★ 北京廣利核系統工程有限公司 孫星星，李樂

關鍵詞：多點通信網絡協議；確定性；協議；安全通信

1   引言

自20世紀80年代數字儀控（I&C）技術首次應用于核電站以來，經過幾十年的發展，數字I&C系統逐步取代了模擬I&C系統。隨著40年的技術改進，數字I&C系統已從單機控制系統發展到了數字控制系統（DCS） [1]。在安全DCS中，通信網絡用于連接分散在核電站中的控制站，實現數據采集、計算和控制功能，并將其傳遞到主控室的操作站，幫助操作員執行各種控制操作并實時監測核電站系統的狀態[2]。因此，通信網絡對核安全DCS的可靠性具有重要影響， 在DCS的設計中應予以高度重視。

在安全DCS中，通過在不同層級實現設計目標的通信協議，通信網絡實現了站間通信數據的傳輸。目前的研究表明，當前安全DCS中的通信網絡通常采用工業或開放通信協議。例如， RS-485協議被應用于西屋電氣公司開發的CommonQ網絡中，并在APR1000核項目中用于I&C系統[3]。此外，在西門子設計的TXS平臺中，安全通信網絡通過采用IEEE 802.3協議的以太網技術實現。然而，隨著連接的控制站數量不斷增加，尤其是華龍一號、VVER等堆型應用場景下，網絡數據傳輸點數大幅度增加，原有的協議已不能保證數據的高效傳輸，也無法為單個節點到其他節點的數據傳輸提供確定的時間，不再適合不斷擴大的安全通信網絡規模。此外，針對大規模安全通信網絡設計的高確定性專用協議的研究較為罕見[4]。因此，有必要研究一種能夠支持更快傳輸速度、更大網絡容量并符合安全要求的通信網絡協議，以優化現有系統。

2   安全多點通信網絡協議的確定性

2.1   標準和法規對確定性的要求

由于應用于核電站，安全通信網絡的設計必須滿足相關標準和法規的要求，如IEC 61513、IEEE 7-4.3.2、NRC ISG-04等[5, 6]。 這些標準和法規對安全通信網絡的可靠性、安全性、實時性、確定性和獨立性做出了詳細規定。多點通信網絡協議的確定性在很大程度上決定了這些要求能否得到實現。因此，在本文的設計中，確定性是安全通信協議的主要考慮因素。

在之前的研究中，已經對確定性進行了定義。確定性意味著需要精確計算數據更新的速度、延遲、吞吐量、負載和周期，從而確保核安全通信網絡能夠處于狀態可控的狀態。因此，設計安全通信協議時，應避免描述中存在不清晰、不一致或相互矛盾的規則。鑒于數字系統及其應用中存在許多潛在的不確定性，因此有必要識別與通信相關的不確定性因素，并在所提出的協議中消除這些因素的影響。

為了保證安全通信的確定性，通信行為、完成時間和資源消耗是安全通信協議中普遍考慮的主要規則。實際上，相關標準和法規已經明確了這些共同規則。NRC ISG-04中對保證安全通信網絡確定性的方法進行了說明，指出應提前確定消息的格式和協議。此外，在安全通信網絡中，每條消息應具有相同的結構和順序，每個傳輸周期都應包含所有數據，無論數據是否發生變化[7]。

2.2   影響協議確定性的因素

通過對安全DCS的固有特征的分析，影響安全通信協議確定性的主要因素包括累積特性、離散特性和并行特性。

2.2.1   累積特性

累積特性是指通信實體的行為受到先前通信處理或通信結果的影響。換句話說，通信實體的行為不僅受到當前狀態的影響，還受到歷史狀態的限制，這意味著僅憑當前狀態難以快速預測通信行為或判斷通信故障。

在安全通信網絡中，累積特性的一些影響可能導致網絡的不確定性。累積特性的表現形式包括通信交互的次數（如計數值）、意外事件（如數據包丟失或其他異常動作）的發生次數、特定公共通信資源的消耗情況（如通道的緩沖區量）。

圖1 具有5個網絡節點的通信通道

以圖1所示的通道緩存量為例，五個通信節點P1、P2、 P3、P4、P5通過一個通道連接，共享同一個通道緩存。假設節點P1請求占用通道緩沖區并要求緩沖區的大小為8Mbps，當其他節點在同一時間段內占用的通道緩沖區總量超過8Mbps時， P1的請求將失敗，這可能會導致數據傳輸延遲或數據包丟失，從而使網絡狀態變得不確定。

2.2.2   離散特性

離散特性是數字系統的基礎，這意味著通信實體的行為有時是缺失的或不連續的。由于離散特性，某一時刻t的狀態會被假定為一段時間T的狀態，該時間段T的設定需格外謹慎。 T值過小會增加通信系統的無效負載，導致系統復雜化；而T值過大會導致信息泛濫，使數字系統無法有效地預防、檢測和處理故障。

圖2 通信系統的離散特性

圖2所示是一個典型的離散通信網絡系統，圖中展示了一個數據包丟失的例子。通信實體P1以周期Tsend發送數據，通信實體P2在周期TP2內以遠大于Tsend 的周期Trecv 內接收數據。從P1發送的某一個數據包數據開始計數，將該幀數據記為幀#1。 P1的發送時刻和P2的接收時刻之間有一個時間間隔φ,之后P2會依次收到幀#2、#3、#4、#5、 …，而P1發出的幀可以被P2接收的關系應該滿足i-劇-l周期的影響，也就是說φ的值在整個通信過程中不斷變化[8]。隨著φ的增加， 通道緩沖區可能會變滿， 無法緩存P1即將到來的數據，從而導致即將到來的幀丟失。在這種情況下，該示例表明P2是否能夠接收到P1發送的幀是不確定的。

2.2.3   并行特性

并行特性意味著協議允許多個通信實體同時參與交互或響應。具有并行特性的通信協議可以提供應用功能的異步協作，降低通信雙方的相互耦合，提高傳輸效率。但是并行運行的通信實體之間的協調精度較低，特別是通信實體之間容易發生資源獲取沖突。在這種情況下，具有并行特性的通信協議的關鍵是解決鏈路訪問沖突、通信實體之間的同步以及主節點的選擇問題[9]。

在并行通信協議的約束下，每個通信實體的行為不僅受其自身狀態的影響，還受到其他通信實體狀態和行為的限制。因此，當系統中所有通信實體的狀態無法完全掌握時，通信實體的行為是不可預測的，這使得通信網絡的操作變得不確定。

圖3  申請信道資源的過程

在圖1所示的情形中，假設兩個相同的通信實體P1和P2共用一個通信信道來傳輸消息M，并且該信道受獨占性影響，同一時刻只允許一個通信實體占用。圖3給出了P1傳輸幀的流程圖，表示了傳輸占用信道的過程。如圖所示，在準備傳輸幀時，會檢查信道是否被占用。如果信道沒有被其他通信節點占用，則需要置位占用標志，其他節點無法成功申請占用該信道。傳輸完成后，占用標志會被清除。反之，如果信道被占用， P1會在一定時間后再次申請該信道，這會導致傳輸的延遲。以上即為載波偵聽多路訪問（CSMA）的算法，其中P1發送消息M的時間是不確定的[10]。當多個通信實體共享同一個傳輸信道時，可能導致某個通信實體不能高效地傳輸數據，或者無法傳輸數據，這種情況下在核安全通信中應當明確禁止。

基于分時傳輸的協議和基于主從結構的協議都可以解決上述資源訪問競爭問題。在核安全通信協議中，應采用有限等待原則，即在規定的時間內占用有限的資源，保證各個通信節點在一定時間內獲取資源，以保證協議的確定性。

3   安全多點通信網絡協議的解決方案

3.1   拓撲和模型

在提出確定性安全多點通信網絡協議之前，需要討論通信網絡的拓撲結構和模型，以增強協議的確定性。

3.1.1   滿足華龍一號、VVER堆型應用的安全多點通信網絡的拓撲結構

典型安全通信網絡拓撲如圖4所示，從圖中可以看出，所有通信節點都連接兩條反向冗余通信鏈路，構成雙環拓撲。在該拓撲中，按順時針方向傳輸數據的環定義為0環，另一個環定義為1環。每個通信節點都通過0環和1環向其他節點發送自己的數據。并且，每個節點都可以通過順時針和逆時針環從任何其他節點接收兩組相同的數據[11]。由于華龍一號、VVER等堆型新工程系統架構的設計，點數大、節點數量多對多點通信拓撲提出了新要求。此拓撲中對節點數量的約束為48個，滿足當前大堆的應用需求。

