DE3213251A1

DE3213251A1 - Abschaltsystem fuer einen kernreaktor

Info

Publication number: DE3213251A1
Application number: DE19823213251
Authority: DE
Inventors: Bruce M. Pittsburgh Pa. Cook
Original assignee: Westinghouse Electric Corp
Current assignee: CBS Corp
Priority date: 1981-04-09
Filing date: 1982-04-08
Publication date: 1982-11-04
Also published as: ES8609798A1; JPS57179691A; BE892811A; IT8220650A0; KR840000037A; FR2503922A1; US4434132A; FR2503922B1; JPH0337720B2; KR890002380B1; YU44728B; YU79282A; SE8202178L; GB2096809A; ES511292A0; IT1152105B; GB2096809B; ZA821930B

Description

Abschaltsystem für einen Kernreaktor

Die Erfindung betrifft ein Abschaltsystem für einen Kernreaktor nach dem Oberbegriff des Anspruchs 1, welches Fehlabschaltungen des Reaktors verhindert.

Im Interesse der Vereinfachung des Verständnisses wird die Erfindung anhand einer konkreten Verwirklichung beschrieben, und zwar anhand eines Druckwasserreaktors, der zur Energieerzeugung Verwendung findet. Selbstverständlich ist die Erfindung in gleicher Weise auch bei anderen Reaktortypen einsetzbar, wie z. B. bei Siedewasserreaktoren, Reaktoren mit einer Flüssigmetallkühlung oder Gaskühlung oder auch bei anderen Anlagen, bei welchen eine Vielzahl von Parametern überwacht werden müssen. Ein Kernreaktor der erwähnten Art umfaßt nicht nur den nuklearen Teil, sondern auch eine Vielzahl von Komponenten, welche für die thermische Umwandlung der Energie benötigt v/erden, wie z. B. Druckerzeuger, Dampfgeneratoren, Turbinen, elektrische Generatoren, Kondensatoren und deren Teile.

Die sowohl im Kernreaktor als auch in den dazugehörigen Komponenten ablaufenden Prozesse werden jeweils durch einen oder mehrere Parameter beschrieben. So können beispielsweise 18 Parameter oder mehr für die Überwachung von Interesse sein. Die wichtigsten Parameter sind der Neutronenfluß, die durch den Reaktor erzeugte Energie,

WS 311 P- 2464 die Temoeratur

die Temperatur des Reaktorkühlmittels/ das Wasserniveau und der Druck im Druckerzeuger, das Speisewasserniveau im Dampferzeuger und der Druck des Dampfes sowie der Speisewasserfluß und andere mehr. Darunter können kategorische Parameter sein, wie z. B. die offene oder geschlossene Stellung eines Schalters oder der Anschalt- oder Abschält zustand einer Pumpe. Diese Parameter müssen zuverlässig abgetastet werden, so daß für diesen Zweck eine Vielzahl von gleichartigen Fühlern für die Abtastung jedes Parameters vorgesehen werden. Die Verwendung von mehr als einem Fühler für jeden Parameter ist redundant, jedoch findet die Praxis der Redundanz im Interesse einer optimalen Zuverlässigkeit weit verbreitet Verwendung. Die Häufung gleichartiger Fühler, welche den gleichen Parameter abtasten, werden im nachfolgenden als Gruppe von Fühlern bezeichnet.

Grundsätzlich kann angenommen werden, daß in einer Gruppe η Fühler Verwendung finden. Wenn ein Fühler überprüft oder gewartet wird bzw. ausgefallen ist, wird er außer Betrieb genommen, d. h. der Fühler wird überbrückt. Damit stehen nur die unüberbrückten Fühler der betreffenden Gruppe für die Überwachung des zugehörigen Parameters zur Verfügung. Wenn die Fühler einen normalwidrigen Parameter feststellen, werden die Steuerstäbe voll in den Kern des Reaktors eingefahren, um die weitere Abgabe von thermischer Energie durch eine wesentliche Reduzierung des Neutronenflusses zu verhindern. Es ist natürlich auch möglich, den Neutronenfluß durch eine Vergrößerung der Abschirmung zusätzlich zum Einfahren der Steuerstäbe oder durch eine verstärkte Abschirmung allein zu reduzieren. Dieser Vorgang wird als Abschaltung des Reaktors oder als Abschaltung der Energieversorgungseinrichtung bezeichnet. Die Beschreibung bezieht sich auch auf die Abschaltung von

WS 311 P- 2464 Trennschalteranordnungen

Trennschalteranordnungen oder von Unterbrechern, wobei diese Bezugnahme nicht die gleichzeitige Abschaltung des Kernreaktors bedeutet. In der Praxis wird ein Reaktor nicht abgeschaltet, wenn ein Fühler einer Gruppe gleichartiger Fühler einen normalwidrigen Parameter feststellt, denn es ist nicht wünschenswert, die Abschaltung auszulösen aufgrund von Störeinflüssen oder normalwidrigen Übergangsvorgängen, welche ein Fühler feststellt. Derartige Abschaltungen aufgrund von unbedeutenden Störungen würde die Gesamtabschaltzeit wesentlich vergrößern. In der Regel kann man davon ausgehen, daß ein normalwidriger Parameter von zumindest m unüberbrückten gleichartigen Fühlern einer Gruppe festgestellt werden muß, um eine Abschaltung auszulösen, wenn die Anzahl der nicht überbrückten Fühler größer als m ist. Wenn die Anzahl der nicht überbrückten Fühler einer Gruppe kleiner oder gleich m ist, muß der normalwidrige Paramater von der um 1 verringerten Anzahl der nicht überbrückten Fühler festgestellt werden, um eine Abschaltung auszulösen. Die Größe m kann eine Konstante sein, jedoch kann sie sich auch mit der Anzahl der in Betrieb befindlichen Fühler verändern.

Typischerweise wird davon ausgegangen, daß η gleich 4 und m gleich 2 ist. Wenn die Anzahl der nicht überbrückten gleichen Fühler 2 ist, löst die Abtastung eines normalwidrigen Parameters durch nur einen einzigen Fühler die Abschaltung aus. Wenn die Anzahl der nicht überbrückten Fühler 1 ist, ergibt sich eine automatische Abschaltung.

Die Fühler und die ihnen zugeordneten Elemente, welche auf die von den Fühlern erfaßten Signale ansprechen, sind in Kanälen einer Abschaltlogik zusammengefaßt. Die Gruppierung kann sowohl strukturell als auch funktionell sein, wobei die aktuellen Komponenten, die die Funktionen aus-

WS 311 P - 2464 führen, gemischt

- ίο -

führen, gemischt sind. Es gibt genausoviel Kanäle wie Gruppen von gleichartigen Fühlern, wobei z.B. η Kanäle vorgesehen sind. Jeder Kanal umfaßt in der Regel einen der nicht gleichartigen Fühler, welche verschiedene Parameter abtasten. Für den typischen Fall sind beispielsweise vier Kanäle vorgesehen.

Der Reaktor wird abgeschaltet, indem Unterbrecher der Trennschalteranordnung geöffnet werden. Es sind die doppelte Anzahl von Unterbrechern als Fühler pro Parameter, d. h. grundsätzlich 2 mal η Unterbrecher vorgesehen. Die Unterbrecher sind derart miteinander verbunden, daß 2 mal m Unterbrecher geöffnet werden müssen, um den Reaktor abzuschalten. Wie bereits erwähnt sind beispielsweise vier Fühler pro Parameter und vier Kanäle vorgesehen, d. h. in diesem Fall werden acht Unterbrecher benötigt, wovon jeweils zwei von je einem Kanal aus gesteuert werden. In diesem Fall müssen vier Unterbrecher geöffnet werden, um den Reaktor abzuschalten. Wenn ein Fühler einer Gruppe einen normalwidrigen Parameter feststellt, wird von einer Teilabschaltung des Reaktors gesprochen.

Zur Vereinfachung der Darstellungsweise der Erfindung wird nachfolgend von einer Abschaltvorrichtung ausgegangen, bei welcher Gruppen von vier Fühlern pro Parameter und dementsprechend vier Kanäle verwendet werden» d. h., die Abschaltung des Reaktors wird durch eine 2/4-Konfiguration bewirkt. Selbstverständlich können auch Gruppen mit mehr als vier Fühler pro Parameter und andere Abschaltkonfigurationen Verwendung finden.

Wenn ein Fühler einer Gruppe überbrückt ist, wird es notwendig, dafür zu sorgen, daß diese Überbrückung nicht zu

WS 311 P- 2464 einer Teilabschaltung

einer Teilabschaltung des Reaktors führt. Wenn sich dieser Zustand ergibt, soll die Abtastung eines normalwidrigen Parameters durch einen weiteren Fühler dieser Gruppe, d. h. durch nur einen Fühler zur Abschaltung des Reaktors führen.

Es ist wünschenswert, daß die Zuverlässigkeit der Abtastung und der Abschaltung des Reaktors auch dann gewährleistet wird, wenn vernachlässigbare Störungen oder Streustörungen auftreten, unabhängig davon, ob einer oder mehrere Fühler überbrückt sind. Dadurch soll erreicht werden, daß eine möglichst minimale Abschaltzeit des Reaktors erzielt wird. Es wurde bereits vorgeschlagen, daß eine aus einer überbrückung resultierende Abschaltung ausgeschlossen wird, indem zusätzliche Trennschalter parallel zu den Unterbrechern in denjenigen Kanälen geschlossen werden, in welchen ein Fühler überbrückt worden ist. Eine derartige Anordnung würde acht Hilfsschalter erfordern und daher kompliziert sowie teuer in der Herstellung und der Unterhaltung sein.

Der Erfindung liegt deshalb die Aufgabe zugrunde, Maßnahmen zu schaffen, mit welchen die überbrückung eines einem Parameter in einem Kernreaktor oder weiteren Komponenten zugeordneten Fühlers daran gehindert wird, dieselbe Wirkung wie eine Teilabschaltung auszulösen, wobei hierfür ein weniger kompliziertes System mit geringeren Installations- und Unterhaltskosten Verwendung findet» d. h., das Abschaltsystem soll gegenüber bekannten Abschaltsystemen wesentlich verbessert und vereinfacht werden, wobei Nachteile bekannter Systeme ausgeschlossen werden.

Ausgehend von dem eingangs erwähnten Abschaltsystem wird diese Aufgabe durch die Maßnahmen der Erfindung gemäß dem

WS 311 P- 2464 Kennzeichnungsteil des

Kennzeichnungsteil des Anspruchs 1 gelöst.

Weitere Ausgestaltungen der Erfindung sind Gegenstand von weiteren Ansprüchen.

Bei einem zur Energieversorgung vorgesehenen Kernreaktor wird die Abschaltung bzw. das öffnen eines Unterbrechers in dem dem Unterbrecher zugeordneten Kanal, d. h. der Fühler ist ein Nahfühler, durch die überbrückung des Fühlers verhindert. Dies wird dadurch erreicht, daß das Abschaltsignal zur Erregerwicklung des Unterbrechers für den Fall der überbrückung blockiert wird. Bei der Verwendung eines Relais wird die Erregung der Relaiswicklung verhindert. Im speziellen wird das Relais für den Normalbetrieb der Anlage in erregtem Zustand gehalten. Beim Auftreten eines Abschaltsignals wird dagegen die Erregung vom Ralais abgeschaltet. Wenn ein Fühler überbrückt ist, wird gleichzeitig der Erregungsabfall für das Relais blockiert. Dabei wird grundsätzlich von dem Verständnis ausgegangen, daß bei einem erregten Relais Strom über die Relaiswicklung fließt. Wenn von der Betätigung eines Relais gesprochen wird, so kann dies entweder die Unterbrechung des Stromflusses beim erregten Relais oder die Auslösung des Stromflusses beim nicht erregten Relais bedeuten.

Dieses Blockieren hat den Vorteil, daß keine zusätzlichen Unterbrecher benötigt werden und damit die Anlage nicht unnötig kompliziert wird. Ein weiterer wichtiger Vorteil besteht darin, daß die einzelnen Fühler einer Gruppe und die Kanäle, in welchen sie angeordnet sind, mit den Fühlern derselben Gruppe und der anderen Kanäle verknüpft sind. Somit ist es möglich, die Anzahl der tatsächlichen,

WS 311 P- 2464 für die

für die Abschaltung des Reaktors notwendigen Abschaltungen von Unterbrechern in Abhängigkeit von der Anzahl der überbrückten Fühler zu steuern. Diese Funktion führt selbsttätig zu einer leichten Fehlerfeststellung. Entsprechend der Erfindung sind die Fühler von jeder einzelnen Gruppe so miteinander verknüpft, daß während die überbrückung von nur einem Fühler einer Gruppe eine Teilabschaltung des zugeordneten Unterbrechers im Kanal verhindert, da der überbrückte Fühler ein Nahfühler ist, die überbrückung eines anderen Fühlers in derselben Gruppe eine Teilabschaltung auslöst. Mit anderen Worten heißt das, wenn ein Fühler im eigenen Kanal überbrückt wird und nur ein weiterer Fühler im selben Kanal auch überbrückt wird, dann löst diese überbrückung der beiden Fühler die zugeordnete Abschaltung der Unterbrecher in einem dieser Kanäle aus und bewirkt eine Teilabschaltung des Reaktors. Dagegen wird der Reaktor selbst nicht abgeschaltet. Die Unterbrecherkonfiguration bleibt somit bezüglich der Feststellung eines einzelnen normalwidrigen Betriebs in einem sicheren Zustand, unabhängig, wieviele Überbrückungen versucht wurden.

Das vorstehend beschriebene Konzept ist mit Rechnern, vorzugsweise Mikroprozessoren, verwirklicht worden. Jede Reaktorabsehaltfunktion oder jede kleine Gruppe von in enger Beziehung stehenden Funktionen wird als errechenbare Einheit behandelt, welche Parametereingangssignale empfängt und Reaktorabschaltbefehle abgibt, wenn die Prozeßbedingungen für eine Reaktorabschaltung sprechen. Wie bereits erwähnt sind vier redundante Kanäle vorgesehen, von welcher jeder zwei den Reaktor abschaltende Unterbrecher hat. Die acht Unterbrecher sind derart miteinander verschaltet, daß das öffnen von jeweils zwei Unterbrecherpaaren ausreicht, um die Abschaltung auszulösen. Die Abschaltung erfolgt typischerweise durch das Abschalten der Erregung für

WS 311 P - 2464 die Steuerung

6l\

die Steuerung der Steuerstäbe des Reaktors, so daß diese in den Reaktorkern eingeführt werden können. Zusätzlich zu dieser 2/4-Auswahllogik auf der Trennschalterebene sind individuelle Abschaltfunktionen, z. B. die Abschaltung des Hochdruckerzeugers mit ihrer eigenen 2/4-Auswahllogik vorgesehen. Diese Übereinstimmung zwischen den Prozeßfühlern derselben Funktion ist erforderlich, um die Reaktorabschaltung auszulösen.

Das vorgesehene System der Abschaltlogik führt die Funktion der 2/4-Auswahl mit Hilfe von überbrückungsfunktionen aus. Wie bereits erwähnt fällt die Auswahllogik von einer 2/4-Basis auf eine 2/3-Basis, wenn eine Überbrückung vorhanden ist. Bei dem Vorhandensein von zwei überbrückungen geht die Auswahllogik auf eine 1/2-Basis. Der Reaktor wird abgeschaltet mit mehr als zwei überbrückungen.

