(57)【要約】【課題】ＦＰＧＡなどのハードウエアロジックを用いた原子炉の安全保護計装システムにおける、スタティックな論理誤りや信号処理のタイミングに起因するエラーを防止することが可能な安全保護計装システムおよびその取扱方法を提供する。【解決手段】ディジタルロジックを用いて構築された原子炉の安全保護計装システムにおいて、入力の全てのロジックパターンに対する出力のロジックパターンがあらかじめ検証された機能ユニットと、前記機能ユニットを組み合わせて構成した機能モジュールとによりディジタルロジック部分が構成されたことを特徴とする安全保護計装システム。【選択図】  図１
2005249609.tif 000002
【特許請求の範囲】
【請求項１】
ディジタルロジックを用いて構築された原子炉の安全保護計装システムにおいて、入力の全てのロジックパターンに対する出力のロジックパターンがあらかじめ検証された機能ユニットと、前記機能ユニットを組み合わせて構成した機能モジュールとによりディジタルロジック部分が構成されたことを特徴とする安全保護計装システム。
【請求項２】
前記機能ユニットは、入力の全てのロジックパターンに対する出力のロジックパターンを個別にハードウエア上に実装して、設計仕様から求めた予測値と出力値とが一致することを確認した機能ユニットであることを特徴とする請求項１記載の安全保護計装システム。
【請求項３】
前記機能モジュールは、あらかじめ性能が検証された機能ユニットと同一のゲート構成を有する機能ユニットのみで構成されたことを特徴とする請求項１記載の安全保護計装システム。
【請求項４】
前記機能ユニットを組み合わせて構成した前記機能モジュールが、前記機能ユニットの出力を媒介するレジスタと、前記機能ユニットの信号処理のタイミングを合わせる遅延要素とを備えたことを特徴とする請求項１記載の安全保護計装システム。
【請求項５】
前記機能ユニットを組み合わせて構成した前記機能モジュールが、前記機能ユニットの出力を媒介するレジスタを備え、前記機能ユニットのうち前記レジスタを駆動するクロックが異なる機能ユニット間の信号を受け渡しするハンドシェイクを備えたことを特徴とする請求項１記載の安全保護計装システム。
【請求項６】
ハードウエアが実行する有効なプログラム文および動作経路を実行する入力パターン群を作成したソフトウェアを備え、前記入力パターンの割合または前記入力パターンの数が十分か評価するブランチカバレッジまたはトグルカバレッジを有し、入力に対する出力が設計仕様から求めた予測値と一致することを検証して機能ユニット間の接続を確認することを特徴とする請求項１記載の安全保護計装システム。
【請求項７】
前記機能モジュールの設計仕様に応じた入力パターンを作成し、前記機能モジュールの入力に対する出力が設計仕様から予測した予測値と一致することを確認するように構成したことを特徴とする請求項１記載の安全保護計装システム。
【請求項８】
前記機能モジュールの設計仕様に応じたアナログ信号パターンをディジタル変換して入力パターンとするＡＤ素子と、前記機能モジュールの入力に対する出力をアナログ変換してアナログ値とするＤＡ素子とを備え、前記アナログ値が設計仕様から予測した予測値と一致することを確認することを特徴とする請求項１記載の安全保護計装システム。
【請求項９】
前記機能ユニットにより２変数の乗算または比較を行い、２変数の一方を変数のビット数より少ないビット数のアドレスで指定可能な定数に置き換えることを特徴とする請求項１記載の安全保護計装システム。
【請求項１０】
前記機能ユニットが動作の正常修了を表す動作フラッグを受け渡す機能を備え、前記機能モジュールが前記動作フラッグを監視する機能を有し、前記機能モジュールからの出力が入力されて前記動作フラッグの有無を判定するトリップ判定器と、前記動作フラッグのない場合に動作不良信号を出力する異常診断回路を備えたことを特徴とする請求項１記載の安全保護計装システム。
【請求項１１】
前記機能ユニットが、出力の最大値および最小値を簡略式により算出する機能と、前記出力の最大値および最小値を受け渡す機能とを備え、前記出力の最大値および最小値の演算結果と信号値とを比較して信号値が妥当な値であることを判定するトリップ判定器と、動作不良信号を出力する異常診断回路を備えたことを特徴とする請求項１記載の安全保護計装システム。
【請求項１２】
ディジタル出力をアナログ値に変換した後に光に変換する第１の安全保護計装システムと、この光をアナログ値に変換した後ディジタル値に変換する第２の安全保護計装システムとを備え、前記第１の安全保護計装システムと前記第２の安全保護計装システムとを信号接続したことを特徴とする請求項１記載の安全保護計装システム。
【請求項１３】
ディジタルロジックを用いて構築された原子炉の安全保護計装システムの取扱方法において、安全保護計装システムを構成する機能ユニットへの全ての入力のロジックパターンに対する出力のロジックパターンを予め検証することを特徴とする安全保護計装システムの取扱方法。
