ГОСТ Р ЕН 50491-4-1-2014. Национальный стандарт Российской Федерации. Общие требования к электронным системам жилых домов и общественных зданий (ЭСДЗ) и системам управления и автоматизации общественных зданий (СУАЗ). Часть 4-1. Общие требования к функциональной безопасности изделий, предназначенных для включения в ЭСДЗ и СУАЗ

(утв. и введен в действие Приказом Росстандарта от 10.06.2014 № 520-ст)

ИСТОРИЯ ИЗМЕНЕНИЙ НОРМАТИВНО-ТЕХНИЧЕСКИХ АКТОВ

flowchart LR
  n0["ГОСТ Р ЕН 50491-4-1-2014"]:::rst
  click n0 "https://bukva.ai/docs/gost-r-en-50491-4-1-2014" "ГОСТ Р ЕН 50491-4-1-2014. Национальный стандарт Российской Федерации. Общие требования к электронным системам жилых домов и общественных зданий (ЭСДЗ) и системам управления и... (у"
  n1["ГОСТ EN 50491-4-1-2018"]:::doc
  click n1 "https://bukva.ai/docs/standart-gost-9972-2020" "ГОСТ EN 50491-4-1-2018. Межгосударственный стандарт. Общие требования к электронным системам жилых и общественных зданий (HBES) и системам автоматизации и управления зданиями (BACS"
  n0 --> n1
classDef rst fill:#FFEBEB,stroke:#8B0000,color:#000;
classDef doc fill:#EBFFEB,stroke:#006400,color:#000;
classDef notEnt fill:#FFFFEB,stroke:#FF8C00,color:#000;

Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 10 июня 2014 г. № 520-ст

ЧАСТЬ 4-1

ОБЩИЕ ТРЕБОВАНИЯ К ФУНКЦИОНАЛЬНОЙ БЕЗОПАСНОСТИ ИЗДЕЛИЙ, ПРЕДНАЗНАЧЕННЫХ ДЛЯ ВКЛЮЧЕНИЯ В ЭСДЗ И СУАЗ

General requirements for Home and Building Electronic Systems (HBES) and Building Automation and Control Systems (BACS). Part 4-1. General functional safety requirements for products intended to be integrated in HBES and BACS

EN 50491-4-1:2012 General requirements for Home and Building Electronic Systems (HBES) and Building Automation and Control Systems (BACS) — Part 4-1: General functional safety requirements for products intended to be integrated in Building Electronic Systems (HBES) and Building Automation and Control Systems (BACS) (IDT)

ГОСТ Р ЕН 50491-4-1-2014

Группа Т51

ОКС 13.110

13.120

35.240.99

Дата введения 1 мая 2015 года

Предисловие

Введение

Примерами ЭСДЗ/СУАЗ являются системы управления освещением, отоплением, водоснабжением, пожарной сигнализацией, жалюзи, различного уровня защиты и безопасности и т.д.

Сети ЭСДЗ/СУАЗ могут использовать различные средства коммуникации: шины электропитания, витые пары, коаксиальный кабель, радиочастотные или инфракрасные средства коммуникации, а также могут быть подключены к внешним сетям: телефонным, широкополосным, телевизионным, энергоснабжения и аварийной сигнализации.

Некоторые стандарты данного комплекса способствуют осуществлению общественных интересов, как это отражено в директивах Европейской Комиссии.

Изделия ЭСДЗ/СУАЗ, используемые в ЭСДЗ/СУАЗ, должны быть безопасными.

Настоящий стандарт устанавливает общие требования к функциональной безопасности для ЭСДЗ/СУАЗ в соответствии с принципами базового стандарта по функциональной безопасности ЕН 61508.

Настоящий стандарт определяет требования функциональной безопасности к изделиям и их установке. Данные требования основаны на анализе рисков в соответствии с ЕН 61508.

Целью настоящего стандарта является определение, насколько это возможно, всех требований к безопасности всех стадий жизненного цикла изделий ЭСДЗ/СУАЗ.

Настоящий стандарт применим только к ЭСДЗ/СУАЗ.

Настоящий стандарт предназначен для применения техническими комитетами по стандартизации при разработке или изменении стандартов на изделия/системы ЭСДЗ/СУАЗ и для производителей.

