Das Machine Protection System (MPS) für Petra M.Werner, T.Lensch

Betriebs-Seminar Grömitz 2008 Überblick Ziele, Anforderungen Signalfluss, Hardware Alarm-Klassen, Verknüpfungen Darstellung auf Konsole Erst-Alarm-Erkennung Post-Mortem Ausblick Betriebs-Seminar Grömitz 2008

Betriebs-Seminar Grömitz 2008 Ziele des MPS Maschinen-Komponenten (Strahlkammer, Vakuum-Schieber, Schnellschlussklappen, Schirm-Monitor) schützen Operateure bei Fehler-Suche und -Behebung unterstützen  hohe Verfügbarkeit des Beschleunigers Betriebs-Seminar Grömitz 2008

Betriebs-Seminar Grömitz 2008 Anforderungen Alarme in Petra-Hallen empfangen und Strahl ggf. durch Austasten der HF und Hereinfahren der Strahlfalle dumpen Reaktionszeit < 100μs Individuelle Stromschwellen für jeden Eingang Automatische Maskierung von Alarmen Erst-Alarm-Erkennung Post-Mortem-Trigger Betriebs-Seminar Grömitz 2008

Signal-Fluss (Global) IN OUT ca. 260 Dump: HF, Strahlfalle Alarme MPS Post Mortem Trigger Strahlstrom (extra DCCT) verteilt in 9 Hallen Alarm- und System-Status Fehler-Server Strom-Schwellen, Verknüpfungen MPS-Server .csv-Files: Strom-Schwellen, Verknüp-fungen Konsolen im Kontrollraum Betriebs-Seminar Grömitz 2008

Betriebs-Seminar Grömitz 2008 MPS-Racks in 9 Hallen N NO Alarme in allen Hallen NW Exp-Halle Geb. 30 W Server im RR O SEDAC LWL LWL Strahl-Strom SW S SO Betriebs-Seminar Grömitz 2008 HF-Dump

Betriebs-Seminar Grömitz 2008 MPS-Crate Betriebs-Seminar Grömitz 2008

Betriebs-Seminar Grömitz 2008 Modul-Typen CC5: Sedac-Crate-Controller MPSC: MPS-Controller mit LWL-Interface, Dump-Ausgängen, Post-Mortem-Ausgang MPSA: MPS-Modul mit 16 Alarm-Eingängen MPSM: MPS-Master (DCCT, LWL) CC5 MPSC MPSA MPSM Betriebs-Seminar Grömitz 2008

Betriebs-Seminar Grömitz 2008 Wozu Strom-Schwellen? Einige Alarme müssen bei kleinem Strahlstrom maskiert werden. Beispiel: BPMs sind bei geringem Strahlstrom ungenau  Bei kleinem Strom käme ohne Strom-schwelle ein Alarm trotz korrektem Orbit  Füllen eines leeren Beschleunigers wäre unmöglich. Betriebs-Seminar Grömitz 2008

Betriebs-Seminar Grömitz 2008 DCCT-Funktion Ausfall des DCCT würde Strahlstrom 0 vortäuschen und dadurch fälschlicherweise Alarme maskieren  Gefahr! Durch die Test-Loop wird Ausfall des DCCT erkannt. Per LWL wird der Strahlstrom in alle MPS-Racks übertragen. LWL-Übertragung des Strahlstroms an die anderen MPS-Racks DCCT-Elektronik Strahl-strom Test-Loop MPSM ± 0.5 mA Betriebs-Seminar Grömitz 2008

Betriebs-Seminar Grömitz 2008 Alarm-Eingang Alarm-Lieferant: Schalter geöffnet  Alarm MPS-Eingangs-Buchse +5V 270 Ω Alarm-Kabel + bis 200m Alarm - (geschirmt) >3V  Alarm SL SL 270 Ω 5V / 9mA Bei mech. Kontakten ohne Vergoldung: extra Interface notwendig GND Niederohmig, 5V-Technik: schnell Symmetrischer Eingang: störsicher Kabel geschirmt: störsicher Betriebs-Seminar Grömitz 2008

Die drei Alarm-Klassen Direkt-Alarme (z.B. Temperaturen, BPMs, Schnellschluss-Klappen) dumpen den Strahl. Masken-Alarme (z.B. Undulator-Gap) dumpen den Strahl zwar nicht direkt, aber sie maskieren Direkt-Alarme. Timestamp-Alarme (z.B. HF-Glitch, Magnet-Netzgeräte) dienen der Erst-Alarm-Erkennung und haben keinerlei Einfluss auf das Dumpen des Strahles. Betriebs-Seminar Grömitz 2008

Masken-, Direkt- und Timestamp-Alarm-Lieferanten Masken-Alarme: Direkt-Alarme: Timestamp-Alarme: Undulator-Gap (automatisch) Wiggler-Gap (manuell) BPMs Schnellschluss-Klappen Temperaturen Schieber-Ventile Getterpumpen Personen-Interlock*) Undulator-Fehler HW-Dump-Taste SW-Dump-Button Schirm-Monitor Hand-Ventile Wasser-Wächter Magnet-Netzgeräte Long./Transv. Feedback Timing-System HF-Sender *) Funktion des MPS ist für Personen-Sicherheit nicht erforderlich Betriebs-Seminar Grömitz 2008

Die Verknüpfungs-Matrix Konfigurierbare Matrix = „AND“ Dump! OR Jedes Alarm-Eingangs-Modul (MPSA) enthält eine solche Matrix. >= N „Mindestens N Alarme“ (N ist konfigurierbar). Normalerweise ist N=1. N=2 wird z.B. eingestellt wenn erst 2 BPM-Alarme dumpen sollen. Individuelle Strom-Schwellen 16 Alarm-Eingänge Betriebs-Seminar Grömitz 2008

Beispiele Verknüpfungs-Matrix Standard-Matrix Wiggler-Matrix Dump wenn mind. 1 Alarm Dump wenn: Wiggler zu und mind. 1 DDW oder Wiggler zu und mind. 2 BPMs >= 1 >= 2 Wiggler-Gap 16 Alarm-Eingänge Betriebs-Seminar Grömitz 2008 DDWs BPMs

Darstellung auf Konsole Auszug aus Legende: Sedac-Fehler  Service-Fall S LWL- oder Backplane-Fehler  Service-Fall I Alarm liegt statisch an und verhindert Füllen von Petra A Alarm führte zu Dump Dauerhaft maskierter Alarm-Eingang A Unbenutzer Alarm-Eingang A Ein „A“ im Icon bedeutet immer, dass der Kontakt des Alarm-Einganges geöffnet ist. Betriebs-Seminar Grömitz 2008

Betriebs-Seminar Grömitz 2008 MPS-Konsol-Darstellung MPSA CN=1, BSA=0 O E1 E2 NO N NW W SW S SO Crate 1 2 3 4 5 6 7 8 9 10 Name mA BSA: 000 000 016 000 016 000 000 000 000 000 000 000 1: A S I WigGap.N 2: A S I DDW.N.ABSX 10 3: A S I DDW.N.ABS12 10 4: S I BPM.NL053 10 5: S I BPM.NL036 10 6: S I BPM.NL030 10 7: S I BPM.NL024 10 8: S I BPM.NL018 10 9: S I BPM.NL012 10 10: S I BPM.NL006 10 11: A S I BPM.NR000 10 Negativ = maskiert 12: A S I BPM.NR007 10 13: S I BPM.NR013 10 14: S I BPM.NR019 10 15: A A A A A A S A A A I A BPM.NR025 -10 Betriebs-Seminar Grömitz 2008 16: A A A A A A S A A A I A 9999

Betriebs-Seminar Grömitz 2008 Hilfstext wenn Maus über Alarm-Feld steht MPSA CN=1, BSA=0 O E1 E2 NO N NW W SW S SO Crate 1 2 3 4 5 6 7 8 9 10 Name mA BSA: 000 000 016 000 016 000 000 000 000 000 000 000 1: A S I WigGap.N 2: A S I DDW.N.ABSX 10 3: A S I DDW.N.ABS12 10 Petra-Oktant West: Ein Wasserwächter im Wiggler-Bereich zeigt an, dass dort mindestens einer der Absorber 2-10 nicht von Wasser durchflossen wird. Dies verhindert die Strahlfreigabe, wenn das Wiggler-Gap geschlossen ist. 4: S I BPM.NL053 10 5: A S I BPM.NL036 10 6: S I BPM.NL030 10 7: S I BPM.NL024 10 8: S I BPM.NL018 10 9: S I BPM.NL012 10 10: S I BPM.NL006 10 11: A S I BPM.NR000 10 Negativ = maskiert 12: A S I BPM.NR007 10 13: S I BPM.NR013 10 14: S I BPM.NR019 10 15: A A A A A A S A A A I A BPM.NR025 -10 Betriebs-Seminar Grömitz 2008 16: A A A A A A S A A A I A 9999

Erst-Alarm-Erkennung (geplant) Alle MPS-Module werden per LWL synchronisierte Uhren enthalten. Bei einem Alarm wird eine Timestamp gespeichert. Der erste Alarm kann dann ermittelt werden. Das beantwortet z.B. die Frage, ob die HF infolge eines Strahlverlustes ausgefallen ist oder selbst den Strahlverlust bewirkte. Synchronisierung der MPSA-Module über LWL und Backplane 3.111ms 5.777ms 7.123ms 0.456ms 6.333ms Betriebs-Seminar Grömitz 2008 Alarme kurz vor bzw. nach Strahlverlust

Post-Mortem („PM“) -Trigger Magnet-Netzgeräte BPMs O PM-Trigger Temperaturen Long. Feedback DCCT S PM-Trigger PM-Recorder in Halle O Es gibt in allen Hallen PM-Trigger, dieses Beispiel zeigt jedoch nur die Hallen S und O. Magnet-Netzgeräte BPMs Temperaturen HF Timing Alle Gewerke in allen Hallen erhalten den PM-Trigger zeitgleich! PM-Recorder in Halle S Betriebs-Seminar Grömitz 2008

Post-Mortem-Beispiel Post-Mortem-Schirm Strom-Monitor zeigt Strahlverlust DCCT: Magnetstrom war vor Strahlverlust instabil I_Mag: HF-Ausfall nach Strahlverlust HF: Zeit-Referenz Fehler-Schirm In diesem Beispiel zeigt das Fehler-System zwar einen HF-Ausfall an, in der Post-Mortem-Darstellung sieht man jedoch ein kurzzeitig gestörtes Magnet-Netzgerät, das als Ursache des Strahlverlustes in Frage kommt. Magnete HF Betriebs-Seminar Grömitz 2008

Betriebs-Seminar Grömitz 2008 Ausblick System soll ab Betriebs-Beginn (Ende Jan. 2009) den Schutz von Petra gewährleisten  Zeitplan ist realistisch! Geplant ist danach: Erst-Alarm-Erkennung Post-Mortem: Präziser Trigger und bedarfsgerechte Darstellung Systemübergreifender Selbst-Test Betriebs-Seminar Grömitz 2008

Betriebs-Seminar Grömitz 2008 Vielen Dank! Fragen? Betriebs-Seminar Grömitz 2008