ГОСТ Р МЭК 61508-6-2007 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 6. Руководство по применению ГОСТ Р МЭК 61508-2-2007 и ГОСТ Р МЭК 61508-3-2007

ФУНКЦИОНАЛЬНАЯБЕЗОПАСНОСТЬ
СИСТЕМЭЛЕКТРИЧЕСКИХ,
ЭЛЕКТРОННЫХ, ПРОГРАММИРУЕМЫХ
ЭЛЕКТРОННЫХ, СВЯЗАННЫХ
СБЕЗОПАСНОСТЬЮ

Часть 6

Руководствопоприменению
ГОСТРМЭК 61508-2-2007 иГОСТРМЭК 61508-3-2007

IEC 61508-6:2000
Functional safety of electrical/electronic/programmable electronic safety-related
systems – Part 6: Guidelines on the application of IEC 61508-2 and IEC 61508-3
(IDT)

Предисловие

ЦелиипринципыстандартизациивРоссийскойФедерацииустановленыФедеральнымзакономот 27 декабря 2002 г. № 184-ФЗ «Отехническомрегулировании», аправилаприменениянациональныхстандартовРоссийскойФедерации-ГОСТР 1.0-2004«СтандартизациивРоссийскойФедерации. Основные положения»

Сведенияостандарте

1 ПОДГОТОВЛЕНобществомсограниченнойответственностью«Корпоративныеэлектронныесистемы»иТехническимкомитетомпостандартизацииТК 10 «Перспективныепроизводственныетехнологии, менеджментиоценкарисков»наосновесобственногоаутентичногопереводастандарта, указанногов пункте 4

2 ВНЕСЕНУправлениемразвития, информационногообеспеченияиаккредитацииФедеральногоагентствапотехническомурегулированиюиметрологии

3 УТВЕРЖДЕНИВВЕДЕНВДЕЙСТВИЕПриказомФедеральногоагентствапотехническомурегулированиюиметрологииРоссииот 27 декабря 2007 г. № 581-ст

4 НастоящийстандартидентиченмеждународномустандартуМЭК 61508-6:2000 «Функциональная безопасностьсистемэлектрических, электронных, программируемыхэлектронных, связанныхсбезопасностью. Часть 6. РуководствопоприменениюМЭК 61508-2:2000 иМЭК 61508-3:1998» (IEC 61508-6:2000 «Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 6: Guidelines on the application of IEC 61508-2 and IEC 61508-3).

НаименованиенастоящегостандартаизмененоотносительнонаименованияуказанногомеждународногостандартадляприведениявсоответствиесГОСТР 1.5-2004 (подраздел 3.5).

Приприменениинастоящегостандартарекомендуетсяиспользоватьвместоссылочныхмеждународныхстандартовсоответствующиеимнациональныестандарты, сведенияокоторыхприведенывдополнительномприложенииF

5 ВВЕДЕНВПЕРВЫЕ

Информацияобизмененияхкнастоящемустандартупубликуетсявежегодноиздаваемоминформационномуказателе«Национальныестандарты», атекстизмененийипоправок – вежемесячно издаваемыхинформационныхуказателях«Национальныестандарты». Вслучаепересмотра (замены) илиотменынастоящегостандартасоответствующееуведомлениебудетопубликовановежемесячноиздаваемоминформационномуказателе«Национальныестандарты». Соответствующая информация, уведомлениеитекстыразмещаютсятакжевинформационнойсистемеобщегопользования– наофициальномсайтеФедеральногоагентствапотехническомурегулированиюиметрологиивсетиИнтернет

Содержание

Введение

Системы, состоящиеизэлектрическихи/илиэлектронныхкомпонентов, втечениемногихлетиспользуютсядлявыполненияфункцийбезопасностивбольшинствеобластейприменения. Компьютерные системы [обычноназываемыепрограммируемымиэлектроннымисистемами (PES)], используемыевовсех областяхприменениядлявыполнениязадач, несвязанныхсбезопасностью, вовсевозрастающихмасштабахиспользуютсядлярешениязадачобеспечениябезопасности. Дляэффективнойибезопаснойэксплуатациитехнологий, основанныхнаиспользованиикомпьютерныхсистем, важно, чтобылица, ответственныезапринятиерешений, имеливсвоемраспоряжениипрактическиеруководстваповопросам безопасности.

Настоящийстандартустанавливаетобщийподходквопросамобеспечениябезопасностивсегожизненногоцикласистем, состоящихизэлектрическихи/илиэлектронных, и/илипрограммируемыхэлектронныхкомпонентов [электрических/электронных/ программируемыхэлектронныхсистем (E/E/PES)], используемыхдлявыполненияфункцийбезопасности. Этотунифицированныйподходбылпринятдляразработкирациональнойипоследовательнойтехническойконцепциидлявсехэлектрическихсистем, связанныхс безопасностью. Основнойцельюнастоящегостандартаявляетсясодействиеразработкестандартовдля ихприменениявразличныхпредметныхобластях.

Обычнобезопасностьсистемдостигаетсяиспользованиемвнихнесколькихсистемзащиты, вкоторыхиспользуютсяразличные (напримермеханические, гидравлические, пневматические, электрические, электронные, программируемыеэлектронные) технологии. Следовательно, любаястратегиябезопасности должнаучитыватьнетолькоэлементы, входящиевсоставотдельныхсистем (напримердатчики, управляющиеустройстваиисполнительныемеханизмы), нотакжеиподсистемы, связанныесбезопасностью, входящиевсоставкомбинированнойсистемы, связаннойсбезопасностью. Такимобразом, хотянастоящийстандартвосновномраспространяетсянаэлектрические/электронные/ программируемыеэлектронные (Е/Е/РЕ) системы, связанныесбезопасностью, онможеттакжедатьпредставлениеобобщейструктуре, врамкахкоторойрассматриваютсясистемы, связанныесбезопасностью, основанныенадругихтехнологиях.

ПризнаннымфактомявляетсясуществованиеогромногоразнообразияпримененийE/E/PESвразличныхпредметныхобластях, отличающихсяразнойстепеньюсложности, опасностямиивозможными рисками. Вкаждомконкретномприменениииспользованиенеобходимыхмербезопасностибудетзависетьотмногочисленныхфакторов, специфичныхдляэтогоконкретногоприменения. Настоящийстандарт, являясьбазовым, позволяетформулироватьтакиемерыдлявновьразрабатываемыхмеждународных стандартовдляразличныхпредметныхобластей.

Настоящийстандарт:

– рассматриваетвсесоответствующиеэтапыжизненногоцикласистембезопасностивцелом, атакже подсистемE/E/PESипрограммногообеспечения (начинаясисходнойконцепции, включаяпроектирование, разработку, эксплуатацию, техническоеобслуживаниеивыводизэксплуатации), входекоторых E/E/PESиспользуютсядлявыполненияфункцийбезопасности;

– разработансучетомбыстрогоразвитиятехнологий; егоструктураявляетсядостаточноустойчивой иполнойдляудовлетворенияпотребностейразработок, которыемогутпоявитьсявбудущем;

– делаетвозможнойразработкустандартовобластейприменения, вкоторыхиспользуютсясистемы E/E/PES; разработкастандартовдляобластейпримененияврамкахобщейструктуры, вводимойнастоящимстандартом, должнаприводитькболеевысокомууровнюсогласованности (напримеросновныепринципы, терминологияит. п.) какдляотдельныхобластейприменения, такидляихсовокупности; этодает преимущества, какдлябезопасности, такивсфереэкономики;

– предоставляетметодразработкиспецификацийдлятребованийбезопасности, необходимыхдля достижениятребуемойфункциональнойбезопасностиЕ/Е/РЕсистем, связанныхсбезопасностью;

– используетуровниполнотыбезопасностидлязаданияпланируемогоуровняполнотыбезопасности функций, которыедолжныбытьреализованыЕ/Е/РЕсистемами, связаннымисбезопасностью;

– используетдляопределенияуровнейполнотыбезопасностиподход, основанныйнаоценкерисков;

– устанавливаетколичественныезначенияотказовЕ/Е/РЕсистем, связанныхсбезопасностью, которыесвязанысуровнямиполнотыбезопасности;

– устанавливаетнижнийпределпланируемыхзначенийотказовврежимеопасныхотказов, который можетбытьзадандляотдельнойЕ/Е/РЕсистемы, связаннойсбезопасностью; дляЕ/Е/РЕсистем, связанныхсбезопасностьюработающих:

– врежимеснизкойинтенсивностьюзапросов, нижнийпределдлявыполненияпланируемойфункциипозапросуустанавливаютнасреднейвероятностиотказов 10^-5,

– врежимесвысокойинтенсивностьюзапросовнижнийпределустанавливаютнавероятностиопасныхотказов 10^-9вчас.

Примечание-КонкретнаяЕ/Е/РЕсистема, связаннаясбезопасностью, необязательнопредполагает одноканальнуюархитектуру;

– применяетширокийнаборпринципов, методовимердлядостиженияфункциональнойбезопасностиЕ/Е/РЕсистем, связанныхсбезопасностью, нонеиспользуетконцепциюбезаварийности, котораяможетиметьважноезначениевслучае, есливидыотказовхорошоопределены, ауровеньсложностиявляетсяотносительноневысоким. Концепциябезаварийностипризнананеподходящейиз-заширокогодиапазонасложностиЕ/Е/РЕсистем, связанныхсбезопасностьюиподпадающихподобластьприменения настоящегостандарта.

НАЦИОНАЛЬНЫЙСТАНДАРТРОССИЙСКОЙФЕДЕРАЦИИ

Датавведения- 2008-09-01

1 Область применения

1.1 Настоящийстандартсодержитинформациюируководящиеуказанияпоприменению МЭК 61508-2 иМЭК 61508-3.

КраткийобзортребованийМЭК 61508-2 иМЭК 61508-3 иопределениефункциональнойпоследовательностиихприменениясодержитсявприложенииА.

ПримерметодикирасчетавероятностиотказааппаратныхсредствсодержитсявприложенииВ, котороеследуетприменятьсовместносМЭК 61508-2 (пункт 7.4.3 иприложениеС) иприложениемDнастоящегостандарта.

ПримеррасчетадиагностическогоохватасодержитсявприложенииС, котороеследуетприменять совместносМЭК 61508-2 (приложениеС).

Методколичественнойоценкивлиянияотказоваппаратныхсредствпообщейпричиненавероятностьотказов-поприложениюD.

Примерыприменениятаблицполнотыбезопасностипрограммногообеспечения, приведенныхв МЭК 61508-3 (приложениеА), дняуровнейполнотыбезопасности 2 и 3 -поприложениюЕ.

1.2 МЭК 61508-1 – МЭК 61508-4 являютсяосновополагающимистандартамипобезопасности, хотя онинеприменяютсявконтекстеЕ/Е/РЕсистем, связанныхбезопасностью, имеющихнебольшуюсложность (см. МЭК 61508-4, пункт 3.4.4). Вкачествеосновополагающихстандартовпобезопасностиданные стандартыпредназначеныдляиспользованиятехническимикомитетамиприподготовкестандартоввсоответствиисРуководствамиМЭК 104:1997 иИСО/МЭК 51:1999. СтандартыМЭК 61508-1 -МЭК 61508-4 предназначенытакжедляиспользованиявкачествесамостоятельныхстандартов.

1.3 Вобязанноститехническогокомитетавходитиспользование (гдеэтовозможно) основополагающихстандартовпобезопасностиприподготовкесобственныхстандартов. Вэтомслучаетребования, методыилиусловияпроверкинастоящегоосновополагающегостандартапобезопасностинебудутприменяться, еслиэтонеуказаноспециально, илибудутвключатьсявстандарты, подготовленныеэтимитехническимикомитетами.

Примечание-ВСШАиКанадедотехпор, покастандартыдляконкретногосектораприменения стандартовМЭК 61508 (напримерМЭК 61511 [1]) небудутопубликованывкачествемеждународныхстандартов СШАиКанады, существующиетамнациональныестандартыпобезопасностивобрабатывающихсекторах, основанныенаМЭК 61508, могутбытьпримененывместоМЭК 61508.

1.4 СтруктуракомплексастандартовМЭК 61508-1 -МЭК 61508-7 суказаниемролиМЭК 61508-6 в достижениифункциональнойбезопасностиЕ/Е/РЕсистем, связанныхсбезопасностью, показананарисунке 1.

Рисунок 1 -Структуранастоящегостандарта

2 Нормативные ссылки

Внастоящемстандартеиспользованынормативныессылкинаследующиемеждународныестандарты:

ИСО/МЭКРуководство 51:1999 Аспектыбезопасности-руководствоповключениювстандарты

МЭКРуководство 104:1997 Руководствопоподготовкестандартовпобезопасностиииспользование базовыхигрупповыхстандартовпобезопасности

ИСО/МЭК 2382-14:1998 Обработкаданных. Словарь. Часть 14. Надежность, удобствосопровожденияиработоспособность

МЭК 61508-1:1998 Функциональнаябезопасностьсистемэлектрических, электронных, программируемыхэлектронных, связанныхсбезопасностью. Часть 1. Общиетребования

МЭК 61508-2:2000 Функциональнаябезопасностьсистемэлектрических, электронных, программируемыхэлектронных, связанныхсбезопасностью. Часть 2. Требованияксистемам

МЭК 61508-3:1998 Функциональнаябезопасностьсистемэлектрических, электронных, программируемыхэлектронных, связанныхсбезопасностью. Часть 3. Требованиякпрограммномуобеспечению

МЭК 61508-4:1998 Функциональнаябезопасностьсистемэлектрических, электронных, программируемыхэлектронных, связанныхсбезопасностью. Часть 4. Определенияисокращения

МЭК 61508-5:1998 Функциональнаябезопасностьсистемэлектрических, электронных, программируемыхэлектронных, связанныхсбезопасностью. Часть 5. Примерыметодовдляопределенияуровней полнотыбезопасности

МЭК 61508-7:2000 Функциональнаябезопасностьсистемэлектрических, электронных, программируемыхэлектронных, связанныхсбезопасностью. Часть 7. Анализметодовисредств

3 Термины, определения и сокращения

Внастоящемстандартеиспользуютсятермины, определенияисокращенияпоМЭК 61508-4.

Приложение А
(справочное)

Применение МЭК 61508-2 и МЭК 61508-3

А.1 Общие положения

Конкретныемеханизм, технологическаяустановка, атакжедругоеоборудованиемогутвслучаенеправильнойработы (напримеротказэлектромеханических, электронныхи/илипрограммируемыхэлектронныхустройств) представлятьопасностьдлялюдейиокружающейсредыиз-завозникновенияопасныхсобытий (напримерпожары, взрывы, избыточнаярадиация, попаданиевмеханизмыит.д.). Аварииоборудованиямогутвозникатьпо причинефизическихотказовустройств (неожиданныеаварииоборудования), либосистематическихотказов (ошибкичеловекавтехническихусловияхиконструкцииконкретнойсистемыприопределеннойкомбинациипричин приводятксистематическимотказам), либонекоторыхвнешнихусловий.

Общийподход, основанныйнаоценкерисков, дляпредотвращенияи/иликонтроляотказоввэлектромеханических, электронныхилипрограммируемыхэлектронныхустройствахсодержитсявМЭК 61508-1.

Основнаязадачанастоящегостандартазаключаетсявобеспечениибезопаснойавтоматизацииустановок иоборудования, аегоосновнаяцельсостоитвпредотвращении:

– отказовсистемуправления, инициирующихдругиесобытия, которые, всвоюочередь, могутпривестик опасности (напримерутечкатоксичныхматериалов, повторяющиесяударымеханизмовит.д.) и

– необнаруженныхотказовсистемзащиты (например, всистемахаварийнойостановки), делающихэти системынедоступнымивмоментнеобходимостидействий, связанныхсбезопасностью.

Требованиепроведенияанализаопасностиирискадляпроцесса/механизма, чтобыопределитьстепень сниженияриска, необходимуюдляудовлетворениякритериямоценкирискадляприложения, см. вМЭК 61508-1. Оценкарискаосновананаоценкекакпоследствий (илисерьезности), такичастоты (иливероятности) опасного события.

Требованиеиспользованиястепенисниженияриска, определеннойвпроцессеанализа, длярешенияо том, требуетсялиоднаилинесколькосистем, связанныхсбезопасностью¹⁾, идлявыполнениякакихфункций обеспечениябезопасности (каждаясзаданнойполнотойбезопасности²⁾) требуютсяэтисистемы, содержитсяв МЭК 61508-1.

ВМЭК 61508-2 иМЭК 61508-3 рассматриваютсятребованиякфункциямбезопасностииполнотебезопасности, установленныевМЭК 61508-1, длялюбойЕ/Е/РЕсистемы, связаннойсбезопасностью, атакжеустанавливаютсятребованиякжизненномуциклубезопасности, которые:

– применяютсяприразработкетехническогозадания, проектированиииизмененииаппаратныхсредстви программногообеспечения, атакже

– фокусируютсянасредствахпредотвращенияи/иликонтроляслучайныхотказоваппаратныхсредстви систематическихотказов (жизненныециклыбезопасностиE/E/PESипрограммногообеспечения³⁾).

МЭК 61508-2 иМЭК 61508-3 несодержатуказаний, какойуровеньполнотыбезопасностисоответствует заданномутребуемомуприемлемомуриску. Эторешениезависитотмногихфакторов, включаяхарактерприменения, степеньвыполненияфункцийбезопасностидругимисистемами, атакжесоциальныеиэкономические факторы (см. МЭК 61508-1 иМЭК 61508-5).

ТребованияМЭК 61508-2 иМЭК 61508-3 включаютвсебя:

– применениеметодов⁴⁾исредств, классифицированныхвсоответствиисуровнемполнотыбезопасности, чтобыизбежатьсистематическихотказов⁵⁾спомощьюпланово-предупредительныхмер, и

– управлениесистематическимиотказами (включаяотказыпрограммногообеспечения) ислучайнымиотказамиаппаратныхсредствспомощьюконструктивныхособенностей, такихкаквстроенныесредстваобнаружения повреждений, избыточностьиособенностиархитектуры (напримердиверсификация).

¹⁾Системы, необходимыедляобеспеченияфункциональнойбезопасностиисодержащиеодноилинесколькоэлектрических (электромеханических), электронныхилипрограммируемыхэлектронных (Е/Е/РЕ) устройств, называютсясистемамиЕ/Е/РЕ, связаннымисбезопасностью, ивключаютвсебявсеоборудование, необходимое дляреализациитребуемойфункциибезопасности (см. МЭК 61508-4, пункт 3.4.1).

²⁾Уровеньполнотыбезопасностиопределяетсякакодинизчетырехдискретныхуровней. Уровеньполноты безопасности 4 являетсянаивысшим, ауровеньполнотыбезопасности 1 -самымнизшим (см. МЭК 61508-1, подпункт 7.6.2.9).

³⁾Чтобысделатьвозможнойчеткуюструктуризациютребованийнастоящегостандарта, былоприняторешениеупорядочитьтребованияспомощьюмоделипроцессаразработки, вкоторойвсеэтапыследуютвчеткой последовательностиснебольшимшагом (ееиногданазываютпотоковоймоделью). Однакоследуетподчеркнуть, чтоможетбытьиспользованлюбойэквивалентныйподходкописаниюжизненногоциклаприусловии, чтовплане обеспечениябезопасностипроектабудутописаныэквивалентныеположения (см. МЭК 61508-1, раздел 6).

⁴⁾ТребуемыеметодыисредствадлякаждогоуровняполнотыбезопасностипредставленывМЭК 61508-2 (таблицыприложенийАиВ) иМЭК 61508-3.

⁵⁾Систематическиеотказыобычнонельзяопределитьколичественно. Причинамиотказовбывают: ошибки приспецификацииипроектированиитехническихсредствипрограммногообеспечения; ошибкиприучетеусловийокружающейсреды (например, температуры) иошибкивпроцессеработы (напримерслабыйинтерфейс).

ВМЭК 61508-2 гарантиятого, чтонужныйуровеньполнотыбезопасностибудетудовлетворительнымдля опасныхслучайныхотказоваппаратныхсредств, основываетсяна:

– требованияхкотказоустойчивостиаппаратуры (см. МЭК 61508-2, таблицы 2 и 3) и

– диагностическомохватеичастотеконтрольныхиспытанийподсистемикомпонентспроведениеманализанадежности, использующегосоответствующиеданные.

ВМЭК 61508-2 иМЭК 61508-3 гарантиятого, чтонужныйуровеньполнотыбезопасностибудетудовлетворительнымдлясистематическихотказов, достигаетсяпутем:

– правильногопримененияпроцедуруправлениябезопасностью;

– использованиякомпетентногоперсонала;

– выполненияпредусмотренныхдействийпореализациижизненногоциклаобеспечениябезопасности, включаяпредусмотренныеметодыисредства⁶⁾и

– независимойоценкифункциональнойбезопасности⁷⁾.

Главнаяцельсостоитвобеспечениитого, чтооставшиесясистематическиеотказы, соответствующиеуровнюполнотыбезопасности, неприведуткотказуЕ/Е/РЕсистемы, связаннойсбезопасностью.

МЭК 61508-2 былразработан, чтобыформализоватьтребованиякобеспечениюполнотыбезопасности аппаратныхсредств⁸⁾Е/Е/РЕсистем, связанныхсбезопасностью, включаядатчикииоконечныеэлементы. Необходимыметодыисредства, направленныепротивкакслучайных, такисистематическихотказоваппаратных средств. Они, какуказановыше, включаютвсебясоответствующуюкомбинациюсредствпопредотвращениюнеисправностейиуправлениюотказами. Еслидляобеспеченияфункциональнойбезопасностинеобходимыдействияоператора, топриводятсятребованиякинтерфейсуоператора. ВМЭК 61508-2 дляобнаруженияслучайных отказоваппаратныхсредствтакжеопределяютсяметодыисредствадиагностическоготестирования, реализуемыенауровнепрограммногообеспеченияиаппаратныхсредств (напримердиверсификация).

⁶⁾Средства, альтернативныеописаннымвнастоящемстандарте, можноиспользоватьприусловии, чтопри планированииобеспечениябезопасностидокументируютсяоправдывающиеобстоятельства (см. МЭК 61508-1, раздел 6).

⁷⁾Независимаяоценканевсегдаподразумеваетпроведениеоценкитретьейстороной (см. МЭК 61508-1, раздел 8).

⁸⁾Включаяпостоянноевстроенноепрограммноеобеспечениеилиэквивалентыпрограммногообеспечения (такженазываемыепрограммно-аппаратнымисредствами), напримерспециализированныеинтегральные схемы.

МЭК 61508-3 былразработан, чтобыформализоватьтребованияобеспеченияполнотыбезопасностидля программногообеспечения, каквстроенного (включаядиагностическиесредстваобнаружениянеисправностей), такиприкладного. МЭК 61508-3 требуетиспользоватькомбинированныйподход, включающийисключениеошибок (обеспечениекачества) иустойчивостькошибкам (засчетархитектурыпрограммногообеспечения), таккакне существуетизвестногоспособапроверитьотсутствиеотказоввдостаточносложномпрограммномобеспечении, связанномсбезопасностью, и, особенно, избежатьошибоквтехническихусловияхивпроекте. МЭК 61508-3 требуетпринятиятакихпринциповразработкипрограммногообеспечения, какпроектированиесверхувниз, модульность, проверкунакаждойстадиижизненногоцикларазработки, проверкупрограммныхмодулейибиблиотекпрограммныхмодулей, атакжечеткоедокументированиедляоблегченияконтроляипроверки. Дляразличныхуровнейпрограммногообеспечениятребуютсяразличныеуровнигарантиитого, чтоэтиисвязанныесними принципыбылиправильнореализованы.

Разработчикпрограммногообеспеченияможетбытьилинебытьчастьюорганизации, создающейвсю E/E/PES. Влюбомслучаенеобходимотесноесотрудничество, особенноприразработкеархитектурыпрограммируемойэлектроники, когдатребуетсяанализироватькомпромиссымеждуархитектурамиаппаратныхсредстви программногообеспечениянапредметихвкладавобеспечениебезопасности (см. МЭК 61508-2, рисунок 4).

А.2 ФункциональныеэтапыпримененияМЭК 61508-2

ФункциональныеэтапыпримененияМЭК 61508-2 представленывнастоящемприложении, рисункиА.1и А.2. ФункциональныеэтапыпримененияМЭК 61508-3 представленынарисункеА.3.

ДляМЭК 61508-2 можновыделитьследующиефункциональныеэтапы (см. приложениеА, рисункиА.1и А.2):

a) Определяютраспределениетребованийбезопасности (МЭК 61508-1). ПринеобходимостимодернизируютпланированиебезопасностивпроцессеразработкиE/E/PES.

b) ОпределяюттребованиябезопасностидляE/E/PES, включаятребованиякполнотебезопасности, длякаждойфункциибезопасности (МЭК 61508-2, подраздел 7.2). Определяюттребованиякпрограммному обеспечениюипередаютихпоставщикуи/илиразработчикупрограммногообеспечениядляприменения МЭК 61508-3.

Примечание-Наэтойстадиинеобходиморассмотретьвозможностьодновременныхотказовв системеуправленияEUCиЕ/Е/РЕсистеме (системах), связаннойсбезопасностью, (см. МЭК 61508-1, подпункт 7.5.2.4). Такиеотказымогутбытьрезультатомотказовкомпонентовпообщейпричине, например, из-завлияния окружающейсреды. Наличиеподобныхотказовможетпривестикбольшимпосравнениюсожидаемымзначениямостаточногориска.

c) НачинаютпланированиеподтверждениясоответствиябезопасностиE/E/PES (см. МЭК 61508-2, подраздел 7.3).

d) Задаютархитектуру (конфигурацию) логическойподсистемы, датчиковиоконечныхэлементов. Вместес поставщиком/разработчикомпрограммногообеспеченияанализируютархитектуруаппаратныхсредств, программногообеспеченияивлияниенабезопасностькомпромиссовмеждуаппаратнымисредствамиипрограммным обеспечением (см. МЭК 61508-2, рисунок 4). Принеобходимостианализповторяют.

e) РазрабатываютмодельархитектурыаппаратныхсредствдляЕ/Е/РЕсистемы, связаннойсбезопасностью. Этумодельразрабатывают, проверяяотдельнокаждуюфункциюбезопасности, иопределяютподсистему (компонент), используемуюдляреализацииэтойфункции.

f) Устанавливаютпараметрыдлякаждойподсистемы (компонента), используемойвЕ/Е/РЕсистеме, связаннойсбезопасностью. Длякаждойподсистемы (компонента) определяют:

– временнойинтервалпроведенияпроцедуртестированиядляотказов, которыенеобнаруживаютсяавтоматически;

– среднеевремявосстановления;

– диагностическийохват (см. МЭК 61508-2, приложениеС);

– вероятностьотказаи

– долюбезопасныхотказов (см. МЭК 61508-2, приложениеС).

g) Определяютархитектурныеограничения (см. МЭК 61508-2, таблицы 2 и 3).

h) Создаютмодельрасчетанадежностидлякаждойфункциибезопасности, которуюдолжнареализовать Е/Е/РЕсистема, связаннуюсбезопасностью.

Примечание-Модельрасчетанадежностипредставляетсобойматематическуюформулу, показывающуювзаимосвязьмеждунадежностьюисоответствующимипараметрами, связаннымисоборудованиемиусловиямиегоиспользования.

i) Рассчитываютпрогнозируемуюнадежностьдлякаждойфункциибезопасности, используясоответствующуюметодику. Сравниваютрезультатсзаданнымихарактеристикамиотказов, определеннымивперечислении b), итребованиямивсоответствиисМЭК 61508-2, подпункт 7.4.3.1, таблицы 2 и 3. Еслипрогнозируемаянадежностьнесоответствуетзаданнымхарактеристикамотказови/илитребованиямМЭК 61508-2, таблицы 2 и 3, то изменяют:

– есливозможно, одинилинесколькопараметровподсистемы [возвращаютсякперечислениюf)] и/или

– архитектуруаппаратныхсредств [возвращаютсякперечислениюd)].

Примечание-Существуетмножествометодовмоделирования, ианалитикдолженвыбратьнаиболее соответствующий (переченьнекоторыхметодов, которыемогутбытьиспользованы, приведенвМЭК 61508-2, подпункт 7.4.3.2.2, перечислениеh), примечание 4).

j) РеализуютпроектЕ/Е/РЕсистемы, связаннойсбезопасностью. Выбираютсредстваиметодыдляуправлениясистематическимиотказамиаппаратныхсредств, отказами, вызваннымивлияниемокружающейсреды, и эксплуатационнымиотказами (см. МЭК 61508-2, приложениеА).

k) Загружаютпроверенноепрограммноеобеспечение (см. МЭК 61508-3) всоответствующиеаппаратные средства (см. МЭК 61508-2, подраздел 7.5 иприложениеВ) ипараллельноразрабатываютрабочиеинструкции дляпользователейидокументациюдляобслуживающегоперсоналапоэксплуатациисистемы (см. МЭК 61508-2, подраздел 7.6 иприложениеВ). Учитываютаспекты, связанныеспрограммнымобеспечением (см. пунктА.3, перечислениеf)).

l) Вместесразработчикомпрограммногообеспечения (см. МЭК 61508-3, подраздел 7.7) проводятподтверждениесоответствияE/E/PES (см. МЭК 61508-2, подраздел 7.7 иприложениеВ).

m) ПередаютаппаратныесредстваирезультатыподтверждениясоответствиябезопасностиE/E/PESсистемныминженерамдлядальнейшейинтеграциивкомплекснуюсистему.

n) ЕсливпроцессеэксплуатацииE/E/PESтребуетсямодернизация/обслуживание, топринеобходимости сноваобращаютсякМЭК 61508-2, подраздел 7.8.

ВпроцессежизненногоциклабезопасностиE/E/PESвыполняетсямножестворазличныхдействий. Среди нихверификация (см. МЭК 61508-2, подраздел 7.9) иоценкафункциональнойбезопасности (см. МЭК 61508-1, раздел 8).

ВпроцессевыполненияприведенныхвышедействийвыбираютметодыисредствадляобеспечениябезопасностиE/E/PES, соответствующиетребуемомууровнюполнотыбезопасности. Дляпомощисвыборомтаких методовисредствсоставленытаблицы, упорядочивающиеразличныеметоды/средствавсоответствиисчетырьмяуровнямиполнотыбезопасности (см. МЭК 61508-2, приложениеВ). Краткийобзоркаждогоизметодови средствсоссылкаминаисточникиинформациионих, включаяперекрестныессылкинаэтитаблицы, представленвМЭК 61508-7, приложенияАиВ.

ОдинизвозможныхметодоврасчетавероятностейотказааппаратныхсредствдляЕ/Е/РЕсистем, связанныхсбезопасностью, представленвприложенииВ.

Примечание-Привыполненииприведенныхвышедействийдопускаетсяприменятьсредства, альтернативныеуказаннымвнастоящемстандартеприусловии, чтооправдывающиеобстоятельствадокументируютсявпроцессепланированиябезопасности (см. МЭК 61508-1, раздел 6).

Примечание-ВсистемахРЕдляпрограммногообеспечениявыполняютсяаналогичныедействия (см. рисунокА.3).

РисунокА.1 -ФункциональныеэтапыпримененияМЭК 61508-2

Примечание-ВсистемахРЕдляпрограммногообеспечениявыполняютсяаналогичныедействия (см. рисунокА.3).

РисунокА.2 -ФункциональныеэтапыпримененияМЭК 61508-2 (продолжение)

А.3 Функциональные этапы применения МЭК 61508-3

МожновыделитьследующиефункциональныеэтапыпримененияМЭК 61508-3 (см. рисунокА.3):

a) ОпределяюттребованиядлясистемЕ/Е/РЕ, связанныхсбезопасностью, исоответствующихкомпонент планированиябезопасности (см. МЭК 61508-2, подраздел 7.3). Принеобходимостимодернизируютпланированиебезопасностивпроцессеразработкипрограммногообеспечения.

Примечание-Напредыдущихстадияхжизненногоциклабыли:

– определенытребуемыефункциибезопасностиисоответствующиеимуровниполнотыбезопасности (см. МЭК 61508-1, подразделы 7.4 и 7.5);

– распределеныфункциибезопасностидляназначенныхсистемЕ/Е/РЕ, связанныхсбезопасностью (см. МЭК 61508-1, подраздел 7.6) и

– распределеныреализуемыепрограммнофункциивнутрикаждойсистемыЕ/Е/РЕ, связаннойсбезопасностью (см. МЭК 61508-2, подраздел 7.2).

b) Определяютархитектурупрограммногообеспечениядлявсехреализуемыхпрограммнофункцийбезопасности (см. МЭК 61508-3, подраздел 7.4 иприложениеА).

c) Вместеспоставщиком/разработчикомE/E/PESанализируютархитектуруаппаратныхсредствипрограммногообеспеченияивлияниенабезопасностькомпромиссовмеждуаппаратнымисредствамиипрограммным обеспечением (см. МЭК 61508-2, рисунок 4). Принеобходимостианализповторяют.

d) Приступаюткпланированиюпроверкииподтверждениясоответствиябезопасностипрограммногообеспечения (см. МЭК 61508-3, подразделы 7.3 и 7.9).

e) Проектируют, разрабатываютипроверяют/тестируютпрограммноеобеспечениевсоответствиис:

– планированиембезопасностипрограммногообеспечения;

– уровнемполнотыбезопасностипрограммногообеспечения;

– жизненнымцикломбезопасностипрограммногообеспечения.

f) Завершаютдействияпоокончательнойпроверкепрограммногообеспеченияиинтегрируютпроверенное программноеобеспечениевсоответствующиеаппаратныесредства (см. МЭК 61508-3, подраздел 7.5) ипараллельноразрабатываютрабочиеинструкциидляпользователейиинструкциипоэксплуатациидляобслуживающегоперсоналасистемыпрограммногообеспечения (см. МЭК 61508-3, подраздел 7.6 иприложениеА, подраздел А.2, атакжеперечислениеk) настоящегостандарта).

g) Вместесразработчикомаппаратныхсредств (см. МЭК 61508-2, подраздел 7.7) проводятподтверждение соответствиябезопасностипрограммногообеспечениявинтегрированныхсистемахЕ/Е/РЕ, связанныхсбезопасностью (см. МЭК 61508-3, подраздел 7.7).

h) Передаютрезультатыподтверждениясоответствиябезопасностипрограммногообеспечениясистемныминженерамдлядальнейшейинтеграциивкомплекснуюсистему.

i) ЕсливпроцессеэксплуатациипотребуетсямодернизацияпрограммногообеспеченияE/E/PES, топринеобходимостисновавозвращаютсяксоответствующейстадии, какописановМЭК 61508-3, подраздел 7.8.

Впроцессежизненногоциклабезопасностипрограммногообеспечениявыполняютмножестворазличных действий. Втомчислепроверку (см. МЭК 61508-3, подраздел 7.9) иоценкуфункциональнойбезопасности (см. МЭК 61508-3, раздел 8).

Впроцессевыполненияприведенныхвышеэтаповвыбираютсредстваиметодыобеспечениябезопасностипрограммногообеспечения, соответствующиетребуемойполнотебезопасности. Дляпомощиввыборетаких методовисредствсоставленытаблицы, упорядочивающиеразличныеметоды/средствавсоответствиисчетырьмяуровнямиполнотыбезопасности (см. МЭК 61508-3, приложениеА). Обзоркаждогоизметодовисредствсо ссылкаминаисточникиинформациионих, включаяперекрестныессылкинаэтитаблицы, представленв МЭК 61508-7, приложениеС.

ПримерыприменениятаблицполнотыбезопасностиприведенывприложенииЕнастоящегостандарта, аМЭК 61508-7 включаетвсебяописаниевероятностногоподходакопределениюполнотыбезопасности программногообеспечениядляужеразработанногопрограммногообеспечения (см. МЭК 61508-7, приложениеD).

Примечание-Привыполненииприведенныхвышедействийдопускаетсяприменятьсредства, альтернативныеуказаннымвнастоящемстандартеприусловии, чтооправдывающиеобстоятельствадокументируютсявпроцессепланированиябезопасности (см. МЭК 61508-1, раздел 6).

РисунокА.3-ФункциональныеэтапыпримененияМЭК 61508-3

Приложение В
(справочное)

Метод оценки вероятностей отказа аппаратных средств

В.1 Общие положения

НастоящееприложениесодержитодинизметодоврасчетавероятностейотказадляЕ/Е/РЕсистем, связанныхсбезопасностью, установленныхвсоответствиисМЭК 61508-1 – МЭК 61508-3. Методнедолженрассматриватьсявкачествеединственновозможного. Однаковданномметодереализуетсяотносительнопростой подходкоценкехарактеристикЕ/Е/РЕсистем, связанныхсбезопасностью.

СуществуютразличныеметодыанализауровнябезопасностиаппаратныхсредствЕ/Е/РЕсистем, связанныхсбезопасностью. Наиболеераспространеннымиметодамиявляютсяметодблок-схемнадежности (см. МЭК 61508-7, приложениеС, пунктС.6.5) иметод, основанныйнамарковскихмоделях (см. МЭК 61508-7, приложение С, пунктС.6.4). Обаметодаприправильномприменениидаютаналогичныерезультаты, новслучаесложных программируемыхэлектронныхподсистем (например, приперекрестномголосованиипонесколькимканалами автоматическомтестировании) методблок-схемнадежностидаетнекоторуюпотерюточностипосравнениюс методом, основаннымнамарковскихмоделях.

ПрирассмотренииЕ/Е/РЕсистемы, связаннойсбезопасностью, вцеломэтапотеряточностиможетбыть незначительной, еслиучитываетсяточностьданныхонадежности, используемыхприанализе. Например, основнаяпотеряточностиприанализеуровнябезопасностиаппаратныхсредствдляЕ/Е/РЕсистем, связанныхс безопасностью, зависитотприборовдляизмеренияполей. Имеетлизначениепотеряточности, можноопределитьтолькодляконкретныхусловий. Вслучаесложныхпрограммируемыхэлектронныхподсистемрезультаты оценкиполнотыбезопасностиаппаратурыметодомблок-схемнадежностиболеепессимистичны, чемметодом, основаннымнамарковскихмоделях (т.е. методблок-схемнадежностидаетбольшуювероятностьотказа). В настоящемприложенииприменяетсяметодблок-схемнадежности.

ЕслиотказсистемыуправленияEUCинициируетобращениекЕ/Е/РЕсистеме, связаннойсбезопасностью, товероятностьвозникновенияопасногособытиязависиттакжеиотвероятностиотказасистемыуправления EUC. ВэтойситуациинеобходиморассмотретьвозможностьодновременногоотказакомпонентовсистемыуправленияEUCиЕ/Е/РЕсистемы, связаннойсбезопасностью, из-замеханизмовотказапообщейпричине. При неправильноманализеналичиеподобныхотказовможетпривестикбольшим, посравнениюсожидаемым, значениямостаточногориска.

РасчетывероятностейотказааппаратныхсредствЕ/Е/РЕсистем, связанныхсбезопасностью, основываютсянаследующихпредположениях:

– значениерезультирующейсреднейвероятностиотказавыполненияфункциибезопасностидляподсистемыменьше 10^-1илизначениерезультирующейвероятностиотказавчасдляподсистемыменьше 10^-5;

– частотаотказовкомпонентпостояннавтечениестадийжизнисистемы;

– подсистемадатчиков (подсистемаввода) состоитизреальногодатчика(ов) илюбыхдругихкомпоненти соединительныхпроводов, вплотьдокомпоненты (компонент), ноее (их) невключая, гдесигналывпервыеобъединяютсяспомощьюпроцедурыголосованияилидругойпроцедуры (например, конфигурацияканаловиздвух датчиков, представленнаянарисункеВ.1настоящегоприложения);

– логическаяподсистемавключаетвсебякомпоненту (компоненты), вкоторой(ых) сигналывначалеобъединяются, ивседругиекомпоненты, вплотьдотехкомпонентвключительно, откударезультирующийсигнал(ы) передается(ются) подсистемеоконечныхэлементов;

– подсистемаоконечныхэлементов (подсистемавывода) включаетвсебякомпонентыисоединения, которыеобрабатываютконечныйсигнал(ы), получаемый(ые) отлогическойподсистемы, включаяоконечныйисполнительныйкомпонент(ы);

– частотыотказоваппаратныхсредств, используемыевкачествевходныхданныхдлярасчетовитаблиц, задаютсядляодногоканалаподсистемы (например, прииспользовании датчиковввидеархитектуры 2оо3частотаотказовзадаетсядляодногодатчика, авлияниеархитектуры 2оо3рассчитываетсядополнительно);

– частотыотказовидиагностическийохватодинаковыдлявсехканаловвархитектуреподсистемы;

– общаячастотаотказоваппаратныхсредствканалаподсистемыявляетсясуммойчастотыопасныхичастотыбезопасныхотказовдляданногоканала, которыеполагаютравными.

Примечание-Этопредположениевлияетнадолюбезопасныхотказов (см. МЭК 61508-2, приложение С), нодолябезопасныхотказовневлияетнарассчитанныезначениявероятностиотказа, приведенныевнастоящемприложении.

– длякаждойфункциибезопасностисуществуютидеальныесредстватестированияиустраненияотказов (т.е. всеотказы, оставшиесянеобнаруженными, обнаруживаютсяпритестировании), влияниенеидеальноготестированиявсоответствиисприложениемВ, пунктВ.2.5;

– интервалвременимеждутестовымииспытаниямидолженбыть, покрайнеймере, напорядокбольше, чем продолжительностьдиагностическоготестирования;

– длякаждойподсистемысуществуетединыйинтервалвременимеждутестовымииспытаниямиисреднее времявосстановления.

Примечание-Среднеевремявосстановлениявключаетвсебявремя, необходимоедляобнаружения отказавсоответствиисМЭК 61508-2, подпункт 7.4.3.2.2, перечислениеg), примечание. Внастоящемприложении предполагаемоезначениесреднеговременивосстановленияодинаковоекакдляобнаруженных, такинеобнаруженныхотказовивключаетвсебядлительностьдиагностическоготестирования, анеинтервалмеждутестовыми испытаниями. Длянеобнаруженныхотказовсреднеевремявосстановления, используемоеврасчетах, недолжновключатьвсебядлительностьдиагностическоготестирования, атаккаксреднеевремявосстановлениявсегда добавляетсяквременномуинтервалумеждутестовымииспытаниями, который, покрайнеймере, напорядок большедлительностидиагностическоготестирования, тоошибкабудетнезначительной;

– восстановитьработоспособноесостояниесистемы, нарушенноепослевозникновениявсехизвестных отказов, могутнесколькоремонтныхкоманд;

– ожидаемыйинтервалмеждузапросаминавыполнениефункциибезопасностидолженбыть, покрайней мере, напорядокбольшесреднеговременивосстановления;

– длявсехподсистем, работающихврежименизкойинтенсивностизапросов, идляархитектур 1оо2, 1oo2Dи 2оо3, работающихврежимевысокойинтенсивностизапросовинепрерывномрежиме, доляотказов, заданная диагностическимохватом, обнаруживаетсяиустраняетсязасреднеевремявосстановления, приведенноевтребованияхкполнотебезопасностиаппаратныхсредств.

Пример–Еслипредполагаемоесреднеевремявосстановленияравно 8 ч, тооновключаетвсебя длительностьдиагностическоготестирования, котороеобычнонепревышает 1 ч, аоставшаясячасть среднеговременивосстановления–этодействительноевремяремонта.

Примечание-Дляканальныхархитектур 1оо2, 1oo2Dи 2оо3 предполагаетсявыполнениелюбого ремонтавоперативномрежиме. ЕсликонфигурацияЕ/Е/РЕсистемы, связаннойсбезопасностью, прилюбом обнаруживаемомотказеобеспечиваетпереходEUCвбезопасноесостояние, тоэтоуменьшаетсреднюювероятностьотказавобслуживании. Степеньуменьшениявероятностизависитотдиагностическогопокрытия;

– дляканальныхархитектур 1оо1 и 2оо2, работающихврежимевысокойинтенсивностизапросовилинепрерывномрежиме, системаЕ/Е/РЕ, связаннаясбезопасностью, всегдапереходитвбезопасноесостояниепосле обнаруженияопасногоотказа; дляэтогоожидаемыйинтервалвременимеждузапросами, покрайнеймере, долженбытьнапорядокбольшевременногоинтерваладиагностическоготестированияилисуммавременных интерваловдиагностическоготестированияивременныхинтерваловпереходавбезопасноесостояниедолжна бытьменьше, чемвремябезопаснойработы.

Примечание-ВремябезопаснойработыопределяетсявМЭК 61508-2, подпункт 7.4.3.2.5 какинтервал временимеждуотказомEUCилисистемыуправленияEUC (спотенциальнойвозможностьювызватьопасное событие) ивозникновениемопасногособытия, еслифункциябезопасностиневыполнена;

РисунокВ.1 -Примерконфигурациидлядвухканаловдатчиков

– еслиотказисточникапитанияприводиткобесточиваниюЕ/Е/РЕсистемы, связаннойсбезопасностью, и инициируетпереходсистемывбезопасноесостояние, тоисточникпитанияневлияетнасреднюювероятность отказапозапросудляЕ/Е/РЕсистемы, связаннойсбезопасностью; еслидляпереходавбезопасноесостояние насистемуподаетсяпитаниеилиуисточникапитаниясуществуютрежимыотказов, которыемогутприводитьк небезопаснойработеЕ/Е/РЕсистемы, связаннойсбезопасностью, тооценкадолжнаучитыватьисточникпитания;

– еслииспользуетсятерминальныйканал, тоонограничиваетсятолькотойчастьюрассматриваемойсистемы, которойобычноявляютсялибодатчик, либологическаяподсистема, либоподсистемаоконечныхэлементов;

– параметрыиихобозначенияпредставленывтаблицеВ.1.

ТаблицаВ.1 -Параметры, используемыевнастоящемприложении, идиапазоныихзначений (применяется кархитектурам 1оо1, 1оо2, 2оо2, 1oo2Dи 2оо3)

В.2 Средняявероятностьотказапозапросу (длярежиманизкойинтенсивностизапросов)

В.2.1 Процедура расчета

СреднюювероятностьотказавобслуживаниифункциибезопасностидляЕ/Е/РЕсистемы, связаннойс безопасностью, определяютвычислениемисуммированиемсреднейвероятностиотказавобслуживаниидля всехподсистем, совокупностькоторыхобеспечиваетфункциюбезопасности. Таккакрассматриваемыевнастоящемприложениивероятностиневелики, тосредняявероятностьотказапозапросудляфункциибезопасности Е/Е/РЕсистемы (см. рисунокВ.2), связаннойсбезопасностью, PFD_SYSможетбытьвычисленапоформуле

PFD_SYS= PFD_S + PFD_L + PFD_FE,

где

PFD_S-средняявероятностьотказапозапросудляподсистемыдатчиков;

PFD_L-средняявероятностьотказапозапросудлялогическойподсистемы;

PFD_FE-средняявероятностьотказапозапросудляподсистемыоконечныхэлементов.

РисунокВ.2 -СтруктураподсистемЕ/Е/РЕсистемы, связаннойсбезопасностью

Дляопределениясреднейвероятностиотказапозапросудлякаждойизподсистемнеобходимострого придерживатьсяследующейпроцедурыдлякаждойподсистемы:

a) Рисуютструктурнуюсхему, изображающуюкомпонентыподсистемыдатчиков (подсистемыввода), компонентылогическойподсистемыиликомпонентыподсистемыоконечныхэлементов (подсистемывывода). Компонентамиподсистемыдатчиков, например, могутбытьдатчики, защитныеэкраны, входныесогласующиецепи; компонентамилогическойподсистемы-процессорыисканеры; акомпонентамиподсистемыоконечныхэлементов-выходныесогласующиецепи, экраныиисполнительныемеханизмы. Представляюткаждуюподсистему какоднулибоболееголосующихгрупп 1оо1, 1оо2, 2оо2, 1oo2Dили 2оо3.

b) ПрименяютсоответствующиетаблицыВ.2 – В.5, вкоторыхприведенышестимесячные, годовые, двухлетниеи 10-летниеинтервалымеждупроцедурамитестирования. Данныетаблицыпредполагают, чтосреднеевремявосстановлениядлялюбогоотказапослеегообнаруженияравно 8 ч.

c) ДлякаждойголосующейгруппывподсистемевыбираютизтаблицВ.2 – В.5:

– архитектуру (например 2оо3);

– диагностическийохватдлякаждогоканала (например 60 %);

– интенсивностьотказов (вчас) λдлякаждогоканала (например 5.0Е-06);

– β-факторыотказасобщейпричинойβиβ_Dдлявзаимосвязимеждуканаламиврассматриваемойархитектуре (например 2 % и 1 % соответственно).

Примечания

1 Предполагается, чтовсеканалывголосующейгруппеимеютодинаковыедиагностическиепокрытияи интенсивностиотказов (см. подразделВ.1).

2 ВтаблицахВ.2 – В.5 (см. такжетаблицыВ.10 – В.13) предполагается, чтоβ-факторвотсутствиедиагностическихтестов (такжеприменяемыйдлянеобнаруженныхопасныхотказовприиспользованиидиагностическихтестов) βв 2 разабольшеβ-факторадляотказов, обнаруживаемыхдиагностическимитестами, β_D.

d) ПолучаютизтаблицВ.2 – В.5среднюювероятностьотказавобслуживаниидляголосующейгруппы.

e) Еслифункциябезопасностизависитотнесколькихголосующихгруппдатчиковилиисполнительныхмеханизмов, тосовокупнуюсреднюювероятностьотказавобслуживаниидляподсистемыдатчиковилиподсистемы оконечныхэлементовPFD_SилиPFD_FEзадаютследующимиформулами:

где

PFD_GiиPFD_Gj-средниевероятностиотказавобслуживаниидлякаждогоизголосующейгруппыдатчикаили оконечногоэлемента, соответственно.

В.2.2 Архитектуры для режима низкой интенсивности запросов

Примечания

1 Внастоящемпунктесправедливыедлянесколькихархитектурформулывыводяттам, гдеонивстречаются впервые.

2 Формулынастоящегопунктасправедливыдляпредположений, перечисленныхвВ.1.

В.2.2.1 Архитектура 1оо1

Даннаяархитектурапредполагаетиспользованиеодногоканала, илюбойопасныйотказприводиткнарушениюфункциибезопасностипривозникновениизапросанаеевыполнение.

НарисункахВ.3иВ.4 представленыструктурнаясхемаисхемарасчетанадежности. Интенсивностьдля каналаλ_Dзадаетсяформулой

РисунокВ.3-Структурнаясхема архитектуры 1оо1

РисунокВ.4 -Схемарасчетанадежностиархитектуры 1оо1

НарисункеВ.4 показано, чтоканалможнорассматриватькаксостоящийиздвухкомпонентов, одногос интенсивностьюопасныхотказовλ_DU, обусловленнойнеобнаруженнымиотказами, адругогосинтенсивностью опасныхотказовλ_DD, обусловленнойобнаруженнымиотказами. Эквивалентноесреднеевремяпростояканала t_CEможнорассчитать, суммируявременапростоядлядвухкомпонентов, t_C1иt_C2, прямопропорциональновкладу каждогокомпонентаввероятностьотказаканала:

Длякаждойархитектурыинтенсивностьнеобнаруженныхопасныхотказовλ_DUиинтенсивностьнеобнаруженныхопасныхотказовλ_DDзадаютсякак

СреднюювероятностьотказавыполненияфункциибезопасностиканалаPFDвтечениевременипростоя t_CEопределяютизвыражения

таккакλ_Dt_CE‹‹1.

Следовательно, средняявероятностьотказапозапросудляархитектуры 1оо1 PFD_Gравна

PFD_G = (λ_DU+ λ_DD) t_CE.

В.2.2.2 Архитектура 1оо2

Даннаяархитектурапредставляетсобойдваканала, соединенныхпараллельно, такчтолюбойизканалов можетвыполнитьфункциюбезопасности. Следовательно, длянарушенияфункциибезопасностиопасныеотказыдолжнывозникнутьвобоихканалах. Предполагается, чтолюбоедиагностическоетестированиетолькосообщаетонайденныхсбояхинеможетизменитьнивыходныесостоянияканалов, нирезультатголосования.

РисунокВ.5 -Структурнаясхемаархитектуры 1оо2

РисунокВ.6 -Схемарасчетанадежностиархитектуры 1оо2

Структурнаясхемаисхемарасчетанадежностиархитектуры 1оо2 приведенынарисункахВ.5 иВ.6. Значениеt_CEвычисляютвсоответствиисВ.2.2.1, нонеобходимовычислитьтакжеиэквивалентноевремяпростоя системыt_GEпоформуле

Дляданнойархитектуры 1оо1 средняявероятностьотказапозапросуPFD_Gравна

В.2.2.3 Архитектура 2оо2

Даннаяархитектурапредставляетсобойдваканала, соединенныхпараллельно, идлявыполненияфункциибезопасностинеобходимаработаобоихканалов. Предполагается, чтолюбоедиагностическоетестирование толькосообщаетонайденныхсбояхинеможетизменитьнивыходныесостоянияканалов, нирезультатголосования.

Структурнаясхемаисхемарасчетанадежностиархитектуры 2оо2 представленынарисункахВ.7 иВ.8.

РисунокВ.7 -Структурнаясхемаархитектуры 2оо2

РисунокВ.8 -Схемарасчетанадежностиархитектуры 2оо2

Значениеt_CEвычисляютвсоответствиисВ.2.2.1, асредняявероятностьотказапозапросуPFD_Gдляданной архитектурыдолжнабытьравна

PFD_G= 2λ_Dt_CE.

В.2.2.4 Архитектура 1oo2D

Даннаяархитектурапредставляетсобойдваканала, соединенныхпараллельно. Принормальнойработе длявыполненияфункциибезопасностинеобходимыобаканала. Крометого, еслидиагностическоетестирование обнаруживаетотказвлюбомканале, торезультатыанализаустанавливаютсятак, чтобыобщеевыходноесостояниесовпадалосрезультатом, выдаваемымдругимканалом. Еслидиагностическоетестированиеобнаруживает отказывобоихканалахилинесоответствиемеждуними, причинакоторогонеможетбытьидентифицирована, то выходнойсигналпереводитсистемувбезопасноесостояние. Дляобнаружениянесоответствиямеждуканалами каждыйканалможетопределятьсостояниедругогоканаланезависящимотдругогоканаласпособом.

Структурнаясхемаисхемарасчетанадежностиархитектуры 1oo2DпредставленынарисункахВ.9 и В.10.

РисунокВ.9 -Структурнаясхемаархитектуры 1оо2D

РисунокВ.10 -Схемарасчетанадежностиархитектуры 1оо2D

Длякаждогоканалаинтенсивностьобнаруженныхбезопасныхотказовλ_SDопределяюткак

Значенияэквивалентногосреднеговременипростояотличаютсяотзначений, приведенныхдлядругих архитектурвВ.2.2, ипоэтомуихобозначаюткакt_CE‘ и t_GE‘. Этизначенияопределяюткак

СредняявероятностьотказапозапросуPFD_Gдляданнойархитектурыравна

B.2.2.5 Архитектура 2оо3

Даннаяархитектурасостоитизтрехканалов, соединенныхпараллельносмажорированиемвыходных сигналовтак, чтовыходноесостояниенеменяется, еслирезультат, выдаваемыйоднимизканалов, отличаетсяот результата, выдаваемогодвумядругимиканалами.

Предполагается, чтолюбоедиагностическоетестированиетолькофиксируетнайденныесбоиинеможет изменитьнивыходныесостоянияканалов, нирезультатголосования.

Структурнаясхемаисхемарасчетанадежностиархитектуры 2оо3 представленынарисункахВ.11 иВ.12.

РисунокВ.11 -Структурнаясхемаархитектуры 2оо3

РисунокВ.12 -Схемарасчетанадежностиархитектуры 2оо3

Значениеt_CEвычисляютпоВ.2.2.1, азначениеt_GE-поВ.2.2.2. Средняявероятностьотказапозапросу PFD_Gдляданнойархитектурыравна

В.2.3 Подробные таблицы для режима низкой интенсивности запросов

ТаблицаВ.2 -Средняявероятностьотказапозапросувтечениешестимесячногоинтерваламежду контрольнымипроверкамиприсреднемвремениремонта 8 ч

ПродолжениетаблицыВ.2

ТаблицаВ.3-Средняявероятностьотказапозапросудляодногодичногоинтерваламеждуконтрольными испытаниямиисреднеговремениремонта 8 ч

ОкончаниетаблицыВ.3

ТаблицаВ.4 -Средняявероятностьотказапозапросудлядвухлетнегоинтерваламеждуконтрольными испытаниямиисреднеговремениремонта 8 ч

Окончание таблицы В.4

ТаблицаВ.5 -Средняявероятностьотказапозапросудлядесятилетнегоинтерваламеждуконтрольными испытаниямиисреднеговремениремонта 8 ч

ПродолжениетаблицыВ.5

В.2.4. Пример режима низкой интенсивности запросов

Рассмотримфункциюбезопасности, дляреализациикоторойнужнасистемаSIL2. Пустьпостроенныйна основепредыдущегоопытапервоначальныйвариантархитектурывсейсистемывключаетоднугруппуизтрех аналоговыхдатчиковдавлениясархитектурой 2оо3 навходе. Логическаяподсистемарассматриваемойсистемы представляетсобойPESсизбыточностьюсархитектурой 1оо2Dиуправляетоднимзакрывающимиоднимдренажнымклапаном, таккакдляобеспеченияфункциибезопасностинеобходимаработакакзакрывающего, таки дренажногоклапана. АрхитектуравсейсистемыпредставленанарисункеВ.13. Дляэтойсистемыоценимсначала функциюбезопасностиPFD_SYSприодногодичномпериодеконтрольныхиспытаний. ТаблицыВ.6-В.8являются фрагментамитаблицыВ.3длясоответствующихданныхнарисункеВ.13.

РисунокВ.13 -Архитектурасистемырассматриваемогопримерадлярежима низкойинтенсивностизапросов

ТаблицаВ.6 -Средняявероятностьотказапозапросудляподсистемыдатчиков врассматриваемомпримередлярежиманизкойинтенсивностизапросов (интервал контрольныхиспытанийравенодномугоду, асреднеевремяремонта- 8 ч)

ТаблицаВ.7 -Средняявероятностьотказапозапросудлялогическойподсистемы впримередлярежиманизкойинтенсивностизапросов (интервалконтрольныхиспытанийравенодномугоду, асреднеевремяремонта- 8 ч)

ТаблицаВ.8 -Средняявероятностьотказапозапросудляподсистемыоконечных элементоввпримередлярежиманизкойинтенсивностизапросов (интервалконтрольныхиспытанийравенодномугоду, асреднеевремяремонта- 8 ч)

Данные, представленныевтаблицахВ.6 – В.8, позволяютполучитьследующиезначения:

– дляподсистемыдатчиков:

PFD_S= 2,3 × 10^-4;

– длялогическойподсистемы:

PFD_L= 4,8 × 10^-6;

– дляподсистемыоконечныхэлементов:

PFD_FE= 4,4 × 10^-3 + 8,8 × 10^-3

= 1,3 × 10-2.

Следовательно, дляфункциибезопасности:

PFD_SYS= 2,3 × 10^-4 + 4,8 × 10^-6+ 1,3 × 10^-2

= 1,3 × 10-2

= уровень полноты безопасности 1.

Дляпереводасистемы, представленнойнарисункеВ.13, науровеньполнотыбезопасности 2, выполняют одноизследующихдействий:

a) уменьшаютинтервалмеждуконтрольнымипроверкамидо 6 мес.:

PFD_S= 1,1 × 10^-4

PFD_L= 2,6 × 10^-6

PFD_FE= 2,2 × 10^-3 + 4,4 × 10^-3

= 6,6 × 10-3

PFD_SYS= 6,7 × 10^-3

= уровень полноты безопасности 2;

b) заменяютархитектуру 1оо1 закрывающегоклапана, представляющегособойвыходноеустройствоснизкойнадежностью, на 1оо2, предполагая, чтоβ = 10 % иβ_D = 5 %:

PFD_S= 2,3 × 10^-4

PFD_L= 4,8 × 10^-6

PFD_FE= 4,4 × 10^-3 + 9,7 × 10^-4

= 5,4 × 10-3

PFD_SYS= 5,6 × 10^-3

= уровеньполнотыбезопасности 2.

В.2.5 Влияние неидеальных контрольных проверок

Отказысистемы, связаннойсбезопасностью, необнаруженныеникакимидиагностическимииликонтрольнымииспытаниями, обнаруживаюттолькоприсовпадениизапросовнавыполнениефункциибезопасности, на которуювлияетотказ. Следовательно, длятакихполностьюнезависимыхотказовожидаемаяинтенсивностьзапросовксистемебезопасностиопределяетдействительноевремяпростоев.

Нижеприведенпримертакойзависимостидляархитектуры 1оо2, гдеT₂-времямеждузапросамик системе:

Результатыдлясистемы 1оо2 со 100 %-нымидостовернымиодногодичнымиконтрольнымииспытаниями всравнениис 50 %-нымидостовернымиконтрольнымииспытаниями, гдетребуемыйпериодконтрольныхиспытанийT₂предполагаетсяравным 10 годам, приведенывтаблицеВ.9. Врассматриваемомпримерерасчетыпроводилисьприследующихпредположениях: интенсивностьотказов 1 ×10^-5вчас; β = 10 %; β_D = 5 %.

ТаблицаВ.9 -Неидеальныеконтрольныеиспытания

В.3Вероятностьотказавчас (длярежимаработывысокойинтенсивностизапросовилинепрерывногорежимаработы)

В.3.1 Процедура расчетов

МетодопределениявероятностиотказафункциибезопасностидляЕ/Е/РЕсистемы, связаннойсбезопасностью, работающейврежимевысокойинтенсивностизапросовилинепрерывномрежиме. Тоже, чтоиметод вычислениядлярежиманизкойинтенсивностизапросов (см. В.2.1), заисключениемтого, чтосредняявероятностьотказапозапросуPFD_SYSзаменяетсянавероятностьопасногоотказавчасPFH_SYS.

ОбщуювероятностьопасногоотказафункциибезопасностидляЕ/Е/РЕсистемы, связаннойсбезопасностью, PFH_SYSопределяютвычислениеминтенсивностейопасныхотказовдлявсехподсистем, совокупность которыхобеспечиваетфункциюбезопасности, исуммированиемполученныхотдельныхзначений. Таккакрассматриваемыевнастоящемприложениивероятностималы, тоиспользуютформулу

PFH_SYS= PFH_S+ PFH_L + PFH_FE,

где

PFH_SYS-вероятностьотказавчасдляфункциибезопасностиЕ/Е/РЕсистемы, связаннойсбезопасностью;

PFH_S-вероятностьотказавчасдляподсистемыдатчиков;

PFH_L-вероятностьотказавчасдлялогическойподсистемы;

PFH_FE-вероятностьотказавчасдляподсистемыоконечныхэлементов.

В.3.2 Архитектуры для режима работы высокой интенсивности запросов или непрерывного режима работы

Примечания

1 Внастоящемпунктесправедливыедлянесколькихархитектурформулывыводяттам, гдеонивстречаются впервые. См. такжеВ.2.2.

2 Формулынастоящегопунктасправедливыдляпредположений, перечисленныхвВ.1.

В.3.2.1 Архитектура 1оо1

Структурнаясхемаисхемарасчетанадежностиархитектуры 1оо1 представленынарисункахВ.3иВ.4соответственно. Длявычисленияλ_D, t_CE, λ_DUиλ_DDиспользуюттежеформулы, чтоивВ.2.2.1.

Еслипредположить, чтосистема, связаннаясбезопасностью, приобнаружениилюбогоотказапереводит EUCвбезопасноесостояние, тодляархитектуры 1оо1

PFH_G= λ_DU.

В.3.2.2 Архитектура 1оо2

Структурнаясхемаисхемарасчетанадежностиархитектуры 1оо2 представленысоответственнонарисункахВ.5иВ.6. Значениеt_CEвычисляютпоформуле, приведеннойвВ.3.2.1. ВероятностьотказаPFH_Gдляархитектуры 1оо2 вычисляютпоформуле

В.3.2.3 Архитектура 2оо2

Структурнаясхемаисхемарасчетанадежностиархитектуры 2оо2 представленысоответственнонарисункахВ.7иВ.8. Еслипредположить, чтоприобнаружениилюбогоотказакаждыйканалпереводитсявбезопасное состояние, тодляархитектуры 2оо2

PFH_G= 2λ_DU.

В.3.2.4 Архитектура 1оо2D

Структурнаясхемаисхемарасчетанадежностиархитектуры 1оо2DпредставленысоответственнонарисункахВ.9иВ.10. Дляархитектуры 1оо2Dинтенсивностьобнаруженныхбезопасныхотказовλ_SD, эквивалентное среднеевремяпростояt_CE. ивероятностьотказаPFH_Gвычисляютпоформулам:

В.3.2.5 Архитектура 2оо3

Структурнаясхемаисхемарасчетанадежностиархитектуры 2оо3 представленысоответственнонарисункахВ.11иВ.12. Значениеt_CEвычисляютпоформуле, приведеннойвВ.3.2.1. ВероятностьотказаPFH_Gдля архитектуры 2оо3 вычисляютпоформуле

В.3.3 Подробные таблицы для режима работы высокой интенсивности запросов и непрерывного режима работы

ТаблицаВ.10 -Вероятностьотказавчас (врежимевысокойинтенсивностизапросовинепрерывномрежиме) дляодномесячногоинтерваламеждуконтрольнымииспытаниямиисреднеговремениремонта 8 ч

ПродолжениетаблицыВ. 10

ТаблицаВ.11 -Вероятностьотказавчас (врежимеработывысокойинтенсивностизапросовинепрерывном режимеработы) длятрехмесячногоинтерваламеждуконтрольнымииспытаниямиисреднеговремени ремонта 8 ч

ОкончаниетаблицыВ.11

ТаблицаВ.12 -Вероятностьотказавчас (врежимевысокойинтенсивностизапросовинепрерывном режиме) дляшестимесячногоинтерваламеждуконтрольнымииспытаниямиидлясреднеговремениремонта 8 ч

ОкончаниетаблицыВ.12

ТаблицаВ.13 -Вероятностьотказавчас (врежимевысокойинтенсивностизапросовинепрерывном режиме) дляодногодичногоинтерваламеждуконтрольнымииспытаниямиидлясреднеговремениремонта 8 ч

ПродолжениетаблицыВ.13

В.3.4. Пример режима высокой интенсивности запросов или непрерывного режима

Рассмотримфункциюбезопасности, дляреализациикоторойнужнасистемаSIL2. Пусть, построенныйна основепредыдущегоопыта, первоначальныйвариантархитектурывсейсистемывключаетоднугруппуиздвух датчиковсархитектурой 1оо2 навходе. Логическаяподсистема, рассматриваемойсистемы, представляетсобой PESсизбыточностьюсархитектурой 2оо3 иуправляетоднимзакрывающимконтактором. Архитектураописанной системыпредставленанарисункеВ.14. Дляэтойсистемыоценимсначалафункциюбезопасностипришестимесячномпериодеконтрольныхиспытаний. ТаблицыВ.14- В.16являютсяфрагментамитаблицыВ.12длясоответствующихданныхнарисункеВ.14.

Примечание-Долябезопасныхотказовдляподсистемыоконечныхэлементовпревышает 60 %.

РисунокВ. 14 -Архитектурасистемырассматриваемогопримерадлярежимавысокойинтенсивности запросовилинепрерывногорежима

ТаблицаВ.14 -Вероятностьотказавчасдляподсистемыдатчиковврассматриваемомпримерережима высокойинтенсивностизапросовилинепрерывногорежима (шестимесячныйинтервалконтрольныхиспытаний исреднеевремяремонта 8 ч)

ТаблицаВ.15 -Вероятностьотказавчасдлялогическойподсистемыврассматриваемомпримерережима высокойинтенсивностизапросовилинепрерывногорежима (шестимесячныйинтервалконтрольныхиспытаний исреднеевремяремонта 8 ч)

ТаблицаВ.16 -Вероятностьотказавчасдляподсистемыоконечныхэлементовв рассматриваемомпримерережимавысокойинтенсивностизапросовилинепрерывногорежима (шестимесячныйинтервалконтрольныхиспытанийисреднеевремяремонта 8 ч)

ДанныетаблицВ.14 – В.16 позволяютполучитьследующиезначения:

– дляподсистемыдатчиков:

PFH_S= 5,2 × 10^-7/h;

– длялогическойподсистемы:

PFH_L= 5,5 × 10^-8/h;

– дляподсистемыоконечныхэлементов:

PFH_FE= 5,0 × 10^-7/h;

следовательно, дляфункциибезопасности:

PFH_SYS= 5,2 × 10^-7 + 5,5 × 10^-8 + 5,0 × 10^-7

= 1,1 × 10-6/h

≡ уровень полноты безопасности 1.

Дляпереводасистемынауровеньполнотыбезопасности 2 выполняютодноизследующихдействий:

a) изменяюттиписпособустановкивходногодатчикадляулучшениязащитыототказасобщейпричиной, такимобразом, снижаязначениеβот 20 % до 10 %, aβ_Dот 10 % до 5 %:

PFH_S = 2,7 × 10^-7/h

PFH_L = 5,5 ×10^-8/h

PFH_FE= 5,0 × 10^-7/h

PFH_SYS = 8,3 ×10^-7/h

≡уровеньполнотыбезопасности 2;

b) заменяютединственноевыходноеустройстводвумяустройствамисархитектурой 1оо2 (β = 10 % и β_D = 5 %):

PFH_S= 5,2×10^-7/h

PFH_L = 5,5×10^-8/h

PFH_FE = 5,1×10^-8/h

PFH_SYS = 6,3×10^-7/h

≡ уровень полноты безопасности 2.

Подробностиоценкивероятностейотказаприведеныв [2]-[7].

Приложение С
(справочное)

Расчет диагностического охвата и доли безопасных отказов

МетодрасчетадиагностическогоохватаидолибезопасныхотказовприведенвМЭК 61508-2, приложениеС. НастоящееприложениесодержиткраткоеописаниеиспользованияэтогометодадлярасчетадиагностическогоохватаЕ/Е/РЕсистемы, связаннойсбезопасностью. Предполагается, чтоинформация, представленная вМЭК 61508-2, доступнаипринеобходимостииспользуетсяприполучениизначений, приведенныхвтаблице С.1. ВозможныедиапазоныдиагностическогоохватадлянекоторыхподсистемиликомпонентЕ/Е/РЕсистем, связанныхсбезопасностью, представленывтаблицеС.2. Значения, представленныевтаблицеС.2, опираются наинженерныеоценки.

ДлявычислениявсехзначенийтаблицыС.1потребоваласьбыподробнаясхемааппаратныхсредств, с помощьюкоторойможноопределитьвлияниевсехрежимовотказов. Представленныевтаблице С.1значения приведенывкачествепримера (длянекоторыхкомпонентовтаблицыС.1диагностическийохватнеопределен, таккакпрактическиневозможнообнаружитьвсережимыотказовэтихкомпонентов).

ТаблицаС.1быласформированаследующимобразом:

a) Дляопределениявлияниякаждоговидаотказовкаждогокомпонентанаповедениесистемыбездиагностическихиспытанийбылпроведенанализвидовивлиянияотказов. Длякаждогокомпонентаприведеныдоли безопасныхотказовSиопасныхотказовDотобщейинтенсивностиотказов, связанныескаждымвидомотказов. Дляпростыхкомпонентовделениенаопасныеибезопасныеотказыможетбытьчеткоопределено, востальных случаях-основанонаинженернойоценке. Длясложныхкомпонентов, еслидетальныйанализкаждоговида отказаневозможен, считают, чтоотказыделятсявсоотношении: 50 % безопасных, 50 % -опасных. ДляформированиятаблицыС.1 использовалисьвидыотказов, задаваемыеименнотакимраспределением, хотявозможно идругое, болеепредпочтительноераспределениеповидамотказов.

b) ЗначениядиагностическогоохватадлякаждогоконкретногодиагностическогоиспытаниякаждогокомпонентапомещаютвстолбцеDC_compтаблицыС.1. Втаблице С.1такжеприведеныконкретныезначениядиагностическихохватовдляобнаружениякакбезопасных, такиопасныхотказов. Былопоказано, чтодляпростыхкомпонентов (например, резисторов, конденсаторовитранзисторов) отказыиз-заотсутствияконтактаиликороткого замыканияобнаруживаютсясдиагностическимохватом 100 %, темнеменееиспользованиетаблицы С.2ограничиваетдиагностическийохватзначением 90 % длякомпонентаU16 комплексногокомпонентатипаВ.

c) Встолбцах 1 и 2 таблицыС.1приведеныинтенсивностибезопасныхλ_Sиопасныхλ_DD+ λ_DUотказовдля каждогокомпонентаприотсутствиидиагностическихиспытаний.

d) Обнаруженныйопасныйотказсчитаютфактическибезопасным, чтопозволяетопределитьотношение междуфактическибезопаснымиотказами (т.е. любымиобнаруженнымибезопасными, необнаруженнымибезопаснымиилиобнаруженнымиопаснымиотказами) инеобнаруженнымиопаснымиотказами. Интенсивность фактическибезопасныхотказовопределяютпроизведениемзначенияинтенсивностиопасныхотказовизначениядиагностическогоохватадляопасныхотказовисложениемрезультатасозначениеминтенсивностибезопасныхотказов (см. столбец 3 таблицыС.1). Точнотакжеинтенсивностьнеобнаруженныхопасныхотказовопределяютвычитаниемдиагностическогоохватадляопасныхотказовизединицыиумножениемрезультатанаинтенсивностьопасныхотказов (см. столбец 4 таблицыС.1).

e) Встолбце 5 таблицыС.1приведенызначенияинтенсивностиобнаруженныхбезопасныхотказов, а встолбце 6 таблицыС.1- значенияинтенсивностиобнаруженныхопасныхотказов, полученныеумножениемзначениядиагностическогоохватаназначенияинтенсивностибезопасныхиопасныхотказовсоответственно.

f) ИспользованиетаблицыС.1даетследующиерезультаты:

– общаяинтенсивностьбезопасныхотказов, включаяобнаруженныеопасныеотказы:

– общаяинтенсивностьнеобнаруженныхопасныхотказов:

– общаяинтенсивностьотказов:

– общаяинтенсивностьнеобнаруженныхбезопасныхотказов:

– диагностическийохватдлябезопасныхотказов:

– диагностическийохватдляопасныхотказов (обычноназываемый«диагностическимохватом»):

– долябезопасныхотказов:

g) Бездиагностическихиспытанийинтенсивностьотказовраспределяетсяследующимобразом: 35 % безопасныхотказови 65 % -опасныхотказов.

ТаблицаС.1 -Расчетдиагностическогоохватаидолибезопасныхотказов

ТаблицаС.2 -Уровниидиапазоныдиагностическогоохватаразличныхподсистем (компонентов)

Полезнуюинформациюможнонайтив [8]-[10].

Приложение D
(справочное)

Методика количественного определения влияния отказов аппаратных средств с общей причиной в Е/Е/РЕ системах

D.1 Общиеположения

Настоящийстандартвключаетвсебярядметодов, рассматривающихсистематическиеотказы. Однаконезависимооттого, насколькоэффективныэтиметоды, существуетостаточнаявероятностьвозникновениясистематическихотказов. Этонезначительновлияетнарезультатырасчетанадежностидляодноканальныхсистем, однаковозможностьпоявленияотказов, способныхповлиятьнанесколькоканаловмногоканальнойсистемы, т.е. отказовпообщейпричине, приводитксущественнымошибкамприрасчетахнадежностимногоканальныхсистем.

Внастоящемприложенииприводитсяописаниеметодики, позволяющейучитыватьотказыпообщейпричинеприоценкебезопасностимногоканальныхЕ/Е/РЕсистем. Использованиеданнойметодикидаетболееточную оценкуполнотыбезопасноститакойсистемы, чемприигнорированииотказовпообщейпричине.

Даннаяметодикаиспользуетсядлярасчетазначенияβ, β-фактора, частоиспользуемогопримоделированииотказовпообщейпричине. Описываемаяметодикаможетбытьиспользованадляоценкиинтенсивности отказовпообщейпричиневслучаедвухилиболеепараллельноработающихсистем, еслиизвестнаинтенсивностьслучайныхотказоваппаратныхсредствдляоднойизэтихсистем (см. D.5). Внекоторыхслучаяхпредпочтительнееальтернативныеметодики, например, еслиблагодаряналичиюданныхоботказахпообщейпричине можнополучитьболееточноезначениеβ-фактора.

D.2 Краткий обзор

Считается, чтоотказысистемыбываютдвухвидов:

– случайныеотказыаппаратныхсредств;

– систематическиеотказы.

Предполагается, чтоотказыпервоговидавозникаютслучайноповременидлялюбогокомпонентаиприводяткотказуканаласистемы, частьюкоторогоявляетсясоответствующийкомпонент. Существуетнекотораявероятностьтого, чтововсехканалахмногоканальнойсистемымогутпроизойтинезависимыеслучайныеотказы аппаратныхсредств, вследствиечеговсеканалыодновременноокажутсянеработоспособными. Таккакпредполагается, чтотакиеотказыаппаратныхсредстввозникаютвовременислучайно, вероятностьтакихотказов, одновременновозникающихвпараллельныхканалах, низкапосравнениюсвероятностьюотказаодногоканала. Такая вероятностьможетбытьрассчитанаспомощьюхорошоизвестныхметодов.

Однаконекоторыеотказы, напримеротказыпообщейпричине, являющиесяследствиемоднойпричины, могутвлиятьнанесколькоканалов, чтоможетбытьследствиемсистематическойошибки (например, конструктивнойилиошибкитехническихусловий) иливнешнеговоздействия, ведущегокпреждевременнымслучайнымаппаратнымотказам (например, избыточнойтемпературы, возникающейиз-заслучайногоотказааппаратногосредства, обычноговентилятора, чтосокращаетвремяжизникомпонентовилинарушаетзаданныеусловияокружающейсредыдляихработы), иликомбинацииэтихфакторов. Таккакотказыпообщейпричинечащевлияютна несколькоканаловмногоканальнойсистемы, товероятностьтакогоотказа, скореевсего, будетдоминирующим факторомприопределенииобщейвероятностиотказамногоканальнойсистемы. Еслинеучитыватьэтотфактор, будеттруднополучитьправильнуюоценкууровняполнотыбезопасности.

Хотяотказыпообщейпричинеявляютсяследствиемоднойпричины, онинеобязательнопроявляютсяво всехканалаходновременно. Например, приотказевентиляторавсеканалымногоканальнойЕ/Е/РЕсистемы могутотказать, чтоведеткотказупообщейпричине. Однаконеобязательновсеканалынагреваютсясодинаковой скоростьюилиимеютобщуюкритическуютемпературу. Следовательно, отказывозникаютвразныхканалахв разноевремя.

Архитектурапрограммируемыхсистемпозволяетимвыполнятьвнутреннеедиагностическоетестирование непосредственнововремяработы, чтоможетбытьреализованоразличнымиспособами, например:

– одинканалPESодновременнособеспечениемработывходногоивыходногоустройствможетнепрерывновыполнятьвнутреннююпроверкусвоейработы. Наэтапепроектированияможнодостичьзначениятестового охвата, равного 99 % (см. [11]). Если 99 % внутреннихсбоевобнаруженыдотого, какониприведуткотказу, вероятностьсбоеводногоканала, которыемогут, вконечномсчете, статьчастьюотказовпообщейпричине, значительноснижается;

– помимовнутреннеготестированиякаждыйканалPESможетотслеживатьвыходыдругихканаловмногоканальнойPES (иликаждоеРЕ-устройствоможетотслеживатьдругоеРЕ-устройствосистемы, состоящейизнесколькихРЕ-устройств). Следовательно, отказ, возникшийводномканале, можетбытьобнаружен, иодинили несколькооставшихсянеотказавшихканаловбудутвыполнятьперекрестныйконтрольиинициироватьбезопасноевыключение (следуетотметить, чтоперекрестныйконтрольэффективен, еслисостояниесистемыуправления постоянноменяется, например, приналичиичастоиспользуемойвциклическиработающемустройствезащитной блокировкиилипривнесениивустройствонебольшихизменений, невлияющихнауправляющуюфункцию). Интенсивностьвыполняемогоперекрестногоконтроляможетбытьдостаточновысока, поэтомунепосредственно переднеодновременнымиотказамипообщейпричинеперекрестныйконтроль, скореевсего, обнаружитпервый отказавшийканалипозволитперевестисистемувбезопасноесостояниедомоментаотказавторогоканала.

Например, длявентилятораскоростьростатемпературыивосприимчивостьканаловнесколькоразличаются, поэтомувторойканал, возможно, откажетспустянесколькодесятковминутпослепервого. Этопозволяет последиагностическоготестированияинициироватьбезопасноеотключениепервогоотказавшегоканаладотого, какпообщейпричинеоткажетвторойканал.

Такимобразом:

– РЕ-системыобладаютвозможностьюформироватьбарьерызащитыототказовпообщейпричинеи, следовательно, вменьшейстепениподверженыимпосравнениюсдругимитехнологиями;

– дляРЕ-системможноиспользоватьβ-фактор, отличающийсяотβ-факторадлядругихтехнологий. Следовательно, оценкиβ-фактора, опирающиесянапредыдущиезначенияоценкиинтенсивностиотказов, скореевсего, окажутсянеправильными (ниоднаизизвестныхсуществующихмоделейоценкивероятностиотказапообщей причиненеучитываетэффектавтоматическогоперекрестногоконтроля);

– таккакразнесенныевовремениотказыпообщейпричинемогутбытьобнаруженыспомощьюдиагностическоготестированиядоотказавсехканалов, подобныеотказымогутневосприниматьсякакотказыпообщей причине.

Существуеттриспособауменьшениявероятностипотенциальноопасныхотказовпообщейпричине:

1) уменьшениеобщегочисласлучайныхаппаратныхисистематическихотказов (этоуменьшаетплощади эллипсов, представленныхнарисункеD.1, приводякуменьшениюплощадипересеченияэллипсов);

2) максимальноеувеличениенезависимостиканалов (этоуменьшаетплощадьпересеченияэллипсов, представленныхнарисункеD.1, неменяяплощадисамихэллипсов);

3) обнаружениенеодновременныхотказовпообщейпричине, когданеисправнымстановитсятолькоодин канал, дотогокакстанетнеисправнымвторой, т. е. использованиедиагностическоготестирования.

Настоящийстандартиспользуетэтитриспособаитребуетподхода, состоящегоизследующихтрехэтапов:

1) использованиеметодовпоМЭК 61508-3 длясниженияобщейвероятностисистематическихотказовдо уровня, соизмеримогосвероятностьюслучайныхаппаратныхотказов;

2) количественноеопределениефакторов, которыемогутбытьколичественноопределены, т.е. учетвероятностислучайногоаппаратногоотказа, какопределеновМЭК 61508-2;

3) определениеотношения, связывающеговероятностьотказапообщейпричинесвероятностьюслучайногоотказааппаратныхсредствсиспользованиемпрактическихсредств, которыесчитаютсялучшимивнастоящее время. Внастоящемприложенииописанаметодикаопределенияэтогоотношения.

Рисунок D.1 – Связь между отказами с общей причиной и отказами отдельных каналов

Большинствометодикоценкивероятностиотказовпообщейпричинеформируютпрогнозынаосновевероятностислучайногоаппаратногоотказа. Несомненно, непосредственнойвзаимосвязимеждуэтимивероятностяминет, темнеменеенапрактикенекотораякорреляциямеждунимибыланайденаи, возможно, является следствиемэффектоввторогопорядка. Например, высокаявероятностьслучайногоаппаратногоотказасистемы связана:

– сбольшимобъемомобслуживания, которыйтребуетсистема. Авероятностьсистематическогоотказа, являющегосяследствиемобслуживания, зависитотчислапроведенныхсеансовобслуживания, чтотакжеповысит интенсивностьвоздействиячеловеческихошибок, приводящеекотказампообщейпричине. Такимобразом возникаетсвязьмеждувероятностьюслучайногоаппаратногоотказаивероятностьюотказапообщейпричине, например, послекаждогослучайногоаппаратногоотказатребуетсяремонт, азанимтестированиеи, возможно, повторнаякалибровка. Крометого, длязаданногоуровняполнотыбезопасностисистемасбольшейвероятностьюслучайногоаппаратногоотказатребуетболеечастогопроведенияконтрольныхиспытанийисбольшейглубиной/сложностью, чтотакжеувеличиваетвлияниечеловеческогофактора;

– сосложностьюсистемы. Вероятностьслучайногоаппаратногоотказазависитотчислакомпонентови, следовательно, сложностисистемы. Сложнуюсистемутруднеепонять, поэтомуунеевышевероятностьпоявлениясистематическихошибок. Крометого, сложностьсистемызатрудняетобнаружениеотказовпутеманализа илитестированияиможетприводитьктому, чточастьлогикисистемыбудетвыполнятьсятолькоприредковстречающихсяусловиях. Этотакжеприводиткпоявлениюсвязимеждувероятностьюслучайногоаппаратногоотказа ивероятностьюотказапообщейпричине.

Несмотрянаограничениярассматриваемыхмоделей, считается, чтовнастоящеевремяонипредставляют собойлучшийспособоценкивероятностиотказапообщейпричинедлямногоканальнойсистемы. Описываемый внастоящемподразделеметоддлятретьегоэтапарассматриваемойвнастоящемприложенииметодикиоснованнаобщепризнанноймоделиβ-фактора.

Прииспользованиимоделиβ-факторадляЕ/Е/РЕ-системывозникаютследующиепроблемы:

– выборзначенияβ-фактора. Многиеисточники (например, см. [11]) предлагаютдиапазонывозможных значенийβ-фактора, нонеопределяютихконкретныезначения, оставляявыборзапользователем. Чтобырешитьэтупроблему, методика, представленнаявнастоящемприложении, основываетсянаподходе, первоначальноописанномв [12] изатемскорректированномв [13];

– модельβ-факторанеучитываетразвитыевозможностидиагностическоготестированиясовременныхPES, которымиможновоспользоватьсядляобнаружениянеодновременныхотказовпообщейпричинедотого, как отказполностьюпроявитсебя. Дляпреодоленияэтойпроблемыподход, описанныйв [12] искорректированный в [13], былизмененстем, чтобыотразитьвлияниедиагностическоготестированияприоценкевозможногозначенияβ.

Функциидиагностическоготестирования, выполняющиесявнутриPES, обеспечиваютнепрерывноесравнениеработыPESсзаранееопределеннымисостояниями. Этисостоянияпредварительноопределяютсяпрограммноилиаппаратно (напримерспомощьюконтрольноготаймера). Рассматриваемыетакимобразомфункциидиагностическоготестированияможносчитатьдополнительнымиичастичноразличающимисядляканалов, работающихвPESпараллельно.

Такжеможетиспользоватьсяметодперекрестногоконтроляканалов. Многиегодыэтотметодприменялся вдвухканальныхсистемахсвзаимнойблокировкой, построенныхисключительнонареле. Однакорелейнаятехнологияобычнопозволяетпроводитьперекрестноетестированиетолькововремяизменениясостоянияканалов, чтоделаеттакоетестированиенеподходящимдляобнаружениянеодновременныхотказовпообщейпричине, еслисистемыостаютсяводном (например, включенном) состояниивтечениедлительноговремени. СпомощьютехнологииPESперекрестныйконтрольможетпроводитьсясвысокойчастотой.

D.3 Область применения методики

Областьпримененияметодикиограниченааппаратнымиотказамипообщейпричинепоследующимпричинам:

– модельβ-факторасвязываетвероятностьотказовпообщейпричинесвероятностьюслучайныхаппаратныхотказов. Вероятностьотказовпообщейпричине, затрагивающихсистемувцелом, зависитотсложности системы (вкоторойглавнуюрольвозможноиграетпользовательскоепрограммноеобеспечение), анетолькоот аппаратуры. Очевидно, чтолюбыерасчеты, основанныенавероятностислучайногоаппаратногоотказа, немогут учитыватьсложностьпрограммногообеспечения;

– информированиеоботказахпообщейпричинеобычноограничиваетсяаппаратнымиотказами, чтоявляетсяглавнойзаботойпроизводителейоборудования;

– моделированиесистематическихотказов (например, отказовпрограммногообеспечения) считаетсяпрактическинеосуществимым;

– цельюмероприятий, определенныхвМЭК 61508-3, являетсяснижениевероятностиотказовпообщей причине, связанныхспрограммнымобеспечением, дозначения, приемлемогодлянеобходимогоуровняполнотыбезопасности.

Следовательно, оценкавероятностиотказапообщейпричине, выполненнаяподаннойметодике, связана толькосаппаратнымиотказами. Этуметодикунедопускаетсяиспользоватьдляполученияобщейинтенсивности отказов, учитывающейвероятностьотказа, связанногоспрограммнымобеспечением.

D.4 Особенности методики

Таккакнадатчики, логическуюподсистемуиоконечныеэлементывлияют, напримерразличныеусловия окружающейсреды, длякаждойизэтихподсистемнастоящуюметодикуприменяютнезависимо. Например, логическуюподсистемупрощепоместитьвконтролируемуюсреду, адатчикимогутбытьустановленыснаружии подвергнутывнешнемувоздействию.

Программируемыеэлектронныеканалыпредоставляютвозможностьдляреализацииразнообразныхфункцийдиагностическоготестированияиспособны:

– обеспечиватьвысокийдиагностическийохватвпределахконкретныхканалов;

– контролироватьдополнительныеизбыточныеканалы;

– обеспечиватьвысокуючастотуповторения;

– контролироватьсповышеннойчастотойдатчикии/илиоконечныеэлементы.

Чащевсегоотказыпообщейпричиненевозникаютодновременнововсехзатронутыхканалах. Поэтому, есличастотаповторениядиагностическоготестированиядостаточновысока, большуючастьотказовпообщей причинеможнообнаружитьи, следовательно, устранитьдотого, какбудутзатронутыостальныедоступныеканалы.

Невсефункциимногоканальнойсистемы, обеспечивающиеустойчивостькотказампообщейпричине, можнопроверитьспомощьюдиагностическоготестирования. Однакоэффективностьэтихфункций, связанныхс диверсификациейилинезависимостью, постоянноповышается. Любаяфункция, которая, возможно, увеличиваетвремямеждуотказамиканаловвслучаенеодновременногоотказапообщейпричине (илиуменьшаетдолю одновременныхотказовпообщейпричине), увеличиваетвероятностьобнаруженияотказапридиагностическом тестированииипереводаустановкивбезопасноесостояние. Следовательно, функции, связанныесустойчивостьюкотказампообщейпричине, делятсянафункции, влияниекоторыхпредположительновозрастаетприиспользованиидиагностическоготестирования, ивлияниекоторыхнеменяется (см. таблицуD.1, столбцыXиYсоответственно).

Хотядлятрехканальнойсистемывероятностьотказовпообщейпричине, влияющихнавсетриканала, скореевсегозначительнонижевероятностиотказов, влияющихнадваканала, дляупрощенияметодикипредполагается, чтовероятностьотказовнезависитотчислазатрагиваемыхканалов, т.е. возникающийотказпообщей причинезатрагиваетвсеканалы.

Данныхобаппаратныхотказахпообщейпричине, необходимыхдлякалибровкиметодики, несуществует, поэтомуданныетаблицвнастоящемприложенииосновываютсянаинженерныхоценках.

Иногдапроцедурыдиагностическоготестированиянерассматриваютсякакнеобходимыедляобеспечения безопасности, поэтомуихуровеньобеспечениякачестваможетбытьниже, чемпроцедур, обеспечивающихосновныефункцииуправления. Даннаяметодикабыларазработанавпредположении, чтоуровеньполнотыбезопасностидлядиагностическоготестированиясоответствуеттребуемому. Следовательно, любыепрограммные процедурыдиагностическоготестированиядолжныразрабатыватьсясиспользованиемметодов, соответствующихтребуемомууровнюполнотыбезопасности.

D.5 Использование β-фактора для вычисления вероятности отказа Е/Е/РЕ-системы, связанной с безопасностью, из-за отказов по общей причине

Влияниеотказовпообщейпричиненамногоканальнуюсистемусдиагностическимтестированиемследует рассматриватьвкаждомизканаловсистемы.

Используямодельβ-фактора, дляинтенсивностиопасныхотказовпообщейпричинеполучимλ_Dβ, где λ_D-интенсивностьопасныхслучайныхаппаратныхотказовдлякаждогоотдельногоканала, аβ-β-факторв отсутствиедиагностическоготестирования, т. е. доляотказоводногоканала, влияющихнавсеканалы.

Предположим, чтоотказыпообщейпричиневлияютнавсеканалы, апромежутоквременимеждупервым иостальнымиотказавшимиканаламималпосравнениюсинтерваломвременимеждупоследовательными отказамипообщейпричине.

Пустьвкаждомканалеприменяетсядиагностическоетестирование, котороеобнаруживаетивскрывает частьотказов. Отказыподразделяютнадвекатегории: отказы, которыенаходятсявнеохватадиагностического тестирования (т.е. немогутбытьобнаружены), иотказывпределахохвата (которыебудутобнаруженыдиагностическимтестированием).

Поэтомуобщуюинтенсивностьотказовсистемы, вызванныхопаснымиотказамипообщейпричине, вычисляютпоформуле

β_DUβ+ λ_DDβ_D,

где

λ_DU-интенсивностьнеобнаруженныхотказоводногоканала, т. е., интенсивностьопасныхотказов, находящихсязапределамиохватадиагностическоготестирования; очевидно, любоеуменьшениеβ-фактора, являющеесяследствиемчастотыпроведениядиагностическоготестирования, неможетповлиятьна λ_DU;

β-факторотказовпообщейпричинедлянеобнаруживаемыхопасныхотказов, которыйравенобщему β-фактору, применяемомувотсутствиедиагностическоготестирования;

λ_DD-интенсивностьобнаруженныхопасныхотказоводногоканала (т.е. интенсивностьопасныхотказов одногоканала), находящихсявпределахохватадиагностическоготестирования; есличастотапроведениядиагностическоготестированиявысока, доляобнаруженныхотказовведеткуменьшениюзначенияβ, т.е. β_D;

β_D-доляопасныхотказовпообщейпричине, обнаруживаемыхдиагностическимитестами. Сувеличениемчастотыпроведениядиагностическоготестированиязначениеβ_Dстановитсяменьшеβ.

ЗначениеβопределяетсяпотаблицеD.4спомощьюоценкиS = X + Y(см. D.6).

Значениеβ_DопределяетсяпотаблицеD.4 спомощьюоценкиS_D= X(Z + 1) + Y.

D.6 Использование таблиц для оценки β

Оценкуβ-факторарассчитываютотдельнодлядатчиков, логическойподсистемыиоконечныхэлементов.

Длятогочтобысвестикминимумувероятностьвозникновенияотказовпообщейпричине, следуетсначала определитьсредства, эффективнозащищающиеотпоявлениятакихотказов. Реализациясоответствующихсредств всистемеведеткуменьшениюзначенияβ-фактора, используемогоприоценкевероятностиотказасистемыиз-за отказовпообщейпричине.

Мероприятияисоответствующиеимзначения (баллы) параметровXиY, полученныеспомощьюинженернойоценкииописывающиевкладкаждогоизмероприятийвуменьшениечислаотказовпообщейпричине, перечисленывтаблицеD.1. Таккакдатчикииоконечныеэлементыанализируютсяиначе, чемпрограммируемая электроника, втаблицеD.1 используютсястолбцыX_LSиY_LSдляпрограммируемыхэлектронныхсредствистолбцы X_SFиY_SFдлядатчиковилиоконечныхэлементов.

Программируемыеэлектронныесистемымогутиспользоватьинтенсивноедиагностическоетестирование, позволяющееобнаруживатьнеодновременныеотказыпообщейпричине. Дляучетадиагностическоготестированияприоценкеβ-фактораобщийвкладкаждогоизмероприятийвтаблицеD.1 разделенсиспользованием инженернойоценкинанаборызначенийXиY. ДлякаждогоконкретногомероприятияотношениеХ:Упредставляетсобоймеруповышениявкладаэтогомероприятиявборьбусотказамипообщейпричинеблагодарядиагностическомутестированию.

ПользовательтаблицыD.1 долженопределить, какиемероприятиябудутиспользованыдлярассматриваемойсистемы, исложитьсоответствующиемероприятиямбаллы, приведенныевграфахX_LSиY_LSдлялогической подсистемыиливграфахX_SFиY_SF-длядатчиковилиоконечныхэлементов, получивсуммыXиYсоответственно.

КоэффициентZопределяютпотаблицамD.2иD.3почастотеиохватудиагностическоготестированияс учетомпримечания, определяющего, когдаследуетиспользоватьненулевоезначениеZ. Затем (принеобходимости) рассчитываютсуммубалловS (см. D.5) поформулеS = X + Y-дляполучениязначенияβ (β-факторадля необнаруженныхотказов) иS_D= X(Z + 1) + Y-дляполучениязначенияβ_D (β_D-факторадляобнаруженных отказов), гдеSилиS_D-баллы, используемыевтаблицеD.4дляопределениясоответствующегоβ-фактора.

ТаблицаD.1 – Оценкамероприятий (барьеров) защитыпрограммируемыхэлектронныхсредствили датчиков/оконечныхэлементовотвозникновенияотказовпообщейпричине

ТаблицаD.2 -ЗначениеZ: программируемаяэлектроника

ТаблицаD.3 -ЗначениеZ: датчикиилиоконечныеэлементы

Примечания

1 Даннаяметодиканаиболееэффективна, еслиприподсчетебалловравномерноучитываютсявсегруппы мероприятий, представленныевтаблицеD.1. Следовательно, рекомендуется, чтобыобщаясуммабалловХ иY длякаждойгруппыбыланеменееобщейсуммыбалловXиY, деленнойна 20. Например, еслиобщаясумма балловX+ Yравна 80, тообщаясуммабалловX + Yдлялюбойизгрупп (например, длягруппымероприятий «Процедуры/интерфейспользователя») должнабытьнеменеечетырех.

2 ПрииспользованиитаблицыD.1следуетучитыватьбаллыдлявсехреализованныхвсистеме мероприятий. Подсчетсуммыбалловбылразработандляучетатехмероприятий, которыенеявляютсявзаимно исключающими. Например, длясистемы, логическиеподсистемыканаловкоторойрасположенывотдельных стойках, подсчитываютсуммубалловмероприятийтаблицыD.1«Расположенылилогическиеподсистемы каналоввотдельныхшкафах»и«Расположенылилогическиеподсистемыканаловнаотдельныхпечатных платах».

3 Есливдатчикахилиоконечныхэлементахиспользуетсяпрограммируемаяэлектроника, ихрассматриваюткакчастьлогическойподсистемы, еслионинаходятсявтомжездании (транспортномсредстве), чтоиустройство, являющеесяглавнойчастьюлогическойподсистемы, ивкачестведатчиковилиоконечныхэлементов-если онирасположеныотдельно.

4 Длятого, чтобыиспользоватьненулевоезначениеZ, нужноубедиться, чтоуправляемоеоборудование переходитвбезопасноесостояниедотого, какнеодновременныйотказпообщейпричинесможетповлиятьна всеканалы. Время, необходимоедляобеспеченияэтогобезопасногосостояния, должнобытьменеезаявленногоинтерваладиагностическоготестирования. НенулевоезначениеZдопускаетсяиспользоватьтольковслучае, если:

– системаинициируетавтоматическоевыключениеприобнаружениисбояили

– безопасноевыключениенеинициируетсяпослепервогосбоя¹⁾, нодиагностическоетестированиеопределяетместонахождениесбояиможетеголокализовать, атакжесохраняетспособностьпереводаEUCвбезопасноесостояниепослеобнаружениялюбыхпоследующихсбоевили

– используютформальнуюсистемуработы, гарантирующую, чтопричиналюбогообнаруженногосбоя будетполностьюпроанализированавтечениезаявленногопериодадиагностическоготестированияилибо установканемедленновыключается, еслисбойможетпривестикотказупообщейпричине, либоканал, вкоторомпроизошелсбой, восстанавливаетсявтечениезаявленногоинтерваладиагностического тестирования.

