Приложение В (справочное). Применение в области функциональной безопасности

Приложение В
(справочное)

Применение в области функциональной безопасности

В.1 Целевые показатели в области функциональной безопасности, основанные на риске

Большая часть методов количественного анализа риска возникла в области анализа безопасности системы и разработана путем объединения методов в области безопасности и безотказности (или надежности) систем [11], [19].

Стандарты безопасности на основе риска серии ГОСТ Р МЭК 61508 широко применяют в различных сферах, таких как железнодорожный транспорт, машиностроение, медицинское электротехническое оборудование, автомобильная и робототехническая промышленность. В серии стандартов ГОСТ Р МЭК 61508 на основе риска установлена количественная мера эффективности объектов, связанных с безопасностью, называемая полной безопасностью. Целевыми показателями полной безопасности являются:

- средняя вероятность отказов по запросу (PFDavg), Р_а, для объекта, связанного с безопасностью, в режиме работы с редкими запросами;

- средняя частота опасных отказов в час (PFH) [1/ч], для объектов, связанных с безопасностью, в режиме большого количества запросов или непрерывной работы.

Эти целевые показатели устанавливают эффективность объектов, связанных с безопасностью, которые называются связанными с безопасностью системами электрическими, электронными, программируемыми электронными (далее - системами Е/Е/РЕ) относительно контроля и/или снижения риска, связанного с безопасностью до допустимого или приемлемого уровня (см. 3.1.1, примечание 3, 3.1.32 и 3.1.33).

Одну из сторон риска, связанного с безопасностью, а именно вероятность нанесения вреда, характеризует HER, [1/ч], и это количественный целевой показатель риска, связанного с безопасностью, для контроля и/или сокращения риска путем применения системы Е/Е/РЕ, связанной с безопасностью в соответствии с ГОСТ Р МЭК 61508 (все части) (см. 3.1.1, примечание 2 и 3.1.25, примечание 2). Соотношения между PFDavg (т.е. Р_а), PFH (т.е. ) и описаны в ГОСТ Р МЭК 61508-6:

-   Р_а  P_aw_M для объекта, работающего в режиме с редкими запросами;

-    для объекта, работающего в режиме с большим количеством запросов или непрерывной работы.

Здесь и w_M - интенсивность запросов и частота запросов, соответственно (см. обозначения в 9.1).

На самой ранней стадии разработки приведенных методов HER был рассчитан с использованием формулы   Р_а  P_aw_M. А целевым показателем отказов системы Е/Е/РЕ, связанной с безопасностью, была только PFD_avg (см. 9.3.2). Исследование в области машин, у которых интенсивность запросов достаточно высока, например   w_M  1000 [1/ч] и   Р_а   P_aw_M  1,0 [1/ч], показали, что значения HER, рассчитанные по формуле, намного выше, чем рассчитанные по статистическим данным, полученным из эксплуатации.

Затем было установлено следующее:

a) если система Е/Е/РЕ, связанная с безопасностью, постоянно работает или ее интенсивность запросов достаточно высока, HER , соответствующая опасным отказам системы Е/Е/РЕ, связанной с безопасностью, следует аппроксимировать ее интенсивностью опасных отказов [1/ч], поскольку опасный отказ немедленно приводит к событию, наносящему вред;

b) исходя из этого в начале разработки приведенных методов было принято три вида режимов работы, т.е. режима работы с редкими запросами (обычный режим), режима работы с большим количеством запросов и режима непрерывной работы;

c) формула   Р_а  P_aw_M принята для режима работы с редкими запросами, а формула    - для двух введенных режимов работы, т.е. режимов с большим количеством запросов и непрерывной работы.

Таким образом, на ранней стадии разработки приведенных методов режим работы с редкими запросами был определен как "режим работы, при котором интенсивность запросов достаточно низка", а режим работы с большим количеством запросов как "режим работы, при котором интенсивность запросов достаточно высока", соответственно. В настоящем стандарте в случае применения к безопасности (см. В.2) отказ означает опасный отказ.

В средней области, когда интенсивность запросов не является ни слишком низкой, ни достаточно высокой, для решения проблемы необходимо:

- провести линии ограничения режима работы с редкими запросами и режима работы с большим количеством запросов;

- распространить зоны, соответствующие этим режимам работы, на новые области, соответствующие промежуточным режимам работы по обе стороны от линии соответственно.

