EN50129铁路安全电子系统

1、21欧洲扶珞标准EN5OI29：铁路安全电子系道评.前言I掾淮简介2本标准的适用范围、3规范的:参老丈瞅4定义5欧洲标准的整体榷架6安全性验收条件*6.1安全性例证6.2盛盘管理的依据6.3安全性管理依据6.3.1引音、6J.2安全性牛633安全性组织6、3.4安全性计划635危险日志6.6安全性需求说明637系统/子系统及设备设计一6,3.8安全性复审S39安全性監证和确认6.3.10安全性例证6.3.I系统/子系统/设备的玄接6312操作和维护&-J更换和处置6.4功能安全性和技术安全性的依撼6.5安全性脸收和认证65引言652安全性认话过程一6.5.3安今性认址后的处理654安全性认证之

2、闾的蔽赖性附图：1CEKELEC安全性标准的施團2本标准(EN50J29)的结构.2.安全性例证附结构4系统生命同期实例3445SS910W1111111112121212121213131315E5151616171819205安全性生命周期实例TOC o 1-5 h z安全性生命周期与系统生命周期的关系十-22安全性生侖周期开发阶段的实例乃&安全性组织实例-24*他立注安排冥例“汁0,技天安全性报告结构-”安全性认证过程一27安全性认证之间的依敕性实例-28附录戌（规范要求安全皆龜鼠等纸却AJ亏丨言-302安士烷需求亠303安全性寄善度“30A.4安全性完善度等级-315安全性完善度等级的

3、配置站附圏：1安全性需求和安全杵完替度制I丸2気全性完義鼠等缠“35A3危险测失效率的导出实例36附录B（规范要求）：附邮技术裳求一371引言39B2硬保正确的功能操作*39B2J系统结构描谜-一-392.2援口定义-一-旳23寒统需求说明的实现”二402.4安全性需求说明的实现-41B.2.5保迹正确的硬件设计-_4126特殊环境案杵的实现412.7慄证正确的软件功能42B3故障的影嗯423.1单故障一42B.3.2部件的独立性43B33单故障的暴薔44B.3.4故障暴露后的捲施（包括安全状态的保持）44B.3.5黑故障45B.3.6系统故障的防护45B.4外舞干找下的运行45B.4.1气候

4、条件*45B.4.2机械条件46B.4.3更严格的备仲46B.4.4海拔条件46BA5固定裝置的电.吒条件46BA6车载裝置的电气条件47B.A.7非袪:登录的訪护47B.5安金性柜关韵应用条件48BJ1子系统/设备的配置及系统的崖立48B5.2操柞和维护：49B.5.3运行安全性监测-.51.B.?4更换与处置-51B.6合格测试51B.6.1般合格测试一51B.62安全性的合格测试一51BJ影聃部件独立注的干扰一亠52IB2单故障的暴露53附录C（规范要求）:硬件元器件失效摸式的识别54/C.1引需55C2般步骤553集成电路的识别过程（包括微处理器！554具备丙有物理特性的元器件的识别过

5、程巧G5关于元器件矢效模武的一般说明-充C6关于貝备固有物理垮性的元器件前附加说明567关于具备固有物理峙性的元界泮的特别说明5?.附表：Itn亠-n-d%*-1-r-厶一L.622电客623电磁元件-634二板管；64C.5品体管65C.6刃控整流器67C.7电蒲抑制器6SC.8光电器牛-*C.9滤谶器:丄上；69C.IQ互连装置70C.11熔建“7C-12jf-,-71C.13灯71C.14电辿71C.15变频器/传感踞72U応集成电路72附录巩供参琴“卜善,rh1KM亠a_-,-,11J=-!_.,=-_173D1引言74D2内部独立性的获得742.1级独立性74IV8686D22二级独

6、立性75TOC o 1-5 h zD3外部独立性的茯得754种单故障暴露方法的实例-76D5-种多故障分析方法的实例77DW附加环境無件78D61气候条件736.2更严格的条件78I附图：1二取二结构和三取二结构80D2三取三结构81D丁四取四结构S24一种故障分析方法的实例83I.附表；1大规模集成电路的放障暴露措施:84附录E（供参考）:蚕考文献i：-本文件是由CENELEC下厲SC9XA委员会安全电子系统、工作小结WGA2.编写碁工作小爼或员名电瘵在卞固列出、标准的草案现已握交给CENELEC成员讨论具有相同未專的国家标准但心p）蚤迟将于J995年公布与锣标灌相抵鼬的国家标:注義现程（d

7、.u,v.j蒋同期应涓，半文件是铁路领域第一个走义安全电子系统认可条件的欧洲檢准匚迄今为止.有关这方面的已有支件仅眼于各西的推荐性文本利国际铁路联盟）的一般建议J铁路安仝电子慕统包牯硬晋和软件两个方面、，若妾求安装完整的安全系统，上述两方甌在整牛生命周期内都必须晋虑.本标准定文了安全硬伴的要找和整于系统的要執其它方面的賽求在栢左的CNHLEC标淮里给出歐洲铁路当局粒欧删铁路行业的目标規娶讦发臺于井同标准的幕容的铁賂系统鞫逍欧洲列车控制系统的基燃是所有由不同国家的不同铁路工业公司开发的涉及，宾全性的组件均基于同一个生欧洲标淮定义的安全性要求訂因此，不同国家的诜路当.-M有必要对子系统和设备宾施安

