"ГОСТ Р МЭК 62241-2021. Национальный стандарт Российской Федерации. Системы сигнализации блочного пункта управления атомных станций. Функциональные требования"
(утв. и введен в действие Приказом Росстандарта от 16.04.2021 N 220-ст)

1 ПОДГОТОВЛЕН Акционерным обществом "Русатом Автоматизированные системы управления" (АО "РАСУ") на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 322 "Атомная техника"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 16 апреля 2021 г. N 220-ст

4 Настоящий стандарт идентичен международному стандарту МЭК 62241:2004 "Атомные электростанции. Блочный пункт управления. Функции и представление сигнализации" (IEC 62241:2004 "Nuclear power plants - Main control room - Alarm functions and presentation", IDT).

Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5-2012 (пункт 3.5).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном приложении ДА

5 ВВЕДЕН ВПЕРВЫЕ

6 Положения настоящего стандарта действуют в целом в отношении атомных станций, сооружаемых по российским проектам за пределами Российской Федерации, а также в отношении сооружаемых на территории Российской Федерации атомных станций в части, не противоречащей требованиям Федеральных норм и правил в области использования атомной энергии

МЭК 60964 был разработан для установления требований, предъявляемых к проектам пунктов управления атомных станций (АС). В первом издании МЭК 60964:1989, широко используемом в атомной промышленности, тема систем сигнализации была раскрыта в разделе, занимающем одну страницу. Учитывая накопленный во всем мире опыт по данному вопросу, стало очевидным, что по системам сигнализации необходим отдельный всесторонний стандарт.

Настоящий стандарт предназначен для применения в тех проектах новых блочных пунктов управления АС, которые согласуются с МЭК 60964 и работа которых начнется после опубликования данного стандарта. Он может служить в качестве справочного издания в ходе усовершенствования и модернизации уже существующих пунктов управления. При его применении к резервным пунктам управления и местным постам управления следует уделить особое внимание идентификации сфер их деятельности.

МЭК 62241 непосредственно упоминается во втором издании МЭК 60964 и является документом третьего уровня, охватывающим отдельно тему систем сигнализации.

Более подробная информация о структуре серии стандартов подкомитета МЭК ПК 45А приведена ниже в пункте "Описание структуры серии стандартов подкомитета МЭК ПК 45А".

Настоящий стандарт дополняет пункт 4.6.4 МЭК 60964 и, следовательно, заменяет руководство, приведенное в пункте A.4.6.4 приложения A к первому изданию МЭК 60964.

При классификации систем сигнализации необходимо принимать во внимание классы безопасности, определяемые МЭК 61226.

Документом верхнего уровня серии стандартов подкомитета МЭК ПК 45А является МЭК 61513. Он содержит общие требования к системам контроля и управления и к оборудованию этих систем, используемому для реализации функций, важных для безопасности АС. МЭК 61513 структурирует серию стандартов подкомитета МЭК ПК 45А.

МЭК 61513 содержит ссылки непосредственно на другие стандарты подкомитета МЭК ПК 45А, раскрывающие основные вопросы, связанные с классификацией функций и систем, их характеристиками, обеспечением независимости систем, защитой от отказов по общей причине, программным и техническим обеспечением автоматизированных систем и проектированием пунктов управления. Упомянутые стандарты, образующие второй уровень, должны рассматриваться совместно с МЭК 61513 в качестве комплекта взаимосогласованных документов.

На третьем уровне стандартов подкомитета МЭК ПК 45А находятся стандарты, непосредственно не упоминаемые в МЭК 61513, так как они касаются конкретного оборудования, технических методик или определенной деятельности. Как правило, эти документы могут использоваться сами по себе, однако по общим вопросам в них содержится ссылка на стандарты второго уровня.

Четвертый уровень серии стандартов подкомитета МЭК ПК 45 образуют технические отчеты, не являющиеся нормативными документами.

В МЭК 61513 был использован тот же формат представления, что и в основном документе по безопасности МЭК 61508, посвященном общей структуре жизненного цикла безопасности и систем. Однако МЭК 61513 трактует общие требования МЭК 61508-1, МЭК 61508-2 и МЭК 61508-4 применительно к ядерной отрасли. Поэтому согласованность с МЭК 61513 облегчит соответствие требованиям МЭК 61508 в их толковании для ядерной промышленности. С этой точки зрения МЭК 60880 и МЭК 62138 соответствуют МЭК 61508-3 в части использования для ядерной отрасли.

В МЭК 61513 имеются ссылки на документы ISO и МАГАТЭ 50-C-QA (в настоящее время взамен действует МАГАТЭ GSR Part 2) по вопросам, связанным с обеспечением качества.

Серия стандартов подкомитета МЭК ПК 45А последовательно проводит в жизнь и детализирует принципы и основные аспекты безопасности, изложенные в правилах МАГАТЭ по безопасности АС и в серии руководств по безопасности МАГАТЭ, в частности в требованиях NS-R-1 <1> и в руководстве по безопасности NS-G-1.3 <2>. Термины и определения, используемые в стандартах ПК 45А, согласованы с теми, что используются в документах МАГАТЭ.

--------------------------------

<1> Заменен на SSR-2/1 (Rev. 1).

<2> Заменен на SSG-39.

Настоящий стандарт устанавливает функциональные требования к системам сигнализации блочного пункта управления (БПУ) атомной станции (АС). В стандарте представлены определения терминов, используемых для описания функций сигнализации. Также настоящий стандарт устанавливает эргономические требования и руководство по представлению сигналов систем сигнализации БПУ АС.

Примечание - Функции сигнализации может выполнять отдельная специализированная система (система сигнализации) или, что предпочтительнее, она может входить в состав системы человеко-машинного интерфейса (ЧМИ) БПУ.

Настоящий стандарт определяет функции сигнализации, включая отбор и формирование перечня исходных сигналов, обработку сигналов (например, обработку цепочки событий, установление статических и динамических приоритетов), подготовку сигналов к отображению (например, блокировку сигнала), использование соответствующих устройств отображения информации [например, устройства визуального отображения (УВО), панели сигнализации, не управляемой компьютерными устройствами, видеостены], процедуры квитирования и сброса сигнала, а также содержит другие положения, относящиеся к данной теме.

В условиях нарушений нормальной эксплуатации или в переходных режимах работы АС многочисленные сигналы срабатывают одновременно. По этой причине при реализации функций сигнализации в БПУ АС необходимо уделять особое внимание конфигурации системы и эргономическим качествам для того, чтобы исключить неправильное понимание оператором ситуации и обеспечить его достаточной информацией. Таким образом, область применения настоящего стандарта охватывает специфические функции сигнализации, реализуемые с учетом человеческого фактора и обеспечивающие контроль и управление АС. В рамки данного стандарта не входят специализированные системы сигнализации неоперативного контура, такие как пожарная и охранная сигнализация.

Настоящий стандарт предназначен для достижения единого международного представления об основных принципах функционального проектирования систем сигнализации для пунктов управления, охватывающих соответствующие функциональные требования, эргономические требования и рекомендации по проектированию функций и представления сигнализации в БПУ АС.

Таким образом, целью настоящего стандарта является предоставление рекомендаций, позволяющих избежать проблем, которые возникали в прошлом: пропуск важных сигналов; несвоевременное обнаружение важных сигналов; возросшая рабочая нагрузка, которая может повлиять на качество других, не связанных с сигнализацией, видов операторской деятельности; игнорирование часто срабатывающей сигнализации, известное как "ложная тревога"; путаница, связанная с неправильным толкованием связей между сигналами, а также важности сигналов.

В настоящем стандарте использованы нормативные ссылки на следующие стандарты. Для датированных ссылок применяют только указанное издание ссылочного стандарта, для недатированных - последнее издание (включая все изменения).

IEC 60964:1989 <1>, Design for control rooms of nuclear power plants (Проектирование пунктов управления атомных станций)

--------------------------------

<1> В настоящее время действует IEC 60964:2018 "Nuclear power plants - Control rooms - Design".

IEC 61226, Nuclear power plants - Instrumentation and control systems important for safety - Classification (Системы контроля и управления, важные для безопасности. Классификация функций контроля и управления)

IEC 61771, Nuclear power plants - Main control room - Verification and validation of design (Атомные станции. Блочный щит управления. Валидация и верификация проекта)

IEC 61772, Nuclear power plants - Main control room - Application of visual display units (VDU) [Атомные станции. Блочный пункт управления. Применение устройств визуального отображения информации (УВО)]

IEC 61839, Nuclear power plants - Design of control rooms - Functional analysis and assignments (Атомные станции. Проектирование блочных щитов управления. Анализ и распределение функций)

В настоящем стандарте применены следующие термины с соответствующими определениями.

Примечание - Если для одного и того же термина приведены определения в МЭК 60964 и в настоящем стандарте, то следует использовать определение, приведенное в настоящем стандарте.

3.1 сигнализация (alarm): Комплекс диагностической, прогнозной, рекомендательной, предупредительной и аварийной информации, используемой для информирования оператора о состоянии и параметрах систем АС и отклонениях в технологическом процессе или в системах АС.

Примечание - Характерной информацией, отображаемой с помощью сигнализации, является наличие аномалии, для устранения которой могут потребоваться корректирующие действия, причина и возможные последствия этой аномалии, общее состояние АС, корректирующее действие для устранения аномалии и ответная реакция на корректирующее действие.

Можно выделить два типа отклонений:

- незапланированные - нежелательные отклонения технологического процесса и неисправности оборудования;

- плановые - отклонения параметров технологического процесса или состояния оборудования, являющиеся ожидаемыми, но при этом, возможно, являющиеся признаком нежелательных состояний АС.

3.2 подтверждение приема (квитирование) сигнала (alarm acknowledgement): Действие, которое должен выполнить оператор для доказательства того, что он распознал представленную ему сигнализацию.

3.3 лавинообразная сигнализация (alarm avalanche): Ситуация, когда большое количество сигналов появляется за короткий промежуток времени со скоростью, превышающей возможности оператора принять их к сведению.

3.4 кодирование сигнала (alarm coding): Способ выделения необходимого сигнала визуально или при помощи звука с целью привлечения к данному объекту внимания оператора.

3.5 управление сигнализацией (alarm control): Набор функций, управляющих представлением сигнализации и помогающих оператору правильно и своевременно распознать состояние сигнализации.

Примечание - Типичными примерами управления сигнализацией являются подтверждение приема сигнала, отмена звукового сигнала и сброс сигнала.

3.6 подготовка сигнализации к отображению (alarm display processing): Функции или механизмы обработки сигналов, используемые для управления или улучшения представления сигнализации, например для образования группового сигнала или для блокировки сигнала.

Примечание - Подготовка к отображению касается той сигнализации, которая уже сформирована в результате логической обработки сигналов.

3.7 панель сигнализации (alarm fascia): Средство отображения сигнализации, состоящее из набора табло сигнализации.

3.8 фильтрация или снижение объема сигналов (alarm reduction or filtering): Функция или механизм обработки сигналов, нацеленные на сокращение количества сигналов, предъявляемых оператору.

Примечание - Термины "фильтрация" и "снижение объема" означают один и тот же процесс.

3.9 формирование сигнализации (alarm generation): Функция или механизм обработки сигналов, используемые для формирования сигнализации на основе логической комбинации заранее определенных сигналов об отклонениях и дискретных сигналов, не связанных с отклонениями (например, сигналов о состоянии оборудования).

Примечание - См. также "обработка сигналов".

3.10 название сигнализации (alarm legend): Надпись, описывающая сигнализацию.

3.11 сигнальное сообщение (alarm message): Фраза, описывающая сигнал и обычно используемая в случае представления сигнализации на УВО.

Примечание - С таким сообщением может выводиться дополнительная информация, например время срабатывания сигнализации, уставка, а также тенденция изменения соответствующего технологического процесса. Сигнальное сообщение также используется для расшифровки речевых уведомлений, описывающих сигнализацию, которые могут содержать инструктивную или другую дополнительную информацию.

3.12 установление приоритета сигналов (alarm prioritisation): Функция или механизм обработки сигналов, подразделяющие сигналы на группы по степени их важности.

Примечание - Приоритет может быть установлен заранее или определен в динамическом режиме в зависимости от ситуации на АС. См. также "обработка сигналов".

3.13 регистрация сигнализации (alarm recording): Постоянная фиксация данных, например распечатка на бумаге или запись на долговременный магнитный или оптический носитель, обеспечивающая возможность последующего изучения и анализа названия, времени срабатывания и времени исчезновения каждого сигнала и элемента сигнализации.

