1 范圍

      GB/T 16855的本部分規定了包括軟件設計在內的控制系統安全相關部件（SRP/CS）設計和集成的安全要求和指導原則。本部分規定了這些SRP/CS部件的特征，包括執行安全功能所需要的性能等級。本部分適用于所有種類機械上具有高要求和連續模式的SRP/CS，不管其采用何種技術和能量（電氣、液壓、氣動、機械等）。

      本部分未規定特殊應用中的安全功能或性能等級。

      本部分給出了采用可編程電子系統的SRP/CS的具體要求。

      本部分未給出 SRP/CS的產品的具體設計要求，但可采用給出的類別或性能等級等原則。

      注1：SRP/CS的產品示例：繼電器、電磁閥、位置開關、PLC、電機控制單元、雙手操縱裝置、壓敏設備等。這類產品的設計需參考專門的標準，例如：GB/T 19671、GB/T 17454.1和GB/T 17454.2。

      注2：所需性能等級的定義見3.1.24。

      注3：本部分給出的關于可編程電子系統的要求與IEC62061中給出的機械安全相關的電氣、電子和可編程控制系統的設計和開發方法是一致的。

      注4：用于 PL_r=e的元件的安全相關嵌入式軟件見IEC 61508-3：1998中第7章。

2 規范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 2900.13-2008 電工術語 可信性與服務質量［IEC 60050（191）：1990，IDT］

      GB/T 15706-2012 機械安全 設計通則 風險評估與風險減小（ISO 12100：2010，IDT）

      GB/T 16855.2-2015 機械安全 控制系統安全相關部件 第2部分：確認（ISO 13849-2：2012，IDT)

      GB/T 20438.3-2017 電氣/電子/可編程電子安全相關系統的功能安全 第3部分：軟件要求(IEC 61508-3:2010,IDT)

      GB/T 20438.4-2017 電氣/電子/可編程電子安全相關系統的功能安全 第4部分：定義和縮略語（IEC 61508-4：2010，IDT）

      ISO/TR 22100-2:2013 Safety of machinery-Relationship with ISO 12100-Part 2:How ISO 12100 relates to ISO 13849-1

      ISO/TR 23849 應用ISO 13849-1和IEC 62061設計機械的安全相關控制系統的指南（Guidanceon the application of ISO 13849-1 and IEC 62061 in the design of safety-related control systems for machinery)

      IEC 62061：2012 機械安全 安全相關電氣、電子和可編程電子控制系統的功能安全（Safety ofmachinery-Functional safety of safety-related electrical,electronic and programmable electronic con-trol systems)

3 術語和定義、符號及縮略語

3.1 術語和定義

      GB/T 15706和GB/T 2900.13界定的以及下列術語和定義適用于本文件。

3.1.1

      控制系統安全相關部件 safety-related part of a control systesystem;SRP/CS

      控制系統中響應安全相關輸入信號并產生安全相關輸出信號的部件。

      注1：控制系統安全相關部件的組成，以安全相關的輸入信號被觸發為起始點（例如：致動凸輪和位置開關的滾輪等），以動力控制組件的輸出（例如：接觸器的主觸點等）為終止點。

      注2：如果監控系統用于診斷，也可認為是SRRP/CS

3.1.2

      類別 category

      控制系統安全相關部件在防止故障能力以及故障條件下后續行為方面的分類，它通過部件的結構布置、故障檢測和/或部件可靠性來達到。

3.1.3

      故障 fault

      產品不能完成要求的功能的狀態。預防性維修或其他計劃的行動或因缺乏外部資源的情況除外。

      注1：故障通常是產品自身失效后引起的，但即使失效未發生，故障也可能存在。

      注2：本部分中，“故障”是指隨機故障。

      [GB/T 00.13-2008,191-05-01]

3.1.4

      失效 failure

      產品完成要求的功能的能力的中斷。

      注1：失效后，產品處于故障狀態。

      注2：“失效（failure）”與“故障（fault）”的區別在于-失效是一次事件，故障是一種狀態。

      注3：這里定義的“失效”，不適用于僅由軟件構成的產品。

      注4：本部分不包括只影響控制器進程的失效。

      [GB T 2900.13-2008，定義191-04-01]

3.1.5

      危險失效 dangerous failure

      使控制系統安全相關部件（SRRP/CS）有可能處于危險狀態或功能喪失狀態的失效。

      注1：這種可能性是否成為事實取決于系統的通道架構；冗余系統中，危險硬件失效不太可能導致全面的危險狀態或功能喪失狀態。

      注2：改寫GB/T 20438.4-2017，定義3.6.7。

3.1.6

      共因失效 common cause failure；CCF

      由單一事件引發的不同產品的失效，這些失效不互為因果。

      注：共因失效不宜與共模失效（見GB/T 15706-2012，定義3.36）相混淆。

      ［GB/T 2900.13-2008，定義 191-04-23]

3.1.7

      系統性失效 systematic failure

      與某個原因必然有關的，只有通過修改設計或制造工藝、操作程序、文檔或其他關聯因素才能消除的失效。

      注1：僅作修復性維修而無修改措施通常不能消除這種失效原因。

      注2：這種失效可以通過模擬失效原因誘發。

      注3：以下情況中系統性失效的原因包括人為錯誤：

      ——安全要求規范；

      ——硬件的設計、制造、安裝和操作；

      ——軟件的設計和實施等。

      ［GB/T 2900.13-2008，定義191-04-19］

3.1.8

      抑制 muting

      由SRP/CS實現的安全功能臨時性自動暫停。

3.1.9

      手動復位 manual reset

      重新啟動機器前，控制系統安全相關部件（SRP/CS）中用作手動恢復一種或多種安全功能的功能。

3.1.10

      傷害 harm

      對健康產生的生理上的損傷或危害。

      ［GB/T 15706-2012，定義3.5］

3.1.11

      危險 hazard

      潛在的傷害源。

      注1：“危險”一詞可由其起源（例如：機械危險和電氣危險），或其潛在傷害的性質（例如：電擊危險、切割危險、中毒危險和火災危險）進行限定。

      注2：本定義中的危險包括：

      ——在機器的預定使用期間，始終存在的危險（例如：危險運動部件的運動、焊接過程中產生的電弧、不健康的姿勢、噪聲、高溫）；

      ——或者意外出現的危險（例如：爆炸、意外啟動引起的擠壓危險，泄漏引起的噴射，加速/減速引起的墜落）。

      注3：改寫GB/T 15706-2012，定義3.6。

3.1.12

      危險狀況 hazardous situation

      人員暴露于具有至少一種危險的環境。

      注：這類暴露可能立即或在一定時間之后對人員產生傷害。

      ［GB/T 15706-2012，定義3.10］

3.1.13

      風險 risk

      傷害發生概率和傷害發生的嚴重程度的組合。

      ［GB/T 15706-2012，定義3.12］

3.1.14

      剩余風險 residuaI risk

      采取保護措施之后仍然存在的風險。

      注1：見圖2。

      注2：改寫GB/T 15706-2012，定義3.13。

3.1.15

      風險評估 risk assessment

      包括風險分析和風險評價在內的全過程。

以上為標準部分內容，如需看標準全文，請到相關授權網站購買標準正版。