DE2745745A1

DE2745745A1 - Prozessteueranlage

Info

Publication number: DE2745745A1
Application number: DE19772745745
Authority: DE
Inventors: Auguste Gillet; Paul Gilsoul; Emile Malhaize
Original assignee: ACEC; Ateliers de Constructions Electriques de Charleroi SA
Current assignee: ACEC; Umicore NV SA
Priority date: 1976-10-11
Filing date: 1977-10-11
Publication date: 1978-04-13
Also published as: FR2367313A1; NL7711086A; BE847141A; FR2367313B1; US4200864A

Description

Patentanwälte

^D""-^|nfl Dipl-Chem Dipl-Ing

E. Prinz - Dr. G. Hauser - G. Leiser

Finsbergerslrasse 19

8 München 60

11. Oktober 1977

ATELIERS DE CONSTRUCTIONS ELECTRIQUES DE CHARLEROI (ACEC) Chaussee de Charlerol, 54 Saint Gilles

BRÜSSEL / Belgien Unser ZeIohen; A 1791

Prozeßsteueranlage

Die Erfindung betrifft eine Anlage zur Prozeßsteuerung mit Hilfe von mechanischen Vorrichtungen, wie Pumpen, Schiebern, Rollen, Vorrichtungen zum Abwerfen von Abschalt· stäben, usw. Die Erfindung kann insbesondere für die Steuerung von Kernkraftwerkszentralen benutzt werden, ohne auf diese Art von Anwendungsfällen beschränkt zu sein.

Es ist bekannt, eine Prozeßsteueranlage für Kernkraftwerkszentralen zu benutzen, in der eine bestimmte

609815/0897

Anzahl von physikalischen Größen erfaßt oder gemessen wird, und zwar jede durch mehrere, beispielsweise drei, unabhängige Meßfühler, damit die Messung jeder physikalischen Größe eine Gruppe von mehreren, im vorliegenden Fall drei, Meßwerten ergibt.

Diese bekannte Anlage enthält erstens Vergleichsschaltungen, von denen jede mit einem der Meßfühler und mit einem Sollwertgeber verbunden ist und jeweils am Ausgang ein Signal liefert, das die Abweichung zwischen dem Sollwert und dem durch den Meßfühler gemessenen Meßwert angibt.Danach enthält die Anlage zweitens Schaltungen zur Wiedergabe von Signalen mit demselben Wert wie das Eingangssignal, die galvanisch von einander und von dem Eingangssignal getrennt sind. Jede Wiedergabeschaltung ist mit dem Ausgang einer Vergleichsschaltung verbunden. Drittens sind Wählschaltungen vorgesehen, die jeweils einer der physikalischen Größen zugeordnet sind. Diese Wählschaltungen sind mit einem der Ausgänge von allen Wiederg.abeschal tungen verbunden, die über eine Vergleichsschaltung mit Meßfühlern verbunden sind, welche ein und dieselbe physikalischen Größe messen oder erfassen. Wenn jede physikalische Größe durch drei unabhängige Meßfühler gemessen wird, hat jede Wählschaltung drei Eingänge und es ist möglich, 2-aus-3-Wählschaltungen vorzusehen, deren Ausgang für eine einzelne Störung unempfindlich, aber für eine doppelte oder dreifache Störung empfindlich ist. Viertens enthält die Anlage zwei Reihen von gleichen logischen Funktionsschaltungen

809815/0897

mit einem oder mehreren Ausgängen,bei welchen jeder Eingang mit dem Ausgang einer Wählschaltung verbunden ist. Diese Reihen von logischen Schaltungen können sehr komplex sein und die verschiedensten Ausgänge aufweisen, die die Aufgabe haben, die verschiedenen mechanischen Prozeßsteuervorrichtungen zu betätigen. Schließlich enthält die Anlage fünftens logische Funktionssysteme, von denen jedes mit zwei entsprechenden Ausgängen von zwei Reihen von logischen Schaltungen verbunden ist und, bei Bedarf über Leistungsschaltungen, eine oder mehrere mechanische Prozeßsteuervorrichtungen betätigt.

