IEC 61306：核仪器用微处理器总线标准详解

要点提示：IEC 61306 为核仪器应用中基于微处理器的模块互连定义了专用总线标准。它满足核环境下实时数据采集的独特要求，包括确定性时序、耐辐射总线驱动器和安全级监测系统的故障安全通信协议。

一、背景与设计动因

IEC 61306 的制定是为了标准化核仪器系统中基于微处理器的模块互连方式。虽然早期的标准如 CAMAC（IEC 60516）和 NIM（IEC 61301）已经涉及核应用的模块化仪器，但它们是在微处理器广泛采用之前设计的，未能充分支持在 20 世纪 80 年代和 90 年代成为主流的分布式智能模型。IEC 61306 通过提供专门为基于微处理器的核仪器优化的总线架构来填补这一空白。

该标准定义了一个并行背板总线系统，支持在单个机箱内配置多个处理器模块、存储器模块和 I/O 模块，并具有跨机箱扩展的能力。总线专为确定性访问时序的实时运行而设计——这是核安全系统和反应堆保护功能的关键要求，其中响应时间必须是有界且可预测的。

重要区分：IEC 61306 不等同于 VMEbus（IEC 60821）或较老的 CAMAC 数据通道，尽管它与 VME 共享一些架构概念。IEC 61306 总线包含了核环境的特定功能，包括增强的错误检测、带看门狗定时器的故障安全总线仲裁（当总线主控器故障时强制进入安全状态），以及在机箱之间提供电流隔离以防止大型核仪器装置中接地回路问题的功能。

IEC 61306 的总线架构支持多处理器配置，最多 21 个总线主控器（加一个系统控制器）共享公共背板。每个主控器可以通过消息传递协议访问共享存储器、I/O 模块或其他主控器的本地资源。标准定义了四个地址空间：存储器空间（32 位寻址）、I/O 空间（16 位寻址）、配置空间（8 位寻址，用于模块识别和初始化）和消息空间（用于处理器间通信）。

二、总线架构与协议细节

IEC 61306 背板总线使用 96 引脚 DIN 41612 连接器（C 型，三排），物理上与 VMEbus 相似，但针对核仪器优化了信号分配。总线信号分为以下功能组：

信号组	线数	功能
地址总线	A0–A31（32）	存储器和 I/O 寻址
数据总线	D0–D31（32）	双向数据（8/16/32 位传输）
总线仲裁	BR0–BR3, BG0–BG3	4 级菊花链总线仲裁
中断	IRQ0–IRQ6（7）	优先级向量中断
控制	AS, DS0, DS1, DTACK, BERR	地址/数据选通，传输应答，总线错误
同步	SYSCLK, SYSRST, SYSPAIL	系统时钟、复位和电源故障检测
核专用	FSAFE, FRESET, NMI, WDTO	故障安全、强制复位、不可屏蔽中断、看门狗超时
隔离控制	ISOREQ, ISOACK	机箱间隔离桥接控制

标准定义了同步和异步两种数据传输模式。在同步模式下，数据传输由系统时钟（SYSCLK）计时，速率最高达 10 MHz，提供最高吞吐量。在异步模式下，使用地址选通（AS）、数据选通（DS0/DS1）和数据传输应答（DTACK）的握手机制确保不同速度的模块之间的可靠通信——这是混用不同技术代际模块时的重要特性。

IEC 61306 异步读周期（32 位）：

1. 主控器在 A0–A31 上置位地址，置位 AS（地址选通）
2. 从设备解码地址，准备数据
3. 主控器置位 DS0 和 DS1（表示 32 位传输）
4. 从设备将数据置于 D0–D31
5. 从设备置位 DTACK（数据传输应答）
6. 主控器锁存数据
7. 主控器取消 DS0、DS1 和 AS 的置位
8. 从设备移除数据并取消 DTACK 置位

看门狗安全功能：如果在可编程超时（16–256 μs）
内未置位 DTACK，总线监视器置位 BERR（总线错误），
主控器必须中止该周期并进入预定义的安全状态。

IEC 61306 的一个鲜明特征是故障安全总线架构。FSAVE（故障安全）线由任何检测到可能危及核安全的故障条件的模块置位。当 FSAFE 置位时，所有总线主控器必须在 100 μs 内停止正常操作并转换到故障安全模式。FRESET（强制复位）线允许任何模块强制系统完全复位——这一功能用于无人值守或远程核仪器站中软件故障的自动恢复。WDTO（看门狗超时）信号由中心看门狗定时器驱动，该定时器监视总线活动；如果在看门狗周期内（通常为 100 ms 到 2 s，在系统初始化时配置）没有总线事务发生，则置位 WDTO 并触发系统级中断进行故障恢复。

三、工程设计考量与应用

IEC 61306 设计用于一系列核仪器应用，包括反应堆堆芯监测系统、辐射监测网络、乏燃料池仪表和环境监测站。该标准对分布式多处理的支持使其特别适用于需要冗余处理通道以不同硬件和软件并行运行的安全关键系统。

