SIST EN 50129:2019

SLOVENSKI STANDARD
SIST EN 50129:2019
01-februar-2019
Nadomešča:
SIST EN 50129:2003
SIST-TP CLC/TR 50451:2007
SIST-TP CLC/TR 50506-1:2007
SIST-TP CLC/TR 50506-2:2010
Železniške naprave - Komunikacijski, signalni in procesni sistemi - Signalno-
varnostni elektronski sistemi
Railway applications - Communication, signalling and processing systems - Safety
related electronic systems for signalling
Bahnanwendungen - Telekommunikationstechnik, Signaltechnik und
Datenverarbeitungssysteme - Sicherheitsrelevante elektronische Systeme für
Signaltechnik
Applications ferroviaires - Systèmes de signalisation, de télécommunications et de
traitement - Systèmes électroniques de sécurité pour la signalisation
Ta slovenski standard je istoveten z: EN 50129:2018
ICS:
35.240.60 Uporabniške rešitve IT v IT applications in transport
prometu
45.020 Železniška tehnika na Railway engineering in
splošno general
SIST EN 50129:2019 en,fr
2003-01.Slovenski inštitut za standardizacijo. Razmnoževanje celote ali delov tega standarda ni dovoljeno.

---------------------- Page: 1 ----------------------
SIST EN 50129:2019

---------------------- Page: 2 ----------------------
SIST EN 50129:2019


NORME EUROPÉENNE
EN 50129

EUROPÄISCHE NORM

EUROPEAN STANDARD
Novembre 2018
ICS 93.100 Annule et remplace les CLC/TR 50451:2007,
CLC/TR 50506-1:2007, CLC/TR 50506-2:2009 et
EN 50129:2003
Version française
Applications ferroviaires — Systèmes de signalisation, de
télécommunications et de traitement — Systèmes électroniques
de sécurité pour la signalisation
Bahnanwendungen — Telekommunikationstechnik, Railway applications — Communication, signalling and
Signaltechnik und Datenverarbeitungssysteme — processing systems — Safety related electronic systems
Sicherheitsrelevante elektronische Systeme für for signalling
Signaltechnik
La présente Norme européenne a été approuvée par le CENELEC le 2018-06-07. Les membres du CENELEC sont tenus de se soumettre
au règlement intérieur du CEN/CENELEC qui définit les conditions dans lesquelles doit être attribué, sans modification, le statut de norme
nationale à la Norme Européenne.
Les listes mises à jour et les références bibliographiques relatives à ces normes nationales peuvent être obtenues auprès du centre de
gestion du CEN-CENELEC ou auprès des membres du CENELEC.
La présente Norme européenne existe en trois versions officielles (allemand, anglais, français). Une version dans une autre langue faite
par traduction sous la responsabilité d'un membre du CENELEC dans sa langue nationale, et notifiée au centre de gestion du CEN-
CENELEC, a le même statut que les versions officielles.
Les membres du CENELEC sont les comités électrotechniques nationaux des pays suivants: Allemagne, Ancienne République yougoslave
de Macédoine, Autriche, Belgique, Bulgarie, Chypre, Croatie, Danemark, Espagne, Estonie, Finlande, France, Grèce, Hongrie, Irlande,
Islande, Italie, Lettonie, Lituanie, Luxembourg, Malte, Norvège, Pays-Bas, Pologne, Portugal, République Tchèque, Roumanie, Royaume-
Uni, Serbie, Slovaquie, Slovénie, Suède, Suisse et Turquie.


Comité Européen de Normalisation Électrotechnique
Europäisches Komitee für Elektrotechnische Normung
European Committee for Electrotechnical Standardization
Centre de gestion du CEN-CENELEC: Rue de la Science 23, B-1040 Brussels
© 2018 CENELEC Tous droits d'exploitation sous quelque forme et de quelque manière que ce soit réservés dans le monde entier aux
membres du CENELEC.
 Réf. No. EN 50129:2018 F

---------------------- Page: 3 ----------------------
SIST EN 50129:2019
EN 50129:2018

Sommaire Page
Avant-propos européen .4
Introduction .6
1 Domaine d'application .7
2 Références normatives .8
3 Termes, définitions et abréviations .9
3.1 Termes et définitions .9
3.2 Abréviations .18
4 Cadre général du présent document .19
5 Exigences relatives au développement de systèmes électroniques relatifs à la sécurité .21
5.1 Introduction.21
5.2 Processus de gestion de la qualité .21
5.3 Processus de gestion de la sécurité .24
6 Exigences relatives aux éléments suivant différents cycles de vie .36
6.1 Introduction.36
6.2 Utilisation des éléments préexistants .36
6.3 Outils relatifs à la sécurité pour les systèmes électroniques.38
6.4 Sécurité physique et sécurité informatique .41
7 Dossier de sécurité : plan et contenu .42
7.1 Plan du Dossier de sécurité .42
7.2 Rapport de sécurité technique .44
7.3 Dossiers de sécurité génériques et spécifiques .56
7.4 Dispositions relatives au Dossier de sécurité pour une application spécifique (SASC) .56
7.5 Dépendances entre les dossiers de sécurité .58
8 Acceptation de la sécurité du système et phases suivantes .58
8.1 Processus d'acceptation de la sécurité du système .58
8.2 Suivi de l'exploitation, de la maintenance et des performances .62
8.3 Modification et réadaptation .62
8.4 Retrait du service et dépose .62
Annexe A (normative) Niveaux d'intégrité de la sécurité .63
A.1 Introduction .63
A.2 Exigences de sécurité .63
A.3 Intégrité de sécurité .64
A.4 Détermination des exigences d'intégrité de la sécurité .65
A.4.1 Généralités .65
A.4.2 Appréciation du risque.66
A.4.3 Maîtrise des situations dangereuses .69
2

