ICS 25.040 N 10
GB
中华人民共和国国家标准
GB/T 20438.1—2017/IEC 61508-1:2010
代替GB/T20438.1—2006
电气/电子/可编程电子安全相关系统的
功能安全　第1部分：一般要求
Functional safety of electrical/electronic/programmable electronic safety-related
systems-Part 1 : General requirements
（IEC61508-1:2010,IDT)
2018-07-01实施
2017-12-29发布
中华人民共和国国家质量监督检验检疫总局
中国国家标准化管理委员会 发布 GB/T20438.1—2017/IEC61508-1:2010
目 次
前言引言
m
范围 2 规范性引用文件
定义和缩略语与GB/T20438的符合性
3
5 文档
5.1 目的 5.2 要求 6 功能安全管理 6.1 目的 6.2 要求
整体安全生命周期的要求 7.1 概述 7.2 概念 7.3 整体范围确定· 7.4 危险与风险分析 7.5 整体安全要求 7.6 整体安全要求分配 7.7 整体运行和维护计划编制· 7.8 整体安全确认计划编制 7.9 整体安装和调试计划编制 7.10 E/E/PE系统安全要求规范 7.11 E/E/PE安全相关系统-实现 7.12 其他风险降低措施-规范和实现 7.13 整体安装和调试 7.14 整体安全确认 7.15 整体运行、维护和修理 7.16 整体修改和改型 7.17 退役或处置 7.18 验证 8功能安全评估
7
16 16 16 18 19 23 14
25 26 28 28
28 29 29 32 34 35
35 35 35
8.1 目的· 8.2要求附录A（资料性附录） 文档结构范例参考文献
39
44 GB/T20438.1—2017/IEC61508-1:2010
图1GB/T20438的整体框架图2整体安全生命周期· 图3 E/E/PE系统安全生命周期（实现阶段）图4 软件安全生命周期（实现阶段）图5整体安全生命周期与E/E/PE系统安全生命周期和软件安全生命周期之间的关系. .. 11 图6E/E/PE安全相关系统和其他风险降低措施的整体安全要求分配图
10
11
21
图7 运行和维护活动模型示例图8 运行和维护管理模型示例图9 修改规程模型示例图A.1 把信息构建成用户组的文档集
31
32
34
43
表1整体安全生命周期：概述表2安全完整性等级：在低要求运行模式下安全功能的目标失效量· 表3安全完整性等级：在高要求或连续运行模式下安全功能目标失效量：表4执行功能安全评估各方的最低独立等级[包括整体安全生命周期阶段1～8和
12
22
22
12～16（见图2）
38
表5进行功能安全评估各方的最低独立等级[整体安全生命周期阶段9和10，包括
E/E/PE系统安全生命周期、软件安全生命周期的所有阶段（见图2，图3和图4)］
38 10 40
表A.1与整体安全生命周期有关信息的文档结构示例表A.2与E/E/PE系统安全生命周期有关信息的文档结构示例表A.3与软件安全生命周期有关信息的文档结构示例
±1 GB/T20438.1—2017/IEC61508-1:2010
前言
GB/T20438《电气/电子/可编程电子安全相关系统的功能安全》分为七个部分：
第1部分：一般要求；第2部分：电气/电子/可编程电子安全相关系统的要求；
—第3部分：软件要求；一第4部分：定义和缩略语：一第5部分：确定安全完整性等级的方法示例；
第6部分：GB/T20438.2和GB/T20438.3的应用指南；第7部分：技术和措施概述
一
本部分为GB/T20438的第1部分本部分按照GB/T1.1一2009给出的规则起草。 本部分代替GB/T20438.1一2006《电气/电子/可编程电子安全相关系统的功能安全第1部分：
一般要求》，与GB/T20438.1一2006相比，主要技术变化如下：
增加了功能安全管理中，人员能力的要求（见第6章）；一增加了整体安全生命周期中，E/E/PE系统安全要求规范阶段（见7.10）；
修改了评估独立性的评价方法（见第8章）。 本部分使用翻译法等同采用IEC61508-1：2010《电气/电子/可编程电子安全相关系统的功能安全
第1部分：一般要求》。
本部分由中国机械工业联合会提出。 本部分由全国工业过程测量控制和自动化标准化技术委员会（SAC/TC124）归口。 本部分起草单位：机械工业仪器仪表综合技术经济研究所、北京国电智深控制技术有限公司、中国
安全生产科学研究院、上海工业自动化仪表研究院、杭州和利时自动化有限公司、欧姆龙自动化（中国）有限公司、西门子（中国）有限公司、上海中沪电子有限公司。
本部分主要起草人：冯晓升、熊文泽、潘钢、史学玲、吴宗之、罗安、周有铮、杨柳、方来华、李佳嘉、 李佳、郑威、张龙、王海清、孟邹清、梅豪。
本部分所代替标准的历次版本发布情况为：
GB/T20438.1—2006。
II GB/T20438.1—2017/IEC 61508-1:2010
引言
由电气和电子器件构成的系统，多年来在许多应用领域中执行其安全功能。以计算机为基础的系统（一般指可编程电子系统）在其应用领域中用于执行非安全功能，并且也越来越多地用于执行安全功能。如果要安全并有效地使用计算机技术，有关决策者在安全方面有充足的指导并据此做出决定是十分必要的。
GB/T20438针对由电气和/或电子和/或可编程电子（E/E/PE)组件构成的、用来执行安全功能的系统安全生命周期的所有活动，提出了一个通用的方法。采用统一的方法的目的是为了针对所有以电为基础的安全相关系统提出一种一致的、合理的技术方针。主要目标是促进基于GB/个20438系列标准的产品和应用领域国家标准的制定，
注1：在参考文献中给出了基于GB/T20438系列标准的产品和应用领域标准的例子（见参考文献[1]，[2]，[3])。 在许多情况下，可用多种基于不同技术（如机械的、液压的、气动的、电气的、电子的、可编程电子的
等)的系统来保证安全。因而必须考虑各类安全策略，不仅要考虑单个系统中的所有组件的问题（如传感器、控制器、执行器等），还要考虑不同安全相关系统组合后的问题。因此当GB/T20438在关注电气/电子/可编程电子（E/E/PE)安全相关系统的同时，也提供了一个框架，在这个框架内，基于其他技术的安全相关系统也可被考虑进去。
在各种应用领域里，存在着许多潜在的危险和风险，包含的复杂性也各不相同，从而需应用不同的 E/E/PE安全相关系统。对每个特定的应用，将根据特定应用的许多因素来确定所需的安全措施。 GB/T20438作为基本原则可在未来的产品和应用领域国家标准制定和已有标准的修订中规范这些措施。
GB/T 20438
考虑了当使用E/E/PE系统执行安全功能时，所涉及的整体安全生命周期、E/E/PE系统安全生命周期以及软件安全生命周期的各阶段（如初始概念、整体设计、实现、运行和维护到退役）；针对飞速发展的技术，建立一个足够健壮而广泛的能满足今后发展需要的框架；
-
一使涉及E/E/PE安全相关系统的产品和应用领域的国家标准得以制定；在GB/T20438的框
架下，产品和应用领域的国家标准的制定在应用领域和交叉应用领域宜具有高度一致性（如基本原理，术语等）；这将既具有安全性又具有经济效益；为实现E/E/PE安全相关系统所需的功能安全，提供了编制安全要求规范的方法；
一采用了一种可确定安全完整性要求的基于风险的方法；
引入安全完整性等级，用于规定E/E/PE安全相关系统所要执行的安全功能的目标安全完整
-
性等级；注2：GB/T20438没有规定每个安全功能的安全完整性等级的要求，也没有规定如何确定安全完整性等级。而是
提供了一种基于风险概念的框架和技术范例。 建立了E/E/PE安全相关系统执行安全功能的目标失效量，这些量都同安全完整性等级相联系；建立了单一E/E/PE安全相关系统执行安全功能时，目标失效量的一个下限值。这些E/E/PE 安全相关系统运行在：
低要求运行模式下，下限设定成要求时危险失效平均概率为10-5；高要求运行模式或者连续运行模式下，下限设定成危险失效平均频率为10-°/h。
注3：单一E/E/PE安全相关系统不一定是单通道架构注4：对于非复杂系统，通过安全相关系统的设计实现更优目标安全完整性是可能的。但对于相对复杂的系统（例
如可编程电子安全相关系统），这些限值代表了目前能够达到的水平。
IV GB/T 20438.1—2017/IEC 61508-1:2010
一基于工业实践中获取的经验和判断，设定了避免和控制系统性故障的要求。即使发生系统性故障的可能性一般不能量化，但GB/T20438允许为一个特定的安全功能做出声明，即如果标准中的所有要求都满足，认为与安全功能相关的目标失效量已达到；
一引入了系统性能力，该能力表明一个组件为满足规定的安全完整性等级要求时，系统性安全完
整性的置信度；一采用多种原理、技术和措施以实现E/E/PE安全相关系统的功能安全，但没有明确地使用失
效-安全的概念。然而，如果能够满足标准中相关条款的要求，则“失效-安全”的概念和“本质安全”原则可能被应用，并且采用这些概念是可接受的。
>