IAEA儀控系統(tǒng)審評中的審評原則分析

王 嫘，石 秦，裴紅偉，張亞棟

（北京廣利核系統(tǒng)工程有限公司，北京 100094）

IAEA儀控系統(tǒng)審評中的審評原則分析

王 嫘，石 秦，裴紅偉，張亞棟

（北京廣利核系統(tǒng)工程有限公司，北京 100094）

儀控系統(tǒng)獨(dú)立工程審評 （IERICS）是由國際原子能機(jī)構(gòu) （IAEA）主導(dǎo)的、針對核電站儀控系統(tǒng)的專項(xiàng)審評，在國際上具有較高的權(quán)威。文章結(jié)合我國首個自主化核安全級儀控平臺——和睦系統(tǒng)的IERICS過程，從標(biāo)準(zhǔn)要求、實(shí)施方法及文檔要求等方面對安全設(shè)計(jì)準(zhǔn)則的審評原則進(jìn)行分析，總結(jié)了SSG－39安全導(dǎo)則中規(guī)定的安全設(shè)計(jì)要求，為后續(xù)相關(guān)核安全級儀控系統(tǒng)的設(shè)計(jì)和安全審查提供參考。

核安全級儀控系統(tǒng)；安全設(shè)計(jì)準(zhǔn)則；和睦系統(tǒng)；儀控系統(tǒng)獨(dú)立工程審評

核電廠數(shù)字化儀控系統(tǒng) （簡稱 “DCS”）是核電站的 “神經(jīng)中樞”，對于保證核電廠安全、可靠、穩(wěn)定運(yùn)行發(fā)揮著重要作用。完成核電站反應(yīng)堆安全停堆和事故緩解功能的核安全級DCS，有著嚴(yán)格的質(zhì)量和鑒定要求，核安全級DCS是各個國家針對核電廠進(jìn)行安全審評的重要部分。

國際原子能機(jī)構(gòu) （IAEA）作為世界上規(guī)模最大、最權(quán)威的政府間原子能科技和安全合作組織，承擔(dān)著核安全、能源和安全保障措施的國際同行審評工作，儀控系統(tǒng)獨(dú)立工程審評（IERICS）即為IAEA針對核電站DCS的專項(xiàng)審評，其審評結(jié)論對機(jī)構(gòu)150多個成員國的核能管理機(jī)構(gòu)有著重要的參考價(jià)值。北京廣利核系統(tǒng)工程有限公司公司自主研發(fā)儀控平臺——和睦系統(tǒng) （FirmSys）是我國首個具有完全自主知識產(chǎn)權(quán)的核安全級儀控平臺，為了促進(jìn)和睦系統(tǒng)在國內(nèi)國際市場的應(yīng)用，提升我國核電裝備制造能力，北京廣利核公司邀請IAEA對和睦系統(tǒng)開展IERICS。

IERICS是由IAEA核電工程部門自2009年起設(shè)立的核電站DCS專項(xiàng)審評活動，由IAEA組織國際專家，通過文件審評、現(xiàn)場檢查和技術(shù)溝通等方式，對被審DCS實(shí)施的全面審查評價(jià)活動。IERICS審評主要依據(jù)為SSG－39安全導(dǎo)則及指向標(biāo)準(zhǔn)，其中SSG－39是IAEA 2016年最新發(fā)布的核電站儀控系統(tǒng)安全導(dǎo)則，替 代 了 NS－G－1．1－2000 和 NS－G－1．3－2002。在審評過程中主要對DCS及產(chǎn)品的開發(fā)過程管理、質(zhì)量保證體系、軟／硬件產(chǎn)品設(shè)計(jì)及安全設(shè)計(jì)準(zhǔn)則符合性等多個方面進(jìn)行審評，其中安全設(shè)計(jì)準(zhǔn)則的符合性審評涉及系統(tǒng)架構(gòu)、設(shè)計(jì)原則以及所采用的技術(shù)手段等多個方面，是DCS審評的重點(diǎn)內(nèi)容。本文結(jié)合和睦系統(tǒng)的IERICS過程，對SSG－39核安全級DCS安全設(shè)計(jì)準(zhǔn)則方面的要求進(jìn)行分析。

