DE102010036208A1

DE102010036208A1 - Switch i.e. power switch, for use in e.g. nuclear power plant, has peripheral units monitored with respect to errors, where message and/or opening of switch take place upon detection of errors of reaction, which is adjusted by operator

Info

Publication number: DE102010036208A1
Application number: DE201010036208
Authority: DE
Inventors: Dipl.-Ing. Kopaczewski Peter; Dil.-Ing. Krauss Andreas
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2010-08-31
Filing date: 2010-08-31
Publication date: 2012-03-01

Abstract

The switch has an electronic trip unit triggering disconnection of contact elements during excess of a given current threshold value, with over and/or short circuit current, where the trip unit comprises a microcontroller. Peripheral units e.g. transducers, are attached to the trip unit and monitored with respect to predetermined errors, where an alarm message and/or an opening of the switch take place upon detection of the errors of a reaction, which is adjusted by an operator. The reaction is set using a link plug, slide switch and/or software communication.

Description

Die Erfindung betrifft einen Schalter, insbesondere einen Leistungsschalter für Niederspannungen, gemäß dem Anspruch 1.The invention relates to a switch, in particular a circuit breaker for low voltages, according to claim 1.

Leistungsschalter für Niederspannungen sind bekannt und schützen beispielsweise Verbraucher einer Stromverteilungsanlage. Durch den Schalter verläuft dabei ein Leiter, der von dem Strom durchflossen ist. Zur Erfassung des Stroms dient ein Stromwandler, der unmittelbar am Leiter angeordnet ist. Bei geschlossenem Schalter liegen dessen Kontaktelemente in Form von Kontaktstücken aneinander an, die zum Öffnen des Schalters voneinander getrennt werden. Eine elektronische Auslöseeinheit überwacht, ob der Strom einen vorgegebenen Stromgrenzwert überschreitet, was jeweils bei einem Über- und/oder Kurzschlussstrom der Fall ist. Die Auslöseeinheit löst dann die Trennung der Kontaktelemente aus.Low-voltage circuit breakers are known and protect, for example, consumers of a power distribution system. Through the switch thereby runs a conductor, which is traversed by the current. For the detection of the current is a current transformer, which is located directly on the head. When the switch is closed its contact elements in the form of contact pieces abut each other, which are separated from each other to open the switch. An electronic trip unit monitors whether the current exceeds a predetermined current limit, which is the case in each case with an over- and / or short-circuit current. The trip unit then triggers the separation of the contact elements.

Die Auslöseeinheit und deren Peripherieeinheiten, zu denen insbesondere der Stromwandler gehört, werden mittels einer Überwachung selbst überwacht. Wird ein Fehler festgestellt, erfolgt eine Reaktion z. B. in Form einer Alarmmeldung oder auch eine Abschaltung durch Öffnen des Schalters.The trip unit and its peripheral units, which include in particular the current transformer, are monitored by means of monitoring itself. If an error is detected, a reaction z. B. in the form of an alarm message or a shutdown by opening the switch.

