ГОСТ Р МЭК 61508-2— 2012
подсистемы. Любые исключения ошибок должны быть обоснованы и документально оформлены (см.
примечание 3).
П р и м е ч а н и я
1 Для получения достаточно отказоустойчивой архитектуры с учетом уровня сложности элемента и подсисте
мы используют ограничения на полноту безопасности аппаратных средств (см. 7.4.4.1.1 и 7.4.4.1.2). Самым высоким
допустимым уровнем полноты безопасности для функции безопасности, реализуемой ЭУЭ/ПЭ системой, связанной
с безопасностью, полученным в результате применения требований настоящего подпункта, является максималь
ный уровень из заявленных для функции безопасности, хотя в некоторых случаях расчеты надежности показывают,
что может быть достигнут более высокий уровень полноты безопасности. Следует также отметить, что даже
если отказоустойчивость аппаратных средств достигнута для всех подсистем, необходимо выполнить расчет
надежности, чтобы продемонстрировать, что заданная целевая мера отказов достигнута, так как для выполнения
требований про екта может потребоваться, чтобы отказоустойчивость аппаратных средств была увеличена.
2 Требования отказоустойчивости аппаратных средств применяют к архитектуре подсистемы, которая ис
пользуется при нормальных условиях эксплуатации. Требования отказоустойчивости к аппаратным средствам мо гут
быть снижены, если Э/Э/ПЭ система, связанная с безопасностью, восстанавливается автономно. Однако клю чевые
параметры, связанные с любым снижениям требований, должны быть предварительно оценены (например, оценка
среднего времени восстановления по отношению к вероятности запроса).
3 Некоторые ошибки могут быть исключены, так как если некоторый элемент системы имеет очень низкую
вероятность отказа благодаря присущим ему свойствам и конструкции (например, механический соединитель при
вода). то нет необходимости рассматривать ограничение (связанное с отказоустойчивостью аппаратных средств)
полноты безопасности любой функции безопасности, для реализации которой используется этот элемент.
4 Выбор дальнейших шагов зависит от области применения и для выбора способа необходимо учитывать:
- безопасный отказ одной функции гложет создать новую опасность или стать дополнительной причиной
для су шествующей опасности;
- резервирование не может быть реализовано для всех функций;
- ремонт не всегда возможен или быстро осуществим (например, не представляется возможным его прове
сти за период времени, который существенно меньше интервала времени между тестовыми испытаниями).
5 Специальные требования к архитектуре ИС с избыточностью схем на кристалле приведены в приложении Е.
7.4.4.1.2 Элемент может быть отнесен к типу А. если для его компонентов, необходимых для ре
ализации функции безопасности, одновременно выполняются следующие условия:
a) виды отказов всех составляющих компонентов определены;
b
) поведение элемента в условиях отказа может быть полностью определено:
c) данные о претензиях по поводу интенсивности отказов для обнаруженных и необнаруженных
опасных отказов недостаточно надежны (см. 7.4.9.3—7.4.9.5).
7.4.4.1.3 Элемент может быть отнесен к типу В. если для его компонентов, необходимых для ре
ализации функции безопасности, выполняется хотя бы одно из следующих условий:
a) вид отказа по крайней мере одного составляющего компонента не определен;
b
) поведение подсистемы в условиях отказа не может быть полностью определено;
c) данные о претензиях по поводу интенсивности отказов для обнаруженных и необнаруженных
опасных отказов недостаточно надежны (см. 7.4.9.3—7.4.Э.5).
П р и м е ч а н и е — Если по крайней мере один из компонентов конкретного элемента соответствует усло
виям для типа В, то такой элемент должен быть отнесен к типу В. а не к типу А.
7.4.4.1.4 При оценке доли безопасных отказов элемента, предназначенного для использования
в подсистеме с отказоустойчивостью аппаратных средств равной нулю, которая выполняет функцию без
опасности или часть функции безопасности, действующей в режиме высокой частоты запросов или с не
прерывными запросами, доверие (предпочтение) должно быть отдано только диагностике, если:
- суммарное время диагностического испытательного интервала и времени выполнения опреде
ленного действия для достижения или поддержания безопасного состояния было меньше времени
безопасности процесса или
- при работе в режиме высокой частоты запросов отношение частоты диагностических испытаний
к частоте запросов равно или превышает
100
.
7.4.4.1.5 При оценке доли безопасных отказов элемента, который имеет отказоустойчивость ап
паратных средств больше нуля и который выполняет функцию безопасности или часть функции без
опасности, действуя в режиме высокой частоты запросов или с непрерывными запросами, или вы
полняет функцию безопасности или часть функции безопасности, работая в режиме с низкой частотой
запросов, доверие (предпочтение) должно быть отдано только диагностике, если суммарное время
диагностического испытательного интервала и время выполнения ремонта обнаруженного отказа будет
16