2 IEC 60730 和 UL 1998 分级概述

为了奠定故障控制技术的基础，IEC 60730 和 UL 1998 规范均将产品分为多个等级。等级的分配取决于应用于具体控制功能的危险和风险分析。该分析基于故障的可能性和故障产生的后果。

图 2-1 IEC 60730 附录 H

IEC 60730 定义了 3 个等级：A、B 和 C：

UL 1998 定义了两个等级：1 和 2。UL 1998 1 级与 IEC 60730 B 级相当，UL 1998 2 级与 IEC 60730 C 级相当。如需了解等级定义和示例，请参阅表 2-1。

表 2-1 等级定义和示例

等级	定义 #OL_GX1_Y5H_TWB	示例
IEC 60730 A 级	“H.2.22.1 A 级控制功能 - 并非出于应用安全考虑而依赖的控制功能”	室内恒温器、温度控制。
IEC 60730 B 级和 UL 1998 1 级	“H2.2.22 B 级控制功能 - 旨在防止设备处于不安全状态的控制功能”注意：控制功能失效不会直接导致危险情况。	热断路器。洗衣设备门锁。
IEC 60730 B 级和 UL 1998 1 级	“A3.1 软件 1 级 - 旨在控制功能以降低与设备相关风险可能性的软件部分”	热断路器。洗衣设备门锁。
IEC 60730 C 级和 UL 1998 2 级	“H.2.22.3 C 级控制功能 - 旨在防止特殊危险（如爆炸）或故障可能直接导致设备危险的控制功能”	自动燃烧器控制。封闭式热水器系统的热断路器。
IEC 60730 C 级和 UL 1998 2 级	“A3.2 软件 2 级 - 旨在控制功能以降低设备相关特殊风险（如爆炸）可能性的软件部分”	自动燃烧器控制。封闭式热水器系统的热断路器。

这些标准定义了必须测试的组件以及用于检测该组件的故障/错误的可接受措施示例。根据等级，要测试的组件包括 CPU、时钟、易失性和非易失性存储器、内部数据路径、I/O 和通信接口（表 2-2）。一般而言，对于每个组件，开发人员可以选择几种类型的措施来验证/测试组件功能。这些建议的措施可以：

实施 IEC 60730 可接受措施旨在检测和防止与设备相关的不安全状况和危险。这些要求源自 IEC 61508 标准“电气/电子/可编程电子 (E/E/PE) 系统的功能安全”。IEC 61508 的重点是如何应用、设计和维护称为安全相关系统的自动保护系统。

表 2-2 IEC 60730/UL 1998 说明的故障模式汇总

要测试的组件		要检测的硬件故障/错误 ⁽¹⁾
要测试的组件		B/1 级	C/2 级
1.CPU	1.1 寄存器	固定型	直流故障
	1.2 指令解码和执行	不适用 ⁽²⁾	解码和执行错误
	1.3 程序计数器	固定型	直流故障
	1.4 寻址	不适用	直流故障
	1.5 数据路径	不适用	直流故障
2.中断		无或过于频繁	与不同来源相关，无或过于频繁
3.时钟		频率错误	频率错误
4.内存	4.1 非易失性	所有 single-bit 故障	所有 single-bit 和 double-bit 错误
	4.2 易失性	直流故障	直流故障和动态交叉链路
	4.3 寻址	停留在	直流故障
5.内部数据路径	5.1 数据	固定型	直流故障
5.内部数据路径	5.2 寻址	地址错误	地址错误、多重寻址
6.外部通信	6.1 数据	所有 single-bit 和 double-bit 错误	所有 single-bit、double-bit 和 triple-bit 错误
	6.2 寻址	地址错误	寻址错误和多重寻址
	6.3 时序	时间点错误	时间点错误
	6.3 时序	顺序错误	顺序错误
7.输入/输出外设	7.1 数字 I/O	开路和短路或按产品标准规定	开路和短路或按产品标准规定
	7.2 模拟 I/O 7.2.1 模数和数模转换器	开路和短路或按产品标准规定	开路和短路或按产品标准规定
	7.2 模拟 I/O 7.2.2 模拟多路复用器	寻址错误	寻址错误
8.监控器件和比较器		不适用	超出静态和动态功能规格的任何输出
9.1-8 未涵盖的组件。定制芯片、ASIC、GAL、门阵列		超出静态和动态功能规格的任何输出	超出静态和动态功能规格的任何输出

(1) 参考：IEC 60730-1 表 H.1 和 UL 1998 表 A.2

(2) 不适用：该特定等级的标准不要求检测此错误/故障。