---

- для подсистемы 3 уровень полноты безопасности, соответствующий требованиям устойчивости АС к отказам и доле безопасных отказов, равен SIL1.

Для этой структуры каждая из подсистем 1 и 3 имеет уровень полноты безопасности, соответствующий требованиям устойчивости АС к отказам, равный SIL1, а подсистема 2 имеет уровень полноты безопасности, соответствующий требованиям устойчивости АС к отказам, равный SIL2. Поэтому подсистемы 1 и 3 ограничивают уровень полноты безопасности, который может потребоваться для соблюдения устойчивости АС к отказам для рассматриваемой функции безопасности, до значения SIL1.

5.8.1.7 В Е/Е/РЕ СБЗС-системах, в которых функция безопасности реализуется многоканальной структурой (рисунок 5), максимальный уровень полноты безопасности, достигаемый для рассматриваемой функции безопасности, должен быть определен путем:

а) оценки каждой подсистемы в соответствии с требованиями, представленными в таблицах 1 и 2;

б) группирования подсистем в комбинации;

в) последующего анализа этих комбинаций для определения полного уровня полноты безопасности АС.

Примечания

1 Подсистемы 1, 2 и подсистемы 4, 5 имеют одинаковые функциональные возможности в отношении функции безопасности и обеспечивают раздельные входы в подсистему 3.

2 Подсистемы, включающие все элементы (от сенсоров до исполнительных устройств), выполняющие функцию безопасности, например, функцию пожарной сигнализации, образуют полную Е/Е/РЕ СБЗС-систему.

Рисунок 5 - Пример ограничения полноты безопасности АС для многоканальной структуры Е/Е/РЕ-системы, реализующей функцию безопасности

Пример - Структура, в которой реализуется конкретная функция безопасности, образована либо комбинацией подсистем 1, 2 и 3, либо комбинацией подсистем 4, 5 и 3 (см. рисунок 6). Комбинация подсистем 1 и 2 и комбинация подсистем 4 и 5 имеют одинаковые функциональные возможности в отношении функции безопасности и имеют раздельные входы в подсистему 3. В этом примере комбинация параллельных подсистем, 1, 2 и 4, 5, соответственно, реализует требуемую часть функции безопасности, независимо от другой (параллельной) подсистемы. Функцию безопасности считают выполненной:

- при событии отказа в подсистеме 1 или подсистеме 2 (поскольку комбинация подсистем 4 и 5 позволяет реализовать функцию безопасности) или

- при событии отказа в подсистеме 4 или подсистеме 5 (поскольку комбинация подсистем 1 и 2 позволяет реализовать функцию безопасности).

Каждая подсистема удовлетворяет требованиям таблиц 1 и 2 следующим образом:

- для подсистемы 1 уровень полноты безопасности, соответствующий требованиям устойчивости АС к отказам и доле безопасных отказов, равен SIL3;

- для подсистемы 2 уровень полноты безопасности, соответствующий требованиям устойчивости АС к отказам и доле безопасных отказов, равен SIL2;

- для подсистемы 3 уровень полноты безопасности, соответствующий требованиям устойчивости АС к отказам и доле безопасных отказов, равен SIL2;

- для подсистемы 4 уровень полноты безопасности, соответствующий требованиям устойчивости АС к отказам и доле безопасных отказов, равен SIL2;

- для подсистемы 5 уровень полноты безопасности, соответствующий требованиям устойчивости АС к отказам и доле безопасных отказов, равен SIL1.

Процедура определения максимального уровня полноты безопасности АС, которая может потребоваться для рассматриваемой функции безопасности, следующая:

а) объединение подсистем 1 и 2: устойчивость АС к отказам и доля безопасных отказов, обеспеченная комбинацией подсистем 1 и 2 (каждая в отдельности соответствует требованиям для SIL3 и SIL2), соответствует требованиям SIL2 (определенным подсистемой 2);

б) объединение подсистем 4 и 5: устойчивость АС к отказам и доля безопасных отказов, обеспеченная комбинацией подсистем 4 и 5 (каждая в отдельности соответствует требованиям для SIL2 и SIL1), соответствует требованиям SIL1 (определенным подсистемой 5);

в) дальнейшее объединение комбинации подсистем 1 и 2 с комбинацией подсистем 4 и 5: уровень полноты безопасности АС в отношении устойчивости АС к отказам комбинации подсистем 1, 2, 4 и 5 определяется:

- оценкой, какая из комбинаций подсистем (т.е. комбинация подсистем 1 и 2 или 4 и 5) достигла самого высокого возможного уровня полноты безопасности АС (в показателях соответствия требованиям устойчивости к отказам) и

- анализом влияния другой комбинации подсистем на устойчивость к отказам для комбинаций подсистем 1, 2, 4 и 5.

В настоящем примере комбинация подсистем 1 и 2 имеет максимально допустимое требование SIL2 [см. перечисление а)], в то время как комбинация подсистем 4 и 5 имеет максимально допустимое требование SIL1 [см. перечисление б)]. Однако в случае отказа, встречающегося в комбинации подсистем 1 и 2, функция безопасности могла бы быть выполнена комбинацией подсистем 4 и 5. С учетом этого устойчивость АС к отказам, достигнутая комбинацией подсистем 1 и 2, увеличивается на единицу. Увеличение устойчивости АС к отказам на единицу приводит к увеличению на единицу уровня полноты безопасности АС, которое может потребоваться (см. таблицы 1 и 2). Поэтому комбинация подсистем 1, 2, 4 и 5 имеет максимально допустимый уровень полноты безопасности в отношении устойчивости к отказам и доли безопасных отказов, равный SIL3 (т.е. уровень полноты безопасности АС, достигнутый комбинацией подсистем 1 и 2, составляет SIL2 плюс единица);

г) полная Е/Е/РЕ СБЗС-система: уровень полноты безопасности АС в отношении их устойчивости к отказам, который может потребоваться для рассматриваемой функции безопасности, определяют анализом комбинации подсистем 1, 2, 4 и 5 (которая достигает уровня устойчивости к отказам, равного SIL3 [см. перечисление с)] и подсистемы 3 (которая достигает уровня устойчивости к отказам, равного SIL2). Подсистема, достигшая самого низкого уровня полноты безопасности АС (в данном случае подсистема 3), определяет максимальный уровень полноты безопасности всей Е/Е/РЕ СБЗС-системы. Поэтому максимальный уровень полноты безопасности АС в отношении устойчивости к отказам аппаратных средств, который может быть достигнут для функции безопасности в данном примере, равен SIL2.

5.8.2 Требования к оценке вероятности отказа функций безопасности из-за случайных отказов АС

5.8.2.1 Вероятность отказа каждой функции безопасности из-за случайных отказов АС не должна превышать значение целевой величины отказов, установленное в спецификации требований к функциональной безопасности (5.5.4, 5.5.5).

Примечания

1 Для функции безопасности, выполняемой АС в режиме с низкой частотой запросов, целевая величина отказов, выраженная как средняя вероятность отказов выполнения по запросу предусмотренной функции безопасности (ГОСТ Р 53195.2, таблица 2), не должна превышать целевой уровень полноты безопасности, установленный для функции безопасности Е/Е/РЕ СБЗС-системы (5.5.5). Например, если значение целевой величины отказов (средней вероятности отказов по запросу) для удовлетворения требуемого снижения риска задано равным 1,5·10, то значение вероятности отказа по запросу функции безопасности, вызванного случайными отказами АС, не должно быть более 1,5·10.

2 Для функции безопасности, выполняемой АС в режиме с высокой частотой запросов или с непрерывным запросом, целевая величина отказов, выраженная в вероятности опасного отказа в час (ГОСТ Р 53195.2, таблица 3), не должна превышать целевой уровень полноты безопасности, установленный для функции безопасности Е/Е/РЕ СБЗС-системы. Например, если целевая величина отказов (вероятность опасного отказа в час) для выполнения требований по снижению риска задана равной 1,5·10, то вероятность отказа в выполнении функции безопасности, вызванного случайными отказами АС, не должна быть более 1,5·10.

3 Для доказательства выполнения данного требования необходимо провести расчет надежности для соответствующей функции безопасности, используя соответствующие средства (5.8.2.2), и сравнить полученный результат с целевой величиной отказов конкретной полноты безопасности для соответствующей функции безопасности (ГОСТ Р 53195.2, таблицы 2 и 3).

5.8.2.2 Вероятность отказа каждой функции безопасности из-за случайных отказов АС должна быть оценена с учетом:

а) структуры Е/Е/РЕ СБЗС-системы каждой рассматриваемой функции безопасности.

