《含有电子元件的安全电路和可编程电子安全相关系统型式试验要求》由会员分享，可在线阅读，更多相关《含有电子元件的安全电路和可编程电子安全相关系统型式试验要求（17页珍藏版）》请在金锄头文库上搜索。
1、附件Q含有电子元件的安全电路和可编程电子安全相关系统型式试验要求Q1 适用范围 本附件适用于曳引与强制驱动电梯、液压驱动电梯、其它类型电梯、自动扶梯和 自动人行道电气安全装置(功能)的含有电子元件的安全电路(以下简称“安全电 路”)和可编程电子安全相关系统(以下简称“可编程系统”)的型式试验。Q2 引用标准(1) GB 75882003电梯制造与安装安全规范(含第1号修改单)；(2) GB16899-2011自动扶梯和自动人行道制造与安装安全规范(3) GB 21240 2007液压电梯制造与安装安全规范(4) GB 28526-2012机械电气安全安全相关电气电子和可编程电子控制系统的 功能
2、安全；(5) GB/T 20438.1-2006电气/电子/可编程电子安全相关系统的功能安全 第1 部分：一般要求；(6) GB/T 20438.3-2006电气/电子/可编程电子安全相关系统的功能安全 第3 部分：软件要求；(7) GB/T20438.4-2006 GB/T20438.4-2006 电气/电子/可编程电子安全相关系 统的功能安全第4部分：定义和缩略语；(8) GB/T 20438.7-2006电气/电子/可编程电子安全相关系统的功能安全 第7 部分：技术和措施概述；(9) GB/T 24808-2009电磁兼容电梯、自动扶梯和自动人行道的产品系列标准 抗扰度。Q3 名词术语本
3、附件采用Q2引用标准和本节确定的术语：- 115 -TSG T7007-2016 特种设备安全技术规范Q3.1 可编程电子安全相关系统 用于安全应用的，基于可编程电子装置的用于控制、防护、监测的系统，包括系 统中所有元素(例如电源、传感器和其他输入装置，数据高速公路和其他通信途径，以及执行器和其他输出装置）。 用于曳引与强制驱动电梯、液压驱动电梯、其它类型电梯的可编程电子安全相关 系统简称PESSRAL。用于自动扶梯和自动人行道的可编程电子安全相关系统简称 PESSRAE。Q4 主要参数和配置的适用原则Q4.1 主要参数变化和配置变化 安全电路和可编程系统的型式试验无适用要求。对于已经取得型式
4、试验合格证并在有效期内，安全电路和可编程系统的设：Q-1 注计和制造发生变更或变化的情况，申请单位应书面告知原型式试验机构，并提 供相关技术文件资料，由原型式试验机构决定型式试验报告和型式试验合格证的 有效性。Q4.2 适用范围Q4.2.1安全电路适用的参数范围和配置见表Q-1。表Q-1含有电子元件的安全电路产品适用参数范围和配置表产品用途电气安全装置（功能）种类和安全功能扌田述型号规格结构类型工作电压V污染等级工作条件Q4.2.2 Q-2。 可编程系统适用的参数范围和配置见表可编程电子安全相关系 统产品适用参数范围和配置表表Q-2产品用途种类）（电气安全装置功能 和安全功能描述对应安全功能的
5、 安全完整性等级型号规格结构类型工作电压V工作条件硬件版本软件版本系统说明- 116 -特种设备安全技术规范 TSG T7007-2016Q5 技术资料要求与审查 型式试验机构应当对申请单位按照本节要求提交的技术资料进行审查，确认是否 符合本规则和相关标准的要求。Q5.1 技术资料要求Q5.1.1 合格证明及说明书（1）产品合格证（产品质量证明文件）；（2）对于安全电路，安装、调试、使用、维护说明书；(3) 对于可编程系统，用户手册和安装调试维保手册。 用户手册包括产品介绍，使用条件、环境和寿命,对预期使用的限制, 输入输出 规定，安全功能和安全状态；安装调试维保手册包括安装调试维保人员工作所