Leistungsschalter für sicherheitsrelevante Anwendungen insbesondere in der Luftfahrt oder in Kernkraftwerken werden also überwacht, um den besonderen Sicherheitsanforderungen zu genügen. Zu den Schutzfunktionen des Leistungsschalters gehören deshalb nicht nur der Schutz von Verbrauchern vor Überlast oder Kurzschluss, sondern auch eine funktionale Integrität der Überwachung selbst. Diese beinhaltet vorhersehbare Reaktionen als auch entsprechende Fehlermeldungen. Aus diesem Grund werden zusätzlich sowohl die sicherheitsrelevante Software (Firmware) als die sicherheitsrelevante Hardware selbst überwacht. Wird ein Fehler entdeckt, wird dies zunächst durch weitere und/oder wiederholte Maßnahmen überprüft. Wird der Fehler bestätigt, greifen verschiedene Sicherheitsszenarien, beispielsweise wird eine Fehlermeldung abgesetzt und/oder eine optische Fehleranzeige aktiviert. Die Fehleranzeige kann sich direkt am Leistungsschalter oder auch an der Tür des Schaltschranks befinden, in dem der Leistungsschalter angeordnet ist.Circuit-breakers for safety-relevant applications, in particular in aviation or in nuclear power plants, are therefore monitored in order to meet the special safety requirements. The protection features of the circuit breaker include not only the protection of consumers from overload or short circuit, but also a functional integrity of the monitoring itself. This includes foreseeable reactions and corresponding error messages. For this reason, both the security-relevant software (firmware) and the security-relevant hardware itself are monitored. If an error is detected, this is first checked by further and / or repeated measures. If the error is confirmed, use different security scenarios, for example, an error message is issued and / or an optical error display activated. The fault indication can be located directly on the circuit breaker or on the door of the control cabinet in which the circuit breaker is located.

Dabei öffnet der Leistungsschalter nur bei schwerwiegenden internen Fehlern der Überwachung, d. h. er geht nur dann in den sicheren Zustand über. Das Verhalten eines Leistungsschalters nach Feststellung eines schwerwiegenden internen Fehlers der Überwachung ist also eigentlich immer dasselbe. Aber es gibt eine Reihe von Anwendungsfällen, bei denen der sichere Zustand nicht dem geöffneten Schalter entspricht. Dies ist beispielsweise der Fall, wenn eine Kühlkreislauf-Pumpe eines Atomkraftwerks nicht abgeschaltet werden darf, nur weil ein interner Fehler in einem Leistungsschalter aufgetreten ist.In this case, the circuit breaker opens the monitoring only in case of serious internal errors, ie. H. he only then enters the safe state. The behavior of a circuit breaker after detection of a serious internal error of monitoring is therefore always the same. But there are a number of applications where the safe state does not correspond to the open switch. This is the case, for example, when a cooling cycle pump of a nuclear power plant must not be shut down just because an internal fault has occurred in a circuit breaker.

Die Aufgabe der Erfindung ist es, einen für sicherheitsrelevante Anwendungen geeigneten Leistungsschalter vorzuschlagen.The object of the invention is to propose a circuit breaker suitable for safety-relevant applications.

Die Lösung ist durch die Merkmale des Anspruchs 1 gegeben; die Unteransprüche stellen vorteilhafte Ausgestaltungen dar.The solution is given by the features of claim 1; the dependent claims represent advantageous embodiments.

Die Lösung sieht vor, dass die Reaktion – insbesondere bei einem schwerwiegenden internen Fehler – von einer Bedienperson einstellbar ist. Es ist damit bei sicherheitsrelevanten Anwendungen möglich, die Konfiguration des Schalters in Bezug auf sein Verhalten beim Auftreten eines schwerwiegenden internen Fehlers zu ändern. Ein Anwender aerhält damit die Möglichkeit, für mindestens einen Anwendungsfall die Reaktion auf einen oder mehrere interne Fehler zu parametrieren. Diese Parametrierung umfasst dabei mindestens die Möglichkeiten, 1) dass im Fehlerfall alles im aktuellen Zustand verbleibt oder aber alternativ, 2) dass der sichere Zustand ein geöffneter oder aber auch ein geschlossener Schalter ist. Bei 1) wird festgelegt, ob überhaupt in den sicheren Zustand gewechselt oder ob im aktuellen Zustand verblieben wird. Diese Funktionalität kann durch eine parametrierbare Wartezeit ergänzt werden, d. h. der Schalter verharrt im Fehlerfall eine Zeit lang im aktuellen Zustand und geht erst nach Ablauf der Wartezeit in den sicheren Zustand über. Bei 2) wird eine Definition des sicheren Zustands (geöffnet oder geschlossen) vorgenommen. Dieser kann dem Anwendungsfall entsprechend eingestellt werden.The solution provides that the reaction can be set by an operator, in particular in the case of a serious internal fault. It is thus possible for safety-related applications to change the configuration of the switch with respect to its behavior when a serious internal fault occurs. A user thus has the possibility of parameterizing the response to one or more internal faults for at least one application. This parameterization includes at least the options 1) that in case of error everything remains in the current state or alternatively, 2) that the safe state is an open or a closed switch. If 1), it is determined whether to switch to the safe state at all or whether to remain in the current state. This functionality can be supplemented by a configurable waiting time, ie. H. the switch remains in the current state for a while in the event of a fault and only switches to the safe state after the waiting time has elapsed. In 2) a definition of the safe state (open or closed) is made. This can be adjusted according to the application.

