CH697274B1 - Regelungsvorrichtung zur redundant abgesicherten Überwachung und Regelung einer Anlage. - Google Patents

Description

  Technisches Gebiet

[0001] Die Erfindung betrifft eine Regelungsvorrichtung zur redundant abgesicherten Überwachung und Regelung einer Anlage gemäss dem Oberbegriff des Anspruchs 1 sowie ein Verfahren zur redundant abgesicherten Überwachung und Regelung einer Anlage gemäss dem Oberbegriff des unabhängigen Verfahrensanspruchs.

Stand der Technik

[0002] In vielen grosstechnischen Anlagen ist es erforderlich, den Betriebszustand der Anlage kontinuierlich zu überwachen. Hierzu werden üblicherweise ein oder mehrere Zustandsgrössen der Anlage kontinuierlich erfasst und mit einem jeweils aktuellen Sollwert verglichen. Bei Abweichung des erfassten Ist-Zustands von dem Soll-Zustand kann beispielsweise ein Warnsignal erzeugt und einem Bediener angezeigt werden, der dann geeignete Massnahmen ergreift.

   Eine festgestellte Abweichung des Ist-Zustands von einem Soll-Zustand kann aber auch einem Regler zugeführt werden der auf Basis dieser Abweichung ein Steuersignal generiert, das an einen oder mehrere Aktuatoren weitergeleitet wird. Der Aktuator wird durch das Steuersignal zu einer Aktion veranlasst, die wiederum dazu führt, dass der Ist-Zustand der Anlage in Richtung des Soll-Zustands verändert wird. Derartige Regelungen bzw. Regelungsvorrichtungen sind aus dem Stand der Technik bekannt.

[0003] Insbesondere in sicherheitskritischen Anlagen liegt ein besonderes Augenmerk auf der Betriebssicherheit der Regelungsvorrichtung. Ein fehlerhafter Betrieb oder ein Versagen der Regelungsvorrichtung kann hier zu einem kritischen oder unkontrollierbaren Betriebszustand der Anlage führen, was dann einen grösseren Schaden an der Anlage oder auch der Umgebung verursachen kann.

   Dies trifft insbesondere beispielsweise auf Kraftwerksanlagen zu. Aufgrund dessen, dass in Kraftwerksanlagen üblicherweise sehr hohe Energiemengen umgesetzt werden, kann eine fehlerhafte Regelung der Anlage teilweise auch zu sehr grossen Schäden führen. Die Anforderungen an die in Kraftwerksanlagen eingesetzten Regelungsvorrichtungen werden zusätzlich noch dadurch erhöht, dass aufgrund der hohen Wirkungsgradanforderungen der Normalbetrieb der Anlage oftmals sehr nahe an den Materialbelastungsgrenzen der Bauteile der Anlage erfolgt, so dass bereits kleine Abweichungen einer Regelung von einer Soll-Regelung zu einer Materialüberbelastung führen können.

   So werden in modernen Kraftwerksanlagen zur Optimierung des Wirkungsgrads beispielsweise derart hohe Turbineneintrittstemperaturen gefahren, dass eine Abweichung der mittleren Turbineneintrittstemperatur um einige wenige 10 K zu einer thermischen Überbelastung der Turbineneintrittsbeschaufelung und letztendlich einem Totalversagen der Beschaufelung der Turbine führen würde.

[0004] Um den hohen Anforderungen an die Betriebssicherheit von Regelungsvorrichtungen in sicherheitskritischen Anlagen gerecht zu werden, ist aus dem Stand der Technik bekannt, zwei oder mehr Regelungsstränge parallel anzuordnen und im Betrieb miteinander abzugleichen. Eine solche Anordnung ist in Fig. 1 dargestellt.

   Die hier dargestellten Regelungsstränge 2a und 2b umfassen jeweils einen oder mehrere Sensoren S1 und S2 zur sensorischen Erfassung des Ist-Zustands einer Zustandsgrösse der Anlage sowie einen Controller C1 und C2, der mit dem jeweiligen Sensor S1 und S2 oder den Sensoren über einen Leiter verbunden ist. Die Controller C1 und C2 vergleichen jeweils den sensorisch erfassten Ist-Zustand mit einem Soll-Zustand und leiten hieraus jeweils einen Regelwert ab. Als Leiter 3al und 3all werden üblicherweise elektrische Leiter zur Leitung eines analogen Sensorsignals verwendet. Da die Controller heutzutage üblicherweise Digitalregler sind, sind den Controllern in Fig. 1 jeweils eine Eingabe-Ausgabe-Einheit 4a und 4b vorgeschaltet, wobei die Eingabe-Ausgabe-Einheiten jeweils einen Analog-Digital-Wandler umfassen.

   In der in Fig. 1 dargestellten Regelungsvorrichtung sind die Eingabe-Ausgabe-Einheit 4a und 4b in Signallaufrichtung jeweils unmittelbar vor dem Controller angeordnet.
Werden, wie in Fig. 1 dargestellt, zwei oder mehr Regelungsstränge 2a und 2b parallel zueinander betrieben, so werden zur Absicherung der Regelung entweder die sensorisch erfassten Sensorsignale, die den jeweiligen Ist-Zustand der Anlage wiedergeben, oder die von den Controllern ermittelten Regelwerte miteinander verglichen und auf Plausibilität überprüft. Hierzu kommunizieren die Controller miteinander. Dies ist in Fig. 1 durch die Verbindungsleitung 5 angedeutet. Weicht einer der erfassten Ist-Zustände oder der ermittelten Regelwerte deutlich von einem erwarteten Soll-Wert ab und erfüllt insofern nicht die Plausibilität, so wird dieses Sensorsignal oder dieser Regelwert nicht zur Weiterverarbeitung bzw.

   Weiterleitung an die von den Reglern angesteuerten Aktuatoren verwendet. Aktuatoren können beispielsweise Pumpen zur Förderung eines Brennstoffmassenstroms oder Drosselventile zur Drosselung des Brennstoffzuflusses oder dergleichen mehr sein.
Die Aktuatoren werden, wie in Fig. 1 dargestellt, mittels eines analogen Signals über die Signalleitungen 3all und 3bll angesteuert.

   Demzufolge sind die von den Reglern C1 und C2 ermittelten digitalen Regelwerte zunächst wieder mittels der Eingabe-Ausgabe-Einheiten 4a und 4b in ein analoges Signal umzusetzen und dann über die Leitungen 3all und 3bll an die Aktuatoren zu leiten.

[0005] Um hohen und sehr hohen sicherheitskritischen Anforderungen zu genügen, sind die aus dem Stand der Technik bekannten Regelungsvorrichtungen, wie in Fig. 1 dargestellt, somit durch eine parallele Mehrfach-Anordnung von Regelungssträngen mehrfach redundant ausgeführt. Dies bedingt jedoch einen hohen apparativen Aufwand. Insbesondere bei rauen Betriebsbedingungen, beispielsweise im heissen Bereich einer Kraftwerksanlage, ist zudem die Ausfallhäufigkeit der Einzel-Regelungsstränge erhöht.

   Dies liegt daran, dass bei Ausfall eines Elements eines solchen Regelungsstrangs, beispielsweise des Sensors, der gesamte Regelungsstrang ausfällt.

Darstellung der Erfindung

[0006] Hier will die Erfindung Abhilfe schaffen. Der Erfindung liegt somit die Aufgabe zugrunde, eine Regelungsvorrichtung anzugeben, mit welcher die Nachteile des Standes der Technik gemindert oder vermieden werden.

[0007] Die Regelungsvorrichtung soll eine hohe redundante Absicherung sicherstellen, um so eine hohe Betriebssicherheit sowie eine nur geringe Ausfallwahrscheinlichkeit zu gewährleisten. Insbesondere soll die Regelungsvorrichtung darüber hinaus zur Verwendung in sicherheitskritischen Anlage, beispielsweise in Kraftwerksanlagen, geeignet sein.

   Gleichzeitig soll der apparative Aufwand für die redundante Absicherung der erfindungsgemäss ausgebildeten Regelungsvorrichtung im Vergleich zu herkömmlichen, redundant abgesicherten Regelungsvorrichtungen möglichst gering sein.

[0008] Diese Aufgabe wird erfindungsgemäss durch die Regelungsvorrichtung gemäss Anspruch 1 sowie das Verfahren gemäss dem unabhängigen Verfahrensanspruch gelöst.

   Weitere vorteilhafte Ausgestaltungen der Erfindung finden sich in den abhängigen Patentansprüchen.

[0009] Die erfindungsgemäss ausgebildete Regelungsvorrichtung zur redundant abgesicherten Überwachung und Regelung einer Anlage umfasst wenigstens drei voneinander unabhängige Regelungsstränge sowie eine Bewertungseinheit.
Die wenigstens drei voneinander unabhängigen Regelungsstränge umfassen jeweils eine feldbasierte Sammler-Verteiler-Einheit mit wenigstens einem Eingang zum Empfangen von Eingangssignalen und/oder wenigstens einem Ausgang zum Ausgeben von Ausgangssignalen, eine Auswerteeinheit zur Ermittlung von Regelwerten aus den Eingangssignalen sowie eine redundant ausgebildete Signalleitungseinrichtung zur redundanten, bidirektionalen Übertragung von Signalen zwischen der Sammler-Verteiler-Einheit und der Auswerteeinheit.

   Ferner kommuniziert die Bewertungseinheit mit den Auswerteeinheiten der Regelungsstränge, um einen Abgleich der Eingangssignale und/oder der von den Auswerteeinheiten ermittelten Regelwerte durchzuführen. Die Kommunikation zwischen der Bewertungseinheit und den Auswerteeinheiten erfolgt jeweils bidirektional.

[0010] Feldbasiert bedeutet in diesem Zusammenhang, dass die Sammler-Verteiler-Einheiten im Umfeld der Sensoren bzw. Aktuatoren und somit beabstandet zu der jeweils zugehörigen Auswerteeinheit angeordnet sind. Die Sammler-Verteiler-Einheiten werden somit als Remote-Einheiten betrieben. Im Gegensatz zu Remote-Einheiten sind beispielsweise die in Fig. 1 dargestellten Analog-Digital-Wandler 4a und 4b unmittelbar an dem jeweiligen Controller C1 und C2 angeordnet.

   Ein Vorteil der Remote-Anordnung der Sammler-Verteiler-Einheiten liegt darin, dass alle Eingangs- und Ausgangssignale der jeweiligen Regelungsstränge in den Signallaufbereichen zwischen den Sammler-Verteiler-Einheiten und den Auswerteeinheiten, d.h. über einen grossen Streckenbereich der Signallauflänge, über eine gemeinsame Signalleitungseinrichtung übertragen werden. Auch können die Signale in der Sammler-Verteiler-Einheit in geeigneter Weise vor der Übertragung aufbereitet werden. Um die Betriebssicherheit der Signallaufstrecken zwischen den Sammler-Verteiler-Einheiten und den Auswerteeinheiten zu erhöhen, sind die Signalleitungseinrichtungen zusätzlich redundant ausgebildet.

[0011] Vorzugsweise ist jeder Regelungsstrang über den wenigstens einen Eingang der jeweiligen Sammler-Verteiler-Einheit mit wenigstens einem Sensor verbunden.

   Die Sensoren dienen zur sensorischen Erfassung eines jeweils aktuellen Zustandswertes einer Zustandsgrösse der sicherheitskritischen Anlage. Es ist aber auch möglich, dass andere Zustandsgrössen, beispielsweise Stellwerte von Aktuatoren, als Eingangssignale dienen.

[0012] Weiterhin ist zweckmässig jeder Regelungsstrang über den wenigstens einen Ausgang der jeweiligen Sammler-Verteiler-Einheit mit wenigstens einem Aktuator, beispielsweise einem Elektromotor, verbunden. Mittels der Aktuatoren werden beispielsweise Stellelemente, wie beispielsweise Drosselelemente zur Regelung eines Durchflusses, betätigt.

[0013] Die erfindungsgemäss ausgebildete Regelungsvorrichtung eignet sich insbesondere zur redundant abgesicherten Überwachung und Regelung einer Kraftwerksanlage, beispielsweise zur Überwachung und Regelung der Leistungsumsetzung der Kraftwerksanlage.

   Hierzu kann dann beispielsweise eine maximale Eintrittstemperatur in eine Turbine der Kraftwerksanlage und/oder andere oder weitere Zustandsgrössen sensorisch erfasst und hieraus ein redundant abgesicherter Regelwert ermittelt werden. Mittels des redundant abgesicherten Regelwertes lässt sich so dann beispielsweise die Kraftstoffzufuhr zu der Brennkammer regeln. Aus dem erfassten Zustandswert bzw. den erfassten Zustandswerten können aber auch mehrere Regelparameter abgeleitet werden.

[0014] Da die erfindungsgemäss ausgebildete Regelungsvorrichtung wenigstens drei, voneinander unabhängige Regelungsstränge umfasst, kann eine redundante Absicherung der Eingangssignale und/oder der von den Regelungssträngen ermittelten Regelwerte in einfacher Weise zweckmässig über eine Mehrheitsbewertung vorgenommen werden.

   Sind beispielsweise für alle drei Regelungsstränge sowohl die Eingangsgrössen als auch die Regelungsgrössen dieselben, so kann die Mehrheitsbewertung zweckmässig so durchgeführt werden, dass lediglich eine maximale Toleranzabweichung der Eingangssignale und/oder der ermittelten Regelwerte überprüft wird. Weicht hierbei ein Eingangssignalwert und/oder ein ermittelter Regelwert stärker als die maximale Toleranzabweichung von den anderen Werten ab, so wird dieser als fehlerhaft erachtet und nicht zur Ermittlung des redundant abgesicherten Regelwertes herangezogen bzw. nicht an die angeschlossenen Aktuatoren ausgegeben.

   Vorzugsweise wird in diesem Fall zusätzlich ein Fehlersignal generiert, das einem Bediener den Ausfall des betreffenden Regelungsstrangs anzeigt.
Werden von den Regelungssträngen unterschiedliche Zustandsgrössen als Eingangssignale erfasst, so sind die sensorisch erfassten Zustandswerte der Zustandgrössen oder die ermittelten Regelwerte zum Zwecke der Mehrheitsbewertung in geeigneter Weise miteinander zu korrelieren. Zusätzlich zu der Mehrheitsbewertung kann in allen Fällen auch noch eine weitere, beispielsweise modellbasierte Plausibilitätsprüfung durchgeführt werden.

   Derartige modellbasierte Plausibilitätsprüfungen sind aus dem Stand der Technik bekannt.

[0015] Durch die jeweils zwischen Sensor und Auswerteeinheit angeordnete, redundant ausgebildete Signalleitungseinrichtung wird sichergestellt, dass die Übertragung des Signals von der Sammler-Verteiler-Einheit zu der Auswerteeinheit redundant erfolgt. Dies ist insbesondere daher von besonderem Vorteil, da bei nicht redundant vorgenommener Signalübertragung Signalübertragungsfehler oder Signalstörungen nicht behoben werden können. So kann in herkömmlichen Vorrichtungen mit nicht redundanter Signalleitung beispielsweise bereits ein Kabelbruch der Signalleitung zu einem Gesamtausfall des Regelungsstrangs führen. Insbesondere bei analogen elektrischen Signalen kann es aber auch zu einer Signalverfälschung aufgrund von Signaleinstreuungen kommen.

   Durch die redundante Signalübertragung können Fehler oder Signalverfälschungen, die bei der Signalübertragung auftraten, unmittelbar erkannt und korrigiert werden. Es zeigte sich, dass die redundant ausgeführten Signalleitungseinrichtungen der Regelungsstränge der erfindungsgemäss ausgebildeten Regelungsvorrichtung einen wesentlichen Beitrag zu einer Verminderung der Ausfallwahrscheinlichkeit der gesamten Regelungsvorrichtung liefern.

[0016] Durch die Kombination von redundant ausgeführten Elementen der Regelungsvorrichtung mit dem von der Bewertungseinheit durchgeführten Abgleich der Eingangssignale und/oder der ermittelten Regelwerte lässt sich so mittels der erfindungsgemäss ausgebildeten Regelungsvorrichtung eine sehr hohe Absicherung der Überwachung und Regelung einer Anlage erzielen.

   Die erfindungsgemäss ausgebildete Regelungsvorrichtung eignet sich daher in besonderem Masse zur Verwendung in sicherheitskritischen Anlagen.

[0017] Zweckmässig umfasst die Regelungsvorrichtung genau drei Regelungsstränge. Die von der Bewertungseinheit durchgeführte Bewertung erfolgt dann zweckmässig als eine Zwei-aus-drei Bewertung, d.h. liegen wenigstens zwei Eingangssignale und/oder ermittelte Regelwerte innerhalb eines Toleranzbereichs, so wird davon ausgegangen, dass diese Eingangssignale und/oder diese ermittelten Regelwerte korrekt sind und die Regelung der Anlage auf Basis dieser Werte erfolgen kann.

[0018] Insbesondere aus Kostengründen wird es oftmals zweckmässig sein, die Bewertungseinheit und eine der Auswerteeinheiten einteilig als Auswerte-und Bewertungseinheit auszubilden.

   Heutige digitale Regler verfügen zumeist über hinreichend Rechenleistung, um die gesamten Berechnungsvorgänge, die von der Bewertungseinheit und einer der Auswerteeinheiten durchzuführen sind, mittels nur einer gemeinsam ausgebildeten Auswerte- und Bewertungseinheit durchzuführen. In diesem Fall ist die Bewertungseinheit und die Auswerteeinheiten nur funktional innerhalb des Programmablaufs unterschieden.

[0019] Hierbei ist es zweckmässig, wenn die Funktion der Bewertungseinheit auch während des Betriebs der Regelungsvorrichtung auf eine der anderen Auswerteeinheiten übertragbar ist. Diese Übertragbarkeit der Funktion wird insbesondere dann mit Vorteil angewendet, wenn die ursprünglich gemeinsam ausgebildete Auswerte- und Bewertungseinheit während des Betriebs der Anlage unvorhergesehen ausfällt.

   Durch ein Übertragen der Funktion der Bewertungseinheit auf eine andere Auswerteeinheit kann sichergestellt werden, dass auch bei Ausfall der ursprünglich gemeinsam ausgebildeten Auswerte- und Bewertungseinheit weiterhin eine redundant abgesicherte Regelung der Anlage mittels der verbleibenden Auswerteeinheiten durchgeführt werden kann.

[0020] Es kann aber auch zweckmässig sein, die Bewertungseinheit und alle Auswerteeinheiten einteilig als integrale Auswerte- und Bewertungseinheit auszubilden.

   Jedoch muss die integrale Auswerte- und Bewertungseinheit dann wenigstens zwei voneinander getrennt zu betreibende Berechnungseinheiten, beispielsweise wenigstens zwei Prozessoren, umfassen, da ansonsten ein Ausfall der einen Berechnungseinheit zu einem Ausfall der gesamten Regelungsvorrichtung führen würde.

[0021] Alternativ kann die Bewertungseinheit aber auch als eine übergeordnete und von den Auswerteeinheiten getrennte Kontrolleinheit ausgebildet sein.

[0022] Zweckmässig sind die Auswerteeinheiten jeweils als Controller ausgebildet.

   Derartige, insbesondere digital arbeitende Controller sind beispielsweise als speicherprogrammierbare Steuerungen (SPS) hinlänglich bekannt und am Markt erhältlich.

[0023] Bei einer getrennten Realisierung der Auswerteeinheiten von der Bewertungseinheit ist die Bewertungseinheit dann zweckmässig als zentraler Controller ausgebildet.

[0024] Zweckmässig ist in jeder Eingabe/Ausgabe-Einheit ein Analog-Digital-Wandler sowie ein Digital-Analog-Wandler integriert. Vorzugsweise umfasst jede Eingabe/Ausgabe-Einheit eine Mehrzahl von Eingängen und/oder eine Mehrzahl von Ausgängen. Die Ein- und Ausgänge sind hierbei wahlfrei aufschaltbar, d.h. die Schaltreihenfolge kann zweckmässig sowohl vor Inbetriebnahme der Regelungsvorrichtung festgelegt werden als auch während des Betriebs der Regelungsvorrichtung geändert werden.

   Ein von einem Sensor kommendes analoges Signal wird gemäss der vorgegebenen Schaltreihenfolge durchgeschaltet und gelangt so zu dem Analog-Digital-Wandler und wird hier zur Weiterleitung in ein Digitalsignal umgesetzt. Umgekehrt wird ein von der Bewertungseinheit oder einer der Auswerteeinheiten gesendetes digitales Signal in dem Digital-Analog-Wandler in ein analoges Signal umgesetzt und erst danach an einen Aktuator weitergeleitet.

[0025] Ferner sind die redundant ausgebildeten Signalleitungseinrichtungen zur redundanten, bidirektionalen Übertragung von Signalen zweckmässig als Feldbus-Systeme ausgeführt. Hierfür geeignete Feldbus-Systeme sind aus dem Stand der Technik bekannt. Mittels Feldbus-Systemen werden üblicherweise digitale Signale übertragen.

   Die Übertragung eines digitalen Signals bietet den Vorteil, dass Signalverfälschungen durch geeignete Codierung korrigierbar sind. Auch kann eine Redundanz in einfacher Weise mittels einer zweiten Leitung und einem einfachen Vergleich der digitalen Signale erzielt werden.

[0026] In einem weiteren Aspekt stellt die Erfindung ein Verfahren zur redundant abgesicherten Überwachung und Regelung einer Anlage zur Verfügung. Das Verfahren umfasst, in wenigstens drei voneinander getrennten, weitgehend gleichzeitig abzuarbeitenden Abläufen jeweils einen aktuellen Zustandswert der Anlage zu erfassen, den erfassten aktuellen Zustandswert jeweils über eine redundante, bidirektionale Übertragung einer Auswertung als Eingangssignal zuzuführen und auf Basis des jeweils erfassten und der Auswertung zugeführten Zustandswertes jeweils einen Regelwert zu ermitteln.

   Des Weiteren werden die Eingangssignale und/oder die wenigstens drei getrennt voneinander ermittelten Regelwerte in einem nachfolgenden gemeinsamen Ablaufschritt miteinander abgeglichen. Die Abläufe sind hierbei weitgehend gleichzeitig abzuarbeiten. Die Gleichzeitigkeit bezieht sich im Wesentlichen auf die Zustandserfassung. Die Abarbeitung der Signale nach der Zustandserfassung kann auch zueinander zeitversetzt erfolgen. Beim Abgleich sind jedoch wiederum zeitgleiche Werte miteinander abzugleichen.

[0027] Gemäss einer Weiterbildung des Verfahrens werden die wenigstens drei getrennt voneinander ermittelten Regelwerte über eine Mehrheitsbewertung miteinander abgeglichen. 

[0028] Ferner wird der Zustandswert zweckmässig sensorisch erfasst.

[0029] Des Weiteren wird wenigstens ein abgeglichener Regelwert wenigstens einem Aktuator zugeführt.

   Die Zuführung erfolgt hierbei vorzugsweise über die redundante, bidirektionale Übertragung.

[0030] Das erfindungsgemässe Verfahren eignet sich insbesondere zur redundant abgesicherten Überwachung und Regelung einer Kraftwerksanlage.

[0031] Das Verfahren kann in einer wie oben im Zusammenhang mit der erfindungsgemäss ausgebildeten Regelungsvorrichtung beschriebenen Weise weitergebildet sein. Insbesondere eignet sich das erfindungsgemässe Verfahren zum Betreiben der erfindungsgemäss ausgebildeten Regelungsvorrichtung.

Kurze Beschreibung der Zeichnungen

[0032] Die Erfindung wird nachfolgend anhand eines in den Figuren illustrierten Ausführungsbeispiels näher erläutert. Es zeigen:
<tb>Fig. 1<sep>eine aus dem Stand der Technik bekannte Regelungsvorrichtung;


  <tb>Fig. 2<sep>eine erfindungsgemäss ausgeführte Regelungsvorrichtung.

[0033] In den Figuren sind nur die für das Verständnis der Erfindung wesentlichen Elemente und Bauteile dargestellt.
Die dargestellten Ausführungsbeispiele sind rein instruktiv zu verstehen und sollen einem besseren Verständnis dienen, jedoch nicht als Einschränkung des Erfindungsgegenstandes verstanden werden.

Wege zur Ausführung der Erfindung

[0034] Fig. 1 zeigt eine aus dem Stand der Technik bekannte Regelungsvorrichtung 1, wie sie beispielsweise in Kraftwerken zum Einsatz kommt. Die hier dargestellte Regelungsvorrichtung 1 umfasst zwei Regelungsstränge 2a und 2b, die zueinander redundant betrieben werden. Jeder Regelungsstrang 2a und 2b umfasst jeweils einen Sensor S1 und S2 zur sensorischen Erfassung einer Zustandsgrösse des Kraftwerks, beispielsweise der Turbinenaustrittstemperatur.

   Weiterhin umfasst jeder Regelungsstrang 2a und 2b eine Signalleitung 3al und 3bl, die den jeweiligen Sensor S1 bzw. S2 mit dem Eingang einer Eingabe/Ausgabe-Einheit 4a bzw. 4b verbindet. Jede der Eingabe/Ausgabe-Einheiten 4a und 4b weist neben einem Eingang auch einen Ausgang auf. Über die Ausgänge und über weitere Signalleitungen 3all und 3bll, die mit den Ausgängen verbunden sind, werden jeweils Aktuatoren A1 und A2 angesteuert. Als Aktuatoren können beispielsweise Elektromotoren eingesetzt sein, über die Drosselelemente in einer oder mehreren Zuflussleitungen, beispielsweise in einer oder mehreren Brennstoffzuflussleitungen, verstellt werden, um so die Brennstoffzufuhr des Kraftwerks zu regeln. Das Drosselelement selbst wäre dann nicht redundant ausgeführt, die verbunden sind.

   Die Eingabe/Ausgabe-Einheiten 4a und 4b sind jeweils unmittelbar angrenzend an einen Controller C1 bzw. C2 angeordnet und dienen einerseits der Signalein- und -ausleitung in und aus den Controllern C1 und C2 und andererseits auch der Signalaufbereitung. Unter Signalaufbereitung ist bezogen auf den Eingang im Wesentlichen eine Analog-Digital-Wandlung und bezogen auf den Ausgang eine Digital-Analog-Wandlung zu verstehen. D.h. ein von einem Sensor S1 oder S2 kommendes analoges Signal wird in der jeweiligen Eingabe/Ausgabe-Einheit 4a bzw. 4b analog-digital gewandelt und erst nach dieser Wandlung als digitales Signal an den jeweiligen Controller C1 bzw. C2 weitergeleitet. In dem Controller C1 bzw. C2 wird das Sensorsignal verarbeitet und ein Regelwert ermittelt. Bevor der Regelwert über den Ausgang der Eingabe/Ausgabe-Einheit 4a bzw. 4b an den jeweiligen Aktuator A1 bzw.

   A2 übermittelt wird, werden die in den Controllern C1 und C2 der beiden Regelungsstränge 2a und 2b getrennt voneinander ermittelten Regelwerte miteinander abgeglichen. Die hierfür nötige Kommunikation der Controller C1 und C2 erfolgt über die Kommunikationsleitung 5.

[0035] Die in Fig. 1 dargestellte, aus dem Stand der Technik bekannte Regelungsvorrichtung weist jedoch den Nachteil auf, dass die Regelungsstränge zueinander nur einfach redundant sind. Weicht der von einem der beiden Controller ermittelte Regelwert von dem Regelwert des anderen Controllers in erheblichem Masse ab, so kann nur über eine Plausibilitätsbetrachtung entschieden werden, welcher Regelwert als Regelungsvorgabe für die Regelung zu verwenden ist. Auch ist die Übertragung der analogen Signale über die Signalleitungen sehr anfällig für Signalverfälschungen durch Einstreuungen aus der Umgebung.

   Insgesamt weist die in Fig. 1 dargestellte Regelungsvorrichtung trotz Redundanz somit eine geringere Robustheit auf und ist dementsprechend nur bedingt für einen Einsatz in einer Anlage mit sehr hohen sicherheitskritischen Anforderungen geeignet.

[0036] Fig. 2 zeigt in schematischer Darstellung eine erfindungsgemäss ausgeführte Regelungsvorrichtung 10 zur redundant abgesicherten Überwachung und Regelung einer Kraftwerksanlage.

   Die hier dargestellte Regelungsvorrichtung 10 kann aber ebenso auch in anderen sicherheitskritischen Anlagen zur Anwendung kommen.

[0037] Die erfindungsgemäss ausgebildete Regelungsvorrichtung 10 umfasst drei, voneinander unabhängige Regelungsstränge 12a, 12b, 12c sowie eine Bewertungseinheit 13.

[0038] Jede Regelungsstrang 12a, 1b bzw. 12c umfasst eine feldbasierte Sammler-Verteiler-Einheit, die hier als Eingabe/Ausgabe-Einheiten (I/O-Einheit) 15a, 15b, 15c ausgebildet sind. Die Eingabe/Ausgabe-Einheiten 15a, 15b, 15c umfassen jeweils insgesamt drei Anschlusskanäle15a-1, 15a-2, 15a-3 bzw. 15b-1, 15b-2, 15b-2 bzw. 15c-1, 15c-2, 15c-3, die wahlweise als Eingang oder auch als Ausgang genutzt werden können.

   Von den Anschlusskanälen der Eingabe/Ausgabe-Einheiten 15a und 15b des ersten und zweiten Regelungsstrangs 12a und 12b wird jeweils der erste Anschlusskanal 15a-1 bzw. 15b-1als Eingang und der zweite sowie der dritte Anschlusskanal 15a-2 bzw. 15b-2 sowie 15a-3 bzw. 15b-3 jeweils als Ausgang genutzt. Von den Anschlusskanälen der Eingabe/Ausgabe-Einheit 15c des dritten Regelungsstrangs 12c wird der erste Anschlusskanal 15c-1 als Eingang und der zweite Anschlusskanal 15c-2 als Ausgang genutzt. Der dritte Anschlusskanal 15c-3 der Eingabe/Ausgabe-Einheit 15c des dritten Regelungsstrangs 12c ist hier nicht besetzt. 

[0039] Die Eingänge der Eingabe/Ausgabe-Einheiten 15a, 15b, 15c sind hier jeweils über Signalleitungen 20 mit einem Drucksensor 16a, 16b, 16c verbunden, der einen Betriebsdruck der Kraftwerksanlage sensorisch erfasst und ein analoges elektrisches Drucksignal generiert.

   Die Ausgänge der Eingabe/Ausgabe-Einheiten 15a, 15b, 15c sind jeweils über Signalleitungen 20 mit Aktuatoren verbunden. Im Falle der Eingabe/Ausgabe-Einheiten 15a, 15b des ersten und zweiten Regelungsstrangs 12a bzw. 12b ist jeweils der erste Ausgang mit einem elektrischen Antrieb 17a bzw. 17b und der zweite Ausgang mit einem elektro-hydraulischen/pneumatischen Umwandler 18a bzw. 18b verbunden. Die elektrischen Antriebe 17a und 17b steuern jeweils ein erstes Drosselelement, hier beispielsweise ein Schiebeventil 21a bzw. 21b in einer Zuflussleitung 22a bzw. 22b. Die elektrohydraulischen/pneumatischen Umwandler 18a bzw. 18b wandeln jeweils ein elektrisches Signal in einen hydraulischen oder pneumatischen Druck, der wiederum zur Ansteuerung eines zweiten Drosselelements 23a bzw. 23b dient.

   Bei den ersten und zweiten Drosselelementen 21a bzw. 21b bzw. 23a bzw. 23b kann es sich jeweils auch um ein- und dasselbe Drosselelement handeln, das dann lediglich über zwei getrennte Aktuatoren angesteuert wird. In den meisten Anwendungsfällen würde dies unter dem Aspekt einer Betriebssicherheit ausreichend sein, da zumeist nicht der Aktuator, sondern lediglich die Ansteuerung ausfallgefährdet ist. Auch ist es möglich, dass insgesamt nur ein Aktuator angeordnet ist. Dies bedeutet, dass in diesem Fall mit den Bezugszeichen 21a, 23a b und 21b, 23b ein- und derselbe Aktuator bezeichnet ist. Die beiden Drosselelemente 21a und 23a bzw. 21b und 23b können aber auch beispielsweise in einer Zuflussleitung hintereinander angeordnet sein.

   In allen Fällen ist jedoch die Betriebssicherheit der Regelungsvorrichtung durch Redundanz zumindest der Ansteuerung der Aktuatorik deutlich erhöht.

[0040] Die Eingabe/Ausgabe-Einheiten 15a, 15b und 15c umfassen jeweils neben einer Signalweiche, die eine gezielte Zuschaltung der Ein- und Ausgänge ermöglicht, eine Analog-Digital-Wandlereinheit.

   Die Analog-Digital-Wandlereinheit ist in Signallaufrichtung von dem Sensor kommend vorzugsweise hinter der Signalweiche angeordnet und kann sowohl ein analoges, von dem Sensor kommendes Eingangssignal in ein digitales Signal als auch umgekehrt ein aus der dem Sensor und den Aktuatoren abgewandten Richtung kommendes, digitales Signal in ein analoges Ausgangssignal wandeln.

[0041] Weiterhin umfasst jeder Regelungsstrang 12a, 12b bzw. 12c jeweils einen als Auswerteeinheit zur Ermittlung von Regelwerten aus den Eingangssignalen ausgebildeten Controller C1, C2 bzw. C3 sowie jeweils eine redundant ausgebildete Signalleitungseinrichtung 14a, 14b bzw. 14c zur redundanten, bidirektionalen Übertragung von Signalen zwischen der jeweiligen Eingabe/Ausgabe-Einheit 15a, 15b, 15c und dem jeweiligen Controller C1, C2 bzw.

   C3.

[0042] Zur gegenseitigen Absicherung der von den Auswerteeinheiten ermittelten Regelwerte ist der Controller C1 des ersten Regelungsstrangs 12a hier als Controller mit geschlossenem Regelkreis und der Controller C2 des zweiten Regelungsstrangs 12b als Controller mit offenem Regelkreis ausgeführt. Der Controller 12a führt somit eine regeltechnisch geschlossene Überwachung und Regelung des Betriebszustands der Anlage durch.

   Wird jedoch durch eine Betriebsstörung der geschlossene Regelkreis unterbrochen, so lassen sich weiterhin über den offenen Regelkreis des Controllers C2 Regelwerte ermitteln.

[0043] Die Signalleitungseinrichtung 14a, 14b 14c ist hier jeweils als redundantes Feldbus-System ausgebildet und umfasst jeweils neben zwei Signalleitungen 14a-1l, 14a-1ll bzw. 14b-1l, 14b-1ll bzw. 14c-1l, 14c-1ll jeweils an den Enden der Signalleitungen angeordnete Kommunikations-Schnittstellen (Communication Interfaces) 14a-2l, 14a-2ll bzw. 14b-2l, 14b-2II bzw. 14c-2l, 14c-2ll und 14a-3l, 14a-3ll bzw. 14b-3l, 14b-3ll bzw. 14c-3l, 14c-3ll zur Ein- und Ausleitung der über die Signalleitungen zu übertragenden oder übertragenen Signale.

   Die Übertragung der Signale erfolgt hier digital und somit tolerant gegen signalverfälschenden Einstreuungen.

[0044] Die Bewertungseinheit 13 ist hier als übergeordnete Kontrolleinheit ausgebildet, die mit den Controllern C1, C2 und C3 der Regelungsstränge 12a, 12b und 12c kommuniziert. Über die Bewertungseinheit 13 findet ein Abgleich der von den Controllern ermittelten Regelwerte statt, um so die für die Regelung verwendeten Regelwerte redundant gegeneinander abzusichern. Der Abgleich der von den Controllern ermittelten Regelwerte erfolgt hier nach dem Zwei-aus-drei Prinzip, d.h. es wird durch die Bewertungseinheit 13 überprüft, ob sich die von den Controllern ermittelten Regelwerte zueinander in einem gewissen, vorgegebenen Toleranzband befinden.

   Ist dies nicht der Fall, so wird derjenige Wert, der gegenüber den beiden anderen Werten aus dem Toleranzband abweicht, als fehlerhaft bewertet und nicht als Regelwert weiterverarbeitet. Somit ist jeder der Regelung zugrunde liegende Regelwert redundant abgesichert. Zusätzlich zu einer Zwei-aus-drei Bewertung kann durch die Bewertungseinheit 13 noch eine modellbasierte Plausibilitätsprüfung oder ein Abgleich mit weiteren Eingabegrössen durchgeführt werden.

[0045] Ein Regelvorgang der erfindungsgemäss ausgebildeten Regelungsvorrichtung 10 verläuft somit in der Weise, dass in einem ersten Schritt über die Drucksensoren 16a, 16b und 16c jeweils ein Drucksignal als Zustandswert der zu überwachenden Anlage erfasst wird.

   Die analogen Drucksignale werden den jeweiligen Analog-Digital-Wandler der Eingabe/Ausgabe-Einheiten 15a, 15b und 15c aufgeschaltet und nach der Analog-Digital-Wandlung als Digitalsignal den jeweiligen Kommunikations-Schnittstellen 14a-3l, 14a-3ll bzw. 14b-3l, 14b-3ll bzw. 14c-3l, 14c-3ll zugeführt. Über die Kommunikations-Schnittstellen wird das Signal jeweils in die zwei, zueinander redundanten Leitungen 14a-1l, 14a-1ll bzw. 14b-1l, 14b-1ll bzw. 14c-1l, 14c-1ll des jeweiligen Feldbus-Systems 14a, 14b bzw. 14c eingespeist. Die Feldbus-Systeme bilden jeweils die Kommunikationsverbindungen zwischen den Eingabe/Ausgabe-Einheiten 15a, 15b, 15c und den Controllern C1, C2, C3 und leiten somit das digitale Drucksignal zu den Controllern.

   Dort werden die Drucksignale wiederum mittels den Kommunikations-Schnittstellen 14a-2l, 14a-2ll bzw. 14b-2l, 14b-2II bzw. 14c-2l, 14c-2ll aus den Feldbus-Systemen 14a, 14b bzw. 14c ausgekoppelt und anschliessend den jeweiligen Controllern C1, C2 bzw. C3 zugeführt, in dem jeweiligen Controller gemäss dem dort jeweils hinterlegten Regelgesetz weiterverarbeitet und hieraus jeweils ein Regelwert abgeleitet. Die von den Controllern so abgeleiteten Regelwerte werden dann der Bewertungseinheit 13 übermittelt und von der Bewertungseinheit 13 nach dem Zwei-aus-drei Bewertungsprinzip miteinander abgeglichen. Die miteinander abgeglichenen Regelwerte werden dann wieder von der Bewertungseinheit 13 an die jeweiligen Controller C1 bzw. C2 bzw.

   C3 übergeben und durchlaufen den jeweils umgekehrten Signallaufweg von dem jeweiligen Controller zu der jeweiligen Eingabe/Ausgabe-Einheit15a bzw. 15b bzw. 15c. In den Eingabe/Ausgabe-Einheiten wird der Regelwert dann über die Ausgänge an den jeweiligen Aktuator 17a oder 18a oder 17b oder 18b oder 17c übergeben. Hierzu wird der Regelwert zunächst noch in der jeweiligen Eingabe-Ausgabe-Einheit digital-analog gewandelt.

[0046] Die Regelungsvorrichtung 10 ist somit insgesamt mehrfach redundant abgesichert. Diese Redundanz gilt sowohl in Bezug auf die Regelungsstränge 12a, 12b und 12c als Ganze als auch auf besonders ausfallgefährdete oder fehleranfällige Teilabschnitte der Regelungsstränge wie beispielsweise die Signalleitungen oder die Aktuatorik. Dies führt zu einer sehr hohen Sicherheit gegen ein Ausfallen der Regelungsvorrichtung.

   Auch wird durch den Abgleich der ermittelten Regelwerte eine sehr hohe Genauigkeit der Regelung erzielt. Die erfindungsgemäss ausgebildete Regelungsvorrichtung genügt daher sehr hohen sicherheitstechnischen Anforderungen und ist zum Einsatz in sicherheitskritischen Anlagen geeignet.

[0047] Gleichzeitig ist der apparative Aufwand trotz sehr hoher Redundanz der Regelungsvorrichtung jedoch vergleichsweise gering.

[0048] Die im Zusammenhang mit Fig.

   2 beschriebene Regelungsvorrichtung sowie das zugehörige Betriebsverfahren stellen beispielhafte Ausführungsformen der Erfindung dar, die von einem Fachmann durchaus in vielfältiger Weise ohne Weiteres modifiziert werden können, ohne den Erfindungsgedanken hierdurch zu verlassen.

Bezugszeichenliste

[0049] 1 Regelungsvorrichtung (StdT)

[0050] 2a, 2b Regelungsstränge

[0051] 3al, 3all, 3bl, 3bll Signalleitungen

[0052] 4a, 4b Eingabe/Ausgabe-Einheiten (I/O-Einheiten)

[0053] 5 Kommunikationsleitung

[0054] 10 erfindungsgemäss ausgeführte Regelungsvorrichtung

[0055] 12a, 12b, 12c Regelungsstränge

[0056] 13 Bewertungseinheit

[0057] 14a, 14b, 14c Feldbus-Systeme

[0058] 14a-1l, 14a-1ll, 14b-1l, 14b-1ll, 14c-1l, 14c-1ll Leitungen der Feldbus-Systeme

[0059] 14a-2l, 14a-2ll, 14b-2l, 14b-2ll, 14c-2l, 14c-2ll Kommunikationsschnittstellen

[0060] 14a-3l, 14a-3ll, 14b-3l,

   14b-3ll, 14c-3l, 14c-3ll Kommunikationsschnittstellen

[0061] 15a, 15b, 15c Eingabe/Ausgabe-Einheiten (I/O-Einheit)

[0062] 15a-1,15a-2, 15a-3, 15b-1, 15b-2, 15b-3, 15c-1, 15c-2, 15c-3 Anschlüsse der Eingabe/Ausgabe-Einheiten

[0063] 16a, 16b, 16c Drucksensoren

[0064] 17a, 17b, 17c Elektromotoren

[0065] 18a, 18b, 18c elektro-hydraulisch/pneumatischer Umsetzer

[0066] 20 Signalleitungen

[0067] 21a, 21b, 21c Ventile

[0068] 22a, 22b, 22c Zuleitungen

[0069] 23a, 23b, 23c Ventile

[0070] 24a, 24b, 24c Zuleitungen

[0071] A1, A2 Aktuatoren

[0072] C1, C2, C3 Controller

[0073] CL-C geschlossener Regelkreis-Controller

[0074] OL-C offener Regelkreis-Controller

[0075] S1, S2 Sensoren

[0076] I/O Eingabe/Ausgabe-Einheit (I/O-Einheit)

[0077] E/P Drucksensor

[0078] E/H elektro-hydraulisch/pneumatischer Umsetzer

Claims (15)

1. Regelungsvorrichtung (10) zur redundant abgesicherten Überwachung und Regelung einer Anlage, insbesondere zur redundant abgesicherten Überwachung und Regelung einer Kraftwerksanlage, mit wenigstens drei, voneinander unabhängigen Regelungssträngen (12a, 12b, 12c) und einer Bewertungseinheit (13), wobei jeder Regelungsstrang (12a, 12b, 12c) eine feldbasierte Sammler-Verteiler-Einheit (15a, 15b, 15c) mit wenigstens einem Eingang zum Empfangen von Eingangssignalen und/oder wenigstens einem Ausgang zum Ausgeben von Ausgangssignalen, eine Auswerteeinheit (C1, C2, C3) zur Ermittlung von Regelwerten aus den Eingangssignalen sowie eine redundant ausgebildete Signalleitungseinrichtung (14a, 14b, 14c) zur redundanten, bidirektionalen Übertragung von Signalen zwischen der Sammler-Verteiler-Einheit (15a, 15b, 15c) und der Auswerteeinheit (C1, C2, C3) umfasst,

und ferner die Bewertungseinheit (13) mit den Auswerteeinheiten (C1, C2, C3) der Regelungsstränge (12a, 12b, 12c) kommuniziert, um einen Abgleich der Eingangssignale und/oder der von den Auswerteeinheiten ermittelten Regelwerte durchzuführen.

2. Regelungsvorrichtung gemäss Anspruch 1, dadurch gekennzeichnet, dass die Bewertungseinheit (13) die Eingangssignale und/oder die von den Auswerteeinheiten ermittelten Regelwerte gemäss einer Mehrheitsbewertung miteinander abgleicht.

3. Regelungsvorrichtung gemäss einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Regelungsvorrichtung (10) genau drei Regelungsstränge (12a, 12b, 12c) umfasst und die Bewertung der Bewertungseinheit (13) eine Zwei-aus-drei Bewertung ist.

4. Regelungsvorrichtung gemäss einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Bewertungseinheit (13) und eine der Auswerteeinheiten (C1, C2, C3) einteilig als Auswerte- und Bewertungseinheit ausgebildet ist.

5. Regelungsvorrichtung gemäss Anspruch 4, dadurch gekennzeichnet, dass die Funktion der Bewertungseinheit (13) während des Betriebs der Regelungsvorrichtung auf eine andere Auswerteeinheit (C1, C2, C3) übertragbar ist.

6. Regelungsvorrichtung gemäss einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass die Bewertungseinheit (13) als übergeordnete Kontrolleinheit ausgebildet ist.

7. Regelungsvorrichtung gemäss einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Auswerteeinheiten (C1, C2, C3) jeweils als Controller ausgebildet sind.

8. Regelungsvorrichtung gemäss einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass jeder Regelungsstrang (12a, 12b, 12c) der Regelungsvorrichtung (10) weiterhin wenigstens einen Sensor (16a, 16b, 16c) zur sensorischen Erfassung wenigstens einer Zustandsgrösse der Anlage umfasst und der Sensor mit einem Eingang der jeweiligen Sammler-Verteiler-Einheit (15a, 15b, 15c) verbunden ist.

9. Regelungsvorrichtung gemäss einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass jeder Regelungsstrang (12a, 12b, 12c) der Regelungsvorrichtung (10) weiterhin wenigstens einen Aktuator (17a, 17b, 17c, 18a, 18b) umfasst und der Aktuator mit einem Ausgang der jeweiligen Sammler-Verteiler-Einheit (15a, 15b, 15c) verbunden ist.

10. Regelungsvorrichtung gemäss einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die feldbasierten Sammler-Verteiler-Einheiten (15a, 15b, 15c) Eingabe/Ausgabe-Einheiten mit wenigstens einem Eingang und wenigstens einem Ausgang sind, wobei die Ein- und Ausgänge wahlfrei aufschaltbar sind.

11. Regelungsvorrichtung gemäss einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die redundant ausgebildeten Signalleitungseinrichtungen (14a, 14b, 14c) zur redundanten, bidirektionalen Übertragung von Signalen Feldbus-Systeme sind.

12. Verfahren zur redundant abgesicherten Überwachung und Regelung einer Anlage, insbesondere zur redundanten Überwachung und Regelung einer Kraftwerksanlage, umfassend, in wenigstens drei voneinander getrennten, weitgehend gleichzeitig abzuarbeitenden Abläufen jeweils einen aktuellen Zustandswert der Anlage zu erfassen, den erfassten aktuellen Zustandswert jeweils mittels redundanter, bidirektionaler Übertragung einer Auswertung als Eingangssignal zuzuführen und auf Basis des jeweils erfassten und der Auswertung zugeführten Zustandswertes jeweils einen Regelwert zu ermitteln, und die Eingangssignale und/oder die getrennt voneinander ermittelten Regelwerte in einem nachfolgenden gemeinsamen Ablaufschritt miteinander abzugleichen.

13. Verfahren gemäss Anspruch 12, wobei die wenigstens drei getrennt voneinander ermittelten Regelwerte über eine Mehrheitsbewertung miteinander abgeglichen werden.

14. Verfahren gemäss einem der Ansprüche 12 oder 13, wobei der Zustandswert sensorisch erfasst wird.

15. Verfahren gemäss einem der Ansprüche 12 bis 14, wobei wenigstens ein abgeglichener Regelwert wenigstens einem Aktuator zugeführt wird.