圖4 安全通信網絡的拓撲結構

3.1.2   安全通信網絡中的簡化模型

圖5 安全通信網絡中的簡化模型

為了保證安全多點網絡的通信協議能夠可靠地設計，減少復雜模型導致的錯誤概率，在點對多點安全網絡通信協議設計中，參考國際標準化組織（ISO）制定的開放系統互連（OSI）七層模型和TCP/IP協議的五層模型，結合核安全DCS規范， 簡化了安全通信模型[12]。如圖5所示， 安全通信網絡僅采用物理層、數據鏈路層和應用層，這表明本文討論的基于確定性的協議應該在數據鏈路層中實現。

3.2   安全多點通信網絡中的數據鏈路層

正如上一節所述，通信網絡的核心功能位于數據鏈路層（DLL）。圖6顯示了數據鏈路層的模型， 包含了DLL的功能模塊、服務接口、通信調度機制和幀結構。這些功能的實現不依賴于特定的實施策略，但必須在通信協議中得以實現。

圖6  DLL模型

安全通信網絡中DLL的模型如圖6所示，可以看出DLL由數據映射控制子層、MAC控制子層、MAC數據通道子層構成，下面列出各子層在通信協議中的詳細功能。

3.2.1   數據映射控制子層

數據映射控制子層是安全通信網絡中DLL與應用層的接口，實現內存管理和數據完整性維護。數據映射控制子層對MAC控制子層提供的數據包進行校驗，丟棄錯誤的數據包，并將正確的數據包更新到內存映射區。

3.2.2   MAC控制子層

MAC控制子層是DLL的大腦，實現通信協議定義的主要功能，包括數據處理、數據解析、通信環選擇、數據映射區訪問控制、數據幀調度管理和故障處理等。該子層提供了連接數據映射控制子層和MAC數據子層的專用通道，用于對來自映射控制子層的數據幀進行打包，對來自數據通道子層的數據幀進行解包。

3.2.3   MAC數據通道子層

MAC數據通道子層是安全通信網絡中DLL與物理層的接口，提供與物理層的數據發送和接收功能。該子層實現了合理性檢查、流量控制、隊列處理，并實現了基于IEEE 802 .17的插入、復制、中轉、剝離等協議的傳輸規則[13]。

3.3   確定性數據鏈路層協議實現

基于上述描述，在DLL中實現的安全通信協議的設計可以主要考慮確定性，下面討論如何避免累積特性、離散特性和并行特性等性對安全通信協議的影響，從而提高安全通信協議的確定性。

3.3.1   基于狀態的確定性通信

基于狀態的通信意味著通信節點按照固定的時間間隔發送數據，無論數據是否發生變化。這與基于事件的網絡不同，后者意味著數據的變化會導致數據傳輸的發生。緩沖區溢出是造成網絡擁塞或崩潰的主要原因，而網絡中的突發數據是緩沖區溢出的主要原因。在這種情況下，安全通信應該限制突發數據的產生，以減少累積特性，從而降低系統不確定性。

基于狀態的通信使得通信網絡中不易產生突發數據，可以提高網絡的確定性，但是網絡設備故障仍然可能產生突發數據，這也需要在安全通信協議中加以防范。

3.3.2   固定的傳輸模式

在安全通信網絡中，只采用廣播方式傳輸數據，即發送節點持續發送數據，無需接收節點響應。由于安全通信網絡的數據采用廣播方式傳輸，且統一采用源節點剝離策略，通信協議可以大大簡化，降低了通信協議實現的復雜度，有利于消除并行特性的影響，也有利于提高網絡的確定性。

