(57)【特許請求の範囲】
【請求項１】
各々が、第１信号を構成する複数の入力信号群（６，８，１０）のうち対応する１つの入力信号群を受けて、その入力信号群から複数の第２信号（５６，５８，６０）のうち対応する第２信号を発生させる複数の安全または保護サブシステム（１２，１４，１６）と、
各々が、複数の安全または保護サブシステムのうち対応する安全または保護サブシステムに付随する複数の反射メモリ手段（６８）とより成り、
各反射メモリ手段は、
対応する安全または保護サブシステムの第２信号を記憶する第１のメモリ記憶手段（３８Ａ，４０Ｂ，４２Ｃ）と、
第１のメモリ記憶手段から対応する安全または保護サブシステムの第２信号を取り出し、取り出した第２信号を第３信号（６２Ａ，６２Ｂ，６２Ｃ）として対応する安全または保護サブシステム以外の安全または保護サブシステムの反射メモリ手段へそれぞれ別個の対応する通信チャンネル手段（５０，５２，５４）により送信する第１の通信手段（４４Ａ，４６Ｂ，４８Ｃ）と、
対応する安全または保護サブシステム以外の安全または保護サブシステムの反射メモリ手段の第１の通信手段からそれぞれ別個の対応する通信チャンネル手段（５０，５２，５４）により第３信号を受ける第２の通信手段（４４Ｂ，Ｃ；４６Ａ，Ｃ；４８Ａ，Ｂ）と、
対応する安全または保護サブシステム以外の安全または保護サブシステムの反射メモリ手段の第１の通信手段から第２の通信手段が受ける第３信号を第２信号として記憶する第２のメモリ記憶手段（３８Ｂ，Ｃ；４０Ａ，Ｃ；４２Ａ，Ｂ）とより成り、
各安全または保護サブシステム（１２，１４，１６）は第１及び第２のメモリ記憶手段から第２信号を取り出して処理することにより少なくとも１つの出力信号（１０２，１０６）を発生させ、各安全または保護サブシステム（１２，１４，１６）の少なくとも１つの出力信号に応答して安全または保護機能を実行することを特徴とする安全または保護システム。
【請求項２】
複数の安全または保護サブシステムは３つの安全または保護サブシステム（１２，１４，１６）を含み、複数の反射メモリ手段は３つの第１のメモリ記憶手段（３８，４０，４２）を有することを特徴とする請求項１の安全または保護システム。
【請求項３】
各通信チャンネル手段は１対の二重反転リングハイウエイ（７０，７２）を含むことを特徴とする請求項１の安全または保護システム。
【請求項４】
複数の安全または保護サブシステムは２つの安全または保護サブシステムを含むことを特徴とする請求項１の安全または保護システム。
【請求項５】
複数のパラメータ（８４，８６）により表わされる特性を有する臨界プロセス（７９）のための、請求項１に記載された安全または保護システムであって、
安全または保護システムはさらに、
第１のパラメータ（８４）を監視し、そのパラメータを表わす信号（９２）を第１信号の第１の入力信号群（９６）の一部として与える第１の手段（８８）と、
第２のパラメータ（８６）を監視し、そのパラメータを表わす信号（９４）を第１信号の第２の入力信号群（９８）の一部として与える第２の手段（９０）と、
第１信号の第１の入力信号群を処理して第１出力（１００，１０２）を発生させる第１の処理手段（７６）と、
第１信号の第２の入力信号群を処理して、第１出力に対して冗長的である第２出力（１０４，１０６）を発生させる第２の処理手段（７８）と、
第１及び第２出力を組み合わせる手段（１０８，１１０，１１２）と、
第１及び第２出力を組み合わせる手段に応答して臨界プロセスのために安全または保護機能を実行する手段とよりなることを特徴とする安全または保護システム。
【請求項６】
前記特性は原子炉圧力容器の状態であり、
圧力容器は温度及びレベルを有し、
第１のパラメータは圧力容器のレベルであり、
第２のパラメータは圧力容器の温度であることを特徴とする請求項５の安全または保護システム。
【発明の詳細な説明】
発明の背景
発明の分野
本発明は安全または保護システムに関し、さらに詳細には原子力発電所のような臨界プロセスのためのかかるシステムに関する。
背景情報
安全または保護システムの多くは、安全性及び信頼性を得るためにそのシステムの少なくとも一部を二重にする必要がある。この二重化によりシステムは冗長性を得る場合がある。例えば、別個独立のサブシステムにセンサー、コントローラ、アクチュエータ及び通信チャンネルを二重に設けて同一の機能を実行させる。このような冗長システムでは、各サブシステムのハードウエアとロジックは同一であるのが一般的である。
他のケースとして、同一チャンネルを多数設けてそれぞれ独立に制御信号を発生させ、これらの制御信号から票決（Voting）により最終的な制御信号を決定して単一の装置へ送るものがある。例えば、原子力発電所では、保護システムに別個のチャンネルを４列設け、各チャンネルのセンサー及びコントローラが発電所の或る特定の状態に応答して原子炉トリップ信号を発生させるようにしたものが一般的である。票決ロジックは、例えば４つのチャンネルのうち２つ以上がチャンネルトリップ信号を発生させる場合に限り発電所をトリップさせる。このケースでは、冗長性を与えるように各チャンネルが同一のハードウエア及びロジックを備えるのが普通である。例えば、米国特許第４，８０４，５１５号を参照されたい。
冗長性のある安全または保護システムには、共通モード故障の発生に対する懸念が大きくなっている。共通モード故障とは、システムのハードウエアまたはソフトウエアの対応構成部分に同時に発生する同様な故障のことである。このような懸念が生じる１つの例として、既設の原子力発電所において、２つの別個のサブシステムからの命令によって単一の装置を制御すべく既存のプロセス制御システムの設備を改造する場合がある。
１９９５年１１月１４日に出願された米国特許出願第０８／５５７，５３２号に開示されるように、従来型計装及び制御システムにおいて、使用するプロセッサ及び／またはソフトウエアが異なる、冗長性のある別種の主要制御機構及びバックアップ制御機構を用いることにより共通モード故障を阻止する方法が知られている。デジタルプロセッサを組み込んだ制御機構の場合、異なるタイプのプロセッサ（例えば、製造元が異なるプロセッサ）を用いて共通のアルゴリズムを実行する異なるルーチン（例えば、異なるソフトウエア言語で作成されたルーチン）を実行させる。冗長性のある別種の制御機構は公知であるが、さらに改良の余地がある。
１９９６年４月４日出願の米国特許出願第０８／６２８，５８６号に記載されているように、模型化またはシミュレーションシステムとかかる模型化またはシミュレーションシステム用の作動システムとの間でセンサー信号と制御信号とを通信させる反射メモリを用いることも公知である。ミラードメモリ（mirrored memory）及び冗長制御システムに関する一般的な情報はＥＰ−Ａ−０  ７１７  ３５８及びＷＯ−Ａ−９３／２５９６５から得られる。
従って、共通モード故障の可能性を最小限に抑える改良型の安全または保護システムが要望されている。
発明の概要
本発明によると、各々が、第１信号を構成する複数の入力信号群のうち対応する１つの入力信号群を受けて、その入力信号群から複数の第２信号のうち対応する第２信号を発生させる複数の安全または保護サブシステムと、各々が、複数の安全または保護サブシステムのうち対応する安全または保護サブシステムに付随する複数の反射メモリ手段とより成り、各反射メモリ手段は、対応する安全または保護サブシステムの第２信号を記憶する第１のメモリ記憶手段と、第１のメモリ記憶手段から対応する安全または保護サブシステムの第２信号を取り出し、取り出した第２信号を第３信号として対応する安全または保護サブシステム以外の安全または保護サブシステムの反射メモリ手段へそれぞれ別個の対応する通信チャンネル手段により送信する第１の通信手段と、対応する安全または保護サブシステム以外の安全または保護サブシステムの反射メモリ手段の第１の通信手段からそれぞれ別個の対応する通信チャンネル手段により第３信号を受ける第２の通信手段と、対応する安全または保護サブシステム以外の安全または保護サブシステムの反射メモリ手段の第１の通信手段から第２の通信手段が受ける第３信号を第２信号として記憶する第２のメモリ記憶手段とより成り、各安全または保護サブシステムは第１及び第２のメモリ記憶手段から第２信号を取り出して処理することにより少なくとも１つの出力信号を発生させ、各安全または保護サブシステムの少なくとも１つの出力信号に応答して安全または保護機能を実行することを特徴とする安全または保護システムが提供される。
【図面の簡単な説明】
本発明は、添付図面を参照して好ましい実施例の下記の説明を読めば完全に理解できるであろう。
図１は、反射メモリを用いる本発明の保護及び安全システムのブロック図である。
図２は、反射メモリを用いる本発明の別の実施例の安全システムのブロック図である。
図３は、反射メモリを用いる本発明の別の実施例の保護システムのブロック図である。
図４は、二重反転リング通信サブシステムのブロック図である。
図５は、別種のプロセッサを用いる本発明の別の実施例の保護サブシステムを示すブロック図である。
図６は、図５の別種のプロセッサの１つを示す機能ブロック図である。
図７は、図５のもう１つの別種のプロセッサを示す機能ブロック図である。
好ましい実施例の説明
本明細書で用いる用語「信号」は、例えば、電気またはアナログ信号、デジタル信号、
命令信号、状態信号、個別信号、組合わせまたは複合信号、シリアル信号またはシリアルメッセージのような、保護、安全、制御及び／または監視の目的で使用される任意の入力または出力を包含するが、それらに限定されない。
本明細書中で用いる用語「デジタル信号」は、ブール信号（例えば、真または非真、１または０）及びデジタル化アナログ信号を包含するが、それらに限定されない。
本明細書中で用いる用語「列」は、１個または２個以上の出力信号を包含するが、それらに限定されない。
図１は、原子力発電所のような臨界プロセス４に用いる保護及び安全システム２を示す。このシステム２は、電気信号のような第１信号の３つの入力信号群６，８，１０と、３つの保護サブシステム１２，１４，１６と、２つの安全サブシステム１８，２０とを有する。この実施例において、３つの保護サブシステム１２，１４，１６はそれぞれ、第１信号の入力信号群６，８，１０の対応入力信号群を受けて、その入力信号群からデジタル信号のような対応する複数の第２信号１７Ａ，１７Ｂ，１７Ｃを発生させる。このシステム２はまた、保護サブシステム１２，１４，１６及び／または安全サブシステム１８，２０の間で第２信号を通信させる反射メモリサブシステム２２も備えている。
非限定的な例として、保護サブシステム１２，１４，１６は、当業者なら理解できるように、原子力発電所の原子炉運転停止（トリップまたはスクラム）のための総合的保護ロジック（ＩＰＬ）もしくは緊急炉心冷却ロジック（ＥＣＣＬ）を含む。安全サブシステム１８，２０は、当業者なら理解できるように、事故後の重要な発電所パラメータの監視に使用する安全監視システム（ＳＭＳ）を含んでいる。この実施例では、原子炉オペレータへの情報は反射メモリサブシステム２２によってそれぞれ主制御室（ＭＣＲ）及び緊急制御室（ＥＣＲ）の安全監視システム１８，２０へ送られるが、これら２つの異なる制御室には別個のシステム１８，２０により冗長性が与えられている。
図１に示すように、保護システムプロセス制御信号データ及び状態情報のような第２信号１７Ａ，１７Ｂ，１７Ｃをプラントコンピュータシステム（図示せず）へ送るためのゲートウエイ２４を、反射メモリサブシステム２２と、非安全冗長ハイウエイ２５との間に接続して設けてもよい。第２信号１７Ａ，１７Ｂ，１７Ｃに、ゲートウエイ２４においてハイウエイ２５からのプラントマスター時間信号により時間タグを付すようにしてもよい。プラントコンピュータシステムへ送られる情報は、事象後の監視及び／または評価に用いることができる。
図２に示すように、安全システム２６は、電気信号のような第１信号の２つの入力信号群２８，３０と、２つの安全サブシステム３２，３４とを含む。この実施例において、２つの安全サブシステム３２，３４はそれぞれ第１信号の対応入力信号群２８，３０を受け、その入力信号群からデジタル信号のような対応する複数の第２信号３５Ａ，３５Ｂを発生させる。このシステム２はまた、安全サブシステム３２と３４の間で第２信号を通信させる反射メモリサブシステム３６を含む。
図１の３チャンネル反射メモリサブシステム２２と、図２の２チャンネル反射メモリサブシステム３６の動作は、図３及び４を参照すると理解できるであろう。この例の反射メモリサブシステム２２は、保護サブシステム１２，１４，１６の各々について、３つのメモリ記憶サブシステム３８，４０，４２、３つの通信サブシステム４４，４６，４８、及び３つの通信チャンネル５０，５２，５４のうちの１つを含む。メモリ記憶サブシステム３８Ａは保護サブシステム１２の第２信号５６を記憶する。同様に、保護サブシステム１４，１６のメモリ記憶サブシステム４０Ｂ，４２Ｃはそれぞれ、保護サブシステム１４，１６の第２信号５８，６０を記憶する。
通信サブシステム４４Ａは、保護サブシステム１２のメモリ記憶サブシステム３８Ａから第２信号５６を取り出し、第２信号５６として第３デジタル信号６２Ａを通信チャンネル５０上の保護サブシステム１２からそれ以外の２つの保護サブシステム１４，１６へ送信する。通信チャンネル５０では、それ以外の２つの保護サブシステム１４，１６のそれぞれの２つの通信サブシステム４４Ｂ，４４Ｃが通信チャンネル５０から第３信号６２Ａを受ける。さらに、これらの通信サブシステム４４Ｂ，４４Ｃは、第３信号６２として第２デジタル信号６４，６６を、それ以外の２つの保護サブシステム１４，１６のメモリ記憶サブシステム３８Ｂ，３８Ｃへそれぞれ記憶させる。このようにして、通信サブシステム４４Ａは通信チャンネル５０のマスター（Ｍ）として働き、通信サブシステム４４Ｂ，４４Ｃは通信チャンネル５０上のマスターのスレーブ（Ｓ）として働く。同様に、通信サブシステム４６Ｂ，４８Ｃはそれぞれ通信チャンネル５２，５４のマスター（Ｍ）として働き、通信サブシステム４６Ａ−４６Ｃ、４８Ａ−４８Ｂはそれぞれ通信チャンネル５２，５４上のマスターのスレーブ（Ｓ）として働く。
３つの通信チャンネル５０，５２，５４はそれぞれ、第２デジタル信号５６，５８，６０として第３デジタル信号６２Ａ，６２Ｂ，６２Ｃを保護サブシステム１２，１４，１６のうちの１つから保護サブシステムのそれ以外の対１４−１６、１２−１６，１２−１４へ送る。さらに、第３デジタル信号６２Ａ，６２Ｂ，６２Ｃはそれぞれ、通信サブチャンネルの対４４Ｂ−４４Ｃ，４６Ａ−４６Ｃ，４８Ａ−４８Ｂに対応するメモリサブシステムの対３８Ｂ−３８Ｃ，４０Ａ−４０Ｃ，４２Ａ−４２Ｂに記憶される。例えば、通信サブシステム４６Ａ，４８Ａはそれぞれ、第３デジタル信号６２Ｂ，６２Ｃとして他の第２デジタル信号６５，６７を対応のメモリサブシステム４０Ａ，４２Ａに記憶させる。
実施例において、図１−２の反射メモリ（ＲＭ）６８及び図３の各反射メモリ６８Ａ、６８Ｂ，６８Ｃは、VME Microsystems, International, Inc.により販売されているモデル番号第５５７６号の反射メモリであるが、本発明は第１のメモリサブシステムがメモリ情報を１または２以上の他のメモリサブシステムへ送るかまたは反射する任意の反射メモリサブシステムに利用可能である。例えば、通信チャンネル５０は保護サブシステム１２とそれ以外の保護サブシステム１４，１６との間のインターフェイスを形成する。図３に示すように、保護サブシステム１２はそれぞれの保護サブシステム１２，１４，１６にある反射メモリ６８Ａ，６８Ｂ，６８Ｃを介して保護サブシステム１４，１６と通信する。保護サブシステム１２，１４，１６の反射メモリ６８Ａ，６８Ｂ，６８Ｃは、それらの間におけるプロトコールのないデータ伝送を可能にする。
