(57)【特許請求の範囲】
【請求項１】
原子炉安全性関連アプリケーションのためのデジタルマイクロプロセッサ利用システム（１０）において、
メモリ（２６、２８、３０）と、ハードウェアと、回路と、ソフトウェアプログラム（３８）とを有するマイクロプロセッサ（３４）を具備し、
前記ソフトウェアプログラムは、
原子炉へのホウ酸水の注入の制御を実行するためのホウ酸水注入制御論理（３６）を前記ハードウェアに適用して実施して、ホウ酸水注入制御に関する第１の試験を実施し、且つ、
同一のホウ酸水注入制御論理（３６）をソフトウェアとして実行して、ホウ酸水注入制御に関する第２の試験を実施し、
前記２つの試験は同一の入力のセット（５２）によって実行され、
前記ソフトウェアプログラムは、前記ハードウェアとしての実行から生成される第１の試験の結果と、前記ソフトウェアとしての実行から生成される第２の試験の結果との比較を更に実行し、
比較された結果が一致するとき、前記ソフトウェアプログラムは、一致する結果と関連するアクション（４０）を更に実行し、
前記アクション（４０）は、前記原子炉がオンライン又はオフラインのときにバルブを操作する外部機器を作動することを含み、
比較された結果が一致しないときには、前記ソフトウェアプログラムは、比較された結果が一致しないことを操作者（６６）に更に報告し、その後、前記ソフトウェアプログラムは、前記マイクロプロセッサ利用システムを非作動（ＩＮＯＰ）モード（３１６）に設定するように更に実行する
システム。
【請求項２】
前記ソフトウェアを格納するＥＰＲＯＭメモリ（２６）と、少なくとも１つのマイクロプロセッサ（３４）と、ＲＡＭメモリ（２８）と、不揮発性ＲＡＭ（ＮＶＲＡＭ）メモリ（３０）と、ハードウェアとして実現される少なくとも１つのプログラマブル論理装置（ＰＬＤ）（２４）とを有するマイクロプロセッサカード（１６）を更に具備する請求項１記載のシステム。
【請求項３】
前記ソフトウェアプログラム（３８）は、前記システムのハードウェア及びソフトウェアにおける障害を検出するためのソフトウェア自己試験（７０）を更に含み、前記ソフトウェアプログラムは、前記システムハードウェアと関連して、前記自己試験の実行中に、前記システムの外部にある機器（４２、４４、４６、４８、５０、５４、５６、５８、６０）の動作を阻止するように、前記機器と関連するコンタクト（１８）及びリレー（１４）を隔離する能力を更に提供する請求項１記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、原子炉の安全システムに関し、特に、ホウ酸水注入制御（ＳＬＣ）のシステム及び方法に関する。
【背景技術】
【０００２】
原子炉のＳＬＣシステムは、原子炉システムからの指令を受信したとき、又は原子炉の操作者からの指令を受信したときに、原子炉容器内へ液体、例えば、ホウ酸水を注入する。その注入プロセスは、制御棒を移動させずに、原子炉をフルパワー運転から臨界未満状態へ移行させるのに十分である。
【０００３】
原子炉システム（本明細書においては、nuclear reactorとreactorは同義で使用される）が正しく動作していることを確認するためには、原子炉の定期的な監視を実行することが必要である。しかし、アナログＳＬＣシステム（本明細書においては、ＳＬＣシステム、ＳＬＣ計器、ＳＬＣ論理プロセッサ及びＳＬＣは同義で使用される）の監視手順は、システムを試験し、ＳＬＣ機器のオペラビリティに関するレポートを得るために、原子炉の操作者が、手動操作によりＳＬＣシステムを作動することを必要とする。アナログＳＬＣの手動監視機能を自動化することは、容易には実現されない。
【０００４】
アナログＳＬＣシステムは、原子炉の安全性に関連する非常に重要な機能を提供するが、ＳＬＣシステムの改善を実現するために、更になすべきことがあると考えられる。
【特許文献１】特開平０２−１８９４９７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
原子炉安全性関連アプリケーションのための方法及びシステムが提供される。方法は、同一の特定アプリケーション向け論理を２つの形態で実行することを含む。それら２つの形態のうちの一方の形態は、ハードウェア論理として実現され、２つの形態のうちの他方の形態は、マイクロプロセッサ利用制御ソフトウェアにより実行されるべきソフトウェア命令として実現される。特定アプリケーション向け論理の各々の形態は、同一の入力のセットによって実行される。方法は、ハードウェアとして実現される形態の実行から生成された結果と、ソフトウェアとして実現される形態の実行から生成された結果とを比較する。比較された結果が一致する場合、制御ソフトウェアは、マイクロプロセッサ利用ソフトウェアを実行することにより、一致した結果と関連するアクションを実行する。比較された結果が一致しない場合には、制御ソフトウェアは、マイクロプロセッサ利用ソフトウェアを実行することにより、比較された結果が一致しないことを操作者に報告する。その後、制御ソフトウェアは、マイクロプロセッサ利用ソフトウェアシステムを非作動（ＩＮＯＰ）モードに設定する。
【０００６】
原子炉安全性関連アプリケーションのためのデジタルマイクロプロセッサ利用システムが提供される。システムには、メモリと、ハードウェアと、回路と、同一の特定アプリケーション向け論理を２つの形態で実行し、それら２つの形態を同一の入力のセットによって実行させるソフトウェアプログラミングとを有するマイクロプロセッサが含まれる。同一の特定アプリケーション向け論理は、一方の形態においては、例えば、プログラマブル論理装置（ＰＬＤ）の中で、ハードウェア論理として実現される。特定アプリケーション向け論理の２つの形態のうちの他方の形態は、マイクロプロセッサにより実行されるべきソフトウェア命令として、例えば、マイクロプロセッサ利用システムのＥＰＲＯＭメモリの中に格納されたソフトウェア命令のセットとして実現される。ソフトウェアプログラミングは、ハードウェア論理として実現される特定アプリケーション向け論理の一方の形態の実行から生成された結果と、ソフトウェア命令として実現される特定アプリケーション向け論理の他方の形態の実行から生成された結果との比較を更に実行する。比較された結果が一致する場合、ソフトウェアプログラミングは、一致した結果と関連するアクションを実行する。比較された結果が一致しない場合には、ソフトウェアプログラミングは、比較された結果が一致しないことを操作者に報告する。その後、ソフトウェアプログラミングは、マイクロプロセッサ利用システムを非作動（ＩＮＯＰ）モードに設定するように実行する。
【発明を実施するための最良の形態】
【０００７】
本発明の一実施形態においては、デジタルマイクロプロセッサ利用ＳＬＣ論理プロセッサは、スクラム不能過渡変動（Anticipated Transient Without SCRAM、ＡＴＷＳ）論理ユニットからの指令を受信したとき、又は操作者からの指令（例えば、キースイッチの操作による指令）を受信したときに、原子炉にホウ酸水を注入する。例えば、ＳＬＣは、４つのＡＴＷＳ論理ユニットのうちの少なくとも２つのユニットからの指令を受信したときに、注入プロセスを開始する。
【０００８】
