Kontinuerlig självövervakning för tillförlitligt skydd av högspänningsanläggningar

Transkript

1 Kontinuerlig självövervakning för tillförlitligt skydd av högspänningsanläggningar Kontinuerlig tillgång till elektrisk energi betraktas som en självklarhet i de flesta länder. Först vid ett elavbrott inser vi vårt beroende av ett störningsfritt fungerande kraftsystem. En viktig komponent i ett sådant system är högspänningsställverken, vilka övervakas av skyddssystem. De digitala skyddssystemen har utvecklats snabbt och som exempel kan nämnas det nya samlingsskeneskyddet REB 500 som innefattar tiotals eller till och med hundratals distribuerade processorer som alla arbetar i realtid. Tack vare kontinuerlig självövervakning och omedelbar diagnos och inringning av fel erbjuder systemet tillförlitlighetsegenskaper som tidigare svårligen kunnat uppnås. S tällverk ska styra flödet av elektrisk energi mellan kraftverk, överföringssystem och förbrukare. Ställverkens skyddssystem förhindrar att eventuella överströmmar och överspänningar leder till skador. I skyddssystemen ingår högspänningsbrytare som på mycket kort tid (20 till 100 ms) löser ut och begränsar inverkan av ett fel till området i felets omedelbara närhet. Datorernas ständigt ökande prestanda, framstegen inom den optiska dataöverföringen och de snabbt fallande priserna har under senare tid gjort det möjligt att skapa distribuerade system för skydd av högspänningsanläggningar (numeriska skyddssystem). I jämförelse med konventionella skyddssystem erbjuder de numeriska större funktionsutbud, användarvänligare operatörsgränssnitt och större flexibilitet vad gäller konfiguration och utbyggnad. Det nya distribuerade samlingsskeneskyddet REB har redan installerats och driftsatts i flera anläggningar. Det är marknadens första fullständigt numeriska och distribuerade samlingsskeneskyddssystem [1, 2, 3] 2. Skyddets nya arkitektur ger hög flexibilitet och underlättar installation, drift och underhåll. I stället för tjocka kablage av kopparledare räcker det att förbinda de olika enheterna med en enkel fiberoptisk Dr. Bernhard Eschermann Dr. Peter Terwiesch ABB Corporate Research Baden/Schweiz Kornel Scherrer ABB Network Partner AG kabel. Kraftfulla mikroprocessorer realiserar avancerade filteralgoritmer och den traditionella maskinvarubaserade modellen av samlingsskenan ersätts av en programvarurepresentation. Utvecklingen har medfört kraftigt minskade driftkostnader, samtidigt som robustheten, särskilt immuniteten mot elektromagnetisk inverkan har ökats. Ett viktigt krav på numeriska samlingsskeneskydd är att deras tillförlitlighet minst motsvarar den hos sina föregångare. Utebliven utlösning i händelse av en störning kan innebära skador på människor och utrustning. En falsk utlösning kan å andra sidan framför allt om den sker i en högspänningsanläggning mörklägga en hel stadsdel och orsaka problem för såväl hushåll som sjukhus och industrier. För att få hög tillförlitlighet och samtidigt hålla kostnaderna på en rimlig nivå har ABB Network Partner AG tillsammans med ABB Corporate Research i schweiziska Baden-Dättwil tagit fram ett nytt tillförlitlighetskoncept. Det är baserat på en omfattande strategi för hierarkisk självövervakning, feldiagnos och felhantering. Samlingsskeneskyddets funktionssätt En samlingsskena fungerar som elektrisk förbindelse mellan olika högspänningsledningar. Varje ledning är förbunden med samlingsskenan via ett ledningsfack som består av ett antal kopplingsapparater och mätanordningar. Kopplingsapparaterna kan vara antingen effektbrytare eller frånskiljare. Skillnaden mellan effektbrytare och frånskiljare är att de senare inte kan manövreras under belastning. De gör det möjligt att ansluta en ledning till olika samlingsskeneavsnitt eller att fullständigt skilja den från samlingsskenan. Samlingsskeneskyddets huvuduppgift är att skydda samlingskenan och alla till 18 ABB Tidning 2/1996

2 denna anslutna apparater mot skador genom att manövrera rätt effektbrytare då en störning detekteras. Utlösning är emellertid inte önskvärd om störningen i fråga har inträffat utanför samlingsskenan här ska i stället andra skyddsanordningar gripa in. I ett differentialskydd uppnås detta i första hand genom att Kirchhoffs nodekvation för strömflödet i anläggningen kontinuerligt utvärderas. Om summan av alla strömmar i minst en av faserna i ett samlingskeneavsnitt avviker från noll måste det i detta avsnitt föreligga ett fel, t ex ett jordfel. Detta avsnitt isoleras då med effektbrytarnas hjälp, utan att några felfria avsnitt av samlingsskenan påverkas. Skyddet behöver följande indata: Strömmarna i samtliga fack Läge hos samtliga kopplingsapparater (frånskiljare och effektbrytare) Eventuella signaler från andra skydd Utdata är i första hand utlösningssignaler till: Anslutna effektbrytare Eventuella signaler till andra skydd Systemstrukturen hos REB visar en förenklad översikt över maskinvarustrukturen i REB 500. För varje fack finns en fackspecifik maskinvaruenhet, nämligen fackenheten BU (Bay Unit). I fackenheten finns följande komponenter: En strömtransformatorenhet CT för mätning av strömmarna i facket En inmatnings- och förbehandlingsenhet AIP för förbehandling av uppmätta strömvärden Upp till två digitala I/O-enheter BIO som övervakar samtliga frånskiljaroch effektbrytarlägen. Dessa enheter ansvarar även för eventuella utlösningar. Det nya decentraliserade samlingsskeneskyddet REB 500 Centralenheten CU ansvarar för utlösningsbeslutet och består i sin tur av en huvudprocessor CMP och upp till sju slavprocessorer CSP. Fackenheterna är anslutna till centralenheten via seriella fältbussar PB som består av en enkel 1 Det numeriska samlingsskeneskyddet REB 500 tillåter flexibel distribuerad placering av fackenheterna. 2 ABB Tidning 2/

3 BU 3 AIP CT BIO 2 CU PB 0 och billig fiberoptisk ledare för vardera överföringsriktningen. Dessa ersätter de konventionella störningskänsliga kabelstammarna med en mängd kopparledare. Till varje processor (CMP eller CSP) som ingår i centralenheten kan upp till tio fackenheter BU anslutas, var och en via en egen processbuss. Följaktligen kan ett enda REB 500-system skydda ett ställverk med upp till 80 fack. Beroende på den enskilde kundens krav kan fackenheterna placeras i direkt anslutning till respektive fack (distribuerad placering) eller tillsammans med centralenheten (central placering). Central placering lämpar sig framför allt vid modernisering av befintliga ställverk. De CMP CSP 1 CSP n BU AIP CT PB 1 BIO Förenklad översikt över maskinvarustrukturen hos samlingsskeneskyddet REB Primärsystem (ställverk) 2 Fack 3 Samlingsskena AIP BIO Inmatnings- och förbearbetningsenhet In- och utgångsenhet BU CMP CSP CT CU PB Fackenhet Huvudprocessor Slavprocessor Strömtransformatorer Centralenhet Fiberoptisk fältbuss PB n befintliga kablarna kan då i stor utsträckning utnyttjas. REB 500 kräver mindre utrymme än äldre system. Eventuella framtida utbyggnader kan anslutas distribuerat. Utgående från samlingskeneskyddet kan ytterligare funktioner, som brytarreservskydd, överströmsskydd eller ytterligare fack läggas till utan problem. Maskinvarumodulerna för ändamålet placeras helt enkelt i ramverket och en ny konfigurationsfil laddas in. 1 3 Funktionssätt hos REB 500 Den representation av fackströmmarna som ställs till förfogande av strömtransformatorerna förbearbetas i AIP-enheterna 3. Bland annat med hjälp av fourieranalys beräknas grundfrekvensens vektorer. Denna filtrering kompenserar för konsekvenserna av att strömmättransformatorerna mättas och av andra störningar och ger därmed ett viktigt bidrag till den höga tillförlitligheten i utlösningsbesluten [1]. Resultaten av förbearbetningen överförs digitalt till CU och sammanlagras i denna. När CU detekterar en situation som fordrar utlösning skickas utlösningssignal till effektbrytarna i det felbehäftade samlingsskeneavsnittet. Om samtliga BU för ett samlingsskeneavsnitt är anslutna till samma CSP kan i vissa fall en utlösningssituation detekteras redan av CSP. Normalt fattas emellertid beslutet av CMP. För att de fack som påverkas av en störning ska kännas igen måste samtliga brytar- och frånskiljarlägen vara kända. Denna information överförs periodiskt av BIO-enheterna till CU. Genom att samlingsskenan är programvarumässigt representerad kan ändringar i primärprocessen snabbt detekteras, något som ökar skyddets selektivitet. BIO-enheterna ansvarar vidare för att vidarebefordra utlösningssignaler till effektbrytarna och till andra skyddssystem samt för att bearbeta signaler från andra skyddssystem. Samtliga AIP-, BIO-, CMP- och CSPenheter innehåller vardera minst en processor. För att fördelningen av program på de olika processorerna ska vara flexibel har en objektorienterad ansats valts. Nedan kommer vi i princip att skilja mellan två olika typer av objekt, nämligen tillämpningsobjekt som utför en skyddsfunktion och diagnosobjekt som har uppgifter av typ systemstart, självövervakning, felregistrering, utlösningsblockering och frånkoppling. 20 ABB Tidning 2/1996

4 Krav på självövervakningsfunktionen Då det är frågan om skyddssystem för högspänningsanläggningar skiljer sig terminologin något från den som är bruklig inom området feltoleranta system [5]. Begreppet tillförlitlighet har, då det gäller samlingsskeneskydd, två olika aspekter: Pålitlighet: Skyddssystemet (sekundärsystemet) ska så snabbt som möjligt frånskilja samlingsskenan (primärsystemet) då en störning uppträder i denna, i syfte att öka säkerheten i primärsystemet. Säkerhet: Skyddssystemet ska inte frånskilja samlingsskenan i fall då ingen störning föreligger eller då störningsorsaken ligger utanför samlingsskenan och ska behandlas av andra skyddsanordningar. Syftet är att säkerställa primärsystemets tillgänglighet. De olika kombinationerna av skyddssystem och samlingsskenetillstånd framgår av tabell 1. Hos ett samlingsskeneskydd är säkerheten det viktigare kravet, dels eftersom samlingsskenefel är mycket ovanliga och sannolikheten att ett sådant skulle sammanfalla med ett fel i skyddssystemet oerhört liten, dels därför att utebliven funktion (ingen utlösningssignal trots samlingsskenefel) medför utlösning, om än betydligt senare, av andra skyddsfunktioner. Samlingsskeneskyddets uppgift är just att garantera en mycket snabb utlösning *). Sannolikheten för utebliven funktion kan minskas kraftigt genom kontinuerlig kontroll av skyddets funktion, så att eventuella fel upptäcks och åtgärdas omgående. Därför ska en effektbrytare aldrig manövreras utom i fall då detta är nödvändigt på grund av en samlingsskenestör- *) För ett ledningsskydd t ex skulle en något annorlunda argumentering gälla. Tabell 1: Möjliga kombinationer av tillstånd hos samlingsskena och skydd Inget samlingsskenefel ning. En felaktig utlösning av en effektbrytare kan ha följande orsaker: Ett principiellt felaktigt utlösningsbeslut En utlösningssignal har vidarebefordrats till en effektbrytare som inte tillhör det störningsbehäftade samlingsskeneavsnittet Tänkbara felkällor är felaktiga indata (strömmar, frånskiljarlägen och externa utlösningssignaler) som leder till felaktigt beslutsunderlag och därmed till felaktig fördelning av utlösningssignaler. Ekonomiska randvillkor Maskinvaruredudans på denna nivå är ingen lösning på problemet med risk för felaktiga utlösningar, då kostnaderna för skyddssystemet skulle öka kraftigt. Maskinvarans tillförlitlighet måste emellertid vara tillräckligt hög för att generella tillförlitlighetskrav ska kunna uppfyllas. Vid behov måste vissa maskinvaruenheter internt ha redundanta element. Detsamma gäller för givare och ställdon. Ändå kan slumpmässiga fel inte helt uteslutas. De självövervakningsmekanismer som beskrivs nedan garanterar tillräcklig säkerhet mot felaktiga utlösningar även i händelse av fel. Samlingsskenefel Ingen utlösningssignal Normal drift Ingen pålitlighet Utlösningssignal Ingen säkerhet Skyddsutlösning Funktionssätt hos den hierarkiska självövervakningen Självövervakningen är hierarkiskt och objektorienterat organiserad. CMP befinner sig därvid högst upp i hierarkin, medan digitala och analoga I/O-enheter finns i botten. Varje diagnosobjekt kontrollerar fortlöpande den maskinvara som det är kopplat till, liksom alla tilllämpningsobjekt för denna maskinvara och alla diagnosobjekt på lägre nivåer. Ett diagnosobjekt överför information nerifrån och uppåt i hierarkin, likaväl som uppifrån och nedåt. Uppåt: En diagnosstatus vidarebefordras periodiskt till närmast högre nivå i hierarkin. Den är beroende av de händelser som registreras av självövervakningsfunktionen på den aktuella nivån och på diagnosstatus för objekten på närmast lägre nivå. Nedåt: I tveksamma fall kan utlösningen blockeras. Beroende på diagnosstatus kan en utlösningsdeblockeringssignal antingen vidarebefordras till nästa lägre nivå eller inte göra det. Den hierarkiska ansatsen gör det möjligt att begränsa felföljder till det delsystem som berörs av felet och låta systemet i övrigt förbli funktionsdugligt. Vidare begränsas komplexiteten hos de enskilda diagnosobjekten. Inom dessa ramar kan olika mekanismer integreras i syfte att förhindra felaktiga utlösningar: Maskinvaruenheter som mikroprocessorer, A/D-omvandlare osv kontrolleras med hjälp av periodiska test. Därigenom kan kvarstående fel upptäckas innan de leder till faktisk utlösning. Omfattande test i samband med start ABB Tidning 2/

5 av system gör det möjligt att upptäcka fel som är svåra eller omöjliga att avslöja under drift. Tillämpningsobjekt kan valideras kontinuerligt via tvåkanalig bearbetning och tvärjämförelse. Möjlighet finns att standarddifferensströmmätning med strömstabilisering läggs till en strömriktningsjämförare. I detta fall genereras utlösning endast i sådana fall då de båda bearbetningskanalerna överensstämmer. Denna kontinuerliga självövervakning under drift ger ett extra skydd mot felutlösningar på grund av transienta fel, programvarufel och fel som (ännu) inte upptäckts via de periodiska testen. När en skyddsintern störning detekteras som är av betydelse för samlingsskeneskyddets funktion blockeras skyddssystemet omedelbart och operatören får meddelande om att reparation behövs. Utlösningsblockering Säkerheten hos ett samlingsskeneskydd är bland annat beroende av en säker mekanism för blockering av utlösningssignaler. I händelse av totalt bortfall av en enhet räcker signalerna i vissa fall inte till för att aktivt utlösa en blockering. Mekanismen bygger därför på en aktiv deblockering, dvs utlösning är normalt blockerad och deblockeras endast om motsvarande BIO uppfångar en aktiv deblockeringssignal. Skillnaden mellan aktiv blockering och aktiv deblockering åskådliggörs av tabell 2. Normalt genererar CPM-diagnosen periodiskt en deblockeringssignal på den översta nivån. Ett diagnosobjekt på godtycklig nivå vidarebefordrar deblockeringssignalen endast under förutsättning att den egna diagnosstatusen visar felfri drift. När deblockeringssignalen kommer fram till en BIO-enhet nollställs en timer så att blockering förhindras. Det övervakade tidsintervallet måste vara så stort att tidsövervakningen under normal drift (när deblockeringssignaler anländer periodiskt) inte löser ut och utlösning alltså aldrig blockeras. Alltid då ett test- eller jämförelseresultat föreligger, t ex från ett test i samband med systemstart, ett periodiskt test som utförts av de permanenta ömsesidiga övervakningsfunktionerna för två kanaler eller en avfrågning av diagnosstatus från en lägre hierarkisk nivå, måste dessa resultat klassificeras med avseende på sin inverkan på funktionaliteten på den nivå för vilken ett diagnosobjekt ansvarar: Ett mindre allvarligt fel registreras direkt. Ett allvarligt fel måste däremot vidarebefordras till närmast högre nivå och dessutom får deblockeringssignaler inte längre distribueras till lägre berörda nivåer. På detta sätt blockeras successivt det aktuella avsnittet av samlingsskenan. Ett fel som gäller hela skyddssystemet vidarebefordras