特种设备安全技术规范TSG T7007-20152016附件Q含有电子元件的安全电路和可编程电子安全相关系统型式试验要求Q1 适用范围本附件适用于曳引与强制驱动电梯、液压驱动电梯、其它类型电梯、自动扶梯和自动人行道电气安全装置(功能)的含有电子元件的安全电路(以下简称“安全电路”)和可编程电子安全相关系统(以下简称“可编程系统”)的型式试验。Q2 引用标准(1)GB 75882003电梯制造与安装安全规范(含第1号修改单)； (2) GB 16899-2011自动扶梯和自动人行道制造与安装安全规范；(3)GB 212402007液压电梯制造与安装安全规范； (4)GB 251942010杂物电梯制造与安装安全规范；(54) GB 28526-2012机械电气安全 安全相关电气电子和可编程电子控制系统的功能安全； (65) GB/T 20438.1-2006电气/电子/可编程电子安全相关系统的功能安全 第1部分：一般要求；(7) GB/T 20438.2-2006电气/电子/可编程电子安全相关系统的功能安全 第2部分：电气/电子/可编程电子安全相关系统的要求；(86) GB/T 20438.3-2006电气/电子/可编程电子安全相关系统的功能安全 第3部分：软件要求； (97) GB/T 20438.4-2006GB/T 20438.4-2006 电气/电子/可编程电子安全相关系统的功能安全 第4部分：定义和缩略语；(10) GB/T 20438.5-2006电气/电子/可编程电子安全相关系统的功能安全 第5部分：确定安全完整性等级的方法示例； (11) GB/T 20438.6-2006电气/电子/可编程电子安全相关系统的功能安全 第6部分：GB/T 20438.2和GB/T 20438.3的应用指南；(128) GB/T 20438.7-2006电气/电子/可编程电子安全相关系统的功能安全 第7部分：技术和措施概述； (139) GB/T 24808-2009电磁兼容 电梯、自动扶梯和自动人行道的产品系列标准 抗扰度。Q3 名词术语本附件采用Q2引用标准和本节确定的术语：Q3.1 可编程电子安全相关系统用于安全应用的，基于可编程电子装置的用于控制、防护、监测的系统，包括系统中所有元素(例如：电源、传感器和其它其他输入装置，数据高速公路和其他通信途径，以及执行器和其他输出装置)。用于曳引与强制驱动电梯、液压驱动电梯、其它类型电梯的可编程电子安全相关系统简称PESSRAL。用于自动扶梯和自动人行道的可编程电子安全相关系统简称PESSRAE。Q4 主要参数和配置的适用原则Q4.1 主要参数变化和配置变化安全电路和可编程系统的型式试验无适用要求。注Q-1：对于已经取得型式试验合格证并在有效期内，安全电路和可编程系统的设计和制造发生变更或变化的情况，约请申请单位应书面告知原型式试验机构，并提供相关技术文件资料，由原型式试验机构决定型式试验报告和型式试验合格证的有效性。Q4.2 适用范围适用范围Q4.2.1安全电路适用的参数范围和配置见表Q-1。表Q-1 含有电子元件的安全电路产品适用参数范围和配置表产品用途电气安全装置(功能)种类和安全功能描述型号规格结构类型工作电压V污染等级工作条件Q4.2.2 可编程系统适用的参数范围和配置见表Q-2。表Q-2 可编程电子安全相关系统产品适用参数范围和配置表产品用途电气安全装置(功能)种类和安全功能描述对应安全功能的安全完整性等级型号规格结构类型工作电压V工作条件硬件版本软件版本系统说明Q5 技术文件资料要求与审查型式试验机构应当对约请申请单位按照本节要求提交的技术资料资料进行审查，确认是否符合本规则和相关标准的要求。Q5.1 技术资料要求Q5.1.1 合格证明及说明书(1)产品合格证(产品质量证明文件)； (2)对于安全电路，安装、调试、使用、维护说明书；(3)对于可编程系统，用户手册和安装调试维保手册。Q5.1.1.1出厂合格证明；对于安全电路，安装、调试、维护和使用说明；对于可编程系统，包括：(1)用户手册，用户手册包括产品介绍，使用条件、环境和寿命,对预期使用的限制, 输入输出规定，安全功能和安全状态； (2)安装调试维保手册，包括安装调试维保人员工作所需的信息，特别要求和/或预防措施，验证试验及例行保养的方法和周期、故障诊断和维修方法、恢复正常后的确认方法，报废与处理说明等。Q5.1.2 主要结构参数技术资料产品基本信息安全电路或可编程系统的名称和型号。(1)电路板的类别、型号、工作电压和工作条件；(2)电气/电子元件清单(包括输入元件或单元)；Q5.1.3 相关技术资料Q5.1.3.1安全电路除了产品基本信息以外，还应提供至少包括以下信息的技术文件和资料：(1)电路板的类别、型号、工作电压和工作条件；(21)电路板的布线图和布置说明(应说明工作原理、输入、输出定义，电气间隙、爬电距离等)；混合电路布线图和布置说明(应说明安全电路与其他控制电路的电气间隙，布线标志等)；(3)电气/电子元件清单(包括输入元件或单元)；(42)安全功能、运行模式和安全状态实现方式等详细描述；(53)故障(失效)模式、影响或诊断分析(FMEA或FMEDA)。Q5.1.3.2Q5.1.4 可编程系统除了产品基本信息以外，还应提供能够说明产品符合表Q-97“设计和实现过程通用措施”规定的管理文件、技术文件和相关资料：。Q5.1.3.2.1Q5.1.4.1 功能、环境和接口方面的应用评估；Q5.1.3.2.2Q5.1.4.2 安全管理文件资料，包括： (1)产品改动，复制和更新,以及版本编号等管理规范。 Q5.1.3.2.3Q5.1.4.3 安全要求规范(SRS)和检查规范；Q5.1.3.2.4Q5.1.4.4 设计开发文件资料，包括以下内容：(1)硬件、软件和系统结构设计和相互关系的详细描述；(2)电路板的类别、型号、工作电压和工作条件；(32)电路板的布线图和布置说明(应说明工作原理、输入、输出定义，电气间隙、爬电距离等)；混合电路布线图和布置说明(应说明安全电路与其他控制电路的电气间隙，布线标志等)；(4)电气/电子元件清单(包括输入元件或单元)；(53)故障(失效)模式、影响或诊断分析(FMEA或FMEDA)；(64)随机硬件失效引起的安全功能失效的概率(PFH)和子系统安全失效分数(SFF)分析和估算说明；(75)功能和程序流程描述的软件说明(包括字组、模块、数据、变量和接口描述)；(86)软件流程图和软件源代码；(97)编程软件的总体说明(例如编程规则，语言、编译器、模块)；(108)系统、硬件和软件的版本控制及其兼容性说明；(119)设计开发过程中相关工作记录。Q5.1.3.2.5Q5.1.4.5 检查、测试和确认文件资料，包括以下内容：(1)设计、开发的检查报告；(2)验证和确认计划；(3)测试规范和测试记录(包括硬件及故障插入、软件编码规则、软件动态单元、软件模块、系统集成)；(4)供应商制造单位的测试规范、测试报告和现场测试报告。Q5.1.5 其它必要资料型式试验机构与型式试验约请单位协商后，要求补充的其它必要资料。Q5.2 技术资料审查安全电路功能、运行模式和安全状态实现方式等详细描述和安全电路故障(失效)模式、影响或诊断分析(FMEA或FMEDA)技术文件和资料应完整，产品设计和实现符合要求。故障分析参考GB7588-2003 14.1.2.3安全电路的要求。可编程系统产品设计、实现阶段的技术文件和资料应该应当完整，产品设计和实现符合下列要求。Q5.2.1 可编程系统安全功能的安全完整性可编程系统安全功能的安全完整性等级(SIL)应该符合本规则附件G表G-3或本规则附件H表H-2中的规定。当本规则附件G表G-3或本规则附件H表H-2中规定的电气安全装置(功能)为保证安全而动作时，应防止驱动主机启动或立即使其停止运转，工作制动器的电源也应当被切断；当本规则附件H表H-2中规定的电气安全装置(功能)为保证安全而动作时，在按照GB 16899-2011 5.12.2.4重新启动之前，驱动主机应不能启动或立即停止，工作制动器的电源也应当被切断。安全功能的安全完整性包括系统安全完整性、硬件安全完整性和软件安全完整性。对用于实现不同安全功能的可编程系统，除非有充分证据显示这些安全功能的实现之间是充分独立的，否则硬件和软件应作为具有最高安全完整性等级的安全功能来对待，对最高安全完整性等级的要求适用于所有这些部分。 对于PESSRAL或PESSRAE既执行安全功能又执行非安全功能的情况，除非有充分证据表明这两部分是充分独立的(即非安全功能的失效不会引起安全功能的危险失效)，否则所有的软硬件都应该被视为与安全相关。 本规则附件G表G-3本规则附件H表H-2Q5.2.2 可编程系统硬件安全完整性的结构约束审查安全功能所声明的硬件最高安全完整性等级，包括：硬件故障裕度( HFT )和执行该安全功能的子系统的安全失效分数( SFF )。 PESSRAL或PESSRAE硬件子系统安全完整性的结构约束应该符合表Q-43的规定。表Q-4 3 硬件子系统安全完整性的结构约束安全失效分数( SFF )硬件故障裕度( HFT ) 012A类安全相关子系统的结构约束(见注Q-1)60%SIL1SIL2SIL360% - 90%SIL2SIL3未定义90% - 99%SIL3未定义未定义 99%SIL3未定义未定义B类安全相关子系统的结构约束(见注Q-2) 60% 不允许SIL1SIL260% - 90% SIL1SIL2SIL390% - 99% SIL2SIL3未定义 99% SIL3未定义未定义注Q-1：满足下列条件，其部件被要求达到安全功能的一个子系统可视为A类安全相关子系统：(1) 所有组成部件的失效模式都被很好地定义；并且(2) 故障状况下子系统的行为能够完全确定；并且(3) 通过现场经验获得充足而可靠的数据，可显示出满足所声明的检测到的和未检测到的危险失效的失效率。注Q-2：满足下列条件，其部件被要求达到安全功能的一个子系统可视为B类安全相关子系统：(1) 至少一个组成部件的失效模式未被很好地定义；或(2) 故障状况下子系统的行为不能完全确定；或(3) 通过现场经验获得的可靠的数据不够充分，不足以显示出满足所声明的检测到的和未检测到的危险失效的失效率。如果子系统中只要有一个组成部件满足B类的条件，那么这个子系统应被视为B类。注Q-2：满足下列条件，其部件被要求达到安全功能的一个子系统可视为A类安全相关子系统：(1) 所有组成部件的失效模式都被很好地定义；并且(2) 故障状况下子系统的行为能够完全确定；并且(3) 通过现场经验获得充足而可靠的数据，可显示出满足所声明的检测到的和未检测到的危险失效的失效率。注Q-23：满足下列条件，其部件被要求达到安全功能的一个子系统可视为B类安全相关子系统：(1) 至少一个组成