DE3587281T2 - Verteiltes mikroprozessorsystem fuer die verarbeitung von sensorsignalen eines verwickelten prozesses. - Google Patents

Description

• Die Erfindung betrifft ganz allgemein ein Gerät zum Verarbeiten von Signalen, die von Sensoren zur Überwachung ausgewählter Parameter in einem komplexen System wie z. B. einem Kernreaktor generiert werden, gemäß dem Oberbegriff des Anspruchs 1.
• In einem komplexen Prozeß, wie z. B. in einem Kernkraftwerk, sind zahlreiche Sensoren vorgesehen, die verschiedene physikalische Zustände im Prozeß messen, wie z. B. Drücke, Temperaturen, Flüsse, Niveaus, Strahlung, sowie den Zustand verschiedener Bauteile überwachen wie z. B. die Stellung von Ventilen und ob eine Pumpe arbeitet oder nicht. Diese Messungen werden im allgemeinen dazu benutzt, drei unterschiedliche Funktionen auszuführen: Prozeßsteuerung, Überwachung und Schutz. "Prozeßsteuerung" beinhaltet automatische oder halbautomatische Regelung der Prozeßzustände, um das gewünschte Resultat zu erzielen. "Überwachung" umfaßt die Überwachung von Prozeßzuständen zwecks Feststellung, ob die erwünschten Ergebnisse erreicht werden. "Schutz" betrifft die automatische Reaktion auf anomale Zustände im Prozeß, damit verhindert wird, daß die Betriebsbedingungen bestimmte, konstruktiv vorgegebene Grenzen überschreiten und um Schritte einzuleiten, widrige Auswirkungen von Betriebszuständen außerhalb dieser konstruktiven Grenzen abzuschwächen. Insbesondere im Falle eines Kernkraftwerks ist die Schutzfunktion die bedeutsamste dieser drei Funktionen. Um die Zuverlässigkeit der Schutzsysteme zu sichern, sind redundante Sätze kritischer Sensoren vorgesehen. Zwecks Verbesserung der Betriebsbereitschaft des Werks ist das wechselseitige Verhältnis zwischen den von diesen redundanten Sensoren gelieferten Signalen eine Voraussetzung des Einsetzens von Abhilfemaßnahmen, um auf diese Weise die Wahrscheinlichkeit einer fälschlichen Unterbrechung des normalen Betriebs zu reduzieren. Zum Beispiel sind typisch vier redundante Sätze Sensoren vorgesehen und die Anzeige von mindestens zwei dieser vier Sensoren ist erforderlich, um das Not- oder Sicherheitssystem anfahren zu lassen.
• Einige kritische Prozeßzustände lassen sich direkt messen, wie z. B. der Druck des Druckerzeugers im Falle eines Druckwasserreaktors (PWR) . Andere werden aus gemessenen Parametern berechnet, wie das Abweichen vom Kernbrennstoff-Siedeverhältnis (DNBR) im PWR. In beiden Fällen wird der Istzustand mit einem vorgewählten Grenzwert verglichen, und wenn dieser Grenzwert überschritten wird, wird ein digitales Signal erzeugt. Diese digitalen Signale werden als Schutzsystem- Anfahrsignale bezeichnet und schließen Abschaltsignale ein, die zum Anfahren eines Systems benutzt werden, das den Reaktor in "Schnellabschaltung" abschaltet, und Anfahrsignale für technische Sicherheits-Einrichtungen, die benutzt werden, um andere Notsysteme im Werk anlaufen zu lassen, wie dem Fachmann wohl bekannt ist. Weil mehr als ein solches Abschaltsignal benötigt wird, um die Reaktion anlaufen zu lassen, werden sie als "Teil-Abschaltsignale" oder "Teil- Sicherheitsvorrichtungs-Anfahrsignale" bezeichnet.
• In einem typischen System auf dem Stand der Technik sind die Sensorsignale zur Verarbeitung in Kanalsätzen in Gruppen zusammengefaßt, wobei jeder Kanalsatz jeweils ein Sensorsignal aus jedem Satz redundanter Sensorsignale enthält, obwohl in Fällen, in denen ein besonders aufwendiger Sensor zum Generieren eines Signals erforderlich ist, dieses Signal nicht in jedem Kanalsatz eingeschlossen zu sein braucht. Wie bereits erwähnt, werden im allgemeinen vier redundante Sensoren für die meisten Parameter vorgesehen, die somit in vier Kanalsätzen zur Verarbeitung gruppiert werden können. In Systemen auf dem Stand der Technik beinhaltet jeder Kanalsatz eine Anzahl analoger Schaltungen, deren jede das angelegte Sensorsignal (Signale) in den geeigneten Bereich umwandelt, die gewünschten Parameter ggf. aus den Meßwerten berechnet, die sich ergebenden Signale mit einem ausgewählten Grenzwert vergleicht und ein Schutzsystem-Anfahrsignal generiert, sobald der Grenzwert überschritten wird. Typisch sind die Eingänge zu den analogen Schaltungen mit einem Überspannungsschutz versehen, galvanisch getrennt, und weisen eine Pufferstufe auf. Die Ausgänge der analogen Schaltungen sind bistabile Kippstufen, was eine ausfallssichere Anzeige eines Teil-Abschaltsignals bzw. Teil-Anfahrsignals für technische Sicherheitsvorrichtungen vorsieht dadurch, daß es unter Normalzuständen aktiv bleibt und inaktiv wird, sobald der entsprechende Grenzwert überschritten wird.
• Im typischen Schutzsystem auf dem Stand der Technik werden die vier Teil-Abschaltsignale und Teil-Anfahrsignale für die technischen Schutzsysteme aus jedem Kanalsatz auf zwei redundante logische Schaltungen gelegt, die jeweils die gewählte Abstimm-Logik, wie z. B. zwei von vier, wie bereits oben erwähnt, auf die Teil-Anfahrsignale für die technischen Schutzeinrichtungen durchführen. Wenn zwei der vier entsprechenden Schutzsystem-Teil-Anfahrsignale in einer beliebigen der zwei logischen Schaltungen inaktiv sind, werden die geeigneten Not- und Sicherheitssteuersysteme aktiviert.
• Ein Beispiel für ein Schutzsystem auf dem Stand der Technik wird in dem für die Allgemeinheit freien US-Patent 3,888,772 gezeigt. Dieses System schließt ein halbautomatisches Prüfgerät für die Abstimmungslogik ein, welches im für die Allgemeinheit freien US-Patent 3,892,954 beschrieben wird. Zum Testen der Abstimmungslogik werden die Teil-Anfahrsignale für die Schutzsysteme aus der Abstimmungslogik für alle Anfahrfunktionen in einem Logikzug herausgenommen und dann stellt ein Bediener von Hand einen Wahlschalter, so daß die vorprogrammierten Testsignale schnell und automatisch an ein Logikmodul in dem zu testenden Zug gelegt werden. Nach Abschluß des Tests legt der Bediener den Wahlschalter auf das nächste Logikmodul. Die Dauer der Testsignale ist so kurz, daß die Betätigungssysteme keine Zeit haben, auf die Anfahrsignale zu reagieren, die vom Prüfgerät generiert und überwacht werden; jedoch als Extravorsichtsmaßnahme, und um die Fähigkeit zum manuellen Generieren von Testsignalen vorzusehen, können Bypass-Abschalter vorgesehen werden, um unerwünschtes Anlaufen der Not- und Sicherheitsaktionen zu vermeiden.
