DE19517164A1

DE19517164A1 - Redundant safety system for power plant

Info

Publication number: DE19517164A1
Application number: DE19517164A
Authority: DE
Inventors: Wolfgang Dipl Ing Koblischek; Werner Dipl Ing Feiler; Peter Dipl Ing Lauber; Josef Rech
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 1995-05-10
Filing date: 1995-05-10
Publication date: 1996-11-21

Abstract

The safety system has the measured operating parameter values supplied to 2 parallel processing channels, for comparison with threshold values, for initiating a safety function when the threshold values are exceeded. The difference values obtained by comparing the measured parameter values with one another and their positions in the permissible value range are determined for use as further criteria for initiating the safety function, eliminating the need for a further redundancy channel.

Description

Die Erfindung betrifft ein Schutzsystem gemäß dem Oberbegriff des Anspruchs 1.The invention relates to a protection system according to the preamble of claim 1.

Zum Steuern und Regeln von Anlagen, von denen eine hohe Ver fügbarkeit verlangt wird, werden häufig redundante Systeme eingesetzt. In solchen werden physikalische Meßgrößen jeweils mehrfach unabhängig erfaßt und die dabei gebildeten Meßgrößen in parallelen Kanälen einer Bewertungslogik zugeführt, die aufgrund einer Mehrheitsentscheidung eine Schutzauslösung veranlassen kann. Bekannte redundante Systeme sind die soge nannten mvn-Systeme, bei denen eine Schutzauslösung erfolgt, mit welcher die Anlage in einen sicheren Zustand geschaltet wird, wenn von n Meßwerten derselben physikalischen Meßgröße m außerhalb eines zulässigen Bereiches liegen bzw. den die Grenze des zulässigen Bereichs bildenden Grenzwert über schritten haben. Der zulässige Bereich kann von einem unteren und/oder einem oberen Grenzwert begrenzt sein. Im folgenden wird, unabhängig davon, ob ein Meßwert den zulässigen Bereich nach oben oder unten verläßt, der Ausdruck "Grenzwert über schreiten" verwendet.For controlling and regulating systems, of which a high ver redundancy systems are often required used. These are physical quantities recorded several times independently and the measured variables thereby formed fed in parallel channels to an evaluation logic that a protection trip based on a majority decision can cause. Known redundant systems are the so-called called mvn systems in which protection is triggered, with which the system is switched to a safe state becomes if of n measured values of the same physical measurand m are outside a permissible range or the Limit of the permissible range have walked. The allowable range can be from a lower one and / or an upper limit. Hereinafter regardless of whether a measured value exceeds the permissible range leaves up or down, the expression "limit over stride "is used.

Zusätzlich zum Zulässigkeitsbereich gibt es einen Gültig keitsbereich für die Meßwerte, der z. B. bei Meßumformern mit Stromausgang 4 bis 20 mA beträgt. Außerhalb liegende Meßwerte sind offensichtlich falsch und beruhen auf einem Fehler, z. B. einem Kurzschluß oder einem Drahtbruch.In addition to the area of admissibility, there is a Valid range for the measured values, the z. B. with transmitters Current output is 4 to 20 mA. Measured values outside are obviously wrong and based on a mistake, e.g. B. a short circuit or wire break.

Zur Erhöhung von Sicherheit und Verfügbarkeit von Anlagen werden im allgemeinen die Werte von n der die Anlagen steu ernden mvn-Systeme erhöht. Mit der Anzahl n der Meßsignal kanäle erhöht sich aber auch der Aufwand, abgesehen davon, daß es häufig mit zunehmender Anzahl von Meßaufnehmern schwieriger wird, diese so anzubringen, daß sie dieselbe physikalische Meßgröße erfassen.To increase the safety and availability of systems generally the values of n control the plants grounding mvn systems increased. With the number n of the measurement signal channels also increases the effort, apart from that it is often with increasing number of sensors it becomes more difficult to attach them so that they are the same Record physical measurand.

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein redundantes mvn-System zu schaffen, das mit wenigen Kanälen eine hohe Verfügbarkeit der gesteuerten Anlage gewährleistet.The present invention the underlying task is therefore a redundant mvn system to create high availability with just a few channels the controlled system.

Diese Aufgabe wird für ein 2v2-System mit den im kennzeich nenden Teil des Anspruchs 1 angegebenen Maßnahmen gelöst. Die Erfindung beruht auf der Erkenntnis, für die Schutzauslösung nicht nur das Überschreiten eines oder beider Grenzwerte als Kriterien heranzuziehen, sondern auch die gegenseitige Abwei chung der Meßwerte und deren Zugehörigkeit zum Gültigkeits bereich zu berücksichtigen. Damit wird ein 2v2-System geschaffen, das bei gleicher Sicherheit wie die eines 2v3-Systems eine etwa gleiche Verfügbarkeit bietet.For a 2v2 system, this task is characterized by the resolved specified part of claim 1 measures. The Invention is based on the knowledge for triggering protection not just exceeding one or both limits as Criteria, but also the mutual rejection Measurement values and their relevance to validity area to be considered. It becomes a 2v2 system created with the same security as that of one 2v3 systems offers roughly the same availability.

Anhand der Zeichnung werden im folgenden die Erfindung sowie Weiterbildungen und Ergänzungen näher beschrieben und erläu tert.Based on the drawing, the invention and Further developments and additions described and explained in more detail tert.

In Fig. 1 ist schematisch ein 2v2-Schutzsystem dargestellt.A 2v2 protection system is shown schematically in FIG .

Fig. 2 veranschaulicht die Funktion eines Ausführungsbei spiels des neuen Systems. Fig. 2 illustrates the function of an exemplary embodiment of the new system.

In Fig. 1 sind mit MG11, MG12; MG21, MG22 . . . Meßwertgeber bezeichnet, die paarweise dieselbe Meßgröße in Meßwerte um formen und daher bei ungestörtem Betrieb innerhalb eines To leranzbereichs liegende gleiche Meßwerte abgeben. Diese Meß werte werden einem Multiplexer und Analog/Digital-Umsetzer ADU zugeführt, der je Meßgröße ein redundantes Meßwertepaar MW1, MW2 einer Bewertungslogik ML zuführt. Diese erhält fer ner je Meßgröße zwei Gültigkeitsbereichsgrenzen GB1, GB2, die den Gültigkeitsbereich der Meßwerte angeben. Diese sind z. B. bei Meßwertgebern mit Stromausgang die Werte 4 mA und 20 mA. Ferner wird ein Toleranzband TB vorgegeben, innerhalb dessen die Meßwerte eines Paares voneinander abweichen dürfen. Bei spielsweise beträgt es 5% des Meßbereichsendwertes bzw. der oberen Gültigkeitsbereichsgrenze, z. B. 1 mA. Weiter wird der Bewertungslogik ML je Meßgröße ein Grenzwert zugführt, der die Grenze des zulässigen Meßwertebereichs bestimmt. Die Bewertungslogik gibt ein Signal MW zur Weiterverarbeitung aus, das aus dem Mittelwert des jeweils zugeführten redun danten Meßwertepaares gebildet ist, ferner ein Schutz auslösesignal AS.In Fig. 1 with MG11, MG12; MG21, MG22. . . Transducers are referred to, which form the same measured variable in pairs into measured values and therefore deliver the same measured values lying within a tolerance range in the case of undisturbed operation. These measured values are fed to a multiplexer and analog / digital converter ADU, which supplies a redundant pair of measured values MW1, MW2 to an evaluation logic ML for each measured variable. This also receives two validity limits GB1, GB2 for each measured variable, which indicate the validity range of the measured values. These are e.g. B. for sensors with current output the values 4 mA and 20 mA. A tolerance band TB is also specified, within which the measured values of a pair may differ from one another. For example, it is 5% of the upper limit of the measuring range or the upper limit of validity, for B. 1 mA. Furthermore, the evaluation logic ML is supplied with a limit value for each measurement variable, which determines the limit of the permissible measurement range. The evaluation logic outputs a signal MW for further processing, which is formed from the mean value of the pair of redundant measured values supplied, and a protection trigger signal AS.

In Fig. 2 sind die Grenzen GB1, GB2 des Gültigkeitsbereiches von 20 mA und 4 mA als durchgezogene gerade Linien und der Grenzwert GW für die zulässigen Meßwerte als gestrichelte ho rizontale Linie dargestellt. Der Toleranzbereich TB, um den die Meßwerte maximal voneinander abweichen dürfen, ist je weils als schraffiertes Feld veranschaulicht. Die Meßwerte selbst sind paarweise übereinander als Kreise eingetragen. Der Übersichtlichkeit halber sind sie nicht mit Bezugszeichen versehen. Jedes Paar stellt einen besonderen Fall F1, F2 . . . F7 dar. Das Diagramm AS in Fig. 2 veranschaulicht, in wel chen Fällen eine Schutzauslösung erfolgt.In Fig. 2, the limits GB1, GB2 of the validity range of 20 mA and 4 mA are shown as solid straight lines and the limit value GW for the permissible measured values as a dashed horizontal line. The tolerance range TB by which the measured values may deviate from one another is illustrated as a hatched field. The measured values themselves are entered as circles in pairs one above the other. For the sake of clarity, they are not provided with reference symbols. Each pair represents a special case F1, F2. . . F7. The diagram AS in FIG. 2 illustrates the cases in which protection is triggered.