---------------------- Page: 4 ----------------------
SIST EN 50129:2019
EN 50129:2018

A.4.4 Identification et traitement des nouvelles situations dangereuses apparaissant au cours de la
conception .74
A.5 Allocation de SIL .75
Annexe B (normative) Gestion des pannes des fonctions relatives à la sécurité .78
B.1 Introduction .78
B.2 Concepts généraux .79
B.2.1 Temps de détection et de passivation .79
B.2.2 Composition de deux entités indépendantes .80
B.3 Effets des pannes .81
B.3.1 Effets des pannes simples .81
B.3.2 Influences entre éléments .83
B.3.3 Détection de pannes simples .88
B.3.4 Action suivant la détection (maintien dans un état sûr) .90
B.3.5 Effets des pannes multiples .92
B.3.6 Protections contre les pannes systématiques .96
Annexe C (normative) Identification des modes de défaillance des composants matériels .97
C.1 Introduction .97
C.2 Procédure générale .97
C.3 Procédure pour les circuits intégrés .97
C.4 Procédure pour les composants avec propriétés physiques intrinsèques .98
C.5 Dispositions générales concernant les modes de défaillance des composants .99
Annexe D (informative) Exemple de décomposition des THR/TFFR/FR et d'allocation des SIL. .117
Annexe E (normative) Techniques et mesures pour éviter les pannes systématiques et contrôler les pannes
systématiques et aléatoires .119
E.1 Introduction .119
E.2 Tableaux des techniques et mesures .121
Annexe F (informative) Recommandations relatives aux circuits intégrés programmables par l'utilisateur130
F.1 Introduction .130
F.2 Cycle de vie de l'UPIC .132
F.3 Exigences techniques détaillées applicables à un UPIC .138
F.3.1 Recommandations relatives à l'architecture de la sécurité .138
F.3.2 Protection contre les pannes aléatoires — principes architecturaux .138
F.3.3 Protection contre les pannes systématiques — techniques/mesures .139
Annexe G (informative) Modifications apportées au présent document par rapport à l'EN 50129:2003 .150
Annexe ZZ (informative) Relation entre la présente Norme européenne et les exigences essentielles
concernées de la Directive UE 2008/57/CE [2008 JO L191] .154
Bibliographie .156

3

---------------------- Page: 5 ----------------------
SIST EN 50129:2019
EN 50129:2018

Avant-propos européen
Le présent document (EN 50129:2018) a été préparé par le CLC/SC 9XA, « Systèmes de signalisation de
télécommunications et de traitement », du CLC/TC 9X, « Applications électriques et électroniques dans le
domaine ferroviaire ».
Les dates suivantes sont fixées :
• date limite à laquelle ce document doit (dop) 2019-05-23
être mis en application au niveau
national par publication d'une norme
nationale identique ou par entérinement
• date limite à laquelle les normes (dow) 2021-11-23
nationales en contradiction avec ce
document doivent être annulées
Le présent document remplace l'EN 50129:2003.
A la date de publication du présent document, les normes CLC/TR 50451:2007, CLC/TR 50506-1:2007 et
CLC/TR 50506-2:2009 ont été annulées.
Les principales modifications techniques effectuées par rapport à l'EN 50129:2003 sont les suivantes :
— le document a été aligné avec les phases du cycle de vie décrites dans l'EN 50126-1:2017 ;
— l'Article 5 décrit les exigences applicables au développement de systèmes électroniques relatifs à
la sécurité (jusqu'à la phase 9 du cycle de vie) ;
— l'Article 8 se concentre sur les exigences applicables à l'acceptation et à l'approbation de la
sécurité des systèmes électroniques relatifs à la sécurité, ainsi que sur les phases suivantes ;
— des exigences et des recommandations ont été ajoutées à l'Article 6 concernant les sujets suivants :
— réutilisation de systèmes préexistants ;
— outils relatifs à la sécurité ;
— impact des menaces de sécurité informatique sur la sécurité fonctionnelle ;
— dossiers de sécurité pour une application spécifique ;
— les exigences relatives à la structure et au contenu du dossier de sécurité sont maintenant définies
dans un Article 7 dédié ;
— l'Annexe A a été alignée avec l'EN 50126-2:2017 pour la spécification et l'allocation des exigences
d'intégrité de la sécurité ;
— le contenu de l'ancienne Annexe D a été fusionné avec celui de l'Annexe B et l'annexe est passée du
statut informatif à normatif ;
— l'Annexe E est passée du statut informatif à normatif ;
— une Annexe F informative a été ajoutée concernant les circuits intégrés programmables par
l'utilisateur.
Une comparaison détaillée des modifications entre l'EN 50129:2003 et le présent document est fournie à
l'Annexe G.
4

---------------------- Page: 6 ----------------------
SIST EN 50129:2019
EN 50129:2018

