核安全級數(shù)字化儀控系統(tǒng)軟件相關(guān)標(biāo)準(zhǔn)研究

丁義行 谷鵬飛 毛從吉 王升超

(環(huán)境保護(hù)部核設(shè)施安全監(jiān)管司1，北京 100035;深圳中廣核工程設(shè)計有限公司2，廣東 深圳 518172;環(huán)境保護(hù)部核與輻射安全中心3，北京 100082)

0 引言

從20 世紀(jì)70 年代開始，數(shù)字化儀控系統(tǒng)逐漸替代傳統(tǒng)的模擬儀控系統(tǒng)，數(shù)字化儀控系統(tǒng)不僅在常規(guī)工業(yè)領(lǐng)域得到了廣泛應(yīng)用，在核電廠安全級儀控系統(tǒng)中應(yīng)用數(shù)字計算機(jī)亦有近10 年的歷史。數(shù)字化儀控系統(tǒng)是以計算機(jī)、網(wǎng)絡(luò)通信為基礎(chǔ)的分布式控制系統(tǒng)，引入和開發(fā)了面向狀態(tài)的診斷技術(shù)、符合人因工程要求的人機(jī)界面和先進(jìn)的主控室等現(xiàn)代技術(shù)，還采用了系統(tǒng)化的控制室功能分析和分配等設(shè)計技術(shù)以及面向核電廠運行安全狀態(tài)的操作員支持系統(tǒng)等。數(shù)字化儀控系統(tǒng)主要具有以下優(yōu)點:①控制精度高，運算能力強(qiáng);②數(shù)據(jù)傳輸可靠性高;③易于擴(kuò)展和配置;④便于維護(hù)和管理;⑤設(shè)備功能集成度高。目前，核電廠安全級儀控系統(tǒng)中廣泛采用軟件控制邏輯，在現(xiàn)場儀表和執(zhí)行器中采用內(nèi)置微處理器，通過軟件實現(xiàn)數(shù)字化測量和控制也成為一種趨勢。

數(shù)字化儀控系統(tǒng)的廣泛應(yīng)用大大提高了核電廠的運行和維護(hù)經(jīng)濟(jì)性，但是與模擬儀控系統(tǒng)相比，數(shù)字化儀控系統(tǒng)設(shè)備也給核電廠的安全運行帶來了一些新的風(fēng)險。例如數(shù)字化硬件設(shè)備的抗干擾問題以及軟件共模故障等方面的問題，尤其是軟件的質(zhì)量和可靠性問題已成為數(shù)字化儀控系統(tǒng)在核電廠廣泛應(yīng)用過程中必須要解決的問題。

1 安全級數(shù)字化儀控系統(tǒng)的軟件

核安全法規(guī)HAF 102(2004)對基于計算機(jī)的系統(tǒng)在安全重要系統(tǒng)中的應(yīng)用以及安全級軟件設(shè)計開發(fā)方面作了相關(guān)要求，其包含了對應(yīng)標(biāo)準(zhǔn)的制定實施和為了保證軟件質(zhì)量和可靠性所應(yīng)采取的技術(shù)手段。導(dǎo)則HAD 102/16(2004)是核電廠基于計算機(jī)的安全重要系統(tǒng)軟件在生命周期的各個階段。為了安全論證提供收集證據(jù)和編制文件的指導(dǎo)性標(biāo)準(zhǔn)文件，其通過技術(shù)考慮、安全管理要求的應(yīng)用和項目計劃來為系統(tǒng)軟件的開發(fā)奠定基礎(chǔ);分別從計算機(jī)系統(tǒng)需求和設(shè)計、軟件的需求設(shè)計和實現(xiàn)兩個方面詳細(xì)介紹了系統(tǒng)設(shè)計和軟件開發(fā)所應(yīng)遵循的總則性要求，并提供了相關(guān)建議。核安全法規(guī)HAF 003(1991)及對應(yīng)導(dǎo)則HAD 003/06(1986)則主要對安全級物項的質(zhì)量保證作了相關(guān)要求。由于我國與核電廠安全級數(shù)字化儀控系統(tǒng)軟件相關(guān)的標(biāo)準(zhǔn)主要是參考國際上核電發(fā)達(dá)國家(如美國)的標(biāo)準(zhǔn)所制定，比如GB/T 13629(2008)就是參考美國IEEE 7 -4.3.2(2003)轉(zhuǎn)化而來，因此，根據(jù)核安全法規(guī)導(dǎo)則對核電廠安全級數(shù)字化儀控系統(tǒng)軟件設(shè)計開發(fā)所作出的要求，主要對國際上或其他發(fā)達(dá)國家與安全級數(shù)字化儀控系統(tǒng)軟件的相關(guān)標(biāo)準(zhǔn)及導(dǎo)則進(jìn)行研究，進(jìn)而對比分析了與軟件生命周期相關(guān)的標(biāo)準(zhǔn)及導(dǎo)則。此外，還對貫穿于軟件全生命周期、能有效保證軟件安全性和可靠性的V＆V 活動的相關(guān)標(biāo)準(zhǔn)及導(dǎo)則進(jìn)行了較為詳細(xì)的介紹，為安全級軟件執(zhí)行體系建立提供參考。本文對核電廠安全級數(shù)字化儀控系統(tǒng)軟件相關(guān)的標(biāo)準(zhǔn)研究脈絡(luò)如圖1 所示。

