DE2156541A1

DE2156541A1 - PROCEDURE FOR QUICK SHUTDOWN OF PLANTS WITH PROCESS COMPUTERS

Info

Publication number: DE2156541A1
Application number: DE19712156541
Authority: DE
Inventors: Dieter Dipl Ing Schneeloch
Original assignee: Interatom Internationale Atomreaktorbau GmbH
Current assignee: Interatom Internationale Atomreaktorbau GmbH
Priority date: 1971-11-13
Filing date: 1971-11-13
Publication date: 1973-05-17

Description

Verfahren zur Schnellabschaltung von Anlagen mit Prozeßrechnern Die vorliegende Erfindung betrifft ein Verfahren zum automatischen Schnellabschalten von Anlagen mit Prozeßrechnern die ein redundantes Sicherheitssystem bilden, bei dem die zu überwachenden Meßgrößen zyklisch abgefragt und seriell über Multiplexer auf frei programmierbare Monitorrechner gegeben werden, in denen die Meßgrößen mit von dem momentanen Zustand der Anlage abhängigen Grenzwerten verglichen werden. Dieses Verfahren wird vorgeschlagen beispielsweise für schnelle Kernreaktoren, in denen eine Vielzahl von Meßwerten, wie z.B. die Kühlmittelaustrittstemperaturen oder die Kühlmitteldurchflußmengen an den einzelnen Brennelementen überwacht werden sollen. Procedure for the rapid shutdown of systems with process computers The present invention relates to a method for automatic quick shutdown of systems with process computers that form a redundant safety system which the measured variables to be monitored are queried cyclically and serially via multiplexers be given to freely programmable monitor computers in which the measured variables with limit values dependent on the current state of the system are compared. This method is proposed, for example, for fast nuclear reactors, in which a large number of measured values, such as the coolant outlet temperatures or the coolant flow rates at the individual fuel assemblies can be monitored should.

In dem ENEA-Symposium: "Application of ON-LINE Computersto Nuclear Reactors" vom September 1968 in Sandefjord, wird die Verwendung von Prozeßrechnern an Kernreaktoren ausführlich besprochen. Neben der Optimierung von ieistungsreaktoren haben Prozeßrechner an Kernreaktoren die Aufgabe, die zahlreichen Meßwerte zu analysieren, zu speichern, dem Operateur zu melden und übersichtlich darzustellen.In the ENEA symposium: "Application of ON-LINE Computersto Nuclear Reactors "of September 1968 in Sandefjord, will use process computers discussed in detail at nuclear reactors. In addition to the optimization of power reactors process computers on nuclear reactors have the task of analyzing the numerous measured values, to be saved, reported to the surgeon and presented clearly.

Aufgabe der vorliegenden Erfindung ist ein Verfahren zum automatischen Schnellabschalten von Anlagen mit Prozeßrechnern, die ein redundantes Sicherheitssystem bilden, Zur Lösung dieser Aufgabe wird erfindungsgemäß vorgeschlagen, daß die Monitorrechner über Koppeleinheiten mit Prüfrechnern verbunden sind und bei Überschreitung des zulässigen Grenzwertes einer Meßgröße deren Adresse an alle Prüfrechner gemeldet wird und bei Übereinstimmung der wegen Grenzwertüberschreitung gemeldeten Adresse mit einer innerhalb eines Ab frage zyklus aus dem gleichen Grund bereits im jeweiligen Prüfrechner gespeicherten Adresse ein Abschaltsignal an das Abschaltsystem gegeben wird und wenn mehrere Abschaltsignale aus verschiedenen Prüfrechnern das Abschaltsystem erreichen, dieses die gefährdete Anlage abschaltet. Nach dem vorgeschlagenen Verfahren werden die zu überwachenden Meßgrößen zyklisch abgefragt und unsynchron seriell aber mehrere 1Iultiplexer auf gleich viele Monitorrechner gegeben und dort mit von dem momentanen Zustand der Anlage abhängigen Grenzwerten verglichen.The object of the present invention is a method for automatic Rapid shutdown of plants with process computers that have a redundant safety system To solve this problem, the invention proposes that the monitor computer are connected to test computers via coupling units and if the permissible limit value of a measured variable whose address is reported to all test computers and if the address reported because the limit value is exceeded match with one within a query cycle for the same reason already in the respective Test computer stored address given a shutdown signal to the shutdown system and if several shutdown signals from different test computers the shutdown system reach, this switches off the endangered system. According to the proposed procedure the measured variables to be monitored are queried cyclically and unsynchronously serially but given several multiplexers to the same number of monitor computers and from there with the current state of the system-dependent limit values are compared.

Die unsynchrone zyklische Abfrage und die voneinander unabhängige Verarbeitung der Meßdaten verhindert, daß ein zufälliges Störsignal sich gleichzeitig auf mehrere Monitorrechner auswirkt. Die Meldung der Adresse einer Grenzwertüberschreitung von einem zu den anderen Prüfrechnern kann völlig potenti#-alfrei, beispielsweise über Reedrelais erfolgen, so daß eine Rückwirkung von Fehlern ausgeschlossen ist.The unsynchronous cyclical query and the independent one Processing of the measurement data prevents a random interference signal from occurring at the same time affects several monitor computers. The message of the address of a limit violation from one to the other test computers can be completely potential-free, for example take place via reed relays, so that a retroactive effect of errors is excluded.

In weiterer Ausgestaltung des erfindungsgema#ßen Verfahrens wird vorgeschlagen, daß einmal pro Abfragezyklus jeder Meßwert digitalisiert und mit seiner Adresse an die Prüfrechner gegeben wird und die unsynchron ankommenden Meßwerte einer Adresse in allen Prüfrechnern miteinander verglichen werden und wenn die Differenz zweier Meßwerte von gleicher Adresse einen zulässigen Betrag überschreitet, ein Signal an den Operateur gegeben wird.In a further embodiment of the method according to the invention, it is proposed that that once per interrogation cycle each measured value is digitized and with its address is given to the test computer and the unsynchronously arriving measured values of an address compared with each other in all test computers and if the The difference between two measured values from the same address exceeds a permissible amount, a signal is given to the surgeon.

Nach diesem Vorschlag ist eine ständige Kontrolle sowohl der Meßstellen als auch der Meßwertverarbeitung und der Rechner möglich. Auch in diesem Fall ist es von Vorteil, daß die Abfragezyklen nicht synchron ablaufen.According to this proposal is a constant control of both the measuring points as well as measured value processing and the computer are possible. Also in this case it is it is advantageous that the interrogation cycles do not run synchronously.

In der Zeichnung wird die grundsätzliche Wirkungsweise des erfindungsgemäßen Verfahrens anhand einer schematischen 2von3-Schaltung beschrieben. Die Meßgrößen a bis n werden jeweils über 3 getrennte Leitungen an die drei Analogeingaben ANA l bis 3 gegeben. Eine solche schnelle Analogeingabe enthält einen Multiplexer, einen Verstärker und einen Analog-Digital-Wandler. Von diesen drei Analogeingaben werden die Meßwerte in digitaler Form auf die drei Monitorrechner MON 1 bis 3 gegeben. Diese Monitorrechner enthalten als Zentraleinheit je einen Speicher, ein Rechenwerk sowie Register und erhalten auf einem nicht näher beschriebenen Weg ständig Angaben über den momentanen Zustand der Anlage, beispielsweise die momentane Leistung des Kernreaktors, und vergleichen die Meßgrößen a bis n mit auf Grund der zusätzlichen Angaben veränderlichen Grenzwerten. Diese Monitorrechner sind frei programmierbar und gestatten daher, Betriebs erfahrungen mit geringem Aufwand durch Änderung des Programmes zu berücksichtigen. Von den Monitorrechnern werden die Adressen derjenigen Meßgrößen, die ihren Grenzwert unzulässig überschreiten, über Koppeleinheiten KOP l bis 3 an die Prüfrechner PRÜF 1 bis 3 gemeldet. Von den Prüfrechnern wird ein Signal über Anpassungs- (Interface-)einheiten IFA 1 bis 3 an das Abschaltsystem 4 gegeben, das die gefährdete Anlage abschaltet, wenn (in diesem Fall) 2 der drei Prüfrechner ein Signal geben. Am Austritt der drei Koppeleinheiten KOP 1 bis 3 werden die Adressen der Meßgrössen, in denen eine Grenzwertüberschreitung festgestellt wurde, potentialfrei zu den beiden anderen Prüfrechnern gemeldet. Der eine Grenzwertüberscbreitung feststellende Monitorrechner soll nicht allein das Abschaltsystem in Gang setzen. Der Monitorrechner gibt die wegen Grenzwertüberschreitung gemeldete Adresse unmittelbar als Minuent in den Akkumulator des ihm zugeordneten Prüfrechners. Danach untersucht der Prüfrechner seinen Speicher auf ihm gemeldete Adressen aus den beiden anderen Monitorrechnern.In the drawing, the basic mode of operation of the invention Method described on the basis of a schematic 2-out-of-3 circuit. The measurands a to n are each connected to the three analog inputs ANA 1 to 3 given. One such fast analog input includes a multiplexer, a Amplifier and an analog-to-digital converter. Of these three are analog inputs the measured values are sent in digital form to the three monitor computers MON 1 to 3. As a central unit, these monitor computers each contain a memory, an arithmetic unit as well as registers and constantly receive information in a way that is not described in detail about the current state of the system, for example the current power of the Nuclear reactor, and compare the measured variables a to n with on the basis of the additional Information on variable limit values. These monitor computers are freely programmable and therefore allow operating experience to be acquired with little effort by changing the Program to be taken into account. The addresses of those are obtained from the monitor computers Measured variables that exceed their limit value impermissibly via coupling units KOP 1 to 3 reported to the test computers PRÜF 1 to 3. A Signal via adapter (interface) units IFA 1 to 3 to the shutdown system 4 given, which switches off the endangered system if (in this case) 2 of the three Test computer give a signal. At the exit of the three coupling units LAD 1 to 3 are the addresses of the measured variables in which a limit value is exceeded was detected, reported potential-free to the other two test computers. Of the A monitor computer that detects a limit value violation should not only do that Activate the shutdown system. The monitor computer reports that the limit value has been exceeded reported address immediately as a minute in the accumulator of the assigned to it Test computer. Then the test computer examines its memory for it reported Addresses from the other two monitor computers.

Die im Speicher stehenden Adressen werden in den Akkumulator transferiert und dort als Subtrahent mit dem bereits zu prüfenden ilinuent verglichen. Ist die Differenz null, wird vom Prüfrechner ein Abschaltsignal an das Abschaltsystem gegeben. Sind die Differenzen mehrfach 1, d.h. die zu prüfende Adresse und die Fremdadresse sind ungleich, so gibt der Prüfrechner einen Hinweis an den Operateur.The addresses in the memory are transferred to the accumulator and compared there as a subtrahentic with the ilinuent that is already to be tested. Is the If the difference is zero, the test computer sends a shutdown signal to the shutdown system. If the differences are multiple 1, i.e. the address to be checked and the external address are unequal, the test computer sends a message to the surgeon.

Jeder Prüfvorgang von der Eingabe der wegen Grenzwertüberschreitung gemeldeten Adresse bis zur Abgabe des Abschaltsignals an das Abschaltsystem soll nicht länger dauern als die Verarbeitungszeit im Monitorrechner. Nur dann verläuft der Prüfvorgang zu der eigentlichen Verarbeitung im Monitorrechner zeitparallel. Der Speicher im Prüfrechner ist ein zyklischer Speicher, der die von den beiden anderen Prüfrechnern ihm gemeldeten Adressen einen Abfragezyklus lang speichert und dann bei den ältesten Adressen beginnend diese Adressen überschreibt bzw. löscht.Each test process from the input of the limit value exceeded reported address until the shutdown signal is sent to the shutdown system not take longer than the processing time in the monitor computer. Only then does it run the test process parallel to the actual processing in the monitor computer. The memory in the test computer is a cyclic memory that is used by the two other test computers stores the addresses reported to it for a query cycle and then starting with the oldest addresses overwrites or deletes these addresses.

Der besondere Vorteil des vorgeschlagenen Verfahrens ltegt in der völlig vom Monitorrechner losgelösten Arbeitsweise des Prüfreohners, die zeitversetzt und unsynchronisiert zur Monitorbearbeitung erfolgen kann.The particular advantage of the proposed method lies in the The working method of the test cleaner completely detached from the monitor computer, which is time-shifted and can be done unsynchronized for monitor processing.

Claims

1. Procedure for the automatic rapid shutdown of systems with process computers which form a redundant safety system in which the measured variables to be monitored cyclically queried and serially via multiplexer on freely programmable monitor computers are given, in which the measured variables with the current state of the system dependent limit values are compared, characterized in that the monitor computer are connected to test computers via coupling units and if the permissible limit value of a measured variable whose address is reported to all test computers and in the event of a match, the address reported because the limit value has been exceeded with one within a query cycle for the gletchen reason already in the respective Test computer stored address given a shutdown signal to the switching system and if several shutdown signals from different test computers the shutdown system reach, this switches off the endangered system.

2. The method according to claim 1, characterized in that each measured value once per query cycle dit, is ritalized and with its address to the test computer is given and the unsynchronously arriving calorific values of an address in all test computers can be compared with each other and if the difference between two measured values is the same Address exceeded an allowable amount, a signal is given to the surgeon wi # 'd.

L e r s e i t e