基于NASPIC平台的核电站安全级DCS网关通信

黄清淮，刘明明，公 民，谢维波，马 宇，黄 鹏

（中国核动力研究设计院 核反应堆系统设计技术重点实验室，成都 610213）

0 引言

随着核科学与技术的不断发展，核电站的建造为人类带来了福音。目前，一方面电力需求越来越大，一方面清洁能源的呼声越来越大，核电由于属于清洁型的新能源，得到了大力的发展和广泛的关注，但是正如水能载舟亦能覆舟，核辐射对人类也能产生危害。核电站仪控系统为核电站提供了多样化的控制和保护手段及完善准确的监控信息，保障了核电站的安全和稳定运行，在核辐射防护中发挥了极其重要的作用[1]。

2018年12 月6 日，中国核动力研究设计院自主开发的安全级DCS平台NASPIC正式发布，成功打破了国外厂商在核安全级DCS领域的垄断地位，为核安全级DCS市场带来了新鲜血液[2]。随着NASPIC平台的正式发布，应用NASPIC平台的核电站工程项目逐渐铺开，在安全级与非安全级DCS系统网络通信方面，NASPIC平台也带来了新的思考和解决方案。本文以某核电站DCS工程项目为例，重点对采用NASPIC平台的安全级DCS与非安全级DCS之间的新的通讯方案进行详细阐述。

1 安全级与非安全级DCS系统网络通信现状

1.1 网关的系统功能与架构

安全级DCS系统和非安全级DCS系统使用不同的平台，各自形成独立的网络，以满足标准对安全级DCS独立性等方面的要求。但由于主控室人机界面主要部分属于非安全级DCS，用于给主控室操纵员提供电厂运行状态信息及主要控制手段[3]。因此，在主控室人机界面上也需要显示大量的安全级DCS产生的信息。若安全级DCS全部通过硬接线将这些信息传递到非安全级DCS，将需要大量的电缆，不仅增加了电厂建设成本，对后期的维护也会带来相当的不便，而网关正是解决这个问题的最佳途径[4]。安全级DCS产生后需要送至非安全级DCS的信号主要分为两种：

1）送至非安全级DCS参与逻辑控制的以及要求传输时间尽量短的信号，这些信号由安全级DCS通过硬接线传递到非安全级DCS。

2）送至非安全级DCS用于报警、显示及记录的信号，这些信号由安全级DCS通过网关网络通信传递到非安全级DCS。

由于硬接线传输部分各核电站各供应商产品的方案均大同小异，本文重点对网关通信部分进行讨论。

1.2 安全级与非安全级DCS系统网络通信典型方案

当前核电站安全级与非安全级DCS系统网络通信的典型方案为安全级DCS网关并行冗余，非安全级DCS网关主从冗余，代表产品为广利核Firmsys+和利时Hollias-N及三菱MELTAC+和利时Hollias-N，主要应用于红沿河、宁德、阳江、田湾及防城港等核电站部分机组[5]，系统架构如图1所示。

安全级网关GW-A与GW-B并行冗余，同时将相同的数据发送至非安全级两个网关。

非安全级网关GW-A与GW-B为主从冗余，同一时刻只有一个网关为主机，该网关将接收到的数据上传至非安全级DCS网络及服务器，最终传输至主控室人机界面。当某个网关故障或者某个网关与安全级DCS网关通信链路故障时，会进行主从切换，以保证数据能正常接收并上传至主控室人机界面。主从冗余功能分为6个子模块来实现：冗余初始化、数据备份、同步控制、冗余通讯、双机抢主、双机诊断及切换[7]。

该方案可能存在冗余切换异常，或因某些故障导致切换时间较长的问题。

2 基于NASPIC平台的安全级与非安全级DCS系统网络通信方案

某核电站数字化仪控系统采用了核动力院NASPIC+浙江中控ECS-700N，NC-DCS与1E-DCS之间使用网关站进行通信，使用Modbus-TCP作为二者之间的传输通信协议，该协议采用请求-应答方式进行交互[8]，1E-DCS侧网关站作为Modbus从站设备，NC-DCS网关部分作为Modbus主站设备，主站Modbus设备访问从站设备查询数据，网关通信架构如图2所示。

图1 典型核电站的网关系统架构图[6]Fig.1 Gateway system architecture diagram of a typical nuclear power plant[6]

图2 基于NASPIC平台网关通信架构图[9]Fig.2 Gateway communication architecture diagram based on NASPIC platform[9]

安全级DCS网关站采用并行冗余的方式，安全级DCS侧网关GW-A向非安全级DCS网关通信卡1发送数据，安全级DCS侧网关GW-B向非安全级DCS网关通信卡2发送数据。安全级DCS侧网关GW-A和GW-B独立运行，两者之间不进行数据交互。安全级DCS数据通过6个TU（信号传输站）站物理链路上单向向网关GW-A和GW-B传输数据，从而保证非安全级系统信号、指令及可能的病毒等非法数据不会进入安全级DCS系统。各TU故障或TU与GW的通信故障时，对应的GW会将该路所有数据质量位置坏。

NC-DCS侧配置1个通信卡并行冗余的网关，并行冗余通信卡同时接收安全级DCS侧网关发送的数据。非安全级DCS通信卡将数据发送给网关，由网关根据每个信号的质量位来判断使用A链路还是B链路的数据，将选用的数据上传至非安全级DCS主控室人机界面。

2.1 1E网关至NC网关正常通信处理机制

当1E网关与NC网关A、B链路均正常情况下：

1）如果某信号A、B链路质量位均为好，NC侧网关优先选择使用1E网关A链路数据。

2）如果某信号A链路的质量位坏且B链路的质量位好，则NC侧网关使用1E网关B链路数据。

3）如果某信号A、B链路质量位均为坏，则NC侧网关可对该信号进行缺省值处理：即“保持上一时刻有效值”“预设缺省值”或“不干预”，具体设置可根据上游要求配置。下文中缺省值处理方法均是如此。

2.2 1E网关至NC网关通信异常情况处理机制

1E网关至NC网关通信异常包含如下情况：

1）1 E级网关站自身发生故障

◇ 当1E网关A发生故障且1E网关B正常时，NC侧网关使用B链路的数据，并产生相应仪控报警和设备状态指示，此时如果B链路某信号质量位坏，NC侧网关可对该信号进行缺省值处理。

◇ 如果1E网关A发生故障且1E网关B发生故障时，NC侧网关不再实施数据切换，产生相应仪控报警和设备状态指示，并对所有信号进行缺省值处理。当其中某网关站恢复正常后，切换至该正常网关站链路。

◇ 如果1E网关A正常且1E网关B故障时，NC侧网关不实施数据切换，但需对B链路故障进行仪控报警和设备状态指示。此时如果A路某信号质量位坏，NC侧网关可对该信号进行缺省值处理。

2）1 E侧网关站至NC侧网关通信介质故障

◇ 当1E网关A至NC侧网关通信介质发生故障且1E网关B至NC侧网关通信链路正常时，则NC侧网关使用B链路的数据，并产生相应仪控报警信息和设备状态指示，此时如果B链路某信号质量位坏，NC侧网关可对该信号进行缺省值处理。

◇ 当1E网关A至NC侧网关通信介质发生故障且1E网关B至NC侧网关也发生故障时，NC侧网关不实施数据切换，并产生相应仪控报警信息和设备状态指示，此时NC侧网关可对所有信号进行缺省值处理。当其中某网关站通信介质恢复正常后，切换至该正常网关站链路。

◇ 当A链路正常且B链路故障时，NC侧网关不实施数据切换，但需对B链路故障进行仪控报警和设备状态指示。此时如果A路某信号质量位坏，NC侧网关可对该信号进行缺省值处理。

3）NC侧网关板卡出现故障

◇ 当NC侧网关或者网关的板卡出现故障，NC侧网关进行数据切换并进行仪控报警和设备状态指示。

4）TU至1E侧网关站通信链路故障

◇ 当TU至1E侧网关A、B通信链路故障，来自于该TU的数据将被1E网关设置为质量位坏，NC侧网关对此部分数据处理详见前文（2.1节）。同时，1E网关会将该通信链路故障信息（1E网关安全侧模块状态情况）发送至NC侧DCS，NC-DCS将根据该信号状态值设置仪控报警和设备状态指示。

2.3 本通信方案特点

1）无须非安全级DCS网关主从切换

本方案中非安全级DCS网关通过两张通信板卡分别与安全级DCS网关GW-A/B进行通信，接收的数据均上传至本网关主控模块，在主控模块中根据信号的质量位进行数据的选择和切换，避免了传统方案的主从切换过程，也避免了主从切换过程中可能存在的问题。

2）数据切换时间快

本方案通过质量位判断来进行数据选择和切换，当通信链路中的任意故障发生后，会导致该链路数据质量位变坏，非安主控模块将选择质量位好的数据上传至主控室人机界面，节省了主从切换过程的时间，数据切换时间比传统方案要快。

3）安全级DCS内部部分故障不会导致链路整体切换

安全级DCS内部各TU站到网关的通信若出现故障（TU通信模块故障、TU至网关通信故障或网关安全侧通信模块故障等），安全级DCS网关将该TU传来的数据质量位置坏，非安侧网关则可根据质量位不采用该TU的数据，避免了对A/B链路进行整体切换，降低切换过程的故障发生可能性及数据切换时间。

3 结束语

核电站反应堆堆型众多，不同堆型有各自的设计要求，安全级DCS系统的厂家很多，不同厂家平台有各自的特点。本文对核电站安全级DCS系统网关通信方案进行了研究，结合设计规范要求和NASPIC平台自身的技术特点，总结出了一套安全级DCS系统网关通信方案，为安全级DCS系统的通信设计提供参考。