魏明然 馮長卿 裴廣福 曹朔

（1.中國家用電器研究院，北京 100176；2.中家院（北京）檢測認(rèn)證有限公司，北京 100176；3.國家智能家居質(zhì)量監(jiān)督檢驗(yàn)中心，北京 100176）

據(jù)全國制鎖行業(yè)信息中心的統(tǒng)計(jì)數(shù)據(jù)顯示，2015 年全國智能門鎖產(chǎn)銷量為200 萬套，2016 年超過300 萬套，2017 年約為800 萬套。根據(jù)這三年的數(shù)據(jù)可以得出，中國智能鎖行業(yè)每年的復(fù)合增長率在70%左右。在2018 年，中國智能門鎖零售市場整體需求突破超過1300 萬套，而在2020 年民用智能門鎖總產(chǎn)銷量約1600 萬套。

在2018 年5 月國際門業(yè)博覽會(huì)上，“小黑盒”事件引起了廣泛關(guān)注，暴露出智能門鎖存在“電磁干擾開鎖漏洞”，只需要一個(gè)小黑盒，在智能門鎖附近掃描，最快3 秒鐘就能將門鎖打開。

市場監(jiān)管總局連續(xù)多年將智能門鎖作為監(jiān)測項(xiàng)目，各地消協(xié)也進(jìn)行多次比較試驗(yàn)，并且在2020 年，首次將智能門鎖納入抽查項(xiàng)目中。由此可見智能門鎖的安全性備受關(guān)注。

作為智能家居的入口產(chǎn)品，智能門鎖的安全可靠性直接關(guān)系到用戶的人身、財(cái)產(chǎn)安全，對(duì)智能門鎖設(shè)計(jì)進(jìn)行可靠性分析至關(guān)重要。

1 智能門鎖標(biāo)準(zhǔn)現(xiàn)狀

智能門鎖是在傳統(tǒng)鎖具的基礎(chǔ)上增加了電子控制器，以便實(shí)現(xiàn)多種解鎖方式、遠(yuǎn)程控制等智能功能，并且將傳統(tǒng)的單一功能的鎖具變?yōu)橹悄芗揖拥闹匾M成部分。但是在使用更加便捷的同時(shí)對(duì)智能門鎖的可靠性也是一種考驗(yàn)。

眾所周知，計(jì)算一個(gè)系統(tǒng)的可靠性并不是將系統(tǒng)中各組成部分可靠性簡單的相加，智能門鎖集合了鎖芯、鎖體、電子控制器以及多種解鎖模塊為一體，任何一部分可靠性不足都會(huì)導(dǎo)致整個(gè)系統(tǒng)可靠性偏低。

現(xiàn)階段大部分門鎖企業(yè)對(duì)智能門鎖檢測使用的是GB 21556-2008《鎖具安全通用技術(shù)條件》、GA 701《指紋防盜鎖通用技術(shù)條件》、GA 374-2019《電子防盜鎖》和JGT 394-2012《建筑智能門鎖通用技術(shù)要求》等標(biāo)準(zhǔn)，這些標(biāo)準(zhǔn)主要針對(duì)門鎖的電源特性、欠壓指示、信息保存、環(huán)境試驗(yàn)及機(jī)械結(jié)構(gòu)進(jìn)行測試，并未對(duì)電子控制器部分提出明確的要求。

2 智能門鎖風(fēng)險(xiǎn)分析

無論智能門鎖有多少解鎖功能，多么強(qiáng)大的APP 軟件和與其他智能家電聯(lián)動(dòng)的便捷，首先，智能門鎖的主體是門鎖，是家庭安防的重要部分，是保證人身生命安全和財(cái)產(chǎn)安全的重要角色。

作為門鎖，智能門鎖的智能功能失效不應(yīng)影響到門鎖本身的功能。換句話說，無論在什么情況下智能門鎖都不應(yīng)有異常解鎖或者無法解鎖的情況發(fā)生。一旦有不可控的異常動(dòng)作發(fā)生，那么使用者的生命安全或財(cái)產(chǎn)安全可能會(huì)受到傷害或者損失。

