【国家标准】 可编程序控制器 第6部分：功能安全

ICS 25.040.40 N 18 GB 中华人民共和国国家标准 GB/T 15969.6—2015/IEC 61131-6:2012 可编程序控制器 第6部分：功能安全 Programmable controllers—Part 6: Functional safety (IEC 61131-6:2012, IDT) 2015-12-10 发布 2016-07-01 实施 中华人民共和国国家质量监督检验检疫总局 中国国家标准化管理委员会 前言 GB/T 15969《可编程序控制器》包含以下部分： 第1部分：通用信息； 第2部分：设备要求和测试； 第3部分：编程语言； 第4部分：用户导则； 第5部分：通信； 第6部分：功能安全； 第7部分：模糊控制编程； 第8部分：编程语言的应用和实现导则。 本部分为GB/T 15969的第6部分。 本部分按照GB/T 1.1—2009和GB/T 20000.2—2009给出的规则起草。本部分使用翻译法等同采用IEC 61131-6：2012《可编程序控制器 第6部分：功能安全》。 为方便使用，本部分作了如下编辑性修改： ——删除国际标准的前言，按GB/T 1.1—2009重新编写了本部分的前言； ——正文中，凡是出现“IEC 61131-6”之处均改为本部分； ——对全文范围内列项的标点符号进行规范； ——为了保持与IEC 61131-6：2012一致性，正文中，保留不注日期的引用文件。 与本部分中规范性引用的国际文件有一致性对应关系的我国文件如下： GB/T 17626.2—2006 电磁兼容 试验和测量技术 静电放电抗扰度试验 (IEC 61000-4-2:2001, IDT) GB/T 20438.1—2006 电气/电子/可编程电子安全相关系统的功能安全 第1部分：一般要求 (IEC 61508-1:1998, IDT) GB/T 20438.2—2006 电气/电子/可编程电子安全相关系统的功能安全 第2部分：电气/电子/可编程电子安全相关系统的要求 (IEC 61508-2:2000, IDT) GB/T 20438.3—2006 电气/电子/可编程电子安全相关系统的功能安全 第3部分：软件要求 (IEC 61508-3:1998, IDT) GB/T 20438.6—2006 电气/电子/可编程电子安全相关系统的功能安全 第6部分：GB/T 20438.2和GB/T 20438.3的应用指南 (IEC 61508-6:2000, IDT) 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本部分由中国机械工业联合会提出。 本部分由全国工业过程测量控制和自动化标准化技术委员会（SAC/TC124）归口。 本部分起草单位：机械工业仪器仪表综合技术经济研究所、北京机械工业自动化研究所、浙江大学、浙江中控科技集团有限公司、北京和利时系统工程有限公司、罗克韦尔自动化（中国）有限公司、北京国电智深控制技术有限公司、中国铁道科学研究院、重庆川仪自动化股份有限公司、江苏添福产品服务有限公司北京分公司、中科院沈阳自动化研究所、上海自动化仪表股份有限公司和西南大学。 本部分主要起草人：王春喜、高镜媚、汪烁、孙洁香、史学玲、熊文泽、罗安、周有铮、冯冬芹、田玉聪、张萍、华熔、徐冬、陈学军、赵勇、包伟华、裘坤、刘枫。 引言 本部分为GB/T 15969的第6部分，针对可编程序控制器及其相关的外围设备，应与其他部分结合阅读。 作为功能安全可编程序逻辑控制器（FS-PLC）产品标准，本部分内容可认为是涵盖可编程序控制器及其相关的外围设备。如果不能满足本部分第4章的要求，则不能声明符合GB/T 15969的第6部分。 GB/T 15969的第1部分定义了通用术语。更多特定术语在各部分中进行定义。为了与IEC 61508-1：2010的1.1保持一致，本部分包含了IEC 61508-1、IEC 61508-2和IEC 61508-3中与可编程序控制器及其相关的外围设备有关的产品特定要求。本部分原则上是依据IEC 61508的结构。但是由于有些方面没有直接联系，因而需要不同处理。某种程度上，这是由于需要在一个单独文档中处理硬件、软件、固件等。 本部分的框架如IEC 61508-1：2010的图2，这里重新编号为图1，并对其进行了调整，以示出FS-PLC是如何用于整体E/E/PE安全相关系统安全生命周期。尽管图1方框10包含传感器、逻辑子系统和最终元件（如执行器），但从IEC 61508-1的角度，这里通过引用图3来突出FS-PLC。同样地，从本部分的角度来看，图1方框10的实现阶段仅体现了逻辑子系统。 