【国家标准(GB)】 电气/电子/可编程电子安全相关系统的功能安全 第6部分: GB/T 20438.2 和GB/T 20438.3 的应用指南

ICS 25.040
中华人民共和国国家标准
GB/T20438.6—2006/IEC61508-6:2000电气/电子/可编程电子安全相关系统的功能安全第6部分：GB/T20438.2和GB/T20438.3的应用指南
Functional safety af electrical/electronic/programmable elcetromic safely-relatedsyslems-Part 6: Guidelines on the application of GB/T 20438. 2 ani GB/r 20438, 3(1EC61508-6:2000,1DT)
2006-07-25发布
中华人民共和国国家质量监督检验检疫总局：
中国国家标准化管理委员会
2007-01-01实施
2规范性号用文件
3定义和缩略语
GB/T20438.6—2C06/IEC61508-62000附录A（资料性附录）G/T2C438.2和GB/T20488.8的应用1
附录13（资料性对录）硬件失效概率评估技术亦例附录C（资料性附录）诊断覆盖率和安全失效分数的计算：工作求例附录D（资料性附录）化E/E/PE系统中葆作共同原因失效效成的方法附录F（资将性附录）（13/T20438.3中软件安全完整性表的应用示例参考文献
表B.1本附录4用的术语及其范国（应别于1007、10n2、20u2、1<21),2c3)表B,2检验测试时阅闻匾为6个月、平均恢复时间时要求的业均尖效測率表3.3检验测试时间间隔为：年，乎与恢复时川为8时嬰求的平均失效概率表8.4检验测试时间间为2年、平均恢复时间为8五附要求的平均失效概率.表B.5检验测试时间闻隔为10)作、平均恢复时间为8时要求的平均失效概率表B.5低要求操作模式示例中传感器子系统在要求时的半均失效概率（检验测试时间间限为1年,MTR为8
低要求携作模式示例中逻转于系续在要求时的平均失效诱字（检验测试时间间为表B.7
」年,MTIR为8）
表B.8低要求操作模式示例中最终元件系统在要求时的平均失效概邀（检验测试时间间隔为1,MTTRh）
表 B. 10
不完善检验测试的示例
检验测试耐间间随为1个月，平均复时间为8h时每小的半均失效率检测测试时闻间隔为3个，平均恢复时间为$1时小时的平均大效概率表 B. 12
检验测试时间隔为6个月，平均做复时间为8h时得小时的平均失效概率检验測试时间间厢为1个以及平均恢复时闻为3时每小时的平均失效概率·高要求或连续柔准模式缩构示例中传感器子系统御小时的失效概率·高要求或连绒操作模式缩构示例中逻辑子系统衔小时的效概率：高要求或连续操作模式结构示例中最终元件子系统每小时的失效佩率计算诊断窗盖率和安全失效分数示例小同子系统的渗断覆盖率和有效性可编程卫了或传感器成最终元件的评分之的值·川编程电子…
2的值：传感需或最终元件
表D.4和，的计算
可编望电子的示例信
GB/T20438.6—2006/TEC61508-6:2000表E.1软件安全要求规范（见GB/T2.0438.3—2006的7.2）表5、2软件设计与开发：软件结构设计（见GB/T20138.3—2006的7.4.3）表E.3较件设计与斤发：支持工具和编程语言（见GB/120438.3-2006的7.4.4）51
表F。4软件设计与并发：详纽设计（见GB/T20438.3—2606的7.4.5及7.4.6） 52
表F.3款件设计与开发：软件模型测试和集成（见GB/T20438.3--2006的7。1，7及7.4.8）..52表E.6缩稻电子集成（硬件和软件）（见GB/T20438.32006的7.5）软件安确认（见GB/T20438.3---2006的7.7）表E.7免费标准bzxz.net
软件修改（见GB/F20438.3--2006的7.8）裘E.8
软件验证（见GB/T20438.3—2006的7.9）表F.10
表 E. 12
功能安全评估（见GB/T20438.3—2006的第8章）软件安企要求规范（见CB/T20438.3---2006的7.2）软件设计与开发：软件结构设计（见(B/T20438.3-2006的7.4.3）软件设计导开发：支持工具及编程语言（见GB/T20438.3—2006的7.4.4）裴E: 13
表 E, 19
款件设计与开发：详细设计（见GB/T20438.3—2006的7、1.5和7.4.6）.56
软件设计与开发：软件模块测试和集成（见（B/T20438.3--2006的7.4.7和7.4.8）…56可编程电子渠成（硬件和软件）（见GB/T20438.3—2006的7.）..软件安全确认（见GB/T20438.3—2006的7.7）：修收（见GB/T20438.3--2006的7.8)软件的确认（范GR/12C38.3：2006的7.9）功能安全评估（沈G3/120438.3--2006的第8章）图1（FB/T20438的总体框架
图A.GB/T20438.2的应用\
图A.2GB/T20438.2的应用
（F13/T 20438.3的应用
图 13. 3
图 13. 8
剩个传感器通道配置示例
子系统结构
1ool物埋块图
1001可靠性块图
1302物块图
1no2 可靠性块阁
2002物理续图
202可靠性块图
1002D物理块图
图 R. 1.1
图 3. 3 3
图 B. 14
l02)可靠性块图
2003物理块图
20a3可靠性块图
低求操作模式结构尔例·
高要求或连续操作模式的结构示例各个通道失效与共同漂困失效的关系57
G1B/T20438由下测7部分构域：
第1部分般要求
GB/T 20438. 6--2006/IEC 61508-6:2000第2部分：电气/电子/闻编程电产安金相关系统的要求；-第3部分：软件要求；
第4部分：定义和缩略语：
第5部分：确定安全完整性等级的方法示例；第6部分：GB/T20438.2和GB/T20438.3的应用指南；一第7部分：技术和携施概述，
本部分是GB/T20438的第6部分：本部分等同采用国际标准1E61508-6：2000%电气/电了/可编程电子安全相关系统的功能安全第6部分：TFC61508·2和IEC6.1508-3的应用指南》英文版）附录A、附录B、附录（、附录D)、附录E为资料性附录。本部分与1EC:61508-6：2000在技术内容上没有举舞，为使于使用做了下列编解性修收：a）将\IEC61508\改为GB/T20138”。b）“本国际标准\.词改为\本标准”。制除国际标准中1.3的注，因为此注所表述的是1E>61508在美国和加拿大等国的应用情况，与我国的实际不符，所以删除。d）用小数点“，”代替原标准中作为小数点的避号”，\。本部分山中国机械工业联合会捷山。本部分电金国工业过程测量和控制标推化技术委员会(SAC/TC12)归日。本部分由机械工业仪器仪表综合技术经济研究所负资起草。本部分主要起草人：郑旭、冯晓升、恪、王莉、欧阳劲松等。/T 20438.6—2006/IEC 61508-6:2000引
时电气和电于器件构成的系统，多年来在许多领域中执行其安金功能，以计算机为基磁的系统（般指可编程电了系统（PFS)）准许多领域中用于非安全月的：4也越米越多地用丁安全国的，为使计算机系统技术更有效安全的使用，有必要进行安全方面的指导。GB/T20438针对山电气或电子和可编程电子部件构成的、起安全作用的电气/电子/编程电了系统（H/E/PES)的整本安全生命周期，提出了一个通用的方法。