L'attention est appelée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. Le CENELEC ne saurait être tenu pour
responsable de ne pas avoir identifié de tels droits de propriété et averti de leur existence.
Le présent document a été élaboré dans le cadre d'un mandat confié au CENELEC par la Commission
européenne et l'Association européenne de libre-échange et vient à l'appui des exigences essentielles de la
ou des directives UE.
Pour la relation avec la (les) directive(s) UE, voir l'Annexe ZZ informative, qui fait partie intégrante du
présent document.
Le plan du présent document est décrit à l'Article 4.
Le présent document est destiné à être utilisé conjointement avec l'EN 50126-1:2017, « Applications
ferroviaires — Spécification et démonstration de la fiabilité, de la disponibilité, de la maintenabilité et de la
sécurité (FDMS) — Partie 1 : Processus FMDS générique », l'EN 50126-2:2017, « Applications
ferroviaires — Spécification et démonstration de la fiabilité, de la disponibilité, de la maintenabilité et de la
sécurité (FDMS) — Partie 2 : Approche systématique pour la sécurité » et l'EN 50128:2011, « Applications
ferroviaires — Systèmes de signalisation, de télécommunication et de traitement — Logiciels pour
systèmes de commande et de protection ferroviaire ».
Le présent document a été élaboré dans le cadre du mandat M/483 confié au CENELEC par la
Commission européenne et du Règlement d'exécution (UE) n° 402/2013 de la Commission du 30 avril 2013
concernant la méthode de sécurité commune relative à l'évaluation et à l'appréciation des risques et
abrogeant le Règlement (CE) n° 352/2009 (y compris son amendement ultérieur, le Règlement
d'exécution (UE) n° 2015/1136 du 13 juillet 2015).
5

---------------------- Page: 7 ----------------------
SIST EN 50129:2019
EN 50129:2018

Introduction
Le présent document définit les exigences pour l'acceptation des systèmes électroniques relatifs à la
sécurité dans le domaine de la signalisation ferroviaire.
Le but des responsables d'exploitation ferroviaire européens et de l'industrie ferroviaire européenne est de
développer des systèmes ferroviaires compatibles basés sur des normes communes. En conséquence, il
est nécessaire de réaliser l'acceptation réciproque des approbations de sécurité pour des systèmes, sous-
systèmes ou équipements par les différents responsables d'exploitation ferroviaire nationaux. Le présent
document est le référentiel européen commun pour l'acceptation de la sécurité des systèmes électroniques
pour des applications de signalisation ferroviaire.
L'acceptation réciproque désigne l'acceptation de produits et d'applications génériques pouvant être utilisés
pour un grand nombre d'applications spécifiques, et pas seulement l'acceptation d'une seule application
spécifique. L'approvisionnement public à l'intérieur de la Communauté Européenne concernant les
systèmes électroniques relatifs à la sécurité pour des applications de signalisation ferroviaire font référence
au présent document.
Le présent document concerne les preuves à fournir pour l'acceptation de systèmes relatifs à la sécurité.
Toutefois, il spécifie non seulement les activités du cycle de vie qui doivent être terminées avant la phase
d'acceptation, mais également les activités planifiées supplémentaires à réaliser après. De cette manière,
la justification de la sécurité couvre l'ensemble du cycle de vie.
Le présent document précise quelles sont les preuves qui doivent être établies. Sauf si cela est considéré
comme opportun, il ne spécifie pas qui réalise le travail nécessaire, ceci pouvant varier en fonction des
circonstances.
Les systèmes électroniques relatifs à la sécurité pour la signalisation incluent les aspects matériels et
logiciels. Pour développer des systèmes relatifs à la sécurité complets, ces deux aspects doivent être pris
en compte tout au long du cycle de vie du système. Les exigences concernant le système électronique
global relatif à la sécurité et ses aspects matériels sont définies dans le présent document. D'autres
exigences sont définies dans les normes du CENELEC associées : pour les systèmes relatifs à la sécurité
comportant des logiciels, se reporter à l'EN 50128 ; pour la transmission des données de sécurité, se
reporter à l'EN 50159.
Le présent document se compose des Articles 1 à 8 qui forment le corps principal, ainsi que des
Annexes A, B, C, D, E, F, G et ZZ. Les exigences définies dans le corps principal du présent document et
dans les Annexes A, B, C et E sont normatives, tandis que les Annexes D, F, G et ZZ sont informatives.
Le présent document est cohérent avec les documents suivants et reprend les articles applicables des
documents suivants :
— EN 50126-1:2017, Applications ferroviaires — Spécification et démonstration de la fiabilité, de la
disponibilité, de la maintenabilité et de la sécurité (FDMS) — Partie 1: Processus FDMS générique ;
— EN 50126-2:2017, Applications ferroviaires — Spécification et démonstration de la fiabilité, de la
disponibilité, de la maintenabilité et de la sécurité (FDMS) — Partie 2 : Approche systématique pour la
sécurité.
Le présent document est basé sur le cycle de vie système décrit dans l'EN 50126-1 et l'EN 50126-2, et est
conforme à la série EN 61508. Les normes EN 50126-1, EN 50126-2, EN 50128 et EN 50129 comprennent
la série EN 61508 équivalente pour le secteur ferroviaire, qui couvre les systèmes ferroviaires de
signalisation, de télécommunication et de traitement. Sous réserve que la conformité avec ces documents
ait été démontrée, il n'est pas nécessaire de procéder à une plus ample évaluation de la conformité avec la
série EN 61508.
6

---------------------- Page: 8 ----------------------
SIST EN 50129:2019
EN 50129:2018

