2023 核电厂安全系统中可编程数字设备的适用准则

GB/T13629—2023

目次

前言

…………………………Ⅲ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义缩略语

3、………………………1

术语和定义

3.1…………………………1

缩略语

3.2………………2

安全系统设计基准

4………………………3

安全系统准则

5……………3

单一故障准则

5.1………………………3

保护动作的完成

5.2……………………3

质量

5.3…………………3

设备鉴定

5.4……………7

系统的完整性

5.5………………………7

独立性

5.6………………9

试验和校准能力

5.7……………………12

信息显示

5.8……………12

访问控制

5.9……………14

维修

5.10………………18

标识

5.11………………19

辅助设施

5.12…………………………19

多机组核电厂

5.13……………………19

人因工程考虑

5.14……………………19

可靠性

5.15……………19

共因失效准则

5.16……………………19

商品级数字设备的使用

5.17…………20

简单性

5.18……………20

监测指令设备的功能和设计要求

6………………………21

执行装置的功能和设计要求

7……………21

对动力源的要求

8…………………………21

附录资料性危害的识别和控制

A()……………………22

背景

A.1………………22

危害分析的目的

A.2…………………22

危害分析实施指导

A.3………………22

Ⅰ

GB/T13629—2023

附录资料性通信独立性

B()……………34

背景

B.1…………………34

讨论

B.2…………………34

附录资料性多样性需求的确定

C()……………………39

多样性和纵深防御分析

C.1……………39

充分多样性以消除共因失效

C.2………………………39

增加多样性以应对共因失效薄弱环节

C.3……………39

多样性的手动控制和显示

C.4…………39

多样性的自动控制

C.5…………………40

附录资料性商品级物项适用性确认

D()………………41

总体原则

D.1……………41

商品级物项适用性确认的准备

D.2……………………41

商品级物项适用性确认的开展

D.3……………………42

商品级物项适用性确认的维护

D.4……………………44

参考文献

……………………46

Ⅱ

GB/T13629—2023

前言

本文件按照标准化工作导则第部分标准化文件的结构和起草规则的规定

GB/T1.1—2020《1:》

起草

。

本文件代替核电厂安全系统中数字计算机的适用准则与

GB/T13629—2008《》,GB/T13629—

相比除结构调整和编辑性改动外主要技术变化如下

2008,,:

更改了文件的适用范围将数字计算机更改为可编程数字设备见第章年版的

———,“”“”(1,2008

第章

1);

更改了术语商品级物项固件危害危害分析的定义见第章年版的第章

———“”“”“”“”(3,20083);

删除了术语和定义验收测试应用软件结构复杂性部件计算机计算机指令

———“”“”“”“”“”“”“”

计算机程序计算机系统配置配置控制配置项配置管理正确性数据数据结

“”“”“”“”“”“”“”“”“

构设计文件文档差错执行失效故障功能功能单元硬件实现接口

”“”“”“”“”“”“”“”“”“”“”“”“”

模块规程鉴定试验需求需求规格书软件软件维护软件质量度量软件工具

“”“”“”“”“”“”“”“”“”

规格书系统系统软件系统试验试验试验大纲确认验证验证与确认见

“”“”“”“”“”“”“”“”“”(

年版的第章

20083);

增加了术语和定义安全状态功能状态关键特性基本部件可编程数字设备数字安

———“”“”“”“”“”“

全系统见第章

”(3);

增加了缩略语见

———(3.2);

增加了针对单一故障的相关准则要求见

———(5.1);

更改了应用于数字装置软硬件开发固件和可编程逻辑设备开发所用到的软件工具内容见

———、、(

年版的

5.3.3,20085.3.2);

增加了功能优先级的相关要求见

———(5.5.5);

增加了安全系统内部各冗余部分以及安全系统和其他系统之间独立性方面的详细规定见

———(

5.6.5);

增加了项试验和校准准则见

———3(5.7);

增加了多序列控制和显示的相关要求见

———(5.8);

增加了安全系统在计算机安全防范方面的要求特别给出了安全开发和运行环境的相关准则

———,

见

(5.9);

增加了安全系统中与计算机相关的共因失效的要求见

———(CCF)(5.16);

增加了可编程设备和软件的商品级适用性确认要求见

———(5.17);

