NO122043B

NO122043B -

Info

Publication number: NO122043B
Application number: NO2522/69A
Authority: NO
Inventors: A Olsen
Original assignee: Atomenergi Inst For
Priority date: 1969-06-19
Filing date: 1969-06-19
Publication date: 1971-05-10
Also published as: DE2031211A1; NL7009016A; SE374217B; CH519213A

Description

Elektronisk sikkerhetssystem. Electronic security system.

Oppfinnelsen vedrører et elektronisk sikkerhetssystem for overvåking The invention relates to an electronic security system for monitoring

av driftsparametre i kjemiske Og fysikalske prosesser. Spesielt vedrører oppfinnelsen et elektronisk sikkerhetssystem for overvaking av en kjernereaktor. of operating parameters in chemical and physical processes. In particular, the invention relates to an electronic safety system for monitoring a nuclear reactor.

For å forhindre uhell i et kjernereaktoranlegg må dette bygges slik To prevent accidents in a nuclear reactor plant, it must be built this way

at nødvendige utkoblinger av reaktoren kan utføres hurtig og med stor sikkerhet. that necessary shutdowns of the reactor can be carried out quickly and with great safety.

Det er derfor nødvendig å utstyre anlegget med en rekke måleinstrumenter so a gir alarm når det oppstår feil og som bevirker at reaktoren blir stoppet automatisk dersom feilen er av alvorlig karakter. Disse instrumenter som overvåker parametre som temperatur, trykk, vannstand og gjennomstrømningshastighet, er koblet slik at signaler som overskrider på forhånd fastsatte grenser, vil påvirke reaktorens sikkerhetssystem. It is therefore necessary to equip the plant with a number of measuring instruments which give an alarm when a fault occurs and which cause the reactor to be stopped automatically if the fault is of a serious nature. These instruments, which monitor parameters such as temperature, pressure, water level and flow rate, are connected so that signals that exceed predetermined limits will affect the reactor's safety system.

For å unngå unødvendige utkoblinger av reaktoren på grunn av feil i måle- og alarmkretsene, er det vanlig å la hver parameter bli overvåket av flere separate målekanaler. Dersom det for eksempel benyttes tre målekanaler for hver parameter, kan disse kobles slik at reaktorens utkoblingsorganer bare blir påvirket når minst to av målekanalene registrerer en unormal tilstand i anlegget. In order to avoid unnecessary shutdowns of the reactor due to errors in the measurement and alarm circuits, it is common to allow each parameter to be monitored by several separate measurement channels. If, for example, three measuring channels are used for each parameter, these can be connected so that the reactor's disconnection means are only affected when at least two of the measuring channels register an abnormal condition in the plant.

I et slikt tilfelle sier man at sikkerhetssystemet arbeider etter 2 av 3 prinsippet. Dersom sikkerhetssystemet generelt omfatter et antall n målekanaler for hver parameter og reaktoren blir stoppet automatisk når et antall m av disse registrerer en unormal tilstand, sier man at systemet arbeider etter m av n prinsippet . In such a case, the security system is said to work according to the 2 out of 3 principle. If the safety system generally includes a number of n measuring channels for each parameter and the reactor is stopped automatically when a number of m of these register an abnormal condition, the system is said to work according to the m out of n principle.

Alarmkontaktene for hver av de antall n målekanaler for en parameter vil vanligvis åpne når kanalene registrerer en unormal situasjon eller når det oppstår feil i kanalene. Hver av de antall n alarmkontakter kobles normalt i serie med én av n tilsvarende kontakter fra andre parametre, slik at det oppstår et antall n utkoblingslinjer. Reaktorens sikkerhetsorganer vil så i sin tur rea-gere når det oppstår brudd i minst et antall m av disse linjene. Sikkerhetsor-ganene vil imidlertid også bli påvirket når et antall m utkoblingslinjer blir brutt som følge av alarmimpulser fra like mange målekanaler for forskjellige parametre. Av dette kan man på ingen måte slutte at driftsforholdene i reaktoren er unormale, idet årsaken til utkoblingen med meget stor sannsynlighet er samtidige feil i et antall m uavhengige målekanaler. Reaktorutkoblingen er"altså unødvendig og den derav følgende driftsstopp medfører unødvendige utgifter og ulemper. The alarm contacts for each of the n number of measurement channels for a parameter will usually open when the channels register an abnormal situation or when errors occur in the channels. Each of the n number of alarm contacts is normally connected in series with one of n corresponding contacts from other parameters, so that a number of n disconnection lines arise. The reactor's safety devices will then in turn react when a break occurs in at least a number of m of these lines. However, the safety organs will also be affected when a number of m disconnection lines are broken as a result of alarm impulses from the same number of measurement channels for different parameters. From this it can in no way be concluded that the operating conditions in the reactor are abnormal, as the reason for the shutdown is very likely to be simultaneous errors in a number of m independent measuring channels. The reactor decommissioning is therefore unnecessary and the resulting stoppage of operations entails unnecessary expenses and inconvenience.

