DE102008010747B4 - Reaktor-Störfall-Steuerungs- und Regelungs-System - Google Patents

Abstract

Reaktor-Steuerungs- und Regelungs-System für einen Reaktor-Störfall, das neben einem digitalen Reaktorhauptleitsystem, das auch Störfälle handhabt, ein nebengeordnetes digitales Notfall-Ersatz-Steuerungs-System (NERS) mit eigenem Betriebsprogramm zur Ankopplung an Datenflussnetzwerke und Hauptkomponenten eines Kernkraftwerkes aufweist, wobei das NERS fokussiert auf störfallträchtige Reaktorkomponenten und/oder sicherheitskritisch geltende Reaktorbereiche angekoppelt ist, wobei das NERS im Normalfall in einem permanenten Standby-Mode-Lauf parallel zum Reaktorhauptleitsystem geschaltet ist und dabei an eine vom Reaktorhauptleitsystem unabhängige Daten- und Stromversorgung angeschlossen ist und auch bei partiellem und/oder totalem Ausfall des Reaktorhauptleitsystems oder gewollter partieller oder totaler Abschaltung unabhängig versorgt wird, wobei das NERS im permanenten Standby-Mode-Lauf konfiguriert ist, Reaktorkomponenten zu überwachen, Betriebsdaten zu speichern, zu analysieren und über spezielle NERS-Peripheriegeräte Status-Informationen mit Vorgaben und Maßnahmemöglichkeiten zur Behebung von Unregelmäßigkeiten an einen Reaktor-Operateur auszugeben, und wobei das NERS dazu konfiguriert ist, bei Auftreten von Lösungsproblemen bei der Handhabung des Störfalls durch das Reaktorhauptleitsystem bis hin zu einem partiellen oder totalen Ausfall des Reaktorhauptleitsystems zur partiellen oder kompletten Steuerung und Regelung die Durchführung oder Weiterführung eines Notabschaltungsvorgangs anstelle des Reaktorhauptleitsystems zu übernehmen.

Description

• Die Erfindung betrifft ein Reaktor-Störfall-Steuerungs- und Regelungs-System. Bekannt sind neue, digitale Sicherheitsleittechik-Systeme für Kernkraftwerke (KKW).
• Die neuen digitalen Leittechniksysteme, z. B. Teleperm XS für Reaktorbetriebsleittechnik/Steuerung und Regelung und XP für den Turboeinsatzbereich von KKWs von Siemens sind auch für die totale Umrüstung alter Systeme vorgesehen. Dieses neue übergreifende digitale Sicherheitssystem bewältigt enorme komplexe Aufgaben. Das neue Computersystem muss beispielsweise im europäischen Druckwasserreaktor rund 85.000 Kubikmeter umbauten Raum mit 17.000 Rohrsträngen mit einer Länge von 15.000 Meter, 3.000 Halterungen und insgesamt 2.000 Armaturen, 1.000 verfahrenstechnische Apparate bzw. Aggregate und 5.000 elektrische Verbraucher sinnvoll koordinieren.
• Nach vollzogener totaler Umstellung der alten analogen Technik auf das neue digitale System haben sich jedoch einige Barrieren aufgezeigt, die vom Standpunkt der Sicherheit der KKWs nicht unterschätzt werden sollten.
• Beispielsweise versagte die neue Technik im KKW Neckarwestheim I und das zentrale Sicherheitssystem des Reaktors fiel aus, es kam zu einer Blockade der für eine Reaktorschnellabschaltung erforderlichen Steuerstäbe. Auch waren die automatische Steuerung der betrieblichen Bor- und Deionat-Einspeisung und einer HD-Förderpumpe blockiert. Es kam zu einer ungewollt schnellen Absenkung der Generatorleistung, eine Vielzahl von Fehlsteuerungen also.
• Die Experten der GRS-Gesellschaft für Reaktorsicherheit und der RSK-Reaktorsicherheitskommission führten die Reaktor-Blockaden auf die Fehler bei der neuen digitalen Leittechnik zurück. Da bereits mehrere alte KKW in sicherheitsrelevanten Bereichen nach der Umrüstung total von dem neuen System abhängen, bestehen somit gravierende Sicherheitsrisiken.
• Offenbar sieht der TÜV-Süd nach Auftreten von Störungen in einigen deutschen KKWs das derzeitige zentrale Problem darin, dass sich Fehler in der Software gleichzeitg auf mehrere Teilsysteme (Redundanzen) auswirken können, was zu einem vollständigen Versagen des gesamten digitalen Sicherheitssystems führen könne.
• EP 0 570 887 A1 beschreibt ein Verfahren zum Schutz einer Anlage, insbesondere eines Kernkraftwerkes, in dem mit einem Rechennetzwerk Eingangssignale aus der Anlage redundant erfasst, verarbeitet und Ausgangssignale abgegeben werden, wenn vorgegebene Kriterien erfüllt sind.
• EP 0 796 495 B1 beschreibt ein System zur Steuerung von Steuerstäben.
• Der Erfindung liegt die Aufgabe zugrunde, die Nachteile der bekannten digitalen Sicherheitsleitsysteme zu eliminieren und zukünftig eine Blockade des Reaktor-Steuerungs- und Regelungssystems zu verhindern.
• Diese Aufgabe wird mit den Merkmalen von Patentanspruch 1 gelöst. Bevorzugte Weiterbildungen sind in den abhängigenn Patentansprüchen angegeben.
• Die Aufgabe wird erfindungsgemäß dadurch gelöst, dass ein nebengeordnetes spezielles Notfall-Ersatz-Steuerungs- und Regelungs-System für Kernkraftreaktoren (NERS) für die Ankopplung an Datenflussnetzwerke und Hauptkomponenten eines KKWs vorgesehen ist. Am NERS und am originären digitalen Reaktorhauptleitsystem sind Adapterelemente und Schnittstellen für die elektronische Datenankopplung und Übertragung ausgebildet. Die beiden Systeme sind grundsätzlich parallel zueinander geschaltet. Das NERS ist im Normalfall parallel in einen Stand-By-Mode geschaltet und dabei an eine vom Reaktorhauptleitsystem unabhängige Daten- und Stromversorgung angeschlossen und hat eine gleichfalls unabhängige Versorgung bei partiellem und/oder Totalausfall des originären digitalen Reaktorhauptleitsystems bzw. bei gewollter, partieller oder Totalabschaltung, beispielsweise wegen Wartungsarbeiten am Reaktorhauptleitsystem.
• Auf Basis des NERS und einer speziellen Hard- und Software des NERS für Monitor-, Überwachungs-, Schaltstände und Überwachungs- und Alarmarmaturen für zusätzliche Beobachtungs-, Funktions-, Bedienungs- und Teststationen sind mit einem schnellen Kommunikationsmodus für eine spezielle Datenanalyse und Datenanreicherung für Reaktorbetriebsstörfallsituationen in Form von systematischen, übersichtlichen Netzwerktechnik-Statusmeldungen und Entscheidungshilfe-Schnelleinblendungen aus allen sicherheitskritisch bekannten Reaktorfunktionsbereichen für alle Krisenfall-Entscheidungsträger der Kernreaktorstation programmiert.
• Das nebengeordnete NERS ist gegenüber dem originären digitalen Reaktorhauptleitsystem mit einem geringeren Hardware-Gesamtumfang aufgebaut. Das NERS ist seinerseits vorzugsweise auch auf einem digitalen Leittechnikeinsatz aufgebaut und weist eine spezifische Fokussierung auf alle als sicherheitskritisch geltenden Reaktorbereiche auf. NERS-Betriebsprogramme und Hardwarekomponenten sind grundsätzlich unabhängig vom originären digitalen Reaktorleitsystem ausgebildet und die Betriebsstrom- und Datenflussversorgung des NERS-Betriebsprogramms ist unabhängig von dem im Normalfall den Reaktorbetrieb steuerenden und regelnden digitalen Reaktorhauptleitsystem ausgebildet.
• Das nebengeordnete NERS ist mit Hard- und Software-Komponenten für die Erfassung, Überwachung, Steuerung und Regelung von Betriebsvorgängen und insbesondere für Eingriffe bei Störungen ausgebildet und weist separate Beobachtungs- und Bedienungsstationen für Funktionsabläufe auf, weiter sind externe Messstationen vorgesehen. Das nebengeordnete NERS hat ein eigenes Betriebsprogramm mit Übernahmeschaltung mit assoziierter spezieller Software für die Übernahme der originären Steuerungs- und Regelungsfunktionen zur Reaktorschnellstoppabschaltung, Steuerungen von Notkühlungssystemen und/oder Verdampfungskühlungen von Kernschmelzen und/oder Steuerstabbetätigungen und/oder assoziierten Reaktorhaupt- und/oder Reaktorsystemkomponenten sowie für Störungen des Ventilsystems.
• Am nebengeordneten NERS sind spezifische Hard- und Software und Programmabläufe für seine Stand-By-Mode Programmabläufe und für das Aufzeichnen und Analysieren von Betriebsabläufen des originären digitalen Reaktorhauptleitsystems ausgebildet. Insbesondere ist Programmsoftware vorgesehen für die Erfassung von Störfallerkennungs- und kontraktionsmäßig inhärent relevanter Vorgänge bei gestörtem Reaktorbetrieb aber auch für die vor menschlichen Fehlern von Operateuren während der Anfahr- und Lastwechselvorgänge, dem Refueling, ferner während der Wartung und im Normalbetrieb und außerdem bei besonderen Störungen wie Feuer, Explosion oder Rohrleitungsbrüchen. Insbesondere in dem Programmablaufverfahren und der Programmsoftware sind Funktionsanweisungen für die Steuerung und Regelung der Reaktorhauptkomponenten zwecks inhärent sicherer Reaktorabschaltprozesse vorgesehen.
• Das NERS bringt seine speziellen Modi und die Softwareprogrammierung, insbesondere für den Schutz des Reaktors bei definierten Kühlungsstörfällen und/oder Transient-Overpower-Störfällen (Kurzzeit), automatisch in Eingriff, bevor Beschädigungen des Kernbereiches durch Brennstoffschmelzen oder Hüllschäden entstehen. Bei partiellem oder totalem Ausfall des originären digitalen Reaktorhauptleitsystems greift das NERS zum Steuern und Regeln insbesondere auf Notabschaltungsvorgänge zu, um diese anstelle des originären digitalen Reaktorhauptleitsystems durchzuführen bzw. weiterzuführen.
• Es ist eine zeitliche Begrenzung der Übernahme der betrieblichen Steuerung und Regelung durch die Funktionssteuerungen des NERS vorgesehen, insbesondere auf die Dauer von kritischen Störfällen. Während der Betriebsübernahme durch das NERS ist ein elektronisches Fehlertransfersperrsystem zwischen das NERS und das Reaktorhauptleitsystem geschaltet.
• Vorteilhaft ist insbesondere, dass das NERS als unabhängiges System zur Verfügung steht, was mit seiner Soft- und Hardware speziell auf die Behebung von gefährlichen Reaktorstörfällen ausgerichtet ist. Zu diesem besonderen Zweck wird das NERS in den Reaktorbetriebsablauf als nebengeordnete parallelgeschaltete Einrichtung eingegliedert. Es wird im Normalfall im Stand-By-Modus neben dem aktuellen Steuer- und Regelungsbetrieb des originären digitalen Reaktorhauptleitsystems laufen. Nach dem bisherigen Stand der Technik muss davon ausgegangen werden, dass bei einem mit enormen komplexen Aufgaben überladenen neuen digitalen Reaktorhauptleitsystem mit einer bestimmten Wahrscheinlichkeit Fehler dieses Sicherheitssystems selbst auftreten werden. Eine damit verbundene Gefahr, dass auch während einer kritischen Abregelung von Reaktorstörfällen das Sicherheitssystem zusammenbricht und die Gefahr somit eskaliert, ohne dass der Reaktor-Operateur einschreiten kann, ist nicht von der Hand zu weisen.
