EN50128标准培训-文档资料
合集下载
EN50128基础培训.pdf
14
2015-10-26
四、生命周期和文档
文档要求
每一个文档都应有一个唯一的文档编号、以及定义好 的与其它文档之间的关系。 ——追溯前提
每一个文档都应包含并实现其上级（输入）文档的所 有相关要求。 ——追溯完整性
每一个文档的内容都不应与其上级（输入）文档相矛 盾。 ——追溯一致性
15
2015-10-26
19
2015-10-26
五、软件保障——软件测试
测试报告要求
测试报告应描述以下内容： 测试结论 测试覆盖率及测试完成程度 缺陷记录 每一个测试案例的测试结果记录 测试应可重复，如果可行，最好可以自动执行 测试脚本应被验证 所有测试涉及的项都应被记录（如被测对象、软硬件 配置、测试环境、对应的测试规范版本等） 测试人员姓名
8
2015-10-26
二、软件安全完整性等级
如何达到软件安全完整性等级的要求？
Annex B：对关键软件角色和职责的要求
需求经理（REQ） 设计人员（DES） 实现人员（IMP） 测试人员（TST） 验证人员（VER） 集成人员（INT） 确认人员（VAL） 评估人员（ASR） 项目经理（PM） 配置经理（CM）
如果软件是由不同软件安全完整性等级的组件组成， 那么该软件的所有组件都应按最高软件安全完整性等 级的要求处理。
5
2015-10-26
二、软件安全完整性等级
如何达到软件安全完整性等级的要求？
1.标准正文
目标 要求
6
2015-10-26
二、软件安全完整性等级
如何达到软件安全完整性等级的要求？
2.标准附录
什么是软件安全完整性等级？
软件安全完整性等级是一组分级数字，它确定了软件 必须采用的技术和措施。
欧洲铁路标准前言(中文版EN50128)
绪论该欧洲标准应和EN50126——2：“铁路应用——引导运输系统可信性——第二部分：安全性”，以及EN50129：“铁路应用——安全电子铁路控制和防护系统”一起阅读。
欧洲标准的关键概念是软件完善度等级。
软件完善度等级越高，由软件规格说明或由设计缺陷所引起的系统危险失效和可能性就越小。
欧洲标准建立了为软件完善度的5个相应的技术和措施，其中0等级最低，4等级最高。
等级1到4标征安全软件，而等级0标征非安全软件。
将0等级也包括在其中的目的是为了实现非安全性软件开发和安全软件开发之间的平稳过渡，表中列出了完善度等级所要求的技术和措施。
在这一版中，等级1和等级2相同，等级3和等级4所要求的技术相同，对于某一给定的危险哪一软件完善度用于它，欧洲标准没有加以指明。
这将取决于多种原因，包括应用特征、其它系统实现安全性功能的限度、以及社会和经济因素。
EN50126——2：“铁路应用——引导运输系统可信性——第二部分：安全性”，以及EN50129：“铁路应用——安全电子铁路控制和防护系统”的作用就是详细说明分配给软件的安全性功能以及软件所要求的完善度等级。
欧洲标准详细解释了要达到这些要求所必需的措施。
EN50126——2：“铁路应用——引导运输系统可信性——第二部分：安全性”和EN50129：“铁路应用——安全电子铁路控制和防护系统”要求将系统化的方法用于：i)确定危险、风险和风险准则；ii)确定为满足风险准则所必须进行的风险缩减；iii)为满足风险准则必需的安全监护定义整个系统的安全性需求规格说明；iv)选择一个合适的系统结构；v)规划、监督和控制那些把系统安全性要求规格说明转换为具有确认的安全性（或安全性完善度）的安全系统所需的技术方面和管理方面的活动。
在EN50126——2：“铁路应用——安全电子电路控制和防护系统”中，为满足所要求的风险准则必须进行的风险缩减将被指定为上述五个软件完善度等级之一，并示于图1中。
RAMS技术基础培训
可用性参数
第*页
可达可用度Aa（Achieved Availability）考虑到故障修复和预防性情况，没有考虑备件和管理延迟。 可达可用度也称为技术可用度（Technical Availability）。 有时也用作采购时合同规定的要求。
可用性参数
第*页
运行可用度Ao（Operational Availability）考虑到故障修复性和预防性情况，并考虑保障延迟。 评估机车在实际使用条件下的可用性。 运行可用度（ Ao）不是制造商可控的因素。
1
次/百万公里
临修率
10
次/百万公里
千万不能搞混
例如:
寿 命: 产品能有价值存活的时间长度，是时间特性。 MTBF: 它体现了在寿命期内的发生故障的强度，是概率特性。
MTBF 不是寿命 ！
产品 典型设计寿命 典型MTBF 继电器 15,000 次 55,000 次 按钮 3 million 12 million 电视机 15 years 68 years 人 （71,74）年 39年
EN50126 1999年
IEC62278 2002年
GB/T 21562 2008年
EN50126-2 2006年
EN50126-3 2004年，2007年
IRIS 2010
EN50128 2001年
EN50129 2001年
方 针
要 求
指 南
RAMS 是产品质量的核心
IRIS ALSTOM 阿尔斯通 BOMBARDIER 庞巴迪 SIEMENS 西门子 Ansaldo Breda 安萨多布雷达 （意大利）
临修故障
相邻两次检修期间，机车运用过程中发生事故或零部件出现故障，没有造成机破，但不得不进行修理的故障。
第*页
可达可用度Aa（Achieved Availability）考虑到故障修复和预防性情况，没有考虑备件和管理延迟。 可达可用度也称为技术可用度（Technical Availability）。 有时也用作采购时合同规定的要求。
可用性参数
第*页
运行可用度Ao（Operational Availability）考虑到故障修复性和预防性情况，并考虑保障延迟。 评估机车在实际使用条件下的可用性。 运行可用度（ Ao）不是制造商可控的因素。
1
次/百万公里
临修率
10
次/百万公里
千万不能搞混
例如:
寿 命: 产品能有价值存活的时间长度，是时间特性。 MTBF: 它体现了在寿命期内的发生故障的强度，是概率特性。
MTBF 不是寿命 ！
产品 典型设计寿命 典型MTBF 继电器 15,000 次 55,000 次 按钮 3 million 12 million 电视机 15 years 68 years 人 （71,74）年 39年
EN50126 1999年
IEC62278 2002年
GB/T 21562 2008年
EN50126-2 2006年
EN50126-3 2004年，2007年
IRIS 2010
EN50128 2001年
EN50129 2001年
方 针
要 求
指 南
RAMS 是产品质量的核心
IRIS ALSTOM 阿尔斯通 BOMBARDIER 庞巴迪 SIEMENS 西门子 Ansaldo Breda 安萨多布雷达 （意大利）
临修故障
相邻两次检修期间，机车运用过程中发生事故或零部件出现故障，没有造成机破，但不得不进行修理的故障。
EN50128基础培训.
