标准：UL 60730-1, Sixth Edition (2024) / IEC 60730-1 Ed. 6.0
适用对象：自动电气控制器（Automatic Electrical Controls）的研发与合规工程师
核心条款：Clause 13、Annex H.13、Table 14、H.9.12、H.17
1. 问题场景：你的控制器真的安全吗？
你设计了一款带 MCU 的温控器，用于家用热水器。产品通过了常规温升、电气强度和 EMC 测试，但在认证阶段被实验室退回——原因是**故障评估（Fault Assessment）**未通过。具体问题是：当功率 MOSFET 发生短路失效时，控制器未能进入安全关断状态，导致加热元件持续工作，存在过热起火风险。
这不是个例。在 UL 60730-1 的认证实践中，**Clause 13（电子电路故障评估）**和 **Annex H.13（功能安全故障评估）**是电子控制器最容易出现不符合项的环节之一。本文围绕标准中的 FMEA（Failure Modes and Effects Analysis，失效模式与影响分析）框架，系统梳理短路、开路、软件故障、元器件老化等失效模式的分析与测试方法，帮助你验证控制器的故障保护机制及风险可控性。
2. FMEA 在 60730-1 中的合规框架
UL 60730-1 将故障评估分为两个层次：
- 固有安全（Inherent Safety）：Clause 13.1 —— 确保单一元器件故障不会导致触电、火灾或机械危险。
- 功能安全（Functional Safety）：Annex H.13 —— 针对 Class B 和 Class C 控制功能，要求故障后进入 DEFINED STATE（定义安全状态）。
标准在 H.3.20.3 中明确定义了 FMEA："analytical technique in which the FAILURE modes of each hardware component are identified and examined for their effects on the safety-related functions of the CONTROL"。换句话说，你需要逐个分析每个硬件组件的失效模式，并验证其对安全相关功能的影响是否在可接受范围内。
下面的流程图展示了完整的故障评估决策路径：
关键决策点说明：
- 低功率电路判定（13.1.2 / Figure 3）：如果电路某点向可变电阻输送的最大功率 ≤ 15 W（5 s 后），则该点之后的电路属于低功率电路，可豁免 13.1.3 的故障评估。但需注意：如果低功率电路的正确功能被其他部分依赖（如绝缘保护），仍需评估。
- 非电子元器件豁免：开关、继电器、变压器等按 Clause 12 单独评估的元器件，不重复执行 13.1 测试。
- 功能安全追加：如果控制功能被声明为 Class B 或 Class C（见 H.3.21），在通过 13.1 后，还必须执行 Annex H.13.2 的追加评估。
3. 技术深入：四大失效模式分析与测试
3.1 硬件元器件失效 —— Table 14 故障模式矩阵
Table 14 是 60730-1 故障评估的核心工具，它规定了各类电子元器件必须模拟的失效模式（短路 / 开路）。每次测试只模拟一个元器件的一种故障模式，测试条件为：电压 0.9–1.1 倍额定值、环境温度 (20±5)°C、电源短路电流能力 ≥ 500 A。
以下是常见元器件的故障模式汇总：
| 元器件类型 | 短路（Short） | 开路（Open） | 备注 / 特殊要求 |
|---|---|---|---|
| 电阻（薄膜/厚膜/线绕） | — | ✓ | 含 SMD 类型 |
| 电阻（其他类型，含 MOV/VDR） | ✓ | ✓ | — |
| 电容（X1 / Y 型，符合 IEC 60384-14） | — | ✓ | — |
| 电容（其他类型） | ✓ | ✓ | — |
| 电感（线绕） | — | ✓ | — |
| 电感（其他类型） | ✓ | ✓ | — |
| 二极管（所有类型） | ✓ | ✓ | — |
| 半导体（晶体管、FET、MOSFET、IGBT、晶闸管、Triac 等） | ✓ | ✓ | FET/MOSFET/IGBT 需考虑栅极失控导致的部分导通（partial turn-on）；Triac 需考虑半波导通 |
| 集成电路（IC） | ✓ | ✓ | 每次只短路两个引脚；需考虑谐波/次谐波（晶振时钟） |
