ISO 61508 funktionell säkerhet

Det finns ingen som skulle tänka tanken att flyga med ett flygplan som inte genom sin design var säker, de flesta tänker exakt lika dant när dom köper bil. Varför skulle IT-säkerhet vara annorlunda?

ISO 61508, eller "Functional Safety of Electrical/Electronic/Programmable Electronic Safety-related Systems", är en internationell standard som behandlar funktionssäkerhet för elektriska, elektroniska och programmerbara elektroniska system. Standarden fastställer riktlinjer och krav för att utveckla och hantera säkerhetssystem som används för att minimera risker i farliga tillämpningar.

Huvudkomponenter av ISO 61508

1. Systemkrav och specificering: ISO 61508 definierar hur system ska specificeras för att säkerställa att alla säkerhetsrelaterade funktioner är tydligt definierade och förstådda.

2. Riskbedömning: Standarden kräver att en detaljerad riskanalys genomförs för att identifiera och bedöma potentiella faror och deras konsekvenser.

3. SIL (Safety Integrity Levels): Ett centralt koncept inom ISO 61508 är Safety Integrity Levels, som kategoriserar säkerhetsfunktioner i olika nivåer baserat på den nödvändiga pålitligheten och risken för fel. Det finns fyra nivåer, SIL 1 till SIL 4, där SIL 4 är den mest krävande.

4. Livscykel: Standarden betonar att säkerhetshantering bör genomföras under hela systemets livscykel, från initial design och utveckling, genom drift och underhåll, till slutligt avveckling.

5. Verifikation och validering: Regelbundna och systematiska kontroller, tester och revisioner krävs för att verifiera att systemet uppfyller sina säkerhetskrav.

6. Teknisk och administrativ hantering: ISO 61508 omfattar även riktlinjer för teknisk och administrativ hantering av säkerhetsfunktioner, inklusive personalens utbildning och organisationens struktur.

Tillämpning

ISO 61508 används inom flera industrier där säkerhetskritiska system är avgörande, såsom:

• Processindustri (kemikalier, olja och gas)
• Fordonsindustrin
• Järnvägssystem
• Medicintekniska produkter
• Kärnkraftsindustri

Genom att följa ISO 61508 kan organisationer minimera risken för olyckor och incidenter, skydda människor och miljö, och säkerställa att deras system uppfyller internationella säkerhetsstandarder.

Sammanfattningsvis ger ISO 61508 en strukturerad metod för att hantera funktionssäkerhet, vilket bidrar till att skapa robusta och säkra teknologiska system som kan hantera risker på ett effektivt

ecuritty och Privacy By Design borde vara lika självklart som safety by design. Privacy by design, inbyggt dataskydd, ställer GDPR krav på, det som för dig är självklart sätter kravet att säkerhetsarbetet är en del av designarbetet, precis som trafikflygplan är designade med två motorer. Privacy By Design är ett säkerhetspaket påhängt den normala processen där risk och åtgärdsanalys är centrala delar.

Ett enkelt exempel antag att har

Funktionell säkerhet börjar med begreppet utrustning under kontroll (EUC): "utrustning, maskiner, apparater eller anläggningar som används för tillverkning, process, transport, medicinska eller andra aktiviteter". Exempel är flödet av trafik längs en väg eller en samhällsviktig tjänst som flödet av el, elsystemet.

Ett EUC-kontrollsystem är "det system som svarar på insignal från EUC och/eller från en operatör och genererar signaler som får EUC att fungera på önskat sätt". Exempel är ett fordonskontrollsystem inklusive föraren, eller systemet för att balancera el i elnätet, inklusive operatörerna. Om kontrollsystemet bidrar väsentligt till EUC:s säkerhet, betraktas som ett säkerhetsrelaterat system.

Funktionell säkerhet är den säkerhet i helhetssystem och kontrollsystem som beror på korrekt funktion av de säkerhetsrelaterade systemen och andra riskreducerande åtgärder.

Helhetssystemet och kontrollsystem är i centrum för IEC 61508. Det beror på att det är den risk som orsakas av Helhetssystemet som säkerhetsfunktioner måste reducera till en tolerabel nivå.

Grundsystemets risk är helhetssystemets risk utan ett säkerhetssystem. Restrisk är den kvarvarande risk som finns med säkerhetsystemet implementerat.

