《CJT 421家用燃气燃烧器具电子控制器应用解读.doc》由会员分享，可在线阅读，更多相关《CJT 421家用燃气燃烧器具电子控制器应用解读.doc（4页珍藏版）》请在三一办公上搜索。
1、CJ/T 421-2013家用燃气燃烧器具电子控制器应用解读曾英华，陈杰明（广东百威电子有限公司）摘要：本文围绕我国城镇建设行业标准CJ/T 421-2013的关键术语、电路结构要求、故障防护要求等展开解释性论述，并通过具体例子来阐明CJ/T 421-2013的核心思想及阅读方法。关键词：CJ/T 421-20131引言CJ/T 421-2013家用燃气燃烧器具电子控制器的发布对我国家用燃气热水器、家用燃气灶具电子控制器的发展具有深远意义，该行业标准CJ/T 421-2013自2013年6月1日起实施以来至今已有一年时间。一年来，业内人士努力按新标准设计燃气热水器、燃气灶具的电子控制器，但是，
2、据我们的调查了解业界对这份标准的应用始终不得要领。究其原因，是因为CJ/T 421在很大程度上借鉴了欧洲标准EN 298:2003，并且引用了GB14536.1-2008（IEC60730-1:2004（Ed4.1）,IDT）标准。EN 13611是EN 298的上级标准，同时它又是EN 60730-1的下级标准，加上IEC 60730-1的软件技术部分实质上源自IEC 61508-3和IEC 61508-7（EN xxx作为区域性标准经常被升格为IEC xxx国际性标准），因此，CJ/T 421的背后隐藏着庞大的标准体系。然而，CJ/T 421偏偏选择了一种非常精简的表述方式，这自然造成了C
3、J/T 421的晦涩难懂。有鉴于此，本文尝试从欧标的原文出发，通过对CJ/T 421的补充解释来帮助读者更好地理解CJ/T 421、用好CJ/T421，以促进我国家用燃气燃烧器具电子控制器行业的发展。2关于城建标准CJ/T 421的关键术语为了读懂CJ/T 421，我们不得不跨越几重障碍，其中需要跨越的第一大障碍就是对标准中术语及其定义的理解。以CJ/T 421第3.2.3节“带有周期自检和检测的单通道”为例，由于该结构是其中一种被CJ/T 421第5.3.3节“C类控制器的电路结构”所认可的安全结构，而且该结构是满足CJ/T 421要求的最常用的一种电路结构，所以，我们必须先搞清楚该术语到底
4、是怎么回事，才能够读懂接下来的章节。什么是通道？简单来说，就是通过电子电路实现的信号通道，这个信道是带有功能的设计（电路），可对输入信号执行特定的响应。为了便于理解，下文将用“信道”代替“通道”来展开论述。那什么是单信道呢？单是相对双而言的，所谓单信道，比较直观的理解就是用一个MCU控制一到两个三极管，相对地用两个相互独立的MCU去控制两个三极管就是双信道结构。当然，标准并不排斥三信道结构，但实际上出于成本和PCB设计方面的考虑，选用三信道结构的设计少之又少，所以，标准只提及单信道和双信道这两种电路结构。什么是周期自检？其实质就是一种提前预防的安全机制，类似每年上医院做全身体检，只是对MCU来
5、说，这种全身检查来得更为频繁。关于这点下文还会论述，具体可参考IEC 60730-1 Edition 4.0的Table H.1。简单来说，MCU通过三极管（或继电器）控制燃气阀的开启与关闭，如果因为MCU出错而错误地打开阀体，将可能导致中毒、爆炸之类的伤亡事故。而标准就是通过制定安全相关的要求，避免燃烧器具由于元件故障或电子控制器的程序问题而出现危及生命的安全事故。所以MCU必须进行周期自检，譬如检查ROM里面的程序有没有突变、时钟频率有没有变异、火焰信号的输入端口有没有正常工作等等。监测又是怎么回事？在标准中该中文解释非常绕口，其实分开理解就可以了。就是在带周期自检单信道的基础上，加入一个
6、独立的用于监控MCU有没有正常运行的设计电路。至于监控内容，主要是与安全相关的时序和软件运行，一旦监测到异常，相关的设计电路会做出应有的响应，例如关阀。回过头来看，一个术语、短短几个词组却涉及大量的信息，所以，要真正读懂CJ/T 421，必须下苦功才行。3关于C级设计的结构要求为了读懂CJ/T 421，横在我们面前的第二大障碍就是对设计结构的理解。实际上CJ/T 421的第5.3.3节是引用自IEC 60730-1 Edition 4.0的H.11.12.1.2，而IEC 60730-1的原意是针对C级软件的控制功能的，考虑到现在的燃气燃烧器具电子控制器一般带有MCU，而MCU要工作必须烧写程
