Verfahren und Vorrichtung zum Betrieb eines Reaktors im in¬ stabilen Zustand

Die Erfindung betrifft ein Verfahren zum Betreiben eines Sie¬ dewasserreaktors, der durch lokale Oszillation einer physika¬ lischen Größe (insbesondere der Leistung bzw. des damit ver¬ bundenen Neutronenflußes) in einem instabilen Zustand ist. Die Erfindung betrifft außerdem eine Vorrichtung zur Durch¬ führung dieses Verfahrens sowie ein Verfahren und eine Vor¬ richtung zur Überwachung dieses instabilen Reaktorzustandes.

Die die Leistung eines Kernreaktors bestimmende Kernspaltung wird dadurch gesteuert, daß Absorberelemente zur Schwächung des Neutronenflußes in den Reaktorkern eingefahren werden. Da¬ bei sind über den Reaktorkern Meßlanzen mit Sensoren für den Fluß thermischer Neutronen verteilt, um den Ist-Zustand zu erfassen. Um einen gewünschten Betriebszustand einzuregeln, muß dabei auch der Durchsatz an Kühlwasser, das gleichzeitig als Moderator dient, dem jeweiligen Zustand angepaßt sein.

Dieses Kühlwasser tritt als Flüssigkeit von unten in den Re¬ aktorkern ein, durchströmt die Brennelemente, in denen es teilweise verdampft, und tritt als Dampf/Flüssigkeit-Gemisch aus dem Kern aus, wodurch das Brennstoff/Moderator-Verhältnis sich in den verschiedenen Teilen der Brennelemente ändert. Gleichzeitig ändern sich aber auch die Strömungsverhältnisse, insbesondere der Ort, an dem die 1-Phasen-Strömung, mit der das flüssige Kühlmittel in die Brennelemente eintritt, in die 2-Phasen-Strömung des Flüssigkeit/Dampf-Gemisches übergeht. Dabei sind bei hoher Leistung und niedrigem Kühlmitteldurch¬ satz instabile Zustände beobachtet worden, bei denen diese Phasengrenze in oszillierende Bewegung gerät, was eine Pulsa- tion der Moderator-Dichte und der Leistung zur Folge hat, die auf die Kühlleistung und die Bewegung der Phasengrenze zu¬ rückwirkt . Dabei können in den Brennelementen periodische

Temperaturschwankungen mit erheblichen Spitzenwerten auftre¬ ten.

Die zulässige Höchstleistung der Brennelemente ist hauptsäch- lieh durch die Temperaturbeständigkeit der in den Brennele¬ menten verwendeten Materialien begrenzt. Bei Überschreitung einer oberen Temperaturgrenze verlieren diese Materialien ih¬ re mechanischen, chemischen und physikalischen Eigenschaften und können irreversible Änderungen erfahren, die zu einem Austausch der Brennelemente zwingen können. Daher muß darauf geachtet werden, daß im Reaktor diese thermisch-hydraulische Leistungsobergrenze (und damit ein thermisch-hydraulischer Grenzwert A^h cles Neutronenflusses) nicht überschritten wird. Die Betriebsgenehmigungen der Reaktoren sehen daher vor, daß im Fall eines Überschreitens eines Grenzwertes eine Schnell¬ abschaltung des Reaktors (sogenannter "SCRAM". vorgenommen wird, bei dem nach einem Notprogramm rasch alle Steuerstäbe eingefahren und die entsprechende Kühlleistung eingestellt wird.

Nach einem derartigen SCRAM muß der Reaktor nach einem be¬ triebsmäßigen Anfahrprogramm wieder angefahren werden, so daß eine erhebliche Störung des Reaktorbetriebes vorliegt. Außer¬ dem müssen die Brennelemente aus Sicherheitsgründen ausge- wechselt werden, wenn der thermisch-hydraulische Grenzwert mehrfach oder über längere Zeit hinweg erreicht worden ist.

Daher wird angestrebt, einen derartigen instabilen Zustand möglichst frühzeitig zu erkennen und zu dämpfen, bevor diese Leistungspulsationen in die Nähe des thermisch-hydraulischen Grenzwertes gelangen.

Es hat sich gezeigt, daß diese Pulsationen stets in einem Frequenzbereich zwischen etwa 0,3 und 0,7 Hz auftreten und eine sehr konstante Frequenz aufweisen. Darauf baut das in der EP-A-0 496 551 beschriebene Verfahren zur Überwachung des Leistungschwankungsbandes für Kernreaktoren auf.

3 Dabei ist vorgesehen, den Fluß als Meßgröße für den durch die lokale Oszillation einer physikalischen Größe hervorgerufenen instabilen Zustand zu verwenden, wobei zu dieser Flußmessung die erwähnten Meßlanzen ("local power ränge monitor-strings" , LPRM-strings) benutzt werden. Jede derartige Lanze enthält üblicherweise vier Sensoren, deren Signale ohnehin für die Leistungsteuerung beobachtet, weiterverarbeitet und dokumen¬ tiert werden.

Dabei wird jeder dieser vier Sensoren in jeder Meßlanze be¬ nutzt, wobei zwei Sensoren einem ersten Überwachungssystem, die beiden restlichen Sensoren einem redundanten zweiten ÜberwachungsSystem zugeordnet sind. Jedes ÜberwachungsSystem enthält dabei zwei Überwachungskanäle, wobei jedes Sensorsi- gnal einer Meßlanze einem anderen Überwachungskanal zugeord¬ net ist. Den beiden Überwachungskanälen eines Systems liegen dabei unterschiedliche Aufteilungen des Reaktors in einzelne Bereiche ("Überwachungszellen") zugrunde, wobei jede Zelle von vier Meßlanzen zur Bildung eines entsprechenden Bereich- Signals begrenzt ist. Je nach der Lage der Meßlanze im Kern (im Kerninneren oder am Rand des Kerns) gehört ein Sensorsi¬ gnal in jedem Überwachungskanal zu zwei, drei oder vier Zel¬ len. Durch diese Mehrfach-Verwendung der Sensorsignale soll erreicht werden, daß praktisch der Zustand jedes einzelnen Brennelements durch seinen Einfluß, den es auf die Sensorsi¬ gnale der einzelnen Zellen hat, überwacht und identifiziert werden kann. Dazu ist vorgesehen, daß in einem System nur dann ein Alarm gesetzt wird, wenn beide Überwachungskanäle ansprechen. Für den Alarm genügt es zwar, wenn er von einem der beiden Systeme gegeben wird; jedoch ist dadurch nur eine einfache Redundanz gegeben.

Ein weiterer Nachteil ist, daß von einer Fehlmessung oder ei¬ nem völligen Ausfall einer Meßlanze praktisch alle Überwa- chungskanäle betroffen sind, wobei es z. B. bei einer Randpo¬ sition der Meßlanze dazu kommen kann, daß gleichzeitig meh¬ rere Zellen nicht mehr ordnungsgemäß überwacht werden.

Der Zustand der einzelnen Zellen (Bereiche) wird dadurch über¬ wacht, daß zunächst in einer Plausibilitätskontrolle überwacht wird, ob das einzelne Sensorsignal einen gewissen unteren Grenzwert überschreitet und ordnungsgemäß arbeite . Bei einem Sensordefekt werden die zu dieser Zelle gehörenden Signale nicht weiter ausgewertet. Durch Summation aller Sensorsignale eines Bereiches wird ein aktuelles Bereichsignal gebildet, das aber unterdrückt wird, wenn (z.B. durch Fehlmessung) eine Plausibilitätsüberwachung ergibt, daß das Bereichsignal einen vorgegebenen Mindestwert nicht erreicht. Das Bereichsignal wird dann gefiltert und auf einen zeitlichen Mittelwert, des¬ sen Zeitkonstante größer ist als eine Periode der Oszillation, bezogen, so daß ein relatives aktuelles Bereichssignal ent¬ steht, das angibt, um wieviel Prozent die aktuelle Leistung des Bereichs über oder unter dem Mittelwert liegt.

Überschreitet dieser aktuelle Wert eine Leistungsgrenze (z. B. 120 %) , so wird überprüft, ob es sich dabei um einen einmaligen Übergangszustand (sogenannte "Transiente" ) han- delt, der z. B. nur ein aperiodisches Einschwingen auf einen neuen, die Steuerung vorgegebenen Betriebszustand darstellt, ohne eine Oszillation anzuregen. In diesem Fall handelt es sich also nicht um eine kritische Oszillation im Frequenzband 0,3 und 0,7 Hz, so daß kein Eingriff erfolgt, solange nicht ein in der Nähe des thermisch-hydraulischen Grenzwerts A _t k liegender Grenzwert h _IXayi erreicht ist.