1 IERICS安全設(shè)計(jì)準(zhǔn)則的審評原則

SSG－39在DCS安全設(shè)計(jì)準(zhǔn)則方面主要從可靠性設(shè)計(jì)、設(shè)備鑒定、定期試驗(yàn)、可試驗(yàn)性和可維護(hù)性、安全重要系統(tǒng)的接近控制、標(biāo)記與識別、整定值及老化和退役設(shè)計(jì)等多個角度對DCS進(jìn)行約束［1］，其中整定值、老化和退役設(shè)計(jì)主要針對于特定電站設(shè)計(jì)，不適用于對通用儀控平臺的審評，不在本文分析范圍內(nèi)。

1．1 可靠性設(shè)計(jì)

核安全級DCS應(yīng)具備與其安全功能相稱的高可靠性，確保系統(tǒng)在預(yù)期的異常情況下，仍能實(shí)現(xiàn)安全功能。SSG－39中對核安全級DCS的可靠性設(shè)計(jì)與評價(jià)做出了概述性要求，但并未形成特定的核電廠安全級系統(tǒng)可靠性相關(guān)標(biāo)準(zhǔn)，而是將其可靠性設(shè)計(jì)與單一故障、故障安全、多樣性等系統(tǒng)要求結(jié)合，通過開發(fā)過程和質(zhì)量過程的評價(jià)以及故障模式影響分析對可靠性進(jìn)行定性的論證 （見表1）。

表1 核安全級DCS可靠性設(shè)計(jì)審評要點(diǎn)分析Table 1 Key point analysis for the reliability design review of nuclear safety class DCS

1．1．1 單一故障準(zhǔn)則

SSG－39安全導(dǎo)則要求核電廠DCS應(yīng)滿足單一故障準(zhǔn)則。即在其任何部位發(fā)生可判明的單一隨機(jī)故障能夠完成預(yù)期的安全動作，并認(rèn)可了IEEE 379《核電廠安全系統(tǒng)單一故障的應(yīng)用準(zhǔn)則》在核廠控制系統(tǒng)中的應(yīng)用指導(dǎo)［2］。

DCS對單一故障準(zhǔn)則符合性審評過程中，重點(diǎn)審評隨機(jī)故障對安全功能可執(zhí)行性影響的分析過程，一般需依據(jù)IEEE 352《核電廠安全系統(tǒng)可靠性分析一般原則》針對每個設(shè)計(jì)基準(zhǔn)事件進(jìn)行安全系統(tǒng)分析［3］，對所有的故障模式進(jìn)行識別，并分析其可探測性和對安全功能的影響，確保采用自診斷和定期試驗(yàn)手段對故障的全覆蓋，針對不可探測的故障，需在判定其已知故障的情況下進(jìn)行專項(xiàng)的安全分析。

1．1．2 獨(dú)立性

IAEA SSR 2／1核電廠安全設(shè)計(jì)要求需通過物理隔離、電氣隔離以及通訊隔離等手段，實(shí)現(xiàn)安全系統(tǒng)、子系統(tǒng)及冗余系統(tǒng)間的獨(dú)立性，保證各系統(tǒng)能夠不受其他設(shè)備故障影響?yīng)毩⑼瓿善浒踩δ埽?］。SSG－39安全手冊認(rèn)可了IEC 60709《核電廠安全重要儀表和控制系統(tǒng)隔離準(zhǔn)則》中對DCS及電纜的隔離要求［5］。

審評過程中針對物理隔離，主要審評DCS在獨(dú)立性設(shè)計(jì)中防火區(qū)域設(shè)置、不同安全等級或冗余設(shè)備間信號的隔離屏蔽等；針對電氣隔離，主要關(guān)注切斷電氣連接、電氣隔離單元（如光耦）、光電轉(zhuǎn)換及光纖通信、繼電器等方法的采用形式，以及試驗(yàn)驗(yàn)證效果；針對通信隔離，主要關(guān)注通訊數(shù)據(jù)結(jié)構(gòu)、通信協(xié)議以及故障診斷設(shè)計(jì)等方法的實(shí)施。

IAEA審評專家強(qiáng)調(diào)通道及序列之間的雙向通訊以及從安全級別較低一側(cè)向安全級別較高一側(cè)的通訊應(yīng)謹(jǐn)慎考慮，針對這類通信需設(shè)計(jì)確定的約束機(jī)制，并證明不會對安全功能產(chǎn)生不利影響。

1．1．3 多樣性

針對基于計(jì)算機(jī)或復(fù)雜硬件邏輯的系統(tǒng)，需采用多樣性的手段以防止共因故障對安全功能造成影響。SSG－39認(rèn)可了IEC 62340《核電廠安全重要儀表和控制系統(tǒng)應(yīng)對共因故障的要求》對DCS防共因故障提出的多樣性設(shè)計(jì)要求［6］，同時(shí)進(jìn)一步提出典型的多樣性實(shí)施方法包括：設(shè)計(jì)多樣性、信號多樣性、設(shè)備多樣性、功能多樣性、邏輯多樣性及開發(fā)過程多樣性。其中設(shè)計(jì)多樣性指基于不同的軟件或硬件 （如手動與自動）解決同一個或相似問題；信號多樣性是指通過核電廠不同的測量參數(shù)觸發(fā)安全功能觸發(fā)同一安全功能；設(shè)備多樣性是指采用基于不同硬件技術(shù) （如模擬與數(shù)字、計(jì)算機(jī)和FPGA）的設(shè)備完成同一個安全功能；功能多樣性是指執(zhí)行不同的物理功能達(dá)到同樣的安全效果；邏輯多樣性是指通過采用不同的軟硬件語言、邏輯順序或算法等實(shí)現(xiàn)同一個安全功能；開發(fā)過程多樣性是指采用歸屬不同組織或管理體系下的開發(fā)、設(shè)計(jì)、實(shí)施和測試團(tuán)隊(duì)。

在審評過程中一方面對各多樣性實(shí)施方法的應(yīng)用情況進(jìn)行評審，如通過自動及手動方法實(shí)現(xiàn)同一個安全功能等；另外針對多樣性實(shí)施中的共性因素進(jìn)行審評，如類似的技術(shù)、公共的信號路徑等；同時(shí)為證明所采用多樣性實(shí)施方法能夠減弱共因故障對安全功能的影響，需提供必要的分析說明。值得注意的是，核安全級DCS的優(yōu)先級管理模塊，由于需要接受多個不同安全等級的指令，并發(fā)送優(yōu)先級別最高的指令到設(shè)備，其多樣性、獨(dú)立性評價(jià)是系統(tǒng)評審的重點(diǎn)之一。

1．1．4 故障安全

IAEA SSR 2／1核電廠安全設(shè)計(jì)要求核電廠安全重要系統(tǒng)及部件需依據(jù) “故障安全”原則進(jìn)行設(shè)計(jì)，即系統(tǒng)或部件發(fā)生故障時(shí) （包括失電）都應(yīng)導(dǎo)向已知的工作條件且滿足安全要求［4］。故障安全設(shè)計(jì)需識別所有儀控部件或設(shè)備的故障模式，設(shè)計(jì)相應(yīng)的檢測或監(jiān)視方法，并在發(fā)現(xiàn)故障后自動觸發(fā)系統(tǒng)執(zhí)行故障處理措施。

在DCS故障安全設(shè)計(jì)中，故障模式的識別應(yīng)不僅限于硬件部件，也應(yīng)包括軟件的典型故障，如輸出錯誤、輸出延遲、輸出凍結(jié)等；檢測或監(jiān)視方法可采用硬件看門狗、獨(dú)立計(jì)數(shù)器等自診斷技術(shù)，故障處理措施包括設(shè)備輸出預(yù)設(shè)的缺省值、系統(tǒng)表決邏輯降級等。對于檢測或監(jiān)視方法以及故障上報(bào)路徑的故障模式同樣需要考慮在內(nèi)，以避免其對安全功能輸出的影響或造成誤動。

1．2 設(shè)備鑒定

設(shè)備鑒定主要用于證明安全級設(shè)備在其整個運(yùn)行壽命內(nèi)能滿足實(shí)際的環(huán)境條件 （例如振動、溫度、壓力、射流撞擊、輻射、濕度）下執(zhí)行安全功能所必需的各種要求。SSG－39安全手冊認(rèn)可了IEC 60780和IEEE 323中對核安全級DCS的設(shè)備鑒定要求，可采用型式試驗(yàn)、運(yùn)行經(jīng)驗(yàn)、分析法或幾種方法的組合完成［7－8］。在這幾種方法中，運(yùn)行經(jīng)驗(yàn)法由于運(yùn)行條件與設(shè)備鑒定數(shù)據(jù)的有限性，不建議單獨(dú)使用；如采用分析法，需要對所采用方法、理論和假設(shè)的正確性進(jìn)行論證。因此針對核電廠安全級儀控設(shè)備，一般采用最直接的型式試驗(yàn)法，這也是最易被各評審單位所接受和認(rèn)可的，同時(shí)在鑒定樣機(jī)搭建過程中需證明其與核電站DCS設(shè)計(jì)與安裝的一致性。

IERICS在設(shè)備鑒定的審評過程中主要對的功能性能測試、環(huán)境應(yīng)力鑒定、內(nèi)外部危害鑒定以及電磁環(huán)境鑒定四個要素進(jìn)行審評。功能性能測試應(yīng)包括與所執(zhí)行安全功能相關(guān)的所有應(yīng)用、操作、接口、輸入輸出功能、精度、響應(yīng)時(shí)間以及故障安全和隔離特性等；環(huán)境應(yīng)力鑒定應(yīng)滿足IAEA核安保系列導(dǎo)則3《運(yùn)行核電廠的設(shè)備鑒定》，包括嚴(yán)酷環(huán)境和和緩環(huán)境中的溫度、濕度、壓力、輻照及老化等［9］，以及地震條件下設(shè)備執(zhí)行安全功能的能力；電磁環(huán)境鑒定應(yīng)包括EMC防護(hù)要求、輻射和發(fā)射要求。

1．3 定期試驗(yàn)、可試驗(yàn)與可維護(hù)性

IAEA SSR 2／1核電廠安全設(shè)計(jì)要求核電廠安全重要物項(xiàng)的設(shè)計(jì)必須使得能夠?qū)λ鼈冞M(jìn)行所需的校準(zhǔn)、測試、維護(hù)、維修或更換、檢查和監(jiān)測，以確保其執(zhí)行安全功能的能力和在所有工況中的完整性。SSG－39在定期試驗(yàn)和可試驗(yàn)性設(shè)計(jì)方面認(rèn)可了標(biāo)準(zhǔn)IEC 60671《核電廠安全重要儀控系統(tǒng)的監(jiān)視與試驗(yàn)》和IEEE 338《核電廠安全系統(tǒng)定期試驗(yàn)與監(jiān)測》的要求，核電廠安全系統(tǒng)應(yīng)支持在線運(yùn)行期間進(jìn)行定期試驗(yàn)，且需通過冗余、旁通控制等措施確保定期試驗(yàn)過程中其安全功能不受影響［10－11］，試驗(yàn)的范圍應(yīng)涵蓋從傳感器、輸入信號至最終顯示和執(zhí)行單元的所有環(huán)節(jié)，定期試驗(yàn)可依據(jù)系統(tǒng)功能分段進(jìn)行，但各段應(yīng)具有一定的重疊。定期試驗(yàn)的試驗(yàn)間隔應(yīng)具有可靠性定量分析數(shù)據(jù)的支撐。

SSG－39安全手冊明確指出長期與安全級系統(tǒng)連接的測試設(shè)備也應(yīng)該是安全級設(shè)備，如采用非安全測試設(shè)備，則需證明測試設(shè)備能夠滿足獨(dú)立性要求，并進(jìn)行專項(xiàng)分析確保其誤操作或功能故障不會影響系統(tǒng)安全級功能。

在可維護(hù)性方面，系統(tǒng)設(shè)計(jì)過程中應(yīng)考慮所有系統(tǒng)及部件維護(hù)計(jì)劃，系統(tǒng)級部件的安裝設(shè)計(jì)中應(yīng)盡量便于維護(hù)和操作，并出提供必要的預(yù)防性維修、故障排除和快速修復(fù)手段，如制定產(chǎn)品定期更換計(jì)劃等。針對系統(tǒng)所提供的維護(hù)手段，應(yīng)同樣考慮其對安全功能的影響，可以通過冗余設(shè)備切換，或執(zhí)行備用手操來實(shí)現(xiàn)，同時(shí)系統(tǒng)應(yīng)提供硬件閉鎖功能，以保證系統(tǒng)運(yùn)行時(shí)不能開展試驗(yàn)或維護(hù)，除非人員介入。

1．4 接近控制

IAEA SSR 2／1核電廠安全設(shè)計(jì)要求，明確應(yīng)阻止對安全重要的物項(xiàng)，包括計(jì)算機(jī)硬件、軟件的非授權(quán)訪問或連接，并且指出應(yīng)當(dāng)按照IAEA核安保系列導(dǎo)則4、8及13的指導(dǎo)來考慮核電廠安全保護(hù)設(shè)計(jì)。SSG－39還具體從物理區(qū)域防護(hù)，重要運(yùn)行參數(shù)的整定值調(diào)整、校準(zhǔn)及配置防護(hù)，以及電子信號接入防護(hù)等方面，做出了非授權(quán)接近的防護(hù)要求。有效的方法包括設(shè)計(jì)機(jī)柜門鎖、電氣設(shè)備間鎖以及安全區(qū)域門禁報(bào)警，并在DCS操作軟件上設(shè)置多層級的權(quán)限密碼并強(qiáng)制密碼強(qiáng)度等。

1．5 標(biāo)記與識別

對于儀控部件和人機(jī)接口，SSG－39要求采取具有一致性、連貫性，易懂的命名和識別方法，以適應(yīng)這些部件在核電廠從設(shè)計(jì)、安裝、運(yùn)行、維護(hù)到除役的全生命周期識別要求。一個恰當(dāng)?shù)拿R別方案不應(yīng)該頻繁地參考和引用圖紙、手冊或其他材料。而對于安裝在設(shè)備或組件內(nèi)部的部件或模塊，不需要進(jìn)行標(biāo)識，使用配置管理通常就已足夠。安全級與非安全級之間，不同安全列／通道之間的部件，通過這套標(biāo)識應(yīng)當(dāng)很容易區(qū)分，這樣可以防止在錯誤的列／通道上進(jìn)行維護(hù)、試驗(yàn)、維修或校準(zhǔn)活動?？梢钥紤]對不同安全級別，不同通道、列設(shè)備的標(biāo)牌各自規(guī)定不同顏色的標(biāo)簽／標(biāo)牌，并按照統(tǒng)一，具有規(guī)律性的編碼方式，來清晰的區(qū)分設(shè)備，以降低操作、維護(hù)人員出錯的概率。

表2給出了核安全級DCS設(shè)備鑒定等審評要點(diǎn)分析。

表2 核安全級DCS設(shè)備鑒定等審評要點(diǎn)分析Table 2 Key point analysis for the equipment identification and other reviews of nuclear safety class DCS

2 結(jié)束語

核電廠儀控設(shè)備必須要滿足核安全相關(guān)法規(guī)和標(biāo)準(zhǔn)要求，且通過安全審查才能應(yīng)用到核安全級DCS中。本文結(jié)合和睦系統(tǒng)的IERICS審評過程，對SSG－39針對核安全級DCS在安全準(zhǔn)則方面的符合性要求進(jìn)行分析，梳理出包括單一故障原則、獨(dú)立性、多樣性、設(shè)備鑒定等在內(nèi)的審評要點(diǎn)，并對各要點(diǎn)參考標(biāo)準(zhǔn)、實(shí)施方法進(jìn)行解讀，為后續(xù)相關(guān)核安全級DCS的設(shè)計(jì)和安全審查提供參考。

［1］IAEA．Design of Instrumentation and Control Systems for Nuclear Power Plants：IAEA Safety Standards Series No．SSG－39—2016 ［S］．

［2］IEEE．IEEE Standard Application of the Single－Failure Criterion to Nuclear Power Generating Station Safety Systems：IEEE 379—2014 ［S］．

［3］IEEE．IEEE Guide for General Principles of Reliability Analysis of Nuclear Power Generating Station Safety Systems：IEEE 352－1987 ［S］．

［4］IAEA．Safety of Nuclear Power Plants：Design：IAEA Series No．SSR－2／1—2016 ［S］．［5］IEC．Nuclear Power Plants－Instru－mentation and Control Systems Important to Safety－Separation：IEC 60709—2004 ［S］．

［6］IEC．Nuclear Power Plants－Instru－mentation and control systems important to safety－Requirements for coping with common cause failure （CCF）：IEC 62340—2007［S］．

［7］IEC．Nuclear power plants－Elec－trical equipment of the safety system－Qualification：IEC 60780－1998 ［S］．

［8］IEEE．IEEE Standard for Qualifying Class 1EEquipment for Nuclear Power Generating Stations：IEEE 323—2003 ［S］．

［9］IAEA．IAEA Safety Reports Series No．3：Equipment Qualification in Operational Nulcear Power Plants：Upgrading，Preserving and Reviewing ［S］．

［10］IEC．Nuclear Power Plants－Instrumentation and Control Systems Important to Safety－Surveillance Testing：IEC 60671—2007 ［S］．

［11］IEEE．：IEEE Standard for Qualifying Class 1E Equipment for Nuclear Power Generating Stations IEEE 338—2012 ［S］．

Analysis on the Review Principle of IAEA Independent Engineering Review for the Instrumentation and Control System

WANG Lei，SHI Qin，PEI Hong－wei，ZHANG Ya－dong
（China Techenergy Co．，Ltd．，Beijing 100094，China）

The mission for independent engineering review of instrumentation and control systems （IERICS）is established by the International Atomic Energy Agency with the aim f conducting peer reviews for I＆C systems in nuclear power plants．The IERICS mission is based on appropriate IAEA documents，Safety Guides and Nuclear Energy Series．Based on the IERICS process of FirmSys，which is the first nuclear safety class I＆C system platform with complete independent intellectual property rights in China，this paper analyzes the review principle of safety system criteria in IERICS from the standards requirements，implementation methods and documentation requirements，and summarized the safety design requirements specified in SSG－39，which provides reference for the design and safety review for related nuclear safety class I＆C systems．

nuclear safety class instrumentation and control system；safety system design criteria；FirmSys；independent engineering review of instrumentation and control systems （IERICS）

TM623 Article character：A Article ID：1674－1617 （2017）03－0315－05

TM623

A

1674－1617 （2017）03－0315－05

10．12058／zghd．2017．03．315

2017－07－03

王 嫘 （1986—），女，河南人，博士，高級工程師，現(xiàn)主要從事核電廠安全級儀控系統(tǒng)質(zhì)量評測工作 （E－mail：wanglei＠ctecdcs．com）。

（責(zé)任編輯：白佳）