ГОСТ Р 59773-2021 Безопасность функциональная систем, связанных с безопасностью зданий и сооружений. Порядок применения комплекса стандартов ГОСТ 34332. Примеры расчетов

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

ГОСТР

59773— 2021

БЕЗОПАСНОСТЬ ФУНКЦИОНАЛЬНАЯ СИСТЕМ, СВЯЗАННЫХ С БЕЗОПАСНОСТЬЮ ЗДАНИЙ И СООРУЖЕНИЙ Порядок применения комплекса стандартов

ГОСТ 34332.

Примеры расчетов

(IEC 61508-6:2010, NEQ) (ISO/IEC Guide 51:2014, NEQ)

Издание официальное

Москва Российский институт стандартизации 2021

ГОСТ Р 59773—2021

Предисловие

1 РАЗРАБОТАН Федеральным государственным бюджетным учреждением «Российский институт стандартизации» (ФГБУ «РСТ») совместно с Международной ассоциацией «Системсервис» (МА «Системсервис»)

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 439 «Средства автоматизации и системы управления»

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии России от 20 октября 2021 г. № 1184-ст

4 В настоящем стандарте учтены основные нормативные положения следующих международных документов:

МЭИ 61508-6:2010 «Функциональная безопасность электрических/элоктронных,'программируемых электронных систем, связанных с безопасностью. Часть 6. Руководство по применению МЭК 61508-2:2010 и МЭК 61508-3:2010» (IEC 61508-6:2010 «Functional safety of electrical/electronic/programmable electronic safety-related systems — Part 6: Guidelines on the application of IEC 61508-2 and IEC 61508-3», NEC),

ISO/IEC Guide 51:2014 «Аспекты безопасности. Руководящие указания по включению их в стандарты» (ISO/IEC Guide 51:2014 «Safety aspects — Guidelines for their inclusion in standards». NEQ)

5 ВВЕДЕН ВПЕРВЫЕ

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об изменениях х настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе ('Национальные стандарты», а официальный текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.rst.gov.ru)

©Оформление. ФГБУ «РСТ». 2021

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распространен в качестве официального издания без разрешения Федерального агентства по техническому регулированию и метрологии и

ГОСТ Р 59773—2021

Содержание

1 Область применения..................................................................1

2 Нормативные ссылки..................................................................1

3 Термины, определения и сокращения....................................................

4 Порядок применения требований комплекса стандартов ГОСТ 34332 ..........................

4.1 Пользователи стандартов .......................................................

4.2 Полный жизненный цикл Э/Э/ПЭ СБЗС систем......................................

4.3 Менеджмент функциональной безопасности........................................

5 Примеры расчетов....................................................................

Приложение А (справочное) Порядок применения требований ГОСТ 34332.3 и ГОСТ 34332.4 .......

Приложение Б (справочное) Методы оценки вероятностей отказа аппаратных средств............1

MUl/i^WUWM

Приложение В (справочное) Примеры расчета охвата диагностикой и доли безопасных отказов ... .67 Приложение Г (справочное) Методика и примеры количественного определения влияния

отказов аппаратных средств по общей причине в Э/Э/ПЭ СБЗС системах .........70

Приложение Д (справочное) Применение таблиц полноты безопасности программного обеспечения в соответствии с ГОСТ 34332.4 .................................83

Библиография........................................................................99

III

ГОСТ Р 59773—2021

Введение

Современные здания и сооружения (объекты капитального строительства) представляют собой сложные системы, включающие в свой состав систему строительных конструкций и ряд инженерных систем в разных сочетаниях, в том числе для жизнеобеспечения, реализации технологических процессов. энерго- и ресурсосбережения, обеспечения безопасности и другие системы. Эти системы взаимодействуют друг с другом, с внешней и внутренней средами, образуя единое целое и выполняя свои функции назначения.

Объекты капитального строительства жестко привязаны к местности. Рабочие характеристики зданий, сооружений и входящих в них систем могут быть реализованы, проверены и использованы только в том месте, в котором объекты построены и системы установлены.

Безопасность зданий и сооружений обеспечивается применением совокупности мер. мероприятий и средств снижения риска причинения вреда до приемлемого уровня риска и его поддержания в течение периода эксплуатации или использования этих объектов. К средствам снижения риска относятся системы, связанные с безопасностью зданий и сооружений (СБЗС системы), и системы, неполный перечень которых представлен в ГОСТ 34332.1—2017 (приложение А. раздел А.З). Среди СБЗС систем наиболее распространенными являются системы, содержащие электрические и/или электронные и/или программируемые электронные (Э/Э/ПЭ) компоненты. Такие системы, именуемые Э/Э/ПЭ СБЗС системами, в течение многих лет применяют для выполнения функций безопасности. Кроме них и вместе с ними используют системы, основанные на неэлектрических (гидравлических, пневматических) технологиях, а также прочие средства уменьшения риска. Для решения задач безопасности зданий и сооружений во всех больших объемах применяют программируемые электронные (ПЭ) СБЗС системы.

Следующими по важности характеристиками систем после характеристик назначения являются характеристики безопасности. Важнейшей характеристикой безопасности систем признана их функциональная безопасность.

В настоящем стандарте представлен порядок применения требований комплекса стандартов ГОСТ 34332 к Э/Э/ПЭ СБЗС системам на стадиях их жизненного цикла и приведены примеры расчетов.

Комплекс стандартов ГОСТ 34332 ориентирован на обеспечение соблюдения требований безопасности зданий и сооружений, в том числе объектов транспортных инфраструктур, установленных техническими регламентами Таможенного союза [1] — [3].

Настоящий стандарт распространяется на Э/Э/ПЭ СБЗС системы, подсистемы и составляющие этих систем, включая сенсоры, исполнительные устройства и интерфейс человек—машина, рассчитан на любой диапазон сложности СБЗС систем и ориентирован на комплексное обеспечение безопасности и антитеррористической защищенности объектов защиты — зданий и сооружений.

IV

ГОСТ Р 59773—2021

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

БЕЗОПАСНОСТЬ ФУНКЦИОНАЛЬНАЯ СИСТЕМ. СВЯЗАННЫХ С БЕЗОПАСНОСТЬЮ ЗДАНИЙ И СООРУЖЕНИЙ

Порядок применения комплекса стандартов ГОСТ 34332. Примеры расчетов

Functional safety of building/construction safety-related systems.

Procedure for application of GOST 34332 set of standards. Examples of calculations

Дата введения — 2021—12—01

1 Область применения

1.1 Настоящий стандарт содержит информацию и руководящие указания по применению требований. рекомендаций и справочных материалов к электрическим, электронным, программируемым электронным (Э/Э/ПЭ) системам, связанным с безопасностью зданий и сооружений (Э/Э/ПЭ СБЗС системам) и к программному обеспечению этих систем, установленных и представленных в комплексе стандартов ГОСТ 34332. а также примеры расчетов.

Примечания

1 К Э/Э/ПЭ СБЗС системам относятся системы, неполный перечень которых перечислен в ГОСТ 34332.1— 2017 (пункт 5.3.3 и раздел А.З).

2 Э/Э/ПЭ СБЗС системы ориентированы на комплексное обеспечение безопасное™ и антитеррористической защищенности зданий и сооружений.

1.2 Настоящий стандарт применяют совместно со стандартами комплекса ГОСТ 34 332.

1.3 Настоящий стандарт не распространяется на Э/Э/ПЭ СБЗС систему, которая является единственной одиночной системой, способной осуществить необходимое снижение риска на объекте, и требуемая полнота безопасности этой системы ниже, чем определено уровнем полноты безопасности (УПБ) 1 — самым низким уровнем, приведенным в ГОСТ 34332.2—2017 (таблицы 1 и 2).

1.4 Настоящий стандарт рекомендуется для применения пользователями стандартов комплекса ГОСТ 34332 (юридическими и физическими лицами, чьи действия влияют на обеспечение функциональной безопасности Э/Э/ПЭ СБЗС систем и обеспечение безопасности и антитеррористической защищенности объектов на стадиях их жизненных циклов).

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ 34332.1—2017 Безопасность функциональная систем, связанных с безопасностью зданий и сооружений. Часть 1. Основные положения

ГОСТ 34332.2—2017 Безопасность функциональная систем, связанных с безопасностью зданий и сооружений. Часть 2. Общие требования

ГОСТ 34332.3—2021 Безопасность функциональная систем, связанных с безопасностью зданий и сооружений. Часть 3. Требования к системам

ГОСТ 34332.4—2021 Безопасность функциональная систем, связанных с безопасностью зданий и сооружений. Часть 4. Требования к программному обеспечению

ГОСТ 34332.5—2021 Безопасность функциональная систем, связанных с безопасностью зданий и сооружений. Часть 5. Меры по снижению риска, методы оценки

Издание официальное

1

ГОСТ Р 59773—2021

ГОСТ 34100.3.1—2017/ISO/IEC Guide 98-3/Suppl 1:2008 Неопределенность измерения. Часть 3. Руководство по выражению неопределенности измерения. Дополнение 1. Трансформирование распределений с использованием метода Монте-Карло

ГОСТ МЭК 61508-3—2018 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 3. Требования к программному обеспечению

ГОСТ Р 51901.12—2007 (МЭК 60812:2006) Менеджмент риска. Метод анализа видов и последствий отказов

ГОСТ Р МЭК 61508-1—2012 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 1. Общие требования

ГОСТ Р МЭК 61508-2—2012 Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. Часть 2. Требования к системам электри-ческим/электронным/программируемым электронным, связанным с безопасностью

Примечание — При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка. то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

3 Термины, определения и сокращения

3.1 В настоящем стандарте применены термины по ГОСТ 34332.1, ГОСТ 34332.2. ГОСТ 34332.3, ГОСТ 34332.4. ГОСТ 34332.5.

