核电厂仪控系统总体架构设计要求研究
宿俊海，孙 娜，张 杰
【摘 要】在核电厂仪控系统设计过程中，需明确仪控系统架构的设计要求。通过对仪控系统架构要求的研究，确定仪控系统总体架构设计要求。从纵深防御、独立性、多样性、仪控系统功能分类和设备分级、网络安全和灾害防护等方面提出了总体架构的设计原则，并提出了仪控架构的设计步骤。 【期刊名称】《仪器仪表用户》 【年(卷),期】2020(027)001 【总页数】3
【关键词】仪控总体架构；纵深防御；多样性
核电厂仪控系统总体架构是核电厂仪控系统（总体层次上的组件）的组织架构，它提供了对整个仪控系统的顶层视图，以及各仪控系统之间的相互联系。仪控系统的主要功能是根据核电厂的设计基准工况和设计扩展工况的要求而确定的。这些功能包括：保护、控制和监视。
当前国内新建电厂都采用数字化仪控系统，根据核电厂所选用的核电技术和仪控平台的不同，仪控系统的总体架构有所不同，但对仪控总体架构的设计要求和设计原则是一致的。本文通过对国内外标准的研究，确定仪控系统总体架构的设计要求和设计原则，并对仪控系统架构的设计步骤进行了说明。
1 仪控系统总体架构设计要求
依据法规、标准的要求，核电厂仪控系统总体架构设计应满足纵深防御、独立性、核安全等级要求、信息安全要求、仪控系统复杂性和灾害防护等要求，具体为[1]：
1）各个仪控系统分配到不同的纵深防御层级中，以便在一个层级中的仪控系统发生故障时，其他层级的仪控系统对其功能进行补偿或纠正以避免产生有害后果。
2）保持纵深防御层级间和安全等级间的独立性，以便对一个纵深防御层级的仪控系统产生不利影响的事件，不应对其他层级执行安全重要功能的仪控系统产生影响。
3）对一个仪控系统产生不利影响的事件，不应对其他执行安全重要功能的仪控系统产生影响。
4）根据核安全等级要求，进行仪控功能分类和仪控系统分级。
5）根据信息安全要求，把仪控功能和仪控系统放入对应的信息安全区中。严格控制仪控系统的复杂性，消除不必要的复杂性。
6）仪控设备应处于适当位置和提供合理保护以便抵御不良环境因素的影响。
2 仪控系统总体架构设计原则
国际原子能机构在研究报告NP-T-2.11-2018 中提出了仪控总体架构的设计要求，主要包括：纵深防御、独立性、多样性、仪控功能分类和设备分级、网络安全和灾害防护等。 2.1 纵深防御
核电厂采取纵深防御策略，设置多个独立的屏障，以便保护公众和核电厂工作人员免受辐射危害。总体仪控系统架构也需要满足纵深防御的要求[2]。 2.2 独立性
IEC 61513 将独立性定义为“包括防止系统内子系统之间或系统与其他系统之间不利相互影响的措施。不利相互影响可能产生于子系统或系统中任何部件的
异常工作或故障，也可能来源于例如电磁感应、短路、接地故障、火灾、化学爆炸、飞行物坠毁的存在以及被破坏数据的传播。”本质上讲，独立性旨在避免物理和逻辑上的交互（这些交互可能导致故障影响的传播），并且将共因故障的发生及可能产生的不良影响降至最低[3]。 2.3 多样性
纵深防御不同层次的各数字化仪控系统由于基于仪控平台进行开发，采用了相似的计算机硬件和软件资源，所以设计错误可能导致两个或多个仪控系统的共因故障，并危及多个纵深防御层级。因此，采用多样性原则变得非常重要。多样性是利用技术、功能、实现、操作等方面的差异来降低潜在的共因故障。 2.4 仪控功能分类和设备分级
分类和分级的目的是实现对仪控系统在技术和质量保证要求上的分级要求，仪控功能根据其对安全的重要性被划分为相应安全类别[4]，对安全的重要性是由当需要系统动作而未能动作时所产生的后果决定的。在有些安全功能分类方法中，还考虑了假动作的后果以及对假设始发事件的预防和缓解的影响。仪控系统和设备根据其需要执行的仪控功能的最高安全类别来划分安全级别，仪控系统的安全级别决定了系统和设备的设计和质量要求、工程过程的严格程度以及可靠性和质量标准等要求。 2.5 网络安全
在定义功能结构和数据流时，计算机信息安全区需要考虑从高信息安全区到低信息安全区的数据流，而不是相反方向的数据流。因此，不同信息安全区之间应有数据流解耦机制，以防止未授权的访问，也防止低信息安全区的故障传播到高信息安全区[5]。仪控功能应分配到与之相匹配的信息安全区。
核电厂仪控系统总体架构设计要求研究