Режим работы с редкими запросами определен в ГОСТ Р МЭК 61508-4 как режим работы, при котором частота запросов работы системы, связанной с безопасностью, не превышает одного раза в год, а частота проведения контрольных проверок не превышает двух в год. Частота запросов один раз в год приближенно равна w_M    10^-4 [1/ч]. Здесь w_M и - постоянные частота и интенсивность запросов соответственно.

В настоящее время работа в режиме редких запросов определена как режим работы, "при котором функция безопасности выполняется только по запросу для перевода EUC в установленное безопасное состояние, а частота запросов составляет не более одного раза в год" (см. ГОСТ Р МЭК 61508-4).

Тогда понятны причины, по которым формулу   Р_а  P_aw_M вряд ли можно применить к системам Е/Е/РЕ, работающим в режимах с большим количеством запросов или непрерывной работы:

a) формула   Р_а  P_aw_M является приближенной для повторяемого и неповторяемого конечного события при условии, что интенсивность запросов достаточно низка, а интенсивность завершения достаточно высока. Однако формула вряд ли применима к неповторяемому конечному событию, если интенсивность запроса недостаточно низка или интенсивность завершения недостаточно высока [19], [3], [4];

b) формула вряд ли применима к такому конкретному случаю, как система контроля подушек безопасности автомобиля или система в целом, описанная в приложении А (см. 7.2.3, 9.3.2) [18], [7];

c) какой режим работы должен быть адаптирован к системе, зависит от соотношения между интенсивностью запросов и HER, и, следовательно, выбор режима работы должен основываться не только на интенсивности запросов, но также на интенсивностях завершения запроса, отказов, ремонтов объекта и экспозиции риска (см. 7.2.3 и В.4, В.8)[3], [4], [16], [17] [18];

d) события, связанные с нанесением вреда в машиностроительном секторе, где интенсивность запросов достаточно высока, можно считать неповторяемыми конечными событиями.

В.2 Безопасные/опасные состояния системы и отказы

Система Е/Е/РЕ, связанная с безопасностью, выполняет функции безопасности для поддержания безопасного состояния системы в целом и сохранения остаточного риска, связанного с безопасностью, на допустимом уровне (см. 3.1.1, примечание 3). Обычно, если объект, входящий в состав системы Е/Е/РЕ, отказал, отказ может выявить несколько режимов отказа. Эти режимы подразделяют на безопасные и опасные в соответствии с безопасным или опасным состоянием системы. Таким образом, отказ, приводящий к безопасному или опасному режиму, называют безопасным или опасным отказом, соответственно (см. ГОСТ Р МЭК 61508-4);

a) безопасный отказ определяют как отказ, который приводит к необоснованному выполнению функций безопасности или увеличению вероятности необоснованного выполнения функций безопасности, или поддержанию безопасного состояния системы в целом, следовательно, безопасное состояние системы сохраняется (см. ГОСТ Р МЭК 61508-4);

b) опасный отказ определяют как отказ, препятствующий выполнению функций безопасности или снижающий вероятность корректного выполнения функций безопасности (см. ГОСТ Р МЭК 61508-4);

c) безопасное состояние определяют как состояние системы в целом, когда безопасность достигнута, т.е. когда риск, связанный с безопасностью, поддерживают на приемлемом уровне.

Например, промежуточное состояние D на рисунке 10 означает состояние, в котором система управления подушками безопасности отключена. Понятно, что FER в промежуточном состоянии D меньше, чем FER в начальном состоянии А, а именно отказ D, приводящий систему управления подушками безопасности в отключенное состояние, является безопасным отказом, учитывая, что начальное состояние А является безопасным состоянием системы. С другой стороны, если FER в промежуточном состоянии С больше, чем FER в начальном состоянии А, отказ UD может быть опасным отказом, приводящим систему в целом в состояние системы с более высоким риском, чем риск системы в начальном состоянии А.

Как правило, с точки зрения безопасных и опасных отказов объектов, связанных с безопасностью, которые составляют систему Е/Е/РЕ, связанную с безопасностью, безопасные состояния системы в целом разделяют на следующие три типа [5]:

- неизменное состояние;

- изменяющееся состояние;

- взаимно изменяющиеся состояния.

