Die Turbinen-Notfallschutzplatine IS215VPROH2B ist eine zentrale, unabhängige Komponente innerhalb der Mark VI-Gas- und Dampfturbinensteuerungssysteme von General Electric (GE) und bildet die Schutzarchitektur mit dem höchsten Sicherheitsniveau. Dieses Board wurde speziell für den Notfall-Übergeschwindigkeitsschutz (EOS) und andere wichtige Sicherheitsfunktionen entwickelt. Seine Kernphilosophie besteht darin, eine „letzte Verteidigungslinie“ einzurichten, die physisch, elektrisch und logisch völlig unabhängig vom Hauptsteuerungssystem ist. Beim Betrieb von Turbinen, insbesondere von großen, sich schnell drehenden Anlagen wie Gas- und Dampfturbinen, ist Überdrehzahl einer der gefährlichsten Fehler, der zu katastrophalen Schäden führen kann. Das VPRO-System, insbesondere die Low-Power-Version VPROH2B, dient dazu, eine zuverlässige Auslösung und den Schutz der Geräte selbst zu gewährleisten, auch wenn die Hauptsteuersysteme (
,
,
) scheitern alle.
Die IS215VPROH2B-Karte wird in einem unabhängigen, dreifach modularen redundanten (TMR) Schutzmodul betrieben
Gestell. Dieses Modul enthält drei identische VPRO-Karten mit den Bezeichnungen R8, S8 und T8 (frühere Versionen hießen X, Y, Z). Diese drei Platinen arbeiten parallel in einem physisch isolierten Gehäuse und implementieren eine „2-aus-3“-Abstimmungslogik. Das Design ermöglicht das Ausschalten, den Austausch oder die Wartung einer einzelnen Platine bei laufendem Gerät, ohne die Integrität des Schutzsystems zu beeinträchtigen.
Der IS215VPROH2B empfängt über die TPRO-Klemmenplatine Signale von dedizierten Feldsensoren, darunter drei unabhängige magnetische Geschwindigkeitsaufnehmer, synchronisierende Prüfspannungen, Thermoelemente und analoge Eingänge. Gleichzeitig steuert es direkt die letzten Aktoren – die Auslösemagnete (ETDs) – über Relaisgruppen auf der TREG-Klemmenplatine. Die Kommunikation mit dem Hauptleitsystem beschränkt sich auf die unkritische Statusüberwachung und den Austausch von Testbefehlen über Ethernet (IONet), wodurch die Unabhängigkeit und Zuverlässigkeit der Schutzmaßnahmen gewährleistet ist.
Kernfunktionen und Features
Die Schutzplatine IS215VPROH2B integriert ein multifunktionales System für kritischen Schutz mit den folgenden Kernfunktionen und Designmerkmalen:
1. Unabhängiger dreifach redundanter Notfall-Übergeschwindigkeitsschutz (Kernaufgabe):
Völlig unabhängige Sensorkanäle: Das System verwendet zwei völlig unabhängige Sätze von Geschwindigkeitssensorgruppen. Der erste Satz (3 Aufnehmer) wird vom Hauptregler (VTUR) zur Geschwindigkeitsregelung und zum primären Übergeschwindigkeitsschutz verwendet. Der zweite Satz (weitere 3 Tonabnehmer) ist ausschließlich den drei VPRO-Boards im Protection Module gewidmet
, wodurch eine physische Isolierung auf der Sensorebene erreicht wird.
„2-aus-3“-Architektur mit festverdrahteter Abstimmung: Die R8-, S8- und T8-VPRO-Karten im Schutzmodul verarbeiten unabhängig voneinander ihre zugewiesenen Geschwindigkeitssignale. Bei jeder Entscheidung über eine Fahrt wegen Geschwindigkeitsüberschreitung muss eine „2 von 3“-Abstimmung getroffen werden. Ein Auslösebefehl wird nur erteilt, wenn mindestens zwei Gremien unabhängig voneinander eine Übergeschwindigkeitsbedingung beurteilen. Dadurch wird die Möglichkeit, dass ein einzelner Platinenfehler zu einer Fehlauslösung (Störungsauslösung) oder einer Fehlauslösung (verpasste Auslösung) führt, deutlich eliminiert.
Unabhängig einstellbare Auslösesollwerte: Benutzer können separate Auslösegeschwindigkeitssollwerte für primäre Übergeschwindigkeit (Hauptsteuerungssystem) und Notfallübergeschwindigkeit (VPRO-Schutzsystem) konfigurieren ( OS_Setpoint ). Als echtes Backup wird der Not-Überdrehzahl-Sollwert typischerweise höher eingestellt. Darüber hinaus unterstützt VPRO Acceleration Trip ( Accel_Trip ), um ungewöhnliche Geschwindigkeitsspitzen (z. B. plötzliche Lastabweisung) zu erkennen. Auch wenn die absolute Geschwindigkeit den Grenzwert nicht überschreitet, kann eine zu hohe Beschleunigung (z. B. über 100 %/s) eine Abschaltung auslösen.
2. Intelligente Geschwindigkeitsüberwachung und Diskrepanzdiagnose:
Hochpräzise Geschwindigkeitsberechnung: VPRO berechnet die Geschwindigkeit, indem es mithilfe eines hochpräzisen Timers die Zeit misst, die die Zahnradzähne zum Passieren benötigen. Es unterstützt einen Pulsfrequenzbereich von 2 Hz bis 20 kHz mit einer Genauigkeit von 0,05 % des Messwerts.
Geschwindigkeitsdifferenzschutz ( SpeedDiffEn ): Dies ist eine wichtige Funktion zur gegenseitigen Überprüfung. VPRO vergleicht kontinuierlich seine eigene berechnete Geschwindigkeit mit dem Geschwindigkeitssignal ( Speed1 ), das vom Hauptcontroller über IONet empfangen wird. Wenn die Differenz über einen längeren Zeitraum einen konfigurierten Schwellenwert ( OS_Diff ) überschreitet, weist dies auf ein schwerwiegendes Problem mit dem Hauptsystem oder der Erfassungsschleife hin, und VPRO kann eine Abschaltung einleiten, um einen Schutzverlust aufgrund eines Messfehlers des Hauptsystems zu verhindern.
Erkennung veralteter Geschwindigkeit ( StaleSpdEn ): Überwacht kontinuierlich, ob das Geschwindigkeitssignal vom Hauptcontroller „eingefroren“ ist (unverändert über einen längeren Zeitraum). Die Erkennung eines eingefrorenen Signals weist auf einen möglichen Fehler in der Kommunikation oder Verarbeitung der Hauptsteuerung hin, und VPRO kann eine Abschaltung einleiten.
3. Umfassende und redundante Auslöseausgangssteuerung:
Zwei unabhängige Auslösepfade: Die Auslösemagnete (ETDs) werden gemeinsam von zwei Klemmenbrettern verwaltet: TRPG (stellt die negative Stromversorgung bereit) und TREG (stellt die positive Stromversorgung bereit und steuert über Relais). Beide Enden können unabhängig voneinander die Stromversorgung unterbrechen, das Magnetventil abschalten und das Hydrauliksystem antreiben, um die Ventile zu schließen. Dies stellt einen dualen Hardware-Haltepunkt bereit.
Abstimmungssteuerung für Relaisgruppen: Die TREG-Klemmenplatine beherbergt 12 Relais. Darunter sind 9 Notauslöserelais (ETRs), die in drei Dreiergruppen unterteilt sind und jeweils von den VPRO-Karten R8, S8 und T8 gesteuert werden. Jede Gruppe steuert ein Auslösemagnetventil. Der Auslösebefehl muss die Abstimmungslogik sowohl innerhalb der VPROs als auch zwischen den Relaisgruppen durchlaufen, um die Zuverlässigkeit der Aktion sicherzustellen.
Sparwiderstände und Sparrelais (KE): Jeder Auslösemagnetkreis ist mit einem Sparwiderstand (10 Ω, 70 W) und einem Sparrelais (KE) in Reihe geschaltet. Während des Normalbetriebs ist das KE-Relais erregt, wodurch der Widerstand kurzgeschlossen wird, sodass der Magnet die volle Spannung erhalten kann, um erregt zu bleiben. In dem Moment, in dem eine Auslösung befohlen wird, wird zuerst das KE-Relais entregt und zwingt etwa 0,1 Sekunden lang Strom durch den Begrenzungswiderstand, bevor der ETR öffnet, um die Auslösung abzuschließen. Dies reduziert die Spulenerwärmung und den Energieverbrauch im Langzeitbetrieb und minimiert die Lichtbogenbildung an den Relaiskontakten beim Öffnen.
4. Backup-Synchronisierungsprüfung und Generatorschutz:
VPRO integriert eine Backup-Synchronisierungsprüfungsfunktion. Es empfängt zwei unabhängige Potentialtransformatorsignale (PT) (115 Vrms) von der Generator- und Busseite über die TPRO-Klemmenplatine.
Es nutzt die Phase-Locked-Loop-Technologie (PLL), um den Größenunterschied, den Frequenzunterschied und den Phasenwinkelunterschied zwischen den beiden Spannungen genau zu messen. Die Genauigkeit der Phasenmessung ist besser als ±1 Grad bei Nennspannung und -frequenz.
Die Synchronisierungsprüfergebnisse der drei VPRO-Karten werden über ein Relais (z. B. K25A auf TTUR) abgestimmt. Ein Schließbefehl oder eine Freigabe wird nur erteilt, wenn alle drei Platinen feststellen, dass die Synchronisierungsbedingungen erfüllt sind, wodurch eine wichtige Backup-Sicherheitsverriegelung für die automatische Synchronisierung bereitgestellt wird.
5. Zusätzliche Überwachungs- und Schutzeingänge:
Thermoelement-Eingänge: Unterstützt bis zu 9 Thermoelement-Eingänge (E-, J-, K-, T-Typen), die typischerweise für den Backup-Abgasübertemperaturschutz an Gasturbinen verwendet werden. Eine Abschaltung kann eingeleitet werden, wenn die Abgastemperatur den Sollwert ( OwTemp_Trip ) überschreitet. Die Spezifikationen ähneln denen der VTCC-Karte und verfügen über Kaltstellenkompensation und Selbstdiagnose.
Analoge Eingänge: Bietet 3 analoge Eingänge. Einer ist wählbar zwischen 4-20 mA, ±5 V Gleichstrom und ±10 V Gleichstrom; Die anderen beiden sind 4-20-mA-Eingänge. Diese können andere kritische Prozessparameter (z. B. Druck, Durchfluss) überwachen und als Auslösebedingungen dienen.
Auslöseverriegelungseingänge: Bietet bis zu 7 Trockenkontakteingänge zum Empfang von Auslösesignalen von anderen Schutzsystemen (z. B. hohe Vibration, niedriger Schmieröldruck, manuelle Not-Aus-Taster). Kann für den Direktauslösemodus oder den bedingten Auslösemodus konfiguriert werden.
6. Hochzuverlässiges Design und Online-Wartungsfähigkeit:
Unabhängige Stromversorgungen: Jedes VPRO-Board und das Schutzmodul als Ganzes sind mit unabhängigen Bordnetzteilen ausgestattet, die 125 V DC vom Power Distribution Module (PDM) in die erforderlichen 5 V DC und 28 V DC umwandeln. Das Design mit drei Netzteilen eliminiert das Risiko eines Stromausfalls an einem einzigen Punkt.
Online-Testfunktionen: Jeder Auslösemagnet kann online über die Controller-Software getestet werden. Während eines Tests kann ein einzelnes Magnetventil stromlos geschaltet werden, ohne die anderen beiden zu beeinträchtigen, wodurch seine mechanische und elektrische Schaltkreisintegrität überprüft wird. Es werden auch Offline-Übergeschwindigkeitssimulationstests unterstützt.
Modularität und Hot-Swap: Aufgrund des dreifachen Redundanzdesigns ermöglicht das gesamte Schutzmodul das Entfernen und Ersetzen einer einzelnen VPRO-Karte bei laufendem Gerät, ohne den Systemschutz zu unterbrechen.
Funktionsprinzip
Das Funktionsprinzip des IS215VPROH2B-Systems ist eine geschlossene Sicherheitskette, die unabhängige Erfassung, parallele Verarbeitung, redundante Abstimmung und sichere Ausführung integriert.
1. Unabhängige Signalerfassung und -verarbeitung:
Geschwindigkeitssignale: Sinuswellensignale vom zweiten Satz von drei speziellen Magnetaufnehmern (MPUs) für den EOS-Schutz werden über lange Kabel (bis zu 300 m) an die TPRO-Klemmenplatine gesendet. Nach der Rauschunterdrückung werden sie in die dedizierten Hochgeschwindigkeits-Impulseingangsanschlüsse der R8-, S8- und T8-VPRO-Karten eingespeist (über J5/J6-Anschlüsse). Jedes VPRO-Board zählt und misst unabhängig und synchron die ihm zugewiesenen Impulse und verwendet hochpräzise Algorithmen, um die Turbinengeschwindigkeit ( PR1/2/3 ) und die Beschleunigung ( PR1/2/3_Accel ) in Echtzeit zu berechnen.
Synchronisierungs- und Analogsignale: Signale wie Generator-/Bus-PT-Spannungen, Thermoelemente und analoge Eingänge werden parallel geschaltet und auf der TPRO-Klemmenplatine an alle drei VPRO-Platinen verteilt (z. B. gehen drei Thermoelemente jeweils an R, S, T). Jede Platine führt unabhängig die A/D-Umwandlung, Filterung und technische Wertberechnung durch.
2. Urteil zur Schutzlogik und Abstimmung innerhalb des Gremiums:
Jede VPRO-Karte vergleicht ihre berechnete Geschwindigkeit mit dem vom Benutzer konfigurierten Notfall-Übergeschwindigkeits-Auslösesollwert ( OS_Setpoint ). Gleichzeitig prüft es, ob die Beschleunigung die Grenzwerte überschreitet, und wertet die vom Hauptcontroller empfangene Geschwindigkeitssignaldifferenz und den Status aus.
Für Synchronisierungsprüfungen, Übertemperaturschutz, analoge Grenzwertverletzungen usw. führt jede Platine außerdem unabhängig ihre konfigurierte Schutzlogik aus und generiert so einen Status „vorläufige Auslöseentscheidung“.
3. Dreifach redundante Abstimmung auf Systemebene:
Dies ist der zentrale Sicherheitsmechanismus des VPRO-Systems. Die R8-, S8- und T8-Karten tauschen ihre jeweiligen Schutzstatusinformationen über dedizierte, isolierte Backplane- oder Punkt-zu-Punkt-Verbindungen aus, die vom Hauptsteuerungsnetzwerk getrennt sind.
Für jeden Auslöseausgang (z. B. das ETR1-Relais, das Magnet Nr. 1 steuert) erfordert der letzte „Betätigen“-Befehl, dass mindestens zwei VPRO-Karten als „Auslösung erforderlich“ abstimmen. Das System implementiert eine strikte „2-von-3“-Hardware- und Logikabstimmung. Dadurch wird sichergestellt, dass ein Fehler in einer einzelnen VPRO-Karte (ob Sensorfehler, Prozessorfehler oder Software-Runaway) nicht einseitig zu einer Fehlauslösung führen kann. Umgekehrt bleibt der Schutz wirksam und verhindert eine Fehlauslösung, solange zwei Platinen ordnungsgemäß funktionieren.
4. Sichere Antriebs- und Ausführungsleistung:
Der gewählte Auslösebefehl wirkt auf das entsprechende Notauslöserelais (ETR) auf der TREG-Klemmenplatine.
Auslösesequenz: Wenn eine Auslösebedingung erfüllt ist: 1) Zuerst wird das entsprechende Sparrelais (KE) abgeschaltet, wodurch Strom durch den Serien-Sparwiderstand fließt. Die Spannung der Magnetspule fällt ab, bleibt aber für kurze Zeit erhalten. 2) Unmittelbar nach (Millisekunden) öffnet sich das Notauslöserelais (ETR) und unterbricht die 125-V-Gleichstromversorgung dieses Magnetventils vollständig. Der stromlose Magnet bewirkt, dass sein Pilothydraulikventil aktiviert wird, was zu einer Druckentlastung des Haupthydraulikkreises führt, wodurch die Dampf- oder Brennstoffventile schnell geschlossen werden und die Turbine abgeschaltet wird.
Statusrückmeldung und Diagnose: VPRO überwacht kontinuierlich den Treiberspulenstrom (Antriebsrückmeldung) und den tatsächlichen Zustand der Ausgangskontakte (Kontaktrückmeldung) für jedes ETR- und KE-Relais. Es überwacht auch den Zustand der 125-V-Gleichstromversorgung der Magnetspulen. Jede Nichtübereinstimmung zwischen „Befehl“ und „tatsächlicher Rückmeldung“ oder ein Stromausfall löst sofort detaillierte Diagnosealarme aus und wird auf den LEDs auf der Vorderseite angezeigt (RUN blinkt grün, FAIL leuchtet rot, STATUS leuchtet orange), wodurch sichergestellt wird, dass Fehler umgehend erkannt werden.
5. Sichere Schnittstelle zum Hauptsteuerungssystem:
VPRO kommuniziert mit dem Hauptcontroller (VCMI) über IONet Ethernet. Diese Kommunikation wird hauptsächlich verwendet für:
Meldung des VPRO-eigenen Gesundheitszustands, Diagnoseinformationen und berechneter Daten wie Geschwindigkeit an den Hauptcontroller.
Empfangen von Online-Testbefehlen, Geschwindigkeitsreferenzwerten (zum Vergleich der Geschwindigkeitsunterschiede) und Steuer-Watchdog-Signalen vom Hauptcontroller.
Kernpunkt: Dieses Kommunikationsnetzwerk wird nicht zur Übermittlung von Echtzeit-Reiseentscheidungen verwendet. Auslöseentscheidungen werden völlig unabhängig innerhalb des Schutzmoduls getroffen. Ein Kommunikationsausfall beeinträchtigt nicht die Fähigkeit von VPRO, seine Schutzfunktionen auszuführen, wobei das „Fail-Safe“-Prinzip von Sicherheitssystemen eingehalten wird. Wenn ein Kommunikationsverlust dazu führt, dass der „Control Watchdog“ ( ContWdogEn ) abläuft, leitet VPRO möglicherweise eine Abschaltung ein, da nicht bestätigt werden kann, dass der Hauptcontroller noch funktioniert.
Hauptunterschiede zu den VPROH1A/H1B-Versionen
Als stromsparende optimierte Version sind die wichtigsten funktionalen Unterschiede von VPROH2B im Vergleich zu VPROH1A/H1B:
Keine Unterstützung für die zweite TREG-Platine: IS215VPROH2B unterstützt nicht den Anschluss einer zweiten TREG-Klemmenplatine (die die Steuerung weiterer Auslösemagnete ermöglichen würde) über den J4-Anschluss. Dies bedeutet, dass eine einzelne VPROH2B-Karte höchstens eine TREG-Karte und die zugehörigen drei Auslösemagnete verwalten kann. Anwendungen, die eine zweite TREG-Karte erfordern, müssen VPROH1A oder VPROH1B verwenden.
Optimierung des Stromverbrauchs: Durch die Optimierung eines Teils der Treiberschaltung (für den zweiten TREG) wird der Gesamtstromverbrauch reduziert, was möglicherweise die Gehäusekühlung und die Stromlastplanung unterstützt.
Bewerbung und Zusammenfassung
Das IS215VPROH2B Turbine Emergency Protection Board ist ein unverzichtbarer „Wächter“ in der Sicherheitsarchitektur moderner großer Gas- und Dampfturbinen. Es geht über den Umfang herkömmlicher Steuerungssysteme hinaus und stellt ein dediziertes Safety Instrumented System (SIS) dar, das auf die Grundsätze eines hohen Safety Integrity Level (SIL) ausgerichtet ist. Sein Wert liegt nicht nur in der Bereitstellung eines Notfall-Übergeschwindigkeitsschutzes, sondern, was noch wichtiger ist, in der Schaffung einer echten „harten Sicherheitsgrenze“ durch sein sorgfältig dreifach redundantes Isolationsdesign, fest verdrahtete Sicherheitsausgänge und eine vom Steuernetzwerk unabhängige Architektur.
In der Anwendung bildet das VPRO-System eine tiefe „Schutzverriegelungsbeziehung“ mit dem Hauptsteuerungssystem (VTUR usw.): Das Hauptsystem übernimmt die präzise Steuerung und den primären Schutz, während VPRO als unabhängiges, vertrauenswürdiges Backup dient. Sie überwachen sich gegenseitig durch Mechanismen wie Geschwindigkeitsunterschiedsvergleich und Watchdog-Timer. Ein Fehler in einem der beiden Systeme kann vom anderen erkannt werden und kann eine Sicherheitsmaßnahme einleiten, wodurch die Fehlertoleranz und Sicherheit des Gesamtsystems erheblich verbessert wird.
