Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
CSA N290.13-18 核电站安全系统预开发软件资格鉴定标准详解
全面解析核电站安全软件预开发评估的技术要求与实施要点
一、标准概况与适用范围
核电站安全系统的数字化与智能化依赖大量预开发软件（Pre-developed Software，PDS），包括商用现货（COTS）、开源及先前开发的软件。在核电领域，这些软件的安全可靠性直接关系核安全。为规范PDS在安全系统中的使用，加拿大标准协会于2018年发布了CSA N290.13-18《核电站安全系统预开发软件资格鉴定》标准。截至2026年，该标准仍是加拿大核管制委员会推荐认可的参考依据，并在全球核电行业中被广泛借鉴。
本标准适用于核电站安全重要系统（包括1E级和非1E级）中计划使用的所有预开发软件。所谓“预开发软件”是指在当前项目之前就已开发完成、未按本安全项目要求从零设计的软件产品。标准规定了对其进行资格鉴定的框架、流程和技术要求，确保软件具备可接受的安全性与可靠性。
标准合规益处：遵循CSA N290.13-18进行PDS资格鉴定，可降低因软件缺陷导致的误动或拒动风险，提升安全系统认证的通过率，同时为监管机构审查提供清晰的证据链，缩短许可审批周期。
二、主要技术内容与要求
2.1 软件分类等级
标准将预开发软件按在安全系统中的重要程度分为三个类别（Class 1～3），不同类别对应不同的鉴定深度和要求。
| 软件类别 | 典型用途 | 资格要求等级 | 所需证据类型 |
|---|---|---|---|
| Class 1 | 直接执行安全功能的软件（如反应堆保护系统核心逻辑） | 最高—要求完全验证与独立确认 | 源代码审查、形式化方法结果、完整测试报告、异常记录及处置 |
| Class 2 | 支持安全功能但非主执行的软件（如安全显示、诊断） | 中等—验证风险项并确认使用历史 | 静态分析、关键测试用例、厂商质量文档、使用统计 |
| Class 3 | 对安全功能无直接影响的软件（如日志记录、培训仿真） | 基础—评估是否满足预期功能 | 功能规范、简单测试报告、用户声明 |
2.2 资格鉴定流程
标准规定了五个核心步骤：
- 软件描述与定义：明确版本、功能、运行环境及其在安全系统中的角色。
- 异常分析与影响评估：识别已知异常、漏洞及未实现功能，分析对安全系统的影响。
- 证据收集与评估：收集厂商文档、第三方认证（如IEC 61508证书）、使用历史数据等，评估其充分性。
- 验证与确认：通过静态分析、动态测试、失效注入等手段验证软件行为与安全要求一致。
- 文档化与结论：编制软件鉴定报告（SDP），记录所有分析结果、遗留异常和验收依据。
常见误区：仅依赖厂商提供的“通用合格证书”而忽略具体应用环境的异常分析。该类做法在CSA N290.13-18下通常被判定为证据不充分，必须结合项目特定的异常分析才可接受。
2.3 异常管理与回归
对于鉴定过程中发现的任何异常，标准要求进行记录、分类（critical/major/minor）并评估其对安全功能的影响。凡影响安全功能的异常必须纠正或提供充分理由证明其可容忍，否则不得用于安全系统。软件版本升级后需触发回归鉴定，最少需覆盖升级部分的验证及所有受影响的安全接口。
强制性要求：Class 1软件中明确要求使用独立验证团队（IV&V）进行确认。该团队不得参与软件开发和直接鉴定的团队，以确保客观性。此条款为CSA N290.13-18的强制性要求，不满足则鉴定视为无效。
三、实施要点与建议
3.1 组织与角色
- 申请人：核电站运营商或系统集成商，负责发起鉴定并提交完整证据包。
- 鉴定机构：具备软件工程与核安全知识的组织，执行评估与验证。
- 独立验证方：仅Class 1要求，需与申请人、鉴定机构无利益冲突。
3.2 最佳实践
- 尽早介入：在系统设计阶段即启动PDS筛选，保留变更历史，避免后期大量返工。
- 建立软件档案（SDP）：将所有PDS相关文档集中管理，包含版本、配置、测试结果、异常记录、使用条件等。
- 使用历史数据的运用：若PDS已有超过两年的可靠商运记录（无严重安全相关失效），可适当降低测试强度，但仍需覆盖新集成接口。
实用技巧：对于开源预开发软件，标准并未完全排斥，但要求提供等同于商业软件的鉴定证据。建议优先选用具有IEC 60880或IEC 61508认证的商用产品，以减少证据收集难度。
四、与其他标准的关系
CSA N290.13-18与以下核心标准紧密关联：
- CSA N290.12-18《核电站安全软件要求》：N290.13是对N290.12中PDS鉴定要求的细化指南，二者互为补充，通常一并使用。
- IEC 60880:2006（及其修订）《核电厂安全重要系统软件》：CSA N290.13吸收了IEC 60880的核心原则，但在异常分析和证据分类上更为详细，更适合加拿大核监管框架。
- IEEE 7-4.3.2-2016《数字计算机在核电站安全系统中的应用》：两者的评估流程相似，但CSA标准更注重预开发场景的“预先存在性”特征和合规证据体系构建。
- IAEA SSG-39 《核电厂仪表与控制系统的设计和评估》：国际原子能机构导则提供了高层原则，CSA N290.13-18可作为具体实施参考。
常见问题（FAQ）
问：CSA N290.13-18与CSA N290.12的主要区别是什么？
答：N290.12规定了核电站安全软件的全生命周期要求（包括开发、验证、确认、变更等），适用于所有新建软件；而N290.13专门针对“预开发软件”（即非本安全项目开发的软件），提供资格鉴定的专门方法。在实际应用中，PDS首先需通过N290.13鉴定，然后作为N290.12安全软件管理体系的组成部分。
答：N290.12规定了核电站安全软件的全生命周期要求（包括开发、验证、确认、变更等），适用于所有新建软件；而N290.13专门针对“预开发软件”（即非本安全项目开发的软件），提供资格鉴定的专门方法。在实际应用中，PDS首先需通过N290.13鉴定，然后作为N290.12安全软件管理体系的组成部分。
问：标准是否允许使用开源软件（如Linux）在安全系统中？
答：标准本身不禁止，但要求开源软件与COTS软件接受同等鉴定深度。需提供完整的代码审核、异常追踪及动态测试证据。实践中，由于开源社区变更不可控、长期维护责任不明确，在Class 1和Class 2中需审慎评估，通常仅建议在Class 3中使用。
答：标准本身不禁止，但要求开源软件与COTS软件接受同等鉴定深度。需提供完整的代码审核、异常追踪及动态测试证据。实践中，由于开源社区变更不可控、长期维护责任不明确，在Class 1和Class 2中需审慎评估，通常仅建议在Class 3中使用。
问：CSA N290.13-18是否适用于旧系统（已运行多年）的软件变更评估？
答：适用。对于已运行的安全系统，若需更换或升级其中预开发软件，同样须按本标准进行鉴定。但标准允许利用已有的运行经验数据（如异常记录、故障统计）作为证据，以减少不必要的重新验证，前提是这些数据在原始环境中具有可追溯性和安全性。
答：适用。对于已运行的安全系统，若需更换或升级其中预开发软件，同样须按本标准进行鉴定。但标准允许利用已有的运行经验数据（如异常记录、故障统计）作为证据，以减少不必要的重新验证，前提是这些数据在原始环境中具有可追溯性和安全性。
© 2026 技术文档编写（本文基于CSA N290.13-18标准内容，仅供参考）