Ved bruk av et sikkerhetssystem i henhold til oppfinnelsen vil ikke en slik situasjon kunne oppstå, idet oppfinnelsens formål er å tilveiebringe et sikkerhetssystem hvor m av n prinsippet er begrenset til å gjelde innenfor hver av de antall n målekanaler som overvåker hver parameter. Ved å gjøre et slikt sikkerhetssystem dynamisk og dermed selvkontrollerende og ved å benytte halvlederteknikk, vil systemet bli meget pålitelig i bruk. When using a security system according to the invention, such a situation will not be able to arise, as the purpose of the invention is to provide a security system where the m out of n principle is limited to apply within each of the number n measurement channels that monitor each parameter. By making such a safety system dynamic and thus self-controlling and by using semiconductor technology, the system will be very reliable in use.

Det er tidligere kjent at et sikkerhetssystem som beskrevet foran, kan gjøres dynamisk ved at hver av utkoblingslinjene tilkobles en pulsgenerator i sin ene ende <p>g ved at OG-porter plasseres på alarmkontaktenes sted i utkoblingslinjene. Pulssignalene vil kunne overføres gjennom kjedene av OG-porter så lenge disse mottar styresignaler fra tilkoblede målekanaler. Styresignalet fra en målekanal skal imidlertid forsvinne når målekanalen registrerer en alarmsituasjon, noe som med-fører at den tilsvarende OG-port blir stengt slik at signaloverføringen blir brutt i en av kjedene. It is previously known that a security system as described above can be made dynamic by connecting each of the disconnection lines to a pulse generator at one end <p>g by placing AND ports in the place of the alarm contacts in the disconnection lines. The pulse signals will be able to be transmitted through the chains of AND gates as long as these receive control signals from connected measurement channels. The control signal from a measurement channel must, however, disappear when the measurement channel registers an alarm situation, which means that the corresponding AND gate is closed so that the signal transmission is interrupted in one of the chains.

I henhold til foreliggende oppfinnelse er et sikkerhetssystem hvor m av n prinsippet er begrenset til å gjelde innenfor de antall n målekanaler som overvåker hver parameter, karakterisert ved at det foran hver OG-port i utkoblingslinjene er anordnet et overføringsledd i form av en terskelport som sender ut pulser med et potensial som varierer regelmessig mellom 0 og U når potensialet for terskelportens inngangssignal varierer omkring en terskelverdi som er større enn og mindre According to the present invention, a security system where the m out of n principle is limited to apply within the number of n measurement channels that monitor each parameter is characterized by the fact that in front of each AND gate in the disconnection lines, a transmission link is arranged in the form of a threshold gate that transmits out pulses with a potential that varies regularly between 0 and U when the potential of the threshold gate's input signal varies around a threshold value that is greater than and less than

, hvor m^2ogn = 2m-l, og ved at utkoblingslinjene , where m^2ogn = 2m-l, and by the disconnection lines

er koblet til et felles forbindelsespunkt foran terskelportene slik at disse får et felles inngangssignal. is connected to a common connection point in front of the threshold gates so that they receive a common input signal.