• Eine neuere Form eines integrierten Schutzsystems für ein Kernkraftwerk wird in US-Patent 4,434,132 (UK-Patent 2,096.809) unter dem Titel "Power Supply with Nuclear Reactor" [Kraftversorgung mit einem Kernreaktor] beschrieben. In diesem System werden die redundanten Teil-Anfahrsignale, die von Analogschaltungen generiert werden, an vier getrennte Logikzüge gelegt, die jeweils die Abstimmungslogik durchführen. Die Abstimmungslogik in jedem Logikzug bzw. Kanalsatz wird teilweise von einem Mikrocomputer durchgeführt, der Informationen über Teil-Anfahren mit einem Mikrocomputer in jedem der anderen Kanalsätze über Lichtwellenleiter-Datenleitungen austauscht. Wenn einer der Sensoren nicht betriebsbereit ist, kann sein Logikmodul im zugeordneten Kanalsatz einzeln umgangen werden, und die Abstimmungslogik in den anderen Kanalsätzen wird nur für diese Anfahrfunktion durch den zugeordneten Mikrocomputer auf "zwei von drei" geändert. Jeder dieser Kanalsätze enthält ferner einen zweiten Mikroprozessor, der den Status der anderen Kanalsätze überwacht und die Umgehung des gesamten Kanalsatzes während des Testens der einzelnen Anfahrfunktionen einleitet.
• Alle diese Systeme auf dem Stand der Technik verwenden Analogschaltungen zum Generieren der Teil-Abschalt- und Teil- Anfahrsignale für technische Sicherheitsvorrichtungen mit allen einschlägigen Nachteilen solcher Schaltungen, einschließlich Größe, Kosten, Energieverbrauch, Wärmeerzeugung, Stabilität, beschränkte Lebensdauer und mangelnde Flexibilität.
• Eine Verbesserung in dieser Hinsicht bedeutet die in EP-A-33 785 geoffenbarte Erfindung durch Steuerung eines Prozesses durch digitale Prozessoren. Zu diesem Zweck wird eine Vielzahl Sensoren durch eine Vielzahl von Prozessoren gesteuert, die weiter durch zusätzliche Sicherheitssysteme gesteuert werden. Um das System sicher zu machen, wird die Anzahl der erforderlichen Sensoren sowie auch die Anzahl der Prozessoren vervielfacht, um redundante Informationen zu gewinnen. Die gewünschte Redundanz soll gegen Fehler und Funktionsausfälle schützen. Das bedeutet eine weitgehende Vermehrung der Hardware und erhöht somit Kosten und Effektivität des bekannten Systems.
• Aufgabe der Erfindung ist es, ein Signalverarbeitungssystem mit erhöhtem Sicherheitsstandard und mit einer eingeschränkten Anzahl Hardwarebestandteile zu entwickeln. Diese Aufgabe wird gelöst durch ein Gerät gemäß Anspruch 1. Weitere vorteilhafte Verbesserungen sind in den nachgeordneten Ansprüchen angegeben.
• Die vorliegende Erfindung überwindet die Nachteile des Standes der Technik durch Ersetzen der Analogschaltungen durch eine Mehrzahl von unabhängigen, digitalen Signalprozessoren zum Generieren der Signale zum Abschalten und zum Anfahren der technischen Sicherheitseinrichtungen in jedem Kanalsatz. Wenigstens einige der digitalen Signalprozessoren in jedem Kanalsatz generieren mehr als ein Schutzsystem- Anfahrsignal; jedoch sind die Anfahrfunktionen aufgeteilt auf Prozessoren in einem Kanalsatz, so daß die zusammengehörigen Anfahrfunktionen auf verschiedene Prozessoren aufgeteilt werden. Genauer gesagt, einige der Anfahrfunktionen sind Primäranzeigen eines bestimmten Ereignisses im komplexen Prozeß und andere sind Sekundäranzeigen. Die Primäranzeigen sehen eine schnelle Antwort auf einen besonderen anomalen Zustand vor, während die sekundären Anzeigen, die auch die erforderlichen Maßnahmen einleiten, langsamer ansprechen können. Zum Beispiel ist im Falle einer Unterbrechung des Primärkühlsystems eines PWR der plötzlich ansteigende Druck ein primäres Anzeichen dieser Notsituation, die sofortiger Abhilfemaßnahmen bedarf. Die Reaktorkühlmitteltemperatur ist ein sekundäres Anzeichen dieses Ereignisses, würde aber nicht so schnell eintreten. Erfindungsgemäß werden das Teil- Abschaltsignal auf der Grundlage des Druckerzeuger-Drucks und der Reaktorkühlmitteltemperatur gesondert in unabhängigen Signalprozessoren generiert, so daß bei Ausfall eines Signalprozessors noch immer der anderen vorhanden ist, der dann den Reaktorsabschaltvorgang einleitet. Jedes dieser Abschaltsignale liegt an einer gesonderten Ausgangsleitung mit ihrer eigenen Schutzisolierung, so daß sich Fehler nicht von einem Teil des Systems auf einen anderen übertragen können.
• Jeder der digitalen Signalprozessoren führt zyklisch jede der zugeordneten Abschalt- und Anfahrfunktionen für die technischen Sicherheitseinrichtungen unter Verwendung der angelegten Sensorsignale durch. Um den Betrieb jedes einzelnen Prozessors kontinuierlich zu überprüfen, generiert eine Test/ Bypass-Einheit in jedem Kanalsatz entsprechend ein Sägezahnsignal, das als ein zusätzlicher Sensoreingang an jeden Signalprozessor im Kanalsatz gelegt wird. Die Signalprozessoren zusammen generieren ein Testeinleitungssignal, sobald das Sägezahnsignal einen vorgegebenen Wert erreicht. Der Ausfall eines Prozessors beim Generieren des Testeinleitungssignals als Antwort auf das Sägezahnsignal generiert ein Alarmsignal. Auch die Test/Bypass-Einheit prüft auf Befehl automatisch jede der Betriebsabschalt- und Anfahrfunktionen für die technischen Sicherheitsvorrichtungen im Kanalsatz. Das wird erreicht durch Ersetzen der Sensorsignale durch die Testsignale, die zum Generieren des Abschaltsignals bzw. des Anfahrsignals für die technischen Sicherheitsvorrichtungen ausgewählt sind. Die Funktion wird während dieser Art Prüfung umgangen durch kontinuierliches Generieren eines normalen Ausgangssignals auf der zugeordneten Ausgangsleitung, während das Abschaltsignal bzw. Anfahrsignal für die technischen Sicherheitsvorrichtungen an die Test/Bypass- Einheit zwecks Bestätigung der Funktionsbetriebsbereitschaft angelegt wird. Der Test wird sehr schnell durchgeführt und die restlichen Anfahrfunktionen im Kanalsatz bleiben während des Tests on-line. Nach Abschluß des Tests wird das Testsignal auf einen extremen Wert hochgefahren, um nachzuprüfen, ob es wirklich abgeschaltet wurde.
• Als weiterer Aspekt der Erfindung werden die gemessenen oder berechneten Prozeßparametersignale, die von den digitalen Signalprozessoren beim Generieren der Schutzsystemaktivierungssignale generiert wurden, als analoge Signale zur Anwendung in den Reaktorsteuer- und/oder -überwachungssystemen und vom Anlagenrechner ausgegeben. Um die Notwendigkeit für individuelle Entkopplungsschaltkreise in den Ausgangsleitungen für jedes dieser analogen Signale auszuschließen, werden die analogen Signale in jedem Kanalsatz seriell über ein Datenverbindungssystem auf eine gemeinsame Ausgabevorrichtung über einen einzigen Entkopplungsschaltkreis gegeben. Die Schaltungsfolge dieser Datenübertragung wird gesteuert durch einen gemeinsamen Digitalsignal- Kommunikationsprozessor. In praktischer Sicht können die Digitalsignal-Prozessoren in jedem Kanalsatz in Gruppen unterteilt werden mit jeweils ihrem eigenen Digitalsignal- Kommunikationsprozessor zum Übertragen der Parametersignale über eine Datenleitung und einen gemeinsamen Entkopplungsschaltkreis auf der einen, gemeinsamen Parametersignal- Ausgabevorrichtung.
• Ein genaueres Verständnis der Erfindung kann durch die nachstehende Beschreibung einer bevorzugten Ausführungsform gewonnen werden, die anhand der bei liegenden Zeichnungen als Beispiel gegeben wird; in diesen sind:
• Fig. 1 ein Blockschaltbild eines Schutzsystems für einen Druckwasserreaktor eines Kernkraftwerks, bei dem die vorliegende Erfindung eingebaut ist;
• Fig. 2 ist ein Blockschaltbild eines Kanalsatzes des Schutzsystems gemäß Fig. 1; Fig. 3 ist ein Blockschaltbild der Einzelheiten eines Regelkreiskäfigs, der ein Teil des Kanalsatzes gemäß Fig. 2 ist; und Fig. 4 ist ein schematisches Diagramm einer der Eingabe/Ausgabe-Leiterplatten, die im Regelkreiskäfig gemäß Fig. 3 zu finden sind.
• Die Erfindung ist anwendbar auf Signalverarbeitung einer breiten Palette komplexer Prozesse, bei denen Signale aus einer großen Zahl Sensoren, die ausgewählte Prozeßparameter messen, verarbeitet werden; sie wird hier beschrieben als anwendbar auf einen Druckwasserreaktor (PWR) eines Kernkraftwerks. Wie in Fig. 1 gezeigt wird, überwachen eine redundante Gruppe Sensoren, z. B. vier, die allgemein mit den Bezugsziffern 1, 3, 5 und 7 bezeichnet sind, ausgewählte Parameter, wie beispielsweise u. a. Temperaturen, Drücke, Flüsse, Flüssigkeitshöhen, Strahlungshöhen, den Status von Pumpen und Ventilen usw. im ganzen Kraftwerk in einer fachlich bekannten Art. Wie bereits erwähnt, wird nicht jede Sensorgruppe immer Sensoren einschließen, die alle diese Parameter überwachen, insbesondere dann, wenn diese Sensoren besonders aufwendig sind, aber auch in solchen Fällen sind elektrisch vereinzelte Signale von diesen Sensoren üblicherweise zur redundanten Verarbeitung vorgesehen. Jede Sensorgruppe 1, 3, 5 und 7 generiert Signale, die von zugeordneten Signalprozessoren 9, 11, 13 und 15 verarbeitet werden. Die Sensoren und die zugeordneten Signalprozessoren bilden Kanalsätze, die im Beispiel von 1 bis 4 durchnumeriert sind.
• Die Verarbeitung der Sensorsignale durch die zugeordneten Signalprozessoren 9, 11, 13 und 15 der einzelnen Kanalsätze beinhaltet den Vergleich der Signalwerte mit einem ausgewählten Grenzwert. Wenn dieser Grenzwert überschritten wird, wird ein Signal zum Teil-Anfahren eines Schutzsystems generiert. Das durch die einzelnen Kanalsätze generierte Teil-Anfahrsignal für das Schutzsystem wird jeweils an zwei identische Logikzüge 17 und 19 gelegt, die auf der Grundlage einer ausgewählten Abstimmungslogik einzeln Teil-Anfahrsignale für das Schutzsystem generieren. Zum Beispiel, wenn eine "zwei von vier" Abstimmungslogik gewählt wurde, müssen zwei der entsprechenden vier Teil-Anfahrsignale vorliegen, um das Anfahrsignal zu generieren. Diese Schutzsystem-Anfahrsignale beinhalten Abschaltsignale, die die Schaltschütze öffnen, die im Betrieb Strom auf die unter Spannung stehenden Spulen am Reaktorstab-Steuersystem geben, um den Reaktor abzuschalten, und Anfahrsignale für technische Sicherheitsvorrichtungen, die die betreffenden Sicherheitsmaßnahmen wie Aktivierung des Not-Bor-Einspritzsystems durch Einschalten des Containment-Sprühens usw. einleiten, je nachdem, wie nach dem Zustand der Anlage erforderlich. Die Abstimmungslogik, das Abschalten des Reaktors und der Betrieb der technischen Sicherheitsvorrichtungen sind dem Fachmann wohlbekannt.
• Die Signalprozessoren 9, 11, 13 und 15 generieren ferner eine Anzahl redundanter, analoger Signale, die dem on-line Wert der gewählten Prozeßparameter entsprechen. Diese analogen Signale können vom Reaktorsteuersystem zum Regeln des Anlagenbetriebs, vom Überwachungssystem zum Verfolgen des Anlagenbetriebs und ggf. durch ein Überwachungssystem nach dem Zwischenfall zur Unterrichtung des Überwachungspersonals über den Zustand der Anlage und über die Auswirkungen der Abhilfemaßnahmen nach einem Zwischenfall benutzt werden. Ein ausgewählter Satz analoger Signale kann für einen oder mehrere dieser Zwecke eingesetzt werden, oder die vier Signalsätze können weiter verarbeitet werden, um einen Durchschnittswert oder einen höchsten Zuverlässigkeitswert zu erzeugen unter Anwendung von Techniken, die unabhängig von der vorliegenden Erfindung sind.
• Fig. 2 zeigt die Organisation des Signalprozessors 9 in Kanal 1 und ist beispielhaft für die Signalprozessoren in den anderen Kanälen. Dieser Signalprozessor beinhaltet einen Regelkreiskäfig 21, der seinerseits eine Anzahl Mikrocomputer umfaßt, wie nachstehend noch im einzelnen besprochen wird.
• Signale von den zahlreichen Sensoren 1 des Kanals 1 werden den Mikrocomputern im Regelkreiskäfig 21 zugeführt, um eine Anzahl digitaler Teil-Anfahrsignale für das Schutzsystem zu generieren, die einzeln über die Leitungen 23 den logischen Zügen 17 und 19 zugeführt werden. In jeder Leitung 23 ist eine Entkopplungsvorrichtung 25, die eine geschützte Entkopplung vom Grad Klasse 1 E (US-Standard) für das zugehörige Signal bewirkt. Eine Test/Bypass- und Datenerfassungseinheit 27 testet die Mikrocomputer und sonstigen Bestandteile des Regelkreiskäfigs 21 und erfaßt und speichert die von den Mikrocomputern generierten analogen Parametersignale zur seriellen Ausgabe über eine Datenleitung 29 durch eine gemeinsame Entkopplungsvorrichtung 31 Klasse 1E an ein Überwachungsausgangssystem 33. Bestimmte analoge Signale werden auch über eine Datenleitung 35 durch eine gemeinsame Entkopplungsvorrichtung 37 Klasse 1E an einen Reaktorsteuersystemausgang 39 gegeben. Ggf. liefert die Datenleitung 35 die Daten auch an ein nach dem Zwischenfall-Überwachungssystem (PAM) 41 durch eine einzelne Entkopplungsvorrichtung 43 Klasse E1.
• Ein zweiter Regelkreiskäfig 45 kann vorgesehen werden, in dem zusätzliche Mikrocomputer alle Sensorsignale 1 verarbeiten müssen. Jedes dieser zusätzlichen digitalen Teil-Anfahrsignale für Schutzsysteme, die von diesen zusätzlichen Mikroprozessoren generiert werden, wird über eine Leitung 23 mit ihrer eigenen Schutzgrad-Entkopplung 25 den logischen Zügen 17 und 19 zugeführt. Auf ähnliche Weise werden die im zweiten Regelkreiskäfig generierten Analogsignale dem Reaktorsteuersystem 39 und dem PAM-System 41 durch die Entkopplungsvorrichtungen 47 bzw. 49 über die Datenleitung 51 zugeführt.
• Die Anordnung der Mikrocomputer im Regelkreiskäfig 21 ist in Fig. 3 dargestellt. Jeder Mikrocomputer 53 beinhaltet einen Prozessor 55, eine Analog/Digital-Eingabevorrichtung 57, eine digitale Ausgangsschnittstelle 59, und einen Speicher 61. Ein geeigneter Mikrocomputer ist der Intel SBC 88/40 mit einem mathematischen Coprozessor Intel SBC 337. Diese Kombination bietet ein vollständiges Computersystem auf einer einzigen 6,75 · 12 Zoll [17,15 · 30,5 cm] Leiterplatte mit gedruckten Schaltkreis. Die Leiterplatte hat eine iAPX 88/2 Mikroprozessor/Coprozessor-Kombination, 16 differentielle Analogeingänge, drei Zeitglieder, 24 Leitungen mit parallelen E/A, E²PROM Unterstützung und einen ein Kilobyte Zweiweg-RAM.
• Zugeordnet zu jedem Mikrocomputer 53 sind eine Anzahl Eingabe/Ausgabe-Leiterplatten 63 auf die die Signale von den Sensoren 1 gelegt werden und von denen die Ausgangsleitungen 23 mit ihren Schutzgrad-Entkopplungsvorrichtungen 25 ausgehen. Jede Eingabe/Ausgabe-Leiterplatte 63 ist über einen Bus 65 an der Test/Bypass-Datenerfassungseinheit 27 angeschlossen. Signale auf dem Bus 65 steuern die Übertragung der Sensorsignale und Testsignale auf die A/D-Wandler-Schnittstelle 57 des Mikrocomputers und die Anwendung des digitalen Schutzsystem-Anfahrsignals von der digitalen Ausgangsschnittstelle 59 zur Ausgangsleitung 23. Wie man noch sehen wird, überträgt der Bus 65 auch die digitalen Testantwortsignale zum Prüfgerät 27.
• Die Signale, die für die analogen Parameter repräsentativ sind und vom Mikrocomputer 53 generiert wurden, werden in den Speichern 61 gespeichert. Ein gemeinsamer Kommunikationsprozessor 67 steuert die sequentielle Übertragung der gespeicherten Signale über die Datenleitung 35 zum Reaktorsteuersystem und zum Nach-Zwischenfall-Überwachungssystem. Die analogen Signale werden auch an die Test/Bypass-Datenerfassungseinheit gegeben zur Ausgabe an das Überwachungssystem und zur Überprüfung während des Tests.
• Fig. 4 zeigt Einzelheiten einer Eingabe/Ausgabe-Leiterplatte 63 für die Mikrocomputer 53. Jede Leiterplatte 63 beinhaltet analoge Eingangsschaltungen, die ein paar differentielle Eingangsanschlüsse 69 aufweisen. Eine Regelkreisstromversorgung 61 steht zur Verfügung für Sensoren 1 vom Stromübertragungstyp wie gezeigt, ist jedoch nicht nötig für Spannungstyp-Sensorsignale. Jede Leiterplatte hat zwei solcher Analogeingangsschaltungen, obwohl in Fällen, in denen die Sensoren Widerstandstemperaturfühler (RTD) sind, beide Eingänge benötigt werden, um die Ausgänge eines einzigen RTD zu treiben und zu überwachen. Das analoge Sensorsignal läuft durch eine Überspannungsschutzschaltung 73, die die anderen Bauteile der Eingabe/Ausgabe-Leiterplatte 63 und den zugehörigen Mikrocomputer gegen große dynamische Abweichungen im Feldsignal schützt, und wird auf im Ruhezustand geschlossene Kontakte eines Testrelais 75 gelegt. Wenn das Testrelais 75 stromlos ist, wird das Analogsignal auf einen Puffer 77 gelegt, der den Sensor gegen die Reaktion der nachgeschalteten Komponenten schützt und das differentielle Signal in ein einseitiges Signal umwandelt. Dieses einseitige Analogsignal wird dann durch einen Tiefpaßfilter 79 mit Potenzfiltermerkmalen, der das Rauschen unterdrückt, geschickt bevor es auf einen Multiplexer 81 gelegt wird. Unter normalen Betriebsbedingungen liefert der Multiplexer 81 das Analogsignal durch eine elektrische Entkopplungsschaltung 83 an den Analog/Digital-Wandler 57 als Eingang zum Mikrocomputer 53.
• Die Eingabe/Ausgabeleiterplatte beinhaltet auch ein Steuergerät 85, das Anweisungen erhält von - und Meldungen sendet an - die Test/Bypass-Datenerfassungseinheit 27 über den Bus 65, der einen vollen seriellen Duplex-Kommunikationsbus 87 und einen Echtzeit-digitalen Antwortbus 89 enthält. Als Antwort auf ein Signal vom Prüfgerät 27 zum Testen einer bestimmten Schutzsystem-Anfahrfunktion schaltet das Steuergerät 85 das Testrelais 75, das mit dem bestimmten analogen Eingangssignal verbunden ist, durch Senden eines Steuersignals über einen Leiter 91 ein. Das Testen einer bestimmten Schutzfunktion kann das Einschalten des Testrelais 75, das mit dem einzigen Analogeingang verbunden ist, oder kann auch das Einschalten beider Testrelais auf der Leiterplatte beinhalten, wenn die angewählte Funktion von beiden analogen Eingängen abhängig ist. Schutzfunktionen, die von mehr als zwei analogen Eingängen abhängen, setzen voraus, daß Steuergeräte auf anderen Leiterplatten gleichzeitig die entsprechenden Testrelais einschalten. Die Testrelais lassen sich jedoch nicht einschalten in Abwesenheit eines "+15-Volt-Relais"-Signals, das nämlich ein Testeinschaltsignal ist. Dieses "+15V Relais" Signal, das den Strom zum Betrieb der Testrelais liefert, wird durch Schließen eines (nicht dargestellten) Handschalters geliefert. Dieser Schalter, der gleichzeitig alle Testrelais auf allen Eingabe/Ausgabeleiterplatten in einem gegebenen Kanalsatz einschaltet, liefert die Verfahrenssteuerung über das Testverfahren und ermöglicht es einem Bediener, sicherzustellen, daß immer nur ein einziger Kanalsatz gleichzeitig getestet werden kann.
• Das Einschalten des Testrelais 75 durch ein Signal vom Steuergerät 85 über die Leitung 91 Schaltet das Feldanalogsignal vom Puffer 77 ab und substituiert ein Differentialanalog-Bezugssignal, das auf den Leitungen 93 gegeben wird. Das Bezugssignal auf Leitung 93 wird mit einer Brückeneinheit 95 unter 16 analogen Bezugssignalen gewählt, die von der Test/Bypass-Datenerfassungseinheit 27 auf einem Kabel 97 geliefert werden, das Teil des Busses 65 ist und prioritätsverkettet zwischen allen Eingabe/Ausgabe-Leiterplatten 63 in Kanalsatz ist. Die 16 Analogsignalleitungen bieten die Fähigkeit, Schutzfunktionen zu testen, die von multiplen Analogeingangssignalen abhängen.
• Der Multiplexer 81 gibt dem Mikrocomputer 53 die Möglichkeit, automatisch und wiederholt die Entkopplungsschaltung 83 und den Analog/Digital-Wandler 75 zu kalibrieren. Zyklisch während des Betriebs generiert der Mikrocomputer ein CAL Signal auf Leiter 99, das das gefilterte Analogsignal von der Kopplungsschaltung 83 abschaltet und durch ein Kalibrierungs- Bezugssignal ersetzt. Wenn ein Hi/LO Signal, das vom Mikrocomputer auf einem Leiter 101 generiert wird, aktiv ist wird an der Entkopplungsschaltung ein Kalibrierbezugssignal Vref, das vorzugsweise einen Wert am oberen Ende des Bereichs des Analog/Digital-Wandlers 57 hat, an die Entkopplungsschaltung 38 gelegt. Wenn dieses Hi/LO Signal inaktiv ist, wird die Masse als Kalibriersignal benutzt. Im Idealfall würde die Kalibrierung die gesamte Signalkonditionierung für die analogen Eingänge einschließen. Leider führt die Überspannungsschutzschaltung 73 eine signifikante Zeitkonstante in die Signalkonditionierung ein. Infolge der Zeitvorgaben verhindert das die dynamische Kalibrierung der gesamten Kalibrierschaltung.
• Die Mikrocomputer 53 legen eine Korrektur, die aus den Selbstkalibriersignalen abgeleitet wird, an die Analogfeldsignale, lesen sie, skalieren sie, vergleichen sie mit Alarm- und Vorsichtsgrenzen, führen die funktionellen Berechnungen durch, bewirken Teil-Abschaltungen und Teil-Anfahren technischer Sicherheitsvorrichtungen, und speichern die analogen Parametersignale in ihren Zweiwegspeichern 61 für etwaige Übertragung an die analogen Ausgabevorrichtungen, gesteuert vom Kommunikationsprozessor 67. Die Schutzsystem-Teilanfahrsignale, die die Teil-Abschaltsignale und die Teil-Anfahrsignale für die technischen Sicherheitsvorrichtungen umfassen, werden von der digitalen Ausgabevorrichtung 59 in der Form eines Steuersignals CTL über eine Leitung 103 auf eine Eingabe/Ausgabe-Leiterplatte 63 gegeben. Das CTL-Signal wird an eine Totmannschaltung 105 gegeben zusammen mit einem Impulszugsignal PT, das während des normalen zyklischen Betriebs des Mikrocomputers 53 generiert wird, und wird von der digitalen Ausgabevorrichtung 59 auf Leitung 107 gegeben. Die Totmannschaltung 105 gibt das Steuersignal CTL weiter als das berechnete Teil-Abschaltsignal CALPT auf Leitung 109 und überwacht das PT-Signal. Wenn das Impulszugsignal PT unterbrochen wird für eine Zeitspanne, die auf eine Störung im Mikrocomputer 53 hindeutet, schaltet die Totmannschaltung wegen Zeitüberschreitung ab und generiert ein Teil-Anfahrsignal auf Leitung 109, ungeachtet des Zustands des CTL- Signals. Der Betrieb der Totmannschaltung 105 kann getestet werden durch ein PSTOP Signal, das vom Steuergerät 85 über Leitung 110 zugeführt wird.
• Das berechnete Teil-Abschaltsignal CALPT wird in einem ODER- Gatter 111 logisch ODER-verknüpft mit einem manuellen Teil- Abschaltsignal SET PT, das auf Leitung 113 vom Bediener ferngesteuert über die Test/Bypass- und Datenerfassungseinheit 27 und das Steuergerät 85 generiert wird, und ein örtliches, manuelles Teil-Abschaltsignal, das vom einem auf der Leiterplatte integrierten Schalter 117 auf der Leitung 115 generiert wird. Der Ausgang des Gatters 111 auf Leitung 119 ist ein Signal LEDPT, das auf ein UND-Gatter 121 und zum Steuergerät 85 gelegt wird. Der Steuergerät 85 überträgt das Teil- Abschaltsignal durch die Test/Bypass-Einheit 27 auf die Leuchtdiode (LED) auf der Bedienerkonsole als Mitteilung der Generierung eines manuellen oder automatischen Teil-Abschaltsignals. Dieses LEDPT Signal gibt auch an die Test/Bypass- und Datenerfassungseinheit 27 die Anzeige der Generierung eines Teil-Abschaltsignals als Antwort auf die geeigneten Analogbezugssignale während des automatischen Tests. Dieses Signal wird dann über den digitalen Echtzeit-Antwortbus 89 auf die Testeinheit 27 übertragen, so daß der Tester die Zeit auswerten kann, die für den Mikrocomputer erforderlich ist, um das Teil-Anfahrsignal als Teil der Testsequenz zu generieren.
• Wie bereits gesagt, wird das Teil-Anfahrsignal (LEDPT) während des Tests umgangen, so daß, wenn ein entsprechendes Teil-Anfahrsignal bereits in einem anderen Kanalsatz, z. B. aufgrund eines fehlerhaften Sensors, generiert wird, der Reaktor nicht auf der Grundlage der zwei-von-vier Abstimmungslogik abgeschaltet oder das zugehörige technische Sicherheitsvorrichtungssystem angefahren wird. Wie ebenfalls bereits besprochen, kann ein Teil-Anfahrsignal nur dann umgangen werden, wenn der Bediener seine Zustimmung zu einer Umgehung in diesem Kanalsatz gegeben hat und eben dieses bestimmte Teil-Anfahrsignal für den Test angewählt wurde. Die Zustimmung des Bedieners wird gegeben durch den aktiven Zustand des "+15V Relais" Signals, welches durch einen Optokuppler/Pegelumsetzer 123 gelaufen ist, um ein BYPASS ENABLE Signal auf der Leitung 125 zu erzeugen, das in Schutzhöhe und galvanisch getrennt von, und invertiert gegenüber dem "+15V Relais"-Signal ist. Das spezifische Teil- Anfahrsignal, das umgangen werden soll, wird identifiziert durch den niedrigen Zustand des SET BYP Signals, das von der Steuervorrichtung 85 als Antwort auf ein Signal, das von der Test/Bypass-Einheit 27 über die Kommunikationsleitung 87 geschickt wird, auf der Leitung 127 generiert wird. Das
• BYPASS ENABLE und das SETBYP Signal werden an die Eingänge eines niedrigliegenden, wahren logischen UND-Gatters 129 gelegt, um auf der Leitung 131 ein BYPASS Signal zu erzeugen, das als zweiter Eingang an das UND-Gatter 121 gelegt wird und zwecks Überprüfung auch zum Steuergerät 85 rückgeführt wird.
• Falls nicht sowohl das BYPASS ENABLE und das SET BYP Signal niedrig liegen, ist der Ausgang des Gatters 129 hoch und schaltet das UND-Gatter 121 durch und führt somit das Teil- Anfahrsignal zum Leistungsschalter 133 durch. Der Leistungsschalter kann so eingerichtet werden, daß er den Stromkreis zwischen der 118 vac Spannungsquelle und den Ausgangsleitungen 23 als Antwort auf das Teil-Anfahrsignal entweder herstellt oder öffnet. Für die Teil-Abschaltsignale wird der Leistungsschalter 133 so konfiguriert, daß er kontinuierlich Leistung auf die Leitungen 23 gibt sofern kein Teil-Abschaltsignal vorliegt und die Leistung abschaltet, wenn das Signal vorliegt, wodurch ein ausfallsicherer Betriebsmodus entsteht. Für den Fall einiger technischer Sicherheitseinrichtungen wie Containment-Sprüher, bei denen die Ansprechgeschwindigkeit nicht so kritisch ist, wird der Leistungsschalter so eingerichtet, daß er die Ausgangsleitungen 23 nur bei Vorliegen eines Teil-Anfahrsignals unter Strom setzt.
• Es gibt zwei solche, eben beschriebene digitale Ausgabeschaltungen auf jeder Eingabe/Ausgabe-Leiterplatte 63, von denen jede ein Teil-Anfahrsignal für ein Schutzsystem generiert. Im Falle des Anfahrens bestimmter technischer Schutzvorrichtungen mag eine einzige Sicherheitsfunktion mehr als nur ein Teil-Anfahrsignal erzeugen. In einem solchen Fall werden beim Testen dieser Funktion alle zugehörigen Teil- Anfahrsignale umgangen.
• Eine wichtige Überlegung der Erfindung ist die Beibehaltung der Unabhängigkeit zwischen den Verarbeitungsschleifen. Es gibt eine totale Trennung zwischen den Kanalsätzen, insofern als gesonderte Sensoren, Signalverarbeitungs- und vereinzelte Ausgänge für jeden der vier Kanalsätze vorgesehen sind. Innerhalb jedes Kanalsatzes der beispielhaften Durchführungsform gibt es zwölf unabhängige Mikrocomputer 53. Eine Möglichkeit wäre, gesonderte Mikrocomputer für jede Schutzsystem-Anfahrfunktion vorzusehen, das ist aber sowohl unökonomisch als auch unnötig. Es gibt zu viele Anfahrsignale, die generiert werden müssen, im typischen Fall etwa 100, für eine PWR-Anlage mit vier Regel kreisen und die durchzuführenden Berechnungen sind ganz einfach. Ferner sieht die Art und Weise, in der Digitalrechner arbeiten, selbst eine Trennung zwischen den hintereinander innerhalb des Mikrocomputers auszuführenden Funktionen vor. Während das andeuten könnte, daß es die ideale Lösung wäre, einen einzigen Digitalcomputer vorzusehen, um alle Schutzvorrichtungs-Anfahrsignale in einem Kanalsatz zu generieren, ist diese Lösung doch unerwünscht, weil ein einziger Fehler im Digitalcomputer den gesamten Kanalsatz lahmlegen könnte. Die Philosophie hinter der vorliegenden Erfindung ist, die Schutzfunktion in jedem Kanalsatz auf einer Anzahl Mikrocomputer aufzuteilen, von denen jeder mehrere Schutzsystem-Anfahrsignale generiert, so daß der Ausfall eines Mikrocomputers nicht den gesamten Kanalsatz ausfallen läßt. Zusätzlich wird so vorgegangen, daß die Schutzfunktionen so auf die Mikrocomputer in einem Kanalsatz aufgeteilt werden, daß die Auswirkungen eines Fehlers gemildert werden. Da viele der Schutzschleifen durch den Prozeß inhärent gekoppelt sind, zeigen sich anomale Prozeßzustände, die unbeobachtet durch eine fehlerhafte Schleife schlüpfen würden, in der damit zusammenhängenden Schleife. Es hat sich in der Tat gezeigt, daß es für alle angenommenen Vorfälle, für die das PWR-Schutzsystem entwickelt wurde, eine Primärschleife zum Feststellen des Ereignisses und eine Sekundärschleife gibt. Es ist daher ein fundamentales Konzept dieser Erfindung, die Primär- und Sekundärschleifen zu identifizieren und sie auf unterschiedliche Mikrocomputer im Kanalsatz aufzuteilen. Tabelle 1 zeigt, auf welche Weise die Schutzsystemfunktionen einer PWR-Anlage mit vier Regel kreisen auf die zwölf Mikrocomputer in einem Kanalsatz aufgeteilt werden können. So eine Anlage hat vier Dampferzeuger, die alle von einem gemeinsamen Reaktor über vier zusammenhängende Reaktorkühlschleifen gespeist werden. Die nachstehende Legende erklärt gewisse in Tabelle 1 benutzte Abkürzungen.
• * zugeordneter Mikrocomputer
• FW Speisewasser
• RC Reaktorkühlmittel
• RT Reaktorabschaltung
• RWST Neubeschickung des Wasservorratstanks
• SI Sicherheitseinschuß
• ST Dampf
• WR großer Meßbereich.
• Hier ist anzumerken, daß Teil-Reaktorabschaltungen wegen hochstehenden Wasserpegeln in den Dampfgeneratoren nur im anzeigenden Kanalsatz für die Dampferzeuger 2 und 3 generiert werden, ein weiterer Kanalsatz würde auch redundante Abschaltungen für diese Dampferzeuger generieren, und die restlichen Kanalsätze würden entsprechende redundante Teilabschaltungen für die Dampferzeuger 1 und 4 generieren. Eine ähnliche Zuweisung wird für einen breiten Druckbereich des Reaktorkühlmittels vorgenommen.
• Als Illustration der Grundlagen der Erfindung, die in der Zuweisung der Schutzfunktionen im Beispiel nach Tabelle 1 enthalten sind, soll hier daran erinnert werden, daß der Primärhinweis auf einen Bruch im Kühlleitungssystem des Reaktors ein Abfall des Kühlmitteldrucks ist, und daß ein Sekundärhinweis eine Veränderung der Kühlmitteltemperatur ist. Wie man aus dem Beispiel der Tabelle 1 ersieht, werden die Signale für das Teil-Abschalten des Druckerzeugers und für das Teil-Anfahren des Sicherheitseinschießens im Mikrocomputer Nr. 1 generiert, während das Signal zum Teil- Anfahren des Kühlmitteltemperatur-Schutzsystems im Mikrocomputer Nr. 4 generiert wird. Ebenso muß beachtet werden, daß das Teil-Anfahrsignal für die Schutzvorrichtungen bei Dampferzeuger-Fehlanpassung für die Schleifen 1 bis 4, von denen jede auch Notmaßnahmen für das vorgesehene Ereignis einleiten könnte, in den Mikrocomputern Nr. 6, 7, 10 bzw. 11 generiert werden. Hier muß verstanden werden, daß die Zuweisung der Schutzfunktionen auf einzelne Mikrocomputer innerhalb eines Kanalsatzes, wie in Tabelle 1 gezeigt wird, nicht die einzig mögliche Lösung innerhalb der Lehre der Erfindung ist, auch für ein PWR-Kraftwerk mit vier Regelkreisen.
• Die Software für die einzelnen Mikrocomputer 53 nimmt die Form einer Systeminitialisierung, gefolgt von einer kontinuierlichen Schleife, an und ist immer in einem der folgenden Zustände: Primärinitialisierung, Parametereinstellung, Sekundärinitialisierung, Programmablauf und Fehler. Betrachten wir die einzelnen Zustände in dieser Reihenfolge: Nach dem Einschalten bzw. Rückstellen läuft der Mikrocomputer bzw. der Schleifenprozessor durch den Zustand der Primärinitialisierung. Die Signale zur Teil-Abschaltung und die Signale zum Teil-Anfahren der technischen Sicherheitsvorrichtungen werden auf den Sicherheitszustand gestellt. Dann führt der Prozessor ausgedehnte Einschalt-Diagnosetests durch. Nach erfolgreichem Abschluß dieser Tests geht der Prozessor in den Zustand der Parametereinstellung über, wenn ein Parametereinstellsignal aktiviert ist, sonst geht er sofort zum Sekundärinitialisierungszustand über. Der Parametereinstellzustand, in den nur aus dem Primärinitialisierungszustand übergegangen werden kann, ermöglicht es, daß der Schleifenprozessor Befehle vom Kommunikationsprozessor 67 aufnimmt. Er wird dazu benutzt, Vorsichts- und Alarmgrenzwerte, Ein/Aus-Modul-Kalibrierungskonstanten, Umwandlungskonstanten für technische Einheiten und Abgleichkonstanten zu verändern. Aufgrund organisatorischer Sicherheitsmaßnahmen ist der Zugriff begrenzt und Befehle werden vom Kommunikationsprozessor nur akzeptiert, wenn der Schleifenprozessor im Parametereinstellzustand ist. Der Schleifenprozessor stellt zunächst die Verbindung zum Kommunikationsprozessor her, bevor er Befehle akzeptiert. Die Mehrzahl der Befehle sind Anforderungen auf Änderung der E²PROM-Konstanten. Wenn dann der Schleifenprozessor den Ausgang aus dem Parametereinstellzustand anfordert, geht er wieder in den Primärinitialisierungszustand über.
• Der Sekundärinitialisierungszustand ist die letztendliche Vorbereitung für den Betrieb. Die funktionellen Algorithmen und der Echtzeit-Intervallzeitgeber werden initialisiert. Der Schleifenprozessor geht dann in den Betriebszustand über, der den normalen Betrieb kennzeichnet. Er besteht aus einer kontinuierlichen Schleife, die die folgenden Funktionen ausführt:
• 1. Eingabe-Abtastung - führt analoge Eingaben, Fehlerkorrektur, Umwandlung technischer Einheiten und Grenzwertüberprüfung durch.
• 2. Funktionelle Berechnungen - führt numerische Algorithmen durch und stellt unmittelbar Teil-Abschaltungs- und technische Sicherheitsvorrichtungen ein.
• 3. Verbindungen - wenn Verbindungen mit dem Kommunikationsprozessor bestehen und die vorherige Transaktion abgeschlossen ist, stellt diese Funktion den nächsten Datenblock für die gespeicherten analogen Parameter her und übergibt ihn dem Kommunikationsprozessor. Wenn keine Verbindung besteht wird versucht, die Verbindung herzustellen. Unter keinen Umständen kann der Prozessor die Kommunikationsroutinen blockieren.
• 4. Obligatorische Diagnostik - Eine Reihe On-line- Funktionsprüfprogramme werden durchgeführt, einschließlich Prozessortests mit numerischen Daten.
• 5. Echtzeit-Intervallsynchronisierung - Der Intervallzeitgeber wird gelesen; wenn er nicht nahe dem Ende steht, werden zusätzliche Funktionsprüfprogramme durchgeführt. Wenn das Ende unmittelbar bevorsteht, wartet der Schleifenprozessor und ruft den Zeitgeber zyklisch auf, bis er am Ende steht. Dann läuft die kontinuierliche Schleife erneut an.
• Wenn der Schleifenprozessor einen internen Fehler findet, tritt er in den Fehlerstatus ein. Alle Teil-Abschaltungen und Ausgänge zum Einschalten technischer Sicherheitsvorrichtungen werden in einen Sicherheitszustand versetzt und ein Fehlercode wird an den Kommunikationsprozessor gegeben. Wenn keine Verbindung besteht, wird der Schleifenprozessor kontinuierlich versuchen, diese Verbindung herzustellen. Der Schleifenprozessor bleibt im Fehlerstatus, bis er rückgestellt wird.
• Wie bereits gesagt, kommuniziert der Kommunikationsprozessor mit jedem Schleifenprozessor im Regelkreiskäfig. Der Zweck dieser Kommunikation ist zweifach. Erstens, während des normalen Betriebs führt der Schleifenprozessor zusätzlich zu seiner Schutzfunktion eine Datensammelfunktion durch. Alle Eingabepunkte werden in technische Einheiten umgewandelt, mit Grenzwerten verglichen und an den Kommunikationsprozessor gegeben. Das Kommunikationsprotokoll läuft im Simplexbetrieb, weil der Datenfluß streng nur aus dem Schleifenprozessor heraus strömt. Diese Funktion wird auch während des Systemtests und der Systemkalibrierung angewandt. Weil der Schleifenprozessor nicht weiß, daß ein Test abläuft, wird der normale Betriebsmodus überprüft. Zweitens, die Kommunikationsmöglichkeit wird benutzt zur Veränderung der Parameter und Sollwerte. Diese Kommunikation läuft im Halbduplexbetrieb ab; der Schleifenprozessor erhält Befehle, die Parameteränderungen anfordern, und antwortet entsprechend.
• Sorgfältig wird darauf geachtet, die funktionelle Unabhängigkeit der Schleifenprozessoren zu wahren. Insbesondere halten sie nicht an und warten auf Kommunikation, und Parameteränderung ist eine streng gesteuerte, Off-line- Funktion. Die erste Überlegung, das Vermeiden des Wartezustands, läßt sich leicht ansprechen. Der Status der Kommunikation wird in jedem Zyklus überprüft. Nur ein Versuch wird gemacht, die Kommunikation herzustellen. Ob das erfolgreich ist oder nicht, der Prozessor geht zu seinem Normalbetrieb über. Die zweite Überlegung, die strenge Steuerung der Parameterveränderungen, wird ebenfalls durch das Kommunikationsschema angesprochen. Parameteränderungen sind nur zulässig, wenn der Schleifenprozessor im Parametereinstellstatus steht. Zum Eintreten in diesen Zustand ist ein bestimmter Aufwand erforderlich. Ein festverdrahtetes Signal "Parametereinstellungen aktivieren" muß aktiviert werden und der Regelkreiskäfig muß rückgestellt werden. Der Kommunikationsprozessor muß ebenfalls in einem bestimmten Zustand sein, um einen Halbduplexbetrieb zuzulassen.
• Die Test/Bypass- und Datenerfassungseinheit 27 dient als ein Brennpunkt zur Kommunikation mit dem Werkspersonal sowie mit anderen Werksüberwachungsystemen. Eine ausgedehnte Testmöglichkeit zwischen Mensch und Automatik ist vorgesehen, zusätzlich zu System- und Werksvorrichtungen, die den erforderlichen Aufwand an technischen Spezifikationen vermindert. Diese Testeinheit wird auch benutzt, um Parameter in den Schleifenuntersystemen einzustellen und zu überwachen.
• Das Prüfgerät 27 übermittelt die Parameteränderungen an die Kommunikationsprozessoren 67 der Schleifenuntersysteme über eine serielle Datenleitung. Das Prüfgerät 27 ist über den Bus 65 und Schnittstellen mit den Ein/Ausgabeeinheiten 63 der einzelnen Mikrocomputer verbunden. Die Testschnittstelle ermöglicht es dem Prüfgerät, anstatt der Feldsignale die von ihm gelieferten Testsignale über Kabel 97 auf die Analogeingänge der einzelnen Mikroprozessoren zu geben. Während des Tests wird der digitale Ausgang an die Logikzüge umgangen, wie oben bereits gesagt. Das konvertiert die Abstimmungslogik in den getesteten Funktionen automatisch auf zwei von drei. Jedoch wird nur die individuelle Schutzfunktion umgangen und der automatische Test wird sehr schnell durchgeführt, so daß die Funktion nur während eines sehr kurzen Intervalls offline ist. Zwecks Nachprüfung, daß das Testsignal nach Abschluß des Tests vom Analogeingang abgeschaltet ist, wird es auf einen extrem hohen Wert gesetzt und der Analogwert wird dann über die serielle Datenleitung durch den Kommunikationsprozessor gelesen. Wenn der Extremwert vom Prüfgerät 27 rückgelesen wird, hat die Schnittstelle nicht abgeschaltet.
• Die Test/Bypass- und Datenerfassungseinheit 27 führt auch zusätzliche Tests an jedem Mikrocomputer-Untersystem durch. Das Prüfgerät generiert wiederholt ein Sägezahnsignal, das kontinuierlich als Analogeingang an jeden Mikrocomputer gelegt wird. Jeder Prozessor, zusätzlich zur Durchführung zyklischer Berechnungen für die zugeordneten Schutzfunktionen, berechnet auch eine Testabschaltung auf der Grundlage eines bestimmten Werts des Sägezahnsignals. Das Zeitintervall, das benötigt wird, damit das Sägezahnsignal seinen vorgegebenen Wert erreicht ist viel länger, als die Zykluszeit des Mikrocomputers. Das Testabschaltsignal wird über den digitalen Antwort-Echtzeitleiter 89 an das Prüfgerät gegeben, so daß das Prüfgerät als Teil des Tests die Zeit auswerten kann, die der Mikroprozessor zum Generieren des Prüfabschaltsignals braucht. Wenn das Testabschaltsignal nicht innerhalb eines gewählten Intervalls nachdem das Sägezahnsignal den vorgeschriebenen Wert erreicht hat, generiert ist, generiert das Prüfgerät ein Alarmsignal.

Claims (7)

1. Gerät zum Verarbeiten einer Vielzahl von Sensorsignalen (Ix), die von einer Gruppe (1, 3) Sensoren bei der Überwachung ausgewählter Parameter in einem komplexen Prozeß zur Anwendung eines Prozeßschutzsystems erzeugt werden, wobei dieses Gerät eine Vielzahl unabhängiger digitaler Signalprozessoren (53) enthält, die dieser Gruppe (1, 3) Sensoren zugeordnet sind, und die zahlenmäßig kleiner ist als die Vielzahl der Sensorsignale zum Generieren von Betätigungssignalen für das Schutzsystem als Antwort auf vorgegebene Kombinationen von Werten dieser Sensorsignale, die auf bestimmte Zustände hinweisen, wobei wenigstens einige dieser Signalprozessoren mehr als ein digitales Schutzsystembetätigungssignal generieren, dadurch gekennzeichnet, daß das für mindestens einen vorgegebenen Prozeßzustand mindestens zwei unabhängige Betätigungssignale generiert werden, wobei die unabhängigen Betätigungssignale unterschiedlichen Signalprozessoren (53) zugeordnet sind, wobei die Unabhängigkeit daraus entsteht, daß unterschiedliche physikalische Erscheinungen eines gegebenen Zustands unterschiedlichen Prozessoren zugeordnet werden.

2. Das Gerät gemäß Anspruch 1, dadurch gekennzeichnet, daß die Signalprozessoren (53) digitale Ausgangsleitungen (23) zur Übertragung der einzelnen Betätigungssignale aufweisen, die elektrische Isoliermittel (25) in jeder Ausgangsleitung (23) beinhalten, um jeden Signalprozessor (53) vom Verfahrensschutzsystem galvanisch zu trennen.

3. Gerät gemäß Anspruch 1 oder 2, dadurch gekennzeichnet, daß jeder dieser unabhängigen Signalprozessoren (53) Mittel (57) aufweist, um Analogsensorsignale zu repräsentativen, digitalen Ausgangssignalen zu verarbeiten,

daß das Gerät eine gemeinsame Parameterausgabevorrichtung (39), ein gemeinsames elektrisches Entkopplungsmittel (37), Datenleitungsmittel (35) zur Verbindung jedes dieser unabhängigen Signalprozessoren (53) durch dieses gemeinsame elektrische Entkopplungsmittel (37) mit der gemeinsamen Parameterausgabevorrichtung (39), und einen Kommunikationsprozessor (67) zum Steuern dieser Datenleitungsmittel (35) zur sequentiellen Übertragung der Parametersignale von jedem dieser unabhängigen digitalen Signalprozessoren (53) zu dieser gemeinsamen Parametersignalausgabevorrichtung (39) durch dieses gemeinsame elektrische Entkopplungsmittel aufweist.

4. Das Gerät gemäß Anspruch 3, gekennzeichnet durch ein zweites Datenleitungsmittel (51), ein zweites gemeinsames elektrisches Entkopplungsmittel (47) und einen zweiten Kommunikationsprozessor (67), in dem diese Vielzahl unabhängiger Datenprozessoren (53) in zwei Gruppen unterteilt ist, wobei die in der ersten Gruppe (21) an diese gemeinsamen Parametersignalausgabevorrichtung (39) über das erste Datenleitungsmittel (35) durch das erste gemeinsame elektrische Entkopplungsmittel (37), das von einem ersten Kommunikationsprozessor (67) gesteuert wird, und durch diese unabhängigen digitalen Signalprozessoren (53) in der zweiten Gruppe, mit dieser gemeinsamen Parameterausgabevorrichtung (39) über diese zweiten Datenleitungsmittel (51) durch dieses zweite gemeinsame elektrische Entkopplungsmittel (49) unter der Steuerung des zweiten Kommunikationsprozessors (67) verbunden ist.

5. Gerät gemäß Anspruch 3 oder 4, einschließlich einer zweiten Parametersignal-Ausgabevorrichtung (41) und dritten gemeinsamen elektrischen Entkopplungsmitteln (43, 49), worin diese Datenleitungsmittel (35, 51) diese verarbeiteten Parametersignale an diese zweite Parametersignal-Ausgabevorrichtung (41) durch diese zweiten gemeinsamen elektrischen Kommunikationsmittel (43) unter der Steuerung dieses Kommunikationsprozessors (67) übertragen.

6. Gerät gemäß den Ansprüchen 1 bis 5, dadurch gekennzeichnet, daß dieser redundante Satz Signale, die von multiplen Sensoren erzeugt werden, die ausgewählten Parameter im komplexen Verfahren überwachen,

daß die Mehrzahl der unabhängigen digitalen Signalprozessoren einen Kanalsatz (9, 11, 13, 15) bilden, der einen Satz dieser redundanten Signale erzeugt, und

daß dieser Apparat einen redundanten Kanalsatz (9, 11, 13, 15) umfaßt, der eine Vielzahl unabhängiger, digitaler Signalprozessoren enthält, die einen Satz dieser redundanten Sensorsignale verarbeiten.

7. Gerät gemäß einem der obigen Ansprüche, gekennzeichnet durch gemeinsame Test/Bypass-Mittel (27), die Testsignale zur Generierung der Betätigungssignale generieren wobei sie das getestete Betätigungssignal abschalten und auf die Test/ Bypass-Mittel legen, worin die Test/Bypass-Mittel dieses zum Speichern des Betätigungssignals, das von diesem Testsignal generiert wird, erfassen, wobei jedes Betätigungssignal einzeln umgangen wird durch die Generierung eines kontinuierlich aktiven Signals auf der Ausgangsleitung, wenn der Test abläuft.