ГОСТ ISO 13849-2-2023. Межгосударственный стандарт. Безопасность оборудования. Элементы систем управления, связанные с безопасностью. Часть 2. Валидация

(введен в действие Приказом Росстандарта от 20.11.2025 № 1440-ст)

Введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 20 ноября 2025 г. № 1440-ст

МЕЖГОСУДАРСТВЕННЫЙ СТАНДАРТ

БЕЗОПАСНОСТЬ ОБОРУДОВАНИЯ

ЭЛЕМЕНТЫ СИСТЕМ УПРАВЛЕНИЯ, СВЯЗАННЫЕ С БЕЗОПАСНОСТЬЮ

ЧАСТЬ 2

ВАЛИДАЦИЯ

Safety of machinery. Safety-related parts of control systems. Part 2. Validation

(ISO 13849-2:2012, IDT)

ГОСТ ISO 13849-2-2023

МКС 13.110

Дата введения 1 декабря 2026 года

Предисловие

Цели, основные принципы и общие правила проведения работ по межгосударственной стандартизации установлены ГОСТ 1.0 «Межгосударственная система стандартизации. Основные положения» и ГОСТ 1.2 «Межгосударственная система стандартизации. Стандарты межгосударственные, правила и рекомендации по межгосударственной стандартизации. Правила разработки, принятия, обновления и отмены»

Сведения о стандарте

1 ПОДГОТОВЛЕН Республиканским государственным предприятием на праве хозяйственного ведения «Казахстанский институт стандартизации и метрологии» Комитета технического регулирования и метрологии Министерства торговли и интеграции Республики Казахстан на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 5

2 ВНЕСЕН Комитетом технического регулирования и метрологии Министерства торговли и интеграции Республики Казахстан

3 ПРИНЯТ Межгосударственным советом по стандартизации, метрологии и сертификации по результатам голосования в АИС МГС (протокол от 25 сентября 2023 г. № 165-П)

За принятие проголосовали:

4 Приказом Федерального агентства по техническому регулированию и метрологии от 20 ноября 2025 г. № 1440-ст межгосударственный стандарт ГОСТ ISO 13849-2-2023 введен в действие в качестве национального стандарта Российской Федерации с 1 декабря 2026 г.

5 Настоящий стандарт идентичен международному стандарту ISO 13849-2:2012 «Безопасность машин. Элементы систем управления, связанные с обеспечением безопасности. Часть 2. Валидация» («Safety of machinery — Safety-related parts of control systems — Part 2: Validation», IDT).

Международный стандарт ISO 13849-2:2012 подготовлен Техническим комитетом по стандартизации ISO/TC 199 «Безопасность машин» Международной организации по стандартизации (ISO).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им межгосударственные стандарты, сведения о которых приведены в дополнительном приложении ДА

6 ВВЕДЕН ВПЕРВЫЕ

Информация о введении в действие (прекращении действия) настоящего стандарта и изменений к нему на территории указанных выше государств публикуется в указателях национальных стандартов, издаваемых в этих государствах, а также в сети Интернет на сайтах соответствующих национальных органов по стандартизации.

В случае пересмотра, изменения или отмены настоящего стандарта соответствующая информация будет опубликована на официальном интернет-сайте Межгосударственного совета по стандартизации, метрологии и сертификации в каталоге «Межгосударственные стандарты»

Введение

ISO 13849 состоит из следующих частей под общим заголовком «Безопасность оборудования. Элементы безопасности систем управления»:

• Часть 1. Общие принципы проектирования;
• Часть 2: Валидация.

Приложения от A до D, носящие справочный характер, структурированы в соответствии с таблицей 1.

Таблица 1

Структура приложений от A до D данной части ISO 13849

Структура стандартов, относящихся к безопасности в области оборудования, следующая:

a) стандарты типа A — основные стандарты по безопасности, устанавливающие основные понятия, принципы конструирования и общие положения, которые могут быть применены ко всем машинам;

b) стандарты типа B — общие стандарты по безопасности, рассматривающие один аспект безопасности или один тип защитного устройства, которое может использоваться для широкого класса машин:

• стандарты типа B1 — стандарты по конкретным аспектам безопасности (например, по безопасным расстояниям, шумам, безопасной температуре поверхности и т.п.);
• стандарты типа B2 — стандарты по защитным устройствам (например, по двуручным управляющим устройствам, устройствам блокировки, датчикам давления, защитным ограждениям и т.п.);

c) стандарты типа C — стандарты по безопасности машин, рассматривающие детализированные требования к безопасности отдельной машины или группы машин.

Настоящий стандарт является стандартом типа B, как установлено в ISO 12100.

Требования этого документа могут быть дополнены или изменены стандартом типа C.

Для машин, на которые распространяется действие стандарта типа C и которые были сконструированы и изготовлены в соответствии с требованиями настоящего стандарта, требования стандарта типа C имеют приоритет.

Эта часть стандарта ISO 13849 определяет процесс валидации функций безопасности, категорий и уровней эффективности для связанных с безопасностью элементов систем управления. Она признает, что валидация связанных с безопасностью частей систем управления может быть достигнута путем сочетания анализа (см. раздел 5) и испытаний (см. раздел 6), и определяет конкретные обстоятельства, при которых следует проводить испытания.

Большинство процедур и условий в этой части ISO 13849 основаны на предположении, что используется упрощенная процедура оценки уровня эффективности защиты (PL), описанная в ISO 13849-1:2006, 4.5.4. Эта часть ISO 13849 не содержит указаний для ситуаций, когда для оценки PL используются другие процедуры (например, моделирование Маркова), и в этом случае некоторые из его положений не будут применяться и могут потребоваться дополнительные требования.

Руководство по общим принципам конструирования (см. ISO 12100) связанных с безопасностью элементов систем управления, независимо от типа используемой технологии (электрической, гидравлической, пневматической, механической и т.д.), приведено в ISO 13849-1. Сюда входят описания некоторых типичных функций безопасности, определение требуемых уровней их эффективности и общие требования к категориям и уровням эффективности.

В этой части ISO 13849 некоторые требования к валидации являются общими, тогда как другие зависят от типа используемой технологии.

1 Область применения

Настоящий стандарт устанавливает процедуры и условия процесса валидации, которая проводится путем анализа и испытаний:

• заданных функций безопасности;
• достигнутой категории;
• достигнутого уровня эффективности защиты связанными с безопасностью элементами систем управления (SRP/CS), сконструированными в соответствии с ISO 13849-1.

Примечание - Дополнительные требования к программируемым электронным системам, включая встроенное программное обеспечение, приведены в ISO 13849-1:2006, 4.6, и IEC 61508.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты [для датированных ссылок применяют только указанное издание ссылочного стандарта, для недатированных — последнее издание (включая все изменения)]:

ISO 12100:2010, Safety of machinery — General principles for design — Risk assessment and risk reduction (Безопасность машин. Общие принципы проектирования. Оценка риска и снижение риска)

ISO 13849-1:2006, Safety of machinery — Safety-related parts of control systems — Part 1: General principles for design (Безопасность машин. Элементы систем управления, связанные с обеспечением безопасности. Часть 1. Общие принципы конструирования)

3 Термины и определения

В настоящем стандарте применены термины по ISO 12100 и ISO 13849-1.

4 Процесс валидации

4.1 Принципы валидации

Целью процесса валидации является подтверждение того, что конструкция SRP/CS соответствует общим требованиям безопасности машин.

Баланс между анализом и проведением испытаний зависит от конструктивных особенностей элементов, связанных со следующим:

a) заданными характеристиками функций безопасности, обеспечиваемых этим элементом, как указано в обосновании проекта;

b) требованиями заданного уровня эффективности защиты (см. ISO 13849-1:2006, 4.5):

1. требованиями заданной категории (см. ISO 13849-1:2006, 6.2),

2. мерами по контролю и предотвращению систематических отказов (см. ISO 13849-1:2006, приложение G),

3. если применимо, требованиями к программному обеспечению (см. ISO 13849-1:2006, 4.6);

4. способностью выполнять функцию безопасности в ожидаемых условиях окружающей среды;

c) эргономичным дизайном интерфейса оператора, например, чтобы у оператора не было возможности действовать опасным образом, например, обойти SRP/CS (см. ISO 13849-1:2006, 4.8).

Валидацию должны проводить лица, не зависимые от разработки SRP/CS.

Примечание - При независимой экспертизе не обязательно проводить испытания третьей стороной.

Валидация состоит из применения анализа (см. раздел 5) и выполнения функциональных испытаний (см. раздел 6) в прогнозируемых условиях в соответствии с планом валидации. На рисунке 1 представлен обзор процесса валидации. Баланс между анализом и проведением испытаний зависит от технологии, используемой для компонентов, связанных с безопасностью, и требуемого уровня эффективности защиты. Для категорий 2, 3 и 4 валидация функции безопасности должна также включать испытания в условиях неисправности.

Анализ следует начинать как можно раньше в процессе конструирования и параллельно с ним. В этом случае проблемы можно решить на ранней стадии, когда их еще относительно легко исправить, т.е. на этапах «конструирование и техническая реализация функции безопасности» и «оценка уровня эффективности защиты PL» [четвертый и пятый блоки в ISO 13849-1:2006, рисунок 3]. Может оказаться необходимым отложить некоторые части анализа до тех пор, пока схема не будет хорошо конструирована.

Там, где это необходимо из-за размера системы, сложности или последствий ее интеграции с системой управления (механизмом), должны быть приняты специальные меры:

• проверка SRP/CS отдельно перед объединением, включая моделирование соответствующих входных и выходных сигналов;
• подтверждение результатов объединения элементов безопасности в остальную часть системы управления в контексте ее использования в машине.

Рисунок 1 — Обзор процесса валидации

«Модификация проекта» на рисунке 1 относится к процессу конструирования. Если валидация не может быть успешно завершена, необходимы изменения в проекте. Затем следует повторить валидацию модифицированных элементов. Этот процесс следует повторять до тех пор, пока все элементы функций безопасности не пройдут успешную валидацию.

4.2 План валидации

План валидации должен определять и описывать требования к проведению процесса валидации для заданных функций безопасности, их категорий и уровней эффективности защиты.

План валидации должен также определять средства, которые будут использоваться для валидации определенных функций безопасности, категорий и уровней эффективности защиты. В нем должны быть изложены, где это уместно:

a) идентичность документов спецификации;

b) условия эксплуатации и окружающей среды во время испытаний;

c) анализы и испытания, которые необходимо применить;

d) ссылка на применяемые стандарты испытаний;

e) лица или стороны, ответственные за каждый этап процесса валидации.

Элементы безопасности, которые ранее прошли валидацию по той же спецификации, нуждаются только в ссылке на предыдущую валидацию.

