---

и) интервал диагностических испытаний [при необходимости, см. примечание перечисления ж)];

к) любая дополнительная информация (например время восстановления), необходимая для обеспечения возможности получения значения среднего времени восстановления после обнаружения отказа с помощью диагностических проверок.

Примечания

1 Испытания по параметрам, приведенным в перечислениях б)-к), необходимы для использования их результатов при оценке вероятности отказов функции безопасности по запросу или вероятности отказов в час.

2 Требования перечислений б), в), е), ж), к) необходимы для оценки отдельных параметров подсистем, таких как сенсорные устройства и приводы, которые могут быть объединены в избыточные структуры для улучшения полноты безопасности АС. Для логических решающих устройств, которые обычно не объединяют в избыточные структуры в одиночной Е/Е/РЕ СБЗС-системе, с учетом требований перечислений б), в), е), ж), к) допускается использовать такие характеристики, как вероятность отказов по запросам или вероятность отказов в час. Для логических устройств необходимо также устанавливать интервал контрольных испытаний для необнаруженных отказов;

л) информация, необходимая для обеспечения выделения составляющей безопасных отказов подсистемы, как принято в Е/Е/РЕ СБЗС-системе, в соответствии с приложением Б;

м) устойчивость к отказам подсистемы.

Примечание - Требования перечислений л), м) необходимы для определения самого высокого уровня полноты безопасности, который может потребоваться для функции безопасности в соответствии со структурными ограничениями системы;

н) любые ограничения по применению подсистемы, которые должны быть рассмотрены во избежание систематических отказов;

п) самый высокий уровень полноты безопасности, который может потребоваться для функции безопасности в подсистеме, на основе:

- методов и средств, используемых для предотвращения систематических ошибок, которые вносятся на этапах проектирования и реализации АС и ПО,

- особенностей проекта, которые делают подсистему устойчивой к систематическим отказам.

Примечание - Не требуется, если эти подсистемы расцениваются как "проверенные в эксплуатации";

р) информация, необходимая для идентификации конфигурации АС и ПО подсистемы для обеспечения возможности управления конфигурацией Е/Е/РЕ СБЗС-системы в соответствии с 6.2.1 ГОСТ Р 53195.2.

5.12.4 Расчетные (оценочные) значения частоты отказов подсистем из-за случайных отказов АС [5.12.3, перечисления б) и в)] могут быть определены:

а) исследованием видов отказов и анализом влияния подсистем на основе данных по отказам компонентов из признанного промышленного источника по надежности.

Примечания

1 Уровень доверия любых используемых данных о частоте отказов должен быть не менее 70%.

2 Хотя понятие "постоянная частота отказов" подсистемы принято большинством вероятностных оценочных методов, оно применимо лишь при условии, что не превышен срок службы компонентов подсистемы. Поэтому любая вероятностная оценка должна включать в себя спецификацию срока службы компонентов;

б) из предыдущего опыта использования подсистемы в похожих условиях применения и окружающей среды.

5.12.5 Для подсистем, "проверенных в эксплуатации", информация о методах и средствах предотвращения и управления систематическими отказами не требуется.

5.12.6 Ранее разработанная подсистема должна рассматриваться как "проверенная в эксплуатации" только в случае, если ее функциональные возможности явно ограничены, и имеется соответствующее документальное свидетельство, основанное на предыдущей эксплуатации конкретной конфигурации этой подсистемы (в течение которого все отказы были документально зарегистрированы) и учитывающее любые требующиеся дополнительные анализы и тесты. Документальное подтверждение должно свидетельствовать, что вероятность любого отказа подсистемы (из-за случайных и систематических отказов АС) в Е/Е/РЕ СБЗС-системе настолько мала, что достигается(ются) требуемый(ые) уровень(ни) полноты безопасности функции(ий) безопасности.

5.12.7 Документальное свидетельство, в соответствии с 5.12.6, должно подтверждать, что предыдущие условия эксплуатации конкретной подсистемы являются такими же или достаточно близкими к тем, в которых будет эксплуатироваться подсистема в Е/Е/РЕ СБЗС-системе и свидетельствовать, что вероятность любых необнаруженных систематических отказов настолько низка, что достигается требуемый уровень(ни) полноты безопасности функции(ий) безопасности для подсистемы.