Изделия ЭСДЗ/СУАЗ, рассматриваемые в настоящем стандарте, не предназначены для безопасного применения. Дополнительные требования, связанные с безопасностью ЭСДЗ/СУАЗ, в соответствии с ЕН 61508 будут определены в части 4-2 комплекса стандартов ЕН 50491.

1. Область применения

Настоящий стандарт определяет требования функциональной безопасности к изделиям и системам электронных систем жилых домов и общественных зданий (ЭСДЗ) и систем управления и автоматизации общественных зданий (СУАЗ), многоцелевой магистральной системе, в которой функции децентрализованы, распределены и связаны при помощи общего коммуникационного процесса. Данные требования также могут быть применены к распределенным функциям, реализуемым любым оборудованием, подсоединенным к ЭСДЗ, в случае если нет определенного стандарта функциональной безопасности для данного оборудования или системы.

Требования функциональной безопасности настоящего стандарта применяются вместе с соответствующими стандартами на изделие, если они имеются.

Настоящий стандарт входит в комплекс стандартов ЕН 50491.

2. Нормативные ссылки

Для датированных ссылок применяют только указанное издание, для недатированных ссылок — последнее издание ссылочного документа, включая любые поправки.

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ЕН 50491-2 Общие требования к электронным системам жилых домов и общественных зданий (ЭСДЗ) и системам управления и автоматизации общественных зданий (СУАЗ). Часть 2. Условия окружающей среды (EN 50491-2, General requirements for Home and Building Electronic Systems (HBES) and Building Automation and Control Systems (BACS) — Part 2: Environmental conditions)

ЕН 50491-3 Общие требования к электронным системам жилых домов и общественных зданий (ЭСДЗ) и системам управления и автоматизации общественных зданий (СУАЗ). Часть 3. Требования электробезопасности (EN 50491-3, General requirements for Home and Building Electronic Systems (HBES) and Building Automation and Control Systems (BACS) — Part 3: Electrical safety requirements)

ЕН 50491-5 (все части) Общие требования к электронным системам жилых домов и общественных зданий (ЭСДЗ) и системам управления и автоматизации общественных зданий (СУАЗ) (EN 50491-5 (all parts), General requirements for Home and Building Electronic Systems (HBES) and Building Automation and Control Systems (BACS))

ЕН 61508 (все части) Функциональная безопасность электрических/электронных/программируемых электронных систем, связанных с безопасностью (EN 61508 (all parts), Functional safety of electrical/electronic/programmable electronic safety-related systems)

ЕН 61709:1998 (МЭК 61709:1996) Электронные компоненты. Надежность. Нормальные условия для интенсивности отказов и моделей нагрузок для преобразования (EN 61709:1998, Electronic components — Reliability — Reference conditions for failure rates and stress models for conversion (IEC 61709:1996))

ИСО 9000 Системы менеджмента качества. Основные положения и словарь (ISO 9000, Quality management systems — Fundamentals and vocabulary).

Примечание. При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

3. Термины и определения

3.1. Архитектура (architecture): особая конфигурация элементов комплектующего оборудования и программного обеспечения в системе.

3.4. Прерванная связь (disturbed communication): событие, когда по каким-либо причинам сообщение, подлежащее передаче, не завершено, обрезано, содержит ошибки либо имеет правильный формат, но несет в себе информацию, которая находится за пределами ожидаемых параметров для подобных сообщений.

3.5. Функциональная безопасность (functional safety): свобода от неприемлемого риска повреждения в результате работы ЭСДЗ/СУАЗ, в том числе в результате:

a) нормальной работы;

b) обоснованно прогнозируемого неправильного применения;

c) неисправности;

d) временных нарушений.

3.6. Расстояние Хемминга (hamming distance): количество битов, в которых соответствующие символы двух слов одинаковой длины различны.

3.7. Вред (harm): физическое повреждение или ущерб, причиняемый здоровью людей, имуществу или окружающей среде как напрямую, так и косвенно.

Примечание. Физическое повреждение или ущерб, причиняемый здоровью людей, либо ущерб имуществу или окружающей среде.

[ЕН 61508-4:2010, статья 3.1.1]

3.8 Опасность (hazard): потенциальный источник причинения вреда.

[ИСО/МЭК Руководство 51, статья 3.5]

[ЕН 61508-4:2010, статья 3.1.2]

Примечание. Термин включает в себя возможную опасность для людей, возникающую за короткий период времени (например, при пожаре или взрыве), а также опасность, имеющую долгосрочное воздействие на здоровье человека (например, при утечке токсичных веществ).

