ГОСТ Р 57300-2016/ISO/TS 15998-2:2012. Национальный стандарт Российской Федерации. Машины землеройные. Системы управления с использованием электронных компонентов. Часть 2. Применение ИСО 15998

(утв. и введен в действие Приказом Росстандарта от 30.11.2016 № 1868-ст)

Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 30 ноября 2016 г. № 1868-ст

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

МАШИНЫ ЗЕМЛЕРОЙНЫЕ

СИСТЕМЫ УПРАВЛЕНИЯ С ИСПОЛЬЗОВАНИЕМ ЭЛЕКТРОННЫХ КОМПОНЕНТОВ

ЧАСТЬ 2

ПРИМЕНЕНИЕ ИСО 15998

Earth-moving machinery. Machine control systems using electronic components. Part 2. Application of ISO 15998

(ISO/TS 15998-2:2012, Earth-moving machinery — Machine control systems (MCS) using electronic components — Part 2: Use and application of ISO 15998, IDT)

ГОСТ Р 57300-2016/ISO/TS 15998-2:2012

Группа Т51

ОКС 13.110

Дата введения 1 января 2018 года

Предисловие

1 ПОДГОТОВЛЕН Обществом с ограниченной ответственностью «Корпоративные электронные системы» на основе собственного перевода на русский язык англоязычной версии международного документа, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 058 «Функциональная безопасность»

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 30 ноября 2016 г. № 1868-ст

4 Настоящий стандарт идентичен международному документу ISO/TS 15998-2:2012 «Машины землеройные. Системы управления с использованием электронных компонентов. Часть 2. Применение ИСО 15998» (ISO/TS 15998-2:2012 «Earth-moving machinery — Machine control systems (MCS) using electronic components — Part 2: Use and application of ISO 15998», IDT).

Наименование настоящего стандарта изменено относительно наименования указанного международного документа для приведения в соответствие с ГОСТ Р 1.5-2012 (пункт 3.5).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им межгосударственные стандарты, сведения о которых приведены в справочном приложении ДА

5 ВВЕДЕН ВПЕРВЫЕ

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты», а официальный текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячном информационном указателе «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Сложность стандартов, посвященных электронным системам управления, затрудняет определение даже основных требований к уровням безопасности. Настоящий стандарт был разработан, чтобы помочь пользователю ИСО 15998 определить общие характеристики землеройных машин и возможные виды отказов с разумно обоснованными и согласованными требованиями к уровням безопасности. Настоящий стандарт поможет пользователю понять, что другие пользователи будут принимать аналогичные требования для подобных опасных условий.

В то время как первая часть ИСО 15998 и документы, на которые она ссылается, изложены кратко, настоящий стандарт описывает процессы, непосредственно связанные с землеройным оборудованием. С помощью большого количества примеров пользователь сможет достаточно легко определить, как применить ИСО 15998 к различным типам землеройных машин.

1. Область применения

Настоящий стандарт помогает интерпретировать и применять критерии эффективности и методы испытаний функциональной безопасности системы управления машиной (далее — СУМ), использующей электронные компоненты, для землеройных машин и их оборудования, представленные в первой части ИСО 15998, с помощью:

• демонстрации альтернативного метода оценки опасности;
• рассмотрения информации и прикладных примеров для демонстрации соответствия требованиям ИСО 15998;
• рассмотрения определений, требований и применения ИСО 15998 при анализе риска опасных движений машины, выполняемых под управлением, связанных с безопасностью СУМ;
• предоставления руководства по использованию и взаимосвязи с нормативными ссылками, перечисленными в первой части ИСО 15998.

Электронные СУМ — это такие системы управления, которые непосредственно воздействуют на движение машины, т.е. приводят в движение (выполняют механическое перемещение), выполняют торможение, управляют приспособлениями и рабочими инструментами. ИСО 15998 применим к механическим отказам выключателей, датчиков и других электронных устройств, а также к механическому отказу клапанов соленоидов, такому как заедание, вызванное инородными элементами (может использоваться электронный контроль ошибки функции клапана соленоида, если оценка степени риска определит, что это необходимо).

Системы и электрические/электронные сборочные узлы (ESA), которые являются вспомогательными для эксплуатации машины и не влияют на управление машиной, такие как мониторы, средства выдачи сигналов тревоги, панель приборов, внешние световые приборы и дворники, а также те части систем, которые обеспечивают обратную связь оператору, не входят в область применения ИСО 15998, так как являются чисто гидравлическими, пневматическими и/или механическими СУМ, не использующими электронные/электрические компоненты, и в которых происходят механические отказы, такие как разрушение осей, чисто механических клапанов, автопокрышек и другие подобные отказы.

2. Нормативные ссылки

В настоящем стандарте используются нормативные ссылки на следующие документы или на их части, незаменимые для применения данного документа. В случае датированных ссылок действует только цитируемое издание. Для недатированных ссылок действует самое позднее издание документа, на который производится ссылка (включая любые внесенные в него поправки).

ISO 13766, Earth-moving machinery — Electromagnetic compatibility (Машины землеройные. Электромагнитная совместимость)

ISO 13849-1:2006, Safety of machinery — Safety-related parts of control systems — Part 1: General principles for design — Technical Corrigendum 1 (Безопасность машин. Детали систем управления, связанные с обеспечением безопасности. Часть 1. Общие принципы проектирования. Механическая поправка) <1>

ISO 15998:2008, Earth-moving machinery — Machine-control systems (MCS) using electronic components — Performance criteria and tests for functional safety <1> (Землеройные машины. Системы управления с использованием электронных компонентов. Критерии эффективности и испытания на функциональную безопасность)

Примечание - При использовании настоящего стандарта целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

<1> ИСО 15988-1.

3. Термины и определения

В настоящем стандарте используются термины, определения и сокращения, данные в первой части ИСО 15998, а также следующие термины и определения:

3.1 базовая машина (base machine): Машина с кабиной или крытым кузовом и при необходимости с защищающими оператора конструкциями, без рабочего оборудования или приспособлений, но обладающая необходимыми средствами установки для такого рабочего оборудования и приспособлений.

[ИСО 6016]

3.2 рабочее оборудование (equipment): Набор компонентов, устанавливаемых на базовую машину, которые позволяют приспособлению выполнять основную предназначенную для машины функцию.

[ИСО 6016]

3.3 приспособление (attachment): Сборка компонентов, которая может быть установлена на базовую машину или рабочее оборудование для конкретного использования.

[ИСО 6016]

3.4 уровень полноты безопасности; УПБ [safety integrity level (SIL)]: Дискретный уровень (принимающий одно из трех возможных значений), соответствующий диапазону значений полноты безопасности, при котором уровень полноты безопасности, равный 3, является наивысшим уровнем полноты безопасности, а уровень полноты безопасности, равный 1, соответствует наименьшей полноте безопасности.

[МЭК 61508-4:2010, определение 3.5.8, модифицированное]

Примечания

1 Меры целевых отказов (см. таблицу 1).

2 Уровни полноты безопасности используют при определении требований полноты безопасности для функций безопасности, которые должны быть распределены по электрическим/электронным/программируемым электронным системам, связанным с безопасностью.

3 Уровень полноты безопасности (УПБ) не является свойством системы, подсистемы, элемента или компонента. Правильная интерпретация фразы «УПБ системы, связанной с безопасностью, равен n» (где n = 1, 2 или 3) означает, что система потенциально способна к реализации функций безопасности с уровнем полноты безопасности до значения, равного n.

4 УПБ является самым полезным для производителей, применяющих IEC 61508 или граф риска, представленный в первой части ИСО 15998.

5 УПБ 4 не применяется для СУМ (землеройных машин).

6 УПБ \Theta означает «Нет требований» или «Конкретное требование по безопасности отсутствует» (см. таблицу 1 и рисунок 1).

