Het Triconex V10-systeem, ontwikkeld door Invensys Operations Management (nu onderdeel van Schneider Electric), is een zeer betrouwbare en beschikbare Triple Modular Redundant (TMR) Programmable Logic Controller (PLC) die veel wordt gebruikt in industrieën met extreem hoge veiligheids- en betrouwbaarheidseisen, zoals kernenergie, petrochemie en energieopwekking. Dit systeem werd geselecteerd voor het upgradeproject Process Protection System (PPS) bij de Diablo Canyon-kerncentrale van Pacific Gas & Electric Company (PG&E), ter vervanging van het originele Westinghouse Eagle 21-veiligheidssysteem.
Het Triconex V10-systeem maakt gebruik van een Triple Modular Redundant (TMR)-architectuur door middel van redundant hardware- en softwareontwerp, waardoor een continue werking en betrouwbare bescherming wordt gegarandeerd, zelfs wanneer er storingen op één of meerdere punten optreden.
Basisprincipes van TMR-architectuur
De kern van het Triconex-systeem is de Triple Modular Redundant (TMR)-architectuur, die een extreem hoge fouttolerantie en systeembetrouwbaarheid bereikt door middel van fysieke isolatie, parallelle verwerking en meerderheidsstemmingsmechanismen. Het hele systeem bestaat uit drie volledig onafhankelijke verwerkingskanalen, die elk een complete signaalverwerkingsketen bevatten: van sensorsignaalinvoer, analoog/digitaal-conversie, hoofdprocessoruitvoering van besturingslogica, tot uiteindelijke uitvoeraandrijving. Deze drie kanalen zijn zowel fysiek als elektrisch volledig geïsoleerd, zodat een storing in een kanaal de normale werking van de andere twee kanalen niet beïnvloedt.
Aan het begin van elke scancyclus synchroniseren de drie hoofdprocessormodules de tijd en wisselen ze gegevens uit via de speciale TriBus hogesnelheidssynchrone bus. De TriBus zelf is ook ontworpen met drievoudige redundantie, met drie onafhankelijke seriële communicatieverbindingen, die elk specifiek één hoofdprocessorkanaal bedienen. Dit ontwerp zorgt ervoor dat zelfs als één TriBus-link uitvalt, de overige links nog steeds de systeemcommunicatie- en synchronisatiefuncties kunnen behouden. Na synchronisatie begint elke hoofdprocessor met het lezen van invoergegevens van het overeenkomstige kanaal. Voor digitale ingangssignalen gebruikt het systeem een hardwarestemmechanisme waarbij drie kanalen hetzelfde signaal afzonderlijk lezen en vervolgens de uiteindelijke geldige waarde bepalen via meerderheidsstemming. Dit ontwerp kan automatisch foutsignalen afschermen die worden veroorzaakt door kanaalstoringen of externe interferentie.
Voor analoge ingangssignalen gebruikt het systeem een mediaanselectie-algoritme voor verwerking. Drie kanalen bemonsteren en voeren afzonderlijk een analoog-naar-digitaal-conversie uit op het analoge signaal, vergelijken vervolgens de drie conversieresultaten en selecteren de mediaanwaarde als geldige invoer. Deze verwerkingsmethode onderdrukt effectief ruisinterferentie en vermijdt signaalafwijkingen veroorzaakt door storingen in een enkel kanaal. Nadat over alle ingangssignalen is gestemd of geselecteerd, wordt een consistente invoerdatatabel gevormd voor de drie hoofdprocessors om de besturingslogica uit te voeren.
De uitvoering van het besturingsprogramma is volledig onafhankelijk en parallel over de drie kanalen. Elke hoofdprocessor voert, op basis van consistente invoergegevens, hetzelfde besturingsalgoritme uit en genereert uitvoerresultaten. Uitvoergegevens moeten nog een stemproces ondergaan voordat ze naar de uitvoermodules worden verzonden. Elke hoofdprocessor stuurt zijn uitvoergegevens via de TriBus naar de andere twee hoofdprocessors, en de drie processors vergelijken de uitvoergegevens en stemmen erover. Als de uitvoergegevens van een processor inconsistent zijn met de andere twee, markeert het systeem dit kanaal als een defect kanaal, isoleert de uitvoer ervan en zorgt ervoor dat de resterende twee gezonde kanalen de besturingsfunctie kunnen blijven uitvoeren.
