Das Machine Protection System (MPS) für Petra

Präsentation zum Thema: "Das Machine Protection System (MPS) für Petra"—  Präsentation transkript:

1 Das Machine Protection System (MPS) für Petra
M.Werner, T.Lensch

2 Betriebs-Seminar Grömitz 2008
Überblick Ziele, Anforderungen Signalfluss, Hardware Alarm-Klassen, Verknüpfungen Darstellung auf Konsole Erst-Alarm-Erkennung Post-Mortem Ausblick Betriebs-Seminar Grömitz 2008

3 Betriebs-Seminar Grömitz 2008
Ziele des MPS Maschinen-Komponenten (Strahlkammer, Vakuum-Schieber, Schnellschlussklappen, Schirm-Monitor) schützen Operateure bei Fehler-Suche und -Behebung unterstützen  hohe Verfügbarkeit des Beschleunigers Betriebs-Seminar Grömitz 2008

4 Betriebs-Seminar Grömitz 2008
Anforderungen Alarme in Petra-Hallen empfangen und Strahl ggf. durch Austasten der HF und Hereinfahren der Strahlfalle dumpen Reaktionszeit < 100μs Individuelle Stromschwellen für jeden Eingang Automatische Maskierung von Alarmen Erst-Alarm-Erkennung Post-Mortem-Trigger Betriebs-Seminar Grömitz 2008

5 Signal-Fluss (Global)
IN OUT ca. 260 Dump: HF, Strahlfalle Alarme MPS Post Mortem Trigger Strahlstrom (extra DCCT) verteilt in 9 Hallen Alarm- und System-Status Fehler-Server Strom-Schwellen, Verknüpfungen MPS-Server .csv-Files: Strom-Schwellen, Verknüp-fungen Konsolen im Kontrollraum Betriebs-Seminar Grömitz 2008

6 Betriebs-Seminar Grömitz 2008
MPS-Racks in 9 Hallen N NO Alarme in allen Hallen NW Exp-Halle Geb. 30 W Server im RR O SEDAC LWL LWL Strahl-Strom SW S SO Betriebs-Seminar Grömitz 2008 HF-Dump

7 Betriebs-Seminar Grömitz 2008
MPS-Crate Betriebs-Seminar Grömitz 2008

8 Betriebs-Seminar Grömitz 2008
Modul-Typen CC5: Sedac-Crate-Controller MPSC: MPS-Controller mit LWL-Interface, Dump-Ausgängen, Post-Mortem-Ausgang MPSA: MPS-Modul mit 16 Alarm-Eingängen MPSM: MPS-Master (DCCT, LWL) CC5 MPSC MPSA MPSM Betriebs-Seminar Grömitz 2008

9 Betriebs-Seminar Grömitz 2008
Wozu Strom-Schwellen? Einige Alarme müssen bei kleinem Strahlstrom maskiert werden. Beispiel: BPMs sind bei geringem Strahlstrom ungenau  Bei kleinem Strom käme ohne Strom-schwelle ein Alarm trotz korrektem Orbit  Füllen eines leeren Beschleunigers wäre unmöglich. Betriebs-Seminar Grömitz 2008

10 Betriebs-Seminar Grömitz 2008
DCCT-Funktion Ausfall des DCCT würde Strahlstrom 0 vortäuschen und dadurch fälschlicherweise Alarme maskieren  Gefahr! Durch die Test-Loop wird Ausfall des DCCT erkannt. Per LWL wird der Strahlstrom in alle MPS-Racks übertragen. LWL-Übertragung des Strahlstroms an die anderen MPS-Racks DCCT-Elektronik Strahl-strom Test-Loop MPSM ± 0.5 mA Betriebs-Seminar Grömitz 2008

