TTAF 331.1-2026 信息通信产品运行安全完整性 第1部分：总体要求

ICS33.050CCSM30团 体 标 准T/TAF331.1—20261OperationSafetyintegrityofinformationandcommunicationproduct—Part1:Generalrequirements2026-02-09发布 2026-02-09实施电信终端产业协会发布T/TAF331.1—2026T/TAF331.1—2026T/TAF331.1—2026T/TAF331.1—2026版权声明本文件的版权属于电信终端产业协会，任何单位和个人未经许可，传播、发行、合订和宣贯等，也不得未经允许采用其具体内容编制本团体以外各类标准和技术文件。如有以上需要请与本团体联系。邮箱：tafrb@电话：电话AGE\*ROMANPAGE\*ROMANIIIPAGE\*ROMANPAGE\*ROMANII目 次前言 III引言 IV1范引文件 1语定义 1略语 22全命期 3品义 4目的 4内要求 4输成要求 4险风分析 4目的 5内要求 5输成要求 5全求范 5目的 5内要求 5输成要求 6全计 6目的 6内要求 6输成要求 8发现 8目的 8内要求 8输成要求 9成证 9目的 9内要求 10输成要求 11T/TAF331.1—2026T/TAF331.1—2026T/TAF331.1—2026T/TAF331.1—2026行护 1113.1目的 11内要求 11输成要求 11141214.1目的 12内要求 12输成要求 12附录A（范）技和措选指南 13概述 13在命期阶统层控故和效技术措施 13在命期阶件层控故和效技术措施 14在命期阶件层控故和效技术措施 15前 言GB/T1.1—20201T/TAF3311T/TAF331——第1部分：总体要求。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由电信终端产业协会（TAF）提出并归口。（本文件主要起草人：路晔绵、张治兵、吴荣春、陈鹏、钟依彤、周继华、吴翔宇、陈玺、龚志红、宋祥烈、李丹、邓科、王羲文、高露凯、刘向东、王玥。引 言T/TAF331T/TAF331拟由——第1部分：总体要求。目的在于明确信息通信产品运行安全完整性总体要求，包含信息通信产品运行安全完整性概述以及系统、硬件、软件运行安全完整性要求。——第2部分：等级确定指南。目的在于明确信息通信产品运行安全完整性等级确定的基本方法。——第3部分：评估指南。目的在于明确信息通信产品运行安全完整性评估流程及具体方法。T/TAF331.1—2026T/TAF331.1—2026T/TAF331.1—2026T/TAF331.1—2026PAGEPAGE11PAGEPAGE10信息通信产品运行安全完整性第1部分：总体要求范围本文件适用于信息通信产品运行安全完整性设计、实现、评估等环节。（GB/T20438（所有部分）电气电子可编程电子安全相关系统的功能安全GB/T20438界定的以及下列术语和定义适用于本文件。3.1安全完整性safetyintegrityGB/T20438.4—2017，安全状态safestate在故障（3.4）或失效（3.8）情况下，没有不合理风险（3.3）的运行模式。3.3风险risk网络运行事故发生的可能性及其严重性的组合。3.4故障fault可能导致功能单元执行要求功能的能力减低或丧失的异常状况。[来源：GB/T20438.4—2017，3.6.1]3.5故障容错时间间隔faulttoleranttimeinterval安全功能未被激活情况下，从故障（3.4）或失效（3.8）发生到可能发生网络运行事故的最短时间间隔。3.6降级degradation功能缩减、性能降低或两者均有的状态。3.7鲁棒性robustness在无效输入或有压力的环境条件下正确工作的能力。3.8失效failure可能导致预期行为终止的情况。3.9失效率failurerate工作到某一时刻尚未失效的实体，在该时刻后，单位时间内发生失效的概率。3.10危险hazard导致网络运行事故的潜在根源。3.11信息通信产品informationandcommunicationproduct组成信息通信网络或提供信息通信服务的软硬件或系统。3.12运行安全完整性operationsafetyintegrity信息通信产品成功执行避免或降低网络运行风险（3.3）的安全功能的概率。3.13诊断diagnostic对故障（3.4）的探测。3.14诊断覆盖率diagnosticcoverage由实现的安全功能探测或控制的失效率（3.9）占总体失效率（3.9）的百分比。3.15组件element由一个或多个软硬件单元组成的执行一个或多个安全功能的实体。缩略语下列缩略语适用于本文件。OSIL：运行安全完整性等级（OperationSafetyIntegrityLevel）概述OSILGB/TOSIL分为OSIL1~OSIL4OSIL4OSILOSIL67～14AOSIL3、安全要求规范3、安全要求规范2、危险和风险分析11、产品定义88、报废7、运行维护6、集成验证5、开发实现4、安全设计图1典型安全生命周期阶段表1典型安全生命周期阶段概述安全生命周期阶段内容要求所在章节输出图1中的编号标题1产品定义确定产品应用场景、功能、组成部分、边界，以及与环境的依赖性和交互等7产品描述2危险和风险分析确定产品可能的故障和失效模式，分析可能造成的危险和危险事件，确定产品运行安全目标及其对应的运行安全完整性等级OSIL8产品运行安全目标和对应的运行安全完整性等级OSIL表2典型安全生命周期阶段概述（续）安全生命周期阶段内容要求所在章节输出图1中的编号标题3安全要求规范根据产品运行安全目标和对应的OSIL等要求9产品安全要求规范4安全设计根据安全要求规范，确定安全功能实现方案10产品安全设计规范5开发实现根据产品安全设计规范，完成产品安全功能的开发和实现，使其满足安全功能和对应的OSIL等级要求11满足产品安全要求规范和安全设计规范的产品6集成验证将产品各部分进行集成；根据要求的安全功能及对应的OSIL等级，对产品安全功能进行适当的安全测试验证，确认产品满足安全要求12产品安全测试验证规范；产品安全测试验证结果7运行维护明确产品运行维护期间的安全要求13产品运行维护指导说明8报废明确产品报废的安全要求14产品报废指导说明目的产品定义阶段要求如下：此阶段执行完成后，应形成产品描述文档，其中内容应满足7.2小节的要求。目的本阶段的目的是：确定防止危险事件发生或减轻其危害程度的运行安全目标及相应的OSIL危险和风险分析阶段要求如下：应针对每个故障和失效分析其发生危险事件的可能性和后果，确定其运行安全完整性等级OSIL；OSIL1为危险事件所确定的OSILOSIL在确定OSIL等级时，应识别其中使用到的或从中得出的假设（）；在危险和风险分析阶段执行完成后，应输出以下成果：8.2产品运行安全目标和对应的运行安全完整性等级OSIL列表，明确每个运行安全目标（目标OSIL目的本阶段的目的是：根据危险和风险分析阶段得出的运行安全目标，明确产品应实现的安全功能和对应的OSIL等级。安全要求规范阶段要求如下：应为每一个运行安全目标导出至少一项安全功能要求；但若运行安全目标的实现依赖于外部应将运行安全目标对应的OSILOSIL）OSIL9.2目的根据产品安全要求规范，确定安全功能实现方案，确定各层级架构设计。安全设计阶段通用要求如下：OSIL系统层面安全设计附加要求如下：硬件层面安全设计附加要求如下：OSIL应考虑硬件元器件或硬件组件的运行条件,以确保硬件元器件或硬件组件在其规格范围内运在硬件架构设计时，应考虑硬件组件失效的非功能性原因，如果适用，可包括以下的影响因软件层面安全设计附加要求如下：此阶段执行完成后，应输出产品安全设计规范，内容应满足10.2小节的要求。目的OSIL开发实现阶段通用要求如下：OSIL内容。系统层面开发实现阶段附加要求如下：硬件层面开发实现阶段附加要求如下：OSIL为了满足硬件层面的运行安全完整性要求，不同OSIL足表表3不同OSIL等级下硬件失效率和诊断覆盖率要求硬件失效率诊断覆盖率高（≥99%）中（≥90%）低（≥60%）≤10-7OSIL4OSIL3OSIL2≤10-6OSIL3OSIL2OSIL1≤10-5OSIL2OSIL1--软件层面开发实现阶段附加要求如下：OSIL一个软件分区不能改变其他软件分区的代码或数据,也不能控制其他软件分区的非共享资源；此阶段执行完成后，应输出满足11.2小节要求的产品和安全手册。目的集成验证阶段通用要求如下：证据；安全测试验证的结果应归档，记录实际测试结果以及是否满足预期结果；若存在失败的安全系统层面应针对以下内容进行安全测试验证：鲁棒性（如高并发请求、长时间运行场景下的测试）。硬件层面安全测试验证的要求如下：软件层面安全测试验证的要求如下：软件安全测试环境应考虑目标环境要求，若安全测试无法在目标环境或与目标环境配置相当此阶段执行完成后，应输出以下成果：满足12.2目的运行维护阶段要求如下：此阶段执行完成后，应输出满足13.2小节要求的产品运行维护指导说明。报废目的报废阶段要求如下：BB附录A（规范性）技术和措施选择指南概述本附录中表格内容的说明如下：R“HR在某一OSIL等级下，独立项中标识为“HR”的方法即为本文件要求应在当前OSIL等级下选用使用未列入表中的其他方法替代了标识为“HR系统安全设计阶段应采取的技术和措施如表A.1所示。表A.1系统设计阶段的技术和措施序号技术/措施OSIL1OSIL2OSIL3OSIL41结构化设计HRHRHRHR2模块化HRHRHRHR3a半形式化方法RRHRHR3b检查表--RRR3c形式化方法RHR系统集成验证阶段应采取的技术和措施如表A.2所示。表A.2系统集成验证阶段的技术和措施序号技术/措施OSIL1OSIL2OSIL3OSIL41黑盒测试HRHRHRHR2a现场经验分析RRRR2b边界值分析RRHRHR2c基于知识或经验的错误猜测法RRHRHR2d功能的相关性分析RRHRHR表A.2系统集成验证阶段的技术和措施（续）序号技术/措施OSIL1OSIL2OSIL3OSIL42e环境条件和操作用例分析RHRHRHRA.3.1硬件安全设计阶段的技术和措施硬件安全设计阶段应采取的技术和措施如表A.3所示。表A.3硬件设计阶段的技术和措施序号技术/措施OSIL1OSIL2OSIL3OSIL41分层设计RRRR2硬件组件的精确定义接口HRHRHRHR3避免不必要的接口复杂性RRRR4避免不必要的硬件组件复杂性RRRR5可维护性RRHRHR6可测试性RRHRHR.2硬件开发实现阶段的技术和措施硬件开发实现阶段应采取的技术和措施如表A.4所示。.2硬件开发实现阶段的技术和措施硬件开发实现阶段应采取的技术和措施如表A.4所示。表A.4硬件开发实现阶段的技术和措施序号技术/措施OSIL1OSIL2OSIL3OSIL41a仿真--RRHR1b硬件检查或硬件走查--RRRA.3.3硬件集成验证阶段的技术和措施硬件集成验证阶段应采取的技术和措施如表A.5所示。表A.5硬件集成验证阶段的技术和措施序号技术/措施OSIL1OSIL2OSIL3OSIL41功能测试HRHRHRHR2a现场经验分析RRRR2b边界值分析RRHRHR2c基于知识或经验的错误猜测法HRHRHRHR2d功能的相关性分析RRHRHR2e环境条件和操作用例分析RHRHRHR2f内部和外部接口分析RHRHRHR2g重要变量分析HRHRHRHRA.4.1软件安全设计阶段的技术和措施软件安全设计阶段应采取的技术和措施如表A.6所示。表A.6软件安全设计阶段的技术和措施序号技术/措施OSIL1OSIL2OSIL3OSIL41故障检测--RHRHR2错误检测代码RRRHR3失效断言编程RRRHR4a故障恢复重试机制RR4b适度降级RRHRHR5模块化方法HRHRHRHR6a半形式化方法RRHRHR6b形式化方法--RRHR.2软件开发实现阶段的技术和措施软件开发实现阶段应采取的技术和措施如表A.7所示。.2软件开发实现阶段的技术和措施软件开发实现阶段应采取的技术和措施如表A.7所示。表A.7软件开发实现阶段的技术和措施序号技术/措施OSIL1OSIL2OSIL3OSIL41适当的编程语言HRHRHRHR2a已评估的工具和已评估的编译器RHRHRHR2b工具和编译器