7、序，所以IEC 60730-1的表述并无不妥。其实，在H.11.12.1.2的前前后后，还有许多解释性和补充性的条文，例如，IEC 60730-1的第H.11.12.2.2节还提及采用C级软件的双信道结构的控制器，为了查出仅通过比较器或相互比较功能而无法发现的故障和错误，还应增加额外的故障、错误检测手段。例如周期性的功能测试、周期自检和独立监控。所以，我们无法抛开软件而单独讨论硬件的C级设计。另外，CJ/T 421的第6.4节实际上来自EN 13611:2007+A2:2011的第6.6节，也就是说CJ/T 421的第6.4节的a对应EN 13611的第6.6.2节，CJ/T 421的第6.4
8、节的b对应EN 13611的第6.6.3节，CJ/T 421的第6.4节的c对应EN 13611的第6.6.4节。EN 13611既然有第6.6.2节，自然也有第6.6.1节，请注意这一节不可缺少，因为它解释了防止故障和容忍故障的概念。例如：原文有以下表述“The result shall be a system configuration which is either inherently fail safe or in which components with direct safety-critical functions (e. g. gas valve drivers, micr
9、oprocessors with their associated circuits, etc.) are guarded by safeguards (in accordance to EN 60730-1:2000, Annex H, Software class B or C). These safeguards shall be built into hardware (e. g. watch-dog, supply voltage supervision) and can be supplemented by software (e. g. ROM-test, RAM-test, e
10、tc.).”，这就引入了一个重要的概念，safeguard（本文翻译为安全防护装置），正因为有了安全防护装置，CJ/T 421的第6.4节才有实现的可能。图1 CJ/T 421实现方案安全防护装置一般分首层和第二层，针对MCU的故障必须有独立的看门狗电路（注意不要跟看门狗芯片相混淆）来进行监控，这个看门狗电路就是首层安全防护装置，它既可以是独立的MCU，也可以是纯硬件的设计电路。然后，这个安全防护装置负责控制一到两路三极管，具体可参考上图1，当MCU出现故障，就由看门狗电路执行关阀动作。但是，看门狗电路也有出错的可能性，于是MCU作为第二层安全防护装置在上电的时候以及每次开阀加热之前都会检测由
11、看门狗电路负责控制的三极管是否正常，如果有异常，MCU会自发进入锁定状态。通过这两重安全防护装置，CJ/T 421的第6.4节的c所提及的“C类控制器在第一和第二独立故障条件下具有自我保护功能”在逻辑上就可以万无一失了。当然，要全面实现C级设计的结构，还有很多软硬件方面的细节，例如图1方案1的MCU控制Q2和Q3，该控制信号不能够一样，而方案2的看门狗电路，不能在单一故障下同时导通Q4和Q5；再譬如MCU程序要周期性地执行CRC以检查ROM，还要用专门的算法来检查RAM（补充：由于IEC 61508成文于上世纪，随着数学理论方面的进展，很多MCU厂商都准备了执行速度更快的算法，所以，没必要采用
12、标准上提供的算法），诸如此类，出于篇幅考虑，这里不作一一介绍。所以，而要想真正读懂把大量前前后后的条文都精简掉的CJ/T 421，我们必须结合欧标的原文来理解。4关于内部故障的试验方法第三大障碍或问题：CJ/T 421相对欧标的修改让人感到比较茫然。我们通过CJ/T 421标准与相应欧标原文的比较，发现CJ/T 421的第7.5节与欧标原文有差异。例如：EN 298:2012的第6.6.4.2节所提及的第一故障来源于附录E，该附录引用了EN 13611:2007+A2:2011的附录E，然后电子元件故障模式中的Integrated circuit（集成电路）又引用了EN 13611-2-5:2
13、002的H11.12，最终H11.12提出了C级软件的要求。但CJ/T 421的第7.5.2.1节直接要求“按附录I和GB 14536.1-2008中表H.11.12.7的要求导入故障进行试验”，那我们是否可以理解为MCU程序可以按B级来检验呢？再例如CJ/T 421的第7.5.1.1的b提及“控制器在故障反应时间内执行安全关闭或进入锁定状态”，那么故障反应时间是多久？如果按照EN 298，则这个时间是明确的，即3秒，也就是软件必须在3秒内把MCU自身的故障、错误查找出来。如果不规定的话，那30秒也是可以的。这样就给低端MCU一个继续发光发热的机会。不过一般建议选用16位或32位的MCU，不然
14、还真不好满足CJ/T 421的要求。总的来说，感觉CJ/T 421相比EN 298大大降低了对电子控制器的要求。由于CJ/T 421行文精简，无法做到前后对接，所以阅读起来份外困难。另外，CJ/T 421的第7.5.2.2“第二故障试验”忽略了永久运行（系统）和非永久运行（系统）的区别。实际上EN 298:2012在第6.6.4.3节对上述两种设计做了明确的区分，考虑到类似两用炉等产品也可以通过某些技术手段设计成非永久运行，所以CJ/T 421的做法也无可厚非。不过EN 13611明确了第二故障引入前必须先执行一次启动过程（通过自检发现问题），这点可以认为是对第6.6.4.2节的c（对应CJ/
15、T 421的第7.5.1.1节的c）的补充，因此非常重要。但CJ/T 421的表述存在问题：一个是“通常第二故障是与第一故障有关的任何其他独立故障”，EN 13611并没有这样的表述；另一个是“试验时，在第一故障已导入，且控制器已经启动运行的情况下导入第二故障”，注意“启动运行”跟“启动过程”是两码事，因为“启动运行”按照通常的理解，会把自检后进入故障锁定状态的情形忽略掉，使标准无法前后衔接。这类问题虽然对标准的总体影响不大，但在表述时必须明确，避免设计应用时进入误区。5关于CJ/T 421的关键附录读者也许会发现CJ/T 421甚少提及软件要求，所以附录F可以说是硕果仅存。说真的，此附录很容
16、易被忽略掉，它非常精简地提及了GB/T 20438.2-2006和GB/T 20438.7-2006，其实GB/T 20438来源于IEC 61508，同样的，我们的国标比国际性标准更难以理解，里面充斥着绕口的术语，如果要真正实现CJ/T 421，我们还得下更大的苦功去研读IEC 61508。令人苦恼的是，因为GB/T 20438-2是一份通用性的标准，它里面针对“诊断覆盖率或安全失效分数”分别给出了低（60%）、中（90%）、高（99%）三种要求，而CJ/T 421只是简单地说“按什么什么的规定或什么什么的相应规定”，所以，你根本就不知道控制硬件和控制系统该按低中高哪个要求去做，倒是IEC
17、60730-1的Table H.1（对应GB 14536.1-2008中表H.11.12.7）在这方面明确得多，例如B级软件只考虑stuck at（可理解为卡住了或开路了，比如某一位为零，写1，读回来，仍然是零）类型的故障，C级软件还要考虑DC fault（可理解为短路了，比如某个字节所有位均为0，第一位写1，结果第4位也变为1）类型的故障。但就如前文所提及的话题：CJ/T 421并没有对软件等级提出明确的要求，这是最让人费解的。6 结语我们花费了大量的时间去参阅多份欧洲标准，试图把最真实的CJ/T 421还原出来呈现给大家。文章中也给出了实现CJ/T 421的一些框架结构，同时对CJ/T 4
18、21的表述方面的问题提出了建议，希望读者能够从中得到启发。参考文献：1 CJ/T 421-2013家用燃气燃烧器具电子控制器。2 GB/T 20438.2-2006 电气/电子/可编程电子安全相关系统的功能安全 第2部分：电气/电子/可编程电子安全相关系统的要求。3 EN 298:2012 Automatic burner control systems for burners and appliances burning gaseous or liquid fuels.4 EN 13611:2007+A2:2011 Safety and control devices for gas bur
19、ners and gas burning appliances - General requirements.5 IEC 60730-1 Edition 4.0 Automatic electrical controls for household and similar use Part 1: General requirements.6 EN 60730-2-5:2002 Automatic electrical controls for household and similar use Part 2: Particular requirements for automatic electrical burner control systems.