4.3 Типичные неисправности

Процесс валидации включает рассмотрение поведения SRP/CS для всех рассматриваемых неисправностей. Некоторые типичные неисправности на основе данных, взятых из практики, приведены в таблицах неисправностей в приложениях от A до D. В перечень типичных неисправностей входят:

• неисправности, связанные с соединениями элементов, например проводами, кабелями (см. приложение D);
• неисправности, которые необходимо учитывать, например, короткие замыкания между проводами;
• разрешенные исключения неисправностей, принимая во внимание аспекты окружающей среды, эксплуатации и применения;
• раздел примечаний с указанием причин исключения неисправностей. В списках неисправностей учитываются неисправности, проявляющиеся постоянно.

4.4 Специфические неисправности

При необходимости, должен быть создан специальный список неисправностей, связанных с продуктом, в качестве справочного документа для процесса валидации элемента (элементов) безопасности. Список может быть основан на соответствующем (соответствующих) общем списке (списках), приведенном (приведенных) в приложениях.

Если конкретный список неисправностей, связанных с продуктом, основан на общем списке (списках), в нем должны быть указаны:

a) неисправности, взятые из общего (общих) списка (списков), которые необходимо включить;

b) любые другие значимые неисправности, которые должны быть включены, но не указаны в общем списке (например, отказы с общей причиной);

c) неисправности, взятые из общего списка (списков), которые могут быть исключены на основании того, что критерии, приведенные в общем списке (списках) (см. ISO 13849-1:2006, 7.3), удовлетворены;

d) любые другие неисправности, для которых общий (общие) список (списки) не допускает исключения, но для которых представлено обоснование и объяснение исключения (см. ISO 13849-1:2006, 7.3).

Если этот список не основан на общем списке (списках), разработчик должен дать обоснование исключения неисправностей.

4.5 Информация для валидации

Информация, необходимая для валидации, будет варьироваться в зависимости от используемой технологии, категории (категорий) и уровня (уровней) эффективности защиты, которые должны быть продемонстрированы, конструктивного обоснования системы и вклада SRP/CS в снижение риска. Документы, содержащие достаточную информацию из следующего списка, должны быть включены в процесс валидации, чтобы продемонстрировать, что элементы безопасности выполняют заданные функции безопасности на требуемом уровне (уровнях) эффективности защиты и категории (категориях):

a) спецификация требуемых характеристик каждой функции безопасности, ее требуемой категории и уровня эффективности защиты;

b) чертежи и спецификации, например, для механических, гидравлических и пневматических элементов, печатных плат, смонтированных печатных плат, внутренней проводки, корпуса, материалов, монтажа;

c) блок-схема (схемы) с функциональным описанием блоков;

d) коммутационные схемы, включая интерфейсы/соединения;

e) функциональное описание коммутационных схем;

f) диаграммы временной последовательности для функций переключения сигналов, связанных с безопасностью;

g) описание соответствующих характеристик компонентов, ранее уже прошедших валидацию;

h) для других элементов безопасности, кроме перечисленных в g), перечень с номинальными и допустимыми значениями параметров, со значениями напряжения при эксплуатации, с указанием типового представителя, сданными о количестве отказов, с информацией об изготовителе и любые другие данные, необходимые для безопасности;

i) анализ всех типичных неисправностей (см. также 4.3 и 4.4), перечисленных в таблицах приложений от A до D, включая обоснование любых исключенных неисправностей;

j) анализ влияния используемых материалов;

k) информацию по использованию, например, руководство по установке и эксплуатации/руководство по эксплуатации.

Если программное обеспечение имеет отношение к функции (функциям) безопасности, документация по программному обеспечению должна включать:

• четкую и однозначно идентифицируемую спецификацию, в которой указаны характеристики безопасности, которых должно достичь программное обеспечение;
• свидетельство того, что программное обеспечение предназначено для достижения требуемого уровня эффективности защиты (см. 9.5);
• подробную информацию об испытаниях (в частности, отчеты об испытаниях), проведенных для подтверждения того, что требуемые показатели безопасности достигнуты.

Примечание - См. требования в ISO 13849-1:2006, 4.6.2 и 4.6.3.

Требуется информация о том, как определяется уровень эффективности защиты и средняя вероятность опасного отказа в час. Документация количественных аспектов должна включать:

• блок-схему функции безопасности (см. ISO 13849-1:2006, приложение B) или назначенную архитектуру (см. ISO 13849-1:2006, 6.2);
• определение MTTFd, DCavg и CCF;
• определение категории (см. таблицу 2).

Информация требуется для документирования систематических аспектов SRP/CS.

Требуется информация о том, как комбинация нескольких SRP/CS обеспечивает требуемый уровень эффективности защиты.

Таблица 2

Требования к документации для категорий в отношении уровней эффективности защиты

4.6 Отчет о валидации

Валидация путем анализа и испытаний должна быть запротоколирована. Отчет должен демонстрировать процесс валидации для каждого из требований безопасности. Можно делать перекрестные ссылки на предыдущие отчеты о валидации при условии, что они должным образом идентифицированы.

Для любого элемента безопасности, который не прошел процесс валидации, в отчете о валидации должно быть указано, какие элементы в анализе/испытаниях оказались неудовлетворительными. Должно быть обеспечено, чтобы все элементы безопасности успешно прошли повторную валидацию после модификации.

5 Валидация анализом

5.1 Общие положения

Валидация SRP/CS должна проводиться путем анализа. Входные данные для анализа включают следующее:

• функции безопасности, их характеристики и требуемый уровень эффективности защиты, определенные входе анализа риска (см. ISO 13849-1:2006, рисунки 1 и 3);
• количественные аспекты (MTTFd, DCavg и CCF);
• «структуру системы (например, структурное построение обозначенной категории) (см. ISO 13849-1:2006, раздел 6);»
• не поддающиеся количественной оценке качественные аспекты, влияющие на поведение системы (если применимо, программные аспекты);
• детерминированные параметры.

Валидация функций безопасности путем анализа, а не испытаний, требует применения детерминированных параметров.

Примечания

1 Детерминированный параметр — это параметр, основанный на качественных аспектах (например, качество изготовления, опыт использования). Он зависит от применения. Эти и другие факторы могут влиять на детерминированные параметры.

2 Детерминированные параметры отличаются от других данных тем, что они показывают, что требуемые свойства системы логически следуют из модели системы. Такие параметры могут быть построены на основе простых и понятных концепций.

5.2 Техники проведения анализа

Выбор техники проведения анализа зависит от конкретной цели. Существуют следующие две основные техники.

a) Нисходящие (дедуктивные) методы подходят для определения исходных событий, которые могут привести к выявлению основных событий, и расчета вероятности основных событий на основе вероятности исходных событий. Их также можно использовать для исследования последствий выявленных множественных неисправностей.

Пример - Анализ дерева отказов (FTA, см. IEC 61025), анализ дерева событий (ETA).

b) Восходящие (индуктивные) методы подходят для изучения последствий идентифицированных отдельных неисправностей.

Пример - Анализ видов и последствий отказов (FMEA, см. IEC 60812) и анализ видов, последствий и критичности отказов (FMECA).

6 Валидация испытанием

6.1 Общие положения

Если анализа недостаточно для доказательств установленных требований функций безопасности и категорий, валидация должна быть проведена в полном объеме вместе с испытаниями. Испытания дополняют анализ и часто являются необходимыми для полного завершения валидации.

Испытания в целях валидации должны планироваться и проводиться последовательно. В частности:

a) план испытания должен быть составлен до начала испытаний и включать:

1. требования к испытаниям;

2. требуемый результат испытаний на соответствие;

3. последовательность испытаний;

b) должны вестись записи испытаний, которые включают следующее:

1. указание фамилий лиц, проводящих испытание;

2. данные установленных условий окружающей среды (см. раздел 10);

3. применяемые методы испытаний и испытательное оборудование;

4. дату испытания;

5. результаты испытания;

c) протоколы испытаний должны сравниваться с планом испытаний, чтобы убедиться, что заданные функциональные и эксплуатационные цели достигнуты.

Опытный образец для испытаний должен быть конструирован в соответствии с окончательно отработанной конструкцией, т.е. со всеми периферийными устройствами и соответствующей защитой.

Это испытание может проводиться вручную или автоматизированным способом, например, с помощью компьютера.

Где применимо, валидация функций безопасности путем испытаний должна выполняться путем подачи входных сигналов в различных комбинациях на SRP/CS. Результирующий отклик на выходах должен сравниваться с соответствующими указанными выходами.

Рекомендуется систематически применять комбинацию этих входных сигналов к системе управления и машине. Примером этого является включение питания, запуск, управление, изменение направления, перезапуск. При необходимости должен применяться расширенный диапазон входных данных для учета аномальных или необычных ситуаций, чтобы увидеть, как реагирует SRP/CS. Такие комбинации входных данных должны учитывать предсказуемые некорректные операции.

Цели испытания будут определять условия окружающей среды для этого испытания:

• условия окружающей среды предполагаемого использования;
• условия при конкретном рейтинге;
• заданный диапазон условий, если ожидается отклонение.

Диапазон условий, который считается стабильным и при котором испытания действительны, должен быть согласован между разработчиком и лицом (лицами), ответственными за проведение испытаний, и должен быть зарегистрирован.

6.2 Погрешность измерения

Погрешность измерений при валидации испытанием должна соответствовать проводимому испытанию. Как правило, погрешность этих измерений должна быть в пределах 5 К для измерений температуры и 5% для следующих измерений:

a) измерение времени;

b) измерение давления;

c) измерение силы;

d) электрические измерения;

e) измерение относительной влажности;

f) линейные измерения.

Отклонения от этих погрешностей измерений должны быть обоснованы.

6.3 Повышенные требования

Если согласно сопроводительной документации требования к SRP/CS превышают требования настоящего стандарта, должны применяться повышенные требования.

Примечание - Повышенные требования могут предъявляться к системам управления, если система управления должна выдерживать особенно неблагоприятные условия эксплуатации, например, небрежное обращение, воздействие влаги, гидролизация, перепады температуры окружающего воздуха, воздействие химических веществ, коррозию, высокую напряженность электромагнитных полей, например, из-за близкого расположения датчиков.

6.4 Количество испытуемых образцов

Если не указано иное, испытания должны проводиться на одном производственном образце испытуемого элемента безопасности.

Испытываемые элементы безопасности не должны модифицироваться в ходе испытаний.

Определенные испытания могут навсегда изменить эффективность защиты некоторых компонентов. Если постоянное изменение в компоненте приводит к тому, что элемент безопасности становится неспособным удовлетворять требованиям дальнейших испытаний, для последующих испытаний должен использоваться новый образец или образцы.

Если конкретное испытание является разрушающим и эквивалентные результаты могут быть получены путем изолированного испытания элемента SRP/CS, вместо целого (целых) элемента (элементов) безопасности, может быть использована часть этого элемента (элементов) безопасности с целью получения результатов испытания. Этот метод должен применяться только в том случае, если анализ показал, что испытания одной части элемента безопасности достаточно для демонстрации характеристик безопасности всего элемента безопасности, который выполняет функцию безопасности.

7 Валидация спецификации требований безопасности для функций безопасности

Перед валидацией проекта SRP/CS или комбинации SRP/CS, обеспечивающей функцию безопасности, спецификация требований к функции безопасности должна быть проверена для обеспечения согласованности и полноты ее использования по назначению.

Перед началом конструирования следует проанализировать спецификацию требований безопасности, поскольку любая другая деятельность основана на этих требованиях.

Должно быть обеспечено документирование требований ко всем функциям безопасности системы управления машиной.

Для проверки спецификации должны быть применены соответствующие меры для обнаружения систематических отказов (ошибок, упущений или несоответствий).

Валидация может выполняться путем рассмотрения и проверки требований безопасности SRP/CS и проектных спецификаций, в частности, чтобы доказать, что все аспекты требований к предполагаемому применению и безопасности и условий эксплуатации и окружающей среды, а также возможные человеческие ошибки (например, неправильное использование) были рассмотрены.

Если стандарт на продукцию устанавливает требования безопасности для конструирования SRP/CS (например, ISO 11161 для интегрированных производственных систем или ISO 13851 для устройств двуручного управления), они должны быть приняты во внимание.

8 Валидация функций безопасности

Валидация функций безопасности должна демонстрировать, что SRP/CS или комбинация SRP/CS обеспечивают функцию (функции) безопасности в соответствии с их заданными характеристиками.

Примечание - Потеря функции безопасности при отсутствии аппаратной неисправности происходит из-за систематического отказа, который может быть вызван ошибками, допущенными на этапах конструирования и интеграции (неверная интерпретация характеристик функции безопасности, ошибка в логической схеме, ошибка в аппаратной сборке, ошибка в наборе кода ПО и т.д.). Некоторые из этих систематических ошибок будут выявлены в процессе конструирования, а другие — в процессе валидации, либо останутся незамеченными. Кроме того, также возможна ошибка (например, отказ от проверки характеристики) в процессе валидации.

Валидация заданных характеристик функций безопасности должна быть достигнута путем применения соответствующих мер из следующего списка.

• Функциональный анализ схем, обзоры программного обеспечения (см. 9.5).

Примечание - Если машина имеет сложные или многочисленные функции безопасности, анализ может уменьшить количество требуемых функциональных испытаний.

• Моделирование.
• Проверка аппаратных компонентов, установленных на машине, и сведений о соответствующем программном обеспечении для подтверждения их соответствия документации (например, изготовитель, тип, версия).
• Функциональные испытания функций безопасности во всех режимах работы машины, чтобы установить, соответствуют ли они заданным характеристикам (см. ISO 13849-1:2006, раздел 5, для спецификаций некоторых типичных функций безопасности). Функциональные испытания должны гарантировать, что все выходы, связанные с безопасностью, реализуются во всем их полном диапазоне и реагируют на входные сигналы, связанные с безопасностью, в соответствии со спецификацией. Тестовые случаи обычно извлекаются из спецификаций, но могут также включать в себя некоторые случаи, полученные в результате анализа схем или программного обеспечения.
• Расширенное функциональное тестирование для проверки предсказуемых аномальных сигналов или комбинаций сигналов от любого источника входного сигнала, включая прерывание и восстановление питания, а также некорректные операции.
• Проверка взаимодействия оператора с SRP/CS на соответствие принципам эргономики (см. ISO 13849-1:2006, 4.8).

Примечание — Другие меры против систематических отказов, упомянутые в 9.4 (например, многообразие, обнаружение отказов с помощью автоматических испытаний), также могут способствовать обнаружению функциональных неисправностей.

9 Валидация уровней и категорий эффективности защиты

9.1 Анализ и тестирование

Для SRP/CS или комбинации SRP/CS, которая обеспечивает функцию (функции) безопасности, валидация должна продемонстрировать, что требуемые уровни эффективности защиты (PLr) и категории в спецификации требований безопасности выполняются. В основном это потребует анализа отказов с использованием принципиальных схем (см. раздел 5), и если анализ отказов не дает результатов, проводятся:

• испытания по определенной схеме и моделирование неисправностей на испытуемых образцах, в частности в областях риска относительно производительности, установленной при анализе отказов (см. раздел 6);
• моделирование поведения системы управления в случае неисправности, например, с помощью моделей аппаратного обеспечения и (или) программного обеспечения.

В некоторых ситуациях может возникнуть необходимость разделить связанные элементы безопасности на несколько функциональных групп и подвергнуть эти группы и их интерфейсы испытаниям с имитацией неисправности.

При валидации испытанием испытания должны включать, в зависимости от обстоятельств:

• испытания по внедрению ошибок в серийный образец;
• испытания по внедрению ошибок в аппаратную модель;
• программное моделирование неисправностей;
• отказ подсистемы, например, источников питания.

Момент, когда неисправности могут проявиться в системе, может оказаться критическим. Самые неблагоприятные варианты проявления неисправностей должны быть определены при анализе, соответственно с этим анализом неисправности должны быть выявлены для предупреждения наступления критических моментов.

9.2 Валидация на соответствие категорий

9.2.1 Категория B

SRP/CS категории B должны пройти валидацию в соответствии с основными принципами безопасности (см. таблицы A.1, B.1, C.1 и D.1) подтверждением того, что требования, проект, конструкция и выбор компонентов соответствуют ISO 13849-1:2006, 6.2.3. Должно быть продемонстрировано, что MTTFd канала составляет не менее трех лет. Для этого проводится проверка элементов безопасности системы управления на соответствие требованиям, установленным в документах для валидации (см. 4.5). Требования по условиям окружающей среды для валидации см. 6.1.

Примечание - В особых случаях могут потребоваться более высокие значения MTTFd, например, когда PLr = b.

9.2.2 Категория 1

Валидацию на соответствие категории 1 элементов безопасности систем управления следует проводить для подтверждения того, что:

a) они соответствуют требованиям категории B;

b) компоненты испытаны (см. таблицы A.3 и D.3) и соответствуют хотя бы одному из следующих условий:

1. они широко использовались в прошлом с успешными результатами в аналогичных приложениях;

2. были изготовлены и проверены с использованием принципов, демонстрирующих их пригодность и надежность для применений, связанных с безопасностью;

c) хорошо зарекомендовавшие себя принципы безопасности (там, где это применимо, см. таблицы A.2, B.2, C.2 и D.2) были реализованы правильно, а там, где использовались новые разработанные принципы, была проведена валидация:

1. предупреждение ожидаемых видов отказов;

2. предупреждение неисправностей или снижение их вероятности до приемлемого уровня.

Соответствующие стандарты компонентов могут быть использованы для демонстрации соответствия требованиям настоящего пункта (см. таблицы A.3 и D.3). Должно быть продемонстрировано, что MTTFd канала составляет не менее 30 лет.

9.2.3 Категория 2

Валидацию на соответствие категории 2 элементов безопасности систем управления следует проводить для подтверждения того, что:

a) они соответствуют требованиям категории B;

b) используемые проверенные принципы безопасности (если применимо) соответствуют 9.2.2 c);

c) контрольное оборудование обнаруживает все соответствующие неисправности, применяемые по одному в процессе проверки, и производит соответствующее контрольное действие, которое:

1. инициирует безопасное состояние;

2. когда это невозможно, предупреждает о риске;

d) проверка, обеспечиваемая контрольным оборудованием, не приводит к небезопасному состоянию;

e) инициирование проверки осуществляется:

1. при запуске машины и до возникновения опасной ситуации;

2. периодически, в процессе эксплуатации, в соответствии с техническим заданием и если оценка рисков и вид работ показывают, что это необходимо.

Примечание - Необходимость и объем проверок во время эксплуатации определяются оценкой риска проектировщиком и типом необходимой операции;

f) MTTFd функционального канала (MTTFd,L) не менее 3 лет;

g) MTTFd,TE больше половины MTTFd,L;

h) скорость испытания >= 100 x ожидаемая скорость испытания;

i) DCavg составляет не менее 60%;

j) количество отказов по общей причине значительно снижено (см. ISO 13849-1:2006, приложение F).

Примечание - В отдельных случаях могут потребоваться более высокие значения MTTFd и/или DCavg, например, из-за высокого PLr.

9.2.4 Категория 3

Валидацию на соответствие категории 3 элементов безопасности систем управления следует проводить для подтверждения того, что:

a) они соответствуют требованиям категории B;

b) испытанные принципы безопасности (если применимо) соответствуют требованиям 9.2.2 c);

c) отдельная неисправность не приводит к потере функции безопасности;

d) выявление отдельных неисправностей (включая неисправности по общей причине) в соответствии с проектным обоснованием и применяемой технологией;

e) MTTFd каждого канала составляет не менее трех лет;

f) DCavg составляет не менее 60%;

g) количество отказов по общей причине значительно снижено (см. ISO 13849-1:2006, приложение F).

Примечание - В особых случаях могут потребоваться более высокие значения MTTFd и/или DCavg, например, из-за высокого PLr.

9.2.5 Категория 4

Валидацию на соответствие категории 4 элементов безопасности систем управления следует проводить для подтверждения того, что:

a) они соответствуют требованиям категории B;

b) испытанные принципы безопасности (если применимо) соответствуют 9.2.2 c);

c) отдельная неисправность (включая неисправности группового типа) не приводит к потере функции безопасности;

d) отдельные неисправности обнаруживаются во время или до следующего требования к функции безопасности, что достигается при DCavg не менее 99%;

e) если неисправность не обнаружена при DCav не менее 99%, накопление неисправностей не приводит к потере функции(й) безопасности, а степень рассматриваемого накопления неисправностей соответствует проектному обоснованию;

f) MTTFd каждого канала составляет не менее 30 лет;

g) количество отказов по общей причине значительно снижено (см. ISO 13849-1:2006, приложение F).

9.3 Валидация MTTFd, DCavg и CCF

Проверка MTTFd, DCavg и CCF обычно выполняется путем анализа и визуального осмотра.

Значения MTTFd для компонентов (включая значения B10d, T10d и nop) должны быть проверены на правдоподобие (например, в соответствии с ISO 13849-1:2006, приложение C). Например, значение, указанное в таблице данных поставщика, необходимо сравнить с ISO 13849-1:2006, приложение C. Если заявления об исключении неисправностей означают, что определенные компоненты не вносят вклад в канал MTTFd, должно быть проверено правдоподобие исключения неисправностей.

Примечания

1 Исключение неисправностей подразумевает бесконечное MTTFd; следовательно, компонент не будет участвовать в расчете MTTFd канала.

2 Для определения значения B10d, например, см. IEC 60947-4-1:2010, приложение K.

MTTFd каждого канала SRP/CS, включая применение формулы симметрирования (см. ISO 13849-1:2006, приложение D) к разнородным резервным каналам, должно быть проверено на правильность расчета. До применения формулы симметрирования должно быть обеспечено, чтобы MTTFd отдельных каналов не превышало 100 лет.

Значения DC для компонентов и/или логических блоков должны быть проверены на правдоподобие (например, в сравнении с мероприятиями в ISO 13849-1:2006, приложение E). Правильное проведение (аппаратное и программное обеспечение) проверок и диагностики, включая соответствующую реакцию на неисправность, должны быть подтверждены испытаниями в типичных условиях окружающей среды при использовании.

