ГОСТ Р МЭК 60709-2011 Атомные станции. Системы контроля и управления, важные для безопасности. Разделение

ГОСТ Р МЭК 60709-2011

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

АТОМНЫЕ СТАНЦИИ

Системы контроля и управления, важные для безопасности.
Разделение

Nuclear power plants. Instrumentation and control systems important for safety. Separation

ОКС 27.12.20

Дата введения 2012-01-01

Предисловие

Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. N 184-ФЗ "О техническом регулировании", а правила применения национальных стандартов Российской Федерации - ГОСТ Р 1.0-2004 "Стандартизация в Российской Федерации. Основные положения"

Сведения о стандарте

1 Подготовлен Федеральным государственным унитарным предприятием "Всероссийский научно-исследовательский институт стандартизации и сертификации в машиностроении" (ФГУП "ВНИИНМАШ") и Автономной некоммерческой организацией "Измерительно-информационные технологии" (АНО "Изинтех") на основе аутентичного перевода на русский язык указанного в пункте 4 стандарта, который выполнен Российской комиссией экспертов МЭК/ТК 45

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 322 "Атомная техника"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 26 сентября 2011 г. N 337-ст

4 Настоящий стандарт идентичен международному стандарту МЭК 60709:2004* "Атомные станции. Системы контроля и управления, важные для безопасности. Разделение" (IEC 60709:2004 "Nuclear power plants - Instrumentation and control systems important for safety - Separation").

________________

* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - .

Международный стандарт МЭК 60709:2004 был подготовлен в подкомитете 45А "Контроль и управление на ядерных объектах" Технического комитета 45 "Ядерное приборостроение".

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о которых приведены в дополнительном приложении ДА

5 ВВЕДЕН ВПЕРВЫЕ

Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом информационном указателе "Национальные стандарты", а текст изменений и поправок - в ежемесячно издаваемых информационных указателях "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном указателе "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет

Введение

Предпосылки, основные вопросы и организация стандарта

Системы контроля и управления, важные для безопасности атомных станций (далее - АС), нужны для того, чтобы предотвратить негативные последствия, которые могут возникнуть в результате неисправностей оборудования энергоблока, а также в результате воздействия внутренних и внешних опасных факторов. Для повышения уровня устойчивости систем контроля и управления к таким воздействиям, включая обеспечение устойчивости независимых систем, подсистем и оборудования, применяются различные методы. Для выполнения требований по независимости таких систем и оборудования друг от друга необходимо предусмотреть и поддерживать их достаточное разделение. В настоящем стандарте приведены технические требования и рекомендации для осуществления разделения при разработке систем контроля и управления.

Цель данного стандарта:

- установить ряд причин вероятных отказов и сформулировать, принимая во внимание эти случаи, ряд требований, выполнения которых нужно придерживаться при разработке систем контроля и управления, важных для безопасности, с целью обеспечения наилучшего выполнения назначения каждой системы. Эти требования применяются к системе контроля и управления в целом;

- представить руководство по разделению при проведении модернизации систем контроля и управления на существующих АС;

- установить для систем контроля и управления, важных для безопасности, проектные критерии, учитывающие случаи отказов, отмеченные в пункте 4;

- изложить требования, которые следует выполнять при разделении кабелей внутри систем контроля и управления, важных для безопасности.

Место, занимаемое настоящим стандартом в структуре серии стандартов ПК 45А

МЭК 60709 - это международный стандарт второго уровня, на который имеется прямая ссылка в МЭК 61513 в отношении требований по физическому и электрическому разделению между различными подсистемами систем контроля и управления, важных для безопасности, а также между системами контроля и управления, важными для безопасности, и системами, не являющимися важными для безопасности.

По МЭК 61226 устанавливают принципы определения категорий функций, систем и оборудования систем контроля и управления в соответствии со степенью их важности для безопасности. После чего проводят соответствующее разделение между функциями различных категорий. В отношении разделения МЭК 61226 ссылается на МЭК 60709 как на нормативный стандарт.

Рекомендации и ограничения, касающиеся применения настоящего стандарта

Настоящий стандарт применяется к системам контроля и управления и оборудованию, важным для безопасности. Настоящий стандарт устанавливает требования по физическому и электрическому разделению как к одному из средств, обеспечивающих независимость между функциями, которые выполняются этими системами и оборудованием. Другие аспекты независимости, связанные с проблемой отказов по общей причине, не включены в настоящий стандарт.

Дополнительные требования, касающиеся работоспособности, а также подробные требования по устранению электрических помех не включены в настоящий стандарт.

Описание структуры серии стандартов ПК 45А, взаимосвязь с другими документами МЭК и с документами других базовых серий (МАГАТЭ, ИСО)

Документом высшего уровня серии стандартов ПК 45А является МЭК 61513. Этот стандарт касается требований к системам контроля и управления (далее - СКУ), выполняющим функции, важные для безопасности атомных станций (далее - АС). МЭК 61513 лежит в основе серии стандартов ПК 45А.

В МЭК 61513 имеются непосредственные ссылки на другие стандарты ПК 45А по общим вопросам, связанным с категоризацией функций и классификацией систем, оценкой соответствия, разделением систем, защитой от отказов по общей причине, аспектами программного обеспечения компьютерных систем, аспектами аппаратного обеспечения компьютерных систем и проектированием пультов управления. Те стандарты, на которые имеются непосредственные ссылки, рекомендуется использовать на этом втором уровне совместно с МЭК 61513 в качестве согласованной подборки документов.

На третьем уровне стандартов ПК 45А, на которые в МЭК 61513 нет непосредственных ссылок, находятся стандарты, связанные с конкретным оборудованием, техническими методами или конкретной деятельностью. Обычно эти стандарты, в которых по общим вопросам имеются ссылки на стандарты второго уровня, могут использоваться самостоятельно.

Четвертому уровню, продолжающему серию стандартов ПК 45А, соответствуют технические отчеты, которые не являются нормативными документами.

Для МЭК 61513 принята форма представления, аналогичная форме представления базовой публикации по безопасности МЭК 61508, с его структурой общего жизненного цикла безопасности и структурой жизненного цикла системы, и в нем дана интерпретация общих требований МЭК 61508-1, МЭК 61508-2, МЭК 61508-4 для применения в ядерной области.

Согласованность с настоящим стандартом будет способствовать соответствию требованиям МЭК 61508, интерпретированным для атомной промышленности. В этой структуре МЭК 60880 и МЭК 62138 соответствуют МЭК 61508-3 применительно к ядерной области.

В МЭК 61513 есть ссылки на стандарты ИСО, а также на документ МАГАТЭ 50-C-QA по вопросам, связанным с обеспечением качества.

В серии стандартов ПК 45А последовательно реализуются и детализируются принципы и базовые аспекты безопасности, предусмотренные Правилами МАГАТЭ по безопасности атомных электростанций, а также серией документов МАГАТЭ по безопасности, в частности требованиями NS-R-1 "Безопасность атомных электростанций. Проектирование" и Руководством по безопасности NS-G-1.3 "Системы контроля и управления, важные для безопасности атомных электростанций". Термины и определения, используемые в стандартах ПК 45А, согласуются с терминами и определениями, используемыми в МАГАТЭ.

1 Область применения

Настоящий стандарт применяется к системам контроля и управления (далее - СКУ) атомных станций (далее - АС) и их кабельным сетям, которые являются важными для безопасности, как это определено в руководстве по безопасности МАГАТЭ NS-G-1.3. Настоящий стандарт также применяется к временным установкам, являющимся частью таких СКУ, важных для безопасности (например, к дополнительному оборудованию для проведения пусковых испытаний и экспериментов). В разделе 6 отдельно рассматриваются кабельные сети СКУ, важных для безопасности.

Настоящий стандарт применяется к СКУ новых АС, а также к системам контроля и управления модернизируемых, реконструируемых или действующих АС. Для действующих АС используется сокращенный набор требований, причем объем этих требований необходимо установить в начале каждого проекта.

Там, где независимость необходима согласно общепринятым стандартам по безопасности, таким как руководства по безопасности МАГАТЭ или МЭК 61513, одним из аспектов достижения этой независимости является физическое разделение между системами и оборудованием этих систем, выполняющими функции, важные для безопасности.

В настоящем стандарте определены необходимые оценки и установлены технические требования, которым должны удовлетворять СКУ, важные для безопасности, и их кабельные сети, для достижения согласующегося с этими требованиями физического разделения между резервными частями системы, а также между отдельными системами. Такое разделение требуется для достижения или минимизации того влияния на безопасность, которое может вызывать неисправности и отказы, способные распространиться на несколько частей системы или несколько систем и повредить их.

2 Нормативные ссылки

Приведенные ниже документы* необходимы при применении настоящего стандарта. Если указана дата публикации, то именно данное издание следует использовать. При отсутствии даты используют последнее издание указанного документа (включая любые изменения).

_______________

* Таблицу соответствия национальных стандартов международным см. по ссылке. - .

МЭК 60332 (все части), Испытания электрических кабелей в условиях пожара (IEC 60332 (all parts), Tests on electric cables under fire conditions)

МЭК 60964 Проектирование блочных пунктов управления атомных станций (IEC 60964, Design for control rooms of nuclear power plants)

МЭК 61000 (все части), Электромагнитная совместимость (ЭМС) (IEC 61000 (all parts), Electromagnetic compatibility (EMC))

МЭК 61000-6-5 Электромагнитная совместимость (ЭМС). Часть 6-5. Общие стандарты. Защищенность в условиях эксплуатации энергетических станций и подстанций (IEC 61000-6-5 Electromagnetic compatibility (EMC) - Part 6-5: Generic standards - Immunity for power station and substation environments)

МЭК 61226 Атомные станции. Системы контроля и управления, важные для безопасности. Классификация (IEC 61226 Nuclear power plants - Instrumentation and control systems important for safety - Classification)

МЭК 61513 Атомные станции. Системы контроля и управления, важные для безопасности. Общие требования (IEC 61513 Nuclear power plants - Instrumentation and control for systems important to safety - General requirements for systems)

МЭК 62096 Атомные станции. Системы контроля и управления. Руководство для принятия решения по модернизации (IEC 62096 Nuclear power plants - Instrumentation and control - Guidance for the decision on modernisation)

МАГАТЭ Руководство по безопасности NS-G-1.3 Системы управления и контроля, важные для безопасности атомных электростанций (IAEA Safety Guide NS-G-1.3 Instrumentation and Control Systems Important to Safety in Nuclear Power Plants)

3 Термины и определения

В настоящем стандарте применены следующие термины с соответствующими определениями:

3.1 связанный контур (associated circuit): Часть системы более низкой категории безопасности, не отделенная физически или не изолированная электрически от других частей системы (контуров) с более высокой категорией безопасности с помощью соответствующих разделительных интервалов, конструкций, барьеров или электроизолирующих устройств безопасного класса, но отвечающая, тем не менее, соответствующим критериям безопасности.

3.2 барьер (barrier): Устройство или конструкция, размещаемые между резервным оборудованием или контурами, важными для безопасности, либо между оборудованием или контурами, важными для безопасности, и потенциальным источником повреждения с целью ограничения степени повреждения системы контроля и управления, важной для безопасности, в пределах допустимого уровня.

3.3 кабельная трасса (cable route): Физическая магистраль, проходящая через станцию, вдоль которой можно проложить большое количество кабелей, например помещение или кабельный туннель в здании станции, либо металлический канал, кабельная коробка или труба, а также канал под дорогой или платформа над ней.

3.4 отказ по общей причине; ООП (common cause failure (CCF)): Отказ двух или более конструкций, систем или компонентов вследствие единичного конкретного события или единичной конкретной причины.

(МАГАТЭ NS-G-1.3)

3.5 изолирующее устройство (isolation device): Устройство в контуре, не допускающее того, чтобы неполадки в работе одной части контура были причиной недопустимых сбоев в других частях контура или в других контурах.

3.6 постулированное исходное событие; ПИС (postulated initiating event (PIE)): Событие, определяемое на стадии проектирования как способное привести к ожидаемым при эксплуатации событиям или аварийным условиям.

(МАГАТЭ NS-G-1.3)

3.7 резервирование (redundancy): Использование альтернативных (одинаковых или неодинаковых) конструкций, систем или элементов таким образом, чтобы все они могли выполнять требующуюся функцию независимо от эксплуатационного состояния или отказа любого из них.

(МАГАТЭ NS-G-1.3)

3.8 группа безопасности (safety group): Группа оборудования, предназначенная для выполнения всех требующихся действий в случае конкретного постулированного исходного события с целью обеспечить невозможность превышения пределов, установленных в проектных основах для ожидаемых при эксплуатации событий и проектных аварий.

(МАГАТЭ NS-G-1.3)

4 Основные принципы разделения внутри систем контроля и управления, важных для безопасности

4.1 Общие положения

МЭК 61226 устанавливает классификацию функций безопасности соответственно их важности для безопасности и содержит требования по физическому разделению с целью обеспечения защиты от распространения отказов, обусловленных физическими явлениями, и от одновременной подверженности риску резервных систем.

Система контроля и управления может выполнять функции различных категорий безопасности. В таком случае системе присваивается наивысшая категория из тех, которые соответствуют выполняемым ею функциям. Например, система, выполняющая функции категорий А и В, определяется как система категории А.

Для поддержания независимости резервных систем, независимости различных систем, а также для обеспечения эффективности применения резервирования и разнообразия (предусмотренных для достижения высокой надежности систем, важных для безопасности) в проектных решениях СКУ, важных для безопасности, следует применять следующие общие принципы.

Системы, выполняющие функции категории А, должны быть защищены от побочных физических явлений, вызываемых неисправностями и нормальными процессами:

a) в резервных частях таких систем;

b) в системах более низкой категории.

Рассматриваемые неисправности должны включать в себя как внутренние неисправности СКУ и ее электропитания, так и те, которые происходят в результате событий, являющихся внешними по отношению к СКУ.

В ряде случаев может возникнуть необходимость в обеспечении физического разделения между различными системами, выполняющими функции категории А, если требуется независимость этих функций.

Системы, выполняющие функции категории В, должны быть защищены от побочных физических явлений, вызванных неисправностями и нормальными процессами:

a) в резервных частях таких систем;

b) в системах более низкой категории.

Рассматриваемые неисправности должны включать в себя внутренние неисправности СКУ и ее электропитания, однако могут не включать неисправности, возникающие в результате внешних по отношению к СКУ событий. В тех случаях, когда функции категории В предназначены для обеспечения защиты от конкретных угроз, системы должны подчиняться принципам категории А. Например, в некоторых странах все системы, необходимые для осуществления и поддержания в течение длительного времени останова, должны быть, независимо от их категории, защищены от угрозы пожара.

Некоторые системы, выполняющие функции категории С, могут нуждаться в защите от воздействий, вызванных неисправностями в других системах. Это должно определяться в каждом конкретном случае.

Системы без категории не нуждаются в защите от воздействий, вызванных неисправностями в других системах.

Разделение препятствует:

a) распространению отказов от системы к системе,

b) распространению отказов между резервными частями внутри систем,

c) отказам по общей причине вследствие внутренних угроз на станции.

Там, где требуется физическое разделение, необходимо рассмотреть меры по предупреждению распространения отказов:

- возникающих одновременно в однотипных компонентах системы вследствие ПИС;

- между системами одной и той же категории безопасности;

- между резервными группами безопасности одной и той же СКУ, важной для безопасности; и

- от систем низшей категории к системам высшей категории и в отдельных случаях от систем высшей категории к системам низшей категории.

Необходимо принимать во внимание (т.е. должны быть определены, зафиксированы документально и обоснованы) приведенные в последующих подпунктах типы исходных событий, вызывающих отказы. В СКУ, важных для безопасности, должны быть приняты соответствующие меры, ограничивающие эффекты от этих событий до приемлемого уровня. Следует учитывать эффекты, возникающие при комбинации явлений отказа.

4.2 Проектные ошибки

Нельзя игнорировать возможные ошибки в технических требованиях к СКУ, важным для безопасности. Подобные проектные ошибки могут привести к распространению неисправностей между системами, например к недостаточной изоляции кабелей, неподходящим размерам проводников и т.п. Средства по предотвращению такого типа неисправностей обычно включают в себя консервативное проектирование физического разделения и электрической изоляции.

4.3 Случаи отказа системы контроля и управления

Должны быть учтены вызывающие отказ исходные события, причина которых заключается внутри каждой СКУ, важной для безопасности. Такие события обычно характеризуются локальными механическими и электрическими явлениями, функциональные последствия которых могут быть различны. Единичные отказы в центральном обрабатывающем устройстве СКУ и в интерфейсах мультиплексных линий связи потенциально могут вызвать и многократные отказы. Можно выделить следующие случаи отказа СКУ.

4.3.1 Случайный единичный отказ

Должен быть учтен случайный единичный отказ компонента СКУ, включая электропитание или другое запасное энергоснабжение, который может привести к неисправной работе компонента, короткому замыканию, разрывам цепи, изменению напряжения или частоты замыканием на землю, механическому повреждению компонента или локальному возгоранию. Причиной этого могут быть перегрузка, потеря охлаждения или недостаточное охлаждение, механические повреждения, ошибки во время технического обслуживания или ремонта, химические повреждения, случайный отказ, обусловленный некачественными материалами, а также другие явления.

4.3.2 Множественные отказы, вызванные одной общей причиной

Должны быть учтены последствия, которые возникают в результате отказов в двух или большем количестве компонентов и которые влияют на резервные группы безопасности. Эти отказы могут быть вызваны одной общей причиной, такой как ошибка технического обслуживания, механические повреждения или электрические помехи. Необходимо также учесть влияние окружающей среды, повреждения, вызванные радиацией, и другие возможные общие физические факторы.

4.4 События на атомной станции, приводящие к отказам

Вызывающие отказ исходные события, причиной которых являются условия на станции, могут привести к отказам компонентов СКУ. Эти события характеризуются их способностью приводить к выбросам большой энергии и набором явлений, которые затрагивают отдельные помещения и части здания. Такие события можно разделить на следующие подгруппы.

4.4.1 Внешние условия

Необходимо учесть изменение внешних условий, таких как поля радиации, температуры, давления и влажности, в период нормальной эксплуатации и в аварийных условиях. Пожар или задымление, воздействующие на оборудование в помещении или на кабельную проводку, также являются важным условием окружающей среды. Необходимо также принять во внимание ложное срабатывание систем ликвидации пожара.

4.4.2 Электромагнитные помехи

Основа функционирования СКУ - это формирование и передача электромагнитных сигналов. Эти сигналы могут быть подвержены случайным изменениям или искажениям, которые возникают в результате воздействия внешних источников. Техническое развитие СКУ, в особенности уменьшение напряжения сигнала, может сделать системы еще более подверженными сбоям и искажениям. Поэтому необходимо учитывать электромагнитные помехи как возможный источник отказа по общей причине в резервной группе безопасности СКУ. Разделение является одним из подходов к сохранению независимости сигналов СКУ и их защиты от возможного ООП, вызванного электромагнитными помехами.

В серии стандартов МЭК 61000 дано руководство по проектированию и испытаниям на электромагнитные помехи.

4.4.3 Отказы систем, оборудования или устройств станции

Должны быть учтены ПИС в системах, оборудовании или устройствах станции, такие как пожар, ракетный удар, провисание труб, механические и термические эффекты, взрывы или утечки воды, пара, жидкого металла, газа, масла и другие события, способные вызвать повреждение оборудования.

4.4.4 Ошибки оператора

Должны быть учтены ПИС, которые могут быть вызваны неправильными действиями оператора в режиме нормальной эксплуатации и в особенности в аварийных условиях.

4.5 Внешние события, приводящие к отказам

К отказам компонентов СКУ могут приводить события, причины которых являются внешними по отношению к станции. Эти события характеризуются очень большим выбросом энергии и воздействием на части зданий или целые здания. Такие события можно разделить на следующие подгруппы.

4.5.1 Природные явления

Должны быть учтены природные явления, такие как землетрясения, наводнения, торнадо, грозовой разряд, большая приливная волна или цунами, если эти явления присущи месту расположения станции.

4.5.2 Внешние причины, вызванные деятельностью человека

Должны быть учтены события, происходящие в пределах или за пределами АС, причиной которых является деятельность человека, как, например, взрыв, пожар, крушение самолета, диверсия и саботаж.

4.6 Особые условия эксплуатации

ПИС, причина которых может заключаться в особых условиях, таких как ввод в эксплуатацию, модификация, техническое обслуживание, ремонт, процедуры проектирования и административного управления, должны быть учтены при проектировании и конструировании с целью снижения их влияния до приемлемых уровней.

4.7 Вопросы разделения на действующих атомных станциях

Физическое разделение СКУ, выполняющих функции, важные для безопасности действующих АС, очень часто бывает неполным вследствие того, что функции, первоначально не отнесенные к категориям безопасности, могут быть впоследствии классифицированы как функции, важные для безопасности, а также вследствие изменения стандартов по проектированию. При проведении усовершенствований на действующих станциях все аспекты потенциальных последствий несоблюдения из практических соображений требований настоящего стандарта должны быть обоснованы с точки зрения дополнительной безопасности, получаемой благодаря усовершенствованиям в целом. Для обоснования могут быть приемлемы следующие аргументы:

- гражданские строения или доступное физическое пространство на станции могут не позволить выполнить требуемое разделение. Следует пересмотреть физические ограничения при размещении усовершенствованных СКУ;

- необходимо определить основные недостатки существующих СКУ с учетом уже существующего разделения и повышения безопасности, которые могут быть получены в результате усовершенствований;

- существующее разделение или достижимое его улучшение необходимо оценить на основе системного подхода с учетом анализа конкретных преимуществ или альтернатив к требованиям настоящего стандарта;

- можно установить альтернативный набор правил по разделению, отмечая и обосновывая существующие условия, подтвержденные протоколами эксплуатации станции;

- необходимо представить и оценить альтернативные технологии в случае особых ситуаций на станции, например с использованием барьеров, оптических кабелей, распределения СКУ.

Необходимо подробно остановиться на вопросах разделения при реализации стратегии усовершенствования станции. Необходимо рассмотреть следующие вопросы:

- разделение в промежуточных конфигурациях, когда новые СКУ устанавливаются в соответствии с поэтапной программой;

- определение подсистем, для которых имеется возможность разделения без использования промежуточных интерфейсов;

- пригодность существующего разделения для новых технологий контроля и управления (главным образом чувствительность цифровых СКУ к электромагнитным помехам, особые требования к температуре и восприимчивость к радиоактивному излучению);

- ограничения для кабельных трасс и оценку потребностей, связанных с новыми технологиями применения специальных кабельных трасс для оптоволоконных кабелей, для кабельных магистралей и требованиями по разделению.

Руководство для принятия решения по модернизации СКУ - по МЭК 62096.

5 Основы проекта

С учетом возможных причин отказов, описанных в разделе 4, при проектировании СКУ, важных для безопасности, необходимо следовать следующим основным правилам.

5.1 Защита от пожара

Чтобы обеспечить выполнение требований по физическому разделению, вытекающих из раздела 6, еще на этапе проектирования станции должна быть проанализирована опасность возникновения пожара с точки зрения ядерной безопасности.

В непосещаемых зонах, там, где проложены кабели или установлены системы, должны быть предусмотрены детекторы огня и дыма соответствующей чувствительности, а также аварийная сигнализация.

Иногда резервное оборудование СКУ должно размещаться в пределах зоны действия защитной противопожарной системы. В этом случае СКУ, оборудование этих систем и противопожарная система должны быть спроектированы таким образом, чтобы работа противопожарной системы не могла повлиять на независимость резервных групп безопасности.

Функционирование резервированных групп безопасности не должно подвергаться риску воздействия огня или дыма, возникающего вне СКУ, важных для безопасности. Это должно достигаться посредством пространственного разделения, с помощью барьеров или сочетанием того и другого при выполнении следующих требований:

a) в пространстве между резервными системами или кабелями не должны находиться устройства, оборудование или материалы, которые могут способствовать распространению огня;

b) барьеры, используемые между резервными системами или кабелями, должны иметь класс пожаростойкости, соответствующий требованиям к защите от угрозы пожара.

5.2 Внешние условия во время и после аварий

Оборудование СКУ должно быть спроектировано, определено и установлено таким образом, чтобы обеспечить его функциональные возможности во время и после ожидаемых внешних условий, возникающих в результате событий, описанных в 4.4 и 4.5.

5.3 Изолирующие устройства

5.3.1 Общие положения

Там, где сигналы поступают от оборудования систем категории А и передаются системам более низкой категории, передача таких сигналов должна осуществляться через изолирующие устройства, включенные в систему категории А. Изолирующее устройство должно быть таким, чтобы его отказы или состояние его выходных клемм (которые подсоединены к системе более низкой категории) не могли помешать осуществлению мер безопасности системы или подсистемы категории А, к которой подсоединено это изолирующее устройство. Например, за аварийными сигналами контура категории А может следить реле в данном контуре той же категории, контакты которого обеспечивают аварийный сигнал для более низкой категории. Предусмотренная электрическая изоляция должна отвечать требованиям 5.3.2.

Допускаются временные соединения без изолирующих устройств с системами, выполняющими функции категории А, для проведения технического обслуживания этих систем при условии, что в любой промежуток времени соединяется только одно резервное устройство, что оно отсоединяется после использования и что система способна выдержать неисправность, возникшую в результате отказа или использования соединения.

5.3.2 Характеристики изоляции

Должна быть предусмотрена защита от следующих отказов и состояний:

a) короткого замыкания между клеммами или замыкания на землю;

b) разрыва цепи;

c) приложения максимумов потенциалов переменного или постоянного токов от источников питания, имеющихся как в системах категории А, так и в системах, не принадлежащих этой категории;

d) электромагнитных и электростатических помех.

Изолирующее устройство должно обладать следующими качествами:

- устойчивостью при выбросах и всплесках напряжения и изоляцией от них, как определено в МЭК 61000-6-5;

- устойчивостью к электромагнитным помехам и изоляцией от них, как определено в МЭК 61000-6-5;

- наличием простых перегородок между близкими или соседними клеммами или группами контактов на релейном оборудовании, используемом для электрической изоляции;

- предотвращением передачи чрезмерно высокого или разрушающего напряжения.

В данном контексте рекомендуется оценить максимальное напряжение, которое можно ожидать в нормальных условиях и в случае неисправности, а также его потенциальное воздействие на важное для безопасности оборудование в случае возникновения такого напряжения на клеммах изолирующего устройства в электрической цепи оборудования, менее важного для безопасности.

Рекомендуется также принять меры предосторожности для сведения к минимуму вероятности того, что отказ в системе, не включенной в категорию А, вызовет ложное или преждевременное срабатывание функций категории А.

5.3.3 Приоритетность срабатывания

Там, где оборудование станции, управляемое системой категории А, управляется также сигналами систем более низкой категории, должно быть предусмотрено изолирующее устройство, обеспечивающее приоритетность срабатывания системы категории А над системами более низкой категории. Как при отказах, так и при нормальной работе системы более низкой категории не должны мешать выполнению функций категории А при возникновении на станции условий, требующих выполнение этих функций. Обеспечивающие приоритет изолирующие устройства должны рассматриваться как часть системы категории А.

Отказы или неправильное срабатывание в системах, не включенных в категорию А, не должны быть причиной изменений в отклике, дрейфе, точности, чувствительности к шуму или другим характеристикам системы категории А, которые могли бы ухудшить способность системы выполнять функции безопасности.

Там, где сигналы поступают от систем категории В или С для их использования в системах более низкой категории, изолирующие устройства могут не потребоваться; тем не менее для предотвращения распространения отказов рекомендуется руководствоваться надлежащей инженерной практикой. В тех случаях, когда системам, выполняющим функции систем категории В, присущи согласно выполняемым функциям некоторые аспекты систем категории А, необходимо применить изолирование.

Коммуникации на основе волоконной оптики являются очень эффективным средством достижения электрической изоляции, поэтому их рекомендуется использовать там, где это практически целесообразно.

5.4 Независимость от систем управления

При использовании сигналов системы категории А в системах управления (независимо от категории) необходимо принимать дополнительные меры предосторожности помимо тех, что принимаются при использовании сигналов системы категории А только для мониторинга или защиты. Отказ датчика может быть причиной того, что измеряемое системой управления значение параметра выйдет за допустимые пределы, следствием чего будет небезопасное управляющее действие системы и несрабатывание системы защиты в опасной ситуации.

Системы защиты и управления должны быть спроектированы таким образом, чтобы постулированный единичный отказ, включая обусловленные отказы, и сигналы, которые передаются между этими двумя системами, не мог быть причиной аварии или переходного процесса, для которых требуются действия по безопасности, и в то же время не мог быть причиной недопустимого снижения работоспособности системы категории А.

В том случае, когда единичный случайный отказ и любые вытекающие из него отказы системы категории А способны вызвать срабатывание управляющей системы, приводящее к таким условиям, которые требуют выполнения действий по безопасности, система категории А должна быть в состоянии выполнить эти действия, даже если ее работоспособность снижена в результате второго случайного отказа. Должны быть предусмотрены такие меры, чтобы данное требование могло быть выполнено даже в том случае, когда комплектующая деталь или сборочная единица шунтируется или устраняется из эксплуатации по какой-либо причине, включая испытания или техническое обслуживание.

Допустимые меры будут зависеть от типа реактора и от возможных отказов. Они включают в себя:

- снижение необходимого совпадения голосований, когда обнаруживаются отказ датчика или неисправности в оборудовании,

- исключение управляющих сигналов, полученных от резервных компонентов или сборок, если выясняется, что эти сигналы не отражают истинное состояние процесса,

- инициирование действий по безопасности, выполняемых предохранительной логической сборкой, переводя таким образом станцию в состояние, на которое больше не влияют неблагоприятно действия управляющей системы,

- обеспечение защиты посредством использования различных физических параметров.

Система защиты с голосованием "один из двух", обеспечивающая управляющие сигналы, потребует обоснования с помощью сбалансированных аргументов (см. 4.7), даже если заявлено о применении эффективных байпасов и высокой надежности датчиков и оборудования, подтвержденной испытаниями. Система с голосованием "два из трех" может удовлетворять требованиям в случае использования надежного оборудования и автоматической регистрации отказавших датчиков, если соответствующее байпасное оборудование используется во время технического обслуживания.

Там, где можно показать, что исходное событие является маловероятной причиной для одновременного выхода из строя резервных узлов контроля безопасности, допускается наличие узлов контроля безопасности, производящих сравнение сигналов. Эти контролирующие безопасность узлы должны обеспечивать индикацию, выдачу аварийного сигнала или сигнала для срабатывания аппаратуры безопасности или сделать логику более ограничительной в случае слишком сильного отклонения одного сигнала от других резервных сигналов, вызванных одним и тем же состоянием станции или ее параметра. Контролирующие безопасность узлы, которые выполняют это сравнение, должны быть изолированы надлежащим образом для предотвращения взаимодействия между резервными каналами. Примером такого исполнения является передача показаний со всех датчиков на каждый канал резервной системы безопасности. Затем каждый канал сравнивает полученные значения, чтобы найти среди них отклоняющиеся или недопустимые значения. После этого каждый канал может провести голосование по показаниям всех датчиков или выявить с помощью голосования самый ненадежный датчик в каждом канале. Следует обеспечить сигнализацию об обнаруженных неисправных датчиках, а показания можно вывести на дисплей.

6 Требования к разделению кабелей

6.1 Общие требования

Резервные участки систем категории А должны быть разработаны и установлены таким образом, чтобы отдельные события, перечисленные в разделе 4, не могли привести к отказу функции категории А.

Резервные участки систем категории В должны быть разработаны и установлены таким образом, чтобы отдельные события, изложенные в 4.2 и 4.3, не могли привести к отказу функции категории В. Действия в связи с вызывающими отказ исходными событиями, отнесенными в 4.4 и 4.5 к системам категории В, должны определяться отдельно в каждом конкретном случае, как это рассматривается в общих положениях (см. раздел 4).

Необходимо принять во внимание положения следующих подпунктов.

6.2 Разделение

Разделение должно быть выполнено с помощью устройств безопасности, барьеров или физических интервалов или посредством некоторого их сочетания.

6.2.1 Разделение резервных кабелей внутри систем контроля и управления, важных для безопасности

Для резервных кабелей внутри СКУ, важной для безопасности, применяется следующее:

- каждая из резервных групп должна быть обеспечена физически разделенными кабельными трассами, желобами, кабельными каналами, кабельными туннелями и проходками;

- по любой из установленных кабельных трасс, любому кабельному каналу, туннелю или вертикальному кабельному туннелю должны проходить кабели только одной резервной группы;

- для исходных событий, вызывающих отказы в системах контроля и управления и обусловленных неисправностями в кабельной системе, такими как искрение или перегрев, вызванные короткими замыканиями, перегрузками, изменением напряжения и т.п. (см. 4.3), может быть достаточно низкая степень физического разделения. В качестве минимальных должны быть приняты горизонтальный интервал 30 см и вертикальный интервал 80 см. В тех местах, где нельзя поддерживать минимальный разделительный интервал, резервные кабели должны быть проложены в защищенных кабельных каналах, которые аттестуются как барьеры, либо должны быть обоснованы меньшие размеры разделительных интервалов;

- для событий, приводящих к отказам на станции, и внешних событий (см. 4.4 и 4.5), таких как пожар или обрушение конструкций, должны быть предусмотрены большие физические разделительные интервалы, включая барьеры и/или устройства безопасности.

6.2.2 Малые разделительные интервалы

Разделительные интервалы, меньшие чем те, которые указаны в 6.2.1, могут быть определены с помощью анализа, предложенного для размещения кабеля. Рекомендуется, чтобы анализ основывался на испытаниях, проведенных для определения характеристик, замедляющих воспламенение предложенной прокладки кабелей, учитывая особенности, такие как изоляционные и оболочечные материалы, заполнение кабельных каналов, типы кабельных каналов и компоновка. Для малых разделительных интервалов в опасных зонах рекомендуется рассмотреть степень опасности (такую как размер пожара или трещины в трубе) или мероприятия по подавлению (такие как системы пожаротушения).

6.2.3 Связанные контуры

При проведении классификации функций согласно требованиям МЭК 61226 часто будет возникать ситуация, когда данная система или набор оборудования будут выполнять функции различных категорий. Также может случиться, что определенные функции более низкой категории имеют очень тесную связь с функциями категории А, например, когда мониторинг процесса основан на таких же измерениях, что и для функций безопасности. Требования, установленные ранее в данном документе, в целом рекомендуют, чтобы контуры с функциями более низкой категории были отделены от контуров с функциями категории А. Однако в качестве альтернативы контуры с функциями более низкой категории можно описывать как "связанные контуры", и тогда требования по разделению определяются из этого условия. Хотя в принципе есть возможность связать контуры, выполняющие функции категории С или функции более низкой категории, с категорией В, на практике это обеспечивает лишь небольшое преимущество, т.к. требования к разделению между функциями этих категорий минимальны. В данном подпункте описывается ситуация для контуров, связанных с контурами категории А.

Кабели, предназначенные для выполнения функций, которые не являются функциями категории А, становятся связанными контурами в результате применения одного или более из следующих решений:

a) электрическое соединение с источником электропитания категории А без использования изолирующего устройства;

b) электрическое соединение с источником электропитания систем категории А без использования изолирующего устройства;

c) близость к контурам категории А и оборудованию без необходимого разделения (физический интервал или барьеры);

d) близость к связанным контурам и оборудованию без необходимого разделения (физический интервал или барьеры);

e) совместное использование сигнала категории А или связанного сигнала без использования изолирующего устройства.

Связанные контуры должны отвечать одному из следующих требований:

1) они должны быть однозначно определены как таковые либо как относящиеся к категории А и оставаться вместе с теми контурами категории А (с возможностью их отслеживания до границы этих контуров), с которыми они связаны, или быть физически разделены в той же степени, что и эти контуры. К ним должны быть применены требования, налагаемые на контуры категории А, если только анализ или испытания не смогут показать, что отсутствие подобных требований не способно ухудшить работоспособность контуров категории А ниже допустимого уровня;

2) они должны соответствовать перечислению 1, начиная от систем категории А и до изолирующего устройства включительно. После изолирующего устройства такой контур не является контуром категории А при условии, что он опять не будет связанным с системой категории А;

3) они должны быть подвержены анализу или испытаниям, чтобы показать, что работоспособность контуров категории А не окажется ниже допустимого уровня.

Связанные контуры и изолирующие устройства должны пройти соответствующую аттестацию. Эта аттестация должна показать, что контуры более высокой категории будут работать правильно, когда связанный контур или изолирующее устройство с кабелями подвергаются такому электрическому воздействию, при котором должен правильно работать контур более высокой категории. Когда связанный контур соединяется без изолирования с устройством, не принадлежащим категории А, это устройство также должно пройти такую аттестацию. Для связанных контуров не требуется проводить аттестацию на выполнение функции, т.к. их функция не является функцией категории А.

Масштабное применение концепции связанного контура может привести к широкому сочетанию контуров различных категорий при условии соблюдения общих принципов безопасности физического разделения. Например, нет необходимости разделять друг от друга кабели различных категорий в пределах одной группы безопасности, если функции безопасности более высокой категории могут выполняться резервной группой безопасности, которая отделена от группы безопасности, содержащей связанные контуры.

6.2.4 Разделение системных кабелей различных категорий безопасности

Независимость контуров, не важных для безопасности, от контуров важных для безопасности или связанных контуров должна достигаться за счет выполнения следующих требований:

a) контуры, не относящиеся к категории А, должны быть физически отделены от контуров категории А и связанных контуров за счет выполнения минимальных требований к разделению, изложенных в 6.2.1, исключая ситуацию, изложенную в перечислении d), либо контуры, не принадлежащие к категории А, должны рассматриваться как связанные контуры;

b) контуры, не относящиеся к категории А, должны быть электрически изолированы от контуров категории А и связанных контуров посредством использования изолирующих устройств, экранирования и методов разводки кабелей или разделительных интервалов, за исключением разрешенного в перечислении d), либо контуры, не относящиеся к категории А, должны рассматриваться как связанные контуры;

c) эффекты, возникающие в случае, если разделительный интервал меньше минимального, или в случае отсутствия электрической изоляции между контурами, не относящимся к категории А, и контурами категории А или связанными контурами, должны быть проанализированы, для того чтобы показать, что работоспособность контуров категории А не оказалась ниже допустимого уровня или что контуры, не относящиеся к категории А, должны рассматриваться как связанные контуры;

d) для сигнальных и управляющих контуров, не относящихся к категории А, не требуется физического разделения или электрической изоляции связанности контуров при условии, что, во-первых, контуры, не относящиеся к категории А, не находятся на линии прохождения связанных кабелей резервной секции и, во-вторых, проведен анализ контуров, не относящихся к категории А, подтверждающий, что работоспособность контуров категории А не оказалась ниже допустимого уровня. При анализе должны быть учтены потенциальная энергия и идентификация рассматриваемых контуров.

6.2.5 Разделение сигнальных и силовых кабелей

Аналоговые и другие низкоуровневые электрические сигналы не должны проходить в одних и тех же кабельных коробках, магистралях или трубопроводах с силовыми кабелями. В зависимости от технологии кабели управления коммутационной аппаратурой могут быть низкого или высокого уровня, соответственно они должны подчиняться этому требованию. Волоконно-оптические кабели могут быть проложены вместе с силовыми кабелями, если обеспечена их механическая защита.

6.2.6 Разделение кабелей и труб или трубопроводов

Кабели не следует размещать рядом или внутри желобов, магистралей или трубопроводов, переносящих вещества под давлением и/или с определенной температурой, таких как масло, пар, вода, жидкие металлы или другие вещества, которые могут разрушить кабели в случае их утечки или взрыва, за исключением случаев, когда близость кабеля датчика или исполнительного устройства к системе трубопроводов является неизбежной из-за необходимости подключения датчика или исполнительного устройства к технологическому оборудованию.

6.2.7 Общие соображения по кабельным трассам

По мере возможности, все кабели систем, важных для безопасности, должны быть проложены по безопасным маршрутам и способом, сохраняющим их целостность.

6.2.8 Шкафы, столы, пульты блочного пункта управления и относящиеся к ним кабели

Хотя вероятность пожара в блочном пункте управления и его близлежащем пространстве мала, его последствия могут быть очень тяжелыми. Существуют большие проблемы в сохранении физического разделения или барьеров в зонах блочного пункта управления, шкафов, пультов и столов, где собрано вместе большое количество кабелей. Поэтому станции проектируют таким образом, чтобы пожар в зоне блочного пункта управления был маловероятен и чтобы любое возгорание, которое может начаться, было ограничено и распространялось так медленно, что оно не вызовет потерю управления безопасностью до того момента, когда будет установлено другое управление. Для этого можно применять комплексные методы, и они находятся в сильной взаимозависимости с проектированием кабельного хозяйства станции и с планировкой пультов управления, которые определяются человеческим фактором.

В планировке пультов управления рекомендуется использовать человеческие факторы (МЭК 60964) для того, чтобы сгруппировать надлежащим образом информацию и резервные органы управления безопасностью станции с целью минимизации вероятности человеческих ошибок. Ожидаемая частота человеческих ошибок может быть высокой, тогда как ожидаемая частота пожаров в блочном пункте управления будет низкой. Поэтому данное требование, возможно, будет находиться в противоречии с требованиями по пространственному разделению, барьерам или изолирующим устройствам, указанными по всему тексту настоящего стандарта, т.к. требование учета человеческого фактора по размещению на передней панели может иметь высший приоритет по сравнению с удобством или простотой схемного решения кабелей и соединений.

Методы контроля потенциальной возможности возникновения пожара, его обнаружения и ликвидации должны быть определены и применены в отношении блочного пункта управления и его шкафов, столов, пультов и кабелей, проложенных к этим объектам и внутри них. Методы контроля, которые могут использоваться для сохранения физического разделения или препятствования распространению пожара:

- предпочтительно полное разделение органов управления и контроля каналов систем безопасности станции;

- наличие внутренней металлической кабельной магистрали для соединений с фронтальной поверхностью панельных приборов, управляющих резервной установкой безопасности;

- наличие тепловых детекторов или автоматического пожаротушения в шкафах блочного пункта управления;

- устойчивость к огню конструкции шкафа и наличие любых огневых барьеров между секциями шкафов.

Факторы, которые помогут предупредить возникновение пожара:

- в блочном пункте управления всегда находится персонал и, следовательно, пожар будет быстро обнаружен и потушен;

- блочный пункт управления - контролируемая зона доступа, в которой не допускается скопление возгораемого материала и диверсионные действия/саботаж маловероятны;

- обнаружение пожара в пределах любого отсека в шкафах, панелях и пультах управления блочного пункта управления произойдет быстро, а возможная скорость распространения огня из одного отсека в другой достаточно медленная, поэтому пожар будет ликвидирован до потери контроля;

- наличие резервных органов управления установки по безопасности, где одна панельная секция обеспечивает отдельный контроль объектов установки по безопасности, а другая отделенная секция обеспечивает альтернативный и возможный групповой контроль над установкой по безопасности;

- частота возгорания в пределах панельной секции очень низкая и является проектной величиной установки посредством управления использованием легковоспламеняющихся материалов и источников тепла в пределах панельных секций;

- наличие резервного пункта управления, откуда можно осуществить необходимые действия по контролю безопасности. Необходимо предусмотреть подходящие средства для локализации последствий пожаров в каждом блочном пункте управления.

Средства, которые обеспечивают, что пожар не будет причиной короткого замыкания, разрыва контура или недопустимого перегрева, т.е. всего того, что ухудшает управление, следует включить в проекты СКУ. Сюда входят физическое разделение электропитания и управления или маркировка проводов в различных кабелях, применение волоконно-оптических кабелей и оптических изоляторов, использование мультиплексных систем управления и программно-управляемых визуальных устройств представления информации.

6.3 Тепловая и физическая защита

Необходимо уделить должное внимание допустимой тепловой нагрузке и коэффициенту снижения номинальной мощности для кабельных трасс в кабельных коробках, чтобы гарантировать, что средства обеспечения физического разделения остаются эффективными.

Чтобы минимизировать вероятность повреждения кабельной оболочки и изоляции за счет массы кабелей, расположенных наверху и давящих на те, которые находятся под ними в кабельных коробках, максимальная глубина кабелей в кабельных коробках должна быть ограничена таким образом, чтобы нижние кабели были способны без повреждений выдержать массу верхних.

6.4 Защита от пожара

Необходимо использовать кабели, которые обладают замедляющими воспламенение свойствами. Серия МЭК 60332 предусматривает руководства по испытанию электрических кабелей, которые определяют их замедляющие воспламенение свойства.

Для случая, когда кабели важных для безопасности систем или оборудования расположены в тесном соседстве с силовыми кабелями, в качестве дополнительной меры предосторожности должны быть предусмотрены барьеры из огнестойких материалов, которые отделяют кабели систем категории А от всех других кабелей.

В кабельных коробках и кабельных туннелях гермопроходки противопожарного заслона (вертикальные и горизонтальные) должны быть уплотнены с использованием негорючих материалов с целью создания защиты, которая эквивалентна, по крайней мере, той, что требует противопожарный заслон.

В кабельных коробках и кабельных туннелях следует использовать негорючие материалы.

Если кабели категории А сохраняют целостность контура будучи подвержены воздействию огня и если изоляция кабеля выдерживает напряжение более чем постулированное перенапряжение, вызывающее неисправность контуров более низкой категории, находящихся вблизи кабеля, то такие кабели создают достаточные барьеры против электрически индуцированных пожаров. В подобных случаях физический интервал, отделяющий кабели категории А от кабелей более низкой категории, может быть меньше, чем размеры минимальных интервалов, определенных в 6.2.1.

6.5 Маркировка

Для ускорения ввода в эксплуатацию, облегчения модификации и снижения вероятности ошибок кабельные трассы, содержащие важные для безопасности системные кабели, должны быть маркированы с отражением их резервной группы безопасности и их классификации по безопасности. Такая маркировка должна быть:

a) на кабелях;

b) на кабельных коробках; каналах или трубопроводах;

c) во всех конечных точках.

Приложение ДА
(справочное)

Сведения о соответствии ссылочных международных стандартов ссылочным национальным стандартам Российской Федерации

Таблица ДА.1

Электронный текст документа

и сверен по:

, 2011