Ifølge den videre utforming av oppfinnelsen er pulsgeneratorene koblet sammen slik at de synkroniserer hverandre. I den beste utforming av oppfinnelsen er det dessuten en forutsetning at motstanden i de forskjellige utkoblingslinjers tilsvarende deler er så lik som mulig, mens inngangsmotstanden til en terskelport er av en høyere størrelsesorden enn motstanden til den nærmest foranliggende krets i vedkommende utkoblingslinje. Denne nærmest foranliggende krets vil enten være utgangskretsen i en OG-port eller utgangskretsen i en pulsgenerator. According to the further design of the invention, the pulse generators are connected together so that they synchronize each other. In the best design of the invention, it is also a prerequisite that the resistance in the corresponding parts of the different disconnection lines is as equal as possible, while the input resistance of a threshold gate is of a higher order of magnitude than the resistance of the nearest circuit in the relevant disconnection line. This nearest circuit will either be the output circuit in an AND gate or the output circuit in a pulse generator.

Da terskelportens inngangssignal er en resultant av de signaler som virker' i samtlige utkoblingslinjer foran terskelportene for en bestemt parameter, vil dette signals potensial, på grunn av potensialfall mellom utkoblingslinjene foran et forbindelsespunkt, variere i et område som reduseres med l/n U for hver av de OG-porter som ved en alarmsituasjon ikke leverer et varierende signal til det etterfølgende forbindelsespunkt. Det er således potensialfallet mellom utkoblingslinjene foran terskelportene for en parameter som er grunnlaget for det m av n valg som foregår i terskelportene. Since the threshold gate's input signal is a resultant of the signals that act in all disconnection lines in front of the threshold gates for a certain parameter, this signal's potential will, due to the potential drop between the disconnection lines in front of a connection point, vary in a range that is reduced by l/n U for each of the AND ports which, in an alarm situation, do not deliver a varying signal to the subsequent connection point. It is thus the potential drop between the disconnection lines in front of the threshold gates for a parameter which is the basis for the m out of n selection that takes place in the threshold gates.

Grenseverdien for terskelportenes terskelverdi når m og n går mot uendelig er 1/2 U. Denne terskelverdi gjelder således i alle m av n system i henhold til oppfinnelsen og blir benyttet i en foretrukket utførelse av denne. The limit value for the threshold gate's threshold value when m and n go towards infinity is 1/2 U. This threshold value thus applies in all m of n systems according to the invention and is used in a preferred embodiment thereof.

Da et sikkerhetssystem som arbeider etter 2 av 3 prinsippet, er mest vanlig ved overvåking av en kjernereaktor, og da det for forståelsens skyld er ønskelig med en forenkling, vil et sikkerhetssystem i henhold til oppfinnelsen som arbeider etter 2 av 3 prinsippet, bli beskrevet som et eksempel under henvisning til tegningene der: Figur 1 er et prinsippskjerna for et elektronisk sikkerhetssystem i henhold til oppfinnelsen, Since a safety system that works according to the 2 out of 3 principle is most common when monitoring a nuclear reactor, and since for the sake of understanding a simplification is desirable, a safety system according to the invention which works according to the 2 out of 3 principle will be described as an example with reference to the drawings in which: Figure 1 is a principle core for an electronic security system according to the invention,

figur 2 viser prinsippet for utkoblingslinjenes sammenkobling foran terskelportene og. figure 2 shows the principle of the connection of the disconnection lines in front of the threshold gates and.

figur 3~5 viser kurver som fremstiller eksempler på resultantsig-nalene i utkoblingslinjenes forbindelses- eller summasjonspunkt. figures 3~5 show curves which produce examples of the result signals in the disconnection lines' connection or summation point.

Som det fremgår av figur 1, omfatter sikkerhetssystemet tre utkoblingslinjer A, B og C. Hver linje har sitt utgangspunkt i en pulsgenerator og avsluttes i en puls/DC-omformer. Hver overvåkingsenhet for en parameter er "bygget opp av sett av tre terskelporter, OG-porter og alarmenheter. I figuren er de tre målekanalene r, s, t og r', s', t' for to av de parametre som overvåkes forbundet med tilhørende OG-porter. Utkoblingslinjene omfattes forøvrig av ytterligere sett av tre terskelporter, OG-porter, alarmenheter og målekanaler for hver av de parametre som overvåkes. As can be seen from Figure 1, the safety system includes three disconnection lines A, B and C. Each line starts in a pulse generator and ends in a pulse/DC converter. Each monitoring unit for a parameter is "made up of sets of three threshold gates, AND gates and alarm units. In the figure, the three measuring channels r, s, t and r', s', t' for two of the monitored parameters are connected to The switch-off lines also comprise a further set of three threshold gates, AND gates, alarm units and measurement channels for each of the parameters that are monitored.

De tre pulsgeneratorene utgjøres av frittløpende multivibratorer. The three pulse generators consist of free-running multivibrators.

Disse er koblet sammen innbyrdes slik at de tvangstyrer hverandre og leverer signaler som er nøyaktig like i frekvens og fase. These are interconnected so that they forcibly control each other and deliver signals that are exactly the same in frequency and phase.

Fra pulsgeneratorene føres signalene til et forbindelses- eller summasjonspunkt som er felles inngang for de etterfølgende overføringsledd eller terskelporter. Pulsgeneratorenes signaler svinger synkront mellom 0 og U og potensialet i summasjonspunktet vil dermed også normalt variere mellom disse verdier. From the pulse generators, the signals are fed to a connection or summation point which is a common input for the subsequent transmission links or threshold gates. The pulse generators' signals oscillate synchronously between 0 and U and the potential at the summation point will therefore also normally vary between these values.

Overføringsleddene utgjøres av terskelporter med samme utgangssignaler som signalene fra pulsgeneratorene. Terskelportene har en terskelverdi på 1/2 U. Dette betyr at overføringsleddene bare gir ut signal når resultantsignalet i summasjonspunktet, som representerer inngangssignalet til overføringsleddene, svinger omkring denne verdi. Fra overføringsleddene føres signalene isolert fra hverandre til tre elektroniske brytere eller tre flip-flops. Når det benyttes en elektronisk bryter, kobles bryteren inn i takt med signalet fra det foregående overføringsledd så lenge et på forhånd bestemt statisk signal fra den tilkoblede målekanal er tilstede. Anvendes flip-flop, blir denne "satt" av pulssignal fra overføringsledd og "tilbakesatt" av pulssignal fra målekanal. Ved en alarmsituasjon i en målekanal eller ved en komponentsvikt i denne, vil det relevante styresignal utebli, slik at signalet fra den aktuelle bryter eller flip-flop blir stoppet. The transmission links consist of threshold gates with the same output signals as the signals from the pulse generators. The threshold gates have a threshold value of 1/2 U. This means that the transmission links only output a signal when the resultant signal in the summation point, which represents the input signal to the transmission links, fluctuates around this value. From the transmission links, the signals are fed in isolation from each other to three electronic switches or three flip-flops. When an electronic switch is used, the switch is switched on in time with the signal from the previous transmission link as long as a predetermined static signal from the connected measurement channel is present. If a flip-flop is used, this is "set" by a pulse signal from the transmission link and "reset" by a pulse signal from the measuring channel. In the event of an alarm situation in a measuring channel or in the event of a component failure in this, the relevant control signal will be absent, so that the signal from the switch or flip-flop in question is stopped.

Fra disse brytere eller flip-flops føres signalene videre til neste overvåkingsenhet for en parameter som starter med et nytt summasjonspunkt for over-føringsleddene. Parallelt føres signalene også inn på tre separate alarmenheter som gir alarm ved at en lampe tennes når det respektive pulssignal forsvinner som følge av feilindikasjon i den foranliggende målekanal eller komponentfeil i til-hørende utstyr. From these switches or flip-flops, the signals are passed on to the next monitoring unit for a parameter that starts with a new summation point for the transmission links. In parallel, the signals are also fed into three separate alarm units which give an alarm by lighting a lamp when the respective pulse signal disappears as a result of a fault indication in the upstream measuring channel or a component fault in the associated equipment.

Da det er resultantsignalet i et summasjonspunkt som danner inngangssignalet til terskelportene og som dermed er grunnlaget for den 2 av 3 utvelging som foregår, i disse, skal de viktigste av de signaltyper som kan forekomme for-klares nærmere under henvisning til figurene 2-5. As it is the resultant signal in a summation point that forms the input signal to the threshold gates and which is thus the basis for the 2 out of 3 selection that takes place, in these, the most important of the signal types that can occur shall be explained in more detail with reference to figures 2-5.