3.2 В настоящем стандарте применены следующие сокращения:

АС — аппаратное(ые) средство(а);

ЖЦ — жизненный(ые) цикл(ы):

ИЭ — исполнительный элемент;

КСБ — комплексная система безопасности;

ПЛК — программируемый логический контроллер;

ПО — программное обеспечение;

ПЭ — программируемая(ое) электронная(ое) (система или средство);

СБ система — связанная с безопасностью система;

СБЗС система — связанная с безопасностью зданий и сооружений система:

ТР — технический регламент;

ТР ТС — технический регламент Таможенного союза;

ТС — Таможенный союз;

УО — управляемое оборудование;

УПБ — уровень полноты безопасности;

УПБ ПО — уровень полноты безопасности программного обеспечения;

ФБ — функциональная безопасность;

Э/Э/ПЭ — электрическая(ое). электронная(ое), программируемая электронная(ое) (по отношению к системе, подсистеме, оборудованию или компоненту);

Э/Э/ПЭ СБЗС система — электрическая и/или электронная, и/или программируемая система, связанная с безопасностью здания или сооружения;

MUT — среднее значение времени работы (Mean Up Time);

MDT — среднее значение времени простоя (Mean Down Time);

MTBF — среднее время между отказами (Mean Time Between Failure);

MTTF — среднее время до отказа (Mean Time То Failure);

^prD_SYS — средняя вероятность отказа по запросу ФБ для Э/Э/ПЭ СБЗС системы;

2

ГОСТ Р 59773—2021

PFD₃ — средняя вероятность отказа по запросу для подсистемы датчиков;

PFD_l — средняя вероятность отказа по запросу для логической подсистемы;

PFD_fe ~ средняя вероятность отказа по запросу для подсистемы исполнительных элементов;

PFH_SYS ~ средняя частота опасного отказа для ФБ Э/Э/ПЭ системы, связанной с безопасностью;

PFH_S — средняя частота опасного отказа для подсистемы датчиков;

PFH_l — средняя частота опасного отказа для логической подсистемы;

PFH_fe — средняя частота опасного отказа для подсистемы исполнительных элементов.

4 Порядок применения требований комплекса стандартов ГОСТ 34332

4.1 Пользователи стандартов

4.1.1 Пользователями настоящего стандарта и стандартов всего комплекса ГОСТ 34332 являются лица (подразделения, организации), влияющие на обеспечение функциональной безопасности Э/Э/ПЭ СБЗС систем и безопасности объектов защиты на стадиях ЖЦ систем и объектов.

Примечание — К пользователям стандартов относятся:

- инвесторы, заказчики, исполнители реализации проектов объектов защиты (зданий и сооружений) и входящих в их состав Э/Э/ПЭ СБЗС систем, владельцы, эксплуатанты, пользователи объектов защиты и лица, осуществляющие техническое обслуживание и ремонт Э/Э/ПЭ СБЗС систем;

- лица, осуществляющие на стадиях ЖЦ Э/Э/ПЭ СБЗС систем верификацию, аудит или оценку соответствия требованиям ФБ;

- лица, осуществляющие страхование объектов защиты от природных и/или техногенных, или антропогенных опасностей и угроз.

4.1.2 Пользователям стандартов ГОСТ 34332 следует ознакомиться со всеми действующими стандартами комплекса ГОСТ 34332 и/ими должны быть тщательно изучены настоящий стандарт и разделы стандартов, связанные с теми стадиями ЖЦ Э/ЭПЭ СБЗС систем, которые относятся к ответственности конкретных лиц (подразделений, организаций) по созданию и применению Э/Э/ПЭ СБЗС систем в части обеспечения достижения и поддержания требуемой ФБ.

4.2 Полный жизненный цикл Э/Э/ПЭ СБЗС систем

4.2.1 Базовая структура полного ЖЦ Э/Э/ПЭ СБЗС систем установлена в ГОСТ 34332.2—2017 (раздел 7) и включает в себя в общем случае следующие стадии и этапы;

- разработка концепции;

- определение области применения;

- анализ опасностей и рисков;

- определение требований к ФБ;

- распределение требований безопасности;

- разработка проектной документации на СБЗС системы;

- разработка рабочей документации.

- планирование полной установки, интеграции и ввода вдействие;

- планирование оценки и подтверждения соответствия;

- планирование эксплуатации и технического обслуживания систем;

- реализация Э/Э/ПЭ СБЗС систем;

- реализация СБЗС систем, основанных на неэлектрических технологиях (в случае их применения);

- реализация прочих средств уменьшения риска;

- оценка и подтверждение соответствия;

- эксплуатация, техническое обслуживание, ремонт, периодический контроль;

- видоизменение и модификация систем;

- вывод из эксплуатации и утилизация.

4.2.2 Структура полного ЖЦ Э/Э/ПЭ СБЗС систем конкретного объекта защиты (здания и сооружения) может быть дополнена, сокращена или изменена по отношению к базовой структуре при условии обоснования новой структуры и обеспечения выполнения целей и требований ГОСТ 34332.2.

4.2.3 Действия участников создания и применения Э/Э/ПЭ СБЗС систем на стадиях и этапах их ЖЦ синхронизируют с действиями участников создания и использования зданий и сооружений на соответствующих стадиях и этапах их ЖЦ.

3

ГОСТ Р 59773—2021

4.2.4 Для эффективного взаимодействия участников создания и применения Э/Э/ПЭ СБЗС систем между собой и с участниками создания и использования зданий и сооружений на соответствующих стадиях ЖЦ организуют совместные рабочие группы специалистов различных профилей.

4.2.5 Верификацию, аудит и оценку соответствия Э/Э/ПЭ СБЗС систем и их составляющих следует осуществлять на всех стадиях и этапах ЖЦ систем.

4.3 Менеджмент функциональной безопасности

4.3.1 Всем организациям, вовлеченным в действия по созданию и применению Э/Э/ПЭ СБЗС систем по 4.1, рекомендуется осуществлять менеджмент ФБ на всех стадиях ЖЦ систем.

4.3.2 Менеджмент ФБ охватывает аспекты:

- полномочий и ответственности высшего руководства организации в отношении менеджмента ФБ:

- политики менеджмента ФБ;

- обеспечения руководства организации по менеджменту ФБ:

- обеспечения компетентности лиц. вовлеченных в действия по менеджменту ФБ:

- ответственности лиц и подразделений, вовлеченных в действия по менеджменту ФБ:

- выполнения процедур по менеджменту ФБ:

- контроля выполнения действий и процедур по менеджменту ФБ.

4.4 Порядок применения требований ГОСТ 34332.3 и ГОСТ 34332.4 представлен в приложении А.

5 Примеры расчетов

5.1 Методы оценки вероятностей отказа АС представлены в приложении Б.

5.2 Примеры расчета охвата диагностикой и доли безопасных отказов представлены в приложении В.

5.3 Методика и примеры количественного определения влияния отказов аппаратных средств по общей причине в Э/Э/ПЭ СБЗС системах представлены в приложении Г.

5.4 Применение таблиц полноты безопасности ПО в соответствии с ГОСТ 34332.4.

4

ГОСТ Р 59773—2021

Приложение А (справочное)

Порядок применения требований ГОСТ 34332.3 и ГОСТ 34332.4

А.1 Общие положения

Инженерная система здания или сооружения в случае неправильной работы может представлять опасность для людей, имущества и окружающей среды из-за возникновения опасных событий (например, пожара, взрыва, выброса токсичных веществ, попадания в механизмы и т. д.). Отказы оборудования могут возникать из-за физических отказов устройств (случайные отказы оборудования), либо систематических отказов (ошибки человека, допущенные в технических условиях и конструкции конкретной системы, при определенной комбинации входов систем приводят к систематическим отказам), либо некоторых внешних условий.

Общий подход, основанный на оценке рисков, для предотвращения и/или управления отказами в Э/Э/ПЭ СБЗС системах представлен в ГОСТ 34332.2.

Основная задача настоящего стандарта заключается в обеспечении оснащения обьекта и его составляющих такими автоматическими Э/Э/ПЭ СБЗС системами, которые обеспечивают предотвращение:

- отказов систем управления, инициирующих другие события, которые, в свою очередь, могут привести к опасному событию:

- необнаруженных отказов СБЗС систем (например, в системах аварийного останова), делающих эти системы недоступными в момент необходимых действий, связанных с безопасностью.

Требование проведения анализа опасностей и рисков на уровне процесса/системы для определения суммарного снижения риска, необходимого для достижения соответствия критериям риска для данного применения. установлены в ГОСТ 34332.1—2017 (разделы 7 и8)и ГОСТ 34332.2—2017 (раздел 7). Оценка риска основана на оценке как последствий (или серьезности), гак и частоты (или вероятности) опасного события.

Требование использования степени снижения риска, установленной в процессе анализа, для необходимости определения одной или нескольких СБ систем и конкретных функций безопасности (каждая с заданной полнотой безопасности), для выполнения которых нужны зги системы, содержится в ГОСТ 34332.2.

Примечания

1 СБ система включает в себя АС. ПО и дополнительные средства (например, источники питания, датчики, устройства ввода/ввода. исполнительные элементы и др.) [см. ГОСТ 34332.1—2017 (пункт 3.44)].

2 УПБ определяется как один из четырех дискретных уровней. УПБ 4 является наивысшим, а УПБ 1 — низшим уровнем [см. ГОСТ 34332.1—2017 (пункт 3.52)].

В ГОСТ 34332.2—2017 (раздел 7) установлено, что величина уменьшения риска, определенная в результате анализа рисков, далее должна быть использована для определения следующего: сколько требуется СБЗС систем (одна или несколько): каким должен быть УПБ функции(ий) безопасности системы, для которой они необходимы (каждая из функций безопасности имеет определенный УПБ).

В ГОСТ 34332.3 и ГОСТ 34332.4 представлены требования к функциям безопасности и полноте безопасности. установленные в ГОСТ 34332.2 для любой Э.'Э.'ПЭ СБЗС системы, включая КСБ. а также действия на стадиях ЖЦ системы, которые:

- применяют при разработке технического задания, проектировании и внесении изменений в АС и ПО.

- сфокусированы на средствах предотвращения случайных отказов и/или управления случайными отказами АС и систематическими отказами (на ЖЦ Э/Э.'ПЭ СБЗС системы и ПО этой системы).

Примечание — Для четкого структурирования требований настоящего стандарта применена модель процесса разработки, в которой каждый этап ЖЦ следует в определенном порядке с небольшим шагом. Однако может быть использован иной подход к ЖЦ. если планируется выполнение целей и требований, установленных в ГОСТ 34332.2—2017 (раздел 7).

ГОСТ 34332.3 и ГОСТ 34332.4 не содержат указаний, какой УПБ соответствует заданному требуемому приемлемому риску. Это решение зависит от многих факгоров. включая характер применения, степень выполнения функций безопасности другими системами, а также социальные и экономические факторы (см. ГОСТ 34332.1 и ГОСТ 34332.2).

Требования ГОСТ 34332.3 и ГОСТ 34332.4 включают в себя:

- методы и средства, классифицированные в соответствии с УПБ, для избегания систематических, отказов с применением превентивных мер.