Es wurde vorgeschlagen, die Steuereinrichtung mit einem System für die Abschaltlogik zu versehen, das ein Untersystem für den Abschaltrechner mit einem Mikroprozessor umfaßt, um das 2/4-Auswahlkriterium zu erfüllen. Dieses Auswahlkriterium wird bei diesem System für jeden der 18 oder mehr Parameter durchgeführt, und zwar entsprechend der nachfolgenden logischen Bezeichnungen:

Abschaltung = Teilabschaltung und Abschaltfreigabe oder

Globalabschaltung

dabei bedeutet:

Teilabschaltung =

Abschaltfreigabe =

Globalabschaltung =

Abschaltfunktionsausgang in einen Kanal 1/3-Teilabschaltungen von drei weiteren verbleibenden Kanälen 2/3-Teilabschaltungen von den anderen drei Kanälen.

WS 311 P - 2464

Die vorausstehende

Die vorausstehende Bezeichnung 1/3 und 2/3 hat die Bedeutung von "1 in 3" und "2 in 3". Diese logischen Ausdrücke werden in drei Stufen verwirklicht:

1. Der Abschaltrechner empfängt Teilabschaltungen von einem anderen Kanal über isolierte Datenverbindungen und erzeugt ein Abschaltfreigabesignal und/oder ein Globalabschaltsignal.

2. Die logische ÜND-Verknüpfung der Abschaltfreigabe mit der Teilabschaltung wird in einem Logikmodul ausgeführt, wobei jedem Parameter ein Logikmodul zugeordnet ist.

3. Die Ergebnisse des zweiten Schrittes bzw. die Globalabschaltung wird über ein ODER-Gatter auf eine Abschaltleitung übertragen, welche normalerweise auf Massepotential liegt, um zu bewirken, daß die Erregerspulen der die Reaktorabschaltung ausführenden Trennschalter nicht erregt sind.

Die Verwendung eines Logiksystems mit nur einem einzigen Prozessor hat den Nachteil, daß der Ausfall dieses Prozessors im Abschaltrechner verhindert, daß die Reaktorabschaltung in diesem Kanal ausgelöst wird, da sowohl der Befehl für die Globalabschaltung als auch für die Abschaltfreigabe von diesem Prozessor erzeugt wird. Es bestehen keine Bedenken vom Standpunkt eines einzigen Ausfallkriteriums aus, da der Abschaltrechner ein redundantes Gegenstück in jedem der anderen drei Kanäle hat und nur zwei der Rechner ausreichen, um eine Reaktorabschaltung auszulösen. Da jedoch die Lebensdauer einer auf gedruckten Schaltungen aufgebauten Elektronik für die Prozessoren in der Größenordnung von weniger als 100.000 Stunden liegt, wird es notwendig, für eine kontinuierliche überprüfung

WS 311 P- 2464 des Abschaltrechners

des Abschaltrechners im System eine Zuverlässigkeit mit einer Ausfallwahrscheinlichkeit von 3,4 χ 10 für die Abschaltung auf Befehl einzuhalten. Dieses Ziel für die Zuverlässigkeit wurde angesetzt, um sicherzustellen, daß man die für derartige Anlagen geforderte Zuverlässigkeit erhält.

Die Erfindung wird verwirklicht mit einem Dualprozessor-Abschaltrechner für jeden Kanal. Der eine Prozessor erzeugt den globalen Abschaltbefehl und der andere Rechner den Befehl für die Abschaltfreigabe. Um die Zuverlässigkeit der übertragung des Status auf die anderen Kanäle zu verbessern, wird der Datenübertragungssender vom Kommunikationsmodul weggenommen und direkt von einem der Abschaltrechner angesteuert. Durch eine Fehlerbaumanalyse wurde festgestellt, daß es für die Erzielung der Vorteile der vollen Zuverlässigkeit des Dualprozessor-Abschaltrechners notwendig ist, daß die Datenübertragungsfunktion unabhängig von der Erzeugung des Befehls der Abschaltfreigabe ist. Deshalb sammelt und überträgt der Prozessor, welcher den globalen Abschaltbefehl erzeugt, den Status zu den anderen Kanälen. Die Verbindung zwischen dem Abschaltrechner und dem Kommunikationsmodul erfolgt über einen gemeinsam genutzten Rechner, um den Status der Abschaltlogik auf den Anlagerechner zur Darstellung und zur automatischen Systemüberprüfung zu geben. Zusätzlich zu dieser Aufteilung der Funktionen ist die Betätigung der ünterbrecher-Überbrückungssteuerung von der Zusammenfassung des ihnen zugeordneten Status separiert, um zu verhindern, daß ein einzelner Ausfall eine automatische überbrückung auslöst und die übrigen Kanäle daran hindert, diese Überbrückung festzustellen.

WS 311 P - 2464 Die Erfindung

Die Erfindung mit ihren Vorteilen und Merkmalen wird anhand von auf die Zeichnung bezugnehmenden Ausführungsbeispielen näher erläutert. Es zeigen:

Fig. 1 eine schematische Darstellung einer Verwirklichung der Erfindung;

Fig. 2 ein abstrahiertes Blockdiagramm, aus welchem die Funktionsweise der Erfindung grob hervorgeht;

Fig. 3 ein Blockdiagramm, in welchem die prinzipiellen Komponenten eines Kanals der Reaktor-Abschaltlogik dargestellt sind, welcher den von den Parametersensoren empfangenen Informationsinhalt verarbeitet;

Fig. 4 eine Logikschaltung zur Erläuterung, wie eine Abschalt-Freigabefunktion erzeugt wird;

Fig. 5 eine Logikschaltung zur Erläuterung, wie eine globale Abschaltung erzeugt wird;

Fig. 6 ein Prinzipschaltbild einer Anordnung, bei welcher der Kanal der Reaktor-Abschaltlogik gemäß Fig. 3 mit Relais verwirklicht ist;

Fig. 7 eine Logikschaltung mit Halbleiterelementen zur Verwirklichung eines Kanals der Reaktor-Abschaltlogik;

Fig. 8 eine schematische Logikschaltung zur kontinuierlichen Überprüfung des Abschaltlogikrechners;

WS 311 P - 2464 Fig. 9

Fig. 9 eine schematisierte Logikschaltung zur Verwirklichung einer überbrückungssteuerung mit Halblei tereleraenten;

Fig. 10 ein schematisches Schaltbild einer Verwirklichung der überbrückungssteuerung mit Relais;

Fig. 11 ein schematisches Schaltbild der Abschaltlogik für die Unterbrecher der Relaisschaltung, welche mit der Relaissteuerung gemäß Fig. 10 zusammenwirkt;

Fig. 12 ein Blockdiagramm, aus welchem ein wichtiges Merkmal eines Kanals der Reaktor-Abschaltlogik hervorgeht, der in der Lage ist, der herkömmlich niedrigen Wahrscheinlichkeit eines Rechnerausfalls bei nuklearen Leistungsversorgungseinrichtungen zu entsprechen;

Fig. 13 eine graphische Darstellung der Ergebnisse einer parametrischen Zuverlässigkeitsstudie des Rechners der Abschaltlogik gemäß Fig. 12.

In Fig. 1 ist ein Kernkraftwerk dargestellt mit einem Kernreaktor 11, welcher in thermischem Wärmeaustausch mit einer Vielzahl von Dampferzeugern 13 und 15 steht. Ein Primärkreis 17 bzw. 19, welcher jeweils eine Pumpe 18 bzw. 2 0 umfaßt, verbindet den Kernreaktor 11 mit den Dampferzeugern 13 und 15. Das Kühlmittel in Form von Druckwasser fließt über den Kern des Reaktors und Primärrohre 22 in jedem Dampferzeuger 13 und 15. Durch die über die Primärkreise 17 bzw. 19 zugeführte Wärme wird das Wasser in den Dampferzeugern 13 und 15 verdampft. Mit jedem Dampferzeuger ist ferner ein Sekundärkreis 21 bzw. 23 verbunden.

WS 311 P - 2464 Außerdem ist

Außerdem ist ein Druckerzeuger 24 vorgesehen, der mit dem Primärkreis 17 verbunden ist und den Druck im Kühlmittel steuert.

Die Anlage gemäß Fig. 1 umfaßt ferner eine Turbine 25 und einen von ihr angetriebenen Stromerzeuger 27. Die Sekundärkreise 21 und 23 umfassen einen ersten Zweig 29, um Dampf von den jeweiligen Dampferzeugern 13 bzw. 15 zum antrieb der Turbine 25 zu zirkulieren und ferner einen zweiten Zweig 31, über welchen von der Turbine 25 aus über den zugeordneten Dampferzeuger 13 bzw. 15 Speisewasser zirkuliert wird. Im zweiten Zweig 31 ist zusätzlich zur Turbine 25 ein Kondensator 33 und eine Kondensatpumpe 35 vorgesehen. In jedem Zweig 31 ist eine Speisewasserpumpe 39 angeordnet. Eine Kernkraftanlage zur Energieerzeugung dieser Art ist in der US-PS 4 104 117 beschrieben.

Die Erfindung bezieht sich im speziellen auf die Abschaltung des Kernreaktors 11 beim Auftreten eines normalwidrigen Betriebs, wie er durch Prozeßparameter der Anlage gemäß Fig. 1 manifestiert wird. Im Kernreaktor 11 sind Steuerstäbe 61 mit Hilfe eines Steuerstabantriebs in und aus dem Kern verfahrbar. Wenn der Kernreaktor abgeschaltet werden soll, wird der Steuerstabantrieb 60 aktiviert, was im Regelfall der Abschaltung der Erregung entspricht, so daß die Steuerstäbe 61 in den Kern eintauchen können. Der Steuerstabantrieb wird seinerseits von einem Motor-Generatorsatz 63 erregt, dessen Motor M von einem Generator 27 aus elektrisch angetrieben wird. Für den Motor kann auch eine andere Stromversorgung vorgesehen sein. Der Generator G liefert die Leistung für den Steuerstabantrieb 6 0 über Trennschalter 64.

WS 311 P- 2464 Die Trennschalter

Die Trennschalter 64 werden über Kanäle CI, CII, CIII und CIV der Reaktorabschaltlogik gesteuert. Die vierfache Redundanz der Kanäle sichert die Steuerung mit der gewünschten Zuverlässigkeit zu. Die Kanäle CI bis CTV sprechen auf den Status einer Vielzahl von Sensoren an, die die verschiedenen Parameter des Kernreaktors 11 und/ oder der Komponenten 13, 15, 17, 19, 25, 33 usw. abtasten, welche dazu notwendig sind, um die vom Reaktor erzeugte thermische Energie in elektrische Energie umzuwandeln, überwiegend werden Sätze aus vier Fühlern für jeden Parameter benutzt. Jeder Fühler eines jeden Satzes speist den von ihm erfaßten Informationsinhalt in verschiedene Kanäle ein. Typischerweise werden 18 oder mehr Parameter abgetastet. Um die Darstellung gemäß Fig. 1 nicht unnötig zu verwirren, werden nur einige dieser Fühler dargestellt, und zwar in der Regel nur zwei der jeweils vier Fühler, welche im praktischen Einsatz verwendet werden. Dargestellt sind z. B. der Strahlungsdetektor 51, der Reaktorkühlmittelfühler 52, der Druckfühler 53 für den Druckerzeuger, der Kühlmitteltemperaturfühler 54 und der Speisewasserniveaufühler 55. Jeder dieser Fühler 51 bis 55 zusammen mit den übrigen geben den jeweiligen Informationsstatus an einen Kanal CI bis CIV. Der Informationsstatus, der eingegeben wird, kann einen Normalbetrieb, einen normalwidrigen Betrieb oder eine Überbrückung kennzeichnen. Jeder der Kanäle CI bis CIV empfängt nicht nur den Informationsstatus von jedem der ihm direkt zugeordneten Fühler, sondern auch den Informationsstatus, der den anderen drei Kanälen zugeordneten Fühler. Dieser Informationsfluß zwischen den Kanälen erfolgt über Glasfaserleitungen. Um diese Verbindungen anzudeuten, sind Leitungen PI, Pll, PIII und PIV in Fig. 1 dargestellt. Jede diese Leitungen repräsentiert eine Glasfaserleitung,

WS 311 P - 2464 über welche

über welche die Signale multiplex übertragen werden, entsprechend der Anzahl der abgetasteten Parameter. Die den Leitungen zugeordnete römische Zahl kennzeichnet, daß das Signal von einem Kanal kommt, v/elcher mit derselben römischen Zahl gekennzeichnet ist. Von jedem der Kanäle CI bis CIV verläuft zu einem anderen Kanal eine Glasfaserleitung, die den abgetasteten Informationsinhalt vom ersten Kanal zum zweiten Kanal und über eine weitere Glasfaserleitung den gesamten Informationsinhalt vom zweiten Kanal zum ersten Kanal überträgt.

Jeder der Kanäle CI bis CIV überwacht Unterbrecher 66, 68, 70 und 72 der Trennschalteranordnung 64. Das öffnen von zwei Gruppen von Trennschaltern erfordert, daß vier Unterbrecher den Generator G von dem Steuerstabantrieb 60 abtrennen. Wenn beispielsweise nur der Unterbrecher 6 6 geöffnet ist, fließt Strom vom Generator G über den geschlossenen Unterbrecher 68, die Leitung 74, die Unterbrecher 70 und 72 sowie den Leiter 76 zum Steuerstabantrieb. Wenn der Unterbrecher 70 geöffnet ist, fließt der Strom vom Generator G über die Unterbrecher 68 und 66, den Leiter 78, den Unterbrecher 72 und den Leiter 76 .zum Antrieb 60. Das öffnen von zwei Unterbrechern, z. B. den Unterbrechern 66 und 68, unterbricht die beiden alternativen Zweige, welche in den Leiter 76 einspeisen.

In Fig. 2 ist ein schematisiertes und abstrahiertes Logikdiagramm dargestellt, mit welchem grundsätzlich die Art und Weise der Fühlersteuerung des Abschaltsystems für den Kernreaktor beschrieben wird. Dabei wird insbesondere gezeigt, wie die Fühler und ihre Abtastfunktionen miteinander verknüpft sind. Zum Zwecke der Darstellung wird nur ein Fühler betrachtet, und zwar der Druckfühler für den

WS 311 P - 2464 Druckerzeuger für

Druckerzeuger für alle vier Kanäle. Es sind also nur die funktionellen Elemente des Kanals CI dargestellt, welche jedoch entsprechend auch für die Kanäle CII, CII und CIV gültig sind. Der Kanal CI umfaßt eine Vielzahl von Gattern G1, G2, G3 ·.., und zwar ein separates Gatter für jeden einzelnen Parameter. Der mit dem Gatter direkt verbundene Fühler eines Kanals wird als Nahfühler bezeichnet. Mit den Gattern G1, G2 und G3 sind jeweils ein Nahfühler verbunden, die unterschiedliche Parameter abtasten. Jedes Gatter empfängt außerdem den Informationsinhalt bzw. Status der anderen Fühler des gleichen Satzes über die Kanäle CII, CIII und CIV. Diese indirekt angeschlossenen Fühler werden als Fernfühler bezeichnet. Die Information wird über Glasfaserleitungen Pll, PIII und PIV übertragen, so daß sich keine wechselseitige elektrische Beeinflussung zwischen den Kanälen ergibt. In jedes Gatter wird ferner die Überbrückungsinformation von jedem Fühler eingespeist* d. h., jedes Gatter enthält 4 Fühlersignale und 4 überbrückungssignale« Die dem jeweiligen Eingang direkt zugeordneten Nahsignale und Überbrückungssignale werden mit SL und BL bezeichnet. Die Fernsignale und die überbrückungsfernsignale werden mit SR bzw. BR bezeichnet. Jedes einzelne Gatter erzeugt ein Ausgangssignal, und zwar eine logische 1, wenn die richtige Anzahl der Fühler die normalwidrige Parameter abtastet oder wenn das entsprechende Gatter die Information erhält, daß der Nahfühler und einer der Fernfühler, welche den entsprechenden Parameter abtasten, überbrückt ist.