图1 整体E/E/PE安全相关系统安全生命周期各阶段中的FS-PLC （图示说明：包括概念、整体范围定义、危险和风险分析、整体安全要求、整体安全要求分配、E/E/PE系统安全要求规范、E/E/PE安全相关系统实现（FS-PLC见图3）、整体安装和调试、整体安全确认、整体运行、维护和修理、退役或处置、整体修改和改型、返回适当的整体安全生命周期阶段、其他风险降低措施等阶段。） 注1：为清楚起见，与功能安全验证、功能安全管理以及功能安全评估有关的活动未在图中显示，但这些都与整体的、E/E/PE系统的和软件的安全生命周期各阶段有关。 注2：方框11所表示的阶段不在本标准范围之内。 注3：IEC 61508-2和IEC 61508-3涉及方框10（实现），但有关部分也涉及方框13、方框14和方框15的可编程电子方面（硬件和软件）。 注4：见IEC 61508-1的表1，描述了各方框表示的各阶段的目标和范围。 注5：整体操作、维护、维修、修改、改型及退役或处置所需的技术要求将规定为E/E/PE安全相关系统及其组件和元件供应商提供的信息部分。 本部分包括的范围是FS-PLC安全生命周期管理、功能安全要求分配和开发规划，其重点是在整体安全生命周期的实现阶段（方框10）。本部分假设FS-PLC用作整体E/E/PE系统的逻辑子系统。 1 范围 本部分规定了功能安全可编程序控制器（FS-PLC）的安全生命周期管理、设计要求、架构、硬件与软件开发、验证、评估及制造商提供给用户的信息等要求。本部分适用于FS-PLC及其相关的外围设备。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 17626.2 电磁兼容 试验和测量技术 静电放电抗扰度试验 GB/T 20438.1 电气/电子/可编程电子安全相关系统的功能安全 第1部分：一般要求 GB/T 20438.2 电气/电子/可编程电子安全相关系统的功能安全 第2部分：电气/电子/可编程电子安全相关系统的要求 GB/T 20438.3 电气/电子/可编程电子安全相关系统的功能安全 第3部分：软件要求 GB/T 20438.6 电气/电子/可编程电子安全相关系统的功能安全 第6部分：GB/T 20438.2和GB/T 20438.3的应用指南 3 术语和定义 GB/T 15969.1和GB/T 20438.1界定的以及下列术语和定义适用于本文件。 3.1 功能安全相关逻辑控制器 Functional Safety Programmable Logic Controller, FS-PLC 旨在用于实现功能安全要求，并满足本部分要求的可编程序控制器。 3.2 SIL能力 Safety Integrity Level capability FS-PLC能够达到的最高安全完整性等级（SIL）。 4 与本部分的符合性 如果不能满足本部分第5章至第16章的要求，则不能声明FS-PLC符合GB/T 15969的第6部分。 5 FS-PLC安全生命周期 5.1 概述 本部分规定了FS-PLC安全生命周期的管理要求，包括计划编制、开发、确认、运行和维护等阶段。 5.2 FS-PLC功能安全SIL能力要求 FS-PLC应声明其SIL能力，并证明其在该SIL等级下满足功能安全要求。 5.3 质量管理系统 FS-PLC的制造商应建立并维持一个质量管理系统，以确保FS-PLC的设计和制造过程受控。 5.4 FS-PLC安全生命周期管理 安全生命周期管理应涵盖从概念到退役的整个生命周期，包括风险降低措施的验证和确认。 6 FS-PLC设计要求规范 6.1 概述 本章规定了FS-PLC设计、开发和确认计划的要求。 6.2 设计要求规范内容 设计要求规范应详细规定FS-PLC的功能、接口、性能、安全性等要求，包括目标失效率。 6.3 目标失效率 目标失效率（如PFDavg、λPF）应在设计要求规范中明确，并用于后续的验证和评估。 7 FS-PLC设计、开发和确认计划 7.1 概述 应编制FS-PLC设计、开发和确认计划，以指导后续工作。 7.2 分割要求 FS-PLC的设计应尽可能采用分割策略，以隔离故障并提高安全性。 8 FS-PLC架构 8.1 概述 本章规定了FS-PLC的架构要求。 8.2 架构和子系统 FS-PLC的架构应清晰定义各子系统及其接口，确保各子系统之间的故障不导致危险状态。 8.3 数据通信 FS-PLC内部及与其他设备间的数据通信应具备足够的完整性和实时性。 9 HW设计、开发和确认计划编制 9.1 通用HW要求 FS-PLC的硬件设计应遵循相关的硬件功能安全标准。 9.2 HW功能安全要求规范 应制定硬件功能安全要求规范，包括诊断覆盖、冗余配置等。 9.3 HW安全确认计划编制 应编制硬件安全确认计划，明确测试和验证方法。 9.4 HW设计和开发 硬件设计和开发过程应受控，并记录所有设计变更。 9.5 HW、嵌入式SW和FS-PLC的集成 硬件、嵌入式软件和FS-PLC的集成应经过充分测试，确保各部分协调工作。 