3.5 уровень эффективности защиты; УЭЗ (performance level; PL): Дискретный уровень, используемый для определения способности элементов систем управления, связанных с безопасностью, осуществлять функцию безопасности в предсказуемых условиях.

[ИСО 13849-1:2006, определение 3.1.23]

Примечания

1 УЭЗ является самым полезным для производителей, применяющих ИСО 13849.

2 См. таблицу 2.

3.6 требуемый уровень эффективности защиты; УЭЗт (required performance level; PLr): Уровень эффективности защиты (PL), применяемый для установления предела требуемого снижения риска для каждой функции безопасности (см. рисунок 1 и A.1).

[ИСО 13849-1:2006, определение 3.1.24]

3.7 электрический/электронный сборочный узел; ЭСУ (electrical/electronic subassembly; ESA): Электрические и/или электронные компоненты или набор компонентов, предназначенный для применения в землеройной машине, вместе со всеми соответствующими электрическими связями и проводными соединениями, который выполняет одну или несколько специализированных функций.

[ИСО 13766:2006, определение 3.10]

3.8 функциональная безопасность (functional safety): Часть общей безопасности, которая зависит от системы или оборудования, корректно реагирующего на его входные сигналы.

[МЭК 61508-0, определение 3.1]

Примечания

1 Например, устройство тепловой защиты, использующее тепловой датчик в обмотках электродвигателя, чтобы обесточить двигатель до его перегрева, является реализацией функциональной безопасности. Но применение специализированной изоляции, чтобы противостоять высоким температурам, не является примером функциональной безопасности (хотя и является средством безопасности и может защитить от точно такой же опасности).

2 Ни безопасность, ни функциональная безопасность не могут быть определены, не рассматривая систему как единое целое с окружающей средой, с которой они взаимодействуют.

3.9 элемент системы управления, связанный с безопасностью (safety-related part of a control system; SRP/CS): Часть системы управления, которая реагирует на входные сигналы, связанные с безопасностью, и вырабатывает выходные сигналы, связанные с безопасностью.

[ИСО 13849-1:2006, определение 3.1.1, модифицированное]

Примечание - Связанные с безопасностью элементы, соединенные с системой управления, появляются там, где возникают сигналы, связанные с безопасностью (включая, например, включающий кулачок и ролик переключателя позиции), и заканчиваются на выходе силовых управляющих элементов (например, главные контакты электромагнитного пускателя).

3.10 система управления машиной; СУМ (machine control system): Система, которая отвечает на входные сигналы, поступающие от элементов оборудования, операторов, оборудования внешнего контроля или любой их комбинации, и генерирует выходные сигналы, приводящие машину в действие предусмотренным способом.

[ИСО 13849-1:2006, определение 3.1.32]

Примечание - Система управления машиной может использовать любую технологию или любую комбинацию различных технологий (например, электрическую/электронную, гидравлическую, пневматическую, механическую).

3.11 интервал диагностических проверок (diagnostic time interval): Интервал между неавтономными проверками, предназначенными для обнаружения отказов в системе управления, связанной с безопасностью, или в ее части (СУСБ/Ч).

3.12 время реакции на сбой (fault reaction time): Время, необходимое для выполнения заданного действия, обеспечивающего достижение или поддержку безопасного состояния.

3.13 режим высокой интенсивности запросов/режим с непрерывным запросом (high/continuous mode): Режим работы, где частота запросов на обслуживание к СУСБ/Ч больше, чем один в год, или больше удвоенной частоты выполнения функции самопроверки системы управления.

3.14 время безопасности процесса (process safety time): Промежуток времени между моментом появления отказа в СУСБ/Ч и моментом возникновения опасного события, если функция безопасности не была выполнена.

4. Общие положения

4.1 О средствах управления в других стандартах

Строго рекомендуется, чтобы пользователь ИСО 15998 применял по крайней мере один из стандартов, рассматривающих средства управления, на которые ссылается настоящий стандарт. В частности, это МЭК 61508-1 или ИСО 13849-1, которые предоставляют общую информацию и теорию безопасности электронной системы управления:

• рисунок 1 МЭК 61508-1:2010 представляет в общих чертах процесс применения стандартов МЭК 61508 для обеспечения безопасности систем управления;
• рисунок 1 ИСО 13849-1:2006 представляет альтернативную блок-схему для демонстрации безопасности системы управления, на рисунке 3 ИСО 13849-1:2006 показаны методы снижения риска (которые раскрыты в приложении A ИСО 13849-1:2006) для определения УПБ и УЭЗт.

В приложении B представлено руководство по формированию концепции безопасности.

Производители могут также применять ИСО 26262 (дорожно-транспортные средства) или ИСО 25119 (сельскохозяйственные машины), выполняя соответствующие изменения, учитывающие отличия этих машин от землеройных. Это различие должно помочь передаче технологий в различные отрасли. Производители должны полностью поддерживать один реализуемый на практике метод, заменяя или добавляя соответствующие положения МЭК 61508.

4.2 Методы оценки риска (см. 4.4 первой части ИСО 15998)

4.2.1 УПБ и УЭЗ

Пользователи могут выбрать методы определения УПБ между представленными в МЭК 61508-5 и ИСО 15998 или методы определения УЭЗ между представленными в ИСО 13849-1, ИСО 25119-2 и ИСО 26262-3. Независимо от того, выбрана ли методология для определения УПБ или УЭЗ, интенсивность отказов для режима работы с высокой частотой запросов/с непрерывным запросом должна продемонстрировать соответствующий уровень безопасности, полученный по таблице 1.

Примечания

1 Таблица 1 используется для систем, работающих в режиме с высокой частотой запросов/с непрерывным запросом. Интенсивность отказов в режиме с низкой частой запросов также рассмотрена в МЭК 61508-1:2010, раздел 7 и таблица 2. Инструкция по использованию таблицы 1 дана в МЭК 61508-1:2010, раздел 7, и в ИСО 13849-1:2006, подраздел 4.5.

2 Значение УПБ 4 не используется для машин, рассматриваемых в настоящем стандарте, поскольку не разумно оценивать землеройные машины, удовлетворяющие системному требованию УПБ, равному 4.

Таблица 1

Таблица соответствия значений УПБ и УЭЗ

4.2.2 Варианты оценки риска

Поскольку упоминаемые средства оценки риска предназначены в качестве общего руководства по определению УПБ, допустимо и иногда необходимо «подогнать» средства оценки риска, выполнив такие изменения, которые показаны на рисунке 1, чтобы обеспечить более близкое соответствие между упоминаемыми используемыми методами оценки риска.

Рисунок 1 — Граф риска

Из-за сложности использования параметра W согласно приложению A первой части ИСО 15998 также допустимо предположить, что параметр W всегда равен W2.

Примечания

1 УПБ \Theta означает «Нет требований» или «Конкретное требование по безопасности отсутствует».

2 C4 в ИСО 15998:2008, приложение A не применимо к землеройным машинам, поскольку вероятность смерти большого количества людей от землеройной машины незначительна.

4.2.3 Согласование различных методов

Независимо от используемого метода определения УПБ, УЭЗт или эквивалентной характеристики интенсивность отказов, приведенная в таблице 1, должна использоваться для систем, работающих с высокой частотой запросов/с непрерывным запросом. Незначительные корректировки могут быть внесены, если интенсивность отказов, приведенная в таблице 1, точно не соответствует интенсивности отказов в других стандартах. Для определенных систем управления машины были установлены общие значения УПБ/УЭЗ и рассмотрены в приложении A. Для определения УПБ/УЭЗт или подобных требований безопасности для конкретной функции безопасности необходимо выполнить оценку риска. Если результаты оценки риска значительно отличаются от общих значений УПБ, то пользователь ИСО 15998 должен их тщательно исследовать, чтобы гарантировать, что были сделаны надлежащие предположения.