3.3.3   生產者-消費者模型

安全通信網絡各站點間的數據交互采用生產者-消費者模型，如圖7所示。該模型包含數據生產者、數據和數據消費者三個角色。數據生產者指生成數據的人，數據消費者指使用數據的人，這兩者分別對應安全通信網絡中的發送節點和接收節點。

圖7 數據生產者-消費者模型

在數據生產者-消費者模型中，只有一個數據生產者，但可以有任意數量的數據消費者，無論有多少消費者獲取數據，數據生產者都只通過廣播方式發送一次數據。在安全網絡中，每個通信節點既是其他節點的數據生產者，又是其他節點的消費者，因為每個節點以固定的周期向網絡廣播數據，同時接收其他節點發送的數據，這樣就不需要生產者為每個消費者準備和發送數據，可以最大限度地減少數據流量和發送數據的延遲，從而有助于通過降低累積特性的影響來提高安全網絡的確定性。

3.3.4   優化的幀類型

在安全通信協議中設計了狀態幀（SF）和數據幀（DF）兩種幀類型，專門針對安全通信網絡進行了優化。通信節點的SF表示通信實體的運行狀態，通信節點的DF表示需要傳輸給其他節點的實際數據。此時SF的長度應小于DF，以減少信道資源的占用，提高數據傳輸的確定性和效率。

SF的發送間隔也應盡量短于DF的發送間隔，以保證系統不斷判斷網絡的運行狀態，從而減少對離散特性的推斷，提高安全通信網絡的確定性。

3.3.5   固定且可計算的傳輸數據

安全通信網絡傳輸的數據是確定性的，在協議設計之初就應明確。傳輸的數據在網絡運行過程中不允許發生變化，避免突發數據的產生。

固定的數據結合3.1節介紹的安全通信網絡的具體拓撲結構，有助于在設計階段準確計算通信網絡的各項參數，同時還可以計算出網絡的最壞運行條件，消除累積特性和并行特性帶來的負面影響。

3.3.6   并行數據映射管理

在安全通信網絡中，網絡通信過程實際上是各個站內存映射區域的更新過程，即每個通信節點將從其他節點接收到的數據更新到相應的數據映射區域中。針對和睦系統支持無擾下裝功能，多點網絡通信需對內存映射區域的更新過程進行改進。每個通信節點根據其他節點發送的數據大小，動態調整本節點中相應節點的數據映射區域。在應用組態確定的情況下，每個節點的內存映射都是固定的，如圖8所示。

圖8 傳輸中的數據幀生成

由于安全通信網絡中各通信節點異步運行，轉發幀和插入幀可能同時競爭輸出通道，如何避免或減少碰撞對網絡確定性的影響至關重要。分幀是解決網絡中大量數據傳輸的解決方案，每個幀的內存映射區域也是固定的，這樣允許每個小尺寸幀并行發送和接收，有助于減少并行特性帶來的負面影響，保證網絡的確定性。

4   測試與驗證

采用離散事件仿真模型對提出的安全通信協議與我國首款自主知識產權的安全DCS—FirmSys相結合，進行仿真，并聯合北京大學采用基于模型檢查的形式化驗證技術對協議進行全覆蓋驗證， 保證了安全協議的高確定性。最后， 利用FirmSys的通信網絡設備，搭建了全配置網絡原型，并進行為期三年多的全面深入的實際測試。

圖9 具有所提及協議的可配置網絡

針對核電DCS安全通信網絡的華龍堆型應用場景，對可配置網絡進行了測試。如圖9所示，所有節點依次連接，組成節點數可配置的安全環網。在48個節點的配置下，通信速率達到1Gbps，節點數據最大更新時間小于5.5ms。針對某應用需要10個通信包進行傳輸的情況，對傳輸時間進行了測試，結果如圖10所示，全網傳輸節點數據平均更新時間約為50ms。測試結果表明，特定傳輸時間差異較小，表明所提協議在測試環境中應用可以保證安全通信網絡的確定性。

