"ГОСТ Р 72296-2025. Национальный стандарт Российской Федерации. Лифты. Электронные и программируемые системы, применяемые в цепях безопасности"
(утв. и введен в действие Приказом Росстандарта от 16.09.2025 N 1055-ст)

Примечание - В настоящей таблице приведены следующие обозначения:

- R1 - если после снятия с ловителей ограничитель скорости автоматически не сбрасывается, электрическое устройство безопасности должно предотвращать запуск лифта, пока ограничитель скорости не находится в положении сброса;

- R2 - скорость кабины ограничена максимальным выравниванием 0,8 м/с и максимальным повторным выравниванием 0,3 м/с;

- R3 - игнорирование контроля в зоне разблокировки целевой посадки;

- R4 - движение кабины ограничено только в пределах зоны разблокировки;

- R5 - скорость кабины не должна превышать 0,75 м/с;

- R6 - скорость кабины ограничена скоростью ревизии;

- R7 - активация и сброс осуществляются только вручную с помощью специального инструмента;

- R8 - скорость кабины не должна превышать 0,75 м/с, за исключением случаев пожарного режима;

- R9 - игнорирование контроля при включенном bypass двери кабины;

- R10 - игнорирование контроля при включенном bypass двери шахты;

- R11 - ограничение движения кабины в пределах конечного предела терминалов. Для гидравлических систем разрешено движение в направлении, превышающем нижний конечный предел;

- R12 - ограничение движения кабины в направлении, удаленном от конца терминала, где был достигнут конечный предел;

- R13 - контроль только при движении вниз;

- R14 - ограничение движения кабины в направлении вверх;

- R15 - при включении должно быть разрешено отключать его независимо или в составе группы:

а) средства контроля срабатывания ловителей (идентификационный номер 24);

б) средства контроля превышения скорости (идентификационные номера 25, 26);

в) средства контроля превышения скорости кабины при подъеме (идентификационный номер 33);

г) средства контроля неконтролируемого движения кабины (идентификационные номера 34, 35);

д) средства контроля выдвижения буфера (идентификационный номер 32);

е) средства контроля конечного предела (идентификационный номер 49);

- R16 - разрешается только одна аварийная электрическая операция. Любая разрешенная инспекционная операция должна иметь приоритет перед аварийной электрической операцией;

- R17 - во время предварительной операции и повторного выравнивания допускается игнорирование этой проверки;

- R18 - ручной сброс требуется только для гидравлических лифтов;

- R19 - игнорирование контроля, когда включена операция осмотра машинного помещения;

- R20 - игнорирование контроля, когда платформа и подвижные упоры находятся в полностью выдвинутом положении;

- R21 - игнорирование контроля только тогда, когда механическое предохранительное устройство полностью включено и включен режим "Ревизия" в приямке;

- R22 - игнорирование контроля только тогда, когда подвижные упоры полностью выдвинуты;

- R23 - игнорирование контроля только тогда, когда устройство находится в полностью убранном и отключенном положении;

- R24 - игнорирование контроля только в том случае, если включена операция осмотра в приямке и механическое устройство защиты полностью выдвинуто (идентификационный номер 10);

- R25 - включение на кабине звуковых и видимых сигналов;

- R26 - любой тип автоматического управления, включая одиночное, выборочное, групповое, аварийную пожарную службу, неотложную помощь в больнице, аварийное питание и т.д.

Структура программы (т.е. модульность, обработка данных, определение интерфейса) в соответствии с современным уровнем техники (см. ГОСТ IEC 61508-3)

Во время процедур загрузки необходимо поддерживать безопасное состояние лифта

Ограниченное использование прерываний; использование вложенных прерываний только в том случае, если все возможные последовательности прерываний предсказуемы

Не запускается сторожевой таймер процедурой прерывания, за исключением случаев, когда это происходит в сочетании с другими условиями последовательности выполнения программы

Процедуры отключения питания, такие как сохранение данных, для функций, связанных с безопасностью, не требуются

Менеджер стека в аппаратном и/или программном обеспечении с соответствующей процедурой реагирования

Циклы итерации короче времени реакции системы, например, за счет ограничения количества циклов или проверки времени выполнения

Проверка смещения указателя массива, если оно не включено в используемый язык программирования

Определенная обработка исключений (например, деление на ноль, переполнение, проверка диапазона переменных и т.д.), которая переводит систему в определенное безопасное состояние

Не допускается рекурсивное программирование, за исключением хорошо зарекомендовавших себя стандартных библиотек, одобренных операционных систем или компиляторов языков высокого уровня. Для этих исключений должны быть предусмотрены отдельные стеки для отдельных задач, которые должны контролироваться модулем управления памятью

Документация по интерфейсам библиотек программирования и операционным системам, по крайней мере, такая же полная, как и сама пользовательская программа

Проверка достоверности данных, относящихся к функциям безопасности, например, шаблонов ввода, диапазонов ввода, внутренних данных

Если для целей тестирования или валидации может быть задействован какой-либо режим работы, нормальная работа лифта должна быть невозможна до тех пор, пока этот режим не будет отключен

Достижение безопасного состояния с должным учетом времени реакции системы в системе шин связи с функциями безопасности в случае потери связи или неисправности в участнике шины

Не допускается реконфигурация системы CPU-bus, за исключением процедур загрузки.

Примечание - Периодическое обновление системы CPU-bus не рассматривается как реконфигурация.

Не допускается реконфигурация линий ввода-вывода, за исключением процедур загрузки.

Примечание - Периодическое обновление регистров конфигурации ввода-вывода не рассматривается как реконфигурация.

1 Оценка функциональных, экологических и интерфейсных аспектов применения

2 Техническое задание, включая требования безопасности

3 Обзоры всех технических характеристик

4 Проектная документация в соответствии с требованиями А.2.6.2, включая:

- описание функций, включая архитектуру системы и взаимодействие аппаратного и программного обеспечения;

- документация по программному обеспечению, включая описание функций и последовательности выполнения программы

5 Отчеты об обзоре проекта

6 Проверка надежности с использованием такого метода, как анализ режима отказа и последствий (FMEA)

7 Спецификация испытаний производителя, протоколы испытаний производителя и отчеты о полевых испытаниях

8 Документы с инструкциями, включая ограничения по использованию по назначению

9 Повторение и обновление вышеупомянутых мер, если продукт модифицирован

10 Реализация контроля версий аппаратного и программного обеспечения и его совместимости

<1> В результате обнаружения неисправности должно поддерживаться безопасное состояние лифта.

<1> В результате обнаружения неисправности должно поддерживаться безопасное состояние лифта.

<2> Не относится к активаторам, таким как реле безопасности или эквивалентные электронные средства, например, в цепи безопасности.

<1> В результате обнаружения неисправности должно поддерживаться безопасное состояние лифта.

<2> Это не относится к активаторам, таким как реле безопасности или эквивалентные электронные средства, например, в цепи безопасности.

Одноканальная структура с самотестированием Описание: несмотря на то, что структура состоит из одного канала, должны быть предусмотрены резервные выходные пути для обеспечения безопасного отключения. Самотестирование (циклическое) применяется к подразделениям PESSRAL с интервалами времени, которые могут зависеть от применения. Эти тесты (например, тесты процессора или памяти) предназначены для обнаружения скрытых сбоев, которые не зависят от потока данных. Обнаруженный сбой должен привести к переходу системы в безопасное состояние

Одноканальная структура с самотестированием и мониторингом

Описание: одноканальная структура с самотестированием и мониторингом состоит из отдельного блока аппаратного мониторинга, который, независимо от применения, периодически получает тестовые данные из системы, которые могут быть получены в результате процедур самотестирования. В случае неверных данных система должна перейти в безопасное состояние. Необходимы по крайней мере два независимых пути отключения, чтобы отключение могло быть вызвано либо самим процессором, либо блоком мониторинга

Два или более каналов со сравнением

Описание: двухканальная конструкция, связанная с безопасностью, состоит из двух независимых функциональных блоков без обратной связи. Это позволяет выполнять указанные функции независимо в каждом канале. Для двухканального PESSRAL, предназначенного исключительно для функции одного предохранительного устройства, конструкция каналов может быть идентичной с точки зрения аппаратного и программного обеспечения. При использовании двухканального PESSRAL для сложных решений (например, комбинаций нескольких функций безопасности) и там, где процессы или условия не поддаются однозначной проверке, следует учитывать разнообразие аппаратного и программного обеспечения. Структура включает в себя функцию, которая сравнивает внутренние сигналы (например, сравнение шин) и/или выходные сигналы, имеющие отношение к функциям безопасности, чтобы помочь в обнаружении неисправностей. Необходимы по меньшей мере два независимых канала отключения, чтобы отключение могло быть вызвано либо самими каналами, либо компаратором. Это необходимо, чтобы само сравнение также было подвержено распознаванию ошибок

Аппаратное обеспечение, исправляющее сбои

Описание: такие устройства могут быть реализованы с использованием специальных схем распознавания отказов или их коррекции. Эти методы известны для простых конструкций

Самотестирование с помощью программного обеспечения

Описание: все функции процессора, которые используются в приложениях, связанных с безопасностью, должны проверяться циклически. Эти тесты могут быть объединены с тестированием подкомпонентов, например памяти, ввода-вывода и т.д.

Самотестирование программного обеспечения, поддерживаемое аппаратным обеспечением

Описание: для обнаружения сбоев используется специальное аппаратное обеспечение, поддерживающее функции самотестирования, например блок мониторинга, который проверяет периодический вывод определенных битовых комбинаций

Компаратор (сравниватель) для двухканальных структур

Описание: два канала с аппаратным компаратором: а) сигналы обоих процессорных блоков сравниваются с помощью аппаратного блока циклически или непрерывно. Компаратор может быть блоком внешнего тестирования или сконструирован как устройство самоконтроля, или б) сигналы обоих каналов сравниваются с помощью блока обработки. Компаратор может быть блоком внешнего тестирования или сконструирован как устройство самоконтроля

Взаимное сравнение двух каналов

Описание: используются два резервных блока обработки, которые взаимно обмениваются данными, относящимися к безопасности. Сравнение данных выполняется каждым блоком

Процедура блокировки с избыточностью в одно слово (например, формирование подписи через ROM шириной в одно слово)

Описание: в этом тесте содержимое ROM сжимается по определенному алгоритму по крайней мере до одного слова в памяти. Алгоритм, например циклическая проверка избыточности (CRC), может быть реализован с использованием аппаратного или программного обеспечения

Сохранение слов с многоразрядной избыточностью (например, модифицированный код Хэмминга)

Описание: каждое слово памяти расширяется на несколько избыточных битов для получения модифицированного кода Хэмминга с расстоянием Хэмминга не менее четырех. Каждый раз, когда читается слово, можно определить, имело ли место повреждение, проверяя избыточные биты. Если обнаружено различие, необходимо, чтобы система перешла в безопасное состояние

Процедура обеспечения безопасности блоков с репликацией блоков

Описание: адресное пространство оборудовано двумя запоминающими устройствами. Первое запоминающее устройство работает обычным образом. Второе запоминающее устройство содержит ту же информацию, и доступ к нему осуществляется параллельно с первым. Выходные данные сравниваются, и при обнаружении разницы предполагается сбой. Для обнаружения определенных видов битовых ошибок данные должны храниться в обратном порядке в одном из двух запоминающих устройств и повторно инвертироваться при считывании. В программной процедуре содержимое обеих областей памяти циклически сравнивается с помощью программы

Блочно-безопасная процедура с многословной избыточностью

Описание: эта процедура вычисляет подпись с использованием алгоритма CRC, но результирующее значение имеет размер не менее двух слов. Расширенная подпись сохраняется, пересчитывается и сравнивается, как в случае с одним словом. При возникновении разницы выдается сообщение об ошибке

Избыточность в один бит, сохраняющая слово (например, мониторинг ROM с битом четности)

Описание: каждое слово в памяти расширяется на один бит (бит "четности"), который завершает каждое слово четным или нечетным числом логических единиц. Четность слова данных проверяется при каждом его считывании. Если найдено неправильное число 1, выдается сообщение об ошибке. Выбор четной или нечетной четности должен быть сделан таким образом, чтобы в случае сбоя любое из нулевых слов (ничего, кроме 0s) и одного слова (ничего, кроме 1s) было более неблагоприятным, тогда слово не является допустимым кодом. Проверка четности также может использоваться для обнаружения сбоя адресации, когда проверка четности вычисляется для объединения слова данных и его адреса

Проверка с помощью тестового шаблона наличия статических или динамических неисправностей, например тест оперативной памяти "дорожка обхода"

Описание: тестируемый диапазон памяти инициализируется однородным потоком битов. Затем первая ячейка инвертируется, а оставшаяся область памяти проверяется, чтобы убедиться в правильности фона. После этого первая ячейка повторно инвертируется, чтобы вернуться к исходному значению, и весь процесс повторяется для следующей. Выполняется второй запуск "модели блуждающего бита" с обратным предварительным назначением фона. Если возникает разница, необходимо, чтобы система перешла в безопасное состояние

Процедуры обеспечения безопасности блоков при репликации блоков, например двойная оперативная память с аппаратным или программным сравнением

Описание: адресное пространство оборудовано двумя запоминающими устройствами. Первое запоминающее устройство работает обычным образом. Второе запоминающее устройство содержит ту же информацию, и доступ к нему осуществляется параллельно с первым. Выходные данные сравниваются, и при обнаружении разницы предполагается сбой. Для обнаружения определенных видов битовых ошибок данные должны быть сохранены в обратном порядке в одном из двух запоминающих устройств и снова инвертированы при считывании. В процедуре программного обеспечения данные должны быть сохранены в обратном порядке в одном из двух запоминающих устройств. Содержимое обеих областей памяти циклически сравнивается с помощью программы

Проверка на наличие статических и динамических неисправностей, например GALPAT

Описание: а) тест оперативной памяти GALPAT: обратный элемент записывается в стандартную предварительно назначенную память, а затем проверяются все оставшиеся ячейки, чтобы убедиться в правильности их содержимого. После каждого доступа для чтения к одной из оставшихся ячеек в дополнение к этому также проверяется и считывается обратно описанная ячейка. Этот процесс повторяется для каждой ячейки. Выполняется второй запуск с обратным предварительным назначением. Предполагается сбой, если есть разница, или б) прозрачный тест GALPAT: в начале теста с помощью программного или аппаратного обеспечения формируется подпись относительно содержимого тестируемого диапазона памяти, и это сохраняется в регистре. Это соответствует предварительному назначению памяти в тесте GALPAT. Содержимое теперь записывается в тестовую ячейку перевернутым образом и проверяется содержимое остальных ячеек. Содержимое тестовой ячейки также считывается после каждого обращения для чтения к одной из этих ячеек. Поскольку содержимое остальных ячеек действительно неизвестно, их содержимое проверяется не по отдельности, а путем повторного формирования подписи. После этого первого запуска для первой ячейки выполняется второй запуск для этой ячейки с содержимым, которое было инвертировано несколько раз: т.е. содержимое, которое снова является реальным. Таким образом, восстанавливается исходное содержимое памяти. Все остальные ячейки памяти тестируются таким же образом. Предполагается сбой, если есть разница

Многоканальный параллельный вход

Описание: это зависящее от потока данных сравнение независимых входных данных, соответствующих определенной области допуска (значению времени)

Обратное считывание выходных данных (контролируемый выходной сигнал)

Описание: это зависящее от потока данных сравнение выходных данных с независимыми входными данными, соответствующими определенной области допусков (время, значение). Сбой не всегда может быть связан с дефектным выходным сигналом

Многоканальный параллельный выход

Описание: это избыточность выходных данных, зависящая от потока данных. Распознавание сбоев происходит непосредственно в рамках технического процесса или с помощью внешних компараторов

Безопасность кода

Описание: эта процедура защищает входную и выходную информацию в отношении совпадающих сбоев и систематических сбоев. Она обеспечивает распознавание сбоев в блоках ввода и вывода в зависимости от потока данных с информационной избыточностью и/или временной избыточностью

Тестовый образец (модель)

Описание: это независимое от потока данных циклическое тестирование входных и выходных блоков, выполняемое с помощью определенной схемы тестирования для сравнения наблюдений с соответствующими ожидаемыми значениями. Информация о шаблоне тестирования, прием шаблона тестирования и оценка шаблона тестирования должны быть независимы друг от друга. Следует предположить, что протестированы все возможные входные шаблоны

Сторожевой таймер с отдельной временной базой

Описание: аппаратный таймер с отдельной временной базой срабатывает при правильной работе программы

Взаимный мониторинг

Описание: аппаратный таймер с отдельной временной базой запускается при правильной работе программы другого процессора

Сочетание синхронизации и логического контроля последовательности выполнения программы

Описание: средство, отслеживающее последовательность выполнения программы по времени, повторно запускается только в том случае, если последовательность разделов программы выполнена правильно

1 E-3 <= FI

> 0,5 E-2

1 E-4 <= FI < 1 E-3

0,5 E-3

1 E-5 <= FI < 1 E-4

0,5 E-4

1 E-5 <= FI < 1 E-5

0,5 E-5

1 E-5 <= FI < 1 E-6

0,5 E-6

FI < 1 E-7

< 0,5 E-7

Примечания

1) IA, IB, IC, IIB, IIIA - корректирующие действия, необходимые для смягчения воздействия и, если это практически возможно, устранения его;

2) IIC, IIIB - корректирующие действия, необходимые для смягчения последствий;

3) IID, IIIC, IIID - анализ и определение, возможно ли технически какое-либо дальнейшее смягчение последствий;

4) IIIE, IVC, IVD, IVE - никаких действий не требуется.