3.9. Опасное событие (hazardous event): ситуация, которая приводит к нарушению нормальной работы или ненормальным условиям.

3.10. Электронные системы жилых домов и общественных зданий, ЭСДЗ/СУАЗ (home and building electronic systems, HBES/BACS): многоцелевая магистральная система, в которой функции децентрализовано распределены и связаны при помощи общего процесса связи.

Примечание. ЭСДЗ используют в жилых домах и общественных зданиях, в том числе в их окрестностях. Функциями ЭСДЗ могут быть: переключение, регулирование без обратной связи, управление, регулирование с обратной связью, надзор и контроль и др.

3.11. Изделие ЭСДЗ (HBES product): изделие, например, аппаратное средство, программно-аппаратное средство, связанное с ними программное обеспечение и средство конфигурации, предназначенное для использования в ЭСДЗ/СУАЗ.

3.12. Изделие (product): изделие, например, аппаратное средство, программно-аппаратное средство, связанное с ними программное обеспечение и средство конфигурации.

3.13. Документация на изделие (product documentation): документы производителя по установке и эксплуатации такие, как каталог производителя, товарно-маркетинговая и другая информация об изделии на бумажных или электронных носителях.

3.14. Система обеспечения безопасности (safety related system): спроектированная система, которая выполняет требуемые функции безопасности, необходимые для достижения или поддержания безопасного состояния УО; а также предназначена для достижения как в отдельности, так и совместно с другими Э/Э/ПЭ системами обеспечения безопасности, а также мерами по снижению риска, основанными на других технологиях, необходимой полноты безопасности для требуемых функций безопасности.

Примечания

1. Термин относится к системам, связанным с безопасностью, которые предназначены совместного с другими средствами снижения риска для достижения необходимого уровня уменьшения риска, чтобы соответствовать необходимому допустимому риску.

2. Системы, связанные с безопасностью, спроектированы так, чтобы защитить УО от перехода в опасное состояние при помощи соответствующих мер по обнаружению условий, которые могут привести к опасному событию. Отказ системы, связанной с безопасностью, должен быть включен в список событий, ведущих к установленной опасности или рискам. Хотя могут быть другие системы с функциями безопасности, именно системы, связанные с безопасностью, были специально разработаны для достижения необходимого допустимого риска. Системы, связанные с безопасностью, можно разделить на управляющие системы, связанные с безопасностью, и защищающие системы, связанные с безопасностью, и они имеют два режима работы (IEC 61508-4, статья 3.5.12).

3. Системы, связанные с безопасностью, могут являться неотъемлемой частью систем управления УО или могут быть связаны с УО с помощью датчиков и/или исполнительных механизмов. Иначе, необходимый уровень полноты безопасности можно достичь реализацией функций обеспечения безопасности в системе управления УО и, возможно, также с помощью дополнительных отдельных и независимых систем, или функции обеспечения безопасности могут быть реализованы как отдельные и независимые системы, специализированные на безопасности.

4. Система, связанная с безопасностью, может быть спроектирована для:

a) предотвращения опасных событий (т.е. если системы, связанные с безопасностью, выполняют их функции обеспечения безопасности, то никакое опасное событие не произойдет);

b) ослабления воздействия опасного события, тем самым уменьшая риск с помощью уменьшения последствий;

c) достижения комбинации перечислений a) и b).

5. Человек может стать частью системы, связанной с безопасностью, например, человек может получать информацию от программируемого электронного устройства и выполнять действия по обеспечению безопасности, основанные на данной информации, либо выполнять действия по обеспечению безопасности с помощью данного программируемого электронного устройства.

6. Термин включает в себя все аппаратные средства, программное обеспечение и вспомогательные средства, например, источники электропитания, необходимые для выполнения конкретной функции безопасности (датчики, другие устройства ввода, исполнительные элементы (соленоиды) и другие устройства вывода включены в состав системы, связанной с безопасностью).

7. Система, связанная с безопасностью, может быть основана на широком спектре технологий, в том числе электрических, электронных, программируемых электронных, гидравлических и пневматических технологиях.

3.15. Риск (risk): сочетание вероятности события причинения вреда и тяжести этого вреда.

Примечание. О данном термине см. приложение А ЕН 61508-4:2010.

