-
Die Erfindung betrifft ein Verfahren zur Protokollierung von Schutzsignalen für eine Anzahl von sicherheitsrelevanten Anlagenteilen, z. B. einem Kessel oder einer Turbine, einer technischen Anlage, insbesondere einer Kraftwerksanlage. Sie betrifft weiter eine nach diesem Verfahren arbeitende Vorrichtung.
-
In Kraftwerksanlagen werden verschiedene Anlagenteile oder Großkomponenten, z. B. Turbine, Kessel oder Speisewasserpumpen, von einem speicherprogrammierbaren Steuerungssystem (digitale Leittechnik) automatisch gesteuert und überwacht. Entsprechend den besonders hohen Anforderungen und technologischen Notwendigkeiten in Kraftwerksanlagen umfasst die digitale Leittechnik zwei wesentliche Teilbereiche, und zwar eine Sicherheitseinrichtung, z. B. eine Sicherheitsleittechnik, und eine Betriebseinrichtung, z. B. eine betriebliche Leittechnik. Die Sicherheitseinrichtung dient dem Personen- und Umweltschutz. Hierbei handelt es sich vorwiegend um sogenannte Anforderungssysteme, deren Funktionsfähigkeit, z. B. durch redundanten Aufbau, dauernd sichergestellt ist und die bei einem Störfall ein sicheres Abschalten oder Herunterfahren des betroffenen Anlagenteils sicherstellen. Die Betriebseinrichtung umfasst alle Einrichtungen, die für die Prozessführung im bestimmungsgemäßen Betrieb erforderlich sind.
-
Im bestimmungsgemäßen Betrieb der Kraftwerksanlage wird das Anlagenteil mittels Steuerbefehlen von der Betriebseinrichtung gesteuert oder geschaltet. Im Fall von Unregelmäßigkeiten oder Störungen der Kraftwerksanlage wird das anzusteuernde Anlagenteil mittels Schutzsignalen der Sicherheitseinrichtung störfallspezifisch, insbesondere für Mensch und Maschine, in einen sicheren Zustand geschaltet. Dabei wird für das oder jedes Anlagenteil eine Mehrzahl von Schutzsignalen ausgelöst, die erforderlichenfalls ein Umschalten des jeweiligen Anlagenteils bewirken. Insbesondere durch die Komplexität derartiger Anlagenteile oder Großkomponenten sowie mit zunehmender Steigerung ihres Sicherheitsstandards werden bei einem Störfall innerhalb einer außerordentlich kurzen Zeitdauer von beispielsweise einigen ms bis zu 100 oder 1.000 Schutzsignale für ein betroffenes Anlagenteil ausgelöst. Diese werden üblicherweise in fortlaufenden Protokollen ausgegeben. Demzufolge ist eine anschließende Analyse des Störfalls besonders zeitaufwendig.
-
Verfahren und Vorrichtungen zur Analyse bzw. Protokollierung von Schutzsignalen für eine Anzahl von sicherheitsrelevanten Anlagenteilen einer technischen Anlage sind aus der Veröffentlichung von H. J. Charwat: „Sichtgeräte als Kommunikationsmittel für die Prozessführung”, Regelungstechnische Praxis, 1997, Heft 2, Seiten 43 bis 48, und aus den Schriften
DE 196 17 332 A1 ,
GB 2 083 258 A ,
DE 196 06 813 A1 ,
DE 40 40 927 A1 ,
DE 195 33 787 A1 ,
DE 695 08 288 T2 ,
WO 91/06960 A1 und
DE 42 10 420 C2 bekannt.
-
Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zur Analyse von Schutzsignalen für eine Anzahl von sicherheitsrelevanten Anlagenteilen einer technischen Anlage anzugeben, das unter Berücksichtigung aller erfassten Schutzsignale eine besonders schnelle und besonders einfache Störfallanalyse ermöglicht. Weiterhin soll eine zur Durchführung des Verfahrens besonders geeignete Vorrichtung angegeben werden.
-
Die erstgenannte Aufgabe wird erfindungsgemäß durch ein Verfahren zur Protokollierung von Schutzsignalen für eine Anzahl von sicherheitsrelevanten Anlagenteilen einer technischen Anlage, bei der jedem Anlagenteil eine Anzahl von Schutzsignalen zugeordnet ist wobei das oder jedes Schutzsignal bei einem Störfall des Anlagenteils eine störfallspezifische Reaktion auslöst, gelöst, indem alle den Störfall charakterisierenden Signale, umfassend die Schutzsignale, diesen zugrundeliegende Schutzkriterien sowie Betriebssignale, protokolliert werden und das zeitlich erste, durch den Störfall ausgelöste Schutzsignal separat gespeichert und ausgegeben wird.
-
Die Erfindung geht dabei von der Überlegung aus, dass sich die fortlaufende Protokollierung aller den Störfall charakterisierenden Signale – der sogenannte Meldeschwall – zusammensetzt aus Schutzsignalen sowie aus diesen zugrundeliegenden Schutzkriterien, z. B. Messwerte oder Messsignale, und üblicherweise auch aus Betriebssignalen. Dabei umfasst dieser Meldeschwall ca. 1000 verschiedene Signale. Da jedoch für eine Störfallanalyse insbesondere jenes Schutzsignal zu berücksichtigen ist, das der eigentlichen Störung zugrundeliegt, sollte dieses Schutzsignal in einfacher Weise aus dem Meldeschwall selektiert werden können. Dazu sollte es in einem spezifischen Speicher hinterlegt werden. Somit wird bei Störfallanalysen ein Durchlaufen eines mit allen Signalen gefüllten Protokoll- oder Meldespeichers vermieden, so dass die Störfallauswertung beschleunigt wird.
-
Die verschiedenen Fahrweisen des Anlagenteils, z. B. das Anfahren eines Kessels, können zu undefinierten Betriebszuständen des Anlagenteils führen, die ebenfalls ein Schutzsignal auslösen können. Um dieses nicht einem tatsächlichen Störfall zugrundeliegende Schutzsignal von dem störfallbedingten Schutzsignal zu trennen, wird das oder jedes Schutzsignal mit einem dem Betriebszustand des Anlagenteils charakterisierenden Zustandssignal verknüpft. Vorzugsweise wird das Zustandssignal zeitlich verzögert. Somit bewirkt das Schutzsignal lediglich dann eine störfallspezifische Reaktion, wenn der Betriebszustand oder die Betriebsart des Anlagenteils besonders sicher feststellbar ist.
-
Zweckmäßigerweise wird in Abhängigkeit vom Betriebszustand des Anlagenteils und/oder von einem vorgebbaren Rücksetzsignal das erste Schutzsignal gelöscht. Die aus der Abfrage des Betriebszustandes resultierende Löschung des ersten Schutzsignals ermöglicht, dass das Anlagenteil nach Wegfall des Störfalls bestimmungsgemäß betrieben werden kann. Das Rücksetzsignal wird z. B. auch bei einem Anlauf oder Hochfahren des digitalen Leittechniksystems gesetzt. Dies bewirkt, dass ein durch das Hochlaufen bedingtes Fehlauslösen des Schutzsignals sicher vermieden ist.
-
Darüber hinaus wird vorzugsweise das Rücksetzsignal mit einer Anzahl von Anlagensignalen, welche den Betriebszustand von mit den Anlagenteilen zusammenwirkenden anderen Anlagenteilen als Information enthalten, verknüpft. Dabei werden als Anlagensignale, z. B. Zustandssignale von mit diesem Anlagenteil in Wirkzusammenhang stehenden anderen Anlagenteilen oder Komponenten, berücksichtigt. Dies ermöglicht, dass in besonders einfacher Weise das betreffende Anlagenteil erst dann wieder in dem bestimmungsgemäßen Betrieb geschaltet wird, wenn auch alle die mit diesem Anlagenteil in Wirkzusammenhang stehenden Anlagenteile oder Komponenten ebenfalls im bestimmungsgemäßen Betrieb sind.