5. Дополнительные руководящие указания для связанных с безопасностью систем управления машинами

В приложении E представлены руководящие указания по реализации пункта 5.2 ИСО 15998:2008.

Никаких дополнительных руководящих указаний не дается для оставшихся подразделов раздела 5 первой части ИСО 15998.

6. Документация

В таблице B.1 (см. приложение B) представлен метод, объединяющий результаты оценки риска, снижения риска и формирования концепции безопасности в единой электронной таблице для организации документации.

7. Проверка связанной с безопасностью системы управления машиной

Тестирование аппаратных средств в соответствии с требованиями раздела 7 первой части ИСО 15998 может быть выполнено на уровне машины, уровне системы, уровне датчика, уровне коммутатора, уровне жгутов проводов, уровне соленоидных клапанов, уровне монтажной платы или подобном уровне в зависимости от того, на каком уровне тестирование является наиболее практичным или предпочтительным для пользователя ИСО 15998. Должно быть рассмотрено, как на уровень машины влияет электрическая система при ее испытании на воздействие окружающей среды, например, температуры в моторном отсеке, жесткой и мягкой подвески и т.д.

В отсутствие подтверждения тестирования первоначального производителя оборудования (OEM) поставщик должен предоставить приемлемую документацию, относящуюся к работе компонентов.

Приложение A (справочное)

РУКОВОДЯЩИЕ УКАЗАНИЯ ПО ОЦЕНКЕ РИСКА

A.1 Типовые методы оценки риска, подобные методам оценки ИСО 13849-1

Метод ИСО 13849-1, описанный в настоящем приложении, дает представление, как определяется УЭЗ и соответствующий УПБ, связанный с конкретными видами землеройных машин и их СУСБ/Ч. Примеры других методологий оценки риска представлены в приложение A первой части ИСО 15998, ИСО/ТО 14121-2, ИСО 25119-2, ИСО 26262-3 или МЭК 61508-5.

Анализ опасности должен рассматривать только разумно предсказуемые сценарии. Например, бульдозер на стальном гусеничном ходу на шоссе не должен рассматриваться (если цель не состоит в том, чтобы ответить некоторому уникальному требованию потребителя). Просто установлено, что в обычных условиях использовать бульдозер на стальном гусеничном ходу на шоссе незаконно из-за того, что может произойти серьезное повреждение дороги. Каждый разумно предсказуемый сценарий должен быть оценен с точки зрения оператора машины и серьезности раны, частоты и возможности предотвращения опасности для постороннего свидетеля.

A.1.1 Использование графов риска

Начальное определение параметров риска делается без рассмотрения каких-либо СУМ или любых параметров безопасности, включенных в СУМ, чтобы проанализировать риск исключительно для соответствующей опасности. Дополнительное указание, как выполнить оценку риска, рассмотрено ниже, в инструкции по параметрам риска. Оценка риска первоначально предполагает существование видов отказов, которые вызовут опасное поведение машины. Средства ослабления таких опасностей рассматривают ниже.

A.1.2 Тяжесть травмы — S1, S2 и S3

Тяжесть имеет 3 уровня: S1 (небольшая — обычно незначительная травма), S2 (серьезная — обычно серьезное увечье или смерть одного человека) и S3 (катастрофическая — большое количество погибших). При выборе уровня тяжести для опасности выбирается уровень, который соответствовал бы наихудшему вероятному результату для этой опасности, а не наихудшему возможному результату, поскольку это может всегда приводить к S3. При выборе уровня также необходимо рассматривать непосредственный результат без учета присутствующих дополнительных условий для возможных последствий. Например, можно представить бульдозер на гусеничном ходу, который управляется самопроизвольно и поражает газовый трубопровод, что приводит к взрыву и многочисленным жертвам среди посторонних свидетелей. Этот сценарий учитывает наличие многих условий и не является вероятным результатом опасности самопроизвольного управления. Чтобы принять решение, при определении S1 и S2 должны быть учтены обычные последствия несчастных случаев и нормальные процессы лечения. Например, избиение и/или рваная рана без осложнений будут классифицированы как S1, тогда как ампутация или смерть будут классифицированы как S2.

S3 эквивалентно C3 согласно первой части ИСО 15998. Данная тяжесть/последствие определена как «смерть нескольких человек».

Другое условие, которое необходимо рассмотреть, состоит в том, будет ли землеройная машина двигаться по общественным дорогам, и в этом случае вероятный сценарий может привести к многочисленным жертвам (S3), тогда как опасности, связанные с движением на ограниченной стройплощадке, могут быть на один (1) уровень менее серьезны (S2). На бездорожье машины находятся в условиях намного меньшего трафика автотранспорта, поэтому машины, которым запрещено движение по дороге, могут уменьшить уровень серьезности на единицу (1), по сравнению с подобной «дорожной» версией в случае потери управления или функции торможения, и соответствующие риски столкновений с движущимся автотранспортом.

Пример - Полноприводной погрузчик, который используется на дороге, может иметь S3 при полной потере управления. Для подобного погрузчика, но слишком большого для использования на дороге, при том же условии потери управления может быть определен более низкий уровень тяжести S2.

Машины меньшего размера из-за их меньшей массы при столкновении оказывают воздействие друг на друга с меньшей силой. Поэтому уровень тяжести для компактной машины при посторонних свидетелях и движении автотранспорта мог быть понижен на 1 по сравнению с более тяжелой версией машины в тех же самых условиях.

A.1.3 Частота и/или время нахождения в опасной зоне (F1 и F2)

При выборе между F1 и F2 бывает трудно определить процент времени нахождения персонала в опасной зоне. Однако следующее пояснение может упростить принятие правильного решения, если существует сомнение.

F2 должен быть выбран, если человек часто или непрерывно находится в опасной зоне, т.е. >= 10% времени. И не важно, находятся ли в опасной зоне те же самые или другие люди, например, при использовании лифтов. Параметр F должен быть выбран в соответствии с частотой и продолжительностью нахождения в опасной зоне.

Если проектировщику известны характеристики запросов к функции безопасности, то частота и продолжительность этих запросов могут быть выбраны в качестве частоты и продолжительности нахождения в опасной зоне. В настоящем приложении предполагается, что частота запросов к функции безопасности больше одного раза в год.

Период нахождения в опасной зоне должен быть оценен на основе отношения среднего значения нахождения в опасной зоне к полному промежутку времени, когда используется оборудование. Например, если необходимо иметь рабочих в непосредственной близости от землеройной машины во время повторяющейся операции, чтобы подать заготовку и забрать готовую деталь, то должен быть выбран F2. Если нахождение в опасной зоне требуется только время от времени, то должен быть выбран F1.

В случае отсутствия какого-либо другого обоснования должен быть выбран F2, если частота выше чем один раз в час, или нахождение в опасной зоне больше чем 10% времени.

Примеры

1 Работая около края обрыва, оператор, скорее всего, будет находиться в опасной зоне (на краю обрыва) меньше чем 10% времени, таким образом, уровень частоты будет F1.

2. Если у работающего грейдера выходит из строя система рулевого управления, а для самоходного грейдера это большей частью происходит, то уровень частоты будет F2.

A.1.4 Возможность предотвращения опасности (P1 и P2)

Когда возникает опасная ситуация, то должен быть выбран P1, только если существует реальный шанс предотвращения несчастного случая или значительного сокращения его последствий. P2 выбирается, если нет почти никакого шанса предотвращения опасности.

Пример - Полная потеря тормозов на колесном автопогрузчике может первоначально оцениваться значением P2. Ковш можно опустить, чтобы остановить машину, таким образом, возможный уровень будет снижен до P1. Урок: если в качестве средств предотвращения опасности используются внешние источники, то в проекте должна быть обеспечена независимость оцениваемой системы. В этом случае пока органы управления оборудованием независимы от тормозной системы (т.е. нет общих компонентов), опустив ковш, можно снизить риск опасности.