Примечание — Требуемые методы и средства для каждого УПБ представлены в ГОСТ 34332.3—2017 (таблицы приложений А и В) и ГОСТ 34332.4;

- управление систематическими отказами (включая отказы ПО) и случайными отказами АС с применением конструктивных решений, таких как использование встроенных средств обнаружения неисправностей, введение

5

ГОСТ Р 59773—2021

избыточности, а также дополнительных конструкторских и архитектурных решений (например, пространственное разнесение).

В ГОСТ 34332.3 гарантирование того, что цель обеспечения УПБ удовлетворена для опасных случайных отказов АС. основано:

- на требованиях к отказоустойчивости оборудования [см. ГОСТ 34332.3—2021 (таблицы 1 и 2)};

- охвате диагностикой и частоте проверочных испытаний подсистем и компонентов с поглощью проведения анализа надежности с использованием соответствующих данных.

По ГОСТ 34332.3 и ГОСТ 34332.4 гарантирование того, что цель полноты безопасности удовлетворена для систематических сбоев, достигается:

- правильным применением процедур управления безопасностью;

- использованием компетентного персонала:

- применением указанных видов ЖЦ систем безопасности, включая указанные методы и средства.

Примечание — Могут быть использованы средства, альтернативные описанным в настоящем стандарте. при условии, что при планировании обеспечения безопасности документально оформляется обоснование применения альтернативных средств (см. ГОСТ 34332.2):

- выполнением предусмотренных действий по реализации стадий ЖЦ системы безопасности, включая предусмотренные методы и средства:

- применением независимой оценки функциональной безопасности.

Примечание — Независимая оценка не всегда подразумевает проведение оценки третьей стороной [см. ГОСТ 34332.2—2017 (раздел 8)].

В ГОСТ 34332.3 формализованы требования к обеспечению полноты безопасности АС Э/Э/ПЭ СБЗС систем, включая датчики и исполнительные устройства. Методы и средства, направленные против систематических отказов АС, включают в себя соответствующую комбинацию средств по предотвращению неисправностей и управлению отказами. Если для обеспечения ФБ необходимы действия оператора, то должны быть приведены требования к интерфейсу оператора. В ГОСТ 34332.3 для обнаружения случайных отказов АС также определены методы и средства диагностического тестирования, реализуемые на уровне АС и ПО (например, диверсификация).

В ГОСТ 34332.4 формализованы требования к обеспечению полноты безопасности как встроенного ПО (включая диагностические средства обнаружения неисправностей), так и прикладного ПО. В ГОСТ 34332.4 предусмотрено использование комбинированного подхода, ориентированного на предотвращение ошибок [обеспечение качества) и устойчивость к ошибкам (за счет архитектуры ПО), так как не существует способа проверки отсутствия отказов в достаточно сложном СБ ПО и особенно предотвращения ошибок в технических условиях и в проекте. ГОСТ 34332.4 требует принятия таких принципов разработки ПО. как проектирование сверху вниз, модульность, проверка на каждой стадии ЖЦ. проверка программных модулей и библиотек программных модулей. а также четкое документирование для облегчения проверки и подтверждения соответствия. Для различных уровней ПО требуются различные уровни гарантии того, что эти и связанные с ними принципы были правильно реализованы.

Разработчик(ки) ПО всей Э/Э/ПЭ СБЗС системы, включая КСБ объекта, должен (должны) четко представлять себе архитектуру применяемой программируемой электроники, когда требуется нахождение компромиссов между архитектурами АС и ПО при оценке их вклада в обеспечение безопасности [см. ГОСТ 34332.3—2021 (рисунки 4 и 5)].

А.2 Функциональные шаги применения ГОСТ 34332.3

Функциональные шаги применения ГОСТ 34332.3 представлены в настоящем приложении на рисунках А.1 и А.2. Функциональные шаги применения ГОСТ 34332.4 представлены на рисунке А.З.

Функциональные шаги применения ГОСТ 34332.3 следующие:

- определение распределения требований к системе безопасности (ГОСТ 34332.2). При необходимости выполняют обновление планирования подтверждения соответствия системе безопасности в процессе разработки Э/Э/ПЭ СБЗС системы;

- определение требований к Э/Э/ПЭ СБЗС системам, включая требования к полноте безопасности для каждой функции безопасности [ГОСТ 34332.2—2017 (подраздел 8.2)];

- определение требований к ПО и передача их поставщику и/или разработчику ПО для применения в соответствии с ГОСТ 34332.4.

Примечание — На данной стадии необходимо рассмотреть возможность одновременных отказов в системе управления УО и Э/Э/ПЭ СБЗС системе(ах) [см. ГОСТ 34 332.1—2017 (пункт Д.3.6.5 приложения Д)]. Такие отказы могут быть результатом отказов компонентов по общей причине, например из-за влияния окружающей среды. Наличие подобных отказов может привести к большим по сравнению с ожидаемым значением остаточного риска.

- начало планирования подтверждения соответствия требованиям ФБ для Э/Э/ПЭ СБЗС системы [см. ГОСТ 34332.3—2021 (пункт 8.3.11)].

6

ГОСТ Р 59773—2021

Примечание — В ПЭ СБЗС системах для ПО выполняют аналогичные действия (см. рисунок А.З).

Рисунок А. 1 —Функциональные шаги применения ГОСТ 34332.3 (лист 1)

7

ГОСТ Р 59773—2021

Примечание — В ПЭ СБЗС системах для ПО выполняют аналогичные действия (см. рисунок А.З).

Рисунок А.2 — Функциональные шаги применения ГОСТ 34332.3 (лист 2)

8

ГОСТ Р 59773—2021

Рисунок А.З — Функциональные шаги применения ГОСТ 34332.4

- задание архитектуры (конфигурации) логической подсистемы, датчиков и исполнительных устройств. Вместе с поставщиком/разработчиком ПО проведение анализа архитектуры АС. ПО и влияния на безопасность компромиссов между АС и ПО (см. ГОСТ МЭК 61508-3—2018. рисунок 4). При необходимости повторение анализа.

- разработка модели архитектуры АС для Э/Э/ПЭ СБЗС системы. Эту модель разрабатывают, проверяя отдельно каждую ФБ. и определяют подсистему (компонент), используемую(ый) для реализации этой функции;

- установление параметров для каждой подсистемы (компонента), ислользуемой(го) в Э/Э/ПЭ СБЗС системе. Для каждой подсистемы (компонента) определяют;

а) временной интервал между тестовыми испытаниями для отказов, которые не обнаруживаются автоматически.

б) среднее время восстановления.

в) охват диагностикой [см. ГОСТ 34332.3—2021 (приложение В)).

г) вероятность отказа.

д) долю безопасных отказов [см. ГОСТ 34332.3—2021 (приложение В)[;

9

ГОСТ Р 59773—2021

е) требуемые архитектурные ограничения: для способа 1_ДС [см. ГОСТ 34332.3—2021 (пункт 8.3.4.1. 1-е перечисление)] и приложение 8. для способа 2_ДС (см. ГОСТ 34332.3—2021. пункт 8.3.4.1.2-е перечисление)];

- создание модели расчета безотказности для каждой ФБ. которая должна быть реализована Э/Э/ПЭ СБЗС системой.

Примечание — Модель расчета безотказности представляет собой математическую формулу, показывающую взаимосвязь между безотказностью и соответствующими параметрами, связанными с оборудованием и условиями его использования;

- расчет прогнозируемой безотказности для каждой ФБ с использованием соответствующей методики. Сравнение результата с заданными характеристиками отказов, определенными во 2-м перечислении данного пункта, и требованиями для способа 1_АС[см. ГОСТ 34332.3—2021 (пункт 8.3.4.1, 1-е перечисление)] или способа 2_ЛС[см. ГОСТ 34332.3—2021 (пункт 8.3.4.1. 2-е перечисление)]. Если прогнозируемая безотказность не соответствует заданным характеристикам отказов и/или требованиям способа 1_ДС или способа 2_АС. то изменяют.

а) если возможно, один или несколько параметров подсистемы [возвращаются к б-му перечислению данного пункта], шили

б) архитектуру АС [возвращаются к 4-му перечислению данного пункта].

Примечание — Существует множество методов моделирования, и аналитик должен выбрать наиболее соответствующий (перечень тех методов, которые могут быть использованы, приведен в приложении В);

- реализация проекта Э/Э/ПЭ СБЗС системы. Выбирают методы и средства для управления систематическими отказами АС. отказами, вызванными влиянием окружающей среды, и эксплуатационными отказами [см. ГОСТ 34332.3—2021 (приложение А)];

- загрузка проверенного ПО (см. ГОСТ 34332.4) в соответствующие АС [см. ГОСТ 34332.3—2021 (подраздел 8.4 и приложение Б)], параллельная разработка рабочих инструкций для пользователей и документации для обслуживающего персонала по техническому обслуживанию системы (см. ГОСТ Р МЭК 61508-2 и ГОСТ 34332.3—2021 (подраздел 8.7 и приложение Б)]. Учет аспектов, связанных с ПО (см. А.З и 6-е перечисление данного пункта);

- проведение подтверждения соответствия ФБ Э/Э/ПЭ СБЗС системы [см. ГОСТ 34332.3—2021 (подраздел 8.6) и приложение Б] вместе с разработчиком(ами) ПО [см. ГОСТ 34332.4—2021 (подраздел 7.7)];

- передача АС и результатов подтверждения соответствия Э/Э/ПЭ СБЗС системы системным инженерам для дальнейшей интеграции всей системы;

- если в процессе эксплуатации Э/Э/ПЭ СБЗС системы требуется модернизация!видоизменение, то при необходимости — повторное возвращение к ГОСТ 34332.3—2021 {подраздел 8.6).

В течение ЖЦ системы безопасности объекта для Э/Э/ПЭ СБЗС систем выполняют множество различных действий. Среди них верификация [см. ГОСТ 34332.3—2021 (подраздел 8.8)] и оценка ФБ (см. ГОСТ Р МЭК 61508-1—2012. разделе).

При выполнении приведенных выше действий для Э/Э/ПЭ СБЗС системы выбирают методы и средства обеспечения безопасности, соответствующие требуемому УПБ. Для помощи в выборе таких методов и средств составлены таблицы, упорядочивающие различные методы/средства в соответствии с четырьмя УПБ (см. ГОСТ Р МЭК 61508-2—2012, приложение В). Краткий обзор каждого из методов и средств со ссылками на источники информации о них. включая перекрестные ссылки на эти таблицы, представлены в ГОСТ 34332.5—2021 (приложения А и Б).

Один из возможных методов расчета вероятностей отказа АС для Э/Э/ПЭ СБЗС систем представлен в приложении Б.

Примечание — При выполнении приведенных выше действий допускается применять средства, альтернативные указанным в настоящем стандарте, при условии, что оправдывающие обстоятельства документально оформлены в процессе планирования подтверждения соответствия системе безопасности [см. ГОСТ 34 332.2—2017 (раздел 6)].

А.З Функциональные шаги применения ГОСТ 34332.4

Можно выделить следующие функциональные шаги применения ГОСТ 34332.4 (см. рисунок А.З);

- определение требований для Э/Э/ПЭ СБЗС систем и соответствующих компонентов планирования подтверждения соответствия системе безопасности [см. ГОСТ 34332.2—2017 (подраздел 7.10)]; при необходимости — выполнение обновления планирования подтверждения соответствия системе безопасности в процессе разработки ПО.

Примечание — На предыдущих стадиях ЖЦ:

- определены требуемые ФБ и соответствующие им УПБ (см. [ГОСТ 34 332.2—2017 (подразделы 7.8 и 7.9)]:

- распределены функции безопасности для назначенных систем Э/Э/ПЭ. связанных с безопасностью (см. [ГОСТ 34332.2—2017 (подраздел 7.6)]);

10

ГОСТ Р 59773—2021

- определение архитектуры ПО для всех ФБ. реализуемых программно [см. ГОСТ 34332.4—2021 (подраздел 7.4 и приложение А)];

- проведение вместе с поставщиком/разработчиком Э/Э/ПЭ СБЗС системы анализа архитектуры АС и ПО, а также влияния на безопасность компромиссов между АС и ПО [см. ГОСТ 34332.4—2021 (рисунок 3}]. При не-обходимости анализ повторяют;

- проведение планирования проверки и подтверждения соответствия безопасности для ПО [см. ГОСТ 34332.4—2021 (подразделы 7.3 и 7.9)];

- проведение проектирования, разработки, проверки и тестирования ПО в соответствии;

а) с планом подтверждения соответствия ФБ для ПО.

б) УПБ ПО.

в) ЖЦ СБ ПО;

- завершение действий по окончательной проверке ПО и интеграции проверенного ПО в соответствующие АС [см. ГОСТ 34332.4—2021 (подраздел 7.5)] и параллельная разработка процедур по аспектам ПО для пользователей и обслуживающего персонала системы, выполняемые при эксплуатации системы [см. ГОСТ 34332.4—2021 {подраздел 7.6)], а также 10-е перечисление пункта А.2;

- проведение вместе с разработчиком АС [см. ГОСТ 34332.4—2021 (подраздел 7.7)] подтверждения соответствия ПО в интегрированных Э/Э/ПЭ СБЗС системах [см. ГОСТ 34332.4—2021 (подраздел 7.7)];

- передача результатов подтверждения соответствия Э/Э/ПЭ системы системным инженерам для дальнейшей интеграции всей системы безопасности.

- если в процессе эксплуатации потребуется модернизация ПО Э/Э/ПЭ СБЗС системы, то выполняют возврат к соответствующей стадии, как описано в ГОСТ 34332.4—2021 (подраздел 7.8).

В процессе ЖЦ СБ ПО выполняют множество различных действий, среди них верификация [см. ГОСТ 34332.4—2021 (подраздел 7.9)] и оценка ФБ [см. ГОСТ 34332.2—2017 (раздел 8)].

В процессе выполнения приведенных выше действий выбирают методы и средства, обеспечивающие безопасность ПО. соответствующие требуемому УПБ. Для оказания помощи в выборе таких методов и средств составлены таблицы, упорядочивающие различные методы/средства в соответствии с четырьмя УПБ [см. ГОСТ 34332.4—2021 (приложение А)]. Краткое описание каждого из методов и средств со ссылками на источники информации о них. включая перекрестные ссылки на эти таблицы, представлено в ГОСТ 34 332.5—2021 (приложение В).

Обработанные примеры применения таблиц полноты безопасности приведены в приложении Е. а в ГОСТ 34332.5 включено описание вероятностного подхода к определению полноты безопасности ПО для уже разработанного ПО [(см. ГОСТ 34332.5—2021 (приложение Г)].

Примечание — При выполнении приведенных выше действий допускается применять средства, альтернативные указанным в настоящем стандарте, при условии, что соответствующее обоснование документально оформлено в процессе планирования подтверждения соответствия системе безопасное™ [см. ГОСТ 34332.2— 2017 (раздел 6)].

11

ГОСТ Р 59773—2021

Приложение Б (справочное)

Методы оценки вероятностей отказа аппаратных средств

Б.1 Общие положения

В настоящем приложении рассмотрены методы расчета вероятностей отказа АС Э/Э/ПЭ СБЗС систем, указанных в ГОСТ 34332.2—ГОСТ 34332.4. Данная информация носит справочный характер и не должна быть рассмотрена как единственно возможные методы оценки. Однако в настоящем приложении описан относительно простой подход к оценке характеристик Э/Э/ПЭ СБЗС систем и приведены руководящие указания по использованию альтернативных методов, взятых из классических методов расчета надежности.

Примечание — Архитектуры систем, представленные в настоящем стандарте, являются примерами и не должны быть рассмотрены как исчерпывающие, гак как существует множество других архитектур, которые также могут быть использованы.

Существует значительное число методов, непосредственно применимых для анализа полноты безопасности АС Э/Э/ПЭ СБЗС систем. Как правило, их делят на группы в соответствии со следующими характеристиками: - статические (логические) и динамические (состояния/переходы) модели;

- аналитические модели и моделирование на основе метода Монте-Карло.

Логические модели включают в себя все модели, описывающие статические логические связи между элементарными отказами и полным отказом системы. Блок-схемы надежности [см. ГОСТ 34332.5—2021 (Б.6.4) и ГОСТ Р 51901.12J и дерево отказов [см. ГОСТ 34332.5—2021 (Б.6.5.5. Б.6.5.9 и Б.6.5.10)] относятся к логическим моделям.

Модели состояний-переходов включают в себя все модели, описывающие поведение системы (переход из состояния в состояние) в соответствии с произошедшими событиями (отказами, ремонтами, тестированием и т. д.). Модели Маркова [см. ГОСТ 34332.5—2021 (Б.6.5.6)], сети Петри [см. ГОСТ 34332.5—2021 (Б.2.3.3 и Б.б.5.10)] и формальные языки принадлежат к моделям состояний/переходов. Представлены два марковских подхода, упрощенный подход, основанный на специальной формуле приложения В, и общий подход, позволяющий провести непосредственный расчет графов Маркова (Б.5.2). Если для систем безопасности марковский подход не применим, то вместо него может быть использован метод Монте-Карло. На современных компьютерах расчет возможен даже для уровня УПБ 4. В подразделах Б.5.3 и Б.5.4 даны руководящие указания по применению метода Монте-Карло [см. ГОСТ 34332.5—2021 (Б.6.5.8)] для моделей поведения, использующих сети Петри и формальные языки моделирования.

Упрощенный подход, который представлен первым, основан на графическом представлении блок-схемы надежности и специальной формулы Маркова, выведенной из работ Тейлора с учетом относительно консервативных гипотез, описанных в Б.3.1.

Все эти методы могут быть использованы для большинства Э.'Э.'ПЭ СБЗС систем. При определении того, какой метод использовать для конкретного применения, очень важно, чтобы пользователь конкретного метода был компетентен в его применении, и это может оказаться более важным, чем непосредственно используемый метод. Аналитик отвечает за то. чтобы гипотеза, лежащая в основе любого конкретного метода, была выполнена корректно дня рассматриваемого применения либо была внесена какая-либо необходимая корректировка для достижения соответствующего реалистичного консервативного результата. В случае недостаточной надежности данных или превалирующего числа отказов по общей причине гложет быть достаточным использование простейшей(го) модели'метода. Важна возможная потеря точности, которую определяют в каждом конкретном случае.

Если для проведения расчетов используют ПО. то специалист, выполняющий расчет, должен понимать фор-мулы>'методы. используемые в программном пакете, чтобы быть уверенным в том. что они применимы в каждом конкретном случае.

Специалист также должен проверить программный пакет путем сравнения результатов расчета нескольких тестовых примеров, полученных с помощью программного пакета и ручным способом.

Если отказ системы управления УО инициирует обращение к Э/Э/ПЭ СБЗС системе, то вероятность возникновения опасного события зависит также от вероятности отказа системы управления УО. В этой ситуации не-обходимо рассмотреть возможность одновременного отказа компонентов системы управления УО и Э/Э/ПЭ СБЗС системы из-за механизмов отказа по общей причине. При неправильном анализе наличие подобных отказов гложет привести к большим по сравнению с ожидаемым значениям остаточного риска.

Б.2 Основные вероятностные расчеты

Б.2.1 Введение

Блок-схема надежности, показанная на рисунке Б.1, представляет систему (контур) безопасности, состоящую из трех датчиков (А. В. С), одного логического решающего устройства (D). двух исполнительных элементов (Е, F) и демонстрирующую наличие в ней отказов по обшей причине (CCF).

12

ГОСТ Р 59773—2021

Рисунок Б. 1 — Блок-схема надежности полного контура безопасности

Эта блок-схема облегчает выявление пяти комбинаций отказов, ведущих к отказу Э/Э/ПЭ СБЗС системы. Каждую из них именуют минимальным сечением:

- (А. В. С) — тройной отказ:

- (Е, F) — двойной отказ;

- (О). (CCF1). (CCF2) — одинарные отказы.

Б.2.2 Э/Э/ПЭ СБЗС система с низкой интенсивностью запросов

Когда Э/Э/ПЭ СБЗС система используется в режиме с низкой интенсивностью запросов согласно настоящему стандарту требуется, чтобы была дана оценка средней вероятности опасных отказов по запросу (г. е. средней неготовности) PFD^^. Это просто отношение МОТ(Т)/Т. где MDT(7) означает время простоя Э/Э/ПЭ СБЗС системы на отрезке времени (0. 7].

Для систем безопасности вероятность отказа, как правило, крайне низка и вероятность одновременного наличия двух минимальных сечений ничтожна. Поэтому суммарное значение средних периодов простоя всех минимальных сечений дает консервативную оценку среднего времени простоя всей системы. Исходя из блок-схемы на рисунке Б.1 имеем:

МОТ-МОТ^ч MDT°₊MDT^e\ (Б.1)

Деление на Г дает:

₽Г° • PfO« * РЯ»^ * Р™™- (Б.2)

Таким образом, для последовательно соединенных компонентов вычисления PFD_ailtJ похожи на вычисления. которые выполняют с обычными вероятностями, очень малыми по сравнению с 1.

Однако для параллельно соединенных компонентов, где потеря функциональности возможна только при множественном отказе, таком как (Е. F). очевидно, что MDT^Cf не представляется возможным вычислить непосредственно из MDT^e и MDT^f. MDT системы MDT(E. F) следует вычислять, используя выражение:

т

MDT^eF = /рп/ (OPFD^OdL (Б.З)

О

Поэтому обычные вероятностные вычисления (посредством сложения и умножения) не действительны для ^p^^avp вычислений (посредством интегрирования) параллельных компонентов. PFD_ave не обладает такими же свойствами, как истинная вероятность, и его ассимиляция с реальной вероятностью может привести к неадекватным результатам. В частности, невозможно получить PFD_Okg Э/Э/ПЭ СБЗС системы, комбинируя традиционным способом PFD^ -его компонентов. Поскольку это иногда поощряется коммерческими поставщиками булевых программных пакетов, аналитики должны быть предельно внимательными для того, чтобы избежать таких неадекватных вычислений, которые нежелательны при работе с безопасностью.

Пример —Для канала с избыточностью (1оо2) с интенсивностью опасных необнаруженных отказов K_DU и интервалом между контрольными испытаниями т расчет по некорректной вероятностной модели может дать (K_DU т^/4. когда в действительности она должна быть равна (K_DU- т )²/3.

Вычисления могут быть выполнены аналитически или с использованием метода Монте-Карло. В настоящем приложении описано, каким образом выполнить эти вычисления, используя общепринятые модели надежности. основанные на логических подходах (блок-схемы надежности или дерево отказов) или на моделях состояний-переходов (сети Маркова, сети Петри и т. д.).

13

ГОСТ Р 59773—2021

Б.2.3 Режим работы Э/Э/ПЭ СБЗС системы с высокой интенсивностью запросов или с непрерывным запросом

Б.2.3.1 Общая формула РЕН

Когда Э/Э/ПЭ СБЗС систему используют в режиме с высокой интенсивностью запросов или с непрерывным запросом, согласно настоящему стандарту необходимы вычисления значения средней частоты опасных отказов РЕН. Это среднее значение так называемой безусловной интенсивности отказов (также именуемое частотой отказов) w(l) за интересующий период вычисляют по формуле

ч Т

PFH(T}--/w(f)dt (Б.4)

' о

Если Э/Э/ПЭ СБЗС система работает в режиме с непрерывным запросом и является основным средством обеспечения безопасности, то отказ всей СБЗС системы ведет непосредственно к потенциально опасной ситуации. Следовательно, при вычислениях можно считать, что отказы, приводящие к отказу ФБ всей системы. СБЗС система отказ не исправляет. Однако если отказ всей СБЗС системы не ведет непосредственно к потенциальной опасности при наличии других средств безопасности или к отказу оборудования, то возможно рассмотреть обнаружение отказа в СБЗС системе и ее ремонт при расчете снижения риска этой системой.

Б.2.3.2 Вероятность появления отказа (например, в случае единственного средства, работающего в режиме с непрерывным запросом)

Данный случай используют, когда Э/Э/ПЭ СБЗС система работает в режиме с непрерывным запросом и является основным средством обеспечения безопасности. Таким образом, непосредственно после ее отказа может возникнуть потенциально опасная ситуация. Ни один отказ всей системы не допустим в рассматриваемом периоде.

В этом случае средняя частота опасных отказов РЕН может быть рассчитана с использованием вероятности появления отказа, деленной на величину рассматриваемого периода времени:

F(T): PEFlTj-

1-ехр ( д(г)ф о Т

(Б.5)

Интенсивность полного отказа системы Л(/) может зависеть от времени или быть константой.

Если она зависит от времени, то среднюю частоту опасных отказов PFH(T) вычисляют по формуле

PFH(T)-

!^?Ы._Л Т W

(Б.6)

Если система выполнена из компонентов, полностью и быстро восстанавливаемых, с постоянными интенсивностями отказов и ремонта (например, в случае обнаруживаемых опасных отказов), то Af/) быстро достигает своего постоянного асимптотического значения A_os. Когда PFHfTJ « 1, значение PFH(T) вычисляют по формуле

p_FH,T)--_(Б.7>

Асимптотическое значение A_aS существует только тогда, когда Э/Э/ПЭ СБЗС система, работающая в непрерывном режиме, включает в себя только безопасные и DD-отказы (например, быстро обнаруживаемые и исправимые). Не рассматривают ремонт тех отказов, которые могут привести к полному отказу ФБ. Для конфигурации с резервированием, где применимы контрольные проверки, асимптотическая интенсивность отказов не применима, и должны быть использованы формулы (Б.4)—(Б.6). Выбор конкретного случая выполняет аналитик.

Б.2.3.3 Неготовность (например, при наличии нескольких средств обеспечения безопасности)

Когда Э/Э/ПЭ СБЗС система работает в режиме с непрерывным запросом и не является единственным средством обеспечения безопасности, отказы лишь увеличивают частоту запросов к другим средствам обеспечения безопасности, также как и тогда, когда она работает в режиме высокой интенсивности запросов и при этом в период ожидания запроса существует возможность выявить (автоматически или вручную) и устранить отказ, который может привести к непосредственному отказу ФБ. В этом случае отказы всей системы могут быть исправлены. и PFH может быть рассчитана исходя из значений готовности A(t) и условной интенсивности отказа системы Av(t).

14

ГОСТ Р 59773—2021

Если система создана из компонентов, которые могут быть полностью и быстро исправлены (например, когда в любой ситуации, ведущей к ухудшению работы, существует большая вероятность быстро вернуть все в нормальное рабочее состояние), то ее Av(t) быстро достигает асимптотического значения Л_И!, которое в дополнение ко всему является неплохим приближением к действительной асимптоте интенсивности отказа всей системы Л^. введенной в Б.2.3.2.

В результате получают:

PFH«-----= — » — - —.

MUT + MDT MTBF MUT MTTF

(Б.8)

Б.2.3.4 Обсуждение интенсивности отказов

В формулах Б.6 и Б.8 используют интенсивность отказов всей системы A(fJ. вычисление которой не очень простое, поэтому необходимо отметить нижеприведенные положения.

Для вычисления интенсивности отказов структуры, состоящей из последовательно соединенных компонентов. следует сложить интенсивности отказов каждого из компонентов. Исходя из блок-схемы, показанной на рисунке Б.1. интенсивность полного отказа Э.'Э/ПЭ СБЗС системы можно вычислить по формуле

л(/)=л"*+x^'f о+x^d (о+л* * х^² (,).

(Б.9)

гдеЛДО — интенсивность полного отказа Э/Э/ПЭ СБЗС системы.

Л (J), А ц). А (/). Л (/) и Л (t) — интенсивность отказов пяти минимальных сечении для Э/Э/ПЭ СБЗС системы.

Для параллельных структур все сложнее, так как в этом случае отсутствуют простые соотношения с интенсивностями отказов отдельных компонентов. Например, рассмотрим сечение (Е. F):

- если Е и F не могут быть мгновенно восстановлены (например, в случае DU-отказов). А^сг(у изменяется непрерывно от 0 до Л (интенсивность отказов Е или F). Асимптотическое значение достигается, когда один из двух компонентов откажет. Это довольно длительный процесс, т. к. это проявляется, когда f становится более 1/А. Данное значение не будет достигнуто, если Ен F периодически проверяют с периодом т «

Л

- если Е и F могут быть восстановлены в относительно короткий период времени (например, в случае DD-отказов). K^£F(t) очень быстро достигает асимптотического значения Л^сг = 2Л^г /ц . которое может быть использо-вано как эквивалент постоянной интенсивности отказов. Это значение достигается, когда f становится в два-три раза больше, чем значения компонентов MTTR. Данный случай полностью и быстро восстанавливаемых систем описан в Б.2.3.2 и Б.2.3.3.

Таким образом, в общем случае оценка интенсивностей отказов всей системы требует более сложных вычислений. чем для более простой последовательной структуры.

Б.З Метод блок-схемы надежности при постоянной интенсивности отказов

Б.3.1 Основная гипотеза

Расчеты основаны на следующих предположениях:

- значение результирующей средней вероятности отказа выполнения функции безопасности по запросу для системы менее 10 ’ или значение результирующей средней частоты опасного отказа для системы менее 10 ⁵ в час.

Примечание — Предположение означает, что такая Э.'Э/ПЭ СБЗС система удовлетворяет требованиям ГОСТ 34332.2—2017 (см. таблицы 2 и 3) и УПБ 1;

- частота отказов компонентов постоянна в течение срока службы системы;

- подсистема датчиков (подсистема ввода) состоит из реального(ых) датчика(ов) и других компонентов и соединительных проводов вплоть до компоненга(ов). но не включая его (их), где сигналы впервые объединяются с помощью процедуры голосования или другой процедуры (например, при конфигурации каналов из двух датчиков, представленной на рисунке Б.2).

15

ГОСТ Р 59773—2021

Рисунок Б.2 — Пример конфигурации для двух каналов датчиков

- логическая подсистема включает в себя компонент(ы). в котором(ых) сигналы вначале объединяются. и все другие компоненты вплоть до тех компонентов включительно, откуда результирующий(ие) сигнап(ы) передается(ются) подсистеме исполнительных элементов;

- подсистема исполнительных элементов (подсистема вывода) включает в себя компоненты и соединения. которые обрабатывают исполнитепьный(ые) сигнал(ы), получаемый(ые) от логической подсистемы, а также исполнительный(ые) компонент(ы);

- значения частот отказов АС. применяемых в качестве исходных данных для расчетов и таблиц, задаются для одного канала подсистемы (например, при использовании датчиков в виде архитектуры 2ооЗ частота отказов задается для одного датчика, а влияние архитектуры 2ооЗ рассчитывается дополнительно);

- значения частот отказов и охват диагностикой одинаковы для всех каналов в голосующей группе;

- общая частота отказов АС канала подсистемы является суммой значений частоты опасных и частоты безопасных отказов для данного канала, которые полагают равными.

Примечание — Это предположение влияет на долю безопасных отказов (см. ГОСТ 34332.3—2021 (приложение В)], но доля безопасных отказов не влияет на рассчитанные значения вероятности отказа, приведенные в данном приложении;

- для каждой ФБ существуют эффективные средства тестирования и устранения отказов (г. е. все отказы, оставшиеся невыявленными. обнаруживаются при тестировании), влияние неидеального тестирования в соответствии с Б.3.2.2.5;

- интервал времени между тестовыми испытаниями должен быть, по крайней мере, на порядок больше, чем MRT;

- для каждой подсистемы существует единый интервал времени между тестовыми испытаниями и MRT;

- ожидаемый интервал времени между запросами на выполнение ФБ должен быть, по крайней мере, на порядок больше интервала времени между тестовыми испытаниями;

- для всех подсистем, работающих в режиме с низкой интенсивностью запросов, и для архитектур 1оо2,1OO2D и 1ооЗ. функционирующих в режиме с высокой интенсивностью запросов или с непрерывным запросом, доля отказов, заданная охватом диагностикой, обнаруживается и устраняется за MTTR. приведенное в требованиях к полноте безопасности АС.

Пример — Если предполагаемое MTTR равно 8 ч. то оно включает в себя продолжительность диагностического тестирования, которое обычно не превышает 1 ч. а оставшаяся часть среднего времени восстановления — это MRT.

Примечание — Для канальных архитектур 1оо2. 1oo2D и 1ооЗ предполагается выполнение любого ремонта в оперативном режиме. Если конфигурация Э/Э/ПЭ СБЗС системы при любом обнаруживаемом отказе обеспечивает переход УО в безопасное состояние, то это уменьшает среднюю вероятность отказа при запросе. Степень уменьшения вероятности зависит от охвата диагностикой;

- для канальных архитектур tool и 2оо2, работающих в режиме с высокой интенсивностью запросов или с непрерывным запросом. Э/Э/ПЭ СБЗС система всегда переходит в безопасное состояние после обнаружения опасного отказа. Для этого ожидаемый интервал времени между запросами должен быть, по крайней мере, на порядок больше временного интервала диагностического тестирования или сумма временных интервалов диагностического тестирования и временных интервалов перехода УО в безопасное состояние должна быть меньше, чем время безопасной работы;

- если отказ источника питания приводит к обесточиванию Э/Э/ПЭ СБЗС системы и инициирует переход в безопасное состояние, то источник питания не влияет на среднюю вероятность отказа по запросу системы: если для перехода в безопасное состояние на систему подается питание или у источника питания существуют режимы отказов, которые могут приводить к небезопасной работе Э/Э/ПЭ СБЗС системы, то при оценке следует учитывать источник питания;

16

ГОСТ Р 59773—2021

- вели используется терминальный канал, то он ограничивается лишь той частью рассматриваемой системы, которой обычно является либо датчик, либо логическая подсистема, либо подсистема логических элементов;

- параметры и их обозначения представлены в таблице Б.1.

Таблица Б.1 — Параметры, используемые в настоящем приложении, и диапазоны их значений (применяются к архитектурам 1оо1, 1оо2. 2оо2. 1oo2D и 2ооЗ)

17

ГОСТ Р 59773—2021

Окончание таблицы Б. 1

18

ГОСТ Р 59773—2021

Б.3.2 Средняя вероятность отказа по запросу (для режима с низкой интенсивностью запросов)

Б.3.2.1 Процедура расчета

Среднюю вероятность отказа ФБ для Э.'Э.'ПЭ СБЗС системы определяют посредством вычисления и объединения средних вероятностей отказов по запросу для всех подсистем, совокупность которых обеспечивает ФБ. Так как рассматриваемые в настоящем приложении вероятности невелики, то средняя вероятность отказа по запросу для ФБ Э.'Э.'ПЭ СБЗС системы (см. рисунок Б.З) PFD_sys может быть вычислена по формуле

PFD,_V- = PFD, + PFD. * PFDp-. <^{Б 10})

ОТО О U ГС

Рисунок Б.З — Структура подсистем Э/Э/ПЭ СБЗС системы

Для определения средней вероятности отказа по запросу для каждой из подсистем необходимо строго придерживаться следующей процедуры для каждой подсистемы:

- разработка структурной схемы, изображающей компоненты подсистемы датчиков (подсистемы ввода). компоненты логической подсистемы или компоненты подсистемы исполнительных элементов (подсистемы вывода). Компонентами подсистемы датчиков, например, могут быть датчики, защитные экраны, входные согласующие цепи: компонентами логической подсистемы — процессоры и сканеры, а компонентами подсистемы исполнительных элементов — выходные согласующие цепи, экраны и исполнительные механизмы. Каждую подсистему представляют как одну либо более голосующих групп 1оо1. 1оо2. 2оо2, 1оо2О или 2ооЗ;

- применение соответствующих таблиц Б.2—Б.5. в которых приведены шестимесячные, годовые, двухлетние и 10-летние интервалы между процедурами тестирования. Данные таблицы предполагают, что среднее время восстановления для любого отказа после его обнаружения равно 8;

- для каждой голосующей группы в подсистеме осуществление выбора из таблиц Б.2—Б.5:

а) архитектуры (например, 2ооЗ),

б) охвата диагностикой для каждого канала (например. 60 %).

в) интенсивности опасных отказов в час. А^ для каждого канала (например. 2.5 -10"^).

г) факторов отказа по общей причине p-факторов (Р и Р_о) для взаимосвязи между каналами в рассматриваемой архитектуре (например. 2 % и 1 % соответственно).

Примечания

1 Предполагается, что все каналы в голосующей группе имеют одинаковые охват диагностикой и интенсивность отказов (см. Б.1).

2 В таблицах Б.2—Б.5 (см. также таблицы Б.10—Б.13) предполагается, что p-фактор в отсутствие диагностических тестов (также применяемый для необнаруженных опасных отказов при использовании диагностических тестов) в два раза больше p-фактора для отказов, обнаруживаемых диагностическими тестами р_о

- получение исходя из данных таблиц Б.2—Б.5 средней вероятности отказа для голосующей группы;

- если функция безопасности зависит от нескольких голосующих групп датчиков или исполнительных элементов. го совокупную среднюю вероятность отказа для подсистемы датчиков или подсистемы исполнительных элементов PFD_S или PFD_FE вычисляют по следующим формулам:

PFD_S - pFD^; и PFD^ - £PFD_&1 (Б.11)

I

где PFD_G1 и PFD_Gj — средние вероятности отказа для каждого из голосующей группы датчиков или исполнительных элементов, соответственно.

Эти формулы используют во всех уравнениях как для PFD. так и для интенсивности отказов системы, которые являются функцией интенсивности отказов компонентов и среднего времени простоя MDT. Если система состоит из нескольких элементов и требуется определить общую PFD комбинации всех элементов или интенсивность отказов системы, то при вычислениях обычно применяют единое значение MDT. Однако каждый элемент может иметь различные механизмы обнаружения отказов с разными MDT. и разные элементы могут иметь разные MDT для одних и тех же механизмов обнаружения отказов. В этом случае необходимо вычислить единое значение MDT. которое отражает все элементы в цепочке. Это можно выполнить, рассматривая полные цепочки интенсивности от-

19

ГОСТ Р 59773—2021

казов всей системы и пропорционально распределяя индивидуальные значения МОТ для элементов в соответствии с вкладом их интенсивностей отказов в общую интенсивность отказов.

Например, при наличии двух элементов в последовательности, один с интервалом между контрольными проверками Т_}. а другой с интервалом между контрольными проверками Т₂. эквивалентное единое значение для МОТ вычисляют по формулам:

^">ч*^

(Б.12)

(Б. 13)

Б.3.2.2 Архитектуры для режима с низкой интенсивностью запросов

Примечания

1 В настоящем пункте справедливые для нескольких архитектур формулы приводят в том случае, если их используют впервые.

2 Формулы настоящего пункта справедливы для предположений, перечисленных в Б.3.1.

3 Приведенные примеры являются типичными конфигурациями и не являются исчерпывающими.

Б.3.2.2.1 Архитектура 1оо1

Данная архитектура предполагает использование одного канала, и любой опасный отказ приводит к нарушению ФБ при возникновении запроса на ее выполнение.

На рисунках Б.4 и Б.5 представлены соответствующие структурные схемы. Интенсивность опасного отказа для канала Л_о вычисляют по формуле

^d“)’ou*^do' (Б.14)

Канал ------------------------------------------------------i---------------------------------------------------------- _г-----лк-----₍

| Диагностика ।

I____________1

Рисунок Б.4 — Структурная схема архитектуры 1оо1

Рисунок Б.5 — Структурная схема надежности для архитектуры 1оо1

На рисунке Б.5 показано, что канал можно рассматривать как состоящий из двух компонентов: один — с интенсивностью опасных отказов Л^. обусловленной необнаруженными отказами, а другой — с интенсивностью опасных отказов Л^. обусловленной обнаруженными отказами. Эквивалентное среднее время простоя канала f_G£ можно рассчитать, суммируя времена простоя для двух компонентов /_С1 и /_С2. прямо пропорционально вкладу каждого компонента в вероятность отказа канала, по формуле

^-^Н^""⁷

(Б.15)

Для каждой архитектуры интенсивность необнаруженных опасных отказов \_ои и интенсивность обнаруженных опасных отказов Л_оо определяют следующим образом:

20

ГОСТ Р 59773—2021

^-М¹-⁰^ (Б.16)

^М*^ (Б. 17)

Среднюю вероятность отказа выполнения функции безопасности канала PFD в течение времени простоя ¹СЕ определяют исходя из выражения:

PFD -1 - е ' ^« . i._ot_ce «i. (Б.1₈₎

Следовательно, среднюю вероятность отказа по запросу для архитектуры 1оо1 PFD_S вычисляют по формуле

^PFDs ^'чхЛ^со^ат

(Б.19)

Б.3.2.2.2 Архитектура 1оо2

Данная архитектура представляет собой два канала, соединенных параллельно, где любой из каналов может выполнить ФБ. Следовательно, для нарушения ФБ опасные отказы должны возникнуть в обоих каналах. Предполагается, что любое диагностическое тестирование только сообщает о найденных сбоях и не может изменить ни выходные состояния каналов, ни результат голосования.

На рисунках Б.6 и Б.7 представлены соответствующие структурные схемы. Значение t_C£ вычисляют в соответствии с Б.3.2.2.1. но необходимо вычислить также и эквивалентное время простоя системы t_GE по формуле

(Б.20)

Рисунок Б.6 — Структурная схема архитектуры 1оо2

Рисунок Б.7 — Структурная схема надежности для архитектуры 1оо2

Для данной архитектуры средняя вероятность отказа по запросу PFD_G равна:

2 (Т \

РТОв-ф-^Ии^-Й^») ««•УиК™^**’} (6.21)

21

ГОСТ Р 59773—2021

Б.3.2.2.3 Архитектура 2оо2

Данная архитектура представляет собой два канала, соединенных параллельно, и для выполнения функции безопасности необходима работа обоих каналов. Предполагается, что любое диагностическое тестирование только сообщает об обнаруженных сбоях и не гложет изменить ни выходные состояния каналов, ни результат голосования.

На рисунках Б.8 и Б.9 представлены соответствующие структурные схемы. Значение t_CE вычисляют в соответствии с Б.3.2.2.1. а среднюю вероятность отказа по запросу PFD_G для данной архитектуры определяют как:

^PFDG "^СЕ' (Б-22)

Рисунок Б.8 — Структурная схема архитектуры 2оо2

Рисунок Б.9 — Структурная схема надежности для архитектуры 2оо2

Б.3.2.2.4 Архитектура 1oo2D

Данная архитектура представляет собой два канала, соединенных параллельно. При нортлальной работе для выполнения функции безопасности по запросу необходимы оба канала. Кроме того, если диагностическое тестирование обнаруживает отказ в любом канале, то результаты анализа устанавливаются таким образом, чтобы общее выходное состояние совпадало с результатом, выдаваемым другим каналом. Если диагностическое тестирование обнаруживает отказы в обоих каналах или несоответствие между ними, причина которого не может быть идентифицирована, то выходной сигнал переводит систему в безопасное состояние. Для обнаружения несоответствия между каналами каждый канал может определять состояние другого канала не зависящим от другого канала способом. Сравнение канала/механизма переключения не может быть эффективным на 100 %, поэтому параметр К представляет собой эффективность межканального сравнения/механизма переключения, г. е. выход может оставаться таким же. как и для архитектуры 2оо2. даже если в одном из каналов обнаружен отказ.

Примечание — Параметр К следует определить с помощью анализа причин и последствий отказов FMEA (от английского «failure modes and effects analysis»).

Для каждого канала интенсивность обнаруженных безопасных отказов А^ определяют как.

(Б.23)

На рисунках Б.10 и Б. 11 представлены соответствующие структурные схемы. Значения эквивалентного среднего времени простоя отличаются от значений, приведенных для других архитектур в Б.3.2.2, поэтому их обозначают как t_CE и t_G£ и вычисляют по следующим формулам:

^^•“"Т

^XDU ⁺

(Б.24)

22

ГОСТ Р 59773—2021

/ ’--1 + MRT.

6г 2

(6-25)

Рисунок Б. 10 — Структурная схема архитектуры 1oo2D

Рисунок Б. 11 — Структурная схема надежности для архитектуры 1оо2О

Среднюю вероятность отказа по запросу PFD_G для данной архитектуры вычисляют по формуле

PFD_o-2(1_Hn>_w((1-₽)^(l-^H^^ (6.26)

Б.3.2.2.5 Архитектура 2ооЗ

Данная архитектура состоит из трех каналов, соединенных параллельно с мажорированием выходных сигналов таким образом, что выходное состояние не меняется, если результат, выдаваемый одним из каналов, отличается от результата, выдаваемого двумя другими каналами.

Предполагается, что любое диагностическое тестирование только фиксирует найденные сбои и не может изменить ни выходные состояния каналов, ни результат голосования.

На рисунках Б.12 и Б. 13 представлены соответствующие структурные схемы. Значение 1_СЕ вычисляют по Б.3.2.2.1, а значение t_G£ — по Б.3.2.2.2. Среднюю вероятность отказа по запросу PFD_G для данной архитектуры вычисляют по формуле

Pr^lii-^WIi-eMVoe^-^T^^^

(6.27)

23

ГОСТ Р 59773—2021

Рисунок Б. 12 — Структурная схема архитектуры 2ооЗ

Рисунок Б. 13 — Структурная схема надежности для архитектуры 2ооЗ

Б.3.2.2.6 Архитектура 1 ооЗ

Данная архитектура состоит из трех каналов, соединенных параллельно со схемой голосования для выходных сигналов, так что выходной сигнал соответствует схеме голосования 1ооЗ.

Предполагается, что любая диагностическая проверка только сообщает о найденных отказах и не меняет выходных состояний или выхода схемы голосования.

Значение t_Cg вычисляют по Б.3.2.2.1. а значение 1_G£ — по Б.3.2.2.2. Средняя вероятность отказа по запросу PFD_G для данной архитектуры равна

PFD_G-6((1-0_O)X^₊(1-^^^

ГДв ^fG2£ ^MRT । * ^ ^МПК

Б.3.2.3 Подробные таблицы для режима с низкой интенсивностью запросов

Значения средних вероятностей отказов по запросу для различных интервалов между контрольными испытаниями при среднем времени ремонта 8 ч представлены в таблицах Б.2—Б.5.

Примечание — В таблицах Б.2—Б.5 «Е» означает основание степенной функции (число 10). а последующие знаки и числа (например. «-Об». «00». «02») — показатели степени. Таким образом. оЕ-06» означает «10"$». «Е-00» — «10°». а оЕ02» — «10²».

24

ГОСТ Р 59773—2021

Таблица Б.2 — Средняя вероягность отказа по запросу для шестимесячного интервала между контрольными проверками при среднем времени ремонта 8 ч

25

ГОСТ Р 59773—2021

Окончание таблицы Б. 2

Таблица Б.З — Средняя вероятность отказа по запросу для одногодичного интервала между контрольными испытаниями и среднего времени ремонта 8 ч

26

Окончание таблицы Б.З

ГОСТ Р 59773—2021

Примечания

1 В настоящей таблице приведены примеры значений PFD_G. рассчитанные по формулам (Б.9)— (Б.27) и с учетом предположений, перечисленных в Б.3.1. Если подсистема датчиков, логическая подсистема или подсистема исполнительных элементов входят в состав только одной группы голосующих каналов, то PFD_G эквивалентна PFD_S. PFD_L или PFD_fE соответственно (см. Б.3.2.1).

2 В настоящей таблице предполагается, что р = 2 р₀. Для архитектур 1оо1 и 2оо2 значения Р и р₀ не влияют на среднюю вероятность отказа.

3 Интенсивность безопасных отказов принимают равной интенсивности опасных отказов и К = 0.98.

27

ГОСТ Р 59773—2021

Таблица Б.4 — Средняя вероятность отказа по запросу для двухлетнего интервала между контрольными испытаниями и среднего времени ремонта 8 ч

28

Окончание таблицы Б.4

ГОСТ Р 59773—2021

Примечания

1 В настоящей таблице приведены примеры значений PFD_G, рассчитанные по формулам (Б.9)— (Б.27) и с учетом предположений, перечисленных в Б.3.1. Если подсистема датчиков, логическая подсистема или подсистема исполнительных элементов входят в состав только одной группы голосующих каналов, то PFD_G эквивалентна PFD_S, PFD, или PFD_fe соответственно (см. Б.3.2.1).

2 В настоящей таблице предполагается, что р = 2 р₀. Для архитектур 1оо1 и 2оо2 значения р и Рр не влияют на среднюю вероятность отказа.

3 Интенсивность безопасных отказов принимают равной интенсивности опасных отказов и К = 0.98.

29

ГОСТ Р 59773—2021

Таблица Б.5 — Средняя вероятность отказа по запросу для десятилетнего интервала между контрольными испытаниями и среднего времени ремонта 8 ч

30

Окончание таблицы Б.5

ГОСТ Р 59773—2021

Примечания

1 В настоящей таблице приведены примеры значений PFD_G, рассчитанные по формулам (Б.9)— (Б.27) и с учетом предположений, перечисленных в Б.3.1. Если подсистема датчиков, логическая подсистема или подсистема исполнительных элементов входят в состав только одной группы голосующих каналов, то PFD_G эквивалентна PFD_S, PFD_L или PFD_fe соответственно (см. Б.3.2.1).

2 В настоящей таблице предполагается, что р = 2 р_о. Для архитектур 1оо1 и 2оо2 значения р и р₀ не влияют на среднюю вероятность отказа.

3 Интенсивность безопасных отказов принимают равной интенсивности опасных отказов и К = 0.98.

Б.3.2.4 Пример режима с низкой интенсивностью запросов

Рассматривают функцию безопасности, для реализации которой нужна система с УПБ 2. Построенный на основе предыдущего опыта первоначальный вариант архитектуры всей системы включает одну группу из трех аналоговых датчиков давления с архитектуре»! 2ооЗ на входе. Логическая подсистема рассматриваемой системы представляет собой ПЭ систему с избыточностью с архитектурой 1оо2О и управляет одним закрывающим и одним дренажным клапанами, так как для обеспечения функции безопасности необходима работа как закрывающего, так и дренажного клапана. Архитектура всей системы представлена на рисунке Б.14. Для этой системы оценивают сначала функцию безопасности PFD_sys при одногодичном периоде контрольных испытаний. Таблицы Б.6—Б.8 являются фрагментами таблицы Б.З для соответствующих данных на рисунке Б.14.

31

ГОСТ Р 59773—2021

Рисунок Б.14 — Архитектура системы рассматриваемого примера для режима с низкой интенсивностью запросов

Таблица Б.6 — Средняя вероятность отказа по запросу для подсистемы датчиков в рассматриваемом примере для режима с низкой интенсивностью запросов (интервал контрольных испытаний равен одному году, а среднее время ремонта — 8 ч)

Примечание — Настоящая таблица представляет собой фрагмент таблицы Б.З.

Таблица Б.7 — Средняя вероятность отказа по запросу дня логической подсистемы в примере для режима с низкой интенсивностью запросов (интервал контрольных испытаний равен одному году, а среднее время ремонта — 8 ч)

Примечание — Настоящая таблица представляет собой фрагмент таблицы Б.З.

32

ГОСТ Р 59773—2021

Таблица Б.8 — Средняя вероятность отказа по запросу для подсистемы исполнительных элементов в примере для режима с низкой интенсивностью запросов (интервал контрольных испытаний равен одному году, а среднее время ремонта — 8 ч)

Примечание — Настоящая таблица представляет собой фрагмент таблицы Б.З.

Данные, представленные в таблицах Б.6—Б.8. позволяют получить следующие значения:

- для подсистемы датчиков PFD_S = 2.3-10 ⁴:

- логической подсистемы PFD, = 4.8-Ю'⁶:

- подсистемы исполнительных элементов

PFD_fe = 4.4 10 ³ + 8.8 10 ³ = 1.3-10~².

Следовательно, для функции безопасности

PFD_sys = ².3-10“⁴ + 1.0-10’^б + 1,3-10’² + 1.3-10"².

= уровень полноты безопасности соответствует УПБ 1.

Для перевода системы на УПБ 2 выполняют одно из следующих действий:

- уменьшают интервал между контрольными проверками до 6 мес.

PFD_S= 1.1-1 О'⁴;

PFD_l = 6.0-10-⁵;

PFD_fe = 2.2-10 ³ + 4.4-10^ = 6.6-10 ³;

PFD_svs = 6.7-10'⁴

= уровень полноты безопасности соответствует УПБ 2;

- заменяют архитектуру 1оо1 закрывающего клапана, представляющего собой выходное устройство с низкой надежностью, на 1оо2. предполагая, что р = 10 % и p_D = 5 %:

PFD_s = 2.3-10^;

PFD_l= 1.0 10'⁵:

PFD_fe = 4.4-10 ³ + 9.7-10 ⁴ = 5.4-10 ³;

^pFD_syS = ⁵-6-¹⁰'³

= уровень полноты безопасности соответствует УПБ 2.

Б.3.2.5 Влияние неидеальных контрольных проверок

Отказы в системе безопасности, которые не обнаружены ни диагностическими тестами, ни контрольными проверками, могут быть выявлены другими методами, реализуемыми в таких ситуациях, как появление опасного события, требующего вмешательства ФБ. или во время капитального ремонта оборудования. Если отказы не будут обнаружены при помощи таких методов, следует предположить, что они останутся на весь срок службы оборудования. Обозначают обычный период между контрольными проверками Гр долю отказов, обнаруженных контрольными проверками [охват контрольными проверками — PTS (от английского «proof test coverage» — охват контрольными проверками)]. — как Т₂. а часть отказов, не обнаруженных контрольными проверками, как 1 — PTS. Эти последние отказы, которые не могут быть выявлены в ходе контрольных проверок, будут обнаружены только при запросах к СБЗС системе, выполняемых с интервалом Г₂. Таким образом, период контрольных проверок Г. и время между запросами Г₂ определяют эффективное время простоя.

Пример такой зависимости приведен для архитектуры 1оо2 (где Т₂ — время между запросами к системе), определяемой по формулам:

'о “ М* ^MRT * ^~^{: РТ}- & .MRT> MTTR

(Б.28)

33

ГОСТ Р 59773—2021

^.^^.M^W^L.mrt^m™

|Б29>

^prOs-2(i>-rJ>._M-(1-№._oj\^ HV^UR.p^ <Б.ЗО>

Результаты расчетов для системы с архитектурой 1оо2 со 100 %-ным охватом одногодичными (7, = 1 год) контрольными проверками в сравнении с 90 %-ным охватом контрольными проверками, где период запросов Т₂ предполагается равным 10 годам, приведены в таблице Б.9. В рассматриваемого примере расчеты проводились при следующих предположениях: интенсивность отказов 0.5-10 в час; ₽ = 10 %; р₀ = 5 %.

Таблица Б.9 — Результаты расчетов (неидеальные контрольные испытания)

Б.3.3 Средняя интенсивность опасных отказов (для режима работы с высокой интенсивностью запросов или с непрерывным запросом)

Б.3.3.1 Метод определения вероятности отказа функции безопасности для Э/Э/ПЭ системы, работающей в режиме с высокой интенсивностью запросов или с непрерывным запросом, аналогичен методу вычисления для режима с низкой интенсивностью запросов (см. Б.2.1}. за исключением того, что среднюю вероятность отказа по запросу PFD_sys заменяют на среднюю частоту опасного отказа в час PFH_sys.

Общую вероятность опасного отказа функции безопасности для Э/Э/ПЭ СБЗС системы PFH_sys определяют вычислением интенсивностей опасных отказов для всех подсистем, совокупность которых обеспечивает ФБ. и суммированием полученных значений. Так как рассматриваемые в настоящем приложении вероятности малы, то используют формулу

^pfhsys - ^PFHs ’ ^PFHl * ^PFHrr (Б.31)

Б.3.3.2 Архитектуры для режима работы с высокой интенсивностью запросов или с непрерывным запросом

Примечания

1 В настоящем пункте справедливые для нескольких архитектур формулы приводят в том случае, если их используют впервые (см. также Б.3.2.2).

2 Формулы настоящего пункта справедливы для предположений, перечисленных в Б.3.1.

Б.3.3.2.1 Архитектура 1оо1

На рисунках Б.4 и Б.5 представлены соответствующие структурные схемы, представленные в Б.3.2.2.1. Значения А_о. t_C£. А_оии Л_Ор вычисляют по формулам (Б.14). (Б.15), (Б.16) и (Б.17) соответственно.

Если предполагается, что СБЗС система переводит УО в безопасное состояние при обнаружении любого сбоя, то для архитектуры 1оо1 справедливо следующее

PFH_g = A₀₀.

Б.3.3.2.2 Архитектура 1оо2

На рисунках Б.б и Б.7 представлены соответствующие структурные схемы. Значение t_CE вычисляют по формуле (Б.15). приведенной в Б.3.2.2.1. Если подразумевается, что СБЗС система переводит УО в безопасное состояние непосредственно после обнаружения отказа в обоих каналах и принимают консервативный подход, то PFH_g вычисляют по формуле

34

ГОСТ Р 59773—2021

^-2(O-MW0-«^X_W)WI»W-

(Б.32)

Б.3.3.2.3 Архитектура 2оо2

Соответствующие структурные схемы представлены на рисунках Б.8 и Б.9. Если предполагается, что при обнаружении любого отказа каждый канал переводится в безопасное состояние, го для архитектуры 2оо2 применяют выражение

^PFHG - 2^. (Б.ЗЗ)

Б.3.3.2.4 Архитектура 1oo2D

Соответствующие структурные схемы представлены на рисунках Б.10 и Б.11. Для расчетов применяют выражения

>•50 = ^ (Б.34)

* ^MRTi ⁴ (^ * ^IMTTR

^--—(Г7Г7Г>----’ ^<Б35)

'■^/'OU ^DO ^{4 A}SD'

PF^=2(t-wx_w((i-Hx_w^i-i^.x^ ‘^бз6>

Б.3.3.2.5 Архитектура 2ооЗ

Соответствующие структурные схемы представлены на рисунках Б.12 и Б.13. Значение 1_С£ вычисляют по формуле (Б.15). приведенной в Б.3.2.2.1. Если предполагается, чго СБЗС система переводит УО в безопасное состояние непосредственно после обнаружения отказа в любом из каналов и принимается консервативный подход. тО PFH_g вычисляют по формуле

PFH₀=2(1-₽H_w((1-lM*^ <^Б37)

Б.3.3.2.6 Архитектура 1ооЗ

Соответствующие структурные схемы представлены на рисунках Б.12 и Б.13.

Значение t_CE вычисляют по формуле (Б.15). приведенной в Б.3.2.2.1. Если предполагается, что СБЗС система переводит УО в безопасное состояние непосредственно после обнаружения отказа в трех каналах и принимается консервативный подход, то PFH_G вычисляют по формуле

^Р%=⁶((¹-М^А_да+<^)^ (Б.38)

Б.3.3.3 Подробные таблицы для режима работы с высокой интенсивностью запросов или с непрерывным запросом

Значения средних вероятностей отказов по запросу систем в режиме с высокой интенсивностью запросов или с непрерывным запросом для различных интервалов между контрольными испытаниями при среднем времени ремонта 8 ч представлены в таблицах Б.10—Б.13.

35

ГОСТ Р 59773—2021

Таблица Б.10 — Средняя частота опасных отказов (в режиме работы с высокой интенсивностью запросов или с непрерывным запросом) для одномесячного интервала между контрольными проверками и среднего времени ремонта 8 ч

36

Окончание таблицы Б.10

ГОСТ Р 59773—2021

Примечания

1 В настоящей таблице приведены примеры значений PFD_G, рассчитанные по формулам (Б.9)—(Б.27) и с учетом предположений, перечисленных в Б.3.1. Если подсистема датчиков, логическая подсистема или подсистема исполнительных элементов входят в состав только одной группы голосующих каналов, то PFD_G эквивалентна PFD_S. PFD или PFD_fe соответственно (см. Б.3.2.1).

2 В настоящей таблице предполагается, что 0 = 2₽^ Для архитектур 1оо1 и 2оо2 значения р и р_о не влияют на среднюю вероятность отказа.

3 Интенсивность безопасных отказов принимают равной интенсивности опасных отказов и К = 0.98.

Таблица Б. 11 — Средняя частота опасных отказов (в режиме работы с высокой интенсивностью запросов или с непрерывным запросом) для трехмесячного интервала между контрольными проверками и среднего времени ремонта 8 ч

37

ГОСТ Р 59773—2021

Продолжение таблицы Б. 11

38

Окончание таблицы Б. 11

ГОСТ Р 59773—2021

Таблица Б.12 — Средняя частота опасных отказов (в режиме работы с высокой интенсивностью запросов или с непрерывным запросом) для шестимесячного интервала между контрольными проверками и для среднего времени ремонта 8 ч

39

ГОСТ Р 59773—2021

Окончание таблицы Б. 12

Примечания

1 В настоящей таблице приведены примеры значений PFDg. рассчитанные по формулам (Б.9)—(Б.27) и с учетом предположений, перечисленных в Б.3.1. Если подсистема датчиков, логическая подсистема или подсистема исполнительных элементов входят в состав только одной группы голосующих каналов, то PFD_G эквивалентна PFD_S. PFD_l или PFD_fe соответственно (см. Б.3.2.1).

2 В настоящей таблице предполагается, что р = 2-р₀. Для архитектур 1оо1 и 2оо2 значения р и p_D не влияют на среднюю вероятность отказа.

3 Интенсивность безопасных отказов принимают равной интенсивности опасных отказов и К = 0.98.

40

ГОСТ Р 59773—2021

Таблица Б.13 — Средняя частота опасных отказов (в режиме работы с высокой интенсивностью запросов или с непрерывным запросом) для одногодичного интервала между контрольными проверками и для среднего времени ремонта 8 ч