Zur Detektion der kritischen Oszillation wird vielmehr unter¬ sucht, ob in einem diesem kritischen Frequenzband entspre- chenden Zeitintervall nach dem Überschreiten eines Grenzwerts A ₀ auch ein entsprechender Grenzwert (z. B. 80 %) unter¬ schritten wird, wie dies für eine Oszillation erforderlich ist. Wird auf diese Weise festgestellt, daß - entsprechend einer Oszillation - auf einen oberen Extremwert des Flusses ein unterer Extremwert folgt, so wird noch überprüft, ob auf diesen unteren Extremwert wieder ein oberer Extremwert folgt, und ob dieser folgende obere Extremwert einen Alarmwert über-

schreitet, der um einen vorgegebenen Faktor (z.B. 1,3) über dem zuerst detektierten Extremwert liegt. Ist dies der Fall, so wird bereits nach dieser einen Oszillationsperiode auf ei¬ ne anwachsende ("aufklingende") Oszillation geschlossen, bei der eine Überschreitung von A _tn droht, und der SCRAM wird eingeleitet, noch bevor der Wert A-na erreicht ist.

Im Hinblick auf die vorliegende Erfindung wird.bereits jetzt darauf hingewiesen, daß bei diesem Stand der Technik zwar überwacht wird, ob die Oszillation mit einer über dem vorge¬ gebenen Faktor (hier 1,3) liegenden Geschwindigkeit anwächst, jedoch wird das Anwachsen ("die Aufklingrate") der Extrem¬ werte nicht selbst gemessen. Auch ist dieser Faktor (1,3) zwar insofern relativ, als er auf den zuerst detektierten Ex- tremwert bezogen ist, jedoch ist er von der Aufklingrate un¬ abhängig.

Außerdem wird darauf hingewiesen, daß zwar überprüft wird, ob der zeitliche Abstand der detektierten Extremwerte dem kriti- sehen Frequenzband von 0,3 und 0,7 Hz entspricht, jedoch wird nicht überprüft, ob praktisch im gleichen zeitlichen Abstand DT _n , der vom zuvor detektierten oberen Extremwert (als A _n _ bezeichnet, Zeitpunkt T _n _ι) und dem jetzt detektierten unte¬ ren Extremwert (A _n , Zeitpunkt T _n ) gegeben ist, nach diesem Zeitpunkt T _n tatsächlich der nächste Extremwert A _n+ ι folgt.

Der für die Steuerung und Überwachung des Reaktors zuständige Fachmann kennt die übliche Technik zur Überwachung und Doku¬ mentation der Sensorsignale und wäre daher ohne weiteres in der Lage, nicht nur die Extremwerte A _n _ι, A _n , A _n+ ι ... zu er- fassen, sondern auch die Zeitpunkte T _n _ _] _, T _n , T _n+ ]_ ..., an denen diese Extremwerte auftreten. Er könnte daher ohne wei¬ teres das entsprechende Bereichsignal unterdrücken, wenn der zeitliche Abstand DT _n = T _n - T _n _ι nennenswert (z. B. 0,1 Se¬ kunden) von dem zeitlichen Abstand DT _n+ χ = T _n+ ι - T _n ab- weicht. Die EP-A-0 496 551 enthält hierauf aber keinerlei Hinweise.

Bei diesem Stand der Technik wird also bei einer Oszillation, deren (nicht gemessene) Aufklingrate unter dem eingestellten Faktor (1,3) liegt, zunächst nicht beachtet; sie führt viel¬ mehr erst dann zu einem Eingriff in den Reaktorbetrieb, wenn ihre Extremwerte den Grenzwert A _max überschreiten. Nur schnell aufklingende Oszillationen führen dazu, daß dieser äußerst kritische Zustand bereits vorzeitig erkannt wird und zu geeigneten Gegenmaßnahmen führt. Offensichtlich wird davon ausgegangen, daß langsam aufklingende Oszillationen von selbst wieder abklingen und normalerweise keinen SCRAM erfor¬ dern.

Als Gegenmaßnahme sieht dieser Stand der Technik nämlich le¬ diglich vor, die Oszillation durch rasches Einfahren prak- tisch aller Steuerstäbe (totaler SCRAM) zu dämpfen. Diese Strategie sieht also außer dem SCRAM keine weitere Maßnahme zur Dämpfung der Oszillation vor und verringert auch nicht die Wahrscheinlichkeit des SCRAM, der einen erheblichen Ein¬ griff in den Reaktorbetrieb darstellt. Vielmehr findet, falls eine stark aufklingende Oszillation vorliegt, eine Dämpfung nur früher (also unterhalb von statt. Dadurch wird nur die thermische Belastung der Brennelemente verringert.

Die Aufgabe der vorliegenden Erfindung ist aber, derartige Oszillationen besser zu erkennen und die Oszillation mög¬ lichst so zu dämpfen, daß ein SCRAM überhaupt nicht mehr ein¬ geleitet werden muß, also ohne Eingriff oder einen möglichst weniger störenden Eingriff in den Reaktorbetrieb auszukommen. Zu der Aufgabe gehört dabei auch eine geeignete, möglichst störsichere Überwachung des kritischen Zustands.

Die Erfindung sieht vor, durch Messung der physikalischen Größe (also des Neutronenflusses, soweit es sich um die er¬ wähnten thermisch-hydraulisch bedingten Oszillationen han- delt) in mehreren Bereichen des Reaktorkerns lokale Meßwerte zu bilden, die den jeweiligen Bereichen zugeordnet sind. Un¬ ter einer Hierarchie von Alarmstufen mit zugehörigen Überwa-

chungskriterien wird durch Überwachung der Meßwerte eine ak¬ tuelle Alarmstufe gebildet, nämlich die höchste Alarmstufe, deren Überwachungskriterium von den Meßwerten in einer vorge¬ gebenen Mindestzahl der Bereiche erfüllt ist. (Das Überwa- chungskriterium kann dabei aus mehreren einzelnen Bedingun¬ gen, z. B. das Überschreiten gesonderter Grenzwerte für die Amplitude und die Aufklingrate der Extremwerte, bestehen.) Entsprechend der aktuellen Alarmstufe wird dann eine Stabili¬ sierungsstrategie eingeleitet. Als eine zu einer niedrig- rangigen Alarmstufe gehörende Stabilisierungsstrategie ist vorgesehen, in die betriebsmäßige Steuerung und Regelung des Reaktors nur so einzugreifen, daß ein Entfernen der Steuer¬ stäbe, wie es bei einem betriebsmäßigen Anheben der Reaktor¬ leistung vorgesehen ist, zu blockieren: Vom Bedienungsperso- nal des Reaktors kann dann die Leistung des Reaktors nicht hochgefahren werden, vielmehr werden nur solche Steuerbefehle in der Reatorsteuerung wirksam, die der Steuerung des Reak¬ tors auf gleichbleibende oder abnehmende Leistung entspre¬ chen. In wenigstens einer höherrangigen Alarmstufe ist als Stabilisierungsstrategie vorgesehen, mehrere Steuerstäbe im Sinne einer Reduzierung der Reaktorleistung in den Kern ein¬ zubringen (Alarmstufe I) . Vorteilhaft sind wenigstens zwei höherrangige Alarmstufen (Alarmstufe II und Alarmstufe III) vorgesehen, wobei in Alarmstufe II nur mehrere, einem Bruch- teil der Gesamtzahl entsprechenden Steuerstäbe langsam und derart in den Kern eingefahren werden, wie es einer betriebs¬ mäßigen Reduzierung der Leistung entspricht (d. h. die Reak¬ torsteuerung nimmt eine betriebsmäßige Reduzierung der Lei¬ stung vor, auch wenn z. B. an sich ein höherer Leistungsver- brauch eine höhere Reaktorleistung fordern würde und das Be¬ triebspersonal die Reaktorleistung hochfahren will) . In der zweiten höherrangigen Alarmstufe (Alarmstufe III) werden - ähnlich wie bei einer totalen Schnellabschaltung des Reaktors (totaler SCRAM) - Steuerstäbe rasch eingefahren, wovon aber ebenfalls nicht alle, sondern nur ein Teil der Steuerstäbe betroffen ist ("Teil-SCRAM" ) . Ein totaler SCRAM ist dann

nicht mehr erforderlich, jedoch kann als Option eine Alarm¬ stufe IV vorgesehen sein, die den SCRAM auslöst.

Insbesondere werden bei der Überwachung der Meßwerte minde- stens zwei Perioden der Oszillation ausgewertet, so daß der Reaktor also zunächst unverändert weiterbetrieben wird, ob¬ wohl sich bereits eine Oszillation andeutet.

Ein Verfahren zum Betreiben eines Reaktors, der durch Oszil- lation einer im Kern auftretenden physikalischen Größe insta¬ bil ist, sieht ferner vor, durch Messung der physikalischen Größe einen Meßwert zu bilden, der die Aufklingrate der Os¬ zillation erfaßt (gegebenenfalls auch weitere Meßwerte) . In Abhängigkeit von diesem Meßwert wird eine Entscheidung ge- troffen, ob zur Dämpfung der Instabilität eine Stabilisie¬ rungsstrategie eingeleitet oder der Reaktor nach betriebsab¬ hängig eingegebenen Meßwerten zunächst weiterbetrieben wird. Insbesondere kann dabei der Reaktor während der Messung der Aufklingrate mindestens zwei Oszillationsperioden weiter be- trieben werden, ohne daß - sofern kein Meßwert einen zur Ein¬ leitung eines totalen SCRAM vorgesehenen Grenzwert nicht er¬ reicht - in die Reaktorsteuerung eingegriffen wird. So kann z. B. erreicht werden, daß bei Überschreiten eines Grenzwerts ^A max für die Oszillationsamplituden der SCRAM - entsprechend der erwähnten Alarmstufe IV - nur bei hohen Aufklingraten eingeleitet wird, jedoch bei niedrigen Aufklingraten der Re¬ aktor noch mit höheren Amplituden betrieben wird, da bei so schwach anwachsenden Amplituden auch ein erst später einge¬ leiteter SCRAM (falls die Oszillation dann noch nicht von selbst abklingt) noch genügend Zeit besitzt, um vor Erreichen von A _tn wirksam zu werden.

Bei diesem Verfahren wird vorzugsweise ein von der Aufklin¬ grate abhängiger Schwellwert für die Extremwerte der oszil- lierenden physikalischen Größe vorgegeben und die Stabilisie¬ rungsstrategie wird eingeleitet, wenn die Extremwerte diesen Schwellwert überschreiten. Es kann aber auch ein Schwellwert

für die Aufklingrate vorgegeben werden, wobei dann die Stabi¬ lisierungsstrategie eingeleitet wird, wenn die Aufklingrate diesen Schwellwert überschreitet. Bei einer ähnlichen Varian¬ te kann eine von der Aufklingrate abhängige Anzahl von Oszil- lationsperioden vorgegeben werden, um die Stabilisierungs¬ strategie erst einzuleiten, wenn die Oszillation der physika¬ lischen Größe über die Dauer dieser Oszillationsperioden an¬ hält.

Vorteilhaft sind dabei mehrere Stabilisierungsstrategien vor¬ gesehen, unter denen die einzuleitende Stabilisierungsstrate¬ gie in Abhängigkeit von der Aufklingrate ausgewählt wird.

Zum Überwachen des instabilen Zustands des Reaktorkerns kann die Erfindung vorsehen, daß in mehreren Bereichen des Reak¬ torkerns jeweils mehrere Sensoren zur Meßung der physikali¬ schen Größe angeordnet sind, wobei die AusgangsSignale der Sensoren zu einer Anzahl Mp von Bereichskanälen zusammenge¬ faßt sind und jedem Bereichskanal jeweils ein Bereich und darin angeordnete Sensoren zum Erzeugen eines Bereichssignals zugeordnet sind. Die Bereichssignale sind dann zu einer An¬ zahl P von Systemkanälen zusammengefaßt, wobei jeweils meh¬ rere Bereichskanäle einem Systemkanal, in dem sie ein System¬ signal erzeugen, zugeordnet sind. Die Systemsignale sind schließlich einem Endkanal zugeordnet, indem sie ein Endsi¬ gnal erzeugen. Mittels Überwachungsstufen und Auswahlstufen wird dabei ein Alarmendsignal im Endsignal gesetzt, sobald über mehrere Oszillationsperioden hinweg mindestens in einer vorgegebenen Anzahl Np der Systemkanäle, und zwar in einer Mindestanzahl Nmp zwischen von Bereichskanälen dieses Sy¬ stems, ein Überwachungskriterium erfüllt ist. Dabei beein¬ flußt das Ausgangssignal jedes Sensors höchstens ein Bereich¬ signal und jedes Bereichsignal höchstens ein Systemsignal. Die Bereichsignale eines Systemkanals werden jeweils aus den AusgangsSignalen von Sensoren gebildet, die in Bereichen lie¬ gen, die derart über den Querschnitt des Reaktorkerns ver¬ teilt sind, daß die jeweils einem solchen Bereich benachbar-

ten Bereichen Sensoren enthalten, deren Ausgangssignale Be¬ reichskanälen anderer Systemkanälen zugeordnet sind.

Durch diesen Verzicht auf Mehrfach-Auswertungen und Bereichs- Überlappungen wird zwar nicht mehr jedes einzelne Brennele¬ ment so genau überwacht wie nach der EP-A-0 496 551, jedoch haben die Erfahrungen und Modellrechnungen mit instabilen Zu¬ ständen gezeigt, daß stets größere Teile des Reaktors, jedoch nicht isolierte Brennelemente in Oszillationen geraten, also keine Feinauflösung der Meßwerterfaεsung erforderlich ist.

Außerdem erhöht sich die Redundanz und Störsicherheit der Er¬ fassung.

Zum Überwachen des durch die lokale Oszillation instabilen Zustands bzw. zum entsprechenden Betrieb des Reaktors kann die Erfindung eine Vorrichtung vorsehen, die eine Systemaus¬ wahlstufe, eine Anzahl P von Bereichsauswahlstufen, für jede Bereichsauswahlstufe eine Anzahl Mp von Bereichsüberwachungs- stufen und für jede Bereichsüberwachungsstufe eine Sensorstu- fe mit mehreren innerhalb eines Bereichs des Kerns angeordne¬ ten, dieser Bereichsüberwachungsstufe zugeordneten Sensoren enthält. Diese Vorrichtung ist dabei so ausgebildet, daß die jeweils einer Bereichsüberwachungsstufe zugeordneten Sensoren Meßsignale für die physikalische Größe liefern, die zu einem Bereichsignal zusammengefaßt sind, und daß jedes Bereichsi¬ gnal in der den Sensoren zugeordneten Bereichsüberwachungs- stufe nach einem Überwachungskriterium überwacht wird, wobei jede Bereichsüberwachungsstufe ein Bereichsignal liefert, das ein Bereichsüberwachungssignal enthält . Jedes Bereichsüberwa- chungssignal ist mindestens einer Bereichsauswahlstufe aufge¬ schaltet, die aus einer vorgegebenen Mindestzahl von Be¬ reichsüberwachungssignalen ein Systemüberwachungssignal bil¬ det. Jedes Systemüberwachungssignal ist dann der Systemaus¬ wahlstufe zugeführt; diese liefert mittels einer vorgegebenen Mindestzahl von Systemüberwachungsstufen ein Endüberwachungs- signal.

Dabei umfaßt die Erfindung eine Vorrichtung zum Überwachen des durch die lokale Oszillation instabilen Reaktorzustands, bei dem in mehreren Bereichen des Reaktorkerns jeweils mehre¬ re Sensoren zur Meßung der physikalischen Größe angeordnet sind und die AusgangsSignale mehrerer Sensoren eines Bereichs zu einem zugeordneten Bereichssignal zusammengefaßt sind. Je¬ dem Bereichssignal ist ein Auswertestufe zugeordnet, die im Bereichssignal das Auftreten von Extremwerten der physikali¬ schen Größe identifiziert (insbesondere über mehrere Oszilla- tionsperioden hinweg) und bei einer Oszillation konstanter Frequenz und entsprechender Dauer die Aufklingrate der Ex¬ tremwerte in diesem Bereich ermittelt. Den Rechenstufen ist mindestens eine Überwachungsstufe zugeordnet, die ein Alarm¬ signal setzt, wobei mindestens in einer vorgegebenen Anzahl von Bereichen die Extremwerte ein von der ermittelten Auf¬ klingrate abhängiges lokales Überwachungskriterium erfüllen.

Im Hinblick auf vorgesehene Stabilisierungskriterien kann ei¬ ne Vorrichtung zum Überwachen der lokalen Oszillationen Sen- soren zur Meßung der physikalischen Größe enthalten, die in mehreren Bereichen des Reaktorkerns angeordnet sind und wobei die Ausgangssignale mehrerer Sensoren eines Bereichs zu einem zugeordneten Bereichsignal zusammengefaßt sind. Jedem Be¬ reichsignal ist dann eine Auswertestufe zugeordnet, die im Bereichsignal das Auftreten einer Oszillation konstanter Fre¬ quenz identifiziert. Den Auswertestufen ist eine Endüberwa- chungsstufe zugeordnet, die aus einer Hierarchie von Alarm¬ stufen eine Alarmstufe auswählt, entsprechend vorgegebenen Überwachungskriterien für die in mindestens einer vorgegebe- nen Anzahl von Bereichsignalen identifizierten Oszillationen.

Die Endüberwachungsstufe legt dabei entsprechend der ausge¬ wählten Alarmstufe einen Zeitpunkt (oder zumindest die Krite¬ rien für den Zeitpunkt) fest, bei dem ein Notbefehl zum Ein¬ leiten einer der Alarmstufe entsprechenden Stabilisierungs- Strategie abgegeben wird. Dieser Zeitpunkt kann z.B. durch eine Anzahl von Oszillationsperioden vorgegeben werden, die vor dem Einleiten einer Stabilisierungsmaßnahme abgewartet

12 werden. Er kann aber auch dadurch festgelegt werden, daß in Abhängigkeit von momentanen Ist-Werten (z. B. Ist-Werten der Aufklingrate) ein Grenzwert (z. B. ein Grenzwert für die Am¬ plitude) festgelegt wird, der zu einem späteren Zeitpunkt, an dem ein überwachter Ist-Wert (im Beispiel also die Amplitude) dann diesen vorbestimmten Grenzwert überschreitet, zur Auslö¬ sung der Stabilitätsmaßnahme führt.

Diese und weitere besondere Merkmale bei der Ausführung der Erfindung sind in den unabhängigen und abhängigen Ansprüchen angegeben, wobei viele der in Zusammenhang mit einem Verfah¬ ren beschriebenen Merkmale auch die Vorrichtung kennzeichnen können (und umgekehrt) .

Anhand von elf Figuren und mehreren Ausführungsbeispielen wird die Erfindung näher erläutert. Es zeigen: Figur 1 das Schema der im Kern eines Siedewasserreaktors angeordneten Brennelemente und Meßlanzen sowie de¬ ren Zuordnung zu Überwachungsbereichen und Überwa- chungssystemen,

Figur 2 eine Meßlanze mit vier Sensoren zur Überwachung eines Bereiches und eine diesen Sensoren zugeordnete Sensorstufe in einem dem Bereich zugeordneten Bereichskanal, Figur 3 eine Auswerteeinheit und eine Überwachungseinheit in diesem Bereichskanal, Figur 4 die Aufteilung der in verschiedenen Bereichen und Bereichskanälen erzeugten Bereichsignale in Systeme, die in jedem System vorhandenen Bereichsauswahlstufen sowie die Systemauswahlstufe zur Erzeugung der Alarmendsignale, Figur 5 eine kritische Oszillation im Meßwert des Flußes und deren Dämpfung bei einem SCRAM Figur 6 die jeweils mit einer anderen Aufklingrate unge- dämpft anwachsenden Amplitudenwerte des Flußes bis zum Erreichen des thermisch-hydraulischen Grenz¬ werts A _tn ,

Figur 7 den Zusammenhang zwischen der Aufklingrate DA und den bis zum Erreichen eines zulässigen Höchstwertes ^A max ^zur Verfügung stehenden Oszillationsperioden, Figur 8 die bei verschiedenen Aufklingraten auftretenden Amplituden im Fall einer durch eine

Stabilisierungsstrategie unzureichend gedämpften Oszillation, Figur 9 den Verlauf der Extremwerte (Amplituden) beim Betrieb des Reaktors mit einer verhältnismäßig schwach anklingenden Oszillation nach einer bevorzugten Ausführungsform der Erfindung, Figur 10 den entsprechenden Verlauf bei einer rasch aufklingenden Oszillation, und Figur 11 eine Bereichsüberwachungsstufe bei einem bevorzug- ten Ausführungsbeispiel.

Figur 1 zeigt schematisch einen Querschnitt 1 durch einen Re¬ aktorkern, in dem quadratische Brennelemente 2 schachbrettar¬ tig eng beieinander stehen. Mit Ausnahme der Randbereiche bilden jeweils vier derartige Brennelemente ein Quadrat, bei dem jeweils nur an einer einzigen Ecke eine der mit (1) , (2).. (28) bezeichneten Meßlanzen angeordnet sind. Eine derar¬ tige Meßlanze ist also in der Regel an der gemeinsamen Ecke von vier aneinander stoßenden Quadraten aus jeweils vier Brennelementen angeordnet. Für die Auswertung der Signale dieser Meßlanzen sind - wiederum mit Ausnahme von Randberei¬ chen - jeweils vier solcher Quadrate zu einem "Bereich" (z. B. die benachbarten, unterschiedlich schraffierten Berei¬ che 2', 2'') zusammengefaßt, die somit Schachbrettartig nahe- zu den gesamten Bereich des Kerns erfassen. Da jede Meßlanze (Position 3 in Figur 2) jeweils vier in einem Hüllrohr 5 übereinander angeordnete Sensoren 4a, 4b, 4c und 4d umfaßt, werden über die entsprechenden Meßleitungen 6 der Meßlanzen (1)..(28) jeweils vier Sensorsignale an die gesamte Vorrich- tung zur Überwachung des Kern geliefert. Jede dieser Meßlei¬ tungen 6 führt somit die einem Bereich zugeordneten Sensorsi- gnale.

In Figur 1 sind die einzelnen, jeweils einem Bereich zugeord¬ neten Meßlanzen mit einem der Buchstaben A, B, C und D be¬ zeichnet, wobei diese Buchstaben die Zuordnung der entspre¬ chenden Meßlanzen und ihrer Sensorsignale zu einem System p von insgesamt p ÜberwachungsSystemen (hier p = 4) angeben. Diese Überwachungssysteme arbeiten redundant und liefern je¬ weils ein eigenes Überwachungssignal und gegebenenfalls Alarmsignal, wobei diese Signale erst in einer Systemauswahl zu einem Endüberwachungssignal bzw. Endalarmsignal verarbei- tet werden.

Der entsprechende, den Kern überwachende Monitor enthält also nur Systeme, die jeweils voneinander unabhängig sind (kein Sensorsignal wird in mehr als einem System verarbeitet) und die von ihnen überwachten Bereiche überlappen sich nicht. Bei Ausfall einer Meßlanze wird dann zwar ein ganzer Bereich aus 16 Brennelementen nicht mehr überwacht, jedoch wird davon nur eines der redundant arbeitenden Systeme beeinflußt, während die anderen Systeme von diesem Ausfall nicht betroffen sind. Sensoren benachbarter Bereiche sind dabei auch stets unter¬ schiedlichen Systemen zugeordnet. Diese Prinzipien sind auch bei anderen Konfigurationen des Kerns (z.B. größere Kerne) und der Meßlanzen (z.B. 34 statt 28 Meßlanzen) beibehalten.

Im vorliegenden Fall sind die 28 Meßlanzen auf Systeme mit je sieben Bereichen verteilt (allgemein sei ein beliebiger Be¬ reich mit m und die Gesamtzahl der Bereiche eines Systems p mit Mp bezeichnet. Im Beispiel gilt also für alle Systeme Mp = 7). Dabei erfaßen bei dieser Zuordnung alle Bereiche je- weils eine gleiche Anzahl (nämlich vier) Sensorsignale, wäh¬ rend im allgemeinen Fall für die einzelnen Bereiche die Zahl der Sensorsignale auch unterschiedlich sein kann. Dies kann vor allem vorgesehen sein, wenn die oben angegebene "lineare" Zuordnung, bei der jeder Sensor höchstens einem einzelnen Sy- stem zugeordnet ist, nicht vorgenommen wird.

Jedes Sensorsignal wird in seinem Bereichskanal zunächst mit¬ tels einer Auswahlstufe 8 einer Plausibilitätskontrolle un¬ terworfen, wobei zunächst Sensorsignale ausgeschieden werden, die außerhalb des ordnungsgemäßen Arbeitsbereiches der Senso- ren liegen, wie dies auch in der bereits erwähnten

EP-A-0 496 551 vorgesehen ist. Aus den verbleibenden Aus¬ gangssignalen von ordnungsgemäß arbeitenden Sensoren werden jedoch - im Unterschied zu diesem Stand der Technik - nur ei¬ ne Mindestzahl (hier: zwei) ausgewählt, und zwar in der Regel die Signale der untersten, zur Verfügung stehenden Sensoren. Im allgemeinen unterscheiden sich nämlich die Signale von li¬ near übereinander angeordneten Sensoren nur wenig und insbe¬ sondere zeigen sie praktisch ohne Phasenverschiebung die gleichen, auf die lokale Leistungspulsation in diesem Bereich zurückzuführenden zeitlichen Verläufe. Die Sensoren können daher prinzipiell einander ersetzen. Die Berücksichtigung der untersten Sensoren (4a und 4a in Figur 2) bietet jedoch einen geringen Vorteil, da in dem kritischen Bereich hoher Leistung und niedrigen Kühlmitteldurchsatzes der Fluß in den unteren Bereichen der Brennelemente ausgeprägtere Oszillationen aus¬ führt als in den oberen Bereichen, also die entsprechenden Extremwerte (Amplituden) der Oszillation deutlicher erfaßbar sind.

Insbesondere kann dieser, von den Sensorsignalen gespeisten Auswahlstufe 8 ein analoges Filter 9 ' für die Sensorsignale vorgeschaltet sein, wobei die Auswahl der beiden für die Wei¬ terverarbeitung freigegebenen Sensorsignale durch eine "2 aus 4"-Auswahl 10 ("2 out of 4") erfolgen kann, die gleichzeitig eine Umsetzung der analogen Eingangssignale in digitale Aus¬ gangssignale vornehmen kann, so daß statt des vorgeschalteten analogen Filters 9' auch ein digitales Filter 9 nachgeschal¬ tet werden kann. Außerdem wird bei diesem Filter 9 auch eine Sum ation der beiden AusgangsSignale der Auswahlstufe 8 vor- genommen, um einen über die Exemplarstreuung der einzelnen Sensoren gemittelten Momentanwert für den Fluß in den ent¬ sprechenden Bereich zu erhalten. Dies entspricht der Summa-

tion der Sensorsignale in den einzelnen "Zellen" der erwähn¬ ten EP-A-0 496 551, wobei allerdings bei diesem Stand der Technik das entsprechende "Zellensignal" von Sensorsignalen gebildet wird, die auch bei der Überwachung anderer Bereiche und in anderen Systemen verwendet werden.

Anschließend wird in einer Normierungseinheit aus dem aktuel¬ len Signal A(t) am Ausgang des Filters 9 ein aktueller Me߬ wert A(t)-A* gebildet, der z.B. auf den mittleren Signalpegel A* dieses Bereichs normiert werden kann. Dieser mittlere Pe¬ gel kann, wie dies im Stand der Technik beschrieben ist, durch einen Integrator 10 dadurch gebildet werden, daß das über einen verhältnismäßig langen Integrationszeitraum er¬ faßte Signal A(t) integriert wird. Diese Normierung liefert einen abwechselnd positiven und negativen Meßwert, so daß die Oszillationsamplituden symmetrisch um einen Nullpunkt liegen und leicht erfaßbar sind. Eine digitale Signalverarbeitung ermöglicht aber auch ohne großen Aufwand auch bei anders nor¬ mierten oder unnormierten Signalen S, jeweils die Amplitude einer Halbperiode zu erfassen, wobei dann vorteilhaft sein kann, daß Grenzwerte als Absolutwerte statt Relativwerte vor¬ gegeben werden können.

Anschließend wird die weitere Verarbeitung des Signales S un- terdrückt, solange es unter einem Grenzwert Ao für das norma¬ le Signalrauschen liegt und daher eine Bestimmung von Extrem¬ werten ("Peaks" oder "Amplituden"), die einer Oszillation zu¬ geordnet werden könnten, nicht möglich ist (Schwellwertglied 11) .

Gemäß Figur 3 enthält der Bereichskanal eines Systems p eine Auswertestufe 12, in der zunächst in einer ersten Rechenstufe der Zeitpunkt T _n festgehalten wird, an dem ein zunächst an¬ steigender, über der Rauschgrenze Ao liegender Signalwert S bis zu einem Extremwert A _n angestiegen ist und wieder abfällt (positiver Peak) . Alternativ - oder vorzugsweise zusätzlich - wird als Peak A _n und dessen Zeitpunkt T _n auch ein negativer

Peak erfaßt, d.h. ein jenseits der Rauschgrenze Ao liegender Extremwert, der durch einen zunächst abfallenden dann anstei¬ genden (negativen) Wert des Signals S gebildet ist. Dieser Extremwert-Erfassung 13 ist eine weitere Plausibilitätsüber- wachung 14 nachgeschaltet, die z.B. so ausgebildet ist, wie in der EP-A-0 496 551 beschrieben ist und überprüft ob der in der Extremwert-Überwachung 13 erfaßbare Zeitabstand DT _n zwi¬ schen dem aktuell erfaßten Zeitpunkt T _n und dem zuvor erfa߬ ten Zeitpunkt T _n _ι einer Oszillation entsprechen kann, die innerhalb des kritischen Frequenzbandes zwischen 0,3 und 0,7 Hz liegt. Ein weiteres Auswerteglied 15 überprüft vor¬ teilhaft zusätzlich, ob das erfaßte Zeitintervall DT _n mit dem zuletzt erfaßten Zeitintervall DT _n _ praktisch zusammenfällt. Ist dies nicht der Fall, so handelt es sich bei den erfaßten Peaks nicht um die Amplituden einer Oszillation, die prak¬ tisch nicht gedämpft ist und bis zu gefährlichen Extremwerten aufklingen könnte; die weitere Auswertung des zuletzt ermit¬ telten Peaks A _n wird dann unterdrückt. Handelt es sich dage¬ gen um Werte, die der Amplitude einer oszillierenden Größe zugeordnet werden können, so wird durch ein entsprechendes Bestätigungssignal ("confirmation Signal") ein nachfolgendes Rechenglied 16 aktiviert, das aus den zuletzt ermittelten Peaks deren "Aufklingrate" DA = (IA _n l -IA _n _ι I ) /T _n -T _n _ι ermit¬ telt. Kann also der jeweilige Signalwert S mathematisch durch eine Größe S(t)-Cosinus ΩT beschrieben werden, so entspricht diese Aufklingrate dem Differenzialquotienten dS(t)/dt. Er gibt z. B. bei Auswertung positiver und negativer Extremwerte den Zuwachs des Extremwertes jeweils nach einer Halbperiode der Oszillation an.

In der Überwachungseinheit 17 ("checking") bildet nun ein Überwachungsglied 18 nach vorgegebenen, im folgenden noch ge¬ nauer beschriebenen Überwachungskriterien ein Signal, das z.B. als Binärsignal im Zustand "0" angibt, daß keine den Überwachungskriterien entsprechende, gefährliche Oszillation vorliegt, während der Zustand "1" des entsprechenden Überwa¬ chungssignals einen Alarm (Position 19) anstößt. Dieses

Alarmsignal kann, zusammen mit anderen Informationen, die z.B. den Bereich identifizieren, in dem das Überwachungskri¬ terium angesprochen hat, an eine Anzeigeeinheit ausgegeben und/oder in einen Speicher zur Dokumentation des Vorgangs niedergelegt werden.

Dieser Aufbau des Bereichskanals m ist vorteilhaft in jedem Bereichskanal vorgesehen, wie in Figur 4 links oben im Feld "System 1" für jeden Bereich aus der Gesamtzahl M^ der Berei- ehe des Systems p = 1 und im rechten Feld "System P" für alle Bereiche (Gesamtzahl M _p ) des Systems p = P angegeben ist.

Die (z. B. auch in das Element 19 eingegebenen) linearen Alarmbereichssignale stellen entsprechend der Anzahl p der Bereichskanäle ein M _p -faches Binärsignal dar, aus dem in ei¬ ner Bereichsauswahlstufe 20 ein N _m p-faches Binärsignal gebil¬ det wird, um anzuzeigen, daß mindestens in einer Anzahl N _m p der Bereiche dieses Systems ein einem Alarm entsprechendes Bit gesetzt wurde.

In Figur 4 werden die entsprechenden Alarm-Bereichssignale einmal zu einer optischen Anzeige 21 zusammengefaßt, wobei N _j η- _^ 1 gewählt ist, d.h. der optische Alarm 21 wird ausgelöst, sobald wenigstens in einem Bereichskanal das dem Alarm ent- sprechende Bit gesetzt ist. Daher enthält jedes System ein Auswahlglied, bei dem N _m p=l vorgegeben ist, hier also eine "1 aus 7"-Auswahl 22 (z. B. bei digitaler Auswertung ein ODER-Glied) und setzt die optische Anzeige 21, während bei einem zweiten Auswahlglied 23 N _rn p=2 gesetzt wird, es sich al- so um eine "2 aus 7"-Auswahl handelt. Es soll nämlich erst dann ein entsprechendes Alarm-Bit im Bereichssignal gesetzt werden, wenn in mindestens zwei Bereichen des Systems jeweils das Überwachungskriterium erfüllt ist, um einen Fehlalarm durch Verarbeitungsfehler auszuschließen.

In einer Endstufe 24 ist nun eine System-Auswahl getroffen, die jeweils dann ein Alarm-Endsignal setzt, wenn aus der ge-

samtanzahl P der Systeme wenigstens eine Mindestanzahl Np ein gesetztes Alarmsignal enthält. Diese Systemauswahl besteht in diesem Fall aus einer auf Np=l eingestellten "1 aus 4" Schal¬ tung 25, die ein Alarmsignal (Position 26) ausgibt, das in einem Display 27 optisch angezeigt wird und angibt, daß in einem der Systeme eine kritische Oszillation entdeckt wurde. Eine auf Np=2 eingestellt "2 aus 4" Auswahl 28 setzt einen Alarm (Position 27') der einerseits im Display 27 ebenfalls angezeigt werden kann, andererseits auf die Steuerung des Re- aktors ("Reaktor controll", Position 29) einwirkt und dort eine in einem Speicher 29" als entsprechendes Programm abge¬ legte Stabilisierungsstrategie auslöst.

Im allgemeinen können in jedem System die in den Figuren 2 und 3 dargestellten Verarbeitungsglieder des Bereichskanals durch einen zentralen Rechner mit einer eigenen Spannungsver¬ sorgung, einer zentralen Prozessoreinheit, einem Eingangsmo¬ dul für 32 analoge Eingangssignale und einem entsprechenden Ausgangsmodul für 32 digitale Ausgangssignale realisiert wer- den, der bei einer Arbeitsfrequenz von 32 MHz mit der Pa¬ rallelverarbeitung der 28 Sensorsignale, die in dem 32-Bit- Eingang des Rechners enthalten sind, etwa zu 50 % ausgelastet ist. Eine vorteilhafte Abtastrate für die EingangsSignale be¬ trägt 50 Hz oder mehr, mindestens aber 20 Hz. Die üblichen Verarbeitungsglieder für die Sensorsignale bieten genügend Stellplatz für die Prozessoreinheiten der Systeme.

Die Ausgangssignale dieser System-Prozessoren können an einen handelsüblichen Mikrorechner angeschlossen sein, in dem die empfangenen Bereichssignale verarbeitet und gespeichert wer¬ den. Dieser Prozessor enthält auch die Programme, die erfor¬ derlich sind, um die Systemauswahl zu treffen und nach vorge¬ gebenen Strategien die Signale zu liefern, die in die Reak¬ torsteuerung zur Durchführung der jeweiligen Stabilisierungs- maßnahmen erforderlich sind. Als Verbindungsleitungen können vorteilhaft Glasfasern verwendet werden.

Zur Erläuterung der Stabilisierungsmaßnahmen ist in Figur 5 - ohne Berücksichtigung eines den tatsächlichen Verhältnissen entsprechenden Maßstabs - ein Verlauf des relativen Bereichs- meßwerts S angenommen, aus dessen über der Rauschgrenze A ₀ liegenden Werten die Aufklingrate DA bestimmt wird, wenn diese Oszillation einen Grenzwert n _m überschreitet. Dabei ist der Extremfall angenommen, daß nach Überschreiten eines vorgegebenen Maximalwertes A _j -^x der Amplituden ein totaler SCRAM eingeleitet wird, bis zu dessen ausreichender Wirksam- keit eine Anzahl N ¹ (hier N'=2) Oszillationsperioden benötigt werden, während nur eine Anzahl N (zur Verdeutlichung ist hier N=3 angenommen, bei realen Verhältnissen ist N sehr viel größer) von Oszillationsperioden verstreichen, bis die Ampli- tutden es relativen Meßwerts S den Bereich zwischen A _] _-j_ _m und A _j -^x durchlaufen.

Dem in Figur 5 durch die Kurve 30 dargestellten Extremfall entspricht die Kurve 30 der Figur 6, wobei in dieser Figur 6 weitere Kurven 34, 33, 32 und 31 angegeben sind, deren Auf- klingrate DA jeweils um den Faktor 1/2, 1/3, 1/4 und 1/5 ge¬ ringer sind. Aus Figur 6 kann man entnehmen, daß bei diesen Aufklingraten ein SCRAM, der bei Überschreiten des Grenzwerts ^A max ausgelöst würde, noch nicht erforderlich ist, vielmehr gestattet die für die Wirksamkeit des SCRAM erforderliche Zeit bzw. Anzahl N' der Oszillationsperioden DT, den Reaktor noch eine gewisse Anzahl N von Perioden weiter zu betreiben, die sich aus dem Schnittpunkt der Kurven 32, 33.. mit der Kurve F(A4) ergeben. Für Oszillationen, deren Amplituden beim Überschreiten des Grenzwerts A]_i _m noch schwächer anwachsen als die Kurve 32, kann angeommen werden, daß derartige schwach aufklingende transiente Übergänge von selbst abklin¬ gen, so daß in den Reaktorbetrieb voraussichtlich für eine Anzahl N der Betriebsperioden nicht eingegriffen werden muß, die sich aus dem Schnittpunkt der entsprechenden Kurven mit der Grenzkurve 35 ergibt. Ein oberer Grenzwert A4 stellt da¬ bei sicher, daß selbst bei unverändert anwachsender Amplitude noch ein SCRAM eingeleitet werden kann, für dessen Wirksam-

keit noch die Anzahl N'=2 Oszillationsperioden zur Verfügung stehen.

In Figur 5 ist der durch die Kurve F(A4) gegebene Zusammen- hang zwischen den Aufklingraten DA und den Periodendauern N, die nach .Überschreiten des Grenzwerts Aπ^x noch vor Einleiten eines SCRAM zur Verfügung stehen, als entsprechende Grenz- kurve F(DA) wiedergegeben. Eine derartige Kurve kann - unter Berücksichtigung einer ausreichenden Sicherheitsreserve - aus Modellrechnungen für das Verhalten des Reaktors bei transien- ten Zuständen und aus dem Vergleich solcher Modellrechnungen mit tatsächlich beobachteten Reaktorzuständen ermittelt und z.B. als Kennlinie in einem Speicher hinterlegt werden. Es genügt dann, beim Überschreiten des Grenzwerts A]_i _m die je- weils detektierte Aufklingrate zu benutzen, um den entspre¬ chenden Wert N (für die Kurven 31, 32, 33, 34 also die Werte Nl, N2, N3, N4) zu entnehmen. Beim Überschreiten des Amplitu¬ denwertes A- _fj ax kann dann ein Zähler auf den entsprechenden Wert N gesetzt werden, der mit jedem Bestätigungssignal "confirmation" (Figur 3) heruntergezählt wird. Der Reaktorbe¬ trieb braucht dann nicht durch einen totalen SCRAM unterbro¬ chen zu werden, solange der Zählerstand nicht auf Null herun¬ tergezählt ist. Auch dann braucht der totale SCRAM erst ein¬ geleitet zu werden, wenn der Amplitudengrenzwert A4 erreicht ist. In der Regel ist aber innerhalb dieser Zeit die Oszilla¬ tion von selbst bereits gedämpft und klingt wieder ab, was insbesondere dadurch sichergestellt werden kann, wenn beim Überschreiten des Grenzwertes A _j -^x ein Alarmsignal gesetzt wird, das in dieser Alarmstufe lediglich verhindert, daß in der Steuerung Änderungen des Betriebszustandes vorgenommen werden, die zu einer Leistungserhöhung und damit zu einer weiteren transienten Anregung der Oszillation führen könnten. Bei dieser Variante wird also lediglich bei Überschreiten des Grenzwerts A^x lediglich eine Stabilisierungsstrategie ver- folgt, die einer niedrig rangigen Alarmstufe entspricht und keine Unterbrechung des Reaktorbetriebes, insbesondere keinen SCRAM erfordert, solange nicht durch Überschreiten der in Fi-

gur 7 gegebenen Kurve und/oder Überschreiten der Grenzwerts A4 eine höchstrangige Alarmstufe mit einem totalen SCRAM vor¬ liegt.

Es kann aber auch auf eine Kennlinie, die zu jedem Wert DA die entsprechende, vor einem SCRAM noch verfügbare Zeit (Periodenzahl N) ermittelt, verzichtet und statt dessen die Aufklingrate DA durch entsprechende Grenzwertmelder auf Über¬ schreiten von bestimmten Grenzwerten überwacht wird, wie in Figur 7 durch DAl, DA2, DA3 und DA4 angegeben sind. Liegt al¬ so z.B. ein unterhalb des Grenzwerts DAl liegende Aufklin¬ grate vor, so kann eine entsprechende Periodenzahl Nl abge¬ wartet werden, in der noch keinerlei Sicherheitsmaßnahmen er¬ forderlich sind, also keine Stabilisierungsstrategie mit ei- nem besonderen Eingriff in die Reaktorsteuerung erforderlich ist. Im Bereich zwischen den Grenzwerten DAl und DA2 (Alarmstufe I) kann z.B. vorgesehen sein, den Raktorbetrieb für eine Anzahl N2 von Oszillationsperioden weiter laufen zu lassen, wobei es vorteilhaft sein kann, zu verhindern, daß der Reaktor auf einen Betriebszustand erhöhter Leistung ge¬ steuert wird. In der Alarmstufe II kann die Dauer für diesen Reaktorbetrieb auf eine Anzahl N3 von Reaktorperioden be¬ grenzt werden, wobei zur Verbesserung der Dämpfung auch vor¬ gesehen sein kann, ein Teil der Steuerstäbe langsam in den Reaktor einzufahren, was einer Absenkung der Reaktorleistung entspricht, wie sie betriebsmäßig vorgesehen ist, wenn dem Reaktor eine niedrigere Leistung abverlangt wird. Die Grenz¬ werte DA3 und DA4 für die Aufklingrate bestimmen eine Alarm¬ stufe III, in der der Reaktor noch eine Anzahl N4 von Peri- öden weiter laufen kann, wobei außerdem vorgesehen sein kann, hier einen Teil der Absorberstäbe schnell einzufahren (als "partial SCRAM" bezeichnet) . Erst beim Überschreiten des Grenzwerts DA4 erscheint dann in einer höchstrangigen Alarm¬ stufe ein totaler SCRAM erfordelich.

Eine weitere Variante der Erfindung wird anhand der Figuren 8 bis 10 erläutert. In Figur 8 sind dabei für die Amplituden

des relativen Bereichssignals S Aufklingraten gezeigt, die den Kurven 32 und 33 der Figur 6 entsprechen. Diese Amplitu¬ den sind zu dem Zeitpunkt ermittelt, an dem sie den Grenzwert ^A lim überschreiten. Dabei ist angenommen, daß die Alarmstufe II von der Überwachungsstufe detektiert wurde und eine Stabi¬ lisierungsstrategie eingeleitet wurde, bei der die Reaktor¬ leistung durch langsames Einfahren der Steuerstäbe stabili¬ sierte werden soll. Im Fall der Kurve 33 sind die unter die¬ sen Bedingungen auftretenden Amplituden mit durchgezeichneten Linien angegeben. Die der Alarmstufe II entsprechende Stabi¬ lisierungstrategie würde - falls sie auch bei Amplitudenwer¬ ten beibehalten würde, die über einem mit A3 angegebenen Grenzwert liegen und durch unterbrochen gezeichnete Peaks dargestellt ist - dazu führen, daß mit dem Grenzwert A4 ein totaler SCRAM eingeleitet werden müßte. Ein derartiger tota¬ ler SCRAM soll aber vermieden werden. Deshalb wird bei Errei¬ chen des Grenzwerts A3 von der im Zusammenhang mit der Alarm¬ stufe II bei Figur 7 besprochenen Stabilisierungstrategie (langsames Einfahren von Absorberelementen) auf eine höhere Alarmstufe mit einer höherrangigen Stabilisierungstrategie übergegangen, nämlich dem erwähnten "partial SCRAM" . Dadurch wird nunmehr die Oszillation stärker gedämpft, so daß die Am¬ plituden nicht weiter aufklingen, also der Grenzwert A4 nicht erreicht und der totale SCRAM nicht eingeleitet wird.

Die Kurve 32 zeigt, daß auch in diesem Fall bei einer niedri¬ geren Aufklingrate der Grenzwert A3 höher gesetzt werden kann als bei höherer Aufklingrate.

Bei dieser Variante wird also nicht die Abklingrate auf Über¬ schreiten von Grenzwerten überwacht, vielmehr wird die momen¬ tan detektierte Abklingrate dazu benutzt, einen Grenzwert für die Amplitudenwerte selbst, vorzugeben. Die Abhängigkeit des Grenzwertes von der Abklingrate kann dagegen wiederum nach einer Eichkurve, ähnlich Figur 7, ermittelt werden, oder es kann auch durch eine entsprechende Aufteilung des für die Aufklingrate zur Verfügung stehenden Bereichs in einzelne

Alarmstufen der entsprechende Grenzwert A3 stufenweise verän¬ dert werden.

Diese Variante hat den Vorteil, daß Änderungen in der Abklin- grate, die während des Reaktorbetriebes auch nach Überschrei¬ ten des Grenzwertes A-Hm auftreten, besonders berücksichtigt werden. Dies zeigt die Kurve 40 der Figur 8, bei der zunächst angenommen ist, daß die Oszillation beim Überschreiten des Grenzwertes Aii _m so schwach anwächst, daß ein Eingreifen in die Reaktorsteuerung nicht erforderlich ist. Es ist aber an¬ genommen, daß das Bedienungspersonal zum Zeitpunkt t _D über die betriebsmäßige Reaktorsteuerung eine Erhöhung der Lei¬ stung vorgenommen hat, durch die die transient angeregte Os¬ zillation erheblich verstärkt wird. Dies führt dazu, daß die Amplitude A, deren Aufklingrate beim Überschreiten von A^-j^ zunächst gering war und keinen Alarm ausgelöst hat, nunmehr den Wert der Kurve 33 annimmt, so daß jetzt die Amplitude A auf Überschreiten des Grenzwerts A3 überwacht wird und in diesem Fall die gleiche, der Alarmstufe III entsprechende Stabilisierungstrategie ("partial SCRAM") einleitet. Dadurch wird die aufklingende Oszillation stärker gedämpft, so daß auch in diesem Fall der Grenzwert A4 praktisch nicht mehr er¬ reicht wird, also kein totaler SCRAM erforderlich wird.

Analog zum Grenzwert A3 für die Amplitude A, der zur Einlei¬ tung des partial SCRAM führt, kann natürlich auf für die niedriger rangigen Stabilisierungstrategien (Blockieren einer Leistungserhöhung, Alarmstufe I; bzw. langsames Einführen zu¬ sätzlicher Abεorberelemente, Alarmstufe II) ein entsprechen- der Grenzwert AI und A2 eingeführt werden.

Dies ist in Figur 9 anhand einer mit relativ niedriger Auf¬ klingrate aufklingenden Oszillation gezeigt. Dabei liegen die Extremwerte (Amplituden) der Oszillation auf einer Kurve 41 und werden auf Überschreiten der Grenzwerte AI, A2, A3 über¬ wacht, die entsprechend der bei dieser Aufklingrate zur Ver¬ fügung stehenden, hohen Anzahl N von Oεzillationsperioden re-

lativ nahe an dem Grenzwert A _tn bzw. A _j -^x liegen. Mit Über¬ schreiten des Grenzwerts AI wird die erste Alarmstufe ge¬ setzt, deren Stabilisierungstrategie lediglich das Blockieren einer Leistungserhöhung vorsieht. Dadurch wird zwar die Auf¬ klingrate erniedrigt, aber die Oszillation noch nicht ausrei¬ chend gedämpft. Beim Überschreiten des Grenzwerts A2 jedoch wird die Leistung des Reaktors erniedrigt und die Oszillation derart gedämpft, daß ein weiteres Anwachsen auf die Grenzwer¬ te A3, Amax und Ath bereits nicht mehr auftritt.

Der in Figur 10 gezeigten Kurve 42 liegt eine verhältnismäßig hohe Aufklingrate DA zugrunde, weshalb die Grenzwerte AI, A2 und A3 in diesem Fall - in Abhängigkeit von der dedektierten Aufklingrate DA - niedriger gelegt sind als in Figur 9. Des- halb wird die Alarmstufe II (Grenzwert A2) bereits relativ frühzeitig erreicht und auch der durch Überschreiten des Grenzwerts A3 in der Alarmstufe III vorgesehene "partial SCRAM" wird früher vorgenommen. Dies führt zu der gewünschten Dämpfung der Oszillation und verhindert, daß der Grenzwert A _jrt ax überschritten wird. Dadurch ist eine Totalabschaltung selbst in diesem ungünstigen Fall verhindert.

Das Rücksetzen der jeweiligen Alarmstufen kann z.B. erfolgen, wenn die Amplitude den Grenzwert wieder unterschreitet.

Figur 11 zeigt eine Ausführungsform für die Überwachungen in den Befehlskanälen des Systems 1, die Bereichsauswahlstufe für die Alarmsignale, die in dem Bereichssignal durch diese Überwachung gesetzt werden, und die Überwachungseinrichtung im entsprechenden Systemkanal.

Dabei ist in den jeweils mit "Region 1" bezeichneten Feldern die Bereichsüberwachung im ersten Bereich des Kanals 1 darge¬ stellt, wobei das diesem ersten Bereich zugeordnete Bereichs- signal entsprechend dem Grenzwert AI einem Grenzwertmelder zugeleitet wird, der ein logisches Alarmsignal "1" setzt, wenn das Bereichssignal S den Grenzwert AI überschreitet.

Dieser Grenzwert ist einem Speicher 52 für eine Kennlinie entnommen. Nach der eingespeicherten Kennlinie entspricht dieser Grenzwert AI dem im Bereichskanal 1 (Position 16, Fi¬ gur 3) ermittelten Wert DA der aktuellen Aufklingrate. Mit dem logischen Ausgangssignal des Grenzwertmelders 51 kann ei¬ nerseits eine Anzeige und/oder Speichereinheit 53 angesteuert werden, die nun für das Überwachunssignal AAl, das der ersten Alarmstufe und dem ersten Bereichskanal zugeordnet ist, ein der ersten Alarmstufe zugeordnetes Alarm-Bereichssignal AAl bildet. In ähnlicher Weise wird das relative Bereichssignal S in einer (nicht näher dargestellten) Auswerteeinheit 54 hin¬ sichtlich des Grenzwertes A2 und einer den Grenzwertmelder 55, den Kennlinienspeicher 56 und die Anzeige- und/oder Spei¬ chereinheit 57 enthaltenden Überwachungsstufe hinsichtlich des Grenzwert A3 und der Alarmstufe III vorgenommen. Nicht dargestellt ist, daß das Signal S mittels eines weiteren Grenzwertmelders auf Überschreiten eines fest vorgegebenen Grenzwerts A4 überwacht werden kann.

Die entsprechenden Glieder sind in jedem Bereichssignal des Systems vorhanden und auch für den letzten Bereich "Region Mp" im rechten Teil der Figur 11 mit den Bezugszeichen 51', 52'... 57' dargestellt.

Die von den Grenzwertmeldern 51, 51' in den einzelnen Be¬ reichskanälen gebildeten Überwachungssignale (im Fall Mp=7 also ein 7-Bit-Signal) können in einem Summierglied 60 sum¬ miert werden. Dieses Signal gibt somit an, in wievielen Be¬ reichskanälen der entsprechende Grenzwertmelder 51 ein Alarm- signal der Stufe I gesetzt hat. Ist diese Anzahl größer oder gleich einer vorgegebenen Anzahl Nmp, so setzt eine entspre¬ chende Abfrageeinheit 61 ein entsprechendes Alarm-Systemsi- gnal. In diesem Fall nimmt die Abfrageeinheit 61 diese Abfra¬ ge zweimal vor, wobei für ein erstes AIarm-Systemsignal AAl" die Mindestanzahl Nmp zu 1 gesetzt wird. Dieses Signal AAl' kann dann benutzt werden, um über eine entsprechende System¬ auswahl (im einfachsten Fall ein - nicht dargestelltes - Su -

mierglied für alle Signale AAl ' aus allen redundant arbeiten¬ den Systemkanälen) anzuzeigen, ob und wieviele Systeme die Alarmstufe I erzeugen.

Außerdem wird in dieser Systemüberwachung 61 auch Nmp=2 ge¬ setzt, also ein entsprechendes Signal AAl ¹ ' ausgegeben, wenn wenigstens zwei Bereiche den Alarm der Stufe I melden. Dieses Signal kann in der Systemauswahl dazu dienen, um aus allen Alarmsignalen, die in den redundant arbeitenden Systemen er- zeugt sind, ein Alarmendsignal zu bilden, das in die Steue¬ rung des Reaktors eingreifen kann und dort eine betriebsmäßi¬ ge Erhöhung der Reaktorleistung blockiert. Im einfachsten Fall genügt es, wenn die Systemauswahl nur eine "1 aus 4" Auswahl bildet, also die entsprechenden Signale AAl ¹ ' der vier Systeme durch ein "ODER"-Glied vereint. Um jedoch unnö¬ tige Störungen des Reaktorbetriebs, die durch eine Fehlverar¬ beitung in einer der Systeme erzeugt werden könnte, zuverläs¬ sig zu vermeiden, wird vorteilhaft für den Eingriff in den Reaktorbetrieb eine Mindestzahl Np für die Systemsignale vor- gegeben, in denen die Alarmstufe I gesetzt ist. Dies kann auf einfache Weise geschehen, in dem die logischen Signale AAl' ' der Systeme addiert werden und den Eingriff in die Reaktor¬ steuerung nur erzeugen, wenn die Summe größer oder gleich 2 ist.

In ähnlicher Weise könne über die Summierglieder 62, 64 die den Alarmstufen II und III zugeordneten ÜberwachungsSignale der einzelnen Bereiche des Systems zu entsprechenden Signalen verarbeitet werden, die in den Abfrageeinheiten 65, 66 zur Erzeugung der diesen Stufen zugeordneten Alarm-Systemsignalen AA3 ' und AA3 ' ' liefern. Die aus den Alarmsignalen AA2 ' ' der vier Systemsignale werden auf die gleiche Weise, die anläss¬ lich der Signale AAl' ¹ beschrieben wurde, weiterverarbeitet (nicht dargestellt) und bilden ein dieser Alarmstufe II zuge- ordnetes Alarm-Endsignal, das derart in den Reaktorbetrieb eingreift, daß nicht nur ein Hochfahren der Reaktorleistung blockiert, sondern sogar die Reaktorleistung nach den Pro-

grammen, die für den normalen Reaktorbetrieb vorgesehen sind, heruntergefahren wird.

Auf die gleiche Weise, wie bei den Signalen AAl' ' der ersten Alarmstufe beschrieben wurde, werden auch die der Alarmstufe III zugeordneten Alarmsignale AA3 ' ' weiterverarbeitet und bilden ein dieser Alarmstufe III zugeordnetes Alarmendsignal, das nach der dieser Alarmstufe zugeordneten Stabilisie¬ rungstrategie einen "partial SCRAM" auslöst.

Schließlich sei noch erwähnt, daß die mittels des fest einge¬ stellten Grenzwertes A4 gebildeten Alarmsignale auf die glei¬ che Weise weiterverarbeitet werden, um notfalls einen der höchsten Alarmstufe entsprechenden totalen SCRAM auszulösen.

Die Erfindung stellt also einerseits sicher, daß der instabi¬ le Zustand des Reaktors mit ausreichender Redundanz überwacht wird, um bei Ausfall von einzelnen Sensoren, Meßlanzen oder Rechengliedern eine zuverlässige Aussage über den instabilen Zustand machen zu können, andererseits wird auch erreicht, daß zur Dämpfung der Instabilität nur in einem geringen Maße in den Reaktorbetrieb eingegriffen wird. Ein totaler SCRAM ist dabei nach allen Erfahrungen und Abschätzungen praktisch ausgeschlossen, so daß auf die vierte Alarmstufe, deren Stra- tegie einen totalen SCRAM vorsieht, als vollkommen überflüs¬ sig angesehen werden kann. Die zur Überwachung des Grenzwer¬ tes A- _f ^x vorgesehenen Bauglieder und die Übertragungsglieder für ein dieser höchsten Alarmstufe zugeordneten Alarmsignals sind daher nur als Option beschrieben, auf die auch verzich- tet werden kann.