DE2316432A1

DE2316432A1 - Kernreaktor-schutz- und sicherheitssystem

Info

Publication number: DE2316432A1
Application number: DE2316432A
Authority: DE
Inventors: James A Neuner
Original assignee: Westinghouse Electric Corp
Current assignee: CBS Corp
Priority date: 1972-04-04
Filing date: 1973-04-02
Publication date: 1973-10-11
Also published as: CH567780A5; FR2181864B1; GB1428242A; JPS4935789A; FR2181864A1; SE383663B; IT983650B; ES413318A1; BE797737A; CA1002211A; US3888772A; JPS5342875B2

Description

DIPL.-IN«. KLAUS NEUBECKER

Patentanwalt
4 Düsseldorf 1 · Schadowplatz 9

•Düsseldorf, 30. März 1973

43,135
7340

Westinghouse Electric Corporation
Pittsburgh, Pa., V. St. A.

Kernreaktor-Schutz- und Sicherheitssystem

Die vorliegende Erfindung bezieht sich allgemein auf ein Kernreaktor-Schutz- und Sicherheitssystem, insbesondere auf ein System dieser Art, bei dem durch die Verwendung photoelektrischer Bauelemente eine räumliche und elektrische Isolierung aufrechterhalten wird.

Der derzeitige Betrieb von Kernkraftanlagen erfordert redundante Schutz- und Sicherheitssysteme, um Personen und Anlagen für den an sich unwahrscheinlichen Fall zu schützen, daß es zu einem schädlichen bzw. gefährlichen Reaktor-Betriebszustand oder einem Kernreaktor-Unfall kommt. Bisher werden zwischen den Kern-Fühlern, die zur Erfassung eines solchen Zustandes eingesetzt werden, und den Betätigungsmechanisiaen wie Sperrstäben, Behälter-Sprühanlagen, Sicherheits-Einspritzsystemen, Not-Dieselaggregaten etc., die ein-'gesetzt werden, um einen solchen Zustand unter Kontrolle zu halten, elektromechanische Schutz- und Sicherheitssysteme vorgesehen.

309841/0486

Elektromechanische Schutz- und Sicherheitssysteme arbeiten mit zwei identischen Logik-Ketten _r die jeweils etwa 200 Signale von vier bistabilen Kanälen erhalten. Jede der beiden Logik-Ketten ist in der Lage, die notwendigen Äuslösevorgänge einzuleiten, um Personal und Geräte zu schützen. Jede Logik-Kette und jeder bistabile Kanal ist elektrisch und räumlich von allen anderen getrennt und wird periodisch überprüft, so daß kein einzelner Fehler, wie das gesetzlich definiert ist, eine notwendige Betätigung der Sicherheits-überwachungssysteme verhindern kann.

Bei einer derartigen Lösung steuert jedes Eingangssignal mindestens ein BF-Relais. Die Logik wird durch die Verwertung verschiedener Einstellungen elektromechaniseher Kontakte verwirklicht. Um die notwendige Isolierung aufrechtzuerhalten, müssen gesonderte Kontakte für Überwachungszwecke (Computer, Status-Lichtanzeigen und/oder sonstige Anzeigevorrichtungen) verwendet werden, und für jeden Endpunkt jedes einzelnen Signals ist eine gesonderte Verdrahtung erforderlich. Zur Überprüfung des Systems sind je Eingangssignal und je Kette mindestens ein weiteres, gelegentlich zwei weitere Relais erforderlich.

Um sicherzustellen, daß leine Einzelstörung die notwendigen Auslösevorgänge über die beiden Logik-Ketten verhindern kann, müssen die beiden Lögik-Ketten sowohl elektrisch als auch räumlich vollständig voneinander getrennt sein. Jedoch muß an bestimmten Stellen im System an Informationsaustausch oder eine Informationsübertragung zwischen den beiden Ketten fortgeführt werden, ohne

309841/0486

die Isolierung zu beeinträchtigen. Bei früheren Systemen wurde die erforderliche Isolierung entweder mit Hilfe von Relais oder auch mittels Transformatoren erhalten. Dabei arbeiteten solche Systeme

Kontakt-/

entweder mit einer Spulen-/Kontaktzuordnung und einer/Kontaktzuordnung oder Transformatoren, um die erforderliche Isolation zu gewährleisten.

