核電站DCS網絡廣播風暴故障分析與防范措施

王譽捧

（福建寧德核電有限公司，福建 寧德　355200）

核電站DCS網絡廣播風暴故障分析與防范措施

王譽捧

（福建寧德核電有限公司，福建 寧德355200）

DCS的網絡架構設計方案是核電站控制系統的重要組成部分，網絡架構設計不合理或網絡協議選取的不恰當，可能導致廣播在網段內被大量復制，傳播數據幀形成廣播風暴，導致網絡性能下降，甚至網絡癱瘓。結合某核電站DCS網絡廣播風暴案例進行原因分析，并提出了有效避免網絡廣播風暴的防范措施，從而保證機組安全穩定運行。

DCS網絡；TXP網絡架構；網絡廣播風暴；工廠總線

0　引言

核電站DCS的網絡架構設計方案是控制系統的重要組成部分，不同的網絡架構將對控制系統產生重要影響。網絡架構設計不合理或網絡協議選取不恰當，可能導致廣播在網段內被大量復制，傳播數據幀形成廣播風暴，阻塞網絡，導致“數據丟失”及出現傳遞值1變0現象，最終致使主控室監視失去，觸發相關邏輯誤動作，對機組的安全穩定運行帶來極大影響。因此，DCS的網絡架構設計方案的選擇和實施便成為目前需要認真研究的課題，以下結合某核電站DCS網絡廣播風暴故障案例進行分析。

1　DCS網絡架構簡介

某核電站CPR1000項目的非安全級DCS為德國西門子公司的Teleperm XP-2000（以下簡稱TXP）系統。TXP系統網絡架構為雙層環形網結構，即由下層工廠總線（Plant bus）和上層終端總線（Terminal bus）組成。

工廠總線和終端總線以相同的網絡通信設備——交換機OSM（Optic Switch Module）為基礎，依據OSM的RM（Redundancy Manager Mode）功能來實現冗余模式的虛擬環網，實現網絡的相對可靠性。此外，工廠總線的各虛擬環網之間都通過分配主、從2個交換機OSM進行連接，來實現網絡冗余功能。

根據核電站儀控設備要實現的功能要求，儀控系統劃分為以下3個處理層級：

（1） LEVEL 0-I/O層（過程儀表層），即現場各類測量儀表，如溫度、壓力、流量、液位等傳感器；現場執行器，如閥門。

（2） LEVEL 1-過程控制層，由工廠總線（Plant bus）與AS620自動化控制系統相接，用于自動、獨立地實現電站控制及保護功能。

（3） LEVEL 2-操作監視層，由終端總線（Terminal bus）與OM690人—機接口系統相接，實現操作員人機對話和對電站設備進行操作、監視。

2　DCS網絡廣播風暴案例及原因分析

2.1網絡廣播風暴案例經過

某日，該電站機組調試人員誤將工廠總線（Plant bus）虛擬環網上連接4號單元機組（調試中）和8號公用機組主、備交換機之間的通信監視專用線斷開，導致主、備交換機接收不到反饋信號，均認為對方故障；標有S標記的備用狀態交換機將自己所連的通信鏈路變為主通信連接，以致4臺交換機之間形成實際的物理鏈路環（見圖1中用粗線標出連接的交換機回路）。這導致網絡沖突廣播發送到所有連接的網絡設備上，從而使數據的每一幀都在網絡中重復廣播，引起了網絡廣播風暴，形成網絡阻塞，并影響到公用機組和相連3號單元機組（正常運營中）之間無法正常傳輸信號。3號機組主控失去畫面監視，引發部分設備的控制條件信號值改變，導致3號機組部分設備停運或自動啟動。

2.2網絡廣播風暴原因分析

經過現場實際調查分析，查詢調試操作記錄，除去人因失誤（工作人員對環網冗余連接特性不熟悉，誤斷開主、備交換機間的通信監視專用連接線）原因外，最終確定造成網絡堵塞的根本原因為：單元機組與公共機組之間網絡通信設備形成實際的網絡鏈路環，廣播報文被無限復制、轉發，引起網絡阻塞。這是網絡拓撲結構實現不合理所致。

以下對人因失誤原因不做詳述，只對設備相關的原因進行深入分析，以期解決根本問題。網絡拓撲結構不合理主要體現在如下2個方面。

（1） 交換機連接構建的局域網（廣播域）未進行劃分。單元機組與公共機組通過交換機連接，使所有網絡通信設備實際處在一個較大的局域網（廣播域）中，從廣播風暴產生機理來看，如果其中任意一個通信設備故障而引發廣播報文，就會使得局域網內的全部通信設備進行報文轉發，造成影響范圍太大而不可控。因為交換機是數據鏈路層設備，其內部有一個MAC地址表，交換機將收到報文的目的MAC地址與MAC地址表中的地址匹配后進行點對點轉發，但是地址表中一般不記錄廣播報文。如果交換機收到的是廣播報文，其就會將報文向整個局域網絡進行廣播，即向除接收端口之外的所有端口轉發，從而造成網絡廣播風暴，占據網絡資源，也會使得通信設備收到大量無效報文而導致不能正常工作。

