張 寧 汪全全 郭 冰 孫雪靜 徐海霞 陳永忠

反應堆儀控HA設備冗余狀態(tài)監(jiān)測

張 寧1,2汪全全1,3郭 冰1,2孫雪靜1,2徐海霞1,2陳永忠1,2

1（中國科學院上海應用物理研究所 嘉定園區(qū) 上海 201800）2（中國科學院核輻射與核能技術重點實驗室 上海 201800）3（中國科學院大學 北京 100049）

為了解冗余配置的高可用性(High Availability, HA)設備內部冗余單元的運行狀態(tài)，以避免由于切換或冗余失效導致的嚴重后果或潛在風險，對基于EPICS (Experimental Physics and Industrial Control System)儀控系統(tǒng)樣機中冗余配置的可編程序控制器(Programmable Logic Controller, PLC)和組件進行了冗余狀態(tài)監(jiān)測方法研究。通過修改輸入/輸出控制器(Input/Output Controller, IOC)冗余組件代碼及開發(fā)PLC狀態(tài)變量讀取程序的方法，分別獲取到二者的冗余單元狀態(tài)并發(fā)布在監(jiān)控層終端。實驗證明此方法在幾乎不增加系統(tǒng)資源的情況下可長期監(jiān)測冗余單元狀態(tài)，為進一步提高儀控系統(tǒng)的可用性提供技術支持。

冗余，分布式控制系統(tǒng)，EPICS，高可用性，狀態(tài)監(jiān)測

根據核電儀控規(guī)范對高可用性的要求[3?4]以及實際工程需求，過程控制層服務器硬件平臺使用ATCA (Advanced Telecom Computing Architecture)[5]架構的高可用性(High Availability, HA)設備板卡并進行冗余配置，使用冗余監(jiān)控任務(Redundant Monitor Task, RMT)[6]對服務器配置的輸入/輸出控制器(Input/Output Controller, IOC)進行冗余功能管理。現場設備層控制器采用具有硬件冗余配置的西門子S7-400H PLC (Programmable Logic Controller)。從設備外部整體看，IOC服務器組件及PLC均可實現極高的可用性。因此提升硬件及軟件本身已經不是目前設備HA研究的重點，更進一步的研究要關注于冗余組件內部各單元設備狀態(tài)變化，以及冗余連接本身對整體可靠性的影響，具體來說包括由于熱備切換帶來的可用性降低，以及冗余本身可能引起的“腦裂”和“Ping-Pong”效應[7?8]。為了對可能引起整體設備失效的因素進行實時的監(jiān)控和及時的排除，需要在DCS監(jiān)控界面對冗余單元設備的運行狀態(tài)進行監(jiān)測。

1 DCS HA設備的冗余配置及開發(fā)

在棒控棒位DCS樣機中，PLC的功能主要是通過程序對驅動電機發(fā)布控制指令、驅動控制棒運動以及回讀控制棒棒位信息。控制命令和棒位信息通過上層 ATCA/IOC程序映射為可被EPICS系統(tǒng)數據交換的過程變量(Process Variable, PV)，并發(fā)布給上層操作界面(Operator Interface, OPI)。PLC與ATCA/IOC的冗余配置及開發(fā)就是為了保證DCS系統(tǒng)中上述流程的高可用性。

1.1 PLC的冗余配置

德國西門子公司為SIMATIC S7-400H PLC提供了用于雙機冗余配置的組態(tài)軟件及通信接口。棒控棒位DCS系統(tǒng)根據工程實際對PLC模塊實現了硬件冗余配置，其中包括電源(PS)冗余、雙CPU冗余以及具有雙通道的Profibus總線連接，如圖2。

圖2 冗余配置的S7-400H系統(tǒng)結構圖Fig.2 Redundancy configured S7-400H system diagram.

圖2中核心組件為雙CPU (CPU0和CPU1)，分別位于兩個設備機架rack0和rack1上，設備正常運行時，主狀態(tài)(Master) CPU負責運行內置的棒控棒位應用程序，主要包括接收上層ATCA/IOC發(fā)出的控制指令并轉換成數字信號發(fā)送給驅動電機，以及回讀棒位信息發(fā)布給上層IOC。從狀態(tài)(Slave) CPU通過與Master連接的“心跳”光纖實現數據和程序同步。當Master出現故障，Slave會立即在“故障點”投入運行狀態(tài)，負擔全部系統(tǒng)任務，其切換時間約為50 ms。上層設備可通過雙通道Profibus的I/O口與PLC進行數據交換。

1.2 ATCA/IOC的冗余配置及開發(fā)

通過開發(fā)冗余控制軟件RMT的IOC驅動接口，ATCA/IOC實現與底層PLC通信驅動程序的冗余控制。硬件配置為兩臺接入控制系統(tǒng)局域網的ATCA服務器板卡，此局域網連接被稱為RMT冗余系統(tǒng)的“公有網絡”。兩個服務器板卡還需用網線連接各自的另外一組網卡。此網絡被稱為“私有網絡”，主要用于冗余IOC對之間數據同步的“心跳”服務，管理軟件為RMT的數據同步組件命令控制設備(Continuous Control Executive, CCE)。ATCA/IOC冗余系統(tǒng)結構圖如圖3所示。

圖3 基于RMT的ATCA/IOC冗余結構圖Fig.3 RMT based ATCA/IOC redundancy diagram.

RMT軟件包的核心部分是實現冗余判選機制的“狀態(tài)機(State Machine)”。狀態(tài)機通過監(jiān)測和管理主要冗余資源(Primary Redundancy Resources, PRR)，來判選和控制PRR狀態(tài)。其中PRR主要包括公有網絡、私有網絡以及全局網絡的連接狀態(tài)，下層支持模塊或驅動模塊的運行狀態(tài)，CA server以及數據庫的掃描任務等。其結構如圖4所示。

RMT的IOC驅動接口主要為IOC支持模塊中供上層RMT調用的一組控制函數，根據實際需求，在樣機工程中開發(fā)了如下函數，如表1所示。

圖4 RMT冗余軟件運行結構圖Fig.4 RMT software running diagram.

表1 RMT冗余驅動函數Table 1 RMT redundant driver function.

2 DCS HA設備的冗余狀態(tài)獲取

對于PLC和ATCA/IOC冗余狀態(tài)的獲取，目標就是把二者的冗余狀態(tài)以及能夠表征冗余狀態(tài)的相關參量以PV變量的形式映射在信道接入服務(Channel Access Server, CA Server)中，然后為監(jiān)控管理層的OPI端提供可視化的冗余狀態(tài)監(jiān)控途徑。

2.1 PLC冗余狀態(tài)的獲取

在PLC運行過程中，控制器內部的不同信息都被保存在CPU的內部存儲器中，并根據運行情況由控制器內部的操作系統(tǒng)實時進行更新。在冗余配置的S7-400H PLC中，這些內部信息也包含了關于冗余狀態(tài)的內部變量。這些變量給出來自各個服務器角度的系統(tǒng)冗余狀態(tài)信息。為了能讓ATCA/IOC的驅動模塊可以獲取這些狀態(tài)信息，需要通過PLC程序將這些信息映射到用于外部訪問的數據塊中。

S7-400H狀態(tài)信息作為靜態(tài)變量，主要通過功能塊SFC51來獲取。其系統(tǒng)變量列表(System Status List, SSL)-ID表征不同的信息類型，INDEX表征某個類型的具體狀態(tài)。其中需要讀取的與冗余狀態(tài)有關的SSL-ID及INDEX描述如表2所示。

表2 SFC51塊中冗余狀態(tài)信息Table 2 Redundant information in Block SFC51.

為了獲得冗余狀態(tài)的可靠性，在PLC的程序中需要對SSL-ID=W#16#0174的0與1位數據做或(OR)邏輯運算結果表征系統(tǒng)是否處于冗余狀態(tài)。所有表征冗余相關的狀態(tài)量以Bit形式通過STEP 7程序輸出到DB10模塊。ATCA/IOC通過基于TCP/IP的驅動模塊可讀取DB10數據并通過新建IOC的DB文件轉化為PV值發(fā)布。其映射關系如圖5。

圖5 冗余狀態(tài)數據在PLC與PV變量中的映射關系圖Fig.5 Redundant state block diagram between PLC and PV values.

2.2 ATCA/IOC冗余狀態(tài)的獲取

IOC自身的冗余狀態(tài)主要是通過冗余控制軟件RMT來實現，因此對于ATCA/IOC自身狀態(tài)的獲取就需要能夠實時調取RMT軟件運行時對本IOC運行狀態(tài)的判選結果，并通過建立IOC運行數據庫來映射成PV變量。由于RMT的作用是實現冗余判選并向下控制IOC的運行狀態(tài)，出于安全考慮，RMT并未提供IOC代碼向上訪問其軟件內核的渠道。因此，獲取IOC冗余狀態(tài)需要對RMT軟件包及IOC代碼進行修改。

IOC接受RMT冗余控制的渠道是通過訪問包含頭文件rmtDrvIf.h來實現。其代碼中提供了冗余控制函數地址入口表，以結構體rmtEntryTabType的形式來實現。具體的各個冗余控制函數需要在IOC中實例化并通過函數RmtRegister()注冊而進入RMT的控制列表中。為了實現讀取RMT狀態(tài)機的判選信息，在rmtDrvIf.h中新建用于表征IOC冗余狀態(tài)及相關信息的結構體RedStateInfoType。由于ATCA設備的網絡連接及運行程序數量遠比PLC設備復雜，因此在RedStateInfoType的成員變量中增加了與冗余相關的更多變量信息，其結構成員如表3所示。

然后需要在RMT軟件包內核程序中修改函數RmtRegister()及RMT的控制列表結構，使RedStateInfoType以參數的形式通過注冊而進入到RMT狀態(tài)機控制列表中，并在運行RMT時RedStateInfoType內各個成員變量根據狀態(tài)機對IOC狀態(tài)的判選而相應改變。且此結構體在IOC中為只讀，以防止其內容的意外被修改。修改后的IOC與RMT的連接結構如圖6所示。

表3 結構體RedStateInfoType成員變量Table 3 Variables in Struct RedStateInfoType.

圖6 代碼修改后的IOC與RMT數據交換結構圖Fig.6 Diagram of data exchange between IOC and RMT after code modification.

3 冗余狀態(tài)監(jiān)測界面的實現與測試

為了使PLC與ATCA/IOC的冗余狀態(tài)等內部信息能夠被更有效的監(jiān)測，在樣機DCS系統(tǒng)監(jiān)控管理層的人機界面(Human Machine Interface, HMI)設備中用控制系統(tǒng)工作室(Control System Studio, CSS)設計開發(fā)了設備冗余狀態(tài)監(jiān)控界面，此界面通過接收下層IOC中表示冗余狀態(tài)的PV變量，可監(jiān)測不同設備的冗余狀態(tài)信息。其結構如圖7所示。

圖7 冗余狀態(tài)監(jiān)測CSS界面Fig.7 CSS interface of redundant state monitor.

為驗證整個冗余狀態(tài)監(jiān)測系統(tǒng)的有效性，我們進行了相關測試實驗。首先通過修改相關環(huán)境變量對網絡連接狀態(tài)的確認頻率進行了優(yōu)化，使上層界面對冗余切換帶來的設備重連接時間主要集中于網絡中斷響應及重新連接響應，經過優(yōu)化后重連時間好于1 s。在此基礎上，在一周內進行了多次不同方式的冗余測試，主要包括樣機在PV變量數量變化的情況下對IOC與PLC進行主動及被動切換或關機。測試表明各種冗余狀態(tài)變化均可成功在CSS界面上準確顯示。顯示效果和各個冗余設備系統(tǒng)資源在PV變量數量從50增加到400情況下，且均無明顯變化。

4 結語

通過對西門子S7-400H PLC、ATCA/IOC和冗余控制軟件RMT進行程序重新設計，以及開發(fā)上層界面軟件，在TMSR DCS樣機開發(fā)中成功實現了對系統(tǒng)內HA設備的冗余狀態(tài)監(jiān)測，測試結果表明此方法性能可靠。在下一步的工作中，此系統(tǒng)將與歷史存檔數據庫連接，用于自動監(jiān)測和歷史數據統(tǒng)計。在未來的控制系統(tǒng)中，冗余狀態(tài)界面程序將作為插件應用于系統(tǒng)總體狀態(tài)監(jiān)測界面層中。

1 江綿恒, 徐洪杰, 戴志敏. 未來先進核裂變能——TMSR核能系統(tǒng)[J]. 中國科學院院刊, 2012, 27(3): 366?376 JIANG Mianheng, XU Hongjie, DAI Zhimin. Advanced fission energy program-TMSR nuclear energy system[J]. Bulletin of the Chinese Academy of Sciences, 2012, 27(3): 366?376

2 周海翔, 徐瑋瑛. 三代核電機組數字化儀控系統(tǒng)及其國產化分析[J]. 自動化儀表, 2010, 31(8): 61?66 ZHOU Haixiang, XU Weiying. Digitized I&C system of the 3rdgeneration nuclear power units and its localization[J]. Process Automation Instrumentation, 2010, 31(8): 61?66

3 Implementing digital instrumentation and control modernization of nuclear power plants[R]. Vienna: International Atomic Energy Agency, 2009

4 IEC 61226-2009, Nuclear power plants-instrumentation and control important to safety-classification of instrumentation and control functions[S]. GB-BSI, 2009

5 Advanced TCA, PCIMG 3.0 short form specification[S]. PCI Industrial Computers Manufacturers Group, 2003

6 Clausen M, Liu G, Shoeneburg B. Proceedings of international conference on accelerator and large experimental physics control systems[C]. Knoxville: [s.n.], 2007

7 Clausen M. IOCs with redundancy support[R]. Menlo Park U.S: [s.n.], 2012

8 Bottomley J J. Proceedings of the FREENIX track: 2004 USENIX annual technical conference[C]. Boston: [s.n.], 2004

CLC TL362+.5

Redundant state monitoring of the HA devices in reactor I&C system

ZHANG Ning1,2WANG Quanquan1,3GUO Bing1,2SUN Xuejing1,2XU Haixia1,2CHEN Yongzhong1,2
1(Shanghai Institute of Applied Physics, Chinese Academy of Sciences, Jiading Campus, Shanghai 201800, China) 2(Key Laboratory of Nuclear Radiation and Nuclear Energy Technology, Chinese Academy of Sciences, Shanghai 201800, China) 3(University of Chinese Academy of Sciences, Beijing 100049, China)

Background: Redundancy configuration is widely adopted in the digitalized instrumentation and control (I&C) system of third-generation reactors. For further availability improvement, state monitoring method of redundant configured Programmable Logic Controller (PLCs) and Input/Output Controller (IOC) components in Experimental Physics and Industrial Control System (EPICS) based I&C system prototype was studied for the Thorium Molten Salt Reactor (TMSR) project. Purpose: In order to avoid serious consequence or potential risks caused by switch-over or redundancy failure, the running states of redundant units composed high availability (HA) devices in reactor I&C system are expected to be accessed in real-time in this study. Methods: By means of adding the unit state reporting channels which could be transferred into Process Variables (PVs) for the acquisition of EPICS upper tier application, a novel method of monitoring redundant states of device units was developed. Source code of redundant monitor task (RMT) was modified by adding a routine to record state-related information for the IOC pairs whilst a new state-read program block for local and remote units was developed for PLCs. All state monitoring related variables was acquired and passed into EPICS records by IOC driver. In terminal layer, a CSS (Control System Studio)-based OPI (Operator Interface) Plug-In was implemented for on-line state monitoring. Results: Redundant state-related information of each unit pair were successfully acquired as PV values and showed in the designed OPI interface by proposed method. Test proved it could achieve real-time monitoring of redundant state variation. Conclusion: By developing and modifying program for HA units, and designing OPI interface, reactor I&C system could monitor redundant unit state for a long-term with few additional system resources. It could provide technological support for further improvement of availability of the reactor I&C system.

Redundancy, Distributed Control Systems (DCS), Experimental Physics and Industrial Control System (EPICS), High availability, State monitoring

TL362+.5

10.11889/j.0253-3219.2015.hjs.38.040603

中國科學院釷基熔鹽核能(Thorium Molten Salt Reactor, TMSR)項目的反應堆儀控系統(tǒng)[1]對可靠性和安全性有更高的要求，為應對第三代乃至更新一代核電項目對于儀控系統(tǒng)的技術需求[2]，在TMSR實驗堆前期研發(fā)中，設計了基于EPICS (Experimental Physics and Industrial Control System)軟件平臺的全數字化分布式控制系統(tǒng)(Distributed Control Systems, DCS)。此系統(tǒng)按照DCS的標準架構分為三層：監(jiān)控管理層、過程控制層和現場設備層。監(jiān)控管理層主要是監(jiān)測和控制整個反應堆的運行狀態(tài)及其他維護功能，主要包括各個控制臺及支持中心等；過程控制層主要包括堆運行過程中各子控制系統(tǒng)；現場設備層是控制網絡與底層設備的I/O接口。在DCS樣機研發(fā)中，按照此結構建立了棒控棒位機構控制系統(tǒng)，其總體結構如圖1所示。

圖1 TMSR棒控棒位儀控樣機系統(tǒng)結構圖
Fig.1 Diagram of rod control and position indication I&C prototype system for TMSR.

中國科學院戰(zhàn)略性先導科技專項(No.XDA02010300)資助

張寧，男，1980年出生，2012年于中國科學院上海應用物理研究所獲博士學位，研究領域為核電儀控系統(tǒng)應用研究、加速器束流診斷研究

2014-11-26，

2015-01-06