基于ADACS_N平臺的DCS一二層狀態不一致問題分析與解決

王五妹，張瓊瑤（福建福清核電有限公司，福建 福清 350318）

基于ADACS_N平臺的DCS一二層狀態不一致問題分析與解決

王五妹，張瓊瑤（福建福清核電有限公司，福建 福清 350318）

ADACS_N平臺作為電站操作和監視系統（DCS二層）的應用平臺，實現對整個電站的監視和控制功能。基于ADACS_N的DCS二層系統，若出現設備狀態或工藝變量與DCS一層的實際狀態或參數值不一致，將嚴重影響操縱員對機組狀態的監視與控制。文章對基于ADACS_N平臺的DCS一、二層狀態不一致問題進行深入分析，通過一系列工作方案的執行，最終分析得出基于ADACS_N平臺的DCS一、二層狀態不一致的根本原因及解決方案，有效解決了重大隱患，對基于ADACS_N平臺的核電機組的DCS的穩定運行及軟件優化有積極作用。

DCS；時間標簽；不一致

1　概述

基于法國源訊公司ADACS_N平臺的DCS二層系統，為操縱員提供對核電站各系統參數的全面監測及對設備的干預控制[1]。以福清核電DCS二層系統為例，其主要架構如下：

（1）2臺冗余的前端處理服務器（CFR）連接本地AW mesh網絡并收集從DCS Level 1自動控制系統采集的數據，通過網絡發送給中央處理服務器（CCT）。

（2）2臺CCT利用計算引擎對采集的數據和內部數據進行計算，同時進行功能處理。

（3）6臺實時服務器（STR）/存檔服務器（SAR），STR提供實時數據，SAR提供存檔數據。

（4）2臺SAR-STR-GTW服務器，負責Leve 2與level 3電站管理系統接口。

（5）12臺KIC-OWP工作站，即人機接口，操縱員可通過工作站進行各工藝系統的參數監測，并對就地設備實施干預。

以上服務器與工作站組成的DCS人機界面系統，分別設立于核電站主控室、遠程停堆站、技術支持中心、應急指揮中心、掛牌中心、儀控設備間，為電廠提供計算機化的監視和控制功能。

基于ADACS_N平臺出現的DCS一二層狀態不一致問題包括：

（1）同一時刻，模擬量在DCS二層顯示無效狀態（BadBit），而在DCS一層顯示當前實際數值（實際數值是正常有效的）；

（2）同一時刻同一個模擬量在DCS一二層的值不相等；

（3）同一時刻同一個開關量在DCS一二層狀態不同，一個為“0”，一個為“1”；

（4）同一時刻，Binary Actuator類型的設備（比如泵、風機等電動執行機構），在DCS二層顯示洋紅色無效狀態導致操縱員無法對設備進行操作，而一層顯示正常運行或停運狀態；

（5）同一時刻，Loop Control類型的設備（如調節閥），其控制狀態在DCS二層為自動控制狀態，而DCS一層為手動控制狀態等。

上述DCS一二層狀態不一致問題嚴重干擾操縱員對機組狀態的正常監視及對設備的操作與干預，讓操縱員無法準確判斷當前設備狀態及工藝參數，尤其當操縱員對設備狀態進行操作改變時，設備實際正常開或關了，但在DCS二層卻顯示洋紅色無效狀態，直接影響操縱員對設備狀態的判斷和進一步干預，導致機組狀態不能得到有效的監視和控制。本文結合DCS調試維修經驗，深入DCS一二層狀態不一致問題，對其根本原因進行查找與分析，并給出解決方案。