[ЕН 61508-4:2010, статья 3.1.6]

3.16. Разумно предсказуемое некорректное использование (reasonably foreseeable misuse): использование изделия, процесса или услуги в условиях или с целью, не предусмотренной поставщиком, которое может произойти из-за использования изделия, процесса или услуги в сочетании с или в результате легко предсказуемого поведения человека.

[ЕН 61508-4:2010, статья 3.1.14 и ИСО/МЭК Руководство 51:1999, статья 3.14]

3.17. Функция обеспечения безопасности (safety function): функция, реализуемая Э/Э/ПЭ системой, связанной с безопасностью либо другими мерами по снижению риска, которая предназначена для достижения и поддержания безопасного состояния УО для конкретного опасного события.

[ЕН 61508-4:2010, статья 3.5.1]

3.18 УО (EUC, Equipment Under Control): управляемое оборудование.

[ЕН 61508-4:2010, таблица 1]

4. Общие требования

4.1 Основные положения

Требования функциональной безопасности к системе распространяют на работу сети и на работу связываемых этой сетью изделий ЭСДЗ/СУАЗ:

1. отказ любой сети или любой части ЭСДЗ/СУАЗ не должен стать причиной небезопасности системы, изделия или управляемого оборудования;

2. во время эксплуатации безопасная работа отдельных изделий ЭСДЗ/СУАЗ не должна зависеть только от системы;

3. во время эксплуатации системное взаимодействие любого изделия(ий) с любым другим изделием(ями) не должно привести к небезопасной работе системы.

4.2 Метод установления требований

4.2.1 Общие положения

Требования функциональной безопасности приводят в соответствии с жизненным циклом по ЕН 61508-1:

1. стадия формирования концепции изделия;

2. условия эксплуатации;

3. идентификация опасностей и опасных событий;

4. анализ опасности и риска, меры по снижению риска;

5. реализация мер по снижению риска;

6. подтверждение соответствия;

7. техническое обслуживание;

8. установка и пусконаладочные работы;

9. вывод из эксплуатации.

Технические комитеты по стандартизации и/или разработчики изделий должны использовать требования настоящего стандарта в целях удовлетворения требований безопасности изделия, но нет необходимости включать их в сам процесс ЕН 61508.

4.2.2 Окружающая среда применения ЭСДЗ/СУАЗ

Следует принимать во внимание окружающую среду применения ЭСДЗ/СУАЗ.

4.2.3 Источники опасности

Были рассмотрены следующие источники опасности:

1. материал и конструкция;

2. надежность;

3. нормальная работа;

4. случайное взаимодействие с другими изделиями;

5. взаимодействие с другими изделиями ЭСДЗ/СУАЗ;

6. ненормальные условия;

7. предсказуемое неправильное использование, включая загрузку несанкционированного кода со злым умыслом;

Примечание. В том числе непреднамеренное изменение программного обеспечения.

8. срок службы;

9. окружение.

4.2.4 Опасные события

Для анализа (информационной шины и питающей сети 230 В/400 В) должны быть учтены следующие опасные события:

1. отказ сети питания;

2. замыкание в шине;

3. перенапряжение на линии шины;

4. перенапряжение питающей сети;

5. повреждение изоляции (температурное, импульсное, механическое);

6. неправильное соединение;

10. коррозия;
11. электромагнитная помеха;
12. нарушение коммуникации;
13. загрязнение;
14. окончание срока службы компонента/изделий;
15. разумно предсказуемое неправильное использование;
16. отказ программного обеспечения;
17. перегрузка;
18. потеря надежности;
19. поломка материала (механическая);
20. неподходящий проект/конструкция;
21. отключение поврежденного оборудования и подсистем;
22. дистанционное управление;
23. отправка команды от двух источников к одному изделию, например, в исполнительное устройство;
24. отказы системы.

4.2.5 Происхождение требований

Для каждого опасного события должен быть проведен анализ риска (см. Приложение B). Должна быть рассчитана вероятность возникновения события, и должен быть учтен класс риска в соответствии с методом, описанным в Приложении A.

В любом случае там, где оцененный класс риска указывает на неприемлемый риск, необходимо применение мер по снижению риска, а также определение уровня влияния этого снижения риска и его подтверждение соответствия. Предлагают некоторые меры по снижению риска, а также указывают на область распространения соответствующего стандарта на изделие. Если производители планируют разрабатывать изделия/системы ЭСДЗ/СУАЗ, которые обнаруживают опасные события, не охваченные в 4.2.4, необходимо провести анализ риска в соответствии с ЕН 61508.

5. Требования функциональной безопасности

Примечание. Ссылки на опасные события пункта 4.2.4 приведены ниже в круглых скобках.

5.1 Основные положения

Анализ в соответствии с ЕН 61508 указывает на то, что функциональная безопасность зависит от проектирования и производства изделий, а также от правильного использования изделий в инженерном оборудовании здания.

Подразделы 5.2 - 5.7 содержат требования для изделий ЭСДЗ/СУАЗ и для предоставления информации, необходимой для правильной установки, работы и технического обслуживания данных изделий.

Требования о соответствии являются необходимыми и даны для изделий и для проверки обеспечения необходимой информацией.

Все упомянутые тесты изделий являются типичными тестами.

Основа и причины следующих требований описаны в Приложении B.

5.2 Электроснабжение

5.2.1. В случае отказа в системе электроснабжения необходимо провести безопасный запуск изделий после восстановления подачи электропитания. (1)

Примечание. Безопасный запуск можно выполнить с помощью:

• хранения информации о состоянии и использования данной информации для восстановления функционирования после включения питания;
• переключения изделия в определенное состояние в зависимости от области применения изделий;
• расчета безопасного состояния на основе информации, доступной из системы (из контроллера, если имеется, и/или из каждого изделия);
• поддержания достаточного запаса мощности, обеспечивая соответствующее резервное время для изделия и/или блока питания, чтобы подсоединенные к блоку питания изделия могли перейти в безопасное состояние.

5.2.2. Маркировка и инструкции изделий должны быть выполнены так, чтобы избежать риска неправильного подсоединения. (3) (6)

Изделия должны быть промаркированы стойкими чернилами и иметь разборчивое написание.

Соответствие проверяют по документации на изделие и при необходимости при помощи теста на устойчивость и отчетливость маркировки согласно стандарту на конкретное изделие.

5.2.3. Конструкция и проект изделия должны предотвращать неправильное подсоединение. Его можно избежать при соответствующем группировании соединений. (6)

Соответствие параметров проверяют тестированием изделия.

5.3 Окружающая среда

5.3.1. Изделие должно быть спроектировано для рабочей температуры, соответствующей максимальному номинальному значению напряжения, необходимому для условий работы применения, и должен стабильно работать в указанном температурном диапазоне. (7)

Соответствие проверяется тестированием изделия согласно стандарту на конкретное изделие, а в случае отсутствия такового, согласно ЕН 50491-2 и применимым базовым стандартам по безопасности.

5.3.2. Изделия и компоненты должны быть устойчивыми к высоким температурам и не должны служить источником распространения огня. (8)

Соответствие проверяют тестированием изделия согласно стандарту на конкретное изделие, а в случае отсутствия такого стандарта, согласно применимым базовым стандартам по безопасности.

5.3.3 Изделия должны быть устойчивыми к механическим нагрузкам, соответствующим применению(-ям). (9)

Соответствие проверяют тестированием изделия согласно стандарту на конкретное изделие, а в случае отсутствия такого стандарта, согласно ЕН 50491-2 и применимым базовым стандартам по безопасности.

5.4 Срок службы

Изделия должны быть спроектированы на указанный срок эксплуатации согласно МЭК 61709:1996, подраздел 5.2, и Приложению A или на указанное число циклов включений при нормальных условиях.

Паспорт изделия должен содержать инструкции по его эксплуатации и техническому обслуживанию в целях обеспечения срока эксплуатации. (14)

Соответствие проверяют в ходе инспекции документации.

5.5 Разумно предсказуемое некорректное использование

5.5.1. Риск нежелательного скачивания неверного прикладного программного обеспечения или параметров в данное изделие должен быть минимизирован. (15)

Примечание. Следует применять следующие меры:

• разработать средства конфигурации;
• использовать идентификацию изделий и сравнение их профайлов на уровне сетевого управления;
• устанавливать пароль;
• использовать проверку подлинности;
• следовать документации на изделие;
• обучить специалиста по установке или оператора правильной работе с изделием.

Соответствие проверяют тестированием изделия и/или в ходе инспекции документации на изделие.

5.5.2 Необходимо убедиться в установке верных конфигураций и соответствующих параметров. (15)

• допускать к конфигурации только опытных сотрудников (см. ЕН 50090-2-1);
• провести проверку на совместимость установщиком или с помощью инструментальных средств;
• проверить на соответствие конфигурациям.

Соответствие проверяют проверкой действительных конфигураций с запланированными (рекомендуемыми).

6.5.3. Необходимо принимать меры для обнаружения и/или отображения отсутствующих или не полностью сконфигурированных изделий в процессе конфигурации. (15)

Примечание. Возможны следующие меры:

• разработать средства конфигурации;
• следовать рекомендуемым процедурам установки.

Соответствие проверяют тестированием изделия и/или в ходе инспекции документации на изделие.

5.6 Программное обеспечение и передача данных

5.6.1. Процесс разработки программного обеспечения должен соответствовать ЕН ИСО 9000 или применимым стандартам. (16)

Соответствие проверяют в ходе инспекции документации на процессы или применимых сертификатов.

5.6.2. Необходимо принимать меры по проверке на корректность работы программного обеспечения и на верность конфигураций. Если обнаруживают неправильную работу, изделие должно восстановить корректные значения или вернуться к определенному состоянию. (16)

Соответствие проверяют в ходе инспекции технологической документации программного обеспечения продукта.

5.6.3. При необходимости, учитывая применение, могут быть приняты меры внутри изделий по ограничению нагрузки трафика на канал передачи данных. (12) (17)

Примечание. Возможны следующие меры:

• ограничить цикл передачи данных;
• ограничить число сообщений в единицу времени для изделия;
• ограничить цикл опроса.

Соответствие проверяют в ходе инспекции документации на изделие и, если это возможно, тестированием изделия.

5.6.4. Прием сообщений от нескольких источников не должен влиять на правильную работу изделия и вызывать какие-либо опасности. (23)

Примечание. Возможны следующие меры:

• проверить адрес источника, если существует иерархия источников;
• использовать правило: обработка в порядке поступления;
• руководствоваться правилом: последнее сообщение — решающее;
• защитить процесс, завершив его до того, как поступят новые сообщения, которые могут повлиять на его протекание;
• защитить процесс, прервав и перезапустив его;
• защитить процесс, отключив и включив его.

Соответствие проверяют в ходе инспекции документации на изделие и, если это возможно, тестированием изделия.

5.6.5. Изделия должны реагировать на сброс системы (если он происходит), переходя в определенное состояние. (24)

Соответствие проверяют в ходе инспекции документации на изделие и, если это возможно, тестированием изделия.

5.6.6 Доступ к ручному конфигурированию параметров системы должен быть ограничен. (24)

Примечание. Возможны следующие меры:

• использовать инструмент конфигурирования (аппаратный или программный);
• использовать пароль и/или удостоверение подлинности;
• установить защиту от несанкционированного доступа;
• выполнять комбинацию или последовательность действий;
• использовать скрытые средства конфигурации;
• убрать все прямые детальные описания ручной конфигурации в руководстве по эксплуатации изделия (то же самое применительно к автоматической конфигурации).

Соответствие проверяют в ходе инспекции документации на изделие и, если это возможно, тестированием изделия.

5.6.7 Прерванная связь

5.6.7.1. Безопасная работа изделия не должна зависеть от работы других изделий в системе или применении. (12)

Примечание. Возможны следующие меры:

• использовать циклическую передачу данных;
• выполнять проверку диапазона полученных значений.

Соответствие проверяют в ходе инспекции результатов тестирования изделия либо в ходе инспекции документации на изделие.

5.6.7.2. Прерванные сообщения должны быть успешно идентифицированы. В случае обнаружения прерванных сообщений, следует предпринять определенные меры по обеспечению безопасной работы. Значение расстояния Хемминга должно быть не менее 2. (11) (12)

Примечание. Возможны следующие меры:

• принимающее изделие может отклонить или изменить сообщение;
• отправитель может повторить свое сообщение.

Соответствие проверяют в ходе инспекции результатов тестирования изделия либо в ходе инспекции документации на изделие.

5.6.7.3. Необходимо предотвращать рассылку ложных, но формально правильных сообщений.

Соответствие проверяют в ходе применимого теста на электромагнитную совместимость по ЕН 50491-5 (все части).

5.6.7.4. Если сообщения потеряны, необходимо, чтобы они были отображены и высланы повторно. (12) (17)

Примечание. Возможны следующие меры:

• использовать механизмы подтверждения приема сообщений в коммуникационных системах, а также в применяемых системах;
• включить отображение или визуализацию статуса обратной связи;
• в случае использования однонаправленных изделий, использовать подходящий систематический повтор.