1 Domaine d'application
Le présent document est applicable aux systèmes électroniques relatifs à la sécurité (en incluant les sous-
systèmes et les équipements) pour des applications de signalisation ferroviaire.
Le présent document s'applique aux systèmes génériques (c'est-à-dire aux produits ou systèmes
génériques qui définissent une classe d'applications), ainsi qu'aux systèmes destinés à des applications
spécifiques.
La Figure 1 représente le domaine d'application du présent document, ainsi que ses relations avec les
autres normes CENELEC.
Le présent document est applicable uniquement à la sécurité fonctionnelle des systèmes. Elle n'est pas
destinée à traiter d'autres aspects de la sécurité tels que la santé des travailleurs et la sécurité du
personnel. Si la sécurité fonctionnelle des systèmes peut avoir un impact sur la sécurité du personnel, la
santé et la sécurité des travailleurs peuvent également être affectées par d'autres aspects de la conception
du système qui ne sont pas couverts par le présent document.
Le présent document s'applique à toutes les phases du cycle de vie d'un système électronique relatif à la
sécurité, et en particulier aux phases 5 (architecture et allocation des exigences du système) à 10
(acceptation du système) définies dans l'EN 50126-1:2017.
Les exigences applicables aux systèmes n'ayant pas trait à la sécurité ne relèvent pas du domaine
d'application du présent document.
Le présent document n'est pas applicable aux systèmes, sous-systèmes ou équipements existants (c'est-à-
dire ceux qui ont déjà été acceptés avant l'élaboration du présent document). Toutefois, dans la mesure où
cela est raisonnablement possible, il convient de l'appliquer aux modifications et extensions des systèmes,
sous-systèmes et équipements existants.
Le présent document est plutôt applicable aux systèmes, sous-systèmes ou équipements qui ont été
spécialement conçus et fabriqués pour des applications de signalisation ferroviaire. Il convient également
de l'appliquer, dans la limite du raisonnable, aux équipements généraux ou industriels (par exemple :
alimentations, écrans d'affichage ou autres articles disponibles dans le commerce) qui sont utilisés comme
partie d'un système électronique relatif à la sécurité. Dans de tels cas (des informations supplémentaires
sont données en 6.2), il convient au minimum d'apporter la preuve que :
– la sécurité ne repose pas sur cet équipement ; ou que
– les fonctions en relation avec la sécurité peuvent reposer sur cet équipement.
Le présent document s'adresse aux responsables d'exploitation ferroviaire, aux fournisseurs de matériel
ferroviaire et aux chargés d'évaluations ainsi qu'aux autorités de tutelle, bien qu'elle ne définisse pas un
processus d'approbation applicable par les autorités de tutelle.
7

---------------------- Page: 9 ----------------------
SIST EN 50129:2019
EN 50129:2018


Figure 1 — Domaine d'application des normes ferroviaires du CENELEC
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu'ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l'édition citée s'applique.
Pour les références non datées, la dernière édition du document de référence s'applique (y compris les
éventuels amendements).
EN 50124-1, Applications ferroviaires — Coordination de l'isolement — Partie 1 : Prescriptions
fondamentales — Distances d'isolement dans l'air et lignes de fuite pour tout matériel électrique et
électronique
EN 50125-1, Applications ferroviaires — Conditions d'environnement pour le matériel — Partie 1 :
Equipement embarqué du matériel roulant
EN 50125-3, Applications ferroviaires — Conditions d'environnement pour le matériel — Partie 3 :
Equipement pour la signalisation et les télécommunications
EN 50126-1:2017, Applications ferroviaires — Spécification et démonstration de la fiabilité, de la
disponibilité, de la maintenabilité et de la sécurité (FDMS) — Partie 1: Processus FDMS générique
EN 50126-2:2017, Applications ferroviaires — Spécification et démonstration de la fiabilité, de la
disponibilité, de la maintenabilité et de la sécurité (FDMS) — Partie 2 : Processus FDMS générique
EN 50128, Applications ferroviaires — Systèmes de signalisation, de télécommunication et de
traitement — Logiciels pour systèmes de commande et de protection ferroviaire
EN 60664-1, Coordination de l'isolement des matériels dans les systèmes (réseaux) à basse
tension — Partie 1 : Principes, prescriptions et essais (IEC 60664-1)
8

---------------------- Page: 10 ----------------------
SIST EN 50129:2019
EN 50129:2018

3 Termes, définitions et abréviations
3.1 Termes et définitions
Pour les besoins du présent document, les termes et définitions suivants s'appliquent.
L'ISO et l'IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes :
• IEC Electropedia : disponible à l'adresse http://www.electropedia.org/
• ISO Online browsing platform : disponible à l'adresse http://www.iso.org/obp
3.1.1
accident
évènement ou série d'évènements inattendus conduisant au décès, à des blessures, à la perte d'un
système ou d'un service, ou à des dommages sur l'environnement
[SOURCE : IEC 60050-821:2017, 821-12-02]
3.1.2
intégrité de base
attribut d'intégrité pour des fonctions relatives à la sécurité avec un TFFR plus élevé que (moins exigeant)
-5 -1
10 [h ] ou pour des fonctions non relatives à la sécurité
Note 1 à l'article : Dans le présent document, les exigences d'intégrité de base se rapportent uniquement aux
fonctions relatives à la sécurité. Si des exigences d'intégrité de base ont été imposées à une fonction non liée à la
sécurité sur la base du processus décrit dans l'EN 50126-2:2017, aucune exigence supplémentaire n'est définie dans
le présent document.
[SOURCE : EN 50126-1:2017, 3.7, modifiée – La Note 1 à l'article a été ajoutée.]
3.1.3
analyse des causes
analyse des raisons à l'origine d'une situation dangereuse
[SOURCE : IEC 60050-821:2017, 821-12-07]
3.1.4
défaillances de cause commune
défaillances de différentes entités, qui résultent d'une cause unique, mais auraient pu être considérées
comme indépendantes
[SOURCE : IEC 60050-192:2015, 192-03-18]
3.1.5
configuration
structuration et relations entre le matériel et le logiciel d'un système pour une application attendue
[SOURCE : IEC 60050-821:2017, 821-12-12]
3.1.6
analyse des conséquences
analyse des évènements susceptibles de survenir après l'occurrence d'un danger
[SOURCE : IEC 60050-821:2017, 821-12-14]
9

