含有电子元件的安全电路和可编程电子安全相关系统型式试验要求

6 时钟 用于处理单元的时钟发生器故障，如频率改变或停顿，应当最迟在电梯下一次运行之前被检 测到 7 程序 安全相关功能错误的程序列 序序列和不恰当的执行时序最迟应在下次运行 前被检测到 - 123 -

TSG T7007-2016 特种设备安全技术规范

具备独立时钟基准的看门狗，或 相互监控功能 M6.1 M6.2 A.9.4 程序序列的时序和逻 M7.1 辑监视的组合 A.9.4

注Q-6：检测出故障之后，电梯、自动扶梯和自动人行道应当维持在某一安全状态。

表Q-9 SIL2要求的特定措施 Q-6 序 元器号 件和注要求 功能 1 结构 结构应当是在考虑了系统反应时间的前提下，一旦检测到任何一个随机故障，则系统就应当进入一个安全状态 2 处理 处理单元中能导致错误单元 结果的故障应当在考虑了系统反应时间的前提下能被检测出来。 如果这样的故障会导致危险状态，那么系统应 当进入一个安全状态 3 不变不正确的信息修改，例2的存位或位故如，所有的1储区 位和多位障，以及部分3故障应当在考虑了系统反应时间的前提下被检测到。 4 可变在寻址、写入、存储和的存读出期间的全局性故位储区 位、2障，以及所有1故障，3位和多位故部分障应当在考虑了系统反应时间的前提下被检测 到 措施 表GB/T Q-12 20438.7-2006 条款号 条款号 具有自检和监控功能 M1.2 A.3.3 A.2.5 的单通道结构，或具M1.3 有比较功能的双通 道或多通道结构 可更正故障的硬件，和 单通道结构的有硬件支持的软件自检，或 双通道结构的比较器，或 双通道结构的软件相 互比较 M2.1 A.3.4 M2.3 A.3.3 A.1.3 M2.4 A.3.5 M2.5 下面的措施仅针对单 M3.1 A.4.3 通道结构：具有一字M3.2 A.5.6 冗余的块安 全，或具有多位冗余的字保 存 下面的措施仅针对单 M3.2 通道结构：具有多位M4.1 冗余的字保 存，或通过测试模式检测静 态或动态故障 A.5.6 A.5.2 5 单I/O元和包括通讯连接的接 口 - 124 -

线上的静态故障和I/O干扰以及数据流中的随机和系统故障应当最迟在电梯下一次运行之前Q-7 注被检测到 代码安全，或测试模式 M5.4 M5.5 A.6.2 A.6.1 特种设备安全技术规范 TSG T7007-2016

序 元器Q-6 注要求 措施 表GB/T 号 件和 Q-12 20438.7-2006 功能 条款号 条款号 6 时钟 用于处理单元的时钟发具备独立时钟基准的 M6.1 A.9.4 生器故障，如频率改变看门狗，或 相互监M6.2 或停顿，应当在考虑了控功能 系统反应时间的前提下 被检测到 7 程序 安全相关功能错误的程程序序列的时序和逻 M7.1 A.9.4 序列 序序列和不恰当的执行辑监视的组合 时序应当在考虑了系统反应时间的前提下被检 测到 Q-7：检测出故障之后，电梯、自动扶梯和自动人行道应当维持在某一安全状态。注 Q-8：这不适用于驱动装置，如安全回路中的安全继电器或类似的电气方式。注

Q-10 SIL3要求的特定措施表 Q-8 序 元器措施 表GB/T 号 件和注要求 Q-12 20438.7-2006 功能 条款号 条款号 1 结构 结构应当是在考虑了系具有比较功能的双通 M1.3 A.2.5 统反应时间的前提下，道或多通道结构 一旦检测到任何一个随机故障，则系统就应当 进入一个安全状态 2 处理 处理单元中能导致错误双通道结构的比较 M2.4 A.1.3 单元 结果的故障应当在考虑器，或双通道结构的M2.5 A.3.5 了系统反应时间的前提 软件相 互比较 下能被检测出来。如果这样的故障会导致危险状态，那么系统应 当进入一个安全状态 3 不变的存 储区 不正确的信息修改，例有复制块的块安全过 M3.3 A.4.5 位或多位故所有的如，1程，或具有多字冗余M3.4 A.4.4 障应当在考虑了系统反的块安 全 应时间的前提下被检测 到 - 125 -