8、金性认证的交殳验收。本文件即可作为铁路.应用电子系统安全性验收和认证的共同基础口系统安全性交叉验收是面向一級认证.，而不是面朋粒果应屈的现行的国家法迄的有关方衙仍需要协调.販提罠的这个标進即述作为.安全电孑铁路系统的怫澗苦。员贵安全性认证的官方证节将:确保国筲铁路和私營谀路是采用同一标准的欧共体内部脊关銚略.应用的安全电于系统的宫方也将:参考此标進进金本标准由至体部步（Y章）和僭录B.C,.D和E組成百本标准主体部分一、和附存X；飞C廠出的要求靈规范的而附录D科启是供参毒的工作组WGA1的以下成员參抑了本标喘的制定工作：-姓名工作单位国家MtAAM代SNCF法国MrWBolunAlcatt奥地

9、利MrKDolchAlcatel-SEL德国MrCEdwardsRailtrack英国MrAEx已rSiemensIntegraVerkelustechrtik瑞士MrRoshiFs.意大利MrTGw】聊编辑）WestinghouseSig询5英国MrYGruereC.STranspoilL法国MrBGuieu牡CIaI.呷om法国i：-或歆该设备卞恆赖于安全性：或务对那些同安金性相瓷的功能而盲、该设备是可靠的本标准可作为控制和防护系统的力能安全性标准,但它不涉及职业健康和个人I安全性罔题，然而，正如附件B25:BA7和5中所提到的尽管它们趙过了本标准的范围.但关于个人健虑和安全方面的厝虑确实

10、应包含亍系级7子系统/设答的安全性例迂中：3.规范的参考文献本欧洲标准引用了部分注明或耒注明日期的案考文献和其它一些出版物中的条款-这址规范的参考文猷将在适岂的时候弓!冃，与之相当的出版物将在下面列出:注：其它的参苇文献包括在陆件E：参考文时沖ISO9001:】994QunlitySystems:ModelforQnudiLyAssuranceindesign.deveJopnacntjproduction,installationandservicing.EN22247：1992Complete,filledtransportpackages:Methodfurdeterminationof

11、Jhresistancetofixedlowfrequencyvibration.FN22248：1992Complete,filledtransportpackagesMethodfordctCEntinationofresistance!uverticalimpactbydroppingEls50121-4：R.fiilwayApplications：Ekctro-magneticcompatibility(EMC)】equia.emntsforSipj.?allingandit11communicationsENRailway-Appi4canons:msuiAtionco-ordina

12、ilcm,-.EM50126-2:RailwayApplications：ThespecificationanddemonstrationofReliability,Availability;MaintainabilkyandSafety-Part?Safely,EN50128:Rai1wayAppIications:Software.for.rGonkeLmd_priLecnonsystems.EN50155-1:RaihvayApplications:Electronicequipmentusedojirail-vehiclesEN50155-2：RailwayApplications:E

13、lectronicequipmentusedinfixedvehicles.IEC721:Ctassificatiunofenvironmentalconditions.4.定义本标堆使用了以下定义：I应收(acceptance):最终用户所提供的产品情况.验ftil(aCptanceprocess)：完成验收的一系列步骤=#i事故(accident)-导致人员伤亡系统或装置损毁或危害抨境的一起萼外事件或系列事件：r：认证(approval)由必要的管理机构提铁迪当产品满足一系列预定樂件时的茂品.状呪。II评怙(驱哪毗讯):用亍确定设计机掏和确认员斯完成妁产品是否符合规定的更議和判走产品姥否达

14、到预霸目的的分析过程。评(assessor)載指定作评估工作的人或代理人亠挠权純畑rizEion)：在规定的使帛约束下，对使用菓产辭的正式许可“计何性gggy垂统在视定的条件下，狂规老的吋熬卓在镣定的时凰沟完茨必要功能的能力可能(can)-表示可能性:.共摸故障mmom咖氐爲uR：独立起因而结栗思同的故障元器4(campon!nt)：见单元=结构(configursitiun)系统轶硬件的构造和內部联系交又骚收住02氓领如!碍:已宙一廉权威机鶴帳掘相疸的殴關标准验收的产品、可由其它机构直接接受而不需再次评估,设计(design)规定元器件及它们之间的联系廟使产品符合规定的要求而进行的产品制造之

15、前的工作口设计机(designauthority)按符合设计需求说明书的设计方案执行.并对进一步的幵发和系统安装工作负有相应责衽的机构r；.设计熱心翹命)：由设计瓠佝捅定的T战多人他们对需球规桁进笛分栃并转化为可接受的満足必突的安金性完善度等绫的设计方案彳八*楫片-性宙认除心：侵全部或部分需鞭规茗转化为互冷依強的或互不相励的方式的方法。-元(element):披确定为一个基本单元或构成部件的产甜的部分，元累可衙叮繁门_滾备(equipment):一牛劲能机械部件&错误律存叶：与正确的功能相背离,并有可能导致束预料到的系统行为或系统先效n故障-安全(faiHafe)-是产品设计时引人的一种擬念,

16、就是产品发生失效时.可以寻向或保持在安全状态.(failure)：与规定的性能相背离。失做是系统出错或系统故障的表现审裁障(伽叽：导玫执行单元执行必姜功能的能力减購荃圣喪失犒一种环正常的秋态，故障可能是随机的也可能是有规律的衣故障暴露时间(fauJtisdosuretime)：从故障发生时起到检测到故障所经过的时间间隔。功能单元(functionalUDit)：能完成规定的目的的一个软件、硬件或软硬件实休。危险(hazard)-可能导致事故的一种状况1I. #危险分折(hard旳创卩血)：对一个产品或产品的使用可能导致的危脸的识别过程危险日忐(hazardlog):对所有安全性管理行为，危险识

