适用于功能安全设计的T
软件可靠性和安全性设计指南
软件可靠性和安全性设计指南（仅供内部使用）请在这里输入公司名称版权所有不得复制软件可靠性和安全性设计指南1范围1 .1主题内容［此处加入主题内容］1.2适用范围［此处加入适用范围］2引用标准GBxxxx 信息处理一一数据流程图、程序流程图、系统流程图、程序网络图和系统资源图的文件编制符号及约定。
GB/Txxx 软件工程术语GB/Txxxxxx 计算机软件质量保证计划规范GB/T xxxxx 计算机软件配置管理计划规范GB/T xxxxx 信息处理一一程序构造及其表示的约定GJBxxxx系统安全性通用大纲GJBxxxxx 系统电磁兼容性要求GBxxxx电能质量标准大纲GBxxxxx 电能质量标准术语3定义［此处加入定义］3 .1失效容限［此处加入失效容限］3 .2扇入［此处加入扇入］3 .3扇岀［此处加入扇岀］3 .4安全关键信息［此处加入安全关键信息］3 .5安全关键功能［此处加入安全关键功能］3 .6软件安全性［此处加入软件安全性］4设计准则和要求4 .1对计算机应用系统设计的有关要求4 .1.1 硬件软件功能的分配原则［此处加入硬件软件功能的分配原则］4 .1.2 硬件软件可靠性指标的分配原则［此处加入硬件软件可靠性指标的分配原则］4 .1.3 容错设计［此处加入容错设计］4 .1.4 安全关键功能的人工确认［此处加入安全关键功能的人工确认］4 .1.5 设计安全性内核［此处加入设计安全性内核］4 .1.6 记录系统故障［此处加入记录系统故障］4 .1.7 禁止回避检测岀的不安全状态［此处加入禁止回避检测岀的不安全状态］4 .1.8 安全性关键软件的标识原则［此处加入安全性关键软件的标识原则］4 .1.9 分离安全关键功能［此处加入分离安全关键功能］4 .2 对硬件设计的有关要求［此处加入对硬件设计的有关要求］4 .3软件需求分析4 .3.1 一般要求［此处加入一般要求］4 .3.2 功能需求［此处加入功能需求］4.3.2.1输入［此处加入输入］4.3.2.2处理［此处加入处理］432.3 输出［此处加入输岀］4.3.2.4 特殊要求［此处加入特殊要求］4 .3.3 性能需求［此处加入性能需求］4.3.3.1精度［此处加入精度］4.3.3.2容量［此处加入容量］4.3.3.3时间特性［此处加入时间特性］4.3.3.4灵活性［此处加入灵活性］4 .3.4 接口需求［此处加入接口需求］4.3.4.1与外部设备的接口［此处加入与外部设备的接口］4.3.4.2与其它系统的接口［此处加入与其它系统的接口］4.3.4.3人机接口［此处加入人机接口］4 .3.5 数据需求［此处加入数据需求］4 .3.6 环境需求［此处加入环境需求］4.3.6.1硬件［此处加入硬件］4.3.6.2软件［此处加入软件］4 .3.7 软件可靠性和安全性需求［此处加入软件可靠性和安全性需求］4 .3.8 其它需求［此处加入其它需求］4 .3.9 采样的确定原则［此处加入采样的确定原则］4 .4 软件设计4 .4.1 一般要求［此处加入一般要求］4 .4.2 功能设计与分配［此处加入功能设计与分配］4 43 控制流与数据流［此处加入控制流与数据流］4 .4.4 资源分配及余量［此处加入资源分配及余量］4 .4.5 设计限制［此处加入设计限制］4 .4.6 安全关键功能的设计［此处加入安全关键功能的设计］4 .4.7 冗余设计4.4.7.1恢复块［此处加入恢复块］4.4.7.2信息冗余［此处加入信息冗余］4 .4.8 接口设计4.4.8.1一般要求［此处加入一般要求］4.4.8.2人机界面设计［此处加入人机界面设计］4.4.8.3报警设计［此处加入报警设计］4.4.8.4软件接口设计［此处加入软件接口设计］4 .4.9 软件健壮性设计4.4.9.1电源失效处理4.4.9.2系统不稳定的处理［此处加入系统不稳定的处理］4.4.9.3接口故障处理［此处加入接口故障处理］4.4.9.4错误操作处理［此处加入错误操作处理］4 .4.10 简化设计4.4.10.1模块的单入口和单岀口［此处加入模块的单入口和单岀口］4.4.10.2模块的独立性［此处加入模块的独立性］4.4.10.3模块的扇入扇岀［此处加入模块的扇入扇岀］4.4.10.4模块的耦合方式［此处加入模块的耦合方式］4.4.10.5模块的内聚方式［此处加入模块的内聚方式］4 .4.11 数据设计4.4.11.1属性控制［此处加入属性控制］4.4.11.2数值运算范围控制［此处加入数值运算范围控制］4.4.11.3精度控制［此处加入精度控制］4.4.11.4合理性检查［此处加入合理性检查］4.4.11.5特殊问题［此处加入特殊问题］4 .5软件实现4 .5.1 语言要求［此处加入语言要求］4 .5.2 McCabe 指数McCabe指数为8。
一种基于功能安全的风电机组安全系统设计优化方案
２ 功 能 安全 相 关 理 念
安 全 是 指 一 个 系 统 中 不 存 在 不 可 接 受 的 风 险 。而
原设计方案 中 ， 实 现“ 当 机 组 转 速 超 过 其 极 限 转 速
时激活安全相关停止” 安 全 功 能 的 系统 结 构 见 图 １ 。 本
方 案 子 系 统 ３安 全 系 统 电路 连 接 方 采 用 单 回路 结 构 ， 当 子 系 统 ３中的 １个 安 全 相 关 部 件 失 效 将 引 起 该 安 全 功
能 的 失 效 。根 据 Ｉ Ｓ Ｏ １ ３ ８ ９ —１ ， 安 全 系 统 的 子 系 统 ３结 构 类别 被 划 分 为 Ｃ ａ ｔ ． Ｂ， 整 体 性 能 等 级 最 高 只 能 实 现 Ｐ Ｌ ＝ｂ 。根 据 表 １ 该 安 全 功 能 每 小 时 平 均 危 险 失 效 概 率最低为 Ｐ ＦＨ。 ＝３ ×１ ０ 一。
风 电 机 组 发 生 安 全 事 故 往 往 会 导致 整 台 机组 倒 塔 、 起火 ， 造成 巨 大 的 经 济 损 失 ， 甚 至 威 胁 人 员 的 安 全 。风 电机 组 事 故 发 生 过 程 中 的 安 全 系 统 的 失 效 特 征 分 析
如下 。
３ 安 全 系统 设 计 过 程 中引 入 功 能安 全
在风电机组设计开发过程 中， 需 要 采 取 一 些 措 施 降 低 安全系统的硬件随机失效概率 ； 避 免 引 入 的 系 统 性 失
效 以提高风 电机组 安 全性 能 ， 保 障 风 电 机 组 的 安 全 运 行、 保 障人 身 和财 产 安 全 。通 过 将 功 能 安 全设 计 理 念 引
电动汽车功能安全技术规范管理制度
电动汽车功能安全技术规范管理制度1.2功能安全本部分的功能安全，是指除电池系统和充电系统（相关内容参见后继章节）以外的功能安全。
1.2.1 整车功能安全开发流程功能安全开发流程应符合《GB/T34590-2017 道路车辆功能安全》相关规定要求。
1.2.2 概念开发阶段应基于GB/T34590.3-2017 相关规定完成概念开发，并得出相关项定义、安全目标和功能安全要求，作为系统开发的必要输入。
1.2.2.1 相关项定义为了充分理解相关项，并为后续阶段的安全活动提供支持，应从相关项的功能、要素、接口、环境条件、相关法规要求和危害等方面考虑，详细定义相关项的功能性和非功能性要求。
1.2.2.2 危害分析与风险评估危害分析与风险评估的目的是识别相关项中因故障而引起的危害并对危害进行归类，制定相应的安全目标，以避免不合理的风险。
其中，应基于相关项的功能行为，来分析其潜在的危害事件。
再从危害-事件的严重程度、暴露概率、可控性三个方面对相关项进行系统性的评估，从而确定安全目标及相应的ASIL 等级。
1.2.2.3 功能安全概念功能安全概念主要是为了从安全目标中得出功能安全要求，并将其分配给相关项的架构要素或外部措施。
定义功能安全要求时，应从相关项的运行模式、故障容错时间间隔、安全状态、紧急F TA、H AZOP）的方同时可以使用安全分析（例如F MEA、运行时间间隔及功能冗余等方面进行考虑，法，使制定的功能安全要求更加完善。
