Диверсная защита — Википедия

Диверсная защита — это один из подходов к построению безопасности автоматизированных систем управления. Термин “диверсная” является прямым заимствованием из английского термина diverse actuation system (DAS) и значит “разнообразная”. Понятие разнообразия входит в стандартный глоссарий МАГАТЭ^[1] и определяется как:

“Наличие двух или более резервных систем или элементов для выполнения одной определенной функции, при котором разные системы или элементы наделяются различными признаками таким образом, чтобы уменьшалась возможность отказа по общей причине, включая общий отказ”.

Интерес к построению диверсных систем защиты значительно возрос после катастрофы на АЭС Фукусима, которая произошла вследствие отказа по общей причине. Несмотря на то, что принцип диверсной защиты в настоящее время применяется в основном на предприятиях ядерной энергетики, он абсолютно применим к системам управления любыми опасными технологическими процессами в нефтяной, химической промышленности, системах энергоснабжения и т.д.

Большинство систем безопасности АСУ строятся на программируемой логике. Системы эти многоканальны (резервированы). При этом, часто все каналы систем безопасности построены не просто на программируемых средствах, а на одних и тех же программируемых средствах. Поскольку между каналами нет разнообразия, возникает вероятность отказа по общей причине. Ими могут быть, например: перегрев из-за отказа системы кондиционирования, пожар, затопление при тушении пожара и пр. Кроме того, главной, непредсказуемой и всё более растущей опасностью становится отказ программного обеспечения из-за ошибки программиста или из-за хакерской/вирусной атаки.

Можно выделить два основных подхода к созданию разнообразия при построении систем безопасности:

1. создание разнообразия между взаиморезервирующими каналами;
2. дополнение существующей системы ещё одной, построенной на иных средствах и решающей как минимум основные задачи безопасности.

Первый подход применяется в основном при проектировании новых систем. Второй – при доработке уже существующих, так как в уже работающей системе не всегда можно вырезать канал безопасности, заменив его на диверсный, в том числе построенный на непрограммируемой, т.н. "жесткой логике".

Диверсные системы защиты реализованы, в частности, Московским заводом «Физприбор» на Нововоронежской АЭС полностью на непрограммируемой логике^[2]. В настоящее время подобные системы внедряются французской компанией TechnicAtome (бывш. Areva TA), которая начиная с 2011 года по заказу Orano (бывш. Areva) занимается разработкой и внедрением аналоговой платформы КИПиУ, получившей наименование UNICORN^[3]. Первое применение этой, основанной на непрограммируемой логике платформы, запланировано на британской АЭС в Hinkley Point C в начале 2019 года. Первые два этапа должны затронуть системы защиты реактора и систем вентиляции.

Система управления европейского реактора с водой под давлением (EPR) на одном из энергоблоков АЭС Олкилуото в Финляндии была дополнена непрограммируемой системой^[4].

Помимо технических решений построения диверсной защиты систем управления, связанных с непрограммируемым разнообразием, для неё также может быть внедрено программное разнообразие (за счёт применения разных языков программирования и операционных систем), параметрическое разнообразие (при котором защиты запускается с использованием замера разных технологических параметров и установление их различных предельных значений), разнообразие, связанное с человеческим фактором и пр^[5].