17、别作出决定并采取措施等过程进行记录的文件人为错误(humanerror):导致未预料的系统行为失效的人的错漠行为。独立性(对人)(independente(human)与智力、裔业和(或)管理无关独立性(对工艺Xindependceftechnkal)：与那些影响各部分的正确工作的机械装置无关*部件(item):需要考花的元素。可维堆如血扫问阴切：产品在给定条件下保持或恢复到能够完成必要的功能I的能力*维护(maintenance):部件保持或恢复到可执行必要的功能的狀态的技术(包括监督行为)苗组合。IM以(m叭)：表明许可的p避错(negation):在危险侧故肾捡出之后强制傑持在安全狀态产

18、品(product):元素按定方武组合.井相互联系而形成一个満足规定要求的系统/子系统或设备#.工程安全管理员(pjcct：safetymanager)对特定的王.裡安全性处理负有相应责任的人蛮此理几一,:(quality)：对产品属性的使用感觉铁路管理机构(railwayauthority):对安全、经济、有效地运行铁路负有全部责任的官方实休随机失效完善度(randomfailureintegrity):系统与危险側随机故障无关的稈度a随机故障(randomfault):故障的发生基于概率论和以前的擁作“冗余(redundancy):在一个或更多元素失效肘.为了获得或保持可用性而釆用的个或參

19、个附血元素.元素个数通常是确定的。可靠性(reliability)-设备在规定的条件下在规定的时间內执行必要功能的能修复(repair)：使累统/子系统或设备恢复到可用状态的方法。凤险(risk)：一个特定的危险事件的频率、槪率和后果的组合。安全状态(safestate)：持续保持安全性的弑态安全性(safety)：无不可接受的凤险等级。安全性评估辭tyassessment)：于确定设计芈钾确认员所完成的产品是替符合规定的安全性要求和判定产晶疑否符合预走目的b珂析过律启丨安全性评依员(safety-assessor)被指定进行安全性评估工作的人或代理人“安全性管理机构(3疏tyauthorit

20、y):对葆证一个安佥系统适合工作并符合有关法令、规章制度负有责任的实体。安全性例证(昭fHy明呦:表明产品符合规定的安全性要求的证明文件。安金性临界(safcritical-对安全性担负有道接责任“安全性临界系统伽fetycriticalsyskm)：自身能够达到完成安全性功誥所需的安全性等勰的系统=安士性完善度等级伽性tyititegriiylevd)：分Z等，分别定义了技术和方法.軒为荻得相应的完善度提供依据匚安全性涉及(safetyinvolved)-紂安全性负有非直接贵任安全性生命周期(stylife-cyde):安全性栢关系统中与杀统生命周期一起拭行的一系列附加的行为C安全性管理ma

21、nagement)：保证安全性赶理正确实现的管理萍系=安全性计划(safetypbn):实现项目安全性要求的实行细节.安全性处理&血ryprocess):为保证产晶的所有安全性要求得以明确和滴足的一系列过程-、7安金性相关(safetyrelated：负有安全性责任。-必须侶血11)：耒阴是强制的.应当皿旳盯；麦明是着荐时.$.信号杀统凹汨systeirj):铁路上用于轅制和防护列车谨行的特定系统。应力分布(srressprofit)：产品在一完成必须的功魁时能够忍受的外界于扰的程度和数曇-子系统(sub-system*能気成一定功能的系统的组成部分。.丟统(syst)-根据设计互相作用的子系

22、统或元索的集合“系统失效完善度(systematicfailureintegrity):系统脱离不明危险测及其起因的稈度J系统生命周期lifc-cyck):从系统形成开始到系统因不再适用而退役的时期内所发主的一系列行为#技术安全性报吿(technicalsafetyreport):安全设计一个系统，子系统或设备的文献性技术依据测试员(tester)设计机构指定的来规定和执行必要的测试以确保一项设计的实现是正礁的并且符合所有的测试和验收标准的人员。确认fvalidaHon)：通过测试和分折，表明产晶符舍观定的要求的各个方面的厂珥证明行为.I确认员（validntur）2被指定.来作萌认工）乍的人

23、或代理人c验（verification）：通过测试和分析，表明系统生命周期的各阶段的输岀符合前阶段的要求的一种决定性行为验证员（verifier）:指定来作验证工柞的人或代理人匚気欧洲标准的整体框架本欧洲祐准（EM50129）的第六部分要求有一个系统性的文特工作，以作为：-质量管理的依据I-安全性管理的依据F-攻能安全性和技术安全性的依据丄-安全性验收和认证附件A（规范耍求）：定义丁安金性完善度等级的说明和使用.附件比规范寮求）：包括安全系统/子系统/设备的附加技术要求.牌佇c（规范要求）；包括硬件元器件可能的矢效模式的识别过程和借息“南件D（供参考）：包括了补充的技术信息附件卫（供参考）:包

24、括了准备这份标進期间查.阅的参寿文献本極准的结构槪括左图2中。6.安全杵验收务件6.1安全性例证.本枢准定义了使得一个铁路安全屯子系统/子系统或设备在应用中足够安全而必须満足的条件資全性验收条件在本标准以下三令标题后列出J标题名为：-*62质量管理的依据；氐3安全性管理依据；6.4功能安全性和技术安全性的依据。所有这些条件在安全系统械认为足够安全之前.在设备.级、子系统级、祭统级都必须满足。,表明这些条件已经满足的文件依据必频包括在一个结构化的安全性证明文档.中,即安全性例证泻,安全性例证是整体文档依据的一个组成部分，将提交给有关I的管理机构以获得对某一产品一般应用和特殊应用的安全性认证，有关