-
Um insbesondere für die Störfallanalyse eine chronologische, d. h. zeitfolgerichtige, Auswertung des Schutzsignales zu ermöglichen, wird das erste Schutzsignal vorteilhafterweise mit einem zugehörigen Zeitsignal gespeichert und ausgegeben.
-
Bezüglich der Vorrichtung wird die genannte Aufgabe erfindungsgemäß gelöst, indem jedem Anlagenteil mindestens eine, einem Störfall entsprechende Anzahl von Schutzsignalen zugeordnet ist und mindestens eines dieser Schutzsignale bei einem vorhandenen Störfall des Anlagenteils eine störfallspezifische Reaktion auslöst, wobei alle den Störfall charakterisierenden Signale, umfassend die Schutzsignale, diesen zugrundeliegende Schutzkriterien sowie Betriebssignale protokolliert werden und wobei für jedes Schutzsignal ein Analysemodul vorgesehen ist, welches ein Speichermodul aufweist, und welches derart ausgelegt ist, dass nur das zeitlich erste Schutzsignal aus der Anzahl der Schutzsignale in dem Speichermodul hinterlegt wird.
-
Mittels der separaten Speicherung des zeitlich als erstes aufgetretenen Schutzsignals ist eine auswerteoptimierte Speicherung oder Archivierung ermöglicht. Demzufolge ist eine Analyse aller irrelevanten Schutzsignale, Schutzkriterien oder Betriebssignale vorteilhafterweise vermieden, so dass das Auffinden des ersten Schutzsignales besonders beschleunigt ist.
-
Zweckmäßigerweise umfasst das oder jedes Analysemodul ein dem Speichermodul vorgeschaltetes erstes Verknüpfungsmodul zur Verknüpfung des jeweiligen Schutzsignals mit einem dem Betriebszustand des betreffenden Anlagenteils charakterisierenden Zustandssignal. Somit erhält das Anlagenteil ausschließlich dann ein Schutzsignal, wenn ein Störfall vorliegt und das Anlagenteil sich in einem bestimmungsgemäßen Betriebszustand befindet. Zweckmäßigerweise ist zur Verzögerung des Zustandssignals ein erstes Zeitmodul vorgesehen. Durch diese Verzögerung wird z. B. bei Anfahrvorgängen des Anlagenteils, in welchem das zugehörige Zustandssignal zeitweise durch einen nicht eindeutigen Betriebszustand gekennzeichnet ist, eine Fehlauslösung des Schutzsignals vermieden.
-
Zur Bildung eines Rücksetzsignales, welches das Speichermodul löscht, ist vorteilhafterweise ein zweites Verknüpfungsmodul vorgesehen. Mittels des zweiten Verknüpfungsmoduls werden beispielsweise Anlagensignale, welche einen normalen oder bestimmungsgemäßen Betrieb der Kraftwerksanlage, des Anlagenteils oder von mit diesem Anlagenteil in Wirkzusammenhang stehenden anderen Anlagenteilen signalisieren, miteinander verknüpft. Eine auf einer derartigen Verknüpfung beruhende Bildung des Rücksetzsignals gewährleistet, dass einerseits bei einem Störfall das Schutzsignal gespeichert wird und andererseits nach Wegfall der Störung das Schutzsignal im Speichermodul gelöscht wird.
-
Zur Bildung eines das Auftreten des Schutzsignales angebenden Zeitsignals ist zweckmäßigerweise ein zweites Zeitmodul vorgesehen. Dabei wird jedem Schutzsignal eine Information über den Zeitpunkt seines Auftretens zugeordnet. Das Zeitsignal erfüllt somit die Funktion einer Zeitmarke oder eines Zeitmerkmals innerhalb der chronologischen Reihenfolge aller im Störfall auftretenden Signale.
-
Darüber hinaus ist vorzugsweise eine Anzeigeeinheit zur separaten Ausgabe des Schutzsignals vorgesehen. Das Schutzsignal wird beispielsweise in einem Wartenraum der Kraftwerksanlage mittels eines Anzeigeelementes oder auf einem Bildschirm oder Drucker ausgegeben.
-
Die mit der Erfindung erzielten Vorteile bestehen insbesondere darin, dass durch eine Abtrennung oder durch ein Abkoppeln des zeitlich als erstes bei einem Störfall auftretenden Schutzsignals von dem eine Mehrzahl von Signalen umfassenden Meldeschwall eine schnelle und sichere Analyse des Störfalls, insbesondere eine schnelle Bestimmung des die Störung verursachenden Anlagenteils, gewährleistet ist. Durch Implementierung dieser Funktion in einem Analysemodul einer digitalen Leittechnik können sicherheitsrelevante Funktionen, insbesondere Schutzfunktionen, für einzelne Anlagenteile besonders einfach nachgerüstet werden. Dies ist insbesondere durch den modulartigen Aufbau ermöglicht.
-
Ein Ausführungsbeispiel der Erfindung wird anhand einer Zeichnung näher erläutert. Es zeigen:
-
1 eine Vorrichtung zur Analyse von Schutzsignalen für eine Anzahl von Anlagenteilen einer technischen Anlage mit einer Anzahl von Analysemodulen in schematischer Darstellung, und
-
2 ein Analysemodul gemäß 1 in schematischer Darstellung.
-
Einander entsprechende Teile sind in beiden Figuren mit denselben Bezugszeichen versehen.
-
Als technische Anlage 1 ist in 1 schematisch eine Gas- und Dampfturbinenanlage dargestellt. Diese umfasst eine Gasturbine 2 und einen dieser rauchgasseitig nachgeschalteten Abhitzedampferzeuger 4, dessen Heizflächen in den Wasser-Dampf-Kreislauf 6 einer Dampfturbine 8 geschaltet sind. Von nicht dargestellten Sensoren erfasste Messwerte MW sowie von nicht dargestellten Signalgebern abgegebene Meldesignale MS werden einem digitalen Leittechniksystem 10 zugeführt. Das digitale Leittechniksystem 10 (nachfolgend als Leittechniksystem 10 bezeichnet) kann dabei insbesondere ein Personal-Computer, eine speicherprogrammierbare Steuerung oder eine andere Datenverarbeitungseinrichtung sein. Das Leittechniksystem 10 ist je nach Funktion oder Aufbau eine Sicherheitseinrichtung oder eine Betriebseinrichtung.
-
Im Normalbetrieb der Anlage 1 werden in Automatisierungseinheiten des Leittechniksystems 10 der Anlage 1 die Messwerte MW und die Meldesignale MS vorverarbeitet. Gegebenenfalls werden als Steuerbefehle Betriebssignale B an Komponenten der Anlagenteile 2, 4, 6, 8 abgegeben. Komponenten sind beispielsweise Armaturen, Ventile, Pumpen etc., die jeweils einem Anlagenteil 2 bis 8 zugeordnet sind. Durch die innerhalb des Leittechniksystems 10 ablaufenden Prozesse wird die Anlage 1 automatisch gesteuert und überwacht.
-
Die Messwerte MW, z. B. Analogwerte, Istwerte oder Grenzwerte, die Meldesignale MS, z. B. Rückmeldungen, Zustandsmeldungen oder Störmeldungen und/oder die Betriebssignale B der Anlagenteile 2 bis 8 sind in einem Wartenraum 20, z. B. auf einem Bildschirm 22 eines Steuerpultes 24, darstellbar. Der in der Anlage 1 ablaufende Gesamtprozess kann somit in allen Betriebsphasen von dem Wartenpersonal mittels des Steuerpultes 24 gesteuert und überwacht werden. Dabei ist beispielsweise das Steuerpult 24, entsprechend einem Cockpit, kreisbogenförmig ausgebildet.
