ГОСТ Р 55544—201З
Л
ЕС/TR 80002-1:2009
Совместное использование переменных разными ПРОГРАММНЫМИ Э
Л
ЕМЕНТАМИ должно быть миними
зировано. Если это необходимо, правила должны быть доведены до сведения всех инженеров, чтобы
убедиться, что совместно используемые переменные изменяются только небольшим количеством опреде
ленных ПРОГРАММНЫХ Э
Л
ЕМЕНТОВ и что другие ПРОГРАММНЫЕ Э
Л
ЕМЕНТЫ только читают общие
переменные, не изменяя их.
Самая строгая форма разделения состоит в выполнении ПРОГРАММНЫХ Э
Л
ЕМЕНТОВ, которые не
должны взаимодействовать на отдельных процессорах. Однако проработанный архитектурный дизайн, как
рекомендуется выше, может обеспечить необходимую степень разделения на одном процессоре.
Испытания СИСТЕМ влабораторных условиях могутопределить достаточные физические и времен
ные ресурсы в отношении проводимых испытуемых случаев (условий), вто время как загрузка приложений
или исполнение программно-аппаратной среды (другие ПРОЦЕССЫ, выполняемые втом же самом блоке)
в реальных практических условиях вызывают отказ программного обеспечения, который приводит к
ВРЕДУ.
С другой стороны, когда конкретные испытания в лаборатории действительно показывают, что
существует низкая производительность и принимаются недопустимые меры для ускорения работы
программного обеспечения, то эти меры, возможно, могут привести к нарушению конструкции и добавляют
другие РИСКИ посредством непредвиденных побочныхэффектов.
Эффективное разделениедолжнодемонстрировать, что при нормальной работе:
a) искажение потокаданных предотвращено: неСВЯЗАННЫЕ С БЕЗОПАСНОСТЬЮ ПРОГРАММНЫЕ
Э
Л
ЕМЕНТЫ не могут изменять СВЯЗАННЫЕ С БЕЗОПАСНОСТЬЮ данные;
b
)предотвращено изменение управляющего потокаданных:
1) СВЯЗАННЫЕ С БЕЗОПАСНОСТЬЮ функции всегда могут выполняться в нужное время без воз
действия на них не СВЯЗАННЫХ С БЕЗОПАСНОСТЬЮ ПРОГРАММНЫХ Э
Л
ЕМЕНТОВ;
2) не СВЯЗАННЫЕ С БЕЗОПАСНОСТЬЮ ПРОГРАММНЫЕ Э
Л
ЕМЕНТЫ не могут изменять СВЯЗАН
НЫЕ С БЕЗОПАСНОСТЬЮ ПРОГРАММНЫЕ Э
Л
ЕМЕНТЫ;
c) предотвращено искажение программной средой выполнения; частей ПРОГРАММНОЙ СИСТЕМЫ,
использующей как СВЯЗАННЫЕ С БЕЗОПАСНОСТЬЮ, так и не СВЯЗАННЫЕ С БЕЗОПАСНОСТЬЮ
Э
Л
ЕМЕНТЫ (например, регистры процессора, регистры изделия и привилегии доступа к памяти).
События, которые вызывают любое из упомянутых выше нарушений, например, отказ аппаратных
средств,должны быть обнаружены и должны понуждать СИСТЕМУ к необходимым действиям для обеспе
чения сохранения БЕЗОПАСНОСТИ.
6.2.2.3 Подробности о защитных мерах
Во многих случаях нецелесообразно избегать всех ОПАСНОСТЕЙ путем создания изначально безо
пасной конструкции или обеспечивать отказоустойчивость в отношении всех возможных отказов. Следую
щим наилучшим подходом к управлению потенциальной ОПАСНОСТЬЮ в таких случаях являются защит
ные меры. Как правило, эти меры функционируют путем обнаружения потенциально ОПАСНОЙ СИТУА
ЦИИ. Далее эти меры либо инициируют вмешательстводля смягчения последствий автоматически, либо
генерируют тревожное сообщение для возможности вмешательства пользователя.
Например, терапевтическая рентгеновская СИСТЕМА может иметь блокирующую СИСТЕМУ,
использующую программнуюлогику или аппаратныесредства которые блокируют лучевой генератор, если
какая-нибудь из соответствующих дверей открыта. Блокирующая функция в терапии не играет никакой
роли. Ее единственная цель состоит в том, чтобы смягчить ВРЕД от непреднамеренного облучения.
В некоторых случаях (например, когда потеря функциональности МЕДИЦИНСКОГО ИЗДЕ
Л
ИЯ не
означает ОПАСНОСТИ) БЕЗОПАСНОСТЬ можетдостигаться за счет назначения требуемогодействия.
Например, отказ лабораторного анализатора крови может в некоторых случаях не быть опасным из-за
отсутствия результата, но при этом существует возможность получения неверного результата. В этом
примере отключение анализатора вместо продолжения работы, когда защитные программные проверки
показывают неожиданные ошибки, уменьшает РИСКИ. В отказоустойчивой АРХИТЕКТУРЕ отказ
СИСТЕМЫ или ее компонента или другое опасное условие могут привести к потере функции, но таким
способом, который сохраняет БЕЗОПАСНОСТЬ операторов и пациентов. В случае сбоев операционной
СИСТЕМЫ она может продолжать работать безопасно, но с ухудшенными эксплуатационными характери
стиками (например, со снижением производительности или времени отклика).
6.2.2.4 Незамедлительное оповещение и предотвращение ОПАСНЫХ СИТУАЦИЙ
Важным классом мер по УПРАВ
Л
ЕНИЮ РИСКОМ является тот, который увеличивает вероятность
предотвращения ОПАСНОЙ СИТУАЦИИ.
26