2　基于ADACS_N平臺的DCS二層與一層的通訊機制

DCS一二層數據包通訊遵循握手機制，每個DCS一二層接口數據包的數據結構為（值，狀態屬性值，時間標簽）[2]。如圖1所示為基于ADACS_N平臺的DCS一二層數據流通訊圖，自上而下為DCS二層向一層發送命令的數據流，首先操縱員站發送命令，命令通過KIC-OWP傳送給當前連接的STR服務器。STR服務器將接收到的命令傳送給2臺冗余的CCT服務器，主CCT將命令發送給1臺CFR（首選 CFR）[3]，當CFR服務器與一層AW服務器之間的連接可用時，這臺首選CFR向AW服務器傳輸命令，AW服務器將命令傳遞給一層控制器（CP）執行相關邏輯，命令執行完成后，兩個CFR服務器同時接收來自一層的反饋，并傳送給CCT服務器。

自下而上為一層采集信息傳送給二層處理的數據流，DCS二層的2臺冗余的CFR服務器連接本地AW mesh網絡，二層API接口向AW服務器發送請求數據清單，收集從Level 1自動控制系統采集的數據，AW服務器對采集清單中的數據進行判定，只讀取數值變化大于精度要求的數據或狀態翻轉的數據，同時附上控制器獲取該數據的時標，以數據包形式返回給二層API接口。DCS二層API接口對數據包進行解析與轉換，并同時傳送給兩臺CFR服務器（兩臺CFR為冗余配置，能保證每臺CFR都能獲取100%的Level 1數據），兩臺CFR服務器同時將獲取的值按DCS二層內部掃描頻率通過Level 2（KIC）網絡發送給中央處理服務器（CCT）。主CCT將計算結果發送給Level 2（KIC）網絡上的實時服務器（STR），將存檔數據發送給存檔服務器（SAR）。KIC-OWP的應用從STR的實時數據庫和SAR的存檔數據中獲取預先定義好的數據，數據用于Logbook和Trends等KIC-OWP應用，利用獲取的數據更新畫面顯示。

圖1　DCS一二層數據流通訊圖

3　模擬量DCS一二層狀態不一致問題

3.1現場問題實例

模擬量一二層狀態不一致問題分兩種情況：（1）DCS一層顯示正常測量值，DCS二層顯示無效值（BadBit）；（2）DCS一層根據就地工藝狀態實時更新，二層不更新，同一時刻DCS一二層數值不相等。

3.1.1 模擬量二層顯示無效值（BadBit）

案例：2014年11月21日11:21，某電站1號機組主控室操縱員發現KIC畫面1RCV039MD顯示洋紅色無效狀態，如圖2所示，操縱員在系統畫面不能直觀對此儀表讀數進行監視。

圖2　DCS二層模擬量1RCV039MD的系統畫面

經檢查，此時DCS一層與其對應的1RCV_N3:039MD_V當前測量值為0.77m3/s。在KDO工作站查看1RCV039MD_V的歷史趨勢發現，1RCV039MD_V在出現不一致前曾出現過BadBit，當BadBit消除后一層恢復正常讀數，而DCS二層畫面中仍然保持BadBit不變，在DCS一層對此模塊進行手動刷新后DCS二層的值恢復與一層值一致。

3.1.2 模擬量一二層數值顯示不相等

此問題表現為同一時刻模擬量在DCS一層與二層的數值不同，例如2RCV011MN在DCS一層跟隨就地工藝參數快速變化，但二層在變化到某個值后就不更新，導致同一時刻一層示數為49.35，二層顯示為48.23，即同一時刻2RCV011MN在DCS一二層數值顯示不相等。

3.2問題分析

為確定DCS一二層狀態不一致的根本原因，需對出現模擬量一二層不一致過程中DCS一層與二層的通訊行為及數據流進行分解。因此，現場對DCS Level 1 FoxAPI AW服務器和DCS Level 2 CFR服務器之間的數據通訊進行在線監測，獲取DCS Level 1 FoxAPI AW服務器和二層CFR服務器通訊數據及日志，主要通過第三方網絡封包分析軟件WireShark截取通訊數據，詳細分析發生DCS一二層狀態不一致期間AW服務器與CFR服務器間通訊情況及具體數據，并通過日志觀察AW與CFR間的異常通訊情況。

3.2.1 模擬量二層顯示無效值（BadBit）

對于模擬量二層顯示無效值（BadBit）問題，對WireShark截取的通訊數據包信息進行分析，發現在出現狀態不一致問題時間段內，一層數據信息已由無效變為有效，而體現該變化的數據流在二層被過濾掉，即存在AW與CFR間的數據過濾問題，結合圖3說明如下：如圖3中前后變化值為樣本1與樣本3，其時間戳間隔大于“AW掃描周期-CP掃描周期/2”，其變化的值被CCT保留處理[4]。而在樣本1與樣本2的時間戳間隔小于“AW掃描周期-CP掃描周期/2”,此時，BadBit從AW傳輸過來由1變化為0，在此掃描周期內，CCT并未處理此BadBit=0，而被CCT舍棄，仍保持上一時刻BadBit為1不變。因此，DCS一層BadBit=0已恢復正常狀態，DCS二層由于CCT過濾機制導致DCS一二層狀態不一致。

圖3　改進前CCT數據過濾機制

3.2.2 模擬量一二層數值顯示不相等

對于模擬量一二層數值顯示不同問題，通過WireShark日志獲取一二層通訊日志及CFR日志分析，機制與模擬量二層顯示BadBit相同，CFR獲取的值并未被CCT處理，以0GEW001MF為例，根據CFR1及WireShark日志分析，提取結果如表1所示，在18/05/2015 23:03:36:048時刻數值由54變化為52，18/05/2015 23:03:38:050時刻變化由52變化為42，此數據庫中電站組態數據（PUD）所定義0GEW001MF掃描周期為9.5s，即CCT在固定的時間間隔內請求數據。在18/05/2015 23:03:38:050時刻一層值為42，二層CCT處理后保持52不變，出現一二層數值顯示不一致。也就是說，如果某模擬量快速變化并停止至一個值不變，一層保持當前值，二層為其一層當前值的上一個值，最后一個值被CCT過濾，從而導致一二層示數不一致。

表1　0GEW001MF通訊日志

3.3解決方案

3.3.1 模擬量二層顯示無效值（BadBit）解決方案

由以上分析可知，模擬量二層顯示BadBit及一二層數值顯示不一致均由于CCT的數據過濾機制，此機制在設計時，其實質是為了實現“雙CFR數值淘汰”，即CCT僅接收并處理變化的有效數據，且為防止時間戳的二義性，將CFR在同一掃描周期內發送的具有不同時間戳的數據過濾。對此機制進行改進后，對于時間間隔時間小于“AW掃描周期-CP掃描周期/2”的狀態屬性值，其變化的值被二層CCT服務器處理并送二層顯示，即對于BadBit、Out of Service（OOS）、Uncertain Bit等屬性，即使其在時間間隔時間小于“AW掃描周期-CP掃描周期/2”變化，CCT保持隨CFR送來的值實時改變，改進后的CCT數據過濾機制如圖4所示。

圖4　改進后CCT數據過濾時序圖

3.3.2 模擬量一二層同一時刻數值顯示不相等

為保證模擬量在同一時刻一二層數據同步，改進CCT內部實現機制中數據過濾算法，當時間戳的間隔小于“AW掃描周期-CP掃描周期/2”時，改進前CCT處理方法為直接舍棄，改進后新增數值判斷機制，如圖5所示。

圖5　改進后CCT數據過濾算法

程序首先進行時間戳的判斷，若兩個數值的時間間隔小于“AW掃描周期-CP掃描周期/2”，新增變化值與模擬量采集精度比較判斷。即在問題分析中實例0GEW001MF在23:03:36:048及23:03:38:050的間隔時間內，CFR獲取的兩個數值的時間間隔為500ms,小于“AW掃描周期-CP掃描周期/2”=1.950s，但其變化值大于精度0.1，其值被CCT保留，其處理時序圖如圖6所示。

