---

5.8.2.5 Интервал диагностических проверок любой подсистемы с устойчивостью АС к отказам, равной нулю, от которой полностью зависит функция безопасности (см. примечание 1) и которая является лишь средством реализации функции безопасности, действующей в режиме с высокой частотой запросов или с непрерывным запросом (см. примечание 2), должен быть таким, чтобы значение суммарного времени, в которое входит интервал диагностических проверок и время выполнения предусмотренного действия (реакции на отказ), необходимое для достижения или поддержания безопасного состояния, было меньше времени безопасности процесса.

Примечания

1 В настоящем стандарте принято, что функция безопасности полностью зависит от подсистемы, если отказ подсистемы вызывает отказ этой функции безопасности Е/Е/РЕ СБЗС-системы, и если эта функция безопасности не относится к другой связанной с безопасностью системе.

2 Подсистему, осуществляющую конкретную функцию безопасности, для которой отношение частоты диагностических проверок к частоте запросов превышает 100, допускается рассматривать как осуществляющую функцию безопасности в режиме с низкой частотой запросов при условии, что функция безопасности не предотвращает комбинацию состояний выходов, которые могли бы привести к опасному событию (см. примечание 3).

3 Если функция безопасности служит для предотвращения специфической комбинации состояний выходов, которые могут непосредственно вызвать опасное событие, то необходимо расценивать такую функцию безопасности как функцию, действующую в режиме с высокой частотой запросов или с непрерывным запросом.

5.8.2.6 Если для конкретного проекта целевая величина отказов требуемой полноты безопасности для выполняемой функции безопасности не достигается, то следует:

- определить критические компоненты, подсистемы и/или параметры;

- оценить эффект возможных мер усовершенствования критических компонентов, подсистем или параметров (например, применение более надежных компонентов, дополнительных мер защиты от отказов по общей причине, расширенного охвата диагностикой, расширенной избыточности, уменьшения интервала контрольных испытаний и т.п.);

- выбрать и осуществить подходящие меры усовершенствования;

- повторить вычисление нового значения вероятности отказов аппаратных средств.

5.9 Требования по предотвращению отказов*

________________

* Для подсистемы, соответствующей требованиям, которые расцениваются как "проверено в эксплуатации" (5.12.6-5.12.12), требования 5.9.1-5.9.6 не применяют.

5.9.1 Для предотвращения внесения ошибок во время разработки и создания АС Е/Е/РЕ СБЗС-системы должна быть использована соответствующая группа методов и средств (таблица Б.2 приложения Б).

5.9.2 В соответствии с требуемым уровнем полноты безопасности системы выбранный метод проектирования должен обладать возможностями, способствующими достижению:

а) прозрачности, модульности и других свойств, позволяющих управлять сложностью проекта;

б) ясности и точности представления функциональных возможностей, интерфейсов между подсистемами, а также информации, устанавливающей последовательность и время, параллельность работы подсистем и синхронизацию;

в) ясности и точности документирования и передачи информации;

г) обеспечения верификации (проверки) и подтверждения соответствия.

5.9.3 Для гарантированного поддержания требуемой полноты безопасности Е/Е/РЕ СБЗС-системы на необходимом уровне требования к техническому обслуживанию должны быть формализованы на стадии проектирования и представлены в проектной документации.

5.9.4 Следует использовать, по возможности, автоматические средства измерения и интегрированные инструментальные средства разработки.

5.9.5 На стадии проектирования должны быть запланированы испытания Е/Е/РЕ СБЗС-систем, в том числе интегрированных комплексных систем безопасности. План должен быть отражен в проектной документации. В нем должны быть указаны:

а) типы проводимых испытаний и сопровождающие их процедуры;

б) условия окружающей среды при испытаниях, испытательные средства, схемы испытаний и программы испытаний;

в) критерии оценки "прошла"/"не прошла" система испытание.

5.9.6 Действия, выполняемые на автоматизированном рабочем месте проектировщика на стадии проектирования, должны отличаться от действий, которые должны быть доступными на автоматизированном рабочем месте пользователя (оператора).

5.10 Требования по управлению систематическими отказами*

________________

* Для подсистемы, соответствующей требованиям, которые расцениваются как "проверено в эксплуатации" (5.12.6-5.12.12), требования 5.10.1-5.10.3 не применяют.

