Приложение D (справочное). Взаимосвязь настоящего стандарта с серией стандартов МЭК 61508 и стандартами атомной отрасли

Приложение D
(справочное)

Взаимосвязь настоящего стандарта с серией стандартов МЭК 61508 и стандартами атомной отрасли

D.1 Общие положения

В данном приложении приведено сравнение настоящего стандарта со стандартами МЭК 61508-1:2010, МЭК 61508-2:2010 и МЭК 61508-4:2010.

Части 3, 5, 6 и 7 МЭК 61508 не рассматриваются, т.к. они не входят в область применения настоящего стандарта. Например, область применения части 3 МЭК 61508 относительно программного обеспечения частично охватывается МЭК 60880 и МЭК 62138.

Настоящее приложение состоит из четырех разделов:

- Раздел D.2 рассматривает основные отличия в областях действия и концепциях двух стандартов;

- Раздел D.3 сравнивает положения настоящего стандарта с МЭК 61508-1 (основные требования);

- Раздел D.4 сравнивает положения настоящего стандарта с МЭК 61508-2 (системные аспекты);

- Раздел D.5 сравнивает положения настоящего стандарта с МЭК 61508-4 (определения).

Сокращения:

E/E/PES - электрическая/электронная/программируемая электронная система;

EUC - контролируемое оборудование;

SIL - уровень полноты безопасности

D.2 Сравнение областей действия и концепций

При сравнении прежде всего рассматриваются некоторые важные отличия областей применения двух стандартов.

Рассматриваемые в серии стандартов МЭК 61508 системы могут быть любыми - электрическими, электронными или программируемыми электронными технологиями и, хотя настоящий стандарт содержит основные требования к архитектуре для всех этих технологий, его основной объект - компьютеризированные системы.

Серия стандартов МЭК 61508 относится к "системам, связанным с безопасностью", тогда как настоящий стандарт следует положениям МАГАТЭ и распространяется на "системы, важные для безопасности" (т.е. важные для ядерной безопасности) ¹⁾.

------------------------------

¹⁾_{В НП-001-15 определено деление систем, важных для безопасности, на системы безопасности и системы нормальной эксплуатации, важные для безопасности.}

------------------------------

Примечание - Предполагается, что при проектировании СКУ для АС, которые реализуют традиционные функции безопасности (например, защищенность персонала, защиты объекта, защита от химически опасных факторов и опасных факторов, связанных с производством энергии), будут применяться международные или национальные стандарты, которые основаны на требованиях серии стандартов МЭК 61508.

a) Область общего жизненного цикла безопасности

Общий жизненный цикл по серии стандартов МЭК 61508 включает в себя все системы, предусмотренные проектом безопасности, и контролируемое оборудование, включая СКУ (Е/Е/РЕ), системы на основе других технологий, а также устройства, снижающие риск внешнего воздействия.

Настоящий стандарт специально не рассматривает ни анализ безопасности станции, ни средства оценки соответствия требованиям к эксплуатации и надежности, возникающие при анализе. Практики атомной отрасли предназначены для проекта АС, который выполняют в соответствии со специальными принципами МАГАТЭ, правилами МЭК и требованиями национальных регулирующих органов, которые находятся вне области настоящего стандарта. Проектные основы АС определяют ПИС, их последствия, концепцию глубокоэшелонированной защиты АС, категоризацию функций, необходимых для обеспечения защиты. Однако настоящий стандарт описывает требуемую исходную информацию из проектных основ АС и анализа безопасности, которая должна быть доступна разработчикам СКУ для последующей работы над проектом СКУ

b) Общая валидация/оценка безопасности

В соответствии с требованиями настоящего стандарта общая верификация и валидация каждой распределенной функции, важной для безопасности, описываются в отчете об общей интеграции и вводе в эксплуатацию.

В атомной отрасли экспертиза этого отчета по вопросам безопасности рассматривается в рамках процедуры лицензирования.

c) СКУ и архитектура СКУ

СКУ, рассматриваемые в настоящем стандарте, эквивалентны Е/Е/РЕ системам в соответствии с серией стандартов МЭК 61508. В настоящем стандарте архитектура СКУ (см. раздел 5) определяет набор отдельных систем с определенными классами и требованиями к независимости, которые выполняют функции, важные для безопасности. Для каждой из этих систем раздел 6 настоящего стандарта определяет отдельный жизненный цикл системы. В серии стандартов МЭК 61508 любое разделение на несколько систем рассмотрено в части 2.

Данное различие следует учитывать, чтобы избежать недоразумений.

d) Уровень полноты безопасности и классификация

Серия стандартов МЭК 61508 устанавливает уровень полноты безопасности, требующийся для компьютеризированной системы, в соответствии со степенью снижения риска, которую система должна обеспечить. Это достигается определением серьезности риска, связанного с опасностью, оценкой частоты опасных событий и с защитой, которую должна обеспечить система с целью снижения риска от опасности до допустимого уровня.

Атомная отрасль традиционно использовала детерминистический метод определения значимости системы для безопасности и ее влияние на величину риска, связанного с возможным выходом радиоактивных веществ (см. Руководства по безопасности МАГАТЭ и МЭК 61226).

Самый высокий реальный уровень полноты безопасности обычно необходим для той системы, которая предотвращает или смягчает последствия радиоактивных выбросов. Низкий уровень полноты безопасности может быть приемлемым лишь для вспомогательных систем, которые непосредственно не решают задачи предотвращения или ограничения выбросов. Поэтому не существует эквивалентной схемы с позиций надежности/снижения риска уровней SIL, предложенных в серии стандартов МЭК 61508, для широкого применения в атомном секторе. Такой детерминистический подход в атомной отрасли признается, как правило, достаточным и приводит на практике к установлению высоких требований ко всем защитным функциям. Однако атомная отрасль признает также и количественный подход, а методы вероятностного анализа безопасности могут ставить более четкие цели по обеспечению надежности компьютерных систем.

Назначение функциям безопасности "уровней полноты" по серии стандартов МЭК 61508 практически полностью соответствует категоризации функции ядерной безопасности, применимой в атомной отрасли. Однако имеются существенные различия в процедурных вопросах:

- в серии стандартов МЭК 61508 присвоение уровней полноты безопасности основано на вероятностном анализе опасностей и риска;

- в МЭК 61226 присвоение функциям ядерной безопасности категорий основано на детерминистическом критерии и инженерном опыте оценки последствий в случае отказа.

D.3 Соответствие настоящего стандарта и МЭК 61508-1

МЭК 61508-1	Настоящий стандарт
5 Документация	5.6 Выходная документация
6 Управление функциональной безопасностью	5.5.2 В соответствии с МАГАТЭ GSR (часть 2) и МАГАТЭ GS-G-3.1 вся деятельность, связанная с АС, описывается в программе обеспечения качества или предпочтительно интегрированной системой управления
7 Требования к общему жизненному циклу безопасности	5 Общий жизненный цикл безопасности СКУ
7.1 Общие положения
Полный жизненный цикл безопасности охватывает E/E/PES, другие технологии, снижение внешнего риска	Общий жизненный цикл систем контроля и управления (жизненный цикл СКУ) охватывает функции СКУ, системы и оборудование, важные для безопасности, и общую архитектуру СКУ [см. пункт а) раздела D.2]
7.2 Концепция
Описание объектов управления, требуемых функций управления и физического окружения	Рассмотрение проекта АС (5.2): - установление условий окружающей среды (5.2.4); - функции СКУ важные для безопасности; - действия автоматики и оператора
Определение источников опасности	Внутренние и внешние источники опасности устанавливаются при разработке проекта АС и являются входами для СКУ (5.2.4) (см. пункт а) раздела D.2)
7.3 Определение области действия
Определение границы EUC	Определить установленные границы станция/СКУ (см. 5.2.4)
Определение области опасности и анализа риска, а также событий, приводящих к аварии	События (ПИС) определяются основой проекта АС и являются входами для разработки СКУ [(см. 5.2)] [(см. пункт а) раздела D.2]
7.4 Анализ источников опасности и риска
Определение опасности для EUC...	Не рассматривается настоящим стандартом, является частью основы проекта станции [см. пункт а) раздела D.2]
... и системы управления EUC	Детерминированные ограничения СКУ, например критерий единичного отказа для функций категории А, функциональное разделение, накладываются основой проекта станции
Определение последовательности следствий опасных событий	Последовательности ПИС определяются в проекте АС и являются входом для СКУ (см. 5.2) [см. пункт )# раздела D.2]
Определение риска EUC	Категоризация функций СКУ (см. 5.2.3) является входом для СКУ [см. пункт а) раздела D.2]
7.5 Общие требования безопасности	5.3 Общий план защищенности систем и оборудования СКУ
Необходимые функции безопасности являются установленными. Они включают в себя: - спецификацию требований к функциям безопасности; - спецификацию требований к полноте безопасности	Общие спецификации требований к функциям, важным для безопасности, вытекают из основы проекта станции. Они включают в себя: спецификацию требований к функциональности и производительности [см. а) 1) и а) 2) в 5.3]; категоризация функций СКУ [см. а) 3) в 5.3] спецификация требований к независимости [см. b) в 5.3]
Общая спецификация требований к безопасности, охватывающей СКУ (системы Е/Е/РЕ), с использованием других технологий, а также к устройствам снижения риска	Другие технология и меры по снижению риска определяются в основе проекта АС в соответствии с принципами глубокоэшелонированной защиты. Они находятся вне области настоящего стандарта [см. пункт а) раздела D.2]
7.6 Распределение требований безопасности	5.4.2 Проектная документация по архитектуре СКУ 5.4.3 Назначение функций системам
Распределение функций безопасности по системам и присвоение уровня полноты безопасности каждой функции. Рассматривается возможность ООП (см. 7.6.2.7) и целевая безопасность для полноты отдельной Е/Е/РЕ ограничивается (см. 7.6.2.11)	Разделение общих СКУ на отдельные СКУ соответствующего класса. Распределение функций СКУ по СКУ в соответствии с классификацией, глубокоэшелонированной защитой, принимая во внимание ООП
Общее планирование	5.5 Общее планирование
6 Управление функциональной безопасностью	5.5.2 Общая программа обеспечения качества
7.8 Общее планирование валидации безопасности	5.5.4 Общие планы интеграции и ввода в эксплуатацию
	5.5.3 Общий план защищенности
7.9 Общее планирование установки и ввода в действие	5.5.4 Общие планы интеграции и ввода в эксплуатацию
7.7 Общее планирование эксплуатации и технического обслуживания	5.5.5 Общий план эксплуатации
	5.5.6 Общий план технического обслуживания
7.10 Спецификация требований к безопасности	6.2.2 Спецификация требований к системе
7.11 Реализация: E/E/PES	6 Жизненный цикл безопасности системы
См. МЭК 61508-2 (системные аспекты)	См. раздел 6 (жизненный цикл системы)
См. МЭК 61508-3 (требования к программному обеспечению)	Программное обеспечение не входит в область данного стандарта
7.12 Другие меры по снижению риска. Спецификация и реализация	Не входит в область данного стандарта [см. пункт а) раздела D.2]
7.13 Общие установка и ввод в эксплуатацию	7 Общая интеграция и ввод в эксплуатацию
7.14 Общая валидация безопасности Валидировать, что Е/Е/РЕ удовлетворяет общим спецификациям требований в соответствии с распределением	7.2 Общие требования, необходимые для достижения целей Верифицировать и валидировать функции, важные для безопасности, распределенные более чем по одной системе. 6.5 Квалификация системы
7.15 Общие эксплуатация, техническое обслуживание и ремонт	8 Общая эксплуатация и техническое обслуживание
7.16 Общие модификация и модернизация	1 Область применения Настоящий стандарт (или его часть) применим к СКУ на новых АС так же, как и к реконструируемым и модернизируемым системам на существующих станциях. 6.2.8 Модификация проекта системы
7.17 Снятие с эксплуатации или утилизация	Настоящим стандартом не рассматривается
7.18 Верификация	5.4.1 Общие программы обеспечения качества
8 Оценка функциональной безопасности Исследовать и привести обоснование по функциональной безопасности, достигнутой системами Е/Е/РЕ	В атомной отрасли эта оценка связывается с лицензированием и зависит от национальных регулирующих органов

D.4 Соответствие настоящего стандарта и МЭК 61508-2

МЭК 61508-2	Настоящий стандарт
5 Документация	6.4 Выходная документация
6 Управление функциональной безопасностью	5.5.2 Общая программа обеспечения качества
7 Требования к жизненному циклу безопасности систем Е/Е/РЕ Структура жизненного цикла безопасности Е/Е/РЕ охватывает цели и требования к системам Е/Е/РЕ	6 Жизненный цикл безопасности СКУ Структура жизненного цикла безопасности системы включает цели и требования к отдельным СКУ, входящим в архитектуру СКУ [см. пункт с) раздела D.2]
7.1 Общие положения В таблице 1 для каждого этапа приведены цели и требования, области действия этапа, требуемые входы к каждому этапу и требуемые выходы	В таблице 3 для каждого этапа приведены цели и требования, требуемые входы к каждому этапу и требуемые выходы
7.2 Спецификация требований к проекту E/E/PES включает в себя: - требования к функциям безопасности; - требования к полноте безопасности	6.2.2 Спецификация требований к системе включает в себя: - спецификацию требований к прикладным функциям; - спецификацию требований к сервисным функциям; - условия окружающей среды (см. 6.2.2.6); - категоризацию функций СКУ (вход от 5.3); - требования к ограничениям проекта системы (см. 6.2.2.3); - классификацию системы
Примечание - Указанные выше разделы серии стандартов МЭК 61508 и настоящего стандарта охватывают общие положения, но в настоящем стандарте различают требования к функциям СКУ и требования к СКУ, осуществляющим эти функции.
7.3 Планирование валидации безопасности Е/Е/РЕ S	6.3 Разработка документации (планирование) СКУ
	План валидации системы (см. 6.3.5). Функциональная валидация спецификации требований к прикладным функциям (см. 6.2.4.2.1). Квалификация системы (см. 6.5)
7.4 Проектирование и разработка E/E/PES	6.2.3 Спецификация системы 6.2.4 Детальное проектирование и реализация системы
7.4.2 Общие требования	Ограничения проекта (см. 6.2.2.3). Структура системы (см. 6.2.2.3). Документация по спецификации системы (см. 6.4.3)
7.4.3 Синтез элементов для обеспечения требуемой стойкости к систематическим отказам	Цикл безопасности системы (см. раздел 6). Требования к ограничениям проекта (см. 6.2.2.3)
7.4.4 Архитектурные ограничения полноты безопасности аппаратных средств	Требования к ограничениям проекта (см. 6.2.2.3)
7.4.5 Требования к количественной оценке случайных отказов аппаратных средств	Оценка надежности (см. 6.2.4.2.2)
7.4.6 Требования по предотвращению систематических отказов	Разработка архитектуры СКУ (см. 5.4.2), относительно принципа глубокоэшелонированной защиты. Оценка надежности и защиты от ООП (см. 5.4.4.2). Оценка человеческих факторов (см. 5.4.4.3). Распределение подсистем по помещениям (см. 6.2.3.3.2). Независимость (см. 6.2.3.3.3). Защита от развития отказов и их побочных эффектов (см. 6.2.3.3.4)
7.4.7 Требования по управлению систематическими сбоями
7.4.8 Требования к поведению системы при обнаружении отказов	- структура системы (см. 6.2.2.3.2); - самотестирование и устойчивость к отказам (см. 6.2.2.3.4)
7.4.9 Требования к реализации E/E/PES	- выбор существующих компонентов (см. 6.2.3.2)
7.4.10 Требования к проверенным в эксплуатации элементам	- выбор существующих компонентов (см. 6.2.3.2) с ссылками на отдельные стандарты МЭК 60880, МЭК 62138, МЭК 60987
7.4.11 Дополнительные требования к передаче данных	- средства передачи данных (см. 5.4.2.4), связано с МЭК 61500; - внутреннее поведение системы (см. 6.2.2.3.3)
7.5 Интеграция E/E/PES	6.2.5 Интеграция системы
7.6 Процедуры эксплуатации и технического обслуживания E/E/PES	6.3.7 План эксплуатации системы
7.7 Валидация функциональной безопасности E/E/PES	6.2.6 Валидация системы
7.8 Модификация E/E/PES	6.2.8 Модификация системы
7.9 Верификация E/E/PES	6.3.2.2 План верификации системы
8 Оценка функциональной безопасности (см. МЭК 61508-1)	См. раздел D.3

D.5 Соответствия между некоторыми важными терминами и определениями в области ядерных технологий, приведенными в настоящем стандарте и МЭК 61508-4

Тема: анализ риска
МЭК 61508-4	Настоящий стандарт
3.1.2 опасность: Потенциальный источник причинения вреда (ИСО/МЭК Руководство 51) [19]. Примечание - Термин включает в себя понятие опасности для людей, возникающей за счет быстро протекающих процессов (например, пожар и взрыв), а также медленных процессов, влияющих на здоровье людей (например, выделение токсических веществ)	3.25 опасность

Тема: глубокоэшелонированная защита
МЭК 61508-4	Настоящий стандарт
3.4.2 другое устройство снижения риска: Средство снижения и ослабления риска, отдельное и отличное от Е/Е/РЕ систем, связанных с безопасностью, и не использующее Е/Е/РЕ системы, связанные с безопасностью	концепция глубокоэшелонированной защиты (см. раздел А.4) Концепция снижения риска обязательно реализуется при анализе безопасности атомной станции с концепцией глубокоэшелонированной защиты и линий (барьеров) защиты

Тема: системы, важные для безопасности
МЭК 61508-4	Настоящий стандарт
3.4.1 система, связанная с безопасностью: Система, которая: - реализует необходимые функции безопасности, требующиеся для достижения и поддержки безопасного состояния управляемого оборудования, и - предназначена для достижения своими средствами или в сочетании с другими Е/Е/РЕ системами, связанными с безопасностью, и другими средствами снижения риска необходимой полноты безопасности для требуемых функций безопасности	3.33 узел, важный для безопасности

Тема: СКУ
МЭК 61508-4	Настоящий стандарт
3.2.13 электрическая/ электронная/ программируемая электронная система (Е/Е/РЕ): Система, основанная на электрической (Э) и/или электронной (Э) и/или программируемой электронной (ПЭ) технологии	3.29 СКУ

Тема: надежность
МЭК 61508-4	Настоящий стандарт
3.5.4 полнота безопасности: Вероятность того, что система, связанная с безопасностью, будет удовлетворительно выполнять требуемые функции безопасности при всех оговоренных условиях в течение заданного интервала времени. Примечание 3 - При определении полноты безопасности должны учитываться все причины отказов (случайных отказов аппаратных средств и систематических отказов), которые приводят к небезопасному состоянию, например отказы аппаратных средств, отказы, вызванные программным обеспечением, и отказы, вызванные электрическими помехами. Некоторые из этих типов отказов, например случайные отказы аппаратных средств, могут быть охарактеризованы количественно, с использованием таких параметров, как интенсивность отказов в опасном режиме или вероятность того, что система защиты, связанная с безопасностью, не сможет выполнить запрос. Однако полнота безопасности системы также зависит и от многих факторов, которым невозможно дать точную количественную оценку и которые могут быть оценены только качественно	3.43 надежность: В настоящем стандарте надежность оценивается обычно на основе качественных представлений (см. 6.2.2.2 и 6.2.4.2.2)

Тема: классификация систем, важных для безопасности
МЭК 61508-4	Настоящий стандарт
3.5.8 уровень полноты безопасности: Дискретный уровень (принимающий одно из четырех возможных значений), соответствующий диапазону значений полноты безопасности, при котором уровень полноты безопасности, равный 4, является наивысшим уровнем полноты безопасности, а уровень полноты безопасности, равный 1, соответствует наименьшей полноте безопасности	3.6 класс СКУ: Все компоненты, конструкции и системы, связанные с безопасностью, классифицируются на основе их функций и значимости для безопасности и проектируются, изготавливаются и устанавливаются в соответствии с этой классификацией (см. раздел 78 МАГАТЭ 75-INSAG-3:1999). МЭК 61226 устанавливает предельное значение для надежности (10-4), которое может быть принято для систем, имеющих программное обеспечение. Для некоторых систем необходимая надежность может превышать реально достижимую. Если необходимо обеспечить такую высокую функциональную надежность, то используют дополнительные независимые системы, каждая из которых способна выполнять назначенную функцию безопасности. Разнообразие и физическое разделение таких систем снизит вероятность отказа по общей причине (о надежности см. разделы 174-176 МАГАТЭ 75-INSAG-3:1999)

Тема: отказ по общей причине
МЭК 61508-4	Настоящий стандарт
3.6.10 отказ по общей причине: Отказ, являющийся результатом одного или нескольких событий, вызвавших одновременные отказы двух и более отдельных каналов в многоканальной системе, ведущих к отказу системы. Примечание - В подразделах 7.6.2.7 и 7.6.2.8 МЭК 61508-1:2010 приводятся требования к независимости двух систем	3.8 отказ по общей причине: См. 5.4.2.6