25、安全性认证处理的说明参看本标准的6.5节。安全性例i正包捱系统、子系统或设备成文的安全性依据，结构如下厂甲分里必即明确定义資全性例证所矗明的版纭号和修改的情况第部分：系统或子系统的定义往这|一涉及的系统/子系统或设备，第二部分：质量管理报吿.这一部分必须包括质量管理的依据，在卒标餐6.2节里说蹈第三部分：安全性管理报告.这一部分包括安全性管理的隔在本标准的T百.3节中说服，第四部分:技术安全性报告.这一部分包括功能妄全股和技术安全性讪衣据，在本棕准吐4节里说明第五部分：相关妄全性例证.这一部分必须色括主耍的炙全性例证所依翰的仕何子系统裁设备的安全惟例证这部分也必烦论证每卒和关子系统/设备的安全

26、性例证甲说明的所有安定世根关的应用条诈：或者，完全满足主安全性例证.或:酉逐歩满足主安全性例证的安全相先便用条件，TOC o 1-5 h z第六部分：结论.边部廿对前面安全住例证部仑所引岀的依携如识霧括井讨论相应系统/子系统/设备是足够安全的并与规定的使用冬件相一致.安全性例证的结构如图3所示&2质量管理的依据：I安澄性验肢必须瀧足的第-令条件是系统子寒统或设备在整个生命周期中受控于而旦必須持绫受把于一个相效的管理过锂在展量管理报吿中宓须提供相应的文档:以作证明-即住亡性例证的第二部分烦量管理过程的目的是为了减少生命周期内的各阶段的人为错溟、羞由此来减少系匏子系绽或设备的故障风险.这些必要条件

27、必须由一牛质量体系来满足，这个质童体系与ISO9血】：质童休系厂在设计,开投、主产、安姿和服务申的质量保证模蟄相一毀另外时质量管理负资的公目或其它组织必殛已获得ISO90Q1的证书.质量体系必须在系统仔系或设备的整个生命周期内适咼这些在ENSOULS；“铁路可靠性、可用性、可维性和安全性施规范和论证一第二部分:宏全性叫中作了定尤一份系统生命周期图例（摘自EN50126-2）复制在本标准的圈4中.注;以下是必须受质賞体系控制并包播在质量管理报告中的內容（基于ISO：9001）.1-亠组纭结构；质量计刘和步骤;-需求规格;JF设计控制；设计检骗和复审：J-应用工稅：-征购和主产-F产品的识別与跟踪

28、能力；-F装卸与贮存；筮資和测试；-不一致及其更正；-包装和输送；-安装和委托；+_操作与堆护；-质屋监督和反馈；-文件和记录；-結构管理/变动控制；-人员能力与培训;-质量复审匀眼蹌；-更换和处鬣庇质量管理报吿中不需包括大量的详细依据和支持文献，而貝需给出主要的参.考文.：.为与质眾管理的要求相-致，必须完全邃守安全注的完善度等级44録（参看附件a；宥关安全性的完善度等级的说明n但是所列液据的广度和支持文件的范n经仔细研兖调整-与系统/子系统/设备安全炷完善康等级相匹配。安全性的完善播等级0（即与安全性无关的要咸已超出了本标准的范围。r63安全性管理依据63,1引言安全性验收所必须祸足的第二

29、个条件是:系统,子系统或设备的安全性必须由而且必须持续地由一个有效的安全性管理方式来管理.如同EN50126-2:铁路可靠性、可用性、可维性和安全性的规范和论证第二部分：安全性”中所解释的那样口这些加理的目的是为了进一步减少系统生命周期内与安全性相关的人为错误的发生。并由此减少安全性相关系统的故障的残瞥风险口安全性处理的要求简要概括在下面目勺图&土2和6.3,3中，安全性管理报告戶必须提供用于表闕所有元素在整个生命周期内的安全性处理的书面证明。这些内容统成了安全性例证的第3部分“在安全性簣理报告中不需要包括大董的详细依据和支持文献，而只筲提供主要的I1iE0参考文猷对于包站软件的子系统或设备，

30、必须包括或参考软件评估报告，规EN50128:“铁路控制科防护系统软件中所规定的那样.安全性处理的疫用必须完全遵从安全性完善度等级1-4级的内容,（参看附件A安全性完善度等级的说明）.但是所列出的依据的广度与支持文献的范围需最据系銃/子系统或设备的安令性完善度等细了细调整.秃善度筹级0（与安全性无关）的要求不厲莎标准的范围.注：为了识别每一特走条件下:听需要的空全性完善度筹级，对于每个例证，KX50126-2中定文的危险分折和凤险评估都是必要的.这也包括了经分钎和评估确定安全性完善度等级为零的情况但一旦得出这个结论（即与安今性无关h.安全性标准将不再卮用.&3二安全性生命周期如0126-2所说

31、阴的，安空性处理必须由与构成安全性生命周期的大量行为和阶段组成.一簡安全性生命周期图及其与系统呈命周期的关系圏（均摘肯EN50126）M制在本标准的圏5和图5中.生命周期的开发阶段可以看作一个自顶向-下阶段紧跟着t自康向上阶段（即”形周期），以图？为例图&U安全性组织-:几如ENM皿总中所述，安全性处淫必须程-严相应的安全丸构控即下，绪适当.的人员分茁概走常丘务来完施一亍安全性织纭踊虑牆齢礎12花便本济准的请$丁乂员隹农:苞吿枝痴由李莎旃虚的经验和适当頁館盛诙估菊逅证都必顷按亦丸I纶2中所说明的进行./?他悪求（42卿ISWA.e订划一”一=Ef.安装1-rvh.验收J一“-#确认返回生命砂图

32、4系统生命周期实例（摘自EN501262）圏5安全注主命匿期的实恢摘自EN501262)團7安全性生命周期开发阶段的实例252524252524坯8员閨宕安全阻勰实例（摘自EN50t262）PM=项目经遡DES=设计音VER=验证员.VAL工确认员assr=评估员SJ-L=安全性完善度等级注；j卫EgSJL0J.SILI利2图9独立性安排实例262624第召章：合格泌试第5章：安全財殺的应用条件屛章：分卜界干sm河乍!希章：如影1向第2章：确保正确的加瞬作第1章：引W11,1i.厶图技术安会由艮皆结恂272724独立应用分类应用特殊应用272724272724图11安全性认证过裡I24系统A系