steg för steg till systemets högsta Tabelle 2: Skillnad mellan aktiv blockering och aktiv deblockering Blockering är Blockering Deblockering ej beordrad ej störd ej blockerad ej blockerad ej beordrad störd ej blockerad blockerad 1) beordrad ej störd blockerad blockerad beordrad störd ej blockerad 2) blockerad 1) Minskad pålitlighet 2) Minskad säkerhet nivå. Om felet även på denna nivå skulle klassificeras som allvarligt (i relation till nivån) blir följden att hela skyddssystemet blockeras eftersom inga deblockeringssignaler då längre ges ens från den högsta hierarkiska nivån. En CSP kan vara ansvarig för flera skyddszoner. Det är emellertid även möjligt att låta flera CSP ansvara för samma skyddszon. När självövervakningsfunktionen upptäcker ett fel som endast har inverkan på en skyddszon ska utlösning blockeras endast för den skyddszonen. Därför är det bara deblockeringssignalerna för den zonen som uteblir (selektiv deblockering). Skulle emellertid omstart av CSP vara nödvändig måste alla skyddszoner blockeras som är anslutna till den processorn. Genomförande av självövervakningen Diagnosobjektet för en maskinvaruenhet bestämmer tillståndet för enheten i enlighet med ett flödesschema 4. Diagnosobjektet ansvarar för start, initiering, stopp och omstart av en enhet. Diagnosobjektet för CMP bestämmer systemtillståndet för hela samlingskeneskyddet. När systemet startas befinner sig samtliga diagnosobjekt i tillståndet initiering. Därefter testas alla maskinvaruenheter (kallstart), tillämpningsobjekten startas och korrekt start av närmast lägre systemnivå kontrolleras. I händelse av allvarliga fel blockeras skyddssystemet och de berörda delsystemen och en automatisk omstart inleds för att systemet inte onödigtvis ska försättas ur drift på grund av transienta fel. Vid en sådan omstart måste alla kallstarttest upprepas. Om problemet inte försvinner efter ett förinställt maximalt antal omstarter försätts systemet eller det aktuella delsystemet i tillståndet slutgiltig blockering. 22 ABB Tidning 2/1996

6 Framgångsrik start av systemet garanterar att samtliga test på lägre nivåer har genomförts utan anmärkningar, att samtliga systemparametrar har validerats och kontrollerats med avseende på konsekvens och att alla tillämpningsobjekt kunde startas på normalt sätt. I detta fall inträder systemet i normalt drifttillstånd ( system i drift ). Om någon av övervakningsmekanismerna skulle avslöja ett fel under pågående drift liknar reaktionen den vid systemstart, men i detta fall genomförs ett reducerat antal varmstarttest i stället för ett kallstarttest. Ett allvarligt fel som upptäckts av ett diagnosobjekt är inte alltid att återföra till den enhet som diagnosobjektet hör till. I stället kan det vara frågan om ett fel på en lägre hierarkisk nivå inom systemet. I ett sådant fall behöver bara objekten på de lägre nivåerna startas om, medan diagnosen på den högre nivån förblir i tillståndet allvarligt fel *), till dess att en signal anländer från den nystartade lägre nivån som säger att omstarten har genomförts framgångsrikt. Den därmed återställda funktionaliteten registreras och diagnosobjektet för den aktuella nivån återställs till normalt tillstånd. Inverkan på systemets tillförlitlighet Generellt gäller att konstruktionen av ett tvåkanaligt system antingen måste inriktas på hög pålitlighet eller på hög säkerhet. I det presenterade konceptet behöver dock inte detta val göras. Genom den kontinuerliga självövervakningen indikeras eventuella reparationsbehov omgående. Genom snabba reparationer minimeras risken för samtidigt fel hos primär- och sekundärsystemet. Eftersom manuell kontroll och reparation *) I detta fall arbetar samtliga skyddsalgoritmer vidare, trots tillståndet allvarligt fel, under förutsättning att utlösningen är blockerad. Initiering (utgångstillstånd) Uppstarttest Start av tillämpningsobjekt Test av tillämpningsobjekt System i drift (normal drift) Återstart av lägre nivåer Omstart krävs endast i fall då ett fel faktiskt inträffat sänks samtidigt underhållskostnaderna. En viktig del av tillförlitlighetskonceptet är det periodiska testet av vissa maskinvarukomponenter. Tidsintervallet för dessa test är så kort att eventuella fel upptäcks innan de leder till ett osäkert systemtillstånd. Det korta tidsintervallet sörjer även för att inget sekundärfel kan uppträda innan det första har upptäckts. Även om det teoretiskt är tänkbart med en situation av två eller flera samtidiga fel som medför osäkert systemtillstånd kan sannolikheten för en sådan situation göras godtyckligt liten genom att testintervallen väljs tillräckligt korta. Med hjälp av en Markow-modell för system med självövervakning och på basis av normala uppskattade felfrekvenser som hämtas ur [4] kommer vi fram till teoretiskt medeltid till felutlösning (MTTO Mean Time To Over- Allvarligt fel Max antal omstarter har överskridits Slutgiltig blockering Flödesschemat som tillämpas på varje enskild nivå i hierarkin tillåter distribuerad och hierarkiskt koordinerad självövervakning. function) på flera tusen år, respektive en medeltid till utebliven funktion (MTTU Mean Time To Underfunction) på flera hundra år [6]. I 5 jämförs dessa resultat med de felfrekvenser som skulle erhållas för konventionella övervakningsmekanismer med antagande av samma felfrekvenser. Ett konventionellt utlösningstest vartannat år kan endast i begränsad mån förhindra felutlösningar och uteblivna utlösningar, även om vi antar att underhållspersonalen inte begår några fel. Mer frekventa test minskar sannolikheten för att ej upptäckta fel ska medföra felaktig utlösning. Samtidigt innebär detta att ställverket oftare måste stängas av, något som minskar dess tillgänglighet. Kontinuerliga maskinvarutest med hjälp av (dyr) redundant maskinvara ökar MTTO mycket kraftigt, men påverkar MTTU endast i obetydlig grad eftersom skyddets tillgänglighet minskas på 4 ABB Tidning 2/

7 [5] Laprie, J.-C.: Dependable Compu- 500 a ting and Fault Tolerance: Concepts and Terminology. Dig. Papers 15th Int. Symp. on Fault-Tolerant Computing, p. 2 11, [6] Eschermann, B.; Terwiesch, P.; Scherrer, K.: Dependable High-Voltage 3 Substation Protection. Proc. 5th IFIP 200 MTTU Conf. Dependable Computing for Critical Applications (DCCA-5), p , MTTO 500 a 5000 Genom att den permanenta självövervakningen har realiserats programvarumässigt kan såväl säkerheten som pålitligheten ökas. MTTO MTTU Medeltid till felfunktion Medeltid till utebliven funktion 1 Test med 2 års intervall 2 Veckovis test 3 Periodiska test (maskinvarubaserad självövervakning) 4 Periodiska test och programvarubaserad självövervakning 5 Författarnas adresser Dr. Bernhard Eschermann Dr. Peter Terwiesch ABB Management AG Forschungszentrum Postfach CH-5405 Baden-Dättwil/Schweiz Telefax: +41 (0) Kornel Scherrer ABB Network Partner AG Postfach CH-5401 Baden/Schweiz Telefax: +41 (0) grund av fel i de tillkommande maskinvarukomponenterna. Det koncept med programvarubaserad självövervakning som här presenterats kan höja såväl MTTO som MTTU. Det är därför ett idealiskt koncept för att nå en högre skyddskvalitet till en acceptabel kostnad. Utvecklingsprocessen för programvaran måste emellertid ha nått en hög mognadsgrad och styras av strikt kvalitetskontroll med omfattande test. ABB kan här stödja sig på mångårig erfarenhet från konstruktion av avancerade programvarubaserade styrsystem. Referenser [1] Peck,D.; Nygaard, B.; Wadelius, K.: A New Numerical Busbar Protection System with Bay-Oriented Structure. Proc. Developments in Power Systems and Protection, [2] Ungrad, H.: Mettlen Turntable for Electrical Energy in Switzerland and its New Protection. ABB TNP Abstract, no. 3, p. 9, [3] Ungrad, H.: Berlin UW Mitte Another Main Switching Station with our New Numerical Busbar Protection REB 500; ABB TNP Abstract, no. 1, p. 10, [4] CIGRE Study Committee No. 34 (Protection): Use of Equipment Built-In Automatic Testing, Self-Checking and Monitoring with a View to Improving Reliability; ABB Tidning 2/1996