IEC 61508: разъяснения: руководство по функциональной безопасности и уровням полноты безопасности (SIL)

IEC 61508 — международный стандарт функциональной безопасности, опубликованный Международной электротехнической комиссией (МЭК). Его полное название: «Функциональная безопасность электрических/электронных/программируемых электронных систем, связанных с безопасностью» (часто сокращенно E/E/PE или E/E/PES). Стандарт обеспечивает систематическую основу для обеспечения функциональной безопасности и надежности систем на протяжении всего жизненного цикла безопасности.

IEC 61508 служит основополагающим стандартом для многих отраслевых стандартов функциональной безопасности, таких как IEC 61511 и IEC 62061. Он широко применяется в таких секторах, как промышленная автоматизация, управление технологическими процессами и машиностроение.

1.0 Основные концепции IEC 61508

IEC 61508 охватывает следующие ключевые аспекты:

• Функциональная безопасность: Стандарт подчеркивает, что системы или оборудование должны правильно выполнять свои функции безопасности при определенных условиях. Если они выходят из строя, отказ должен происходить предсказуемым и безопасным образом.
• Жизненный цикл безопасности: Он представляет собой комплексный подход к жизненному циклу, охватывающий все этапы от первоначальной концепции, проектирования и разработки, эксплуатации и обслуживания до вывода из эксплуатации, обеспечивая постоянное соблюдение требований безопасности.
• Подход, основанный на оценке риска: Путем выявления опасностей, оценки связанных с ними рисков и применения соответствующих мер контроля стандарт помогает снизить риск до уровня, который является настолько низким, насколько это практически возможно (ALARP).
• Уровень полноты безопасности (SIL): SIL — это количественная мера надежности функций безопасности, варьирующаяся от SIL 1 (самый низкий) до SIL 4 (самый высокий). Каждый уровень SIL определяется на основе трех основных критериев:
  • Возможности системы: Надежность конструкции аппаратного и программного обеспечения
  • Архитектурные ограничения: Ограничения, налагаемые архитектурой системы
  • ПФСредн. / ПФЧ: Вероятность опасного отказа, либо по требованию (PFDavg), либо в час (PFH)
    Окончательный уровень SIL определяется по самому низкому уровню среди этих трех критериев.

1.1 Структура и область применения IEC 61508

IEC 61508 состоит из восьми частей. Части 1–7 были выпущены в период с 1998 по 2000 год, а IEC/TR 61508-0 был добавлен в 2005 году. Стандарт прошел комплексный процесс пересмотра, начавшийся в 2002 году, что привело к публикации издания 2 в апреле 2010 года.

Полное название стандарта: «Функциональная безопасность электрических/электронных/программируемых электронных систем, связанных с безопасностью (системы E/E/PE)», и в его состав входят:

1. Часть 0: Функциональная безопасность и IEC 61508
2. Часть 1: Общие требования
3. Часть 2: Требования к системам безопасности E/E/PE
4. Часть 3: Требования к программному обеспечению
5. Часть 4: Определения и сокращения
6. Часть 5: Примеры методов определения уровней полноты безопасности
7. Часть 6: Руководство по применению частей 2 и 3
8. Часть 7: Обзор методов и мер

Кроме того, на основе IEC 61508 было разработано несколько отраслевых стандартов, адаптирующих его принципы для конкретных областей:

• МЭК 61511– Для перерабатывающей промышленности (например, химические и нефтехимические заводы)
• МЭК 62061– Для безопасности машин
• ИСО 26262– Для автомобильных электронных систем
• ДО-178С– Для систем программного обеспечения авионики

В примере показана типичная электрическая, электронная и программируемая электронная система с классом безопасности, обычно называемая системой безопасности E/E/PE.

1.2 Реализация и соблюдение

Чтобы добиться соответствия стандарту IEC 61508, организации должны:

• Понимать и соблюдать предписанные процессы проверки и верификации.
• Выявление и устранение критических видов отказов
• Обеспечить работу аппаратных и программных систем в рамках ограничений применимого уровня SIL.
• Управляйте сложностью при проектировании системы, чтобы снизить риск сбоя
• Применяйте соответствующие стратегии безопасности для компонентов, которые используются часто или активируются только во время опасных событий.

1.3 Практическое применение IEC 61508

IEC 61508 широко используется в критически важных для безопасности электрических, электронных и программируемых электронных системах. Примеры общих приложений включают:

• Машиностроение: Листогибочные прессы, лазерные резаки, штамповочные машины, системы безопасности промышленных роботов
• Перерабатывающая промышленность: Системы аварийного отключения (ESD), предохранительные клапаны, устройства сброса давления
• Энергетический сектор: Защитные реле, устройства изоляции неисправностей, интеллектуальные автоматические выключатели
• Транспорт: Системы железнодорожной сигнализации, блоки автоматического управления движением поездов (ATC), автомобильные модули безопасности
• Медицинские приборы: Системы жизнеобеспечения, модули контроля безопасности

Соответствующие стандарту IEC 61508, эти системы разработаны с учетом принципов функциональной безопасности, которые помогают предотвращать несчастные случаи и защищать как человеческую жизнь, так и окружающую среду в случае отказа.