建立统-一的为法的国的是为了创对以它子为基础的安全相关系统提出一种一致的、合埋的技术方针，主要日标是促应用领域标准的制定，在许多情况下，可用多种基丁不同技术的防护系统来保证安全（如机镀的、液压的、气动的、电气的电了的、可编程电了的，等等）。从安全战略角度，不仪要考虑各独立系统中所有元露件的间题（如传感器，控制器、执行器等），怕11要考虑由所有安全相关系统构成的组介安全相关系统的问题。因此G13/）20138对电气/电子/可编程电子（E/E/PE)安全相关系统进行了规定。（GI/T20438还提H了一个框架，在这个催架内，减于其他获术的安金相关系统也可同时被考虑进去。在各种应用领城思，存在者许多潜在的危险和风险：包含的复杂性也各不相同，从而需应用不向的E/E/ES，对每个特定的魔用，则根据应用的不同而确定所需的安全量，GB/T20438仅是使这些量值窥范化，
GB/T2438
.-考滤了当使用F/F/PES执行安全功能时.所涉及到的整体安全生命周期，E/E/PES安全牛命周期以及软纠安全生命周期的各阶段（如初给构恩，整个设计、实现、运行、维护及停用）。……·邹对飞速发爱的技术，建立一个足够健壮面广泛的能满足今后发展婦要的框架。-…有利于促E/E/PE安全相关系统在心同领域中相关标准的制订，各应用领域和交双应用领域柑关标准应在GB/T20438的框架下制定，使之其有高水平的-致性（如基硼原理，术语筝的-致性)并将既安全义经济。
为达到E/E/PE安全相关系统所需的功能安全，提供广编制安全要求规范的方法，，使用了一个安金完整性等级，此安伞完整性等级规定了E/E/PF安全相关系统要实现的安全功能的月标安全完整烂等级。
采用了一种甚了风险的方案求确定安全完整性等级要求。一一建厂E/F/F安全相关系统的数值用标失效量，这些量都同安全完整性等级柜联系。建立了危险失效模式中尺标先效量的一个下限，此下限是对单一H/E/PE安伞相关系统的要求.
这些系统运行在：
1）低要求操作模式下，为了执行它的设计功能，“且要求时，就肥下限设定成平均尖效概率为「0二;
2）高要求换作模式或者连续操作模式下，下限设定成危险失效概率为10:/h。社：单·E/E/PE安全相关系统不·定是单通遗结构，·一-采用广泛的质埋，技术和增施以达到F/E/PE安金相关系统的功能安全，化不使用失效-安全的耦念，这个概念是在很好定支了失效模式，并复杂性相对较低时的一个数值。由于F/E/PI安全相关系统的复杂性均在GB/T20438范围之内：因此不适用失效-安全的概念。范园
GB/120438.6—2006/1EC61508-6:2000电气/电子/可编程电呼安全植关系统的功能安全第6部分：GB/T20438。2和GB/T20438.3的应用指南
1.1米部分包括GB/T20438.2与GB/T20438.3的信息以及指南：—-附录A中阐述了GB/T20438.2及（G13/T20438.3的要求简述，以及应用过程中的功能步骤。-附录B列举了如何让算硬件失效概率。读时要结合CB/T20438.2—2005的7.4.3和附录C以及本部分的附录D。
…一附录C给出了诊断覆盖率的计算示例，阅读时要结合GB/120238.2-·2006的附录C附录D阐述了将硬件共同原因失效率量化的方法论，—附录E给出了GB/T20438.3—2005附录A中规定的将安全先整性等级2利：3时软件安全完整性表的应用示例。
1.2（G13/T20438.1、GB/T20438.2GB/T2048.3和GB/T20438.4是基础安伞标准，虽然它们不适用于简单的E/E/PE安全相关系统（见G[3/T20438.4：-2006中的3.4.4)，作为基础的安全标准，根据IEC导则104利1SO/1EC导则51中包含的原则.相关的技术委员会在制定标准时微使用它们GB/T20438也可独立使用，
1.3若适用，技术员会在制定其标准时都应使用基础安全标准。也就是说，本满础安全标准涉及的要求，测试方法戴测试条件，只有在粘关技术委员会制定标雅时加以引用或包含时，才能得到成用.1.4图1显求了（13/T20438的总体柜架并指出了本部分在实现E/E/1PE安全相关系统功能安全时的作用。
GB/T 20438, 6-2006/1EL: 61508-6:2000第1部分
编制总的安全要求（概念、滋困、定义，危险和风险分标）（上/上/2上全相关系统，其他被示安全相关案统及外游风险降低设施）
第1部分
与T./5/FT安全相关系统有关的系统安全双案的分配
L/E/PT安金
关系统的实死
E//PE必
和安全性德
蒙1部分
安全软微鞋
现阶毁
篇3额
笑药统的安装、试藤
第1部分
F//安全和美察缔的运行、继针
修改和改型、恢月或者处
7. 15~-7. 17
裁术要求
第5部分
根据风险制定安全整
性要求的方法
第了部分
技术程措施凝述
图16B/T20438的总体框架
其他要求
定义和熔略语
第部分
第5附录
旁能安全的管理
第星部分
功能安全评信
第1部分
2规范性引用文件
G路/T20438.6—2006/IEC:61508-6:2000下列文件中的条款逆过（B/T20438的夺部分的号用而成为本部分的条款，凡是注日期的引用文件，其随后所有的修改单（不包拆动误的内容）或修订版均不适用于本部分，然而，鼓励根据本部分达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版木适用下本部分
GB/T20438（所有部分）电气/电子/可编程电手安全相关系统的功能安全（GB/T2C438-2006，IEC 61508,IDT)
1EC导则104：1997安全出版物的编写及基本安金出版物和分类出版物的应历TEC/TSO导则51:1990安全方期获粽摊年部天安金途款的指南3定义和缩略语
见G3/20438.4
GR/T 20438.6--2006/1EL: 61508-6:2000附录A
（资料性附录）
/T20438.2部B/20438.3的应用
A.1概述
机械、过程成套设备以及其他设备在工作不止常的情况下（例始电气、电子或编程吧产设备的失数)有可能产生诺如火灾、爆炸、辐射超剂量、机困油等危险等件，因此对工人利坏境而高存在“定风险，失效既可能因设各的物理改障（如弓起随机硬件失效），过可能因为系统改障（例女.在系统的设计和规范中的人为错误在一些特别输人组合的说下，会导致系统失效）成者因为某个环境条件菌产生，GB/T2048.［疑供了个基下风险方法的总体柜架，以他防止和/或控制电气，电子或各可缔程电子设备中的效。
C:8/T20438的总月标就是确保设备、仪器安全地片动运行，兵中关键日标就防止：引发其他事件的控制系统失效，这些失效将导致（火灾，有毒物质泄露，机截设备多次冲击等）危险：并且
保扩系统妇紧急制动系统）中未检测到的尖效使系统不能在需要所止带执行一次安全动作，GB/丁20438.：要求在过程或乱端级热行一次危离利风险分析，从而确定在应用中满处x险准则所必需的风险降低量：风险是提可危险亨件的后果（或严重性）和频率（或概率）的评估，(G13/T2:438.1还露婴出风险分新建文的风险降低量来砸定需要个或儿个安全剂关系统，以及它们需耍针久么样的安全功能（您个都有一个规定的安全究整性）。G:B/T26438.2和GB/T20438.3涉及了GB/T20438.分配给任意-个被指定为E/E/PE安个相关系统的安全功能和安全完整忧要求，关建立安全生命周期活动的要求，这些要求：一将在硬件及软件的既范、设计、修改守使用，并目重点星随止和/或控制硬件以及系统的失效的行法（E//PE利软件安全生命周期\）：G3/T20438。2和GB/T20438.3并没有给出安全完整料哪个水平适合给定要求的允许风险的指南，这取决于多种因素，包据应用的类别、典他系统执行安金功能的程度及社会、经济因素等（见GB/T 20438, 1及 G3/T 20438. 5)GB/T20438.2马G13/T20438.3的要求包括：-措施与技术的应用”，在用预防方法避免系统尖效”时，可按安全完整性等级对它们进行分类；许
利用故障检测、完余和结构特征（如多样性）这些设比特征控制系统失效（包括软件失效利随比便件失效。
1）实能安全所器要的并包括-个或多个电气《机电），吗子，可缩程生子（E/E/PE)设备的系统报指定为E/E/E安全机美系统-并包活所有诊行安全均能所必带的设备（则GB/20438.4：2006的3.4.1）。安全究靓定为四个独的水平之一，宏全完整性等级为最商级，安全完整性等级！为最低级(见G/T 2438. 1.-2C36 的%, 3. 2. 9).为广滑晰地构建B/T2时38的要求，决定使用一种可发过程模型.按照定义好的、很少出划车复的顺序刘安求逃行持序（有时称为操布模型）。但是·俏得强调的是，伪苦在工猴项月巾安全计别能龄出一种等价的陵述就可以德用任句生爬利方案（贝，B/T20438.12006的篇6章）：4）：东GE/T80438.22006御GB/T20438.32.008的附表A瓶附录B的表中给11了：安伞宗落性等级所需的装术知能
系统炎效一般不能被适化，点因括，在硬件软件中存在现范和设做障；考惠坏说（证温度）引起的失效认及损作该障（如不良界面)。
GB/T 20438.6—2006/LEC 61508-6:2000GB/T2C438.2中，满足危险随机失效的安全究整性国标的保证是基于：..-—硬件放障裕度要求（克GB/T20438.22006的表2、表3）：并月用适当的数据，经过可挚性分析来碗确定了系统与部件的诊断履盖率和检验测试的频率。在G13/T20/38.2与（B/120438.3中满足系统头效要求的安全完整性月标的保证可由以下获得：
-正确应用安全管埋规程：
任州合格的人员；
应用规定的安金生命周期活动，包拆规定的技术和措施；·个独的功能安全评估）。
总日标足要确保与安全完整性相应的残余系统故障，不会导致F/F/PF安全和关系统的失效。GB/20438.2为E/E/IE安全相美系统的硬件（包拆传感器、最终元件）达到安全完整性提供要求，需要防止随机硬件失效和系统硬件失效的技术和措随。如上所述，它们包括适当的措施以避免效障和控制失效，在那种功能安全需要人员动作的场合，给出厂对操作员界而的要求。在GB/T20438.2中1还规定片于检测随机顿件失效基于软件利硬件的诊断测试技术和借施（例如多择性）。GB/T20438.3为软件…瞬人式软件（包括诊断敏障检测服务）利应用软件达到安全完整性提供要求。出于下还不知道有什么方法来证明适度复的安全软件中不存耗故障，特别尼不存在规范科设计数障，新以（GB/T20138.3需要故障避免（质量保证）和敏裕度方案的组合（软件续构）CB/丁20438.3需要采用如下软件工程原理：自项间下的设计、模块化、验许并发生命周期的每一个阶段、经验证的软件模块和软件模块库、滑空文档以便验证和确认，不同软件层害要不同的保证，以保这些及相关原职已经被正确的应用：软件的开发者可与或不与开发整个E/E/PES的组织分离开。无论哪种情况下，密切协作都是必要的，特别足在可编程电了的结构外发中，需要从安全效果出发考虑硬竹和软件绪构之间的折丧方案（见G13/T20438.22006图4)。
4.2/20438.2应用中的功能步骤
GB/T20438.2应用中的功能步骤如图A，1和图A.2所示.G13/T20438.3应用中的功能步骤如图.3所示
G/？20438.2应用中的动能步骤（见图A.1和图A.2）如下所示：a）获得安金要求的分配（见（GI3/T20138.1）作H发E/F/PS的过程中史新相应的安全计划编制。
