GB/T 38293-2019 船舶和海上技术 计算机应用 船用可编程电子系统开发及使用总则 GB/T38293-2019 标准压缩包解压密码：www.bzxz.net

ICS47.020.99
中华人民共和国国家标准
GB/T38293—2019/ISO17894:2005船舶和海上技术计算机应用
船用可编程电子系统开发及使用总则Ships and marine technology-Computer applications-General principles for the development and use of programmableelectronic systems in marine applications(1SO17894:2005.IDT)
2019-12-10 发布
国家市场监督管理总局
国家标准化管理委员会
2020-07-01实施
GB/T 38293—2019/IS017894:2005前
一致性声明
规范性引用文件
术语和定义
符号和缩咯语
6本标准的应用
7船用PES原则
附录A（资料性附录）
本标准使用的术语和概念
船用PES原则使用指南
附录B（资料性附录）
附录（（资料性附录）船用PES全生命周期指南附录D（资料性附录）
附录F（资料性附录）
船用PES牛命周期输出清单
原则在生命周期中的应用
船用PES原则
附录1（资料性附录）
参考文献
不标准按照CB/T1.12009给出的规则起草GB/T38293—2019/1S017894.2005本标准使用翻译法等同采用IS017894：2005《船舶和海上技术计算机应用」船用川编程电子系
统开发及使用总则》
本标准做了下列编辑性修改：
第6章的段落增加了编号，
与本标准中规范性引用的国际文件有一致性对应关系的我国文件如下：GB/T19000一2016质量管理体系：基础和术语（ISO9000：2015，IDT）本标准由全国海洋船标准化技术委员会（SAC/TC12）提出并归口本标准起草单位：中国船舶工业综合技术经济研究院。本标准主要起草人：工卉隽、赵晨宁。1范围
GB/T 38293—2019/ISO17894:2005船舶和海上技术计算机应用
船用可编程电子系统开发及使用总则本标准规定了一组开发和使用可靠的船用川编程电子系统的强制性原则、推荐性准则和相关的指南。本标准适用于带有可能影响船舶安全或有效工作的可编程单元的任何船用设备。本标准包括这类系统的技术要求、操作、维修以及评估各个方面的信息。其中原则和指南人部分基于国家标准和国际标的要求：源标准资料及具相关文件见参考文献，注：本标准不接涉及与！体设备类型或功能有关的性能、试验或试验结果要求，对于这类情况.可采川现行有效的或其组成部分的标准，例如.有关导航与无线电通信设备可采用IEC60945，责任部门（例如.国家主普部门、级社或其他合相关方)将确定本标准的适用性以及潜在冲突出现时的待殊要求，2一致性声明
任何组织说明其系统符合本标准要求时，应提供满足第7章阐述的原则的证据：该证据应得到独文评估人员的认可。可通过满足第7给定的准则或采用独立评估人员认可的替代方法米实现。注：在第7章的每项原则下详细给出评估准则、3规范性引用文件
下列文件对丁本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用丁本文件。凡是不注日期的引用文件.其最新版本（包括所有的修改单)适用于本文件。ISO9000，2000)质量管理休系基础和术语（QualitymanagcmcntsystemFundamcntalsandyocabulary)
1SO9211-2使用视觉显示终端（VDTs）办公的人机T.程要求第2部分：任务要求指南Ergnomic requirements for oflice work with visual display lerminals (VDTs) Par1 2: Guidance on laskrequirenents.
ISO9241110使用视觉显示终端（VDTs)办公的人机T程要求第10部分：对话原则LErgonomicrcquircments lor oflicc work with visual display terminal: (VD'Ts)-Part lo: Dialoguc principlesIS09241-11使用视觉显示终端（VD)Ts)办公的人机上程要求第11部分：用性指南Erg0nomic requirements for office work with visual display terminals (VDTs)Part ll: Guidance on usability]
ISO10007质量管理体系认证管理指南（Qualitymanagement systemsGuidelineslorconfigurationmanagcmcnt
1s013407以人为中心的交互系统设计过程（Human-centrcddesignprocesscsforintcractivesystems)
ISO/IEC23821信息技术问汇第1部分：基本术讯（Informationtechnology—VocabularyPart I: Fundamcntal terms)
ISO/IEC9126-1软件工程
量产品质量第1部分：质量模型（SotwareengineeringProduet1
GB/T38293—2019/IS0)17894:2005qualityPartl:Qualitymodel
JS(/IFC12207信总技术软件生命周期过程（Inlorimalion lechnologySoliwarelifecyeleprocesses)
1S0/1Ec:12207：1995/Amd.1?2002信息技术软件生命周期过程修正版1（Informationtcch-nologySoftware lifecycleprocessesAmendment 1)IS0/IEC12207：1995/Amd.2:2004信息技术软件生命周期过程修正版2（Informationtechnology-—Software life cyele processes-Amendment 2)IEC61069-1工业过程测量和控制系统评估中系统特性的评定第1部分：术语和基本概念(Industrial process neasurement and control-Evaluation of system properties for the purpose of system assessment-Part I: General considerations and mcthodology)IEC61508-4电气/子/可编程电子安全相关系统的功能安全第4部分：定义和缩略语（Functional safely of electrical/electronic/prograinmable electronic safety related systems-Part4:Definitions and ahbreviations)
IEFE6l0.12软件工程技术标准词汇（Standardglossaryofsoliwareengineeringtertninology）BS47783.1质量词汇可用性、可靠性和川维扩性术语概念与相关定义指南（Qualityvocabullary. Availability, reliability and maintainability terms. (Guide to conccpts and rclatcd definitions)BS4778-3.2质量词汇可用性、可靠性和可维护性术语国际术语词汇（QualityvocabularyAvailability,reliability and maintainability terms.Glossary of international terns)4术语和定义
下列术讲和定义适用于本标准：由于本标准中经常使用的定义与所列标准之间的某些不致性：在此对下列参考的定义进行了说明，附录A详细述了本标准中的关键术语表达的概念。4.1
context of use
使用背景
用户、几标、任务、设备（硬件、软件和材料)以及使用某产品的物理和社会坏境LIS0924111
注：木标准使用该术语的详细情况参见A.24.2
危险失效dangerousfailure
使安个树关系统处于潜在的危险或丧失功能状态的失效[IEC61508-4
注：潜在的危险是否变成事实可能最决于系统的通道结构.为提高安全性而设多通道的系统中。一个危险失效很少会宁致整体危险或丧失功能的状态4.3
可信性dependability
假定提供所需的外部资源：系统能在规定的条件下，在给定的时间或时间段内专门开止确地完成项任务的程度。
[IEC610695]
失效failure
产品完成要求功能的能力的终止。[IEC 50(19]]]
GB/T38293—2019/IS017894:2005注：案错是指易导致故障的种系统状态。发生故障是由于系统有差错「IFC6150847，差错是计算的观察的或测量的值或条件与真值，规定的或理论上正矿的值或条件之问的差异。（1EC60050-191：[BS477S]）故障faulu
除非是在预防性维护或H他计划的活动期间，或名是出丁缺少外部资源的情况下，功能单儿不能执行要求的功能的状态。
LIEC50(191))
容错fault tolerance
呆此给定的次一级功能单元行在故障的情说下，使功能单元能够执行要求的功能的属性。IIEC615084.IEC50(191),BSA7784.7
危害hazard
在产品、系统或整套装晋的寿命期内可能发牛的对人员、财产、环境有潜在伤害和损害，或造成经济损失的情形。
[3S4778
可编程电子系统programmablecleetronicsystem基丁一个或多个川编程电子装置，用丁控制、保护和监视目的的系统，连接到(和包括)输入装置(例如，传感器）和/或输出装置/最终的元素（例如：执行元件）。注1：术语1PES包括系统的所有元素，含电源，护展的传感器或其他输人装置，经过数据高速路或其他通信路径达到执行元件或H他输出装置。
注2：本标准使用的术语的详细情况参见 A.1IEC615084
风险risk
发生危害造成损坏的情况的可能程度与损坏的严重等级，[iSO/IECGumide:5l:1999
注：木标准使用的术语的详细情况参见A.34.10
软件soltware
信息处理系统的全部或部分程序、流程、规则利树关文档[1S0/1EC2382-1:1993]
system life cyele
系统生命周期
在一个时间内发生的活动，该时叫段从构思系统开始到不再使用系统时结束。[1EC 61508-4
任务task
活动分解成最易丁出特定用理解和执行的层次时的最小不川分部分。LBS4778]
注：任务和功能之问存在有一定的区别动能定义为中系统完成的基本操作，与系统其他基本操作（系统功能）相结合，使得系统能够完成任务_IEC610691]、功能是系统的属性，而任务是由用广在1作系统内执行的。3
GB/T 38293—2019/ISO17894:20054.13
可用性usability
为特定用户可行有效和满意地完成特定的口标，产品在特定使用货景可以使用的程度LISO 9241 11]
用户user
与系统交互作用的个人［IS09241-10和IS09241-2或使用软件完成某些任务的人员，[1FEE 610.12]
注1：对于CTS产品.用户包括为满足具体系统所要求的功能对产品进行客户化设计的人员。在系统全生命周期·PES客户化设计或维护人员也将足系统某些方面的用户。注2：要到PS的输出、运行或存在的影响，但不直接与PFS交互作用的个人或闭体划分为利益所有者，注3：在木标准的附录中，“用户”词的范围有时扩大到提到的预期或实际的使川者、该使用者可以包括利益所有者，例如，维护人员、船东管理人员和其他不同的川广州体4.15
确认validation
通过提供客观证据，对已满足特定的预期用途和应用要求的认定。1S09000:2000
注：确认证实PES在安装前或发装后符合对PES 的要求。4.16
verification
通过提供客观证据，对已满足详细要求的认定。［ISO 9000:2000
注：本标推中.验证是证实特定生命周期阶段的可交付成果与该阶段输人相匹配的行为。5符号和缩略语