図４に示すように、通信チャンネル５０は光ファイバーのリング通信ネットワークであるのが好ましいが、本発明は広範囲の通信チャンネル（例えば、光ファイバーデータリンク、同軸データリンク、同軸ネットワーク）に利用可能である。実施例の通信チャンネル５０は２つの二重反転光ファイバーリング７０，７２を有する。これらの光ファイバーリング７０，７２は冗長性のあるデータ伝送路を提供するだけでなく、図１の保護サブシステム１２，１４，１６の電気信号の各入力信号群６，８，１０をそれ以外の保護サブシステム１２，１４，１６の電気信号の入力信号群６，８，１０から隔離することによりチャンネル５０が反応しないようにする。反射メモリの１つ（例えば、６８Ｂ）に故障が発生すると、ソースメモリ（例えば、６８Ａ）からの情報は故障したメモリをバイパスするため、チャンネル５０に接続された他の全てのメモリ（例えば、６８Ｃ）は引き続きその情報を受信できる。また、両方のリング７０，７２（例えば、図４の左側の点７３）に故障が発生すると、ソースメモリ（例えば、６８Ａ）からの情報はリング７２（図４の右側）を介して目的地であるメモリ（例えば、６８Ｂ，６８Ｃ）へ送られる。
図５は、別種のプロセッサ７６，７８を用いる保護サブシステム７４を示す。この例の保護サブシステム７４はこの例では原子炉圧力容器のような臨界プロセス７９を保護し、２つの他の保護サブシステム８１，８２を含む主要な原子炉保護システム８０の一部を形成する。臨界プロセス７９は、圧力容器の状態のような１または２以上の特性８３と、各々が特性８３を表わす複数のパラメータ８４，８６とを有する。これらのパラメータ８４，８６（即ち、温度（Ｔ）及びレベル（Ｌ））は特性７９（即ち、圧力容器７９の状態）の種々の指示を発生させる。
圧力容器７９は、その温度を監視または感知する１または２以上の温度センサー（ＴＳ）８８と、圧力容器７９の冷却水レベルを監視する１または２以上のレベルセンサー（ＬＳ）９０とを有する。これらのセンサー８８，９０はそれぞれ、温度を表わす電気信号９２及びレベルを表わす電気信号９４を発生させる。そして、これらの信号９２，９４はそれぞれ、プロセッサ７６，７８へ入力のため電気信号の入力信号群９６，９８として組み合わされる。入力信号群９６，９８は、プロセッサ７６，７８がそれぞれ臨界プロセス７９の種々の状態を監視し、対応する監視機能をそのプロセスに提供する（例えば、炉心溶融のような重大な炉心破壊を防止し、原子炉冷却系統（図示せず）の健全性を維持し、オペレータがしばしば起こる事象に対する必要な補正操作を含む原子炉（図示せず）の安全な運転停止及び監視を行う）のを可能にする。
プロセッサ（Ａ）７６は、信号９２を含む第１の入力信号群９６を処理し、それから出力１００，１０２のような第１の保護列を発生させる。プロセッサ（Ｂ）７８は、信号９４を含む第２の入力信号群９８を処理し、それから出力１０４，１０６のような第２の保護列を発生させる。好ましくは、プロセッサ（Ａ）７６及びパラメータ８４はプロセッサ（Ｂ）７８及びパラメータ８６と実質的に異なるものであり、第１出力１００，１０２と第２出力１０４，１０６は特性８３に関して冗長的である。換言すれば、別種のプロセッサ７６，７８は、以下において図６−７を参照して詳説するように、それぞれ異なるパラメータ８４，８６と、実質的に異なる機構とを用いて、特性８３について冗長的である同じような保護出力１００，１０２及び１０４，１０６をそれぞれ発生させる。このようにして、冗長的なプロセッサ７６，７８間の種々の共通モード故障が回避される。票決機構１０８，１１０，１１２は、出力１００，１０２，１０４，１０６を組み合わせて臨界プロセス７９のための原子炉トリップのＩＰＬのような安全または保護機能を実行させる。さらに、これらの票決機構１１０，１１２はプログラム不能のロジック（図示せず）に相互接続されて、それぞれ、（１）作動信号を専用原子炉トリップ切り換え装置（図示せず）へ送り且つ作動信号をタービントリップロジックへ送り、また（２）作動信号をかかるプログラム不能ロジックを介して安全装置（図示せず）へ送る。
保護サブシステム７４は、高い信頼性を有し保守が容易であるように設計するのが好ましい。サブシステムのアーキテクチュア内における充分な冗長性及び独立性並びにシステムのテスト可能性を含む故障許容度の高い設計原理を用いることにより、かかるサブシステムが実現できる。保守容易性は、票決機構１１０，１１２の３中２選択トリップロジックを用いることにより得られる。
例えば、保護サブシステム７４，８１，８２の１つにトリップ状態が存在する場合、論理トリップ信号が発生して、それ以外の２つの保護サブシステムへ出力される。これらの保護サブシステムのうちの別のものから同一の論理トリップ入力が受信されると、トリップ信号が発生して関連する２つの専用ＡＣ及び２つの専用ＤＣ原子炉トリップ遮断器（図示せず）が開く。これらの原子炉トリップ遮断器は、２組（ＡＣ及びＤＣ遮断器の両方）が３中２トリップを指示して初めて実際の原子炉トリップが発生するようにマトリックス状に配線されている。
サブシステム７４につき示すように、３つの冗長通信チャンネル１１４Ａ−１１４Ｂ、１１６Ａ−１１６Ｂ、１１８Ａ−１１８Ｂがサブシステム７４，８１，８２の間に設けられている。好ましくは、別種の通信を実現するために、１組のチャンネル（例えば、１１４Ｂ，１１６Ｂ，１１８Ｂ）は図１−４を参照して説明したような反射メモリを利用して通信を行い、それ以外の組のチャンネル（１１４Ａ，１１６Ａ，１１８Ａ）は従来型の無反応直通光ファイバーデータリンクのような別種の通信チャンネルを使用して通信をする。冗長な各組の通信チャンネル内では、３つの保護サブシステム７４，８１，８２により冗長性が内部において存在し、これら各保護サブシステム７４，８１，８２の別種のプロセッサ７６，７８が１組の３つの冗長通信チャンネル１１４Ａ−１１６Ａ−１１８Ａ、１１４Ｂ−１１６Ｂ−１１８Ｂに接続されている。
内部における冗長性の付与には２つの理由がある。第１に、プロセッサ７６，７８のうちの１つが故障してもアクチュエータ（例えば、弁またはポンプ）が間違った動作をしない。第２に、定期的なオンラインテストの間、各保護サブシステム７４，８１，８２は動作状態を継続し、従って真の始動を要する事象が発生するとその出力を作動状態にする。
別種のプロセッサ７６，７８の各々に同一のパラメータ（例えば、圧力）が必要な場合は、各プロセッサ７６，７８について１組である、２組のセンサー（例えば、ＳＡ，ＳＢ）が設けられる。また、典型的な保護機能では、各パラメータが３度（各サブシステム７４，８１，８２について一度）感知される。例えば、サブシステム７４では、プロセッサ７６，７８はセンサーアナログ信号１２０，１２２をそれぞれ対応のデジタル（Ｄ）信号１２４，１２６へ変換する。さらに、通信チャンネル１１４Ａは第１の入力信号群９６に対応する他のデジタル信号と、信号９２と、出力１００，１０２と共にデジタル信号１２４をそれ以外の２つの保護サブシステム８１，８２の対応プロセッサＡに送る。別種の態様で、通信チャンネル１１４Ｂは第２の入力信号群９８に対応する他のデジタル信号と、信号９４と、出力１０４，１０６と共にデジタル信号１２６をそれ以外の２つの保護サブシステム８１，８２の対応プロセッサＢへ送る。
各サブシステム７４，８１，８２の各プロセッサＡ，Ｂでは、３つのデジタルセンサー値（即ち、そのプロセッサからの値、及びそれ以外の２つの保護サブシステムの２つの対応プロセッサからの２つの値）が図６に関連して以下に説明する不合理性テストアルゴリズムにより比較される。
保護サブシステム７４はまた、中性子監視システム（ＮＭＳ）１２８を有する。このＮＭＳ１２８は中性子検知器（図示せず）とインターフェイスして検知器からの中性子信号をデジタル値に変換し、これらのデジタル値をプロセッサ７６へ送る。
図６は、プロセッサ（Ａ）７６の機能ブロック図を示す。プロセッサ７６は、好ましくは第１のマイクロプロセッサ（μＰ）１３２（例えば、インテル社の８０４８６）を備えた機能プロセッサ１３０と、第１のマイクロプロセッサ１３２により実行される第１のソフトウエア（Ｓ／Ｗ）１３４と、第１のコンピュータバス１３６への適当なインターフェイス（例えば、ＩＥＥＥ  Ｓｔａｎｄａｒｄ  ７９６のコンピュータバス（即ち、マルチバス）とを備えている。このプロセッサ７６は、任意の所与のモジュールの工学設計をできるだけ簡単に取り扱えるように種々のタスクが標準化されたモジュールに割り当てられた分散処理の考え方を採用している。このようにして、汎用の「ホスト」機能プロセッサ１３０は必要な特定の保護機能を与え、一般的な「スレーブ」モジュール１３８，１４０，１４２，１４４，１４６，１４８，１５０のアレーは、（１）アナログ入力信号の調整（例えば、センサーＳＡへの給電、アナログ信号の多重化、アナログ信号のフィルタリング、アナログ信号の変換）、（２）データハイウエイによるデータ通信、（３）データリンクによるデータ通信、（４）アナログ−デジタル（Ａ／Ｄ）変換、（５）デジタル入出力（Ｉ／Ｏ）のハンドリング、（６）コンピュータバス１３６の健全性を監視するための診断、（７）他のシリアルＩ／Ｏのスキャニングのようなそれぞれの機能を実行する。このようにして、この例のプロセッサ７６は、センサーＳＡ及び通信チャンネル１６４，１６６からの信号１２０を処理する。これらのスレーブモジュールの一部または全部にあるマイクロプロセッサは、機能プロセッサ１３０にかかる負担を減少させることにより、より多くの処理能力が保護のタスクに向けられるようにする。
マイクロプロセッサの割り込みは、ＩＥＣ  Ｓｔａｎｄａｒｄ  ８８０及び９８７並びにＩＥＥＥ  Ｓｔａｎｄａｒｄ  ７−４．３．２に従って設計され、検証され、有効とされたソフトウエア１３４には使用されないのが好ましい。電源投入と共に、診断及び初期化ソフトウエアが実行され、その後機能プロセッサ１３０が連続して繰り返される実行ループを作動状態に置く。ループ毎に、ループの診断テストの一部が実行される。
この例の１または２以上のプロセスセンサーＳＡは、アナログ入力信号調整モジュール１３８により給電され、このモジュールは通常、そのセンサーから１または２以上の従来の（例えば、４−２０ｍＡレンジ）信号１２０を受ける。モジュール１３８は耐サージ能力を付与し、この例の４−２０ｍＡレンジ信号を従来の０−５Ｖレンジ信号１５２へ変換する。Ａ／Ｄモジュール１４４は、１または２以上のアナログ信号１５２を対応のデジタルセンサー値１５４へ変換する。機能プロセッサ１３０は、コンピュータバス１３６を介してＡ／Ｄモジュール１４４のメモリ（図示せず）からデジタルセンサー値１５４を読み取る。
機能プロセッサ１３０は、デジタルセンサー値１５４を工学ユニット（例えば、１２３℃）を有する対応プロセス値に変換する。このプロセス値は、コンピュータバス１３６を介してデータリンクコントローラモジュール１４２へ送られる。データリンクコントローラモジュール１４２は光送信カード１５６へ接続されており、このカードはそれぞれ図５の保護サブシステム８１，８２のための通信チャンネル１１６Ａ，１１８Ａの出力光ファイバー通信チャンネル１５８，１６０とインターフェイスする。同じパラメータの対応デジタルセンサー値は、データリンクコントローラモジュール１４２により受信されるが、このモジュールは光受信カード１６２にも接続されている。このカード１６２はそれぞれ、保護サブシステム８１，８２の通信チャンネル１１６Ａ，１１８Ａの入力光ファイバー通信チャンネル１６４，１６６とインターフェイスしている。このようにして、光ファイバーデータリンクは図５の各保護サブシステム７４，８１，８２のプロセッサ（Ａ）７６間で情報を送受信するために使用される。さらに、それ以外の２つの保護サブシステム８１，８２からのプロセス値は、機能プロセッサ１３０がデータリンクコントローラモジュール１４２からコンピュータバス１３６を介して受信される。
機能プロセッサ１３０は、ソフトウエア１３４の不合理性テストアルゴリズムを用いて３対のデジタルセンサー値（即ち、保護サブシステム７４−８１，８１−８２，７４−８２からの値）各対間の差を計算し、この差を限界値と比較する。１つのデジタルセンサー値がそれ以外の２つのデジタルセンサー値と異なる場合そのセンサー値はリジェクトされ、残りの２つから平均値を求める。さらに、この平均値を保護設定点と比較して部分トリップ信号（真または非真）を発生させる。各対のデジタルセンサー値間の差が限界値を越えると、その結果を機能プロセッサ１３０からの部分トリップと解釈する。限界値を越える差が存在しない場合、３つのデジタルセンサー値の平均を取り、その結果得られた平均値を保護設定点と比較する。このようにして、機能プロセッサ１３０は３つのデジタルセンサー値を平均し、他の値と所定の大きさ以上に異なる値をリジェクトし、平均値を保護設定点と比較する。
保護設定点を越えると（アルゴリズムにより高レベルか低レベル）、機能プロセッサ１３０は並列Ｉ／Ｏモジュール１４６を命令して信号調整カード１６８へ適当なデジタル信号１６７が出力されるようにする。そして、このカード１６８の出力１６９は票決リレーカード１７１のリレーコイル（Ｒ）１７０を脱勢することにより常開接点１７２，１７４を開く。これらの接点１７２，１７４はそれぞれ、図７のプロセッサ（Ｂ）７６により作動される接点１７６，１７８と直列である。この直列接点の対１７２−１７６，１７４−１７８はそれぞれ、それ以外の２つの保護サブシステム８１，８２の接点対１８０，１８１のような別の列と、図５の票決機構１１２において３中２のマトリックス状に接続されているため、２つの異なる作動点において原子炉トリップ遮断器（図示せず）を開くと共に第３の作動点において制御棒駆動システム電子装置（図示せず）を介して棒（図示せず）を落下させることができる。このようにして、図５の３つの保護サブシステム７４，８１，８２の出力信号１０２，１０６は、票決機構１１２において３中２の態様で票決される。
引き続き図６を参照して、データハイウエイコントローラモジュール１４０は、光ハイウエイインターフェイスカード１８２と接続されている。このカード１８２は、光イサーネットハイウエイのような二重反転リングハイウエイ１８３に接続されている。このハイウエイ１８３は、緊急炉心冷却及びジーゼル負荷シーケンシングのための信号を含み、これらの信号は緊急炉心冷却ロジックキャビネット（図示せず）へ送られる。
プロセッサ７６には、自動テスターサブシステム１８４が接続されている。図５の保護サブシステム７４がテスト中でない時、この自動テスターサブシステム１８４はインターフェイスパネル１８６を介してキースイッチまたはパスワードによりプロセッサ７６から切り離されている。そのモードでは、自動テスターサブシステム１８４はプロセッサ７６及び保護サブシステム７４から情報を読み取ることができるが、書き込むことはできない。
自動テスターサブシステム１８４は、プロセッサ７６のそれぞれの機能プロセッサ１３０、４つのスレーブモジュール１４０，１４２，１４６，１４８及びコンピュータバス１３６と同様な機能を実行する、機能プロセッサ１３０′、４つのスレーブモジュール１４０′，１４２′，１４６′，１４８′及びコンピュータバス１３６′を有する。定期テストの間、信号調整モジュール１３８への通常のセンサー信号１２０は自動テスターサブシステム１８４により切り離される。機能プロセッサ１３０′は、その内部で発生したデジタルセンサー信号１９０をバス１３６′を介してデジタル−アナログ（Ｄ／Ａ）コンバータモジュ１９２へ送り、このデジタル−アナログ（Ｄ／Ａ）コンバータモジュール１９２はアナログセンサー信号１９４を信号１２０の代わりに利用するため信号調整モジュール１３８へ出力する。
図５の各保護サブシステム８１，８２からの光ファイバー通信チャンネル１６４，１６６は、その内部で発生したデータリンクメッセージ１９６を代用する自動テスターサブシステム１８４のデータリンクコントローラ１４２′により光受信カード１６２から切り離されている。データリンクコントローラ１４２′はまた光送信カード１５６からデータリンクメッセージ１９８を受信し、このメッセージはプロセッサ７６のデータリンクコントローラ１４２により受信される。
テスト中、機能プロセッサ１３０は、それがテスト中であることを全く知らずに通常の実行ループを継続する。シミュレーションされるアナログセンサー信号１９４は、ソフトウエア１３４の保護設定点及び保護アルゴリズムの適正な作動を検証するために、またすべての可能な保護ロジックの組み合わせを実行するために、それらのフルレンジに亘ってランプ状に増減される。加えて、アナログ−デジタル（Ａ／Ｄ）モジュール１４４により実行されるＡ／Ｄ変換の精度とプロセッサ７６の時間応答とが自動テスターサブシステム１８４によりチェックされる。
原子炉のトリップ、制御棒の挿入及び制御棒の引き抜き阻止機能については、信号調整カード１６８から並列Ｉ／Ｏモジュール１４６′を介して、また二重反転リングハイウエイ１８３については、カード１８２からデータハイウエイコントローラモジュール１４０を介して、自動テスターサブシステム１８４へフィードバックが行われる。プロセッサ（Ａ）７６がテスト中、プロセッサ（Ｂ）７８は通常動作を継続し、図５の全部で３つの保護サブシステム７４，８１，８２を本質的に作動状態に維持する。
図７は、図５のもう１つの別種のプロセッサ（Ｂ）７８の機能ブロック図である。このプロセッサ７８は、好ましくは第２のマイクロプロセッサ（μＰ）２０２（例えば、モトローラ社の６８０４０）を備えた機能プロセッサ２００と、第２のマイクロプロセッサ２０２により実行される第２のソフトウエア（Ｓ／Ｗ）２０４と、第２のコンピュータバス２０６への適当なインターフェイス（例えば、ＩＥＥＥ  Ｓｔａｎｄａｒｄ  １０１４  コンピュータバス、即ち、ＶＭＥ）とを有する。これらの構成部分は図６のプロセッサ７６の対応する構成部分とは全く異なるものである。さらに、ソフトウエア２０４は、図６のソフトウエア１３４に使用されるＰＬ／Ｍ言語の代わりにＡＤＡ言語で書かれているのが好ましい。また、検証及び有効化を含むプロセッサ７８のハードウエア及びソフトウエアの設計は、プロセッサ７６の設計プロセスに関与していない独立の設計チームによって行われるのが好ましい。従って、図６のプロセッサ７６と図７のプロセッサ７８との間には実質的な違いがあるが、本発明は種々の共通モード故障を阻止するために相違が少数または多数の別種のプロセッサに利用可能である。
図５の臨界プロセス７９において想定される各トリップを始動させる事象は２つの別種の機能により感知され、それぞれ異なる方式でコード化された別種のプロセッサ７６，７８において処理される。別種のプロセッサ７６，７８を用いる図５の保護サブシステム７４，８１，８２は、異なるセンサーと、異なるタイプのマイクロプロセッサ、ソフトウエア、接続部、及び異なるプラントパラメータ（例えば、温度及びレベル、圧力及び温度、レベル及び圧力、中性子束及び温度）を用いるソフトウエアを利用する別種の保護システムを形成する。
図６のセンサーＳＡとは異なる図７の１または２以上のプロセスセンサーＳＢはアナログ入力信号調整モジュール２０８により給電されるが、このモジュールはセンサーから通常、１または２以上の普通のアナログ信号（例えば、４〜２０ｍＡ、ＲＴＤ、熱電対）を受ける。この例のモジュール２０８は、耐サージ能力を与え、アナログ信号１２２を通常の０〜５Ｖレンジ信号２１０に変換する。Ａ／Ｄモジュール２１２は、１または２以上のアナログ信号２１０を対応のデジタルセンサー値２１４へ変換する。この機能プロセッサ２００は、コンピュータバス２０６を介してＡ／Ｄモジュール２１２のメモリ（図示せず）からデジタルセンサー値２１４を読み取る。
機能プロセッサ２００は、デジタルセンサー値２１４を工学単位（例えば、８ｍ）（２７フィート）を有する対応のプロセス値２１５へ変換する。このプロセス値２１５はコンピュータバス２０６を介して反射メモリ（ＲＭ）６８Ａに送られるが、このメモリはこれらの値を図３に関連して説明したように通信チャンネル５０を介して通信する。同じパラメータの対応デジタルセンサー値はそれぞれ、図５の保護サブシステム８１，８２から通信チャンネル５２，５４の反射メモリ２１６，２１８により受信される。このようにして、図１の反射メモリサブシステム２２により、図５の各保護システム７４，８１，８２のプロセッサ（Ｂ）７８の間で情報の送受信が行われる。そして、それ以外の保護サブシステム８１，８２からのプロセス値は、反射メモリ２１６，２１８からコンピュータバス２０６を介して機能プロセッサ２００により受信される。
機能プロセッサ２００はソフトウエア２０４において不合理性テストアルゴリズムを使用し、信号１２２を用いて必要な保護アルゴリズムを実行する。保護設定点を越えた場合（アルゴリズムにより高レベルまたは低レベル）、機能プロセッサ２００はトリップ信号２１９をコンピュータバス２０６を介してデジタル出力モジュール２２０へ送る。そして、モジュール２２０の出力２２１が、図６のプロセッサ７６に使用するカード１７１と同一の票決リレーカード１７１′のリレーコイル（Ｒ）１７０′を脱勢する。
票決リレーカード１７１，１７１′と図５の票決機構１０８，１１０，１１２は、リレーコイル１７０，１７０′及び接点１７２，１７４，１７６，１７８のような構成部品を備えており、これらはプロセッサ７６，７８及びセンサーＳＡ，ＳＢの他の部品とは異なり、それらの故障率（例えば、故障と故障の間の平均時間の関数）はかかる他の部品の故障率と比べて実質的に低い。
機能プロセッサ２００からの他の緊急炉心冷却ロジック（ＥＣＣＬ）信号２２２は、データハイウエイコントローラカード２２３へ送られた後、そこから光ハイウエイインターフェイスカード２２４へ送られる。このカードは、イサーネット光ハイウエイのようなプロセッサ７８用の光ハイウエイ２２５に接続されている。
図６のバス診断モジュール１４８とは異なり、プロセッサ７８には別個のバス診断モジュールは使用されない。バス診断を含む全ての診断機能は、好ましくは機能プロセッサ２００により実行される。また、マイクロプロセッサの割り込みは、好ましくはＩＥＣ  Ｓｔａｎｄａｒｄ  ８８０及び９８７並びにＩＥＥＥ  Ｓｔａｎｄａｒｄ  ７−４．３．２に従って設計、検証及び有効化されるソフトウエア２０４には使用されない。電源投入と同時に、診断及び初期化ソフトウエアが実行され、その後機能プロセッサ２００が連続して繰り返される実行ループを作動させる。ループごとに、ループ診断テストの一部が実行される。図５の機能プロセッサ１３０と機能プロセッサ２００のソフトウエア機能の一部は上述したように類似しているが、図５のソフトウエア１３４とソフトウエア２０４とには異なるコードの言語が使用され異なる設計チームが関与するのが好ましい。
引き続き図７を参照して、プロセッサ７８には自動テスター２２６が接続されている。この自動テスターサブシステム２２６は、局部ＶＭＥバス２０６′から情報を受ける。ＶＭＥバス２０６，２０６′は、適当なＶＭＥバスアダプタ（ＢＡ）２３０，２３２を介して相互接続されている。自動テスターサブシステム２２６は、ＶＭＥバス２０６上ではスレーブである。図５の保護サブシステム７４がテスト中でないとき、自動テスターサブシステム２２６はインターフェイスパネル２２８を介してキースイッチ及びパスワードによりプロセッサ７８から切り離されている。
自動テスターサブシステム２２６はプロセッサ７８及び保護サブシステム７４から情報を読み取ることができるが、それらへの書き込みはできない。同様に、機能プロセッサ２００は自動テスターサブシステム２２６へ情報を書き込めるが、自動テスターサブシステム２２６はＶＭＥバス２０６への書き込みができない。定期的なテスト時、信号調整手段２０８への通常のセンサー入力１２２は自動テスターサブシステム２２６により切り離され、テスト信号２３４がその代わりに送られる。
自動テスターサブシステム２２６は、局部プロセッサバス２３８が信号２３４を与えるＤ／Ａコンバータ２４０に接続された適当なテストプロセッサ２３６（例えば、モトローラの６８０４０マイクロプロセッサを用いる）を備えている。図５のそれ以外の保護サブシステム８１，８２からのデータは、コンピュータバス２０６′への適当なインターフェイスを有するテストプロセッサ２３６の共用メモリ２４２においてシミュレーションされる。
各実行ループについて、機能プロセッサ２００は共用メモリ２４２内でテストフラッグを探す。このテストフラッグが現れると、機能プロセッサ２００は反射メモリ２１６，２１８からでなくて共用メモリ２４２からそれ以外の２つの保護サブシステム８１，８２のためのシミュレーションされたデータを読み取る。テストプロセッサ２３６によりセットされるテストフラッグは、ソフトなテストスイッチとして作用する。テストの後、このソフトなテストスイッチが通常位置（即ち、通信チャンネル５２，５４からデータを受ける位置）へ戻される。テスト時、シミュレーションされた入力信号はそれらの全レンジに亘ってランプ状に増減され、精度及び保護設定点並びに保護システム機能（例えば、ロジックの組み合わせ及び時間に依存する機能）が検証される。
デジタル出力モジュール２２０を介する票決リレーカード１７１′からのフィードバックは、自動テスターサブシステム２２６の並列Ｉ／Ｏカード２４４へ入力される。保護サブシステム７４，８１，８２のうちの１つのサブシステムのプロセッサ（Ｂ）７８がテスト中の間、図５のかかる保護サブシステム７４，８１，８２のプロセッサ（Ａ）は引き続いて通常通り作動し、３つのサブシステム７４，８１，８２を全て本質的にアクティブな状態に保持する。
一例としてマイクロプロセッサに言及したが、例えば、マイクロコンピュータ、ミニコンピュータまたはメインフレームコンピュータのような当業者に知られた他のプロセッサを使用できることが分かるであろう。さらに、一例としてモジュール、カード及びコンピュータバスに言及したが、当業者に知られた、かかる構成部分を相互接続するための他の手段（例えば、集積回路、サブモジュール、サブカード）及び他のタイプの相互接続機構（例えば、プリント回路ボード、プロセッサバス、集積回路接続部）も使用可能であることが分かる。
本発明の特定実施例を詳細に説明したが、当業者にとっては本願の記載全体に照らし合わせてかかる詳細な説明から種々の変形例及び設計変更が容易に想到されるであろうことが明らかである。従って、図示説明した特定の構成は例示の目的をもつものにすぎず、本発明の技術的範囲を限定するものでなく、この範囲は後記の請求の範囲の全幅及びその均等物の全幅を与えられるべきである。
【図１】
0004995362.tif 000002
【図２】
0004995362.tif 000003
【図４】
0004995362.tif 000004
【図３】
0004995362.tif 000005
【図５】
0004995362.tif 000006
【図６】
0004995362.tif 000007
【図７】
0004995362.tif 000008