(57)【要約】本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムは、各チャンネル毎に２つの比較論理プロセッサー２０、２つの同時論理プロセッサー３０、システム連係プロセッサー４０、開始回路５０、原子炉停止６０、工学的安全設備作動システム７０、補修試験盤８０及び運転員モジュール９０を含む実質的に同じ構成の４つのチャンネルを具備し、前記各チャンネルに具備された１つの比較論理プロセッサーと同時論理プロセッサーとはそれぞれＡタイプのＣＰＵとＢタイプの運営体制とを使用し、前記各チャンネルに具備された他の１つの比較論理プロセッサーと同時論理プロセッサーとはそれぞれＣタイプのＣＰＵとＤタイプの運営体制とを使用し、ここで前記ＡタイプＣＰＵとＣタイプＣＰＵ及び前記Ｂタイプ運営体制とＤタイプ運営体制とはそれぞれ相異なる種類のものであり、前記同時論理プロセッサーはトリップ変数毎に独立的な２／４同時論理によって前記４つのチャンネルのうち２つのチャンネル以上の比較論理プロセッサーでトリップ状態が発生すれば、原子炉停止及び工学的安全設備作動システムを作動させるために開始回路にトリップ信号を送るように構成される。
2004529353.tif 000002
【特許請求の範囲】
【請求項１】
各チャンネル毎に２つの比較論理プロセッサー、２つの同時論理プロセッサー、システム連係プロセッサー、開始回路、原子炉停止、光学的安全設備作動システム、補修試験盤及び運転員モジュールを含む実質的に同一な構成の４つのチャンネルを具備し、
前記各チャンネルに具備された１つの比較論理プロセッサーと同時論理プロセッサーとはそれぞれＡタイプのＣＰＵとＢタイプの運営体制とを使用し、前記各チャンネルに具備された他の１つの比較論理プロセッサーと同時論理プロセッサーとはそれぞれＣタイプのＣＰＵとＤタイプの運営体制とを使用し、ここで前記ＡタイプＣＰＵとＣタイプＣＰＵ及び前記Ｂタイプ運営体制とＤタイプ運営体制とはそれぞれ相異なる種類のものであり、前記同時論理プロセッサーはトリップ変数毎に独立的な２／４同時論理によって前記４つのチャンネルのうち２つのチャンネル以上の比較論理プロセッサーでトリップ状態が発生すれば、原子炉停止及び光学的安全設備作動システムを作動させるために開始回路にトリップ信号を送るように構成されたことを特徴とするソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム。
【請求項２】
前記１つの比較論理プロセッサーと同時論理プロセッサーとは順番が定められたトリップ処理信号変数を順番の順方向に論理処理し、前記他の１つの比較論理プロセッサーと同時論理プロセッサーとは順番の逆方向に論理処理することを特徴とするソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム。
【請求項３】
前記１対の同時論理プロセッサーのデジタル出力モジュールのリレー接点がワイヤー配線方式に連結されて論理的“ＯＲ”回路を構成することを特徴とする請求項１に記載のソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム。
【請求項４】
前記比較論理プロセッサー及び同時論理プロセッサーはＶＭＥ ｂｕｓを使用する単一ボードコンピュータで具現されることを特徴とする請求項１に記載のソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム。
【請求項５】
（ａ）状態図を使用してソフトウェア要件明細書を作成する段階と、
（ｂ）相異なる運営体制を使用する各ソフトウェアに対する設計説明書を作成する段階と、
（ｃ）前記作成された設計説明書より各ソフトウェアをコーディングする段階と、
（ｄ）前記コーディングされた各ソフトウェアに対するモジュール試験を行う段階と、
（ｅ）前記各ソフトウェアに対する前記試験結果を比較して間違い発生の如何を確認する段階と、を含むデジタル原子炉保護システムのための高信頼度ソフトウェア生産方法。
【請求項６】
前記（ａ）段階前に、
システム設計要件明細書を作成する段階と、
前記作成されたシステム設計要件明細書をシミュレーション道具を利用して分析する段階と、
前記分析結果、異常のない場合、前記作成されたシステム設計要件明細書を確定する段階と、をさらに含む請求項６に記載のデジタル原子炉保護システムのための高信頼度ソフトウェア生産方法。
【請求項７】
前記（ｅ）段階後に、
前記モジュール試験結果と前記シミュレーション道具を利用した分析結果との一致性を確認し、ソフトウェアの開発を完了する段階をさらに含む請求項５または請求項６に記載のデジタル原子炉保護システムのための高信頼度ソフトウェア生産方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、デジタル原子炉保護システムに係り、より詳細には、他の機種のＣＰＵと相異なる運営体系のシステム構造で共通類型故障をシステム自体的に排除して信頼度と安定性を向上させたデジタル原子炉保護システムに関する。
【背景技術】
【０００２】
原子炉保護システム（Ｒｅａｃｔｏｒ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）は、原子力発電所の運転中に原子炉及び発電所に異常状態が発生する時、あらゆる制御棒を速かに炉芯下部に落下させて原子炉の運転を停止させる重要な安全システムであって、発電所運転状態が安全に維持されるかを確認するために安全関連運転変数を常時監視し、運転変数が定められた安全システム設定値に到達すれば、正確で速かに原子炉を停止させるのに必要な感知器、演算器、論理回路及び停止遮断器で構成されている。
【０００３】
すなわち、原子炉及び核蒸気供給システムとタービンシステムなどで測定された安全関連運転変数値が正常的な運転条件を外れる場合、原子炉停止論理によって停止遮断器を開放することによって原子炉の運転を停止させる。
【０００４】
従来の原子炉保護システムは６０年代のアナログ技術に基づいた電子回路及びリレーで構成されている。このような原子炉保護システムは古里２、３、４号機、霊光１、２、３、４、５、６号機、蔚珍３、４号機に設置、運営されている。しかし、最近、コンピュータ及びデジタル技術の急速な発展につれてアナログ機器は漸次デジタル機器に交替されており、これと共にアナログ機器を生産する供給業者も少なくなった。したがって、これを解決するために原子力発電所の計測制御システムにデジタルシステムを適用することによってアナログシステムの予備部品の確保及び部品断種の問題点が解決され、機器老朽化によるドリフトが除去される一方、セルフ診断及び自動試験の具現により補修及び定期試験にかかる時間短縮など経済的、技術的に多くの長所がある。したがって、最近、設計される原子力発電所保護システムにデジタルシステムを導入するためにこれに関連した技術研究が進行されている。
【０００５】
一例で、大韓民国特許公開２００１−００１３４４２号公報には、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）を使用して多重構造のプロセッサーを複数のチャンネルに多重化させることによって、信頼度を向上させた技術が開示されている。ＰＬＣはプロセッサー当たり処理する入出力数が比較的少ないので、単純な工程制御用として使われ、特に単純なソフトウェア使用で運転及び維持補修が比較的優秀な長所を有するが、製作社別に規格化されていないので、異機種間にはゲートウェーを使用するか送受信データに制限される問題点がある。すなわち、ＰＬＣ制御機器は異機種間のプロセッサー及び出力装置間に互換性のない問題点がある。
【０００６】
また、デジタルシステムでは信頼度向上のためにアナログシステムで考慮しなくてもいいソフトウェア共通類型故障（Ｃｏｍｍｏｎ Ｍｏｄｅ Ｆａｉｌｕｒｅｓ）問題を解決せねばならない。すなわち、デジタルシステムは機能がソフトウェアによって具現され、ソフトウェアはプログラマーが作成するために個人の特性及び能力によって生産されるソフトウェアの品質は規格化されず、また個人の誤りや失敗が生産されたソフトウェア内に存在する可能性が高い。このように発生された誤りや失敗が運転中のシステムの同じ構成品で如何なる瞬間に同時に発生されるならば、システム全体が誤動作による機能喪失状態になる。すなわち、信頼度向上のためにハードウェアをいくら多重化しても使われるソフトウェアが同種のソフトウェア、例えば、同種の運営体制（ＯＳ：Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を使用するならば、同じソフトウェアで発生される共通類型の故障については信頼度が保障されない問題点がある。したがって、多重化されたハードウェアだけでは不十分であるのでソフトウェア共通類型故障を勘案した設計が必須である。
【０００７】
このために前述した大韓民国特許公開２００１−００１３４４２号公報はソフトウェア共通類型故障を原子炉保護システム自体内で解決できずに別途の多様性保護システム（Ｄｉｖｅｒｓｅ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）という設備によって原子炉が停止できるように設計された。すなわち、デジタル保護システムが共通類型故障によって本来の機能が遂行できない時、別途の保護システムである多様性保護システムがある程度の時間経過の後、原子炉停止機能を作動させるようにした。
【０００８】
しかし、このような従来の方法は独立した別途の他のシステムを追加せねばならないので全体システムの設計及び機器コストが増加される一方、既存の原子力発電所のアナログ保護システム交替時には原子炉保護システムだけでなく、関連した他システムの設計変更が要求されるなどの問題点がある。
【発明の開示】
【０００９】
本発明は前記のような問題点を解決するために創案されたものであって、デジタル発電所保護システムに発生する共通類型故障を別途のシステムによらずにシステム自体内で根本的に排除して安定性及び信頼度を向上させたデジタル原子炉保護システムを提供するのに目的がある。
【００１０】
このために、異機種のＣＰＵと相異なる運営体制とを使用して一方の比較論理及び同時論理プロセッサーに共通類型故障が発生しても他の一方は共通類型故障に影響されなくて原子炉保護機能が正常に維持される方法が提供される。
【００１１】
本発明の他の目的は、デジタル発電所保護システムに適用される安全等級のソフトウェア生産方法であって、ソフトウェア設計過程で自体的な設計検証を行わせる方法を提供するのにある。
【００１２】
本発明の他の目的及び長所は下記に説明されることであり、本発明の実施例によって分かるようになる。また、本発明の目的及び長所は特許請求の範囲に示した手段及び組合せによって実現できる。
【００１３】
前記した目的を達成するための本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムは、相異なるＣＰＵと運営体制とを使用する１対の比較論理プロセッサーと１対の同時論理プロセッサーとを含む。
【００１４】
望ましくは、１つの比較論理プロセッサー及び同時論理プロセッサーはインテル社系列のＣＰＵとＱＮＸ運営体制とを使用し、他の１つの比較論理プロセッサー及び同時論理プロセッサーはモトローラ社系列のＣＰＵとＶｘＷｏｒｋｓ運営体制とが使用できる。
【００１５】
そして、前記した１つの比較論理プロセッサー及び同時論理プロセッサーは順番が定められたトリップ処理信号変数を順番の順方向に論理処理し、前記他の１つの比較論理プロセッサーと同時論理プロセッサーとは順番の逆方向に論理処理できる。
【００１６】
また、前記１対の同時論理プロセッサーのデジタル出力モジュールのリレー接点がワイヤー配線方式で連結されて論理的“ＯＲ”回路が構成できる。
【００１７】
さらに、前記比較論理プロセッサー及び同時論理プロセッサーはＶＭＥ（Ｖｅｓａ Ｍｏｄｕｌｅ Ｅｕｒｏｐｅａｎ） ｂｕｓを使用する単一ボードコンピュータで具現できる。
【００１８】
前記した他の目的を達成するための本発明によるデジタル原子炉保護システムのための高信頼度ソフトウェア生産方法は、（ａ）状態図を使用してソフトウェアの要件明細書を作成する段階と、（ｂ）相異なる運営体制を使用する各ソフトウェアに対する設計説明書を作成する段階と、（ｃ）前記作成された設計説明書から各ソフトウェアをコーディングする段階と、（ｄ）前記コーディングされた各ソフトウェアに対するモジュール試験を行なう段階と、（ｅ）前記各ソフトウェアに対する前記試験結果を比較して誤り発生の如何を確認する段階と、を含む。
【００１９】
望ましくは、前記（ａ）段階前に、システム設計の要件明細書を作成する段階と、前記作成されたシステム設計要件明細書をシミュレーション道具を利用して分析する段階と、前記分析結果、異常のない場合、前記作成されたシステム設計の要件明細書を確定する段階と、をさらに含むことができる。
【００２０】
そして、前記（ｅ）段階後に、前記モジュール試験結果と前記シミュレーション道具を利用した分析結果との一致性を確認し、ソフトウェアの開発を完了する段階と、をさらに含むことができる。
【発明を実施するための最良の態様】
【００２１】
以下、図面を参照して本発明の望ましい実施例を詳細に説明する。
【００２２】
これに先立って、本明細書及び特許請求範囲に使われた用語や単語は通常的か辞書的な意味に限定して解釈されてはならず、発明者は自分の発明を最も最善の方法で説明するために用語の概念を適切に定義できる原則に立脚して本発明の技術的思想に符合する意味と概念で解釈されねばならない。
【００２３】
したがって、本明細書に記載された実施例と図面に示された構成は本発明の最も望ましい一実施例に過ぎず、本発明の技術的思想を全て代弁することではないので、本出願時点においてこれらを代替できる多様な均等物と変形例がありえることを理解せねばならない。
【００２４】
図１は、本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムの機能的構成を示す図面である。
【００２５】
図面を参照すれば、デジタル原子炉保護システム（Ｄｉｇｉｔａｌ Ｒｅａｃｔｏｒ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）は基本的に４個のチャンネルＡ、Ｂ、Ｃ、Ｄで構成され、各チャンネルは比較論理プロセッサー（Ｂｉｓｔａｂｌｅ Ｐｒｏｃｅｓｓｏｒ：ＢＰ）２０、同時論理プロセッサー（Ｌｏｃａｌ Ｃｏｉｎｃｉｄｅｎｃｅ Ｌｏｇｉｃ Ｐｒｏｃｅｓｓｏｒ：ＬＣＬ）３０、システム連係プロセッサー（Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ Ｐｒｏｃｅｓｓｏｒ：ＳＩＰ）４０、開始回路（Ｉｎｉｔｉａｔｉｏｎ Ｌｏｇｉｃ）５０、原子炉停止（Ｒｅａｃｔｏｒ ｔｒｉｐ）６０、工学的安全設備作動システム７０、補修試験盤（Ｍａｉｎｔｅｎａｎｃｅ ａｎｄ Ｔｅｓｔ Ｐａｎｅｌ：ＭＴＰ）８０及び運転員モジュール９０を含む。
【００２６】
比較論理プロセッサー２０は工程から独立的な測定値（工程変数値）を、工程センサーと信号伝送器及びアナログ／デジタル信号変換器を含む入力部１０から提供されて工程変数毎にあらかじめ指定されたトリップ設定値と比較することによってトリップ状態を決定する。比較論理プロセッサー２０のトリップ状態はデータリンクを経由して同一チャンネル及び他のチャンネルの同時論理プロセッサー３０に伝送される。
【００２７】
同時論理プロセッサー３０はトリップ変数毎に独立的な２／４同時論理を有しており、４つのチャンネルのうち２つのチャンネル以上の比較論理プロセッサー２０でトリップ状態が発生すれば、原子炉停止６０及び工学的安全設備作動システム（Ｅｎｇｉｎｅｅｒｅｄ Ｓａｆｅｔｙ Ｆｅａｔｕｒｅｓ：ＥＳＦ）７０の動作のために開始回路５０にトリップ信号を送る。一方、２／４同時論理はチャンネル試験及び補修時、運転員の要求によって２／３同時論理に変換できる。
【００２８】
開始回路５０は決定された原子炉停止信号によって原子炉停止６０を作動させ、原子炉事故の時、原子炉冷却のために必要な工学的安全設備作動システム７０を作動させる。
【００２９】
システム連係プロセッサー４０はシステムの運転状態を監視し、自動試験を遂行してチャンネル内部のプロセッサー及び他のシステムとのデータ通信を遂行する。
【００３０】
補修試験盤８０はシステムの運転状態を表示し、トリップチャンネル迂回及び試験の遂行に使われる。
【００３１】