11 Betriebs-Seminar Grömitz 2008
Alarm-Eingang Alarm-Lieferant: Schalter geöffnet  Alarm MPS-Eingangs-Buchse +5V 270 Ω Alarm-Kabel + bis 200m Alarm - (geschirmt) >3V  Alarm SL SL 270 Ω 5V / 9mA Bei mech. Kontakten ohne Vergoldung: extra Interface notwendig GND Niederohmig, 5V-Technik: schnell Symmetrischer Eingang: störsicher Kabel geschirmt: störsicher Betriebs-Seminar Grömitz 2008

12 Die drei Alarm-Klassen
Direkt-Alarme (z.B. Temperaturen, BPMs, Schnellschluss-Klappen) dumpen den Strahl. Masken-Alarme (z.B. Undulator-Gap) dumpen den Strahl zwar nicht direkt, aber sie maskieren Direkt-Alarme. Timestamp-Alarme (z.B. HF-Glitch, Magnet-Netzgeräte) dienen der Erst-Alarm-Erkennung und haben keinerlei Einfluss auf das Dumpen des Strahles. Betriebs-Seminar Grömitz 2008

13 Masken-, Direkt- und Timestamp-Alarm-Lieferanten
Masken-Alarme: Direkt-Alarme: Timestamp-Alarme: Undulator-Gap (automatisch) Wiggler-Gap (manuell) BPMs Schnellschluss-Klappen Temperaturen Schieber-Ventile Getterpumpen Personen-Interlock*) Undulator-Fehler HW-Dump-Taste SW-Dump-Button Schirm-Monitor Hand-Ventile Wasser-Wächter Magnet-Netzgeräte Long./Transv. Feedback Timing-System HF-Sender *) Funktion des MPS ist für Personen-Sicherheit nicht erforderlich Betriebs-Seminar Grömitz 2008

14 Die Verknüpfungs-Matrix
Konfigurierbare Matrix = „AND“ Dump! OR Jedes Alarm-Eingangs-Modul (MPSA) enthält eine solche Matrix. >= N „Mindestens N Alarme“ (N ist konfigurierbar). Normalerweise ist N=1. N=2 wird z.B. eingestellt wenn erst 2 BPM-Alarme dumpen sollen. Individuelle Strom-Schwellen 16 Alarm-Eingänge Betriebs-Seminar Grömitz 2008

15 Beispiele Verknüpfungs-Matrix
Standard-Matrix Wiggler-Matrix Dump wenn mind. 1 Alarm Dump wenn: Wiggler zu und mind. 1 DDW oder Wiggler zu und mind. 2 BPMs >= 1 >= 2 Wiggler-Gap 16 Alarm-Eingänge Betriebs-Seminar Grömitz 2008 DDWs BPMs

16 Darstellung auf Konsole
Auszug aus Legende: Sedac-Fehler  Service-Fall S LWL- oder Backplane-Fehler  Service-Fall I Alarm liegt statisch an und verhindert Füllen von Petra A Alarm führte zu Dump Dauerhaft maskierter Alarm-Eingang A Unbenutzer Alarm-Eingang A Ein „A“ im Icon bedeutet immer, dass der Kontakt des Alarm-Einganges geöffnet ist. Betriebs-Seminar Grömitz 2008

17 Betriebs-Seminar Grömitz 2008
MPS-Konsol-Darstellung MPSA CN=1, BSA=0 O E1 E2 NO N NW W SW S SO Crate 1 2 3 4 5 6 7 8 9 10 Name mA BSA: 000 000 016 000 016 000 000 000 000 000 000 000 1: A S I WigGap.N 2: A S I DDW.N.ABSX 10 3: A S I DDW.N.ABS12 10 4: S I BPM.NL053 10 5: S I BPM.NL036 10 6: S I BPM.NL030 10 7: S I BPM.NL024 10 8: S I BPM.NL018 10 9: S I BPM.NL012 10 10: S I BPM.NL006 10 11: A S I BPM.NR000 10 Negativ = maskiert 12: A S I BPM.NR007 10 13: S I BPM.NR013 10 14: S I BPM.NR019 10 15: A A A A A A S A A A I A BPM.NR025 -10 Betriebs-Seminar Grömitz 2008 16: A A A A A A S A A A I A 9999

