Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
🧠 家电和工业设备的”大脑”安全——IEC 60730自动电控制器标准深入解读
你家的智能空调、洗衣机和微波炉内部都有一个小型”大脑”——自动电控制器。它们默默监控着温度、压力、时间，并在正确的时候接通或断开电路。如果这个”大脑”出错了会怎样？IEC 60730就是为防止这种场景而制定的——它定义了自动电控制器的安全要求，涵盖了从最简单的双金属片温控器到运行复杂嵌入式软件的智能控制器。
💡 核心认知：IEC 60730是世界上第一个对控制器软件提出安全要求的标准体系。它的Class B/C软件评估要求已经成为了全球家电行业微控制器软件开发的事实标准——即使你从未听说过它，你的代码可能正在被它约束。
📊 控制器的分类体系
| 分类维度 | 类别 | 说明 |
|---|---|---|
| 防电击保护 | Class 0/I/II/III | 与IEC 61140一致——从基本绝缘到SELV |
| 软件等级 | Class A/B/C | A=无安全依赖；B=故障不引起危险；C=故障可引起危险（如燃气阀控制） |
| 污染等级 | 1/2/3/4 | 微环境中的导电性污染程度 |
| 动作类型 | 1.B/2.B等 | 手动/自动/半自动操作模式 |
🏗️ Class B/C软件——嵌入式开发者的隐藏挑战
如果控制器的故障可能引起危险（Class C）或影响安全功能（Class B），IEC 60730要求对嵌入式软件进行系统性的安全评估。这包括但不限于：
- 看门狗定时器：防止程序跑飞——但仅有看门狗是不够的（窗口看门狗是更可靠的选择）
- RAM/ROM自检：需要在启动时和运行时周期性检查存储器完整性（如March-C算法用于RAM测试）
- 程序流监控：防止由EMI等外部干扰导致的程序计数器跳转
- 故障响应机制：检测到故障后控制器的行为必须是可预测的安全状态
✅ 工程设计洞察：最常犯的Class B软件错误是用看门狗代替所有其他自检措施。看门狗只能检测”程序完全卡死”的故障，对于寄存器翻转、RAM单元损坏等更隐蔽的故障基本无效。一个完整的Class B方案至少需要：看门狗+RAM自检+关键寄存器回读比较+程序流签名验证。
❓ 常见问题
- Q1: Class B和Class C软件评估的主要区别是什么？
- Class B要求故障不能引起危险（通常依靠外部保护措施），Class C要求即使在故障条件下控制器自身也必须保持安全状态。Class C的评估要求更严格，包括双重MCU冗余等架构方案。
- Q2: 家电产品做IEC 60730认证通常要多久？
- 纯硬件的简单控制器（如机械温控器）约2-4周。带软件Class B/C的控制器需要3-6个月，因为软件文档审查和功能安全评估耗时较长。