Die Funktionalität kann aber auch separat in Bezug auf einzelne unterschiedliche Fehler und Fehlergruppen einstellbar sein. Die Fehler sind dabei jeweils vorher zu definieren.However, the functionality may also be separately adjustable with respect to individual different errors and error groups. The errors must always be defined in advance.

Eine Parametrierung erfolgt aus Sicherheitsgründen jeweils durch speziell gesicherte Abläufe, insbesondere mehrfaches Lesen oder Schreiben, Sichern von Prüfsummen, redundante Speicherung und/oder gesicherte Kommunikationsprotokolle usw.For security reasons, parameterization takes place in each case by means of specially secured processes, in particular multiple read or write, saving of checksums, redundant storage and / or secure communication protocols, etc.

Vorteilhaft ist die Verwendung von Hardwareschaltern für die Einstellung der gewünschten Konfiguration. In diesem Fall ist kein elektronischer Speicher (z. B. EEPROM) erforderlich.Advantageous is the use of hardware switches for setting the desired configuration. In this case, no electronic memory (eg EEPROM) is required.

Eine zusätzliche Absicherung des Parametrierablaufs ist durch eine fest definierte und nicht veränderbare Defaultkonfiguration des sicheren Zustands des Schalters möglich, die bei Problemen beim Lesen einer Kunden-Konfiguration automatisch gewählt wird. Defaultkonfiguration bedeutet, dass konservativ ein Öffnen des Schalters erfolgt, wenn im Fall von einem schwerwiegenden internen Fehler der vom Kunden eingestellte sichere Zustand bzw. die Reaktion nicht gelesen werden können, trotz Sicherungsmaßnahmen wie Mehrfachlesen bzw. Schreiben, Schecksummen sichern, redundantes Sichern, gesicherte Kommunikationsprotokolle usw.An additional safeguarding of the parameterization sequence is possible by a fixed and unchangeable default configuration of the safe state of the switch, which is automatically selected in case of problems when reading a customer configuration. Default configuration means that the switch is opened conservatively if, in the event of a serious internal error, the customer can not read the safe state or the response, despite backup measures such as multiple read / write, secure checksums, redundant backup, secure communication protocols etc.

Die Erfindung wird nachfolgend anhand eines Stromverteilungssystems in einem Kernkraftwerk näher beschrieben, das einen Leistungsschalter für Niederspannungen umfasst. Der Leistungsschalter schützt mehrere Verbraucher vor Überlast und Kurzschluss. Einer der Verbraucher ist eine Kühlkreislauf-Pumpe.The invention will be described in more detail below with reference to a power distribution system in a nuclear power plant comprising a low voltage circuit breaker. The circuit breaker protects several loads from overload and short circuit. One of the consumers is a cooling circuit pump.

Durch den dreipoligen Schalter verlaufen vier Leiter, die jeweils von einem Strom durchflossen werden. Bei geschlossenem Schalter liegen Kontaktelemente jeder Phase in Form von Kontaktstücken aneinander an, die zum Öffnen des Schalters voneinander getrennt werden. Die Trennung der Kontaktelemente wird bei Überschreitung eines vorgegebenen Stromgrenzwerts von einer elektronischen Auslöseeinheit ausgelöst, die dazu einen Mikrocontroller aufweist.Through the three-pole switch run four conductors, each of which is traversed by a current. When the switch is closed contact elements of each phase in the form of contact pieces abut each other, which are separated to open the switch from each other. The separation of the contact elements is triggered when exceeding a predetermined current limit of an electronic trip unit having to a microcontroller.