Solche Systeme weisen durchweg die Nachteile auf, wie sie in der Natur elektromechanischer Systeme begründet sind, wie, große räumliche Abmessungen, großer Gesamtleistungsbedarf, geringe Zuverlässigkeit, Anfälligkeit gegenüber seismischen Schwingungen, hohe Wartungskosten, langsames Ansprechen und beträchtlicher Verdrahtungsaufwand. Hinzu kommt, daß die durch den Einsatz von Transformatoren erzielte Isolation, die ja auf der Trennung der Primär- und der Sekundärwicklung voneinander beruht, zwar Gleichstrom gegenüber ausreichend ist, im Hinblick auf Wechselstrom jedoch nicht vollkommen ist. Daher kann ein Signal ausreichender Amplitude und Dauer sowohl in der einen als auch in der anderen Richtung passieren, so daß es möglicherweise zu einem katastrophalen Fehlverhalten beider Logik-Ketten kommen kann. Ein Transformator ist nicht in der Lage, ein Gleichstromsignal durchzulassen. Der sich daraus ergebende Schaltungsaufbau, der erforderlich ist, um Gleichspannungssignale in Wechselspannungssignale umzuwandeln und dann erneut in Gleichspannungssignale zurückzuwandeln» um so für den notwendigen Informationsaustausch zwischen Logik-Ketten zu sorgen, führt zu einer Erhöhung der Komplexität solcher

309841/0488

Systeme, was sich in einer verringerten Zulässigkeit und erhöhten Kosten niederschlägt.

Aufgabe vorliegender Erfindung ist die Schaffung eines neuen und verbesserten Kernreaktor-Schutz- und Sicherheitslogiksystems, das für einen" Informationsaustausch zwischen redundanten Logikketten derart zu sorgen vermag, daß eine vollständige elektrische und körperliche Trennung dieser Ketten aufrechterhalten wird, während andererseits ein hohes Maß an Zuverlässigkeit für die gewählten Komponenten gewährleistet wird, die mit einem Multiplex-Subsystem kompasrtibel sind, um so die Anzahl der Isoliereinheiten und den Umfang der Verdrahtung zu verringern«

Die Lösung dieser Aufgabe erfolgt bei einem Kernreaktor-Schutz- und Sicherheitssystem mit einer Mehrzahl Fühler zur überwachung der den einzelnen Reaktorbetriebswerten zugeordneten Reaktor- und -Umgebungsparameter, wobei die Fühler jeweils ein für die überwachten Parameter repräsentatives Ausgangssignal liefern, das längs zweier im wesentlichen gleicher isolierter Ketten logischer Elemente zu einer logischen Funktionsanordnung gelangt, die die Fühlersignale, auswertet und nach dem Auftreten einer vorgegebenen Kombination davon entsprechende Kontroll- und Schutzmechanismen aktiviert, die dem Reaktor so zugeordnet sind, daß sie ihn überwachen und gegen das Auftreten eines schädlichen Reaktor-Betriebszustandes schützen, erfindungsgemäß dadurch, daß das System Licht-Informationsübertragungseinrichtungen aufweist, die zwischen die Ketten logischer Elemente und die Kontroll- und Schutz-

309 841/0486'

mechanismen geschaltet sind, um so einerseits- eine elektrische Isolierung zwischen den entsprechenden Ketten logischer Elemente aufrechtzuerhalten, andererseits eine Informationsübertragung der von den einzelnen Ketten geführten logischen Information zwischen den jeweiligen Ketten logischer Elemente zu ermöglichen.

Nach einem weiteren vorteilhaften Merkmal der Erfindung kann die Licht-Informationsübertragungseinrichtung folgende Komponentenaufweisen: ein normalerweise gesperrtes, lichtemittierendes Element, das so angeschlossen ist, daß es auf ein Eingangssignal von der Kette logischer Elemente anspricht, indem es ein Licht-Ausgangssignal abgibt; ein normalerweise im wesentlichen nicht leitendes Element, das mit den Kontroll-und Schutzmechanismen so verbunden ist, daß es auf von dem lichtemittierenden Element emittiertes Licht anspricht, indem es einen wesentlichen Stromanstieg liefert; sowie ein Licht-Information übertragendes Dielektrikum, das zwischen dem lichtemittierenden Element und dem nicht leitenden Element angeordnet ist, so daß dazwischen eine elektrische Isolierung aufgebaut, jedoch ein Lichtübertragungsweg von dem lichtemittierenden Element zu dem nichtleitenden Element gebildet wird.