【請求項１４】
複数の機能ユニットを備えた安全保護計装システムの各機能ユニットのデータ処理を、接続順にシリアルに動作する構成とし、そのシリアルに信号が伝送されていることを出力タイミングをモニタリングして確認し、その出力タイミングが設計どおりであることを検証することにより、安全保護計装システムの性能を検証することを特徴とする請求項１３記載の安全保護計装システムの取扱方法。
【請求項１５】
機能ユニットを備えた安全保護計装システムの前記機能ユニットが、前記機能ユニットの性能を検証した際の内部構造と同一の構造であることを確認する検証工程を備えたことを特徴とする請求項１３記載の安全保護計装システムの取扱方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、原子力プラントにおける安全保護系などに用いられる信頼性の高いディジタル信号処理装置で構成される安全保護計装システムおよびその取扱方法に関する。
【背景技術】
【０００２】
原子力プラントにおいては、プラントの安全性が損なわれるおそれのある異常が発生した場合や、あるいは、発生が予想される場合に、それを防止あるいは抑制するために安全保護計装システムが設けられている。この安全保護計装システムに関わる放射線計測装置は、何らかの原因によりプラント内の放射線量が上昇した場合に、プラント外への放射性物質の放出を抑制するために、放射線量が上昇している箇所を隔離したり、非常用のガス処理装置を作動させたりするための条件となる情報を各作動回路に提供することを目的に設けられている。
【０００３】
近年のプラントには、このような安全保護計装システムに関わる放射線計測装置としてディジタル信号処理が適用されており、ディジタルフィルタや、複数の信号をひとつのＣＰＵでディジタル演算する（例えば、特許文献１参照）。一方、ＣＰＵを用いずに、ハードウエアロジックであるＡＳＩＣ／ＦＰＧＡを用いたシステムもある（例えば、特許文献２参照）。このシステムは、ＣＰＵの代わりにＡＳＩＣが処理の手順を制御するもので、動作の単純化がなされている。
【特許文献１】特許第２６５３５２２号公報
【特許文献２】米国特許第５８５９８８４号明細書
【発明の開示】
【発明が解決しようとする課題】
【０００４】
一方、安全保護計装システムは、その重要性から、機器の多重化や独立化によって機器の単一故障による機能喪失を防止する等の要求がされているが、このようなソフトウェアを用いたディジタルシステムでは、冗長系に同一のソフトウェアを用いた場合、このソフトウェアの欠陥により機器の多重化の機能が損なわれる可能性が生じる。また、ディジタル処理は離散処理であるため、ある条件を満たした場合に、内部の欠陥によって特異な出力が生じるなどの予期できない動作が実行される可能性がアナログ素子よりも高いと考えられる。
【０００５】
よって、ソフトウェアを用いたディジタル処理では、設計および製作を通じて高品質を確保するための品質保証活動とともに、ソフトウェア欠陥による共通要因故障の排除および管理外の変更に対しての適切な防護措置を講じることが要求されている。特に、ソフトウェアの共通要因故障を防止する方法として、検証及び健全性確認活動（Ｖｅｒｉｆｉｃａｔｉｏｎ  ＆  Ｖａｌｉｄａｔｉｏｎ；以下、Ｖ＆Ｖと称する）を実施している。Ｖ＆Ｖとは、ディジタル型の安全保護系システムに要求される機能がソフトウェアの設計および製作の各過程において、上位の過程から下位の過程へ正しく反映されていることを確認する検証作業と、検証作業を経て製作されたシステムについて、要求機能が正しく実現されていることを確認する健全性確認作業からなる品質保証のための活動である。
【０００６】
一方、ＣＰＵの代わりにＡＳＩＣまたはＦＰＧＡを用いたシステムは、最終的にハードワイヤードなロジックとして構成されるため、ＣＰＵ処理と異なり、処理が決定的であるため処理時間も確定可能である。よって、これらＦＰＧＡを用いたシステムは、ディジタルロジックの半導体素子と見なすことができるので、その試験方法を適用してシステムを検証することが可能である。つまり、半導体素子の全入力および全内部状態に対する出力とを設計仕様から算出した予測値と比較できれば、タイミングに起因する欠陥以外の定常的な入出力特性は完全に検証できる。この検証方法は、ｅｘｈａｕｓｔｉｖｅ  ｔｅｓｔｉｎｇと呼ばれる。
【０００７】
ただし、実際のＡＳＩＣ素子等においては、全入力ビット数と素子内部の状態の合計パターンが膨大となるため、全入力および全内部状態のパターンに応じた出力パターンをすべて予測値と比較することは困難である。よって、欠陥を効率的に見つけられる入力パターン列を評価することが重要となる。例えば、素子内部のロジックパターンから評価して内部のレジスタが１度は動作する入力パターン群や、または、Ｓｔａｃｋ  ａｔ  ｆａｕｌｔの故障モードを想定し、この故障を検出可能な入力パターン列を故障シミュレーションして算出している。
【０００８】
しかしながら、上述の検証方法は、あくまでも一部の入力パターンについて試験するものであるため、内部ロジックの組み合わせによって生じるような欠陥や、故障シミュレーションで想定しなかった故障については検出することができないという問題があった。
【０００９】
さらに、ロジックをＦＰＧＡなどのハードウエアに実装する過程においては、ハードウエアの構成を記述するソフトウェアおよびこれらを実際のＦＰＧＡ上のロジックに展開する論理合成ツールなどの汎用ソフトウエアツールが必要となる。よって、これら市販ソフトに内在する欠陥を排除するために、設計段階からの高い信頼性を確保する必要がある。
【００１０】
上述したｅｘｈａｕｓｔｉｖｅ  ｔｅｓｔｉｎｇを計装システムの性能検証に用いることができれば、スタティックなロジックエラー（確定的な論理誤り）はないことを示すことが可能であるが、上記検証方法が実施できない場合は、従来のソフトウェアと同等のＶ＆Ｖなどの検証が必要となると考えられる。
【００１１】
ただし、ＦＰＧＡを用いたシステムは、ＣＰＵ処理と異なって処理が決定的であり、処理時間も一般に確定可能である。また、単一ループで、単一の処理のみを実行可能であり、信頼性の高いシステムを構成するための設計条件を満たしやすいという特徴がある。
【００１２】
上述したように、計装システムの検証性の観点からはハードウエアロジックに原子炉安全系システムを実装するメリットは高いが、課題として、全入力パターンに対する出力パターンの検証が必要であるため、ｅｘｈａｕｓｔｉｖｅ  ｔｅｓｔｉｎｇ相当の検証レベルで確認する必要がある。
【００１３】
従って、入力に対する出力の特性が設計どおりであることを容易に確認することができるシステムおよびそれを用いた検証方法が求められていた。
【００１４】
また、前記したスタティックな論理誤り以外にも内部の動作タイミングに起因するエラーがある。例えば、温度などの環境条件により内部ロジック間の伝送の遅延時間が変動した場合、雰囲気条件により誤動作する可能性がある。また、外部などの非同期部分とのデータ交換時には、受け取りタイミングにより値が確定しない場合もある。
【００１５】
これらタイミングに起因するエラーを防止するには、設計段階でタイミングシミュレーションなどにより余裕をもった設計を行うとともに、外部とのインターフェイス部には、値が不定になりにくい同期化設計を採用するなどの一般的な設計手法を適用する必要がある。
【００１６】
つまり、ＦＰＧＡを用いた安全系システムにおいても、これらのタイミングに起因する欠陥を防止しやすい構造および試験方法を採用することが重要であり、こうした構造のシステムおよび試験方法の開発が求められていた。
【００１７】
本発明は、上述したような事情を考慮してなされたものであり、ＦＰＧＡなどのハードウエアロジックを用いた原子炉の安全保護計装システムにおける、スタティックな論理誤りや信号処理のタイミングに起因するエラーを防止することが可能な安全保護計装システムおよびその取扱方法を提供することを目的とする。
【課題を解決するための手段】
【００１８】
本発明の安全保護計装システムは、上述した課題を解決するため、ディジタルロジックを用いて構築された原子炉の安全保護計装システムにおいて、入力の全てのロジックパターンに対する出力のロジックパターンがあらかじめ検証された機能ユニットと、前記機能ユニットを組み合わせて構成した機能モジュールとによりディジタルロジック部分が構成されたことを特徴とするものである。
【００１９】
また、本発明の安全保護計装システムの取扱方法は、ディジタルロジックを用いて構築された原子炉の安全保護計装システムの取扱方法において、安全保護計装システムを構成する機能ユニットへの全ての入力のロジックパターンに対する出力のロジックパターンを予め検証することを特徴とする方法である。
【発明の効果】
【００２０】
本発明の安全保護計装システムおよびその取扱方法によれば、ハードウエアロジックを用いた原子炉安全系システムにおける、論理誤りや信号処理のタイミングに起因するエラーを防止することにより、安全性を向上することが可能となる。
【発明を実施するための最良の形態】
【００２１】
本発明に係る原子炉安全保護計装システムの実施の形態について図１〜図９を用いて以下に説明する。
【００２２】
（実施例１）
図１に、本発明に係る安全保護計装システムの実施例１の構成図を示す。
【００２３】
図１において、原子炉内に設置されているセンサ１ａ、センサ１ｂの出力は、安全保護計装システム２に入力され、この安全保護計装システム２により異常の有無を判定してトリップ信号を出力する構成である。安全保護計装システム２の内部には、センサ１ａ，センサ１ｂの信号をアナログで波形整形・増幅した後にディジタル値に変換するＡＤ素子３ａ，ＡＤ素子３ｂが設けられている。ＡＤ素子３ａ，ＡＤ素子３ｂが出力するディジタル値は、フィルタ回路４ａ，フィルタ回路４ｂで信号変換される。このフィルタ回路４ａ，フィルタ回路４ｂは、複数の機能ユニット５を組み合わせて構成されている。図１において、フィルタ回路４ａ，フィルタ回路４ｂ、信号処理回路６、トリップ判定器７が機能モジュールである。