圖1 安全級數(shù)字化儀控系統(tǒng)軟件相關(guān)標(biāo)準(zhǔn)Fig.1 Software-related standards for safety level digitized I＆C systems

核電廠安全級數(shù)字化儀控系統(tǒng)與傳統(tǒng)的模擬儀控系統(tǒng)最根本的差異就在于軟件的使用，安全級數(shù)字化儀控系統(tǒng)執(zhí)行其安全功能所需要的軟件稱為安全級軟件(1E 級)。安全級數(shù)字化儀控系統(tǒng)執(zhí)行其安全功能的可靠性依賴于安全級軟件的可靠性。

核電廠安全級數(shù)字化儀控系統(tǒng)中所包含的軟件，按照其所執(zhí)行的功能可以分為系統(tǒng)軟件和應(yīng)用軟件。系統(tǒng)軟件是指儀控系統(tǒng)計算機(jī)或設(shè)備中運行的、用于支持計算機(jī)系統(tǒng)及相關(guān)應(yīng)用軟件(程序)運行和維護(hù)的軟件，應(yīng)用軟件是指被設(shè)計來滿足用戶特定需求的軟件［1］。

傳統(tǒng)的儀控系統(tǒng)硬件可以通過試驗、檢查等手段驗證其設(shè)計、質(zhì)量和可靠性，而數(shù)字化儀控系統(tǒng)軟件的可靠性和安全性主要依靠制定嚴(yán)密、完整的軟件開發(fā)計劃及過程管理大綱，嚴(yán)格按照經(jīng)批準(zhǔn)的管理程序?qū)嵤┸浖_發(fā)過程和軟件V＆V 過程來保證。在R. G.1.152(2006)中就明確提出，為保證安全級系統(tǒng)軟件質(zhì)量，必須具備質(zhì)量保證計劃以及開展軟件V＆V［2］。軟件V＆V 是貫穿于軟件生命周期全過程的、用于確認(rèn)軟件生命周期各個階段的活動輸出滿足此活動的要求、系統(tǒng)可以執(zhí)行其預(yù)期的功能且滿足用戶需求的一組系統(tǒng)化、工程化的活動［1］。