図１は、デジタルマイクロプロセッサ利用ＳＬＣ論理ユニット１０の一実施形態を例示するブロック線図である。ＳＬＣ論理ユニット１０は、ＳＬＣ論理カード１６と、ＳＬＣ論理カード１６に接続された少なくとも１つのコンタクト入力カード１８（図１には２つのカードが示される）と、ＳＬＣ論理カード１６に接続された少なくとも１つのリレーカード１４（図１には２つのカードが示される）と、ＳＬＣ論理カード１６に接続された少なくとも１つの光カード２０（図１には２つのカードが示される）と、ＳＬＣ論理カード１６に接続されたフロントパネル表示器１２とを含む。
【０００９】
ＳＬＣ論理カード１６は、ＳＬＣ計器及び関連する周辺カードに対して、論理処理機能及び通信機能を実行する。ＳＬＣ論理カード１６は、主制御室（ＭＣＲ）及びＭＣＲパネル（ＭＣＲＰ）（図１には示されない）を介して操作者と通信する。更に、ＳＬＣ論理カード１６は、外部システム（図１には示されない）とも通信する。ＳＬＣ論理カード１６は、次のような機能性を含む。ＳＬＣ論理カード１６は、マイクロプロセッサ３４を含む。マイクロプロセッサ３４は、ＳＬＣアプリケーション論理を実行するマイクロプロセッサオペレーティングシステムを実行する。一実施形態において、ＳＬＣカード１６は、結合プログラマブル論理装置（結合ＰＬＤ又は単にＣＰＬＤ。ＰＬＤ及びＣＰＬＤは、本明細書においては、互換性をもって使用される）を含む。例えば、制御、復号及びアプリケーションのための制御ＣＰＬＤ２２と、ＳＬＣ注入論理に対するＣＰＬＤ２４が設けられる。一実施形態においては、ＳＬＣ論理カード１６は、不揮発性プログラム格納のためのＥＰＲＯＭメモリ２６と、必要なメモリの読み取り／書き込みを実行するためのＲＡＭメモリ２８と、給電の停止時に消去されないアプリケーションパラメータを格納するための不揮発性ＲＡＭ３０（ＮＶＲＡＭ３０）とを含む。消去されないＮＶＲＡＭパラメータは、自己試験のエラーコード及びカウント、コールドブートカウンタ、ウォームブートカウンタ、ウォッチドッグタイマ及び電力供給電圧／電流設定（使用される場合）を含んでもよい。ＥＰＲＯＭメモリ２６及びＣＰＬＤ２４は、同一の特定アプリケーション向け論理、すなわち、ＳＬＣ注入論理３６を更に含む。各々のＣＰＬＤ２２及び２４は、状態／結果レジスタ３２を含む。ＳＬＣ論理カード１６は、アナログトリップモジュール（ＡＴＭ）及びタンクレベルセンサからの入力を受信し、それらのセンサが正しく動作していることを確認するために、論理処理を実行する。ＳＬＣ論理カード１６は、それらの入力を使用して、ホウ酸水の低レベル指示に対して、注入プロセスを中止する。ＡＴＭタンクレベルセンサの自動試験及び検出は、プラントがオンライン又はオフラインの状態である間に、ＳＬＣ計器が外部機器の監視を自動化し、その結果を操作者に報告する能力の一例を示す。
【００１０】
コンタクト入力カード１８は、ＳＬＣ論理カード１６、例えば、制御ＣＰＬＤ２２に対するローカルパネルスイッチ（例えば、キースイッチ）及び低電圧スイッチギア（ＬＳＷＧ）信号入力のＭＣＲＰを提供する。各コンタクト入力カード１８は、コンタクト入力カード１８に接続された外部コンタクトを励起し、コンタクトの状態を電気的に隔離し、ＳＬＣ論理カード１６へ中継する。
【００１１】
リレーカード１４は、リレー出力、例えば、注入ポンプ、注入弁、貯蔵タンク弁及び過負荷バイパス制御部に対する出力の制御を実行する。ＳＬＣ計器から電力が除去された場合に、出力制御を維持するために、リレーはラッチする。２つのリレーカード１４が直列の状態で使用される。その場合、特定の出力を制御するために、（リレーカード１４のうちの）カードＡとカードＢが共に励起されなければならない。それにより、偶発的で望ましくない注入が防止される。
【００１２】
光カード２０は、光信号と電気信号との間の変換を実行する。各光カード２０は、外部ハードウェアとの間で送受信を実行する。例えば、光カード２０は、ＡＴＷＳ注入起動入力及びバイパス入力を受信する。光カード２０は、主制御室（ＭＣＲ）の操作者へメッセージを通信する。
【００１３】
フロントパネル表示器１２は、英数字を１行分表示する。フロントパネル表示器１２は、安定し、ちらつきがない定常状態ＬＥＤに基づく技術を使用する。フロントパネル表示器１２により表示される情報は、システムの状態及びモードに関連する情報、並びに自己試験の結果を含む。
【００１４】
ＳＬＣ論理カード１６は、自己試験能力及びオンライン診断能力を提供する。それらの能力を利用して、操作者は、交換自在のハードウェアモジュールの障害を識別し、隔離できる。交換自在のハードウェアモジュールには、リレーカード１４、コンタクト入力カード１８、電源（図１には示されない）、アナログトリップモジュール（ＡＴＭ）（図１には示されない）及びＳＬＣ論理カード１６自体が含まれる。ＳＬＣ論理カード１６は、周波数検出器回路を更に含む。周波数検出器は、次に挙げるａ）〜ｃ）の３つの状態のうちの１つに対して、光入力リンクを監視する。ａ）の状態は、特定の光パルス列周波数（一例の論理においては１Ｍｈｚ）が検出されるときのActive（活動）状態（ＳＬＣによりTrip（トリップ）コマンド又はBypass（バイパス）コマンドとして使用される）である。ｂ）の状態は、活動状態の周波数の２分の１の周波数（一例の論理においては、５００Ｋｈｚ）であるInactive（非作動）状態（Not Tripped（トリップなし）コマンド又はNot Bypassed（バイパスなし）コマンド）である。ｃ）は、有効なActive状態又はInactive状態が検出されないFault（障害）状態である。自己試験論理は、これら３つの入力条件の各々をシミュレートし、応答を求めて、周波数検出器の出力を監視する。
【００１５】
制御ＣＰＬＤ２２は、システムの監視、２つのリレーカード１４のうちの一方の読み取り／書き込み、及びメモリ復号を実行する。制御ＣＰＬＤ２２は、リレーカード１４をラッチし、リレーカードの状態を読み取り、コンタクト入力カード１８に対する操作者の押しボタン及びスイッチ（例えば、キースイッチ）の操作による位置入力を読み取り、光カード２０を介して受信されるコンタクト状態入力、バイパス制御入力及びＡＴＷＳ制御入力を処理する。一実施形態においては、制御ＣＰＬＤ２２は、更に、ＳＬＣ論理カード１６に対して、リレーカード１４のラッチングリレードライバレジスタに対する復号及びラッチ制御を実行し、フロントパネル表示器１２のＬＥＤレジスタに対して復号を実行し、コンタクト入力カード１８の自己試験のために、コンタクト入力レジスタに対する制御を実行し、バイパス及びＡＴＷＳ入力論理の自己試験のための制御を実行する。
【００１６】
ＣＰＬＤ２４は、システムの監視と、２つのリレーカード１４のうちの他方のカード（第１のカードは、ＣＰＬＤ２２により制御される）の読み取り／書き込みを実行し、注入論理状態レジスタを提供し、ローカル復号を実行し、ＳＬＣ注入論理３６を実行する。ＣＰＬＤ２４は、ポンプモータ、注入弁、貯蔵タンク出口弁に対する論理制御を実行し、更に、ＳＬＣ状態監視、例えば、原子炉へのホウ酸水の注入を開始又は停止するために動作される過負荷バイパス状態監視を実行する。ＣＰＬＤ２４は、ＣＰＬＤ２４の状態レジスタを提供し、直列リレーに対するリレーカードドライバ制御を実行する（それにより、偶発的で望ましくない注入に対する防護を行う）。
