王譽(yù)捧

（福建寧德核電有限公司，福建 寧德　355200）

核電站DCS網(wǎng)絡(luò)廣播風(fēng)暴故障分析與防范措施

王譽(yù)捧

（福建寧德核電有限公司，福建 寧德355200）

DCS的網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)方案是核電站控制系統(tǒng)的重要組成部分，網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)不合理或網(wǎng)絡(luò)協(xié)議選取的不恰當(dāng)，可能導(dǎo)致廣播在網(wǎng)段內(nèi)被大量復(fù)制，傳播數(shù)據(jù)幀形成廣播風(fēng)暴，導(dǎo)致網(wǎng)絡(luò)性能下降，甚至網(wǎng)絡(luò)癱瘓。結(jié)合某核電站DCS網(wǎng)絡(luò)廣播風(fēng)暴案例進(jìn)行原因分析，并提出了有效避免網(wǎng)絡(luò)廣播風(fēng)暴的防范措施，從而保證機(jī)組安全穩(wěn)定運(yùn)行。

DCS網(wǎng)絡(luò)；TXP網(wǎng)絡(luò)架構(gòu)；網(wǎng)絡(luò)廣播風(fēng)暴；工廠總線

0　引言

核電站DCS的網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)方案是控制系統(tǒng)的重要組成部分，不同的網(wǎng)絡(luò)架構(gòu)將對控制系統(tǒng)產(chǎn)生重要影響。網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)不合理或網(wǎng)絡(luò)協(xié)議選取不恰當(dāng)，可能導(dǎo)致廣播在網(wǎng)段內(nèi)被大量復(fù)制，傳播數(shù)據(jù)幀形成廣播風(fēng)暴，阻塞網(wǎng)絡(luò)，導(dǎo)致“數(shù)據(jù)丟失”及出現(xiàn)傳遞值1變0現(xiàn)象，最終致使主控室監(jiān)視失去，觸發(fā)相關(guān)邏輯誤動(dòng)作，對機(jī)組的安全穩(wěn)定運(yùn)行帶來極大影響。因此，DCS的網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)方案的選擇和實(shí)施便成為目前需要認(rèn)真研究的課題，以下結(jié)合某核電站DCS網(wǎng)絡(luò)廣播風(fēng)暴故障案例進(jìn)行分析。

1　DCS網(wǎng)絡(luò)架構(gòu)簡介

某核電站CPR1000項(xiàng)目的非安全級DCS為德國西門子公司的Teleperm XP-2000（以下簡稱TXP）系統(tǒng)。TXP系統(tǒng)網(wǎng)絡(luò)架構(gòu)為雙層環(huán)形網(wǎng)結(jié)構(gòu)，即由下層工廠總線（Plant bus）和上層終端總線（Terminal bus）組成。

工廠總線和終端總線以相同的網(wǎng)絡(luò)通信設(shè)備——交換機(jī)OSM（Optic Switch Module）為基礎(chǔ)，依據(jù)OSM的RM（Redundancy Manager Mode）功能來實(shí)現(xiàn)冗余模式的虛擬環(huán)網(wǎng)，實(shí)現(xiàn)網(wǎng)絡(luò)的相對可靠性。此外，工廠總線的各虛擬環(huán)網(wǎng)之間都通過分配主、從2個(gè)交換機(jī)OSM進(jìn)行連接，來實(shí)現(xiàn)網(wǎng)絡(luò)冗余功能。

根據(jù)核電站儀控設(shè)備要實(shí)現(xiàn)的功能要求，儀控系統(tǒng)劃分為以下3個(gè)處理層級：

（1） LEVEL 0-I/O層（過程儀表層），即現(xiàn)場各類測量儀表，如溫度、壓力、流量、液位等傳感器；現(xiàn)場執(zhí)行器，如閥門。

（2） LEVEL 1-過程控制層，由工廠總線（Plant bus）與AS620自動(dòng)化控制系統(tǒng)相接，用于自動(dòng)、獨(dú)立地實(shí)現(xiàn)電站控制及保護(hù)功能。

（3） LEVEL 2-操作監(jiān)視層，由終端總線（Terminal bus）與OM690人—機(jī)接口系統(tǒng)相接，實(shí)現(xiàn)操作員人機(jī)對話和對電站設(shè)備進(jìn)行操作、監(jiān)視。

2　DCS網(wǎng)絡(luò)廣播風(fēng)暴案例及原因分析

2.1網(wǎng)絡(luò)廣播風(fēng)暴案例經(jīng)過

某日，該電站機(jī)組調(diào)試人員誤將工廠總線（Plant bus）虛擬環(huán)網(wǎng)上連接4號單元機(jī)組（調(diào)試中）和8號公用機(jī)組主、備交換機(jī)之間的通信監(jiān)視專用線斷開，導(dǎo)致主、備交換機(jī)接收不到反饋信號，均認(rèn)為對方故障；標(biāo)有S標(biāo)記的備用狀態(tài)交換機(jī)將自己所連的通信鏈路變?yōu)橹魍ㄐ胚B接，以致4臺(tái)交換機(jī)之間形成實(shí)際的物理鏈路環(huán)（見圖1中用粗線標(biāo)出連接的交換機(jī)回路）。這導(dǎo)致網(wǎng)絡(luò)沖突廣播發(fā)送到所有連接的網(wǎng)絡(luò)設(shè)備上，從而使數(shù)據(jù)的每一幀都在網(wǎng)絡(luò)中重復(fù)廣播，引起了網(wǎng)絡(luò)廣播風(fēng)暴，形成網(wǎng)絡(luò)阻塞，并影響到公用機(jī)組和相連3號單元機(jī)組（正常運(yùn)營中）之間無法正常傳輸信號。3號機(jī)組主控失去畫面監(jiān)視，引發(fā)部分設(shè)備的控制條件信號值改變，導(dǎo)致3號機(jī)組部分設(shè)備停運(yùn)或自動(dòng)啟動(dòng)。

2.2網(wǎng)絡(luò)廣播風(fēng)暴原因分析

經(jīng)過現(xiàn)場實(shí)際調(diào)查分析，查詢調(diào)試操作記錄，除去人因失誤（工作人員對環(huán)網(wǎng)冗余連接特性不熟悉，誤斷開主、備交換機(jī)間的通信監(jiān)視專用連接線）原因外，最終確定造成網(wǎng)絡(luò)堵塞的根本原因?yàn)椋簡卧獧C(jī)組與公共機(jī)組之間網(wǎng)絡(luò)通信設(shè)備形成實(shí)際的網(wǎng)絡(luò)鏈路環(huán)，廣播報(bào)文被無限復(fù)制、轉(zhuǎn)發(fā)，引起網(wǎng)絡(luò)阻塞。這是網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)實(shí)現(xiàn)不合理所致。

以下對人因失誤原因不做詳述，只對設(shè)備相關(guān)的原因進(jìn)行深入分析，以期解決根本問題。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)不合理主要體現(xiàn)在如下2個(gè)方面。

（1） 交換機(jī)連接構(gòu)建的局域網(wǎng)（廣播域）未進(jìn)行劃分。單元機(jī)組與公共機(jī)組通過交換機(jī)連接，使所有網(wǎng)絡(luò)通信設(shè)備實(shí)際處在一個(gè)較大的局域網(wǎng)（廣播域）中，從廣播風(fēng)暴產(chǎn)生機(jī)理來看，如果其中任意一個(gè)通信設(shè)備故障而引發(fā)廣播報(bào)文，就會(huì)使得局域網(wǎng)內(nèi)的全部通信設(shè)備進(jìn)行報(bào)文轉(zhuǎn)發(fā)，造成影響范圍太大而不可控。因?yàn)榻粨Q機(jī)是數(shù)據(jù)鏈路層設(shè)備，其內(nèi)部有一個(gè)MAC地址表，交換機(jī)將收到報(bào)文的目的MAC地址與MAC地址表中的地址匹配后進(jìn)行點(diǎn)對點(diǎn)轉(zhuǎn)發(fā)，但是地址表中一般不記錄廣播報(bào)文。如果交換機(jī)收到的是廣播報(bào)文，其就會(huì)將報(bào)文向整個(gè)局域網(wǎng)絡(luò)進(jìn)行廣播，即向除接收端口之外的所有端口轉(zhuǎn)發(fā)，從而造成網(wǎng)絡(luò)廣播風(fēng)暴，占據(jù)網(wǎng)絡(luò)資源，也會(huì)使得通信設(shè)備收到大量無效報(bào)文而導(dǎo)致不能正常工作。

（2） 交換機(jī)網(wǎng)絡(luò)端口速率未進(jìn)行速率上限限制。為保證交換機(jī)進(jìn)行最大數(shù)據(jù)吞吐量交換，一般網(wǎng)絡(luò)端口速率不進(jìn)行速率上限限制，但當(dāng)多個(gè)輸入數(shù)據(jù)流需要同一個(gè)輸出端口，如果入口速率大于出口速率，在這個(gè)端口就會(huì)建立隊(duì)列。如果沒有足夠的存儲(chǔ)空間，數(shù)據(jù)包就會(huì)被丟棄，對突發(fā)數(shù)據(jù)流更是如此。

3　網(wǎng)絡(luò)廣播風(fēng)暴防范措施

基于上述對網(wǎng)絡(luò)廣播風(fēng)暴根本原因的分析，應(yīng)當(dāng)在梳理各交換機(jī)間數(shù)據(jù)流量負(fù)載基礎(chǔ)上，采取以下對應(yīng)防范措施：

（1） 采取策略協(xié)議形成虛擬局域網(wǎng)（VLAN）。VLAN可以把一個(gè)物理上的局域網(wǎng)劃分成多個(gè)邏輯上的局域網(wǎng)，每個(gè)VLAN 就是一個(gè)廣播域。VLAN內(nèi)的主機(jī)間通過傳統(tǒng)的以太網(wǎng)通信方式進(jìn)行報(bào)文的交互，而不同VLAN內(nèi)的主機(jī)之間在邏輯上相互隔離。

圖1　網(wǎng)絡(luò)阻塞故障案例示意

一般消除這種網(wǎng)絡(luò)循環(huán)連接帶來的網(wǎng)絡(luò)廣播風(fēng)暴，可以使用STP協(xié)議（生成樹協(xié)議），該協(xié)議是根據(jù)IEEE協(xié)會(huì)制定的802.1D標(biāo)準(zhǔn)建立的，用于在局域網(wǎng)中消除數(shù)據(jù)鏈路層物理環(huán)路的協(xié)議。另一種典型的非安全級DCS系統(tǒng)是廣利核的HOLLIAS MACS系統(tǒng)，LEVEL 1層采用的即是基于在STP協(xié)議基礎(chǔ)上衍生的MSTP（多生成樹協(xié)議）搭建的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。這種結(jié)構(gòu)比較明顯的優(yōu)勢為，通過MSTP多生成樹協(xié)議形成內(nèi)嵌的彈性分組環(huán)（RPR）環(huán)網(wǎng)結(jié)構(gòu)，可將環(huán)路網(wǎng)絡(luò)修剪成為一個(gè)無環(huán)的樹型網(wǎng)絡(luò)，避免網(wǎng)絡(luò)廣播風(fēng)暴，同時(shí)每個(gè)VLAN都可以有自己的生成樹，實(shí)現(xiàn)網(wǎng)絡(luò)鏈路的負(fù)載均衡。

（2） 通過網(wǎng)關(guān)代替交換機(jī)從實(shí)體上進(jìn)行隔離。單元機(jī)組與公共機(jī)組之間不采用交換機(jī)來直接連接，而改用網(wǎng)關(guān)連接，通過網(wǎng)關(guān)來進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)，實(shí)現(xiàn)單元機(jī)組服務(wù)器與公共機(jī)組設(shè)備間數(shù)據(jù)的請求應(yīng)答。從物理結(jié)構(gòu)上來說，此種連接不會(huì)構(gòu)成環(huán)網(wǎng)，且網(wǎng)關(guān)是不會(huì)轉(zhuǎn)發(fā)廣播報(bào)文的，因此相當(dāng)于起到了隔離作用，不會(huì)在單元機(jī)組與公共機(jī)組間局部成環(huán)而導(dǎo)致廣播風(fēng)暴。

（3） 靜態(tài)配置虛擬環(huán)網(wǎng)。以上2種方法均需更換網(wǎng)絡(luò)通信硬件，以及選擇并配置支持對應(yīng)策略或處理數(shù)據(jù)轉(zhuǎn)發(fā)的軟件算法，改動(dòng)范圍較大。因此也可通過靜態(tài)配置的方式來對當(dāng)前設(shè)備進(jìn)行設(shè)置，可在一定程度上縮小廣播風(fēng)暴影響范圍。例如：在網(wǎng)絡(luò)設(shè)備交換機(jī)上所有端口（除了級聯(lián)端口和光纖環(huán)網(wǎng)端口）閉鎖廣播方式；使用靜態(tài)MAC地址尋址，使得數(shù)據(jù)按照既定路徑進(jìn)行轉(zhuǎn)發(fā)；對局域網(wǎng)內(nèi)重要端口網(wǎng)絡(luò)速度限制在10Mbps等。

目前該電站采用方法（3），在一定程度上抑制了廣播風(fēng)暴的發(fā)生，后續(xù)未發(fā)生因形成實(shí)際的物理鏈路環(huán)而導(dǎo)致的網(wǎng)絡(luò)廣播風(fēng)暴。

而廣利核的HOLLIASMACS系統(tǒng)在網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)上采用了上述（1）、（2）2種方法，從目前相關(guān)機(jī)組應(yīng)用情況來看，還未出現(xiàn)因廣播風(fēng)暴造成的主控失去畫面監(jiān)視、設(shè)備誤動(dòng)作的事件。

4　結(jié)束語

通過以上理論分析及實(shí)踐證明，在進(jìn)行DCS網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)時(shí)，應(yīng)該在分析數(shù)據(jù)流量負(fù)載基礎(chǔ)上進(jìn)行“多域管理結(jié)構(gòu)”設(shè)計(jì)，可以根據(jù)對象的位置、范圍、功能和操作特點(diǎn)等，把整個(gè)DCS系統(tǒng)通信網(wǎng)絡(luò)分成若干相對獨(dú)立的分系統(tǒng)，一個(gè)分系統(tǒng)構(gòu)成一個(gè)域，并且各個(gè)域之間可以通過標(biāo)準(zhǔn)的協(xié)議或中間件進(jìn)行數(shù)據(jù)交換。

這種網(wǎng)絡(luò)架構(gòu)可以縮小網(wǎng)絡(luò)廣播風(fēng)暴影響范圍，降低發(fā)生概率，在抵制網(wǎng)絡(luò)廣播風(fēng)暴方面更科學(xué)、合理，更符合工業(yè)通信網(wǎng)絡(luò)穩(wěn)定性高、數(shù)據(jù)響應(yīng)及時(shí)、處理數(shù)據(jù)負(fù)荷大的要求。

1 張寶龍，魏龍彪，蘇本新，等.田灣核電站TXP系統(tǒng)調(diào)試與優(yōu)化［J］.中國儀器儀表，2013，33（3）：51-54.

2 高益，黃俊偉.網(wǎng)絡(luò)流量控制的分析與設(shè)計(jì)［J］.北京電子科技學(xué)院學(xué)報(bào)，2008，16（2）：68-69.

3 朱智達(dá)，馮小春，林高.無線局域網(wǎng)中STP協(xié)議的應(yīng)用與研究［J］.福建電腦，2010，26（10）：64-65.

2016-01-02；

2016-02-02。

王譽(yù)捧（1984-），女，工程師，主要從事核電站儀控設(shè)備改造及物項(xiàng)替代相關(guān)工作，email：wangyupeng2@cgnpc.com.cn。