1、1国 际 标 准 IECIEC61508-361508-3198198年 1212月 第 一 版电 气 电 子 /可 编 程 的 功 能 安 全 性电 子 安 全 相 关 系 统第 33部 分 ： 软件 要求2目录前 言 2简 介 4条款 1范围 62标准 参考 文件 83定义 和缩 略语 4顺应 本标 准 .85文件 .6软件 质量 管理 系统 .86.1目标 .6.2要求 .87软件 安全 生命 周期 要求 .97.1概述 .7.2软件 安全 要求 技术 规范 .167.3软件 安全 确认 计划 编制 .187.4软件 设计 和开 发 .207.5可编 程电 子集 成 （ 硬件 和软 件
2、） 267.6软件 操作 和修 改步 骤 .277.7软件 安全 确认 .7.8软件 修改 297.9软件 验证 .30附 录 A37附 录 B 43附 录 C47表 表 1软件 安全 生命 周期 总览 14表 A.1软件 安全 要求 技术 规范 （参 见 7.2） .38表 .2软件 设计 和开 发 .表 A.4软件 设计 和开 发 .39表 .5软件 设计 和开 发 .40表 A.7软件 安全 确认 （参 见 7.7） 表 .8修改 （参 见 7.8） 41表 A.9软件 验证 （参 见 7.8） .表 .10功能 安全 评价 （参 见条 款 8） 42表 B.l设计 和译 码标 准 .4
3、3表 .2动态 分析 和测 试 .表 B.3功能 测试 和黑 盒测 试 44表 .4失效 分析 .表 B.5建模 44表 .6性能 测试 .45表 B.7半形 式方 法 表 .8静态 分析 .453表 B.9模块 方法 .46图 图 1本标 准的 总体 框架 .8图 2E/PES安全 生命 周期 （在 实现 阶段 ） 1图 3软件 安全 生命 周期 （在 实现 阶段 ） .12图 4IEC6158-2和 IEC61508-3范围 之间 的关 系 图 5软件 安全 集成 和开 发生 命周 期（ V-模块 ） .13图 6可编 程电 器的 软件 和硬 件结 构之 间的 关系 .174国际 电气 委
4、员 会电气 /电子 /可编 程电 子 安全 相关 系 统的 功能 安 全性 第三 部分 ：软 件 要求 前 言1） IEC(国际 电工 委员 会 )是全 球标 准化 组织 ， 包括 所有 的国 家电 工委 员会 （ IEC国家 委员 会 ） 。 IEC的目 标就是 促进 电子 和电 气领 域内 所有 与标 准化 有关 的问 题间 的国 际合 作 。 除 促进 合作 外 ， IEC还公 布了 国际 标准 。授权 技术 委员 会以 及任 何对 预备 工作 中的 课题 感兴 趣的 IEC国家 委员 会参 与编 制这 些标 准。 和 IEC有联 系的国 际组 织 、 政 府组 织和 非政 府组 织也
5、参与 编制 工作 。 I和国 际标 准化 组织 (ISO)按照 两个 组织 达成 的 协议， 进行 密切 合作 。2） IEC在技 术 问 题 上 的 决 定 或 者 协 议 尽 可 能 地 表 达 了 （ 在 相 关 主 题 上 ） 国 际 间 的 一 致 观 点 ， 这 是 由 于 每 个技术委 员会 的代 表来 自所 有对 此感 兴趣 的国 家委 员会 。3） 所产 生的 文件 采用 国际 推荐 使用 的格 式， 同时 以标 准、 技术 报告 或者 指南 的形 式出 版， 并为 国家 委员 会所 接 受 。4） 为促进国际统一化 ， IEC国家委员会承担了将 IEC国际标准以最透彻形式在
6、本国和本区域标准中进行贯彻的任 务。 稍后 ，将 明确 地指 出在 IEC标准 和相 应国 家或 者区 域标 准之 间的 分歧 。5） IEC提供 无标 记程 序来 表明 其认 可 ， 同时 对符 合其 标准 之一 的任 何设 备不 承担 责任 。6） 应当 注意 本国 际标 准中 的某 些部 分可 能受 到专 利权 的限 制。 IEC不对 识别 任何 一个 或者 所有 此类 专利 权负 责。由附 属委 员会 65A编制 国际 标准 IEC61508-3： 系统 方面 ， IEC技术 委员 会 65： 工业 过程 测量 和控 制。本标 准的 文本 基于 下列 文档 ：有关 批准 本标 准的 所
7、有 投票 信息 可以 在表 决报 告中 找到 。附 录 A、 B是本 标准 的一 部分 。附 录 C仅供 参考 。IEC61508由下 列几 部分 组成 ，总 标题 为电 气 /电子 /可编 程电 子安 全系 统的 功能 安全 ： 第 1部分 ：一 般 要求 第 2部分 ： 对电 气 /电子 /可编 程电 子安 全系 统的 要求 第 3部分 ： 软件 要求 第 4部分 ： 定义 和缩 略语 第 5部分 ： 确定 安全 完整 性水 平的 方法 示例 第 6部分 ： IEC61508-2和 IEC61508-3的应 用指 南 第 7部分 ： 技术 和措 施综 述FDlS 表决 报告65A/269/
8、FIS 65A/l277/RVD5简 介由电 气和 （ 或 ） 电子 部件 构成 的系 统 ， 多年 来在 许多 领域 中执 行安 全功 能。 以计 算机 为基 础的 系统 （一 般指 可编程电 子系 统 (PES)）在 许多 领域 中用 于非 安全 目的 ，但 也越 来越 多地 用于 安全 目的 。如 果计 算机 系统 技术 可被 有效安 全地 开发 ，那 么对 那些 负责 做出 安全 决策 的计 算机 系统 进行 足够 的安 全指 导是 十分 必要 的。本国 际标 准针 对由 电气 和 /或电 子和 /或可 编程 电子 部件 构成 的 、起 安全 作用 的电 气和 /或电 子和 /或可 编
9、程 电子 部 件（ 电气 /电子 /可编程电子系统 (E/PES)） 的整体安全生命周期 ， 建立了一个基础的评价方法。本统一方法的用途是， 针对 以电 子为 基础 的安 全系 统提 出一 个合 理的 、一 致的 技术 方案 。主 要目 的就 是方 便应 用部 门标 准的 开发 。 在大 多数 情况 下 ， 通过 大量 的保 护系 统来 实现 安全 ， 这些 保护 系统 依赖 于多 种技 术 （ 例如 机械 、液 压、 气动 、电气、电子、可编程电子系统等 ） 。所有的安全策略不仅需要考虑单独系统（例如传感器、控制装置和执行器等）中所有元件的问题，同时还要考虑构成安全系统组合的所有安全系统的问
10、题。因此，当本国际标准和电气 /电子 /可编 程电 子 (E/PE)安全 系统 有关 时， 还会 提供 一个 框架 ，在 该框 架内 应当 考虑 基于 其它 技术 的安 全系 统。现在 公认 在多 个领 域有 多种 E/PES应用 ， 所覆 盖的 复杂 性 、 危 险性 和风 险性 范围 很广 。 在 任何 一个 特殊 应用 中，所 需的 安全 手段 应当 依赖 于该 应用 所特 有的 许多 因素 。由 于其 通用 性， 本国 际标 准可 以给 出方 法， 用于 制定 将 来领 域的 国际 标准 。国际 标准 当 E/PES用于 执行 安全 功能 时 ， 考虑 了所 有相 关系 统、 E/PE
11、S和软 件安 全生 命周 期阶 段 （ 例如 从最 初的概念 ， 经过 设计 、实 现、 使用 和维 护直 到废 除 ）； 构思 时考 虑到 技术 在飞 速发 展 ； 框架 具有 足够 的鲁 棒性 和全 面性 来满 足将 来发 展的 需要 ； 给应用部门以国际标准 ， 处理安全相关 E/PE有待开发 ； 在本标准的框架内 ， 应用部门国际标准的开发在应用 部门 及跨 应用 部门 之间 应达 到较 高的 一致 性 （ 例如 ， 优 先 原 则、 术 语 学 等 ）； 将同 时具 备安 全性 和经 济 利益 ； 提供了开发安全要求技术规范的方法 ， 该安全要求技术规范对于实现 E/PE安全相关系统
12、所需功能安全是必需 的。 使用 安全 完整 性水 平 ， 用于 规定 分配 给 E/PE安全 系统 的安 全功 能的 安全 完整 性 ； 采用 基于 风险 的方 法来 确定 安全 完整 性水 平的 要求 ； 为和 安全 完整 性水 平相 连的 E/PE安全 系统 设定 数字 目标 故障 测量 ； 在故 障 的 危 险 模 式 下 ， 为目 标 故 障 测 量 设 定 下 限 ， 可用 于 单 独 的 E/PE安全 系 统 ； 或运 行 在 下 列 情 况 的E/PE安全 系统 低需 求模 式运 行 ， 将下 限设 定为 10 5的平 均故 障可 能性 ， 以执 行其 要求 的设 计功 能 ，
13、高需 求或 者连 续模 式运 行 ， 将下 限设 定为 10 9/小时 的危 险故 障可 能性 ；注 -单个 E/PE安全系统并不一定意味着单通道结构。6 采用广泛的原理、技术和方法来实现 E/PE安全系统的功能安全，但不使用故障安全的概念，在定义了故障模式且复杂性等级相对较低时，故障安全是有价值的。由于 E/PE安 全 系 统 的 复 杂 性 （ 在 标 准 范 围 内 ），故障 安全 的概 念被 认为 是不 适当 的。7电气 /电子 /可编 程电 子 安全 系统 的 功能 安全 性 第 三 部分 ：软 件 要 求11范围1.11.1IECIEC6150861508这 部分内容a)仅在 深入
14、 理解 IEC61508-1和 IEC61508-2后 ， 才会 有帮 助。b)套用于软件系统的任一软件构建部分 ， 或用于开发 IEC61508-1和 IEC6161508-2范围内的安全系统。这样的 软件 被称 为安 全软 件。 安全 软件 包括 操作 系统 ，系 统软 件、 通讯 网络 中的 软件 、人 机界 面功 能、 支持 软件 、防 火墙 和应 用程序 。 应 用 程 序 包 括 高 级 程 序 、 低 级 程 序 和 使 用 受 限 可 变 语 言 的 特 殊 目 的 程 序 （ 参 见 IEC61508-4的3.2.7）。c)要求 指定 软件 安全 功能 和软 件安 全完 整性
15、 水平 。 注 1如果已经作为 EIIPE安全系统（参见 IEC61508-2的 7.2）的部分规范进行了指定，这里不必再次指定。注 2指定软件安全功能和软件安全完整性水平是一个迭代过程，参见图 2和图 6。注 3参见 IEC61508-2的条款 5和附录 A的文档结构。文档结构考虑了公司程序和特殊应用部门的工作实践情况。d)建立 了对 安全 生命 周期 阶段 和行 为的 要求 ， 应用 于安 全软 件 （ 软件 安全 生命 周期 模式 ） 的 设 计 和 开 发。 这些要 求包 括测 量和 技术 的应 用程 序， 为了 避免 和控 制软 件中 的缺 陷和 错误， 它们 依安 全完 整性 水平
16、 进行 分级。e)提供 了对 软件 安全 认证 相关 信息 的要 求 ， 该信 息提 交给 执行 E/PES整合 的组 织。f)提供 了编 制用 户操 作和 管理 E/PE安全 系统 所需 相关 软件 的信 息和 程序 的要 求。g)提供 了对 组织 机构 实施 安全 软件 修正 的要 求。h)与 IEC61508-1及 IEC61508-2相结合，提供了对支持软件的要求，支持软件包括开发和设计软件、语言翻 译人 员、 测试 工具 和配 置管 理工 具。 注 4图 4和图 6标示了 IEC61508-2及 IEC61508-3之间的关系1.21.2本标 准的 第 1、 2、 3和 4部分 是基
17、 本安 全出 版物 ， 尽 管本 状态 不适 用于 低复 杂性 E/PE安全 相关 系统 （参 见第 4部分 的 3.4.）中 。 做为 基本 安全 出版 物 ， 它 们专 门用 于技 术委 员会 按照 IEC指南 104和 ISO/IEC指南 51中包 含的原 则制 订标 准。 本标 准的 第 1、 2、 3和 4部分 同时 还专 门用 做单 行标 准。在任何适用的情况下，技术委员会的责任之一就是在编写其自己的出版物中使用基本安全出版物。 在 上 下 文 中 ，如果 没有 明确 说明 或包 括在 由其 技术 委员 会编 写的 出版 物， 则该 基本 安全 出版 物的 要求 、测 试方 法或
18、测试 条件 是 不适 用的 。注 除非 已 提 交 的 IEC61508过程 部 门 实 施 （ 即 IEC6151）在 美 国 和 加 拿 大 被 制 定 为 国 际 标 准 ， 否 则 在 美 国 和 加 拿 大 ， 基 于8IEC61508（即 ANSISA584.01-96）的现有国家过程安全标准可替代 IEC61508在过程部门中使用。1.31.3图 1表明 了 IEC61508的第 1部分 至第 7部分 的总 体框 架， 同时 指明 IEC61508-3在实 现 E/PE安全 系统的 功能 安全 方面 的作 用。图 1 本 标准的总体框架定义 和缩 写 第 4部 分文档第五条 款
19、和附录 A功能安全 管理 第 6条第 1部 分功能安全 评价 第 8条第 1部 分第 1部 分第 2部分第 2部分和第 3部分应用指 南E/PE安全 相关系 统 的安 全要求 的分 配 7.6E/PE安全 相关系统 的安 全要 求 的分 配 7.6E/PE安全 相关 系统 的安 装 、 调试 和安全 确认 ，7.13和 7.14第 1部分E/E/PE安全相关系统 的运行和维护、改动和翻新、退役或者废弃， 7.15to7.17第 1部分用来开发安 全完 整性 要求 的基 于风险的方 法 第 5部分综合 安全 要求 的开 发 （ 概 念 、 范 围 定 义 、危险 和风 险分 析）（ E/PE安全
20、 相关 系统 、其 它技 术 安全 相关系 统 和 外部 风险 降低 设施 ） 7.1 7.5P第 1部分 技术 要求用来开发安 全完 整性 要 求的基 于风 险的方法 第 7部 分E/PE安全 相关 系统 的安 全要 求的分 配 7.6第 1部分 第 6部 分其他要求第 2部 分 第 3部 分922标准 参考 文件在本文中的所有参考文件中 ， 下列的标准文件包含组成 IEC61508本部分的条款。在发行的时候，编辑是有效的。所有的标准文件都经过修订，且基于 IEC61508本部分的协议各方被鼓励研究应用下面给出的标准文件的最新 版本 的可 能性 。 IEC和 IS0的 会员 保持 当前 国际
21、 标准 的有 效性 。IEC61508-1:98， 电气 /电子 /可编 程电 子安 全系 统的 功能 安全 第 1部分 ： 一般 要求IEC61508-2-电气 /电子 /可编 程电 子安 全系 统的 功能 安全 第 2部分 ： 对电 气 /电子 /可编 程电 子安 全系 统的 要求 1)IEC61508-4:198， 电气 /电子 /可编 程电 子安 全系 统的 功能 安全 第 4部分 ： 定义 和缩 略语IEC61508-5:198， 电气 /电子 /可编 程电 子安 全系 统的 功能 安全 第 5部分 ： 确定 安全 完整 性水 平的 方法 示例IEC61508-6:198， 电气 /
22、电子 /可编 程电 子安 全系 统的 功能 安全 第 6部分 ： 第 2部分 和第 3部分 的应 用指南 1)IEC61508-7:198， 电气 /电子 /可编 程电 子安 全系 统的 功能 安全 第 7部分 ： 技术 和措 施综述 1)ISO/IEC指南 51： 190， 标准 中包 含的 安全 方面 的指 南IEC指南 104： 197， 起草 安全 标准 的指 南 ， 以及 安全 先导 功能 和安 全组 功能 中委 员会 的地 位33定义 和缩 略语对于 本标 准 ， 使用 在 IEC61508-4中给 出的 定义 和缩 略语 。44顺应 本标 准IEC61508-1的条 款 4给出
23、了对 顺应 本标 准的 要求 。55文件IEC61508-1的条 款 5给出 了文 件的 目标 和要 求。66软件 质量 管理 系统6.16.1目 标目标 正如 IEC61508-1的 6.1所述 。6.26.2要 求6.2.16.2.1要求 包括 IEC61508-1的 6.1的内 容和 下面 补充 要求 。106.2.26.2.2功能 安全 计划 应定 义软 件采 购 、 开 发 、 集 成 、 验 证 、 认证 和修 订的 策略 ， 以满 足 E/PE安全 系统 的软 件 完整性 水平 所要 求的 内容 。 注 该方法的基 本定 律是 将功 能安 全计 划作 为一 个机 会来 定制 本标
24、 准， 以考 虑 E/PE安全系统组 件中 所要 求的 各种 安全 完整 性。同时使用具有不同安全完整性水平的 E/PE安全系统组件时，应将第 3部分的 7.4.2.8纳入考虑。6.2.36.2.3软件 配置 管理 应a)为了 管理 软件 变化 ， 对 整个 软件 安全 生命 周期 使用 管理 和技 术控 制 ， 从 而确 保可 以持 续满 足规 定的 软件 安全 要求；b)保证 执行 了所 有必 需操 作， 来验 证已 实现 所要 求的 软件 安全 完整 性；c)准确 维持 并唯 一鉴 定用 来保 持 E/PE安全 系统 完整 性的 所有 配置 条款 。 配置 条款 至少 包括 下面 内容
25、： 安 全 分析和 要求 ； 软 件细 则和 设计 文档 ； 软 件源 代码 模块 ； 测 试计 划和 结果 ； 要 并入 E/PE安全 系统 的预 存在 软 件组件 和软 件包 ；用 来创 建、 测试 或在 E/PE安全 系统 的软 件上 执行 任何 操作 的所 有工 具和 开发 环境 ；d)使用 变化 控制 程序 来防 止未 授权 的修 订 ； 记 录修 订要 求 ； 分 析所 提交 修订 的影 响 ， 并 批准 或拒 绝该 请求 ； 在 软件开发的适当点建立配置基准，并记录证明基准的（部分）整体实验（参见 7.8）； 保证全部软件基准（包括早期 基准 的重 新构 造） 的组 成和 构造
26、；注 1需要 管理 决策 和授 权来 指导 并加 强管 理和 技术 控制 的使 用。e)记录 下面 信息 以允 许后 续审 核： 配置 状态 、发 布状 态、 所有 修订 的认 证和 批准 、修 订细 节；f)正式 记录 安全 软件 的版 本 。 保留 软件 的标 准本 和所 有相 关文 件 ， 以 允许 在所 发布 版本 生效 期间 进行 维护 和修 订。注 2详细信息，请参见 1207。77软件 安全 生命 周期 要求7.17.1概 述7.1.17.1.1目 标该子 条款 要求 的目 标是 将软 件开 发构 造到 已定 义的 阶段 和行 为中 （ 参见 表 1和图 2-5） 。7.1.27
27、.1.2要 求7.1.2.17.1.2.1按照 IEC61508-1的条 款 6，在 软件 计划 期间 应选 择并 规定 软件 开发 的安 全生 命周 期。注 满足 IEC61508-1条款 7的要求的安全生命周期模块，可因项目或组织的特定需要进行适当定制。7.1.2.27.1.2.2质量 和安 全保 证程 序应 集成 到安 全生 命周 期行 为中 。7.1.2.37.1.2.3应为 软件 安全 生命 周期 的每 个阶 段划 分基 本行 为， 为每 个阶 段指 定范 围、 输入 和输 出。注 1有关生命阶段的详细信息 ， 请参见 ISO/IEC1207。注 2-IEC61508-1条款 5考虑
28、了安全生命周期的输出 。 在一些 E/PE安全系统的开发中 ， 某些安全生命周期的输出可能是独立 的文件，而某些阶段的记录输出可能是合并的文件。基本要求是安全生命周期的输出应符合其预期目的。在简单开发中，某些安全生1命周期阶段也可能会被合并（参见 7.4.5）7.1.2.47.1.2.4如果软件安全生命周期满足图 3和表 1的要求 ， 考虑到项目的安全完整性和复杂性 ， 可以修改 V-模型（ 参见 图 5） 阶段 的深 度、 数量 和工 作尺 寸。注 表 1中整个生命阶段列表适用于大的新开发系统。在小系统中，例如，可能适于合并软件系统设计和结构设计的阶段。7.1.2.57.1.2.5在满足 本
29、条 款的 所有 目的 和要 求的 条件 下， 可以 接受 定制 不同 于本 标准 组织 结构 （即 使用 其他 软件 安全生命 周期 模型 ）的 软件 项目 。 7.1.2.67.1.2.6对于 每个 生命 周期 阶段 ， 应使 用适 当的 技术 和方 法 。 附 录 A和 B（技 术和 方法 的选 择指 南 ） 给出 了建 议。选 择附 录 A和 B中的 技术 ，本 身并 不会 保证 实现 所需 的安 全完 整性 。7.1.2.77.1.2.7应记 录软 件安 全生 命周 期行 为的 结果 （ 参见 条款 5） 。7.1.2.87.1.2.8如果 在软 件安 全生 命周 期的 任一 阶段 ，
30、 需要 更改 一个 早期 生命 周期 阶段 ， 则 该早 期生 命阶 段及 其后 续阶 段应重 复进 行。图 2 E/E/PES安 全生命周期（在实现 阶 段）IEC61508-1图 2中的方框 9安 全 系 统 :E/PES实现E/PES安全 生命 周期 E/PES安全 要求 技术 规范安全 功 能 要 求 技 术规 范 安全 功能 要求 技 术规 范E/PES安全确认计划 编制 E/PES设计 和开发 E/PES集成 E/PES运行 和维 护程 序E/PES安 全 确认每 个 E/PE安 全 系统 的 一 个 /PE安全生 命周 期到 IEC61508-1图 2中的 方框 12 到 IEC
31、61508-1图 2中 的 方框 1412图 3 软 件安全生命周期（在实现 阶 段）图 4-IEC6158-2和 IEC61508-3范 围之间的关系到 IEC61508-1图 2中的 方框 12E/PES安 全 要 求 技 术 规范 E/PES结构IEC61508-3的范 围EC61508-2的范 围软件 安全 要求 软 件 设 计 和 开发可编 程电 子集 成 （ 硬件 和 软件 ）硬件 安全 要求 可编 程电 子硬 件 非可 编程 硬件可 编 程 电 器 设 计和开 发 非可编程硬件设计 和开 发E/PES集成/ 安全 要求 技术 规范 /PES结构软件 安全 要求 软件 设计 和开
32、发 硬件 安全 要求 可编 程电 子硬 件 非可 编程 硬件可 编 程 电 器 设 计 和开发 非可编 程硬 件设 计和 开发E/PES安 全生命 周 期 （ 参见图 2） 软件 安全 生命 周期 软件 安全 要求 技术 规范 安全功 能要求 技术 规范 安 全 完 整 性 要求技 术规 范软件 安全 确认 计 划编 制 软件 设计 和开 发 PE集成 （ 硬件 /软件 ） 软件 操作 和修 改步 骤软件 安全 确认 到 IEC61508-1图 2中的 方框 14到 IEC61508-1图 2中的 方框 1213图 5 软 件安全集成和开发生命 周 期（ V-模 块）E/PES安 全要求 技术
33、 规范 软件 安 全 要 求技 术规 范 确认 确认 测试 已确 认软 件E/PES结构 软件 结构 集成 测 试 （ 组件 、 子 系统和 可编 程电 器 ）软件 系统 设计 集 成 测 试 （模块 ）模块 设计 模 块 测试编写 代码输出 验证14表 1 软 件安全生命周期总览安 全生命周期 阶 段 目 标 范 围 要 求子 条 款 输 入 （ 所 需信息 ） 输 出 （ 所 产生 信息 ）图 33方框 编号 标 题9.1软件 安 全要 求 技术 规 范 按 照 软 件 安 全 功 能 和 软 件 安全 完 整 性 的 要 求 ， 规 定 软 件安全 的要 求 ；为 实 现 所 需 安 全
34、 功 能 所 必 需的每 个 E/PE安全 系统 指定软件 安全 功能 要求 ；为 达 到 安 全 完 整 性 水 平 （ 为分配 给 E/PE安全 系统 的每个 安 全 功 能 指 定 的 ） 所 需 的每个 E/PE安全 系统 规定 软件安 全完 整性 要求 。 PES； 软件系 统 。 7.2.2E/PES安全 要求技 术规 范 (IEC61508-2)。 软件 安全 要 求技 术规 范9.2软件 安 全确 认 计划 编 制 编制 确认 软件 安全 的计 划。 PES；软件系 统。 7.3.2软件 安全 要求 技 术规 范 软 件 安 全 确认计 划9.3软件 设 计和 开 发 结构 ：
35、根 据 所 需 的 安 全 完 整 性 水 平， 创 建 软 件 结 构 来 完 成 规 定的软 件安 全要 求 ；通过 E/PE安全 系统 的硬 件结 构 ， 查 看 并 评 价 对 软 件 的要 求 ， 包 括 E/PE硬 件 /软件 相 互 配 合 对 受 控 设 备 安 全的重 要性 。 PES；软件 系统 。 7.4.3软件 安全 要求 技 术规 范 ；E/PES硬件 结构设 计 （ IEC61508-2） 软 件 结 构 设计描 述 ；软 件 结 构 集成 测 试 技 术规范 ；软 件 /可 编 程电 子 集 成 测试 技 术 规 范（ 与IEC61508-2要求 一致 ）9.3软
36、件 设 计和 开 发 支 持 工 具 和 编 程 语 言 ： 为 所需 的 安 全 完 整 性 水 平 ， 选 择合 适 的 工 具 集 （ 包 括 语 言 和编 译 器 ） ， 用 于 软 件 整 个 安全 生 命 周 期 的 验 证 、 确 认 、评价 和修 改。 PES；软件系 统； 支持 工具 ；编 程语 言。 7.4.4软件 安全 要求 技 术规 范 ；软件 结构 设计 描 述 ； 开 发 工 具 标准 和 开 发 工具 的 译 码 选择15表 11（ 接 上表 ）安 全生命周期 阶 段 目 标 范 围 要 求子 条 款 输 入 （ 所 需信息 ） 输 出 （ 所 产生 信息 ）图
37、33方框 编号 标 题9.3软件 设计 和开 发 详细 设 计 和 开 发 （ 软件 设 计 ）： 根据 所 需 的 安 全 完 整 性 水 平 ，设计 和 实 现 软 件 来 完 成 规 定的软 件 安 全 要 求 ， 可 进 行 分 析 、验证 ， 并能 进行 安全 修订 。 软件 主要 组件 和子 系统 的结 构设 计。 7.4.5软 件 结 构 设 计 描述 ；支 持 工 具 和 编 码标准 。 软 件 系 统 设计 技 术 规 范； 软 件 系 统 集成 测 试 技 术规范 。9.3软件 设计 和开 发 详细 设 计 和 开 发 （ 单个 软 件模块设 计 ）：根据 所 需 的 安
38、全 完 整 性 水 平 ，设计 和 实 现 完 成 指 定 软 件 安全要求 的 软 件 ， 可进 行 分 析 、确认 ， 并能 进行 安全 修订 。 软件 系统 设计 7.4.5软 件 系 统 设 计 技术规 范 ；支 持 工 具 和 编 码标准 。 软 件 模 块 设计 技 术 规 范； 软 件 模 块 测试 技 术 规 范；9.3软件 设计 和开 发 详细 代码 实现 ：根据 所 需 的 安 全 完 整 性 水 平 ，设计 和 实 现 完 成 指 定 软 件 安全 要求 的 软 件 ， 可进 行 分 析 、确认 ， 并能 进行 安全 修订 。 单个 软件 模块 。 7.4.6软 件 模
39、块 设 计 技术规 范 ；支 持 工 具 和 编 码标准 。 源 代 码 列 表； 代 码 查 看 报告。9.3软件 设计 和开 发 软件 模块 测试 ：确认 实 现 了 软 件 安 全 要 求 （ 所需软 件 安 全 功 能 和 软 件 安 全完 整性 ） -表明 每 个 软 件 模 块 执行其 预 期 功 能 ， 且未 执 行 非预期功 能。 软件 模块 。 7.4.7软 件 模 块 测 试 技术规 范 ；源 代 码 列 表 ； 代码查 看报 告。 软 件 模 块 测试结 果 ；经 确 认 并 测试的 模块 。9.3软件 设计 和开 发 软件 集成 测试 ：确认 实 现 了 软 件 安 全
40、 要 求 （ 所需软 件 安 全 功 能 和 软 件 安 全完 整 性 ） -表 明 所 有 软 件 模 块 、组件 和 子 系 统 正 确 配 合 ， 以执行其 预 期 功 能 且 未 执 行 非 预期 功能 。 软件 结构 软件 系统 。 7.4.8软 件 系 统 集 成 测试技 术规 范。 软 件 系 统 集成 测 试 结 果； 经 确 认 并 测试的 模块 。9.4可 编 程 电 子集 成 （ 硬件 和软件 ） 将软 件 集 成 到 目 标 可 编 程 电子 硬件 ；将软 件 和 硬 件 组 合 到 安 全 可编 程电 器 上 ， 以确 保 其 兼 容 性 ，并达 到 安 全 完 整
41、性 水 平 的 预期 要求 。 可编 程电 子硬 件 ；集成 软件 。 7.5.2软 件 结 构 集 成 测试技 术规 范 ；可编 程电 子集 成 测试 技术 规范 （与 IEC61508-2的要 求一 致 ）；集 成 可 编 程 电 器。 软 件 结 构 集成 测 试 结 果； 可 编 程 电 子集 成 测 试 结果 ；经 确 认 和 测试 的 集 成 可编程 电器 。16表 11（ 接 上表 ）安 全生命周期 阶 段 目 标 范 围 要 求子 条 款 输 入 （ 所 需信息 ） 输 出 （ 所 产生信 息 ）图 33方框 编号 标 题9.5软件 操 作 和修 改 步 骤 提 供 有 关 软
42、 件 的 必 要 信 息 和 步骤 ， 以 确 保 在 操 作 和 修 改 期 间维 持 E/PE安 全 系 统 的 功 能安全 。 同上 7.6.2与上 述全 部有 关 软件 操 作 和修 改步 骤9.6软件 安 全 确认 确 保 集 成 系 统 在 预 期 安 全 完 整性 水 平 上 满 足 指 定 的 软 件 安 全要求 。 同上 7.7.2软 件 安 全 确 认 计 划 软件 安 全 确认 结果 。 已确 认软 件- 软件 修改 对已 确认 软件 进行 修正、 增强 或变 通 ， 以 确 保 维 持 所 需 的 软 件安全 完整 性水 平。 同上 7.8.2软件 修改 步骤 ；软件
43、修改 要求 。 软件 修 改 影响 的分 析结 果 ；修改 日志 。- 软件 认证 对 于 安 全 完 整 性 水 平 所 需 的 范围 ， 测 试 并 评 价 已 知 软 件 安 全生 命 周 期 阶 段 的 输 出 ， 以 确 保作 为 该 阶 段 输 入 的 输 出 和 标 准的正 确性 和一 致性 。 依赖 于阶 段 7.9.2适 合 的 确 认 计 划 （ 依赖 于阶 段 ） 适合 的 确 认报 告 （ 依赖 于阶段 ）- 软件 功 能 安全 评定 对 E/PE安 全 系 统 实 现 的 功能安 全进 行调 查并 得出 评价 。 所有 上述 阶段 8软 件 功 能 安 全 评 定计
44、划 软件 功 能 安全 评定 报告177.27.2软 件安全要求技术规范注 1参见表 A.1和 8.7。注 2本阶段是图 3的中的方块 9.1。7.2.17.2.1目 标7.2.1.17.2.1.1本子 条款 要求 的第 一个 目标 是， 按照 软件 安全 功能 和软 件安 全完 整性 的要 求， 规定 软件 安全 的要 求。7.2.1.27.2.1.2本子条款要求的第二个目标是，为实现所需安全功能所必需的每个 E/PE安全系统规定软件安全功能的要 求。 7.2.1.37.2.1.3本子条 款要 求的 第三 个目 标是 ，为 达到 安全 完整 性水 平（ 为分 配给 E/PE安全系 统的 每个
45、 安全 功能指定的 ）所 需的 每个 E/PE安全 系统 规定 软件 安全 完整 性要 求。所示 结构 为示 例， 可以 是：图 6 可 编程电器的软件和硬件 结 构之间的 关 系可编 程电 子结 构PE硬件 结构 PE软件 结构 （ S/W结构 由嵌 入式 S/W和应 用程 序S/W组成 ）PE嵌入 式软 件 PE应用 软件所示 结构 为示 例， 可以 是： -单通 道； 双通 道 ；-1o2、 1o3、 202等。 传感 器 逻辑 系统 终端 元素PE硬件 的一 般功 能和 特殊 应用 功能 。示例 包括 ：-诊断 测试 ；冗余 处理 器 ；-双 I/O卡。 示例 包括 ：-通讯 驱动 ；
46、错误 处理 ；-执行 软件 。 示例 包括 ：-输入 /输出 功能 ；派生 功能 （ 例 如 ， 在未 提供 嵌入 式 软件服 务时 ， 所进 行的 传感 器检 查 ） 。187.2.27.2.2要 求注 通过一般嵌入软件和特殊应用软件的组合 ， 大多数情况下可以实现这些要求。 正是需要两者的组合来提供满足下面子条款的 功能。一般软件和特殊应用软件的明确划分依赖于所选择的软件结构（参见 7.4.3和 图 6）。7.2.2.17.2.2.1如果 在 E/PE安全 系 统 要 求 （ 参 见 IEC61508-2的 7.2）中 已 规 定 了 软 件 安 全 要 求 ， 则 不 必 重 复 软 件
47、安全 要求 的技 术规 范。 7.2.2.27.2.2.2软件安全要求的技术规范应从规定的 E/PE安全系统（参见 IEC61508-2）安全要求及任何安全计划（参见 条款 6）编 制要 求派 生而 来。 软件 开发 人员 可使 用本 信息 。注 本要求并不 表示 E/PE开发者与软 件（ IEC61508-2和 IEC61508-3）开发者之 间互 不干 涉。 由于 软件 安全 要求 和软 件结构（参 见 7.4.3）变 得 更 精 确 ， 可 能 会 影 响 E/P硬件 结 构 。 出 于 这 个 原 因 ， 硬 件 开 发 人 员 和 软 件 开 发 人 员 之 间 的 密 切 合 作
48、是 十分必要的。参见图 4。7.2.2.37.2.2.3软件安 全要 求的 技术 规范 应足 够详 细， 允许 设计 和实 现达 到所 需的 软件 完整 性， 并允 许执 行功 能安 全评价。 注 技术规范的详细程度因应用的复杂性而不同。7.2.2.47.2.2.4软件 开发 人员 应浏 览7.2.2.27.2.2.2的内 容， 以确 保对 要求 进行 了合 理规 定。 软件 开发 人员 特别 应考 虑下 面问 题：a)安全 功能 ；b)配置 或系 统结 构 ；c)硬件 安全 完整 性要 求 （ 可编 程电 器、 传感 器和 执行 器 ）；d)软件 安全 完整 性要 求 ；e)容量 和响 应时
49、 间性 能 ；f)设备 和操 作人 员界 面。7.2.2.57.2.2.5软件 开发 人员 应建 立规 范 ， 以解 决任 何与 软件 安全 完整 性水 平分 配不 一致 的问 题。7.2.2.67.2.2.6对于 安全 完整 性水 平所 要求 的内 容， 应表 达并 构造 所规 定的 软件 安全 要求 ，因 此a)它们 是清 楚、 精确 、非 模糊 、可 确认 、可 测试 、可 维护 、可 行的 ， 符合 安全 完整 性水 平 ；b)可追 溯到 E/PE安全 系统 安全 要求 的技 术规 范 ；c)没有 含糊 不清 且 （ 或 ） 未被 （ 那些 在软 件安 全生 命周 期的 任何 阶段 使用 本文 件的 人 ） 理解 的术 语和 描述 。7.2.2.77.2.2.7如 果 未 在 规 定 的 E/PE安 全 系 统 安 全 要 求 进 行 充 分 地 定 义 ， 则 应 在 规 定 的 软 件 安 全 要 求 中 详 细 说 明EUC所有 相关 操作 模式 。注 通过 一 般 嵌 入 软 件 和 特 殊 应 用 软 件 的 组 合 ， 大 多
