Страница 10: ДСТУ IEC 61513:2009. Атомні електростанції. Інформаційні та керівні системи, важливі для безпеки. Загальні вимоги до систем (61219)

1. Системи має бути обладнано засобами тестування, які виконують перевіряння їхньої спро­можності виконувати свої функції, важливі для безпеки.

Примітка 1. Згідно з МАГАТЕ (див. 4.12 IAEA 50-SG-D8) під час тестування найкращими вважаються загальні перевірення, починаючи від входу датчиків до впливу на виході, але тестування, які частково перекриваються, також припустимі. Зокрема, тестування стосуються наведені нижче моменти:

1. зміни стану або значення будь-якого вхідного сигналу та спостереження за змінами на приймальному устаткованні;

2. переривання передавання та підтвердження того, що приймальне устатковання спроможне це виявити та вжити необхідних заходів;

3. перевірення та калібрування датчиків (див. 7.10.2 IAEA 50-SG-D3);

4. перевірення дій на виході (див. 7.10.3 IAEA 50-SG-D3);

2. Проміжки між перевіреннями має бути регламентовано у планах експлуатації та технічного обслуговування системи (див. 6.2), які базуються на потрібній надійності функцій (див. 4.5 IAEA 50-SG-D8), надійності устатковання та передбачуваних діапазонах похибки калібрування;

3. Якщо інтервали випробувань є такими, що потрібне періодичне тестування системи під час експлуатування, до проекту системи треба залучити устатковання для тестування та калібрування, яке дає змогу виконувати такі випробування під час експлуатування.

Примітка 2. Використання автоматичного устатковання сприяє виконанню періодичних випробувань. Цей тип устатковання здатен уводити змодельовані вхідні сигнали, реєструвати результівні вихідні стани та порівнювати результати спостереження з передбачуваними результатами;

4. Проект систем класу 1 та їхні випробувальні заходи мають бути такими, щоб забезпечити безпеку станції під час випробовування та мінімізувати помилковий запуск будь-якої захисної дії та будь-який несприятливий вплив випробування на роботоздатність станції. Метод тестування має мінімізувати час, на який канал захисту виводиться для обслуговування.

1. Систему треба проектувати так, щоб полегшити технічне обслуговування і в разі відмови легке діагностування, безпечне відновлення або заміну та повторне калібрування (див. 4.5 IAEA 50-SG-D8);

2. Треба враховувати здібності й обмеження людини, пов'язані з чинниками навколишнього се­редовища, для зменшення ризику та завантаженості персоналу під час технічного обслуговування;

3. Систему має бути спроектовано так, щоб повторне калібрування системи після ремонту підтверджувало його правильність. Потрібно охоплювати перевіренням:

• правильне відновлення нерозривності ланцюгів;

• правильне калібрування аналогових вимірювань та всіх відповідних порогових значень сигналу тривоги;

• спроможність системи виконувати регламентовані функції, важливі для безпеки.

Примітка. Вимоги до перевірення та технічного обслуговування в розділі 10 ІЕС 60987 застосовують до комп'ютерних систем, важливих для безпеки. Підрозділи IAEA 50-SG-D3: 7.10 (Перевірюваність), 7.11 (Експлуатаційні байпаси) та 7.12 (Контроль доступу) застосовують до комп’ютерних систем класу 1. Підрозділи IAEA 50-SG-D8: 4.5 (Перевірюваність) та 4.6 (Ремонтопридатність) — застосовують до комп’ютерних систем класу 2.

Для забезпечення інтеграції системи в КВК-архітектуру треба регламентувати наведену нижче інформацію згідно з відповідними вимогами розділу 5:

• передбачуване розміщення та фізичні обмеження, пов’язані з установленням системи на ’ станції (див. 5.1.3);

• фізичні та функційні інтерфейси системи з допоміжними системами й устаткованням (див. 5.1.3);

• фізичні та функційні інтерфейси системи з іншими системами й устаткованням, з якими відбувається обмін інформацією (див. 5.3.1.3);

• інтерфейси з програмними інструментальними засобами, які використовують для визначен­ня обміну даними між системами, і перевірення узгодженості цих даних (див. 5.3.1.4).

Вимоги до ІЛ М мають гарантувати, що ризик людської помилки мінімізовано, наприклад, по­милки через неуважність, промахи, недогляди, помилки під час установлювання, експлуатування, перевірювання і технічного обслуговування системи та станції або під час внесення змін у проект.