3.14 сигнал (alarm signal): Дискретный сигнал, используемый в системе сигнализации и подлежащий обработке с целью формирования сигнализации.

Примечание - В качестве этих сигналов могут выступать как сигналы непосредственно от станционных датчиков, так и сигналы, поступающие от систем контроля и управления (СКУ).

3.15 обработка сигналов (alarm signal processing): Логика или механизмы, применяемые к сигналам перед тем, как соответствующая сигнализация будет сформирована и поступит на подготовку к отображению для последующего предъявления операторам.

Примечание - Обработка сигналов может быть использована для проверки их достоверности, для формирования сигнализации, для снижения количества сигнализации или для установления приоритетов сигналов.

3.16 проверка достоверности сигнала (alarm signal validation): Функция или механизм обработки сигнала, которые определяют, насколько верно сигнал отражает реальное состояние соответствующего технологического процесса или системы.

3.17 отмена звукового сигнала (alarm silence): Действие, выполняемое для прекращения звукового сигнала или оповещения, связанного с сигнализацией.

3.18 блокировка сигнала (alarm suppression): Функция представления сигнализации, которая отключает свечение или предотвращает отображение сообщений сигнализации, не имеющих значимости для эксплуатации в данный момент.

Примечание - Заблокированное состояние сигнала может определяться и другими способами.

3.19 система сигнализации (alarm system): Система, созданная для извещения операторов о наличии нарушения в работе (т.е. отклонения в системе или технологическом процессе), для устранения которого могут потребоваться корректирующие действия.

Примечание - Обычно система сигнализации является подсистемой СКУ, особенно если речь идет о цифровых СКУ, однако она может представлять собой отдельный комплекс оборудования, как это было в СКУ с жесткой логикой.

3.20 уставка срабатывания сигнализации (alarm threshold): Значение технологического параметра или состояние системы, используемые в качестве исходной точки для формирования сигнала.

Примечание - В качестве других названий применяют предел или порог сигнализации.

3.21 табло сигнализации (alarm tile): Устройство отображения сигнализации с нанесенным на него текстовым описанием, подсвечиваемым с обратной стороны при возникновении причины срабатывания данной сигнализации.

3.22 извещение (alerting): Процесс оповещения с помощью визуальных и звуковых сигналов, целью которого является привлечение внимания оператора.

3.23 принцип "темной панели" (dark-board): Принцип организации отображения сигнализации, направленный на то, чтобы в условиях нормальной эксплуатации АС сигнализация отсутствовала.

3.24 индикатор расхождения (discrepancy indicator): Средство отображения информации, которое совмещено с ключом управления, управляющим некоторой единицей оборудования, и которое загорается в случае, если состояние отличается от последнего состояния, заданного этим ключом управления, или от позиции, в которой находится ключ.

3.25 динамическое кодирование сигнала (dynamic alarm coding): Функция или механизм подготовки сигнала к отображению, используемые для динамического изменения кодирования сигнала (например, цвета представления сигнала).

Примечание - Примером динамического кодирования сигнала является подсвечивание окна сигнализации разными цветами в соответствии с динамически определяемыми приоритетами.

3.26 первый сработавший сигнал (first-up alarm): Сработавшая первой сигнализация, за которой последовало формирование сигналов связанной с ней системы.

Примечание - Часто используется в качестве первого сигнала, вызывающего срабатывание системы защиты реактора или систем безопасности. Другое название - "первый поступивший сигнал".

3.27 групповой сигнал (grouped alarm): Сигнализация, являющаяся логической комбинацией нескольких элементов сигнализации.

Примечание - Обычно для формирования группового сигнала используют простой оператор ИЛИ. Иногда называют "общая сигнализация".

3.28 группирование (grouping): Физически или функционально сгруппированные сигналы.

Примечание - Примером физического группирования является размещение группы сигнализации в определенном, визуально выделяющемся месте.

3.29 навигация (navigation): Функция информационной системы с отображением информации на УВО, посредством которой операторы определяют местонахождение необходимой информации, а также выбирают требуемые дисплейные форматы.

3.30 ложная тревога (nuisance alarm): Сигнализация, которая периодически срабатывает и исчезает, отвлекая при этом внимание и раздражая персонал пункта управления.

Примечание - Другое название - "повторяющаяся сигнализация".

3.31 возобновление мигания (reflash): Мигание названия сигнализации или ее повторное представление на УВО с мигающим символом, свидетельствующее о том, что данная сигнализация сработала вновь после исчезновения, либо о том, что в групповом сигнале сработал новый сигнал.

3.32 сброс (reset): Функция управления сигнализацией, используемая для возврата системы сигнализации в определенное исходное состояние путем удаления исчезнувшего сигнала со средств отображения.

3.33 отбой (ringback): Функция представления сигнализации, используемая для указания того, что причина сигнализации исчезла.

3.34 квитированная сигнализация (standing alarm): Сигнализация, которая сработала и квитирована, т.е. ее прием был подтвержден операторами.

3.35 пиктограмма (telop): Короткое сообщение или символ, часто включающий в себя число, представленные в нижней или верхней строке экрана УВО и предназначенные для обращения внимания пользователя на какой-либо другой формат или для информирования пользователя о некотором факте, например о количестве сработавших сигналов.

Известно, что неудовлетворительно выполненная система сигнализации зачастую приводит к проблемам, связанным с человеческим фактором, которые могут угрожать работоспособности и безопасности АС. Типичными проблемами такого рода являются:

- пропуск важного сигнала;

- несвоевременное обнаружение важного сигнала;

- возросшая рабочая нагрузка, которая может повлиять на качество других, не связанных с сигнализацией, видов операторской деятельности;

- игнорирование часто срабатывающей сигнализации;

- путаница, связанная с неправильным толкованием связей между сигналами, а также важности каждого сигнала;

- несвоевременное представление сигнализации, когда операторы уже знают, что изменения в работе АС произошли. Такая ситуация подрывает доверие операторов к надежности сигнализации.

Известно, что перечисленные проблемы, связанные с человеческим фактором, обусловлены следующими основными причинами:

- в переходных режимах срабатывает большое количество сигналов, и операторы не могут сразу же подтвердить их прием. Данная проблема известна как "лавинообразная сигнализация". Кроме того, значительная часть этой сигнализации не представляет никакой ценности с точки зрения управления АС и является следствием работы других более значимых сигнализаций;

- ложная тревога и квитированная сигнализация;

- сигнализация, срабатывание которой происходит в режимах нормальной эксплуатации;

- большое количество сигнализации, срабатывающей во время аварийных остановок, ремонтных работ или периодических испытаний;

- стили работы операторов. Чтобы преодолеть проблемы человеческого фактора, операторы стремятся выработать свой собственный стиль работы. Например, некоторые операторы не спешат квитировать сигнализацию сразу после возникновения переходного режима. Это позволяет смягчить проблему возросшей рабочей нагрузки, однако может привести к запаздыванию в обнаружении важной сигнализации;

- конструктивные ограничения существующей системы сигнализации в части обработки сигналов и подготовки сигнализации к отображению.

Существенно уменьшить влияние перечисленных проблем можно только в том случае, если все разработчики системы возьмутся за решение следующих задач:

- четкое определение ценности каждого сигнала с точки зрения управления АС в данной конкретной ситуации;

- выявление динамических взаимосвязей между различными сигналами;

- применение соответствующей логической обработки сигналов и подходящих методов подготовки сигнализации к отображению.

Основное назначение настоящего стандарта состоит в представлении четко сформулированных функциональных требований и рекомендаций по их реализации с целью ослабления указанных проблем, связанных с человеческим фактором.

Дополнительная информация приведена в приложении A.

Концептуальная схема функционального проектирования систем сигнализации, включающая в себя элементы, обсуждаемые в рамках настоящего стандарта, представлена на рисунке 1. При этом реальные аппаратные средства и программное обеспечение могут различаться в зависимости от архитектуры СКУ, выбора разработчиков и других факторов.

Настоящий стандарт рассматривает следующие пять основных элементов проектирования системы сигнализации:

- определение перечня сигналов;

- обработка сигналов;

- подготовка сигнализации к отображению;

- управление и организация сигнализации;

- представление сигнализации и интеграция средств отображения информации и органов управления.

Другими важными элементами функционального проектирования системы сигнализации, рассматриваемыми в рамках настоящего стандарта, являются:

- надежность;

- испытания;

- ремонтопригодность;

- функция регистрации;

- процедуры реакции на сигнализацию.

Система сигнализации должна выявлять нежелательные изменения в работе АС с целью подачи сигналов, проводя при этом последовательно обработку сигналов, подготовку сигнализации к отображению и собственно ее отображение.

Сигнализация должна в достаточной мере предупреждать оператора и указывать ему на угрозу для безопасности и угрозу возникновения предаварийной ситуации, на отклонения в работе АС, на выход из строя оборудования и на другие события, которые могут помешать достижению целей эксплуатации АС. Более конкретно, функции сигнализации состоят, по крайней мере, в выполнении следующих основных задач:

- извещать оператора о наличии отклонений от нормального состояния для того, чтобы были предприняты соответствующие корректирующие действия;

- информировать оператора о повреждениях, отклонениях и непредвиденных событиях, происшедших на АС и ведущих к изменению эксплуатационного режима или состояния технологических систем АС;

- обеспечивать оператора информацией, необходимой для последующей диагностики и понимания произошедшего события с тем, чтобы помочь ему в планировании и выполнении корректирующих действий;

- констатировать общую ситуацию на АС.

При проектировании системы представления сигнализации в целом следует принимать во внимание следующие дополнительные функции:

- обеспечивать оператора информацией о причинах и последствиях произошедших событий;

- направлять оператора к определенным точкам входа общей информационной системы пункта управления;

- обеспечивать оператора соответствующими ссылками на эксплуатационные процедуры.

В дополнение к этому необходимо уделять внимание минимизации отвлекающих факторов, ложной тревоги и рабочей нагрузки оператора, порождаемых непосредственно системой сигнализации. Для системы сигнализации должны быть сформулированы требования к показателям функционирования.

В последующих подразделах приведены основные требования к функционированию, соответствие которым необходимо для выполнения перечисленных выше основных функций, а в дальнейших подразделах даются рекомендации для каждой из этих функций.

Сигналы, в основе которых обычно лежат дискретные переменные, имеющие два состояния, либо факт обнаружения достижения уставки аналоговыми переменными, используют для формирования сигнализации и ее подготовки к отображению с целью удовлетворения приведенных в 5.1 функциональных требований. Перечень сигналов может быть определен разработчиками проекта АС, но если предполагается обязательное представление сигнализации и ее отображение всякий раз, когда она срабатывает, то можно ожидать появления проблем, обусловленных человеческим фактором, заключающихся в пропуске важного сигнала и появлении лавинообразной сигнализации. Следовательно, необходима обработка таких сигналов для формирования сигнализации, а затем дальнейшая обработка, обеспечивающая их надлежащее отображение.

Сигнализация и вспомогательная информация, предусмотренные для АС, должны отображаться в таком объеме и иметь такой охват, чтобы обеспечивать эксплуатационные потребности и техническую согласованность.

В соответствии с МЭК 61839 определение перечня сигнализации должно следовать из функционального анализа.

Система сигнализации должна обеспечивать все сигналы, необходимые для безопасной и эффективной эксплуатации АС.

Для обеспечения надлежащей логической обработки сигнализации, охватывающей ремонтные режимы, аварийные остановки, режимы останова и другие режимы, сигналы должны отражать как состояние АС, так и состояние ключей управления.

Подробнее эти требования изложены в разделе 6.

Обработка сигналов, являющихся входными для системы оповещения, необходима для получения достоверной информации, которая должна быть донесена до дежурного персонала (войти в перечень сигнализации). Сигнализация должна отражать только те фактически имеющие место ситуации, в которых от оператора требуется выполнение некоторого действия или внимание. Обработка сигналов необходима для выявления таких ситуаций и, следовательно, для упрощения требуемой от оператора деятельности. Для предотвращения использования ложных сигналов их достоверность должна быть проверена. Эксплуатационный режим АС и другие причины сигнализации, имеющие место на момент появления или исчезновения сигнала, подвергают анализу и логической обработке, необходимым для формирования из этих сигналов сигнализации.

Признаками ситуации, при которой происходит реальное срабатывание сигнализации, является наличие одного или нескольких из следующих событий:

- функциональное нарушение в работе АС, требующее немедленной или в течение короткого промежутка времени реакции со стороны оператора пункта управления;

- срабатывание автоматики, осуществляющей контроль или уменьшение серьезных или опасных отклонений в работе АС;

- отказ оборудования, требующий проведение ремонтных работ или общестанционных действий, направленных на восстановление функции, выполняемой данным оборудованием.

Другие ситуации, на которые могут указывать сигналы, должны быть тщательно проанализированы, прежде чем они войдут в перечень сигнализации, действительно необходимой в пункте управления.

Выявление наиболее важных сигналов должно осуществляться на основе единой системной методики. Она может включать в себя одну или несколько следующих функций:

- проверка достоверности сигнала;

- формирование и снижение количества сигнализации;

- установление приоритетов сигналов.

При обработке сигналов выявляют сигналы о таких специфических ситуациях, которые действительно требуют оповещения, после чего выполняют подготовку сигнализации к отображению.

Подробнее эти требования изложены в разделе 7.

Подготовка сигнализации к отображению может способствовать оптимизации восприятия сигнализации оператором благодаря ее ясному отображению, группированию, блокировке звукового сигнала, обеспечению возможности выборочной блокировки квитированного сигнала, цветовому и другому кодированию сигнала. Может быть использовано пространственное группирование панелей и табло сигнализации. Цель состоит в сокращении объема отображаемых сигналов до того количества, которое необходимо для безопасной и эффективной эксплуатации АС в каждом эксплуатационном режиме.

Подготовку сигнализации к отображению следует выполнять для облегчения оценки операторами важности сигнализации. Это становится возможным в результате выполнения следующих функций:

- отображение названия сигнализации или сигнального сообщения во время срабатывания сигнализации, сопровождаемого миганием светового сигнала или соответствующего символа, а также звуковым сигналом;

- обработка и отображение лавинообразной сигнализации;

- обработка квитированной сигнализации;

- обработка ложной тревоги;

- группирование сигнализации в соответствии с технологическим делением АС или по другим признакам;

- отображение и регистрация сигнализации, включая время ее срабатывания и исчезновения.

Подробнее методы реализации этих функций представлены в разделе 8.

Управление и организация сигнализации включают в себя функции, связанные с подтверждением приема сигнализации, звуковым оповещением, сбросом сигнализации с панелей сигнализации или УВО, а также с выбором определенных функций отображения на УВО. Отображение сигнализации при возобновлении ее мигания после повторного срабатывания или при ее повторном появлении после исчезновения требует использования органов управления.

Управление представлением сигнализации должно быть организовано так, чтобы была уверенность в том, что операторы заметили каждый сигнал. Должны быть предусмотрены следующие функции управления сигнализацией:

- отмена звукового сигнала, возникающего при появлении сигнализации;

- подтверждение приема каждого сигнала при его появлении;

- отбой, указывающий на исчезновение причины сигнализации;

- сброс, осуществляемый для удаления исчезнувшей сигнализации;

- возобновление мигания, когда уже отображаемая сигнализация появляется снова.

Подробнее методы реализации этих функций представлены в разделе 9.

Для операторов необходимо, чтобы представление сигнализации осуществлялось в рамках целостного подхода, как часть общей информационной системы, и чтобы сигнализация служила отправной точкой для принятия решений и управления с целью обеспечения безопасности и достижения целей эксплуатации АС. Средства представления сигнализации включают в себя стандартные панели и табло, УВО, экраны коллективного пользования и видеостены. Для обеспечения четкости и простоты работы с сигнализацией необходимо уделить особое внимание выбору и компоновке средств отображения, организации работы с органами управления средствами отображения сигнализации, названиям сигнализации и сигнальным сообщениям, а также детальным алгоритмам отображения в случае использования УВО.

Для реализации функций и удовлетворения требований, приведенных в 5.1, совместно с функциями и методами, перечисленными в 5.3 - 5.5, с особой тщательностью должны быть продуманы способы физического представления сигнальных сообщений, их компоновка и группирование.

В частности, способ представления сигнализации должен гарантировать реализацию функциональных возможностей системы в условиях наивысшей интенсивности сигнализации. Иначе говоря, сигналы, требующие немедленной реакции со стороны оператора, или сигналы, свидетельствующие об угрозе критическим функциям безопасности АС (высокоприоритетные сигналы), должны быть представлены так, чтобы способствовать быстрому обнаружению и пониманию оператором при любой интенсивности сигнализации. Ниже приведены общие требования, вытекающие из этого:

- для высокоприоритетных сигналов должно быть выделено определенное место;

- сигналы в пределах данного средства отображения должны быть сгруппированы, предпочтительно по функциональному признаку, по технологическим системам АС или в соответствии с какой-то другой логической организацией.

Более того, в ходе проектирования необходимо уделять должное внимание следующим вопросам детальной проработки представления сигнала:

- кодирование;

- характеристики отображения (например, для дисплейного формата);

- четкость и согласованность названия и сообщений;

- средства навигации.

Подробнее методы реализации этих функций представлены в разделе 10.

Конструкция системы сигнализации должна соответствовать стандартам, а также правилам функционирования остальной части человеко-машинного интерфейса. Она также должна быть согласована с соответствующими эксплуатационными процедурами. Таким образом, разработчики должны формировать сигнализацию не автономно, а как неотъемлемую часть общей информационной системы с надлежащим учетом интересов как с точки зрения эксплуатации, так и человеческого фактора (эргономики).

В связи с этим должны быть учтены следующие аспекты:

- информационное содержание и степень охвата;

- термины и аббревиатуры, например ясность и согласованность представления информации на УВО и на табло сигнализации;

- принципы кодирования и другие нормы и правила в области эргономики, например согласованность кодирования сигнала на УВО и на табло сигнализации.

При проектировании системы сигнализации необходимо сформировать эргономические критерии и руководства, которые в дальнейшем должны неукоснительно применяться. Должна быть выполнена подборка соответствующих эргономических стандартов и руководств.

Разработку системы сигнализации следует вести в рамках проектной группы БПУ. Для проектирования системы сигнализации может быть назначен координатор. При этом должны быть обеспечены учет человеческого фактора и надлежащее рассмотрение вопросов безопасности.

В процессе проектирования необходимо выбрать основной метод привлечения внимания оператора к сигнализации и определить действие по квитированию (подтверждению приема) сигнализации. Обычно для обеспечения однозначной идентификации и регистрации используют протокол сигнальных сообщений. В протоколах сигнальных сообщений, на мнемосхемах и схемах процесса следует использовать одни и те же символы и условные обозначения как для описания ситуации, о которой оповещают, так и для отображения изменения состояния самой сигнализации (переход из одного состояния в другое - в активное состояние или исчезновение).

Чтобы удостовериться в том, что запланированные показатели функционирования системы успешно достигнуты, должна быть проведена их оценка, выполняемая в соответствии с МЭК 61771. В частности, должна быть смоделирована ситуация, вызывающая лавинообразную сигнализацию, а система должна продемонстрировать способность передавать сигналы оператору, не выходя при этом за определенные рамки временной задержки.

Функции сигнализации классифицируют в соответствии с МЭК 61226. В приложении G приведены примеры признаков, которыми следует руководствоваться при классификации сигнализации и которые затем определяют класс оборудования, с помощью которого реализуется данная сигнализация.

Состав сигнализации, источники информации, а также принципы, в соответствии с которыми будут выбираться и представляться сигналы, необходимо определять на ранней стадии проектирования АС. При пересмотре этих положений в ходе переоснащения системы объем сигнализации следует определять в соответствии с первоначальным проектом. В процессе пересмотра необходимо обеспечить согласованность с принципами, принятыми в первоначальном проекте, и включать новые источники информации, следуя четко установленным принципам пересмотра.

Принципы отбора информации для формирования сигнализации должны обеспечивать достаточный уровень сигнализации, призванной контролировать:

- состояние критических функций безопасности;

- потенциальную опасность для персонала;

- повреждение или отказ оборудования, выполняющего функцию безопасности;

- ситуации на АС, оказывающие неблагоприятное влияние на достижение целей ее эксплуатации.

Примечание - Типичные критические функции безопасности приведены в приложении A.3.1.1 МЭК 60964, в котором перечислены такие функции, как управление реактивностью, обеспечение запаса теплоносителя, отвод тепла от активной зоны, сброс избыточного тепла, целостность системы теплоносителя первого контура, целостность контейнмента, а также в руководствах МАГАТЭ.

Функции сигнализации должны быть реализованы в рамках оборудования СКУ, соответствующего тому классу безопасности, который соответствует категории данной функции. Если для выполнения основных функций сигнализации используют оборудование, которое не соответствует наивысшему из требуемых классов безопасности, то возможным решением является перенос некоторой части сигнализации на оборудование, имеющее более высокий класс, что позволит обеспечить следующие функции:

- продолжительную безопасную эксплуатацию АС в стационарном режиме в период неработоспособности информационно-вычислительной системы АС или основной системы сигнализации;

- выполнение безопасной остановки АС при появлении любой наиболее ответственной сигнализации в период неработоспособности информационно-вычислительной системы АС или основной системы сигнализации;

- проверку и подтверждение того, что достигнуто безопасное остановленное состояние.

Данный подход может также применяться в том случае, если было выявлено, что информационно-вычислительная система АС и интегрированная с ней система сигнализации не обладают достаточной надежностью для обеспечения безопасной эксплуатации и остановки АС тогда, когда это необходимо.

Потребность в сигнализации и ее важность должны определяться и обосновываться с точки зрения будущей эксплуатации, а не только с точки зрения проектировщика отдельной технологической системы. События, которые должны порождать сигналы, поступающие на логическую обработку для формирования сигнализации, подлежащей представлению, включают в себя следующее:

- выход за пределы уровней, соответствующих нормальной эксплуатации, тех параметров, по которым принимают решение о продолжении работы АС или которые являются критическими для безопасности АС;

- выход параметров за многоуровневые уставки, который позволяет выявить отклонение от нормальных стационарных режимов или развитие нарушений нормальной эксплуатации, приводящих к аварийной остановке АС и срабатыванию систем безопасности;

- неадекватное состояние электрического и механического оборудования, такого как клапаны, насосы и др.;

- отказы срабатывания автоматики, нарушение программы ее срабатывания или неполное срабатывание (обнаруживаемые, например, благодаря встроенному контролю функций автоматики, динамической проверке выполнения программ автоматического управления или фактам отсутствия сигнализации в тех случаях, когда ее появление ожидалось);

- несоответствие требуемого и реального состояния какой-либо технологической системы АС (например, система управления с обратной связью не выдает ожидаемого результата, автоматический выключатель не замыкает цепь после того, как соответствующий ключ управления был установлен в позицию "включить" или "замкнуть");

- нарушения в работе или отказы цифрового и другого измерительного оборудования, систем обработки и отображения сигналов, систем управления и защиты, а также результаты самодиагностики;

- потеря секции электропитания информационно-вычислительной системы, потеря избыточности или полная потеря информационно-вычислительной системы или других основных систем, обеспечивающих сигнализацию.

Сигналы, не требующие внимания или реакции со стороны операторов, не должны вызывать сигнализацию в БПУ.

Система сигнализации должна обладать резервными возможностями и оборудованием для внесения изменений.

В приложении B приведены типичные источники сигналов.

Обработка сигналов должна гарантировать, что для представления в режиме реального времени выбраны только достоверные и уместные сигналы и что появление не относящейся к делу сигнализации ограничено во всех режимах эксплуатации АС.

Обработка сигналов должна гарантировать надлежащее выявление и регистрацию сигнализации.

Достоверность датчиков и входных сигналов необходимо проверять в режиме реального времени для недопущения формирования сигнализации с использованием ложной информации, возникающей вследствие отказов датчиков или оборудования, формирующего входные сигналы.

Удобным методом проверки достоверности аналоговых сигналов в режиме реального времени является проверка нахождения электрического сигнала и измеряемого значения в допустимом диапазоне. Для проверки достоверности состояния контакта или дискретных сигналов в режиме реального времени могут быть использованы оборудование для обнаружения разрывов цепи и замыкания на землю, а также методы фильтрации дребезга контактов.

Сигнализация или информация, зависимые от любого недостоверного входного сигнала или неисправного оборудования, формирующего входные сигналы, при отображении должна помечаться как недостоверная с использованием определенных меток или других способов.

Логическую обработку сигналов следует выполнять для формирования сигнализации и ограничения или снижения ее количества до уровня, значимого для управления АС, используя следующие функции:

- распознавание эксплуатационного, ремонтного режима или режима останова и определение на его основе информации и способа отображения сигнализации, порождаемой данным сигналом;

- назначение приоритетов сигналам и сформированной сигнализации путем определения для каждого сигнала заранее фиксированного уровня приоритета, динамического определения уровня приоритета или определения относительного приоритета по сравнению с остальной сигнализацией;

- сокращение количества сигналов до такой степени, чтобы оставалась только та сигнализация, которая является значимой с точки зрения эксплуатации АС в данный момент времени;

- обработка с целью снижения количества сигналов при возникновении условий для формирования лавинообразной сигнализации, имеющих место при аварийных остановках или в других ситуациях.

Если проект требует формирования сигнализации, то должны быть выполнены следующие условия:

- все сигналы, на основе которых формируется новая сигнализация, должны быть четко определены;

- способ или логика формирования сигнализации должны быть задокументированы и доведены до сведения разработчиков и пользователей;

- количество сигнальных сообщений, представляемых оператору во время нарушений нормальной эксплуатации, должно быть сокращено с помощью методов обработки сигнализации с целью поддержать способность оператора к своевременному обнаружению, пониманию всей сигнализации, важной в создавшейся на АС ситуации, и ответным действиям в необходимый промежуток времени;

- должна быть обеспечена обработка сигнала с целью его блокировки, снижения количества и установления приоритетов.

Обработка сигналов может выполняться для формирования индивидуального и группового сигнала или для снижения количества сигнализации. Для формирования сигналов, их группирования и для установления приоритетов сигналов могут быть использованы логические операторы "И", "ИЛИ" и "НЕ", "временные задержки" и другие логические конструкции. Логическая обработка сигналов, включающая в себя анализ эксплуатационного режима АС или анализ причин различных сигналов, может выполняться для принятия решения о том, рассматривать или не рассматривать какой-либо сигнал как сигнализацию, подлежащую отображению. Методы обработки, которые могут быть использованы, приведены в приложении C.

Цель установления приоритетов сигналов состоит в обеспечении операторов руководством для определения относительной важности того или иного сигнала. Установление приоритетов не должно служить основой для блокировки сигнала, так как это приведет к удалению значимой для управления информации о происходящих на АС изменениях, необходимой для поддержания осведомленности операторов об этих изменениях.

Установление приоритетов осуществляют путем назначения каждому сигналу одного из нескольких уровней приоритета. Количество уровней должно быть небольшим, чтобы исключить путаницу (например, в диапазоне от трех до пяти уровней).

Определение приоритета сигнала может быть частью процесса обработки сигналов. Наиболее важным фактором, определяющим приоритет сигнала, является серьезность ситуации или последствий. Приоритет сигнала может быть зафиксирован при проектировании системы или установлен в динамическом режиме.

Могут быть использованы следующие методы назначения приоритетов:

- назначают фиксированный приоритет, основанный на статической степени важности данного сигнала. Каждый сигнал классифицируют по степени важности, определяемой исходя из потенциального воздействия на АС, возможности выброса радиоактивных материалов и срочности действий, требуемых от операторов;

- назначают динамический приоритет, основанный на динамической степени важности данного сигнала. Степень важности сигнала определяют динамически путем логической обработки сигналов, используя взаимосвязи между сформированными сигналами и текущим режимом работы АС (т.е. во время нормальной эксплуатации, при нарушениях нормальной эксплуатации, предаварийных ситуациях и авариях). Различие более и менее важных в данный момент времени сигналов характеризуют с помощью уровней приоритета.

Метод назначения фиксированных приоритетов является простым, но с его помощью может оказаться невозможным добиться оптимального назначения приоритетов для всех режимов работы АС. Динамическое установление приоритетов может привести к более точным результатам. Однако при этом остается риск, что, несмотря на очень серьезные инженерные усилия, удовлетворительный результат так и не будет достигнут.

a) Назначение фиксированных приоритетов

При использовании фиксированных приоритетов приоритет сигнала устанавливают в процессе проектирования как высокий, средний или низкий, и в дальнейшем всякий раз используют установленный приоритет при управлении процессом отображения.

Приоритет для некоторых сигналов может быть установлен нормативными или какими-либо другими требованиями и всегда оставаться на некотором определенном уровне, при этом такие требования учитывают в логике формирования сигнализации. Приоритеты могут разделять сигналы на три уровня:

- сигналы с наивысшим приоритетом, требующие исполнения определенных аварийных эксплуатационных процедур или перехода к поставарийному эксплуатационному режиму;

- сигналы, указывающие на снижение работоспособности систем безопасности;

- прочие сигналы.

b) Назначение динамических приоритетов

При использовании динамических приоритетов процедура установления динамических приоритетов сигнала должна обладать способностью динамически определять высокую или низкую степень важности соответствующего сигнала по сравнению с остальными сигналами или с учетом сложившейся на АС ситуации, причем эта важность может изменяться со временем. Степень важности определяют на основе следующих факторов:

- степень срочности, с которой должны быть предприняты корректирующие действия;

- степень серьезности причины сигнала с точки зрения ее влияния на состояние АС в целом.

Степень серьезности может быть установлена в процессе проектирования, в то время как относительная срочность выполнения корректирующих действий обычно зависит от сложившихся оперативных обстоятельств, а потому должна определяться в динамическом режиме. Установление динамических приоритетов разделяет сигналы по важности на три группы в зависимости от последствий происшедшего отказа:

Дополнительная информация о методах, используемых для формирования сигнализации, динамического и относительного назначения приоритета, фильтрования и сокращения количества сигналов, представлена в приложениях C, D и E.

Система сигнализации должна обладать способностью применения временных фильтров и временных задержек, позволяющих отфильтровать сигналы от шума и исключить появление ненужной кратковременной сигнализации.

Временные задержки могут применяться как в процессе формирования сигнализации, так и в процессе снижения ее количества, а также для контроля последовательности событий. Примерами использования временной логики являются:

- задержка представления или установления приоритета для некоторой части сигналов во время возникновения лавинообразной сигнализации до тех пор, пока состояние АС не стабилизируется;

- использование временных рамок, в которые должны уложиться запуск или остановка некоторого оборудования АС, такого как насос, что позволяет выявить сбой в работе;

- использование временных ограничений на выполнение шагов программы автоматического управления, позволяющих убедиться, что события развиваются по правильному пути, или получить предупреждение о неполадках.

Более подробная информация приведена в приложении E.

Для поддержки диагностических процессов и анализа первопричины необходимо предусмотреть выявление исходного события, вызвавшего автоматическое срабатывание аварийной остановки АС, используя первый сработавший сигнал.

После обнаружения сигнализация подлежит отображению, при этом с помощью соответствующего средства должно быть представлено название сигнализации или сигнальное сообщение (см. 10.1.2). Первое отображение сигнала должно сопровождаться миганием его названия или миганием некоторого символа до тех пор, пока его прием не будет подтвержден (см. 9.4), а также звуковым оповещением (см. 9.2) до тех пор, пока не будет выполнена отмена звукового сигнала.

После исчезновения сигнализации, отображаемой на панели или табло, ее название сразу исчезает или остается подсвеченным до тех пор, пока данная сигнализация не будет сброшена воздействием на соответствующий орган управления (см. 9.6) или пока не произойдет отбой данной сигнализации (см. 9.5). Для каждой сигнализации проект должен определять, какие из перечисленных действий к ней применимы, а в названии сигнализации должен присутствовать характерный символ, указывающий на это.

Если исчезает сигнализация, отображаемая на УВО, то должен быть предусмотрен способ представления информации, однозначно указывающей, что данная сигнализация исчезла. Можно использовать и другие способы, однако делать это нужно осторожно.

К способам, снижающим риск возникновения путаницы, относятся:

- удаление сообщений из протоколов только в том случае, если они отражены и видимы на дисплее и только в результате непосредственного действия оператора по управлению сигнализацией;

- переупорядочение или удаление сообщений, которые могут появиться на дисплее после отключения сигнализации, но только в результате непосредственного действия оператора по управлению сигнализацией, а не автоматически.

Подготовка сигнализации к отображению должна быть основана на единых и взаимно согласованных методах логической обработки, используемых для управления представлением сигнализации.

Групповой сигнал используют для логического объединения нескольких сигналов в единое сообщение или название, применяя логические операторы "И", "ИЛИ", "НЕ" и "временные задержки".

Каждый индивидуальный сигнал должен быть отнесен к определенной группе, и при этом должны быть предусмотрены средства доступа из группового сигнала к каждому индивидуальному сигналу.

Сигналы можно объединять в группу только в том случае, если все они требуют по существу одного и того же ответного действия. Группы могут быть сформированы:

- из сигналов, отражающих одну и ту же причину для дублирующих единиц оборудования, представленных в виде отдельных индикаторов, находящихся в непосредственной близости друг от друга;

- всех сигналов для данной системы или оборудования, при условии, что все они имеют одинаковую относительную значимость и срочность ответных действий;

- всех сигналов системы, ответным действием на которые является направление оператора на место происшествия с целью изучения ситуации на месте;

- сигналов, обобщающих набор одновходовых сигналов, представленных в других частях пункта управления.

Сигнализация может подавляться автоматически в ходе подготовки к отображению или вручную. Критерии, используемые для автоматической блокировки, должны быть четко определены. Для автоматической блокировки могут быть использованы следующие методы:

- понижение статуса квитированной сигнализации, которая определенное время назад была представлена и квитирована, до уровня информационного сигнала;

- понижение приоритета сигнала, данного при обработке, до уровня информационного сигнала;

- временная задержка, применяемая перед отображением сигнализации, дающая возможность оператору сконцентрировать внимание на более важном сигнале, например в условиях лавинообразной сигнализации;

- выявление в результате анализа достоверности недостоверного сигнала, являющегося причиной блокировки связанных с ним сигналов, формируемых в результате обработки;

- блокировка сигнала от некоторого заранее определенного оборудования.

Должны быть предусмотрены средства блокировки сигнала вручную, позволяющие выбрать сигнал и определить требуемую функцию блокировки.

Должны быть предусмотрены средства, позволяющие проводить проверку, регистрацию, возврат в работу и подтверждение блокировки сигнала. Это может быть эффективно реализовано в случае представления информации на экране УВО.

Информация, представляемая в системе сигнализации, должна быть непротиворечивой. Устройство системы не должно допускать одновременно блокировки сигнала на одном средстве отображения информации и отображения той же сигнализации на другом средстве, так как это создает противоречия с точки зрения управления и может привести к ошибкам оператора при интерпретации истинного состояния АС.

Должны быть предусмотрены средства, позволяющие оператору управлять блокировкой повторяющегося звукового сигнала. С момента блокировки и до момента возврата в работу соответствующие сигналы не будут вызывать никаких изменений состояния средств отображения информации, однако информация об их состоянии должна быть доступна оператору по запросу.

При отображении сигнализации на экране УВО должен быть предусмотрен способ удаления квитированной сигнализации во избежание скопления в отображаемых на дисплее протоколах слишком большого количества сигналов. Такой способ позволит оператору отбирать одно или несколько сигнальных сообщений и удалять их из протоколов квитированной сигнализации или из других мест, где зарегистрирована данная сигнализация. При этом по-прежнему должна осуществляться проверка соответствующих сигналов с тем, чтобы в случае исчезновения сигнализации или исчезновения с последующим возобновлением этот факт был показан на средствах отображения информации.

При работе в номинальном режиме необходимо использовать принцип "темной панели", что также рекомендуется и для всех остальных энергетических режимов с меньшими уровнями мощности. Основной критерий состоит в том, что количество представляемой сигнализации должно быть минимизировано, не нарушая при этом требования обеспечения безопасности и сохранения работоспособности. Данный принцип в равной степени относится к панелям сигнализации, табло сигнализации на панелях, сигнализации на экранах коллективного пользования и к отображению на УВО.

Органы управления сигнализацией должны быть унифицированы для всех средств представления сигнализации (например, для панели сигнализации, табло сигнализации, УВО, экрана коллективного пользования и др.).

Органы управления сигнализацией (например, кнопки, меню УВО, объекты для клика компьютерной мышью и др.) должны быть легко отличимыми друг от друга по форме, цвету, размеру и другим характеристикам с тем, чтобы минимизировать возможность случайного воздействия не на тот орган управления. Ниже приведены общие рекомендации:

- для отмены звукового сигнала, подтверждения приема и сброса сигнализации должны быть предусмотрены отдельные органы управления;

- органы управления сигнализацией должны отчетливо кодироваться для облегчения их распознавания;

- каждая группа органов управления сигнализацией должна быть скомпонована так, чтобы органы, отвечающие за одинаковые функции, имели одинаковое относительное местоположение;

- конструкция органов управления сигнализацией не должна допускать, чтобы оператор мог сломать их.

Для любого средства представления сигнализации (например, как для панелей сигнализации, так и для компьютерных дисплеев, которые служат для представления сигнализации) должна быть предусмотрена одна и та же стандартная последовательность процедур управления сигнализацией.

Типовые последовательности процедур управления и работы сигнализации приведены на рисунках 2 и 3.

Примечание - Сирена 1 и сирена 2 могут быть идентичными; мигание 1 и мигание 2 могут быть идентичными.

Примечание - Событие 1 и событие 2 образуют групповой сигнал. Возобновление мигания возникает при срабатывании сигнализации 2. В данном примере после исчезновения сигнализации 1 сброс не проводится.

Появление сигнализации на средствах отображения должно сопровождаться звуковым оповещением, действующим до тех пор, пока не будет проведено ручное или автоматическое воздействие на орган управления для отмены звукового сигнала или для подтверждения приема сигнализации. Если сигнализация исчезает и затем снова появляется, то звуковое оповещение должно быть активировано еще раз, в зависимости от интервала между первоначальным и повторным срабатыванием сигнализации.

При разработке логики формирования звукового сигнала необходимо учесть ситуации, в которых за короткий период времени возникает большое количество сигналов, чтобы предотвратить раздражающее воздействие на операторов.

Ручное отключение звукового оповещения должно быть невозможным, за исключением ситуации, когда конструкция органа управления для отмены звукового сигнала позволяет отключать звук на заранее определенное ограниченное время.

Сигналы звукового оповещения не должны перекрываться ожидаемым окружающим шумом и должны быть легко отличимыми от звуковых сигналов, ассоциированных с другими системами, такими как физическая защита АС, оповещение об эвакуации вследствие возникновения радиационного заражения, оповещение о пожаре и других подобных опасностях. В целом достаточно, чтобы громкость звука превышала средний окружающий шум на 10 дБ. Должна быть предусмотрена возможность регулирования громкости звукового сигнала в определенных границах.

Громкость звука или частота повторений могут отличаться в соответствии с важностью ситуации (сигнализация, оповещение о происшедшем событии).

Для обозначения приоритета сигнализации могут быть использованы несколько различных звуков, которые оператор способен отличить друг от друга. Во избежание дезориентации оператора рекомендуется, чтобы в пункте управления было предусмотрено не более пяти разных звуковых сигналов оповещения.

Вся сигнализация должна сопровождаться мигающим визуальным сигналом, инициируемым при возникновении причины сигнализации. Не рекомендуется мигание всего текста сообщения, отображаемого на УВО.

Как правило, используют частоту мигания от 5 до 1 Гц. Сигнал с более высокой частотой можно использовать для индикации того, что программа автоматического управления была некорректно прервана или не исполнена. Мигание табло сигнализации и панелей должно быть синхронизировано со всеми мигающими элементами, используемыми в пункте управления.

Возобновление мигания является функцией автоматического управления сигнализацией, используемой для повторного формирования сигнального сообщения в случае, если сигнализация срабатывает снова после исчезновения или подтверждения ее приема.

Функция возобновления мигания должна быть предусмотрена для всех групповых сигналов. Групповые сигналы должны возобновить мигание, если любой участвующий в их формировании сигнал перешел в состояние, указывающее на снижение уровня безопасности.

Сигнальное сообщение, отображаемое на УВО, должно быть представлено новым мигающим символом, если оно появилось снова после исчезновения (и при этом не было сброшено и продолжает присутствовать в протоколе сигнализации), но при условии, что данное сигнальное сообщение все еще находится в видимой в настоящий момент части протокола. В противном случае оно должно выводиться так же, как и вновь появившаяся сигнализация, либо на него должна указывать пиктограмма, размещаемая в видимой в настоящий момент части протокола.

Подтверждение приема (квитирование) является функцией управления, которая должна быть предусмотрена для всех групп сигнализации, таких как сигнализация на панели сигнализации или группа табло сигнализации, или как ответное действие на сигнализацию, отображаемую на ближайшем УВО.

После квитирования сигнализация должна перестать мигать и перейти на ровное свечение. Квитирование может также использоваться для одновременной отмены звукового сигнала.

Квитирование должно осуществляться только с тех мест, где соответствующая сигнализация находится в зоне видимости операторов. Орган управления квитированием не должен вызывать квитирования той сигнализации, которая находится вне зоны отображения или которая скрыта за другими форматами УВО.

Отбой - это автоматическая функция управления сигнализацией, предназначенная для информирования оператора звуковыми и/или визуальными способами о том, что причина сигнализации исчезла и соответствующая сигнализация может быть сброшена.

Отбой используют в тех случаях, когда важно в явном виде проинформировать операторов об устранении хотя бы однажды возникшего нарушения нормальной эксплуатации.

Отбой следует применять с осторожностью для сигнализации, отображаемой на УВО, так как это может привести к чрезмерному количеству сигнальных сообщений и может вызвать обманчивое маскирование другого сигнала.

Сброс является функцией управления, которая должна быть предусмотрена для всех групп сигналов, таких как сигналы на панели сигнализации или группа табло сигнализации, или как ответное действие на сигнализацию, отображаемую на ближайшем УВО.

Орган управления сбросом должен переводить соответствующую исчезнувшую сигнализацию в определенное исходное состояние. Это может быть гашение подсветки табло сигнализации, удаление сообщений или символов из протокола сигнализации, удаление элемента из пиктограммы и др.

Сброс сигнальных сообщений с УВО должен быть организован в соответствии с процедурой, используемой для панелей сигнализации. Инициирование данной функции может вызывать сброс сообщений с той страницы, которая отображается в данный момент, или сброс из всего обновляемого при этом протокола сигнализации. В результате сброса должны удаляться сообщения об исчезнувшей сигнализации, однако отображение должно быть организовано так, чтобы избегать резких изменений содержимого страниц, отображаемых в данный момент. Во избежание этого явления удаление исчезнувших сигнальных сообщений из тех частей протокола, которые в настоящий момент не отображены, может быть отложено до тех пор, пока эти части не появятся на экране.

Любой сигнал, находящийся в группе, по отношению к которой проводят операцию сброса, но при этом остающийся активным, должен по-прежнему отображаться.

Сброс вручную должен применяться в случаях, когда важно, чтобы оператор убедился, что сигнал исчез. Однако если оператор вынужден реагировать на многочисленные сигналы или если необходимо быстро перезапустить систему, то может быть предусмотрен автоматический сброс.

Функция сброса должна быть доступна только в тех местах, находясь в которых станционный персонал знает, какой сигнал он сбрасывает.

Функции сигнализации, перечисленные в 5.1 - 5.6, реализуются путем представления сигнализации, являющегося результатом обработки сигналов, подготовки сигнала к отображению, его компоновки, визуального и акустического кодирования. Более конкретно функции представления состоят в следующем:

- ясно указывать на наличие причины сигнализации;

- в самом начале привлекать внимание оператора к нарушениям и побуждать оператора к оценке ситуации с помощью звукового оповещения, мигающей подсветки или мигающего маркера на УВО;

- гарантировать, что информация о нарушении сформулирована в сообщении правильно, лаконично и недвусмысленно;

- обеспечить представление сообщения в соответствующем месте и в соответствующем окружении для того, чтобы облегчить оператору оценку ситуации и принятие решения;

- ясно показывать состояние самой сигнализации (например, новая, квитированная, исчезнувшая, заблокированная);

- отображать приоритет (например, срочность требуемых от оператора действий или важность для безопасности АС);

- показывать простым способом взаимосвязь с другой сигнализацией и соответствующим оборудованием;

- помогать оператору правильно реагировать на каждую сигнализацию;

- обращать внимание оператора на необходимость использования других средств отображения информации для проверки или уточнения состояния сигнализации;

- помогать всему оперативному персоналу в поддержании его осведомленности о состоянии АС и ее основных функций.

Основные способы представления сигнализации определяют на ранней стадии проектирования в соответствии с функциональными целями, указанными в 5.1 - 5.6. В качестве средств представления сигнализации следует рассматривать:

- панели сигнализации;

- табло сигнализации;

- индикаторы расхождения;

- световую индикацию;

- УВО с возможностями выполнения запросов;

- представление на экране УВО;

- видеостены, включая и те, которые управляются информационно-вычислительной системой.

Система сигнализации должна быть функционально целостной настолько, насколько это возможно, особенно если в ней использована комбинация различных средств представления, разбросанных по разным зонам БПУ (например, УВО, экраны коллективного пользования, специальные панели). Это означает, что система сигнализации должна быть не простым объединением двух (или более) независимых подсистем, а результатом хорошо продуманной функциональной интеграции и унификации работы.

Панели сигнализации, табло сигнализации и индикаторы расхождения позволяют реализовать принцип "темной панели". В особых случаях, когда принцип "темной панели" неуместен, могут использоваться индикаторы расхождения и световая индикация. Их можно применять для индикации состояний, которые в определенных ситуациях не несут никакой опасности, однако становятся небезопасными в других эксплуатационных ситуациях, например для индикации правильного или ложного запуска или нежелательного отказа технических средств обеспечения безопасности. На сегодняшний день на многих АС вся сигнализация представлена на УВО, за исключением небольшого количества наиболее ответственной сигнализации, необходимой в случае серьезного нарушения в работе информационно-вычислительной системы. На АС также может быть использована большая обзорная мнемосхема, представленная на экране коллективного пользования или на видеостене, которые применяют совместно с индивидуальными УВО и управление которыми является одной из функций программного обеспечения системы контроля.

Панели сигнализации, экраны коллективного пользования, видеостены и табло сигнализации способны эффективно оповещать операторов о происшедшем событии, решая одновременно различные задачи. Это позволяет им обеспечить общее понимание и распознавание признаков нарушения, включая такое распознавание нарушений, которое зависит от взаимосвязи или сопоставления нескольких сигналов.

УВО - это основное устройство контроля для целостного отображения связанной информации. Оно способно отображать сигнализацию постоянно или по мере необходимости, а также может отображать пиктограммы в верхней или нижней части экрана. Кроме того, оно способно упорядочить отображение хронологически, в порядке срабатывания сигнализации.

Общее или коллективное УВО может функционировать как устройство для представления сигнализации, работающее параллельно и в связке с другими средствами отображения. Для формирования такого параллельного представления могут использоваться выделенные области на экранах коллективного пользования, средства отображения информации, продублированные в нескольких местах, совместно используемые УВО и панели сигнализации, обзорные панели и другие средства.

Взаимодополняющие качества панелей сигнализации и УВО могут быть объединены с помощью компьютеризованной системы сигнализации, что позволяет использовать преимущества сильных сторон обоих способов представления. УВО дают возможность легко выполнить перекомпоновку сигнализации, определенным образом систематизируя и группируя ее и сохраняя при этом определенное месторасположение, что облегчает быстрое восприятие оператором. С помощью систем УВО можно также организовать отображение сигнализации параллельно и во взаимодействии со станционной системой централизованного контроля.

В качестве основного устройства отображения сигнализации обычно следует использовать УВО. Использование УВО и дополнительное использование панели и УВО может оказаться эффективным для обеспечения оператора достаточной информацией. При представлении сигнализации на УВО для ее отображения, наряду с сигнальными сообщениями, можно использовать символы или всплывающие информационные окна на фоне мнемосхем или схем процесса.

Размещение и тип средств отображения сигнализации и сигнальных сообщений должны обеспечивать следующее:

- каждый член оперативного персонала должен иметь сигнализацию, необходимую ему или ей для выполнения своей задачи;

- весь оперативный персонал имеет возможность видеть сигнализацию, существенную для функционирования АС в целом; это может быть наиболее ответственная сигнализация, описанная в разделе 6.

В разных эксплуатационных режимах, например в нормальном и аварийном, может участвовать персонал, различающийся по структуре и численности. Для каждого эксплуатационного режима на соответствующих рабочих местах должен быть обеспечен доступ к средствам отображения сигнализации.

Компоновка средств отображения сигнализации должна быть согласованной с общим подходом к организации БПУ. Особое внимание необходимо уделять компоновке средств отображения сигнализации в многоблочном пункте управления (например, в случае, если некоторая сигнализация дублируется на нескольких блоках).

С целью облегчения понимания сообщений оператором, сообщения следует размещать на устройстве представления с учетом их привычного местоположения.

Правила группирования должны быть четкими и согласованными с операторской практикой.

Физическое группирование сигналов на панелях управления или их ассоциирование друг с другом на средствах УВО должны облегчать оператору определение того, какая функция или технологическая система АС затронута нарушением.

В соответствии с функциональным подходом, являющимся основой для проектирования пункта управления (см. МЭК 61839), сигналы должны быть пространственно сгруппированы в соответствии с технологическими функциями, работоспособностью АС и функциями безопасности, к которым относятся все сигналы, объединяемые в одну группу.

Другими способами пространственного группирования являются группирование сигналов в соответствии с технологическими системами или организация сигнализации в соответствии с некоторой логической структурой. Для полной организации сигнализации могут быть определены дальнейшие уровни группирования, создающие подгруппы сигналов. Гипотетический пример такой организации приведен в приложении D.

Название сигнализации, сообщения или надписи должны быть простыми, легко понимаемыми, должны использовать стандартную терминологию и описывать ситуации настолько точно, чтобы оператор мог прочитать и понять данные сообщения.

Названия сигнализации и сигнальные сообщения должны быть уникальными и должны четко указывать на проблемное оборудование АС и природу дефекта или ситуации (например, на технологические параметры, оборудование). Сигнальное сообщение должно включать в свой состав идентификатор исходного или вторичного сигнала, а также собственный уникальный код.

Названия сигнализации должны использоваться на всей АС единообразно. Названия сигнализации и сигнальные сообщения должны быть взаимно согласованными для всей сигнализации.

Названия сигнализации или сигнальные сообщения должны подчиняться некоторой системе изложения. С учетом порядка, принятого в английском языке, это может быть такая система: группа оборудования верхнего уровня и ее идентификатор, группа оборудования нижнего уровня и ее идентификатор, ситуация или параметр, суть нарушения.

При стремлении к точному и недвусмысленному определению сигнализации на АС названия сигнализации становятся длинными и подробными, и, следовательно, может быть признано целесообразным ограничить длину сообщений как для табло сигнализации, так и для отображения на УВО. Для фраз, выводимых на УВО, ограничение накладывается самим оборудованием и составляет около 40 символов латинского алфавита, включая пробелы, за исключением случаев, когда на фразу отведено две строки.

Не следует использовать сокращения, за исключением случаев, когда пространство, отведенное для размещения названий сигнализации и сигнальных сообщений, сильно ограничено. Сокращения допускается использовать в случае длинного названия или сообщения, если это не затрудняет понимание сигнализации. Используемые сокращения должны подчиняться единым правилам.

Правила для образования сокращений должны быть сформулированы и использованы в отношении следующего:

- сокращения, описывающие универсальные признаки, такие как повышение давления, снижение уровня;

- идентификация энергоблока, комплекта оборудования, номера оборудования и др.;

- использование в тексте сообщений укороченных вариантов обычных слов; возможный способ образования сокращения состоит в использовании слова в исходном написании, после чего из него удаляют одну, а затем две гласные.

Сигнальные сообщения и названия сигнализации, определенные на стадии проектирования, должны систематически пересматриваться экспертами в области человеческого фактора и представителями оперативного персонала с целью их уточнения и улучшения формулировок.

Кодирование отображаемого сигнала должно быть согласовано с принятым для АС подходом к кодированию информации и должно единообразно применяться для всех средств отображения сигнализации.

Кодирование отображаемого сигнала должно обеспечивать быстрое обнаружение и интерпретацию сигнализации операторами в любых рабочих ситуациях, складывающихся в пункте управления.

Кодирование сигнала (например, частое мигание или яркое свечение) следует использовать для той сигнализации, которая требует от оператора быстрых действий. Приоритет по важности может быть представлен цветом.

Например, для выделения важного сигнала в ситуации, когда сформировано множество сигналов, в качестве средства отображения, обеспечивающего динамическое назначение приоритета, можно использовать трехцветное табло. Важный сигнал, независимо от его местонахождения, может быть показан красным цветом, в то время как другая информация отображается желтым или зеленым.

Операторы должны иметь возможность легко оценить приоритет отображаемой сигнализации. Для каждого уровня важности может быть предусмотрено свое отдельное УВО, на котором будут отображаться сигналы только данного уровня важности.

Названия сигнализации на панели и табло должны соответствовать нормам, приведенным в 10.1.5.

Названия сигнализации на панели могут быть сгруппированы под единым заголовком, описывающим всю группу представленных на панели сигналов, например под названием технологической области АС, затронутой нарушением. Это позволяет укоротить названия сигнализации по сравнению с полными сигнальными сообщениями.

Для надписей на табло сигнализации, размещенных на мнемосхеме или скомпонованных вместе с органами управления на панели, можно использовать упрощенные формулировки, такие как "повышение давления", так как их точное распознавание обеспечивается образным представлением или географией размещения.

Для предотвращения неверной оценки ситуации идентификация табло сигнализации на панели должна быть упрощена с помощью таких средств, как компоновка табло, цветовое кодирование, группирование, акустическое кодирование и групповая сигнализация.

Для облегчения оценки уровня важности при срабатывании большого количества сигналов можно использовать изменяющие цвет трехцветные табло, позволяющие реализовать динамическое отображение приоритета. Это предотвратит зашумление сигнализации и сведет к минимуму ее пропуск или неправильное распознавание операторами. Для отображения группового сигнала, временной последовательности срабатывания сигнала и пиктограмм следует использовать УВО.

При отображении сигнализации на панелях для выявления сигнала с наивысшим приоритетом или выявления первого сработавшего сигнала среди существующего множества можно использовать только жесткую логику, не предусматривающую изменения уже имеющейся активной сигнализации.

Панели сигнализации и подсвечиваемые табло можно использовать для отображения состояния АС, указывая при этом ее работоспособность или правильность функционирования. С их же помощью можно также показывать состояние систем автоматического управления реактором и систем безопасности. Для формирования сигнализации может понадобиться обработка сигналов, в результате которой выявляется подобная информации о состоянии. Более подробные сведения даны в приложении E.

На АС, где используются компьютерные УВО, их применение для отображения сигнализации позволяет объединить отображение сигнализации с отображением большого количества другой информации, необходимой в пункте управления. Это дает возможность оператору делать прямой переход от просмотра сигнализации к просмотру связанной с ней информации о состоянии АС, что помогает ему в диагностике и принятии решения о необходимых действиях.

Индивидуальная и групповая сигнализация, представленная на панелях или табло сигнализации, также должна быть представлена на УВО. Система должна позволять получать подробности о сигналах, используемых для формирования каждой групповой сигнализации, посредством воздействия на соответствующие органы управления путем наведения на сигнальное сообщение курсора и клика мышью или прикосновения к сенсорному экрану.

При представлении сигнализации в такой форме, как протоколы сообщений на УВО, необходимо предусмотреть достаточную область отображения, обеспечивающую одновременный просмотр всех высокоприоритетных сигналов. В противном случае должны быть предусмотрены другие способы их обзора или способы, обеспечивающие быстрое получение высокоприоритетных сигналов. Наилучшим решением здесь могут быть средства отображения информации или панели, размещенные в специально отведенных местах. Для прокрутки или листания протоколов сигнализации должны быть предусмотрены простые способы, позволяющие быстро показывать только что сработавшую сигнализацию.

Сообщения, отображаемые на УВО или ЭКП, должны соответствовать нормам, приведенным в 10.1.5.

Сигнальные сообщения, отображаемые на УВО, и сообщения, распечатываемые на принтере, должны быть согласованы друг с другом. Для предотвращения путаницы необходимо разработать список используемых аббревиатур и их расшифровку и сделать его доступным на экране по запросу.

При представлении сигнализации на экранах в хронологической последовательности должно указываться время срабатывания и исчезновения каждого сигнала, необходимое для анализа сигнализации в контексте других форм представления (например, графиков, журналов событий).

Отображение сигнализации с использованием УВО должно позволять представление хронологического порядка срабатывания сигнализации. Это можно сделать с помощью протокола поступившей сигнализации, разделенного на страницы. По умолчанию на экране может быть представлена страница, содержащая только последнюю по времени сигнализацию (в настоящем документе такая страница называется "верхней"), снабженную мигающим символом, размещенным около соответствующего сигнального сообщения. При этом должен быть обеспечен доступ к предыдущим страницам протокола с помощью соответствующих органов управления.

Протоколы активной сигнализации должны быть доступны в различных видах. Их отображение может определяться с помощью соответствующих органов управления, позволяющих выбирать способ упорядочения или определенный протокол, хранящийся в памяти компьютера. Протоколы могут содержать:

- хронологически упорядоченные сигналы, относящиеся к каждому из иерархических уровней отображения, от общего обзорного представления до детализированного представления АС;

- сигналы, имеющие определенный уровень приоритета;

- заблокированные или удаленные сигналы, ставшие причиной ложной тревоги;

- сигналы, удаленные из какого-либо хронологического протокола вследствие того, что они уже известны, их прием подтвержден и они были активны в течение длительного периода времени;

- сигналы, связанные с каждым определенным участком АС, упорядоченные по идентификаторам, по технологическим признакам или по хронологии;

- сигналы в том виде, в котором они существуют до обработки и в котором они поступают в систему сигнализации;

- сигналы какого-то определенного типа.

Сигнализация, не поместившаяся на верхней странице, может быть представлена на следующих страницах. Если сигнализация, прием которой еще не подтвержден, находится на других страницах, не отображаемых в данный момент, то для привлечения внимания оператора к наличию такой сигнализации вне поля отображения должны использоваться как звуковая, так и визуальная индикация, например пиктограмма.

Использование компьютеризованных систем УВО позволяет реализовать операцию "удержание изображения" до тех пор, пока позднее не будет дана команда показать "последнюю неквитированную сигнализацию" для отображения только что сработавшего сигнала, прием которого еще не подтвержден. В обычных ситуациях это позволяет сохранить преимущество быстрого автоматического отображения приоритетного сигнала, в то время как в критических ситуациях это помогает предотвратить автоматически происходящую перекомпоновку изображения и затем немедленно получить приоритетный сигнал.

Отображение сигнализации на УВО должно содержать некоторую область, позволяющую оператору мгновенно увидеть наиболее значимый сигнал или группу сигналов и быстро перейти по цепочке отображений для получения подробностей о произошедшем нарушении в работе АС.

Система отображения сигнализации на УВО должна предусматривать отображение в явном виде сигналов, из которых в результате логической обработки формируется сигнализация. Эта функция должна давать возможность выявлять составные части любой активной сигнализации и должна быть интегрирована в систему навигации и отображения по всей АС в целом. Дополнительная информация приведена в приложении B и МЭК 61772.

Использование УВО должно обеспечивать отображение по запросу. Способы обеспечения такой возможности включают:

- наведение курсора и клик мышью по групповому сигнальному сообщению для открытия окна с сигнализацией, образующей эту группу;

- клик мышью по отображаемой величине для открытия окна с уставками срабатывания сигнализации и состоянием сигнала;

- клик мышью по сигнальному сообщению для прямого перехода к отображению соответствующей информации о состоянии АС;

- клик мышью по сигнальному сообщению для вывода меню и запуска управляющей функции, такой как блокировка ложного постоянно работающего сигнала или возврат в работу;

- ввод с помощью клавиатуры условия поиска, такого как идентификатор сигнализации, оборудования АС или идентификатор типа прибора, позволяющего выбрать и распечатать всю соответствующую этому условию сигнализацию.

Кроме мыши и курсора могут быть использованы и другие способы выбора интересующего сигнального сообщения или сигнала, такие как многопозиционный переключатель, клавиатура или сенсорный экран.

На всех экранах УВО должны отображаться краткие визуальные подсказки (например, пиктограммы), свидетельствующие о работе сигнализации. Эти подсказки могут находиться в нижней или в верхней строке на каждом экране. Они могут отражать количество активных сигналов или количество неквитированной сигнализации, номер экрана, на котором должна быть просмотрена сигнализация и другие подобные подсказки. Эти визуальные подсказки должны регулярно обновляться, например каждую секунду и тогда, когда сигнализация появляется или квитируется.

При отображении сигнальных сообщений на УВО после каждых четырех-пяти строк можно помещать какой-нибудь разделитель (например, пустую строку или горизонтальную линию), чтобы уменьшить вероятность путаницы при восприятии двух смежных строк сообщений.

Управление работой сигнализации на УВО должно быть частью управления, принятого для всех УВО информационно-вычислительной системы в целом. Органы управления должны быть прочными, надежными, долговечными и подходящими для применения в условиях пункта управления технологическим процессом АС. Цепочки управляющих действий должны быть короткими, предпочтительно, чтобы достижение любой цели осуществлялось "в одно касание". В качестве подходящих для этого средств могут быть использованы:

- "железные" кнопки и ключи, расположенные рядом с каждым УВО;

- стандартная алфавитно-цифровая или специально разработанная клавиатура, расположенная рядом с каждым УВО;

- наведение курсора и клик с помощью трэкбола или мыши по меню или областям активных объектов на УВО.

Количество операций, требуемых для вызова необходимого видеокадра, должно быть минимизировано, насколько это возможно, до рекомендуемых двух или менее действий. Также должен быть возможен вызов релевантных видеокадров одним воздействием на орган управления или кнопку вызова соответствующего видеокадра. Руководство по представлению информации на дисплеях приведено в МЭК 61772.

Звуковое оповещение, включая речевое, может быть использовано для привлечения внимания операторов, чтобы они не пропустили событие, о котором оповещает сигнализация.

Речь является подходящим средством для представления информации в человеко-машинном интерфейсе, а использование речи также для представления информации о сигнализации может создать ряд преимуществ. В то же время для представления информации о сигнализации не рекомендуется использование одного только речевого оповещения. Необходимо избегать активного использования речевых оповещений, так как это может отвлекать внимание или вызывать раздражение оперативного персонала.

Надежность интегрированной системы сигнализации должна соответствовать важности выполняемых ею функций для обеспечения безопасности. Единичный отказ такой системы не должен приводить к многочисленным сбоям сигнализации. Рекомендуется вводить необходимую избыточность и функции самодиагностики, позволяющие выявлять отказы системы.

Если в качестве основного средства отображения сигнализации используется УВО, то операторы должны иметь возможность доступа к сигнализации более чем с одного УВО.

Работоспособность каждого элемента сигнализации должна быть испытана после монтажа на месте двумя способами: от сигнала, инициируемого оборудованием системы сигнализации, и от сигнала с того оборудования, которое в действительности должно инициировать этот сигнал. Это необходимо для того, чтобы убедиться в полной исправности и работоспособности сигнализации до ввода АС в эксплуатацию.

Необходимо предусмотреть орган управления для проверки ламп в панелях и табло сигнализации, а также способ проверки функции мигания.

Во время ввода АС в эксплуатацию каждую сигнализацию, отображаемую с помощью УВО, необходимо проверить на предмет корректности отображения вместе с правильным названием, надлежащей логикой обработки и соответствующей информацией. Это можно сделать путем перекрестного тестирования, при котором отдельно проверяют корректность работы устройства, инициирующего сигнал, подаваемый на вход оборудования системы сигнализации, и корректность формирования сигнализации на основании этих входов.

Вся сигнализация, важная для безопасности, должна быть испытана на месте от устройств, инициирующих эту сигнализацию, с целью проверки корректности отображения, причем протоколы испытаний должны быть сохранены.

При вводе системы в эксплуатацию, смонтированная система сигнализации должна пройти испытания с целью демонстрации того, что все функции обработки сигналов и подготовки сигнализации к отображению соответствуют требованиям. Необходимо убедиться, что все объемные группы сигналов, возникающие за короткий промежуток времени, корректно обнаруживаются и запоминаются, а соответствующая сигнализация формируется и отображается (соответствующее испытание может, например, состоять в симуляции события, вызывающего формирование нескольких сотен сигналов за несколько секунд, с последующей проверкой результата работы системы).

Система сигнализации должна быть сконструирована таким образом, чтобы мероприятия по ее техническому обслуживанию можно было осуществлять с минимальными помехами для деятельности операторов. При выводе из работы какой-либо сигнализации необходимо обеспечить следующее:

- индикацию выведенной из работы сигнализации. Полный вывод сигнализации из работы должен требовать наложения запрета только на инициирование визуального и звукового сигналов, соответствующих этой сигнализации. Более того, в проекте системы должны быть предусмотрены команды вызова, позволяющие быстро распознавать выведенную из работы сигнализацию;

- индикацию отказа системы сигнализации. Операторы должны быть немедленно проинформированы об отказе системы сигнализации или ее основных подсистем с точной локализацией дефекта.

В отношении панелей или табло сигнализации необходимо предусмотреть следующее:

- продолжительное свечение. Табло или панель сигнализации, которые в режимах нормальной эксплуатации должны долгое время находиться в активизированном состоянии, из-за ремонта или замены оборудования должны содержать какой-либо подходящий для этого отличительный признак, предусмотренный административными процедурами и обеспечивающий правильное распознавание такой сигнализации в течение данного периода времени;

- переустановку крышки табло. Если замена лампы требует удаления названия табло, то должна быть предусмотрена процедура, дающая уверенность, что крышка возвращена в правильное место;

- предотвращение опасности. Замена ламп не должна представлять угрозу поражения электрическим током;

- помощь оператору при замене лампы. При замене лампы оператору в случае необходимости должна быть предоставлена помощь.

Вся сигнализация, важная для безопасности, должна быть зарегистрирована для последующего анализа. Регистрацию можно осуществлять путем распечатки сведений о срабатывании сигнализации сразу же после ее получения или после хранения в буфере, а также с помощью любых пригодных для этого систем хранения, таких как магнитный диск, магнитная лента или оптический носитель с возможностью однократной записи и многократного чтения, позволяющих выводить записанную информацию для отображения или печати. Должны быть предусмотрены возможности поиска и выборки части записанной информации или истории определенных сигналов.

Должна быть предусмотрена возможность печати зарегистрированной информации о сигнализации и сигналах, которые изменили свое состояние, а также распечатки истории сигнализации и сигналов для выбранных технологических систем АС.

Регистрируемая информация о сигнализации должна включать в себя время и последовательность срабатывания и исчезновения сигнализации вместе с последовательностью других дискретных сигналов и изменениями аналоговых величин.

Некоторые АС могут быть оснащены системами для регистрации быстротечных цепочек событий, способными различать и регистрировать изменения состояния, являющиеся следствием выхода из строя основного электрооборудования, с разрешением 10 мс и быстрее.

Процедуры реагирования на сигнализацию должны быть предусмотрены для всех без исключения сигналов.

Оператор должен иметь доступ к процедурам реагирования на сигнализацию в том месте, с которого считываются сигнальные сообщения.

Информация в процедурах реагирования на сигнализацию должна быть согласована с информацией на пультах управления, в системе сигнализации, в процедурах, используемых для корректировки уставок сигнализации, в регламентных документах, устанавливающих значения уставок (например, в технических спецификациях и в документах по анализу предаварийных ситуаций), а также в других станционных процедурах и технических документах.

Рекомендуется включать в процедуры реагирования на сигнализацию следующую информацию:

- технологическую систему/функциональную группу, к которой относится данная сигнализация;

- точное сигнальное сообщение, текст или название;

- источник сигнализации (например, датчик или датчики, посылающие сигнал, включая логику проверки достоверности сигнала и одно или несколько устройств приведения сигнализации в действие со ссылкой на схему, по которой можно найти эти устройства);

- уставки срабатывания сигнализации;

- приоритет (важность для безопасности);

- потенциальные причины, вызвавшие срабатывание данной сигнализации (например, снижение уровня воды - недостаточный в долгосрочной перспективе расход питательной воды);

- срочные действия, требуемые от оператора, включая действия, которые оператор может предпринять, чтобы убедиться в наличии ситуации, о которой оповещает данная сигнализация;

- действия, которые выполняются автоматически при срабатывании данной сигнализации (и в исполнении которых оператор должен убедиться);

- последующие действия;

- ссылки, уместные в данных обстоятельствах;

- советы по диагностике, необходимой для определения причины данной сигнализации;

- описание прогнозируемого поведения АС.

Формат процедур реагирования на сигнализацию должен удовлетворять следующим требованиям:

- процедуры реагирования на сигнализацию, размещенные на каждой странице документа, должны быть надлежащим образом обозначены;

- важные пункты должны быть соответствующим образом выделены;

- назначение информации, размещенной в одном и том же месте на каждой странице, должно быть легко определяемо;

- информация во всех процедурах реагирования на сигнализацию должна быть согласована;

- необходимость для операторов перелистывать страницы назад и вперед для получения информации должна быть минимизирована.

Примеры, представленные в этом приложении, основаны на реальном опыте.

Нормальный темп появления на АС информационных сигналов, обычно обрабатываемых системой сигнализации и используемых для формирования сигнализации, может за один день составлять несколько сотен сигналов об изменениях. При аварийных остановках и глубоких возмущениях входная информация, используемая для формирования сигнализации, может изменяться очень быстро по многим параметрам, что выглядит как "лавина" или "поток" изменений. Опыт показывает, что АС, на которых не предусмотрена соответствующая логическая обработка, испытывают сложности при запоминании и обработке такого потока информации. В таких условиях только тщательное и аккуратное выделение сигнализации из потока информации позволит избежать проблемы информационной перегрузки операторов на АС.

Было доказано, что операторы не способны считывать с УВО информацию о сигнализации быстрее, чем примерно один заголовок за 10 с, и при этом анализ смысла активной сигнализации занимает намного больше времени - до нескольких минут на один сигнал. Следовательно, процессы формирования сигнализации необходимо проектировать таким образом, чтобы сигнализация, требующая определенных действий, была выделена и представлена операторам так, чтобы не перегружать их способности по восприятию, и при этом оставалась под их контролем даже в условиях высокого темпа изменения входной информации, используемой для формирования сигналов.

По опыту темп поступления информации об изменениях, происходящих на АС при наиболее серьезных аварийных остановках реактора, технологических систем и электрической части, составляет около 1000 изменений в течение нескольких секунд. В течение часа после инициирования остановки возможно неоднократное возобновление поступления информации каждое продолжительностью до нескольких минут со скоростью более 200 изменений в минуту.

Для общей станционной сигнализации временная разрешающая способность при обработке изменений информации и сигналов обычно составляет 200 мс, в то время как для определенных коммутационных систем, генерирующих последовательность событий, это время должно составлять 10 мс.

На АС, использующих компьютеризованные системы сигнализации, испытывают сложности при эксплуатации, связанные с возникновением ложных сигналов, с неверными уставками или настройками гистерезиса, приводящими к периодическому формированию и исчезновению сигнализации. Такие ложные изменения обычно происходят с интервалами от 10 с до 10 мин. Для выявления подобных проблем проводят анализ протоколов регистрации изменений этих сигналов. Для устранения данной проблемы может понадобиться ремонт неисправных контактов технологического оборудования и уточнение уставок сигнала или настроек его гистерезиса. Однако этого не всегда достаточно для снижения вредной нагрузки на операторов. В компьютеризованных системах обычно необходимо и относительно просто реализовать блокировку такой сигнализации, сохраняя при этом ее регистрацию и возвращая ее в работу после устранения источника шума.

На АС источниками информации, используемой в качестве сигналов, подлежащих логической обработке с целью формирования сигнализации и ее последующей подготовки к отображению, являются:

- сигналы от контактов реле, управляющих контактов распределительных устройств или от концевых выключателей;

- выходные контакты полупроводниковых логических устройств, бесконтактные датчики, датчики состояния арматуры, температурные выключатели;

- аналоговые сигналы, проверяемые относительно нижней и верхней уставок (т.е. настроек гистерезиса);

- состояние органов управления и переключателей, переключателей автоматического и ручного режимов, используемое в качестве условной информации при обработке сигналов;

- состояния систем безопасности и защиты, обрабатываемые системой безопасности или другим способом совместно с логическими сигналами в зависимости от интенсивности нейтронного потока, эксплуатационных запретов и режима;

- результаты расчетов на основе аналоговых сигналов, позволяющие выявить нарушения, такие как температурные перекосы на выходе из активной зоны реактора;

- результаты расчетов с использованием аналоговых и дискретных сигналов, например для обнаружения рассогласования положения управляющего стержня и положения рабочей группы, в которую он входит;

- внутренние состояния компьютера или логики, выводимые непосредственно или опосредованно из информации о состоянии АС;

- группирование или другая логическая обработка состояний и сигнализации для формирования другой сигнализации.

Для типичного энергоблока АС с одним реактором и турбиной характерно наличие около 10000 аналоговых сигналов и по меньшей мере 10000 контактов и дискретных сигналов, на основе которых можно сформировать минимум 20000 единиц сигналов.

К числу успешно применяемых методов относятся следующие:

- логическая обработка, которая может быть применена для сигнализации систем безопасности в случаях, когда каждый из дублированных комплектов оборудования может одновременно формировать сигнализацию. Для таких сигналов успешно применяют простое группирование. Для непрерывного определения эксплуатационного режима может быть сформирована более сложная условная логика, использующая информацию о блокировках на малых и промежуточных уровнях мощности, сигналы, требующие или инициирующие аварийную остановку или срабатывание систем безопасности, а также другие сигналы. На некоторых АС был использован ключ, с помощью которого оператор задавал эксплуатационный режим для логики. Затем этот эксплуатационный режим вместе с соответствующей булевой логикой был использован для управления блокировкой сигнала и разделения представления сигнализаций системы безопасности и других источников. Похожий алгоритм группирования с учетом зависимости от времени был разработан для идентификации условий остановки реактора и функционирования дублированного оборудования безопасности, а также для идентификации того, что это оборудование не запустилось, хотя должно было;

- с помощью обычных логических операторов ("И", "ИЛИ", "НЕ", "таймер" и др.), реализуемых программным обеспечением, может быть сформирован алгоритм обработки сигналов, позволяющий выполнять фильтрацию сигналов и определять исходя из постулированных состояний АС (например, от полной мощности до остановки) и причины сигнализации, какой сигнал должен быть заблокирован, а какой - представлен и с каким приоритетом. Такой алгоритм не должен быть ограничен статическими состояниями и должен отслеживать динамику с тем, чтобы в любой момент времени изменения в активной сигнализации или несрабатывание ожидаемой сигнализации не повлияли на правильность его работы;

- обработка сигналов может быть основана на оценке относительной значимости двух одновременно активных сигналов, определяемой в ходе проектирования или на основе опыта эксплуатации. После срабатывания сигнализации компьютер проверяет наличие сигнализации, связанной с только что появившейся, используя при этом таблицу связей сигналов. Если связанные сигналы отсутствуют, то появившийся сигнал классифицируется как значимый и отображается с высоким приоритетом или значимостью. Если связанные сигналы существуют и уже были представлены операторам, то появившийся сигнал рассматривается как малозначимый и отображается лишь в качестве информационного, а не тревожного сигнала.

Для управления лавинообразной сигнализацией, возникающей во время серьезных аварийных остановок АС или электрического оборудования, может быть разработан алгоритм, основанный на хронологическом отслеживании, осуществляемом программным обеспечением.

Для сигнализации, отражающей основные причины, может быть установлен более высокий приоритет.

Например, если аварийная остановка насоса привела к срабатыванию сигнализации об аварийной остановке насоса, сигнализации об отсутствии расхода или сигнализации о снижении уровня, то сигнализация об остановке насоса имеет более высокий приоритет, поскольку она отражает корневую причину других событий, являющихся следствием данного.

Недостаток такой причинно-следственной цепочки состоит в том, что операторы могут интересоваться больше последствиями, которые они должны устранить, а не вызвавшими их причинами. Следовательно, корректное определение приоритета в ряду последовательно появляющихся сигнализаций зависит от порядка и типа действий, которые должны быть выполнены операторами. Если главное действие состоит в устранении причины и основная причина четко определена, то сигнализация, оповещающая об этой причине, должна получить более высокий приоритет. Возможно, дальнейшая блокировка всей последующей сигнализации будет даже более уместна, чем уменьшение их приоритета.

Для параметров, имеющих несколько уставок срабатывания сигнализации, более высокий приоритет устанавливают для сигнала, отражающего наиболее серьезную ситуацию.

Например, сигнализация об очень сильном снижении уровня имеет более высокий приоритет, чем сигнализация об обычном снижении уровня.

Сигнализация, являющаяся естественным следствием некоторых предшествующих действий (например, аварийного останова АС) и отражающая, что соответствующее оборудование находится в нормальном состоянии, должна рассматриваться как информация о состоянии (т.е. о заранее предусмотренных отклонениях), а не информация о нарушении (т.е. незапланированных отклонениях). Для такой сигнализации устанавливают более низкий приоритет, и она не должна рассматриваться как реальная сигнализация.

Так как АС как технологический объект обычно анализируется и представляется в виде набора функций, которыми необходимо управлять (см. МЭК 61839), то для отражения общих проектных показателей производства электрической энергии при условии обеспечения безопасного поведения физических процессов архитектура системы сигнализации должна быть такой, чтобы организация сигнализации зеркально воспроизводила функциональную структуру АС.

Следовательно, сигналы могут быть сгруппированы в соответствии с функциями АС и, по мере углубления в детали, в соответствии с процессами, технологическими системами, оборудованием и тому подобным, создавая при этом иерархию, которая может быть использована для установления приоритетов и/или представления:

"Функции станции", далее "Процессы", далее "Технологические системы", далее "Оборудование" и наконец "Средства обеспечения работы оборудования".

Такая иерархия позволяет операторам различать несколько типов сигналов:

- сообщения о том, что определенная функция на АС не достигает своих основных целей;

- сообщения об отклонениях в процессах управления функцией;

- сообщения о нарушениях в физических системах, предназначенных для обеспечения указанных процессов;

- сообщения об отказе определенных деталей оборудования в этих системах;

- сообщения о повреждении вспомогательных систем.

Самый верхний уровень группирования соответствует функциям АС. Типичными управляющими функциями для энергетического реактора, охлаждаемого водой под давлением (PWR, ВВЭР), являются:

- управление реактивностью;

- управление запасом теплоносителя первого контура;

- управление турбиной;

- управление распределением электроэнергии и др.

Управление каждой функцией АС осуществляют несколькими способами. Например, для изменения давления в реакторе можно изменить температуру в реакторе, изменить количество воды в реакторе с помощью компенсатора давления, изменить соотношение содержания воды и пара в компенсаторе давления и т.д. В соответствии с описанной выше иерархией эти параметры составляют второй уровень организации сигнализации, т.е. организации по технологическим процессам.

Обычно для реализации подобных технологических способов воздействия на функцию используют одну или более физических систем. Например, добавление воды в первый контур может быть выполнено, в зависимости от конкретной ситуации, с помощью системы подпитки или с помощью системы аварийного впрыска. В соответствии с описанной выше иерархией эти системы составляют третий уровень организации сигнализации, т.е. организации по технологическим системам.

В рамках каждой физической системы функционирует набор оборудования (насосы, подогреватели, задвижки, вентиляторы и др.), обеспечивающего достижение запланированных целей системы. Функционирование этого оборудования, в свою очередь, обеспечивается множеством вспомогательных систем, делающих возможной надлежащую работу оборудования (например, системы электроснабжения, сжатого воздуха, охлаждающей воды и др.). Эти две дополнительные области (оборудование и средства обеспечения его работы) образуют дальнейшие уровни организации сигнализации - организации в соответствии с оборудованием и средствами обеспечения его функционирования.

Как следствие, полученный в результате такого структурирования формат системы сигнализации позволяет оператору наблюдать за нарушениями в очень наглядной форме, освобождая его от обязанности отбора важной информации, ее объединения и интерпретации результатов. Например, если функционирование какой-либо вспомогательной системы по некоторым причинам отклоняется от ожидаемого поведения, то оператор (с помощью подобного представления информации) может увидеть это нарушение с точки зрения функционирования соответствующего оборудования, входящего в состав определенной системы, которая, в свою очередь, обеспечивает протекание некоторого процесса, необходимого для управления конкретной функцией АС.

В то же время при срабатывании сигнализации оператор с первого взгляда может определить (во всех случаях, когда представление должным образом структурировано), какая функция АС затронута в результате отклонения данного конкретного процесса (например, аномальное снижение давления затрагивает функцию регулирования давления теплоносителя в реакторе). Затем оператор может выяснить, какая физическая система является источником данного конкретного отклонения (например, система компенсации давления), и наконец, какое оборудование и/или вспомогательная система неисправны (например, течь предохранительного клапана компенсатора давления). Благодаря исходному группированию, а также с помощью определенного представления информации достигается более высокая степень наглядности информации для операторов.

Обычно системы сигнализации представляют информацию о трех различных состояниях технологического процесса на АС:

- информация о тревожных симптомах и отклонениях от нормы (т.е. реальное сигнальное сообщение, констатирующее по возможности максимально точно суть отклонения);

- информация о срабатывании автоматических систем (систем управления и защиты), например о срабатывании аварийного впрыска (это ненормальное событие, так как срабатывание аварийного впрыска предусмотрено лишь для определенных ситуаций; однако по существу в таких ситуациях его срабатывание является нормальным, т.е. ожидаемым событием);

- информация о некотором установившемся состоянии сложных систем (например, о состоянии готовности системы безопасности к работе). Эти сообщения не указывают на аномалии и скорее являются для оператора подтверждениями в ситуациях, требующих предусмотренного (нормального) запуска этих систем.

Принимая во внимание указанные особенности, можно констатировать, что система сигнализации обычно предоставляет два типа информации:

- информацию о незапланированных ситуациях;

- информацию о запланированных ситуациях.

Эти два типа информации следует четко разделять, так как они являются взаимодополняющими - отображение сообщений о нарушениях и отображение сообщений, не свидетельствующих о нарушении, но при этом касающихся состояния некоторых важных систем. В пунктах управления сообщения второго типа очень часто приравнивались к сигнализации, например срабатывание системы безопасности ассоциировалось с началом предаварийной ситуации. Информационное содержание сообщений о состоянии также является важным для операторов, однако это - не функция системы сигнализации. Исходя из этого, сформулировано первое требование при проектировании системы сигнализации, изложенное ниже.

Данное требование нацелено на полное соответствие принципу "темной панели", который заключается в том, что панель со средствами отображения сигнализации должна быть погашена (сигнальные сообщения отсутствуют), если АС функционирует в нормальном режиме, когда все системы находятся в своем ожидаемом и запланированном состоянии. Любое отклонение от этого принципа создает угрозу потенциальной перегрузки операторов.

Обычно панели сигнализации размещают на самом верхнем уровне приборной панели.

Идентичная сигнализация внутри одной и той же системы расположена слева направо в алфавитном порядке (см. рисунок F.1).

Для демонстрации развития ситуации в направлении повышения-понижения, подъема-снижения и тому подобного сигнализацию внутри одной и той же системы располагают вертикально сверху вниз (см. рисунок F.2). В других случаях сигнализацию с более высоким уровнем важности располагают сверху.

Если элементы сигнализации имеют одинаковую значимость при обычном использовании, относятся к одной и той же системе, но отражают разные технологические параметры, то они могут быть скомпонованы сверху вниз в следующем порядке: давление, уровень воды, температура и расход.

Обычно сигнализацию относят к классу C или вообще не классифицируют в соответствии с МЭК 61226. Однако некоторая сигнализация может быть отнесена к более высоким классам.

При категоризации сигнализации следует учитывать следующие факторы:

a) Для определенных редко возникающих ситуаций может существовать сигнализация, необходимая с точки зрения безопасности. Ее необходимо рассматривать в привязке к временной шкале тех действий, которые требуются от оператора.

b) Для обеспечения успешного переходного процесса после срабатывания аварийной остановки может существовать сигнализация, требующая от оператора некоторых действий вручную. Эту сигнализацию также необходимо рассматривать в привязке к временной шкале тех действий, которые требуются от оператора.

c) Обычно существует сигнализация, которая оповещает о том, что система безопасности, оборудование для безопасности и обеспечивающие системы частично неработоспособны или повреждены, либо отказали при срабатывании, когда это потребовалось.

d) Может существовать сигнализация в поддержку обеспечения безопасности или предотвращения ситуаций, чреватых повреждением реактора, например сигнализация систем автоматического управления для управления нормальным режимом эксплуатации или систем автоматического регулирования подачи питательной воды в предаварийных ситуациях и при остановках.

e) Может существовать сигнализация, оповещающая персонал об опасности, связанной с технологическим процессом, или об утечке радиоактивности, например сигнализация от системы вентиляции и кондиционирования пункта управления или от системы мониторинга окружающей среды.

f) Следует учитывать необходимость регистрации сигнализации для последующего анализа после аварийной остановки или неисправности реактора.

g) Большая часть сигнализации, поступающей от реакторного отделения и от его системы электроснабжения, не имеет прямого отношения к безопасности реактора, однако эта сигнализация может иметь некоторую связь со снижением вероятности возникновения неисправностей реактора.

h) Сигнализация от турбинного отделения и от его системы электроснабжения, а также от электрических систем, относящихся к выработке электроэнергии, обычно никак не связана с безопасностью реактора, однако она должна быть предусмотрена в проекте.