摘要：在針對數(shù)字化核安全級儀控系統(tǒng)中的軟件進(jìn)行驗(yàn)證和確認(rèn)（V&V）過程中，為了確保V&V工作可信、有效、高效地開展，構(gòu)建一個軟件V&V平臺，支持包括準(zhǔn)備、執(zhí)行和管理等全過程的V&V活動。該V&V平臺基于通用數(shù)據(jù)庫，通過集成定制工具與商用工具，來提供V&V工作所需的方法和手段。通過多個核級軟件的V&V項(xiàng)目的應(yīng)用實(shí)踐，證明該平臺對于開展V&V活動發(fā)揮了重要作用，使得數(shù)字化核安全級儀控系統(tǒng)具有清晰證據(jù)支持的高安全性與高可靠性。

    關(guān)鍵詞：數(shù)字化核安全級儀控系統(tǒng)；軟件驗(yàn)證和確認(rèn)平臺

    Abstract: In the process of performing verification and validation (V&V) for software of digital safety I&C system used in nuclear power plant, this paper proposes to build a software V&V platform to support V&V activities such as preparation, implementation and management etc., in order to ensure acredibly, effectively and efficiently V&V. The proposed V&V platform which is based on common database, can provide methods and means required of V&V by integrating customized and commercial tools.   The application practice of this V&V platform in multiple projects of nuclear safety software V&V have demonstrated    its important role in carrying out V&V activities,   making the digital safety I&C system used in nuclear power plant possess a clear evidence to support high safety and reliability.

    Key words: Digital safety I&C System used in nuclear power plant; Software V&V

    隨著數(shù)字化核安全級儀控系統(tǒng)在核電站安全系統(tǒng)中的應(yīng)用和普及，系統(tǒng)中的軟件承擔(dān)著越來越重要的安全功能，對執(zhí)行安全功能的軟件進(jìn)行驗(yàn)證和確認(rèn)（V&V）工作，是保證軟件質(zhì)量的必要手段之一。為確保有效地開展V&V活動，從而使得軟件具備清晰證據(jù)支持的高可信度，一個系統(tǒng)而完善的V&V平臺將不可或缺。北京廣利核系統(tǒng)工程有限公司的V&V團(tuán)隊(duì)基于對V&V理論的深刻領(lǐng)悟以及對V&V活動的不斷實(shí)踐，逐漸構(gòu)建出一個完整的V&V平臺，并在應(yīng)用中不斷完善與優(yōu)化。

    1　V&V活動特點(diǎn)

    核安全級軟件的驗(yàn)證和確認(rèn)是基于相關(guān)法規(guī)和標(biāo)準(zhǔn)的指導(dǎo)，貫穿于軟件生命周期全過程的、用于驗(yàn)證軟件生命周期各個階段活動的輸出滿足此活動的要求并確認(rèn)系統(tǒng)可以執(zhí)行其預(yù)期的功能且滿足用戶需求的一組系統(tǒng)化、工程化的活動。

    針對核電站數(shù)字化核安全級儀控系統(tǒng)中軟件的V&V活動必須遵循HAF 102[1]、HAD 102/16[2]等核安全法規(guī)和導(dǎo)則的要求，同時滿足GB/T 13629[3]及IEC 60880[4]等核安全相關(guān)標(biāo)準(zhǔn)的要求。在V&V執(zhí)行過程和方法上，選取IEEE Std 1012[5]作為主要指導(dǎo)標(biāo)準(zhǔn)。

    遵循以上法規(guī)、標(biāo)準(zhǔn)的要求，V&V活動既包含對軟件開發(fā)過程的評價(jià)，也包含對軟件產(chǎn)品質(zhì)量的評價(jià)。其目的包括：

    （1）盡可能發(fā)現(xiàn)軟件缺陷；
    （2）提供證據(jù)表明軟件滿足了儀控系統(tǒng)分配給軟件的要求；
    （3）提供證據(jù)表明避免軟件失效的方法已得到應(yīng)用；
    （4）提供證據(jù)表明發(fā)現(xiàn)軟件殘余缺陷（包括編譯時和運(yùn)行時缺陷）的方法已得到應(yīng)用；
    （5）提供證據(jù)表明控制已發(fā)現(xiàn)缺陷的方法已得到應(yīng)用；
    （6）提供證據(jù)表明適用的法規(guī)標(biāo)準(zhǔn)已成功應(yīng)用；
    （7）提供獲得應(yīng)用許可的初始知識；
    （8）減少電站安全評估的工作量。

