DE2636352A1

DE2636352A1 - Schutzsystem, insbesondere fuer einen kernreaktor

Info

Publication number: DE2636352A1
Application number: DE19762636352
Authority: DE
Inventors: Uwe Dipl Phys Mertens
Original assignee: Kraftwerk Union AG
Current assignee: Kraftwerk Union AG
Priority date: 1976-08-12
Filing date: 1976-08-12
Publication date: 1978-02-16
Also published as: DE2636352B2; DE2636352C3

Description

Schutzsystem, insbesondere für einen Kernreaktor
Die Erfindung betrifft ein Schutzsystem, insbesondere für einen Kernreaktor, mit einem Rechner zur Verarbeitung von Prozeßdaten.
Aus der deutschen Offenlegungsschrift 22 o6 234 ist ein Druckwasserreaktor bekannt, bei dem ein Rechner aus Daten des Primärkreises, zum Beispiel aus dem Neutronenfluß und der Drehzahl der Hauptkühlmittelpumpe und einer Meßeinrichtung für den Druck des Primärkühlmittels eine Modellnachbildung des Reaktorkerns versorgt. Im Modell soll der Zustand im Reaktorkern simuliert werden, soweit er für die Beurteilung des Filmsiedegrenzwertes notwendig ist. Bei dieser Anordnung ist Jedoch offenbar vorausgesetzt, daß der Rechner entweder genügend zuverlässig ist, so daß sein Versagen ausgeschlossen ist, oder daß durch die Ausbildung des Rechners selbst, des Rechnerprogramms oder andere Mittel dafür gesorgt ist, daß ein Versagen des Rechners nicht zu unzulässigen Störungen führen kann. Gerade dieses Problem liegt aber der vorliegenden Erfindung zugrunde, denn es soll die Aufgabe gelöst werden, Rechner, d.h. aus elektronischen Bauteilen, insbesondere Halbleiterelementen, zusammengesetzte elektrische Rechenbauwerke, für den Schutz von Kernreaktoren oder ähnlich wichtigen Anlagen einzusetzen, wobei ein Ausfall unzulässig ist, mindestens aber mit der größten denkbaren Schnelligkeit erkannt werden muß.
Zur Lösung der vorgenannten Aufgabe ist erfindungsgemäß dem Rechner Uber einen Taktgeber ein zweiter Rechner mit gleichem Programm parallelgeschaltet und die beiden Rechner sind mit einer Vergleichseinrichtung verbunden, die bei einer Abweichung ein Signal gibt.
Durch den zweiten Rechner, der vorzugsweise zusammen mit dem ersten Rechner an einen gemeinsamen Eingabebaustein angeschlossen ist, wird der Rechenvorgang in völlig gleicher Weise parallel durchgeführt, so daß aus einem übereinstimmenden Ergebnis auf das fehlerfreie Funktionieren geschlossen werden kann, wenn man von dem äußerst unwahrscheinlichen Fall gleichzeitiger und gleicher Fehler absieht. Ein Fehler normaler Art macht sich durch ein Abweichen der Rechnerergebnisse bemerkbar, und zwar unverzögert, so daß sofort ein Signal die Unstimmigkeit anzeigen kann. Der dafUr notwendige Aufwand ist bei Verwendung von Kleinrechnern (Mikroprozessoren) relativ gering.
Der Taktgeber sorgt für die erforderliche Synchronisation, so daß auch bei schnellen Signalwechseln (etwa 10 MHz) und bei einer gegebenenfalls gewünschten räumlichen Trennung kein Auseinanderlaufen der Rechner zu befürchten ist. Dieser Taktgeber kann auch die Vergleichseinrichtung steuern, die vorzugsweise Daten- und Adreßbusse zwischen Steuerwerk und Speicher oder Peripherie mit einer Exklusiv-Oder-Schaltung verknüpft. Bei einem positiven Vergleichsergebnis wird die Weiterleitung eines Taktes erlaubt, der zu einer geeigneten Signaleinrichtung führt.
Die beiden Rechner und die Vergleichseinrichtung können mit einer Kette von Und-Gliedern verbunden sein, an die die Signaleinrichtung angeschlossen-ist. An die gleiche Kette kann zusätzlich einer der Rechner über ein Zeitglied angeschlossen sein, das eine Zeitüberwachung erlaubt. Vorzugsweise ist das Zeitglied an einen Ausgabebaustein des Rechners angeschlossen.
Zur näheren Erläuterung der Erfindung wird anhand der beilie- genden Zeichnung ein Ausführungsbeispiel beschrieben, das in Form eines Blockschaltbildes ausgeführt ist. Der überwachte Kernreaktor kann in bekannter Weise ein Druckwasserreaktor sein, wie dies in der eingangs genannten deutschen Offenlegungsschrift 22 06 234 beschrieben ist. Die Erfindung kommt aber auch für andere Anwendungsfälle, zum Beispiel in der chemischen Industrie oder bei der sogenannten konventionellen Energieerzeugung in Frage, wo ähnliche Verhältnisse vorliegen.
Die Prozeßdaten kommen über eine Leitung 1, die dem Datenfluß entsprechend mehradrig ausgeführt sein kann, wenn man nicht auf ein Zeitmultiplexsystem zurückgreifen will. In einem Eingabebaustein 2 werden die Eingangssignale, zum Beispiel Druck und Temperatur des Primärkühlmittels, Drehzahl der Hauptkühlmittelpumpen, Neutronenflußdichte usw. in für einen Rechner geeignete Werte umgesetzt. Dabei wird es sich 1. um eine Analog-Digital-Umwandlung handeln, 2. kann der Signalpegel den für Rechner benötigten Werten angepaßt werden.
An den Eingabebaustein sind zwei gleiche Rechner 3 und 4 über Leitungen 5 und 6 in Parallelschaltung" angeschlossen. Die Rechner sind gleich ausgebildet. Es handelt sich vorzugsweise um Mikroprozessoren, die auf einem Halbleiterkristall integriert sind (z.B."INTEL 8080") oder die aus mehreren 2-Bit-breiten Verarbeitungselementen zusammengesetzt sind (z.B. "INTEL 3000"), mit einem Speicher von 32 000 bytes. Die Speicher können zum Beispiel in Form von Ringkernen, aber auch als Halbleiterspeicher ausgeführt sein.
Die Rechner 3 und 4 sind zusätzlich über einen Taktgeber 7 miteinander verbunden. Der Taktgeber ist im wesentlichen ein Oszillator mit einer Frequenz von zum Beispiel 10 MHz. Er sorgz dafür, daß die Rechner 3 und 4 im Rahmen ihrer unvermeidlichen Frequenztoleranzen nicht auseinanderlaufen können.
Die Ergebnisse der Rechner 3 und 4 werden über Leitungen 8 und 9 in eine Vergleichseinrichtung 10 eingespeist, die über eine Leitung 11 noch mit dem Taktgeber 7 verbunden ist. Die Ver- gleichseinrichtung 10 umfaßt Exklusiv-Oder-Schaltungen, die die Daten- und Adreßbusse zwischen Steuerwerk und Speicher der Rechner 3 und 4 verknüpfen. Unter Umständen kann die Verknüpfung auch zwischen Steuerwerk und Peripherie vorgenommen werden. Daraus wird bei Übereinstimmung ein gegebenenfalls vom Taktgeber 7 stammendes Signal gewonnen, das über eine Leitung 12 aus der Vergleichseinrichtung 10 geführt wird.
Die Leitung 12 führt zu einer Kette 13 von Und-Gliedern, die über eine Leitung 14 mit einem Prüftaktsignal beaufschlagt wird.
Eine erste Und-Schaltung 15 ist dabei über eine Leitung 16 an den Rechner 4 angeschlossen. Mit ihr ist eine zweite Und-Schaltung 17 in Reihe geschaltet, an die die Leitung 12 geführt ist. Eine dritte Und-Schaltung 18 ist über eine Leitung 19 mit dem Rechner 3 verbunden. Ihr ist eine Und-Schaltung 20 nachgeschaltet, die über eine Leitung 21 ein Signal erhält. Der Ausgang 22 der Kette 13 führt zu einem Signalgeber 23, der für den Fall eines fehlenden Signals meldet, daß eine Störung in dem mit dem Rechner 3 ausgeführten Schutzsystem und zwar im Bereich der Rechner 3 oder 4 vorliegt. Der Signalgeber 23 liegt außerhalb des durch eine strichpunktierte Gerade angedeuteten Rechnerbereichs zum Beispiel in einer Warte.
Die Leitung 21 kommt von einem Zeitglied 24, das seinerseits über eine Leitung 25 mit einem Ausgabebaustein 26 des Rechners 3 verbunden ist. Der Ausgabebaustein hat die Aufgabe, aus den vo Ausgang 27 des Rechners 3 stammenden Signalen Ausgangssignale, zum Beispiel Spannungen bestimmter Höhe und/oder Frequenz zu liefern, die für die Anregung eines an eine Leitung 28 angeschlossenen Schutzsystems geeignet sind. Über die Leitung 25 werden Ausgangssignale zum Zeitglied 24 auf die Und-Stufe 20 der Kette 13 gegeben, so daß damit eine Überwachung des Zeitverhaltens des Taktgebers 7 und des in den Rechnern 3 und 4 befindlichen Programmsystems erreicht wird.
An die Ausgangsleitung 28 ist eine Rückkopplungsleitung 29 an- geschlossen, die zum Eingabebaustein 2 führt. Mit dieser Leitung kann eine Überwachung des Eingabebausteins 2 und des Ausgabebausteins 26 erhalten werden, wenn in bekannter Weise durch eine Speicherung die für den Ausgang des Rechners 3 maßgeblichen Eingangswerte gesichert sind.
Die Leitung 28 führt zu einem Auswertungsbaustein 30, der, wie die Pfeile 31, 32 und 33 andeuten, mit drei weiteren Rechnersystemen verbunden ist. Dort wird eine Auswertung nach dem 2-von-4-Prinzip vorgenommen, bevor über die Ausgangsleitung 34 in die Steuerung des Reaktors eingegriffen wird, zum Beispiel dadurch, daß durch das Einfahren von Steuerstäben eine Abschaltung des Druckwasserreaktors erfolgt.
6 Patentansprüche 1 Figur

Claims

Patentanspriiche 1. Schutzsystem, insbesondere fUr einen Kernreaktor, mit einem Rechner zur Verarbeitung von Prozeßdaten, dadurch gekennzeichnet, daß dem Rechner (3) über einen Taktgeber (7) ein zweiter Rechner (4) mit gleichem Programm parallelgeschaltet ist und daß die beiden Rechner (3, 4) mit einer Vergleichseinrichtung (10) verbunden sind, die bei einer Abweichung ein Signal gibt.
2. Schutzsystem nach Anspruch 1, dadurch gekennzeichnet, daß die Vergleichseinrichtung (10) mit dem Taktgeber (7) gekoppelt ist.
3. Schutzsystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die beiden Rechner (3,4) und die Vergleichseinrichtung (10) mit einer Kette (13) von Und-Gliedern (15, 17, 18, 20) verbunden sind, an die die Signaleinrichtung (23) angeschlossen ist.
4. Schutzsystem nach Anspruch 3, dadurch gekennzeichnet, daß einer der Rechner (3,4) über ein Zeitglied (24) mit der Kette (13) von Und-Gliedern verbunden ist.
5. Schutzsystem nach Anspruch 4, dadurch gekennzeichnet, daß das Zeitglied (24) an einen Ausgabebaustein (26) des Rechners (3) angeschlossen ist.
6. Schutzsystem nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß beide Rechner (3,4) an den gleichen Eingabebaustein (2) angeschlossen sind.