I figur 2 representerer RI motstandene i foranliggende OG-porters eller pulsgeneratorers utgang, mens R2 representerer motstandene i terskelportenes inngang. Dersom alle tre pulssignaler med et potensial som varierer mellom 0 og U er tilstede og i fase med hverandre, vil resultantsignalet i summasjonspunktet S også variere mellom 0 og U. Terskelportenes inngangssignaler vil altså variere slik som vist figur 3, og utkoblingslinjene vil arbeide normalt da inngangssignalet svinger omkring terskelverdien 1/2 U. In Figure 2, RI represents the resistances in the output of the preceding AND gates or pulse generators, while R2 represents the resistances in the input of the threshold gates. If all three pulse signals with a potential that varies between 0 and U are present and in phase with each other, the resultant signal at the summation point S will also vary between 0 and U. The threshold gates' input signals will therefore vary as shown in figure 3, and the disconnection lines will work normally then the input signal fluctuates around the threshold value 1/2 U.

Den fullt opptrukne kurve i figur k viser resultantsignalet når ett signal ligger på konstant nullpotensial mens de to andre signaler er normale. Det vil i dette tilfelle oppstå et potensialfall fra U til 0 over en parallellkobling av motstandene RI i de to linjer som arbeider normalt og videre over motstanden The fully drawn curve in figure k shows the resultant signal when one signal is at a constant zero potential while the other two signals are normal. In this case, a potential drop from U to 0 will occur across a parallel connection of the resistors RI in the two lines that work normally and further across the resistor

RI i den linje som ligger på konstant nullpotensial. Det er her en forutsetning at R2J^R1. Potensialet i summasjonspunktet vil dermed bli 2/3 U og vil svinge mellom 0 og denne verdi i takt med de signaler som sendes ut fra foranliggende krets. Den stiplede kurve i figur h viser på sin side tilstanden når ett signal ligger på konstant plusspotensial mens de to andre signaler er normale. I dette tilfelle vil det oppstå et potensialfall fra U til 0 over motstanden RI i den uvirksomme utkoblingslinje og videre over en parallellkobling av motstandene RI RI in the line that lies at constant zero potential. It is here a prerequisite that R2J^R1. The potential at the summation point will thus be 2/3 U and will fluctuate between 0 and this value in step with the signals sent out from the upstream circuit. The dashed curve in Figure h, on the other hand, shows the condition when one signal is at a constant plus potential while the other two signals are normal. In this case, a potential drop from U to 0 will occur across the resistor RI in the inactive trip line and further across a parallel connection of the resistors RI

i de to linjer som arbeider normalt. Potensialet i summasjonspunktet vil dermed bli 1/3 U og vil svinge mellom U og denne verdi. I begge tilfeller vil således signalet svinge omkring terskelverdien 1/2 U, slik at signaloverføringen i de tre utkoblingslinjer ikke blir påvirket. Denne tilstand kan for eksempel være for-årsaket av svikt i en pulsgenerator, alarmindikasjon i et målepunkt eller komponentsvikt i en målekanal. Det vil fremgå av det foregående at utkoblingslinjene heller ikke vil bli påvirket dersom det samtidig opptrer en alarmindikasjon eller feil i en målekanal for en eller flere av de andre parametre som overvåkes. in the two lines that work normally. The potential at the summation point will thus be 1/3 U and will fluctuate between U and this value. In both cases, the signal will therefore fluctuate around the threshold value 1/2 U, so that the signal transmission in the three disconnection lines is not affected. This condition can, for example, be caused by a failure in a pulse generator, alarm indication in a measuring point or component failure in a measuring channel. It will be clear from the foregoing that the disconnection lines will also not be affected if an alarm indication or error occurs in a measurement channel for one or more of the other parameters that are monitored at the same time.

Den fullt opptrukne linje på figur 5 viser situasjonen i summasjonspunktet når to signaler ligger på nullpotensial mens ett arbeider normalt. Den stiplede kurve angir på sin side situasjonen når to signaler ligger på konstant plusspotensial mens ett arbeider normalt. Ved anvendelse av samme resonnement som ovenfor kan det vises at potensialet i summasjonspunktet i det første tilfelle vil svinge mellom 0 og 1/3 U og i det andre tilfelle mellom U og 2/3 U. Ikke i noen av disse tilfeller vil signalet svinge omkring terskelverdien 1/2 U.- Dette medfører at signaloverføringen i alle utkoblingslinjer blir sperret, noe som igjen vil føre til stopp av den prosess som overvåkes. The solid line in Figure 5 shows the situation at the summation point when two signals are at zero potential while one is working normally. The dashed curve, on the other hand, indicates the situation when two signals are at a constant plus potential while one works normally. By applying the same reasoning as above, it can be shown that the potential at the summation point in the first case will fluctuate between 0 and 1/3 U and in the second case between U and 2/3 U. In neither of these cases will the signal fluctuate around threshold value 1/2 U.- This means that the signal transmission in all disconnection lines is blocked, which in turn will lead to a stop of the monitored process.