33、统B特殊应用设备_J-aa_J_设备设备电一1Cd乂III.1-1I一般产品图12安全性认证之间的依赖性实例24附件A（规范要求）：TOC o 1-5 h z安全性完善度等级亠r29AJ弓i言”30A.2安全性需求-30A.3安全性完善度一一30A.A安全性完巻度常级“-31A.5安全性完彗度等级的配签33附图：A.1安全性需求和安全性完善度S4A.2完全性完善度尊级35A3危险侧失效率的导出实例3624丸1引言本附件定义丁应用亍铁路的安全性姐关系统的安全性完禅度等级及它的说豹和使用.每个特定的应用于铁路的实际的安全注完善度尊级和定量的安全江指标由祐应的铁路管理机构负贵.在帝标准中未加罡义A.

34、2安全性需求（参见图AJ）系统（或子系统/设备）的需求说明可以分两部分扯以瞻虑：-与安全生无关的要求（包搖操件功能要求）；-与安全性相关的要求.与空全性相关的要求通常称为安全性需求，这些可以包含在一个独立的安全性需求说明里.安全住需求可以看作两部分:-竟全性功能要求;-安全住完善度要求.赛全性訪能要求实际上就是系统、子系统或设备必须具备的芍安全性相关r|.的功能.安全性完善度要求定义了安全陰畤功能所需的安全柱完善度等级.AJ安全性完善度（参看图A.1）簣全性完善度与一个系统、子系统或设备达到它所需的安全特性的可能性有关.一亍项目的安会悝的完善度越高,它在执行所需曲安全性功能时失效的可能性越小下

35、面将规定一个整体的、定負的安全性完善度要求.安全:生完善度包括商个组成部分：-寒统失效完善度；隨机失效完善度.I要达到足够的安全性完善度，必须满足系统失效和随机失效两类失效完善度系统失效完善度是安全性完善度的不可定置部分，并且与危险侧系统故障（硬件或软件）有朱.系统故障是在墓统,子系统或设备主命周期的不同阶段中，因人为的错溟而导致的.32323】例妳：-说取书错课;-设汁锚谋；-元器件訣陷；-主产律逞;L-安装错误l-操作错溟；-维护错盪:修改错误C系统失效完善度通过姦标准&2和6.3节里规定的质量管理和安全性管理条件获得*防止垂统故障的技术措施包含在本标准6,4节规定的技术安全性祭件里由于用

36、定量分析的方法不可誌对系统先效的完善度作出洋估/因而如本附件的人4韦所述俊用了安全性完善度等级，随机失效完善度是导危险侧随枇硬件故障相关的宝全性究善度随机硬件故暉是硬件元器件的可皐性有眼的结果卩:.随机先效完蓉度的获取在本标准6.4节规定的技貳安全性条件毘说明，随机埃敷完善度的定量评信应連过概率计算的方式来进行所有这些都建立在硬件元器件失效率、失效模式和随机硬件失效的出现次数等数据已知的.基瑚之上对于具备固有執理待性的元器件（参看附件C），適常假定危险侧失效率为0*尽管可能存在危险侧失效的残余凤险，但可以如本标准6A节和附件B.3.6所述加厲防护A.4安全性完善度尊级安全性完善度被规定为4个不

37、连续的等级口竽级4为安全性完善度的昴高等级*等级1是最低的，等级0用在表明无安全性娶求的地方卜安全性完善度等I级可以定性塑描述如下：安全性完善度等级描述语句何选）4最咼必需的关键的安全临界的故障-安全3,X必需加关键的安全临界的高完善度2中需蔓的主要的涉及安全性中完善度1低需要的主要的涉及安全性低完善度0无非必须次要的不涉及安全性无安全性等级E4都可以摊述为安全性相关.任何给定条件下所需的安全性完善度等级应当建立在如EN仙込2所述的危险分析和风险评估的基础之上.I本标准定义的安全洼完善度等级与质量管理、安会陛管理和技术安全住条件之尙的关系如图A2所示，这张图包括了按图A.3所示方法推寻的定馨勺

38、宾全性捲乐这里只是起指辱作用，毎种特定应用的实际的定量安全性指祈应当使用危险分飾凤险谆怙过程得出，如E心0必所述（包蓿定握安全性指标的见多实例认识到妾达到一个特定的安全性完善度等级需满足勢乩2所:示的所有因素是非常璽要的，.这些囚素是：-_质愷管理条件;_安全性管理条件；技术安全性条评；-定量的安全性指标.完成一亍特定的定量安全性指标就其自身而言并不意味着已达到栢应的安全注完善度等级，同样，完成与一亍特定的安全准完善度等级相关的质量管理、斎全性管理和技术安全性条件并不意味着达到相应的定量安全拄指标或安全性等级本身.要达到规定的安全住的完善度等级，A.2所示的所有因索都必须満足理解以下内容也同拝

39、重要：当图乩2斯示的定量的安全性指标是为完成如图所示的铁路安全生性能所必需时，不应假设一个特定的安全柱功能只需一个子系统或设备就可以实现国际安会性标准和淮.则中关于定量安全性指标的声明必殖遵守。同时，如本附件A.5所述，在必要的时候所需的安全性指标应当由功能、子系统或设备来共同完成。九5安全性完善度等级的配置当一个系统所需的安全性程度由子系统的组合共同完成时，垂统的安全性完善度等级取决于每个子系统的安全性完善度等级这个原理也同样适用于当一个子系统由设备组成或设备由软件和硬件所组成的情况左一般情况下它适用于所肅的功能安全性程度由较低安全性程度的功能祸组合来完成时的惰形n因此去这种情况.下，辅助元

40、素的安全性宪善度等级的配置是必寒的.以使通过它们的组合来完成所痔的龍捧安全性完善度等级烧提供诧K证騒来髓证这勲赤法可以从屋和變上蜒高安全性无论功能心上述的何神方式组合它们之间的独立性（包括人和技术），例如是否使用功竈分类，均应该说明并验证以避免共複故障。34343】安仝性完善度要尖安全性功能萝求系统失效完善度随机失效完善度圏A.I安全性需求和安全性完善度 #3】假设容许的危险先效率（毎小时）假定容许的主要快路事故每年在整个欧洲有一次取决于危验侧技术失效110对于整个欧洲铁路系统的技术装置假定危险侧技术失效的1/10弓:起一次主要事故W3对于整个欧洲憐路藝统的技术装置假定技术失数的W0是信号失.

41、效对于整个欧洲铁路信号装置假定对不确定性和兀余的安全限度为10：11中对于整个欧洲铁路信号装置佩定整个欧洲电200个究整信号系统10-5恁个完整信号累统:（如.主要亍线或区域）假定每个完整信号条统禺TC个子瞬.K-9総个偿号子系统.（如大型联锁）假定毎丁信号子寮抚有100个系统元素10心每平系统元素（如列车检测，道茁控制，信号控制功能）假定每两个安全性完誓康等履之间的比率为100:11011对于S.I.L.4J10_（对于S.T.L.3）了10（对于S.I.L2）10_S对于S.I.L.1）每个系统元素图AJ危险侧失效率的导出实例3-;3-;3】附件B（观范耍求）：TOC o 1-5 h z附

42、in技术要飛-一=亠卵1弓i主-59E2巾気4枭.疋谯包勺功能f卡.-4-丁*-39B.2.1系gj：结彳勾汨j定-一_一一“39H.2.2接定叉39B.2.3衆统需求说明日勺实现-4。B.2.4安全性需求说明的实琉-弐13.2.5彳呆:疋疋,5y；l伴殳vH一4?B.2.6痔殊环境条伴的实现4iB.2.7保证正礎的软件功能一42B.3故瑋已勺影目亠42B.3.1年障斗2B.32部件的独立性-一”43B.3.3单故障的晟露-一44B3.4故障廉露后前攜施（包括安全状怂的佚持一44B3.5多故障45且头6瑕统故障的防护l45B.4外界干扰卩的运行亠匚一“十.45.B.4.1气候鈿牛45B.4.2

43、杞$更条件r.46B.43更严格的采件46B.4.4海拔条件一46B4J問走装置的电气条件46B.4.6车载装置的电气条件47BA.7非法登录的茴护一47B.5资全性相关的应用条件48B.5J子系统/设备的配置及系统的建立48B.5.2换柞和维护49B.?运行安全性监测51H.5.4更换与处置/B.6合格测试帜】B.61一般合格测弍一“51B62安佥性飾合:様测试一-51 #3】附图：B.1影响部件独立性的干扰5；B2单故障的暴露533】B1引言如本标准6.4节所述，系统/子系统/设备设计的安全性技术依据应在技术安全报吉（安全性例证的第4部分）中列出，报告应按如下标题安排；第1章弓希第2章确保

44、正确的功能操作;第3章故障的影响；第4章外界干扰下的运行；第5草麦全性豹关的应用条件；第6章合格测试-住本标准6.4节里简单地提到了以上各个标题.更详细的要求包括在本附件B.2和吕込章节.技术安全性报吿的结拘列在本标准的图10中.R2确保正确的功能操作（技术安全性报告第二章）这一章淡到系统/子系统7设备在无故障条件下（即无故障袴在）符合规定的操作翌求和安金性需求的正确操作”便用本标准6.4节的标题，需要希虑以下方面.R2J系统结构描述这节应当程绘对乘统汙茶釣设备药淤计竟一殴措述，梗人门对它的痕廉籲您和技术有i个清晰的了解”IB22接口定文B22.1人机接口乩操作员这里应当播述将要扳操作人员和技

45、术人员集作的系统/子系统设备的机琅例如：-在正常情况下；-对报警的响应；-通过便用帚助円阀程.h配置这里应当描述工程人员为棊一铁路应用配置系统/子系统/设备时所进行的处理.例如：-软件参数的确定；-族线； 3】-安装技忒；-步骗.:维护这里应描述维护人员在不同级别的维护遣程中使用的接口的卡用燉程”包括任何辅助设备的使用.更详细的信息电涪在本附件B.52T中”j口圧2卫京系统接口乩內部的应定义垂统厅系统/设备内部各部件之间的功能和物理接口.例如：-于浄区域和污垢区域；-內部总线结构；通信链路；-功能监测和纠正；断和状态监测.H外部的应定义系统/子系统/设备和外部各咅件之间的功能和物理接口.例如：

46、_传感器；-传动装置;-進信链路;.“洌试和监控臂施；-扩馬便利性B22.3确认/测试这果应洁述技术人员所进行的处瓊：作为系统/子黍统/设备的确认和测试的i部分.例如：-步瑚-测试装置；-摸拟装匱;莎荒禹法毗3系统需求说明的实现论证在系统/子系统了设备需求说明里规定的操作功能需求是如何通过设计来满足的应包括（或指出）所有有关的依据例如：:奁计原理和计算；-测试说明和结果.,IB24安全性需求说明的实现论证规定的安全性功能需求是如何通过设计来实規皈应包括（或指出）所有有关的依据例如：-设计原理和计算；-测试规范和结果；-“安全性分忻和结果.保证正确的硬件设计描述系统/子乘统/设备的硬件结构,解释