• Im Gegensatz dazu ist das zusätzliche NERS speziell für die Regelung von reaktortypischen Störfällen entworfen. Dabei ist mehr Sicherheit für die Lösung dieser speziellen Aufgabe in dieses System eingearbeitet, insbesondere weil seine Aufgabe eingeschränkt ist auf die Beseitigung der wirklich gefährlichen Reaktorstörfälle. Konzentrierte Information, Vorgaben und Nennung von Maßnahmemöglichkeiten für die Handhabung der wirklich gefährlichen Störfälle werden bereitgestellt, insbesondere auch durch die Konstruktion der NERS-Peripherieeinrichtungen, nämlich separate Alarm-, Monitoring- und Schalteinrichtungen mit zusätzlichen systematischen, übersichtlichen Netzwerktechnik-Statusmeldungen und Entscheidungshilfe-Schnelleinblendungen. Dieses Notfall-System, das normalerweise im Stand-By-Mode aktiv ist für eine sofortige Übernahme der Reaktorregel- und Steuerfunktionen von dem Reaktorhauptleitsystem, kann sofort automatisch oder manuell zur Behebung des Störfalles herangezogen werden. Es speichert und analysiert bereits im Stand-By-Mode alle Abläufe und Zustände von störträchtigen Reaktorkomponenten.
• Funktionsbeschreibung
• Bei einem Ausführungsbeispiel der Erfindung läuft das nebengeordnete, spezielle NERS in einem KKW parallel zu dem originären, in Betrieb befindlichen Reaktorhauptleitsystem im Stand-By-Modus. Das NERS soll im Gegensatz zum Reaktorhauptleitsystem nicht die gesamten komplexen Abläufe im KKW überwachen, sondern es verfügt über spezielle Software und assoziierte Komponenten für die Behebung von Reaktorstörfällen. Es ist jedoch aus dem Stand-By-Mode heraus jederzeit sofort einsatzfähig für die Übernahme der Steuerung und Regelung und der Behebung von Reaktor-Störfällen insbesondere. Aus diesem Grunde überwacht das NERS bereits während des permanenten Stand-By-Mode-Laufs alle störfallträchtigen Reaktorkomponenten, speichert diese Daten, analysiert sie und erstellt für die speziellen NERS-Peripheriegeräte und damit für den Reaktor-Operateur konzentrierte Status-Informationen, einschließlich Veränderungen am Reaktorprozess mit Vorgaben und Nennung von Maßnahmemöglichkeiten zur Behebung von Unregelmäßigkeiten. Diese separaten Informationen von dem separaten NERS sind systematisch und übersichtlich in Netzwerktechnikform mit Entscheidungshilfe-Schnelleinblendungen und Alarmvorrichtungen aufgebaut. Dem Reaktor-Operator steht damit Optionen für die Überwachung des Reaktorbetriebes und die Behebung von eventuellen Störfällen zur Verfügung.
