DE1265310B - Verfahren und Vorrichtung zur Selbstueberwachung von Sicherheitsschaltungen, insbesondere fuer Kernreaktoren - Google Patents

Description

BUNDESREPUBLIK DEUTSCHLAND

DEUTSCHES

PATENTAMT

AUSLEGESCHRIFT

Int. Cl.:

G21d

Deutsche Kl.: 21g-21/31

Nummer: 1265 310

Aktenzeichen: G 42473 VIII c/21 g

Anmeldetag: 31. Dezember 1964

Auslegetag: 4. April 1968

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Selbstüberwachung von Sicherheitsschaltungen, insbesondere für Kernreaktoren mit mehrfach ausgeführten Ubertragungskanälen für eine Meßgröße und einer Auswahlschaltung, bei dem Prüfsignale zeitlich hintereinander und wiederholt jeden Übertragungskanal einzeln durchsetzen und danach mit den Prüfsignalen vor dem Durchsetzen der Übertragungskanäle verglichen werden und bei fehlerhaftem Übertragungskanal durch den Vergleich ein Störsignal erzeugt wird. Anlagen, deren Betriebsgrößen in vorbestimmter Weise beeinflußt werden sollen, sind zu diesem Zweck meist mit einer Meß- und Stelleinrichtung versehen. Hierbei besteht die Meßeinrichtung im wesentlichen aus Meßgrößenaufnehmern, gegebenenfalls mit Meßeffektwandlern, und die Stelleinrichtung aus Stellgliedern. Zwischen Meßgrößenaufnehmern und Stellgliedern befindet sich eine Vergleichseinrichtung, mit welcher die von den Meßgrößenaufnehmern erzeugten Meßgrößen miteinander und/oder mit vorgegebenen Größen verglichen und entsprechende Stellgrößen erzeugt werden. Die Stellgrößen werden den Stellgliedern aufgegeben und dadurch mittels Stellgliedern die vorgegebenen Betriebsgrößen in vorbestimmter Weise beeinflußt.

Hierbei kann es sich darum handeln, bestimmte Betriebswerte einzustellen und konstant zu halten, eine Aufgabe, die aus der Regelungstechnik hinreichend bekannt ist. Es kann aber auch darum gehen, durch vorbestimmte Stellglieder erst dann eine Änderung der Betriebsgröße zu bewirken, wenn vorgegebene Höchst- oder Tiefwerte (Grenzwerte) von Betriebsgrößen über- bzw. unterschritten werden und/ oder wenn vorbestimmte Betriebsgrößen voneinander in unzulässiger Weise abweichen (Vergleichswerte). Die letztgenannte Aufgabe liegt beispielsweise bei der Sicherheitseinrichtung für die Schnellabschaltung eines Kernreaktors vor. Wenn nämlich z. B. der Neutronenfluß im Kernreaktor unzulässig ansteigt, dann werden Abschaltstäbe in dessen Spaltzone eingeführt, wodurch der Neutronenfluß zum Erliegen kommt und damit der Reaktor abgeschaltet wird.

Nun ist es bei Kernreaktoren und einer Reihe anderer Anlagen aus Gründen der Sicherheit notwendig, daß unter allen Umständen ein unzulässiges Abweichen von vorgesehenen Grenz-oder Vergleichswerten verhindert wird, weil sonst größere Schäden entstehen würden. Da aber die Sicherheitseinrichtungen den Verschleiß- und Umgebungseinflüssen (z. B. Korrosion) unterworfen sind, ist es notwendig, diese Einrichtungen selbst laufend auf ihre Funktionsfähigkeit Verfahren und Vorrichtung
zur Selbstüberwachung
von Sicherheitsschaltungen,
insbesondere für Kernreaktoren

Anmelder:

Gesellschaft für Kernforschung m. b. H.,

7500 Karlsruhe, Weberstr. 5

Als Erfinder benannt:

Manfred Oehmann, Wattwil (Schweiz)

zu überprüfen und die schadhaften Teile auszuwechseln.

Es sind verschiedene Ausführungen ungeprüfter oder nicht automatisch geprüfter Sicherheitsschaltungen bekannt (deutsche Auslegeschrift 1176 288; IRE Transactions on Nuclear Science, Vol. NS 7, Dezember 1960, S. 14 bis 19; Vol. NS 6, 1959, Nr. 2, S. 42 bis 48). Diese können insbesondere bei Reaktorsicherheitssystemen zur Überwachung schnellablaufender kernphysikalischer Vorgänge bei weitem keine ausreichende Sicherheit gewähren.

Es ist deshalb ein Sicherheitssystem entwickelt worden (Regeltechnik, 9. Jahrgang 1961, Heft Nr. 5, S. 203 bis 208), das neben der üblichen Signalverarbeitung eine ständig arbeitende Selbstüberwachungsemrichtung besitzt und jedes fehlerhafte Gerät innerhalb eines Meßstranges vom Meßfühler bis zur Abschalteinrichtung signalisiert. Durch die Selbstüberwachung ermittelte fehlerhafte Teile müssen also von Hand ausgewechselt werden. Zumindest in der Zeit zwischen dem Feststellen der schadhaften Teile und deren Auswechseln ist aber die Anlage in ihrer Wirksamkeit hinsichtlich einer selektiven Fehlererfassung und zu bildender Abschaltsignale wesentlich eingeschränkt, so daß die mit großem Aufwand angestrebte Sicherheit während dieser Zeit nicht gewährleistet ist. Selbst wenn man in sehr kurzen Zeitabständen das Sicherheitssystem überwachen würde, so daß ein Fehler praktisch sofort nach seinem Entstehen entdeckt würde, bestünde doch während der Auswechselzeit wegen der eingeschränkten Betriebsfunktion der Sicherheitsvorrichtung eine erhebliche Unsicherheit.

809 537/452

3 4

Es ist ferner ein Verfahren zur Selbstüberwachung schaltung bewirken soll, und der Auslösung der von Reaktorsicherheitssystemen bekannt (Nuclear Schnellabschaltung.

Engineering a. Science Conference, Cleveland, Ohio, Insbesondere ist es darüber hinaus vorteilhaft, daß 6. bis 9. April 1959, Preprint V-44, S. 1 bis 13), nicht nur mittels Vergleich von durch Eingangsprüfnach dem bei einer Sicherheitsschaltung mit mehrfach 5 signale hervorgerufenen Ausgangsprüfsignalen mit ausgeführten Übertragungskanälen allein durch das den Eingangsprüfsignalen Störsignale hervorgerufen Prüfsignal bei fehlerhaftem Übertragungskanal die werden, die in eine Korrekturoperation bewirkende Korrekturoperation an einem begrenzten Teil der Signale umgeformt werden, sondern daß auch andere Sicherheitsschaltung, nämlich dem Meßverstärker der vorbestimmte, durch einen Fehler in der zu überIonisationskammer, ausgelöst werden kann, durch die io wachenden Anordnung ohne Prüfsignaleinwirkung dessen fehlerhafte Betriebsfunktion ausgeschaltet hervorgerufene Signale in eine Korrekturoperation wird. bewirkende Signale umgeformt werden.

Dieses Verfahren schließt aber nicht nur weite Be- Bei Anwendung des Verfahrens zur Überwachung reiche der Sicherheitsschaltung aus, die für deren Ge- von Sicherheitsschalteinrichtungen für Kernreaktoren samtfunktion von erheblicher Bedeutung sind, son- 15 mit »m-von-n« Auswahlschalteinrichtung wird in dem vermag nicht einmal bei diesen Meßverstärkern einer besonders vorteilhaften Ausbildung des Vereine sichere Überwachung zu garantieren, da Störun- fahrens mittels der Korrekturoperation die gestörte gen in den Verstärkern, die zu unterschiedlichen »m-von-m<-Schaltemrichtung in eine ungestörte Analogsignalen innerhalb der mehrfachen Übertra- »p-von-^-Schalteinrichtung umgeschaltet. Hierbei gungskanäle eines Sicherheitskanals führen (Strang- 20 bedeuten τη, η, ρ und q ganze Zahlen, die den Beabweichungen), bei der getrennten Überwachung dingungen m<.n, p<q und q<Ln genügen. Diese jedes einzelnen Übertragungskanals nicht erkannt Umschaltung kann beispielsweise durch Aufgabe werden. einer elektrischen Dauergröße auf logische Schalt-

Es ist auch eine Sicherheitsschaltung für Kemreak- elemente der Sicherheitsschaltung erreicht werden, toren bekannt (deutsche Auslegeschrift 1177 262), in 25 Eine Vorrichtung zur Durchführung des Verfahder durch Eingabe von Prüfsignalen in die Meßkanal- rens besteht aus einem an die zu überwachende eingänge und Vergleich der am Kanalausgang an- Sicherheitsschaltung angekoppelten Prüfsignalgeber kommenden Impulse mit den Prüfimpulsen des Im- zum Erzeugen der Eingangsprüfsignale und einem an pulsgenerators bei fehlerhaftem Übertragungskanal die zu überwachende Sicherheitsschaltung und an den ein Störsignal erzeugt wird, welches eine Signal- 30 Prüfsignalgeber angekoppelten Prüfsignalempfänger einheit betätigt, die anzeigt, in welchem der drei zum Erzeugen der Störsignale sowie einer an die zu Stränge eines Meßkanals sich ein defektes Bau- überwachende Sicherheitsschaltung und den Prüfelement befindet. Auch bei diesem Verfahren ist also Signalempfänger angekoppelte Korrektureinheit zum in der Zeit vom Erkennen des Fehlers bis zum Aus- Erzeugen der die Korrekturoperation bewirkenden wechseln des betroffenen Bauelementes eine selektive 35 Signale (Korrektursignale).

Fehlererfassung nur in sehr begrenztem Umfang Diese Vorrichtung ist bei einem Kernreaktor, möglich, weshalb der Betrieb der zu überwachenden dessen Sicherheitsschaltung zum Erzeugen eines die Anlage mit erheblichen Unsicherheiten behaftet ist. Abschaltung des Kernreaktors bewirkenden Signals Aufgabe der Erfindung ist es, ein Verfahren und mehrere unterschiedliche Reaktorkenngrößen übereine Vorrichtung zur Selbstüberwachung von Sicher- 40 wachende Sicherheitskanäle umfaßt, von denen jeheitsschaltungen, insbesondere für Kernreaktoren zu weils ein Sicherheitskanal eine Reäktorkenngröße mit schaffen, wobei die vorgenannten Nachteile vermie- einer Gruppe gleichartiger Meßsonden und diesen den werden. nachgeschalteter Übertragungskanäle überwacht, vor-Diese Aufgabe wird erfindungsgemäß dadurch ge- teilhaft so aufgebaut, daß das in der Korrektureinheit löst, daß durch das Störsignal eine Korrekturopera- 45 18 erzeugte Korrektursignal der am Ausgang jedes tion an der Schaltung ausgelöst wird, durch die ihre Übertragungskanals angeordneten, die Abschaltung fehlerhafte Betriebsfunktion eingeschränkt wird. des Reaktors bewirkenden Logikschalteinrichtung 7 Zweckmäßig werden hierbei die Störsignale in die zugeführt wird, die eine die Ausgangssignäle einer Korrekturoperation bewirkende Signale (Korrektur- zu einem der Übertragungskanäle gehörenden Grenzsignale) umgeformt. 5° wert- und Vergleichseinheit — zum Vergleich der Besonders vorteilhaft ist es, die zu überwachende Meßgrößen der einzelnen Sonden einer Gruppe mit Sicherheitsschaltung in vorbestimmten Zeitabständen vorgegebenen Grenzwerten und zum Vergleich der mittels kurzzeitig einwirkender (impulsartiger) Prüf- Abweichungen der Meßgrößen der einzelnen Sonden signale in vorgegebenem Umfang wiederholt zu über- einer Gruppe untereinander mit vorgegebenen Abprüfen. Eine größere Sicherheit für die durch die 55 weichungswerten — und das dem Übertragungskanal Sicherheitsschaltung kontrollierte Anordnung wird zugeordnete Korrektursignal disjunktiv verknüpfende hierbei dann erreicht, wenn die Zeit zwischen zwei Schalteinrichtung 19, die weitere, die Ausgangssignale identischen Prüfvorgängen (Prüfzyklus) einschließ- der zu den übrigen Ubertragungskanälen des gleichen lieh der Zeit, die bis zum Auslösen der Korrektur- Sicherheitskanals gehörenden Grenzwert- und VerOperationen vergeht, gleich groß oder kleiner ist als 60 gleichswerteinheiten und die diesen Übertragungsdie Zeit, die zwischen dem Beginn einer vorbestimm- kanälen zugeordneten Korrektursignale disjunktiv ten Beanspruchung der zu überwachenden Sicher- verknüpfende Schalteinrichtung 2Ö sowie die die Ausheitsschaltung und dem Einsatz der sich daraus er- gangssignale dieser beiden disjunktiven Schalteinrichgebenden Rückwirkung derselben (Reaktionszeit der tungen 19,20 konjunktiv verknüpfende Schalteinrich-Sicherheitsschaltung) vergeht. Bei einer Reaktor- 65 tung 21 umfaßt.

Sicherheitsschaltung ist diese Reaktionszeit gegeben Durch diesen Aufbau der Logikschalteinrichtung

durch die Zeit zwischen der Eingabe von Meßgrößen wird eine eindeutige Fehlerlokalisierung auf den je-

in die Sicherheitsschaltung, weiche die Schneilab- weils betroffenen Strang des Sicherheitskanals ermög-

5 6

licht, und dadurch kann mittels des Korrektursignals je drei Eingängen (analog zu den Eingängen 1 bis 3) der gestörte Übertragungskanal eliminiert und eine vorgesehen. Die Gesamtheit der Sicherheitskanäle »automatische Selbstreparatur« des Sicherheitskanals bildet die Sicherheitsschaltung. Jeder Sicherheitskanal durchUmschaltungdesÄm-von-m'C-ineineÄp-von-i?«- besteht aus drei gleichartigen Schalteinheiten, den System mittels des zweckmäßig als elektrische Dauer- 5 Übertragungskanälen. Die Übertragungskanäle umgröße ausgebildeten Korrektursignals bewirkt werden. fassen je eine Grenzwerteinheit 5, eine Vergleichs-Das bedeutet, daß mit kleinstmöglicher Anzahl von einheit 6 und eine Logikschalteinrichtung 7 sowie eine Prüfsignalen pro Prüfperiode jede Störung in jedem Prüfgrößeneingangs-Logikschalteinrichtung 8.
Strang eines Sicherheitskanals aufgedeckt und das Die Ausgänge der Übertragungskanäle führen auf dem gestörten Strang zugeordnete Korrektursignal io je eine Abschaltlinie 9 bis 11. Von diesen Abschaltzum Zweck der Systemumschaltung ausgelöst werden linien aus wird über die Abschalteinheit 12 im Gekann, fährenfall die Abschaltung des Kernreaktors bewirkt.

Bei der Vorrichtung ist es ferner vorteilhaft, daß An diese Sicherheitsschalteinrichtung ist ein aus zwei zwei Prüfsignalgeber, bestehend aus je einem Prüf- gleichartigen Prüfsignalgeneratoren 13 und 14 und signalgenerator 13, 14 und je einem Adressengeber 15 zwei gleichartigen Adressengebern 15 und 16 be-15, 16, vorhanden sind, die gleichzeitig die Sicher- stehender Prüfsignalgeber über die Prüfsignaleinheitsschaltung überwachen und durch koppelnde, gangs-Logikschalteinrichtungen 8, 81 und 82 angestets, d. h. auch beim Auswechseln gleichen Takt ge- koppelt. Weiterhin ist ein Prüfsignalempfänger 17 an währleistende Schaltmittel miteinander verbunden den Prüfsignalgeber 13 bis 16 sowie über die Absind, so daß mit beiden der zweifach ausgeführten 20 schaltlinien 9 bis 11 an die Ausgänge der Übertra-Einrichtungen parallel oder wenigstens mit einer gungskanäle angekoppelt. Darüber hinaus ist die aus allein die Selbstüberwachungsvorrichtung funktions- drei gleichartigen Logikschalteinrichtungen befähig ist, und die gekoppelten Einrichtungen sich stehende Korrektureinheit 18 an den Prüfsignalempselbständig immer auf den gleichen Takt bringen. fänger 17 einerseits und an die Ubertragungskanale

Der Prüfsignalgenerator ist besonders zweckmäßig 45 des Sicherheitskanals 4 andererseits angekoppelt,
der Prüfeinrichtung angepaßt, wenn er mehrere Bi- Hierbei sind die Logikschalteinrichtungen 7, 71 närstufen umfaßt und aus den binärcodierten Aus- bzw. 72 so aufgebaut, daß mittels der Prüfsignale gangssignalen die Prüfsignale erzeugende Konjunk- automatisch der defekte Strang des Sicherheitskanals tionsglieder vorgesehen sind in dem Sinn, daß bei festgestellt und mittels der Korrektursignale funktiojedem Prüfzyklus die jeweils zur Prüfung erforder- 30 nell abgetrennt werden kann, und zwar unter gleichliche Anzahl von zyklisch kombinierten Prüfsignalen zeitiger, ebenfalls mittels der Korrektursignale beerzeugt und jeweils gleiche Prüfsignale immer durch wirkbarer Umschaltung des »Zwei-von-drei«-Systems dasselbe Konjunktionsglied gebildet werden. in ein »Bins-von-zwei«-System.

Auf Grund einer besonderen Ausbildung der Vor- Im Prüfsignalgenerator 13 bzw. 14 werden die richtung ist die die Abschaltung des Kernreaktors 35 Prüfimpulse erzeugt, welche über die Prüfsignaleinbewirkende Abschalteinheit 12 nach dem Ruhestrom- gangs-Logikschalteinrichtungen 8, 81 und 82 den prinzip aufgebaut, so daß bei vollständigem oder dem Übertragungskanälen aufgegeben werden. Da die einGrad nach vorbestimmtem teiweisem Ausfall der zelnen Sicherheitskanäle nacheinander geprüft wer-Prüfsignale, die die Übertragungskanäle durchsetzt den, wird in dem Adressengeber 15 bzw. 16 die jehaben, eine Abschaltung des Kernreaktors bewirkt 40 weilige Adresse erzeugt, welche die Prüfsignaleinwird. gangs-Logikschalteinrichtungen der im Augenblick

Selbstverständlich sind entsprechende Signalgeber jeweils gerade nicht zu prüfenden Sicherheitskanäle — etwa als Leuchtzeichen — vorgesehen, die zusatz- für den Durchgang von Prüfsignalen sperrt. Wenn die lieh sofort anzeigen, welcher Teil der Vorrichtung Sicherheitsschaltung funktionstüchtig ist, durchlaufen defekt ist, insbesondere auch bei der Sicherheits- 45 die Prüfimpulse (Eingangsprüfsignale) die Übertraschaltung. Darüber hinaus können das oben beschrie- gungskanäle und gelangen über den Ausgang der bene Verfahren und die oben beschriebene Vorrich- Übertragungskanäle auf die Abschaltlinien und von tung zur Selbstüberwachung auch für andere Sicher- dort auf die Abschalteinheit 12, in der so lange kein heitseinrichtungen, etwa in chemischen, maschinen- die Reaktorabschaltung bewirkendes Signal (Abtechnischen, verkehrstechnischen erdgebundenen oder 5° schaltsignal) ausgelöst wird, solange pro Zeiteinheit auch beweglichen Anlagen, wie Unterseebooten, eine vorbestimmte Mindestzahl von Impulsen (Aus-Schiffen, Flugzeugen, Weltraumschiffen od. dgl., be- gangsprüfsignale) ankommt. Über- bzw. unterschreinutzt werden. Denn es wird lediglich vorausgesetzt, ten der Meßwerte der Betriebsgröße, die an den Eindaß gewisse Kenngrößen des zu überwachenden gangen 1 bis 3 in den Sicherheitskanal 4 eingegeben Systems gemessen und mit vorgegebenen Größen bzw. 55 werden, vorbestimmte Grenzwerte und/oder überuntereinander verglichen werden. schreiten die Abweichungen zwischen zwei dieser

Verfahren und Vorrichtung werden im folgenden Meßwerte vorgegebene Vergleichswerte, dann wird

am Beispiel einer nach dem »Zwei-von-drei«-System auf zwei von den drei Abschaltlinien 9 bis 11 über

aufgebauten Reaktorsicherheitseinrichtung näher er- die Logikschalteinrichtungen 7, 71 sowie 72 ein

läutert: 60 Dauersignal erzeugt. Dieses ist niederohmig und

Die drei Meßwerte einer dreifach gemessenen Re- macht die Impulse auf den Abschaltlinien unwirksam,

aktorbetriebsgröße, z. B. des Neutronenfiusses, wer- wodurch die Abschalteinheit 12 zuwenig Impulse pro

den auf die Eingänge 1 bis 3 (Trenn- und Anpas- Zeiteinheit enthält und Abschaltsignal erzeugt, mit

sungsverstärker) des Sicherheitskanals 4 gegeben. dem die Abschaltung des Kernreaktors bewirkt wird.

Werden weitere Reaktorbetriebsgrößen, wie Brenn- 65 Durch dieses Ruhestromprinzip werden gleichzeitig

elementtemperaturen od. dgl., gemessen, so ist für Prüfsignalgeber, Sicherheitskanäle und Abschaltein-

jede dieser beim »Zwei-von-drek-System dreifach heit überwacht, da bei Ausfall einer dieser Einheiten

gemessenen Größen jeweils ein Sicherheitskanal mit eine Abschaltung hervorgerufen wird.

Normalerweise wird bei »Zwei-von-drek-Systemen ein Schnellschluß ausgelöst, wenn zwei Grenzwerte oder ein Grenzwert und ein Vergleichswert oder zwei Vergleichswerte von den Meßwerten der Betriebsgröße überschritten werden. Ist nun ein Übertragungskanal gestört und am Ausgang des Übertragungskanals erscheinen daher keine Impulse, obwohl an dessen Eingang Prüfsignale ankommen, dann wird im Prüfsignalempfänger 17, in dem Eingangs- und Ausgangsprüfsignale miteinander verglichen werden, ein Störsignal erzeugt, welches der Korrektureinheit 18 aufgegeben wird. Von hier aus wird dann ein den Prüfsignaleingang für den defekten Übertragungskanal sperrendes Signal erzeugt und außerdem ein Dauersignal auf die Logikschalteinrichtungen 7, 71 und 72 gegeben, welche das »Zwei-von-drei«-System in ein »Eins-von-zwei«-System umschalten, d. h., es wird nach der Umschaltung bereits dann eine Abschaltung des Reaktors bewirkt, wenn ein Grenzoder Vergleichswert von den Meßwerten der Betriebsgröße überschritten wird. Diese Systemumschaltung erfolgt sowohl bei Störungen, die ein Prüf- oder Abschaltsignal unterdrücken, als auch bei Störungen, die selbst ein dem Prüf- und Abschaltsignal ähnliches Störsignal erzeugen. Prüfsignalgeneratoren 13 bzw. 14 sowie Adressengeber 15 bzw. 16 sind jeweils zweifach ausgeführt und kapazitiv so gekoppelt, daß sie im Gleichlauf arbeiten. Dadurch wird bei Defekt und während des Auswechselns eines Prüfsignalgenerators bzw. eines Adressengebers die Prüfung ohne Unterbrechung im gleichen Takt fortgesetzt, und es wird beim Austausch auch keine Fehlabschaltung bewirkt. Nach vollzogenem Austausch schalten sich diese Einheiten ebenfalls auf den bisherigen Prüfungstakt (Synchronisation). Die Prüfsignalgeneratoren 13 bzw. 14 sind mit Binärstufen 22 ausgerüstet, im Gegensatz zu den bisher üblichen Schieberegistern, die einen wesentlich erhöhten Aufwand zur Folge hatten. Diese Prüfsignalgeneratoren 13 bzw. 14 mit Binärstufen erzeugen bei jedem Taktschritt direkt aus den binärcodierten Ausgangsgrößen der Binärstufen jeweils zwei Prüfsignale, und daher kann auf Grund des Aufbaues der Logikschalteinrichtung 7, 71 72 jeder Fehler im geprüften Sicherheitskanal innerhalb von insgesamt sechs solchen Taktschritten bei einer »Zweivon-drek-Auswahlschaltung aufgedeckt und dem gestörten Übertragungskanal zugeordnet werden.

Die mit dem beschriebenen Verfahren und der beschriebenen Vorrichtung erzielten Vorteile bestehen insbesondere darin, daß sofort eine selbsttätige Systemschaltung erfolgt und der Prüfzyklus — das ist die Zeit, die zur einmaligen Prüfung aller vorhandenen Sicherheitskanäle erforderlich ist — kleiner als die Reaktionszeit der Sicherheitsschaltung gehalten wird — das ist die Zeit, die vom Auftreten abweichender Meßsignale bis zur Auflösung des Abschaltvorgangs vergeht —. Damit ergibt sich ein sicheres System, bei welchem keine Versagenswahrscheinlichkeit mehr besteht, welches aber gleichzeitig nur sehr wenig Fehlabschaltungen zuläßt.

Ein anderer wesentlicher Vorteil des Verfahrens besteht darin, daß alle Bauelemente eines Übertragungskanals und eines Sicherheitskanals ständig auf ihre Funktionstüchtigkeit geprüft werden und darüber hinaus alle Übertragungswege vom Meßfühler bis zur Abschalteinheit und auch die Prüfsignalgeneratoren ebenso wie die Adressengeber einer ständigen Kontrolle unterworfen sind.

Das beschriebene Verfahren und die beschriebene Vorrichtung sind selbstverständlich nicht auf »Zweivon-drek-Reaktorsicherheitssysteme und auch nicht auf Reaktorsicherheitssysteme überhaupt beschränkt, sondern sie können ohne weiteres auf allen Gebieten angewandt werden, auf denen Anlagen, Einrichtungen od. dgl. überwacht werden sollen.

Claims (9)

Patentansprüche:

1. Verfahren zur Selbstüberwachung von Sicherheitsschaltungen, insbesondere für Kernreaktoren, mit mehrfach ausgeführten Übertragungskanälen für eine Meßgröße und einer Auswahlschaltung, bei dem Prüfsignale zeitlich hintereinander und wiederholt jeden Übertragungskanal einzeln durchsetzen und danach mit den Prüfsignalen vor dem Durchsetzen der Übertragungskanäle verglichen werden und bei fehlerhaftem Übertragungskanal durch den Vergleich ein Störsignal erzeugt wird, dadurch gekennzeichnet, daß durch dieses Störsignal eine Korrekturoperation an der Schaltung ausgelöst wird, durch die ihre fehlerhafte Betriebsfunktion eingeschränkt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Störsignale in die Korrekturoperation bewirkende Signale (Korrektursignale) umgeformt werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die zu überwachende Sicherheitsschaltung in vorbestimmten Zeitabständen mittels impulsartiger Prüfsignale in vorgegebenem Umfang wiederholt überprüft wird.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß die Zeit zwischen zwei identischen Prüfvorgängen (Prüfzyklus) einschließlich der Zeit, die bis zum Auslösen der Korrekturoperation vergeht, kleiner ist als die Zeit, die zwischen dem Beginn einer vorbestimmten Beanspruchung der zu überwachenden Sicherheitsschaltung und dem Einsatz der sich daraus ergebenden Rückwirkung derselben vergeht (Reaktionszeit der Sicherheitsschaltung).

5. Verfahren nach einem oder mehreren der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß vorbestimmte, durch einen Fehler in der zu überwachenden Sicherheitsschaltung ohne Prüfsignaleinwirkung hervorgerufene Signale in eine Korrekturoperation bewirkende Signale umgeformt werden.