47、设计如何淸足所需的完善度.包詰需玄说明和其它有关的标准所拟定的以卜兀方匱-可靠性；-可用性；-可维性；-安全性.对安全性的考虑只限于无故陲条件，囚対故障的影响已在其它地方考虑处理（参看附件B.3节）本标進的范匿限于系瓷的功能安全禺但是人员健廉与硬件安全性方面包括岐隐条件也应当在这一章中解釋.例妇：.-击.:耗臨靭质；燜和火；-起璽与运输；放射;爆炸.施子系统或设备硯件应当按EN50124-1亘斯规定的经缘配合要求来进行啜计、实现和维护.B26特定环境条件的实现这里论证往特定的环境条件下，设计应能保证系统/子系统/设备的正确操作（包括提供的冗余），另夕卜那些为防护待定环境条件而提供的特殊防护应当

48、详细描述.例如：-通风；空调；-F电磁屏蔽.应当考虑到的环境条件在本附件.4中列出.A2A23】B27保证正确的软件功能应遵守EN5012S的说明.在这章中应当包括或参照EN50128所需的所有文件尤其是软件萌认报告和软GF乎估报告-卫外，需说明硬件与软件之闻的相互作用.注：F面的标题应特别注意：-礎件与较件之间的依赖性；-作用顺序；-响应时间；亠-自测试例程；-状态监测；”-数据采集技术；-故障劣化；.-避错方法.LU故障的彫响（技术安全性报告第三章）本草讨论系统子妾统/设备在发至隨机硬件故障或者系统故障时仍然满足规定卫安全性要求的能力.“应考虑的特殊方叵奁后面1&3和B.3.6节有详细的说

49、明|并且便冃了本标准百4节的标題”B.3J单故障系统丿子系统/设备在发生任何可能的单个随机硬件故障时能够保证安全是非常必要的.这个原则即所谓的枚障安全，可通过以下方式来做到:1）组合故障-安全（Compositefail-safety）使用这种技术时,每个安全性相关功能必须至少由两个部件来执行每个部件应当独立于其它的部件，以避免共模故障，只有当大多数部件一致时，才允许进行非限制性行为”12）反应故障-安全（Reactivefail-safety）这种故瞳允许一个安全性梱关功能宙单部件来执行，前提是由快速的披障检测和对任何危险失效进行避错来保证它的安全操作（例如通过编码，多版软件比较，或通过连续

50、的测试）.尽管只有一个部件执行实际的故障安全功能,检查/测试/检测功能应被看作第二个部件.3）固有故離安全（Inherentfailsafcty）这种技术是在假定单丫部件所卑可信的失效模式均无危险的情况下，允许一 3】个安奈注功能由一个筆独部件来执行.任何被称为不可倍前失效模式呦因为固有的物理特注）应省便用附件C申白勺过程来证禺面冇故障丧全也可用在组合和反应故障-安全系统的某些功能书例如，用来确谋部捋之间的独立性或肴如鴉检测列一牛危险侧失效时菲强制停止运转.无诒使用哪种技术或多神技术的绢台,都应滾用适当的结构分析方法来傑证尊化随机硬件元器件的失效模式不会导玫危险.在分折过程中考虑的元吳件纲去效

51、硬武应1吏用附件C定丈的步骥来诵认.注：应使用一个“自顶向下”的夫效分折方法S如故障树分析（PTA）,这禅耀论在必要时可補之以自底向上一的方法.如失效模式和彫响分析（JFMEAJ.当可以得刮魂切的数据蚊故障分析应定性定量迤进行.随机硬件失效率或元器件的失效率如有可程应基于现场数据.整午元器件的失效卒在它的失效:篠戒之间的分配应在分析中加以调整.B3J部件的独立性在包括莎个部件并且部件的同吋岀错可龍导致危脸的系统中部件间的独立性是单放障安全性的先决条牛为诵保这种独立岀应提出相应的规岡或性址另外系统仔系统/设备的设计应尽壘滅小殘失迪立性的潜走危险石黒;制如白系统设计蜒辭弓!起的独立性丧失.由两个工

52、作部件组成的荼统中;各冲类型的干扰由例图:B1给出.这张图可以扩般到爭于两亍工作部侍组成旳丢统.J独立性可能虫于下列标龜所述曲干扰而丧失:类型A：物理的内部鬆响如皋一令系统內部的部件之间不存在物理联系,就不可能有物理或功能的影响、因此就获得了內部独立性.注;物理联系擡指两个部件之间的伐何媒介.例如：电联茶；-电磁耦合*应釆用措施防止意外的物理内部老响注：附件D2指出了物理内部独立性的实現措施（A类影响的防护）.类型R：功能的内部影响部件之间的磋館联系是建立在物理联系之上的，应采取措施防止功能的影响如一个部件里的枚障应不危及另一部件），这些应遇过功能的内部独立性方法来实现（13类影响的防护）类型

53、C：物理的外部影响一个物理的外部影响可能导致部件之间的物理独立性的丧失.|,注：这主要取决于以下因素，例如:环境压为如电滞干扌就ENS）,事般罚断沁），气馋机触和化学囲衰；-电源；-一外部输入和输岀.应采取措施防止无意的物理外部影响*注:附件D勺指岀了物理外部独立性的实现攢施C类影晌的防护）.类型D：功能的外部影响功能的外部影响可需导致部件之闾的功能独立性的丧矢应釆取措話保证来自外部的故障信息不危及系统.这些应通过功能的外部独立性旳方法宗实现（D类影响的防护.B3.3单故障的暴露第-个故障（单故障）可能是危险的，要么单独出现,要虫紧接着发生第二个故障,I应当在一个足够短的时间内暴露（如被检测到