（2） 交換機網絡端口速率未進行速率上限限制。為保證交換機進行最大數據吞吐量交換，一般網絡端口速率不進行速率上限限制，但當多個輸入數據流需要同一個輸出端口，如果入口速率大于出口速率，在這個端口就會建立隊列。如果沒有足夠的存儲空間，數據包就會被丟棄，對突發數據流更是如此。

3　網絡廣播風暴防范措施

基于上述對網絡廣播風暴根本原因的分析，應當在梳理各交換機間數據流量負載基礎上，采取以下對應防范措施：

（1） 采取策略協議形成虛擬局域網（VLAN）。VLAN可以把一個物理上的局域網劃分成多個邏輯上的局域網，每個VLAN 就是一個廣播域。VLAN內的主機間通過傳統的以太網通信方式進行報文的交互，而不同VLAN內的主機之間在邏輯上相互隔離。

圖1　網絡阻塞故障案例示意

一般消除這種網絡循環連接帶來的網絡廣播風暴，可以使用STP協議（生成樹協議），該協議是根據IEEE協會制定的802.1D標準建立的，用于在局域網中消除數據鏈路層物理環路的協議。另一種典型的非安全級DCS系統是廣利核的HOLLIAS MACS系統，LEVEL 1層采用的即是基于在STP協議基礎上衍生的MSTP（多生成樹協議）搭建的網絡拓撲結構。這種結構比較明顯的優勢為，通過MSTP多生成樹協議形成內嵌的彈性分組環（RPR）環網結構，可將環路網絡修剪成為一個無環的樹型網絡，避免網絡廣播風暴，同時每個VLAN都可以有自己的生成樹，實現網絡鏈路的負載均衡。

（2） 通過網關代替交換機從實體上進行隔離。單元機組與公共機組之間不采用交換機來直接連接，而改用網關連接，通過網關來進行數據轉發，實現單元機組服務器與公共機組設備間數據的請求應答。從物理結構上來說，此種連接不會構成環網，且網關是不會轉發廣播報文的，因此相當于起到了隔離作用，不會在單元機組與公共機組間局部成環而導致廣播風暴。

（3） 靜態配置虛擬環網。以上2種方法均需更換網絡通信硬件，以及選擇并配置支持對應策略或處理數據轉發的軟件算法，改動范圍較大。因此也可通過靜態配置的方式來對當前設備進行設置，可在一定程度上縮小廣播風暴影響范圍。例如：在網絡設備交換機上所有端口（除了級聯端口和光纖環網端口）閉鎖廣播方式；使用靜態MAC地址尋址，使得數據按照既定路徑進行轉發；對局域網內重要端口網絡速度限制在10Mbps等。

目前該電站采用方法（3），在一定程度上抑制了廣播風暴的發生，后續未發生因形成實際的物理鏈路環而導致的網絡廣播風暴。

而廣利核的HOLLIASMACS系統在網絡架構設計上采用了上述（1）、（2）2種方法，從目前相關機組應用情況來看，還未出現因廣播風暴造成的主控失去畫面監視、設備誤動作的事件。

4　結束語

通過以上理論分析及實踐證明，在進行DCS網絡架構設計時，應該在分析數據流量負載基礎上進行“多域管理結構”設計，可以根據對象的位置、范圍、功能和操作特點等，把整個DCS系統通信網絡分成若干相對獨立的分系統，一個分系統構成一個域，并且各個域之間可以通過標準的協議或中間件進行數據交換。

這種網絡架構可以縮小網絡廣播風暴影響范圍，降低發生概率，在抵制網絡廣播風暴方面更科學、合理，更符合工業通信網絡穩定性高、數據響應及時、處理數據負荷大的要求。

1 張寶龍，魏龍彪，蘇本新，等.田灣核電站TXP系統調試與優化［J］.中國儀器儀表，2013，33（3）：51-54.

2 高益，黃俊偉.網絡流量控制的分析與設計［J］.北京電子科技學院學報，2008，16（2）：68-69.

3 朱智達，馮小春，林高.無線局域網中STP協議的應用與研究［J］.福建電腦，2010，26（10）：64-65.

2016-01-02；

2016-02-02。

王譽捧（1984-），女，工程師，主要從事核電站儀控設備改造及物項替代相關工作，email：wangyupeng2@cgnpc.com.cn。