功能安全概念还应按照GB/T34590.9-2017 中的要求进行验证，以表明与安全目标的一致性和符合性，及减轻或避免危害事件的能力。
1.2.3 系统功能安全开发进行正式系统开发前，应基于 GB/T34590.4-2017 相关规定，指定系统层面产品开发的安全活动计划，包括确定设计和集成过程中适当的方法和措施、测试及验证计划、功能安全评估计划等。
1.2.3.1 系统安全要求设计技术安全要求是实现功能安全概念必要的技术要求，目的是将相关项层面的功能安全要求细化到系统层面的技术安全要求。
安全仪表系统
一、标准规范及法律法规 2、国标及行标 ◆ GB/T 20438《电气/电子/可编程电子安全相关系统的功能安全》( 等同采用IEC 61508) ◆ GB/T 21109《过程工业领域安全仪表系统的功能安全》（等同采 用IEC 61511 ） ◆ GB/T 50770-2013石油化工安全仪表系统设计规范（针对石油化工 厂或装置） ◆SY/T6966-2013《输油气管道工程安全仪表系统设计规范》（2014 年4月1日实施，适用于陆上原油、成品油和天然气管道）
用来实现一个或多个安全仪表功能的仪表系统。 3、紧急停车系统 （ESD，emergency shutdown system）
当生产过程出现紧急情况时，应在允许的时间内做出响应，及时地 发出保护信号，对管道或现场设备进行安全保护的系统。
11
一、系统的定义 3、火灾及可燃气体报警系统（FGS，fire & gas alarm System）
34
五、安全仪表PLC 3、安全仪表 PLC 的冗余结构
在构建一个安全系统时，可以有很多方式来安排安全系统部件，主 要考虑系统的可用性和安全性，侧重点不同则冗余结构的选择不同。
◆ 1oo2 两个控制器并行处理和连线可以降低单个PLC危险失效的影响，两 个输出电路采用串行连接，以防止任何一个控制器在危险的方式下失 效。1oo2 结构具有高安全性，但降低了可靠性。
35
五、安全仪表PLC ◆ 1oo2D
使用两重1oo1D（一个带有诊断功能的控制器通道，一个诊断通 道利用串行连接构成输出回路）结构，并有额外的控制线路。既有较 高的可用性，又有较高的安全性。
30
四、执行元件 4、仪九线ESD阀介绍：
仪九线干线进出站采用34”CL600开维喜球阀，配套德国法奥克电 液联动执行机构SEHAZ-E-1-125-KSP
功能安全在电梯上的应用(pessrae)
功能安全在电梯上的应用-标准
GB/T 20438-2006 电气 电子 可编程电子安全相关系统 的功能安全 第1部分 一般要求 第2部分 电气 电子 可编程电子安全相关系统的要求 第3部分 软件要求 第4部分 定义和缩略语 第5部分 确定安全完整性等级的方法示例 第6部分 GB T 20438.2 和GB T 20438.3 的应用指南 第7部分 技术和措施概述
IEC 61508 （ Functional safety of electrical /electronic/programmable electronic safety-related systems ） （国际电工委员会）电气/电子/可编程电 子安全相关系统的功能安全性 转化国标 GB/T20438系列共7个部分
功能安全在电梯上的应用-PESSRAE
目前国内自动扶梯自动人行道PESSRAE装 置现状
一、自动扶梯自动人行道整机制造厂自主研发、生产 PESSRAE装置。 这些厂家一般为国际知名品牌，有利于技术储备、设 计团队能力提高；有利于产品的更新和保护；开发、 评估周期相对较长，整机厂需要对PESSRAE装置进行型 式试验。
功能安全在电梯上的应用-PESSRAE
新标准、新检规对于在用自动扶梯和自动人行 道有何影响？
在2012年7月1日以后节能改造报验的自动扶梯自动人行道，必须 执行新国标、新检规的相关要求。 选用的自动扶梯自动人行道的控制系统或节能系统需取得满足新 国标、符合新的型式试验规程和检验规程要求的型式试验合格证。 控制系统或节能系统中采用的PESSRAE也应取得相关的型式试验认 证。 对于在用自动扶梯和自动人行道而言，除了国家质量监督检疫总 局——质检特函〔2012〕28号文“关于贯彻实施自动扶梯和自动 人行道新版标准与检验规则有关事宜的通知”中明确关于“防碰 挡板”、“防夹装置”、“扶手带下缘距离”、“使用须知”和 “制停距离”等项目的整改外。为了更安全有效地实现“非操纵 逆转”、“梯级或踏板的缺失”、“制停距离监测”等保护功能， 可增加PESSRAE装置。
电气设备安全设计导则 GBT25295-2010
电气设备安全设计导则1 适用范围本标准适用于各类电气设备。
本标准不适用于不能独立使用的半成品。
本标准是各类电气设备安全标准的基础。
其规定在有关各类标准中再具体化。
电气设备的设计应符合本标准的有关规定，以保证安全。
2 名词术语2.1 电气设备包括发电、变电、输电、配电或用电的器件，例如电机、电器、变压器、测量仪表、保护装置、电气用具(以下简称设备)。
2.2 危险对人的生命和健康可能造成的各种危害，包括由于触电、噪声、辐射、高频、过热，起火、弧光、污染和其它影响所造成的危害。
2.3 按规定使用按照设备制造厂给出的条件使用。
保持预定的运行和维护条件也属按规定使用。
2.4 安全技术措施所有为了避免危险而采取的结构上和说明性的措施。
可以分为直接的、间接的和提示性的安全技术措施。
2.5 特殊安全技术措施只具有改进和保证安全使用设备的目的而不带其他功能的装置。
2.6 使用人员2.6.1 专业人员受过专业教育、具有专业知识和经验，能够识别出其所操作和使用的设备可能出现的危险的人员。
2.6.2 受过初级训练的人员受过与其所承担的任务有关的专业技术和安全技术训练，对不按规程操作可能发生危险有足够了解的人员。
2.6.3 外行非专业人员，又未受过初级训练的人员。
2.7 电气操作场所主要用于电气设备运行，且只允许有关专业人员或受过初级训练的人员进入的房间或场所。
如开关室、控制室、试验室、发电机房、隔离开的配电设备、隔离开的试验场等。
2.8 锁闭的电气操作场所锁闭起来的用于电气设备运行的房间或场所(例如锁闭的开关和配电设备，变压器房和电梯驱动室等)。
只有受权的有关专业人员和受过有关初级训练的人员可以开锁进入。
2.9 带电部分处于正常使用电压的导体或导电部分。
2.10 导电部分能导电，但并不一定承载工作电流的部分。
2.11 外露导电部分易触及的导电部分和虽不是带电部分但在故障情况下可变为带电的部分。
2.12 直接接触防护所有防止人接触电气设备带电部分而遭受危害的措施。
GBT18384-3
GBT18384-3GBT -3GB/T .3-2001（2001-07-12批准，2001-12-01实施）前言本标准等效采用ISO/DIS6469.3：2000《电动道路车辆安全要求第3部分：人员触电防护》。
本标准与ISO/DIS 6469.3：2000的不同点：1.本标准的适用范围由ISO/DIS 6469中的适用于车载电路的最大下作电压低于1000 V（AC）或1500 V（DC）的电动乘用车和最大设计总质量不超过3500 kg的电动商用车辆，依据GB 156《标准电压》将1000 V（AC）修改为660 V （AC），将1500 V（DC）修改为100OV（DC）。
2.引用标准相应改为国家标准，并在ISO/DIS 6469.1的基础上增加了引用标准GB 156..1和GB/T .2的定义。
本标准的附录A、附录B都是提示的附录。
本标准由XXX提出。
本标准由XXX归口。
本标准起草单元：XXX、XXX。
本标准主要起草人：XXX、XXX、XXX、XXX、XXX。
中华人民共和国国家标准电动汽车安全要求第3部分：人员触电防护GB/T .3-2001Electric vehicle-Safety n Part 3:n of persons against electrichazards1范围本标准划定了电动汽车在没有与外部供电电源相连时职员触电防护的要求。
电动汽车与外部供电电源毗连时的要求在GB/T .2中做了划定。
本标准适用于车载电路的最大工作电压低于660 V（AC）或1000 V（DC）（按GB 156划定）的电动乘用车和最大设想总质量不超过3500 kg的电动商用汽车。
最大设想总质量超过3500 kg的电动汽车可参照执行。
本标准不适用于指导电动汽车的装配、维护和修理。
2引用标准下列标准所包含的条文，通过在本标准中引用而构成为本标准的条文。
本标准出版时，所示版本均为有效。
所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。
功能安全_精品文档
功能安全功能安全是指确保系统在正常操作、故障和故障恢复期间，能够保持运行的安全性。
在许多行业中，功能安全是非常重要的，特别是在涉及人员生命安全或财产损失的领域。
功能安全的概念和实践已经存在了很长时间，但它在现代信息技术和自动化系统中的重要性越来越突出。
许多行业都引入了功能安全标准和规范，以确保系统的设计和运行能够满足特定的安全要求。
在功能安全的概念中，有几个重要的方面需要考虑。
首先是系统的可靠性和可用性。
系统必须设计成能够在故障情况下继续正常运行，避免停机和数据丢失。
其次是系统的安全性和完整性。
系统必须能够防止未经授权的访问和数据篡改，并确保系统的数据完整性。
最后是系统的故障恢复能力。
系统必须能够自动检测和纠正故障，以避免系统崩溃。
为了确保功能安全，必须采取一系列的措施和方法。
首先是系统的设计。
在设计阶段，必须考虑到所有可能的故障和故障恢复情况，以确保系统能够在面对故障时正确操作。
其次是系统的测试和验证。
在开发和部署系统之前，必须进行全面的测试和验证，以确保系统达到预期的功能安全要求。
最后是系统的监控和维护。
一旦系统投入运行，必须进行定期的监控和维护，以确保系统能够持续满足功能安全要求。
在不同的行业中，有许多不同的功能安全标准和规范。
例如，在汽车行业中，ISO 26262是一种用于功能安全的国际标准，要求设计和开发具有功能安全性能的电子和电气系统。
在医疗行业中，IEC 60601是一种用于医疗电气设备的国际标准，要求这些设备具有高度的功能安全性。
在核电行业中，IEC 61508是一种适用于电气、电子和可编程电子系统的国际标准，要求这些系统具有可靠的功能安全性能。
功能安全的实现还需要考虑到人因因素。
人操作错误是导致许多故障和事故的主要原因。
因此，在设计和开发功能安全系统时，必须考虑到人工因素，并采取适当的措施来减少因为人的错误而导致的故障。
总之，功能安全是确保系统在正常操作、故障和故障恢复期间能够保持运行的安全性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
适用于功能安全设计的TÜV认证FPGA
为简化并加速客户的安全认证过程，Altera最新版功能安全数据套装通过了TÜV Rheinland的认证，它包括：Altera器件、诊断和标准知识产权（IP），例如，Nios® II处理器等、FPGA设计流程、Quartus II 软件等开发工具。
Altera经过认证的安全完整性Level 3 （SIL3）功能安全数据套装缩短了IEC 61508开发时间，降低了安全关键工业应用的认证风险，例如，工业伺服和逆变驱动器、安全器件以及自动控制器等。
我们的客户自2010年以来一直使用这一套装来开发工业应用以及ISO 26262认证的汽车应用，还有医疗设备、军事和航空航天系统应用等。
图1所示是一个典型的双通道SIL3工业安全系统，它采用了两片FPGA来实现。
联系当地的Altera代表，了解详细信息，使用IP-ABG-SafetyDP2 （1年）或者IPR-ABG-SafetyDP2 （续订）套装。
图1.一个典型的双通道SIL3工业安全系统（它采用了两片FPGA来实现） 。