1.4 Почему был разработан IEC 61508

В 1990-х годах все большее число функций безопасности реализовывалось с помощью электронных или программируемых электронных систем. Эти системы часто демонстрируют высокую сложность, что делает практически невозможным определение всех возможных режимов отказа или тестирование каждого эксплуатационного сценария.

Ключевой задачей было разработать системы, которые могли бы либо предотвращать опасные сбои, либо управлять ими безопасно, если они возникали. Такие сбои могли быть вызваны:

• Неправильные спецификации для систем управления, связанных с безопасностью
• Неполные определения требований безопасности (например, невозможность определить функции во всех режимах работы)
• Случайные сбои оборудования
• Аппаратные сбои на системном уровне
• Ошибки проектирования программного обеспечения
• Распространенные причины отказов
• Человеческие ошибки
• Факторы окружающей среды (например, электромагнитные помехи, экстремальные температуры, механическое напряжение)

2.0 Что такое IEC 61508 и SIL (уровень полноты безопасности)?

IEC 61508 — это признанный на международном уровне стандарт функциональной безопасности, применимый к электрическим, электронным и программируемым электронным системам безопасности. Он обеспечивает систематическое руководство по безопасности для проектирования, разработки, эксплуатации и обслуживания таких систем. Одним из его ключевых компонентов является Уровень полноты безопасности (SIL), критическая мера способности функции безопасности снижать риск в опасных условиях.

2.1 Определение и роль SIL

IEC 61508 определяет полноту безопасности как:

«Вероятность того, что система, связанная с безопасностью, успешно выполнит требуемую функцию безопасности при всех указанных условиях и в течение указанного времени».

Уровни SIL указывают на степень снижения риска, обеспечиваемую функцией безопасности при возникновении опасного события. Существует четыре уровня SIL, от SIL 1 до SIL 4, причем более высокие уровни соответствуют более строгим требованиям безопасности и более сложным процессам разработки и проверки.

Уровень SIL	Вероятность опасности	Соответствующие требования к разработке
УЛ 1	Самая высокая вероятность	Минимальные требования
СИЛ 2	Середина	Рекомендуемые меры
УЛ 3	Низкий	Строгие меры
УЛ 4	Самая низкая вероятность	Самый строгий контроль

2.2 Как определяется SIL

IEC 61508 предоставляет как качественные, так и количественные методы определения SIL, включая следующее:

1. Оценка опасности и риска (часть 5)

• Определите потенциальные опасности
• Оцените частоту и серьезность риска
• Определить требуемый уровень снижения риска (Приложение А)

2. Оценка вероятности отказа

Количественную оценку SIL можно провести с помощью:

• PFDavg (средняя вероятность опасного отказа по требованию)для режимов с низким спросом
• PFH (вероятность опасного отказа в час)для непрерывных режимов

PFDavg – Режим низкого спроса:

Уровень SIL	Диапазон PFDavg
УЛ 4	≥ 10⁻⁵ до < 10⁻⁴
УЛ 3	≥ 10⁻⁴ до < 10⁻³
СИЛ 2	≥ 10⁻³ до < 10⁻²
УЛ 1	≥ 10⁻² до < 10⁻¹

PFH – Непрерывный режим:

Уровень SIL	Диапазон PFH [1/ч]
УЛ 4	≥ 10⁻⁹ до < 10⁻⁸
УЛ 3	≥ 10⁻⁸ до < 10⁻⁷
СИЛ 2	≥ 10⁻⁷ до < 10⁻⁶
УЛ 1	≥ 10⁻⁶ до < 10⁻⁵

2.3 Возможности системы и архитектурные ограничения

Система должна соответствовать определенным возможностям проектирования, тестирования и проверки (например, FMEDA, SFF).