電自動(dòng)控制器本身是不可靠的，軟件缺陷、電源干擾、靜電釋放、元件隨機(jī)故障等都可能會(huì)造成電自動(dòng)控制器失效，從而導(dǎo)致門鎖異常動(dòng)作的發(fā)生[1]。雖然電自動(dòng)控制器存在失效的風(fēng)險(xiǎn)，但并不意味著電自動(dòng)控制器在存在故障的情況下，門鎖依然可以正常使用所有的智能功能，如果想達(dá)到這樣的程度，那么智能門鎖的電子電路甚至電機(jī)部分都需要有大量的冗余結(jié)構(gòu)，這樣是不現(xiàn)實(shí)的。

根據(jù)智能門鎖的標(biāo)準(zhǔn)要求，智能門鎖要保留應(yīng)急開鎖功能，一般門鎖企業(yè)使用鑰匙解鎖作為應(yīng)急開鎖功能。所以在電子控制器失效的情況下，門鎖不應(yīng)有誤動(dòng)作，此時(shí)可以通過企業(yè)保留的應(yīng)急解鎖方式開鎖或上鎖。

3 電子控制器失效分析

一般對(duì)電子控制器進(jìn)行失效分析之前，要先找到電子控制器上與安全相關(guān)的電路（PEC），即保護(hù)性電子電路。因?yàn)榉前踩嚓P(guān)的電路失效或者故障后，可能造成的是功能不完整，不會(huì)影響到系統(tǒng)安全。但是安全相關(guān)電路失效或者故障后，將會(huì)對(duì)系統(tǒng)安全造成影響。

與安全相關(guān)電路分為輸入、處理、輸出三部分。輸入部分一般由傳感器或者檢測電路組成，由MCU 擔(dān)任處理部分，執(zhí)行器件構(gòu)成輸出部分。

對(duì)于保護(hù)性電子電路如何做失效分析，在GB/T 14536.1-2008《家用和類似用途電自動(dòng)控制器 第1 部分:通用要求》的附錄H 中，列出不同元器件的失效模型：電阻開路、三極管兩個(gè)極性之間短路、每個(gè)端子對(duì)集成電路電源端短路和每個(gè)端子對(duì)集成電路地的短路等[2]。

以門鎖常見的電路設(shè)計(jì)方案舉例：

（1）使用無使能端的集成電路作為電機(jī)驅(qū)動(dòng)

如圖1 所示，可以分析出這種結(jié)構(gòu)沒有反饋信號(hào)，即PEC中沒有輸入部分。對(duì)電機(jī)驅(qū)動(dòng)芯片的輸入端做故障，即將IN1或IN2 與驅(qū)動(dòng)芯片的VCC 短路，此時(shí)驅(qū)動(dòng)芯片工作，并給電機(jī)驅(qū)動(dòng)信號(hào)，電機(jī)帶動(dòng)離合或者鎖舌動(dòng)作，門鎖有異常解鎖或無法解鎖的情況發(fā)生。

圖1 門鎖電路設(shè)計(jì)方案1

這種情況是存在危險(xiǎn)的，故障是隨機(jī)發(fā)生的，當(dāng)故障發(fā)生時(shí)，很有可能使用者并不在門鎖旁邊，那么門鎖異常解鎖將會(huì)給不法分子帶來可乘之機(jī)。

對(duì)于這樣的結(jié)構(gòu)要提高電子控制器的可靠性，可以通過簡單的修改電路設(shè)計(jì)（如圖2 所示），使用MCU 控制器電機(jī)驅(qū)動(dòng)芯片的VCC，使驅(qū)動(dòng)芯片在待機(jī)的情況下不工作，若電子控制器存在故障，由于驅(qū)動(dòng)芯片不工作，則門鎖不會(huì)立即發(fā)生異常解鎖。只有在正確驗(yàn)證指紋、密碼或IC 卡后，驅(qū)動(dòng)芯片才可以得電。