Примітка. Захист від навмисних змін має бути описано в плані забезпечення захисту (див. 6.2.2).

Треба визначити діапазони нормальних і граничних умов навколишнього середовища, які си­стема має витримувати відповідно до обмежень, що походять зі стану станції (див. 5.1.3). Визначені умови навколишнього середовища охоплюють:

• зовнішні умови, а саме температуру, вологість, тиск, випромінення й електромагнітні пере­шкоди під час нормального експлуатування й аварійних умов.

Примітка 1. Зовнішні умови для ЕМП визначають згідно з ІЕС 61000-4-1—ІЕС-61000-4-6;

• зовнішні умови внаслідок потенційних зовнішніх небезпек для системи, охоплюючи сейсмічні умови;

• умови електроживлення та відведення тепла.

Примітка 2. Вимоги до електроживлення КВК-систем, важливих для безпеки, визначають згідно з ІЕС 61225.

Системи класів 1 або 2 мають пройти кваліфікацію. Для комп’ютерних систем кваліфікація охоплює технічні засоби, системне програмне забезпечення та прикладне програмне забезпечення, сполучене з технічними засобами (див. 6.4).

6.1.2 Специфікація системи

Завдання цього етапу — забезпечення докладного опису архітектури технічного та програм­ного забезпечення системи, точне визначення устатковання, яке використовують або розробляють для її реалізації, та призначення прикладних функцій.

Специфікація вимог до системи та документація щодо наявного устатковання належить до специфікації системи.

Вихідна документація на цьому етапі (див. 6.3.2) формує вхідні дані для діяльності, у процесі якої реалізується об'єднання технічного та програмного забезпечення під час наступних етапів життєвого циклу системи.

Відповідно до розділу А.1 ІЕС 60880 цей етап охоплює діяльність, потрібну для формуван­ня вимог до програмного забезпечення, вимог до технічного забезпечення та вимог до інтеграції системи.

Специфікація системи має визначати:

• устатковання, що використовують;

• архітектуру системи;

• вимоги до програмного забезпечення;

• призначення прикладних функцій у підсистемах.

Зазвичай наявне устатковання (окремі компоненти програмного та технічного забезпечення або компоненти сімейства устатковання) застосовують для реалізації частини системи або всієї «нової» системи.

Примітка 1. Наявні компоненти можуть бути стандартною серійною продукцією («ССП») або власного продукцією виробника.

Примітка 2. У 4.3 ІЕС 60880-2 наведено критерії приймання наявного програмного забезпечення, яке використовують для виконання функцій категорії А.

1. Треба виконати оцінення придатності відібраних компонентів, щоб продемонструвати відпо­відність характеристик устатковання технічним завданням на систему;

2. Аналіз й оцінення придатності відібраних компонентів має ґрунтуватися на порівнянні двох комплектів документів: технічних завдань на систему та документації на наявні компоненти. Остан­ня охоплює специфікацію виробу і (якщо є) звіти із кваліфікації;

3. Застосовують наведені нижче вимоги:

• подана документація має чітко визначати функційність і властивості всіх компонентів.

Примітка. Це охоплює час виконання та необхідний обсяг пам'яті компонентів програмного забезпечення, інтенсивність відмов компонентів, умови навколишнього середовища для конфігурації системи, вимоги до монтажу в шафах, до монтажу кабелів та під'єднання до електроживлення, споживання електроенергії, сервісні засоби;

• властивості, які чітко не зазначено, треба визначити за допомогою аналізу або випробу­вання;

• документація має містити визначену надійність і характеристики прикладних функцій станції за очікуваної конфігурації(-ій) компонентів;

• документація має визначати функційність і властивості тих методів й інструментальних засобів, які застосовують у розробленні програмного забезпечення;

• треба визначити функції, які не виконуються системою (тобто функції устатковання, які передбачені, але не застосовуються). Треба продемонструвати неможливість впливу цих функцій на необхідні функції.

4. У разі виявлення невідповідностей між технічним завданням на систему та специфікацією до сімейства устатковання, що призводить до непридатності устатковання системи конкретного класу, устатковання має бути визнано непридатним. Оцінення придатності має встановити відповід­ність специфікації вибраного устатковання його призначенню, визначеному в технічному завданні на систему (див. 6.3.2.2);

5. Щодо систем класів 1 та 2 необхідно перевірити кваліфікацію відповідно до вимог 6.4;

6. За потреби попередньої кваліфікації треба чітко визначити властивості, які потрібно оцінити під час кваліфікації. Також треба ідентифікувати всі додаткові роботи з кваліфікації на станції.