核電廠安全級數(shù)字化儀控系統(tǒng)的軟件V＆V 是保證安全級數(shù)字化儀控系統(tǒng)安全性和可靠性的必要環(huán)節(jié)，通過V＆V 全流程驗證的軟件才能確保安全級數(shù)字化儀控系統(tǒng)的安全性和可靠性，安全級數(shù)字化儀控系統(tǒng)才能被允許應(yīng)用到核電廠工程。目前，美國、法國等核電發(fā)達(dá)國家，已根據(jù)各自的核電技術(shù)特點、工業(yè)發(fā)展水平、理論研究情況、實施經(jīng)驗積累等，建立起了適合其國家核電建設(shè)過程中安全級數(shù)字化儀控系統(tǒng)軟件V＆V 活動的法規(guī)標(biāo)準(zhǔn);國際原子能機(jī)構(gòu)及相關(guān)標(biāo)準(zhǔn)組織在各國法規(guī)標(biāo)準(zhǔn)研究的基礎(chǔ)上，也形成了一系列軟件V＆V 相關(guān)的法規(guī)標(biāo)準(zhǔn)體系。而我國與安全級數(shù)字化儀控系統(tǒng)軟件相關(guān)的法規(guī)標(biāo)準(zhǔn)建立時間較晚，主要參考上述國家組織的標(biāo)準(zhǔn)轉(zhuǎn)化建立，但體系不統(tǒng)一，內(nèi)容還不夠完善。因此，研究國際上成熟完善的相關(guān)標(biāo)準(zhǔn)，建立安全級數(shù)字化保護(hù)儀控系統(tǒng)軟件開發(fā)和V＆V技術(shù)標(biāo)準(zhǔn)體系架構(gòu)和實施方法、制定適合我國國情的安全級數(shù)字化儀控系統(tǒng)軟件的安全審查與評價規(guī)范，是推進(jìn)我國核安全級DCS 產(chǎn)品自主研發(fā)工作和打破國外對我國在役和新建核電廠安全級數(shù)字化儀控系統(tǒng)(DCS)產(chǎn)品壟斷的關(guān)鍵。

2 軟件生命周期的相關(guān)標(biāo)準(zhǔn)

IEC 12207(1995)具有很大的適用性，其在很高層次上描述了軟件的生命周期，且具體敘述了軟件生命周期所必須包含的最小執(zhí)行集，但沒有詳細(xì)闡明在軟件生命周期的各個階段該如何去開展相應(yīng)的任務(wù)和活動。

在IEEE 7 -4.3.2(2010)和IEEE 1012(2004)中，均引述了IEC 12207(1995)中所描述的軟件生命周期，如圖2 所示。

其具體分為采購過程、供貨過程、開發(fā)過程(該過程包括概念階段、需求階段、設(shè)計階段、實現(xiàn)階段、集成測試階段、安裝調(diào)試階段)、運行過程、維護(hù)過程、組織過程和其他支持性過程(如文檔編制、配置管理、質(zhì)量保證、聯(lián)合評審等)［3］，并針對上述軟件生命周期過程提出了軟件生命周期活動和任務(wù)的執(zhí)行準(zhǔn)則。其中，管理過程及相關(guān)的管理V＆V 活動和任務(wù)貫穿于軟件整個生命周期，在軟件生命周期的各個階段均需完成相關(guān)的V＆V 活動和任務(wù)。這些V＆V 活動和任務(wù)具體該如何執(zhí)行以及執(zhí)行過程中的一些關(guān)注項，將在下面章節(jié)中提到。

圖2 IEC 12207(1995)軟件生命周期過程Fig.2 The software life cycle process in IEC 12207(1995)

此外，在IEEE 1074(1995)中描述了開發(fā)軟件的生命周期過程，并提供了構(gòu)成開發(fā)軟件生命周期過程的系列活動。美國核管會通過R. G. 1.173(1997)認(rèn)可了IEEE 1074(1995)中所描述的軟件生命周期過程的開發(fā)方法和過程，但是在R.G. 1.173(1997)中也特別指出美國核管會不認(rèn)可IEEE 1074(1995)中的附件。附件分別介紹了4 種軟件生命周期過程的籌劃、軟件項目管理的定制模板以及過程之間的相互關(guān)系［4］。

在R.G. 1.173(1997)中，美國核管會關(guān)于安全級軟件的生命周期過程提出了若干要求，主要包括:①按照IEEE 1074(1995)進(jìn)行軟件生命周期過程開發(fā)時，所要求的輸入信息、生命周期活動和輸出信息描述中應(yīng)該說明適用的法規(guī)、設(shè)計基準(zhǔn)和導(dǎo)則;②按照IEEE 1074(1995)進(jìn)行軟件生命周期過程開發(fā)時，應(yīng)該執(zhí)行該標(biāo)準(zhǔn)中所有規(guī)定執(zhí)行的活動;③應(yīng)該在軟件生命周期的各個階段有計劃、有記錄地執(zhí)行軟件安全性分析［5］。

在相關(guān)的軟件工程標(biāo)準(zhǔn)和文獻(xiàn)中，提出了多種軟件生命周期模型，典型模型有瀑布模型和螺旋型模型。瀑布模型將軟件生命周期過程的各階段要執(zhí)行的活動任務(wù)通過一定的順序連接，形成如同瀑布水流的臺階式步驟流程，上一步驟作為下一步驟的輸入，這就使得相鄰兩個步驟流程聯(lián)系緊密。該模型用工序?qū)栴}簡化，將軟件的功能的實現(xiàn)與設(shè)計分開，便于分工協(xié)作，即采用結(jié)構(gòu)化的分析與設(shè)計方法將邏輯實現(xiàn)與物理實現(xiàn)分開。螺旋型模型是一種演化軟件開發(fā)過程模型，它兼顧了快速原型迭代的特征以及瀑布模型的系統(tǒng)化與嚴(yán)格監(jiān)督。該模型的最大特點在于引入了其他模型不具備的風(fēng)險分析，使軟件在無法排除重大風(fēng)險分析時有機(jī)會停止，以減少損失。同時，在每個迭代階段構(gòu)建原型是螺旋模型用以減小風(fēng)險的途徑。需要特別說明的是，在R.G. 1.173(1997)和IEEE 1074(1995)中均沒有要求或推薦某種特定的軟件生命周期模型用于開發(fā)安全級軟件的生命周期。在NUREG 0800(2007)-BTP14 的詳細(xì)技術(shù)見解中，美國核管會強(qiáng)調(diào)，軟件開發(fā)方應(yīng)該選擇適當(dāng)?shù)能浖芷谀Ｐ?，安全級軟件的開發(fā)過程應(yīng)該按照事先確定的軟件生命周期模型執(zhí)行各項活動和任務(wù)［6］。盡管基于不同模型的安全級軟件生命周期在生命周期過程中的活動定義和活動執(zhí)行的順序方面有所差異，但是不同生命周期中所進(jìn)行的活動類別是基本一致的。這些活動類別包括概念活動、需求活動、設(shè)計活動、實現(xiàn)活動、集成測試活動、安裝活動、調(diào)試活動以及運行和維護(hù)活動等。

對于安全級軟件生命周期開發(fā)的適用標(biāo)準(zhǔn)，推薦使用IEEE 1074(1995)中所描述的方法，同時還應(yīng)當(dāng)滿足美國核管會R. G. 1.173(1997)中的相關(guān)規(guī)定。另外，鑒于IEEE 7 -4.3.2(2010)和IEEE 1012(2004)中均引述了IEC 12207(1995)中所描述的軟件生命周期，因此推薦采用該軟件生命周期的概念。即軟件生命周期分為采購過程、供貨過程、開發(fā)過程(該過程包括概念階段、需求階段、設(shè)計階段、實現(xiàn)階段、集成測試階段、安裝調(diào)試階段)、運行維護(hù)過程以及管理等支持性過程，在各個生命周期過程需完成IEEE 1012(2004)所規(guī)定的V＆V 活動和任務(wù)。

3 軟件生命周期的V＆V

在軟件生命周期的各個階段，都有可能出現(xiàn)錯誤或缺陷。與隨機(jī)性的硬件失效不同，軟件的錯誤和缺陷可能由人為錯誤、工具故障或系統(tǒng)性的設(shè)計缺陷等因素造成。目前，尚沒有定量的、確定性的方法可以用于衡量和判斷軟件的可靠性。因此，衡量軟件可靠性的方法注重于證明在軟件開發(fā)各個階段的輸出滿足輸入的要求;在各個階段沒有引入軟件錯誤且最終軟件中的錯誤極少，以保證最終系統(tǒng)的故障率是可接受的。軟件V＆V 過程為上述證明產(chǎn)生可審查、可追溯的證據(jù)。

目前，國際核工業(yè)界實施核電廠安全級軟件的V＆V 過程和活動所遵循的標(biāo)準(zhǔn)體系主要有美國的IEEE 系列標(biāo)準(zhǔn)、法國的RCC-E 系列規(guī)范和國際電工協(xié)會的IEC 系列標(biāo)準(zhǔn)。在軟件設(shè)計和研發(fā)過程中，安全級數(shù)字化儀控系統(tǒng)軟件相關(guān)標(biāo)準(zhǔn)研究主要是:①確定在安全級軟件生命周期過程中，軟件開發(fā)階段V＆V任務(wù)和活動所遵循的標(biāo)準(zhǔn);②明確各個標(biāo)準(zhǔn)之間的層次關(guān)系，建立安全級軟件V＆V 的標(biāo)準(zhǔn)體系;③為安全級軟件開發(fā)過程中的V＆V 任務(wù)過程指導(dǎo)書的編制建立標(biāo)準(zhǔn)體系基礎(chǔ)。

對于安全級數(shù)字化儀控系統(tǒng)軟件在生命周期開發(fā)階段的V＆V 任務(wù)和活動，IEEE 1012(2004)［7］對其整個實施過程進(jìn)行了詳細(xì)規(guī)定，包括整個軟件生命周期中各項V＆V 任務(wù)和活動的內(nèi)容、范圍、方法及文檔規(guī)范等，具有很高的可實施性。值得注意的是，IEEE 1012(2004)并非專門針對核電領(lǐng)域，如果安全級數(shù)字化儀控系統(tǒng)軟件的設(shè)計開發(fā)僅滿足該行業(yè)標(biāo)準(zhǔn)，并不能保證一定滿足相關(guān)法規(guī)中對安全級數(shù)字化儀控系統(tǒng)軟件的所有要求。為了更好地幫助核電領(lǐng)域的軟件開發(fā)者或相關(guān)用戶理解和運用該標(biāo)準(zhǔn)，美國核管會出版了R.G. 1.168(2004)對該標(biāo)準(zhǔn)進(jìn)行了指導(dǎo)說明［8］。IEEE 1012(2004)以及R. G. 1.168(2004)中對IEEE 1012(2004)的指導(dǎo)說明一起構(gòu)成了針對核電廠安全級儀控系統(tǒng)軟件的V＆V 活動的標(biāo)準(zhǔn)，并完全符合美國核電法規(guī)以及質(zhì)量保證標(biāo)準(zhǔn)。

IEC 60880(2006)是核電廠對基于計算機(jī)的安全重要儀器和控制系統(tǒng)執(zhí)行A 類功能的軟件標(biāo)準(zhǔn)［9］。該標(biāo)準(zhǔn)覆蓋了所有最重要的軟件安全問題，并詳細(xì)規(guī)定了核電廠基于計算機(jī)的儀器和控制系統(tǒng)所要求的相關(guān)軟件。為了確保這些設(shè)備和系統(tǒng)的高可靠性，該標(biāo)準(zhǔn)描述了軟件產(chǎn)生和文件化的每個步驟，包括要求規(guī)范、設(shè)計、執(zhí)行、鑒定、確認(rèn)和操作等，為軟件V＆V 過程產(chǎn)生可證明的、可審查的和可追溯的證據(jù)提供有力參考。

安全級數(shù)字化儀控系統(tǒng)軟件V＆V 任務(wù)和活動的開展需要進(jìn)行過程策劃，這就需要在軟件開發(fā)的早期階段根據(jù)軟件完整性需求指定軟件的完整性級別。軟件完整性級別基于軟件預(yù)期用途及關(guān)鍵或非關(guān)鍵的系統(tǒng)應(yīng)用，展示了軟件不同的關(guān)鍵性［10］。安全級數(shù)字化儀控系統(tǒng)軟件應(yīng)該按最高的完整性等級4 級(A 類)來開展V＆V 活動和任務(wù)，依據(jù)選定的軟件完整性級別對軟件開發(fā)過程(包括概念階段、需求階段、設(shè)計階段、實現(xiàn)階段、集成測試階段、安裝調(diào)試階段)的各個子階段執(zhí)行最低限度的V＆V 活動和任務(wù)，才能確保軟件開發(fā)滿足相應(yīng)的安全級軟件要求、并遵循其產(chǎn)品的質(zhì)量保證體系要求。同時，軟件生命周期開發(fā)階段的各個子階段在進(jìn)行具體的V＆V 活動和任務(wù)時，由于各子階段的V＆V 重點不同，為了滿足軟件完整性級別需求，需要參考和遵循的標(biāo)準(zhǔn)也會有適應(yīng)性的不同，如在實現(xiàn)階段會涉及到代碼測試，該階段可借鑒參考航天和軍工等比較成熟的測試經(jīng)驗和所遵循的標(biāo)準(zhǔn)，從而滿足核電廠安全級儀控系統(tǒng)軟件的V＆V 要求。

4 結(jié)束語

依據(jù)我國核安全法規(guī)及相關(guān)導(dǎo)則對核電廠安全級儀控系統(tǒng)軟件設(shè)計開發(fā)所做的要求，參考比對了國際上安全級儀控系統(tǒng)軟件相關(guān)的完整成熟的標(biāo)準(zhǔn)體系，對安全級數(shù)字化儀控系統(tǒng)軟件、軟件生命周期以及軟件開發(fā)階段的V＆V 活動所宜遵循的標(biāo)準(zhǔn)進(jìn)行了分析。重點指明軟件V＆V 是安全級軟件設(shè)計開發(fā)過程中能有效地提高軟件可靠性的方法，并就安全級軟件在設(shè)計開發(fā)過程中如何執(zhí)行及如何審查提出了相關(guān)建議，以期為后續(xù)核電廠安全級數(shù)字化儀控系統(tǒng)軟件的設(shè)計審查提供技術(shù)參考。

［1］ Nuclear Power Engineering Committee of the IEEE Power Engineering Committee. IEEE 7 - 4. 3. 2 IEEE standard criteria for digital computers in safety systems of nuclear power generating stations［S］.New York:Institute of Electrical and Electronics Engineers，2010.

［2］Office of Nuclear Regulatory Research. R.G. 1.152 Criteria for use of computers in safety systems of nuclear power plants ［S］.Washington D.C. U.S. Nuclear Regulatory Commission，2006.

［3］Joint Technical Committee ISO/IEC JTC 1，Information technology，Subcommittee SC 7，Software engineering. IEC 12207 Software Life Cycle Processes［S］. Switzerland:International Electrotechnical Commission，1995.

［4］ Software Engineering Standards Committee of the IEEE Computer Society. IEEE 1074 IEEE standard for developing software life cycle processes［S］. New York:Institute of Electrical and Electronics Engineers，1997.

［5］ Office of Nuclear Regulatory Research. R. G. 1. 173 Developing software life cycle processes for digital computer software used in safety systems of nuclear power plants［S］. Washington D.C.:U.S. Nuclear Regulatory Commission，1997.

［6］ Office of Nuclear Reactor Regulation. NUREG -0800 - chpt.7，Appendix 7 -A，Branch Technical Position HICB -14. Guidance on software reviews for digital computer-based instrumentation and control systems ［Z］. Washington， D. C.: U. S. Nuclear Regulatory Commission，2007.

［7］ Software Engineering Standards Committee of the IEEE Computer Society. IEEE 1012 IEEE standard for software verification and validation［S］. New York:Institute of Electrical and Electronics Engineers，2004.

［8］ Office of Nuclear Regulatory Research. R. G.1.168 Verification，validation，reviews，and audits for digital computer software used in safety systems of nuclear power plants［S］. Washington D.C.:U.S. Nuclear Regulatory Commission，2004.

［9］International Electrotechnical Commission. IEC 60880 Nuclear power plants- instrumentation and control systems important to safety -software aspects for computer -based systems performing category A functions ［S］. Switzerland: International Electrotechnical Commission，2006.

［10］中國人民解放軍總裝備部電子信息基礎(chǔ)部. GJB 5234 軍用軟件驗證和確認(rèn)［S］. 北京:中國人民解放軍總裝備部，2004.