DE2156022A1

DE2156022A1 - Schutzvorrichtung fur technische Verfah renseinnchtungen

Info

Publication number: DE2156022A1
Application number: DE19712156022
Authority: DE
Inventors: Russell M Lynchburg Kubik Robert N Anhurst Patterson Elmer S Lynchburg Va Ball (V St A) P
Original assignee: Babcock and Wilcox Co
Current assignee: Babcock and Wilcox Co
Priority date: 1970-11-16
Filing date: 1971-11-11
Publication date: 1972-06-22
Also published as: ES396580A1; IT942528B; GB1371369A; BE775365A; NL7115747A; AU453567B2; FR2113859B1; CH551058A; FR2113859A1; JPS5122591B1; AU3539671A

Description

\0e. (ZrbeeitneiL i/Casaieili

PATENTANWALT

ö. xlovember 1971 Anw.-Akte: 27.20

P A T L ίί ΐ Α Γ L L¹ L D U

Anmelderiii: The Babcock ά V/ilcox Company

161 East 42nd ,Street, iiew York, II.Y. 10017

I'itel: Schutzvorrichtung für technische Verfahrenseinrichtungen

Die ICrfindung betrifft eine Schutzvorrichtung für technische Verfahrenseinrichtungen, die aus einer Anzahl von Digitalcoraputern bestehen, die von einem Eingangssystem Dateneingänge erhalten, die $erte von-überwachten Betriebsgrößen darstellen. Dabei ist jeder Computer so programmiert, daß er eine Anzeige des v/ertes eines ausgewählten mathematischen Ausdrucks bewirkt.

Im allgemeinen erstreckt sich somit die Erfindung auf ein Jystem zum Schutz von Einrichtungen, bei denen es wünschenswert ist, daß sie unter Bedingungen arbeiten, die dicht bei einem nicht mehr zulässigen Zustand liegen. Atomreaktoren sind ein Beispiel für solche Verfahrenseinrichtungen.

BAD ORIGINAL

209826/0586

Bisher wurde die Sicherheitsüberwachung von Atomreaktoren dadurch bewirkt, daß unabhängig Betriebsbereiche für mehrere überwachte Betriebsgrößen eingestellt wurden und daß eine Abschaltung, die bei Atomreaktorsystemen als ΐΐοtabschaltung (Scram) bezeichnet wird, eingeleitet wurde, wenn der Wert irgendeiner dieser Größen außerhalb des vorgegebenen Bereiches lag. Da festgestellt wurde, daß eine einzige überwachte Größe an sich und aus sich selbst heraus nicht eine zuverlässige Anzeige für den Betriebszustand des Reaktors bietet, ist es aus Sicherheitsgründen erforderlich, unabhängig Grenzen für mehrere überwachte Betriebsgrößen, die maßgebend für den ileaktorbetrieb sind, einzustellen. Aus diesem Grunde haben die bekannten Schutzvorrichtungen die unerwünschte Eigenschaft, daß unter gewissen Umständen eine Abschaltung oder Notabschaltung des Reaktors eingeleitet wird, obwohl diese bei Betrachtung der Gesamtlage noch nicht notwendig ist.

Der Erfindung liegt die Aufgabe zugrunde, diesen Mangel der bisherigen Schutzvorrichtungen für technische Verfahrenseinrichtungen, die aus einer Anzahl von Digitalcomputern bestehen, auszuschalten und einen elastischeren, jedoch sicheren Betrieb von Verfahrenseinrichtungen zu erreichen.

Diese Aufgabe wird erfindungsmäßig dadurch gelöst, daß die Abschaltung von dem Wert des funktionellen Verbunds

BAD ORIGINAL

209826/0586

von Betriebsgrößen abhängig gemacht wird und nicht von irgendeiner einzelnen überwachten Größe.

Die Erfindung sieht ein verbessertes Verfahrenseinrichtungs-Schutzsystem vor, das eine Vielzahl von Digitalcomputern umfaßt, die so geschaltet sind, daß sie Darstellungen verschiedener Betriebsgrößen erhalten. Jeder Computer ist so programmiert, daß er eine Anzeige des tferts eines gewählten mathematischen Ausdrucks bewirkt und ein Abschaltentscheidungssignal erzeugt, wenn der Wert in einen verbotenen Bereich fällt. Der mathematische Ausdruck ist dadurch gekennzeichnet, daß sein viert von einer Vielzahl der verschiedenen Betriebsgrößen abhängt und wenigstens teilweise einen Anhalt dafür bietet, ob die Einrichtung in einem sicheren oder unsicheren Zustand arbeitet. Die Abschaltentscheidungsausgänge aller Computer werden zu einer Koinzidenz-Logikschaltung geleitet, die bei Erhalt von Abschaltsignalen von einer bestimmten Mindestanzahl Computer ein Abschalteinleitungssigrial bildet.

BAD ORIGINAL

209826/0586

Die Anwendung dieser Erfindung bei Atomreaktoren erlaubt den sicheren Betrieb des iieaktors bei Leistungen, die sehr dicht an den Auslegungsgrenzen liegen und ermöglicht den Dauerbetrieb des iieaktors bei Zuständen, die sonst eine unnötige Notabschaltung verursachen würden.

Die Zeichnung zeigt eine schematische Darstellung einer Ausführungsform der Erfindung zur Benutzung als Schutzsystem für einen nicht dargestellten Druckwasser-Atomreaktor.

Gremäß der Darstellung umfaßt das System eine Vielzahl yon Computern 11A, 11B, 11C und 11D, von denen jeder in der lage ist, ein Reaktor-Notabschalt-Entscheidungssignal auf der Grundlage von Daten zu bilden, die jeweilige Werte einer Vielzahl von gewählten Reaktorbetriebsgrößen darstellen, welche von einem .Eingangs sys tem 10 empfangen werden, während eine Koinzidenz-Logikschaltung 19 so eingerichtet ist, daß sie die Eotabschalt-Mtscheidungssignale von den Computern 11A - D empfängt und einen Reaktor-liotabschalteinleitungssignalausgang erzeugt, wenn sie Kotabschaltentscheidungssignale von einer bestimmten Mindestanzahl Computer 11A - D empfängt.

Jeder der Computer zum Einsatz bei dieser Erfindung ist so programmiert, daß er eine Anzeige des Werts eines gewählten mathematischen Ausdrucks bewirkt, der dadurch gekennzeichnet ist, daß sein Wert von einer Vielzahl überwachter Reaktorbetriebsgrößen abhängt und wenigstens teilweise ein Anhalt dafür ist, ob der lieaktor in einem sicheren oder unsicheren Zustand arbeitet. Die ausgewertete

2 0 9~8 2 6 /"D 5 8 6

Funktion kann somit als eine Sicherheits- oder Schutzfunktion angesprochen werden. Einige oder alle Computer können so programmiert werden, daß sie den gleichen mathematischen Ausdruck auswerten; andererseits können alle oder einzelne so programmiert v/erden, daß sie Terschiedene mathematische Ausdrücke auswerten. Die jeweiligen Eingänge, die zu jedem Computer geleitet werden, hängen von der Sicherheitsfunktion ab, die der betreffende Computer auswerten soll. Man wird verstehen, daß, obwohl alle Computer so programmiert werden können, daß sie den gleichen mathematischen Ausdruck auswerten, sie je nach den jeweiligen Eingängen nicht notwendigerweise alle die gleiche Sicherheitsfunktion auswerten. Sine solche Situation kann entstehen, wenn es wünschenswert ist, den gleichen Zustand des Heaktors an zwei verschiedenen Stellen zu ermitteln, z.B. beim Kühlmitteleintritt und beim Kühlmittelaustritt.

Das in der Zeichnung dargestellte System ist ein Beispiel, bei dem vier Computer vorhanden sind, die alle so programmiert sind, daß sie den gleichen mathematischen Ausdruck auswerten, und die so eingerichtet sind, daß sie Eingänge erhalten, welche die gleichen ausgewählten Betriebsgrößen darstellen. Die Computer 11A - D sind somit Kontrollsysteme insofern, als alle Computer 11A - D den i/ert des gleichen mathematischen Ausdrucks unter Verwendung von Eingängen errechnen, die die tferte der gleichen Betriebsgrößen darstellen; sie dienen also dazu, sich wechselseitig zu kontrollieren (solche Kontrollsysteme werden auch redundante Systeme genannt).

BAD ORIGINAL 209826/0586

Hinsichtlich der Sicherheitsfunktion, die die Computer 11A - D bewirken sollen, ist festgestellt worden, daß eine sichere Betriebsleistung dadurch bestimmt wird, daß das Reaktorkühlmittel in der Lage ist, Wärme yoia Reaktorbrennstoff abzuführen. Mn gutes Merkmal für die Messung dieser Fähigkeit ist die Grenze der Siedekernverdampfung (DIiB), die die einzelnen Größen des ii ärmeflusses, des Kühlmitteltemperaturanstiegs, des Strömungsquerschnitts sowie deren ,Wechselwirkungen beinhaltet. Das DMB-Merkmal kann durch das Verhältnis der Siedekernverdampfungsgrenze (DNBR) angewendet werden; dies ist ein Maß für die Spanne zwischen P der Betriebsleistung und der Leistung, bei der DIiB in einer bestimmten Zone erwartet wird. Es sollte an dieser Stelle darauf hingewiesen werden, daß, obwohl zahlreiche empirische Formeln für die Errechnung des DIBR vorgeschlagen worden sind, alle im allgemeinen darin übereinstimmen, daß das DKBR von Werten des Heaktorflusses der Kühlmittelmenge, des Kühlmitteldrucks sowie der Kühlmitteleintritts- und -austrittstemperatüren in bezug auf eine bestimmte Zone abhängt.

Die in der Zeichnung dargestellten Computer 11A - D sind deshalb so programmiert, daß sie das DIiBR von Zeit zu Zeit auf der Grundlage der jeweiligen Werte der Betriebsgrößen : Reaktorfluß (0), Kühlmittelmenge (W), Kühlmittel druck (P), Kühlmitteleintrittstemperatur (U) und Kühlmittelaustrittstemperatur (V) in der Reaktorzone errechnen, in der DNB am wahrscheinlichsten vorkommt. Diese Information wird an die Computer 11A - D über das Eingangs sys teil 10 geliefert. In jedem Computer HA - D γ/irä aas errechne te DNBR mit gespeicherten Daten verglichen, die die un-

209826/0586

sicheren oder verbotenen Zustände kennzeichnen, und wenn das DIiBR einem verbotenen Zustand entspricht, dann wird ein Reaktor-Notabschalt-Entscheidungssignal an den Ausgangsleitungen 18A, 18B, 18C bzw. 18D gebildet.

Das Eingangssystem nach der Erfindung umfaßt eine Vielzahl von Signalgebern (Sensoren), die Darstellungen der Werte der gewählten Betriebsgrößen liefern, um bei der Ermittlung der Sicherheitsfunktionen benutzt zu werden, und Geräte zur Weiterleitung der Vierte an die Computer in brauchbarer Form. Zahlreiche Arten von Eingangssystemen können je nach den zu überwachenden Größen, der Art der λ Computerprogrammierung und der Reaktorkonstruktion verwendet werden. Wenn alle Computer verschiedene Sicherheitsfunktionen auswerten sollen, so daß alle verschiedene Eingangsdaten benötigen, dann ist es notwendig, getrennte Eingabegeräte für jeden Computer zu verwenden; wenn andererseits alle Computer so geschaltet sind, daß sie die gleiche Funktion ermitteln, dann kann ein Satz von Eingangsgeräten benutzt werden, um die Eingangsdaten an alle Computer zu liefern. Selbst in dem letztgenannten Fall, bei dem alle Computer so geschaltet sind, daß sie die gleiche Funktion bestimmen, kann es wünschenswert sein, | getrennte Eingabegeräte für jeden der Computer zu verwenden, da dies eine Redundanz von Signalgebern ergibt, wodurch ein weiteres Sicherheitsmerkmal dem System hinzugefügt wird.

Das in der Zeichnung dargestellte Eingangssystem 10 ist ein Beispiel der Art, bei der jeder Computer 11A - D mit getrennten Eingabegeräten ausgestattet ist, d.h. jeder

209826/0586

Computer 11A - D hat einen getrennten Satz τοη Gebern 1OA, 1OB, 1OC und 1OD, wobei jeder Satz fünf Geber 12A - 16A, 12B - 16B, 12C - 16C und 12D - 16D umfaßt. Jede zu überwachende Größe wird von einem Geber in jedem Satz überwacht : 0 - 12A - D, P - 13A - D, vv - 14A - D, U - 15A - D und V - 16A -D, so daß jede zu überwachende Größe von vier Gebern überwacht wird. Jeder der Geber liefert ein Ausgangssignal, das einen Anhalt über die jeweilige überwachte Größe gibt und dieses Signal wird an entsprechende Signalwandler 17A, 17B, 17C und 17D geleitet, um in digitale Form übersetzt zu werden, die zur Verarbeitung durch die Computer geeignet ist. In der dargestellten Ausführungsform sind die Wandler 17A - D Analog-in-Digital-Wandler und können in irgendeiner geeigneten vorbekannten Ausführung sein.

Die Ausgangsleitungen 1BA - D der Computer 11A - D werden an eine Koinzidenz-Logikschaltung 19 gekojjpelt, die die durch die Leitungen 18A - D ankommenden Reaktorentscheidungssignale empfängt und ein Reaktor-Iotabschalt-Einleitungssignal an ihrer Ausgangsleitung 20 bildet, wenn sie ieaktor-Notabschalt-Jiintscheidungssignale von einer bestimmten Mindestanzahl Computer 18A - D erhält. Die Koinzidenz-Logikschaltung 19 braucht nicht in einer besonderen Ausführung zu sein, sondern kann irgendeine geeignete vorbekannte Bauart sein. Bei der dargestellten Ausführung^ form ist die Koinzidenz-Logikschaltung 19 so eingerichtet, daß sie eine Reaktor-Notabschaltung bei dem gleichzeitigen Empfang von Reaktor-Kotabschalt-Entscheidungssignalen von jeweils zwei der vier Computer 11A - D einleitet. Die Schaltung 19 kann jedoch so eingerichtet werden, daß sie eine

2098 2 6/0586

Hotabschaltung auf anderen Grundlagen einleitet, z.B. ITotabschalt-Entscheidungssignale von drei der vier Computer; wenn weniger oder mehr Computer vorgesehen sind, dann kann es wünschenswert sein, eine iieaktornotabschaltung auf der Grundlage einer anderen Mindestanzahl Notabs chalt-Ents ehe idungs ausgangs signale einzuleiten.

Unter Bezugnahme auf die in der Zeichnung dargestellte Ausführungsform sollten unter normalen Betriebsverhältnissen die Notabschalt-Entseheidungssignale von allen vier Computern 11A - D die gleichen sein. Nur wenn ein Fehler bei der Verarbeitung der 0, P, '#, U, V Daten eintritt, wirkt die Koinzidenz-Logikschaltung 19, um für den Überwachungszustand die Folge eines solchen Fehlers zu vermeiden.

JiIs ist auch darauf hinzuweisen, daß der Einsatz der Digital-Computer die Selbstüberwachung der Signalgeber durch das System erlaubt. In einem- Fall kann dies dadurch geschehen, daß man einen Computer programmiert, um ein gewähltes Signal auf einen Signalgeber, z.B. Drucksignalgeber, zu geben und um dann den Wert des empfangenen Sig- | nals mit dem aufgegebenen Signal zu vergleichen. In einem anderen Fall kann dies dadurch geschehen, daß man die innere Folgerichtigkeit des Systems überwacht, d.h. z.B., daß man den Computer so programmiert, daß er die Mengenmessung mit dem Laufzustand der Pumpe vergleicht. Das System kann auch dadurch selbstüberwachend gestaltet werden, daß man eine Einrichtung vorsieht, um einen offensichtlichen Betriebszustand·in der Zone unmittelbar bei den Signalgebern zu schaffen, und daß man die Computer dann so programmiert, daß sie diese Einrichtung von Zeit zu Zeit während des Reak-

2 0 9~8 2 6 /~0 5 8 6

torbetriebs betätigen. Bei einem Temperatureignalgeber kann dies dadurch geschehen, daß man ein Heizelement Tor-

sieht. Jeder Computer kann dann so programmiert werden, daß er die bei dem hergestellten offensichtlichen Zustand empfangenen Daten mit gespeicherten Daten vergleicht, um dadurch festzustellen, ob der Signalgeber einwandfreie Eingangsdaten liefert.

Das System kann auch mit einem Selbsteichungsmerkmal ausgestattet werden. Der Zweck des Neutronenflußgebers ist es, eine Anzeige über die Reaktorleistung zu erbringen; jedoch stehen der Fluß und die Leistung nicht in einer direkten Beziehung, da die Flußanzeige durch eine Änderung bei einer anderen Betriebsgröße, z.B. Temperatur, beeinflußt werden kann. Es hat sich deshalb als wünschenswert erwiesen, die Computer so zu programmieren, daß sie unter Benutzung der Information über Kühlmittelmenge, Temperatur und Druck periodisch die Reaktorleistung errechnen und dann den Flußsignalgeber so eichen, daß er eine im wesentlichen direkte Anzeige der Reaktorleistung liefert.

Aufgrund der obigen Ausführungen ist zu erkennen, daß die Erfindung eine Schutzvorrichtung für Verfahrenseinrichtungen vorschlägt, die vorteilhaft bei Atomreaktoren oder dergleichen eingesetzt werden kann, um die Vorrichtung für die Einleitung der Notabschaltung zu bilden. Bei dieser Anwendung erlaubt sie es, den Reaktor sicher bei Bedingungen zu betreiben, die sehr nahe bei den Auslegungsgrenzen liegen, ohne daß ungerechtfertigte Notabschaltungen eingeleitet werden. Weiterhin kann sie so eingerichtet werden, daß sie ein selbsteichendes und selbstüberwachendes System bildet.