54、）并且强制达到一个安全狀态（如采取避蓿手段1以完成规定的安全性量化指标.有关于此的论证应当包含在故障摸式和影响分析中（PEMA），同时也应包含在随矶失效完善度的定量评怙中（参看附件3）在组合故障r安全情况斤这种要求意味君应在足堵短的时间内检出第个故隋井强噺达列宗蜃状轧而且在检错井避错餉时间内，.发主第二个故障的凤脸小于规定的槪率指标.在反应故障安全情况下.这种要求意眛着采用检错并避错的时间不应超出规定的不发世瞬间潜在危险的时间.在图B.2中,描述了组合和反应故障-安全的要求在一定谄故障幕露时词內识别故障曲检测技术，包括计算应当给出.在计算中桓用的基本失效率的数据的岀处（如顼件元器件的失效率）应

55、当是明确的，并且应明确解释定量分析方送注：故障暴霭H寸间是在设备进行自检情况下的测试时间或在人工检测情况下的维I护时间”极端情况樂系统安装的生命期.在设备存储时是维护人员两次定期测试之间的时间间隔.注:在附件D4中给出了7个接近达到这些荽求的例免II3.4故障暴露后的措施（包括安全状态的保持）在第一个故障暴霜之后，系统/子系统/设备应进入或駅持在一牛安全状态这亍 3】安令状态通敝但不必）是更严格的.达到安全状态的时闻必须足够短.以使相应的检测并屏蔽时间满足规定的安全陛指祢.注：避错时间通常被认为是系统姐应部分将要自动或人为切断的时间.在第一个故障棗露，并且已进入安全性状态之后，进一步的瓯障也不

56、应退山安全状态.退出所限制的安全状态只能在作为恢复过程的-部分的受控方式下发空在发生第一个故障之后的整个允许的修夏期內,如果进一步发生故隨，系技子系统）设笹影当保持庇安令状态，可允许修复朋足够短以满是规左的安全绘忘.应规宦设备退出运行丽等待修复的允许时间.B.3拓多故障一个可能直接发主危险或与进一步的故障相组-合发生危险的多故障（例如两重或=重故障）i应当及區聶露（即捡测并且强制达到一个安全状态即避错），这一时间应足够短丫以満足规定的安全性指标应便屈适当的方医如故障树仆祈法（FTA）总认证多故障的影响.同时给出在规宦吋间內養成參故障检测并屏蔽的技术*匕及相应的计算.注：近似満足这些要求的实例包

57、括在附件D.5中应进行共模失效分桁（CMF）以保证多重故障只能在多个随机单故障的组合情丘T发生而不是一个井模故障的結果.BJ.6系统故障的防护,:除7迪过贋备初婪全柱晉理技术来缩小人为锥i吴阳就率.勿1参看呆标准处节和&3节应合理妄排技术安全性设计，说使得即使存在一个危险恻系统故障.也能防止它产生卒可接受的凤险例如：整个系统的结构构港得当，氐使得-个经过安全设计的子系统或设备部件在发生危险侧失效时1仍不会引发辜故B.4外界干扰下的运行（技术安全性报告第4章）这一章讨论系统/于系统段备在特定舸外界干扰下正确、安全地工译的能力正常运行”包活满足操作爲求和安全性需求芮个方面.为尽可能实用,安全性相关

58、系统应设计成即疫在趨出规定限制的外界干扰条件T.系统仍能像持安全.应考虑到的干扰列在后面B如至B4了里.B41气候条件应在规定的气侯条泞下保证达到欧洲标准所需的安全性.如果铁路管理机构规定的条件比设备能满足的条件更苛刻，洪方可以在用户同意的条件下增加适应气候条件的措施.在朝下物理条件下：-J能挖制环境的建筑物.里；-不能栓制环境附$操纵台或.建筑韧里；一室夕卜轨道上）；-车載装置上;-在贮存中，应考虑到下面两个气候因素：11潟度（最高和最低;-“相对湿度（最大和最小）,注：不同吻理条件下的推荐值包括在附件D61中.B.4J机械条件庞保旺在规定的机械环境条件下迖到欧洲标准所需的安全性.杳下面物理

59、条件下：:-在轨吐；轨旁；-车载装置上；-在运输期间厂应考虑下述因素：_震动；冲怎-噪阿注：可取参考EN50I554TEN50155-2,EN22247和EN222駆里的数据.3,43更严格的条件在必要的地方，应采取措施来处理诜路管理机构规定的更严格的条件*注：这种兼件的实例在醐牛DX申给岀.B44海拔条件应保证在实际应用苗海拔离度下达到欧洲标准所需的安全性，i注;系统/子系统/设备工作的高度在工常燈况下不超过海拔1800米.玖处电气条件（固定裝置上）.应保证在规定的电气环境条件下达到欧列标准所需的安全性.考虑以下电气条-供电-交.直流电翠;|.-电压变化3】-敬率变化;-一扰功.-电磁T扰（

60、EMT）-系统受到的（妇敏感性;亠-奚统产龟射（如放射）:-悝导和（或）輻射.静电移放（E5D）注：在EN5012I-4,EN501241和ENHWi至引用的值可作摺导.B.4上电气条件（车载装置下应保证车載装置在规定屯气劉牛卜达到欧洲标准所霊的安全注.注：应使用EN50i2L4EN50124-1和ENH155-1里引用的值“B47非法登录的防护注：尽管本标准的范鬧限制在系统、子系统和设备的功能安全性，但能够对装置进行登录的人员的健康和安全性乜应加以考虑.】）登录等级的定义寰晟等级定义谁有奄最权，登录的原固和如何蟹晁从丽预防菲法蚤录.对于环特定操作，操作人员需要符合一定的规定，这些规定是关于：