6. Verfahren nach einem oder mehreren der Ansprüche 1 bis 5 zur Überwachung von Sicherheitsschaltungen für Kernreaktoren mit einer »mvon-m-c-Auswahlschaltung, dadurch gekennzeichnet, daß mittels der Korrekturoperation die gestörte »m-von-n«-Sicherheitsschaltung in eine ungestörte »p-von-^-Sicherheitsschaltung umgeschaltet wird, wobei m, η, ρ und q ganze Zahlen bedeuten und den Bedingungen m<.n,p<.q und q<Ln genügen.

7. Vorrichtung zur Durchführung des Verfahrens nach einem oder mehreren der Ansprüche 2 bis 6 bei einem Kernreaktor, dessen Sicherheitsschaltung zum Erzeugen eines die Abschaltung des Kernreaktors bewirkenden Signals mehrere unterschiedliche Reaktorkenngrößen überwachende Sicherheitskanäle umfaßt, von denen jeweils ein Sicherheitskanal eine Reaktorkenngröße

mit einer Gruppe gleichartiger Meßsonden und diesen nachgeschalteter Übertragungskanäle überwacht, dadurch gekennzeichnet, daß das in einer Korrektureinheit (18) erzeugte Korrektursignal einer am Ausgang jedes Übertragungskanals angeordneten, die Abschaltung des Reaktors bewirkenden Logikschalteinrichtung (7) zugeführt wird, die eine die Ausgangssignale einer zu einem der Übertragungskanäle gehörenden Grenzwert- und Vergleichseinheit — zum Vergleich der Meßgrößen der einzelnen Sonden einer Gruppe mit vorgegebenen Grenzwerten und zum Vergleich der Abweichung der Meßgrößen der einzelnen Sonden einer Gruppe untereinander mit vorgegebenen Abweichungswerten — und das dem Übertragungskanal zugeordnete Korrektursignal disjunktiv verknüpfende Schalteinrichtung (19), eine weitere, die Ausgangssignale der zu den übrigen Übertragungskanälen des gleichen Sicherheitskanals gehörenden Grenzwert- und Vergleichs- einheiten und die diesen Übertragungskanälen zugeordneten Korrektursignale disjunktiv verknüpfende Schalteinrichtung (20) sowie eine die Ausgangssignale dieser beiden disjunktiven Schalteinrichtungen (19, 20) konjunktiv verknüpfende Schalteinrichtung (21) umfaßt.

8. Vorrichtung nach Anspruch 7, dadurch gekennzeichnet, daß zwei Prüf signalgeber, bestehend aus je einem Prüfsignalgenerator (13,14) und je einem Adressengeber (15, 16), vorhanden sind, die gleichzeitig die Sicherheitsschaltung überwachen und durch koppelnde, gleichen Takt gewährleistende Schaltmittel miteinander verbunden sind.

9. Vorrichtung nach Anspruch 7 und 8, dadurch gekennzeichnet, daß der Prüfsignalgenerator (13,14) mehrere Binärstufen (22) umfaßt und aus den binärcodierten Ausgangssignalen die Prüfsignale erzeugende Konjunktionsglieder vorgesehen sind in dem Sinn, daß bei jedem Prüfzyklus die jeweils zur Prüfung erforderliche Anzahl von zyklisch kombinierten Prüfgrößen erzeugt und jeweils gleiche Prüf signale immer durch dasselbe Konjunktionsglied gebildet werden.

10. Vorichtung nach einem oder mehreren der Ansprüche 7 bis 9, dadurch gekennzeichnet, daß zur Abschaltung des Kernreaktors eine Abschalteinheit (12) nach dem Ruhestromprinzip aufgebaut ist in dem Sinn, daß bei Ausfall der Prüfsignale, die die Übertragungskanäle durchsetzt haben, der Kernreaktor abgeschaltet wird.

In Betracht gezogene Druckschriften:
Deutsche Auslegeschrift Nr. 1177 262;
Harry H. Hendon, »A Transistorized Power Reactor Safety System«, Vorabdruck V-44 anläßlich der »Nuclear Engineering & Science Conference«, 6. bis 9. April 1959.

Hierzu 1 Blatt Zeichnungen

809 537/452 3.68 © Bundesdruckerei Berlin