SFF (доля безопасных отказов) = (Безопасные отказы + Обнаруженные опасные отказы) / Общее количество отказов

2.4 Сравнение уровней полноты безопасности по стандартам

Хотя SIL является частью стандарта IEC 61508, другие отраслевые стандарты определяют схожие уровни безопасности, которые не являются напрямую взаимозаменяемыми:

Стандарт	Уровни безопасности (Низкий → Высокий)
МЭК 61508	SIL 1, SIL 2, SIL 3, SIL 4
ИСО 26262	УПБА A, УПБА B, УПБА C, УПБА D
ДО-178С	Уровень E, D, C, B, A
МЭК 62304	Класс А, В, С
EN 50128	SSIL 0, 1, 2, 3, 4

2.5 SIL и разработка программного обеспечения

IEC 61508 Часть 3 («Требования к программному обеспечению») определяет меры разработки встроенного программного обеспечения в зависимости от уровня SIL. Общие практики и их уровни рекомендаций включают:

Техника/Практика	УЛ 1	СИЛ 2	УЛ 3	УЛ 4
Использование стандартов кодирования	Р	HR	HR	HR
Прямая прослеживаемость	Р	Р	HR	HR
Анализ FMEA/FMEDA	Необязательный	Рекомендовано	Настоятельно рекомендуется	Обязательный

Примечание: HR = настоятельно рекомендуется, R = рекомендуется, — = не рекомендуется

2.6 Как оценить и рассчитать SIL?

Согласно IEC 61508, для определения соответствующего уровня безопасности (SIL) необходимо учитывать три основных критерия:

• Возможности системы– Соответствует ли дизайн функциональным требованиям
• Архитектурные ограничения– Соответствует ли конструкция требованиям по избыточности и структуре (например, SFF)
• Вероятность случайного отказа оборудования– Количественно определяется с помощью PFDavg или PFH

Рекомендуемые инструменты оценки:

• Анализ опасностей (HAZOP)
• Матрица рисков или матрица прослеживаемости требований
• Анализ видов и последствий отказов (FMEA)
• Анализ видов, последствий и диагностики отказов (FMEDA)

3.0 Что такое функциональная безопасность

Ключевые концепции функциональной безопасности:
Для эффективного понимания стандарта IEC 61508 и его применения необходимо усвоить следующие фундаментальные концепции и основные термины:

Функциональная безопасность
Определение:
Функциональная безопасность является частью общей безопасности системы и определяет, правильно ли работает система при получении определенных входных данных, тем самым предотвращая опасные события или снижая риски до приемлемого уровня в случае сбоев.
Цель:
Для проактивного управления системой для реагирования при обнаружении потенциальных опасностей, обеспечивая безопасность людей, оборудования и окружающей среды. Например:

Датчик дыма, активирующий автоматическую систему пожаротушения;

Промышленное отопительное оборудование автоматически отключается при перегреве.

Уровень полноты безопасности (SIL)
SIL — это количественная мера эффективности и надежности функции безопасности, указывающая на способность системы надежно выполнять функции безопасности при необходимости.
Существует четыре уровня SIL (от SIL 1 до SIL 4), причем более высокие уровни указывают на более строгие требования безопасности и более тщательную разработку и проверку программного обеспечения.

Уровень SIL	Средняя вероятность опасного отказа по требованию (PFDavg) – режим низкого спроса	Вероятность опасного отказа в час (PFH) – непрерывный режим
УЛ 1	≥ 10⁻² до < 10⁻¹	≥ 10⁻⁶ до < 10⁻⁵
СИЛ 2	≥ 10⁻³ до < 10⁻²	≥ 10⁻⁷ до < 10⁻⁶
УЛ 3	≥ 10⁻⁴ до < 10⁻³	≥ 10⁻⁸ до < 10⁻⁷
УЛ 4	≥ 10⁻⁵ до < 10⁻⁴	≥ 10⁻⁹ до < 10⁻⁸

⚠ Примечание: Уровни SIL, определенные в IEC 61508, не следует путать с уровнями, указанными в других стандартах, таких как ISO 26262 или IEC 61511.

Жизненный цикл безопасности
Стандарт IEC 61508 определяет структурированный процесс управления вопросами функциональной безопасности на протяжении всего жизненного цикла проекта — от первоначальной концепции до вывода системы из эксплуатации.
Жизненный цикл безопасности подчеркивает:

Идентификация опасностей и оценка рисков

Определение требований безопасности;

Реализация проекта безопасности;

Проверка и подтверждение;

Техническое обслуживание и постоянное совершенствование.
Этот процесс гарантирует, что система будет постоянно соответствовать требованиям безопасности на протяжении всего жизненного цикла.

3.1 Важность функциональной безопасности

Почему функциональная безопасность имеет решающее значение?
С ростом сложности системы, особенно в средах с высоким риском, таких как промышленность, транспорт и энергетика, потенциальные опасности также увеличиваются. Цель функциональной безопасности заключается в упреждающем выявлении и смягчении рисков отказов для обеспечения:

• Безопасность персонала и пользователей;
• Надежная работа оборудования;
• Минимизация экономических потерь предприятий.

В производстве функциональные системы безопасности помогают заводам лучше контролировать оборудование, повышать эффективность и сокращать время простоя, тем самым повышая общую производительность.

Зачем нужна сертификация?

