ГОСТ IEC 60335-1—2015
Приложение R
(обязательное)
Оценка программного обеспечения
Программируемые электронные цепи, требующие программного обеспечения, включающего средства кон
троля состояний отказа/ошибки, указанных втаблицах R.1 или R.2, должны пройти процедуру валидации всоответ
ствии стребованиями настоящего приложения.
П р и м е ч а н и е — таблицы R.1 и R.2 основаны на таблице Н.11.12.7 IEC 60730-1. Таблица Н.11.12.7 для
целей настоящего приложения разбита на две таблицы R.1 и R.2, таблица R.1 используется для общих состояний
отказов/ошибок, а таблица R.2 — для специфических состояний отказов/ошибок.
R.1 Программируемые электронные цепи, использующие программное обеспечение
Программируемые электронные цепи, требующие программного обеспечения, включающего средства кон
троля состояний отказа/ошибки, указанных втаблицах R.1 или R.2, должны быть сконструированы таким образом,
чтобы программное обеспечение не снижало соответствие требованиям настоящего стандарта.
Соответствие проверяют осмотром, испытаниями и анализом документов в соответствии с требо
ванияминастоящегоприложения.
R.2 Требования по архитектуре
R.2.1 Общие положения
Программируемые электронные цепи, требующие программного обеспечения, включающего средства кон
троля состояний отказа/ошибки, указанных в таблицах R.1 или R.2, должны использовать средства для контроля
и предотвращения отказов/ошибок, связанных с программным обеспечением, в данных и сегментах кода, относя
щихся к безопасности.
Соответствие проверяют осмотром ииспытаниямипо R.2.2-R.3.3.3 включительно.
R.2.1.1 Программируемые электронные цепи, требующие программного обеспечения, включающего сред
ства контроля состояний отказа/ошибки, указанных в таблице R.2, должны иметь одну из следующих архитектур:
- одноканальную с периодической самопроверкой и контролем (см. IEC 60730-1, Н.2.16.7);
- двухканальную (однотипную) со сравнением (см. IEC 60730-1, Н.2.16.3);
- двухканальную (разнотипную) со сравнением (см. IEC 60730-1, Н.2.16.2).
Примечание1 — Сравнение вдвухканальных архитектурах можно выполнять:
- с использованием компаратора (см. IEC 60730-1, И.2.18.3);
- или методом взаимного сравнения (см. IEC 60730-1, Н.2.18.15).
Программируемые электронные цепи, требующие программного обеспечения, включающего средства кон
троля состояний отказа/ошибки, указанных в таблице R.1, должны иметь одну из следующих архитектур:
- одноканальную с функциональной проверкой (см. IEC 60730-1, Н.2.16.5);
- одноканальную с периодической самопроверкой (см. IEC 60730-1, Н.2.16.6);
- двухканальную без сравнения (см. IEC 60730-1, Н.2.16.1).
Примечание2 — Программные архитектуры, содержащие средства для контроля состояний отказов/оши
бок, указанных в таблице R.2, также допустимы для программируемых электронных цепей с функциями, требую
щими программных средств для контроля состояний отказов/ошибок, указанных в таблице R.1.
Соответствие проверяют осмотром ииспытаниямипрограммной архитектурыпо R.3.2.2.
R.2.2 Средства для контроля состояний отказа/ошибки
R.2.2.1 Если используется подход «избыточная память со сравнением» на базе двух областей одного и того
же компонента, то формат хранения данных в одной области должен отличаться от формата хранения во второй
области (смотри диверсификацию программного обеспечения, IEC 60730-1, Н.2.18.19).
Соответствие проверяют анализом исходного текста программы.
R.2.2.2 Программируемые электронные цепи с функциями требующими программного обеспечения, вклю
чающего средства контроля состояний отказа/ошибки, указанные в таблице R.2, и имеющие двухканальную архи
тектуру со сравнением должны использовать дополнительные методы определения повреждений/ошибок (такие
как периодическая функциональная проверка, периодическая самопроверка или независимый контроль), не обна
руживаемых сравнением.
Соответствие проверяют анализом исходного текста программы.
117