Приложение А (справочное). Взаимосвязь между допустимыми уровнями риска и уровнями полноты безопасности

Приложение А
(справочное)

Взаимосвязь между допустимыми уровнями риска и уровнями полноты безопасности

А.1 Определение допустимых уровней рисков является частью подхода к заданию требований к полноте безопасности объектов ЖТ, который схематично представлен на рисунке А.1.

В основе этого подхода лежит четкое разделение между условиями эксплуатации и объектом ЖТ. С точки зрения безопасности, это разделение определяется перечнем опасностей и связанных с ними рисков и допустимых уровней этих рисков в рамках объекта ЖТ.

В связи с этим анализ проводится следующим образом:

- анализ "снизу вверх" приводит к выявлению возможных последствий;

- анализ "сверху вниз" приводит к выявлению причин опасностей.

Общий процесс задания требований к полноте безопасности заключается в анализе риска и контроле уровня риска. Анализ риска приводит к допустимым уровням риска, которые являются входными критериями для контроля уровня риска.

Орган по сертификации и безопасности должен дать экспертное заключение по анализу риска и контролю уровня риска.

Примечание - В некоторых случаях, эти шаги не являются полностью независимыми. Контроль уровня риска может привести к изменениям объекта ЖТ, которые предлагают лучшие характеристики безопасности. Дублирование стрелок на рисунке А.1 показывает это. Таким образом, в этих случаях, процесс является итеративным.

А.2 Допустимый уровень риска является целевым показателем по отношению к полноте безопасности. Полнота безопасности может рассматриваться как сочетание поддающихся (как правило, связанных с аппаратным обеспечением, то есть случайные отказы) и не поддающихся (как правило, связанных с программным обеспечением, спецификацией, документацией, процессами и т.д.) количественному измерению факторов.

Полнота безопасности состоит из двух частей:

- полнота безопасности при систематических отказах;

- полнота безопасности при случайных отказах.

Принято считать, что определить количественно можно только полноту безопасности при случайных отказах. Количественную оценку полноты при случайных отказах осуществляют с помощью вероятностных расчетов, на основе известных статистических данных интенсивностей и видов отказов.

Полнота при систематических отказах достигается посредством управления условиями обеспечения качества и безопасности. Так как это не может быть оценено в количественных показателях, используют УПБ для группировки методов и средств, которые, в случае эффективного использования, можно рассматривать в качестве надлежащего уровня уверенности в том, что требования к полноте безопасности выполнены.

А.3 Полнота безопасности определяется как один из четырех дискретных уровней. Уровень 4 характеризует наибольшую полноту безопасности, уровень 1 - наименьшую. Уровень 0 используется, чтобы указать на отсутствие требований безопасности. С помощью УПБ следует рассматривать качественную оценку таких факторов, как управление качеством и безопасностью.

А.4 На этапе жизненного цикла "Требования к объекту ЖТ"* допустимые уровни риска распределяются по функциям объекта ЖТ и его составных частей.

А.5 Каждая из этих функций должна иметь качественный целевой показатель безопасности, а также присущий им количественный целевой показатель. Качественный целевой показатель должен быть в виде УПБ, и должен охватывать полноту безопасности при систематических отказах. Количественный целевой показатель может быть в виде численной интенсивности отказов и должен охватывать полноту безопасности при случайных отказах.

А.6 Важно признать, что достижение определенного УПБ требует соблюдения всех факторов, указанных на рисунке А.2, а именно:

- условия управления качеством,

- условия управления безопасностью,

- технические условия безопасности,

- количественные целевые показатели безопасности.

А.7 Исполнение специфичных количественных целевых показателей безопасности само по себе не означает, что соответствующий УПБ был достигнут. Также осуществление управления качеством, безопасностью и техническими условиями безопасности, не означает, что соответствующие количественные целевые показатели безопасности или УПБ были достигнуты. Для достижения указанной полноты безопасности необходимо выполнить все факторы на рисунке А.2.

Примечание - Необязательно, что целевой показатель для той или иной функции безопасности может быть обязательно обеспечен за счет одной подсистемы или оборудования. В случае необходимости, требуемый целевой показатель безопасности достигается путем сочетания функций, подсистем и оборудования.

А.8 Взаимосвязь между УПБ и целевыми показателями безопасности

УПБ используются в качестве средства согласования качественных подходов (чтобы избежать систематических отказов) с количественным подходом (для контроля случайных отказов). Этот баланс выражается в виде таблицы, которая состоит из перечня уровней полноты безопасности 0, 1, 2, 3, 4 и перечня соответствующих интервалов или диапазонов допустимых уровней рисков , ..., .

Пример - Для электрических, электронных и программируемых электронных систем соотношение УПБ и допустимых уровней рисков представлено в таблице А.1. В качестве допустимого риска принята допустимая интенсивность отказов системы в час и на функцию.

Таблица А.1 - Таблица УПБ

Допустимый уровень риска в час и на функцию	УПБ
	4
	3
	2
	1
	0

Функция, имеющая количественные требования более жесткие, чем должны рассматриваться одним из следующих способов:

- если это возможно - разделить функцию на функционально независимые подфункции, допустимый уровень риска может быть разделен между этими подфункциями и УПБ присваивается каждой подфункции;

- если функция не может быть разделена, должны быть, по крайней мере, выполнены методы и средства, необходимые для УПБ 4, а функция должна быть использована в сочетании с другими техническими или организационными мерами в целях обеспечения необходимого допустимого уровня риска.

Примечание - В отличие от ГОСТ Р МЭК 61508-1, таблица А.1 имеет только один столбец для частот (прежнее название "высокая интенсивность запросов" или "непрерывный режим") и не имеет колонки для вероятностей отказов по запросу (прежнее название "режим запроса"). Причины ограничения только одним режимом следующие: меньше неоднозначности при определении УПБ, все системы ЖТ с режимом по запросу можно смоделировать в виде системы с непрерывным режимом.

______________________________

* Жизненный цикл объекта ЖТ в соответствии с проектом СТО РЖД Управление ресурсами на этапах жизненного цикла, рисками и анализом надежности (УРРАН). Политика обеспечения безотказности, готовности и ремонтопригодности и безопасности объектов железнодорожного транспорта.