9.6 HW的运行和维护规程 应提供硬件运行和维护规程，包括故障处理和维护间隔。 9.7 HW安全确认 应按照计划进行硬件安全确认，验证硬件是否满足功能安全要求。 9.8 HW验证 硬件验证应包括单元测试、集成测试和系统测试。 10 FS-PLC SW设计与开发 10.1 概述 本章规定了FS-PLC软件设计与开发的要求。 10.2 要求 软件设计应遵循软件功能安全标准，包括静态分析、动态测试等。 10.3 工程工具的分类 用于FS-PLC开发的工程工具应经过分类和验证，确保其可靠性。 10.4 SW安全确认计划编制 应编制软件安全确认计划，明确软件验证和确认方法。 11 FS-PLC安全确认 本章规定了FS-PLC整体安全确认的要求，包括集成测试和系统测试。 12 FS-PLC型式试验 12.1 概述 FS-PLC应通过型式试验，以证明其符合标准规定。 12.2 型式试验要求 型式试验应包括电气、机械、环境等测试项目。 12.3 气候试验要求 气候试验应模拟FS-PLC可能遇到的各种气候条件。 12.4 机械试验要求 机械试验应模拟振动、冲击等机械应力。 12.5 EMC试验要求 EMC试验应符合GB/T 17626.2等相关标准，确保FS-PLC在电磁环境中的正常工作。 13 FS-PLC验证 13.1 验证计划 应编制FS-PLC验证计划，明确验证范围和深度。 13.2 故障插入测试要求 故障注入测试应验证FS-PLC在故障状态下的安全行为。 13.3 合格与出厂 FS-PLC出厂前应通过所有规定的测试，并出具合格证书。 14 功能安全评估 14.1 目的 功能安全评估旨在独立验证FS-PLC是否满足功能安全要求。 14.2 评估要求 评估应由独立于开发人员的机构或人员进行。 14.3 FS-PLC评估信息 评估所需的信息应包括设计文档、测试报告、质量管理系统记录等。 14.4 独立性 评估人员应保持独立性，避免利益冲突。 15 FS-PLC运行、维护和修改规程 15.1 目的 本章规定了FS-PLC运行、维护和修改的规程，以确保其在生命周期内的安全性。 15.2 FS-PLC修改 对FS-PLC的任何修改都应经过重新评估和验证，以确保不降低其安全完整性。 16 FS-PLC制造商提供给用户的信息 16.1 概述 制造商应向用户提供必要的信息，以便用户正确安装、使用和维护FS-PLC。 16.2 与本部分符合的信息 信息应证明FS-PLC符合本部分的要求。 16.3 文件类型和内容的信息 应提供技术说明书、用户手册等文件。 16.4 目录和/或数据表的信息 应提供详细的参数数据表。 16.5 安全手册 应提供专门的安全手册，说明安全相关操作和维护注意事项。 附录A（资料性附录） 可靠性计算 附录B（资料性附录） 典型FS-PLC架构 附录C（资料性附录） FS-PLC得电跳闸应用 附录D（资料性附录） 可用的失效率数据库 附录E（资料性附录） 多通道FS-PLC中共因失效率的估计方法 参考文献 [1] IEC 61131-6:2012, Programmable controllers - Part 6: Functional safety [2] IEC 61508-1:2010, Functional safety of electrical/electronic/programmable electronic safety-related systems - Part 1: General requirements [3] IEC 61508-2:2010, Functional safety of electrical/electronic/programmable electronic safety-related systems - Part 2: Requirements for electrical/electronic/programmable electronic safety-related systems [4] IEC 61508-3:2010, Functional safety of electrical/electronic/programmable electronic safety-related systems - Part 3: Software requirements [5] GB/T 15969.1-2015, Programmable controllers - Part 1: General information [6] GB/T 20438.1-2006, Functional safety of electrical/electronic/programmable electronic safety-related systems - Part 1: General requirements