Примечание - Условия эксплуатации подсистемы включают в себя все факторы, которые могут повлиять на вероятность систематических отказов АС и ПО подсистемы. Например, условия окружающей среды, виды использования, выполняемые функции, конфигурацию, связи с другими системами, операционную систему, тип транслятора, человеческий фактор.

5.12.8 Если имеются различия между предыдущими условиями эксплуатации подсистемы и условиями, в которых будет эксплуатироваться Е/Е/РЕ СБЗС-система, то такие различия должны быть идентифицированы и с использованием комбинации соответствующих методов анализа и испытаний в проектной документации должно быть представлено доказательство того, что вероятность любой необнаруженной систематической ошибки настолько низка, что достигается требуемый уровень(ни) полноты безопасности для функции(ий) безопасности подсистемы.

5.12.9 Документальное свидетельство по 5.12.6 должно установить, что время предыдущего использования конкретной конфигурации подсистемы (в часах эксплуатации) является достаточным, чтобы статистически рассматривать заявленное значение частоты отказов. Как минимум, требуется достаточное время эксплуатации для установления значения заявленной частоты отказов в одностороннем нижнем пределе доверия, по крайней мере, 70%. При статистическом анализе время эксплуатации любой индивидуальной подсистемы в течение менее одного года не рассматривается как часть полного времени эксплуатации.

Примечание - Требуемое время эксплуатации подсистемы для установления заявляемого значения частоты отказов может быть получено по результатам эксплуатации нескольких идентичных подсистем при условии, что отказы всех подсистем были обнаружены и документированы. Например, если имеется 100 подсистем, каждая из которых проработала без отказов 10000 ч, то полное время эксплуатации без отказов можно считать равным 1000000 ч. В этом случае каждая подсистема должна эксплуатироваться более одного года и действия при расчетах должны быть отнесены к полученному выше полному числу часов эксплуатации.

5.12.10 При проверке выполнения требований к подсистеме по 5.12.6 и 5.12.9 должна быть принята во внимание только предыдущая эксплуатация подсистемы, при которой все отказы подсистем были обнаружены и документированы.

5.12.11 При проверке выполнения или невыполнения требований 5.12.6 и 5.12.9 следует учитывать диапазон охвата и уровень детализации имеющейся информации для следующих факторов: сложность подсистемы, вклад, внесенный конкретной подсистемой в снижение риска, последствия, связанные с отказом системы, новизну проекта.

5.12.12 Термин "проверено в эксплуатации" следует применять к связанной с безопасностью подсистеме в Е/Е/РЕ СБЗС-системе и ограничивать его применение к функциям и интерфейсам подсистемы (5.12.6-5.12.10).

Примечание - Требования 5.12.4-5.12.12 применимы также к подсистемам, содержащим ПО. В случае применения таких подсистем следует убедиться, что конкретная подсистема выполняет в Е/Е/РЕ СБЗС-системе только те функции, для которых задана требуемая полнота безопасности.

5.13 Требования к передаче-приему данных

5.13.1 При любой форме передачи данных, используемой при выполнении функции безопасности, должна быть оценена вероятность необнаруженного отказа процесса передачи-приема данных с учетом ошибок передачи, повторов, удалений, вставок, повторного упорядочения, искажения, задержки и ошибок идентификации (5.13.2). Эта вероятность должна быть учтена при оценке вероятности опасного отказа функции безопасности из-за случайных отказов аппаратных средств (5.8.2.2).

Примечание - Ошибка идентификации означает, что истинное содержание сообщения идентифицировано неправильно (например, сообщение от компонента, не связанного с безопасностью, идентифицировано как сообщение от компонента, связанного с безопасностью).

5.13.2 При оценке вероятности отказа функции безопасности из-за процесса передачи-приема данных, в частности, должны быть учтены:

а) остаточный коэффициент ошибок;

б) остаточный коэффициент потери информации;

в) пределы и непостоянство скорости передачи информации (битовой скорости);

г) пределы и непостоянство задержки распространения информации.

Примечание - Вероятность опасного отказа в час равна отношению вероятности коэффициента остаточных ошибок к длине сообщения (в битах), умноженному на скорость передачи сообщений в шине, относящихся к безопасности, и на 3600.