Der Mikrocontroller realisiert gleichzeitig eine Überwachung, welche die Auslöseeinheit und an diese angeschlossene Peripherieeinheiten auf vorgegebene Fehler überwacht, wobei selbstverständlich auch ein zweiter unabhängiger Mikrocontroller die Überwachung durchführen könnte. Zu den Peripherieeinheiten gehören drei jeweils einer Phase zugeordnete Stromwandler, die unmittelbar an den Leitern angeordnet sind und den durch die Leiter fließenden Wechselstrom in ein proportionales Spannungssignal umwandeln, das nach der Digitalisierung vom Mikrocontroller der Auslöseeinheit ausgewertet wird.At the same time, the microcontroller realizes a monitoring which monitors the tripping unit and peripheral units connected to it for predetermined errors, whereby, of course, a second independent microcontroller could also carry out the monitoring. The peripheral units include three each associated with a phase current transformer, which are arranged directly on the conductors and convert the current flowing through the conductors AC into a proportional voltage signal, which is evaluated by the microcontroller of the trip unit after digitization.

Um eine funktionale Integrität der Überwachung sicherzustellen, ist die Reaktion von einer Bedienperson parametrierbar (einstellbar). Die Parametrierung sieht hier vor, dass mit Hilfe einer Steckbrücke (Jumper) festgelegt wird (werden kann), dass bei Auftreten von vorgegebenen schwerwiegenden internen Fehlern der überwachten sicherheitsrelevanten Software (Firmware) als auch der sicherheitsrelevanten Hardware des Mikrocontrollers einschließlich der Auslöseeinheit und der Peripherieeinheiten keine Abschaltung erfolgt. Beim Auftreten eines solchen Fehlers wird zunächst wiederholt überprüft, ob der Fehler bestätigt werden kann. Wird der Fehler bestätigt, erfolgt keine Abschaltung und die Kühlkreislauf-Pumpe weiter mit Strom versorgt. Es wird lediglich eine Fehlermeldung an die Leitzentrale abgesetzt und es erfolgt eine optische Fehleranzeige direkt am Schaltschrank, in dem sich der Schalter befindet.To ensure functional integrity of the monitoring, the reaction can be parameterized by an operator (adjustable). The parameterization here stipulates that with the aid of a jumper, it can be determined that, given predetermined serious internal errors of the monitored safety-related software (firmware) as well as the safety-relevant hardware of the microcontroller, including the trip unit and the peripheral units, none Shutdown occurs. When such an error occurs, it is first checked repeatedly whether the error can be confirmed. If the fault is confirmed, there is no shutdown and the cooling circuit pump continues to be powered. Only an error message is sent to the control center and there is an optical error display directly on the control cabinet in which the switch is located.

Claims

Switch, in particular circuit breaker for low voltages, comprising a conductor passing through the switch, which is traversed by a current, with closed switch abutting contact elements, which are separated to open the switch, with an electronic trip unit, when exceeding a predetermined current limit , in particular in the case of an overcurrent and / or short-circuit current, triggers the separation of the contact elements and having a microcontroller, with a monitored by the microcontroller monitoring which the trip unit and the trip unit connected units, in particular peripheral units (converter), with respect to predetermined possible Monitored error, wherein upon detection of one of these errors, a reaction, in particular an alarm message and / or opening the switch, takes place, characterized in that the reaction is adjustable by an operator.

Switch according to claim 1, characterized in that the adjustment of the reaction by means of a jumper, a slide switch and / or a software communication takes place.

Switch according to claim 1 or 2, characterized in that the reaction takes place after a waiting time.