Соответствие проверяют в ходе инспекции результатов тестирования изделия либо в ходе инспекции документации на изделие.

5.7 Дистанционное управление

5.7.1 Основные рекомендации

Предыдущие требования распространяют также и на дистанционное управление в помещении.

Сетевые розетки, находящиеся под дистанционным управлением, должны быть промаркированы так, чтобы их можно было визуально отличать от других розеток, используемых пользователем. Либо эти розетки должны быть устроены так, чтобы исключить возможность использования обычных вилок к розеткам, не предназначенным для дистанционного управления. (22)

5.7.2 Управление внутри одного здания или в его непосредственной близости

Изделия или подсистема, связанная с изделием, которое может быть источником вреда, а также обладающие дистанционным управлением внутри одного помещения или в его непосредственной близости, должны предусматривать автономные средства управления или выполнения/отмены дистанционных операций.

Примечание. Возможны следующие меры:

• использовать автономные средства управления потенциально вредоносными изделиями;
• применять автономные средства управления на соседних потенциально вредоносных изделиях;
• использовать коммуникационные входы, обеспечивающие автономное управление.

Соответствие проверяют в ходе инспекции изделия либо документации на изделие.

5.7.3 Управление за пределами здания

5.7.3.1. Потенциально вредоносные изделия или подсистемы, обладающие дистанционным управлением, находящиеся вне помещения, должны отвечать условиям для их автономных средств по обязательному выполнению дистанционных операций.

Примечание. Возможны следующие меры:

• использовать автономные средства управления потенциально вредоносными изделиями;
• применять автономные средства управления на соседних потенциально вредоносных изделиях;
• использовать коммуникационные входы, обеспечивающие автономное управление;
• использовать автономные средства отключающие межсетевой шлюз или другое изделие удаленного доступа.

Соответствие проверяют в ходе инспекции изделия либо документации на изделие.

5.7.3.2. Следует использовать особый механизм авторизации или удостоверения подлинности дистанционного контроля, осуществляемого за пределами здания (см. таблицу 1). Такой механизм может быть применен в системе (брандмауэр или межсетевой шлюз) либо на уровне изделия. (22)

Примечание. Авторизация может быть следующих видов:

• с использованием пароля для удостоверения подлинности или авторизации;
• с доступом по выделенному каналу.

Таблица 1

Требования по предотвращению непреднамеренных операций и возможные пути их достижения

Соответствие проверяют в ходе инспекции изделия либо документации на изделие.

5.7.4 Управление

5.7.4.1. Следует использовать особый механизм авторизации или проверки подлинности дистанционного управления, включая конфигурацию и загрузку данных из источников за пределами здания (см. таблицу 1). Такой механизм может быть применен в системе (брандмауэр или межсетевой шлюз) либо на уровне изделия. (22)

Примечание. Авторизация может быть следующих видов:

• с использованием пароля для проверки подлинности или авторизации;
• с доступом по выделенному каналу.

Соответствие проверяют в ходе инспекции изделия либо документации на изделие.

5.7.4.2. Следует предпринять соответствующие меры для точного соответствия реальной сети изображению этой дистанционной сети. (22)

Примечание. Возможны следующие меры:

• обеспечить существование единственной точной копии базы данных системы;
• использовать механизмы проверки базы данных дистанционной системы на соответствие реальной сети;
• система должна иметь функцию самодокументирования (центральную или распределенную).

Соответствие проверяют в ходе инспекции изделия либо документации на изделие.

Приложение A (справочное)

ПРИМЕР МЕТОДА ОПРЕДЕЛЕНИЯ УРОВНЕЙ ПОЛНОТЫ БЕЗОПАСНОСТИ

A.1. Общие положения

При помощи рассматриваемого метода описывают допустимый риск:

• Э/Э/ПЭ систем обеспечения безопасности;
• систем обеспечения безопасности, основанных на других технологиях;
• внешних средств уменьшения риска, которые будут определены.

На рисунке A.1 показана общая концепция снижения риска, см. рисунок A.1 ЕН 61508-5.

Рисунок A.1. Снижение риска. Общая концепция

A.2. Термины и определения

В данном приложении использованы следующие термины с соответствующими определениями.