運転員モジュール（Ｏｐｅｒａｔｏｒ Ｍｏｄｕｌｅ：ＯＭ）９０は主制御盤に設置され、システムの運転状態、すなわち、トリップ状態及び迂回状態を表示して運転員が可変設定値リセット及び運転迂回機能を遂行できるようにする。
【００３２】
（１）システム構成
前述した４つのチャンネルの構成は実質的に全て同一であり、したがって、ここでは１つのチャンネルに対する構成及びその動作の流れなどについて詳細に説明する。
【００３３】
図２に本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムの単一チャンネルの構成を示す。
【００３４】
図２を参照すれば、デジタル原子炉保護システムの各チャンネルには２個の比較論理プロセッサーモジュール（Ｂｉｓｔａｂｌｅ Ｐｒｏｃｅｓｓｏｒ Ｍｏｄｕｌｅ：ＢＰＰＭ１、ＢＰＰＭ２）２０ａ、２０ｂと２個の同時論理プロセッサーモジュール（Ｌｏｃａｌ Ｃｏｉｎｃｉｄｅｎｃｅ Ｌｏｇｉｃ Ｐｒｏｃｅｓｓｏｒ Ｍｏｄｕｌｅ：ＬＣＬＰＭ１、ＬＣＬＰＭ２）３０ａ、３０ｂが備わる。
【００３５】
プロセッサーモジュール間の共通類型故障を排除するためにＰＭ１ ２０ａ、３０ａにはＡタイプのＣＰＵ（例えば、インテル社のＣＰＵ）が内蔵されたプロセッサーモジュールが使われ、ＰＭ２ ２０ｂ、３０ｂにはＢタイプのＣＰＵ（例えば、モトローラ社のＣＰＵ）が内蔵されたプロセッサーモジュールが使われる。そして、ソフトウェアの多様性を維持するためにＰＭ１ ２０ａ、２０ｂにＣタイプの運営体系（例えば、ＱＮＸ）が、ＰＭ２ ２０ａ、２０ｂにＤタイプの運営体系（例えば、ＶｘＷｏｒｋｓ）がそれぞれ内蔵される。ここで、Ａ、Ｂ、Ｃ、Ｄタイプは単に任意的区分のための象徴的な意味で使われている。
【００３６】
アナログ入力信号はそれぞれ異なるアナログ入力（Ａｎａｌｏｇ Ｉｎｐｕｔ：ＡＩ）モジュール１０ａ、１０ｂに割り当てられて入力される。これは後述する表１を参照して理解可能である。一方、炉芯保護演算器システム（Ｃｏｒｅ Ｐｒｏｔｅｃｔｉｏｎ Ｃａｌｃｕｌａｔｏｒ Ｓｙｓｔｅｍ：ＣＰＣ Ｓｙｓｔｅｍ）の原子炉トリップ要求信号は比較論理プロセッサー２０ａ、２０ｂのデジタル入力（Ｄｉｇｉｔａｌ Ｉｎｐｕｔ：ＤＩ）モジュール１０ｃに伝達される。デジタル入力モジュール１０ｃは比較論理プロセッサーのアナログ入力モジュール１０ａ、１０ｂと機能的多様性を維持する。
【００３７】
本発明によれば、物理的に固定されている中継基地局やアクセスポイントを別に設置しなくても、移動中の通信端末機のための中継局を設置したのと同じ効果が得られる。また、中継サーバーとして選定されてサーバー役割を果たす通信端末機が破壊されても他の端末機がその機能を継承して遂行するので、通信が断絶されることなく、安定した無線通信網が構成できる。一方、通信しようとする通信端末機の位置を知らない時、まず該当通信端末機の位置を推定して推定された位置を担当する地域サーバーにデータを伝送するので、中央サーバー端末機への通信集中現象が防止できる。
【００３８】
【表１】
2004529353.tif 000003
【００３９】
前述したように、比較論理プロセッサーはアナログ入力モジュール１０ａ、１０ｂ及びデジタル入力モジュール１０ｃを通じて工程計測機器、炉外中性子速度監視システム及び炉芯保護演算器システムから入力信号を提供される二重構成のプロセッサーモジュールを有しており、各入力信号について設定値との比較論理を処理し、その結果を同時論理プロセッサーに伝達する。
【００４０】
１つのチャンネルに内蔵される２個の比較論理プロセッサー２０ａ、２０ｂはあらゆるアナログ入力信号及びデジタル入力信号を処理するにおいて実行順の多様性を有している。すなわち、比較論理プロセッサー１ ２０ａは表１のトリップ変数で順方向（１番トリップ変数から１７番トリップ変数の順序）に比較論理を遂行する一方、比較論理プロセッサー２ ２０ｂは逆方向（１７番トリップ変数から１番トリップ変数の順序）に比較論理を遂行する。
【００４１】
そして、同時論理プロセッサーは４つのチャンネルの比較論理状態のうちから２つ以上のチャンネルでトリップ状態が発生すれば、原子炉停止及び工学的安全設備の作動のために開始回路にトリップ信号を伝送する二重構成のプロセッサーモジュールを有している。
【００４２】
ここで、前述した比較論理プロセッサー２０ａ、２０ｂが遂行する実行順序の多様性は同時論理プロセッサー３０ａ、３０ｂにも同一に適用される。すなわち、同時論理プロセッサー１ ３０ａは順方向に同時論理を遂行する一方、同時論理プロセッサー２ ３０ｂは逆方向に同時論理を遂行する。
【００４３】
一方、ソフトウェアを使用するデジタル機器の共通類型故障は多重化されたハードウェア構成を無力化させ、特に故障類型が予測できない。例えば、４つのチャンネルにあるＡタイプ（例えば、インテル社系列）のＣＰＵを内蔵したプロセッサーモジュールで原子炉が停止する方向に共通類型故障が発生する場合には発電所安定性に影響を与えないが、正常状態の出力を維持しながら共通類型故障が発生すれば、発電所の安定性に深刻な影響を与える。
【００４４】
このような点を考慮して、Ａタイプ（例えば、インテル社系列）同時論理プロセッサー３０ａのデジタル出力モジュール（Ｄｉｇｉｔａｌ Ｏｕｔｐｕｔ：ＤＯ）１ ５２ａとＢタイプ（例えば、モトローラ社系列）同時論理プロセッサー３０ｂのデジタル出力モジュールＤＯ２ ５２ｂとのリレー接点はワイヤー配線方式で連結されて論理的“ＯＲ”回路をなす。したがって、同時論理プロセッサー３０ａ、３０ｂでトリップ信号が発生する場合、低電圧トリップリレーＵＶＴ Ｒｅｌａｙ５４ｂ接点は開放され、分路トリップリレーＳＴ Ｒｅｌａｙ５４ａ接点は閉じられる。
【００４５】
これに、２個の同時論理プロセッサー３０ａ、３０ｂのうちから何れか１つだけトリップ信号を出力する場合にも原子炉を停止できるので、事故時のトリップ成功確率が向上する。
【００４６】
原子炉を停止させる最終端の停止遮断器ＴＣＢ５６は低電圧トリップリレー５４ｂ接点が開放されるか分路トリップリレー５４ａ接点が閉じられれば開放され、これで、原子炉制御棒駆動装置に供給される電力が遮断され、あらゆる制御棒が原子炉内で自由落下するようになり、これより原子炉内にある熱中性子を全て消滅させて原子炉は活動を止めて熱を発生しなくなる。
【００４７】
（２）ハードウェア構成
異機種のプロセッサー間の互換性のためにハードウェアプラットホームとして単一ボードコンピュータＳＢＣが使われる。
【００４８】
単一ボードコンピュータを使用しながらプロセッサーモジュールをＶＭＥデータ通信バスを通じて同じラックに異機種のモジュールを内蔵できるようにして、異機種間に相互容易に通信及び入出力装置を共有できるようにする。
【００４９】
図３に、本発明によるデジタル原子炉保護システムの単一チャンネルについてのハードウェア構成を示す。
【００５０】
デジタル原子炉保護システムは比較論理プロセッサーラック２００、同時論理プロセッサーラック３００及び補修試験盤８００で構成される。
【００５１】
ここで、各プロセッサーモジュールＢＰＰＭ１、ＢＰＰＭ２、ＬＣＬＰＭ１、ＬＣＬＰＭ２はＣＰＵ、ＳＤＲＡＭ及びＦｌａｓｈ ＥＰＲＯＭを内蔵しており、該当する応用プログラムはＦｌａｓｈ ＥＰＲＯＭに貯蔵される。そして、各プロセッサーモジュールは対応するプロセッサーモジュールとのトリップ関連データを交換するための所定数の直列ポートを有している。
【００５２】
通信連係モジュールＣＩは他のプロセッサーとのデータ伝送のために設計されており、１.５Ｍｂｐｓの伝送速度を有するＰｒｏｆｉｂｕｓとシリアル方式でデータを送受信する。このネットワークの物理的階層はＴｏｋｅｎ Ｂｕｓ Ｍａｓｔｅｒを使用するＲＳ４８５標準規格が使用できる。
【００５３】
デジタル入出力モジュールＤＩ／Ｏはモジュール当たり所定数のデジタル入力信号またはデジタル出力信号が提供でき、光隔離素子を内蔵している。
【００５４】
アナログ入力モジュールＡＩは所定の解像度を有するＡ／Ｄ変換器を内蔵しており、モジュール当たり所定数のアナログ入力信号を受けられる。
【００５５】
補修試験盤８００はデジタル発電所保護システムの人間−機械インタフェース装置であって、システムの運転状態を監視し、周期試験及び補修を遂行するのに使われ、ＬＣＤディスプレー、ＰＣシャーシー、中央処理装置、補助記憶装置、プリンタポート、シリアルポート及び通信連係モジュールＣＩなどで構成される。
【００５６】
一方、１つのラックに多重のＣＰＵプロセッサーが使われる時に発生する各ＣＰＵプロセッサー間のデータ通信の衝突問題を次のように解決した。
【００５７】
すなわち、カナダのＤＹ４社のインテル社ＣＰＵを内蔵した単一ボードコンピュータを使用してＱＮＸ運営体制とＶＭＥ ｂｕｓ間の通信ができるようにドライバを設置した。また、モトローラ社のＣＰＵを有する単一ボードコンピュータにＶｘＷｏｒｋｓという運営体系を移植させた時、ＶｘＷｏｒｋｓとＶＭＥ ｂｕｓ間の通信ができるドライブを設置した。
【００５８】
したがって、ＶＭＥ ｂｕｓを内部通信ｂｕｓとして使用する共同のラックにＱＮＸ運営体制のインテル社のＣＰＵとＶｘＷｏｒｋｓ運営体制のモトローラ社のＣＰＵはＶＭＥ ｂｕｓを通じて相互通信するようになる。
【００５９】
一方、多重プロセッサー間の通信とスレーブである入出力Ｉ／Ｏ装置及びその他装置のアクセス間にも衝突が発生しないように制御機器としてアービタを利用する。ここでＶＭＥ ｂｕｓを使用するマルチマスターシステムの通信運用方式を簡単に説明すれば、次の通りである。
【００６０】
マルチマスターシステムのＶＭＥ ｂｕｓ運用方式を説明する図４を参照すれば、マスター１がＣＰＵでＶＭＥ ｂｕｓを通した外部入出力装置を使用しようとすれば、直ちにアクセスされることではなく、バス要請器にバス要請信号（Ｓ１）を送る。バス要請器はＶＭＥ ｂｕｓ要請信号（Ｓ２）をバス使用要請ラインに伝送し、バス使用伝送ラインを通じてアービタに要請信号（Ｓ３）がいく。アービタはバスビジー（バス使用中）信号（Ｓ４）がなければ、マスター１内のバス要請器にバス許可信号（Ｓ５）を送る。バス要請器はバス使用中信号（Ｓ６）をＶＭＥ ｂｕｓに載せる。そして、バス使用不可信号（Ｓ７）をスロット２のマスター２ボードに送る。次にはマスター１のＣＰＵにバス許可信号（Ｓ８）を送り、マスター１のＣＰＵがＶＭＥ ｂｕｓ方向にゲートを開かせ（Ｓ９）、データ伝達バスラインを使用して外部装置であるスロット３のＩ／Ｏボードにデータアクセス（Ｓ１０）をするようになる。この時、スロット２のＣＰＵがバス要請信号（Ｓ１１）を送れば、マスター２のバス要請器がアービタにバス要請信号（Ｓ１２）を送り、アービタはバス使用中に確認によってバス使用不可信号（Ｓ７）をマスター１のバス要請器を通じてマスター２のバス要請器に伝達する。結局、スロット１のマスター１がバス使用を終えるまで待ってこそバス不可信号がバス許可信号に変わってバスが使用できる。このような動作によって多重プロセッサー間の通信衝突の問題は解決される。
【００６１】
（３）ソフトウェア構成
本発明によれば、応用プログラムは比較論理ソフトウェアと同時論理ソフトウェアとに区分されてそれぞれ比較論理プロセッサーと同時論理プロセッサーとに搭載される。以下、前記各ソフトウェアの構成について詳細に説明する。
【００６２】
本発明による比較論理ソフトウェアの構成を示した図５を参照すれば、比較論理ソフトウェア２１はアナログ／デジタル変換モジュール２２、設定値モジュール２３、設定値制御モジュール２４、比較論理モジュール２５、トリップモジュール２６、予備トリップモジュール２７及び運転迂回モジュール２８の小単位モジュールで構成される。
【００６３】
アナログ／デジタル変換モジュール２２はアナログ形態の工程信号をデジタル信号に変換して設定値モジュール２３及び比較論理モジュール２５に伝達する。
【００６４】
設定値モジュール２３は設定値を比較論理モジュール２５に伝達するモジュールであって、一部トリップ変数の場合には工程変数値によって設定値を計算する。このような可変設定値計算方式には手動リセット型可変設定値と自動比率制限型可変設定値とがある。
【００６５】
自動比率制限型可変設定値は、入力変数の変化によって設定値が自動増加または自動減少するように設計され、単に、上限制限値及び下限制限値は固定値を有するように設計される。
【００６６】
手動リセット型可変設定値は、運転員が手動でリセットさせる時、設定値制御モジュール２４によって自動に一定量ほどの設定値を減少させる形態で設計され、単に、上限制限値及び下限制限値は固定値を有するように設計される。
【００６７】
比較論理モジュール２５は比較論理プロセッサーの核心役割を遂行し、設定値モジュール信号（設定値）とアナログ／デジタル変換モジュール信号（工程変数値）とを比較してトリップ及び予備トリップ状態を決定する。
【００６８】
トリップモジュール２６は工程入力値をトリップ設定値と比較した後、設定値より大きい時、比較論理モジュール２５の結果をデータ通信を通じて他のチャンネルの同時論理プロセッサーに伝達する。比較論理モジュール２５でトリップ信号値が発生すれば、トリップ信号がなくなるまで設定値が変わることが許容されない。トリップモジュール２６はトリップ状態を同時論理プロセッサーに伝送し、予備トリップモジュール２７は予備トリップの状態を処理する。
【００６９】
運転迂回モジュール２８は原子炉起動及び停止時、デジタル原子炉保護システムの特定トリップ機能を迂回させるためのアルゴリズムを有している。
【００７０】
次に、本発明による同時論理ソフトウェアの構成を示した図６を参照すれば、同時論理ソフトウェア３１は補修試験盤の連係モジュール（ＭＴＰ Ｉｎｔｅｒｆａｃｅ Ｌｏｇｉｃ）３２、制御棒引出し禁止論理モジュール（ＣＷＰ Ｌｏｇｉｃ）３３、同時論理プロセッサー故障感知モジュール（ＬＣＬ Ｐｒｏｃｅｓｓｏｒ Ｆａｉｌ Ｓｔａｔｅ Ｌｏｇｉｃ）３４、警報器連係モジュール（Ａｎｎｕｎｃｉａｔｏｒ Ｉｎｔｅｒｆａｃｅ Ｌｏｇｉｃ）３５及び原子炉保護システム同時論理モジュール（ＲＰＳ ＬＣＬ Ｌｏｇｉｃ）３６で構成される。
【００７１】
補修試験盤連係モジュール３２は運転員が入力するチャンネル迂回入力を受けて同時論理モジュール３６に伝達する。また、トリップ、予備トリップ信号を補修試験盤に伝達する。
【００７２】
制御棒引出し禁止論理モジュール３３は予備トリップ信号を該当チャンネル及び他のチャンネルから受けて２／４同時論理を遂行し、制御棒制御システムに制御棒引出し禁止（Ｃｏｎｔｒｏｌ Ｗｉｔｈｄｒａｗａｌ Ｐｒｏｈｉｂｉｔ：ＣＷＰ）信号を伝達する。
【００７３】
同時論理プロセッサー故障感知モジュール３４は同時論理プロセッサーの状態を監視し、故障状態が監視されれば、同時論理モジュール３６に故障状態を伝達して同時論理プロセッサーの出力はトリップ状態を作る。このような故障情報は補修試験盤及びシステム連係プロセッサーに伝えられて運転員が感知できるようになる。
【００７４】
警報器連係モジュール３５は同時論理プロセッサーの迂回及びトリップ開始状態を発電所警報システムに伝達する。
【００７５】
同時論理モジュール３６は４個の入力のうちから２つ以上の信号がトリップ状態を指示すれば、トリップ信号を発生させる。もし、トリップチャンネル迂回が存在すれば、迂回されない３つのチャンネルの信号のうち２つ以上でトリップ状態を指示する場合、トリップ信号を発生させる。
【００７６】
（４）高信頼度ソフトウェア開発方法
一般的に、ソフトウェア開発はシステム設計が完了した後、ソフトウェア要件明細書を作成し、その次に、詳細機能及びコーディング要件を記述しているソフトウェア設計説明書に基づいてソフトウェアを具現するようになる。ソフトウェア作成が完了すれば、コンピュータハードウェアに内蔵されてモジュール別試験を経て機能及び性能を確認する試験をする。以後、装備を設置現場に移動して試運転試験期間に正常的に運転されることが確認されれば、運営者（発注者）に引き渡される。このような一連の過程を機器設計と機器供給という。
【００７７】
一方、原子力発電所に適用される安全等級のソフトウェア開発はシステム設計の内容及び機器設計をいっしょに考慮してソフトウェアを生産することによって高信頼度の品質が達成できる。
【００７８】
前述した本発明による安全等級ソフトウェア開発のフローチャートを図７に示す。
【００７９】
一般的に、ソフトウェア要件明細書の作成段階で最も多くのソフトウェアの誤りが発生されるので、本発明においてはシステム設計で発生するかもしれない設計欠陥を排除するために動的シミュレーション道具を使用してシステム設計上のあらゆる機能をシミュレーションし、その結果及び特性などを分析してシステム設計要件明細書を検証する一方、これに基づいて状態を説明する定型技法である状態図を使用してソフトウェア要件明細書を作成することによって独立した確認検証の他にも設計業務過程でも自体的な設計検証を自動的に行わせる。さらに、各段階別文書の確認検討もソフトウェアツール（例えば、Ｒｅｑｕｉｓｉｔｅ Ｐｒｏ）を利用して要件追跡マトリックスを作成して文書の修正及び作成をより容易に追跡管理させる。
【００８０】
本発明による高信頼度のソフトウェア開発方法の特徴は設計過程で遂行される３回の自体確認検証体制であって、次の通りである。
【００８１】
最初の検証はシステム設計段階で動的シミュレーション（例えば、Ｍａｔｌａｂ）ソフトウェアでシステム入出力動作、比較論理及び同時論理アルゴリズムと原子炉の安全変数とによるデジタル保護システムの動作特性まで細部的に全て再現してみることによって遂行される。
【００８２】
設計過程の第２の検証はソフトウェアコーディング段階で遂行される。すなわち、ソフトウェアツールで生成した定型的なソフトウェア要件明細書によってＡタイプ（例えば、ＶｘＷｏｒｋｓ）運営体制を使用するソフトウェア設計説明書とコーディング、そしてＢタイプ（例えば、ＱＮＸ）運営体制を使用するソフトウェア設計説明書とコーディングとがそれぞれ別途に作成され、コーディングされたソフトウェアモジュールが試験された後、試験結果を比較して誤りがある場合、ソフトウェア設計説明書の作成段階に取り戻され、異常がなければ試験結果分析段階に進行される。
【００８３】
設計過程の第３の検証は総合試験段階で遂行される。前記試験結果とシミュレーション道具でシミュレーションした各種予測結果とが一致しているかを確認し、異常がない場合、ソフトウェア開発を完了する。総合試験段階で不一致事項が発生すれば、ソフトウェア要件明細書の作成段階に取り戻されて第２の検証を通じて設計欠陥が修正される。
【００８４】
最後に、本発明は原子力発電所のデジタル原子炉保護システムとして開発されたが、原子力発電所だけでなく高度の信頼性が要求される航空、宇宙及び医療分野のデジタルシステムの共通類型故障を排除しなければならない設備に適用できる。また、一般産業界の安全設備にも多様に適用できる。
【００８５】
以上のように、本発明はたとえ限定された実施例と図面によって説明されたが、本発明はこれによって限定されなく、本発明が属する技術分野の当業者によって本発明の技術思想と下記に記載される特許請求の範囲の均等な範囲内で多様な修正及び変形が可能であることは言うまでもない。
【産業上の利用の可能性】
【００８６】
本発明のソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムによれば、異機種のＣＰＵと相異なる運営体制のシステム構造であって、一方の比較論理及び同時論理プロセッサーに共通類型故障が発生しても他の一方は共通類型故障に影響されずに原子炉保護機能に異常が発生しない、安定性と信頼度が向上し、経済性が向上したデジタル方式の原子炉保護システムが提供される。
【００８７】
したがって、独自的に開発された高信頼度デジタル原子炉保護システムの技術は他国に輸出する時、莫大な経済的利得をもたらし、また開発された安全システムの高信頼度設計技術を体系化して関連計測制御設備及びコンピュータ産業界に技術を伝授すれば、産業界全般の技術の跳躍に大きく寄与する効果がある。
【図面の簡単な説明】
【００８８】
【図１】本発明による共通類型故障を自体排除したデジタル原子炉保護システムの機能的構成を示す図面である。
【図２】本発明による共通類型故障を自体排除したデジタル原子炉保護システムの単一チャンネルに対する構成を示す図面である。
【図３】本発明による共通類型故障を自制排除したデジタル原子炉保護システムの単一チャンネルに対するハードウェア構成を示す図面である。
【図４】本発明によるマルチマスターシステムにおいてデータ通信の概念を説明する図面である。
【図５】本発明による比較論理ソフトウェアの内部構成を示す図面である。
【図６】本発明による同時論理ソフトウェアの内部構成を示す図面である。
【図７】本発明によるデジタル原子炉保護システムに適用される高信頼度ソフトウェアを生産する過程を示すフローチャートである。
【図１】
2004529353.tif 000004
【図２】
2004529353.tif 000005
【図３】
2004529353.tif 000006
【図４】
2004529353.tif 000007
【図５】
2004529353.tif 000008
【図６】
2004529353.tif 000009
【図７】
2004529353.tif 000010
【国際公開パンフレット】
2004529353.tif 000011
2004529353.tif 000012
2004529353.tif 000013
2004529353.tif 000014
2004529353.tif 000015
2004529353.tif 000016
2004529353.tif 000017
2004529353.tif 000018
2004529353.tif 000019
2004529353.tif 000020
2004529353.tif 000021
2004529353.tif 000022
2004529353.tif 000023
2004529353.tif 000024
2004529353.tif 000025
2004529353.tif 000026
2004529353.tif 000027
2004529353.tif 000028
2004529353.tif 000029
2004529353.tif 000030
2004529353.tif 000031
2004529353.tif 000032
2004529353.tif 000033
2004529353.tif 000034
2004529353.tif 000035
2004529353.tif 000036
2004529353.tif 000037
2004529353.tif 000038
2004529353.tif 000039
2004529353.tif 000040
2004529353.tif 000041
2004529353.tif 000042
2004529353.tif 000043
【手続補正書】
【提出日】平成15年8月18日(2003.8.18)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
外部装置から入力される工程変数値と所定の設定値との比較結果によってトリップ信号を出力する複数の実質的に同一な独立的なチャンネルと、
１つ以上のチャンネルから前記トリップ信号が入力されれば、原子炉の冷却動作を遂行する複数の工学的安全設備作動システムと、を含み、
前記それぞれのチャンネルは、
前記外部装置からアナログ工程変数値を入力される複数のアナログ入力モジュールと、
前記アナログ工程変数値に対応するデジタル工程変数値を入力されるデジタル入力モジュールと、
それぞれ相異なるタイプのＣＰＵを具備し、前記複数のアナログ入力モジュール及び前記デジタル入力モジュールから入力される工程変数値を前記工程変数値のそれぞれに対応する所定の設定値と比較論理演算を遂行して比較結果に基づいてトリップ状態信号を出力する２つの比較論理プロセッサーモジュールと、
それぞれ相異なるタイプの運営システムを具備し、それぞれのチャンネル内に存在する２つの比較論理プロセッサーモジュールのうちの１つに連結され、前記比較論理プロセッサーモジュールから少なくとも２つのトリップ状態信号が入力されれば、前記トリップ信号を出力する２つの同時論理プロセッサーモジュールと、
１つ以上の同時論理プロセッサーモジュールから前記トリップ信号が入力されれば、前記原子炉トリップ及び前記工学的安全設備作動システムを駆動する開始回路と、を含むことを特徴とするソフトウェア共通モジュール故障を自体排除したデジタル原子炉保護システム。
【請求項２】
１つの比較論理プロセッサーモジュールは所定の第１処理順序によって前記工程変数値に対して論理比較演算を遂行し、他の１つの比較論理プロセッサーモジュールは前記所定の第１処理順序の逆順に前記工程変数値に対する比較論理演算を遂行することを特徴とする請求項１に記載のデジタル原子炉保護システム。
【請求項３】
１つの同時論理プロセッサーモジュールは所定の第２処理順序によって前記トリップ状態信号に対する論理演算を遂行し、他の１つの同時論理プロセッサーモジュールは前記所定の第２処理順序の逆順に前記トリップ状態信号に対する論理演算を遂行することを特徴とする請求項１に記載のデジタル原子炉保護システム。
【請求項４】
前記２つの同時論理プロセッサーモジュールのデジタル出力モジュールのリレー接点はワイヤー配線方式に連結されて論理的ＯＲ回路を構成することを特徴とする請求項１に記載のデジタル原子炉保護システム。
【請求項５】
前記比較論理プロセッサーモジュール及び前記同時論理プロセッサーモジュールはＶＭＥ（Ｖｅｓａ Ｍｏｄｕｌｅ Ｅｕｒｏｐｅａｎ）データ通信バスを通じてデータを送受信する単一ボードコンピュータで具現されることを特徴とする請求項１に記載のデジタル原子炉保護システム。
【請求項６】
（ａ）アナログ値で入力される前記工程変数値をデジタル値に変換する段階と、
（ｂ）それぞれのチャンネルに具備され、それぞれ相異なるタイプのＣＰＵを有する２つの比較論理プロセッサーモジュールが前記デジタル工程変数値をそれぞれの工程変数値に対して設定された所定の設定値より大きければ、トリップ状態信号を出力する段階と、
（ｃ）それぞれのチャンネルに具備され、それぞれ相異なる運営システムを有し、工程変数を処理するそれぞれのチャンネル内に存在する前記２つの比較論理プロセッサーモジュールのうちの１つに連結されている２つの同時論理プロセッサーモジュールがそれぞれ前記比較論理プロセッサーモジュールから少なくとも２つの前記トリップ状態値が入力されれば、トリップ信号を出力する段階と、
（ｄ）１つ以上の前記同時論理プロセッサーモジュールから前記トリップ信号が入力されれば、原子炉トリップ及び複数の工学的安全設備作動システムを駆動する段階と、を含むことを特徴とするソフトウェア共通モジュール故障を自体排除するためのデジタル原子炉保護方法。
【請求項７】
前記（ｂ）段階は、
（ｂ１）所定の第１処理順序によって前記工程変数値に対する比較論理演算を遂行する段階と、
（ｂ２）前記所定の第１処理順序の逆順によって前記工程変数値に対する比較論理演算を遂行する段階と、を含むことを特徴とする請求項６に記載のソフトウェア共通モジュール故障を自体排除するためのデジタル原子炉保護方法。
【請求項８】
前記（ｃ）段階は、
（ｃ１）所定の第２処理順序によって前記トリップ状態信号に対する同時論理演算を遂行する段階と、
（ｃ２）前記所定の第２処理順序の逆順によって前記トリップ状態信号に対する同時論理演算を遂行する段階と、を含むことを特徴とする請求項６に記載のソフトウェア共通モジュール故障を自体排除するためのデジタル原子炉保護方法。
【国際調査報告】
2004529353.tif 000044
2004529353.tif 000045
2004529353.tif 000046