"圧力容器60と、熱交換器30と、炉心補給水タンク33と、接続配管36,56とを含む加圧された冷却材回路46を有する原子炉システム22であって、前記接続配管は、前記熱交換器を前記圧力容器に閉ループを形成するように接続する主冷却材配管ループと、前記炉心補給水タンクを前記圧力容器に接続する補給水接続部とを含み、前記原子炉システムは、格納容器シェル54内に収容され、前記格納容器シェル54の雰囲気にベントされる52状態に維持された格納容器内貯水容器50と、設計基準事故が発生した場合に前記加圧された冷却材回路46を自動的に減圧し、前記貯水容器50を前記圧力容器60に接続する減圧系76と、をさらに備え、阻止装置210が、前記炉心補給水タンク33内の冷却材が事前に選択した水位を上回ると、前記減圧系76が作動するのを阻止するために、前記減圧系に接続されることを特徴とする原子炉システム。前記阻止装置210は、前記阻止装置内の実質的にいかなる構成要素が故障しても、前記阻止装置が前記減圧系76の作動を阻止しないフェイルセーフ状態で機能しなくなることを特徴とする、請求項1に記載の原子炉システム22。前記事前に選択した水位は、前記炉心補給水タンク33が略満杯であると考えられる水位であることを特徴とする、請求項1に記載の原子炉システム22。前記炉心補給水タンク33は前記圧力容器60に接続された少なくとも2つの水タンクを備え、前記阻止装置210は、前記各水タンク内の冷却材が前記事前に選択した水位を上回ると、前記減圧系76が作動するのを阻止することを特徴とする、請求項1に記載の原子炉システム22。前記阻止装置210は、前記水タンク33のいずれかの冷却材が前記事前に選択した水位を下回る時には、前記減圧系76が作動するのを阻止しないことを特徴とする、請求項4に記載の原子炉システム22。前記阻止装置210は、遠隔手動オーバーライドスイッチ208又は他の連動条件により使用不能とされた時には、前記減圧系76が作動するのを阻止しないことを特徴とする、請求項4に記載の原子炉システム22。前記阻止装置210は、前記減圧系76の弁72を制御する構成要素インタフェースモジュールCIMの優先命令入力206に接続されることを特徴とする、請求項1に記載の原子炉システム22。上述した構成は、過酷な冷却材喪失事故のシナリオにおいては有効であることが分かっている。しかしながら、自動減圧系がそれほどひどくない状況で作動された場合、格納容器を不必要に冠水させる可能性がある。減圧に続いて原子炉格納容器を冠水させると、原子炉の停止、ならびに相当な浄化作業が必要になる。この懸念については、本発明の譲受人に譲渡された米国特許第5,268,943号に触れられている。正常状態の下でのAP1000型自動減圧系のスプリアスな作動は、プラントの分析結果よりも過酷な事故につながる場合があるとされている。したがって、そのような事態を防ぐため、自動減圧のさらなる改善が望まれている。よって、本発明の目的は、通常のプラント状態の下で自動減圧系の弁の作動を阻止する装置を提供することである。本発明の更なる目的は、自動減圧系のスプリアスな作動を惹き起す事象の発生頻度を低減するために、炉心補給水タンクが満杯の時には減圧系の入力についての阻止信号を維持する装置を提供することである。本当の事故シナリオでは、炉心補給水タンクは、事故の影響を緩和するための早い段階で排水される。よって、これらの炉心補給水タンクのうちいずれかの水位が低いということは、安全系が設計通りに自動減圧系の弁を作動できるようにするために、阻止信号を除去する必要があることの目安となる。また、本発明の目的は、必要な時に自動減圧系の作動を妨げないことを保証するために、実質的にフェイルセーフであるシステムを提供することである。上述の目的を達成するために、本発明は、圧力容器と、熱交換器と、炉心補給水タンクと、接続配管とを含む加圧された冷却材回路を有する原子炉システムを提供する。接続配管は、熱交換器を圧力容器に閉ループを形成するように接続する主冷却材ループ配管と、炉心補給水タンクを圧力容器に接続する補給水接続部とを含む。原子炉システムは格納容器シェルの内部に収容されるが、格納容器シェルはその雰囲気にベントされる状態に維持された格納容器内貯水容器も有する。原子炉システムはさらに、設計基準事故が発生した場合には加圧された冷却材回路を自動的に減圧し、貯水容器を圧力容器に接続する減圧系を含んでいる。阻止装置は減圧系に接続されて、炉心補給水タンク内の冷却材が事前に選択した水位を上回ると、減圧系が作動するのを阻止する。好ましくは、阻止装置は、阻止装置内の実質的にいかなる構成要素が故障しても阻止装置が減圧系の作動を阻止しないフェイルセーフ状態で機能しなくなる。望ましくは、事前に選択した水位は、炉心補給水タンクが略満杯であると考えられる水位である。一実施形態においては、炉心補給水タンクは圧力容器に接続された2つ以上の水タンクを含み、阻止装置は、これらの各水タンク内の冷却材が事前に選択した水位を上回ると、減圧系の作動を阻止する。好ましくは、阻止装置は、水タンクのいずれかの冷却材が事前に選択した水位を下回る時には、減圧系の作動を阻止しない。本発明は、以下の好適な実施形態の説明を、添付の図面を参照しながら読むことにより、より良く理解することができる。図2から、AP1000型原子炉システム22には、冷却材の喪失に対して補給を行うための冷却材源が2つあることがわかる。高圧炉心補給水タンク33の入口32は、弁35によって、原子炉冷却材入口すなわち低温側配管36に結合される。高圧炉心補給水タンク33は、電動弁38及び逆止弁42によって、原子炉容器入口44にも結合される。高圧炉心補給水タンク33は、相対的に小さな喪失に対して補給を行うために、原子炉の運転圧力下で、追加的な冷却材を原子炉冷却材回路46に供給するよう動作可能である。しかしながら、図1から理解できるように系内には2つの炉心補給水タンクがあるが、高圧炉心補給水タンク33が収容するのは限られた量の冷却材に過ぎない。それよりはるかに大量の冷却水が、格納容器内燃料交換用水貯蔵タンク50から、該タンク50から格納建屋54の内部に通じるベント52により、大気圧下で利用可能である。原子炉システム22が運転中の時、冷却材回路の作動圧力は、約2,250psi150バールである。よって、原子炉容器60及びこれに結合された冷却材回路46に冷却材を追加するには、システムを減圧、すなわち、格納容器内の大気圧またはそれに近い圧力まで低減しなければならない。自動減圧系は、冷却材回路46を段階的に減圧し、減圧による主冷却材配管36,56及び原子炉容器にかかる熱負荷及び水圧荷重を格納容器54内へのベントにより制限する。図1及び2に示された例の原子炉システム22は、冷却回路46を格納容器54内にベントすることによって圧力が減少する4つの段階で減圧され、最後の段階は冷却回路46を格納容器54の内部環境に直接結合することを特徴とする。最後の段階において、燃料交換用水貯蔵タンク50からの冷却材は、重力により電動弁62及び逆止弁64を介して原子炉容器入口44に供給可能である。また、最後の段階において、格納建屋54は燃料交換用水貯蔵タンク50からの水によって冠水させることができる。こうして、格納容器54内の水は重力によって冷却材回路46内に流入し、原子燃料により沸騰する。それにより発生する蒸気は、格納容器54内にベントされ、ここで、に提出された同時係属中の米国特許出願第号NPP2009-014において説明されるように、相対的に冷たい格納容器の壁で凝縮する。凝縮された水は、格納容器54の底部に戻って、再循環される。上記のシステムは、ポンプ及び他の能動的に動力を与えられる循環構成要素とは無関係の受動式冷却手段を提供する。図2の概略図により表される段階的な減圧時、初期の3つの段階は、スパージャ74を介して冷却回路46と格納容器シェル54との間に結合された初期段階減圧弁72を開放することにより、連続して実施される。各減圧配管76の弁72はそれぞれ、順々に低い圧力下で開放されるが、これらは、好ましくは、冷却材系加圧器80と、燃料交換用水供給タンク50内で水没しているスパージャ74との間において、導管76に沿う並列的な配管により結合される。順々に開放される導管76は連続する段階に合わせて次第に大きくなるため、冷却材回路46の格納容器54へのベントが次第に完全になる。弁手段82の開放により実施される減圧の最終段階は最も大きな導管84を使用して、冷却材回路46を格納容器シェル54に燃料交換用水供給タンク50内のスパージャ74を介することなく直接結合し、図1に示す蒸気発生器30に至る原子炉出口導管56を格納する格納容器54内のループ区画40に対して開放する。段階的な減圧系を含むこのような受動式安全措置系を有する原子炉の冷却材回路46は、一般的に残留熱除去系90に結合されており、それによって、減圧が最終段階に到達する前に冷却材回路46に補給水を供給することができる。残留熱除去系90は、炉心から通常の崩壊熱を除去するために、通常は運転停止時にのみ作動される。残留熱除去系は手動で作動されるが、事故が発生した場合に冷却を行うための安全等級装置としては意図されていない。しかしながら、残留熱除去系90と原子炉冷却材回路46との間を結合することにより、減圧が最後の段階に到達する前に冷却材を燃料交換用水供給源50から冷却回路46へと移動させ、あるいは燃料交換用水供給源50内の水を冷却するために残留熱除去用ポンプを使用することができる。図2を参照すると、原子炉容器60が格納容器シェル54内にある原子炉は、原子炉容器60を含む通常は加圧された冷却回路46を有する。大気圧下の燃料交換用水貯蔵タンク50は、冷却材回路46を減圧して燃料交換用水貯蔵タンク50から減圧下の冷却材回路46に冷却材を追加するように作動可能な冷却材追加系92に結合されている。少なくとも1つのポンプ96と少なくとも1つの熱交換器98とを有する残留熱除去ループ94は、入口102及び出口104を有しており、図2及び3に示す手動操作可能な弁106,108によって冷却回路46に結合される。適当な逆止弁109が残留熱除去ループ94の出口104に直列に設けられる。残留熱除去系の1つのシステム案を図3に示すが、これは、それぞれポンプ96及び熱交換器98を有する2つの残留熱除去配管94を備えている。残留熱除去ポンプ96が弁106,108により燃料交換用水供給源50と冷却材回路46との間に、すなわち、減圧の最終段階に到達する前の冷却材回路の減圧時に結合されると、ポンプ96は燃料交換用水供給源50から原子炉容器直接注入ライン112へ水を注入するため、この注入は、原子炉冷却材回路の加圧がポンプ96の締切揚程より低下した時に起こり得る。入口隔離弁110及び出口停止逆止隔離弁111は、2つの並列に結合された残留熱除去配管94を分離する。出口弁108が閉鎖されている時あるいはポンプ96が原子炉入口44に至るラインの圧力ヘッドを越えられない時にポンプが作動された場合、圧力をブリードオフするための制限オリフィス114を有するバイパス路113を含めることによって、ポンプ96を過圧の問題から保護することができる。図2を参照すると、減圧の段階は冷却材補給タンク33内の冷却材の水位に基づいてトリガできる。例えば、冷却材の水位は、タンク33内の様々な水位に設けられたセンサ122を用いて測定することができる。センサ122は原子炉制御系図示せずに結合され、対応する冷却材水位に到達するとすぐに段階的に減圧弁92を開放する。ポンプ96は、冷却材補給タンク33の下流の一点で冷却材回路46への排水を行う。よって、ポンプ96の動作により、冷却材補給タンク33からの流れを事実上遮断することができる。原子炉容器直接注入口132と残留熱除去系排水ライン104の接続部134との間の摩擦に起因する流体圧力ヘッド損失HFは、オリフィス133の寸法を適切に調整することにより、接続部134から炉心補給タンク33内の水位136までの位置ヘッド差HELEVに等しくなるよう設定される。したがって、点132から点134までのヘッド損失HFが、炉心補給タンク33内の冷却材高さが最終段階の減圧弁84が開放する冷却材高さを上回ることにより生じる流体圧力ヘッドに一致する場合、最終段階の減圧弁82は、残留熱除去ポンプ96による残留水供給源50からの冷却材の注入時には開放しないであろう。このように、減圧時に残留熱除去系90を作動させると、格納容器が導管84によって冠水させられる段階への自動減圧系の進行が阻止される。冷却材回路46は原子炉の運転時には加圧されるため、減圧の段階では、冷却材が様々な速度で原子炉冷却材回路46から失われる。蒸気及び水のベントにより、回路46から冷却材が除去される冷却材はスパージャ74を介して燃料交換用水供給タンク50内へ、あるいは最終段階の導管84を介して直接的に格納容器構造54内へ移動する。したがって、炉心補給水タンク33内の冷却材の水位は減圧系が動作している間は下がる。補給水供給源の水位が低下すると、次の減圧段階がトリガされ、自動減圧の開始に続いて各段階が進行する。残留熱除去系90は、例えば自動減圧系が不用意に作動された時、あるいは減圧の初期段階をトリガする冷却材の損失が危機的な性質のものでない時に、格納容器54が不必要に冠水しないようにする。危機的な冷却材喪失事故が発生した場合、残留熱除去系90は、悪影響を生じさせることなく、依然として手動で作動可能である。オペレータが残留熱除去ポンプ96を作動させようとさせまいと、炉心補給水タンク33内の水位が、最終減圧段階がトリガされる水位例えば、炉心補給水タンクの容積の25まで低下した場合、冷却材回路46は格納容器54へベントされ、冷却材が重力により燃料交換用水供給源50から冷却材回路46へ、及び/又は格納容器54の底部へ流れ、受動式冷却が行われる。図3に示すような好適な弁の配置例では、少なくとも1つの入口弁142が残留熱除去系90の入口102に結合されて、残留熱除去系を冷却材回路46と燃料交換用水貯蔵タンク50とのうち一方に選択的に結合し、また、少なくとも1つの出口弁144が残留熱除去系90の出口104に結合されて、残留熱除去系90を冷却材回路46と燃料交換用水貯蔵タンク50とのいずれか一方に選択的に結合する。これにより、さらに、残留熱除去系90を用いて燃料交換用水貯蔵タンク50を冷却することが可能になる。この目的のため、残留熱除去系90の入口102及び出口104はいずれも、原子炉冷却材回路46とは別の冷却材ループを形成するように、燃料交換用水供給タンク50に結合される。燃料交換用水供給源50の冷却は、補助熱交換器152が燃料交換用水供給タンク50内に配置される場合、あるいは、燃料交換用水供給源50が減圧系の動作により加熱されて蒸気及び高温水を燃料交換用水供給内にベントする場合に有用である。図2及び3に関する上記の説明には、単一の炉心補給水タンク及び単一の原子炉容器直接注入ラインしか含まれていない。受動式冷却系が、図1に示すように、2以上の高圧補給タンク及び/又は原子炉容器直接注入ポートを採用する場合、残留熱除去系の1つ以上の配管を、実質的に図2に示すように、高圧タンクの各々及び/又は直接注入ポートに結合する必要がある。例えば、図3には、2つの原子炉容器直接注入口44が残留熱除去系に結合された状態で示されている。以上より、自動減圧系の作動は、想定事故に安全に対応することが必要である一方で、不用意に惹き起された場合にはきわめて費用のかかる、重大な原子炉事象であることが理解されなければならない。安全系ソフトウェアのCCFCommonCauseFailure:共通原因故障、すなわち単一の原因又は事象に起因する複数の故障により自動減圧系がスプリアスに作動される可能性についての懸念が提起されている。本発明の装置は、自動減圧系の弁のスプリアスな作動を阻止する。本発明の装置は、自動減圧系の需要に応じた故障の可能性の増加によるプラント安全性への影響が最小限に抑えられるよう、信頼性が高く且つフェイルセーフに設計されている。通常のプラント運転状態の下での自動減圧系のスプリアスな作動を回避することによって、このようなありそうにない事象がプラントの分析結果よりもさらに過酷な事故を惹き起すかも知れないという懸念が一掃されるであろう。本発明の装置は、通常のプラント状態において、炉心補給水タンクが満杯になると、自動減圧系のスプリアスな作動を惹き起す事象の頻度を低減させるため、自動減圧系の弁の作動を阻止する。実際の事故シナリオにおいては、炉心補給水タンクが事故の影響を緩和する早い段階で排水される。本発明は、これらのタンクのうちいずれかの水位が低くなることを利用して阻止信号を除去し、安全系が設計通りに自動減圧系の弁を作動できるようにする。本発明の自動減圧系阻止装置への適用を図4に示す。1つの阻止装置が安全系の各区分冗長性を与えるため4つの区分が設けられているに配置されており、その区分における自動減圧系の弁の作動を阻止する。装置は、炉心補給水タンク内の水位測定値を表す2つの電圧入力CMT1Lvl及びCMT2Lvlを受ける。これらの電圧は、4~20mAの電流ループ202信号による高精度50オーム抵抗200の両端間における電圧降下から得られるもので、この信号は安全系コンピュータのアナログ入力と共有される。