Важно знать, можно ли опасную ситуацию признать и предотвратить до реализации несчастного случая. Например, важно знать, может ли быть опасность определена непосредственно ее физическими характеристиками или признана только техническими средствами, например, индикаторами. Другие важные аспекты, которые влияют на выбор параметра P, включают:

• действие выполняется с или без контроля рабочего места;
• действие выполняется экспертами или непрофессионалами;
• скорость развития опасности (например, быстро или медленно);
• возможности для предотвращения опасности (например, убежать);
• практический опыт в области безопасности, касающийся процесса.

«Возможность предотвращения» не должна учитывать архитектуру проекта при обращении к проанализированной функции безопасности, т.е. при анализе рисков, связанных с электронной системой рулевого управления, архитектура проекта электронной системы рулевого управления не может способствовать возможности предотвращения опасности, но другие независимые системы (такие как тормоза или механическая система рулевого управления) могут.

На рисунке A.1 представлен пример графа рисков, применяемый для определения требуемых УЭЗт для различных сценариев, используя параметры анализа риска для тяжести, частоты и/или времени нахождения в опасной зоне и возможности предотвращения опасности. Данный граф (или альтернативный граф риска, упомянутый в 4.1.2) должен использоваться для оценки всех разумно предсказуемых сценариев для каждой функции безопасности. Метод оценки риска основывается на ИСО/ТО 14121-2 (см. также ИСО 13849-1:2006, приложение A) и должен применяться в соответствии с ИСО 12100.

1 — стартовая точка для предварительной оценки риска;

S1/C1 — небольшая (обычно незначительная травма);

S2/C2 — серьезная (обычно серьезное увечье или смерть);

S3/C3 — смерть нескольких людей;

F1 — от редко до реже и/или короткого времени нахождения в опасной зоне;

F2 — от частого к продолжительному и/или длительному времени нахождения в опасной зоне;

P1 — возможно при определенных условиях;

P2 — почти невозможно;

a — e - требуемый уровень эффективности защиты (УЭЗт) для СУМ

Рисунок A.1 — Граф риска для определения УЭЗт для функции безопасности

Если используются методы из ИСО 13849, то в приложениях, где СУСБ/Ч можно считать простой и требуемый уровень эффективности защиты не превышает значения c, качественная оценка УЭЗ может быть подтверждена в обосновании принятых проектных решений. Дополнительные разъяснения по непосредственному применению методов ИСО 15998 см. также в приложении E.

A.2 Руководство и примеры анализа рисков для землеройных машин, оснащенных системами управления поворотом, движением, торможением и работой приспособлений, выполняемого для ИСО 15998, ИСО 13849-1 или других подобных оценок риска

В данном подразделе для иллюстрации идентификации опасности и распределения параметров риска представлены опасности для четырех основных рабочих функций примеров землеройной машины. Настоящий подраздел не относится к конкретной системе управления, но основывается на типовых видах землеройной машины с учетом возможного отказа, который заставляет землеройную машину вести себя непреднамеренным способом.

Графы риска, представленные в ИСО 13849-1, в первой части ИСО 15998 и полученные другими методами оценки риска, могут дать в некоторых случаях более высокие значения УПБ/УЭЗт, чем полученные в примерах и представленные в настоящем приложении обобщенные УПБ/УЭЗт. Однако эти примеры и обобщенные УПБ/УЭЗт действительно отражают современный уровень, доступный для каждого типа функции. Кроме того, опыт (например, истории инцидентов) показывает, что они адекватны и доказаны для каждой функции.

При выполнении оценки риска и использовании таблиц A.1 - A.5 для землеройных машин необходимо рассмотреть следующее.

A.2.1 Тяжесть травмы

Тяжесть не должна быть «искажена» крайне маловероятными событиями. Если бы, например, в 999 случаях из 1000, ожидаемая рана в результате несчастного случая была бы очень легкой, но в одном случае предсказана смерть, то последствие должным образом оценивается S1 или C1.

A.2.2 Частота пребывания в опасной зоне

В некоторых случаях машины могут быть очень низкие частоты нахождения в опасной зоне, так что F1 неадекватно описал бы частоты как низкие. Тогда более разумно не оценивать такой сценарий.

Пример - Движение бульдозера на стальном гусеничном ходу по шоссе осуществляется очень редко и обычно недопустимо. Поэтому нет необходимости оценивать связанные с этим риски.

A.2.3 Общая оценка

Значения S/C, P и F обычно зависят от анализа набора влияющих факторов, каждый из которых либо повышает, либо понижает, либо оценивает их частично.

Таблица A.1 представляет некоторые ключевые факторы, используемые при определении этих значений. После того как влияющие факторы определены, выбирается наиболее близкое значение, например, P1 или P2. Оценки риска могут иметь большее разрешение (например, ИСО 25119-2), чем в примерах, рассмотренных в настоящем стандарте.

Рассматриваются примеры для двух из различных методов оценки риска. Пользователь должен выбрать один метод оценки риска для всех оцениваемых систем управления, чтобы избежать конфликтов в результатах.

С увеличением скорости значения УПБ/УЭЗт, связанные с системами рулевого управления и торможения, увеличиваются из-за ограничений возможностей оператора в обеспечении управления после отказа (P). Также увеличивается тяжесть последствий из-за более высоких скоростей во время столкновения (S/C).

Количество посторонних свидетелей существенно отличается в различных сценариях. В шахтах обычно мало или нет посторонних свидетелей, присутствие которых ограничено в большинстве шахт. У малых и средних экскаваторов и всех одноковшовых экскаваторов с обратной лопатой чаще всего есть посторонние свидетели около мест их работы. Частота (F) должна соответственно изменяться при наличии свидетелей.

Столкновения между землеройными машинами, как правило, вызывают менее тяжелые травмы, и их число мало, что приводит к более низким значениям S/C и уменьшает значения УПБ/УЭЗт. Столкновения землеройной машины с автотранспортом имеют более высокие значения S/C для пассажиров транспортного средства.

О частичной потере. Легче обеспечить управление машиной при отказах систем рулевого управления и торможения, чем при отказах всех систем (P). Системы торможения и рулевого управления при работоспособности 90% работают почти нормально. Системы торможения и рулевого управления, функциональность которых менее 5%, не могут предотвратить большинства несчастных случаев.

Кнопка аварийного отключения/гидроусилитель тормозов/гидравлическое включение/клавишный переключатель: их эффективность управления отключением для предотвращения несчастного случая (P) существенно зависит от скорости машины. Они более эффективны при выполнении внезапной остановки медленно двигающейся гусеничной машины или остановки приспособления, когда присутствует посторонний свидетель в зоне работы. Но они не столь эффективны при отказе системы рулевого управления на более высоких скоростях.

В условиях бездорожья машины оказываются в менее интенсивном дорожном движении и имеют соответственно более низкое значение S/C. Поэтому машины, использование которых на дороге запрещено, могут иметь значение УПБ/УЭЗт на один уровень меньше, чем подобная версия машин, использование которых на дороге разрешено, при отказе всей функциональности рулевого управления и соответствующих рисках столкновений в процессе дорожного движения. Например, полноприводный погрузчик, использование которого на дороге разрешено, имеет УПБ 3/УЭЗт e при полном отказе рулевого управления, когда нет никакого предшествующего предупреждения. Для подобного погрузчика, но слишком большого для использования на дороге, требование будет на один уровень меньше или УПБ 2/УЭЗт d при условии такого же отказа рулевого управления.

Таблица A.1

Обобщенные значения УПБ/УЭЗт оценок риска при идентификации опасности и определении значений параметров риска для землеройных машин с и без СУМ, используя метод оценки риска, подобный представленному в ИСО 13849-1 или ИСО 15998

A.3 Формирование уровней полноты безопасности (УПБ)/уровней эффективности защиты (УЭЗт) из обобщенных значений УПБ/УЭЗт, полученных в процессе оценок риска

A.3.1 В таблицах A.2 - A.5 сравниваются значения УПБ/УЭЗт для различных видов машин и выполняемых ими функций, полученные из примеров оценки рисков и назначения УПБ/УЭЗТ. Эти примеры представляют обобщенные значения УПБ/УЭЗт, которые являются консервативными значениями для СУСБ/Ч.

A.3.2 Опасности разделены на категории для: оператора (Оп), случайного свидетеля (Св) и автотранспорта (Ат). К автотранспорту относятся автомобили, грузовики и автобусы, с которыми сталкиваются землеройные машины при транспортировке или в процессе работы на шоссейных дорогах. К автотранспорту не будем относить другие землеройные машины, находящиеся на месте выполнения работ.

Примечания

1 Региональные требования к движению по дороге не обязательно совпадают с указанными в таблицах A.2 - A.5.

2 Под максимальной скоростью понимают максимальную скорость по ровной дороге.

В зависимости от ситуации обслуживающий персонал может быть или операторами, или случайными свидетелями в таблице обобщенных значений УПБ/УЭЗт. Если специалист по ремонту находится у пульта оператора, то опасности оператора (Оп) из этой таблицы обычно относятся к опасностям, связанным с обслуживанием машины. Если специалист по ремонту покидает пульт оператора, то его все еще считают оператором. Если два человека обслуживают машину и один находится у пульта оператора, а другой находится вне пульта оператора, то специалист по ремонту, находящийся вне пульта оператора, подвергается опасностям как случайный свидетель (Св).

Таблица A.2

Обобщенные значения УПБ/УЭЗт

Таблица A.3

Значения УПБ/УЭЗт были определены при оценках риска для опасностей в наихудших случаях, связанных с данным видом машины. Рекомендуется, чтобы конкретное выполнение оценки риска для различных видов машин, специальных применений или других конкретных особенностей проводилось с использованием приложения A первой части ИСО 15998.

A.3.3 Схемы на рисунках A.2 - A.5 являются примерами, демонстрирующими конфигурации систем, которые согласуются с обобщенными значениями УПБ/УЭЗт таблиц A.2 - A.5. Конечно, возможны другие конфигурации.

Пример блок-схемы системы для бульдозера на гусеничном ходу.

Рисунок A.2 — Бульдозер на гусеничном ходу

Пример блок-схемы системы для экскаватора на гусеничном ходу.

Рисунок A.3 — Экскаватор на гусеничном ходу

Пример блок-схемы системы для самосвала с шарнирно-сочлененной рамой/карьерного самосвала на жесткой раме.

Рисунок A.4 — Самосвал с шарнирно-сочлененной рамой/карьерный самосвал на жесткой раме

Пример блок-схемы системы для шарнирно-сочлененного колесного погрузчика.

Рисунок A.5 — Шарнирно-сочлененный колесный погрузчик

A.4 Снижение риска СУМ

Для снижения опасностей могут использоваться различные методы (см., например, ИСО 13849-1:2006, 4.2). Для оценки риска строительных машин могут непосредственно использоваться рассмотренные ниже методы, но может потребоваться и дальнейший анализ. Неисправные части системы управления, такие как система торможения, рулевое управление, ходовая система или управление приспособлением, могут иметь риски, ослабляемые при помощи рассмотренных ниже методов. При этом общее значение УПБ/УЭЗт остается на прежнем высоком уровне, но определенные комбинации характеристик позволяют для частей системы иметь более слабые требования.

Примечания

1 Комбинации систем с более низкими значениями УПБ/УЭЗт, которые могут быть объединены электронными способами, ниже не описаны. В МЭК 61508-6:2010, приложение B, рассматривается этот случай, когда вся система управления остается с высоким значением УПБ/УЭЗт.

2 Различие между системой с УПБ 1/УЭЗт b и с УПБ 2/УЭЗт d состоит в том, что надежность системы с УПБ 2 в 10 раз выше относительно определенного вида нежелательных отказов.

A.4.1 Избыточные системы управления

Операторы могут менять управляющие приводы, чтобы предотвратить несчастные случаи. Для машин с избыточными средствами управления, которые приблизительно воспроизводят функции друг друга, можно понизить значение УПБ/УЭЗт на 1 для каждой из подсистем, составляющих полную систему (при условии, что конкретный рассматриваемый вид отказа не приводит к одновременному сбою в обоих основных органах управления).

Примеры

1 Полная потеря функций основной и вспомогательной системы торможения соответствует значению УПБ 2/УЭЗт d для самосвала с шарнирно-сочлененной рамой. Если есть стояночный тормоз со способностью динамической остановки согласно ИСО 3450, то требование для основного тормоза может быть понижено до УПБ 1/УЭЗ b.

2 Полная потеря всей системы рулевого управления (например, рабочих и аварийных источников питания системы рулевого управления) соответствует значению УПБ 3/УЭЗт e для большинства колесных машин, двигающихся по дороге со скоростью > 25 км/ч. Машина может быть оснащена механической/гидравлической системой управления в качестве основной системы рулевого управления и электрогидравлической ручкой (джойстиком) управления в качестве дополнительной системы рулевого управления. В этом случае для электрической системы управления с помощью джойстика приемлемо требование УПБ 2/УЭЗ d, если эти системы рулевого управления удовлетворяют ИСО 5010. Это комбинация отдельных систем рулевого управления с меньшими значениями УПБ/УЭЗ, работающих вместе, которая обеспечивает для всей системы значение УПБ 3/УЭЗт e.

3 Если есть дополнительный способ рулевого управления, например, если электрогидравлическая система рулевого управления с помощью джойстика и механическая/гидравлическая система рулевого управления являются основными системами рулевого управления, то для электрической системы управления с помощью джойстика приемлемо требование УПБ 2/УЭЗ d, если эти системы рулевого управления удовлетворяют ИСО 5010. Это комбинация отдельных систем рулевого управления с меньшими значениями УПБ/УЭЗ, работающих вместе, которая обеспечивает для всей системы значение УПБ 3/УЭЗт e.

A.4.2 Заблаговременное предупреждение

Виды отказов, которые происходят с соответствующим заблаговременным предупреждением, чтобы безопасно остановить машину, уменьшая тем самым опасность, дают возможность уменьшить значение УПБ/УЭЗт на один уровень для системы управления (при условии, что конкретный рассматриваемый вид отказа не приводит к одновременному сбою и в основной функции, и в функции предупреждения).

Пример - Полная потеря основной и аварийной системы управления соответствует значению УПБ 3/УЭЗт e для колесных машин, двигающихся по дороге. Если предупреждение появилось заблаговременно настолько, чтобы обеспечить оператору безопасное управление машиной до ее остановки, то сама система рулевого управления должна быть разработана только в соответствии с требованием УПБ 2/УЭЗ d.

A.4.3 Вывод из эксплуатации

Управление выводом из эксплуатации (автоматически или принудительно) оператором может значительно снизить риск неуправляемого движения, когда оператор покидает пульт оператора. Поэтому значение УПБ/УЭЗт основного управления может быть меньше на 1 в отношении травм людей, стоящих на земле, и риска от неуправляемого движения.

Пример - Если неисправность в основной ходовой системе со значением УПБ 1/УЭЗт b обнаружена другой системой мониторинга, которая способна безопасно перевести основную ходовую систему в нейтральное состояние, то вся система будет иметь УПБ 1, но «основная» часть ходовой системы и систем мониторинга могут каждая иметь УПБ \Theta /УЭЗ a (где интенсивность отказов каждой системы меньше 10-4/ч).

A.4.4 Противодействие

Некоторые виды отказов системы управления таковы, что оператор может остановить неуправляемое движение в одном направлении, применив команду для встречного направления. Противодействие может значительно снизить риск неуправляемого движения, если дополнительно есть метод управления принудительной блокировкой, такой как стояночный тормоз или использование гидравлических средств.

Пример - Если положение нейтрального состояния органа управления сдвигается от центральной точки для переменного входного устройства, то оператор может переместить устройство ввода во встречное направление, чтобы противостоять неисправности. Более конкретный пример — на вилочный погрузчик, где ходовая система может качаться в зависимости от входного сигнала датчика (или наклона рабочего места). Это может вызвать необходимость небольшого увеличения тяги машины, чтобы удержать ее в неподвижном состоянии. Движение машины, когда управление ходовой системой находится в нейтральном положении, все еще характеризуется значением УПБ 1/УЭЗт b для всей системы средств управления, но режим отказа датчика не рассматривают со значением УПБ 1/УЭЗт b, а, скорее, со значением УПБ \Theta /УЭЗ a. Точно так же, если стрела крана на машине дрейфует вниз из-за дрейфа датчика (или гидравлической утечки), то это также значение УПБ \Theta /УЭЗ a. В обоих случаях предполагается, что оператор будет в состоянии приспособиться к этим ситуациям и имеет возможность блокировки машины, чтобы предотвратить их появление.

A.5 Схема снижения риска

Можно использовать несколько методов, чтобы определить, удовлетворяют ли технические требования СУСБ/Ч концепции безопасности, определенной для УПБ и связанного с ним УЭЗт. Эти методы описаны подробно в нормативных ссылках ИСО 15998.

Стратегия снижения риска для СУСБ/Ч охватывает весь жизненный цикл машины и включает концепцию безопасности. Процесс анализа опасностей и снижения риска для машины требует, чтобы опасности были устранены или уменьшены с помощью иерархии следующих мер.

A.5.1 Процесс снижения риска, используемый для достижения допустимого риска (адекватное снижение риска)

Один важный метод, связанный с концепцией безопасности, основан на реализации процесса снижения риска. Снижение риска может быть достигнуто применением различных мер защиты (и для СУСБ/Ч, и для не СУМ) с конечным результатом достижения условия безопасности (см. рисунок A.6).

Rh — для конкретной опасной ситуации значение риска до применения мер защиты;

Rr — снижение риска, требуемое от мер защиты;

Ra — фактическое снижение риска, достигнутое с использованием мер защиты;

1 — решение 1: наибольшая часть снижения риска из-за мер защиты, отличных от СУМ (например, механических мер), и небольшая часть снижения риска из-за СУСБ/Ч;

2 — решение 2: наибольшая часть снижения риска из-за СУСБ/Ч (например, блокировки) и небольшая часть снижения риска из-за мер защиты, кроме СУМ (например, механических мер);

3 — достаточно сниженный риск;

4 — недостаточно сниженный риск;

R — риск;

R1СУСБ/Ч, R2СУСБ/Ч — снижение риска от функции безопасности, выполненное с помощью СУСБ/Ч;

R1М, R2М — снижение риска от защитных мер, кроме СУСБ/Ч (например, механических мер);

a — остаточный риск получен, используя решения 1 или 2;

b — достаточно сниженный риск.

Рисунок A.6 — Анализ процесса снижения риска для каждой опасной ситуации

Другой способ проиллюстрировать эту концепцию для неэлектрической тормозной системы СУМ и для объединенной тормозной системы с механической и электрогидравлической СУМ см. в таблице A.6.

Таблица A.6

Примеры снижения риска для систем торможения

Допустимый риск
	Примеры
	Неэлектрическая(ие) тормозная(ые) система(ы)
	Полностью избыточная вспомогательная тормозная система с дополнительным динамическим стояночным тормозом как резерв к вспомогательным тормозам
	Комбинация электрогидравлических стояночной и вспомогательной тормозных систем и основной неэлектрической тормозной системы
	Проверенные общие компоненты для электрогидравлической стояночной/вспомогательной тормозной системы
	Риск представлен через УПБ

На иллюстрации таблицы A.6 показано, что в результате оценки риска было получено, что независимо от типа СУМ требуется уровень УПБ 2/УЭЗт d. Машина оснащена традиционной неэлектрической тормозной системой в соответствии с уровнем типа C стандарта безопасности, в данном случае ИСО 3450 (отображено серым цветом). Неэлектрическая тормозная система является трехканальной и обеспечивает безопасное состояние для любого одиночного отказа, что дает значение УЭЗ, которое превышает УПБ 2/УЭЗт d.

Вторая система (в черно-белых тонах) включает электрогидравлическую вспомогательную и стояночную тормозные системы и неэлектрическую основную тормозную систему. Эта комбинация также является трехканальной и обеспечивает безопасное состояние для любого одиночного отказа, что дает значение УЭЗт, которое превышает УПБ 2/УЭЗт d. Электрогидравлическая часть системы оценена как имеющая значение УПБ 1/УЭЗт b и состоит из проверенных на практике компонентов.

Землеройные машины обычно оснащены подобными многоканальными системами рулевого управления. В качестве аналогичного примера можно предложить объединенную систему рулевого управления, состоящую из электрогидравлической системы рулевого управления, имеющей УПБ 1/УЭЗ b, и механической гидравлической многоканальной системы рулевого управления, имеющей УПБ 2/УЭЗ d. Комбинация обеих этих систем обладает аддитивностью и привела бы к значению УПБ 3/УЭЗт e.

A.5.2 Снижение риска с помощью защитного устройства оператора

Риски, связанные с тем, что оператор покинул пульт управления минипогрузчика с опущенной стрелой, оцениваются значением УПБ 1/УЭЗт c. Если есть блокировочное приспособление, имеющее рычаг управления, которое принудительно блокирует гидросистему (т.е. блокирует положение стрелы независимо от основной системы управления, когда оператор покидает пульт управления), то комбинация двух отдельных систем основной и рычагом управления блокировочной может удовлетворять требованиям УПБ 1/УЭЗт c. Основное управление стрелой оператором может тогда иметь более низкое значение УПБ \Theta /Н/т.

Примечание - Риск получения травмы сторонним свидетелем не уменьшается этим рычагом управления и оценивается значением УПБ 1/УЭЗ b. Поэтому полное снижение риска для основного управления не может быть реализовано до тех пор, пока для снижения опасностей стороннего свидетеля в проекте не будут предусмотрены другие меры.

Приложение B (справочное)

РУКОВОДСТВО ПО ФОРМИРОВАНИЮ КОНЦЕПЦИИ БЕЗОПАСНОСТИ В СООТВЕТСТВИИ С ИСО 15998

В таблице B.1 представлен пример, описывающий концепцию безопасности для коробки передач ходовой системы колесного погрузчика, управляемой одним из блоков СУМ и рычагом оператора электронного управления переключением передач. Как одна из частей процесса эта информация может быть использована, чтобы продемонстрировать соответствие связанных с безопасностью блока трансмиссии СУМ и переключателя электронного управления требованиям ИСО 15998:2008 пункты 4.2, первый абзац, 4.3, 4.4, 4.5, 4.7, 5.2, 5.3, 5.4 и 5.5 (и соответствующим подразделам ИСО 15998-1). Каждая СУСБ/Ч для колесного погрузчика нуждается в подобном описании концепции безопасности. Для большинства реальных систем требуются диаграммы и схемы, но в данном случае ради краткости они опущены.

Таблица B.1

Колесный погрузчик. Подсистема управления переключением направления хода машины. Пример

Приложение C (справочное)

СООТВЕТСТВИЕ С ИСО 15998

В настоящем приложении кратко изложен один из способов выполнения соответствия землеройных машин требованиям ИСО 15998, используя блок-схемы из ИСО 13849-1. См. также ИСО 12100 (другой способ представлен в МЭК 61508-1:2010, рисунок 2).

^a См. ИСО 12100.

^b См. рисунок C.2 (ИСО 13849-1:2006, рисунок 3).