Архітектуру системи можна поділити на ряд взаємопов'язаних підсистем і компонентів з ура­хуванням вимог до резервування та реконфігурації. Метою розподілення системи є досягнення оптимально простого компонування технічного та програмного забезпечення, що задовольняє функційні та експлуатаційні вимоги, та відповідає вимогам до надійності та ремонтопридатності.

Компонування підсистем у системі має:

• задовольняти проектні обмеження 6.1.1.2;

• ураховувати вимоги до функційного призначення прикладних функцій (див. 6.1.2.4);

• відповідати вимогам до надійності прикладних функцій, важливих для безпеки (див. 6.1.1.1.1).

1. Під час визначання територіального розміщення підсистем на станції та шляхів передавання даних між підсистемами треба враховувати наведені нижче чинники:

• розділення резервованих каналів більшості устатковання може бути необхідним для зменшення впливу локальних ризиків, таких як пожежа, і відповідності критерію одиничної відмови (див. 6.1.1.2.1);

• централізація функцій, важливих для захисту, може бути необхідною для досягнення відповідності вимогам до контролю за несанкційованим доступом (див. 5.4.2);

• централізація складного устатковання може сприяти полегшенню експлуатації, періодич­них випробовувань, технічного обслуговування та контролю за навколишнім середовищем;

• використання мультиплексного передавання даних може знижувати складність кабельної проводки;

2. Для систем класу 1 засоби резервування передавання даних використовують для переда­вання інформації з важкодоступних місць (наприклад, розміщених усередині захисної оболонки реактора). Вимоги до мультиплексного передавання даних наведено в ІЕС 61500.

Незалежність забезпечує умови попередження небажаної взаємодії між підсистемами системи або з іншими системами, яка може відбутися внаслідок неправильної експлуатації або відмови яко- го-небудь компонента будь-якої підсистеми або системи. Небажані взаємодії можуть відбуватися внаслідок таких явищ, як електромагнітна індукція, короткі замикання, дефекти уземлення, пожежі, хімічний вибух, авіакатастрофа та поширення правильних даних.

1. Якщо потрібна незалежність (див. 6.1.1.2.1), її можна досягти, використовуючи:

• електричну ізоляцію, яку можна отримати, застосовуючи волоконну оптику, оптичні ізолятори, захисний екран для кабелю;

• фізичне розділення, яке можна отримати за допомогою збільшення відстані, викорис­тання бар’єрів або комбінацій того й іншого;

• незалежність зв'язків для комп’ютерних систем, якої можна досягти за допомогою вибору відповідних структур і протоколів обміну даними (див. 5.3.1.3).

Примітка 1. Вимоги до електричної ізоляції та фізичного розділення наведено в 4.3 IAEA 50-SG-D8 та 7.8 IAEA 50-SG-D3;

2. У системі класу 1 фізичне розділення й електрична ізоляція між підсистемами різних лан­цюгів безпеки мають задовольняти вимоги ІЕС 60709;

3. Розділення й ізоляція між системами класу 1 та системами й устаткованням, неважливими для безпеки, мають задовольняти вимоги ІЕС 60709.

Примітка 2. Найкращим методом фізичного розділення та захисту кабельної проводки систем безпеки, що передають електричні або оптичні сигнали, є використання спеціальних кабельних оболонок чи кабельних каналів, що забезпечують повний захист від небезпеки.

Окрім поширення відмов, яким можливо запобігти, використовуючи незалежність, у комп’ю­терних системах треба враховувати інші типи поширення відмов, наприклад:

• непередбачене захоплення загальних ресурсів (обчислювальної потужності, смуги пропус­кання, пам’яті, ресурсів операційної системи тощо);

• відмова обміну ресурсами;

• порушення синхронізації всередині системи чи всередині архітектури КВК.

Окрім того, помилка у програмі, яка впливає на виконання певної функції, може призвести до відмов інших програм, що виконують інші функції в цій самій системі (стороння дія). Відмова може відбутися через помилку в загальних даних, програмах або технічному забезпеченні, що викорис­товують для різних функцій, наприклад, процесор може бути причиною помилки в інших функціях унаслідок виключення або зациклювання одної з функцій.