electronic-data - Special Embedded Computing und IPC

Sicherheitssysteme in Kernkraftwerken erfordern eine bewährte und betriebssichere Technologie, die ein Höchstmaß an Systemverfügbarkeit gewährleistet. Aus diesem Grund entschied sich AECL (Atomic Energy of Canada Limited) ein Sicherheitssystem auf Basis der bewährten VME Technologie zu implementieren. Es arbeitet heute weltweit in sämtlichen Kraftwerken fehlerfrei.

Das weltweit erste zivile Kernkraftwerk ging 1954 in Obninsk, UdSSR ans Netz. Der Reaktor produzierte rund fünf Megawatt, was damals ausreichte, um 2.000 Haushalte mit Strom zu versorgen. Mittlerweile decken weltweit 435 Kernkraftwerke in 31 Ländern rund 17 % des weltweiten Strombedarfs.

Für den sicheren Betrieb, erfordern Kernkraftwerke Sicherheitssysteme mit extrem hoher Verfügbarkeit. Ein Vorreiter bei der Erforschung der Nuklearsicherheit ist das Unternehmen AECL. Gegründet 1952, hat AECL die CANDU^® (Canada Deuterium Uranium) Reaktortechnologie mitsamt dem CANDU 6^® Reaktor entwickelt – einer der weltweit leistungsstärksten Kernkraftreaktoren.

Zu den Sicherheitseinrichtungen des Reaktors gehören zwei voneinander unabhängige höchst betriebssichere Abschaltsysteme, SDS1 und SDS2 (Safety Shutdown System), die den Reaktor bei einem Störfall automatisch abschalten. Die Steuerung des Sicherheitsabschaltsystem SDS2 von AECL verfügt über eine elektronische Steuerung auf Basis der bewährten VME Technologie.

VME Technologie im AKW von Kontron
Das auf der bewährten VME Technologie basierende
Sicherheitsabschaltsystem 2 (SDS 2) überwacht
die sicherheitskritischen Parameter im Qinshan Phase III
Kernkraftwerk in China.

Das Sicherheitsabschaltsystem (SDS)

Kernkraftwerke nutzen Kernspaltung in einer kontrollierten Kettenreaktion um Hitze zu erzeugen. Der damit erzeugte Wasserdampf treibt eine Dampfturbine zur Elektrizitätserzeugung an. Wenn sich die Kettenreaktion beschleunigt, kann die Wärmeentwicklung im Reaktor ein gefährliches Niveau erreichen. In diesem Fall muss die Kettenreaktion gestoppt und der Reaktor schnell und sicher abgeschaltet werden. Dies wird von den zwei Sicherheitsabschaltsystemen des Reaktors SDS 1 und SDS 2 gesteuert. Die beiden voneinander unabhängigen Systeme überwachen fortlaufend alle sicherheitsrelevanten Parameter innerhalb des Reaktors. Jedes einzelne System besteht aus drei unabhängigen Sicherheitskanälen (dreiadrige Logikschaltung), die in einer „2 von 3“ Logik geschaltet sind. Wenn die Werte von zwei der drei Kanälen in nur einem der beiden Systeme festgelegte Grenzwerte überschreiten, wird eine Schnellabschaltung (Reaktorschnellschluss) aktiviert.

Betriebssichere Technologie für sicherheitskritische Anwendungen

Sicherheitskritische Anwendungen wie die Sicherheitsabschaltsysteme erfordern eine robuste, betriebssichere und bewährte Technologie, die unter allen vorstellbaren Umständen einwandfrei funktioniert, wie z. B. im Falle eines Erdbebens oder bei extremen Temperaturschwankungen. Außerdem müssen die Systeme mit anderen elektronischen Bauelementen elektromagnetisch kompatibel sein und sich langfristig bewähren. So macht AECL zur Bedingung, dass die entsprechenden Komponenten einen Alterungstest von 40 Jahren überstehen müssen. Die Sicherheitsabschaltsysteme müssen den höchsten Fertigungsstandards entsprechen. Die geforderte Betriebssicherheit liegt auf dem gleichen Niveau wie bei Sicherheitssystemen in der Luftund Raumfahrt-, Militär- und Medizintechnik. Die eingesetzten Systeme müssen auf einer bewährten Technologie basieren und Härtetests hinsichtlich seismischer Aktivität, EMV (elektromagnetischer Verträglichkeit), Temperaturschwankungen, Schock, Vibration und Lebensdauer bestehen.

Um optimale Sicherheit zu gewährleisten, werden die beiden SDS-Systeme jeweils von verschiedenen Anbietern geliefert. Auf diese Weise wird höchste Betriebssicherheit garantiert, denn so kann sich eine unvorhersehbare Fehlfunktion in einem der beiden SDS Systeme nicht in dem zweiten, unterschiedlichen System wiederholen. AECL benötigt daher kompetente Partner, deren Systeme robust genug sind, um die harten Anforderungen an die elektromagnetische Verträglichkeit sowie extreme mechanische und thermische Robustheit zu erfüllen. Zudem müssen die Anbieter nicht nurüber das nötige Fachwissen verfügen, sondern auch den nötigen Support langfristig, über die erstmalige Installation der Systeme hinaus zu liefern. Nach der Evaluation der jeweiligen Produkte und Services verschiedener Anbieter entschied sich AECL für Kontron als Partner für das SDS 2 System. In enger Kooperation mit AECL, entwickelte Kontron ein VMEbus System das allen Anforderungen entsprach. Seit 1981 ist VME eine gängige und bewährte Technologie die speziell für Anwendungen mit einer 99,9999 %igen Verfügbarkeit entwickelt wurde und ist somit ideal für ein solches sicherheitskritisches und langzeitverfügbares
Projekt geeignet.

Kontron lieferte die programmierbaren digitalen Komparatoren PDC (Programmable Digital Comparators) für das Safety Shutdown System 2. Insgesamt besteht das SDS 2 aus sechs Komparatoren– zwei PDCs für jeden der drei in ihrer Funktion identischen Sicherheitskanäle.

VME Applikation von Kontron

Einer der robusten Kontron PDCs zur Überwachung von
sicherheitskritischen Werten im CANDU Reaktor.

Um alle sicherheitskritischen Parameter, wie z. B. den Pegel des Wärmetauschers, den Druck des Kühlkreislaufs und den Druck der Versorgungswasserleitung etc., zuüberwachen und verarbeiten sind jeweils zwei PDCs nötig.Jedes einzelne PDC besteht aus einem VM30 CPU Board, 3 analogen I/O Boards, 6 digitalen I/O Boards, 10 Boards zur Signalaufbereitung, 8 Boards für den Überspannungsschutz und 12 Isolation- Module sowie den benötigten Netzteilen und Kabeln. Kontron lieferte alle Komponenten und die dazugehörigen 19“-Gehäuse. Die 19“-Chassis sind wiederum in einem erdbebengeschütztem Serverschrank untergebracht. Sensoren innerhalb des Reaktors liefern die Daten über den Reaktorzustand. Diese Daten werden über die analogen und digitalen I/Os an die PDCs übermittelt. Eine von AECL in Modula-2, einer Weiterentwicklung von Pascal, programmierte Software vergleicht die Messdaten mit den festgelegten Sollwerten. Liegen die Messwerte außerhalb der Sicherheitstoleranz, sendet das PDC ein Signal, um die Notabschaltung zu initiieren. Der Reaktor wird jedoch erst dann heruntergefahren, wenn mindestens zwei der drei Sicherheitskanäle das Signal geben. Die „2 von 3“ Auswahllogik wirdüber unabhängigen Relais realisiert und bietet Schutz gegen eine unnötige Notabschaltung, etwa durch eine Fehlfunktion in einem der SDS 2 Kanäle.

Die Software läuft ohne separates Betriebssystem auf der Kontron VM30, was auch mehr Sicherheit bedeutet, da mögliche Fehler durch ein zusätzliches
Betriebssystem ausgeschlossen werden können. Ausreichend Rechenleistung und höchste Zuverlässigkeit sind Voraussetzung für eine optimale Sicherheit. Beides wird durch die RISC basierte Prozessor-Plattform von Motorola gewährleistet. So werden die Reaktorwerte alle 40 ms abgefragt, um beim ersten Anzeichen eines Problems den Reaktor sicher abschalten zu können. Ein zusätzliches Sicherheitsfeature stellt der Hardware Watchdog Timer dar, der dazu dient, die PDC Funktionalität selbst zu überwachen und bei einer Störung des PDCs selbst, den Sicherheitskanal abzuschalten. Zusätzlich werden alle vom PDC verarbeiteten Werte mittels der digitalen und analogen Outputs ins Kontrollcenter übermittelt, so dass die Betreiber die Messwerte permanent überwachen können.

Strenge Tests und intensive Diagnose Bevor das System an AECL übergeben werden konnte, haben unabhängige Experten alle in den PDCs verwendeten Kontron Boards rigoros auf ihre Tauglichkeit hinsichtlich Erdbebensicherheit, EMV, Temperaturverträglichkeit, Schock und Vibration getestet. Dieses „proof of concept“-Verfahren garantiert, dass jedes Bauelement auch unter widrigsten Umständen betriebstüchtig bleibt.

Kontron hat außerdem Factory Acceptance Tests (FAT) im Beisein von AECL Mitarbeitern an seinem Standort in Kaufbeuren in Deutschland durchgeführt, um die Funktionalität jedes einzelnen Boards und Bauelements sicherzustellen.

Nach Auslieferung des Safety Shutdown Systems, testete AECL nochmals die Funktionalität aller Bauteile vor Ort, bevor das System in Betrieb genommen wurde. Nach Inbetriebnahme ist eine regelmäßige Wartung zwingend erforderlich, um die zuverlässige Funktion aller Bauelemente

zu garantieren. Aus diesem Grund hat AECL Kontron damit beauftragt, ein Wartungs- und Diagnosesystem zu entwickeln, um jederzeit neben neuen Boards auch die in den PDCs verwendeten Boards zu testen. Dazu werden die zu testenden Boards in das 19“-Rack des

VME Kontron

Das Instandhaltungs- und Diagnosesystem ermöglicht es den Betreibern, die Funktionalität aller SDS 2 Bauelemente zu
überprüfen.

Wartungs- und Diagnosesystems eingesetzt. Die speziell von Kontron entwickelte iagnosesoftware läuft auf einem VM30 Board unter dem Echtzeitbetriebssystem OS-9. Die Steuerung erfolgt über einen Terminalrechner, den robusten Kontron VL203 Industrieserver mit Intel^® Prozessor, Keyboard und TFT-Bildschirm. Mittels der Emulationssoftware, die auf dem Kontron VL203 unter Windows läuft, wird der Benutzer durch das Diagnoseverfahren geleitet. Durch Auswahl der entsprechenden Menüoptionen kann die Funktionalität aller SDS 2 Komponenten getestet werden, wie z. B. der Kontron VMEProzessor Boards, einschließlich der Echtzeituhr und Digitaluhr sowie des dynamischen RAMs, des statischen RAMs und des Inhalts des VM30 EPROM. Die Betreiber können auch die Betriebstüchtigkeit aller digitalen und nalogen I/O Boards und des Watchdogs überprüfen.

Dokumentation und Schulung

Als Teil des Projektes hat Kontron über 3000 Seiten detaillierte Dokumentation zum System geliefert, mitsamt einer detaillierten Betriebsanleitung und Wartungshandbuch mit Schaltplänen. Weiterhin erhielt AECL die ausführliche Dokumentation der Testabläufe und Ergebnisse der unabhängigen Erdbeben-, EMC- und anderer Tests, die das System erfolgreich bestanden hat, sowie die vollständigen Unterlagen der Factory Acceptance Tests. Die AECL Mitarbeiter nahmen außerdem an einer 1-monatigen Intensivschulung zum SDS 2 System teil.

Weltweiter Einsatz

SDS 2 Systeme sind in CANDU Kernkraftwerken weltweit im Einsatz, wie u.a. in Wolsong (Südkorea), Qinshan III (China) und Cernavoda (Rumänien). Dank ihres fehlerfreien Betriebs garantieren sie für die hohen Sicherheitsstandards in modernen Atomkraftwerken. Solche sicherheitskritischen
Anwendungen veranschaulichen den fortwährenden Bedarf an VME basierten Systemen und erfahrenen Anbietern, die das nötige Fachwissen mitbringen, um Systeme zu entwickeln und in Betrieb zu nehmen, die den höchsten Sicherheitsstandards entsprechen. Beeindruckt von der Qualität und der Betriebssicherheit von Kontron’s VME-Produkten

sowie der guten Kooperation und Kontron’s gutem Service, hat sich AECL bereits zu weiteren Projekten mit Kontron entschieden: So bietet Kontron nicht nur eine große Auswahl an Produkten, die in den verschiedenen AECL Applikationen benötigt werden, sondern liefert darüber hinaus auch kundenspezifische Lösungen sowie den nötigen langfristigen technischen Support

VMP3 CPU Board von Kontron

Kontrons neuester Zugang zur Familie 3U und 6U VME Prozessor Boards ist das VMP3 3U VME CPU Board mit Freescale PowerQUICC III RISC Prozessor MPC8541. Der bis maximal 660 MHz getaktete PowerPC zeichnet sich durch hervorragende Performance (1520 MIPS bei 660 MHz nach Dhrystone 2.1) bei reduziertem Energieverbrauch aus (10W bei 660 MHz) und bietet darüber hinaus zwei integrierte Gigabit-Ethernet-Schnittstellen.

Die integrierte Hardware Security Engine unterstützt die Verschlüsselung nach IPSec, DES, 3Des und AES. Diese Features sowie das sehr schnelle DDR-SDRAM machen die VMP3 zu einer
universellen Prozessorkarte für rechenintensive Echtzeitanwendungen z. B. in der industriellen
Automation, im Transportwesen und in der Militärtechnik.

Das 100 x 160 mm große 3HE Board verfügtüber bis zu 256 MB gelöteten DDR-SDRAM, 16
MB Flash, 1MB gepuffertes SRAM und EEProm für Anwender- und Konfigurationsdaten. Optional ist ein Sockel für CompactFlash-Speicherkarten.

Die beiden Gigabit-Ethernet-Schnittstellen werden durch ein Fast-Ethernet-Interface und eine
serielle Schnittstelle ergänzt. Für Debugging und Onboard-Programmierung gibt es ein JTAG/ BDM-Interface. Weitere Features sind Watchdog, Echtzeituhr und ein Temperatursensor. Die VMP3 ist für den Temperaturbereich von 0°C bis 60°C ausgelegt und optional für den rweiterten
Temperaturbereich von -40°C bis +85°C erhältlich.

Als Softwaresupport stehen ein betriebssystemunabhängiger Bootloader mit Netzwerkunterstützung sowie Linux und VxWorks Board Support Packages zur Verfügung.

Das VME Bussystem

VME Bustechnologie ist eine robuste, modulare 19” Computerarchitektur, die auf der physikalischen Anordnung der Eurocard 3U und 6U basiert. Sie ist die führende Bustechnologie für Embedded-Anwendungen und ist der global anerkannte Standard - ANSI/IEEC 1014-1987
für 32-bit VME und ANSI/VITA 1-1994 für die 64-bit Version. Aktiv unterstützt von VITA (VMEbus International Trade Association), ist VME eine offene Technologie, die eine Auswahl von tausenden Produkten von einer Vielzahl von Anbietern offeriert. Sie ist prozessorunabhängig
und kann z. B. mit dem CISC CPU von Motorola sowie Intel^®, Freescale und SPARC Prozessoren verwendet werden.

VME Technologie ist somit extrem flexibel und kann leicht den Anforderungen der individuellen
Anwendungen angepasst werden. Ihre hohe Skalierbarkeit ermöglicht echte Multiprozessor-Performance von 1 bis 21 Prozessoren und liefert die idealen Bedingungen für Echtzeitanwendungen in den Bereichen industrielle Automation, Prozesssteuerung und Robotik sowie in der Luft- und Raumfahrt, der Telekommunikation und anderen Anwendungen, die hohe Verfügbarkeit und Rechenleistung bei rauen Umweltbedingungen erfordern.

Über AECL
AECL ist ein Nukleartechnologie-Unternehmen, das die volle Bandbreite an Dienstleistungen für Nuklearbetreiber weltweit liefert. Gegründet 1952, ist AECL im Bereich von Entwicklung und Bau von CANDU Technologie tätig. Das Unternehmen hat sich auf eine Reihe von hochentwickelten Produkten und Dienstleistungen in der Nuklearenergie spezialisiert, die wichtige Bestandteile der Energieprogramme in vier Kontinenten sind. AECL bietet Forschung und Entwicklung, technische
Unterstützung, Entwicklung und Konstruktion, Bauleitung, spezialisierte Technologie, Sanierung, Abfallentsorgung und Außerbetriebsetzung zur Unterstützung von CANDU Reaktorprodukten.

www.aecl.ca

Über Kontron
Kontron entwickelt und fertigt sowohl standardbasierte als auch kundenspezifische embedded und Rugged Mobile Lösungen für OEMs, Systemintegratoren und Anwendungsanbieter in verschiedensten Marktsegmenten. Die Entwicklungs und Fertigungsstandorte von Kontron in ganz Europa, Nordamerika und der asiatisch-pazifischen Region arbeiten mit einer globalen Vertriebs- und Supportorganisation zusammen, die den Kontron Kunden hilft, ihr Time-to-Market zu reduzieren und Wettbewerbsvorteile zu erzielen.

Das vielfältige Produktportfolio von Kontron umfasst: Boards und Mezzanine-Karten, Computer-On-Module, HMIs und Displays, Systeme und Fertigung nach Kundenwunsch. Kontron ist Premier Mitglied der Intel^® Embedded and Communications Alliance. Das Unternehmen wurde zuletzt drei Mal in Folge von VDC als „Platinum Vendor” für „Embedded Boards“ ausgezeichnet. Kontron ist im deutschen TecDAX unter der Wertpapierkennung „KBC“ gelistet.