DE4325860A1 - Verfahren und leittechnisches System zum Steuern, Überwachen und Regeln insbesondere von komplexen industriellen Prozessen, wie z. B. in einem Kernkraftwerk - Google Patents

Description

Die Erfindung bezieht sich auf ein Verfahren zum Steuern, Überwachen und Regeln von Prozessen in industriellen Anlagen, insbesondere von komplexen industriellen Prozessen, wie Betriebsführung in Störfallsituationen bei einem Kernkraftwerk, unter Verwendung von als digitales Rechenprogramm realisierten automatischen Agenten, interagierend mit Sensoren bzw. Stellgliedern, die an den Prozeß ange­ koppelt sind, die Prozeßinformation beschaffen bzw. den Prozeß beeinflussen, wo­ bei hier wie im folgenden unter Tätigkeit die Aktivitäten der automatischen Agen­ ten, auch Automaten genannt, oder der in den Prozeß eingreifenden Operateure verstanden wird und das Fortschreiten der Durchführung von Aktivitäten durch Ak­ tionen markiert wird, gemäß Präambel des Anspruchs 1.

Ein solches Verfahren ist von besonderer Bedeutung für komplexe industrielle Pro­ zesse und zugehörige komplexe Anlagen. Es ist von großem Nutzen zum Beispiel beim Betrieb eines Kernkraftwerkes, insbesondere im Verlauf von Störfallsituatio­ nen, aber z. B. auch bei "Instandhaltungsmaßnahmen" (DIN 31051) in Kernkraft­ werken, wie bei der "Inbetriebnahme", "Wartung", "Instandsetzung" etc.

Gegenstand der Erfindung ist gemäß Präambel des Anspruchs 13 auch ein leittech­ nisches System mit Anzeigeeinrichtung, zum Steuern, Überwachen und Regeln von Prozessen in industriellen Anlagen, insbesondere von komplexen industriellen Pro­ zessen, wie Betriebsführung in Störfallsituationen bei einem Kernkraftwerk, unter Verwendung wenigstens eines digitalen Computers, durch dessen Rechenprogramm sogenannte automatische Agenten, auch Automaten genannt, gebildet werden, wo­ bei hier wie im folgenden Handlungen der Automaten oder der Operateure als Ak­ tivitäten bezeichnet sind und das Fortschreiten der Durchführung von Aktivitäten von Aktionen markiert wird, wobei die Automaten mit Sensoren bzw. Stellgliedern interagieren und die Sensoren bzw. Stellglieder an den Prozeß angekoppelt sind, die Prozeßinformation beschaffen bzw. den Prozeß beeinflussen.

Bekanntlich erfordern Steuerung, Überwachung oder Regelung komplizierter indu­ strieller Anlagen hochkomplizierte Sensor- und Regelungstechnik (automatische Agenten bzw. Automaten), die von hochqualifizierten menschlichen Experten (Operateuren) überwacht wird. Insbesondere bereitet bei solch komplizierten Tätig­ keiten die präzise Vorhersage, wie sich der Zustand der Anlage über die Zeit verän­ dert und wie er auf äußere Eingriffe (Aktivitäten) reagiert, in der Regel enorme Schwierigkeiten. Vor allem also die Verfolgung strategischer, längerfristiger Ziele muß dem Zuständigkeitsbereich von Operateuren zugewiesen werden. Andererseits muß die Anlage weitgehend automatisch gefahren werden, da ein Mensch nicht präzise und schnell genug in komplexe automatische Prozesse eingreifen kann. Außerdem ist die Datenflut bezüglich der Werte von Anlagenparametern bei weitem zu groß, als daß sie ohne automatische Aufbereitung den Operateuren zugeleitet werden kann, die effizient Einblick in den aktuellen Anlagenzustand gewinnen und daraus ggf. Aktivitäten zur geeigneten Beeinflussung des Anlagenzustands ab- und einleiten müssen. Zudem können oder sollen Aktivitäten fast immer nicht direkt, sondern nur vermittels Automaten durchgeführt werden.

Die der vorliegenden Erfindung zugrundeliegende Hauptaufgabe besteht darin, zur Lösung der vorstehend aufgezeigten Problematik ein Verfahren und ein zugehöriges leittechnisches System anzugeben, welche sich beide durch eine enge Integration und Koordination automatischer und menschlicher Maßnahmen auszeichnen. Zu lö­ sende Unteraufgaben bestehen darin, daß möglichst viele Automaten nach der Er­ findung - sowohl Sensoren als auch Stellglieder (z. B. Ventile, Manipulatoren oder andere Aktoren) - die Ergebnisse ihrer Aktivitäten mitteilen, die benötigten Steue­ rungsprogramme u.ä. vom leittechnischen System beziehen und ihre Aktivitäten über dieses System koordinieren sollen. Analog dazu sollen die Operateure die Er­ gebnisse ihrer Aktivitäten (soweit nicht von Sensoren erfaßbar wie z. B. Hypothe­ sen) dem System mitteilen, die benötigten Informationen - Handbuchinformationen - von dort beziehen und ihre Aktivitäten mit denen anderer Operateure und/oder Automaten koordinieren können. Insbesondere sollen die leittechnische Unterstüt­ zung für Operateure, wie z. B. Handbücher mit den relevanten Informationen über den Verlauf der auszuführenden Tätigkeit, nicht auf Papier, sondern auf Computern verfügbar gemacht werden, um sie mit den dort ebenfalls auflaufenden Daten über den aktuellen Anlagenzustand in Beziehung setzen und so die Unterstützung auf die Situation beziehen zu können.

Bisherige Ansätze zur Lösung der aufgezeigten Problematik lassen sich zwei ver­ schiedenen Grundmodellen zuordnen. Das erste Modell, vertreten durch die Doku­ mente D1 = EP-A2-0 280 553 und D2 = EP-A3-0 393 837, verwendet auf umfang­ reichen Simulationen und Berechnungen etc. basierende, vorformulierte Prozeduren zur Unterstützung der Operateure. Unter Prozeduren wird bei (D1) und (D2) eine zeitlich feststehende Abfolge einzelner Aktivitäten in der Form verstanden, daß für jede Aktivität ein Anlagenzustand spezifiziert ist, der bei erfolgreicher Durchfüh­ rung der Aktivität erreicht werden sollte. In der Prozedur ist jeweils sowohl eine Folgeaktivität angegeben, mit der die Prozedur im Erfolgsfalle fortzusetzen ist, als auch eine alternative Folge Aktivität für den Fall, daß der spezifizierte Anlagenzu­ stand nicht erreicht wurde. Die Abarbeitung der Prozeduren wird von den vorge­ schlagenen Systemen dadurch unterstützt, daß die angegebenen Anlagenzustände mit den tatsächlichen verglichen werden und dementsprechend Folgeaktivitäten au­ tomatisch angeboten werden können. Mit dieser Methode ist es relativ gut möglich, den Operateuren die strategischen Aspekte einer Tätigkeit in fertige Prozeduren ge­ gossen zu präsentieren. Das zweite Modell, vertreten durch das Dokument D3 = EP- B1-0 077 080, stellt durch regelartige Assoziationen Verbindungen zwischen Anla­ genzuständen und jeweils als Reaktion darauf geeignete Aktivitäten her. Im konkre­ ten Fall wird bei (D3) über verschiedene Arten von Assoziationen wie z. B. zwi­ schen Ursachen und resultierenden Anlagenzuständen, gegenwärtigen und zukünfti­ gen Anlagenzuständen, Anlagenzuständen und Aktivitäten etc. in einem komplizier­ ten mehrstufigen Ableitungsvorgang automatisch aus einem gegebenen Anlagenzu­ stand auf eine "optimale" Aktivität geschlossen, die den Operateuren zur Durchfüh­ rung präsentiert wird. Mit dieser Methode kann vor allem eine taktische, anlagen­ zustandsbezogene Handlungsweise einer Tätigkeit relativ gut dargestellt werden.

Gerade das, wodurch das erste Modell nach (D1) und (D2) für Autoren der Proze­ duren wie für Operateure so einfach und intuitiv verwendbar wird, nämlich daß ein linearer Ablauf (mit kleinen Seitenästen für Fehlerfälle) entworfen und im prakti­ schen Einsatz einfach Schritt für Schritt abgearbeitet werden kann, bildet die Ursa­ che für das größte Problem bei komplizierten Tätigkeiten: Die vorformulierten Pro­ zeduren bauen auf einer vorherbestimmten Abfolge von Anlagenzuständen auf. Weicht die tatsächliche Abfolge - aus welchen Gründen auch immer - davon ab, kann das System keine Hilfestellung mehr bieten. Die Angabe alternativer Aktivitäten für den Fehlerfall verschiebt das Problem nur um eine Stufe, beseitigt es jedoch nicht. Es fehlt bei diesem Ansatz die taktische Komponente, die vor allem bei unerwarte­ ten Anlagenzuständen bzw. unerwarteten Folgen von Anlagenzuständen Unregel­ mäßigkeiten bei der Abarbeitung der Prozeduren, wie z. B. Sprüngen mitten in eine (oder einer) Prozedur, den Operateuren das Wiederaufsetzen und Fortsetzung der Abarbeitung einer Prozedur an einer geeigneten Stelle ermöglichen würde.

Auf die taktische Komponente verläßt sich wiederum das zweite Modell nach (D3) vollständig. Dadurch kann es zwar auch bei unerwarteten Entwicklungen des Anla­ genzustands gut Hilfestellung leisten, hat jedoch bei der Darstellung strategischer Vorgehensweisen enorme Schwierigkeiten. Es stellt für die Autoren von leittechni­ schen Systemen, denen das letztgenannte Grundmodell zugrundeliegt, ein kaum lös­ bares Problem dar, mit einer Sammlung lokaler, heuristischer Assoziationen einen zielgerichteten, strategischen Globalverlauf der Tätigkeit zu beschreiben. Dies hat seine Ursache vor allem darin, daß Systeme nach dem zweiten Grundmodell aus­ schließlich den gegenwärtigen Anlagenzustand (also nicht die Historie des Anlagen­ verhaltens) und insbesondere nicht den Verlauf der bisherigen Tätigkeit zur Ablei­ tung von Vorschlägen für aktuell einzuleitende Aktivitäten nutzen. Einen integrier­ ten und flexiblen Bezug der Beschreibung der Tätigkeit auf die gesamte "Situation", bestehend aus aktuellem Anlagenzustand (i.e. Anlagenhistorie) und Stand der Durchführung der Tätigkeit (i.e. Aktionshistorie) bietet keines der beiden existie­ renden Grundmodelle.

Es existieren noch weitere, beiden Grundmodellen gemeinsame Schwachstellen: Weder werden die Aktivitäten der Automaten über das System geleitet und koordi­ niert, so daß mögliche und geeignete Überwachungs- und Steuerungsmöglichkeiten gar nicht ausgenutzt werden, noch erhalten die Automaten ihre Steuerungspro­ gramme u.ä. von diesem System, so daß man auf die Möglichkeit direkten Eingriffs in die tatsächliche Durchführung einzelner Aktivitäten durch Automaten verzichtet.

Der Bezug zum Anlagenzustand wird nur an Punkten zwischen einzelnen Aktivitä­ ten hergestellt. Eine Aktivität wird immer als ein geschlossener Block angesehen, der unbedingt ablaufen kann, wenn er einmal erreicht ist. Dieser Ansatz ist für die Beschreibung komplizierter Tätigkeiten zu grobkörnig. Häufig muß gerade während der Durchführung einer Aktivität der Übergang in verschiedene Phasen der Durch­ führung unter Bezugnahme auf die Situation gesteuert werden.

Damit z. T. in direktem Zusammenhang steht ein weiteres Problem, das sich aus der mangelnden Möglichkeit ergibt, die beschriebene Tätigkeit auf verschiedenen De­ taillierungsniveaus zu spezifizieren, d. h. die Durchführung einer Aktivität durch den Verlauf einer Anzahl detaillierterer Aktivitäten zu beschreiben. So ist es für die Operateure nicht möglich, Informationen über den auszuführenden Tätigkeitsverlauf je nach Interesse, Qualifikation, Zeitaufwand etc. auf ihre Bedürfnisse zugeschnitten verschieden detailliert präsentiert zu bekommen.

Ein weiterer Mangel der existierenden Modelle oder ihrer Ansätze liegt in der fixen Zuordnung von Zuständigkeiten für die Durchführung von Aktivitäten zwischen Automaten einerseits und Operateuren andererseits. Eine Übertragung findet immer außerhalb des Systems statt, indem auch nur Aktivitäten, die Automaten zur Durch­ führung übertragen sind, von Operateuren durch sogenannte Handmaßnahmen übersteuert werden können. Daß Operateure innerhalb des Systems Automaten von ihren Aufgaben entbinden oder gar diesen bestimmte Aktivitäten während der Tä­ tigkeit zur Erledigung übertragen können, ermöglichen die bekannten Modelle nicht.

Die eingangs definierte Hauptaufgabe der Erfindung läßt sich nun dahingehend präzisieren, die vorstehend geschilderten Schwierigkeiten bei den Modellen 1 und 2 zu überwinden. Zur Lösung dieser Aufgabe ist das Verfahren nach der Präambel des Anspruchs 1 erfindungsgemäß durch die folgenden Merkmale gekennzeichnet:

• a) in einem Protokoll werden durch Angaben von den Automaten und den Opera­ teuren Informationen gesammelt, wie sich die Werte der Prozeßparameter ent­ wickeln und welche Aktionen von den Automaten und den Operateuren ausgelöst werden, das heißt, es wird sowohl die Historie des Anlageverhaltens als auch die Aktionshistorie im Protokoll festgehalten;
• b) es wird eine Menge von Spezifikationen von Aktivitäten vorgesehen, welche je­ weils eine Ablaufbeschreibung enthalten, in welcher angegeben wird, welche Aktionen in welchen Typen von Situationen bei der Durchführung der betreffen­ den Aktivität ausgelöst werden können;
• c) in einer Vergleichseinheit werden die genannten Typen von Situationen vergli­ chen mit der durch das jeweilige Protokoll gegebenen aktuellen Situation, so daß damit die Typen von Situationen sowohl auf die Anlagenhistorie als auch die Aktionshistorie bezug nehmen können und so festgestellt wird, ob die gegebene Situation einem Situationstyp entspricht, und daraus Aktionsmöglichkeiten abge­ leitet werden;
• d) jede Spezifikation einer Aktivität enthält eine Menge von Verweisen auf Infor­ mationen zur Durchführung der Aktivitäten (Durchführungsinformationen), ge­ richtet an die Automaten bzw. Operateure.

Vorteilhafte Weiterbildungen des Verfahrens nach der Erfindung sind in den Ver­ fahrensansprüchen 2 bis 13 angegeben.

Gegenstand der Erfindung ist, wie bereits erwähnt, auch ein leittechnisches System mit Anzeigeeinrichtung, zum Steuern, Überwachen und Regeln von Prozessen in in­ dustriellen Anlagen, insbesondere von komplexen industriellen Prozessen, wie Be­ triebsführung in Störfallsituationen bei einem Kernkraftwerk, wie in der Präambel des Anspruchs 14 definiert, welchem die gleiche Aufgabe zugrundeliegt wie dem Verfahren nach der Erfindung. Zur Lösung dieser Aufgabe ist das leittechnische System nach der Erfindung durch die folgenden, im Anspruch 14 angegebenen Merkmale gekennzeichnet:

• a) ein erster Datenspeicher eines Protokoll-Moduls ist eingangsseitig zur Datenein­ gabe mit den Automaten und mit einer Eingabeeinheit für Operateure verbunden und ausgangsseitig über eine Datenleitung mit einer Vergleichseinheit, wobei das Protokoll-Modul zur Sammlung von Informationen eingerichtet ist, wie sich die Werte der Prozeßparameter entwickeln und welche Aktionen von den Automaten und Operateuren ausgelöst werden, d. h. zum Protokollieren der Anlagenhistorie und der Aktionshistorie;
• b) in einem zweiten Datenspeicher für Situationstypen, der ausgangsseitig ebenfalls mit der Vergleichseinheit verbunden ist, sind eine Menge von Spezifikationen von Aktivitäten einspeicherbar, wobei die Spezifikationen jeweils eine Ablaufbe­ schreibung enthalten und durch diese Ablaufbeschreibung definierbar ist, welche Aktionen in welchen Typen von Situationen (Situationstypen) bei der Durchfüh­ rung der Aktivität auslösbar sind;
• c) die genannte Vergleichseinheit ist mit Mitteln zum Vergleichen der Situationsty­ pen aus dem zweiten Datenspeicher mit der vom Protokoll-Modul protokollierten aktuellen Situation versehen, so daß die Situationstypen sowohl mit der Anla­ genhistorie als auch mit der Aktionshistorie der aktuellen Situation vergleichbar sind und damit feststellbar ist, ob die aktuelle Situation einem der Situationstypen entspricht sowie daraus Aktionsmöglichkeiten ableitbar sind.

Vorteilhafte Weiterbildungen des leittechnischen Systems nach der Erfindung sind in den Ansprüchen 15 bis 19 angegeben.

Hier wie im folgenden wird unter "Agent" ein Operateur oder ein automatischer Agent bzw. "Automat" verstanden, wenn es auf die Unterscheidung zwischen menschlichem und automatischem Agenten nicht ankommt, d. h. insbesondere für die ausgelöste Aktion gleichgültig ist.

Die mit der Erfindung erzielbaren Vorteile sind vor allem in folgendem zu sehen:

• 1. Man kann in der Beschreibung des Verlaufs einer komplizierten Tätigkeit von Automaten und/oder Operateuren nun den Situationsbezug, bestehend aus einer beliebigen Mischung von prozeduralen (entsprechend Modell 1) und assoziativen (entsprechend Modell 2) Elementen integriert und flexibel herstellen.
• 2. Durch das Verfahren bzw. auch das leittechnische System nach der Erfindung kann der Ablauf der Aktivitäten der Automaten und Operateure protokolliert und koordiniert werden, und es werden für jeden Agenten (Automaten und/oder Ope­ rateur), der eine Aktivität durchführen soll, passende Durchführungsinformatio­ nen (Dokumente, Steuerungsprogramme und ähnliches) in einer für ihn verständ­ lichen Sprache bereitgehalten.
• 3. Der Situationsbezug kann auch während der Durchführung einer Aktivität zur Steuerung der Auslösung einzelner Aktionen hergestellt bzw. aufrechterhalten werden.
• 4. Es wird ermöglicht, den Tätigkeitsverlauf durch wiederholte Detaillierung von Aktivitäten auf verschiedenen Detaillierungsebenen darzustellen und abzuarbei­ ten.
• 5. Es ist eine flexible Zuweisung von Aufgaben zwischen den Operateuren und den Automaten ermöglicht.

Im einzelnen ist zu den Vorteilen noch auf folgendes hinzuweisen: Da das Protokoll der Durchführung von Aktivitäten der Automaten und/oder Operateure, auf dessen Basis der Verlauf der Tätigkeit beschrieben wird, sowohl Beschreibungen bezüglich eines bisherigen Tätigkeitsverlaufs (Aktionshistorie) als auch eine bisherige Ent­ wicklung von Anlagenparametern (Anlagenhistorie) enthält und die Ablaufbeschrei­ bungen darauf insgesamt Bezug nehmen können, wird die Herstellung eines inte­ grierten und flexiblen Situationsbezugs möglich. Die Ablaufbeschreibungen erlau­ ben es, auch während der Durchführung einer Aktivität das Auslösen von zugehöri­ gen Aktionen in bezug auf eine gegenwärtige Situation zu steuern.

Gemäß Anspruch 2 wird das Verfahren nach Anspruch 1 auf vorteilhafte Weise weitergebildet, was das Notieren einer Aktion als Ereignis im Protokoll, die Auslö­ sung entsprechender Aktionen und den Zugriff zu der Hintergrundinformation in Ergänzung zur Durchführungsinformation betrifft. Gemäß Anspruch 12 kann in der Spezifikation einer Aktivität eine komplexere Aktivität und/oder eine Menge von Detailaktivitäten angegeben werden.

Die Informationen für die Operateure über die in einer vorgegebenen aktuellen Si­ tuation von der Vergleichseinheit festgestellten Aktionsmöglichkeiten werden ge­ mäß einer bevorzugten Ausführungsform mit Hilfe von Aktionsdiagrammen darge­ stellt, die den Verlauf einer Tätigkeit grafisch beschreiben. Diesen Aktionsdia­ gramme, die sehr gut auf einem Bildschirm darstellbar sind, liegt die Erkenntnis zu­ grunde, Aktivitäten und Situationen miteinander in Beziehung zu setzen, um so den Tätigkeitsverlauf zu modellieren (Anspruch 3).

In der bevorzugten Anwendung des Verfahrens auf die Prozeßführung eines Kraft­ werks, insbesondere eines Kernkraftwerks, wird gemäß einer Weiterbildung der Er­ findung so vorgegangen, daß

• a) die on-line verfügbaren relevanten Sensordaten über Automaten in das Protokoll eingespeist werden;
• b) die gespeicherten Durchführungs- und ggf. Hintergrundinformationen den Inhalt eines vollwertigen Betriebs-Handbuchs der durch die Spezifikationen der Aktivi­ täten abgesteckten Tätigkeit der Automaten und Operateure abdecken.

In einer Weiterbildung des Gegenstandes des Anspruchs 4, der vorstehend zitiert wurde, ist erfindungsgemäß vorgesehen, daß

• a) eine Menge von Spezifiktionen für Aktivitäten vorgesehen wird, die
  • a1) sowohl Aktivitäten einer sogenannten "ereignis-orientierten" Vorgehensweise repräsentieren, bei der der Tätigkeitsablauf sich durch ein Flußdiagramm wie­ dergeben läßt und sich im wesentlichen auf die Aktionshistorie abstützt,
  • a2) als auch Aktivitäten einer sogenannten "schutzziel-orientierten" Vorgehenswei­ se repräsentieren, bei der der Tätigkeitsablauf sich durch eine Anlagenzustände und jeweils als Reaktion darauf geeignete Aktivitäten verknüpfende Tabelle wiedergeben läßt und sich im wesentlichen auf die Anlagenhistorie abstützt,
• b) die den Spezifikationen der Aktivitäten zugeordneten Ablaufbeschreibungen den "ereignis-orientierten" bzw. "schutzziel-orientierten" Tätigkeitsablauf mo­ dellieren,
• c) und die den Spezifikationen der Aktivitäten zugeordneten Durchführungsinfor­ mationen bzw. damit verknüpfte Hintergrundinformationen, insbesondere den Inhalt sogenannter "ereignis-orientierter" bzw. "schutzziel-orientierter" Kern­ kraftwerks-Betriebshandbücher enthalten und dem Operateur auch off-line zur Informationssuche zugänglich sind.

