核電站數(shù)字化保護系統(tǒng)控制層通信協(xié)議的設(shè)計

周 飛

(北京廣利核系統(tǒng)工程有限公司,北京 100094)

0 引言

核電站數(shù)字化保護系統(tǒng)控制層通信(以下簡稱“控制層通信”)為控制單元提供現(xiàn)場數(shù)據(jù)和保護輸出,需要具備高可靠性、安全性、獨立性、確定性和實時性等特點。這就要求控制層通信系統(tǒng)在通信機制、協(xié)議、拓撲和設(shè)備實現(xiàn)等環(huán)節(jié)遵循一定的原則,并采用合適的技術(shù)。

控制層通信協(xié)議主要用于解決核電站保護系統(tǒng)中輸入/輸出(input/output,I/O)模塊與控制器之間的數(shù)據(jù)傳輸安全性和可靠性問題。核電站保護系統(tǒng)通常由國外廠家提供,比如德國的TXS系統(tǒng)、美國的Common Q系統(tǒng)和日本的MELTAC系統(tǒng)。同時,現(xiàn)有工業(yè)控制領(lǐng)域的控制層通信協(xié)議通常具有握手機制、通信幀長度不固定、通信周期不確定等特點,無法滿足核電站數(shù)字化保護系統(tǒng)的確定性、可靠性、獨立性和實時性要求。

本文設(shè)計的控制層通信協(xié)議采用了基于狀態(tài)、通信周期固定、通信鏈路冗余、只傳輸固定的數(shù)據(jù)集、幀長度和格式固定等方式,滿足了確定性、可靠性、獨立性和實時性要求。

本文設(shè)計的控制層通信協(xié)議已經(jīng)通過德國TüV認證機構(gòu)ISTEC公司的安全審查,所涉及板卡已經(jīng)通過相關(guān)電磁兼容性(electro magnetic compatibility,EMC)測試。該協(xié)議已成功應(yīng)用于國內(nèi)核電站的PX泵房系統(tǒng)、堆芯溫度測量系統(tǒng)和試驗堆的控制保護系統(tǒng)。

1 法規(guī)、標準要求與特點

1.1 法規(guī)和標準要求

核電廠安全法規(guī)和標準是進行核電站數(shù)字化保護系統(tǒng)設(shè)計的重要依據(jù)。其頂層是國家立法機關(guān)制訂的法律;其次是政府制訂的法規(guī);接著是國家及行業(yè)標準;最后是企業(yè)制訂的核電企業(yè)標準[1]。

通過分析法規(guī)和標準得出的核電站數(shù)字化保護系統(tǒng)通信標準依據(jù)如圖1所示。

圖1 通信標準依據(jù)

第一層為核安全級儀控系統(tǒng)總體要求。核電站安全級系統(tǒng)通信網(wǎng)絡(luò)的設(shè)計從頂層遵循國際原子能機構(gòu)(International Atomic Energy Agency,IAEA)、電氣與工程師協(xié)會(Institute of Electrical and Electronics Engineering,IEEE)關(guān)于核動力廠安全規(guī)定和導則等文件的指導思想[2]。

第二層為核電廠安全重要儀控系統(tǒng)的基礎(chǔ)標準。在頂層標準的指導下,核電站安全級網(wǎng)絡(luò)產(chǎn)品的實現(xiàn)需要滿足一系列核電廠安全重要儀控系統(tǒng)的基礎(chǔ)標準。

第三層為核安全級數(shù)據(jù)通信標準。IEC 61513對核電廠數(shù)據(jù)通信提出了總體的要求。IEC 61500對其進行了細化,結(jié)合基礎(chǔ)標準介紹了核電廠執(zhí)行A類功能通信系統(tǒng)的具體要求[3]。

第四層為NRC相關(guān)審查和設(shè)計指導。DI&C-ISG-04、NUGER-CR-6082等描述了核電站安全級通信網(wǎng)絡(luò)的審查和設(shè)計指導,對安全級通信網(wǎng)絡(luò)的設(shè)計和實現(xiàn)具有很高的指導價值。

1.2 控制層通信的特點

通過對以上核電標準的分析可知,控制層通信需要滿足確定性、可靠性、獨立性和實時性的要求。

1.2.1 確定性

IEC 61500要求確定性的通信系統(tǒng)應(yīng)該保證從通信信道傳來的儀表或其他設(shè)備的消息在指定的時間內(nèi)與數(shù)據(jù)的完整性狀態(tài)信息(如存在)被發(fā)送或接收[4]。

控制層通信要滿足以下要求。

①無論應(yīng)用數(shù)據(jù)是否已經(jīng)發(fā)生變化,消息應(yīng)該在1個預(yù)先定義的、固定的循環(huán)時間內(nèi)進行周期性的傳輸。也就是說,控制層通信應(yīng)采用基于狀態(tài)的通信機制。

②通信信道不應(yīng)在系統(tǒng)運行時進行動態(tài)分配,而應(yīng)在設(shè)計時進行預(yù)先定義和靜態(tài)分配。

③消息應(yīng)具有預(yù)先設(shè)計好的固定長度,且消息的組成也應(yīng)是確定的。在設(shè)計通信機制與通信協(xié)議時要保證在通信過程中或在消息通過通信設(shè)備時發(fā)生的任何延時都是可知、可約束的。

④應(yīng)該保證通信相應(yīng)時間、通信速率、通信負荷,以及通信過程中可能的通信錯誤、錯誤狀態(tài)以及錯誤輸出具有確定性。

1.2.2 可靠性

IEC 61500針對自檢測和容錯,從通信故障檢測、失效響應(yīng)、測試和故障預(yù)防這4個方面說明了通信系統(tǒng)的可靠性。

一般而言,提高系統(tǒng)的可靠性主要有3種途徑:首先是簡化系統(tǒng)的設(shè)計,減少可能出錯的點;其次是采取容錯措施;最后是構(gòu)成系統(tǒng)的設(shè)備執(zhí)行自檢測和對系統(tǒng)進行定期試驗。

可靠性指標是對核安全級網(wǎng)絡(luò)可靠性的總體量化描述。通信系統(tǒng)作為控制保護系統(tǒng)的組成部分,其可靠性要求來源于系統(tǒng)整體可靠性的分解。因此,控制層通信的可靠性指標要求應(yīng)與整個控制保護系統(tǒng)的可靠性要求一致。

1.2.3 獨立性

IEC 60709對物理分隔的要求為:故障不能從設(shè)備的一部分傳播到另一部分,或是另一系統(tǒng)[5]。

1.2.4 實時性

IEC 61500要求核安全級網(wǎng)絡(luò)的數(shù)據(jù)通信通道應(yīng)該提供充分的性能,以保證從任意通信節(jié)點發(fā)出的任何消息都能在一定的時間限制內(nèi)被預(yù)期的目標節(jié)點正確地接收到。因此,控制層通信在實時性方面要滿足以下要求。

①網(wǎng)絡(luò)在配置完成后,應(yīng)能夠計算出在正常運行、異常和故障情況下網(wǎng)絡(luò)的通信速率,并且通信速率指標應(yīng)該考慮了錯誤恢復(fù)、協(xié)議延遲和消息組成的影響。

②響應(yīng)時間對滿足安全系統(tǒng)的整體性能至關(guān)重要,必須保證網(wǎng)絡(luò)在最壞情況下的響應(yīng)時間也要滿足安全系統(tǒng)的性能要求。

③任何通信系統(tǒng)都必然存在時延。時延通常包括傳輸時延、傳播時延、處理時延和排隊時延這4個部分。網(wǎng)絡(luò)需要保證數(shù)據(jù)在傳輸過程或是通過通信設(shè)備時發(fā)生的任何時延都是可知、可約束的,即滿足最壞響應(yīng)時間要求。

④吞吐量描述單位時間內(nèi)通過網(wǎng)絡(luò)的數(shù)據(jù)量,能夠體現(xiàn)網(wǎng)絡(luò)的數(shù)據(jù)傳輸能力。但吞吐量指標應(yīng)該把接口、操作系統(tǒng)和通信協(xié)議的開銷和性能剔除出去,否則單純的吞吐量指標無法真實體現(xiàn)網(wǎng)絡(luò)實際的數(shù)據(jù)傳輸能力。

2 控制層通信協(xié)議的制定

2.1 通信機制

為了滿足確定性和獨立性,控制層通信采用點對點通信設(shè)計,1個主節(jié)點最多和12個從節(jié)點通信。控制層通信協(xié)議拓撲結(jié)構(gòu)如圖2所示。

圖2 控制層通信協(xié)議拓撲結(jié)構(gòu)

控制層通信包括了主通信節(jié)點、控制層通信管理和從通信節(jié)點。其中,每個從通信節(jié)點都由1個控制信號進行控制。當主節(jié)點向下發(fā)送數(shù)據(jù)時,控制層通信管理會解析數(shù)據(jù),并能對應(yīng)從通信節(jié)點的控制信號。從通信節(jié)點在判斷控制信號有效后,需要在固定時間內(nèi)向控制層通信管理發(fā)送數(shù)據(jù)。在接收到數(shù)據(jù)后,控制層通信管理會將數(shù)據(jù)發(fā)送給主通信節(jié)點。在超過固定的時間后,主通信節(jié)點無論是否接收到從通信節(jié)點的數(shù)據(jù),都會向下個從通信節(jié)點發(fā)起通信。

2.2 協(xié)議層次劃分

為了提升控制層通信協(xié)議的可靠性,控制層通信協(xié)議僅使用了物理層、通信鏈路層和通信應(yīng)用層;同時,采用了點對點連接,不使用中繼和路由等裝置。

控制層通信協(xié)議與國際標準化組織(International Organization for Standardization,ISO)/開放系統(tǒng)互聯(lián)(open system interconnection,OSI)標準網(wǎng)絡(luò)模型的對應(yīng)關(guān)系如圖3所示。

圖3 控制層通信協(xié)議與ISO/OSI標準網(wǎng)絡(luò)模型的對應(yīng)關(guān)系

2.2.1 物理層

為了滿足實時性的要求,控制層通信協(xié)議物理層基于IEEE 802.3標準,通信帶寬固定為100 Mbit/s,通信方式為全雙工。

2.2.2 數(shù)據(jù)鏈路層

為了滿足確定性的要求,控制層通信協(xié)議的數(shù)據(jù)鏈路層的主節(jié)點和從節(jié)點均采用定長幀的結(jié)構(gòu)。控制層通信協(xié)議數(shù)據(jù)鏈路層的數(shù)據(jù)幀格式如下。

通信協(xié)議數(shù)據(jù)鏈路層數(shù)據(jù)幀包括目的地址、源地址、長度標識、應(yīng)用層數(shù)據(jù)和幀校驗序列(frame check sequence,FCS)。應(yīng)用層的數(shù)據(jù)包括主從節(jié)點報文序號、冗余標識、配置信息、狀態(tài)信息、數(shù)據(jù)和校驗。

2.2.3 應(yīng)用層

控制層通信協(xié)議的應(yīng)用層數(shù)據(jù)報文格式有2種,分別為從節(jié)點發(fā)送、主節(jié)點接收的數(shù)據(jù)報文,以及主節(jié)點發(fā)送、從節(jié)點接收的數(shù)據(jù)報文。這2種數(shù)據(jù)報文采用相同的長度。應(yīng)用層數(shù)據(jù)采用16位的循環(huán)冗余校驗(cyclic redundancy check,CRC),以確保數(shù)據(jù)的正確性。

2.3 上下行數(shù)據(jù)報文

2.3.1 下行數(shù)據(jù)報文

控制層通信協(xié)議的下行數(shù)據(jù)報文包括目的地址、源地址、協(xié)議長度標識、應(yīng)用層數(shù)據(jù)和FCS。下行數(shù)據(jù)報文中應(yīng)用層數(shù)據(jù)格式包括主節(jié)點報文序號、冗余狀態(tài)、配置信息、主節(jié)點報文序號、輸出數(shù)據(jù)和校驗。下行數(shù)據(jù)報文格式如圖4所示。

圖4 下行數(shù)據(jù)報文格式

①主節(jié)點報文序號。

主節(jié)點報文序號是1個初始值為0的16位無符號數(shù),范圍是0到0xFFFF(十六進制)。主節(jié)點每發(fā)送1幀數(shù)據(jù),對此序號循環(huán)加1;當序號為0xFFFF(十六進制)時,則翻轉(zhuǎn)為0。報文序號反映主節(jié)點數(shù)據(jù)處于更新狀態(tài)。使從節(jié)點利用該狀態(tài)信息來診斷主節(jié)點數(shù)據(jù)的連續(xù)性。

②冗余狀態(tài)。

主節(jié)點應(yīng)該通過控制層通信協(xié)議發(fā)送冗余狀態(tài)信息,使從節(jié)點能夠識別冗余的配置情況、主從機的狀態(tài)標識。

③配置信息。

為支持從節(jié)點熱插拔功能,控制層通信協(xié)議提供每個I/O板卡的配置信息。配置信息是主節(jié)點根據(jù)工程師站組態(tài)生成的,配置信息包括設(shè)備身份標識(identity,ID)、固件版本號、設(shè)備類型描述、I/O故障安全值、主節(jié)點周期運行時間和冗余切換時間。

④主節(jié)點狀態(tài)。

主節(jié)點狀態(tài)包括冗余狀態(tài)、網(wǎng)絡(luò)狀態(tài)、周期運行超時狀態(tài)、定時器狀態(tài)、看門狗狀態(tài)、只讀存儲器(read-only memory,ROM)狀態(tài)、隨機存取存儲器(random access memory,RAM)狀態(tài)和中央處理器(central processing unit,CPU)狀態(tài)。

⑤輸出數(shù)據(jù)。

輸出數(shù)據(jù)為主節(jié)點傳輸給從節(jié)點的應(yīng)用數(shù)據(jù)。數(shù)據(jù)的內(nèi)容可根據(jù)用戶情況進行自定義。

2.3.2 上行數(shù)據(jù)報文

控制層通信協(xié)議的上行數(shù)據(jù)報文包括目的地址、源地址、協(xié)議長度標識、應(yīng)用層數(shù)據(jù)和FCS。

上行數(shù)據(jù)報文中應(yīng)用層數(shù)據(jù)格式包括從節(jié)點報文序號、標識信息、從節(jié)點狀態(tài)、采集數(shù)據(jù)和校驗。

上行數(shù)據(jù)報文格式如圖5所示。

圖5 上行數(shù)據(jù)報文格式

①從節(jié)點報文序號。

從節(jié)點報文序號是1個初始值為1的16位無符號數(shù)。從節(jié)點每周期對此序號循環(huán)加1;當序號為0xFFFF(十六進制)時,則翻轉(zhuǎn)為0。報文序號反映從節(jié)點數(shù)據(jù)處于更新狀態(tài)。主節(jié)點利用該狀態(tài)信息來診斷從節(jié)點通信數(shù)據(jù)的連續(xù)性。

②標識信息。

標識信息包括設(shè)備ID、固件版本號、設(shè)備類型描述、I/O故障安全值。

③從節(jié)點狀態(tài)。

從節(jié)點狀態(tài)信息為4 B,包括冗余狀態(tài)、設(shè)備類型、固件版本狀態(tài)、周期運行超時狀態(tài)、定時器狀態(tài)、看門狗狀態(tài)、ROM狀態(tài)、RAM狀態(tài)、CPU狀態(tài)、主節(jié)點診斷從節(jié)點的狀態(tài)。

④采集數(shù)據(jù)

采集數(shù)據(jù)為從節(jié)點傳輸給主節(jié)點的應(yīng)用數(shù)據(jù),數(shù)據(jù)的內(nèi)容可根據(jù)用戶情況進行自定義。

2.4 通信流程

為了滿足獨立性的要求,控制層通信雙方無握手確認信號,強調(diào)基于狀態(tài)的傳輸,而非基于事件的傳輸。控制層通信的傳輸雙方的收發(fā)是獨立的,并不以對方的要求而發(fā)送數(shù)據(jù)。

2.4.1 數(shù)據(jù)上行通信的建立

由于控制層通信是基于狀態(tài)的傳輸,無握手確認信號,上行通信時,從節(jié)點在周期通信流程中只發(fā)送數(shù)據(jù);相反,主節(jié)點在周期通信流程只接收數(shù)據(jù)。當主節(jié)點接收的數(shù)據(jù)與協(xié)議約定的一致,則從節(jié)點發(fā)送數(shù)據(jù)、主節(jié)點接收數(shù)據(jù)通信建立。

2.4.2 數(shù)據(jù)下行通信的建立

下行通信時,主節(jié)點在周期通信流程中只發(fā)送數(shù)據(jù),而從節(jié)點在周期通信流程中只接收數(shù)據(jù)。當從節(jié)點接收的數(shù)據(jù)與協(xié)議約定的一致,則主節(jié)點發(fā)送數(shù)據(jù)、從節(jié)點接收數(shù)據(jù)通信建立。

3 控制層通信的故障處理

控制層通信系統(tǒng)的通信周期固定、只傳輸固定的數(shù)據(jù)集、幀長度和格式,保證了通信的確定性;采用基于狀態(tài)、無握手的通信機制,保證了通信的實時性;通信鏈路冗余和通信設(shè)備自診斷,保證了通信的安全性和可靠性。在這些原則的約束下,控制層通信協(xié)議能夠檢測到常見的通信故障并進行處理。

3.1 常見的故障

從典型通信系統(tǒng)模型可知,發(fā)信機、傳輸介質(zhì)和收信機是通信系統(tǒng)的核心組成部分。根據(jù)錯誤引入的環(huán)節(jié),可以把通信錯誤分為收發(fā)器錯誤、通信傳輸錯誤和通信系統(tǒng)集成錯誤3類[6]。

3.1.1 收發(fā)器錯誤

收發(fā)器相關(guān)錯誤類型包括緩沖區(qū)溢出、數(shù)據(jù)超出范圍、消息錯序、消息過早、編解碼錯誤、非預(yù)期重復(fù)和亂發(fā)無用數(shù)據(jù)錯誤。

3.1.2 通信傳輸錯誤

通信傳輸錯誤包含消息破損、錯序、丟失、不可接受時延、錯誤插入、偽裝、尋址錯誤、廣播風暴、不一致、抖動和碰撞等。

3.1.3 通信系統(tǒng)集成錯誤

通信系統(tǒng)集成引入的錯誤包括網(wǎng)橋和路由器超長延時、發(fā)起通信超時和阻塞等。由于控制層通信系統(tǒng)不涉及此類錯誤,本文協(xié)議不包含集成錯誤的處理。

3.2 故障處理措施

控制層通信系統(tǒng)采用以下技術(shù)對常見通信錯誤進行檢測或處理。

3.2.1 序號

通信數(shù)據(jù)包中定義了1個遞增的數(shù)字,以標識通信數(shù)據(jù)包在一系列數(shù)據(jù)包中的順序。如果接收方發(fā)現(xiàn)相鄰數(shù)據(jù)包中包含的數(shù)字沒有連續(xù)遞增(數(shù)字溢出回零需特殊處理),則可以判定發(fā)生了數(shù)據(jù)重復(fù)、錯序、丟失或插入錯誤。

3.2.2 時間戳

時間戳機制涉及系統(tǒng)各部件間的時間同步,而時間是共因因素。因此,控制層通信協(xié)議中不使用時間戳,而是采用消息序號與數(shù)據(jù)發(fā)送周期計數(shù)對比的方法來間接實現(xiàn)時間戳檢查。

3.2.3 消息時限

消息接收方只接收在約定時間內(nèi)到達的信息。消息接收方對于超過時限的消息棄用或標識為無用。消息時限可以檢測出消息發(fā)生不可接收延遲和丟失錯誤。

3.2.4 源/目標識別

數(shù)據(jù)包中設(shè)計有發(fā)送源地址和目標地址的信息。地址信息在整個網(wǎng)絡(luò)范圍內(nèi)是唯一的。源/目標識別碼可以檢測出消息插入和尋址錯誤。如果發(fā)現(xiàn)源/目標地址不匹配,除了丟棄此數(shù)據(jù)包以外,還可以進行錯誤記錄和報警。

3.2.5 應(yīng)答消息

控制層通信系統(tǒng)為了實現(xiàn)通信隔離,采用異步通信方式,即數(shù)據(jù)發(fā)送方不等待接收方的反饋,以實現(xiàn)接收方故障不會蔓延到發(fā)送方的目的。接收方以較短的周期向發(fā)送方發(fā)送自身的通信狀態(tài)信息。數(shù)據(jù)發(fā)送方不依賴這些信息執(zhí)行通信功能,僅作錯誤記錄和執(zhí)行診斷功能。

3.2.6 校驗碼

控制層通信協(xié)議的數(shù)據(jù)包中增加了16位CRC校驗碼,對數(shù)據(jù)幀和應(yīng)用數(shù)據(jù)分別進行了校驗,以表示數(shù)據(jù)的一致性。校驗碼可以檢測消息破損、錯誤插入、數(shù)據(jù)錯序等錯誤。控制層通信協(xié)議中將直接丟棄無法通過校驗的數(shù)據(jù)。

3.2.7 冗余

控制層通信系統(tǒng)要求通信鏈路的冗余,因此無需采用數(shù)據(jù)冗余。

根據(jù)以上分析,控制層通信系統(tǒng)故障類型及處理措施如表1所示。表1中:●表示針對發(fā)生的故障類型所采取的檢測和防御措施[7]。

表1 通信系統(tǒng)故障類型及處理措施

4 結(jié)論

本文設(shè)計了一種用于核電站數(shù)字化保護系統(tǒng)的安全級控制層通信協(xié)議。該協(xié)議采用固定的通信周期、數(shù)據(jù)包格式和長度,滿足了確定性要求。該協(xié)議使用點對點連接,根據(jù)IEC 61500分析了所有可能發(fā)生故障的類型,并且給出了相應(yīng)的處理措施,以滿足可靠性的要求。通信雙方無握手確認信號,強調(diào)基于狀態(tài)的傳輸,而非基于事件的傳輸。控制層通信協(xié)議的傳輸雙方的收發(fā)是獨立的,并不以對方的請求而發(fā)送數(shù)據(jù)等。因此,任一節(jié)點故障不會影響其他節(jié)點的正常通信。這滿足了獨立性要求。

本文通信協(xié)議已經(jīng)通過權(quán)威機構(gòu)認證,所涉及的硬件產(chǎn)品已經(jīng)通過核安全級設(shè)備的鑒定,并成功應(yīng)用于大亞灣的堆芯測量系統(tǒng)、高溫氣冷堆保護系統(tǒng)、陽江5#和6#機組保護系統(tǒng)、紅沿河5#和6#機組保護系統(tǒng)、田灣5#和6#機組保護系統(tǒng)、防城港3#和4#機組保護系統(tǒng)。