---------------------- Page: 11 ----------------------
SIST EN 50129:2019
EN 50129:2018

3.1.7
acceptation réciproque
état atteint par un produit qui a été accepté par une autorité selon les normes en vigueur et qui est
acceptable par les autres autorités sans nécessité de nouvelle évaluation
[SOURCE : IEC 60050-821:2017, 821-12-15]
3.1.8
conception
activité menée afin d'analyser et de transformer les exigences spécifiées en solutions acceptables
[SOURCE : IEC 60050-821:2017, 821-12-16, modifiée – La fin de la définition « solutions de conceptions
acceptables ayant le niveau d'intégrité de la sécurité requis » a été remplacée par « solutions
acceptables ».]
3.1.9
diversité
existence de deux manières ou moyens différents ou plus pour atteindre un objectif déterminé
Note 1 à l'article : La diversité est faite spécifiquement pour assurer une protection contre les défaillances de cause
commune. On peut la réaliser en fournissant des systèmes physiquement différents les uns des autres o
...

SLOVENSKI STANDARD
oSIST prEN 50129:2017
01-februar-2017
Železniške naprave - Komunikacijski, signalni in procesni sistemi - Signalno-
varnostni elektronski sistemi
Railway applications - Communication, signalling and processing systems - Safety
related electronic systems for signalling
Bahnanwendungen - Telekommunikationstechnik, Signaltechnik und
Datenverarbeitungssysteme - Sicherheitsrelevante elektronische Systeme für
Signaltechnik
Applications ferroviaires - Systèmes de signalisation, de télécommunications et de
traitement - Systèmes électroniques de sécurité pour la signalisation
Ta slovenski standard je istoveten z: prEN 50129:2016
ICS:
35.240.60 Uporabniške rešitve IT v IT applications in transport
prometu
45.020 Železniška tehnika na Railway engineering in
splošno general
oSIST prEN 50129:2017 en,fr,de
2003-01.Slovenski inštitut za standardizacijo. Razmnoževanje celote ali delov tega standarda ni dovoljeno.

---------------------- Page: 1 ----------------------
oSIST prEN 50129:2017

---------------------- Page: 2 ----------------------
oSIST prEN 50129:2017

EUROPEAN STANDARD DRAFT
prEN 50129
NORME EUROPÉENNE

EUROPÄISCHE NORM

December 2016
ICS 93.100 Will supersede EN 50129:2003
English Version
Railway applications - Communication, signalling and processing
systems - Safety related electronic systems for signalling
Applications ferroviaires - Systèmes de signalisation, de Bahnanwendungen - Telekommunikationstechnik,
télécommunications et de traitement - Systèmes Signaltechnik und Datenverarbeitungssysteme -
électroniques de sécurité pour la signalisation Sicherheitsrelevante elektronische Systeme für
Signaltechnik
This draft European Standard is submitted to CENELEC members for enquiry.
Deadline for CENELEC: 2017-02-24.

It has been drawn up by CLC/SC 9XA.

If this draft becomes a European Standard, CENELEC members are bound to comply with the CEN/CENELEC Internal Regulations which
stipulate the conditions for giving this European Standard the status of a national standard without any alteration.

This draft European Standard was established by CENELEC in three official versions (English, French, German).
A version in any other language made by translation under the responsibility of a CENELEC member into its own language and notified to
the CEN-CENELEC Management Centre has the same status as the official versions.

CENELEC members are the national electrotechnical committees of Austria, Belgium, Bulgaria, Croatia, Cyprus, the Czech Republic,
Denmark, Estonia, Finland, Former Yugoslav Republic of Macedonia, France, Germany, Greece, Hungary, Iceland, Ireland, Italy, Latvia,
Lithuania, Luxembourg, Malta, the Netherlands, Norway, Poland, Portugal, Romania, Slovakia, Slovenia, Spain, Sweden, Switzerland,
Turkey and the United Kingdom.

Recipients of this draft are invited to submit, with their comments, notification of any relevant patent rights of which they are aware and to
provide supporting documentation.

Warning : This document is not a European Standard. It is distributed for review and comments. It is subject to change without notice and
shall not be referred to as a European Standard.



