2. Функциональная безопасность

На ОПрО неправильное функционирование СА может привести к человеческим жертвам, экологическим катастрофам или большим финансовым потерям. Полностью исключить ситуации, приводящие к таким последствиям, невозможно. Речь может идти только о вероятности их возникновения и допустимом уровне риска.

Риск в области безопасности - произведение вероятности возникновения опасной ситуации на тяжесть (стоимость) последствия. Допустимый уровень риска оценивается в каждом конкретном случае индивидуально. Из определения риска следуют пути его снижения: уменьшение вероятности появления опасной ситуации и ограничение тяжести ее последствий.

Безопасность систем - такое их функционирование, при котором отсутствуют опасные отказы и недопустимый ущерб.

Функциональная безопасность (ФБз) - безопасность, связанная с непреднамеренно вызванными отказами в выполнении отдельных функций системы. Причинами отказов могут быть дефекты ПО, данных, аппаратуры, влияние внешней среды и непреднамеренно неправильные действия обслуживающего персонала.

ФБз следует отличать от информационной безопасности, которая связана в основном с умышленным воздействием на систему, от электробезопасности - защите человека от поражения электрическим током, и от взрывопожаробезопасности - методы предотвращения воспламенения горючих газов и пыли.

ФБз отличается также от очень близкого понятия надежности тем, что она учитывает не только частоту отказов системы, но и вероятность возникновения опасной ситуации во время отказа. Например, надежность контроллера, стоящего в системе автоматического пожаротушения, и контроллера в системе управления лифтом, может быть одинаковой, однако лифтом пользуются много раз в день, и практически каждый отказ может привести к нарушению безопасности, в то время как отказ системы пожаротушения может не проявиться никогда, даже если этот отказ произойдет. Из этого примера ясно, что одного понятия надежности недостаточно для описания степени безопасности СА.

Термин «функциональная» применительно к безопасности СА означает безопасность, которая зависит от корректного функционирования системы, т.е. от правильного выполнения системой своих функций.

В отличие от этого, надежность описывает частоту отказов независимо от назначения системы и тяжести последствий, вызванных отказами. Тем не менее показатели надежности используются при количественном описании ФБз.

При анализе ФБз рассматриваются опасные отказовые ситуации, которые приводят к авариям, катастрофам и человеческим жертвам. Для программируемых электронных систем ФБз определяется стандартом МЭК 61508, который выделяет 4 уровня полноты безопасности (Safety Integrity Level, SIL), устанавливаемые в зависимости от тяжести последствий, которые могут наступить при неправильном функционировании системы.

Уровень SIL4 - самый высокий и наиболее труднодостижимый. Для его обеспечения требуется чрезвычайно высокая квалификация и работа на грани искусства. Поэтому следует избегать необходимости его применения.

Уровень SIL3 также требует высокой квалификации и высокого уровня организации процесса проектирования. Немногие исполнители способны обеспечить этот уровень безопасности.

Уровень SIL2 требует управления работами в соответствии со стандартом ИСО 9001. Достижение этого уровня требует большего числа испытаний, чем SIL1, что приводит к увеличению стоимости проекта.

Уровень SIL1 является самым низким, для его выполнения достаточно наличия хорошего опыта разработок.

Уровни SIL определяют величину допустимого риска для системы и являются мерой вероятности того, что система будет правильно выполнять свои функции, влияющие на безопасность.

Запрос безопасности - возникновение ситуации, в которой может проявиться свойство безопасности (например, возникновение ситуации, при которой срабатывает система аварийной защиты). Может не реализоваться, если во время запроса система находится в состоянии отказа, или реализоваться в виде срабатывания системы.

Величина риска зависит от частоты запроса безопасности. Например, если покушение на ограбление банка (запрос безопасности) случается 1 раз в год, то вероятность отказа системы охранной сигнализации в течение года должна быть равна 0.1, чтобы ограбление было возможно не чаще чем 1 раз в 10 лет.

В табл.7.1 приведены границы вероятности отказов при наличии запроса к системе при низкой частоте запросов (реже 1 раза в год), устанавливаемые стандартом МЭК 61508. При высокой частоте запросов (например, если взрывоопасная пыль в шахте присутствует постоянно и вероятность взрыва существует всегда, т.е. запрос безопасности существует непрерывно), вероятность отказа в зависимости от уровня безопасности SIL выбирается из табл.7.2. В этой таблице использована вероятность отказа системы в течение часа, в то время как в табл.7.1 - вероятность отказа в течение часа, умноженная на интервал между запросами.