18 Betriebs-Seminar Grömitz 2008
Hilfstext wenn Maus über Alarm-Feld steht MPSA CN=1, BSA=0 O E1 E2 NO N NW W SW S SO Crate 1 2 3 4 5 6 7 8 9 10 Name mA BSA: 000 000 016 000 016 000 000 000 000 000 000 000 1: A S I WigGap.N 2: A S I DDW.N.ABSX 10 3: A S I DDW.N.ABS12 10 Petra-Oktant West: Ein Wasserwächter im Wiggler-Bereich zeigt an, dass dort mindestens einer der Absorber 2-10 nicht von Wasser durchflossen wird. Dies verhindert die Strahlfreigabe, wenn das Wiggler-Gap geschlossen ist. 4: S I BPM.NL053 10 5: A S I BPM.NL036 10 6: S I BPM.NL030 10 7: S I BPM.NL024 10 8: S I BPM.NL018 10 9: S I BPM.NL012 10 10: S I BPM.NL006 10 11: A S I BPM.NR000 10 Negativ = maskiert 12: A S I BPM.NR007 10 13: S I BPM.NR013 10 14: S I BPM.NR019 10 15: A A A A A A S A A A I A BPM.NR025 -10 Betriebs-Seminar Grömitz 2008 16: A A A A A A S A A A I A 9999

19 Erst-Alarm-Erkennung (geplant)
Alle MPS-Module werden per LWL synchronisierte Uhren enthalten. Bei einem Alarm wird eine Timestamp gespeichert. Der erste Alarm kann dann ermittelt werden. Das beantwortet z.B. die Frage, ob die HF infolge eines Strahlverlustes ausgefallen ist oder selbst den Strahlverlust bewirkte. Synchronisierung der MPSA-Module über LWL und Backplane 3.111ms 5.777ms 7.123ms 0.456ms 6.333ms Betriebs-Seminar Grömitz 2008 Alarme kurz vor bzw. nach Strahlverlust

20 Post-Mortem („PM“) -Trigger
Magnet-Netzgeräte BPMs O PM-Trigger Temperaturen Long. Feedback DCCT S PM-Trigger PM-Recorder in Halle O Es gibt in allen Hallen PM-Trigger, dieses Beispiel zeigt jedoch nur die Hallen S und O. Magnet-Netzgeräte BPMs Temperaturen HF Timing Alle Gewerke in allen Hallen erhalten den PM-Trigger zeitgleich! PM-Recorder in Halle S Betriebs-Seminar Grömitz 2008

21 Post-Mortem-Beispiel
Post-Mortem-Schirm Strom-Monitor zeigt Strahlverlust DCCT: Magnetstrom war vor Strahlverlust instabil I_Mag: HF-Ausfall nach Strahlverlust HF: Zeit-Referenz Fehler-Schirm In diesem Beispiel zeigt das Fehler-System zwar einen HF-Ausfall an, in der Post-Mortem-Darstellung sieht man jedoch ein kurzzeitig gestörtes Magnet-Netzgerät, das als Ursache des Strahlverlustes in Frage kommt. Magnete HF Betriebs-Seminar Grömitz 2008

22 Betriebs-Seminar Grömitz 2008
Ausblick System soll ab Betriebs-Beginn (Ende Jan. 2009) den Schutz von Petra gewährleisten  Zeitplan ist realistisch! Geplant ist danach: Erst-Alarm-Erkennung Post-Mortem: Präziser Trigger und bedarfsgerechte Darstellung Systemübergreifender Selbst-Test Betriebs-Seminar Grömitz 2008

23 Betriebs-Seminar Grömitz 2008
Vielen Dank! Fragen? Betriebs-Seminar Grömitz 2008