• Da das NERS spezialisiert ist auf Erkennung, Analyse und Behebung von Störfällen, insbesondere der als folgereich bekannten Störfälle, kann der Reaktor-Operator entscheiden, warm er zur Behebung eines schweren Störfalles auf einen Spezialmodus umschaltet. In diesem Sinne kann das NERS etwas partieller Aufgaben übernehmen, wenn beispielsweise bei der Handhabung eines Störfalls durch das Reaktorhauptleitsystem Lösungsprobleme auftreten, bzw. wenn der Störfall eskaliert. Jedenfalls wird der Reaktor-Operator in jedem Fall über die NERS-Peripheriegeräte rechtzeitg vorgewarnt, erhält spezielle Störfallinformationen und ihm werden Lösungen zur Behebung angeboten. Ihm wird dabei auch angeboten, das NERS die Lösung ausführen zu lassen, die es favorisiert und den Vorgang eingehend zu beobachten. Auch könnte das NERS dem Reaktor-Operator empfehlen, Arbeitsabläufe des originären Reaktorhauptleitsystems nicht nur partiell, sondern komplett dem NERS zu übertragen. In diesem Falle kann davon ausgegangen werden, dass das NERS die Notabschaltung des Reaktors als die einzige bzw. beste Lösung des Problems analysiert hat und darauf spezialisiert ist, diesen Vorgang in optimaler Weise für das Gesamtsystem durchzuführen.

Claims (5)

1. Reaktor-Steuerungs- und Regelungs-System für einen Reaktor-Störfall, das neben einem digitalen Reaktorhauptleitsystem, das auch Störfälle handhabt, ein nebengeordnetes digitales Notfall-Ersatz-Steuerungs-System (NERS) mit eigenem Betriebsprogramm zur Ankopplung an Datenflussnetzwerke und Hauptkomponenten eines Kernkraftwerkes aufweist, wobei das NERS fokussiert auf störfallträchtige Reaktorkomponenten und/oder sicherheitskritisch geltende Reaktorbereiche angekoppelt ist, wobei das NERS im Normalfall in einem permanenten Standby-Mode-Lauf parallel zum Reaktorhauptleitsystem geschaltet ist und dabei an eine vom Reaktorhauptleitsystem unabhängige Daten- und Stromversorgung angeschlossen ist und auch bei partiellem und/oder totalem Ausfall des Reaktorhauptleitsystems oder gewollter partieller oder totaler Abschaltung unabhängig versorgt wird, wobei das NERS im permanenten Standby-Mode-Lauf konfiguriert ist, Reaktorkomponenten zu überwachen, Betriebsdaten zu speichern, zu analysieren und über spezielle NERS-Peripheriegeräte Status-Informationen mit Vorgaben und Maßnahmemöglichkeiten zur Behebung von Unregelmäßigkeiten an einen Reaktor-Operateur auszugeben, und wobei das NERS dazu konfiguriert ist, bei Auftreten von Lösungsproblemen bei der Handhabung des Störfalls durch das Reaktorhauptleitsystem bis hin zu einem partiellen oder totalen Ausfall des Reaktorhauptleitsystems zur partiellen oder kompletten Steuerung und Regelung die Durchführung oder Weiterführung eines Notabschaltungsvorgangs anstelle des Reaktorhauptleitsystems zu übernehmen.
2. Reaktor-Steuerungs- und Regelungssystem nach Anspruch 1, wobei das NERS gegenüber dem Reaktorhauptleitsystem einen geringeren Hardware-Gesamtumfang aufweist.
3. Reaktor-Steuerungs- und Regelungssystem nach Anspruch 1 oder 2, wobei eine zeitliche Begrenzung der Übernahme der Steuerung und Regelung durch das NERS vorgesehen ist, insbesondere begrenzt auf die Dauer von kritischen Störfällen.
4. Reaktor Steuerungs- und Regelungssystem nach einem der Ansprüche 1 bis 3, wobei während der Übernahme der Steuerung und Regelung durch das NERS ein elektronisches Fehlertransfersperrsystem zwischen das NERS und das Reaktorhauptleitsystem geschaltet ist, das konfiguriert ist, ein Infizieren mit Fehlern des einen Systems auf das andere zu sperren.
5. Reaktor Steuerungs- und Regelungssystem nach einem der Ansprüche 1 bis 4, wobei das NERS dazu konfiguriert ist, während der Wartungsarbeiten am Reaktorhauptleitsystem Funktionen des Reaktorhauptleitsystems vorzugsweise blockweise und in zeitlich nacheinander folgenden Abschnitten zu übernehmen.