Som det vil fremgå av det foregående vil det foreliggende sikkerhetssystem alltid oppfylle kravet om at 2 av 3 feil skal stoppe den prosess som overvåkes. Samtidig har man oppnådd å begrense dette krav til bare å gjelde innenfor en bestemt del av kretsen, idet måleindikasjon fra en parameter eller komponentfeil i den tilhørende del av kretsen ikke kan kombineres med en tilsvarende indikasjon eller komponentfeil fra en annen parameter og således forårsake en unødvendig stopp av den prosess som overvåkes. As will be apparent from the foregoing, the present security system will always fulfill the requirement that 2 out of 3 errors must stop the monitored process. At the same time, it has been achieved to limit this requirement to only apply within a specific part of the circuit, as a measurement indication from a parameter or component fault in the associated part of the circuit cannot be combined with a corresponding indication or component fault from another parameter and thus cause an unnecessary stop the monitored process.

Sikkerhetssystemet får sin strømforsyning fra tre separate akkumulatorer som sikrer at systemet opererer normalt ved nettforstyrrelser. Også her er 2 av 3 prinsippet gjennomført, idet krafttilførselen fra en akkumulator kan svikte uten at den prosess som overvåkes blir stoppet. Forøvrig kan sikkerhetssystemet ut-styres med en spesiell."elektronisk ventil" som tillater at to av akkumulatorene kan være ute av drift samtidig uten at dette forårsaker stopp av den prosess som overvåkes. Denne mulighet vil redusere sjansene for uønsket stopp under reparasjon og vedlikehold av kraftforsyningsenhetene. The security system receives its power supply from three separate accumulators which ensure that the system operates normally in the event of mains disturbances. Here, too, the 2 out of 3 principle is implemented, as the power supply from an accumulator can fail without the process being monitored being stopped. Furthermore, the safety system can be equipped with a special "electronic valve" which allows two of the accumulators to be out of operation at the same time without this causing a stop to the monitored process. This possibility will reduce the chances of unwanted stoppage during repair and maintenance of the power supply units.

Claims

1. Electronic safety system for monitoring operating parameters in chemical and physical processes, in particular for monitoring operating parameters in a nuclear reactor, where each parameter is monitored by a number of n measurement channels (r,s,t respectively r',s',t'), where signals from each of these channels constitute one input signal to an AND port for each of the n measurement channels, where each of these ports is connected in chain with a corresponding AND port for each of the parameters being monitored, where each chain of AND -ports at one end is connected to a pulse generator which emits pulses with a potential that varies regularly between 0 and U and where these pulses form the second of two input signals to the AND ports which, in the presence of both input signals, will transfer the pulses to the next port in the chain so that a number of n disconnection lines (A,B,C) are formed which ensure that the monitored process is stopped in m out of n choices, characterized by the fact that a transfer is arranged in front of each AND gate gsled in the form of a threshold gate that emits pulses with a potential that varies regularly between 0 and U when the potential of the threshold gate's input signal varies around a threshold value that is greater than —-— U and less than — U, where m>2 and n = 2m - 1, and by the disconnection lines being connected to a common connection point in front of the threshold gates so that they receive a common input signal.

2. Electronic security system according to claim 1, characterized in that the pulse generators are connected together so that they synchronize each other.

3. Electronic safety system according to claims 1-2, characterized in that the corresponding parts of the different disconnection lines have approximately the same resistance. h.

Electronic security system according to claims 1-3, characterized in that the input resistance of the threshold gates is of a higher order of magnitude than the output resistance of the preceding circuit in the chain.

5. Electronic security system according to claim 1-U, characterized in that the threshold value is equal to 1/2 U.