Рисунок C.1 — Блок-схема обобщенного процесса обеспечения соответствия с ИСО 15998 (ИСО 13849-1:2006, рисунок 1)

^a Все ссылки в диаграмме указывают на ИСО 13849-1:2006.

Рисунок C.2 — Блок-схема обобщенного процесса. Итеративный процесс проектирования связанных с безопасностью частей систем управления (СУСБ/Ч) (ИСО 13849-1:2006, рисунок 3)

Приложение D (справочное)

СООТВЕТСТВИЕ С ИСО 15998 НА ПРИМЕРЕ ЗЕМЛЕРОЙНОЙ МАШИНЫ

Таблица D.1

Карта контрольных проверок по ИСО 15998. Пример

Приложение E (справочное)

КАЧЕСТВЕННЫЙ ПОДХОД К УПРАВЛЕНИЮ СЛУЧАЙНЫМИ ОТКАЗАМИ АППАРАТНЫХ СРЕДСТВ

E.1 Цель

Цель данного приложения — описать, как можно использовать МЭК 61508-2:2010, приложение A, чтобы продемонстрировать соответствие с 5.2 первой части ИСО 15998, где рассматриваются предотвращение отказов и управление случайными отказами аппаратных средств, происходящими во время срока службы/эксплуатации машины.

Предложенный метод основан главным образом на качественных аргументах и не требует вычисления диагностического охвата (ДО) или доли безопасных отказов (ДБО), как определено в ИСО 61508-2:2010, приложение C, так как это не является нормативным требованием в ИСО 15998.

Настоящее приложение применяется к СУСБ/Ч, реализующей функцию безопасности, работающей в режиме высокой интенсивности запросов или в непрерывном режиме.

E.2 Доля безопасных отказов

Для определения ДБО подсистемы необходимо знать:

• тип подсистемы (тип A или тип B согласно МЭК 61508-2:2010):

«7.4.4.1.2 Элемент может быть отнесен к типу A, если для его компонентов, необходимых для реализации функции безопасности, одновременно выполняются следующие условия:»

a) виды отказов всех составляющих компонентов определены;

b) поведение элемента в условиях отказа может быть полностью определено;

c) есть достаточно надежные данные об отказах, чтобы показать, что требуемые интенсивности отказов для обнаруженных и необнаруженных опасных отказов достигнуты (см. 7.4.9.3 — 7.4.9.5).

7.4.4.1.3 Элемент может быть отнесен к типу B, если для его компонентов, необходимых для реализации функции безопасности, выполняется хотя бы одно из следующих условий:

a) вид отказа по крайней мере одного составляющего компонента не определен;

b) поведение подсистемы в условиях отказа не может быть полностью определено;

c) имеются недостаточно надежные данные об отказах, чтобы показать, что требуемые интенсивности отказов для обнаруженных и необнаруженных опасных отказов достигнуты (см. 7.4.9.3 — 7.4.9.5).

Примечание - Если по крайней мере один из компонентов конкретного элемента соответствует условиям для типа B, то такой элемент должен быть отнесен к типу B, а не к типу A».

[МЭК 61508-2:2010]

• требуемое значение УПБ для связанной с безопасностью функции;
• уровень избыточности архитектуры аппаратных средств, который определяет отказоустойчивость аппаратных средств.

Пример - Для СУСБ/Ч: УПБ 1/УЭЗт b, безопасное состояние с отключенным питанием, время безопасности процесса 500 мс. Подсистема: последовательность программ (микроконтроллера). Тип подсистемы: В (электронный комплекс). Отказоустойчивость аппаратных средств подсистемы: 0 (одиночный микроконтроллер без избыточности в СУСБ/Ч). Минимальная необходимая доля безопасных отказов: 60% (низкий охват).

E.3 Управление сбоями

E.3.1 Документация

Чтобы применить данный метод, должно быть доступно следующее:

• описание системы управления машиной согласно 4.2 из первой части ИСО 15998;
• описание базовой функции согласно 4.3 из первой части ИСО 15998;
• результаты анализа и оценки риска согласно 4.4 из первой части ИСО 15998, включая необходимые УПБ для функций безопасности СУСБ/Ч;
• описание «безопасных состояний» для функций безопасности СУСБ/Ч согласно 4.5 из первой части ИСО 15998, включая информацию о «времени безопасности процесса» функций безопасности.

Данный метод дает указания по выбору мер управления случайными отказами аппаратных средств, возникающими во время срока службы/эксплуатации машины. Это способствует документальному оформлению концепции безопасности согласно 4.5 и 5.2 из первой части ИСО 15998.

E.3.2 Архитектура аппаратных средств

Чтобы применить данный метод, список всех устройств СУСБ/Ч системы согласно 4.2 из первой части ИСО 15998 должен быть детализирован до подсистем, соответствующих МЭК 61508-2:2010, таблицы A.2 — A.14 (см. таблицу E.1).

Таблица E.1

Архитектура аппаратных средств

E.3.3 Ограничения архитектуры

Для каждой подсистемы из списка устройств СУСБ/Ч должны использоваться архитектурные ограничения согласно МЭК 61508-2:2010, таблица 2 и таблица 3 (см. таблицы E.2 и E.3), чтобы определить минимальное значение доли безопасных отказов, требуемое для подсистемы.

Таблица E.2

Максимальный допустимый уровень полноты безопасности для функции безопасности, реализуемой элементом или подсистемой типа A, связанной с безопасностью

[МЭК 61508-2:2010]

Таблица E.3

Максимальный допустимый уровень полноты безопасности для функции безопасности, реализуемой элементом или подсистемой типа B, связанной с безопасностью

[МЭК 61508-2:2010]

E.3.4 Выбор методов и мер для управления случайными отказами аппаратных средств в процессе эксплуатации

Методы и меры для управления случайными отказами аппаратных средств после установки системы должны быть выбраны из МЭК 61508-2:2010, приложение A, для каждой подсистемы СУСБ/Ч.

Методы и меры должны быть выбраны так, чтобы максимальный достижимый диагностический охват, который рассматривается в МЭК 61508-2:2010, таблицы A.2 — A.14, был равен или превышал минимально необходимую долю безопасных отказов из-за архитектурных ограничений.

Методы и меры должны быть выбраны в соответствии с определением безопасных состояний функций безопасности, а интервал диагностических проверок должен удовлетворять требованиям 4.5.

Пример - Для СУСБ/Ч: УПБ 1/УЭЗт b, безопасное состояние с отключенным питанием, время безопасности процесса 500 мс. Подсистема: последовательность программ (микроконтроллера). Тип подсистемы: B (электронный комплекс). Отказоустойчивость аппаратных средств подсистемы: 0 (одиночный микроконтроллер без избыточности в СУСБ/Ч). Минимальная необходимая доля безопасных отказов: 60% (низкая). Выбранные методы и меры диагностики: контрольный датчик времени с отдельной временной базой и временным окном. Максимально достижимый диагностический охват считается: 90% (средний). Дополнительное временное требование: интервал диагностических проверок + реакция на сбой < 500 мс.

Таблица E.4

Управляющая программа (контрольный датчик времени)

Так как:

a) максимально достижимый диагностический охват — 90% (средний) превышает минимально необходимую долю безопасных отказов: 60% (низкая);

b) выбранный метод позволяет достигать «безопасного состояния» с отключенным питанием;

c) временные требования 4.5 определены,

то выбранный метод «Контрольный датчик времени с отдельной временной базой и временным окном» подходит для управления случайными отказами аппаратных средств во время эксплуатации подсистемы «Управляющая программа».

E.3.5 Интервал диагностических проверок и реакция на сбой

E.3.5.1 Отказоустойчивость аппаратных средств больше нуля

Требования из МЭК 61508-2:2010:

«7.4.5.4 Диагностический испытательный интервал любой подсистемы которая:»

• имеет значение отказоустойчивости аппаратных средств больше нуля и которая осуществляет функцию безопасности или часть функции безопасности, действуя в режиме высокой частоты запросов или с непрерывными запросами, или
• осуществляет функцию безопасности или часть функции безопасности, работая в режиме с низкой частотой запросов,

должен быть таким, чтобы суммарное время диагностического испытательного интервала и время выполнения ремонта обнаруженного отказа было меньше среднего времени восстановления MTTR, используемого в вычислении при определении достигаемой полноты безопасности для этой функции безопасности».

[МЭК 61508-2:2010]

заменяются следующим требованием:

диагностический испытательный интервал любой подсистемы, имеющей отказоустойчивость аппаратных средств больше нуля, должен составлять менее 24 ч.

E.3.6 Отказоустойчивость аппаратных средств равна нулю

Применимы требования из МЭК 61508-2:2010:

«7.4.5.3 При количественной оценке случайных отказов аппаратных средств подсистемы со значением отказоустойчивости аппаратных средств, равным нулю, которая осуществляет функцию безопасности или часть функции безопасности, действующей в режиме высокой частоты запросов или с непрерывными запросами, доверие (предпочтение) должно быть отдано только диагностике, если:»

• суммарное время диагностического испытательного интервала и время выполнения определенного действия для достижения или поддержания безопасного состояния меньше времени безопасности процесса;
• при работе в режиме высокой частоты запросов отношение частоты диагностических испытаний к частоте запросов равно или более 100».

[МЭК 61508-2:2010]

Приложение F (справочное)

АРХИТЕКТУРА

Архитектура системы управления должна быть выбрана на основе метода, выбранного пользователем ИСО 15998. Например, при рассмотрении среднего времени наработки на отказ можно использовать следующие международные стандарты:

• ИСО 13849-1:2006, раздел 6;
• МЭК 61508-6:2010, приложение B;
• ИСО 25119-2:2010, приложение A;
• ИСО 26262;
• МЭК 62061:2005, раздел 6.

Приложение G (справочное)

РЕАЛИЗУЕМЫЙ ПРОЕКТ, УДОВЛЕТВОРЯЮЩИЙ ОПРЕДЕЛЕННЫМ ЗНАЧЕНИЯМ УПБ ИЛИ УЭЗт

G.1 Общие положения

В настоящем приложении показано, как определить, удовлетворяет ли реализуемый проект определенному для него значению УПБ или УЭЗт. Значения УПБ должны быть пересчитаны в значения УЭЗ, чтобы иметь возможность воспользоваться ИСО 13849-1. Для реализуемого проекта должны быть определены следующие количественные характеристики:

• MTTFd, см. ИСО 13849-1:2006, приложение C;
• диагностический охват, см. ИСО 13849-1:2006, приложение E;
• результаты анализа отказов по общей причине, см. ИСО 13849-1:2006, приложение F;
• категория системы.

G.2 Определение MTTFd

MTTFd = MTTF% опасных отказов.

Использование данных производителя.

Использование данных из справочников, например:

• MIL-HDBK-217F;
• МЭК/ТО 62380 (ранее RDF 2000);
• Руководство FIDES;
• средства расчета MTBF фирмы ALD;
• EPRD — данные о надежности электронных компонентов (RAC-STD-6100), Центр анализа надежности;
• NNPRD-95 — данные о надежности неэлектронных компонентов (RAC-STD-6200), Центр анализа надежности;
• программные инструменты, разработанные для доступа к вышеупомянутым базам данных;
• производитель (OEM или поставщик EKA), чтобы определить MTTFd, может использовать практические данные вместо вычислений, предлагаемых в настоящем разделе;
• Siemens SN 29500, Интенсивность отказов компонентов.

Обычно при вычислении надежности и в стандартах MIL предполагается, что MTTFd = 2·MTTF, т.е. если среднее время наработки на отказ составляет 50 лет, то среднее время наработки на опасный отказ составляет 100 лет. Поэтому можно оценить вид отказа каждого компонента и определить процент опасных отказов.

MTTFd = MTTF/% опасных отказов.

Если известна величина B10, то снова может быть использовано предположение о 50% количестве опасных отказов, поэтому:

B10d ~= 2·B10.

MTTFd = B10d/(0,1nop).

nop = dop·hop·3600 с/ч/tcycle,

где nop — число циклов в год;

hop — средняя наработка (час/день);

dop — средняя наработка (день/год);

tcycle — среднее время между началами двух последующих циклов для компонента (секунда/цикл).

Рассмотрим, как вычислить MTTFd для последовательных и параллельных систем:

\frac{1}{MTTF_{d}} = \sum_{i = 1}^{\tilde{N}} \frac{1}{MTTF_{di}} = \sum_{j = 1}^{\tilde{N}} \frac{n_{j}}{MTTF_{dj}}

MTTF_{d} = \frac{2}{3} [MTTF_{dC1} + MTTF_{dC2} - \frac{1}{\frac{1}{MTTF_{dC1}} + \frac{1}{MTTF_{dC2}}}]

1/MTTFd = 1/MTTFd (резистора) + 1/MTTFd (транзистора),

1/MTTFd = 1/68494 + 1/228310,

MTTFd = 52687 лет.

Такие вычисления потребуются при анализе для каждого из компонентов и связанных с ними устройств в системе.

Таблица G.1 представляет обозначение для каждого канала на основе разбиения диапазона значений MTTFd на три уровня. В предыдущем простом примере значение MTTFd было бы определено как «высокое».

Таблица G.1

Среднее время наработки на опасный отказ каждого канала (MTTFd)

[ИСО 13849-1:2006, таблица 5]

G.3 Диагностический охват

Среднее значение диагностического охвата (ДО) определено как отношение между количеством обнаруженных опасных отказов и общим количеством опасных отказов следующим образом (ДОср должен быть вычислен для всего канала):

\text{ДО}_{\text{ср}} = \frac{\frac{\text{ДО}1}{MTTF_{d1}} + \frac{\text{ДО}2}{MTTF_{d2}} + ... + \frac{\text{ДО}N}{MTTF_{dN}}}{\frac{1}{MTTF_{d1}} + \frac{1}{MTTF_{d2}} + ... + \frac{1}{MTTF_{dN}}} .

В ИСО 13849-1:2006, приложение E, рассмотрены примеры и оценки ДО.

После завершения анализа ДОср должна использоваться таблица G.2, чтобы установить обозначение для каждого канала.

Таблица G.2

Мера диагностического охвата

[ИСО 13849-1:2006, таблица 6]

G.4 Отказ по общей причине

Отказ по общей причине (ООП) — одиночный отказ, который приводит к отказу в двух или более каналах. В МЭК 61508-6:2010, приложение D, рассмотрена полная процедура по реализации мер против ООП. В ИСО 13849-1 рассмотрен общий метод для количественного определения ООП (см. таблицу G.3).

Таблица G.3

Количественная оценка мер предотвращения ООП

G.5 Категория системы

После завершения анализа УПБ или УЭЗ необходимо воспользоваться таблицей G.4. Реализация проекта может выполняться на основе опыта, а категория каждого канала может быть выбрана на основе начальных ожиданий проекта.

Из таблицы G.4 можно определить максимально достижимое значение УЭЗ для проекта, задав категорию системы, ДОср и MTTFd. Так как значения УПБ и УЭЗ известны, то это поможет определить категорию реализуемого проекта. Более подробно о возможностях каждой категории проекта см. также в ИСО 13849-1:2006, 6.2.

Таблица G.4

Связь категорий системы со значениями УЭЗ, ДОср и MTTFd для каждого канала

[ИСО 13849-1:2006, таблица 7]

Приложение ДА (справочное)

СВЕДЕНИЯ О СООТВЕТСТВИИ ССЫЛОЧНЫХ МЕЖДУНАРОДНЫХ СТАНДАРТОВ МЕЖГОСУДАРСТВЕННЫМ СТАНДАРТАМ

Таблица ДА.1