【００１７】
ＣＰＬＤの状態／結果レジスタは、ＣＰＬＤ論理の実行の結果を提供する。ハードウェアとして実現されるＣＰＬＤ論理と、ソフトウェアとして実現されるＣＰＬＤ論理との一致を判定するために、ＣＰＬＤ状態／結果レジスタにおける結果は、同一のＣＰＬＤ論理をソフトウェアとして実行することにより得られた結果と比較される。一致を判定するためのそのような比較は、ハードウェア及びソフトウェアが共に正しく動作するか否かの検査である。例えば、状態／結果レジスタ３２は、ＣＰＬＤ２４においてハードウェアとして実現されるＳＬＣ注入論理３６を実行した結果を提供する。それらの結果は、ＳＬＣ論理カード１６において同一のＳＬＣ注入論理３６をソフトウェアとして実現することから生成される結果と比較される。ソフトウェアとして実現されるＳＬＣ注入論理３６を実行するために、ハードウェアとして実現される（ＣＰＬＤ）ＳＬＣ注入論理３６を実行するためのハードウェア状態入力と同一のハードウェア状態入力、例えば、スクラム不能過渡変動（ＡＴＷＳ）論理プロセッサからのトリップデータが使用される。ソフトウェアとして実現されたＳＬＣ注入論理３６の実行と、ハードウェアとして実現されたＳＬＣ注入論理３６の実行との間で、結果が一致した場合に限り、ＳＬＣ論理ユニット１０により、注入プロセスが開始される。結果が一致しない場合には、ＣＰＬＤエラーがフラグ付けされ、表示され、操作者に対して報告される。更に、不一致が起こることにより、ＳＬＣ計器は非作動状態になる。例えば、ＳＬＣ計器の実行モードが、ＩＮＯＰモードに変化する。
【００１８】
前述のように、ソフトウェアとして実現されるＳＬＣ注入論理３６と、ハードウェアとして実現される（ＣＰＬＤ）ＳＬＣ注入論理３６の実行の結果が一致することによって、注入プロセスは開始される。更に、主制御室パネル（ＭＣＲＰ）（図１には示されない）において、操作者が手動操作によりキーを回し、操作者により、注入プロセスを開始するための手動操作コマンドが出された場合、そのことをマイクロプロセッサ３４に通知するために、入力コンタクト（カード１８）を介して、ＳＬＣ論理カード１６に外部信号が供給される。
【００１９】
ＳＬＣソフトウェア３８のデータの流れ及び実行の流れを説明する中で（後に、図５を参照して説明される）、ＳＬＣ論理ユニット１０、従って、ＳＬＣソフトウェア３８は、ＳＬＣソフトウェア３８が実行される複数の動作モードを有する。例えば、一実施形態においては、ＳＬＣソフトウェア３８が実行されるモードは、主制御室パネル（ＭＣＲＰ）又はローカルＬＳＷＧパネルのいずれかにあるフロントパネルキーロックスイッチ及びばね付きキーロックスイッチにより制御される動作モードを含む。ＳＬＣ論理カード１６は、入力コンタクトカード１８を介して、キースイッチの位置を感知する。
【００２０】
この実施形態では、ＳＬＣ論理プロセッサフロントパネルに、次の４つの位置がある。
【００２１】
１．ＮＯＲＭＡＬ（ノーマル）、
２．ＩＮＯＰ／ＳＥＬＦＴＥＳＴ（非作動／自己試験）、
３．ＰＲＥ‐ＯＰ ＯＶＥＲＬＯＡＤ ＢＹＰＡＳＳ ＴＥＳＴ（運転前過負荷バイパス試験）
４．ＯＶＥＲＬＯＡＤ ＢＹＰＡＳＳ ＴＥＳＴ（過負荷バイパス試験）
これらのサブモードは、以下、ＮＯＲＭＡＬ位置、ＩＮＯＰ位置、ＰＲＥ‐ＯＰ位置及びＢＹＰＡＳＳＴＥＳＴ位置と呼ばれる。
【００２２】
図２に示されるように、ＭＣＲＰ／ローカルパネルモードスイッチ２００には、ＳＴＡＮＤＢＹ２０２と、ＴＥＳＴ２０４の２つの位置がある。図２は、モード選択のためのＭＣＲＰキースイッチ２０６及びインジケータランプ２０８を示す。ＭＣＲＰにおいて、ＮＯＲＭＡＬ位置２１０は、モードではなく、ばね付きスイッチの戻り場所である。
【００２３】
この実施形態においては、ＳＴＡＮＤＢＹ及びＴＥＳＴは、一次モードであると考えられ、ＮＯＲＭＡＬ、ＩＮＯＰ、ＰＲＥ‐ＯＰ及びＢＹＰＡＳＳＴＥＳＴは、サブモードであると考えられる。主眼は、ローカルパネル又は制御室ではなく、ＳＬＣ論理プロセッサにあるので、そのＳＬＣフロントパネルで制御されるモードに重点がおかれ、必要に応じて、ＳＴＡＮＤＢＹ及びＴＥＳＴに関する動作の相違に関連する情報が与えられる。
【００２４】
ＳＬＣ論理プロセッサにある４位置キースイッチと、ＭＣＲＰ及びローカルパネルの２つの位置との組み合わせにより、次のモードが提供される。
【００２５】
．．待機／ノーマル
．．待機／運転前
．．待機／バイパス試験
．．待機／ノーマル‐注入
．．待機／運転前‐注入
．．待機／バイパス試験‐注入
．．試験／ノーマル
．．試験／運転前
．．試験／バイパス試験
．．試験／ＩＮＯＰ
．．試験／ノーマル‐ＩＮＯＰ
．．試験／運転前‐ＩＮＯＰ
．．試験／バイパス試験‐ＩＮＯＰ
図３は、ＳＬＣ論理プロセッサの一実施形態のモード／サブモード３００と、所定のモード／サブモードへの移行に寄与する入力とを示す。図３に示されるのは、一次モードである待機モード３０２及び試験モード３１２である。入力３１８は、待機モード３０２への移行に寄与し、入力３２０は、試験モード３１２への移行に寄与する。図３に示されるように、図３において接続矢印で示されるアクションを経て、待機モード３０２及び試験モード３１２の様々なサブモードが実現される。待機モード３０２は、ＮＯＲＭＡＬモード３０６、ＰＲＥ‐ＯＰモード３０８及びＢＹＰＡＳＳＴＥＳＴモード３０４をサブモードとして有し、それらのサブモード３０４、３０６及び３０８は、それぞれ、潜在的には、ＩＮＪＥＣＴサブモード３１０にある。試験モード３１２は、ＮＯＲＭＡＬモード３１４、ＩＮＯＰモード３１６、ＰＲＥ‐ＯＰモード３０８及びＢＹＰＡＳＳＴＥＳＴモード３０４をサブモードとして有し、それらのサブモード３０４、３０８及び３１４は、それぞれ、潜在的には、ＩＮＯＰサブモードにある。
【００２６】
しかし、ＳＬＣ論理プロセッサキースイッチがＩＮＯＰ位置にある間、ＭＣＲＰ又はローカルパネルからの全てのキースイッチ入力は無視され、主計器モードはＴＥＳＴにとどまる。操作者は、あらゆるモードを選択可能であるが、自動運転停止、ＡＴＷＳ始動トリップ又は自己試験障害の場合には、次のサブモードに入ることが可能である。
【００２７】
．．ＩＮＪＥＣＴ（注入）
．．ＩＮＯＰ（非作動）
ＳＬＣ論理ユニット１０がＮＯＲＭＡＬサブモード、ＰＲＥ‐ＯＰサブモード又はＢＹＰＡＳＳＴＥＳＴサブモード（例えば、キースイッチ位置）にあるとき、２つの場所（ローカルパネル及びＭＣＲＰ）から、計器をＳＴＡＮＤＢＹモード又はＴＥＳＴモードに設定できる。ＳＴＡＮＤＢＹ／ＮＯＲＭＡＬモードは、ＳＬＣソフトウェア３８の正規動作モードである。ＩＮＯＰサブモードを除く全てのモードにおいて、ＳＬＣソフトウェア３８は、フロントパネル表示器１２にあるＬＥＤインジケータをセットして、例えば、ＬＥＤを介して、状態情報及びメッセージを表示する。また、ＳＬＣソフトウェア３８は、バックグラウンド自己試験を実行し、自己試験結果及び状態メッセージを操作者へ送信する。バックグラウンド自己試験は、他の操作者選択自在モードで概要を説明されるような試験を除く全てのＳＬＣハードウェア試験を含む。バックグラウンド自己試験は、メモリ試験（ＮＶＲＡＭ、ＥＰＲＯＭ及びＲＡＭ）、ウォッチドッグタイマカウンタの増分、電源試験、Ａ／Ｄ変換器試験、ＣＰＵ、ＰＬＤ、ＡＴＭセンサ及び表示器自己試験状態を含む。ＩＮＯＰサブモードにあるときを除き、自己試験押しボタンを操作者が選択しても、何の機能も実行されない。フロントパネル表示器１２に、限られた試験結果が表示され、それらの試験結果は、メッセージとして、通信モジュールインタフェース（ＣＩＭ）通信リンクを介して操作者へ送信される。ＩＮＯＰサブモードにない場合、リレーカード１４又は入力コンタクトカード１８、あるいはそれらのカードに接続された機器においては、バックグラウンド試験は実行されない。
【００２８】
ＩＮＯＰ／ＳＥＬＦ‐ＴＥＳＴモードは、ＳＬＣ計器のオフラインモードであり、このモードにある間、注入プロセスが開始されてはならない。動作進行中に、ＩＮＯＰモードに切り替わった場合には、注入プロセスは停止される。バックグラウンド自己試験中に、臨界障害が発見されたときに、ＩＮＯＰモードへの切り替えが起こる。また、ＩＮＯＰ／ＳＥＬＦ‐ＴＥＳＴモード（技術的には、試験／ノーマル‐ＩＮＯＰ、試験／運転前‐ＩＮＯＰ、試験／バイパス試験‐ＩＮＯＰのうちの１つと呼ばれる）は、主制御室パネル（ＭＣＲＰ）から、ポンプをタグアウト状態に設定することにより選択され、ＳＬＣソフトウェア３８の実行のために、「ＩＮＯＰ」モード状態と、「ＴＥＳＴ」モード状態を同時に真にさせる。ＩＮＯＰモードにあるとき、バックグラウンド自己試験は延期される。バックグラウンド自己試験は、自己試験押しボタンの操作を経て起動される。自己試験押しボタンが押されると、バックグラウンド自己試験及び追加試験が実行される。追加試験には、ａ）リレーコンタクトインタフェース論理の制御及び試験、ｂ）出力側にある特定のラッチリレーの制御及び試験、ｃ）注入モードに使用される入力のシミュレーション及びＣＰＬＤの応答の妥当性検査、ｄ）通信ループバック試験の実行、ｅ）周波数検出器（光ファイバインタフェースカード２０からのＡＴＷＳ入力を変換するために、ＳＬＣ論理カード１６に配置される）の自己試験、ｆ）ウォッチドッグ時間切れ試験、ｇ）シングルライン表示器ハードウェア試験が含まれる。追加試験は、コンタクトを隔離し、入力をシミュレートする（上記の項目ｃ））ＳＬＣ計器の能力、並びに試験を目的として出力リレーを隔離し、制御する（上記の項目ａ）及びｂ））ＳＬＣ計器の能力を例示する。前述のように、注入プロセスを開始するために、入力がシミュレートされ、ＣＰＬＤ結果は、妥当性検査される（項目ｃ及びｅ）。入力コンタクトカード１８の入力も、ＳＬＣソフトウェア３８により隔離され、試験されるが、その際に、実際のイベント又は状態変化が起こることはない。前述のように、出力側の特定のラッチリレーの制御及び試験、並びにリレーコンタクトインタフェース論理の制御及び試験は、外部機器に対する出力の隔離及び試験を実行する。試験結果は、フロントパネル表示器１２に表示され、メッセージとして、通信リンクを介して操作者へ送信される。ＳＬＣ制御プロセッサにより制御される全ての機器（例えば、ポンプ始動／停止、ＭＢＶ‐０００１開／閉、ＭＢＶ‐０００５開／閉、ＭＢＶ‐０００１バイパス、ＭＢＶ‐０００５バイパス）は、２つの直列リレーを採用する。試験時、一方のリレーが隔離され、開状態にラッチされるので、他方のリレーを閉状態及び開状態にラッチすることにより、他方のラッチの試験が可能になる。同様にして、リレーにより制御される機器を起動せずに、各リレーを試験できるであろう。各コンタクト入力の試験を可能にするために、全てのＳＬＣ論理は、入力コンタクトカード１８に配置されたオーバライド論理を介して隔離される。
【００２９】
操作者は、ＳＬＣ論理プロセッサのフロントパネルから、ＰＲＥ‐ＯＰＴＥＳＴモードを選択する。ＰＲＥ‐ＯＰ ＴＥＳＴモードは、ＳＴＡＮＤＢＹモード及びＴＥＳＴモードのサブモードである。このモードは、過負荷保護をイネーブルした状態で、弁の手動操作試験を可能にするために、過負荷バイパスリレー機能をディスエーブルさせる。ＳＴＡＮＤＢＹモードのサブモードとしてのＰＲＥ‐ＯＰＴＥＳＴモードにあるとき、ＳＬＣソフトウェア３８は、ＳＴＡＮＤＢＹモードにとどまり、必要に応じてＩＮＪＥＣＴモードに入る準備を整える。ＴＥＳＴモードのサブモードとしてのＰＲＥ‐ＯＰＴＥＳＴモードにあるときには、ＳＬＣソフトウェア３８はＴＥＳＴモードにとどまり、ＩＮＪＥＣＴモードに入る準備をしない。試験結果は、フロントパネル表示器１２に表示されてもよく、メッセージとして、通信リンクを介し、光ファイバカード２０を経て、操作者へ送信される。
【００３０】
操作者は、ＳＬＣ論理プロセッサのフロントパネルから、ＢＹＰＡＳＳＴＥＳＴモードを選択する。ＢＹＰＡＳＳ ＴＥＳＴモードは、ＳＴＡＮＤＢＹモード及びＴＥＳＴモードのサブモードである。ＢＹＰＡＳＳＴＥＳＴモードにあるとき、ＳＬＣソフトウェア３８は、ＰＲＥ‐ＯＰ ＴＥＳＴモードに関して前述した弁に対応するリレーの過負荷バイパス制御ソレノイドを励磁し、検出する能力を検査する試験を自動的に実行する。ＳＴＡＮＤＢＹモードのサブモードとしてのＢＹＰＡＳＳＴＥＳＴモードにあるとき、ＳＬＣソフトウェア３８は、ＳＴＡＮＤＢＹモードにとどまり、必要に応じて、ＩＮＪＥＣＴモードに入る準備を整える。ＳＴＡＮＤＢＹモードのサブモードとしてのＢＹＰＡＳＳＴＥＳＴモードを選択することは、プラントがオンライン又はオフラインの状態にある間に、試験を実行する目的で、外部機器を作動する（この場合には、弁を動作させるリレーの過負荷バイパス制御ソレノイドを励磁し、検出する）ＳＬＣ計器の能力を例示する。ＴＥＳＴモードのサブモードとしてのＢＹＰＡＳＳＴＥＳＴモードにあるときには、ＳＬＣソフトウェア３８は、ＴＥＳＴモードにとどまり、ＩＮＪＥＣＴモードに入る準備をしない。試験結果は、フロントパネル表示器１２に表示され、メッセージとして、通信リンクを介し、光ファイバカード２０を経て操作者へ送信される。
【００３１】
ＭＣＲＰからＡＴＷＳトリップ信号又はポンプ始動キースイッチ信号を受信した場合、自動的にＩＮＪＥＣＴモードに入る。ＩＮＪＥＣＴモードは、ＮＯＲＭＡＬモード、ＰＲＥ‐ＯＰモード及びＢＹＰＡＳＳＴＥＳＴモードのサブモードである（これらは、ＳＴＡＮＤＢＹモード及びＴＥＳＴモードのサブモードであると考えられるが、ＳＬＣ論理プロセッサは、ＳＴＡＮＤＢＹモードになければならない）。注入が完了した後、システムは、自動的にＳＴＡＮＤＢＹモードに戻る。一実施形態においては、操作者が手動操作で主制御室パネル（ＭＣＲＰ）のキーを回すことにより、ＩＮＪＥＣＴモードに入る。
【００３２】
いずれかの動作モードの間に、ＳＬＣソフトウェア３８が臨界障害を検出すると、ＳＬＣ論理ユニット１０又はＭＣＲＰのユーザ選択自在スイッチの位置とは無関係に、モードは、自動的にＩＮＯＰモードに切り替わる。バックグラウンド自己試験の実行中に、臨界障害が検出されることは起こりうる。臨界障害メッセージはいくつかあり、ＢＡＤＲＡＭ、ＢＡＤ ＥＰＲＯＭ、ＢＡＤ ＣＰＬＤ、ＢＡＤＣＰＵ、ＰＯＷＥＲ ＵＰ ＦＡＵＬＴ及びＣＲＩＴＩＣＡＬＡＴＷＳ ＦＡＩＬＵＲＥなどを含む。ＩＮＯＰモードに切り替わったならば、ＳＬＣソフトウェア３８は、活動状態にある注入プロセスの進行を全て停止する。検出される障害の他に、下記の条件によっても、ＳＬＣ計器は、「Automatically  Out Of Service（自動運転停止）」状態になる。
【００３３】
．．Pump Trip Coil Not OK（ポンプトリップコイル機能不全）
．．Pump Tripping Power Not Available（ポンプトリッピンッグ電力利用不可能）
．．Pump Closing Power Not Available（ポンプ閉鎖電力利用不可能）
．．Injection Valve (MBV-0005) Control Power Not Available（注入弁（ＭＢＶ‐０００５）制御電力利用不可能）
．．Storage Tank Outlet Valve (MBV-0001) Control Power Not Available（貯蔵タンク出口弁（ＭＢＶ‐０００１）制御電力利用不可能）
図４には、ＭＣＲＰポンプ制御４００が示される。ＭＣＲＰにおいて、ポンプ制御キースイッチ４０２から「Tagout（タグアウト）」位置４０４を選択することにより、手動操作ＩＮＯＰを選択できる。同様に、注入弁（ＢＭＶ‐０００５）又は貯蔵タンク出口弁（ＭＢＶ‐０００１）の「タグアウト」は、「Manual Out of Service（手動運転停止）」信号を発生させる。この信号は、論理プロセッサを非作動状態にさせる。
【００３４】
ＭＣＲＰ又はローカルＬＳＷＧパネルにおいて操作者がＴＥＳＴを選択するか、あるいはＳＬＣ論理ユニット１０のフロントパネルから、ＳＬＣ計器をＩＮＯＰ／ＳＥＬＦ‐ＴＥＳＴモードに切り替える（フロントパネル表示器１２に配置されたキースイッチにより作動される）ことにより、ＴＥＳＴモードに入る。ＩＮＯＰ／ＳＥＬＦ‐ＴＥＳＴモードにある間、通信リンクを介する通信試験が実行される。
【００３５】
図５は、ＳＬＣ論理ユニット１０のＳＬＣソフトウェア３８の一実施形態を示すデータ流れ図である。図５においては、例えば、注入ポンプ４２のような矩形のボックスは、ＳＬＣソフトウェア３８に対する外部エンティティを表す。ＳＬＣソフトウェア３８は、例えば、リレー制御４０のように、角を丸くした複数の矩形のボックスにより示される複数の総称ソフトウェアグループに分割される。１つの矩形ボックスとして示される状態データストア８４は、他のボックスとは異なり、ＳＬＣソフトウェア３８の内部データストアを表す。図５のボックス形のエンティティは、データの流れを表す矢印により互いに結合される。ＳＬＣソフトウェア３８から出る外部データの流れ及びＳＬＣソフトウェア３８に入る外部データの流れは、矩形ボックスエンティティに結合する矢印又は矩形ボックスエンティティから出る矢印により示される。ＳＬＣソフトウェア３８自体の内部におけるデータの流れは、総称ソフトウェアグループを互いに結合する矢印、例えば、制御状態６２をリレー制御４０と結合する矢印により示される。この矢印は、「set a relay（リレーをセットする）」として識別される。次に、ＳＬＣソフトウェア３８のソフトウェアグループのデータの流れ及び動作を説明する。
【００３６】
操作者６６がＳＬＣ計器の電源を入れると、初期設定８２は、所定の初期設定状態データを状態データストア８４に格納する。このデータの一部は、制御状態６２を介して、リレー制御４０へ送信される。初期設定８２は、ハードウェアレジスタを所定の値に初期設定し、且つＳＬＣ論理ユニット１０のハードウェアにおいて試験を実行することにより、ハードウェアを初期設定する。
【００３７】
リレー制御４０は、制御状態６２から、リレー状態データ、例えば、「set a relay」データを受信し、外部機器、例えば、注入ポンプ４２、過負荷バイパス４４、貯蔵タンク弁４６、注入弁５０などの機器のリレーをセットし、図５のＴＥＳＴ＆ ＳＴＤＢＹ状態ランプ４８により示されるように、ＭＣＲＰ及びフロントパネル表示器１２のＴＥＳＴランプ及びＳＴＤＢＹランプをセットする。ＳＬＣ論理ユニット１０に含まれるリレーカード１４、コンタクト入力カード１８及びフロントパネル表示器１２は、ＳＬＣソフトウェア３８に含まれるドライバを介して制御される。リレー制御４０、ＬＥＤ制御８０、ローカル表示器７２、入力状態５２及びコンタクト制御６８は、カスタムＩ／Ｏドライバを要求するデータの流れの領域を例示する。
【００３８】
制御状態６２は、状態データストア８４から制御状態データを受信し、それを処理し、リレーセットデータをリレー制御４０へ送信する。更に、制御状態６２は、自己試験制御データを自己試験７０へ送信する。
【００３９】
コンタクト制御６８は、自己試験７０からコンタクトセットデータを受信し、コンタクト自己試験データを自己試験７０に戻す。コンタクト制御６８は、自己試験のために、コンタクトを隔離する。
【００４０】
自己試験７０は、制御状態６２からの自己試験制御データ、コンタクト制御６８からのコンタクト自己試験データ及び／又は押しボタンイベント処理７８からの自己試験開始信号を受信し、自己試験を実行し、その結果である自己試験データを状態データストア８４へ送信すると共に、自己試験状態データをローカル表示器７２へ送信する。バックグラウンド自己試験は、ＥＰＲＯＭ自己試験、ＲＡＭ自己試験、電源自己試験、ＣＰＬＤ自己試験、ＣＰＵ自己試験、表示器自己試験、ＮＶＲＡＭ（不揮発性ＲＡＭ）自己試験、Ａ／Ｄ自己試験及び周波数検出器自己試験を含む。ＳＬＣソフトウェア３８は、使用される全てのモード（一実施形態においては、１／２ＭＨｚモード及び１ＭＨｚモード）において、周波数検出器を個別に又は組み合わせて試験させるドライバ及び試験アルゴリズムを含む。ＳＬＣソフトウェア３８は、８つの周波数検出器の各々に関わり（オン又はオフ）、所望の周波数（一実施形態においては、１／２ＭＨｚ及び１ＭＨｚ）を周波数検出器に供給する。オフラインＩＮＯＰモードで実行されるように構成された追加試験は、リレーカード自己試験、通信自己試験、コンタクトカード自己試験及びウォッチドッグ自己試験である。
【００４１】
リレーカード自己試験は、ＩＮＯＰモードにあるときに実行される。この試験は、試験実行中にホウ酸水の注入が起こらないように、リレーを隔離する。コンタクトカード自己試験は、ＩＮＯＰモードにあるときに実行される。この試験は、コンタクトの値を設定し、読み出しているときに入力コンタクトを隔離する。各ＣＰＬＤは、入力に基づく特定の決定出力を有する。ハードウェアが正しく動作していることを実証するために、ＳＬＣソフトウェア３８は、ＣＰＬＤ論理を繰り返す。２つの結果に相違があれば、それは、ＣＰＬＤエラーとしてフラグ付けされる。各々の周波数検出器は試験され、障害は、その周波数検出器を識別すると共に、先に説明したように、試験のどの面に不合格となったかを識別する。
【００４２】
計器セットモード６４は、操作者６６からのモードデータを受信し、そのデータを入力状態５２及びローカル表示器７２へ送信する。ローカル表示器７２は、フロントパネル表示器１２の表示を更新し、変更するために、計器セットモード６４、自己試験７０、押しボタンイベント処理７８及び状態データストア８４から表示データを受信する。
【００４３】
押しボタンイベント処理７８は、操作者６６からデータ信号、例えば、ソフトキー押し下げデータを受信し、（操作者６６から受信された信号に応じて）データをローカル表示器７２、ＬＥＤ制御８０及び自己試験７０へ送信する。
【００４４】
ＬＥＤ制御８０は、押しボタンイベント処理７８からデータ信号、例えば、トリップリセット及びランプ試験を受信し、ローカル表示器７２を介してフロントパネル表示器１２を更新するために、状態データストア８４へのＬＥＤ状態データを更新する。
【００４５】
入力状態５２は、外部データ入力、例えば、ＳＬＣ低電圧スイッチギア（ＬＳＷＧ）機器５４の動作状態、バイパスユニット５６からのＡＴＷＳバイパスデータ、ＡＴＭ＆ ＳＬＣタンクレベルセンサ５８からのタンクレベル低状態及びＡＴＷＳ論理プロセッサ６０からのトリップデータを収集する。入力状態５２は、入力状態データを状態データストア８４に格納する。
【００４６】
ＡＴＷＳ論理プロセッサ６０からの入力トリップデータは、図１のＣＰＬＤ２４のＳＬＣ注入論理３６への入力として使用される。ＣＰＬＤ２４は、タイマと共に、離散的論理、例えば、「ＡＮＤ」ゲート及び「ＯＲ」ゲートを使用して、ハーフトリップ警報状態を開始する（離散的論理により判定された場合）。ＳＬＣソフトウェア３８は、ハードウェア状態、例えば、図１のＣＰＬＤ２４の状態／結果レジスタ３２を定期的にポーリングし、ハーフトリップ警報状態を認識すると、ハードウェア状態結果を妥当性検査するために、ソフトウェアとして実現されるＳＬＣ注入論理３６を実行する。ＳＬＣソフトウェア３８がＣＰＬＤ２４のハーフトリップ警報状態と一致した場合、ＳＬＣソフトウェア３８は、トリップ警報の残る半分を開始し、フルトリップ警報を発生する。フルトリップ警報は、状態データストア８４に格納される。状態データストア８４からフルトリップ警報状態を検索することにより示される結果の一致（ＣＰＬＤ２４においてハードウェアとして実現されるＳＬＣ注入論理３６の実行の結果と、ＥＰＲＯＭメモリ２６における、ソフトウェアとして実現されるＳＬＣ注入論理３６の実行の結果の一致）を受信すると、制御状態６２は、注入プロセスを開始する。
【００４７】
入力に基づいて、ＳＬＣソフトウェア３８は、ＩＮＪＥＣＴモードに切り替わる。注入は、操作者がＭＣＲＰポンプ始動を選択することにより手動操作で開始されるか、又は２つ以上のＡＴＷＳトリップ信号を受信することにより自動的に開始される。操作者がＭＣＲＰポンプ停止を選択するか、又は信号のいずれかの部分を非作動状態にする（例えば、ポンプタグアウト、システム臨界自己試験障害）か、あるいはＳＬＣソフトウェア３８をＭＣＲＰからＩＮＯＰに切り替えることにより、注入は中断される。ＡＴＭにより報知されるタンクレベルがＡＴＭセットトリップポイントを下回ると、注入ポンプが停止され、注入は完了し、ＳＬＣソフトウェア３８は、ＳＴＡＮＤＢＹモードに戻る。注入プロセスが正しく機能していることを試験する目的で、ＡＴＭ入力並びにＡＴＷＳ入力を隔離するために、自己試験が実行される。２つのＡＴＭセンサ入力が供給される。２つの入力は、ハードウェアにより平均され、第３のＡＴＭへフィードバックされる。タンクレベルセンサに対する３つのＡＴＭ信号の全てが、入力状態５２を介して、データストア８４に収集される。自己試験のために、ＳＬＣソフトウェア３８は、２つの生ＡＴＭ入力を平均し、それらをハードウェア平均ＡＴＭ入力と比較する。この試験中に、実際にホウ酸水が注入されるのを防止するために、リレーは隔離され、制御される。
【００４８】
注入ポンプ及び注入プロセスは、ＭＣＲＰにおいて、操作者により手動操作で開始されるか、又は手動操作で停止される。ＳＬＣ論理ユニット１０がＴＥＳＴモードにある間、フロントパネル表示器１２にあるキースイッチによって、ポンプを始動又は停止できる。フロントパネル表示器１２からは、注入を開始又は停止できない。
【００４９】
全てのトリップ及び警報は、主に、例えば、ＬＳＷＧ入力、ＡＴＭ又はＡＴＷＳ入力から入力状態５２及び押しボタンイベント処理７８において受信される入力の状態変化により開始される。ＳＬＣソフトウェア３８の一実施形態においては、全ての入力は、ＳＬＣソフトウェア３８のエグゼクティブループコンポーネントによりスキャンされる。入力状態が変化すると、エグゼクティブループは、状態機械の状態データストアを更新する。これは、制御状態６２により処理されるべく、トリップ又は警報が更新されたことを意味する。
【００５０】
状態メッセージ送信７４は、状態データストア８４からメッセージデータを獲得し、ＭＣＲＰの操作者へ通信するために、状態メッセージを外部通信インタフェースモジュール（ＣＩＭ）７６へ送信する。
【００５１】
図５のＳＬＣソフトウェア３８の実行制御の流れを、図６を利用して更に説明する。
【００５２】
図６は、ＳＬＣソフトウェアのパッケージングアーキテクチャ又はコンポーネントアーキテクチャの一実施形態を示すブロック線図である。ＳＬＣソフトウェアコンポーネントアーキテクチャ８６は、ＳＬＣソフトウェア３８のハイレベルパッケージング構造の一例を示す。図６は、オペレーティングシステムの実現という観点を更に詳細に示す。アーキテクチャコンポーネントは、アーキテクチャコンポーネント間の従属性矢印によって互いに結合される。従属性は、矢印の付いた点線によって示される。例えば、矢印の末尾にあるコンポーネント「Ａ」は、矢印の先端にあるコンポーネント「Ｂ」に「従属」する。
【００５３】
一実施形態として、ＳＬＣソフトウェア３８は、マイクロオペレーティングシステムを使用する。マイクロオペレーティングシステムは、システムクロック１１２、タイマ／スケジューラ９８及びファンクションマネージャコンテクストスイッチャ１００を含む。全ての正規機能は、エグゼクティブループ９０を介して実現される。エグゼクティブループ９０は、システムクロック１１２、タイマ／スケジューラ９８及びコンテクストスイッチャ１００を使用して、ソフトウェア機械を１つの状態から別の状態に変化させる。ＳＬＣシステムは、システムが主機能を実行できることを確認するために、コンテクストスイッチャ１１０及びタイマ／スケジューラ９８を使用する。この主機能は、原子炉内部にホウ酸水を注入することを目的とする基本ＳＬＣ注入論理１１０の繰り返し及び並列実行である。システムが準備完了状態にとどまっており、システムが設計された目的の機能を実行できることを確認するために、他の全ての機能は実行される。
【００５４】
初期設定９４は、ハードウェア及びソフトウェアの初期設定を実行する。初期設定９４に従属するアーキテクチャコンポーネントは、ウォッチドッグタイマ９２、グローバルデータストア９６、タイマ／スケジューラ９８、コンテクストスイッチャ１００、外部装置Ｉ／Ｏ１０４及びエグゼクティブループ９０である。初期設定コンポーネント９４は、パワーアップ（コールドブート）時、又はウォッチドッグタイマ９２の時間切れ（ウォームブート）に対して、又は不正アドレスを実行しようとする試みに対して（ウォームブート）実行する。初期設定９４は、例えば、ハードウェアレジスタなどのハードウェア及びグローバルデータストア９６などのソフトウェアに対して、初期値を設定し、ハードウェアにおいて試験を実行する。
【００５５】
システムが初期設定されたならば、エグゼクティブループ９０に対して、実行制御が与えられる。エグゼクティブループ９０は、それに従属するコンポーネントの単純なラウンドロビン実行を実行する。エグゼクティブループ９０が、実行するようにスケジューリングされたイベント（フォアグラウンドワーク）を見出せない場合、エグゼクティブループ９０は、１つの機能、通常は自己試験１０２のバックグラウンド自己試験を実行し、状態機械が変化したか否かを判定するために、状態機械を検査する。状態機械に変化があると、その結果、タスクのスケジューリングがエグゼクティブループ９０により実行される。一実施形態においては、ウォッチドッグタイマ９２が時間切れとなり、エグゼクティブループ９０に割り込んで、システム初期設定を新たに実行させる。システムクロック１１２は、ウォッチドッグタイマ９２をリセットする。システムクロック１１２は、ＳＬＣソフトウェア３８の全てのイベント及びコンテクストスイッチングをスケジューリングするのに有用である。ウォッチドッグタイマ９２は、システムクロックが正しく動作していることを保証する。システムクロック１１２は、ＳＬＣソフトウェア３８の正しい動作を保証し、ウォッチドッグタイマは、正しい動作を間接的に保証する。自己試験１０２は、エグゼクティブループ９０に従属する。自己試験１０２は、様々に異なる種類の機能を含む。それらの機能は、現在のシステムモードに応じて、エグゼクティブループ９０により呼び出され、実行される。割り込み又はスケジューリングされていたイベントがコンテクストスイッチャ１００により処理された後に、エグゼクティブループ９０に制御を戻すために、エグゼクティブループ９０は、コンテクストスイッチャ１００に従属する。
【００５６】
モード変更、入力信号変化及び自己試験障害などの状態機械イベントは、エグゼクティブループ９０から検出される。モード変更、入力信号変化及び／又は自己試験障害を検出すると、エグゼクティブループ９０は、検出された状態を処理するために、状態機械イベントハンドラ機能（図６には示されないが、コンテクストスイッチャ１００の一部である）を呼び出す。検出された状態に対する適切なアクションは、グローバルデータストア９６を更新することと、状態機械の変化に応じて、タイマ／スケジューラ９８を介して他のイベントをスケジューリングすることを含む。
【００５７】
直列Ｉ／Ｏ８８は、ＳＬＣ状態メッセージを生成し、通信リンクを介して、メッセージをＭＣＲへ送信する。妥当なメッセージを構成するために、直列Ｉ／Ｏ８８は、グローバルデータストア９６に従属する。タイマは、メッセージを送信するように直列Ｉ／Ｏ８８をスケジューリングさせ、呼び出すために、１／２秒ごとに時間切れになるようにスケジューリングされる。
【００５８】
タイマ／スケジューラ９８は、初期設定９４及びＳＬＣ注入論理１１０に従属する。コンテクストスイッチャ１００は、処理される必要があるスケジューリングされたイベントを報知するために、タイマ／スケジューラ９８に従属する。タイマ／スケジューラ９８は、総時間を「tick（チック）」によって追跡するシステムクロック１１２を有する。タイマ／スケジューラ９８は、イベントをスケジューリングさせ且つ削除させるように機能する。スケジューリングされるイベントは、時間クリティカルイベントであり、クリティカリティによって優先度を定められる。優先度判定の一例は、機能時間切れ、状態機械入力状態変化、モード変更、自己試験障害、１／２秒ごとに現れるＡＴＷＳ軽減開始、１／２秒ごとに現れるＡＴＷＳ軽減開始オーバライド（打ち切り）、１／２秒ごとのランプ／ＬＥＤの点滅トグル、注入完了１／２秒信号遅延、１／２秒ごとのＭＣＲへの信号送信などである。一実施形態においては、イベントは、機能により、又はコンテクストスイッチャ１００により直接にスケジューリングされる。多くの場合、スケジューリングされるべきイベントは、タイミングイベントである。優先度の低いタスクがマイクロプロセッサ３４を独占するのを阻止するために、各イベントの待機時間は、あらかじめ定められており、初期設定９４により設定される。
【００５９】
ウォッチドッグタイマ９２は、ウォッチドッグタイマ９２を始動するために、初期設定９４に従属する。指定された機能が完了したときに、ウォッチドッグタイマ９２をリセットするために、ウォッチドッグタイマ９２は、エグゼクティブループ９０に従属する。また、１つの機能が完了したときに、（エグゼクティブループ９０に制御を戻さない場合）ウォッチドッグタイマ９２をリセットするために、ウォッチドッグタイマ９２は、コンテクストスイッチャ１００に従属する。表示すべきメッセージをシングルライン表示器１０６へ送信するために、シングルライン表示器１０６は、コンテクストスイッチャ１００、自己試験１０２及びＳＬＣ注入論理に従属する。複数行の情報をスクロールするように、ステップ表示器メッセージを報知するために、シングルライン表示器１０６は、コンテクストスイッチャ１００に更に従属する。
【００６０】
ＬＥＤ制御１０８は、自己試験１０２、グローバルデータストア９６、ＳＬＣ注入論理１１０（例えば、弁が開いていること又は閉じていることを示すメッセージ、あるいはポンプが始動したこと又は停止したことを示すメッセージを送信するため）及びコンテクストスイッチャ１００に従属する。ＬＥＤ制御１０８は、自己試験ＬＥＤと、状態機械の状態をＬＥＤデータストアにマッピングするマッピング機能とを除いて、ＳＬＣフロントパネル表示器１２を制御する。
【００６１】
外部装置Ｉ／Ｏ１０４は、全ての外部エンティティ、例えば、図５に示される矩形のボックスのうち、直列Ｉ／Ｏ８８及びＬＥＤ制御１０８を除くボックスに対する制御インタフェースである。外部装置Ｉ／Ｏ１０４は、ＳＬＣハードウェアに存在する全てのリレー、コンタクト及びＮＶＲＡＭの制御を処理する。外部装置Ｉ／Ｏ１０４は、自己試験１０２及び初期設定９４に従属する。リレー又はコンタクトを開成又は閉成するために、ＳＬＣ注入論理１１０は、外部装置Ｉ／Ｏ１０４に従属する。
【００６２】
ＳＬＣ注入論理１１０は、ＳＬＣ注入論理３６のソフトウェア実現形態である。ＳＬＣ注入論理３６のハードウェア実現形態は、ＣＰＬＤ２４の制御論理である。ＳＬＣが正しく動作しているとき、ＳＬＣ注入論理１１０は、ＣＰＬＤハードウェア結果（ハードウェアが正しく実行したという結果）と一致する。この一致は、タイミング要件及びスケジューリングされるべきイベントを含む。一致しない場合には、ＣＰＬＤ障害が報知され、モードは、ＩＮＯＰモードに切り替えられる。ＳＬＣ注入論理は、弁を開閉させ、ポンプを始動、停止させ、状態機械入力を読み取らせ、更新させる（状態機械モード、例えば、ＩＮＪＥＣＴは、ソフトウェアとハードウェアとの一致が起こったときにのみ変更される）。注入シーケンス及び論理を開始することをＳＬＣ注入論理１１０に通知するため、並びに指定された時点でキーイベントが起こったという通知を伝送するために、ＳＬＣ注入論理１１０は、コンテクストスイッチャ１００に従属する。また、コンテクストスイッチの時点では利用できないグローバル変数を供給するために、ＳＬＣ注入論理１１０は、グローバルデータストア９６に従属する。リレー又はコンタクトを開成又は閉成するために、ＳＬＣ注入論理１１０は、外部装置Ｉ／Ｏ１０４に従属する。ＳＬＣ注入論理１１０に従属するコンポーネントは、前述のように、シングルライン表示器１０６及びタイマ／スケジューラ９８である。
【００６３】
ＳＬＣグローバルデータストア９６は、他のソフトウェアにより使用されるＳＬＣライブラリルーチンを供給し、更に、コンテクストスイッチを介して利用可能であるグローバルデータを提供する。ＳＬＣグローバルデータストア９６に従属するコンポーネント及びＳＬＣグローバルデータストア９６が従属するコンポーネントについては、既に説明した。
【００６４】
自己試験１０２は、ＮＯＲＭＡＬモード、ＰＲＥ‐ＯＰモード又はＢＹＰＡＳＳＴＥＳＴモードにあるとき、エグゼクティブループ９０に従属する。この場合、エグゼクティブループ９０は、自己試験１０２の機能をスケジューリングする。全てのモードにおいて、自己試験１０２の機能を呼び出させるために、自己試験１０２は、コンテクストスイッチャ１００に従属する。ＩＮＯＰ／ＳＥＬＦＴＥＳＴにある場合、自己試験１０２の機能は、ＳＬＣフロントパネル１２にあるユーザ選択自在のソフトキーを介して呼び出される。それ以外のモードにある場合には、全てのバックグラウンド機能は、エグゼクティブループ９０が使用中でないときに実行されるようにスケジューリングされる。コンテクストスイッチャ１００は、イベントハンドラであり、イベントが起こると、コンテクストスイッチャ１００に実行制御が引き継がれる。そこで、コンテクストスイッチャ１００は、自己試験１０２の機能を実行するなどのイベントを処理する。コンテクストスイッチャ１００は、スケジューリングされたイベントと、割り込みに基づくイベントの双方を処理する。ＩＮＯＰ／ＳＥＬＦＴＥＳＴモードにあるとき、自己試験１０２の全てのバックグラウンド機能は延期される。操作者は、自己試験押しボタンを選択し、それにより、割り込みが（直接に又はスケジュールに従って）発生する。イベントは、コンテクストスイッチャ１００により捕捉され、処理される。その後、コンテクストスイッチャ１００は、自己試験１０２の機能を呼び出す。自己試験１０２に従属するコンポーネントは、ＬＥＤ制御１０８、外部装置Ｉ／Ｏ１０４、シングルライン表示器１０２及びグローバルデータストア９６である。自己試験１０２が従属するコンポーネントは、グローバルデータストア９６、エグゼクティブループ９０及びコンテクストスイッチャ１００である。
【００６５】
ＩＮＯＰ／ＳＥＬＦ ＴＥＳＴモード以外のモードで動作しているときに、バックグラウンド自己試験として実行される自己試験１０２の試験は、ＥＰＲＯＭ自己試験、ＲＡＭ自己試験、電源自己試験、ＣＰＬＤ自己試験、ＣＰＵ自己試験、表示器自己試験、ＮＶＲＡＭ自己試験、Ａ／Ｄ自己試験、ＡＴＭセンサ試験及び周波数検出器自己試験である。ＩＮＯＰモードで動作しているときに実行される自己試験１０２の追加試験は、リレーカード自己試験、通信自己試験、コンタクトカード自己試験、ウォッチドッグ自己試験及びシングルライン表示器試験である。
【００６６】
コンテクストスイッチャ１００は、押しボタンイベント及び状態機械イベントを捕捉し、処理する。コンテクストスイッチャ１００は、（どのようなイベントであるかに応じて）即時コンテクストスイッチを実行し、イベントをサービスするか、あるいは、現在の機能が実行され次第に、イベントを、処理されるべきスケジューラ９８に追加するかのいずれかである。コンテクストスイッチングが実行されなければ、ソフトウェア機械は、単に入力状態をポーリングし、エグゼクティブループ９０によるエンドレスループにおいて、状態機械更新を実行するだけである。イベントハンドラは、コンテクストスイッチングを実行する責務を負う。押しボタンイベント（押しボタンイベントは、機械のモード及び状態に応じて、割り込みと、スケジューリングされたイベントとの双方であることが可能である）、状態機械イベント及びタイマイベントの総称カテゴリの各々に対して、イベントハンドラが存在する。タイマイベント及びイベント制御ブロック（ＥＣＢ）のタイマイベントスケジュール更新は、タイマ／スケジューラ９８の一部であるシステムクロック１１２により、直接に処理される。タイマイベントコンテクストスイッチングは、エグゼクティブループ９０から処理される。コンテクストスイッチャ１００は、押しボタンイベントハンドラ（図６には示されない）に従属する。コンテクストスイッチャ１００は、更に、タイマが時間切れになり、スケジューリングされたイベントを処理する必要があることを示すタイマ／スケジューラ９８に従属する。また、コンテクストスイッチャ１００は、初期設定９４に従属し、且つウォッチドッグタイマ９２に従属する。コンテクストスイッチャ１００に従属するコンポーネントは、ＬＥＤ制御１０８、自己試験１０２、シングルライン表示器１０６、ＳＬＣ注入論理１１０、直列Ｉ／Ｏ８８及びエグゼクティブループ９０である。
【００６７】
本明細書において使用される用語「コンピュータ」は、マイクロコントローラ、縮小命令セット回路（ＲＩＳＣ）、特定アプリケーション向け集積回路（ＡＳＩＣ）、論理回路及び本明細書において説明される機能を実行可能な他のあらゆる回路又はプロセッサを使用するシステムを含むあらゆるプロセッサ利用システム又はマイクロプロセッサ利用システムを含む。これらは単なる例であり、従って、「コンピュータ」という用語の定義及び／又は意味を限定することは意図されていない。
【００６８】
本明細書において使用される用語「ソフトウェア」及び「ファームウェア」は、互換性をもって使用され、コンピュータにより実行されるために、ＲＡＭメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭメモリ及び不揮発性ＲＡＭ（ＮＶＲＡＭ）メモリを含むメモリに格納されるあらゆるコンピュータプログラムを含む。ここで挙げたメモリの種類は単なる例であり、従って、コンピュータプログラムを格納するために使用可能なメモリの種類を限定するものではない。
【００６９】
なお、特許請求の範囲に記載された符号は、理解容易のためであってなんら発明の技術的範囲を実施例に限縮するものではない。
【図面の簡単な説明】
【００７０】
【図１】ＳＬＣ論理ユニットの一実施形態を例示するブロック線図。
【図２】ＳＬＣ論理ユニットの一実施形態のコントロールパネルスイッチを示す図。
【図３】本発明の一実施形態に従ったＳＬＣモード／サブモードを示す図。
【図４】ＳＬＣ論理ユニットの一実施形態の別のコントロールパネルスイッチを示す図。
【図５】ＳＬＣ論理ユニットのＳＬＣソフトウェアの一実施形態を例示するデータ流れ図。
【図６】ＳＬＣ論理ユニットのＳＬＣソフトウェアのＳＬＣソフトウェアコンポーネントアーキテクチャの一実施形態を例示するブロック線図。
【符号の説明】
【００７１】
１０…デジタルマイクロプロセッサ利用ＳＬＣ論理ユニット、１２…フロントパネル表示器、１４…リレーカード、１６…ＳＬＣ論理カード、１８…コンタクト入力カード、２０…光カード、２２…制御ＣＰＬＤ、２４…ＣＰＬＤ、２６…ＥＰＲＯＭメモリ、２８…ＲＡＭメモリ、３０…不揮発性ＲＡＭ（ＮＶＲＡＭ）、３２…状態／結果レジスタ、３４…マイクロプロセッサ、３６…ＳＬＣ注入論理、３８…ＳＬＣソフトウェア
【図１】
0005425356.tif 000002
【図２】
0005425356.tif 000003
【図３】
0005425356.tif 000004
【図４】
0005425356.tif 000005
【図５】
0005425356.tif 000006
【図６】
0005425356.tif 000007