核电厂安全级DCS平台网关通信机制的研究.docx

核电厂安全级DCS平台网关通信机制的研究

作者：王克成叶奇 霍蒙

来源：《科技视界》2019年第05期

【摘要】在核电领域，DCS（分布式控制系统）发展迅猛，作为核反应堆安全运行的重要保障设备，负责执行紧急停堆、事故后监测等重要功能，完成这些功能需要DCS系统安全设备和非安全设备之间相互配合。网关站负责在安全设备和非安全设备之间建立起通信关系，将安全设备侧的安全数据进行转换并发送到非安全设备侧。文章设计了安全级DCS平台侧网关站的架构以及通信机制。

【关键词】网关;通信;安全

中图分类号：TM623;TP309文献标识码：A文章编号：2095-2457（2019）05-0022-003

前言

核电厂DCS系统包括安全级DCS部分和非安全级DCS部分。安全级DCS部分属于安全设备，内部实行安全通信，非安全级DCS部分属于非安全设备，内部实行非安全通信。网关站是核电厂DCS平台的一个重要组成部分，主要用于安全级系统与非安全级系统之间进行数据转换、传输;同时网关还起着隔离安全级DCS平台与非安全级系统平台的作用。

网关在安全级DCS平台中的地位和作用

网关站位于安全级DCS平台的非安部分，主要与工程师站、传输站、非安全级系统侧的网关站相连接。工程师站需要在下装模式向网关站下发配置信息，通信主要采用请求和应答的双向传输方式。传输站与网关站之间为安全通信，传输站将安全级系统侧的数据发送到网关站，网关站将安全数据转换为非安全数据，与非安全级系统侧的网关站进行非安全通信。这部分通信过程采用单向传输，即数据只能从安全级系统发往非安全级系统，该方式能更好的起到隔离作用。

网关站架构设计及实现

网关站主要需要实现配置功能、安全级通信协议数据转发功能。

在安全级DCS中，配置文件由工程师站组态生成，然后下发到各个站的主控模块中。主控模块在运行模式启动后将配置信息分发到该站其他各个槽位的板卡，板卡完成配置信息加载后开始收发数据。因此在网关站中，同样需要主控模块完成配置功能。

安全级通信协议数据转发功能将接收到的安全级DCS系统数据转发至非安全级DCS系统。安全级DCS平台中传输站的通信模块将安全数据发往网关站，网关站中添加安全侧通信

模块，与传输站相连接，接收传输站的数据。网关站中还需要添加非安全侧通信模块，接收安全侧通信模块的数据，对数据进行转换，发送给非安全级设备。安全侧通信模块和非安全侧通信模块的设计，进一步加强数据隔离功能。

综上，网关站的外部接口图如下：

网关站是单配置站，不采用冗余配置，因此一个网关站配置只一个主控模块。每个安全侧通信模块通过通信光口与传输站相连接，每个网关站配置两个安全侧通信模块。非安全侧通信模块也通过通信光口与非安全级设备中的网关站相连接。在安全级DCS系统层面中，两个网关与各TU（传输站）设备连接方式，各个TU设备分别连接至网关1和网关2，形成数据的冗余传输。经过网关的主控制器模块进行解包和封装后再通过非安全侧通讯模块与非安全系统进行通讯。网关应用架构见下图。

网关站通信设计

主控卡与工程师站的通信设计

网关主控板卡上包含两块软件：网关主控Bootloader软件、网关主控平台软件。网关的主控Bootloader软件在网关上电后率先执行，当面板模式选择按钮选择“load”（下载）模式则实现下装功能，通过获取前面板开关是否在“load”（下载）状态下，可将平台软件（网关主控平台软件）、平台配置下发入网关主控的Flash当中。当开关切到“mait”或“run”（维护或运行）时Bootloader软件加载平台软件进行运行，平台软件实现网关的运行及维护功能。

Bootloader 软件实现网关站配置下载功能，该功能通过工程师站软件将相应更改的网关站配置信息下载至网关站主控模块中。下载信息包含网关主控卡配置信息、网关非安卡信息、网关安全卡信息。

网关的主控卡与工程师站之间使用TCP/IP的以太网通信方式。主控卡具备TCP/IP以太网数据的收发操作，IP地址及端口号均通过工程师站下发配置文件进行配置;网关主控模块使用TCP/IP与工程师站进行通信，作网络服务器端使用。

主控卡与的安全侧/非安全侧通信卡的通信设计

网关主控模块负责网关站的通信模块工况监控功能。当开关位于“mait”或“run”（维护或运行）时，网关主控模块周期接收各通信模块诊断状态数据，根据诊断及状态数据控制网关各通信模块工作。

主控卡使用安全级通讯协议库通过背板通信下发网关站对应插槽的板卡（安全卡、非安卡）相关信息，主要包括配置信息、工况监控等。主控卡通过背板下发配置信息后，接收到所

有对应插槽板卡配置成功的