6、需 的信息，特别要求和/或预防措施，验证试验及例行保养的方法和周期、故障诊 断和维修方法、恢复正常后的确认方法，报废与处理说明等。Q5.1.2 主要结构参数技术资料(1) 电路板的类别、型号、工作电压和工作条件；(2) 电气/电子元件清单(包括输入元件或单元)；Q5.1.3 相关技术资料Q5.1.3.1安全电路(1) 电路板的布线图和布置说明(应说明工作原理、输入、输出定义，电气间隙、 爬电距离等)；混合电路布线图和布置说明(应说明安全电路与其他控制电路的电 气间隙，布线标志等)；(2) 安全功能、运行模式和安全状态实现方式等详细描述；(3) 故障(失效)模式、影响或诊断分析(FMEA或FME
7、DA)。Q5.1.3.2可编程系统应提供能够说明产品符合表Q-7 “设计和实现过程通用措施”规定的管理文件、 技术文件和相关资料。Q5.1.3.2.1 功能、环境和接口方面的应用评估Q5.1.3.2.2 安全管理文件资料包括产品改动，复制和更新,以及版本编号等管理规范。Q5.1.3.2.3安全要求规范(SRS)和检查规范-117 -TSG T7007-2016 特种设备安全技术规范Q5.1.3.2.4 设计开发文件资料包括以下内容：(1) 硬件、软件和系统结构设计和相互关系的详细描述；(2) 电路板的布线图和布置说明(应说明工作原理、输入、输出定义，电气间隙、 爬电距离等)；混合电路布线图和布
8、置说明(应说明安全电路与其他控制电路的电 气间隙，布线标志等)；(3) 故障(失效)模式、影响或诊断分析(FMEA或FMEDA)；(4) 随机硬件失效引起的安全功能失效的概率(PFH )和子系统安全失效分数(SFF) 分析和估算说明；(5) 功能和程序流程描述的软件说明(包括字组、模块、数据、变量和接口描述)；(6) 软件流程图和软件源代码；(7) 编程软件的总体说明(例如编程规则，语言、编译器、模块)；(8) 系统、硬件和软件的版本控制及其兼容性说明；(9) 设计开发过程中相关工作记录。Q5.1.3.2.5 检查、测试和确认文件资料包括以下内容：(1) 设计、开发的检查报告；(2) 验证和确
9、认计划；(3) 测试规范和测试记录(包括硬件及故障插入、软件编码规则、软件动态单元、软件模块、系统集成）；（4）制造单位的测试规范、测试报告和现场测试报告。Q5.2 技术资料审查 安全电路功能、运行模式和安全状态实现方式等详细描述和安全电路故障（失效） 模式、影响或诊断分析（FMEA或FMEDA）技术文件和资料应完整，产品设计和实现 符合要求。故障分析参考GB7588-2003 14.1.2.3安全电路的要求。可编程系 统产品设计、实现阶段的技术文件和资料应当完整，产品设计和实现符合下列要 求。Q5.2.1 可编程系统安全功能的安全完整性可编程系统安全功能的安全完整性等级（SIL）应该符合本规
10、则附件G表G-3或本 规则- 118 -特种设备安全技术规范 TSG T7007-2016附件H表H-2中的规定。当本规则附件G表G-3中规定的电气安全装置（功能）为保证安全而动作时，应防 止驱动主机启动或立即使其停止运转，工作制动器的电源也应当被切断；当本规 则附件H表H-2中规定的电气安全装置（功能）为保证安全而动作时，在按照GB 16899-20115.12.2.4重新启动之前，驱动主机应不能启动或立即停止，工作制动器的电 源也应当被切断。安全功能的安全完整性包括系统安全完整性、硬件安全完整性和软件安全完整性。 对用于实现不同安全功能的可编程系统，除非有充分证据显示这些安全功能的实 现之
11、间是充分独立的，否则硬件和软件应作为具有最高安全完整性等级的安全功 能来对待，对最高安全完整性等级的要求适用于所有这些部分。对于PESSRAL或PESSRAE既执行安全功能又执行非安全功能的情况，除非有充分 证据表明这两部分是充分独立的（即非安全功能的失效不会引起安全功能的危险 失效），否则所有的软硬件都应该被视为与安全相关。Q5.2.2 可编程系统硬件安全完整性的结构约束 审查安全功能所声明的硬件最高安全完整性等级，包括：硬件故障裕度（ HFT ） 和执行该安全功能的子系统的安全失效分数（ SFF ）。PESSRAL或PESSRAE硬件子系统安全完整性的结构约束应该符合表Q-3的规定。表Q-
12、3硬件子系统安全完整性的结构约束安全失效分数 （SFF ）硬件故障裕度（HFT ）012A类安全相关子系统的结构约束（见注Q-1）60%SIL1SIL2SIL360% 90%SIL2SIL3未定义90% 99%SIL3未定义未定义三99%SIL3未定义未定义Q-2)见注(类安全相关子系统的结构约束B 60%不允许SIL1SIL260% - 90%SIL1SIL2SIL390% - 99%SIL2SIL3未定义99% 三SIL3未定义未定义- 119 -TSG T7007-2016 特种设备安全技术规范注Q-2:满足下列条件，其部件被要求达到安全功能的一个子系统可视为A类安全相关子系统：(1)
13、所有组成部件的失效模式都被很好地定义；并且(2) 故障状况下子系统的行为能够完全确定；并且(3) 通过现场经验获得充足而可靠的数据，可显示出满足所声明的检测到的和未检测到的危险失 效的失效率。注Q-3:满足下列条件，其部件被要求达到安全功能的一个子系统可视为B类安全相关子系统：(1) 至少一个组成部件的失效模式未被很好地定义；或(2) 故障状况下子系统的行为不能完全确定；或(3) 通过现场经验获得的可靠的数据不够充分，不足以显示出满足所声明的检测到的和未检测到 的危险失效的失效率。类。类的条件，那么这个子系统应被视为B如果子系统中只要有一个组成部件满足BQ5.2.3 可编程系统安全完整性等级的
14、目标失效量PESSRAL或PESSRAE安全功能的安全完整性等级分为3个等级，SIL3为安全完整 性最高等级，SIL1为最低等级。PESSRAL或PESSRAE安全功能的安全完整性等级应该符合下列要求：(1) 按照高要求或连续操作模式来进行安全完整性等级设计和确认；(2) 不同安全完整性等级，随机硬件失效引起的安全功能失效的概率-每小时危 险失效概率(PFH )，应该满足表Q-4的规定。表Q-4可编程系统(PESSRAL或PESSRAE)安全功能的安全完整性等级的目标失 效量安全完整性等级(SIL )每小时危险失效概率(PFH )3- 10 10三-8-72三 10- 10-7-61-6-5-
15、 10三 10可编程系统设计和实现的通用措施Q5.2.4与软件设计相关的避免和检测故障与硬件设计相关的避免和检测故障的通用措 施，设计和实现过程的通用措施应符合Q-6规定的要求；的通用措施应该分别符 合表Q-5和表 表Q-7规定的要求。Q-5与硬件设计相关的避免和检测故障的 通用措施表序号对象措施GB/T20438.7-2006条款号1处理单元使用看门狗A.92兀器件选择清单（使用的兀器件仅在规格说明范围内）- 120 -特种设备安全技术规范 TSG T7007-20163单兀和通讯I/O 接口电源失效或重启时进入已定义的安全状态4电源过电压或欠电压时进入已定义的安全关闭 状态A.8.25可变的存储区仅使用固态存储器
