用FPGA实现核电厂安全级I&C系统过程中的V&V

Computer Knowledge and Technology 电脑知识与技术计算机工程应用技术本栏目责任编辑：梁书第8卷第31期(2012年11月)用FPGA 实现核电厂安全级I&C 系统过程中的V&V董治国1，姚光霖2（1.中国核电工程有限公司，北京100840；2.北京中核东方控制系统工程有限公司，北京00176）摘要：该文在最近发布的IEC 62556标准基础上，比照既有的以计算机为基础的仪控系统的实现经验，分析了独立的确认和验证（V&V ）方法对以FPGA/PLD 技术开发核电厂安全级仪控系统的重要性，同时，也给出了具体开发过程中V&V 的实践建议。

最后，简要指出了实现过程中的难点和注意事项。

关键词：FPGA ；V&V ；安全级；I&C中图分类号：TP311文献标识码：A 文章编号：1009-3044(2012)31-7578-031基于传统计算机技术的V&V 实践从软件生命周期模型或者软件开发过程模型的角度说，核电厂安全级软件的开发采用的是W 模型。

所谓W 模型，就是在V 模型基础上，增加软件开发各个阶段应同步进行的测试〔包括准备工作〕，测试的对象不仅仅是程序，需求、功能和设计同样需要测试。

和V 模型相比，W 模型强调测试伴随着整个软件开发周期，需要“尽早地和不断地进行软件测试”。

图1图1所示的是一个完整的软件生命周期。

但是，从工程的角度说，系统设计、软硬件供货，软件开发，现场的系统调试都是由不同的行业来分担。

具体意义上核电厂安全级软件的软件供货方仅仅完成的是其中一部分的工作。

参照AREVA 公司的工程实践，图2中，给出了一个典型的核电厂安全级软件的软件开发和V&V “验证和确认”〔虚线的下侧部分〕。

1.1起点软硬件分拆后所形成的软件部分，通过转化，形成软件开发放所认可的标准样式，这个样式主要包括模块的抽象定义方法，由此才开始了软件开发方的“软件寿命周期”。

1.2终点在软件下载到实际的硬件实体，启动起来，通过自动或者手动的方式，完成了软硬件的联合调试实验，软件开发方的“软件寿命周期”也已结束。

1.3独立的V&V 小组软件的开发是V 形，测试也是与此相并行的V 。

IEEE 1012对软件的测试进一步补充、细化，并分成“确认”、“验证”两个层面收稿日期：2012-10-11E-mail:kfyj@ Tel:+86-551-56909635690964ISSN 1009-3044Computer Knowledge and Technology 电脑知识与技术Vol.8,No.31,November 2012.7578Computer Knowledge and Technology 电脑知识与技术计算机工程应用技术本栏目责任编辑：梁书第8卷第31期(2012年11月)——前者指的是每个阶段的结果必须与该阶段的输入是一致的，后者要佐证每个阶段的工作结束后，形成的软件及相关产品符合期望的需求。

在形式上，要求由独立的组织来完成确认验证〔V&V 〕工作。

为保证〔V&V 〕的效果，IEEE 1012给出了技术独立、管理独立、财务独立等三方面的指标。

而技术独立，就是保证V&V 小组对要解决的问题是什么，应该用什么样的系统去解决问题，形成“自己的”理解。

这种“新的视点”是发现开发过程中错误的重要手段，尤其是那些被开发人员所忽视的部分，因为他们的视点太过靠近解决问题的方案。

一般的，技术独立要求V&V 工作使用自己的，与开发小组不同的软件工具。

传统的基于计算机技术的开发过程也是这样执行的，包括SCADE 、CASSIS 在内，V&V 小组使用不同的软件环境对开发小组的工作进行验证。

管理独立和财务独立是确保V&V 小组的工作不受限制，尤其是不受来自开发小组方面直接或间接的负面影响。

1.4两个小组的起点从图中，可以看出，供货商的详细设计，成为软件开发小组和V&V 小组共同的起点。

在此同一个前提下，各自开展工作。

然后，在局部模块、整体连接两个环节进行比对验证。

图22基于FPGA 技术的安全级I&C 开发及V&VFPGA ，即Field Programmable Gate Array,现场可编程门阵列，是近年来发展迅速，并得到越来越广泛应用的半定制集成电路技术。