-
Um insbesondere die hohen Sicherheitsanforderungen, die an die Anlage 1 gestellt werden, erfüllen zu können, werden die Messwerte MW und die Meldesignale MS analog zu der betrieblichen Verarbeitung auch sicherheitstechnisch verarbeitet. Bei einem Gefahrenzustand oder Störfall eines der Anlagenteile 2 bis 8 der Anlage 1 werden mittels des Leittechniksystems 10 Schutzsignale S an die zu berücksichtigenden Anlagenteile 2 bis 8 abgegeben. Derartige Schutzsignale S, z. B. „Kesselschutz” oder „Turbinenschutz”, dienen dem Schutz des jeweiligen Anlagenteils 2 bis 8.
-
Bedingt durch die Komplexität der Anlagenteile 2 bis 8, die eine Mehrzahl von Komponenten oder Aggregaten, wie z. B. Pumpen, Lüfter, Ventile umfassen, werden in einem Störfall eines der Anlagenteile 2 bis 8 eine Mehrzahl von Schutzsignalen S für die zugehörigen Komponente des betreffenden Anlagenteils 2 bis 8 erzeugt. Mit anderen Worten: Ein jedes Anlagenteil 2 bis 8 wird mittels einer Anzahl von zugeordneten Schutzsignalen S bei einem Störfall störfallspezifisch geschaltet. Die störfallspezifische Reaktion des Schutzsignals S dient dem Schutz des jeweiligen Anlagenteils 2 bis 8.
-
Bei einem Störfall treten die entsprechenden Schutzsignale S in großer Anzahl in der Art eines Meldeschwalls auf. Um eine spätere Diagnose zu erleichtern, umfasst das Leittechniksystem 10 daher eine Vorrichtung 11 zur Analyse der Schutzsignale S.
-
Die Vorrichtung 11 umfasst für jedes dieser Schutzsignale S ein dazugehöriges Analysemodul 12. Als Eingangssignale werden dem Analysemodul 12 das zugeordnete Schutzsignal S, ein das den Betriebszustand des betreffenden Anlagenteils 2 bis 8 charakterisierendes Zustandssignal Z sowie ein Rücksetzsignal R zugeführt. Bei einem Störfall der Anlage 1 wird das zugeführte Schutzsignal S mittels des Analysemoduls 12 zu einem ersten Schutzsignal S' verarbeitet, wenn es zeitlich als erstes aufgetreten ist.
-
Das erste Schutzsignal S' sowie die zeitlich nachfolgenden Schutzsignale S werden ebenfalls in dem Wartenraum 20 ausgegeben. Dabei wird insbesondere das erste Schutzsignal S' separat auf einer zugeordneten Auswerteeinheit 26, z. B. auf einem Anzeigeelement, oder auf dem Bildschirm 22 des Steuerpultes 24 in Form einer gesondert zugeordneten Farbsignalisierung dargestellt.
-
2 zeigt eines der Analysemodule 12. Das Analysemodul 12 umfasst ein Speichermodul 14, ein diesem vorgeschaltetes erstes Verknüpfungsmodul 16A und ein ebenfalls dem Speichermodul 14 vorgeschaltetes zweites Verknüpfungsmodul 16B. Als Speichermodul 14 dient beispielsweise ein RS-Flip-Flop oder ein anderes Speichermedium. Als erstes und zweites Verknüpfungsmodul 16A, 16B dienen beispielsweise UND- oder ODER-Gatter. Dem ersten Verknüpfungsmodul 16A ist darüber hinaus ein erstes Zeitmodul 19A vorgeschaltet. Ein zweites Zeitmodul 19B ist dem Speichermodul 14 nachgeschaltet. Die beiden Zeitmodule 19A, 19B können beispielsweise auch außerhalb des Analysemoduls 12, z. B. in einem anderen Software-Modul des Leittechniksystems 10, angeordnet sein.
-
Bei Auftreten einer Störung eines Anlagenteils 2 bis 8 wird von Sicherheitseinrichtungen des Leittechniksystems 10 eine Mehrzahl von zugehörigen Schutzsignalen S gebildet, die der Vorrichtung 11 zugeführt werden. Bedingt durch die zyklische Arbeitsweise des Leittechniksystems 10 werden die zyklisch generierten Schutzsignale S daher nacheinander dem jeweils zugeordneten Analysemodul 12 zugeführt. In dem Analysemodul 12 wird mittels des ersten Verknüpfungsmoduls 16A das Schutzsignal S mit dem Zustandssignal Z des betreffenden Anlagenteils 2 bis 8 zum ersten Schutzsignal S' verknüpft. Dieses erste Schutzsignal S' wird dann in dem Speichermodul 14 gespeichert. Darüber hinaus kann das Schutzsignal mit zusätzlichen Signalen oder Anlagensignalen D verknüpft werden, die mit dem betreffenden Anlagenteil 2 bis 8 oder dem Schutzsignal S im Wirkzusammenhang stehen. Mittels des ersten Verknüpfungsmoduls 16A wird erzielt, dass das anliegende Schutzsignal S nur dann gespeichert wird, wenn einerseits das Anlagenteil 2 bis 8 einen bestimmungsgemäßen Betriebszustand aufweist. Andererseits müssen alle das Schutzsignal S auslösenden Kriterien als Daten vorliegen. In den den zeitlich nachfolgenden Schutzsignalen S zugeordneten Analysemodulen 12 wird mittels des jeweils zugehörigen zweiten Verknüpfungsmoduls 16B das Speichern dieser zeitlich später auftretenden Schutzsignale S verhindert.
-
Um eine sichere Aussage über den Zustand des Anlagenteils 2 bis 8 zu erhalten, wird das Zustandssignal Z mittels des ersten Zeitmoduls 19A zeitlich verzögert. Somit werden Fehlauslösungen des Schutzsignals S bedingt durch eventuelle undefinierte Zustände des Anlagenteils 2 bis 8, z. B. bei einem Anfahrvorgang, vermieden.
-
In Abhängigkeit vom Betriebszustand des Anlagenteils 2 bis 8 und/oder von einem vorgegebenen Rücksetzsignal R wird das erste Schutzsignal S' in dem Speichermodul 14 gelöscht. Die Verknüpfung des Zustandsignales Z mit dem Rücksetzsignal R erfolgt mittels des zweiten Verknüpfungsmoduls 16B. Darüber hinaus können weitere Signale oder Anlagensignale D, z. B. ein Systemanlauf des Leittechniksystems 10 oder ein Revisionssignal des betreffenden Anlagenteils 2 bis 8, ein Rücksetzen und damit Löschen des Speichermoduls 14 bewirken. Dazu werden diese Anlagensignale D ebenfalls dem zweiten Verknüpfungsmodul 16B zugeführt.
-
Je nach Art und Aufbau der beiden Verknüpfungsmodule 16A und 16B können alternativ dazu alle Schutzsignale S, die in dem ersten Bearbeitungszyklus des Leittechniksystems 10 beim Auftreten eines Störfalls generiert werden, in dem jeweils zugeordneten Analysemodul 12 gespeichert werden.
-
Dem Speichermodul 14 ist ein zweites Zeitmodul 19B zur Bildung eines die Reaktion oder das Auftreten des Schutzsignales S bestimmenden Zeitsignals T nachgeschaltet. Mit anderen Worten: Dem Schutzsignal S wird mittels des zweiten Zeitmoduls 19B eine Information über den Zeitpunkt des Auftretens zugeordnet. Das erste Schutzsignal S' wird mit dem zugehörigen Zeitsignal T anschließend der Auswerteeinheit 26 zugeführt.
-
Die mit dem Analysemodul 12 erzielten Vorteile bestehen insbesondere darin, dass durch die integrierte Selektion eine strikte Trennung des ersten Schutzsignales S' von den nachfolgenden Schutzsignalen S des Meldeschwalls ermöglicht ist, so dass eine Störfallanalyse beschleunigt ist.