什么是软件安全完整性等级？
软件安全完整性等级是一组分级数字，它确定了软件 必须采用的技术和措施。 软件安全完整性等级分为SIL0~SIL4共5个等级。 软件失效导致的风险越高，软件安全完整性等级越高。
4
2015-10-26
二、软件安全完整性等级
如何确定软件安全完整性等级？
通常来说，软件安全完整性等级至少应等于系统安全 完整性等级。
23
2015-10-26
五、软件保障——变更控制
目标
确保软件在变更时仍能满足安全完整性和可靠性的要求。
要求
变更管理过程的相关要求： 问题报告和改正措施相关文档； 原因分析； 报告、追踪、解决问题的相关步骤； 变更影响分析； 再验证、再确认、再评估； ……
2015-10-26
24
第五部分，但要求各阶段的活动和 内容均能满足本标准的要求。
12
2015-10-26
四、生命周期和文档
13
2015-10-26
四、生命周期和文档
文档要求
Annex A.1
各阶段文档要求
14
2015-10-26
四、生命周期和文档
文档要求
每一个文档都应有一个唯一的文档编号、以及定义好 的与其它文档之间的关系。 ——追溯前提 每一个文档都应包含并实现其上级（输入）文档的所 有相关要求。 ——追溯完整性 每一个文档的内容都不应与其上级（输入）文档相矛 盾。 ——追溯一致性
EN 50128 铁路应用-通信、信号和处理系统 ——铁路控制和防护系统软件
报告人：周夏芳
2015-10-26
2015-10-26 1
内容安排
一、范围 二、软件安全完整性等级
软件安全完整性等级是一组分级数字，它确定了软件 必须采用的技术和措施。 软件安全完整性等级分为SIL0~SIL4共5个等级。 软件失效导致的风险越高，软件安全完整性等级越高。
4
2015-10-26
二、软件安全完整性等级
如何确定软件安全完整性等级？
通常来说，软件安全完整性等级至少应等于系统安全 完整性等级。
23
2015-10-26
五、软件保障——变更控制
目标
确保软件在变更时仍能满足安全完整性和可靠性的要求。
要求
变更管理过程的相关要求： 问题报告和改正措施相关文档； 原因分析； 报告、追踪、解决问题的相关步骤； 变更影响分析； 再验证、再确认、再评估； ……
2015-10-26
24
第五部分，但要求各阶段的活动和 内容均能满足本标准的要求。
12
2015-10-26
四、生命周期和文档
13
2015-10-26
四、生命周期和文档
文档要求
Annex A.1
各阶段文档要求
14
2015-10-26
四、生命周期和文档
文档要求
每一个文档都应有一个唯一的文档编号、以及定义好 的与其它文档之间的关系。 ——追溯前提 每一个文档都应包含并实现其上级（输入）文档的所 有相关要求。 ——追溯完整性 每一个文档的内容都不应与其上级（输入）文档相矛 盾。 ——追溯一致性
EN 50128 铁路应用-通信、信号和处理系统 ——铁路控制和防护系统软件
报告人：周夏芳
2015-10-26
2015-10-26 1
内容安排
一、范围 二、软件安全完整性等级
EN50128中文版
以下规则应用于开发高安全完整性等级软件，但也不仅限于开发高安全完整性等级软件：
1）自顶向下的设计方法；
2）模块化；
3）开发生命周期每一阶段的验证；
4）验证后的模块和模块库；
5）清晰的文档；
6）可审计的文档；
7）确认测试。
这些规则以及相关的其他规则必须正确应用。对于各个软件安全完整性等级，本标准均规定了说明这一点所需的保证等级。
附件中指定的“规范性的”是本项标准主体的一部分。
附件中指定的“参考性的”只用于获得的信息。
本项标准中，附件A是规范性的而附件B是参考性的。
引言
1.范围
2.参考文献
3.定义
4.目标和符合
5.软件安全完整性等级
5．1目标
5．2需求
6.人员及职责
6．1目标
6．2需求
7.生命周期和文档
7．1目标
7．2需求
8.软件需求规格说明
负责提出实现特定需求的设计方案，并监控后期的开发和系统在特定环境下工作的实体。
设计者（designer）
一个或多个由设计主管机构指派的人员，他们承担需求分析并将特定需求转化成可接受且有相应安全完整性的设计方案。
元素（element）
被确认为基本单元和基本部件的某产品的一部分。一个元素可以是简单或者复杂的。
国际铁路信号工程师协会（IRSE）的工作也被考虑进来，特别是它关注相同课题的1号技术报告。
本欧洲标准的一个关键概念是软件安全完整性等级。软件失效后果的危险性的越大，软件安全完整性等级也就越高。