增加了安全系统简单性方面的要求见

———(5.18)。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别专利的责任

。。

本文件由全国核仪器仪表标准化技术委员会提出并归口

(SAC/TC30)。

本文件起草单位核工业标准化研究所北京广利核系统工程有限公司生态环境部核与辐射安全

:、、

中心国核自仪系统工程有限公司中核控制系统工程有限公司

、、。

本文件主要起草人焦丽玲程建明张亚栋杜乔瑞王晓燕杜建邓瑞源吴飞飞裴红伟

:、、、、、、、、、

武方杰黄君龙石秦刘春明王忠秋耿文行刘景宾乔宁任春香刘志凯王海峰

、、、、、、、、、、。

本文件及其所代替文件的历次版本发布情况为

:

年首次发布为年第一次修订

———1998GB/T13629—1998,2008;

本次为第二次修订

———。

Ⅲ

GB/T13629—2023

核电厂安全系统中可编程数字设备的

适用准则

1范围

本文件规定了可编程数字设备用于核电厂安全系统的设计准则包括安全系统准则监测指令设备

,、

的功能和设计要求执行装置的功能和设计要求对动力源的要求

、、。

本文件适用于核电厂安全系统中的可编程数字设备

。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文

。,

件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于

,;,()

本文件

。

核电厂安全级电气设备鉴定

GB/T12727—2017

核电厂安全系统第部分设计准则

GB/T13284.1—20081:

核电厂安全级电气设备抗震鉴定

GB/T13625—2018

系统与软件工程系统生存周期过程

GB/T22032—2021

核电厂系统和软件的验证和确认

NB/T20448—2017

系统和软件工程软件生命周期过程

ISO/IEC12207:2017(Systemsandsoftwareengineering—

Softwarelifecycleprocesses)

3术语和定义缩略语

、

31术语和定义

.

下列术语和定义适用于本文件

。

311

..

安全状态safestate

在其应用场景中被认为是安全的系统状态或符合核电厂安全分析的系统工况

。

312

..

功能状态functionalstate

由可编程数字设备设计规定的部件或系统的运行状态

(PDD)。

注包括运行模式容错模式以及测试诊断故障检测模式

:、,//。

313

..

固件firmware

硬件设备和驻留在此设备上的作为只读软件的计算机指令和数据的组合

。

注为与本文件一致固件被当作可编程设备中的软件

:,。

314

..

关键特性criticalcharacteristic

为了保证商品级物项可执行其预定安全功能需验证物项重要的设计材料和性能包括设计过程

,、()

1

GB/T13629—2023

的属性

。

315

..

基本部件basiccomponent

影响核电厂安全功能所必需的系统设备及其零件

、。

316

..

可编程数字设备programmabledigitaldevicePDD

;

任何依赖计算机软件指令或可编程逻辑完成其功能的设备

。

注包括计算机可编程硬件设备或带有固件的设备

:、,。

317

..

商品级物项commercialgradeitem

不是为核电厂专门设计或不以核电厂特有的技术要求为条件用于非核电厂按制造厂产品例如

,,(

样本说明中规定的技术条件从制造厂或供货商处采购的系统设备及其零件

)、。

来源有修改

[:GB/T41143—2021,3.70,]

318

..

商品级物项适用性确认commercialgradededication

为了充分确信商品级物项适合于核安全应用对商品级物项进行评价和验收的过程

,。

来源

[:GB/T41143—2021,3.71]

319

..

数字安全系统digitalsafetysystem

用以执行安全功能的可编程数字设备的集合

。

3110

..

危害hazard

系统中不良行为的先决条件包括外部事件以及硬件和软件的内在条件

,。

3111

..

危害分析hazardanalysis

检查系统以识别内在危害以及运用适当的需求设计和其他约束条件来消除预防或控制所识别

,、、

的危害的过程

。

32缩略语

.

下列缩略语适用于本文件

。

未能紧急停堆的预期瞬态

ATWS:(AnticipatedTransientWithoutScram)

共因失效

CCF:(CommonCauseFailure)

关键数字评审

CDR:(CriticalDigitalReview)

循环冗余

CRC:(CyclicRedundancyCheck)

双端口随机存储器

DPRAM:(Dual-portedRandomAccessMemory)

多样性和纵深防御

D3:(DiversityandDefenseinDepth)

失效模式和影响分析

FMEA:(FailureModesandEffectsAnalysis)

故障树分析

FTA:(FaultTreeAnalysis)

测量和试验设备

MTE:(MeasurementandTestEquipment)

初步危害分析

PHA:(PreliminaryHazardsAnalysis)

安全开发和运行环境

SDOE:(SecureDevelopmentandOperationalEnvironment)

验证和确认

V&V:(VerificationandValidation)

2

GB/T13629—2023

4安全系统设计基准

核电厂安全系统的设计基准应按照中第章给出的要求执行

GB/T13284.1—20084。

5安全系统准则

51单一故障准则

.

除中给出的要求外下列准则也适用于安全系统中的可编程数字设备

GB/T13284.1—20085.1,。

单个可编程数字设备失效不应影响核电厂安全分析中假定会独立地发生功能异常的

a)(PDD)

功能

。

功能配置如功能分布应使得单个的功能异常或软件错误不应导致电厂发生未包含在

b)()PDD

设计基准事故分析未能紧急停堆的预期瞬态的处理措施误动作或其他异常工况的

、、(ATWS)

处理措施误动作这里所指的误动作包括单个功能异常或软件错误导致的一个以上电

。PDD

厂设备或系统的误动作

。

对相同的软件错误导致的多个故障的可能性及其后果应满足的要求

PDD5.16。

52保护动作的完成

.

保护动作的完成应按照中给出的要求执行

GB/T13284.1—20085.2。

53质量

.

531通则

..

安全系统质量总体要求按照中执行软件质量要求应满足

GB/T13284.1—20085.3。ISO/IEC12207:

及其支持性标准的要求系统质量应满足的要求的开发活动应包括

2017。GB/T22032—2021。PDD

硬件和软件的开发在开发过程中应处理硬件与软件的集成以及在安全系统中的集成

。PDD。

典型的安全系统开发过程宜由下列生命周期的过程组成

:

建立系统的概念设计

a);

将概念设计转化为具体的系统需求

b);

使用这些需求进行详细的系统设计

c);

硬件和软件功能的设计的实现

d);

功能试验以确定需求的正确实现

e);

系统安装并进行现场调试

f);

系统运行和维护

g);

系统退役

h)。

为了符合质量准则除了的要求之外还应满足下列活动的附加要求

,GB/T13284.1—2008,:

软件开发

a);

现有商品级的适用性确认见

b)PDD(5.17);

软件工具的使用

c);

验证和确认

d);

配置管理

e);

风险管理

f)。

3

GB/T13629—2023

532软件开发

..

5321一般要求

...

软件应按经批准的软件质量保证大纲进行开发修改或验收质量保证大纲的要求应符合

、,

的规定软件质量保证大纲应涉及运行时的所有常驻软件包括应用软件

ISO/IEC12207:2017。PDD(、

网络服务软件接口处理软件操作系统软件以及诊断软件等编制软件质量保证大纲的指导见

、、)。

的

NB/T20054—20115.5。

软件质量保证大纲同时应包含中用于系统开发和维护的软件工具的要求

5.3.3。

5322软件质量度量

...

在整个软件生命周期内宜考虑使用软件质量度量以评价其是否满足软件质量要求并改善性能宜

,,

基于下面的生命周期阶段特性考虑度量

:

正确性完整性需求阶段

a)/();

与需求的一致性设计阶段

b)();

与设计的一致性实现阶段

c)();

功能与需求的一致性试验和集成阶段

d)();

现场功能与需求的一致性安装和调试阶段

e)();

性能历史记录运行和维护阶段

f)()。

在软件开发文档中应包括为评价软件质量特性而选择的度量依据第部分第

。GB/T2500010、22

部分和第部分提供了软件质量度量的应用方法

23。

533软件工具

..

在数字安全系统开发生命周期的不同阶段中一般要用到多种类型的软件工具有些工具被集成

,。

到基本软件开发过程中而另一些则被间接地使用因此以工具类型及所执行的任务作为依据有助于

,。,

对这些工具进行分类此外识别工具输出也是确定软件工具的鉴定等级的重要因素一旦确定了软

。,,。

件工具的分类即能确定工具的限制用途及鉴定要求以确定工具被恰当地使用下面提供一种软件

,、,。

分类方案分类方案中采用识别工具用途和输出以使其能适用后续准则

,。

类软件开发工具开发方用以产生软件定义系统架构或生成拟载入到的配置数据的

Ⅰ:———、PDD

工具开发人员通过软件开发工具与某类编程接口语言如或通过图形界面如绘制功能框

。(C、C++),(

图直接交互开发工具随后将该用户的输入转换为可直接载入到的数据目标代码或编程数

)。PDD(

据类工具输出是可在目标系统硬件中执行的目标代码或编程数据

)。Ⅰ。

类监视和维护工具用于监视试验修改配置数据和或为安全系统载入软件的工具类

Ⅱ:———、,/。Ⅱ

工具的输出可包含安全系统对工具的响应和或对安全系统配置的修改

/。

类开发过程支持工具在离线状态下使用用于支持不同开发活动此类工具一般不会对系

Ⅲ:———,。

统和软件造成直接影响也不会与系统或软件开发过程发生直接交互因此类工具本身不会向安全

,。,Ⅲ

引入错误相反类工具可用于开发过程所需的文档和配置创建或维护管理类工具的输出

PDD。,Ⅲ。Ⅲ

是安全系统的记录或具体文件数据集类工具还可用于维护类类类和类工具的配置

/。ⅢⅠ、Ⅱ、ⅣⅤ

控制

。

类在线工具接收类工具输出类工具用于开展或协助开展活动通

Ⅳ:V&V———Ⅰ。ⅣV&V。

常类工具设计用于纠正安全系统通过自动操作或工具用户按照预设规则集发出的指令手动操作

,Ⅳ(,

完成类工具的输出为经过调整或修改后的软件系统这些软件系统按照工具本身已预设的要求

)。Ⅳ/,/

已得到纠正

。

4

GB/T13629—2023

类离线工具接收类工具输出类工具与类工具类似都用于支持活

Ⅴ:V&V———Ⅰ。ⅤⅣ,V&V

动与类工具差别在于类工具不能修改或控制被测试软件系统从而向安全系统引入错误而是以

,Ⅳ:Ⅴ/,

测试结果的形式输出为操作员提供相关信息用于确认系统正按照设计功能运行如果需要对系统进

,,。

行纠正则该信息将作为反馈发送给开发人员开发人员随后使用类工具做必要的纠正随后以迭代

,。Ⅰ,

的形式重复流程直至所有要求均已验证和确认

V&V,。

若在安全系统生命周期过程内使用软件工具应采用下列方法中的一种或两种方法确保软件

PDD,

工具的输出与工具在安全系统中的使用相匹配

:

软件工具未能检出的缺陷应能通过活动发现

a)V&V;

工具应使用与最终产品所执行的安全功能的关键程度相称的生命周期过程进行开发

b)。

所有软件工具的预期功能和应用限制应识别并记录除非预先经过合理性证明否则对工具及其

。,

输出的使用不应超出已书面化的功能或应用限制

。

应按照软件工具分类进行软件工具评价并评价工具在安全系统中引入故障的可能性

,PDD。

软件工具的评价过程宜考虑既往的使用经验相关经验宜包含开发方的经验以及工具使用过程中

。

获取的经验

。

用以支持安全系统软件生命周期过程的软件工具应纳入到安全开发和运行环境

PDD(SDOE)

中并置于配置管理控制之下只有经过批准和记录的软件工具才可用于支持安全系统的开发

,。PDD。

软件工具应在其设计能力范围内使用

。

534验证和确认

..

验证和确认是过程管理和系统工程团队活动的延伸在整个系统生命周期中用于

(V&V)。,V&V

确定有关数字系统质量性能和整个生命周期开发过程的目标数据和结论即主动反馈反馈包括与

、()。

系统及其接口的预期运行条件有关的不符合项报告性能改进及质量提高

、。

过程应被用于确保某一活动的开发产出满足该活动的要求以及系统按照其预期的用途和

V&V,

用户的需求执行对这些匹配性的确定应包括对产品和过程进行的评价分析评审检查和测试

。、、、。

本文件采用规定的过程活动和任务的定义其中过程被分解为多项活

NB/T20448—2017、,V&V

动活动又被进一步分解为多项