この抵抗は装置の外部にあって、端子ブロック上に配置されているので、装置は電流ループ202を断つことなく取り外すことができる。本発明の装置は4つの光トランジスタ出力MOSFET204を備え、これらは、自動減圧系の弁に向かう命令に優先順位をつける構成要素インタフェースモジュールComponentInterfaceModule、米国特許第6,842,669号に記載されているCIMの適当なZポートCLOSE入力206に接続される。Zポートは安全系の通常の命令よりも高い優先順位を有するので、Zポートを介して弁をCLOSEする命令が発せられると、安全系からのいかなるOPEN命令も阻止される。光トランジスタ204は、異なるキャビネットに配置してもよい阻止装置210とCIMとの間にガルバニック絶縁を提供する。光トランジスタはMOSFETとして説明および図示されているが、バイポーラ光トランジスタ等の他の代替素子を用いてもよいことが理解されなければならない。阻止装置210の重要な要件は、実用的に最大限フェイルセーフであるべきであるということである。このことは、構成要素が故障すると光トランジスタ204の出力がOFFとなり、かくして自動減圧系の弁の阻止が解除されなければならないことを意味する。また、オペレータが自動減圧系の弁を手動で操作して、事故の影響を緩和するか、あるいは弁の監視試験を行えるようにするために、オペレータによる阻止の解除を可能とする手動のオーバーライド208が設けられている。本発明の阻止装置の回路の好適な実施形態が図5に示されている。この回路は、両入力212及び214の電圧が閾値を上回っている限り作動状態にある発振器として動作する。ゲートU1及びU2は交差接続されてRSフリップフロップを形成する。これらのゲートのうち一方の出力は、他方の出力がローとなるとき、ハイとなる。当初はU1がローでありU2がハイであるという仮定から始めると、光トランジスタQ2,Q3及びQ5がONである間、光トランジスタQ1,Q4及びQ6はOFFである。Q2がONであるため、帰還コンデンサC2は短絡状態で、増幅器A2の出力がゼロに維持される。A2の出力はツェナーダイオードD1の電圧よりも低いから、コンパレータA4の出力は最大値となる。Q1がOFFであることにより、A1は入力212を積分することができる。この演算増幅器回路は、R1xC1の時定数及びR1/R3の利得を有するlag関数である。この回路の他の抵抗R2及びR4は、入力のインピーダンスを平衡させるため、それぞれR3及びR1と等しい値である。A1の出力電圧がツェナーダイオードD1の電圧よりも大きな値に増大すると、コンパレータA3の出力はゼロとなり、ゲートU1の出力はハイとなる。このハイ信号はA4のハイ出力とあいまって、ゲートU2の出力をローにする。ゲートU2の出力は入力としてU1に接続され、U1の出力をハイに維持する。2つのゲートの状態が逆の状態となったところで、光トランジスタQ1,Q4及びQ6はONになり、一方Q2,Q3及びQ5はOFFになる。Q1がONのため、帰還コンデンサC1は短絡し、A1の増幅器の出力をゼロに戻す。Q2はOFFになるため、増幅器A2はその入力電圧214を積分することができる。変圧器T1の一次巻線の極性は反転する。このプロセスは2つの入力の間で交番して、変圧器の一次側に交流電流波形をもたらすため、変圧器T1の二次側への電力変換が起こる。トランジスタQ1乃至Q6は光結合型である必要はないが、代替的にはベースを直接接続したでデバイスでもよいことも理解されなければならない。いずれか一方の入力がツェナーダイオードD1の電圧およびR1/R3R5/R7の利得について設定された閾値よりも小さい場合には、関連するコンパレータは切り替わらず、変圧器T1を介する電力変換が停止するのと同様に、発振が停止する。炉心補給水タンクが通常の満杯状態での発振周波数は、R1xC1R5xC2の時定数により決定される。切り替え閾値は、変動の可能性又は較正手順の必要性を低減するため、調整可能ではなく、固定される。阻止を解除する設定点は、炉心補給水タンク満杯信号及び安全系が正当に自動減圧系の弁を開放したいであろう作動点から十分に離れてさえいれば、正確でなくてもよい。抵抗R10及びR11は、2列の光トランジスタQ1,Q4,Q6及びQ2,Q3,Q5を介して流れるエミッタ電流を制限する。これらのエミッタLEDを直列接続することにより、論理ゲートU1及びU2からの出力駆動電力が最小限に抑えられる。変圧器一次側の極性が切り替わる際、例えばQ3及びQ6が同時にONになると、電源がこれらを介して短期間、アースに直接短絡される。この短絡による電流は、トランジスタへの損傷を防ぐため、R12により制限される。この短絡電流のエネルギーは、コンデンサC5を介して電力供給源から一時的に供給される。抵抗R13及びR14、ならびにコンデンサC3は、電力変換を改善するべく、入力波形をより正弦波状にするために、変圧器一次巻線の両端間にローパスフィルタを提供する。ダイオードD2,D3,D4及びD5は、交流電圧を直流電圧に戻すために、変圧器の二次回路に全波整流器を形成する。変圧器の電力条件は高くない。出力光トランジスタ204のエミッタLEDを駆動する必要があるだけである。R16及びC4は、全波整流に続いて変圧器出力の残りの交流成分を除去するためのリップルフィルタを形成する。阻止装置の時間応答要件は特別に速くはないので、このフィルタは比較的長い時定数を持つことができる。別の代替案は、変圧器T1の二次電圧を、適当な大きさの抵抗を介し、整流およびフィルタリングの後ですなわちコンデンサC4上の電圧を、コンパレータA3及びA4の加算点にフィードバックするというものである。このフィードバックは、発振が停止した時コンパレータ切替閾値に小さな変化をもたらし、それによって阻止装置の事前に選択したレベルの作用点にヒステリシスが追加される。このヒステリシスは、プロセス入力CMTレベルが閾値の近くにとどまる場合に発生する可能性があるチャタリングを防止する。出力光トランジスタ列204、すなわちQ7乃至Q10のエミッタLEDの電流は、R15により制限される。また、エミッタ回路にはツェナーダイオードD6が含まれているので、変圧器の出力電圧は所定の値を超えて、出力トランジスタをONにしなければならない。ツェナーダイオードの値は、通常の運転状態の下で、入力212及び214がいずれも閾値を上回り、全電圧が変圧器を介して送られる状態で、出力がONになるように選択される。しかしながら、変圧器一次回路のトランジスタスイッチの1つが故障して一次電圧が通常値の半分に低下すると、二次電圧はツェナーダイオード電圧よりも低下し、出力低下はOFFとなる。LEDD7は、阻止装置の状態の局所表示を提供する。これは、手動の操作可能性チェックに利用することができる。各入力には切断/試験注入リンク216が設けられている。リンクを開放し、出力がOFFになるのを観察するだけで、迅速なチェックを行うことが可能である。より長い試験では、発振が停止する閾値を決定するために、電圧入力を端末に送り込むであろう。電力は、2つの24ボルト直流電源218からオークショニアリングauctioneeringダイオードD8及びD9を介して阻止装置に送られる。この電源にはヒューズF1が付いているので、変圧器一次回路のトランジスタの短絡などの故障が装置に発生するとヒューズが飛んで、キャビネットの他の装置への波及を防ぐ。この電源は、外部の、通常は閉じた接点によって切り替えられる。この電源スイッチは、手動オーバーライドの要件を実現するものである。単一故障許容力およびオペレータが阻止のオーバーライドを行うための多数の制御点を提供するために、スイッチは、実際には主制御室x2及び遠隔制御移行局x2における直列接続したスイッチでよい。2つの24ボルト電源218からの電圧レベルは非常に重要なものではない。代替的には、直列に接続した一連の手動オーバーライドスイッチの切替特性を向上させるために、48ボルト直流電源を用いてもよい。手動オーバーライドに加えて、直列接続のスイッチに、他の連動信号が含めてもよい。システム電力がオフサイト電源の喪失を受けてバックアップ電池から提供されている時には、阻止を解除するために、例えば安全系の交流電源に接続された不足電圧継電器の接点を用いることが可能である。15ボルト直流電圧調整器220は、デバイスのゲート及び増幅器にVccを提供する。局所電力表示がLEDD8により提供され、その電流はR17により制限される。サージ保護がMOVRV1~RV9によって2つのセンサ入力及び手動オーバーライドスイッチに設けられる。出力は同一のキャビネット内または近くのキャビネット内のCIMに接続されるため、出力にはサージ保護は不要である。上述したように、高い信頼性は自動減圧系阻止装置の重要な要件であるが、その理由は自動減圧系の弁の妥当な作動を無効にする可能性があるからである。この高い信頼性を達成するために用いられる手段がフェイルセーフ設計原理である。この原理の下では、2つの入力のうち一方が閾値を下回るという条件の下で、構成要素の故障の大部分が、阻止を解除させるか、あるいは、阻止の解除を妨げない。表1は、図5に示す概略図のFMECAFailureMode,Effects,andCriticalityAnalysis:故障モードとその効果及び臨界性の解析である。回路内の各構成要素について、起こりうる故障モードが特定され、それらの故障モードの効果結果が記載されている。効果は、以下のように定義される4つのカテゴリのうちの1つに割り当てられる。:S1-フェイルセーフ;故障には、出力トランジスタを脱勢することによって、ADS自動減圧系阻止を解除する効果がある;S2-フェイルセーフ;故障には、入力の一方が閾値を下回ることによって、出力トランジスタの脱勢を阻止しない効果がある;S3-フェイルセーフ;故障には、一方の入力により出力がOFFになるのを阻止するが、他方の入力が有効になるのは阻止しない効果がある;D-危険な故障;入力が閾値を下回る時、出力トランジスタのうち1つ以上がOFFとならない。故障効果の分類に加え、故障の検知可能性がD又はUそれぞれDetectable:検知可能、又はUndetectable:検知不能により識別される。この装置は継続的診断能力を持たない。その代わり、入力の各々を順に手動で開き、CIMのZポートにおける自動減圧信号阻止信号が除去されることを検証することによって、簡単なチェックを行うことが可能である。CIMのZポートは、プラントのコンピュータシステムにより監視されている。阻止のいずれかが、通常の運転状態の下で、チェックが行われることなく解除されるのであれば、これも阻止装置の故障を示すものと考えられる。チェックは、制御室においてスイッチを操作することによる手動オーバーライドの試験も含むであろう。この簡単なチェックにより検証されない故障は、検知不能と識別される。そのような故障は、プラント停止時に行われる、波形及び特定の構成要素の故障を測定する、装置の包括的なベンチテストにより明らかになるであろう。各構成要素の故障率は、信頼性情報及び分析センターreliabilityinformationandanalysiscenter:RIACのツールである217Plusにある構成要素故障率モデルに基づく表1に含まれている。これらの故障率は、暦時間の109時間毎の故障であるFailuresInTimeFITを単位として表されている。各種故障モードの相対的確率がAlpha列に示されており、これはRIACの刊行物、CRTA-FMECAから抜粋したものである。FIT列とAlpha列との積により、特定の故障モードの故障率が求められる。表2は、装置のフェイルセーフモードの概要である。すべての故障のうち87.7パーセントが、3つの安全状態のうちの1つであると識別されている。危険な故障モードは、1出力FETのうち1つが短絡または低いオフ抵抗値;2手動オーバーライドスイッチの両端間のサージ抑制器が短絡;及び3閾値基準D1のツェナー電圧が変化している、である。これらのうち最初の2つは、前述の簡単なチェックにより検知されるであろう。このチェックが四半期毎に実施されれば、安全系ソフトウェアの故障に起因するスプリアスな作動の頻度が低いことを加味した時の阻止装置の要求による危険な故障発生の蓋然性は極めて低く、この事故シナリオを設計基準の検討から十分に外せるであろう。本発明を特定の実施形態につき詳細に説明したが、当業者には、開示内容の全体的な教示に照らして、それらの詳細の種々の変形及び代替案を作成することができることがわかるであろう。したがって、開示されている特定の実施形態は、例示的であることを意図しているのみであって本発明の範囲を限定するものではなく、その範囲は添付の特許請求の範囲ならびにそのあらゆる均等物の全幅を与えられるべきである。"