CN107767977B - 一种核电站用安全控制方法和系统 - Google Patents

Abstract

本发明属于核电站控制技术领域，为了解决现有技术在核电V&V领域中确认软件完整性等级时缺少可量化的可靠性度量技术方案的问题。本发明提供一种核电站用安全控制方法和系统，该方法包括：S1、获取不同工况下，软件执行安全功能的概率的量化指标；以及不同工况下，软件执行安全功能失效后果的量化指标；S2、建立所述概率、后果的量化指标与标准IEEE1012中概率、后果定性指标之间的映射关系表；S3、根据所述量化指标与所述定性指标之间的映射关系表，确定相应的软件完整性等级评估参数；S4、基于所述软件完整性等级评估参数，对待处理应用软件进行验证和确认；并输出验证和确认结果。

Description

一种核电站用安全控制方法和系统

技术领域

本发明涉及核电站控制的技术领域，尤其涉及一种核电站用安全控制方法和系统。

背景技术

随着科学技术的进步，核能发电的应用越来越广泛，而核电站仪控系统作为核能发电技术中关键的一个环节，对其安全性能提出了严格的要求；尤其是对仪控系统中的应用软件，如何选取合适的软件可靠性度量，来确认软件完整性等级(Software IntegrityLevel，简称SIL)显得相当重要。

现有技术中，IEEE1012附录B中给出了基于风险评估确定软件SIL等级的方法；该方法定义软件的失效的后果(见表1)，同时考虑软件执行安全功能的概率来确定SIL等级(见表2)。

表1.软件失效后果的定义

表2.基于风险评估确定SIL等级

IEEE1012附录B虽然给出了基于风险评估确定软件SIL等级的方法，但是该方法仅仅是要给定性的方法，采用该方法确定核电站应用软件SIL等级过程中，由于缺少具体的量化指标，且存在堆型、技术、人员差异，定性分析的结果往往不同，因此SIL等级很难明确；在核电行业应用中，本领域技术人员为了安全性，实际应用中普遍采用较高的SIL等级，这样不可避免的延长了软件开发、验证周期，增加了项目的成本。

发明内容

为了解决现有技术在核电V&V技术领域中，确认软件完整性等级时缺少可量化的可靠性度量技术方案的问题，本发明提供一种核电站用安全控制方法和系统，能够给出定量确定核电站应用软件完整性等级的技术方案，从而有利于核电项目实施中合理分配资源，降低软件开发、验证成本，缩短项目周期。

为了实现上述目的，本发明提供的技术方案包括：

本发明一方面提供一种核电站用安全控制方法，其特征在于，包括：

S1、获取不同工况下，软件执行安全功能的概率的量化指标；以及不同工况下，软件执行安全功能失效后果的量化指标；

S2、建立所述概率、后果的量化指标与标准IEEE1012中概率、后果定性指标之间的映射关系表；

S3、根据所述量化指标与所述定性指标之间的映射关系表，确定相应的软件完整性等级评估参数；

S4、基于所述软件完整性等级评估参数，对待处理应用软件进行验证和确认；并输出验证和确认结果。

本发明实施例优选地，在所述步骤S3之后还包括：根据不同的项目要求，对所述软件完整性等级评估参数进行修正，得到新的软件完整性等级评估参数。

本发明实施例优选地，所述步骤S3中，基于IEEE1012附录B中风险评估确定SIL等级参数，获取所述软件完整性等级评估参数。

本发明实施例优选地，所述方法中，所述概率的量化指标包括：预计运行事件、稀有事故、极限事故、多重失效或严重事故发生的概率。

本发明实施例优选地，所述方法中，所述后果的量化指标包括：A、超过核电站设计的稀有事故、极限事故的限值；B、超过核电站设计的预计运行事件限值未达到稀有事故限值；C、超过核电站设计的工作人员限值未达到预计运行事件限值；D、未超过核电站设计的工作人员限值。

本发明另一方面还提供一种核电站用安全控制系统，其特征在于，包括：

核电站参数运行获取模块，用于获取不同工况下，执行安全功能的概率的量化指标；以及不同工况下，执行安全功能失效后果的量化指标；

映射关系建立模块，用于建立所述量化指标与标准IEEE1012定性指标之间的映射关系表；

软件完整性等级评估参数填充模块，用于根据所述概率的量化指标与所述定性概率之间的映射关系表，确定相应的软件完整性等级评估参数；

待处理软件验证和确认模块，设置成基于所述软件完整性等级评估参数，对待处理应用软件进行验证和确认；并输出验证和确认结果。

本发明实施例优选地，所述系统还包括：软件完整性等级评估参数修正模块，设置成根据不同的项目要求，对所述软件完整性等级评估参数进行修正，得到新的软件完整性等级评估参数。

本发明实施例优选地，所述软件完整性等级评估参数填充模块设置成：基于IEEE1012附录B中风险评估确定SIL等级参数，获取所述软件完整性等级的量化评估参数。

本发明实施例优选地，所述系统中，所述概率的量化指标包括：预计运行事件、稀有事故、极限事故、多重失效或严重事故发生的概率。

本发明实施例优选地，所述系统中，所述后果的量化指标包括：A、超过核电站设计的稀有事故、极限事故的限值；B、超过核电站设计的预计运行事件限值未达到稀有事故限值；C、超过核电站设计的工作人员限值未达到预计运行事件限值；D、未超过核电站设计的工作人员限值。

采用本申请提供的上述技术方案，可以至少获得以下有益效果中的一种：

1、可以根据核电厂安全分析结果，获取软件执行特定功能失效的后果量及其执行功能的概率的量化数据，定量确定该软件或执行该功能的部分软件的SIL等级；减少由于堆芯、技术、人员理解不同，定性判断SIL等级也不同的现状。

2、依据上述技术方案确定软件SIL等级，可以明确确定SIL等级，解决业内为了安全性，实际应用中普遍采用较高的SIL等级的技术问题。

3、据不同的SIL等级，在项目实施中合理分配资源，可合理降低软件开发、验证成本，缩短项目周期，同时保证软件的质量。

4、可依据系统中软件执行功能的特点，确定不同的SIL等级，优化资源分配。

5、根据不同的项目要求，调整不同的软件完整性等级评估参数，使得确认和验证结果更加可靠，结果更加准确。

发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书变得显而易见，或者通过实施本发明的技术方案而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构和/或流程来实现和获得。

附图说明

图1为本发明一实施例提供的一种核电站用安全控制方法的流程图。

图2为本发明一实施例提供的一种核电站用安全控制方法中定量确定软件SIL等级的流程图。

图3为本发明一实施例提供的一种核电站用安全控制系统的示意框图。

图4为本发明另一实施例提供的一种核电站用安全控制方法的流程图。

图5为本发明另一实施例提供的一种核电站用安全控制方法中基于具体项目修正软件SIL等级的流程图。

图6为本发明另一实施例提供的一种核电站用安全控制系统的示意框图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此对本发明如何应用技术手段来解决技术问题，并达成技术效果的实现过程能充分理解并据以实施。需要说明的是，这些具体的说明只是让本领域普通技术人员更加容易、清晰理解本发明，而非对本发明的限定性解释；并且只要不构成冲突，本发明中的各个实施例以及各实施例中的各个特征可以相互结合，所形成的技术方案均在本发明的保护范围之内。

另外，在附图的流程图示出的步骤可以在诸如一组控制器可执行指令的控制系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

下面通过附图和具体实施例，对本发明的技术方案进行详细描述：

实施例

本实施例提供一种核电站用安全控制方法，尤其是提供一种能够基于定核电站应用软件完整性等级(SIL，Software Integrity Level)后，并应用于核电行业应用软件验证与确认(简称V&V)的控制方法。具体地，如图1所示，该方法包括：

S1、获取不同工况下，软件执行安全功能的概率的量化指标；以及不同工况下，软件执行安全功能失效后果的量化指标；

S2、建立概率、后果的量化指标与标准IEEE1012中概率、后果定性指标之间的映射关系表；

S3、根据量化指标与定性指标之间的映射关系表，确定相应的软件完整性等级评估参数；

S4、基于软件完整性等级评估参数，对待处理应用软件进行验证和确认；并输出验证和确认结果。

本实施例优选地，上述步骤S3中，基于IEEE1012附录B中风险评估确定SIL等级参数，获取软件完整性等级评估参数。

本实施例优选地，上述方法中，概率的量化指标包括：预计运行事件、稀有事故、极限事故、多重失效或严重事故发生的概率。

本实施例优选地，上述方法中，后果的量化指标包括：A、超过核电站设计的稀有事故、极限事故的限值；B、超过核电站设计的预计运行事件限值未达到稀有事故限值；C、超过核电站设计的工作人员限值未达到预计运行事件限值；D、未超过核电站设计的工作人员限值。

更具体地，发明人在实现本实施例具体实施方式的过程中发现：目前GBT 15474-2010核电厂安全重要仪表和控制功能分类采用了IEC61226，因此先对IEC61226标准中分级过程进行分析，确定IEC61226分级与和IEEE1012软件SIL等级的联系，并将功能分类/系统分级中的确定论分析引入基于风险评估(定性方法)确定软件SIL等级中，从而得到一种定量确定软件SIL等级的方法。具体地，如图3所示，本实施例提供的定量确定软件SIL等级的方法包括：

一、执行功能分类/系统分级：

S101、查找IEC61226分级；IEC61226中安全重要功能分为A类、B类、C类，在其章节6.2中给出了分类是考虑的因素，同时结合章节5中各类的定义和判断准则，可以得出影响功能分类/系统分级的主要因素有：

1、该功能失效的后果；

2、需要执行该功能的概率；

3、执行该功能的时间或时段。

S102、确定系统分类级别表；基于S101中查找的结果可以确定系统分类级别包括下面表3的内容：

表3.A类、B类、C类定义的及其分类准则

S103、确定失效的后果、执行安全功能的频率等；

通过上述分析可知功能分类/系统分级过程中考虑的因素包含软件SIL等级的因素，由此可以建立功能分类/系统分级和软件SIL等级之间的联系；将功能分类/系统分级过程的定量方法，应用于确定SIL等级过程中，从而将通用的定性确定软件SIL等级的方法改进为定量的方法；研究系统分级的量化方法包括：基于确定论方法确定功能分类/系统分级，考虑核电站在特定运行工况下，发生单一假设始发事件后，缓解该事件后果的功能失效所引起的后果。

本实施例将核电站设计之初考虑安全而规定的放射性物质、物理参数的不同限值，作为衡量功能失效的后果的量化指标，分为A、超过核电站设计的稀有事故、极限事故的限值；B、超过核电站设计的预计运行事件限值未达到稀有事故限值；C、超过核电站设计的工作人员限值未达到预计运行事件限值；D、未超过核电站设计的工作人员限值，见表4。本实施例将核电站设计之初考虑安全而规定的各运行工况发生的频率，作为执行安全功能的概率的量化指标，分为F1预计运行事件、F2稀有事故、F3极限事故、F4多重失效或严重事故发生的概率，见表5。

表4.核电站规定的放射性物质或物理参数的限值

表5.核电站不同运行工况发生的频率

基于概率论确定功能分类/系统分级，考虑上述工况未涵盖的、但为满足概率安全目标必须加以考虑的多重失效工况以及采取必要的措施、缓解严重事故，以尽可能地降低严重事故的后果。本发明中认为这类运行工况的概率一般大于极限事故，如果缓解功能失效其后果超过极限事故的限值。

S104、确定性(定量分析)、概率性(定性分析)；将系统分级的量化方法引入基于风险评估定性确定软件SIL中：

通过比较失效的的后果与IEEE1012的失效后果，并建立映射，见表6；分析表4中概率与IEEE1012的概率，建立映射关系，见表7。

表6.定量后果和定性后果建立映射

表7.定量概率和定性概率建立映射

S105、得到功能分类/系统分级。

二、执行软件SIL等级确定：

S201、查找IEE1012及附录B；IEEE1012附录B中明确了确定软件SIL等级的两个因素：

1、软件失效的后果；

2、需要软件执行该功能的概率。

S202、确定SIL等级因素；根据步骤S201的查找，可以得到如背景技术记载的表1和表2。

S203、失效的后果、执行安全功能的概率：参照上述获取如上表4、表5的内容。

S204、风险评估(定性分析)：参照上述获取如上表5、表6的内容。

S205、确定SIL等级：基于表5和表6的内容，进行风险评估(定量分析，如图2中的S300)，然后得到具体的SIL等级对应的不同参数。具体地：

由于不同的核电站采用的堆型不同、技术不同、设计指标不同，本实施例中只是给出通用的定量方法见表8，具体的指标需要参考电站的设计方案。

表8.通用的定量确定软件SIL等级的方法

如图3所示，本实施例还提供一种核电站用安全控制系统100，该系统100包括：

核电站参数运行获取模块110，用于获取不同工况下，执行安全功能的概率和失效后果的量化指标；以及不同工况下，执行安全功能的概率和失效后果定性指标；

映射关系建立模块120，用于建立量化指标与定性指标之间的映射关系表；

软件完整性等级评估参数填充模块130，用于确定概率的量化指标与定性概率之间的映射关系表中，相应的软件完整性等级评估参数；

待处理软件验证和确认模块140，设置成基于软件完整性等级评估参数，对待处理应用软件进行验证和确认；并输出验证和确认结果。

本实施例优选地，上述软件完整性等级评估参数填充模块130设置成：基于IEEE1012附录B中风险评估确定SIL等级参数，获取软件完整性等级评估参数。

本实施例优选地，上述系统中，概率的量化指标包括：预计运行事件、稀有事故、极限事故、多重失效或严重事故发生的概率。

本实施例优选地，上述系统中，后果的量化指标包括：A、超过核电站设计的稀有事故、极限事故的限值；B、超过核电站设计的预计运行事件限值未达到稀有事故限值；C、超过核电站设计的工作人员限值未达到预计运行事件限值；D、未超过核电站设计的工作人员限值。

如图4所示，本申请另一实施例还提供一种核电站用安全控制方法，该方法在图1的基础上，在上述步骤S3之后还包括：S3’、根据不同的项目要求，对软件完整性等级评估参数进行修正，得到新的软件完整性等级评估参数。

相应地如图6所示，还提供一种核电站用安全控制系统，该系统在图3基础上，还设置有：软件完整性等级评估参数修正模块150，设置成根据不同的项目要求，对软件完整性等级评估参数进行修正，得到新的软件完整性等级评估参数。

更具体地：在具体项目实施过程中，需结合现有法律、法规、安全导则或用户对软件的特殊要求或质保对软件的要求，适当提升SIL等级。

在软件生命周期各阶段，需分析各阶段的的技术方案，例如系统设计的功能分配、隔离方案、软件实现的编码方式等，综合考虑各技术实现手段的可靠性、运行的经验等可提高或降低已指定的软件完整性级别。

基于风险评估确定SIL等级的定量方法应用于具体项目时其实施过程见图5，其中虚线部分是考虑项目特点对SIL等级适当的修正，具体各因素对SIL的影响参见表9。

表9.项目实施过程需考虑以上因素适当修正SIL等级

因此，本申请提供的实施例中，将核电站设规定的各运行工况下的放射性物质、物理参数的运行限值，作为衡量功能失效的后果的量化指标，代替IEEE1012中的定性判断；并将核电站设计之初考虑安全而规定的各工况发生的频率，作为执行安全功能的概率的量化指标，代替IEEE1012中的定性判断。

例如，核电站采用基于计算机的数字化DCS系统,实现核电站的保护、专设安全设施驱动、多样性保护以及核电站的常规控制功能。在应用软件的V&V过程中采用该方法确定软件的SIL等级。

采用本申请申请提供的上述核电站用安全控制系统及相应的安全控制方法：

首先调用核电站参数运行模块110，获取相应的功能失效的后果和频率，具体如下：

然后调用映射关系建立模块120，获取映射关系，具体如下：

然后调用SIL参数填充模块130确定实现各功能的应用软件的SIL等级，具体如下：

可选择性地，还可以根据不同的项目需求，调用SIL评估参数修正模块150修正SIL等级。

最后，基于软件完整性等级评估参数，对待处理应用软件进行验证和确认；并输出验证和确认结果。

采用本申请提供的上述技术方案，可以至少获得以下有益效果中的一种：

1、可量化确定执行某功能的软件的SIL等级，减少由于堆芯、技术、人员理解不同，定性判断SIL等级也不同的现状。

2、依据上述技术方案确定软件SIL等级，可以明确确定SIL等级，解决业内为了安全性，实际应用中普遍采用较高的SIL等级的技术问题。

3、根据不同的SIL等级，在项目实施中合理分配资源，可合理降低软件开发、验证成本，缩短项目周期，同时保证软件的质量。

4、可依据系统中的各功能特点，确定不同软件的SIL等级，优化资源分配。

5、根据不同的项目要求，调整不同的软件完整性等级评估参数，使得确认和验证结果可靠、结果准确，同时满足项目的要求。

最后需要说明的是，上述说明仅是本发明的最佳实施例而已，并非对本发明做任何形式上的限制。任何熟悉本领域的技术人员，在不脱离本发明技术方案范围内，都可利用上述揭示的做法和技术内容对本发明技术方案做出许多可能的变动和简单的替换等，这些都属于本发明技术方案保护的范围。

Claims (10)

1.一种核电站用安全控制方法，其特征在于，包括：

S1、获取不同工况下，软件执行安全功能的概率的量化指标；以及不同工况下，软件执行安全功能失效后果的量化指标；并且系统分级的量化方法包括：基于确定论方法确定功能分类、系统分级，考虑核电站在特定运行工况下，发生单一假设始发事件后，缓解所述事件后果的功能失效所引起的后果，建立功能分类、系统分级和软完整性等级之间的联系；

S2、建立所述概率、后果的量化指标与标准IEEE1012中概率、后果定性指标之间的映射关系表；

S3、根据所述量化指标与所述定性指标之间的映射关系表，确定相应的软件完整性等级评估参数；

S4、基于所述软件完整性等级评估参数，对待处理应用软件进行验证和确认；并输出验证和确认结果。

2.根据权利要求1所述的方法，其特征在于，所述步骤S3之后还包括：根据不同的项目要求，对所述软件完整性等级评估参数进行修正，得到新的软件完整性等级评估参数；并且对所述软件完整性等级评估参数进行修正包括：将核电站设规定的各运行工况下的放射性物质、物理参数的运行限值，作为衡量功能失效的后果的量化指标，代替IEEE1012中的定性判断；并将核电站设计之初考虑安全而规定的各工况发生的频率，作为执行安全功能的概率的量化指标，代替IEEE1012中的定性判断。

3.根据权利要求1所述的方法，其特征在于，所述步骤S3中，基于IEEE1012附录B中风险评估确定SIL等级参数，获取所述软件完整性等级评估参数。

4.根据权利要求1所述的方法，其特征在于，所述概率的量化指标包括：预计运行事件、稀有事故、极限事故、多重失效或严重事故发生的概率。

5.根据权利要求1所述的方法，其特征在于，所述后果的量化指标包括：

A、超过核电站设计的稀有事故、极限事故的限值；B、超过核电站设计的预计运行事件限值未达到稀有事故限值；C、超过核电站设计的工作人员限值未达到预计运行事件限值；D、未超过核电站设计的工作人员限值。

6.一种核电站用安全控制系统，其特征在于，包括：

核电站参数运行获取模块，用于获取不同工况下，执行安全功能的概率的量化指标；以及不同工况下，执行安全功能失效导致的后果的量化指标；并且系统分级的量化方法包括：基于确定论方法确定功能分类、系统分级，考虑核电站在特定运行工况下，发生单一假设始发事件后，缓解所述事件后果的功能失效所引起的后果，建立功能分类、系统分级和软完整性等级之间的联系；

映射关系建立模块，用于建立所述量化指标与标准IEEE1012定性指标的映射关系表；

软件完整性等级评估参数填充模块，用于根据所述量化指标与所述定性概率之间的映射关系表，确定相应的软件完整性等级评估参数；

待处理软件验证和确认模块，设置成基于所述软件完整性等级评估参数，对待处理应用软件进行验证和确认；并输出验证和确认结果。

7.根据权利要求6所述的系统，其特征在于，所述软件完整性等级评估参数填充模块设置成：基于IEEE1012附录B中风险评估确定SIL等级参数，获取所述软件完整性等级的量化评估参数。

8.根据权利要求6所述的系统，其特征在于，还包括：软件完整性等级评估参数修正模块，设置成根据不同的项目要求，对所述软件完整性等级评估参数进行修正，得到新的软件完整性等级评估参数；并且对所述软件完整性等级评估参数进行修正包括：将核电站设规定的各运行工况下的放射性物质、物理参数的运行限值，作为衡量功能失效的后果的量化指标，代替IEEE1012中的定性判断；并将核电站设计之初考虑安全而规定的各工况发生的频率，作为执行安全功能的概率的量化指标，代替IEEE1012中的定性判断。

9.根据权利要求6所述的系统，其特征在于，所述概率的量化指标包括：预计运行事件、稀有事故、极限事故、多重失效或严重事故发生的概率。

10.根据权利要求6所述的系统，其特征在于，所述后果的量化指标包括：

A、超过核电站设计的稀有事故、极限事故的限值；B、超过核电站设计的预计运行事件限值未达到稀有事故限值；C、超过核电站设计的工作人员限值未达到预计运行事件限值；D、未超过核电站设计的工作人员限值。