JP2004529353A - ソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム - Google Patents
ソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム Download PDFInfo
- Publication number
- JP2004529353A JP2004529353A JP2002588560A JP2002588560A JP2004529353A JP 2004529353 A JP2004529353 A JP 2004529353A JP 2002588560 A JP2002588560 A JP 2002588560A JP 2002588560 A JP2002588560 A JP 2002588560A JP 2004529353 A JP2004529353 A JP 2004529353A
- Authority
- JP
- Japan
- Prior art keywords
- software
- type
- processor
- simultaneous
- trip
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- G—PHYSICS
- G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
- G21D—NUCLEAR POWER PLANT
- G21D3/00—Control of nuclear power plant
- G21D3/04—Safety arrangements
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B2219/00—Program-control systems
- G05B2219/20—Pc systems
- G05B2219/24—Pc safety
- G05B2219/24173—One sensor, two I-O channels each for different processor
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B2219/00—Program-control systems
- G05B2219/20—Pc systems
- G05B2219/24—Pc safety
- G05B2219/24191—Redundant processors are different in structure
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
- Y02E30/00—Energy generation of nuclear origin
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
- Y02E30/00—Energy generation of nuclear origin
- Y02E30/30—Nuclear fission reactors
Abstract
本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムは、各チャンネル毎に２つの比較論理プロセッサー２０、２つの同時論理プロセッサー３０、システム連係プロセッサー４０、開始回路５０、原子炉停止６０、工学的安全設備作動システム７０、補修試験盤８０及び運転員モジュール９０を含む実質的に同じ構成の４つのチャンネルを具備し、前記各チャンネルに具備された１つの比較論理プロセッサーと同時論理プロセッサーとはそれぞれＡタイプのＣＰＵとＢタイプの運営体制とを使用し、前記各チャンネルに具備された他の１つの比較論理プロセッサーと同時論理プロセッサーとはそれぞれＣタイプのＣＰＵとＤタイプの運営体制とを使用し、ここで前記ＡタイプＣＰＵとＣタイプＣＰＵ及び前記Ｂタイプ運営体制とＤタイプ運営体制とはそれぞれ相異なる種類のものであり、前記同時論理プロセッサーはトリップ変数毎に独立的な２／４同時論理によって前記４つのチャンネルのうち２つのチャンネル以上の比較論理プロセッサーでトリップ状態が発生すれば、原子炉停止及び工学的安全設備作動システムを作動させるために開始回路にトリップ信号を送るように構成される。
Description
【技術分野】
【０００１】
本発明は、デジタル原子炉保護システムに係り、より詳細には、他の機種のＣＰＵと相異なる運営体系のシステム構造で共通類型故障をシステム自体的に排除して信頼度と安定性を向上させたデジタル原子炉保護システムに関する。
【背景技術】
【０００２】
原子炉保護システム（Ｒｅａｃｔｏｒ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）は、原子力発電所の運転中に原子炉及び発電所に異常状態が発生する時、あらゆる制御棒を速かに炉芯下部に落下させて原子炉の運転を停止させる重要な安全システムであって、発電所運転状態が安全に維持されるかを確認するために安全関連運転変数を常時監視し、運転変数が定められた安全システム設定値に到達すれば、正確で速かに原子炉を停止させるのに必要な感知器、演算器、論理回路及び停止遮断器で構成されている。
【０００３】
すなわち、原子炉及び核蒸気供給システムとタービンシステムなどで測定された安全関連運転変数値が正常的な運転条件を外れる場合、原子炉停止論理によって停止遮断器を開放することによって原子炉の運転を停止させる。
【０００４】
従来の原子炉保護システムは６０年代のアナログ技術に基づいた電子回路及びリレーで構成されている。このような原子炉保護システムは古里２、３、４号機、霊光１、２、３、４、５、６号機、蔚珍３、４号機に設置、運営されている。しかし、最近、コンピュータ及びデジタル技術の急速な発展につれてアナログ機器は漸次デジタル機器に交替されており、これと共にアナログ機器を生産する供給業者も少なくなった。したがって、これを解決するために原子力発電所の計測制御システムにデジタルシステムを適用することによってアナログシステムの予備部品の確保及び部品断種の問題点が解決され、機器老朽化によるドリフトが除去される一方、セルフ診断及び自動試験の具現により補修及び定期試験にかかる時間短縮など経済的、技術的に多くの長所がある。したがって、最近、設計される原子力発電所保護システムにデジタルシステムを導入するためにこれに関連した技術研究が進行されている。
【０００５】
一例で、大韓民国特許公開２００１−００１３４４２号公報には、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）を使用して多重構造のプロセッサーを複数のチャンネルに多重化させることによって、信頼度を向上させた技術が開示されている。ＰＬＣはプロセッサー当たり処理する入出力数が比較的少ないので、単純な工程制御用として使われ、特に単純なソフトウェア使用で運転及び維持補修が比較的優秀な長所を有するが、製作社別に規格化されていないので、異機種間にはゲートウェーを使用するか送受信データに制限される問題点がある。すなわち、ＰＬＣ制御機器は異機種間のプロセッサー及び出力装置間に互換性のない問題点がある。
【０００６】
また、デジタルシステムでは信頼度向上のためにアナログシステムで考慮しなくてもいいソフトウェア共通類型故障（Ｃｏｍｍｏｎ Ｍｏｄｅ Ｆａｉｌｕｒｅｓ）問題を解決せねばならない。すなわち、デジタルシステムは機能がソフトウェアによって具現され、ソフトウェアはプログラマーが作成するために個人の特性及び能力によって生産されるソフトウェアの品質は規格化されず、また個人の誤りや失敗が生産されたソフトウェア内に存在する可能性が高い。このように発生された誤りや失敗が運転中のシステムの同じ構成品で如何なる瞬間に同時に発生されるならば、システム全体が誤動作による機能喪失状態になる。すなわち、信頼度向上のためにハードウェアをいくら多重化しても使われるソフトウェアが同種のソフトウェア、例えば、同種の運営体制（ＯＳ：Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を使用するならば、同じソフトウェアで発生される共通類型の故障については信頼度が保障されない問題点がある。したがって、多重化されたハードウェアだけでは不十分であるのでソフトウェア共通類型故障を勘案した設計が必須である。
【０００７】
このために前述した大韓民国特許公開２００１−００１３４４２号公報はソフトウェア共通類型故障を原子炉保護システム自体内で解決できずに別途の多様性保護システム（Ｄｉｖｅｒｓｅ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）という設備によって原子炉が停止できるように設計された。すなわち、デジタル保護システムが共通類型故障によって本来の機能が遂行できない時、別途の保護システムである多様性保護システムがある程度の時間経過の後、原子炉停止機能を作動させるようにした。
【０００８】
しかし、このような従来の方法は独立した別途の他のシステムを追加せねばならないので全体システムの設計及び機器コストが増加される一方、既存の原子力発電所のアナログ保護システム交替時には原子炉保護システムだけでなく、関連した他システムの設計変更が要求されるなどの問題点がある。
【発明の開示】
【０００９】
本発明は前記のような問題点を解決するために創案されたものであって、デジタル発電所保護システムに発生する共通類型故障を別途のシステムによらずにシステム自体内で根本的に排除して安定性及び信頼度を向上させたデジタル原子炉保護システムを提供するのに目的がある。
【００１０】
このために、異機種のＣＰＵと相異なる運営体制とを使用して一方の比較論理及び同時論理プロセッサーに共通類型故障が発生しても他の一方は共通類型故障に影響されなくて原子炉保護機能が正常に維持される方法が提供される。
【００１１】
本発明の他の目的は、デジタル発電所保護システムに適用される安全等級のソフトウェア生産方法であって、ソフトウェア設計過程で自体的な設計検証を行わせる方法を提供するのにある。
【００１２】
本発明の他の目的及び長所は下記に説明されることであり、本発明の実施例によって分かるようになる。また、本発明の目的及び長所は特許請求の範囲に示した手段及び組合せによって実現できる。
【００１３】
前記した目的を達成するための本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムは、相異なるＣＰＵと運営体制とを使用する１対の比較論理プロセッサーと１対の同時論理プロセッサーとを含む。
【００１４】
望ましくは、１つの比較論理プロセッサー及び同時論理プロセッサーはインテル社系列のＣＰＵとＱＮＸ運営体制とを使用し、他の１つの比較論理プロセッサー及び同時論理プロセッサーはモトローラ社系列のＣＰＵとＶｘＷｏｒｋｓ運営体制とが使用できる。
【００１５】
そして、前記した１つの比較論理プロセッサー及び同時論理プロセッサーは順番が定められたトリップ処理信号変数を順番の順方向に論理処理し、前記他の１つの比較論理プロセッサーと同時論理プロセッサーとは順番の逆方向に論理処理できる。
【００１６】
また、前記１対の同時論理プロセッサーのデジタル出力モジュールのリレー接点がワイヤー配線方式で連結されて論理的“ＯＲ”回路が構成できる。
【００１７】
さらに、前記比較論理プロセッサー及び同時論理プロセッサーはＶＭＥ（Ｖｅｓａ Ｍｏｄｕｌｅ Ｅｕｒｏｐｅａｎ） ｂｕｓを使用する単一ボードコンピュータで具現できる。
【００１８】
前記した他の目的を達成するための本発明によるデジタル原子炉保護システムのための高信頼度ソフトウェア生産方法は、（ａ）状態図を使用してソフトウェアの要件明細書を作成する段階と、（ｂ）相異なる運営体制を使用する各ソフトウェアに対する設計説明書を作成する段階と、（ｃ）前記作成された設計説明書から各ソフトウェアをコーディングする段階と、（ｄ）前記コーディングされた各ソフトウェアに対するモジュール試験を行なう段階と、（ｅ）前記各ソフトウェアに対する前記試験結果を比較して誤り発生の如何を確認する段階と、を含む。
【００１９】
望ましくは、前記（ａ）段階前に、システム設計の要件明細書を作成する段階と、前記作成されたシステム設計要件明細書をシミュレーション道具を利用して分析する段階と、前記分析結果、異常のない場合、前記作成されたシステム設計の要件明細書を確定する段階と、をさらに含むことができる。
【００２０】
そして、前記（ｅ）段階後に、前記モジュール試験結果と前記シミュレーション道具を利用した分析結果との一致性を確認し、ソフトウェアの開発を完了する段階と、をさらに含むことができる。
【発明を実施するための最良の態様】
【００２１】
以下、図面を参照して本発明の望ましい実施例を詳細に説明する。
【００２２】
これに先立って、本明細書及び特許請求範囲に使われた用語や単語は通常的か辞書的な意味に限定して解釈されてはならず、発明者は自分の発明を最も最善の方法で説明するために用語の概念を適切に定義できる原則に立脚して本発明の技術的思想に符合する意味と概念で解釈されねばならない。
【００２３】
したがって、本明細書に記載された実施例と図面に示された構成は本発明の最も望ましい一実施例に過ぎず、本発明の技術的思想を全て代弁することではないので、本出願時点においてこれらを代替できる多様な均等物と変形例がありえることを理解せねばならない。
【００２４】
図１は、本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムの機能的構成を示す図面である。
【００２５】
図面を参照すれば、デジタル原子炉保護システム（Ｄｉｇｉｔａｌ Ｒｅａｃｔｏｒ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）は基本的に４個のチャンネルＡ、Ｂ、Ｃ、Ｄで構成され、各チャンネルは比較論理プロセッサー（Ｂｉｓｔａｂｌｅ Ｐｒｏｃｅｓｓｏｒ：ＢＰ）２０、同時論理プロセッサー（Ｌｏｃａｌ Ｃｏｉｎｃｉｄｅｎｃｅ Ｌｏｇｉｃ Ｐｒｏｃｅｓｓｏｒ：ＬＣＬ）３０、システム連係プロセッサー（Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ Ｐｒｏｃｅｓｓｏｒ：ＳＩＰ）４０、開始回路（Ｉｎｉｔｉａｔｉｏｎ Ｌｏｇｉｃ）５０、原子炉停止（Ｒｅａｃｔｏｒ ｔｒｉｐ）６０、工学的安全設備作動システム７０、補修試験盤（Ｍａｉｎｔｅｎａｎｃｅ ａｎｄ Ｔｅｓｔ Ｐａｎｅｌ：ＭＴＰ）８０及び運転員モジュール９０を含む。
【００２６】
比較論理プロセッサー２０は工程から独立的な測定値（工程変数値）を、工程センサーと信号伝送器及びアナログ／デジタル信号変換器を含む入力部１０から提供されて工程変数毎にあらかじめ指定されたトリップ設定値と比較することによってトリップ状態を決定する。比較論理プロセッサー２０のトリップ状態はデータリンクを経由して同一チャンネル及び他のチャンネルの同時論理プロセッサー３０に伝送される。
【００２７】
同時論理プロセッサー３０はトリップ変数毎に独立的な２／４同時論理を有しており、４つのチャンネルのうち２つのチャンネル以上の比較論理プロセッサー２０でトリップ状態が発生すれば、原子炉停止６０及び工学的安全設備作動システム（Ｅｎｇｉｎｅｅｒｅｄ Ｓａｆｅｔｙ Ｆｅａｔｕｒｅｓ：ＥＳＦ）７０の動作のために開始回路５０にトリップ信号を送る。一方、２／４同時論理はチャンネル試験及び補修時、運転員の要求によって２／３同時論理に変換できる。
【００２８】
開始回路５０は決定された原子炉停止信号によって原子炉停止６０を作動させ、原子炉事故の時、原子炉冷却のために必要な工学的安全設備作動システム７０を作動させる。
【００２９】
システム連係プロセッサー４０はシステムの運転状態を監視し、自動試験を遂行してチャンネル内部のプロセッサー及び他のシステムとのデータ通信を遂行する。
【００３０】
補修試験盤８０はシステムの運転状態を表示し、トリップチャンネル迂回及び試験の遂行に使われる。
【００３１】
運転員モジュール（Ｏｐｅｒａｔｏｒ Ｍｏｄｕｌｅ：ＯＭ）９０は主制御盤に設置され、システムの運転状態、すなわち、トリップ状態及び迂回状態を表示して運転員が可変設定値リセット及び運転迂回機能を遂行できるようにする。
【００３２】
（１）システム構成
前述した４つのチャンネルの構成は実質的に全て同一であり、したがって、ここでは１つのチャンネルに対する構成及びその動作の流れなどについて詳細に説明する。
【００３３】
図２に本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムの単一チャンネルの構成を示す。
【００３４】
図２を参照すれば、デジタル原子炉保護システムの各チャンネルには２個の比較論理プロセッサーモジュール（Ｂｉｓｔａｂｌｅ Ｐｒｏｃｅｓｓｏｒ Ｍｏｄｕｌｅ：ＢＰＰＭ１、ＢＰＰＭ２）２０ａ、２０ｂと２個の同時論理プロセッサーモジュール（Ｌｏｃａｌ Ｃｏｉｎｃｉｄｅｎｃｅ Ｌｏｇｉｃ Ｐｒｏｃｅｓｓｏｒ Ｍｏｄｕｌｅ：ＬＣＬＰＭ１、ＬＣＬＰＭ２）３０ａ、３０ｂが備わる。
【００３５】
プロセッサーモジュール間の共通類型故障を排除するためにＰＭ１ ２０ａ、３０ａにはＡタイプのＣＰＵ（例えば、インテル社のＣＰＵ）が内蔵されたプロセッサーモジュールが使われ、ＰＭ２ ２０ｂ、３０ｂにはＢタイプのＣＰＵ（例えば、モトローラ社のＣＰＵ）が内蔵されたプロセッサーモジュールが使われる。そして、ソフトウェアの多様性を維持するためにＰＭ１ ２０ａ、２０ｂにＣタイプの運営体系（例えば、ＱＮＸ）が、ＰＭ２ ２０ａ、２０ｂにＤタイプの運営体系（例えば、ＶｘＷｏｒｋｓ）がそれぞれ内蔵される。ここで、Ａ、Ｂ、Ｃ、Ｄタイプは単に任意的区分のための象徴的な意味で使われている。
【００３６】
アナログ入力信号はそれぞれ異なるアナログ入力（Ａｎａｌｏｇ Ｉｎｐｕｔ：ＡＩ）モジュール１０ａ、１０ｂに割り当てられて入力される。これは後述する表１を参照して理解可能である。一方、炉芯保護演算器システム（Ｃｏｒｅ Ｐｒｏｔｅｃｔｉｏｎ Ｃａｌｃｕｌａｔｏｒ Ｓｙｓｔｅｍ：ＣＰＣ Ｓｙｓｔｅｍ）の原子炉トリップ要求信号は比較論理プロセッサー２０ａ、２０ｂのデジタル入力（Ｄｉｇｉｔａｌ Ｉｎｐｕｔ：ＤＩ）モジュール１０ｃに伝達される。デジタル入力モジュール１０ｃは比較論理プロセッサーのアナログ入力モジュール１０ａ、１０ｂと機能的多様性を維持する。
【００３７】
本発明によれば、物理的に固定されている中継基地局やアクセスポイントを別に設置しなくても、移動中の通信端末機のための中継局を設置したのと同じ効果が得られる。また、中継サーバーとして選定されてサーバー役割を果たす通信端末機が破壊されても他の端末機がその機能を継承して遂行するので、通信が断絶されることなく、安定した無線通信網が構成できる。一方、通信しようとする通信端末機の位置を知らない時、まず該当通信端末機の位置を推定して推定された位置を担当する地域サーバーにデータを伝送するので、中央サーバー端末機への通信集中現象が防止できる。
【００３８】
【表１】
【００３９】
前述したように、比較論理プロセッサーはアナログ入力モジュール１０ａ、１０ｂ及びデジタル入力モジュール１０ｃを通じて工程計測機器、炉外中性子速度監視システム及び炉芯保護演算器システムから入力信号を提供される二重構成のプロセッサーモジュールを有しており、各入力信号について設定値との比較論理を処理し、その結果を同時論理プロセッサーに伝達する。
【００４０】
１つのチャンネルに内蔵される２個の比較論理プロセッサー２０ａ、２０ｂはあらゆるアナログ入力信号及びデジタル入力信号を処理するにおいて実行順の多様性を有している。すなわち、比較論理プロセッサー１ ２０ａは表１のトリップ変数で順方向（１番トリップ変数から１７番トリップ変数の順序）に比較論理を遂行する一方、比較論理プロセッサー２ ２０ｂは逆方向（１７番トリップ変数から１番トリップ変数の順序）に比較論理を遂行する。
【００４１】
そして、同時論理プロセッサーは４つのチャンネルの比較論理状態のうちから２つ以上のチャンネルでトリップ状態が発生すれば、原子炉停止及び工学的安全設備の作動のために開始回路にトリップ信号を伝送する二重構成のプロセッサーモジュールを有している。
【００４２】
ここで、前述した比較論理プロセッサー２０ａ、２０ｂが遂行する実行順序の多様性は同時論理プロセッサー３０ａ、３０ｂにも同一に適用される。すなわち、同時論理プロセッサー１ ３０ａは順方向に同時論理を遂行する一方、同時論理プロセッサー２ ３０ｂは逆方向に同時論理を遂行する。
【００４３】
一方、ソフトウェアを使用するデジタル機器の共通類型故障は多重化されたハードウェア構成を無力化させ、特に故障類型が予測できない。例えば、４つのチャンネルにあるＡタイプ（例えば、インテル社系列）のＣＰＵを内蔵したプロセッサーモジュールで原子炉が停止する方向に共通類型故障が発生する場合には発電所安定性に影響を与えないが、正常状態の出力を維持しながら共通類型故障が発生すれば、発電所の安定性に深刻な影響を与える。
【００４４】
このような点を考慮して、Ａタイプ（例えば、インテル社系列）同時論理プロセッサー３０ａのデジタル出力モジュール（Ｄｉｇｉｔａｌ Ｏｕｔｐｕｔ：ＤＯ）１ ５２ａとＢタイプ（例えば、モトローラ社系列）同時論理プロセッサー３０ｂのデジタル出力モジュールＤＯ２ ５２ｂとのリレー接点はワイヤー配線方式で連結されて論理的“ＯＲ”回路をなす。したがって、同時論理プロセッサー３０ａ、３０ｂでトリップ信号が発生する場合、低電圧トリップリレーＵＶＴ Ｒｅｌａｙ５４ｂ接点は開放され、分路トリップリレーＳＴ Ｒｅｌａｙ５４ａ接点は閉じられる。
【００４５】
これに、２個の同時論理プロセッサー３０ａ、３０ｂのうちから何れか１つだけトリップ信号を出力する場合にも原子炉を停止できるので、事故時のトリップ成功確率が向上する。
【００４６】
原子炉を停止させる最終端の停止遮断器ＴＣＢ５６は低電圧トリップリレー５４ｂ接点が開放されるか分路トリップリレー５４ａ接点が閉じられれば開放され、これで、原子炉制御棒駆動装置に供給される電力が遮断され、あらゆる制御棒が原子炉内で自由落下するようになり、これより原子炉内にある熱中性子を全て消滅させて原子炉は活動を止めて熱を発生しなくなる。
【００４７】
（２）ハードウェア構成
異機種のプロセッサー間の互換性のためにハードウェアプラットホームとして単一ボードコンピュータＳＢＣが使われる。
【００４８】
単一ボードコンピュータを使用しながらプロセッサーモジュールをＶＭＥデータ通信バスを通じて同じラックに異機種のモジュールを内蔵できるようにして、異機種間に相互容易に通信及び入出力装置を共有できるようにする。
【００４９】
図３に、本発明によるデジタル原子炉保護システムの単一チャンネルについてのハードウェア構成を示す。
【００５０】
デジタル原子炉保護システムは比較論理プロセッサーラック２００、同時論理プロセッサーラック３００及び補修試験盤８００で構成される。
【００５１】
ここで、各プロセッサーモジュールＢＰＰＭ１、ＢＰＰＭ２、ＬＣＬＰＭ１、ＬＣＬＰＭ２はＣＰＵ、ＳＤＲＡＭ及びＦｌａｓｈ ＥＰＲＯＭを内蔵しており、該当する応用プログラムはＦｌａｓｈ ＥＰＲＯＭに貯蔵される。そして、各プロセッサーモジュールは対応するプロセッサーモジュールとのトリップ関連データを交換するための所定数の直列ポートを有している。
【００５２】
通信連係モジュールＣＩは他のプロセッサーとのデータ伝送のために設計されており、１.５Ｍｂｐｓの伝送速度を有するＰｒｏｆｉｂｕｓとシリアル方式でデータを送受信する。このネットワークの物理的階層はＴｏｋｅｎ Ｂｕｓ Ｍａｓｔｅｒを使用するＲＳ４８５標準規格が使用できる。
【００５３】
デジタル入出力モジュールＤＩ／Ｏはモジュール当たり所定数のデジタル入力信号またはデジタル出力信号が提供でき、光隔離素子を内蔵している。
【００５４】
アナログ入力モジュールＡＩは所定の解像度を有するＡ／Ｄ変換器を内蔵しており、モジュール当たり所定数のアナログ入力信号を受けられる。
【００５５】
補修試験盤８００はデジタル発電所保護システムの人間−機械インタフェース装置であって、システムの運転状態を監視し、周期試験及び補修を遂行するのに使われ、ＬＣＤディスプレー、ＰＣシャーシー、中央処理装置、補助記憶装置、プリンタポート、シリアルポート及び通信連係モジュールＣＩなどで構成される。
【００５６】
一方、１つのラックに多重のＣＰＵプロセッサーが使われる時に発生する各ＣＰＵプロセッサー間のデータ通信の衝突問題を次のように解決した。
【００５７】
すなわち、カナダのＤＹ４社のインテル社ＣＰＵを内蔵した単一ボードコンピュータを使用してＱＮＸ運営体制とＶＭＥ ｂｕｓ間の通信ができるようにドライバを設置した。また、モトローラ社のＣＰＵを有する単一ボードコンピュータにＶｘＷｏｒｋｓという運営体系を移植させた時、ＶｘＷｏｒｋｓとＶＭＥ ｂｕｓ間の通信ができるドライブを設置した。
【００５８】
したがって、ＶＭＥ ｂｕｓを内部通信ｂｕｓとして使用する共同のラックにＱＮＸ運営体制のインテル社のＣＰＵとＶｘＷｏｒｋｓ運営体制のモトローラ社のＣＰＵはＶＭＥ ｂｕｓを通じて相互通信するようになる。
【００５９】
一方、多重プロセッサー間の通信とスレーブである入出力Ｉ／Ｏ装置及びその他装置のアクセス間にも衝突が発生しないように制御機器としてアービタを利用する。ここでＶＭＥ ｂｕｓを使用するマルチマスターシステムの通信運用方式を簡単に説明すれば、次の通りである。
【００６０】
マルチマスターシステムのＶＭＥ ｂｕｓ運用方式を説明する図４を参照すれば、マスター１がＣＰＵでＶＭＥ ｂｕｓを通した外部入出力装置を使用しようとすれば、直ちにアクセスされることではなく、バス要請器にバス要請信号（Ｓ１）を送る。バス要請器はＶＭＥ ｂｕｓ要請信号（Ｓ２）をバス使用要請ラインに伝送し、バス使用伝送ラインを通じてアービタに要請信号（Ｓ３）がいく。アービタはバスビジー（バス使用中）信号（Ｓ４）がなければ、マスター１内のバス要請器にバス許可信号（Ｓ５）を送る。バス要請器はバス使用中信号（Ｓ６）をＶＭＥ ｂｕｓに載せる。そして、バス使用不可信号（Ｓ７）をスロット２のマスター２ボードに送る。次にはマスター１のＣＰＵにバス許可信号（Ｓ８）を送り、マスター１のＣＰＵがＶＭＥ ｂｕｓ方向にゲートを開かせ（Ｓ９）、データ伝達バスラインを使用して外部装置であるスロット３のＩ／Ｏボードにデータアクセス（Ｓ１０）をするようになる。この時、スロット２のＣＰＵがバス要請信号（Ｓ１１）を送れば、マスター２のバス要請器がアービタにバス要請信号（Ｓ１２）を送り、アービタはバス使用中に確認によってバス使用不可信号（Ｓ７）をマスター１のバス要請器を通じてマスター２のバス要請器に伝達する。結局、スロット１のマスター１がバス使用を終えるまで待ってこそバス不可信号がバス許可信号に変わってバスが使用できる。このような動作によって多重プロセッサー間の通信衝突の問題は解決される。
【００６１】
（３）ソフトウェア構成
本発明によれば、応用プログラムは比較論理ソフトウェアと同時論理ソフトウェアとに区分されてそれぞれ比較論理プロセッサーと同時論理プロセッサーとに搭載される。以下、前記各ソフトウェアの構成について詳細に説明する。
【００６２】
本発明による比較論理ソフトウェアの構成を示した図５を参照すれば、比較論理ソフトウェア２１はアナログ／デジタル変換モジュール２２、設定値モジュール２３、設定値制御モジュール２４、比較論理モジュール２５、トリップモジュール２６、予備トリップモジュール２７及び運転迂回モジュール２８の小単位モジュールで構成される。
【００６３】
アナログ／デジタル変換モジュール２２はアナログ形態の工程信号をデジタル信号に変換して設定値モジュール２３及び比較論理モジュール２５に伝達する。
【００６４】
設定値モジュール２３は設定値を比較論理モジュール２５に伝達するモジュールであって、一部トリップ変数の場合には工程変数値によって設定値を計算する。このような可変設定値計算方式には手動リセット型可変設定値と自動比率制限型可変設定値とがある。
【００６５】
自動比率制限型可変設定値は、入力変数の変化によって設定値が自動増加または自動減少するように設計され、単に、上限制限値及び下限制限値は固定値を有するように設計される。
【００６６】
手動リセット型可変設定値は、運転員が手動でリセットさせる時、設定値制御モジュール２４によって自動に一定量ほどの設定値を減少させる形態で設計され、単に、上限制限値及び下限制限値は固定値を有するように設計される。
【００６７】
比較論理モジュール２５は比較論理プロセッサーの核心役割を遂行し、設定値モジュール信号（設定値）とアナログ／デジタル変換モジュール信号（工程変数値）とを比較してトリップ及び予備トリップ状態を決定する。
【００６８】
トリップモジュール２６は工程入力値をトリップ設定値と比較した後、設定値より大きい時、比較論理モジュール２５の結果をデータ通信を通じて他のチャンネルの同時論理プロセッサーに伝達する。比較論理モジュール２５でトリップ信号値が発生すれば、トリップ信号がなくなるまで設定値が変わることが許容されない。トリップモジュール２６はトリップ状態を同時論理プロセッサーに伝送し、予備トリップモジュール２７は予備トリップの状態を処理する。
【００６９】
運転迂回モジュール２８は原子炉起動及び停止時、デジタル原子炉保護システムの特定トリップ機能を迂回させるためのアルゴリズムを有している。
【００７０】
次に、本発明による同時論理ソフトウェアの構成を示した図６を参照すれば、同時論理ソフトウェア３１は補修試験盤の連係モジュール（ＭＴＰ Ｉｎｔｅｒｆａｃｅ Ｌｏｇｉｃ）３２、制御棒引出し禁止論理モジュール（ＣＷＰ Ｌｏｇｉｃ）３３、同時論理プロセッサー故障感知モジュール（ＬＣＬ Ｐｒｏｃｅｓｓｏｒ Ｆａｉｌ Ｓｔａｔｅ Ｌｏｇｉｃ）３４、警報器連係モジュール（Ａｎｎｕｎｃｉａｔｏｒ Ｉｎｔｅｒｆａｃｅ Ｌｏｇｉｃ）３５及び原子炉保護システム同時論理モジュール（ＲＰＳ ＬＣＬ Ｌｏｇｉｃ）３６で構成される。
【００７１】
補修試験盤連係モジュール３２は運転員が入力するチャンネル迂回入力を受けて同時論理モジュール３６に伝達する。また、トリップ、予備トリップ信号を補修試験盤に伝達する。
【００７２】
制御棒引出し禁止論理モジュール３３は予備トリップ信号を該当チャンネル及び他のチャンネルから受けて２／４同時論理を遂行し、制御棒制御システムに制御棒引出し禁止（Ｃｏｎｔｒｏｌ Ｗｉｔｈｄｒａｗａｌ Ｐｒｏｈｉｂｉｔ：ＣＷＰ）信号を伝達する。
【００７３】
同時論理プロセッサー故障感知モジュール３４は同時論理プロセッサーの状態を監視し、故障状態が監視されれば、同時論理モジュール３６に故障状態を伝達して同時論理プロセッサーの出力はトリップ状態を作る。このような故障情報は補修試験盤及びシステム連係プロセッサーに伝えられて運転員が感知できるようになる。
【００７４】
警報器連係モジュール３５は同時論理プロセッサーの迂回及びトリップ開始状態を発電所警報システムに伝達する。
【００７５】
同時論理モジュール３６は４個の入力のうちから２つ以上の信号がトリップ状態を指示すれば、トリップ信号を発生させる。もし、トリップチャンネル迂回が存在すれば、迂回されない３つのチャンネルの信号のうち２つ以上でトリップ状態を指示する場合、トリップ信号を発生させる。
【００７６】
（４）高信頼度ソフトウェア開発方法
一般的に、ソフトウェア開発はシステム設計が完了した後、ソフトウェア要件明細書を作成し、その次に、詳細機能及びコーディング要件を記述しているソフトウェア設計説明書に基づいてソフトウェアを具現するようになる。ソフトウェア作成が完了すれば、コンピュータハードウェアに内蔵されてモジュール別試験を経て機能及び性能を確認する試験をする。以後、装備を設置現場に移動して試運転試験期間に正常的に運転されることが確認されれば、運営者（発注者）に引き渡される。このような一連の過程を機器設計と機器供給という。
【００７７】
一方、原子力発電所に適用される安全等級のソフトウェア開発はシステム設計の内容及び機器設計をいっしょに考慮してソフトウェアを生産することによって高信頼度の品質が達成できる。
【００７８】
前述した本発明による安全等級ソフトウェア開発のフローチャートを図７に示す。
【００７９】
一般的に、ソフトウェア要件明細書の作成段階で最も多くのソフトウェアの誤りが発生されるので、本発明においてはシステム設計で発生するかもしれない設計欠陥を排除するために動的シミュレーション道具を使用してシステム設計上のあらゆる機能をシミュレーションし、その結果及び特性などを分析してシステム設計要件明細書を検証する一方、これに基づいて状態を説明する定型技法である状態図を使用してソフトウェア要件明細書を作成することによって独立した確認検証の他にも設計業務過程でも自体的な設計検証を自動的に行わせる。さらに、各段階別文書の確認検討もソフトウェアツール（例えば、Ｒｅｑｕｉｓｉｔｅ Ｐｒｏ）を利用して要件追跡マトリックスを作成して文書の修正及び作成をより容易に追跡管理させる。
【００８０】
本発明による高信頼度のソフトウェア開発方法の特徴は設計過程で遂行される３回の自体確認検証体制であって、次の通りである。
【００８１】
最初の検証はシステム設計段階で動的シミュレーション（例えば、Ｍａｔｌａｂ）ソフトウェアでシステム入出力動作、比較論理及び同時論理アルゴリズムと原子炉の安全変数とによるデジタル保護システムの動作特性まで細部的に全て再現してみることによって遂行される。
【００８２】
設計過程の第２の検証はソフトウェアコーディング段階で遂行される。すなわち、ソフトウェアツールで生成した定型的なソフトウェア要件明細書によってＡタイプ（例えば、ＶｘＷｏｒｋｓ）運営体制を使用するソフトウェア設計説明書とコーディング、そしてＢタイプ（例えば、ＱＮＸ）運営体制を使用するソフトウェア設計説明書とコーディングとがそれぞれ別途に作成され、コーディングされたソフトウェアモジュールが試験された後、試験結果を比較して誤りがある場合、ソフトウェア設計説明書の作成段階に取り戻され、異常がなければ試験結果分析段階に進行される。
【００８３】
設計過程の第３の検証は総合試験段階で遂行される。前記試験結果とシミュレーション道具でシミュレーションした各種予測結果とが一致しているかを確認し、異常がない場合、ソフトウェア開発を完了する。総合試験段階で不一致事項が発生すれば、ソフトウェア要件明細書の作成段階に取り戻されて第２の検証を通じて設計欠陥が修正される。
【００８４】
最後に、本発明は原子力発電所のデジタル原子炉保護システムとして開発されたが、原子力発電所だけでなく高度の信頼性が要求される航空、宇宙及び医療分野のデジタルシステムの共通類型故障を排除しなければならない設備に適用できる。また、一般産業界の安全設備にも多様に適用できる。
【００８５】
以上のように、本発明はたとえ限定された実施例と図面によって説明されたが、本発明はこれによって限定されなく、本発明が属する技術分野の当業者によって本発明の技術思想と下記に記載される特許請求の範囲の均等な範囲内で多様な修正及び変形が可能であることは言うまでもない。
【産業上の利用の可能性】
【００８６】
本発明のソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムによれば、異機種のＣＰＵと相異なる運営体制のシステム構造であって、一方の比較論理及び同時論理プロセッサーに共通類型故障が発生しても他の一方は共通類型故障に影響されずに原子炉保護機能に異常が発生しない、安定性と信頼度が向上し、経済性が向上したデジタル方式の原子炉保護システムが提供される。
【００８７】
したがって、独自的に開発された高信頼度デジタル原子炉保護システムの技術は他国に輸出する時、莫大な経済的利得をもたらし、また開発された安全システムの高信頼度設計技術を体系化して関連計測制御設備及びコンピュータ産業界に技術を伝授すれば、産業界全般の技術の跳躍に大きく寄与する効果がある。
【図面の簡単な説明】
【００８８】
【図１】本発明による共通類型故障を自体排除したデジタル原子炉保護システムの機能的構成を示す図面である。
【図２】本発明による共通類型故障を自体排除したデジタル原子炉保護システムの単一チャンネルに対する構成を示す図面である。
【図３】本発明による共通類型故障を自制排除したデジタル原子炉保護システムの単一チャンネルに対するハードウェア構成を示す図面である。
【図４】本発明によるマルチマスターシステムにおいてデータ通信の概念を説明する図面である。
【図５】本発明による比較論理ソフトウェアの内部構成を示す図面である。
【図６】本発明による同時論理ソフトウェアの内部構成を示す図面である。
【図７】本発明によるデジタル原子炉保護システムに適用される高信頼度ソフトウェアを生産する過程を示すフローチャートである。
【０００１】
本発明は、デジタル原子炉保護システムに係り、より詳細には、他の機種のＣＰＵと相異なる運営体系のシステム構造で共通類型故障をシステム自体的に排除して信頼度と安定性を向上させたデジタル原子炉保護システムに関する。
【背景技術】
【０００２】
原子炉保護システム（Ｒｅａｃｔｏｒ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）は、原子力発電所の運転中に原子炉及び発電所に異常状態が発生する時、あらゆる制御棒を速かに炉芯下部に落下させて原子炉の運転を停止させる重要な安全システムであって、発電所運転状態が安全に維持されるかを確認するために安全関連運転変数を常時監視し、運転変数が定められた安全システム設定値に到達すれば、正確で速かに原子炉を停止させるのに必要な感知器、演算器、論理回路及び停止遮断器で構成されている。
【０００３】
すなわち、原子炉及び核蒸気供給システムとタービンシステムなどで測定された安全関連運転変数値が正常的な運転条件を外れる場合、原子炉停止論理によって停止遮断器を開放することによって原子炉の運転を停止させる。
【０００４】
従来の原子炉保護システムは６０年代のアナログ技術に基づいた電子回路及びリレーで構成されている。このような原子炉保護システムは古里２、３、４号機、霊光１、２、３、４、５、６号機、蔚珍３、４号機に設置、運営されている。しかし、最近、コンピュータ及びデジタル技術の急速な発展につれてアナログ機器は漸次デジタル機器に交替されており、これと共にアナログ機器を生産する供給業者も少なくなった。したがって、これを解決するために原子力発電所の計測制御システムにデジタルシステムを適用することによってアナログシステムの予備部品の確保及び部品断種の問題点が解決され、機器老朽化によるドリフトが除去される一方、セルフ診断及び自動試験の具現により補修及び定期試験にかかる時間短縮など経済的、技術的に多くの長所がある。したがって、最近、設計される原子力発電所保護システムにデジタルシステムを導入するためにこれに関連した技術研究が進行されている。
【０００５】
一例で、大韓民国特許公開２００１−００１３４４２号公報には、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）を使用して多重構造のプロセッサーを複数のチャンネルに多重化させることによって、信頼度を向上させた技術が開示されている。ＰＬＣはプロセッサー当たり処理する入出力数が比較的少ないので、単純な工程制御用として使われ、特に単純なソフトウェア使用で運転及び維持補修が比較的優秀な長所を有するが、製作社別に規格化されていないので、異機種間にはゲートウェーを使用するか送受信データに制限される問題点がある。すなわち、ＰＬＣ制御機器は異機種間のプロセッサー及び出力装置間に互換性のない問題点がある。
【０００６】
また、デジタルシステムでは信頼度向上のためにアナログシステムで考慮しなくてもいいソフトウェア共通類型故障（Ｃｏｍｍｏｎ Ｍｏｄｅ Ｆａｉｌｕｒｅｓ）問題を解決せねばならない。すなわち、デジタルシステムは機能がソフトウェアによって具現され、ソフトウェアはプログラマーが作成するために個人の特性及び能力によって生産されるソフトウェアの品質は規格化されず、また個人の誤りや失敗が生産されたソフトウェア内に存在する可能性が高い。このように発生された誤りや失敗が運転中のシステムの同じ構成品で如何なる瞬間に同時に発生されるならば、システム全体が誤動作による機能喪失状態になる。すなわち、信頼度向上のためにハードウェアをいくら多重化しても使われるソフトウェアが同種のソフトウェア、例えば、同種の運営体制（ＯＳ：Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を使用するならば、同じソフトウェアで発生される共通類型の故障については信頼度が保障されない問題点がある。したがって、多重化されたハードウェアだけでは不十分であるのでソフトウェア共通類型故障を勘案した設計が必須である。
【０００７】
このために前述した大韓民国特許公開２００１−００１３４４２号公報はソフトウェア共通類型故障を原子炉保護システム自体内で解決できずに別途の多様性保護システム（Ｄｉｖｅｒｓｅ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）という設備によって原子炉が停止できるように設計された。すなわち、デジタル保護システムが共通類型故障によって本来の機能が遂行できない時、別途の保護システムである多様性保護システムがある程度の時間経過の後、原子炉停止機能を作動させるようにした。
【０００８】
しかし、このような従来の方法は独立した別途の他のシステムを追加せねばならないので全体システムの設計及び機器コストが増加される一方、既存の原子力発電所のアナログ保護システム交替時には原子炉保護システムだけでなく、関連した他システムの設計変更が要求されるなどの問題点がある。
【発明の開示】
【０００９】
本発明は前記のような問題点を解決するために創案されたものであって、デジタル発電所保護システムに発生する共通類型故障を別途のシステムによらずにシステム自体内で根本的に排除して安定性及び信頼度を向上させたデジタル原子炉保護システムを提供するのに目的がある。
【００１０】
このために、異機種のＣＰＵと相異なる運営体制とを使用して一方の比較論理及び同時論理プロセッサーに共通類型故障が発生しても他の一方は共通類型故障に影響されなくて原子炉保護機能が正常に維持される方法が提供される。
【００１１】
本発明の他の目的は、デジタル発電所保護システムに適用される安全等級のソフトウェア生産方法であって、ソフトウェア設計過程で自体的な設計検証を行わせる方法を提供するのにある。
【００１２】
本発明の他の目的及び長所は下記に説明されることであり、本発明の実施例によって分かるようになる。また、本発明の目的及び長所は特許請求の範囲に示した手段及び組合せによって実現できる。
【００１３】
前記した目的を達成するための本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムは、相異なるＣＰＵと運営体制とを使用する１対の比較論理プロセッサーと１対の同時論理プロセッサーとを含む。
【００１４】
望ましくは、１つの比較論理プロセッサー及び同時論理プロセッサーはインテル社系列のＣＰＵとＱＮＸ運営体制とを使用し、他の１つの比較論理プロセッサー及び同時論理プロセッサーはモトローラ社系列のＣＰＵとＶｘＷｏｒｋｓ運営体制とが使用できる。
【００１５】
そして、前記した１つの比較論理プロセッサー及び同時論理プロセッサーは順番が定められたトリップ処理信号変数を順番の順方向に論理処理し、前記他の１つの比較論理プロセッサーと同時論理プロセッサーとは順番の逆方向に論理処理できる。
【００１６】
また、前記１対の同時論理プロセッサーのデジタル出力モジュールのリレー接点がワイヤー配線方式で連結されて論理的“ＯＲ”回路が構成できる。
【００１７】
さらに、前記比較論理プロセッサー及び同時論理プロセッサーはＶＭＥ（Ｖｅｓａ Ｍｏｄｕｌｅ Ｅｕｒｏｐｅａｎ） ｂｕｓを使用する単一ボードコンピュータで具現できる。
【００１８】
前記した他の目的を達成するための本発明によるデジタル原子炉保護システムのための高信頼度ソフトウェア生産方法は、（ａ）状態図を使用してソフトウェアの要件明細書を作成する段階と、（ｂ）相異なる運営体制を使用する各ソフトウェアに対する設計説明書を作成する段階と、（ｃ）前記作成された設計説明書から各ソフトウェアをコーディングする段階と、（ｄ）前記コーディングされた各ソフトウェアに対するモジュール試験を行なう段階と、（ｅ）前記各ソフトウェアに対する前記試験結果を比較して誤り発生の如何を確認する段階と、を含む。
【００１９】
望ましくは、前記（ａ）段階前に、システム設計の要件明細書を作成する段階と、前記作成されたシステム設計要件明細書をシミュレーション道具を利用して分析する段階と、前記分析結果、異常のない場合、前記作成されたシステム設計の要件明細書を確定する段階と、をさらに含むことができる。
【００２０】
そして、前記（ｅ）段階後に、前記モジュール試験結果と前記シミュレーション道具を利用した分析結果との一致性を確認し、ソフトウェアの開発を完了する段階と、をさらに含むことができる。
【発明を実施するための最良の態様】
【００２１】
以下、図面を参照して本発明の望ましい実施例を詳細に説明する。
【００２２】
これに先立って、本明細書及び特許請求範囲に使われた用語や単語は通常的か辞書的な意味に限定して解釈されてはならず、発明者は自分の発明を最も最善の方法で説明するために用語の概念を適切に定義できる原則に立脚して本発明の技術的思想に符合する意味と概念で解釈されねばならない。
【００２３】
したがって、本明細書に記載された実施例と図面に示された構成は本発明の最も望ましい一実施例に過ぎず、本発明の技術的思想を全て代弁することではないので、本出願時点においてこれらを代替できる多様な均等物と変形例がありえることを理解せねばならない。
【００２４】
図１は、本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムの機能的構成を示す図面である。
【００２５】
図面を参照すれば、デジタル原子炉保護システム（Ｄｉｇｉｔａｌ Ｒｅａｃｔｏｒ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）は基本的に４個のチャンネルＡ、Ｂ、Ｃ、Ｄで構成され、各チャンネルは比較論理プロセッサー（Ｂｉｓｔａｂｌｅ Ｐｒｏｃｅｓｓｏｒ：ＢＰ）２０、同時論理プロセッサー（Ｌｏｃａｌ Ｃｏｉｎｃｉｄｅｎｃｅ Ｌｏｇｉｃ Ｐｒｏｃｅｓｓｏｒ：ＬＣＬ）３０、システム連係プロセッサー（Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ Ｐｒｏｃｅｓｓｏｒ：ＳＩＰ）４０、開始回路（Ｉｎｉｔｉａｔｉｏｎ Ｌｏｇｉｃ）５０、原子炉停止（Ｒｅａｃｔｏｒ ｔｒｉｐ）６０、工学的安全設備作動システム７０、補修試験盤（Ｍａｉｎｔｅｎａｎｃｅ ａｎｄ Ｔｅｓｔ Ｐａｎｅｌ：ＭＴＰ）８０及び運転員モジュール９０を含む。
【００２６】
比較論理プロセッサー２０は工程から独立的な測定値（工程変数値）を、工程センサーと信号伝送器及びアナログ／デジタル信号変換器を含む入力部１０から提供されて工程変数毎にあらかじめ指定されたトリップ設定値と比較することによってトリップ状態を決定する。比較論理プロセッサー２０のトリップ状態はデータリンクを経由して同一チャンネル及び他のチャンネルの同時論理プロセッサー３０に伝送される。
【００２７】
同時論理プロセッサー３０はトリップ変数毎に独立的な２／４同時論理を有しており、４つのチャンネルのうち２つのチャンネル以上の比較論理プロセッサー２０でトリップ状態が発生すれば、原子炉停止６０及び工学的安全設備作動システム（Ｅｎｇｉｎｅｅｒｅｄ Ｓａｆｅｔｙ Ｆｅａｔｕｒｅｓ：ＥＳＦ）７０の動作のために開始回路５０にトリップ信号を送る。一方、２／４同時論理はチャンネル試験及び補修時、運転員の要求によって２／３同時論理に変換できる。
【００２８】
開始回路５０は決定された原子炉停止信号によって原子炉停止６０を作動させ、原子炉事故の時、原子炉冷却のために必要な工学的安全設備作動システム７０を作動させる。
【００２９】
システム連係プロセッサー４０はシステムの運転状態を監視し、自動試験を遂行してチャンネル内部のプロセッサー及び他のシステムとのデータ通信を遂行する。
【００３０】
補修試験盤８０はシステムの運転状態を表示し、トリップチャンネル迂回及び試験の遂行に使われる。
【００３１】
運転員モジュール（Ｏｐｅｒａｔｏｒ Ｍｏｄｕｌｅ：ＯＭ）９０は主制御盤に設置され、システムの運転状態、すなわち、トリップ状態及び迂回状態を表示して運転員が可変設定値リセット及び運転迂回機能を遂行できるようにする。
【００３２】
（１）システム構成
前述した４つのチャンネルの構成は実質的に全て同一であり、したがって、ここでは１つのチャンネルに対する構成及びその動作の流れなどについて詳細に説明する。
【００３３】
図２に本発明によるソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムの単一チャンネルの構成を示す。
【００３４】
図２を参照すれば、デジタル原子炉保護システムの各チャンネルには２個の比較論理プロセッサーモジュール（Ｂｉｓｔａｂｌｅ Ｐｒｏｃｅｓｓｏｒ Ｍｏｄｕｌｅ：ＢＰＰＭ１、ＢＰＰＭ２）２０ａ、２０ｂと２個の同時論理プロセッサーモジュール（Ｌｏｃａｌ Ｃｏｉｎｃｉｄｅｎｃｅ Ｌｏｇｉｃ Ｐｒｏｃｅｓｓｏｒ Ｍｏｄｕｌｅ：ＬＣＬＰＭ１、ＬＣＬＰＭ２）３０ａ、３０ｂが備わる。
【００３５】
プロセッサーモジュール間の共通類型故障を排除するためにＰＭ１ ２０ａ、３０ａにはＡタイプのＣＰＵ（例えば、インテル社のＣＰＵ）が内蔵されたプロセッサーモジュールが使われ、ＰＭ２ ２０ｂ、３０ｂにはＢタイプのＣＰＵ（例えば、モトローラ社のＣＰＵ）が内蔵されたプロセッサーモジュールが使われる。そして、ソフトウェアの多様性を維持するためにＰＭ１ ２０ａ、２０ｂにＣタイプの運営体系（例えば、ＱＮＸ）が、ＰＭ２ ２０ａ、２０ｂにＤタイプの運営体系（例えば、ＶｘＷｏｒｋｓ）がそれぞれ内蔵される。ここで、Ａ、Ｂ、Ｃ、Ｄタイプは単に任意的区分のための象徴的な意味で使われている。
【００３６】
アナログ入力信号はそれぞれ異なるアナログ入力（Ａｎａｌｏｇ Ｉｎｐｕｔ：ＡＩ）モジュール１０ａ、１０ｂに割り当てられて入力される。これは後述する表１を参照して理解可能である。一方、炉芯保護演算器システム（Ｃｏｒｅ Ｐｒｏｔｅｃｔｉｏｎ Ｃａｌｃｕｌａｔｏｒ Ｓｙｓｔｅｍ：ＣＰＣ Ｓｙｓｔｅｍ）の原子炉トリップ要求信号は比較論理プロセッサー２０ａ、２０ｂのデジタル入力（Ｄｉｇｉｔａｌ Ｉｎｐｕｔ：ＤＩ）モジュール１０ｃに伝達される。デジタル入力モジュール１０ｃは比較論理プロセッサーのアナログ入力モジュール１０ａ、１０ｂと機能的多様性を維持する。
【００３７】
本発明によれば、物理的に固定されている中継基地局やアクセスポイントを別に設置しなくても、移動中の通信端末機のための中継局を設置したのと同じ効果が得られる。また、中継サーバーとして選定されてサーバー役割を果たす通信端末機が破壊されても他の端末機がその機能を継承して遂行するので、通信が断絶されることなく、安定した無線通信網が構成できる。一方、通信しようとする通信端末機の位置を知らない時、まず該当通信端末機の位置を推定して推定された位置を担当する地域サーバーにデータを伝送するので、中央サーバー端末機への通信集中現象が防止できる。
【００３８】
【表１】
前述したように、比較論理プロセッサーはアナログ入力モジュール１０ａ、１０ｂ及びデジタル入力モジュール１０ｃを通じて工程計測機器、炉外中性子速度監視システム及び炉芯保護演算器システムから入力信号を提供される二重構成のプロセッサーモジュールを有しており、各入力信号について設定値との比較論理を処理し、その結果を同時論理プロセッサーに伝達する。
【００４０】
１つのチャンネルに内蔵される２個の比較論理プロセッサー２０ａ、２０ｂはあらゆるアナログ入力信号及びデジタル入力信号を処理するにおいて実行順の多様性を有している。すなわち、比較論理プロセッサー１ ２０ａは表１のトリップ変数で順方向（１番トリップ変数から１７番トリップ変数の順序）に比較論理を遂行する一方、比較論理プロセッサー２ ２０ｂは逆方向（１７番トリップ変数から１番トリップ変数の順序）に比較論理を遂行する。
【００４１】
そして、同時論理プロセッサーは４つのチャンネルの比較論理状態のうちから２つ以上のチャンネルでトリップ状態が発生すれば、原子炉停止及び工学的安全設備の作動のために開始回路にトリップ信号を伝送する二重構成のプロセッサーモジュールを有している。
【００４２】
ここで、前述した比較論理プロセッサー２０ａ、２０ｂが遂行する実行順序の多様性は同時論理プロセッサー３０ａ、３０ｂにも同一に適用される。すなわち、同時論理プロセッサー１ ３０ａは順方向に同時論理を遂行する一方、同時論理プロセッサー２ ３０ｂは逆方向に同時論理を遂行する。
【００４３】
一方、ソフトウェアを使用するデジタル機器の共通類型故障は多重化されたハードウェア構成を無力化させ、特に故障類型が予測できない。例えば、４つのチャンネルにあるＡタイプ（例えば、インテル社系列）のＣＰＵを内蔵したプロセッサーモジュールで原子炉が停止する方向に共通類型故障が発生する場合には発電所安定性に影響を与えないが、正常状態の出力を維持しながら共通類型故障が発生すれば、発電所の安定性に深刻な影響を与える。
【００４４】
このような点を考慮して、Ａタイプ（例えば、インテル社系列）同時論理プロセッサー３０ａのデジタル出力モジュール（Ｄｉｇｉｔａｌ Ｏｕｔｐｕｔ：ＤＯ）１ ５２ａとＢタイプ（例えば、モトローラ社系列）同時論理プロセッサー３０ｂのデジタル出力モジュールＤＯ２ ５２ｂとのリレー接点はワイヤー配線方式で連結されて論理的“ＯＲ”回路をなす。したがって、同時論理プロセッサー３０ａ、３０ｂでトリップ信号が発生する場合、低電圧トリップリレーＵＶＴ Ｒｅｌａｙ５４ｂ接点は開放され、分路トリップリレーＳＴ Ｒｅｌａｙ５４ａ接点は閉じられる。
【００４５】
これに、２個の同時論理プロセッサー３０ａ、３０ｂのうちから何れか１つだけトリップ信号を出力する場合にも原子炉を停止できるので、事故時のトリップ成功確率が向上する。
【００４６】
原子炉を停止させる最終端の停止遮断器ＴＣＢ５６は低電圧トリップリレー５４ｂ接点が開放されるか分路トリップリレー５４ａ接点が閉じられれば開放され、これで、原子炉制御棒駆動装置に供給される電力が遮断され、あらゆる制御棒が原子炉内で自由落下するようになり、これより原子炉内にある熱中性子を全て消滅させて原子炉は活動を止めて熱を発生しなくなる。
【００４７】
（２）ハードウェア構成
異機種のプロセッサー間の互換性のためにハードウェアプラットホームとして単一ボードコンピュータＳＢＣが使われる。
【００４８】
単一ボードコンピュータを使用しながらプロセッサーモジュールをＶＭＥデータ通信バスを通じて同じラックに異機種のモジュールを内蔵できるようにして、異機種間に相互容易に通信及び入出力装置を共有できるようにする。
【００４９】
図３に、本発明によるデジタル原子炉保護システムの単一チャンネルについてのハードウェア構成を示す。
【００５０】
デジタル原子炉保護システムは比較論理プロセッサーラック２００、同時論理プロセッサーラック３００及び補修試験盤８００で構成される。
【００５１】
ここで、各プロセッサーモジュールＢＰＰＭ１、ＢＰＰＭ２、ＬＣＬＰＭ１、ＬＣＬＰＭ２はＣＰＵ、ＳＤＲＡＭ及びＦｌａｓｈ ＥＰＲＯＭを内蔵しており、該当する応用プログラムはＦｌａｓｈ ＥＰＲＯＭに貯蔵される。そして、各プロセッサーモジュールは対応するプロセッサーモジュールとのトリップ関連データを交換するための所定数の直列ポートを有している。
【００５２】
通信連係モジュールＣＩは他のプロセッサーとのデータ伝送のために設計されており、１.５Ｍｂｐｓの伝送速度を有するＰｒｏｆｉｂｕｓとシリアル方式でデータを送受信する。このネットワークの物理的階層はＴｏｋｅｎ Ｂｕｓ Ｍａｓｔｅｒを使用するＲＳ４８５標準規格が使用できる。
【００５３】
デジタル入出力モジュールＤＩ／Ｏはモジュール当たり所定数のデジタル入力信号またはデジタル出力信号が提供でき、光隔離素子を内蔵している。
【００５４】
アナログ入力モジュールＡＩは所定の解像度を有するＡ／Ｄ変換器を内蔵しており、モジュール当たり所定数のアナログ入力信号を受けられる。
【００５５】
補修試験盤８００はデジタル発電所保護システムの人間−機械インタフェース装置であって、システムの運転状態を監視し、周期試験及び補修を遂行するのに使われ、ＬＣＤディスプレー、ＰＣシャーシー、中央処理装置、補助記憶装置、プリンタポート、シリアルポート及び通信連係モジュールＣＩなどで構成される。
【００５６】
一方、１つのラックに多重のＣＰＵプロセッサーが使われる時に発生する各ＣＰＵプロセッサー間のデータ通信の衝突問題を次のように解決した。
【００５７】
すなわち、カナダのＤＹ４社のインテル社ＣＰＵを内蔵した単一ボードコンピュータを使用してＱＮＸ運営体制とＶＭＥ ｂｕｓ間の通信ができるようにドライバを設置した。また、モトローラ社のＣＰＵを有する単一ボードコンピュータにＶｘＷｏｒｋｓという運営体系を移植させた時、ＶｘＷｏｒｋｓとＶＭＥ ｂｕｓ間の通信ができるドライブを設置した。
【００５８】
したがって、ＶＭＥ ｂｕｓを内部通信ｂｕｓとして使用する共同のラックにＱＮＸ運営体制のインテル社のＣＰＵとＶｘＷｏｒｋｓ運営体制のモトローラ社のＣＰＵはＶＭＥ ｂｕｓを通じて相互通信するようになる。
【００５９】
一方、多重プロセッサー間の通信とスレーブである入出力Ｉ／Ｏ装置及びその他装置のアクセス間にも衝突が発生しないように制御機器としてアービタを利用する。ここでＶＭＥ ｂｕｓを使用するマルチマスターシステムの通信運用方式を簡単に説明すれば、次の通りである。
【００６０】
マルチマスターシステムのＶＭＥ ｂｕｓ運用方式を説明する図４を参照すれば、マスター１がＣＰＵでＶＭＥ ｂｕｓを通した外部入出力装置を使用しようとすれば、直ちにアクセスされることではなく、バス要請器にバス要請信号（Ｓ１）を送る。バス要請器はＶＭＥ ｂｕｓ要請信号（Ｓ２）をバス使用要請ラインに伝送し、バス使用伝送ラインを通じてアービタに要請信号（Ｓ３）がいく。アービタはバスビジー（バス使用中）信号（Ｓ４）がなければ、マスター１内のバス要請器にバス許可信号（Ｓ５）を送る。バス要請器はバス使用中信号（Ｓ６）をＶＭＥ ｂｕｓに載せる。そして、バス使用不可信号（Ｓ７）をスロット２のマスター２ボードに送る。次にはマスター１のＣＰＵにバス許可信号（Ｓ８）を送り、マスター１のＣＰＵがＶＭＥ ｂｕｓ方向にゲートを開かせ（Ｓ９）、データ伝達バスラインを使用して外部装置であるスロット３のＩ／Ｏボードにデータアクセス（Ｓ１０）をするようになる。この時、スロット２のＣＰＵがバス要請信号（Ｓ１１）を送れば、マスター２のバス要請器がアービタにバス要請信号（Ｓ１２）を送り、アービタはバス使用中に確認によってバス使用不可信号（Ｓ７）をマスター１のバス要請器を通じてマスター２のバス要請器に伝達する。結局、スロット１のマスター１がバス使用を終えるまで待ってこそバス不可信号がバス許可信号に変わってバスが使用できる。このような動作によって多重プロセッサー間の通信衝突の問題は解決される。
【００６１】
（３）ソフトウェア構成
本発明によれば、応用プログラムは比較論理ソフトウェアと同時論理ソフトウェアとに区分されてそれぞれ比較論理プロセッサーと同時論理プロセッサーとに搭載される。以下、前記各ソフトウェアの構成について詳細に説明する。
【００６２】
本発明による比較論理ソフトウェアの構成を示した図５を参照すれば、比較論理ソフトウェア２１はアナログ／デジタル変換モジュール２２、設定値モジュール２３、設定値制御モジュール２４、比較論理モジュール２５、トリップモジュール２６、予備トリップモジュール２７及び運転迂回モジュール２８の小単位モジュールで構成される。
【００６３】
アナログ／デジタル変換モジュール２２はアナログ形態の工程信号をデジタル信号に変換して設定値モジュール２３及び比較論理モジュール２５に伝達する。
【００６４】
設定値モジュール２３は設定値を比較論理モジュール２５に伝達するモジュールであって、一部トリップ変数の場合には工程変数値によって設定値を計算する。このような可変設定値計算方式には手動リセット型可変設定値と自動比率制限型可変設定値とがある。
【００６５】
自動比率制限型可変設定値は、入力変数の変化によって設定値が自動増加または自動減少するように設計され、単に、上限制限値及び下限制限値は固定値を有するように設計される。
【００６６】
手動リセット型可変設定値は、運転員が手動でリセットさせる時、設定値制御モジュール２４によって自動に一定量ほどの設定値を減少させる形態で設計され、単に、上限制限値及び下限制限値は固定値を有するように設計される。
【００６７】
比較論理モジュール２５は比較論理プロセッサーの核心役割を遂行し、設定値モジュール信号（設定値）とアナログ／デジタル変換モジュール信号（工程変数値）とを比較してトリップ及び予備トリップ状態を決定する。
【００６８】
トリップモジュール２６は工程入力値をトリップ設定値と比較した後、設定値より大きい時、比較論理モジュール２５の結果をデータ通信を通じて他のチャンネルの同時論理プロセッサーに伝達する。比較論理モジュール２５でトリップ信号値が発生すれば、トリップ信号がなくなるまで設定値が変わることが許容されない。トリップモジュール２６はトリップ状態を同時論理プロセッサーに伝送し、予備トリップモジュール２７は予備トリップの状態を処理する。
【００６９】
運転迂回モジュール２８は原子炉起動及び停止時、デジタル原子炉保護システムの特定トリップ機能を迂回させるためのアルゴリズムを有している。
【００７０】
次に、本発明による同時論理ソフトウェアの構成を示した図６を参照すれば、同時論理ソフトウェア３１は補修試験盤の連係モジュール（ＭＴＰ Ｉｎｔｅｒｆａｃｅ Ｌｏｇｉｃ）３２、制御棒引出し禁止論理モジュール（ＣＷＰ Ｌｏｇｉｃ）３３、同時論理プロセッサー故障感知モジュール（ＬＣＬ Ｐｒｏｃｅｓｓｏｒ Ｆａｉｌ Ｓｔａｔｅ Ｌｏｇｉｃ）３４、警報器連係モジュール（Ａｎｎｕｎｃｉａｔｏｒ Ｉｎｔｅｒｆａｃｅ Ｌｏｇｉｃ）３５及び原子炉保護システム同時論理モジュール（ＲＰＳ ＬＣＬ Ｌｏｇｉｃ）３６で構成される。
【００７１】
補修試験盤連係モジュール３２は運転員が入力するチャンネル迂回入力を受けて同時論理モジュール３６に伝達する。また、トリップ、予備トリップ信号を補修試験盤に伝達する。
【００７２】
制御棒引出し禁止論理モジュール３３は予備トリップ信号を該当チャンネル及び他のチャンネルから受けて２／４同時論理を遂行し、制御棒制御システムに制御棒引出し禁止（Ｃｏｎｔｒｏｌ Ｗｉｔｈｄｒａｗａｌ Ｐｒｏｈｉｂｉｔ：ＣＷＰ）信号を伝達する。
【００７３】
同時論理プロセッサー故障感知モジュール３４は同時論理プロセッサーの状態を監視し、故障状態が監視されれば、同時論理モジュール３６に故障状態を伝達して同時論理プロセッサーの出力はトリップ状態を作る。このような故障情報は補修試験盤及びシステム連係プロセッサーに伝えられて運転員が感知できるようになる。
【００７４】
警報器連係モジュール３５は同時論理プロセッサーの迂回及びトリップ開始状態を発電所警報システムに伝達する。
【００７５】
同時論理モジュール３６は４個の入力のうちから２つ以上の信号がトリップ状態を指示すれば、トリップ信号を発生させる。もし、トリップチャンネル迂回が存在すれば、迂回されない３つのチャンネルの信号のうち２つ以上でトリップ状態を指示する場合、トリップ信号を発生させる。
【００７６】
（４）高信頼度ソフトウェア開発方法
一般的に、ソフトウェア開発はシステム設計が完了した後、ソフトウェア要件明細書を作成し、その次に、詳細機能及びコーディング要件を記述しているソフトウェア設計説明書に基づいてソフトウェアを具現するようになる。ソフトウェア作成が完了すれば、コンピュータハードウェアに内蔵されてモジュール別試験を経て機能及び性能を確認する試験をする。以後、装備を設置現場に移動して試運転試験期間に正常的に運転されることが確認されれば、運営者（発注者）に引き渡される。このような一連の過程を機器設計と機器供給という。
【００７７】
一方、原子力発電所に適用される安全等級のソフトウェア開発はシステム設計の内容及び機器設計をいっしょに考慮してソフトウェアを生産することによって高信頼度の品質が達成できる。
【００７８】
前述した本発明による安全等級ソフトウェア開発のフローチャートを図７に示す。
【００７９】
一般的に、ソフトウェア要件明細書の作成段階で最も多くのソフトウェアの誤りが発生されるので、本発明においてはシステム設計で発生するかもしれない設計欠陥を排除するために動的シミュレーション道具を使用してシステム設計上のあらゆる機能をシミュレーションし、その結果及び特性などを分析してシステム設計要件明細書を検証する一方、これに基づいて状態を説明する定型技法である状態図を使用してソフトウェア要件明細書を作成することによって独立した確認検証の他にも設計業務過程でも自体的な設計検証を自動的に行わせる。さらに、各段階別文書の確認検討もソフトウェアツール（例えば、Ｒｅｑｕｉｓｉｔｅ Ｐｒｏ）を利用して要件追跡マトリックスを作成して文書の修正及び作成をより容易に追跡管理させる。
【００８０】
本発明による高信頼度のソフトウェア開発方法の特徴は設計過程で遂行される３回の自体確認検証体制であって、次の通りである。
【００８１】
最初の検証はシステム設計段階で動的シミュレーション（例えば、Ｍａｔｌａｂ）ソフトウェアでシステム入出力動作、比較論理及び同時論理アルゴリズムと原子炉の安全変数とによるデジタル保護システムの動作特性まで細部的に全て再現してみることによって遂行される。
【００８２】
設計過程の第２の検証はソフトウェアコーディング段階で遂行される。すなわち、ソフトウェアツールで生成した定型的なソフトウェア要件明細書によってＡタイプ（例えば、ＶｘＷｏｒｋｓ）運営体制を使用するソフトウェア設計説明書とコーディング、そしてＢタイプ（例えば、ＱＮＸ）運営体制を使用するソフトウェア設計説明書とコーディングとがそれぞれ別途に作成され、コーディングされたソフトウェアモジュールが試験された後、試験結果を比較して誤りがある場合、ソフトウェア設計説明書の作成段階に取り戻され、異常がなければ試験結果分析段階に進行される。
【００８３】
設計過程の第３の検証は総合試験段階で遂行される。前記試験結果とシミュレーション道具でシミュレーションした各種予測結果とが一致しているかを確認し、異常がない場合、ソフトウェア開発を完了する。総合試験段階で不一致事項が発生すれば、ソフトウェア要件明細書の作成段階に取り戻されて第２の検証を通じて設計欠陥が修正される。
【００８４】
最後に、本発明は原子力発電所のデジタル原子炉保護システムとして開発されたが、原子力発電所だけでなく高度の信頼性が要求される航空、宇宙及び医療分野のデジタルシステムの共通類型故障を排除しなければならない設備に適用できる。また、一般産業界の安全設備にも多様に適用できる。
【００８５】
以上のように、本発明はたとえ限定された実施例と図面によって説明されたが、本発明はこれによって限定されなく、本発明が属する技術分野の当業者によって本発明の技術思想と下記に記載される特許請求の範囲の均等な範囲内で多様な修正及び変形が可能であることは言うまでもない。
【産業上の利用の可能性】
【００８６】
本発明のソフトウェア共通類型故障を自体排除したデジタル原子炉保護システムによれば、異機種のＣＰＵと相異なる運営体制のシステム構造であって、一方の比較論理及び同時論理プロセッサーに共通類型故障が発生しても他の一方は共通類型故障に影響されずに原子炉保護機能に異常が発生しない、安定性と信頼度が向上し、経済性が向上したデジタル方式の原子炉保護システムが提供される。
【００８７】
したがって、独自的に開発された高信頼度デジタル原子炉保護システムの技術は他国に輸出する時、莫大な経済的利得をもたらし、また開発された安全システムの高信頼度設計技術を体系化して関連計測制御設備及びコンピュータ産業界に技術を伝授すれば、産業界全般の技術の跳躍に大きく寄与する効果がある。
【図面の簡単な説明】
【００８８】
【図１】本発明による共通類型故障を自体排除したデジタル原子炉保護システムの機能的構成を示す図面である。
【図２】本発明による共通類型故障を自体排除したデジタル原子炉保護システムの単一チャンネルに対する構成を示す図面である。
【図３】本発明による共通類型故障を自制排除したデジタル原子炉保護システムの単一チャンネルに対するハードウェア構成を示す図面である。
【図４】本発明によるマルチマスターシステムにおいてデータ通信の概念を説明する図面である。
【図５】本発明による比較論理ソフトウェアの内部構成を示す図面である。
【図６】本発明による同時論理ソフトウェアの内部構成を示す図面である。
【図７】本発明によるデジタル原子炉保護システムに適用される高信頼度ソフトウェアを生産する過程を示すフローチャートである。
Claims (7)
- 各チャンネル毎に２つの比較論理プロセッサー、２つの同時論理プロセッサー、システム連係プロセッサー、開始回路、原子炉停止、光学的安全設備作動システム、補修試験盤及び運転員モジュールを含む実質的に同一な構成の４つのチャンネルを具備し、
前記各チャンネルに具備された１つの比較論理プロセッサーと同時論理プロセッサーとはそれぞれＡタイプのＣＰＵとＢタイプの運営体制とを使用し、前記各チャンネルに具備された他の１つの比較論理プロセッサーと同時論理プロセッサーとはそれぞれＣタイプのＣＰＵとＤタイプの運営体制とを使用し、ここで前記ＡタイプＣＰＵとＣタイプＣＰＵ及び前記Ｂタイプ運営体制とＤタイプ運営体制とはそれぞれ相異なる種類のものであり、前記同時論理プロセッサーはトリップ変数毎に独立的な２／４同時論理によって前記４つのチャンネルのうち２つのチャンネル以上の比較論理プロセッサーでトリップ状態が発生すれば、原子炉停止及び光学的安全設備作動システムを作動させるために開始回路にトリップ信号を送るように構成されたことを特徴とするソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム。 - 前記１つの比較論理プロセッサーと同時論理プロセッサーとは順番が定められたトリップ処理信号変数を順番の順方向に論理処理し、前記他の１つの比較論理プロセッサーと同時論理プロセッサーとは順番の逆方向に論理処理することを特徴とするソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム。
- 前記１対の同時論理プロセッサーのデジタル出力モジュールのリレー接点がワイヤー配線方式に連結されて論理的“ＯＲ”回路を構成することを特徴とする請求項１に記載のソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム。
- 前記比較論理プロセッサー及び同時論理プロセッサーはＶＭＥ ｂｕｓを使用する単一ボードコンピュータで具現されることを特徴とする請求項１に記載のソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム。
- （ａ）状態図を使用してソフトウェア要件明細書を作成する段階と、
（ｂ）相異なる運営体制を使用する各ソフトウェアに対する設計説明書を作成する段階と、
（ｃ）前記作成された設計説明書より各ソフトウェアをコーディングする段階と、
（ｄ）前記コーディングされた各ソフトウェアに対するモジュール試験を行う段階と、
（ｅ）前記各ソフトウェアに対する前記試験結果を比較して間違い発生の如何を確認する段階と、を含むデジタル原子炉保護システムのための高信頼度ソフトウェア生産方法。 - 前記（ａ）段階前に、
システム設計要件明細書を作成する段階と、
前記作成されたシステム設計要件明細書をシミュレーション道具を利用して分析する段階と、
前記分析結果、異常のない場合、前記作成されたシステム設計要件明細書を確定する段階と、をさらに含む請求項６に記載のデジタル原子炉保護システムのための高信頼度ソフトウェア生産方法。 - 前記（ｅ）段階後に、
前記モジュール試験結果と前記シミュレーション道具を利用した分析結果との一致性を確認し、ソフトウェアの開発を完了する段階をさらに含む請求項５または請求項６に記載のデジタル原子炉保護システムのための高信頼度ソフトウェア生産方法。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR10-2001-0024619A KR100408493B1 (ko) | 2001-05-07 | 2001-05-07 | 소프트웨어 공통유형고장을 자체 배제한 디지털원자로 보호시스템 및 그 제어방법 |
| PCT/KR2001/000786 WO2002091390A1 (en) | 2001-05-07 | 2001-05-15 | Digital reactor protection system for preventing common-mode failures |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004529353A true JP2004529353A (ja) | 2004-09-24 |
| JP4128083B2 JP4128083B2 (ja) | 2008-07-30 |
Family
ID=19709129
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002588560A Expired - Fee Related JP4128083B2 (ja) | 2001-05-07 | 2001-05-15 | ソフトウェア共通類型故障を排除したデジタル原子炉保護システム |
Country Status (4)
| Country | Link |
|---|---|
| US (1) | US20040136487A1 (ja) |
| JP (1) | JP4128083B2 (ja) |
| KR (1) | KR100408493B1 (ja) |
| WO (1) | WO2002091390A1 (ja) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008275354A (ja) * | 2007-04-26 | 2008-11-13 | Toshiba Corp | 冗長化システムおよび冗長化システムの製造方法 |
| JP2010249559A (ja) * | 2009-04-13 | 2010-11-04 | Toshiba Corp | デジタル安全保護系システム |
| JP2011095095A (ja) * | 2009-10-29 | 2011-05-12 | Mitsubishi Heavy Ind Ltd | 原子力発電プラントの運転支援装置及び運転支援方法 |
| WO2012018016A1 (ja) | 2010-08-06 | 2012-02-09 | 三菱重工業株式会社 | 原子力施設の制御システム |
| JP2020034575A (ja) * | 2013-12-31 | 2020-03-05 | ニュースケール パワー エルエルシー | 原子炉保護システム及び方法 |
| US11961625B2 (en) | 2016-12-30 | 2024-04-16 | Nuscale Power, Llc | Nuclear reactor protection systems and methods |
Families Citing this family (24)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE102004015616B4 (de) | 2003-04-01 | 2022-03-17 | Fisher-Rosemount Systems, Inc. | Sicherheitssystemsteuerung zur Verwendung in einer Prozessumgebung, Prozesssteuerungssystem sowie entsprechendes Steuerungsverfahren |
| CH697274B1 (de) * | 2004-09-09 | 2008-07-31 | Alstom Technology Ltd | Regelungsvorrichtung zur redundant abgesicherten Überwachung und Regelung einer Anlage. |
| KR100848881B1 (ko) * | 2006-08-07 | 2008-07-29 | 삼창기업 주식회사 | 디지털 원자로 보호 시스템 |
| KR100931136B1 (ko) * | 2007-11-27 | 2009-12-10 | 한국원자력연구원 | 삼중화된 ｂｐ와 ｃｐ 및 2/3 논리의 개시회로 구조를 갖는디지털 원자로 보호계통 및 그 구동 방법 |
| JP5210147B2 (ja) | 2008-01-24 | 2013-06-12 | 株式会社荏原製作所 | 給水装置 |
| KR100980043B1 (ko) * | 2008-10-22 | 2010-09-06 | 한국전력기술 주식회사 | Ｆｐｇａ를 이용한 발전소 보호 시스템 및 보호 방법 |
| KR101034252B1 (ko) | 2008-12-30 | 2011-05-12 | 한국전기연구원 | 제어봉 위치 검출기의 고장 진단장치 및 그것을 포함한 노심보호 연산기 계통, 및 그 고장 진단방법 |
| KR101073342B1 (ko) * | 2009-12-23 | 2011-10-14 | 한국수력원자력 주식회사 | 디지털 발전소보호계통의 주기적 건전성 시험의 자동화 방법 및 장치 |
| JP5634163B2 (ja) * | 2010-08-12 | 2014-12-03 | 三菱重工業株式会社 | プラントの制御システム |
| JP2012079184A (ja) * | 2010-10-04 | 2012-04-19 | Mitsubishi Heavy Ind Ltd | 制御装置および原子力発電プラント制御システム |
| JP5675256B2 (ja) * | 2010-10-12 | 2015-02-25 | 三菱重工業株式会社 | 原子力施設の制御システム |
| JP5606260B2 (ja) * | 2010-10-12 | 2014-10-15 | 三菱重工業株式会社 | 原子力施設の制御システム |
| JP5683294B2 (ja) * | 2011-01-31 | 2015-03-11 | 三菱重工業株式会社 | 安全装置、安全装置の演算方法 |
| CN102360571B (zh) * | 2011-10-20 | 2014-12-10 | 中广核工程有限公司 | 核电站现场驱动设备的模拟装置和模拟方法 |
| CN103426490B (zh) * | 2012-05-24 | 2016-01-27 | 中国核动力研究设计院 | 一种反应堆保护系统共模故障的防御方法 |
| KR101554388B1 (ko) * | 2013-09-27 | 2015-09-18 | 한국원자력연구원 | 공학적 안전설비-기기제어계통 및 그 운영 방법 |
| US10304575B2 (en) * | 2013-12-26 | 2019-05-28 | Nuscale Power, Llc | Actuating a nuclear reactor safety device |
| US9547328B2 (en) * | 2014-02-12 | 2017-01-17 | Ge-Hitachi Nuclear Energy Americas Llc | Methods and apparatuses for reducing common mode failures of nuclear safety-related software control systems |
| KR101992299B1 (ko) * | 2017-05-15 | 2019-06-25 | 두산중공업 주식회사 | 원자력 발전소 디지털 보호계통 |
| CN108022662B (zh) * | 2016-11-03 | 2021-06-29 | 斗山重工业株式会社 | 核电站数字化保护系统 |
| KR102568408B1 (ko) | 2016-12-30 | 2023-08-18 | 뉴스케일 파워, 엘엘씨 | 제어봉 감쇠 시스템 |
| US10353767B2 (en) * | 2017-09-14 | 2019-07-16 | Bae Systems Controls Inc. | Use of multicore processor to mitigate common mode computing faults |
| CN110415850B (zh) * | 2019-08-06 | 2020-12-04 | 中国核动力研究设计院 | 一种降低反应堆保护系统误动率的设计方法 |
| CN114038597B (zh) * | 2021-10-29 | 2024-02-13 | 中广核陆丰核电有限公司 | 核电机组保护和安全监测系统、停堆触发系统及方法 |
Family Cites Families (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| SE8305262L (sv) * | 1982-12-14 | 1984-06-15 | Gen Electric | Universellt logikkort |
| US4661310A (en) * | 1983-10-27 | 1987-04-28 | Westinghouse Electric Corp | Pulsed multichannel protection system with saturable core magnetic logic units |
| US4804515A (en) * | 1984-10-31 | 1989-02-14 | Westinghouse Electric Corp. | Distributed microprocessor based sensor signal processing system for a complex process |
| JPS61156338A (ja) * | 1984-12-27 | 1986-07-16 | Toshiba Corp | マルチプロセツサシステム |
| US6167547A (en) * | 1996-06-20 | 2000-12-26 | Ce Nuclear Power Llc | Automatic self-test system utilizing multi-sensor, multi-channel redundant monitoring and control circuits |
| US6484126B1 (en) * | 1997-06-06 | 2002-11-19 | Westinghouse Electric Company Llc | Digital plant protection system with engineered safety features component control system |
| AU7603998A (en) * | 1997-06-06 | 1998-12-21 | Abb Combustion Engineering Nuclear Power, Inc. | Digital engineered safety features actuation system |
| US6049578A (en) * | 1997-06-06 | 2000-04-11 | Abb Combustion Engineering Nuclear Power, Inc. | Digital plant protection system |
| US5984504A (en) * | 1997-06-11 | 1999-11-16 | Westinghouse Electric Company Llc | Safety or protection system employing reflective memory and/or diverse processors and communications |
| US6473479B1 (en) * | 1998-02-25 | 2002-10-29 | Westinghouse Electric Company Llc | Dual optical communication network for class 1E reactor protection systems |
| KR20010076542A (ko) * | 2000-01-26 | 2001-08-16 | 이종훈 | 원자력 발전소의 디지털 발전소 보호 계통 |
| KR100399759B1 (ko) * | 2000-11-01 | 2003-09-29 | 한국과학기술원 | 원자력 발전소의 디지털 온라인 능동 시험 발전소 보호시스템 및 그 방법 |
-
2001
- 2001-05-07 KR KR10-2001-0024619A patent/KR100408493B1/ko active IP Right Grant
- 2001-05-15 JP JP2002588560A patent/JP4128083B2/ja not_active Expired - Fee Related
- 2001-05-15 US US10/476,794 patent/US20040136487A1/en not_active Abandoned
- 2001-05-15 WO PCT/KR2001/000786 patent/WO2002091390A1/en active Application Filing
Cited By (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008275354A (ja) * | 2007-04-26 | 2008-11-13 | Toshiba Corp | 冗長化システムおよび冗長化システムの製造方法 |
| JP2010249559A (ja) * | 2009-04-13 | 2010-11-04 | Toshiba Corp | デジタル安全保護系システム |
| JP2011095095A (ja) * | 2009-10-29 | 2011-05-12 | Mitsubishi Heavy Ind Ltd | 原子力発電プラントの運転支援装置及び運転支援方法 |
| US9202599B2 (en) | 2009-10-29 | 2015-12-01 | Mitsubishi Heavy Industries, Ltd. | Operational support device and operational support method for a nuclear power plant |
| WO2012018016A1 (ja) | 2010-08-06 | 2012-02-09 | 三菱重工業株式会社 | 原子力施設の制御システム |
| JP2012037393A (ja) * | 2010-08-06 | 2012-02-23 | Mitsubishi Heavy Ind Ltd | 原子力施設の制御システム |
| US9368240B2 (en) | 2010-08-06 | 2016-06-14 | Mitsubishi Heavy Industries, Ltd. | Control system for nuclear facilities |
| JP2020034575A (ja) * | 2013-12-31 | 2020-03-05 | ニュースケール パワー エルエルシー | 原子炉保護システム及び方法 |
| JP2021156899A (ja) * | 2013-12-31 | 2021-10-07 | ニュースケール パワー エルエルシー | 原子炉保護システムとこれを動作させる方法 |
| JP7203154B2 (ja) | 2013-12-31 | 2023-01-12 | ニュースケール パワー エルエルシー | 原子炉保護システムとこれを動作させる方法 |
| US11728051B2 (en) | 2013-12-31 | 2023-08-15 | Nuscale Power, Llc | Nuclear reactor protection systems and methods |
| US11961625B2 (en) | 2016-12-30 | 2024-04-16 | Nuscale Power, Llc | Nuclear reactor protection systems and methods |
Also Published As
| Publication number | Publication date |
|---|---|
| KR20020085222A (ko) | 2002-11-16 |
| US20040136487A1 (en) | 2004-07-15 |
| WO2002091390A1 (en) | 2002-11-14 |
| JP4128083B2 (ja) | 2008-07-30 |
| KR100408493B1 (ko) | 2003-12-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4128083B2 (ja) | ソフトウェア共通類型故障を排除したデジタル原子炉保護システム | |
| CN102096401B (zh) | 基于现场总线和arm处理器的冗余容错安全仪表系统 | |
| US6853292B1 (en) | Security control system, method for the operation thereof | |
| EP1573407B1 (en) | Method to increase the safety integrity level of a control system | |
| US5984504A (en) | Safety or protection system employing reflective memory and/or diverse processors and communications | |
| US6532550B1 (en) | Process protection system | |
| KR100848881B1 (ko) | 디지털 원자로 보호 시스템 | |
| CN102077453A (zh) | 用于可靠安全系统停机的具有多通信设备的分布式和自适应智能逻辑 | |
| WO2006051355A1 (en) | A control system, a method to operate a control system, a computer data signal and a graphical user interface for rail-borne vehicles | |
| CN107484430A (zh) | 一种用于核电厂的安全系统及其操作方法 | |
| KR101865666B1 (ko) | 원자로노심보호계통 소프트웨어 검증용 시뮬레이션 장치 및 시스템 | |
| US20110264396A1 (en) | Electrical circuit with physical layer diagnostics system | |
| Lee et al. | A safety assessment methodology for a digital reactor protection system | |
| CN107924722B (zh) | 核电站安全管理系统 | |
| CN101123786A (zh) | Gprs业务智能控制方法 | |
| JP5337661B2 (ja) | メモリ制御装置及びメモリ制御装置の制御方法 | |
| KR101484210B1 (ko) | 자동화 라인의 이상회로 점검방법 | |
| KR101393812B1 (ko) | 채널 다중화 안전계통의 통합 보수우회 장치 및 방법 | |
| JPH118949A (ja) | 系統制御システムの不正制御防止装置 | |
| JPH04245309A (ja) | 制御用ディジタルコントローラ | |
| CA2304438C (en) | Safety or protection system employing reflective memory and/or diverse processors and communications | |
| Lee et al. | Risk assessment of safety-critical data communication in digital safety feature control system | |
| Kim et al. | Implementation of Multiloop Control for the Plant Control System in Improved Korean Standard Nuclear Power Plant (KSNP+) | |
| He et al. | Local Interlock Control System with Fail-Safe PLC for PF Converter System Based on CODAC Core System | |
| Birch et al. | Personnel safety systems for the European Spallation Source |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070123 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20070417 |
|
| A602 | Written permission of extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A602 Effective date: 20070424 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070521 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070703 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071002 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20071113 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20080207 |
|
| A602 | Written permission of extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A602 Effective date: 20080215 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080310 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080422 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080513 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110523 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4128083 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110523 Year of fee payment: 3 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120523 Year of fee payment: 4 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130523 Year of fee payment: 5 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130523 Year of fee payment: 5 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |