-
Universelle Karte für ein Kernreaktorschutzsystem
-
Die Erfindung bezieht sich auf Kernreaktoranlagen und betrifft insbesondere
ein Kernreaktorschutzsystem und ein Selbsttestsystem. Insbesondere ist im folgenden
eine universelle Logikkarte beschrieben, die in eine beliebige Anzahl von Kanälen
innerhalb eines solchen Kernreaktorschutzsystems einfügbar ist. Beispielsweise ist
zwischen Meßfühlern, wie beispielsweise Kernüberhitzungsfühlern, und einer entsprechenden
Sicherheits- oder Betriebsfunktion, wie beispielsweise dem Einführen von Bor zum
Abschalten eines Reaktors, die universelle Logikkarte nach der Erfindung angeordnet,
wobei die auf ihr enthaltene
vorprogrammierbare Digitallogik dem
besonderen Kanal angepaßt ist, in den die Karte eingefügt ist. Die Karte, die vorprogrammiert
wird, um sie der Kanallogik anzupassen, führt die notwendige Kanallogik zum Aktivieren
des Schutzsystems aus, spricht auf einen systemweiten Test an, bei dem Impulse kurzer
Dauer benutzt werden, die für das tatsächliche Betriebssystem transparent sind,
und führt ständig den Selbsttest aus, wenn entweder das tatsächliche System nicht
im Einsatz ist oder die generischen Tests unter dem Systemkontroller nicht ausgeführt
werden.
-
Die Erfindung bezieht sich auf ein Selbsttestuntersystem für ein Kernreaktorschutzsystem.
Die Anmelderin nimmt hiermit auf ihre ältere deutsche Patentanmeldung P 33 22 509.5
Bezug.
-
Kernreaktorschutzsysteme enthalten elektronische Steuereinrichtungen,
die typisch in einem diskreten Digital-und Analog format innerhalb von Schaltungskarten
ausgeführt sind. Diese Schaltungskarten sind zwischen Vorrichtungen, wie beispielsweise
Meßfühlern (z.B. zum Erkennen einer Kernüberhitzung), und Steuereinrichtungen (z.B.
für das Einführen von Bor zum Abschalten eines Reaktors) angeordnet. Gemäß der älteren
Anmeldung erfolgt eine ständige Überwachung des Kernreaktorschutzsystems durch einen
Systemkontrollermikroprozessor. Dieser Systemkontrollermikroprozessor adressiert
seriell Schutzsystemschaltungskarten und lädt sie an vorbestimctten Eingangspunkten
mit Testkommandos. Die adressierten Karten werden anschließend durch ein systemweites
Kommando gleichzeitig aktiviert. Es wird ein Testimpuls ausgesendet, dessen Dauer
so kurz ist, daß er für das Reaktorschutzsystem transparent ist und deshalb nicht
den Gesamtreaktorschutzsystembetrieb verursachen kann.
-
Die transparenten Impulse gehen jedoch durch die tatsächlichen betätigenden
elektrischen Komponenten der Karten hindurch, um auf dem wirklichen Betätigungsweg
die Funktionstüchtigkeit des Systems zu bestätigen. Nach einem geeigneten Ansprechintervall
wird der Ausgangszustand des Systems in systemweiten residenten Registern aufgezeichnet.
Anschließend wird, wenn die in diesen Registern enthaltenen Antwortdaten in dem
aufgezeichneten Zustand festgehalten sind, das Ausgangssignal durch einen Überwachungscomputer
gelesen, der typisch der Systemkontrollermikroprozessor ist. Das Ergebnis wird mit
dem erwarteten Ausgangssignal verglichen, das bereits in dem Computerspeicher enthalten
ist. Wenn die Übereinstimmung zwischen dem Speicherausgangssignal und dem Registerausgangssignal
festgestellt wird, wird der nächste sequentielle Satz von Testkommandos ausgeführt.
Wenn keine Übereinstimmung festgestellt wird, wird automatisch eine Unterprogrammsuche
ausgeführt, um den Fehler aufzufinden. Ein Protokoll der Redundanz sogar innerhalb
des Testsystems ist in der älteren Anmeldung beschrieben.
-
In dem oben beschriebenen System muß jeder Kanal innerhalb der Kernreaktoranlage
und des Kernreaktorschutzsystems selbst mit diskreten Logikelementen, wie beispielsweise
einfachen Gattern und 11Relaisbäumen", diskret verdrahtet werden, und hunderte von
solchen Karten müssen für die vielen Kanäle in einem Kernreaktorschutzsystem auf
Lager gehalten werden, der Kartenbestand ist groß, und der Aufbau von zahlreichen
diskreten festverdrahteten Logikschaltungen macht den Entwurf, die Herstellung und
die Lagerhaltung in einer Kernreaktoranlage unnötig kompliziert.
-
Das Ausführen einer Logikschaltungsanordnung in Software
ist
bekannt. Das Ausführen von Digitallogik in Software für die wesentlichen Funktionen,
die bei einer Fehlfunktion die Qualität der Umgebung beeinträchtigen können, beispielsweise
durch nukleares Niederschmelzen, Strahlungsleckage oder andere lebensgefährliche
Unfälle, ist jedoch bislang nicht angewandt worden. Kurz gesagt, die Softwarelogik
ist als Kandidat zum Erset~en einer diskreten Digitalschaltungsanordnung nicht zugelassen
worden, weil es nicht möglich ist, das korrekte Arbeiten der Software nachzuprüfen.
-
Die Erfindung schafft eine universelle Logikkarte, die sowohl eine
vorprogrammierte Funktionsschaltungsanordnung zum Betätigen der Kanallogik als auch
eine zweckbestimmte Testschaltungsanordnung zum Testen der Funktionsschaltungen
enthält. Das ermöglicht eine ständige Schleifenabfragung der vorprogrammierten Kanallogik,
wenn kein Systemkontrollertest ausgeführt wird. Die Karte nach der Erfindung befindet
sich als ein Kanal in einem Reaktorschutz system für eine Kernreaktoranlage. Die
Karte ist in einem Software-Festwertspeicher (ROM) vorprogrammiert, um äq#uivalent
zu einer diskreten Schaltungsanordnung während des tatsächlichen Anlagenbetriebes
zu arbeiten.
-
Darüber hinaus spricht die Karte auf die systemgesteuerte Überwachung
des Selbsttestsystems an. Bei der systemgesteuerten Überwachüng adressiert ein zentraler
Mikroprozessor seriell Systemschaltungskarten, wie beispielsweise die beschriebene,
und lädt an vorbestimmten Eingangspunkten Testkommandos in diese Karten. Die adressierten
Karten werden anschließend durch ein systemweites Kommando gleichzeitig aktiviert.
Ein Testimpuls, dessen Dauer so kurz ist, daß er für das System transparent ist
und deshalb nicht den Gesamtbetrieb verursachen kann, wird ausgelöst. Der Impuls
geht durch die vorprogrammierte Kanallogik auf der
universellen
Karte längs der tatsächlichen programmbetätigten Komponenten hindurch, um auf dem
wirklichen Betätigungsweg die Funktionstüchtigkeit des Systems nachzuprüfen.
-
Nach einem geeigneten Antwortintervall wird der Ausgangszustand des
Systems in Ausgangsregistern aufgezeichnet und dann unter der Steuerung von dem
Kontrollercomputer her gelesen. Schließlich wird die programmierte Karte in Abwesenheit
eines systemweiten Tests durch einen Schleifensekundärcomputer überwacht, der sich
auf der Karte befindet und ausschließlich für Selbsttestzwecke benutzt wird. Dieser
Computer liest die Karteneingangs- und -ausgangssignale, überprüft die RAM (Speicher
mit wahlfreiem Zugriff) - und ROM-Speicher, überwacht ständig die Systemzeitgeber
und prüft in Abhängigkeit von dem Gesamtzustand die Genauigkeit der Übertragungsfunktion
innerhalb der Karte nach. Diese Testschaltungsanordnung wird nur bei einem Systemkontrollertest
gesperrt und bleibt sogar während der tatsächlichen Systembetätigung unter Verwendung
der programmierten Digitallogik in Betrieb.
-
Die Erfindung schafft eine Karte zum Einfügen in ein Kernreaktorschutzsystem,
die programmiert werden kann, so daß sie einer Vielzahl von Steuerkanälen angepaßt
werden kann.
-
Die Karte enthält mehrere Digitaleingangskanäle, mehrere Digitalausgangskanäle
und eine programmierbare Digitallogik, die dazwischen enthalten ist. Die Digitallogik
ist in einem nichtflüchtigten ROM enthalten. Diese Logik wird für den Kunden maßgeschneidert,
um eine Analog- und Digitalschaltungsanordnung von diskreten Kanälen entweder in
Form von Logikgattern oder von Booleschen Gleichungen zu emulieren, mit denen jeweils
Zeitgeberfunktionen unterschiedlicher Dauer verbunden sind. Die vorprogrammierte
Karte führt die programmierte Logikfunktion zwischen ihrem Eingang und ihrem Ausgang
aus, um die notwendige Reaktion
des Kernreaktorschutzsystems durch
verwendbare Übertragungsfunktionen zu liefern.
-
Ein Vorteil der beschriebenen programmierbaren Logik ist, daß dieselbe
Karte in dem gesamten System universell eingesetzt werden kann. Es braucht nur die
Programmierung der verteilten Intelligenz auf der Karte geändert zu werden.
-
Diese Programmierung, die typisch in Form eines programmierbaren ROM
erfolgt, paßt die universelle Karte der besonderen Kanallogik in dem System an.
-
Ein weiterer Vorteil der Erfindung ist, daß der Lagerbestand verringert
wird. Für viele Verwendungszwecke braucht nur der programmierte ROM der Karte eingefügt
zu werden, um die Karte dem Anordnen an irgendeiner Stelle innerhalb eines Kernreaktorschutzsystems
anzupassen.
-
Weiter kann die vorprograrntnierbare universelle Logikkarte nach der
Erfindung an einem systemweiten Test teilnehmen. Gemäß diesem Aspekt der Erfindung
wird eine Testschaltungsanordnung beschrieben. Diese Testschaltungsanordnung ist
in der Lage, serielle Daten unter der Steuerung des Selbsttestsystemkontrollers
einzulesen und anschließend Systemtests auf das Signal aus dem Selbsttestsystemkontroller
hin aus zuführen. Nach dem Systemtest erfolgt das Schreiben an dem Kartenausgang.
Das entsprechende Kartenausgangssignal wird anschließend gelesen und mit dem erwarteten
Ergebnis durch den Selbsttestsystemkontroller verglichen. Wenn die Korrelation mit
dem erwarteten Ergebnis festgestellt wird, ist der Test bestanden, wenn dagegen
die Korrelation mit dem erwarteten Ergebnis nicht festgestellt wird, ist der Test
nicht bestanden und die Logikkarte wird ausgetauscht.
-
Ein Vorteil dieses Aspekts der Erfindung ist, daß die pr#ogrammierbare
Logikkarte wie ihre analogen und diskreten digitalen Vorgänger in der Lage ist,
an einem systemweiten
Test teilzunehmen. Bei diesem systemweiten
Test werden notwendigerweise die tatsächlichen elektronischen Komponenten der programmierten
universellen Logikkarte benutzt, die für den tatsächlichen Systemeinsatz erforderlich
sein würden.
-
Einfach ausgedrückt, der wirkliche Betätigungsweg des Systems wird
getestet.
-
Weiter schafft die Erfindung eine bei Nichtvorhandensein eines Systemtests
eingesetzte Überwachungslogik, die sich auf die besondere universelle Logikkarte,
die eingefügt wird, beschränkt. Gemäß diesem Aspekt der Erfindung und bei Nichtvorhandensein
von Systemtests unter der Steuerung des Systemkontrollers liest die begrenzte Testlogik
auf der Karte die Karteneingangssignale, prüft RAM und ROM auf Fehler, prüft den
Betriebsstatus der Systemzeitgeber nach, führt tatsächliche Aufrufe an die Systemzeitgeber
aus, um deren Betrieb nachzuprüfen, und prüft schließlich die erforderlichen übertragungsfunktionen
von digitalen logischen Signalen vom Eingang zum Ausgang der Karte nach.
-
Ein Vorteil dieses Aspekts der Erfindung ist, daß die Karte ihre
eigene diskret programmierte Kanallogik testet.
-
Diese Kanallogik wird ständig auf richtiges Arbeiten überprüft, und,
wenn das richtige Arbeiten nicht festgestellt wird, wird das System gekennzeichnet,
damit die Karte ausgetauscht wird. Anschließend und nach einer Systemabfrage durch
den Selbsttestkontroller wird die Karte sofort als fehlerhaft gekennzeichnet.
-
Ein Vorteil dieses Aspekts der Erfindung ist, daß der beschriebene
Selbsttest in der universell programmierbaren Karte die digitale Emulation#der Analog-
und Digi-#tallogik steigert. Ein höherer Grad an Zuverlässigkeit 8(Schnellübersetzung)
wird
erreicht, obgleich die universelle Karte mit diskret programmierbarem Speicher benutzt
wird, um Analog-und Digital schaltungen zu ersetzen.
-
Ein Ausführungsbeispiel der Erfindung wird im folgenden unter Bezugnahme
auf die Zeichnungen näher beschrieben.
-
Es zeigen Fig. 1 ein Blockschaltbild eines Kernreaktorschutzsystems,
Fig. 2 eine Kartenanordnung in der Logik eines solchen Systems, die Fig. 3, 3A-3D
die essentielle Schaltungsanordnung, Fig. 4 ein Logikschaltbild der programmierbaren
Analog- und Digitalschaltungsanordnung sowie der Zeitgeber in einem der Kanäle des
Kernreaktorschutzsystems, die Fig. 5, 5A-5E den Testschaltungsteil einer Karte einschließlich
der Bezeichnung der tatsächlich benutzten Komponenten und Fig. 6 ein Zeitdiagramm
der wesentlichen Logikfunktion der Karte, das zeigt, wie der Kartenselbsttest die
Stabilität der erfindungsgemäßen vorprogrammierten Digitallogik gewährleistet.
-
Die Zeichnungen enthalten Angaben über verwendbare elektronische Komponenten
und deren Verbindungen. In vielen Fällen sind die Stiftnummern auf den Komponenten
angegeben.
-
Es wird hier auf die eingangs erwähnte ältere Patentanmeldung P 33
22 509.5 Bezug genommen. Durch Wiederholen der Zusammenfassung dieser älteren Anmeldung
wird dem Leser die Umgebung verständlich, in der die Erfindung benutzt wird.
-
Im folgenden ist eine Zusammenfassung des den Gegenstand der älteren
Anmeldung bildenden Selbsttestuntersystems für ein Kernreaktorschutzsystem angegeben.
-
Es wird ein Selbsttestsystem für das Kernreaktorschutzsystem einer
zur Stromerzeugung verwendeten Kernreaktoranlage zusammenfassend beschrieben. Kernreaktorschutzsysteme
sind die elektronischen Steuereinrichtungen, die typisch Schaltungskarten enthalten,
welche zwischen Meßfühlern (z.B. zum Erkennen einer Kernüberhitzung) und einer Steuereinrichtung
(beispielsweise zur Stabeinführung zum Abschalten eines Reaktors) angeordnet sind.
Die ständige Überwachung des Kernreaktorschutzsystems erfolgt durch einen Mikroprozessor,
der die Schutzsystemschaltungskarten seriell adressiert und an vorbestimmten Eingangspunkten
Testkommandos in diese lädt. Die adressierten Karten werden anschließend gleichzeitig
durch ein systemweites Kommando aktiviert. Das Testkommando ist ein Impuls, dessen
Dauer so kurz ist, daß seine Auswirkung für das System transparent ist und nicht
den Gesamt systembetrieb hervorrufen kann. Der Impuls geht durch die
betätigenden
elektrischen Komponenten hindurch, um auf dem wirklichen Betätigungsweg die Funktionstüchtigkeit
des Systems nachzuprüfen. Nach einem geeigneten Ansprechintervall wird der Ausgangszustand
des Systems in systemweiten residenten Registern aufgezeichnet. Anschließend wird,
wenn die Ansprechdaten in diesen Registern enthalten und in dem aufgezeichneten
Zustand festgehalten sind, das Ausgangssignal gelesen. Das Ergebnis wird mit dem
erwarteten Ausgangssignal im Computerspeicher verglichen. Wenn Übereinstimmung zwischen
dem Speicherausgangssignal und dem Registerausgangssignal festgestellt wird, wird
der nächste sequentielle Satz von Testkommandos gegeben. Wenn keine Übereinstimmung
festgestellt wird, wird automatisch eine Unterprogrammsuche ausgeführt, um den Fehler
aufzufinden.
-
Das beschriebene Selbsttestuntersystem ist in vier getrennten Abteilungen
doppelt ausgeführt, wobei jede Abteilung eines des vier doppelt ausgeführten Schutzsysteme
testet. Die drei verbleibenden und im Leerlauf befindlichen Abteilungen überwachen
ständig den aktiven Untersystembetrieb. Das Endergebnis ist ein Gesamtsystem, das
die mittlere Zeit zum Entdecken eines Fehlers reduziert und so die mittlere Zeit
zum Reparieren und zum Maximieren der Schutzsystemverfügbarkeit und -sicherheit
minimiert. Die Aufteilung des Schutzsystems in vier duplizierte Abteilungen ist
nicht von der beschriebenen Erfindung abhängig, denn die Erfindung kann bei Schutz
systemen mit einer anderen Anzahl von Abteilungen verwendet werden.
-
Ein repräsentativer Anspruch aus der älteren Anmeldung, auf die Bezug
genommen wird, lautet: 1. Selbsttestsystem für ein Kernreaktorschutzsystem (RPS),
gekennzeichnet durch: einen Prozessor zum Erzeugen einer Reihe von Kernreaktorschutzsystemtestmustern
und
Testvektoren, wobei der Prozessor eine Serie von zugehörigen erwarteten Testergebnissen
enthält; mehrere Selbsttestelemente, die mit dem Prozessor verbunden sind, zum Empfangen
der Testvektoren und zum Empfangen und Speichern von zugehörigen tatsächlichen Testergebnissen
aus dem Kernreaktorschutzsystem; eine erste Einrichtung, die auf Kommandos aus dem
Prozessor hin unter den Selbsttestelementen diejenigen Selbsttestelemente auswählt,
die den Kernreaktorschutzsystemtestmustern entsprechen; eine zweite Einrichtung,
die auf Kommandos aus dem Prozessor hin einen Testimpuls kurzer Dauer erzeugt, der
für den Kernreaktorschutzsystembetrieb transparent ist und das Eingeben von Testvektoren
in das Kernreaktorschutzsystem durch die Selbsttestelemente bewirkt; eine Einrichtung,
die mit den Selbsttestelementen verbunden ist, um die tatsächlichen Testergebnisse
zu überwachen, und die mit dem Prozessor verbunden ist, um die tatsächlichen Testergebnisse
mit den erwarteten Testergebnissen zu vergleichen; und eine Einrichtung, die mit
der Überwachungs- und Vergleichseinrichtung verbunden ist, zum Anzeigen von Differenzen
zwischen den tatsächlichen Testergebnissen und den erwarteten Testergebnissen.
-
Die Fig. 1 und 2 sind Kopien der Fig. 1 bzw. 4 der älteren Anmeldung.
Ein Selbsttestsystem für ein Kernreaktorschutz system wird, einfach ausgedrückt,
aus Sicherheitsgründen in diskrete und oftmals redundante Abteilungen unterteilt,
wobei es in dem hier dargestellten Protokoll vier Abteilungen gibt. Jede Systemabteilung
enthält einen Selbsttestkontroller (oder Selbstteststeuereinheit) STC,
der
über ein Interface oder eine Schnittstelle das korrekte Arbeiten des Kernreaktorschutzsystems
überwacht und bestätigt. In dieses Kernreaktorschutzsystem NSPS paßt die Karte nach
der Erfindung. Jedes System oder jede Abteilung muß eine Schnittstellenverbindung
mit den tatsächlichen Steuereinrichtungen haben. Es sind diese Systeme, die Steuerraumanzeigern
43 und dem Bedienungspersonal Ausfälle von verschiedenen Teilen des Systems anzeigen.
-
Der Leser wird bemerken, daß, wenn ein Teil des Systems ausfällt,
die vorgesehene Redundanz einer der verbleibenden Abteilungen und mehrdeutigen Schutzsystemelementen
gestattet, selbst an die Stelle eines ausgefallenen Elements zu treten. Das zu lösende
Problem besteht darin, wie die mittlere Zeit zwischen Ausfällen auf einem Minimum
gehalten werden kann.
-
Anhand von Fig. 2 erhält der Leser eine Idee von der Mehrdeutigkeit
des Systems. Jede mehrdeutige Abteilung enthält Karten 60. Der Systemtest wird durch
einen Kartenwählmonitor 54 gesteuert. Die Systeme werden diskret überwacht und teilen
ihren Status seriell über ein Leitung 6 einem gesteuerten Eingabe/Ausgabe-Tor mit.
Was hiei im Rahmen der Erfindung beschrieben wird, ist eine Logikfunktionskarte
wie die erste Karte in dem System A.
-
Der Leser mag den Aufbau einer solchen Karte betrachten.
-
Bislang und in der Anordnung nach Fig. 4 der Erfindung macht eine
Analog- oder Digitalschaltungsanordnung jede Karte aus. Es gibt buchstäblich tausende
von solchen Karten in dem Schutz system eines Kernreaktorsicherheitssystems. Aus
diesem Grund muß ein umfangreicher Lagerbestand von vielen hunderten von Karten
vorhanden sein.
-
Die hier beschriebene Erfindung schafft eine Standardkarte. Diese
Karte hat keine diskret verdrahteten analogen oder digitalen Elemente mehr. Statt
dessen wird sie digital programmiert. Die Programmierung beinhaltet Zeitgeber. Beispielsweise
kann die Analog- und Digitalschaltung nach Fig. 4 digital programmiert werden. Das
System ermöglicht, kurz gesagt, das Ersetzen von sämtlichen diskret verdrahteten
Karten 60 innerhalb des Hauptteils einer Standardkarte.
-
Nachdem die Umgebung, in der die Erfindung ruht, durch die Bezugnahme
auf die ältere Anmeldung und deren zusammenfassende Beschreibung dargelegt worden
ist, wird der übrige Teil der Erfindung beschrieben. Zuerst wird unter Bezugnahme
auf Fig. 3 die elektronische Auslegung der essentiellen Schaltungsanordnung beschrieben.
Dann wird unter Bezugnahme auf Fig. 4 eine typische programmierte Analog- und Digitalschaltung
beschrieben. In dieser Beschreibung wird vorausgesetzt, daß der Leser weiß, daß
es im Stand der Technik üblich ist, eine Analog- und Digitallogik, die diskrete
Zeitgeber enthält, digital zu programmieren. Schließlich wird unter Bezugnahme auf
Fig.
-
5 die Testschaltung beschrieben. Die Testschaltung, ein Bereich von
wesentlicher Neuheit, macht die programmierte Analog- und Digitalschaltungsanordnung
so zuverlässig, daß diese programmierbare Analog- und Digitalschaltung in der Umgebung
eines Schutz systems eines Kernreaktorsicherheitssystems zugelassen werden kann.
Zuerst wird das Testen auf den Selbsttestsystemkontroller hin beschrieben. Zweitens
wird das Testen in Abwesenheit eines Selbsttestsystemkontrollertests beschrieben.
-
Die Fig. 3, 3A, 3B und 3C zeigen einen 12-Volt-Logikeingang 16 und
einen 12-Volt-Logikausgang 18. Der Leser wird
bemerken, daß 18
Bits des Logikeingangssignals und 20 Bits des Logikausgangssignals hier betrachtet
werden.
-
Diese Eingangs- und Ausgangssignale sind in Abhängigkeit von dem Verwendungszweck
variabel. Speicherflipflops 20, 22, 24 sind 8-Bit-Flipflops, wobei 2 Bits an Masse
liegen. Diese Speicherflipflops bilden die Eingänge eines kombinierten E/A-RAM-
und Zeitgeberchips 26.
-
Der Computeraufbau ist mehr oder weniger herkömmlich.
-
Er enthält ein Adreßspeicherflipflop 30, einen programmierbaren Festwertspeicher
(PROM) 32, eine Zentraleinheit 34, einen Speicherflipflopdecodierer 36, einen Pegelschieber
38 und Ausgangsspeicherflipflops 40, 42, 44.
-
Etwas Aufmerksamkeit sollte der Schaltungsanordnung gewidmet werden,
die bei der Karte für Trennzwecke benutzt wird. Die Speicherflipflops haben Widerstände
50 relativ großer Impedanz, die sowohl eine Teilerschaltung als auch eine Impedanz
für transiente Spannungen, die in das System einzudringen versuchen, bilden. Ein
ähnlicher Schutz besteht durch eine Diodenschaltung 60 an dem Systemausgang; die
Spannungspegel werden auf Diodendurchlaßpegel nach Masse begrenzt.
-
Nachdem die essentielle Schaltungsanordnung beschrieben worden ist,
wird nun auf Fig. 4 Bezug genommen. Fig. 4 zeigt die Analog- und Digitalschaltungsanordnung,
die zwischen den Eingängen 16 und den Ausgängen 18 angeordnet ist. Die programmierbare
Digitallogik nach der Erfindung schafft diese Möglichkeit. Die hier gezeigte besondere
Schaltungsanordnung ist in einer besonderen
Karte brauchbar. Beispielsweise
sind einige der verwendeten Eingangssignale der Auslösewert bei hohem Reaktordampfdomdruck
und der Auslösewert bei niedrigem Reaktorwasserstand. Ausgangssignale sind beispielsweise
Signale für den hohen Dampfdomdruckauslösewert, den Auslösewert für niedrigen Wasserstand
und zugeordnete Rückstellungen.
-
Es folgt eine analoge logische Kette. Diese Kette enthält UND-Gatter
60, ODER-Gatter 62 und drei diskrete Arten von Zeitgebern 64. Die digitale Programmierung
dieser Analoglogik ist bekannt.
-
Anhand von Fig. 5 wird die Testschaltungsanordnung nach der Erfindung
verständlich. Zuerst wird der Leser am besten über zwei Arten von diskreten Tests
informiert, der die programmierbare Logik dieser Karte ausgesetzt wird.
-
Der erste Typ von Test ist der Test, der in der älteren Patentanmeldung
beschrieben ist. Auf Kommando aus einem Selbsttestsystemkontroller werden Abschnitte
des Systems sequentiell getestet. Das Testen erfolgt' durch tatsächliche Impulse.
Diese tatsächlichen Impulse haben eine ausreichend kurze Dauer, so daß sie für das
Betriebssystem transparent sind.
-
Es gibt einen zweiten Typ von Test. Dieser zweite Typ von Test erfolgt
unter der Steuerung des in den Fig. 5, 5A-5D dargestellten Mikroprozessors. In Abwesenheit
eines Systemtests, der durch den Systemkontroller veranlaßt wird, überwacht der
Mikroprozessor nach Fig. 5 ständig den in Fig. 3 gezeigten Mikroprozessor. Diese
ständige Überwachung
fördert die Zuverlässigkeit der programmierbaren
Logik nach Fig. 3 derart, daß sie in einem Kernreaktorsystem zugelassen werden kann.
-
Gemäß Fig. 5 werden Eingangssignale aus dem Logikausgang 18 durch
ein Speicherflipflopsystem geleitet, das aus Speicherflipflops 110, 120, 130 und
140 besteht. Diese Speicherflipflops werden ihrerseits durch einen Eingabe/ Ausgabe-RAM-Zeitgeber
115 gesteuert; außerdem enthält das System ein Adreßspeicherflipflop 116, einen
programmierbaren Speicher 117 und eine Zentraleinheit 118.
-
Es ist notwendig, daß die Funktionslogik an dem Eingang der Karte
gelesen wird. Demgemäß werden die Eingangssignale 122 (vgl. Fig. 3A) in den Mikroprozessor
geleitet. Die betreffenden Eingänge 122 befinden sich auf der Ausgangsseite der
Speicherflipflops 20, 22 bzw. 24. Wenn das der Fall ist, muß die diskrete Adressierung
der Daten aus dem betreffenden Speicherflipflop eingegeben werden.
-
Bezüglich der Einzelheiten bei 131, 132, 133 in den Fig.
-
3A und 3B finden sich entsprechend numerierte Eingänge in den Fig.
5A, SB, 5C und 5D.
-
Im folgenden wird deutlich werden, daß es notwendig ist, daß der Testprozessor
weiß, ob die wesentliche Schaltungsanordnung durch einen vom Hauptkontroller eingeleiteten
Test belegt ist. Demgemäß haben Ausgänge 141, 142, 143 eine Verbindung mit den Eingängen
131, 132, 133, wobei diese Eingänge das Einleiten der Selbsttestfunktion des Mikroprozessors
gestatten (vgl. Fig.
-
3A, 5A bzw. 5B). Diese Ausgänge werden wahlweise benutzt, denn in
der Praxis ist die Kartenwahl ausreichend, um die verlangte Information zu übertragen.
-
Die verbleibenden Hilfsdaten können nun beschrieben werden.
-
Beim Einleiten von Tests muß der Hauptkontroller Karten aufrufen und
wählen. Das erfolgt über den Eingang 270 und das ODER-Gatter 272, das einen Inverter
273 an der zentralen Verarbeitungseinheit hat, um insgesamt ein NAND-Gatter zu bilden.
Das sich ergebende NAND-Gatter gestattet dem Systemtakteingangssignal 259 und dem
Vergleichstaktsignal 260 (Fig. 5C), die Abgabe von Betriebsstatusdaten zu signalisieren.
-
Die seriellen Daten für den Test werden über die Logik des Eingangs/Ausgangs
und den Mikroprozessor in die verschiedenen Eingänge des Systems geladen. Manchmal
ist es während eines Tests erwünscht, gewisse Zustände an dem Kartenausgang zu haben.
Diese Zustände sind beim Testen von stromabwärtigen Karten brauchbar. Mit Hilfe
des Ladens der Eingänge und des Benutzens des Systems zum Übertragen von geeigneten
Zuständen zu den Kartenausgängen können stromabwärtige Tests erfolgen.
-
Wenn die Daten für einen Test unter dem Systemkontroller seriell geladen
werden, wird ein Testimpuls eingeleitet.
-
Dieser Impuls geht über die Leitung 266 (Fig. 5A) in das System und
bewirkt, daß der für das Betriebssystem transparente Impuls die Logik nach Fig.
3 betätigt. Anschliessend und in Abhängigkeit von den Zuständen der Zeitgeber und
der besonderen Logik, die in Fig. 4 programmiert ist, wird der Systemausgangszustand
gelesen. Typisch werden die gelesenen Daten über einen Ausgang 272 für die Abgabe
von seriellen Testdaten (Fig. 5D) abgegeben.
-
Geeignete Sorgfalt muß aufgewendet werden, um sicherzustellen, daß
die gewählte Karte die Wahl bestätigt. Demgemäß ist in dem System ein Ausgang 271
für eine Wählbestätigung vorgesehen. Weiter ist in dem System auch ein
Testimpulsecho
267 vorgesehen (Fig. 5D). Durch Warten auf die Wählbestätigung und durch Warten
auf das Testimpulsecho kann der Systemkontroller feststellen, daß der geeignete
Test benutzt worden ist.
-
Die Systemstromversorgung wird nicht beschrieben, mit Ausnahme der
Tatsache, daß die Sicherung für die Testschaltungsanordnung von der Sicherung für
die essentielle Schaltungsanordnung getrennt ist. Ebenso wird der Leser erkennen,
daß sämtliche Eingänge hohe Impedanzen aufweisen. Spannungsstöße in der Testschaltungsanordnung
werden somit am Eindringen in die wesentliche Logik gehindert. Gleichzeitig enthalten
alle Eingangsspeicherflipflops 110, 120, 130 und 140 (Fig. 5) Spannungsteiler, so
daß das 12-yolt-Eingangssignal zur Rauschunterdrückung auf 5-Volt-Logikpegel für
den Empfang durch das gesamte System heruntergeteilt werden kann. Nachdem der Aufbau
des Systems beschrieben worden ist, wird nun das Blockschaltbild der Computerlogik
betrachtet.
-
Die Arbeitsweise der Schaltungsanordnung kann nun beschrieben werden.
Gemäß Fig. 5 an dem Vergleichstakteingang 260 bewirkt dieser Abschnitt der beschriebenen
Schaltungsanordnung, daß Register, die den Status des Eingangs und des Ausgangs
anzeigen, immer dann gelesen werden, wenn ein Vergleichstaktsignal empfangen wird.
-
Dieses Signal kann daher zu jeder Zeit während des Tests oder während
des tatsächlichen Anlagenbetriebes gelesen werden.
-
Daten können zu einer besonderen Karte gesendet werden, indem der
Kartenwähl- und Taktimpuls betätigt wird. Anschließend kann das Empfangen von tatsächlichen
Daten erfolgen,
die einer Karte einen vorbestimmten Status geben.
-
Wenn z.B. Teile des Systems getestet werden, entweder unter der Steuerung
des Hauptsystemkontrollers oder statt dessen durch manuelle Prüfung eines diskreten
Zweiges des Sicherheitssystems durch die Bedienungsperson, können spezifische Daten
in die Karte getaktet werden. Typisch werden durch die Karte nach einer bestimmten
tibertragungsfunktion hindurchzuleitende Daten in die stromaufwärtigen Karten eingetaktet
und stromabwärts abgegeben. Ebenso werden Daten für stromabwärtige Karten in eine
diskrete Karte eingetaktet und abgegeben.
-
Wenn angenommen wird, daß ein Testimpuls von kurzer und transparenter
Dauer für das tatsächliche Betriebssystem erwünscht ist, wird ein solcher Impuls
bei 266 empfangen (Fig. 5A) und zwar typisch mit einem gleichzeitigen Vergleichstaktsignal.
Es erfolgt die Ausführung der Übertragung von den Eingängen zu den Ausgängen. Es
sei angemerkt, daß während eines Tests sowohl der Eingangs- als auch der Ausgangsspeicherflipflops
sowie des Prozessors und der internen Verdrahtung eine Gesamtlesbarkeit des Signals
erzielt wird. Weiter wird bei jedem Empfang eines Vergleichstaktsignals der Status
des Kartenselbsttests ebenfalls erhalten.
-
Der Status der Karte bei der tatsächlichen Anwendung kann verstanden
werden. Da die Testimpulse eine kurze Dauer haben, werden die Impulse für den tatsächlichen
Einsatz eine lange Dauer haben. Diese Signale werden an den Eingängen erscheinen,
gemäß der entworfenen Analog- und Digitalschaltung durch die programmierte Digitallogik
hindurchgeleitet und in Abhängigkeit von dem Gatter- und Zeitgeberstatus an den
Ausgängen erscheinen.
-
Das Selbsttesten der Karte unter der Steuerung des Kartenprozessors
118
(Fig. 5) wird am besten anhand von Fig. 6 verständlich, die ein Diagramm der Zeitgeberlogik
zeigt.
-
Das Durchlaufen von Schleifen durch die Selbsttestlogik erfolgt zu
jeder Zeit, ausgenommen dann, wenn ein Test unter der Steuerung des Systemkontrollers
erfolgt. Während des Tests des Systemkontrollers ändert sich die Schleife wie dargestellt.
-
Gemäß Fig. 6 und in dem Kasten 300 testet das System zuerst, ob ein
Systemkontrollertest eingeleitet ist. Wenn dem nicht so ist, erfolgt das Schreiben
von Ausgangssignalen bei 301. Bei 302 erfolgt ein Rücksetzen des Überwachungszeitgebers,
um die Karte ihre gewünschte Schleife zeitgerecht durchlaufen zu lassen. Anschließend
und in Übereinstimmung mit einem Fehlerkorrekturcodeprotokoll liest das System bei
303 Eingangssignale und überprüft RAM und ROM mit verschiedenen Prüfsummenprotokollen,
um sicherzustellen, daß kein Fehler vorhanden ist. Wenn angenommen wird, daß kein
Test vonstatten geht, bringt ein Testabwesenheitssignal das Schleifenprotokoll zu
einem Zeitgeber. Das Zeitgeberprotokoll 305 stellt fest, ob auf einer 10-s-Basis
der Zeitgeber die Zeitsperre erreicht hat. Wenn angenommen wird, daß der Zeitgeber
die Zeitsperre erreicht hat, werden die residenten Zeitgeber bei 306 auf den neuesten
Stand gebracht. In Abhängigkeit von dem Zeitgeberstatus und dem Eingangssignal werden
dann die Übertragungsfunktionen bei 307 verglichen.
-
Rechts von den Kästen sind Mikrosekundenzeitintervalle angegeben.
Diese Mikrosekundenzeitintervalle geben die ungefähre Länge der gesamten Prozedur
an.
-
Wenn angenommen wird, daß die Zeitgeber die Zeitsperre nicht erreicht
haben, ist zu erkennen, daß die obere Schleife, die aus 300, 301, 302, 303, 304
und 305 besteht, wiederholt wird.
-
Wenn angenommen wird, daß ein Test vonstatten geht, erfolgt kein Schreiben
von Ausgangssignalen, da es die Testergebnisse stören würde. Ebenso werden die Ausgangssignale
mit irgendwelchen gewünschten Daten eingegeben, so daß der Systemkontrollertest
erfolgen kann, vgl. 310 in Fig. 6.