DCavg SRP/CS должен быть проверен на корректность расчета.

Правильное выполнение достаточных мер против отказов по общей причине должно пройти валидацию (например, в соответствии с ISO 13849-1:2006, приложение F). Типичными способами валидации являются статический анализ оборудования и функциональные испытания в условиях окружающей среды.

Примечание - Для расчета значений MTTFd электронных компонентов за основу принимается температура окружающей среды +40 °C. Во время валидации важно убедиться, что для значений MTTFd соблюдены условия окружающей среды и функциональные условия (в частности, температура), взятые за основу. Если устройство или компонент эксплуатируются при температуре, значительно превышающей (например, более 15 °C) указанную температуру +40 °C, необходимо использовать значения MTTFd для повышенной температуры окружающей среды.

9.4 Валидация мер против систематических отказов, связанных с уровнем эффективности защиты и категорией SRP/CS

Валидация мер против систематических отказов (определенных в ISO 13849-1:2006, 3.1.7), связанных с уровнями эффективности защиты и категориями каждого SRP/CS, обычно может быть обеспечена:

a) проверками проектной документации, подтверждающей применение:

1. основных и испытанных принципов безопасности (см. приложения от A до D);

2. дополнительных мер по предотвращению систематических отказов (см. ISO 13849-1:2006, G.3);

3. дополнительных мер по контролю систематических отказов, таких как разнообразие аппаратных средств (см. ISO 13849-1:2006, приложение G), защита от модификаций или программирование подтверждения отказов;

b) анализом отказов (например, FMEA);

c) испытаниями с введением/инициированием неисправности;

d) проверками и испытаниями средств передачи данных, если применимо;

e) проверками того, что система менеджмента качества позволяет избежать причин систематических отказов в производственном процессе.

9.5 Валидация программного обеспечения, связанного с безопасностью

Валидация как встроенного программного обеспечения функций безопасности (SRESW), так и прикладного программного обеспечения функций безопасности (SRASW), должна включать:

• заданное функциональное поведение и критерии эффективности защиты (например, временные характеристики) программного обеспечения при выполнении на целевом оборудовании;
• проверку того, что меры программного обеспечения достаточны для заданного PLr функции безопасности;
• меры и действия, предпринятые во время конструирования программного обеспечения для предотвращения систематических ошибок программного обеспечения.

В качестве первого шага, проверьте наличие документации по техническому регламенту и проектному решению программного обеспечения функции безопасности. Эта документация должна быть проверена на полноту и отсутствие ошибочных толкований, упущений или несоответствий.

Примечание - В случае небольших программ, анализ программы посредством обзоров или прогона потока управления, процедур и т.д. с использованием документации к программному обеспечению (схема потока управления, исходный код модулей или блоков, ввод-вывод и списки распределения переменных, списки перекрестных ссылок) может быть достаточно.

В общем, программное обеспечение можно рассматривать как «черный ящик» или «серый ящик» (см. ISO 13849-1:2006, 4.6.2) и подтверждать испытанием черного или серого ящика соответственно.

В зависимости от PLr [ISO 13849-1:2006, 4.6.2 (для SRESW) и 4.6.3 (для SRASW)], испытания должны включать:

• испытание функционального поведения и эффективности защиты методом «черного ящика» (например, временные характеристики);
• дополнительные расширенные тестовые примеры, основанные на анализе предельных значений, рекомендуемые для PL d или e;
• испытания ввода/вывода, чтобы гарантировать правильное использование входных и выходных сигналов функции безопасности;
• контрольные примеры, которые моделируют ошибки, определенные предварительно аналитически, вместе с ожидаемой реакцией, чтобы оценить адекватность мер программного обеспечения для контроля отказов.

Отдельные программные функции, которые уже прошли валидацию, не нуждаются в повторной валидации. Однако, если несколько таких функциональных блоков безопасности объединены для конкретного проекта, должна быть подтверждена результирующая общая функция безопасности.

Документация по программному обеспечению должна быть проверена, чтобы подтвердить, что были реализованы достаточные меры и действия против систематических ошибок программного обеспечения в соответствии с упрощенной V-моделью (ISO 13849-1:2006, рисунок 6).

Меры по внедрению программного обеспечения в соответствии с ISO 13849-1:2006, 4.6.2 (для SRESW) и 4.6.3 (для SRASW), которые зависят от требуемого PL, должны быть рассмотрены в отношении их надлежащей реализации.

Если связанное с безопасностью программное обеспечение будет впоследствии модифицировано, оно должно пройти повторную валидацию в соответствующем масштабе.

9.6 Валидация и верификация уровня эффективности защиты

Для упрощенной процедуры оценки PL SRP/CS в соответствии с ISO 13849-1:2006, ₄.5.4 и ISO 13849-1:2006, приложения B — F и приложение K, должны быть выполнены следующие этапы верификации и валидации:

• проверка правильности оценки PL на основе категории, DCavg и MTTFd (согласно ISO 13849-1:2006, 4.5.4 и приложения K);
• проверка того, что PL, достигнутый SRP/CS, удовлетворяет требуемому уровню эффективности защиты PLr в спецификации требований безопасности для машинного оборудования: PL >= PLr.

Если для оценки достигнутого PL используются другие методы, основанные на расчетной средней вероятности опасного отказа в час, валидация должна учитывать:

• значение MTTFd для каждого компонента;
• DC;
• CCF;
• структуру;
• документацию, применение и расчет, правильность которых должна быть проверена.

9.7 Валидация комбинации элементов безопасности

Если функция безопасности реализуется двумя или более элементами, должна быть проведена валидация комбинации — путем анализа и, при необходимости, испытаний — для установления того, что комбинация обеспечивает уровень характеристик, указанный в проекте. Существующие зарегистрированные результаты проверки элементов безопасности могут быть приняты во внимание. Должны быть выполнены следующие шаги валидации:

• проверка проектной документации, описывающей общие функции безопасности;
• проверка того, что общий PL комбинации SRP/CS был правильно оценен на основе PL каждого отдельного элемента безопасности (согласно ISO 13849-1:2006, 6.3).

Примечание - В качестве альтернативы ISO 13849-1:2006, таблица 11, может быть использована сумма средней вероятности опасных отказов в час для всех объединенных SRP/CS. Важно проверить не поддающиеся количественной оценке ограничения систематических, архитектурных аспектов и аспектов CCF, которые могут ограничивать общий уровень эффективности защиты до более низких значений;

• учет характеристик интерфейсов, например, напряжение, ток, давление, формат данных, уровень сигнала;
• анализ отказов, связанных с комбинацией/интеграцией, например, с помощью FMEA;
• для систем с резервированием, испытания с вводом отказов, связанные с комбинацией/интеграцией.

10 Валидация требований окружающей среды

Характеристики, указанные в проекте SRP/CS, должны быть подтверждены в отношении условий окружающей среды, указанных для системы управления.

Валидация должна проводиться путем анализа и, при необходимости, испытаний. Масштабы анализа и испытаний будут зависеть от элементов безопасности системы, в которой они установлены, используемой технологии и условий окружающей среды, которые проходят валидацию. Использование данных об эксплуатационной надежности системы или ее компонентов либо подтверждение соответствия применимым стандартам окружающей среды (например, в отношении гидроизоляции, защиты от вибрации) могут содействовать процессу валидации.

Там, где это применимо, валидация должна касаться:

• ожидаемых механических нагрузок от ударов, вибрации, попадания загрязнений;
• механической прочности;
• электрических параметров и источников питания;
• климатических условий (температура и влажность);
• электромагнитной совместимости (защищенности).

Когда необходимы испытания для определения соответствия экологическим требованиям, необходимо следовать процедурам, изложенным в соответствующих стандартах, насколько это требуется для применения.

После завершения валидации испытаниями функции безопасности должны оставаться в соответствии с требованиями безопасности технических условий, или SRP/CS должен обеспечивать выходные данные для безопасного состояния.

11 Валидация требований к техническому обслуживанию

Процесс валидации должен продемонстрировать, что положения требований к техническому обслуживанию, указанные в ISO 13849-1:2006, раздел 9, параграф 2, выполнены.

Валидация требований к техническому обслуживанию должна включать следующее, если применимо:

a) обзор информации для использования, подтверждающий, что:

1. инструкции по техническому обслуживанию доработаны [включая процедуры, необходимые инструменты, частота осмотров, временной интервал для замены компонентов, подверженных износу (T10d) и т.д.] и понятны;

2. при необходимости предусмотрена возможность проведения технического обслуживания только квалифицированным обслуживающим персоналом;

b) проверку, которая измеряет простоту обслуживания (например, предоставление диагностических инструментов для помощи в поиске неисправностей и ремонте).

Кроме того, при применении должны быть включены следующие меры:

• меры против ошибок во время технического обслуживания (например, обнаружение неправильных входных данных посредством проверки правдоподобия);
• меры против модификации (например, защита паролем для предотвращения доступа к программе посторонних лиц).

12 Валидация технической документации и информации для использования

Процесс валидации должен продемонстрировать, что требования к технической документации, указанные в ISO 13849-1:2006, раздел 10, и к информации для пользователя, указанные в ISO 13849-1:2006, раздел 11, выполнены.

Приложение A (справочное)

ВАЛИДАЦИЯ МЕХАНИЧЕСКИХ СИСТЕМ

Когда механические системы используются в сочетании с другими технологиями, следует также учитывать приложение A.

В таблицах A.1 и A.2 перечислены основные и испытанные принципы безопасности.

В таблице A.3 перечислены испытанные компоненты для приложений безопасности, основанные на применении испытанных принципов безопасности и/или стандарта для их конкретных приложений. Испытанный компонент для одних приложений может оказаться неподходящим для других.

В таблицах A.4 и A.5 перечислены исключения неисправностей и их обоснование. Дополнительные исключения см. в 4.4. Точный момент возникновения неисправности может быть критическим (см. 9.1).

Таблица A.1

Основные принципы безопасности

Таблица A.2

Испытанные принципы безопасности

Таблица A.3

Испытанные компоненты

Таблица A.4

Неисправности и исключения неисправностей. Механические устройства, компоненты и элементы (например, кулачковая шайба, ведомый механизм, цепь, зажимное устройство, тормоз, вал, винт, болт, направляющее устройство, подшипник)

Неисправности и исключения неисправностей — Винтовые пружины

Приложение B (справочное)

ВАЛИДАЦИЯ ПНЕВМАТИЧЕСКИХ СИСТЕМ

Когда пневматические системы используются в сочетании с другими технологиями, следует также учитывать приложение B. Если пневматические компоненты имеют электрическое соединение/управление, следует учитывать соответствующие списки неисправностей в приложении D.

Примечание — Дополнительные требования могут существовать в национальном законодательстве. В таблицах B.1 и B.2 перечислены основные и испытанные принципы безопасности.

Перечень испытанных компонентов не приводится в приложении B к настоящему изданию. Статус «испытанного» в основном зависит от приложения. Компоненты можно охарактеризовать как «испытанные», если они соответствуют ISO 13849-1:2006, 6.2.2 и ISO 4414:2010, разделы 5 — 7. Испытанный компонент для одних приложений может оказаться неподходящим для других приложений.