Die Erfindung wird nachstehend anhand von Ausführungsbeispielen in Verbindung mit der zugehörigen Zeichnung erläutert. In der Zeichnung zeigen:

Fig. 1 ein System-Blockschaltbild, das den allgemeinen Aufbau

309841/0488

der das Schutz- und Sicherheitssystem nach der Erfindung bildenden Elemente wiedergibt? · *

Fig. 2 schematisch ein Schaltbild einer Ausfuhrungsform mit einer Mehrzahl photoelektrischer Isolierstufen, wie sie in dem System der Pig. I Verwendung finden können;

Fig. 3 ein Blockschaltbild eines Ausführungsbexspiels, das den speziellen Aufbau der Klemmenanschlüsse veranschaulicht, von dem bei Verwendung der Mehrzahl Isolierstufen der Fig. 2 Gebrauch gemacht werden kann; und

Fig. 4 ein Blockschaltbild einer zweiten Ausfüarungsform, die die typischen Anschlüsse veranschaulicht, die bei Verwendung der Isolierschaltung nach Fig. 2 Verwendung finden können.

Es besteht für alle Kernkraftanlagen in irgendeiner Form eine Schutz- und Sicherheitssystem. Die Aufgabe dieses Systems besteht darin, spezielle Punkte innerhalb der Anlage zu überwachen und unter bestimmten vorgegebenen Bedingungen die Auslösevorgänge einzuleiten, die zum Schutz von Personal und Ausrüstung erforderlich sind. Da dieses System den sicheren Arbeitszustand von Kernkraftanlagen unter fehlerhaften Bedingungen gewährleistet, muß es so ausgelegt sein, daß es den durch Gesetz festgelegten Einzelstörungs-Kriterien genügt. Dementsprechend sind zwei identische Logik-Ketten vorgesehen, die identische Signale erhalten und gesonderte Auslöseeinrichtunger^steuern. Jede Kette wird periodisch

309 8 4 1/0A88

V316432

überprüft, um sicherzustellen, daß keine Einzelstörung die notwendigen Auslösevorgänge über die beiden Logik-Ketten verhindern kann. Zusätzlich sind die beiden Logik-Ketten sowohl elektrisch als auch körperlich vollständig voneinander getrennt, um zu gewährleisten, daß für den Fall einer Einzelstörung für eine der beiden Ketten die andere Kette die notwendigen Auls losesignale liefert. Um dies zu erreichen, sorgt die Erfindung für einen Informationsaustausch zwischen den redundanten Schutz- und Sicherheitslogikketten mit Hilfe von Licht. Auf diese Weise wird eine vollständige elektrische und räumliche Trennung „der redundanten Ketten im Rahmen der gesetzlichen Bestimmungen gewährleistet.

Mit Fig. 1 ist als repräsentatives Beispiel ein Blockschaltbild einer allgemeinen Anordnung von Halbleiter-Schutz- und Sicherheitssystem-Komponenten wiedergegeben, wie sie in den Rahmen der vorliegenden Erfindung fallen. Dabei ist das Halbleiter-Reaktor-Schutz- und Sicherheits-Logiksystem nach der Erfindung im einzelnen aus zwei identischen, isolierten und redundanten Logikketten 10 aufgebaut. Eine vollständige räumliche und elektrische Trennung der beiden Einzelketten 12 und 14 erfolgt mit Hilfe einer Spulen- /Kontakttrennung, wie sie die Wechselspannungsrelais 16 und ergeben, Isolierstufen 20 und 22, die durch Photodioden koppeln, sowie räumliche Trennung der Verdrahtung, wie das allgemein veranschaulicht ist.