¹⁾ Необходимоучитыватьдействиясистемыприобнаружениисбоя. Например, простаясистемасархитектуройголосования 2оо3 должнабытьвыключена (илиотремонтирована) послеобнаруженияодиночногоотказа втечениевремени, приведенноговтаблицеD.2 илиD.3. Еслисистеманевыключена, отказвторогоканаламожет привестиктому, чтоприголосованиидваотказавшихканалаполучатперевесголосовнадоставшимся (работоспособным) каналом. Усистемы, котораяавтоматическисамаменяетархитектуруголосованияна 1оо2 приотказеодногоканалаиавтоматическивыключаетсяпривозникновениивторогоотказа, вероятностьобнаружения неисправностивторогоканалаповышаетсяи, следовательно, ненулевоезначениеZвозможно.

5 ВобрабатывающихотрасляхврядливозможновыключатьEUCприобнаружениисбоявовремяинтерваладиагностическоготестированиявсоответствиистаблицейD.2. Настоящаяметодиканедолжнавосприниматьсякаксодержащаястрогоетребованиевыключатьтехнологическиеустановкинепрерывногопроизводствапри обнаруженииподобныхсбоев. Однакоесливыключениенепроизводится, тоуменьшитьβ-факторспомощью использованиядиагностическоготестированиядляпрограммируемыхэлектронныхсредствневозможно. Вряде другихотраслейвыключениеEUCвовремяинтерваладиагностическоготестированиявозможно. Вэтихслучаях допускаетсяиспользоватьненулевоезначениеZ.

6 Еслидиагностическоетестированиепроводитсямодульно, товремяповторения, приведенноевтаблице D.2 илиD.3, -этовремямеждузавершениямипоследовательногодиагностическоготестированиявсегонабора модулей. Диагностическийохват-общийохват, обеспечиваемыйвсемимодулями.

ТаблицаD.4 -Расчетвеличиныβилиβ_D

D.7 Использование методики

Длядемонстрациирезультатаиспользованияметодикизначенияβиβ_DдляпрограммируемыхэлектронныхсредствприведенывтаблицеD.5.

Длявсехгруппмероприятий, кроме-«диверсификация/избыточность», былииспользованытиповые значенияXиY. Онибылиполученыделениеммаксимальногозначениябалловдляконкретныхгруппна два.

Длясистемсразнообразием (см. таблицуD.5) значенияXиYдлягруппы«диверсификация/избыточность» быливыведены, исходяизследующихмероприятий, рассмотренныхвтаблицеD.1:

– однасистемаэлектронная, другаяиспользуеттехнологиюреле;

– диагностическоетестированиеаппаратурыиспользуетразличныетехнологии;

– разныеконструкторыневзаимодействовалимеждусобойвпроцессепроектирования;

– дляпускасистемыиспользовалисьразличныеметодытестированияиразныйперсонал;

– обслуживаниепроводитсявразноевремяразнымилюдьми.

Длясистемсизбыточностью (см. таблицуD.5) значенияXиYдлягруппы«диверсификация/избыточность» быливыведены, исходяизтого, чтодиагностикааппаратурыпроводиласьнезависимойсистемой, использующей тужетехнологию, чтоисистемысизбыточностью.

ВсистемахсразнообразиемивсистемахсизбыточностьюдлявеличиныZиспользовалисьмаксимальные иминимальныезначения, поэтомувтаблицеD.5 значенияβиβ_Dпредставленыдлячетырехсистем.

ТаблицаD.5 -Значенияβиβ_Dдляпрограммируемыхэлектронныхсредств

Полезнаяинформация, связаннаясотказамипообщейпричине, содержитсяв [11]-[13].

Приложение Е
(справочное)

Применение таблиц полноты безопасности программного обеспечения в соответствии с МЭК 61508-3

Е.1 Общиеположения

Настоящееприложениесодержитдвапримераприменениятаблицполнотыбезопасностипрограммного обеспечения, определенныхвМЭК 61508-3, приложениеА.

Первыйпримерпредставляетсобойпрограммируемуюэлектроннуюсистему, связаннуюсбезопасностью, суровнемполнотыбезопасности 2, котораяиспользуетсядляуправленияпроцессомнахимическомзаводе. Даннаяпрограммируемаяэлектроннаясистемаиспользуетвприкладнойпрограммемногоступенчатуюлогикуи служитпримеромприкладногопрограммированиянаязыкесограниченнойварьируемостью.

Второйпримерпредставляетсобойпрограммноеприложение, разработанноенаязыкепрограммированиявысокогоуровня, связанноесбезопасностью, суровнемполнотыбезопасности 3, котороеуправляетзакрывающимустройством.

Обапримераслужатруководствомпоприменениютаблицполнотыбезопасностипрограммногообеспечения, определенныхвМЭК 61508-3, дляразличныхреальныхсистем. Всеисходныехарактеристикиконкретной системы, необходимыедляиспользованияупомянутыхвышетаблицполнотыбезопасности, должныиметьдокументальноеобоснование, подтверждающее, чтовсеописанияиспользуемыххарактеристикправильныисоответствуютконкретнойреализацииэтойсистемы.

Е.2 Система с уровнем полноты безопасности 2

Установка, работающаянахимическомзаводе, состоитизнесколькихреакторныхбаков, связанныхпромежуточнымибакамихранения, которыенанекоторыхстадияхциклареакциизаполняютсяинертнымгазомдля предотвращениявоспламененияивзрывов. Функциипрограммируемойэлектроннойсистемы, связаннойсбезопасностью, помимопрочихвключаютвсебя: получениевходныхданныхотдатчиков; включениеиблокировку клапанов, насосовиисполнительныхмеханизмов; обнаружениеопасныхситуацийивключениесигналатревоги; сопряжениесраспределеннойсистемойуправлениявсоответствиистребованиями, предъявляемымиспецификациейбезопасности.

Предположенияихарактеристикисистемы:

– контроллерпрограммируемойэлектроннойсистемы, связаннойсбезопасностью, представляетсобой программируемыйлогическийконтроллер (ПЛК);

– прианализеопасностейирисковустановлено, чтонеобходимоиспользоватьпрограммируемуюэлектроннуюсистему, связаннуюсбезопасностью, идляданногоприложениянуженуровеньполнотыбезопасности 2 (всоответствиисМЭК 61508-1 иМЭК 61508-2);

– хотяконтроллерработаетвреальномвремени, требуетсяотносительнонебольшаяскоростьреакции;

– существуютинтерфейсысоператоромираспределеннойсистемойуправления;

– исходныйкодпрограммногообеспечениясистемыисхемапрограммируемыхэлектронныхсредствПЛК недоступныдляпроверки, нооцененывсоответствиисМЭК 61508-3 каксоответствующиеуровнюполнотыбезопасности 2;

– вкачествеязыкапрограммированияприложенияиспользоваласьмногоступенчатаялогика, программа создаваласьспомощьюсистемыразработки, предоставляемойпоставщикомПЛК;

– кодприложениядолженисполнятьсятольконаПЛКодноготипа;

– всяразработкапрограммногообеспеченияконтролироваласьлицом, независимымоткомандыразработчиковпрограммногообеспечения;

– лицо, независимоеоткомандыразработчиковпрограммногообеспечения, наблюдалозаприемочными испытаниямииутвердилоихрезультаты;

– изменения (еслинеобходимы) санкционируютсялицом, независимымоткомандыразработчиковпрограммногообеспечения.

Примечание-Определениенезависимоголица-всоответствиисМЭК 61508-4, пункт 3.8.10.

ИнтерпретацияМЭК 61508-3, приложениеА, дляданногопримерапредставленавтаблицахЕ.1 – Е.10.

Примечания

1 Вграфе«ссылка»таблицЕ.1 – Е.10пункты (напримерВ.2.4, С.3.1) -этоссылкинаМЭК 61508-7, а таблицы (напримертаблицаВ.7) -этоссылкинаМЭК 61508-3.

2 ИнформацияораспределенииответственностимеждупоставщикомипользователемприиспользованииязыковпрограммированиясограниченнойварьируемостьюприведенавМЭК 61508-3 (примечанияк 7.4.3-7.4.5).

ТаблицаЕ.1 -Спецификациятребованийкбезопасностипрограммногообеспечения (см. МЭК 61508-3, подраздел 7.2)

ТаблицаЕ.2 -Программноеобеспечение, проектированиеиразработка: архитектура (см. МЭК 61508-3, пункт 7.4.3)

ТаблицаЕ.3-Проектированиеиразработкапрограммногообеспечения: средстваподдержкииязык программирования (см. МЭК 61508-3, пункт 7.4.4)

ТаблицаЕ.4 -Проектированиеиразработкапрограммногообеспечения: подробнаямодель (см. МЭК 61508-3, пункты 7.4.5 и 7.4.6)

ТаблицаЕ.5 -Проектированиеиразработкапрограммногообеспечения: проверкаиинтеграцияпрограммныхмодулей (см. МЭК 61508-3, пункты 7.4.7 и 7.4.8)

ТаблицаЕ.6 -Интеграцияпрограммируемыхэлектронныхсредств (аппаратураипрограммноеобеспечение) (см. МЭК 61508-3, подраздел 7.5)

ТаблицаЕ.7 -Безопасностьпрограммногообеспечения, проверка (см. МЭК 61508-3, подраздел 7.7)

ТаблицаЕ.8 -Модификацияпрограммногообеспечения (см. МЭК 61508-3, подраздел 7.8)

ТаблицаЕ.9 -Проверкапрограммногообеспечения (см. МЭК 61508-3, подраздел 7.9)

ТаблицаЕ.10 -Оценкафункциональнойбезопасности (см. МЭК 61508-3, раздел 8)

Е.3Системасуровнемполнотыбезопасности 3

Рассматриваемаяпрограммнаясистемасравнительновеликасточкизрениясистемыбезопасности, так каквключаетболее 30000 строкисходногокода. Крометого, внейиспользуютсяобычныевстроенныефункции, по крайнеймере, дверазличныеоперационныесистемыиужесуществующийкодболеераннихпроектов (проверенныхвэксплуатации). Вцеломсистемасостоитболеечемиз 100000 строкисходногокода.

Аппаратныесредства (включаядатчикииисполнительныемеханизмы) представляютсобойдвухканальную систему, выходыкоторойподключеныкоконечнымэлементампосхемелогического«И» (AND).

Предположенияихарактеристикисистемы:

– немедленнаяреакциянетребуется, нообеспечиваетсямаксимальноевремяреакции;

– интерфейсысоператоромсуществуютдлядатчиков, исполнительныхмеханизмовиоповещателей;

– исходныйкодоперационныхсистем, графическихпроцедурикоммерческихпрограммныхпродуктовне доступен;

– система, скореевсего, вдальнейшембудетмодернизироваться;

– специальноразработанноепрограммноеобеспечениеиспользуетодинизраспространенныхпроцедурныхязыков;

– компонентыпрограммнойсистемы, исходныйкоддлякоторыхнедоступен, реализованыразнымиспособамиспомощьюинструментальныхсредствотразныхпоставщиков, иихобъектныйкодбылсозданразными трансляторами;

– программноеобеспечениеработаетнанесколькихпроцессорах, доступныхнарынкевсоответствиис требованиямиМЭК 61508-2;

– встроенныесистемысоответствуюттребованиямМЭК 61508-2 дляуправленияотказамиаппаратныхсредств идляихпредотвращения;

– разработкапрограммногообеспеченияконтролироваласьнезависимойорганизацией.

Примечание-ОпределениенезависимойорганизацииприведеновМЭК 61508-4, пункт 3.8.12.

ИнтерпретацияМЭК 61508-3, приложениеА, дляданногопримерапредставленавтаблицахЕ.11 – Е.20.

Примечание-Вграфе«ссылка»таблицЕ.11 – Е.20пункты (напримерВ.2.4, С.3.1) -этоссылкина МЭК 61508-7, атаблицы (напримертаблицаВ.7) -этоссылкинаМЭК 61508-3.

ТаблицаЕ.11 -Спецификациятребованийкбезопасностипрограммногообеспечения (см. МЭК 61508-3, подраздел 7.2)

ТаблицаЕ.12 -Проектированиеиразработкапрограммногообеспечения: проектированиеархитектуры программногообеспечения (см. МЭК 61508-3, пункт 7.4.3)

ТаблицаЕ.13 -Проектированиеиразработкапрограммногообеспечения: средстваподдержкииязык программирования (см. МЭК 61508-3, пункт 7.4.4)

ТаблицаЕ.14 -Проектированиеиразработкапрограммногообеспечения: подробныйпроект (см. МЭК 61508-3, пункты 7.4.5 и 7.4.6)

ТаблицаЕ.15 -Проектированиеиразработкапрограммногообеспечения: проверкаиинтеграцияпрограммныхмодулей (см. МЭК 61508-3, пункты 7.4.7 и 7.4.8)

ТаблицаЕ.16 -Интеграцияпрограммируемойэлектроники (аппаратныхсредствипрограммногообеспечения) (см. МЭК 61508-3, подраздел 7.5)

ТаблицаЕ.17 -Подтверждениесоответствиябезопасностипрограммногообеспечения (см. МЭК 61508-3, подраздел 7.7)

ТаблицаЕ.18 -Модификацияпрограммногообеспечения (см. МЭК 61508-3, подраздел 7.8)

ТаблицаЕ.19 -Проверкапрограммногообеспечения (см. МЭК 61508-3, подраздел 7.9)

ТаблицаЕ.20 -Оценкафункциональнойбезопасности (МЭК 61508-3, раздел 8)

Приложение F
(справочное)

Сведения о соответствии ссылочных международных стандартов национальным стандартам Российской Федерации

ТаблицаF.1

Библиография

Ключевыеслова:функциональнаябезопасность; жизненныйциклсистем; электрическиекомпоненты; электронныекомпоненты; программируемыеэлектронныекомпонентыисистемы; системы, связанныесбезопасностью; диагностическийохват; оценкавероятностиотказааппаратныхсредств; полнотабезопасности программногообеспечения