5.10.1 Для управления систематическими отказами проектирование Е/Е/РЕ СБЗС-систем должно осуществляться с использованием таких средств проектирования и таким образом, чтобы Е/Е/РЕ СБЗС-системы оказывались устойчивыми:

а) к любым остаточным ошибкам проектирования АС, если вероятность ошибок проектирования не может быть исключена (таблица А.16);

б) к внешним влияниям, включая электромагнитные воздействия (см. таблицу А.17);

в) к ошибкам оператора управляемого оборудования (таблица А.18);

г) к любым остаточным ошибкам в программном обеспечении;

д) к любым ошибкам, возникающим в результате выполнения любого процесса передачи данных.

5.10.2 Для облегчения реализации свойств ремонтопригодности и тестируемости в созданных Е/Е/РЕ СБЗС-системах эти свойства должны быть учтены в процессе проектирования и создания Е/Е/РЕ СБЗС-систем.

5.10.3 При проектировании Е/Е/РЕ СБЗС-систем должны быть учтены способности и возможности человека, а созданные Е/Е/РЕ СБЗС-системы должны быть удобными при эксплуатации и техническом обслуживании. Разработка всех интерфейсов должна осуществляться с учетом человеческого фактора и с ориентацией на возможный уровень специальной подготовки или квалификации операторов.

Примечание - При эксплуатации Е/Е/РЕ СБЗС-систем на объектах массового жилищного строительства оператором может быть человек без специальной подготовки.

5.10.4 Проектирование Е/Е/РЕ СБЗС-систем должно осуществляться таким образом, чтобы предсказуемые ошибки, допущенные оператором или персоналом, осуществляющим техническое обслуживание, не приводили к критическим последствиям, и/или чтобы действия для выполнения операций, могущих повлечь критические последствия, требовали повторного подтверждения.

5.10.5 Размещение органов управления, средств отображения Е/Е/РЕ СБЗС-систем, размещение АС и коммуникаций должно осуществляться на основе эргономического проектирования с учетом конструктивных особенностей здания и сооружения, объемно-планировочных решений, свойств АС, местных условий и окружения систем.

5.11 Требования к действиям системы при обнаружении отказов

5.11.1 Обнаружение опасного отказа (диагностическими тестами, контрольными испытаниями или иным способом) в любой подсистеме Е/Е/РЕ СБЗС-систем с устойчивостью АС к отказам больше нуля должно завершаться:

а) конкретным действием для достижения или поддержания безопасного состояния системы [примечание к перечислению б)] или

б) изоляцией дефектной части подсистемы для обеспечения возможности продолжения выполнения УО защитного действия до завершения ремонта дефектной части. Если ремонт не завершен в пределах среднего времени восстановления, принятого при вычислении вероятности случайных отказов АС, то для достижения и поддержания их безопасного состояния должно быть выполнено конкретное действие.

Примечание - Конкретное действие (реакция на отказ), которое требуется для достижения или поддержания безопасного состояния Е/Е/РЕ СБЗС-системы должно быть определено в требованиях безопасности аппаратных средств Е/Е/РЕ СБЗС-системы. Оно может состоять, например, в отключении УО на подсистеме с дефектом или его части, относящейся к снижению риска.

5.11.2 Обнаружение опасного отказа (диагностическими проверками, контрольными испытаниями или иным способом) в любой подсистеме с устойчивостью к отказам АС, равной нулю, функция безопасности которой является полностью зависимой (примечание 1), в случае, если такая подсистема используется только функцией(ями) безопасности в режиме с низкой частотой запросов, должно завершаться:

а) конкретным действием для достижения и поддержания безопасного состояния или

б) восстановлением дефектной подсистемы в пределах периода среднего времени восстановления, полученного при расчете вероятности случайных отказов аппаратных средств.

В течение этого времени безопасность УО должна обеспечиваться дополнительными мерами и ограничениями. Снижение риска, обеспеченное дополнительными мерами и ограничениями должно, по крайней мере, равняться снижению риска, обеспеченному Е/Е/РЕ СБЗС-системой в отсутствие любых отказов. Дополнительные меры и ограничения должны быть определены в процедурах эксплуатации и технического обслуживания АС Е/Е/РЕ СБЗС-систем. Если восстановление не предпринято в пределах заданного значения среднего времени восстановления, то для достижения и поддержания безопасного состояния должны быть предприняты конкретные действия (примечание 2).

