PatentDe  


Dokumentenidentifikation DE69304422T2 03.04.1997
EP-Veröffentlichungsnummer 0573186
Titel Regeleinrichtung für eine Gasturbinenanlage und Regelverfahren hierfür
Anmelder Hitachi, Ltd., Tokio/Tokyo, JP
Erfinder Tani, Yukiyoshi, Hitachiota-shi, JP;
Ashita, Makoto, 7-28, Omikacho-6-chome, Hitachi-shi, JP
Vertreter Strehl, Schübel-Hopf, Groening & Partner, 80538 München
DE-Aktenzeichen 69304422
Vertragsstaaten DE, FR, GB
Sprache des Dokument En
EP-Anmeldetag 21.05.1993
EP-Aktenzeichen 933039687
EP-Offenlegungsdatum 08.12.1993
EP date of grant 04.09.1996
Veröffentlichungstag im Patentblatt 03.04.1997
IPC-Hauptklasse F02C 9/26
IPC-Nebenklasse F02C 9/46   

Beschreibung[de]

Die vorliegende Erfindung betrifft eine Steuervorrichtung und ein Steuerverfahren für ein Gasturbinensystem eines Gasturbinenenergieerzeugungssystem eines Kraftwerks und betrifft insbesondere ein Steuersystem zur Durchführung der Steuerungsoperationen der Gasturbine und zum Schutz der Gasturbine vor einem abnormen Betrieb unter Verwendung eines Computerprogramms.

Die nachfolgenden Technologien, die bezüglich des Steuersystems der vorliegenden Erfindung relevant sind, wurden in ungeprüften Veröffentlichungen offenbart.

Eine Aufzeichnungseinheit ist in der ungeprüften japanischen Patentveröffentlichung Nr. JP-A-1-292599 als von Toshiba Co., Ltd. am 20. Mai 1988 eingereichte japanische Patentanmeldung offenbart.

Eine Abfolgeanzeigeeinheit ist in der ungeprüften japanischen Patentveröffentlichung Nr. JP-A-58-14208 als von Hitachi, Ltd. am 17. Juli 1981 eingereichte japanische Patentanmeldung offenbart. In dieser Anzeigeeinheit kann eine gewünschte Position der logischen Sequenz mit "AND"-Schaltkreisen und "OR"-Schaltkreisen angezeigt werden.

Ein System zur Steuerung der Schutzfunktion einer Turbine unter Verwendung eines Computers ist in der ungeprüften japanischen Patentveröffentlichung Nr. JP-A-51-93322 als von Hitachi, Ltd. am 14. Februar 1975 eingereichte japanische Patentanmeldung offenbart.

Ein Steuersystem für ein Elektrizitätskraftwerk ist in dem für McManus et al. am 29. November 1988 erteilten US-Patent Nr. 4,788,647 offenbart. Das Steuersystem hat einen Multi-Task-Prozessor, der ein Task zum Schutz eines in einem EEPROM gespeicherten Systems ausführt.

Eine Überdreh-Schutz-Steueranordnung für ein Dampfturbinengeneratorsteuersystem ist in dem für Hwang et al. am 06. Januar 1987 erteilten US-Patent Nr. 4,635,209 offenbart.

Die Steuerung eines Gasturbinensystems kann im wesentlichen in zwei Einheiten geteilt werden. Eine ist die Steuerung bezüglich des normalen Betriebs des Gasturbinensystems. Beispielsweise enthält diese Steuerung eine Startersteuerung, eine Geschwindigkeitssteuerung oder eine Abgastemperatursteuerung der Turbine.

Die andere Einheit ist die Steuerung bezüglich der Schutzsteuerung verschiedener Gerätetypen, die das Gasturbinensystem bilden. Diese Steuerung enthält beispielsweise einen Überdreh-Schutz, einen Schutz vor einer hohen Abgastemperatur, einen Schutz vor Vibrationen bzw. einen Schutz vor dem Aussetzen der Verbrennung der Gasturbine. Diese Schutzfunktionen sind sehr wichtige und notwendige Funktionen für das Gasturbinensystem und werden daher wichtige Funktionen genannt.

Für die Betriebssteuerung ist eine Steuerlogiksequenz vorbestimmt. Betriebsparameter werden für das System gemessen, das das Gasturbinensystem bildet, und eine logische Verarbeitung wird auf Grundlage der gemessenen Werte ausgeführt, um ein Steuerniveau des Ventils zur Steuerung der Kraftstoff- Flußrate des der Gasturbine zuzuführenden Kraftstoffes zu bestimmen.

Für die Steuerung der Schutzfunktionen werden Betriebsparameter von verschiedenen Arten von Geräten, die das Gasturbinensystem bilden, aufgezeichnet und die Parameter werden logisch verarbeitet und, wenn der Wert eines Parameters als Ergebnis der logischen Verarbeitung für abweichend von einem Referenzwert befunden wird, wird eine Schutzoperation ausgeführt, die als Kommando zum Stoppen der Kraftstoffzufuhr zur Gasturbine ausgegeben wird.

Gemäß der bekannten Steuerung der Schutzfunktion wurde die Verarbeitung der Schutzsteuerung (Steuerung der wichtigen Funktionen) durch einen Hardware-Schaltkreis ausgeführt. Dies wurde nicht durch ein Software-Programm ausgeführt, um die Möglichkeit des Auftretens eines Systemleistungseinbruches oder einer Beschädigung von Geräten aufgrund eines Programmfehlers zu vermeiden, da die Schutzfunktion eine wichtige Funktion in dem Gasturbinensystem ist.

Jedoch wurde die Verwendung von Software im Zusammenhang mit dem ansteigenden Bedarf für eine höhere Zuverlässigkeit von Computertechnologien in den letzten Jahren nicht nur für die Steueroperationen sondern ebenso für die Operationen der wichtigen Funktionen gefordert. In diesem Fall bezieht sich die Operation der wichtigen Funktionen in dem Gasturbinensteuersystem auf das Verhindern von Beschädigungen an den Geräten und insbesondere bedeutet diese Operation den Schutz der Gasturbine vor Überdrehen, den Schutz der Gasturbine vor einer hohen Abgastemperatur, den Schutz der Gasturbine vor übermäßige Vibrationen und den Schutz der Gasturbine vor Aussetzen der Verbrennung.

Die US-A-4,341,071 offenbart ein Steuersystem für eine Gasturbine, das nach dem Starten der Turbine die Turbine anhält, wenn eine vorbestimmte Geschwindigkeit nach einer vorbestimmten Zeitdauer nicht erreicht wird, was einige Probleme anzeigt. Wenn die Turbine erfolgreich gestartet wird, führt das Steuersystem Kraftstoff mit einer optimalen Flußrate zu.

Die US-A-4,259,835 offenbart ein Steuersystem für eine Gasturbine, das sowohl eine Notabschaltung als auch eine Steuerung während des normalen Betriebs ermöglicht.

Wenn die Operationen der wichtigen Funktionen programmiert wurden, ist es nötig, das Programm in einem ROM (Speicher nur mit Lesezugriff) zu speichern und das Programm festzulegen, um das Programm vor einem Zugriff durch den Benutzer zu schützen, um so das Auftreten von Programmfehlern zu vermeiden. Im programmgemäßen Betrieb wird das Programm, das durch eine bestimmte Programmsprache festgelegt wurd, gemäß einer kodierten Prozedur verarbeitet. Damit kann der Benutzer den Zwischenprozeß der Operation nicht in der Weise, wie er die Abfolge bei der Hardware überwachen kann, überwachen. Daher kann der Benutzer mit der bekannten Technik nur das Ergebnis der Verarbeitung verstehen.

Wenn der Benutzer den Zwischenprozeß der Operation ebenso wie das Ergebnis kennt, kann er auch überprüfen, ob das System zur Zeit der Wartungsinspektion fehlerfrei ist und er kann Abnormitäten des Systems testen, um das System durch Verfolgen der Abnormalität von der Ursache zum Ergebnis zu analysieren und damit die Zuverlässigkeit des Systems zu verbessern.

Aufgabe der vorliegenden Erfindung ist es, für ein hochzuverlässiges Gasturbinensystem eine Steuereinheit und ein Steuerverfahren entsprechend einem Computerprogramm anzugeben, das ermöglicht, den Zwischenprozeß der Operation der wichtigen Funktionen auf einem Bildschirm für den Benutzer anzuzeigen.

Nach einem ersten Gesichtspunkt liefert die Erfindung eine Steuervorrichtung zur Steuerung eines Gasturbinensystems nach einem Computerprogramm, aufweisend:

eine Einrichtung zum Messen von Betriebsparametern von Einrichtungen, aus denen das Gasturbinensystem aufgebaut ist,

eine Steuertask-Speichereinrichtung, um aufgrund von Werten der gemessenen Betriebsparameter einen Betrieb auf einer die Drehung des Gasturbinensystems betreffenden Steuerebene durchzuführen,

eine Schutztask-Speichereinrichtung zum Speichern eines Schutztasks, der aufgrund der Werte der gemessenen Betriebsparameter einen Betrieb auf Steuerebenen durchführt, die Schutzfunktionen von Einrichtungen betreffen, aus denen das Gastrubinensystem aufgebaut ist,

eine Betriebs-Verarbeitungseinrichtung zur Ausführung des Steuertasks und des Schutztasks und

eine Einrichtung zur Erzeugung eines Steuersignals zur Steuerung des Betriebs des Gasturbinensystems entsprechend dem Ausführungsergebnis der Betriebs-Verarbeitungseinrichtung,

wobei der Schutztask von außen nicht überschreibbar ist und einen zugreifbaren Arbeitsbereich zum vorübergehenden Speichern eines Zwischenprozesses der die Schutzfunktion betreffenden Steuerebenen enthält, und

die Steuervorrichtung folgendes umfaßt:

eine Anzeigeeinrichtung, um in einem aus einer Kombination fester Symbole bestehenden Bild einen Betriebsablauf der die Schutzfunktionen betreffenden Steuerebenen anzuzeigen, und eine Einrichtung, um den Zwischenprozeß des Betriebs aus dem Arbeitsbereich des Schutztasks zu lesen und dem Bild des Betriebsablaufs auf der Bildanzeigeeinrichtung hinzuzufügen.

Nach einem zweiten Gesichtspunkt liefert die Erfindung ein Verfahren zur Steuerung des Betriebs eines Gasturbinensystems nach einem Computerprogramm, mit folgenden Schritten:

Messen von Betriebsparametern von Einrichtungen, aus denen das Gasturbinensystem aufgebaut ist,

Ausführen eines Steuertasks innerhalb des Computerprogramms, um einen Betrieb auf Steuerebenen durchzuführen, die den Betrieb der Gasturbine betreffen, indem Werte der gemessenen Betriebsparameter verwendet werden,

Ausführen eines Schutztasks innerhalb des Computerprogramms, um einen Betrieb auf Steuerebenen auszuführen, die Schutzfuntkionen von Einrichtungen betreffen, aus denen das Gasturbinensystem aufgebaut ist, indem Werte der gemessenen Betriebsparameter verwendet werden,

Erzeugen eines Steuersignals zur Steuerung des Betriebs des Gasturbinensystems entsprechend dem Ausführungsergebnis beider Tasks,

wobei der Schritt des Ausführens des Schutztasks unabhängig von dem Steuertask ist, und

das Verfahren außerdem die folgenden Schritte aufweist:

Anlegen einer Bildanzeige eines Betriebsablaufs auf Steuerebenen, die die Schutzfunktion betreffen, indem feste Symbole kombiniert werden, und

Anzeigen eines Zwischenprozesses eines Betriebs des Schutztasks auf dem angezeigten Bild des Betriebsablaufs.

Gemäß der Steuereinheit und dem Steuerverfahren für das Gasturbinensystem der vorliegenden Erfindung kann der Steuertask zum Ausführen der Operation der Steuerebene bezüglich des Betriebs des Gasturbinensystems und der Schutztask zur Ausführung der Operation der Steuerebene bezüglich der Schutzfunktionen der Vorrichtungen, die das Gasturbinensystem bilden, voneinander unabhängig gesetzt werden. Ferner kann ein zugriffsfreier Arbeitsbereich zum temporären Speichern des Zwischenprozesses der Operation der Steuerebenen bezüglich der Schutzfunktion innerhalb des Schutztasks vorgesehen werden. Während der Ausführung des Schutztasks kann der Zwischenprozeß der Operation von dem Arbeitsbereich des Schutztasks ausgelesen werden und dies kann in der Bildanzeigeeinheit angezeigt werden.

Es zeigt:

Fig. 1 ein Blockdiagramm des Steuersystems für das Gasturbinensystem gemäß der Erfindung,

Fig. 2 ein Flußdiagramm für die Steuerung des Gasturbinensystems,

Fig. 3 ein Blockdiagramm zur Darstellung eines Ausführungsbeispiels des gemäßen Erfindung Gasturbinensteuersystems,

Fig. 4 eine Blockdiagrammdarstellung eines weiteren Ausführungsbeispiels des erfindungsgemäßen Gasturbinensteuersystems

Fig. 5 eine Task-Struktur des Steuerprogramms für das erfindungsgemäße Gas turbinensteuersystem,

Fig. 6 eine Task-Struktur des Schutzprogramms für das erfindungsgemäße Gasturbinensteuersystem,

Fig. 7 ein Beispiel für den Schutztask,

Fig. 8 ein Beispiel der Bildschirmanzeige des Zwischenprozesses bei Betrieb des Schutztaskprogramms und

Fig. 9 ein Flußdiagramm zum Anzeigen des Zwischenprozesses während des Betriebes.

Ausführungsbeispiele der vorliegenden Erfindung werden nachfolgend mit Bezug auf die Zeichnungen beschrieben.

Fig. 1 zeigt die Beziehung zwischen dem Steuersystem des erfindungsgemäßen Gasturbinensystems, der Steuerung und dem Betrieb der wichtigen Funktionen.

Bezugnehmend auf Fig. 1 umfaßt das Gasturbinensteuersystem eine Gasturbinenstartereinheit 1, einen Kompressor 2 zum Komprimieren und Druckerhöhen der von der Atmosphäre angesogenen Luft, einem Vergasungsbrenner 3 zum Verbrennen des Kraftstoffs durch Vermischen desselben mit der komprimierten Luft, einer Turbine 4 zur Umwandlung der Energie des verbrannten Gases in Rotationsenergie und Ausblasen der Abgase zur Außenseite und einen Generator 5, der von der Turbine angetrieben wird. Die vom Generator 5 erzeugte elektrische Energie wird über einen Leistungsschalter des Generators übertragen. Der Kraftstoff fließt zum Vergasungsbrenner 3 durch ein Kraftstoffabsperrventil 7 und ein Kraftstoff-Flußratensteuerventil 8. Die Leistungserzeugung wird durch Einstellen der Kraftstoff-Flußrate gesteuert.

Demgemäß wird die prinzipielle Steuerung der Gasturbine in dem Gasturbinensteuersystem durch die Steuerung des Kraftstoff-Flußratensteuerventils 8 vom Betriebsterminal erreicht. Durch Öffnen oder Schließen des Kraftstoff-Flußratensteuerventils 8 wird die Flußrate des dem Vergasungsbrenner 3 zugeführten Kraftstoffs gesteuert und demgemäß die Leistungsabgabe der Gasturbine gesteuert.

9 bezeichnet einen Drehgeschwindigkeitsaufnehmer, 10 einen Flammendetektor, 11 einen Vibrationsdetektor, 12 einen Abgastemperaturaufnehmer und 13 einen Lastdetektor.

Nachfolgend wird die Steuerung des Gasturbinenbetriebs erklärt.

Die Steuerelemente umfassen "Startsteuerung", "Geschwindigkeits/Last-Steuerung", "Abgastemperatur-Steuerung" und "Beschleunigungssteuerung".

Die "Startsteuerung" ist eine Starterabfolgesteuerung der Gasturbine und wird durch eine vorbestimmte, logische Schaltung, basierend auf den Beschleunigungscharakteristiken, die im voraus in der Gasturbinenstartervorrichtung 1 gespeichert sind, und dem Meßwert des Drehgeschwindigkeitsaufnehmers 9 der Gasturbine. Die Starterabfolge wird basierend auf den Beschleunigungscharakteristiken gesteuert, so daß die Geschwindigkeit der Gasturbine 5 erhöht wird.

Die "Geschwindigkeits/Last-Steuerung" ist eine Steuerung einer konstanten Geschwindigkeit in Abhängigkeit der anliegenden Last und wird ausgeführt durch eine vorbestimmte, logische Schaltung, basierend auf den Meßwerten des Drehgeschwindigkeitsaufnehmers 9 der Gasturbine und des Lastdetektors 13 während des Startvorganges bzw. des belasteten Betriebs.

Die "Abgastemperatursteuerung" ist eine Steuerung der Abgastemperatut innerhalb eines zulässigen Bereichs und wird durch eine vorbestimmte logische Schaltung basierend auf dem Meßwert des Abgastemperaturaufnehmers 12 zum Detektieren der Temperatur des Abgases ausgeführt, um die thermische Beanspruchung am Hochtemperaturabschnitt der Gasturbine zu vermeiden.

Die "Beschleunigungssteuerung" ist eine Steuerung der Beschleunigung, um einen plötzlichen Anstieg der Geschwindigkeit in dem Moment zu unterbinden, wenn die Last abgekoppelt wird. Die Steuerung wird durch eine vorbestimmte logische Schaltung, basierend auf dem Meßwert des Drehgeschwindigkeitsaufnehmers 9 der Gasturbine ausgeführt.

Die oben beschriebenen Steuervorgänge werden ausgeführt, um den Betrieb der Gasturbine durch Steuern des Öffnens und Schließens des Kraftstoff-Flußratensteuerventils 8 zu kontrollieren, um damit die Kraftstoff-Flußrate gemäß dem Ergebnis der oben beschriebenen Steuerungsoperationen einzustellen.

Die Flußratensteuerungscharakteristik des Kraftstoff-Flußratensteuerventils 8, die die Beziehung zwischen den Eingabewerten nach dem Ergebnis der Steuerungsoperation und der Kraftstoff-Flußrate angibt, ist unterschiedlich, abhängig von dem individuellen Gasturbinensystem, an dem das Kraftstoff-Flußratensteuerventil 8 installiert ist. Dies liegt daran, daß die Flußrate aufgrund der Unterschiede des Volumens der Verrohrung in jedem Gasturbinensystem verschieden ist. Ferner wird die Flußratensteuercharakteristik auch für das gleiche Gasturbinensystem aufgrund säkularer Änderungen verändert. Demgemäß wird in dem Gasturbinensystem nach Einbau des Kraftstoff-Flußratensteuerventils 8 ein Testbetrieb durchgeführt, wenn das Kraftstoff-Flußratensteuerungsventil 8 und sein Steuersystem für eine optimale Betriebsbedingung eingestellt sind. Ferner werden bei den periodischen Inspektionen das Kraftstoff-Flußratensteuerungsventil 8 und sein Steuersystem justiert, um die säkularen Änderungen zu korrigieren.

Da es nötig ist, den Steuerungsbetrieb für die Steuerung des Kraftstoff-Flußratensteuerungsventils 8 aufgrund sowohl der Differenz zwischen individuellen Gasturbinensystemen und säkularen Änderungen zu verändern, ist es gewöhnlich nicht möglich, daß Betriebssteuerungsprogramm festzulegen.

Der Betrieb der wichtigen Funktionen, die die Schutzfunktionen sind, wird nachfolgend beschrieben.

Elemente der wichtigen Funktionen in dem Gasturbinensteuerungssystem enthalten "Schutz vor Überdrehen", "Schutz vor einer hohen Abgastemperatur", "Schutz vor übermäßigen Vibrationen" und "Schutz vor Aussetzen der Verbrennung".

Der "Überdreh-Schutz" ist ein Schutz des Rotors vor Beschädigungen aufgrund eines detektierten, abnormen Zustandes der Geschwindigkeits/Last-Steuerung und der Zentrifugalkraft. Der Schutz wird durch eine Verarbeitung basierend auf dem Meßwert des Drehgeschwindigkeitsaufnehmers 9 der Gasturbine ausgeführt.

Der "Schutz vor einer hohen Abgastemperatur" ist ein Schutz der Vergasungsbrennerbüchse und ähnlichen Bauteilen vor Beschädigungen aufgrund eines detektierten, abnormen Zustandes der Steuerung der Abgastemperatur. Der Schutz wird durch eine vorbestimmte, logische Verarbeitung basierend auf dem Meßwert des Abgastemperaturaufnehmers 12 ausgeführt.

Der "Schutz vor übermäßiger Vibration" ist ein Schutz für die Lager, Rotoren etc. vor Beschädigungen. Der Schutz wird durch eine vorbestimmte, logische Verarbeitung basierend auf dem Meßwert des Vibrationsdetektors 11 durchgeführt.

Der "Schutz vor Aussetzen der Verbrennung" ist ein Schutz des Vergasungsbrenners 3 vor einer Explosion aufgrund Aussetzen der Verbrennung.

Die oben beschriebenen Schutzfunktionen sind vorgesehen, um die Gasturbine vor einer Beschädigung zu schützen. Wenn irgendeine der Funktionen ausgelöst wird, wird das Kraftstoffabsperrventil 7 vollständig geschlossen, um die Gasturbine sicher anzuhalten.

Unabhängig der vorangehend beschriebenen Kontrollfunktionen werden beim Betrieb der wichtigen Funktionen Betriebswerte, die die Schutzbetätigung betreffen, von einem Gasturbinenhauptkörper bestimmt. Beispielsweise werden 110 % des Nennwertes für die Beschleunigung, 580º C für die Abgastemperatur, 1,51 inch pro Sekunde (0,0384 m/s) für die Vibration etc. festgelegt, wobei alle diese Werte Grenzwerte zur Verhinderung einer Beschädigung des Gasturbinenhauptkörpers sind. Diese Werte benötigen keine Einstellung bzw. Nachstellung beim Testbetrieb oder während der wiederkehrenden Inspektionen.

Demgemäß wurde der Betrieb der wichtigen Funktionen bisher allgemein durch Hardware aufgebaut, so daß keine Fehler in der Einstellung eingeführt werden können. In der vorliegenden Erfindung wird der Betrieb der wichtigen Funktionen durch Software ausgeführt. Das Software-Programm ist geschützt, um einen Zugriff durch den Benutzer zu verhindern.

Nächstfolgend zeigt Fig. 2 die Arbeitsweise des Startermodus, des Lastmodus und des Stoppmodus des Gasturbinensteuerungssystems sowie die Beziehung zwischen der Steuerungsoperation und der Operation der wichtigen Funktionen der Gasturbine.

Die Gasturbine 4 wird wie folgt gestartet. Der Starter 1 wird durch einen Startbefehl in Gang gesetzt und die Rotationsgeschwindigkeit der Gasturbine 4 nimmt zu, um die Zündgeschwindigkeit zu erreichen. Dann wird das Kraftstoffabsperrventil 7 geöffnet und Kraftstoff fließt durch das Ventil, um die Verbrennung zu starten und danach der Gasturbine 4 eine selbstständige Erhöhung der Drehgeschwindigkeit zu ermöglichen. Wenn die Drehgeschwindigkeit der Gasturbine 4 die Nenngeschwindigkeit erreicht, wird der Generator 5 damit zusammen betätigt, um einen belasteten Betrieb zu beginnen. Die Gasturbine 4 wird wie folgt gestoppt. Wenn ein Haltbefehl empfangen wird, wird die Last verringert und der Leistungsschalter 6 geöffnet. Dann wird die Gasturbine verlangsamt und das Kraftstoffabsperrventil 7 geschlossen, wenn die Flammenauslöschgeschwindigkeit erreicht ist. Dann erlischt die Verbrennung und die Gasturbine 4 hält an.

Die "Startsteuerung" der Gasturbine ist die Steuerungsoperation der Gasturbine vom Erhalten des Startbefehls bis zum Erreichen der Nenndrehgeschwindigkeit der Gasturbine 4. Die "Geschwindigkeits/Last-Steuerung", die "Beschleunigungssteuerung" und die "Abgastemperatursteuerung" sind die Steuerungsoperationen, die über den Erhalt des Anhaltebefehls bis zum Schließen des Kraftstoffabsperrventils 7 andauern.

Diese vier Steueroperationen einschließlich der "Startsteuerung" sind Anpassungssteuerungen zur Anpassung der Öffnung der Kraftstoff-Flußratensteuerungsventils 8. Während eine Vielzahl von Steuerungen zur gleichen Zeit durchgeführt werden, wird die Öffnung des Kraftstoff-Flußratensteuerungsventils 8 jedoch mit dem kleinsten Wert gesteuert.

Die Operationen der wichtigen Funktionen, wie etwa der "Überdrehschutz", "Abgastemperaturschutz", "Vibrationsschutz" und "Schutz vor Aussetzen der Verbrennung" werden vom Erhalten des Startbefehls bis zum Anhalten der Gasturbine ausgeführt. Diese Operationen werden unabhängig von der Steuerungsoperation der Gasturbine ausgeführt, stets um den Gasturbinenhauptkörper nicht zu beschädigen. Während die Steuerungsoperationen den Inhalt der Operationen in Zeitreihen ändern, sind die Operationen der wichtigen Funktionen stets konstant, so daß diese Operationen in einem gesicherten Programm gesetzt werden können.

Ein Ausführungsbeispiel der vorliegenden Erfindung wird unter Bezugnahme auf die Fig. 3 nachfolgend beschrieben.

Bezugnehmend auf Fig. 3 ist eine Steuereinheit 20 aufgebaut mit einem Kontroller A-14 als eine Steuerungsverarbeitungseinheit für die Gasturbine, einem Kontroller M-15 mit einer Anzeigefunktion, einer Übertragungsleitung 16 zwischen den Kontrollern A und M und einer Mann-Maschineneinheit 19.

Der Kontroller A-14 hat einen Steueroperationsabschnitt (TASK1) 22 und einen "wichtige-Funktionen"-Verarbeitungsabschnitt (TASK2) 23 als Verarbeitungsfunktionen, einen Eingabeverarbeitungsabschnitt 24 und einen Ausgabeverarbeitungsabschnitt 25 als Eingabe- und Ausgabeverarbeitungsfunktionen und einen Mann-Maschinenkontrollerübertragungsabschnitt 26 zur Übertragung der Verarbeitungsfunktionen. In diesem Fall ist der Task zur Ausführung der Steueroperation des Steueroperationsabschnittes 22 und der Task zur Ausführung der Verarbeitung für die wichtigen Funktionen des "wichtige Funktionen"-Verarbeitungsabschnittes 23 als wechselseitig unabhängige Tasks aufgebaut. Der Task des Programms des "wichtigen Funktionen"-Verarbeitungsabschittes 23 ist geschützt, um ein Schreiben in diesen Task unmöglich zu machen und somit das Programm zu sichern.

Es gibt verschiedene Methoden zum Schutz des Tasks. Beispielsweise ist ein Schritt zum Verbieten des Schreibezugriffs auf den Task in dem Programm vorbereitet. Alternativ ist die Leitung zum Speicherbereich des Tasks des Speichers physikalisch (elektrisch) durchtrennt, um ein Schreiben in diesem Bereich zu verbieten, während das Auslesen aus diesem Bereich erlaubt ist.

Ein Beispiel des Schutzes wird später mit Bezug auf die Zeichnungen beschrieben.

Der Kontroller M-15 umfaßt einen Mann-Maschinenfunktionsabschnitt 27 zum Eingeben und Ausgeben von Signalen zum/von der Mann-Maschineneinheit 19, einen geschützten Bildvorbereitungsfunktionsabschnitt 28 zur Vorbereitung des Inhalts der Betätigung der wichtigen Funktionen in einem im voraus geschützten Format, wie etwa ein logisches Diagramm, einen variablen anzeigefunktionsabschnitt 29, einen Mann-Maschineneingabe- und Ausgabeverarbeitungsabschnitt 30 und einen Übertragungsverarbeitungsabschnitt 31. Die Mann-Maschineneinheit 19 hat eine Anzeigeeinheit (CRT) 17 und eine Betätigungseinheit (K/B) 18.

Ein von dem Gasturbinensteuerungssystem detektiertes Signal 21 wird zum Kontroller A-14 durch die Eingabeverarbeitungseinheit 24 eingegeben. Das Signal wird in dem Steueroperationsabschnitt 22 oder dem "wichtige Funktionen"-Verarbeitungssabschnitt 23 des Kontrollers A in Abhängigkeit des Inhalts des Signals verarbeitet. In diesem Fall sind der Task zur Ausführung der Steuerungsoperation und der Task zur Ausführung der Operation der wichtigen Funktionen als separate Tasks gegenseitig verschieden voneinander ausgebildet, so daß diese Tasks voneinander getrennt sind und die Operationen dieser Tasks unabhängig voneinander ohne jegliche Unterbrechung unabhängig von einem Ausgabewert des anderen Tasks durchgeführt werden.

Das in dem Steueroperationsabschnitt 22 verarbeitete Signal wird über den Ausgabeverarbeitungsabschnitt 25 zum Kraftstoff-Flußratensteuerventil 8 geführt und gleichzeitig dem Kontroller M-15 des Mann-Maschinenkontrollerübertragungsabschnittes 26 über die Übertragungsleitung 16 zugeführt. Ähnlich wird das durch das geschützte Programm in dem "wichtige Funktionen"-Operationsabschnitt 23 verarbeitete Signal dem Übertrager 31 des Kontroller M-15 des Mann-Maschinensteuerungsübertragungsabschnittes 26 durch die Übertragungsleitung 16 übertragen. Der Kontroller M-15 überträgt den Wert jeder Operation des Signals, das übertragen wurde, zum Übertrager 31 zur Mann-Maschineneinheit 19 über den variablen Anzeigefunktionsabschnitt 29 und überträgt ebenso das Format der Operationssequenz, das im voraus fixiert ist, in den geschützten Bildvorbereitungsfunktionsabschnitt 28 der Mann-Maschineneinheit 19 und erstellt eine Bildanzeige hiervon in der Anzeigeeinheit 17 (CRT) der Mann-Maschineneinheit 19.

In dieser Anzeigeeinheit 17 (CRT) kann der Inhalt der Operation der wichtigen Funktionen, die in dem geschützten Programm angeordnet sind, visualisiert werden.

Auf der anderen Seite wird ein Befehl von der Betätigungseinheit (K/B) 18 der Mann-Maschineneinheit 19 zum Kontroller A-14 von dem Mann-Maschinenfunktionsabschnitt 27 des Kontrollers M-15 über die Übertragungsleitung 16 übermittelt. Der Befehl wird durch den Steueroperationsabschnitt 22 verarbeitet, um das Kraftstoff-Flußratensteuerventil 8 zu steuern.

In diesem Fall tritt, wenn aufgrund eines abnormen Zustandes des Steueroperationsabschnittes 22 das Kraftstoff- Flußratensteuerungsventil 8 fehlerhaft betätigt oder fehlerhaft geschlossen wurde, ein abnormer Zustand in dem Gasturbinensteuersystem, wegen eines fehlerhaften Befehls auf, der zur Betätigungseinheit 18 von einem menschlichen Fehler oder einem Überschreiben des Steueroperationsprogramms durch ein anderes Programm herrührt. Der "wichtige Funktionen- "Verarbeitungsabschnitt 23 gibt das Signal 21 ein, das den abnormen Zustand über den Eingabeverarbeitungsabschnitt 24 detektiert hat, und verarbeitet das Signal. Wenn der abnorme Zustand einen Grenzwert erreicht hat, schließt der "wichtige Funktionen"-Verarbeitungsabschnitt 23 das Kraftstoffabsperrventil 7 über den Ausgabeverarbeitungsabschnitt 25, um damit die Gasturbinenvorrichtung zu stoppen.

Da der Task des "wichtige Funktionen"-Verarbeitungsabschnittes 23 in diesem Fall von dem Task des Steueroperationsabschnittes 22 getrennt ist, kann der "wichtige Funktionen"-Verarbeitungsabschnitt 23 einen sicheren Betrieb erreichen.

Obwohl im oben beschriebenen Fall in dem Gasturbinen- Steuersystem ein abnormer Zustand wegen eines in der Betätigungseinheit 23 eingegebenen fehlerhaften Befehls oder eines in dem Steueroperationsabschnitt 22 auftretenden, abnormen Zustandes auftritt, ist es unnötig, zu bemerken, daß die Betätigung der wichtigen Funktionen ähnlich ausgeführt werden kann, wenn ein abnormer Zustand aufgrund einer Zerstörung oder dergleichen in dem automatischen Steuerungssystem auftritt, das durch den Kontroller A-14 und das Gasturbinensteuersystem gebildet ist.

Ein weiteres Ausführungsbeispiel der vorliegenden Erfindung wird mit Bezug auf Fig. 4 nachfolgend beschrieben.

Bezugnehmend auf Fig. 4 ist eine Steuereinheit 32 aufgebaut mit einem Kontroller A-14 der Steuereinheit 20 der Fig. 3, einem Kontroller B-33 und einem Kontroller C-34 zur Ausführung der gleichen Steuerverarbeitung, wie diejenige des Kontrollers A-14, einem Eingabemultiplexverarbeitungsabschnitt 35 und einem Ausgabemultiplexverarbeitungsabschnitt 36. Die anderen Konfigurationen sind die gleichen wie diejenigen von Fig. 3.

In der Steuereinheit 32 wird ein von dem Gasturbinensteuersystem detektiertes Signal 21 in jedem Kontroller A, B und C über den Eingabemulitplexverarbeitungsabschnitt 35 eingegeben und unabhängig von dem Steueroperationsabschnitt 22 und dem "wichtige Funktionen"-Operationsabschnitt 23 jedes Kontrollers verarbeitet. Das Ergebnis jeder Verarbeitung wird dem Kontroller M-15 von den Kontrollern A, B und C über die jeweilige Übertragungsleitung 16 zugeführt und danach in der gleichen Weise, wie in dem in Fig. 3 gezeigten Ausführungsbeispiel, verarbeitet. Das Ergebnis wird auf der Anzeigeeinheit (CRT) der Mann-Maschineneinheit 19 angezeigt. Zur gleichen Zeit werden die Ergebnisse der Verarbeitung an dem Steueroperationsabschnitt 22 und dem "wichtige Funktionen"-Operationsabschnitt 23 in jedem Kontroller A, B und C zum Ausgabemultiplexverarbeitungsabschnitt 36 ausgegeben. Der Ausgabemulitplexverarbeitungsabschnitt 36 bestimmt das Ergebnis der auszugebenen Verarbeitung basierend auf der Majoritätslogik und steuert das Kraftstoff-Flußratensteuerungsventil 8 oder das Kraftstoffabsperrventil 7.

Gemäß des vorliegenden Ausführungsbeispiels werden die Kontroller (A, B und C) der Steuereinheit 32 multiplext, so daß ein sehr zuverlässiger Ausgabe von der Steueroperation oder der Operation für die wichtigen Funktionen erreicht werden kann.

Als Beispiele für getrennte Operationen zwischen der Steueroperation und der Operation der wichtigen Funktionen zeigt Fig. 5 eine Task-Struktur des Steuerprogramms und Fig. 6 eine Task-Struktur für das "wichtige Funktionen"-Programm.

Der Task des in Fig. 5 gezeigten Steuerprogramms ist aufgebaut durch Zeigernummerdaten 30 zur Darstellung der Eingabe- und Ausgabezeiger des Programms, einen Bereich 31 zur Darstellung einer Task-Nummer, einen Bereich 32 zur Speicherung des Programms, einen Bereich 33 zur Speicherung der Konstanten der Verarbeitung, einen Bereich 34 zur Speicherung des Zwischenprozesses der Verarbeitung und einen Stapelbereich 35. Der Task des in Fig. 6 gezeigen "wichtige Funktionen"-Programm ist gegliedert in einen Bereich 32' zum Speichern des Programms, einen Bereich 33' zur Speicherung der Konstanten der Verarbeitung, einen Bereich 34' zum Speichern des Zwischenprozesses der Verarbeitung und einen Stapelbereich 35'.

Wie in den Zeichnungen gezeigt, sind das Steuerprogramm und das "wichtige Funktionen"-Programm als separate Tasks strukturiert. Der "wichtige Funktionen"-Programm-Task schützt sich selbst vor Datenzugriff von dem Steuerprogramm-Task. Jedoch ist ein Datenzugriff zu dem Steuerprogramm-Task von dem "wichtige Funktionen"-Programm-Task möglich. In anderen Worten haben der Steuerprogramm-Task und der "wichtige Funktionen"-Programm-Task gegenseitig verschiedene Bereiche, die auf jeden Task rückbezogen werden können. In dem Steuerprogramm- Task können nur die Zeigernummerdaten 30 gelesen oder beschrieben werden und auf jede Zeigernummer kann Bezug genommen werden, jedoch kann auf den Arbeitsbereich 34' und andere Bereiche des "wichtige Funktionen"-Programm-Tasks zum Speichern von Werten des Zwischenprozesses der Operation nicht Bezug genommen werden. Jedoch können in Ergänzung zum Zeigernummerdatenbereich 30 des Steuerprogramm-Tasks für den "wichtige Funtkionen"-Programm-Tasks der Arbeitsbereich 34 und der Stapelbereich 35 gelesen werden. Demgemäß ist es unter Bezugnahme auf diese zwei Bereiche möglich, den Zwischenprozeß der Operation der wichtigen Funktionen zu kennen, so daß es möglich ist, den Zwischenprozeß der Operation zu visualisieren.

Fig. 7 zeigt ein Beispiel des Speicherschutzes zum Schützen des "wichtige Funktionen"-Programm-Tasks vor dem Zugriff von Daten von dem Steuerprogramm-Task.

Wenn fehlerhafte Daten, beispielsweise durch einen menschlichen Fehler oder ähnliches, in den Bereich geschrieben wurden, der das "wichtige Funktionen"-Programm von dem Steuerprogramm, das verändert werden kann, speichert, dann besteht ein Risiko, daß das Programm der wichtigen Funktionen zerstört wird. Dies macht die normale Operation unmöglich und führt zu einer ernsten Situation, in der die Gasturbinenhauptmaschine beschädigt werden kann.

Somit werden, um das in dem Speicher abgelegte "wichtige Funktionen"-Programm vor einem Beschreiben von der Außenseite zu schützen, zu schützende Bereiche A-B und C-D in einem Register geschrieben, das in dem Speicher getrennt vorgesehen ist. Wenn ein Beschreiben des geschützten Bereichs versucht wird, arbeitet mit dieser Anordnung ein in dem Kontroller vorgesehener Protektor, um das Beschreiben zu verhindern, und erzeugt einen Alarm eines Schutzfehlers.

Fig. 8 zeigt ein Beispiel der Visualisierung des Inhalts der wichtigen Funktionen beim Betrieb oder ein Beispiel des Bildschirms, der den Zwischenprozeß des Betriebs darstellt. Auf einem Bildschirm 14 zur Darstellung des Zwischenprozesses der Operation befindet sich die Anzeige von Operationssymbolen 41 ("A" bezieht sich auf einen "AND" Schaltkreis, "O" bezieht sich auf einen "OR"Schaltkreis und "N" bezieht sich auf einen "NOT"-Schaltkreis), Verbindungsleitungen 42 zum Verbinden zwischen den Operationssymbolen und Werten 43 ("1" und "0") zur Darstellung des Zwischenprozesses der Operation jedes Operationssymbols. Da das Programm der Betätigung der wichtigen Funktionen erfindungsgemäß gesichert wurde, ist das Format des Bildschirms 40 fixiert.

Fig. 9 zeigt den Verarbeitungsablauf zur Erstellung einer Anzeige auf dem Bildschirm. Wenn das Programm der Operation der wichtigen Funktionen gestartet ist und das Signal der wichtigen Funktionen der Turbine eingegeben wurde, wird dieses Signal der wichtigen Funktionen durch das "wichtige Funktionen"-Operationsprogramm (Verarbeitung 10) verarbeitet. Das Ergebnis der Operation durch diese Verarbeitung wird sequenziell in den Speicher geschrieben und zur gleichen Zeit werden die alten Daten gelöscht, so daß die Daten aktualisiert sind (Verarbeitung 20). Danach wird das in dem Speicher im voraus gespeicherte Anzeigeformat des Bildschirms gelesen (Verarbeitung 30). Das Anzeigeformat und das Ergebnis der Operation der wichtigen Funktionen werden auf dem Schirm angezeigt, so daß der Zwischenprozeß der Operation der wichtigen Funktionen visualisiert ist (Verarbeitung 40).

Erfindungsgemäß wird das Programm der Operation der wichtigen Funktionen geschützt, so daß die Zuverlässigkeit der Softwareverarbeitung der wichtigen Funktionen gesichert werden kann. Ferner können Schwierigkeiten in der Bestätigung (Verifizierung) der Unversehrtheit des Programms und Aufrechterhaltung des Programms aufgrund des geschützten Programms durch Herauslesen des Zwischenprozesses der Operation gelöst werden. Ferner können wichtige Funktionen, die bisher durch Hardware erreicht wurden, erfindungsgemäß durch Software erreicht werden, so daß die Hardware, die gewöhnlich verwendet wird, weggelassen werden kann. Im Ergebnis kann das System wesentlich vereinfacht werden.

Ferner kann durch Multiplexing des Steuerverarbeitungsabschnittes eine hohe Zuverlässigkeit der Software erreicht werden.

Darüber hinaus wird durch eine Pseudodarstellung des Inhaltes des geschützten Programmes durch das Anzeigesystem nur der Zwischenprozeß der Operation der wichtigen Funktionen als Veränderliche behandelt, so daß die Bestandsführung des Programms weiter erleichtert wird.


Anspruch[de]

1. Steuervorrichtung (20) zur Steuerung eines Gasturbinensystems (4) nach einem Computerprogramm, aufweisend:

eine Einrichtung (9, 10, 11, 12, 13) zum Messen von Betriebsparametern von Einrichtungen, aus denen das Gasturbinensystem aufgebaut ist,

eine Steuertask-Speichereinrichtung (22), um aufgrund von Werten der gemessenen Betriebsparametern einen Betrieb auf einer die Drehung des Gasturbinensystems betreffenden Steuerebene durchzuführen,

eine Schutztask-Speichereinrichtung (23) zum Speichern eines Schutztasks, der aufgrund der Werte der gemessenen Betriebsparameter einen Betrieb auf Steuerebenen durchführt, die Schutzfunktionen von Einrichtungen betreffen, aus denen das Gasturbinensystem aufgebaut ist,

eine Betriebs-Verarbeitungseinrichtung zur Ausführung des Steuertasks und des Schutztasks, und

eine Einrichtung zur Erzeugung eines Steuersignals zur Steuerung des Betriebs des Gasturbinensystems entsprechend dem Ausführungsergebnis der Betriebs-Verarbeitungseinrichtung,

dadurch gekennzeichnet, daß

der Schutztask von außen nicht überschreibbar ist und einen zugreifbaren Arbeitsbereich (34, 34') zum vorübergehenden Speichern eines Zwischenprozesses der die Schutzfunktion betreffenden Steuerebenen enthält, und

daß die Steuervorrichtung folgendes umfaßt:

eine Anzeigeeinrichtung (17), um in einem aus einer Kombination fester Symbole bestehenden Bild einen Betriebsablauf der die Schutzfunktionen betreffenden Steuerebenen anzuzeigen, und

eine Einrichtung, um den Zwischenprozess des Betriebs aus dem Arbeitsbereich des Schutztasks zu lesen und dem Bild des Betriebsablaufs auf der Bildanzeigeeinrichtung hinzuzufügen.

2. Steuervorrichtung nach Anspruch 1, mit einer Vielzahl der genannten Betriebs-Verarbeitungseinrichtungen und mit einer Multiplex-Verarbeitungseinrichtung (36), um auf der Grundlage einer Majoritätslogik wahlweise eine einer Vielzahl an Steuersignalen, die von den Betriebs-Verarbeitungseinrichtungen erzeugt werden, auszugeben.

3. Steuervorrichtung nach Anspruch 1, wobei das Steuersignal ein Signal zur Steuerung einer Kraftstoff-Flußrate des Gasturbinensystems und ein Signal zur Abschaltung einer Kraftstoffleitung beinhaltet.

4. Verfahren zur Steuerung des Betriebs eines Gasturbinensystems nach einem Computerprogramm, mit folgenden Schritten:

Messen von Betriebsparametern von Einrichtungen, aus denen das Gasturbinensystem aufgebaut ist,

Ausführen eines Steuertasks innerhalb des Computerprogramms, um einen Betrieb auf Steuerebenen durchzuführen, die den Betrieb der Gasturbine betreffen, indem Werte der gemessenen Betriebsparameter verwendet werden,

Ausführen eines Schutztasks innerhalb des Computerprogramms, um einen Betrieb auf Steuerebenen auszuführen, die Schutzfunktionen von Einrichtungen betreffen, aus denen das Gasturbinensystem aufgebaut ist, indem Werte der gemessenen Betriebsparameter verwendet werden,

Erzeugen eines Steuersignals zur Steuerung des Betriebs des Gasturbinensystems entsprechend dem Ausführungsergebnis beider Tasks,

dadurch gekennzeichnet, daß

der Schritt des Ausführens des Schutztasks unabhängig von dem Steuertask ist,

und daß das Verfahren außerdem die folgenden Schritte aufweist:

Anlegen einer Bildanzeige eines Betriebsablaufs auf Steuerebenen, die die Schutzfunktion betreffen, indem feste Symbole kombiniert werden, und

Anzeigen eines Zwischenprozesses eines Betriebs des Schutztasks auf dem angezeigten Bild des Betriebsablaufs.

5. Steuerverfahren nach Anspruch 4, wobei der Schutztask ein schreibgeschütztes Programm darstellt und das Verfahren einen Schritt zum vorübergehenden Speichern des Zwischenprozesses eines Betriebs des Schutztasks beinhaltet.

6. Verfahren nach Anspruch 5, wobei das Steuersignal sowohl ein Signal zur Steuerung einer Kraftstoff-Flußrate des Gasturbinensystems als auch ein Signal zur Abschaltung einer Kraftstoffleitung umfaßt.







IPC
A Täglicher Lebensbedarf
B Arbeitsverfahren; Transportieren
C Chemie; Hüttenwesen
D Textilien; Papier
E Bauwesen; Erdbohren; Bergbau
F Maschinenbau; Beleuchtung; Heizung; Waffen; Sprengen
G Physik
H Elektrotechnik

Anmelder
Datum

Patentrecherche

Patent Zeichnungen (PDF)

Copyright © 2008 Patent-De Alle Rechte vorbehalten. eMail: info@patent-de.com