European Committee for Electrotechnical Standardization
Comité Européen de Normalisation Electrotechnique
Europäisches Komitee für Elektrotechnische Normung
CEN-CENELEC Management Centre: Avenue Marnix 17, B-1000 Brussels
© 2016 CENELEC All rights of exploitation in any form and by any means reserved worldwide for CENELEC Members.
Project: 60242 Ref. No. prEN 50129:2016 E

---------------------- Page: 3 ----------------------
oSIST prEN 50129:2017
prEN 50129:2016
1 Contents Page
2 European foreword .5
3 Introduction .6
4 1 Scope .7
5 2 Normative references .8
6 3 Terms ,definitions and abbreviations .8
7 3.1 Terms and definitions .8
8 3.2 Abbreviations .15
9 4 Overall framework of this standard .16
10 5 Requirements for developing safety-related electronic systems .18
11 5.1 Introduction .18
12 5.2 The quality management process .18
13 5.3 The safety management process .19
14 6 Requirements for elements external to the lifecycle .29
15 6.1 Introduction .29
16 6.2 Re-use of pre-existing items .29
17 6.3 Safety-related tools for electronic systems .31
18 6.4 Physical security and IT-Security .32
19 7 The Safety Case: structure and content .33
20 7.1 The Safety Case structure .33
21 7.2 The Technical Safety Report .35
22 7.3 Different kind of Safety Cases .42
23 7.4 Provisions for the Specific Application Safety Case .42
24 7.5 Dependencies between Safety Cases .43
25 8 System safety acceptance and subsequent phases .44
26 8.1 System safety acceptance process .44
27 8.2 Operation, maintenance and performance monitoring .47
28 8.3 Modification and retrofit .47
29 8.4 Decommissioning and disposal .47
30 Annex A (normative) Safety Integrity Levels .48
31 A.1 Introduction .48
32 A.2 Safety requirements .48
33 A.3 Safety integrity .49
34 A.4 Determination of safety integrity requirements .49
35 A.4.1 General .49
36 A.4.2 Risk Assessment .51
37 A.4.3 Hazard Control.52
38 A.4.4 Identification and treatment of new hazards arising from design .56
39 A.4.5 An example of THR/TFFR/FR and SIL allocation .57
2

---------------------- Page: 4 ----------------------
oSIST prEN 50129:2017
prEN 50129:2016
40 A.5 Assignment of SILs .59
41 A.5.1 General aspects .59
42 A.5.2 Relationship between SIL and associated TFFR .60
43 Annex B (normative) Management of faults for safety-related functions .61
44 B.1 Introduction .61
45 B.2 General concepts .61
46 B.2.1 Detection and negation times .61
47 B.2.2 Composition of two independent items.62
48 B.3 Effects of faults .63
49 B.3.1 Effects of single faults .63
50 B.3.2 Influences between items .64
51 B.3.3 Detection of single faults .68
52 B.3.4 Action following detection (retention of safe state) .69
53 B.3.5 Effects of multiple faults .71
54 B.3.6 Defence against systematic faults .73
55 Annex C (normative) Identification of hardware component failure modes .74
56 C.1 Introduction .74
57 C.2 General procedure .74
58 C.3 Procedure for integrated circuits .74
59 C.4 Procedure for components with inherent physical properties .74
60 C.5 General provisions concerning component failure modes .75
61 Annex D (intentionally left empty) .93
62 Annex E (normative) Techniques and measures for the avoidance of systematic faults and the
63 control of random and systematic faults .94
64 E.1 Introduction .94
65 E.2 Tables of techniques and measures .96
66 Annex F (informative) Guidance on Programmable Components .103
67 F.1 Introduction .103
68 F.1.1 Purpose .103
69 F.1.2 Objectives .103
70 F.1.3 Development context .104
71 F.1.4 Life-cycle issues and documentation .105
72 F.1.5 Organization, roles, responsibilities and personnel competencies .108
73 F.1.6 Programmable Component requirements .108
74 F.1.7 Programmable Component architecture and design .108
75 F.1.8 Logic Component design .109
76 F.1.9 Logic Component coding and testing .109
77 F.1.10 Programmable Component integration testing .109
78 F.1.11 Programmable Component validation .109
79 F.1.12 Requirements for use of pre-existing logic components .109
3

---------------------- Page: 5 ----------------------
oSIST prEN 50129:2017
prEN 50129:2016
80 F.2 Detailed technical requirements for Programmable Components .109
81 F.2.1 Guidance on safety architecture .109
82 F.2.2 Protection against random faults – architectural principles .110
83 F.2.3 Protection against systematic faults – (techniques/measures) .110
84 F.2.4 Description of techniques and measures .113
85 Annex G (informative) Changes at this European Standard compared to EN 50129:2003 .118
86 Annex ZZ (informative) Relationship between this European Standard and the Essential
87 Requirements of EU Directive 2008/57/EC .121
88 Bibliography .122
89
4

---------------------- Page: 6 ----------------------
oSIST prEN 50129:2017
prEN 50129:2016
90 European foreword
91 This document [prEN 50129:2016] has been prepared by CLC/SC 9XA “Communication, signalling and
92 processing systems” of CLC/TC 9X “Electrical and electronic applications for railways”.
93 This document is currently submitted to the Enquiry.
94 The following dates are proposed:
(doa) dor + 6 months
• latest date by which the existence of this document has
to be announced at national level
• latest date by which this document has to be (dop) dor + 12 months
implemented at national level by publication of an
identical national standard or by endorsement
• latest date by which the national standards conflicting (dow) dor + 36 months
(to be confirmed or
with this document have to be withdrawn
modified when voting)
95 This document will supersede EN 50129:2003.
96 This document has been prepared under a mandate given to CENELEC by the European Commission and
97 the European Free Trade Association, and supports essential requirements of EU Directive(s).
98 For the relationship with EU Directive(s) see informative Annex ZZ, which is an integral part of this
99 document.
100 The structure is of this European standard is described in Clause 4.
101 Comparison of changes between EN 50129:2003 and this draft European Standard can be found in
102 Annex G.
103 This draft European Standard has been prepared under the Mandate M/483 given to CENELEC by the
104 European Commission and the Implementing Regulation (EU) No 402/2013 (with the subsequent
105 amendment, Implementing Regulation (EU) No 2015/1136).
5

---------------------- Page: 7 ----------------------
oSIST prEN 50129:2017
prEN 50129:2016
106 Introduction
107 This European Standard should be read in conjunction with prEN 50126-1:2015, "Railway Applications —
108 The Specification and Demonstration of Reliability, Availability, Maintainability and Safety (RAMS) —
109 Part 1: Generic RAMS Process”, prEN 50126-2:2015, "Railway Applications — The Specification and
110 Demonstration of Reliability, Availability, Maintainability and Safety (RAMS) — Part 2: Systems Approach to
111 Safety”, and EN 50128, "Railway applications — Communication, signalling and processing systems —
112 Software for railway control and protection systems".
113 This document defines requirements for the acceptance of safety-related electronic systems in the railway
114 signalling field.
115 The aim of European railway duty holders and European railway industry is to develop compatible railway
116 systems based on common standards. Therefore cross-acceptance of Safety Approvals for systems,
117 subsystems or equipment by the different national railway duty holders is necessary. This document is the
118 common European base for safety acceptance of electronic systems for railway signalling applications.
119 Cross-acceptance is aimed at acceptance of generic products and generic applications, not specific
120 applications. Public procurement within the European Community concerning safety-related electronic
121 systems for railway signalling applications will refer to this European Standard.
122 This European Standard is concerned with the evidence to be presented for the acceptance of safety-
123 related systems. However, it specifies not only those life-cycle activities which need to be completed before
124 the acceptance stage, but also the additional planned activities to be carried out after. This way, safety
125 justification will cover the whole life-cycle.
126 This European Standard is concerned with what evidence is to be presented. Except where considered
127 appropriate, it does not specify who carries out the necessary work, since this can vary in different
128 circumstances.
129 Safety-related electronic systems for signalling include hardware and software aspects. To develop
130 complete safety-related systems, both aspects need to be taken into account throughout the whole life-cycle
131 of the system. The requirements for the overall safety-related electronic system and for its hardware
132 aspects are defined in this standard. Other requirements are defined in associated CENELEC standards:
133 for safety-related systems which include software, see EN 50128; for safety-related data communication,
134 see EN 50159.
135 This European Standard consists of the main part (Clause 1 to Clause 8) and Annexes A, B, C, D, E, F, G
136 and ZZ. The requirements defined in the main part of the standard and in Annexes A, B, C and E are
137 normative, whilst Annexes F, G and ZZ are informative. Annex D is intentionally left empty.
138 In this European Standard provisions are expressed exclusively (according to “Internal Regulations Part 3:
139 Rules for the structure and drafting of CEN-CENELEC Publications”) by means of the following verbal
140 forms:
141 - “shall / shall not” for requirements;
142 - “should / should not” for recommendations;
143 - “may / need not” for permissions;
144 - “can / cannot” for possibilities and capabilities.
145 This European Standard is in line with, and uses relevant sections of:
146 - prEN 50126-1:2015, Railway Applications — The Specification and Demonstration of Reliability,
147 Availability, Maintainability and Safety (RAMS) — Part 1: Generic RAMS Process and
148 - prEN 50126-2:2015, Railway Applications — The Specification and Demonstration of Reliability,
149 Availability, Maintainability and Safety (RAMS) — Part 2: Systems Approach to Safety.
150 This European standard is based on the system life-cycle described in the EN 50126 series and is in line
151 with the EN 61508 series. The EN 50126 series/EN 50128/EN 50129 comprise the railway sector equivalent
152 of the EN 61508 series so far as Railway Communication, Signalling and Processing Systems are
153 concerned. When compliance with these European standards has been demonstrated, further evaluation of
154 compliance with the EN 61508 series is not required.
6

---------------------- Page: 8 ----------------------
oSIST prEN 50129:2017
prEN 50129:2016
155 1 Scope
156 This European standard is applicable to safety-related electronic systems (including subsystems and
157 equipment) for railway signalling applications.
158 This European standard applies to generic systems (i.e. generic products or systems defining a class of
159 applications), as well as to systems for specific applications.
160 The scope of this European standard, and its relationship with other CENELEC standards, are shown in
161 Figure 1.
162 This European standard is applicable only to the functional safety of systems. It is not intended to deal with
163 other aspects of safety such as the occupational health and safety of personnel. While functional safety of
164 systems clearly can have an impact on the safety of personnel, there are other aspects of system design
165 which can also affect occupational health and safety and which are not covered by this European standard.
166 This European standard applies to all the phases of the life-cycle of a safety-related electronic system,
167 focusing in particular on phases from 5 (architecture and apportionment of system requirements) to 10
168 (system acceptance) as defined in EN 50126 (all parts).
169 Requirements for systems which are not related to safety are outside the scope of this European Standard.
170 This European standard is not applicable to existing systems, subsystems or equipment (i.e. those which
171 had already been accepted prior to the creation of this European standard). However, as far as reasonably
172 practicable, it should be applied to modifications and extensions to existing systems, subsystems and
173 equipment.
174 This European standard is primarily applicable to systems, subsystems or equipment which have been
175 specifically designed and manufactured for railway signalling applications. It should also be applied, as far
176 as reasonably practicable, to general-purpose or industrial equipment (e.g. power supplies, display screens
177 or other commercial off the shelf items), which is procured for use as part of a safety-related electronic
178 system. As a minimum, evidence should be provided in such cases to demonstrate either
179 – that the equipment is not relied on for safety, or
180 – that the equipment can be relied on for those functions which relate to safety.
181 This European standard is aimed at railway duty holders, railway suppliers, and assessors as well as at
182 safety authorities, although it does not define an approval process to be applied by the safety authorities.
Total Railway System
Complete Railway Signalling
System
Individual Subsystem
EN 50159 EN 50128 EN 50129
EN 50126-1/-2
(Communication) (Software) (System Safety)
(RAMS)
Individual Equipment


