EN 50128-2001通信、信号和处理系统

2
EN50128：2001
1 范围
1.1 本欧洲标准详细规定了铁路控制和防护设备用的可编程电子系统开发所需的程序和技术要求。 它适用于任何有
隐含安全性的领域。这些应用系统的范围涵盖了安全苛求系统,如安全信号，非安全苛求系统,如管理信息系统。这些 系统可能通过采用专用多处理器，可编程逻辑控制器，分布式多处理器系统，大规模集中处理器系统或者其它架构 来实现。 1.2 1.3 本欧洲标准专门应用于软件以及软件和系统之间的相互作用。 0级以上的软件安全完整性等级用于失效可引起失去生命的后果的系统。然而，从经济或环境因素方面考虑也
2001 -1 1-01
2003-1 1-01
本欧洲标准必须与 EN50126 铁路应用——可靠性，可用性，可维护性和安全性（RAMS） ；EN50129 铁路应用——信号 领域的安全相关电子系统同时阅读。 附件中指定的“规范性的”是本项标准主体的一部分。 附件中指定的“参考性的”只用于获得的信息。 本项标准中，附件 A 是规范性的而附件 B 是参考性的。
3
EN50128：2001
EN50129-1,铁路应用——通信，信号和处理系统 第二部分：开放传输系统中的安全通信； EN ISO 9001,质量体系——设计/开发，生产，安装和维护的质量保证模型；
EN ISO 9001-3,质量管理和质量保证标准——第三部分：ISO9001:1994在计算机软件的开发， 供应，安装和维护应用的指导。 3 定义
4
EN50128：2001
与期望的设计相背离，并有可能导致未预料到的系统行为或失效。 3.9 失效（failure） 与规定的系统行为相背离。失效是系统错误或故障的结果。 3.10 故障（fault） 一种能导致系统错误或失效的不正常情形，故障可以是系统性或随机性的。 3.11 避错（fault avoidance） 在系统设计和构造的过程中使用避免引入故障的设计技术。 3.12 容错（fault tolerance） 在出现有限数量的软硬件故障的情况下，系统能继续提供正确的规定服务的内嵌能力 3.13 固件（firmware） 指令和存储在一个功能独立主存储器（通常是ROM）中的相关数据的有序集合 3.14 通用软件（generic software） 通用软件是只要提供应用相关的数据就可以应用于多种系统装置的软件。 3.15 实现人员（implementer） 由设计主管机构委派、具体实现特定设计的一个或更多人员 3.16 产品（product） 为满足特定需求，收集元素并进行互连以形成一个系统，子系统或者设备。本欧洲标准中，产品可被视为完全 由软件或者文档元素构成。 3.17 可编程逻辑控制器(PLC) 具备面向指令存储的用户可编程存储器、能实现轨定功能的固态控制系统。 3.18 可靠性(reliability) 设备在规定的条件下，在规定的时间内执行要求功能的能力。 3.19 需求可追溯性（requirement traceability） 需求可追溯性的目标是确保所有的需求能被证明已得到满足 3.20 风险（risk） 某特定危险事件的频率或概率和后果的组合。 3.21 安全性（safety） 无不可接受的风险等级。 3.22 安全主管机构（safety authority）
IVቤተ መጻሕፍቲ ባይዱ
EN50128：2001
引言
本标准是相关标准系列中的一部分。其他标准有 EN50126 铁路应用——可靠性，可用性，可维护性和安全性 （RAMS） ；EN50129 铁路应用——信号领域的安全相关电子系统。 EN50126 适用于大范围的系统问题， 而 EN50129 适用于整个铁路控制和防护系统中某单个系统的批准过程。本标准关注于需要使用的方法，以使软件能满足经全面 考虑后所分配到的安全完整性要求。 本标准从IEC/TC65第九工作组（WG9）早期工作中得到很多指导。WG9的工作形成了一个安全系统软件通用标 准，现在该标准是IEC61508的一部分。WG9工作的特别之处是包含了适用于非安全软件的软件安全完整性0级，以 及适用于安全相关和安全苛求软件的软件安全完整性1~4级。本标准也覆盖了所有五个软件安全完整性等级。 国际铁路信号工程师协会（IRSE）的工作也被考虑进来，特别是它关注相同课题的1号技术报告。 本欧洲标准的一个关键概念是软件安全完整性等级。软件失效后果的危险性的越大，软件安全完整性等级也就 越高。 本欧洲标准确定了从最低0级到最高4级的5个软件安全完整性等级的技术和措施。其中1~4这四个级别涉及安全 相关软件，0级涉及非安全相关软件。对0级进行标准化是为了让非安全相关系统软件向安全相关系统软件进行平滑 转变。附表给出了各个软件安全完整性等级和非安全相关等级要求的技术和措施。在这个版本中，1级和2级的技术 要求相同， 3级和4级的要求相同。 本欧洲标准没有给出某一风险应适用于哪个软件安全完整性等级的具体指导意见。 这个结论需要考虑许多因素包括应用的特性、其他系统承担的安全性功能范围和社会以及经济因素。 EN 50126 和EN 50129规定了分配给软件的安全性功能。 本欧洲标准规定了满足这些需求的必要措施。这个过程在图1作了说明。 EN50126和EN50129需采用系统性的方法，以： 1） 2） 3） 4） 5） 确定危险、风险和风险准则； 为满足风险准则，确定必要的风险降低； 为实现必要的风险降低，定义一个全面的系统安全性需求规格说明； 选择一个合适的系统体系结构； 规划、监督和控制那些把系统安全性需求规格说明变成安全性能(或安全完整性)已确认的安全相关系统 所必需的技术和管理活动。 在分解需求规格说明形成由安全相关系统和组件组成的设计说明时，需要进一步分配安全完整性等级，并最终 形成所需的软件安全完整性等级。
1
EN50128：2001
目前，无论是质量保证法(即避错措施)还是软件容错法的应用，都无法保证系统的绝对安全。尚未发现可以证 明一个较复杂的安全相关软件中不存在错误的方法，特别是规格说明和设计的错误。 以下规则应用于开发高安全完整性等级软件，但也不仅限于开发高安全完整性等级软件： 1） 2） 自顶向下的设计方法； 模块化；
3） 开发生命周期每一阶段的验证； 4） 5） 6） 7） 验证后的模块和模块库； 清晰的文档； 可审计的文档； 确认测试。
这些规则以及相关的其他规则必须正确应用。对于各个软件安全完整性等级，本标准均规定了说明这一点所需 的保证等级。 在得到或形成了系统安全性需求规格说明后，分配给软件的安全性功能和系统安全完整性等级就确定了，图2 给出了应用本欧标的功能步骤，如下所示： 1） 定义软件需求规格说明，同时考虑软件体系结构。软件体系结构是为软件和软件安全完整性等级开发基 本安全策略的架构。(条款5、8和9) 2） 根据软件质量保障计划、软件安全完整性等级和软件生命周期来设计、开发和测试软件。(条款10) 3） 在目标硬件上集成软件。(条款12) 4） 确认软件。(条款13) 5） 如果在运行过程中需要软件维护，那么可再适当运用本欧洲标准进行处理。(条款16) 许多活动都是在软件开发过程中交叉进行的，这其中包括验证(条款11)，评估(条款14)和质量保障(条款15)。 给出了应用数据配置的系统的需求(条款17)。 给出了从事软件开发人员能力的需求。(条款7) 本标准没有硬性要求使用特定的软件开发生命周期，但是给出了一个推荐的生命周期及文档集。(条款7，图3 和图4) 表格针对5个软件安全完整性等级明确罗列了各种技术和措施。表格在附件A中给出。与表格对照的参考书目提 供了更多的信息，给出了每项技术和措施的简明描述。参考书目在附件B中给出。
以下定义适用于此欧洲标准.对于未定义的术语,按照优先顺序查阅以下参考文献。 EN ISO 8402，质量管理和质量保证——词汇表； IEC 60050-191,国际电工词汇第 191 章：服务可信性和质量； IEEE 610.12, IEEE标准软件工程术语词汇表； ISOIIEC 2382,信息技术词汇表； ISOIIEC 9126,信息技术－软件产品评估－质量特性以及其使用指导； 3.1 评估（assessment） 用于确定设计主管机构和确认员所完成的产品是否符合规定的要求和判定产品是否达到预期目的的分析过程。 3.2 评估员（assessor） 受委托执行评估的人员或者代理。 3.3 可用性（availability） 假定所需外部资源均能满足的条件下，产品在规定的条件下，在规定的时刻或在给定的时间间隔内完成要求功 能的能力。 3.4 商用软件（COTS software） 市场需求所定义、市场已存在且其目标满足性已得到广大商业用户证明的软件。 3.5 设计主管机构（design authority） 负责提出实现特定需求的设计方案，并监控后期的开发和系统在特定环境下工作的实体。 3.6 设计者（designer） 一个或多个由设计主管机构指派的人员，他们承担需求分析并将特定需求转化成可接受且有相应安全完整性的 设计方案。 3.7 元素（element） 被确认为基本单元和基本部件的某产品的一部分。一个元素可以是简单或者复杂的。 3.8 错误（error）
能采用高级别的安全完整性等级。 1.4 本欧洲标准适用于铁路控制和防护系统开发和实现的所有软件，包括： 应用程序设计； 操作系统； 支持工具； 固件。 应用程序设计包括高级程序设计，低级程序设计和专用程序设计（如：可编程逻辑控制器梯形逻辑）。 1.5 1.6 1.7 本欧洲标准还涉及了本标准的使用、商用软件和工具。 本欧洲标准还对应用数据配置的系统提出了要求。 本欧洲标准并不涉及商务问题，这些问题应为合同的基本部分被提出。但本欧洲标准中的所有条款在任何商务
EN50128：2001
EN 50128 : 2001
铁路应用——通信、信号和处理系统——铁路 控制和防护系统软件
2007.6
1
EN50128：2001
序言
本欧洲标准是SC 9XA,即通信，信号传输和处理系统技术委员会（CENELEC TC 9X）制订，铁路电气和电子 应用的标准。草案文本作为EN 50128正式提交投票并于2000-11-01获得CENELEC批准。 修改了下列日期 --欧盟各国必须通过认可或发布相同的国家标准来执行本欧洲标准的截止日期 --与本欧洲标准冲突的国家标准必须被废止的截止日期