对士每个安金功能确定/上/PS的安全要张包铅安全完整性要求（别3/T20438，2一-2006的7.2）。给软外分配要求准提交供应和/或开发者以便成用CB/20438.3.注：在这-阶段需要-号忘 FIIC控系统和 F/F/PF: 安全相关系统中同时发生的头效的说率（见3个2C438.12006的7.5.2.4。官们可能是由于变诺如报似环境影响的共间原因头效的部件所可起的结果。这种失效的存在会导致比预计计更尚的残余风酸，除已对具作了漂当的陈述。c）启动L/E/PL安全确认计划编制阶段（见（GB/T20438.2：2006的7.3）。d）规定/F/F逆辑系统、传感器剂最终元件的结构（配置），与软件伙应商/开发者-起复告，硬件利软件结构以及硬件和软件之测折衰方案的安全含义（GB/T20438.22005的图6）如果在编柜安全让划过程中合理性证努巴文档化，G3/20438户规定信那些措施可以被替代（见G3/T 20438. ！:2006 的第6查)。7）独守评估不一定是禁一方评估（见GE/T20433.1200G的第8章）。6）包括固定的内置较件或软件等效物（也欢为质件)，如专周集成电薛。5
GB/T20438.6—2006/1C61508-6：2000^)。如果需要将重复此步骤。
开发E/F/PF安全相关系统件结构模型，通过分别测试有个安全动能开发硬件的结构模型并确定用来数行这些功的子系统（部件）。获祀或产生安全分配璇这
护快改装
求的输入（见
GA/T 2043H. 2
—2的.8利
GR/ 2043R 3
疗定幅界参数
制定[E/E/PES安全菱求规范
开始编制E/L/4S安全确认计划
发秘件结构模裂
穿立//
创文罚个安
对士种客要
安全柜关系离
选择产实现改理
独禁的实全现能
前做效概率，足
的效量
客必设让，择再控刷
系统完效的拉术利弱部
见B/20498,1—2006的
包括每种安全功能的安全完据性等级，同软件烘应间战开发者一起复市磁律/较件的配半期CB/20438.2—2006的7.2见行传存,20438. 2—2006 的 7. 3从图A.2中的(R)
1438.2-20067431
/T2043件.2
6的丫.4.
见GJ3/元20438.2—2006的
22%1和7. 4.8失效的控精以
效失激假设见 G0 20438. 2
2006和附录A失效的遍免
注：对于E系统、针对嵌件的法动将并行发生（见图A.3)。图 A. 1 GB/T 20438.2 的应用
和摊认接术则B/门20438.2
2C06的酷录B
以图A.1中的
开始谢定操作和培扩握程
案成经验证过的预件
E/在或
工车成经验证过的软件
在可标作
认F/T/2
划范的建得的
经确认过的
集成到格密
注：刘PE系统而言教性的活动
行的觉图
GB/T 20438.6—2006/1EC 61508-6.2000GB/T20438.3-2006
的 7. 5 和附录 B
见GB/2043R.5 --2006的7.5和附录D为了F//能仰认,
GB/20438.和断F
警件确认览/商20438
图A.2CB/π20438.2的应用
建立F/F/PE安全静关系统中使用的每个了系统（部件的系缩参数。确定每个子系统（部件>的：
失效的检验测斌时间间隔这些失效是不会肾动被显现出米的：平均恢复时间：
诊断覆盖率（见GB/T2C438:22006的附康C）；失薇概率：
安全失效分数（见5/120438.2：2006的附录C)。确结构约束（见GB/T20438.2—2006的表2、表3）g
创建E/互/PE安全相关系统需要执行的每个安全功能的可幕性模型。h
·注：可靠性模型是一个数学公或，用以表示与让备和使用绿件有关的可靠性和社:关参效之闯的关系。使用适当的技术计算每个功能安全的可靠性期望值,将上面b)项中确定的目标失效置结果同i）
GB/T 20438. 2--2006 中表2,表 3的要求进行比较(览GB/T 20438.2---2006 的 7.4. 3. 1)：如
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。