Es kann auf diese Weise zum einen mit den Prozeduren eines "ereignisorientierten Betriebshandbuches" ein Konzept der informellen Unterrichtung des Operateurs verwirklicht werden. Zielvorstellung dieses Konzeptes ist die Vollständigkeit der In­ formation zur Durchführung von Aktivitäten bzw. Maßnahmen, wenn als Voraus­ setzung eine Störfallsituation eindeutig diagnostiziert werden kann. Wenn die auf­ grund der Informationen des ereignisorientierten Betriebshandbuches getroffenen Aktivitäten zur Erreichung des gesteckten Sicherheitsziels nicht ausreichen und ins­ besondere wenn Verletzungen sogenannter "Schutzziele" auftreten, die einen siche­ ren Zustand des Kernkraftwerks selbst unter Störfallbedingungen definieren oder dadurch schutzziel-orientierte Aktivitäten notwendig werden, dann wird zum ande­ ren auf das Schutzziel-Konzept des Betriebshandbuchs zurückgegriffen, und es werden Aktivitäten ausgelöst oder Maßnahmen getroffen, welche die Einhaltung der gesteckten Schutzziele garantieren. Erst wenn die Einhaltung der Schutzziele garan­ tiert ist, kann wieder auf ereignisorientierte Störfall-"Behandlung" übergegangen werden. Beide Formen der Wissensvermittlung stellen für die komplexen Tätigkei­ ten ein Optimum dar. Ein rechnergestütztes Betriebshandbuch, insbesondere für Kernkraftwerke, wird hier wie im folgenden als Expert-Book bezeichnet. Wird es über den Bildschirm als reines Betriebshandbuch benutzt, so ergeben sich im Ver­ gleich zu den herkömmlichen Betriebshandbüchern auf bedrucktem Papier deutlich verbesserte Zugangsmöglichkeiten (freie Textsuche, Browser etc.) zu Informatio­ nen. Außerdem kann ein solches Expert-Book sowohl durch die eingebundenen Ak­ tionsdiagramme als auch durch formalen Objekten wie z. B. Spezifikationen von Aktivitäten zugeordnete Dokumente eine gezielte Informationssuche unterstützen. Das Expert-Book kann aber auch als Betriebshandbuch im On-line-Betrieb mit der Anlage dienen: Es übernimmt dann die volle Funktion eines On-line-Handbuchs und Überwachungssystems für Stör- und Notfälle. Aufgrund des ständig aktualisier­ ten Wissensstandes insbesondere zu aktuellen Anlagedaten des Expert-Book wird der Operateur auf die Informationen hingewiesen, die er für die Störfallbehandlung in der aktuellen Situation benötigt. Das bedeutet ein Gewinn an Handlungssicherheit und an Übersicht für das Wartenpersonal.

Das Verfahren nach der Erfindung eignet sich in besonderem Maße für flexible Aufgabenzuweisungen, wie sie im Anspruch 5 umschrieben sind, wonach zur Durchführung einer Tätigkeit durch mehrere Automaten und/oder Operateure jeder Automat über eine Datenleitung und jeder der beteiligten Operateure über eine Ar­ beitsstation (Tastatur, Maus, Bildschirm oder Spracheingabe- und -ausgabegeräte) mit den anderen Automaten und/oder Operateuren koordiniert wird, d. h. Angaben über von ihnen ausgelöste Aktionen in das gemeinsame Protokoll eingespeist oder gespeicherte Informationen abgerufen werden, so daß die Operateure und/oder Au­ tomaten gegenseitig über jeweils für sie relevante Aktionsmöglichkeiten in Kenntnis gesetzt werden.

Die Weiterbildungen des leittechnischen Systems nach der Erfindung gemäß An­ spruch 14 betreffen Struktur und Funktion von Datenspeichern, durch die das Sy­ stem auf vorteilhafte Weise ergänzt wird. So enthält ein dritter mit den Automaten und der Eingabeeinheit für die Operateure kommunizierender Datenspeicher eine Menge von Informationen zur Durchführung von Aktivitäten, sogenannte Durchfüh­ rungsinformationen, welche von den Operateuren und Automaten über Verweise anwählbar und auf Sichtgeräten der Anzeigeeinrichtung für die Operateure darstell­ bar bzw. über eine Datenleitung für die Automaten verfügbar sind (Anspruch 15).

Mit dem zweiten Datenspeicher für Situationstypen ist zweckmäßigerweise ein vierter Datenspeicher für situationsabhängig auszuführende Aktivitäten verbunden oder integriert. Weiterhin ist es zweckmäßig, wenn ein fünfter Datenspeicher für er­ ganzende Information vorgesehen ist, der mit dem dritten Datenspeicher für die Durchführungsinformation kommuniziert oder mit diesem integriert ist.

Weiterhin ist es vorteilhaft, daß ein sechster Datenspeicher für Aktionsmöglichkei­ ten über eine Ausgangsleitung der Vergleichseinheit mit dieser verbunden oder inte­ griert ist und daß die für die Operateure und Automaten vorgesehenen Aktionsmög­ lichkeiten auf einem Bildschirm darstellbar bzw. über eine Datenleitung abrufbar sind. Zur Vermittlung einer Übersicht über den Gesamtprozeß (Situation, vorange­ gangene Ereignisse, durchgeführte und durchzuführende Aktivitäten) eignet sich - wie bereits erwähnt - in besonderem Maße ein Aktionsdiagramm nach der Erfin­ dung.

Im folgenden werden die Erfindung sowie weitere an sie geknüpfte Merkmale und Vorteile anhand eines in der Zeichnung dargestellten Ausführungsbeispiels näher erläutert, d. h. es werden sowohl ein leittechnisches System als auch ein zugehöriges Verfahren zum Steuern, Überwachen und Regeln von Prozessen in industriellen Anlagen beschrieben. In der Zeichnung zeigt in zum Teil vereinfachter, schemati­ scher Darstellung:

Fig. 1 in einem Blockdiagramm ein leittechnisches System nach der Erfin­ dung für ein Kernkraftwerk, mit dem das Verfahren verwirklicht wer­ den kann;

Fig. 2 ein Ausschnitt aus einem Flußdiagramm für eine ereignisorientierte Vorgehensweise zur Behandlung eines Störfalls aufgrund empfohlener Handmaßnahmen für die Operateure;

Fig. 3 ein Diagramm in Tabellenform für eine schutzzielorientierte Vorge­ hensweise zur Behandlung eines Störfalls durch empfohlene Hand­ maßnahmen für die Operateure;

Fig. 4 ein Diagramm, das auf dem Bildschirm zur Charakterisierung eines Ereignisses beispielsweise erscheinen kann, welches die einzelnen Elemente des Ereignisses zeigt, wobei aus Mengen solcher Ereignisse ein Protokoll besteht und vorgegebene Bedingungen in Situationstypen von Ablaufbeschreibungen das Protokoll auf das Vorhandensein be­ stimmter Typen von Ereignissen überprüfen;

Fig. 5 ein weiteres Diagramm, welches die Elemente zeigt, aus denen ein Situationstyp beispielsweise aufgebaut sein kann, wobei dieser Situa­ tionstyp vorgegebene Bedingungen mit logischen Operatoren, im vor­ liegenden Fall ein Oder-Operator, verbindet;

Fig. 6 in einem Diagramm Durchführungsphasen, in denen sich Aktivitäten befinden können, und die möglichen Übergänge zwischen diesen Durchführungsphasen (Phasenübergänge);

Fig. 7 in einem weiteren Diagramm den Aufbau der Spezifikation einer Ak­ tivität mit einzelnen Aktivitäts-Elementen;

Fig. 8 ein Schema, wie ein Situationstyp in einzelne, logisch miteinander verknüpfte Bedingungen aufgegliedert wird und wie eine Bedingung mit einer durch das Protokoll vorgegebenen Situation bzw. mit deren einzelnen Ereignissen verglichen und ihre Übereinstimmung mit den durch die Bedingung formulierten Vorgaben überprüft wird, so daß sich die Aussage "wahr" (oder "unwahr") ergibt;

Fig. 9 eine Architektur des leittechnischen Systems nach Fig. 1, bestehend aus informeller und formaler Schicht;

Fig. 10 eine die Architektur nach Fig. 9 in kompakter Form enthaltende Be­ schreibung der zentralen Arbeitsweise des leittechnischen Systems nach Fig. 1, wobei der Zyklus "Ereignis - Protokoll - Vergleich mit Situationstypen - Aktionsmöglichkeit" veranschaulicht ist, und

Fig. 11 ein Ausführungsbeispiel für ein Aktionsdiagramm, das auf dem Bild­ schirm eines Gerätes zur Information der Operateure erscheinen kann.

Im folgenden sei anhand von Fig. 1 zunächst das leittechnische System nach der Erfindung erläutert, welches zum Steuern, Überwachen und Regeln von Prozessen in industriellen Anlagen, insbesondere von komplexen industriellen Prozessen dient. Im dargestellten Fall handelt es sich um die Steuerung und Überwachung sowie Re­ gelung eines Kernkraftwerks, insbesondere nach oder bei einem Störfall, wobei das Kernkraftwerk durch einen Kernreaktor 1, vereinfacht Reaktor genannt, symbolisiert wird. Für das in Fig. 1 schematisch dargestellte leittechnische System LS ist die Verwendung wenigstens eines digitalen Computers charakteristisch, durch dessen Rechenprogramm sogenannte automatische Agenten, auch Automaten 3 genannt, gebildet werden. Der mit den Automaten 3 verknüpfte Dateninhalt ist mit 3′ be­ zeichnet. Auf den Reaktor 1 wirken mittelbar oder unmittelbar außer den Automaten auch die Operateure 2′ ein, wobei 2′ auch die Aktivitäten dieser Operateure (Schalthandlungen oder andere Befehle usw.) einschließt und mit 2 generell Ein/Ausgabeeinheiten, d. h. die Bedienungstastatur oder auch die visuelle Informa­ tion (Datensichtgeräte) für die Operateure bezeichnet sind. Sichtgeräte mit Bild­ schirmen für die Operateure sind deshalb nicht gesondert dargestellt; es versteht sich jedoch, daß diese am Leitstand vorhanden sind. Im folgenden werden die Handlungen 3′ der Automaten 3 und der Operateure 2′ als Aktivitäten bezeichnet, wobei das Fortschreiten der Durchführung von Aktivitäten vom Rechenprogramm des digitalen Computers durch Aktionen markiert wird, worauf später noch näher eingegangen wird. Die Automaten oder "automatischen Agenten" interagieren mit nicht näher dargestellten Sensoren zur Meßwerterfassung bzw. mit Stellgliedern, letztere können z. B. Ventile oder elektrische Schalter sein, Manipulatoren oder an­ dere Aktoren (sie sind zur Vereinfachung ebenfalls nicht dargestellt). Die Sensoren bzw. Stellglieder, also die Automaten oder automatischen Agenten sind an den Pro­ zeß, der durch das leittechnische System LS gesteuert, überwacht und geregelt wer­ den soll, angekoppelt, sie beschaffen Prozeßinformation bzw. beeinflussen den Pro­ zeß.

