RAMS是英文reliability（可靠性）、availability（可用性）、maintainability（可维修性）和safety（安全性）的首字母缩写。在铁路领域，这四项特性不是分别管理的，而是作为相互影响的单一目标来统筹管理。在欧洲，其框架是EN 50126系列标准；该系列第1部分定义了一个基于系统生命周期的通用RAMS管理过程。
过去三年间，这一标准族发生了重要变化。根据爱沙尼亚国家标准机构EVS的目录，铁路软件标准EN 50128自2023年12月1日起废止，由EN 50716:2023取代。信号用安全相关电子系统标准EN 50129的2026版自2026年6月2日起生效。
简述如下：
- EN 50126在系统层面建立RAMS过程和风险方法；EN 50129涵盖信号用安全相关电子系统，EN 50716则涵盖软件。
- 安全完整性等级（SIL）分为四级，是安全功能的属性，而不是系统的属性（IEC）。
- 对于软件，EN 50716定义了五个等级：从最低的"基本完整性"（Basic Integrity）到最高的SIL 4。
RAMS代表什么？
EN 50126-1涵盖可靠性、可用性、可维修性和安全性，以及它们之间的相互作用。例如，在信号系统中增加一项额外的安全检查可能提高安全性，但也可能让列车不必要地停车，从而降低可用性。该标准提供了管理此类冲突的过程。
根据EVS目录中的摘要，EN 50126-1适用于指挥、控制与信号、机车车辆以及固定设施，范围从完整系统到部件，包括软件。它涵盖新系统、与现有系统的集成以及改造。该标准不为具体应用设定RAMS目标，也不规定认证规则或审批程序。2017版于2024年增加了一项修订（A1），合并文本自2024年12月2日起生效。
EN 50126、EN 50128和EN 50129如何协同工作？
这三项标准可以看作一条从整体到细节的链条：
- EN 50126（系统）： 识别危险、评估风险，根据可接受准则确定所需的风险降低程度，并定义系统安全要求。EN 50716的引言用五个步骤概括了这一系统方法：危险识别、必要的风险降低、安全要求、架构选择，以及为达到经确认的安全完整性等级而进行的规划。
- EN 50129（信号电子设备）： 涵盖安全相关的电子系统、子系统和设备。根据2026版，它只涉及功能安全，不涉及职业健康等其他安全方面，重点关注EN 50126-1生命周期的第4阶段（系统需求规范）至第10阶段（系统验收）。
- EN 50716（软件）： 规定软件开发、部署和维护的要求，以及组织结构、职责划分和人员能力的要求。
EN 50129的国际对应标准是IEC 62425。在2025年5月发布的IEC 62425第2版中，关于安全论证文件（safety case）结构和内容的要求被移入一个专门的条款。安全论证文件是以证据证明系统安全的一套文件，也是铁路项目独立评估的依据。
EN 50128是否已废止？由什么取代？
是的。CENELEC于2023年10月30日批准的EN 50716:2023，根据其前言，取代EN 50128:2011和机车车辆软件标准EN 50657:2017及其全部修订。各国撤销相冲突的国家标准的最后期限是2026年10月30日。新标准把信号软件和车载软件统一到同一框架之下。
有一点很重要：根据标准文本，EN 50716并非旨在追溯适用。它主要适用于新开发项目；对于现有系统，只有在进行重大改造时才全面适用，小的变更只涉及其中一个条款。换言之，标准本身并不要求对未改动的现有软件重新处理；但在新项目中，应核实合同和技术规范引用的是哪一项标准。
什么是SIL？在铁路中如何使用？
根据国际电工委员会（IEC）功能安全常见问题解答，安全完整性等级是四个等级之一，每个等级对应安全功能目标失效可能性的一个范围。IEC强调的区别很重要：SIL是安全功能的属性，而不是系统的属性。只有明确某设备在何种条件下执行哪项功能时，"SIL 4设备"这一说法才有意义。
EN 50716将这一结构应用于软件，定义了五个等级：基本完整性以及SIL 1至4。根据该标准：
- SIL 1所需的技术与SIL 2相同，SIL 3所需的技术与SIL 4相同。
- 对于安全影响低于SIL 1的功能，至少满足基本完整性要求；对于与安全无关的功能，采用软件质量保证过程。
- SIL 1至4需任命评估员（assessor）；基本完整性不要求独立评估。
- 标准不决定哪种风险对应哪个等级；该决定在EN 50126过程中作出。
铁路项目应从何处着手？
以下步骤并非标准规定，而是实践中可用的顺序：
- 明确标准版本： 技术规范要求的是EN 50128还是EN 50716？EN 50129以2018版还是2026版为准？
- 从第一天建立生命周期： 如果在项目开始时没有准备好RAMS计划、危险日志和验证计划，之后编写安全论证文件会非常困难。
- 把SIL与功能挂钩： 根据风险分析为每项安全功能推导所需等级；不要自动接受产品目录上的SIL标签。
- 规划独立性： 评估员和验证团队所需的独立程度随等级而变化，应据此搭建团队结构。
机械行业的对应内容，请参阅我们关于ISO 13849-1与IEC 62061的文章。
结论：RAMS是一份文件，还是一门工程学科？
RAMS是一门从项目启动到验收、统筹管理铁路系统可靠性、可用性、可维修性和安全性的学科。EN 50126规范过程，EN 50129规范信号电子设备，EN 50716规范软件，而这一标准族自2023年以来正在更新。实用建议：在项目启动前以书面形式确定适用的标准版本，并让每项安全功能的SIL分配始终以风险分析为依据。
"功能安全与RAMS（铁路）"是Orient Global企业培训目录中的课程之一；详情请见培训页面。
#interimmanagement #forwarddeployedengineering #rams #功能安全 #铁路