圖10 10個通信包傳輸時的全網節點數據更新時間

5   總結

本研究提出了一種特殊的安全通信協議， 并將其設計應用于安全DCS多點通信網絡中。本研究討論了安全多點通信協議的確定性，分析了累積特性、離散特性和并行特性等影響協議確定性的因素，在分析了安全網絡的典型拓撲結構和模型之后，提出了一種基于DLL實現的確定性安全多點通信網絡協議的解決方案，并通過仿真和形式化驗證技術對所提出的安全通信進行了驗證，并在配置了48個通信節點的網絡原型上進行了測試。測試結果表明，在測試原型上節點數據的最大更新時間小于5.5ms，表明所提出的協議可以保證安全通信的確定性。

使用該安全通信協議的FirmSys系統已于2018年在陽江核電站5&6號機組中成功實現首臺套應用，并陸續在華龍一號、 VVER等30余臺不同堆型的機組實現應用。截至目前，各現場的系統安全級通信運行穩定，未發生由于安全通信導致的跳機跳堆事件，使用經驗表明，該通信協議滿足了核安全法規和核電廠應用的要求，成功解決了在更快傳輸速度、更大網絡容量下系統通信的安全可靠問題，達到了國際先進水平。隨著全國產化要求的提出，正在開展將本研究成果應用于基于國產芯片的安全級多點通信網絡的研究攻關工作，當前已完成樣機研發，后續將逐步推進示范應用。

作者簡介：

孫星星（1990-） ，女 ， 山西人 ，高級工程師 ，學士 ，現就職于北京廣利核系統工程有限公司 ，主要從事于核安全級儀控系統的嵌入式研發工作。

參考文獻：

[1] 楊強. 數字化儀控系統關鍵技術現狀與發展對策[J]. 核動力工程, 2002, 23 (2) : 1 - 4.

[2] 馬國慶, 杜清瑞, 史國林, 等. 先進核安全儀控系統通信協議技術研究[J]. 電子儀器儀表用戶, 2013, 20 (5) : 1 - 4.

[3] WESTINGHOUSE ELECTRIC COMPANY LLC. AP1000 protection and safety monitoring system architecture technical report[R]. PA: Westinghouse Electric Company LLC, 2010.

[4] HASHEMANIAN H, TIPPING P. Development and application of instrumentation and control (I&C) components in nuclear power plants[M]. Cambridge: Woodhead, 2010 : 508.

[5] IEEE Std 603-2018[S]. IEEE standard criteria for safety systems for nuclear power generating stations. New York: IEEE, 2018.

[6] IAEA. Implementing digital instrumentation and control systems in the modernization of nuclear power plants[R]. Vienna: IAEA, 2011.

[7] KISNER R A, U.S. Nuclear Regulatory Commission. Office of Nuclear Regulatory Research. Design practices for communications and workstations in highly integrated control rooms[R]. Oak Ridge, TN: U.S. Nuclear Regulatory Commission, Office of Nuclear Regulatory Research, 2009.

[8] SUN W Q, YIN B J, ZHOU X B, et al. The key factors influencing the safety network communication protocol[J]. Automation Panorama, 2016, 1 : 3.

[9] LI L, MA Z Y, ZHOU F. FPGA-based technologies improving the efficiency of point to point communications in safety-related DCSs[C]// Proceedings of the 25th International Conference on Nuclear Engineering. Shanghai: ASME, 2017. DOI: 10.1115/ICONE25-67903.

[10] HOLZMANN G J, American Telephone and Telegraph Company. Design and validation of computer protocols[M]. Englewood Cliffs, N.J.: Prentice Hall, 1991.

[11] JIANG G J, LI L, SHI G L, et al. A design of high efficient multipoint communication systems in nuclear safety digital control systems[C]//XU Y F, CHEN W, LIU Z, et al., Eds. Nuclear power plants: innovative technologies for instrumentation and control systems. Singapore: Springer, 2018. (Lecture Notes in Electrical Engineering, Vol. 455).

[12] DICKSON G, LLOYD A. Open systems interconnection[M]. Sydney: Prentice Hall, 1992.

[13] IEEE Std 802.17-2011[S]. IEEE standard for information technology--telecommunications and information exchange between systems local and metropolitan area networks. New York: IEEE, 2011.

摘自《自動化博覽》2026年6月刊