De uitgangsmodules hebben ook een drievoudig redundant ontwerp, waarbij elk uitgangspunt wordt aangestuurd door drie onafhankelijke uitgangscircuits. De uitgangsmodules hebben een ingebouwde Output Voter Diagnostics (OVD)-functionaliteit, waarmee periodiek geforceerde tests op elk uitgangspunt kunnen worden uitgevoerd. Het systeem dwingt de uitgangspunten achtereenvolgens naar een bekrachtigde en niet-bekrachtigde toestand en detecteert of de uitgangsreactie normaal is. Deze test kan binnen 500 microseconden tot 2 milliseconden worden voltooid, waardoor de betrouwbaarheid van het uitgangscircuit wordt gegarandeerd. Alle diagnostische tests worden uitgevoerd in de TMR-modus, waardoor 100% dekking voor foutdetectie wordt gegarandeerd bij elke storing op één punt.
De fouttolerantie van het systeem wordt bereikt door meerdere lagen van diagnostische en beschermingsmechanismen. Elke hoofdprocessormodule is uitgerust met onafhankelijke geheugendetectie, klokbewaking en watchdog-timers. I/O-modules hebben ook hun eigen processors en watchdog-circuits om de uitvoering van de firmware en de communicatiestatus te bewaken. Alle bussystemen (TriBus, I/O Bus, Communicatiebus) hebben een drievoudig redundant ontwerp en beschikken over continue integriteitsbewakingsfuncties. Wanneer er een fout wordt gedetecteerd, kan het systeem het defecte onderdeel automatisch isoleren en operators op de hoogte stellen via indicatielampjes en alarmsignalen. Defecte modules kunnen worden vervangen terwijl het systeem draait, waardoor echte online reparatie mogelijk wordt en de beschikbaarheid van het systeem wordt gemaximaliseerd.
Systeemsamenstelling en functies
De hardwarearchitectuur van het Triconex V10-systeem is modulair ontworpen en biedt goede schaalbaarheid en flexibiliteit. Elke complete beschermingsset bestaat uit drie hoofdcomponenten: het hoofdchassis, het veiligheidsgerelateerde primaire externe uitbreidingchassis (Primary RXM) en het niet-veiligheidsgerelateerde externe uitbreidingchassis (Remote RXM). Dit hiërarchische ontwerp garandeert de betrouwbaarheid van veiligheidsgerelateerde functies en biedt tegelijkertijd interfacemogelijkheden voor communicatie met niet-veiligheidssystemen.
Het hoofdchassis is de kernverwerkingseenheid van het hele systeem, met een robuust ontwerp van industriële kwaliteit met een hoge immuniteit voor interferentie en aanpassingsvermogen aan de omgeving. Helemaal links op het chassis bevinden zich twee onafhankelijke voedingsmodules die redundant zijn geconfigureerd; elk kan het hele chassis onafhankelijk van stroom voorzien. De stroom wordt langs het midden van de backplane verdeeld via dubbele stroomrails, waarbij elke module stroom van beide rails haalt via dubbele stroomregelaars, waardoor de betrouwbaarheid van het stroomsysteem wordt gegarandeerd. Direct naast de voedingsmodules bevinden zich drie 3008N-hoofdprocessormodules (MP A, B, C). Deze modules maken gebruik van 32-bits microprocessors van veiligheidskwaliteit, die elk twee verwerkingseenheden bevatten: een applicatieprocessor en een I/O & Communications Controller (IOCCOM). De applicatieprocessor is verantwoordelijk voor het uitvoeren van het ETSX-besturingssysteem en het uitvoeren van de besturingsapplicatie, terwijl de IOCCOM-processor de I/O-bus en communicatiebus beheert.
De rest van het hoofdchassis is verdeeld in zes logische slots voor het installeren van verschillende I/O-modules en communicatiemodules. Elke logische sleuf biedt twee fysieke posities, één voor de actieve module en één voor een optionele hot-standby-module. Dit ontwerp maakt de vervanging van defecte modules mogelijk zonder de werking van het systeem te onderbreken. Het slot voor de communicatiemodule is speciaal bedoeld en biedt geen hot-standby-positie. Alle modules worden via nauwkeurige backplane-connectoren op het backplane-bussysteem aangesloten, waardoor de signaalintegriteit en betrouwbaarheid worden gegarandeerd.
Het veiligheidsgerelateerde Primary Remote Expansion Chassis (Primary RXM) is via drievoudig redundante I/O-buskabels met het hoofdchassis verbonden en wordt gebruikt om veiligheidsgerelateerde I/O-punten uit te breiden. De structuur van het RXM-chassis is vergelijkbaar met het hoofdchassis, maar RXM-modules zijn geïnstalleerd in de hoofdprocessorposities. Deze modules zijn verantwoordelijk voor het beheer van de communicatie en gegevensoverdracht tussen het uitbreidingchassis en het hoofdchassis. Het primaire RXM-chassis wordt doorgaans in de buurt van het hoofdchassis geïnstalleerd en wordt gebruikt om I/O-modules te huisvesten die veiligheidsgerelateerd zijn, maar niet in het hoofdchassis hoeven te worden geplaatst.
Het niet-veiligheidsgerelateerde Remote Expansion Chassis (Remote RXM) is via multimode glasvezel verbonden met de primaire RXM, waardoor elektrische en fysieke isolatie wordt geboden tussen het veiligheidssysteem en niet-veiligheidssystemen. Het Remote RXM-chassis maakt gebruik van RXM-modules uit de 4200-serie, die op koper gebaseerde I/O-bussignalen omzetten in optische signalen voor transmissie via glasvezel. Elk I/O-buskanaal (A, B, C) vereist een paar 4200-4201 RXM-modules en twee vezels (één zenden, één ontvangen), in totaal zes vezels om het primaire RXM- en externe RXM-chassis te verbinden. Dit ontwerp biedt volledige elektrische isolatie, waardoor aardlussen en elektromagnetische interferentieproblemen effectief worden voorkomen, terwijl de signaalintegriteit over lange afstanden wordt gewaarborgd.
De busarchitectuur van het systeem maakt gebruik van een redundant ontwerp met meerdere niveaus. De TriBus is een interne hogesnelheidsbus die de drie hoofdprocessors verbindt en wordt gebruikt voor gegevenssynchronisatie, het laden van programma's en cross-voting. De I/O-bus is een systeembus die de hoofdprocessors verbindt met de I/O-modules, waarbij gebruik wordt gemaakt van een master-slave serieel communicatieprotocol met een transmissiesnelheid van 375 kbps. De communicatiebus verbindt de hoofdprocessors met de communicatiemodules met een snelheid van 2 Mbps en wordt gebruikt voor communicatie met externe systemen. Alle bussen zijn drievoudig redundant, waarbij elke bus onafhankelijke foutdetectie- en isolatiemechanismen heeft.
Op het gebied van communicatie en isolatie biedt het systeem strikte veiligheidsgaranties. De Tricon Communication Module (TCM) is de enige communicatie-interface die is gecertificeerd voor nucleaire veiligheidstoepassingen en die elektrische en data-isolatie biedt. De TCM maakt gebruik van glasvezelmedia om verbinding te maken met externe netwerken, zodat communicatiefouten de uitvoering van veiligheidsfuncties niet beïnvloeden. Het Maintenance Workstation (MWS) communiceert met het Tricon-systeem via de TCM, dat wordt gebruikt voor het bewaken van de systeemstatus, het bekijken van diagnostische informatie en het uitvoeren van parameterwijzigingen. Alle communicatie met niet-veiligheidssystemen wordt onderworpen aan strikte toegangscontrole en veiligheidsaudits, zodat de integriteit van het veiligheidssysteem niet in gevaar komt.
Het systeem biedt een rijke verscheidenheid aan I/O-modules, waaronder onder meer Analoge ingang (AI), Analoge uitgang (AO), Digitale ingang (DI) en Digitale uitgang (DO). Elke I/O-module heeft een drievoudig redundant ontwerp, met drie volledig onafhankelijke kanalen, elk met zijn eigen processor en diagnostische circuits. Analoge ingangsmodules ondersteunen verschillende signaaltypen, zoals 4-20 mA, RTD en thermokoppel, met hoge precisie en hoge ruisimmuniteit. Digitale uitgangsmodules maken gebruik van Output Voter Diagnostics (OVD)-technologie, waarmee periodiek de betrouwbaarheid van elk uitgangspunt kan worden getest. Alle I/O-modules ondersteunen hot-swapping-functionaliteit, waardoor vervanging mogelijk is terwijl het systeem draait, waardoor de onderhoudbaarheid en beschikbaarheid van het systeem aanzienlijk worden verbeterd.
Software-architectuur
1. Besturingssysteem en firmware
ETSX-besturingssysteem: draait op de applicatieprocessor van elke MP en is verantwoordelijk voor systeemplanning, redundantiebeheer en foutafhandeling.
IOCCOM-processor: Beheert de I/O- en communicatiebussen en wisselt gegevens uit met de MP via Dual-Port RAM (DPRAM).
2. Applicatiesoftware
TriStation 1131: Gebruikt voor het ontwikkelen van veiligheidsgerelateerde applicatiesoftware, die zowel Function Block Diagram (FBD) als Structured Text (ST) programmeertalen ondersteunt.
Software-integriteitsniveau (SIL4): Voldoet aan de IEEE 1012-1998-standaard, geschikt voor nucleaire veiligheidsgerelateerde systemen.
3. Online onderhouds- en testfuncties
Out-of-Service (OOS)-schakelaar: Hiermee kan een specifieke beveiligingsfunctie tijdelijk buiten gebruik worden gesteld voor testen of parameterwijzigingen zonder andere veiligheidsfuncties te beïnvloeden.
Bypass-functie: Een kanaal kan worden omzeild via software- of hardwareschakelaars voor onderhouds- of testdoeleinden.
Diagnostiek en alarmering: Het systeem bewaakt voortdurend de status van elke module en biedt gedetailleerde foutinformatie via de MWS.
Toepassingsscenario's en voordelen
1. Procesbeschermingssysteem voor kerncentrales (PPS)
Functie: Bewaakt installatieparameters (zoals temperatuur, druk, waterniveau, enz.), vergelijkt deze met instelpunten en activeert Reactor Trip System (RTS) of Engineered Safety Features Actuation System (ESFAS) als de limieten worden overschreden.
Kanaalscheiding: Vier beveiligingssets (I–IV) behandelen respectievelijk verschillende veiligheidsfuncties, waardoor redundantie en onafhankelijkheid worden gegarandeerd.
2. Voordelen en functies
Hoge betrouwbaarheid: TMR-architectuur garandeert geen enkel storingspunt.
Hoge beschikbaarheid: Ondersteunt online reparatie en hot-swapping van modules.
Flexibiliteit: Ondersteunt verschillende I/O-types en communicatieprotocollen.
Veiligheid: Voldoet aan de nucleaire veiligheidsvoorschriften (bijv. 10 CFR 50 bijlage B), RG 1.152 en andere vereisten.
Onderhoudsgemak: Biedt gedetailleerde diagnostische informatie en mogelijkheden voor bewaking op afstand.
Referentie: https://www.nrc.gov/docs/ML1131/ML11318A029.pdf
