1 范围

1.1 GB/T 35850的本部分适用于乘客电梯和载货电梯，当可编程电子系统被用于执行电梯电气安全功能时，应采用本部分。当电梯规范、标准中所定义的电梯安全功能应用PESSRAL时，应引用本部分。

1.2 本部分也可应用于新的或与本部分描述有差异的PESSRAL。

1.3 如果电气安全装置符合本部分和其他相关标准的所有要求，则不必考虑其失效的可能性。

1.4 本部分：

      a）使用了安全完整性等级（SIL）来规定用PESSRAL实现安全功能的目标失效量；

      b) 规定了达到某一功能的安全完整性的要求，但没有规定实施和保持该要求的责任主体（如：设计者、制造商、供应商或业主等）；

      c) 应用于电梯的可编程电子系统（PE system），符合电梯相关标准（如：GB7588等）的最低要求；

      d) 明确了与GB/T 20438以及GB/T 24808之间的关系；

      e) 说明了电梯安全功能与其安全状态条件之间的关系；

      f) 适用于软件和相关硬件设计的阶段和活动，但不包括设计之后的阶段和活动，如：采购与制造；

      g) 要求 PESSRAL制造商提供说明书，向实施该电梯组装、连接、调试、维护的组织详细说明如何保持PESSRAL的完整性；

      h) 规定了与软硬件安全验证相关的要求；

      i) 为具体的电梯安全功能规定了安全完整性等级；

      j) 规定了达到特定的安全完整性等级所需要的技术和措施；

      k) 提供了应用PESSRAL的风险降低的决策表；

      1) 规定了要求的PESSRAL最高安全完整性等级为SIL3，最低安全完整性等级为SIL1。

1.5 本部分不包含：

      a） PE system装置自身产生的危险，如电击；

      b) 失效安全的概念，在失效模式定义良好和复杂度相对较低的情况下失效安全可能是有价值的。因为本部分范围内的PESSRAL复杂度很高，所以失效安全概念在此是不合适的；

      c) 对电梯安全功能中的PESSRAL的完整运用所必需的其他相关要求，如开关、执行器件和传感器的机械结构、安装和标识等。这些要求应符合相关电梯标准；

      d) 由恶意或未授权行为引起的，涉及安全威胁的可预见的误操作。需要考虑某一安全威胁分析时，如果重新评估了特定的SIL，可以使用本部分。

2 规范性引用文件

      下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

      GB/T 4721 印制电路用覆铜箔层压板通用规则

      GB/T 4723 印制电路用覆铜箔酚醛纸层压板

      GB/T 4724 印制电路用覆铜箔复合基层压板

      GB/T 4725 印制电路用覆铜箔环氧玻璃布层压板

      GB 4943（所有部分）信息技术设备 安全［IEC 60950（所有部分）］

      GB/T 16261 印制板总规范（GB/T 16261-1996，IEC/PQC 88：1990，IDT）

      GB/T 20438.1 电气/电子/可编程电子安全相关系统的功能安全 第1部分：一般要求(IEC 61508-1:1998,IDT)

      GB/T 20438.2 电气/电子/可编程电子安全相关系统的功能安全 第2部分：电气/电子/可编程电子安全相关系统的要求（GB/T 20438.2-2006，IEC 61508-2：2000，IDT）

      GB/T 20438.3 电气/电子/可编程电子安全相关系统的功能安全 第3部分：软件要求(GB/T 20438.3-2006,IEC 61508-3:1998,IDT)

      GB/T 20438.5 电气/电子/可编程电子安全相关系统的功能安全 第5部分：确定安全完整性等级的方法示例（GB/T 20438.5-2006，IEC 61508-5：1998，IDT）

      GB/T 20438.6 电气/电子/可编程电子安全相关系统的功能安全 第6部分：GB/T 20438.2和GB/T 20438.3的应用指南（GB/T 20438.6-2006，IEC 61508-6：2000，IDT）

      GB/T 20438.7 电气/电子/可编程电子安全相关系统的功能安全 第7部分：技术与措施概述(IEC 61508-7:1998,IDT)

      GB/T 24808 电磁兼容性 电梯、自动扶梯和自动人行道产品标准 抗扰度（GB/T 24808-2009,ISO 22200:2009.IDT)

      IEC 61508-7：2010 电气/电子/可编程电子安全相关系统的功能安全 第7部分：技术与措施概述（Functional safety of electrical/electronic/programmable electronic safety-related systems-Part 7： Overview of techniques and measures)

3 术语和定义

      在GB/T 20438.4中给出的术语和定义适用于本文件，但是本文件作出的定义应优先于通用标准GB/T 20438。

3.1

      非SIL相关安全状态要求 non-SIL-relevant safe-state requirement

      对某个SIL相关安全功能的动作作出响应，而执行该响应的功能无SIL要求。

      注：参见图4和表2。

3.2

      可编程电子 programmable electronic

      PE

      以计算机技术为基础，可以由硬件、软件及其输入和（或）输出单元构成。

      注：本术语包括以一个或多个中央处理器（CPU）及相关的存储器等为基础的微电子装置。举例：下列均是可编程电子装置。

      ——微处理器；

      ——微控制器；

      ——可编程控制器；

      ——现场可编程门阵列（FPGA）；

      ——专用集成电器（ASICs）；

      ——可编程逻辑控制器（PLCs）；和

      ——其他以计算机为基础的装置（智能传感器、变送器、执行器等）。

3.3

      可编程电子系统 programmable electronic system

      PE system

      基于一个或多个可编程电子装置的控制、保护或监视的系统，包括系统中所有单元，如电源、传感器和其他输入装置、数据总线和其他通信路径、执行装置和其他输出装置。

      注1：参见图1。

      注2：PE system可包括执行SIL要求和非SIL．要求的单元。SIL分级仅对于执行SIL．相关功能性要求的单元。

      说明：

      1——PE system的范围；

      2——输入接口（如A/D转换器）；

      3——输入装置（如传感器）；

      4——通讯；

      5——可编程电子装置（PEs）；

      6——输出接口（如D/A转换器）；

      7——输出装置/终端元件（如执行装置）。

      图中所示的可编程电子装置在中心位置，但是它可以存在于PE system的多个位置。

图1 基本 PE system 结构

3.4

      电梯安全相关的可编程电子系统 programmable electronic systems in safegy-related applications for lifts 

      PESSRAL

      基于软件的PE system在电梯安全相关系统中的应用。

3.5

      检验测试 proof test

      周期性测试，用以检测安全相关系统中危险的隐性失效，在必要时通过维修，把系统复原到“新的”状态或实际上接近这种状态。

      注1：在本部分中使用“检验测试”，但要注意到同义的术语“周期性测试”。

      注2：检验测试的有效性取决于失效覆盖和维修的有效性。在实践中除了简单E/E/PE安全相关系统外，100％的隐性失效的检测很难达到，这是个目标。至少所有要执行的安全功能按E/E/PE安全相关系统安全要求规范进行检查。如果使用多个独立的通道，则对每个通道分别进行检验测试。对于复杂的组件，需进行分析，以证明在E/E/PE安全相关系统整体生命周期内，未被检验测试所检测出的隐性危险失效的概率可忽略不计。

      注3：检验测试需要一定时间完成。在此时间内E/E/PE安全相关系统可能被部分或全部禁用。在测试过程中，仅当EUC已停机或E/E/PE安全相关系统被测试的部分仍能在要求动作时保持有效，检验测试持续时间可以忽略。

      注4：在检验测试期间，E/E/PE安全相关系统可能部分或全部不能响应动作要求。仅在修复过程中EUC停机或使用其他等效的风险措施来代替时，用于SIL计算的MTTR可以忽略。

3.6

      安全回路 safety chain

      所有安全装置的组合，完成电梯的一组或所有安全功能。

      注：参见图2。

以上为标准部分内容，如需看标准全文，请到相关授权网站购买标准正版。