Предположим, что Е/Е/РЕ система, связанная с безопасностью, предназначена для защиты от одной или нескольких опасностей для достижения безопасных состояний системы в целом, тогда можно утверждать следующее:

1) Если безопасное состояние системы в отношении опасности (или риска) обеспечивает то, что Е/Е/РЕ система, связанная с безопасностью, находится только в активном или неактивном состоянии и эта особенность Е/Е/РЕ системы не изменяется, в то время как система в целом находится под воздействием опасности (или риска), тогда это безопасное состояние системы является неизменным в отношении опасности (или риска) и отказа системы Е/Е/РЕ, связанной с безопасностью (см. 3.1.2.2, примечания 1-3). Пока система безопасности Е/Е/РЕ, связанная с безопасностью, поддерживает неизменное безопасное состояние системы, у нее могут произойти как безопасные, так и опасные отказы. Некоторые химические технологические установки включают в себя технические системы безопасности (т.е. Е/Е/РЕ системы, связанные с безопасностью), что является примерами неизменного безопасного состояния системы [5].

2) Если безопасное состояние системы в отношении опасности (или риска) обеспечивает Е/Е/РЕ система, связанная с безопасностью, которая переходит из активного состояния в неактивное или из неактивного в активное состояние или в обоих направлениях, пока система в целом подвергается опасности (или риску), тогда безопасное состояние системы является изменяющимся в отношении опасности (или риска) и отказа системы Е/Е/РЕ, связанной с безопасностью. Пока Е/Е/РЕ система, связанная с безопасностью, поддерживает изменяющееся безопасное состояние системы, у нее не должны возникать безопасные отказы. Например, автоматизированная система рулевого управления автомобилем (т.е. типичная система Е/Е/РЕ, связанная с безопасностью) состоит из электротехнических элементов, таких как датчики, контроллеры и исполнительные механизмы (см. 9.1). Эта система управляет направлением движения автомобиля в соответствии с различными условиями для создания безопасных маршрутов, где безопасное состояние системы, т.е. безопасный маршрут, является изменяющимся. Поэтому любой отказ автоматизированной системы рулевого управления автомобиля может быть опасным, потому что безопасное состояние системы является изменяющимся [5], [8].

3) Предположим, что отказ системы Е/Е/РЕ, связанной с безопасностью, связан с безопасным состоянием системы S1 по отношению к опасности Н1 (или риску R1) и безопасным состоянием системы S2 по отношению к опасности Н2 (или риску R2) и S1 - неизменное безопасное состояние системы, достигнутое за счет того, что Е/Е/РЕ система, связанная с безопасностью, находится в активном или неактивном состоянии. Таким образом, если S2 является неизменным безопасным состоянием системы, которое обеспечено тем, что система Е/Е/РЕ, связанная с безопасностью, находится в неактивном или активном состоянии, или если S2 является изменяющимся состоянием, система в целом находится в изменяющемся состоянии по отношению к Н1 (или R1) и Н2 (или R2), а опасности Н1 и Н2 являются взаимно обратными опасностями по отношению к отказу Е/Е/РЕ системы, связанной с безопасностью. Безопасное состояние системы в целом должно быть изменено в зависимости от взаимообратных опасностей, т.е. безопасные состояния системы в зависимости от взаимообратных опасностей являются взаимно изменяющимися. Если Е/Е/РЕ система, связанная с безопасностью, должна поддерживать взаимно изменяющиеся безопасные состояния системы S1 и S2, тогда безопасный отказ для S1 является опасным для S2 (см., например, таблицу В.1) [5], [7]-[9].

Например, если автоматизированная система управления тормозами автомобиля, которая состоит из таких электротехнических элементов, как датчики, контроллеры и исполнительные механизмы, в результате отказа не может остановить автомобиль при опасном приближении к автомобилю, движущемуся впереди, в результате может произойти заднее столкновение, в то же время при отказе автоматизированной системы управления тормозами автомобиль может внезапно остановиться и его может ударить сзади другой автомобиль. Следовательно, обе опасности (столкновение с автомобилем впереди и удар сзади) являются взаимообратными опасностями в отношении отказа автоматизированной системы управления тормозами, и безопасные состояния системы по отношению к этим взаимным опасностям являются взаимно изменяющимися. Таким образом, система автоматизированного управления тормозами автомобиля должна управлять взаимно изменяющимися безопасными состояниями системы для таких взаимно обратных опасностей, как:

- первичная опасность, вызванная невозможностью остановить автомобиль;

- взаимная опасность, вызванная ошибочной остановкой автомобиля.

В таблице В.1 показана взаимосвязь между режимами отказа автоматической системы управления тормозами, взаимно обратными опасностями, а также безопасными и опасными отказами [9].

Таблица В.1 - Соотношение между режимами отказа, опасностями и безопасными/опасными отказами

Опасности, которые необходимо контролировать	Режим отказа для автоматической системы управления тормозами
	Режим отказа 1 (например, короткое замыкание)	Режим отказа 2 (например, нарушение контакта)
Первичная опасность	Безопасный отказ	Опасный отказ
Взаимообратная опасность	Опасный отказ	Безопасный отказ

В целом для объекта, связанного с безопасностью, справедливо следующее [7], [9]:

- если объект входит в систему со структурой "1 из 2" для первичной опасности, то он входит в систему со структурой "2 из 2" для взаимно обратной опасности.

- если установлены допустимые уровни риска для соответствующих взаимно обратных опасностей, структура и параметры системы, в том числе интенсивности и режимы отказов элементов, связанных с безопасностью, должны быть разработаны так, чтобы система соответствовала этим допустимым уровням риска, установленным на основе анализа FER для заданного начального состояния.

В.3 Сложность системы, связанной с безопасностью

Сложность системы, связанной с безопасностью, зависит не только от размера системы в целом (т.е. количества компонентов системы), опасностей, создаваемых системой в целом и отказами по общей причине уровней защиты (включая исходные источники запросов), а также от сложности логики развития отказов, такой как логика последовательности отказов, которая определяет возникновение конечного события и появление конечных последствий риска (см. раздел 6, 9.1, 9.2, 9.5 и А.5). Кроме того, при обсуждении сложности систем, связанных с безопасностью, необходимо учитывать сложность безопасных состояний системы. Относительно сложности справедливо следующее:

a) система в целом с изменяющимися и/или взаимно изменяющимися безопасными состояниями системы является более сложной, чем система только с неизменными безопасными состояниями системы;

b) система, связанная с безопасностью со всеми видами отказов, такими как отказы D, UD и DU, имеет более высокий уровень сложности, чем система только с ограниченным количеством типов отказов (см. А.5);

c) система, связанная с безопасностью, включающая элементы, интенсивность отказов которых различна в рабочем и нерабочим состояниях, является более сложной, чем система, включающая элементы, интенсивности отказов которых являются постоянными, однако рассмотрение этих ситуаций выходит за рамки настоящего стандарта (см. рис. 15 и 9.3.1) [14], [15];

d) возможность того, что системе в целом присущ мета-риск, также является фактором сложности системы в целом, однако рассмотрение этой ситуации выходит за рамки настоящего стандарта (см. таблицу 1, раздел 6, 9.1, 9.5 и А.5).

В.4 Сопоставление традиционного и нового анализа

На рисунке В.1 показана типовая взаимосвязь между переменной интенсивностью запросов и HER, которая является функцией , (), фиксированной структуры системы и других переменных (или параметров), таких как интенсивности отказов/ремонтов и завершения запросов в определенных условиях системы в целом, включая Е/Е/Е систему, связанную с безопасностью, которая выполняет функцию конечного уровня безопасности.

На рисунке горизонтальная и вертикальная оси показывают интенсивность запросов и HER, () соответственно:

a) наклонная сплошная прямая линия и горизонтальная прямая линия показывают, что HER можно рассчитать по формулам ()  Р_а  P_aw_M и ()   в соответствии с ГОСТ Р МЭК 61508-6:

b) искривленные области в случаях 1-3 указывают на то, что HER () можно рассчитать, используя FER для исходного состояния в соответствии с настоящим стандартом.

Поскольку HER анализируют отдельно с использованием двух формул в соответствии с ГОСТ Р МЭК 61508-1, ГОСТ Р МЭК 61508-5 и ГОСТ Р МЭК 61508-6, ()  Р_а  P_aw_M и ()   для режимов с редкими и частыми запросами соответственно, часто возникают области разрыва HER, рассчитанных для этих режимов работы, показанные на рисунке В.1 (традиционный анализ).

Использование FER для заданного начального состояния обеспечивает получение непрерывной линии и более реалистичного анализа независимо от режима работы для HER, показанной на рисунке (новый анализ), поскольку не только интенсивности отказов и ремонтов системы, но и все параметры, включая интенсивность запросов и их завершений, значимо влияют на HER. Это позволяет выполнить анализ в соответствии с новым подходом. Таким образом:

- формула ()   представляет верхний предел HER, который в общем случае может быть адаптирован к непрерывному режиму работы системы в целом, где HER - монотонно возрастающая функция () в конкретных условиях;

- на рисунке В.1 искривленные области (случаи 1-3) обычно формируются монотонно возрастающими функциями.

Примечание - В соответствии со стандартами серии ГОСТ Р МЭК 61508    Р_а  Р_аw_M,   .

Рисунок В.1 - Сопоставление традиционного и нового анализа

Однако формула ()   не обязательно представляет верхний предел HER для системы в целом, если () не является монотонно возрастающей функцией (см. рисунки А.4 и А.5). Таким образом, существуют значительные различия традиционного и нового анализа.

1) Если оба целевых показателя отказов PFD_avg и APF_drg больше HER и если интенсивность запросов является достаточно высокой, то FER для заданного начального состояния стремится к целевому показателю отказов PFH (см. случай 1 на рисунке В.1).

2) Однако если только один из целевых показателей PFD_avg или APF_drg больше HER и если интенсивность запросов является достаточно высокой, то новый анализ, который обеспечивает реалистичные и точные оценки HER, позволяет получить более низкие оценки, чем приближенные оценки, полученные в соответствии с традиционным анализом (см. случай 3 на рисунке В.1).

3) Если интенсивность запросов является достаточно низкой и если только целевой показатель PFD_avg больше HER, традиционный анализ может дать хорошие приближения HER (см. случай 2 на рисунке В.1).

4) Однако если оба целевых показателя PFD_avg и APF_drg больше HER или если только APF_drg больше HER, то новый анализ позволяет получить существенно более низкие или более высокие оценки, чем приближенные оценки, полученные в соответствии с традиционным анализом в зависимости от конкретных условий системы в целом (см. 7.2.3, 9.3.3 и случаи 1 и 3 на рисунке В.1).

В.5 Разделение режима работы

Как правило, HER, , может быть функцией значительного числа переменных (или параметров), таких как интенсивность отказов/ремонтов, интенсивность запросов , интенсивность завершений запроса , частота запросов w_M, интенсивность восстановлений m и экспозиция риска Т с точки зрения анализа риска (см., например, рисунок 10). Если эти переменные, кроме интенсивности запросов , фиксированы, то является функцией , т.е.  = ();

a) если функция HER, (), является непрерывной и монотонно возрастающей, то систему в целом называют монотонно возрастающей системой относительно риска и наоборот, это показано в виде изогнутых линий (случаи 1-3) на рисунке В.1;

b) однако () не всегда монотонна для системы в целом, как показано в приложении А, где точки перегиба расположены в местах пересечения и () (см. рисунок А.4) [8], [7], [9], [18]. В этом случае неправильно просто начертить линию, чтобы разделить режим работы на две части, потому что HER в области промежуточных значений интенсивности запросов может быть выше, чем в области с более высокой интенсивностью запросов и/или в области с более низкой интенсивностью запросов (см. рисунок А.4 и А.5);

c) в связи с этим необходимо установить процедуру выбора подходящего режима работы для того, чтобы требования, относящиеся к уровню полноты безопасности, полностью соответствовали таблице В.2.

В.6 Допустимая интенсивность опасных (наносящих вред) событий и остаточный риск

Если Е/Е/РЕ система, связанная с безопасностью, выполняет функции безопасности конечного уровня защиты для обеспечения безопасного состояния системы в целом, остаточный риск в результате контроля/снижения риска должен быть ниже допустимого уровня риска, т.е. HER, соответствующая отказам Е/Е/РЕ системы, связанной с безопасностью, должна быть ниже допустимого уровня:

a) предположим, например, что для снижения риска системы в целом систему Е/Е/РЕ, связанную с безопасностью, эксплуатируют в соответствии со случаем 2 на рисунке В.1. Таким образом, три точки функционирования А, В и С могут быть представлены комбинацией [1/ч] и [1/ч], т.е. " и " как " и ", " и " и " и " соответственно;

b) если допустимая HER остаточного риска, например установлена равной 10^-6 [1/ч], тогда точки А и В удовлетворяют допустимой HER остаточного риска для безопасной работы, но HER рабочей точки С не соответствует допустимому уровню остаточного риска (см. 3.1.1, примечание 3).