| 光耦（符合 IEC 60747-5-5） | ✓ | ✓ | — |
| 继电器（线圈） | — | ✓ | — |
| 继电器（触点） | ✓ | ✓ | — |
| 变压器（符合 IEC 61558-2-6 / -2-16） | — | — | 豁免 |
| 变压器（其他类型） | ✓ | ✓ | — |
| PCB 走线 | ✓¹ | —² | ¹短路可排除（若符合 Clause 11 间距要求）；²开路可排除（厚度 ≥ 35 μm、宽度 ≥ 0.5 mm） |
| 晶振 | ✓ | — | 需考虑谐波/次谐波频率变化影响时序 |
设计提示：
- 对于功率半导体（MOSFET/IGBT/Triac），部分导通是比完全短路更隐蔽的危险状态。标准明确要求评估栅极（或基极）失控导致的 undefined state，测试和判据需对应具体控制应用（Table 14 脚注 e）。
- 如果使用了**有意弱化走线（Intentionally Weak Trace）**作为保护手段，需记录走线尺寸（宽、长、厚、形状）、PCB 材料和涂层类型，并验证断开后的电气强度（13.1.3.6）。
- 如果使用了**有意弱化元件（Intentionally Weak Part）**作为保护手段，需在两个附加样品上重复测试以验证一致性，并记录元件型号、额定值和技术参数（13.1.3.5）。
3.2 软件故障 —— H.9.12 与 Table H.2
当控制功能使用软件且被分类为 Class B 或 Class C 时，硬件 FMEA 只是第一步，还必须进行软件故障评估。标准在 H.9.12 中规定了软件架构、故障/错误控制措施和错误避免措施。
Table H.2 列出了软件相关故障/错误及可接受的对策：
| 故障/错误来源 | 具体故障模式 | Class B 要求 | Class C 要求 | 典型对策示例 |
|---|---|---|---|---|
| CPU 寄存器 | Stuck-at / DC 故障 | rq | rq | 功能测试、周期性自测、静态存储器测试、单比特冗余字保护 |
| 指令译码与执行 | 错误译码/执行 | — | rq | 冗余 CPU 比较（互比较 / 独立硬件比较器）、等价类测试 |
| 程序计数器 | Stuck-at | rq | rq | 功能测试、周期性自测、独立时隙监控、逻辑监控 |
| 时钟 | 错误频率（谐波/次谐波） | — | rq | 独立时隙与逻辑监控、频率监控 |
| 中断处理 | 无中断 / 过于频繁 | rq | rq | 测试模式、数据冗余、多比特总线奇偶校验 |
| 数据路径 / 寻址 | 错误序列 / 错误时机 | rq | rq | 时隙与逻辑监控、冗余通信通道比较、计划传输 |
| 存储器（变量/不变） | 数据错误 / 地址错误 | rq | rq | 冗余存储比较、Walkpat 测试、透明 Galpat 测试、多比特冗余 |
| 输入/输出外设 | Clause 13 故障条件 | rq | rq | 合理性检查（Plausibility Check）、输入比较、多路并行输出、输出验证 |
| A/D 和 D/A 转换器 | Clause 13 故障条件 | rq | rq | 测试模式、代码安全、合理性检查 |
关键要求：
- 软件故障检测时间：不得超过 Table H.1 中声明的时间（H.9.12.2.6）。
- 故障响应：检测到故障/错误后，必须执行 Table H.1 中声明的响应（H.9.12.2.7）。对于 Class C，必须提供**独立手段（independent means）**执行该响应。
- 架构要求（H.9.12.1.2）：
- Class B 可选：单通道+功能测试、单通道+周期性自测、双通道无比较。
- Class C 必选：单通道+周期性自测+监控、双通道同构比较、双通道异构比较。
3.3 制造偏差与漂移 —— H.17
制造偏差（Manufacturing Deviation）和漂移（Drift）是 FMEA 中容易被忽视但至关重要的环节。它们不属于突发性故障，而是性能随时间或环境逐渐劣化的过程，可能导致控制功能偏离安全阈值。
H.17 的核心要求：
- 提供 Type 2 Action（如温度限制、压力限制）的控制器，其动作值、动作时间或动作序列的制造偏差和漂移必须在声明范围内。
- 制造偏差通常以**带宽/散布（bandwidth/spread）表示，例如 ±10 K；漂移以数值变化（alteration of value）**表示，例如 +5 K / −10 K。
- 测试方法：取 3 个样品，在 V_R max 和 I_R max 条件下测量动作值，任意两个样品之间的差异不得超过声明的制造偏差。
- 环境测试（Clause 18）和耐久测试（Clause 19）后重复测量，以确定漂移量。
设计提示：
- 对于传感控制器（Sensing Controls），激活量的变化速率（rate of change）会影响动作值。如果标准或产品声明中未指定速率，测试机构可能选择最严苛的速率进行测试。
- 热敏电阻（PTC/NTC）需执行校准测试（H.17.7 / H.17.8 / J.17），确保在寿命周期内阻值-温度特性保持在安全窗口内。
3.4 元器件老化与耐久 —— Clause 19 / H.19
老化（Aging）是 FMEA 中"时间维度"的失效模式。标准通过耐久测试（Endurance Test）和热循环测试（Thermal Cycling Test）来验证元器件在寿命周期内的可靠性。
热循环测试（H.19.1.3.3）：
- 目的：模拟正常使用中因环境温度变化、安装表面温度变化、供电电压变化或工作状态切换导致的温度极端循环。
- 测试条件：在正常工作与非工作条件之间循环，温度范围覆盖声明的最小和最大环境温度。
- 评估标准：测试后，控制器的动作值漂移不得超过声明值，且不能出现影响安全的劣化。
设计提示：
- 电解电容、光耦、继电器等元器件的老化是常见的不符合项来源。建议在 FMEA 中明确标注这些器件的寿命模型（如 Arrhenius 模型），并在设计时预留足够的裕量。
- 对于电池供电产品，需执行电池短路测试（26.3）和过度放电测试（9.13.4），验证电池管理电路在老化后的保护能力。
4. 控制功能分类与故障容错架构
在深入测试之前，你必须先正确分类控制功能。H.3.21 定义了三个类别：
分类要点：
- Class A：失效不会直接导致危险，无需额外故障评估。例如室温温控器，失效后只是温度控制不精确，不会立即引发火灾或爆炸。
- Class B：失效可能导致不安全状态，但单一故障不会直接引发危险。例如热限制器（Thermal Limiter），需要在单一故障后进入安全状态。
- Class C：失效可能直接引发特殊危险（如爆炸）。例如燃烧器控制系统（Burner Control System），需要在两个独立故障后仍保持安全。
常见陷阱：
- 分类过低：将实际应属于 Class B 的功能声明为 Class A，以规避 Annex H.13 的严格评估。这是高风险做法，认证机构通常会通过电路分析和产品用途反推正确的分类。
- 忽略"定义状态"（DEFINED STATE）的验证：Class B/C 要求故障后进入 DEFINED STATE，但许多设计只实现了"关机"，未验证关机后所有安全相关输出端子是否真正去能，以及重启序列是否安全（H.13.2.2.2 / H.13.2.2.3）。
- FAULT REACTION TIME 声明不合理：Table H.1 要求声明故障反应时间，但部分设计声明的时间过长，导致在故障反应时间内已发生危险。例如燃气阀驱动电路，故障反应时间必须小于燃气积聚到爆炸极限的时间。
5. 合规判据清单 —— 13.1.3.8 / H.13.2.5.2
故障模拟测试后，控制器必须满足以下判据：
固有安全判据（13.1.3.8）
| 判据项 | 要求 | 备注 |
|---|---|---|
| a) 火焰/爆炸 | 不得喷出火焰、炽热金属或炽热塑料；不得爆炸 | 纸巾包裹测试，纸巾不得燃烧 |
| b) 绝缘温度 | 附加绝缘和加强绝缘温度 ≤ 1.5 倍 Clause 16 限值 | 热塑性材料无具体限值，但需记录温度供 Clause 21 使用 |
| c) 输出变化 | 受控输出的变化应符合 Table 1 声明（要求 52） | — |
| d) 电气强度 | 符合 Clause 6 和 15.2 对基本绝缘的要求 | — |
| e) 间距 | 不得出现导致 Clause 11（爬电距离/电气间隙）不符合的劣化 | — |
| f) 保险丝 | 外部电源保险丝不得熔断，除非内部保护装置（需工具才能触及）也动作 | 更换保险丝后样品仍需符合 a)、b)、d) 和 Clause 11 |
| g) 输出波形 | 输出波形应符合 Table 1 声明（要求 51） | — |
功能安全追加判据（H.13.2.5.2）
| 判据项 | 要求 |
|---|---|
| a) 火焰/气体 | 不得喷出火焰、炽热金属或炽热塑料；纸巾不燃；无爆炸；可燃气体释放产生的火焰在关闭火花发生器后不得持续燃烧超过 10 s |
| b) 持续运行/停止 | 若继续运行，符合 Clause 6 和 15；若停止运行，仍符合 Clause 6 |
| c) 保护功能 | 不得丧失保护功能 |
| 结构劣化 | 测试后不得出现导致 Clause 11 不符合的劣化 |
6. 设计建议与常见陷阱 Checklist
6.1 设计阶段 FMEA Checklist
- 已完成电路图审查，识别所有 Table 14 覆盖的元器件。
- 已对每个元器件标注短路 / 开路失效模式，并分析其对安全相关功能的影响。
- 已识别低功率点（Low-Power Points），确认豁免范围是否合理。
- 对功率半导体（MOSFET/IGBT/Triac），已评估部分导通和半波导通状态。
- 对晶振/时钟电路，已评估谐波/次谐波对时序的影响。
- 若使用有意弱化元件或走线，已准备型号/尺寸记录和一致性验证方案。
- 软件部分已完成 Table H.2 的对照分析，确认所有故障/错误均有对应检测措施。
- 已声明 FAULT REACTION TIME 和 DEFINED STATE，并验证其合理性。
- 已声明制造偏差和漂移值，并确认测试方案可验证。
6.2 测试阶段 Checklist
- 测试电压覆盖 0.9–1.1 倍额定值（电池供电：0–100% 开路电压）。
- 电源短路电流能力 ≥ 500 A（13.1.3.2 f）。
- 每次只模拟一个元器件的一种故障模式。
- 已用纸巾包裹样品（线控/独立安装控制器）或覆盖样品表面（其他类型）。
- 对电机负载，已在 6 倍额定负载或堵转条件下引入故障（13.1.3.7）。
- 若测试由电子电路终止，已按 13.1.3.4 禁用该功能并重复测试，或对可编程组件执行 Class B 软件评估。
- 对 Class B/C 功能，已在 DEFINED STATE 期间引入故障（H.13.2.4）。
- 对 Class C 功能，已验证第二故障不在第一故障后 24 h 内发生（H.13.2.3.3）。
6.3 常见不符合项与规避建议
| 不符合项 | 根因分析 | 规避建议 |
|---|---|---|
| 功率 MOSFET 短路后加热元件持续工作 | 未评估 MOSFET 部分导通状态；或关断路径依赖同一 MOSFET | 采用独立关断路径（如继电器、保险丝）；或选用双通道异构架构（Class C） |
| 故障后输出波形异常导致电机过热 | 未按 13.1.3.7 在 6 倍负载/堵转条件下测试 | 设计阶段预留电机负载测试条件；故障评估报告中明确负载类型 |
| 软件看门狗失效导致系统死机 | 看门狗与 MCU 共用时钟源，时钟故障时同时失效 | 使用独立时钟源的看门狗；或采用双通道比较架构（Class C） |
| 热敏电阻漂移导致动作温度偏移 | 未在 H.17 中声明合理的漂移值；或选型未考虑老化 | 选用高精度、低漂移热敏电阻；声明漂移值时预留 20% 以上裕量 |
| PCB 走线熔断后间距不足导致爬电距离减小 | 走线宽度/厚度未满足 Table 14 脚注 n 的豁免条件 | 关键安全走线宽度 ≥ 0.5 mm、厚度 ≥ 35 μm；或避免将安全功能依赖单条细走线 |
| 保险丝熔断但内部保护未动作 | 外部保险丝与内部保护装置配合不当 | 确保内部保护装置（如热熔断器）先于或同时于外部保险丝动作 |
7. 总结
UL 60730-1 的 FMEA 框架并非简单的"逐个元器件打叉"，而是一个从**硬件失效模式（Table 14）→ 软件故障控制（H.9.12 / Table H.2）→ 功能安全架构（H.13.2）→ 制造偏差与漂移（H.17）→ 耐久与老化（Clause 19 / H.19）**的完整闭环。
作为研发或合规工程师，你需要：
- 先分类：正确判定控制功能是 Class A、B 还是 C，这决定了后续评估的深度。
- 再分析：以 Table 14 为工具，逐个元器件进行短路/开路失效模式分析，特别关注功率半导体的部分导通和晶振的谐波影响。
- 后验证：在 0.9–1.1 倍额定电压、≥500 A 短路电流能力的条件下进行实物故障模拟，严格对照 13.1.3.8 和 H.13.2.5.2 的判据。
- 全周期：将制造偏差、漂移和老化纳入 FMEA 的时间维度，确保产品在声明寿命周期内持续安全。
如果你在具体产品的 FMEA 分析中遇到疑难（如复杂 IC 的引脚短路组合、多通道冗余架构的共因故障分析），建议尽早与认证机构或安全评估工程师沟通，避免在设计后期进行颠覆性修改。