Maximal riskreduktion fås om säkerhetssystemet är felfritt. Det är det inte, vissa farliga situationer kan ej ta bort. Dessutom finns en ny riskkälla, säkerhetsystemet. Maximal riskreduktion beror därför på säkerhetssystemets funktionalitet och tillgänglighet. 

Nödvändig riskreduktion är den risk som ska tas bort med säkerhetssystemet för att uppnå en risk som kan accepters. Riskreduktionen som krävs för att uppnå restrisken.

Säkerhetsintegritet är sannolikheten för att säkerhetsystemet utför specificerade säkerhetsfunktioner, genomför nödvändig riskreduktion.

Minsta möjliga risk är den risk som kan uppnås med ett felfritt säkerhetssystem.

En säkerhetsintegritetsnivå (SIL) är siffra från 1 till fyra där säkerhetsintegritetsnivå 4 har den högsta nivån av säkerhetsintegritet, den nåvån där det är högst krav på att att säkerhetssystemet fungerar.

En övergripande säkerhetslivscykel används för att strukturera aktiviteterna som skapar säkerhetsintegritet för det säkerhetsrelaterade systemet. 

Förverkligandefasen för säkerhetsrelaterade system detaljeras här. Denna del av systemets säkerhetslivscykel beskrivs i IEC 61508-2.

Mjukvarans säkerhetslivscykel som visas här och detaljeras i IEC 61508-3.

Iteration är en viktig ocbh nödvändig del av utvecklingen genom systemets och mjukvarans säkerhetslivscykel.

Ämnet för risk- och faroanalysen är helhetssystemet och dess kontrollsystem, inte säkerhetssystemet. Faror och risker ska definieras förknippade med angiven driftsmiljön inom definierad omfattning.

 Faror, farliga händelser och farliga situationer ska identifieras samt händelseförlopp som leder till dessa. Med detta ska risker i helhetssystemet associerade med de farliga händelser. Analysen ska genomföras baserad på definierad omfattning, vid ändrade förutsättningarn görs analysen om. Fastställ i analysen:

1. faror, farliga händelser och farliga situationer för EUC och styrsystem  under alla rimligen förutsebara omständigheter (inklusive felaktiga tillstånd, förutsebar felanvändning och skadliga eller obehöriga handlingar). 
2. Händelseförlopp som leder till de farliga händelserna.
3. Analys av säkerhetshot för identifierade skadliga eller obehöriga handlingar
4. sannolikheten för farliga händelser under specificerade förhållanden.
5. konsekvenser associerade med farliga händelserna
6. EUC-risken för de farliga händelse.

Analysen ska inkludera relevanta faktorer kring mänskligt beteende, särskild uppmärksamhet ges åt avvikande eller sällan förekommande driftlägen för EUC. 

Analaysen kan ske med antingen kvalitativa eller kvantitativa tekniker (se ISO 61508-5). Teknik och tillämpning beror på systemkomplexitet, tillämpningsområde, praxis, regelverk, risken eller tillgång till korrekt data

Risk- och faroanalysen ska överväga följande:

• varje fastställd farlig händelse och dess bidragande komponenter,
• konsekvenserna och sannolikheten för de händelseförlopp som är kopplade till varje farlig händelse,
• den tolerabla risken för varje farlig händelse,
• åtgärder som vidtagits för att minska eller eliminera faror och risker,
• antaganden gjorda under riskanalysen, inklusive uppskattade begärandefrekvenser och utrustningsfel, samt detaljer kring eventuella operationella begränsningar eller mänskliga ingripanden som beaktats.

Information och resultat från analysen ska bibehållas för EUC och kontrollsystem genom hela säkerhetslivscykeln.

Målen är att allokera de övergripande säkerhetsfunktionerna till säkerhetsrelaterade systemen och andra åtgärder samt att allokera mätetal för fel och säkerhetsintegritetsnivå (SIL) till säkerhetsfunktioner utförda av säkerhetsrelaterat system. För att lyckas med detta ska:

1. Specificera system och andra åtgärder nödvändiga för att uppnå säkerheten och allokera övergripande säkerhetsfunktioner till dessa. Denna aktivitet repeteras om tolererbar risk senare ej uppnås.
2. Definiera mål för felfrekvens för varje säkerhetsfunktion (i enlighet med kraven i 7.6.2.10).
3. Specificera krav på säkerhetsintegritet för varje säkerhetsfunktion. Som sannolikhet för farligt fel vid drift vid låg efterfrågan, som frekvens av farliga fel vid hög efterfrågan eller kontinuerlig drift.