В таблицах с B.3 по B.18 перечислены исключения неисправностей и их обоснование. Дополнительные исключения см. в 4.4. Точный момент возникновения неисправности может быть критическим (см. 9.1).

Таблица B.1

Основные принципы безопасности

Таблица B.2

Испытанные принципы безопасности

Таблица B.3

Неисправности и исключения неисправностей. Направляющие пневмораспределители

Таблица B.4

Неисправности и исключения неисправностей. Запорные (отсечные) клапаны/невозвратные (обратные) клапаны/быстродействующие выпускные клапаны/регулирующие клапаны и т.д.

Таблица B.5

Неисправности и исключения неисправностей. Клапаны управления потоком

Таблица B.6

Неисправности и исключения неисправностей. Клапаны давления

Таблица B.7

Неисправности и исключения неисправностей. Трубопроводы

Таблица B.8

Неисправности и исключения неисправностей. Шланговые установки

Таблица B.9

Неисправности и исключения неисправностей. Соединения

Таблица B.10

Неисправности и исключения неисправностей. Датчики давления и преобразователи давления

Таблица B.11

Неисправности и исключения неисправностей. Обработка сжатым воздухом. Фильтры

Таблица B.12

Неисправности и исключения неисправностей. Обработка сжатым воздухом. Лубрикаторы

Таблица B.13

Неисправности и исключения неисправностей. Обработка сжатым воздухом. Глушители

Таблица B.14

Неисправности и исключения неисправностей. Аккумуляторы и баллоны со сжатым газом

Таблица B.15

Неисправности и исключения неисправностей. Датчики

Таблица B.16

Неисправности и исключения неисправностей. Обработка информации. Логические элементы

Таблица B.17

Неисправности и исключения неисправностей. Обработка информации. Реле времени

Таблица B.18

Неисправности и исключения неисправностей. Обработка информации. Преобразователи

Приложение C (справочное)

ВАЛИДАЦИЯ ГИДРАВЛИЧЕСКИХ СИСТЕМ

Когда гидравлические системы используются в сочетании с другими технологиями, следует также учитывать приложение C. Если гидравлические компоненты имеют электрическое соединение/управление, следует учитывать соответствующие списки неисправностей в приложении D.

Примечание - Дополнительные требования могут существовать в национальном законодательстве.

В таблицах C.1 и C.2 перечислены основные и испытанные принципы безопасности. Следует избегать пузырьков воздуха и кавитации в гидравлической жидкости, поскольку они могут создавать дополнительные опасности, например, непреднамеренные движения.

Перечень испытанных компонентов не приводится в приложении C к настоящему изданию. Статус «испытанного» в основном зависит от приложения. Компоненты можно охарактеризовать как «испытанные», если они соответствуют ISO 13849-1:2006, 6.2.2 и ISO 4414:2010, разделы 5 — 7. Испытанный компонент для одних приложений может оказаться неподходящим для других приложений.

В таблицах C.3 - C.12 перечислены исключения неисправностей и их обоснование. Дополнительные исключения см. в 4.4. Точный момент возникновения неисправности может быть критическим (см. 9.1).

Таблица C.1

Основные принципы безопасности

Таблица C.2

Испытанные принципы безопасности

Таблица C.3

Неисправности и исключения неисправностей. Управляемые гидрораспределители

Таблица C.4

Неисправности и исключения неисправностей. Запорные (отсечные) клапаны, невозвратные (обратные) клапаны, регулирующие клапаны и др.

Таблица C.5

Неисправности и исключения неисправностей. Клапаны гидрораспределителей

Таблица C.6

Неисправности и исключения неисправностей. Клапаны давления

Таблица C.7

Неисправности и исключения неисправностей. Металлические трубопроводы

Таблица C.8

Неисправности и исключения неисправностей. Шланговые установки

Таблица C.9

Неисправности и исключения неисправностей. Соединения

Таблица C.10

Неисправности и исключения неисправностей. Фильтры

Таблица C.11

Неисправности и исключения неисправностей. Накопитель энергии

Таблица C.12

Неисправности и исключения неисправностей. Датчики

Приложение D (справочное)

ВАЛИДАЦИЯ ЭЛЕКТРИЧЕСКИХ СИСТЕМ

D.1 Общие положения

Когда электрические системы используются в сочетании с другими технологиями, следует также учитывать приложение D.

Условия окружающей среды IEC 60204-1 применяются к процессу валидации. Если указаны другие условия окружающей среды, их также следует учитывать.

В таблицах D.1 и D.2 перечислены основные и испытанные принципы безопасности.

Компоненты, перечисленные в таблице D.3, считаются «испытанными», если они соответствуют описанию, данному в ISO 13849-1:2006, 6.2.4. Стандарты, перечисленные в таблице D.3, можно использовать для демонстрации их пригодности и надежности для конкретного применения. Испытанный компонент для одних приложений может оказаться неподходящим для других приложений.

Примечание - Сложные электронные компоненты, такие как программируемые логические контроллеры (PLC), микропроцессоры и специализированные интегральные схемы, не могут считаться эквивалентными «испытанным» компонентам.

В разделе D.2 и таблицах D.4 - D.18 перечислены исключения неисправностей и их обоснование. Дополнительные исключения см. в 4.4.

Для проверки следует учитывать как постоянные неисправности, так и кратковременные нарушения.

Точный момент возникновения неисправности может быть критическим (см. 9.1).

Таблица D.1

Основные принципы безопасности

Таблица D.2

Испытанные принципы безопасности

Таблица D.3

Испытанные элементы

D.2 Исключение неисправностей

D.2.1 Общие положения

Исключение неисправности действительно только в том случае, если детали работают в пределах своих указанных номинальных характеристик.

D.2.2 «Оловянные усы»

Если применяются бессвинцовые процессы и продукты, могут возникнуть электрические короткие замыкания из-за роста «оловянных усов». Эту возможность следует оценивать и учитывать при применении исключения неисправности «короткое замыкание» любого компонента. Например, если риск роста «оловянных усов» считается высоким, то исключение неисправности «короткое замыкание резистора» бесполезно, так как необходимо учитывать замыкание между контактами этого компонента.

Примечания

1 Рост «оловянных усов» — это явление, связанное, главным образом, с отделкой из чистого блестящего олова. Игольчатые выступы могут достигать нескольких сотен микрометров в длину и могут вызывать короткое замыкание. Преобладающая теория состоит в том, что «усы» вызваны накоплением напряжения сжатия в оловянном покрытии.

2 Ссылки [34] и [35] могут быть полезны для оценки этого явления.

3 Об «усах» на печатных платах до сих пор не сообщалось. Дорожки обычно состоят из меди без оловянного покрытия. Контактные площадки могут быть покрыты оловянным сплавом, но производственный процесс, по видимому, не стимулирует склонность к росту «усов».

D.2.3 Короткие замыкания на частях, установленных на печатной плате

Короткие замыкания для деталей, смонтированных на печатной плате (PCB), могут быть исключены только в том случае, если выполнено исключение неисправности «короткое замыкание между двумя соседними дорожками/контактными площадками», описанное в таблице D.5.

D.2.4 Исключение неисправностей и интегральные схемы

Так как невозможно исключить неисправности, которые могут вызвать неисправность интегральной схемы (см. таблицы D.20 и D.21), единичная неисправность может привести к потере функции безопасности (включая ее проверку/испытание), реализованной в единой интегральной схеме. Следовательно, маловероятно, что многоканальная функциональность, необходимая для отказоустойчивости и/или требований по обнаружению категорий 2, 3 или 4, может быть достигнута с использованием одной интегральной схемы, если только она не удовлетворяет специальным требованиям к архитектуре IEC 61508-2:2010, приложение E.

Таблица D.4

Неисправности и исключения неисправностей. Провода/кабели

Таблица D.5

Неисправности и исключения неисправностей. Печатные платы/узлы

Таблица D.6

Неисправности и исключения неисправностей. Контактная колодка

Таблица D.7

Неисправности и исключения неисправностей. Многоразъемное соединение

Таблица D.8

Неисправности и исключения неисправностей. Переключатели. Электромеханический позиционный переключатель, ручной переключатель (например, кнопка, переключатель возвратного действия, переключатель типа DIP, магнитоуправляемые контакты, язычковый переключатель, реле давления, датчик температуры)

Таблица D.9

Неисправности и исключения неисправностей. Переключатели. Электромеханические устройства (например, реле, контакторные реле)

Таблица D.10

Неисправности и исключения неисправностей. Переключатели. Неконтактные переключатели

Таблица D.11

Неисправности и исключения неисправностей — переключатели — соленоидные клапаны

Таблица D.12

Неисправности и исключения неисправностей — дискретные электрические компоненты. Трансформаторы

Таблица D.13

Неисправности и исключения неисправностей — дискретные электрические компоненты — индукторы

Таблица D.14

Неисправности и исключения неисправностей — дискретные электрические компоненты — резисторы

Таблица D.15

Неисправности и исключения неисправностей — дискретные электрические компоненты — резисторные схемы

Таблица D.16

Неисправности и исключения неисправностей — дискретные электрические компоненты — потенциометры

Таблица D.17

Неисправности и исключения неисправностей — дискретные электрические компоненты — конденсаторы

Таблица D.18

Неисправности и исключения неисправностей — электронные компоненты — дискретные полупроводниковые приборы (например, диоды, полупроводниковые стабилитроны, транзисторы, симисторы, регуляторы напряжения, кварцевые кристаллы, фототранзисторы, светодиоды [LED])

Таблица D.19

Неисправности и исключения неисправностей — электронные компоненты — оптопары

Таблица D.20

Неисправности и исключения неисправностей — электронные компоненты — непрограммируемые интегральные схемы

Таблица D.21

Неисправности и исключения неисправностей — электронные компоненты — программируемые и/или сложные интегральные схемы

Приложение E (справочное)

ПРИМЕР ВАЛИДАЦИИ ПОВЕДЕНИЯ ПРИ НЕИСПРАВНОСТИ И СРЕДСТВА ДИАГНОСТИКИ

E.1 Общие положения

В этом примере рассматривается проверка PL функции безопасности (SF 1), за исключением требований, относящихся к следующим аспектам PL:

• значения MTTFd;
• отказ по общей причине (CCF);
• программный анализ;
• систематические отказы.

Пример не охватывает валидацию:

• спецификации требований безопасности (см. раздел 7);
• характеристик функций безопасности (см. раздел 8);
• требований окружающей среды (см. раздел 10);
• требований к техническому обслуживанию (см. раздел 11);
• требований к документации (см. раздел 12).

В примере рассматриваются три функции безопасности, SF 1, SF 2 и SF 3.

SF 1 представляет собой связанную с безопасностью функцию останова четырех отдельных приводов машины, инициируемую открытием одного защитного ограждения, и она рассматривается как отдельная функция безопасности для каждого привода (SF 1.0, SF 1.1, SF 1.2 и SF 1.3). Чтобы уменьшить объем примера, проверка была ограничена SF 1.0 и SF 1.3.

В приложении A приведены рекомендации по изучению поведения при неисправности, а также предоставлено диагностическое покрытие данной цепи. Методы, используемые для определения диагностического покрытия, основаны на анализе видов и последствий отказов (FMEA) с учетом ISO 13849-1:2006, приложение E.

Примечание — Этот пример не охватывает весь процесс валидации SRP/CS. В частности, не рассматривалась необходимая проверка программного обеспечения PLC. Для проверки программного обеспечения, связанного с безопасностью, см. 9.5.

E.2 Описание машины

Пример основан на сборочном автомате с ручной загрузкой и выгрузкой заготовок. Автомат предназначен для выполнения двух последовательных операций: введения шарика и фиксации винтом на каждой заготовке.

На машине имеется четыре станции: загрузочная, разгрузочная и две рабочие станции (см. рисунок E.1). Первая рабочая станция представляет собой этап с пневматическим приводом для введения шариков, а второй этап с пневматическим приводом — фиксирующий винт.

Поворотный стол с электроприводом перемещает заготовки вокруг каждой из четырех станций. Заготовки вручную помещаются на держатели заготовок, установленные на поворотном столе, и снимаются с них. Электродвигатель с инверторным управлением приводит в движение планетарную передачу и приводной ремень, который перемещает поворотный стол.

На первой рабочей станции шарик вводится в заготовку с помощью горизонтально установленного пневматического цилиндра, который управляется моностабильным 5/2-ходовым гидрораспределителем (1V1, см. рисунок E.3). Базовое положение (клапан обесточен) этого цилиндра — отведенное положение. Глубина вставленного шарика контролируется концевым выключателем в полностью выдвинутом положении цилиндра, а приложенное давление прессования контролируется датчиком давления в линии подачи воздуха для выдвижения цилиндра.

Рабочая станция для завинчивания состоит из вертикально установленного бесштокового пневматического цилиндра, на котором закреплен ротационный шуруповерт с пневматическим приводом. Блок шуруповерта поднимается и опускается пневматическим цилиндром, который управляется моностабильным 5/2-ходовым распределительным клапаном (2V1). Базовое положение (клапан обесточен) этого цилиндра — верхнее положение с поднятым блоком шуруповерта. Кроме того, в нижнем штуцере пневматического цилиндра предусмотрен обратный клапан с пилотным управлением (2V2).

Вращательное движение шуруповерта обеспечивается пневматическим двигателем, управляемым моностабильным 5/2-ходовым гидрораспределителем (3V1). Базовым положением (клапан обесточен) этого пневматического двигателя является состояние «ВЫКЛ». Крутящий момент, обеспечиваемый блоком шуруповерта, контролируется датчиком давления в его линии подачи воздуха.

Одиночный цикл машины в автоматическом режиме работы инициируется нажатием кнопки пуска. В начале цикла поворотный стол удерживает три заготовки: (i) только что загруженную заготовку, (ii) частично готовую заготовку (шар вставлен) и (iii) готовую заготовку (шар вставлен и закреплен винтом). Каждый цикл машины состоит из поворота поворотного стола на 90° с последующими одновременными операциями введения шариков и фиксации винтом вновь загруженных и частично готовых заготовок. Затем машина останавливается, после чего оператор открывает защитное ограждение, чтобы выгрузить готовую заготовку и загрузить новую заготовку. Для завершения обработки заготовки требуется три машинных цикла, чтобы повернуть заготовку на 270° от станции загрузки до станции разгрузки.

Предусмотрены следующие режимы работы:

• автоматический режим с ручной загрузкой и разгрузкой (полный ход машины с закрытым защитным ограждением);
• режим настройки поворотного стола (движение поворотного стола с удерживающим управлением и защитным ограждением в открытом положении).

Станок представляет механическую опасность, возникающую из-за перемещений приводов станка с пневматическим приводом (на рабочих станциях введения шариков и фиксации винтом) и поворотного стола с электрическим приводом. По этой причине он защищен механическими ограждениями, которые являются стационарными, за исключением защитного ограждения, которое обеспечивает доступ к станциям загрузки и разгрузки (опасная зона).

Условные обозначения: 1 — загрузочная станция; 2 — рабочая станция для введения шариков; 3 — цилиндр вставки шарика (A1); 4 — рабочая станция с фиксацией винтом; 5 — разгрузочная станция; 6 — блок шуруповерта (A3); 7 — цилиндр для вставки винта (с вертикальным приводом) (A2); 8 — заготовка; 9 — поворотный стол; 10 — импульсный датчик (G2); 11 — приводной ремень; 12 — планетарная передача; 13 — электродвигатель (M1); 14 — датчик вращения (G1)

Рисунок E.1 — Машина, используемая в примере: сборочный автомат

E.3 Спецификация требований к функциям безопасности

В автоматическом режиме работы защита от опасных движений обеспечивается следующей функцией безопасности: SF 1 остановка, связанная с безопасностью, инициированная открытием защитного ограждения и предотвращением неожиданного пуска при открытом защитном ограждении.

Для целей примера это можно рассматривать как отдельную функцию безопасности для каждого из четырех отдельных приводов машины:

SF 1.0 электродвигатель поворотного стола (M1);

SF 1.1 цилиндр вставки шарика (A1);

SF 1.2 цилиндр вставки винта (A2);

SF 1.3 пневмодвигатель шуруповерта (A3).

Примечание - К примеру, связанная с безопасностью остановка и защита от неожиданного пуска считаются одной функцией безопасности, поскольку они реализованы в одной и той же комбинации SRP/CS.

В режиме настройки для поворотного стола с открытым защитным ограждением (механические приводы с пневматическим приводом отключены SF 1.1, SF 1.2 и SF 1.3), безопасное состояние движения поворотного стола достигается комбинацией следующих функций безопасности:

SF 2 безопасно-ограниченная скорость;

SF 3 режим удержания для запуска.

Таблица E.1

Активные функции безопасности в зависимости от режима работы

После проведения оценки риска функциям безопасности были присвоены следующие значения PLr:

PLrd для SF1 (безопасная остановка и предотвращение неожиданного пуска);

PLrd для SF2 (безопасно-ограниченная скорость);

PLrc для SF3 (режим удержания).

Примечание - Выбор PLrc для SF3 учитывает его использование в сочетании с SF2, для которого достигается PL d.

Когда запрашивается SF 1, он инициирует следующие действия:

• поворотный стол выполняет контролируемую остановку в соответствии с остановкой категории 2 по IEC 60204-1;
• горизонтально установленный пневматический цилиндр (A1) рабочей станции для введения шариков и вертикально установленный пневматический цилиндр (A2) рабочей станции для фиксации винтом возвращаются в исходное положение и/или остаются в исходном положении (т.е. отведены и подняты соответственно);
• блок шуруповерта (A3) немедленно останавливается.

Примечание - Например, оценка риска показала, что потеря контролируемого замедления поворотного стола в результате неисправности инвертора является допустимой, а перемещение пневматических цилиндров A1 и A2 в исходное положение безопасным.

Минимальное расстояние между защитным ограждением и этими движущимися частями машины было определено в соответствии со стандартом ISO 13855 на основе характеристик остановки машины.

Машина снабжена другими функциями безопасности, такими как аварийная остановка, блокировка повторного пуска, сброс и выбор режимов работы, но они не рассматриваются в примере и, следовательно, соответствующие компоненты не показаны на принципиальных схемах рисунков E.2 и E.3.

Рисунок E.2 — Автоматическая сборочная машина — принципиальная электрическая схема

Рисунок E.3 — Автоматическая сборочная машина — схема пневматической цепи

E.4 Проект SRP/CS

E.4.1 Общие положения

Система управления для примера была реализована с использованием комбинации электромеханических, электронных и пневматических технологий.

Для достижения PLr для SF 1 и SF 2 была выбрана категория 3. Поэтому для всех электрических и пневматических частей, связанных с этими функциями безопасности, была принята разнотипная резервная и контролируемая структура (см. рисунки E.2 и E.3).

Для достижения PLr для SF 3 было выбрано сочетание категорий 2 и 3.

Сигналы от датчиков и механизмов управления (переключатели положения защитной блокировки, кнопка удержания) были продублированы и подключены к двум разным PLC (разные аппаратные средства для PLC A и PLC B), которые обрабатывают их с помощью специальных программных функциональных блоков (SRASW). Каждый PLC также управляет как инвертором поворотного стола, так и исполнительными механизмами машины с пневматическим приводом через пути переключения, которые не зависят от путей переключения других PLC.

В целях диагностики (перекрестного мониторинга) и синхронизации, два PLC взаимодействуют друг с другом через стандартную шину данных.

Конкретный инвертор в этом примере имеет дополнительное средство (внутреннее реле) для отключения сигналов управления силовыми полупроводниковыми приборами (импульсная блокировка), что можно рассматривать как второй путь отключения [безопасное отключение крутящего момента (STO) в соответствии с IEC 61800-5-2].

Эта функция блокировки импульсов не приводит к быстрой остановке вращающегося двигателя, поскольку отключение инверторного управления двигателем вызывает неконтролируемое замедление. Однако в этом примере блокировка импульсов по-прежнему приводит к остановке поворотного стола до того, как оператор сможет получить доступ к опасной зоне, поэтому контролируемое замедление до состояния покоя, которое обычно предшествует блокировке импульсов, не является обязательной характеристикой SF 1.0.

В пневматической цепи подача воздуха к каждому из приводов машины (A1, A2 и A3) управляется моностабильным 5/2-ходовым направляющим клапаном (1V1, 2V1 и 3V1) электромагнитного типа с пилотным управлением. Импульсный воздух для всех трех клапанов переключается дополнительным клапаном (1V0) того же типа, который обеспечивает резервный канал управления. Состояние этого выпускного клапана контролируется реле давления (1S0). Подача воздуха для A2 осуществляется из основного источника воздуха, а для A1 и A3 — из источника импульсного воздуха (1V0).

Обесточивание приводной камеры от подвижного цилиндра A1 при проникновении в рабочее пространство обеспечивается также двумя каналами:

• стравливания воздуха через 1V1 переключением в нормальное положение;
• обесточивания через 1V0 переключением в нормальное положение. Состояние 1V1 контролируется концевым выключателем (1S2).

Обратный клапан с пилотным управлением (2V2), который также забирает импульсный воздух из 1V0, предусмотрен в нижнем соединении A2 (вертикально установленный бесштоковый пневматический цилиндр). Это обеспечивает резервный канал для остановки движения вниз и удержания привода машины в его основном (верхнем) положении.

Состояние 2V1 контролируется концевым выключателем (2S2).

Подача воздуха для пневматического двигателя A3 (блок шуруповерта) осуществляется из источника импульсного воздуха (1V0), а не из основного источника воздуха. Такое использование 1V0 в дополнение к 3V1 для отключения подачи воздуха к A3 обеспечивает резервный канал управления, который гарантирует, что A3 не будет продолжать вращаться, если 3V1 выйдет из строя во включенном положении. Состояние 3V1 контролируется датчиком давления (3S1), который выдает аналоговый выходной сигнал.

В соответствии с 3 категорией учитываются основные и испытанные принципы безопасности, а также выполняются требования категории B. В частности, требования стандартов IEC 60204 1 и ISO 4414.

Атрибуты компонентов, реализующих SRP/CS, подробно объясняются в таблице E.2.

Таблица E.2

Атрибуты компонентов, реализующих SRP/CS (список деталей на рисунках E.2 и E.3)

E.4.1 Функция безопасности SF 1 — остановка, связанная с безопасностью, инициируемая открытием защитного ограждения, и предотвращение неожиданного пуска всякий раз, когда защитное ограждение открыто

В соответствии со спецификацией машины, открытие защитного ограждения должно инициировать остановку четырех приводов станка: (i) поворотного стола (приводимого в движение двигателем с инверторным управлением), (ii) цилиндра вставки шарика, (iii) цилиндра вставки винта и (iv) блок шуруповерта. Таким образом, эта функция может быть представлена, как показано на рисунке E.4.

Рисунок E.4 — Функциональные блоки — SF 1.0, SF 1.1, SF 1.2 и SF 1.3

Когда защитное ограждение открывается, PLC A инициирует остановку поворотного стола, подавая сигнал остановки на инвертор (T1a). PLC B отслеживает результирующее замедление поворотного стола с помощью G2, и когда он обнаруживает, что он достиг полной остановки, он обесточивает K1, чтобы инициировать блокировку импульсов на инверторе (T1b). Если поворотный стол не останавливается из-за ошибки в T1a или PLC A, то PLC B обнаружит эту ошибку и подаст собственный сигнал остановки на инвертор (T1b). Это второй независимый канал для функции остановки. Точно также выполняется часть функции безопасности, связанная с предотвращением неожиданного пуска.

Открытие защитного ограждения также приводит к тому, что PLC A инициирует первую остановку цилиндра вставки шарика, цилиндра вставки винта и блока шуруповерта путем обесточивания 1V1, 2V1 и 3V1. PLC B инициирует вторую остановку этих трех исполнительных механизмов путем обесточивания 1V0.

Если поворотный стол уже остановлен, но рабочие станции для вставки шариков и фиксации винтов работают, когда защитное ограждение открыто, то PLC A немедленно обесточит 1V1, 2V1 и 3V1, а PLC B немедленно обесточит K1. PLC B также обесточит 1V0 после задержки, чтобы позволить цилиндру вставки шарика (A1) завершить свое перемещение во отведенное положение.

Пока защитное ограждение находится в открытом положении, необходимо убедиться, что неисправность на пути включения PLC A не приведет к неконтролируемому пуску. Это достигается действием PLC B, обесточивающим K1, как только двигатель поворотного стола останавливается, а также обесточивающим 1V0, чтобы предотвратить запуск цилиндра вставки шарика или цилиндра вставки винта.

Оценка PL для SRP/CS, выполняющих SF 1, выполнялась следующим образом:

a) Идентификация элементов безопасности

Элементы безопасности функции остановки SF 1.0 и их разделение на каналы можно проиллюстрировать блок-схемой функции безопасности, показанной на рисунке E.5.

Рисунок E.5 — Блок-схема функции безопасности — SF 1.0

Точно также элементы безопасности функций остановки SF 1.1, SF 1.2 и SF 1.3 и их разделение на каналы можно проиллюстрировать блок-схемой функции безопасности, показанной на рисунке E.6.

<*> SF 1.1 <> SF 1.2 <*> SF 1.3

Рисунок E.6 — Блок-схема функции безопасности — SF 1.1, SF 1.2 и SF 1.3

Каждая из двух частей схем на рисунках E.5 и E.6 может быть сопоставлена с назначенной архитектурой для категории 3, поэтому схемы могут быть упрощены как две SRP/CS (вход, логика/выход), показаны на рисунке E.7.

Рисунок E.7 — Комбинация SRP/CS, выполняющих функции безопасности

Для каждого SRP/CS, PL был оценен с применением упрощенной процедуры, описанной в ISO 13849-1:2006, 4.5.4.

b) Оценка MTTFd каждого канала

Для оценки значений MTTFd компонентов использовались данные о надежности, предоставленные производителями.

Для оценки MTTFd канала был применен метод подсчета частей (см. ISO 13849-1:2006, приложение D). Разнотипная резервная структура приводит к разным значениям MTTFd для каждого канала, поэтому применение уравнения симметризации дает средний результат 25 лет (средний) для MTTFd каждого канала как SRP/CSi, так и SRP/CSI/o SF 1.0, SF 1.1, SF 1.2 и SF 1.3 (см. ISO 13849-1:2006, D.2).

c) Оценка DCavg

DCavg был рассчитан как для SRP/CS на основе DC внутреннего теста, так и по способам мониторинга, применяемым к различным компонентам.

Проверка правдоподобия защитных блокирующих переключателей B1 и B2 с помощью PLC A и PLC B в соответствии с ISO 13849-1:2006, приложение E, приводит к высокому значению DCavg (99%) для SRP/CS i SF 1.0, SF 1.1, SF 1.2 и SF 1.3.

В SRP/CSI/o SF 1.0, SF 1.1, SF 1.2 и SF 1.3 предусмотрены следующие диагностические мероприятия:

• контроль контактора реле K1 с помощью SF A по положению контактов K1;
• перекрестный мониторинг между SF A и SF B;
• косвенный мониторинг T1a и PLC A с помощью PLC B через G2;
• косвенный контроль самой платы выхода SF A через 1S2, 2S2, 3S1 и G1;
• контроль выполнения программы внутренним «сторожевым» устройством в PLC A и PLC B;
• косвенный мониторинг T1a с помощью PLC от A до G1;
• контроль T1b PLC A по положению контакта реле блокировки импульсов;
• косвенный контроль PLC B со стороны PLC A через положение контактов K1;
• косвенный контроль платы выхода PLC B через 1S0;
• косвенный контроль 1V1 с помощью PLC A через 1S2;
• косвенный контроль 2V1 с помощью PLC A через 2S2;
• косвенный контроль 3V1 с помощью PLC A через 3S1;
• косвенный контроль 1V0 с помощью PLC B через 1S0;
• обнаружение неисправностей PLC A, T1a и 1V1, 2V1 и 3V1 посредством наблюдения за процессом.

В соответствии с ISO 13849-1:2006, приложение E, эти диагностические меры обеспечивают DCavg средний результат (90%) для SRP/CSL/O SF 1.0, SF 1.1, SF 1.2 и SF 1.3.

d) Оценка мер против отказа по общей причине (CCF)

Подсчитано, что были приняты адекватные меры против отказов по общей причине (разделение, разнообразие, защита от избыточного давления, воздействия окружающей среды) для обоих SRP/CS SF 1.0, SF 1.1, SF 1.2 и SF 1.3, что в соответствии с ISO 13849-1:2006, приложение F дает 75 баллов за каждый SRP/CS.

e) Определение PL для каждого SRP/CS

PL для каждого SRP/CS определяется следующим образом:

• SRP/CSI SF 1.0, SF 1.1, SF 1.2 и SF ₁.3:
• категория 3;
• среднее MTTFd каждого канала;
• высокий DCavg;
• 75 баллов за меры против CCF.

Применение этих значений к ISO 13849-1:2006, Рисунок 5, но с ограничением DCavg средним значением (категория 3), дает результат PL d.

• SRP/CSL/O SF 1.0, SF 1.1, SF 1.2 и SF 1.3:
• категория 3;
• среднее MTTFd каждого канала;
• средний DCavg;
• 75 баллов за меры против CCF.

Применение этих значений к ISO 13849-1:2006, рисунок 5, дает результат PL d.

f) Определение PL для комбинации SRP/CS, выполняющих SF 1.0, SF 1.1, SF 1.2 и SF 1.3.

Согласно ISO 13849-1:2006, 6.3, и принимая во внимание, что отдельные SRP/CS для SF 1.0, SF 1.1, SF 1.2 и SF 1.3 имеют одинаковые значения PL, PL общей комбинации SRP/CS для SF 1.0, SF 1.1, SF 1.2 и SF 1.3 определяется следующим образом:

PLiow = d

Mow = 2

Таким образом, PL для комбинации SRP/CS для каждого из SF 1.0, SF 1.1, SF 1.2 и SF 1.3 равен PL d.

Примечание - Расчет результирующего PL путем сложения значений PFH всех подсистем приведет к более точному результату.

g) Систематические отказы

Подсчитано, что к SRP/CS для SF 1.0, SF 1.₁, SF 1.2 и SF 1.₃ были применены адекватные меры против систематических отказов в соответствии с ISO 13849-1:2006, приложение G.

E.4.2 Функция безопасности SF 2 — безопасное ограничение скорости (SLS)

Когда машина находится в режиме настройки и защитное ограждение находится в открытом положении, поворотный стол может двигаться только с безопасно ограниченной скоростью (SLS), которая измеряется как G1, так и G2. PLC A отслеживает сигнал от G1, а PLC B отслеживает сигнал от G2, при этом оба PLC независимо выполняют сравнение желаемой и фактической скорости. Если скорость не была успешно снижена до предельного значения инвертором T1a, то PLC A может отреагировать, подав сигнал остановки на инвертор (T1a), а PLC B может отреагировать, активировав блокировку импульсов с задержкой на инверторе (T1b) через K1.

a) Идентификация элементов безопасности

Элементы функции безопасности SF 2 и ее разделение на каналы можно проиллюстрировать блок-схемой функции безопасности, показанной на рисунке E.8.

Рисунок E.8 — Блок-схема функции безопасности — SF 2

Для SRP/CS, PL был оценен с применением упрощенной процедуры, описанной в ISO 13849-1:2006, 4.5.4.

Схему можно сопоставить с назначенной архитектурой для категории 3, чтобы функция безопасности выполнялась одним SRP/CS, как показано на рисунке E.9.

Рисунок E.9 — SRP/CS, выполняющие функцию безопасности SF 2

Для SRP/CS, PL был оценен с применением упрощенной процедуры, описанной в ISO 13849-1:2006, 4.5.4.

b) Оценка MTTFd каждого канала

Для оценки значений MTTFd компонентов использовались данные о надежности, предоставленные производителями.

Для оценки MTTFd канала был применен метод подсчета частей (см. ISO 13849-1:2006, приложение D). Разнотипная резервная структура приводит к неодинаковым значениям MTTFd для каждого канала, поэтому применение уравнения симметрирования дает средний результат среднего MTTFd (более 25 лет) для каждого канала SRP/CS.

c) Оценка DCavg

DCavg был рассчитан для SRP/CS на основе DC внутренних испытаний и мер мониторинга, применяемых к различным компонентам.

Предусмотрены следующие диагностические мероприятия:

• контроль контактора реле K1 с помощью PLC A по положению контактов K1;
• перекрестный мониторинг между SF A и SF B;
• косвенный контроль G1, T1a и PLC A с помощью PLC B через G2;
• контроль T1b PLC A по положению контакта реле блокировки импульсов;
• контроль выполнения программы внутренним «сторожевым» устройством в PLC A и PLC B;
• косвенный контроль G2 и PLC B со стороны PLC A через положение контактов K1;
• мониторинг G1 с помощью PLC A;
• мониторинг G1 и T1a (правдоподобие информации sin/cos);
• контроль G2 PLC B (после нажатия S4 PLC B проверяет наличие импульсов от G2, если их нет, PLC B останавливает T1b).

Согласно ISO 13849-1:2006, приложение E, эти диагностические меры обеспечивают средний результат DCavg (90%) для SRP/CS.

d) Оценка мер против отказа по общей причине (CCF)

Подсчитано, что для SRP/CS были приняты адекватные меры против отказа по общей причине (разделение, разнообразие, защита от избыточного давления, воздействия окружающей среды), что в соответствии с ISO 13849-1:2006, приложение F, приводит к оценке 75 баллов по SRP/CS.

e) Определение PL для SRP/CS

PL для SRP/CS определяется следующим образом:

• категория 3;
• среднее MTTFd каждого канала;
• средний DCavg;
• 75 баллов за меры против CCF.

Применение этих значений к ISO 13849-1:2006, рисунок 5, но с ограничением DCavg средним значением (категория 3), дает результат PL d.

f) Систематические отказы

Подсчитано, что адекватные меры против систематических отказов были применены к SRP/CS в соответствии с ISO 13849-1:2006, приложение G.

E.4.3 Функция безопасности SF 3 — режим автоматического возврата в исходное состояние

Движение поворотного стола (с безопасно ограниченной скоростью) с открытым защитным ограждением начинается и продолжается, пока нажата кнопка S4, и останавливается, когда кнопку отпускают. Когда кнопка находится в отпущенном положении, необходимо предотвратить неожиданный запуск. Сигнал от кнопки S4 обрабатывается обоими PLC.

a) Идентификация элементов безопасности

Элементы функции безопасности SF 3 и их разделение на каналы можно проиллюстрировать с помощью блок-схемы функции безопасности, показанной на рисунке E.10.

Рисунок E.10 — Блок-схема функции безопасности — SF 3

Каждая из двух частей схемы может быть сопоставлена с назначенной архитектурой для категории 1 и категории 3, поэтому схему можно упростить как две SRP/CS (вход, логика/выход), показанные на рисунке E.11.

Рисунок E.11 — Комбинация SRP/CS, выполняющая функцию безопасности SF 3

Для каждого SRP/CS был оценен PL с применением упрощенной процедуры, описанной в ISO 13849-1:2006, 4.5.4.

b) Оценка MTTFd каждого канала

MTTFd для SRP/CSi (кнопка удержания и запуска) рассчитывается с использованием значения производителя #10d, что дает результат высокого MTTFd.

Оценка MTTFd SRP/CSI/o дает, как и SRP/CSI/o SF 1.0, средний результат 25 лет (средний) для MTTFd (более 25 лет) каждого канала.

c) Оценка DCavg

DCavg был рассчитан как для SRP/CS, так и для SRP/CS, исходя из DC внутреннего теста и мер мониторинга, выполненных на различных компонентах.

Мониторинг времени удержания кнопки S4 (чередование низкого и высокого уровня в окне временных рамок) с помощью PLC A и PLC B в соответствии с ISO 13849-1:2006, приложение E, приводит к низкому DCavg (75%) для SRP/CSI.

Меры мониторинга в соответствии с SRP/CSI/o SF 1.0 предусмотрены в SRP/CSI/O SF 3, что приводит к среднему значению постоянного тока (90%) для SRP/CSL/O.

d) Оценка мер против отказа по общей причине (CCF)

Подсчитано, что для каждого SRP/CS были предприняты адекватные меры против отказа по общей причине (разделение, разнесение, защита от перенапряжения, окружающая среда), что, согласно ISO 13849-1:2006, приложение F, приводит к оценке 75 баллов для обоих SRP/CS.

e) Определение PL для каждого SRP/CS

PL для каждого SRP/CS определяется следующим образом:

• SRP/CSI:
• Категория 1;
• Высокий MTTFd канала.

Применение этих значений к ISO 13849-1:2006, рисунок 5, дает результат PL c.

• SRP/CSI/o:
• Категория 3;
• Среднее MTTFd каждого канала;
• Средний DCavg;
• 75 баллов за меры против CCF.

Применение этих значений к ISO 13849-1:2006, рисунок 5, дает результат PL d.

f) Определение PL комбинации SRP/CS, выполняющей SF 3

Согласно ISO 13849-1:2006, 6.3, и принимая во внимание как SRP/CS SF 3, PL общей комбинации SRP/CS определяется следующим образом:

PLlow = c;

Mow = 1.

Таким образом, PL для комбинации SRP/CS SF 3 является PL c.

g) Систематические отказы

Подсчитано, что для SRP/CS SF 3 были приняты адекватные меры против систематических отказов в соответствии с ISO 13849-1:2006, приложение G.

E.5 Валидация

E.5.1 Общие положения

Как указано в E.1, пример был сведен к валидации поведения при неисправности и средствам диагностики функций безопасности SF 1.0 и SF 1.3.

В соответствии с ₉.2 и 9.3, валидация поведения при неисправности и средств диагностики выполняется путем рассмотрения проектной документации, анализа отказов и дополнительных испытаний с вводом отказа.

Выполняются следующие шаги:

a) Определить диагностические меры и устройства (компоненты, блоки), которые они проверяют/контролируют.

b) Проверить значение DC, присвоенное каждому диагностическому показателю (DC) для конкретного устройства.

c) Проанализировать поведение системы при сбоях и определите тестовые примеры.

d) Проверить правильность расчета DCavg для каждого SRP/CS.

e) Провести необходимые тесты для подтверждения значений DC.

E.5.2 Валидация поведения при неисправности и Dcavg

Проверка проектной документации (блок-схема безопасности и перечень мероприятий по диагностике SRP/CS) подтверждает, что блоки (компоненты), относящиеся к каждому SRP/CS и комбинации SRP/CS на блок-схемах безопасности, диагностические мероприятия и контролируемые устройства, принятые в обосновании проекта, верны для всех функций безопасности.

FMEA используется для проверки значений DC, назначенных каждому контролируемому устройству каждого SRP/CS, а также поведения системы в случае неисправности.

Поскольку функция безопасности SF 1 должна выполнять как безопасную остановку, так и последующее предотвращение неожиданного пуска, анализ неисправностей для каждого связанного компонента рассматривается в отдельной строке для каждого из этих требований.

Для анализа использовались соответствующие списки неисправностей, приведенные в приложениях A, B, C и D. Теперь рассматривается FMEA для функций безопасности SF 1.0 и SF 1.3, включая тестовые примеры.

E.5.₃ FMEA и DCavg для SF 1.0 и SF 1.3

E.5.3.1 SF 1.0

Для того, чтобы облегчить анализ SF 1.0, его блок-схема функции безопасности воспроизведена на рисунке E.12.

Рисунок E.12 — Блок-схема функции безопасности — SF 1.0

См. таблицы E.3 и E.4.

Из анализа можно сделать вывод, что любые одиночные неисправности в SRP/CSi будут обнаружены либо немедленно, либо при следующем запросе функции безопасности. При возникновении одиночной неисправности всегда выполняется функция безопасности и предотвращается повторный запуск.

В результате анализа считается, что принятые значения DC (высокий) при конструировании для B1 и B2 являются адекватными. Поскольку DC обоих компонентов одинаков (99%), DCavg SRP/CSi высок (99%), как и предполагалось при конструировании.

Эти характеристики типичны для категории 3, выбранной при конструировании (см. E.4.1) для того, чтобы соответствовать спецификации требований безопасности, приведенной в E.3 (PLr).

Для проверки правильности выполнения диагностических мероприятий могут применяться тесты, описанные в последнем столбце таблицы E.3.

Таблица E.3

FMEA и оценка DC для компонентов SRP/CSI SF 1.0

Таблица E.4

FMEA и оценка DC компонентов для SRP/CSL/O SF 1.0

Из анализа можно сделать вывод, что одиночные неисправности в SRP/CS будут обнаруживаться либо сразу, либо при оперативной остановке электродвигателя M1, либо при следующем запросе на функцию безопасности. При возникновении одиночной неисправности всегда выполняется функция безопасности. Повторный запуск возможен только с одним каналом в случае необнаруженной неисправности в PLC A и PLC B.

Анализ определяет, что значения DC, принятые при конструировании SRP/CSI/o, являются адекватными. Принимая во внимание расчетные значения MTTFd и значения DC для различных компонентов, используемых в SRP/CSI/o, достигается среднее значение DC среднего (90%), как и предполагалось при конструировании.

Эти характеристики типичны для категории 3, выбранной при конструировании (см. E.4.1) для того, чтобы соответствовать спецификации требований безопасности, приведенной в E.3 (PLr).

Для проверки правильности выполнения диагностических мероприятий могут применяться тесты, описанные в последнем столбце таблицы E.4.

E.5.3.2 SF 1.3

Чтобы облегчить анализ SF 1.3, его блок-схема функции безопасности воспроизведена на рисунке E.13.

Рисунок E.13 — Блок-схема функции безопасности для SF 1.3

Для SRP/CSi из SF 1.3, диагностические меры и проверенные/отслеживаемые устройства идентичны таковым для SF 1.0, поэтому DCavg SRP/CSI также высок (99%).

См. таблицу E.5.

Таблица E.5

FMEA SRP/CSL/O SF 1.3

Из анализа можно сделать вывод, что большинство одиночных отказов в SRP/CS будут обнаружены либо немедленно, либо при рабочей остановке пневматического двигателя A3, либо при следующем запросе функции безопасности. При возникновении одиночной неисправности всегда выполняется функция безопасности. Повторный запуск возможен только с одним каналом в случае необнаруженной неисправности в PLC A и PLC B.

Анализ определяет, что значения DC, принятые при конструировании SRP/CSI/o, являются адекватными. Принимая во внимание расчетные значения MTTFd и значения DC для различных компонентов, используемых в SRP/CSI/o, достигается среднее значение DC среднего (90%), как и предполагалось при конструировании.

Эти характеристики типичны для категории 3, выбранной при конструировании (см. E.4.1) для того, чтобы соответствовать спецификации требований безопасности, приведенной в E.3 (PLr).

Для проверки правильности выполнения диагностических мероприятий могут применяться тесты, описанные в последнем столбце таблицы E.5.

Приложение ДА (справочное)

СВЕДЕНИЯ О СООТВЕТСТВИИ ССЫЛОЧНЫХ МЕЖДУНАРОДНЫХ СТАНДАРТОВ МЕЖГОСУДАРСТВЕННЫМ СТАНДАРТАМ

Таблица ДА.1

БИБЛИОГРАФИЯ

<1> JEDEC Solid State Technology Association, 2500 Wilson Boulevard, Arlington, VA 22201-3834, www.jedec.org/download/search/22a1121-01.pdf