 3（H.9.12.4.5.1）。
- 编码标准文档化：H.9.12.3.2.4 要求编码标准必须成文并持续执行，审核时会检查。
⚠️ 常见陷阱
- 混淆 Class B 控制功能与软件 class B：前者是"功能安全等级"，后者是"软件结构等级"；二者在 Annex H 中同名但语境不同，不过 Class B 控制功能确实要求软件 class B（H.13.2.2.1）。
- 忽略 Defined State 期间的二次故障：很多设计只考虑正常运行时的故障，但标准明确要求评估控制器已处于安全状态时，再引入单一故障的后果（H.13.2.2.3）。
- Table 14 元件故障模式遗漏：例如晶振时钟的谐波/次谐波、FET/MOSFET 栅极失控导致的半导通状态、Triac 半波失控等，都是容易被忽略的故障模式。
- EMC 测试后未验证安全功能：H.25 要求 EMC 测试后评估对安全功能的影响，不仅仅是"还能不能工作"。
7. 总结
IEC 60730-1 Class B 是白色家电控制器功能安全的"基准线"。其核心设计哲学可概括为三句话：
- 单一故障必须安全：任何单一元件故障（短路/开路/软件错误）不得导致危险，控制器须进入 DEFINED STATE。
- 关键部件须动态自检：CPU 寄存器、程序计数器、中断、时钟、存储器、I/O 等须按 Table H.2 实施可接受的自检或监控措施。
- 软件过程须结构化：从需求、架构、编码到测试，遵循 V-Model 或等效结构化生命周期，文档完整、可追溯。
对于认证工程师，建议将本文的 Table H.2 摘要图打印出来，在设计评审和故障评估时逐项勾选；对于固件工程师，建议以"单通道 + 周期性自检"为起点，结合 Watchdog + RAM/ROM CRC + 时隙监控 + I/O 回读，构建满足 Class B 的最小可行自检体系，再根据产品风险逐步增强。