Страница 6: ДСТУ IEC 61513:2009. Атомні електростанції. Інформаційні та керівні системи, важливі для безпеки. Загальні вимоги до систем (61219)

• Границі між КВК системами й устаткованням та системами станції, зокрема взаємодію з електричними/механічними системами й електроживленням;

• Діапазон перехідних і стабільних станів навколишнього середовища за нормальних умов, порушення нормальних умов й аварійних режимів, за яких потрібно функціювання КВК-систем;

• Діапазон перехідних і стабільних станів контролювання та керування живленням за нор­" мальних умов, порушення нормальних умов й аварійних режимів, за яких потрібно функціювання КВК-систем;

• Основні проектні обмеження на монтування та проведення кабелю;

• Спеціальні обмеження на монтування та проведення кабелю в центрах їхнього сходжен­ня, таких як блочний пульт управління і розподільні приміщення;

• Обмеження в уземленні та розподіленні електроживлення;

• Внутрішні та зовнішні небезпеки, які розглядають із точки зору можливої потенційної небезпеки для станції. До них належить пожежа, повінь, обмерзання, блискавка, стрибок напруги чи електромагнітні перешкоди, землетрус, вибух або хімічна дія;

2. Організація, що проектує КВК, повинна визначити обмеження стосовно устатковання КВК за експлуатаційними принципами, тобто обмеження:

• захисту;

• функціювання та технічного обслуговування (див. 2.6 з ІЕС 60964);

• технічного обслуговування під час експлуатування КВК-систем.

Результатом діяльності, наведеної в 5.1, має бути вихідна документація у вигляді загального технічного завдання для індивідуальних КВК ФСБ, важливих для безпеки.

Примітка 1. Загальне технічне завдання охоплює всі КВК-функцїї — від джерел П вхідних даних (датчиків, операторів, іншого устатковання) до приймачів вихідних даних (виконавчих механізмів, операторів чи іншого устатковання). Подальший розподіл технічного завдання забезпечує розроблення технічних завдань для підфункцій, на рівні індивідуальних КВК-систем. Це буде залежати від вибраної архітектури КВК (див. 5.3) і від того, як ту функцію, що реалізують, буде розподілено за устаткованням (приладами, засобами оброблення та виконавчими механізмами).

1. Загальне технічне завдання має стосуватися кожної КВК ФСБ та охоплювати:

1. функційне технічне завдання, що визначає спосіб перетворення функцією вхідної інфор­мації у вихідну для того, щоб упорядкувати роботу і контроль станції;

2. експлуатаційне технічне завдання, що визначає діапазон, точність і динамічні характе­ристики функції.

Примітка 2. Містить вимоги до часових характеристик, що було відсутнім для технічних систем у минулому;

3. Специфікація категорій функцій.

Примітка 3. Категорія неявно визначає мінімальні класифікаційні вимоги до КВК-систем, потрібних для реалізації функцій (див. таблицю 2);

2. Загальне технічне завдання має визначити будь-яку залежність між функціями, яка створює обмеження під час призначання функцій КВК-системам. Воно охоплює:

1. комбінації функцій, які мають підлягати моніторингу для керівних захисних дій;

2. комбінацію функцій, що забезпечують глибокоешелонований захист;

3. комбінацію функцій, що становлять групу безпеки;

3. Загальні технічні завдання всіх КВК ФСБ має бути перевірено для забезпечення гарантії того, що функції й обмеження визначено для призначеності функцій системам й укладення специ­фікації цих систем (див. 6.1).

Цей підрозділ описує, як саме:

• Обмеження з 5.1.3 та вимоги з 5.2 застосовують до проекту загальної архітектури КВК- систем, важливих для безпеки (скорочено «архітектура КВК»);

• КВК-функції призначено індивідуальним КВК-системам.

Проект архітектури КВК забезпечує верхній рівень визначення КВК-систем АЕС (див. розділ В.4), зв’язку між цими системами, і засобів, потрібних для забезпечення відповідного інтерфейсу між цими системами.