An dieser Stelle sei kurz der Begriff des "logischen Funktionssystems" erläutert. Dieses System wird nicht hinsichtlich eines abgehenden Steuersingais, sondern hinsichtlich seines endgültigen Einflusses auf den Betrieb des Prozesses betrachtet. Zum Beispiel, wenn die vorgesehene Funktion das Öffnen von Wasserschiebern im Brandfall ist, falls wenigstens eine der Reihen von logischen Schaltungen den Beginn eines Brandes meldet, kann ein logisches ODER-Funktionssystem entweder einen Schieber mittels einer elektronischen ODER-Schaltung oder mittels einer elektronischen UND-Schaltung öffnen, je nachdem, ob das Signal zum Öffnen des Schiebers das Vorhandensein oder das NichtVorhandensein eines Brandes angibt. Stattdessen kann das logische ODER-Funktionssystem zwei parallel angeordnete Schieber betätigen, um sie zu öffnen, und zwar entweder einen der beiden, wenn eine der beiden Reihen von logischen

809815/0897

27A57A5

Schaltungen Feueralarm gibt, oder alle beide, wenn beide Reihen von logischen Schaltungen Feueralarm geben.

Die oben beschriebene bekannte Steueranlage bietet sehr hohe Garantien für die Sicherheit im normalen Betrieb, sie verliert aber, da sie nicht mit eigensicheren Systemen ausgerüstet ist, teilweise diese Qualität während der Zeit, in der die eine oder die andere der beiden Reihen von logischen Schaltungen getestet wird. Eigensichere logische Schaltungen sind beispielsweise in den FR-PS'en 1 410 561, 1 461 822, 1 515 044 und 1 520 105 beschrieben. Außerdem, wenn, wie das üblicherweise der Fall ist, während einer Störung einer Reihe von logischen Schaltungen der Zustand ihres Ausganges das Ergreifen einer Eilmaßnahme darstellt, beispielsweise die Berieselung im Brandfall, kann diese Berieselung durch eine Störung einer Reihe von logischen Schaltungen verursacht werden und eine teuere Anlage ohne Notwendigkeit unter Wasser setzen. Der gleich? Nachteil ergibt sich bei einer ungewollten Unterbrechung eines chemischen Verfahrens, die danach die Reinigung von Polymerisationstunneln und ein heikles Wiederanfahren erfordert.

Hauptziel der Erfindung ist es, die Sicherheit der Anlage durch die Verwendung von eigensicheren logischen Schaltungen zu erhöhen und ungewollte Unterbrechungen

009815/0897

27A57A5

— ο —

aufgrund einer Störung in einer einzigen Reihe von logischen Schaltungen zu vermeiden. Weiter sollen die Sicherheits- und Unempfindlichkeitseigenschaften gegenüber zufälligen Fehlern in einer einzigen Reihe von logischen Schaltungen während Testperioden aufrechterhalten werden.

Die Anlage ist gemäß der Erfindung dadurch gekennzeichnet, daß jede der gleichen Reihen von logischen Schaltungen durch zwei Reihen von gleichen logischen Schaltungen ersetzt ist, deren entsprechende Ausgänge mit logischen UND-Funktionssystemen verbunden sind, wobei die Ausgänge der logischen UND-Funktionssysteme mit den Eingängen eines logischen ODER-Funktionssystems verbunden sind. Vorzugsweise sind alle logischen Systeme eigensichcr, In weiterer Ausgestaltung der Erfindung ist eine dritte Gruppe aus zwei Reihen von gleichen logischen Schaltungen vorgesehen, deren entsprechende Ausgänge mit logischen UND-Funktionssystemen verbunden sind, wobei die Ausgänge der logischen UND-Funktionssysteme mit den Eingängen eines logischen ODER-Systems oder eines 2-aus-3-Wählsystems verbunden sind.

Mehrere Ausführungsbeispiele der Erfindung werden im folgenden unter Bezugnahme auf die beigefügten Zeichnungen näher beschrieben. Es zeigen:

Fig. 1 ein Blockschaltbild einer Anlage nach

der Erfindung,

809815/0897

Fig. 2 eitif logische Funktionsschaltunß,d Ie

als 2-aus-3-Wählschaltung verdrahtet ist,

Fig. 3 eine relativ komplexe ODER- oder

1-aus-3-Wählschaltung, und

Fig. 4 eine weitere ODER-Schaltung.

In Fig. 1 enthält eine Zelle 1 einer Kernkraftwerkszentrale eine dreifache Gruppe von Meßfühlern R₁...R ,

S₁...S und T₁...T . Die Meßfühler R., S. und T. 1 η 1 η JJJ

messen alle drei ein und dieselbe physikalische Größe j unter einer bestimmten Anzahl von η physikalischen Größen. Das Ausgangs signal jedes Meßfühlers R,...T wird über eine Leitung einer entsprechenden Vergleichsschaltung Rj...T* zugeführt. Ein zweiter Eingang jeder Vergleichsschaltung R¹....T¹ ist mit sinem Sollwertgeber über eine Leitung R''...T" verbunden. Der Aufbau einer Vergleichsschaltung R¹...T¹ sowie ihre Funktion sind bekannt. Am Ausgang jeder Vergleichsschaltung R'...T¹ erscheint ein Signal, das die Abweichung zwischen seinem Sollwert und dem Wert des Ausgangssignals desjenigen Meßfühlers darstellt, mit welchem sie verbunden ist.

Schaltungen zur Wiedergabe von Signalen mit demselben Wert wie das Eingangssignal, die galvanisch von einander und von dem Eingangssignal getrennt sind, sind mit

609815/0897

- ίο -

R ... T bezeichnet. Jede Wiedergabeschaltung R., S., T. ist mit einem entsprechenden Meßfühler R. bzw. S. bzw. T., der die physikalische Größe i mißt, über eine Vergleichsschaltung R.¹, Sl, T! verbunden. Ein Beispiel für eine verwendbare Wiedergabeschaltung ist in der BE-PS 1/7598 beschrieben. Wenn jedoch der Wert am Eingang einer Wiedergabeschaltung ein Binärwert ist, ist es möglich, ein einfaches Relais als Wiedergabeschaltung zu wählen, wenn ein Relais als ausreichend sicher für die betreffende zu übertragende Größe angesehen wird. Jede Wiedergabeschaltung R,...T. hat sechs Ausgänge, die von einander und von dem Eingang galvanisch getrennt sind.

WählSchaltungen V, bis V , jede mit drei Eingängen und mit einem Ausgang, sind den Eingängen von sechs Reihen von gleichen logischen Schaltungen C bis C , die eigensicher sind, vorgeschaltet. Die Ausgangssignale a, b und c dieser Schaltungen sind Sicherheitsausgangssignale, wobei a beispielsweise den Alarm darstellt, der den Abwurf der Stäbe auslöst, und wobei b und c Schutzfunktionen darstellen.

Die WählSchaltungen V, sind jeweils mit den entsprechenden Wiedergabeschaltungen R, , S , T und über die Vergleichsschaltungen R', S', T' mit den Meßfühlern R,, S, , T, , welche dieselbe physikalische Größe k messen, verbunden. Es handelt sich dabei um 2-aus-3-Wählschaltungen, die in der Regelungs- und Automatisierungs-

809815/0897

technik bekannt sind. Sie erzeugen daher ein Ausgangssignal, das zwei gleichen Eingangssignalen entspricht, wobei eines der Eingangssignale von den beiden anderen verschieden sein kann oder nicht. Aufgrund dieser Tatsache werden durch den Ausfall eines der Meßfühler R, , S, oder T, oder seiner zugeordneten Vergleichsschaltung R'_f S', T' oder der zugeordneten

K K K

Wiedergabeschaltung R, , S, , T , die Eingangs signale der Reihen C von logischen Schaltungen nicht modifiziert.

12 3 Die sechs Reihen C , C., C , C₉, C , C, sind zu drei Paaren mit Hilfe von neun logischen UND-Funktionssystemen

12 zusammengefaßt, und zwar jedes Paar C , C,, C , C₉, C , C, mit Hilfe von drei logischen UND-Funktionssystemen E^, E^, E^, E^, E₉, E₉, E* E^, E^, welche drei verschiedene Ausgänge betreffen. Die Ausgänge der Systeme Ej, E^, E₃; Ej, E₂, E ; Ej, E , E₃ sind ihrerseits zu den Eingängen von logischen ODER-Funktionssystemen oder 2-aus-3-Wählsystemen U , U , U geführt. Das System U kann beispielsweise ein Haltesystem für die KontrolI stäbe steuern, das gestattet, bei Ankunft eines Eilalarms die Kontrollstäbe abzuwerfen, damit sie im freien Fall in den Reaktor fallen und als Abschaltstäbe dienen. In diesem Fall stellen die Ausgangssignale der Systeme E^a, d. h. Ej, E^, E₃ (Fig. 2) den Zustand der Eilalarmsignale dar. Um zu vermeiden, daß ein Fehler in nur

Q Q Q

einem der SystemeE., E , E den Eilalarm auslöst, kann das System U ein 2-aus-3-Wählsystem sein, das im vorliegenden Fall aus drei parallelen Paaren von in Reihe geschalteten Trennschaltern besteht, wobei die

809815/0897

12 12 12 Minitnumspannungswicklungen D₁, D , D-, D , D-, D_, durch

Gl Qi Si

die Ausgangssignale der Systeme E, bzw. E- bzw. E-versorgt werden und wobei jeder Trennschalter eines parallelen Paares eine Wicklung aufweist, die mit einem Signal versorgt wird, das von demjenigen verschieden ist, mit dem die Wicklung des anderen Trennschalters des pa-

1 2 rallelen Paares versorgt wird; zum Beispiel: D,, D„;

12 12
D_, D.; D-, D-. Auf diese Weise kann eine Unterbrechung des Stroms in einer Leitung A, in der die genannten drei Paare von Trennschaltern liegen, nur in demjenigen Fall erfolgen, in welchem wenigstens zwei der drei

Ά Ά Ά

Signale E,, E-, E- Eilalarm geben. Wenn allein das System E^ Eilalarm gibt, fließt nämlich der Haltestrom in der Leitung A über die Wicklungen

2 11 a

D_, D_, D-. Wenn das System E₉ Eilalarm gibt,

2 2 1 fließt der Strom über die Wicklungen D-, D., D-. Wenn

das System E^ Eilalarm gibt, fließt der Strom

112
über die Wicklungen D₁, D_, D-. Für das Abschalten des Stroms ist es erforderlich, daß zwei der Systeme E₁, E„, E- Eilalarm geben. Das System U ist daher ein 2-aus-3-Funktionssystem.

Das System U kann, beispielsweise im Fall des Verlustes des normalen Speisewassers das Einleiten von Notspeisewasser in einen Dampferzeuger veranlassen. Dieses Speisewasser entnimmt die Wärmeleistung, die in dem Reaktor erzeugt worden ist. Im Alarmfall betätigen die Ausgangssignale der Einrichtungen E₁, E₂, E₃ einerseits (Fig. 3)

jeweils eine Notpumpe P₁OZW. P„ bzw. P_, welche in

809815/0897

parallelen Rohrleitungen in Reihe mit Rückströmklappen Z angeordnet sind, die eine gemeinsame Rohrleitung C aus einer Wasserentnahme leitung H an dem Kondensator versorgen. Von dieser Rohrleitung C gehen Rohrleitungen

P 1 2 3 über manuell ferngesteuerte Schieber V , V , V . Diesen Schiebern sind Rückströmklappen Z nachgeschaltet, so daß sie offengehalten werden können. Die Ausgangssignale der Einrichtungen E,, E~, E- werden andererseits an ein ODER-Unterfunktionssystem U_n angelegt, das eine Turbopumpe Q betätigt, wenn irgendeine der Einrichtungen E-., E„, E- den Alarm gibt. Die Turbopumpe Q speist aus der Wasserentnahmeleitung H an dem Kondensator eine gemeinsame Rohrleitung C_n, von welcher aus Rohrleitungen über manuell ferngesteuerte Schieber V_n,

2 3

V , V gehen, welchen ebenfalls Rückströmklappen Z

" " 12 3

nachgeschaltet sind. Die Schieber V_n, V V können daher ebenfalls offen bleiben, wenn sie in Erwartung des

112 2 normalen Betriebes sind. Die Schieber V V_n; V , V ;

3 3 ^l 2 M

V , V speisen parallel drei Dampferzeuger G ; G ; G .

Das System U ist daher ein hydraulischer ODER-Funktions-

12 3 kreis für die Notspeisung jedes Generators G , G , G mit Speisewasser.

Q₁

Das System U kann, beispielsweise, ein System veranlassen, bei einem Unfall, der nicht durch den Abwurf der Kontrollstäbe gemeistert werden kann, in den Reaktor Borsäure einzuleiten. Ein solches System (Fig. 4) enthält einen HD-Kreis, der mit einem Einspritztank I und mit einem System von Einspritzpumpen F,, F-, F^

809815/0897

versehen ist, sowie einen ND-Kreis, der einen Expansionstank J und Umwälzpumpen K-, K-, K- enthält. Druckluftschieber W,, W und W- gestatten, die Verbindung zwischen dem HD-Kreis und dem ND-Kreis zu unterbrechen. Ferngesteuerte und mit Motorantrieb versehene Schieber X., X9> ^o gestatten, die Verbindung zwischen dem Reaktor und dem HD-Kreis herzustellen. Im normalen Betrieb sind die Einspritzpumpen F., F-, F- gestoppt und die mit Motorantrieb versehenen Schieber X₁, X₉, X^ sind geschlossen und trennen den HD-Kreis von dem Reaktor. Die druckluftbetätigten Schieber W,, W- und W- sind geöffnet. Eine der Umwälzpumpen K. läuft und hält die Borsäure in den ND- und HD-Kreisen in Bewegeung, wobei sie die Borsäure durch eine Heizvorrichtung M hindurchleitet, um die örtliche Ausscheidung von Borsäurekristallen an kälteren Stellen zu verhindern.

G C· Ci

Die logischen Funktionssysteme E,, E-, E- übertragen Alarmsignale zur Borsäureabgabe, die jeweils bewirken: das Schließen der entsprechenden druckluftbetätigten Schieber W₁, W-, W_, das Anhalten der Umwälzpumpen K,, K-, K-, wodurch der ND-Kreis von dem HD-Kreis getrennt wird. Gleichzeitig bringen die Ausgangssig-

CCC

nale der Systeme E,, E-, E die Einspritzpumpen F,, F-, F- zum Anlaufen und öffnen die mit Motorantrieb versehenen Schieber X-, X-, X-. In diesem Augenblick wird die 12-prozentIge Borsäure in den Reaktor eingespritzt, wodurch der Neutronenfluß erstickt wird. Das System U , das in Fig. 4 dargestellt ist, ist ein ODER-

809815/0897

Funktionssystem. Es ist offenbar möglich, andere Varianten dieses Systems U vorzusehen, indem beispielsweise nur zwei der Ausgänge benutzt werden, z.

CC C

B. die Systeme E₁ und E , und das dritte System E^ in Reserve gehalten wird, um es während Tests an die Stel-

c c Ie des einen oder des anderen der System E. , Έ. treten zu lassen. In diesem letzteren Fall wird die Dreifachredundanz auf eine Doppe!redundanz verringert.

Die Anlage nach der Erfindung bietet eine sehr große Sicherheit aufgrund der Tatsache, daß jede Steuerung wenigstens doppelt vorhanden ist. Sie hat den Vorteil, daß ungewollte Eilabschaltungen aufgrund eines Fehlers in einer Reihe von logischen Schaltungen vermieden werden, da diese Reihen für jeden Steuerungszweig doppelt vorhanden und durch UND-Schaltungen verbunden sind. Da diese Reihen von logischen Schaltungen sehr komplex sein können, können übereinstimmungsüberwachungsschaltungen Y zwischen entsprechenden Punkten von zwei durch eine UND-Schaltung verbundenen Reihen vorgesehen sein. Die Schaltungen Y können beispielsweise Klappen in einer Überwachungstafel betätigen. In Fig. 1 ist eine Übereinstimmungsüberwachungsschaltung Y dargestellt, die die Ausgangssignale der Wählschaltungen

2 V. vergleicht, welche den Reihen C und C~ von logischen Schaltungen zugeordnet sind. Weitere Schaltungen Y können an andere entsprechende charakteristische Punkte

2
der Schaltungen C und C„ angeschlossen sein, wie durch schräge Linien symbolisch dargestellt. In Wirklichkeit

809815/0897

sind solche Schaltungen Y mit jedem Paar Reihen von

12 3

logischen Schaltungen C , C,; C , C~; C , C- verbunden. Alle Schaltungen Y, die einem Paar Reihen von logischen Schaltungen zugeordnet sind, können außerdem in an sich bekannter Weise untereinander durch eine Sicherheitsgesamtkontrol!einrichtung verbunden sein, welche das NichtVorhandensein einer Übereinstimmung in irgendeiner der Schaltungen Y meldet, die dem betreffenden Paar Reihen von logischen Schaltungen zugeordnet sind. Die Gesamtkontrolleinrichtung kann beispielsweise aus einer Schaltung der in der FR-PS 1 466 050 beschriebenen Art bestehen, an deren Eingänge die Ausgänge von sämtlichen Schaltungen Y angeschlossen sind, die demselben Paar Reihen von logischen Schaltungen zugeordnet sind.

Es ist möglich, die Anlage zu testen, wobei weder ihr normaler Betrieb noch ihre Sicherheit und auch nicht ihre Verfügbarkeit im Fall einer einfachen Störung beeinträchtigt wird. Da jede physikalische Größe durch drei verschiedene Meßfühler gemessen wird, kann nämlich ein Fehler in einem Meßfühler oder in einem der Elemente R*, sf, τ} oder R°, S°, T° durch den Vergleich der entsprechenden Eingangssignale R , S., T. von irgendeiner

ill ^

der sechs Reihen von logischen Schaltungen C bis C-festgestellt werden. Schließlich kann jedes der sechs Reihen von logischen Schaltungen C bis C- einzeln getestet werden, während die fünf übrigen Schaltungen im normalen Betrieb gelassen werden. Da der Test einer

809815/0897

einzelnen Reihe von logischen Schaltungen C bis C, mehrere Stunden erfordert, ist diese Forderung des Schutzes der Sicherheit und der Verfügbarkeit der Anlage keineswegs überflüssig. Um auch Störungen in dem einen oder anderen elektrischen Versorgungssystem zu berücksichtigen, können die Reihen von logischen Schaltungen ein und desselben Paares an verschiedene VersorgungseinrMitungen angeschlossen werden. In diesem Fall können die am Ende angeordneten UND-Schaltungen dieses Paares den Alarm durch das Nichtvorhandensein eines elektrischen Signals geben, d. h. wenn die beiden Versorgungssysteme ausfallen. Dagegen, wenn die gleichen Reihen von logischen Schaltungen ein und desselben Paares durch ein und dieselbe elektrische Stromquelle versorgt werden, wird der Alarm allein durch das Vorhandensein eines elektrischen Signals gegeben. Allgemein können, da eine Anlage zur Steuerung einer Kernkraftwerkszentrale gewöhnlich vier Versorgungssysteme enthält, einerseits Paare von Reihen logischer Schaltungen vorgesehen werden, in denen die beiden Reihen durch dieselbe Stromquelle versorgt werden, während aber eine Speisung der anderen Paare von Reihen logischer Schaltungen durch andere Stromquellen erfolgt, oder andererseits Paare von Reihen logischer Schaltungen, in denen jede Reihe durch eine andere Stromquelle versorgt wird. Unter den oben angegebenen Bedingungen, und_t wenn die ODER-Schaltungen 2-aus-3-Wählschaltungen sind, liefert die Prozeßsteueranlage einen Eilsteuerbefehl nur dann, wenn gleichzeitig zwei der drei benutzten Versorgungssysteme ausfallen. Es ist klar,

809815/0897

daß in allen Fällen von den verfügbaren elektrischen Versorgungssystemen die drei zuverlässigsten benutzt werden.

809815/0897

Claims

PATENTANSPRÜCHE:

( l.yAnlage zur Prozeßsteuerung mit Hilfe von mechanischen Vorrichtungen, in der eine bestimmte Anzahl von physikalischen Größen durch mehrere unabhängige Meßfühler erfaßt oder gemessen wird; mit Vergleichsschaltungen, von denen jede mit einem der Meßfühler und mit einem Sollwertgeber verbunden ist und jeweils an ihrem Ausgang ein Signal abgibt, das die Abweichung zwischen dem Sollwert und dem durch den Meßfühler gemessenen Wert angibt; mit Schaltungen zur Wiedergabe von Signalen mit demselben Wert wie das Eingangssignal, die von einander und von dem Eingangssignal galvanisch getrennt und jeweils mit dem Ausgang einer Vergleichsschaltung verbunden sind; mit Wählschaltungen, von denen jede einer der physikalischen Größen zugeordnet und mit einem der Ausgänge von sämtlichen Schaltungen verbunden ist, die über eine Wiedergabevergleichsschaltung mit Meßfühlern verbunden sind, welche ein und dieselbe physikalische Größe messen oder erfassen; mit zwei Reihen von

809815/0897

ORIGINAL INSPECTED

27A57A5

gleichen logischen Funktionsschaltungen mit einem oder mit mehreren Ausgängen, von denen jeder Eingang mit dem Ausgang einer Wählschaltung verbunden ist; und mit logischen ODER-Funktionssystemen, von denen jedes mit zwei entsprechenden Ausgängen der beiden Reihen von logischen Schaltungen verbunden ist und, bei Bedarf über Leistungsschaltungen, eine oder mehrere mechanische Prozeßsteuervorrichtungen betätigt, dadurch gekennzeichnet, daß die Reihen von gleichen logischen Schaltungen jweils durch zwei Reihen von gleichen logischen Schaltungen ersetzt sind, deren entsprechende Ausgänge mit logischen UND-Funktionssystemen verbunden sind, wobei die Ausgänge der logischen UND-Funktionssysterne mit den Eingängen eines logischen ODER-Funktionssystems verbunden sind.
2. Anlage nach Anspruch 1, gekennzeichnet durch eine dritte Gruppe von zwei Reihen von logischen Schaltungen, von welchen die entsprechenden Ausgänge mit logischen UND-Funktionssystemen verbunden sind.
3. Anlage nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß Übereinstimmungsüberwachungsschaltungen mit zwei Eingängen mit ensprechenden Punkten in den gleichen Reihen von logischen Schaltungen eines Paares verbunden sind und daß diese Übereinstimtnungsüberwachungsschaltungen Signalisiereinrichtungen betätigen.
4. Anlage nach Anspruch 3, dadurch gekennzeichnet, daß alle Ubereinstimmungsüberwachungsschaltungen, die einem

809815/0897

Paar gleicher Reihen von logischen Schaltungen zugeordnet sind, mit einer Gesamtkontrolleinrichtung verbunden sind, die eine beliebige Nichtübereinstimmung unter den verschiedenen Übereinstimmungsüberwachungsschaltungen meldet.
5. Anlage nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die gleichen Reihen von logischen Schaltungen ein und desselben Paares durch zwei unabhängige elektrische Stromquellen versorgt werden, daß die Paare gleicher Reihen von logischen Schaltungen jeweils durch zwei verschiedene Quellen von den drei verfügbaren Quellen versorgt werden und daß die am Ende jedes Paares angeordneten logischen UND-Funktionsschaltungen durch das NichtVorhandensein eines elektrischen Signals Alarm geben.
6. Anlage nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die beiden gleichen Reihen von logischen Schaltungen jedes Paares durch dieselbe elektrische Stromquelle versorgt werden, daß die Paare gleicher Reihen von logischen Schaltungen jeweils durch eine andere Quelle von · den drei verfügbaren Quellen versorgt werden und daß die am Ende jeden Paares angeordneten logischen UND-Funktionsschaltungen durch das Vorhandensein eines elektrischen Signals Alarm geben.
7. Anlage nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß alle logischen Schaltungen eigensicher sind.

80981R /0897