В.7 Процедура определения уровня полноты безопасности (SIL) объекта

Преодолеть трудности, связанные с разделением режимов, соответствующих целевым показателям отказов и определения уровня полноты безопасности SIL, упомянутого выше, позволяет определить подход настоящего стандарта:

a) сначала целевой показатель снижения риска / вводят с использованием FER для заданного начального состояния, как описано в 7.2.3. Здесь - интенсивность запросов, рассматриваемого уровня защиты; - интенсивность запросов следующего уровня защиты, если рассматриваемым уровнем защиты является промежуточный уровень защиты или FER для заданного начального состояния, если рассматриваемым уровнем защиты является FPL (см. 9.2 и 9.3). Показатели / и являются общими целевыми показателями для оценки производительности работы объекта в режимах редких запросов, частых запросов или непрерывной работы соответственно. Показатели PFD_avg и PFH в ГОСТ Р МЭК 61508 (все части) являются приближенными значениями / и соответственно. Приближения действительны при описанных выше условиях;

b) исходя из вышеизложенного, процедура выбора режимов работы и определения SIL объекта состоит в следующем [20]:

- устанавливают / и в качестве целевых показателей отказов объекта для режима работы с редкими запросами и для режима работы с частыми запросами или непрерывной работы соответственно;

- выбирают SIL X(X = 1, 2, 3 или 4) и SIL Y(Y = 1, 2, 3 или 4), используя / и в соответствии с таблицей В.2 соответственно;

- выбирают более низкий SIL из выбранных SIL X и SIL Y объекта, если Х  Y;

- выбирают SIL Y объекта, если X = Y (поскольку стандарты по функциональной безопасности, такие как ГОСТ Р МЭК 61508 (все части) и ГОСТ Р МЭК 61511 (все части), обычно требуют назначения SIL Y объекта с более высокими требованиями по сравнению с назначенным SIL X при условии Х = Y).

Таблица В.2 - Уровни полноты безопасности (SIL) в соответствии с ГОСТ Р МЭК 61508 (все части)

SIL	Целевые показатели отказов
	Режим работы с редкими запросами PFDavg или отношение / (SIL X)	Режим работы с частыми запросами или режим непрерывной работы PFH, или интенсивность опасных/вредных событий [1/ч] (SIL Y)
4	10-5 до < 10-4 С (SIL 4)	10-9 до < 10-8
3	10-4 до < 10-3 В (SIL 3)	10-8 до < 10-7 A (SIL 3)
2	10-З до < 10-2 A (SIL 2)	10-7 до < 10-6 В (SIL 2)
1	10-2 до < 10-1	10-6 до < 10-5 С (SIL 1)

Предположим, например, что комбинацию / (SIL X) и (SIL Y) [1/ч], т.е. "/ (SIL X) - (SIL Y)" оценивают в трех точках А, В и С вдоль кривой, соответствующей случаю 2 на рисунке В.1. Таким образом:

1) " (SIL 2) -  (SIL 3)" в точке A;

2) " (SIL 3) -  (SIL 2)" в точке В;

3) " (SIL 4) -  (SIL 1)" в точке C.

Таким образом, для объекта выбирают SIL из SIL X и SIL Y, а именно из SIL 2 (SIL X), SIL 2 (SIL Y) и SIL 1 (SIL Y) в точках А, В и С соответственно. В соответствии с В.6 известно, что если объект находится в точке С (SIL 1) для соответствия системы в целом допустимому остаточному риску, объекту должен быть назначен более высокий SIL (возможно, SIL 2).

В.8 Выводы и замечания

Настоящий стандарт помогает рационально определить уровень полноты безопасности (SIL) системы в целом, где соответствующие HER представлены не только монотонно возрастающими функциями переменной , как показано на рисунках А.4 и В.1.

Таким образом, настоящий стандарт обеспечивает:

- теоретические основы взаимосвязи целевых показателей отказов объекта (например, Е/Е/РЕ системы, связанной с безопасностью) и HER;

- способ целостного и простого анализа HER для оценки производительности объекта для контроля за риском и/или снижением риска;

- руководство по правильной оценке и анализу риска и выводу соответствующей оценки функциональной безопасности.