1. Проект архітектури КВК має охоплювати всі КВК, потрібні для виконання КВК-функцій, важ­ливих для безпеки, зазначених у 5.2;

2. Проект архітектури КВК має поділити всі КВК на системи та устатковання, достатні для того, щоб задовольняти вимоги:

• Незалежність функцій у різних ешелонах захисту;

• Прийнятне розподілення систем за різними класами;

• Виконання обмежень фізичного розділення й електричної ізоляції, що походять з обме­жень навколишнього середовища та компонування, аналізу небезпеки й технічного обслуговування під час експлуатування (див. 5.1.3);

3. Проект архітектури КВК повинен забезпечити достатні системи та підсистеми, у яких кри­терій одиничної відмови виконується для функцій категорії А, для всіх передбачених конфігурацій систем і станції (див. 7.5 з IAEA 50-SG-D3);

4. Кожну КВК-систему має бути покласифіковано згідно з її придатністю до виконання КВК- функцій певної категорії.

Таблиця 2 — Кореляція між класами КВК-систем і категоріями КВК-ФСБ

Примітка Функції КВК категорії А можуть бути реалізованими тільки в системах класу 1. Функції КВК категорії В може бути реалізовано в системах класу 1 та 2. Функції КВК категорії С можуть бути реалізовані в системах класу 1,2 та 3.

5. інтерфейси зі станцією та взаємозв’язок між КВК-системами треба визначати як частину проектування архітектури для того, щоб визначити:

• розділення (вимірюваних) сигналів між різними функціями, важливими для безпеки;

• вибір і пріоритети між ініціюючими сигналами від різних систем;

• шляхи проходження сигналу й устатковання, яке є спільним для автоматичного або руч­ного керування на різних лініях захисту;

6. Опис систем, устатковання та їхніх взаємозв’язків у проекті архітектури КВК треба робити достатньо докладним, щоб можна було аналізувати проблеми безпеки КВК.

1. До складу проекту архітектури КВК належить структура ІЛМ-систем для управління та спо­стереження за різними ділянками станції, охоплюючи блоковий щит управління, резервний щит управління, віддалений пункт зупинки реактора (див. ІЕС 60965), місцеві панелі управління та центр кризового управління зі ступенем резервування, необхідним для врахування обмежень у роботі та технічному обслуговуванні станції (див. 5.1.3);

2. Проект архітектури КВК має враховувати правила експлуатації станції, визначені в осно­вному проекті станції (див. 5.1.1), до складу яких належать:

• Принципи пріоритету між автоматичними сигналами та сигналами керування, ініційова­ними вручну;

• Принципи пріоритету між різними системами ІЛМ під час експлуатування за нормальних, аварійних умов і після аварії;

• Принципи пріоритету між основними та резервними системами ІЛМ;

• Принципи умов перемикання між основними та резервними системами ІЛМ;

3. Під час проектування архітектури треба визначити, як саме можливо сповістити оператора станції про дефекти та відмови, виявлені засобами діагностики індивідуальних систем. Форма по­відомлення має бути такою, за якої оператор може:

• Одразу розпізнати повідомлення про відмову та відрізнити його від інших робочих сигналів;

• Прийняти рішення щодо застосування дій уручну, щоб утримати станцію в безпечному режимі;

• Ідентифікувати системи для відповідного обслуговувального персоналу;

3. Проект архітектури КВК має демонструвати узгодженість з основними рішеннями, що стосу­ються технології систем ІЛМ (наприклад, комп’ютеризованих або традиційних). Складніші системи треба використовувати для подання інформації на вимогу операторів станції у тому разі, якщо це зменшує вплив відмов, пов’язаних із чинником людини, та якщо цей вплив можливо зменшити отриманням докладнішої інформації. Можливість ВЗП інформаційної комп’ютерної системи треба розглядати порівняно з можливістю відмов через чинник людини;

4. Під час проектування архітектури КВК треба:

• Призначити функції ручного чи автоматичного керування відповідно до аналізу завдання основного проекту станції (див. 5.1.1);

• Визначити обчислювальну потужність КВК-системи, потрібну для оброблення інформації та реалізації завдань, визначених для взаємодії з оператором (див. 3.2.2 ІЕС 60964);

• Забезпечити, щоб інформація та час, які має оператор у своєму розпорядженні для виконання ручного управління, відповідали вимогам основного проекту станції (див. 5.1.1);

3. Технології, що мають у своїй основі чинник людини, згідно з ІЕС 60964 та ІЕС 60965, по­трібно використовувати для забезпечення ефективності ІЛМ, під час проектування основного щита управління й інших зон управління станції;

д) Під час аналізування проекту потрібно звернути увагу на завдання оператора й оптимізацію вимог ІЛМ, причому як на завдання, важливі для безпеки, так і не важливі для неї.

Передавання даних між системами, що становлять архітектуру КВК, охоплює всі лінії пере­давання одного чи кількох сигналів та повідомлень за одною чи кількома лініями, використовуючи метод багатоканальності.

1. Лінії зв’язку мають задовольняти специфікації загальних експлуатаційних вимог (див. 5.2) за будь-яких станів станції;

2. Структура та технологія ліній зв'язку мають забезпечувати виконання вимог до незалежності між системами. На додаток до фізичного розподілення й електричної ізоляції проект має містити заходи, що унеможливлюють вплив проблем із лініями зв'язку на технологічні модулі;

3. Лінії зв’язку мають містити засоби перевірення комунікаційного устатковання та цілісності даних, які передають;

4. Для унеможливлення відмов має забезпечуватися резервування ліній зв’язку;

5. Лінії зв’язку має бути спроектовано так, щоб передавання даних та виконання функції вищої категорії безпеки не піддавалися небезпеці під час передавання даних системами нижчого класу безпеки. Наприклад, перевірення під час експлуатування не мають негативно впливати на функції найвищої категорії безпеки.

1. Проект архітектури КВК повинен мати у своєму складі визначення засобів, зазвичай засно­ваних на комп’ютерах (див. 4.2 ІЕС 60880-2), які використовують для забезпечення відповідності обміну даних між КВК-системами, що працюють спільно, і для забезпечення відповідності даних із базою даних станції.

Примітка. Засоби для індивідуальних систем визначають на стадії специфікації систем (див. 6.1.2.1);

2. Засоби бажано використовувати на всіх фазах загального життєвого циклу безпеки, де може бути забезпечено якість і надійність функцій, важливих для безпеки, а саме для підтримання:

• усіх аспектів, пов’язаних із проектом взаємозв'язків між КВК-системами;

• загальної інтеграції й уведення в експлуатацію розподілених функцій.

5.3.1.5 Захист від ВЗП

Метою проекту архітектури КВК є забезпечення заходів проти виникнення ВЗП усередині КВК- систем, які забезпечують різні ешелони захисту від одних і тих самих ПВП (див. 5.1.1). Ці заходи охоплюють:

• Проектні заходи захисту станції проти небезпечних подій. Внутрішні та зовнішні небезпеки (див. 5.1.3), які не обмежуються частиною архітектури КВК, можуть призвести до ВЗП;

• Заходи безпеки проекту проти відмов, які може бути спричинено зміненнями у вимогах до станції. Навантаження деякого устатковання, такого як підсилювачі потужності та реле або навантаження програмного забезпечення, наприклад такого, що здійснює накопичення вхідних даних, передавання даних, і перемикання експлуатаційних режимів, може залежати від подій, що відбуваються на станції;

• Заходи безпеки проекту, що мінімізують використання загальних ресурсів в архітектурі КВК та ІЛМ різних ліній захисту. Загальні ресурси можуть охоплювати використання унікальних вимірюваних сигналів або загальну реалізацію різних керівних дій;

• Заходи, що зменшують ризик через систематичні помилки. Для будь-якої КВК-системи є ризик проектних помилок або недоліків під час упровадження. Зокрема, можливість відмови про­грамного забезпечення через помилки не можна вилучити аналізуванням відмови будь-якої си­стеми. Якщо одні й ті самі модулі програмного забезпечення використовуються в подібних умовах у різних комп'ютерних системах, є ризик ВЗП унаслідок помилок такого програмного забезпечення;

• Використання принципу різноманітності. Різноманітність забезпечує кілька різних шляхів визначення та реагування на значні події для збільшення рівня захисту від ВЗП. Типи різноманітності охоплюють: різноманітність людського чинника, сигнальну різноманітність (використання різних параметрів для ініціювання захисних дій), функційну різноманітність, проектну та випробувальну різноманітність, програмну різноманітність та різноманітність устатковання;

• Необхідні стратегічні рішення для обмеження складності. Використання комп'ютерів дає змогу застосовувати складніші алгоритми та процеси, ніж під час використання тільки технічних засобів. Для складніших вимог імовірність помилок та неточностей у технічному завданні та по­милок під час проектування та впровадження є суттєво вищою, ніж для простих вимог.