【００２４】
以下に機能ユニット５の構成および作用について説明する。
【００２５】
機能ユニット５は、例えば、Ｄフリップ・フロップ、ラッチ、８ビットデコーダ、８ビットカウンタ、８ビットシリアルパラレル変換、８ビット・８ビット入力−加算器、８ビット・８ビット入力−乗算器、８ビット・８ビット−比較器等から選択されるユニットであり、機能ユニット５に対する全入力パターンに対する出力パターンが、設計仕様から期待される予測値のパターンとすべて一致していることを確認することが可能なロジックである。
【００２６】
本実施例においては、入力ビット数は８ビットとしているが、入力のビット数は、実際にはテストできるビット数に制限する。この全入力パターンについて検証された機能ユニット５を用いて、内部の各機能（機能モジュール）および全体の原子炉安全保護計装システムを構築することにより、全体の入力に対して検証可能な、信頼性の高い安全保護計装システムを構築することができる。
【００２７】
図２に、機能ユニット５ａを試験する構成図を示す。なお、以下の記述において、機能ユニット５に付したアルファベットは、構成が異なる機能ユニット同士を区別するものである。アルファベットを付さず、単に機能ユニット５と記述したものは、共通の構成についての記述を示す。
【００２８】
図２に示すように、機能ユニット５ａを実ハードウエアに実装して信号発生器８からの信号を入力する。一方、機能ユニット５ａの出力は、信号受信器９で測定され、判定装置１０において入力パターンに対する予測値と受信した信号とを比較して、機能ユニット５ａの異常の有無を検出する。機能ユニット５ａへの全入力パターンに対して異常が検出されなければ、機能ユニット５ａとして認証する。
【００２９】
上記のように、実ハードウエアであるＦＰＧＡに実装して試験することにより、論理合成ツールやＦＰＧＡへの書き込みツール等の市販ソフトのエラーを同時に検証することが可能となる。
【００３０】
機能ユニット５の内部は、Ａｎｄ回路、ＯＲ回路などのＦＰＧＡ素子ハード固有の基本要素で構成されている。しかし、これらの機能ユニット５を組み合わせて機能モジュールを実現する場合には、論理合成ツールが論理すなわち基本要素の組み合わせの最適化を実施するため、単体で検証したロジック構成と異なる構成でハードウエアに実装される。そのため、組み合わせた場合に論理の最適化を行わないように論理合成ツールまたはＦＰＧＡに実装する配置配線ツールのオプションを選定し、検証に用いたロジック構成と同一のロジックが機能モジュール内部に実装されていることを確認した後に、各機能モジュールを構築していく。
【００３１】
また、全体の安全保護計装システムが完成した後にも、内部の機能ユニット５が、試験で用いたロジック構成と同一であることを目視等により行うことにより、安全保護計装システム全体が検証された機能ユニット５で構成されていることを確認する。
【００３２】
図３に、機能ユニット５をフィルタ回路４ａに実装した構成図を示す。これは、図２の構成により試験された機能ユニット５ａを実装した機能モジュールである。
【００３３】
機能ユニット５ａは、フリップフロップで信号を出力する構成を採用することにより、内部のロジック構成を維持した状態で機能モジュールに実装することが可能となる。例えば、２４ビットの加算器は、検証された１２ビットの加算器を２つ組み合わせて構成することが可能であるが、本発明の安全保護計装システムは、１２ビット加算器のロジック構成を維持するために、１２ビット加算器の出力ごとにフリップフロップを設ける。フリップフロップとは、安定状態を保つように構成された２つの回路を示す。このように構成された１２ビットの加算器の出力は、フリップフロップが１クロックで動作すると考えた場合、２クロック分、出力が遅延する。
【００３４】
本発明の安全保護計装システムは、１クロックで出力が得られる多ビット入力の演算回路を、機能の検証が可能な小ビット入力の機能ユニット５ａ，機能ユニット５ｂ，機能ユニット５ｃに分割し、複数のクロックで演算結果を得る構成とする。このような構成とすることにより、全入力に対する機能の検証が容易になるとともに、各ロジックのタイミングによるエラーも防止できる。
【００３５】
すなわち、タイミングエラーはフリップフロップ間のロジックの組み合わせで生じる遅延時間が、フリップフロップを駆動するクロックに比べて長くなった場合に発生するが、本実施例の安全保護計装システムのように、組み合わせ回路部分を分割することにより遅延時間を短くでき、また個別にタイミングを検証することが可能となる。図３に示す構成は、機能ユニットの組み合わせ数に応じて出力が得られるまでのクロック数が異なるため、２つの信号の比較や加算などを実行する場合には、遅延素子１１を設けてタイミングを調整する。
【００３６】
図４に、機能ユニット間のクロックおよびデータの受け渡しの構成図を示す。
【００３７】
機能ユニット５間のデータ転送時のタイミングエラーを低減するには、機能ユニット５内のフリップフロップを同一のクロック周期で、しかも、クロックの立ち上がりなどの同一タイミングで駆動するような構成とする。
【００３８】
一方、異なるクロック周期を用いる場合は、図４に示すように、データ送受信の可・不可を判断するハンドシェイクを機能ユニット５ｂと信号処理回路６の間に用い、データ受け渡しを確保することにより、機能ユニットの接続に起因するタイミングエラーを除去することが可能である。
【００３９】
以上説明のように、本実施例の安全保護計装システムによれば、全入出力パターンが検証された機能ユニットを、その内部ロジック構成を維持した状態で各機能モジュールに組み込むことにより、定常的なロジックの欠陥を削除できる。また、機能ユニット内のフリップフロップにより、もうひとつの発生しやすいエラーであるタイミングエラーについてもタイミング余裕のある設計が可能となり、機能モジュール内でのタイミング検証も容易となる。さらに、機能ユニット間の伝送にハンドシェイクを用いることにより、これらの接続に起因するタイミングエラーも除去することが可能となる。
【００４０】
（実施例２）
実施例１の安全保護計装システムは、機能ユニット内のロジックが正常に動作するので、タイミングに起因するエラーもロジックの正常な接続により削除可能である。しかし、機能ユニットが間違って接続されたり、設計仕様に記載されない機能ユニットがソフトウェア上に内在する可能性もある。こうしたケースを解決する手法として本発明の安全保護計装システムの実施例２を示す。
【００４１】
図５に、実施例２の安全保護計装システムに係るコンパレータを記述したソフトウェア（ＶＨＤＬ文）の一例を示す。
【００４２】
機能ユニット５ａはＶＨＤＬ言語の記述では、ポート文によって呼び出される。機能ユニット５ａ内の数値のパターンは、事前に検証されているため、ＶＨＤＬ文法上で機能ユニット５ａを正しく呼び出し可能なことが確認できれば、機能ユニットは正しく接続されていると判断できる。
【００４３】
つまり、実施例２の構成において、図５のＶＨＤＬ文内の定義文と異常時を想定して作成された冗長処理分を除いた、実際の実行に寄与するＶＨＤＬ文の動作を検証できれば、機能ユニットの接続が正しいと確認できる。
【００４４】
このＶＨＤＬ文の実行の有無を評価するパラメータとして、一般にカバレッジ率というパラメータを使用する。全ＶＨＤＬ文に対するソフトウェアで実行したＶＨＤＬ文の割合を示したものをステートメントカバレッジと呼ぶ。また、ＩＦ文等の分岐がある場合は、成立または不成立の両方をカウントして全体経路のパターンに対する実行経路数を示したものをブランチカバレッジと呼ぶ。また、機能ユニット５内部の信号が（Ｈｉｇｈ→Ｌｏｗ→Ｈｉｇｈ）と変化した信号の割合で示すものとしてトグルカバレッジがある。
【００４５】
実施例２の安全保護計装システムは、ブランチカバレッジまたはトグルカバレッジを評価指標として、すべての分岐条件を動作させる入力パターン群を作成し、その入力パターンに対する出力と設計仕様から求めた予測値とが一致することを確認することにより機能ユニットの接続が正しく行われていることを検証する。特に、トグルカバレッジは、論理合成後のネットリスト上でもカバー率が評価可能であり、論理合成の影響を受けにくいという特徴がある。
【００４６】
また、機能ユニット５が正常に接続されていることは、機能モジュールが設計仕様どおりの機能を有していることを確認する機能試験を実施することによっても確認できる。つまり、仕様に記載された性能を確認するための入力パターン群を作成し、その入力群に対する出力を予測値と比較し、差異のないことを確認することにより機能ユニットの接続を検証可能である。
【００４７】
この機能モジュールの機能を確認する機能試験においては、ディジタル値を入力し、出力のディジタル値と予測値とを比較して差異の有無を検出する。しかし、ディジタル値で比較する場合、１パターンの試験に必要な時間が数μ〜数ｍｓｅｃ必要となり、多数の信号パターンを迅速に評価することが難しい。
【００４８】
そこで、図６に示すように、アナログ信号発生器１２の信号を、ＡＤ素子１３を介して機能モジュールａに入力する。この出力はＤＡ素子１４を介してアナログ信号に変換され、アナログ信号受信器１５で計測されて設計仕様から算出した予測値と比較することによって、出力と予測値との差異の有無を高速に比較評価することが可能となる。本実施例のようにＡＤ素子１３，ＤＡ素子１４を用いた方法によれば、ディジタル値で比較する場合に比べ、微小な差異については検出できないが、測定に影響する測定精度以上の大幅な変動を検出することにより機能を検証するには十分である。また、多数のパターンを高速で処理できるため、ディジタル特有の不連続点や特異点の検出に有効である。
【００４９】
次に、機能試験のテストパターンの選定方法を図７、図８を用いて説明する。図７は、フィルタ機能モジュールを検証する場合の入力信号の大きさの選定方法の一例である。図７に示すグラフの縦軸が数値のビット幅を模式的に示したもので、横軸がロジックの処理数を示したものである。
【００５０】
フィルタ回路である機能モジュール内部の、あるビット数のある処理手順でエラーが発生した場合、フィルタ回路は線形であり、値の制限を行っていなければ、図７のように後段の処理へエラーが伝播する。また、出力をＤＡ変換してアナログ値で評価する場合は、出力の下位ビット数の変動は、ＤＡ素子および回路ノイズの影響で測定できない。
【００５１】
そこで、入力のレベルを例えば、Ｔ１〜Ｔ４に分割し、ぞれぞれの入力に対応する出力レンジで測定することにより、ディジタル値のフルビット幅のエラーを検出することが可能となる。つまり、出力におけるエラー識別精度に応じて、入力の信号の大きさ（入力のレベル）を調整することでフィルタ内部に内在するエラーを検出できる。
【００５２】
図８に、機能として周波数特性を試験する場合の、周波数測定点の選定方法の説明図を示す。
【００５３】
ディジタルフィルタは、オーバーフローが生じない条件を設計で満たせば、線形時不変システムであるので、代表周波数で評価することが可能である。また、サンプリング周波数の１／２で折り返す特性を有するため、サンプリング周波数の１／２以下の範囲で検証することを基本とし、それ以上ではサンプリング周波数の１／２の倍数で谷が現れることのみ確認する。
【００５４】
図８の波形の例は、４０ＭＨｚサンプリングのローパスフィルタに、１ＭＨｚサンプリングのハイパスフィルタを重ねた合計の周波数特性を示す。図８の実線は、１ＭＨｚのハイパスフィルタの周波数特性を示し、破線が合計の周波数特性を示す。
【００５５】
実線で示すハイパスフィルタの周波数特性は、１ＭＨｚのサンプリングのため、５００ｋＨｚで周波数特性が折り返す形状となっており、この５００ｋＨｚ以下の領域Ａの周波数範囲の特性を検証すれば、本ハイパスフィルタの特性は検証できる。
【００５６】
一方、破線で示す４０ＭＨｚサンプリングのローパスフィルタは、領域Ｂのうち２０ＭＨｚ以下の帯域でその減衰特性を検証する必要がある。ただし、ハイパスフィルタの影響により、２０ＭＨｚ以下の周波数帯域では山、谷の特性を繰り返すため、この山相当の周波数を選定に、この包絡線を評価することで、ローパスフィルタの減衰特性を検証する。つまりディジタルフィルタの周波数特性を検証する場合、サンプリング周波数の１／２で周波数帯域を分類し、設計仕様に応じて測定点を選定する。
【００５７】
上述したように、本実施例の安全保護計装システムによれば、ブランチカバレッジを１００％とする全入力パターンを作成し、各入力パターンに対する出力パターンを順次確認していくことにより、各機能モジュール内の機能ユニットがすべて正常に接続されていることが確認可能となる。また、各機能モジュールの機能を確認する機能試験によっても、機能ユニットが正常に接続されていることを確認できる。機能試験においては、ＡＤ素子，ＤＡ素子を用いてアナログ信号によって比較することで、多数のパターンを連続的に試験可能であり、原子炉安全計装システムの性能の検証が容易となる。
【００５８】
（実施例３）
図９に、乗算器１６によって全入力に対する出力パターンを検証する場合のテスト範囲を示す。
【００５９】
乗算器１６のみを機能ユニットとしたテスト範囲Ａ´の場合、乗算器の２つの入力は１６ビットであるため、全入力パターンは、２（１６＋１６）となり、このパターンを数日で検証することは困難である。しかし、フィルタ処理を想定した場合、信号変数に対して一定の定数を乗算するパターンがほとんどである。
【００６０】
そこで図９に示すように、本実施例の安全保護計装システムは、ルックアップテーブル（ＬＵＴ）１７で定数を選択して乗算器１６に定数を入力する構成とする。
【００６１】
このように構成した安全保護計装システムは、機能ユニットをテスト範囲Ｂ´とした場合、データを選択するアドレスは４ビットであるため、テスト範囲Ｂの入力ビット数は、４＋１６＝２０ビットとなり、この場合のテストパターン数は２（４＋１６）となるので、全入力パターンに対する出力を試験評価することが容易となる。
【００６２】
上述したように、本実施例の安全保護計装システムによれば、機能ユニット内部にルックアップテーブルを設けることにより全入力パターン数を削減できる。
【００６３】
（実施例４）
図１０に、検証された機能ユニットから構成された原子炉安全保護計装システムにおける自己診断機能の説明図を示す。
【００６４】
機能ユニット５から構成された機能モジュールは、機能ユニット５を多数内蔵しているために、数クロック遅れて出力が得られる。そこで、出力時に、出力のデータとともに正常終了時には動作フラッグを、出力先の機能モジュールに伝送する。この動作フラッグは、複数の機能モジュール間をリレー式で伝達し、トリップ判定器７における動作フラッグの有無を異常診断回路１８で判断し、一定時間以上動作フラッグが存在しない場合など、正常時の特性と大幅に異なるケースは、動作不良出力を出力する。
【００６５】
他に、出力有無の動作フラッグの他に、図１１に示すように、各機能モジュールの入力パターンに対する出力パターンの範囲を近似式で算出し、実際の出力値がその範囲を逸脱した場合に、動作不良出力を出力する。
【００６６】
本実施例によれば、機能ユニットまたは機能モジュール単位でフラッグまたは数値範囲を設定し、自己診断機能を設けたので、プラントに設置された後に生じる欠陥を防止することが可能となる。
【００６７】
（実施例５）
図１２に、ロジックパターンが検証された機能ユニットから構成された原子炉安全保護計装システムにおける、信号分離方法の説明図を示す。
【００６８】
この実施例５は、第１の安全保護計装システム２ｂと第２の安全保護計装システム２ｃの信号伝送の独立性を確保するために光伝送を用いる。つまり、信号伝送側である第１の安全保護計装システム２ｂにおいては、伝送データをＤＡ素子１４でアナログ信号に変換し、そのアナログ信号をＥＯ変換器１９によって電気・光学変換し、光の強度または変調データにより伝送する。一方、信号の受信側となる第２の安全保護計装システム２ｃは、光強度データまたは変調データをＯＥ変換器２０で光・電気変換を行った後に、ＡＤ素子１３でＡＤ変換してディジタル値へ変換する。
【００６９】
また図１３に示す構成は、第１の安全保護計装システム２ｂにおいてＦＰＧＡで処理するディジタルデータをＤＡ変換素子１４で一度アナログ信号に変換した後に、再度ＡＤ素子１３でディジタルデータに変換し、そのディジタルデータをＥＯ変換器１９で光のディジタルデータで伝送する。第２の安全保護計装システム２ｃにおいては、第１の安全保護計装システム２ｂのディジタル光データをＱＥ変換器２０でディジタルデータに変換してディジタル処理に用いる。
【００７０】
同一のディジタル値を複数の独立なシステムに分配する場合、あるデータパターンで誤動作するソフトウェアが各システムに内在すると、同一データが入力されることにより、同時に故障するケースが考えられる。そこで、本実施例の安全保護計装システムは、データをアナログ値に変換することにより、ノイズ成分が伝送信号に加えられることで、同一のディジタルデータが同時に異なるシステムに伝送されることを防止できる。
【００７１】
本実施例の安全保護計装システムによれば、機能ユニットを用いた原子炉安全保護計装システムの独立性を確保するとともに、ディジタル信号処理を用いた安全系システムの課題である共通モード故障の発生割合を低減することが可能となる。
【００７２】
（実施例６）
図１４に、本発明の実施例６の安全保護計装システムの基本構成図を示す。
【００７３】
図１４に示す安全保護計装システムは、機能ユニット５ａ、機能ユニット５ｂ、機能ユニット５ｃが相互に接続され、これらの機能ユニットが一つにＦＰＧＡに格納されている。
【００７４】
これらの機能ユニット間の信号伝送は、フリップフロップによってクロックに同期して出力されるが、その出力タイミングは、機能ユニットによって異なる構成とすることが可能である。本実施例においては、図１４において、機能ユニット５ａの出力が、機能ユニット５ｂに入力された後に、機能ユニット５ｂの信号処理を行うように、機能ユニットがデータというバトンを順次に渡して処理を行う構成とする。
【００７５】
このような構成に機能ユニットを接続することにより、バトン（データ）の渡るタイミングを監視することで、処理動作自体の検証が可能となる。つまり、図１４に示す外部ピンＡ２１，外部ピンＢ２２，外部ピンＣ２３，外部ピンＤ２４を設け、これらの機能ユニットの信号をモニタリングすることにより、設計どおりのタイミングで動作することを検証することができる。また、動作中も、各タイミングの変動を監視することで、動作の不具合を検出することが可能となる。
【００７６】
図１５に、実際にＦＰＧＡの外部ピンから内部の機能ユニットの出力タイミングをモニタした一例を示す。図１５の下部側が入力信号で、上部側に順に外部ピンＡ２１，外部ピンＢ２２，外部ピンＣ２３，外部ピンＤ２４，外部ピンＥ２５の出力信号が示されている。
【００７７】
下部側に信号（データ）が入力されると、下部側に近いロジックから順番に信号を転送し、最終的に上部側の出力段が出力される。この信号伝送のタイミングは、図１５に示す複数のロジック信号により確認できる。このロジック信号のタイミングは、設計固有のものであり、このロジック信号のタイミングを監視することで、設計どおりのロジックが実装されているかどうか検証可能である。また、通常動作中もこれらロジック信号のタイミングをモニタリングする機能を別途、設けておくことにより、動作中の異常な加熱等による内部信号ラインの遅延時間の増大によるロジック演算の誤動作を監視することが可能となる。
【００７８】
以上、本実施例の安全保護計装システムによれば、各機能ユニットがシリアルに動作し、その信号を順次伝送する構成とし、その信号伝送タイミングをモニタリングすることにより、設計どおりの論理がＦＰＧＡに実装されていることが検証できる。また、異常診断方法として、これら信号伝送の順番、タイミングをモニタすることにより、信頼性の高い安全保護計装システムが構築可能である。
【００７９】
（実施例７）
図１６に、実施例７の安全保護計装システムの構成図を示す。
【００８０】
例えば、図１６に示すような安全保護計装システムは、同一の機能ユニット５が４つシリアルに接続され、それらの出力がフリップフロップで同期して出力される構成となっている。このような構成とした安全保護計装システムにおいて、各機能ユニット５が、接続前の単体の機能ユニット５と同じロジック構成であることを検証することにより、単体の機能ユニット５で検証した場合と同じ機能が安全保護計装システムに実装されていることが保証される。
【００８１】
すなわち、図１６に示す安全保護計装システムの各機能ユニット５の内部は、単体での試験時に性能の健全性が確認されている。この機能ユニット５を図１６のように接続し、論理合成後も性能が維持されていることを、論理合成後に目視等で確認する検証方法を採用することにより、安全保護計装システムにおける機能ユニット５の健全性が保証される。
【図面の簡単な説明】
【００８２】
【図１】入出力特性が検証された機能ユニットから構成された本発明の安全保護計装システムの構成図。
【図２】機能ユニットの入出力特性を検証する試験方法の構成図。
【図３】機能モジュールの内部構成を説明する構成図。
【図４】機能モジュールのクロックの同期化と、非同期部分のハンドシェイクの信号伝送を説明する構成図。
【図５】ブランチカバレッジを指標とする構造テストを説明する構成図。
【図６】ＡＤ素子およびＤＡ素子により信号を検証する構成図。
【図７】入力信号のレベルを調整してエラーを検証する構成図。
【図８】信号の周波数特性を検証する構成図。
【図９】機能ユニットの試験パターンのルックアップテーブルによる削減手法を説明する構成図。
【図１０】本発明の安全保護計装システムによるシステムの第一の自己診断方法を説明する構成図。
【図１１】本発明の安全保護計装システムによるシステムの第二の自己診断方法を説明する構成図。
【図１２】本発明の安全保護計装システムによる信号分離手法の説明図。
【図１３】第１の安全保護計装システムと第２の安全保護計装システムを信号接続して構成した安全保護計装システムの構成図。
【図１４】本発明の安全保護計装システムにおける機能ユニットのシリアル動作とそのタイミング監視による検証・診断方法を説明する構成図。
【図１５】本発明の安全保護計装システムにおける出力タイミングの監視例を示す模式図。
【図１６】本発明の安全保護計装システムにおける機能ユニットの接続例を示す構成図。
【符号の説明】
【００８３】
１  センサ
２  安全保護計装システム
３  ＡＤ素子
４  フィルタ回路
５  機能ユニット
６  信号処理回路
７  トリップ判定器
８  信号発生器
９  信号受信器
１０  判定装置
１１  遅延素子
１２  アナログ信号発生器
１３  ＡＤ素子
１４  ＤＡ素子
１５  アナログ信号受信器
１６  乗算器
１７  ルックアップテーブル
１８  異常診断回路
１９  ＥＯ変換器
２０  ＯＥ変換器
２１  外部ピンＡ
２２  外部ピンＢ
２３  外部ピンＣ
２４  外部ピンＤ
２５  外部ピンＥ
【図１】
2005249609.tif 000003
【図２】
2005249609.tif 000004
【図３】
2005249609.tif 000005
【図４】
2005249609.tif 000006
【図５】
2005249609.tif 000007
【図６】
2005249609.tif 000008
【図７】
2005249609.tif 000009
【図８】
2005249609.tif 000010
【図９】
2005249609.tif 000011
【図１０】
2005249609.tif 000012
【図１１】
2005249609.tif 000013
【図１２】
2005249609.tif 000014
【図１３】
2005249609.tif 000015
【図１４】
2005249609.tif 000016
【図１５】
2005249609.tif 000017
【図１６】
2005249609.tif 000018