    同時，V&V活動涉及多個領(lǐng)域的知識，除軟件設(shè)計(jì)、編碼及測試外，還包括核工藝、質(zhì)量保證、配置管理、安全分析等多個領(lǐng)域，因此需要具備這些領(lǐng)域的知識和經(jīng)驗(yàn)。

    另外，V&V活動應(yīng)具有較高的獨(dú)立性，其中技術(shù)獨(dú)立性要求V&V活動選用的輔助工具應(yīng)盡可能不同于開發(fā)工具，其活動過程也應(yīng)相對獨(dú)立于軟件開發(fā)活動。為保證V&V工作自身的有效與可信，還要求各V&V任務(wù)協(xié)同進(jìn)行并提供可核查的證據(jù)。

    基于上述V&V活動的特點(diǎn)，為支持V&V工作開展，有必要為V&V 工作建立一個V&V平臺以提供相應(yīng)支持。這一V&V平臺應(yīng)具備以下特點(diǎn)：

    （1）提供豐富的核安全級儀控系統(tǒng)行業(yè)以及V&V專業(yè)的知識和經(jīng)驗(yàn)；

    （2）提供V&V工作所需的流程、規(guī)范等，保證V&V活動有序開展；

    （3）提供V&V工作所需的工具，提高V&V活動的有效性和效率；

    （4）支持并引導(dǎo)V&V所發(fā)現(xiàn)的異常在受控的流程下進(jìn)行處理；

    （5）支持并引導(dǎo)在V&V活動執(zhí)行的同時，記錄V&V活動的必要信息，保證V&V報(bào)告可信，并支持V&V活動的可核查，從而最終提高針對核安全級儀控系統(tǒng)安全性和可靠性的信心水平；

    （6）支持V&V團(tuán)隊(duì)成員間的協(xié)同工作等。

    2　V&V平臺設(shè)計(jì)

    2.1　V&V平臺概念的提出

    V&V活動的有效開展離不開V&V方法的指導(dǎo)以及V&V手段的支持，V&V方法與V&V手段二者共同組成全面支持V&V活動的V&V平臺[6]，其關(guān)系如圖1所示。

                     
                                            圖1 V&V平臺與V&V活動的關(guān)系圖

    2.2　V&V平臺架構(gòu)設(shè)計(jì)

    2.2.1　V&V方法

    V&V方法指為達(dá)到V&V目的而遵循的理論、思路、途徑、方式、步驟等。V&V技術(shù)體系集成V&V工作所需的全部方法，可劃分為V&V知識經(jīng)驗(yàn)和V&V規(guī)范兩部分。其形成過程如圖2所示。

                  
                                  圖2 V&V技術(shù)體系形成過程

    2.2.2　V&V手段

    V&V手段是支持V&V活動按V&V方法得以執(zhí)行并實(shí)現(xiàn)V&V目的的一系列工具。

    V&V工具的使用除提高V&V效率外，還可引導(dǎo)V&V工作有序開展，保證V&V活動的完整性、可重復(fù)性，從而提高V&V工作自身的可信性，最終提高核安全級軟件的安全性和可靠性。

    2.2.3　V&V平臺架構(gòu)

    V&V平臺提供V&V全部工作所需的V&V方法和V&V手段的有機(jī)結(jié)合，全面支持V&V工作的開展。V&V平臺架構(gòu)如圖3所示。

                                
                                        圖3 V&V平臺架構(gòu)圖

    V&V技術(shù)體系由V&V知識經(jīng)驗(yàn)庫和V&V規(guī)范庫管理，V&V手段分別由V&V信息化工作子平臺、V&V任務(wù)執(zhí)行子平臺、V&V支持子平臺三個子平臺提供。V&V平臺各部分的設(shè)計(jì)見2.3~2.7描述。

    2.3　V&V知識經(jīng)驗(yàn)庫

    V&V知識經(jīng)驗(yàn)庫用于管理V&V活動相關(guān)的知識和經(jīng)驗(yàn)，包括V&V參考信息、V&V研究成果以及V&V經(jīng)驗(yàn)信息，是進(jìn)行V&V規(guī)范建設(shè)的基礎(chǔ)，也可用于直接指導(dǎo)V&V實(shí)踐工作，確保V &V方向正確、方法有效、技術(shù)無誤。其中：

    （1）V&V參考信息指V&V研究和V&V工作過程中可能用到的參考材料，包括：

    • V&V對象及V&V工作所需遵循的法規(guī)、標(biāo)準(zhǔn)等行業(yè)規(guī)范性文件；
    • V&V對象及V&V工作的行業(yè)現(xiàn)狀及良好實(shí)踐資料；

    （2）V&V研究成果指在V&V理論、技術(shù)、方法以及工具等方面的研究成果。V&V研究成果一般包括以下內(nèi)容：

    •  采標(biāo)分析報(bào)告；
    •  可行性分析報(bào)告；
    • V&V技術(shù)方案；
    • V&V特別技術(shù)實(shí)施方法（如形式化分析技術(shù)、故障插入測試技術(shù)等）；
    •  工具選型報(bào)告；
    •  適用性分析報(bào)告；

    （3）V&V經(jīng)驗(yàn)信息指V&V團(tuán)隊(duì)在V&V工作實(shí)踐及對外交流過程中積累的經(jīng)驗(yàn)。既包括良好V&V實(shí)踐的經(jīng)驗(yàn)，也包括失敗V&V實(shí)踐的經(jīng)驗(yàn)。V&V經(jīng)驗(yàn)信息以經(jīng)驗(yàn)單、工作總結(jié)、培訓(xùn)材料、對外交流材料等多種形式存在。V&V經(jīng)驗(yàn)信息對于改進(jìn)V&V活動發(fā)揮著不可替代的作用。

     2.4　V&V規(guī)范庫

     V&V規(guī)范庫用于管理直接指導(dǎo)V&V活動開展所需的規(guī)范類文件，為各項(xiàng)活動建立行動規(guī)范和判定準(zhǔn)則。V&V規(guī)范類文件包括以下三個層次：

     （1）工作流程，用于規(guī)定依據(jù)軟件生命周期所需開展的V&V活動，以及各項(xiàng)活動包含的任務(wù)以及依據(jù)技術(shù)規(guī)范，此外還包含偏離策略、迭代策略等處理原則。

     （2）技術(shù)規(guī)范，用于規(guī)定某項(xiàng)V&V工作的工作方法、步驟、工具、策略、輸入、輸出等要求，確定某項(xiàng)V&V任務(wù)如何開展。

     （3）模板/檢查單等，用于具體指導(dǎo)某項(xiàng)V&V任務(wù)的執(zhí)行。其中，模板規(guī)定了不同類型的文件所需描述的內(nèi)容、方式等，從而使得該類文件具有統(tǒng)一的展現(xiàn)形式；檢查單規(guī)定了針對某類文件審查過程中所需檢查的條目，從而使得有效的實(shí)踐經(jīng)驗(yàn)?zāi)鼙粡V泛而統(tǒng)一的進(jìn)行應(yīng)用。

     2.5　V&V支持子平臺

     V&V支持子平臺用于對全部V&V工作提供基礎(chǔ)性的支持，提供相關(guān)工具，實(shí)現(xiàn)文件配置管理、項(xiàng)目管理、郵件服務(wù)等功能。

     文件配置管理基于配置管理工具（如IBM Rational ClearCase）實(shí)現(xiàn)，用于相關(guān)文件管理、版本控制、發(fā)布管理、過程控制以及變更控制等，文件配置管理工具為文件管理提供了便利、受控、可核查的手段。

     項(xiàng)目管理和郵件服務(wù)功能用于支持V&V團(tuán)隊(duì)成員協(xié)同工作，項(xiàng)目管理支持V&V工作的項(xiàng)目化管理，郵件服務(wù)支持V&V團(tuán)隊(duì)成員之間正式的信息交換。

     2.6　V&V任務(wù)執(zhí)行子平臺

     V&V任務(wù)執(zhí)行子平臺用于支持具體V&V任務(wù)項(xiàng)的執(zhí)行，提供相關(guān)工具，實(shí)現(xiàn)測試、分析、需求管理等功能。

     集成了通用測試工具與定制測試工具的V&V任務(wù)執(zhí)行子平臺提供覆蓋核級儀控系統(tǒng)全范圍的測試支持。可實(shí)現(xiàn)對數(shù)字化核安全級儀控系統(tǒng)測試環(huán)境的構(gòu)造和驅(qū)動運(yùn)行，全面支持各類測試活動，包括軟件代碼檢查、單元測試、集成測試、系統(tǒng)測試和驗(yàn)收測試等。同時，輔助實(shí)現(xiàn)測試設(shè)計(jì)、測試用例管理、測試自動執(zhí)行、測試結(jié)果分析等工作，還提供測試覆蓋率分析、故障插入測試以及專用網(wǎng)絡(luò)/硬件測試等功能。可適應(yīng)核安全級儀控系統(tǒng)專用技術(shù)多、響應(yīng)速度快、處理精度高、高安全性和高可靠性等特點(diǎn)。

     可靠性驗(yàn)證基于可靠性分析工具（如Isograph）實(shí)現(xiàn)，可用于執(zhí)行危險(xiǎn)分析時輔助進(jìn)行可靠性建模、分析、計(jì)算等。

     形式化驗(yàn)證基于專門的形式化驗(yàn)證工具（如NuSMV、Spin等）實(shí)現(xiàn)，用于輔助分析人員建立驗(yàn)證對象的行為模型并自動驗(yàn)證對象的屬性。

     需求追蹤管理基于需求管理工具（如I BM RationalRequisitePro）實(shí)現(xiàn)，可用于實(shí)現(xiàn)三個緯度的追蹤管理，包括需求、設(shè)計(jì)及實(shí)現(xiàn)之間的研發(fā)追蹤管理，從需求項(xiàng)到測試設(shè)計(jì)間的追蹤管理，測試設(shè)計(jì)、測試用例、測試規(guī)程以及測試記錄之間的測試追蹤管理。

     2.7　V&V信息化工作子平臺

     V&V信息化工作子平臺用于支持V&V工作全過程的信息管理，該平臺基于流程管理軟件工具（如IBM Rat ional ClearQuest），以及數(shù)據(jù)庫軟件（如Microsoft SQL Server）和報(bào)表軟件（如Crystal Reports）這兩個支持性軟件經(jīng)二次開發(fā)而建立，主要功能包括：

     （1）信息準(zhǔn)備，導(dǎo)入或錄入用以支持工作開展的各類基礎(chǔ)信息，是任務(wù)執(zhí)行前的準(zhǔn)備工作，包括：

     • V&V對象信息：包括項(xiàng)目信息、文件版本信息、需求及設(shè)計(jì)的條目信息等；
     • V&V規(guī)則信息：包括審查規(guī)則、檢查單、分析提示單、失效模式庫等信息；
     • V&V管理信息：包括項(xiàng)目人員的姓名、角色及權(quán)限等信息；

     （2）流程引導(dǎo)，對于諸多V&V活動中存在時序約束的任務(wù)，將引導(dǎo)執(zhí)行人員按照預(yù)設(shè)的流程開展工作，此外還針對部分任務(wù)提供相應(yīng)的提示信息，如：任務(wù)提示、操作提示、方法提示、相關(guān)設(shè)計(jì)及規(guī)則提示等；

     （3）信息收集，支持并約束V&V執(zhí)行人員在V&V工作過程中記錄必要的過程信息，包括：

     •  評估信息：依據(jù)審查規(guī)則針對評估對象進(jìn)行審查，并記錄審查意見等；

     •  分析信息：在開展追蹤性分析、危險(xiǎn)分析、安保分析等諸多V&V專項(xiàng)分析的過程中，記錄分析結(jié)論及分析過程中的一些關(guān)鍵信息； 

     •  測試信息：記錄測試設(shè)計(jì)、測試規(guī)程、測試用例及測試結(jié)論等信息，并建立相互之間的鏈接關(guān)系；

     •  操作信息：在本平臺上的操作活動均會自動進(jìn)行記錄，報(bào)告操作人員、操作動作以及操作時間等信息。所有的活動都將是可復(fù)現(xiàn)的，可用于查找錯誤操作以及對新員工進(jìn)行操作培訓(xùn)等。

     （4）異常處理，支持并約束V&V執(zhí)行人員隨時將V&V工作所發(fā)現(xiàn)的異常記錄到V&V信息化工作子平臺數(shù)據(jù)庫中。支持并約束異常按照設(shè)定的處理流程進(jìn)行處理，并記錄處理過程信息。

     （5）數(shù)據(jù)分析，支持對V&V信息化工作子平臺中的各類數(shù)據(jù)進(jìn)行自動統(tǒng)計(jì)、分析等，并按照預(yù)設(shè)的公式自動生成統(tǒng)計(jì)圖表以便支持進(jìn)一步的人工分析。如V&V工作狀態(tài)分析、V&V對象質(zhì)量狀態(tài)分析等。

     （6）報(bào)告生成，支持主要V&V報(bào)告按照預(yù)設(shè)的格式自動生成。

     通過V&V信息化工作子平臺的使用，可確保V&V活動真正實(shí)現(xiàn)：規(guī)范、可信、高效、可核查。

     3　基于V&V平臺的應(yīng)用實(shí)踐

     在V&V平臺的支持下，V&V團(tuán)隊(duì)開展了多項(xiàng)核安全級儀控系統(tǒng)中的軟件V&V工作。所涉及到的軟件類型包括基于CPU運(yùn)行的軟件，也包括HPD邏輯。

     以某核級主控板卡上的CPLD芯片中的HPD邏輯設(shè)計(jì)文檔評審工作為例，該項(xiàng)工作的主要執(zhí)行過程如圖4所示。

                 
                                   圖4 HPD邏輯設(shè)計(jì)文件評審過程

    評審過程中各步驟的工作描述以及與V&V平臺的交互關(guān)系說明如下：

     （1）在啟動HPD邏輯V&V前，啟動HPD邏輯V&V研究課題，收集CPLD/FPGA應(yīng)用于核安全儀控系統(tǒng)相關(guān)的法規(guī)、標(biāo)準(zhǔn)和行業(yè)經(jīng)驗(yàn)等，整理并存入V&V知識經(jīng)驗(yàn)庫。然后研究HPD邏輯V&V關(guān)注焦點(diǎn)，比較HPD邏輯設(shè)計(jì)和一般軟件（基于CPU運(yùn)行的軟件）設(shè)計(jì)的區(qū)別，特別研究HPD邏輯與核安全相關(guān)的可靠性設(shè)計(jì)的分析檢查方法和可接受準(zhǔn)則。再將全部研究成果整理并存入V&V知識經(jīng)驗(yàn)庫。

     （2）在HPD邏輯V&V研究的基礎(chǔ)上，制定HPD邏輯設(shè)計(jì)文件評審技術(shù)規(guī)范，制定HPD邏輯設(shè)計(jì)文件評審檢查單，存入V&V規(guī)范庫。

     （3）將檢查單的條目通過V&V信息化工作子平臺錄入數(shù)據(jù)庫。

     （4）在V&V支持子平臺的文件配置管理工具的控制下，獲得研發(fā)關(guān)于該模塊的HPD邏輯需求和設(shè)計(jì)文件。使用V&V支持子平臺中的需求追蹤管理工具自動提取需求項(xiàng)條目和設(shè)計(jì)項(xiàng)條目，同時建立需求項(xiàng)和設(shè)計(jì)項(xiàng)之間的追蹤性關(guān)系。

     （5）通過V&V信息化工作子平臺將該模塊條目化后的HPD邏輯需求項(xiàng)和設(shè)計(jì)項(xiàng)錄入數(shù)據(jù)庫。

     （6）在V&V信息化工作子平臺的流程引導(dǎo)下，選擇要進(jìn)行的評審任務(wù)（選擇任務(wù)類型和評審對象），V&V信息化工作子平臺順序給出HPD邏輯設(shè)計(jì)項(xiàng)，同時提示適用的檢查單條目，評審人員執(zhí)行檢查、判斷。

     （7）在V&V信息化工作子平臺的控制下，評審人員記錄重要的判斷理由和檢查過程。除在V&V信息化工作子平臺控制下執(zhí)行的評審?fù)猓€可執(zhí)行多人參加的會議評審，評審記錄和結(jié)論也可通過V&V信息化工作子平臺錄入數(shù)據(jù)庫。

     （8）評審人員發(fā)現(xiàn)異常時，在V&V信息化工作子平臺的控制下，評審人員錄入異常描述的全部必要信息以及需要的補(bǔ)充信息。

     （9）異常提交完成后進(jìn)入異常處理流程，直至最終關(guān)閉。異常處理過程和信息的記錄全部自動存入數(shù)據(jù)庫。

     （10）在V&V信息化工作子平臺的支持下，V&V人員可對已評審的HPD模塊進(jìn)行質(zhì)量狀態(tài)分析。

     （11）V&V人員在V&V信息化工作子平臺的支持下自動生成該模塊的HPD邏輯設(shè)計(jì)評審報(bào)告，存入V&V支持子平臺的文件配置管理數(shù)據(jù)庫中，提交開發(fā)團(tuán)隊(duì)。

     在上述HPD邏輯設(shè)計(jì)文檔評審活動的各個步驟中，V&V任務(wù)執(zhí)行與V&V平臺密切交互。通過V&V知識經(jīng)驗(yàn)庫和V&V規(guī)范庫支持了HPD邏輯V&V研究和HPD邏輯V&V規(guī)范建設(shè)等一次性工作。同時，還通過V&V任務(wù)執(zhí)行子平臺輔助提取開發(fā)文檔條目，通過V&V信息化工作子平臺支持和控制設(shè)計(jì)評審中的分析判斷過程、異常處理過程以及評審報(bào)告編制過程等，通過V&V支持子平臺管理了評審過程中的全部信息的后臺管理及工作協(xié)同。在V&V平臺的支持下，HPD邏輯設(shè)計(jì)文檔評審活動得以有序、深入地執(zhí)行，評審過程中所有重要信息得以有效收集、管理和報(bào)告，評審中發(fā)現(xiàn)的異常得以受控處理，分析判斷過程得到有效的信息提示，評審效率得以提高。

     4　結(jié)束語

     本文介紹了用于數(shù)字化核安全級儀控系統(tǒng)的軟件V&V平臺的設(shè)計(jì)與應(yīng)用實(shí)踐，該V&V平臺提供V&V工作全過程所需的方法和手段。使用該平臺完成了數(shù)字化核安全級控制保護(hù)系統(tǒng)產(chǎn)品（FirmSys）中的軟件V&V，以及基于FirmSys產(chǎn)品的某定制工程應(yīng)用系統(tǒng)的應(yīng)用軟件V&V。在該平臺的支持下，V&V工作在受控狀態(tài)下有序開展，V&V工作效率得到較大提高，V&V工作得以深入開展并完整地記錄了V&V活動的重要信息，最終確保數(shù)字化核安全級儀控系統(tǒng)具有清晰證據(jù)支持的高安全性與高可靠性。

     參考文獻(xiàn)：

     [1] HAF 102-2004. 核動力廠設(shè)計(jì)安全規(guī)定 [S]

     [2] HAD 102/16 2004. 核動力廠基于計(jì)算機(jī)的安全重要系統(tǒng)軟件[S]

     [3] GB/T 13629-2008. 核電廠安全系統(tǒng)中數(shù)字計(jì)算機(jī)的適用準(zhǔn)則 [S]

     [4] IEC60880-2006 Nuclear power plants – Instrumentation and control systems important to safety – Software aspects for computer-based systems performing category A functions

     [5] IEEE Std 1012-2004, IEEE Standard for Software Verification and Validation

     [6] 張亞棟等. 數(shù)字化核安全級儀控系統(tǒng)軟件的驗(yàn)證與確認(rèn)[J].核科學(xué)與工程, 2012 (S2) . 

     作者簡介

     張亞棟（1975－），男，山西人，畢業(yè)于西安電子科技大學(xué)，獲計(jì)算機(jī)應(yīng)用碩士學(xué)位，高級工程師，現(xiàn)主要從事于核級軟件的驗(yàn)證和確認(rèn)工作。