2 0 98 2 6 /b 5 8 6

Claims

PATENTANSPRÜCHE

Schutzvorrichtung für technische Verfahrenseinrichtungen, die aus einer Anzahl von Digitalcomputern "bestehen, die von einem Eingangssystem Dateneingänge erhalten, die Werte von überwachten Betriebsgrößen darstellen, wobei jeder Computer so programmiert ist, daß er eine Anzeige des Wertes eines ausgewählten mathematischen Ausdrucks bewirkt, der dadurch gekennzeichnet ist, daß er von einer Anzahl von über- * wachten Betriebsgrößen abhängt und ein Abschalt-Ausgangssignal bildet, wenn ein unsicherer Betriebszustand entsteht und eine Koinzidenz-Logikschaltung, die an den Computer gekoppelt ist, um von diesem die gebildeten Abschalt-Entscheidungssignale zu erhalten und ein Abschalt-Einleitungssignal bei Eingang von Abschalt-Entscheidungssignalen von einer bestimmten Mindestanzahl von Computern zu bilden.
2. Schutzvorrichtung nach Anspruch 1 für einen Atomreaktor, die aus einer Anzahl von Digitalcomputern besteht, die | aus einer Anzahl von Digitalcomputern besteht, die von einem Eingangssystem Dateneingänge erhalten, die jeweilige Werte von mehreren überwachten Reaktor-Betriebsdaten darstellen, wobei jeder Computer so programmiert ist, daß er eine Anzeige des Wertes eines ausgewählten mathematischen Ausdrucks bewirkt, der dadurch gekennzeichnet ist, daß er von einer Anzahl von überwachten Betriebsgrößen abhängt und wenigstens teilweise einen Anhalt darüber gibt, ob der Reaktor in

_ 12 _
209826/0586

einem sicheren oder unsicheren Zustand arbeitet, und daß er ein Reaktor-Kotabschalt-Entscheidungsausgangssignal bildet, wenn der Viert des Ausdrucks einen unsicheren Betriebszustand anzeigt; weiterhin eine Koinzidenz-jjogikschaltung, die an die Computer gekoppelt ist, um von denselben die gebildeten ßeaktornotabschalt-Entscheidungssignale zu erhalten und ein Reaktornotabschaiteinleitungssignal bei Lrhalt von Ko t-■ abschaltentscheidungssignalen von einer bestimmten Mindestanzahl Computer zu bilden.
3. Schutzvorrichtung nach Anspruch 2, dadurch gekennzeichnet, daß die Computer alle so programmiert sind, daß sie eine Anzeige des Werts des gleichen mathematischen Ausdrucks bewirken.
4. Schutzvorrichtung nach Anspruch 3, dadurch gekennzeichnet , daß die Computer so angeordnet sind, daß sie die gleichen Eingangssätze vom Eingangssystem erhalten.

a
5. Verfahren zur Abschaltung von Verfahrenseinrichtungen, die folgenden Schritte umfassend : Übertragung von Eingängen, die jeweilige Werte von mehreren Betriebsgrößen der überwachten Einrichtung darstellen auf eine Vielzahl von Digitalcomputern, von denen jeder so programmiert ist, daß er eine Anzeige des Werts eines gewählten mathematischen Ausdrucks bewirkt, welcher dadurch . gekennzeichnet ist, daß er von einer Vielzahl der überwachten Größen abhängt und wenigstens teilweise einen Anhalt dafür bietet, ob die Einrichtung

- 13 -

209826/0586

BAD ORfGiNAL

in einem sicheren oder unsicheren Zustand arbeitet, und daß er ein Ab s chal t erits ehe i dungs -Aus gangs signal bildet, wenn der Wert des Ausdrucks einen Anhalt über einen unsicheren Betriebszustand bietet; Bewirkung einer Anzeige des Werts des Ausdrucks; Übertragung eines Abschaltentscheidungsausgangssignals, wenn die Anzeige einen Anhalt für einen unsicheren Betriebszustand bietet auf eine Koinzidenz-Logikschaltung, die in der Lage ist, ein Abschalteinleitungssignal bei Erhalt von Abschaltentscheidungssignalen von einer bestimmten Mindestanzahl Computer zu bilden und Bildung eines Abschalteinleitungssignals als lieaktion auf den Erhalt der Abschaltentscheidungssi gnale.

BAD ORIGINAL

L e e r se i t e