183
184 Figure 1 – Scope of the main CENELEC railway application standards
7

---------------------- Page: 9 ----------------------
oSIST prEN 50129:2017
prEN 50129:2016
185 2 Normative references
186 The following documents, in whole or in part, are normatively referenced in this document and are
187 indispensable for its application. For dated references, only the edition cited applies. For undated
188 references, the latest edition of the referenced document (including any amendments) applies.
189 NOTE Additional informative references are included in the Bibliography.
190 EN 50124-1, Railway applications — Insulation coordination — Part 1: Basic requirements - Clearances and
191 creepage distances for all electrical and electronic equipment
192 EN 50125-1, Railway applications — Environmental conditions for equipment — Part 1: Rolling stock and
193 on-board equipment
194 EN 50125-3, Railway applications — Environmental conditions for equipment — Part 3: Equipment for
195 signalling and telecommunications
196 prEN 50126-1:2015, Railway Applications — The Specification and Demonstration of Reliability, Availability,
197 Maintainability and Safety (RAMS) — Part 1: Generic RAMS Process
198 prEN 50126-2:2015, Railway Applications — The Specification and Demonstration of Reliability, Availability,
199 Maintainability and Safety (RAMS) — Part 2: Systems Approach to Safety
200 CLC/TR 50126-3, Railway applications — The specification and demonstration of Reliability, Availability,
201 Maintainability and Safety (RAMS) — Part 3: Guide to the application of EN 50126-1 for rolling stock RAM
202 EN 50128, Railway applications — Communication, signalling and processing systems — Software for
203 railway control and protection systems
204 EN 60664-1, Insulation coordination for equipment within low-voltage systems - Part 1: Principles,
205 requirements and tests (IEC 60664-1)
206 EN 61508-7:2010, Functional safety of electrical/electronic/programmable electronic safety-related
207 systems — Part 7: Overview of techniques and measures (IEC 61508-7:2010, modified)
208 3 Terms, definitions and abbreviations
209 3.1 Terms and definitions
210 For the purposes of this document, the following terms and definitions apply.
211 3.1.1
212 accident
213 unintended event or series of events that results in death, injury, loss of a system or service, or
214 environmental damage
215 [SOURCE: IEC 60050-821: CDV2015, 821-12-02]
216 3.1.2
217 availability
218 ability of an item to be in a state to perform a required function under given conditions at a given instant of
219 time or over a given time interval
220 [SOURCE: IEC 60050-821: CDV2015, 821-05-82, modified]
221 3.1.3
222 causal analysis
223 analysis of the reasons how and why a particular hazard can come into existence
224 3.1.4
225 common-cause failure
226 failures of different items resulting from the same cause where these failures are not consequences of each
227 other
228 [SOURCE: IEC 60050-821: CDV2015, 821-12-10]
8

---------------------- Page: 10 ----------------------
oSIST prEN 50129:2017
prEN 50129:2016
229 3.1.5
230 configuration
231 structuring and interconnection of the hardware and software of a system for its intended application
232 [SOURCE: IEC 60050-821: CDV2015, 821-12-12]
233 3.1.6
234 consequence analysis
235 analysis of events which are likely to happen after a hazard has occurred
236 [SOURCE: IEC 60050-821: CDV2015, 821-12-14]
237 3.1.7
238 cross-acceptance
239 status achieved by a product that has been accepted by one authority to the relevant standards and is
240 acceptable to other authorities without the necessity for further assessment
241 [SOURCE: IEC 60050-821: CDV2015, 821-12-15]
242 3.1.8
243 design
244 activity applied in order to analyse and transform specified requirements into acceptable solutions
245 [SOURCE: IEC 60050-821: CDV2015, 821-12-16, modified]
246 3.1.9
247 diversity
248 existence of two or more different ways or means of achieving a specified objective
249 Note 1 to entry: Diversity is specifically provided as a defence against common cause failure. It can be achieved by providing
250 systems that are physically different from each other or by functional diversity, where similar systems achieve the specified objective
251 in different ways.
252 [SOURCE: IEC 60050-395:2014, 395-07-115]
253 3.1.10
254 DC fault model
255 fault category that includes the following failure modes: stuck-at faults, stuck-open, open or high impedance
256 outputs as well as short circuits between signal lines, and for integrated circuits, short circuit between any
257 two connections (pins)
258 [SOURCE: EN 61508-2:2010, modified]
259 3.1.11
260 electronic component
261 electronic device that cannot be taken apart without destruction or impairment of its intended use
262 Note 1 to entry: Electronic components are for instance resistors, capacitors, diodes, integrated circuits, hy
...