導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

過(guò)程工業(yè)控制系統(tǒng)及其軟件的功能安全

文檔作者：彭瑜文檔來(lái)源：上海工業(yè)自動(dòng)化儀表研究院		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年06月06日
下載地址：點(diǎn)擊這里	文件大小： 702.64 KB 共8頁(yè)	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共8頁(yè)]

本文件共8頁(yè)，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問(wèn)題，下載是正常的。

	文件大?。?02.64 KB 共8頁(yè) 文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：工業(yè)控制系統(tǒng)信息安全研究綜述

上一篇：工業(yè)控制軟件功能安全的實(shí)現(xiàn)方法和評(píng)估

文本預(yù)覽

僅提取頁(yè)面文字內(nèi)容，供快速閱讀使用。

專冢分析
彭瑜， 男， 中國(guó)自動(dòng)化學(xué)會(huì)理事，
中國(guó)自動(dòng)化學(xué)會(huì)儀表和裝置專業(yè)委
員會(huì)常務(wù)委員， 中國(guó)自動(dòng)化學(xué)會(huì)專
家咨詢委員會(huì)委員，上海市自動(dòng)化
學(xué)會(huì)常務(wù)理事，中國(guó)儀器儀表學(xué)會(huì)
專家委員會(huì)委員，PLCopen國(guó)際組織
中國(guó)委員會(huì)主席。長(zhǎng)期從事現(xiàn)場(chǎng)設(shè)
備的無(wú)線通信等方面的研究。
從實(shí)現(xiàn)過(guò)程功能安全要求的基本規(guī)范IEC 61511所給出過(guò)程工
業(yè)中工廠安全保護(hù)防災(zāi)結(jié)構(gòu)體系(見(jiàn)圖1)，可以清晰地看出安全
儀表控制系統(tǒng)SIS是過(guò)程工業(yè)預(yù)防災(zāi)害和減災(zāi)的兩個(gè)重要環(huán)節(jié)，確
保安全儀表系統(tǒng)的功能安全則是預(yù)防和減災(zāi)的一種基礎(chǔ)保證。本
文希望從功能安全的基本概念出發(fā)討論怎么才能切實(shí)實(shí)現(xiàn)控制系
統(tǒng)的概念安全。
4 0
圖1工廠安全保護(hù)防災(zāi)結(jié)構(gòu)體系
自動(dòng)化博覽2010年12~-]：lJ
上海工業(yè)自動(dòng)化儀表研究院彭瑜
l 控制系統(tǒng)功能安全的國(guó)際標(biāo)準(zhǔn)
IEC 61508／GB 20438《電子／電氣／可編程電子安全相關(guān)系統(tǒng)的
功能安全》是一個(gè)宏標(biāo)準(zhǔn)，規(guī)范了滿足安全相關(guān)系統(tǒng)功能安全的
基本要求和規(guī)則。通過(guò)應(yīng)用嚴(yán)格的系統(tǒng)性的過(guò)程，以可追溯性、
關(guān)鍵性分析、驗(yàn)證(vermcation)和確認(rèn)(validation)的程序?yàn)橹攸c(diǎn)，
來(lái)評(píng)估是否滿足功能安全的標(biāo)準(zhǔn)要求。IEC6 l 508標(biāo)準(zhǔn)的一個(gè)重
要突破就是制訂了一整套完整的開(kāi)發(fā)程序和一系列的技術(shù)措施，
通過(guò)嚴(yán)格的質(zhì)量管理與全生命周期的程序控制，達(dá)到實(shí)現(xiàn)避免故
障、排除故障及一定程度上容許故障的目的。
IEC 61508共有8個(gè)部分，即：
· IEC 61508—0：功能安全SHIEC 61508；
· IEC 61508—1：一般要求；
· IEC 61508—2：電氣／電子／可編程電子安全相關(guān)系統(tǒng)的要
求；
· IEC 61508—3：軟件要求；
· IEC 61508—4：定義和縮略語(yǔ)；
· IEC 61508—5：確定安全完整性等級(jí)的方法示例；
· IEC 61508—6：IEC 61508—2~nIEC 61508—3的應(yīng)用指南；
· IEC 61508—7：技術(shù)和措施概述。
在不同應(yīng)用領(lǐng)域更細(xì)化和具體實(shí)現(xiàn)功能安全，又開(kāi)發(fā)了進(jìn)一
步的規(guī)范，如：
· 實(shí)現(xiàn)機(jī)械功能安全要求的基本規(guī)范IEC 62061；
· 實(shí)現(xiàn)過(guò)程功能安全要求的基本規(guī)范IEC 61511；
· 實(shí)現(xiàn)核電功能安全要求的基本規(guī)范IEC 61513；
· 實(shí)現(xiàn)醫(yī)療設(shè)備的功能安全要求的基本規(guī)范IEC 60601；
· 實(shí)現(xiàn)鐵道運(yùn)輸安全的規(guī)范EN 50128；
2 控制系統(tǒng)功能安全的基本概念
安全系統(tǒng)的關(guān)鍵性分多個(gè)層次：
· 安全關(guān)鍵(safety—critica1)系統(tǒng)：?jiǎn)蝹€(gè)缺陷或失效會(huì)造成危
險(xiǎn)的故障，如核電站原子反應(yīng)堆的停堆系統(tǒng)。
· 安全相關(guān)(safety—relevant)系統(tǒng)：?jiǎn)蝹€(gè)缺陷或失效與第二
個(gè)缺陷或失效會(huì)造成危險(xiǎn)的故障，如石化行業(yè)的安全儀表系統(tǒng)。
· 非安全相關(guān)(interference—free)系統(tǒng)：即使多個(gè)缺陷或失
效也不致造成危險(xiǎn)的故障。
對(duì)安全要求最高的安全關(guān)鍵系統(tǒng)，必然為實(shí)現(xiàn)其安全要求而
最耗費(fèi)時(shí)間、成本最高，認(rèn)證的過(guò)程和程序最復(fù)雜。對(duì)安全的要
求相對(duì)較低的安全相關(guān)系統(tǒng)，以及對(duì)安全要求更低的非安全相關(guān)
系統(tǒng)，相應(yīng)在時(shí)間、成本和認(rèn)證所耗費(fèi)的努力逐級(jí)遞減。
在IEC 61 508的標(biāo)準(zhǔn)中，對(duì)石化和化工行業(yè)廣泛應(yīng)用的安全
相關(guān)系統(tǒng)有著嚴(yán)格的定義和要求：
· 必須在受控裝置Eucll~近風(fēng)險(xiǎn)或危險(xiǎn)狀態(tài)情況下，能執(zhí)
行所要求的安全功能，使EUC達(dá)到或保持安全狀態(tài)；
· 依靠安全相關(guān)系統(tǒng)本身，或與其它E／E／PE安全相關(guān)系
統(tǒng)、其它技術(shù)的安全相關(guān)系統(tǒng)或外部風(fēng)險(xiǎn)降低設(shè)施共同作用，達(dá)
到所要求的安全功能必需的安全完整性。例如圖2所示的一個(gè)化工
廠常見(jiàn)的加熱攪拌系統(tǒng)，除了用圓圈標(biāo)出的是一個(gè)安全儀表系統(tǒng)
(SIS)而外，安全閥就是使用機(jī)械保護(hù)的安全系統(tǒng)，它們配合使
用達(dá)到必需的安全完整性。
這將安全相關(guān)系統(tǒng)在工廠預(yù)防和減災(zāi)中的作用明確規(guī)定如
下：首先，由安全相關(guān)系統(tǒng)與外部風(fēng)險(xiǎn)降低設(shè)施共同作用，使受
控設(shè)備達(dá)到必要的風(fēng)險(xiǎn)降低量，以滿足所要求的允許風(fēng)險(xiǎn)。其
次，安全相關(guān)系統(tǒng)是在接受命令時(shí)，采取適當(dāng)?shù)捻樞騽?dòng)作防止
EUC進(jìn)入危險(xiǎn)狀態(tài)。一旦安全相關(guān)系統(tǒng)失效，也屬于導(dǎo)致危險(xiǎn)或
危害的事件。第三，即使還有其他的具備安全功能的系統(tǒng)，但所
指定的安全相關(guān)系統(tǒng)僅靠其本身的能力(而非其他系統(tǒng))就能達(dá)
到所要求的允許風(fēng)險(xiǎn)。第四，安全相關(guān)系統(tǒng)一般分為安全控制系
統(tǒng)和安全防護(hù)系統(tǒng)，并且具有兩種操作模式。
從安全相關(guān)系統(tǒng)的構(gòu)成來(lái)看， 它可以是EUC控制系統(tǒng)的一個(gè)
組成部分，也可用傳感器和／或執(zhí)行器與EUC接口，即可通過(guò)實(shí)現(xiàn)
EUC控制系統(tǒng)中的安全功能(也可能通過(guò)分開(kāi)的和獨(dú)立的附加系
統(tǒng))達(dá)到要求的安全完整性等級(jí)，或者利用分離的、獨(dú)立、專門
的安全相關(guān)系統(tǒng)實(shí)現(xiàn)安全功能。
這就明確告訴我們，安全相關(guān)系統(tǒng)的功能可能包括：用于防
止危險(xiǎn)事件發(fā)生，即安全相關(guān)系統(tǒng)一旦執(zhí)行其安全功能，則不致
發(fā)生有危險(xiǎn)事件；用來(lái)減輕危險(xiǎn)事件的影響， 即通過(guò)減輕后果降
低風(fēng)險(xiǎn)?；蛘咄瑫r(shí)具有上述的組合功能。
人也可作為安全相關(guān)系統(tǒng)的一部分，例如，人可以接收來(lái)自
可編程電子裝置的信息，岸通過(guò)該裝置按接收信息要求執(zhí)行安全
動(dòng)作。
安全相關(guān)系統(tǒng)包括執(zhí)行安全功能所需的全部硬件、軟件以及
支持服務(wù)(如電源、傳感器和其它輸入裝置、執(zhí)行器和其它輸出
裝置也包括任安全相關(guān)系統(tǒng)中)。
安全相關(guān)系統(tǒng)的技術(shù)基礎(chǔ)范圍可以十分廣泛，包括電氣、電
子、可編程電子、液壓和氣動(dòng)等。
圖2 SIS~n安全閥配合使用的化工加熱攪拌系統(tǒng)的P&amp;amp;ID
由于在工廠安全保護(hù)防災(zāi)的體系結(jié)構(gòu)中對(duì)不同的裝置、系
統(tǒng)，甚至系統(tǒng)內(nèi)的各個(gè)子系統(tǒng)或部件的安全要求常常有很大差
異，因此，1EC61508標(biāo)準(zhǔn)允許對(duì)一個(gè)系統(tǒng)的子系統(tǒng)和部件進(jìn)行獨(dú)
立的評(píng)估。所以，我們?cè)谡務(wù)摴δ馨踩珪r(shí)要嚴(yán)格區(qū)分所指的對(duì)象
是系統(tǒng)，還是構(gòu)成系統(tǒng)的部件或子系統(tǒng)。
3 控制系統(tǒng)的安全完整性及其等級(jí)
安全完整性是指在規(guī)定的條件下、規(guī)定的時(shí)間內(nèi)，安全相關(guān)
系統(tǒng)成功地實(shí)現(xiàn)所要求的安全功能的概率。眾所周知，控制系統(tǒng)
由構(gòu)成其系統(tǒng)的各種硬件(控制系統(tǒng)裝置、現(xiàn)場(chǎng)儀表、通信網(wǎng)絡(luò)
等等)以及執(zhí)行控制要求和功能的軟件綜合而成，因此控制系統(tǒng)
的安全完整性由硬件的安全完整性和系統(tǒng)的安全完整性組成。硬
件安全完整性是在危險(xiǎn)失效模式中對(duì)應(yīng)于安全相關(guān)系統(tǒng)安全完整
性的硬件隨機(jī)失效的那一部分，一般可以通過(guò)所要求的硬件安全
功能失效率予以量化；而系統(tǒng)安全完整性則是指在危險(xiǎn)失效模式
中對(duì)應(yīng)于安全相關(guān)系統(tǒng)安全完整性的系統(tǒng)失效的部分(包括軟件
失效)?？刂剖c避免失效涉及設(shè)計(jì)、操作模式等諸多環(huán)節(jié)。
顯然，硬件隨機(jī)失效和系統(tǒng)失效的機(jī)制不同，控制失效的方法也
不同(見(jiàn)圖3)。
可以通過(guò)改變?cè)O(shè)計(jì)、生產(chǎn)過(guò)程、揉作
模式、操作指令或其他影響因子，
來(lái)消除原因確定的失效，
避免失效
控制失效
圖3 控制系統(tǒng)失效機(jī)理
估算由于隨機(jī)硬
件失效造成的每
個(gè)安全功能的失
效概率
2010．~12月刊自動(dòng)l匕博覽 4 1
專家分析
在安全相關(guān)系統(tǒng)中，安全完整性的要求用4個(gè)離散的等級(jí)予
以劃分，H~SIL4，SIL3，SIL2~SIL1。安全完整性的等級(jí)越高的
安全相關(guān)系統(tǒng)，其執(zhí)行所要求的安全功能的概率也越高。
根據(jù)安全相關(guān)系統(tǒng)的使用方式、所要求發(fā)生的頻率，可分
為低要求操作模式和高要求(或連續(xù))操作模式。低要求操作
模式對(duì)應(yīng)于每年發(fā)生風(fēng)險(xiǎn)的次數(shù)多于等于1次的安全相關(guān)系統(tǒng)；
高要求(或連續(xù))操作模式對(duì)應(yīng)于每年發(fā)生風(fēng)險(xiǎn)的次數(shù)少于1
次的安全相關(guān)系統(tǒng)。表1是IEC 61 5081／GB／T 20438規(guī)定的低要
求操作模式下的安全完整性的目標(biāo)失效概率和目標(biāo)風(fēng)險(xiǎn)降低因
子，表2是高要求(或連續(xù))操作模式的安全完整性的目標(biāo)失效
概率。
SIL3被認(rèn)為是單個(gè)可編程系統(tǒng)中可達(dá)到的風(fēng)險(xiǎn)降低的最高等
級(jí)。
表1低要求操作模式下的安全完整性的目標(biāo)失效概率和
目標(biāo)風(fēng)險(xiǎn)降低因子
安全完整性等級(jí) 目標(biāo)平均失效概率 目標(biāo)風(fēng)險(xiǎn)降低因子
(SIL)
4 >10～一<10。 >10000— 100000
3 10。一<10一 >1000一 10000
2 l0一一<10’ >100——~1000
1 蘭10～一<10一 >l0一Sl00
表2 高要求(或連續(xù))操作模式的安全完整性的
目標(biāo)失效概率(每小時(shí))
安全完整性等級(jí) 目標(biāo)平均失效概率 平均發(fā)生1次失效的
(SIL) (每小時(shí)) 年數(shù)
4 1O 一<10。 l1400～ 114000
3 >10一一<10 1140一l1400
2 >10～一<10一 l14— 1140
l >10一一<10。 11．4一l14
4 安全系統(tǒng)的多樣性(diversity)原則
安全系統(tǒng)可以采取多樣性原則克服可能發(fā)生的故障，或設(shè)計(jì)
分析中存在的不確定性。多樣性是指用不同方法執(zhí)行所要求同一
功能。例如：可用不同的物理方法或不同的設(shè)計(jì)途徑來(lái)達(dá)到多樣
性。
多樣性分為：① 信號(hào)多樣性；② 功能多樣性；③ 設(shè)備多樣
性；④ 軟件多樣性(如指令運(yùn)算的多樣性) ；⑤ 人員多樣性等
等。其中較為常用和有效的是信號(hào)多樣性和功能多樣性。
對(duì)所采用的多樣性措施是否適當(dāng)應(yīng)加以論證。為了保證能切
實(shí)執(zhí)行多樣性，對(duì)設(shè)備的多樣性或儀表控制系統(tǒng)的軟件多樣性所
進(jìn)行的論證，必須擴(kuò)展到這些設(shè)備的硬件、軟件部件，如實(shí)時(shí)操
作系統(tǒng)RTOS。
圖4是s7—400F運(yùn)用指令運(yùn)算的多樣性和時(shí)間冗余來(lái)提高安
全功能的可靠性。操作數(shù)A、B在CPU1進(jìn)行“與”運(yùn)算，結(jié)果
4 2 自勛化搏筧2010年12月刊
為C； A、B經(jīng)過(guò)編碼變成字A、B，在CPU2中做“或”運(yùn)算，
結(jié)果為D=／C。在比較器中進(jìn)行比較運(yùn)算，僅當(dāng)D≠／C時(shí)輸出停
機(jī)信號(hào)。
Time redundancy Time
圖4 運(yùn)用指令運(yùn)算的多樣性和時(shí)間冗余來(lái)提高安全功能的可靠性
再如某核電站的緊急停堆系統(tǒng)由兩個(gè)完全獨(dú)立的系統(tǒng)構(gòu)成。
其安全控制系統(tǒng)由不同的供應(yīng)商提供。一個(gè)停堆控制系統(tǒng)采用安
全PLC系統(tǒng)，由3個(gè)獨(dú)立的3機(jī)冗余表決的分系統(tǒng)(D、E、F)組
成(見(jiàn)圖5)。每個(gè)分系統(tǒng)都具備停堆功能，但其停堆輸出還要
送給3取2的繼電器硬邏輯進(jìn)行表決，最終給出停堆信號(hào)。該安全
PLC系統(tǒng)硬件平臺(tái)配有操作系統(tǒng)，運(yùn)用符合工業(yè)控制編程語(yǔ)言的
國(guó)際標(biāo)準(zhǔn)IEC 61131-3所規(guī)范的功能塊圖語(yǔ)言(FBD)編制應(yīng)用軟
件。這套停堆控制系統(tǒng)采用了綜合法(Integrated Approach)設(shè)
計(jì)。
值得注意的是，為了實(shí)現(xiàn)安全系統(tǒng)的機(jī)理多樣性，還設(shè)置
了另一套完全不同機(jī)理的停堆系統(tǒng)，通過(guò)將有害的中子吸收劑
(poison)注入反應(yīng)堆中的慢化劑(moderator)的方法進(jìn)行停堆
控制。這一停堆控制系統(tǒng)采用沒(méi)有操作系統(tǒng)的工控機(jī)硬件平臺(tái)，
安全控制軟件運(yùn)用高安全的具有子集的MODULA一2語(yǔ)言編寫。這
一套系統(tǒng)使用的是另一種設(shè)計(jì)方法一合理設(shè)計(jì)流程法(rational
design process)，用確定離子室記錄的功率信號(hào)的合理性來(lái)檢查
異常差錯(cuò)信息。由此可見(jiàn)，在要求極高的安全關(guān)鍵系統(tǒng)中充分運(yùn)
用了多樣性的原則，有：機(jī)理的多樣性、設(shè)計(jì)方法的多樣性 設(shè)
備的多樣性、編程語(yǔ)言的多樣性，這樣就從系統(tǒng)的層面上把同時(shí)
發(fā)生差錯(cuò)的概率降至盡可能的小。
通道E
通道F
— — — — — — — — —
I
f藤
圖5 采用3套3機(jī)冗余表決的安全PLC系統(tǒng)構(gòu)成的停堆控制系統(tǒng)
5 重視處理假事件
各種安全系統(tǒng)(包括緊急停車系統(tǒng)ESD)如果對(duì)假事件作
出響應(yīng)，造成非計(jì)劃停車，不但要付出高昂代價(jià)，而且在大多數(shù)
信停 參Ir¨ L- 一瑟
或 j 一巫襲= 蕃
情況下具有危險(xiǎn)性。大量的假報(bào)警還會(huì)導(dǎo)致操作人員產(chǎn)生矛盾心
理，以至于對(duì)危險(xiǎn)的真報(bào)警都不予理會(huì)，或者反映很慢。
產(chǎn)生假事件的原因： ① 現(xiàn)場(chǎng)設(shè)備的硬件故障，如壓力開(kāi)
關(guān)、電磁閥的線圈或常閉觸點(diǎn)存在高電阻，PLC的I／O模塊有
故障，現(xiàn)場(chǎng)設(shè)備中電子器件有故障，熱電偶斷偶，熱電阻斷線
等，這些明顯的設(shè)備故障都會(huì)引發(fā)假事件。② 一些公用故障如
電源、氣源故障也會(huì)引發(fā)假事件。③ 缺乏維護(hù)，不及時(shí)對(duì)工作
有缺陷的儀表、傳感器進(jìn)行測(cè)試、校驗(yàn)，是引發(fā)假事件的重要
原因。
下面討論信號(hào)多樣性問(wèn)題?？匆粋€(gè)用3個(gè)浮球液位開(kāi)關(guān)測(cè)量
液位的簡(jiǎn)單例子(圖6)。我們可以有4種配置。采用單信號(hào)、雙
信號(hào)還是三信號(hào)更有利于安全和可靠的平衡呢?概括地說(shuō)：采用
單機(jī)(單信號(hào))系統(tǒng)不安全且不可靠，在故障安全(假事件)或
危險(xiǎn)方面存在50／50的概率；采用雙機(jī)(雙信號(hào))系統(tǒng)配置為二
取一(1002)，可能較安全，但存在高的假故障率；雙機(jī)(雙信
號(hào))系統(tǒng)配置為二取二(2002)， 由假事件引起的故障率較低，
但安全性差；三機(jī)(三信號(hào))冗余系統(tǒng)為三取二(2003)，提供
可以接受的安全與可靠的平衡。
■
—
— #—-一——— —f r 1一珊一一
— — O ) 一
2oo3
三取二
圖6 用3個(gè)浮球液位開(kāi)關(guān)測(cè)量液位可能的配置
顯然，sIS／ESD不能選擇單機(jī)(單信號(hào))系統(tǒng)。選用雙機(jī)
(雙信號(hào))系統(tǒng)，在一定程度上可達(dá)到安全和可用性。二取一
(1002)安全性較好，但可靠性及假事件的影響大；二取二
(2002)可靠性較好，安全性卻較差。即使雙機(jī)(雙信號(hào))系統(tǒng)
具有很好的自診斷性能，可以確定采用哪個(gè)通道或處理器故障，
將壞的通道或處理器剔除，但這時(shí)雙機(jī)系統(tǒng)降格為單機(jī)系統(tǒng)。三
取二(2003)獨(dú)特的優(yōu)點(diǎn)是不考慮哪個(gè)通道發(fā)生故障，是怎么發(fā)
生故障的；也不完全依靠自診斷來(lái)確定哪個(gè)通道投用。其亮點(diǎn)在
于它僅要求所接收到的信息。三取二表明，若有一個(gè)信號(hào)不同于
另外兩個(gè)信號(hào)，立即報(bào)警，而這兩個(gè)信號(hào)相同的通道處于安全工
作狀態(tài)。
從圖6所示的例子可知，如果流程要求用于液位測(cè)量的儀表
每年只能發(fā)生1次故障，而且每半年對(duì)浮球開(kāi)關(guān)進(jìn)行一次維護(hù)測(cè)
試，那么對(duì)于不同的浮球液位開(kāi)關(guān)配置，因故障造成危險(xiǎn)的年概
率如表3所示。
表3 浮球液位開(kāi)關(guān)不同配置的因故障造成危險(xiǎn)的概率
儀表信號(hào)配置 故障危險(xiǎn)概率 假事件故障概率 故障危險(xiǎn)概率
(每半年維修1次)
1ool 1／10 1／10 1／2O
1002 1／100 1／5 1／1600
2002 1／5 1／100 l／20
2003 1／33 1／33 1／534
f] 軟件的可靠性難以精確量化
軟件可靠性的基本問(wèn)題是：① 軟件不受物理故障的影響。隨
著硬件元器件的可靠性越來(lái)越高，并可以采用冗余技術(shù)，因而安
全問(wèn)題的矛盾集中到了軟件，以至于今天我們看到大多數(shù)的系統(tǒng)
失效源自軟件。失效常常由于一些非明顯的事件組合造成，而不
是由于機(jī)械應(yīng)力超過(guò)一定程度造成。而這些非明顯因素往往事先
沒(méi)有估計(jì)到，所以在軟件的編制中考慮不到。② 軟件是由人來(lái)設(shè)
計(jì)的，軟件的設(shè)計(jì)不可能面面俱到，總有些因素在設(shè)計(jì)時(shí)沒(méi)有考
慮到，因此，設(shè)計(jì)的缺陷導(dǎo)致軟件的故障。③ 數(shù)字系統(tǒng)本質(zhì)上是
非連續(xù)的，所以輸入對(duì)輸出的映射一定是不連續(xù)的。④ 軟件建立
在模型化和測(cè)試的基礎(chǔ)上，這些工作都是人在做的。人難免犯錯(cuò)
誤，所以影響軟件的可信度。
因?yàn)橐陨线@些不可避免的問(wèn)題，可以得出軟件的可靠性難
以精確量化的結(jié)論。另外，從趨勢(shì)上講，軟件和人為因素導(dǎo)致失
效、事故和停機(jī)的比例越來(lái)越高。因?yàn)楝F(xiàn)在對(duì)軟件的依賴越來(lái)越
高，軟件變得越來(lái)越復(fù)雜，因而難以控制。人犯錯(cuò)誤不可避免。
硬件失效可能是系統(tǒng)失效的原因，系統(tǒng)的失效會(huì)引起軟件的失
效。有鑒于此，要保證工業(yè)控制軟件的功能安全就不得不依賴于
對(duì)軟件進(jìn)行嚴(yán)格的驗(yàn)證和確認(rèn)。
7 工業(yè)控制軟件的功能安全概念和方法
IEC 61508—1規(guī)定了整體安全生命周期的16個(gè)階段，包括：概
念，整體范圍定義，危險(xiǎn)和風(fēng)險(xiǎn)分析，整體安全要求，安全要求分
配，整體操作和維護(hù)計(jì)劃編制，整體安全確認(rèn)計(jì)劃編制，整體安裝
和試運(yùn)行計(jì)劃編制，E／E／PE安全相關(guān)系統(tǒng)：實(shí)現(xiàn)，其他技術(shù)安全相
關(guān)系統(tǒng)：實(shí)現(xiàn)，外部風(fēng)險(xiǎn)降低設(shè)施：實(shí)現(xiàn)，整體安裝和試運(yùn)行，
整體安全確認(rèn)，整體操作維護(hù)和修理，整體修改和改型，停用及處
理。與軟件相關(guān)的是第9階段“E／E／PE安全相關(guān)系統(tǒng)：實(shí)現(xiàn)”
在IEC61508—3中詳細(xì)地規(guī)定了執(zhí)行安全功能的軟件如何滿足
功能安全的要求。它規(guī)范的工控軟件的功能安全問(wèn)題包括以下方
面：軟件質(zhì)量管理系統(tǒng)，軟件安全生命周期要求，軟件功能安全
評(píng)估。它給出的是在軟件的安全生命周期的各個(gè)階段應(yīng)該滿足什
么要求，以及如何來(lái)驗(yàn)證工控軟件達(dá)到了功能安全的標(biāo)準(zhǔn)。IEC
61 508—3的突出貢獻(xiàn)在于制訂了一整套完整的開(kāi)發(fā)程序和一系列
技術(shù)措施，通過(guò)嚴(yán)格的質(zhì)量管理與全生命周期的控制程序，實(shí)現(xiàn)
避免故障、檢測(cè)故障和排除故障，以及容許存在故障，從而保證
201O年12Pl~~l 自動(dòng)化博覽 4 3
二
⑨
～
A ～ B AB

類和編排：頂級(jí)屬性、中間屬性和基本屬性，如圖9所示。
麟
I
l l l
一《 謄囊囊嘲瑚 眭毒點(diǎn)量
I《鋤 攔鰱罐脯‘ 辯?鍵懿 瓣 雕醣蹙贛舞性， 攘 縫 I(掘 。對(duì)庠孵蘑獯薯lI譙》
I
箍虢毫性
《煎lt 旃森轡憋分配的最甜、化)
I
《 語(yǔ)謄專囂桀l戤
(知 特蹙軟肋韻愛(ài)咖化)
圖9 軟件安全的三級(jí)架構(gòu)屬性
軟件的可靠性屬性是在所規(guī)定的條件下軟件的可預(yù)測(cè)、且恒
定一致的性能。由于軟件的可靠性屬性旨在減少在軟件開(kāi)發(fā)實(shí)現(xiàn)
期間可能被導(dǎo)入源代碼而造成誤操作的故障，所以此頂級(jí)屬性對(duì)
安全來(lái)說(shuō)是很重要的。
軟件的魯棒性是在異常條件或事件下，安全系統(tǒng)的軟件以一
種可接受的方式進(jìn)行操作的能力。由于它加強(qiáng)了軟件處理例外情
況、從內(nèi)部故障中恢復(fù)，以及阻止因異常環(huán)境而致使故障傳播的
能力，因此此頂級(jí)屬性也很重要。
軟件的可追溯性表現(xiàn)為：① 對(duì)源代碼和所引用的程序庫(kù)部件
的源頭進(jìn)行檢查和識(shí)別；② 通過(guò)對(duì)開(kāi)發(fā)過(guò)程的可行性進(jìn)行檢查，
來(lái)驗(yàn)證已執(zhí)行的代碼在其開(kāi)發(fā)過(guò)程中是否按規(guī)范的方法完成其實(shí)
現(xiàn)；③ 審視代碼與高一級(jí)的設(shè)計(jì)文檔相關(guān)聯(lián)的能力。此屬性之所
以重要是因?yàn)檫@將便于對(duì)軟件進(jìn)行驗(yàn)證和認(rèn)證(V&amp;amp;V)，這是軟
件質(zhì)量保證的另一方面。
軟件的可維護(hù)性是在軟件交付使用后若需對(duì)源代碼做改動(dòng)
時(shí)，導(dǎo)致將故障引入的可能性減少的必要手段。此屬性之所以對(duì)安
全來(lái)說(shuō)很重要，是因?yàn)樵趯?duì)軟件進(jìn)是因?yàn)樵趯?duì)軟件進(jìn)行適應(yīng)、校正
或完善期間可以盡量減少可能發(fā)生的誤操作的故障。
根據(jù)IEEE所給出的規(guī)定，軟件可靠性是在軟件編制、調(diào)試和
執(zhí)行運(yùn)行全過(guò)程的環(huán)境下，既可以是在所定義的時(shí)間間隔內(nèi)和所定
義的條件下成功執(zhí)行的幾率，也可以是按照命令成功操作的幾率。
軟件執(zhí)行完成是其對(duì)于系統(tǒng)存貯器和程序邏輯恰當(dāng)行為的結(jié)果。這
0 移
J
I l I
霄貯窯瞎 用的 蓖曩I性I l 控利流雕霹蕷赫性 Il l 時(shí) 擎的簿擷潮瞧
l I l l
一結(jié)構(gòu)最大化
一控制流復(fù)雜性的最小化I
一變量的初始化 L 盡可能少用任壘
一子程序的進(jìn)入點(diǎn)和}J_；l=_】譴用
點(diǎn)只有一個(gè)
一不用賦值語(yǔ)句
一界面歧義齲小化
一采用數(shù)據(jù)鍵入
一準(zhǔn)確度、耪度進(jìn)行記錄
一捧定優(yōu)先綴
一避免執(zhí){}子程序產(chǎn)生的
狀態(tài)變化
一將求值與賦值瞞開(kāi)
一動(dòng)態(tài)綁定最小化
一
- - ●
圖10 可靠性的中間屬性
意味著軟件所產(chǎn)生的適時(shí)輸出是編程人員對(duì)所使用的語(yǔ)言結(jié)構(gòu)和運(yùn)
行期間環(huán)境特性理解的函數(shù)。因此可靠性的中間屬性包括：存貯空
間利用可預(yù)測(cè)性(軟件不致造成處理器會(huì)向非預(yù)期的或不允許存貯
空間進(jìn)行存取的高概率)；控制流可預(yù)測(cè)性(處理器按編程員預(yù)期
的順序執(zhí)行指令的高概率)；時(shí)序可預(yù)測(cè)性(軟件在所定義的運(yùn)行
環(huán)境下滿足響應(yīng)時(shí)間和處理能力約束的高概率)；數(shù)學(xué)結(jié)果或邏輯
結(jié)果可預(yù)測(cè)性(軟件在所定義的運(yùn)行環(huán)境下產(chǎn)生編程員所預(yù)期結(jié)果
的高概率)。詳見(jiàn)圖10。
所謂軟件魯棒性是指在異?；蚱渌丛A(yù)計(jì)的情況下軟件繼
續(xù)執(zhí)行的能力。魯棒性的同義詞是耐久性(survivability)。對(duì)安
全系統(tǒng)而言魯棒性之所以重要是因?yàn)樵谝粋€(gè)意外或偏離額定工況
時(shí)會(huì)發(fā)生未曾預(yù)料的事件，在這樣的情況下軟件持續(xù)的對(duì)系統(tǒng)監(jiān)
控和控制的能力仍能有效作用。軟件魯棒性的中間屬性和基礎(chǔ)屬
性見(jiàn)圖11。
圖1 l軟件魯棒性的中間屬性和基礎(chǔ)屬性
軟件的可追溯性是指與軟件設(shè)計(jì)相比較，安全軟件的那些支
持其正確性和完整性驗(yàn)證的屬性?？勺匪菪缘幕A(chǔ)屬性有：可讀
性(這也是可維護(hù)性的屬性)，內(nèi)嵌函數(shù)的可控的使用，編譯庫(kù)
的可控使用。
軟件的可維護(hù)性是為了有效減少在對(duì)軟件進(jìn)行修改時(shí)可能引
入的差錯(cuò)。會(huì)影響安全的與可維護(hù)性有關(guān)的中間屬性(見(jiàn)圖12)
包括：可讀性一便于項(xiàng)目人員對(duì)軟件的理解的軟件屬性；數(shù)據(jù)的
抽象一對(duì)于那些代碼被劃分和模塊化的區(qū)域，這樣做可以使在修
改軟件時(shí)意想不到的副作用和次生的影響減至最小；函數(shù)的內(nèi)聚
性一對(duì)代碼中的軟件元素給予設(shè)計(jì)水平的函數(shù)適當(dāng)?shù)拇尜A地址；
可移植性一避免一種語(yǔ)言的非標(biāo)準(zhǔn)函數(shù)對(duì)安全的重大威脅；可塑
性一將可能修改的代碼區(qū)與軟件代碼的其余部分隔離開(kāi)。
糍讀性 賺|抽豢l l函數(shù) 舅酣蟲
遵照認(rèn)證導(dǎo)則廣全局搴 用
使用專業(yè)變量I 得越少越好
名 一接I3盡可
加注釋和內(nèi)部 能簡(jiǎn)單
文檔
控制進(jìn)程的大小
運(yùn)用單目
的函數(shù)
運(yùn)用單目
的變蕭
編程最好不用多種語(yǔ)言
編程結(jié)構(gòu)要請(qǐng)晰
相關(guān)元素盡可能集中，切忌分散
圖12 可維護(hù)性有關(guān)的中間屬性
隔離非標(biāo)準(zhǔn)結(jié)構(gòu)
2010年12,EJ刊自動(dòng)化博覽 4 5
專家分析
】0編程語(yǔ)言實(shí)現(xiàn)軟件功能安全的方法
在NRC的NUREG／CR 6463 Rev．1完整版本中給出了將9種編
程語(yǔ)言(Ada，Ada95，C／C++，Pascal，PL／M，IEC61131-3規(guī)定
的梯形圖、順序功能圖、結(jié)構(gòu)化文本和功能塊圖)用于安全系統(tǒng)
時(shí)，應(yīng)該關(guān)注它們特定的存在問(wèn)題和如何加以克服注意點(diǎn)。譬
如，對(duì)于C語(yǔ)言來(lái)說(shuō)，是其指針的初始化問(wèn)題；對(duì)于IEC 61131-3
所規(guī)范的編程語(yǔ)言，則應(yīng)關(guān)注其時(shí)序、正常運(yùn)行的監(jiān)控，以及故
障處理等問(wèn)題。
從頂級(jí)屬性中的可靠性、中級(jí)屬性中的可預(yù)測(cè)性的控制流
和基礎(chǔ)屬性中的在使用前變量的初始化這三方面導(dǎo)出對(duì)指針初始
化的指導(dǎo)原則。所有的變量和指針在使用前都應(yīng)該初始化。C語(yǔ)
言支持通過(guò)說(shuō)明來(lái)指定初始值的方式進(jìn)行初始化，但并不要求所
有的對(duì)象(指變量、數(shù)據(jù)結(jié)構(gòu)或數(shù)組)進(jìn)行初始化。在若干情況
下，一個(gè)對(duì)象的初始化不僅要為對(duì)象的存貯地址指定一個(gè)特定的
位的組合值，而且還要采取特殊的動(dòng)作來(lái)為對(duì)象的生命(例如為
對(duì)象賦予對(duì)應(yīng)的源)進(jìn)行平滑初始化。在c十+中，可能要考慮任
意相關(guān)數(shù)據(jù)作為對(duì)象，并提供構(gòu)造數(shù)據(jù)組一個(gè)實(shí)例的工具。這樣
便會(huì)以系統(tǒng)的方式破壞數(shù)據(jù)組當(dāng)前的實(shí)例。
考慮到上述情況，必須對(duì)初始化提出以下導(dǎo)則：① 不要對(duì)超
出其說(shuō)明范圍的變量自動(dòng)使用指針。存貯在指針的值對(duì)一個(gè)自動(dòng)
變量會(huì)包含超出其函數(shù)范圍的無(wú)用輸入。② 指針的初始化，初始
化問(wèn)題也會(huì)在指針中發(fā)生。在安全系統(tǒng)中所有C語(yǔ)言中的指針變
量，其初值都應(yīng)該為null；所有c++中的指針變量，其初值都應(yīng)該
為0。在被使用之前，指針應(yīng)對(duì)一個(gè)有效值予以測(cè)試。當(dāng)一個(gè)指針
被定義時(shí)，它沒(méi)有一個(gè)地址與其相關(guān)聯(lián)。使用一個(gè)未初始化的指
針，會(huì)造成重寫未曾預(yù)想到的指針的存貯地址。錯(cuò)誤地重寫存貯
內(nèi)容會(huì)引起嚴(yán)重的問(wèn)題，包括對(duì)系統(tǒng)的崩潰。③ 要確保每一個(gè)指
針的說(shuō)明間接的運(yùn)算符都是存在的。每個(gè)指針都應(yīng)該有一個(gè)間接
運(yùn)算符( )。
IEC 61131-3所定義的5種語(yǔ)言除指令表語(yǔ)言(IL)與匯編語(yǔ)
言相似外，其它語(yǔ)言都納入了NRC關(guān)于編程語(yǔ)言的導(dǎo)則中。對(duì)
這些語(yǔ)言特定的指導(dǎo)原則源于魯棒性頂級(jí)屬性和異常處理的中間
屬性。應(yīng)該專注于在機(jī)組緊急停車時(shí)PLC的行為。通常此時(shí)所有
的輸出均應(yīng)切斷，但往往并非總是如此。一般PLC系統(tǒng)總是設(shè)計(jì)
成在緊急停車時(shí)系統(tǒng)處于故障安全狀態(tài)。某些PLC在遇到這樣的
情況時(shí)具有處理器能自動(dòng)停止主梯形圖程序的執(zhí)行，轉(zhuǎn)而執(zhí)行
“故障程序” 的子程序。這使系統(tǒng)的設(shè)計(jì)者可以決定采取適當(dāng)
的動(dòng)作，包括以一種安全的方式讓系統(tǒng)停下來(lái)。問(wèn)題在于：IEC
61 13 1-3規(guī)范中未涉及到允許PLC系統(tǒng)本身包含有某種預(yù)先設(shè)計(jì)
好的硬件故障程序，當(dāng)檢測(cè)到一定范圍的故障條件時(shí)便會(huì)自動(dòng)執(zhí)
行。不過(guò)，IEC 61131—3允許建立非周期的任務(wù)，通過(guò)觸發(fā)適當(dāng)?shù)?
內(nèi)部診斷信息來(lái)執(zhí)行處理特定類型的出錯(cuò)(I／O故障時(shí)降級(jí)運(yùn)行模
4 6 自勛化博筧2010年12月刊
式、向操作員見(jiàn)面報(bào)警等)。
對(duì)于PLC系統(tǒng)，在編程的設(shè)計(jì)階段就應(yīng)在程序結(jié)構(gòu)中考慮故
障程序問(wèn)題。這時(shí)必須遵從如下原則：① 完整性故障程序不能依
賴于檢測(cè)到程序崩潰的所有特例，因此遇到PLC的主要故障時(shí)要
有針對(duì)附加措施的安全保證。② 可觀察性故障程序要有狀態(tài)記錄
和報(bào)警的能力。故障程序應(yīng)顯性執(zhí)行，不被掩蓋。③ 真實(shí)性檢查
在啟動(dòng)故障程序的情況下有可能將可以反映原來(lái)?xiàng)l件的程序存貯
內(nèi)容、數(shù)據(jù)文件或UO狀態(tài)破壞，因此故障程序應(yīng)保證在執(zhí)行故障
處理前將這些環(huán)境加以保存，以便事后分析。④ 在故障程序不起
作用時(shí)的故障安全特性萬(wàn)一PLC系統(tǒng)的故障處理程序不起作用，
系統(tǒng)設(shè)計(jì)仍要保證安全狀態(tài)的后備措施。
PLC系統(tǒng)一般以指定的位和字的形式提供對(duì)應(yīng)用程序的正常
運(yùn)行狀況的監(jiān)控，這些信息包括特定任務(wù)的執(zhí)行時(shí)間、I／O~1]新
信息、I／0操作狀態(tài)信息、電池狀態(tài)信息和其它用來(lái)確定PLC正常
運(yùn)行狀態(tài)的信息。遺憾的是IEC 61131-3規(guī)范中對(duì)這些信息的典型
值、范圍和類型并未做出規(guī)定。而安全系統(tǒng)恰恰應(yīng)該具備這些信
息，作為判斷其是否運(yùn)行正常的檢查和是否需要異常處理的不可
或缺的部分。
在IEC 61131．3的規(guī)范關(guān)于“任務(wù)”這節(jié)中，闡述了制造廠
應(yīng)向用戶提供所有任務(wù)執(zhí)行的信息的最低要求。關(guān)鍵在于由于這
一問(wèn)題的分類落在出錯(cuò)檢查，而未能在規(guī)范中描述，于是我們也
得不到這些任務(wù)執(zhí)行時(shí)在運(yùn)行時(shí)應(yīng)以何種形式接受檢查的規(guī)定。
另外，許多PLC~I]類似的符合IEC 61131-3的系統(tǒng)一般只給出每次
執(zhí)行所有任務(wù)的周期(即所謂的掃描周期)，卻忽略了單個(gè)任務(wù)
執(zhí)行周期信息和標(biāo)志的提供。如果因?yàn)榘踩蛐枰趫?zhí)行某個(gè)
任務(wù)超時(shí)N次時(shí)必須緊急停車，在PLC現(xiàn)有的能力下是無(wú)能為力
的。為了解決這個(gè)問(wèn)題，必須讓應(yīng)用程序能夠?qū)蝹€(gè)任務(wù)執(zhí)行其
超時(shí)的檢測(cè)，并給出單任務(wù)超時(shí)的標(biāo)志，這樣才能做出適當(dāng)?shù)姆?
應(yīng)。對(duì)于安全關(guān)鍵系統(tǒng)，監(jiān)控任務(wù)超時(shí)的問(wèn)題尤其要緊。必須在
程序開(kāi)發(fā)的檢查階段關(guān)注。
¨ 在安全系統(tǒng)中推薦采用的編程語(yǔ)言
在IEC 61508—7的附錄C．4．5中給出了適合用于安全系統(tǒng)的軟
件編制推薦的語(yǔ)言(見(jiàn)表4)，表中列舉了24種編程語(yǔ)言，其中適
用于安全系統(tǒng)的軟件編制的語(yǔ)言共9種，它們是：屬于全可變語(yǔ)
言FvL有5種(具有子集的ADA，具有子集的MODULA一2，具有
子集的Pascal，具有子集的FORTRAN77，具有子集和編程標(biāo)準(zhǔn)并
使用靜態(tài)分析工具的C) ；屬于有限可變語(yǔ)言Ll VL有4種(具有定
義的語(yǔ)言子集的梯形圖，具有定義的語(yǔ)言子集的功能塊圖，具有
定義的語(yǔ)言子集的結(jié)構(gòu)化文本，具有定義的語(yǔ)言子集的順序功能
圖)。
>>>>>>>>>>>>下轉(zhuǎn)50頁(yè)
案例推介
場(chǎng)調(diào)試中最初軟件工程師設(shè)置的采樣時(shí)間全為1s，死區(qū)為0，這樣
文件很大。環(huán)保檢查時(shí)要求調(diào)出一個(gè)月的相關(guān)歷史數(shù)據(jù)，在歷史
站調(diào)出1個(gè)月的趨勢(shì)圖的時(shí)間很長(zhǎng)，甚至長(zhǎng)達(dá)幾個(gè)小時(shí)，讓核查人
員無(wú)法忍受。經(jīng)過(guò)優(yōu)化以后，采用本文前面的辦法，歷史數(shù)據(jù)文
件容量減小為原來(lái)的l％以下，調(diào)出同樣時(shí)間段的數(shù)據(jù)的時(shí)間減少
到1-2分鐘，這個(gè)時(shí)間應(yīng)能接受。
在調(diào)試現(xiàn)場(chǎng)要檢驗(yàn)參數(shù)設(shè)置優(yōu)化后的效果，是否只有等待1
個(gè)月的時(shí)間，等一個(gè)月的歷史數(shù)據(jù)形成后才能驗(yàn)證調(diào)出時(shí)間?答
案是否定的，采用好的辦法，可以在半個(gè)小時(shí)內(nèi)檢驗(yàn)調(diào)出1個(gè)月歷
史趨勢(shì)記錄的時(shí)間：
(1)iFix的歷史記錄參數(shù)優(yōu)化后，重新啟動(dòng)軟件，24小時(shí)后
得到1X的數(shù)據(jù)文件；
(2)拷貝并復(fù)$r130個(gè)這樣的文件；
(3)逐個(gè)修改文件名，即修改文件的生成時(shí)間。
這樣快速地得到了1個(gè)月歷史記錄數(shù)據(jù)，數(shù)據(jù)是重復(fù)的，每
天相同 用于來(lái)測(cè)試參數(shù)優(yōu)化后歷史數(shù)據(jù)的調(diào)出時(shí)間是合適和可
行的，可以調(diào)出重復(fù)的3O天或更多天的數(shù)據(jù)。我們?cè)谧鑫募?fù)制
前，應(yīng)將已經(jīng)生成的歷史數(shù)據(jù)做好備份，以便事后恢復(fù)。這個(gè)方
法只能用于試驗(yàn)，生產(chǎn)運(yùn)行中不能對(duì)歷史數(shù)據(jù)做修改和拷貝，如
果有操作也將被記錄。對(duì)脫硫裝置這樣的環(huán)保設(shè)施，如果數(shù)據(jù)作
假，查實(shí)后將會(huì)受到環(huán)保部門的嚴(yán)厲懲罰。
6 結(jié)束語(yǔ)
GE iFIX作為優(yōu)秀的SCADA軟件，適合于多數(shù)的工業(yè)自動(dòng)
化生產(chǎn)過(guò)程控制。對(duì)項(xiàng)目中具體參數(shù)的歷史記錄應(yīng)按工藝過(guò)程
的條件和要求，設(shè)置采取合理的參數(shù)， 實(shí)現(xiàn)歷史記錄數(shù)據(jù)的有
效和優(yōu)化。如果企業(yè)對(duì)歷史數(shù)據(jù)記錄的要求更高，如毫秒級(jí)采
樣，數(shù)據(jù)量大(全廠級(jí)，幾萬(wàn)點(diǎn))，則應(yīng)采用Proficy Historian
(iHistorian作為企業(yè)級(jí)實(shí)時(shí)歷史數(shù)據(jù)庫(kù)平臺(tái)，可以極高的速度
采集、歸檔并發(fā)布海量實(shí)時(shí)的現(xiàn)場(chǎng)過(guò)程信息 )或其它的專用數(shù)
據(jù)庫(kù)軟件。
參考文獻(xiàn)：
【1]基于ADO技術(shù)的iFix歷史報(bào)表的設(shè)計(jì)與實(shí)現(xiàn)[j]．自動(dòng)化信息，2010．8．
[2]iFIX躲控軟件在煙草制絲線的集成應(yīng)用(7~．)[EB／OL]．http：／／www．zgznh
corn／article show asp?articleid=580810，2010—06·09
『31 Proficy HMI SCADA—iFix4 0電子
[4]曲曉俊，馬彩iFIX組態(tài)軟件中通用趨勢(shì)曲線的設(shè)計(jì)與實(shí)現(xiàn)[J]．工 控制
計(jì)算機(jī)，2009(22)3
[5]iHistorian在電廠廠級(jí)實(shí)時(shí)躲視系統(tǒng)中的解決方案[EB／OL]http：／／sbg1．
jdzj．corn／Article／200809／2008092417294o_l2514．html，2008—09—24．
5 o 自動(dòng) 匕{等筧2010年12月刊
<<<<<<<<<<<<上接46頁(yè)
表4 IEC 61508—7推薦的適用于安全系統(tǒng)的軟件編制的語(yǔ)言
編程語(yǔ)言 SIL1 SIL2 SIL3 SIL4
ADA HR HR R R
具有子集的ADA HR HR HR HR
MoDULA一2 HR HR R R
具有子集的MODULA-2 HR HR HR HR
Pascal HR HR R R
具有子集的Pascal HR HR HR HR
FoRTRAN77 R R R R
具有子集的FORTRAN77 HR HR HR HR
C語(yǔ)言 R NR NR
具有子集和編程標(biāo)準(zhǔn)并使用靜態(tài)分析工 HR HR HR HR
具的C語(yǔ)言
PL／M R NR NR
具有子集和編程標(biāo)準(zhǔn)的PL／M HR R R R
匯編語(yǔ)言 R R
具有子集和編碼標(biāo)準(zhǔn)的匯編語(yǔ)言 R R R R
梯形圖語(yǔ)言 R R R R
具有專門定義的語(yǔ)言子集的梯形圖語(yǔ)言 HR HR HR HR
功能塊圖語(yǔ)言 R R R R
具有專門定義的語(yǔ)言子集的功能塊圖語(yǔ) HR HR HR HR
言
結(jié)構(gòu)化文本語(yǔ)言 R R R R
具有專門定義的語(yǔ)言子集的結(jié)構(gòu)化文本 HR HR HR HR
語(yǔ)言
順序功能圖 R R R R
具有專門定義的語(yǔ)言子集的順序功能圖 HR HR HR HR
語(yǔ)言
指令表語(yǔ)言 R NR NR
具有專門定義的語(yǔ)言子集的指令表語(yǔ)言 HR R R R
表4中R為推薦，HR為強(qiáng)烈推薦。
PLCopen[~際組織與專業(yè)從事安全認(rèn)證的權(quán)威機(jī)構(gòu)TOV一
起定義了在IEC 61 13 1-3的環(huán)境下涉及機(jī)械安全的規(guī)范((Safety
Software Technical Specification))。其中僅規(guī)定了兩種具有定義子
集的語(yǔ)言(功能塊圖語(yǔ)言FBDff~梯形圖語(yǔ)言LD)可用于機(jī)械安全
系統(tǒng)。
參考文獻(xiàn)：
? IEC 61508 Functional Safety ofElectrical／Electronic／Programming
Electronic Safety·Related systems Part 0-Part 7
『22 JIEC 6151l Functional Safety— SafetyInstrumented Systemsforthe
Process Industr Sector．
[3]MindaZhao(AECL，加拿大原子能公司)．Nuclear Safety—Critical
Software V&amp;amp;V Technology．
[4]M．Hecht，R．Brill Review Guideline for Software Written in High Level
Programming Land au s Used in Safety Systems．
[5]PLCopen．Safety Software Technical Specification．

網(wǎng)友評(píng)論 more

綜合安全論文最新內(nèi)容

05-04