Von Fühlern 24 ausgehende Signale sind in sich redundant, da

309841/0486

gesonderte Fühler verwendet werden, um dieselben oder in Beziehung zueinander stehende Parameter zu überwachen. Die von den Prozeß -Fühlern 24 gelieferten Analog-Signale werden durch vier Kanäle mit bistabilen Stufen 26 in" digitale Signale umgewandelt. Um eine Trennung der redundanten Signale aufrechtzuerhalten, steuert ein Signalausgang 28 von jeder bistabilen Stufe 26 zwei kleine Wechselspannungs-Relaisspulen, von denen sich eine jeweils innerhalb der jeweiligen Wechselspannungsrelais 16 und 18 befindet, entsprechend den beiden gesonderten Einzelketten 12 bzw. 14. Die Spulen-/Kontakttrennung dieser Wechselspannungsrelais gewährleistet eine Trennung jedes bistabilen Kanals und jeder Logikkette von allen anderen. Die Wechselspahnungsrelais sind entsprechend ihrer Zuordnung zu den bistabilen Kanälen innerhalb der gesonderten Wechselspannungsrelais 16 und 18 gruppiert» Dadurch kann eine Trennung der bistabilen Stufen gegenüber Relaiswicklungsdrähten gewährleistet werden. An den Einzelkontakten oder Halbleiter^-komponenten entstehende Signale müssen die einzelnen Logikketten über kleine Wechselspannungs- oder Gleichspannungs-Relais 30 erreichen, als wenn sie einem bistabilen Kanal zugeordnet wären, um eine vollständige Trennung aufrechtzuerhalten. Bereits an zwei isolierten Ausgängen (beispielsweise getrennten Kontakten) auftretende Signale können als bereits isoliert betrachtet und den einzelnen Logikketten unmittelbar zugeführt werden, wie das mit dem Block "Isolierte Kontakteingänge" veranschaulicht ist.

Jede Logikkette erhält genau die—-selbe Information, Nach der richtigen Kombination von Eingängen und Ereignisfolgen kann jede

309841/048Θ

Logikkette die zugehörigen Geräte betätigen, um für den notwendigen Korrekturvorgang zu sorgen.

Innerhalb jeder Kette ist eine halbautomatische Prüfeinrichtung vorgesehen, um die entsprechenden Ketten sorgfältiger als das bisher möglich war periodisch zu überprüfen. Eine ins einzelne gehende Beschreibung dieser halbautomatischen Prüfeinrichtung, die dem Block 32 der Fig. 1 entspricht, findet sich in der parallelen Patentanmeldung vom gleichen Tage mit dem Titel "Prüfanordnung zur überprüfung der Arbeitsweise einer Logikschaltung". Ein einzelner universeller programmierbarer Logikkreis, wie er in der ebenfalls gleichzeitig eingereichten parallelen Patentanmeldung mit dem Titel "Programmierbarer Universal-Logikmodul"

beschrieben wird, kann eingesetzt werden, um alle Schalt-Logik durchzuführen, wobei die halbautomatische Prüfung die Systemwartung verbessert und die Zuverlässigkeit erhöht, indem Prüf- und Reparaturzeit verringert werden.

Um den Verdrahtungsaufwand zu verringern, wird der Hauptteil der zu dem Reaktorkontrollraum und dem Computer gesandten Information zunächst durch ein redundantes, synchronisiertes Multiplex-System mittels einer Codierstufe 34 codiert. Solche Codierstufen sind in der einschlägigen Technik allgemein bekannt. Die so codierte Information wird dann über die Isolier-Einheiten 22 der vorliegenden Erfindung zu einer Decodierstufe 36 geleitet. Die normalerweise in dem Reaktorkontrollraum angeordneten Decodierstufen 36 speichern

309841/0486

- ίο - 2316A32

die Information und geben si© in Gleichstromform an die geeigneten Ausgangsanordnungen einschließlich Spezial-Computereingängen, Zustands-Lichtanzeigen sowie sonstigen Anzeigevorrichtungen weiter. Die gesamte Information wird typischerweise etwa alle 4 ms auf den neuesten Stand gebracht»

Insgesamt 8 Isolierkarten, die die Isolierstufen enthalten und schematisch mit Fig. 2 veranschaulicht sind, sind normalerweise für eine Standard-4-Schleifen-Reaktoranlage .- 4 je Redundanz-Kette - erforderlich. Ihre Aufgabe besteht darin, eine vollkommene Trennung aufrechtzuerhalten, wie sie zwischen redundanten Logikketten erforderlich ist, wenn ein Informationsaustausch zwischen diesen Ketten stattfinden muß, ferner darin, die Multiplex-Signale für die übertragung über lange Mehrleiterkabel zu den einzelnen Decodierstufen 36 zu konditionieren.

Die von den einzelnen acht identischen Isolierstufen, wie sie in dem Ausführungsbeispiel der Fig. 2 veranschaulicht sind, durchgeführte logische Funktion ist gleich derjenigen eines zwei Eingänge aufweisenden NAND-Gatters mit hohem Schwellwert, mit dem zusätzlichen Vorteil einer erhöhten Isolierung zwischen Eingang und Ausgang von bis zu 2.500 V und der Fähigkeit, ausgan.gsse.itig einen wesentlich höheren Strom als alle der normalen Logik-Gatter mit hohem Schwellwert verarbeiten zu können. Bei den beispielsweise veranschaulichten Schaltungen, wie sie deutlicher mit Fig. und 4 herausgestellt sind, gewährleistet eine logische Null an einem der mit I₁ bis Iq bezeichneten Eingänge eine logische Eins

309841/0486

an dem entsprechenden mit O₁ bis Og bezeichneten Ausgang. Ein Eingang jedes Schaltkreises dient für Multiplexsignale, Adressen und ein Taktsignal, während in Fig. 4 einige der zweiten Eingänge jeder Isolierstufe parallel zueinander liegen und für den Einsatz in Verbindung mit einer A + B-Testfunktion vorgesehen sind, um Anschlußstifte einzusparen. Die Adressensignale zeigen mittels dreier spezieller Kombinationen an, daß die digitalen Signale in diesem Augenblick übertragen werden. Das Taktsignal ist ein Impuls mit der halben Breite jeder Adressenperiode, der dabei innerhalb jeder Adresse zentriert ist. Der Taktimpuls wird verwendet, um den entsprechenden, durch die Adressenleitungen ausgewählten-Speicher so vorzubereiten, daß er die zu diesem Augenblick vorhandene Information speichert. Da das Taktsignal innerhalb der Adressendauer zentriert ist, sind alle Übergangszustände ausgeklungen, ehe die Speicherung beginnt. Die Verbindung des A + B-Signals mit den zweiten Eingängen gestattet jeder Kette nach dem Auftreten eines Befehls abwechselnd Information zunächst von der einen Kette und dann von der anderen Kette auszutasten, so daß die gesamte Prüfung jeder Kette möglich ist, ohne zu dieser Zeit die Fähigkeit der beiden Ketten zu behindern, die einwandfreie Betätigung der Schutz- und Sicherheitsmechanismen unabhängig zu steuern. Zusätzlich ist eine der Isolierstufen, die herausgestellt und mit dem Bezugszeichen 38 versehen ist, nicht nur gegenüber allen Eingängen, sondern auch gegenüber allen anderen sieben Isolierstufen isoliert.

Die mit Fig. 2 wiedergegebene Isolierstufe wird am besten anhand einer Erläuterung der Arbeitsweise der Isolierstufe 38 erklärt, wobei es sich versteht, daß diese Beschreibung der Arbeitsweise

309841/04 8 6

analog für jede der anderen sieben Isolierstufen ebenso gilt, sofern nicht ausdrücklich etwas anderes angegeben ist.

In dem Schaltbild der Fig. 2 sind beispielsweise Schaltwerte angegeben/ um die Arbeitsweise der vorliegenden Erfindung besser zu veranschaulichen, wobei es jedoch klar ist, daß es sich dabei um keine Beschränkung der Erfindung handeln kann. Elektrische Leitungen 40 und 42 führen ein Gleichspannungspotential von +30 V bzw. +15 V, das von einer +48 V Spannungsquelle abgeleitet wird, die über einen Eingang 44 auf die Schaltung einwirkt. Diese Spannungen speisen einen Operationsverstärker 50 und werden von einem Reihen-Regler 48 bzw. einer Zener-Referenzstufe 46 abgenommen.

Normalerweise treten - sofern überhaupt - in einer Kernreaktoranlage wenige Fehlersignale auf. Unter diesen Umständen nehmen die der Isolierkarte über die Eingänge I, bis Ig zugeführten Eingangssignale den Zustand einer logischen Null ein, so daß die Fotoisolationselemente und Ausgangstransistoren, die dem Isolierkreis 38 zugeordnet sind, sperren, der Leistungsverbrauch auf einem Minimum bleibt und eine längere Lebensdauer der Bauteile ermöglicht wird.

Nach dem Auftreten einer, logischen Eins an den entsprechenden Eingängen 52 und 54 einer bestimmten Isolierstufe geht der Ausgang des NAND-Gatters 56 unter 1,5 V in die Sättigung^ so daß die lichtemittierende Gallium-Arsenid-Diode 60 der als repräsentativ herausgegriffenen Fotoisolierstufe 58 in Durchlaßrichtung vorgespannt wird und Licht emittiert. In der als repräsentativ heraus-

309841 /CK8Ö

gestellten Fotoisolierstufe gelangt dieses Licht durch klares Epoxy, so daß für die vollständige elektrische Trennung gesorgt wird, wie sie zwischen Eingang und Ausgang erforderlich ist, und dieses ausgesandte Licht fällt auf einen Silizium-pn-Übergang 62, der in Sperrichtung vorgespannt ist. Aufgrund des einfallenden Lichts wird der Sperr-Leckstrom des in Sperrichtung vorgespannten Silizium-pn-übergangs 62 beträchtlich erhöht. In Verbindung mit dem vorliegenden Ausführungsbeispiel werden zwar Fotodioden beschrieben, jedoch versteht es sich, daß Fototransistoren und andere ähnliche elektrische Fotoschaltelemente Einsatz finden können, die die gleiche Funktion erfüllen.

Der erhöhte Leckstrom durch den pn-übergang 62 der zugehörigen lichtempfindlichen Diode wird mit Hilfe eines allgemein mit 64 bezeichneten Stromwertdetektors erfaßt, wobei mit einem Operationsverstärker 50 gearbeitet wird, wie er in der Isolierstufe 38 gezeigt ist. Der Nenn-Schwellwert des als repräsentativ herausgestellten Stromwertdetektors 64 wird durch den Strom eingestellt, der einen Widerstand 66 durchfließt, der für einen Stromwert von etwa 8 χ 10~⁶ A beispielsweise die Größe von 1,78 χ ΙΟ⁶ Ohm haben kann. Wird infolge des erhöhten Leckstroms durch die lichtempfindliche Diode mit dem pn-übergang 62 genügend Strom geliefert, um den von dem Widerstand 66 erforderten Strom plus einer kleinen Strommenge zur Kompensation der Auswirkungen der Gegenspannung und des Gegenstroms vollständig zu liefern, so reicht die Spannung am Eingang des Operationsverstärkers 50, die an den Anschlüssen 68 und 70 auftritt, aus, um ein Absinken der Ausgangsspannung des Operationsverstärkers einzuleiten. Ein für eine positive Rück-

309841/04 86

kopplung sorgender Widerstand 71, der typischerweise einen Wert von 20 MOhm hat, sucht, den Ausgang vollständig in den logischen Null-Zustand zu überführen und der Schaltung etwa 1 ,uA Hysterese hinzuzufügen. Sinkt der Ausgang des Operationsverstärkers 50 unter den Wert von 15 V ab, die der Isolierkarte über die Leitung 72 zugeführt werden, so gehen sowohl der pnp-Transistor 74 als auch der npn-Transistor 76 in die Sättigung, so daß der Ausgang 78 in den Zustand einer logischen Null übergeht.

Da die Spannung an der in Sperrichtung vorgespannten*lichtempfindlichen Diode mit dem pn-übergang 62 niemals um einen größeren Betrag schwankt und da von der Diode zu der -t-15 V-Referenzspannung ein Widerstand 80 geführt ist, hat die Eigenkapazität des pn-übergangs keine große Auswirkung auf das Ansprechen des Lichtdetektors. Die Einschalt- und Sperrzeiten der IR-lichtemittierenden Diode

—9
sind typischerweise 1 χ 10 sec. Die Ansprechzeit der ganzen, als repräsentativ herausgestellten Isolierstufe wird somit in erster Linie durch die Ansprechgeschwindigkeit des Operationsverstärkers bestimmt.

Alle Ausgänge der Isolierstufe sind durch eine Zener-Diode 83 von typischerweise 22 V und einen Widerstand 81 geschützt, so daß Storspannungen in diesen Leitungen zu keiner Dauerschädigung der internen Schaltung führen können.

Durch die Verwendung der Fotoisolierelemente, durch geeignete Gestaltung der Isolierkarten sowie durch die Verdrahtung zu und von der Schaltkarte mit den gesonderten acht Isolierstufen entsprechend

'30984 1/0486

Fig. 2 wird eine vollständige Isolierung der Eingangs- und der Ausgangssignale voneinander erzielt, die der Isolierschaltung nach der vorliegenden Erfindung zugeordnet sind. Die als typisch herausgestellte Fotoisolierschalteinrichtung weist eine lichtemittierende Gallium-Arsenid-Diode und einen für IR-Licht empfindlichen SiIizium-pn-Übergang auf. Die beiden Halbleiterelemente sind gesondert befestigt, wobei eine klare Epoxyschicht dazwischen angeordnet ist, die den Durchtritt des infraroten Lichtes ermöglicht. Die gesamte Einheit wird dann mit einem opaken Epoxy gekapselt, um Fehlersignale infolge von außen einfallenden Lichts zu verhindern und die Spannungstrennung zu erhöhen. Darüber hinaus wird bei dem beschriebenen Ausführungsbeispiel besondere Sorgfalt aufgewandt, daß die durch die Fotoisolierelemente erzielte Isolierung nicht durch die Nähe der Eingangs-/Ausgangskreise beeinträchtigt wird.

In der Schaltung der Fig. 2 sind zusätzliche Anschlüsse vorgesehen, die mit den Bezugszeichen Al bis A8 bezeichnet sind, um Adressensignale zu den entsprechenden NAND-Gattern zu leiten und soweit gewünscht eine Multiplex-Funktion zu verwirklichen. Ferner sind die übrigen Isolierstufen, die mit den Bezugszeichen 82, 84, 86, 88, 90, 92 bzw. 94 bezeichnet sind, dem Schaltungsaufbau entsprechend der Isolierstufe 38 identisch mit der Ausnahme, daß ein einziger Reihen-Regler und eine Zener-Referenzstufe 96 vorgesehen sind, um die 15- und 30-V-Spannungen zu liefern, die für die einzelnen gesonderten Stromwertdetektoren erforderlich sind.

Mit Fig. 3 und 4 sind einige typische Ausgestaltungen wiedergegeben, die mit den Isolierkarten arbeiten, um die Multiplex-

309841/0486

7316432

Signale/ Adressen und Zeitsignale zu übertragen. Die Schaltung nach Fig. 3 zeigt eine solche Isolierkartenanordnung, in der die jeweiligen Bezugszeichen sich auf die entsprechenden Anschlüsse in den verschiedenen Figuren beziehen. Zusätzlich sind ein Synchronisier-Taktsignal 9 8 und ein Synchronisier-Taktsignal 100 für die gegenüberliegenden Ketten vorgesehen, um die zwischen den beiden Ketten ausgetauschte Information zu synchronisieren. Mit Fig. 4 ist eine weitere Anordnung wiedergegeben, die dazu dient, Multiplex-Information weiterzugeben. Wie dem einschlägigen Fachmann ohne weiteres ersichtlich, können andere gleichartige Anordnungen Verwendung finden, um die Isolation herbeizuführen, wie sie durch das Schutz- und Sicherheits-Logiksystem erfordert werden, das in den Kernkraftanlagen eingesetzt wird.

Um sicherzustellen, daß das Reaktor-Schutz- und Sicherheitssystem die notwendige Betätigung auslösen kann, nachdem eine einzelne Störung aufgetreten ist, ist erfindungsgemäß vorgesehen, daß alle erforderlichen redundanten Schaltkreise elektrisch und räumlich mittels Relais, Fotoisolierschaltelementen sowie räumlicher Ausgestaltung vollständig voneinander isoliert sind. Um eine einwandfreie Arbeitsweise der Fotoisolierschaltelemente zu gewährleisten, ist der Schaltungsaufbau - wie mit dem dargestellten Ausführungsbeispiel verwirklicht - so ausgelegt, daß er selbst dann arbeitet, wenn das Stromübertragungsverhältnis eine Hälfte des¹ angegebenen Minimalwertes beträgt und der Sperr-Leckstrom das Zehnfache des angegebenen Maximums ausmacht, während die in der lichtemittierenden Diode verbrauchte Leistung im Maximalfall geringer als die Hälfte des für den vollen Temperaturbereich zulässigen Maximums ist.

30 9 8A 1/0486

" ^1? " ;^ 31 6 4 3 2

Die Verwendung fotoelektrischer Schaltelemente in einem logischen Kernreaktor-Schutz- und Sicherheitssystem führt somit zu einer erhöhten Zuverlässigkeit, verringerten Abmessungen und verringertem Leistungsbedarf. Ferner ist das beschriebene System unmittelbar kompatibel mit dem Schutz- und Sicherheitssystem nach der parallellaufenden Patentanmeldung vom gleichen Tage mit dem Titel "Programmierbarer universal-Logikmodul".

Es wird eine vollständige Isolierung aufrechterhalten und dennoch ein Informationsaustausch ermöglicht, zusätzlich hat das System aber den weiteren Vorteil, daß es über einen weiten Frequenzbereich, einschließlich Gleichspannungswerten, anspricht. Ferner führt die unmittelbare Kompatibilität dieses Systems zu einfachen Multiplex-Subsystemen zu einer Minimierung der erforderlichen Anzahl Isolierstufen sowie des erforderlichen Verdrahtungsaufwandes und damit insgesamt zu einer Verringerung der Kosten einer Kernenergieanlage.

Patentansprüche 309841/0486

Claims

/316432 Patentansprüche :

1. ) Kernreaktor-Schutz- und Sicherheitssystem mit einer Mehrzahl

Fühler zur überwachung der den einzelnen Reaktorbetriebswerten zugeordneten Reaktor- und Umgebungsparameter, wobei die Fühler jeweils ein für die überwachten Parameter repräsentatives Ausgangssignal liefern, das längs zweier im wesentlichen gleicher isolierter Ketten logischer Elemente zu einer logischen Funktionsanordnung gelangt, die die Fühlersignale auswertet und nach dem Auftreten einer vorgegebenen Kombination davon entsprechende Kontroll- und Schutzmechanismen aktiviert, die dem Reaktor so zugeordnet sind, daß sie ihn überwachen und gegen das Auftreten eines schädlichen Reaktor-BetriebszStandes schützen, dadurch gekennzeichnet, daß das System Licht-Inforrnationsübertragungseinrichtungen aufweist, die zwischen die Ketten logischer Elemente und die Kontroll- und Schutzmechanismen geschaltet sind, um so einerseits eine elektrische Isolierung zwischen den jeweiligen Ketten logischer Elemente aufrechtzuerhalten, andererseits eine Informationsübertragung der von den einzelnen Ketten zugeführten logischen Information zwischen den jeweiligen Ketten logischer Elemente zu ermöglichen.

2. Kernreaktor-Schutz- und Sicherheitssystem nach Anspruch 1, dadurch gekennzeichnet, daß die Licht-Informationsübertragungseinrichtung Fotodioden aufweist.

309841/(H8b

:^J 3 1 6 A 3 2

3. Kernreaktor-Schutζ- und Sicherheitssystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Licht-Informationsübertragungseinrichtung Fototransistoren aufweist.

4. Kernreaktor-Schutz- und Sicherheitssystem nach Anspruch 1, dadurch gekennzeichnet, daß die Licht-Informationsübertragungseinrichtung folgende Komponenten aufweist: ein normalerweise gesperrtes, lichtemittierendes Element, das so angeschlossen ist, daß es auf ein Eingangssignal von der Kette logischer Elemente anspricht, indem es ein Licht-Ausgangssignal abgibt; ein normalerweise im wesentlichen nicht leitendes Element, das mit den Kontroll- und Schutzmechanismen so verbunden ist, daß es auf von dem lichtemittierenden Element emittiertes Licht anspricht, indem es einen wesentlichen Stromanstieg liefert; sowie ein Licht-Information übertragendes Dielektrikum, das zwischen dem lichtemittierenden Element und dem nicht leitenden Element angeordnet ist, so daß dazwischen eine elektrische Isolierung aufgebaut, jedoch ein Lichtübertragungsweg von dem lichtemittierenden Element zu dem nicht leitenden Element gebildet wird.

5. Kernreaktor-Schutz- und Sicherheitssystem nach Anspruch 4, dadurch gekennzeichnet, daß das im wesentlichen nicht leitende Element ein Halbleiterelement umfaßt, das normalerweise einen niedrigen Leckstrom führt und in Sperrichtung vorgespannt ist und auf von dem lichtemittierenden Element emittiertes Licht anspricht, um so einen wesentlich erhöhten Leckstrom durchzulassen.

309841/0486

X316432

6. Kernreaktor-Schutz- "und Sicherheitssystem nach Anspruch 4 oder 5, gekennzeichnet durch eine mit dem normalerweise nicht leitenden Element verbundene Schaltungseinrichtung zur Erfassung einer wesentlichen Erhöhung des Stroms in dem im wesentlichen nicht leitenden Element, -,

7. Kernreaktor-Schutz- und Sicherheitssystem nach Anspruch 6, dadurch gekennzeichnet, daß der Erfassungskreis einen Stromwertdetektor umfaßt. ~~

8. Kernreaktor-Schutz- und Sicherheitssystem nach Anspruch 6 oder 1, dadurch gekennzeichnet, daß"die Erfassungseinrichtung ein Ausgangssignal liefert, das dem dem lichtemittierenden Element gelieferten Logikketten-Eingangssignal im wesentlichen gleich ist. -■ ' ■-■ -

KN/ka/sg 5

3098A 1 /0A8b