Страница 7: ДСТУ IEC 61513:2009. Атомні електростанції. Інформаційні та керівні системи, важливі для безпеки. Загальні вимоги до систем (61219)

Має бути вжито заходів для забезпечення виконання групами безпеки функцій категорії А, необхідних для того, щоб підтримати відповідну реакцію на внутрішні та зовнішні небезпеки. Ці заходи містять:

• розділення, наприклад розташування резервованих частин системи в різних приміщеннях;

• незалежність, наприклад, систем опалення, вентилювання та кондиціювання (СОВК) і дже­рел енергії для каналів та систем;

• попередження, наприклад, пожежі, хімічного забруднення та вібрації;

• проектування, наприклад, відповідність устатковання стандартам МЕК з електромагнітних перешкод;

• кваліфікація щодо навколишнього середовища, наприклад сейсмічних явищ (див. 6.4).

1. Треба визначити компоненти КВК-систем, що виконують функції категорії А, навантаження яких залежить від вимог. Треба оцінити можливість відмов або послідовність відмов (охоплюючи їхній вплив на елементи, навантаження яких не залежить від вимог) стосовно можливих джерел і наслідків ВЗП;

2. Ризик ВЗП у системах класу 1 треба зменшити використанням КВК-систем та систем під­тримання, які однаково функціюють до, протягом або після змінення вимог до станції, тобто при­стосовані до роботи незалежно від профілю вимог.

1. Незалежні системи або підсистеми має бути забезпечено для різних ліній захисту від одних і тих самих ПВП (див. примітку 1 до 5.1.1). За використання загальних ресурсів вони мають відпо­відати рівню надійності, потрібної для групи безпеки;

2. Має бути забезпечено незалежні засоби для моніторингу й експлуатації функцій станції та систем, важливих для безпеки, так, щоб достатня інформація залишалася доступною для безпечної роботи станції після відмови, наприклад, мультиплексний канал передавання даних або комп'ютер;Мають бути мінімізованими потенційні ВЗП у разі, якщо ручне управління використовують як резерв до автоматичного управління для функцій категорії А чи В;

3. Якщо одна функція категорії А може спричинити вмикання керівної системи безпеки, а інша функція категорії А, яку використовують за інших обставин, може спричинити її вимикання, треба виконати аналіз, щоб визначити, яка дія необхідна за відмови КВК-систем.

1. Високоякісне планування під час розробляння та виробництва різних КВК-систем, що на­лежать до групи безпеки, має забезпечити запобігання невиявленим помилкам, щоб зробити ризик ВЗП усередині цих систем малоймовірним. Цей стандарт містить загальні положення, які треба використовувати для розроблення якісних КВК-систем різних класів;

2. Систематичні відмови потрібно виявляти за допомогою засобів самоконтролю (оброблен­ня особливих ситуацій, вартовий таймер, перевірення достовірності) і за виявлення відмови система(-и), що відмовила, має перейти в заздалегідь визначений відмовобезпечний стан; й опе­ратора має бути попереджено про відмову;

3. Якщо необхідна надійність безвідмовного приведення в дію функції безпеки вище, ніж надій­ність, прогнозована попереднім оціненням безвідмовного поводження системи, проект треба змінити.

Примітка 1. Потрібний ступінь захисту від відмов залежить від категорії виконуваних функцій.

Примітка 2. Цей підпункт призначено тільки для відома. Докладні вимоги до захисту від ВЗП унаслідок помилок програмного забезпечення для функцій категорії А надано в 4.1 ІЕС 60680-2.

1. Під час проектування архітектури КВК треба застосовувати принцип різноманітності, коли потрібна висока надійність для групи безпеки й особливо, коли є невизначеність в оціненні проекту;

2. Треба розглядати функційну і сигнальну різноманітність. Ці методи є ефективними для змен­шення ризику ВЗП унаслідок помилок у технічному завданні або специфікації та в разі реалізації прикладного програмного забезпечення;

3. Різноманітність устатковання може бути ефективною від ВЗП апаратних компонентів і може забезпечувати захист від системних помилок програмного забезпечення. Зокрема її треба розгля­дати щодо складних систем, де обмежено досвід експлуатації;

4. Мають використовуватися різноманітні процедури або методи верифікації і валідації (напри­клад, різноманітне устатковання під час експлуатаційних випробовувань, послідовні випробування із симулятором тощо). Це сприяє уникненню ВЗП без ускладнення системи, що може відбутися в разі використання інших видів різноманітності;

5. Якщо різноманітність використовують для забезпечення захисту від ВЗП, до проекту необ­хідно внести аналіз ефективності різних видів різноманітності, потрібних для мінімізації можливості , ВЗП. Переваги та недоліки треба обґрунтовувати й документувати (див. 5.3.3).

Для мінімізації можливості ВЗП у складних системах до процесу проектування архітектури КВК необхідно вмістити аналіз для демонстрації того, що ступінь застосовності комп’ютерів (див. примітку) порівняно з апаратними системами і ступінь дій людини є прийнятними для підтримання безпеки.

Примітка. Це може залежати від національного досвіду, нормативних положень і впевненості в комп’ютерній технології.

5.3.2 Функційне призначення

Процес функційного призначення встановлює прийняті в 5.2 загальні вимоги до КВК ФСБ, важливих для безпеки, для конкретних систем КВК-архітектури. За потреби окремі функції можливо розкласти на деяку кількість підфункцій, що реалізуються в кількох системах. Усі функції або під- функції називають прикладними функціями КВК-систем (див. 6.1.1.1).

1. Функційне й експлуатаційне технічні завдання для прикладних функцій мають відповіда­ти загальним вимогам до КВК ФСБ. Якщо функція реалізується більше ніж одною КВК-системою, ці взаємопов’язані системи треба компонувати так, щоб виконувалися загальні вимоги, визначені в 5.2;

2. До функційного й експлуатаційного технічних завдань для прикладних функцій мають входи­ти всі додаткові функції перевірення, блокування та моніторингу, визначені у процесі проектування архітектури КВК, наприклад стан і режим роботи взаємопов'язаних систем, перевірення сигналів, отриманих від інших систем;

3. Присвоєння прикладних функцій системам треба узгоджувати з принципами, наведеними в таблиці 2, відповідно до класу системи та категорії функції;

4. Функції категорії А має бути призначено системам, які відповідають критерію одиничної відмови;

5. За призначення системам функції категорії А одної й тої самої групи безпеки треба брати до уваги заходи захисту від ВЗП, сформульовані в 5.3.1.5. Приклади призначеності функцій різних категорій зображено на рисунку С.1;

6. Присвоєння прикладних функцій системам має мінімізувати складність систем класу 1.

Примітка. Це найбільш значимо щодо нових станцій. У разі замінення апаратних систем на комп'ютерні системи для них мають виконуватися такі самі вимоги до прикладних функцій, що для апаратних систем;

д) Надійність, що вимагається від кожної прикладної функції, реалізованій у системі, потрібно узгоджувати з граничними значеннями, охоплюючи ВЗП, визнаними реально досяжними.

5.3.3 Необхідний аналіз

Треба виконати аналіз для перевірення проекту архітектури КВК і розподілення функцій між КВК-системами. Такий аналіз є ітераційним процесом і його потрібно виконувати спільно з проце­сом проектування (див. розділ 6).

1. Треба виконати оцінення надійності функцій категорії А групи безпеки. Під час оцінювання треба враховувати залежність від загального забезпечення, наприклад електричного або пневма­тичного живлення та вентиляційного устатковання.

2. Оцінення може спочатку базуватися на розрахунковій надійності, досяжній для функцій різних систем, і її потрібно перевірити після завершення процесу проектування, беручи за основу оцінення надійності окремих систем (див. 6.1.3.1.2).

3. Треба виконати оцінення ефективності заходів, спрямованих на зменшення чутливості до ВЗП груп безпеки, що виконують функції категорії А.

4. Треба піддати аналізу проектну документацію систем (див 6.3.3), щоб визначити загальні або ідентичні компоненти апаратного чи програмного забезпечення, які підтримують різні функції групи безпеки, включно з функціями категорії А. Якщо в різних лініях захисту знайдено загальні або ідентичні елементи, треба надати обґрунтування того, що ймовірність ВЗП є низькою.

5. Немає загальновизнаного методу щодо кількісного оцінення ймовірності ВЗП, тому методи, які застосовують для оцінення, є по суті якісними (див. додаток С). Застосовні методи, наприклад метод бета-фактора для технічних засобів, має бути визначено на початку проектування.

Примітка 1. Мета зазначеної вище рекомендації — унеможливлення внесення пізніших змін у планування та проектування системи, у відповідь на змінення у вимогах, які через зроблені під час цього помилки можуть призвести до можливих ВЗП.

Примітка 2. Рівень деталізації аналізування ВЗП може залежати від категорії функцій, що виконують системи, і його треба обґрунтувати.

Примітка 3. Вимоги до аналізу ВЗП через програмне забезпечення наведено в 4.1.3 з ІЕС 60880-2.

Примітка 4. Оцінку потенційної можливості ВЗП можливо покращити в тому разі, якщо KBK-системи мають таку модульну структуру, що компоненти та компоновка системи можуть мати якісну оцінку за допомогою етапів верифікації і додатково, наскільки це можливо, кількісну оцінку.

Верифікація проекту архітектури має охоплювати аналіз вимог до чинника людини для оптимізації проекту систем ІЛМ.

5.4 Загальне планування

У цьому підрозділі визначено вимоги до розроблення загальних планів для забезпечення того, щоб вимоги до КВК-функцій, важливих для безпеки, розподілених між КВК-системами, виконува­лися протягом життєвого циклу цих систем.

Вимоги цього розділу координують і доповнюють плани, установлені в 6.2, для конкретних КВК-систем.

Примітка. Наведені нижче вимоги до планів не перешкоджають тому, що ці плани може бути організовано у вигляді різної кількості документів.

Загальні плани потрібно складати до початку робіт, яких вони стосуються.

У цьому стандарті передбачено, що програма забезпечення якості відповідає вимогам IAEA 50-C-QA (Rev.1), наявна як невід'ємна частина проекту АЕС і забезпечує управління дієвими елементами.

. а) Програми забезпечення якості потрібно затверджувати та виконувати відповідно до розділу 2 IAEA 50-C-QA (Rev.1) для кожної роботи, пов’язаної з життєвим циклом безпеки КВК;

2. Програми забезпечення якості мають охоплювати всі роботи, необхідні для досягнен­ня якості, і роботи, за допомогою яких перевіряють, що потрібний рівень якості було досягнуто (див. розділ 102 IAEA 50-C-QA (Rev.1));

3. Роботи з верифікації має бути визначено у планах верифікації. Плани верифікації охоплю­ють ресурси, процес і вихідні дані етапів життєвого циклу безпеки КВК та визначають:

• процедури та засоби для виконання верифікації;

• документацію, яку треба зберегти та перевірити;

• аспекти безпеки, які необхідно перевірити;

• процедури усунення відмов і несумісності;

• критерії завершення кожного етапу;

• мають бути підготовленими завершальні звіти, які демонструють відповідність вихідних даних етапу, вхідним вимогам та усуненню невідповідностей;

2. Програми забезпечення якості треба планувати та включати у загальну програму забезпе­чення якості проекту АЕС, і передбачені у них роботи має бути внесено до загального плану робіт проекту АЕС.

Необхідні відповідні заходи щодо безпеки, щоб забезпечити захист інформації, яку обробляють у системах, важливих для безпеки, від несанкційованих змін (цілісність), несанкційованого доступу (роботоздатність) та несанкційованого розкриття (конфіденційність).

Примітка 1. Цілісність і недоступність домінують над конфіденційністю в КВК-системах атомних станцій.

Програмне забезпечення (програмний код, а також параметри та дані) може бути особливо вразливим у процесі проектування та технічного обслуговування. Треба розглянути загрозу на­вмисних змін, що призводять до помилкового поводження програмного забезпечення в цілому, або тих, що спричиняють певні обмеження часу або даних.

Примітка 2. Загрози, що виникають від ненавмисних змін, зазначають у технічному завданні на систему (див. 6.1.1.4).

Загальний план безпеки визначає процедурні та технічні заходи захисту архітектури КВК- систем від навмисних й усвідомлених нападів, які можуть піддати ризику виконання функцій, важ­ливих для безпеки.

1. Вимоги безпеки функцій і систем, важливих для безпеки, має бути визначено у плані без­пеки системи (див. 6.2.2);

2. Треба систематично контролювати ризик, що виникає за несанкційованого доступу та змін, протягом усіх етапів життєвого циклу від виникнення до усунення;

3. Умови безпеки системи мають бути такими, щоб вони суттєво не впливали на її надійність і роботоздатність;

4. Суворість вимог щодо безпеки для конкретної системи і пов’язаного з нею устатковання визна­чається функціями, які виконує система. До безпеки комп’ютерних систем, які виконують функції ка­тегорії А, застосовують вищі вимоги, ніж до безпеки систем, що виконують функції категорій В чи С;

5. Для безперервного підтримання безпеки систем на високому рівні треба розробити полі­тику безпеки, визначену з урахуванням специфіки станції. До її складу мають входити процедури, пов’язані з інтерфейсом між адміністрацією й органом технічної безпеки, доступом до систем, аспектами безпеки обробляння даних, аспектами безпеки під час змінювання й технічного обслу­говування, перевірянням безпеки, звітністю та тренуванням;

6. Системи, що виконують важливі для безпеки функції, мають бути фізично захищеними від несанкційованого доступу. Контроль за доступом має охоплювати ідентифікацію й аутентифікацію персоналу для систем, що виконують функції категорії А, та надійну ідентифікацію персоналу для систем, що виконують функції категорій В та С (див. 7.12 IAEA 50-SG-D3);

7. Стосовно систем, що виконують функції категорії А, не повинна передбачатися можливість віддаленого доступу (зовнішнього відносно станції). Якщо віддалений доступ передбачено все­редині станції, треба проаналізувати та продемонструвати, що він не завдає додаткового ризику несанкційованого доступу до системи та додаткових джерел потенційно можливих відмов системи;

8. Доступ до систем треба зазначати у журналі, реєструючи персонал, тип доступу, час і ви­конувані дії;

9. Записи журналу, що стосуються захисту, треба офіційно інспектувати через певні проміжки часу для систем, що виконують функції категорії А, і періодично перевіряти для систем, що вико­нують функції категорії В та С.