9.3. Вимоги до документа "Доказ функційної безпечності технічних засобів "

У розділі "Вступ" треба навести: призначеність КТЗ, його взаємодію з іншими пристроями та рівнями убезпечнювання виконання заданих функцій, умови експлуатації та технічного обслуговування.

У розділі "Нормативні та інші документи, що використовують для доказу функційної безпечності” треба подати перелік міжнародних, національних і/або галузевих документів, які регламентують вимоги та методи випробовування функційної безпечності КТЗ.

У розділі "Характеристика об’єкта” необхідно надати:

• стислий опис принципів його побудови і функціонування, зокрема, опис структури, способу резервування, типу розв’язуваних елементів резервованого КТЗ (у разі наявності), конструкційного оформлення, інтерфейсів (людино-машинного, внутрішнього і зовнішнього системного інтерфейсу);

• вимоги та норми функційної безпечності;

• критерії небезпечних відмов;

• концепцію досягання функційної безпечності;

• організаційні заходи досягання функційної безпечності.

У розділі "Підтвердження функційної безпечності за відсутністю дестабілізуючих чинників" треба надати доказ функційної безпечності апаратного та програмного забезпечення КТЗ за нормальних умов експлуатування, відсутності відмов їхніх елементів і впливу зовнішніх чинників (з урахуванням передбачених заходів із кондиціювання, вентиляції та екранування), припустимих змінах структури та напруги в мережі електроживлення.

В розділі "Наслідки відмов і збоїв" треба довести, що поодинокі відмови та збої не призводять до порушення функційної безпечності КТЗ. У цьому разі має бути надано доказ незалежності виникнення небезпечних відмов в окремих підсистемах і/або резервованих частинах КТЗ, що можуть відбуватися, наприклад, за рахунок фізичних чи функційних внутрішніх і зовнішніх зв'язків, зумовлених електромагнітним чи гальванічним зв'язком, впливами електромагнітних, кліматичних, механічних та інших дестабілізуючих чинників, функціонуванням системи електроживлення або зовнішніх пристроїв уведення/виведення інформації. У цьому розділі треба підтвердити, що поодинокі відмови КТЗ, які разом із наступними його відмовами можуть перевести КТЗ у небезпечний стан, будуть виявлені досить швидко та до появи таких небезпечних відмов або КТЗ примусово перейде в захисний стан. Інтервал тестування КТЗ (під час використовування апаратного періодичного контролювання) чи інтервал технічного обслуговування (під час використовування обслуговувального персоналу) треба встановити меншим, ніж тривалість виявлення й усунення таких відмов. Після виявлення відмови й переходу КТЗ у захисний стан подальші відмови та збої КТЗ не повинні призводити до його небезпечних станів.

Для випадку виникнення багаторазових відмов, наприклад, подвійних чи потрійних відмов, що переводять КТЗ у небезпечний стан безпосередньо чи в комбінації з наступними відмовами або збоями, треба надати доказ того, що вони будуть виявлені протягом такого часу, за який були б забезпечені необхідні вимоги функційної безпечності КТЗ. Тривалість відновлення працездатного стану КТЗ або його переходу у захисний стан із можливістю повторного вмикання тільки обслуговувальним персоналом повинна бути не менш ніж розрахункові значення, що забезпечують вимоги функційної безпечності КТЗ.

У цьому розділі треба довести, що відмови апаратури періодичного контролювання та зовнішніх пристроїв убезпечнювання КТЗ, а також пристроїв, функціонально пов'язаних із КТЗ, не призводять до порушення вимог його безпечності. Перелік таких пристроїв має бути наведено в цьому розділі.

В розділі "Функційна безпечність у разі помилок оперативного й обслуговувального персоналу" треба надати доказ того, що за нормального функціонування й обслуговування КТЗ допустимі помилки персоналу не призводять до порушення вимог його функційної безпечності. Перелік таких допустимих помилок має бути наведено в цьому розділі, де також треба зазначити помилкові та небезпечні дії персоналу, що можуть призводити до зниження безпечності КТЗ (натискання певних кнопок, недопустиме підвищення напруги електроживлення, змінення розташування в просторі, неправильне підключення модулів тощо), а також заходи, спрямовані на усунення цих помилок.

В розділі "Функційна безпечність у разі дії зовнішніх чинників” повинно бути підтвердження того, що за нормованими значеннями зовнішніх чинників забезпечується необхідна безпека КТЗ. До таких чинників відносять: кліматичні чинники (максимальна та мінімальна температура й вологість, короткочасна швидка зміна температури тощо); механічні чинники (вібрація, удари, акустичний вплив); електромагнітні чинники (імпульсні завади, провали й перенапруги в мережі електроживлення, розряди статичної електрики, вплив електромагнітного випромінювання та гармонік напруги живлення); зміну параметрів енергопостачання (зміна напруги й частоти електроживлення, його форми); особливі чинники експлуатування, зумовлені споживачем КТЗ (хімічні, радіаційні, біологічні, атмосферні). У цьому розділі треба довести, яким чином унеможливлюють несанкціонований доступ до КТЗ (несанкціоноване керування технологічним процесом руху поїздів, світлофорами, стрілочними електроприводами тощо), зокрема, навмисний доступ неуповноваженого персоналу і ненавмисний доступ уповноваженого персоналу. Треба зазначити, як виконується захист від таких видів доступу, наприклад, за допомогою розміщення КТЗ у корпусі чи шафі; його пломбування, механічного чи електричного кодування та замикання; просторового розташування та огородження; використання спеціалізованого програмного забезпечення.

У розділі "Дотримання умов застосування, що впливають на функційну безпечність" треба визначити умови експлуатації й обмеження, що їх треба дотримуватися під час уведення в дію та експлуатування КТЗ:

• особливості вмикання, запускання, експлуатування та технічного обслуговування;

• запобіжні заходи стосовно функційної безпечності й електромагнітної сумісності, наприклад, правильне заземлення, екранування, розташування модулів, кабелів і проводів;

• особливості контролювання безпечності в працездатному та у справному станах;

• особливості функціонування резервованих систем і тривалість їхнього перебування в несправному, але працездатному стані, наприклад, у разі відмови одного з каналів мажоритарного резервування;

• особливості прикладного програмного забезпечення для КТЗ конкретної призначеності, якщо доказ функційної безпечності чи сертифікація виконані для типу КТЗ (наприклад, системи керування стрілками та сигналами для станцій з іншим колійним розвитком, локомотивних пристроїв убезпечнювання для іншого рухомого складу тощо);

• особливості виведення з експлуатування.

У розділі "Випробовування на функційну безпечність і надійність в експлуатаційних умовах" треба навести результати випробовування КТЗ у реальних умовах експлуатації, що дають додаткову впевненість у забезпеченні необхідних показників функційної безпечності й надійності. Зазначені випробовування не можуть бути єдиним засобом доказу функційної безпечності КТЗ при обмеженому обсязі випробовування і недостатньому рівні довірчої ймовірності до результатів випробування (порівняно з дуже малими значеннями допустимих імовірностей небезпечних відмов).