A.2.1. Полнота безопасности (safety integrity): вероятность того, что система, связанная с безопасностью, будет удовлетворительно выполнять требуемые функции безопасности при всех оговоренных условиях в течение заданного периода.

[ЕН 61508-4, статья 3.5.4]

Примечания

1. Чем выше уровень полноты безопасности, тем ниже вероятность того, что система, связанная с безопасностью, не сможет выполнить указанные функции безопасности или будет не в состоянии принять указанное состояние, когда это потребуется.

2. Имеется четыре уровня полноты безопасности для систем (см. ЕН 61508-4, пункт 3.5.8).

3. При определении полноты безопасности следует учитывать все причины отказов (и случайных отказов аппаратных средств, и систематических отказов), которые ведут к небезопасному состоянию, например, отказы аппаратных средств, отказы, вызванные программным обеспечением, и отказы, вызванные электрическими помехами. Некоторые из этих типов отказов, например, случайные отказы аппаратных средств, могут быть охарактеризованы количественно, с использованием таких параметров, как интенсивность отказов в опасном режиме или вероятность того, что система защиты, связанная с безопасностью, не сможет выполнить запрос. Однако полнота безопасности системы также зависит и от многих факторов, которым нельзя дать точную количественную оценку и которые могут быть оценены только качественно.

4. Полнота безопасности включает полноту безопасности аппаратных средств и полноту безопасности по отношению к систематическим отказам.

5. Данное определение основано на определении безотказности (надежности) систем, связанных с безопасностью, при выполнении ими функций безопасности (определение надежности — см. 191-12-01 в Международном электротехническом словаре).

A.2.2. Уровень полноты безопасности; УПБ (safety integrity level): дискретный уровень (принимающий одно из четырех возможных значений), определяющий требования к полноте безопасности для функций безопасности, который ставится в соответствие Э/Э/ПЭ системам обеспечения безопасности: УПБ, равный 4, характеризует наибольшую полноту безопасности, УПБ, равный 1, отвечает наименьшей полноте безопасности.

Примечания

1. Целевые величины отказов (см. ЕН 61508-4, пункт 3.5.17) для четырех уровней полноты безопасности указаны в таблицах 2 и 3 ЕН 61508-1.

2. УПБ используются при определении требований полноты безопасности для функций безопасности, которые должны быть распределены по Э/Э/ПЭ системам, связанным с безопасностью.

3. УПБ не является свойством системы, подсистемы, элемента или компонента. Правильная интерпретация фразы: «УПБ системы, связанной с безопасностью, равен n, где n = 1, 2, 3 или 4» — система потенциально способна к реализации функций безопасности с уровнем полноты безопасности до n.

[ЕН 61508-4, статья 3.5.8]

A.3. Концепции разумной достаточности (ALARP) и приемлемого риска

Применяют приложение В ЕН 61508-5. Для удобства пользователя здесь приведены некоторые из сведений, указанных в приложении В ЕН 61508-5.

В таблице A.1 показана взаимосвязь вероятности (частоты) риска, его последствий и классов, а в таблице A.2 отражена классификация классов риска при помощи понятия разумной достаточности ALARP.

Таблица A.1

Пример классификации рисков несчастных случаев

Таблица A.2

Интерпретация классов риска

Приложение B (справочное)

ОПАСНОСТИ И РАЗРАБОТКА НЕОБХОДИМЫХ ТРЕБОВАНИЙ К ФУНКЦИОНАЛЬНОЙ БЕЗОПАСНОСТИ

В настоящем приложении показана разработка необходимых методов снижения риска в случае опасных ситуаций, упомянутых в пункте 4.2.4 и соответствующих элементов событий. В ходе анализа были разработаны требования, изложенные в разделе 5.

При выполнении этих требований остаточный риск становится допустимым (класс III) либо незначительным (класс IV).

В стандарты изделия должны входить требования и меры по снижению риска до уровня допустимого, как показано в таблице B.1.

<1> SELV — безопасное сверхнизкое напряжение.

<2> PELV — заземленная система безопасного сверхнизкого напряжения.

Приложение ДА (справочное)

СВЕДЕНИЯ О СООТВЕТСТВИИ ССЫЛОЧНЫХ МЕЖДУНАРОДНЫХ СТАНДАРТОВ НАЦИОНАЛЬНЫМ СТАНДАРТАМ РОССИЙСКОЙ ФЕДЕРАЦИИ

Таблица ДА.1

БИБЛИОГРАФИЯ