5.14 Интеграция Е/Е/РЕ СБЗС-систем

5.14.1 Требования к интеграции и испытаниям должны быть предусмотрены для всех Е/Е/РЕ СБЗС-систем, устанавливаемых и интегрируемых в зданиях и сооружениях.

5.14.2 СБЗС-системы должны быть интегрированы в соответствии с конкретным проектом Е/Е/РЕ СБЗС-систем и испытаны в соответствии с конкретными тестами для интеграции Е/Е/РЕ СБЗС-систем (ГОСТ Р 53195.2, 7.8.3).

5.14.3 В ходе интеграции всех модулей в Е/Е/РЕ СБЗС-системы отдельные Е/Е/РЕ СБЗС-системы должны быть испытаны (5.7). Испытания должны показать, правильно ли взаимодействуют все модули и не выполняют ли непредназначенные для них функции.

Примечания

1 В этом случае испытание всех входных комбинаций не проводится. Достаточно провести испытание всех классов эквивалентности. Для сокращения числа испытаний до приемлемого уровня могут быть применены методы статического анализа, динамического анализа или анализа отказов. Проведение проектирования в соответствии с правилами, приводящими к структурному проектированию или полуформальным методам, облегчает выполнение этих требований.

2 Если при разработке используются формальные методы или формальные доказательства и утверждения, а также статистические методы, то возможности таких испытаний могут быть ограничены.

5.14.4 Для проведения испытаний интегрированных Е/Е/РЕ СБЗС-систем должна быть разработана соответствующая документация, устанавливающая методику испытаний и определяющая достижение целей и критериев, установленных на этапах проектирования и реализации систем. В случае отказа системы должны быть документированы причины и способы его устранения.

5.14.5 В период интеграции и испытаний любые модификации или изменения Е/Е/РЕ СБЗС-систем должны быть проанализированы. При анализе должны быть идентифицированы все компоненты, на которые влияют проведенные модификации или изменения, и все необходимые действия по повторному подтверждению выполнения требований к системам.

5.14.6 При испытаниях интегрированных Е/Е/РЕ СБЗС-систем должна быть документирована следующая информация:

а) конкретное место установки интегрированной Е/Е/РЕ СБЗС-системы;

б) версия спецификации требований к испытаниям интегрированных Е/Е/РЕ СБЗС-систем;

в) критерии оценки испытаний интегрированной Е/Е/РЕ СБЗС-системы: "прошла"/"не прошла" система испытания;

г) версия испытуемой Е/Е/РЕ СБЗС-системы;

д) используемые средства испытаний и оборудование с датой поверки;

е) результаты каждого испытания системы;

ж) любое несоответствие между ожидаемыми и фактическими результатами испытаний интегрированных Е/Е/РЕ СБЗС-систем;

и) проведенный анализ и принятое решение о продолжении испытаний систем или оформлении запроса на их изменение (в случае несоответствия требованиям).

5.14.7 Для предотвращения ошибок во время интеграции Е/Е/РЕ СБЗС-систем должна быть использована соответствующая группа методов и средств, приведенных в таблице Б.З приложения Б.

5.15 Процедуры эксплуатации и технического обслуживания систем

5.15.1 На этапе проектирования должны быть разработаны порядок действий, процедуры и документы, гарантирующие поддержание необходимой функциональной безопасности Е/Е/РЕ СБЗС-систем во время эксплуатации и технического обслуживания.

5.15.2 Разрабатываемые порядок действий, процедуры и документы по эксплуатации и техническому обслуживанию Е/Е/РЕ СБЗС-систем должны устанавливать:

а) действия, которые должны быть выполнены для поддержания предусмотренной проектом функциональной безопасности Е/Е/РЕ СБЗС-систем, включая замену компонентов с предварительно заданными сроками службы, например батарей электропитания и др.;

б) действия и ограничения, необходимые для предотвращения опасных отказов или уменьшения последствий опасных событий (например, во время установки, пуска в действие, режима эксплуатации, периодических испытаний, прогнозируемых неисправностей, отказов или ошибок, отключений);

в) документацию по отказам системы и частотам запросов Е/Е/РЕ СБЗС-систем;

г) документацию с результатами аудитов и испытаний Е/Е/РЕ СБЗС-систем, подлежащую сохранению;

д) процедуры технического обслуживания, которым необходимо следовать в случае, если происходят отказы и ошибки в Е/Е/РЕ СБЗС-системах, в том числе: