馬九靈

（中核武漢核電運(yùn)行技術(shù)股份有限公司，武漢 430223）

0 引言

2018年1月2日，國內(nèi)某核電廠3號機(jī)組按照計(jì)劃執(zhí)行安全注入和安全殼隔離階段A的綜合試驗(yàn)，因DCS組態(tài)鏈接錯誤，3號機(jī)組安注信號誤觸發(fā)4號機(jī)組蒸汽發(fā)生器主給水隔離閥關(guān)閉信號，導(dǎo)致4號機(jī)組3個環(huán)路蒸汽發(fā)生器主給水管道/給水旁路管道下游隔離閥全部關(guān)閉，3臺蒸汽發(fā)生器失去給水，觸發(fā)ATWT信號，最終導(dǎo)致4號機(jī)組停機(jī)停堆。

2019年1月，國內(nèi)某核電廠主控人員發(fā)現(xiàn)3號和4號機(jī)組的DCS數(shù)字化系統(tǒng)的操作員站和工程師站鼠標(biāo)點(diǎn)擊都無法動作，歷史庫狀態(tài)顯示Server#1/2 health is BAD報(bào)警，且電腦中的參數(shù)都無法顯示。檢查一回路狀態(tài)正常，一回路相關(guān)控制系統(tǒng)正常。由于DCS系統(tǒng)網(wǎng)絡(luò)無法正常工作，導(dǎo)致現(xiàn)場一些設(shè)備的自動控制功能失去控制，最終觸發(fā)反應(yīng)堆停堆信號，導(dǎo)致機(jī)組停堆[1]。

1 網(wǎng)絡(luò)拆分必要性

本文針對的核電機(jī)組在運(yùn)行期間數(shù)次發(fā)生由單臺交換機(jī)故障引起的DCS一層網(wǎng)絡(luò)大面積故障，其網(wǎng)絡(luò)為兩臺機(jī)組共用。該網(wǎng)絡(luò)結(jié)構(gòu)的優(yōu)點(diǎn)是：兩臺機(jī)組DCS的信號可以進(jìn)行相互查詢、調(diào)用和強(qiáng)置等操作，同時方便兩臺機(jī)組共用設(shè)備、互用設(shè)備的控制。存在的缺點(diǎn)是：兩臺機(jī)組工程組態(tài)高度相似，存在人因失誤的潛在風(fēng)險(xiǎn)，同時網(wǎng)絡(luò)不是物理隔離的，某一臺機(jī)組的網(wǎng)絡(luò)故障可能會蔓延到兩臺機(jī)組的網(wǎng)絡(luò)故障，增加發(fā)生網(wǎng)絡(luò)故障的危害程度。所以，網(wǎng)絡(luò)拆分的必要性已逐漸在共用機(jī)組上展現(xiàn)出來。

2 機(jī)組原有DCS一層網(wǎng)絡(luò)架構(gòu)

某核電站的DCS一層為FOXBORO IA series系統(tǒng)，DCS二層采用另一廠家的ATOS ADACS系統(tǒng)，DCS一二層通過API站來通訊。為應(yīng)對DCS二層與DCS一層出現(xiàn)過的通訊故障，機(jī)組在原有DCS一層系統(tǒng)上開發(fā)了輔助二層功能；其次，機(jī)組在副控室內(nèi)含有一套與DCS一層相同廠家的，主要控制三廢系統(tǒng)的DCS二層畫面。機(jī)組的試驗(yàn)信號采集系統(tǒng)同樣也是使用了FOXBORO IA系統(tǒng)，其各系統(tǒng)與DCS一層通訊媒介清單見表1。

表1 各系統(tǒng)與DCS一層通訊媒介Table 1 Communication media between each system and DCS layer 1

機(jī)組原有DCS一層網(wǎng)絡(luò)采用三層倒掛樹的IA Mesh網(wǎng)絡(luò)結(jié)構(gòu)，由30臺網(wǎng)絡(luò)交換機(jī)構(gòu)成，分為A、B冗余雙列，包含根交換機(jī)、機(jī)組級交換機(jī)、房間級交換機(jī)，其中有2臺為根交換機(jī)，同時連接1/2/9號所有機(jī)組級交換機(jī)；1/2號機(jī)組交換機(jī)對稱分布，各有房間級交換機(jī)2臺，機(jī)組級交換機(jī)8臺；9號機(jī)組（1/2號機(jī)組共用部分稱為9號機(jī)組）有8臺交換機(jī)。1/2號機(jī)組DCS二層各通過4臺API站（兩兩冗余）與DCS一層交互，拆分前DCS一層網(wǎng)絡(luò)拓?fù)淙鐖D1所示。

圖1 拆分前DCS一層網(wǎng)絡(luò)拓?fù)浜唸DFig.1 Topology diagram of DCS first layer network before splitting

3 DCS一層網(wǎng)絡(luò)拆分方案

在樹型網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)中，某一條線路或某個節(jié)點(diǎn)發(fā)生故障，可以迅速鎖定該線路（或該節(jié)點(diǎn)）進(jìn)行隔離，不會引起整個計(jì)算機(jī)通信網(wǎng)絡(luò)的癱瘓。但若居于第一層級的A點(diǎn)發(fā)生故障，整個網(wǎng)絡(luò)結(jié)構(gòu)也難以確保其可靠性[2]。根據(jù)功能劃分，將原有一體化的網(wǎng)絡(luò)拆分為UNIT 1、UNIT 2、UNIT 9 3個獨(dú)立的網(wǎng)絡(luò)結(jié)構(gòu)，仍采用倒掛樹結(jié)構(gòu)，層級由原來的三層降為每個機(jī)組各兩層，可以有效提升網(wǎng)絡(luò)可靠性。

UNIT 1：保留原有系統(tǒng)中的#1機(jī)組內(nèi)容。

UNIT 2：保留原有系統(tǒng)中的#2機(jī)組內(nèi)容。

UNIT 9：保留原有系統(tǒng)中的9COM、KSN、KDO、KME內(nèi)容。

3.1 增加API通訊設(shè)備

拆網(wǎng)后，1/2/9號機(jī)組一層網(wǎng)絡(luò)獨(dú)立，原API被分割到1號機(jī)組和2號機(jī)組網(wǎng)絡(luò)內(nèi)。1/2號機(jī)組DCS二層與9號機(jī)組的DCS一層的信號通訊無法通過原API站進(jìn)行，其通訊信號包含較多的數(shù)字量和模擬量控制信號、測量反饋信號。所以，此處選擇在1/2號機(jī)組各增加了兩臺互為冗余的共4臺API站連接到9號機(jī)組DCS一層，這樣可以有效減少跨機(jī)組信號通過DCS一層網(wǎng)絡(luò)傳輸數(shù)據(jù)量。

3.2 增加FBM232通訊卡

FBM232最多可以訪問64個設(shè)備來讀取或?qū)懭胄盘?。從與FBM232相連的I/A系列控制站，一個I/A系列控制站可以使用FBM232訪問多達(dá)2000個模擬I/O值，或多達(dá)64000個數(shù)字I/O值，或者數(shù)字和模擬值的組合。控制站訪問FBM232信號的頻率最快可以達(dá)到500ms。

DCS一層跨機(jī)組信號兩種傳遞方式的優(yōu)缺點(diǎn)：

1）硬接線模式。優(yōu)點(diǎn)：響應(yīng)快，抗干擾能力強(qiáng)，信號相對獨(dú)立，檢修過程中影響面小，傳輸時延短；缺點(diǎn)：需增加大量卡件和電纜，成本高，改動大，無冗余。

2）通訊卡通訊。優(yōu)點(diǎn)：具有冗余功能，無需敷設(shè)電纜，響應(yīng)時間適中，單卡通訊信號量適中；缺點(diǎn)：一旦故障，影響面較大。

通過對比和信號組態(tài)分析發(fā)現(xiàn)，通訊卡通訊方案在信號數(shù)量和響應(yīng)時間上均滿足要求，且拆網(wǎng)涉及信號設(shè)備無安全級設(shè)備。本次拆網(wǎng)最終選用了冗余FBM232通訊卡件，具體為在每個機(jī)組各添加兩對FBM232通訊卡，共計(jì)6對12個通訊卡，用于與其他兩個機(jī)組的信號通訊。

4 信號分析與拆分實(shí)施

整個網(wǎng)絡(luò)拆分過程是十分復(fù)雜繁瑣的，涉及信號傳輸、試驗(yàn)數(shù)據(jù)采集系統(tǒng)和時鐘系統(tǒng)的拆分等眾多工作，這其中組態(tài)信號分析最為繁瑣，且存在的一些問題不易發(fā)現(xiàn)，本章針對拆網(wǎng)過程中組態(tài)信號進(jìn)行分析總結(jié)。

4.1 跨機(jī)組信號分析

由網(wǎng)絡(luò)拓?fù)鋱D可看出，涉及的通訊信號種類較多，主要包含4種類型。

第一類信號“DCS一層需跨機(jī)組調(diào)用的數(shù)據(jù)信號分析”，需通過“DCS一層組態(tài)導(dǎo)出信號清單”，將互相傳送信號的所屬控制器、交換機(jī)、機(jī)組號一一備注出來，將信號與其引用信號分布在不同機(jī)組的種類篩選出來，得到一份DCS一層跨機(jī)組調(diào)用信號清單。

第二類信號“副控室DCS二層畫面調(diào)用的數(shù)據(jù)信號分析”，副控室二層與DCS一層均是FOXBORO IA系統(tǒng)，但副控室DCS二層屬于9號機(jī)組，其與1/2號機(jī)組DCS一層所有通訊需通過DCS一層進(jìn)行通訊，需將副控室DCS二層畫面調(diào)用的數(shù)據(jù)信號按照新拆網(wǎng)后的網(wǎng)絡(luò)關(guān)系進(jìn)行分類，方法同樣是將與副控室DCS二層有數(shù)據(jù)傳輸?shù)乃蠨CS一層信號按照所屬控制器、交換機(jī)、機(jī)組號一一備注出來，將與其通訊的1/2號機(jī)組DCS一層信號篩選出來。

第三類信號“輔助二層需跨機(jī)組調(diào)用的數(shù)據(jù)信號分析”，輔助二層并不是完整的KIC二層，只是滿足特定功能的輔助備用人機(jī)交互畫面。同時，輔助二層與DCS一層均是FOXBORO IA系統(tǒng)，沒有經(jīng)過API通訊，但所有跨機(jī)組通訊需通過DCS一層進(jìn)行間接通訊，此類信號是需增加通訊的四類信號中最多的一種。信號篩選方法同樣是將與輔助二層有數(shù)據(jù)傳輸?shù)乃蠨CS一層信號按照所屬控制器、交換機(jī)、機(jī)組號一一備注出來，將非此機(jī)組DCS一層信號篩選出來。

第四類信號“二層API需跨機(jī)組調(diào)用數(shù)據(jù)信號分析”，這類是針對DCS二層與跨機(jī)組DCS一層信號通訊的分類，如1號機(jī)組DCS一層和2號機(jī)組DCS二層有信號需要通訊（2號機(jī)組DCS一層與1號機(jī)組DCS二層同樣存在）。這類信號因拆網(wǎng)后API站也被拆分到不同網(wǎng)絡(luò)，跨機(jī)組1/2號DCS一二層不能使用原有API直接通訊，對此類信號篩選時需將原API上的“DCS二層與DCS一層交互信號清單”進(jìn)行整理分析，將與DCS二層有數(shù)據(jù)傳輸?shù)乃蠨CS一層信號按照所屬控制器、交換機(jī)、機(jī)組號一一備注出來，將非此機(jī)組DCS一層信號篩選出來，修改時此處需通過先將信號傳送到對應(yīng)機(jī)組的DCS一層，在通過本機(jī)組API送往二層來間接通訊。清單見表2信號拆分種類。

表2 信號拆分種類Table 2 Types of signal splitting

為方便觀察，簡化AB列冗余設(shè)備及與數(shù)據(jù)信號無關(guān)設(shè)備后的示意圖拆分后DCS一層網(wǎng)絡(luò)拓?fù)涠魏喕瘓D如圖2所示。

圖2 拆分后DCS一層網(wǎng)絡(luò)拓?fù)涠魏喕瘓DFig.2 Secondary simplified diagram of DCS layer 1 network topology after splitting

最后將這些用不同的信號分析表共計(jì)1630個信號，進(jìn)行合并去重，得到信號拆分匯總表。為防止不必要的通訊信號占用資源，對這些信號進(jìn)行二次功能分析，剔除不必要通訊信號和同時屬于多種類的重復(fù)信號，以及優(yōu)化來回傳送的信號。最終確定需修改信號點(diǎn)為1593個，其中模擬量信號點(diǎn)50個，數(shù)字量信號點(diǎn)1543個。

4.2 信號分析過程的注意事項(xiàng)

1）在對每一類信號進(jìn)行分析時，務(wù)必保證原文件是機(jī)組當(dāng)前使用的最新版本，且文件能覆蓋所有信號，建議選用機(jī)組組態(tài)導(dǎo)出文件，并進(jìn)行人工二次核對，避免遺漏。

2）在分析信號時需充分熟悉DCS一層網(wǎng)絡(luò)拆分前后網(wǎng)絡(luò)結(jié)構(gòu)的變化，同時對整個變更過程有了充分了解，才能正確分析出最終的拆分信號。如因現(xiàn)場大修等因素制約，實(shí)際網(wǎng)絡(luò)拆分變更分兩次執(zhí)行：第一步拆為1號機(jī)組、9/2號機(jī)組兩部分，第二步在將9號和2號機(jī)組拆分開。

3）信號傳輸是有方向性的。在分析時需標(biāo)注清楚方向性，如同一設(shè)備的控制信號和反饋信號傳輸方向往往是相反的。同時，注意通訊信號組態(tài)配置標(biāo)準(zhǔn)化，保證通訊的規(guī)范性與可溯源性，如通道命名的規(guī)則一致，收發(fā)兩端編號一致等。

4）對信號拆分匯總表進(jìn)行功能分析二次篩選的工作量較大，判斷出要刪減的信號應(yīng)找對應(yīng)的工程師進(jìn)行二次確認(rèn)，合并后的信號清單可能是滿足以上4種情況中的多種，也可能僅對應(yīng)其中一種功能。

5）數(shù)字量信號點(diǎn)：部分信號只需通訊一個點(diǎn)位，有些多位數(shù)字量模塊上的點(diǎn)位僅部分需通訊，為節(jié)省信號通訊量，在最終實(shí)施時，將零散的點(diǎn)位進(jìn)行二次合并或組合到標(biāo)準(zhǔn)的32位通訊點(diǎn)中。

6）在將最終通訊信號表轉(zhuǎn)為組態(tài)時，要確保信號來源“唯一源頭”原則，還要注意信號的掃描周期、模擬量的量程和單位等組態(tài)信息的合理配置。

7）變更過程中需充分使用防人因失誤工具。防人因失誤工具的開發(fā)和使用就是核電廠防人因失誤管理的重要措施之一，有利于提高核電廠的安全運(yùn)行水平[3]。在設(shè)計(jì)、分析和實(shí)施階段使用核電防人因工具中的“自檢”“獨(dú)立驗(yàn)證”等工具，可有效提高工作的正確性。

4.3 信號拆分示例

以9RPE381VP為例，其設(shè)備邏輯運(yùn)算和最終命令出口均在9號機(jī)組。除9號機(jī)組DCS二層，1/2號機(jī)組DCS二層和1/2號機(jī)組輔助二層，均需對9RPE381VP進(jìn)行顯示和控制。原有控制和顯示信號均在9號機(jī)組DCS一層9582UC控制器內(nèi)，“9RPE_N5:381VP_C”“9RPE_N5:381VP_S”為1號機(jī)組對應(yīng)控制命令下發(fā)信號和反饋顯示信號；“9RPE_N1:381VP_C”“9RPE_N1:381VP_S”為2號機(jī)組對應(yīng)控制命令下發(fā)信號和反饋顯示信號，拆網(wǎng)后“9RPE_N5:381VP_C”“9RPE_N5:381VP_S”“9RPE_N1:381VP_C”“9RPE_N1:381VP_S”可通過新增的API站與1/2號機(jī)組DCS二層通訊，但輔助二層無法通過API進(jìn)行通訊，這里需要將“9RPE_N5:381VP_C”“9RPE_N5:381VP_S”“9RPE_N1:381VP_C”“9RPE_N1:381VP_S”在機(jī)組DCS一層進(jìn)行通訊，“9RPE_N5:381VP_C”為1號機(jī)組送9號機(jī)組；“9RPE_N5:381VP_S”為9號機(jī)組送1號機(jī)組；同樣“9RPE_N1:381VP_C”為2號機(jī)組送9號機(jī)組；“9RPE_N5:381VP_S”為9號機(jī)組送2號機(jī)組。若命名不變，在9號機(jī)組內(nèi)同時存在兩個“9RPE_N1:381VP_C”“9RPE_N5:381VP_C”，這里會因系統(tǒng)識別到同名沖突導(dǎo)致無法建立第二個同名的信號點(diǎn)。

針對于多控制命令源頭的信號，因違背了DCS一層任何一個信號源頭唯一的原則。本變更使用了IND（Independent Sequence）獨(dú)立型順序模塊來實(shí)現(xiàn)，本模塊提供順序控制，可用來訪問任何組合模塊或模塊的參數(shù)，也可用來激活其它順序模塊和監(jiān)視模塊（MON），控制定時模塊（TIM）中的定時器。它的運(yùn)行不影響別的順序模塊的運(yùn)行，也不受其它順序模塊運(yùn)行的影響[4]。

本例中使用了IND順序塊來實(shí)現(xiàn)，即在9號機(jī)組建立“9RPE_N1:381VP_CIND”“9RPE_N5:381VP_CIND”，其可作用在對應(yīng)的“9RPE_N1:381VP_C”“9RPE_N5:381VP_C”模塊上，且不影響其本身的功能，信號流向在網(wǎng)絡(luò)中如圖3所示。圖4為信號流向用流程圖。

圖3 設(shè)備9RPE381VP信號網(wǎng)絡(luò)流向圖Fig.3 Flow direction diagram of 9RPE381VP signal network of equipment

4.4 組態(tài)修改方法

在進(jìn)行現(xiàn)場組態(tài)修改主要有兩種方法：在線單點(diǎn)修改和組態(tài)程序批量修改，因本變更組態(tài)修改量較大，大修工期緊張，故選用組態(tài)程序批量修改更為合適，即工程師提前使用DCS系統(tǒng)能識別的語言進(jìn)行組態(tài)程序的編寫，將需要修改的組態(tài)一次性地寫入程序中。現(xiàn)場實(shí)施時，通過運(yùn)行組態(tài)程序，一次性修改控制器內(nèi)的組態(tài)。

4.5 實(shí)施前測試

在實(shí)驗(yàn)室內(nèi)搭建DCS最小化系統(tǒng)，包含主要需驗(yàn)證設(shè)備和兩個可拆分開的機(jī)組DCS一二層的網(wǎng)絡(luò)環(huán)境，拆分開網(wǎng)絡(luò)后，進(jìn)行新的通訊搭建和組態(tài)修改，觀察涉及拆網(wǎng)的對應(yīng)功能是否可以正常實(shí)現(xiàn)，并測試其穩(wěn)定性。此處僅能進(jìn)行功能性的測試，不能涵蓋所有拆網(wǎng)修改的測試。測試主要內(nèi)容包括：采用通訊卡進(jìn)行跨機(jī)組通訊的可行性、通訊卡通訊點(diǎn)數(shù)和響應(yīng)時間測試，新增API服務(wù)器通道可行性、KDO結(jié)構(gòu)調(diào)整可行性、網(wǎng)絡(luò)機(jī)構(gòu)變化后的測試，交換機(jī)固件兼容性、在線增加時鐘和時鐘切換的測試。

4.6 變更實(shí)施

本次變更DCS一層網(wǎng)絡(luò)拆分項(xiàng)目分為兩個階段執(zhí)行：1號機(jī)組大修期間（第一階段）將1號機(jī)組與2/9號機(jī)組斷開，2號機(jī)組大修期間（第二階段）將2號機(jī)組與9號機(jī)組斷開。

大修期間實(shí)施，需確保涉及到的交換機(jī)、控制器、卡件等設(shè)備實(shí)時在線。

4.7 組態(tài)修改后檢查和驗(yàn)證

網(wǎng)絡(luò)拆分是個涉及面廣泛且復(fù)雜的工作，組態(tài)修改可能會有部分遺漏或錯誤存在，組態(tài)修改后檢查和驗(yàn)證作為最后一道屏障，尤為重要。首先對照信號清單，從最終點(diǎn)向源頭進(jìn)行軟件鏈接跳轉(zhuǎn)，對整個信號傳輸鏈路進(jìn)行逐一狀態(tài)確認(rèn)；然后，通過機(jī)組軟件導(dǎo)出鏈接故障點(diǎn)表，對所有鏈接故障信號點(diǎn)進(jìn)行逐一分析，進(jìn)行二次檢查。這里對涉及到二層直接引用的一層點(diǎn)，可通過畫面進(jìn)行普查，但報(bào)警點(diǎn)未觸發(fā)時是無法通過以上兩種方法來檢查的，這里可以通過手動觸發(fā)DCS一層報(bào)警點(diǎn)來觀察二層報(bào)警信號觸發(fā)狀況來驗(yàn)證。大修期間情況較為復(fù)雜，故障點(diǎn)較多，在條件允許情況下，可人工強(qiáng)置為正常點(diǎn)進(jìn)行檢查。當(dāng)機(jī)組在功率運(yùn)行狀態(tài)下，可再次導(dǎo)出鏈接故障點(diǎn)表，進(jìn)行二次檢查。

5 結(jié)論

雙機(jī)組共用非安全級DCS一層網(wǎng)絡(luò)拆分是DCS的重要變更，涉及面廣，工作量大，實(shí)施難度高。其中，組態(tài)修改是直接影響自動控制層設(shè)備控制功能的，是最為重要和繁瑣的。隨著社會工程學(xué)攻擊的無孔不入以及各種新型網(wǎng)絡(luò)攻擊的出現(xiàn)，國內(nèi)外核電行業(yè)所遭遇的網(wǎng)絡(luò)攻擊也在不斷升級[5]，網(wǎng)絡(luò)拆分可從物理隔離上減少網(wǎng)絡(luò)故障的影響。本變更的具體方法從分析、設(shè)計(jì)、測試、實(shí)施、驗(yàn)證等各環(huán)節(jié)進(jìn)行了詳細(xì)介紹和經(jīng)驗(yàn)反饋，變更實(shí)施后，目前機(jī)組已安全穩(wěn)定運(yùn)行超一年，說明本方案的可靠性，可為同類型機(jī)組拆網(wǎng)工作提供參考。