DE2636352B2 - Schutzsystem für einen Kernreaktor - Google Patents

Description

25

Die Erfindung betrifft ein Schutzsystem für einen Kernreaktor unter Verwendung eines Rechnersystems zur Verarbeitung von Prozeßdaten, das zwei über einen Taktgeber parallelgeschaltete Rechner mit gleichem Programm umfaßt, die mit einer Vergleichseinrichtung verbunden sind.

Aus der deutschen Offenlegungsschrift 22 06 234 ist ein Druckwasserreaktor bekannt, bei dem ein Rechner aus Daten des Primärkreises, zum Beispiel aus dem Neutronenfluß und der Drehzahl der Hauptkühlmittelpumpe sowie dem Druck des Primärkühlmittels eine Modellnachbildung des Reaktorkerns erstellt. Mit dem Modell soll der Zustand des Recktorkerns simuliert werden, soweit er für die Beurteilung des Filmsiedegrenzwertes notwendig ist. Bei dieser Anordnung ist jedoch offenbar vorausgesetzt, daß der Rechner entweder genügend zuverlässig ist, so daß sein Versagen ausgeschlossen ist, oder daß durch die Ausbildung des Rechners selbst, des Rechnerprogramms oder andere Mittel dafür gesorgt ist, daß ein Versagen des Rechners nicht zu unzulässigen Störungen führen kann.

Ferner ist aus der deutschen Offenlegungsschrift 23 19 753 eine Datenverarbeitungsanlage bekannt, die zur Erhöhung der Sicherheit ihrer Arbeitsweise mit zwei praktisch gleichen Prozessoren ausgerüstet ist. Die Prozessoren führen wegen gleicher Organisation und Programmierung sowie aufgrund einer Mehrfachkopplung mit externen Einrichtungen synchron die gleiche Aufgabe aus. Deshalb kann mit einer Komparatoran-Ordnung eine frühzeitige Erfassung von Störungen und Fehlern und vor allem die schnelle Identifizierung des fehlerhaften der beiden Prozessoren erfolgen. Die schnelle Feststellung hat aber nur den Zweck, die Richtigkeit der von der Anlage insgesamt zu leistenden Rechnung sicherzustellen, und das Abschalten eines defekten Teils wird bis zu seiner Reparatur beibehalten. Ausgedrückt ist dies dadurch, daß die Komparatoren nach einer Unterbrechung einer Arbeit für die Weiterverfolgung dieser Arbeit gesperrt bleiben.

Aufgabe der Erfindung ist es, die Verfügbarkeit von Rechnersystemen so zu verbessern, daß sie als Schutzsystem eines Kernreaktors geeignet sind. Dazu muß die Möglichkeit einer Störung der Anlage praktisch ausgeschlossen werden.

Die vorgenannte Aufgabe wird erfindungsgemäß dadurch gelöst daß einem mit dem Rechnersystem über die Ausgangsleitung verbundenen Auswertungsbaustein drei weitere Rechnersysteme zugeordnet sind, und daß in dem Auswertungsbaustein vor dem Eingriff in die Steuerung des Reaktors eine 2-von-4-Auswertung der Ausgangswerte der vier Rechnersysteme stattfindet Den beiden Rechnern eines Rechnersystems kann dabei ein von dem Auswertungsbaustein unabhängiger Signalgeber zugeordnet sein, der eine Störung im Bereich der beiden Rechner meldet

Mit dem neuen Schutzsystem können aufgrund der 2-von-4-Auswertung Wahrscheinlichkeiten des Versagens von höchstens 10~^e erreicht werden. Damit genügt das neue Schutzsystem auch den extremen Anforderungen auf dem Gebiet der Reaktortechnik. Wichtig ist dabei, daß durch die an sich bekannte gleichzeitige Programmbearbeitung durch parallelgeschaltete Rechner auch dann Fehler entdeckt werden, wenn keine Schutzanforderungen aus dem Schutzsystem vorliegen. Dies bedeutet, daß Störungen während des normalen Betriebes entdeckt werden und nicht nur während der verschwindend kurzen Zeiten, in denen das Schutzsystem in seiner Schutzfunktion beansprucht ist.

Durch den zweiten Rechner, der vorzugsweise zusammen mit dem ersten Rechner an einen gemeinsamen Eingabebaustein angeschlossen ist, wird der Rechenvorgang in völlig gleicher Weise parallel durchgeführt, so daß aus einem übereinstimmenden Ergebnis auf das fehlerhafte Funktionieren geschlossen werden kann, wenn man von dem äußerst unwahrscheinlichen Fall gleichzeitiger und gleicher Fehler absieht. Ein Fehler normaler Art macht sich durch ein Abweichen der Rechnerergebnisse bemerkbar, und zwar unverzögert, so daß sofort ein Signal die Unstimmigkeit anzeigen kann. Der dafür notwendige Aufwand ist bei Verwendung von Kleinrechnern (Mikroprozessoren) relativ gering.

Der Taktgeber sorgt für die erforderliche Synchronisation, so daß auch bei schnellen Signalwechseln (etwa 10 MHz) und bei einer gegebenenfalls gewünschten räumlichen Trennung kein Auseinanderlaufen der Rechner zu befürchten ist Dieser Taktgeber kann auch die Vergleichseinrichtung steuern, die vorzugsweise Daten- und Adreßbusse zwischen Steuerwerk und Speicher oder Peripherie mit einer Exklusiv-Oder-Schaltung verknüpft. Bei einem positiven Vergleichsergebnis wird die Weiterleitung eines Taktes erlaubt, der zu einer geeigneten Signaleinrichtung führt.

Nachfolgend wird anhand der Zeichnung ein Ausführungsbeispiel beschrieben, das in Form eines Blockschaltbildes ausgeführt ist. Der überwachte Kernreaktor kann in bekannter Weise ein Druckwasserreaktor sein, wie dies in der eingangs genannten deutschen Offenlegungsschrift 22 06 234 beschrieben ist.

Die Prozeßdaten kommen über eine Leitung 1, die dem Datenfluß entsprechend mehradrig ausgeführt sein kann, wenn man nicht auf ein Zeitmultiplexsystem zurückgreifen will. In einem Eingabebaustein 2 werden die Eingangssignale, zum Beispiel Druck und Temperatur des Primärkühlmittels, Drehzahl der Hauptkühlmittelpumpen, Neutronenflußdichte usw. in für einen Rechner geeignete Weise umgesetzt. Dabei wird es sich

1. um eine Analog-Digital-Umwandlung handeln,

2. kann der Signalpegel den für Rechner benötigten Werten angepaßt werden.

An den Eingabebaustein sind zwei gleiche Rechner 3 und 4 Ober Leitungen 5 und 6 in »Parallelschaltung« angeschlossen. Die Rechner sind gleich ausgebildet Es handelt sich vorzugsweise um Mikroprozessoren, die auf einem Halbleiterkristall integriert sind (z. B. »INTEL 8080«) oder die aus mehreren 2-Bit-bFeiten Verarbeitungselementen zusammengesetzt sind (z.B. »INTEL 3000«), mit einem Speicher von 32 000 bytes. Die Speicher können zum Beispiel in Form von Ringkernen, aber auch als Halbleiterspeicher ausgeführt sein.

Die Rechner 3 und 4 sind zusätzlich über einen Taktgeber 7 miteinander verbunden. Der Taktgeber ist im wesentlichen ein Oszillator mit einer Frequenz von zum Beispiel 10 MHz. Er sorgt dafür, daß die Rechner 3 und 4 im Rahmen ihrer unvermeidlichen Frequenztoleranzen nicht auseinanderlaufen können.

Die Ergebnisse der Rechner 3 und 4 werden über Leitungen 8 und 9 in eine Vergleichseinrichtung 10 eingespeist, die über eine Leitung 11 noch mit dem Taktgeber 7 verbunden ist Die Vergleichseinrichtung 10 umfaßt Exklusiv-Oder-Schaltungen, die die Daten- und Adreßbusse zwischen Steuerwerk und Speicher der Rechner 3 und 4 verknüpfen. Unter Umständen kann die Verknüpfung auch zwischen Steuerwerk und Peripherie vorgenommen werden. Daraus wird bei Obereinstimmung ein gegebenenfalls vom Taktgeber 7 stammendes Signal gewonnen, das über eine Leitung 12 aus der Vergleichseinrichtung 10 geführt wird.

Die Leitung 12 führt zu einer Kette 13 von Und-Gliedem, die über eine Leitung 14 mit einem Prüftaktsignal beaufschlagt wird. Eine erste Und-Schaltung 15 ist dabei über eine Leitung 16 an den Rechner 4 angeschlossen. Mit ihr ist eine zweite Und-Schaltung 17 in Reihe geschaltet, an die die Leitung 12 geführt ist. Eine dritte Und-Schaltung 18 ist über eine Leitung 19 mit dem Rechner 3 verbunden. Ihr ist eine Und-Schaltung 20 nachgeschaltet, die über eine Leitung 21 ein

10

15

20

30

35 Signal erhält Der Ausgang 22 der Kette 13 führt zu einem Signalgeber 23, der für den FaIi eines fehlenden Signals meldet, daß eine Störung in dem mit dem Rechner 3 ausgeführten Schutzsystem, und zwar im Bereich der Rechner 3 oder 4 vorliegt Der Signalgeber 23 liegt außerhalb des durch eine strichpunktierte Gerade angedeuteten Rechnerbereichs zum Beispiel in einer Warte.

Die Leitung 21 kommt von einem Zeitglied 24, das seinerseits über eine Leitung 25 mit einem Ausgabebaustein 26 des Rechners 3 verbunden ist Der Ausgabebaustein hat die Aufgabe, aus den vom Ausgang 27 des Rechners 3 stammenden Signalen Ausgangssignale, zum Beispiel Spannungen bestimmter Höhe und/oder Frequenz zu liefern, die für die Anregung eines an eine Leitung 28 angeschlossenen Schutzsystems geeignet sind. Über die Leitung 25 werden Ausgangssignale zum Zeitglied 24 auf die Und-Stufe 20 der Kette 13 gegeben, so daß damit eine Überwachung des Zeitverhaltens des Taktgebers 7 und des in den Rechnern 3 und 4 befindlichen Programmsystems erreicht wird.

An die Ausgangsleitung 28 ist eine Rückkopplungsleitung 29 angeschlossen, die zum Eingabebaustein 2 führt. Mit dieser Leitung kann eine Überwachung des Eingabebausteins 2 und des Ausgabebausteins 26 erhalten werden, wenn in bekannter Weise durch eine Speicherung die für den Ausgang des Rechners 3 maßgeblichen Eingangswerte gesichert sind.

Die Leitung 28 führt zu einem Auswertungsbaustein 30, der, wie die Pfeile 31, 32 und 33 andeuten, mit drei weiteren Rechnersystemen verbunden ist. Dort wird eine Auswertung nach dem 2-von-4-Prinzip vorgenommen, bevor über die Ausgangsleitung 34 in die Steuerung des Reaktors eingegriffen wird, zum Beispiel dadurch, daß durch das Einfahren von Steuerstäben eine Abschaltung des Druckwasserreaktors erfolgt

Hierzu 1 Blatt Zeichnungen

Claims (1)

1. Patentansprüche:

   1. Schutzsystem für einen Kernreaktor unter Verwendung eines Rechnersystems zur Verarbeitung von Prozeßdaten, das zwei über einen s Taktgeber parallelgeschaltete Rechner mit gleichem Programm umfaßt, die mit einer Vergleichseinrichtung verbunden sind, dadurch gekennzeichnet,, daß einem mit dem Rechnersystem (3,4) über die Ausgangsleitung (28) verbundenen Auswertungsbaustein (30) drei weitere Rechnersysteme zugeordnet sind, und daß in dem Auswertungsbaustein (30) vor dem Eingriff in die Steuerung des Reaktors eine 2-von-4-Auswertung der Ausgangswerte (Leitungen 28,31,32,33) der vier Rechnersysterne stattfindet

   2. Schutzsystem nach Anspruch 1, dadurch gekennzeichnet, daß den beiden Rechnern (3,4) eines Rechnersystems ein von dem Auswertungsbaustein (30) unabhängiger Signalgeber (23) zugeordnet ist, der eine Störung im Bereich der beiden Rechner (3,

   4) meldet