Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
IEC 61226 核电站安全重要I&C功能分类
💡 核心概要：IEC 61226 确立了核电站中安全重要的仪表与控制（I&C）功能的分类体系，将功能按安全重要性分为 A、B、C 三类，并规定了每一类功能对应的设计、鉴定和独立性要求。该标准是核电站 I&C 系统分级设计和管理的基础性文件。
1. 分类体系与定义
IEC 61226 将 I&C 功能按照其对安全的重要性划分为三个类别，每一类对应于一组特定的设计准则和评价要求：
- A 类功能：执行安全功能所必需的，且其失效可能导致设计基准事故后果显著恶化的功能。这类功能需要最高的可靠性等级，通常采用经过全面型式试验和独立验证的硬接线逻辑（如反应堆保护系统 RPS）。
- B 类功能：执行安全功能所必需的，但其失效不会导致安全分析中不可接受的后果恶化；或用于支持 A 类功能但不直接执行安全动作的功能。
- C 类功能：对安全有贡献但不属于安全功能执行范围的功能，或在事故后用于监测和评估的功能，其失效不会显著影响安全性。
⚠ 设计要点：分类不是一成不变的。同一功能在不同运行模式下的安全重要性可能不同。例如，余热排出系统在反应堆正常停堆和事故后工况下均执行安全功能，但其 I&C 控制功能在两种工况下的分类等级可能有区别。设计者必须基于全面的安全分析来确定每一功能的最严格分类。
2. 各类功能的设计与鉴定要求
IEC 61226 为每一类 I&C 功能规定了差异化的设计和鉴定要求，包括独立性、多样性、故障安全特性、软件 V&V 等级和抗震鉴定等关键属性。
| 属性 | A 类 | B 类 | C 类 |
|---|---|---|---|
| 独立性 | 与其他类完全隔离（电气和物理） | 与 A 类隔离，与 C 类可混装 | 无强制隔离要求 |
| 多样性 | 要求多样性（如不同原理的后备） | 建议多样性 | 无要求 |
| 故障安全 | 必须满足 | 建议满足 | 不强制 |
| 软件 V&V 等级 | 最高（IEC 60880） | 中等（IEC 62138） | 常规（IEC 62671） |
| 抗震鉴定 | SSE（安全停堆地震） | SSE | OBE（运行基准地震）或无 |
| EMC 等级 | 最高抗扰度 | 高抗扰度 | 标准工业级 |
| 质量保证等级 | QA1 | QA2 | QA3 |
值得注意的是，A 类功能对应的软件开发和验证必须遵循 IEC 60880 标准，该标准要求采用形式化方法、结构化开发和全面的独立验证与确认（IV&V）。B 类功能软件遵循 IEC 62138，C 类功能软件可遵循 IEC 62671。
✅ 经验建议：在实际工程中，建议采用功能分类矩阵（Function Classification Matrix）对电站所有 I&C 功能进行系统性的分类评审。每一功能应标注类别、所属安全系列、涉及的设备和软件 V&V 要求，该矩阵既用于设计阶段指导，也用于运行阶段变更管理。
3. 独立性实现与共因故障防御
独立性是分类体系的核心要求。A 类功能必须在物理上和电气上与其他类别（B、C 类）及非安全功能完全隔离。这意味着共享信号源、通信网络、电源供应、接地系统和物理安装空间都必须按照最高类别的要求处理。
共因故障（CCF）防御是分类设计的另一重点。对于 A 类功能，IEC 61226 要求多样性——即采用不同的技术原理或不同的设计方法来实现同一安全功能。典型的例子是反应堆保护系统同时采用基于微处理器的数字保护系统和基于固态电路或继电器逻辑的多样化驱动系统（DAS）作为后备。
标准还讨论了分类在 I&C 平台平台化设计中的应用。如果同一 I&C 平台同时用于 A 类和 B/C 类功能，平台的整体可信度必须满足 A 类要求，并且必须进行充分的 CCF 分析，证明平台级共因故障不会导致所有安全功能同时丧失。
🔴 关键警示：一个常见的理解误区是将”安全级”等同于”A 类”。实际上，B 类和 C 类功能也属于”安全重要”范畴，它们对整体安全也有贡献。将 B 类或 C 类功能不恰当地降级到非安全级可能导致安全分析中的不确定性被低估。分类决策必须经过正式的 safety classification 评审流程并记录在案。
4. 常见问题（FAQ）
Q1: IEC 61226 与 IAEA NS-G-1.3 安全导则之间的关系是什么？
A: IEC 61226 是 IAEA NS-G-1.3 在技术层面的细化标准。IAEA 导则提出了分类原则和框架，IEC 61226 则提供了更具体的设计和鉴定技术要求，两者配合使用。
Q2: 数字化 I&C 平台中的软件分类如何操作？
A: I&C 功能的分类决定了其软件所适用的 V&V 标准等级。A 类功能使用 IEC 60880，要求形式化规范和全覆盖测试；B 类使用 IEC 62138；C 类使用 IEC 62671。同一平台可承载多种类别的软件，但需满足隔离和 CCF 分析要求。
Q3: 功能分类是否适用于在线修改（如参数调整）？
A: 适用。任何影响已分类功能的修改——包括软件参数变更、硬件替换或逻辑修改——都必须按照原分类等级对应的变更管理流程执行，不得随意降级处理。
Q4: 如果一个系统同时包含 A 类和 C 类功能，设计如何处理？
A: 该系统整体应满足 A 类要求（就高不就低原则），除非能证明 A 类功能与 C 类功能之间有充分的隔离（独立的处理器、独立的通信通道和独立的电源），且 CCF 分析不会导致 A 类功能失效。