Im folgenden sei zunächst eine Übersicht über die in Fig. 1 dargestellten Funkti­ onsblöcke und die Datenleitungen gegeben. Es ist symbolisiert durch:
4 ein Datenspeicher für Aktivitäten, 4′ sein Dateninhalt,
5 ein Datenspeicher für Ablaufbeschreibungen, 5′ sein Dateninhalt,
6 ein Protokoll-Modul, 6′ sein Dateninhalt bzw. das jeweils aufgezeichnete Proto­ koll der Ereignisse, d. h. der relevanten Ereignisse, die sich während des Prozesses des Reaktors 1 abspielen,
7 eine Vergleichseinheit, 7′ ihr Dateninhalt,
8 ein Datenspeicher für von der Vergleichseinheit 7 vorgeschlagene Aktionsmög­ lichkeiten, 8′ sein Dateninhalt,
9 ein Datenspeicher für Durchführungs-Informationen, 9′ sein Dateninhalt,
10 ein Datenspeicher für ergänzende Informationen, der mit dem Datenspeicher 9 über eine bidirektionale Signalleitung in Dialogverbindung steht, 10′ sein Datenin­ halt,
11 Signalleitungen, welche die Einwirkung der Operateure 2′ über ihre Eingabeein­ heit 2 und der Automaten 3 auf den Reaktor 1 symbolisieren,
11′ Gestrichelte Doppelpfeile für Aktivitäten von 3 bzw. 2′
12 verknüpfende Signalleitungen zwischen einerseits den Datenspeichern 8, 9 und 10 und andererseits den Automaten 3 bzw. der Ein- und Ausgabeeinheiten 2 für die Operateure 2′, wobei durch die senkrecht stehende, schlanke Ellipse die Datenver­ knüpfung angedeutet ist,
13 Signal- bzw. Datenleitungen zwischen einerseits den Ein- und Ausgabeeinheiten 3 für die Operateure 2′ und den Automaten 3, andererseits dem Protokoll-Modul 6,
13.1 eine Ausgangs-Datenleitung vom Protokoll-Modul 6 zur Vergleichseinheit 7,
14 eine Datenleitung von der Vergleichseinheit 7 zum Datenspeicher 8 für Akti­ onsmöglichkeiten,
15 Dialog- bzw. bidirektionale Datenleitung zwischen den Datenspeichern 9 und 10,
16 eine Datenleitung vom Datenspeicher 4 für Aktivitäten zum Datenspeicher 5 für Ablaufbeschreibungen,
16.1 Datenleitung vom Datenspeicher 5 zur Vergleichseinheit 7.

Es kann nun das Zusammenspiel der vorstehend erwähnten Funktionsblöcke- bzw. -einheiten beschrieben werden: Der erste Datenspeicher eines Protokoll-Moduls 6 ist eingangsseitig zur Dateneingabe mit den Automaten 3 und mit der Ein- und Ausga­ beeinheit 2 für die Operateure 2′ verbunden, und er ist ausgangsseitig über eine Da­ tenleitung 13.1 mit einer Vergleichseinheit 7 verbunden, wobei das Protokoll-Modul 6 zur Sammlung von Informationen eingerichtet ist, wie sich die Werte der Prozeß­ parameter entwickeln und welche Aktionen von den Automaten 3 und Operateuren 3′ ausgelöst werden, d. h. es protokolliert die des Reaktors 1 und die Historie der Aktionen der Automaten und Operateure. In einem zweiten Datenspeicher 5 für Ablaufbeschreibungen, der ausgangsseitig ebenfalls mit der Vergleichseinheit 7 ver­ bunden ist, sind eine Menge von Spezifikationen von Aktivitäten einspeicherbar, wobei die Spezifikationen 5′ (also der Dateninhalt) jeweils eine Ablaufbeschreibung enthalten und durch diese Ablaufbeschreibung definierbar ist, welche Aktionen in welchen Typen von Situationen (Situationstypen) bei der Durchführung der jeweili­ gen Aktivität auslösbar sind.

Die Vergleichseinheit 7 ist mit Mitteln zum Vergleichen der Situationstypen aus dem Datenspeicher 5 mit der vom Protokoll-Modul 6 protokollierten aktuellen Si­ tuation versehen, so daß die Situationstypen sowohl mit der Anlagenhistorie als auch mit der Aktionshistorie der aktuellen Situation vergleichbar sind und damit feststellbar ist, ob die aktuelle Situation einem der Situationstypen entspricht, sowie daraus Aktionsmöglichkeiten ableitbar sind.

Der dritte, mit den Automaten 3 und der Ein/Ausgabeeinheit 2 für die Operateure 2′ kommunizierende Datenspeicher 9 enthält eine Menge von Informationen zur Durchführung von Aktivitäten, sogenannte Durchführungsinformationen, welche von den Operateuren 2′ und Automaten 3 über Verweise anwählbar und auf Sichtge­ räten der (nicht dargestellten) Anzeigeeinrichtung für die Operateure darstellbar bzw. über eine Datenleitung für die Automaten 3 verfügbar sind. Mit dem zweiten Datenspeicher 5 für Ablaufbeschreibungen bzw. Situationstypen ist ein vierter Da­ tenspeicher 4 für situationsabhängig auszuführende Aktivitäten 4′ integriert oder über die Datenleitung 16 verbunden.

Ein fünfter Datenspeicher 10 für ergänzende Information ist mit dem dritten Daten­ speicher 9 für die Durchführungsinformation über die bidirektionale Datenleitung 15′ verbunden oder mit diesem Datenspeicher 9 integriert.

Schließlich ist ein sechster Datenspeicher 8 für Aktionsmöglichkeiten über eine Ausgangsdatenleitung 14 der Vergleichseinheit 7 mit dieser verbunden (oder mit dieser Vergleichseinheit 7 integriert), wobei zweckmäßigerweise die für die Opera­ teure 2′ und Automaten 3 vorgesehenen Aktionsmöglichkeiten auf einem Bildschirm darstellbar bzw. über eine Datenleitung abrufbar sind.

Für das weitere Verständnis der Erfindung sei zunächst auf je ein Beispiel der Wie­ dergabe einer ereignisorientierten Vorgehensweise (Fig. 2) und einer schutzziel­ orientierten Vorgehensweise (Fig. 3) zur Beherrschung von Störfällen in Kern­ kraftwerken eingegangen, wie sie einem internen Stand der Technik entspricht und in dieser Art in sogenannten Betriebshandbüchern enthalten ist. Es werden also ge­ mäß Fig. 2 ereignisorientierte Aktivitäten der Operateure beschrieben, für welche vielfach vorformulierte Prozeduren verwendet werden, die aus Aktivitäten 17, z. B. "Ersatzfilter in der Kondensatreinigungsanlage in Betrieb nehmen" und Abfragen 18 ("Temperaturdifferenz RDB-Deckel/KMT-Ein < 40 K ?") bestehen. "RDB" bedeu­ tet dabei Reaktordruckbehälter, "KMT" bedeutet Kühlmitteltemperatur, "Ein" be­ deutet am Einlaß. In der darauffolgenden Raute ist eine weitere Anfrage "RDB- Füllstand < Min 1 ?" enthalten. Wenn diese Frage verneint wird, führt eine Schleife des Diagrammes zurück zum Hauptpfad, wenn die Frage bejaht wird, führt der Hauptpfad zu einer neuen Aktivität, nämlich "HKMP zuschalten". "HKMP" bedeu­ tet Hauptkühlmittelpumpe. Eine weitere Aktivität ist über einen Querpfeil mit der Abfrage 18 verbunden und über eine Schleife mit dem Hauptpfad zurückverbunden, der Inhalt dieses Aktivitätskästchens spricht für sich selbst.

Für die schutzzielorientierte Vorgehensweise stellen Tabellen, die Typen von Situa­ tionen 19 und in diesen als Reaktionen geeignete Aktivitäten 20 assoziieren (siehe Fig. 3), die bevorzugten Beschreibungsmittel dar. Cr, Ch, Ch-K stellen in Fig. 3 Grenz-Borkonzentrationen dar; im übrigen spricht der Inhalt der Tabelle nach Fig. 3 für sich selbst. Zwischen den Kategorien 19 und 20 besteht im Gegensatz zum Flußdiagramm nach Fig. 2 weniger eine zeitlich-logische Aufeinanderfolge als ei­ ne Unterscheidung aufgrund der verwendeten Beschreibungsmittel. Nach Auftreten eines Störfalls laufen vom Anlagenzustand ausgelöste automatische Aktivitäten an, die dazu dienen, den Reaktor so lange in einem sicheren Zustand zu halten, bis die Operateure mit geeigneten Aktivitäten eingreifen und die Anlage in einen langfristig sicheren Zustand (d. h. unterkritisch, kalt) überführen. Nach einiger Zeit automati­ scher Aktivitäten, die von den Operateuren auf ihr korrektes Funktionieren hin überwacht werden, treten Schritt für Schritt auch die Operateure mit Aktivitäten in Erscheinung. Zu diesem Zweck stehen ihnen zwei Vorgehensweisen, wie bereits erwähnt, zur Verfügung. Die ereignisorientierte Vorgehensweise setzt eine sichere Diagnose der Klasse voraus, der der aufgetretene Störfall zuzuordnen ist. In diesem Fall können vorbereitete Prozeduren von den Operateuren abgearbeitet werden, ent­ sprechend dem Flußdiagramm nach Fig. 2, um die Anlage in einen langfristig si­ cheren Zustand zu überführen. Während der gesamten Zeit, in der Aktivitäten zur Störfallbehandlung stattfinden, müssen die Operateure besonders wichtige Anlagen­ parameter in vorbestimmten Bereichen halten. Kriterien, die diese Bereiche be­ schreiben, sind zu Schutzzielen zusammengefaßt und werden von Sensoren, die nach der Terminologie der vorliegenden Erfindung zu den Automaten oder automa­ tischen Agenten zu rechnen sind, überwacht. Verletzt der Zustand der Anlage eines oder mehrere Schutzziele, müssen Operateure umgehend auf schutzzielorientierte Vorgehensweise umschalten, d. h. anlagenzustandsbezogene Aktivitäten ergreifen, bis die Schutzziele wieder erreicht sind. Die Aktivitäten der Operateure beschränken sich dabei auf die Auslösung bestimmter Aktivitäten, während viele Überwachungs- und Steuerungsaktivitäten parallel von den automatischen Agenten bzw. Automaten durchgeführt werden.

Gemäß der Erfindung ist es möglich, die anhand von Fig. 2 und 3 beschriebene ereignis- und schutzziel-orientierte Vorgehensweise, wie sie dem internen Stand der Technik eines Betriebshandbuches entspricht, zu integrieren, indem die on-line ver­ fügbaren, relevanten Sensordaten über Automaten in das Protokoll 6′ (Fig. 1) ein­ gespeist werden und die gespeicherten Durchführungs- und ggf. Hintergrundinfor­ mationen 9′, 10′ den Inhalt eines vollwertigen Betriebs-Handbuchs der durch die Spezifikationen der Aktivitäten abgesteckten Tätigkeit der Automaten 3 und Opera­ teure 2′ abdecken, d. h. mit dem gesamten leittechnischen System vernetzt sind, so daß mit dem Verfahren nach der Erfindung auch komplexe Anlagen direkt gesteuert, überwacht und geregelt werden können.

Zum Verständnis des Verfahrens nach der Erfindung sei zunächst auf Fig. 4 ver­ wiesen. Gemäß diesem Verfahren wird eine Möglichkeit zur Beschreibung des Verlaufs der Tätigkeit (Aktivitäten der Automaten 3 und Operateure 2′) gebildet. Dafür ist eine Beschreibungssprache für komplexe Tätigkeiten geschaffen worden. Jegliches Wissen über die aktuelle Situation bezieht das System aus dem Protokoll 6, das eine nach Notizzeitpunkten geordnete Liste von Ereignissen Fig. 4 darstellt. Jedes Ereignis besitzt folgende Einträge: Zeitpunkt 21, zu dem das Ereignis im Protokoll notiert wurde; Zeitraum 22, in dem das Ereignis stattgefunden hat; Agent 23, der die Aktion ausgelöst hat und das Ereignis notieren ließ; Aktivität 24, zu der die Aktion gehört; Phase 25, in die die Durchführung der Aktivität getreten ist und den Typ der Aktion wiedergibt; Anlagenparameter 26, zu dem die Aktivität eine Er­ kenntnis gewonnen hat; Zustand des Parameters 27, der durch die Aktion gefunden wurde; Kommentar 28, den der Agent ggf. zur Auslösung der Aktion abgegeben hat.

Fig. 5 zeigt zwei aussagelogisch miteinander verknüpfte Bedingungen 29, 30, das Verknüpfungszeichen bedeutet "oder"; beide Bedingungen beschreiben einen Er­ eignistyp, z. B. "styp 12". Auch jede der beiden Bedingungen 29, 30 beschreibt den Typ eines Ereignisses. Findet sich in der aktuellen Situation ein Ereignis, das die­ sem Typ entspricht, bewertet die Bedingung die entsprechende Situation positiv. Ei­ ne Bedingung 29 bzw. 30 besteht aus zwei Mengen von Prädikaten 31, 31a bzw. 32, 34 über Ereignisse. Ein Prädikat 31 kann z. B. bewerten, ob ein Ereignis eine Aktion zu einer Aktivität aus einer Menge 31′ vorgegebener Aktivitäten notiert, ob bei die­ ser Aktion zu einem aus einer Menge vorgegebener Parameter eine Erkenntnis 31a gewonnen wurde, oder ob der Zeitraum, in dem die Aktion stattgefunden hat, in ei­ nem bestimmten Zeitintervall gelegen hat. Ein solches Zeitintervall, auch Zeitfenster zf genannt, wird in eckige Klammern gesetzt und bedeutet beim Prädikat 32 z. B., daß "RESA" eingetreten sein muß - Intervallanfang - und daß nach "RESA" 600 sec. verstrichen sein müssen. Beim Prädikat 34 bedeutet [30,50] ein Bereich für den Kühlmitteldruck. Mit 33 ist ein Symbol Ω für einen Isolationsschritt bezeichnet, der anhand von Fig. 5 noch erläutert wird, RESA bedeutet Reaktorschnellabschaltung.

Ein Situationstyp nach Fig. 5 verbindet eine Menge von Bedingungen mittels aus­ sagelogischer Verknüpfungen zu einer Formel, die den Typ einer Situation be­ schreibt. Da selbst innerhalb von Bedingungen auf Aktivitäten und gleichzeitig auf Anlagenparameter Bezug genommen werden kann, ist der integrierte und flexible Situationsbezug sichergestellt.

Ein Element des Aufbaus von Aktivitäten - vgl. Fig. 6 und Fig. 7 - sind Ablauf­ beschreibungen 40. Sie bestehen jeweils aus einer Liste von Situationstypen. Jedes Listenelement beschreibt den Typ einer Situation, in der ein Phasenübergang 36 (Fig. 6) in eine neue Durchführungsphase 35 der Aktivität stattfinden kann. Dem Übergang 36 in eine neue Phase entspricht das Auslösen einer Aktion zur Aktivität: Auf diese Weise kann das situationsbedingte Beginnen, Beenden, Abbrechen etc. einer Aktivität beschrieben werden. Eine Aktivität kennt die Durchführungsphasen "Unbearbeitet" 35a, "Angepackt" 35b, "Erkannt" 35c, "Vollendet" 35d, "Abgebrochen" 35e, und "Kompensiert" 35f und kann Phasenübergänge 36 entlang der in Fig. 6 eingezeichneten Pfeile ausführen. Während Aktionen zu allen Phasen Informationen über die Durchführung der Tätigkeit durch entsprechende Ereignisse in das Protokoll 6′ (Fig. 1) einbringen, ergänzt ein "Erkannt"-Ereignis das Proto­ koll zusätzlich um eine Beschreibung des aktuellen Zustands eines Anlagenparame­ ters 39, wie sie durch die Aktivität gewonnen wurden. Zu Aktivitäten gehört wei­ terhin eine Menge von Beschreibungen ihrer Durchführung 41 in unterschiedlichen Sprachen von Agenten. Solche Sprachen können für Operateure z. B. Deutsch, Eng­ lisch etc. und für Automaten formale Sprachen sein, die diese ausführen können, in der Regel also Programmiersprachen. Gibt ein Agent die Sprache an, die er versteht, bekommt er automatisch die ihm jeweils verständlichen Informationen angeboten. Außerdem steht jede Aktivität in der Detaillierungshierarchie der Gesamttätigkeit. Jede Aktivität besitzt eine komplexere Aktivität 37 und eine Menge detaillierterer Aktivitäten 38. An der Spitze der Hierarchie steht die Gesamttätigkeit, an den unte­ ren Enden der Hierachie hängen nicht weiter detaillierte, primitive Aktivitäten.

Anhand von Fig. 8 in Verbindung mit Fig. 5 wird nun erläutert, wie die Ver­ gleichseinheit 7 nach Fig. 1 prinzipiell arbeitet. Das Schema nach Fig. 8 stellt ei­ nen Vergleichsalgorithmus dar. Die aussage-logische Verknüpfung einer Reihe von Bedingungen B1 bis B5, und zwar z. B. positive Bedingungen B1 bis B3 und negati­ ve Bedingungen B4, B5 ergibt einen bestimmten Situationstyp 5.1′, der als Datenin­ halt in dem Datenspeicher 5 (Fig. 1) enthalten ist. L1 sind logische (Und/Oder-) Verknüpfungen zwischen den Bedingungen B1 bis B3, L2 bedeuten logische (Und/Oder-)Verknüpfungen zwischen den Bedingungen B4, B5. d1 bis d5 bedeuten Hinweispfeile für die logischen Verknüpfungen B1 bis B5. P1 symbolisiert einen Identifikationsschritt für die näher betrachtete Bedingung B3, P2 einen Isolations­ schritt und P3 einen Qualifikationsschritt. In der Bedingung B3 ist die Aktivität "SZUE" = Schutzzielüberwachung als ein Mengenprädikat enthalten und die Phase "STOP" als anderes Prädikat einer Menge. Die beiden Prädikate, das eine eine Ak­ tivität betreffend und das andere eine Durchführungsphase, sind mit P1′ und P3′ be­ zeichnet. P1′ stellt also den Identifikationsteil einer Bedingung dar, vergleichbar mit dem Identifikationsteil 32 aus Fig. 5. Durch die Vergleichseinheit 7 werden nun mit dem im Identifikationsteil der Bedingung B3 aufgeführten Prädikat B1′, welches einen Typ von Ereignis definiert, die dem Ereignistyp entsprechende Ereignisse aus dem Protokoll 6′ herausgefiltert, wie es der Pfeil 7.1 symbolisiert. Von diesen iden­ tifizierten Ereignissen E1 (siehe die Hinweispfeile 7.4 und 7.5 für die Schrittdurch­ führung) wird das zeitlich letzte Ereignis isoliert, wie es durch das Ω-Zeichen in der Bedingung B3 und den Pfeil 7.2 veranschaulicht wird. Dies ergibt das identifizierte und isolierte Ereignis E2, welches aus dem Protokoll 6′ herausgesucht wurde, vgl. Pfeil 7.6. Dieses identifizierte und isolierte Ereignis E2 wird mit dem im Qualifika­ tionsteil P3′ der Bedingung B3 aufgeführten Prädikaten in einem Qualifikations­ schritt P3 daraufhin überprüft, ob es dem dadurch definierten Ereignistyp entspricht. Bei Entsprechung wird die Bedingung mit "zutreffend" oder "wahr" markiert, siehe die Aussage A1 über die Entsprechung von Bedingung und Protokoll (ermittelter Situationstyp).

Zusammenfassend ergibt sich also, daß die Vergleichseinheit mit den Prädikaten, die im Identifikationsteil 32 (Fig. 5) oder P1′ (Fig. 8) einer Bedingung 30 bzw. B3 aufgeführt sind, alle Ereignisse E1aus dem Protokoll 6′ herausfiltert, die durch die Prädikate positiv bewertet werden. Anschließend isoliert sie (7.2) aus den her­ ausgefilterten Ereignissen E1 das zuletzt stattgefundene Ereignis E2 und übergibt dieses den Prädikaten P3′ des Qualifikationsteils bzw. -schritts P3 zur Bewertung. Besteht das isolierte Ereignis auch diese Qualifikationsprüfung, ist die durch das Protokoll 6′ gegebene Situation durch die untersuchte Bedingung positiv bewertet (A1). Ergibt die Formel eines Situationstyps 5.1′ nach Auswertung der einzelnen Bedingungen B1 bis B5 und Einsetzen der Ergebnisse insgesamt eine positive Be­ wertung, entspricht die aktuelle Situation der Beschreibung des Situationstyps. Da Situationstypen in Ablaufbeschreibungen 40 von Aktivitäten (Fig. 7) Situationen beschreiben, in denen Aktionen ausgelöst werden, kann bei positiver Bewertung ei­ ner solchen Situationstyps die entsprechende Aktion als potentiell auslösbar mar­ kiert werden.

Fig. 10 zeigt den Zyklus z. B. beginnend beim Auslösen einer Aktion durch Opera­ teure 2′ bzw. Automaten 3 ("Agenten"), das Eintragen dieser Aktion als Ereignis in das Protokoll 6′, das Vergleichen von Situationstypen 5.1′ mit der neu entstandenen Situation 6′ in der Vergleichseinheit 7 und die Ausgabe von Aktionsmöglichkeiten 8′ an die Agenten 2′, 3. Gleiche Teile zu Fig. 1 sind in dieser Fig. 10 auch mit den gleichen Bezugszeichen versehen, es handelt sich um ein leittechnisches Netzwerk LN11 als Teil des Systems LS (Fig. 1). Die Koordination der Agenten 2′, 3 findet aktivitätsbezogen statt. Die Agenten einigen sich darüber, wer welche Aktivitäten ausführen soll, indem sie sich gegenseitig Aufträge geben und diese akzeptieren oder ablehnen. Ein Auftrag enthält eine Menge von Aktivitäten und verpflichtet, wenn er akzeptiert wurde, den beauftragten Agenten zu deren Durchführung. Auto­ matische Agenten 3 sind vorzugsweise so programmiert, daß sie in den seltensten Fällen einen Auftrag ablehnen können (sie könnten nur Aufträge ablehnen, die wi­ dersinnig wären oder eine Gefahr heraufbeschwören würden). Der beauftragte Agent 2′, 3 soll Aktionen zu den übertragenen Aktivitäten auslösen, bis keine Akti­ onsmöglichkeiten mehr bestehen und die Aktivität in eine neutrale Durchführungs­ phase ("Unbearbeitet", "Vollendet", "Kompensiert", "Abgebrochen") übergegangen ist. Durch das Auftraggeber-Auftragnehmer-Verhältnis zwischen den Agenten 2′, 3 wird gleichzeitig eine Kommunikationsverbindung aufgebaut. Aktionen, die der Auftragnehmer zu den Aktivitäten des Auftrags auslöst, werden automatisch an den Auftraggeber gemeldet.

Fig. 10 zeigt außerdem, daß der Inhalt 9′, 10′ der beiden Datenspeicher 9 und 10 (vgl. auch Fig. 1), also das sogenannte Expert-Book, und der Inhalt 8′ des Daten­ speichers 8 für Aktionsmöglichkeiten zu einer Aussage über die nächsten Aktionen, über relevante Dokumente und Querverbindungen (Links) und über adaptierte Do­ kumente kombiniert werden. All diese Aussagen können für die Operateure 2′ und Automaten durch eine sogenannte Sicht auf das für sie Wesentliche beschränkt werden, was durch die dunkle Brille R symbolisiert ist. Eine "Sicht" basiert z. B. auf der Angabe einer Menge von Aktivitäten, die entweder explizit oder implizit, letzteres z. B. über die relevanten Teile der Anlage, an denen die gesuchten Aktivitäten stattfinden sollen, formuliert werden können.

In Fig. 9 ist ein leittechnisches Teilnetzwerk LN12 dargestellt, bestehend aus den hier kombiniert dargestellten Datenspeichern 9 und 10, deren Inhalt die sogenannte informelle Schicht 9′, 10′ des Betriebshandbuchs umfaßt, die aber hier weiter aufge­ fächert ist, und zwar in Abstimmung auf die feinere Auffächerung des Netzwerkteils LN12a, welcher außer dem Datenspeicher 5 für Ablaufbeschreibungen bzw. Situati­ onstypen auch den Datenspeicher 4 für Aktivitäten und weitere zusätzliche Daten­ speicher 4. 1 bis 4.3, welche zusätzlich zum Inhalt "Aktivitäten" bzw. "Aktivität Objekte" des vierten Datenspeichers 4 noch die Spezifikationen für "Teil-Objekte", "Gerät-Objekte" und "Material-Objekte" enthalten. Dabei bedeuten: "Teil-Objekte" formale Spezifikationen von Teilen der Anlage, an denen Aktivitäten stattfinden, "Gerät-Objekte" formale Spezifikationen für die Durchführung von Aktivitäten not­ wendigen Geräten und "Material-Objekte" formale Spezifikationen von während der Durchführung von Aktivitäten zu verbrauchenden Materialien. All diese Spezifika­ tionen, die mit 4′ sowie 4.1′ bis 4.3′ bezeichnet sind, sind über entsprechende, nicht näher bezeichnete Datenleitungen mit dem Datenspeicher 4 bzw. dessen Inhalt 4′ gekoppelt, ferner mit der entsprechend aufgegliederten informellen Schicht 9′, 10′ der Datenspeicher 9, 10 und mit dem Datenspeicher 5 für Situationstypen bzw. Ab­ laufbeschreibungen.

Nachdem nun Aufbau und Struktur von Ablaufbeschreibungen, Protokoll, Ver­ gleichseinheit und Informationen beschrieben ist, kann die Funktionsweise des leit­ technischen Systems LS bzw. das Verfahren nach der Erfindung bzw. zur Beherr­ schung, d. h. Steuerung, Überwachung und Regelung eines Reaktorstörfalls aufge­ zeigt werden. Die Koordination zwischen Operateuren 2′ und Automaten 3 erfolgt meist so, daß erstere Auftraggeber, letztere Auftragnehmer sind. Dazu existiert das System nach Fig. 1, das alle Durchführungs- 9′ und sonstige Ergänzungsinforma­ tionen 10′ (vgl. auch Fig. 9) zur Störfallbehandlung für Automaten wie Operateure sowie eine umfassende Beschreibung 4′, 5′ des Verlaufs der Tätigkeit zur Behand­ lung von Störfällen in Form von Ablaufbeschreibungen 5′ zu Aktivitäten (vgl. auch Fig. 9) bereithält. Die Tätigkeitsbeschreibung enthält mehrere Detaillierungsni­ veaus. Agenten (typischerweise Automaten) 2′, 3 führen als Teil der Tätigkeit stän­ dig Aktivitäten 11′ (gestrichelte Pfeile) durch, die Anlagenparameter daraufhin überwachen, ob ein Störfall eintritt, und tragen Informationen zu den aktuellen Pa­ rameterwerten mit "Erkannt" -Ereignissen in das Protokoll 6′ ein. Die Vergleichsein­ heit 7 untersucht nach jedem Notieren eines Ereignisses im Protokoll, ob nun eine Situation eingetreten ist, die durch irgendwelche Situationstypen 5.1′ (Fig. 8) be­ schrieben ist, und sich dadurch eine Aktionsmöglichkeiten 8′, 14 eröffnen würden (vgl. auch Fig. 10). Sobald ein Störfall eintritt, ändern sich die aktuellen Parame­ terwerte auf charakteristische, durch Situationstypen von Ablaufbeschreibungen be­ schriebene Weise, und die Vergleichseinheit 7 kann den Agenten 2′, 3 erste Akti­ onsmöglichkeiten 8′ zur Störfallbehandlung über Signalleitung 14 nennen. Typi­ scherweise werden zunächst Aktionen zu Aktivitäten ausgelöst, die den Automaten 3 zur schnellen Reaktion von Operateuren 2′ zugewiesen wurden, und als Ereignisse in das Protokoll 6′ eingetragen. Die Steueranweisungen zur Durchführung der Ak­ tivitäten erhalten die Automaten 3 aus den entsprechenden Durchführungsinforma­ tionen 9′. Die Operateure 2′ bekommen automatisch Meldungen über die Aktionen, die bei der Durchführung dieser Aktivitäten von den Automaten 3 ausgelöst werden, und können so den korrekten Verlauf der automatischen Maßnahmen (siehe Fig. 10, "Sicht" R) überwachen. Nach einiger Zeit greifen die Operateure 2′ aktiv in die Regelung des Reaktors 1 ein, um ihn in einen langfristig sicheren Zustand zu über­ führen. Sie übernehmen bestimmte Aktivitäten 4′ in ihre Verantwortung bzw. beauf­ tragen sich gegenseitig entsprechend und lösen auf der Basis angebotener Aktions­ möglichkeiten 8′ Aktionen aus. Sie erhalten Informationen zu ihrer Durchführung automatisch und können sich zusätzlich mit anderen Informationen 10′, die im Da­ tenspeicher 10 gespeichert und mit den Durchführungsinformationen 9′ verknüpft 15 sind, versorgen. Dabei sind sie grundsätzlich nicht gezwungen, ausschließlich Ak­ tionen auszulösen und anschließend als Ereignisse zu notieren, die das System den Agenten 2′, 3 vorschlägt. Sollte es der Anlagenzustand erfordern, kann ein Agent 2′, 3 jederzeit unabhängig von den Vorschlägen des Systems LS agieren. Die Aktionen, die er als Ereignisse dem Protokoll 6′ hinzufügt, verändern die beschriebene Situa­ tion und ermöglichen es dem System, sobald diese einem der Aktivitäten zugeordne­ ten Situationstypen entspricht, erneut situationsbezogene Aktionsmöglichkeiten 8′ vorzuschlagen. Außerdem können Operateure 2′ je nach Qualifikation, Interesse etc. die Tätigkeit unterschiedlich detailliert durchführen, d. h. Aktionen zu Aktivitäten auf verschiedenen Detaillierungsniveaus auslösen. Zudem können sie jederzeit ge­ eignete Automaten 3 mit Routine Aktivitäten wie z. B. Überwachung oder Regelung von Parametern beauftragen. Kompliziertere Aktivitäten könnten z. B. auch Exper­ tensystemen zugewiesen werden. Zu beachten ist, daß der Verlauf der gesamten Tä­ tigkeit zur Störfallbehandlung inklusive automatischer, ereignisorientierter und schutzzielorientierter Aktivitäten im leittechnischen System beschrieben ist (vgl. Fig. 2 und 3). Die Aktivitäten können flexibel den Agenten 2′, 3 zur Durchführung zugeteilt werden, wobei die Operateure 2′ durch Automaten 3 von Teilen der Tätig­ keit entlastet werden können, vgl. Anspruch 13.

Um über die taktische Sicht der in einer Situation möglichen Aktionen hinaus Ope­ rateuren 2′ der strategische Überblick über die Gesamtsituation vermittelt wird, ist ein geeignetes Darstellungsmittel gefunden worden, das den Verlauf der Tätigkeit übersichtlich wiedergeben kann. Dies geschieht durch eine grafische Präsentation mittels Aktionsdiagrammen nach Fig. 8.

Den Kern der Definition von Aktionsdiagrammen bildet die Formulierung von Ak­ tivitäten und Situationstypen. Aktivitäten werden grafisch als Rechtecke 42, 43 prä­ sentiert. Der einbeschriebene Text erläutert das Ziel der Durchführung der Aktivität und gibt bei Bedarf den Anlagenparameter in Kursivschrift an, über den die Aktivi­ tät Erkenntnisse gewinnt. Betritt man das Kästchen über die obere waagrechte Linie, ist das als Beginnen der Aktivität zu deuten. Analog dazu vollendet man die Aktivi­ tät, wenn man das Rechteck über die untere waagrechte Linie verläßt. Verläßt man das Rechteck über eine der senkrechten Linien, setzt ein neuer Handlungsstrang während der Bearbeitung der Aktivität an. Ob dabei die verlassene Aktivität abge­ brochen wird oder unbeeinflußt weiterläuft, muß durch weitere graphische Mittel (s. u.) beschrieben werden. Die hierarchische Detaillierung von Aktivitäten erfolgt einfach dadurch, daß innerhalb eines Aktivitätskästchens 42, welches ein großes Rechteck für eine Komplexaktivität bildet, ein beliebiges Aktionsdiagramm aufge­ baut werden kann. In diesem Fall wird die Kurzbeschreibung 51 des Aktivitätsziels für (42) an den oberen Rand des Kästchens gerückt und grau hinterlegt. Eine zweite Möglichkeit besteht darin, mit einem Sternchen 54 auf die Existenz eines neuen bzw. eigenen Aktionsdiagramms zu verweisen. Als graphisches Symbol für Situati­ onstypen wird ein Rechteck 47 mit doppeltem Rand und abgerundeten Ecken ge­ nutzt. Situationstypkästchen 47 beschreiben Situationen, die eingetreten sein sollten, will man sie zur Fortsetzung des Tätigkeitsverlaufs passieren. In das Situationstyp­ kästchen wird zur Beschreibung der Situation Text eingesetzt. Im Text auftauchende Anlagenparameter werden kursiv gedruckt. Weitere Formalisierungen des Inhalts eines Situationskästchens gibt es nicht. Die Verbindung von Situationen und Aktivi­ täten zur Formulierung der situationsbedingten Auslösung oder Beendung von Ak­ tivitäten entsteht aus der graphischen Verbindung beider Symbole 43, 47. Situati­ onstypen für das Beginnen einer Aktivität werden am oberen Ende, Situationstypen für das Vollenden am unteren Ende eines Aktivitätskästchens 43 integriert.

Das Bestreben, eine Übersicht über die Gestalt des Tätigkeitsverlaufs zu vermitteln, verlangt jedoch mehr als diese Konstrukte. Es müssen Verbindungen zwischen Ak­ tivitäts- und Situationskästchen gezogen werden, um dem Operateur ihre typischen Aufeinanderfolge sichtbar zu machen. Erst dadurch bekommt die Tätigkeitsbe­ schreibung mittels Aktionsdiagrammen ein "Gesicht". Für die Verbindungen werden Pfeile 53 gewählt, d. h. Linien mit einem Pfeilkopf an einem Ende. Der Pfeilkopf zeigt die Richtung des Tätigkeitsverlaufs an. Hat man einen Pfeil erst einmal an sei­ ner Basis betreten, kann man ihn ohne weiteres bis zu seinem Kopf verfolgen. Die Basis des Pfeils kann damit sinnvollerweise an Situationskästchen und am unteren oder seitlichen Rand eines Aktionskästchens ansetzen. Pfeilköpfe deuten auf Situa­ tionskästchen 47 oder auf den oberen Rand von Aktionskästchen 43. Da ständig neue Handlungsstränge hinzukommen oder wegfallen können, benötigen Aktions­ diagramme auch Symbole, Handlungsstränge 50 sozusagen "aus dem Nichts" zu produzieren und 49 "in das Nichts" zu kosumieren. Hierfür dienen Nichts-Stellen 50 bzw. 49, die durch schwarze Halbkreise symbolisiert werden und an denen ohne weiteres neue Handlungsstränge einsetzen bzw. enden können. Ein schwarzer Halb­ kreis 50 mit auslaufendem Pfeil bedeutet, daß man an dieser Stelle jederzeit mit ei­ nem neuen Handlungsstrang einsetzen kann. Ein schwarzer Halbkreis 49 mit einlau­ fendem Pfeil zeigt, daß man an dieser Stelle angekommen, die Bearbeitung dieses Handlungsstrangs einstellt. Die dritte Möglichkeit, Nichts-Stellen zu verwenden, bieten die Seiten von Aktivitätskästchen 43. Verläßt man das Kästchen über eine Nichts-Stelle 48 an der Basis eines Pfeils 53, dauert die Bearbeitung der verlassenen Aktivität fort und ein neuer Handlungsstrang beginnt parallel dazu. Ist dagegen keine Nichts-Stelle vorhanden, muß die Bearbeitung der verlassenen Aktivität abge­ brochen werden.

Zum Umgang mit parallel verlaufenden Handlungssträngen sind weitere Symbole notwendig. Für die Auslösung paralleler Handlungsstränge benötigt man allerdings kein Symbol: Man läßt einfach beliebig viele Pfeile von der gewünschten Stelle (meist an der Unterkante eines Aktivitäts- oder Situationstypkästchens) ausgehen. Für die Beschreibung der Auslösung alternativer Handlungsstränge von einer Stelle nutzen Aktionsdiagramme eine kleine Raute 44. Ein mit einem Pfeil in die obere Spitze einlaufender Handlungsstrang teilt sich in alternative Stränge, indem von den restlichen Spitzen bzw. bei Bedarf von den unteren Kanten Pfeile auslaufen. Analog ist die Konstruktion bei der Zusammenführung von Handlungssträngen. Die einfa­ che Zusammenführung von Handlungssträngen wird dadurch realisiert, daß die ent­ sprechenden Handlungsstränge einfach in der gewünschten Stelle zusammenlaufen (meist an der Oberkante eines Aktivitäts- oder Situationstypkästchens). Trifft ein Handlungsstrang an dieser Stelle ein, kann dort sofort fortgesetzt werden. Die syn­ chronisierte Zusammenführung von Handlungssträngen erhält ein auf der Spitze stehendes gleichschenkliges Dreieck (nicht dargestellt). Der aus der unteren Spitze des Dreiecks austretende Handlungsstrang kann im Sinne einer Und-Bedingung nur betreten werden, wenn alle an der oben liegenden Basis eintretenden Handlungs­ stränge eingetroffen sind. Das Symbol für die Formulierung zeitlicher Aspekte des Tätigkeitsverlaufs komplettiert die Definition von Aktionsdiagrammen: ein analoges Zifferblatt 52. Dieses Symbol erfüllt einen doppelten Zweck. Einmal dient es zur Definition von Zeitpunkten, d. h. wenn man dieses Symbol passiert, ist der dabei ge­ nannte Zeitpunkt eingetreten. Zum anderen erlaubt es, wenn man es mit Situations­ typkästchen assoziiert, Zeitschranken in Handlungssträngen aufzubauen, die man nur zu den genannten Zeiten passieren kann. Zur Definition eines Zeitpunkts setzt man an den rechten Rand des Ziffernblatts ein kleines Rechteck 55 mit abgerunde­ ten Ecken an. In das Rechteck 55 schreibt man den Namen des Zeitpunkts. Zur Be­ schreibung einer Zeitschranke setzt man das Symbol an die Oberkante eines Situati­ onstypkästchens 47.

Es kann vorkommen, daß zum Verlassen einer Aktivität ein Situationstyp eine Rolle spielt, der bereits an der Stelle aufgezeichnet ist, an der der Tätigkeitsverlauf danach fortzusetzen wäre. Um Duplizierung zu vermeiden, kann man "Unter-Vorbehalt- Symbole" oder Statthalter-Symbole 45 für Situationstypen an der unteren Kante (bei Vollenden der Aktivität) oder 45a an der rechten Seite (bei Abbrechen der Aktivität) anbringen. Diese Symbole 45, 45a haben die Wirkung, als wenn die Situationsty­ pen, mit denen sie über einen Pfeil verbunden sind, an ihrer Stelle stünden. Die Ak­ tivität kann man nur über ein "Statthalter-Symbol" verlassen, wenn auch der damit angeknüpfte Situationstyp die aktuelle Situation klassifiziert.

Die Erfindung ist auf das dargestellte Ausführungsbeispiel des Verfahrens und des zugehörigen leittechnischen Systems nach der Erfindung nicht beschränkt, vielmehr ist sie auch mit großem Vorteil anwendbar

• - beim Einsatz von einen komplexen industriellen Prozeß simulierenden digitalen Rechenprogrammen (Simulatoren) und
• - bei der Ausbildung von Wartenpersonal (auch im Off-line-Betrieb).

Claims (19)

1. Verfahren zum Steuern, Überwachen und Regeln von Prozessen in industriellen Anlagen, insbesondere von komplexen industriellen Prozessen, wie Betriebsführung in Störfallsituationen bei einem Kernkraftwerk, unter Verwendung von als digitales Rechenprogramm realisierten automatischen Agenten, interagierend mit Sensoren bzw. Stellgliedern, die an den Prozeß ange­ koppelt sind, die Prozeßinformation beschaffen bzw. den Prozeß beeinflussen, wo­ bei hier wie im folgenden unter Tätigkeit die Aktivitäten der automatischen Agen­ ten, auch Automaten genannt, oder der in den Prozeß eingreifenden Operateure verstanden wird und das Fortschreiten der Durchführung von Aktivitäten durch Ak­ tionen markiert wird, mit den folgenden weiteren Merkmalen:

• a) in einem Protokoll werden durch Angaben von den Automaten und den Opera­ teuren Informationen gesammelt, wie sich die Werte der Prozeßparameter ent­ wickeln und welche Aktionen von den Automaten und den Operateuren ausgelöst werden, das heißt, es wird sowohl die Historie des Anlageverhaltens als auch die Aktionshistorie im Protokoll festgehalten;
• b) es wird eine Menge von Spezifikationen von Aktivitäten vorgesehen, welche je­ weils eine Ablaufbeschreibung enthalten, in welcher angegeben wird, welche Aktionen in welchen Typen von Situationen, auch Situationstypen genannt, bei der Durchführung der betreffenden Aktivität ausgelöst werden können;
• c) in einer Vergleichseinheit werden die genannten Typen von Situationen vergli­ chen mit der durch das jeweilige Protokoll gegebenen aktuellen Situation, so daß damit die Typen von Situationen sowohl auf die Anlagenhistorie als auch die Aktionshistorie bezug nehmen können und so festgestellt wird, ob die gegebene Situation einem Situationstyp entspricht, und daraus Aktionsmöglichkeiten abge­ leitet werden;
• d) jede Spezifikation einer Aktivität enthält eine Menge von Verweisen auf Infor­ mationen zur Durchführung der Aktivitäten (Durchführungsinformationen), ge­ richtet an die Automaten bzw. Operateure.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß

• a) das Protokoll aus Ereignissen, die durch Notieren von Aktionen entstehen, aufge­ baut wird;
• b) durch die in den Ablaufbeschreibungen enthaltenen Situationstypen Mengen von Bedingungen miteinander logisch verknüpft werden, die jeweils auf das Vorhan­ densein eines Typs von Ereignis im Protokoll abheben bzw. einen solchen Typ definieren;
• c) die Vergleichseinheit zu jeder Bedingung eines Situationstyps das Vorhandensein des dadurch beschriebenen Ereignistyps im Protokoll überprüft und unter Ver­ wendung der logischen Verknüpfungen der Bedingungen automatisch Aussagen über die Möglichkeit entsprechender Aktionen in der durch das Protokoll vorge­ gebenen aktuellen Situation trifft; und
• d) an die Durchführungsinformationen ergänzende Hintergrundinformationen so angeknüpft sind, daß die Automaten oder Operateure ausgehend von den Durch­ führungsinformationen die Hintergrundinformationen erreichen.

3. Verfahren nach den Ansprüchen 1 oder 2, dadurch gekennzeichnet, daß Informationen für die Operateure über die in einer vorgegebenen aktuellen Situation von der Vergleichseinheit festgestell­ ten Aktionsmöglichkeiten mit Hilfe von Aktionsdiagrammen, die den Verlauf einer Tätigkeit grafisch beschreiben, dargestellt werden.