TSG T7007-2016 特种设备安全技术规范

序 元器Q-8 注要求 措施 表GB/T 号 件和Q-12 20438.7-2006 功能 条款号 条款号 4 可变在寻址、写入、存储和有复制块的块安全过 M4.2 A.5.7 的存 读出期间的全局性故程，或Galpat监视检M4.3 A.5.3 储区 障，以及所有静态位故查例如 法 障和动态耦合应当在考虑了系统反应时间的前 提下被检测到 5 单I/OI/O线上的静态故障和 多通道并行输入，M5.1 A.6.5 A6.3 元和干扰以及数据流中的随和多通道并行输出，M5.3 A.6.4 A.6.2 包括机和系统故障应当在考或 输出读回，或 M5.2 A.6.1 通讯虑了系统反应时间的前代码安全，或 测M5.4 连接Q-9 注提下被检测到 试模式 M5.5 的接 口 6 时钟 用于处理单元的时钟发具备独立时钟基准的M6.1 A.9.4 生器故障，如频率改变看门狗，或 相互监M6.2 或停顿，应当在考虑了控功能 系统反应时间的前提下 被检测到 7 程序 安全相关功能错误的程程序序列的时序和逻 M7.1 A.9.4 序列 序序列和不恰当的执行辑监视的组合 时序应当在考虑了系统反应时间的前提下被检 测到 Q-9：检测出故障之后，电梯应当维持在某一安全状态。注 Q-10：这不适用于驱动装置，如安全链中的安全继电器或类似的电气方式。注

SIL要求特定措施的失效控制的可用措施描述表Q-11 不同 序 元器 措施描述 号 件和 功能 项目及编号 描述 1 结构 M1.1 具有自也应提供冗余的输出途径以确保即使结构由单通道组成，检功能 的单该间隔以以一定的时间间隔(安全关机。自检(周期性的)通道结构 的子单元内执行。这些检PESSRAE在PESSRAL或应用而定)被设计用以检测独立于数据流)如(CPU 或存储器检查查 的潜在故障。 检测到故障后，系统应进入某一安全状态。 - 126 -

特种设备安全技术规范 TSG T7007-2016

M1.2 具有自一个带自检和监控的单通道结构由单独的硬件监控单元检和监控功能周期性地从系统接受自组成，该单元不依赖于具体应用，的单通道结构 系统应进入某一安全检过程产生的数据。如有错误数据， 状态。使得关机可由处理器自身应至少有两种独立的关机途径， 或监控单元实现。 M1.3 具有比较功能的双通道或多 通道结构 双通道安全相关设计由两个独立的无反馈功能单元组成。对于一个专为安规定的功能在每个通道内被独立地处理。各通道的，PESSRAL或PESSRAE全装置的功能设计的双通道或PESSRAL设计在软硬件方面可以完全相同。若双通道)如多个安全功能的组合PESSRAE 用于复杂的解决方案(应当考虑对软硬件和过程或条件不是明确可证实的场合， 的差异性设计。如总线比(该结构具有比较与安全功能相关的内部信号 或输出信号的功能，以帮助故障检测。和/较)使得关机可由通道本身或应至少有两种独立的关机途径， 比较器实现。比较本身也应遵守故障识别。 处理 M2.1 可更正这样的单元可使用专门的故障识别或故障更正电路技术 故障的 硬件 实现。对于简单结构，这些技术是被熟知的。 M2.2 软件自用于安全相关应用的处理器单元的所有功能都应进行周 检 期性测试。的测试组合在一)如存储器、(I/O 等这些测试可与子部件 起。 M2.3 有硬件一个专用的硬件设施用于支持自检功能的故障检测。如， 支持的 软件一个检查特定位组合模式的周期性输出的监控单元。 自检 M2.4