三代核电TXS安全仪控系统的V&V实现

三代核电TXS安全仪控系统的V&V实现作者：王萍来源：《科技视界》2012年第24期【摘要】法国在建模与仿真研究方面起步较早，同时投入了巨大的财力和物力致力于反应堆保护系统验证与确认技术的研究，希望通过严格的验证与确认过程,确保复杂系统的数值模拟给出正确的结果,从而降低做出错误决策的风险，也是核电站安全研究的需要。

本文以法国FA3核电站（中国在建三代核电台山核电的参考电站）安全仪控系统的V&V活动为基础,介绍了安全仪控系统的V&V技术。

【关键词】建模与仿真；V&V；核电站安全；安全仪控系统The Realization of Verification and Validation for Safety I&C System in Ｔhe Ｔhird Ｇeneration Ｎuclear Ｐower ＰlantWANG Ping（China Nuclear Power Engineering Co., Ltd., Shenzhen Guangdong, 518000）【Abstract】System modeling and simulation technology in France started early. At the same time enormous financial and material resources are invested to research of verification and validation technology on the reactor protection system. To reduce the risk of making the wrong decision, Strict verification and validation process is used to ensures that numerical simulation on the complex system will give correct results. According to the verification and validation activity in the FA3 nuclear power plant, the article describes the Verification and Validation of safety I&C system based on simulation technology.【Key words】Ｍodeling and simulation; Verification and Validation; Nuclear power plant safety; Safety I&C system0引言近年来，DCS技术得到了飞速发展，越来越广泛地应用于军事、经济乃至社会生活的各个部门，大大增加了电厂控制的可靠性[1，2]。

而随着三代核电技术的引进,控制系统采用全数字化DCS已经成为必然[3，4]。

在核电仪控系统的数字化过程中[5]，一个必然要解决的关键问题是核级软件的V&V过程[6]。

安全仪控系统的高可靠性要求，结合数字化仪表与控制系统的一体化设计思想，进行安全仪控系统的设计[7]，因此只有通过了独立V&V过程，才能被允许应用于核电站的安全功能[8]。

安全仪控系统软件的V&V中第一个V是Verfication，是通过检查并提供客观证据证明工程活动（工程文件的内容，格式，技术要点）满足目标的需要。

根据标准IEC Standard 60880,对Verficaition的定义如下：“the verification is the confirmation by examination and by provision of objective evidence that the results of an activity meet the objectives and requirements defined for this activit y”.安全仪控系统软件的V&V中第二个V是Validation，主要是采用检查和测试的手段来确认（功能性，响应时间，故障冗余等）是否满足规格书的要求。

根据标准 IEC Standard 60880对Validation的定义如下,“ the validation is the confirmation by examination and other evidence that a system fulfills in its entirely the requirement specification as intended（functionality, response time, fault tolerance, robustness）”.根据IEC Standard 60880 and IEEE Standard 1012, 对V&V的主要要求是：每份工程文件出版以前必须被原设计人以外的另一个团队进行检查；它必须覆盖设计文件的所有内容包括文件的格式和技术内容。

笔者有幸全程参加了法国EPR核电站反应堆保护系统的验证与确认活动，希望能通过介绍法国三代核电站安全仪控系统的V&V流程，为我国安全仪控系统V&V的标准化研究提供一些参考。

1基于TXS技术的安全仪控系统简介EPR三代核电DCS仪控系统主要由TXP平台（基于SPPA-T2000）、TXS平台两大平台实现。

其中安全自动系统和过程自动系统主要由TXP平台实现；保护系统，优先级和执行器控制系统，反应堆控制、监测和限制系统，严重事故仪控系统主要由TXS平台实现。

2EPR安全仪控系统V&V应遵循的法律规范EPR核电站安全仪控系统的V&V遵循的法律规范如下：[1]IEEE Standard 730－2002 IEEE Standard for Software Quality Assurance Plans[2]IEEE Standard 828－1998 IEEE Standard for Software Configuration Management Plans[3]IEEE Standard 1012－2004 IEEE Standard for Software Verification and Validation[4]IEEE Standard 1028－1997 IEEE Standard for Software Reviews[5]IEEE Standard 1042－1987 IEEE Guide to Software Configuration Management[6]IEC 60880 2006 edition Nuclear Power Plants－Instrumentation and control systems important to safety－Software aspects for computer-based systems performing category A functions3EPR安全仪控系统设计验证流程总述EPR安全仪控的所有工程活动可以分为初步设计（包含总体设计和子系统系统初步设计）、详细设计、调试安装三个阶段，其中每个设计阶段都对应相应的确认，所有的测试验证阶段分为A和B两个阶段。

３.１总体系统设计：此阶段所有的仪控系统设计工作都是一个整体进行。

此阶段主要根据上游需求从总体定义系统的各种性能（安全等级、系统结构、功能实现等），并作为具体描述系统仪控功能的设计输入。

３.２软件和硬件详细设计阶段：此阶段主要专注于仪控系统的自动部分详细设计，主要设计CPU（SVE板卡模件）的功能定义，以实现软件和硬件的组态。

３.３服务单元（Service Unite）：此机柜主要用于安全级DCS特殊要求工程服务单元。

其软件和硬件主要用于系统的维修功能（监测、诊断、定期实验等），并且为NC级。

图1V&V模式的测试验证流程３.４QDS设计：此阶段设计主要专注于工程相关的QDS设备。

主要用于模拟和逻辑信息的显示，特殊情况有相应的数学处理和计算，其软件和硬件应满足工程需要。

整个TXS系统设计都是按照图1的描述按步骤进行，每个步骤完成都有相应的V&V要求。

根据进度进行，仪控系统设计分解成不同的部分，有可能每个部分都同时进行；对于仪控功能的设计必须按照要求在前一个步骤完成并进行检查后才能进行下个步骤，如：已经完成I&C功能的功能图设计，必须对功能图进行检查和验证后，才能进行下一步设计。

4安全仪控系统V&V的执行过程描述EPR核电站反应堆保护系统的检查的范围和方法由项目经理来确定的。

检查的目标主要分为下面两类：1）仪控功能规格书的检查；2）数据库的检查。

4.1仪控功能规格书的检查仪控功能规格书的检查要点如下:1）确定软硬件的需求是否与系统的需求规格书，仪控文件（如系统规格书等）要求的上游需求一致；2）确保规格书的完整度和清晰度（如计算，接口等）；3）检查与安全仪控系统平台的一致性；4）确认与工程准则的要求是否一致（如代码等）；5）仪控功能规格书的检查步骤；6）检查设计输入的正确性和完整性。

4.2数据库的检查数据库的检查主要包括以下几点：1）检查仪控功能规格书的正确设计；2）确保执行的完整度；3）检查精度和匹配程度是否满足安全仪控平台的要求；4）检查是否满足工程文件的要求（如编码，图形等）。

4.3验证测试根据the IEC Standard 60880 定义,验证测试主要是采用检查和测试的手段来确认（功能性，响应时间，故障冗余等）是否满足规格书的要求。

这些测试被分为不同的步骤和阶段，每个一阶段他们验证的目的有不同。

在安全仪控系统的整个设计过程中的验证测试主要由以下步骤组成：1）软件模块库的验证；2）软件验证测试；3）系统的集成和验证。

另外，试运行测试也是验证的内容之一，但此文不做过多描述。

每步的验证方法：1）确定设计参考和测试项目；2）陈述测试目标；3）解释适用的方法；4）描述生成的文件。

根据质保要求和保护系统的系统结构，FA3的验证测试主要：1）A阶段测试；2）Ｂ阶段测试。

4.3.1A阶段测试（在工程计算机上的测试）仿真环境下的软件测试被称为A阶段测试: 这是在仿真环境下进行的。

这个测试的目的验证各个工程专有的软件块；这些测试是同时进行的。

仿真环境下的A阶段测试被分为技术指标测试和系统功能测试两部份。