Примечание - При этом должно быть определено, какие виды отказов подсистем находятся в последовательной связи (при которой любой отказ вызывает отказ соответствующей выполняемой функции безопасности), а какие виды отказов находятся в параллельной связи (при которой отказ соответствующей функции безопасности происходит при совпадающих отказах);

б) оцененной интенсивности отказов каждой подсистемы в любых режимах, которые могли бы вызвать опасные отказы Е/Е/РЕ СБЗС-системы, но обнаружены в результате диагностической проверки;

в) восприимчивости Е/Е/РЕ СБЗС-системы к отказам по общей причине [см. примечание 5 к перечислению ж)];

г) охвата диагностикой (см. приложение В) и связанного с ним интервала диагностических проверок.

Примечания

1 В модели надежности системы среднее время восстановления принимается как сумма интервала диагностических проверок и последующего времени ремонта. При работе Е/Е/РЕ СБЗС-системы в режиме с высокой частотой запросов или с непрерывным запросом, когда любые опасные отказы каналов приводят к опасным отказам Е/Е/РЕ СБЗС-системы, в модели надежности интервал диагностических проверок должен быть учтен непосредственно (то есть, дополнительно к среднему времени восстановления), если его значение не является значительно меньшим, чем интервал времени между ожидаемыми запросами (см. 5.8.2.5).

2 При установлении интервала диагностических проверок должны быть учтены интервалы времени между всеми испытаниями, которые влияют на охват диагностикой;

д) интервалов времени, на которых реализуются интервалы диагностических проверок для обнаружения опасных ошибок, не обнаруживаемых диагностическими тестами;

е) времени ремонта системы при обнаруженных отказах.

Примечание - Время ремонта составляет часть среднего времени восстановления, включающего в себя также время обнаружения отказа и период времени, в течение которого ремонт невозможен. Для ситуаций, когда ремонт может быть выполнен в течение конкретного периода времени, например, в то время как УО отключено или находится в надежном (закрытом) состоянии, важно, чтобы при полном расчете был учтен период времени, когда ремонт не может быть проведен, особенно если этот период может быть относительно большим.

ж) вероятности необнаруженного отказа любого процесса передачи данных (см. примечание 5 и 5.13.1).

Примечания

1 Для оценки вероятности опасного отказа в выполнении функции безопасности из-за случайных отказов АС и определения возможности аппаратуры обеспечивать требуемое значение целевой величины отказов может быть применен упрощенный метод.

2 Для каждой функции безопасности должна быть определена отдельно количественным методом надежность Е/Е/РЕ СБЗС-системы с учетом влияния разнообразия видов отказов компонентов и изменения структуры (при использовании избыточности) самих Е/Е/РЕ СБЗС-систем.

3 Для осуществления анализа и расчетов вероятности необнаруженных отказов метод моделирования определяется проектировщиком. Могут быть применены следующие методы моделирования:

- анализ последствий причин отказа,

- анализ дерева ошибок,

- марковские модели,

- блок-диаграммы надежности.

4 При определении значения среднего времени восстановления АС, рассматриваемого в модели надежности, следует учитывать интервал диагностических проверок, время восстановления и любые другие задержки до момента восстановления.

5 При анализе отказов по общей причине и процессов передачи данных следует учитывать влияние других факторов, отличных от реальных отказов компонентов АС (например электромагнитную интерференцию, ошибки декодирования и т.п.). Такие отказы в настоящем стандарте рассматриваются как случайные отказы аппаратных средств.

5.8.2.3 Интервал диагностических проверок любой подсистемы с устойчивостью АС к отказам выше нуля должен быть таким, чтобы для Е/Е/РЕ СБЗС-системы обеспечивалась возможность удовлетворения требований к вероятности случайных отказов АС.

5.8.2.4 Интервал диагностических проверок любой подсистемы с устойчивостью АС к отказам, равной нулю, от которой полностью зависит функция безопасности (см. примечание 1) и которая является лишь средством реализации функции или функций безопасности, действующей(их) в режиме с низкой частотой запросов, должен быть таким, чтобы для Е/Е/РЕ СБЗС-системы обеспечивалась возможность удовлетворения требований по вероятности случайных отказов АС.

Примечания

1 В настоящем стандарте принято, что функция безопасности полностью зависит от подсистемы, если отказ подсистемы вызывает отказ этой функции безопасности Е/Е/РЕ СБЗС-системы и если эта функция безопасности не относится к другой СБЗС-системе.

2 Если существует вероятность того, что некоторые комбинации выходных состояний подсистем могут непосредственно привести к опасному событию, и если комбинация их выходных состояний при наличии ошибки в подсистеме не может быть определена (например в подсистеме типа Б), то обнаружение опасных отказов в подсистеме следует рассматривать как функцию безопасности, действующую в режиме с высокой частотой запросов или с непрерывным запросом, и применять требования 5.11.3 и 2.8.2.5.