圖2 改善后的設(shè)計(jì)方案

若有條件，可以通過軟件配合檢測IN1 和IN2 的狀態(tài)，判斷電子控制器是否處于故障條件下，因?yàn)榇藭r(shí)使用者在門鎖旁邊，可以通過報(bào)警提示音提示使用者，門鎖相對(duì)來說處于可控狀態(tài)。

（2）使用有使能端的集成電路作為電機(jī)驅(qū)動(dòng)

相對(duì)于圖1 的結(jié)構(gòu)，如圖3 結(jié)構(gòu)的優(yōu)勢是通過使能端控制電機(jī)驅(qū)動(dòng)芯片使能，可以控制驅(qū)動(dòng)芯片何時(shí)工作，從而避免故障發(fā)生時(shí)門鎖立即誤動(dòng)作的情況。但是結(jié)合現(xiàn)階段門鎖的具體情況，門鎖企業(yè)的方案中也沒有對(duì)電機(jī)或驅(qū)動(dòng)芯片信號(hào)的檢查，這就導(dǎo)致了PEC 電路中還是缺少輸入部分。

圖3 使用有使能端的設(shè)計(jì)方案

經(jīng)過分析可以發(fā)現(xiàn)，當(dāng)電機(jī)驅(qū)動(dòng)芯片的輸入腳IN1 或IN2與VCC 短路時(shí)，門鎖不會(huì)立即發(fā)生誤動(dòng)作，但是當(dāng)使用者正確驗(yàn)證指紋、密碼或者IC 卡后，MCU 給驅(qū)動(dòng)芯片使能信號(hào)。此時(shí)由于有故障存在，那么門鎖可能無法解鎖或者解鎖之后無法上鎖，因?yàn)镻EC 電路缺少輸入部分，導(dǎo)致門鎖發(fā)生故障后，無法報(bào)警提示使用者。若室內(nèi)端使用的是按鍵控制開鎖或者上鎖的方式，那么有可能在室內(nèi)無法開門，雖然風(fēng)險(xiǎn)程度上低于圖1 的結(jié)構(gòu)，但是還是存在一定的風(fēng)險(xiǎn)。

對(duì)于這樣的結(jié)構(gòu)要提高電子控制器的可靠性，可以使用軟件配合，使用MCU 管腳作為PEC 的輸入部分，即在正確驗(yàn)證開鎖信號(hào)之后，先檢查IN1 和IN2 的信號(hào)，若檢查信號(hào)異常可以提醒使用者門鎖異常，若檢查信號(hào)正常，則可以給使能端信號(hào)令門鎖正常工作。

（3）帶有感應(yīng)舌的全自動(dòng)門鎖

對(duì)于全自動(dòng)門鎖如圖4 所示，一般都是有一個(gè)感應(yīng)舌的結(jié)構(gòu)，感應(yīng)舌是一個(gè)開關(guān)元件，一端接到高電平，一端接MCU的管腳，通過按壓感應(yīng)舌檢測門是否正確關(guān)閉，當(dāng)門關(guān)閉后，通過MCU 控制電機(jī)驅(qū)動(dòng)芯片使電機(jī)轉(zhuǎn)動(dòng)推出主鎖舌上鎖。對(duì)于這樣的門鎖最少有兩條PEC 電路：

圖4 帶有感應(yīng)舌的全自動(dòng)門鎖

PEC1：電機(jī)驅(qū)動(dòng)芯片檢測+MCU+驅(qū)動(dòng)電機(jī)；

PEC2：感應(yīng)舌+MCU+驅(qū)動(dòng)電機(jī)。

對(duì)于PEC2 來說，可以在感應(yīng)舌或者M(jìn)CU 接收感應(yīng)舌信號(hào)的管腳處做故障，因?yàn)楦袘?yīng)舌一般都是一個(gè)開關(guān)器件，檢測門是否關(guān)閉的信號(hào)是高電平或者低電平，那么根據(jù)故障模型，可以將MCU 對(duì)應(yīng)的管腳與MCU 的VCC 或者GND 短路，此時(shí)門鎖不會(huì)出現(xiàn)異常開鎖的情況，但是可能發(fā)生無法解鎖或者解鎖之后無法上鎖的情況。