4. Verfahren nach einem der Ansprüche 1 bis 3, gekennzeichnet durch seine Verwendung für die Prozeßführung eines Kraftwerks, insbesondere eines Kernkraftwerks, indem

• a) die on-line verfügbaren, relevanten Sensordaten über Automaten in das Protokoll eingespeist werden;
• b) die gespeicherten Durchführungs- und ggf. Hintergrundinformationen den Inhalt eines vollwertigen Betriebs-Handbuchs der durch die Spezifikationen der Aktivi­ täten abgesteckten Tätigkeit der Automaten und Operateure abdecken.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeich­ net, daß zur Durchführung einer Tätigkeit durch mehrere Automaten und/oder Operateure jeder Automat über eine Datenleitung und jeder der beteiligten Opera­ teure über eine Arbeitsstation (Tastatur, Maus, Bildschirm oder Spracheingabe- und ausgabegeräte) mit den anderen Automaten und/oder Operateuren koordiniert wird, d. h. Angaben über von ihnen ausgelöste Aktionen in das gemeinsame Protokoll ein­ gespeist oder gespeicherte Informationen abgerufen werden, so daß die Operateure und/oder Automaten gegenseitig über jeweils für sie relevante Aktionsmöglichkeiten in Kenntnis gesetzt werden.

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeich­ net, daß das Protokoll mit einer nach Notizzeitpunkten geordneten Liste von Er­ eignissen (Fig. 4) aufgebaut wird.

7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, daß jedes Ereignis (Fig. 4) insbesondere mit folgenden Einträgen versehen wird: Zeitpunkt (21), zu dem das Ereignis im Protokoll notiert wurde; Zeitraum (22), in dem das Ereignis stattgefunden hat; Operateur bzw. Automat (2, 3) oder allgemein: Agent (23), der die Aktion ausgelöst hat und das Ereignis notieren ließ; Aktivität (24), zu der die Aktion gehört; Phase (25), in die die Durchführung der Aktivität getreten ist und den Typ der Aktion wiedergibt; Anlagenparameter (26), zu dem die Aktivität ggf. eine Erkenntnis gewonnen hat; Wert des Parameters (27), der durch die Aktion gefunden wurde; ggf. Kommentar (28), den der Operateur oder Automat (2, 3) zur Auslösung der Aktion gegeben hat.

8. Verfahren nach Anspruch 6 oder 7, dadurch gekennzeichnet, daß der jeweilige Situationstyp durch eine Menge aussagelogisch miteinander verknüpf­ ter Bedingungen definiert wird und jede dieser Bedingungen aus zwei Teilen be­ steht, einem Identifikationsteil und einem Qualifikationsteil, wobei jeder Teil eine Menge von Prädikaten enthält, die jeweils einen Typ von Ereignis definieren.

9. Verfahren nach Anspruch 8, dadurch gekennzeichnet, daß durch Vergleichseinheit (7) mit den im Identifikationsteil (32) einer Bedingung aufgeführ­ ten Prädikaten, die einen Typ von Ereignis definieren, die dem Ereignistyp entspre­ chenden Ereignisse aus dem Protokoll herausgefiltert werden, daß von diesen Er­ eignissen das zeitlich letzte isoliert wird und daß das isolierte Ereignis mit den im Qualifikationsteil (34) der Bedingung aufgeführten Prädikaten daraufhin überprüft, ob es dem dadurch definierten Ereignistyp entspricht sowie bei Entsprechung die Bedingung mit 'zutreffend' (wahr) und bei Nichtentsprechung mit 'nicht zutreffend' (falsch) markiert wird.

10. Verfahren nach einem der Ansprüche 1 bis 9, dadurch gekenn­ zeichnet, daß eine Aktivität (Fig. 7) mit den Durchführungsphasen (35) "unbearbeitet", "Angepackt", "Erkannt" sowie "Vollendet" oder "Kompensiert" oder "Abgebrochen" assoziiert wird, wobei die Situationen, in denen die Übergänge zwi­ schen den Phasen Unbearbeitet → Angepackt, Erkannt → Vollendet und Angepackt bzw. Erkannt → Abgebrochen stattfinden können, jeweils durch Situationstypen charakterisiert werden und diese Situationstypen zu einer Ablaufbeschreibung ge­ bündelt der Spezifikation der Aktivität angefügt werden.

11. Verfahren nach Anspruch 10, dadurch gekennzeichnet, daß die Aktionen zu Übergängen zwischen den Durchführungsphasen (35) in das Protokoll eingetragen werden und daß ein "Erkannt"-Ereignis in das Protokoll mit einer Be­ schreibung des aktuellen Zustands des aktuellen Werts des Anlagenparameters (39), wie er durch die Aktivität gewonnen wurde, eingetragen wird.

12. Verfahren nach einem der vorangegangenen Ansprüche 1 bis 11, dadurch gekennzeichnet, daß in der Spezifikation einer Aktivität eine komplexere Aktivität (37) und/oder eine Menge von Detailaktivitäten (38) angegeben werden können.

13. Verfahren nach Anspruch 4, dadurch gekennzeichnet, daß

• a) eine Menge von Spezifikationen für Aktivitäten vorgesehen wird, die
  • a1) sowohl Aktivitäten einer sogenannten "ereignis-orientierten" Vorgehensweise repräsentieren, bei der der Tätigkeitsablauf sich durch ein Flußdiagramm wie­ dergeben läßt und sich im wesentlichen auf die Aktionshistorie abstützt,
  • a2) als auch Aktivitäten einer sogenannten "schutzziel-orientierten" Vorgehenswei­ se repräsentieren, bei der der Tätigkeitsablauf sich durch eine Anlagenzustände und jeweils als Reaktion darauf geeignete Aktivitäten verknüpfende Tabelle wiedergeben läßt und sich im wesentlichen auf die Anlagenhistorie abstützt,
• b) die den Spezifikationen der Aktivitäten zugeordneten Ablaufbeschreibungen den "ereignis-orientierten" bzw. "schutzziel-orientierten" Tätigkeitsablauf mo­ dellieren,
• c) und die den Spezifikationen der Aktivitäten zugeordneten Durchführungsinfor­ mationen bzw. damit verknüpfte Hintergrundinformationen, insbesondere den Inhalt sogenannter "ereignis-orientierter" bzw. "schutzziel-orientierter" Kern­ kraftwerks-Betriebshandbücher enthalten und dem Operateur (2′) auch off-line zur Informationssuche zugänglich sind.

14. Leittechnisches System mit Anzeigeeinrichtung, zum Steuern, Überwachen und Regeln von Prozessen in industriellen Anlagen, insbesondere von komplexen indu­ striellen Prozessen, wie Betriebsführung in Störfallsituationen bei einem Kernkraft­ werk, unter Verwendung wenigstens eines digitalen Computers, durch dessen Re­ chenprogramm sogenannte automatische Agenten, auch Automaten genannt, gebil­ det werden, wobei hier wie im folgenden Handlungen der Automaten oder der Ope­ rateure als Aktivitäten bezeichnet sind und das Fortschreiten der Durchführung von Aktivitäten durch Aktionen markiert wird, wobei die Automaten mit Sensoren bzw. Stellgliedern interagieren und die Sensoren bzw. Stellglieder an den Prozeß ange­ koppelt sind, die Prozeßinformation beschaffen bzw. den Prozeß beeinflussen, mit den folgenden weiteren Merkmalen:

• a) ein erster Datenspeicher eines Protokoll-Moduls (6) ist eingangsseitig zur Daten­ eingabe mit den Automaten (3) und mit einer Ein/Ausgabeeinheit (2) für Opera­ teure verbunden und ausgangsseitig über eine Datenleitung (13.1) mit einer Ver­ gleichseinheit (7), wobei das Protokoll-Modul (6) zur Sammlung von Informatio­ nen eingerichtet ist, wie sich die Werte der Prozeßparameter entwickeln und wel­ che Aktionen von den Automaten und Operateuren ausgelöst werden, d. h. zum Protokollieren der Anlagenhistorie und der Aktionshistorie;
• b) in einem zweiten Datenspeicher (5) für Ablaufbeschreibungen bzw. Situations­ typen, der ausgangsseitig ebenfalls mit der Vergleichseinheit (7) verbunden ist, sind eine Menge von Spezifikationen von Aktivitäten einspeicherbar, wobei die Spezifikationen jeweils eine Ablaufbeschreibung enthalten und durch diese Ab­ laufbeschreibung definierbar ist, welche Aktionen in welchen Typen von Situa­ tionen (Situationstypen) bei der Durchführung der Aktivität auslösbar sind;
• c) die genannte Vergleichseinheit (7) ist mit Mitteln zum Vergleichen der Situa­ tionstypen aus dem zweiten Datenspeicher (5) mit der vom Protokoll-Modul (6) protokollierten aktuellen Situation versehen, so daß die Situationstypen sowohl mit der Anlagenhistorie als auch mit der Aktionshistorie der aktuellen Situation vergleichbar sind und damit feststellbar ist, ob die aktuelle Situation einem der Situationstypen entspricht sowie daraus Aktionsmöglichkeiten ableitbar sind.

15. System nach Anspruch 14, dadurch gekennzeichnet, daß ein dritter, mit den Automaten (3) und der Eingabeeinheit (2) für die Operateure kom­ munizierender Datenspeicher (9) eine Menge von Informationen zur Durchführung von Aktivitäten, sogenannte Durchführungsinformationen, enthält, welche von den Operateuren und Automaten über Verweise anwählbar und auf Sichtgeräten der An­ zeigeeinrichtung für die Operateure darstellbar bzw. über eine Datenleitung für die Automaten verfügbar sind.

16. System nach Anspruch 14 oder 15, dadurch gekennzeichnet, daß mit dem zweiten Datenspeicher (5) für Ablaufbeschreibungen bzw. Situations­ typen ein vierter Datenspeicher (4) für situationsabhängig auszuführende Aktivitäten kommuniziert oder integriert ist.

17. System nach Anspruch 16, dadurch gekennzeichnet, daß der Inhalt "Aktivitäten" des vierten Datenspeichers (4) zusätzlich zu Spezifikationen von "Aktivitäten" auch "Teil-Objekte", "Gerät-Objekte" und "Materialobjekte" ent­ hält, wobei "Teil-Objekte" formale Spezifikationen von Teilen der Anlage, "Gerät- Objekte" formale Spezifikationen von für die Durchführung von Aktivitäten not­ wendigen Geräten und "Material-Objekte" formale Spezifikationen von während der Durchführung von Aktivitäten zu verbrauchenden Materialien darstellen und diese jeweils mit erläuternden Informationen im Datenspeicher (10) gekoppelt sind.

18. System nach den Ansprüchen 16 und 17, dadurch gekennzeich­ net, daß ein fünfter Datenspeicher (10) für ergänzende Information mit dem dritten Datenspeicher (9) für die Durchführungsinformation kommuniziert oder mit diesem integriert ist.

19. System nach einem der Ansprüche 14 bis 18, dadurch gekenn­ zeichnet, daß ein sechster Datenspeicher (8) für Aktionsmöglichkeiten über eine Ausgangsdatenleitung (14) der Vergleichseinheit (7) mit dieser verbunden oder integriert ist und daß die für die Operateure (2′) und Automaten (3) vorgesehenen Aktionsmöglichkeiten auf einem Bildschirm darstellbar bzw. über eine Datenleitung abrufbar sind.