 Allokeringen ska beakta gemensamma orsaker. Om riskreducerande åtgärder ses som oberoende ska åtgärderna

• inte ha gemensamma delar
• ha låg sannolikhet för fel samtidigt,
• är funktionellt diversifierade 
• byggda på olika teknologier.

Om inte dessa krav kan uppfyllas ska istället allokeringen ta hänsyn till gemensamma orsaksfel mellan kontrollsystemet, säkerhetsrelaterade system och de andra riskreducerande åtgärder.

I säkerhetsrelaterade system med säkerhetsfunktioner av säkerhetsintegritetsnivåer ska beroende säkerhetsrelaterad hårdvara och mjukvara behandlas som säkerhetsfunktioner med den högsta av dessas säkerhetsintegritetsnivån.

I de fall där tilldelningsprocessen resulterar i att ett säkerhetsrelaterat system måste implementera SIL4, ska följande göras en omprövning av applikationen göras så att några av riskparametrarna kan modifieras så att behovet av en SIL 4 undviks. Granskningen ska överväga om Justering av design kan minska risken, mindre allvarliga riskscenarier kan hanteras utanför systemet, alternativa tillvägagångssätt som minskar kravet på säkerhetsintegritet, allvaret av eller sannolikheten frör riskken kan minskas;

Om det efter ytterligare övervägande av applikationen beslutas att implementera SIL4, ska ytterligare riskbedömning göras med en kvantitativ metod som tar hänsyn till potentiella gemensamma orsaker mellan systemet och andra system vars fel skulle belasta systemets bsamt alla andra säkerhetsrelaterade system.

Ingen enskild säkerhetsfunktion i ett säkerhetsrelaterat system ska ha en målsatt säkerhetsintegritet lägre än 10⁻⁵ som sannolikheten för farligt fel i ett lågt efterfrågeläge eller, 10⁻⁹ som frekvens av farligt fel ett högt efterfrågeläge eller kontinuerlig drift.

Syftet med denna fas är att allokera till SRS(er) och/eller ORRM(er) de funktionella säkerhetskraven och säkerhetsintegritetskraven, som härleddes för motsvarande övergripande säkerhetsfunktion i fas 4.

de är antingen riskreduktionen eller den tolerabla EUC-farliga händelsefrekvensen, som ska uppnås av den associerade övergripande säkerhetsfunktionen;

• en målfelparameter är den specifika, inkluderande säkerhetsintegritetsegenheten som krävs för varje SRS för att uppfylla det allokerade övergripande säkerhetsintegritetskravet13, och från vilken SIL för säkerhetsfunktionen kan härledas. Den specificeras som antingen: den genomsnittliga sannolikheten för ett farligt fel på begäran av säkerhetsfunktionen, för ett driftsätt med låg efterfrågan, eller den genomsnittliga frekvensen för ett farligt fel hos säkerhetsfunktionen för ett driftsätt med hög efterfrågan (eller kontinuerligt) (IEC 61508-1, underavsnitt 7.6.2.5); och
• allokeringen av krav från en övergripande säkerhetsfunktion till SRS kan göras på SRS-helhetsnivå eller på nivån för de beståndsdelssäkerhetsfunktionerna inom SRS.

Tre processteg kan urskiljas från IEC 61508-1, underavsnitt 7.6, enligt följande:

För det tredje: att allokera säkerhetsintegritetskraven som ingår i specifikationen för den övergripande säkerhetsfunktionen (d.v.s. de övergripande SIR) till de utsedda SRS(er) och/eller dess beståndsdelssäkerhetsfunktioner, och därifrån härleda en målfelparameter och en associerad SIL för varje SRS / beståndsdelssäkerhetsfunktioner

IEC 61508-1 allokerar inte avsiktligt övergripande SIR till (eller härleder målfelparametrar eller SIL för) ORRM; det är dock troligt att något som motsvarar SIL skulle vara nödvändigt för ORRM i vissa transportapplikationer.

Allokering av övergripande SIR till SRS är inte enkel och rådet från IEC 61508-1, underavsnitt 7.6.2.6, att "allokeringen av säkerhetsintegritetskraven ska utföras med hjälp av lämpliga tekniker för kombinationen av sannolikheter" är mindre än hjälpsamt!

Problemet är att på denna abstraktionsnivå finns det ingen teknisk grund för att fördela 'sannolikheter' mellan SRS som tillhör samma övergripande säkerhetsfunktion.

När det gäller SIL-härledning har vi det ytterligare problemet att bristen på kunskap om deras slutliga tekniska implementering också skulle innebära att det inte skulle vara möjligt att visa oberoende mellan SRS (och/eller mellan de beståndsdelssäkerhetsfunktioner som ingår i en SRS) och därför, i linje med IEC 61508-1, underavsnitt 7.6.2.10, skulle det vara nödvändigt att tilldela alla SRS / säkerhetsfunktioner samma SIL – d.v.s. den högsta SIL för alla SRS som tillhör samma övergripande säkerhetsfunktion14 .

Det följer därför att medan det finns viss vägledning om de processer som krävs enligt detta steg i diskussionen om härledning av SIL, i underavsnitt 2.5 här, måste alla resultat betraktas som preliminära och föremål för bekräftelse i fas 10, (SRS-realisering) av livscykeln. Alternativt har IEC 61508-1, underavsnitt 7.5.2.3, två användbara anmärkningar:

• Anmärkning 1, som uttryckligen anger att "vissa av de kvalitativa metoder som används för att bestämma SIL i IEC 61508-5, bilagorna E och F, går direkt från riskparametrarna till säkerhetsintegritetsnivåerna – följaktligen, i sådana fall är de övergripande SIR implicit snarare än uttryckligen angivna eftersom de är "inkorporerade i själva metoden"; och
• Anmärkning 5, som mer allmänt tillåter situationer där en internationell standard för applikationssektorn finns som inkluderar lämpliga metoder för att direkt bestämma säkerhetsintegritetskraven; den kan användas för att uppfylla kraven i denna del av standarden 3.6.2 Vägledning

Språket i IEC 61508-1 är återigen något problematiskt eftersom det inte alltid skiljer mellan "säkerhetsfunktion" och "övergripande säkerhetsfunktion" (t.ex. i underavsnitt 7.6.2.9) och förhållandet mellan säkerhetsintegritetskrav, målfelparametrar och SIL inte alltid är så tydligt som det skulle kunna vara.

Denna författares förståelse är att:

• säkerhetsintegritetskraven för var och en av de övergripande säkerhetsfunktionerna, som allokeras till SRS / ORRM i denna fas, är som beskrivs i underavsnitt 3.5.2 här, d.v.s.

3.7 Fas 9: SRS Säkerhetskravspecifikation (IEC 61508-1, Underavsnitt 7.10)

[Observera att fas 6 till 8 i IEC 61508-1 ligger utanför denna rapports omfattning]

3.7.1 Syfte

Syftet med denna fas är att utveckla vidare säkerhetskraven för SRS som identifierats i fas 5, när det gäller dess FSR och SIR, för att uppnå den erforderliga funktionella säkerheten.

3.7.2 Vägledning

Ovanstående "syfte" har härletts från "målet" för IEC 61508-1, underavsnitt 7.10.1, och är förenligt med underavsnitt 7.10.2.1, som tydligt anger att:

"[SRS] säkerhetskravspecifikationen ska härledas från allokeringen av säkerhetskrav som specificerats i [fas 5] ..."

Formuleringen har dock ändrats något för att ta bort uppenbara tvetydigheter, t.ex. blir "säkerhetsfunktionskrav" till "funktionella säkerhetskrav", d.v.s. FSR.

Vidare används termen "säkerhetsfunktion" aldrig generiskt här – istället har de formella IEC 61508-4-definitionerna, i bilaga A till denna, följts och förstås enligt följande:

• en "övergripande säkerhetsfunktion" är den högsta abstraktionsnivån för den enda uppsättningen SRS och/eller ORRM som ger det fullständiga svaret på en specifik EUC-fara; och
• en "säkerhetsfunktion" är en av ett antal funktionella enheter som implementeras av en SRS.

Följande något omarbetade anmärkning från underavsnitt 7.10.2.2 i IEC 61508-1 förklarar syftet med utdata från denna fas i livscykeln och deras viktiga förhållande till de krav som härleddes i de två föregående faserna:

"Obs: Målet är att beskriva, i termer som inte är specifika för utrustningen, [de erforderliga säkerhetsegenskaperna hos SRS(erna)]. [SRS-säkerhetskrav] Specifikationen kan sedan verifieras mot utdata från faserna 'övergripande säkerhetskrav' och 'allokering av övergripande säkerhetskrav' och användas som grund för realisering av [SRS]. Utrustningskonstruktörer kan använda specifikationen som grund för att välja utrustning och arkitektur".

Tyvärr är underavsnitt 7.10.2.2 i sig mindre hjälpsamt eftersom det anger att:

"[SRS] säkerhetskravspecifikationen ska innehålla krav för säkerhetsfunktionerna och deras tillhörande säkerhetsintegritetsnivåer".

Eftersom SIL kan redan ha allokerats till säkerhetsfunktionerna som implementeras av SRS, i fas 515, och det faktum att – i alla fall – SIL inte är systemegenskaper (se anmärkning 3A till definitionen av en SIL [A.2-12]), används den bredare termen "säkerhetsintegritetskrav" istället för den mer restriktiva termen "säkerhetsintegritetsnivåer".

Följande två processteg kan urskiljas från IEC 6150-1, underavsnitt 7.10:

För det första: att härleda en fullständig beskrivning av SRS:s erforderliga funktionella och prestandaegenskaper – och dess beteende i förhållande till EUC, EUC-kontrollsystemet och miljön – som är nödvändiga för att uppnå den erforderliga riskreduktionen (d.v.s. NRR).

Figur 2 här visar att denna reduktion måste vara större än NRR för att möjliggöra risken förknippad med förlustfel hos säkerhetsfunktionen (δR(l)) och risken förknippad med korrupt drift av säkerhetsfunktionen (δR(c)). Därför kommer den resulterande SRS-säkerhetskravspecifikationen att behöva stödjas av analyser för att visa att SRS kan tillhandahålla den erforderliga riskreduktionen under alla normala, onormala och felfel i EUC, EUC-kontrollsystemet och miljön, samt övergångarna mellan dessa tillstånd.

Underavsnitt 7.10.2.6 i IEC 61508-1 lägger särskilt stor vikt vid behovet av en beskrivning av SRS:s funktionssätt på funktionell nivå, inklusive:

• en beskrivning av alla säkerhetsfunktioner, hur de fungerar tillsammans för att uppnå den erforderliga funktionella säkerheten och om de fungerar i driftsätt med låg efterfrågan, hög efterfrågan eller kontinuerlig drift;
• de erforderliga prestandaegenskaperna för varje säkerhetsfunktion, t.ex. tidsegenskaper och, för mer dataintensiva applikationer än vad som eventuellt förutses av IEC 61508, data noggrannhet, latens, uppdateringsfrekvens och överbelastningstolerans;
• alla gränssnitt16 som är nödvändiga för att uppnå den erforderliga funktionella säkerheten;
• alla relevanta driftsätt för EUC;
• svar från SRS på onormala förhållanden som kan uppstå i EUC eller dess miljö;
• alla erforderliga beteenden för SRS – i synnerhet dess felfel och det erforderliga svaret vid ett sådant fel.

Den underliggande punkten är tydlig: innan vi kommer in på SIR för SRS behöver vi helt demonstrera lämpligheten hos FSR för att uppfylla kraven för EUC-riskreduktion, i avsaknad av fel i SRS.

Med antagandet av någon form av tidsseparationslösning och med tanke på att funktionaliteten sannolikt är relativt enkel, skulle FSR-specifikationen för vår övergångsställe för fotgängare kunna baseras initialt på sekvensdiagrammet (Sparx Systems 2020) som visas i figur 5, som det huvudsakliga sättet att definiera logiken och relationerna som är involverade för normala driftsförhållanden.

Ett sekvensdiagram visar objektsinteraktioner ordnade i tidsserie, representerade av den vertikala dimensionen. Det visar objekten (identifierade överst) som är involverade i scenariot och sekvensen av meddelanden som utbyts mellan objekten som krävs för att utföra scenariots funktionalitet.

Figur 5 representerar ett normalt (eller typiskt) scenario som börjar när en fotgängare anländer till övergångsstället, under en period av vägtrafikflöde, och sekvensen fortsätter (för en iteration) enligt följande:

[1] fotgängaren initierar en begäran om att korsa; [2] därefter fortsätter fotgängare att övervaka och följa fotgängarsignalerna; [3] fordonsförare fortsätter att övervaka och följa trafiksignalerna; [4] om fotgängarens begäran är den första begäran sedan föregående fotgängarsignal, beräknar SRS tidsfördröjningen T1, annars ignoreras begäran; [5] när den förflutna tiden sedan fotgängarens begäran om att korsa överstiger T1 signalerar SRS trafiken att ; [6] förare stoppar fordon före lämpliga vägmarkeringar; [7] efter bekräftelse av att trafiksignalen är inställd på , ställer SRS in fotgängarsignalen på efter en fördröjning på T2 sekunder; [8] fotgängare börjar korsa tills korsningssignalen ändras till ; [9] när den förflutna tiden sedan initiering av signalen överstiger T3, ställer SRS in fotgängarsignalen på ; [10] vid signalen slutför fotgängare som redan är på övergångsstället sin korsning snabbt; [11] när den förflutna tiden sedan fotgängarens signal överstiger T4, ställer SRS in fotgängarsignalen på ; [12] SRS upprätthåller tillståndet tills nästa fotgängare begär att korsa; [13] Trafiken fortsätter att flöda tills nästa trafik signal.

FSR bör fånga kärnan i ovanstående scenario men på ett mer formellt språk, med början med det övergripande funktionella kravet att fotgängar- och trafikflöden ska styras i tur och ordning så att fotgängare och rörlig trafik inte kan ockupera det utsedda korsningsområdet samtidigt. Det bör också inkludera krav som:

• anropa själva scenariot som det erforderliga beteendet hos SRS;

  • Svenska: anropa själva scenariot som det erforderliga beteendet hos SRS;

• specificera tidsintervallet T1 (eller dess beräkningsmetod) mellan den första korsningsbegäran från en fotgängare efter trafikomstart och nästa instruktion för trafiken att stanna, så att det finns en säker balans mellan fotgängarnas behov och behovet av att undvika överdrivna trafikköer;

  • Svenska: specificera tidsintervallet T1 (eller dess beräkningsmetod) mellan den första korsningsbegäran från en fotgängare efter trafikomstart och nästa instruktion för trafiken att stanna, så att det finns en säker balans mellan fotgängarnas behov och behovet av att undvika överdrivna trafikköer;

• specificera det totala tidsintervallet T2 + T3 under vilket trafiken måste stoppas, så att det skulle vara tillräckligt för att tillgodose antalet och de fysiska förmågorna hos fotgängare som kan använda övergångsstället vid den tiden;

  • Svenska: specificera det totala tidsintervallet T2 + T3 under vilket trafiken måste stoppas, så att det skulle vara tillräckligt för att tillgodose antalet och de fysiska förmågorna hos fotgängare som kan använda övergångsstället vid den tiden;

• • specificera tidsintervallet T3 så att fotgängare ges tillräcklig varning om korsningsperiodens nära förestående slut;

    • Svenska: specificera tidsintervallet T3 så att fotgängare ges tillräcklig varning om korsningsperiodens nära förestående slut;

  • specificera sättet att indikera korsningens tillstånd för fotgängare så att det skulle vara lämpligt för användare med nedsatt hörsel eller syn;

    • Svenska: specificera sättet att indikera korsningens tillstånd för fotgängare så att det skulle vara lämpligt för användare med nedsatt hörsel eller syn;

  • specificera standardtillståndet för korsningen så att trafiken fortsätter att flöda i avsaknad av en inmatningsbegäran från en fotgängare;

    • Svenska: specificera standardtillståndet för korsningen så att trafiken fortsätter att flöda i avsaknad av en inmatningsbegäran från en fotgängare;

  • specificera att, under inga omständigheter, ska fotgängarens signal och fordonets signaltillstånd existera samtidigt;

    • Svenska: specificera att, under inga omständigheter, ska fotgängarens signal och fordonets signaltillstånd existera samtidigt;

  • specificera dimensionerna för korsningsområdet så att dess fotgängarkapacitet skulle vara tillräckligt stor för att hantera toppantalet fotgängare under alla rimligen förutsebara förhållanden.

    • Svenska: specificera dimensionerna för korsningsområdet så att dess fotgängarkapacitet skulle vara tillräckligt stor för att hantera toppantalet fotgängare under alla rimligen förutsebara förhållanden.

  Utvecklingsprocessen för FSR skulle också behöva ta hänsyn till andra, onormala scenarier såsom extremt väder och vägarbete som kan påverka SRS:s effektivitet när det gäller att tillhandahålla den erforderliga riskreduktionen. Analysen bör inkludera bedömning av konsekvenserna och den sannolika förekomsten av sådana onormala händelser så att hänsyn kan tas till den tillhörande riskökningen vid utveckling av SIR.

  Det är väl värt att notera här att sekvensdiagram kan utökas, till större detalj, på lägre nivåer i systemhierarkin – till exempel i fallet med den övergångsställe för fotgängare som visas i figur 5, genom att ersätta den enda "SRS"-aktören med de interna elementen i dess funktionella, logiska och/eller fysiska arkitektur – och därigenom fånga det erforderliga beteendet på dessa nivåer, efter behov.

  För det andra: att specificera de detaljerade SIR, för varje säkerhetsfunktion identifierad för varje SRS, enligt följande:

  • identifiering av potentiella felfel i SRS(er), liksom EUC-kontrollsystemet;
  • identifiering och fångst som ytterligare FSR, de möjliga begränsningarna av frekvensen och/eller konsekvenserna av dessa fel; och
  • specifikation av maximala förekomstfrekvenser för dessa fel, med hänsyn tagen till dessa begränsningar och den minimala uppnåeliga risken som SRS skulle kunna tillhandahålla, under antagna felfria förhållanden17, så att en tolerabel risknivå för EUC uppnås totalt sett.

  Hittills i livscykeln har SIR-härledning i stor utsträckning varit deduktiv, "top-down", medan den nu behöver vara induktiv, "bottom-up". Detta överensstämmer med anmärkningen till det tredje steget i fas 4 (underavsnitt 3.5.2 här), att SIR som härleds på övergripande säkerhetsfunktionsnivå inte är egenskaper hos själva säkerhetsfunktionen.

  Den överensstämmer också med allmänt accepterade säkerhetsbedömningsmetoder, och IEC 61508-5 föreslår olika tekniker som skulle kunna användas för detta ändamål – naturligtvis måste alla tekniker och parametrar som är involverade vara påvisbart lämpliga för applikationen och på den nivå i kravhierarkin som de ska användas för.

  Det måste också förstås att SIR på denna nivå nödvändigtvis skulle baseras på en något godtycklig fördelning av felfrekvenser mellan säkerhetsfunktionerna18; de skulle därför behöva granskas för SRS:s fysiska arkitektur, i realiseringsstadiet (fas 10 i figur 4) för att undvika till exempel att allokera otillbörligt låga erforderliga felfrekvenser till mänskliga operatörer.

Målen  är att specificera säkerhetsansvar för system eller för faser av systemets säkerhetslivscykler

Säkerhetsansvaret täcker systemet och dess livscykelfaser,  det innebär ansvar för:

1. specificering av aktiviteter och ansvariga i systemts säkerhetslivscykel.
2. specificering av gränssnitt mellan interna faser och faser som utförs externt
3. specificera policy och strategi för säkerhet, inklusiver metoder för utvärdering.
4. samordning av säkerhetsbedömningar samt säkerställande att säkerhet uppnås och demonstreras
5. specificera krav för periodiska revisioner av säkerhet

Rutiner ska utvecklas för

1. Kommunikation mellan parter
2. Hantering av rekommendationer från t ex riskanalys, säkerhetsbedömning, verifiering, validering och incidenter
3. Ändringshantering. 
4. Konfigurationshantering
5. Kompetenssäkäng hos ansvariga och alla personer involverade i någon övergripande systemaktivitet.

Ansvariga för en eller flera faser av den övergripande, säkerhetslivscykeln ska specificera lednings- och tekniska aktiviteter nödvändiga för att uppnå, demonstrer och upprätthålla säkerhet, inklusive:

1. åtgärder och tekniker använda för att uppfylla kraven i ISO 61508s klausuler;
2. Aktiviteter för bedömning av säkerhet och sättet som säkerhet demonstreras för de som utför säkerhetsbedömningen;
3. Procedurerna för att analysera drift- och underhållsprestanda, särskilt för: