DE4216699A1 - Verfahren und Einrichtung zum automatischen Schutz einer Anlage, insbesondere eines Kernkraftwerks - Google Patents

Description

Die Erfindung bezieht sich auf ein Verfahren zum automati­ schen Schutz einer Anlage, vorzugsweise zum Schutz eines Kraftwerks, insbesondere eines Kernkraftwerks, wobei mit einem Rechennetzwerk Eingangssignale aus der Anlage redun­ dant erfaßt und verarbeitet und Ausgangssignale in Form von Auslöse- und/oder Stellbefehlen für Stellglieder abge­ geben werdend wenn vorgegebene Kriterien erfüllt sind.

Für die leittechnische Überwachung einer Anlage, insbeson­ dere eines Kraftwerks, und in noch verstärktem Maße für den leittechnischen Schutz eines Kernkraftwerks sind für die Festlegung des Schutzkonzeptes und die Auswahl der Gerätetechnik folgende Kriterien maßgebend: größtmögliche Sicherheit, hohe Verfügbarkeit und bestmögliche Wirtschaft­ lichkeit. Das Kriterium "größtmögliche Sicherheit" hat absoluten Vorrang vor allen anderen. Das Kriterium "hohe Verfügbarkeit" ergibt sich aus den relativ hohen Investi­ tionskosten und den großen Einheitsleistungen sowie - bei Kernkraftwerken - aus den niedrigeren Betriebskosten im Vergleich zu fossil beheizten Kraftwerken. Unter dem Kriterium "bestmögliche Wirtschaftlichkeit" ist insbesonde­ re der materialschonende Betrieb und die optimale Ausnut­ zung des Brennstoffs zu verstehen.

Die Leittechnik kann in zwei Teilbereiche aufgeteilt wer­ den, in die Sicherheitsleittechnik und in die betriebliche Leittechnik. Die vorliegende Erfindung befaßt sich vorwie­ gend mit der Sicherheitsleittechnik, deren Funktions­ fähigkeit durch redundanten Aufbau und/oder durch selbst­ tätige Funktionsprüfung oder andere Maßnahmen dauernd sichergestellt wird, die jedoch im völlig ungestörten Betrieb keine Aktionen auszuführen hat. Im Anforderungsfall haben die Systeme der Sicherheitsleittechnik Vorrang vor allen Aktionen der betrieblichen Leittechnik. Zur Sicher­ heitsleittechnik zählen bei einem Kernreaktor der Reaktor­ schutz, die Reaktor-Begrenzungen und in begrenztem Maße die Reaktorregelung und das Informationssystem.

Bei Einsatz der bisherigen analog/binären Geräte- und Systemtechnik für die Reaktor-Sicherheitsleittechnik wurden mit Rücksicht auf die begrenzten Möglichkeiten dieser Tech­ nik, aber auch die geforderte Zuverlässigkeit der Funktio­ nen, möglichst einfache Funktionen vorgesehen. Dies gilt sowohl für die Störungserkennung als auch für die Entschei­ dung der Durchführung von (Abhilfe-)Maßnahmen. Damit wurde dem deutschen kerntechnischen Regelwerk (KTA 3501) Rech­ nung getragen, wonach pro betrachtetem Störereignis zwei unterschiedliche Anregungskriterien zur Ausführung sehr sicher auszulösender Schutzaktionen gefordert werden. Da­ durch soll eine Schutzaktion ohne Rücksicht darauf ausge­ löst werden, daß man weder das jeweilige Störfallspektrum noch jede der postulierten Störungen mit ausreichender Sicherheit kennt bzw. voraussagen kann. Für die dazugehöri­ ge Hardware der Leittechnik (in analog/binärer Wirkungswei­ se) wurde eine Diversitäts-Forderung nicht erhoben, da die Hardware in der historisch gewachsenen und durch hohe Be­ triebsstundenanzahl bewährten Ausführung als hinreichend zuverlässig angesehen wurde. Außerdem waren die besonders zuverlässig auszuführenden Schutzmaßnahmen in den meisten Fällen abschaltender Art. Schutzmaßnahmen wurden mit festem Vorrang vor Hand- oder Regelungsaktionen ausgeführt (und dabei meist sehr konservativ dimensioniert).

Durch die vorliegende Erfindung soll das Verfahren der ein­ gangs genannten Art so ausgestaltet werden, daß auch bei Einsatz komplexer, hochwertiger digitaler Leittechnik, die Anwendung sogenannter Anregungskriterien und eine verfei­ nerte anschließende Vorrangbildung ermöglicht werden. Insbesondere sollen die Vorteile der digitalen Technik (vor allem verbesserte Rechenmöglichkeiten und damit die Anwendung sogenannter analytischer Redundanz) so genutzt werden, daß die notwendigen Sicherheitsmargen verringert werden, dabei aber trotzdem gleich große oder gar noch größere Zuverlässigkeit, als sie durch die bisherige Leit­ technik erreichbar ist, verwirklicht wird.

Erfindungsgemäß wird die gestellte Aufgabe mit einem Ver­ fahren der eingangs genannten Art gemäß Kennzeichen des Anspruchs 1 durch die folgenden Maßnahmen gelöst:

• a) in mindestens zwei, jeweils mehrkanaligen und zueinander diversitären Rechensystemen werden über Signalbewertungs­ stufen aus den Eingangssignalen analoge und/oder binäre Informationen erzeugt, welche anomalie-signifikante Prozeßvariable der Anlage, sogenannte Teilkriterien, liefern;
• b) die Teilkriterien werden einer oder mehreren Signalvor­ rangstufen zugeführt, welche jeweils die Information der Teilkriterien nutzen, ein störungs-, störfall- oder situations-signifikantes Anregungskriterium als - ggf. zeitabhängige - Funktion AK(t) = f(PK_i) der Teilkrite­ rien PK_i zu ermitteln, welches als Schlüsselwert zur Auswahl der jeweils am besten geeigneten Gegenmaßnahmen dient.

Vorteilhafte Weiterbildungen dieses Verfahrens sind in den Ansprüchen 2 bis 6 angegeben. Bevorzugt verwendet von den zueinander diversitären Rechensystemen nach Anspruch 1 eines oder eine Gruppe ereignis-orientierte Anregungs­ kriterien und das andere Rechensystem oder eine andere Gruppe von Rechensystemen symptom-orientierte Anregungs­ kriterien. Vorteilhaft ist es auch, wenn zur Erkennung ein und desselben Störfalls im Sinne einer analytischen Redun­ danz mehrere vollständig diversitäre Anregungskriterien herangezogen werden, so daß aus dieser Mehrzahl von Anregungskriterien dasjenige mit der höchsten Priorität ausgewählt werden kann.

Wenn in einer oder mehreren Signalvorrangstufen eine Vorrangbildung hinsichtlich eines oder mehrerer Anregungs­ kriterien getroffen wurde, so wird gemäß einem weiteren Merkmal der Erfindung mittels einer nachgeschalteten und zur Ansteuerung von Stellgliedern vorgesehenen Maßnahmen- Auswahlstufe jeweils diejenige Maßnahmenkombination ange­ wählt, welche die am besten geeigneten Gegenmaßnahmen gegen die dem jeweils ermittelten Anregungskriterium entsprechen­ de Störung oder unerwünschte Situation umfaßt.

Das Anregungskriterium oder mehrere solcher Kriterien kön­ nen grundsätzlich in analoger oder binärer Form vorliegen. Eine Analogform der Anregungskriterien erhält man gemäß einem weiteren Merkmal der Erfindung dadurch, daß inner­ halb der jeweiligen Signalbewertungsstufe die Eingangs­ signale einer Auswahlstufe, z. B. einer Zwei-von-vier-Aus­ wahlstufe, zugeleitet werden und/oder dem ausgewählten oder durchgelassenen Signal in einer Wichtungsstufe ein zwischen Null und 100 % (bzw. zwischen Null und 1) liegen­ der Signalpegel aufgedrückt wird, welcher der Anomalie- Signifikanz des so erzeugten Teilkriteriums gerecht wird. Besonders einfach ist es in diesem Zusammenhang, wenn zur Bildung des Anregungskriteriums die Signalpegel der Teil­ kriterien innerhalb der jeweiligen Signalvorrangstufe ein­ ander überlagert werden.

Ein vorteilhafter Verfahrensschritt zur Bildung eines Anregungskriteriums besteht darin, daß in den Signalvorrang­ stufen zugeordneten oder vorgeschalteten Wichtungsstufen Wichtungssignale erzeugt werden, die im Vergleich zu einem ersten Wichtungssignal verzögert sind, so daß sich in der betreffenden Signalvorrangstufe zunächst eine Dominanz des ersten Wichtungssignals als Vorrangsignal und nach Ablauf der Verzögerungszeit eine Dominanz der weiteren Wichtungs­ signale als Vorrangsignal ergibt, wobei dann das dominie­ rende Vorrangsignal das Anregungskriterium repräsentiert. Die Vorrangbildung kann gemäß einem anderen Verfahrens­ schritt auch dadurch erfolgen, daß von den weiteren Wich­ tungssignalen wenigstens eines mit einer Bedingung verknüpft wird, so daß abhängig davon, ob die Bedingung eintritt oder nicht, die weiteren Wichtungssignale über ein erstes Wichtungssignal als Vorrangsignal dominieren oder nicht.

Zur Ermöglichung einer (normalerweise nicht erforderlichen) Handauslösung ist es vorteilhaft, daß mit einer Wichtung, welche die Wichtung des normalerweise dominierenden Wich­ tungssignals überschreitet, eine Handauslösung in Wirkver­ bindung mit wenigstens einer Vorrangstufe gebracht wird.

Die mit der Erfindung erzielbaren Vorteile sind vor allem darin zu sehen, daß aufgrund der analogen und/oder digita­ len Signalauswertung und der verbesserten Rechenmöglichkei­ ten mit digitaler Technik viele nicht meßbare physikalische Größen und sinnvolle "Sicherheitsvariable" schnell, zuver­ lässig und genau genug berechnet werden können, und nun mit ihrer Hilfe Anregungskriterien abgeleitet werden kön­ nen, die nicht nur Mindestinformationen enthalten, sondern durch Zusatzinformation sowohl in ihrer Zuverlässigkeit gegen (auch mehrere) Eingangssignalfehler resistenter ge­ macht werden können als auch nennenswert die Wahrschein­ lichkeit korrekter Identifikation einer bestimmten Störung oder Situation (mit einer definierten Streuung) erhöhen. Die algorithmischen Möglichkeiten umfangreicherer Simula­ tionen gestatten auch die Diversifizierung der Anregungs­ kriterien (ereignis- und symptom-orientiert) und eine Zuordnung optimaler Gegenmaßnahmen zu jeder identifizier­ ten Störung oder unzulässigen Situation. Es kann damit ge­ zielt materialschonend sowohl der Stärke als auch dem zeit­ lichen Ablauf einer einsetzenden Störung entsprechend entgegengearbeitet werden.

Gegenstand der Erfindung ist gemäß Anspruch 7 auch eine leittechnische Einrichtung zur Durchführung des Verfahrens nach einem der Ansprüche 1 bis 6, zum selbsttätigen Schutz einer Anlage, vorzugsweise zum Schutz eines Kraftwerks, insbesondere eines Kernkraftwerks, mit einem Rechennetz­ werk zur mehrfach redundanten Verarbeitung von störungs-, störfall- und situations-relevanten Eingangssignalen, wel­ che als abfragbare Parameter der zu schützenden Anlage vor­ liegen und welche vom Rechennetzwerk zur Abgabe von Aus­ gangssignalen in Form von Auslöse- oder Stellbefehlen für Stellglieder verarbeitbar sind, wenn vorgegebene Kriterien erfüllt sind, welcher sinngemäß die eingangs gestellte Aufgabe zugrundeliegt und welche zur Lösung dieser Aufgabe die im Kennzeichen des Anspruchs 7 angegebenen Merkmale aufweist.

Vorteilhafte Weiterbildungen dieser leittechnischen Ein­ richtung nach Anspruch 7 sind in den Ansprüchen 8 bis 12 angegeben.

Im folgenden werden anhand der Zeichnung, in welcher mehre­ re Ausführungsbeispiele dargestellt sind, das Verfahren nach der Erfindung und leittechnische Einrichtungen zu dessen Durchführung noch näher erläutert. In der Zeichnung zeigen in zum Teil vereinfachter, schematischer Darstel­ lungsweise:

Fig. 1 eine leittechnische Einrichtung mit drei zueinan­ der diversitären digitalen Rechensystemen;

Fig. 2 das Detail der ersten Signalvorrangstufe, welche dem ersten und zweiten Rechensystem gemeinsam ist;

Fig. 3 in Tabellenform die Bildung des Anregungskrite­ riums aus der ersten Signalvorrangstufe zugeführten Teil­ kriterien;

Fig. 4 das Detail der zweiten Signalvorrangstufe aus Fig. 1;

Fig. 5 in Tabellenform die Bildung des Anregungs­ kriteriums aus der zweiten Signalvorrangstufe zugeführten Teilkriterien;

Fig. 6 das Detail der dritten Signalvorrangstufe und

Fig. 7 in Tabellenform die Bildung des Anregungskrite­ riums bei der dritten Signalvorrangstufe aus dieser Stufe zugeführten Teilkriterien.

Fig. 1 zeigt eine Schaltung, die drei digital arbeitende Rechensysteme C1, C2 und C3 unterschiedlicher Kategorien 1 bis 3 umfaßt. Jedes der Rechensysteme C1 bis C3 ist redun­ dant aufgebaut; so umfaßt das erste Rechensystem vier Un­ tersysteme A, von denen jedes an eine Leitung a des vier solche Leitungen a aufweisenden Leitungsbus LB1 angeschlos­ sen ist. Das zweite Rechensystem C2 umfaßt vier Unter­ systeme B und vier weitere Untersysteme C in jeweils vier­ fach redundanter Ausführung, wobei je eines der Unter­ systeme B bzw. C an je eine der Leitungen b c des Vierfach- Leitungsbus LB2 angeschlossen sind. Das dritte Rechensystem C3 enthält lediglich zwei Untersysteme D. Den Rechensyste­ men C1 bis C3 bzw. ihren Untersystemen A, B, C und D sind als Ganzes mit SBS bezeichnete Signalbewertungsstufen nach­ geschaltet, die im einzelnen mit VSA, VSB, VSC und VSD be­ zeichnet sind. Die Signalbewertungsstufe VSA bildet ein Zwei-von-vier-System und ist vierkanalig an die Buslei­ tungen a angeschlossen, die Signalbewertungsstufen VSB und VSC sind entsprechend vierkanalig an die Busleitungen b c angeschlossen und bilden je ein Zwei-von-vier-System. Die Signalbewertungsstufe VSD des Rechensystems C3 (Kategorie 3) bildet lediglich ein Doppelsystem. Jede der Signalbewer­ tungsstufen hat eine Auswahleinrichtung gegen Fehlverhalten einzelner Bausteine, die man auch als Voting Units bezeich­ nen könnte. Den Signalbewertungsstufen SBS sind als Ganzes mit SVS bezeichnete Signalvorrangstufen über Signalleitun­ gen v1 bis v7 nachgeschaltet, wobei der Signalfluß der genannten Signalleitungen v1 bis v7 noch über Wichtungs­ stufen WS1 bis WS7 geleitet werden kann, wie durch kleine Kästchen angedeutet; diese Signalwichtungsstufen könnten auch Bestandteil der Signalbewertungsstufen SBS sein.

Im einzelnen ist die Signalvorrangstufe PSI den beiden Signalbewertungsstufen VSA und VSB über die Signalleitungen v1 und v2 und ferner der Signalbewertungsstufe VSC über die Signalleitung v3 nachgeschaltet. Auf die erste Signal­ vorrangstufe PSI wirkt noch eine Handauslösung H über Sig­ nalleitung h1 (oder über eine mittels Code entriegelbare Schalterwelle) ein, welche über eine Wichtungsstufe WS8 geführt sein kann. Die Signalvorrangstufe PSII ist den beiden Signalbewertungsstufen VSB und VSC über je eine Signalleitung v4 bzw. v5 nachgeschaltet; auf sie wirkt ferner eine Handauslösung H, ggf. über eine Wichtungsstufe WS8 ein. Die Signalvorrangstufe PSIII ist der Signalbewer­ tungsstufe VSC und der Signalbewertungsstufe VSD über je eine Signalleitung v6 bzw. v7 nachgeschaltet; auf sie wirkt ebenfalls eine Handauslösung H, ggf. über eine Wich­ tungsstufe WS8, ein. Über die Signalleitungen v1 bis v7 werden den daran angeschlossenen Signalvorrangstufen die elektrischen Signale für Teilkriterien zugeleitet, die als Ganzes mit PK_i und im einzelnen mit V1 bis V7 bezeichnet sind. Die Bezeichnung der Teilkriterien korrespondiert zur Bezeichnung der zugehörigen Signalleitung, wobei die Sig­ nalleitung mit kleinen Buchstaben und die Signale für die Teilkriterien mit Großbuchstaben bezeichnet sind.

In den Signalvorrangstufen PSI bis PSIII werden aus den Teilkriterien (zu denen auch die Teilkriterien H1 der Hand­ auslösung zu rechnen sind) die Anregungskriterien gebildet, welche jeweils Vorrangcharakteristika repräsentieren, und diese werden im Auslösefalle auf die beispielhaft einge­ zeichneten Stellglieder SG1 (Motor), SG2 (Ventil) oder SG3 (elektrischer Schalter) gegeben. Welche der Anregungskrite­ rien oder Vorrangcharakteristika auf welche der den Signal­ vorrangstufen SVS nachgeschalteten Stellglieder gegeben werden, muß für das jeweilige Stellglied im Zusammenhang mit den jeweiligen Auslöse-Funktionen festgelegt werden.

Das erste Rechensystem C1 sei ein besonders zuverlässiges, einfaches Rechensystem, das vorwiegend besonders zuverläs­ sig auszuführende Funktionen bearbeitet. Die Untersysteme B und C des Rechensystems C2 (Kategorie 2) bestehen dagegen aus leistungsfähigeren, komplexen (potenteren) Rechenbau­ steinen, die es z. B. unter anderem gestatten, Modellrech­ nungen durchzuführen, so daß die gleichen Funktionen, die im System C1 in bewußt einfacher Form behandelt werden, hier in Spezifizierung und Programmierung zu den Funktionen des Systems C1 völlig diversitärer Art ermittelt werden, was den Vorteil der sogenannten analytischen Redundanz hat. Ein weiterer Vorteil der höheren Leistungsfähigkeit des Rechensystems C2 mit seinen Untersystemen B, C ist es, daß die Ermittlung der notwendigen Aktionen mit größerer Genau­ igkeit erfolgt als es die Funktionen des Rechensystems C1 (Kategorie 1) können. Eine Begleiterscheinung der höheren Leistungsfähigkeit und Komplexität ist es aber, daß die Funktionen mit unter Umständen geringerer Zuverlässigkeit (da ja die Rechensysteme komplizierter sind) oder längerer Berechnungszeit ausgeführt werden. Dieser Tatsache wird dadurch Rechnung getragen, daß die Funktionen der Katego­ rie 1 (System C1) zunächst Vorrang haben vor allen Funktio­ nen der Kategorie 2 (Rechensystem C2) und natürlich auch Vorrang haben vor den Funktionen der Kategorie 3, wobei dieser Vorrang eventuell später (mit Zeitverzögerung) durch eine geänderte Gewichtung verändert wird.

Praktische Beispiele für die Vorrangbildung sind in den Fig. 2 bis 7 dargestellt.

Fig. 2 zeigt, daß der Signalvorrangstufe PSI über die Signaleingangsleitungen v1 bis v3 sowie h1 (Handauslösung) Teilkriterien bzw. gewichtete Signale V1 bis V3 sowie H1 (Handauslösung) zuleitbar sind. Fig. 3 zeigt in Spalte 1 eine erste Kombination der Teilkriterien, nämlich V1 = V2 = 0,5, V3 = 0,2 und H1 = 2, was bedeutet, daß das Teil­ kriterium V1 immer Vorrang vor den Teilkriterien V2 und V3 (bzw. den entsprechenden Signalen) hat, und auch das Teil­ kriterium V2 immer Vorrang vor V3 hat. Angedeutet ist hier, daß (vor Ort!) grundsätzlich ein Handeingriff vor­ gesehen werden kann, der immer Vorrang vor allen anderen Eingangssignalen hat, der aber nur mit Hilfsmitteln zugäng­ lich und nur im äußersten Notfall nutzbar ist. Eine zweite Kombination von Teilkriterien mit den Werten 1/0,6/0,6/2 (siehe Spalte 2 in Fig. 3) soll bedeuten, daß die Mehr­ heitsentscheidung der beiden Untersysteme B und C der Kate­ gorie 2 bzw. des Rechensystems C2 (vgl. Fig. 1) ein Anre­ gungskriterium der Kategorie 1 überstimmen könnte, wenn beide Teilkriterien V2 und V3 die gleiche Aktion verlan­ gen. Die in Spalte 3 der Fig. 3 angegebene Signalkombi­ nation 1/0,6 verzögert /0,6 verzögert soll bedeuten, daß zunächst das Signal der Kategorie 1 (Rechensystem C1) den Vorrang hat, daß aber nach vorbestimmter Zeit die Majori­ tät der Kategorie 2-Signale bzw. -Teilkriterien die Führung übernimmt oder dominiert. In Spalte 4 der Fig. 3 ist ein sogenannter bedingter Vorrang für das Teilkriterium V3 angegeben, wobei dieses Signal die Erfüllung einer be­ stimmten Bedingung repräsentieren könnte, die zusammen mit dem Signal oder Teilkriterium V2 den Vorrang der Signalkom­ bination V2-V3 vor dem Signal V1 der ersten Kategorie be­ dingen könnte.

Für die Signalvorrangstufen PSII, PSIII (vgl. Fig. 4 und 6) sind Beispiele für mögliche Kombinationen von Teilkrite­ rien in Fig. 5 und 7 ebenfalls in Tabellenform gegeben. Fig. 5 verdeutlicht einen Vorrang des Teilkriteriums V4 der Untersysteme B vor dem Teilkriterium V5 der Untersyste­ me C, wobei beide Teilkriterien durch einen Handeingriff (Teilkriterium H1) überstimmt werden können. Die Signal­ pegel in Fig. 5 sind V4 = 1, V5 = 0,5 und H1 = 2. Sinn­ gemäß ist in Fig. 7 eine Dominanz des Teilkriteriums V6 (= 1) vor dem Teilkriterium V7 (= 0,5) dargestellt, wobei eines oder beide Teilkriterien durch eine Handauslösung (H1 = 2) majorisiert werden können. Das Teilkriterium V6 stammt vom Untersystem C der Kategorie 2, und das Teil­ kriterium V7 stammt vom Untersystem D der Kategorie 3.

In der bisher erläuterten ersten Ausführungsform der leit­ technischen Einrichtung und des dadurch verwirklichten Ver­ fahrens ist in den Signalvorrangstufen PSI-PSIII die Funk­ tion von Maßnahmen-Auswahlstufen impliziert. Man kann in­ dessen die Funktion der Maßnahmenauswahlstufen, generell mit MAS bezeichnet, noch verfeinern und in ihrer Variations­ breite vergrößern, wie es gestrichelt durch die Kästchen M1 bis M3 und die sie verbindenden Steuerleitungen m12 und m23 verdeutlicht ist. Zum besseren Verständnis muß man sich vorstellen, daß die von den einzelnen Signalvorrangstufen PSI bis PSIII zu den Stellgliedern SG1 bis SG3 führenden Signalleitungen m1 bis m3 jeweils vierkanalig sind und daß in den Maßnahmen-Auswahlstufen M1 bis M3 jeweils eine Zwei- von-vier Auswahl aus den vierfach angebotenen Anregungs­ kriterien vorgenommen werden kann. Das heißt, es wird, wenn mindestens zwei von vier Anregungskriterien übereinstimmend vorliegen, ein verifiziertes Anregungskriterium AI gemäß einer ersten Variante zur Anregung des betreffenden Stell­ gliedes weitergeleitet. Sinngemäß gilt dies für die Anre­ gungskriterien AII und AIII der Maßnahmen-Auswahlstufen M2 und M3. Durch die Signalleitungs-Querverbindungen m12 und m23 und ein in der jeweiligen Maßnahmen-Auswahlstufe M1 bis M3 vorhandene Maximum/Minimum-Auswahl (abgekürzt: Max/Min-Auswahl) kann aber gemäß einer zweiten Variante die Maßnahmenauswahl derart variiert werden, daß durch eine Signalvorrangstufe, z. B. PSI nicht nur das zugehörige Stellglied SG1, sondern auch eines oder mehrere weitere Stellglieder (SG2 und/oder SG3) betätigt werden. Das glei­ che gilt für die beiden anderen Signalvorrangstufen PSII und PSIII. Welches "Betätigungsmuster" der Stellglieder durch die Signalvorrangstufen veranlaßt wird, kann z. B. durch die jeweilige Max/Min-Auswahl bestimmt werden. Würde z. B. die Signalvorrangstufe PSI mit der höchsten Priorität aufgrund der getroffenen Analyse in ihrer Maßnahmenauswahl­ stufe M1 die Betätigung der Stellglieder SG1 und SG2 "wünschen" und würde die Signalvorrangstufe PSII mit gerin­ gerer Priorität die Betätigung nur des Stellgliedes SG1 "wünschen", dann würde bei der Maßnahmenauswahl und der dementsprechenden Betätigung der Stellglieder die Signal­ vorrangstufe PSI dominieren. Es ist also möglich, in den Maßnahmenauswahlstufen MAS zusätzliche "Intelligenz" unter­ zubringen, welche zu einer Verfeinerung des Betätigungs­ musters der Stellglieder und damit zu einer Optimierung der zu treffenden Gegenmaßnahmen führt.

Claims (12)

1. Verfahren zum automatischen Schutz einer Anlage, vorzugsweise zum Schutz eines Kraftwerks, insbesondere eines Kernkraftwerks, wobei mit einem Rechennetzwerk Eingangssignale aus der Anlage redundant erfaßt, verarbei­ tet und Ausgangssignale in Form von Auslöse- und/oder Stellbefehlen für Stellglieder abgegeben werden, wenn vorgegebene Kriterien erfüllt sind, gekennzeichnet durch die folgenden Maßnahmen:

• a) in mindestens zwei, jeweils mehrkanaligen und zueinan­ der diversitären Rechensystemen (C1-C3) werden über Signalbewertungsstufen (SBS, VSA-VSD) aus den Eingangs­ signalen analoge und/oder binäre Informationen erzeugt, welche anomalie-signifikante Prozeßvariable (V1-V7) der Anlage, sogenannte Teilkriterien (PK_i), liefern;
• b) die Teilkriterien werden einer oder mehreren Signalvor­ rangstufen (SVS, PSI-PSIII) zugeführt, welche jeweils die Information der Teilkriterien (PK_i) nutzen, ein störungs-, störfall- oder situations-signifikantes Anregungskriterium (AK, AI-AIII) als - ggf. zeitabhän­ gige - Funktion AK(t) = f(PK_i) der Teilkriterien (PK_i) zu erzeugen, welches als Schlüsselwert zur Auswahl der jeweils am besten geeigneten Gegenmaßnahmen dient.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß mittels einer zur Ansteuerung von Stellgliedern (SG1-SG3) vorgesehenen Maßnahmen-Auswahlstufe (MAS, M1-M3) aufgrund der in der jeweiligen Signalvorrangstufe (SVS, PSI-PSIII) getroffenen Vorrangbildung jeweils diejenige Maßnahmen­ kombination angewählt wird, welche die am besten geeigne­ ten Gegenmaßnahmen gegen die dem jeweils erzeugten Anre­ gungskriterien (AK) entsprechende Störung oder unerwünsch­ te Situation umfaßt.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß inner­ halb der jeweiligen Signalbewertungsstufe (SBS, VSA-VSD) die Eingangssignale einer Auswahlstufe, z. B. einer Zwei-von- Vier-Auswahlstufe, zugeleitet werden und/oder dem ausge­ wählten oder durchgelassenen Signal in einer Wichtungs­ stufe (WS, WS1-WS8) ein zwischen 0 und 100% liegender Signalpegel aufgedrückt wird, welcher der Anomalie-Signifi­ kanz des so erzeugten Teilkriteriums (PK_i) gerecht wird.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß in den Signalvorrangstufen (SVS, VSA-VSD) zugeordneten oder vor­ geschalteten Wichtungsstufen (WS1-WS8) die Wichtungssigna­ le (V2, V3) erzeugt werden, die im Vergleich zu einem ersten Wichtungssignal (V1) verzögert sind, so daß sich in der betreffenden Signalvorrangstufe (PSI) zunächst eine Dominanz des ersten Wichtungssignals (V1) als Vorrangsignal und nach Ablauf der Verzögerungszeit eine Dominanz der wei­ teren Wichtungssignale (V2 + V3) als Vorrangsignal ergibt.

5. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß von den weiteren Wichtungssignalen wenigstens eines (V3) mit einer Bedingung verknüpft wird, so daß abhängig davon, ob die Bedingung eintritt oder nicht, die weiteren Wichtungs­ signale (V2, V3) über ein erstes Wichtungssignal (V1) als Vorrangsignal dominieren oder nicht.

6. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß mit einer Wichtung, welche die Wichtung des normalerweise dominierenden Wichtungssignals überschreitet, eine Hand­ auslösung (H) in Wirkverbindung mit wenigstens einer Vorrangstufe (SVS, PSI-PSIII) gebracht wird.

7. Leittechnische Einrichtung zur Durchführung des Verfahrens nach einem der Ansprüche 1 bis 6, zum selbst­ tätigen Schutz einer Anlage, vorzugsweise zum Schutz eines Kraftwerks, insbesondere eines Kernkraftwerks, mit einem Rechennetzwerk zur mehrfach redundanten Verarbei­ tung von störungs-, störfall- und situations-relevanten Eingangssignalen, welche als abfragbare Parameter der zu schützenden Anlage vorliegen und welche vom Rechennetzwerk zur Abgabe von Ausgangssignalen in Form von Auslöse- oder Stellbefehlen für Stellglieder verarbeitbar sind, wenn vorgegebene Kriterien erfüllt sind, mit den folgenden weiteren Merkmalen:

• a) zwei oder mehr, jeweils mehrkanalige und zueinander diversitäre Rechensysteme (C1-C3) umfassen jeweils mindestens eine Signalbewertungsstufe (SBS, VSA-VSD) oder sind einer solchen Signalbewertungsstufe vorge­ schaltet, wobei die jeweilige Signalbewertungsstufe (SBS, VSA-VSD) zur Erzeugung von analogen oder binären Informationen aus den Eingangssignalen eingerichtet ist, wobei die Informationen anomalie-signifikante Prozeßvariable (V1-V7) der Anlage, sogenannte Teil­ kriterien (PK_i), repräsentieren,
• b) den Signalbewertungsstufen (SBS, VSA-VSD) ist wenig­ stens eine Signalvorrangstufe (SVS, PSI-PSIII) nachge­ schaltet, wobei mindestens eine der beiden Stufen (SBS) bzw. (SVS) Auswahl- und/oder Wichtungsstufen umfaßt und die Signalvorrangstufe (SVS) zur Verarbeitung der zuge­ leiteten Signale der Teilkriterien (PK_i) derart einge­ richtet ist, daß ein störungs-, störfall- oder situa­ tions-signifikantes Anregungskriterium (AK) als - gegebenenfalls zeitabhängige - Funktion AK(t) = f(PK_i) der Teilkriterien (PK_i) ermittelte wird, wobei das Anregungskriterium (AK) als Schlüsselwert zur Auswahl der am besten geeigneten Gegenmaßnahmen dient.

8. Einrichtung nach Anspruch 7, dadurch gekennzeichnet, daß der jeweiligen Signalvorrangstufe (SVS, VSA-VSD) mindestens eine zur Ansteuerung von Stellgliedern (SG1-SG3) vorgese­ hene Maßnahmenauswahlstufe (MAS) nachgeschaltet ist, welche zur Auswahl einer Maßnahmenkombination aufgrund der in der vorgeschalteten Signalvorrangstufe (SVS; PSI-POSIII) ge­ troffenen Vorrangbildung derart eingerichtet ist, daß die am besten geeigneten Gegenmaßnahmen gegen die dem jeweils erzeugten Anregungskriterium (AK) entsprechende Störung oder unerwünschte Situation eingeleitet werden.

9. Einrichtung nach Anspruch 7 oder 8, dadurch gekennzeichnet, daß ihre Rechensysteme (C1-C3) als digitale Computer ausgebildet sind.

10. Einrichtung nach einem der Ansprüche 7 bis 9, dadurch gekennzeichnet, daß ein erstes Rechensystem (C1) einer ersten Kategorie vierkana­ lig ausgebildet ist und seine vier Kanalausgänge an eine Signal-Auswahlstufe (SBS; VSA) angeschlossen sind, welche eine Zwei-von-Vier-Auswahl trifft.

11. Einrichtung nach Anspruch 10, dadurch gekennzeichnet, daß wenig­ stens ein weiteres Rechensystem (C2) einer anderen Katego­ rie in seiner Signalverarbeitung höherwertig ausgelegt ist als das erste Rechensystem (C1) und z. B. Langzeit-Kurven­ verläufe oder Meßwertableitungen nach der Zeit bildet.

12. Einrichtung nach Anspruch 10 oder 12, dadurch gekennzeichnet, daß an wei­ tere Rechensysteme (C2, C3) Auswahlstufen (VSB, VSC, VSD) jeweils angeschlossen sind, denen - bezogen auf die Auswahl­ stufe (VSA) des ersten Rechensystems - andere Auswahlkrite­ rien zugrundeliegen, z. B. ein Zwei-von-drei- oder ein Eins-von-zwei-Auswahlkriterium.