IEC 62671：用于核安全仪控系统的有限功能工业数字装置

核电厂的仪控系统现代化改造越来越多地采用数字技术来替代老旧的模拟设备。然而，核应用对安全性的严苛要求决定了任何用于安全关键功能的数字装置都必须经过严格的鉴定流程。IEC 62671 为在核电厂安全重要仪控系统中选择和使用有限功能的工业数字装置（例如可编程逻辑控制器、现场可编程门阵列和嵌入式微控制器）提供了系统化的框架。本文将从工程技术角度深入分析该标准的技术方法、分类标准和工程实践。

1. 范围与装置分类框架

IEC 62671 适用于功能有限的工业数字装置——即那些复杂度可控、行为能够通过分析和测试完全表征的装置。该标准将这些装置分为三个安全等级，并为每个等级规定了相应的鉴定要求：

1 级（高安全重要性）：装置故障可能直接导致或促成安全系统故障。需要最严格的鉴定，包括全面的环境测试、电磁兼容性验证和独立评估。
2 级（中等安全重要性）：装置故障可能降低安全系统性能，但不会导致完全失效。鉴定要求虽高，但可在现有工业认证基础上补充核专用测试。
3 级（低安全重要性）：装置故障对安全功能影响有限。鉴定可主要依赖工业级认证和运行历史记录。

工程见解：数字装置的分类不应仅基于其固有复杂性，而应基于其在安全系统中的角色。一个简单的温度变送器若为反应堆保护系统提供唯一输入信号，则可能属于1级；而一个基于FPGA的复杂控制器若仅执行带有多样化备份的监测功能，则可能仅属于3级。

装置类别与鉴定要求概览

装置类型	示例	关键鉴定标准
简单可编程装置	PLC、嵌入式控制器	确定性行为、有界执行时间、已验证的内存保护
可重构逻辑装置	FPGA、CPLD	时序收敛验证、单粒子翻转分析、配置存储器完整性
有限复杂度ASIC	有界门数的定制数字IC	全功能验证、温度/电压边界测试、故障注入分析
智能传感器/执行器	数字变送器、智能定位器	通信协议可靠性、通信丢失时的故障安全行为、漂移特性

2. 鉴定流程与证据要求

标准规定了以”既有装置”评估方法为核心的鉴定流程。这种方法认识到许多工业数字装置并非专为核应用设计，但可以通过系统化评估和补充测试获得鉴定资质。

PEA 文档编制：设备供应商须提供全面的技术文档，包括设计规范、物料清单、制造过程控制、配置管理和质量保证记录。
功能与性能评估：须评估标准第6条的所有适用准则，包括时序精度、存储器完整性、通信可靠性和故障模式分析。
定性评估：第7条准则涉及环境耐受性、电磁兼容性和老化效应。对于1级和2级应用，要求对评估结果进行独立验证。
补偿措施：当装置不完全满足某项准则时，标准允许采用补偿措施，例如增加冗余、多样性、诊断覆盖率或环境缓解方案。

关键考虑：工业数字装置核安全鉴定的最大挑战之一是在所有规定条件下证明其确定性行为。许多商用现货设备使用缓存、中断优先级和动态内存分配，这些特性会引入时间非确定性。IEC 62671 要求：要么禁用这些特性，要么全面表征并限定其最坏情况影响。工程师必须仔细审查装置架构，识别可能损害可预测性的特性，特别是在时间域。

3. 工程设计见解与实践应用

在实践中实施 IEC 62671 需要在安全要求与使用工业数字装置的经济效益之间取得平衡。以下工程考虑因素对于成功应用至关重要：

设计方面	IEC 62671 指导	实践实施
配置管理	固件/软件版本须唯一标识并受控	使用加密哈希验证固件映像；维护物料清单数据库
掉电行为	断电后自动恢复配置；定义启动状态	实现看门狗定时器与安全状态输出；通过穷举测试验证启动序列
通信完整性	错误检测、超时处理、通信丢失时的故障安全	采用CRC-32或更高级的错误检测；设计带自动切换的冗余通信路径
诊断覆盖率	自诊断功能须检测潜在故障；优先实现在线测试	实施周期性健康检查并引入多样性；记录诊断覆盖率因子
老化管理	鉴定须考虑长期漂移和元器件老化	执行加速寿命试验；建立淘汰管理计划；备选合格装置

最佳实践：对于1级和2级应用，在设计初期就制定正式的多样性-纵深防御策略。IEC 62671 鉴定应融入更广泛的仪控系统架构中，该架构包括多样化的驱动手段、独立的备用系统和自动定期测试。该标准在融入整体电厂安全理念时效果最佳，而非作为独立的装置鉴定活动实施。

常见误区：认为通过工业安全标准认证的装置自动适用于核安全应用。虽然 IEC 61508 认证提供了坚实基础，但 IEC 62671 还要求额外的核专用评估，包括抗震鉴定、辐射耐受性（如适用）以及超出典型工业实践的严格配置管理。在未经差距分析的情况下，切勿以工业安全认证替代核专用鉴定。

常见问题

问题1：基于FPGA的装置是否能根据IEC 62671进行鉴定？

可以，FPGA作为可重构逻辑装置明确在标准范围内。但鉴定必须解决配置存储器完整性问题（例如SRAM型FPGA需要三模冗余或配置刷洗等SEU缓解措施）、所有工作条件下的时序收敛验证，以及已配置逻辑仅实现所需功能且无意外路径的证明。

问题2：IEC 62671 与 IEC 61513（核仪控安全）的关系是什么？

IEC 62671 是 IEC 61513 的配套标准。IEC 61513 关注整体仪控系统架构和安全生命周期，而 IEC 62671 专门针对该架构中使用的单个数字装置的鉴定。按照 IEC 62671 进行的装置鉴定为满足 IEC 61513 的组件级要求提供证据。

问题3：多样性在 IEC 62671 鉴定中的作用是什么？

多样性是一种补偿措施，可以在某些故障模式下降低装置鉴定的严格程度。例如，如果安全功能由两个不同的数字装置实现，则共同原因故障分析可能允许降低某些准则的严格程度。但标准仍然要求每个装置单独满足最低鉴定门槛。

问题4：如何管理已鉴定装置的淘汰问题？

IEC 62671 要求鉴定持有者维护淘汰监控计划。当装置被标识为生命周期终结时，必须启动重新鉴定流程。标准建议维护一个可互换合格装置的备选库，并设计系统以最少的重新鉴定适应装置替换。对于长寿命核电厂（60年以上），与承诺长期供应的制造商建立合作关系至关重要。