下列符号和缩咯语适用于本文件。COTS：商用成品构件（commercialofftheshelf)）PE：可编程电了装置（programmableelecironicdevices）PES：川编程电子系统（progrannableelectronic system）V&V：验证和确认（vcrificationandvalidation）SIL：安全完整性等级（saletyintegritylevel）6本标准的应用
6.1本标准为船用PES的研制和使用制定厂-组顶层原则。这些原则的划分未超出产品和过程两个方面。为了避免使用者认为一项具体原则仅用于一个H体的情况，未对原则做逊一步划分，6.2所使用的术语已有定义.们可被重新解释。解释的范固是有针对性的，并旨在加强该方法的有效性。允许在广义的PES范用内阐述原则及相关的评估准则（在每项原则下列出）。由于本标准将适用于所有PES，因此这·点很重要，船舱及其系统的业务要求范国是」泛的和多方而的·所有的系统是船崩全系统的红成部分。船用PES的评估人员，开发人员或用户卢能够根据PES使用背景注重特定的使用原则。
6.3评估期间，作为第7章中每项原则的了项给定的准则，H所闹述的内容是PES完整性所必需的最A
GB/T 38293—2019/ISO17894:2005低要求。因此,对于标准的使用者而，不需要完全采纳用于所有PES的所有建议·只需考虑所有PES你准的基本意图。宜始终考风险和使用背景（包括评估期间）。6.4附录B给山的指南对低风险和高风险这两类PES原则的解释提供了建议。在各种风险情况下所采取措施的兵体建议适用于支撑标准。6.5组织对于不同的一致性范国，有不同的责任等级：在任何具休方案中，风险等级、实用性和生命周期阶段部将是制定原则的解释和应用的要素。这些原则宜作为对丁所有PES的一般安全性要求。6.6所有者需要考虑并记录他们希望为船用PES创建的使用景，然后宜分配期望由PES实现的功能并定义这些系统的用户需求。6.7新建/改建船舶的建造方或H他PES集成方宜在各白的上作中遵循这些原则，并要求每个分承包方和设备供成方同样遵循这此原则6.8船用PES的购买方立认识到其船舶运行的某些部分是借助于计算机软件的。为了使本项特殊技术产生的任何风险最小化，在船舶寿命期中PES的使用和维护宜采用本标准中的原则。6.9实现本标准所述的PES的开发和运行方法的实施需要管埋方而的支持。在多数情况下，组织内部其有PES开发和/或支持牛命周期的岗位。这方面与附录（和附录1）巾描述的牛命周期皮其输出越匹配，标雅越容易被接受。
6.10附录B包含『关于每项原则的概要.并且还对其体参与方或生命周期中的具体阶段提供了专门的指南。附录E阐述了在系统牛命周期中使用标准相关的问题、行为和责任。附录F列出广每项原则，wwW.bzxz.Net
6.11实现木标准的要求，需要PES开发方、运营方和评定其一致性的组织之问的协作、思考和分担责任。为广保证具体的PES衍合各项原则，评估人员根据从各项原则到要求的证据进行工作。被评估的部分亢从特定的PES要求逐渐达到评估人员要求的证据和V&V计划。结果将作为用于硬件、软件、数据、文档和培训.一份试验/支持方案的一致性证据，并指定提供证据和满足要求的可信度。附录（和附录1)给出了-牛命周期和项日输出列表，可作为规定证据的基础，6.12本标准的使用者能熟悉质量管现、系统工程、安全工程和软件工程以及人因工程的概念。参考文献列出了涉及这类主题的标和H他文件。建设使用者在阅读第学章之前，分析各个附录，特别是附录AB.1和B,2、附录C和附录E.从而提高对通用系统标准与设备标准或专用标准（例如.导航设备标准)之间的关系的理解。
7船用PES原则
7.1船用PES的用途
应证明PES适用于用户和特定使用背景下给定的任务。应向其用户和其他系统交付正确、实时、允分和明确的信息。在PES全生命周期内，硬件和软件应正常工作。为实现以上日标，全生命周期中PES及其相关部件能满足下述原则7.2船用PES产品原则
7.2.1原则一
PES应避免危害人员或环境的不可接受的风险山PES的固有（物理的)性质和功能特性两方面造成危害的风险宜降低到可接受的水平。引起这些风险的因素可包括机械、电气、热、噪市/振动、起火和爆炸、化学、生物、辐射和职业健康，
b）与PES有关的可接受风险宜以H所有工况条件下的预期用途，以及适度的可预测的误操作为GB/T 38293—2019/IS()17894:2005基础，
7.2.2原则二
P2—如果PES发生失效.应保持在或恢复到最低危险状态，a）宜提供在危险失效导致危害状态之前检测危险失效的方法；当危险失效发生时，PES宜保持在或复位到安全状态：b)
它提供多个方法通知用户出现了失效。7.2.3原则三
P3—PES应提供满足用户需求的功能。a），对丁所有定义的操作条件宜达到PES的功能要求，提供的功能集宜适合相应的任务。包括适用的监视、控制、报告、保护和信总处理功能。b）
当有要求时，能接要求提供选择和执行功能的适用方法。提供的功能宜考虑用户的特点。d）
7.2.4原则四
P4——应在用户和PES之间适当地分配功能a）超山人的操作能力和限度的功能宜分配给PES；h）
分配给用户的功能的复杂性方与用户技能和能力相匹配：在任务口标和用户工作量方面，分配给用的功能宜形成组有指定作用的工其。c
7.2.5原则五
P5——PES应有容错性，
a）PES宜拆绝来外部系统不正确和不正常的输入，或山PES做出适当的校正。b）PES界面亢帮助用户避免输入差错，并I能够检测到输入时出现的差错，在出现差错的同时尚用户报警，
在有故障和输入差错时，为获得结果PES所需要的修止量宜为最少。d）PES宜H有明确的特性用丁检测并应对以下故障：1）硬件和软件的原有设计缺陷；2）环境的影响。
c）保护功能利设备操作不它受其他功能和设备失效的影响。7.2.6原则六
当用于特定操作和环境条件时，PES应保持精确度、时效性和资源利用的特定等级，a）对丁每个特定操作和环境条件,PES宜按要求的等级保持所有输出的精确度、频率和持续时间：
h）对于所提供的全部功能,PES它保持要求的响应速度和处埋的持续时间，7.2.7原则七
P7—应防止未经授权对PES 的访问a）宜防止末经授权操作或重新配置PES：b）宜保护数据、软件和硬件不受末经授权的修改。6
7.2.8原则八
GB/T 38293—2019/IS17894:2005P8一PES应是用户可接受的,并且在规定条件下支持有效的和有效率的操作。a）PES界面宜考虑任务环境和性能要求，以及典型用广的特点和能力；h）呈现给用的大量信息它设计为在所有操作环境下均是可埋解的、精确的和可接受的：定避免不必要的操作顺序：
在典型的任务条件下，为了运行的有效性和效率，完工系统的操作亢符合定义的要求：d)
完工系统宜满足典型用户对可接受性所定义的要求，e)
7.2.9原则九
PES的操作应保持一致，并应符合用户对基础处理过程的期望，a）亢明确PES的用户模式（要求的权限、特性和对实物或其他装置的模拟）；输入输出（I/))装置、格式和对话宜与用户特性和任务匹配：b）
界面的特性及外观宜一致；
定义并协调界而的代码和衍号：d)
反馈和注释亢是准确、易解和贴切的；0
系统的交五作用，以及界面和特性亢与典型的用户期望相匹配。原则十
——PES和用户之间的交互应由用户控制，P10-
a）宜确定操作人员控制界面的安全限值，并与预期的用户特性范围相协调：b）输出、反馈和说明宜为可调整的，以适用于用户特性和任务需求；c
输人/输出数据的臂代表示方法宜川满足用户分类的需求：用宜能够控制与PES交互作用的次序和速度.以实现安全有效的控制：d
如果对话被中断，用它能安全地重新启动；0
宜提供替代的交互方法，以支持用户预期范国的安全操作，7.2.11
原则十一
P11—PES应支持适当的安装和维护，包括修复和修改a）PES它采用模块化和层次化结构.具备与其他设备之间的简单接口。b）可互换的PES纠件亢使用以下纠件直接更换1）与其他组件简单、松散耦合的接口：2）明确的标识。
PES宜支持有效的诊断·用丁识别放障组作，d)h
PES宜支持修复或修改后的检验和试验e）
故障后，PES亢能在舰定的次数内恢复到运行状态。7.3船用PES的生命周期原则
7.3.1通则
为广成功地实现并使用可靠的船用PES.要求在PES全牛命周期中采用系统的方法，对于为了符合7.2定的产品原则所采用的任何方法，下述内容为关键要求，GB/T38293—2019/IS()17894:20057.3.2原则十二
P12——应按系统的方法计划并构成PES全生命周期活动。注：在备川件、维修程序和培训人员方而.适作的船上维护保障属于本原则覆盖的具体问题。l）宜确定生命周期阶段，包括规定输人、输出和活动的基本任务；b）牛命周期阶段它被组织并结构化为有规律的序列供送代使用；C）宜适当准备涉及全生命周期活动的计划，并遵循这些计划，7.3.3原则十三
在全生命周期内应进行适当的活动以实现要求的安全等级。对于所有操作条件和合理地可预见的误用，宜在生产的所有阶段识别与PES有关的危害；a)
宜估计和评定与每种危害有关的风险的可接受性：b）
宜通过消除危害或通过执行指定的保扩方法降低风险至川接受的等级；它以及时的方法将分配的安全贞任通知到体人员：d)
全生命周期，亢生成并维护对危害或风险管理结果的说明：宜在将要提供的安全功能和每个安全功能完整性要求方面规定PES的安全要求；当确定危害、风险和安全要求时.宜满足适用的法律、标准和规则的要求；由PES实现的安全等级穴由指定的和独立的评估人员判定：h)
定将所实现的安全等级的判定编制成文档，并可追潮至安全要求7.3.4原则十四
P14————在全生命周期内应开展以人为本的活动a
PFS的生命周期宜是送代的，以便它满足明确定义的用户任务和日标。b）
PES宜考急适用的人机工程学，
宜在PES的整个生命周期中，由其备多学科技能的团队考虑用广特征。c）
d）审通过用户反馈促进PES的发展，可通过以下方式获得：1）米白所有利益团体的用户：
2）有代表性的用户；
3）系统的接用户体验和样机。
7.3.5原则十五
P15——在全生命周期内应进行验证或确认活动。a）每个生命周期阶段宜由验证活动结束：h）验证和确认活动的贵任人员立是独文的，与完成被验证和被确认的生命周期输出的贡任人员没有关系：
c宜依据相应的PES要求进行PES确认；d）宜规定用于验证和确认活动的准则、技术和1.其；e)
宜通过可追溯至安全要求的试验案例对所有安全功能进行试验；宜验证和确认所有PES的修改。
7.3.6原则十六
与全生命周期有关的各方应具有并且运行质量管理体系，a)
质量体系宜与有关的标准或实际规则相协调8
h）宜在全牛命周期进行质量活动；GB/T38293—2019/1S17894:2005C）宜规定并服从与质量、安全、验证、确认和评估活动有关任务的独立要求7.3.7原则十七
P17———应在全生命周期内考虑船舶系统现行的要求，a）定识别PES可适用的法律，标准和法规；b）宜证明PFS要求与可应用的法律、标准和法现的一致性。7.3.8原则十八
—应编制适用的文档，以保证PES的全生命周期活动能有效完成。P18-
a）文挡对于其使用的亢是准确、无歧义、易班解、适用的，并及时编制：b）文档亢可追溯 PES与指定要求的一致性；e）宜定义、编制每个生命周期阶段要求的文档.并逆行文档控制。注：包括PES的措述，PES的要求、危害描述和风险管理结果，计划、验让利确认规范和结果、设计文挡用户于奶安装和维修手。
d）宜保留生命周期活动的记录.用于证明成功地实现月标；e）用户于宜包括正常和非正常操作条件的程序。7.3.9
原则十九
在任何生命周期活动中，负责人员应有能力履行他们的职责a）人员能力宜包括对其指定职责的相应培训、知识、经验和资格：b）人员能力宜经过证明并存有档案；人员能力宜不断提高；
团队的能力和文化宜支持团队成员完成项日和/或系统日标，原则二十
在全生命周期内应标识和控制PES的配置a）宜清晰标识PES配置组件方面的结构及分解关系，h）
宜识别定义PES组件功能和物埋特性的文档,包括修改，并可追溯到组件：e
定定义生命固期中组件受配置控制的各阶段d)
对于每一个相关的生命周期阶段，亢可识别当前认可的PES配置，包括硬件、软件和数据元素在内。
PES组件的当前检查和测试状态宜非常清晰e)
对PES配置的所有修改都宜在配置控制下进行：f）
定采用避免由环境影响导致文档失效的方式.保存PES配置文档，9
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。