安全级DCS的「确定性」密码:核级仪控软件如何证明自己可靠

今年工博会上，「和睦系统」被称为核电站「超级智慧大脑」。但核级 DCS 有一个绕不开的难题：承载保护逻辑的软件，可靠性很难「证明」。事实上，中国核动力研究设计院在《核动力工程》2022 年第 2 期发表的论文《安全级数字化仪控系统行为确定性设计分析》，给出了一个工程答案——行为确定性设计。本篇科普即以该论文为主线展开。

一、引子：核级 DCS 为什么绕不开「确定性」

论文开篇把反应堆数字化仪控系统（DCS）定义为核电厂的「中枢神经系统」，为核电厂提供监测、控制、保护等功能。按对安全的重要性，仪控系统分为安全级（1E）、安全相关级 [NC(S)] 和非安全级（NC）；其中 1E 系统在预期运行事件或设计基准事故下，必须快速且准确地执行保护功能，将装置转入并维持在安全状态。相比模拟仪控系统，数字化 DCS 在复杂逻辑控制、测控精度、故障检测、信息交互上优势明显，但也带来了新问题——这正是这篇论文要解决的。

来源：论文原文：安全级数字化仪控系统行为确定性设计分析（核动力工程 2022年第2期） · 上观新闻：2026工博会今启幕，一批企业携「脑」而来

— — — — — —

二、难题：软件可靠性为什么「说不清」

论文指出，安全级 DCS 由安全级硬件和安全级软件组成：硬件是实物，软件是抽象的复杂逻辑对象。硬件可靠性评价方法（故障模式及影响分析、可靠性框图、故障树分析）已在核能、航空航天等领域广泛应用，但它们多基于「成功/失效」两状态假设；软件具有多状态不确定性，这些方法不能直接套用。针对安全级软件可靠性评价，国内外已有软件可靠性增长模型、贝叶斯信度网、统计学测试等方法，但至今仍没有公认可信的方法——为证明软件高可靠性需要大量测试，而实际测试量永远不够。因此，必须在软件设计过程中就开展确定性设计。

来源：论文原文：安全级数字化仪控系统行为确定性设计分析（核动力工程 2022年第2期） · 国家核安全局：智赋核能！中广核发布核电新一代「数智大脑」

— — — — — —

三、定义：什么叫「确定性」

论文参考 NUREG 0800 给出定义：确定性是针对安全级 DCS 的基本安全规则，它完美地定义了一个现象存在的条件，条件满足则现象一定发生。换而言之，不确定性由软件引入，因此软件设计时需要提前定义好每个期望状态的处理序列和资源使用情况，例如采用无中断机制、静态内存分配、有限的迭代次数等。通俗地说：系统对相同时序发生的相同输入，应在一定响应时间范围内做出相同反应——这就是「确定」；反之，如果系统反应完全取决于软件时序或行为逻辑，就是不确定的。反应堆停堆就应当有确定的条件触发，并在规定响应时间内完成。

来源：论文原文：安全级数字化仪控系统行为确定性设计分析（核动力工程 2022年第2期） · 国务院国资委：和睦系统——以自主创新打造数字科技产品品牌

— — — — — —

四、10 条设计需求：从标准到工程经验

论文依据标准要求并结合工程经验，提炼出安全级 DCS 行为确定性的 10 条设计需求，其中第 1~4 条源于标准（NB/T 20026—2014、NB/T 20054—2001），第 5~10 条来自工程应用经验。几个代表性要求：①系统激励与响应之间的时间延迟应有一个可保证的最大值和最小值，这一条在标准中本非强制，但因软件可靠性评价困难被升级为强制性要求；②1 级系统宜采用静态调度方式运行（程序运行期间调度不变），优于中断方式；③应证明资源使用与内部时序设计裕度的充分性，并设置看门狗或周期刷新功能监督任何偏离确定性行为的工况；④CPU 上的软件应严格循环执行，最坏情况下也要在规定的处理周期内完成全部处理；⑤CPU 异常重启时，其控制的输出信号应被置于确定状态。

来源：论文原文：安全级数字化仪控系统行为确定性设计分析（核动力工程 2022年第2期） · 国家核安全局：智赋核能！中广核发布核电新一代「数智大脑」

— — — — — —

五、复现性：形式化建模与 SCADE

安全级 DCS 确定性体现在两个方面：复现性与及时性。针对复现性（已被验证的激励到响应逻辑可重复出现），论文推荐采用基于模型的形式化建模，例如法国艾斯特尔公司的 SCADE：先根据系统功能需求建立图形化软件模型，再通过在线仿真检查验证模型正确性，最后用代码生成器（KCG）把模型生成代码。SCADE KCG 已符合 DO-178B 的 A 级开发工具资格、DO-330 TQL-1 工具资格与 IEC 61508 的 T3/SIL3 认证，通过模型检查、模型仿真、覆盖率分析、形式化验证四种方式保障软件建模可靠性。论文同时指出：国内目前还没有已取得认证的安全级 DCS 全流程软件开发工具，相关工作正在开展。

来源：论文原文：安全级数字化仪控系统行为确定性设计分析（核动力工程 2022年第2期） · 国务院国资委：和睦系统——以自主创新打造数字科技产品品牌

— — — — — —

六、及时性：安全路径上的时间分配

针对及时性，论文以核电厂反应堆保护系统为例：响应时间由安全路径上传感器响应时间、智能 IO 功能单元响应时间、各 CPU 处理周期以及执行器响应时间等串行组成，各环节响应时间异步独立。传感器、智能 IO、执行器的响应时间由其特性确定，因此针对特定电厂的响应时间要求，需对 CPU 处理周期在一定范围内设定，实际设定应小于或等于可分析得出的最大值。工程上还可对 CPU 运行周期进行时间分片——固定分配接收数据时间、功能逻辑执行时间、发送数据时间、设备故障检测时间、空闲时间等，实现 CPU 资源的静态分配。这样即便在最坏情况下，整个反应堆保护系统的响应时间也能得到保证。

来源：论文原文：安全级数字化仪控系统行为确定性设计分析（核动力工程 2022年第2期） · 中广核工程：首套国产核电站「神经中枢」和睦系统调试可用

— — — — — —

七、小结：从论文到工程

论文结论指出：针对安全级仪控系统数字化后软件可靠性评价困难的问题，可通过确定性设计来保障系统行为的可靠性。论文从相关标准出发、结合实际工程经验，提炼出确定性设计需求，并详细阐述了复现性与及时性两个体现，搭建起安全级 DCS 行为确定性设计框架，且已经过多个工程的安全级 DCS 验证有效性。回到今天的新闻：新一代「和睦系统」将用于「华龙一号」2.0 示范项目，论文作者所在的核反应堆系统设计技术重点实验室，正是国产核级 DCS 自主研发链条上的技术积累——确定性设计正是这类「超级智慧大脑」能够被信任的底层逻辑。

来源：论文原文：安全级数字化仪控系统行为确定性设计分析（核动力工程 2022年第2期） · 上观新闻：2026工博会今启幕，一批企业携「脑」而来

— — — — — —

U0001f4f7 论文原文截图

▸ 《安全级数字化仪控系统行为确定性设计分析》论文首页（核动力工程 2022年第2期）

— — — — — —

[原文速览] 安全级数字化仪控系统行为确定性设计分析

伍巧凤、刘宏春 等（中国核动力研究设计院 核反应堆系统设计技术重点实验室）·《核动力工程》2022年第2期，DOI: 10.13832/j.jnpe.2022.02.0167

论文结构

引言（DCS 分级与数字化新问题）→ 确定性定义（NUREG 0800）→ 确定性设计需求（10 条，标准+工程经验）→ 确定性体现（复现性=形式化建模、及时性=响应时间分配）→ 结论（设计框架经多个工程验证有效）。

一句话结论

软件可靠性评价困难，就用「确定性设计」从源头兜底：让安全级 DCS 的行为可复现、响应可及时，从而保障核电厂保护功能的可靠与安全。

核动力工程期刊（开放获取PDF预览） https://hdlgc.xml-journal.net//cn/article/pdf/preview/10.13832/j.jnpe.2022.02.0167.pdf

— — — — — —

延伸思考

●国内安全级 DCS 全流程认证软件开发工具的研发进展（论文点名的待补环节）。

●确定性设计框架在「和睦系统」与华龙一号 2.0 示范项目上的落地应用。

●CPU 时间分片与静态调度在国产核级 DCS 工程中的实际表现。

— — — — — —

—— 以上为本期技术科普，正文以论文解读为主线，数据与信息均来自公开报道 ——