应用	典型 IEC 61306 配置	关键要求
反应堆堆芯监测	2–4 个处理器模块，16–32 个模拟 I/O，1 个系统控制器	确定性扫描周期，每通道电流隔离
辐射监测网络	每个监测站 1 个处理器，1 个中央数据集中器，机箱间链路	分布式架构，通信丢失时故障安全
乏燃料池冷却	三重冗余处理器，2 取 3 表决	多样性，避免共因故障
环境监测	远程站，1 个处理器，太阳能/电池供电	低功耗，看门狗恢复，远程复位能力

设计最佳实践：在实现安全关键的 IEC 61306 系统时，在不同的通道上使用不同的处理器架构（例如，一个通道使用 RISC 处理器，另一个通道使用 CISC 处理器），以提供针对共因软件故障的多样性。标准的消息传递协议允许每个处理器通过消息地址空间向所有其他通道广播其跳闸决策，天然地支持通道间的表决。确保表决逻辑本身以硬件（FPGA 或 CPLD）而非软件实现，以避免单一软件缺陷导致所有通道失效。

IEC 61306 系统设计中一个特别具有挑战性的方面是高辐射环境下的总线背板终端匹配。标准有源终端器（用于 VMEbus）使用的稳压器集成电路可能受到总电离剂量（TID）效应的影响。因此，IEC 61306 允许使用被动戴维南终端网络——220 Ω 连接至 +5 V 和 330 Ω 连接至地，提供 132 Ω 的有效阻抗——这些终端具有固有的耐辐射特性。然而，被动终端比有源终端消耗更多直流电流（每条信号线约 15 mA），增加了背板功耗。对于具有 32 位数据总线、32 位地址线和控制信号的系统，总终端电流可能超过 1 A，需要对背板进行热管理。

关键设计提示：高辐射水平下的总线信号完整性是一个主要问题。伽马辐射可通过电离引起的光电流在总线收发器中产生瞬态电压尖峰。IEC 61306 建议采取以下缓解措施：(1) 使用耐辐射总线收发器，对至少 100 krad(Si) TID 具有规定耐受性；(2) 在每个驱动器输出端串联终端电阻（22–33 Ω）以限制光电流效应；(3) 在所有总线接收器上使用施密特触发器输入以提供抗噪声迟滞；以及 (4) 带有表决的冗余总线授权线，以防止单次 SEE 损坏总线仲裁。这些措施对于位于安全壳或其他高辐射区域的仪器至关重要。

标准还通过隔离桥接模块解决了机箱间通信问题。这些模块在机箱之间提供电流隔离（经 2.5 kV 测试），可防止将噪声引入敏感核测量的接地回路，并消除传导干扰路径。隔离桥使用变压器耦合或光耦耦合信号传输将总线周期转换穿过隔离屏障，由于隔离延迟，与机箱内传输相比吞吐量通常降低 30–50%。

常见问题解答

问题1：IEC 61306 对于现代核仪器仍然适用吗？还是已被基于以太网的系统取代？

IEC 61306 在大型核 I&C 架构中的安全关键子系统方面仍然适用，特别是对于需要确定性实时响应、故障安全行为以及在高辐射环境中运行的应用。现代核 I&C 通常采用分层架构，其中 IEC 61306 背板作为冗余保护通道内的”安全总线”，而基于以太网的网络（通常使用 IEC 61850 或 OPC UA）处理非安全级的电厂监测和数据集中。两者是互补而非竞争的技术。

问题2：IEC 61306 支持的最大机箱尺寸是多少？

标准支持每机箱最多 21 个插槽（20 个模块插槽加一个系统控制器插槽）。最大背板长度为 500 mm，最远模块之间的信号传播延迟不超过 5 ns。对于需要超过 21 个模块的系统，可以使用隔离桥接模块互连多个机箱，单个系统最多支持 256 个机箱，总计超过 5,000 个可寻址模块位置。

问题3：IEC 61306 如何处理安全关键应用中的总线错误？

标准定义了三种错误处理机制：(1) 总线错误（BERR）——当传输无法完成时由从设备或总线监视器置位，导致主控器重试或中止；(2) 系统故障（SYSPAIL）——当检测到灾难性故障（如电源故障）时置位，导致所有模块进入预定义的安全状态；以及 (3) 看门狗超时（WDTO）——由总线活动缺失触发，提供针对软件挂起的保护。在安全关键系统中，SYSPAIL 通常在冗余电源之间以 2 取 3 的方式表决，以防止误触发。

问题4：商用现成（COTS）VMEbus 模块能否在 IEC 61306 系统中使用？

不能直接使用，因为引脚分配和信号定义不同。然而，存在适配器模块允许通过桥接模块将 COTS VMEbus 模块连接到 IEC 61306 背板。这种方法有时用于混合系统，其中核专用故障安全总线（IEC 61306）处理安全功能，而 COTS VME 模块提供非安全数据处理。桥接模块在两个总线域之间提供协议转换和电流隔离。