圖6　改進前后0GEW001MF處理過程

4　開關量及Binary Actuator設備量一二層狀態不一致問題

4.1問題描述

4.1.1 開關量狀態不一致

開關量狀態不一致問題表現為同一時刻DCS一層狀態為1/0，而DCS二層對應信號點為0/1。案例：2014年11月24日，某電廠觸發1SER400KA，經核實1SER400KA在DCS一層對應的模塊（1SER_ N1:400KA_V）此時為0，而其對應的二層報警列表中1SER400KA為觸發狀態。此時需要在DCS一層對該報警所對應的開關量模塊進行強制翻轉再恢復后才能使二層消報，DCS一二層狀態恢復一致。

4.1.2 Binary Actuator類型的設備狀態一二層狀態不一致

Binary Actuator設備狀態不一致主要表現為，主控室畫面中Binary Actuator設備（如泵、風機、熱交換器等）狀態為洋紅色無效狀態，操縱員不能監視設備實際狀態，且不能對此設備進行操作，而同一時刻DCS一層中此設備狀態為正常運行或停運狀態。案例：2014年12月1日，主控室1CEX002PO在系統畫面顯示洋紅色無效，操縱員無法監視其狀態且無法對其操作，經核實在DCS一層對應的模塊（1CEX_N3:002PO_S）其對應狀態為正常運行狀態。在DCS一層需將此設備狀態打包模塊（PAKOUT）的所有位強制翻轉后恢復自動才能使DCS一二層狀態恢復一致。

4.2問題分析

從WireShark監測的日志分析發現，CFR收到某開關量的時間標簽為t0+637ms時，值為TRUE，隨后收到該開關量時間標簽為t0+740ms，值為FALSE，經CFR處理后，發現TRUE和FALSE的值所附的時間標簽均為t0+740ms。在此情況下，優先處理當前隊列中的TRUE，FALSE被舍棄。因此，由于CFR收到從一層的數據包后，對在相同秒數不同毫秒時間標簽進行復寫，導致二層僅處理數據隊列中第一個時間戳的值，后一個時間戳的值舍棄。如果在后一數據包中一層狀態翻轉后，二層狀態保持前一數據包的值，就會導致一二層狀態不一致。

同理，對于Binary Actuator的設備量，以泵為例，其主要信號狀態邏輯如表2所示[4]。

表2　Binary Actuator信號狀態邏輯對應表

在上述案例中，1CEX002PO在DCS二層畫面顯示洋紅色無效狀態時，DCS一層對應IN1（RUNNING）、IN9（START PERMIT）、IN10（STOP PERMIT）、IN14（REMOTE）為1，即1CEX002PO處于正常運行狀態。從WireShark監測的日志分析，此時DCS二層接收IN27及IN1同時為1。而如果IN27（CMDVAL_ START開命令）與IN1（開反饋）同時為1的話，即說明開反饋未復位開命令，或IN28（CMDVAL_STOP關命令）與IN2（關反饋）同時為1時，即說明關反饋而未復位關命令，設備出現洋紅色狀態。

在設備控制過程中，CFR將一層AW服務器所接收的IN27由“1”變化為“0”的“0”拋棄，直接原因是因為一層送給二層的“1”和“0”間隔很短，二層將后一個值的時間標簽復寫，使得收到的這兩個值的timestamp相同，導致后一個時間標簽對應的值“0”被拋棄，因此CFR收到IN27為1，而此時IN1為1，所以設備顯示洋紅色，而實際DCS一層的IN27已經為0，進而導致一二層狀態不一致。

4.3解決方案

經檢查CFR處理算法機制，發現此CFR時間標簽復寫問題的根本原因是由于在CFR 的C/C++ NetFoxAPI軟件程序中，將判斷機制由兩個時間標簽進行比較后，誤將“比較”執行為“賦值”，即if(a==b)誤寫為if(a=b)，使得CFR將收到的一層的時間標簽復寫，從而導致后一個值不被CCT處理。對C/C++ NetFoxAPI程序中的錯誤代碼進行修改后，經現場重新下裝驗證，確認此問題得到解決。

