Ponencia. Para las funciones con tiempos de respuesta del orden del medio segundo se ha seleccionado PLC de alta disponibilidad de rango industrial.

Transcripción

1 Sistema Central de Interlock de ITER Arquitectura de alta integridad Ignacio Prieto, Gustavo Martínez, Carlos Lopez Iberdrola Ingeniería y Construcción, S. A. U, Av. Manoteras 20, Madrid; ipdi@iberdrola.es; gmmi@iberdrola.es, clal@iberdrola.es Sesión Técnica 01 Fusión (I) Resumen Ponencia El CIS (Central Interlock System), junto con el sistema CODAC y el sistema CSS (Central Safety System), forman los sistemas centrales de I&C de ITER. El CIS es responsable de implementar las funciones centrales de protección (Central Interlock Functions) a través de los diferentes sistemas de planta (Plant Systems), dentro de la estrategia global de protección de la inversión de ITER. IBERDROLA da soporte de ingeniería para definir y desarrollar la arquitectura de control del CIS de acuerdo a los estrictos requisitos de integridad, disponibilidad y tiempo de respuesta. Para las funciones con tiempos de respuesta del orden del medio segundo se ha seleccionado PLC de alta disponibilidad de rango industrial. Sin embargo, debido a la naturaleza de la propia máquina, ciertas funciones deben ser capaces de actuar por debajo del milisegundo, por lo que se ha tenido que desarrollar una arquitectura basada en FPGA (Field Programmable Gate Array) capaz de cumplir los requisitos. En la presente artículo se describe la arquitectura del CIS, así como el proceso para el desarrollo y validación de las plataformas seleccionadas. Introducción El Sistema central de interlocks (Central Interlock System CIS) es una parte de los sistemas centrales de I&C de ITER, junto con CODAC y el sistema central de seguridad nuclear. El CIS se encarga de ejecutar las funciones centrales de protección de ITER, por medio de la red central (Central Interlock Network CIN) y los sistemas de interlock de los diferentes sistemas (Plant Interlock Systems) El sistema de control de interlocks (Interlock Control System ICS) se encarga de la supervisión y el control de todos los componentes a cargo de la protección instrumentada del Tokamak y sus sistemas auxiliares. El ICS está formado por la parte central (CIS) y los diferentes sistemas de protección (PIS), y sus redes de comunicación. El ICS no incluye los actuadores de protección de los sistemas, pero está a cargo de su control.

2 Las funciones instrumentadas de interlock se encargan de proteger la máquina de los fallos de los diferentes componentes, así como de la operación incorrecta. Respecto a la Instrumentación y Control, los sistemas de interlock se encargan de que un fallo en los sistemas de control convencional de ITER no produzcan una pérdida de su disponibilidad ni en la integridad. El CIS debe cumplir con estrictos requisitos de fiabilidad (99.6% durante el doble turno de operación 16h) y de integridad (funciones hasta 3IL-3, el equivalente de ITER al SIL-3 IEC 61508) y una disponibilidad interna del 99.9%. Descripción del sistema El ICS ha adoptado una estructura de dos capas: las funciones central se coordinan mediante el CIS a través de la red de comunicación central (CIN) y de manera conjunta con los PIS encargados de detectar los eventos y ejecutar las acciones de protección. Tanto en la parte central como en los sistemas (PIS) se han definido dos configuraciones, desde el punto de vista del tiempo de respuesta: para aquellas funciones con requisitos temporales superiores a los 100 ms se utilizan PLC (S7-400), las funciones rápidas serán implementadas en dispositivos basados en tecnología FPGA. Se ha definido una tercera arquitectura para la conexión directa de diferentes sistemas, los lazos cableados que interconectan directamente sensores y actuadores de diferentes sistemas con el fin de aumentar la integridad y la simplicidad. Estos lazos cableados representan la excepción a la regla general que impide la interconexión directa entre sistemas, debiendo estar siempres coordinados desde el CIS. Figura 1: Arquitectura del CIS

3 Requisitos Las funciones interlocks, deben ser definidas tras un análisis de riesgos utilizando las diferentes herramientas. En ITER se ha decidido utilizar además de los análisis funcionales y RAMI (Reliability, Availability, Maintainability and Integrity analysis), las metodologías FMECA (Failure Modes, Effects and Criticallity Analisys), HAZOP (Hazard and Operabilitiy study) y STPA (System Theory and Processes Analysis). Tras este proceso inicial de identificación de riesgos se definen las funciones de mitigación, siendo clasificadas de acuerdo a su severidad y su frecuencia de ocurrencia. Se consideran tres niveles de integridad que van desde el 3IL-1 (funciones de interlock que se implementan en la arquitectura de control convencional) a 3IL-3 para las funciones más críticas. Por analógica con el estándar IEC se define un nivel equivalente a SIL-4, denominado 3IL-4, aunque no se ha identificado ninguna función interlock que requiera un nivel tan alto de integridad. Las tabla 1 resume los requisitos de fallo inseguro de acuerdo a la clasificación de cada función. Este nivel de integridad debe ser asegurado en toda la cadena de protección, incluyendo al CIS. Tabla 1: Requisitos de integridad para las funciones Interlock Soluciones tecnológicas Todos los criterios mencionados deben ser trasladados al diseño, de manera que este pueda cumplir con la funcionalidad requerida. Como ya ha sido mencionado tres soluciones tecnológicas han sido seleccionadas para ejecutar el sistema de protección de maquina en ITER. 1. Hardwired Loops Para la coordinación del sistema de protección de imanes se ha decido utilizar una solución basada en lazos de corriente que se encargan de transmitir entre los diferentes actores las señal de protección. Este sistema originalmente concebido para la protección de los imanes superconductores del LHC en el CERN, han sido modificado para cumplir con los requisitos de integridad y disponibilidad de ITER. Los hardwired loops consiste en tres lazos de 20 ma en configuración 2 de 3 a los que se conectan los diferentes elementos encargados de ejecutar la descarga rápida de los imanes superconductores que se encargan del confinamiento y operación del plasma de ITER. Estos elementos son: las fuentes de alimentación, la unidades de descarga rápida (FDU Fast Discharge Units), el interruptor de protección principal( PMS Protective Make Switch) y el sistema de detección de transición resistiva ( QDS Quench Detection System)

4 Los usuarios del lazo de corriente se conectan al mismo mediante unas cajas de conexión que cumple una doble función: conectar de manera aislada a los usuarios del lazo de corriente y proporcionar un medio común para la coordinación de la función de protección. 2. Arquitectura Lenta Las funciones de protección con un requisito temporal en el orden de los 100 ms se implementan en PLCs (Programable Logic Controllers) de grado industrial, proporcionado un hardware y unos procedimientos de desarrollo que aseguran los niveles de integridad necesarios. De acuerdo a la disponibilidad requerida se han recomendado dos configuraciones: la estándar, con una única CPU o la de alta disponibilidad que incluye dos CPU, tal como se muestra en la Figura 2. Estos PLC han sido seleccionados para su utilización hasta 3IL-3 e incluyen sistemas de diagnósticos que aseguran el fallo seguro. 3. Arquitectura Rápida Figura 2: Controlador lento Actualmente no existen en el mercado soluciones de alta integridad que puedan ejecutar funciones con requisitos temporales por debajo del 1 ms por lo que se ha lanzado una campaña de prototipos con la que se va a definir una solución basada en FPGA (Field Programable Gate Array). Esta tecnología se basa en la ejecución a nivel hardware de la lógica definida, sin necesidad de utilizar un procesador. Existen varias soluciones en la industria que hacen uso de esta tecnología, proporcionando diferentes interfaces de entrada salida, asi como los elementos necesarios para integrar los dispositivos en una arquitectura compleja como el CIS. De las diferentes arquitecturas analizadas se ha seleccionado la configuración 2oo3 Double Decker, que utiliza un doble chasis FPGA con una disposición de los puertos de entrada 2oo3. La figura 3 ilustra esta configuración.

5 El estándar IEC se está utilizando como guía para asegurar que la plataforma cumplirá con los requisitos definidos. Los análisis realizados han demostrado que esta configuración cumple los requisitos tanto de fiabilidad ( %) como de integridad (PFH = 5.676E-08). La campaña de desarrollo del prototipo no ha finalizado, continuando el desarrollo de la solución para poder desarrollar el resto de las funcionalidades requeridas para su completa integración en el CIS y validar la solución para su incorporación al sistema de protección de la inversión de ITER. Figure 3: Controlador Rápido Conclusiones Iberdrola Ingeniería lleva proporcionando soporte técnico para el sistema de interlocks desde 2010, inicialmente colaborando en la definición de las funciones de protección y realizando los estudios de fiabilidad (Análisis de disponibilidad (Análisis de Integridad 3IL, FMECA, HAZOP, Factores Humanos y analizando la estrategia de instalación y puesta en marcha. En la actualidad, se continua dando soporte al sistema en sitio, continuando con el desarrollo del sistema hacia su diseño final (Final Design Review). La colaboración ha demostrado la confianza de ITER en las capacidades de Iberdrola Ingeniería en un sistema tan crítico para la operación de ITER como es el sistema de protección de máquina.