若計(jì)劃提高這種結(jié)構(gòu)的可靠性，則可以采用圖5 的設(shè)計(jì)方案，將感應(yīng)舌之前接高電平的一端接到MCU 上，此時(shí)感應(yīng)舌兩端都接到MCU 上，MCU 通過管腳輸出一個(gè)方波或者其它類型的波形，按壓感應(yīng)舌后，另一個(gè)管腳檢測到的是相同的波形。這時(shí)如果將MCU 管腳與VCC 短路，軟件可以檢測出信號(hào)異常；如果將MCU 管腳與GND 短路，則需要軟件計(jì)算門鎖開啟時(shí)間，當(dāng)發(fā)現(xiàn)門鎖開啟后長時(shí)間不上鎖，需要提醒使用者注意安全。

圖5 改善后的設(shè)計(jì)方案1

但是這種改善方式會(huì)導(dǎo)致需要長時(shí)間開門的情況下，門鎖會(huì)報(bào)警，從而使用體驗(yàn)變差。在硬件允許的情況下，可以采用圖6 的設(shè)計(jì)方案，由MCU 的兩個(gè)關(guān)鍵檢測感應(yīng)舌的狀態(tài)，需要注意的是，若采用MCU 相鄰管腳檢測感應(yīng)舌狀態(tài)，盡可能的使用不同的電平表示感應(yīng)舌狀態(tài)，這樣可以發(fā)現(xiàn)更多的故障。

圖6 改善后的設(shè)計(jì)方案2

若室內(nèi)端使用的是按鍵控制開鎖或者上鎖的方式，分析過程與圖4 結(jié)構(gòu)類似，因此不再贅述。

（4）對(duì)于有多個(gè)傳感器的全自動(dòng)門鎖

有些全自動(dòng)門鎖鎖體內(nèi)部有多個(gè)傳感器如圖7 所示，可以檢測主鎖舌的狀態(tài)，對(duì)于這種門鎖PEC 有很多：

圖7 帶有多個(gè)傳感器的門鎖

PEC1：電機(jī)驅(qū)動(dòng)芯片檢測+MCU+驅(qū)動(dòng)電機(jī)；

PEC2：感應(yīng)舌+MCU+驅(qū)動(dòng)電機(jī)；

PEC3：檢測鎖舌伸出的開關(guān)+MCU+驅(qū)動(dòng)電機(jī)；

PEC4：檢測鎖舌收回的開關(guān)+MCU+驅(qū)動(dòng)電機(jī)。

對(duì)于檢測解鎖和上鎖有冗余電路，實(shí)現(xiàn)檢測門鎖狀態(tài)是比較容易的。

4 結(jié)束語

經(jīng)過上述多種結(jié)構(gòu)的電路可以分析出智能門鎖不僅僅是在傳統(tǒng)鎖具上增加一個(gè)電子開鎖的功能，更多的是要考慮如何安全有效的將這些智能功能增加到門鎖上，還必須要保證在電子控制器失效的情況下不能影響門鎖的基本功能。

僅僅從電子控制器方面進(jìn)行分析，發(fā)現(xiàn)智能門鎖還有很大的提升空間，那么從整體考慮，智能門鎖作為一個(gè)機(jī)電一體化的產(chǎn)品，一個(gè)跨界在安防、家電、消費(fèi)電子多領(lǐng)域的智能產(chǎn)品，還有很多與安全相關(guān)的地方值得我們?nèi)ネ魄?。在此也呼吁門鎖行業(yè)盡早完善標(biāo)準(zhǔn)，引領(lǐng)行業(yè)健康發(fā)展，使消費(fèi)者可以買到更安全可靠的產(chǎn)品。