因为具有更短的响应时间，更低的系统功耗获得工业控制领域的认可。

目前，已经有了核电厂保护系统以及常规系统的应用实例。

FPGA 的开发流程一般包括设计定义、设计输入、功能仿真、逻辑综合、前仿真、布局布线、时序仿真、静态时序分析、下载调试和验证等9个部分，简要描述如下：1）设计定义：FPGA 必须完成的功能以及外围器件的接口，包括接口信号规格、处理时钟频率、时序要求、管脚分配锁定等。

2）设计输入：以开发软件要求的形式表示出所要设计的逻辑，形式包括硬件描述语言、原理图等。

3）功能仿真：在编译之前对用户所设计的电路进行逻辑功能验证，此时的仿真没有延迟信息，仅仅对初步的功能进行检测。

4）逻辑综合：利用给定的约束条件，如速度、功耗、成本、及电路类型等，通过计算机进行优化处理，获得一个能满足要求的电路设计方案。

5）前仿真：等同於功能仿真，但可以用于检查综合有无问题。

6）布局布线：把逻辑映射到目标器件物理结构中，选择逻辑与输入输出功能连接的布线通道进行联线。

7）时序仿真：时序仿真不仅要保证逻辑正确，还要加入器件的物理时延特性。

8）静态时序分析：不需要输入激励或测试矢量，映射后、布局布线后，对功能块延时和实际布线延时进行静态的时序分析。

9）下载调试和验证：将实现完成后形成的位流下载到FPGA 芯片中。

3传统计算机技术与FPGA 技术V&V 的比较对于实现核电厂安全级I&C 系统这一目的来说，虽然FPGA 实现的控制方案没有CPU ，不使用操作系统。

但是，和两者一样的是，把控制逻辑交给一个复杂度非常高的“部分”去执行。

实际上,FPGA 开发过程中，都是“像软件一样编程”，和软件开发一样，也使用描述语言〔High level Hardware Description Languages (HDL)〕,使用集成开发环境〔Integrated Development Environments (IDE)〕,使用仿真软件等。

为了减少潜在的不容易被发现的设计错误，两者都需要特别的、层层分解的、细化的措施。

每层工作可以往复执行。

虽然一层的工作尚未完成可以启动下层的工作，但是，一个层次工作的结束条件必须是前一层工作结束并且本层的输出与前一层的输入是一致的。

7579两者都可以通过验证手段，对开发的结果进行逐层的验证。

3.1基于适用标准的比较基于此，在12年新出版的IEC62566标准中，就要求按照软件开发标准IEC60880的相关章完成基于FPGA的核电厂安全级I&C项目的项目管理、质量保证计划、配置管理。

在第9章，IEC62566明确规范FPGA开发所需进行的验证工作。

虽然没有像IEEE1012一样细化成“确认”和“验证”两个层面，但从具体方法上，两者是相近的。

1）形式上，核心部分就是由独立于设计和实现团队的一个单独团队来完成。

具体来说：管理上，验证团队是独立于开发团队的；验证团队和开发团队之间的沟通，不管是澄清还是错误报告，都要在审计监视下书面进行；两个团队工作上的交互，应以维护验证小组判断的独立性为目标；2）在验证的范围上，IEC62566要求每个开发阶段的输出都要验证，包括需求规格书，设计、实现、系统集成4个阶段。

3）在验证方法上，IEC62566并没有要求使用独立的技术。

但是，基于近期FPGA技术的迅速发展，不但FPGA厂家提供丰富的设计辅助软件，还有专门的软件公司也参与进来，发布功能强大的软件产品。

这些软件，不但提高FPGA项目的开发效率，其中的仿真软件，比如ModelSim、ActiveHDL、HDLBencher等，也为软件开发过程的独立验证提供了平台上的可能。

4基于FPGA技术结合传统的V&V解决方案综合上述各个方面，完全可以借鉴基于CPU的控制平台的实现方案来实现基于FPGA技术的核电厂安全级I&C控制方案，毕竟前者有着丰富的使用经验。

同时，也利于国家监管部门的理解和接受。

由此，制订出能应用于FPGA开发方式的V&V方案，如图3所示。

图3在上述的FPGA开发流程中，如果将“用基本模块组成新模块”的开发和验证工作分别看成一个整体，把“总体连接模块”的开发和验证工作也分别看成一个整体，那么和基于CPU的开发平台是一致的。

流程组织上，完全具备由独立的小组完成V&V的条件开发团队和V&V团队的同一个入口，是“以HDL等形式描述的控制逻辑”。

结束点，同样的，是逻辑下载到硬件载体上，完成最后的系统级的联合测试。

4.1基于新方案需要考虑的技术特点1）海量的内部连接〔interconnection〕数量，以及FPGA技术特有的高集成度，造成对路径及模块监测的异常困难。

（下转第7584页）6）设置资源故障响应级别，通过对知识库中出现问题的分析，结合使用用户本身的性质来确定出现故障时的响应速度；7）建立资源评估体系，邀请专业人士对资源生命周期中的购置成本、使用状况、管理成本、使用效率和使用成效进行科学评估，判断该资源持续使用的合理性。

8）建立资源变更管理制度，任何资源变更均以正式的、可控制的方式进行管理。

变更实施前需要进行记录、评估和授权；变更实施后，需要审核变更的结果是否符合原计划。

尽量最小化变更对云服务的稳定性和完整性造成的风险。

9）建立IT服务台，业务平台提供IT运维的日常咨询、问题申告、业务受理、投诉建议等的流程化服务，支持用户来电弹屏、IT事件管理、问题管理、工单创建、流程审批、业务报表、知识库等功能。

10）建立资源监控管理，将云服务的各环节的资源实现统一监控，告警展示、统计。

通过邮件、短信等形式告知管理员。

5结束语本文介绍了云计算和ITIL基本概念，分析了云服务给高校IT运维模式带来的变化，并提出了基于ITIL理念的高校云计算服务资源管理流程和方法。

通过该方法可以对现有云服务资源的可用性、可靠性及维护成本进行更好地管理及科学评估。

建立符合ITIL思想的高校云服务运维体系是一个复杂的系统工程，不仅需要理论方面的探讨，还需要在实践中不断探索、完善，最终实现为高校量身搭建一体化的云服务运维管理体系，协助高校提高产、学、研和信息化管理水平。

参考文献：[1]胡平.基于云计算技术的运营商运维体系探究[J].电信科学,2011,27(12):97-102.[2]周灯台.基于ITIL的云计算数据中心管理及运维研究[D].天津:南开大学,2011.[3]冯艳,宋俊德.云计算服务管理的研究[J].北京联合大学学报:自然科学版,2011,25(2):6-9.[4]Grossman R L.A Quick Introduction to Clouds[C].Open Data Group．October29,2008:1-8.[5]张庆斌,田德柱.基于ITIL的云计算实施策略[J].计算机系统应用,2010,19(9):84-87.[6]章晖.云计算平台业务管理与执行子系统的设计与实现[D].北京:北京邮电大学,2012.[7]Pereira,Rúben.A maturity model for implementing ITIL V3in practice[C].IEEE International Enterprise Distributed Object Com⁃puting Workshop,EDOC,2011:259-268.（上接第7580页）对此，要求在开发过程中，时刻考虑“可验证性”，否则，通路及可观测点的缺乏，将使V&V工作受限。