5　Loop Control類調節閥控制命令一二層不一致問題

5.1問題描述

案例：2015年05月31日21:33，主控室操縱員通過KIC工作站將2GSS180VL置SP CTRL模式后，二層顯示閥門仍處于M CTRL狀態，其對應的操縱員操作面板（OOM）狀態為SP CTRL為黑色，可操作，M CTRL為灰色，無法操作，經核實此時在DCS一層中，閥門狀態已顯示為SP CTRL（IN23為1），就地閥門實際狀態也為SP CTRL，即DCS一二層閥門控制狀態顯示不一致。

5.2問題分析

為解決此問題，現場將CFR服務器開為Debug模式，并請運行人員操作2GSS180VL，搜集Loop Control類型調節閥在操作過程中一二層通訊的詳細信息。Debug模式下搜集的CFR日志信息顯示2GSS_N9:180VL_O2.PNT的時間標簽一直保持不變，總保持當前時間的前一個時間標簽，且一層向二層傳輸AUTOCONTROL信息后才發L1ACK確認信號，正常傳遞時序應為AUTOCONTROL與L1ACK同時傳輸或L1ACK早于AUTOCONTROL。因此，Loop Control類調節閥控制命令一二層不一致問題原因為異常時間標簽問題及信號時序問題。

5.3解決方案

此問題與開關量及Binary Actuator的設備量不一致問題原因類似，需在CFR程序中進行優化解決，改進Loop Control類的時間標簽復寫問題。

6　總結

本文結合核電現場基于ADACS_N平臺DCS一二層狀態不一致問題的實際調試與維修經驗，深入研究DCS二層中央處理器CCT及前端服務器CFR軟件及一二層通訊機制，通過現場安裝WireShark監視軟件包、開放CFR的DEBUG模式等一系列措施，對所出現的DCS一二層狀態不一致問題的根本原因進行分析與解決，包括模擬量、開關量、Binary Actuator類型設備量及Loop Control類調節閥的DCS一二層狀態不一致。對CCT過濾機制及CFR時間標簽復寫問題進行改進修復，現場下裝修復后的補丁包，經驗證，本文所討論的模擬量、開關量、Binary Actuator類型設備量及Loop Control類調節后閥一二層狀態不一致問題已在改進后的ADACS_N軟件平臺中得到根本解決。

基于ADACS_N平臺DCS一二層狀態不一致問題分析與解決不僅有效解決了機組DCS重大缺陷，其解決方案及經驗反饋為同行電廠中基于ADACS_N平臺的DCS系統穩定運行有積極作用。

[1] 福建福清核電廠一期工程 KIC系統手冊[Z].

[2] 福建福清核電廠一期工程 KIC系統功能技術要求規格書[Z].

[3] 福建福清核電廠一期工程 電站計算機信息和控制（KIC）系統調試大綱[Z].

[4] FQ - FJS_SRS_028_C_2_CFC_CommonProc, ATOS，Revision C.

Analysis and Solution of Inconsistency Between DCS Level 1 and Level 2 Based on ADACS_N Platform

As an application platform of Plant Control and Monitor System (DCS Level 2), the ADACS_N platform is used to monitor and control the whole plant. When the DCS Level 2 system, which based on the ADACS_N platform, occurs inconsistency with the DCS Level 1 system on the Devices State and Technology Parameters, it will seriously affect the operator to monitor and control the plant state. This article makes deep analysis of the inconsistency between DCS Level 2 and Level 1 system, and obtains the root causes and solutions with a series of schemes implementation, which has made a great progress for the steady operating of DCS as well as software improvement for the follow-up units.

DCS; Timestamp; Inconsistency

B 文章編號：1003-0492（2016）06-0094-04 中圖分類號：TP273

王五妹（1984-），女，福建福清人，工程師，碩士，現就職于福建福清核電有限公司，主要從事核電儀控自動化方面的研究。

張瓊瑤（1988-），女，湖北襄陽人，工程師，碩士，現就職于福建福清核電有限公司，主要從事核電儀控自動化方面的研究。