Im ersten Fall F1 liegen beide Meßwerte innerhalb des Tole ranzbandes TB und auch im Zulässigkeitsbereich GW-GB2. Das Auslösesignal ist daher "0". Steigen beide Meßwerte an, wobei ihre Differenz kleiner als das Toleranzband TB bleibt, so wird zunächst der obere Meßwert den Grenzwert GW überschrei ten (Fall F2). Ein Auslösesignal wird noch nicht abgegeben. Dies ist erst der Fall, wenn beide Meßwerte über dem Grenz wert GW liegen (Fall F3). Ist ein Meßwert außerhalb des Gül tigkeitsbereichs GB1-GB2 (F4, F5), wird er für die Mehrheits entscheidung nicht berücksichtigt, und die Schutzauslösung hängt allein davon ab, ob der andere Meßwert im Zulässig keitsbereich liegt (F4) oder nicht (F5). Ist der Abstand der Meßwerte größer als das Toleranzband TB, liegen aber beide Meßwerte noch im Zulässigkeitsbereich GB1-GB2, erfolgt keine Schutzauslösung (F6). Überschreitet jedoch ein Meßwert den Grenzwert GW, wird ein Auslösesignal abgegeben, da einer der beiden Meßwerte offensichtlich falsch ist, aber nicht er kennbar ist, welcher Wert der falsche ist (F7). Zweckmäßig erfolgt die Schutzauslösung nach einer Wartezeit, in der festgestellt werden kann, wie schnell sich der den Grenzwert GW überschreitende Meßwert ändert. Physikalische Meßgrößen ändern sich in der Regel nur langsam. Beispielsweise ist die maximale Änderungsgeschwindigkeit einer Temperatur durch die maximale Heizleistung, die aufgeheizte Masse und deren spezifische Wärme begrenzt. Ändert sich der Temperaturmeßwert schneller, deutet dies darauf hin, daß er falsch ist. Nach einer Wartezeit wird er den Gültigkeitsbereich GB1-GB2 verlassen, und es wird der Zustand wie im Falle F5 erreicht, bei dem keine Schutzauslösung erfolgt. Die Wartezeit ver hindert daher eine unnötige Schutzauslösung und erhöht damit die Verfügbarkeit.In the first case F1, both measured values lie within the tole ranzbandes TB and also in the admissible range GW-GB2. The The trigger signal is therefore "0". Both measured values increase, whereby their difference remains smaller than the tolerance band TB, so the upper measured value is first exceeded the limit value GW ten (case F2). A trigger signal has not yet been issued. This is only the case if both measured values are above the limit worth GW (case F3). Is a measured value outside the gül area of activity GB1-GB2 (F4, F5), it is for the majority decision not taken into account, and the protection trip depends solely on whether the other measured value is permitted range is (F4) or not (F5). The distance is the Measured values are larger than the tolerance band TB, but are both Measured values still within the admissible range GB1-GB2, none Protection trip (F6). However, if a measured value exceeds the Limit value GW, a trigger signal is given because one of the both readings are obviously wrong, but not he you can see which value is wrong (F7). Appropriately protection is triggered after a waiting period in which It can be determined how quickly the limit value changes Measurement value exceeding GW changes. Physical measurands usually change slowly. For example, the maximum rate of change of a temperature by the maximum heating power, the heated mass and its specific heat limited. The temperature measured value changes faster, this indicates that he is wrong. To a waiting time it becomes the scope GB1-GB2 leave and the state is reached as in case F5, where no protection is triggered. The waiting time ver therefore prevents unnecessary protection tripping and thus increases the availability.

Claims

1.Protection system with two measuring signal channels, which forms two measured values from the same measured variable, which are compared in an evaluation logic (ML) with a limit value (GW) and which, depending on the comparison result and a majority decision, emits a protection trigger signal, characterized by :
the protection trip signal (AS) is given,

a) if both measured values (MW1, MW2) deviate from each other by less than a given amount (TB) and have exceeded the limit value (GW) for the protection tripping or
b) if the two measured values (MW1, MW2) deviate from each other by more than the predetermined amount (TB) and at least one measured value has exceeded the limit value (GW) for the protection tripping or
c) if one of the two measured values is outside a validity range (GB1-GB2) and the other has exceeded the limit value (GW) for the protection tripping.

2. Protection system according to claim 1, characterized records that in case b) the protection trip after a predetermined waiting time.

3. Protection system according to claim 1 or 2, characterized ge indicates that in cases a) and b) of funds value of the two measured values is formed and processed.

4. Protection system according to one of claims 1 to 3, characterized characterized in that in case c) of the validity range (GB1-GB2) measured value for further processing is used.