Wenn keiner der Fühler überbrückt ist, arbeitet das Gatter auf einer 2/4-Basis, wie dies für das Gatter G1 angedeutet ist. Wenn dagegen ein Fühler überbrückt ist, wird dieser außer Betrieb genommen, wodurch sich die Anzahl der Eingangssignale um eins verringert, so daß nur drei Fühler-WS 311 P - 2464 signale übrigbleiben

Signale übrigbleiben und das Gastter auf einer 2/3-Basis arbeitet. Werden 2 Fühler überbrückt, arbeitet das Gatter auf einer 1/2-Basis und wenn 3 Fühler überbrückt werden, arbeitet das Gatter auf einer 0/1-Basis.

Es können sowohl einer wie auch mehrere Fühler in einem Kanal und schließlich auch alle Fühler überbrückt werden. Es können beispielsweise achtzehn Fühler oder mehr vorhanden sein. Wenn alle Fühler eines Kanals überbrückt sind, wird dies mit globaler überbrückung bezeichnet.

Die Ausgangssignale der Gatter G1, G2, G3 ... werden einem ODER-Gatter zugeführt, welches mit OI bezeichnet ist. Das Ausgangssignal dieses ODER-Gatters wird in ein Reaktorabschaltgatter G eingespeist. Dieses Gatter G arbeitet auf einer 2/4-Basis und empfängt Signale von 4 Kanälen, wovon 4 Signale den Normalzustand oder den normalwidrigen Zustand der von jedem Kanal überwachten Parameter und 4 weitere Signale den überbrückungsstatus des Kanals kennzeichnen. Um die Erklärung zu vereinfachen, wird davon ausgegangen, daß das Reaktorabschaltgatter G eine logische 1 für den normalwidrigen Zustand eines Parameters in einem Kanal oder einem Bypasszustand im Kanal empfängt und mit einer logischen 0 angesteuert wird, wenn ein Normalbetrieb des Parameters bzw. keine überbrückung im Kanal festgestellt wird. Die von Fühlern stammenden Eingangssignale sind mit SCI, SCH, SCIII und SCIV gekennzeichnet, wogegen BI, BII, BIII und BIV die überbrückungssignale bezeichnen.

Wenn die Fühler der vier Kanäle keinen normalwidrigen Parameter abtasten, legen die Sensoreingangssignale SCI bis SCIV auf dem Signalniveau einer logischen 0. Wenn ferner in den Kanälen keine überbrückungen vorhanden sind, werden

WS 311 P- 2464 als Eingangssignale

als Eingangssignale BI bis BIV ebenfalls logische 0 angelegt. In diesem Zustand wird der Kernreaktor nicht abgeschaltet, so daß die Anlage im Normalbetrieb läuft. Nimmt man an, daß nur ein Nahfühler des Kanals CI einen normalwidrigen Parameter abtastet, während keine Fühler überbrückt sind, dann wird eine logische 1 als Nahsignal SL dem Gatter G1 zugeführt und entsprechend logische 1 als Fernsignale an die entsprechenden nicht dargestellten Gatter der anderen Kanäle übertragen. Die Ausgangssignale des Gatters G1 und der übrigen Gatter nehmen den Wert einer logischen 0 an, so daß auch in diesem Fall der Kernreaktor nicht abgeschaltet wird. Es sei angenommen, daß der Nahfühler des Kanals CI und der Fernfühler des Kanals CI, welche ein Signal vom Kanal CII empfangen, einen normalwidrigen Parameter feststellen, ohne daß eine Überbrückung vorhanden ist. Damit wirken als Nahsignal SL und als Fernsignal SR auf das Gatter G1 eine logische 1. Der Eingang für ein Nahsignal SL und ein Fernsignal SR eines weiteren Kanals sind ebenfalls mit einer logischen 1 beaufschlagt. Ferner wirkt auf alle Eingänge für Fernsignale SR der restlichen beiden Kanäle ebenfalls eine logische 1. Damit wird das Reaktorabschaltgatter G an den Eingängen SCI bis SCIV mit einer logischen 1 beaufschlagt und der Kernreaktor abgeschaltet.

Es sei nun angenommen, daß der Nahfühler des Kanals CI überbrückt ist. Die Eingabe eines Abschaltsignals über die Gatter G1 und G ist blockiert. Die Abschaltsignale können über die anderen drei Kanäle und die 2/3-Konfiguration eingegeben werden. Die Eingabe einer überbrückung des Nahfühlers und einer überbrückung des Fernfühlers in einen Kanal verhindert, daß eine Fernfühleruberbruckung und eine Nahfühlerüberbrückung über einen anderen Kanal eingegeben wird. In diesem Fall wird eine logische 1 über einen der

WS 311 P - 2464 Eingänge BI bis BIV

Eingänge BI bis BIV des Gatters G eingegeben, womit eine Teilabschaltung des Kernreaktors angedeutet wird. Die Einspeisung einer anderen logischen 1 in das Abschaltgatter G, welches sich aufgrund einer Abschaltung in einem der beiden anderen Kanäle ergibt, schaltet den Reaktor ab. Dies entspricht der 1/2-Konfiguration. Wenn eine Fernfühlerüberbrückung und eine Nahfühlerüberbrückung in drei Kanäle eingegeben wird, wirken auf zwei Eingänge BI bis BIV logische 1 und lösen eine Abschaltung des Kernreaktors aus. Dies entspricht der 0/1-Konfiguration.

In Fig. 3 sind einige Details einer typischen Reaktorabschaltlogik für einen Kanal gezeigt. Es sei angenommen, daß es sich hierbei um den Kanal CI handelt. Die Abschaltfunktionen werden modulweise ausgeführt. Zu diesem Zweck existiert eine Abschaltmoduleinheit 77 und eine Logikmoduleinheit 78. Die Abschaltraoduleinheit umfaßt eine Vielzahl von Einzelmoduln 79, von welchen jedes auf einen Parameterfühler anspricht. Zum Zwecke der Erläuterung ist eine Anzahl von Parametern angegeben, welche über die Einzelmodule 79 erfaßt werden. Die Einzelmodule können entweder durch eine analoge oder digitale hardware verwirklicht werden. Jedes einzelne Modul 79 liefert ein Ausgangssignal 80, welches typischerweise von einem nicht dargestellten Transistor mit offenem Kollektor abgeleitet wird. Wenn ein solches Ausgangssignal 80 auftritt, wird von einer Teilabschaltung gesprochen. Diese Teilabschaltung ergibt sich nur dann, wenn ein Fühler eines Fühlersatzes einen normalwidrigen Parameter feststellt. Die Ausgangssignale 80 der einzelnen Module werden an die Logikmoduleinheit 78 angelegt, welche die 2/4-Auswahlfunkt ion aus f ührt.

WS 311 P - 2464 Die Logikmoduleinheit

Die Logikmoduleinheit 78 besteht ebenfalls aus einer Vielzahl von Einzelmodulen 86, von denen jedes einzelne mit einem Einzelmodul 79 der Abschaltmoduleinheit zusammenarbeitet. Jedes Einzelmodul 86, welches aus einem Relais bestehen kann, dessen Erregerspule nicht dargestellt ist, wird von einem angelegten Ausgangssignal 80 betätigt. Diese Relais haben einen Ruhekontakt 81, welche über einen weiteren Ruhekontakt 83 eines Relais 84 mit einer Abschaltleitung 82 verbunden sind. Das Relais 84 spricht auf den Informationsstatus einer Globalabschaltung in einem der übrigen Kanäle CII bis CIV an. Das eine Globalabschaltung kennzeichnende Signal zur Erregung des Relais 84 wird über einen Totmannzeitgeber 85 übertragen. Dieser Zeitgeber bewirkt das Öffnen eines Unterbrechers durch das Globalabschaltsignal, wenn der Zeitgeber vom Computer der Abschaltlogik nicht periodisch eingeschaltet wird. Jedem Einzelmodul 86 ist ein weiteres Relais mit einer nicht dargestellten Erregerspule zugeordnet. Dieses Relais wird in Abhängigkeit von der eine Abschaltung in einem anderen Kanal CII bis CIV zur Verfügung gestellten Information betätigt. Diese Abschaltung wird bezüglich des betreffenden Kanals als Teilabschaltung und bezüglich des Kanals CI als Abschaltfreigabe bezeichnet. Die zweiten Relais der Einzelmoduls haben ebenfalls einen Ruhekontakt 87, der parallel zum Ruhekontakt 81 liegt. Jedes Relaispaar mit den Ruhekontakten 81 und 87 spricht auf denselben normalwidrigen Parameter an. Die Abschaltleitung 82 liegt über einem Widerstand 88 an Massepotential sowie über die Ruhekontakte 81 und/oder 87 sowie ferner über den Ruhekontakt 83, wenn alle geschlossen sind, an einem über Masse liegenden Potential von etwa 5 Volt, das somit auf der Abschaltleitung 82 wirkt. Der Effekt dieses Potentials besteht darin, daß eine logische 1 auf der Abschaltleitung

WS 311 P - 2464 wirksam ist.

wirksam ist. Die Abschaltleitung wird auf Masse gelegt, entweder indem die beiden parallel geschalteten Ruhekontakte 81 und 87 oder der Ruhekontakt 83 geöffnet wird. Damit wirkt auf der Abschaltleitung das der logischen 0 zugeordnete Potential. Durch das öffnen eines Ruhekontaktes 81 bzw. eines Ruhekontaktes 87 von einem oder mehreren Kontaktpaaren wirkt noch kein Massepotential auf der Abschaltleitung 82. Dies ist wichtig, da dadurch auf der Abschaltleitung noch kein Abschaltfreigabesignal durch einen normalwidrigen Betrieb andeutende Störsignale von einer Vielzahl von unterschiedlichen Fühlern ausgelöst wird. Jedem Einzelmodul 86 ist ein Handüberbrückungsschalter SWB zugeordnet, welcher in geschlossenem Zustand die Erregung der im zugeordneten Modul befindlichen Relais verursacht und die Ruhekontakte 81 sowie 87 öffnet, um dadurch Massepotential an die Abschaltleitung zu legen. Derselbe Effekt kann auch durch das Schließen eines Zentralschalters SWB1 ausgelöst werden.

Die Abschaltleitung 82 ist mit einer Logikschaltung 90 der Überbrückungseinheit 89 verbunden. Diese Überbrückungseinheit ist auf einer gedruckten Leiterplatte angeordnet und steuert mit ihrem Ausgangssignal einen Transistor Q1 (siehe auch Fig. 9) an. Der Kollektor des Transistors Q1 ist mit einem handbetätigbaren Schalter SW13 verbunden, der im Ruhezustand geschlossen ist. über diesen Schalter und nachgeschaltete Wicklungen 149 ist der Transistor Q1 an die Versorgungsspannung angeschlossen. Mit Hilfe der Wicklungen 149 werden die Unterbrecher 66 der Trennschalteranordnung 64 gemäß Fig. 1 betätigt. Diese Unterbrecher 66 öffnen, wenn die Wicklungen 149 nicht erregt sind.

Der Inhalt der Statusinformation des Teilabschaltsignals und der handgeschalteten überbrückung wird von der Logik-WS 311 P- 2464 moduleinheit 78

moduleinheit 78 an den Abschaltrechner 91 übertragen. Dieser Abschaltrechner 91 basiert auf einem Mikroprozessor bekannter Art. Der Rechner wird mit Eingangssignalen von den Einzelmoduln 86 und von den Abschaltrechnern der anderen Kanäle CII, CIII und CIV über isolierte Datenleitungen beaufschlagt. Der Rechner ermittelt mit Hilfe seiner Logik die notwendigen, ausgangsseitig zur Verfügung gestellten Signale, um die Einzelmodule 86 anzusteuern und die 2/4-Auswahlfunktion zu vollenden. Zusätzlich zu der Information von den Einzelmodulen 86 werden globale Abschaltsignale zur Verfügung gestellt. Das einzige Signal für eine globale Abschaltung wird vom Abschaltrechner 91 abgeleitet.

Der Abschaltrechner 91 umfaßt eine Eingangsstufe QDH, einen Rechner QMC1, einen Speicher QME1, Sende-Empfängerstufen QMD1 und QMD2 sowie eine Ausgangsstufe QDO1. Die Informationen für die Teilabschaltung und die überbrückung werden über Leitungen 92 und 93 in die Eingangsstufe QDH eingegeben. Diese Information umfaßt die Daten für alle Fühler, über die Leitung 94 werden die Prüfinformation an die Eingangsstufe QDH übertragen. Diese Eingangsstufe gibt die Information an den Rechner QMC1 weiter, v/o sie verarbeitet werden, um die im Speicher QME1 gespeicherten Ergebnisse für die übertragung zu den Kanälen CII, CIII und CIV zur Verfügung zu stellen. Die Information wird über einen gemeinsam genutzten Speicher QMS und eine gemeinsam genutzte Sende-Empfangsstufe QMD des Kommunikationsmoduls 95 weiter übertragen. Die Sende-Empfangsstufen QMD1 und QMD2 arbeiten im Multiplex-Betrieb, um die Information von den einzelnen Kanälen CII, CIII und CIV zu empfangen und auszusortieren. Die Daten werden im Speicher QME1 gespeichert und vom Rechner QMC1 verarbeitet, um dann

WS 311 P- 2464 über die

über die digitale Ausgangsstufe QDO1 zur Verfügung zu stehen. Das Abschaltfreigabesignal wird über die Leitung 96 und das globale Abschaltsignal über die Leitung 97 übertragen. Der Rechner QMC1 verarbeitet auch die Prüfsignale und überträgt die Ergebnisse über die Leitung Die Überbrückungseinheit 89 wird mit Information von einer Fernüberbrückung über die Leitung-99 und über eine Nahüberbrückung über die Leitung 100 versorgt.

Der Informationsstatus der überbrückungseinheit 89 wird zu den Kanälen CI/ CII und CIII über das Konmunikationsmodul 65 übertragen. Dieses Kommunikationsmodul besteht aus einem auf einem Mikroprozessor aufgebauten Rechensystem, das eine digitale Eingangsstufe QDI, einen Rechner QMC, einen Speicher QME und eine digitale Ausgangsstufe QMD umfaßt. Diese digitale Ausgangsstufe QMD arbeitet als Multiplexer, um die in den Speichern QME und QME1 enthaltene Information zu den Kanälen CII, CIII und CIV zu übertragen.

Die Logikmoduleinheit 78 eines jeden Kanales CI bis CIV kann die Abschaltleitung 82 auf Massepotential schalten. Dadurch werden die zugeordneten, der Abschaltung dienenden Unterbrecher 66 bis 72 geöffnet. Die Abschaltleitung arbeitet daher wie eine der OI-Stufe in Fig. 2 entsprechende ODER-Stufe bezüglich der Ausgangssignale der Logikmoduleinheit 78.

Es sei davon ausgegangen, daß die Partialabschaltung der Kanäle CI, CII, CIII und CIV mit A, B, C und D gekennzeichnet ist. Der 2/4-Status für die Teilabschaltungen ergibt sich somit aus dem nachfolgenden logischen Ausdruck:

2/4 (A,B,G,D) =A-B+A-C+A-D+B«C+B-D+C -D WS 311 P - 2464 In diesem

In diesem Ausdruck kennzeichnet ein Punkt eine UND-Operation und ein Pluszeichen eine ODER-Operation. Durch Umformung erhält man:

2/4 (A,B,C,D) = A · (B + C + D) + (B · C + B · D + C · Ό)

Partial- Abschalt- Globalabschaltung freigäbe abschaltung

Eine Partialabschaltung existiert, wenn einer der Fühler eines Satzes im normalwidrigen Zustand ist. Die Abschaltfreigabe ergibt sich, wenn ein weiterer Fühler im normalwidrigen Betrieb ist. Die Partialabschaltung des dem Rechner zugeordneten eigenen Kanals CI wird als A zum Ausdruck gebracht. Sie erscheint nur einmal in dem umgeformten Ausdruck und wird in einer UND-Funktion mit 1/3 der anderen Teilabschaltungen verknüpft. Diese UND-Funktion wird von dem Logikmodul ausgeführt. Ein Signal, welches 1/3 der anderen Teilabschaltungen repräsentiert und als Abschaltfreigabe bezeichnet ist, wird vom Abschaltrechner 91 zur Verfügung gestellt. Der Rest des Ausdrucks ist gleich 2/3 der anderen von A verschiedenen Teilabschaltungen und wird durch die Verwendung der Globalabschaltung verwirklicht. Da nur ein einziges Signal für die Globalabschaltung zur Einspeisung in die Abschaltleitung vorgesehen ist, werden alle individuellen, einer Globalabschaltung zugeordneten Abschaltfunktionen über eine ODER-Funktion des Abschaltrechners bewirkt, der ein einziges Ausgangssignal liefert.

Bei der Verwirklichung der vorliegenden Erfindung können Halbleiter-Logikelemente oder Logikgatter Verwendung finden. Bei der nachfolgenden Beschreibung einer Anwendung wird auf die Eingangs- und Ausgangssignale dieser Elemente von einer logischen 1 oder einer logischen 0 gesprochen, was einem hohen oder niedrigen Signalniveau entspricht.

WS 311 P- 2464 Das einer

Das einer logischen 1 zugeordnete Eingangs- bzw. Ausgangssignal hat einen Spannungswert von 2,4 Volt oder darüber, wogegen das einer logischen 0 zugeordnete Eingangs- oder Ausgangssignal einen Spannungswert von 0,4 und weniger hat. In Fig. 4 ist die Logikschaltung dargestellt, mit welcher das Abschaltfreigabesignal erzeugt wird, welches zum Kanal CI übertragen wird und aus der Verbindung der partialen Abschaltsignale und der Überbrückungssignale in den Kanälen CII, CIII und CIV gewonnen wird. Jedem Kanal ist ein UND-Gatter 101 zugeordnet, der die Eingangssignale verknüpft. Wenn eine partiale Abschaltung in einem der Kanäle CI bis CIV existiert, wird über den der partialen Abschaltung zugeordneten Eingang 102 eine logische 1 eingespeist. Wenn eine Überbrückung existiert, wird über den der überbrückung zugeordneten Eingang 103 eine logische 1 eingegeben. Das an diesem Eingang 103 wirksame Signal wird über eine Negationsstufe 104 an das UND-Gatter 101 übertragen. Beim Fehlen einer Überbrückung in einem Kanal, z. B. dem Kanal CII, liegt an dem ihm zugeordneten Eingang 103 eine logische 0 und am Eingang seines UND-Gatters 101 eine logische 1 an. Wenn gleichzeitig eine Partialabschaltung in diesem Kanal CII existiert, ergibt sich eine logische 1 am Ausgang des UND-Gatters 101 sowie am Ausgang des ODER-Gatters 105 und am Ausgang des ODER-Gatters 106, so daß ein Abschaltfreigabesignal zum Kanal CI abgegeben wird. Eine Überbrückung in irgendeinem der Kanäle CII bis CIV führt zu einer logischen 0 am Eingang des korrespondierenden UND-Gatters. Die übertragung der Information einer Teilabschaltung wird blockiert. Die Eingänge 103 sind auch mit den Eingängen eines 2/3-Gatters 107 verbunden. Eine überbrückung in zumindest zwei der Kanäle CI bis CIII erzeugt eine logische 1 am Ausgang des Gatters 107, eine logische 1 am Eingang des ODER-Gatters 106 und ein Abschaltfreigabesignal für den Kanal CI. Eine logische 1 in

tfS 311 P- 2464 Form eines

O ί. I

Form eines Prüfsignals kann ebenfalls an das ODER-Gatter

106 übertragen werden, um für Prüfzwecke eine simulierte Abschaltfreigabe zu erzeugen.

In Fig. 5 ist die Logikschaltung für die Erzeugung einer Globalabschaltung gezeigt. Dabei ist neben den UND-Gattern 101, den Eingängen 102 und 103 für ein Teilabschaltungssignal und ein überbrückungssignal sowie den Negationsstufen 104 für die Kanäle CII bis CIV und das 2/3-Gatter

107 ein v/eiterer überbrückungseingang 108 für den Kanal CI vorgesehen. Beim Fehlen einer logischen 1 am Eingang 103 signalisiert eine logische 1 an jedem Eingang 102 eine Teilabschaltung und bewirkt eine logische 1 am Ausgang des zugeordneten UND-Gatters 101 sowie am entsprechenden Eingang und Ausgang des ODER-Gatters 109. Am Eingang 110 des UND-Gatters 111 wirkt eine logische 1. Die überbrückungseingänge 103 der Kanäle CII bis CIV und der überbrückungseingang 108 des Kanals CI sind als Eingänge dem 2/4-Gatter 112 und 3/4-Gatter 113 zugeordnet, überbrückungen in zwei dieser Kanäle CI bis CIV erzeugen eine logische 1 am Ausgang des Gatters 112 und eine logische 1 am Eingang 114 des UND-Gatters 111. Gleichzeitig wird ein Alarm 115 ausgelöst. Wenn an den Eingängen 110 und 114 des UND-Gatters 111 eine logische 1 anliegt, ergibt sich auch eine logische 1 am Ausgang dieses Gatters und am entsprechenden Eingang 116 des mit dem Gatter verbundenen ODER-Gatters 117. Das Ausgangssignal des ODER-Gatters 117 in Form einer logischen 1 wirkt über den Eingang 118 auf ein weiteres ODER-Gatter 119, das ausgangsseitig die Globalabschaltung signalisiert. Mit überbrückungen in drei der vier Kanäle CI bis CIV stehen an den Eingängen des Gatters 113 drei logische 1 zur Verfügung, womit eine logische 1 ausgangsseitig abgegeben wird und auf das ODER-Gatter 117 über den

WS 311 P- 2464 Eingang 120 wirkt.

Eingang 120 wirkt. Auch in diesem Fall wirkt über den Eingang 11S eine logische 1 auf das ODER-Gatter 119 und signalisiert eine Globalabschaltung.

In Fig. 6 ist ein Einzelmodul 86R, wie es gemäß Fig. 3 Verwendung finden kann, dargestellt, bei welchem die Steuerkomponenten durch Relais verwirklicht v/erden. Wie bereits erwähnt,umfaßt jeder der Kanäle CI bis CIV eine Vielzahl gleicher Einzelmodule, welche zahlenmäßig der Anzahl der zu überwachenden Parameter entspricht. Es sei angenommen, daß es sich bei dem dargestellten Einzelmodul 86R um ein Modul des Kanals CI handelt. Jedes Einzelmodul 86R umfaßt ein Relais K1, welches auf eine im entsprechenden Einzelmodul 79R erzeugte Teilabschaltung anspricht. Es sind ferner auf das Abschaltfreigabesignal ansprechende Relais K2 und auf das globale Abschaltsignal ansprechende Relais K3 vorgesehen. Die Relais K1, K2 und K3 haben jeweils einen Ruhekontakt 1K1, 1K2 und 1K3. Das Relais K1 wird vom Abschalt-Einzelmodul 79R durch den Transistor Q5 gesteuert. Dieser Transistor Q5 wird beim Fehlen einer Teilabschaltung leitend. Das Relais K1 wird erregt und der Arbeitskontakt 1K1 öffnet. Die Tatsache, daß das Relais K1 erregt wird, manifestiert das Fehlen eines normalwidrigen Betriebs des zugeordneten Fühlers und wird über die LED13 auf den Fototransistor Q8 übertragen. Die LED13 und der Fototransistor Q8 stellen die digitale Eingangsstufe QDH dar. Der Informationszustand des mit dem Einzelmodul 79R verbundenen Fühlers wird in den Rechner QME1 eingegeben. Die Relais K2 und K3 werden von den Transistoren Q6 und Q7 aus erregt, welche der digitalen Ausgangsstufe QDO1 gemäß Fig. 3 zugeordnet sind. Diese digitale Ausgangsstufe QDO1 empfängt ihre Information von den anderen Kanälen CII bis CIV über den Mikro-

WS 311 P - 2464 prozessor 91,

ÖL I OZO I

prozessor 91, welcher Multiplexer QMD1 bis QMD2, den Speicher QME1, den Rechner QMC1 und den universellen Eingangs-Ausgangsbus 122 umfaßt. Die digitale Ausgangsstufe QDO1 umfaßt den Transistor Q6, mit welchem die Erregung des Relais K2 gesteuert wird. Ein weiterer Transistor Q7 dient der Erregung des Relais K3. Die Transistoren Q6 und Q7 werden beim Fehlen eines Abschaltfreigabesignals oder einer globalen Abschaltung leitend. Die Relais K2 und I<3 werden erregt und die Kontakte 1K2 und 1K3 geschlossen. Die Transistoren Q6 und Q7 werden in Abhängigkeit von Fühlern in den Kanälen CII bis CIV angesteuert, welche dieselben Parameter abtasten wie das Abschalt-Einzelmodul 79R.

Wenn die Kontakte 1K1, 1K2 und 1K3 geschlossen sind, liegt eine logische 1 am Eingang 124 des NAND-Gatters 1F. Beim Fehlen einer Mehrfachüberbrückung liegt an dem zugeordneten Eingang 126 eine logische 1* Für Testzwecke vorgesehene Impulse werden über einen Eingang 128 zugeführt. Die Impulse erscheinen am Ausgang des NAND-Gatters 1F (vergleichbar mit dem NAND-Gatter F gemäß Fig. 9) und manifestieren eine fehlende Abschaltung entweder infolge einer Mehrfachüberbrückung oder infolge der Abtastung eines normalwidrigen Betriebs durch einen oder mehrere über den betroffenen Parameter hinausgehende Fühler. Wenn der Nahfühler feststellt, daß ein norma!widriger Parameter existiert, dann wird der Transistor Q5 nicht leitend gemacht und vom Relais K1 fällt die Erregung ab, so daß der Kontakt 1K1 öffnet. Dies stellt eine Teilabschaltung dar. Diese Teilabschaltung hat keinen Einfluß auf das NAND-Gatter 1F, da die Kontakte 1K2 und 1K3 geschlossen bleiben. Jedoch wird die LED13 abgeschaltet und über den Transistor Q8 die Information der Teilabschaltung in den Speicher QME1 zur weiteren Verarbeitung eingegeben. Es sei nun angenommen, daß der Fühler, welcher denselben Parameter

WS 311 P - 2464 abtastet und

abtastet und einem der Kanäle CII bis CIV zugeordnet ist, ebenfalls einen normalwidrigen Betrieb feststellt. Für diesen Fall überträgt der Abschaltrechner 91 ein Abschaltfreigabesignal zur Ausgabestufe QDO1, womit der Transistor QS nicht leitend wird. Damit fällt die Erregung vom Relais K2 ab und der Kontakt 1K2 öffnet. Damit wird der Eingang 124 des NAND-Gatters 1F von der 5-VoIt-Versorgungsspannung abgeschaltet und eine logische O über den Widerstand 88 am Eingang wirksam. Infolge davon wird die Übertragung der Impulse über den Eingang 128 blockiert, so daß eine logische 1 am Ausgang des NAND-Gatters 1F erscheint. Dies signalisiert einen Abschaltzustand und öffnet den Unterbrecher 66.

Für eine Globalabschaltung in den Kanälen CII bis CIV wird der Transistor Ql nicht leitend gemacht, womit die Erregung des Relais K3 abfällt. Der zugeordnete Kontakt 1K3 wird geöffnet und eine logische O über den Eingang 124 auf das NAND-Gatter 1F gegeben. Daraus ergibt sich das oben bereits beschriebene Resultat.

Für eine manuelle Überbrückung wird der Schalter SWBR geschlossen. Das Relais K2 bleibt über die Diode 2D1 und den Schalter SWBR unabhängig vom Transistor Q7 erregt, so daß eine Abschaltung des Unterbrechers für den Kanal CI ausgeschlossen ist. Vom Anschluß der auf 24 Volt liegenden Versorgungsspannung fließt ein Strom über die LED12, den Schalter SWBR nach Masse, womit eine lokale überbrückung signalisiert wird. Die LED14 wird ebenfalls über den Schalter SWBR betätigt, womit der Informationsstatus der lokalen überbrückung über den Fototransistor Q9 in den Rechner eingegeben wird.

WS 311 P- 2464 Die Schaltung

JZ IJZD

Die Schaltung sieht auch einen Prüfbus 130 für alle Einzelmodule 86R gemeinsam vor. Der Arbeitskontakt 1K ist vorgesehen, um den Prüfbus 130 auf Masse zu legen. Sobald der Prüfbus auf Masse liegt, bleibt das Relais K2 unabhängig vom Transistor Q6 über die Dioden 2D1 und 2D2, den Prüfbus 130 und den Kontakt 1K mit Masse verbunden und damit erregt. Auf diese Weise wird über den Prüfbus an alle Einzelmodule eine Überbrückung angelegt. Damit kann der Rechner QMC1 verifizieren, daß er alle einen Überbrückungsstatus kennzeichnenden Eingangssignale lesen kann. Die Diode 2D2 trennt den Prüfbus 130 vom handbetätigten Überbrückungsschalter SWBR 1 ab.

In Fig. 7 ist eine Halbleiterschaltung dargestellt, welche dieselben Punktionen wie die Relaisschaltung gemäß Fig. 6 ausführt. Es wird ebenfalls davon ausgegangen, daß diese Schaltung Teil des Kanals CI ist. Die Schaltung ist aus TTL-Elementen aufgebaut und bezieht sich auf den Betrieb eines auf den Fühler von einem Parameter ansprechenden Abschalt-Einzelmoduls 79S und dem zugehörigen Logik-Einzelmodul 86S. Das Abschalt-Einzelmodul 79S kann das gleiche wie das Einzelmodul 79R sein. Die Komponenten außerhalb des Einzelmoduls 86S sind dieselben wie bei der Relaisschaltung und arbeiten auch in der gleichen Weise.

Wenn der Transistor Q5 leitend ist, wirkt eine logische 0 auf den Eingang 132 des NAND-Gatters 1A, an dessen anderem Eingang 134 bei leitendem Transistor Q6 ebenfalls eine logische 0 anliegt. In jedem Fall ergibt sich eine logische 1 auf der Abschaltleitung 82 und am Eingang 124 des NAND-Gatters 1F. Damit befindet sich die überbrückungseinheit 89 in normalem Betriebszustand. Wenn die beiden Transistoren Q5 und Q6 nicht leitend gemacht werden, ergibt sich eine logische 1 an den Eingängen 132 und 134

Wd 311 P - 2464 des NAND-Gatters

des NÄND-Gatters 1A und eine logische 0 an dem Ausgang, welcher über die Abschaltleitung auf den Eingang 124 des NAND-Gatters 1F wirkt. Damit schaltet der Unterbrecher ab.

Beim Fehlen einer Globalabschaltung ist der Transistor Q7 nicht leitend. Damit liegt auf der Abschaltleitung 82 eine logische 1, welche über den Eingang 124 auf das NAND-Gatter 1F wirkt. Wenn der Transistor Q7 leitend wird, ergibt sich eine logische 0 auf der Abschaltleitung, welche über den Eingang 124 auf das NAND-Gatter 1F wirkt und an dessen Ausgang eine logische 1 auslöst, welche den zugeordneten Unterbrecher abschaltet.

Wenn der Transistor Q5 leitend ist, liegt eine logische 0 am Eingang des NAND-Gatters 1E und eine logische 1 an dessen Ausgang, welche auf die Basis des Treibertransistors Q10 wirkt. Damit fließt ein Strom über die LED13 und den Transistor Q10. Auf das optische Signal der LED 13 spricht der Fototransistor Q8 an und signalisiert, daß der mit dem Einzelmodul 79S verbundene Fühler keinen normalwidrigen Parameter festgestellt hat. Der Transistor Q10 ist vorgesehen, um das Einzelmodul 86S von den höheren Spannungsniveaus der digitalen Eingangsstufe QDH abzutrennen. Wenn der Transistor Q5 nicht leitend wird, wirkt eine logische 1 auf die Eingänge des NAND-Gatters 1E, so daß an dessen Ausgang eine logische 0 erscheint. Damit wird der Transistor Q10 nicht leitend gemacht und die Erregung für die LED13 fällt ab. Dieser Zustand signalisiert für die übrigen Kanäle CII bis CIV, daß der Fühler des Einzelmoduls 79S einen normalwidrigen Parameter festgestellt hat.

Wenn der handbetätigte Überbrückungsschalter SWBS offen ist, liegt eine logische 1 an den Eingängen des NAND-

WS 311 P - 2464 Gatters 1C und

O L. I

Gatters 1C und eine logische 0 an dessen Ausgang, welche zum NAND-Gatter 1B übertragen an dessen Ausgang eine logische 1 auslöst. Der Eingang 134 des NAND-Gatters 1A bleibt jedoch auf der logischen 0 liegen, solange der Transistor Q6 leitend ist. Ferner wirkt auf die Eingänge des NAND-Gatters 1G eine logische 1, so daß sich am Ausgang eine logische 0 ergibt, welche den Treibertransistor QIl ansteuert. In diesem Zustand ist die LED 14 nicht leitend, so daß die Eingangsstufe QDH über den Transistor Q9 die Information überträgt, daß keine handbetätigte Überbrückung im Einzelmodul 86S existriert. Der Transistor Q11 hat dieselbe Isolationsfunktion wie der Transistor Q10.

Bei geschlossenem Schalter SWBS liegt eine logische 0 an den Eingängen des NAND-Gatters 1C und eine logische 1 an dessen Ausgang. Ferner ist eine logische 0 am Ausgang des NAND-Gatters 1B wirksam. Damit wird der Transistor Q6 überbrückt. Schließlich wirkt eine logische 0 auf die Eingänge des NAND-Gatters 1G, so daß an dessen Ausgang eine logische 1 erscheint. Der Transistor Q11 wird damit über die LED14 leitend, welche damit über den Transistor Q9 eine Überbrükkung signalisiert. Gleichzeitig wird auch die LED15 leitend und zeigt lokal eine überbrückung an.

Der Prüfbus 136 ist vom Schalter SWBS durch das NAND-Gatter 1D getrennt. Im Ruhezustand liegt der Prüfbus 136 über den Ruhekontakt 1L auf Masse. Damit wirkt auf die Eingänge des NAND-Gatters 1D eine logische 0 und vom Ausgang aus eine logische 1 auf die Eingänge des NAND-Gatters 1G. Am Ausgang dieses Gatters erscheint eine logische 0, so daß der Transistor Q11 und die LED14 keinen Strom führen. Bei der Durchführung einer Prüfung wird der Kontakt 1L geöffnet. Damit wirkt eine logische 1 auf die Eingänge des NAND-Gatters 1D und über den Ausgang eine logische 0 auf die

WS 311 P - 2464 Eingänge des

Eingänge des NAND-Gatters 1D. Die am Ausgang dieses Gatters erscheinende logische 1 macht den Transistor Q11 und die LED14 leitend, womit der Testzustand signalisiert wird. Die logische 0 am Ausgang des NAND-Gatters 1D macht auch die LED 15 leitend und zeigt lokal eine Überprüfung an.

Da die Abschaltlogik Teil des gesamten Energieversorgungssystems ist, muß sie periodisch überprüft werden, um einen korrekten Betrieb sicherzustellen. Dies geschieht mit einem zyklischen Kombinieren der Eingangssignale für die Partialabschaltung,für die Abschaltfreigabe und die Globalabschaltung, wodurch die richtige Abschaltfunktion verifiziert wird. Zu diesem Zweck werden Prüfsignale auf den Abschaltfreigabebus und den Globalabschältbus über die ODER-Gatter 106 und 119 gemäß Fig. 4 und 5 gegeben.

Die Prüfbusse 130 (gemäß Fig. 6) und 136 (gemäß Fig. 7) sind mit allen Einzelmodulen 86R bzw. 86S verbunden. Mit diesen Bussen ist es möglich, die Betriebsfähigkeit des Abschaltrechners 91 daraufhin zu verifizieren, daß der Uberbrückungsstatus jeweils feststellbar ist.

Die Fähigkeit, eine Teilabschaltung zu erfassen, kann während dem Funktionstest der Abschalt-Einzelmodule verifiziert werden, während welchem die eine Teilabschaltung charakterisierenden Ausgangssignale ihren Zustand ändern. Die interne Logik des Abschaltrechners wird durch die Substitution simulierter Dateneingaben in den Computer und die zyklische Verarbeitung entsprechend aller praktikabler Logikverbindungen geprüft.

All die beschriebenen Prüfungen sind periodischer Natur und werden von dem automatischen Prüfsystem durchgeführt.

WS 311 P - 2464 Zusätzlich zu

I ΟΖΟ

Zusätzlich zu diesen Prüfungen sind gewisse kontinuierliche Überprüfungen des logischen Abschaltsystems vorgesehen, um Fehlfunktionen sofort beim Auftreten zu erkennen und einen Alarm auszulösen. Dies ermöglicht eine sofortige Wartung der Anlage und eine Verbesserung der Zuverlässigkeit. Diese Prüfungen umschließen die herkömmlichen Paritätstests, Prüfsummen usw., wie sie üblicherweise für die Überprüfung von Datenverbindungen und die digitale Verarbeitung eingesetzt werden. Ferner sind auch hardware-seitige Testmerkmale vorgesehen. In Fig. 8 ist eine Prüfschaltung dargestellt, welche kontinuierlich die Betriebsfähigkeit des Abschaltrechners verifiziert.

Ein Zeitgeber 138, der im wesentlichen aus einem Impulsgenerator besteht, gibt alternierend logische 1 und logische 0 ab. Diese Signale werden der Eingangsstufe QDH des Abschaltrechners 91 zugeführt. Der Rechner muß diese Signale lesen und ein identisches Signal an seinem Ausgang zur Verfügung stellen. Wenn man annimmt, daß eine logische 0 vom Zeitgeber 138 aus zuerst übertragen wurde, dann ergibt sich auf der Ausgangsleitung 140 eine logische 0. Wenn eine logische 1 zuerst übertragen wurde, dann liegt eine logische 1 am Eingang 142 des UND-Gatters 144. Am Eingang 148 dieses Gatters liegt über die Negationsstufe 146 ebenfalls eine logische 1. Damit steht am Ausgang des UND-Gatters 144 eine logische 1 zur Verfügung, welche über ein ODER-Gatter 152 den Zeitgeber 150 anlaufen läßt. Am Eingang 156 des UND-Gatters 158 liegt über die Negationsstufe 160 ebenfalls eine logische 0. Damit liefert auch dieses UND-Gatter 148 ausgangsseitig eine logische 0. Wenn auf der Leitung 140 innerhalb von 20 ms keine logische 1 wirksam ist, läuft der Zeitgeber 150 ab und löst einen Alarm in der Einrichtung 154 aus.

WS 311 P - 2464 Wenn an

Wenn an der Leitung 140 eine logische 1 wirksam ist, bevor der Zeitgeber 150 abläuft, liegt eine logische 1 am Eingang 162 des UND-Gatters 158, jedoch wirkt auf den Eingang 156 eine logische 0, so daß am Ausgang dieses UND-Gatters eine logische 0 zur Verfügung steht. Wird der Eingang 148 des UND-Gatters 144 über die Negationsstufe 146 mit einer logischen 0 am Eingang beaufschlagt und ist gleichzeitig auf der Datenleitung 140 eine logische 1 wirksam, dann ergibt sich am Ausgang des UND-Gatters 144 eine logische 0, welche über das ODER-Gatter 152 als logische 0 auf den Zeitgeber 150 wirkt und diesen anhält sowie zurückstellt. Wenn der Zeitgeber 138 als nächstes eine logische 0 abgibt, liegt nunmehr auf der Leitung 140 und dem Eingang 162 eine logische 1 an, was auch infolge der Negationsstufe 160 für den Eingang 156 gilt. Das UND-Gatter 158 gibt eine logische 1 ab, welche über das ODER-Gatter 152 zum Zeitgeber 150 übertragen wird, um diesen wieder anlaufen zu lassen. Das Erscheinen einer logischen 0 auf der Leitung 140 innerhalb von 20 ms löst eine logische 0 am Ausgang des UND-Gatters 158 aus, womit der Zeitgeber 150 angehalten und zurückgestellt wird. Wenn keine logische 0 eingegeben wird, löst dies die Alarmeinrichtung 154 aus. Die auf dem Niveau einer logischen 1 und einer logischen 0 liegenden Impulse vom Zeitgeber 138 müssen mindestens so lang sein wie das Zeitintervall des Zeitgebers 150, d. h. im vorliegenden Beispiel 20 ms.

Zusätzlich zu der Fähigkeit, eine 2/4-Auswahlfunktion auf dem Abschaltfunktionsniveau auszuführen, kann die beschriebene Abschalteinrichtung alternativ auch einem allgemeinen Schutzsystem zugeordnete Logikfunktionen mit Funktionsniveauüberbrückungen ausführen. Bei einem allgemeinen Schutzsystem öffnet jede einzelne Teilabschaltung in einem

WS 311 P- 2464 Kanal den

Ι ΟΔΟ

Kanal den Abschaltunterbrecher dieses Kanals, ohne mit einem anderen Kanal zusammenarbeiten zu müssen. Wenn zwei Kanäle für irgendeinen Grund abschalten, wird der Reaktor abgeschaltet. Der wesentliche Nachteil dieser Art von Schutzsystem besteht darin, daß es dazu tendiert, aufgrund von fehlerhaften Abschaltungen die Anlage mit geringerer Verfügbarkeit zu betreiben. Die Abschalteinrichtung gemäß der Erfindung läßt diese Art der Schutzlogik nur zu, wenn die Software des Abschaltrechners geändert wird, um zu bewirken, daß die Signale für die Abschaltfreigabe im Normalbetrieb bereits den Freigabezustand einnehmen, in welchem der Transistor Q6 nicht leitend ist, wenn z. B. ein Fehler festgestellt wird. Ein einer Teilabschaltungzugeordnetes Signal kann den Unterbrecher direkt öffnen. Die Logik für die Globalabschaltung bleibt die gleiche wie die bereits beschriebene, wobei die individuellen, einen überbrückungsstatus kennzeichnenden Signale die logische Summe (ODER-Gatter) des überbrückungsstatus für die Abschaltfunktion und des Überbrückungsstatus für den Unterbrecher für jeden Kanal ist.

In Fig. 9 ist eine Halbleiterschaltung 89L dargestellt, mit der die überbrückungseinheit 89 gemäß Fig. 3 verwirklicht wird. Dabei handelt es sich für die Logikschaltung für nur einen Kanal, und zwar beispielsweise den Kanal CI. Für diesen Fall sind nur die miteinander zu verknüpfenden Überbrückungssignale dargestellt. Die Abschaltsignale werden separat über die bereits beschriebene Abschaltleitung angelegt.

BYIN II, BYIN III und BYIN IV sind mnemonische Identifizierungssignale auf den Glasfaserleitungen, welche Informationen von den drei Kanälen CII, CHI, CIV zu dem

WS 311 P - 2464 Kanal CI

Kanal CI übertragen. Mit LOCBYP wird eine Leitung für ein Logiksignal identifiziert, welche die Information der automatischen Nahüberbrückung für den Kanal CI führt.

Eine Linie über der mnemonischen Angabe kennzeichnet einen niederen logischen Signalwert, d. h. eine logische 0 ist auf dem Leiter wirksam, wenn das durch die mnemonische Angabe bezeichnete Signal anliegt. Das Fehlen einer solchen Linie kennzeichnet ein hohes logisches Signalniveau, d. h. auf dem Leiter ist eine logische 1 wirksam, wenn das identifizierte Signal anliegt. Die logischen Signale können sowohl Impulse als auch Signalniveaus sein. Wenn z. B. ein Fühler im Kanal CII überbrückt wird, wirkt das logische Signalniveau 0 und ist mit BYIN II gekennzeichnet. Wenn eine Prüffunktion ausgeführt wird, erscheint das logische Signalniveau 1 auf der mit TEST gekennzeichneten Leitung.

Die mnemonische Angabe MÜLTBYP kennzeichnet den Informationsstatus für eine Mehrfachüberbrückung im Kanal CI.

Wenn eine logische 0 auf der mit MULIBYP gekennzeichneten Leitung wirksam ist, hat der Kanal CI Information von einer lokalen Überbrückung und einer Fernüberbrückung erhalten,

d. h., es existiert eine logische 0, auf der mit LOCBYP I gekennzeichneten Leitung und zumindest auf einer der mit BYIN II, III oder IV gekennzeichneten Leitung. Die mnemonische Angabe BYSTAT identifiziert den Status einer lokalen überbrückungsinformation im zugehörigen Kanal. Eine logische 0 auf der mit BYSTAT gekennzeichneten Leitung gibt an, daß nur eine lokale Überbrückung im Kanal CI existiert. Der Eingang BYIN I in den Kanälen CII, CIII oder CIV, welcher das Signal LOCBYP I des Kanals CI als Fernsignal empfängt, sind mit demselben Signal beaufschlagt, das auch auf die Leitung BYSTAT gegeben wird.

WS 311 P- 2464 Die Signale

Die Signale BYIN II, III und IV werden von den Fernkanälen CII, CIII und CIV über den Rechner hergeleitet. Die mit LOCBYP I und ebenso die mit LOCBYP II, III oder IV gekennzeichneten Signale werden von den eigenen Kanälen abgeleitet. Das Signal MULTBYP wird in den Rechner der Abschalteinrichtung eingegeben. Das gleiche gilt für das Signal BYSTAT. Der Rechner gibt diese Signale an die entsprechenden Eingänge BYIN der Fernkanäle. Das eine Überbrückung bestätigende Signal BYPACK wird ebenfalls in den Rechner eingegangen, von welchem das Signal TEST abgeleitet wird. Das Signal TRIP wird in den Kanal eingegeben.

Das Signal MANTRP wird von einer Bedienungsperson an einer nicht dargestellten Konsole der Abschalteinrichtung eingegeben. Mit diesem Signal MANTRP wird der vom Kanal kontrollierte Unterbrecher geöffnet, selbst wenn eine durch eine logische 0 gekennzeichnete lokale Überbrückung auf dem Eingang LOCBYP wirksam ist. Eine lokale Überbrückung kann manuell durch das Schließen des Schalters SW1 eingegeben werden.

Beim Fehlen einer Uberbrückungs- oder Prüfsituation liegt an den mit BYIN II, III und IV gekennzeichneten Eingängen eine logische 1, welche damit an den korrespondierenden Eingängen 121, 123 und 125 des NAND-Gatters A wirksam sind. Am Eingang 127 des NAND-Gatters B liegt eine logische 0, so daß vom Ausgang dieses Gatters aus eine logische 1 auf den Eingang 129 des NAND-Gatters A wirksam ist. Damit ergibt sich am Ausgang des NAND-Gatters A eine logische 0, die auf der mit BYPACK gekennzeichneten Leitung wirksam ist. Das mit der Anlage zusammenarbeitende Kommunikationsmodul 95 erfährt somit, daß der Kanal CI keine Information über Teilüberbrückungen in den Kanälen CII, CIII oder CIV hat. Eine logische 0 wirkt auch auf den Eingang 131

WS 311 P - 2464 des NAND-Gatters

des NAND-Gatters D, das von Ausgang aus eine logische 1 an den Eingang 133 des NAND-Gatters H weitergibt. Die Eingänge 153, 163 und 164 des NAND-Gatters C sind ebenfalls mit einer logischen 1 beaufschlagt, so daß auf die Eingänge 135 des NAND-Gatters ·Ξ eine logische 0 wirkt. Ausgangsseitig gibt dieses Gatter'somit eine logische 1 an den Eingang 137 des NAND-Gatters G. Beim Fehlen des Signals TRIP wirkt auf den Eingang 139 des NAND-Gatters E (Fig. 6 und 7) eine logische 1. Der Zeitgeber T1 liefert eine auf dem Niveau einer logischen 1 liegenden Zeitmarke, welche kontinuierlich von zehn Impulsen pro Sekunde mit einer Impulsbreite von 5 Millisekunden unterbrochen ist, wobei während dieser Impulse die Zeitmarke das Niveau einer logischen 0 annimmt. Der Zeitgeber T1 stellt somit im wesentlichen einen Impulsgenerator dar. Zwischen den auf eine logische 0 abfallenden Impulsen des Zeitgebers T1 liegt eine logische 1 am Eingang T41 des NAND-Gatters F, das ausgangsseitig eine logische 0 abgibt. Diese wirkt auf die Eingänge 143 des NAND-Gatters G, welches ausgangsseitig mit einer logischen 1 den Eingang 145 des NAND-Gatters H ansteuert. Beim Fehlen des Handabschaltsignals MAN TRP liegt am Eingang 147 des NAND-Gatters H eine logische 1, womit ausgangsseitig eine logische 0 zur Verfügung steht. Der damit beaufschlagte Verstärker A1 stellt ausgangsseitig eine logische 1 zur Verfügung, welche den Transistor Q"] in den leitenden Zustand steuert und die Wicklungen 149 erregt. Dadurch wird verhindert, daß der von der Wicklung 149 gesteuerte Unterbrecher 166 gemäß Fig. 1 abschaltet.

Mit jedem 5 ms breiten Impuls des Zeitgebers T1 wird eine logische 0 am Eingang 141 des NANDrGatters F wirksam. Die ausgangsseitig erscheinende logische 1 bewirkt, daß über das NAND-Gatter G eine logische O'.auf den Eingang 145 des

WS 311 P - 2464 NAND-Gatters H

Ι JZO

NAND-Gatters H gegeben wird und somit vom Ausgang dieses Gatters aus eine logische 1 den Verstärker A1 ansteuert. Das Ausgangssignal dieses Verstärkers geht somit während dieses Impulses von 5 ms auf eine logische 0 und steuert den Transistor Q1 in den nicht-leitenden Zustand. Das Invervall des nicht-leitenden Zustandes ist jedoch zu kurz, um die Erregung der Wicklung 149 abfallen zu lassen, so daß eine Abschaltung des Unterbrechers unterbleibt. Die Impulse werden über einen Impulstransformator TR1 und einen Schmitt-Trigger ST weiter übertragen, welcher einen monostabilen Multivibrator MV ansteuert. Durch diese Ansteuerung geht das Ausgangssignal des monostabilen Multivibrators MV auf eine logische 0. Die Zeitkonstante des monostabilen Multivibrators ist typischerweise etwa 110 ms lang. Die Wirkungsweise des Multivibrators ist derart abgestimmt, daß eine logische 0 am Ausgang Q mit dem Intervall zwischen den 5 ms breiten Impulsen überlappt, so daß der Ausgang Q auf dem Niveau der logischen 0 verbleibt, wenn und solange die 5 ms breiten Impulse eingegeben werden. Diese logische 0 wird auf den Eingang 151 des NAND-Gatters K gegeben, so daß dieses am Ausgang eine logische 1 abgibt. Diese logische 1 steht auf der Leitung BYSTAT zur Verfügung und zeigt an, daß keine lokale Abschaltung im Kanal CI existiert. Damit wird an den Eingängen BYIN I der anderen Kanäle CII, CIII und CIV eine logische 1 wirksam.

Wenn eine lokale überbrückung existiert, wirkt über die Leitung LOCBYP am Eingang 153 des NAND-Gatters C eine logische 0. Der Ausgang des Gatters geht dadurch auf eine logische 1 und steuert über den Eingang 155 das NAND-Gatter D und über die Eingänge 135 das NAND-Gatter E an. Das erstere Gatter wird davon nicht beeinflußt, jedoch

WS 311 P - 2464 geht der

geht der Ausgang des NAND-Gatters E auf eine logische 0, welche auf den Eingang 137 des NAND-Gatters G wirkt» Dieses Gatter gibt ausgangsseitig eine logische 1 an den Eingang 145 des NAND-Gatters H. Damit wirkt vom Ausgang dieses Gatters aus auf den Verstärker A1 eine logische 0, der ausgangsseitig mit einer logischen 1 den Transistor Q1 in den leitenden Zustand steuert und eine Abschaltung des Unterbrechers verhindert, wie dies für eine Teilabschaltung der Fall sein soll.

In diesem Zusammenhang ist die Funktion des NAND-Gatters G von Bedeutung. Die auf den Eingang 139 des NAND-Gatters F wirksamen Signale TRIP bewirken eine logische 1 am Ausgang des Gatters und an den Eingängen 143 des NAND-Gatters G. Eine logische 0 am Eingang 137 dieses Gatters verhindert, daß diese Signale TRIP übertragen werden und eine Abschaltung auslösen. Ferner wird verhindert, daß die 5 ms breiten Impulse vom Zeitgeber T1 über das NAND-Gatter übertragen werden. Damit liegen keine Impulse am Eingang 157 des Multivibrators MV an, so daß an dessen Ausgang Q und damit am Eingang 151 des NAND-Gatters K eine logische 1 erscheint. Beim Fehlen dieser Impulse liegt am Eingang des Verstärkers A3 eine logische 0, so daß vom Ausgang aus eine logische 1 an den Eingang 152 des NAND-Gatters K übertragen wird. Dieses Gatter gibt ausgangsseitig eine logische 0 auf die Leitung BYSTAT ab und signalisiert eine lokale Überbrückung. Diese logische 0 wird über die korrespondierenden Leitungen BYIN I in die Kanäle CII, CIII und CIV eingegeben. Am Ausgang des NAND-Gatters A und damit über die Leitung BYPACK wirkt eine logische 1. Die Eingabe des überbrückungssignals über die Leitungen BYIN I in die Kanäle CII bis CIV wird dadurch bestätiat.

WS 311 P- 2464 Es wird

ö/. I

Es wird nun für die v/eitere Betrachtung angenommen, daß keine lokale Überbrückung existiert, jedoch eine Fernüberbrückung in einem der anderen Kanäle CII, CHI oder CIV existent ist. Damit liegt eine logische 0 über die Leitungen BYIN II, III oder IV an den Eingängen 121, 123 oder 125 des NAND-Gatters A an. Die ausgangsseitige logische 1 wird über die Leitung BYPACK über das Kommunikationsmodul 95 in den Rechner gegeben und bestätigt die Überbrückung. Gleichzeitig wirkt die logische 1 auf den Eingang 131 des NAND-Gatters D, jedoch hat dieses keinen Einfluß, da die anderen Eingänge 135 mit einer logischen 0 beaufschlagt sind. Die Wirkungsweise im Kanal CI, wie vorausstehend beschrieben, bleibt durch die lokale Überbrückung in einem anderen Kanal beim Fehlen einer lokalen Überbrückung im eigenen Kanal CI unbeeinflußt.

Bei der nachfolgenden Betrachtung wird davon ausgegangen, daß einelokale Überbrückung in einem der Kanäle CII, CIII oder CIV zusammen mit einer lokalen überbrückung im Kanal Cl auftritt. Unter dieser Voraussetzung liegt an den Eingängen 131 und 155 des NAND-Gatters D eine logische 1, welche ausgangsseitig als logische 0 über die Leitung MULTBY an das Kommunikationsmodul 95 des Computers weitergegeben wird, der dadurch die Information einer Mehrfachüberbrückung erhält und einen Alarm freigibt. Die logische 0 wirkt auch auf den Eingang 133 des NAND-Gatters H, das ausgangsseitig eine logische 1 an den Verstärker A1 abgibt. Die dadurch entstehende logische 0 am Ausgang des Verstärkers A1 wirkt auf die Basis des Transistors Q1 und macht diesen nicht-leitend, so daß die Unterbrecher 66 gemäß Fig. 1 geöffnet werden.

Gleichzeitig werden die Impulse vom Zeitgeber T1 blockiert und am Ausgang Q des Multivibrators MV eine logische 1

WS 311 P - 2464 wirksam. Da

wirksam. Da jedoch die logische 1 vom Ausgang des NAND-Gatters H über den Verstärker A3 als logische 0 auf den Eingang 152 des NAND-Gatters K wirkt, wird die Leitung BYSTAT mit einer logischen 1 beaufschlagt, welche auch über die Leitungen BYIN I auf die Kanäle CII, CIII und CIV wirkt. Es ist zu beachten, daß die Eingabe einer lokalen überbrückung und einer Fernüberbrückung in den Kanal CI beim Fehlen einer logischen 1 auf der Leitung BYSTAT im Kanal CI, die Eingabe von logischen 0 für Fernüberbrückungen über die Leitung BYIN I auf die anderen Kanäle CII, CIII und CIV bewirken würde. Zusätzlich dazu würde ein anderer Kanal, z. B. der Kanal CII, ebenfalls eine logische 0 für eine lokale Überbrückung entsprechend der Fernüberbrückung im Kanal CI eingeben. Dadurch würde eine Abschaltung des Unterbrechers in diesem beispielsweisen Kanal CII ausgelöst und der Reaktor abgeschaltet werden. Durch die Eingabe der logischen 1 über die Leitung BYSTAT vom Kanal CI auf die Leitung BYIN I des Kanals CII wird diese Abschaltung verhindert.

Wenn keine überbrückungen existieren, befindet sich die Anlage in der 2/4-Abschaltkonfiguration. Es sei nun angenommen, daß eine logische 0 über die Leitung LOCBYP des Kanals CI eingegeben wird und daß keine weitere überbrükkung existiert. Unter diesen Umständen wird die Eingabe des Signals TRIP für den Kanal CI, jedoch nicht für die Kanäle CII, CIII oder CIV blockiert. Abschaltsignale, welche auf zwei der letzteren drei Kanäle gegeben werden, lösen eine Abschaltung des Reaktors aus. Mit anderen Worten befindet sich die Anlage in einer 2/3-Abschaltkonfiguration. Daraus ergibt sich folgender Logikstatus:

Eine logische 0 wirkt auf der Leitung LOCBYP des Kanal CI und die Leitungen BYIN I der Kanäle CII, CIII und CIV sind ebenfalls mit einer logischen 0 beaufschlagt.

WS 311 P- 2464 Es sei

OL· I O

Es sei nun angenommen, daß eine logische 0 über die Leitung LOCBYP des Kanals CII eingegeben wird. Auf den Leitungen BYIN I und auf der Leitung LOCBYP des Kanals CII wirkt nun eine logische 0_f so daß sich eine Abschaltung des Unterbrechers im Kanal CII und eine Teilabschaltung des Reaktors ergibt. Die Leitung BYSTAT des Kanals CII gibt eine logische 1 über die Leitung BYIN II auf den Kanal CI. Damit wird der Unterbrecher im Kanal CI nicht abgeschaltet. Die Eingabe einer logischen 0 über die Leitung LOCBYP des Kanals CI blockiert weiterhin das Signal TRIP im Kanal CI. Es verbleiben die beiden Kanäle CIII und CIV, in welche beliebig ein Signal TRIP eingegeben werden kann, um den Reaktor abzuschalten. In diesem Zustand arbeitet die Anlage in einer 1/2-Konfiguration. Der Logikstatus hierfür ist: Eine logische 0 auf der Leitung LOCBYP und eine logische 1 auf der Leitung BYIN II des Kanals CI; eine logische 0 auf den Leitungen LOCBYP und BYIN I des Kanals CII; eine logische 1 auf den Leitungen BYIN II der Kanäle CIII und CIV und eine logische 0 auf

e'en Leitungen BYIN I der Kanäle CIII und CIV. Schließlich sei noch angenommen, daß eine logische 0 über die Leitung LOCBYP des Kanals CIII eingegeben wird. Mit einer logischen 0 auf der Leitung BYIN I und auf der Leitung LOCBYP des Kanals CIII wird der Unterbrecher für den Kanal CIII abgeschaltet. Mit der Abschaltung der Unterbrecher in den Kanälen CII und CIII wird auch der Reaktor abgeschaltet. Nicht abgeschaltet bleibt somit der Kanal CIV, in welchen ein Signal TRIP eingegeben werden kann. Damit ergibt sich eine 0/1-Konfiguration.

Von Interesse ist die Unterscheidung zwischen einer Teilabschaltung des Kernreaktors 11 gemäß Fig. 1 aufgrund einer lokalen Überbrückung und einer Fernuberbrückung in

WS 311 P- 2464 einem Kanal

einem Kanal und einer Abschaltung, welche von zwei im normalwidrigen Betrieb nicht überbrückten Fühlern herrührt. Um den Kernreaktor abzuschalten, ist es erforderlich, daß zwei Teilabschaltungen von Gruppen von überbrückungen gleicher Fühler herrühren. Eine Abschaltung ist nur notwendig, um den Kernreaktor gemäß Fig. 2 abzuschalten, wenn diese eine Abschaltung in der Abtastung eines normalwidrigen Betriebs bei zwei nicht-überbrückten Fühlern seinen Grund hat.

Der TEST-Eingang dient der Prüfung der Unversehrtheit der NAND-Gatter C, D, H und K des negierenden Verstärkers A1, des Transistors Q1, des Impulstransformators TR1, des Schmitt-Triggers T und des Multivibrators MV. Die Überprüfung wird mit einer simulierten überbrückung in Form einer logischen 0 auf der Leitung LOCBYP und einer logischen 1 am TEST-Eingang ausgeführt. Damit liegt am Eingang 153 des NAND-Gatters C eine logische 0. Es wird angenommen, daß keine Fernüberbrückungen existieren, so daß die Leitungen BYIN I, II und III und damit die Eingänge 121, 123 und 125 des NAND-Gatters A auf einer logischen liegen. Die logische 1 auf der TEST-Leitung ermöglicht die Übertragung der 5 ms breiten Impulse über das NAND-Gatter B, jedoch können diese Impulse nicht über das NAND-Gatter C übertragen werden, da am Eingang 153 eine logische 0 wirkt. Jedoch wirken die Impulse auf den Eingang 129 des NAND-Gatters A und bewirken, da die übrigen Eingänge ebenfalls mit einer logischen 1 beaufschlagt sind, daß die Impulse auf den Eingang 131 des NAND-Gatters D gegeben werden. Am Ausgang des NAND-Gatters C und damit am Eingang 155 des NAND-Gatters D liegt eine logische 1. Das heißt, die Impulse werden weiter übertragen über das NAND-Gatter D, das NAND-Gatter H und über den Transistor Q1 und den Transformator TR1

WS 311 P - 2464 auf den

auf den Multivibrator MV, dessen Ausgangssignal am Ausgang des NAND-Gatters K eine logische 1 auslöst. Diese logische 1 wirkt über die Leitung BYSTAT und zeigt an, daß keine wirkliche überbrückung trotz der simulierten Prüfeingabe einer logischen 0 über die Leitung LOCBYP existiert.

Wenn keine simulierte logische 0 auf der Leitung LOCBYP vorhanden ist, jedoch eine fremderregte logische 0 auf einer oder mehreren der Leitungen BYIN I, II oder III existiert, werden die Impulse über den Eingang 163 des NAND-Gatters C übertragen und deuten damit wiederum das Fehlen einer lokalen überbrückung an.

Für eine lokale, handbetätigte überbrückung wird der Schalter SW 1 auf Masse gelegt und eine logische 0 auf den Eingang 164 des NAND-Gatters C gegeben, so daß ausgangsseitig eine logische 1 erscheint. Der Transistor Q1 bleibt in derselben Weise leitend wie dies für eine logische 0 auf der Leitung LOCBYP der Fall ist. Ebenso wird die übertragung eines Signals TRIP in derselben Weise wie für eine lokale Überbrückung verhindert, indem eine logische 0 auf den Eingang 137 des NAND-Gatters G wirkt. Eine logische 0 wirkt auch auf der Leitung BYSTAT und zeigt eine uberbrückungan.

Wenn zwei Fühler einen normalwidrigen Betrieb feststellen, wird über die Leitung TRIP eine logische 0 eingegeben, welche auf den Eingang 139 des NAND-Gatters F wirkt und die übertragung der Impulse vom Zeitgeber T1 blockiert. Die logische 1 am Ausgang dieses Gatters wirkt auf die Eingänge 143 des NAND-Gatters G. Wenn zu diesem Zeitpunkt keine lokale Überbrückung vorhanden ist, liegt

WS 311 P - 2464 auch der

_ 53 ~

auch der Eingang 137 des gleichen Gatters auf einer logischen 1, so daß ausgangsseitig auf den Eingang 145 des NAND-Gatters H eine logische 0 wirkt. Die logische 1 am Ausgang dieses letzteren Gatters wird über den Verstärker A1 übertragen und steuert mit einer logischen 0 den Transistor Q1 in den nicht-leitenden Zustand, wodurch der unterbrecher abgeschaltet wird.

Über den negierenden Verstärker A3 wirkt auf den Eingang des NAND-Gatters K eine logische 0, der seinerseits ausgangsseitig auf die Leitung BYSTAT eine logische 1 gibt und damit den Ausschluß einer lokalen Überbrückung anzeigt. Für den Fall, daß eine lokale Überbrückung existiert, wirkt auf den Eingang 137 des NAND-Gatters G eine logische

0. Die Übertragung eines Signals TRIP wirkt verhindernd. Dieses Merkmal ist notwendig, um eine Abschaltung zu verhindern, wenn ein Nahfühler außer Betrieb oder defekt oder in überprüfung ist. Ein Überprüfungssignal für Prüfzweck kann auf die Leitung LOCBYP gegeben werden, um die richtige Betriebsweise des Systems zu verifizieren.

In Fig. 10 ist eine Schaltung dargestellt, mit welcher dieselbe Funktion wie mit der Halbleiterschaltung gemäß Fig. 9 ausgeführt werden kann. Die logischen Funktionen werden mit Hilfe der Relais 1R bis 5R durchgeführt, deren Erregerwicklungen zwischen einer mit 25 Volt beaufschlagten Versorgungsleitung und den Anschlüssen 214, 219, 228, 233 und 237 liegen. Um die Relais zu erregen, wird der jeweils zugeordnete Anschluß auf Masse gelegt. Die Funktionen der einzelnen Relais sind in Fig. 10 angegeben. Parallel zu den Relaisspulen liegen Dioden 1D9 bis 1D13, welche Ausgleichsspannungen und Schwingungen unterdrükken, die durch das An- und Abschalten der Wicklungen

WS 311 P - 2464 entstehen können.

entstehen können. Auf diese Weise werden eine Zerstörung der ansteuernden Transistoren und Prellerscheinungen unterdrückt. Die Wicklungen der Relais 2R und 3R sind in der Zeichnung schraffiert gekennzeichnet, was andeutet, daß sie im Ruhebetrieb erregt, d. h. die Kontakte 2R1 und 4R1 geöffnet sind. Damit liegt die Abschaltleitung 271 auf einem von Masse verschiedenen Potential und ist offen. Entsprechendes gilt auch für die Leitung 231 zur Bestätigung einer Pernüberbrückung. Die Anschlüsse 236 und 22 0 sind derart miteinander verbunden, daß der Kollektor des Transistors Q3 im Ruhezustand mit der Abschaltleitung 271 verbunden ist.

Die Abschaltleitung 271 kann auch durch eine Verbindung zwischen den Anschlüssen 204 und 206 oder 205 und 207 an Masse angeschlossen werden. Diese doppelte Verbindung dient der Redundanz zur Erhöhung der Zuverlässigkeit. Diese Verbindung wird mit Hilfe einer in Fig. 11 dargestellten Einrichtung bewirkt.

In Fig. 11 ist die Steuerung für einen Kanal dargestellt, z. B. den Kanal CI, welcher auf acht Fühler anspricht, die acht verschiedene Prozeßparameter erfassen. Die Schaltung kann alternativ zu der Schaltung gemäß Fig. 6 verwendet werden.

Typischerweise werden 18 Prozeßparameter abgetastet, so daß in dem einen Kanal zusätzliche Kontrollmaßnahmen für die anderen Fühler vorgesehen sind. Die Relais 6R bis 3R sprechen jeweils auf einen anderen Fühler an. Die Dioden D10 bis D17, welche parallel zu den Relaiswicklungen liegen, dienen der Unterdrückung von Ausgleichsspannungen und Schwingungserscheinungen. Im Ruhezustand sind die Relais 6R bis 13R erregt. Die einzelnen Rel'aiskreise

WS 311 P - 2464 sind gleichartig

sind gleichartig aufgebaut. Lediglich der dem Relais 6R zugeordnete Kreis wird nachfolgend erläutert. Die Erregung der Relaisspule erfolgt von einer Versorgungsspannung mit 25 Volt aus über den Anschluß 209, welcher auf Masse liegt und ferner über die Diode D18 und den Anschluß 210, der ebenfalls geerdet ist. Da alle Relais 6R bis 13R im Ruhezustand erregt sind, sind gleichzeitig alle Arbeitskontakte 6R1 bis 13R1 geöffnet. Die Leitung 277, welche über die Anschlüsse 206 und 2 07 an Masse liegt, ist daher von der Leitung 275 abgetrennt, welche über die Anschlüsse 204 und 205 an die Abschaltleitung 271 angeschlossen ist.

Während des Normalbetriebs, wenn keine überbrückungen oder kein normalwidriger Betrieb der Fühler festgestellt wird, liegt die Abschaltleitung 271 nicht auf Masse. Der Transistor Q2 gemäß Fig. 10 ist in einen Stromkreis eingebunden, der von der Versorgungsspannung über den Widerstand R68-3 die Dioden 1D8, 1D7, 1D6 und die Basisemitterstrecke des Transistors Q2 nach Masse führt. Ein weiterer Kreis führt von Masse über die Diode 1D5 den Widerstand R24 zur negativen Spannungsversorgung von -12 Volt. Die Spannungen in diesen Kreisen sind einander so zugeordnet, daß an der Basis des Transistors Q2 eine Spannung von 0,7 Volt liegt und ein Strom in den Kreis fließt, der sich von der Versorgungsspannung von 25 Volt über die Fernschalter 14R1 und 14R2 der Unterbrecher, die Drossel M1, den Widerstand RO, eine Abschaltwicklung UV des Unterbrechers, die Drossel M2 und die Kollektor-Emitterstrecke des Transistors Q2 nach Masse erstreckt. Die Äbschaltwicklungen UV werden erregt und der Unterbrecher geschlossen. Zwischen den Drosseln M1 und M2 sowie Masse sind Tyristoren MA1 und MA2 geschaltet. Diese Drosseln und Tyristoren unterdrücken Hochfrequenzstörungen, wie sie sich aus Spannungs-

WS 311 P- 2464 Spitzen ergeben

spitzen ergeben können.

Zur Überprüfung wird eine Folge von Impulsen zwischen den Klemmen 238 und 239 angelegt/ wobei typischerweise drei Impulse mit jeweils 0,6 ms Dauer auftritt. Diese Impulsfolge kann beispielsweise dreimal pro Sekunde angelegt werden und wirkt auf die Basisemitterstrecke des Transistors Q3. Im Normalbetrieb wird dieser Transistor im nicht-leitenden Zustand gehalten, und zwar aufgrund eines Stromes, der von Masse über die Diode 1D14, den Widerstand R337-1 zur negativen Versorgungsspannung von -12 Volt fließt. Die Impulsfolgen werden über eine Zenerdiode Z31-1 an die Basis des Transistors Q3 angelegt, welcher durch die Impulse leitend gemacht wird. Die Impulse steuern den Transistor Q3 in den leitenden Zustand.

Wenn der Transistor Q3 leitend ist, ergibt sich eine Impulsfolge durch den Stromfluß von der positiven Versorgungsspannung über den Widerstand R28-1, die Abschaltleitung 271, den Anschluß 220, den Anschluß 236, den Ruhekontakt 5R2 des Relais 5R und die Kollektor-Emitter-Strecke des Transistors Q3 nach Masse sowie die Diode 1D5 und den Widerstand R24 zur negativen Versorgungsspannung -12 Volt. Jeder einzelne Impuls macht den Transistor Q2 nicht-leitend, jedoch ist dieses Intervall so kurz, daß die Relaiswicklungen UV erregt bleiben. Die Unterbrechung der Impulsfolge tritt in dem Schaltkreis auf, der sich von der positiven Versorgungsspannung aus über den Leiter 279, die Fernschalter 14R1 und 14R2, die Drossel M1, den Widerstand R68-1, den Smpfänger 281 für die Impulsfolge, den Widerstand R68-2, die Drossel M2 und die Kollektor-Emitter-Strecke des Transistors Q2 nach Masse erstreckt. Diese Impulsfolge hat auf die Drosseln M1

WS 311 P - 2464 und M2

und M2 sowie die zugeordneten Thyristoren MA1 und MA2
keinen nennenswerten Einfluß.

Der Empfänger 281 umfaßt Dioden D100 und D101, welche von einem Widerstand R1 und einer LED11 überbrückt sind.
Während der seriellen Prüfung erzeugt die LED11 eine
Folge von Lichtimpulsen, die vom Fototransistor Q4 erfaßt werden. DieserTransistor Q4 wandelt die Lichtimpulse in entsprechende elektrische Impulsfolgen um und überträgt diese als Information an den dem Kanal zugeordneten Rechner.

Bei einer lokalen überbrückung wird das Relais 3R erregt. Damit fließt ein Strom von der positioven Versorgungsleitung über die LED10, die Diode 1D2, die Diode 1D18 zum
Anschluß 228 und von da aus nach Masse. Die Erregung der
LED10 signalisiert eine lokale überbrückung. Es fließt auch ein Strom über den Anschluß 227, mit welchem über das
Kommunikationsmodul 95 dem Computer eine lokale Überbrükkung mitgeteilt wird. Analoge Wirkungsweisen treten auf,
wenn eine manuelle überbrückung mit Hilfe des Schalters
SW2 gemacht wird.

Aufgrund der Erregung des Relais 3R öffnet der Ruhekontakt 3R1, wogegen die Arbeitskontakte 3R2 und 3R3 geschlossen
werden. Mit dem Kontakt 3R1 wird die Verbindung zwischen
dem Widerstand R68-3 und der Abschaltleitung 271 unterbrochen. Jedoch wird der Transistor Q2 mit dem Steuerstrom von der positiven Versorgungsspannung aus weiterversorgt, so daß er wie vor der überbrückung weiterhin leitend bleibt, da die Ansteuerung über den Widerstand R68-3 und die
Dioden 1D6, 1D7, 1D8 weiterhin erfolgt. Wenn keine lokale überbrückung eines gleichartigen Fühlers in einem anderen Kanal existiert, ergibt sich keine Fernüberbrückung, d. h.

WS 311 P- 2464 das Relais

das Relais 4R bleibt im erregten Zustand und der Kontakt 4R1 geöffnet. Der Transistor Q2 bleibt im leitenden Zustand und hält die Erregung der Wicklungen UV aufrecht, wodurch eine Abschaltung des Unterbrechers verhindert wird.

Zur überprüfung der Unversehrtheit des Relais 3R wird das Relais 5R erregt, was mit einem öffnen des Kontaktes 5R2 und einem Schließen des Kontaktes 5R1 verbunden ist. Mit dem Kontakt 5R2 wird der Transistor Q3 von dem Anschluß 236 und 22 0 abgetrennt, über den Kontakt 5R1 wird der Transistor Q3 weiterhin mit der Folge von Impulsen beaufschlagt, welche über den Steuerschaltkreis des Transistors Q2 wirksam sind. Wenn der Empfänger 281 für die Impulsfolge eine solche Serie von Test-Impulsen feststellt, wird damit der einwandfreie Zustand des Relais 3R verifiziert.

Wenn eine Fernüberbrückung auftritt, fällt das Relais 4R ab und der Kontakt 4R1 schließt. Damit wird der Anschluß 2 31 auf Masse gelegt und die Fernüberbrückung bestätigt. Wenn zu dieser Zeit auch eine lokale Überbrückung existiert, wird das Relais 3R erregt und die Leitung 283 geerdet, was den Transistor Q2 in den nicht-leitenden Zustand schaltet und die Abschaltung des Unterbrechers bewirkt. Wenn in einem Kanal,ζ. B. dem Kanal C1, eine lokale überbrückung vorhanden ist, löst dies den Erregungsabfall für das die Fernüberbrückung in einem der anderen Kanäle CII bis CIV kennzeichnende Relais 4R aus. Wenn nun z. B. im Kanal CII eine lokale überbrückung existiert, wird die Information dieser lokalen überbrückung in den Speicher QME1 des Abschaltrechners eingegeben und die Eingabe einer im Kanal CI angezeigte Fernüberbrückung blockiert.

WS 311 P- 2464 Für den

Für den Fall, daß das der Globalabschaltung zugeordnete Relais 2R abgeschaltet wird, schließt sich der Kontakt 2R1 und erdet den Leiter 283. Dadurch wird der Transistor Q2 nicht-leitend. Wenn eine lokale überbrückung, z. B. im Kanal CI vor einer globalen Abschaltung in einem anderen Kanal aufgetreten ist, wird das Relais 3R erregt und der Kontakt 3R1 geöffnet. Dadurch wird verhindert, daß der Transistor Q2 in den nicht-leitenden Zustand geschaltet werden kann, d. h. die Eingabe wird verhindert.

Die Prüfleitung 285 wird durch die Erregung der Relais 1R und 3R freigegeben. Dabei werden die Kontakte 1R1 und 3R3 geschlossen und der Anschluß 208 auf Masse gelegt. Dadurch können Fernuberbruckungen in andere Kanäle eingegeben werden.

Die Funktionsweise der Abschaltleitung 271 wird durch die im Ruhezustand erregten Relais 6R bis 13R gemäß Fig. 11 gesteuert. In diesem Zusammenhang braucht nur der Funktionsablauf in Verbindung mit dem Relais 6R betrachtet v/erden. Die Anschlüsse 209 und 210 liegen auf Masse. Wenn eine Teilabschaltung auftritt, z. B. wenn ein normalwidriger Parameter bei einem Fühler festgestellt wird, löst dies die Abschaltung des Anschlusses 210 von Masse aus und die Eingabe der einer Teilabschaltung zugeordnete Information in den Rechner über den Anschluß 211. Wenn im Rechner beriets die Information einer anderen Teilabschaltung für einen Fühler für denselben Parameter enthalten ist, wird ein Abschaltfreigabesignal ausgelöst und die Erdung des Anschlusses 209 aufgehoben, so daß die Erregung des Relais 6R abfällt und der Kontakt 6R1 schließt. Die Leitung 277 wird durch die Verbindung mit der Leitung 275 geerdet, wodurch die Abschaltleitung 271 geerdet und die Erregung des Transistors Q2 abgeschaltet wird. Dies löst die Abschaltung des Unterbrechers aus. Es sei bemerkt, daß die

WS 311 P- 2464 Diode 1D16

Diode 1D16 weiterhin leitend ist, da der Widerstand R68-3 einen Wert von 500 Ohm gegenüber dem Widerstand R28-1 mit einem Wert von 10 kOhm hat.

Mit Hilfe der Schalter SW3 bis SW10 kann diese Wirkungsweise für den entsprechenden Sensor übersteuert werden. Diese Schalter legen die zugeordneten Relais 6R bis 13R im geschlossenen Zustand an Masse, so daß die zugeordneten Kontakte geöffnet sind. Das Schließen irgendeines der Schalter SW3 bis SW10 wird durch die zugeordneten LED2 bis LED9 angezeigt. Auch für den Fall einer überbrückung des das Relais R6 ansteuernden Fühlers wird der Anschluß 212 geerdet, wodurch die Abschaltung über die Anschlüsse 209 und 210 übersteuert wird.

In Fig. 12 ist eine Anlage schematisch dargestellt, bei welcher zwei auf Mikroprozessoren basierende Abschaltrechnersysteme 301 und 303 miteinander verbunden sind, wobei Logikmodule 86 und überbrückungseinheiten 89 für jeden Kanal vorhanden sind.

Das Abschaltrechnersystem 301 umfaßt Sende-Empf anger stufen QMD3 und QMD4 für die Datenverbindung, welche als Multiplexer wirksam sind, um die von den Fernkanälen CII, CIII und CIV empfangenen Daten unter der Voraussetzung zu übertragen, daß die Information vom Kanal CI empfangen wurde. Das Abschaltrechnersystem 301 umfaßt ferner einen Rechner QMC2 mit seinem Speicher QME2 und einer digitalen Ausgangsstufe QDO2. Der Rechner QMC2 ist mit der digitalen Ausgangsstufe QDO2 über eine Eingangs-Ausgangsleitung 305 verbunden. Die digitale Ausgangsstufe QDO2 liefert Abschaltfreigabesignale über die Leitung 309 an die logischen Einzelmodule 86. Ferner werden über die Leitung 311 Auslösesignale an die ■ijberbrückungseinheit 89 abgegeben, wenn dies notwendig ist.

WS 311 P- 2464 Das Abschaltrechnersystein

Das Abschaltrechnersystem 3 03 umfaßt eine digitale Eingangsstufe QDI3, eine digitale Ausgangsstufe QDO3, einen Rechner QMC3 mit einem zugeordneten Speicher QME3 und Sende-Empfangsstufen QMD5 und QMD6 für die Datenverbindung. Die Sende-Empfangsstufen QMD5 und QMD6 arbeiten als Multiplexer für die an die Fernkanäle CII bis CIV zu übertragende Information. Die digitale Eingangsstufe QDI3 empfängt die Oberbrückungssignale von der überbrückungseinheit 89 über die Leitung 313, die Teilabschaltsignale über die Leitung 315 und die Überbrückungssignale von den logischen Einzelmodulen über die Leitung 317. Ferner werden die Teilabschaltsignale im Kanal CI infolge von Abschalt-Freigabesignalen empfangen, wenn diese von den Kanälen CII bis CIV empfangen v/erden. Die digitale Ausgangsstufe QDO3 gibt globale Abschaltsignale über die Leitung 319 und die Abschaltleitung 88 ab. Der Informationsfluß erfolgt in dem Mikroprozessor in beiden Richtungen, d. h. von den Kanälen CII bis CIV über die Multiplexer QMD5 und QMD6 zu der Überbrückungseinheit und von den logischen Modulen sowie die Überbrückungseinheit über die Multiplexer QMD5 und QMD6 zu den Kanälen CII bis CIV. Die Information zum und von dem Rechner QMC3 fließt über eine universelle Eingangs-Ausgangsleitung 307.

Das Abschaltrechnersystem 303 umfaßt im wesentlichen die Komponenten des Kommunikationsmoduls 95 gemäß Fig. 3, welches eliminiert wurde. Die digitale Ausgangsstufe QDO3 wurde angefügt, um eine Zweiwegkommunikation zu ermöglichen.

In Fig. 13 ist eine graphische Darstellung gezeigt, aus welcher die Ergebnisse einer parametrischen Zuverlässigkeitsstudie für die Abschalteinrichtung gemäß Fig. 12

WS 311 P - 2464 hervorgehen. Auf

hervorgehen. Auf der Abszisse sind die zeitlichen Mittelwerte in Stunden zwischen Ausfällen des einen Computers aufgetragen, wogegen auf der Ordinate die Zuverlässigkeit in Form einer Ausfallswahrscheinlichkeit aufgetragen ist. Dabei wurden sowohl wöchentliche als auch monatliche Überprüfungen erfaßt. Die Datenverbindungen und die Überbrükkungseinheit wurde kontinuierlich überprüft. Der Wirkungsgrad der Überprüfung, um Ausfälle festzustellen, lag bei 50 % für die Datenverbindung und bei 90 % für die überbrückungseinheit. Der Rechner wurde periodisch überprüft. Die obere Kurve repräsentiert für jeden Fall die Situation für eine 8-Stunden-Reparaturzeit. In der unteren Kurve wird die gleiche Situation für eine 4-Stunden-Reparaturzeit dargestellt.

Aus der Studie geht hervor, daß selbst bei einer nicht kontinuierlichen Überprüfung des Abschaltrechners die Zuverlässigkeit von 3,4 χ 10 für die Anlage erfüllt werden kann.

Leerseite

Claims

Patentansprüche

Abschaltsystem für einen Kernreaktor und operativ mit diesem verbundenen, eine Vielzahl von Prozessen ausführenden Komponenten, wobei jeder Prozeß bezüglich einem oder mehrerer Parameter überwacht wird, mit ersten mit dem Reaktor verbundenen Einrichtungen, welche in erregtem Zustand den Reaktor abschalten, und mit einer Gruppe gleichartiger Fühler zum Abtasten jedes einzelnen Parameters, dadurch gekennzeichnet,

- daß das Abschaltsystern mit jedem Fühler der Gruppe verbundene überbrückungseinrichtungen umfaßt, welche den Fühler für Prüf- oder Wartungszwecke oder bei Beschädigung bzw. Ausfall überbrücken,

- daß zweite Einrichtungen auf die Abtastung eines normalwidrigen Parameters durch einen ersten Fühler einer Gruppe ansprechen, um die ersten Einrichtungen in den Betriebszustand zur Betätigung der Abschaltung des Reaktors zu bringen,

- daß dritte Einrichtungen auf die mit dem ersten Fühler verbundenen überbrückungseinrichtungen ansprechen, um die zweiten Einrichtungen für den ersten Fühler in den Betriebszustand zur Betätigung einer Abschaltung des Reaktors zu bringen, wenn der erste Fühler nicht überbrückt ist

FS/B

und um die zweiten Einrichtungen für den ersten Fühler für eine Abschaltung unwirksam zu machen, wenn der erste Fühler überbrückt ist,

- und daß vierte Einrichtungen auf einen zweiten nicht überbrückten Fühler derselben Gruppe ansprechen, wenn der erste Fühler einen normalwidrigen Parameter abtastet, während der erste Fühler ebenfalls nicht überbrückt ist und einen normalwidrigen Parameter feststellt, um die ersten Einrichtungen zur Abschaltung des Reaktors zu betätigen.
2. Abschaltsystem nach Anspruch 1 mit einer Vielzahl von η-Kanälen zur überwachung einzelner Parameter mit jeweils einem Fühler, wobei die n-Kanäle η gleiche Nahfühler für die überwachung von jedem Parameter haben, dadurch gekennzeichnet,

- daß jeder Kanal mit den zweiten Einrichtungen ausgestattet ist, welche bei Betätigung die ersten Einrichtungen betätigen,

- daß jeder Fühler mit überbrückungseinrichtungen verbunden ist, welche im eigenen Kanal als lokale oder Nah-Überbrükkung bezeichnet werden,

- daß die überbrückungseinrichtungen fünfte Einrichtungen umfassen, mit welchen die Information einer lokalen überbrückung von Fühlern in jedem Kanal in die anderen Kanäle eingebbar ist, wobei die im jeweils anderen Kanal stattfindende überbrückung als Fernüberbrückung bezeichnet wird,

- daß die zweiten Einrichtungen des einem Fühler zugeordneten Kanals beim Feststellen eines normalwidrigen Parameters durch diesen Fühler betätigt werden,

- daß die vierten Einrichtungen auf die Betätigung der zweiten Einrichtungen einerVielzahl von m-1 Kanälen, wobei m kleiner η ist, ansprechen, um über die ersten Einrichtungen bei Betätigung der zweiten Einrichtungen des m-ten Kanals den Reaktor abzuschalten,

WS 311 P- 2 464

- daß die dritten Einrichtungen auf eine lokale Überbrükkung in einem Kanal ansprechen, um die Betätigung der zweiten Einrichtungen dieses Kanals zu verhindern,

- und daß die dritten Einrichtungen auch auf eine Nahübertragung eines Fühlers und eine Fernüberbrückung eines gleichartigen Fühlers in einem anderen Kanal ansprechen, um die zweiten Einrichtungen in diesem anderen Kanal zu betätigen.
3. Abschaltsystem nach Anspruch 2, dadurch gekennzeichnet,

- daß m für jeden Parameter konstant ist, wenn die Zahl der nicht überbrückten gleichartigen Fühler für diesen Parameter größer als m ist,

- und daß m einer Zahl r gleich der Anzahl der nicht überbrückten gleichartigen Fühler verringert um den Wert 1 ist, wenn die Anzahl der nicht überbrückten gleichartigen Fühler gleich oder kleiner m ist.
4. Abschaltsystem nach Anspruch 3, dadurch gekennzeichnet,

- daß η gleich 4 und m gleich 2 ist, wenn die Zahl der nicht überbrückten Fühler gleich 3 oder 4 ist,

- und daß r gleich 1 oder 0 ist, wenn die Zahl der nicht überbrückten Fühler gleich 2 oder 1 ist.
5. Abschaltsystem nach Anspruch 1, dadurch gekennzeichnet,

- daß das System sechste Einrichtungen für die Erzeugung eines periodischen Signals umfaßt,

- daß das System siebte Einrichtungen für die Erzeugung eines Prüfsignals umfaßt,

- daß achte Einrichtungen einerseits sowohl auf das Prüfsignal als auch auf das Fehlen einer Überbrückung des

WS 311 P - 2464

ersten Fühlers ansprechen, um über die zweiten Einrichtungen das periodische Signal zu übertragen, und andererseits auf eine Überbrückung des ersten Fühlers ansprechen, um die Übertragung des periodischen Signals zu verhindern, so daß das periodische Signal nicht in der Lage ist, die zweiten Einrichtungen in den Betriebszustand zur Betätigung der Abschaltung des Reaktors zu bringen,

- und daß neunte Einrichtungen auf das Vorhandensein oder das Fehlen des übertragenen periodischen Signals ansprechen, um eine Kennzeichnung zu erzeugen, welche zwischen einer überbrückung und einer fehlenden überbrückung unterscheidet.
6. Abschaltsystem nach einem der Ansprüche 2, 3 oder 4, dadurch gekennzeichnet,

- daß das System in jedem Kanal zehnte Einrichtungen umfaßt, welche nach Freigabe ein periodisches Signal durch die zweiten Einrichtungen des jeweiligen Kanals übertragen, wobei das periodische Signal nicht in der Lage ist, die zweiten Einrichtungen in den Betriebszustand für die Abschaltung des Reaktors zu bringen,

- und daß elfte Einrichtungen auf die Übertragung bzw. die NichtÜbertragung des periodischen Signals über die zweiten Einrichtungen ansprechen und eine Kennzeichnung erzeugen, welche zwischen einer überbrückung und einer Nichtüberbrückung des Nahfühlers dieses Kanals unterscheidet.
7. Abschaltsystem nach Anspruch 6,
dadurch gekennzeichnet, daß elfte Einrichtungen auf die Übertragung des periodischen Signals über die zweiten Einrichtungen für die Kennzeichnung des Fehlens einer überbrückung des Nahfühlers in diesem Kanal ansprechen,

WS 311 P - 2 464

- und daß elfte Einrichtungen, welche zwölfte Einrichtungen umfassen, auf die überbrückung des Nahfühlers ansprechen, um die Freigabe der zehnten Einrichtungen und die Übertragung des periodischen Signals über diesen Kanal zu verhindern, um dadurch die Überbrückung des Nahfühlers zu kenn ζ e i chnen.
8. Abschaltsystem nach den Ansprüchen 2, 3, 4, 6 oder 7, wobei jedem Kanal eine Vielzahl von Relais mit mindestens einem Relaiskontakt zugeordnet sind und jedes Relais mit einem Fühler von jedem Kanal verbunden ist-, mit einer Abschaltleitung und einer Fühlerstatusleitung sowie dreizehnten Einrichtungen, welche die Kontakte der Relais parallel zu der Abschaltleitung und der Fühlerstatusleitung schalten,

dadurch gekennzeichnet,

- daß die Relais offene Kontakte haben und die beiden Leitungen beim Fehlen eines normalwidrigen Parameters nicht verbinden,

- daß die zweiten Einrichtungen auf die Abtastung eines normalwidrigen Parameters durch zumindest einen Sensor ansprechen, um das mit dem Sensor verbundene Relais zu erregen und die Kontakte zu schließen,

- und daß der Reaktor in Abhängigkeit von der Verbindung der Abtastleitung mit der Fühlerstatusleitung abgeschaltet wird.
9. Abschaltsystem nach Anspruch 8, dadurch gekennzeichnet,

- daß die Betätigung eines jeden Relais von vierzehnten Einrichtungen gesteuert wird, welche zwei Anschlüsse und fünfzehnte Einrichtungen umfassen, um im Ruhezustand eine erste Spannung an jeden der Anschlüsse anzulegen, so daß die Relais im nicht erregten Zustand gehalten werden,

WS 311 P - 2464

- daß die zweiten Einrichtungen die Abtastung eines normalwidrigen Parameters durch den mit dem Relais verbundenen Fühler feststellen, um auf einen der Anschlüsse eine zweite Spannung zu geben, welche das Relais erregt,

- und daß die zweiten Einrichtungen ebenfalls auf einen normalwidrigen Parameter durch einen gleichartigen Fühler ansprechen, um eine dritte Spannung zur Erregung des Relais an den anderen Anschluß anzulegen.
10. Abschaltsystem nach Anspruch 9, dadurch gekennzeichnet,

- daß das Relais an einen Abschaltrechner angeschlossen ist,

- daß das System sechzehnte mit dem Rechner verbundene Einrichtungen umfaßt, um auf den Rechner die Information zu geben, daß die zweite Spannung auf den einen Anschluß gegeben wurde,

- und daß siebzehnte Einrichtungen mit dem Rechner und dem anderen Anschluß verbunden sind, welche auf die im Rechner gespeicherte Information, daß ein normalwidriger Parameter von einem anderen Fühler derselben mit dem Relais verbundenen Gruppe abgetastet wurde, anspricht, um die dritte Spannung an den anderen Anschluß anzulegen.
11. Abschaltsystem nach einem der Ansprüche 8, 9 oder 10, dadurch gekennzeichnet,

- daß das System mit jedem Relais verbundene überbrückungsschalter umfaßt, um das jeweilige Relais im nicht erregten Zustand halten zu können, unabhängig von der Abtastung eines normalwidrigen Parameters durch den mit dem Relais verbundenen Fühler.

WS 311 P - 2464