Примечания

1 В настоящем стандарте принято, что функция безопасности полностью зависит от подсистемы, если отказ подсистемы приводит к отказу функции безопасности рассматриваемой Е/Е/РЕ СБЗС-системы, и функция безопасности не предназначена для другой системы, связанной с безопасностью.

2 Для достижения и поддержания безопасного состояния требуется конкретное действие (реакция на отказ), которое должно быть определено в требованиях безопасности АС Е/Е/РЕ СБЗС-систем. Это действие может состоять, например, в безопасном отключении УО в дефектной подсистеме или ее части с целью снижения риска.

5.11.3 Обнаружение опасного отказа (путем осуществления диагностических проверок, контрольных испытаний или иным способом) в любой подсистеме с устойчивостью к отказам, равной нулю, в которой функция безопасности является зависимой (примечание 1), в случае подсистемы, выполняющей любую(ые) функцию(ии) безопасности, действующую(ие) в режиме с высокой частотой запросов или непрерывным запросом (примечания 2 и 3), для достижения и поддержания безопасного состояния, должно завершаться конкретными действиями (примечание 3).

Примечания

1 В настоящем стандарте принято, что функция безопасности полностью зависит от подсистемы, если отказ подсистемы служит причиной отказа функции безопасности рассматриваемой Е/Е/РЕ СБЗС-системы, а также функция безопасности не относится к другой связанной с безопасностью системе.

2 Если имеется вероятность того, что некоторая комбинация состояний выходов подсистемы может стать непосредственной причиной опасного события, и если комбинацию выходных состояний в случае отказа в подсистеме невозможно определить (например для подсистемы типа Б), то детектирование опасных событий в подсистеме следует расценивать как функцию безопасности, действующую в режиме с высокой частотой запросов или с непрерывным запросом, и применять требования 5.11.3 и 5.7.6.

3 Для достижения и поддержания состояния безопасности, которое должно быть определено в требованиях безопасности Е/Е/РЕ СБЗС-систем, необходимо выполнить конкретное действие (реакцию на отказ). Это действие может состоять, например, в безопасном отключении в дефектной подсистеме управляемого оборудования или его части для снижения риска.

5.12 Требования к реализации Е/Е/РЕ СБЗС-систем

5.12.1 Е/Е/РЕ СБЗС-системы должны быть реализованы (изготовлены, установлены) в соответствии с проектом.

5.12.2 Подсистемы, используемые для реализации одной или более функций безопасности, должны быть идентифицированы и документированы как связанные с безопасностью подсистемы.

5.12.3 Для каждой связанной с безопасностью подсистемы в проекте должна быть представлена следующая информация:

а) перечень функций, интерфейсов и стыков подсистемы, которые могут быть использованы при реализации функций безопасности;

б) расчетные или оценочные значения частоты отказов (из-за случайных отказов АС в любых режимах), обнаруживаемых диагностическими проверками, которые могли бы привести к отказу Е/Е/РЕ СБЗС-системы;

в) расчетные или оценочные значения частоты отказов (из-за случайных отказов АС), не обнаруживаемых диагностическими проверками, которые могли бы привести к отказу Е/Е/РЕ СБЗС-системы;

г) ограничения на параметры окружающей среды подсистемы, которые должны быть соблюдены для обеспечения правомерности расчетных (оценочных) значений частот отказов из-за случайных отказов АС;

д) ограничение срока службы подсистемы, который не должен быть превышен для обеспечения правомерности расчетных (оценочных) значений частот отказов из-за случайных отказов АС;

е) требования к контрольным испытаниям и/или техническому обслуживанию подсистемы;

ж) охват диагностикой подсистемы в соответствии с приложением Б (при необходимости, см. примечание).

Примечание - Испытания по перечислениям е), ж) относятся к диагностическим испытаниям, которые являются внутренними для подсистемы. Перечисленная информация необходима, если требуется обеспечение доверия к действиям по проведению диагностических испытаний в подсистемах в модели надежности Е/Е/РЕ СБЗС-систем;