• Юридические требования:В некоторых отраслях и регионах сертификация функциональной безопасности является обязательной по закону.
• Доступ к рынку:Продукция без сертификации может быть запрещена к продаже на некоторых рынках.
• Доверие клиентов:Конечные пользователи и системные интеграторы часто требуют от поставщиков сертификации независимой третьей стороной.
• Соблюдение страхового законодательства:Многие страховщики требуют сертификацию функциональной безопасности в качестве условия покрытия.
  Стандарты сертификации обычно основаны на стандарте IEC 61508 или его отраслевых производных.

3.2 IEC 61508: Основной стандарт функциональной безопасности

IEC 61508 — это «материнский стандарт» функциональной безопасности, применимый ко всем отраслям без специальных стандартов. Он основан на методологии оценки рисков и предоставляет комплексное руководство от проектирования и внедрения системы до проверки.

IEC 61508 охватывает компоненты систем, связанные с безопасностью, включая:

• Датчики (обнаружение сигнала);
• Устройства логики управления (такие как ПЛК или встроенные контроллеры);
• Исполнительные механизмы (например, реле, тормоза, системы сигнализации);
• Программные компоненты (включая прошивку и прикладную логику).

Стандарт устанавливает требования SIL на основе количественной оценки риска, касающейся:

• Сбои системы;
• Случайные отказы оборудования;
• Программные логические или системные сбои.

3.3 Отраслевые стандарты функциональной безопасности (основанные на IEC 61508)

Промышленность	Производный стандарт	Описание
Перерабатывающая промышленность	МЭК 61511	Для непрерывных процессов управления, таких как химические и нефтехимические заводы
Машины	МЭК 62061	Для машинного оборудования и робототехнических систем
Автомобильная электроника	ИСО 26262	Для электронных/электрических систем дорожных транспортных средств
Аэрокосмическая промышленность	ДО-178С / ДО-254	Для разработки и проверки программного и аппаратного обеспечения для гражданской авиации
Медицинские приборы	МЭК 62304	Охватывает управление жизненным циклом медицинского программного обеспечения.
Ядерная промышленность	МЭК 61513	Для систем контроля и измерительных приборов атомных электростанций
Бытовая техника/Товары народного потребления	МЭК 60730	Особое внимание безопасности устройств автоматического управления

4.0 Почему IEC 61508 является ключевым стандартом для Индустрии 4.0

С развитием Индустрии 4.0 и ростом автоматизации и связности IEC 61508 стал критически важным стандартом для обеспечения функциональной безопасности. Он особенно важен для:

• Управление сложностью системы:Стандарт IEC 61508 предлагает структурированный подход к работе со все более сложными архитектурами систем «Индустрии 4.0», включая координированную работу датчиков, исполнительных механизмов и систем управления, гарантируя, что сложность не будет ставить под угрозу безопасность.
• Снижение риска:По мере роста автоматизации растет и риск сбоев системы. IEC 61508 содержит рекомендации по выявлению и снижению рисков на протяжении всего жизненного цикла системы — от проектирования до вывода из эксплуатации — обеспечивая непрерывную и надежную безопасность.
• Обеспечение взаимодействия:Индустрия 4.0 требует бесшовной интеграции разнообразных систем и устройств. IEC 61508 обеспечивает единую структуру безопасности, гарантируя, что различные поставщики и платформы могут взаимодействовать без ущерба для безопасности.
• Повышение надежности автономных систем:С широким распространением промышленных систем с программным управлением надежность программного обеспечения становится критически важной. IEC 61508 определяет четкие требования к разработке программного обеспечения, критически важного для безопасности, помогая предприятиям создавать стабильные и надежные интеллектуальные системы.
• Демонстрация соответствия:Соблюдение стандарта IEC 61508 не только помогает предприятиям соблюдать нормативные и отраслевые стандарты, но и демонстрирует свою приверженность безопасности рынкам и регулирующим органам, повышая репутацию бренда и конкурентоспособность. Это особенно важно при участии в торгах за контракты, критически важные для безопасности, или при выходе на регулируемые рынки.

Стандарт IEC 61508 не только закладывает основу функциональной безопасности в различных отраслях промышленности, но и предоставляет план создания устойчивых, надежных и сертифицируемых систем в эпоху цифровой трансформации.

5.0 Рекомендуемые ресурсы по 《IEC 61508 IEC 61508:2010 PDF》

🔗 Загрузить IEC 61508:2010 PDF

🔗 IEC 61508 и функциональная безопасность-2022

6.0 IEC 61508 и SIL – Часто задаваемые вопросы (FAQ)

 

Ссылки

dra.com/iec-61508/#61508-1

www.tuvsud.com/en-sg/services/functional-safety/iec-61508

www.perforce.com/blog/qac/what-iec-61508-safety-integrity-levels-sils

www.gt-engineering.it/en/insights/functional-safety-300321/iec-61508-all-parts/