EMV in neuen Kernkraftwerken: Leittechnik, RG 1.180, IEC 62003

Die ersten neuen Reaktoren seit Jahrzehnten in den USA und in Westeuropa haben etwas gemeinsam, das ältere Anlagen bei ihrer Inbetriebnahme nicht hatten: Ihre Leittechnik (I&C) ist digital, von den Eingangskarten bis zur bildschirmbasierten Warte. Das verändert die Rolle der elektromagnetischen Verträglichkeit. In einer analogen Anlage bedeuteten Störungen meist unruhige Messwerte. In einer digitalen Anlage kann eine Störgröße einen Prozessor zurücksetzen, eine Nachricht verfälschen oder eine Fehlauslösung in einem Sicherheitssystem verursachen.

Die Neubauprojekte im Überblick

Die jüngsten westlichen Projekte nutzen zwei Baulinien: den Westinghouse AP1000 in den USA und den EPR in Europa. Beide wurden von Anfang an mit mikroprozessorbasierten Schutz- und Regelsystemen ausgelegt, statt digitale Geräte in eine analoge Architektur einzufügen.

Warum EMV mit digitaler Leittechnik zur Sicherheitsfrage wird

Analoge Schutzkanäle verschlechtern sich meist allmählich: Eine Störung addiert Rauschen oder einen Offset am Auslösekomparator, und der Fehler wächst mit der Störgröße. Digitale Geräte versagen anders. Ein schneller Transient weit unterhalb jeder Zerstörschwelle kann trotzdem eine Fehlfunktion auslösen, deren Wirkung in keinem Verhältnis zur Größe der Störung steht.

• Reset oder Hängenbleiben: Ein Burst an einem Versorgungs- oder E/A-Anschluss stört eine Takt- oder Resetleitung. Der Watchdog nimmt den Kanal außer Betrieb oder, bei schlechter Auslegung, friert der Kanal auf seinem letzten Ausgangswert ein.
• Datenfehler: verfälschte Telegramme auf einer Verbindung zwischen Schränken oder Redundanzen. Sie müssen erkannt und verworfen werden und dürfen nie zu einer Aktion führen.
• Fehlauslösung: Ein falscher Zustand an einem Digitaleingang kann eine Pumpe starten oder eine Armatur verfahren; in einem Sicherheitssystem ist das selbst ein zu analysierendes Ereignis.
• Gemeinsam verursachter Ausfall: Redundante Stränge laufen oft auf derselben Hardwareplattform. Wirkt eine Störung, etwa ein Schalttransient auf einer gemeinsamen Versorgung oder ein Handfunkgerät im Gang, auf alle Redundanzen gleichzeitig, schützt die Redundanz die Sicherheitsfunktion nicht mehr.

Die Betriebserfahrung in Kraftwerken umfasst Fehlsignale, die Handfunkgeräten, Schweißarbeiten während Revisionen und dem Schalten großer Lasten zugeschrieben werden. Deshalb behandeln Aufsichtsbehörden die EMV als Teil der Gerätequalifizierung, neben der Umgebungs- und der Erdbebenqualifizierung, und nicht nur als Voraussetzung für den Marktzugang.

Die wichtigsten Anforderungsdokumente

NRC Regulatory Guide 1.180 (USA)

RG 1.180, Guidelines for Evaluating Electromagnetic and Radio-Frequency Interference in Safety-Related Instrumentation and Control Systems, beschreibt ein Verfahren, das die NRC als akzeptabel ansieht, um die EMI/RFI-Verträglichkeit sicherheitsrelevanter Leittechnik nachzuweisen. Sie erfindet keine neuen Prüfungen. Sie übernimmt Prüfverfahren aus MIL-STD-461 (zum Beispiel CE101, CE102, RE101, RE102, CS114, CS115, CS116, RS101 und RS103), alternative Verfahren der Reihe IEC 61000-4 sowie IEEE C62.41 und C62.45 für Stoßspannungen und nennt die dazu anzuwendenden Emissionsgrenzwerte und Prüfpegel. Für Erdung und Installationspraxis übernimmt sie IEEE Std 1050, und tragbare Sender behandelt sie über Sperrzonen (exclusion zones).

IEC 62003 (internationale kerntechnische Leittechnik)

IEC 62003, erarbeitet vom Unterkomitee SC 45A, legt EMV-Prüfanforderungen für sicherheitstechnisch wichtige Leittechnik in Kernkraftwerken fest. Sie verwendet die aus der kommerziellen Praxis bekannten Störfestigkeitsverfahren der Reihe IEC 61000-4 und die CISPR-Emissionsverfahren, wählt die Prüfpegel aber für die Kraftwerksumgebung und verlangt Bewertungskriterien, die an die Sicherheitsfunktion gebunden sind. Sie gehört zusammen mit IEC 61513 (Anforderungen an die Sicherheitsleittechnik auf Systemebene) und IEC 61226 (Kategorisierung von Leittechnikfunktionen) zur Normenfamilie von SC 45A und wird häufig dort herangezogen, wo die Genehmigung auf IEC-Kerntechniknormen beruht, wie in großen Teilen Europas.

IEC 61000-6-5 (Umgebung von Kraftwerken und Umspannanlagen)

IEC 61000-6-5 ist eine Fachgrundnorm des TC 77 zur Störfestigkeit von Geräten in Kraftwerken und Umspannanlagen. Sie ist nicht kerntechnikspezifisch und behandelt nur die Störfestigkeit, beschreibt aber die elektromagnetische Umgebung eines Kraftwerks nach Anschlussart und Einbauort, einschließlich typischer Störgrößen aus Hochspannungsschalthandlungen. Sie ist nützlich für Geräte der konventionellen Anlagenteile, für Geräte ohne eigene Produktnorm und als Gegenprüfung, dass die für ein Sicherheitssystem gewählten Pegel nicht unter der allgemeinen Kraftwerksumgebung liegen.

Was geprüft wird und was es nachbildet

Beim Bewertungskriterium unterscheidet sich die kerntechnische Prüfung am stärksten von der kommerziellen. Kommerzielle Störfestigkeitsnormen wie IEC 61000-6-2 lassen bei vielen Transientenprüfungen einen vorübergehenden Funktionsverlust zu, der sich selbst wiederherstellt. Für eine Sicherheitsfunktion ist das meist nicht akzeptabel. Der Prüfplan verlangt in der Regel, dass Sicherheitsausgänge ihren Zustand nicht ändern, dass die Eigendiagnose einen Fehler melden, aber keine ungewollte Auslösung verursachen darf, und dass Kommunikationsfehler erkannt werden. Das Gerät wird in einer repräsentativen Konfiguration mit laufender Anwendungssoftware geprüft, und alle Sicherheitsausgänge und Kommunikationsverbindungen werden während der Beaufschlagung überwacht, nicht erst danach kontrolliert.

Konstruktive Maßnahmen, die in der Anlage wirken

• Lichtwellenleiterverbindungen zwischen redundanten Strängen sowie zwischen sicherheitstechnischen und nicht sicherheitstechnischen Systemen. Sie beseitigen den galvanischen Pfad für Gleichtakttransienten und unterstützen die geforderte elektrische Trennung zwischen den Redundanzen.
• Kabeltrennung nach Kategorien. Analoge Kleinsignale, digitale Kommunikation und Energiekabel laufen in getrennten Kabelpritschen oder mit dokumentierten Trennabständen; das unterstützt auch die von IEEE Std 384 geforderte physische Unabhängigkeit der Sicherheitsredundanzen.
• Schirmauflage am Schrankeintritt. Kabelschirme werden am Einführungsblech 360° kontaktiert statt über Pigtails, und das Erdungskonzept der Anlage (zum Beispiel nach IEEE Std 1050) wird einmal festgelegt und konsequent angewendet.
• Schutz an der Schrankgrenze. Überspannungsschutzgeräte und Filter an den Eintrittsstellen leiten Transienten ab, bevor sie die Logikbaugruppen erreichen, statt sich auf Schutz tief in der Elektronik zu verlassen.
• Ausfallsicheres Verhalten, Watchdogs und Diversität. Der AP1000 enthält zum Beispiel ein diversitäres Auslösesystem (diverse actuation system), damit ein gemeinsam verursachter Ausfall der Hauptschutzplattform nicht alle Schutzfunktionen beseitigt.

Zwei einfache Abschätzungen helfen bei Designprüfungen: welche Feldstärke ein Handfunkgerät bekannter Leistung in einem bestimmten Abstand erzeugt, woraus sich ein sinnvoller Sperrabstand ergibt, und welche Verstärkerleistung nötig ist, um die qualifizierte Feldstärke in der Prüfkammer zu erzeugen. Wird die Schirmung eines Schranks als Maßnahme angeführt, sollte sie durch eine Einfügungsdämpfungsmessung nachgewiesen und nicht einfach angenommen werden.

Häufige Fehler und Grenzen

• Annehmen, dass ein CE-gekennzeichnetes Industrieprodukt bereits qualifiziert ist. Sein Prüfbericht zeigt kommerzielle Pegel und Kriterien; der kerntechnische Prüfplan kann andere Pegel, größere Frequenzbereiche und strengere Bewertungskriterien verlangen.
• Eine einzelne Karte auf dem Labortisch prüfen. Kabellängen, Erdung und Softwarelast verändern das Ergebnis; die geprüfte Konfiguration sollte der installierten entsprechen, oder die Unterschiede sind zu begründen.
• Vergessen, dass sich die Anlage ständig ändert. Ein neuer drehzahlvariabler Antrieb, ein Funknetz oder ein umverlegtes Kabel verändern die Umgebung; Änderungen brauchen eine EMV-Bewertung, und Messungen vor Ort helfen, die angenommene Umgebung zu bestätigen.
• EMV als Abschlussprüfung behandeln. Trennung, Erdung und Schrankanordnung werden früh in der Anlagenplanung festgelegt, und ein spät im Projekt entdeckter Fehler kostet weit mehr als bei einem kommerziellen Produkt.