本欧洲标准确定了从最低0级到最高4级的5个软件安全完整性等级的技术和措施。其中1~4这四个级别涉及安全相关软件，0级涉及非安全相关软件。对0级进行标准化是为了让非安全相关系统软件向安全相关系统软件进行平滑转变。附表给出了各个软件安全完整性等级和非安全相关等级要求的技术和措施。在这个版本中，1级和2级的技术要求相同，3级和4级的要求相同。本欧洲标准没有给出某一风险应适用于哪个软件安全完整性等级的具体指导意见。这个结论需要考虑许多因素包括应用的特性、其他系统承担的安全性功能范围和社会以及经济因素。
1）自顶向下的设计方法；
2）模块化；
3）开发生命周期每一阶段的验证；
4）验证后的模块和模块库；
5）清晰的文档；
6）可审计的文档；
7）确认测试。
这些规则以及相关的其他规则必须正确应用。对于各个软件安全完整性等级，本标准均规定了说明这一点所需的保证等级。
附件中指定的“规范性的”是本项标准主体的一部分。
附件中指定的“参考性的”只用于获得的信息。
本项标准中，附件A是规范性的而附件B是参考性的。
引言
1.范围
2.参考文献
3.定义
4.目标和符合
5.软件安全完整性等级
5．1目标
5．2需求
6.人员及职责
6．1目标
6．2需求
7.生命周期和文档
7．1目标
7．2需求
8.软件需求规格说明
负责提出实现特定需求的设计方案，并监控后期的开发和系统在特定环境下工作的实体。
设计者（designer）
一个或多个由设计主管机构指派的人员，他们承担需求分析并将特定需求转化成可接受且有相应安全完整性的设计方案。
元素（element）
被确认为基本单元和基本部件的某产品的一部分。一个元素可以是简单或者复杂的。
国际铁路信号工程师协会（IRSE）的工作也被考虑进来，特别是它关注相同课题的1号技术报告。
本欧洲标准的一个关键概念是软件安全完整性等级。软件失效后果的危险性的越大，软件安全完整性等级也就越高。
本欧洲标准确定了从最低0级到最高4级的5个软件安全完整性等级的技术和措施。其中1~4这四个级别涉及安全相关软件，0级涉及非安全相关软件。对0级进行标准化是为了让非安全相关系统软件向安全相关系统软件进行平滑转变。附表给出了各个软件安全完整性等级和非安全相关等级要求的技术和措施。在这个版本中，1级和2级的技术要求相同，3级和4级的要求相同。本欧洲标准没有给出某一风险应适用于哪个软件安全完整性等级的具体指导意见。这个结论需要考虑许多因素包括应用的特性、其他系统承担的安全性功能范围和社会以及经济因素。
EN50128在铁路信号安全软件测试中的应用研究
徐登科 王
摘
鲲
朱艳军
刘
隽
要 ：随着列车 的不 断提 速 ，铁路 信 号 系统作 为保 障机 车 车辆 安全 有序 作 业 的重要 安 全设 备 ，
其软件 的 可靠性和安 全性 直接 影 响列 车 的运 行安 全 ，对铁 路 信 号 安全 软 件 的 测试 就 显得 至 关 重 要 。通过 借鉴 欧洲铁路 的安 全相 关技 术 ， 以铁路 控 制和 防护 系统软 件 标 准 Ｅ ５ １８为 指 导 ，重 Ｎ ０２ 点论述 了标准 中软件 测试各 阶段 的活动情 况及 独 立性的体 现 ，并对此标 准在铁路 信 号安全软件 测 试过程 中的应 用进 行 了分析和研 究。 关 键词 ：铁 路信 号 ；安 全 完整 性等级 ；软件 测试
测试 前应先 明确软 件安全 完整性 等级 ，才能采 取相 应 的安 全 措 施 。在 Ｅ ５ １ ８中，将 软 件 安 全 完 整 Ｎ ０２
性 等级从 ０级 到 ４级划 分为 ５个等级 。软件 安全完 整性等 级越 高 ，软件 失 效 后 的 危 险 性 影 响 也 就越 大 ，软件 开发 时所应采 取 的安全保 障技术 和措施也
ｔｒ ｓｃ ｕ ｄ ｄ ｒ ｃｌ ｆｅ ｔｔ ｅ ｏ ｅ ａｉｎ ｓｆ ｔ ｆｌ ｃ ｍｏｉｅ ｎ ｒ ｉ ｓ Ｉ ｉ ｓ ｅ ｔａ ｏ ｔｓ ａ ｅｙ ｃ ｉ — ｅ ｏ ｌ ｉｅ ｔ ａｆｃ ｈ ｐ ｒ ｔｏ ａｅｙ ｏ ｏ ｏ ｔｖ ｓａ ｄ ｔａｎ ． ｔ ｓ ｅ ｓ ｎ ｉｌｔ ｅ ｔｓｆ ｔ —ｒｔ ｎ ｙ ｉ
就越复 杂 。因此 ，软件 安全 完整性 等级 的高低 ，直 接 影 响系统 的安 全性 和 资源 的合理 应用 。Ｅ ５ １８ Ｎ ０２ 中并没有 给 出哪些 风 险应 选取 哪一级 别 的软 件安全
摘
鲲
朱艳军
刘
隽
要 ：随着列车 的不 断提 速 ，铁路 信 号 系统作 为保 障机 车 车辆 安全 有序 作 业 的重要 安 全设 备 ，
其软件 的 可靠性和安 全性 直接 影 响列 车 的运 行安 全 ，对铁 路 信 号 安全 软 件 的 测试 就 显得 至 关 重 要 。通过 借鉴 欧洲铁路 的安 全相 关技 术 ， 以铁路 控 制和 防护 系统软 件 标 准 Ｅ ５ １８为 指 导 ，重 Ｎ ０２ 点论述 了标准 中软件 测试各 阶段 的活动情 况及 独 立性的体 现 ，并对此标 准在铁路 信 号安全软件 测 试过程 中的应 用进 行 了分析和研 究。 关 键词 ：铁 路信 号 ；安 全 完整 性等级 ；软件 测试
测试 前应先 明确软 件安全 完整性 等级 ，才能采 取相 应 的安 全 措 施 。在 Ｅ ５ １ ８中，将 软 件 安 全 完 整 Ｎ ０２
性 等级从 ０级 到 ４级划 分为 ５个等级 。软件 安全完 整性等 级越 高 ，软件 失 效 后 的 危 险 性 影 响 也 就越 大 ，软件 开发 时所应采 取 的安全保 障技术 和措施也
ｔｒ ｓｃ ｕ ｄ ｄ ｒ ｃｌ ｆｅ ｔｔ ｅ ｏ ｅ ａｉｎ ｓｆ ｔ ｆｌ ｃ ｍｏｉｅ ｎ ｒ ｉ ｓ Ｉ ｉ ｓ ｅ ｔａ ｏ ｔｓ ａ ｅｙ ｃ ｉ — ｅ ｏ ｌ ｉｅ ｔ ａｆｃ ｈ ｐ ｒ ｔｏ ａｅｙ ｏ ｏ ｏ ｔｖ ｓａ ｄ ｔａｎ ． ｔ ｓ ｅ ｓ ｎ ｉｌｔ ｅ ｔｓｆ ｔ —ｒｔ ｎ ｙ ｉ
就越复 杂 。因此 ，软件 安全 完整性 等级 的高低 ，直 接 影 响系统 的安 全性 和 资源 的合理 应用 。Ｅ ５ １８ Ｎ ０２ 中并没有 给 出哪些 风 险应 选取 哪一级 别 的软 件安全
EN50128软件可靠性、安全性设计与分析
资料提供人：杨兴文
编者版板所有，禁止外传
Page 20
20
避免潜在的死循环
在等待外部信号的程序段中，不允许无限制地等待。正 确的做法应是 或采用循 等待次数控制 或使用定时 确的做法应是，或采用循环等待次数控制，或使用定时器， 使得规定时间内（无论成功或失败）必须保证退出等待外部 信号的程序段。 信号的程序段
是与用户保持紧密联系
编者版板所有，禁止外传 Page 4
资料提供人：杨兴文
4
软件可靠性设计
软件可靠性设计的实质是在常规的软件设计 中，应用各种必须的方法和技术，使程序设 计在兼顾用户的各种需求时，全面满足软件 的可靠性要求。 软件的可靠性设计应和软件的常规设计紧密 件的可靠性 计 和 件的常 计紧密 地结合，贯穿于常规设计过程的始终。 这里所指的设计是广义的设计，它包括了从 需求分析开始，直至实现的全过程。
1
1
软件可靠性分析与设计
2
软件可靠性分析与设计的原因
•
•
软件在使用中发生失效（不可靠）会导致 任务的失败，甚至导致灾难性的后果。因 此，应在软件设计过程中，对可能发生的 失效进行分析，采取必要的措施避免将引 起失效的缺陷引入软件，为失效纠正措施 的制定提供依据 同时为避免类似问题的 的制定提供依据，同时为避免类似问题的 发生提供借鉴。 这些工作将会大大提高使用中软件的可靠 性，减少由于软件失效带来的各种损失。
法
各个阶段都要进行避错 从开发方法、工具等多处着手 开发方法、 具等多处着手
避免需求错误
深入研究用户的需求（用户申明的和未申明的） 用户早期介 用户早期介入，如采用原型技术 如采用原型技术
EN50128_中文版
2001 -1 1-01
2003-1 1-01
本欧洲标准必须与 EN50126 铁路应用——可靠性，可用性，可维护性和安全性（RAMS） ；EN50129 铁路应用——信号 领域的安全相关电子系统同时阅读。 附件中指定的“规范性的”是本项标准主体的一部分。 附件中指定的“参考性的”只用于获得的信息。 本项标准中，附件 A 是规范性的而附件 B 是参考性的。
I
同济大学、铁道科学研究院标准所
EN50128：2001
目录
引言 1. 2. 3. 4. 5. 范围 参考文献 定义 目标和符合 软件安全完整性等级
5．1 目标 5．2 需求 6. 人员及职责
6．1 目标 6．2 需求 7. 生命周期和文档
7．1 目标 7．2 需求 8. 软件需求规格说明
8．1 目标 8．2 输入文档 8．3 输出文档 8．4所
EN50129-1,铁路应用——通信，信号和处理系统 第二部分：开放传输系统中的安全通信； EN ISO 9001,质量体系——设计/开发，生产，安装和维护的质量保证模型；
EN50128：2001
EN ISO 9001-3,质量管理和质量保证标准——第三部分：ISO9001:1994在计算机软件的开发， 供应，安装和维护应用的指导。 3 定义
以下定义适用于此欧洲标准.对于未定义的术语,按照优先顺序查阅以下参考文献。 EN ISO 8402，质量管理和质量保证——词汇表； IEC 60050-191,国际电工词汇第 191 章：服务可信性和质量； IEEE 610.12, IEEE标准软件工程术语词汇表； ISOIIEC 2382,信息技术词汇表； ISOIIEC 9126,信息技术－软件产品评估－质量特性以及其使用指导； 3.1 评估（assessment） 用于确定设计主管机构和确认员所完成的产品是否符合规定的要求和判定产品是否达到预期目的的分析过程。 3.2 评估员（assessor） 受委托执行评估的人员或者代理。 3.3 可用性（availability） 假定所需外部资源均能满足的条件下，产品在规定的条件下，在规定的时刻或在给定的时间间隔内完成要求功 能的能力。 3.4 商用软件（COTS software） 市场需求所定义、市场已存在且其目标满足性已得到广大商业用户证明的软件。 3.5 设计主管机构（design authority） 负责提出实现特定需求的设计方案，并监控后期的开发和系统在特定环境下工作的实体。 3.6 设计者（designer） 一个或多个由设计主管机构指派的人员，他们承担需求分析并将特定需求转化成可接受且有相应安全完整性的 设计方案。 3.7 元素（element） 被确认为基本单元和基本部件的某产品的一部分。一个元素可以是简单或者复杂的。 3.8 错误（error）
en50128标准
en50128标准EN50128标准是针对软件在铁路应用中的开发与验证而制定的国际标准。
该标准主要定义了软件开发过程中需要遵循的步骤、方法和技术，以确保软件在铁路系统中的安全性和可靠性。
本文将对EN50128标准的主要内容进行详细介绍。
1.概述EN50128标准是由欧洲标准委员会制定的，用于规范铁路系统中的软件开发过程。
该标准的目的是确保软件在铁路系统中的安全性、可靠性和合规性。
EN50128标准覆盖了软件开发的整个生命周期，包括需求分析、软件设计、编码、测试和验证、配置管理等环节。
2.要求EN50128标准对软件开发过程中的各个环节都提出了具体的要求。
首先是需求分析阶段，要求开发团队与相关利益相关方明确系统需求，并将其转化为软件需求。
其次是软件设计阶段，要求开发团队设计合理的软件架构和模块。
在编码过程中，要求采用符合标准的编程规范，以确保代码的可读性和可维护性。
测试和验证阶段需要全面检查软件的功能和性能，以验证其符合预期要求。
此外，EN50128标准还要求开发团队进行配置管理，记录软件开发过程中的变更和版本信息。
3.安全性和可靠性EN50128标准对软件在铁路系统中的安全性和可靠性提出了严格要求。
它要求开发团队进行全面的风险分析和安全评估，确保软件在运行过程中不会对铁路系统的安全产生影响。
标准还要求对软件进行可靠性评估，以确保其在各种异常情况下的稳定性和可用性。
4.合规性和认证EN50128标准要求软件开发团队在开发过程中进行严格的文档记录，包括需求规格、设计规格、测试报告等。
这些文档需要符合标准规定的格式和内容要求。
同时，EN50128还要求软件开发团队建立合理的配置管理体系，对软件开发过程中的变更进行追踪和管理。
只有符合标准要求的软件才能通过相关的认证审查，获得应用于铁路系统的资格。
5.相关标准除了EN50128标准外，铁路系统中的软件开发还需要遵循其他相关的标准。
例如，EN50126标准定义了对软件的安全性和可靠性进行评估的方法。
EN Training (Day 2 MorningEN50129)
5
安全案例的格式 (EN50129)
6. Conclusion 5. Related Safety Cases 4. Technical Safety Report 3. Safety Management Report 2. Quality Management Report 1. Definition of System System Safety Plan Quality Assurance Plan Product info Evidence of technical & function safety
12
安全需求 (2)
13
安全组织
对个人能力(比如，技术知识，资 格，经验，培训经历等)进行评价 并归档 保持与其它不同角色的独立性
14
安全计划
制定安全方针 制定安全和RAM 的衡量标准和要求 定义项目生命周期内实施RAMS 相关任务的总体策略 (EN50126) 介绍安全组织 定义关键人员的角色和职责 概述进度与达成的定期监控程序
Generic Application Safety Case
Part 1: Definition Part 2: Quality Part 3: Safety Part 4: Technical Part 5: Related SC Part 6: Conclusion
Part 5: Related Safety Case
9
安全管理的证据
采用安全管理方法是SIL 1 to 4 的强制性要求 采用安全管理方法是 文件证据应当包括系统安全计划，安全要求及目标，采取的所有安全管理方 法 这部分安全案例应当包括:
1. 2. 3. 4. 5. 6.
安全方针，目标和标准 安全生命周期 安全要求（安全功能和安全完整性） 安全组织和职责 安全管理 软件保证 (EN50128)
en50128标准
现实题材的界定
现实题材在不同的领域和背景下有不同的定义。
总体来说，现实题材通常是指反映现实生活、社会状况和人物关系的题材，强调对现实世界的客观、真实或看似真实的描绘和刻画。
在文学和艺术领域，现实题材通常指的是以现实生活和社会变革中的人物、事件等为表现对象，追求对现实世界的精确描绘和刻画，注重反映现实生活的主流和时代感，给读者以信心和鼓舞。
它通常不回避社会问题，也不刻意追求夸张或离奇的情节，而是以细腻、真实的描绘揭示出人性和社会的复杂性。
在电影领域，现实题材通常是指影片创作内容以表现当时社会状况和人们生活感受为主体，直面当下社会现实、涉及公共领域话题。
它通常以真实人物或真实事件为题材，注重对现实世界的客观、真实或看似真实的描绘和刻画，而不是以历史人物或历史事件为题材，或者以虚构的故事为题材。
总之，现实题材的界定并非绝对，而是根据具体领域和背景而有所不同。
但其核心特点都是强调对现实世界的关注和描绘，反映社会现象和人性问题，使观众能够从中看到自己和周围的世界。
EN50128标准培训-文档资料
17
Q&A (2/3)
➢ 2. Diverse programming (D16) Diverse programming is a difficult method for implementation. If we can not assess the level of diversity, how could we claim that our own software diversity method is effective or not? For instance, we can implement two different methods in one computer or two different methods in two computers to achieve software diversity. Could you give us a suggestion which is better?
➢ Each class will place different requirements on the required assurance
6
Support Tools (2/2)
➢ T1 class (section 3.1.42)
➢ generates no outputs which can directly or indirectly contribute to the executable code (including data) of the software
➢ Key requiremnts
➢ Follow ISO 90003 as a minimum ➢ Define and maintain baseline (Example: using CC) ➢ Release Notes ➢ Error Detection in Transport ➢ Deployment Manual
Q&A (2/3)
➢ 2. Diverse programming (D16) Diverse programming is a difficult method for implementation. If we can not assess the level of diversity, how could we claim that our own software diversity method is effective or not? For instance, we can implement two different methods in one computer or two different methods in two computers to achieve software diversity. Could you give us a suggestion which is better?
➢ Each class will place different requirements on the required assurance
6
Support Tools (2/2)
➢ T1 class (section 3.1.42)
➢ generates no outputs which can directly or indirectly contribute to the executable code (including data) of the software
➢ Key requiremnts
➢ Follow ISO 90003 as a minimum ➢ Define and maintain baseline (Example: using CC) ➢ Release Notes ➢ Error Detection in Transport ➢ Deployment Manual
GB50128课件
基础验收 ：
1、储罐安装前，必须有基础施工记录和验收资料，并对基础进行 复查，合格后方可安装。 2、储罐基础应符合的规定 (1)基础中心标高允许偏差为土20mm; (2)支承罐壁的基础表面其高差应符合有环梁时，每10m弧长内任意 两点的高差不应大于6mm，且整个圆周的长度内任意两点的高度差 不应大于12mm (3)支承罐壁的基础表面其高度应符合碎石环梁和无环梁时，每3m 弧长内任意两点的高差不应大于6mm，且整个圆周长度内任意两点 的高差不应大于20mm (4)当罐壁置于环梁之上时，环梁的内半径不应有正偏差，当罐底 板置于环梁内侧时，环梁的内半径不应有负偏差
基础验收 ：
表 检查沥青砂层表面凹凸度的同心圆直径及测量点数
储罐直径 D（m） D≥76
同心圆直径(m)
测量点数
Ⅰ 圈
Ⅱ圈
Ⅲ圈
D/2
Ⅳ圈
2D/3
Ⅴ圈
5D6
Ⅰ圈
8
Ⅱ圈
16
Ⅲ圈
24
Ⅳ圈
32
Ⅴ圈
40
D/6 D/3
45≤D<76
25≤D<45
D/5 2D/5
D/4 D/2
3D/5
3D/4
4D/5
8
8
16
16
3、普通碳素钢工作环境温度低于一16℃或低合金钢工作环境 温度低于一12℃时，坡口不得采用剪切加工。
国内储罐的施工一般在现场预制，工作条件比较差，钢材 剪切、冷矫正和冷弯曲均受到气温的影响。考虑到钢材在较差 温度下进行冷加工容易出现裂纹，因此本规范对工作环境的最 低温度参照现行国家标准《钢结构工程施工及验收规范》GB 50205提出了规定。
实物检查： 5、抗风圈、加强圈、包角钢等弧形构件加工成型后，用 弧形样板检查，其间隙长度不应大于2mm。放在平台上检 查，其翘曲变形不应超过构件长度的0.1％，且不应大于 6mm。 原规范中对抗风圈、加强圈、包边角钢等弧形构件 加工成型后，对翘曲变形的要求过严，实际施工中部分 构件无法达到要求，因此变形不得大于4mm的要求改写为 不应大于6mm。
关于50128的理解(2008)
及安全（ＲＡＭＳ）的规约和论证，关注整个铁路控制和保 护系统中单一系统的经认可的过程． 注:demonstration This term refer to an analysis leading to a conclusion , which is less rigorous than a “proof”. 是指一个可得出结论的分析，不如“证明”那样严 格．
需求(requirement)与需求规约(requirement specification) -- 需求(requirement)定义 A requirement is a statement that has been constructed to describe a necessary functional capability ,performance parameter, or other property of the intended product (or item). 一个需求是一个“将要予以构造”的陈述，描述了待开发产 品 （或项）在功能方面必要的能力、性能参数或其它特性。
EN5012８－关注为提供满足安全完整性要求的软件而需要 使用的一些方法． 注:software safety integrity level classification number which determines the techniques and measures that have to be applied in order to reduce residual software faults to an appropriate level． 确定要应用的技术和措施的分类数,其目的是减少残存 软件故障,使其保持在一个适当的水平. 这些标准均是对其相应的’关注’，提出了一些需求！
需求(requirement)与需求规约(requirement specification) -- 需求(requirement)定义 A requirement is a statement that has been constructed to describe a necessary functional capability ,performance parameter, or other property of the intended product (or item). 一个需求是一个“将要予以构造”的陈述，描述了待开发产 品 （或项）在功能方面必要的能力、性能参数或其它特性。
EN5012８－关注为提供满足安全完整性要求的软件而需要 使用的一些方法． 注:software safety integrity level classification number which determines the techniques and measures that have to be applied in order to reduce residual software faults to an appropriate level． 确定要应用的技术和措施的分类数,其目的是减少残存 软件故障,使其保持在一个适当的水平. 这些标准均是对其相应的’关注’，提出了一些需求！
EN标准内容培训(ppt 43页)
广东新海山家居用品有限公司.佛山市南海五蕴家具有限公司
EN标准内容讲解
3.0条款与定义
为达到此标准的要求，请符合以下定义。 3.1 安全门栏仅限儿童室内使用。 3.2 可拆卸部件的定义为可不用任何工具即可从安全门栏上拆
下来的部分。
3.3 Opening system 3.4为不用拆下安全门栏的任何固定部分即可打开围栏。
4.4.1、检测框架 铁质框架使用可附加上的榉木面板，如图1所示， 系数在M=0.25—0..35之间。
4
4.0一般检测条件
安全门栏的锁头部分需在恰当安装后承受50N ±2N 力的 测试。 此标准所有的要求须是检测门栏两侧都通过检测。
4.4.5清洁与清洗
在检测之前，所有的布质面料按生产商提供说明书清洁或 清洗然后烘干两次。可拆卸的布质部分在清洁、清洗或烘 干后仍能重新安装上去。
径为25mm的圆锥体； ——可放入一个直径为45mm的圆锥体但是不能放入一个直
径为65mm的圆锥体。
19
6.10.2 测试方法
在不使用外力的情况下，圆锥体测量仪器（6.10.2.1）以最 小允许距离为直径可穿过间隙。
在使用30N力的情况下，圆锥体测量仪器（6.10.2.1）以最 大允许距离为直径不可穿过间隙。
6.11 凹坑，间隙与开口 不允许存在有开口的钢管部分，且在正常使用情况下，安全门栏的设计
须不存在割伤、刺伤或刮伤的风险。 安全门栏不允许有宽度大于5mm（装配凹坑可7mm）小于12mm的装饰
性开口、凹坑或间隙，深度小于10mm的情况下除外。
21
6.12 距离地板的高度
地板与水平方向最低位置部件间的有效距离或任何 连接部分的较低边与水平方向最低位置部件间的有 效距离需小于5mm或在12mm至25mm间或在 45mm至65mm间。这些高度在垂直静负荷测试中 需一直保持。
EN标准内容讲解
3.0条款与定义
为达到此标准的要求，请符合以下定义。 3.1 安全门栏仅限儿童室内使用。 3.2 可拆卸部件的定义为可不用任何工具即可从安全门栏上拆
下来的部分。
3.3 Opening system 3.4为不用拆下安全门栏的任何固定部分即可打开围栏。
4.4.1、检测框架 铁质框架使用可附加上的榉木面板，如图1所示， 系数在M=0.25—0..35之间。
4
4.0一般检测条件
安全门栏的锁头部分需在恰当安装后承受50N ±2N 力的 测试。 此标准所有的要求须是检测门栏两侧都通过检测。
4.4.5清洁与清洗
在检测之前，所有的布质面料按生产商提供说明书清洁或 清洗然后烘干两次。可拆卸的布质部分在清洁、清洗或烘 干后仍能重新安装上去。
径为25mm的圆锥体； ——可放入一个直径为45mm的圆锥体但是不能放入一个直
径为65mm的圆锥体。
19
6.10.2 测试方法
在不使用外力的情况下，圆锥体测量仪器（6.10.2.1）以最 小允许距离为直径可穿过间隙。
在使用30N力的情况下，圆锥体测量仪器（6.10.2.1）以最 大允许距离为直径不可穿过间隙。
6.11 凹坑，间隙与开口 不允许存在有开口的钢管部分，且在正常使用情况下，安全门栏的设计
须不存在割伤、刺伤或刮伤的风险。 安全门栏不允许有宽度大于5mm（装配凹坑可7mm）小于12mm的装饰
性开口、凹坑或间隙，深度小于10mm的情况下除外。
21
6.12 距离地板的高度
地板与水平方向最低位置部件间的有效距离或任何 连接部分的较低边与水平方向最低位置部件间的有 效距离需小于5mm或在12mm至25mm间或在 45mm至65mm间。这些高度在垂直静负荷测试中 需一直保持。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
clearly explained.
Example:
4
Person competence
Personnel competencies are added in Annex B of EN50128 2011. An example is shown:
5
Support Tools (1/2)
➢ Support Tools and Languages (Section 6.7)
➢ Each class will place different requirements on the required assurance
6
Support Tools (2/2)
➢ T1 class (section 3.1.42)
➢ generates no outputs which can directly or indirectly contribute to the executable code (including data) of the software
➢ Example：a test coverage measurement tool and a static analysis tool
➢ T3 class (section 3.1.44)
➢ generates outputs which can directly or indirectly contribute to the executable code (including data) of the safety related system
➢ Example： a source code compiler
➢ A simple way to understand the three types of tools: T1 --SIL0 T2 ---SIL1&2 T3 ---SIL3&4
7
Application Data or algorithms
EN50128 2011 Seminar Summary
Yao Jun Feb.27,2012
1
EN50128 2011 Seminar
• 北京英华经纶交通运输有限公司（劳氏北京）于2012年2月9日在北 京举办了EN50128新版标准研讨会，会议由 Professor Ali Hessami 讲解（欧标修订工作组WG11主席，负责EN50128:2011 的修订) 。 Ali Hessami教授介绍了系统安全保障的基本概念，并从 标准制定者的角度介绍了新版的EN50128，同时还谈到了EN50126 系列标准的整合和未来。
➢ Example： a text editor, configuration control tools.
➢ T2 class (section 3.1.43)
➢ supports the test or verification of the design or executable code, where errors in the tool can fail to reveal defects but cannot directly create errors in the executable software.
• Organization and role • Personnel competence • Support tools • Application data or algorithms • Deployment and maintenance
3
Organization and Role
Organization, role and independence requirements (section 5.1)
➢ Example
8
Software Deployment
➢ Software deployment (section 9.1): To ensure that the software
performs as required, preserving the required software safety integrity level and dependability when it is deployed in the final environment of application.
• Add the role of RQM (requirement manager) , INT(Integritor) and TST(Tester)
• Add the description of these roles • The independent requirements for roles are
➢ Provide evidence that potential failures of tools do not adversely affect the integrated toolset output in a safety related manner.
➢ Classification
➢ Three classes of tools so far as reliability and safety impact is concerned as T1,T2 and T3.
➢ This part is emphasized in the new EN50128. (section 8)
➢ “The requirements for the development of application algorithms
are e same as the development of generic software as described in Clauses 1-7 and 9. “ emphasize the importance of this part.
• 下面的ppt文档是基于本次研讨会的总结，也加入了个人的理解，并 把我的提问和回答也都列出。如果有不正确的或者遗漏的地方，请及 时指出，谢谢！
2
Main Differences between EN50128 2011 and EN50128 2001
Main differences in New EN50128 are the following contents:
Example:
4
Person competence
Personnel competencies are added in Annex B of EN50128 2011. An example is shown:
5
Support Tools (1/2)
➢ Support Tools and Languages (Section 6.7)
➢ Each class will place different requirements on the required assurance
6
Support Tools (2/2)
➢ T1 class (section 3.1.42)
➢ generates no outputs which can directly or indirectly contribute to the executable code (including data) of the software
➢ Example：a test coverage measurement tool and a static analysis tool
➢ T3 class (section 3.1.44)
➢ generates outputs which can directly or indirectly contribute to the executable code (including data) of the safety related system
➢ Example： a source code compiler
➢ A simple way to understand the three types of tools: T1 --SIL0 T2 ---SIL1&2 T3 ---SIL3&4
7
Application Data or algorithms
EN50128 2011 Seminar Summary
Yao Jun Feb.27,2012
1
EN50128 2011 Seminar
• 北京英华经纶交通运输有限公司（劳氏北京）于2012年2月9日在北 京举办了EN50128新版标准研讨会，会议由 Professor Ali Hessami 讲解（欧标修订工作组WG11主席，负责EN50128:2011 的修订) 。 Ali Hessami教授介绍了系统安全保障的基本概念，并从 标准制定者的角度介绍了新版的EN50128，同时还谈到了EN50126 系列标准的整合和未来。
➢ Example： a text editor, configuration control tools.
➢ T2 class (section 3.1.43)
➢ supports the test or verification of the design or executable code, where errors in the tool can fail to reveal defects but cannot directly create errors in the executable software.
• Organization and role • Personnel competence • Support tools • Application data or algorithms • Deployment and maintenance
3
Organization and Role
Organization, role and independence requirements (section 5.1)
➢ Example
8
Software Deployment
➢ Software deployment (section 9.1): To ensure that the software
performs as required, preserving the required software safety integrity level and dependability when it is deployed in the final environment of application.
• Add the role of RQM (requirement manager) , INT(Integritor) and TST(Tester)
• Add the description of these roles • The independent requirements for roles are
➢ Provide evidence that potential failures of tools do not adversely affect the integrated toolset output in a safety related manner.
➢ Classification
➢ Three classes of tools so far as reliability and safety impact is concerned as T1,T2 and T3.
➢ This part is emphasized in the new EN50128. (section 8)
➢ “The requirements for the development of application algorithms
are e same as the development of generic software as described in Clauses 1-7 and 9. “ emphasize the importance of this part.
• 下面的ppt文档是基于本次研讨会的总结，也加入了个人的理解，并 把我的提问和回答也都列出。如果有不正确的或者遗漏的地方，请及 时指出，谢谢！
2
Main Differences between EN50128 2011 and EN50128 2001
Main differences in New EN50128 are the following contents: