CH644964A5

CH644964A5 - Protective equipment for a nuclear power station

Info

Publication number: CH644964A5
Application number: CH389880A
Authority: CH
Inventors: Karl-Heinz Geyer; Klaus Hellmerichs
Original assignee: Kraftwerk Union Ag
Priority date: 1979-08-09
Filing date: 1980-05-20
Publication date: 1984-08-31
Also published as: DE2932384C2; ES8206080A1; ES494121A0; DE2932384A1

Description

Die Erfindung betrifft eine Schutzeinrichtung*für ein Kernkraftwerk mit einer Warte und mehreren redundanten Logikteilen, die unter anderem Befehlsspeicher umfassen und 35 getrennt von der Warte angeordnet sind. Mit der mehrfach redundanten und üblicherweise auch räumlich getrennten Anordnung der Logikteile ist die Sicherstellung einer ausreichenden Zuverlässigkeit und die Beherrschung des Einfehlerkriteriums beabsichtigt. Zur weiteren Sicherung gegen Stör- 40 fälle, die durch Einwirkungen von aussen zum Beispiel durch Flugzeugabsturz verursacht werden können, erfolgt die räumlich getrennte Unterbringung der Logikteile in gesicherten Bereichen, d.h. in Bauwerken besonderer Festigkeit. The invention relates to a protective device * for a nuclear power plant with a control room and a plurality of redundant logic parts, which include, among other things, command memories and are arranged separately from the control room. The multiple redundant and usually also spatially separated arrangement of the logic parts is intended to ensure sufficient reliability and to master the single error criterion. To further safeguard against malfunctions, which can be caused by external influences, for example, plane crashes, the logic parts are spatially separated in secure areas, i.e. in structures of particular strength.

Die Betriebsführung eines Kernkraftwerkes wird dagegen « von einer zentralen Warte aus gesteuert, die üblicherweise nicht gegen Einwirkungen von aussen gesichert ist. Hier löst die Reaktorschutzeinrichtung bei Störfällen alle notwendigen Massnahmen automatisch aus. Da diese Massnahmen im Interesse der Sicherheit Vorrang vor allen betrieblichen 50 The management of a nuclear power plant, on the other hand, is controlled from a central control room, which is usually not secured against external influences. Here, the reactor protection device automatically triggers all necessary measures in the event of an accident. Since these measures take precedence over all operational 50

Signalen haben, können handbetätigte Steuerungen, die in bestimmten Betriebsfällen ebenfalls erwünscht sein können, Have signals, manually operated controls, which may also be desirable in certain operating cases,

erst ausgeführt werden, wenn keine Reaktorschutzsignale mehr anstehen. Da aber einige Reaktorschutzsignale gespeichert sind, ist es bisher notwendig, die Speicher vor der Aus- 55 führung der von Hand gesteuerten Massnahmen zurückzusetzen. Dies musste bisher in den einzelnen Schränken der Reaktorschutzeinrichtung getrennt für jeden redundanten Logikteil durchgeführt werden. only be carried out when there are no more reactor protection signals. However, since some reactor protection signals are stored, it has hitherto been necessary to reset the memories before the measures controlled by hand are carried out. Previously, this had to be carried out separately in the individual cabinets of the reactor protection device for each redundant logic part.

Die Erfindung sucht demgegenüber nach einer Möglich- 60 keit zur Vereinfachung des Betriebes, ohne dass die Sicherheit verringert wird. Erfindungsgemäss ist vorgesehen, dass eine Steuerleitung von der Warte zu den einzelnen Logikteilen führt, die in der Warte an ein Eingabegerät für binär codierte Signale und an dem Logikteil an einen Decodierbaustein 05 angeschlossen ist, und dass der Decodierbaustein mit einem Und-Giied für einen Zugriff zum Speicher verbunden ist. The invention, on the other hand, is looking for a way to simplify operation without reducing security. According to the invention, it is provided that a control line leads from the control room to the individual logic parts, which is connected in the control room to an input device for binary-coded signals and to the logic part to a decoding module 05, and that the decoding module has an AND gied for access connected to memory.

Mit der Erfindung wird die Betriebsführung der Anlage bei Prüfungen, aber auch bei bestimmten Störfällen, dadurch erleichtert, dass die Speicher im Reaktorschutzsystem von der Warte aus zurückgesetzt werden können, so dass handbetätigte Steuerungen wieder möglich sind. Dabei wird durch die Codierung erreicht, dass eine fehlerhafte Rücksetzung der Speicher, etwa durch eine Störung in der Warte, eine extrem geringe Wahrscheinlichkeit hat. Jedenfalls ist diese Wahrscheinlichkeit hinreichend klein gegenüber der Ausfallwahrscheinlichkeit der Schutz- und Sicherheitseinrichtungen überhaupt. With the invention, the operational management of the plant during tests, but also in the event of certain malfunctions, is facilitated in that the memories in the reactor protection system can be reset from the control room, so that manually operated controls are possible again. The coding ensures that a faulty reset of the memory, for example due to a disturbance in the control room, has an extremely low probability. In any case, this probability is sufficiently small compared to the probability of failure of the protective and safety devices at all.

Die Logikteile können einzeln oder insgesamt durch ein binär codiertes Signal angesprochen werden. Zum Beispiel können die einzelnen Logikteile über einen in die Warte führenden gemeinsamen Datenbus an das Eingabegerät angeschlossen sein. Den einzelnen Decodierbausteinen können unterschiedliche binär codierte Signale zugeordnet sein. The logic parts can be addressed individually or in total by a binary coded signal. For example, the individual logic parts can be connected to the input device via a common data bus leading to the control room. Different binary-coded signals can be assigned to the individual decoding modules.

Zur Eingabe der codierten Signale eignen sich Magnetkarten. Hier ist das Eingabegerät ein Magnetkartenleser, wobei die Codierung durch die Anzahl der Informationen bestimmt ist, die auf eine Magnetkarte gespeichert werden (zum Beispiel 1 K-Byte). Die gleiche Information wird dann in den Decodierbausteinen hinterlegt, die mit dem codierten Signal angesprochen werden sollen. Deshalb kann der Decodierbaustein für den jeweiligen redundanten Bereich ein Freigabesignal für die Zurücksetzung eines Speichers liefern, das einzeln die Betätigung für spezielle Speicher ermöglicht. Magnetic cards are suitable for entering the coded signals. Here the input device is a magnetic card reader, the coding being determined by the amount of information that is stored on a magnetic card (for example 1 K byte). The same information is then stored in the decoding modules that are to be addressed with the coded signal. For this reason, the decoding module can deliver an enable signal for the resetting of a memory for the respective redundant area, which individually enables actuation for special memories.

Das codierte Freigabesignal kann aber auch mit einer Zahleneingabe gebildet werden, die mit einem Tastenfeld eingegeben wird. Mit den Zahlen 0 bis 9 auf jeweils einer Taste können nacheinander zwei oder mehr 4stellige Zahlen zum Beispiel über BCD-Code (binary coded decimai) verschlüsselt auf die Decodierbausteine gegeben werden und bei richtiger Zahlenfolge eine Freigabe des Speicherzugriffs veranlassen. Dabei kann das Tastenfeld im Bedarfsfall gegen unbeabsichtigte Betätigung noch durch eine Verriegelung gesichert sein. The coded release signal can, however, also be formed with a numerical input that is entered with a keypad. With the numbers 0 to 9 on each key, two or more 4-digit numbers, for example encoded using BCD code (binary coded decimai), can be passed to the decoding modules and, if the sequence of numbers is correct, release memory access. The keypad can be secured against unintentional actuation by a lock if necessary.

Ferner kann ein Zeitglied vorgesehen sein, das für eine Begrenzung der Zugriffszeit sorgt, so dass sichergestellt ist, dass der Zugriff zum Speicher zwangsweise nach einer Zeit von zum Beispiel einigen Minuten oder höchstens einer Stunde wieder gesperrt wird. Die Zeit kann im übrigen auch vorwählbar, d.h. je nach Art des gewünschten Eingriffs veränderbar sein. Furthermore, a timer can be provided which limits the access time, so that it is ensured that access to the memory is forcibly blocked again after a time of, for example, a few minutes or at most one hour. The time can also be preselected, i.e. be changeable depending on the type of intervention desired.

Zur näheren Erläuterung der Erfindung wird anhand der beiliegenden Zeichnung ein Ausführungsbeispiel beschrieben, das in der einzigen Figur schematisch vereinfacht dargestellt ist. For a more detailed explanation of the invention, an exemplary embodiment is described with reference to the accompanying drawing, which is shown schematically simplified in the single figure.

Für die Schutzeinrichtung eines Kernkraftwerkes mit einem Druckwasserreaktor sind in vier getrennten Räumen 1, 2,3 und 4 in einem gesicherten Gebäude vier Logikteile 11, 21,31 und 41 vorgesehen, die von einer Leitung 12, 22,32 und 42 aus angeregt werden, um eine Schutzmassnahme auszulösen. Die Logikteile 11,21,31,41 sind gleichartig aufgebaut und enthalten logische Verknüpfung zur Auslösung von sicherheitstechnisch notwendigen Massnahmen. Sie können zum Beispiel in Relaistechnik, Halbleitertechnik oder dynamischer Magnetkerntechnik ausgeführt sein. For the protective device of a nuclear power plant with a pressurized water reactor, four logic parts 11, 21, 31 and 41 are provided in four separate rooms 1, 2, 3 and 4 in a secured building, which are excited by a line 12, 22, 32 and 42, to trigger a protective measure. The logic parts 11, 21, 31, 41 are constructed in the same way and contain a logic connection for triggering safety-related measures. For example, they can be implemented using relay technology, semiconductor technology or dynamic magnetic core technology.

Das Anregekriterium ist zum Beispiel sinkender Frischdampfdruck und soll als Auslösesignal veranlassen, dass der Sekundärkreis des Druckwasserreaktors abgesperrt wird. Dieses Signal muss gespeichert werden, damit die zum Abschluss des Sekundärkreises notwendigen Massnahmen zum Beispiel bei Einwirkung von aussen über einen längeren Zeitraum von zum Beispiel 10 Stunden aufrecht erhalten bleiben. Für diesen Zeitraum soll ein fehlerhaftes Rücksetzen der Speicher verhindert werden. Andererseits müssen betriebsmässige Eingriffe möglich sein, um die Anlage beispielsweise abfahren zu können. Das Auslösesignal wird über eine Leitung 13, 23,33 The starting criterion is, for example, falling live steam pressure and, as a trigger signal, is intended to cause the secondary circuit of the pressurized water reactor to be shut off. This signal must be saved so that the measures required to complete the secondary circuit are maintained for a longer period of time, for example 10 hours, for example when exposed to external influences. An incorrect reset of the memory should be prevented for this period. On the other hand, operational interventions must be possible in order to be able to shut down the system, for example. The trigger signal is via a line 13, 23, 33

3 3rd

644 964 644 964

und 43 zu dem anzusteuernden Baustein, zum Beispiel dem Antrieb für Armaturen in den Frischdampfleitungen, geleitet. and 43 to the module to be controlled, for example the drive for fittings in the live steam lines.

Die Logikteile 11 bis 41 besitzen zur Speicherung im vorgenannten Sinne Speicher 14, 24, 34 und 44 zum Beispiel in Form von Relais-, Magnetkern- oder Halbleiterspeichern. 5 Diese Speicher werden durch das Anregekriterium der Leitung 12 gesetzt (Teil S). Die Speicher sind, wie die Figur zeigt, mit einem Und-Glied 15,25, 35 und 45 verbunden. Das jeweilige Und-Glied dient zur Freigabe des Zugriffs in den zugehörigen Speicher, damit der Speicher zur Weiterführung des io Betriebes zurückgesetzt werden kann (Teil R der Speicher). The logic parts 11 to 41 have memories 14, 24, 34 and 44 for storage in the aforementioned sense, for example in the form of relay, magnetic core or semiconductor memories. 5 These memories are set by the excitation criterion of line 12 (part S). The memories are, as the figure shows, connected to an AND gate 15, 25, 35 and 45. The respective AND element is used to enable access to the associated memory so that the memory can be reset to continue operation (part R of the memory).

Zu diesem Zweck sind die Und-Glieder 15 bis 45 jeweils an einen Decodierbaustein 16,26,36 und 46 angeschlossen. Dieser wiederum hängt an einem Datenbus 5, der alle Decodierbausteine 16 bis 46 miteinander verbindet und in eine '5 Warte 6 führt, die von den Räumen 1 bis 4 räumlich getrennt ist. For this purpose, the AND elements 15 to 45 are each connected to a decoding module 16, 26, 36 and 46. This in turn depends on a data bus 5, which connects all the decoding modules 16 to 46 to one another and leads to a '5 control room 6, which is spatially separated from rooms 1 to 4.

In der Warte 6 sind an den Datenbus 5 ein Magnetkartenleser 7 und/oder ein Tastenfeld 8 angeschlossen, die zum Beispiel mit Hilfe eines Sicherheitsschlüssels in Betrieb genom- 20 In the control room 6, a magnetic card reader 7 and / or a keypad 8 are connected to the data bus 5, which, for example, are put into operation using a security key

men werden können. Mit den beiden Eingabegeräten 7, 8 können codierte Signale eingegeben werden, die jeweils einen der Decodierbausteine 16 bis 46 aufsteuern. Mit dem Aufsteuern wird für eine kurze Zeit, zum Beispiel für 10 Minuten, die durch ein Zeitglied 17,27, 37 und 47 bestimmt ist, ein Zugriff zum Speicher 14 bis 44 ermöglicht, der dann über eine Rückstelleitung 18, 28, 38 und 48 mit Hilfe einer Rückstelltaste 19, 29, 39 und 49 einzeln zurückgestellt werden kann. men can be. Coded signals can be entered with the two input devices 7, 8, each of which drives one of the decoding modules 16 to 46. With the opening, access to the memory 14 to 44 is made possible for a short time, for example for 10 minutes, which is determined by a timer 17, 17, 37 and 47, which is then via a reset line 18, 28, 38 and 48 can be reset individually using a reset button 19, 29, 39 and 49.

Nach dem Zurückstellen ist die Durchführung von Hand-massnahmen möglich, die sonst durch den Schutzrechner blockiert wäre. Dennoch ist sichergestellt, dass die volle Redundanz erhalten bleibt. Das Zeitglied 17 bis 47 ist beim Ausführungsbeispiel Teil des Decodierbausteins 16 bis 46. After resetting, it is possible to carry out manual measures that would otherwise be blocked by the protective computer. Nevertheless, it is ensured that full redundancy is retained. The timer 17 to 47 is part of the decoding module 16 to 46 in the exemplary embodiment.

Bei der Erfindung sorgt die Verwendung eines hinreichend codierten Signals im Gegensatz zur Verwendung eines einfachen Binär-Signals dafür, dass nicht etwa durch ein gemeinsames Fehlerereignis, zum Beispiel eine Zerstörung der Warte, die Speicher in allen Redundanzen fehlerhaft zurückgesetzt werden. In the invention, the use of a sufficiently coded signal, in contrast to the use of a simple binary signal, ensures that the memories are not reset incorrectly in all redundancies, for example by a common error event, for example destruction of the control room.

G G

I Blatt Zeichnungen I sheet drawings

Claims

644 964

2nd

PATENT CLAIMS

1. Protective device for a nuclear power plant with a control room and a plurality of redundant logic parts, which include command memories and are arranged separately from the control room, characterized in that a control line (5) from 5 of the control room (6) to the individual logic parts (11, 21, 31.41)

leads, which is connected in the control room (6) to an input device (7, 8) for binary coded signals and to the logic part (11, 21, 31, 41) to a decoding module (16, 26, 36, 46), and that the decoding module (16, 26, 36, 46) is connected to an AND element (15, 25, 35, 45) for access to the memory (14, 24, 34, 44).

2. Protection device according to claim 1 with a 4-fold redundant arrangement, characterized in that the individual logic parts (11, 21, 31, 41) via a into the control room 15

(6) leading common data bus (5) are connected to the input device (7, 8) and have decoding modules (16, 26, 36, 46) with different binary coded signals.

3. Protection device according to claim 1 or 2, characterized in that the input device is a magnetic card reader

(7) is.

4. Protection device according to one of claims 1 to 3, characterized in that the input device is a preferably lockable keypad (8). 25th

5. Protection device according to one of claims 1 to 4, characterized in that a timer (17, 27, 37, 47) is provided for limiting the access time.

30th