DE2452168A1 - Elektrische kraftwerksanlage mit erstem und zweitem computer zur steuerung ihres betriebsablaufs - Google Patents

Description

/ Γ 'rf- ^i

DIPL.-ING. KLAUS NEUBECKER

Patentanwalt
4 Düsseldorf 1 · Schadowplatz 9 2 H 5 2 1 6

Düsseldorf, 30. Okt. 1974 41,464-A
74160

Westinghouse Electric Corporation
Pittsburgh, Pa._f V. St. A.

Elektrische Kraftwerksanlage mit erstem und zweitem Computer zur Steuerung ihres Betriebsablaufs

Die vorliegende Erfindung bezieht sich auf elektrische Kraftwerksanlagen, insbesondere elektrische Kraftwerksanlagen, die mit einem Steuersystem ausgerüstet sind, das einen steuernden Computer und einen in einer Bereitschaftsstellung befindlichen Computer zur Steuerung des Betriebsablaufs solcher Kraftwerksanlagen aufweist.

Ein höchst bedeutsamer Faktor hinsichtlich der Sicherheit im Betriebsablauf elektrischer Kraftwerke ist die Zuverlässigkeit, mit der die Steuerungen der kritischen Komponenten des Kraftwerks arbeiten, um diese Komponenten wie eine Dampfturbine und einen Dampferzeuger bei gewünschten Betriebswerten arbeiten zu lassen. Wenn somit eine Turbinen- oder Dampferzeuger-Steuerung ausfällt, muß die Anlage abgeschaltet werden, mit entsprechendem Verlust an Leistungserzeugungskapazität des Systems, entsprechendem Verlust an. Systemsicherheit gegenüber Netzausfällen

5Üüü3A/ü222

Fflf-ti.i-i ((X-MD -SiOBf)B leltiijrcjmmti C'Jt,i-)[jcii

2452160

oder Netzeinbrüchen, zyklischen Belastungsschädigungen der teuren Leistungserzeugungs-Ausrüstung und möglichem Verlust an Kundendienst und Einkünften, wo Systembelastungen vermindert werden müssen, um sie wieder an die gerade vorhandene Leistungserzeugungskapazität des Systems anzupassen. Elektrizitätsgesellschaften sind daher am Kauf von Steuerausrüstungen mit hohem Sicherheitsfaktor besonders interessiert.

In den US-PSen 3 552 872 und 3 741 246 wird ein Steuersystem beschrieben, mit dessen Hilfe eine Dampfturbinen-Kraftwerksanlage mit hoher Zuverlässigkeit betrieben werden kann. Das Steuersystem weist einen digitalen Steuercomputer auf, der mit einer manuellen HilfsSteuerung gekoppelt ist, um so normalerweise für automatischen Turbinenbetrieb zu sorgen, im Falle bestimmter unvorhergesehener Ereignisse jedoch automatisch und stoßfrei für eine Übergabe an die manuelle HilfsSteuerung zu sorgen. Dabei wird auch vorgeschlagen, daß als Hilfsturbinenregelung ein digitaler Steuercomputer eingesetzt werden kann, wenn dies wirtschaftlich vertretbar ist, jedoch wird weder angegeben, wie dies verwirklicht werden soll, noch daß der Einsatz einer Hilfscomputersteuerung wünschenswert sei. In ähnlicher Weise wird in einer Veröffentlichung mit dem Titel ".Analysis of DDC afc Pittsburgh, No. 7", überreicht von G. II. Moore bei der "1973 Joint Power Generation"-Konferenz vom 16„ bis 19. September 1973 in New Orleans, Louisiana, V„ St. A. eine redundante Hilfscomputersteuerung vorgeschlagen, während Einrichtungen zur Durchführung einer solchen Steuerung nicht

50983 A/0222

ORIGINAL INSPECTED

offenbart werden. Es sind zwar in hierarchischen Anordnungen Mehrfach-Computerausführungen eingesetzt worden, um verschiedene Prozesse ablaufen zu lassen, einschließlich elektrischer Kraftwerke, und diese Mehrfach-Computersysteme sind möglicherweise auch in verschiedenen Ausführungen mit einem unterschiedlichen Grad an Hilfs- oder Unterstützungsvermögen unter den Computern in einigen industriellen Prozessen verwendet worden, jedoch ist keine Mehrfach-Computerausführung bekannt, die in Verbindung mit Kraftwerken eingesetzt worden wäre, um den gesamten Bereich oder zumindest einen nennenswerten Bereich primärer Turbinen- und/oder Dampferzeuger-Steuerkreise in einem primären Computer mit einem weiteren Computer zu unterstützen.

Ein Kraftwerk- oder Turbinen-Steuersystem mit mindestens einem Hilfscomputer ist aus einer Reihe von Gründen wünschenswert. Beispielsweise ist in Verbindung mit einer Hilfscomputersteuerung eine vollständig automatische Hilfssteuerung möglich, selbst wenn die Hauptcomputersteuerung zusammengebrochen ist. Bei Verwendung einer manuellen HilfsSteuerung allein kann der Ausfall oder das Versagen des automatischen On-Line-Steuersystems zu einem zuverlässigen Anlagen- und Turbinenbetrieb führen, jedoch erfordert der Hilfsbetrieb den Einsatz einer Bedienungsperson, abgesehen von seiner Beschränkung hinsichtlich Flexibilität und Steuerfunktion. Ein weiterer Faktor, der Hilfscomputer oder Zusatzcomputer wünschenswert macht, ist darin zu sehen, daß die Bereitschafts- oder Off-Line-Computer zu verschiedenen Zeiten im Kraftwerksbetrieb für andere Zwecke

509834/0222

eingesetzt werden können. So können der oder die Bereitschaftscomputer off-line eingesetzt werden, um Daten entsprechend Programmen zu verarbeiten, die dem (den) Bereitschaftscomputer(n) zu diesem Zweck eingegeben werden. Die Bereitschaftscomputer könnten auch off-line zum adaptiven Kraftwerksanlagen- und Turbinenbetriebsablauf-Lernen eingesetzt werden. Ferner können die Bereitschaftscomputer verwendet werden, um den Kraftwerksbetrieb für Zwecke der Anlageninstallation und Wartung und zur Bedienurigsperson-Ausbildung zu simulieren, wie das in verschiedenen jüngeren Veröffentlichungen dargelegt wird.

Es sei auch besonders bemerkt, daß eine weitreichende Turbinen- und Kraftwerksanlagen-Sicherheit durch Mehrfach-Computeranlagen- und Turbinenbetrieb erzielt werden kann. So können der Primärcomputer und der Bereitschaftscomputer mit einer manuellen HiIfssteuerung gekoppelt werden, so daß für einen Turbinen- und Kraftwerksanlagen-Betrieb mit einer Steuerungsausfall-Wahrscheinlichkeit gesorgt wird, die durch die kombinierte Ausfall-Wahrscheinlichkeit der Mehrfach-Computersteuerungen und der manuellen HiIfssteuerung bestimmt ist. Ferner wird, was nahezu ebenso wichtig ist, die Ausfall-Wahrscheinlichkeit der automatischen Steuerung dann durch die kombinierten Ausfall-Wahrscheinlichkeiten der Mehrfach-Computersteuerung bestimmt. Bei einer Doppel-Computerausführung, beispielsweise mit P 2000-Computern, wird die wahrscheinliche Ausfallhäufigkeit für den Computer-Steuerbereich des Steuersystems mit 6000 HR MTBF angegeben, während die Ausfall-Häufigkeiten für den individuellen Fall mit

509834/0222

4000 HR MTBF (mittlere Zeit in Stunden zwischen Störungen - Hours Mean Time Between Failures -) angegeben werden. Mit weiter entwickelten Systembetriebsverfahren, die mit einem Einzelcomputer-Steuersystem nicht verwirklicht werden können, läßt die MTBF einer Doppelcomputerausführung sich auf Werte von bis zu 35.000 Stunden und mehr anheben.

Eines der mit der Verwirklichung der Hilfscomputersteuerung in einem elektrischen Kraftwerk auftretenden Hauptprobleme besteht in der Schaffung eines Systems, das für eine zuverlässige und sichere automatische Überführung ohne Störung des Vorgangs der Erzeugung elektrischer Energie sorgt. Wenn der Übergabemechanismus ungenau oder unzuverlässig ist, kann es zu einer Beeinträchtigung des angestrebten Ziels kommen, eine erhöhte Anlagen- und Turbinensicherheit durch Einbeziehung einer Hilfscomputersteuerung zu erhalten. Die Tatsache, daß in einem typischen Kraftwerksfall bei einem Übergang eine große Zahl manueller/automatischer Steuerkreise geschaltet werden müssen, macht es schwierig, eine relative Verbesserung der gesamten Zuverlässigkeit zu erzielen.

Weiter besteht - was besonders wichtig ist - die Möglichkeit einer Zerstörung von viele Millionen DM kostenden Turbinen oder Kesselexplosionen mit sich daraus ergebenden Verletzungen von Personen in Übereinstimmung mit der Wahrscheinlichkeit, daß eine größere Störung während eines Übergangs zwischen Steuercomputern durch den Übergang selbst hervorgerufen würde. Es

509834/022 2

ist daher besonders wichtig, daß der Übergangsmechanismus zuverlässig ist. Es ergibt sich kein Fortschritt, wenn das angeblich verbesserte System scheinbar zu einer besseren Anlagensicherheit führt, zu einem bestimmten Zeitpunkt aber beträchtliche Schäden hervorrufen kann, wenn es in zerstörerischer Weise ausfällt. Beispielsweise kann der On-Line-Computer die Anlage auf einem Niveau von 250 MW arbeiten lassen, wenn er ausfällt und ein Übergang zu einer HilfsSteuereinrichtung vollzogen wird. Wenn eine weitere Fehlfunktion aufgetreten ist, so daß die HilfsSteuereinrichtung für den Anlagenbetrieb einen Wert von 500 MW vorgibt, so könnte eine entsprechende Öffnungsbewegung des Turbinenventils aufgrund der neuen Vorgabe sich so rasch abspielen, daß die gesamte gespeicherte Energie vom Dampferzeuger abgezogen und damit Anlaß dazu gegeben würde, daß feuchter Dampf in die Turbine eindringt oder die vordere Schaufelreihe bzw. vorderen Schaufelreihen im Hochdruck-, Zwischendruck- und/oder Niederdruckteil der Turbine zerstört.

Eine größere Anzahl an Fehlfunktions-Zuständen könnte zur Zeit des Übergangs auftreten und dann extreme Folgen bezüglich eines unmittelbaren Kessel- oder Turbinenschadens oder, was noch häufiger der Fall sein dürfte, die weniger extremen, aber höchst unerwünschten Folgen einer Kessel- oder Turbinen-Abschaltung oder eines unerwünschten Anlagen-Belastungszyklus ohne Abschaltung haben. Eine unnötige Abschaltung und zugehöriger Belastungszyklus könnten beispielsweise auftreten, wenn eine Steuereinrichtungs-Fehlfunktion auftritt, so daß bei der

-509834/0222'

übergabe der On-Line-Computer 70 % Last, die Hilfs-Steuereinrichtung dagegen 40 % Last vorschreibt, so daß die Turbinenventile schließen, der Dampfstrom des Kessels begrenzt und eine Kesselüberdruck-Abschaltung hervorgerufen wird.

Zu den weiteren bedeutsamen Problemen, wie sie in Verbindung mit der Verwirklichung einer Hilfscomputersteuerung in einer elektrischen Kraftwerksanlage auftreten, gehört die Bestimmung, welche Arten an unerwarteten Ereignissen auftreten können und welche dieser unerwarteten Ereignisse speziell die automatischen Schutz-Übergänge zwischen Steuercomputern auslösen sollten, sowie die Schaffung eines schützenden Übergangssystems für die Auslösung von Steuercomputer-Übergängen.

Erfindungsgemäß ist eine elektrische Kraftwerksanlage mit mindestens einer Turbine; einer Einrichtung zur Steuerung der Strömung von Turbinen-Antriebsflud; einem turbinengetrxebenen Generator und einem Steuersystem zur Steuerung des Betriebs der Kraftwerksanlage; einem ersten und einem zweiten digitalen Computer; einer Einrichtung zur Erzeugung von Eingangssignalen, die Komponenten (wie der Turbine und/oder einem Dampfgenerator) der Kraftwerksanlage zugeordnete Prozeßvariable repräsentieren; einer Einrichtung zur Kopplung der Eingangssignale mit den beiden Computern, wobei jeder der beiden Computer Steuerelemente zur Erzeugung von Steuerausgangssignalen in Abhängigkeit von den Eingangssignalen hat; einer Einrichtung zur Kopplung der Steuerausgangssignale

50983 4/0222

der einzelnen Computer mit steuerbaren Elementen der Kraftwerksanlage unter normalen Betriebsbedingungen und zur überführung eines der Computer mit seinen zugehörigen Steuerkreisen in einen Zustand der Steuerung der steuerbaren Elemente und zur überführung des anderen Computers mit seinen zugehörigen Steuerkreisen in eine Bereitschaftsstellung; sowie mit einer Abtasteinrichtung zur Erfassung von Steuersystem-Fehlfunktionen dadurch gekennzeichnet, daß das Steuersystem eine Einrichtung aufweist, um den Aufbau des im Bereitschaftszustand befindlichen Computers in Echtzeit in Übereinstimmung mit dem steuernden Computer und den in Bereitschaftsstellung befindichen Computer in einen Zustand zu bringen, in dem die Steuerausgangssignale vom in Bereitschaftsstellung befindlichen Computer im wesentlichen identisch denjenigen vom steuernden Computer sind; sowie durch eine Einrichtung zur Ausführung eines Übergangs der Steuerung der steuerbaren Elemente der Kraftwerksanlage von dem steuernden Computer auf den in Bereitschaftsstellung befindlichen Computer in Abhängigkeit von einer durch die Abtasteinrichtung erfaßten Steuersystem-Fehlfunktion.

Die Abtasteinrichtung ist vorzugsweise so ausgelegt, daß Vorgänge erfaßt werden, die automatisch einen Schutz-Steuerübergang vom steuernden Computer an den in Bereitschaft stehenden Hilfscomputer auslösen und einen solchen übergang im wesentlichen ohne Störung des Energieerzeugungsablaufs der Anlage vollziehen.

509834/0222

Entsprechend einem bevorzugten Ausführungsbeispiel der Erfindung ist das Steuersystem so ausgelegt, daß über den Zwischencomputer-Datenkanal und die Nachlaufsteuerung ein Nachlauf geschaffen und so der Computer im Bereitschaftszustand in die Lage versetzt wird, in der Nachlaufbetriebsart zu arbeiten und die Steuerausgangssignale der beiden Computer ohne oder höchstens mit geringer Versetzung gegenseitig zur Übereinstimmung zu bringen.

Nach einer weiteren Ausführungsmöglichkeit weist das Steuersystem manuelle HilfsSteuerungen für die steuerbaren Elemente der Kraftwerksanlage und eine Einrichtung zur überführung der Steuerung der steuerbaren Elemente von jedem der beiden Computer an die manuellen HilfsSteuerungen auf.

Die Erfindung wird nachstehend anhand von Ausführungsbeispielen in Verbindung mit der zugehörigen Zeichnung erläutert. In der Zeichnung zeigen:

Fig. 1A schematisch ein Blockschaltbild einer elektrischen Kraftwerksanlage, die mit einem Steuersystem nach der Erfindung betrieben wird;

Fig. 1B eine schematische Ansicht eines Direktdurchsatzkessels, wie er in der Anlage der Fig. 1A verwenwird

det/, wobei ein Teil des Kessels weggeschnitten ist;

5 0.9 8 3.4/02 22

Fig. IC ein Prozeß-Flußdiagramm für die elektrische Kraftwerksanlage der Fig. 1A;

Fig. 2 schematisch ein Blockschaltbild eines Positions-Steuerkreises für elektrohydraulisch^ Ventile., wie sie in einer Turbine der Anlage nach Fig. 1A verwendet werden;

Fig. 3A schematisch ein Blockschaltbild eines Anlageneinheit-Haupt Steuersystems für die elektrische Kraftwerksanlage der Fig. 1A;

Fig. 3B ein Steuerkreis-Diagramm für die Dampfturbine in der elektrischen Kraftwerksanlage der Fig. 1A;

Fig. 4 schematisch ein Schaltbild des in einem Steuersystem für die Dampfturbine sowie den Einmaldurchlauf -Kessel des elektrischen Kraftwerks der Fig. 1A verwendeten Aufbaus;

Fig. 5A ein Blockschaltbild der Organisation eines in beiden Computern des Steuersystems der Fig. 4 vorgesehenen Programmsystems;

Fig. 5B schematisch ein Blockschaltbild des Aufbaues der elektrischen Kraftwerksanlage der Fig„ 1A, wobei das Steuersystem vom Standpunkt der Organisation

der Computer in dem System aus gezeigt ist; 509834/0222

Fig. 6 ein Blockschaltbild eines Systems für die übertragung der Steuerung zwischen den beiden Steuercomputern der Fig. 4;

Fig. 7 schematisch ein Schaltbild für eine den beiden digitalen Computern der Fig. 4 zugeordnete Toter Computer-Konsole;

Fig. 8 ein Flußdiagramm, das für ein Datenkanal- oder Datenverbindungs-Programm repräsentativ ist, wie es in einen der beiden digitalen Computer der Fig. 4 eingegeben wird;

Fig. 9 ein Flußdiagramm für ein Computerzustands-Erfassungsprogramm, wie es in dem Computerübergabesystem der Fig. 6 Verwendung findet;

Fig. 10 schematisch ein Blockschaltbild eines aus einer Mehrzahl Kessel-Steuerkreise mit einer Nachlaufsteuerung, die für den Nachlauf eines der Computer in einer Bereitschafts-Betriebsart gegenüber dem anderen in der Steuer-Betriebsart befindlichen Computer sorgt;

Fig. 11A undHB

Blockschaltbilder, die im einzelnen die in den beiden Computern verwendete Logik erkennen lassen,

um den gewählten Computer zu identifizieren; 509834/0222

Fig. 12^t ein Flußdiagramm für ein Kessellogikprogramm;

•p^q- 12b qin FlußdxH^TXO.inin f iXic ein ιStrOT^""/Δή ^g "I^^Ciga'"'T^^*OirfTi'ffiini^Tyir

Fig. 13A schematisch ein Schaltbild für ein Hardware-Ausfallerfassungs-Subsystem des Computerübergabesystems der Fig. 6;

Fig. 13B ein Blockschaltbild eines Daten-Verbindungsglied-Ausfallsubsystems des Computerübergabesystems der Fig. 6;

Fig. 13C ein Diagramm eines Software-Fehlfunktionserfassungs-Subsystems des Computerubergabesystems der Fig. 6;

Fig. 14A bis 14E

Schaltkreise eines Analogfallen-Subsystems des Computerübergabesystems der Fig. 6;

Fig. 15A schematisch ein Blockschaltbild analoger Eingangssysteme für die digitalen Computer der Fig. 4;

Fig. 15B schematisch ein Blockschaltbild von für die Computer der Fig. 4 vorgesehenen CCI-Systemen;

Fig. 15C schematisch ein Schaltbild von CCO-Systemen und

50983A/0222

einem analogen Ausgangssystem für die digitalen Computer der Fig. 4;

Fig. 15D schematisch eine Ansicht einer Übergabekonsole zur Schaltung des Steuersystemausgangs auf das CCO-System des steuernden Computers;

Fig. 16A bis 161

verschiedene Schaltkreise in einer DEH-Hybridkonsole mit einer manuellen Turbinen-Hilfssteuerung und einer elektronischen Schaltungsanordnung zur Kopplung des Computersteuersystems mit den hydraulisch betätigten Turbinenventilen; und

Fig. 16J in Gestalt eines Blockschaltbildes die Gesamt-Organisation eines Mehrfachcomputer-Steuersystems mit manueller Hilfstufbinensteuerung.

Elektrische Kraftwerksanlage und Dampfturbinensystem

Im einzelnen läßt Fig. 1A eine große einzelne Zwischenüberhitzer-Dampfturbine und ein Dampferzeugersystem bzw. einen Kessel 22 erkennen, die in üblicher Weise aufgebaut und mittels eines Steuersystems 11 in einer elektrischen Kraftwerksanlage in Übereinstimmung mit der Erfindung betrieben werden.

509834/0222

Die Turbine 10 ist mit einer einzelnen Abtriebswelle 14 versehen, die einen herkömmlichen großen Wechselstromgenerator 16 antreibt, um von einem Leistungsdetektor 18 erfaßte dreiphasige elektrische Leistung zu erzeugen. Typischerweise ist der Wechselstromgenerator 16 über einen oder mehrere Unterbrecher 20 je Phase an ein großes elektrisches Leistungsnetz angeschlossen, wobei dann die Turbinen-/Generatoranordnung im eingeschwungenen Zustand mit synchroner Drehzahl läuft. Unter Übergangsbedingungen bei Änderung der elektrischen Last kann die Systemfrequenz beeinträchtigt werden, und entsprechende Turbo-/Generator-Drehzahländerungen könnten die Folge sein, wenn dies von den Überwachungsingenieuren der Anlage zugelassen würde.

Nach Erreichen des Synchronismus wird die Leistungsabgabe des Generators 16 an das Netz normalerweise durch den Turbinendampf strom bestimmt, der in diesem Fall der Turbine 10 normalerweise mit im wesentlichen konstantem Drosselventildruck zugeführt wird. Der Dampf mit konstantem Drosselventildruck für den Antrieb der Turbine 10 wird durch das Dampferzeugersystem 22 erzeugt, das in diesem Fall als herkömmlicher Kessel vom Direktdurchsatz-Typ ausgestaltet ist, der durch fossile Brennstoffe in Form von Erdgas oder öl betrieben wird.

In diesem Fall ist die Turbine 10 vom Mehrstufen-Axialstromtyp, wobei sie einen Hochdruck-Turbinenteil 24, einen Zwischendruck-Turbinenteil 26 und einen Niederdruck-Turbinenteil 28 aufweist.

609834/0222

Wie mit Fig. 1B gezeigt, weist der Kessel des Dampferzeugersystems 22 Wände auf, längs deren vertikal abgehängte Wasserwandungsrohre verteilt sind, um vorgewärmtes Speisewasser von einem Economiser zu einem überhitzer zu leiten. Dampf wird von dem Überhitzer an den Hochdruck-Turbinenteil 24 und von dort zurück ZU₁ dem Kessel des Dampf er zeuger sy stems -22 über Zwischenüberhitzerrohre und zurück zum Zwischendruck-Turbinenteil 26 geleitet. Druck und Temperatur des Speisewassers werden in den Wasserwandungsrohren durch die auf dem Verbrennungswege erzeugte Wärme etwa in der unteren Hälfte des Innenraums des Ofens erhöht.

In jeder der vier Ecken des Ofens sind Brenner in fünf Ebenen angeordnet. Das allgemeine Betriebslastniveau der Anlage bestimmt, wie viele Ebenen der Brenner in Betrieb sein müssen, und die Zufuhr von Brennstoff zu den Brennern wird unter Kontrolle gehalten, um so bestimmte Lastniveaus zu schaffen. In jeder Brennerebene sind sowohl Gas- als auch ölbrenner vorgesehen, jedoch wird zur gleichen Zeit normalerweise nur ein Brennertyp betrieben.

Verbrennungsluft wird durch die Abgase vorgewärmt und tritt in den Ofen in Nähe der Ofenecken über vier Einlaßleitungen unter der Antriebswirkung vier großer Gebläse ein. Der Luftstrom wird grundsätzlich durch die Anordnung entsprechender Dämpfungsglieder in den Einlaßleitungen gesteuert.

509834/0222

Heiße Verbrennungsprodukte wandern in vertikaler Richtung aufwärts durch den Ofen zu dem überhitzer. Die heißen Abgase gelangen dann durch das Rücküberhitzerrohr und anschließend durch den Speisewasser-Economiser und einen Einlaßluft-Wärmeaustauscher in einer Abgasleitung, ehe sie ausgestoßen werden.

Fig. 1C zeigt schematisch ein Prozeßflußdiagramm, mit dem veranschaulicht ist, wie das Anlagen-Betriebsflud mit Energie versorgt und durch die Turbine 10 geleitet wird, um den Generator 16 zu betreiben und elektrische Energie zu erzeugen. Es wird somit Gas oder anderer Brennstoff zu Brennern 35 über Hauptventile 37 oder Bypaß-Ventile 39 geleitet. Luft zur Verbrennung wird über die Erhitzer 33 und Lüftungsschieber der Verbrennungszone mittels Gebläsen 41 in Verbindung mit der Strömungssteuerung durch die Dämpferventile 43 zugeführt.

Speisewasser wird durch Erhitzer 61 vorgewärmt und strömt unter Druck, wie er von den Kesselspeisewasserpumpen 63 erzeugt wird, zu dem Economiser und den Wasserwandungsrohren durch ein Ventil FW oder ein Anfahrventil FWB. Wärme wird dem Arbeitsflud in dem Economiser und den Wasserwandungsrohren über eine Leitung 45 zugeführt. Als nächstes strömt das Arbeitsflud zu dem überhitzer 29, der einen primären überhitzer 47, einen Dampfkühler 49, dem über ein Ventil 51 kühlende Sprühflüssigkeit zugeführt werden kann, und einen Endüberhitzer 53 aufweist. In dem überhitzer 29 wird dem Arbeitsflud über eine Leitung 55 Wärme zugeführt. Ventile BT und BTB leiten das Arbeitsflud zu dem überhitzer 29

. 509834/022 2

nach Anfahren des Kessels, und Ventile BE, SA, SD und WD arbeiten mit einem Abscheidetank 57 und einem Kondensator 65 zusammen, um Dampf- und Wasserströme voneinander zu trennen und die Strömung des Überhitzer-Arbeitsfluds beim Anfahren des Kessels zu regulieren.

Kesselauslaßdampf strömt von dem Endüberhitzer 53 durch die Turbineneinlaß-Drossel- und -Reglerventile zu dem Hochdruck-Turbinenteil 24. Der Dampf wird dann in dem Rücküberhitzer von neuem erhitzt, wie das mit der Leitung 59 angedeutet ist, und gelangt über den Zwischendruck-Turbinenteil 26 und den Niederdruck-Turbinenteil 28 zum Kondensator 65. Kondensatorpumpen 67 und 69 treiben das Rückwasser zu der Kesselspeisewasserpumpe 63 über Kondensat- und Wasserstoff-Kühlsysteme, und Nachfüllwasser wird über eine Demineralisiereinrichtung zugeführt.

Die mit fossilen Brennstoffen arbeitende Turbine 10 ist in diesem Fall mit Dampfkästen vom Doppelendtyp ausgestattet, und Dampf wird den Turbinen-Dampfkästen (nicht im einzelnen dargestellt) über vier Haupteinlaßventile oder Drosseleinlaßventile TV (TV1 - TV4) zugeführt. Der Dampf wird von den Einlaß-Dampfkästen zur ersten Hochdruckteil-Expansionsstufe über acht Einlaß-Reglerventile GV (GV1 - GV8) geleitet, die so angeordnet sind, daß sie Dampf an die Einlasse abgeben, die bogenförmig über das Turbinen-Hochdruckgehäuse verteilt sind, so daß sie eine Reglerventilanordnung bilden, wie sie für große, mit

509 8 3 A/0222

245216a

fossilen Brennstoffen arbeitende Turbinen etwa typisch sind. Mit Kernenergie arbeitende Turbinen verwenden andererseits nur vier Reglerventile. Allgemein gilt, daß verschiedene Turbinen-Einlaßventil-Ausführungen unterschiedliche Anzahlen und/oder Anordnungen von Einlaßventilen aufweisen können.

In Anwendungsfällen, in denen die Drosselventile die Fähigkeit haben, die Strömung zu steuern, befinden sich die Reglerventile GV1 - GV8 typischerweise während des gesamten Anfahrvorgangs oder zumindest während eines Teils dieses Vorgangs ganz im geöffneten Zustand, so daß der Dampfstrom mittels über den ganzen Bogen verteilter Drosselventilsteuerung verändert wird. An einem gewissen Punkt beim Anfahren und Belasten erfolgt wegen der beim Drosselvorgang auftretenden Energieverluste und/oder einer verringerten Möglichkeit der Steuerung durch Drosseln normalerweise, vorzugsweise automatisch, der übergang von VoIlbogen-Drosselventilsteuerung zu Vollbogen-Reglerventilsteuerung. Nach dem übergang sind die Drosselventile TV1 - TV4 vollständig geöffnet, und die Reglerventile GV1 - GV8 sind so eingestellt, daß sie den beim übergang herrschenden Dampfstrom erzeugen. Nach ausreichender Turbinenerwärmung würde die Bedienungsperson typischerweise von Vollbogen-Reglerventilsteuerung zu Teilbogen-Reglerventilsteuerung übergehen, um verbesserte Erwärmungswerte zu erhalten.

In Fällen, in denen die Haupt-Dampfeinlaßventile Sperrventile ohne die Möglichkeit sind, den Strom zu steuern, wie dies in

B0983A/0221

Kernkraftturbinen häufig der Fall ist, wird die Anfangssteuerung des DampfStroms während des Anfahrens in Verbindung mit einer einzigen Ventil-Betriebsart des Reglerventilbetriebs erzielt. Es kann dann ein übergang auf sequentiellen Reglerventilbetrieb bei einem geeigneten Lastniveau erfolgen.

Nachdem der Dampf an der Gleichdruckbeschaufelung der ersten Stufe vorbei zu der Reaktionsbeschaufelung der ersten Stufe des Hochdruck-Turbinenteils 24 gelangt ist, wird er wie zuvor erläutert an den Zwischenüberhitzer 31 geleitet. Um den Strom des Zwischenüberhitzerdampfes zu steuern, sind ein oder mehrere Zwischenüberhitz- Sperrventile SV (Fig. 1A) normalerweise geöffnet, ' wobei sie nur dann geschlossen werden, wenn die Turbine abgeschaltet wird. Abfangventile IV (von denen nur eines in Fig. 1A gezeigt ist) sind ebenfalls in dem Zwischenüberhitz-Dampfstrompfad angeordnet.

Ein Drosseldruckdetektor 36 (Fig. 1A) geeigneter herkömmlicher Konstruktion erfaßt den Dampfdrosseldruck zu Datenüberwachungs- und/oder Turbinen- oder Anlagensteuerungszwecken. Wie in Kernkraft- oder anderen Anlagen erforderlich, kann die Turbinensteuerung auch auf die Drosseldrucksteuerung ebenso wie bzw. anstelle von Drehzahl- und/öder Laststeuerung gerichtet werden.

Allgemein läßt sich sagen, daß die von einer Dampfturbine im eingeschwungenen Zustand erzeugte Leistung oder abgegebene Last in Verbindung mit im wesentlichen konstanten Druck aufweisendem

S09834/022 2

Drosseldampfdruck proportional dem Verhältnis des Gleichdrucks der ersten Stufe zum Drosseldruck ist. Wo der Drosseldruck durch externe Steuerung im wesentlichen konstant gehalten wird, ist die Turbinenlast dem Gegen- oder Impulsdruck der ersten Stufe porportional. Ein herkömmlicher Druckdetektor 38 dient zur Erfassung des Gegendrucks der ersten Stufe für die zugeordnete Steuerungs-Auswertung im Turbinenteil des Steuerungssystems 11.

Ein Drehzahl-Erfassungssystem 60 ist vorgesehen, um die Turbinenwellen-Drehzahl zu Drehzahlsteuerungs- und Frequenzanteil-Steuerungszwecken zu erfassen. Das Drehzahl-Erfassungssystem kann beispielsweise einen Reluktanz-Taster (nicht dargestellt) aufweisen, der magnetisch mit einem eingekerbten Rad (nicht dargestellt) auf der Abtriebswelle 14 gekoppelt ist. Im vorliegenden Fall sind mehrere Taster zur Drehzahl-Erfassung vorgesehen.

Entsprechend hydraulisch betätigte Drosselventil-Betätigungsglieder 40 und Reglerventil-Betätigungsglieder 42 sind für die vier Drosselventile TV1 - TV4 und die acht Reglerventile GV1 GV8 vorgesehen. Ebenso sind hydraulisch betätigte Betätigungsglieder 44 und 46 für die Zwischenüberhitz-Sperr- und Abfangventile SV und IV vorgesehen. Eine hydraulische Hochdruck-Fludquelle 48a liefert das Steuerflud für den Betätigungsglied-Betrieb der Ventile TVt - TV4, GV1 - GV8, SV und IV. Ein Schmierölsystem (nicht dargestellt) ist gesondert vorgesehen, um den Schmierforderungen der Turbinenanlage zu genügen.

S0983A/0222

Die Einlaßventil-Betätigungsglieder 40 und 42 werden durch entsprechende elektrohydraulisch^ PositionsSteuerungen 48 "und 50 betätigt, die einen Teil des Steuersystems 11 bilden. Sofern gewünscht, können die Abfangventil-Betätigungsglieder 46 ebenfalls durch eine Positionssteuerung (nicht dargestellt) betrieben werden.

Jede Turbinenventil-Positionssteuerung weist einen herkömmlichen elektronischen Steuerverstärker 52 (Fig. 2) auf, der ein geeignetes elektrohydraulisches (EH) Wandlerventil 54 in bekannter Weise antreibt. Da die Turbinenleistung bei im wesentlichen konstanten Drosselventil-Drücken dem Dampfstrom proportional ist, werden die Einlaßventil-Positionen so gesteuert, daß sie den Dampfstrom als Zwischen-Variable und die Turbinendrehzahl und/oder -last als End-Steuervariable steuern. Die Betätigungsglieder positionieren die Dampfventile in Abhängigkeit von den.Ausgangs-Positionssteuersignalen, die über die EH-Wandlerventile 54 zugeführt werden. Entsprechende Ventilpositions-Detektoren PDT1 - PDT4 und PDG1 - PDG8 sind vorgesehen, um jeweils Ventilpositions-Rückkopplungssignale zu erzeugen, die mit entsprechenden Ventilpositions-Einstellpunktsignalen zusammengefaßt werden, um Positionsfehlersignale zu liefern, anhand derer die Steuerverstärker 52 die Ausgangssteuersignale erzeugen.

Die Einstellpunktsignale SP werden durch ein Steuersystem 56 erzeugt, das ebenfalls einen Teil des Steuersystems 11 bildet

5 09834/0222

und mehrere Steuercompute.r und eine manuelle HilfsSteuerung aufweist. Die Positionsdetektoren sind in geeigneter herkömmlicher Form vorgesehen und können beispielsweise lineare veränderliche Wandler LVDT (5.8, Fig. 2) sein, die negative Positions-Rückkopplungssignale zur algebraischen Summierung mit den Ventilpositions-Einstellpunkt-Signalen SP erzeugen.

Die Zusammenfassung von Steuerverstärker 52, Wandlerventil 54, hydraulischem Drosselventil-Betätigungsglied 40 oder 42 und zugehörigem Ventilpositions-Detektor bzw. Linearwandler 58 und weiteren verschiedenen Vorrichtungen (nicht dargestellt) ergibt einen örtlichen analogen elektrohydraulischen Ventilpositions-Steuerkreis 62 (Fig. 3B) für jedes Drossel- oder Regler-Einlaß-Dampf ventil .

Anlagen-Hauptsteuerung

Nach dem Anfahren des Dampferzeugersystems 22 bzw. dessen Kessel und der Turbine 10 mit manueller/automatischer Steuerung arbeitet eine Anlagen-Haupteinheit 71 (Fig. 3A) als ein Teil des Computer-Steuersystems 56 und koordiniert niederwertige Steuerungen in der Anlagen-Steuerungshierarchie, um so Anlagen-Lastanforderungen in wirksamer Weise nachzukommen. In der integrierten Anlagen-Betriebsart verwirklicht somit die Anlagen-Haupteinheit 71 den Anlagen-Lastbedarf, wie er von dem Operator über eine Steuerkonsole 73 oder über ein automatisches Verteilersystem eingegeben wird, indem gleichzeitig ein entsprechendes

509834/0 222

Turbinenlast-Bedarfssignal an eine digitale elektrohydraulxsche (DEH) Drehzahl- und Laststeuerung 64 für die Turbine 10 und ein entsprechendes Kessel-Bedarfssignal an einen Kesselbedarfsgenerator 75 zur Verteilung auf die verschiedenen Kessel-Unterkreise, wie sie in Fig. 3A gezeigt sind, gegeben werden, um den" Kessel des Dampferzeugersystems 22 und die Turbine 10 in Schritt zu halten. In bestimmten Störungsfällen weist die Anlagen-Haupteinheit 71 die integrierte Steuerung ab und koordiniert den Anlagenbetrieb entweder in der Turbinenfolge-Betriebsart oder in der Kesselfolge-Betriebsart. Wenn die Anlagen-Haupteinheit 71 nicht arbeitet, wird die Last über den Kesselbedarfsgenerator 75 und die Turbinenlast unmittelbar von der Operatorkonsole 73 aus gesteuert.

In einigen Anwendungsfällen wird "Koordinierte Steuerung" dem Begriff "Integrierte Steuerung" gleichgesetzt, was bedeuten soll, daß es sich um eine in Schritt befindliche oder parallele Steuerung eines Dampferzeugers und einer Turbine handelt. Im Zusammenhang mit der vorliegenden Anmeldung soll der Ausdruck "Koordinierte Steuerung" aber auch den Begriff "Integrierte Steuerung" umfassen, und ferner sollen die Kessel- und Turbinenfolge-Betriebsarten gemeint sein, bei denen die Steuerung "koordiniert", aber nicht "integriert" ist.

Direktdurchsatz-Kesselsteuerungen

Der Speisewasserstrom zu dem Ekonomiser (Fig. 1C) wird durch Einstellen der Drehzahl der Kesselspeisepumpen 63 und der Lage

509834/0222

des FW- oder FWB-Ventils (Anlaufventil) gesteuert. Allgemein gilt, daß Ventilschäfte und andere lagegeregelte Mechanismen vorzugsweise mittels eines herkömmlichen Elektromotor-Antriebs in ihre jeweils gewünschte Lage gebracht werden. Der Luftstrom wird durch die zwei schnellen Gebläse 41 und die Dämpferventile 43 gesteuert, während der Brennstoffstrom durch das Hauptventil 37 bzw. das Bypaß-Ventil 39 gesteuert wird.

Im Kesselteil des Steuersystems 11 wird für eine erste Niveausteuerung für die Kesselspeisepumpen 63 und die Speisewasserventile mittels einer Speisewassersteuerung 77 gesorgt, die auf ein Lastbedarfssignal vom Kesselbedarfsgenerator 75 sowie Prozeß-Variable anspricht, um so den Speisewasserstrom dynamisch auf den Lastbedarf abgestimmt zu halten. In gleicher Weise wird eine erste Niveausteuerung für die Gebläse -bzw. die Brennstoffventile durch eine Luftsteuerung 79 bzw. eine Brennstoffsteuerung 91 vorgesehen. Das Brennstoff-/Luftverhältnis wird durch Wechselwirkung zwischen den Luft- und Brennstoffsteuerungen 79 bzw. 91 geregelt. Die Luft- und BrennstoffSteuerungen sprechen auf den Kesselbedarfsgenerator 75 und die Prozeß-Variablen an, so daß der Wasser-, Brennstoff- sowie Luftstrom jeweils im notwendigen Gleichgewicht mit dem Lastbedarf gehalten werden.

Eine Temperatursteuerung 93 für ein erstes Niveau läßt Dampfkühler- und Zwischenüberhitzer-Sprühlstrahlen wirksam werden, um die Austrittstemperatur des Dampfes in der notwendigen Weise zu senken. Eine Temperatursteuerung für ein zweites Niveau

509834/02 2 2

spricht auf das Kesselbedarfssignal und Prozeß-Variable an, um den Betrieb der Speisewasser- und Brennstoffsteuerungen 77· bzw. 91 im Hinblick auf die Dampftemperatursteuerung zu modifizieren. Als weitere Steuerung für ein zweites Niveau ist eine Drosselventil-Drucksteuerung 97 vorgesehen, die die Turbinen- und Kesselstrom-Bedarfssignale so modifiziert, daß der Drosselventildruck konstantgehalten wird, wenn dem Anlagenlastbedarf genügt wird.

Beim Anfahren werden der Wert des Abscheidetanks und der Betrieb der Bypaß-Ventile, worauf in Verbindung mit Fig. 1C Bezug genommen wurde, durch ein Kesselabscheide-Steuersystem 99 gesteuert. Nachdem der Kessel einmal auf Lastbetrieb gebracht worden ist, wird das Kesselabscheide-Steuersystem 99 aus dem Steuervorgang herausgenommen.

Allgemein gilt, daß einzelne Kesselsteuerkreise und Kessel-Untersteuerkreise im Steuersystem 11 automatisch oder manuell von der Operatorkonsole 73 aus betrieben werden können. Wird die manuelle Steuerung für einen Unterkreis mit niedrigerem Steuerniveau gewählt und eine automatische Steuerung höheren Niveaus negiert, so wird die letztere automatisch für diesen speziellen Unterkreis und für höhere Steuerkreise in der Hierarchie abgewiesen.

509834/0222

Dampfturbinen-Steuerkrei se

In Fig. 3B ist die bevorzugte Ausführung von Steuerkreisen wiedergegeben, wie sie in dem Steuersystem 11 verwendet werden, um für automatischen bzw. manuellen Turbinenbetrieb zu sorgen. Um Kontinuität und Sicherheit bei der Leistungserzeugung zu gewährleisten, ist eine manuelle Hilfssteuerung 81 vorgesehen, um Steueranwexsungen der Bedienungsperson während der Zeitabschnitte verwirklichen zu können, in denen die automatische Steuerung abgeschaltet ist. Relaiskontakte bewirken eine automatische oder manuelle Steuerung, wie das gezeigt ist. Der übergang zwischen der manuellen und automatischen Betriebsart erfolgt vorzugsweise stoßfrei, und zu diesem Zweck wird eine manuelle Nachlaufeinrichtung 83 verwendet, um die automatische Steuerung bei manueller Steuerungs-Betriebsart auf den Status der manuellen Hilfs-Steuerung 81 und die manuelle Hilfs-Steuerung 81 bei automatischer Steuerungs-Betriebsart auf den Status der automatischen Steuerung zu bringen, wie das mit der Verbindung 85 angedeutet ist.

Der Steuerkreis 62 ist schematisch mit Funktionsblocks wiedergegeben, wobei verschiedene Ausführungen eingesetzt werden können, um die Funktionen der Blöcke zu verwirklichen. Ferner können je nach Anwendung der vorliegenden Erfindung in dem Steuerkreis 62 verschiedene Blockfunktionen entfallen, modifiziert oder hinzugefügt werden. Ferner sei darauf hingewiesen, daß der Steuerkreis 62 innerhalb Regelabweichungs-Grenzen arbeitet, wie sie durch Elemente eines Gesamt-Turbinen- und Anlagen-Schutz-

509834/0222

systems (in Fig. 3B nicht speziell angegeben) festgelegt werden.

Beim Anfahren betätigt ein automatischer Drehzahl-Steuerkreis 66 im Steuerkreis 62 die Turbinen-Einlaßventile, um die Turbine 10 in einem weiten Bereich hinsichtlich ihrer Drehzahl steuern zu können und sie auf synchrone Drehzahl zur automatischen oder vom Operator gesteuerten Synchronisierung zu bringen. Nach der Synchronisierung betätigt ein automatischer Laststeuerkreis 68 die Turbinen-Einlaßventile, um die Turbine 10 zu belasten. Der Drehzahl-Steuerkreis 66 und der Last-Steuerkreis 68 arbeiten über die zuvor erwähnten EH-Ventillage-Steuerkreise des Steuerkreises 62.

Der Turbinenteil des Steuersystems 56 der Fig. 1A ist in den Steuerkreisen 66 und 68 enthalten. Drehzahl- und Lastbedarfssignale werden von einem Block 70 für die Drehzahl- und Last-Steuerkreise 66 bzw. 68 unter verschiedenen Arbeitsbedingungen in der integrierten oder nicht integrierten Koordinator-Betriebsart oder Nichtkoordinator-Betriebsart in Abhängigkeit von einem entfernt angeordneten automatischen Lastverteilungseingang, einem Synchronisier-Drehzahl-Sollwert, einem von dem Turbinen-Bedienungsmann erzeugten Last- oder Drehzahl-Eingang oder anderen vorgegebenen steuernden Eingängen erzeugt. In der integrierten Betriebsart arbeitet die Anlagen-Haupteinheit 71 als Bedarfs-Block 70. Ein Referenzgenerator-Block 72 spricht auf den Drehzahl- oder Lastbedarf an, um ein Drehzahl- oder

50 9834/0222-

Last-Referenzsignal während des Turbinenanlaufs und des Lastbetriebs zu erzeugen, vorzugsweise so, daß Drehzahl- und Laständerungswerte so begrenzt bleiben, daß übermäßige thermische Spannungen auf die Turbinenteile nicht ausgeübt werden.

Eine automatische Turbinenanlauf-Steuerung kann als Teil des Bedarfs- und Referenz-Blocks 70 bzw. 72 vorgesehen sein, so daß der Turbineneinlaß-Dampfstrom sich entsprechend der Rotorbelastungssteuerung an die Drehzahl- und/oder Laständerungs-Sollwerte anpaßt. Auf diese Weise kann die Lebensdauer der Turbine erheblich verlängert werden.

Der Drehzahl-Steuerkreis 66 arbeitet vorzugsweise als Rückkopplungskreis, so daß der Drehzahl-Referenzwert mit einem für die Turbinen-Drehzahl repräsentativen Wert, der von dem Drehzahl-Erfassungssystem 60 erzeugt wurde, verglichen wird. Eine Drehzahl-Steuerung 74 spricht auf den resultierenden Drehzahlfehler an, um so ein Dampfstrom-Bedarfssignal zu erzeugen, über das ein Einstellpunkt zur Auswertung bei der Erzeugung von Ventileinstell-Bedarfssignalen für die EH-Ventileinstellungs-Steuerkreise des Steuerkreises 62 während des Drehzahl-Steuervorgangs erzeugt wird.

Der Last-Steuerkreis 68 weist vorzugsweise einen Frequenzanteil-Steuerunterkreis, einen Leistungs-Steuerunterkreis und einen Gegendruck-Steuerunterkreis auf, die alle in Kaskade zusammengeschaltet sind, um ein Dampfstrom-Bedarfssignal zu erzeugen,

509834/0222

245216a

von dem während Last-Steuerbetrieb ein Einstellpunkt für die EH-Ventileinstellungs-Steuerkreise 62 abgeleitet wird. Die verschiedenen Unterkreise sind vorzugsweise so ausgelegt, daß Wechselwirkungen zwischen den hauptsächlichen Turbinen-/ Generator-Variablen, d. h. Gleich- oder Impulsdruck, Leistung Drehzahl- und Ventileinstellung, stabilisiert werden. Vorzugsweise sind die einzelnen Laststeuer-ünterkreise so angeordnet, daß sie stoßfrei in den Betrieb des Laststeuerkreises 68 ein- bzw. aus diesem herausgeschaltet werden können.

Das Lastreferenz- und Drehzahlerfassungs-Ausgangssignal werden durch eine Frequenzanteil-Steuerung 76 verglichen, die vorzugsweise einen Proportionalregler enthält, der in Abhängigkeit von dem Vergleichsergebnis arbeitet, um ein Ausgangssignal zu erzeugen, das mit dem Last-Referenzsignal summiert wird. Dementsprechend wird eine frequenzkompensierte Lastreferenz erzeugt, um ein Leistungs-Bedarfssignal zu erhalten.

Eine Leistungs-Steuerung 78 spricht auf den Megawatt-Bedarf und ein Leistungs-Signal vom Leistungsdetektor 18 an, um dann ein Gleichdruck-Bedarfssignal zu erzeugen. In dem Megawatt-Steuerungs-Unterkreis wird die Leistungs-Abweichung von dem Leistungs-Rückkopplungssignal und dem Leistungs-Bedarf bestimmt, und es wird darauf mittels eines Proportional-/Integralreglers eingewirkt, der ein Leistungs-Trimm-Signal zur Multiplikation mit dem Leistungs-Bedarf erzeugt.

509834/0222

245216a

Eine Gleichdruck-Steuerung 80 reagiert ihrerseits auf ein Gleich- oder Impulsdruck-Signal vom Druckdetektor 38 und das Impulsdruck-Bedarfssignal von der Leistungs-Steuerung, um ein Dampfstrom-Bedarfssignal zu erzeugen, von dem die Ventileinstellungs-Bedarfssignale für die "Vorwärts"-Beaufschlagung des EH-Ventileinstellungs-Steuerkreises 62 erzeugt werden. Vorzugsweise ist der Impulsdruck-Steuerunterkreis als Rückkopplungskreis ausgebildet, wobei der Gleichdruck-Fehler einem das Dampfstrom-Bedarfssignal erzeugenden Proportional- und Integral-Regler (P/I-Regler) zugeführt wird.

Allgemein gilt, daß die Anwendung der Mitkopplungs- und Rückkopplungs-Prinzipien in den Steuerkreisen und die Arten der in den Steuerkreisen verwendeten Steuerungs-übergangsfunktionen von Anwendungsfall zu Anwendungsfall schwanken können.

Ein Drehzahl-Kreis- oder Last-Kreis-Dampfstrom-Bedarfssignal wird einem Positions-Bedarfssignalgenerator 82 zugeführt, der mitkoppelnde Ventileinstellungs-Bedarfssignale zur Beaufschlagung der EH-Ventileinstellungs-Steuermittel 52, 54 in dem Steuerkreis 62 erzeugt. Allgemein gilt, daß der Positions-Bedarf ssignal-Generator 62 eine geeignete Kennlinie verwendet, um Drossel- und Reglerventil-Positions-Bedarfssignale zu erzeugen, wie sie zur Verwirklichung der bestehenden Steuerbetriebsart erforderlich sind, um den Anforderungen hinsichtlich Turbinen-Drehzahl und Last zu entsprechen. So werden bis zu 80 % der Synchron-Drehzahl die Reglerventile weit offenge-

509 83 4/0222

145216a

halten, da die Drosselventile so eingestellt sind, daß damit die Drehzahl-Steuerung erreicht wird. Nach dem übergang werden die Drosselventile weit geöffnet gehalten und die Reglerventile entweder in Einzelventil-Betriebsart oder in Folgeventil-Betriebsart gebracht, um Drehzahl- und/oder Laststeuerung zu erhalten.

Steuersystem

Das Steuersystem 11 weist mehrere, vorzugsweise zwei program- mierte digitale Steuercomputer 90-1 und 90-2 sowie zugehörige Eingangs-/Ausgangs-Ausrüstung auf, wie das im Blockschaltbild der Fig. 4 gezeigt ist, wobei jeder einzelne Block allgemein für eine bestimmte bauliche Einheit des Steuersystems 11 steht. Der Computer 90-1 ist als der primäre On-Line-Steuercomputer ausgelegt, während der Computer 90-2 ein Hilfs-, Bereitschafts- oder Ersatz-Computer ist, der im Hinblick auf den programmierten Computer vorzugsweise im wesentlichen redundant ist und unter allen Anlagen-Arbeitsbedingungen für einen völlig automatischen Hilfsbetrieb der Turbine 10 und des Dampferzeugersystems 22 sorgt. Bei Bedarf können die Rollen der Computer 90-1 und 90-2 vertauscht werden, während die Anlage in Betrieb ist, d. h., der Computer 90-1 kann der Hilfs- oder Ersatz-Computer sein. Wie mit Fig. 5B gezeigt und nachstehend kurz erläutert, kann ein Anlagenüberwachungs-Computer 15 ebenfalls einige Steuerfunktionen im Rahmen des Steuersystems 11 ausüben. Die Tatsache, daß die Kessel- und Turbinensteuerungen in einem einzigen Computer integriert sind, führt zu dem Vorzug, daß redundante

509834/0222

2452163

Computer-Hilfssteuerung für die beiden Hauptteile der Anordnung mit zwei Computern im Gegensatz zu vier Computern möglich ist, wie das auch der Fall wäre, wenn gesonderte Computer gesonderten Hauptbestandteilen der Anordnung zugeordnet werden. Ferner ist es möglich, auf diese Weise eine gewisse Wirtschaftlichkeit bei der Background-Programmierung zu erzielen, wie sie für beide Steuerungen allgemein verwendet wird.

Stellt man Fig. 3A und 3B Fig. 4 gegenüber, so bemerkt man, daß bestimmte Funktionsblöcke der Figuren 3A und 3B durch einen oder mehrere Strukturblöcke der Fig. 4 umfaßt werden können. Die Computer 90-1 und 90-2 können in diesem Falle P2000-Computer sein, wie sie von Westinghouse Electric Corp. verkauft werden und für Echtzeit-Prozeß-Steuerungsanwendungen ausgelegt sind.

Allgemein gesehen wird die Eingangs-ZAusgangs-Kopplungsausrüstung vorzugsweise für die beiden Computer 90-1 und 90-2 doppelt vorgesehen. So sind vorzugsweise an jeden Computer 90-1 oder 90-2 ein herkömmliches Kontaktschließ-Eingangssystem 92-1 oder 92-2 und ein analoges Eingangssystem 94-1 oder 94-2 angeschlossen, um analoge und Kontakt-Systemsignale mit dem Eingang des Computers zu koppeln. Ein Doppelkanal-Impuls-Eingangssystem 96 koppelt in ähnlicher Weise impulsartige Systemsignale mit den Eingängen der einzelnen Computer. Computer-Ausgangssignale sind vorzugsweise mit extern gesteuerten Vorrichtungen über entsprechende geeignete Kontaktschließ-Ausgangssysteme 98-1

509 8 3A /0222

2452169

und 98-2 sowie ein geeignetes analoges Ausgangssystem 100 gekoppelt.

Ein herkömmliches Unterbrechersystem 102-1 oder 102-2 dient dazu, jedem Computer 90-1 oder 90-2 ein Signal zukommen zu lassen, wenn ein Computer-Eingang ausgeführt werden soll oder ein Computer-Ausgang ausgeführt worden ist. Die Computer 90-1 oder 90-2 arbeiten unmittelbar, um die Identität der Unterbrechung auszuführen oder die Ausführung der Antwort vorzugeben, die für die Unterbrechung erforderlich ist.

Die Operatorkonsole 73 ermöglicht eine Steuerung, überwachung, überprüfung und Wartung des Turbinen-/Generatorsystems und des Kessels des Dampferzeugersystems 22 durch, den Operator. Dem Computer 90-1 oder 90-2 werden durch das Kontaktschließ-Eingangssystem 92-1 oder 92-2 Steuerkonsolen-Signale zugeführt, während der Operatorkonsole 73 über das Kontaktschließ-Ausgangssystem 98-1 oder 98-2 Computer-Wiedergabe-Ausgangssignale zugeführt werden. Bei manueller Turbinensteuerung werden Steuerkonsolensignale zu einer manuellen Hilfs-Steuerung 106 geleitet, die der manuellen Hilfs-Steuerung 81 der Fig. 3B gleicht, aber speziell für den Einsatz mit beiden digitalen Computern 90-1 und 90-2 ausgelegt ist.

Eine Steuerung 108 zum Schutz gegen überdrehzahlen schützt die Turbine 10 durch Schließen der Reglerventile und der Abfangventile bei teilweisem oder vollständigem Lastausfall und

5 09834/0222

245216a

Überdrehzahl-Bedingungen, und die Steuerkonsole 73 ist an die Steuerung 108 für den Schutz gegen überdrehzahl so angeschlossen, daß ein Arbeits-Einstellpunkt dafür geschaffen wird. Der Leistungs- oder Megawatt-Detektor 18, das Drehzahl-Erfassungssystem 60 und ein dem Zwischendruck-Turbinenteil 26 zugeordneter Abgasdruck-Detektor 110 erzeugen Signale, die der Steuerung 108 im Hinblick auf den überdrehzahlschutz zugeführt werden. Weitere Einzelheiten hinsichtlich eines geeigneten Überdrehzahl-Schutzsystems finden sich in der US-PS 3 643 437.

Allgemein gilt, daß die Prozeß-Fühler oder -Abtaster nicht doppelt vorgesehen werden, und statt dessen werden die Ausgangssignale der Fühler der Eingangskoppel-Ausrüstung des steuernden Computers zugeführt. Eingangssignale werden den Computern 90-1 und 90-2 von verschiedenen Relais-Kontakten 114 aus im Turbinen-/Generatorsystem und im Dampferzeugersystem 22 über das Konaktschließ-Eingangssystem 92 zugeführt. Zusätzlich werden Signale von den Detektoren 18, 36, 38 und 60 für die elektrische Leistung, den Dampfdruck bzw. die Drehzahl sowie den Dampfventil-Positionsdetektoren und weiteren verschiedenen Turbinen-/Generatordetektoren 118 mit den Computern 90-1 oder 90-2 gekoppelt. Die Detektoren 118 können beispielsweise Impulskammer- oder weitere Temperatur-Detektoren, Vibrations-Fühler, Differential-Expansionsfühler, Schmiermittel- und Kühlmittel-Druckfühler sowie Strom- und Spannungs-Fühler enthalten. Kessel-Prozeß-Detektoren enthalten Temperatur-Detektoren 115 für den Wasserwandungsauslaß des Dampfkühlers, den

509834/0 222

End-überhitzer, den Zwischenüberhitzer-Einlaß und -Auslaß, Wasserwandungs- und Zwischenüberhitz- sowie BFP-Entladungs- sowie sonstige Druck-Detektoren 117,- Kesseleinlaß- und weitere Strömungs-Detektoren 119, einen Abscheidetank-Niveau-Detektor 121 und weitere verschiedene Kesselfühler 123.

Allgemein gilt, daß die Turbinen- und Kessel-Steuerkreise, wie sie in Verbindung mit Fig. 3.A und 3B beschrieben wurden, in Fig. 4 durch Einbeziehung des Computers 90-1 oder 90-2 als Steuerelement in diese Kreise mit übernommen wurden. Die manuelle Hilfs-Steuerung 106 und ihr Steuerkreis sind mit den Computern 90-1 und 90-2 gekoppelt und extern dazu angeordnet.

Bestimmte weitere Steuerkreise arbeiten prinzipiell als Teil eines Turbinen-Schutzsystems außerhalb des Computers 90-1 oder 90-2 oder sowohl außerhalb als auch innerhalb des Computers 90-1 bzw. 90-2. So arbeitet die Überdrehzahlschutz-Steuerung 108 in einem im Verhältnis zu dem Computer 90-1 oder 90-2 externen Kreis, während eine Anlagen-Rücklauf-Steuerung. 120 in einem Steuerkreis, der über den Computer 90-1 oder 90-2 läuft, ebenso wie - über die manuelle Hilfssteuerung 106 - in einem Steuerkreis arbeitet, der im Verhältnis zu dem Computer 90-1 oder 90-2 extern ist. Eine Drosseldrucksteuerung 122 arbeitet über die manuelle Hilfssteuerung 106 in einem Steuerkreis außerhalb des Computers 90-1 oder 90-2, und der Drosseldruck wird außerdem dem Computer 90-1 oder 90-2 zu Überwachungsund Steuerzwecken zugeführt, wie das in Verbindung mit Fig. 3A

509834/0222'

beschrieben wurde. Ein Turbinen-Abschaltsystem 124 läßt die manuellen und Computer-Steuerausgangssignale eine Auslösewirkung reflektieren, wie sie durch unabhängige mechanische oder sonstige Auslösungen in dem Gesamtturbinen-Schutzsystem eingeleitet wird.

Kontaktschließ-Ausgangssignale vom Computer 90-1 oder 90-2 betätigen verschiedene Turbinen- und Kesselsystemkontakte 126, verschiedene Anzeigen, Leuchteinrichtungen oder andere Vorrichtungen, wie sie der Operatorkonsole 73 zugeordnet sind. Ferner wird in einem Anlagen-Synchronisiersystem ein Unterbrecher 130 durch den Computer 90-1 oder 90-2 über Computer-Ausgangskontakte betätigt. Gewünschtenfalls kann die Synchronisierung beim Anlauf automatisch unter Zuhilfenahme einer externen Synchronisiereinrichtung erfolgen oder aber genau manuell unter Zuhilfenahme des genauen digitalen Drehzahl-Steuerkreises durchgeführt werden, der über die Computer 90-1 oder 90-2 arbeitet, oder sie kann unter Zuhilfenahme eines Analog-ZDigital-Hybrid-Synchronisiersystems verwirklicht werden, das einen digitalen Computer verwendet. Im vorliegenden Fall wird die Synchronisierung vorzugsweise durch Steuerung des Operators vorgenommen.

Das Analog-Ausgangssystem 100 erhält Ausgangssignale von einem der beiden Computer und verwendet ein herkömmliches Widerstands-Netzwerk, um Ausgangs-Ventileinstellungssignale für die Turbinen-Drosselventil- und Reglerventil-Steuerungen während

SO 9 834/0222

der automatischen Steuerung zu erzeugen. Ferner werden die" automatischen Ventil-Einstellungssignale der manuellen Hilfssteuerung 106 im Hinblick auf eine automatische oder manuelle stoßfreie übertragung zugeführt. Bei manuellem Turbinenbetrieb erzeugt die manuelle HiIf s-Steuerung 106 die Lagesignale zur Beaufschlagung der Drossel- und Regler-Ventilsteuerungen und zur Beaufschlagung des Computers 90 für den Computer-Nachlauf, wie er für den stoßfreien manuellen/automatischen übergang benötigt wird. Das analoge Ausgangssystem 100 beaufschlagt ferner bei automatischem Kesselbetrieb verschiedene Kessel-Steuervorrichtungen 125 mit Ausgangssignalen. Diese Vorrichtungen umfassen alle die zuvor beschriebenen Vorrichtungen, die zur Steuerung des Kesselbrennstoff-Stroms, Luftstroms sowie Wasserstroms und andere Zwecke eingesetzt werden. Eine Reihe manueller Kesselsteuerungen 127 werden außerhalb der Steuerkonsole 73 betätigt, um manuellen Kesselbetrieb für die Kreise zu ermöglichen, für die ein automatischer Kesselbetrieb durch den Operator oder das Steuersystem zurückgewiesen worden ist.

Ein automatischer Vertex1-Computer oder sonstiger Regler 136 ist mit den Computern 90-1 und 90-2 über das Impuls-Eingangssystem 96 gekoppelt, um für einen Systembelastungs-Zeitplan und die richtige Verteilung zu sorgen. Ein Daten-Verbindungsglied 134 sorgt in diesem Fall für eine Verbindung zwischen den digitalen Computern 90-1 und 90-2, um diese beiden Computer so miteinander zu koordinieren, daß sie beim Auftreten- verschiedener

Störungen einen sicheren und zuverlässigen Anlagenbetrieb gewährleisten können.

509834/0222

Proqrammsystem für Steuercomputer

Ein Computer-Programmsystem 140 hat vorzugsweise einen Aufbau entsprechend Fig. 5A, um das Steuersystem 11 als ein Austast-Datensystem arbeiten zu lassen, in dem Turbinen- und Steuerveränderlichen-überwachung sowie kontinuierliche Turbinen-, Kessel- und Anlagensteuerung mit Stabilität, Genauigkeit und im wesentlichen optimalem Ansprechen zur Verfügung gestellt werden. Beide Computer 90-1 und 90-2 werden im wesentlichen mit dem gleichen Programm entsprechend dem Programmsystem beschickt. Jedoch bestehen kleinere Unterschiede in der Programmierung. Das Computer-Programmsystem 140 wird hier nur im notwendigen Umfang beschrieben, um verständlich zu machen, wie die vorliegende Erfindung angewendet wird. Wie mit Fig. 5B gezeigt, läßt sich auch ersehen, daß die Kraftwerksanlage 12 mit einem AnIagenüberwachungs-Computer 15 versehen ist, der prinzipiell als Anlagendaten-Aufzeichnungseinrichtung und als Anlagenverhalten-Rechner arbeitet. Zusätzlich können von dem Computer 15 bestimmte Steuerfunktionen hinsichtlich der Betriebsablauffolge der Anlage ausgeführt werden. Beispielsweise kann der Computer 15 die Reihenfolge des Wirksamwerdens der speziellen Brenner und der speziellen Brennerebenen bestimmen, die eingesetzt werden müssen, um dem Brennstoff-Sollwertsignal vom Steuer-Computer 90-1 oder 90-2 zu genügen. Jedoch sind die Betriebsfolge-Funktionen des Computers 15 allgemein gesehen für ein Verständnis der vorliegenden Erfindung nicht wesentlich, so daß sie daher im vorliegenden Fall auch nicht genauer untersucht werden.

S 0-983 A/0-22 2

Ein Ausführungs- oder Überwachungsprogramm T42, ein Hilfssynchronisierer 168 mit einem PROGEN-Synchronisierabschnitt 168A und einem DEH-Synchronisierabschnitt 168B sowie einem Unterniveau-Prozessor 143 sorgen für eine Zeitplan-Steuerung hinsichtlich des Ablaufs der Kesselsteuerketten und verschiedener Programme in dem Computer. 90-1 oder 90-2 sowie für eine Steuerung des Zustroms an Computer-Eingangssignalen und -AusgangsSignalen über die zuvor erwähnten Eingangs-/Ausgangssysteme. Allgemein hat das Ausführungs-Prioritätssystem 16 Aufgabenniveaus (task levels), wobei die meisten der DEH-Programme acht Aufgabenniveaus außerhalb des PROGEN-Unterniveau-Prozessors 143 zugeordnet sind. Das niedrigste Aufgabenniveau steht der Programmiererkonsole zur Verfügung, während die übrigen sieben Aufgabenniveaus PROGEN zugeordnet sind. So sind Kesselsteuerketten und einige DEH- sowie weitere Programme als Unterniveauaufgaben auf den verschiedenen PROGEN-Aufgabenniveaus in dem Unterniveau-Prozessor 143 zugeordnet. Allgemein werden Angebote verarbeitet, um das anbietende Aufgabenniveau mit der höchsten Priorität laufen zu lassen. Unterbrechungen können Programme anbieten, und, alle Unterbrechungen werden mit einer Priorität verarbeitet, die höher als ein Aufgaben- oder Unteraufgabenniveau ist.

Allgemein ist das Computer-Programmsystem 140 eine Kombination von Turbinen-Steuerprogrammen und Kessel-Steuerketten 145, zusammen mit der Hilfsprograminierung, die benötigt wird, um die Steuerprogramme und die Ketten 145 mit einem Koppelwerk zu der

509834/0222

Kraftwerksanlage in Echtzeit auszuführen. Die Kessel-Steuerketten 145 werden mit Hilfe eines automatischen Prozeßprogrammier- und Strukturiersystems vorbereitet, das auch als PROGEN (PROGRÄM GENERATOR) bezeichnet wird. Sie PROGEN-ausgeführten DEH- oder Turbinenprogramme und die Kessel-Steuerketten 145 werden mit den Hilfs- oder Unterstützungsprogrammen gekoppelt, etwa dem Unterniveau-Prozessor 143, dem Hilfssynchronisierer 168, einem Steuerketten-Prozessor 145A oder dem Überwachungsprogramm 142. Ein PROGEN-Daten-Center 145B liefert PROGEN-Anfangsbedingungs- und sonstige -Daten. Die Turbinen- oder DEH-Programme, die den Unterniveau-Prozessor 143 umgehen, werden mit dem Hilfssynchronisierer 168 gekoppelt, wie das in der gleichen Anmeldung beschrieben wird.

Nachdem die Kessel-Steuerketten 145 einmal geschrieben worden sind, werden sie off-line durch einen Steuerketten-Generator (in Fig. 5B nicht dargestellt) verarbeitet, und das Ausgangssignal von diesem wird in den Computer unter Verwendung eines Ablage-Ladeprogramms (nicht gezeigt) eingegeben. Es werden dann automatisch Ketten in dem Computer gespeichert und über die I/O-Ausrüstung mit dem Prozeß und weiteren programmierten Ketten sowie Programmelementen verbunden, wie das notwendig ist, um den gewünschten Echtzeit-Kettenablauf auszuführen. In Beziehung zu der Wahl einer Kette für die Ausführung oder das Prozeß-Triggern einer gewählten Kette stehende Logik wird allgemein in den Computer 90-1 oder 90-2 als gesonderte Kette eingegeben. Wenn somit eine besondere Kessel-Steuerbetriebsart

50 9834/0222

die Ausführung einer bestimmten Kette erfordert, so wird die Kette automatisch ausgeführt, wenn diese Betriebsart gewählt wird.

Ein Datenverbindungs-Programm 144 wird periodisch oder auf Abruf angeboten, um für einen Zwischencomputer-Datenfluß zu sorgen, der.den Status des Bereitschaftscomputers im Verhältnis zu dem steuernden Computer in Verbindung mit einer Computerumschaltung im Fall eines unvorhergesehenen Ereignisses (Störung) oder einer entsprechenden Operator-Wahl auf den neuesten Stand bringt. Ein Programmier-Konsolenprogramm 146 wird auf Abruf durch eine Unterbrechung angeboten, das dann die Durchführung von Programm-Systemänderungen ermöglicht.

Wenn ein Turbinensystem-Kontakt seinen Zustand ändert, so läßt eine Unterbrechung ein Folge-von-Ereignissen-Unterbrechungsprogramm 148 ein Angebot für eine Abtastung aller Turbinensystem-Kontakte durch ein Programm 150 plazieren. Ein periodisches Angebot kann auch plaziert werden, um das Turbinenkontaktschließ-Eingangs-Programm 150 über einen Block 151 laufen zu lassen. Kessel-Kontakte werden in gleicher Weise durch eine PROGEN-Digitalabtastung 149 in Abhängigkeit von einer Kessel-Kontaktänderung abgetastet, die durch ein Manuel!-/Automatisch-Station-Folge-von-Ereignissen-Unterbrechungsprogramm 148A oder ein Kesselanlagen-CCI-Folge-von-Ereignissen-Unterbrechungsprogramm 148B ermittelt wird. Eine Leistungsausfall-Einleitung 152 kann ebenfalls das Turbinen-Kontaktschließ-'

509834/0222

Eingangs-Programm 150 anbieten, so daß es beim Computer-AnIauf oder -Wiederanlauf als ein Teil des Computer-Einleitungs-Verfahrens läuft. Die Einleitung 152 bringt auch die Turbinenkontakt-Ausgangssignale über das Überwachungsprogramm 142 in ihren Anfangszustand. In einigen Fällen lassen Änderungen der Turbinenkontakt-Eingangssignale einen Bieter 153 in einen Zustand übergehen, indem ein Turbinenlogik-Aufgaben-Programm 154 ausgeführt wird, um so programmiertes Ansprechen auf bestimmte Turbinenkontakt-Eingangsänderungen zu erhalten. Ein periodisches Abtasten der Kessel-Kontakte durch die PROGEN-Digitalabtastung 149 wird durch den Unterniveau-Prozessor 143 eingeleitet.

Wenn ein Operatorkonsolesignai erzeugt wird, so wird durch einen externen Schaltungsaufbau das Konsolen-Eingangssignal decodiert und ein ünterbrechungssignal erzeugt, um das Konsolen- Unterbrechungs-Programm 156 ein Angebot für für die Ausführung eines Konsolen-Programms 158 plazieren zu lassen, das den Turbinenteil 158A und den Kesselteil 158B umfaßt und für ein Ansprechen auf die Konsolanfrage sorgt. Der Turbinenteil 158A kann selbst das notwendige Ansprechen durchführen oder ein Angebot 160 für das Turbinenlogik-Aufgabenprogramm 154 plazieren, um das Ansprechen durchzuführen, oder es kann ein visuelles Turbinen-Wiedergabe-Programm 162 anbieten, um das Ansprechen auszuführen. Das visuelle Wiedergabe-Programm 162 für die Turbine betätigt seinerseits Kontaktschließ-Ausgangssignale, so daß diese die entsprechende Konsolenwiedergabe

509834/0222

erzeugen. In gleicher Weise kann das dem Kesselteil 158B entsprechende Konsolprogramm selbst für ein Ansprechen sorgen oder aber ein Angebot dafür abgeben, daß eine Aufgabe durchgeführt wird, wie die Ausführung einer visuellen Kesselwiederaufgabe 158C, die Kontaktschließ-Ausgangssysteme (CCO) betätigt.

Allgemein sorgt das visuelle Wiedergabe-Programm 162 dafür, daß numerische Daten in Übereinstimmung mit entsprechenden Wünschen des Operators in Fenstern der Konsole wiedergegeben werden. Wenn der Operator eine neue Wiedergabegröße wünscht, so wird das visuelle Wiedergabe-Programm 162 zunächst durch das Konsol-Programm 158 angeboten. Abgesehen von einer neuen Wiedergabe-Anfrage wird das visuelle Wiedergabe-Programm 162 der Turbine periodisch angeboten, um die existierende Liste für die Wiedergabe angeforderter Größen wiederzugeben. Die Kesselwiedergabe-Auf gäbe 158C ist in ähnlicher Weise aufgebaut, um eine Kessel-Datenwiedergabe für den Anlagen-Operator über Ausgangsvorrichtungen abzugeben.

Die Turbinendruckknöpfe und -tasten an der Bedienungskonsole 104 lassen sich zu verschiedenen Funktionsgruppen klassifizieren. Einige Turbinendruckknöpfe sind als Steuersystem-Schaltereinrichtung klassifiziert, da sie für das Ein- oder Ausschalten bestimmter Steuerfunktionen sorgen. Eine weitere Gruppe Turbinen-Druckknöpfe sorgen für die Wahl der Betriebsart. Eine dritte Gruppe Druckknöpfe sorgt für automatischen

B0983A/0222

Turbinenanlauf, und eine vierte Gruppe sorgt für manuellen Turbinenbetrieb. Eine weitere Gruppe Turbinen-Druckknöpfe ist den Funktionen Ventilstatus/Ventilprüfung/Ventilbegrenzung zugeordnet, während eine sechste Gruppe für visuelle Wiedergabe und Änderung der DEH-Systemparameter sorgt.

Kessel- und Anlagen-Konsoldruckknöpfe umfassen eine große Anzahl, die als Manuell-/Automatik-Wähler für verschiedene gesteuerte Kesselantriebe, Ventile und sonstige Vorrichtungen dienen. Weitere Kessel- und Anlagen-Druckknöpfe sind Funktionen wie Betriebsart-Wahl und visuelle Wiedergabe zugeordnet. Bestimmte Druckknöpfe sind einer Tastatur-Funktion, d. h. der Eingabe numerischer Daten in die Computer 90-1 oder 90-2 zugeordnet.

Ein Unterbrecheröffnungs-Unterbrechungs-Programm 164 läßt die Computer 90-1 oder 90-2 ein Vorspannungssignal zum Schließen der Reglerventile erzeugen, wenn die Last abfällt. In ähnlicher Weise sorgt ein Auslöse-Unterbrechungs-Programm 166 dafür, daß Vorspannungssignale zum Schließen der Drossel- und Regierventile durch den Computer 90-1 oder 90-2 erzeugt werden, wenn das Turbinen-Abschaltsystem 124 die Turbine 10 abschaltet oder der Kessel des Dampferzeugersystems 22 abgeschaltet wird. Bei einer Kesselabschaltung stellt ein Programm-'167' den steuernden Computer auf ein Abschalten der Anlage ein. Kesselabschaltungen können beispielsweise durch den überwachungs-Compüter 15 auf der Basis eines berechneten niedrigen Druckes, einer nicht

50983A/022a

einwandfreien Strömung oder anderer Parameter oder aufgrund von in der Hardware festgestellten Mangeln wie Drosselventilüberdruck oder Wasserwandungs-überdruck oder aufgrund einer nicht einwandfreien Wasserleitfähigkeit, wie sie im steuernden Computer ermittelt worden ist, hervorgerufen werden. Nachdem die Reglerventile aufgrund einer Unterbrecheröffnungs-Unterbrechung geschlossen worden sind, kehrt das Turbinensystem zu Drehzahlsteuerung zurück, und die Reglerventile werden so eingestellt, daß sie eine synchrone Drehzahl halten.

Die Kesseleinstellung erfolgt in Abhängigkeit von der Operator-Konsole, wie das mit dem Block 167A angedeutet ist. Eine Anordnung zur Umschaltung eines Computers wird durch einen Block 167B in Abhängigkeit von einem Hardware-Unterbrechungszustand oder durch einen Block 167C in Abhängigkeit von einer Software-Fehlfunktion ausgelöst.

Periodische Programme werden durch das Programm des Hilfssynchronisierers 168 in ihre richtige zeitliche Zuordnung gebracht. Ein externer Taktgenerator (nicht dargestellt) dient als Zeitgeberquelle für das System. Ein Aufgabenprogramm 170, das für eine Turbinen-Analog-Abtastung sorgt, wird jede halbe Sekunde direkt angeboten, um Turbinen-Analog-Eingangssignale für die Aufdatierung durch einen ausführenden Analog-Eingangs-Verarbeiter auszuwählen. Eine Kessel-Analog-Abtastung 171 wird in ähnlicher Weise über den Unterniveau-Prozessor 1.43 gefahren, um Kessel-Analog-Eingangssignale in PROGEN-*Ablagen 173 unter der

&09834/0222

überwachung eines PROGEN-Datenablage-Prozessors 175 auf den neuesten Stand zu bringen (aufzudatieren). Nach dem Abtasten wandelt das Aufgaben-Programm 170 oder die Kessel-Analog-Abtastung 171 die Eingänge in ingenieurmäßige Einheiten um, führt Begrenzungsprüfungen aus und trifft bestimmte logische Entscheidungen. Das Turbinenlogik-Aufgaben-Programm 154 kann über einen Block 172 als Ergebnis eines Turbinen-Analog-Abtast-Programmlaufs angeboten werden. In ähnlicher Weise kann eine Kessel-Steuerkette als Ergebnis der Aufdatierung einer Kessel-Analog-Datenablage angeboten werden.

Das Aufgaben-Programm 170 stellt ferner eine Turbinen-Blink-Konsol-Lichtfunktion zur Verfügung, um so bestimmte Turbinen-Konsol-Lampen über den Ausführungs-Kontaktschließ-Ausgangsverarbeiter unter bestimmten Umständen aufblinken zu lassen. Im vorliegenden Ausführungsbeispiel werden insgesamt neun Turbinenzustände fortlaufend im Hinblick auf ein Blinken überwacht.

Das Turbinenlogik-Aufgaben-Programm 154 läuft periodisch, um verschiedene Turbinenlogik-Aufgaben auszuführen, wenn es angeboten worden ist. Ein PROGEN-Nachrichten-Schreibprogramm wird abseits des Unterniveau-Prozessors 143 alle 5 s gefahren, um ein Ausdrucken wesentlicher Größen in Verbindung mit dem automatischen Turbinenanlauf und anderer vorgewählter Informationen zu veranlassen.

Ein Kessel-Logik-Programm 250 wird jedesmal gefahren oder durchlaufen, wenn eine Lauf-Logikfahne bzw. ein Lauf-Logik-

109834/0222

Kennzeichen gesetzt worden ist. Wenn das resultierende Angebot für eine Kessel-Logik-Eunktion ist, so wird die Turbinen-Logik umgangen und nur die Kessel-Logik gefahren. Andererseits führt ein Turbinenlogik-Funktions-Angebot zu der Ausführung der
Kessel-Logik.

Die Turbinen-Software-Steuerfunktionen werden prinzipiell in
einem automatischen Turbinen-Anlauf(automatic turbine
startup - ATS)-Steuer- und Überwachungsprogramm 178, das periodisch von dem Unterniveau-Prozessor 143 ausgefahren wird, sowie in einem Turbinen-Steuerprogramm 180 verwirklicht, das
periodisch von dem DEH-Synchronisierabschnitt 168B ausgefahren wird, wobei bestimmte unterstützende Programmfunktionen durch das Turbinenlogik-Aufgabenprogramm 154 oder bestimmte Unterprogramme ausgeführt werden. Um eine RotorSpannungskontrolle bei Turbinenbeschleunigung oder einen Turbinenlastwert in den Drehzahl-Steuerkreis 66 oder den Last-Steuerkreis 68 zu gewährleisten, wird die Rotorbelastung oder -spannung durch das ATS-Steuer- und Überwachungs-Programm 178 auf der Basis erfaßter
Turbinen-Impulskammer-Temperatur und anderer Parameter berechnet.

Das ATS-Programm 178 überwacht außerdem den Getriebebetrieb,
die Exzentrizität, Vibration, Turbinenmetall- und Lagertemperaturen, Erreger- und Generatorparameter, Stopfbuchsen-Dichtungs- und Turbinenabgas-Zustand, Kondensatorvakuum, Ablaßventilbetrieb, zu erwartende Dampfkasten-Wandtemperatur,

B0983A/022a

Außenzylinder-Flanschfuß-Differenz und Enddifferenz-Ausdehnung. Geeignete Steuerfunktionen werden in Übereinstimmung mit programmierten Bedingungen, die durch die Funktion des Überwachungssystems erfaßt werden, ausgelöst.

Neben anderen Funktionen begleitet das ATS-Programm 178 den Turbinenbetrieb auch durch die verschiedenen Stufen des Anlaufbetriebs vom ersten Ingangsetzen bis zur Synchronisierung.

In dem Turbinen-Steuerprogramm 180 sind die Programmfunktionen allgemein (1.) auf die Berechnung der Drossel- und Reglerventil-Einstellungen, um den Drehzahl- und/oder Last-Bedarfssignalen bei Operator- oder Fernautomatik-Betrieb zu genügen, sowie (2) das Verfolgen der Turbinenventil-Einstellung bei manuellem Betrieb gerichtet. Allgemein ist das Turbinen-Steuerprogramm 180 als eine Reihe verhältnismäßig kurzer Unterprogramme aufgebaut, die aufeinanderfolgend ausgeführt werden. Bei der Turbinensteuerung wird eine Drehzahldaten-Auswahl von einer Mehrzahl unabhängiger Quellen im Hinblick auf Zuverlässigkeit im Betrieb verwertet, und vom Operator eingegebene Programmbegrenzungen werden hinsichtlich hoher und niedriger Belastung, Ventileinstellung und Drosseldruck plaziert. Allgemein führt das Turbinen-Steuerprogramm 180 vom Operator oder, automatisch ausgelöste übergänge stoßfrei zwischen manuellen und automatischen Betriebsarten und stoßfrei zwischen einer automatischen Betriebsart und einer anderen automatischen Betriebsart aus. ■ Bei der Ausführung von Steuer- und Überwachungsfunktionen

S09834/0222

werden das Turbinen-Steuerprogramm 180 und das ATS-Programm 178 in der erforderlichen Weise mit geeigneten Wiedergaben von Daten gespeist, die von Eingangsdetektoren und Systemkontakten abgeleitet wurden, wie das in Verbindung mit Fig. 4 erläutert wurde. Allgemein können vorgegebene Turbinenventilprüfungen on-line in kompatibler Weise mit der Steuerung des Turbinenbetriebs durch die Steuerungsprogrammierung durchgeführt werden.

Das Turbinen-Steuerprogramm 180 bestimmt auf logischer Basis die Turbinen-Betriebsart durch eine Wähl-Betriebsart-Funktion, die in Abhängigkeit von logischen Zuständen arbeitet, wie sie durch das Turbinenlogik-Aufgabenprogramm 154 von Konsoleingängen und Kontaktschließ-Eingängen erfaßt werden. Für jede Betriebsart sind für die Verwendung in der .Steuerprogramm-Ausführung der Drehzahl- und/oder Last-Steuerung geeignete Werte für den Bedarf und die Änderungsgeschwindigkeit des Bedarfs festgelegt.

Die folgenden Turbinendrehzahl-Steuerbetriebsarten sind, wenn der Unterbrecher geöffnet ist, in der aufgezählten hierarchischen Reihenfolge verfügbar: (1) Automatischer Synchronisierer,, wobei impulsartige Kontakt-Einganssignale für eine inkrementelle Anpassung zwischen Turbinen-Ist- und -Soll-Drehzahl sorgen; (2) automatischer Turbinenanlauf, der automatisch das Turbinendrehzahl-Bedarfssignal und den Geschwindigkeitswert erzeugt; (3) Operator-Automatik, wobei der Operator den Dreh-

509834/0222

-so- 2452166

zahlbedarf und die Änderungsgeschwindigkeit vorgibt; (4.) Wartungs-Überprüfung, wobei der Operator Drehzahl-Bedarf und Drehzahl-Änderungsgeschwindigkeit eingibt und das Steuersystem als Simulator-/Übungseinrichtung betrieben wird; (5) Manuelles Nachlaufen, wobei der Drehzahlbedarf und die Drehzahl-Änderungsgeschwindigkeit intern berechnet werden, um die manuelle Steuerung in Vorbereitung auf einen stoßfreien übergang von manuellem auf automatischen Betrieb zu verfolgen.

Die folgenden Turbinenlast-Steuerbetriebsarten sind, wenn der Unterbrecher geschlossen ist, in der angegebenen hierarchischen Reihenfolge verfügbar: (1) Drosseldruck-Begrenzung, wobei die Turbinenlast-Referenz mit einer vorgegebenen Geschwindigkeit auf ein voreingestelltes Minimum zurückgeführt wird, solange der begrenzende Zustand existiert; (2) Rücklauf, wobei die Last-Referenz mit einer vorgegebenen Geschwindigkeit so lange zurückgeführt wird, wie vorgegebene Beschränkungsbedingungen ■ herrschen; (3.) Automatisches Verteilsystem, wobei impulsartige Kontakt-Eingangssignale für die Anpassung der Turbinenlast-Referenz (Ist-Wert) und des Turbinenlast-Bedarfs (Soll-Wert) sorgen; (4.) Automatische Turbinenbelastung (wenn im System enthalten),wobei der Turbinenlast-Bedarf und die Änderungsgeschwindigkeit des Turbinenlast-Bedarfs automatisch erzeugt werden; (5) Operator-Automatik, wobei der Operator Lastbedarf und Änderungsgeschwindigkeit erzeugt; (6) Wartungsüberprüfung, wobei der Operator den Lastbedarf und die Bedarfs-Änderungs-

B09834/0222

geschwindigkeit eingibt, während das Steuersystem als Simulator- /übungsgerät betrieben wird; (7) Manuelles Nachlaufen, wobei der Lastbedarf und die Änderungsgeschwindigkeit intern berechnet werden, um die manuelle Steuerung in Vorbereitung auf ein stoßfreies übergehen auf automatische Steuerung zu verfolgen.

Bei der Ausführung der Turbinen-Steuerung im Rahmen der Steuerkreise, wie das in Verbindung mit Fig. 3B beschrieben wurde, umfaßt das Turbinen-Steuerprogramm 180 eine Drehzahl-/ Last-Referenzfunktion. Nachdem die Turbinen-Betriebsart einmal festgelegt worden ist, erzeugt die Drehzahl-/Last-Referenz funktion den Referenzwert, der von den anwendbaren Steuerfunktionen verwendet wird, um das Ventileinstellungs-Bedarfssignal zu erzeugen.

Die Turbinen-Drehzahl- oder Last-Referenz wird mit einem gesteuerten oder gewählten Wert erzeugt, um dem festgelegten Bedarf zu entsprechen. Die Erzeugung des Referenzwertes mit einem unter Kontrolle gehaltenen Wert bzw. einer unter Kontrolle gehaltenen Geschwindigkeit ist zum Erreichen des Bedarf sniveaus vor allem in den automatischen Betriebsarten bedeutsam. In Betriebsarten wie Automatische Synchronisierung oder Automatisches Verteilersystem wird der Referenzwert mit Impulsen erweitert, die in Einzelschritten durchgeführt werden, und die Drehzahl-/Last-Referenzfunktion ist bei diesen Betriebsarten im wesentlichen unwirksam. Allgemein spricht

509834/0222

die Drehzahl-/Last-Referenzfunktion auf GO- und HOLD-Logik an, und im GO-Zustand wird der Referenzwert mit der durch das Programm festgelegten Geschwindigkeit erhöht oder erniedrigt, bis er dem Bedarfswert gleicht oder ein Grenzzustand bzw. eine Synchronisier- oder Verteilerforderung erfüllt wird.

Eine Turbinendrehzahl-Steuerfunktion sorgt für eine Betätigung der Drossel- und Reglerventile, so daß die Turbine 10 auf die der Referenz entsprechende Drehzahl mit im wesentlichen optimalem dynamischem und statischem Ansprechen gebracht wird. Die Drehzahl-Abweichung oder der Drehzahl-Fehler wird entweder einem Software-Proportional-plus-Rücksetz-Drosselventil-Regler oder einem Software-Proportional-plus-Rücksetz-Reglerventil-Regler zugeführt.

In ähnlicher Weise sorgt eine Turbinenlast-Steuerfunktion für die Einstellung der Reglerventile so, daß diese dem bestehenden Last-Referenzwert mit im wesentlichen optimalem dynamischem und statischem Ansprechen genügen. Der durch die Betriebsart-Wählfunktion berechnete Last-Referenzwert wird im Hinblick auf Frequenzaufteilung durch einen proportionalen Rückkopplungs-Trimmfaktor sowie im Hinblick auf eine Leistungsabweichung durch einen zweiten Rückkopplungs-Trimmfaktor kompensiert. In dem Leistungs-Rückkopplungs-Trimmkreis wird ein Software-Proportional-plus-Rücksetz-Regler verwendet, um den Leistungsfehler oder die Leistungsabweichung auf Null herabzusetzen.

50 9 8 34/0222

Wenn der Drehzahl- und Leistungskreis in Betrieb sind, arbeitet die frequenz- und leistungskorrigierte Lastreferenz als Einstellpunkt für die Gleich- oder Iitipul sdrucks teuerung oder als Strömungsbedarf für ein Ventilmanagement-Unterprogramm 182 (Fig. 5A), je nachdem, ob die Impulsdruck-Steuerung in oder außer Betrieb ist. Bei Impulsdruck-Steuerung wird ein Software-Proportional-plus-Rücksetz-Regler verwendet, um die Impulsdruck-Abweichung auf Null zurückzuführen. Das Ausgangssignal des Impulsdruck-Reglers oder das Ausgangssignal der drehzahl- und leistungskorrigierten Last-Referenz arbeitet als Reglerventil-Einstellpunkt, der vor Zufuhr zu dem Ventilmanagement-Unterprogramm 182 in ein Prozent-Strömungsbedarf-Signal umgewandelt wird.

Das Turbinen-Steuerprogramm 180 weist ferner eine Drosselventil-Steuerfunktion und eine Reglerventil-Steuerfunktion auf. Bei automatischer Steuerung sind die Ausgangssignale der Drosselventil-Steuerfunktion Lage-Bedarfssignale für die Drosselventile, und bei manueller Steuerung werden die Drosselventil-Steuerausgänge zu den gleichen Ausgängen von der manuellen HilfsSteuerung 106 verfolgt. Allgemein halten die Lage-Bedarfssignale die Drosselventile während einer Turbinen-Abschaltung geschlossen und sorgen für eine Drosselventil-Lagesteuerung beim Anlauf und beim übergang auf Reglerventil-Steuerung, um die Drosselventile während und nach Vervollständigung des Drossel-/ Reglerventil-tibergangs weit zu öffnen und in diesem Zustand zu halten.

509834/0222

Die Reglerventil-Steuerfunktion arbeitet allgemein so, wie das für die Drosselventil-Reglerfunktion bei automatischem und manuellem Betrieb des Steuersystems 11 beschrieben wurde. Wenn mit dem Ventilmanagement-Unterprogramm 182 gearbeitet wird, gibt die Reglerventil-Steuerfunktion Ausgangsdaten ab, die ihr von dem Ventilmanagement-Unterprogramm 182 zugeführt werden.

Wenn nicht mit dem Ventilmanagement-Unterprogramm 182 gearbeitet wird, benutzt die Reglerventil-Steuerfunktion eine Funktion mit nicht-linearer Kennlinie, um die nicht-lineare Strömung in Abhängigkeit von der öffnung der Reglerventile zu kompensieren. Das Ausgangssignal der Funktion mit nicht-linearer Kennlinie gibt den Reglerventil-Lagebedarf auf der Basis des Eingangs-Strömungsbedarfs wieder. Eine von dem Operator eingegebene Ventillage-Begrenzung kann auf das Reglerventil-Lagebedarfs signal eine Beschränkung vor der Ausgabe vom Compuer 90 ausüben.

Allgemein sorgt die Reglerventil-Steuerfunktion dafür, daß die Reglerventile während einer Turbinen-Abschaltung geschlossen gehalten werden, daß die Reglerventile während des Anlaufs und bei Drosselventil-Steuerung weit geöffnet gehalten werden, daß die Reglerventile beim übergang vom Drossel- auf Reglerventil-Betrieb während des Anlaufs geschlossen gehalten werden und daß die Reglerventile bei Lagesteuerung nach kurzem Schließen während des Drossel-/Reglerventil-übergangs und danach während

509834/0222

der folgenden Anlauf- und Last-Steuerung wieder geöffnet
werden.

Ein voreingestelltes Unterprogramm 184 wertet einen Algorithmus für einen Proportional-plus-Rücksetz-Regler aus, wie das während der Ausführung des Turbinen-Steuerprogramms 180 notwendig ist. Zusätzlich wird mit einem Nachlauf-Unterprogramm 186 gearbeitet, wenn das Steuersystem 11 sich in der manuellen Betriebsart befindet. Bei Betrieb des Mehrfach-Computersystems wird das Nachlauf-Unterprogramm im Bereitschafts-Computer leer gefahren, um so für einen Turbinen-Nachlauf in dem nichtsteuernden Computer zu sorgen,

Bestimmte logische Operationen werden von dem Turbinenlogik-Aufgabenprogramm 154 in Abhängigkeit von einem Steuerprogramm-Angebot durch Block 188 ausgeführt. Das Turbinenlogik-Aufgabenprogramm 154 umfaßt eine Reihe Steuer- und anderer Logikzyklen, die verschiedenen Teilen des Turbinen-Bereiches des Computer-Programmsystems 140 zugeordnet sind, und es wird ausgeführt, wenn auf Anfrage vom Programm des Hilfssynchronisierers 168
in Abhängigkeit von einem Angebot von anderen Programmen des Systems ein Angebot auftritt. Im vorliegenden System ist die Turbinen-Logik so organisiert, daß sie mit der Anlagen-Haupteinheit arbeitet, d. h., die Leistungs- und Impulsdruck-Steuerungen werden bei koordinierter Steuerung vorzugsweise
außer Betrieb gesetzt, so daß die Last-Steuerfunktion frei
auf dem Anlagenniveau koordiniert werden kann.

509834/0222

Allgemein besteht der Zweck des Turbinen-Logik-Aufgabenprogramms 154 darin, den Betriebszustand des Turbinenteils des Steuersystems 11 anhand von Information zu bestimmen, die vom Turbinensystem, dem Operator und anderen Programmen im Computer-Programmsystem 140 erhalten wurde. Logische Zyklen oder Aufgaben des Aufgabenprogramms 154 sind folgende: Flipflopfunktion; Wartungs-Aufgabe; Drehzahl-Kanalausfall-überwachungslampen; Logik für übergang von automatischem Computer-Betrieb auf manuellen Betrieb; Operator-Automatik-Logik; GO- und HOLD-Logik; Reglerventil-Steuerungs- und Drosselventil-Steuerungs-Logik; Turbinen-Verriegelungs- und Unterbrecher-Logik; Leistungsrückkopplungs-, Impulsdruck- und Drehzahl-Rückkopplungs-Logik; und automatische Synchronisier- und Verteillogik.

Bei automatischer Computer-Steuerung erzeugt das Turbinen-Ventilmanagement-Unterprogramm 182 die Reglerventil-Lagebedarfssignale, die benötigt werden, um dem Turbinen-Dampfstrom-Bedarf und letztlich dem Drehzahl-/Last-Referenzwert zu genügen und dies entweder in der sequentiellen oder der Einzelventil-Betriebsart für die Reglerventile oder bei übergang zwischen diesen Betriebsarten zu tun. Der Betriebsart-Übergang erfolgt stoßfrei ohne Laständerung, abgesehen von der, die beim übergang möglicherweise verlangt wird. Da Änderungen im Drosseldruck in jeder gegebenen Turbinen-Einlaßventil-Einstellung echte Dampfstrom-Änderungen verursachen, können die Drosselventilstellung-Bedarfssignale als Funktion der Drosseldruck-Änderung korrigiert werden. In der manuellen Betriebsart verwendet das

50S83A/0222

Nachlauf-Unterprogramm 186 das Ventilmanagement-Unterprogramm 182, um Reglerventil-Lagebedarfssignal-Berechnungen für stoßfreien Manuell-/Automatik-übergang zu liefern.

Die Reglerventil-Lage wird anhand einer 1inearisierenden Kennlinie in der Form einer Kurve berechnet, die die Abhängigkeit der Ventileinstellung (oder des Ventilhubs) vom Dampfstrom darstellt. Eine für Betrieb bei niedriger Belastung gültige Kurve wird zur Auswertung mittels des Ventilmanagement-Unterprogramms 182 gespeichert, und die für Steuerberechnungen verwendete Kurve wird erhalten, indem die gespeicherte Kurve für Änderungen in der Belastung oder im Strömungsbedarf und vorzugsweise im Hinblick auf Änderungen des tatsächlichen Drosseldrucks korrigiert wird. Eine weitere gespeicherte Kurve für den Strömungskoeffizienten in Abhängigkeit vom Dampfstrom-Bedarf wird verwendet, um den anwendbaren Strömungskoeffizienten zu bestimmen, der für die Korrektur der gespeicherten Niedriglast-Einstellungs-Bedarfskurve für Last- oder Strömungsänderungen verwendet werden soll. Vorzugsweise wird die Ventileinstellungs-Bedarfskurve auch im Hinblick auf die Düsen stromabwärts von den einzelnen Reglerventilen korrigiert.

In der Einzelventil-Betriebsart wird der berechnete Gesaratbedarf hinsichtlich der Reglerventil-Einstellung durch die Gesamtzahl der Reglerventile geteilt, um das Einstellungs-Bedarfssignal pro Ventil zu erzeugen, das als allen Reglerventilen gemeinsam zugeführte Einzelventil-Ausgangsspannung (Fig. 4) aus-

609834/0222

gegeben wird. In der sequentiellen Betriebsart wird die Reglerventil-Folge verwendet, wenn anhand der korrigierten Einstellungs-Bedarf skurve bestimmt wird, welches Reglerventil oder welche Gruppe von Reglerventilen vollständig geöffnet ist und welches Reglerventil oder welche Reglerventil-Gruppe eine Lagesteuerung erfahren soll, um Änderungen der Last-Referenzwerte nachzukommen. Lage- oder Einstellungs-Bedarfssignale werden für die einzelnen Reglerventile bestimmt, und einzelne Sequentiellventil-Analogspannungen (Fig. 4) werden erzeugt, um den berechneten Ventileinstellungs-Bedarfssignalen zu entsprechen. Die Einzelventilspannung wird während des Sequentiell-Ventilbetriebs auf Null gehalten, und die Sequentiell-Ventilspannung wird während Einzelventil-Betrieb auf Null gehalten.

Um von Einzel- auf Sequentiell-Ventilbetrieb überzugehen, wird das Netto-Einstellungsbedarf-Signal, wie es den einzelnen Reglerventil-EH-Steuerungen zugeführt wird, konstantgehalten, während die Einzelventil-Analogspannung schrittweise auf Null und die Sequentiellventil-Analogspannung schrittweise auf den Einzelventil-Spannungswert überführt wird. Sequentiellventil-Einstellungs-Bedarfs signale werden dann berechnet, und es werden dann die Dampfstrom-Änderungen bestimmt, die notwendig sind, um vorgegebene Dampfströmungen durch die einzelnen Reglerventile zu erzielen. Die Dampfstrom-Änderungen werden dann iterativ vorgenommen, wobei die Anzahl der Iterationen durch Teilung der maximalen Strömungsänderung für die einzelnen Reglerventile durch eine vorgegebene maximale Strömungsänderung

609834/0222

je Iteration bestimmt wird. Der gesamte Dampfstrom bleibt im wesentlichen während des Übergangs konstant, da die Summe der inkrementellen Dampfstrom-Änderungen für eine Iteration Null ist.

Um von Sequentiellventil-Betrieb auf Einzelventil-Betrieb überzugehen, wird ein Einzelventil-Einstellungs-Bedarfssignal anhand des Dämpfstrom-Bedarfs bestimmt. Für jedes einzelne Reglerventil werden Strömungsänderungen bestimmt, die benötigt werden, um dem vorgegebenen Dampfstrom zu genügen, und es wird' dann mit einem Iterationsverfahren wie bezüglich des Einzel-/ Sequentiell-übergangs beschrieben gearbeitet, indem die Ventileinstellungen inkrementell geändert werden, so daß die Einzelventil-Sollstellung im wesentlichen ohne Störung des Gesamt-DampfStroms erzielt wird. Wenn der Gesamt-Dampfstrom-Bedarf sich während eines Übergangs ändert, so wird der übergang ausgesetzt, da der Dampfstrom Änderung in gleicher Weise von allen Ventilen genügt wird, die in der Richtung beweglich sind, die zur Deckung der Bedarfsänderung benötigt wird.

System zur übergabe der Steuerung zwischen Computern

Ein System 200 (Fig. 6) ist in das Steuerungssystem 11 und die Kraftwerksanlage 12 eingearbeitet, um übergaben zwischen Steuer-Computern in einem Mehrfach-Computer-Steuerungssystem im wesentlichen ohne Störung des Anlagenbetriebs und vorzugsweise bei jeder Anlagen-Betriebsart oder jedem Anlagen-Betriebszustand einzuleiten und auszuführen. Das System 200 weist ein über-

609834/0222

245216a

tragungs- bzw. Übergabe-Auslösesystem 202 auf, das entsprechend den Grundlagen der Erfindung arbeitet und in dem bevorzugten Zwei-Computer-Steuerungssystem Computersteuerungs-übergänge automatisch ausführt, um die elektrische Anlage 12 gegen Fehlfunktionen zu schützen. Die Programmelemente des Auslösesystems 202 und ein übergangs-Ausführungssystem (mit den Elementen 224-1, 168-1, 250-1, 240-1, 242-2, 142-2, 330, 242-2, 240-2, 354, 250-2, 224-2, 168-2, 142-2, 356 T, 356B der Fig. 6) sind vorzugsweise von Bindungen an andere Programme isoliert, so daß Änderungen in anderen Programmen im wesentlichen isoliert bleiben und Änderungen im Übergangssystem-Programm bequem vorgenommen werden können.

Das Übergabe-System 200 ist so aufgebaut, daß auch Computer-Steuerungsübergaben, wie sie von einem Operator gewählt werden, verwirklicht werden können, wie das mit dem Übergabewahl-Block 204 angedeutet ist. Vorzugsweise ist die manuelle HilfsSteuerung 81 mit dem mehrfachen oder Doppelkanal-Computer-Steuerungssystem gekoppelt, um für den Fall des Auftretens einer Übergabe-Fehlfunktion für Betriebssicherheit der Anlage zu sorgen. Aus Gründen einschließlich den eingangs gegebenen ist jedoch eine übergabe-Fehlfunktion (wie beispielsweise die NichtVerfügbarkeit des Bereitschafts-Computers) erheblich geringer als eine Fehlfunktion des steuernden Computersystems selbst. Wiederum kann eine Fehlfunktion des steuernden Computers verhältnismäßig selten sein, wie beispielsweise der P2000-Computer typischerweise drei- oder viermal im Jahr aus-

S09834/0222

fällt, wenn er kontinuierlich betrieben wird. Die geschätzte Computer-Ausfallhäufigkeit oder Computer-Störungshäufigkeit eines bestimmten Computers hängt von der Art der Fehlfunktionen ab, die als den Computer in einen Fehlzustand bringend angesehen werden.

Andere Anwendungsmöglichkeiten für bestimmte Merkmale· der Erfindung könnten anstelle einer elektrischen Kraftwerksanlage eine durch eine Gasturbine betriebene elektrische Kraftwerksanlage, eine Kraftwerksanlage mit Verbundbetrieb oder ein Kernkraftwerk sein. In allen diesen Fällen führen Computerübergänge zu einem übergang in der Steuerung einer Turbine und/oder eines Anlagen-Energiequellesystems oder eines Dampferzeugersystems .

Das System 200 umfaßt ferner ein System 206 zur dynamischen Strukturierung des Bereitschafts-Computers, so daß er im wesentlichen die gleichen Steuer-Ausgangssignale abgibt und sich - abgesehen von eventuellen Ausnahmen der vorliegenden Ausführung - allgemein zu allen Zeiten im wesentlichen im gleichen Zustand wie der steuernde Computer befindet. Identität im Computer-Ausgangszustand ist erforderlich, um störende oder schädigende schrittweise Änderungen der Steuer-Ausgänge für den Kessel oder die Turbine bei übergabe des Steuer-Computers infolge einer Schutzmaßnahme oder durch Wahl des Operators zu verhindern.

E09834/0222

Wenngleich nicht alle Steueränderungen beim Übergang zu einer Schädigung führen würden, so würden doch die meisten, wenn nicht sogar alle Steuerungsänderungen den Leistungserzeugungsprozeß in einem gewissen Maße stören. Beispiele für schädigende Steuerungensanderungen sind kurz in der Einleitung darge- · legt worden. Wie bereits erwähnt, sind mögliche unerwünschte Folgen von störenden oder schädigenden Steuerungsänderungen während des Steuer-Computer-Übergangs Metallspannungs-Schädigungen, die die Lebensdauer der Anlage verkürzen können, eine Unterbrechung der Leistungslieferung, unmittelbare Anlagenbeschädigung und daraus folgende Verletzungen von Anlagenpersonal.

Allgemein gibt das Blockschaltbild der Fig. 6 das System in einem Zustand wieder, in dem der erste Computer 90-1 steuert und der Bereitschafts-Computer 90-2 sich in Bereitschaftsstellung befindet. Ein ähnliches Schaltbild gilt, mit gewissen Verschiebungen zwischen den Computern 9Q-1 und 90-2 in gleicher Weise, wenn der Computer 90-2 steuert und der Computer 90-1 sich in Bereitschaftsstellung befindet.

Computer s tatus-Aufdat ier system

Die beiden Computer 90-1 und 90-2 sind zum größten Teil gleich programmiert, und das Problem, den in Bereitschaftsstellung befindlichen Computer in der gleichen Weise wie den steuernden Computer strukturiert zu halten, erstreckt sich allgemein auf die Veränderlichkeit der Werte der Steuer-Ausgangssignale _r die dem Kessel und der Turbine zugeführt werden, sowie auf die

BG9834/022 2

Veränderlichkeit des Funktionsaufbaus der Steuerkreise, etwa dahingehend, daß diese sich in einer manuellen oder aber einer automatischen Betriebsart befinden. Das Problem der Vermeidung einer Kollision zwischen den beiden Computern in Bezug darauf, welcher die Steuerfunktion ausübt, wird nachstehend beispielsweise in Verbindung mit dem Kessel-Logik-Programm 250-1 oder · 250-2 untersucht.

Es wird vorzugsweise im vorliegenden Fall mit Datenverbindungen gearbeitet, um zumindest einen Teil der Steuersystem-Daten zwischen den Computern 90-1 und 90-2 zu übertragen. Allgemein werden im wesentlichen alle Kesselsteuer-Ausgangssignale ersten Niveaus des Computers, der sich in der Bereitschaftsstellung befindet, vorzugsweise im wesentlichen an die des steuernden Computers durch ein Verfahren angeglichen, bei dem der Bereitschafts-Computer in einer manuellen Nachlauf-Betriebsart gehalten wird und die verschiedenen Kessel-Steuerkreis-Ausgangssignale ersten Niveaus vom Bereitschafts-Computer im Hinblick auf entsprechende Einstellpunkte für die Kessel-Steuerkreise, in Abhängigkeit von der tatsächlichen Änderung der Eingangs-Prozeßveränderlichen des Kessels nachgeführt werden.

Die in den Kessel-Steuerkreisen verwendeten Nachlauf-Steuerungen benötigen Computer-Kapazität, die sonst für andere Zwecke verwendet werden könnte, aber auf diese Weise ist der Bereitschafts-Computer in der Lage, dynamisch so strukturiert zu werden, daß er den gleichen Aufbau wie der steuernde Computer

509834/0222

hat, selbst wenn verfügbare Datenverbindungen ungenügende Daten-Übertragungsgeschwindigkeit aufweisen, um alle erforderlichen Daten zwischen den Computern mit der für die verschiedenen Datenelemente erforderlichen Periodizität zu verschieben. Ferner wird durch die Anwendung des Einstellpunkt-Nachlaufs auf die Kessel-Steuerungen des ersten Niveaus gegenüber dem Nachlauf der Kessel-Prozeßveränderlichen jede Notwendigkeit vermieden, die Kessel-Unterprozesse für Programme zu kennzeichnen, die solche Kennzeichnungen verwerten würden, um aufdatierende Rückberechnungen für stromaufwärts liegende Steuerkreis-Variable durchzuführen.

Wo schnelle Datenverbindungen zur Verfügung stehen, können Nachlauf-Steuerfunktionen reduziert werden, während das Status-Auf datieren an die Datenverbindung übergeben werden kann. Nachlauf-Steuerungen können jedoch zumindest in einigen Anwendungsfällen oder zumindest teilweise auch dann angebracht sein, wenn eine schnelle Datenverbindung verfügbar ist. So könnten beispielsweise bei der Datenkopplung von Steuerkreis-Ausgangssignalen bestimmte Fehlerbedingungen im Bereitschafts-Computer bestehen, die dann erst nach der Ausführung einer Übergabe bekannt würden. Beispielsweise könnte ein schlechtes analoges Eingangssignal zwar nicht zu einem Ausfall des Bereitschafts-Computers führen, wohl aber zu einer beträchtlichen Verschiebung im Ausgangssignal eines Steuerkreises, in dem es nach einer Übergabe verwertet wird,, Eine daraus resultierende Störung im Kessel- oder Turbinenbetrieb- könnte eine Abschaltung oder eine Anlagenschädigung hervorrufen»

. §09834/0222

Es ist auch bemerkenswert, daß die Nachlauf-Steuerungslösung beträchtliche Nachteile vermeidet, wie sie mit der unmittelbaren Annäherung des Betriebs der Bereitschafts-Kessel-Steuerkreise ersten Niveaus so, als wenn diese sich im Zustand der automatischen Steuerung befänden, verbunden sind. Wenn die Kessel-Steuerkreise in der automatischen Betriebsart auf Bereitschaftsbasis betrieben würden, könnte die Differenz zwischen umgewandelten analogen EingangsSignalen für die beiden Computer über lange Zeitdauer hinweg integriert werden, um dann erheblich unterschiedliche Steuer-Ausgangssignale für die gleichen Kreise in den beiden Computern zu erzeugen. Beispielsweise weist in der Kesselluft-Steuerung ein Stellungs-Steuerkreis für ein Dämpfungsglied einen Dämpfungsgliedstellungs-Detektor auf, der dem Analog-Eingangssystem 94-1 und dem Analog-Eingangssystem 94-2 ein Stellungssignal zuführt. Im Computer-Programmsystem wird eine Abbildung des Rückkopplungs-Stellungssignals mit einem Stellungs- oder Lage-Einstellpunkt verglichen, und die Abweichung wird integriert, um ein Stellungs-Sollwert-Ausgangssignal zu erzeugen. Das Analogsignal wird in entsprechende digitale Signale umgewandelt, die den beiden Computern durch die Einwirkung der entsprechenden analogen Kessel-Abtastprogramme und die beiden Computer-Eingangssysteme zugeführt werden. Der Einstellwert des Dämpfungsgliedes im Computer 90-1 kann um ein oder mehr Bits von dem Einstellwert im Computer 90-2 infolge von Umwandlungsdifferenzen zwischen den beiden analogen Eingangssystemen 94-1 und 94-2 (auf die allgemein als VIDARS bezug genommen wird) geringfügig abweichen. Solche

509834/0222

245216a

kleinen Bit-Differenzen zwischen den umgewandelten Lagesignalen oder gespeicherten Lagewerten treten in Verbindung mit VIDARS auf, die einen niedrigen Umwandlungsfehler in der Größenordnung von 0,1 % oder weniger haben. Wenngleich die Einstellungs-Bit-Differenzen und die resultierenden Bit-Differenzen in den Einstellungs-Fehlersignalen in den beiden Computern klein sein können, kann doch die Einstellungs-Fehlersignal-Differenz bei Integration über längere Zeit zu weitgehenden Differenzen hinsichtlich der Einstellungs-Bedarfs-Ausgangssignale für die dieselben Dämpfungsglied-Lage-Steuerkreise in den beiden Computern führen. Wenn ein Computer-Übergang mit solchen großen Differenzen in den beiden Computer-Ausgangssignalen in den Dämpfungsglied-Steuerkreisen oder anderen Steuerkreisen durchgeführt würde, könnte es zu unerwünschten Kessel- und Turbinen-Abschaltungen, Anlagenbelastungen oder einem Zusammenbruch kommen, wie das zuvor beschrieben wurde.

Für den Fall der Turbinen-Steuerkreise werden die Turbinen-Ventileinstellungen erfaßt und dem Bereitschafts-Computer zugeführt, und die Ventileinstellungs-Bedarfs-Ausgangssignale werden in Einklang mit den erfaßten Einstellungswerten gebracht, wobei stromaufwärts liegende Steuerkreis-Variable vorzugsweise zurückgerechnet werden, d. h. Einstellpunkt-Variable einschließlich Strömungsbedarf, Impulsdruck-Bedarf und Leistungsbedarf werden von dem messungsbezogenen Einstellungsbedarf aus zurückgerechnet. Die Lösung der Rückrechnung für die Turbine wird bevorzugt, weil die betroffenen Turbinenventil-Steuerkreise

50983A/0222

nur in geringer Zahl vorliegen und genügend gleichartig sind, um eine gemeinsame durchschnittliche Rückberechnung für den Einstellungsbedarf vornehmen zu können, ohne störende Fehler in die aufdatierenden Steuerkreis-Statusberechnungen einzuführen, soweit davon ein sicherer übergang zwischen den Computern betroffen ist.

Die Datenverbindung wird von einem Datenverbindungskreis 220 und einem herkömmlichen Datenverbindungs-Verarbeitungsprogramm in jedem Computer 90-1 oder 90-2 gebildet. Weiter weist der Bereitschafts-Computer 90-2 als einen Unterschied in den Programmsystemen der beiden Computer ein Datenverbindungs-Programm 208 auf, das als Hauptprogramm in der Datenverbindung entsprechend dem Flußdiagramm der Fig. 8 wirkt. Dementsprechend schreibt oder liest der Bereitschafts-Computer 90-2 Daten, während der primäre Steuer-Computer 90-1 nur Anweisungen folgt.

Wenn der primäre Steuer-Computer 90-1 steuert und der Bereitschafts-Computer 90-2 funktionsbereit ist, befindet sich der Bereitschafts-Computer 90-2 in der Bereitschafts-Nachlaufbetriebsart und liest vom primären Steuer-Computer 90-1. Wenn der Bereitschafts-Computer 90-2 steuert und der primäre Steuer-Computer 90-1 sich im funktionsfähigen Zustand befindet, befindet sich der primäre Steuer-Computer 90-1 in der Bereitschafts-Betriebsart, und der Bereitschafts-Computer 90-2 schreibt Daten an den Computer 90-1.

509834/0222

-es- 245216a

Da die Programmierung in den beiden Computern im wesentlichen gleich ist, um die Aufstellung redundanter Steuervorgänge in den beiden Computern zu erleichtern und den Programmier-Aufwand wirtschaftlich zu halten, ist in die Programmierung ein Mechanismus eingebaut, um die beiden Computer zu identifizieren, d. h. festzustellen, ob es sich um den primären Computer 90-1 oder um den Bereitschafts-Computer 90-2 handelt. Auf diese Weise werden Programmier-ünterschiede einschließlich denjenigen in der Datenverbindungs-Programmierung wirksam gemacht. Speziell wird ein Kennzeichen, das als Computer-1-Kennzeichen bzw. COMPONE bezeichnet ist, in dem primären Computer 90-1 verwendet, um diesen als den primären Steuer-Computer arbeiten zu lassen. In der folgenden Beschreibung wird der Bereitschafts-Computer 90-2 allgemein als in der Bereitschafts-Betriebsart befindlich angesehen, während der Computer 90-1 allgemein als in der Steuer-Betriebsart befindlich angesehen wird, wie das in Fig. veranschaulicht ist.

Im vorliegenden Ausführungsbeispiel werden vorzugsweise die folgenden Daten on-line zwischen Blocks 212 und 214 des Computers 90-1 und Blocks 216 und 218 des Computers 90-2 als Teil des den Status aufdatierenden Systems 206 gekoppelt:

509834/0222

245216a

Datenverbindung - Fünf-Minuten-Computer-übergaben

Nr.	A5O9	Bereich	#Loc
1	A515	- A5O9	1
2	A517	- A515	1
3	A52C	- A517	1
4	A8E7	- A52D	2
5	- A91E	38

6-10

Bemerkungen

SOAKDUN - ATS-Abfall-Zustand (ATS soak down status)

ICOL - ATS-Eins.atzzeit (ATS time in service)

RATEINDEX - ATS

T & TP VALUES - ATS-Historische Temperaturwerte

SOAKTIME - Abfallzeit (time to soak)

SPARES

Datenverbindung - Eine-Minute-Computer-übergaben

6-10

Bereich EA28 - EA53

9362 - 9365 936A - 936B 94B1 - 94B1 9454 - 9454 #Loc Bemerkungen

M/A STATUS - BOILER 44 Betriebsart oder Kreis M/A - Stationen

ACCEL/LOAD RATE - DEH VALVE POS. LIMIT - DEH VALVE STATUS SINGLV - DEH

Turbinen-Überwachung Aus - TURBSPOFF (Turbine Supervision Off)

SPARES

Die nachstehenden Daten werden vorzugsweise mit dem Block 218 in dem Bereitschafts-Computer 90-2 gekoppelt, um die Zeit zu verkürzen, die benötigt wird, um den Bereitschafts-Computer 90-2

509834/0222

als Bereitschafts-Computer nach seiner ersten Aktivierung verfügbar zu machen (oder umgekehrt in bezug auf den primären Steuer-Computer 90-1):

Ladeprogramm-Datenverbindung - übergänge (Stop/Einleiten)

A4DA - A53F

Bereich 2796 - 2BF6 43Ox 35AA - 363F 95x 31E5 - 32C1 D1x 3000 - 31A4 1A5x 9290 - 93CF 14Ox

66x

A600 - A94F 35Ox

O5F7 - 05FF 9χ B700 - B7FF 10Ox 948A - 958F 106x

Bemerkungen

D7'S & L7'S BOILER
LOGICAL VARIABLE

K7'S BOILER REAL
VARIABLES

DIGITAL IMAGE & STATUS
BOILER

ANALOGS & AI STATUS
BOILER

DEH Gemeinsam; Delta,
Epsilon

ATS Gemeinsam; Berechnete reelle und logische Werte

ATS Gemeinsam; Berechnete reelle und logische Werte und Einmal-Eichdaten für
den Turbinen-Generator
und Benachrichtungs-Kennzeichen sowie Einfügungen

CALENDAR IN MONITOR
ATS Gemeinsam
DEH Gemeinsam
SPARE
SPARE

6 09834/0222

Im Zusammenhang mit dem Aufbau und der Bestimmung des Aufdatierungssystems beruht der Datenverbindungs-Systemaufbau in dem bevorzugten Ausführungsbeispiel auf der Tatsache, daß Steuer-Ausgangssignale in dem nicht-steuernden Computer durch eine manuelle Betriebsart aufdatiert werden und daß bestimmte Daten auf die Inbetriebnahme des Computers festgelegt sind, während bestimmte andere Daten durch Steuerkonsol-Operationen vorgegeben werden. Ferner enthält der Datenverbindungs-Systemaufbau zwei grundsätzliche Klassen von Daten, d. h. (1) Daten, die mit dem nicht-steuernden Computer gekoppelt werden, wenn dieser beginnt, in den Bereitschafts-Zustand überzugehen, und (2) Daten, die mit dem Bereitschafts-Computer gekoppelt werden, wie dies notwendig ist, um ihn mit dem On-Line-Steuersystem und den Kraftwerksanlagen-Prozeßänderungen auf dem neuesten Stand zu halten.

Um den in den Steuerungszustand übergehenden Computer so zu strukturieren, daß er das gleiche Niveau an Anlagen-Automatisierung wie der die Steuerung abgebende Computer aufbringt, werden in der einen Minute der Datenübertragung der Status von 35 Kessel-Manuell-ZAutomatik-Stationen, die von der Konsole aus gesteuert werden, drei auf Druckknopf-Operationen FR/FW (Temperatur-Abweichung) beruhende Steuerungs-Betriebsarten, Überschußluft- und Gasrückführungs-Steuerung, Überschußluft-Steuerung und alle Anlagen-Haupteinheit-Betriebsarten außer der manuellen datengekoppelt. Die übertragenen Anlagen-Haupteinheit-Betriebsarten werden abgetastet, um dem die Steuerung

509834/0222

245216a

übernehmenden Computer anzugeben, welche Anlagen-Haupteinheit-Betriebsart eingestellt werden muß. Die Gasrückführungs-Steuerung legt einen Ofensteuerungsprozeß fest, der einige M/AStationen beeinflußt, insbesondere hinsichtlich der Frage, wo die Stationen Steuerkreis-Einstellpunkte erhalten. Mit Übernahme der Steuerung durch den Bereitschafts-Computer 90-2 werden die M/A-Stationen aus dem Tabellen-Block 216 (Fig. 6) abgelesen und durch das Kessel-Logik-Programm 250-2 ausgewertet, um den Automationszustand des Kessel-Steuersystems festzulegen, auf den die Kessel-Steuerkreise in einer hierarchischen Reihenfolge gebracht werden, wie sie durch ein Kessel-Logik-Programm entsprechend Block 251 (Fig. 6) vorgegeben ist.

Die Kessel-M/A-Stationszustände sind datengekoppelt, da sich bestimmte Stationen beim die Steuerung abgebenden Computer durch eine momentane Druckknopf-Unterbrechung während der Stillstandszeit des anderen Computers geändert haben könnten. In ähnlicher Weise könnte der Status der M/A-Stationen durch den die Steuerung abgebenden Computer aus der automatischen in die manuelle Betriebsart ohne Konsol-Operationen abgewiesen worden sein, und die Daten-Verbindung sorgt dann dafür, daß der in diesem Fall in Bereitschaftsstellung befindliche Computer auf den neuesten Stand gebracht wird.

Das Turbinenniveau der Automation, d„ h„ automatisches Turbinen-MW oder -IMP ein oder aus, Anlagen-Haupteinheit koordiniert, ATS etcο wird durch Konsol-Operationen und durch

609834/0 222

Programmierlogik festgelegt. Wie zuvor erwähnt, sind die Turbinen-MW- und -IMP-Kreise geöffnet, wenn der steuernde Computer 90-1 sich in der koordinierten Betriebsart der Anlagen-Haupteinheit befindet, und wenn die MW- und IMP-Kreise sich sonst in dem Computer 9Ö-1 im Einsatz befinden, so werden sie im Bereitschafts-Computer 90-2 außer Einsatz gehalten, wenn es zu einer Übergabe kommt.

Vorzugsweise wird, wenn sich vor dem Übergang der Computer im Zustand automatischer Verteilungs-Systemsteuerung befindet, die automatische Verteilungs-Systemsteuerung für den die Steuerung übernehmenden Computer abgewiesen, so daß mögliche Anlagen-Störungen ausschließlich durch das Anlagenpersonal gehandhabt werden können. Dadurch werden entfernt auftretende Laständerungen für die Anlage vermieden, die sonst eine Störung verschlimmexn oder eine neue Störung hervorrufen könnten.

Die Ein-Minuten-Übertragungsgruppe umfaßt vorzugsweise auch die maximale Turbinen-Beschleunigungswert-Logik ACCEL RATE, d. h. Upm/min beim Anlauf oder MW/min bei Lastbetrieb, um den die Steuerung übernehmenden Computer zu zwingen, den augenblicklichen ACCEL RATE-Wert im Hinblick auf einen glatten Betriebsablauf zu halten. Nachdem der logische ACCEL RATE-Wert einmal während des Einleitungsvorgangs eingestellt worden ist, wird er festgelegt und normalerweise auch nicht geändert. In den Fällen, in denen eine Änderung in den steuernden Computer eingeführt würde, ohne in den nicht-steuernden Computer einge-

509 834/0222

führt zu werden, sorgt die Datenverbindung für die Aufdatierung des nicht-steuernden Computers.

Die Turbinen-Ventileinstellungs-Begrenzung ist vorzugsweise
datengekoppelt, da inkrementelle Konsol-Änderungen im Begrenzungswert in den die Steuerung abgebenden Computer eingeführt worden sein könnten, ohne - infolge einer Stillstandszeit des Computers oder anderer Gründe - in den die Steuerung übernehmenden Computer eingegeben worden zu sein. Dadurch werden unterschiedliche Ventileinstellungs-Begrenzungen und mögliche
sich daraus ergebende Stöße im Turbinenbetrieb beim übergang
vermieden.

Ebenso sind vorzugsweise auch die Turbinenventil-Betriebsart-SV/SEQV- und die TURBINE SUPERVISORY OFF - Status-Logik zwischen den Computern datengekoppelt. Die Ventilbetriebsart
wird durch Konsol-Operation gesteuert und vorzugsweise während und nach der übergabe konstantgehalten, selbst wenn eine Turbinenventil-Betriebsartänderung von Sequentiell auf Einzel
oder umgekehrt nach einem übergang stoßfrei bewirkt werden
könnte, falls der die Steuerung übernehmende Computer nicht
richtig auf die Turbinen-Betriebsart eingestellt worden wäre. Es kann somit aus Gründen des Anlagenbetriebs notwendig sein, die vor der übergabe herrschende Ventil-Betriebsart aufrechtzuerhalten, und in jedem Fall ist es wünschenswert, daß unnötige Ventil-Betriebsartänderungen vermieden werden, um so
keine unnötigen Belastungsphasen für die Turbinenmetallteile

509834/0222

aufkommen zu lassen. Die Turbinen-Überwachungs-Logik ist vorzugsweise datengekoppelt, obwohl sie bei Einleitung festlegt und normalerweise anschließend nicht mehr geändert wird.

Die Fünf-Minuten-übergabedaten-Gruppe bezieht sich auf Automatik-Turbinenanlauf (ATS) -Daten ,und ihr übergang vermeidet, daß der in Bereitschaftsstellung befindliche Computer mindestens zwei Stunden vor automatischem Anlauf oder Lastbetrieb der Turbine in Betrieb gewesen sein muß. Somit ist die Mindestzeit, die notwendig ist, um die Spannungsberechnungen für ■ automatische Steuerung infolge der Gewichtung der historischen Temperaturwerte als gültig ansehen zu können, im wesentlichen die gleiche, unabhängig davon, ob der Computer sich im steuernden Zustand befindet, und unabhängig davon, ob eine Computerübergabe während der Gültigkeitsperiode auftritt.

Ein Großteil der ATS-Daten bezieht sich auch auf die Dampfturbinen-Belastungsänderungen nach der Synchronisierung. Die Fünf-Minuten-übergabe-Datengruppe umfaßt ein Turbinen-Kennzeichen SOAKDUN, das sich nach der Einleitung des Computers ändern kann. Dieses Kennzeichen wird bei der Programmierung verwendet, um zu bestimmen, ob die Turbinenläufer-Erwärmungsabfallzeit abgelaufen ist und somit an sich unnötige Berechnungen nach der übergabe durchgeführt werden könnten, sofern der aufdatierte Zustand des Kennzeichens SOAKDUN nicht datengekoppelt ist. Vorzugsweise ist auch die verbleibende Turbinenläufer-SOAKTIME, die sich aus den Wärmeabfallzeit-Berechnungen ergibt, daten-

SO983A/0222

gekoppelt, so daß mögliche, normalerweise zu erwartende Differenzen in den Rechenergebnissen zwischen den beiden Computern und mögliche zugehörige Turbinenstorungen bei der übergabe vermieden werden. Änderungen können während der berechneten Wärmeabfallzeit auftreten, wenn der Wärmeabfall des Turbinenläufers fortschreitet.

In Verbindung mit einem Turbinen-Anlauf wird vorzugsweise auch die ganze Zahl in der Service-Zeitzählung ICOL datengekoppelt. Der Zähler ICOL wird jede Minute um eine Zählung weitergeschaltet, und wenn der Computer zwei Stunden lang zuverlässig gearbeitet hat, wird dem ATS-System die Erlaubnis gegeben, die Turbine automatisch für den Anlauf oder bei Änderung der gewünschten Belastung zu betreiben. Mit dieser Beschränkung des ATS-Systems wird sichergestellt, daß die Steuerung der Dampfturbine gültigen Metallspannungs-Berechnungen entspricht, die auf einem historischen Profil der Turbinen-Rückkopplungstemperaturen beruhen. Die Datenkopplung des ICOL-Wertes ermöglicht eine Wechselwirkung der beiden Computer mit der Turbine in geeigneter Weise, so daß der die Steuerung übernehmende Computer während des Turbinen-Anlaufs eher für ATS zur Verfügung steht, als das sonst der Fall sein könnte.

Vorzugsweise wird auch die laufende Beschränkung der Beschleunigung RATEINDX in erster Linie datengekoppelt, um für einen zuverlässigen und glatten Steuerungsübergang des Turbinen- und Kesselbetriebs zu sorgen. Die Beschleunigungs-Beschränkung

wird aus laufenden Vibrationsbedingungen, Ausdehnungsunter-" schieden und anderen Variablen berechnet und kann bei diesem Ausführungsbeispiel neun unterschiedliche Werte zwischen 50 üpm bis 450 üpm (oder Laständerungs-Äquivalente) haben. Nach einer Computer-Übertragung während des Turbinenanlaufs kann die Beschleunigungs-Begrenzung RATEINDX durch den dann den Kessel und die Turbine steuernden Computer modifiziert werden.

Um das Turbinensteuerungs-Ausgangsprofil des die Steuerung übernehmenden Computers mit dem die Steuerung abgebenden Computer bei Anlauf oder Belastung in Einklang bringen zu können, sind in den ATS-Spannungsberechnungen verwendete historische Daten vorzugsweise datengekoppelt. Diese Daten umfassen gespeicherte Analog-Temperaturwerte und berechnete vorweggenommene Temper.aturwerte, die verwendet werden, um die Turbinenläufer-Oberflächentemperaturen und die durchschnittlichen Läufervolumen-Temperaturen zu berechnen. Um eine Möglichkeit zu veranschaulichen, entsprechend der diese Datenverbindung Vorteile im Turbinenbetrieb bietet, könnte der nicht-steuernde Computer ein schlechtes analoges Temperatur-Eingangssignal haben, das keine Störwirkung auf den nicht-steuernden Computer ausübt, wohl aber einen beträchtlichen Fehler in den Off-Line-Computer-Läufer spannungs- Berechnungen vor der Computer-Übergabe verursacht. Durch Datenkopplung wird der nicht-steuernde Computer gezwungen, seine Spannungsberechnung zur Zeit der- übergabe mit denjenigen des vor der übergabe steuernden Computers in Einklang zu bringen.

609834/0222

Beim Anfahren eines zuvor inaktiven Computers wird mit einem Stop-/Inbetriebnehmen~Programm gearbeitet, das den im inaktiven Zustand befindlichen Computer zuverlässiger und rascher in einen betriebsbereiten Zustand bringt, als das anders der Fall wäre. Allgemein könnte der Computer wegen eines Leistungsausfalls, einer Computer-Hardware-Fehlfunktion, einer Computer-Software-Fehlfunktion oder aus anderen Gründen inaktiv geworden sein. Das Stop-Zlnbetriebnehmen-Programm ist so ausgestaltet, daß das Kessel-/Turbinen-Steuersystem nach einem Computer-Stop auf einen bekannten gemeinsamen Zustand eingestellt wird. Der bekannte Neustart-Zustand umfaßt die folgenden Bedingungen:

1. Bestimmen des Status des anderen Computers

2. Datenkopplung der Werte vom anderen Computer, wenn aktiv und in Ordnung

3. Auf Null-Bringen von Hilfsmelder-Zwischenspeicherbereichen

4. Wiederherstellung von Drehzahlkanal-Hardware

5. Rücksetzen von Schreibmaschinen

6. Rücksetzen von Spann- und Versetz-Einstellung

7. Rücksetzen der Turbinen-CCO-Systeme

8. Rücksetzen der Kessel-CCO-Systeme

9. Rücksetzen der Kessel-Kennzeichen

10. Lesen der Kessel-CCI-Systeme

11. Abtasten der Kessel-Analog-Eingänge

12. Rücksetzen der Turbinenbedarf-CCI-Abtastung

13. Rücksetzen ausgewählter Turbinen-Logik

14. In-den-Anfangszustand-Bringen von ATS-Veränderlichen

15. Rücksetzen von Zählern und logischen Zuständen

809834/0222

16. Setzen von BETA-Zählern

17. In-den-Ausgangszustand-Bringen von gemeinsamer Kessel-Konsole und Zählern

18. Setzen der Regler-Rücksetz-Logik

Nach dem Durchlaufen aller Computer-System-Programme blinkt die Computer-Störungs-Lichtanzei'ge an der Operator-Konsole auf, und der Operator kann dann die System-Programmausführung auf periodischer Basis einleiten.

Im Stop-/Einleitungs-Programm wird der Status des anderen Com- puters abgelesen und die Datenverbindung dann verwendet, um Information vom anderen Computer zu erhalten, so daß der aktivierte Computer schneller für den Betrieb bereitsteht als das sonst der Fall wäre. Andere ausgeführte Funktionen umfassen das Auf-Null-Bringen des Platten-Zwischenspeicher-Bereiches, das vom Kesselmelder-Programm verwendet wird, das Rücksetzen der Drehzahlkanal-Hardware, der VIDARS, der Schreibmaschinen, der Kessel- und Turbinen-CCO-Systeme, Kessel-Kennzeichen, das Lesen der Kessel-CCI-Systeme, das Abtasten der Kessel-Analogsignale, der Logik-Variablen, Zähler und das In-den-Ausgangszustand-Bringen der Kennzeichen. Bestimmte Zähler werden auf Werte voreingestellt, die eine gleichförmige Ausführung des Systems beginnen lassen. Einrichtungen für visuelle Wiedergabe werden so gesetzt, daß sie bestimmte Werte einschließlich Speisewasser-, Anlagen- und Turbinen-Referenzwerten anzeigen. Am Ende der Stop-/Einleitungs-Programmausführung wird eine Abtastung aller Turbinen-CCI-Systeme vorgenommen. Wenn das Programm ohne

S09834/0222

Probleme ausgeführt worden ist, wird ein Kennzeichen STOPINIT gesetzt, und dieses Kennzeichen ist ein Zulässigkeitssignal, das zusammen mit weiteren Zulassigkeitssignalen für die Ausführung des Hilfssynchronisier-Programms und des Gesamtsystem-Programms erforderlich ist.

Die folgende Liste faßt die Datenverbindungs- oder Datenkopplungs-übergänge bei Einleitung (In-den-Anfangszustand-Bringen) zusammen. Allgemein werden Daten übertragen, soweit es sich um Information handelt, die sich infolge Druckknopf-Betätigungen oder aus anderen Gründen beim Nichtbetrieb des aktivierten Computers ändern kann oder dabei geändert haben könnte, und soweit ein Fehler beim Aufdatieren der Daten im die Steuerung übernehmenden Computer eine Kessel- bzw. Turbinen-Störung, Abschaltung oder Schädigung hervorrufen könnte.

Boilerlogik-Variable - CCI oder berechnete Status-Logikwerte wie Abweisungen, Alarme und M/A-Stationen, wie sie bei der Kessel-Steuerung verwendet werden; einige dieser Logikwerte werden durch momentane Druckknopf-Betätigungen gesetzt, die durch den in den Anfangszustand gebrachten Computer zuvor möglicherweise nicht erfaßt wurden.

Boiler-Echtvariable - Dies sind konstante Variable, die beispielsweise als Einstellpunkte, Begrenzungswerte und Maßstabswerte für automatische Verteilvorgänge verwendet werden; obwohl es sich dabei um im allgemeinen festgelegte Eichwerte

ε π ο ßo / /no*?*?

© υ yö ο ■ 4/uz/*

handelt, könnten nach der Einleitung (dem In-den-Anfangszustand-Bringen) Druckknopf-Änderungen auftreten.

Kessel-Digitalbild und Status -" PROGEN-Anwendertabelle der Variablen, verwendet in Verbindung mit CCI-Tabellendaten.

Kessel-Analogwerte und AI-Status - Diese Daten werden aus Gründen gekoppelt, zu denen die Tatsache gehört, daß die analoge Abtastung in einer Weise arbeitet, bei der der zuletzt berechnete analoge Eingangswert im Kern bleibt, wenn ein analoger Eingangswert schlecht geworden ist.

DEH-Gemeinsam - Delta- und Epsilon-Gemeinsam umfassen Eichwerte für MW-, IMP- und Drehzahl-Kreise, Verstärkungen und Zeitkonstanten für Regler, Hoch-/Niedrig-Grenzwerte für Regler, Drehzahl-Totzone und andere Werte. Kappa-Gemeinsam umfaßt dem Ventilmanagement zugeordnete Daten, d. h. Druckknopf-Betätigungen und Betriebsarten für das Ventilmanagement-System, Einzelventil-ZSequentiell-Ventilstatus, eingegebene Konstanten, Eichung des Ventil-Kurvenanstiegs, Anzahl der Versuche zur Durchführung manueller Strömungs-Korrekturen, Strömungs-Bedarf, Druck-Totzone und andere Werte.

ATS - Diese Daten umfassen berechnete Logikwerte, Echtwerte und Eichwerte, die benötigt werden, um das ATS-System in dem Computer, der aktiviert wird, auf den neuesten Stand zu bringen (aufzudatieren).

§09834/0222

Kalender - Diese Daten werden gekoppelt, um genaue zeitliche Aufzeichnungen auf der Registriereinrichtung zu geschäftlichen Zwecken halten zu können.

Als Folge des beschriebenen Einleitungs-Datenkoppel-Systems ist der Computer-Anlauf zuverlässiger und schneller als das sonst der Fall wäre. Gültige Turbinen-Metallspannungs-Berechnungen stehen unmittelbar bei Beginn der Verfügbarkeit des Computers zur Verfügung. Ferner ist der Kessel unmittelbar verfügbar, ohne Eingabe von bis zu 75 Tastaturwerten, um die Gültigkeit des Kessel-Steuersystems zu"überprüfen. Solche Kessel-Eingabewerte können 20 min und mehr in Anspruch nehmen, je nachdem, wie viele Eingabefehler gemacht werden, bis alle Eingaben korrekt und auf Gültigkeit überprüft worden sind. Nach der Einleitung (dem In-den-Anfangszustand-Bringen) bringt der manuelle DEH-Nachlauf die DEH-Steuerungen im angefahrenen Computer verhältnismäßig rasch mit denen im steuernden Computer in Übereinstimmung, während die Kessel-Nachlauf-Steuerungen im angefahrenen Computer etwas zusätzliche Zeit für das In-Einklang-Bringen bzw. Einpegeln der Kessel-Steuerausgangssignale benötigen.

Weitere, Information läßt sich über die Datenverbindung übertragen, wenn dies gewünscht wird.

Hinsichtlich der Kessel-Steuerungen des ersten Niveaus, die Integrator-Wirkung haben, ist in Fig. 10 ein Kessel-Steuerkreis

509834/0222

221 des ersten Niveaus mit einer Nachlauf-Steuerung 223 gezeigt, der in dem Bereitschafts- oder Hilfs-Computer 90-2 verwendet wird, um den Steuerkreis 221 so aufzudatieren, daß seine Ausgänge den Ausgängen vom gleichen Kreis in dem primären Computer 90-1 entsprechen. Nachdem der Hilfs-Computer bestimmt hat, daß er sich in Bereitschaftsstellung befindet, werden geeignete Kennzeichen gesetzt, um die Bereitschafts-Steuerkreis-M/A-Station in die manuelle Nachlauf-Betriebsart zu bringen, d. h. die Nachlauf-Steuerung 223 und andere gleichartige Steuerungen werden so aktiviert, daß sie die Bereitschafts-Computer-Ausgänge mit Prozeß-Änderungen in Einklang bringen und somit den Bereitschafts-Computer-Einstellwerten entsprochen wird, außerdem die Bereitschafts- und Steuer-Computer-Ausgangs signale von jeweils gleichen Paaren Kessel-Steuerkreisen in den beiden Computern im wesentlichen identisch sind. Turbinenlast-Steuerkreis-Nachlauf wird durch ein Rückberechnungsverfahren in einer manuellen Nachlauf-Betriebsart erhalten, d. h. die Ventil-Einstellung wird in den Computer eingegeben, und das Nachlauf-Unterprogramm 186 sowie das Ventilmanagement-Unterprogramm 182 machen diesen Wert gleich dem Lage-Bedarfswert, um einen stromaufwärtigen Strömungsbedarf und dann wiederum einen stromaufwärtigen drehzahlberichtigten Leistungsbedarf sowie Lastbedarf zu berechnen. Weitere Einzelheiten hinsichtlich eines solchen Ventilmanagements bzw. einer solchen Ventilsteuerung sind in der auf dieselbe Anmelderin wie die vorliegende Anmeldung zurückgehenden DT-OS 2 356 erläutert.

509834/0222

Im Kessel-Steuerkreis 221 des ersten Niveaus erzeugt ein Prozeßwandler 225b, beispielsweise ein Strömungsdetektor, ein Analogsignal, das dem Computer 90-1 über sein Analog-Eingangssystem 94-1 zugeführt wird. Der Strömungswert wird in einen Wert in technischen Einheiten durch einen Block 227 umgewandelt und bei automatischer Steuerung mit einem Strömungseinstellpunkt entsprechend Block 229 durch einen Software-Fehlerdetektor 239 verglichen. Auf Fehler wird durch einen Software-Proportional-plus-Integral-Regler (P/I-Regler) 241 eingewirkt, und Hoch-/Niedrig-Grenzwerte werden durch eine Grenzwertstufe 243 vorgegeben. Der Reglerausgang erhält über einen Block 245 eine Verstärkung, und es wird dann einem Software-Fehlerdetektor 247 ein Einstell-Bedarfssignal zugeführt.

Das Einstell- oder Positions-Bedarfssignal dient als ein Einstellpunkt oder Sollwert, der mit der tatsächlichen oder Ist-Stellung einer gesteuerten Vorrichtung wie einem Ventil verglichen wird. Ein Ventileinstellungs-Wandler 251" erzeugt ein analoges Ventileinstellungs-Signal, das in den Computer 90-1 über das Analog-Eingangssystem 94-1 eingegeben wird.

Der Stellungsfehler oder Positionsfehler wird durch einen Block 255 in ein zeitlich abgestimmtes Kontaktschließ-Ausgangssignal umgewandelt, wenn der Steuerkreis sich - wie durch einen Block 253 erfaßt - in der automatischen Betriebsart befindet. Wenn der Steuerkreis sich im manuellen Betriebszustand befindet, setzt ein Block 257 die CCO-Systeme rück_y um den 09834/022/

Kreis aus der Steuerfunktion herauszunehmen. Vergrößerungen" oder Verkleinerungen in der Einstellung werden durch entsprechende CCO-Systeme 259 und 261 verwirklicht, die ein Elektromotor-Betätigungsglied 263 aktivieren, so daß ein Motor 265 angetrieben und damit das gesteuerte Ventil positioniert wird. Der Ventileinstellungs-Wandler 251' ist mit dem Motor 265 gekoppelt, um so das Maß der Motorverstellung als Maß für' die Ventilpositionierung zu erfassen.

Wenn der Computer 90-2 sich in der Bereitschaftsstellung befindet, wird ein Block 267 für stoßfreien übergang (bumpless transfer-BT) in die manuelle Betriebsart gebracht, um einen Rückkopplungspfad für den 'Steuerkreis 221 zu bilden, so daß dieser den entsprechenden Steuerkreis im Computer 90-1 verfolgt bzw. diesem Steuerkreis nachläuft. Als Ergebnis der Computer-Statuserfassung in dem Kessel-Logik-Programm 250-2 wird die dem Steuerkreis 221 zugeordnete M/A-Station in einem Block 269 auf "Manuell" gestellt, um die Nachlauf-Betriebsart in den Anfangszustand zu bringen.

Das Positions-Bedarfssignal vom Block 245 wird mit der Rückkopplungs-Ventileinstellung in einem Software-Fehlerdetektor 271 verglichen, und in einem Block 273 wird jeder Fehler charakterisiert, vom Block 269 weitergegeben und über einen P/I-Regler 275 gleich dem P/I-Regler 241 übertragen. Ein Ausgangssignal vom Regler 275 wird mit dem Einstellwert des Blocks 229 summiert. Der Regler 275 hat zwei Gruppen Eichkoeffizienten

509834/0222

(Z.eitkonstante und Verstärkung), wobei eine Gruppe beim Nachlauf und die andere Gruppe beim automatischen Freimachen während der Rückkehr zu automatischer Steuerung benötigt wird. Die Preimach-Zeitkonstante ist länger als die Zeitkonstante des Prozeßintegrators bzw. PI-Reglers 241, um eine sanfte Rückkehr auf automatischen Betrieb zu ermöglichen. Der Block 273 umfaßt eine Totzone, die den Nachlauf-Positionsfehler durchläßt, wenn er außerhalb der Zone liegt, und den Fehler auf Null zurückführt, wenn der Nachlauf-Positionsfehler sich innerhalb der Zone befindet. Ein weiterer Block setzt ein logisches Zulässigkeitssignal für die Rückkehr auf automatischen Betrieb, wenn das Totzonen-Aüsgangssignal Null ist. Nachdem einmal der übergang auf automatische Steuerung erfolgt ist, führt der Verlust eines Zulassigkeitssignals nicht zur Abweisung der Steuerung.

In der manuellen Nachlauf-Betriebsart ruft eine Abweichung der Strömung vom Einstellpunkt (Sollwert) einen Fehler hervor, der durch den Fehlerdetektor 239 erzeugt wird. Das Positions-Bedarfsausgangssignal wird mit der Rückkopplungs-Ventilposition verglichen, und der Fehlerdetektor 271 für stoßfreien übergang wird dazu gebracht, ein Fehler-Ausgangssignal zu erzeugen, das von der tatsächlichen Ventileinstellung abhängt, wie sie durch den Steuerkreis 221 in dem anderen Computer 90-1 eingestellt worden ist. Der Fehler von dem Fehlerdetektor 271 wird in dem Regler für stoßfreien übergang bzw. PI-Regler 275 integriert, und der Ausgang des Reglers 275 wird mit dem Sollwert des

50983A/0222

Blocks 229 summiert, um den Netto-Einstellwert, der den Fehlerdetektor 239 beaufschlagt, dahingehend zu ändern, daß der Fehlerausgang vom Fehlerdetektor 239 verringert wird.

Mit Änderung des Strömungsfehlers im Verlauf der Zeit ändert der PI-Regler 241 sein Ausgangssignal und hält auf dem erreichten Wert an, wenn der Strömungsfehler-Ausgang Null erreicht. So erfassen der steuernde und der nicht-steuernde Computer dieselbe Strömungs-Variablenänderung vom Prozeßwandler 225b, und wenn der Steuer-Computer seine Steuerfunktion ausübt, um die Ventileinstellung zu ändern und damit den vom steuernden Computer 90-1 berechneten Strömungsfehler zu korrigieren, erfaßt der nicht-steuernde Computer 90-2 Ventileinstellungs-Änderungen und Strömungs-Änderungen und modifiziert sein Ventilpositions-Bedarfssignal vom Block 245, bis der Strömungsfehler Null ist. · ' .

Abgesehen von .kleinen Auflösungsdifferenzen zwischen den beiden Computer-Systemen sollte der Strömungsfehler in beiden Computern den Wert Null zur selben Zeit erreichen, d. h. wenn das Ventil eine Position einnimmt, in der kein Strömungsfehler im steuernden Computer erzeugt wird. Ferner sollten dann, abgesehen von kleinen Auflösungsdifferenzen zwischen den beiden Computer-Systemen, die Positions-Bedarfssignale von den entsprechenden Blocks 245 in den beiden Computern dieselben sein. Somit würde gerade vor der Ausführung eines Computer-Übergangs kein Positionsfehler am Ausgang des Software-Fehlerdetektors

509 834/022 2

247 in dem die Steuerung abgebenden Computer existieren, und gerade nach dem übergang würde am Ausgang des Positions-Fehlerdetektors 247 im die Steuerung übernehmenden Computer kein Positionsfehler existieren. Dementsprechend ermöglicht der Nachlauf-Prozeß eine Durchführung des Computer-Übergangs im wesentlichen ohne Disparität im Steuerbedarfs-Ausgangssignal vom Steuersystem 11, ohne Kesselventil-Bewegung und ohne Kessel- oder Leistungserzeugungs-Störung zum Zeitpunkt des Übergangs infolge relativ großer Differenzen in den Steuer-Ausgangs Signalen zwischen den beiden Computern, die sonst existieren könnten. Der Computer-Übergang erfolgt dementsprechend sanft zwischen den gleichen Steuerkreisen 221, und weitere Turbinensteuer- und das erste Niveau betreffende Kesselsteuer-Kreise erfahren eine ähnlich sanfte übergabe bzw. einen ähnlich sanften Übergang. Ein sanfter Steuerkreis-Übergang erfolgt auch unter von Null abweichenden Ventil-Positionsfehler-Bedingungen in einer Weise, wie das gerade beschrieben wurde.

Nachdem einmal eine übergabe ausgeführt worden ist, bleibt der Kessel-Steuerkreis 221 in dem nunmehr steuernden Computer in der manuellen Betriebsart, wobei er entsprechend der Tabelle des Blocks 216 einem M/A-Status zugeordnet wird. Nachdem die Hierarchie-Logik-Programme 251 den Kessel-Steuerkreis 221 erreichen, wird dieser Steuerkreis in die angegebene Betriebsart überführt, in diesem Fall in die automatische Betriebsart. Normalerweise würde die Nachlauf-Steuerung das Nachlauf-Positions- Bedarf ssignal zur Zeit der übergabe gleich der tatsächlichen

509834/0222

245218a

Position zur Zeit der übergabe machen, so daß kein Fehler am Ausgang des Fehlerdetektors 271 auftreten würde. Gleichzeitig verlangsamt der Block 267 für den stoßfreien übergang seinen integrierten Ausgang durch die Rückkopplungsverbindung der Blöcke 277 und 279 über den Regler 275 durch Schalterfunktion des Blocks 269 auf Null. Mit Abfallen des Ausgangssignals fällt auch das modifizierte Einstellpuhkt-Eingangssignäl zum Software-Fehlerdetektor 239, bis es gleich dem Wert von dem Einstellpunkt-Block 229 ist. Gleichzeitig reagiert der schneller ansprechende Prozeß-Steuerkreis auf jeden resultierenden Fehler vom Software-Fehlerdetektor 239, um zu verhindern, daß das Ventil sich um einen nennenswerten Betrag bewegt, wenn der stoßfreie übergang von manuellem Betrieb auf automatischen Betrieb ausgeführt wird. Infolge der Funktion der Nachlauf-Steuerungen existiert in den Steuerausgängen in dem Nachlauf-Computer, im Verhältnis zu dem steuernden Computer eine sehr niedrige Abweichung (typischerweise weniger als 0,1 %, was eine typische Genauigkeit für ein VIDAR ist) - im Gegensatz zu der Abweichung, die auftreten würde, wenn die Steuerausgangssignale in dem nicht-steuernden Computer auf der Basis der Prozeßeingänge ohne Nachlauf-Steuerungsfunktion berechnet würden.

Wie bereits erwähnt, legen der Steuerkreis 221 und die mit dem Block 267 arbeitende Nachlauf-Steuerung die Kessel-Steuerkreise des ersten Niveaus und die in den verschiedenen Kessel-Funktionen verwendeten Nachlauf-Steuerungen fest. Ähnliche Nachlauf-Steuerungen enthalten folgende Elemente:

B0983A/0222

Luft

Gas-Rückführung Zwischenüberhitzung überhitzung

Steuerung	Gesteuerte Vorrichtung
Speisewasser	FWB-Ventil
	BFP-1
	BFP-2 -
Brennstoff	Minimum-Gasventil
	Gas-Luftregister
	Gas-Ventil
	Öl-Ventil
	öl-Luftregister

FD-1 Einlaß-Dämpfungsglied FD-2 Einlaß-Dämpfungsglied

Rückführung Gebläse-1 Rückführung Gebläse-2

IR-1-Ventil IR-2-Ventil

IS-1-Ventil IS-2-Ventil

Der Steuerkreis 221 kann etwas abgewandelt werden; beispielsweise ist in einigen Fällen der vorliegenden Erfindung der Regler 241 von einem Proportional-Proportional-plus-Integral-Regler gebildet, um Eichschwierigkeiten zu eliminieren, wie sie durch die Anordnung von zwei Integratoren in Reihe entstehen.

Zusätzlich zu den obigen Kessel-Steuerkreisen ersten Niveaus, in denen die Nachlauf-Steuerungen verwendet werden, enthalten Kessel-Steuerungen höheren Niveaus mit der Temperaturfehler-Steuerung und der Brennstoff-Luftverhältnis-Steuerung Blöcke zum stoßfreien übergang, die diese Steuerungen an einer Modifizierung der Einstellpunkte (Sollwerte) der Kessel-Steuerungen ersten Niveaus beim Nachlaufbetrieb hindern und die

509834/0222

Steuerungen höheren Niveaus stoßfrei nach der Ausführung eines Computer-Übergangs in Funktion treten lassen, so daß Differenzen zwischen dem Status der Steuerkreise höheren Niveaus in den beiden Computern stoßfrei überbrückt werden, im wesentlichen ohne den Leistungserzeugungsprozeß zu stören. Es ist zu bemerken, daß zum Zeitpunkt der Ausführung eines Computerübergangs die Erstniveau-Steuerausgänge von den beiden Computern durch die Funktion der Nachlauf-Steuerungen in den Erstniveau-Steuerkreisen im wesentlichen konform gemacht werden.

Ein Beispiel für diesen Betrieb bei höheren Niveaus in der Kessel-Steuerung ist das Temperatur-Fehlersystern. Der übergang arbeitet, um den Multipliziereffekt in dem Speisewassersystem auszugleichen, wenn in manueller Betriebsart gearbeitet wird, indem ein Niveau von 1,0 aufgesucht wird, während bei automatischer Betriebsart für kurze Zeitabschnitte ein Nachlauf erfolgt, wie das durch das Temperatur-Steuerungssystem gefordert wird.

Bei der Auswertung des zweiten stoßfreien Übergangs im Temperatur-Fehlersystem, das zum Ausgleich des Brennstoffsystem-Vervielfachers dient, ist das angewandte Verfahren ähnlich dem Speisewasser-Korrektursignal. Für Zeitperioden, in denen der Temperaturfehler sich in der manuellen Betriebsart befindet, stellt der stoßfreie übergang das korrigierende Vervielfachersignal auf einen Wert von 1,0, und wenn das Temperatur-Fehlersystem sich in' automatischem Betriebszustand befindet, verfolgt

60983.4/0222

der stoßfreie übergang in dem Vervielfacher durch das Temperatur-Fehlersystem gemachte Änderungen.

Triggersystem für Computer-Übergänge

Wenn der primäre Steuer-Computer 90-1 steuert, arbeitet das Übergabesystem 200 so, daß eine schützende automatische Turbinen- und Kesselsteuer-Computer-Übergabe oder eine vom Operator gewählte übergabe an den Bereitschafts-Computer 90-2 eingeleitet wird/ wenn der letztere sich im aktivierten Zustand befindet. Durch die zuvor beschriebene Arbeitsweise des Status-Aufdatierungs-Systems 206 erfolgt ein solcher übergang sicher und stoßfrei. Automatische Schutzübergänge erfolgen in Abhängigkeit von bestimmten Systembedingungen oder -zuständen.

Wie mit Fig. 6 gezeigt, weist das Übertragungs-Auslösesystem 202 eine Hardware-Störungserfassung 222 auf, die Computer-Eingangs-Unterbrechungssignale erzeugt, die für externe Hardware-Störungen repräsentativ sind, um so ein Kennzeichen in einem Computer-Statusprogramm 224 (COMP STAT) zu setzen und dadurch in den meisten Fällen einen automatischen Steuer-Computer-Übergang auszulösen, wenn der Bereitschafts-Computer 90-2 verfügbar ist. Einzelne Hardware-Störungserfassungs-Subsysteme sind so strukturiert, daß sie bei erfaßten Bedingungen, die sinnvollerweise das Auftreten einer Hardware-Störung annehmen lassen, einen Computer-Übergang fordern.

Ö9834

VIDARS

Wenn in den Kessel- oder Turbinen-VIDAR-Einheiten (vgl. Fig. 13A, 15A) in dem Analog-Eingangssystem 94-1 oder 94-2 ein Eichfehler auftritt, löst vorzugsweise ein VIDAR-übertragungs-Subsystem 223 einen automatischen Computer-Übergang aus, da ungenaue Analog-Εingangssignale den steuernden Computer veranlassen könnten, den Kessel oder die Turbine in verzerrter Form zu betreiben. Wie mit Fig. 13A gezeigt, koppelt jedes VIDAR analoge Kessel- oder Turbinen-Mehrfachsignale auf periodischer Basis sequentiell.in den Computer 90-1 oder 90-2. Das VIDAR integriert jedes Analog-Signal über seine Austast-Zeitdauer und erzeugt ein umgewandeltes Binär-Wortsignal für den Eingang in den steuernden Computer.

Der in Fig. 13A wiedergegebene Analog-Verärbeiter (T : ANI oder B ^ ANI) im Überwachungsprogramm 142 eicht jedes VIDAR, indem er ihm Austastspannungen zuführt und die umgewandelten Eingänge erfaßt. Wenn die VIDAR-Kennlinie gegenüber Null versetzt ist, wird dem VIDAR eine Eich-Verschiebungsänderung zugeführt. Wenn die Neigung oder Erstreckung der Kurve von dem angegebenen Wert abweichen, wird dem VIDAR eine Eich-Verstärkungsänderung zugeführt. Wenn entweder nur die Eich-VerSchiebung oder nur die Eich-Verstärkung oder beide Werte erreichen, die beide nicht weiter zu Eichzwecken nachgestellt werden können, setzt der Analog-Verarbeiter 226 ein Turbinen-Kennzeichen PSVF1 oder ein Kessel-Kennzeichen PSVF2 entsprechend dem VIDAR, das eine Fehlfunktion aufgewiesen hat. Dann wiederum wird

509834/0 2 22

in dem Computer-Statusprogramm 224 ein Kennzeichen VDROS1 oder VDROS2 gesetzt und ein automatischer Computer-übergang eingeleitet. Typischerweise würde bei Frequenzänderungen des Systems eine Eichung erforderlich sein, und der Eichbereich würde durch das Auftreten von übermäßig großen Systemfrequenzfehlern überschritten.

Verlorene Analog-Eingang-Unterbrechung

Ein weiteres Schutz-Übertragungs-Subsystem 225 ist vorgesehen, um eine Computer-Steuerungs-Übergabe auszulösen, wenn das Turbinen- oder Kessel-Analog-Eingangssystem 94-1 oder 94-2 in der Weise eine Störung zeigt, daß ein Analog-Punktrelais fälschlich nicht in Abhängigkeit von einem periodischen Analogverarbeiter-Befehl schließt. Bei Ausfall eines Punktrelais geht das Wandlerrelais entsprechend dem mit den Kontakten des gestörten Punktrelais verbundenen Prozeßwandler auf Null, weil dem zugeordneten VIDAR während der Austastzeit keine Analogspannung zugeführt wird. Wie im Fall einer VIDAR-Eichstörung könnte sich in dem Kessel- oder Turbinenbetrieb bei Ausfall oder Störung des Punktrelais eine beträchtliche Verzerrung ergeben. Daher wird bei Erfassung einer Störung eines Analog-Punktrelais die Einleitung oder Auslösung eines Automatik-Steuer-Computer-Übergangs bevorzugt.

Wenn ein analoges Punktrelais geschlossen werden soll, setzt der analoge Verarbeiter 226 (Fig. 13A) bei der Erzeugung des Relais-Schließbefehls ein Kennzeichen PANIF. Das überwachungs-

509834/0222

245216a

programm 142-1 erfaßt das gesetzte Kennzeichen und zählt vorzugsweise 1/10 s lang abwärts. Wenn eine Relaisschließ-Unterbrechung nicht innerhalb der 1/10 s zurückgekehrt ist, wie mit der Verbindung 225a angedeutet, wird eine Relaisstörung angenommen und ein Steuer-Computer-Übergang eingeleitet. Normalerweise schließt ein quecksilberbenetzter Relaiskontakt in etwa 3 bis 4 ms, so daß die Zähldauer von 100 ms genügend Zeit für den Relaisbetrieb läßt.

Wenn kein Unterbrechungs-Rücklauf auftritt, wird in dem Computer-Statusprogramm 224 ein Turbinenkennzeichen ANIFAIL1 oder ein Kessel-Kennzeichen ANIFAIL2 gesetzt und ein automatischer Computer-Übergang eingeleitet.

Verlorene Kontaktschließ-Ausgangs-Unterbrechung

Wenn ein Turbinen- oder Kessel-Ausgangskontakt eine Störung hinsichtlich seiner. Funktion in dem Kontaktschließ-Ausgangssystem 98-1 oder 98-2 aufweist, könnte in dem Kessel- oder Turbinenbetrieb eine Störung auftreten, so daß vorzugsweise ein Computer-Übergang bei einer erfaßten CCO-Störung automatisch durch ein Subsystem 227 für eine verlorene CCO-Unterbrechung ausgelöst wird. Allgemein zählt das überwachungsprogramm 142-1 bei Erzeugung der einzelnen Kontaktschließ-Ausgangssignale in Verbindung mit dem Steuerungsablauf und anderen Aufgaben 1/10 s lang abwärts, und der in Fig. 13A mit 230 bezeichnete CCO-Verarbeiter setzt Turbinen- und Kesselkennzeichen PCFLG1 und PCFLG2. Wenn eine Kessel- oder Turbinen-CCO-

Β0983Λ/0222

Vervollständigungs-Unterbrechung nicht in einer 1/10 ε zurückgeführt worden ist, so wird das Kessel- oder Turbinenkennzeichen in dem Verarbeiter 230 nicht rückgesetzt, und ein entsprechendes Turbinen- oder Kesselkennzeichen CC0PAIL1 oder 2 wird in dem Computer-Statusprogramm 224 gesetzt, um eine automatische Computer-Übergabe auszulösen.

Verlorene Kontaktschiieß-Eingangs-Unterbrechung

Vorzugsweise führt auch ein gestörter Eingangskontakt im Kessel- und Turbinen-Kontaktschließ-Eingangssystem 92-1 bzw. 92-2 zu einer automatischen Computer-Übergabe, da der Computer 90-1 andernfalls fortfahren könnte, die Turbine 10 und den Kessel trotz Fehlens wichtiger oder kritischer Prozeßinformation weiterarbeiten zu lassen. Vorzugsweise sorgt in einem Subsystem für eine verlorene CCI-Unterbrechung entsprechend Block 229 ein CCI-Programm 232 (Fig. 13A) dafür, daß ein vorgewähltes Kessel-CCO-System und ein vorgewähltes Turbinen-CCO-Systern auf periodischer Basis betrieben und jedesmal, wenn eine Prüfung durchgeführt wird, ein Kennzeichen CCISI1 oder 2 gesetzt wird. Die CCO-Systeme sind so angeschlossen, daß sie die CCI-Systeme aktivieren, wie das mit den Verbindungen 234 und 236 angedeutet ist, und das überwachungsprogramm 142-1 zählt 1/1Os abwärts, nachdem ein CCO-Befehl erzeugt worden ist. Wenn die richtige CCI-Unterbrechung nicht innerhalb 1/10 s zurückgeführt worden ist, wird ein Kennzeichen CCIS1FL oder CCIS2FL in dem Computer-Statusprogramm 224 gesetzt und ein Computer-Übergang ausgelöst.

609834/02-2 2

Parity-Fehler

Bei der Verwendung eines herkömmlichen Kernspeichers, für den ein Fehler-Parity-Detektor 238 (Fig. 6) vorgesehen ist, ist der Ausgang vorzugsweise mit dem Computer 90-1 gekoppelt, um eine automatische Computer-Übergabe zu triggern, wenn ein Parity-Fehler auftritt. Im vorliegenden Ausführungsbeispiel, bei dem ein 32.768-Wort-Ampex-Kern in den Computern 90-1 und 90-2 verwendet wird, ist für jeden Computer-Hauptrahmen ein Parity-Fehlerdetektor vorgesehen. Jede Wort-Speicherstelle hat 17 Bits, und das 17. Bit wird gesetzt oder rückgesetzt, je nachdem, ob das Wort zu einem bestimmten Zeitpunkt eine ungerade oder gerade Anzahl Bits hat. Für jedes Wort vergleicht der Fehler-Parity-Detektor 238 die tatsächliche Zahl gesetzter Bits mit dem Zustand des 17. Bit. Wenn eine Abweichung festgestellt ' wird, wird eine Unterbrechung erzeugt und der Computer 90-1 unmittelbar ^inaktiv gemacht, und dementsprechend aktiviert der Monitor-60 Hz-Syn-Countdown kein Kipp-Programm 240 (DD CONTACTS) mehr, so daß eine externe Toter Computer-Detektor-Schaltkarte (Fig. 6) deaktiviert wird. Dadurch wird zugleich ein Steuer-Computer- übergang ausgelöst.

Analogfalle

Der Zweck des Analogfallen-Subsystems 244 besteht darin, festzuhalten oder zu ermitteln, ob eine Schaltkreis-Fehlfunktion in dem Kanal- und Wort-Treiberkreis für das Analogeingang-Relaissystem aufgetreten ist, abgesehen von der Funktionsfähig-

509834/0222

keit der Änalog-Punktrelais, wie das durch das Subsystem 225 für die verlorene Analog-Unterbrechung festgestellt wurde. So bilden entsprechend Fig. 14A Wort-Treiberkarten 224' (von denen nur eine gezeigt ist) und Kanal-Treiberkarten 246 (von denen nur eine gezeigt ist) einen Matrix-Schaltungsaufbau, wobei jeder Matrixpunkt durch Steuerung des Analog-Verarbeiters aktiviert wird, um ein entsprechendes Analog-Punktrelais in dem Analog-Punktrelaissystem zu schalten. Normalerweise muß nur ein Änalog-Punktrelais in einem VIDAR-Eingangskanal (Kessel oder Turbine) geschlossen werden, und eine Summierwiederstandkarte 248 (wovon nur eine gezeigt ist) sowie eine Analogfallenkarte 252 (von denen nur eine gezeigt ist) ermitteln, ob der Computer-Wort- und Kanal-Treiber-Schaltungsaufbau versucht, in einem der VIDAR-Eingangskanäle zwei oder mehr Relais gleichzeitig zu schließen. Normalerweise wird beim aufeinanderfolgenden Schließen der Eingangs-Relaiskontakte, um so aufeinanderfolgende Analog-Eingangs-Punktaustastungen zu erhalten, eine Kontaktschließung für etwa 18 ms in einem 25 ms-Zeitabschnitt gehalten, wöbe die aufeinanderfolgenden Analog-Schließungen in aufeinanderfolgenden Zeitabschnitten auftreten. Ein fehlerhafter Mehrfach-Analogeingang-Relaiszustand würde existieren, wo die Folge oder Sequenz,durch die Erzeugung von Treibersignalen gestört wird, die eine gemeinsame Schließung der Mehrfach-Relaiskontakte über mindestens einen Teil.des Zeitabschnitts verursachen.

Wenn eine Mehrfach-Relaisaktivierung erfaßt wird, erzeugen die Analogfalienkarten 252 eine Unterbrechung, die das Computer-

509834/0222

Statusprogramm 224 einen Steuer-Computer-Übergang entsprechend Fig. 6 einleiten läßt. Ein schützender oder vorsorglicher Übergang von Steuer-Verantwortlichkeit an den Bereitschafts-Computer 90-2 wird für einen Analogfallen-Zustand bevorzugt, da die gleichzeitige Beaufschlagung eines VIDARS mit Mehrfach-Analogsignalen zu einem unsicheren oder unerwünschten Kesseloder Turbinenbetrieb führen könnte. In Kraftwerksanlagen mit einem Steuer-Computer mit manueller Hilfsbetriebsmöglichkeit wird der Turbinen- oder Kesselbetrieb im Fall eines Analogfallenzustands von automatischer auf manuelle Hilfssteuerung " umgeschaltet. Im letztgenannten Fall würde das Computer-Statusprogramm 224 somit ein Kontaktschließ-Ausgangssiganl erzeugen, das die Ausgänge der manuellen Turbinen-Hilfssteuerung 106 und/oder der manuellen Kessel-Hilfssteuerungen die ' Prozeßsteuerung übernehmen läßt.

Herkömmliche Kanal-Treiberkarten und Wort-Treiberschaltungen finden sich auf den Wort-Treiberkarten 244' bzw. Kanal-Treiberkarten 246 der Fig. 14B und 14C. Wie mit Fig. 14E gezeigt, sind die Wort-Treiberausgänge zu vier Untergruppen zusammengefaßt, die vier Widerstands-Dioden-Summierkreise 254, 256, 258 und 260 beaufschlagen. Alle Kanal-Treiberausgänge beaufschlagen einen einzigen Summierkreis 262. Fig. 15A zeigt die bevorzugte Ausführung der Analog-Eingangssysteme 94-1 und 94-2, in denen die Kessel-Eingänge und die Turbinen-Eingänge zu gesonderten Subsystemen zusammengefaßt sind, die gesondert mit dem zugeordneten Computer gekoppelt werden.

609834/0222

Die Ausgänge von der Summier-Widerstandskarte 248 sind mit der Analogfallenkarte 252 gekoppelt? die in Fig» 14D gezeigt istο So werden die summierten Wortsignale und die summierten Kanalsignale jeweils Transistor-Fallendetektor-Schalterkreisen 262, 264, 266, 268 und 270 zugeführt, die empfindlich genug sind, um einen Schalterausgang auftreten zu lassen, wenn das summierte Eingangssignal einer Summe von mehr als einem Wort-Treibersignal oder einer Summe von mehr als einem Kanal-Treibersignal entspricht, während kein Ausgangssignal auftritt, wenn der summierte Eingang einem oder keinem Wort-Treibersignal oder einem bzw» keinem Kanal-Treibersignal entspricht.

Ihrerseits sind alle Fallendetektor-Schalter 262 bis 270 in einer ODER-Verknüpfung mit dem Eingang einer Transistor-Treiberstufe 272 verbunden= Bei der Betätigung der Treiberstufe 272 wird eine Transistor-Äusgangsstufe 274 getriggert, um momentane Ausgangssignale hoher Spannung PSS und FAULT INTERRUPT zu erzeugen und ein Relais 276 zu betätigen» Das PSS-Signal dient als Äfoweich- oder Umgehungsmöglichkeit (override), um die Erzeugung einer Analogeingangs-Vervollständigungs-Unterbrechung zu verhindern, und das Fehlerinterrupt-Signal dient als Änalogfalleneingang für den Computer 90-1, um einen Computer-Übergang auszulösen bzw„ einzuleiten= Insgesamt erzeugt das Änalogfallen-Subsystem 244 eine Computerübergabeunterbrechung α wenn zwei zugeordnete Wort-Treibersignale oder zwei zugeordnete Kanal-Treibersignale gleichzeitig erzeugt werden, d„ h_o wenn die Wort- und Kanaltreiber-Schaltungs-

5098 3U /0222

anordnung versucht/ gleichzeitig zwei Punktrelais zu setzen,

die einander in demselben VIDAR-Eingangskanal zugeordnet sind.

Datenkopplungs-übergabe .

Wenn die Datenverbindungs- oder Datenkopplungs-Hardware ausfällt, wie durch einen Fehlerdetektor 278 in Fig. 13B angedeutet, oder wenn ein Datenverbindungs-Software-Fehler auftritt, wie durch ein C1- oder C2-Aufgabenfehler-Programm 280 bzw. 282' (wie sie weiter unten genauer erläutert werden) erfaßt, wird eine Steuer-Computer-übergabe bei Operator-Wahl oder bei vorsorglicher Triggerung von einem anderen übergabe-Triggersubsystem ermöglicht, aber eine solche übergabe wird vorzugsweise so beschränkt, daß der die Steuerung übernehmende Computer dies in manueller Betriebsart tut, d. h. die automatische Betriebsart wird im Nach-übertragungszustand des Steuersystems 11 gesperrt. Der Grund für diese Beschränkung ist, daß eine gestörte Datenverbindung oder Datenkopplung den die Steuerung übernehmenden Computer in der automatischen Betriebsart vermutlich unzuverlässig macht, da die zur Bereitschafts-Computer-Status auf datierung gekoppelten Daten sich weitgehend auf automatischen Betrieb beziehen.

Wenn durch den Fehlerdetektor 278 oder durch das Aufgaben-Fehlerprogramm 280 bzw. 282" ein Fehler in dem Datenverbindungs-Subsystem 281 (Fig.6) entdeckt wird, so wird eine CCO-Stufe oder 286' in dem Computer 90-1 oder 90-2 aktiviert. Gleichzeitig

509834/0222

-.102 -

wird in. einem Block 288 oder 290 in einem Kessel-Logik-Programm, das weiter unten genauer untersucht wird, ein Kennzeichen DLFÄIL gesetzt. Die CCQ-Stufen 284 bzw, 286⁸ sind mit entsprechenden CGI-Stufen 292 bzw» 294 in den beiden Computern 90-1 und 90=2 verbunden, so daß beide Computer in denselben Dafcenverbindungs-Störungs-Kennzeichenstatus gebracht werden, wenn von einem der Computer 90-1 oder 90-2 eine Datenverbindungs=Störung erfaßt wird« Nachdem das Kennzeichen DLFAlL (C1 oder C2) gesetzt worden ist, wird - wie mit der Sperrstufe 296 bzw. 298 angedeutet - eine automatische Sperre gesetztο

Registriervorrichtung

Die Registriervorrichtung ist in diesem Fall eine Selektrik-Schreibmaschine (Fig= 4), die mit dem Computer 90-1 gekoppelt ist« Kehrt eine Unterbrechung nach einem Kennzeichen-Ausgang zu der Schreibmaschine nicht zurück oder tritt eine Software-Störung in Form eines unrichtigen Nachrichtenformats auf, so ,leitet ein Subsystem 300 (Fig_o 6) ein Ansprechen ein, d* h. ,. es wird vorzugsweise eine Konsoliampe im Anlagenteil der Konsole eingeschaltet, und die Datenregistrierung wird, bei Verfügbarkeit, auf die Konsolschreibmaschine des Programmierers umgeschaltet» Der Bereitschafts-Computer 90-2 ist in diesem Fall nur mit der Konsolschreibmaschine des Programmierers gekoppelt .

09834/0222

Ein Aufgaben-Fehlerdetektor 302 bildet auch einen Teil des Übertragungs-Auslösesystems 202 und triggert vorzugsweise einen Steuer-Computer-Übergang, wenn es zu einer bestimmten vorgegebenen Software-Fehlfunktion kommt. Bei Betrieb eines Echtzeit-Steuercomputers wird davon ausgegangen, daß dem Computer ein geschlossener Kreis eingegeben wurde und der Computer sich nicht mehr im Echtzeit-Steuerungszustand befindet, wenn eine Kombination von Ereignissen oder Größen den Computer seine relative Einschaltdauer auf einem höheren Aufgabenniveau absolvieren läßt, so daß ein oder mehrere niedrigere Aufgabenniveaus unbedient bleiben. In diesem Fall kann der Steuer-Computer infolge einer Nichtdurchführung der Aufgaben niedrigerer Priorität unerwünschte Prozeßstörungen hervorrufen. Dementsprechend ist ein Detektor 3O4 mit geschlossenem oder dichtem Kreis vorgesehen, um für den Fall des Auftretens eines Zustands entsprechend einem geschlossenen Kreis einen Computer-Übergang auszulösen. Weitere Software-Fehlfunktions-Detektoren sind ebenfalls in dem Software-Aufgaben-Fehlerdetektor 302 enthalten.

Geschlossener Kreis-Detektor

Wie mit Fig. 13C gezeigt, weist der Geschlossener Kreis-Detektor 304 ein Unterprogramm TIGHT auf, das vorzugsweise auf dem Datenanforderungs-Unterbrechungsniveau (d. h. oberhalb der Aufgabenniveaus) ausgeführt wird. Vorzugsweise ist die einzige höhere Datenanforderungs-Unterbrechung die Leistungsausfall-Unterbrechung. Bei einem niedrigeren, vorzugsweise dem niedrigsten Aufgabenniveau, setzt ein Unterprogramm 306 einen

S0983A/Ü222

Geschlossener Kreis-Zähler 308 auf eine Zählung von 30 je Sekunde. Das Unterprogramm TIGHT beeinträchtigt den Geschlossener Kreis-Zähler mit einer Zählung von Eins, je 0,1 s. Wenn der Geschlossener Kreis-Zähler die Zählung Null erreicht, setzt das Unterprogramm TIGHT ein Kennzeichen PROGDSAB in dem Computer-Statusprogramm 224, um eine Steuer-Computer-Übergabe auszulösen. Es wird somit angenommen, daß eine gewisse Kombination von Ereignissen oder Größen den Computer 90-1 in den Zustand Geschlossener Kreis hat gehen lassen, wenn der Geschlossener Kreis-Zähler 308 eine Null-Zählung innerhalb eines Zeitabschnitts von 3 s erreicht. Beispielsweise könnte eine Folge-von-Ereignissen-Unterbrecherkarte außerhalb des Computers 9O-1 ausfallen, so daß ein 300- oder 400-Hz-Signal am Kartenausgang erzeugt wird, um so den Computer 90-1 zu veranlassen, seine Einschaltdauer (entsprechend Unterbrechungen höherer Priorität) in Abhängigkeit von dem fehlerhaften zyklischen Unterbrecher-Eingang zu benutzen=

Schlechte Platte-Übergabe

Als Teil eines herkömmlichen Plattenverarbeiters 310 in einem Schlechte Platten-übertragungs-Subsystem 312 ist ein Schlechte Platte-Übergabedetektor vorgesehen« Wenn festgestellt wird, daß eine Plattenübertragung einen Parity-Fehler enthält, so setzt der Plattenverarbeiter 310 in dem Computer-Statusprogramm 224 ein Kennzeichen, vorzugsweise um eine Steuer-Computer-Übertragung auszulösen. Auf diese Weise werden Prozeß-

50983 4 /022 2

störungen, die sonst durch von einem Schlechte Platten-Übergang eingeführten Programmfehler hervorgerufen werden könnten, vermieden.

Schlechtes Argument-Übertragung

Ein Schlechtes Argument-Übertragungs-Trigger-Subsystem 314 enthält einen herkömmlichen Aufgaben-Argument-Fehlerdetektor 314a, vorzugsweise um eine Steuer-Computer-Übertragung bei Erfassung eines schlechten Arguments, das während einer Programmausführung erzeugt wurde, auszulösen. Annähernd 50 bis 60 % der Programmierung in dem Computer 90-1 sind mit dem Detektor 314a zur Argumentauswertung verbunden. Wenn beispielsweise der CCO-Verarbeiter 230 (Fig. 13A) von einem Programm abgerufen würde, aber dieses Programm kein CCO zur übertragung an das CCO-System 98-1 hätte so würde ein Schlechtes Argument existieren. Allgemein wird der Aufgaben-Argument-Fehlerdetektor 314a speziell benötigt, wo kein Parity-Fehlerdetektor verwendet wird, und er wird außerdem wie im vorliegenden Fall benötigt, um für Schutz speziell im Hinblick auf die Eingabe neuer oder modifizierter Programme in den Computer 90-1 oder 90-2 zu sorgen, nachdem der Systembetrieb eingeleitet worden ist. Es wird in diesem Zusammenhang auf ein Westinghouse Manual TPO43 Bezug genommen, wo weitere Einzelheiten hinsichtlich der Erfassung von Aufgabenfehlern (task errors) dargelegt sind.

509834/0222

System zur Einleitung von durch den Operator gewählten Computer-Übergaben

Zur Einführung einer Computer-Umschaltung durch Operator-Wahl wird der entsprechende Computer-Wahl-Druckknopf betätigt, und Konsol-Unterbrechungen werden durch Programme 316 und 318 in den beiden Computern 90-1 und 90-2 verarbeitet, um Konsolprogramme 320 und 322 im Operator-Übergabewahl-System 204 anzubieten. Die Konsolprogramme 320-1 und 320-2 erzeugen Logikwerte, die jeweils den C1- und C2-Kessel-Logik-Programmen 250-1 und 250-2 zugeführt werden. Das Kessel-Logik-Programm 250-1 deaktiviert wiederum das Toter Computer-Detektorkontakte-Programm 240—1, um so das Kippen (toggling) der Toter Computer-Detektorkarte 242-2 zu stoppen, wenn der Computer 90-1 die Steuerfunktion innehatte und der Computer 90-2 vom Operator zur Übernahme der Steuerung gewählt wurde. Mit Deaktivierung der Toter Computer-Detektorkarte 242-1 wird die Steuerungs-übergabe an den Computer 90-2 eingeleitet. Wenn andererseits der Computer 90-2 die Steuerfunktion innehatte und der Computer 9O-1 vom Operator für die Steuerung gewählt wurde, so wird eine Steuerungs-Übergabe ohne Deaktivierung der Toter Computer-Detektorkarte 242-2 durch das Toter Computer-Detektorkontakte-Programm 240-2 eingeleitet.

System zur Ausführung von Computer-Übergaben

In dem Übergabe-Ausführungssystern wirken eine Reihe Software- und Hardware-Elemente bei der Erfassung zusammen, welcher Computer steuert und ob der nicht-steuernde Computer zur Steuerung

509834/0222

und zur Ausführung einer Steuerungs-Übergabe in sicherer und stoßfreier Form von dem steuernden Computer an den Bereitschafts-Computer oder an die manuelle HilfsSteuerung verfügbar ist.

Toter Computer-Detektorkarte

Allgemein umfaßt das Computer-Statusprogramm 224 einen Block 324, um zu erfassen, ob eine Pehlfunktions-Auslösung erzeugt worden ist, die eine automatische Schutzübertragung an die Bereitschafts-Steuerung erfordert. Wie mit Fig. 9 gezeigt, wird bei Erfassung einer Übergabe-Auslösung im Block 324 durch das Computer-Statusprogramm 224 im Block 326 ein Kennzeichen DEADOK rückgesetzt, und das C1-Toter Computer-Detektorkontakte-Programm 240-1 wird durch den Block 328 betätigt, um die Toter Computer-Detektorkarte 242-1 am Kippen zu hindern und damit den Bereitschafts-Computer 90-2 in einen aktiven Steuerungszustand zu bringen. Wie zuvor untersucht, setzt das Fehleroder Fehlfunktions-Erfassungs-Auslösesystem 202 die folgenden Kennzeichen, um eine automatische Computer-Steuerungs-Schutzübergabe auszulösen: ·

VDROS1 oder 2

ANIFAIL1 oder 2

CCOFAIL1 oder 2

CCIS1FL1 oder 2

ANITRP1 oder 2

Gleichzeitig wird der Hilfssynchronisierer 168-1 deaktiviert,

509834/0222

um die Ausführung aller periodischen Programme im Computer 90-1 zu stoppen. Zusätzlich wird das Kessel-Logik-Programm 250-1 mit einem Logikwert ausgestattet, daß der primäre Computer 90-1 die Steuerung abgegeben hat.

Das Toter Computer-Detektorkontakte-Programm ist ein Teil der P2000-Ausführungs-Informationsgruppe und wird vorzugsweise von dem Monitor 60-Hz-Sync-Countdown-Programm aus betätigt. Es arbeitet über eine Periode der Ausgabe eins 14 Bit-Worts, das alle 1-Werte an ungeraden Stellen und alle O-Werte an geraden Stellen enthält, wobei die Bits von der Toter Computer-Detektorkarte abgelesen und durch eine Exklusives-ODER-Logik mit den letzten Ausgangs-Bits verglichen werden, so daß ein 14 Bit-Wort ausgegeben werden kann, das alle O-Werte an ungeraden Stellen und alle 1-Werte an geraden Stellen enthält, worauf die Bits von der Toter Computer-Detektorkarte abgelesen und mit den letzten Ausgangs-Bits verglichen werden, wobei dieser Zyklus kontinuierlich wiederholt wird, bis eine Fehlfunktion auftritt. Eine solche Fehlfunktion tritt auf, wenn die I/O-Ausrüstung infolge der Exklusives-ODER-Kipp-Prüfung oder eines Schutzsystem-Rücksetzens des Kennzeichens DEADOK in dem Computer- St atusprogramm COMP STAT als nicht einwandfrei arbeitend ermittelt wird.

Die Toter Computer-Detektorkarte ist eine Standard-P2000-Schaltkarte, die eine Gruppe Bit-Flipflops umfaßt, die ein Ausgangs-Toter Computer-Relais solange im erregten Zustand

509834/0222

lassen, wie die Karte durch das Toter Computer-Detektorkontakte-Programm 240-1 gekippt wird. Eine Erregung des Toter Computer-Relais zeigt an, daß der Computer arbeitet und in gutem Zustand ist. Das Toter Computer-Kontakt-Programm wird vorzugsweise mit einer Periodizität von weniger als 1 s betrieben, d. h. einer Periodizität von 0,5 s, so daß die Notwendigkeit einer Steuer-Computer-Übergabe in weniger als der typischen 1 s, wie sie für eine Vollhub-Bewegung des Turbinenventils benötigt wird, erfaßt werden kann. Die Periodizität ist jedoch nicht so klein, daß dadurch ein übermäßiger Anteil der Computer-Einschaltdauer beansprucht würde. Die bevorzugte 0,5-s-Periodizität genügt beiden beschriebenen Beschränkungen.

Toter Computer-Konsole

Eine Toter Computer-Konsole 33O¹ dient zur Energieversorgung verschiedener Ausgangsanlagen-Schaltkreise, wenn einer der beiden Computer sich im steuernden Zustand befindet, und sorgt für eine Steuerung der Computer-Ausgangs-Ausrüstung, um den im steuernden Zustand befindlichen Computer durch Schaltung an die Prozeß-Steuerungsvorrichtungen anzuschließen. Wie mit Fig. gezeigt, enthält die Toter Computer-Konsole 330' ein K1-Relais 332-1, das mit Schließung des Toter Computer-Detektorkarten-Ausgangsrelais durch die Toter Computer-Detektor-Software im Computer 90-1 erregt wird. Ein gleiches K1-Relais 332-2 wird in ähnlicher Weise durch den Computer 90-2 betrieben.

509834/0222

Nach Betätigung der Computer-Störungs-Drucktaste werden K2-Relais 334-1 und 334-2 mit Energie versorgt, wenn die K1-Relais mit Energie versorgt werden. Eine Versorgung mit Energie der K1- und K2-Relais eines der beiden Computer 90-1 und 90-2 schaltet auf eine Reihe Computer-Interface-Schaltkreise einschließlich einer 10 V-Operatorkonsole-Lampenspeisungs-Aktivierschaltung 336, einen 6,3V Visuelle Wiedergabe-Energieversorgungs-Aktivierschaltung 336, einer hybriden Turbinensteuer-Aktivierschaltung 340, einer Turbinensteuerungs-Halbschalen-Aktivierschaltung 342, einer Drosselventil-Prüf-Aktivierschaltung 344,

einer Elektromotor-Betätigungsglied-Steuerungs-Aktivierschaltung 346 sowie einer Elektropneumatische Steuerung-Aktivierschaltung 348.

Da das Einzel-Analog-Ausgangssystem 100 (Fig. 4) verwendet wird, wird es durch einen Schaltkreis 350 geschaltet, so daß es mit Hilfe normalerweise offener Relaiskontakte K2-14 und eines normalerweise geschlossenen Relaiskontakts K3-17 eines K3-übertragungsrelais 352 mit dem Computer 90-1 gekoppelt wird.

Wenn eine übertragung ausgeführt werden soll, wirft die Toter Computer-Detektorkarte 242-1 ihr Relais aus, das eine CCI-Stufe 354 (Fig. 6) schließt, um so eine Sequenz-Unterbrechung für den Computer 90-2 auszulösen. Die -Computer-Übergabe wird dann durch das Kessel-Logik-Programm 250-2 ausgeführt, d. h. eine CCO-Stufe 356 (Fig. 7) wird aktiviert, so daß das K3-übergaberelais 352 betätigt wird, und für die Ausführung der übergabe benötigte Software-Funktionen werden eingeleitet.

509834/0222

Durch Energieversorgung des K3-übertragungs-Relais 352 wird die Analogausgang-Aktivierschaltung 350 für den Computer 90-1 deaktiviert, und eine Analogausgangs-Aktivierschaltung 354 für den Computer 90-2 wird aktiviert, um die D/A-Wandlerschaltung auf den Computer 90-2 umzuschalten. In ähnlicher Weise wird ein Schaltkreis für die Übertragung der S-Konsole 355 (Fig. 7) betätigt, um Relais mit Energie zu versorgen, die die Steuerausgänge von den CCO-Systemen des Computers 90-1 zu den CCO-Systemen des Computers 90-2 schalten. Alle weiteren Aktivierschaltungen 336 - 348 bleiben mit Energie versorgt, da das K1-Relais 332-2 mit Energie versorgt bleibt, nachdem das K1-Relais 332-1 seine normalerweise offenen Kontakte innerhalb 0,5 s des Triggervorgangs für die übertragung öffnet.

Allgemein übernimmt die HilfsSteuerung bei der Steuerungsumschaltung die Steuerung mit einem Automatisierungsniveau, das gleich dem oder niedriger als das Automatisierungsniveau des die Steuerung abgebenden Computers ist. Eine verringerte Nachübertragungs-Automatisierung tritt auf, wenn Ereignisse während eines Übergangs bzw. nach einem Übergang erfordern, daß bestimmte Kreise von der automatischen Betriebsart ausgeschlossen werden. So können Steuerkreise vor, während oder nach der übertragung stark bis zu einem Punkt beeinträchtigt worden sein, bei dem eine automatische Steuerung unerwünscht oder unmöglich ist. In diesem Fall wird ein Zulässigkeitssignal aufgegeben, um zu verhindern, daß der Steuerkreis nach der übertragung in den automatischen Zustand zurückkehrt.

50 98 34/0222

Kessel-Logik-Programm

Wie mit Fig. 12 gezeigt_/ arbeitet das Kessel-Logik-Programm 250-2 mit einem Block 360, um den Zustand des anderen Computers bei Bedarf für einen Programmlauf durch Block 362 zu prüfen, d. h®, wenn in einem der vier CCI-Systeme entsprechend C1 aktiv (lebendig) (CH67 Bit 13)„C2 aktiv (CH67 Bit 12), C1 im Steuerzustand (CH67 Bit 10) eine Zustandsänderung auftritt. Im Block 364 wird geprüft, ob der Computer 90-1 inaktiv (tot) ist, d. h._r ob. die Toter Computer-Detektorkarte 242-1 einen CCI-Wert erzeugt hat, und das Programm wird beendet, wenn der Computer 90-1 aktiv und steuernd ist. Wenn der Computer 90-1 tot ist, ermittelt der Block 366, ob der Bereitschafts-Computer 90-2 zur Steuerung verfügbar ist. Falls nicht, wird das Steuersystem 11 vom Block 368 auf manuell abgewiesen, d„ h„, es werden direktverdrahtete Schaltkreise, die parallel zur Computer-Steuerung von den Konsol-Kessel-M/A-Stationen zu den Elektromotor-Betätigungsgliedern und sonstigen Kessel-Steuerungsvorrichtungen geführt sind, aktiviert, und die Turbinen-Hilfssteuerung 106 wird in den Zustand aktiver Steuerung geschaltet. Jedoch haben bestimmte Kessel-Anlaufkreise keine manuellen HilfsSteuerungen, so daß der Kesselanlauf Computer-Verfügbarkeit erfordert.

Wenn der Bereitschafts-Computer 90-2 nach einer Übergabe-Einleitung für die Steuerung verfügbar ist, ändert ein Block 370 im Kessel-Logik-Programm 250-2 alle Bereitschafts-M/A-Bedingungen von der Bereitschafts-Manuell-Betriebsart in Betriebsarten um, wie sie in der datengekoppelten M/A-Stationstabelle ent-

' 509834/0222

sprechend Block 216 angeführt sind. In dem die Steuerung abgebenden Computer werden die M/A-Stationen in die manuelle Betriebsart gebracht, um so für anschließendes Bereitschafts-Betriebsart-Nachlauf en zu sorgen.

Als nächstes sperrt ein Block 372 im Bereitschafts-Computer-Programm eine Rück-übergabe an den primären Computer 90-1 während einer festgelegten Zeit von etwa 10 min, so daß der Lexstungserzeugungsvorgang sich im Anschluß an die übergabe stabilisieren kann, ehe eine Rückübertragung zugelassen wird. Im Bereitschafts-Computer-Programm-Block 374 wird der Turbinen-Logik angeboten durchzulaufen, und die Kessel-Ketten erhalten ein Angebot, so daß die Kessel-Steuerkreise in hierarchischer Weise in die in der M/A-Tabelle entsprechend dem Block 216 angegebene Betriebsart gebracht werden können, d. h. beginnend mit den Kessel-Steuerungen des ersten Niveaus und endend mit der Anlagen-Haupteinheit-Betriebsart (d. h. entweder Anlage manuell, Start, Anstieg, örtlich koordiniert, fern koordiniert, Turbine-Folgen oder Kessel-Folgen). Die Turbinen-Steuerung wird unmittelbar auf Operator-Automatik gestellt, wenn die Operator-Automatik-Betriebsart durch Druckknopf gewählt worden ist. Abhängig von einer automatischen Verteilungs-Äusnahme wird der Status des Impulsdruck-Steuerkreises und des Leistungs-Steuerkreises in ähnlicher Weise in dem Bereitschafts-Computer 90-2 ausgegeben. Um für einen Schutz gegen augenblickliche oder mögliche Überdrehzahl-Störungen zu sorgen, wird der Turbinen-Drehzahl-Steuerkreis bei übergabe automatisch über einen

509834/0222

Block 376 angeschlossen, wenn er vor der Übergabe geöffnet war, und er bleibt geschlossen, wenn er vor der Übergabe geschlossen war. Ein Ausfall in der Hardware ist das einzige Merkmal, das den Drehzahl-Steuerkreis außer Betrieb setzt.

Der Block 378 bringt die Turbinen-Steuerung gegenüber periodischer CCI-Abtastung auf Bedarfs-CCI-Abtastung. Als nächstes werden die Konsol-GO- und HOLD-Drucktasten-Operationen von dem Block 380 vor Programmende verarbeitet.

Weitbereich~Drehzahl-/Last-Übergänge

Das Übergabesystem 200 ist so strukturiert, daß es Computerübergänge bei einer Übergangs-Auslösung oder einer Operator-Wahl ausführt, unabhängig von dem Betriebsniveau der Anlage. So können Computer-Übergänge sanft erfolgen, wenn der Dampferzeuger oder Kessel angefahren wird, wenn die Turbine angefahren und auf Synchrondrehzahl erhöht wird und wenn der Kessel und die Turbine in der Lastbetriebsart betrieben werden.

Beim Kesselanfahren wird in dieser Ausführung eine automatische Steuerung benötigt, und jeder Übergang der Steuerung von einem Computer muß zum anderen Computer erfolgen, oder der
Kessel muß stillgelegt werden. Die Kessel-Anfahrventile BE,
SA sowie die Separatortank-Anfahrventile WD und SP (Fig. 1C) werden durch den steuernden Computer betrieben. Vor einem
Computer-Übergang arbeitet der Hilfscomputer in der manuellen Nachlaufs-Betriebsart, um verfolgte (tracked) Steuerausgänge

§09834/022 2

für die Anfahrventile zu erzeugen. Bei übergabe beaufschlagt der die Steuerung übernehmende Computer die Anfahrventile mit seinen Steuerkreisen stoßfrei, und es wird dann ein stoßfreier Übergang von manuellem Nachlauf auf Automatik vorgenommen, wie das zuvor beschrieben wurde. Das Steuersystem 11 arbeitet genügend eng bei einem übergang während des Kessel-Anlaufs, so daß Separatordruck und -niveau normalerweise während des Übergangs sanft aufrechterhalten werden, um ein Dampfablassen in die Atmosphäre zu vermeiden, was wegen der Kosten für das behandelte bzw. aufbereitete Wasser kostspielig wäre.

Beim Turbinenanlauf betreibt der Drehzahl-Steuerkreis die Turbinen-Drossel- und -Reglerventile unter Operator- oder Automatik-Steuerung, wenn die Kessel-Steuerungen den Zustrom von Speisewasser, Brennstoff und Luft zu dem Kessel steuern. Computer-Übergänge oder -übergaben können jederzeit in einem weiten Drehzahlbereich während der Beschleunigung der Turbine auf Synchron-Drehzahl sanft erfolgen. In dem Turbinen-Drehzahl-Steuerkreis wird die erfaßte Turbinen-Drehzahl mit der Drehzahl-Referenz verglichen, um eine Drehzahl-Abweichung zu erzeugen. Da die Drehzahl-Abweichung nicht integriert wird, d. h. nur eine Proportionalsteuerung erfolgt, wird keine Nachlauf-Steuerung, wie sie zuvor beschrieben wurde, benötigt.

Mit der zuvor beschriebenen 5-Minuten-Datenverbindung erfolgt die Computer-Übergabe mit verringerter Zeit für den Hilfscomputer, um nach Ausführung des Übergangs die automatische Anlauf-

509834/0222

steuerung wieder aufzunehmen. Sofern die Dampfturbine betroffen ist, scheint der automatische Anlauf während des Übergangs in einen Haltezustand gebracht und dann kurz im Anschluß darin wieder aufgenommen worden zu sein» Die tätsächliche Zeit für den ATS-Vorgang, um als Steuerung für die Änderungsgeschwindigkeit der Drehzahlreferenz im Hilfscomputer wirksam zu werden, ist eine Funktion der Zeit,, die für den Bereitschafts-Computer benötigt wird, um seine Steuerlogik dahingehend zu verarbeiten, daß der übergang von manuellem Drehzahl-Steuerkreis-Nachlauf auf Drehzahl-Steuerkreis-Betrieb und jede Verzögerung, die absichtlich hinzugefügt werden mag, erfolgt» Allgemein bestimmt die Logik, ob automatische Steuerung aus Gründen wie dem Auftreten eines unzuverlässigen Eingangssignals abzuweisen ist«, Normalerweise betrüge die Logik-Verzögerung etwa 2 bis 3 S= In diesem Fall wird eine Verzögerung von etwa 2 min hinzugefügt, um sicher zu sein, daß die jüngsten Analog-Temperatursignale durch die Analog-Abtastung für ATS-Verwendung eingegeben werdenο

Nachdem der AnlaufVorgang einmal den Punkt erreicht hat, an dem es zu einer Synchronisierung kommen soll, kann während der Synchronisierdauer ein Computer-Übergang ausgeführt werden. Jedoch ist das Auftreten einer Synchronisierung während eines Computer-Übergangs nicht zulässig, und der die Steuerung übernehmende Computer erfordert einen Neustart des Synchronisiervorgangs, wenn der die Steuerung abgebende Computer zu Beginn oder zu einem dazwischenliegenden Zeitpunkt des Synchronisiervorgangs eine Störung aufweist.

503834/0222

Nachdem das Steuersystem 11 die Turbine und den Kessel in den Lastzustand hat gehen lassen, führt das Übergangssystem sanfte Computer-Übergänge unter weit schwankenden Bedingungen des Anlagen-Lastbetriebs aus. Bei schnellen Laständerungen wie einem Abfall von 650 MW auf 400 MW infolge einer Anlagenstörung oder einen externen Störung kann das Steuersystem 11 einen Computer-Steuerungsübergang sanft in Abhängigkeit von einer Computersystem-Fehlfunktion wie einer Analogfalle ausführen, um normalerweise eine Automatiksteuerungs-Kontinuität für die Anlage sicherzustellen, wenn das große und schnelle Lastschwanken andauert. Ein solcher übergang wird mit besserem, schnellerem und genauerem Gesamtansprechen auf die Anlagenstörung erzielt, als dies von einem Anlagen-Operator erwartet werden könnte. In einigen Fällen könnte die Anlagenstörung so sein, daß die 15s oder weniger, die zum Erreichen der Automatiksteuerung im HilfsQomputer benötigt würden, im Hinblick darauf kritisch sein könnten, ob die spezielle Störung sich so weit verschlimmert hat, daß eine Kessel- oder Turbinen-Abschaltung eingeleitet wird. Jedoch würde in jenen Fällen ebenso wie in anderen Fällen, in denen Kontinuität der Automatiksteuerung eine Störungs-Auslösung vermeiden würde, Operator-Hilfssteuerung wegen der Kompliziertheit bei der Beurteilung, ob die Ausrüstung in der Anlage während der Störung mitwirkt, voraussichtlich ebenfalls zu einer Auslösung führen.

Beispielsweise trat eine Anlagenstörung auf, bei der eine Kesselspeisepumpen-Turbine abschaltete, so daß nur noch eine solche Turbine in Betrieb blieb und die Last schnell von 700 MW

509834/0222

auf 350 MW herabgesetzt werden mußte. Die Anlage befand sich zu dieser Zeit im Zustand der Operator-Steuerung, und der Operator war nicht in der Lage, die Anlagen-Operationen zu koordinieren, um eine Anlagen-Abschaltung zu verhindern. Zu einem späteren Zeitpunkt, nachdem die Kesselspeisepumpen-Turbine repariert worden war und das Computer-Steuersystem 11 sich im Automatikzustand befand, arbeitete die Kraftwerksanlage mit 650 MW, und die andere Kesselspeisepumpen-Turbine fiel aus. Die Anlage fiel durch automatische Steuerung, bei geringem überschießen, jedoch ohne ein Anlagen-Abschalten, rasch auf 350 MW zurück. Im letztgenannten Fall wurde während der Störung keine Computer-Übergabe ausgelöst, aber wenn dies geschehen wäre, so hätte das System wegen der Übergangszeit eine etwas verringerte Fähigkeit eines sicheren automatischen Ansprechens ohne Anlagen-Abschaltung. Jedoch könnte die resultierend sichere Nichtabschalt-Ansprechfähigkeit immer noch besser als die Fähigkeit oder das Vermögen eines Operators sein, unter solchen Umständen eine Abschaltung sicher zu vermeiden.

Allgemein läßt das Kessel-Logik-Programm 250 für, die Ausführung eines Computer-Übergangs mit Rückkehr zu Automatik eine 15 s-Zeitdauer zu. Wenn der die Steuerung übernehmende Computer keine logisch bestimmte Gruppe von Kessel-Steuerkreisen hat, die in Automatik-Zustand gebracht worden sind, so daß die betrachtete Kessel-Steuerung insgesamt als automatisch angesehen werden kann, so ist der Kessel-Betrieb auf den dann herrschenden Automatisierungsstand beschränkt, und die Anlage wird in

509834/0222

die getrennte Turbinen- und Kessel-Steuerbetriebsart gebracht. Die Beschränkung geht von der Beurteilung aus, daß eine automatische Steuerung innerhalb eines Zeitabschnitts von 15 s erreicht worden sein sollte, und wenn dies nicht der Fall ist, so wird angenommen, daß das Eingreifen des Operators erforderlich ist.

Das Übergabesystem ist in der Lage, die Steuerung zwischen Computern in allen Betriebsarten des Lastzustands zu übertragen. Das ist deshalb so, weil der nicht-steuernde Computer durch die 5-Minuten-Datenverbindung hinsichtlich der Betriebsart des steuernden Computers aufdatiert wird, und das Kessel-Logik-Programm 250 sowie das Turbinen-Logik-Programm lassen den die Steuerung übernehmenden Computer die Kessel- und Turbinen-Steuerkreise in einen Zustand bringen, in dem sie an die erforderliche Anlagen-Betriebsart angepaßt sind.

In diesem besonderen Fall ist der Bereitschafts-Computer 90-2 nicht so programmiert, daß er die Impulsdruck- und Leistungskreise in' Betrieb bringt, so daß diese bei Übergang vom Computer 90-1 abgewiesen werden. Der Grund dafür besteht darin, daß die Anlage während der meisten Zeit in der koordinierten Betriebsart betrieben wird, in der die Turbinen-IMP- und -MW-Kreise nicht in Betrieb sind. Daher wurde die Turbinen-IMP- und -MW-Kreis-Verfügbarkeit im primären Computer 90-1 für den Anlagenbetrieb in diesem Fall als ausreichend angesehen.

509834/0222

Um den DEH-Hybridaufbau gegenüber der Übernahme manueller Steuerung festzuhalten und während eines Computer-Übergangs eine Manuellsteuerungs-Konsol-Anzeige zu erzeugen, wird ein Zeitkreis verwendet, um eine Turbinen-Manuel1-Umgehung oder -Abweichung zu verzögern, die sonst bei Verwendung einer Schaltungsanordnung auftreten würde, die die manuelle Steuerung bei Verlust der Computer-Steuerung in Betrieb bringt,, Die Verzögerung wird auf 20 s eingestellt,, d» h. etwas größer als die 15 s Zeitspanne, die für einen Computer-Übergang mit Rückkehr zu automatischer Betriebsart zugelassen wird» Weitere Einzelheiten hinsichtlich des Turbinen-Manuell-Interface-Werks werden nachstehend angeführt.

Im Ventilmanagement-Betrieb der Turbinen-Reglerventile während der Lastbetriebsart ist die Kennlinie zur Erzeugung der Ventileinstellungs-Sollsignale in Abhängigkeit vom Dampfstrombedarf in der Einzelventil-Betriebsart oder der Sequentiell-Betriebsart von dem Betriebslastniveau abhängig. So wird in diesem Ausführungsbeispiel eine lineare Kennlinie für Lasten bis zu 70 % Last verwendet, während über 70 % Last eine abweichende Kennlinie für jedes'der verschiedenen vorgewählten Bänder der Laständerung verwendet wird. Der Grund dafür ist die Zunähme des Ventildruckabfalls und die Änderung des Ventilströmungskoeffizienten über den Lastbereich. .

Um den nicht-steuernden Computer auf die Reglerventil-Einstellung nachlaufen zu lassen, werden die Ventileinstellungen

Β09834/Ό222

durch den nicht-steuernden Computer, abgelesen, die Strömungs-/ Einstellungs-Kennlinie wird bestimmt und der Impulsdruck-, Leistungs- und Last-Bedarfswert werden zurück berechnet. Zusätzlich werden Einzelventil-AO- und Sequentiellventil-AO-Werte entsprechend der Erzeugung durch den steuernden Computer gelesen.

In Fällen, in denen das Lastniveau über 70 % liegt, kann es zu Überschneidungen hinsichtlich der Zeit für die Vervollständigung des Ventil-Nachlaufs und der Zeit kommen, während der ein Computer-Übergang erfolgen muß, bei Rückkehr zu Automatik und ohne Abweisung auf Turbine-Manuell. So ist der Rück-Berechnungsvorgang oberhalb 70 % Last ein iterativer Prozeß, bei dem die Ventileinstellung, bezogen auf einen Eingangs-Ventileinstellungswert, mit einer Ventileinstellung verglichen wird, die durch Multiplizieren eines Strömungskoeffizienten mit einer gespeicherten linearen Beziehung der Strömung in Abhängigkeit von der Einstellung erzeugt worden ist. Jede Iteration ist mit einem Strömungskoeffizienten verbunden, der auf eines der Lastbänder anwendbar ist. Wenn die tatsächliche Ventileinstellung der berechneten Einstellung innerhalb eines Totbandes oder einer Totzone angepaßt ist, werden der Betriebslastbereich und der zugehörige Strömungskoeffizient bestimmt, und gültige Rück-Berechnungen können unter Verwendung der bestimmten Kennlinie (Strömungskoeffizient und lineare Beziehung) fortgeführt werden. In diesem Fall ist die bei einem übergang für Rückkehr auf Automatik zulässige Zeit 20 s. Daher arbeitet der iterative Rück-Berechnungs-Vorgang insgesamt mit 17 Bändern oder 17

S09834/0222

Strömungskoeffizienten zwischen 70 % Last und 100 % Last, so daß die Nachlauf-Berechnung im ungünstigsten Fall (in diesem Fall höchste Belastung) in etwa 17s abgeschlossen werden kann und somit noch etwas zusätzliche Zeit verbleibt, während der der die Steuerung übernehmende Computer die Logik ausführen kann, die notwendig ist, um das System ohne eine Abweisung auf manuellen Betrieb auf anlagenkoordinierte Steuerung zu bringen. Wenn die Auflösung der Ventil-Rück-Berechnung zu weit verringert wird, könnte es bei Steuerungs-Übergabe während der Differenzen in dem zurückberechneten Bedarf und dem tatsächlichen Bedarf zu einem übermäßigen Fehler kommen. Die von dem vorliegenden Ausführungsbeispiel gebotene Auflösung gestattet den übergang und die Rückkehr auf Automatik und führt zu einem maximalen Fehler von etwa 1,75 % zwischen dem zurückberechneten und dem tatsächlichen Lastbedarf.

Es ist zu bemerken, daß der Nachlauf-Vorgang langer als oben angegeben dauern kann, wenn während der Dauer eines Computerübergangs eine DampfStromstörung auftritt. In diesem Fall könnte wegen der zusätzlichen Berechnungszeit gegenüber dem normalen Berechnungsverlauf, wenn keine nennenswerte Dampfstromstörung aufgetreten ist, bei höheren Lasten eine Abweisung auf Turb ine-Manue11 auftreten.

Computer-übergangs-Schaltsysteme

Die CCO-übergabe-Stufe oder -Konsole 356 ist in Fig. 15D teilweise wiedergegeben, da die Konsole 356 eine Zwischenverbin-

50983A/022a

dungs-Konsole für eine große Anzahl Relaiskontakte ist. Geeignete Verbindungsstifte werden verwendet, um Verbindungen zwischen den Drähten herzustellen. Gestrichelte Linien zeigen eine Verdrahtung außerhalb der Konsole an. Umkreiste Buchstaben zeigen die Elco-Verbindungsstifte an. Mit einigen Ausnahmen ist jede CCO-Stufe 382 vom Computer 90-1 (wobei nur ein Wort der CCO-Stufen gezeigt ist) vorzugsweise mit einer entsprechenden CCO-Stufe 384 vom Computer 90-2 über entsprechende normalerweise geschlossene bzw. normalerweise geöffnete iibergabekontakte 386 und 388 eines monostabilen Übergaberelais verdrahtet. Alle monostabilen Relais sind entweder aktiviert oder deaktiviert, je nach dem Zustand des K3-übergaberelais 352 an der Toter Computer-Konsole.

Nach Aktivierung der Übergaberelais wird der Zustand der Übergabekontakte 386 und 388 geändert, um die CCOs vom Computer 90-2 mit dem Kessel und der Turbine zu koppeln. Nach Deaktivierung der Übergaberelais kehren die Übergaberelaiskontakte 386 und 388 in ihren normalen Zustand zurück, in dem sie die CCOs vom Computer 90-1 mit dem Kessel und der Turbine koppeln.

CCO-System und AO-Systern

Die CCO-Systeme 98-1 und 98-2 und das Analog-Ausgangssystem 100 sind weiter ins einzelne gehend mit Fig. 15C gezeigt. Die beiden CCO-Systeme 98-1 und 98-2 sind vorzugsweise vorgesehen, um eine erhöhte Systemzuverlässigkeit gegenüber einem System zu erzielen, das ein auf zwei Computer aufgeteiltes einzelnes

B0983A/022a

CCO-System hat. Ferner ist vorzugsweise jedes CCO-System 98-1 oer 98-2 in unabhängige Kessel- und Turbinen-CCO-Kanäle unterteilt. Andererseits wird vorzugsweise das einzelne Analog-Ausgangssystem 100 verwendet, um Komplikationen zu vermeiden, die dann bei der Interface-Verbindung des DEH-Hybridsystems mit den Steuer-Computern auftreten würden»

In dem Analog-Ausgangssystem 100 erzeugt ein kontaktbetätigtes Standard-Leiter-Widerstandsnetzwerk analoge Signale entsprechend dem Schema der Relais-Kontaktschließungen. Die beiden Computer haben das Analog-Ausgangssystem 100 gemeinsam, und bei Computer-Übergängen sorgt das K3-übergabe-Relais 352 für die Umschaltung des Analog-Ausgangssystems 100 zwischen dem CCO-System 98-1 und 98-2.

Kanaltreiber-Karten 39O-1B und eine Worttreiber-Karte 392-1B betreiben swei Kessel-Kontaktschließ-Ausgangsmultiplexer bzw. Kessel-CCO-Multiplexer 394-1B und 396-1B und einen Kesselanzeige-Multiplexer 394B, um bestimmte System-Relaiskontakte in Übereinstimmung mit CCO-Verarbeiter-Ausgangssignalen anzutreiben. Nach Vervollständigung einer CCO-Operation sorgt eine Leistungs-Umschaltkarte 400-1B dafür, daß ein CCO-Vervollständigungs-Unterbrechungssignal Nr. 17 im Computer 90-1 erzeugt wird.

In ähnlicher Weise betreiben in dem Bereitschafts-Computer 90-2 Kanaltreiber-Karten 39O-2B und eine Worttreiber-Karte

SO 9834/0222

392-2B zwei Kessel-CCO-Multiplexer 394-2B und 396-2B, um bestimmte System-Relaiskontakte in Übereinstimmung mit CCO-Verarbeiter-Ausgangssignalen zu treiben. Eine Leistungs-Umschaltkarte 4OO-2B sorgt dafür, daß im Computer 90-2 eine CCO-Vervollständigungs-Unterbrechung erzeugt wird.

Bezüglich der Turbinensteuerung ist das CCO-System 98-1 mit Kanaltreiber-Karten 39O-1T und einer Worttreiber-Karte 392-1T versehen, die zwei Turbinen-CCO-Multiplexer 394-1T und 396-1T betreiben, um so bestimmte System-Relaiskontakte in Übereinstimmung mit CCO-Verarbeiter-Ausgangssignalen zu treiben. Eine Unterbrechung Nr. 6 wird für den Computer 90-1 nach Turbinen-CCO-Vervollständigung erzeugt.

In ähnlicher Weise ist das CCO-System 98-2 mit Kanaltreiber-Karten 39O-2T und einer Worttreiber-Karte 392-2T versehen, die Turbinen-Multiplexer 394-2T und 396-2T betreiben, um so bestimmte System-Relaiskontakte in Übereinstimmung mit CCO-Verarbeiter-Ausgängen anzutreiben. Die Turbinen-CCO-Vervollständigungs -Unterbrechung für den Computer 90-2 ist ebenfalls als Unterbrechung Nr. 6 bezeichnet.

Bezüglich der analogen Ausgänge betreiben die Kanaltreiber-Karte 390-1A und eine Worttreiber-Karte 392-1A zwei Analog-Ausgangs-Multiplexer 402 und 404, wenn der Computer 90-1 steuert. Ein Leistungsschalter 400-1A erzeugt eine Analogausgangs-Vervollständigungs-Unterbrechung Nr. 0 nach Vervoll-

509834/0222

ständigung jedes einzelnen Analogausgangs. Wenn der Computer 90-2 steuert, betätigen eine Kanaltreiber-Karte 390-2 und eine Worttreiber-Karte 392-2A die Ausgangs-Multiplexer 402 und 404, und ein Leistungsschalter 400-2A erzeugt eine Änalogausgangs-Vervollständigungs-Unterbrechung Nr. 0 nach Vervollständigung jedes einzelnen Analogausgangs.

Die Analog-Ausgangs-Multiplexer 402 und 404 sind zwischen die beiden Computer mittels spezieller CO-Karten-Aktivierungskontakte K3-17 und K3-2.O geschaltet, die durch die Toter Computer-K2- und -K3-Relais 334-1 und 352 betätigt werden. Die von einem DEH-Hybridrelais betätigten Kontakte 406 und 408 sind normalerweise geschlossen, um das Analog-Ausgangs-Subsystem 100 zu aktivieren, und sie werden betätigt, wenn der Computer auf manuell abweist, um dadurch die Analog-Ausgänge auf ihren letzten Werten zu halten.

CCI-System

Wie im Fall der CCO-Systeme werden die CCI-Werte vorzugsweise durch die beiden gesonderten CCI-Systeme 92-1 und 92-2 für die beiden Computer 90-1 und 90-2 verarbeitet. Ferner ist jedes CCI-System mit zwei gesonderten Kessel- und Turbinen-Eingangskanal-Adressen versehen.

Wie mit Fig. 15B gezeigt, sind Kesselprozeß-Kontakte 410, Operatorkonsole-Kontakte 411 und Wartungskonsole-Kontakte 413 mit dem Computer 90-1 und 90-2 über CB-Karten 412-1 und 412-2

S09834/0222

bzw. Ereignisfolge-Karten 414-1 und 414-2 gekoppelt. Leistungsschalter-Karten 416-1 und 416-2 betätigen Computer-Unterbrechungskarten 418-1 bzw. 418-2, wenn ein Kessel-Kontakt seinen Zustand ändert. Manuell-/Automatik-Stations-Kontaktänderungen werden jeweils über Leistungsschalter-Karten 420-1 und 422-2 sowie Unterbrecher-Karten 422-1 und 420-2 kanalisiert, und Wartungskonsole-Kontaktänderungen gehen jeweils über Leistungsschalter-Karten 426-1 und 426-2 zu Unterbrecher-Karten 428-1 und 428-2.

In ähnlicher Weise sind Turbinenprozeß-Kontakte 423 und Operatorkonsole-Kontakte 425 mit den Computern 90-1 und 90-2 jeweils über CB-Karten 424-1 und 424-2 sowie Ereignisfolge-Karten 430-1 und 430-2 gekoppelt. Leistungsschalter-Karten 432-1 und 432-2 aktivieren jeweils Unterbrecher-Karten 434-1 und 434-2 bei einer Änderung eines Turbinensystem-Kontakts.

Ein Kesselanzeige-Eingangssignal ist nur für den Computer 92-1 vorgesehen, und dieser weist Prozeßkontakte 436 auf, die mit den CB-Karte 438 und Ereignisfolge-Karten 440 gekoppelt sind. Anzeige-Unterbrechungen werden durch Anzeige-Kontaktänderungen über eine Leistungsschalter-Karte 442 erzeugt, die eine Unterbrecher-Karte 444 betätigt.

Analog-Eingangssystem

Die Analog-Eingangssysteme 94-1 und 94-2 sind im einzelnen mit Fig. 15A gezeigt. Für die beiden Computer werden redundante

BO9834/0222

Analog-Eingangssysteme bevorzugt, um zusätzliche Systemzuverlässigkeit zu erhalten» Ferner wird jedes analoge Eingangssystem 94—1 oder 94-2 in gesonderte Analog-Eingangskanäle für Turbinen- und Kessel-Analogeingang unterteilt.

In dem Kessel-Analogeingangs-Kanal arbeiten eine Kanaltreiber-Karte 446 und Worttreiber-Karten 448 und 449 unter analoger Verarbeitersteuerung mit einem Anzeigen-Multiplexer 450 und einem Kessel-Multiplexer 452 sowie einem Kesselteil eines Turbinen-Multiplexers 468_? um spezielle Analog-Punktrelais mit einem Kessel-VIDAR-454 zu verbinden, Steuerkarten 456 betätigen das VIDAR 454 „ um analoge Eingangssignale in digitale Signale umzuwandeln,, die dem Computer 90-1 zugeführt werden. Nach Abschluß jedes analogen Eingangs wird eine Unterbrechung PSSO erzeugt.

Eine Analogfallen-Karte 458 und Summierwiderstands-Karten 460 und 461 sind den Kanal- und Worttreiber-Karten 446 bzw. 448 zugeordnet, um in der zuvor beschriebenen Weise eine Analogfalle zu bilden. Eine Unterbrecher-Karte 462 erzeugt Analogfallen-Unterbrechungen_? die - wie bereits erwähnt - schützende oder vorsorgliche Computer-Steuerübergänge auslösen.

In dem Turbinen-Analogeingang-Kanal arbeiten eine Kanaltreiber-Karte 464 und eine Worttreiber-Karte 466 mit dem Turbinen-Multiplexer 468 und einem Turbinen-Multiplexer 470, um spezielle Analog-Punktrelais mit einem Turbinen-VIDAR 472 zu verbinden.

509834/0222

In diesem Fäll sind verschiedene Schlitze in dem Turbinen-Multiplexer 468 von dem Turbinen-Kanal isoliert und in dem Kessel-Kanal wie bereits erwähnt angeschlossen, um Wörter auszuwerten, die sonst in dem Turbinen-Multiplexer 468 nicht benötigt werden. Steuerkarten 474 betreiben das VIDAR 472, um analoge Eingangssignale in digitale Signale umzuwandeln, die dem Computer 90-1 zugeführt werden.

Eine Analogfallen-Karte 476 und eine Summierwiderstands-Karte 478 sind den Kanal- und Worttreiber-Karten 464 bzw. 466 zugeordnet, um so die beschriebene Analogfalle zu bilden. Turbinen-Analogfallen-Unterbrechungen werden dem Computer über die Unterbrecherkarte 462 zugeführt.

Das Analog-Eingangssystem 94-2 ist gleich dem Analog-Eingangssystem 94-1, so daß gleiche Bezugszeichen für entsprechende Teile wie im Analog-Eingangssystem 94-1 verwendet werden.

Manuelles HilfsSteuersystem für Doppel-Computer-Steuerung

Die DEH-Hybrid-Konsole sorgt für eine manuelle Hilfs-Turbinensteuerung, und die verschiedenen Kessel-Steuerkreise sind mit einer manuellen Hifssteuerung versehen, und zwar unter Verwendung einer direkten Verdrahtung von den Operatorkonsole-M/AStationen zu den Elektromotor-Betätigungsgliedern und weiteren Kessel-Steuerungsvorrichtungen. Manuelle HilfsSteuerung für die Turbine oder den Kessel wird durch Operatorwahl oder durch Abweisungen von Automatik erhalten.

S09834/0222

Wenn somit einer der Computer eine Störung aufweist und der andere Computer nicht einsatzbereit ist, so werden die manuelle Kessel- und Turbinen-Hilfssteuerung infolge eines Logikwertes, das durch das Kessel-Logik-Programm 250 im steuernden Computer erzeugt wird, in den steuernden Zustand geschaltet. Wenn der Operator den nicht-steuernden Computer für den Betrieb auswählt und dieser nicht betriebsbereit ist, so sperrt das Kessel-Logik-Programm 250 einen übergang zu dem nicht-betriebsbereiten Computer und löst auch keine übergabe auf "Manuell" aus. Wenn die Datenverarbeitung nicht arbeitet, wie das den einzelnen Computern über CCIs oder durch Software-Kennzeichen mitgeteilt wird, so macht das Kessel-Logik-Programm 250 es unmöglich, daß der nicht-steuernde Computer in die automatische Betriebsart übergeht, wenn ein Computer-Übergang auftreten sollte.

Eine Prozeßabweisung gegenüber Automatik kann die Steuerung auch von Automatik- in Manuell-Betrieb in einem Maße überführen, das von der Natur der Abweisung abhängt. Eine solche Abweisung wird als eine Logik-Variable in der Steuerlogik beim Auftreten einer Prozeßstörung wie einem Verlust einer Speisepumpe erzeugt. Beispielsweise könnte eine Turbinenstörung eine Abweisung auf Turbinen-Manuell verursachen, während der Kessel auf seinem dann existierenden Automatisierungsniveau verbleibt. Als weiteres Beispiel könnte eine Kesselstörung einen großen Teil der Kessel-Steuerung kaskadenartig von automatischem Betrieb in manuellen Betrieb überführen, während die Turbine die automatische Steuerung beibehält.

509834/0222

Wie bereits angedeutet, ist für Elektromotor- und weitere Betätigungsglieder, die über direkte Verdrahtung von der Operatorkonsole betätigt werden, eine Kessel-Manuell-Steuerung vorgesehen. Die Turbinen-Manuell-Steuerung ist körperlich in der DEH-Hybrid-Konsole untergebracht, wie das schematisch mit 16A- 16J angedeutet ist. Die Gesamt-Organisation des Mehrfach-Computer-Steuerungssystems mit Hilfs-Turbinen-Manuell-Steuerung ist in Fig. 16J gezeigt und wird hier nur in dem Ausmaß beschrieben, wie das für das Verständnis der Erfindung notwendig ist. Es wird Bezug genommen auf die vorerwähnte US-PS 3 741 246 hinsichtlich weiterer Einzelheiten einer manuellen Turbinensteuerung, die im wesentlichen die gleiche wie mit Pig. 16J gezeigt ist, jedoch ist diese manuelle Steuerung für den Betrieb mit einem einzigen digitalen Turbinen-Steuerungs-Computer ausgelegt.

Bei Computer-Steuerung erzeugt der Computer 90-1 oder 90-2 Positionssignale für Drosselventil-Steuerungen 401 und Reglerventil-Steuerungen 403 während der Anlaufs- und Lastbetriebsarten.

Um einen stoßfreien übergang von der automatischen Turbinen-Betriebsart in die manuelle Turbinen-Betriebsart zu erhalten, sorgt ein Drosselventil-Nachfolgekreis 409 dafür, daß entweder das Computer-Drosselventil-Steuersignal oder ein manuelles Operator-Drosselventil-Steuersignal von der Operatorkonsole an die Drosselventil-Servoeinrichtungen geleitet wird. Zusätzlich sorgt der Drosselventil-Nachfolgekreis 409 für einen Nachlauf der manuellen Turbinensteuerung an die Computer-Drosselventil-

509834/0222

2402168

steuerung, um zu ermöglichen, daß übergänge auf manuellen Betrieb stoßfrei ausgeführt werden können.

In ähnlicher Weise sorgt ein Reglerventil-Nachfolgekreis 411' dafür, daß entweder das Computer-Einzelventil-Steuersignal oder ein Operator-Manuell-Einzelventil-Steuersignal an die Reglerventil-Servoeinrichtungen geleitet wird. Der Reglerventil-Nachfolgekreis 411° sorgt außerdem für das Nachlaufen der manuellen Turbinensteuerung zu der Computer-Einzelventil-Steuerung für die Reglerventile, um so zu ermöglichen, daß übergänge auf manuellen Betrieb stoßfrei ausgeführt werden können. Wenn die Reglerventile sich zur Zeit des Übergangs auf manuellen Betrieb in der sequentiellen Betriebsart befinden, so ist das Computer-Einzelventil-Ausgangssignal Null, um das manuelle Einzelventil-Signal Null zu machen, und die letzten Computer-Sequentiellventil-Signale werden an den Reglerventil-Servoeinrichtungen nach dem übergang gehalten, wobei die Ventileinstellungen danach durch die gemeinsame Wirkung der gehaltenen sequentiellen Signale und eventuelle von einem Operator eingegebene manuelle Einzelventil-Signale bestimmt werden.

In Fig. 16A erzeugt eine Drosselventil-Analogausgangs-Karte ein Signal TVAAZ1, das einem Mischverstärker zugeführt wird, um ein automatisches Drosselventil-Ausgangssignal TVAAZ2 zu erzeugen. In ähnlicher Weise wird ein Operator-Manuell-Drosselventil-Signal TVMAZ1 von einem TV-Vorwärts-/Rückwärts-Zähler 413' (Fig. 16J) erhalten und einem Mischverstärker zugeführt,

5098 34/0222

216

um ein manuelles Drosselventil-Ausgangssignal TVMAZ2 zu erzeugen. Wenn die Turbine nicht verriegelt ist, erzeugt eine Relaiskarte ein Signal BIASZ1, um die geschlossenen Drosselventile über beide Mischverstärker vorzuspannen. Das Ausgangs-Drosselventil-Steuersignal ist das Signal TVAAZ2, wenn ein Turbinen-FlipfTop 405 (Fig. 16J) so eingestellt ist, daß es ein Relais betätigt und einen normalerweise geöffneten Kontakt geschlossen hält, so daß das Signal TVAAZ2 zum Ausgang gelangt. Gleichzeitig wird ein normalerweise geschlossener Kontakt offengehalten, um das manuelle Signal TVMAZ2 daran zu hindern, am Ausgang zu erscheinen. Wenn das Turbinen-Flipflop 405 durch einen Störungsfall oder durch Operatorwahl rückgesetzt wird, wird das Drosselventil-Ausgangs-Steuersignal gleich dem manuellen Signal TVMAZ2 gemacht. Um für einen stoßfreien übergang zu sorgen, wenn die Steuerung von automatischer Turbinensteuerung auf manuelle Hilfs-Turbinensteuerung umgeschaltet wird, wird das automatische Drosselventil-Ausgangs-Steuersignal TVAAZ1 verstärkt und mit dem manuellen Drosselventil-Ausgangs-Steuersignal TVMAZ1 durch einen Analogkomparator verglichen. Es werden Ausgangssignale TD^XXY1 und TD^XXX1 sowie Ausgangssignale T1^XXY1 und T1^XXX1 erzeugt und dem TV-Vorwärts-/Rückwärtszähler 413' zugeführt, um den Zählerausgang auf das Computersignal nachlaufen zu lassen. Der TV-Zählerausgang wird einem D/A-Wandler (Fig. 16A) zugeführt, der seinerseits das manuelle TV-Signal TVMAZ1 erzeugt. Nach einem übergang auf manuellen Betrieb erhöhen oder erniedrigen Operatorkonsole-Signale den Vorwärts-Rückwärtszähler 413', so daß der Wert des Signals TVMAZ1 ge-

509834/0222

ändert wird. Das manuelle Drosselventil-Ausgangs-Steuersignal TVMAZ2 wird den Computern zu Nachlaufzwecken als analoger Eingang zugeführt.

Wie mit Fig. 16B gezeigt, wird das Drosselventil-Steuersignal TVAAZ2 entsprechenden Servoeinrichtungen für die vier Drosselventile zugeführt. Die Steuerausgänge der Servoeinrichtungen werden den jeweiligen Moog-Ventilen zugeführt, und entsprechende Ventileinstellungs-Rückkopplungssignale werden den Servoeinrichtungen über die LVDT-Schaltkreise zugeführt. Die Drosselventil-Einstellungs-Rückkopplungssignale werden auch den Computern 90-1 und 90-2 über Blöcke 12HHO5 zugeführt. Es ist zu bemerken, daß Signale TV1PZ1 bis TV4PZ1 Drosselventil^Prüfsignale sind, die den Servoeinrichtungen über die CCOs der Computer während der Drosselventil-Prüfung zugeführt werden.

Wie in Fig. 16D gezeigt, wird ein Einzelventil-Signal GVAAZ1 einem Verstärker zugeführt, um ein automatisches Einzelventil-Steuersignal GVAAZ2 zu erzeugen. Ein Reglerventil-Operator-Manuellsignal GVMAZ1 wird einem Verstärker zugeführt, um ein manuelles Einzelventil-Signal GVMAZ2 zu erzeugen. Das Manuell-/ Automatik-Turbinen-Flipflop 405 bestimmt, ob das Einzel-Reglerventil-Ausgangs-Steuersignal das automatische Signal GVAAZ2 oder das manuelle Signal GVMAZ2 ist. Wenn die Turbine nicht verriegelt ist, werden die Reglerventile durch ein Signal BIASZ2 in geschlossenem Zustand vorgespannt. Das Reglerventil-Manuellsignal GVMAZ2 wird ebenso als ein Analogeingang den

■ /i- 50983 A/0222

Computern für Nachlaufzwecke zugeführt. Wie im Fall der Drosselventil-Steuerung wird das Computer-Einzelventil-Signal GVAAZ1 verstärkt und mit dem manuellen Reglerventil-Signal GVMAZ1 verglichen, und es werden Komparator-Ausgangssignale erzeugt, um einen GV-Vorwärts-/Rückwärtszähler 415 dem Computer-Einzelventil-Signal folgen zu lassen. So ist der GV-Vorwärts-/Rückwärtszähler 415 mit einem D/A-Wandler verbunden, der das verfolgte manuelle Einzelventil-Signal GVMAZ1 erzeugt.

Entsprechend Fig. 16E werden acht gesonderte Ausgangssignale von den sequentiellen Reglerventil-Ausgangssignalen GV-AZ1 (GV1 - AZ1 bis GV8 - AZ1) direkt zu entsprechenden Reglerventil-Servokarten geleitet. Zusätzlich wird das Einzelventil-Signal GVAZ1 denselben Karten zugeführt. In Fig. 16E ist nur eine Reglerventil-Servoeinrichtung mit ihrem Eingangskreis gezeigt, da sie repräsentativ für alle anderen ist. Die Servoeinrichtungen betätigen die Reglerventile über die Moog-Ventile, und LVDT-Schaltung sorgt für Stellungs-Rückkopplungssignale, die den Servoeinrichtungen zur raschen Ventileinstellungssteuerung ebenso wie den beiden Computern zum Zwecke der Nachführung des nicht-steuernden Computers bzw. nicht-steuernder Computer und zum Zwecke des Ausgangsvergleichs im steuernden Computer zugeführt werden. Wenn die Turbine sich in der sequentiellen Betriebsart befindet, haben die Signale GV1AZ1 bis GV8AZ1 Größen, die durch den Computer bestimmt werden, und das Einzelventil-Signal GVAZ1 hat die Größe Null. In der Einzelventil-Betriebsart hat das Einzelventil-Signal eine unter

509834/0222

Computer-Steuerung stehende Größe, und die sequentiellen Ventil-Signale sind Null„ Wie bereits vorgeschlagen, werden die Reglerventile in der manuellen Betriebsart auf Einzelventil-Betrieb begrenztο Im unteren linken Bereich der Fig. 16E ist eine Schaltungsanordnung zur Erzeugung einer zusätzlichen Reglerventil-Einstellungsanzeige wiedergegeben.

In Fig. 16H ist im einzelnen eine Anordnung gezeigt, um das Manuel!-/Automatik-Turbinen-Flipflop 405 zu betätigen, so daß der manuellen Steuerung ein Signal gegeben wirdj, welcher Computer die Turbine und den Kessel steuert, und um so für die manuelle Steuerung im Fall der Operatorwahl oder im Fall einer Störung beider Computer zu sorgen,» Nachstehend wird eine Bezeichnung der Eingangs-Logik-Werte gegeben;

CPIL CP2L CRED CSTM C1RD C2RD C1SA C2SA C1SL DEL1 DEL2 0Ä^XB 0S0A S0A^X STM^X

Computer =1 Live (CCI)

Computer =2 -Live (CCI)

Control Computer Ready for Auto

Computer Select Turbine Manual (CCI)

Computer =1 Ready for Auto

Computer =2 Ready for Auto

Computer =1 Select Auto (CCI)

Computer =2 Select Auto (CCI)

Computer =1 Selected for Control (CCI)

Delay signal =1

Delay signal =2

Operator Auto Pushbutton

Operator Select Operator Auto

Select Operator Auto

Select Turbine Manual

509834/02 2-2

TFT^X Transfer Time

TFT1 Transfer Time First Half

TM Turbine Manual

TM^XB Turbine Manual Pushbutton

TMX^X Previous State of Turbine Mam

TS0A Transfer Select Operator Auto

Wenn ein übergang der Steuerung von einem Computer an den anderen erfolgt, entweder wegen eines Computer-Ausfalls oder wegen einer Übergangs-Wahl, ändert das Signal C1SL seinen Zustand. Das läßt das Signal TFT1X1 5 s lang auf Null gehen, wobei die Turbinen-Manuell-Verriegelung in einem rückgesetzten Zustand gehalten wird. Die TMX-Verriegelung (vorhergehender Zustand der Turbinen-Manuell-Verriegelung) hält jedoch ihren Anfangszustand während der Übergangszeit, sofern keine Rücksetzung durch den Manuell-Druckknopf oder Ausfall beider Computer erfolgt. Dies läßt wiederum die Manuell-Anzeigelampen während des Übergangs dunkel bleiben, wenn der Ausgangszustand Auto war. Nach 5 s geht das Signal TFT1X1 auf Eins über, aber das Signal TFT^XY1 bleibt weitere 15 s auf Eins. Während dieser 15-s-Dauer, in der sowohl TFT1X1 als auch TFT^XY1 Eins sind, wird die TMX-Verriegelung auf Auto gesetzt, vorausgesetzt, daß der vorhergehende Zustand Auto war und daß der steuernde Computer seinen Bereit-Kontakt gesetzt hat. Wenn die 15-s-Dauer ausläuft, ohne daß Auto gewählt worden ist, kehrt die TMX-Verriegelung auf Manuell zurück, so daß die Manuell-Anzeigelampen eingeschaltet werden, und die TMX-Verriegelung bleibt in "Manuell" und kann nicht mehr auf Auto gesetzt werden,' sofern nicht der Operator-Auto-Druckknopf gedrückt wird, während der steuernde

509834/0222

Computer seinen Bereit-Kontakt gesetzt hat. Nachdem Auto gesetzt worden ist, braucht der Bereit-Kontakt nicht mehr geschlossen gehalten zu werden« Der Manuell-Zustand kann dadurch gewählt werden, daß der steuernde Computer seinen Computer-Wahl-Turbinen-Manuell-Kontakt setzt. Der Manuell-Zustand wird ebenfalls gesetzt, selbst bei Umgehen oder überholen (overriding) eines ablaufenden Übergangs, wenn beide Computer tot sind oder wenn der Turbinen-Manuel!-Druckknopf betätigt wird.

In Fig 161 sind bestimmte Prozeß-Kontakteingänge für die DEH-Hybridkonsole gezeigt. Diese umfassen ein Unterbrecher-Geöffnet-Relais und ein Turbine-Abgeschaltet-Relais. Fig. 161 zeigt außerdem die Toter Computer-KS-Relais-Kontakte in der Reglerventil-Analogausgangs-Unterbrechervervollständigungs-Rückkehr- Schaltungsanordnung» Das ermöglicht eine Betätigung der Reglerventile durch den steuernden Computer, wobei die Funktion wie der Übergangsmechanismus für die Schaltung der Steuerausgänge abläuft.

Der GV-Vorwärts-/Rückwärtszähler 415 ist weiter ins einzelne gehend in Fig. 16C gezeigt. Das Signal GVCUX1 repräsentiert ein Vorwärts-Inkrement-Eingangssignal für den Zähler entweder von der Operatorkonsole oder von dem Reglerventil-Nachfolgekreis 411'. In ähnlicher Weise repräsentiert das Signal GVCDX1 Rückwärts-Inkremente. Die drei in Fig. 16C unten ganz rechts befindlichen Blöcke erzeugen ein Zulässigkeitssignal für den Zähler. Der TV-Vorwärts-Rückwärtszähler 413' ist gleich dem GV-Vorwärts-Rückwärtszähler 415.

509 8 3 4/0222

Die DEh-Hybridkonsole weist ferner Drehzahl-Kanal-Schaltkreise 417 und 419 auf, die entsprechende Gruppen digitaler Fein- und Grob-Drehzahl-Signale für die beiden Computer von entsprechenden digitalen Drehzahl-Abtastsignalen SP-1 und SP-2 erzeugen. Die Drehzahl-Kanal-Schaltungsanordnung ist im einzelnen mit Fig. 16F-1 und 16F-2 wiedergegeben. Weitere Erläuterungen hinsichtlich der Drehzahl-Kanal-Schaltungsanordnung, wie sie hier Einsatz findet, ist in der Britischen Patentanmeldung 18 227/73 (Eig. Zehn. 41,775) beschrieben, worauf hier Bezug genommen werden soll. Die vorliegende Erläuterung unterscheidet sich von der entsprechenden in der letztgenannten Anmeldung im wesentlichen durch Verbesserungen, die im Hinblick auf eine Mehrfachcomputer-Verwirklichung eines Turbinen-Drehzahl-Steuerkreises mit digitalen Drehzahl-Signaleingängen gemacht wurden.

Wie mit Fig. 16F-2 gezeigt, werden entsprechenden Drehzahlkanälen A in dem Schaltkreis 417 (oberer Schaltkreis) und in dem (unteren) Schaltkreis 419 für die Computer 90-1 und 90-2 (vgl. oberen Block ganz links und unteren Block ganz links für Drehzahlabtastungen in Fig. 16F-2) gesonderte digitale Drehzahl-Signale zugeführt. In den gesonderten Schaltkreisen 417 und 419 werden für den Eingang zu entsprechenden Computern 90-1 und 90-2 digitale Grob- und Fein-Drehzahl-Signale erzeugt. Computer-Eingangskanäle arbeiten mit Unterbrechungen, um die digitalen Drehzahl-Signale mit den Computern zu koppeln. Ein als MAINT PANEL bezeichneter Einzelkristall-Oszillator teilt sich auf die beiden Schaltkreise 417 und 419 auf. Wie mit

50 9 8 34/0222

Fig. 16F-1 gezeigt, ist eine Drehzahlkanal-Störungserfassung mittels der beiden obersten analogen Computerblöcke vorgesehen. In der Detektor-Schaltungsanordnung wird ein gesondertes digitales Drehzahl-Signal SP-3 zusammen mit dem Kanal-A-Drehzahl-Signal verwendete

Die Drosseldruck-Regler-Schaltungsanordnung ist ebenfalls in der DEH-Hybridkonsole enthalten, wie in Fig„ 16G gezeigt. So steuert HTL LATCH 1, ob die Drosseldruck-Steuerung ein- oder ausgeschaltet ist« Ein zeitverzögertes Signal TMD²²YI setzt die Drosseldruck-Steuerung bei übergang von automatischer Turbinen-Steuerung auf manuelle Turbinen-Steuerung außer Betrieb. Durch einen analogen Computer, dessen Eingang das Drosseldruck-Rückkopplungssignal TPA^ZI und ein Drosseldruck-Einstellsignal zugeführt werden„ sorgt für Reglerbetätigung.

Patentansprüche:

4/0-222

Claims (1)

1. - 141 P atentansprüche ;

   1. Elektrische Kraftwerksanlage mit mindestens einer Turbine; einer Einrichtung zur Steuerung der Strömung von Turbinen-Antriebsflud; einem turbinengetriebenen Generator; und einem Steuersystem zur Steuerung des Betriebs der Kraftwerksanlage, mit einem ersten und einem zweiten digitalen Computer, einer Einrichtung zur Erzeugung von Eingangssignalen, die Komponenten (wie der Turbine und/oder einem Dampfgenerator) der Kraftwerksanlage zugeordnete Prozeßvariable repräsentieren, einer Einrichtung zur Kopplung der Eingangssignale mit den beiden Computern, wobei jeder der beiden Computer Steuerelemente zur Erzeugung von SteuerausgangsSignalen in Abhängigkeit von den Eingangssignalen hat, ferner einer Einrichtung zur Kopplung der Steuerausgangssignale der einzelnen Computer mit steuerbaren Elementen der Kraftwerksanlage unter normalen Betriebsbedingungen und zur überführung eines der Computer mit seinen zugehörigen Steuerkreisen in einen Zustand der Steuerung der steuerbaren Elemente und zur Überführung des anderen Computers mit seinen zugehörigen Steuerkreisen in eine Bereitschaftsstellung; sowie mit einer Abtasteinrichtung zur Erfassung von Steuersystem-Fehlfunktionen, dadurch gekennzeichnet, daß das Steuersystem eine Einrichtung aufweist, um den Aufbau des im Bereitschaftszustand befindlichen Computers in Echtzeit in Übereinstimmung mit dem steuernden Computer und den in Bereitschaftsstellung befindlichen Computer in einen Zustand zu bringen, in dem die Steuerausgangssignale vom in Bereitschaftsstellung befindlichen Computer im wesentlichen identisch denjenigen vom steuernden

   509834/0222

   Computer sind; sowie durch eine Einrichtung zur Ausführung eines Übergangs der Steuerung der steuerbaren Elemente der Kraftwerksanlage von dem steuernden Computer auf den in Bereitschaftsstellung befindlichen Computer in Abhängigkeit von einer durch die Abtasteinrichtung erfaßten Steuersystem-Fehlfunktion O

   2. Kraftwerksanlage nach Anspruch 1, dadurch gekennzeichnet, daß die Turbine eine Dampfturbine mit einer Mehrzahl Turbinenteile hat und die steuerbaren Elemente der Anlage eine Mehrzahl Drossel- und Reglerventile, die d©r Turbine zugeordnet sind, sowie weitere steuerbare Elemente aufweisen, die einem Dampfgenerator (wie einem Dampfkessel) der Anlage zugeordnet sind«

   3. Kraftwerksanlage nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Einrichtung zur Kopplung der Eingangssignale gesonderte Kontaktschließ-Eingangsschaltungen für den ersten bzw, zweiten Computer hat.

   4. Kraftwerksanlage Each einem der Ansprüche 1,. 2 oder 3, dadurch gekennzeichnet.? daß die Einrichtung zur Kopplung der Steuerausgangssigmaie ©ine gesonderte Kontaktschließ-AusgangsscJxaltungsanordsrang für den ersten bw. zweiten Computer aufweist.

   5® Kraftwerksanlage n@,ch Jtosprueh 4_S dadurch gekennzeichnet, daß die Einrichtung sur Kopplung der Steuerausgangssignale

   509834/0222

   ein auf den ersten und den zweiten Computer aufgeteiltes Analogausgangssystem aufweist.

   6. Kraftwerksanlage nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die Einrichtung zur Computeraufbauangleichung eine Zwischencomputer-Datenverbindurig für die übertragung von Signalen von dem steuernden Computer an den Bereitschaftscomputer aufweist, die Zustände des steuernden Computers repräsentieren, die sich in Abhängigkeit von Eingangssignalen ändern können, die durch den steuernden Computer, nicht aber durch den Bereitschaftscomputer registriert werden, wobei diese Zustände nicht von den Steuerausgangen des steuernden Computers aus erfaßbar sind.

   7. Kraftwerksanlage nach Anspruch 6, dadurch gekennzeichnet, daß die Einrichtung zur Computeraufbauangleichung dem Bereitschaftscomputer zugeordnete NachlaufSteuerungen aufweist.

   8. Kraftwerksanlage nach Anspruch 7 und Anspruch 2 oder einem der Ansprüche 3 bis 6 in Verbindung mit Anspruch 2, dadurch gekennzeichnet, daß die NachlaufSteuerungen für Erstniveau-Steuerungen vom Integriertyp eines Dampferzeugers (wie einem Kessel) vorgesehen sind.

   9. Kraftwerksanlage nach Anspruch 8, dadurch gekennzeichnet, daß die Nachlaufsteuerungen einen Steuerausgangnachlauf aufweisen, der für die Turbinensteuerkreise vorgesehen ist, die dem Bereitschaftscomputer über eine Rückberechnung auf der Basis

   50983 A /0222

   von Rückkopplungs-Drossel-⁹ und Reglerventil-Einstellungsventilen zugeordnet sind»

   ΙΟ» Kraftwerksanlage nach einem der Ansprüche 6 bis 9, dadurch gekennzeichnet, daß die Datenverbindung in der Lage ist, Manueil~/Automatik=Stationsdaten zu übertragen»

   11. Kraftwerksanlage nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, daß die Steuerübergangs-Ausführeinrichtung einen ersten Tot@r Computer-Detektors, ehaltkreis, der zwischen - die Ausgänge des ersten Computers und die Eingänge des -zweiten Computers geschaltet ist, und einen zweiten Toter Computer-Detektorschaltkreis aufweist, der zwischen die Ausgänge des zweiten Computers und die Eingänge, des ersten Computers geschaltet istο

   12» Kraftwerksamlage nach Anspruch 11, dadurch gekennzeichnet, daß die Steu©rübergangs=Ausführeinrichtung eine Toter Computer-Konsole aufweist, die eine Mehrzahl schaltender Elemente hatQ die durch di© Computer betätigt werden, um ausgewählte Ausgangsschaltkreise in Übereinstimmung mit dem steuernden ersten bzw, zweiten Computer zu aktivieren»

   13ο Kraftwerksanlage nach einem der Ansprüche β bis 9, dadurch gekennzeichnet, daß das Steuersystem eine Einrichtung zur Erzeugung von Operator-Computer-Wahlsignaien aufweist und

   sie auf die Operator=Comput@r-Wahlsigneil@ anspricht.

   509834/0222

   14. Kraftwerksanlage nach einem der Ansprüche 1 bis 13, dadurch gekennzeichnet, daß das Steuersystem eine Sperreinrichtung zur Verhinderung der Rückübertragung in der Steuerung von dem ersten auf den zweiten Computer bzw. umgekehrt innerhalb einer Stabilisierungsperiode nach dem Auftreten eines Steuerungsübergangs von dem einen Computer auf den anderen aufweist.

   15. Kraftwerksanlage nach einem der Ansprüche 1 bis 14, dadurch gekennzeichnet, daß die Abtasteinrichtung eine Einrichtung zur Erfassung der Schaltkreisbedingungen entsprechend Fehlfunktionen in der Eingangssignal-Koppeleinrichtung für jeden der beiden Computer, eine Einrichtung zur Erfassung von Schaltkreiszuständen entsprechend Fehlfunktionen in der Steuerausgangs-Koppe!einrichtung für jeden der beiden Computer und eine Einrichtung zur Erfassung von Computerzuständen aufweist, die in Beziehung zu den Steuerelementen der beiden Computer stehen und Fehlfunktionen im Betrieb eines der beiden Computer repräsentieren, wobei die Steuerübergangs-Ausführeinrichtung in einen Zustand gebracht ist, um den übergang in der Steuerung der Kraftwerksanlage von dem ersten auf den zweiten Computer auszuführen, indem veranlaßt wird, daß die Steuerausgänge vom zweiten Computer die steuerbaren Elemente der Kraftwerksanlage beaufschlagen, wenn die Abtasteinrichtung eine dem ersten Computer zugeordnete Steuersystemfehlfunktion erfaßt.

   16. Kraftwerksanlage nach Anspruch 4 und 15, dadurch

   509834/0222

   gekennzeichnet, daß jeder Kontaktschließ-Ausgangsschaltkreis eine Mehrzahl Computerausgangskontakte und die Erfassungsein richtung eine Detektoreinrichtung zur Erfassung von Fehlfunk tionen bei dem Betrieb der Computerausgangskontakte aufweist und daß die Steuerübergangs-Ausführeinrichtung -in einen Zustand gebracht ist, um einen Steuerübergang in Abhängigkeit von einer von der Detektoreinriehtung". erfaßten Fehlfunktion auszuführen.,

   „ Kraftwerksanlage nach @4a@a de.n Ansprüchen 3 m%ä 15 oder 16, dadurch gekennzeichnet _r daß jeder Kontaktschließ-Eingangskreis eine Mehrzahl Computereingangskontakte aufweist-, daß die Abtasteinrichtung eine Detektoreinrichtung zur Erfassung von Fehlfunktionen im Betrieb der Computereingangskontakte aufweist und daß die Steuerübergangs-Ausführeinrichtung in einen Zustand gebracht ist, um einen Steuerübergang in Abhängigkeit von einer von der letztgenannten Detektoreinrichtung erfaßten Fehlfunktion ausaufuhren_o

   18. Kraftwerksanlaga nach Anspruch 15, 16 oder 17, dadurch gekennzeichnet ρ daß jede Eingangssignal"Koppeleinrichtung einen Analog-/DigitalwaBdler aufweist? dsssen Eingang Prozeßvariable der Anlag© repräsentierende Analog-Eingangssignale aufnehmen kann, daß, jeder der Wandler eine Mehrzahl selektiv betätigbarer Punktrelais aufweist» dio entsprechenden, Änalog-Eingangssignalen zugeordnet uad in der Lage sind, diese zur Umwandlung in Digitalaigmal© durch d©n Wandler zu leiten, daß die ■ Abtasteinrichtung eine Detektoreinsrichtung zur Erfassung des Zustande der nicht für den Betrieb gewählten Punktrelais

   509834/0222

   und/oder zur Erfassung des Zustands der für Betrieb gewählten Punktrelais aufweist und daß die Steuerübergangs-Ausführeinrichtung in einen Zustand gebracht ist, um den Steuerübergang in Abhängigkeit von einer erfaßten Punktrelais-Fehlfunktion auszuführen.

   19. Kraftwerksanlage nach Anspruch 18, dadurch gekennzeichnet, daß die Abtasteinrichtung eine Detektoreinrichtung zur Erfassung von Fehlern bei der Umwandlung der Analog-Eingangssignale in die Digitalsignale aufweist und daß die Steuerübergangs-Ausfülleinrichtung in einen Zustand gebracht ist, um einen Steuerübergang von einem der Computer zum andern in Abhängigkeit von einem durch die letztgenannte Detektoreinrichtung erfaßten Umwandlungsfehler in dem dem einen Computer zugeordneten Wandler auszuführen.

   20. Kraftwerksanlage nach einem der Ansprüche 15 bis 19, dadurch gekennzeichnet, daß jedem der Computer eine Detektoreinrichtung zugeordnet ist, um das Auftreten eines Geschlossener Kreis-Computerbetriebs und die Durchführung oder Nichtdurchführung einer vorgewählten Aufgabe (task) bei einem vorgewählten Prioritätsniveau innerhalb einer vorgegebenen Zeitdauer zu erfassen, und daß die Steuerübergabe-Ausführungseinrichtung in einen Zustand gebracht ist, um einen Steuerübergang von einem der Computer zum andern in Abhängigkeit von einer durch die letztgenannte Detektoreinrichtung erfaßten Aufgabenstörung oder einem dadurch erfaßten Geschlossener Kreis-Betrieb auszuführen.

   509834/0222

   "" 14ο —

   21. Kraftwerksanlage nach einem der Ansprüche 15 bis 20, dadurch gekennzeichnet, daß jeder Computer einen Kernspeicher mit einer Mehrzahl Wortstellen aufweist, daß die Abtasteinrichtung eine Detektoreinrichtung zur Erfassung, ob ein Parity-Bit in jedem wenigstens einiger Kernwörter richtig eingestellt ist,hat, um die Anzahl der eingestellten Bits anzuzeigen, und daß die Steuerübergabe-Ausführeinrichtung in einen Zustand gebracht ist, um einen Steuerübergang von einem der Computer an einen anderen Computer in Abhängigkeit von einem durch die letztgenannte Detektoreinrichtung erfaßten Parity-Fehler auszuführen .

   22. Kraftwerksanlage nach einem der Ansprüche 6 bis 9 und 15 bis 21, dadurch gekennzeichnet, daß die Abtasteinrichtung eine Detektoreinrichtung aufweist, die auf Signale anspricht, die für Daten repräsentativ sind, die über die Datenverbindung von dem einen Computer an den anderen übertragen werden müssen, und daß die SteuerÜbergabe-Ausführeinrichtung in einen Zustand gebracht ist, um einen Steuerungsübergang vom einen Computer an den anderen in Abhängigkeit von einer durch die letztgenannte Detektoreinrichtung erfaßten Datenverbindungs-Fehlfunktion auszuführen.

   23. Kraftwerksanlage nach Anspruch 22, dadurch gekennzeichnet, daß die Datenverbindung einen Koppelschaitkreis und die letztgenannte Detektoreinrichtung eine Einrichtung zur Erfassung einer Störung im Betrieb des Koppelschaltkreises aufweist.

   509834/0222

   24. Kraftwerksanlage nach Anspruch 22 oder 23, dadurch gekennzeichnet, daß das Steuersystem eine Sperreinrichtung auf-

   auf die
   weist, die/letztgenannte Detektoreinrichtung anspricht, um automatische Steuerung durch einen der beiden Computer nach einem Steuerübergang auf diesen von dem anderen in Abhängigkeit von einer durch die letztgenannte Detektoreinrichtung erfaßten Datenverbindungs-Fehlfunktion zu sperren.

   25. Kraftwerksanlage nach einem der Ansprüche 1 bis 24, dadurch gekennzeichnet, daß das Steuersystem eine manuelle Steuereinrichtung zur manuellen Steuerung des Betriebs der steuerbaren Elemente der Kraftwerksanlage sowie Übergabeeinrichtungen zur übergabe der Steuerung der steuerbaren Elemente von dem steuernden Computer an die manuelle Steuereinrichtung aufweist, wenn beide Computer eine Fehlfunktion aufgewiesen haben',

   26. Kraftwerksanlage nach Anspruch 25, dadurch gekennzeichnet, daß die Abtasteinrichtung einen Computer-Störungs-Schaltkreis zur Erzeugung eines Störungssignals, wenn der steuernde Computer ausfällt; einen Anzeige-Schaltkreis zur Erzeugung eines Anzeigesignals, das angibt, daß der Steuerübergang an den die Steuerung übernehmenden Bereitschaftscomputer eine Störung aufgewiesen hat; und einen Zeitschaltkreis aufweist, der sowohl auf den Computer-Störungs-Schaltkreis als auch den Anzeige-Schaltkreis anspricht, um ein zeitverzögertes Signal für den Fall der Erzeugung sowohl eines Computerstörungssignals als auch des Anzeigesignals zu erzeugen, wobei die

   509834/0222

   übergabeeinrichtung in einen Zustand gebracht ist, um die Steuerung der steuerbaren Elemente von dem die Steuerung übernehmenden Bereitschaftscomputer in Abhängigkeit von dem zeitverzögerten Signal an die manuelle Steuereinrichtung zu übergeben.

   27. Kraftwerksanlage nach Anspruch 25 oder 26, dadurch gekennzeichnet, daß das Steuersystem eine Einrichtung zur Erzeugung von Operator-Manuell-ZAutomatikbetriebsart-Wählsignalen und eine Koppeleinrichtung zur Verbindung der Operator-Manuell-/ Automatikbetriebsart-Wählsignale mit den Computern und der Einrichtung zur manuellen Steuerung aufweist, um einen Steuerungsübergang von einem Computer zum anderen oder zur manuellen Steuerungseinrichtung (bzw. umgekehrt) auszuführen.

   28. Kraftwerksanlage nach einem der Ansprüche 25 bis 27 in Verbindung mit Anspruch 24, dadurch gekennzeichnet, daß die Sperreinrichtung in einen Zustand gebracht ist, um eine Rückkehr der steuerbaren Elemente nach Einleitung eines Steuerübergangs von einem Computer auf den anderen zu automatischer Computersteuerung zu sperren und für eine manuelle Steuerung der steuerbaren Elemente über die übergabeeinrichtung zu sorgen.

   29. Kraftwerksanlage nach einem der Ansprüche 1 bis 28, in Verbindung mit Ansprüchen 7 und 26, dadurch gekennzeichnet, daß die Nachlaufsteuerungen in einen Zustand gebracht sind, um vorgegebene Steuerausgänge des Bereitschaftscomputers mit

   .50 9834/0222 '

   gleichen Steuerausgängen des steuernden Computers in Einklang zu bringen, und daß der Zeitschaltkreis in einen Zustand
   gebracht ist, um das zeitverzögerte Signal mit einer Zeitverzögerung zu erzeugen, die ausreicht, um die nachgeführten
   Steuerkreise in dem Bereitschaftscomputer in. die automatische Computersteuerung der steuerbaren Elemente durch den steuernden Computer nacfcyeiner Steuerungsübergabe an den Bereitschaftscomputer zurückkehren zu lassen.

   KN/hs/ot 5

   509834/0222