JP2022160445A - 原子炉保護システム - Google Patents
原子炉保護システム Download PDFInfo
- Publication number
- JP2022160445A JP2022160445A JP2022112351A JP2022112351A JP2022160445A JP 2022160445 A JP2022160445 A JP 2022160445A JP 2022112351 A JP2022112351 A JP 2022112351A JP 2022112351 A JP2022112351 A JP 2022112351A JP 2022160445 A JP2022160445 A JP 2022160445A
- Authority
- JP
- Japan
- Prior art keywords
- trip
- safety
- reactor
- mps
- esfas
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 230000009471 action Effects 0.000 claims abstract description 33
- 230000004913 activation Effects 0.000 claims description 69
- 238000000034 method Methods 0.000 claims description 57
- 101100100125 Mus musculus Traip gene Proteins 0.000 description 285
- 230000006870 function Effects 0.000 description 217
- 238000004891 communication Methods 0.000 description 142
- 238000002955 isolation Methods 0.000 description 75
- 238000001994 activation Methods 0.000 description 67
- 238000010586 diagram Methods 0.000 description 50
- 238000013461 design Methods 0.000 description 44
- 238000012360 testing method Methods 0.000 description 40
- 230000008569 process Effects 0.000 description 36
- 238000012544 monitoring process Methods 0.000 description 34
- 230000001681 protective effect Effects 0.000 description 32
- 238000012423 maintenance Methods 0.000 description 30
- 231100000279 safety data Toxicity 0.000 description 27
- 238000004422 calculation algorithm Methods 0.000 description 24
- 230000000977 initiatory effect Effects 0.000 description 23
- 230000003750 conditioning effect Effects 0.000 description 22
- 230000005540 biological transmission Effects 0.000 description 20
- 239000002826 coolant Substances 0.000 description 17
- 238000005259 measurement Methods 0.000 description 15
- 230000000694 effects Effects 0.000 description 12
- 239000000835 fiber Substances 0.000 description 12
- 238000000926 separation method Methods 0.000 description 11
- 230000007123 defense Effects 0.000 description 10
- 230000004907 flux Effects 0.000 description 10
- 201000002859 sleep apnea Diseases 0.000 description 10
- 239000005029 tin-free steel Substances 0.000 description 10
- 230000001052 transient effect Effects 0.000 description 10
- XLYOFNOQVPJJNP-UHFFFAOYSA-N water Substances O XLYOFNOQVPJJNP-UHFFFAOYSA-N 0.000 description 10
- VKZRWSNIWNFCIQ-WDSKDSINSA-N (2s)-2-[2-[[(1s)-1,2-dicarboxyethyl]amino]ethylamino]butanedioic acid Chemical compound OC(=O)C[C@@H](C(O)=O)NCCN[C@H](C(O)=O)CC(O)=O VKZRWSNIWNFCIQ-WDSKDSINSA-N 0.000 description 9
- 238000001514 detection method Methods 0.000 description 9
- 230000004044 response Effects 0.000 description 9
- 230000003213 activating effect Effects 0.000 description 8
- 238000004458 analytical method Methods 0.000 description 8
- 238000001914 filtration Methods 0.000 description 7
- 230000000737 periodic effect Effects 0.000 description 7
- RYGMFSIKBFXOCR-UHFFFAOYSA-N Copper Chemical compound [Cu] RYGMFSIKBFXOCR-UHFFFAOYSA-N 0.000 description 6
- 230000002159 abnormal effect Effects 0.000 description 6
- 238000001816 cooling Methods 0.000 description 6
- 238000005516 engineering process Methods 0.000 description 6
- 230000001105 regulatory effect Effects 0.000 description 6
- 229910052796 boron Inorganic materials 0.000 description 5
- 229910052802 copper Inorganic materials 0.000 description 5
- 239000010949 copper Substances 0.000 description 5
- 230000004048 modification Effects 0.000 description 5
- 238000012986 modification Methods 0.000 description 5
- 238000012545 processing Methods 0.000 description 5
- 235000019764 Soybean Meal Nutrition 0.000 description 4
- 230000008878 coupling Effects 0.000 description 4
- 238000010168 coupling process Methods 0.000 description 4
- 238000005859 coupling reaction Methods 0.000 description 4
- 230000003287 optical effect Effects 0.000 description 4
- 230000000704 physical effect Effects 0.000 description 4
- ZOXJGFHDIHLPTG-UHFFFAOYSA-N Boron Chemical compound [B] ZOXJGFHDIHLPTG-UHFFFAOYSA-N 0.000 description 3
- 230000008901 benefit Effects 0.000 description 3
- 230000002349 favourable effect Effects 0.000 description 3
- 239000007788 liquid Substances 0.000 description 3
- 230000005855 radiation Effects 0.000 description 3
- 230000008439 repair process Effects 0.000 description 3
- 238000005070 sampling Methods 0.000 description 3
- 238000012546 transfer Methods 0.000 description 3
- 230000002411 adverse Effects 0.000 description 2
- 238000013459 approach Methods 0.000 description 2
- 230000006399 behavior Effects 0.000 description 2
- 238000009835 boiling Methods 0.000 description 2
- 238000004364 calculation method Methods 0.000 description 2
- 230000008859 change Effects 0.000 description 2
- 238000012937 correction Methods 0.000 description 2
- 230000009849 deactivation Effects 0.000 description 2
- 230000018109 developmental process Effects 0.000 description 2
- 238000009826 distribution Methods 0.000 description 2
- 238000009710 electro sinter forging Methods 0.000 description 2
- 238000011156 evaluation Methods 0.000 description 2
- 239000000463 material Substances 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 238000005381 potential energy Methods 0.000 description 2
- 230000001902 propagating effect Effects 0.000 description 2
- 239000012857 radioactive material Substances 0.000 description 2
- 230000002441 reversible effect Effects 0.000 description 2
- 238000005204 segregation Methods 0.000 description 2
- 230000008054 signal transmission Effects 0.000 description 2
- 239000000126 substance Substances 0.000 description 2
- 238000012795 verification Methods 0.000 description 2
- TVZRAEYQIKYCPH-UHFFFAOYSA-N 3-(trimethylsilyl)propane-1-sulfonic acid Chemical compound C[Si](C)(C)CCCS(O)(=O)=O TVZRAEYQIKYCPH-UHFFFAOYSA-N 0.000 description 1
- 101150014847 APL2 gene Proteins 0.000 description 1
- 229910052692 Dysprosium Inorganic materials 0.000 description 1
- 229910052691 Erbium Inorganic materials 0.000 description 1
- 229910052693 Europium Inorganic materials 0.000 description 1
- 229910052688 Gadolinium Inorganic materials 0.000 description 1
- 101100175606 Oryza sativa subsp. japonica AGPL2 gene Proteins 0.000 description 1
- 101100533323 Saccharomyces cerevisiae (strain ATCC 204508 / S288c) SFM1 gene Proteins 0.000 description 1
- 101100545229 Saccharomyces cerevisiae (strain ATCC 204508 / S288c) ZDS2 gene Proteins 0.000 description 1
- 229910052772 Samarium Inorganic materials 0.000 description 1
- BQCADISMDOOEFD-UHFFFAOYSA-N Silver Chemical compound [Ag] BQCADISMDOOEFD-UHFFFAOYSA-N 0.000 description 1
- 101100167209 Ustilago maydis (strain 521 / FGSC 9021) CHS8 gene Proteins 0.000 description 1
- 239000000654 additive Substances 0.000 description 1
- 239000000956 alloy Substances 0.000 description 1
- 229910045601 alloy Inorganic materials 0.000 description 1
- 230000004075 alteration Effects 0.000 description 1
- 238000003491 array Methods 0.000 description 1
- 230000004888 barrier function Effects 0.000 description 1
- 230000002457 bidirectional effect Effects 0.000 description 1
- 230000033228 biological regulation Effects 0.000 description 1
- 229910052793 cadmium Inorganic materials 0.000 description 1
- BDOSMKKIYDKNTQ-UHFFFAOYSA-N cadmium atom Chemical compound [Cd] BDOSMKKIYDKNTQ-UHFFFAOYSA-N 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 238000005253 cladding Methods 0.000 description 1
- 229910017052 cobalt Inorganic materials 0.000 description 1
- 239000010941 cobalt Substances 0.000 description 1
- GUTLYIVDDKVIGB-UHFFFAOYSA-N cobalt atom Chemical compound [Co] GUTLYIVDDKVIGB-UHFFFAOYSA-N 0.000 description 1
- 230000000295 complement effect Effects 0.000 description 1
- 150000001875 compounds Chemical class 0.000 description 1
- 230000001276 controlling effect Effects 0.000 description 1
- 230000006735 deficit Effects 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- KBQHZAAAGSGFKK-UHFFFAOYSA-N dysprosium atom Chemical compound [Dy] KBQHZAAAGSGFKK-UHFFFAOYSA-N 0.000 description 1
- 230000007613 environmental effect Effects 0.000 description 1
- UYAHIZSMUZPPFV-UHFFFAOYSA-N erbium Chemical compound [Er] UYAHIZSMUZPPFV-UHFFFAOYSA-N 0.000 description 1
- OGPBJKLSAFTDLK-UHFFFAOYSA-N europium atom Chemical compound [Eu] OGPBJKLSAFTDLK-UHFFFAOYSA-N 0.000 description 1
- 238000001704 evaporation Methods 0.000 description 1
- 230000004992 fission Effects 0.000 description 1
- 239000012530 fluid Substances 0.000 description 1
- 239000000446 fuel Substances 0.000 description 1
- 238000011990 functional testing Methods 0.000 description 1
- UIWYJDYFSGRHKR-UHFFFAOYSA-N gadolinium atom Chemical compound [Gd] UIWYJDYFSGRHKR-UHFFFAOYSA-N 0.000 description 1
- 230000005484 gravity Effects 0.000 description 1
- 229910052735 hafnium Inorganic materials 0.000 description 1
- VBJZVLUMGGDVMO-UHFFFAOYSA-N hafnium atom Chemical compound [Hf] VBJZVLUMGGDVMO-UHFFFAOYSA-N 0.000 description 1
- 239000007943 implant Substances 0.000 description 1
- 229910052738 indium Inorganic materials 0.000 description 1
- APFVFJFRJDLVQX-UHFFFAOYSA-N indium atom Chemical compound [In] APFVFJFRJDLVQX-UHFFFAOYSA-N 0.000 description 1
- 238000002347 injection Methods 0.000 description 1
- 239000007924 injection Substances 0.000 description 1
- 238000003780 insertion Methods 0.000 description 1
- 230000037431 insertion Effects 0.000 description 1
- 238000009434 installation Methods 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 238000011835 investigation Methods 0.000 description 1
- 239000004973 liquid crystal related substance Substances 0.000 description 1
- 230000033001 locomotion Effects 0.000 description 1
- 230000007774 longterm Effects 0.000 description 1
- 230000014759 maintenance of location Effects 0.000 description 1
- 238000007726 management method Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 239000011159 matrix material Substances 0.000 description 1
- 230000000116 mitigating effect Effects 0.000 description 1
- 239000003758 nuclear fuel Substances 0.000 description 1
- 239000013307 optical fiber Substances 0.000 description 1
- 229920002401 polyacrylamide Polymers 0.000 description 1
- 238000010248 power generation Methods 0.000 description 1
- 230000009993 protective function Effects 0.000 description 1
- 230000009257 reactivity Effects 0.000 description 1
- 238000012552 review Methods 0.000 description 1
- KZUNJOHGWZRPMI-UHFFFAOYSA-N samarium atom Chemical compound [Sm] KZUNJOHGWZRPMI-UHFFFAOYSA-N 0.000 description 1
- 230000011664 signaling Effects 0.000 description 1
- 229910052709 silver Inorganic materials 0.000 description 1
- 239000004332 silver Substances 0.000 description 1
- 238000003860 storage Methods 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 230000001629 suppression Effects 0.000 description 1
- 230000033772 system development Effects 0.000 description 1
- 230000007704 transition Effects 0.000 description 1
- 238000013024 troubleshooting Methods 0.000 description 1
- 238000010977 unit operation Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
- G21C—NUCLEAR REACTORS
- G21C7/00—Control of nuclear reaction
- G21C7/36—Control circuits
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B9/00—Safety arrangements
- G05B9/02—Safety arrangements electric
- G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
-
- G—PHYSICS
- G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
- G21C—NUCLEAR REACTORS
- G21C9/00—Emergency protection arrangements structurally associated with the reactor, e.g. safety valves provided with pressure equalisation devices
- G21C9/02—Means for effecting very rapid reduction of the reactivity factor under fault conditions, e.g. reactor fuse; Control elements having arrangements activated in an emergency
-
- G—PHYSICS
- G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
- G21D—NUCLEAR POWER PLANT
- G21D3/00—Control of nuclear power plant
- G21D3/008—Man-machine interface, e.g. control room layout
-
- G—PHYSICS
- G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
- G21D—NUCLEAR POWER PLANT
- G21D3/00—Control of nuclear power plant
- G21D3/04—Safety arrangements
-
- H—ELECTRICITY
- H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
- H02H—EMERGENCY PROTECTIVE CIRCUIT ARRANGEMENTS
- H02H3/00—Emergency protective circuit arrangements for automatic disconnection directly responsive to an undesired change from normal electric working condition with or without subsequent reconnection ; integrated protection
- H02H3/02—Details
- H02H3/05—Details with means for increasing reliability, e.g. redundancy arrangements
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B2219/00—Program-control systems
- G05B2219/20—Pc systems
- G05B2219/25—Pc structure of the system
- G05B2219/25428—Field device
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
- Y02E30/00—Energy generation of nuclear origin
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
- Y02E30/00—Energy generation of nuclear origin
- Y02E30/30—Nuclear fission reactors
Landscapes
- Physics & Mathematics (AREA)
- Engineering & Computer Science (AREA)
- High Energy & Nuclear Physics (AREA)
- Plasma & Fusion (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Automation & Control Theory (AREA)
- Business, Economics & Management (AREA)
- Emergency Management (AREA)
- Chemical Kinetics & Catalysis (AREA)
- Chemical & Material Sciences (AREA)
- Testing And Monitoring For Control Systems (AREA)
- Monitoring And Testing Of Nuclear Reactors (AREA)
- Safety Devices In Control Systems (AREA)
Abstract
【課題】システム内の安全機能を不能及び／又は無効にするおそれのあるソフトウェア又はソフトウェア発生論理エラーによって引き起こされる共通原因故障（ＣＣＦ）を軽減すること。【解決手段】原子炉保護システムは、複数の機能的に独立したモジュールであって、モジュールが各々、原子炉安全システムから複数の入力を受け取り、複数の入力に少なくとも部分的に基づいて安全措置を論理的に判定するように構成され、機能的に独立したモジュールが各々、デジタルモジュール又は複合型デジタル及びアナログモジュールを備えている、複数の機能的に独立したモジュールと、機能的に独立したモジュールのうちの１つ又は複数に電気的に結合されたアナログモジュールと、複数の入力に少なくとも部分的に基づいた安全措置判定を受け取るように、複数の機能的に独立したモュールに通信可能に結合された１つ又は複数の原子炉安全アクチュエータと、を含む。【選択図】図１
Description
[0001]本出願は、米国特許法（３５ Ｕ．Ｓ．Ｃ．）第１１９条に基づき、内容全体が
参照により本明細書に組み込まれている、２０１６年１２月３０日出願の米国特許仮出願
第６２／４４０，９８９号の優先権を主張するものである。
参照により本明細書に組み込まれている、２０１６年１２月３０日出願の米国特許仮出願
第６２／４４０，９８９号の優先権を主張するものである。
[0002]本開示は、原子炉保護システム及び原子炉保護システムの関連方法を記載する。
[0003]原子炉保護システム、及び概して原子炉計装及び制御（Ｉ＆Ｃ）システムは、障
害状態の結果を軽減するために、自動開始信号、自動及び手動制御信号、並びに監視表示
を提供する。たとえば、Ｉ＆Ｃシステムは、定常状態及び過渡電力動作中に安全でない原
子炉動作からの保護を提供する。通常動作中、Ｉ＆Ｃシステムは、様々なパラメータを測
定し、制御システムへ信号を伝送する。異常動作及び事故状態中、Ｉ＆Ｃシステムは、原
子炉保護システム、並びに場合により、原子炉保護システムの原子炉トリップシステム（
ＲＴＳ）及び工学的安全施設作動システム（ＥＳＦＡＳ）へ信号を伝送し、所定の設定点
に基づいて保護措置を開始する。
害状態の結果を軽減するために、自動開始信号、自動及び手動制御信号、並びに監視表示
を提供する。たとえば、Ｉ＆Ｃシステムは、定常状態及び過渡電力動作中に安全でない原
子炉動作からの保護を提供する。通常動作中、Ｉ＆Ｃシステムは、様々なパラメータを測
定し、制御システムへ信号を伝送する。異常動作及び事故状態中、Ｉ＆Ｃシステムは、原
子炉保護システム、並びに場合により、原子炉保護システムの原子炉トリップシステム（
ＲＴＳ）及び工学的安全施設作動システム（ＥＳＦＡＳ）へ信号を伝送し、所定の設定点
に基づいて保護措置を開始する。
[0004]概略的な実施形態では、原子炉保護システムは、複数の機能的に独立したモジュ
ールであって、モジュールが各々、原子炉安全システムから複数の入力を受け取り、複数
の入力に少なくとも部分的に基づいて安全措置を論理的に判定するように構成され、機能
的に独立したモジュールが各々、デジタルモジュール又は複合型デジタル及びアナログモ
ジュールと、機能的に独立したモジュールのうちの１つ又は複数に電気的に結合されたア
ナログモジュールと、複数の入力に少なくとも部分的に基づいた安全措置判定を受け取る
ように、複数の機能的に独立したモジュールに通信可能に結合された１つ又は複数の原子
炉安全アクチュエータと、を含んでいる。
ールであって、モジュールが各々、原子炉安全システムから複数の入力を受け取り、複数
の入力に少なくとも部分的に基づいて安全措置を論理的に判定するように構成され、機能
的に独立したモジュールが各々、デジタルモジュール又は複合型デジタル及びアナログモ
ジュールと、機能的に独立したモジュールのうちの１つ又は複数に電気的に結合されたア
ナログモジュールと、複数の入力に少なくとも部分的に基づいた安全措置判定を受け取る
ように、複数の機能的に独立したモジュールに通信可能に結合された１つ又は複数の原子
炉安全アクチュエータと、を含んでいる。
[0005]概略的な実施形態と組合せ可能な第１の態様では、アナログモジュールへの入力
の起動が、機能的に独立したモジュールのうちの少なくとも１つの１つ又は複数の動作を
オーバーライドする。
の起動が、機能的に独立したモジュールのうちの少なくとも１つの１つ又は複数の動作を
オーバーライドする。
[0006]前述の態様のいずれかと組合せ可能な第２の態様では、アナログモジュールが、
アナログ回路構成要素のみを含んでいる。
アナログ回路構成要素のみを含んでいる。
[0007]前述の態様のいずれかと組合せ可能な第３の態様では、アナログモジュールへの
少なくとも１つの入力が、手動オーバーライド入力であり、アナログモジュールが、手動
オーバーライド入力の起動の際、機能的に独立したモジュールのうちの少なくとも１つの
デジタル動作をオーバーライドするように構成されている。
少なくとも１つの入力が、手動オーバーライド入力であり、アナログモジュールが、手動
オーバーライド入力の起動の際、機能的に独立したモジュールのうちの少なくとも１つの
デジタル動作をオーバーライドするように構成されている。
[0008]前述の態様のいずれかと組合せ可能な第４の態様では、アナログモジュールへの
少なくとも１つの入力が、手動バイパス入力であり、アナログモジュールが、手動バイパ
ス入力の起動の際、機能的に独立したモジュールのうちの少なくとも１つのデジタル動作
をバイパスするように構成されている。
少なくとも１つの入力が、手動バイパス入力であり、アナログモジュールが、手動バイパ
ス入力の起動の際、機能的に独立したモジュールのうちの少なくとも１つのデジタル動作
をバイパスするように構成されている。
[0009]前述の態様のいずれかと組合せ可能な第５の態様では、アナログモジュールへの
少なくとも１つの入力が、手動作動入力であり、アナログモジュールが、手動作動入力の
起動の際、機能的に独立したモジュールのうちの少なくとも１つのデジタル動作を作動さ
せるように構成されている。
少なくとも１つの入力が、手動作動入力であり、アナログモジュールが、手動作動入力の
起動の際、機能的に独立したモジュールのうちの少なくとも１つのデジタル動作を作動さ
せるように構成されている。
[0010]前述の態様のいずれかと組合せ可能な第６の態様では、アナログモジュールから
の１つ又は複数の出力が、原子炉保護システムのバックプレーンを通って複数の機能的に
独立したモジュールへ入力として供給されている。
の１つ又は複数の出力が、原子炉保護システムのバックプレーンを通って複数の機能的に
独立したモジュールへ入力として供給されている。
[0011]前述の態様のいずれかと組合せ可能な第７の態様では、アナログモジュールが、
第１のアナログモジュールであり、原子炉保護システムが、第２のアナログモジュールと
、工学的安全施設作動システム（ＥＳＦＡＳ）であって、複数の機能的に独立したモジュ
ールの第１の部分集合が、複数のＥＳＦＡＳ入力を受け取り、ＥＳＦＡＳ入力に少なくと
も部分的に基づいてＥＳＦＡＳ構成要素の作動を論理的に判定し、第１のアナログモジュ
ールが、複数の機能的に独立したモジュールの第１の部分集合のうちの機能的に独立した
モジュールに電気的に結合されている、工学的安全施設作動システム（ＥＳＦＡＳ）と、
原子炉トリップシステム（ＲＴＳ）であって、複数の機能的に独立したモジュールの第２
の部分集合が、複数のＲＴＳ入力を受け取り、ＲＴＳ入力に少なくとも部分的に基づいて
ＲＴＳ構成要素の作動を論理的に判定し、第２のアナログモジュールが、複数の機能的に
独立したモジュールの第２の部分集合のうちの機能的に独立したモジュールに電気的に結
合される、原子炉トリップシステム（ＲＴＳ）と、を含んでいる。
第１のアナログモジュールであり、原子炉保護システムが、第２のアナログモジュールと
、工学的安全施設作動システム（ＥＳＦＡＳ）であって、複数の機能的に独立したモジュ
ールの第１の部分集合が、複数のＥＳＦＡＳ入力を受け取り、ＥＳＦＡＳ入力に少なくと
も部分的に基づいてＥＳＦＡＳ構成要素の作動を論理的に判定し、第１のアナログモジュ
ールが、複数の機能的に独立したモジュールの第１の部分集合のうちの機能的に独立した
モジュールに電気的に結合されている、工学的安全施設作動システム（ＥＳＦＡＳ）と、
原子炉トリップシステム（ＲＴＳ）であって、複数の機能的に独立したモジュールの第２
の部分集合が、複数のＲＴＳ入力を受け取り、ＲＴＳ入力に少なくとも部分的に基づいて
ＲＴＳ構成要素の作動を論理的に判定し、第２のアナログモジュールが、複数の機能的に
独立したモジュールの第２の部分集合のうちの機能的に独立したモジュールに電気的に結
合される、原子炉トリップシステム（ＲＴＳ）と、を含んでいる。
[0012]前述の態様のいずれかと組合せ可能な第８の態様では、複数の機能的に独立した
モジュールが各々、複数の機能的に独立したモジュールのうちの他のいずれかへの単一故
障波及からの保護を提供している。
モジュールが各々、複数の機能的に独立したモジュールのうちの他のいずれかへの単一故
障波及からの保護を提供している。
[0013]前述の態様のいずれかと組合せ可能な第９の態様では、原子炉安全システムが、
工学的安全施設作動システム（ＥＳＦＡＳ）を含んでおり、複数の機能的に独立したモジ
ュールが、複数のＥＳＦＡＳ入力を受け取り、ＥＳＦＡＳ入力に少なくとも部分的に基づ
いてＥＳＦＡＳ構成要素の作動を論理的に判定する。
工学的安全施設作動システム（ＥＳＦＡＳ）を含んでおり、複数の機能的に独立したモジ
ュールが、複数のＥＳＦＡＳ入力を受け取り、ＥＳＦＡＳ入力に少なくとも部分的に基づ
いてＥＳＦＡＳ構成要素の作動を論理的に判定する。
[0014]前述の態様のいずれかと組合せ可能な第１０の態様では、複数の機能的に独立し
たモジュールが、冗長ＥＳＦＡＳ投票ディビジョンを提供している。
たモジュールが、冗長ＥＳＦＡＳ投票ディビジョンを提供している。
[0015]前述の態様のいずれかと組合せ可能な第１１の態様では、原子炉安全システムが
、原子炉トリップシステム（ＲＴＳ）を含んでおり、複数の機能的に独立したモジュール
が、複数のＲＴＳ入力を受け取り、ＲＴＳ入力に少なくとも部分的に基づいてＲＴＳ構成
要素の作動を論理的に判定する。
、原子炉トリップシステム（ＲＴＳ）を含んでおり、複数の機能的に独立したモジュール
が、複数のＲＴＳ入力を受け取り、ＲＴＳ入力に少なくとも部分的に基づいてＲＴＳ構成
要素の作動を論理的に判定する。
[0016]前述の態様のいずれかと組合せ可能な第１２の態様では、複数の機能的に独立し
たモジュールが、冗長ＲＴＳ投票ディビジョンを提供している。
たモジュールが、冗長ＲＴＳ投票ディビジョンを提供している。
[0017]前述の態様のいずれかと組合せ可能な第１３の態様では、アナログモジュールが
、不安全関連信号をアナログ電圧レベルに変換し、シャーシバックプレーンを通ってアナ
ログ電圧レベルを関連機能モジュールへ渡すことによって、安全関連システムから不安全
関連信号を電気的に隔離している。
、不安全関連信号をアナログ電圧レベルに変換し、シャーシバックプレーンを通ってアナ
ログ電圧レベルを関連機能モジュールへ渡すことによって、安全関連システムから不安全
関連信号を電気的に隔離している。
[0018]前述の態様のいずれかと組合せ可能な第１４の態様では、機能的に独立したモジ
ュールのうちの少なくとも１つが、アナログモジュールからの少なくとも１つのハードワ
イヤードアナログ入力信号を含んだ機器インタフェースモジュール（ＥＩＭ）を含んでい
る。
ュールのうちの少なくとも１つが、アナログモジュールからの少なくとも１つのハードワ
イヤードアナログ入力信号を含んだ機器インタフェースモジュール（ＥＩＭ）を含んでい
る。
[0019]前述の態様のいずれかと組合せ可能な第１５の態様では、ＥＩＭが、少なくとも
１つのデジタル入力信号に対して少なくとも１つのハードワイヤードアナログ入力信号を
優先する作動及び優先論理（ＡＰＬ）回路を含んでいる。
１つのデジタル入力信号に対して少なくとも１つのハードワイヤードアナログ入力信号を
優先する作動及び優先論理（ＡＰＬ）回路を含んでいる。
[0020]前述の態様のいずれかと組合せ可能な第１６の態様では、少なくとも１つのデジ
タル信号が、安全関連信号であり、ＡＰＬ回路が、ハードワイヤードアナログ信号よりデ
ジタル信号を優先する。
タル信号が、安全関連信号であり、ＡＰＬ回路が、ハードワイヤードアナログ信号よりデ
ジタル信号を優先する。
[0021]前述の態様のいずれかと組合せ可能な第１７の態様では、少なくとも１つのハー
ドワイヤードアナログ入力信号が、手動作動スイッチからの安全関連信号であり、ＡＰＬ
回路が、デジタル信号よりハードワイヤードアナログ入力信号を優先する。
ドワイヤードアナログ入力信号が、手動作動スイッチからの安全関連信号であり、ＡＰＬ
回路が、デジタル信号よりハードワイヤードアナログ入力信号を優先する。
[0022]前述の態様のいずれかと組合せ可能な第１８の態様では、少なくとも１つのハー
ドワイヤードアナログ入力信号が、原子炉トリップ信号である。
ドワイヤードアナログ入力信号が、原子炉トリップ信号である。
[0023]前述の態様のいずれかと組合せ可能な第１９の態様では、手動作動スイッチから
の少なくとも１つのハードワイヤードアナログ入力信号が、不安全関連制御信号であり、
ＡＰＬ回路が、ハードワイヤードアナログ入力信号よりデジタル信号を優先する。
の少なくとも１つのハードワイヤードアナログ入力信号が、不安全関連制御信号であり、
ＡＰＬ回路が、ハードワイヤードアナログ入力信号よりデジタル信号を優先する。
[0024]本開示による別の概略的な実施形態では、原子炉保護システムは、複数の機能的
に独立したモジュールを含み、モジュールは各々、原子炉安全システムから複数の入力を
受け取り、複数の入力に少なくとも部分的に基づいて安全措置を論理的に判定するように
構成され、複数の機能的に独立したモジュールは、２層投票方式で安全措置を論理的に判
定し、２層投票方式の第１の投票層は、非多数決方式を含み、２層投票方式の第２の投票
層は、多数決方式を含み、１つ又は複数の原子炉安全アクチュエータは、複数の入力に少
なくとも部分的に基づいた安全措置判定を受け取るように複数の機能的に独立したモジュ
ールに通信可能に結合される。
に独立したモジュールを含み、モジュールは各々、原子炉安全システムから複数の入力を
受け取り、複数の入力に少なくとも部分的に基づいて安全措置を論理的に判定するように
構成され、複数の機能的に独立したモジュールは、２層投票方式で安全措置を論理的に判
定し、２層投票方式の第１の投票層は、非多数決方式を含み、２層投票方式の第２の投票
層は、多数決方式を含み、１つ又は複数の原子炉安全アクチュエータは、複数の入力に少
なくとも部分的に基づいた安全措置判定を受け取るように複数の機能的に独立したモジュ
ールに通信可能に結合される。
[0025]概略的な実施形態と組合せ可能な第１の態様では、第１の投票層は、複数の冗長
信号チャネルからのトリップ信号を評価し、各トリップ信号は、原子炉パラメータに関連
付けられており、第２の層は、複数の冗長な第１の層チャネルからの投票結果を評価する
。
信号チャネルからのトリップ信号を評価し、各トリップ信号は、原子炉パラメータに関連
付けられており、第２の層は、複数の冗長な第１の層チャネルからの投票結果を評価する
。
[0026]前述の態様のいずれかと組合せ可能な第２の態様では、第１の投票層は、原子炉
トリップシステム（ＲＴＳ）からのトリップ信号を評価する。
トリップシステム（ＲＴＳ）からのトリップ信号を評価する。
[0027]前述の態様のいずれかと組合せ可能な第３の態様では、第１の投票層は、工学的
安全施設作動システム（ＥＳＦＡＳ）からのトリップ信号を評価する。
安全施設作動システム（ＥＳＦＡＳ）からのトリップ信号を評価する。
[0028]前述の態様のいずれかと組合せ可能な第４の態様では、第１の投票層は、ツーア
ウトオブフォー投票方式を含む。
ウトオブフォー投票方式を含む。
[0029]前述の態様のいずれかと組合せ可能な第５の態様では、第２の投票層は、ツーア
ウトオブスリー投票方式を含む。
ウトオブスリー投票方式を含む。
[0030]前述の態様のいずれかと組合せ可能な第６の態様では、原子炉安全システムは、
工学的安全施設作動システム（ＥＳＦＡＳ）を含み、複数の機能的に独立したモジュール
は、複数のＥＳＦＡＳ入力を受け取り、ＥＳＦＡＳ入力に少なくとも部分的に基づいてＥ
ＳＦＡＳ構成要素の作動を論理的に判定する。
工学的安全施設作動システム（ＥＳＦＡＳ）を含み、複数の機能的に独立したモジュール
は、複数のＥＳＦＡＳ入力を受け取り、ＥＳＦＡＳ入力に少なくとも部分的に基づいてＥ
ＳＦＡＳ構成要素の作動を論理的に判定する。
[0031]前述の態様のいずれかと組合せ可能な第７の態様では、複数の機能的に独立した
モジュールは、冗長ＥＳＦＡＳ投票ディビジョンを提供する。
モジュールは、冗長ＥＳＦＡＳ投票ディビジョンを提供する。
[0032]前述の態様のいずれかと組合せ可能な第８の態様では、原子炉安全システムは、
原子炉トリップシステム（ＲＴＳ）を含み、複数の機能的に独立したモジュールは、複数
のＲＴＳ入力を受け取り、ＲＴＳ入力に少なくとも部分的に基づいてＲＴＳ構成要素の作
動を論理的に判定する。
原子炉トリップシステム（ＲＴＳ）を含み、複数の機能的に独立したモジュールは、複数
のＲＴＳ入力を受け取り、ＲＴＳ入力に少なくとも部分的に基づいてＲＴＳ構成要素の作
動を論理的に判定する。
[0033]前述の態様のいずれかと組合せ可能な第９の態様では、複数の機能的に独立した
モジュールは、冗長ＲＴＳ投票ディビジョンを提供する。
モジュールは、冗長ＲＴＳ投票ディビジョンを提供する。
[0034]前述の態様のいずれかと組合せ可能な第１０の態様では、原子炉安全システムは
、不安全関連高信頼ＤＣ電力システム（ＥＤＳＳ）電源から機能的に独立したモジュール
のうちの少なくとも１つへの隔離及び電力監視を提供するために、１Ｅクラス構成要素を
含む。
、不安全関連高信頼ＤＣ電力システム（ＥＤＳＳ）電源から機能的に独立したモジュール
のうちの少なくとも１つへの隔離及び電力監視を提供するために、１Ｅクラス構成要素を
含む。
[0035]本開示によるさらに別の概略的な実施形態では、原子炉トリップを判定する方法
が、工学的安全施設作動システム（ＥＳＦＡＳ）又は原子炉トリップシステム（ＲＴＳ）
のうちの１つから、原子炉保護システムの複数の機能的に独立したモジュールで複数の入
力を受け取ることと、複数の機能的に独立したモジュールを用いて、２層投票システムに
よって、ＥＳＦＡＳ安全措置又は原子炉トリップ状態のうちの１つを論理的に判定するこ
とと、２層投票システムの第１の層によって、第１の層への複数の入力のうちの少なくと
も２分の１が、ＥＳＦＡＳ安全措置又は原子炉トリップ状態を示すと判定することと、２
層投票システムの第２の層によって、第２の層への複数の入力のうちの少なくとも大部分
が、ＥＳＦＡＳ安全措置又は原子炉トリップ状態を示すと判定することと、論理判定に基
づいて、複数の機能的に独立したモジュールに通信可能に結合されたＥＳＦＡＳ構成要素
アクチュエータ又は原子炉トリップ遮断器のうちの１つを起動することとを含む。
が、工学的安全施設作動システム（ＥＳＦＡＳ）又は原子炉トリップシステム（ＲＴＳ）
のうちの１つから、原子炉保護システムの複数の機能的に独立したモジュールで複数の入
力を受け取ることと、複数の機能的に独立したモジュールを用いて、２層投票システムに
よって、ＥＳＦＡＳ安全措置又は原子炉トリップ状態のうちの１つを論理的に判定するこ
とと、２層投票システムの第１の層によって、第１の層への複数の入力のうちの少なくと
も２分の１が、ＥＳＦＡＳ安全措置又は原子炉トリップ状態を示すと判定することと、２
層投票システムの第２の層によって、第２の層への複数の入力のうちの少なくとも大部分
が、ＥＳＦＡＳ安全措置又は原子炉トリップ状態を示すと判定することと、論理判定に基
づいて、複数の機能的に独立したモジュールに通信可能に結合されたＥＳＦＡＳ構成要素
アクチュエータ又は原子炉トリップ遮断器のうちの１つを起動することとを含む。
[0036]概略的な実施形態と組合せ可能な第１の態様では、第１の投票層は、複数の冗長
信号チャネルからのトリップ信号を評価し、各トリップ信号は、原子炉パラメータに関連
付けられており、第２の層は、複数の冗長な第１の層チャネルからの投票結果を評価する
。
信号チャネルからのトリップ信号を評価し、各トリップ信号は、原子炉パラメータに関連
付けられており、第２の層は、複数の冗長な第１の層チャネルからの投票結果を評価する
。
[0037]前述の態様のいずれかと組合せ可能な第２の態様では、第１の投票層は、ツーア
ウトオブフォー投票方式を含む。
ウトオブフォー投票方式を含む。
[0038]前述の態様のいずれかと組合せ可能な第３の態様では、第２の投票層は、ツーア
ウトオブスリー投票方式を含む。
ウトオブスリー投票方式を含む。
[0039]前述の態様のいずれかと組合せ可能な第４の態様では、この方法は、複数の機能
的に独立したモジュールのうちの１つによって、複数の機能的に独立したモジュールの他
のいずれかへの単一故障波及を制限することをさらに含む。
的に独立したモジュールのうちの１つによって、複数の機能的に独立したモジュールの他
のいずれかへの単一故障波及を制限することをさらに含む。
[0040]前述の態様のいずれかと組合せ可能な第５の態様では、単一故障は、単一のハー
ドウェア故障、単一のソフトウェア故障、又は単一のソフトウェア発生論理故障のうちの
少なくとも１つを含む。
ドウェア故障、単一のソフトウェア故障、又は単一のソフトウェア発生論理故障のうちの
少なくとも１つを含む。
[0041]前述の態様のいずれかと組合せ可能な第６の態様では、複数の機能的に独立した
モジュールを用いて、入力に少なくとも部分的に基づいて、ＥＳＦＡＳ安全措置又は原子
炉トリップ判定のうちの１つを論理的に判定することは、複数の機能的に独立したモジュ
ールを用いて、３重冗長信号経路を介して、ＥＳＦＡＳ安全措置又は原子炉トリップ判定
を論理的に判定することを含む。
モジュールを用いて、入力に少なくとも部分的に基づいて、ＥＳＦＡＳ安全措置又は原子
炉トリップ判定のうちの１つを論理的に判定することは、複数の機能的に独立したモジュ
ールを用いて、３重冗長信号経路を介して、ＥＳＦＡＳ安全措置又は原子炉トリップ判定
を論理的に判定することを含む。
[0042]前述の態様のいずれかと組合せ可能な第７の態様では、複数の機能的に独立した
モジュールを用いて、入力に少なくとも部分的に基づいて、ＥＳＦＡＳ安全措置又は原子
炉トリップ判定のうちの１つを論理的に判定することは、複数の機能的に独立したモジュ
ールを用いて、原子炉トリップ構成要素ごとの独立したトリップ投票モジュールを介して
、ＥＳＦＡＳ安全措置又は原子炉トリップ判定を論理的に判定することを含む。
モジュールを用いて、入力に少なくとも部分的に基づいて、ＥＳＦＡＳ安全措置又は原子
炉トリップ判定のうちの１つを論理的に判定することは、複数の機能的に独立したモジュ
ールを用いて、原子炉トリップ構成要素ごとの独立したトリップ投票モジュールを介して
、ＥＳＦＡＳ安全措置又は原子炉トリップ判定を論理的に判定することを含む。
[0043]前述の態様のいずれかと組合せ可能な第８の態様では、複数の機能的に独立した
モジュールは、複数の安全機能モジュール、複数の通信モジュール、及び複数の機器イン
タフェースモジュールを含む。
モジュールは、複数の安全機能モジュール、複数の通信モジュール、及び複数の機器イン
タフェースモジュールを含む。
[0044]本開示の別の概略的な実施形態では、原子炉保護システム表示システムは、デジ
タル表示パネルと、デジタル表示パネルに結合された表示インタフェースモジュールとを
含み、表示インタフェースモジュールは、原子炉モジュール保護システム（ＭＰＳ）から
入力データを受け取り、入力データのグラフを生成し、デジタル表示パネルの個々の画素
を駆動してグラフを表示するように構成される。表示システムは、デジタル表示パネル及
び表示インタフェースモジュールの両方に結合された第１の電源と、デジタル表示パネル
及び表示インタフェースモジュールの両方に結合された第２の電源とをさらに含み、第２
の電源は、第１の電源から独立している。
タル表示パネルと、デジタル表示パネルに結合された表示インタフェースモジュールとを
含み、表示インタフェースモジュールは、原子炉モジュール保護システム（ＭＰＳ）から
入力データを受け取り、入力データのグラフを生成し、デジタル表示パネルの個々の画素
を駆動してグラフを表示するように構成される。表示システムは、デジタル表示パネル及
び表示インタフェースモジュールの両方に結合された第１の電源と、デジタル表示パネル
及び表示インタフェースモジュールの両方に結合された第２の電源とをさらに含み、第２
の電源は、第１の電源から独立している。
[0045]概略的な実施形態と組合せ可能な第１の態様では、表示システムは、第２のデジ
タル表示パネルと、第２のデジタル表示パネルに結合された第２の表示インタフェースモ
ジュールとを含み、第２の表示インタフェースモジュールは、同じ原子炉ＭＰＳから入力
データを受け取り、入力データのグラフを生成し、第２のデジタル表示パネルの個々の画
素を駆動してグラフを表示するように構成される。
タル表示パネルと、第２のデジタル表示パネルに結合された第２の表示インタフェースモ
ジュールとを含み、第２の表示インタフェースモジュールは、同じ原子炉ＭＰＳから入力
データを受け取り、入力データのグラフを生成し、第２のデジタル表示パネルの個々の画
素を駆動してグラフを表示するように構成される。
[0046]前述の態様のいずれかと組合せ可能な第２の態様では、表示インタフェースモジ
ュールは、フィールドプログラマブル論理アレイ（ＦＰＧＡ）を含む。
ュールは、フィールドプログラマブル論理アレイ（ＦＰＧＡ）を含む。
[0047]前述の態様のいずれかと組合せ可能な第３の態様では、表示インタフェースモジ
ュールは、第１のフィールドプログラマブル論理アレイ（ＦＰＧＡ）を含み、第２の表示
インタフェースモジュールは、第２のＦＰＧＡを含み、第２のＦＰＧＡは、設計多様性を
提供するために、第１のＦＰＧＡとは異なるタイプのＦＰＧＡである。
ュールは、第１のフィールドプログラマブル論理アレイ（ＦＰＧＡ）を含み、第２の表示
インタフェースモジュールは、第２のＦＰＧＡを含み、第２のＦＰＧＡは、設計多様性を
提供するために、第１のＦＰＧＡとは異なるタイプのＦＰＧＡである。
[0048]前述の態様のいずれかと組合せ可能な第４の態様では、表示インタフェースモジ
ュール及び第２の表示インタフェースモジュールは、機能的に独立している。
ュール及び第２の表示インタフェースモジュールは、機能的に独立している。
[0049]本開示の別の概略的な実施形態では、原子炉保護システム表示システムは、第１
の対の表示配置を含み、第１の対の表示配置のうちの各表示配置は、デジタル表示パネル
と、デジタル表示パネルに結合された表示インタフェースモジュールとを含む。表示イン
タフェースモジュールは、原子炉モジュールに付随する原子炉モジュール保護システム（
ＭＰＳ）から第１の入力データを受け取り、第１の入力データのグラフを生成し、デジタ
ル表示パネルの個々の画素を駆動してグラフを表示するように構成される。原子炉保護シ
ステム表示システムは、第２の対の表示配置を含み、第２の対の表示配置のうちの各表示
配置は、デジタル表示パネルと、デジタル表示パネルに結合された表示インタフェースモ
ジュールとを含む。表示インタフェースモジュールは、原子炉モジュールに付随する原子
炉モジュール保護システムＭＰＳから第２の入力データを受け取り、第１の入力データの
グラフを生成し、デジタル表示パネルの個々の画素を駆動してグラフを表示するように構
成される。
の対の表示配置を含み、第１の対の表示配置のうちの各表示配置は、デジタル表示パネル
と、デジタル表示パネルに結合された表示インタフェースモジュールとを含む。表示イン
タフェースモジュールは、原子炉モジュールに付随する原子炉モジュール保護システム（
ＭＰＳ）から第１の入力データを受け取り、第１の入力データのグラフを生成し、デジタ
ル表示パネルの個々の画素を駆動してグラフを表示するように構成される。原子炉保護シ
ステム表示システムは、第２の対の表示配置を含み、第２の対の表示配置のうちの各表示
配置は、デジタル表示パネルと、デジタル表示パネルに結合された表示インタフェースモ
ジュールとを含む。表示インタフェースモジュールは、原子炉モジュールに付随する原子
炉モジュール保護システムＭＰＳから第２の入力データを受け取り、第１の入力データの
グラフを生成し、デジタル表示パネルの個々の画素を駆動してグラフを表示するように構
成される。
[0050]概略的な実施形態と組合せ可能な第１の態様では、第１の対の表示配置のうちの
表示配置は各々、設計多様性を提供するために、異なるタイプのフィールドプログラマブ
ルゲートアレイ（ＦＰＧＡ）である。
表示配置は各々、設計多様性を提供するために、異なるタイプのフィールドプログラマブ
ルゲートアレイ（ＦＰＧＡ）である。
[0051]前述の態様のいずれかと組合せ可能な第２の態様では、第１の対の表示配置の表
示インタフェースモジュールは、互いから機能的に独立している。
示インタフェースモジュールは、互いから機能的に独立している。
[0052]前述の態様のいずれかと組合せ可能な第３の態様では、第１の対の表示配置のう
ちの各表示配置内の表示インタフェースモジュールは、第１の対内に設計多様性を提供す
るために、異なるタイプのフィールドプログラマブルゲートアレイ（ＦＰＧＡ）を含み、
第２の対の表示配置のうちの各表示配置内の表示インタフェースモジュールは、第２の対
内に設計多様性を提供するために、異なるタイプのＦＰＧＡを含む。
ちの各表示配置内の表示インタフェースモジュールは、第１の対内に設計多様性を提供す
るために、異なるタイプのフィールドプログラマブルゲートアレイ（ＦＰＧＡ）を含み、
第２の対の表示配置のうちの各表示配置内の表示インタフェースモジュールは、第２の対
内に設計多様性を提供するために、異なるタイプのＦＰＧＡを含む。
[0053]前述の態様のいずれかと組合せ可能な第４の態様では、第１の対の表示配置の表
示インタフェースモジュールは、互いから機能的に独立しており、第２の対の表示配置の
表示インタフェースモジュールは、互いから機能的に独立している。
示インタフェースモジュールは、互いから機能的に独立しており、第２の対の表示配置の
表示インタフェースモジュールは、互いから機能的に独立している。
[0054]前述の態様のいずれかと組合せ可能な第５の態様では、第１の対の表示配置のう
ちの各表示配置の表示インタフェースモジュールは、第１の入力データを受け取るように
第１の原子炉モジュールのモジュール保護システム（ＭＰＳ）ゲートウェイに結合され、
第２の対の表示配置のうちの各表示配置の表示インタフェースモジュールは、第２の入力
データを受け取るように第２の原子炉モジュールのＭＰＳゲートウェイに結合される。
ちの各表示配置の表示インタフェースモジュールは、第１の入力データを受け取るように
第１の原子炉モジュールのモジュール保護システム（ＭＰＳ）ゲートウェイに結合され、
第２の対の表示配置のうちの各表示配置の表示インタフェースモジュールは、第２の入力
データを受け取るように第２の原子炉モジュールのＭＰＳゲートウェイに結合される。
[0055]別の概略的な実施形態では、原子炉保護システムデータを提示する方法が、デジ
タル表示パネル及びデジタル表示パネルに結合された表示インタフェースモジュールを含
む表示配置において、原子炉電力モジュールに関連付けられたデータを原子炉モジュール
保護システム（ＭＰＳ）から受け取ることと、原子炉電力モジュールに関連付けられたデ
ータのグラフを生成することと、デジタル表示パネルの個々の画素を駆動して、原子炉電
力モジュールに関連付けられたデータのグラフを表示することとを含む。
タル表示パネル及びデジタル表示パネルに結合された表示インタフェースモジュールを含
む表示配置において、原子炉電力モジュールに関連付けられたデータを原子炉モジュール
保護システム（ＭＰＳ）から受け取ることと、原子炉電力モジュールに関連付けられたデ
ータのグラフを生成することと、デジタル表示パネルの個々の画素を駆動して、原子炉電
力モジュールに関連付けられたデータのグラフを表示することとを含む。
[0056]概略的な実施形態と組合せ可能な第１の態様は、第１の電源を通ってデジタル表
示パネル及び表示インタフェースモジュールへ電力を提供することをさらに含む。
示パネル及び表示インタフェースモジュールへ電力を提供することをさらに含む。
[0057]前述の態様のいずれか１つと組合せ可能な第２の態様は、第１の電源から独立し
ている第２の電源を通ってデジタル表示パネル及び表示インタフェースモジュールへ電力
を提供することをさらに含む。
ている第２の電源を通ってデジタル表示パネル及び表示インタフェースモジュールへ電力
を提供することをさらに含む。
[0058]前述の態様のいずれか１つと組合せ可能な第３の態様では、第２の電源は、第１
の電源とは電気的に独立している。
の電源とは電気的に独立している。
[0059]前述の態様のいずれか１つと組合せ可能な第４の態様では、表示インタフェース
モジュールは、フィールドプログラマブル論理アレイ（ＦＰＧＡ）を含む。
モジュールは、フィールドプログラマブル論理アレイ（ＦＰＧＡ）を含む。
[0060]前述の態様のいずれか１つと組合せ可能な第５の態様では、表示配置は、第１の
表示配置であり、表示インタフェースモジュールは、第１の表示インタフェースモジュー
ルであり、デジタル表示パネルは、第１のデジタル表示モジュールである。
表示配置であり、表示インタフェースモジュールは、第１の表示インタフェースモジュー
ルであり、デジタル表示パネルは、第１のデジタル表示モジュールである。
[0061]前述の態様のいずれか１つと組合せ可能な第６の態様は、第２のデジタル表示パ
ネル及び第２のデジタル表示パネルに結合された第２の表示インタフェースモジュールを
含む第２の表示配置において、原子炉電力モジュールに関連付けられたデータを原子炉モ
ジュール保護システム（ＭＰＳ）から受け取ることと、原子炉電力モジュールに関連付け
られたデータの第２のグラフを生成することと、第２のデジタル表示パネルの個々の画素
を駆動して、原子炉電力モジュールに関連付けられたデータの第２のグラフを表示するこ
ととをさらに含む。
ネル及び第２のデジタル表示パネルに結合された第２の表示インタフェースモジュールを
含む第２の表示配置において、原子炉電力モジュールに関連付けられたデータを原子炉モ
ジュール保護システム（ＭＰＳ）から受け取ることと、原子炉電力モジュールに関連付け
られたデータの第２のグラフを生成することと、第２のデジタル表示パネルの個々の画素
を駆動して、原子炉電力モジュールに関連付けられたデータの第２のグラフを表示するこ
ととをさらに含む。
[0062]前述の態様のいずれか１つと組合せ可能な第７の態様では、第１及び第２の表示
配置は、機能的に独立している。
配置は、機能的に独立している。
[0063]前述の態様のいずれか１つと組合せ可能な第８の態様では、第１の表示インタフ
ェースモジュールは、第１のＦＰＧＡ型の第１のＦＰＧＡを含み、第２の表示インタフェ
ースモジュールは、第２のＦＰＧＡ型の第２のＦＰＧＡを含む。
ェースモジュールは、第１のＦＰＧＡ型の第１のＦＰＧＡを含み、第２の表示インタフェ
ースモジュールは、第２のＦＰＧＡ型の第２のＦＰＧＡを含む。
[0064]前述の態様のいずれか１つと組合せ可能な第９の態様では、第１のＦＰＧＡ型及
び第２のＦＰＧＡ型は、異なっている。
び第２のＦＰＧＡ型は、異なっている。
[0065]本開示による原子炉保護システムの様々な実施形態は、以下の特徴のうちの１つ
、いくつか、又はすべてを含むことができる。たとえば、原子炉保護システムは、システ
ム内の安全機能を不能及び／又は無効にするおそれのあるソフトウェア又はソフトウェア
発生論理エラーによって引き起こされる共通原因故障（ＣＣＦ）を軽減することができる
。別の例として、原子炉保護システムは、非依存性、冗長性、決定性、多層多様性、テス
ト容易性、及び診断を含むキー属性を組み込むことができる。原子炉保護システムは、原
子炉が安全な条件で維持されることを確実にすることができる。別の例として、原子炉保
護システムは、特定の機能に専用の個々の論理エンジン内で実施される機能性を有する対
称アーキテクチャを介して、増大された簡潔性を有することができる。さらに別の例とし
て、原子炉保護システムは、簡潔な決定論的プロトコルに基づいて、冗長な経路を介して
通信されるアーキテクチャとの通信を容易にすることができる。別の例として、原子炉保
護システムは、ハードワイヤードアナログ信号方式を用いて、デジタル保護システムをオ
ーバーライドし、手動制御式の保護措置を許可することができる。
、いくつか、又はすべてを含むことができる。たとえば、原子炉保護システムは、システ
ム内の安全機能を不能及び／又は無効にするおそれのあるソフトウェア又はソフトウェア
発生論理エラーによって引き起こされる共通原因故障（ＣＣＦ）を軽減することができる
。別の例として、原子炉保護システムは、非依存性、冗長性、決定性、多層多様性、テス
ト容易性、及び診断を含むキー属性を組み込むことができる。原子炉保護システムは、原
子炉が安全な条件で維持されることを確実にすることができる。別の例として、原子炉保
護システムは、特定の機能に専用の個々の論理エンジン内で実施される機能性を有する対
称アーキテクチャを介して、増大された簡潔性を有することができる。さらに別の例とし
て、原子炉保護システムは、簡潔な決定論的プロトコルに基づいて、冗長な経路を介して
通信されるアーキテクチャとの通信を容易にすることができる。別の例として、原子炉保
護システムは、ハードワイヤードアナログ信号方式を用いて、デジタル保護システムをオ
ーバーライドし、手動制御式の保護措置を許可することができる。
[0066]本明細書に記載する主題の１つ又は複数の実施形態の詳細について、添付の図面
及び以下の説明に述べる。主題の他の特徴、態様、及び利点は、説明、図面、及び特許請
求の範囲から明らかになる。
及び以下の説明に述べる。主題の他の特徴、態様、及び利点は、説明、図面、及び特許請
求の範囲から明らかになる。
[0098]図１は、システム１００の例示的な実施形態を示し、システム１００は、複数の
原子力システム１５０と、原子炉計装及び制御（Ｉ＆Ｃ）システム１３５とを含む。概し
て、Ｉ＆Ｃシステム１３５は、システム１００内の障害状態の結果を防止又は軽減するた
めに、自動開始信号、自動及び手動制御信号、並びに監視及び標示表示を提供する。Ｉ＆
Ｃシステム１３５は、定常状態及び過渡電力動作中に原子力システム１５０の正常な原子
炉制御及び安全でない原子炉動作からの保護を提供する。通常動作中、計装装備は、様々
なプロセスパラメータを測定し、Ｉ＆Ｃシステム１３５の制御システムへ信号を伝送する
。異常動作及び事故状態中、計装装備は、Ｉ＆Ｃシステム１３５の部分（たとえば、モジ
ュール保護システム（ＭＰＳ）１４５の一部である原子炉トリップシステム（ＲＴＳ）１
４７及び工学的安全施設作動システム（ＥＳＦＡＳ）１４８（たとえば、事故の影響を軽
減するため））へ信号を伝送し、所定の設定点に基づいて保護措置を開始する。
原子力システム１５０と、原子炉計装及び制御（Ｉ＆Ｃ）システム１３５とを含む。概し
て、Ｉ＆Ｃシステム１３５は、システム１００内の障害状態の結果を防止又は軽減するた
めに、自動開始信号、自動及び手動制御信号、並びに監視及び標示表示を提供する。Ｉ＆
Ｃシステム１３５は、定常状態及び過渡電力動作中に原子力システム１５０の正常な原子
炉制御及び安全でない原子炉動作からの保護を提供する。通常動作中、計装装備は、様々
なプロセスパラメータを測定し、Ｉ＆Ｃシステム１３５の制御システムへ信号を伝送する
。異常動作及び事故状態中、計装装備は、Ｉ＆Ｃシステム１３５の部分（たとえば、モジ
ュール保護システム（ＭＰＳ）１４５の一部である原子炉トリップシステム（ＲＴＳ）１
４７及び工学的安全施設作動システム（ＥＳＦＡＳ）１４８（たとえば、事故の影響を軽
減するため））へ信号を伝送し、所定の設定点に基づいて保護措置を開始する。
[0099]図１で、システム１００は、Ｉ＆Ｃシステム１３５に電気的に結合された複数の
原子力システム１５０を含む。この例では、３つの原子力システム１５０のみが示されて
いるが、より少ない又はより多いシステム１５０をシステム１００に含み又は結合するこ
とができる（たとえば、６、９、１２、又はその他）。１つの好ましい実施形態では、１
２個の原子力システム１５０をシステム１００内に含むことができ、これらの原子力シス
テム１５０のうちの１つ又は複数は、以下でさらに説明するように、モジュール式の軽水
炉を含む。
原子力システム１５０を含む。この例では、３つの原子力システム１５０のみが示されて
いるが、より少ない又はより多いシステム１５０をシステム１００に含み又は結合するこ
とができる（たとえば、６、９、１２、又はその他）。１つの好ましい実施形態では、１
２個の原子力システム１５０をシステム１００内に含むことができ、これらの原子力シス
テム１５０のうちの１つ又は複数は、以下でさらに説明するように、モジュール式の軽水
炉を含む。
[0100]各原子力システム１５０に対して、明示しないが、炉心が熱を提供することがで
き、この熱を利用して、１次冷却材ループ（たとえば、沸騰水型原子炉の場合）又は２次
冷却材ループ（たとえば、加圧水型原子炉の場合）内で、水を沸騰させる。蒸気などの蒸
発した冷却材は、１つ又は複数のタービンを駆動するために使用することができ、１つ又
は複数のタービンは、熱ポテンシャルエネルギーを電気エネルギーに変換する。凝縮した
後、冷却材は再び戻って、より多くの熱エネルギーを炉心から除去する。原子力システム
１５０は、システム内の故障に伴う危険を最小にするために、監視及び保護機能を必要と
する任意のシステムの一例である。
き、この熱を利用して、１次冷却材ループ（たとえば、沸騰水型原子炉の場合）又は２次
冷却材ループ（たとえば、加圧水型原子炉の場合）内で、水を沸騰させる。蒸気などの蒸
発した冷却材は、１つ又は複数のタービンを駆動するために使用することができ、１つ又
は複数のタービンは、熱ポテンシャルエネルギーを電気エネルギーに変換する。凝縮した
後、冷却材は再び戻って、より多くの熱エネルギーを炉心から除去する。原子力システム
１５０は、システム内の故障に伴う危険を最小にするために、監視及び保護機能を必要と
する任意のシステムの一例である。
[0101]各原子炉システム１５０の特有の例示的な実施形態では、円筒形又はカプセル形
の原子炉容器の底部分に、炉心が位置決めされる。炉心は、制御された反応をもたらす量
の核分裂性の物質を含み、この反応は、おそらく数年又はそれ以上の期間にわたって生じ
ることができる。図１には明示しないが、炉心内の核分裂速度を制御するために、制御棒
を用いることができる。制御棒は、銀、インジウム、カドミウム、ホウ素、コバルト、ハ
フニウム、ジスプロシウム、ガドリニウム、サマリウム、エルビウム、及びユーロピウム
、又はこれらの合金及び化合物を含むことができる。しかしこれらは、多くの可能な制御
棒物質のうちのいくつかにすぎない。受動動作システムによって設計された原子炉内では
、通常動作中又は緊急状態でも、操作者による介入又は監督なく、少なくともある程度の
事前定義された期間にわたって、原子炉の安全な動作が維持されることを確実にするため
に、物理学の法則が用いられる。
の原子炉容器の底部分に、炉心が位置決めされる。炉心は、制御された反応をもたらす量
の核分裂性の物質を含み、この反応は、おそらく数年又はそれ以上の期間にわたって生じ
ることができる。図１には明示しないが、炉心内の核分裂速度を制御するために、制御棒
を用いることができる。制御棒は、銀、インジウム、カドミウム、ホウ素、コバルト、ハ
フニウム、ジスプロシウム、ガドリニウム、サマリウム、エルビウム、及びユーロピウム
、又はこれらの合金及び化合物を含むことができる。しかしこれらは、多くの可能な制御
棒物質のうちのいくつかにすぎない。受動動作システムによって設計された原子炉内では
、通常動作中又は緊急状態でも、操作者による介入又は監督なく、少なくともある程度の
事前定義された期間にわたって、原子炉の安全な動作が維持されることを確実にするため
に、物理学の法則が用いられる。
[0102]実施形態では、円筒形又はカプセル形の格納容器は、原子炉容器を取り囲んでお
り、原子炉プール内で部分的又は完全に、たとえば原子炉ベイ内で水位線より下に浸漬さ
れる。原子炉容器と格納容器との間の体積は、原子炉容器から原子炉プールへの熱伝達を
低減させるために、部分的又は完全に排気することができる。しかし、他の実施形態では
、原子炉容器と格納容器との間の体積は、原子炉と格納容器との間の熱伝達を増大させる
気体及び／又は液体で少なくとも部分的に充填することができる。格納容器は、原子炉ベ
イの底面で周辺に位置することができる。
り、原子炉プール内で部分的又は完全に、たとえば原子炉ベイ内で水位線より下に浸漬さ
れる。原子炉容器と格納容器との間の体積は、原子炉容器から原子炉プールへの熱伝達を
低減させるために、部分的又は完全に排気することができる。しかし、他の実施形態では
、原子炉容器と格納容器との間の体積は、原子炉と格納容器との間の熱伝達を増大させる
気体及び／又は液体で少なくとも部分的に充填することができる。格納容器は、原子炉ベ
イの底面で周辺に位置することができる。
[0103]特定の実施形態では、炉心は、ホウ素又は他の添加物を含むことができる水など
の液体内に浸漬され、この液体は、炉心の表面と接触した後にチャネルまで上昇する。冷
却材は、熱交換器の頂部の上を進み、原子炉容器の内壁に沿って対流によって下方へ引き
込まれ、したがって冷却材が熱交換器に熱を与えることが可能になる。原子炉容器の底部
分に到達した後、炉心との接触により冷却材が加熱され、冷却材は再びチャネルを通って
上昇する。
の液体内に浸漬され、この液体は、炉心の表面と接触した後にチャネルまで上昇する。冷
却材は、熱交換器の頂部の上を進み、原子炉容器の内壁に沿って対流によって下方へ引き
込まれ、したがって冷却材が熱交換器に熱を与えることが可能になる。原子炉容器の底部
分に到達した後、炉心との接触により冷却材が加熱され、冷却材は再びチャネルを通って
上昇する。
[0104]原子炉容器内の熱交換器は、チャネルの少なくとも一部分に巻き付けられた任意
の数の螺旋コイルとすることができる。別の実施形態では、異なる数の螺旋コイルを逆方
向にチャネルに巻き付けることができ、たとえば、第１の螺旋コイルが反時計回り方向に
螺旋状に巻き付き、第２の螺旋コイルが時計回り方向に螺旋状に巻き付く。しかし、異な
る構成及び／又は異なる向きの熱交換器の使用が妨げられることはなく、これに関して実
施形態は限定されない。
の数の螺旋コイルとすることができる。別の実施形態では、異なる数の螺旋コイルを逆方
向にチャネルに巻き付けることができ、たとえば、第１の螺旋コイルが反時計回り方向に
螺旋状に巻き付き、第２の螺旋コイルが時計回り方向に螺旋状に巻き付く。しかし、異な
る構成及び／又は異なる向きの熱交換器の使用が妨げられることはなく、これに関して実
施形態は限定されない。
[0105]図１で、原子炉モジュールの通常動作は、加熱された冷却材がチャネルを通って
上昇し、熱交換器に接触するように進む。熱交換器に接触した後、冷却材は、熱サイフォ
ンプロセスを誘起するように、原子炉容器の底部の方へ沈む。図１の例では、原子炉容器
内の冷却材は、気圧を上回る圧力のままであり、したがって冷却材が蒸発（たとえば、沸
騰）することなく高い温度を維持することが可能になる。
上昇し、熱交換器に接触するように進む。熱交換器に接触した後、冷却材は、熱サイフォ
ンプロセスを誘起するように、原子炉容器の底部の方へ沈む。図１の例では、原子炉容器
内の冷却材は、気圧を上回る圧力のままであり、したがって冷却材が蒸発（たとえば、沸
騰）することなく高い温度を維持することが可能になる。
[0106]熱交換器内の冷却材の温度が増大するにつれて、冷却材は沸騰し始めることがで
きる。熱交換器内の冷却材が沸騰し始めると、蒸気などの蒸発した冷却材を使用して、１
つ又は複数のタービンを駆動することができ、１つ又は複数のタービンは、蒸気の熱ポテ
ンシャルエネルギーを電気エネルギーに変換する。凝縮した後、冷却材は、熱交換器の底
面付近の場所へ戻る。
きる。熱交換器内の冷却材が沸騰し始めると、蒸気などの蒸発した冷却材を使用して、１
つ又は複数のタービンを駆動することができ、１つ又は複数のタービンは、蒸気の熱ポテ
ンシャルエネルギーを電気エネルギーに変換する。凝縮した後、冷却材は、熱交換器の底
面付近の場所へ戻る。
[0107]図１の原子力システム１５０の通常動作中、原子力システム１５０の様々な場所
内の位置決めされているセンサ、たとえばＩ＆Ｃシステム１３５のセンサによって、原子
力システムの様々な性能パラメータを監視することができる。原子力システム内のセンサ
は、システム温度、システム圧力、１次及び／又は２次冷却材レベル、並びに中性子束を
測定することができる。これらの測定を表す信号は、Ｉ＆Ｃシステム１３５のインタフェ
ースパネルへの通信チャネルによって、原子力システムの外部へ報告することができる。
内の位置決めされているセンサ、たとえばＩ＆Ｃシステム１３５のセンサによって、原子
力システムの様々な性能パラメータを監視することができる。原子力システム内のセンサ
は、システム温度、システム圧力、１次及び／又は２次冷却材レベル、並びに中性子束を
測定することができる。これらの測定を表す信号は、Ｉ＆Ｃシステム１３５のインタフェ
ースパネルへの通信チャネルによって、原子力システムの外部へ報告することができる。
[0108]図示のＩ＆Ｃシステム１３５は、概して、主制御室１４０と、モジュール（又は
原子炉）保護システム（ＭＰＳ）１４５と、不安全モジュール制御システム（ＭＣＳ）１
５５とを含む。主制御室１４０は、各原子力システム１５０に対して１組の制御及び標示
部１４１を含む。各組の制御及び標示部１４１は、手動１Ｅ制御１４２と、１Ｅ標示部１
４３と、非１Ｅ制御及び標示部１４４とを含む。いくつかの態様では、「１Ｅ」とは、原
子力規制委員会規制ガイド１．３２によって与えられたＩＥＥＥ規格３０８－２００１第
３．７章による１Ｅ方式を定義するものなどの規制要件を指すことができ、上記の規制ガ
イドは、緊急原子炉停止、格納隔離、炉心冷却及び格納、並びに原子炉熱除去にとって不
可欠な電気機器及びシステムの安全区分、又は環境への放射性物質の著しい解放を防止す
るのにその他の形で不可欠なものを定義する。典型的には、特定の制御及び標示部は、「
１Ｅ」適格（たとえば、手動１Ｅ制御１４２及び１Ｅ標示部１４３）とすることができ、
他の制御及び標示部は、「１Ｅ」不適格（たとえば、非１Ｅ制御及び標示部１４４）とす
ることができる。
原子炉）保護システム（ＭＰＳ）１４５と、不安全モジュール制御システム（ＭＣＳ）１
５５とを含む。主制御室１４０は、各原子力システム１５０に対して１組の制御及び標示
部１４１を含む。各組の制御及び標示部１４１は、手動１Ｅ制御１４２と、１Ｅ標示部１
４３と、非１Ｅ制御及び標示部１４４とを含む。いくつかの態様では、「１Ｅ」とは、原
子力規制委員会規制ガイド１．３２によって与えられたＩＥＥＥ規格３０８－２００１第
３．７章による１Ｅ方式を定義するものなどの規制要件を指すことができ、上記の規制ガ
イドは、緊急原子炉停止、格納隔離、炉心冷却及び格納、並びに原子炉熱除去にとって不
可欠な電気機器及びシステムの安全区分、又は環境への放射性物質の著しい解放を防止す
るのにその他の形で不可欠なものを定義する。典型的には、特定の制御及び標示部は、「
１Ｅ」適格（たとえば、手動１Ｅ制御１４２及び１Ｅ標示部１４３）とすることができ、
他の制御及び標示部は、「１Ｅ」不適格（たとえば、非１Ｅ制御及び標示部１４４）とす
ることができる。
[0109]非１Ｅ制御及び標示部１４４は、ＭＣＳ１５５と双方向通信している。ＭＣＳ１
５５は、原子力システム１５０の不安全部分の制御及び監視を提供することができる。概
して、ＭＣＳ１５５は、他の動作の中でも、動作中過渡変化を抑制してユニットトリップ
を防止し、定常状態ユニット動作を再確立する。
５５は、原子力システム１５０の不安全部分の制御及び監視を提供することができる。概
して、ＭＣＳ１５５は、他の動作の中でも、動作中過渡変化を抑制してユニットトリップ
を防止し、定常状態ユニット動作を再確立する。
[0110]ＭＰＳ１４５は各々、図１に示す手動１Ｅ制御１４２及び１Ｅ標示部１４３と１
方向通信している。ＭＰＳ１４５は、概して、安全措置を開始して、設計基準事象の結果
を軽減する。ＭＰＳ１４５は、概して、原子炉停止を開始するために必要とされる、セン
サから最終作動デバイス（電源、センサ、信号調節器、開始回路、論理、バイパス、制御
基板、相互接続、及び作動デバイス）まですべての機器（ハードウェア、ソフトウェア、
及びファームウェアを含む）を含む。
方向通信している。ＭＰＳ１４５は、概して、安全措置を開始して、設計基準事象の結果
を軽減する。ＭＰＳ１４５は、概して、原子炉停止を開始するために必要とされる、セン
サから最終作動デバイス（電源、センサ、信号調節器、開始回路、論理、バイパス、制御
基板、相互接続、及び作動デバイス）まですべての機器（ハードウェア、ソフトウェア、
及びファームウェアを含む）を含む。
[0111]ＭＰＳ１４５は、ＲＴＳ１４７及びＥＳＦＡＳ１４８を含む。ＲＴＳ１４７は、
いくつかの態様では、４つの独立した分離グループ（たとえば、同じ１Ｅクラスの電気チ
ャネル名（Ａ、Ｂ、Ｃ、又はＤ）を有するプロセスチャネルの物理的なグループ分け）を
含み、これらの分離グループは、別個の独立した給電部及びプロセス計装送信器を備えて
おり、グループは各々、他のグループとは物理的及び電気的に独立しており、原子炉トリ
ップを生成するために利用することができるプラントパラメータを監視するための独立し
た測定チャネルを有する。各測定チャネルは、パラメータが所定の設定点を超過すると緊
急停止する。ＲＴＳ１４７の一致論理は、必要とされる原子炉トリップを単一故障が妨げ
ることがなく、単一の測定チャネル内の故障が不必要な原子炉トリップを生成することが
ないように設計することができる。
いくつかの態様では、４つの独立した分離グループ（たとえば、同じ１Ｅクラスの電気チ
ャネル名（Ａ、Ｂ、Ｃ、又はＤ）を有するプロセスチャネルの物理的なグループ分け）を
含み、これらの分離グループは、別個の独立した給電部及びプロセス計装送信器を備えて
おり、グループは各々、他のグループとは物理的及び電気的に独立しており、原子炉トリ
ップを生成するために利用することができるプラントパラメータを監視するための独立し
た測定チャネルを有する。各測定チャネルは、パラメータが所定の設定点を超過すると緊
急停止する。ＲＴＳ１４７の一致論理は、必要とされる原子炉トリップを単一故障が妨げ
ることがなく、単一の測定チャネル内の故障が不必要な原子炉トリップを生成することが
ないように設計することができる。
[0112]ＥＳＦＡＳ１４８は、いくつかの態様では、独立した測定チャネルを有する４つ
の独立した分離グループを含み、これらの測定チャネルは、工学的安全施設（ＥＳＦ）機
器の動作を起動するために利用することができるプラントパラメータを監視する。各測定
チャネルは、パラメータが所定の設定点を超過すると緊急停止する。ＥＳＦＡＳ１４８の
一致論理は、必要とされるセーフガード作動を単一故障が妨げることがなく、単一の測定
チャネル内の単一故障が不必要なセーフガード作動を生成することがないように設計する
ことができる。
の独立した分離グループを含み、これらの測定チャネルは、工学的安全施設（ＥＳＦ）機
器の動作を起動するために利用することができるプラントパラメータを監視する。各測定
チャネルは、パラメータが所定の設定点を超過すると緊急停止する。ＥＳＦＡＳ１４８の
一致論理は、必要とされるセーフガード作動を単一故障が妨げることがなく、単一の測定
チャネル内の単一故障が不必要なセーフガード作動を生成することがないように設計する
ことができる。
[0113]システム１００は、４つの防御階層を含むことができ、たとえば、ＮＵＲＥＧ／
ＣＲ－６３０３に定義されているように、原子炉の動作又は遮断及び冷却の目的で、原子
炉に取り付けられた計装及び制御システムの配置に対する多層防御の原理の特有の適用を
含むことができる。具体的には、４つの階層とは、制御システム、原子炉トリップ又はス
クラムシステム、ＥＳＦＡＳ、並びに監視及び標示システム（たとえば、公称では他の３
つの階層に割り当てられた機器を動作させるために必要とされる１Ｅクラス及び非１Ｅク
ラスの両方の手動制御、監視部、及び標示部を含む最も遅く最も柔軟な防御階層）である
。
ＣＲ－６３０３に定義されているように、原子炉の動作又は遮断及び冷却の目的で、原子
炉に取り付けられた計装及び制御システムの配置に対する多層防御の原理の特有の適用を
含むことができる。具体的には、４つの階層とは、制御システム、原子炉トリップ又はス
クラムシステム、ＥＳＦＡＳ、並びに監視及び標示システム（たとえば、公称では他の３
つの階層に割り当てられた機器を動作させるために必要とされる１Ｅクラス及び非１Ｅク
ラスの両方の手動制御、監視部、及び標示部を含む最も遅く最も柔軟な防御階層）である
。
[0114]制御システム階層は、典型的には、ＭＣＳ１５５（たとえば、非１Ｅクラスの手
動又は自動制御機器）を含み、ＭＣＳ１５５は、安全でない動作領域への原子炉エクスカ
ーションを日常的に防止しており、概して原子炉を安全な発電動作領域内で動作させるた
めに使用される。制御階層内には、標示部、報知器、及び警報を含むことができる。原子
炉制御システムは、典型的には、特定の規則及び／又は要件、たとえば遠隔停止パネルに
対する要件を満たすために、いくつかの機器を含む。制御システム階層によって実行され
る原子炉制御機能は、ＭＣＳ１５５内に含まれる。ＭＣＳ１５５は、たとえば、原子炉ト
リップ又はＥＳＦ作動の必要を回避するために、動作限界内でシステム１００を維持する
機能を含む。
動又は自動制御機器）を含み、ＭＣＳ１５５は、安全でない動作領域への原子炉エクスカ
ーションを日常的に防止しており、概して原子炉を安全な発電動作領域内で動作させるた
めに使用される。制御階層内には、標示部、報知器、及び警報を含むことができる。原子
炉制御システムは、典型的には、特定の規則及び／又は要件、たとえば遠隔停止パネルに
対する要件を満たすために、いくつかの機器を含む。制御システム階層によって実行され
る原子炉制御機能は、ＭＣＳ１５５内に含まれる。ＭＣＳ１５５は、たとえば、原子炉ト
リップ又はＥＳＦ作動の必要を回避するために、動作限界内でシステム１００を維持する
機能を含む。
[0115]原子炉トリップシステム階層は、典型的には、ＲＴＳ１４７、たとえば、制御さ
れていないエクスカーションに応答して炉心の反応度を急速に低減させるように設計され
た安全機器を含む。この階層は、典型的には、潜在的又は実際のエクスカーションを検出
する計装装備、原子炉制御棒を急速かつ完全に挿入する機器及びプロセスからなり、特定
の化学的な中性子減速システム（たとえば、ホウ素注入）を含むこともできる。図示のよ
うに、原子炉トリップ階層によって実行される自動原子炉トリップ機能は、ＭＰＳ１４５
内（たとえば、ＲＴＳ１４７内）に含まれる。
れていないエクスカーションに応答して炉心の反応度を急速に低減させるように設計され
た安全機器を含む。この階層は、典型的には、潜在的又は実際のエクスカーションを検出
する計装装備、原子炉制御棒を急速かつ完全に挿入する機器及びプロセスからなり、特定
の化学的な中性子減速システム（たとえば、ホウ素注入）を含むこともできる。図示のよ
うに、原子炉トリップ階層によって実行される自動原子炉トリップ機能は、ＭＰＳ１４５
内（たとえば、ＲＴＳ１４７内）に含まれる。
[0116]ＥＳＦＡＳ階層は、典型的には、ＭＰＳ１４５の一部であるＥＳＦＡＳモジュー
ル１４８を含む。ＥＳＦＡＳモジュール１４８内で実施されるＥＳＦＡＳ階層は、典型的
には、熱の除去又はその他の方法で放射性物質の解放に対する３つの物理的障壁（たとえ
ば、核燃料棒被覆、原子炉容器、及び原子炉格納）の完全性を維持するのを助ける安全機
器を含む。この階層は、ＥＳＦ機器が動作するために必要とされる様々な支持システム（
たとえば、非常用発電機）又はデバイス（バルブ、モータ、ポンプ）の緊急原子炉冷却、
圧力逃し又は減圧、隔離、及び制御などの機能に対する必要を検出し、これらの機能を実
行する。
ル１４８を含む。ＥＳＦＡＳモジュール１４８内で実施されるＥＳＦＡＳ階層は、典型的
には、熱の除去又はその他の方法で放射性物質の解放に対する３つの物理的障壁（たとえ
ば、核燃料棒被覆、原子炉容器、及び原子炉格納）の完全性を維持するのを助ける安全機
器を含む。この階層は、ＥＳＦ機器が動作するために必要とされる様々な支持システム（
たとえば、非常用発電機）又はデバイス（バルブ、モータ、ポンプ）の緊急原子炉冷却、
圧力逃し又は減圧、隔離、及び制御などの機能に対する必要を検出し、これらの機能を実
行する。
[0117]監視及び標示システム階層は、典型的には、主制御室１４０を含み、いくつかの
態様では、最も遅くまた最も柔軟な防御階層である。他の３つの階層と同様に、操作者（
たとえば、システム１００の操作者）は、正確なセンサ情報に応じて自身のタスクを実行
するが、情報、時間、及び手段を所与として、前もって指定されていない論理計算を実行
し、予期しない事象に反応することができる。監視及び標示階層は、公称では他の３つの
階層に割り当てられた機器を動作（たとえば、手動１Ｅ制御１４２、１Ｅ標示部１４３、
並びに非１Ｅ制御及び標示部１４４を介して）させるために必要とされる１Ｅクラス及び
非１Ｅクラスの手動制御、監視部、及び標示部を含む。監視及び標示システム階層によっ
て必要とされる機能は、ＭＣＳ１５５及びＭＰＳ１４５からの情報を含む主制御室内の手
動制御、表示、及び標示部によって提供される。安全監視、手動原子炉トリップ、及び手
動ＥＳＦ作動機能は、ＭＰＳ１４５内に含まれる。ＭＣＳ１５５は、正常なプラント動作
中に動作限界を維持するために、不安全監視及び手動制御を提供する。
態様では、最も遅くまた最も柔軟な防御階層である。他の３つの階層と同様に、操作者（
たとえば、システム１００の操作者）は、正確なセンサ情報に応じて自身のタスクを実行
するが、情報、時間、及び手段を所与として、前もって指定されていない論理計算を実行
し、予期しない事象に反応することができる。監視及び標示階層は、公称では他の３つの
階層に割り当てられた機器を動作（たとえば、手動１Ｅ制御１４２、１Ｅ標示部１４３、
並びに非１Ｅ制御及び標示部１４４を介して）させるために必要とされる１Ｅクラス及び
非１Ｅクラスの手動制御、監視部、及び標示部を含む。監視及び標示システム階層によっ
て必要とされる機能は、ＭＣＳ１５５及びＭＰＳ１４５からの情報を含む主制御室内の手
動制御、表示、及び標示部によって提供される。安全監視、手動原子炉トリップ、及び手
動ＥＳＦ作動機能は、ＭＰＳ１４５内に含まれる。ＭＣＳ１５５は、正常なプラント動作
中に動作限界を維持するために、不安全監視及び手動制御を提供する。
[0118]４つの防御階層を含むことに加えて、システム１００は、複数のレベルの多様性
を含む。具体的には、Ｉ＆Ｃ多様性は、想定されるプラント状態に応答する多様な方法を
提供するために、異なる技術、論理、又はアルゴリズムを使用して、変数の測定又は作動
手段の提供を行う原理である。ここで、重要事象を検出してそれに応答するいくつかの方
法を提供するために、異なる技術、論理、若しくはアルゴリズム、又は作動手段を使用し
て異なるパラメータを感知する計装システムにおいて、この原理に多様性が適用される。
多様性は、多層防御の原理に対して相補的であり、特定のレベル又は深さの防御が必要と
されるときに作動される可能性を増大させる。概して、人的多様性、設計多様性、ソフト
ウェア多様性、機能的多様性、信号多様性、及び機器多様性という６つの属性の多様性が
存在する。本開示でより深く論じるように、ＭＰＳ１４５は、ＭＰＳ１４５内で共通原因
故障（たとえば、ハードウェアアーキテクチャによって実現される冗長性を不能にするお
それのあるソフトウェアエラー又はソフトウェア発生論理によって引き起こされる故障）
の影響を軽減するために、６つの属性の多様性を組み込むことができる。
を含む。具体的には、Ｉ＆Ｃ多様性は、想定されるプラント状態に応答する多様な方法を
提供するために、異なる技術、論理、又はアルゴリズムを使用して、変数の測定又は作動
手段の提供を行う原理である。ここで、重要事象を検出してそれに応答するいくつかの方
法を提供するために、異なる技術、論理、若しくはアルゴリズム、又は作動手段を使用し
て異なるパラメータを感知する計装システムにおいて、この原理に多様性が適用される。
多様性は、多層防御の原理に対して相補的であり、特定のレベル又は深さの防御が必要と
されるときに作動される可能性を増大させる。概して、人的多様性、設計多様性、ソフト
ウェア多様性、機能的多様性、信号多様性、及び機器多様性という６つの属性の多様性が
存在する。本開示でより深く論じるように、ＭＰＳ１４５は、ＭＰＳ１４５内で共通原因
故障（たとえば、ハードウェアアーキテクチャによって実現される冗長性を不能にするお
それのあるソフトウェアエラー又はソフトウェア発生論理によって引き起こされる故障）
の影響を軽減するために、６つの属性の多様性を組み込むことができる。
[0119]概して、人的多様性は、システム開発ライフサイクル全体にわたって人的に誘起
される障害（たとえば、誤り、誤った解釈、エラー、構成障害）に対処することに関し、
ライフサイクルプロセスの実行における非類似性を特徴とする。
される障害（たとえば、誤り、誤った解釈、エラー、構成障害）に対処することに関し、
ライフサイクルプロセスの実行における非類似性を特徴とする。
[0120]概して、設計多様性は、同じ又は類似の問題を解決するために、ソフトウェア及
びハードウェアを含む異なる手法を使用することである。ソフトウェア多様性は、設計多
様性の特別なケースであり、その潜在的な重要性及び潜在的な欠陥のために別個に言及さ
れる。設計多様性に対する根拠は、異なる設計は異なる故障モードを有し、同じ共通の影
響を受けにくいことである。
びハードウェアを含む異なる手法を使用することである。ソフトウェア多様性は、設計多
様性の特別なケースであり、その潜在的な重要性及び潜在的な欠陥のために別個に言及さ
れる。設計多様性に対する根拠は、異なる設計は異なる故障モードを有し、同じ共通の影
響を受けにくいことである。
[0121]概して、ソフトウェア多様性は、たとえば原子炉を緊急停止するべきかどうかを
判定するために２つの別個に設計されたプログラムを使用して、同じ安全目標を実現する
ために、異なる基幹人員を含む異なるソフトウェア開発グループによって設計及び実施さ
れる異なるソフトウェアプログラムを使用することである。
判定するために２つの別個に設計されたプログラムを使用して、同じ安全目標を実現する
ために、異なる基幹人員を含む異なるソフトウェア開発グループによって設計及び実施さ
れる異なるソフトウェアプログラムを使用することである。
[0122]概して、機能的多様性は、重複した安全効果を有する可能性もあるが、異なる物
理的又は論理的機能を実行する２つのシステム（たとえば、システム１００内のサブシス
テム）を指す。
理的又は論理的機能を実行する２つのシステム（たとえば、システム１００内のサブシス
テム）を指す。
[0123]概して、信号多様性は、保護措置を開始するために異なるプロセスパラメータを
使用することであり、これらのパラメータのいずれかは、他のパラメータが正確に検出さ
れなかった場合でも、異常な状態を独立して示すことができる。
使用することであり、これらのパラメータのいずれかは、他のパラメータが正確に検出さ
れなかった場合でも、異常な状態を独立して示すことができる。
[0124]概して、機器多様性は、類似の安全機能を実行するために異なる機器を使用する
ことである（たとえば、安全機能は、設計基準事象に対して確立された許容可能な限界内
でプラントパラメータを維持するために不可欠なプロセス又は条件のうちの１つであり、
ＲＴＳ又はＥＳＦが必要とされるすべての保護措置を完了すること、若しくは補助的支持
特徴が必要とされるすべての保護措置を完了すること、又は両方によって実現することが
できる）。この場合、「異なる」とは、共通原因故障に対する脆弱性を大幅に減少させる
のに十分なほど似ていないことを意味することができる。
ことである（たとえば、安全機能は、設計基準事象に対して確立された許容可能な限界内
でプラントパラメータを維持するために不可欠なプロセス又は条件のうちの１つであり、
ＲＴＳ又はＥＳＦが必要とされるすべての保護措置を完了すること、若しくは補助的支持
特徴が必要とされるすべての保護措置を完了すること、又は両方によって実現することが
できる）。この場合、「異なる」とは、共通原因故障に対する脆弱性を大幅に減少させる
のに十分なほど似ていないことを意味することができる。
[0125]いくつかの態様では、ＭＰＳ１４５は、連続（又は部分的連続）する自己試験及
び周期的な監視試験の組合せを組み込むことができる。そのような試験方策は、すべての
検出可能な故障が識別され、所員に通知される（たとえば、主制御室１４０を介して）こ
とを確実にすることができる。自己試験特徴は、システム状態が連続的（又は部分的）に
監視されることを確実にする包括的な診断システムを提供することができる。すべての検
出可能な故障を所員に通知することができ、システムの全体的な状態を判定するために、
故障の影響の標示を提供することができる。自己試験特徴は、分離グループ及びディビジ
ョンの非依存性を維持する。自己試験特徴は、システムの完全性が常時維持されることを
確実にする。
び周期的な監視試験の組合せを組み込むことができる。そのような試験方策は、すべての
検出可能な故障が識別され、所員に通知される（たとえば、主制御室１４０を介して）こ
とを確実にすることができる。自己試験特徴は、システム状態が連続的（又は部分的）に
監視されることを確実にする包括的な診断システムを提供することができる。すべての検
出可能な故障を所員に通知することができ、システムの全体的な状態を判定するために、
故障の影響の標示を提供することができる。自己試験特徴は、分離グループ及びディビジ
ョンの非依存性を維持する。自己試験特徴は、システムの完全性が常時維持されることを
確実にする。
[0126]いくつかの態様では、ＭＰＳ１４５内の各サブモジュール（以下により詳細に説
明する）は、モジュール内の単一故障を検出するように設計された広い障害検出カバー範
囲を提供する自己試験特徴を含むことができる。これにより、障害を検出するために必要
とされる時間を最小にし、安全及びシステム利用可能性の利益を提供することができる。
システムが通常動作しているとき、自己試験は、応答時間などの安全機能の性能に影響を
及ぼすことなく実行される。
明する）は、モジュール内の単一故障を検出するように設計された広い障害検出カバー範
囲を提供する自己試験特徴を含むことができる。これにより、障害を検出するために必要
とされる時間を最小にし、安全及びシステム利用可能性の利益を提供することができる。
システムが通常動作しているとき、自己試験は、応答時間などの安全機能の性能に影響を
及ぼすことなく実行される。
[0127]自己試験特徴は、未検出の障害を有することを回避するために、活動中及び非活
動中両方の論理（たとえば、安全機能が動作することが必要とされるときのみ起動される
論理）で、ほとんどの障害を検出することが可能である。障害の検出及び標示は、ＭＰＳ
サブモジュールレベルで行われ、発電所員が交換する必要のあるＭＰＳサブモジュールを
容易に識別することが可能になる。
動中両方の論理（たとえば、安全機能が動作することが必要とされるときのみ起動される
論理）で、ほとんどの障害を検出することが可能である。障害の検出及び標示は、ＭＰＳ
サブモジュールレベルで行われ、発電所員が交換する必要のあるＭＰＳサブモジュールを
容易に識別することが可能になる。
[0128]すべての機能的試験及び検査、較正検証、並びに時間応答測定が認証されること
を確実にするために、周期的オンライン監視試験能力を組み込むことができる。周期的監
視試験はまた、連続的自己試験機能を検証する。
を確実にするために、周期的オンライン監視試験能力を組み込むことができる。周期的監
視試験はまた、連続的自己試験機能を検証する。
[0129]ＭＰＳ１４５内の自己試験及び周期的監視試験特徴は、すべてのプラント動作モ
ードに対して実行される安全機能に相応の稼働中のテスト容易性のために設計することが
できる。性能の自己試験及び監視試験は、一時的な試験設定を必要としない。これらの試
験特徴は、システムの設計に固有であり、安全機能論理及びデータ構造に加える複雑さを
最小にすることができる。バイパス状態の連続的な標示は、（１）プラントの通常動作中
に自己試験によって障害が検出された場合、又は（２）安全機能の一部がバイパスされ、
若しくは試験に対して故意に動作不能にされた場合に行われる。バイパス状態が除去され
た後、バイパスの標示は除去される。これにより、バイパスされた安全機能が適切に稼働
状態に戻ったことを、発電所員が確認することができることを確実にすることができる。
ードに対して実行される安全機能に相応の稼働中のテスト容易性のために設計することが
できる。性能の自己試験及び監視試験は、一時的な試験設定を必要としない。これらの試
験特徴は、システムの設計に固有であり、安全機能論理及びデータ構造に加える複雑さを
最小にすることができる。バイパス状態の連続的な標示は、（１）プラントの通常動作中
に自己試験によって障害が検出された場合、又は（２）安全機能の一部がバイパスされ、
若しくは試験に対して故意に動作不能にされた場合に行われる。バイパス状態が除去され
た後、バイパスの標示は除去される。これにより、バイパスされた安全機能が適切に稼働
状態に戻ったことを、発電所員が確認することができることを確実にすることができる。
[0130]ＭＰＳ１４５に対する診断データは、各分離グループ及びディビジョンに対して
保守ワークステーション（ＭＷＳ）へ提供される。ＭＷＳは、トラブルシューティング活
動を容易にするために、機器に近接して位置することができる。ＭＰＳとＭＷＳとの間の
インタフェースは、光学的に隔離された１方向診断インタフェースとすることができる。
すべての診断データは、物理的に別個の通信経路を介して通信することができ、それによ
り診断機能が安全機能とは独立していることを確実にすることができる。加えて、診断デ
ータは、長期記憶のため、中央ヒストリアンへ伝送することができる。これにより、シス
テム動作の履歴分析を実行する手段が提供される。
保守ワークステーション（ＭＷＳ）へ提供される。ＭＷＳは、トラブルシューティング活
動を容易にするために、機器に近接して位置することができる。ＭＰＳとＭＷＳとの間の
インタフェースは、光学的に隔離された１方向診断インタフェースとすることができる。
すべての診断データは、物理的に別個の通信経路を介して通信することができ、それによ
り診断機能が安全機能とは独立していることを確実にすることができる。加えて、診断デ
ータは、長期記憶のため、中央ヒストリアンへ伝送することができる。これにより、シス
テム動作の履歴分析を実行する手段が提供される。
[0131]診断システムは、設置されたモジュールのリストを維持することができる。これ
らのリストは、モジュールの欠落又は不正確なモジュールの設置から守るために、システ
ム内で活動中の設置されたモジュールと連続的に比較することができる。
らのリストは、モジュールの欠落又は不正確なモジュールの設置から守るために、システ
ム内で活動中の設置されたモジュールと連続的に比較することができる。
[0132]すべてのＭＰＳ安全データ通信は、エラー検出により、データ完全性を強化する
ように設計することができる。プロトコル特徴を確実にする通信は、頑健で信頼性が高く
、伝送障害を検出する能力を有する。類似のデータ完全性特徴を使用して、診断データを
伝達することもできる。
ように設計することができる。プロトコル特徴を確実にする通信は、頑健で信頼性が高く
、伝送障害を検出する能力を有する。類似のデータ完全性特徴を使用して、診断データを
伝達することもできる。
[0133]図２Ａ～２Ｂは、原子力システム１５０に対するＩ＆Ｃシステムのモジュール保
護システム（ＭＰＳ）２００のブロック図を示す。いくつかの実施形態では、ＭＰＳ２０
０は、図１に示すＭＰＳ１４５に類似又は同一とすることができる。概して、図示のＭＰ
Ｓ２００は、センサ及び検出器（たとえば、センサ２０２ａ～２０２ｄ）の４つの分離グ
ループと、信号調節及び信号調節器（たとえば、信号調節器２０４ａ～２０４ｄ）の４つ
の分離グループと、トリップ判定（たとえば、トリップ判定２０８ａ～２０８ｄ）の４つ
の分離グループと、ＲＴＳ投票及び原子炉トリップ遮断器（たとえば、ディビジョンＩの
ＲＴＳ投票２１４及びディビジョンＩＩのＲＴＳ投票２１６）の２つのディビジョンと、
工学的安全施設作動システム（ＥＳＦＡＳ）投票及び工学的安全施設（ＥＳＦ）機器（た
とえば、ＥＳＦＡＳ投票ディビジョンＩ２１２及びＥＳＦ機器２２４、並びにディビジョ
ンＩＩのＥＳＦＡＳ投票２１８及びＥＳＦ機器２２６）の２つのディビジョンとを含む。
護システム（ＭＰＳ）２００のブロック図を示す。いくつかの実施形態では、ＭＰＳ２０
０は、図１に示すＭＰＳ１４５に類似又は同一とすることができる。概して、図示のＭＰ
Ｓ２００は、センサ及び検出器（たとえば、センサ２０２ａ～２０２ｄ）の４つの分離グ
ループと、信号調節及び信号調節器（たとえば、信号調節器２０４ａ～２０４ｄ）の４つ
の分離グループと、トリップ判定（たとえば、トリップ判定２０８ａ～２０８ｄ）の４つ
の分離グループと、ＲＴＳ投票及び原子炉トリップ遮断器（たとえば、ディビジョンＩの
ＲＴＳ投票２１４及びディビジョンＩＩのＲＴＳ投票２１６）の２つのディビジョンと、
工学的安全施設作動システム（ＥＳＦＡＳ）投票及び工学的安全施設（ＥＳＦ）機器（た
とえば、ＥＳＦＡＳ投票ディビジョンＩ２１２及びＥＳＦ機器２２４、並びにディビジョ
ンＩＩのＥＳＦＡＳ投票２１８及びＥＳＦ機器２２６）の２つのディビジョンとを含む。
[0134]概して、センサ２０２ａ～２０２ｄは、圧力、温度、レベル、及び中性子束など
の異なるプロセスパラメータの測定を担うプロセスセンサを含む。したがって、原子力シ
ステム１５０の各プロセスパラメータは、異なるセンサを使用して測定され、異なる論理
エンジンによって実行される異なるアルゴリズムによって処理される。いくつかの態様で
は、中性子束センサは、停止状態から全出力の１２０パーセントまでの炉心からの中性子
束の測定を担う。ＭＰＳ２００内では、中性子源領域、中間領域、及び出力領域を含む３
つのタイプの中性子束検出器を使用することができる。
の異なるプロセスパラメータの測定を担うプロセスセンサを含む。したがって、原子力シ
ステム１５０の各プロセスパラメータは、異なるセンサを使用して測定され、異なる論理
エンジンによって実行される異なるアルゴリズムによって処理される。いくつかの態様で
は、中性子束センサは、停止状態から全出力の１２０パーセントまでの炉心からの中性子
束の測定を担う。ＭＰＳ２００内では、中性子源領域、中間領域、及び出力領域を含む３
つのタイプの中性子束検出器を使用することができる。
[0135]概して、信号調節器２０４ａ～２０４ｄは、センサ２０２ａ～２０２ｄからの測
定を受け取り、これらの測定を処理し、出力２０６ａ～２０６ｄを提供する。いくつかの
態様では、信号調節器２０４ａ～２０４ｄへのセンサ２０２ａ～２０２ｄの相互接続は、
専用の銅線又は何らかの他の信号伝送方法とすることができる。
定を受け取り、これらの測定を処理し、出力２０６ａ～２０６ｄを提供する。いくつかの
態様では、信号調節器２０４ａ～２０４ｄへのセンサ２０２ａ～２０２ｄの相互接続は、
専用の銅線又は何らかの他の信号伝送方法とすることができる。
[0136]信号調節器２０４ａ～２０４ｄは各々、図３Ａに示すように、複数の入力モジュ
ール２７０ａ～２７０ｎ（たとえば、センサ入力の数に応じて任意の数のモジュールを示
す）から構成することができ、入力モジュール２７０ａ～２７０ｎは、センサ２０２ａ～
２０２ｄからのフィールド入力の調節、測定、フィルタリング、及びサンプリングを担う
。各入力モジュール２７０ａ～２７０ｎは、２４Ｖ若しくは４８Ｖのデジタル入力、４～
２０ｍＡのアナログ入力、０～１０Ｖのアナログ入力、抵抗熱検出器入力、又は熱電対入
力などの特有の入力タイプに専用とすることができる。
ール２７０ａ～２７０ｎ（たとえば、センサ入力の数に応じて任意の数のモジュールを示
す）から構成することができ、入力モジュール２７０ａ～２７０ｎは、センサ２０２ａ～
２０２ｄからのフィールド入力の調節、測定、フィルタリング、及びサンプリングを担う
。各入力モジュール２７０ａ～２７０ｎは、２４Ｖ若しくは４８Ｖのデジタル入力、４～
２０ｍＡのアナログ入力、０～１０Ｖのアナログ入力、抵抗熱検出器入力、又は熱電対入
力などの特有の入力タイプに専用とすることができる。
[0137]各入力モジュール２７０ａ～２７０ｎは、アナログ回路及びデジタル回路から構
成することができる。アナログ回路は、アナログ電圧又は電流からデジタル表現への変換
を担う。アナログ回路はまた、信号調節回路とも呼ばれる。各入力モジュール２７０ａ～
２７０ｎのデジタル部分は、論理エンジン内に位置することができる。論理エンジンは、
すべての入力モジュールの制御、サンプルアンドホールドフィルタリング、完全性チェッ
ク、自己試験、及びデジタルフィルタリング機能を実行する。センサ出力のデジタル表現
は、いくつかの例では直列インタフェースを使用して、出力２０６ａ～２０６ｄを通って
、信号調節器２０４ａ～２０４ｄからトリップ判定２０８ａ～２０８ｄへ通信される。
成することができる。アナログ回路は、アナログ電圧又は電流からデジタル表現への変換
を担う。アナログ回路はまた、信号調節回路とも呼ばれる。各入力モジュール２７０ａ～
２７０ｎのデジタル部分は、論理エンジン内に位置することができる。論理エンジンは、
すべての入力モジュールの制御、サンプルアンドホールドフィルタリング、完全性チェッ
ク、自己試験、及びデジタルフィルタリング機能を実行する。センサ出力のデジタル表現
は、いくつかの例では直列インタフェースを使用して、出力２０６ａ～２０６ｄを通って
、信号調節器２０４ａ～２０４ｄからトリップ判定２０８ａ～２０８ｄへ通信される。
[0138]図３Ａを同様に参照すると、トリップ判定２０８ａ～２０８ｄは、概して、直列
インタフェースを介して、上述した信号調節器２０４ａ～２０４ｄからのセンサ入力値を
デジタル形式で受け取る。トリップ判定２０８ａ～２０８ｄは各々、独立した安全機能モ
ジュール（ＳＦＭ）２７２ａ～２７２ｎ（図５を参照してより詳細に説明する）から構成
され、特有のモジュールが、１組の安全機能を実施する（たとえば、１組は、特定のプロ
セスパラメータに関係する単一の安全機能又は複数の安全機能とすることができる）。た
とえば、１組の安全機能は、同じ圧力入力からの高トリップ及び低トリップなど、１次変
数に関係する１群の機能からなることができる。各ＳＦＭ２７２ａ～２７２ｎは、１組の
安全機能の実施に専用の一意の論理エンジンを含む。この結果、各組の安全機能のゲート
レベルの実施形態は、すべての他の組の安全機能とは完全に異なる。
インタフェースを介して、上述した信号調節器２０４ａ～２０４ｄからのセンサ入力値を
デジタル形式で受け取る。トリップ判定２０８ａ～２０８ｄは各々、独立した安全機能モ
ジュール（ＳＦＭ）２７２ａ～２７２ｎ（図５を参照してより詳細に説明する）から構成
され、特有のモジュールが、１組の安全機能を実施する（たとえば、１組は、特定のプロ
セスパラメータに関係する単一の安全機能又は複数の安全機能とすることができる）。た
とえば、１組の安全機能は、同じ圧力入力からの高トリップ及び低トリップなど、１次変
数に関係する１群の機能からなることができる。各ＳＦＭ２７２ａ～２７２ｎは、１組の
安全機能の実施に専用の一意の論理エンジンを含む。この結果、各組の安全機能のゲート
レベルの実施形態は、すべての他の組の安全機能とは完全に異なる。
[0139]センサ入力値（たとえば、出力２０６ａ～２０６ｄ）は、決定論的経路を介して
通信することができ、各トリップ判定２０８ａ～２０８ｄ内の特有のＳＦＭ２７２ａ～２
７２ｎへ提供される。次いで、これらの入力値を工学単位に変換し、どの安全機能又はど
の組の安全機能がその特有のＳＦＭ２７２ａ～２７２ｎで実施されるかを判定することが
できる。トリップ判定２０８ａ～２０８ｄは、いくつかの例では隔離された伝送専用の光
ファイバ接続を介して、これらの工学単位値を制御システムへ提供する。
通信することができ、各トリップ判定２０８ａ～２０８ｄ内の特有のＳＦＭ２７２ａ～２
７２ｎへ提供される。次いで、これらの入力値を工学単位に変換し、どの安全機能又はど
の組の安全機能がその特有のＳＦＭ２７２ａ～２７２ｎで実施されるかを判定することが
できる。トリップ判定２０８ａ～２０８ｄは、いくつかの例では隔離された伝送専用の光
ファイバ接続を介して、これらの工学単位値を制御システムへ提供する。
[0140]各トリップ判定２０８ａ～２０８ｄ内のＳＦＭは、必要とされる場合、所定の設
定点に基づいて原子炉トリップ判定を行い、隔離された、場合により３重冗長な、伝送専
用の直列接続を介して、トリップ又は非トリップ要求信号を各ＲＴＳディビジョン（たと
えば、それぞれディビジョンＩ及びＩＩのＲＴＳ投票２１４及び２１６）へ提供する。Ｓ
ＦＭはまた、必要とされる場合、所定の設定点に基づいてＥＳＦＡＳ作動判定を行い、隔
離された、場合により３重冗長な、伝送専用の直列接続を介して、作動又は作動禁止要求
信号を各ＥＳＦＡＳディビジョン（たとえば、それぞれディビジョンＩ及びＩＩのＥＳＦ
ＡＳ投票２１２及び２１８）へ提供する。
定点に基づいて原子炉トリップ判定を行い、隔離された、場合により３重冗長な、伝送専
用の直列接続を介して、トリップ又は非トリップ要求信号を各ＲＴＳディビジョン（たと
えば、それぞれディビジョンＩ及びＩＩのＲＴＳ投票２１４及び２１６）へ提供する。Ｓ
ＦＭはまた、必要とされる場合、所定の設定点に基づいてＥＳＦＡＳ作動判定を行い、隔
離された、場合により３重冗長な、伝送専用の直列接続を介して、作動又は作動禁止要求
信号を各ＥＳＦＡＳディビジョン（たとえば、それぞれディビジョンＩ及びＩＩのＥＳＦ
ＡＳ投票２１２及び２１８）へ提供する。
[0141]図３Ａ～３Ｂに示すように、たとえば、特定のトリップ判定２０８ａは、出力２
７４ａを通ってＥＳＦＡＳ投票２１２へ、出力２７４ｂを通ってＥＳＦＡＳ投票２１８へ
、トリップ又は非トリップ要求信号を提供する。トリップ判定２０８ａは、出力２７６ａ
を通ってＲＴＳ投票２１４へ、出力２７６ｂを通ってＲＴＳ投票２１６へ、トリップ又は
非トリップ要求信号を提供する。これらの出力はまた、それぞれトリップ判定２０８ａ～
２０８ｄからの出力２１０ａ～２１０ｄとして、概して図２Ａにも示されている。
７４ａを通ってＥＳＦＡＳ投票２１２へ、出力２７４ｂを通ってＥＳＦＡＳ投票２１８へ
、トリップ又は非トリップ要求信号を提供する。トリップ判定２０８ａは、出力２７６ａ
を通ってＲＴＳ投票２１４へ、出力２７６ｂを通ってＲＴＳ投票２１６へ、トリップ又は
非トリップ要求信号を提供する。これらの出力はまた、それぞれトリップ判定２０８ａ～
２０８ｄからの出力２１０ａ～２１０ｄとして、概して図２Ａにも示されている。
[0142]図３Ａにさらに示すように、たとえば、特定のトリップ判定２０８ａは、トリッ
プ又は非トリップ要求信号を、監視＆標示（Ｍ＆Ｉ）出力２７８ａ及び２７８ｂ（ディビ
ジョンごとに１つ）、並びに非１Ｅ出力２８０へ提供する。出力２７８ａ及び２７８ｂは
、不安全制御機能のために、ＭＣＳへプロセス情報を提供する。出力２８０は、プロセス
情報及びトリップ状態情報を非１Ｅ制御及び標示部１４４へ提供する。
プ又は非トリップ要求信号を、監視＆標示（Ｍ＆Ｉ）出力２７８ａ及び２７８ｂ（ディビ
ジョンごとに１つ）、並びに非１Ｅ出力２８０へ提供する。出力２７８ａ及び２７８ｂは
、不安全制御機能のために、ＭＣＳへプロセス情報を提供する。出力２８０は、プロセス
情報及びトリップ状態情報を非１Ｅ制御及び標示部１４４へ提供する。
[0143]図２Ａへ戻ると、各ＲＴＳディビジョン（たとえば、ディビジョンＩに対するＲ
ＴＳ投票２１４及びディビジョンＩＩに対するＲＴＳ投票２１６）は、隔離された、いく
つかの態様では冗長な（たとえば、２重、３重、又はその他）、受取り専用の直列接続２
１０ａ～２１０ｄを介して、上述したトリップ判定２０８ａ～２０８ｄから入力を受け取
る。トリップ入力は、ＲＴＳ投票論理で組み合わせられ、その結果、トリップ判定２０８
ａ～２０８ｄからの２つ以上の原子炉トリップ入力が、出力２２８ａ～２２８ｄ及び２３
０ａ～２３０ｄ（各ディビジョンに適当）で、自動原子炉トリップ出力信号を生じさせ、
出力２２８ａ～２２８ｄ及び２３０ａ～２３０ｄは、それぞれのディビジョンに関連付け
られた８つの原子炉トリップ遮断器（ＲＴＢ）（図２Ｂに示す）のうちの４つに対するト
リップコイルを作動させる。言い換えれば、ＭＰＳ２００のこの例示的な実施形態では、
ＲＴＳ投票論理は、「ツーアウトオブフォー」論理で機能し、これは、４つのトリップ判
定２０８ａ～２０８ｄのうちの少なくとも２つが、原子炉「トリップ」が必要であること
を示した場合、トリップ信号がＲＴＢ２６４ａ～２６４ｄ及び２６６ａ～２６６ｄの各々
へ送られることを意味する。この遮断器構成により、ＭＰＳ２００の安全かつ簡潔なオン
ライン試験が可能になる。
ＴＳ投票２１４及びディビジョンＩＩに対するＲＴＳ投票２１６）は、隔離された、いく
つかの態様では冗長な（たとえば、２重、３重、又はその他）、受取り専用の直列接続２
１０ａ～２１０ｄを介して、上述したトリップ判定２０８ａ～２０８ｄから入力を受け取
る。トリップ入力は、ＲＴＳ投票論理で組み合わせられ、その結果、トリップ判定２０８
ａ～２０８ｄからの２つ以上の原子炉トリップ入力が、出力２２８ａ～２２８ｄ及び２３
０ａ～２３０ｄ（各ディビジョンに適当）で、自動原子炉トリップ出力信号を生じさせ、
出力２２８ａ～２２８ｄ及び２３０ａ～２３０ｄは、それぞれのディビジョンに関連付け
られた８つの原子炉トリップ遮断器（ＲＴＢ）（図２Ｂに示す）のうちの４つに対するト
リップコイルを作動させる。言い換えれば、ＭＰＳ２００のこの例示的な実施形態では、
ＲＴＳ投票論理は、「ツーアウトオブフォー」論理で機能し、これは、４つのトリップ判
定２０８ａ～２０８ｄのうちの少なくとも２つが、原子炉「トリップ」が必要であること
を示した場合、トリップ信号がＲＴＢ２６４ａ～２６４ｄ及び２６６ａ～２６６ｄの各々
へ送られることを意味する。この遮断器構成により、ＭＰＳ２００の安全かつ簡潔なオン
ライン試験が可能になる。
[0144]手動トリップ２５０ａが、ＲＴＢ２６６ａ～２６６ｄ（ディビジョンＩ）の直接
トリップを提供し、手動トリップ２５０ｂが、ＲＴＢ２６４ａ～２６４ｄ（ディビジョン
ＩＩ）の直接トリップを提供し、並びに自動作動手動トリップ２３４（ディビジョンＩ）
及び手動トリップ２３６（ディビジョンＩＩ）への入力を提供して、シーケンスが維持さ
れることを確実にする。
トリップを提供し、手動トリップ２５０ｂが、ＲＴＢ２６４ａ～２６４ｄ（ディビジョン
ＩＩ）の直接トリップを提供し、並びに自動作動手動トリップ２３４（ディビジョンＩ）
及び手動トリップ２３６（ディビジョンＩＩ）への入力を提供して、シーケンスが維持さ
れることを確実にする。
[0145]さらに示すように、各ＲＴＢ２６４ａ～２６４ｄ及び各ＲＴＢ２６６ａ～２６６
ｄは、入力として、手動トリップ２５０ａ又は２５０ｂを含む。したがって、両方の手動
トリップ２５０ａ及び２５０ｂ（たとえば、ディビジョンＩ及びＩＩに対する各手動トリ
ップ）が開始された場合、入力２３０ａ～２３０ｄ及び入力２２８ａ～２２８ｄへの状態
（たとえば、トリップ又は非トリップ）にかかわらず、電力入力２６０は電力出力２６２
へ伝送されない。
ｄは、入力として、手動トリップ２５０ａ又は２５０ｂを含む。したがって、両方の手動
トリップ２５０ａ及び２５０ｂ（たとえば、ディビジョンＩ及びＩＩに対する各手動トリ
ップ）が開始された場合、入力２３０ａ～２３０ｄ及び入力２２８ａ～２２８ｄへの状態
（たとえば、トリップ又は非トリップ）にかかわらず、電力入力２６０は電力出力２６２
へ伝送されない。
[0146]例示的な実施形態では、ＥＳＦＡＳ投票及び論理は、必要とされるセーフガード
作動を単一故障が妨げることがなく、トリップ判定信号（たとえば、２１０ａ～２１０ｄ
）内の単一故障が不必要なセーフガード作動を生成することがないように配置される。Ｅ
ＳＦＡＳシステムは、緊急炉心冷却システム及び崩壊熱除去システムなどの重要なシステ
ムの自動及び手動両方の開始を提供することができる。
作動を単一故障が妨げることがなく、トリップ判定信号（たとえば、２１０ａ～２１０ｄ
）内の単一故障が不必要なセーフガード作動を生成することがないように配置される。Ｅ
ＳＦＡＳシステムは、緊急炉心冷却システム及び崩壊熱除去システムなどの重要なシステ
ムの自動及び手動両方の開始を提供することができる。
[0147]各ＥＳＦＡＳ投票２１２／２１８は、隔離された３重冗長の受取り専用の光ファ
イバ（又は他の通信技法）接続を介して、トリップ判定２０８ａ～２０８ｄから入力２１
０ａ～２１０ｄを受け取る。作動論理及び投票は、ＥＳＦＡＳ投票２１２／２１８内で行
われる。ＥＳＦＡＳ投票２１２／２１８が、作動が必要とされると判定したとき、ＥＳＦ
ＡＳ投票２１２／２１８は、作動要求信号をそれぞれＥＳＦＡＳ優先論理２２０／２２２
へ送り、ＥＳＦＡＳ優先論理２２０／２２２は、適当なＥＳＦ機器２２４及び２２６を作
動させる。
イバ（又は他の通信技法）接続を介して、トリップ判定２０８ａ～２０８ｄから入力２１
０ａ～２１０ｄを受け取る。作動論理及び投票は、ＥＳＦＡＳ投票２１２／２１８内で行
われる。ＥＳＦＡＳ投票２１２／２１８が、作動が必要とされると判定したとき、ＥＳＦ
ＡＳ投票２１２／２１８は、作動要求信号をそれぞれＥＳＦＡＳ優先論理２２０／２２２
へ送り、ＥＳＦＡＳ優先論理２２０／２２２は、適当なＥＳＦ機器２２４及び２２６を作
動させる。
[0148]図２Ａ～２Ｂ及び図３Ａ～３Ｂに示すＭＰＳ２００の実施形態は、主要要素間で
高いレベルの非依存性を確実にする。これは、センサ及び検出器２０２ａ～２０２ｄの４
つの分離グループと、トリップ判定（「ａ」～「ｄ」で表記）の４つの分離グループと、
ＲＴＳ２１４／２１６（記載のディビジョンＩ及びディビジョンＩＩ）の２つのディビジ
ョンと、ＥＳＦＡＳ回路２１２／２１８（記載のディビジョンＩ及びディビジョンＩＩ）
の２つのディビジョンと、ＥＳＦ機器２２４／２２６（記載のディビジョンＩ及びディビ
ジョンＩＩ）の２つのディビジョンとの間の非依存性を含む。ＳＦＭ（たとえば、トリッ
プ判定２０８ａ～２０８ｄ内）への入力に基づいて、ＭＰＳ２００は、４つの分離グルー
プの各々において、１組の安全機能を独立して実施する。安全機能の非依存性は、センサ
２０２ａ～２０２ｄからトリップ判定出力２１０ａ～２１０ｄまで維持される。いくつか
の態様では、この構成により、ＳＦＭ故障がそのモジュールの入力に基づくものに制限さ
れる。この方策は、共通原因故障の影響を制限し、信号多様性を強化することができる。
この非依存性の方法はまた、独立した安全機能内の故障が、他の安全機能モジュールのい
ずれにも波及しないことを確実にすることができる。さらに、失敗したＳＦＭのオンライ
ン交換により、他のモジュールに対する影響をもしあれば最小にして、故障を補正するこ
とができることを確実にする。
高いレベルの非依存性を確実にする。これは、センサ及び検出器２０２ａ～２０２ｄの４
つの分離グループと、トリップ判定（「ａ」～「ｄ」で表記）の４つの分離グループと、
ＲＴＳ２１４／２１６（記載のディビジョンＩ及びディビジョンＩＩ）の２つのディビジ
ョンと、ＥＳＦＡＳ回路２１２／２１８（記載のディビジョンＩ及びディビジョンＩＩ）
の２つのディビジョンと、ＥＳＦ機器２２４／２２６（記載のディビジョンＩ及びディビ
ジョンＩＩ）の２つのディビジョンとの間の非依存性を含む。ＳＦＭ（たとえば、トリッ
プ判定２０８ａ～２０８ｄ内）への入力に基づいて、ＭＰＳ２００は、４つの分離グルー
プの各々において、１組の安全機能を独立して実施する。安全機能の非依存性は、センサ
２０２ａ～２０２ｄからトリップ判定出力２１０ａ～２１０ｄまで維持される。いくつか
の態様では、この構成により、ＳＦＭ故障がそのモジュールの入力に基づくものに制限さ
れる。この方策は、共通原因故障の影響を制限し、信号多様性を強化することができる。
この非依存性の方法はまた、独立した安全機能内の故障が、他の安全機能モジュールのい
ずれにも波及しないことを確実にすることができる。さらに、失敗したＳＦＭのオンライ
ン交換により、他のモジュールに対する影響をもしあれば最小にして、故障を補正するこ
とができることを確実にする。
[0149]図示のＭＰＳ２００内の安全機能データの通信は、３重モジュールで冗長な独立
した光学的に隔離された１方向通信経路を介して伝送され又は受け取られる。この通信方
式は、ディビジョン間投票とは別に、安全機能が、その安全機能を実現するために、その
ディビジョンの外側から生じたいかなる情報又は資源にも依存しないことを確実にするこ
とができる。１Ｅクラスのディビジョン（たとえば、ディビジョンＩ及びＩＩ）間の障害
波及は、ディビジョントリップ信号の１方向隔離（たとえば、光学的な隔離又はその他）
によって防止される。
した光学的に隔離された１方向通信経路を介して伝送され又は受け取られる。この通信方
式は、ディビジョン間投票とは別に、安全機能が、その安全機能を実現するために、その
ディビジョンの外側から生じたいかなる情報又は資源にも依存しないことを確実にするこ
とができる。１Ｅクラスのディビジョン（たとえば、ディビジョンＩ及びＩＩ）間の障害
波及は、ディビジョントリップ信号の１方向隔離（たとえば、光学的な隔離又はその他）
によって防止される。
[0150]図２Ａ～２Ｂ及び図３Ａ～３Ｂに示すＭＰＳ２００の実施形態は、図示のアーキ
テクチャの複数の区域内に冗長性をさらに組み込む。ＭＰＳ２００内の冗長性は、センサ
及び検出器（「ａ」～「ｄ」で表記）、トリップ判定（「ａ」～「ｄ」で表記）の４つの
分離グループと、ＲＴＳ及びＥＳＦＡＳ回路（記載のディビジョンＩ及びディビジョンＩ
Ｉ）の２つのディビジョンとを含む。ＭＰＳ２００はまた、ツーアウトオブフォー投票を
使用し、その結果、必要とされる原子炉トリップ又はＥＳＦ機器作動が生じることを開始
信号の単一故障が妨げないようにする。加えて、必要とされない擬似又は不注意の原子炉
トリップ又はＥＳＦ機器作動を開始信号の単一故障が引き起こさないようにする。
テクチャの複数の区域内に冗長性をさらに組み込む。ＭＰＳ２００内の冗長性は、センサ
及び検出器（「ａ」～「ｄ」で表記）、トリップ判定（「ａ」～「ｄ」で表記）の４つの
分離グループと、ＲＴＳ及びＥＳＦＡＳ回路（記載のディビジョンＩ及びディビジョンＩ
Ｉ）の２つのディビジョンとを含む。ＭＰＳ２００はまた、ツーアウトオブフォー投票を
使用し、その結果、必要とされる原子炉トリップ又はＥＳＦ機器作動が生じることを開始
信号の単一故障が妨げないようにする。加えて、必要とされない擬似又は不注意の原子炉
トリップ又はＥＳＦ機器作動を開始信号の単一故障が引き起こさないようにする。
[0151]ＭＰＳ２００はまた、各組の安全機能を実施することによって機能的非依存性を
組み込み、各組の安全機能は、その特定の組の安全機能に対して一意の論理エンジンによ
って、独立したＳＦＭで特定の過渡事象を軽減するために使用される。
組み込み、各組の安全機能は、その特定の組の安全機能に対して一意の論理エンジンによ
って、独立したＳＦＭで特定の過渡事象を軽減するために使用される。
[0152]いくつかの態様では、ＭＰＳ２００は、原子炉システムに対する簡潔で高信頼か
つ安全な設計を実現するための設計技法を実施する。たとえば、ＭＰＳ２００は、４つの
分離グループ及び２つのディビジョンの対称アーキテクチャに基づくことができる。４つ
の分離グループは各々、他の分離グループに機能的に同等とすることができ、２つのディ
ビジョンは各々、機能的に同等とすることができる。上述したように、ツーアウトオブフ
ォー投票は、図示の実施形態における唯一の投票方策とすることができる。別の例として
、ＭＰＳ２００の論理は、特定の安全機能又は安全機能の群に専用の有限状態機械内で実
施することができる（たとえば、有限状態機械は、１群のデジタル論理回路であり、有限
数の状態のうちの１つとすることができ、１度に１つの状態のみであり、これを現在状態
と呼ぶが、状態遷移などのトリガ事象又は１組の状態によって開始されると１つの状態か
ら別の状態へ変化させることができる）。したがって、カーネル又はオペレーティングシ
ステムは必要とされない。別の例として、ＭＰＳ２００内の通信は、決定論的プロトコル
に基づくことができ、すべての安全データは、冗長通信経路を介して通信される。別の例
として、ＭＰＳ２００の多様性属性は、完全に異なるプラットホームに基づく追加のシス
テムの追加の複雑さなく、アーキテクチャに固有となるように設計することができる。
つ安全な設計を実現するための設計技法を実施する。たとえば、ＭＰＳ２００は、４つの
分離グループ及び２つのディビジョンの対称アーキテクチャに基づくことができる。４つ
の分離グループは各々、他の分離グループに機能的に同等とすることができ、２つのディ
ビジョンは各々、機能的に同等とすることができる。上述したように、ツーアウトオブフ
ォー投票は、図示の実施形態における唯一の投票方策とすることができる。別の例として
、ＭＰＳ２００の論理は、特定の安全機能又は安全機能の群に専用の有限状態機械内で実
施することができる（たとえば、有限状態機械は、１群のデジタル論理回路であり、有限
数の状態のうちの１つとすることができ、１度に１つの状態のみであり、これを現在状態
と呼ぶが、状態遷移などのトリガ事象又は１組の状態によって開始されると１つの状態か
ら別の状態へ変化させることができる）。したがって、カーネル又はオペレーティングシ
ステムは必要とされない。別の例として、ＭＰＳ２００内の通信は、決定論的プロトコル
に基づくことができ、すべての安全データは、冗長通信経路を介して通信される。別の例
として、ＭＰＳ２００の多様性属性は、完全に異なるプラットホームに基づく追加のシス
テムの追加の複雑さなく、アーキテクチャに固有となるように設計することができる。
[0153]たとえば、図４Ａ～４Ｂは、それぞれ例示的なチャート４００及び４５０を示し
、チャート４００及び４５０は、ＭＰＳ２００内で実施される多層多様性方策が、ソフト
ウェア又はソフトウェア論理に基づく共通原因故障をどのように軽減するかを示す。チャ
ート４００及び４５０は、ＭＰＳ２００内で実施される多層多様性方策が、ＭＰＳ（たと
えば、ＭＰＳ２００）内のソフトウェア又はソフトウェア論理に基づくＣＣＦに対する問
題をどのようになくすことができるかを示す。これらの例では、過渡事象は、原子力シス
テムに対する給水の損失である。図示のように、２つの異なるプロセスパラメータＡ１及
びＡ２が測定される（たとえば、センサ２０２ａ～２０２ｄを介して）。図示のＡ１は温
度パラメータであり、図示のＡ２は圧力である。
、チャート４００及び４５０は、ＭＰＳ２００内で実施される多層多様性方策が、ソフト
ウェア又はソフトウェア論理に基づく共通原因故障をどのように軽減するかを示す。チャ
ート４００及び４５０は、ＭＰＳ２００内で実施される多層多様性方策が、ＭＰＳ（たと
えば、ＭＰＳ２００）内のソフトウェア又はソフトウェア論理に基づくＣＣＦに対する問
題をどのようになくすことができるかを示す。これらの例では、過渡事象は、原子力シス
テムに対する給水の損失である。図示のように、２つの異なるプロセスパラメータＡ１及
びＡ２が測定される（たとえば、センサ２０２ａ～２０２ｄを介して）。図示のＡ１は温
度パラメータであり、図示のＡ２は圧力である。
[0154]異なるプロセス測定Ａ１及びＡ２は、２つの異なる安全機能アルゴリズムへの入
力であり、図示のように（Ａ１）高温及び（Ａ２）高圧である。２つの安全機能アルゴリ
ズムは各々、分離グループ内で別個の独立したＳＦＭに位置する。安全機能アルゴリズム
は、異なる２組のプログラマブルデジタルハードウェア（Ａ／Ｃ及びＢ／Ｄ）を使用して
実施することができ、これはＭＰＳ２００に示すように、４つの分離グループ（Ａ、Ｂ、
Ｃ、Ｄ）と、２つのディビジョンとに分割される。たとえば、ここで、２つの安全機能は
、単一の組の安全機能を含む。各組（たとえば、２つの安全機能アルゴリズムからなる）
は、異なる技術に基づくことができる。
力であり、図示のように（Ａ１）高温及び（Ａ２）高圧である。２つの安全機能アルゴリ
ズムは各々、分離グループ内で別個の独立したＳＦＭに位置する。安全機能アルゴリズム
は、異なる２組のプログラマブルデジタルハードウェア（Ａ／Ｃ及びＢ／Ｄ）を使用して
実施することができ、これはＭＰＳ２００に示すように、４つの分離グループ（Ａ、Ｂ、
Ｃ、Ｄ）と、２つのディビジョンとに分割される。たとえば、ここで、２つの安全機能は
、単一の組の安全機能を含む。各組（たとえば、２つの安全機能アルゴリズムからなる）
は、異なる技術に基づくことができる。
[0155]設計多様性はまた、異なる組の設計ツールを使用する異なる設計チームによって
各組のプログラマブルデジタルハードウェアを設計することができるため、プロセスによ
って組み込まれる。一例として、安全機能（複数可）は、マイクロプロセッサ内で実施す
ることができる。この例では、安全機能（複数可）は、順次評価することができ、したが
っていくつかの態様では、処理ループの順次動作により、１つの安全機能（たとえば、Ａ
２）の別の安全機能（たとえば、Ａ１）に対する依存性を導入することができる。別の例
として、安全機能は、状態に基づくフィールドプログラマブルゲートアレイ（ＦＰＧＡ）
内で実施することができる。この例では、各安全機能は、すべての他の安全機能とは独立
して評価することができる。この後者の例では、１つの安全機能の別の安全機能に対する
処理のあらゆる依存性を除去することによって、非依存性の増大を確実にすることができ
る。
各組のプログラマブルデジタルハードウェアを設計することができるため、プロセスによ
って組み込まれる。一例として、安全機能（複数可）は、マイクロプロセッサ内で実施す
ることができる。この例では、安全機能（複数可）は、順次評価することができ、したが
っていくつかの態様では、処理ループの順次動作により、１つの安全機能（たとえば、Ａ
２）の別の安全機能（たとえば、Ａ１）に対する依存性を導入することができる。別の例
として、安全機能は、状態に基づくフィールドプログラマブルゲートアレイ（ＦＰＧＡ）
内で実施することができる。この例では、各安全機能は、すべての他の安全機能とは独立
して評価することができる。この後者の例では、１つの安全機能の別の安全機能に対する
処理のあらゆる依存性を除去することによって、非依存性の増大を確実にすることができ
る。
[0156]給水損失の過渡事象例に対する多層多様性は、ソフトウェアＣＣＦを１組（Ａ／
Ｃ）の特定の安全機能（Ａ１）に制限することによって、ＣＣＦが保護措置を不能にする
ことからの保護を提供する。いくつかの態様では、ソフトウェアＣＣＦは、２つの安全機
能間の機能的非依存性及び安全機能アルゴリズムが入力として使用するプロセス測定に基
づいて、特定の安全機能に制限される。いくつかの態様では、ソフトウェアＣＣＦは、各
組に対して異なるプログラマブルハードウェア、設計チーム、及び設計ツールを組み込む
ことによって、１組の特定の安全機能に限定される。ＣＣＦが１組の特定の安全機能に制
限されると、過渡事象は、他の組（Ｂ／Ｄ）のその安全機能（Ａ１）又は両方の組（Ａ／
Ｃ及びＢ／Ｄ）の第２の安全機能（Ａ２）によって軽減される。
Ｃ）の特定の安全機能（Ａ１）に制限することによって、ＣＣＦが保護措置を不能にする
ことからの保護を提供する。いくつかの態様では、ソフトウェアＣＣＦは、２つの安全機
能間の機能的非依存性及び安全機能アルゴリズムが入力として使用するプロセス測定に基
づいて、特定の安全機能に制限される。いくつかの態様では、ソフトウェアＣＣＦは、各
組に対して異なるプログラマブルハードウェア、設計チーム、及び設計ツールを組み込む
ことによって、１組の特定の安全機能に限定される。ＣＣＦが１組の特定の安全機能に制
限されると、過渡事象は、他の組（Ｂ／Ｄ）のその安全機能（Ａ１）又は両方の組（Ａ／
Ｃ及びＢ／Ｄ）の第２の安全機能（Ａ２）によって軽減される。
[0157]たとえば、図４Ａに示すように、すべての４つの分離グループ（Ａ、Ｂ、Ｃ、Ｄ
）（たとえば、チェックマークによって示す）によって保護措置を取る必要があることを
示すＡ１に対する安全機能の出力の結果、保護措置（たとえば、「トリップ」によって示
す）が開始される。図４Ｂに示すように、安全機能Ａ１に対する単一ディビジョン内の２
つのグループでも、２つの分離グループ（Ａ及びＣ）内にＣＣＦが存在する場合、他の分
離グループ（Ｂ及びＤ）内の保護措置の正の標示がそれでもなお、保護措置を開始するの
に十分な票を提供する（上述したツーアウトオブフォー方式）。さらに、安全機能Ａ１に
対するグループＡ及びＣ内のＣＣＦは、各ＳＦＭにおける独立した評価のため、安全機能
Ａ２へ波及しない。
）（たとえば、チェックマークによって示す）によって保護措置を取る必要があることを
示すＡ１に対する安全機能の出力の結果、保護措置（たとえば、「トリップ」によって示
す）が開始される。図４Ｂに示すように、安全機能Ａ１に対する単一ディビジョン内の２
つのグループでも、２つの分離グループ（Ａ及びＣ）内にＣＣＦが存在する場合、他の分
離グループ（Ｂ及びＤ）内の保護措置の正の標示がそれでもなお、保護措置を開始するの
に十分な票を提供する（上述したツーアウトオブフォー方式）。さらに、安全機能Ａ１に
対するグループＡ及びＣ内のＣＣＦは、各ＳＦＭにおける独立した評価のため、安全機能
Ａ２へ波及しない。
[0158]図５は、原子力システムに対するＩ＆ＣシステムのＭＰＳの安全機能モジュール
（ＳＦＭ）５００のブロック図を示す。図６は、原子力システムに対するＩ＆Ｃシステム
のＭＰＳの通信モジュール（ＣＭ）６００のブロック図を示す。図７は、原子力システム
に対するＩ＆ＣシステムのＭＰＳの機器インタフェースモジュール（ＥＩＭ）７００のブ
ロック図を示す。図８（以下に論じる）は、シャーシ（たとえば、１つ又は複数のＳＦＭ
５００、ＣＭ６００、及びＥＩＭ７００を相互接続する機械構造）内の通信経路を示す。
概して、シャーシ（後述するシャーシ８００によって示す）内で相互接続された図示のモ
ジュール５００、６００、及び７００は、ＭＰＳ２００の安全機能を実施し、分離グルー
プレベルモジュール（たとえば、信号調節器２０４ａ～２０４ｄ、トリップ判定２０８ａ
～２０８ｄ）、ＲＴＳレベルモジュール（たとえば、ＲＴＳ投票２１４／２１６）、及び
ＥＳＦＡＳレベルモジュール（たとえば、ＥＳＦＡＳ投票２１２／２１８）を構成する。
いくつかの態様では、３つのタイプのモジュール（５００、６００、及び７００）を有す
ることで、ライン交換可能ユニットの数を最小にし、以て陳腐化を最小にすることができ
る。さらに、これらのモジュール（５００、６００、及び７００）は、いずれかの個々の
モジュール（５００、６００、及び７００）内の単一故障が他のモジュール又は他の安全
機能へ波及しないように、機能的に独立したものとすることができる。さらに、図８で実
施されるモジュール（５００、６００、及び７００）の組合せは、個別の決定論的安全信
号経路を提供することができる。
（ＳＦＭ）５００のブロック図を示す。図６は、原子力システムに対するＩ＆Ｃシステム
のＭＰＳの通信モジュール（ＣＭ）６００のブロック図を示す。図７は、原子力システム
に対するＩ＆ＣシステムのＭＰＳの機器インタフェースモジュール（ＥＩＭ）７００のブ
ロック図を示す。図８（以下に論じる）は、シャーシ（たとえば、１つ又は複数のＳＦＭ
５００、ＣＭ６００、及びＥＩＭ７００を相互接続する機械構造）内の通信経路を示す。
概して、シャーシ（後述するシャーシ８００によって示す）内で相互接続された図示のモ
ジュール５００、６００、及び７００は、ＭＰＳ２００の安全機能を実施し、分離グルー
プレベルモジュール（たとえば、信号調節器２０４ａ～２０４ｄ、トリップ判定２０８ａ
～２０８ｄ）、ＲＴＳレベルモジュール（たとえば、ＲＴＳ投票２１４／２１６）、及び
ＥＳＦＡＳレベルモジュール（たとえば、ＥＳＦＡＳ投票２１２／２１８）を構成する。
いくつかの態様では、３つのタイプのモジュール（５００、６００、及び７００）を有す
ることで、ライン交換可能ユニットの数を最小にし、以て陳腐化を最小にすることができ
る。さらに、これらのモジュール（５００、６００、及び７００）は、いずれかの個々の
モジュール（５００、６００、及び７００）内の単一故障が他のモジュール又は他の安全
機能へ波及しないように、機能的に独立したものとすることができる。さらに、図８で実
施されるモジュール（５００、６００、及び７００）の組合せは、個別の決定論的安全信
号経路を提供することができる。
[0159]いくつかの態様では、モジュール（５００、６００、及び７００）は、機能的非
依存性を少なくとも部分的に定義する１つ又は複数の特徴を有することができる。たとえ
ば、モジュールは各々、全体的なシステム／アーキテクチャ（たとえば、ＭＰＳ２００）
内で、互いのモジュールに対して完全に自律的とすることができる。別の例として、モジ
ュールは各々、全体的なシステム／アーキテクチャ内で特定の所期の安全機能を互いのモ
ジュールに対して自律的に実行することができる。さらに別の例として、モジュールは各
々、モジュールの特定の所期の安全機能に特有である専用の論理を含むことができる。し
たがって、機能的に独立した各モジュールは、あらゆる他のモジュールからの論理又は機
能に依存しないで、特定の所期の安全機能を完成させることができる。
依存性を少なくとも部分的に定義する１つ又は複数の特徴を有することができる。たとえ
ば、モジュールは各々、全体的なシステム／アーキテクチャ（たとえば、ＭＰＳ２００）
内で、互いのモジュールに対して完全に自律的とすることができる。別の例として、モジ
ュールは各々、全体的なシステム／アーキテクチャ内で特定の所期の安全機能を互いのモ
ジュールに対して自律的に実行することができる。さらに別の例として、モジュールは各
々、モジュールの特定の所期の安全機能に特有である専用の論理を含むことができる。し
たがって、機能的に独立した各モジュールは、あらゆる他のモジュールからの論理又は機
能に依存しないで、特定の所期の安全機能を完成させることができる。
[0160]図５を参照すると、ＳＦＭ５００は、図示のように、他のＳＦＭからのセンサ入
力又はデータを処理して、特定のＳＦＭが割り当てられた分離グループ（たとえば、分離
グループＡ、Ｂ、Ｃ、又はＤ）に対する原子炉トリップ及び／又はＥＳＦ作動判定を行う
。ＳＦＭ５００は、（１）安全データバス通信、並びに原子炉トリップ及び／又はＥＳＦ
作動によるセンサ信号調節、並びに（２）原子炉トリップ判定及び／又はＥＳＦ作動判定
による安全データバス通信という２つの別個の構成で使用することができる。
力又はデータを処理して、特定のＳＦＭが割り当てられた分離グループ（たとえば、分離
グループＡ、Ｂ、Ｃ、又はＤ）に対する原子炉トリップ及び／又はＥＳＦ作動判定を行う
。ＳＦＭ５００は、（１）安全データバス通信、並びに原子炉トリップ及び／又はＥＳＦ
作動によるセンサ信号調節、並びに（２）原子炉トリップ判定及び／又はＥＳＦ作動判定
による安全データバス通信という２つの別個の構成で使用することができる。
[0161]図示のように、ＳＦＭ５００は、概して、入力ブロック５０４、機能的論理ブロ
ック５１２、並びに通信ブロック５１４、５１６、及び５１８を含む。各入力ブロック５
０４（図５には４つを示す）は、信号調節回路５０６、アナログ－デジタル（Ａ／Ｄ）変
換器５０８、及び直列インタフェース５１０からなる。各入力ブロック５０４は、センサ
５０２（たとえば、センサ２０２ａ～２０２ｄと同じ又は類似とすることができる）に通
信可能に結合される。図示のように、個々のＳＦＭ５００は、最大４つの入力ブロック５
０４（図示の例示的な実施形態では）を取り扱うことができる。入力タイプは、ＳＦＭ５
００がパーミッシブ及びインタロックの生成を含むトリップ又はＥＳＦ作動判定を行うた
めに必要とするはずのアナログ及びデジタルの任意の組合せ（たとえば、４～２０ｍＡ、
１０～５０ｍＡ、０～１０Ｖ）とすることができる。
ック５１２、並びに通信ブロック５１４、５１６、及び５１８を含む。各入力ブロック５
０４（図５には４つを示す）は、信号調節回路５０６、アナログ－デジタル（Ａ／Ｄ）変
換器５０８、及び直列インタフェース５１０からなる。各入力ブロック５０４は、センサ
５０２（たとえば、センサ２０２ａ～２０２ｄと同じ又は類似とすることができる）に通
信可能に結合される。図示のように、個々のＳＦＭ５００は、最大４つの入力ブロック５
０４（図示の例示的な実施形態では）を取り扱うことができる。入力タイプは、ＳＦＭ５
００がパーミッシブ及びインタロックの生成を含むトリップ又はＥＳＦ作動判定を行うた
めに必要とするはずのアナログ及びデジタルの任意の組合せ（たとえば、４～２０ｍＡ、
１０～５０ｍＡ、０～１０Ｖ）とすることができる。
[0162]機能的論理ブロック５１２は、ＳＦＭ５００のうち、入力ブロック５０４（使用
される場合）の直列インタフェース５１０からの出力を工学単位に変換するプログラマブ
ル部分である。機能的論理ブロック５１２はまた、入力ブロック５０４の出力（たとえば
、センサ５０２からのセンサ測定）及び／又は安全データバスからの情報に基づいて、ト
リップ及び／又はＥＳＦ作動判定を行うことができる。機能的論理ブロック５１２はまた
、パーミッシブ及び制御インタロックを生成することができる。図示のように、機能的論
理ブロック５１２は、入力ブロック５０４及び／又は安全データバスから得た情報を利用
してトリップ又はＥＳＦ作動判定を行う複数の決定論的論理エンジンを含む。
される場合）の直列インタフェース５１０からの出力を工学単位に変換するプログラマブ
ル部分である。機能的論理ブロック５１２はまた、入力ブロック５０４の出力（たとえば
、センサ５０２からのセンサ測定）及び／又は安全データバスからの情報に基づいて、ト
リップ及び／又はＥＳＦ作動判定を行うことができる。機能的論理ブロック５１２はまた
、パーミッシブ及び制御インタロックを生成することができる。図示のように、機能的論
理ブロック５１２は、入力ブロック５０４及び／又は安全データバスから得た情報を利用
してトリップ又はＥＳＦ作動判定を行う複数の決定論的論理エンジンを含む。
[0163]機能的論理ブロック５１２によって利用される設定点及び他の調整可能な情報は
、不揮発性メモリ内（たとえば、ＳＦＭ５００上）に記憶することができる。これにより
、根本的な論理の修正なく変更を可能にすることができる。さらに、機能、信号、及びソ
フトウェア多様性を実施するために、ＡＯＯ又はＰＡを軽減するために使用される１次及
び補助機能は、同じＳＦＭ５００上には位置しない。したがって、１つの機能又は１群の
機能に専用のＳＦＭ５００を使用し、１次及び補助機能が別個のモジュール５００上にあ
ることを確実にすることによって、各モジュール５００上の一意の論理及びアルゴリズム
のため、ソフトウェアＣＣＦの影響が制限される。
、不揮発性メモリ内（たとえば、ＳＦＭ５００上）に記憶することができる。これにより
、根本的な論理の修正なく変更を可能にすることができる。さらに、機能、信号、及びソ
フトウェア多様性を実施するために、ＡＯＯ又はＰＡを軽減するために使用される１次及
び補助機能は、同じＳＦＭ５００上には位置しない。したがって、１つの機能又は１群の
機能に専用のＳＦＭ５００を使用し、１次及び補助機能が別個のモジュール５００上にあ
ることを確実にすることによって、各モジュール５００上の一意の論理及びアルゴリズム
のため、ソフトウェアＣＣＦの影響が制限される。
[0164]通信ブロック５１４／５１６／５１８は、５つの別個の通信ポート（たとえば、
５１４と表記する３つの安全データポート、５１６と表記する１つのポート、及び５１８
と表記する１つのポート）からなる。各ポートは、機能的に独立したものとすることがで
き、監視及び標示（Ｍ／Ｉ）バス（たとえば、ブロック５１６）、保守ワークステーショ
ン（ＭＷＳ）バス（たとえば、ブロック５１８）、又は安全バス（たとえば、ブロック５
１４）と呼ばれる。各安全データバス５１４は、同じデータを通信することができるが、
各通信ポートは非同期であり、ポートは、異なる独立した一意の通信エンジンを使用する
ことによって、データを別々にパッケージ化して伝送する。たとえば、１つの安全データ
バス５１４は、たとえば、１０パケットのデータを順次（たとえば、１、、．．．、１０
）伝送することができ、別の安全バス５１４は、同じ１０パケットを逆の順序（たとえば
、１０、９、．．、１）で伝送し、第３の安全バス５１４は、偶数のパケットをまず伝送
し、それに続いて奇数のパケットを伝送する（たとえば、２、４、．．１０、１、３、．
．、９）。この３重のモジュール冗長性及び多様性は、通信エラー検出を可能にするだけ
ではなく、正確なトリップ及び／又は作動判定を行うためのＲＴＳ又はＥＳＦＡＳの能力
に影響を及ぼすことなく、通信ＣＣＦを特定のバスに制限する。
５１４と表記する３つの安全データポート、５１６と表記する１つのポート、及び５１８
と表記する１つのポート）からなる。各ポートは、機能的に独立したものとすることがで
き、監視及び標示（Ｍ／Ｉ）バス（たとえば、ブロック５１６）、保守ワークステーショ
ン（ＭＷＳ）バス（たとえば、ブロック５１８）、又は安全バス（たとえば、ブロック５
１４）と呼ばれる。各安全データバス５１４は、同じデータを通信することができるが、
各通信ポートは非同期であり、ポートは、異なる独立した一意の通信エンジンを使用する
ことによって、データを別々にパッケージ化して伝送する。たとえば、１つの安全データ
バス５１４は、たとえば、１０パケットのデータを順次（たとえば、１、、．．．、１０
）伝送することができ、別の安全バス５１４は、同じ１０パケットを逆の順序（たとえば
、１０、９、．．、１）で伝送し、第３の安全バス５１４は、偶数のパケットをまず伝送
し、それに続いて奇数のパケットを伝送する（たとえば、２、４、．．１０、１、３、．
．、９）。この３重のモジュール冗長性及び多様性は、通信エラー検出を可能にするだけ
ではなく、正確なトリップ及び／又は作動判定を行うためのＲＴＳ又はＥＳＦＡＳの能力
に影響を及ぼすことなく、通信ＣＣＦを特定のバスに制限する。
[0165]図６を参照すると、ＣＭ６００は、原子力システムに対するＩ＆ＣシステムのＭ
ＰＳ（たとえば、ＭＰＳ２００）の分離グループレベルの相互接続、ＲＴＳレベルの相互
接続、及びＥＳＦＡＳレベルの相互接続において、ＳＦＭ５００及びＥＩＭ７００などの
ＭＰＳの他のモジュール間で、独立した冗長な通信を提供する。たとえば、ＣＭ６００は
、ＭＰＳ内でデータを通過させるためのパイプライン、並びにそのようなデータ通過のス
ケジューラとすることができる。ＣＭ６００は、任意の特定のチャネル内で、そのチャネ
ル内のデータの動作／通過を制御することができる。ＣＭ６００の図示の実施形態では、
制限された通信ブロック（ＲＣＢ）６０４、通信スケジューラ６０６、及び通信ブロック
６０８／６１０という３つのタイプのブロックが存在する。
ＰＳ（たとえば、ＭＰＳ２００）の分離グループレベルの相互接続、ＲＴＳレベルの相互
接続、及びＥＳＦＡＳレベルの相互接続において、ＳＦＭ５００及びＥＩＭ７００などの
ＭＰＳの他のモジュール間で、独立した冗長な通信を提供する。たとえば、ＣＭ６００は
、ＭＰＳ内でデータを通過させるためのパイプライン、並びにそのようなデータ通過のス
ケジューラとすることができる。ＣＭ６００は、任意の特定のチャネル内で、そのチャネ
ル内のデータの動作／通過を制御することができる。ＣＭ６００の図示の実施形態では、
制限された通信ブロック（ＲＣＢ）６０４、通信スケジューラ６０６、及び通信ブロック
６０８／６１０という３つのタイプのブロックが存在する。
[0166]ＲＣＢ６０４は、図示のように、４つの通信ポートからなる。いくつかの態様で
は、各ポートは、異なる単方向経路（たとえば、受取り専用又は伝送専用）になるように
構成することができる。いくつかの実施形態では、図示のＣＭ６００のように、特定のＲ
ＣＢ６０４から受け取られ又は送られる情報は、光アイソレータ６０２を通って渡される
。場合により、光アイソレータ６０２は、任意の特定のトリップ判定からのデータが他の
トリップ判定のデータから隔離されることを確実にするのを助け、以て独立した冗長性を
確実にすることができる。
は、各ポートは、異なる単方向経路（たとえば、受取り専用又は伝送専用）になるように
構成することができる。いくつかの実施形態では、図示のＣＭ６００のように、特定のＲ
ＣＢ６０４から受け取られ又は送られる情報は、光アイソレータ６０２を通って渡される
。場合により、光アイソレータ６０２は、任意の特定のトリップ判定からのデータが他の
トリップ判定のデータから隔離されることを確実にするのを助け、以て独立した冗長性を
確実にすることができる。
[0167]通信スケジューラ６０６は、通信ブロック６０８／６１０とＲＣＢ６０４との間
のデータの移動を担う。いくつかの態様では、通信エンジン６０６は、記載の相互接続間
の通信をスケジュールするようにプログラムされたＦＰＧＡなどのプログラマブル論理、
マイクロプロセッサ、又は他の個別の論理からなる。
のデータの移動を担う。いくつかの態様では、通信エンジン６０６は、記載の相互接続間
の通信をスケジュールするようにプログラムされたＦＰＧＡなどのプログラマブル論理、
マイクロプロセッサ、又は他の個別の論理からなる。
[0168]通信ブロック６０８／６１０は、４つの別個の通信ポート（たとえば、６０８と
表記する３つの安全データポート及び６１０と表記する１つのポート）からなる。各ポー
トは、機能的に独立したものとすることができ、監視及び標示（Ｍ／Ｉ）バス（たとえば
、ブロック６１０）又は安全データバス（たとえば、ブロック６０８）と呼ばれる。いく
つかの態様では、Ｍ／Ｉバス６１０は、ＭＰＳ内のすべてのモジュール（たとえば、モジ
ュール５００、６００、及び７００）から、そのようなモジュールの各々の状態を含む情
報を集めることができ、その情報を「ヒストリアン」ステーション（たとえば、ＭＰＳの
履歴データに対する専用の計算システム）へ送る。
表記する３つの安全データポート及び６１０と表記する１つのポート）からなる。各ポー
トは、機能的に独立したものとすることができ、監視及び標示（Ｍ／Ｉ）バス（たとえば
、ブロック６１０）又は安全データバス（たとえば、ブロック６０８）と呼ばれる。いく
つかの態様では、Ｍ／Ｉバス６１０は、ＭＰＳ内のすべてのモジュール（たとえば、モジ
ュール５００、６００、及び７００）から、そのようなモジュールの各々の状態を含む情
報を集めることができ、その情報を「ヒストリアン」ステーション（たとえば、ＭＰＳの
履歴データに対する専用の計算システム）へ送る。
[0169]各安全データバス６０８は、同じデータを通信することができるが、各通信ポー
トは、バス５１４を参照して上述したように、データを別々にパッケージ化して伝送する
。通信モジュールの応用例に応じて、４つの通信ブロック６０８／６１０は、単方向及び
双方向経路の任意の組合せで構成することができる。
トは、バス５１４を参照して上述したように、データを別々にパッケージ化して伝送する
。通信モジュールの応用例に応じて、４つの通信ブロック６０８／６１０は、単方向及び
双方向経路の任意の組合せで構成することができる。
[0170]図７を参照すると、ＥＩＭ７００は、概して、トリップ判定に投票し、構成要素
レベルの作動及び操作を行うために、ＲＴＳ及び／又はＥＳＦＡＳレベルシステム内の原
子力システム内の各構成要素へインタフェースを提供する。図示のように、ＥＩＭ７００
は、出力ブロック７２０、機器フィードバックブロック７１８、１Ｅ手動入力７１６、非
１Ｅ手動入力７１４、投票エンジン７２２、優先論理ブロック７２１、機器制御ブロック
７２３、及び通信ブロック７２４／７２６／７２８を含む。概して、ＥＩＭ７００は、単
一の構成要素の故障が、原子力システムに対するＩ＆ＣシステムのＭＰＳ（たとえば、Ｍ
ＰＳ２００）のチャネルレベルの相互接続、ＲＴＳレベルの相互接続、及びＥＳＦＡＳレ
ベルの相互接続内で波及しないことを確実にするために、トリップ信号に基づいて、投票
、場合により２重投票（たとえば、通信に対してツーアウトオブスリー投票、及びトリッ
プ信号に対してツーアウトオブフォー投票）を実行することができる。ＥＩＭ７００は、
投票７２２、手動作動／１Ｅ入力７１６、及び非１Ｅ入力７１４からの自動信号に対する
優先割当てを実行することができる。
レベルの作動及び操作を行うために、ＲＴＳ及び／又はＥＳＦＡＳレベルシステム内の原
子力システム内の各構成要素へインタフェースを提供する。図示のように、ＥＩＭ７００
は、出力ブロック７２０、機器フィードバックブロック７１８、１Ｅ手動入力７１６、非
１Ｅ手動入力７１４、投票エンジン７２２、優先論理ブロック７２１、機器制御ブロック
７２３、及び通信ブロック７２４／７２６／７２８を含む。概して、ＥＩＭ７００は、単
一の構成要素の故障が、原子力システムに対するＩ＆ＣシステムのＭＰＳ（たとえば、Ｍ
ＰＳ２００）のチャネルレベルの相互接続、ＲＴＳレベルの相互接続、及びＥＳＦＡＳレ
ベルの相互接続内で波及しないことを確実にするために、トリップ信号に基づいて、投票
、場合により２重投票（たとえば、通信に対してツーアウトオブスリー投票、及びトリッ
プ信号に対してツーアウトオブフォー投票）を実行することができる。ＥＩＭ７００は、
投票７２２、手動作動／１Ｅ入力７１６、及び非１Ｅ入力７１４からの自動信号に対する
優先割当てを実行することができる。
[0171]出力ブロック７２０は、図示のように、最大３つの独立した出力スイッチ、又は
いくつかの例ではそれ以上を含み、これらの出力スイッチは、外部回路内で使用すること
ができ、電気負荷７０２（たとえば、アクチュエータ）に結合される。いくつかの態様で
は、これにより、ＥＩＭ７００が単一の構成要素を直接制御すること、又は複数の構成要
素に対して開始信号を提供することが可能になる。たとえば、出力ブロック７２０はリレ
ーを励磁し、それにより様々なポンプを開始し、複数のバルブを開放する。各出力ブロッ
ク７２０はまた、負荷連続性検査を自己試験及び実行する能力を含むことができる。
いくつかの例ではそれ以上を含み、これらの出力スイッチは、外部回路内で使用すること
ができ、電気負荷７０２（たとえば、アクチュエータ）に結合される。いくつかの態様で
は、これにより、ＥＩＭ７００が単一の構成要素を直接制御すること、又は複数の構成要
素に対して開始信号を提供することが可能になる。たとえば、出力ブロック７２０はリレ
ーを励磁し、それにより様々なポンプを開始し、複数のバルブを開放する。各出力ブロッ
ク７２０はまた、負荷連続性検査を自己試験及び実行する能力を含むことができる。
[0172]機器フィードバックブロック７１８は、図示のように、機器からの複数（たとえ
ば、最大３つ、又はいくつかの例ではそれ以上）のフィードバック入力７０４からなるこ
とができる。フィードバック入力７０４は、たとえば、バルブ位置（たとえば、完全開放
、完全閉鎖）、遮断器状態（たとえば、閉鎖／開放）、又は他の構成要素からの他のフィ
ードバックを含むことができる。機器フィードバック７０４は、以下に論じる投票機器制
御ブロック７２３内で利用することができる。
ば、最大３つ、又はいくつかの例ではそれ以上）のフィードバック入力７０４からなるこ
とができる。フィードバック入力７０４は、たとえば、バルブ位置（たとえば、完全開放
、完全閉鎖）、遮断器状態（たとえば、閉鎖／開放）、又は他の構成要素からの他のフィ
ードバックを含むことができる。機器フィードバック７０４は、以下に論じる投票機器制
御ブロック７２３内で利用することができる。
[0173]１Ｅ手動入力ブロック７１６は、複数（たとえば、最大２つ、又はいくつかの例
ではそれ以上）の手動入力信号７０６を提供することができる。ＥＩＭ７００のこの部分
は、手動入力に専用とすることができ、優先論理ブロック７２１内で利用される。
ではそれ以上）の手動入力信号７０６を提供することができる。ＥＩＭ７００のこの部分
は、手動入力に専用とすることができ、優先論理ブロック７２１内で利用される。
[0174]複数の入力信号７０８が、隔離インタフェース７１２を介して非１Ｅ入力ブロッ
ク７１４に結合される。この電気的隔離インタフェース７１２により、優先論理ブロック
７２１への入力に対する非１Ｅ信号の使用が可能になる。
ク７１４に結合される。この電気的隔離インタフェース７１２により、優先論理ブロック
７２１への入力に対する非１Ｅ信号の使用が可能になる。
[0175]投票エンジン７２２は、通信ブロック７２４からトリップ判定入力を受け取る。
投票の結果は、自動作動信号に対して作動又は非作動信号を優先論理ブロック７２１へ提
供する。いくつかの態様では、投票エンジン７２２は、ＭＰＳ内の単一の構成要素の故障
が波及しないことを確実にするために、投票方式、場合により２重投票方式を実施するこ
とができる。たとえば、いくつかの態様では、投票エンジン７２２は、通信ブロック７２
４でトリップ判定を受け取る。各通信ブロック７２４は、４つのチャネル又は分離グルー
プ（たとえば、上述したチャネルＡ～Ｄ）から、トリップ判定（たとえば、トリップ又は
トリップなし）を受け取ることができる。投票エンジン７２２内に、いくつかの態様では
、３つの「Ａ」トリップ判定、３つの「Ｂ」トリップ判定、３つの「Ｃ」トリップ判定、
及び３つの「Ｄ」トリップ判定が存在することができる。したがって、投票エンジン７２
２は、４つのチャネル又は分離グループの各々において、ツーアウトオブスリー判定を実
行することができる。３つの「Ａ」チャネルのうちの少なくとも２つが、たとえばトリッ
プの有効な通信を提供する（たとえば、トリップ判定の通信が有効であることを示す）場
合、投票エンジン７２２は、少なくとも最初は、チャネル「Ａ」上にトリップがあること
を通信することができ、３つの「Ａ」チャネルのうちの１つのみがトリップを示す場合、
投票エンジン７２２は、チャネル「Ａ」上にトリップがないと判定することができる。
投票の結果は、自動作動信号に対して作動又は非作動信号を優先論理ブロック７２１へ提
供する。いくつかの態様では、投票エンジン７２２は、ＭＰＳ内の単一の構成要素の故障
が波及しないことを確実にするために、投票方式、場合により２重投票方式を実施するこ
とができる。たとえば、いくつかの態様では、投票エンジン７２２は、通信ブロック７２
４でトリップ判定を受け取る。各通信ブロック７２４は、４つのチャネル又は分離グルー
プ（たとえば、上述したチャネルＡ～Ｄ）から、トリップ判定（たとえば、トリップ又は
トリップなし）を受け取ることができる。投票エンジン７２２内に、いくつかの態様では
、３つの「Ａ」トリップ判定、３つの「Ｂ」トリップ判定、３つの「Ｃ」トリップ判定、
及び３つの「Ｄ」トリップ判定が存在することができる。したがって、投票エンジン７２
２は、４つのチャネル又は分離グループの各々において、ツーアウトオブスリー判定を実
行することができる。３つの「Ａ」チャネルのうちの少なくとも２つが、たとえばトリッ
プの有効な通信を提供する（たとえば、トリップ判定の通信が有効であることを示す）場
合、投票エンジン７２２は、少なくとも最初は、チャネル「Ａ」上にトリップがあること
を通信することができ、３つの「Ａ」チャネルのうちの１つのみがトリップを示す場合、
投票エンジン７２２は、チャネル「Ａ」上にトリップがないと判定することができる。
[0176]投票エンジン７２２は、上述したように、故障がＭＰＳ構造全体にわたって波及
しないことをさらに確実にするために２重投票方式を実施することができる。たとえば、
上述したツーアウトオブスリー通信判定後、投票エンジン７２２はまた、トリップが実際
に行われたかどうか（たとえば、故障が偽のトリップを示すのではない）を判定するため
に、ツーアウトオブフォートリップ判定を実行することができる。たとえば、ツーオブス
リー判定を実行する投票エンジン７２２内の４つの投票ブロックの出力（たとえば、３つ
の投票論理ゲートのうちの２つ）を、ツーオブフォー判定を行う別の投票ブロック（たと
えば、ツーオブフォー投票論理ゲート）へ送ることができる。第１の層の投票ブロック（
たとえば、ツーオブスリーブロック）からの４つの出力のうちの少なくとも２つがトリッ
プを示す場合、投票エンジン７２２は、トリップが生じたこと（及び負荷７０２などのＥ
ＦＳ機器を作動させるべきであること）を判定することができ、それ以外の場合、投票エ
ンジン７２２は、実際のトリップが生じていないと判定することができる。
しないことをさらに確実にするために２重投票方式を実施することができる。たとえば、
上述したツーアウトオブスリー通信判定後、投票エンジン７２２はまた、トリップが実際
に行われたかどうか（たとえば、故障が偽のトリップを示すのではない）を判定するため
に、ツーアウトオブフォートリップ判定を実行することができる。たとえば、ツーオブス
リー判定を実行する投票エンジン７２２内の４つの投票ブロックの出力（たとえば、３つ
の投票論理ゲートのうちの２つ）を、ツーオブフォー判定を行う別の投票ブロック（たと
えば、ツーオブフォー投票論理ゲート）へ送ることができる。第１の層の投票ブロック（
たとえば、ツーオブスリーブロック）からの４つの出力のうちの少なくとも２つがトリッ
プを示す場合、投票エンジン７２２は、トリップが生じたこと（及び負荷７０２などのＥ
ＦＳ機器を作動させるべきであること）を判定することができ、それ以外の場合、投票エ
ンジン７２２は、実際のトリップが生じていないと判定することができる。
[0177]優先論理ブロックは、投票ブロック７２２、１Ｅ手動入力ブロック７１６、及び
非１Ｅ手動入力ブロック７１４から入力を受け取る。次いで優先論理ブロック７２１は、
すべての入力に基づいて、機器制御モジュールに何を実行するように命令するかの判定を
行う。
非１Ｅ手動入力ブロック７１４から入力を受け取る。次いで優先論理ブロック７２１は、
すべての入力に基づいて、機器制御モジュールに何を実行するように命令するかの判定を
行う。
[0178]機器制御ブロックは、優先論理モジュールからコマンドを受け取り、出力ブロッ
ク７２０を介して構成要素上で適当な作動又は操作を実行する。機器制御ブロックは、機
器制御の目的のため、機器フィードバックブロック７１８を介して機器からフィードバッ
クを受け取る。
ク７２０を介して構成要素上で適当な作動又は操作を実行する。機器制御ブロックは、機
器制御の目的のため、機器フィードバックブロック７１８を介して機器からフィードバッ
クを受け取る。
[0179]機器制御ブロック７２２、優先論理ブロック７２１、及び投票ブロック７２２は
各々、保守ワークステーション（ＭＷＳ）バス（たとえば、ブロック７２８）へ状態情報
を提供する。通信ブロック７２４／７２６／７２８は、５つの別個の通信ポート（たとえ
ば、７２４と表記する３つの安全データポート、７２６と表記する１つのポート、及び７
２８と表記する１つのポート））からなる。各ポートは、機能的に独立したものとするこ
とができ、監視及び標示（Ｍ／Ｉ）バス（たとえば、ブロック７２６）、保守ワークステ
ーション（ＭＷＳ）バス（たとえば、ブロック７２８）、又は安全データバス（たとえば
、ブロック７２４）と呼ばれる。
各々、保守ワークステーション（ＭＷＳ）バス（たとえば、ブロック７２８）へ状態情報
を提供する。通信ブロック７２４／７２６／７２８は、５つの別個の通信ポート（たとえ
ば、７２４と表記する３つの安全データポート、７２６と表記する１つのポート、及び７
２８と表記する１つのポート））からなる。各ポートは、機能的に独立したものとするこ
とができ、監視及び標示（Ｍ／Ｉ）バス（たとえば、ブロック７２６）、保守ワークステ
ーション（ＭＷＳ）バス（たとえば、ブロック７２８）、又は安全データバス（たとえば
、ブロック７２４）と呼ばれる。
[0180]図８は、１つ又は複数のＳＦＭ５００、ＥＩＭ７００、及びＣＭ６００を通信可
能に結合する原子炉保護システム（たとえば、ＭＰＳ１４５）のシャーシ８００の例示的
な実施形態を示す。この図は、シャーシ８００内で４つのＣＭ６００に接続された３つの
ＳＦＭ５００又はＥＩＭ７００の一例を提供する。この例では、５つのデータバス経路が
示されている。たとえば、３つの安全データポート８０２が、それぞれＸ、Ｙ、及びＺと
表記されている。１つのデータバス経路８０４が、Ｍ／Ｉと表記されている。１つのデー
タバス経路８０４が、ＭＷＳと表記されている。各データバス経路８０２／８０４は、こ
の例では、シャーシ８００内のすべての他のデータバス経路８０２／８０４とは機能的及
び電気的に独立したものとすることができる。
能に結合する原子炉保護システム（たとえば、ＭＰＳ１４５）のシャーシ８００の例示的
な実施形態を示す。この図は、シャーシ８００内で４つのＣＭ６００に接続された３つの
ＳＦＭ５００又はＥＩＭ７００の一例を提供する。この例では、５つのデータバス経路が
示されている。たとえば、３つの安全データポート８０２が、それぞれＸ、Ｙ、及びＺと
表記されている。１つのデータバス経路８０４が、Ｍ／Ｉと表記されている。１つのデー
タバス経路８０４が、ＭＷＳと表記されている。各データバス経路８０２／８０４は、こ
の例では、シャーシ８００内のすべての他のデータバス経路８０２／８０４とは機能的及
び電気的に独立したものとすることができる。
[0181]この図示の実施形態では、ＣＭ６００は各々、データバス経路８０２／８０４の
うちの１つのマスタを含むことができる。図示のように、Ｘデータバス経路８０２のマス
タ８０８は、安全データＸに対するＣＭ６００の一部である。Ｙデータ経路８０２のマス
タ８１０は、安全データＹに対するＣＭ６００である。Ｚデータ経路８０２のマスタ８１
２は、安全データＺに対するＣＭ６００である。最後に、この例に示すように、Ｍ／Ｉデ
ータ経路８０４に対するマスタ８１４は、Ｍ／Ｉに対するＣＭ６００である。この例でも
同様に、ＭＷＳマスタ８１６は、別個に接続（たとえば、保守ワークステーションとして
）されたＭＷＳデータ経路８０６のマスタである。保守ワークステーション（ＭＷＳマス
タ）８１６は、ハードワイヤードスイッチによって機器の通常動作から切断することがで
きる。
うちの１つのマスタを含むことができる。図示のように、Ｘデータバス経路８０２のマス
タ８０８は、安全データＸに対するＣＭ６００の一部である。Ｙデータ経路８０２のマス
タ８１０は、安全データＹに対するＣＭ６００である。Ｚデータ経路８０２のマスタ８１
２は、安全データＺに対するＣＭ６００である。最後に、この例に示すように、Ｍ／Ｉデ
ータ経路８０４に対するマスタ８１４は、Ｍ／Ｉに対するＣＭ６００である。この例でも
同様に、ＭＷＳマスタ８１６は、別個に接続（たとえば、保守ワークステーションとして
）されたＭＷＳデータ経路８０６のマスタである。保守ワークステーション（ＭＷＳマス
タ）８１６は、ハードワイヤードスイッチによって機器の通常動作から切断することがで
きる。
[0182]図９Ａ～９Ｃは、ＳＦＭ５００、ＣＭ６００、及びＥＩＭ７００のうちの１つ又
は複数を利用する分離グループ、ＲＴＳ、及びＥＳＦＡＳレベルの相互接続のブロック図
を示す。概して、モジュールＳＦＭ５００、ＣＭ６００、及びＥＩＭ７００は、単一故障
（たとえば、ハードウェア、ソフトウェア、又はその他）が隣接する又は他の安全機能へ
波及することからの保護を提供する、たとえば機能的に独立したモジュール（たとえば、
特定可能なデバイス、計器、又は機器を構成しており、切断し、ユニットとして取り外し
、予備部品に交換することができ、ユニットとして試験することが可能な定義可能な性能
特徴を有する、相互接続された構成要素のアセンブリ）として、ＭＰＳ２００内に配置す
ることができる。これらのモジュールは、いくつかの実施形態では、トリップ感知及び判
定のために、最大で３重の冗長性を提供することができる。モジュールはまた、上述した
ように、冗長ＲＴＳ及びＥＳＦＡＳ投票ディビジョンを提供するように配置することがで
きる。いくつかの実施形態では、モジュールは、トリップ構成要素（たとえば、遮断器、
センサ、又はその他）ごとに独立したトリップ投票モジュールを提供することができる。
は複数を利用する分離グループ、ＲＴＳ、及びＥＳＦＡＳレベルの相互接続のブロック図
を示す。概して、モジュールＳＦＭ５００、ＣＭ６００、及びＥＩＭ７００は、単一故障
（たとえば、ハードウェア、ソフトウェア、又はその他）が隣接する又は他の安全機能へ
波及することからの保護を提供する、たとえば機能的に独立したモジュール（たとえば、
特定可能なデバイス、計器、又は機器を構成しており、切断し、ユニットとして取り外し
、予備部品に交換することができ、ユニットとして試験することが可能な定義可能な性能
特徴を有する、相互接続された構成要素のアセンブリ）として、ＭＰＳ２００内に配置す
ることができる。これらのモジュールは、いくつかの実施形態では、トリップ感知及び判
定のために、最大で３重の冗長性を提供することができる。モジュールはまた、上述した
ように、冗長ＲＴＳ及びＥＳＦＡＳ投票ディビジョンを提供するように配置することがで
きる。いくつかの実施形態では、モジュールは、トリップ構成要素（たとえば、遮断器、
センサ、又はその他）ごとに独立したトリップ投票モジュールを提供することができる。
[0183]場合により、モジュールはＲＴＳ投票を提供し、他の場合、モジュールはＥＳＦ
ＡＳ投票を提供する。各モジュールの非依存性に対して、各モジュールは、ＲＴＳ／ＥＳ
ＦＡＳトリップを起動するか、それとも起動しないかに関して、特定のトリップ構成要素
に専用のすべての他のモジュールとは別個に、特定のトリップ構成要素に対する判定を行
うことができる。いくつかの実施形態では、トリップ判定の有効な通信の判定は、多数決
（たとえば、ツーアウトオブスリー）によって行うことができる。いくつかの実施形態で
は、これらの判定は、２重投票方式で行うことができ、トリップ判定の通信は、多数決（
たとえば、ツーオブスリー）によって認証され、２次トリップ判定投票は、多数決投票よ
り小さい（たとえば、ツーオブフォー）。
ＡＳ投票を提供する。各モジュールの非依存性に対して、各モジュールは、ＲＴＳ／ＥＳ
ＦＡＳトリップを起動するか、それとも起動しないかに関して、特定のトリップ構成要素
に専用のすべての他のモジュールとは別個に、特定のトリップ構成要素に対する判定を行
うことができる。いくつかの実施形態では、トリップ判定の有効な通信の判定は、多数決
（たとえば、ツーアウトオブスリー）によって行うことができる。いくつかの実施形態で
は、これらの判定は、２重投票方式で行うことができ、トリップ判定の通信は、多数決（
たとえば、ツーオブスリー）によって認証され、２次トリップ判定投票は、多数決投票よ
り小さい（たとえば、ツーオブフォー）。
[0184]図９Ａを参照すると、例示的な分離グループレベルの相互接続９００が示されて
いる。図示のチャネルレベルの相互接続９００は、チャネルセンサ入力９０２と、入力９
０２を受け取るＳＦＭ５００と、９２０を通って出力９０４を通信するＣＭ６００とを含
む。図示のように、単一の機能又は単一の組の機能を実施するために、チャネルレベルの
相互接続９００内の各ＳＦＭ５００は、アナログ及びデジタルの任意の組合せで、４つの
入力９０２、又はいくつかの例ではそれ以上を含むことができる。各入力９０２は、特定
のＳＦＭ５００に一意とすることができる（たとえば、チャネルＡ加圧器圧力信号は、１
つのＳＦＭ５００のみへの直接入力である）。状態情報（たとえば、警報、論理判定、モ
ジュール状態）を含む入力データは、すべての４つのデータバスで利用可能とすることが
できる。
いる。図示のチャネルレベルの相互接続９００は、チャネルセンサ入力９０２と、入力９
０２を受け取るＳＦＭ５００と、９２０を通って出力９０４を通信するＣＭ６００とを含
む。図示のように、単一の機能又は単一の組の機能を実施するために、チャネルレベルの
相互接続９００内の各ＳＦＭ５００は、アナログ及びデジタルの任意の組合せで、４つの
入力９０２、又はいくつかの例ではそれ以上を含むことができる。各入力９０２は、特定
のＳＦＭ５００に一意とすることができる（たとえば、チャネルＡ加圧器圧力信号は、１
つのＳＦＭ５００のみへの直接入力である）。状態情報（たとえば、警報、論理判定、モ
ジュール状態）を含む入力データは、すべての４つのデータバスで利用可能とすることが
できる。
[0185]安全バスは、機能的に独立したものとすることができ、各安全バスは、ＣＭ６０
０をマスタとしたマスタ－スレーブプロトコルを使用する。ＳＦＭ内のブロックは同期し
て動作するが、モジュール間の通信は、非同期とすることができる。バスに対するＣＭ６
００が、特定のＳＦＭ５００からの情報を要求したとき、ＳＦＭ５００は、バスへの同報
通信で応答することができる。同報通信の利益は、たとえば「１」と表記するＳＦＭ５０
０が、「２」と表記するＳＦＭ５００によって必要とされる情報（たとえば、パーミッシ
ブ信号、センサ入力値）を有する場合、ＳＦＭ５００「２」が、この必要とされる情報を
待ち受けて取得することができる。
０をマスタとしたマスタ－スレーブプロトコルを使用する。ＳＦＭ内のブロックは同期し
て動作するが、モジュール間の通信は、非同期とすることができる。バスに対するＣＭ６
００が、特定のＳＦＭ５００からの情報を要求したとき、ＳＦＭ５００は、バスへの同報
通信で応答することができる。同報通信の利益は、たとえば「１」と表記するＳＦＭ５０
０が、「２」と表記するＳＦＭ５００によって必要とされる情報（たとえば、パーミッシ
ブ信号、センサ入力値）を有する場合、ＳＦＭ５００「２」が、この必要とされる情報を
待ち受けて取得することができる。
[0186]３つの安全データバス（たとえば、「Ｘ」、「Ｙ」、及び「Ｚ」と表記）に加え
て、監視及び標示（Ｍ／Ｉ）に対する第４の通信バスが示されている。Ｍ／Ｉバスのマス
タは、Ｍ／Ｉデータを安全ゲートウェイ及び不安全制御システムへ提供するのに専用のＣ
Ｍ６００とすることができる。３つの安全データバス（たとえば、バスＸ、Ｙ、及びＺ）
に対するＣＭ６００とは異なり、Ｍ／ＩのＣＭ６００は、すべての３つの安全バス上の情
報の同報通信を待ち受けることが可能である。
て、監視及び標示（Ｍ／Ｉ）に対する第４の通信バスが示されている。Ｍ／Ｉバスのマス
タは、Ｍ／Ｉデータを安全ゲートウェイ及び不安全制御システムへ提供するのに専用のＣ
Ｍ６００とすることができる。３つの安全データバス（たとえば、バスＸ、Ｙ、及びＺ）
に対するＣＭ６００とは異なり、Ｍ／ＩのＣＭ６００は、すべての３つの安全バス上の情
報の同報通信を待ち受けることが可能である。
[0187]いくつかの実施形態では、ＣＭ６００の制限された通信ブロック（ＲＣＢ）は、
様々なポイントツーポイント構成を有することができる。分離グループレベルの相互接続
９００では、ＲＣＢ上のすべての４つの通信ポートを伝送専用に構成することができる。
各安全データバスＣＭ６００（たとえば、Ｘ、Ｙ、及びＺと表記するＣＭ６００）からの
データは、ＲＴＳ及びＥＳＦＡＳの各ディビジョン（たとえば、ディビジョンＩ及びＩＩ
）へ送ることができる。Ｍ／Ｉ ＣＭ６００からのデータ（たとえば、出力９１６～９２
０）は、安全ゲートウェイ及び不安全制御システムへ送ることができる。
様々なポイントツーポイント構成を有することができる。分離グループレベルの相互接続
９００では、ＲＣＢ上のすべての４つの通信ポートを伝送専用に構成することができる。
各安全データバスＣＭ６００（たとえば、Ｘ、Ｙ、及びＺと表記するＣＭ６００）からの
データは、ＲＴＳ及びＥＳＦＡＳの各ディビジョン（たとえば、ディビジョンＩ及びＩＩ
）へ送ることができる。Ｍ／Ｉ ＣＭ６００からのデータ（たとえば、出力９１６～９２
０）は、安全ゲートウェイ及び不安全制御システムへ送ることができる。
[0188]出力９０４～９１４は、たとえば、ＲＴＳ及びＥＳＦＡＳレベルの相互接続（後
述）へ提供することができる。たとえば、図示のように、出力９０４、９０８、及び９１
２は、ＥＳＦＡＳレベルの相互接続へ提供することができ、出力９０６、９１０、及び９
１４は、ＲＴＳレベルの相互接続へ提供することができる。図９Ａには１つの分離グルー
プレベルの相互接続９００のみが示されているが、ＭＰＳ構造を有する複数の相互接続９
００を設けることができる。
述）へ提供することができる。たとえば、図示のように、出力９０４、９０８、及び９１
２は、ＥＳＦＡＳレベルの相互接続へ提供することができ、出力９０６、９１０、及び９
１４は、ＲＴＳレベルの相互接続へ提供することができる。図９Ａには１つの分離グルー
プレベルの相互接続９００のみが示されているが、ＭＰＳ構造を有する複数の相互接続９
００を設けることができる。
[0189]図９Ｂを参照すると、ディビジョンに分割された例示的なＲＴＳレベルの相互接
続が示されている。ＲＴＳレベルの相互接続は、図示のように、ＲＴＳのディビジョンＩ
及びＩＩ（たとえば、ＲＴＳ投票２１４及び２１６）を含む。図示の各ディビジョン（２
１４及び２１６）は、４つのＣＭ６００及び４つのＥＩＭ７００を含む。各ディビジョン
に対して、３つの安全データバス（Ｘ、Ｙ、及びＺと表記）は各々、入力９６２～９７２
として示すすべての４つの分離グループからのトリップ又はトリップなし判定を受け取る
ことができる（たとえば、分離グループは、同じ番号、すなわちＡ１及びＢ１で表記する
）。第４のＣＭ６００は、図示のように、データを（出力９７４～９７６として）不安全
制御システム及び安全ゲートウェイへ伝送するように提供することができる。
続が示されている。ＲＴＳレベルの相互接続は、図示のように、ＲＴＳのディビジョンＩ
及びＩＩ（たとえば、ＲＴＳ投票２１４及び２１６）を含む。図示の各ディビジョン（２
１４及び２１６）は、４つのＣＭ６００及び４つのＥＩＭ７００を含む。各ディビジョン
に対して、３つの安全データバス（Ｘ、Ｙ、及びＺと表記）は各々、入力９６２～９７２
として示すすべての４つの分離グループからのトリップ又はトリップなし判定を受け取る
ことができる（たとえば、分離グループは、同じ番号、すなわちＡ１及びＢ１で表記する
）。第４のＣＭ６００は、図示のように、データを（出力９７４～９７６として）不安全
制御システム及び安全ゲートウェイへ伝送するように提供することができる。
[0190]各安全バスＣＭ６００に対するＲＣＢ上の各通信ポートは、「受取り専用」に構
成することができ、光学的に隔離することができる（上述）。Ｍ／Ｉ ＣＭ６００は、「
伝送専用」に構成されたＲＣＢ内にすべてのポートを有することができる。
成することができ、光学的に隔離することができる（上述）。Ｍ／Ｉ ＣＭ６００は、「
伝送専用」に構成されたＲＣＢ内にすべてのポートを有することができる。
[0191]いくつかの実施形態では、すべての分離グループからの各安全データバスに対す
るトリップ判定は、４つのＥＩＭ７００の各々に利用可能である。ＥＩＭ７００は、すべ
ての３つの安全バス（Ｘ、Ｙ、及びＺと表記）を使用して、通信エラーによる遮断器の擬
似作動がないことを確実にすることができる。４つの分離グループ（入力９６２～９７２
）のうちの少なくとも２つがトリップ状態を示すとき、原子炉トリップ遮断器が開放され
る。各ＥＩＭ７００は、たとえば、原子炉トリップ遮断器の不足電圧リレー及び分路トリ
ップコイルに専用とすることができる。自動作動に加えて、ＥＩＭ６００は、手動のディ
ビジョンレベルの原子炉トリップ９７８、遮断器フィードバック、及びＥＳＦＡＳフィー
ドバックに対する入力を有する。
るトリップ判定は、４つのＥＩＭ７００の各々に利用可能である。ＥＩＭ７００は、すべ
ての３つの安全バス（Ｘ、Ｙ、及びＺと表記）を使用して、通信エラーによる遮断器の擬
似作動がないことを確実にすることができる。４つの分離グループ（入力９６２～９７２
）のうちの少なくとも２つがトリップ状態を示すとき、原子炉トリップ遮断器が開放され
る。各ＥＩＭ７００は、たとえば、原子炉トリップ遮断器の不足電圧リレー及び分路トリ
ップコイルに専用とすることができる。自動作動に加えて、ＥＩＭ６００は、手動のディ
ビジョンレベルの原子炉トリップ９７８、遮断器フィードバック、及びＥＳＦＡＳフィー
ドバックに対する入力を有する。
[0192]ＥＩＭ６００の出力（ディビジョンＩに対して９８０ａ～９８０ｄ、ディビジョ
ンＩＩに対して９８２ａ～９８２ｄと表記）は、特定のディビジョンに関連付けられた原
子炉トリップ遮断器（ＲＴＢ）（図２Ｂに示す）のトリップコイルに対する入力に結合す
ることができる。
ンＩＩに対して９８２ａ～９８２ｄと表記）は、特定のディビジョンに関連付けられた原
子炉トリップ遮断器（ＲＴＢ）（図２Ｂに示す）のトリップコイルに対する入力に結合す
ることができる。
[0193]図９Ｃを参照すると、ディビジョンに分割された例示的なＥＳＦＡＳレベルの相
互接続が示されている。ＥＳＦＡＳレベルの相互接続は、図示のように、ＥＳＦＡＳのデ
ィビジョンＩ及びＩＩ（たとえば、ＥＳＦＡＳ投票２１２及び２１８）を含む。図示の各
ディビジョン（２１２及び２１８）は、４つのＣＭ６００及び４つのＥＩＭ７００を含む
。各ディビジョンに対して、３つの安全データバス（Ｘ、Ｙ、及びＺと表記）は各々、入
力９６２～９７２と表記するすべての分離グループ（この例では、Ｄと表記する４つ）か
らのＥＳＦ作動判定を受け取る。
互接続が示されている。ＥＳＦＡＳレベルの相互接続は、図示のように、ＥＳＦＡＳのデ
ィビジョンＩ及びＩＩ（たとえば、ＥＳＦＡＳ投票２１２及び２１８）を含む。図示の各
ディビジョン（２１２及び２１８）は、４つのＣＭ６００及び４つのＥＩＭ７００を含む
。各ディビジョンに対して、３つの安全データバス（Ｘ、Ｙ、及びＺと表記）は各々、入
力９６２～９７２と表記するすべての分離グループ（この例では、Ｄと表記する４つ）か
らのＥＳＦ作動判定を受け取る。
[0194]各安全データバスＣＭ６００（Ｘ、Ｙ、及びＺと表記）に対するＲＣＢ内の各通
信ポートは、「受取り専用」に構成することができ、光学的に隔離することができる（上
述）。Ｍ／Ｉ ＣＭ６００は、「伝送専用」に構成されたＲＣＢ内にすべてのポートを有
することができ、これらのポートも同様に光学的に隔離されている。
信ポートは、「受取り専用」に構成することができ、光学的に隔離することができる（上
述）。Ｍ／Ｉ ＣＭ６００は、「伝送専用」に構成されたＲＣＢ内にすべてのポートを有
することができ、これらのポートも同様に光学的に隔離されている。
[0195]いくつかの実施形態では、すべての分離グループからのＥＳＦ作動判定は、すべ
ての３つの安全データバス（Ｘ、Ｙ、及びＺと表記）上のＥＩＭ７００に利用可能である
。たとえば、ＥＩＭ７００は、機器の擬似作動が通信エラーによって引き起こされないこ
とを確実にするために、すべての３つの安全データバスを使用することができる。４つの
分離グループのうちの少なくとも２つが、ＥＳＦ作動の必要を示す（たとえば、入力９６
２～９７２上）場合、出力９９０（図３Ｂに示すように、ディビジョンに基づいてＥＳＦ
機器２２４及び２２６に結合されている）を介して、安全機能（複数可）を開始すること
ができる。いくつかの態様では、各ＥＩＭ７００は、個々の構成要素（たとえば、単一の
ＥＳＦ構成要素）に専用とすることができる。
ての３つの安全データバス（Ｘ、Ｙ、及びＺと表記）上のＥＩＭ７００に利用可能である
。たとえば、ＥＩＭ７００は、機器の擬似作動が通信エラーによって引き起こされないこ
とを確実にするために、すべての３つの安全データバスを使用することができる。４つの
分離グループのうちの少なくとも２つが、ＥＳＦ作動の必要を示す（たとえば、入力９６
２～９７２上）場合、出力９９０（図３Ｂに示すように、ディビジョンに基づいてＥＳＦ
機器２２４及び２２６に結合されている）を介して、安全機能（複数可）を開始すること
ができる。いくつかの態様では、各ＥＩＭ７００は、個々の構成要素（たとえば、単一の
ＥＳＦ構成要素）に専用とすることができる。
[0196]自動開始は別にして、各ＥＩＭ７００は、手動入力９９２を使用して構成要素を
制御することができる。さらに、各ＥＩＭ７００はまた、非１Ｅ制御入力９９４を受け取
ることができる。非１Ｅ制御入力９９４（図３Ｂに入力２８２としても示す）は、非１Ｅ
がＥＩＭの出力上で１Ｅ安全ＥＳＦ構成要素を制御するために、ＥＩＭ７００へ提供する
ことができる。構成要素フィードバック（たとえば、リミットスイッチ）、投票判定、及
び他の利用可能な情報（たとえば、警報）は、Ｍ／Ｉ ＣＭ６００から出力９７４～９７
６として伝送することができる。
制御することができる。さらに、各ＥＩＭ７００はまた、非１Ｅ制御入力９９４を受け取
ることができる。非１Ｅ制御入力９９４（図３Ｂに入力２８２としても示す）は、非１Ｅ
がＥＩＭの出力上で１Ｅ安全ＥＳＦ構成要素を制御するために、ＥＩＭ７００へ提供する
ことができる。構成要素フィードバック（たとえば、リミットスイッチ）、投票判定、及
び他の利用可能な情報（たとえば、警報）は、Ｍ／Ｉ ＣＭ６００から出力９７４～９７
６として伝送することができる。
[0197]図１０は、原子力システムのＩ＆Ｃシステム１３５に対する多様性分析図を示す
。多様性分析の目的のため、図１０に識別されるブロックは、システム調査を簡略化する
詳細レベルを表す。ブロックは、内部故障がそれらの属性に基づいて他のブロックに波及
しないと考えられる機器及びソフトウェアの物理的部分集合を表すように選択されている
。
。多様性分析の目的のため、図１０に識別されるブロックは、システム調査を簡略化する
詳細レベルを表す。ブロックは、内部故障がそれらの属性に基づいて他のブロックに波及
しないと考えられる機器及びソフトウェアの物理的部分集合を表すように選択されている
。
[0198]図示のように、図１０のブロックは、Ｉ＆Ｃシステム、この例ではＩ＆Ｃシステ
ム１３５を示す。ブロック１００２は、非１Ｅ監視及び標示機器を表し、ブロック１００
４ａ／ｂは、それぞれ１Ｅ監視及び標示Ｉ及びＩＩを表し、ブロック１００６ａ／ｂは、
それぞれ安全ブロックＩ及びＩＩを表す。ブロック１００６ａは、分離グループＡ及びＣ
、ＲＴＳ Ｉ、並びにＥＳＦＡＳ Ｉを含み、ブロック１００６ｂは、分離グループＢ及
びＤ、ＲＴＳ ＩＩ、並びにＥＳＦＡＳ ＩＩを含む。ブロック１００８は、ＭＣＳを表
す。図示のように、矢印を有する接続線は、ブロック間の通信を示す。
ム１３５を示す。ブロック１００２は、非１Ｅ監視及び標示機器を表し、ブロック１００
４ａ／ｂは、それぞれ１Ｅ監視及び標示Ｉ及びＩＩを表し、ブロック１００６ａ／ｂは、
それぞれ安全ブロックＩ及びＩＩを表す。ブロック１００６ａは、分離グループＡ及びＣ
、ＲＴＳ Ｉ、並びにＥＳＦＡＳ Ｉを含み、ブロック１００６ｂは、分離グループＢ及
びＤ、ＲＴＳ ＩＩ、並びにＥＳＦＡＳ ＩＩを含む。ブロック１００８は、ＭＣＳを表
す。図示のように、矢印を有する接続線は、ブロック間の通信を示す。
[0199]４つの階層に対する目的の１つは、多様性である。たとえば、ＭＰＳは、単一故
障基準を満たすことができ、この基準は、（１）すべての特定可能であるが検出不能な故
障と同時発生の安全システム内の単一の検出可能な故障、（２）単一故障によって引き起
こされるすべての故障、並びに（３）安全機能を必要とする設計基準事象を引き起こす、
又は安全機能を必要とする設計基準事象によって引き起こされる、すべての故障及び擬似
システム動作の存在下で、ＭＰＳが設計基準事象のために必要とされるすべての安全機能
を実行することを求めることができる。この要件は、増大された信頼性を提供することが
できるが、システムが共通原因故障（ＣＣＦ）に脆弱になることを妨げない。任意の設計
に対して、依存性（たとえば、結合係数）が存在することがあり、これによりＣＣＦは複
数の独立した故障から区別される。これにより、原因となる影響を低減させるか、それと
もそれらの影響に耐えるシステムの能力を増大させるという、システム内で共通原因故障
を防止する２つの基本的な形式が得られる。
障基準を満たすことができ、この基準は、（１）すべての特定可能であるが検出不能な故
障と同時発生の安全システム内の単一の検出可能な故障、（２）単一故障によって引き起
こされるすべての故障、並びに（３）安全機能を必要とする設計基準事象を引き起こす、
又は安全機能を必要とする設計基準事象によって引き起こされる、すべての故障及び擬似
システム動作の存在下で、ＭＰＳが設計基準事象のために必要とされるすべての安全機能
を実行することを求めることができる。この要件は、増大された信頼性を提供することが
できるが、システムが共通原因故障（ＣＣＦ）に脆弱になることを妨げない。任意の設計
に対して、依存性（たとえば、結合係数）が存在することがあり、これによりＣＣＦは複
数の独立した故障から区別される。これにより、原因となる影響を低減させるか、それと
もそれらの影響に耐えるシステムの能力を増大させるという、システム内で共通原因故障
を防止する２つの基本的な形式が得られる。
[0200]これらの２つの形式の実施形態は、上述したように、設計多様性、機器多様性、
機能的多様性、人的多様性、信号多様性、及びソフトウェア多様性という６つの属性で実
施することができる。これらの属性の適用は、図１０に示す各ブロック、並びに図１０に
示すブロック間の属性に関して調査される。
機能的多様性、人的多様性、信号多様性、及びソフトウェア多様性という６つの属性で実
施することができる。これらの属性の適用は、図１０に示す各ブロック、並びに図１０に
示すブロック間の属性に関して調査される。
[0201]ブロック内の属性
[0202]図を参照して図示及び説明するように、分離グループＡ、Ｂ、Ｃ、及びＤ、並び
にＲＴＳ及びＥＳＦＡＳの２つのディビジョンは、それらが基づくプログラマブル技術に
従ってグループ化される。安全ブロックＩ及びＩＩはともに、モジュール保護システム（
ＭＰＳ）（たとえば、ＭＰＳ２００）を構成する。
にＲＴＳ及びＥＳＦＡＳの２つのディビジョンは、それらが基づくプログラマブル技術に
従ってグループ化される。安全ブロックＩ及びＩＩはともに、モジュール保護システム（
ＭＰＳ）（たとえば、ＭＰＳ２００）を構成する。
[0203]信号多様性に関して、所与の過渡事象に対して、少なくとも２つの安全機能が存
在することができ、各安全機能は、異なる物理的作用（たとえば、圧力、レベル、温度、
中性子束）の測定された変数（複数可）に基づく。１つの安全機能の損失は、ブロックが
保護措置に対する必要を識別することを妨げない。
在することができ、各安全機能は、異なる物理的作用（たとえば、圧力、レベル、温度、
中性子束）の測定された変数（複数可）に基づく。１つの安全機能の損失は、ブロックが
保護措置に対する必要を識別することを妨げない。
[0204]ソフトウェア多様性に関して、その入力に基づいて、各安全機能モジュール（Ｓ
ＦＭ５００）は、１つの安全機能又は１群の安全機能に専用である。その結果、各ＳＦＭ
は、一意のアルゴリズム／論理を有する。各通信モジュール（ＣＭ６００）は、同じパケ
ットの情報を異なる順序で伝送し、これにはＣＭ内の各通信エンジン（６０８／６１０）
が異なるアルゴリズムを有することが必要になることがある。各機器インタフェースモジ
ュール（ＥＩＭ７００）は、単一の構成要素に専用とすることができ、その結果、一意の
アルゴリズム／論理を得ることができる。
ＦＭ５００）は、１つの安全機能又は１群の安全機能に専用である。その結果、各ＳＦＭ
は、一意のアルゴリズム／論理を有する。各通信モジュール（ＣＭ６００）は、同じパケ
ットの情報を異なる順序で伝送し、これにはＣＭ内の各通信エンジン（６０８／６１０）
が異なるアルゴリズムを有することが必要になることがある。各機器インタフェースモジ
ュール（ＥＩＭ７００）は、単一の構成要素に専用とすることができ、その結果、一意の
アルゴリズム／論理を得ることができる。
[0205]１Ｅ監視及び標示は、ビデオ表示ユニット（ＶＤＵ）及び物理スイッチの２つの
ディビジョンを使用して実現することができる。１Ｅ監視及び標示（Ｍ／Ｉ）の各ディビ
ジョンは、ブロック１００４ａ／ｂとすることができる。設計多様性に対して、Ｍ／Ｉの
各ディビジョンは、プラント状態情報をデジタルディスプレイ上で操作者へ提供すること
ができ、ディビジョンレベルで任意の保護措置を手動で開始するための手動スイッチを有
することができる。信号多様性に対して、操作者は、すべての測定された変数を有するこ
とができ、これらの変数は、トリップ及び／又はＥＳＦ作動が必要かどうかを判定するた
めに、ＭＰＳによって利用される。同じほど速くはないが、操作者は、ＭＰＳと同じ判定
を行うために、異なる物理的作用の複数の測定された変数を有することができる。
ディビジョンを使用して実現することができる。１Ｅ監視及び標示（Ｍ／Ｉ）の各ディビ
ジョンは、ブロック１００４ａ／ｂとすることができる。設計多様性に対して、Ｍ／Ｉの
各ディビジョンは、プラント状態情報をデジタルディスプレイ上で操作者へ提供すること
ができ、ディビジョンレベルで任意の保護措置を手動で開始するための手動スイッチを有
することができる。信号多様性に対して、操作者は、すべての測定された変数を有するこ
とができ、これらの変数は、トリップ及び／又はＥＳＦ作動が必要かどうかを判定するた
めに、ＭＰＳによって利用される。同じほど速くはないが、操作者は、ＭＰＳと同じ判定
を行うために、異なる物理的作用の複数の測定された変数を有することができる。
[0206]ブロック間の多様性属性
[0207]人的多様性に関して、安全ブロックＩ及び１Ｅ Ｍ／Ｉ Ｉのソフトウェアは、
１つの設計チームによって設計することができ、安全ブロックＩＩ及び１Ｅ Ｍ／Ｉ Ｉ
Ｉは、異なる設計チームによって設計することができる。加えて、独立した検証及び認証
チームが、各設計チームの作業を点検し、設計の正確さを確実にすることができる。前述
の設計チームもまた、モジュール制御システム（ＭＣＳ）及び非１Ｅ Ｍ／Ｉに割り当て
られたチームとは異なる。
１つの設計チームによって設計することができ、安全ブロックＩＩ及び１Ｅ Ｍ／Ｉ Ｉ
Ｉは、異なる設計チームによって設計することができる。加えて、独立した検証及び認証
チームが、各設計チームの作業を点検し、設計の正確さを確実にすることができる。前述
の設計チームもまた、モジュール制御システム（ＭＣＳ）及び非１Ｅ Ｍ／Ｉに割り当て
られたチームとは異なる。
[0208]設計多様性は、同じ又は類似の問題を解決するために、ソフトウェア及びハード
ウェアの両方を含む異なる手法を使用することである。ＣＣＦの可能性及び結果を制限す
るために、安全ブロックＩ１００４ａ及び１Ｅ Ｍ／Ｉ Ｉブロック１００６ａは、安全
ブロックＩＩ及び１Ｅ Ｍ／Ｉ ＩＩとは異なるプログラマブル技術を使用することがで
きる。ＭＣＳ及び非１Ｅ Ｍ／Ｉはまた、異なるプログラマブル技術を有することができ
る。上記で論じた他の属性とともに、異なるハードウェア設計は、異なる故障モードを有
することができ、したがってＣＣＦが２つ以上のブロックに影響を及ぼす可能性を低減さ
せることができる。たとえば、Ｍ／Ｉブロックを除いて、ブロックは、異なる部屋に物理
的に分離することができる。これは、複数の構成要素がＣＣＦ事象に巻き込まれる状態を
もたらしうる結合係数をさらに低減させることを意図している。
ウェアの両方を含む異なる手法を使用することである。ＣＣＦの可能性及び結果を制限す
るために、安全ブロックＩ１００４ａ及び１Ｅ Ｍ／Ｉ Ｉブロック１００６ａは、安全
ブロックＩＩ及び１Ｅ Ｍ／Ｉ ＩＩとは異なるプログラマブル技術を使用することがで
きる。ＭＣＳ及び非１Ｅ Ｍ／Ｉはまた、異なるプログラマブル技術を有することができ
る。上記で論じた他の属性とともに、異なるハードウェア設計は、異なる故障モードを有
することができ、したがってＣＣＦが２つ以上のブロックに影響を及ぼす可能性を低減さ
せることができる。たとえば、Ｍ／Ｉブロックを除いて、ブロックは、異なる部屋に物理
的に分離することができる。これは、複数の構成要素がＣＣＦ事象に巻き込まれる状態を
もたらしうる結合係数をさらに低減させることを意図している。
[0209]ソフトウェア多様性は、設計多様性の部分集合であり、同じ安全目標を実現する
ために、異なる基幹人員を含む異なる開発グループによって設計及び実施される異なるプ
ログラムを使用することを含むことができる。上記で論じた設計多様性により、異なる設
計チームが異なる設計ツールを使用することができ、したがってこれらのツールは、同じ
故障モードを導入することがない。
ために、異なる基幹人員を含む異なる開発グループによって設計及び実施される異なるプ
ログラムを使用することを含むことができる。上記で論じた設計多様性により、異なる設
計チームが異なる設計ツールを使用することができ、したがってこれらのツールは、同じ
故障モードを導入することがない。
[0210]機能的多様性は、ブロック間の異なる目的及び機能を有することによって導入す
ることができる。安全ブロックＩ及びＩＩは、ＭＰＳを形成する。これらのブロックは、
動作限界を超過した場合、原子炉トリップを開始することができ、ＥＳＦを開始して想定
される事故を軽減することができる。Ｍ／Ｉブロックは、操作者が安全及び不安全両方の
システムを監視及び制御することを可能にすることができる。操作者は、プラントを動作
限界内で維持することができ、又は必要な保護措置を開始することができる。ＭＣＳは、
特定の動作中過渡変化を抑制することを含めて、プラントを動作限界内で維持するために
システムの自動制御を提供する。
ることができる。安全ブロックＩ及びＩＩは、ＭＰＳを形成する。これらのブロックは、
動作限界を超過した場合、原子炉トリップを開始することができ、ＥＳＦを開始して想定
される事故を軽減することができる。Ｍ／Ｉブロックは、操作者が安全及び不安全両方の
システムを監視及び制御することを可能にすることができる。操作者は、プラントを動作
限界内で維持することができ、又は必要な保護措置を開始することができる。ＭＣＳは、
特定の動作中過渡変化を抑制することを含めて、プラントを動作限界内で維持するために
システムの自動制御を提供する。
[0211]作動機器及び保護措置の自動及び手動手段を有することによって、ブロック間で
信号多様性を提供することができる。ＭＣＳ及び非１Ｅ Ｍ／Ｉは、機器レベルで制御を
提供し、１Ｅ Ｍ／Ｉブロックは、ディビジョンレベルで制御を提供する。
信号多様性を提供することができる。ＭＣＳ及び非１Ｅ Ｍ／Ｉは、機器レベルで制御を
提供し、１Ｅ Ｍ／Ｉブロックは、ディビジョンレベルで制御を提供する。
[0212]機器多様性は、類似の安全機能を実行するために異なる機器を使用することであ
る。保護措置の開始は、スイッチを使用する操作者の動作によって行うことができ、又は
安全ブロックＩ若しくはＩＩによって自動的に実行することができる。安全ブロックＩ及
びＩＩ間で、異なるプログラマブル技術を使用することができ、これには異なる内部サブ
コンポーネント及び異なる製造方法を必要とすることがある。
る。保護措置の開始は、スイッチを使用する操作者の動作によって行うことができ、又は
安全ブロックＩ若しくはＩＩによって自動的に実行することができる。安全ブロックＩ及
びＩＩ間で、異なるプログラマブル技術を使用することができ、これには異なる内部サブ
コンポーネント及び異なる製造方法を必要とすることがある。
[0213]４つの階層の別の分析指針は、システム故障タイプである。タイプ１の故障は、
防御階層間の相互作用のために制御システムエラーによって開始されたプラント過渡変化
に対する保護措置を行うことができない故障である。典型的には、これは、共通センサ又
は信号源の故障に関連付けられる。ＭＰＳによって監視されるプラントパラメータのいく
つかは、正常なプラント制御のためにＭＣＳへ提供される。上述したように、１つの信号
源を提供するのではなく、すべての４つの分離グループ並びにＥＳＦＡＳ及びＲＴＳの両
方のディビジョンが、隔離された１方向通信を介して情報を提供する。これにより、ＭＣ
Ｓがどの冗長な独立した信号源を使用するかを選択する異なる方法（たとえば、中間値信
号選択）を使用することを可能にすることができる。
防御階層間の相互作用のために制御システムエラーによって開始されたプラント過渡変化
に対する保護措置を行うことができない故障である。典型的には、これは、共通センサ又
は信号源の故障に関連付けられる。ＭＰＳによって監視されるプラントパラメータのいく
つかは、正常なプラント制御のためにＭＣＳへ提供される。上述したように、１つの信号
源を提供するのではなく、すべての４つの分離グループ並びにＥＳＦＡＳ及びＲＴＳの両
方のディビジョンが、隔離された１方向通信を介して情報を提供する。これにより、ＭＣ
Ｓがどの冗長な独立した信号源を使用するかを選択する異なる方法（たとえば、中間値信
号選択）を使用することを可能にすることができる。
[0214]タイプ２故障は、過渡変化を直接引き起こすことはなく、保護機器が未検出の故
障によるプラント過渡変化に応答しないものである。安全ブロックＩ及びＩＩ内並びに安
全ブロックＩ及びＩＩ内間の属性を使用することで、未検出の故障又はＣＣＦが２つ以上
のブロックに影響を及ぼすのを防止するために十分な多様性を得ることができる。２つの
ブロックのうちの１つのみが保護措置を自動的に開始するために必要とされる場合、タイ
プ２故障は、追加のシステムなくＭＰＳ（安全ブロックＩ及びＩＩ）によって軽減するこ
とができる。
障によるプラント過渡変化に応答しないものである。安全ブロックＩ及びＩＩ内並びに安
全ブロックＩ及びＩＩ内間の属性を使用することで、未検出の故障又はＣＣＦが２つ以上
のブロックに影響を及ぼすのを防止するために十分な多様性を得ることができる。２つの
ブロックのうちの１つのみが保護措置を自動的に開始するために必要とされる場合、タイ
プ２故障は、追加のシステムなくＭＰＳ（安全ブロックＩ及びＩＩ）によって軽減するこ
とができる。
[0215]タイプ３故障は、設計基準事象を検出するために依拠する１次センサが異常な読
取りをもたらすものである。少なくとも２つの安全機能を提供することによって、安全ブ
ロック内で信号多様性を得ることができ、各安全機能は、任意の過渡事象に対して異なる
測定されたパラメータに基づく。所与の安全機能に対するセンサのすべての４つの分離グ
ループが、異常な読取りを提供する場合、タイプ３故障に対しては、１）異常な読取りが
、実際に限界を超過したときにトリップなし又はＥＳＦ作動が必要とされることを示す、
及び２）異常な読取りが、限界を超過していないがトリップ又はＥＳＦ作動が必要とされ
ることを示す（たとえば、擬似トリップ又はＥＳＦ作動）という２つの可能な不都合なシ
ナリオが存在しうる。第１のシナリオでは、安全ブロック内のＣＣＦと同時発生のタイプ
３故障が、必要な保護措置（複数可）の開始を妨げる可能性がない。前述したように、信
号多様性は、過渡事象を軽減するために別個の安全機能を利用可能にすることができる。
ＭＰＳ内のＣＣＦは、２つの安全ブロックのうちの１つに制限されており、保護措置の開
始を妨げ又は偽の標示により開始を妨げると考えられる。たとえば、上記で論じたように
、ツーアウトオブフォーの一致論理をすべてのトリップ及びＥＳＦ作動に使用することが
でき、これは、影響を受けない安全ブロック上の影響を受けない安全機能に対して、４つ
の分離グループのうちの２つが、トリップ又はＥＳＦ作動に対する必要を示し、実行され
た措置の操作者に正の標示を提供することを意味する。
取りをもたらすものである。少なくとも２つの安全機能を提供することによって、安全ブ
ロック内で信号多様性を得ることができ、各安全機能は、任意の過渡事象に対して異なる
測定されたパラメータに基づく。所与の安全機能に対するセンサのすべての４つの分離グ
ループが、異常な読取りを提供する場合、タイプ３故障に対しては、１）異常な読取りが
、実際に限界を超過したときにトリップなし又はＥＳＦ作動が必要とされることを示す、
及び２）異常な読取りが、限界を超過していないがトリップ又はＥＳＦ作動が必要とされ
ることを示す（たとえば、擬似トリップ又はＥＳＦ作動）という２つの可能な不都合なシ
ナリオが存在しうる。第１のシナリオでは、安全ブロック内のＣＣＦと同時発生のタイプ
３故障が、必要な保護措置（複数可）の開始を妨げる可能性がない。前述したように、信
号多様性は、過渡事象を軽減するために別個の安全機能を利用可能にすることができる。
ＭＰＳ内のＣＣＦは、２つの安全ブロックのうちの１つに制限されており、保護措置の開
始を妨げ又は偽の標示により開始を妨げると考えられる。たとえば、上記で論じたように
、ツーアウトオブフォーの一致論理をすべてのトリップ及びＥＳＦ作動に使用することが
でき、これは、影響を受けない安全ブロック上の影響を受けない安全機能に対して、４つ
の分離グループのうちの２つが、トリップ又はＥＳＦ作動に対する必要を示し、実行され
た措置の操作者に正の標示を提供することを意味する。
[0216]第２のシナリオでは、安全ブロック内のＣＣＦと同時発生のタイプ３故障の結果
、擬似トリップ又はＥＳＦ作動をもたらし、１Ｅ Ｍ／Ｉブロックは、１つの正及び１つ
の偽の作動成功の標示を示し、又は１つの正を示すが、作動の標示を示さない。いずれの
場合も、操作者が擬似作動を評価及び補正するにはより長い時間がかかることがあるが、
必要な構成要素を再び位置合わせする能力は、同じＣＣＦによる影響を受けないはずの１
Ｅ及び非１Ｅ両方の制御によって提供される。擬似ＥＳＦ作動は、このシナリオで最も限
定的な事象であると考えることができる。
、擬似トリップ又はＥＳＦ作動をもたらし、１Ｅ Ｍ／Ｉブロックは、１つの正及び１つ
の偽の作動成功の標示を示し、又は１つの正を示すが、作動の標示を示さない。いずれの
場合も、操作者が擬似作動を評価及び補正するにはより長い時間がかかることがあるが、
必要な構成要素を再び位置合わせする能力は、同じＣＣＦによる影響を受けないはずの１
Ｅ及び非１Ｅ両方の制御によって提供される。擬似ＥＳＦ作動は、このシナリオで最も限
定的な事象であると考えることができる。
[0217]別の分析指針は階層要件である。システム調査を簡略化する詳細レベルを表すブ
ロックを提供するために、４つの概念的防御階層は、いくつかのブロックで組み合わせら
れるだけではなく（たとえば、ＲＴＳ及びＥＳＦＡＳ）、別個のブロック（たとえば、安
全ブロックＩ及びＩＩ、１Ｅ Ｍ／Ｉ Ｉ及びＩＩ）に分割される。いくつかの態様では
、分離グループ、ＲＴＳ、及びＥＳＦＡＳは、これらが基づくプログラマブル技術に従っ
て、安全ブロックにグループ化される。たとえば、ＭＰＳの各半分（たとえば、４つの分
離グループのうちの２つ、ＥＳＦＡＳの２つのディビジョンのうちの１つ、及びＲＴＳの
２つのディビジョンのうちの１つ）又は１つの安全ブロックが、十分な多様性属性を有す
ることができる。異なるプログラマブル技術（設計及び機器多様性）に基づいて異なるプ
ログラマブルデジタルハードウェアを利用する異なる設計チーム（人的多様性）は、異な
る設計ツール（ソフトウェア多様性）の使用を必要とする。Ｍ／Ｉ階層はまた、別個のブ
ロックに分割することができる。１Ｅ Ｍ／Ｉブロックを分割して、安全ブロックと類似
の多様性属性を有することを識別することができる。選択されたブロックがどのように４
つの防御階層に分かれるかが、図１１００を示す図１１に示されている。
ロックを提供するために、４つの概念的防御階層は、いくつかのブロックで組み合わせら
れるだけではなく（たとえば、ＲＴＳ及びＥＳＦＡＳ）、別個のブロック（たとえば、安
全ブロックＩ及びＩＩ、１Ｅ Ｍ／Ｉ Ｉ及びＩＩ）に分割される。いくつかの態様では
、分離グループ、ＲＴＳ、及びＥＳＦＡＳは、これらが基づくプログラマブル技術に従っ
て、安全ブロックにグループ化される。たとえば、ＭＰＳの各半分（たとえば、４つの分
離グループのうちの２つ、ＥＳＦＡＳの２つのディビジョンのうちの１つ、及びＲＴＳの
２つのディビジョンのうちの１つ）又は１つの安全ブロックが、十分な多様性属性を有す
ることができる。異なるプログラマブル技術（設計及び機器多様性）に基づいて異なるプ
ログラマブルデジタルハードウェアを利用する異なる設計チーム（人的多様性）は、異な
る設計ツール（ソフトウェア多様性）の使用を必要とする。Ｍ／Ｉ階層はまた、別個のブ
ロックに分割することができる。１Ｅ Ｍ／Ｉブロックを分割して、安全ブロックと類似
の多様性属性を有することを識別することができる。選択されたブロックがどのように４
つの防御階層に分かれるかが、図１１００を示す図１１に示されている。
[0218]別の分析指針は、評価方法である。選択されたブロックは、「ブラックボックス
」であると考えるべきであり、したがって想定する必要のあるあらゆる確かな故障は、出
力信号指針（上記で論じた）に従って分析される最も好ましくない結果をもたらす。いく
つかの態様では、特に自動化された安全システム内のＣＣＦに起因する状態を識別してそ
れに応答するために必要とされる時間を分析するとき、システムが作動できないことは、
最悪の場合の故障ではない可能性もある。ブロックは、ハードウェアＣＣＦ及びソフトウ
ェアＣＣＦに基づいて評価される。各ＣＣＦに対して、このブロックを評価すると、１）
偽の標示又は必要とされる措置なしによって故障したまま、２）作動成功の標示による機
能（複数可）の擬似開始、及び３）作動成功の標示のない機能（複数可）の擬似開始とい
う、最も好ましくない結果をもたらす可能性のある３つの可能な出力が得られる。安全ブ
ロックのいずれにおけるＥＩＭも、ソフトウェアＣＣＦに対して脆弱であるとは考えられ
ない。たとえば、ＥＩＭは、単一のＥＳＦ構成要素又は原子炉トリップ遮断器に専用の優
先論理モジュールとすることができ、手動及び自動制御とインタフェース接続する。有限
状態機械を使用することで、状態機械のすべての可能な入力、デバイス状態、及び出力を
含む機能の網羅的な試験を可能にすることができる。そのテスト容易性、ＥＩＭ多様性属
性に基づいて、単一の構成要素に専用であるＥＩＭは、ソフトウェア又はソフトウェア論
理に基づくＣＣＦの考慮が必要とされないほど十分に簡潔にすることができる。
」であると考えるべきであり、したがって想定する必要のあるあらゆる確かな故障は、出
力信号指針（上記で論じた）に従って分析される最も好ましくない結果をもたらす。いく
つかの態様では、特に自動化された安全システム内のＣＣＦに起因する状態を識別してそ
れに応答するために必要とされる時間を分析するとき、システムが作動できないことは、
最悪の場合の故障ではない可能性もある。ブロックは、ハードウェアＣＣＦ及びソフトウ
ェアＣＣＦに基づいて評価される。各ＣＣＦに対して、このブロックを評価すると、１）
偽の標示又は必要とされる措置なしによって故障したまま、２）作動成功の標示による機
能（複数可）の擬似開始、及び３）作動成功の標示のない機能（複数可）の擬似開始とい
う、最も好ましくない結果をもたらす可能性のある３つの可能な出力が得られる。安全ブ
ロックのいずれにおけるＥＩＭも、ソフトウェアＣＣＦに対して脆弱であるとは考えられ
ない。たとえば、ＥＩＭは、単一のＥＳＦ構成要素又は原子炉トリップ遮断器に専用の優
先論理モジュールとすることができ、手動及び自動制御とインタフェース接続する。有限
状態機械を使用することで、状態機械のすべての可能な入力、デバイス状態、及び出力を
含む機能の網羅的な試験を可能にすることができる。そのテスト容易性、ＥＩＭ多様性属
性に基づいて、単一の構成要素に専用であるＥＩＭは、ソフトウェア又はソフトウェア論
理に基づくＣＣＦの考慮が必要とされないほど十分に簡潔にすることができる。
[0219]別の分析指針は、ブロックの想定される共通原因故障である。１Ｅ Ｍ／Ｉブロ
ックは、ビデオ表示ユニット（デジタルハードウェア）及び手動制御（非デジタルハード
ウェア）の組合せを伴う。ＶＤＵは、標示専用に設計することができ、機器を制御する能
力をもたない。各１Ｅ Ｍ／Ｉブロック１００４ａ／ｂにおける手動制御は、安全ブロッ
クＩ又はＩＩによって自動的に実行される任意の保護措置をディビジョンレベルで開始す
る能力を操作者に提供する。いくつかの例では、標示及び手動制御が異なるハードウェア
（たとえば、デジタルと開閉コンタクトスイッチ）である場合、ＣＣＦは、両方ではなく
一方又は他方に影響を及ぼすと考えることができる。ソフトウェア及びハードウェア両方
のＣＣＦの場合、故障したままの状態の結果、操作者ディスプレイの１つのディビジョン
が、偽の安全な動作状態又は手動スイッチの１つのディビジョンの故障を示す。ＶＤＵは
、ほとんど又はまったく制御能力を有しておらず、したがって擬似作動を提供することは
ないが、ソフトウェアＣＣＦによって、ＶＤＵは、操作者が擬似保護措置を開始すること
を求める偽の作動成功の標示又は不正確なプラント状態を提供することがある。
ックは、ビデオ表示ユニット（デジタルハードウェア）及び手動制御（非デジタルハード
ウェア）の組合せを伴う。ＶＤＵは、標示専用に設計することができ、機器を制御する能
力をもたない。各１Ｅ Ｍ／Ｉブロック１００４ａ／ｂにおける手動制御は、安全ブロッ
クＩ又はＩＩによって自動的に実行される任意の保護措置をディビジョンレベルで開始す
る能力を操作者に提供する。いくつかの例では、標示及び手動制御が異なるハードウェア
（たとえば、デジタルと開閉コンタクトスイッチ）である場合、ＣＣＦは、両方ではなく
一方又は他方に影響を及ぼすと考えることができる。ソフトウェア及びハードウェア両方
のＣＣＦの場合、故障したままの状態の結果、操作者ディスプレイの１つのディビジョン
が、偽の安全な動作状態又は手動スイッチの１つのディビジョンの故障を示す。ＶＤＵは
、ほとんど又はまったく制御能力を有しておらず、したがって擬似作動を提供することは
ないが、ソフトウェアＣＣＦによって、ＶＤＵは、操作者が擬似保護措置を開始すること
を求める偽の作動成功の標示又は不正確なプラント状態を提供することがある。
[0220]ＥＩＭを除いて、安全ブロック内のモジュールは、ソフトウェアＣＣＦを有する
と想定される。安全ブロック内の多様性属性のため、ソフトウェアＣＣＦは、ＳＦＭ上の
ＣＭ又は機能（複数可）に制限することができる。ＳＦＭが適切なトリップ判定を行うこ
とを妨げる安全ブロック内のソフトウェアＣＣＦは、そのブロック内の機器、信号、及び
ソフトウェアの多様性によって軽減することができる。各過渡事象に対して、事象を軽減
するために必要とされる１次及び補助安全機能は、異なる物理的作用の測定されたパラメ
ータに基づいて、異なる論理／アルゴリズムを使用して、別個の安全機能上で実施するこ
とができる。３重モジュール冗長性を有し、各データバスが同じ情報を異なる方法で伝送
する実施形態では、ソフトウェアＣＣＦを有するＣＭは、擬似的に開始したり、保護措置
の開始を妨げたりすることができない。その結果、最も好ましくないシナリオは、ＥＳＦ
ＡＳ機能の擬似作動をもたらすＳＦＭ内のソフトウェアＣＣＦになる。
と想定される。安全ブロック内の多様性属性のため、ソフトウェアＣＣＦは、ＳＦＭ上の
ＣＭ又は機能（複数可）に制限することができる。ＳＦＭが適切なトリップ判定を行うこ
とを妨げる安全ブロック内のソフトウェアＣＣＦは、そのブロック内の機器、信号、及び
ソフトウェアの多様性によって軽減することができる。各過渡事象に対して、事象を軽減
するために必要とされる１次及び補助安全機能は、異なる物理的作用の測定されたパラメ
ータに基づいて、異なる論理／アルゴリズムを使用して、別個の安全機能上で実施するこ
とができる。３重モジュール冗長性を有し、各データバスが同じ情報を異なる方法で伝送
する実施形態では、ソフトウェアＣＣＦを有するＣＭは、擬似的に開始したり、保護措置
の開始を妨げたりすることができない。その結果、最も好ましくないシナリオは、ＥＳＦ
ＡＳ機能の擬似作動をもたらすＳＦＭ内のソフトウェアＣＣＦになる。
[0221]安全ブロック内のハードウェアＣＣＦは、ブロックが必要な保護措置を検出及び
開始することができない完全な故障であると想定することができる。ＥＳＦ機能の擬似作
動をもたらすハードウェアＣＣＦは、ソフトウェアＣＣＦによる擬似作動と同じ影響を及
ぼすことがあり、したがってハードウェアＣＣＦに関して繰り返し考慮しないものとする
。
開始することができない完全な故障であると想定することができる。ＥＳＦ機能の擬似作
動をもたらすハードウェアＣＣＦは、ソフトウェアＣＣＦによる擬似作動と同じ影響を及
ぼすことがあり、したがってハードウェアＣＣＦに関して繰り返し考慮しないものとする
。
[0222]非１Ｅ Ｍ／Ｉは、安全及び不安全機器に対する制御を含む。非１Ｅに対するＶ
ＤＵは、１Ｅ Ｍ／Ｉによって使用されるものとは異なる。非１Ｅ Ｍ／Ｉは、通常の日
々の動作に使用されるため、非１Ｅ Ｍ／Ｉサブシステム（たとえば、タービン制御、給
水制御）内でソフトウェア又はハードウェアＣＣＦによって誘起されるあらゆる擬似作動
は、ただちに特定可能であり、動作限界を超過した場合、ＭＰＳ（安全ブロックＩ及びＩ
Ｉ）によって軽減することができる。非１Ｅに対する想定される故障は、１）作動成功の
標示の有無にかかわらずサブシステムの構成要素の擬似作動、及び２）機器が実際には作
動していないときの作動成功の標示によって、正常状態で失敗することである。
ＤＵは、１Ｅ Ｍ／Ｉによって使用されるものとは異なる。非１Ｅ Ｍ／Ｉは、通常の日
々の動作に使用されるため、非１Ｅ Ｍ／Ｉサブシステム（たとえば、タービン制御、給
水制御）内でソフトウェア又はハードウェアＣＣＦによって誘起されるあらゆる擬似作動
は、ただちに特定可能であり、動作限界を超過した場合、ＭＰＳ（安全ブロックＩ及びＩ
Ｉ）によって軽減することができる。非１Ｅに対する想定される故障は、１）作動成功の
標示の有無にかかわらずサブシステムの構成要素の擬似作動、及び２）機器が実際には作
動していないときの作動成功の標示によって、正常状態で失敗することである。
[0223]ＭＣＳは、特定の動作中過渡変化を抑制することを含む動作限界内で日々のプラ
ント動作を維持するために依拠する不安全システムを含む。したがって、サブシステム（
たとえば、棒制御）のあらゆる故障は、操作者によってすぐに検出することができる。非
１Ｅ Ｍ／Ｉと同様に、ＭＣＳに対する想定されるソフトウェア及びハードウェアＣＣＦ
は、１）作動成功の標示の有無にかかわらずサブシステムの構成要素の擬似作動、及び２
）機器が実際には作動していないときの作動成功の標示の提供によって、正常状態の失敗
をもたらす。
ント動作を維持するために依拠する不安全システムを含む。したがって、サブシステム（
たとえば、棒制御）のあらゆる故障は、操作者によってすぐに検出することができる。非
１Ｅ Ｍ／Ｉと同様に、ＭＣＳに対する想定されるソフトウェア及びハードウェアＣＣＦ
は、１）作動成功の標示の有無にかかわらずサブシステムの構成要素の擬似作動、及び２
）機器が実際には作動していないときの作動成功の標示の提供によって、正常状態の失敗
をもたらす。
[0224]別の分析指針は、同一のハードウェア及びソフトウェアモジュールを使用するこ
とである。ここで、ブロック間の多様性は、ブロックを同一と考えない基本を提供する。
この基本に基づいて、想定されるＣＣＦは、単一のブロックに制限することができる。
とである。ここで、ブロック間の多様性は、ブロックを同一と考えない基本を提供する。
この基本に基づいて、想定されるＣＣＦは、単一のブロックに制限することができる。
[0225]別の分析指針は、他のブロックの影響である。すべてのブロックは、正確又は不
正確な入力に応答して正確に機能すると考えられる。各ブロックは、独立しており、別の
ブロック内の想定されるＣＣＦによる影響を受けないと考えられる。
正確な入力に応答して正確に機能すると考えられる。各ブロックは、独立しており、別の
ブロック内の想定されるＣＣＦによる影響を受けないと考えられる。
[0226]別の分析指針は、出力信号である。いくつかの態様では、Ｉ＆Ｃアーキテクチャ
は、エラーが前のブロックの出力内へ後方波及するのを防止することができる。安全ブロ
ックＩ及びＩＩから１Ｅ Ｍ／Ｉへのすべての情報は、光学的に隔離された伝送専用の通
信エンジン（ＣＭ６００に示す）を通って送ることができる。１Ｅ Ｍ／Ｉから安全ブロ
ックへの信号は、手動スイッチからの開閉コンタクトとすることができ、これらの位置又
は接触状態は安全ブロック内のＣＣＦによって変化することはない。安全ブロック間の通
信は、分離グループＡ及びＣからＥＳＦＡＳ及びＲＴＳのディビジョンＩＩへ、また分離
グループＢ及びＤからＥＳＦＡＳ及びＲＴＳのディビジョンＩへ送られるデータとするこ
とができる。４つの分離グループは独立しておりかつ冗長であるが、図１０の例示を目的
として、これらの分離グループは、使用するプログラマブル技術に従って安全ブロックに
グループ化される。安全ブロックと１Ｅ Ｍ／Ｉとの間の通信と同様に、分離グループか
らＲＴＳ及びＥＳＦＡＳのいずれかのディビジョンへの通信は、光学的に隔離された伝送
専用の通信エンジンを通って行うことができる。安全ブロックへの不安全入力は、ＥＳＦ
ＡＳ ＥＩＭとすることができ、これは隔離された開閉コンタクトに制限することができ
る。
は、エラーが前のブロックの出力内へ後方波及するのを防止することができる。安全ブロ
ックＩ及びＩＩから１Ｅ Ｍ／Ｉへのすべての情報は、光学的に隔離された伝送専用の通
信エンジン（ＣＭ６００に示す）を通って送ることができる。１Ｅ Ｍ／Ｉから安全ブロ
ックへの信号は、手動スイッチからの開閉コンタクトとすることができ、これらの位置又
は接触状態は安全ブロック内のＣＣＦによって変化することはない。安全ブロック間の通
信は、分離グループＡ及びＣからＥＳＦＡＳ及びＲＴＳのディビジョンＩＩへ、また分離
グループＢ及びＤからＥＳＦＡＳ及びＲＴＳのディビジョンＩへ送られるデータとするこ
とができる。４つの分離グループは独立しておりかつ冗長であるが、図１０の例示を目的
として、これらの分離グループは、使用するプログラマブル技術に従って安全ブロックに
グループ化される。安全ブロックと１Ｅ Ｍ／Ｉとの間の通信と同様に、分離グループか
らＲＴＳ及びＥＳＦＡＳのいずれかのディビジョンへの通信は、光学的に隔離された伝送
専用の通信エンジンを通って行うことができる。安全ブロックへの不安全入力は、ＥＳＦ
ＡＳ ＥＩＭとすることができ、これは隔離された開閉コンタクトに制限することができ
る。
[0227]安全ブロックからのすべての入力は、光学的に隔離された伝送専用の通信エンジ
ンからとすることができる。これにより、１Ｅ Ｍ／Ｉ内の何らかのエラーが安全ブロッ
クへ後方波及することを防止することができる。
ンからとすることができる。これにより、１Ｅ Ｍ／Ｉ内の何らかのエラーが安全ブロッ
クへ後方波及することを防止することができる。
[0228]別の分析指針は、予想運転事象に対する多様性である。過渡事象に関連する単一
のＣＣＦ又はタイプ２故障は、ＭＰＳがその安全機能を実行することを妨げない。ともに
ＭＰＳを構成する安全ブロックＩ及びＩＩは、ＣＣＦを１つのブロックに制限するように
選択することができる。従来、原子力プラントは、ＭＰＳがＣＣＦによって無効にされた
場合に機能を開始する多様な方法を提供するために、多様な作動システム（ＤＡＳ）又は
スクラム失敗事象（ＡＴＷＳ）システムに依拠してきた。しかし、図示のＭＰＳ設計では
、単一のＣＣＦでも安全機能を開始するのに十分な多様性がシステム内に存在することが
できる。ここで、ＭＰＳは、安全ブロックＩ及びＩＩ（たとえば、１００６ａ／ｂ）に分
割される。想定されるソフトウェア又はハードウェアＣＣＦは、１つの安全ブロックに制
限されるはずである。各ブロックは、異なる設計ツール（ソフトウェア多様性）の使用を
必要とする異なるプログラマブル技術に基づいて異なるプログラマブルデジタルハードウ
ェア（設計及び機器多様性）を利用する異なる設計チーム（人的多様性）を使用する。い
ずれのブロック内でも、別個のＳＦＭ上で実施される異なる物理的作用の測定される変数
（複数可）に基づいて、少なくとも２つの安全機能が存在することができる。すべての論
理は、有限状態機械内で実施することができ、すべての安全データは、決定論的に通信す
ることができる。これらの属性により、ＣＣＦに関連するタイプ３故障でも、ＭＰＳが必
要な保護措置を開始するのを妨げることはできない。
のＣＣＦ又はタイプ２故障は、ＭＰＳがその安全機能を実行することを妨げない。ともに
ＭＰＳを構成する安全ブロックＩ及びＩＩは、ＣＣＦを１つのブロックに制限するように
選択することができる。従来、原子力プラントは、ＭＰＳがＣＣＦによって無効にされた
場合に機能を開始する多様な方法を提供するために、多様な作動システム（ＤＡＳ）又は
スクラム失敗事象（ＡＴＷＳ）システムに依拠してきた。しかし、図示のＭＰＳ設計では
、単一のＣＣＦでも安全機能を開始するのに十分な多様性がシステム内に存在することが
できる。ここで、ＭＰＳは、安全ブロックＩ及びＩＩ（たとえば、１００６ａ／ｂ）に分
割される。想定されるソフトウェア又はハードウェアＣＣＦは、１つの安全ブロックに制
限されるはずである。各ブロックは、異なる設計ツール（ソフトウェア多様性）の使用を
必要とする異なるプログラマブル技術に基づいて異なるプログラマブルデジタルハードウ
ェア（設計及び機器多様性）を利用する異なる設計チーム（人的多様性）を使用する。い
ずれのブロック内でも、別個のＳＦＭ上で実施される異なる物理的作用の測定される変数
（複数可）に基づいて、少なくとも２つの安全機能が存在することができる。すべての論
理は、有限状態機械内で実施することができ、すべての安全データは、決定論的に通信す
ることができる。これらの属性により、ＣＣＦに関連するタイプ３故障でも、ＭＰＳが必
要な保護措置を開始するのを妨げることはできない。
[0229]別の分析指針は、事故に対する多様性である。ＡＯＯと同様に、ＭＰＳ内のＣＣ
Ｆエラーに関連して想定される事故は、ＭＰＳがその安全機能を実行するのを妨げること
はできない。
Ｆエラーに関連して想定される事故は、ＭＰＳがその安全機能を実行するのを妨げること
はできない。
[0230]別の分析指針は、手動操作者措置である。ＭＰＳによって実行される保護措置の
ディビジョンレベルの手動作動は、操作者へ提供することができる。手動の構成要素レベ
ルの制御は、１Ｅ Ｍ／Ｉによって許可された場合、非１Ｅ Ｍ／Ｉを使用して操作者へ
提供される。
ディビジョンレベルの手動作動は、操作者へ提供することができる。手動の構成要素レベ
ルの制御は、１Ｅ Ｍ／Ｉによって許可された場合、非１Ｅ Ｍ／Ｉを使用して操作者へ
提供される。
[0231]図１２は、原子力システムのＭＰＳ１２００安全アーキテクチャの別の例示的な
実施形態の概略図を示す。いくつかの実施形態では、ＭＰＳ１２００は、図２Ａ及び図２
Ｂに示すＭＰＳ２００に類似又は同一とすることができる。概して、図示のＭＰＳ１２０
０は、センサ及び検出器（たとえば、センサ１２０２ａ～１２０２ｄ）の４つの分離グル
ープと、信号調節及び信号調節器（たとえば、信号調節器１２０４ａ～１２０４ｄ）の４
つの分離グループと、トリップ判定（たとえば、トリップ判定１２０８ａ～１２０８ｄ）
の４つの分離グループと、ＲＴＳ投票及び原子炉トリップ遮断器（たとえば、ディビジョ
ンＩのＲＴＳ投票１２１４及びディビジョンＩＩのＲＴＳ投票１２１６）の２つのディビ
ジョンと、工学的安全施設作動システム（ＥＳＦＡＳ）投票及び工学的安全施設（ＥＳＦ
）機器（たとえば、ディビジョンＩのＥＳＦＡＳ投票１２１２及びＥＳＦ機器１２２４、
並びにディビジョンＩＩのＥＳＦＡＳ投票１２１８及びＥＳＦ機器１２２６）の２つのデ
ィビジョンとを含む。
実施形態の概略図を示す。いくつかの実施形態では、ＭＰＳ１２００は、図２Ａ及び図２
Ｂに示すＭＰＳ２００に類似又は同一とすることができる。概して、図示のＭＰＳ１２０
０は、センサ及び検出器（たとえば、センサ１２０２ａ～１２０２ｄ）の４つの分離グル
ープと、信号調節及び信号調節器（たとえば、信号調節器１２０４ａ～１２０４ｄ）の４
つの分離グループと、トリップ判定（たとえば、トリップ判定１２０８ａ～１２０８ｄ）
の４つの分離グループと、ＲＴＳ投票及び原子炉トリップ遮断器（たとえば、ディビジョ
ンＩのＲＴＳ投票１２１４及びディビジョンＩＩのＲＴＳ投票１２１６）の２つのディビ
ジョンと、工学的安全施設作動システム（ＥＳＦＡＳ）投票及び工学的安全施設（ＥＳＦ
）機器（たとえば、ディビジョンＩのＥＳＦＡＳ投票１２１２及びＥＳＦ機器１２２４、
並びにディビジョンＩＩのＥＳＦＡＳ投票１２１８及びＥＳＦ機器１２２６）の２つのデ
ィビジョンとを含む。
[0232]概して、センサ１２０２ａ～１２０２ｄは、圧力、温度、レベル、流体流速、及
び中性子束などの異なるプロセスパラメータの測定を担うプロセスセンサを含む。したが
って、原子力システム１５０の各プロセスパラメータは、異なるセンサを使用して測定さ
れ、異なる論理エンジンによって実行される異なるアルゴリズムによって処理される。い
くつかの態様では、中性子束センサは、停止状態から全出力の１２０パーセントまでの炉
心からの中性子束の測定を担う。ＭＰＳ１２００内では、中性子源領域、中間領域、及び
出力領域を含む３つのタイプの中性子束検出器を使用することができる。
び中性子束などの異なるプロセスパラメータの測定を担うプロセスセンサを含む。したが
って、原子力システム１５０の各プロセスパラメータは、異なるセンサを使用して測定さ
れ、異なる論理エンジンによって実行される異なるアルゴリズムによって処理される。い
くつかの態様では、中性子束センサは、停止状態から全出力の１２０パーセントまでの炉
心からの中性子束の測定を担う。ＭＰＳ１２００内では、中性子源領域、中間領域、及び
出力領域を含む３つのタイプの中性子束検出器を使用することができる。
[0233]概して、信号調節器１２０４ａ～１２０４ｄは、センサ１２０２ａ～１２０２ｄ
からの測定を受け取り、これらの測定を処理し、出力を提供する。いくつかの態様では、
信号調節器１２０４ａ～１２０４ｄへのセンサ１２０２ａ～１２０２ｄの相互接続は、専
用の銅線又は何らかの他の信号伝送方法とすることができる。
からの測定を受け取り、これらの測定を処理し、出力を提供する。いくつかの態様では、
信号調節器１２０４ａ～１２０４ｄへのセンサ１２０２ａ～１２０２ｄの相互接続は、専
用の銅線又は何らかの他の信号伝送方法とすることができる。
[0234]信号調節器１２０４ａ～１２０４ｄは各々、図２１に示すように、複数の入力モ
ジュール２１０４ａ～２１０４ｄ（たとえば、センサ入力の数に応じて任意の数のモジュ
ールを示す）から構成することができ、入力モジュール２１０４ａ～２１０４ｄは、セン
サ１２０２ａ～１２０２ｄからのフィールド入力の調節、測定、フィルタリング、及びサ
ンプリングを担う。各入力モジュール２１０４ａ～２１０４ｄは、２４Ｖ若しくは４８Ｖ
のデジタル入力、４～２０ｍＡのアナログ入力、０～１０Ｖのアナログ入力、抵抗熱検出
器入力、又は熱電対入力などの特有の入力タイプに専用とすることができる。
ジュール２１０４ａ～２１０４ｄ（たとえば、センサ入力の数に応じて任意の数のモジュ
ールを示す）から構成することができ、入力モジュール２１０４ａ～２１０４ｄは、セン
サ１２０２ａ～１２０２ｄからのフィールド入力の調節、測定、フィルタリング、及びサ
ンプリングを担う。各入力モジュール２１０４ａ～２１０４ｄは、２４Ｖ若しくは４８Ｖ
のデジタル入力、４～２０ｍＡのアナログ入力、０～１０Ｖのアナログ入力、抵抗熱検出
器入力、又は熱電対入力などの特有の入力タイプに専用とすることができる。
[0235]各入力モジュール２１０４ａ～２１０４ｄは、アナログ回路２１０６及びデジタ
ル回路２１０８から構成することができる。アナログ回路２１０６は、アナログ電圧又は
電流からデジタル表現への変換を担う。アナログ回路はまた、信号調節回路とも呼ばれる
。各入力モジュール２１０４ａ～２１０４ｄのデジタル部分２１０８は、論理エンジン内
に位置することができる。論理エンジンは、すべての入力モジュールの制御、サンプルア
ンドホールドフィルタリング、完全性チェック、自己試験、及びデジタルフィルタリング
機能を実行する。センサ出力のデジタル表現は、いくつかの例では直列インタフェースを
使用して、出力を通って、信号調節器１２０４ａ～１２０４ｄからトリップ判定１２０８
ａ～１２０８ｄへ通信される。いくつかの実施形態では、センサ出力は、任意の適当な伝
送チャネル（たとえば、光ファイバ、銅線など）を通って、センサ１２０２ａ～１２０２
ｄからそれぞれの信号調節器１２０４ａ～１２０４ｄへ通信することができる。
ル回路２１０８から構成することができる。アナログ回路２１０６は、アナログ電圧又は
電流からデジタル表現への変換を担う。アナログ回路はまた、信号調節回路とも呼ばれる
。各入力モジュール２１０４ａ～２１０４ｄのデジタル部分２１０８は、論理エンジン内
に位置することができる。論理エンジンは、すべての入力モジュールの制御、サンプルア
ンドホールドフィルタリング、完全性チェック、自己試験、及びデジタルフィルタリング
機能を実行する。センサ出力のデジタル表現は、いくつかの例では直列インタフェースを
使用して、出力を通って、信号調節器１２０４ａ～１２０４ｄからトリップ判定１２０８
ａ～１２０８ｄへ通信される。いくつかの実施形態では、センサ出力は、任意の適当な伝
送チャネル（たとえば、光ファイバ、銅線など）を通って、センサ１２０２ａ～１２０２
ｄからそれぞれの信号調節器１２０４ａ～１２０４ｄへ通信することができる。
[0236]図１３は、ＭＰＳ１２００の分離グループ信号調節及びトリップ判定１２０４ａ
／１２０８ａ（たとえば、分離グループＡ）の通信アーキテクチャの例示的な実施形態の
概略図を示す。図１２及び図１３を参照すると、トリップ判定１２０８ａ～１２０８ｄは
、概して、直列インタフェースを介して、上述した信号調節器１２０４ａ～１２０４ｄか
らのセンサ入力値をデジタル形式で受け取る。トリップ判定１２０８ａ～１２０８ｄは各
々、独立した安全機能モジュール（ＳＦＭ１～ＳＦＭｎ）１３００（図２１を参照してよ
り詳細に説明する）から構成され、特有のモジュールが、１組の安全機能を実施する（た
とえば、１組は、特定のプロセスパラメータに関係する単一の安全機能又は複数の安全機
能とすることができる）。たとえば、１組の安全機能は、同じ圧力入力からの高トリップ
及び低トリップなど、１次変数に関係する１群の機能からなることができる。各ＳＦＭ１
３００は、１組の安全機能の実施に専用の一意の論理エンジンを含む。この結果、各組の
安全機能のゲートレベルの実施形態は、すべての他の組の安全機能とは完全に異なる。
／１２０８ａ（たとえば、分離グループＡ）の通信アーキテクチャの例示的な実施形態の
概略図を示す。図１２及び図１３を参照すると、トリップ判定１２０８ａ～１２０８ｄは
、概して、直列インタフェースを介して、上述した信号調節器１２０４ａ～１２０４ｄか
らのセンサ入力値をデジタル形式で受け取る。トリップ判定１２０８ａ～１２０８ｄは各
々、独立した安全機能モジュール（ＳＦＭ１～ＳＦＭｎ）１３００（図２１を参照してよ
り詳細に説明する）から構成され、特有のモジュールが、１組の安全機能を実施する（た
とえば、１組は、特定のプロセスパラメータに関係する単一の安全機能又は複数の安全機
能とすることができる）。たとえば、１組の安全機能は、同じ圧力入力からの高トリップ
及び低トリップなど、１次変数に関係する１群の機能からなることができる。各ＳＦＭ１
３００は、１組の安全機能の実施に専用の一意の論理エンジンを含む。この結果、各組の
安全機能のゲートレベルの実施形態は、すべての他の組の安全機能とは完全に異なる。
[0237]センサ入力値は、決定論的経路を介して通信することができ、各トリップ判定１
２０８ａ～１２０８ｄ内の特有のＳＦＭ１３００へ提供される。次いで、これらの入力値
を工学単位に変換し、どの安全機能又はどの組の安全機能がその特有のＳＦＭ１３００で
実施されるかを判定することができる。トリップ判定１２０８ａ～１２０８ｄは、いくつ
かの例では隔離された伝送専用の光ファイバ接続を介して、これらの工学単位値を制御シ
ステムへ提供する。より具体的には、トリップ判定は、適当な工学単位値をＭＩＢ１２０
８へ提供することができ、ＭＩＢ１２０８が、これらの値を制御システムへ提供する。
２０８ａ～１２０８ｄ内の特有のＳＦＭ１３００へ提供される。次いで、これらの入力値
を工学単位に変換し、どの安全機能又はどの組の安全機能がその特有のＳＦＭ１３００で
実施されるかを判定することができる。トリップ判定１２０８ａ～１２０８ｄは、いくつ
かの例では隔離された伝送専用の光ファイバ接続を介して、これらの工学単位値を制御シ
ステムへ提供する。より具体的には、トリップ判定は、適当な工学単位値をＭＩＢ１２０
８へ提供することができ、ＭＩＢ１２０８が、これらの値を制御システムへ提供する。
[0238]各ＳＦＭ１３００内のトリップ判定１２０８ａ～１２０８ｄは、必要とされる場
合、所定の設定点に基づいて原子炉トリップ判定を行い、隔離された、場合により３重冗
長な、伝送専用の直列接続を介して、トリップ又は非トリップ要求信号を各ＲＴＳディビ
ジョン（たとえば、それぞれディビジョンＩ及びＩＩのＲＴＳ投票１２１４及び１２１６
）へ提供する。ＳＦＭはまた、必要とされる場合、所定の設定点に基づいてＥＳＦＡＳ作
動判定を行い、隔離された、場合により３重冗長な、伝送専用の直列接続を介して、作動
又は作動禁止要求信号を各ＥＳＦＡＳディビジョン（たとえば、それぞれディビジョンＩ
及びＩＩのＥＳＦＡＳ投票１２１２及び１２１８）へ提供する。
合、所定の設定点に基づいて原子炉トリップ判定を行い、隔離された、場合により３重冗
長な、伝送専用の直列接続を介して、トリップ又は非トリップ要求信号を各ＲＴＳディビ
ジョン（たとえば、それぞれディビジョンＩ及びＩＩのＲＴＳ投票１２１４及び１２１６
）へ提供する。ＳＦＭはまた、必要とされる場合、所定の設定点に基づいてＥＳＦＡＳ作
動判定を行い、隔離された、場合により３重冗長な、伝送専用の直列接続を介して、作動
又は作動禁止要求信号を各ＥＳＦＡＳディビジョン（たとえば、それぞれディビジョンＩ
及びＩＩのＥＳＦＡＳ投票１２１２及び１２１８）へ提供する。
[0239]図１３に示すように、たとえば、特定のトリップ判定ＳＦＭ１３００は、スケジ
ューリング及びバイパスモジュール（ＳＢＭ）１３０６を通って、トリップ又は非トリッ
プ要求信号をＥＳＦＡＳ投票１２１２／１２１８へ提供する。トリップ判定ＳＦＭ１３０
０は、スケジューリング及びバイパスモジュール（ＳＢＭ）１３０６を通って、トリップ
又は非トリップ要求信号をＲＴＳ投票１２１４／１２１６へ提供する。ＳＢＭ１３０６か
らの出力はまた、概して、図１２に、それぞれトリップ判定１２０８ａ～１２０８ｄから
の出力１２１０ａ～１２１０ｄとして示されている。
ューリング及びバイパスモジュール（ＳＢＭ）１３０６を通って、トリップ又は非トリッ
プ要求信号をＥＳＦＡＳ投票１２１２／１２１８へ提供する。トリップ判定ＳＦＭ１３０
０は、スケジューリング及びバイパスモジュール（ＳＢＭ）１３０６を通って、トリップ
又は非トリップ要求信号をＲＴＳ投票１２１４／１２１６へ提供する。ＳＢＭ１３０６か
らの出力はまた、概して、図１２に、それぞれトリップ判定１２０８ａ～１２０８ｄから
の出力１２１０ａ～１２１０ｄとして示されている。
[0240]図１２へ戻ると、各ＲＴＳディビジョン（たとえば、ディビジョンＩに対するＲ
ＴＳ投票１２１４及びディビジョンＩＩに対するＲＴＳ投票１２１６）は、隔離された、
いくつかの態様では冗長な（たとえば、２重、３重、若しくはその他）、受取り専用の直
列接続、光ファイバ、又は他の接続を介して、上述したように、トリップ判定１２０８ａ
～１２０８ｄ（分離グループＡ、Ｂ、Ｃ、及びＤ）から入力１２１０ａ～１２１０ｄを受
け取る。ＲＴＳ投票及び論理は、例示的な実施形態では、必要とされるセーフガード作動
を単一故障が妨げることがなく、トリップ判定信号（たとえば、１２１０ａ～１２１０ｄ
）内の単一故障が不必要なセーフガード作動を生成することがないように配置される。Ｒ
ＴＳシステムは、緊急炉心冷却システム及び崩壊熱除去システムなどの重要なシステムの
自動及び手動両方の開始を提供することができる。
ＴＳ投票１２１４及びディビジョンＩＩに対するＲＴＳ投票１２１６）は、隔離された、
いくつかの態様では冗長な（たとえば、２重、３重、若しくはその他）、受取り専用の直
列接続、光ファイバ、又は他の接続を介して、上述したように、トリップ判定１２０８ａ
～１２０８ｄ（分離グループＡ、Ｂ、Ｃ、及びＤ）から入力１２１０ａ～１２１０ｄを受
け取る。ＲＴＳ投票及び論理は、例示的な実施形態では、必要とされるセーフガード作動
を単一故障が妨げることがなく、トリップ判定信号（たとえば、１２１０ａ～１２１０ｄ
）内の単一故障が不必要なセーフガード作動を生成することがないように配置される。Ｒ
ＴＳシステムは、緊急炉心冷却システム及び崩壊熱除去システムなどの重要なシステムの
自動及び手動両方の開始を提供することができる。
[0241]トリップ入力は、ＲＴＳ投票論理で組み合わせられ、その結果、トリップ判定１
２０８ａ～１２０８ｄからの２つ以上の原子炉トリップ入力が、出力１２２８及び１２３
０（各ディビジョンに適当）で自動原子炉トリップ出力信号を生じさせ、出力１２２８及
び１２３０は、それぞれのディビジョンに関連付けられた原子炉トリップ遮断器（ＲＴＢ
）１２４４に対するトリップコイルを作動させる。
２０８ａ～１２０８ｄからの２つ以上の原子炉トリップ入力が、出力１２２８及び１２３
０（各ディビジョンに適当）で自動原子炉トリップ出力信号を生じさせ、出力１２２８及
び１２３０は、それぞれのディビジョンに関連付けられた原子炉トリップ遮断器（ＲＴＢ
）１２４４に対するトリップコイルを作動させる。
[0242]例示的な実施形態では、ＥＳＦＡＳ投票及び論理は、必要とされるセーフガード
作動を単一故障が妨げることがなく、トリップ判定信号（たとえば、１２１０ａ～１２１
０ｄ）内の単一故障が不必要なセーフガード作動を生成することがないように配置される
。ＥＳＦＡＳシステムは、緊急炉心冷却システム及び崩壊熱除去システムなどの重要なシ
ステムの自動及び手動両方の開始を提供することができる。
作動を単一故障が妨げることがなく、トリップ判定信号（たとえば、１２１０ａ～１２１
０ｄ）内の単一故障が不必要なセーフガード作動を生成することがないように配置される
。ＥＳＦＡＳシステムは、緊急炉心冷却システム及び崩壊熱除去システムなどの重要なシ
ステムの自動及び手動両方の開始を提供することができる。
[0243]各ＥＳＦＡＳ投票１２１２／１２１８は、隔離された、いくつかの態様では冗長
な（たとえば、２重、３重、又はその他）、受取り専用の光ファイバ接続を介して、上述
したように、トリップ判定１２０８ａ～１２０８ｄ（分離グループＡ、Ｂ、Ｃ、及びＤ）
から入力１２１０ａ～１２１０ｄを受け取る。作動論理及び投票は、ＥＳＦＡＳ投票１２
１２／１２１８内で行われる。ＥＳＦＡＳ投票１２１２／１２１８が、作動が必要とされ
ると判定したとき、ＥＳＦＡＳ投票１２１２／１２１８は、作動要求信号をそれぞれＥＳ
ＦＡＳ優先論理１２２０／１２２２へ送り、ＥＳＦＡＳ優先論理１２２０／１２２２は、
適当なＥＳＦ機器１２２４及び１２２６を作動させる。
な（たとえば、２重、３重、又はその他）、受取り専用の光ファイバ接続を介して、上述
したように、トリップ判定１２０８ａ～１２０８ｄ（分離グループＡ、Ｂ、Ｃ、及びＤ）
から入力１２１０ａ～１２１０ｄを受け取る。作動論理及び投票は、ＥＳＦＡＳ投票１２
１２／１２１８内で行われる。ＥＳＦＡＳ投票１２１２／１２１８が、作動が必要とされ
ると判定したとき、ＥＳＦＡＳ投票１２１２／１２１８は、作動要求信号をそれぞれＥＳ
ＦＡＳ優先論理１２２０／１２２２へ送り、ＥＳＦＡＳ優先論理１２２０／１２２２は、
適当なＥＳＦ機器１２２４及び１２２６を作動させる。
[0244]図１４は、例示的な分離グループ並びにディビジョン原子炉トリップシステム（
ＲＴＳ）及びＥＳＦＡＳ通信アーキテクチャの概略図１４００を示す。たとえば、図１４
は、信号調節及びトリップ判定グループＡ（１２０４ａ／１２０８ａ）、ＲＴＳ投票ディ
ビジョンＩ１２１４、及びＥＳＦＡＳ投票ディビジョンＩ１２１２の個々の構成要素モジ
ュールを示す。加えて、図１４は、分離グループ（ＨＷＭ１３１０）、ＲＴＳディビジョ
ン（ＨＷＭ１４０２）、及びＥＳＦＡＳディビジョン（ＨＷＭ１４０８）に関連付けられ
たハードワイヤードモジュール（ＨＷＭ）を示す。以下により詳細に説明するように、各
ＨＷＭ１３１０／１４０２／１４０８は、それぞれのバックプレーン１３１２／１４０４
／１４０６を通って、ハードワイヤードアナログ信号を、関連付けられた構成要素モジュ
ールへ渡す。
ＲＴＳ）及びＥＳＦＡＳ通信アーキテクチャの概略図１４００を示す。たとえば、図１４
は、信号調節及びトリップ判定グループＡ（１２０４ａ／１２０８ａ）、ＲＴＳ投票ディ
ビジョンＩ１２１４、及びＥＳＦＡＳ投票ディビジョンＩ１２１２の個々の構成要素モジ
ュールを示す。加えて、図１４は、分離グループ（ＨＷＭ１３１０）、ＲＴＳディビジョ
ン（ＨＷＭ１４０２）、及びＥＳＦＡＳディビジョン（ＨＷＭ１４０８）に関連付けられ
たハードワイヤードモジュール（ＨＷＭ）を示す。以下により詳細に説明するように、各
ＨＷＭ１３１０／１４０２／１４０８は、それぞれのバックプレーン１３１２／１４０４
／１４０６を通って、ハードワイヤードアナログ信号を、関連付けられた構成要素モジュ
ールへ渡す。
[0245]図１２～１４を集合的に参照すると、ＭＰＳ１２００の主な目的は、プロセスパ
ラメータを監視し、正常外状態に応答して自動開始信号を提供し、定常状態及び過渡電力
動作中の安全でない原子力システム動作からの保護を提供することである。各原子力シス
テムに対して１つのＭＰＳ１２００が存在する。ＭＰＳ１２００が実行する２つの主な機
能があり、１つは、プラントパラメータを監視し、予想運転事象中にプラント安全分析の
分析限界に基づく指定の設定点に到達し又は超過したときは原子炉を緊急停止することで
ある。ＲＴＳに対する例示的な原子力システムの原子炉トリップ機能が、表１（図２７に
示す）に挙げられている。もう１つは、プラントパラメータを監視し、予想運転事象中に
プラント安全分析の分析限界に基づく指定の設定点に到達し又は超過したときはＥＳＦＡ
Ｓ機器を作動させることである。ＥＳＦＡＳ機器の作動により、炉心及び原子炉冷却材シ
ステム構成要素の損傷が防止又は軽減され、格納の完全性が確実になる。例示的なＥＳＦ
ＡＳ機能が、表２（図２８Ａ～２８Ｃに示す）に要約されている。
ラメータを監視し、正常外状態に応答して自動開始信号を提供し、定常状態及び過渡電力
動作中の安全でない原子力システム動作からの保護を提供することである。各原子力シス
テムに対して１つのＭＰＳ１２００が存在する。ＭＰＳ１２００が実行する２つの主な機
能があり、１つは、プラントパラメータを監視し、予想運転事象中にプラント安全分析の
分析限界に基づく指定の設定点に到達し又は超過したときは原子炉を緊急停止することで
ある。ＲＴＳに対する例示的な原子力システムの原子炉トリップ機能が、表１（図２７に
示す）に挙げられている。もう１つは、プラントパラメータを監視し、予想運転事象中に
プラント安全分析の分析限界に基づく指定の設定点に到達し又は超過したときはＥＳＦＡ
Ｓ機器を作動させることである。ＥＳＦＡＳ機器の作動により、炉心及び原子炉冷却材シ
ステム構成要素の損傷が防止又は軽減され、格納の完全性が確実になる。例示的なＥＳＦ
ＡＳ機能が、表２（図２８Ａ～２８Ｃに示す）に要約されている。
[0246]ＭＰＳ１２００はまた、状態及び情報信号を、不安全関連ＭＣＳ１５５（図１に
示す）、保守ワークステーション（ＭＷＳ）１３１６、及びＳＤＩＳ（図１８の１８００
）へ伝送し、事故後監視（ＰＡＭ）機能に対する監視を実行する。
示す）、保守ワークステーション（ＭＷＳ）１３１６、及びＳＤＩＳ（図１８の１８００
）へ伝送し、事故後監視（ＰＡＭ）機能に対する監視を実行する。
[0247]ＭＰＳ１２００は、高度に統合された保護システムプラットホーム上に構築され
、これはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）に基づくシステムである。
ＭＰＳ１２００は、上述したように、非依存性、冗長性、予測可能性、及び再現性、並び
に多様性、及び多層防御の根本的なＩ＆Ｃ設計原理を組み込む。
、これはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）に基づくシステムである。
ＭＰＳ１２００は、上述したように、非依存性、冗長性、予測可能性、及び再現性、並び
に多様性、及び多層防御の根本的なＩ＆Ｃ設計原理を組み込む。
[0248]ＭＰＳ１２００は、分離グループセンサ電子機器及び入力パネル、信号調節の４
つの分離グループ、トリップ判定の４つの分離グループ、ディビジョン電力分配パネル、
不安全関連高信頼ＤＣ電力システム（ＥＤＳＳ）電源からの隔離及び電力監視を提供する
１Ｅクラス構成要素、不安全関連ＥＤＳＳからの隔離も提供するセンサ及びＭＰＳ構成要
素に対する電源、ＥＤＳＳ電池充電器への４８０ＶＡＣの損失を検出する８つの電圧セン
サ、４つの原子炉トリップ遮断器、４つの加圧器ヒータトリップ遮断器、２つの不安全関
連ＭＷＳ、２つの不安全関連ＭＰＳゲートウェイ１３１４、ＰＡＭ専用モードに対するデ
ィビジョンごとの３つの２４時間タイマ、ＲＴＳ投票及び作動機器１２１４／１２１６の
２つのディビジョン、ＥＳＦＡＳ投票及び作動機器１２１２／１２１８の２つのディビジ
ョン、原子炉トリップ遮断器１２４４並びに関連するケーブル布線加圧器ヒータトリップ
遮断器及び関連するケーブル布線、低電圧ＡＣ電気分配システム（ＥＬＶＳ）４８０のＶ
ＡＣバス電圧センサ及びＭＰＳへの入力のための関するケーブル布線という安全関連要素
を含むことができる。ＭＰＳ境界は、センサ及び検出器の出力接続から、作動される構成
要素の入力接続へ延びる。
つの分離グループ、トリップ判定の４つの分離グループ、ディビジョン電力分配パネル、
不安全関連高信頼ＤＣ電力システム（ＥＤＳＳ）電源からの隔離及び電力監視を提供する
１Ｅクラス構成要素、不安全関連ＥＤＳＳからの隔離も提供するセンサ及びＭＰＳ構成要
素に対する電源、ＥＤＳＳ電池充電器への４８０ＶＡＣの損失を検出する８つの電圧セン
サ、４つの原子炉トリップ遮断器、４つの加圧器ヒータトリップ遮断器、２つの不安全関
連ＭＷＳ、２つの不安全関連ＭＰＳゲートウェイ１３１４、ＰＡＭ専用モードに対するデ
ィビジョンごとの３つの２４時間タイマ、ＲＴＳ投票及び作動機器１２１４／１２１６の
２つのディビジョン、ＥＳＦＡＳ投票及び作動機器１２１２／１２１８の２つのディビジ
ョン、原子炉トリップ遮断器１２４４並びに関連するケーブル布線加圧器ヒータトリップ
遮断器及び関連するケーブル布線、低電圧ＡＣ電気分配システム（ＥＬＶＳ）４８０のＶ
ＡＣバス電圧センサ及びＭＰＳへの入力のための関するケーブル布線という安全関連要素
を含むことができる。ＭＰＳ境界は、センサ及び検出器の出力接続から、作動される構成
要素の入力接続へ延びる。
[0249]信号調節１２０４ａ～１２０４ｄに対するＳＦＭ１３００は、プロセスセンサ及
び検出器から入力を受け取り、図１２に示すようにプロセスパラメータを測定する。信号
調節１２０４ａ～１２０４ｄへのプロセスセンサ及び検出器の相互接続は、専用の銅線で
あり、センサ要件に基づいて必要とされる場所に従って経路指定される。ＳＦＭ１３００
は、信号調節、トリップ判定、通信エンジンという３つの主機能を実行する。信号調節機
能は、信号調節回路、アナログ－デジタル変換器、及び直列インタフェースからなるＳＦ
Ｍ１３００の一部である入力モジュールから構成される。信号調節機能は、フィールド入
力の調節、測定、フィルタリング、及びサンプリングを担う。
び検出器から入力を受け取り、図１２に示すようにプロセスパラメータを測定する。信号
調節１２０４ａ～１２０４ｄへのプロセスセンサ及び検出器の相互接続は、専用の銅線で
あり、センサ要件に基づいて必要とされる場所に従って経路指定される。ＳＦＭ１３００
は、信号調節、トリップ判定、通信エンジンという３つの主機能を実行する。信号調節機
能は、信号調節回路、アナログ－デジタル変換器、及び直列インタフェースからなるＳＦ
Ｍ１３００の一部である入力モジュールから構成される。信号調節機能は、フィールド入
力の調節、測定、フィルタリング、及びサンプリングを担う。
[0250]トリップ判定１２０８ａ～１２０８ｄは、直列インタフェースを通って、信号調
節ブロックからのプロセス及び検出器入力値をデジタル形式で受け取る。トリップ判定１
２０８ａ～１２０８ｄは、安全機能アルゴリズムを実行し、所定の設定点に基づいてトリ
ップ判定を行い、隔離された、いくつかの態様では冗長な（たとえば、２重、３重、又は
その他）、伝送専用の直列接続を通って、トリップ又はトリップなし要求信号を各ＲＴＳ
ディビジョン１２１４／１２１６へ提供する。ＳＦＭ１３００はまた、所定の設定点に基
づいてＥＳＦＡＳ作動判定を行い、隔離された伝送専用の直列接続を通って、作動又は作
動禁止要求信号を各ＥＳＦＡＳディビジョン１２１２／１２１８へ提供する。
節ブロックからのプロセス及び検出器入力値をデジタル形式で受け取る。トリップ判定１
２０８ａ～１２０８ｄは、安全機能アルゴリズムを実行し、所定の設定点に基づいてトリ
ップ判定を行い、隔離された、いくつかの態様では冗長な（たとえば、２重、３重、又は
その他）、伝送専用の直列接続を通って、トリップ又はトリップなし要求信号を各ＲＴＳ
ディビジョン１２１４／１２１６へ提供する。ＳＦＭ１３００はまた、所定の設定点に基
づいてＥＳＦＡＳ作動判定を行い、隔離された伝送専用の直列接続を通って、作動又は作
動禁止要求信号を各ＥＳＦＡＳディビジョン１２１２／１２１８へ提供する。
[0251]ＳＦＭ内には、監視及び標示バス（ＭＩＢ）機能、並びに較正及び試験バス（Ｃ
ＴＢ）機能という２つの他の論理機能がある。ＭＩＢ論理機能は、コア論理経路の各々か
らパラメータ、トリップ判定、状態、及び診断情報を取得し、それをＭＩＢへ提供する。
ＣＴＢ機能論理は、ＳＦＭ１３００が非稼働中であるとき、ＭＷＳ１３１６が不揮発性メ
モリ内で調整可能なパラメータを更新することを可能にする。インタフェースモジュール
１３０６／１３０８へのＳＦＭ１３００の相互接続を示す分離グループアーキテクチャが
、図１３に示されている。
ＴＢ）機能という２つの他の論理機能がある。ＭＩＢ論理機能は、コア論理経路の各々か
らパラメータ、トリップ判定、状態、及び診断情報を取得し、それをＭＩＢへ提供する。
ＣＴＢ機能論理は、ＳＦＭ１３００が非稼働中であるとき、ＭＷＳ１３１６が不揮発性メ
モリ内で調整可能なパラメータを更新することを可能にする。インタフェースモジュール
１３０６／１３０８へのＳＦＭ１３００の相互接続を示す分離グループアーキテクチャが
、図１３に示されている。
[0252]ＳＦＭ１３００通信エンジンは、トリップ及び作動データを、シャーシバックプ
レーン１３１２上の３つの安全データバス（ＳＤＢ１、ＳＤＢ２、及びＳＤＢ３）１３０
２へ送り、このデータは、スケジューリング及びバイパスモジュール（ＳＢＭ ＳＤ１、
ＳＢＭ ＳＤ２、及びＳＢＭ ＳＤ３）１３０６上で受け取られる。スケジューリング及
びバイパスモジュール（ＳＢＭ）１３０６は、関連付けられたバスのバスマスタであり、
通信のスケジューリングを担う。通信経路及び機器は冗長であり、安全データを単一デー
タ経路上の単一故障又は複数の故障に対して耐障害性にする。ＳＢＭ１３０６は、データ
を認証し、ＲＴＳ１２１４／１２１６及びＥＳＦＡＳ１２１２／１２１８の両方のディビ
ジョンへの隔離された１方向の伝送接続を通って、このデータをそれぞれのスケジューリ
ング及び投票モジュール（ＳＶＭ）１４１０／１４２０へ伝送する。４つの分離グループ
に対する冗長データは、図１２に示すように、ＲＴＳ１２１４／１２１６及びＥＳＦＡＳ
１２１２／１２１８の各ディビジョンによって受け取られる。
レーン１３１２上の３つの安全データバス（ＳＤＢ１、ＳＤＢ２、及びＳＤＢ３）１３０
２へ送り、このデータは、スケジューリング及びバイパスモジュール（ＳＢＭ ＳＤ１、
ＳＢＭ ＳＤ２、及びＳＢＭ ＳＤ３）１３０６上で受け取られる。スケジューリング及
びバイパスモジュール（ＳＢＭ）１３０６は、関連付けられたバスのバスマスタであり、
通信のスケジューリングを担う。通信経路及び機器は冗長であり、安全データを単一デー
タ経路上の単一故障又は複数の故障に対して耐障害性にする。ＳＢＭ１３０６は、データ
を認証し、ＲＴＳ１２１４／１２１６及びＥＳＦＡＳ１２１２／１２１８の両方のディビ
ジョンへの隔離された１方向の伝送接続を通って、このデータをそれぞれのスケジューリ
ング及び投票モジュール（ＳＶＭ）１４１０／１４２０へ伝送する。４つの分離グループ
に対する冗長データは、図１２に示すように、ＲＴＳ１２１４／１２１６及びＥＳＦＡＳ
１２１２／１２１８の各ディビジョンによって受け取られる。
[0253]ＳＦＭ１３００及びＳＢＭ１３０６に対するすべての状態及び診断情報は、ＭＩ
Ｂへ提供される。ＭＩＢ通信モジュール（ＭＩＢ－ＣＭ）１３０８は、ＭＩＢに対するバ
スマスタであり、ＭＩＢに対する通信をスケジュールする。ＭＩＢ－ＣＭ１３０８は、隔
離された１方向の伝送専用出力を通って、状態及び診断情報をＭＣＳ１５５及びＭＰＳゲ
ートウェイ１３１４へ提供する。ＭＰＳゲートウェイ１３１４は、データをＭＷＳ１３１
６及びＳＤＩＳ１８００へ送る。ＭＩＢ－ＣＭ１３０８はまた、各安全機能に対する較正
及びパラメータ更新を可能にするために、ＣＴＢを通ってＭＷＳ１３１６からＳＦＭ１３
００への通信経路（経路１３０４）を提供する。いくつかの実施形態では、パラメータの
変更又はチャネルの較正を可能にするために、安全機能は非稼働中でなければならず、Ｍ
ＷＳ１３１６からＭＩＢ－ＣＭ１３０８への一時ケーブル１３１８が必要とされる。ＭＷ
Ｓ１３１８は、一時ケーブル１３１８を使用して、１度に１つの分離グループにのみアク
セスすることができる。
Ｂへ提供される。ＭＩＢ通信モジュール（ＭＩＢ－ＣＭ）１３０８は、ＭＩＢに対するバ
スマスタであり、ＭＩＢに対する通信をスケジュールする。ＭＩＢ－ＣＭ１３０８は、隔
離された１方向の伝送専用出力を通って、状態及び診断情報をＭＣＳ１５５及びＭＰＳゲ
ートウェイ１３１４へ提供する。ＭＰＳゲートウェイ１３１４は、データをＭＷＳ１３１
６及びＳＤＩＳ１８００へ送る。ＭＩＢ－ＣＭ１３０８はまた、各安全機能に対する較正
及びパラメータ更新を可能にするために、ＣＴＢを通ってＭＷＳ１３１６からＳＦＭ１３
００への通信経路（経路１３０４）を提供する。いくつかの実施形態では、パラメータの
変更又はチャネルの較正を可能にするために、安全機能は非稼働中でなければならず、Ｍ
ＷＳ１３１６からＭＩＢ－ＣＭ１３０８への一時ケーブル１３１８が必要とされる。ＭＷ
Ｓ１３１８は、一時ケーブル１３１８を使用して、１度に１つの分離グループにのみアク
セスすることができる。
[0254]分離グループ信号調節及びトリップ判定１２０４ａ／１２０８ａはまた、手動バ
イパス制御を提供する。主制御室（ＭＣＲ）内の手動スイッチは、操作者が原子炉トリッ
プを手動で開始することを可能にし、１つ又は複数の分離グループ信号に対するバイパス
制御が、それぞれのトリップ信号を手動でバイパスするために提供される。手動スイッチ
は、分離グループのハードワイヤードモジュールＨＷＭ１３１０を通って、ＳＦＭ１３０
０に関連付けられたトリップ判定論理へ入力される。分離グループＨＷＭ１３１０は、ア
ナログハードワイヤードバックプレーン１１３１２を通ってＳＦＭ１３００、ＳＢＭ１４
０６、及びＭＩＢ１３０８に接続される。
イパス制御を提供する。主制御室（ＭＣＲ）内の手動スイッチは、操作者が原子炉トリッ
プを手動で開始することを可能にし、１つ又は複数の分離グループ信号に対するバイパス
制御が、それぞれのトリップ信号を手動でバイパスするために提供される。手動スイッチ
は、分離グループのハードワイヤードモジュールＨＷＭ１３１０を通って、ＳＦＭ１３０
０に関連付けられたトリップ判定論理へ入力される。分離グループＨＷＭ１３１０は、ア
ナログハードワイヤードバックプレーン１１３１２を通ってＳＦＭ１３００、ＳＢＭ１４
０６、及びＭＩＢ１３０８に接続される。
[0255]ＭＩＢは、各分離グループ及び各ディビジョンに対して含まれる。ディビジョン
ＭＩＢ－ＣＭ１４１２／１４２２は、ディビジョンＲＴＳ及びＥＳＦＡＳ ＭＩＢ－ＣＭ
１４１２／１４２２に利用可能な較正がないため、監視及び標示の機能のみを担う。
ＭＩＢ－ＣＭ１４１２／１４２２は、ディビジョンＲＴＳ及びＥＳＦＡＳ ＭＩＢ－ＣＭ
１４１２／１４２２に利用可能な較正がないため、監視及び標示の機能のみを担う。
[0256]いくつかの態様では、ＲＴＳは、各分離グループ（Ａ、Ｂ、Ｃ、及びＤ）から１
つずつ、４つの冗長トリップ判定信号を使用して、ＲＴＳパラメータが所定の限界を超過
したときに原子炉トリップ遮断器１２４４を自動的に開放するのに必要な論理決定を完了
する。ＲＴＳに対する例示的な分析限界は、表１（上記）に挙げられている。
つずつ、４つの冗長トリップ判定信号を使用して、ＲＴＳパラメータが所定の限界を超過
したときに原子炉トリップ遮断器１２４４を自動的に開放するのに必要な論理決定を完了
する。ＲＴＳに対する例示的な分析限界は、表１（上記）に挙げられている。
[0257]各分離グループに対するＳＦＭ１３００は、トリップ信号を生成し、このトリッ
プ信号は、ＳＢＭ１３０６を通って、両方のＲＴＳディビジョン１２１４／１２１６内の
ＳＶＭ１４１０へ送られる。ＳＶＭ１４１０は、トリップ判定状態に関して、非多数決投
票、たとえばツーアウトオブフォー（２ｏｏ４）一致論理投票を実行する。たとえば、２
つ以上のトリップ判定信号が原子炉トリップを生成する場合、ＳＶＭ内でトリップ信号が
生成され、関連付けられた機器インタフェースモジュール（ＥＩＭ）１４１４へ送られ、
原子炉トリップ遮断器１２４４を開放する。
プ信号は、ＳＢＭ１３０６を通って、両方のＲＴＳディビジョン１２１４／１２１６内の
ＳＶＭ１４１０へ送られる。ＳＶＭ１４１０は、トリップ判定状態に関して、非多数決投
票、たとえばツーアウトオブフォー（２ｏｏ４）一致論理投票を実行する。たとえば、２
つ以上のトリップ判定信号が原子炉トリップを生成する場合、ＳＶＭ内でトリップ信号が
生成され、関連付けられた機器インタフェースモジュール（ＥＩＭ）１４１４へ送られ、
原子炉トリップ遮断器１２４４を開放する。
[0258]ＲＴＳ内の各ＥＩＭ１４１４は、ＳＶＭ１４１０内に作られた出力から冗長トリ
ップ信号を受け取り、多数決、たとえばツーアウトオブスリー（２ｏｏ３）投票に基づい
て、図１４に示すように、入ってくる信号からトリップ信号を提供する。ＲＴＳ１２１４
／１２１６回路及び原子炉トリップ遮断器１２４４の２つのディビジョンは、単一故障が
ＲＴＳ機能の損失を引き起こさないことを確実にするために提供される。原子炉トリップ
遮断器１２４４は、たとえば図２Ｂに示すように、直列－並列構成で構成することができ
る。
ップ信号を受け取り、多数決、たとえばツーアウトオブスリー（２ｏｏ３）投票に基づい
て、図１４に示すように、入ってくる信号からトリップ信号を提供する。ＲＴＳ１２１４
／１２１６回路及び原子炉トリップ遮断器１２４４の２つのディビジョンは、単一故障が
ＲＴＳ機能の損失を引き起こさないことを確実にするために提供される。原子炉トリップ
遮断器１２４４は、たとえば図２Ｂに示すように、直列－並列構成で構成することができ
る。
[0259]上述したように、ＳＶＭ１４１０とＥＩＭ１４１４との間の投票層の分離は、よ
り効率的かつより頑健な投票方式を提供する。ＳＶＭの非多数決方式は、３つのＳＶＭ１
４１０にわたって３倍にされ、ＥＩＭは、ＳＶＭ投票の結果を集める。ＥＩＭ１４１４は
、ＳＶＭ信号で多数決を行う。
り効率的かつより頑健な投票方式を提供する。ＳＶＭの非多数決方式は、３つのＳＶＭ１
４１０にわたって３倍にされ、ＥＩＭは、ＳＶＭ投票の結果を集める。ＥＩＭ１４１４は
、ＳＶＭ信号で多数決を行う。
[0260]ＥＩＭ１４１４は、各原子炉トリップ遮断器１２４４に対して、ＭＰＳ１２００
によって作動される両方のＲＴＳディビジョン１２１４／１２１６内に含まれる。各原子
炉トリップ遮断器ＥＩＭ１４１４は、２つの別個の論理経路を有する。１次コイルが、不
足電圧トリップ回路に接続され、２次コイルは、各原子炉トリップ遮断器１２４４に対す
る分路トリップ回路に接続される。各ＲＴＳディビジョン１２１４／１２１６は、各並列
経路内で１つの原子炉トリップ遮断器１２４４を制御する。この構成により、いずれのデ
ィビジョン１２１４／１２１６も原子炉トリップを実現することが可能になる。原子炉ト
リップ信号がＳＶＭ１４１０内で生成されたとき、不足電圧トリップ回路が切断され、分
路トリップ回路が励磁される。いずれの措置も、すべての４つの原子炉トリップ遮断器１
２４４を開放する。次いで、制御棒駆動電源からの電力が中断され、制御棒は重力によっ
て炉心内へ挿入される。
によって作動される両方のＲＴＳディビジョン１２１４／１２１６内に含まれる。各原子
炉トリップ遮断器ＥＩＭ１４１４は、２つの別個の論理経路を有する。１次コイルが、不
足電圧トリップ回路に接続され、２次コイルは、各原子炉トリップ遮断器１２４４に対す
る分路トリップ回路に接続される。各ＲＴＳディビジョン１２１４／１２１６は、各並列
経路内で１つの原子炉トリップ遮断器１２４４を制御する。この構成により、いずれのデ
ィビジョン１２１４／１２１６も原子炉トリップを実現することが可能になる。原子炉ト
リップ信号がＳＶＭ１４１０内で生成されたとき、不足電圧トリップ回路が切断され、分
路トリップ回路が励磁される。いずれの措置も、すべての４つの原子炉トリップ遮断器１
２４４を開放する。次いで、制御棒駆動電源からの電力が中断され、制御棒は重力によっ
て炉心内へ挿入される。
[0261]ＲＴＳはまた、手動トリップ能力を提供する。ＭＣＲ内の手動スイッチは、操作
者が原子炉トリップを手動で開始することを可能にする。ディビジョンごとに１つずつ、
２つの手動スイッチが、原子炉トリップを手動で開始するために提供される。手動スイッ
チは、ＲＴＳハードワイヤードモジュール（ＨＷＭ）１４０２を通って、原子炉トリップ
システムＥＩＭ１４１４に関連付けられた作動及び優先論理（ＡＰＬ）へ入力される。Ｒ
ＴＳ ＨＷＭ１４０２は、アナログハードワイヤードバックプレーン１４０４を通って、
ＳＶＭ１４１０、ＥＩＭ１４１４、及びＭＩＢ１４１２に接続される。手動トリップ機能
に加えて、ＲＴＳ ＨＷＭ１４０２は、１つ又は複数のＲＴＳトリップ信号、非１Ｅイネ
ーブル（たとえば、不安全イネーブル）、及び不安全制御信号に対する動作バイパス制御
を提供することができる。いくつかの実施形態では、非１Ｅイネーブル制御は、不安全関
連システムからの制御信号が、ＲＴＳシステム動作を制御すること（たとえば、ＲＴＢ１
２４４を操作すること）を可能にする。
者が原子炉トリップを手動で開始することを可能にする。ディビジョンごとに１つずつ、
２つの手動スイッチが、原子炉トリップを手動で開始するために提供される。手動スイッ
チは、ＲＴＳハードワイヤードモジュール（ＨＷＭ）１４０２を通って、原子炉トリップ
システムＥＩＭ１４１４に関連付けられた作動及び優先論理（ＡＰＬ）へ入力される。Ｒ
ＴＳ ＨＷＭ１４０２は、アナログハードワイヤードバックプレーン１４０４を通って、
ＳＶＭ１４１０、ＥＩＭ１４１４、及びＭＩＢ１４１２に接続される。手動トリップ機能
に加えて、ＲＴＳ ＨＷＭ１４０２は、１つ又は複数のＲＴＳトリップ信号、非１Ｅイネ
ーブル（たとえば、不安全イネーブル）、及び不安全制御信号に対する動作バイパス制御
を提供することができる。いくつかの実施形態では、非１Ｅイネーブル制御は、不安全関
連システムからの制御信号が、ＲＴＳシステム動作を制御すること（たとえば、ＲＴＢ１
２４４を操作すること）を可能にする。
[0262]ＡＰＬは、ＳＦＭ１３００からのデジタルトリップ信号、その関連付けられたＲ
ＴＳディビジョン１２１４／１２１６からの非デジタル手動トリップ信号、ＭＣＳ１５５
からの非デジタル手動制御信号という３つのソースからのコマンドを受け付ける。
ＴＳディビジョン１２１４／１２１６からの非デジタル手動トリップ信号、ＭＣＳ１５５
からの非デジタル手動制御信号という３つのソースからのコマンドを受け付ける。
[0263]非デジタル（たとえば、アナログ）信号は、ＭＰＳ１２００のデジタル部分とは
異なる。ＡＰＬによって、最も高い優先順位に基づいて単一デバイスを作動させるために
、個別の論理が使用される。デジタルシステムの状態にかかわらず、手動開始をディビジ
ョンレベルで常に実行することができる。イネーブル不安全制御パーミッシブが活動中で
あり、かつ自動又は手動作動信号が存在しない場合、ＭＣＳ１５５は、原子炉トリップ遮
断器を操作することが可能である。
異なる。ＡＰＬによって、最も高い優先順位に基づいて単一デバイスを作動させるために
、個別の論理が使用される。デジタルシステムの状態にかかわらず、手動開始をディビジ
ョンレベルで常に実行することができる。イネーブル不安全制御パーミッシブが活動中で
あり、かつ自動又は手動作動信号が存在しない場合、ＭＣＳ１５５は、原子炉トリップ遮
断器を操作することが可能である。
[0264]ＡＰＬからの結果は、ＥＩＭ１４１４に接続された機器を作動させるために使用
される。原子炉トリップ遮断器状態が、ＥＩＭ１４１４へ提供される。遮断器状態情報は
、ＭＩＢ－ＣＭ１４１２へ、ＳＤＢ信号の状態とともに送られる。
される。原子炉トリップ遮断器状態が、ＥＩＭ１４１４へ提供される。遮断器状態情報は
、ＭＩＢ－ＣＭ１４１２へ、ＳＤＢ信号の状態とともに送られる。
[0265]いくつかの態様では、ＥＳＦＡＳは、各分離グループ（Ａ、Ｂ、Ｃ、及びＤ）か
ら１つずつ、４つの冗長作動判定信号を使用して、図１２に示すように、必要なＥＳＦの
動作を自動的に開始するのに必要な論理決定を完了する。ＥＳＦＡＳに対する例示的な分
析限界は、表２（上記）に挙げられている。
ら１つずつ、４つの冗長作動判定信号を使用して、図１２に示すように、必要なＥＳＦの
動作を自動的に開始するのに必要な論理決定を完了する。ＥＳＦＡＳに対する例示的な分
析限界は、表２（上記）に挙げられている。
[0266]ＥＳＦＡＳパラメータが所定の限界を超過したとき、各分離グループに対するＳ
ＦＭ１３００は、作動信号を生成し、この作動信号は、ＳＢＭ１３０６を通って、両方の
ＥＳＦＡＳディビジョン１２１２／１２１８内のＳＶＭ１４２０へ送られる。ＳＶＭ１４
２０は、トリップ判定状態に関して、非多数決投票、たとえばツーアウトオブフォー一致
論理投票を実行する。２つ以上の作動信号がＥＳＦシステムの作動を生成する場合、ＳＶ
Ｍ１４２０内で作動信号が生成される。次いで、この信号は、関連付けられたＥＩＭ１４
２４へ送られ、関連付けられたＥＳＦシステムのソレノイドを切断し、又は関連付けられ
たＥＳＦシステムの遮断器を開放する。
ＦＭ１３００は、作動信号を生成し、この作動信号は、ＳＢＭ１３０６を通って、両方の
ＥＳＦＡＳディビジョン１２１２／１２１８内のＳＶＭ１４２０へ送られる。ＳＶＭ１４
２０は、トリップ判定状態に関して、非多数決投票、たとえばツーアウトオブフォー一致
論理投票を実行する。２つ以上の作動信号がＥＳＦシステムの作動を生成する場合、ＳＶ
Ｍ１４２０内で作動信号が生成される。次いで、この信号は、関連付けられたＥＩＭ１４
２４へ送られ、関連付けられたＥＳＦシステムのソレノイドを切断し、又は関連付けられ
たＥＳＦシステムの遮断器を開放する。
[0267]ＥＩＭ１４２４が、ＭＰＳ１２００によって作動される各ＥＳＦ構成要素に対す
る各ディビジョン１２１２／１２１８内に含まれる。各ＥＩＭ１４２４は、別個のＥＳＦ
構成要素への接続を可能にするために、２つの別個の論理経路を有することができる。各
構成要素は、２つの別個のＥＩＭ１４２４に接続され、その結果、２つのＥＩＭ１４２４
が、図１５に示すように、各構成要素へ冗長制御を提供する。これにより、接続された機
器を作動させることなく、ＥＩＭ１４２４を非稼働状態にし、オンライン交換することが
可能になる。
る各ディビジョン１２１２／１２１８内に含まれる。各ＥＩＭ１４２４は、別個のＥＳＦ
構成要素への接続を可能にするために、２つの別個の論理経路を有することができる。各
構成要素は、２つの別個のＥＩＭ１４２４に接続され、その結果、２つのＥＩＭ１４２４
が、図１５に示すように、各構成要素へ冗長制御を提供する。これにより、接続された機
器を作動させることなく、ＥＩＭ１４２４を非稼働状態にし、オンライン交換することが
可能になる。
[0268]上述したように、ＳＶＭ１４２０とＥＩＭ１４２４との間の投票層の分離は、よ
り効率的かつより頑健な投票方式を提供する。ＳＶＭの非多数決方式は、複数（たとえば
、３つ）のＳＶＭ１４２０にわたって冗長に実行することができ、ＥＩＭ１４２４は、Ｓ
ＶＭ投票の結果を集める。ＥＩＭ１４２４は、ＳＶＭ信号で多数決を行う。
り効率的かつより頑健な投票方式を提供する。ＳＶＭの非多数決方式は、複数（たとえば
、３つ）のＳＶＭ１４２０にわたって冗長に実行することができ、ＥＩＭ１４２４は、Ｓ
ＶＭ投票の結果を集める。ＥＩＭ１４２４は、ＳＶＭ信号で多数決を行う。
[0269]図１５は、ＥＳＦＡＳ ＥＩＭ１４２４ａ／１４２４ｂの例示的な実施形態の概
略図１５００を示す。ＥＳＦＡＳ作動信号がＳＶＭ１４２０内で生成されるとき、図１５
に示すように、ＥＩＭ１４２４ａ／１４２４ｂからのすべての４つのスイッチング出力１
５０４～１５１０が作動する。たとえば、構成要素ソレノイド１５１２／１５１８への電
力が中断されると、構成要素を作動させることができる。ソレノイドは切断され、構成要
素は切断位置へ状態を変化させる。加圧器ヒータの場合、不足電圧トリップ回路が切断さ
れ、分路トリップ回路が励磁される。いずれの措置も、すべての４つの遮断器を開放する
。
略図１５００を示す。ＥＳＦＡＳ作動信号がＳＶＭ１４２０内で生成されるとき、図１５
に示すように、ＥＩＭ１４２４ａ／１４２４ｂからのすべての４つのスイッチング出力１
５０４～１５１０が作動する。たとえば、構成要素ソレノイド１５１２／１５１８への電
力が中断されると、構成要素を作動させることができる。ソレノイドは切断され、構成要
素は切断位置へ状態を変化させる。加圧器ヒータの場合、不足電圧トリップ回路が切断さ
れ、分路トリップ回路が励磁される。いずれの措置も、すべての４つの遮断器を開放する
。
[0270]ＥＳＦＡＳはまた、手動作動能力を提供することができる。たとえば、いくつか
の実施形態では、ＭＣＲ内の手動スイッチは、操作者がＥＳＦ機能を手動で開始すること
を可能にする。ディビジョン１２１２／１２１８ごとに１つずつ、２つの手動スイッチが
、各ＥＳＦ機能を手動で開始するために提供される。これらの手動スイッチは、ＥＳＦＡ
Ｓ ＨＷＭ１４０８を通って、工学的安全施設作動システムＥＩＭ１４２４に関連付けら
れたＡＰＬへ入力される。ＥＳＦＡＳ ＨＷＭ１４０８は、アナログハードワイヤードバ
ックプレーン１４０６を通って、ＳＶＭ１４２０、ＥＩＭ１４２４、及びＭＩＢ１４２２
に接続される。手動ＥＳＦ構成要素作動能力に加えて、ＥＳＦＡＳ ＨＷＭ１４０８は、
１つ又は複数のＥＳＦＡＳトリップ信号、非１Ｅイネーブル制御（たとえば、不安全イネ
ーブル）、及び不安全制御信号に対する動作バイパス制御を提供することができる。いく
つかの実施形態では、非１Ｅイネーブル制御は、不安全関連システムからの制御信号が、
ＥＳＦＡＳシステム動作を制御すること（たとえば、ＥＳＦ構成要素を操作すること）を
可能にする。
の実施形態では、ＭＣＲ内の手動スイッチは、操作者がＥＳＦ機能を手動で開始すること
を可能にする。ディビジョン１２１２／１２１８ごとに１つずつ、２つの手動スイッチが
、各ＥＳＦ機能を手動で開始するために提供される。これらの手動スイッチは、ＥＳＦＡ
Ｓ ＨＷＭ１４０８を通って、工学的安全施設作動システムＥＩＭ１４２４に関連付けら
れたＡＰＬへ入力される。ＥＳＦＡＳ ＨＷＭ１４０８は、アナログハードワイヤードバ
ックプレーン１４０６を通って、ＳＶＭ１４２０、ＥＩＭ１４２４、及びＭＩＢ１４２２
に接続される。手動ＥＳＦ構成要素作動能力に加えて、ＥＳＦＡＳ ＨＷＭ１４０８は、
１つ又は複数のＥＳＦＡＳトリップ信号、非１Ｅイネーブル制御（たとえば、不安全イネ
ーブル）、及び不安全制御信号に対する動作バイパス制御を提供することができる。いく
つかの実施形態では、非１Ｅイネーブル制御は、不安全関連システムからの制御信号が、
ＥＳＦＡＳシステム動作を制御すること（たとえば、ＥＳＦ構成要素を操作すること）を
可能にする。
[0271]ＡＰＬは、ＳＦＭ１３００からのデジタルトリップ信号、それ自体のＥＳＦＡＳ
ディビジョン１２１２／１２１８からの非デジタル手動トリップ信号、ＭＣＳ１５５から
の非デジタル手動制御信号という３つのソースからのコマンドを受け付ける。
ディビジョン１２１２／１２１８からの非デジタル手動トリップ信号、ＭＣＳ１５５から
の非デジタル手動制御信号という３つのソースからのコマンドを受け付ける。
[0272]非デジタル（たとえば、アナログ）信号は、ＭＰＳ１２００のデジタル部分とは
異なる。ＡＰＬによって、最も高い優先順位に基づいて単一の構成要素を作動させるため
に、個別の論理が使用される。デジタルシステムの状態にかかわらず、手動開始をディビ
ジョンレベルで常に実行することができる。イネーブル不安全関連制御パーミッシブが活
動中であり、かつ自動又は手動作動信号が存在しない場合、ＭＣＳ１５５は、ＥＳＦ構成
要素を制御（たとえば、操作）することが可能である。
異なる。ＡＰＬによって、最も高い優先順位に基づいて単一の構成要素を作動させるため
に、個別の論理が使用される。デジタルシステムの状態にかかわらず、手動開始をディビ
ジョンレベルで常に実行することができる。イネーブル不安全関連制御パーミッシブが活
動中であり、かつ自動又は手動作動信号が存在しない場合、ＭＣＳ１５５は、ＥＳＦ構成
要素を制御（たとえば、操作）することが可能である。
[0273]ＡＰＬからの結果は、ＥＩＭ１４２４に接続された機器を制御して作動させるた
めに使用される。機器状態が、各ＥＩＭ１４２４へ伝送される。機器状態情報は、ＭＩＢ
－ＣＭ１４２２へ、ＳＤＢ信号の状態とともに送られる。
めに使用される。機器状態が、各ＥＩＭ１４２４へ伝送される。機器状態情報は、ＭＩＢ
－ＣＭ１４２２へ、ＳＤＢ信号の状態とともに送られる。
[0274]各ＭＰＳ１２００分離グループ及びディビジョン、並びにＭＰＳゲートウェイ１
３１４は、専用のＨＷＭ（たとえば、分離グループＨＷＭ１３１０、ＲＴＳ ＨＷＭ１４
０２、及びＥＳＦＡＳ ＨＷＭ１４０８）を有する。ＨＷＭの特徴は、図２５に関してよ
り詳細に説明する。ＨＷＭは、ＭＰＳキャビネットの外部からハードワイヤード信号を受
け付け、これらの信号を他のモジュールに対するシャーシバックプレーン（たとえば、バ
ックプレーン１３１２、１４０４、１４０６）上で利用可能にする。これらの信号は、Ｍ
ＣＲ１５５からの手動作動スイッチ、動作バイパススイッチ、オーバーライドスイッチ、
及びイネーブル不安全制御スイッチを含む。動作バイパス及びオーバーライドスイッチは
、以下により詳細に説明する。ＨＷＭへの他の入力は、ＳＦＭ１３００トリップ／バイパ
ススイッチ、ＭＣＳ１５５制御入力、及び構成要素位置フィードバックを含む。
３１４は、専用のＨＷＭ（たとえば、分離グループＨＷＭ１３１０、ＲＴＳ ＨＷＭ１４
０２、及びＥＳＦＡＳ ＨＷＭ１４０８）を有する。ＨＷＭの特徴は、図２５に関してよ
り詳細に説明する。ＨＷＭは、ＭＰＳキャビネットの外部からハードワイヤード信号を受
け付け、これらの信号を他のモジュールに対するシャーシバックプレーン（たとえば、バ
ックプレーン１３１２、１４０４、１４０６）上で利用可能にする。これらの信号は、Ｍ
ＣＲ１５５からの手動作動スイッチ、動作バイパススイッチ、オーバーライドスイッチ、
及びイネーブル不安全制御スイッチを含む。動作バイパス及びオーバーライドスイッチは
、以下により詳細に説明する。ＨＷＭへの他の入力は、ＳＦＭ１３００トリップ／バイパ
ススイッチ、ＭＣＳ１５５制御入力、及び構成要素位置フィードバックを含む。
[0275]図１６は、ＭＰＳゲートウェイ１３１４の例示的な実施形態の概略図を示す。Ｍ
ＰＳの各ディビジョンは、不安全関連ＭＰＳゲートウェイ１３１４を有する。ＭＰＳゲー
トウェイは、４つの分離グループ（たとえば、グループＡ、Ｂ、Ｃ、及びＤ）、ＲＴＳ１
２１４／１２１６の２つのディビジョン、及びＥＳＦＡＳ１２１２／１２１８から受け取
った情報を統合する複数の通信モジュール１６０２を含む。ＭＰＳゲートウェイ１３１４
はまた、機器からＰＡＭ専用モードに対するＨＷＭ１６２４への機器状態フィードバック
（位置フィードバック１６２２）を収集することができ、並びにタイマＳＦＭ１６１２を
通って、３つの２４時間タイマ１６１４の状態を読み取る。ＭＰＳゲートウェイ１３１４
へ伝送される情報のすべてが、ゲートウェイマスタ１６０４として作用する単一通信モジ
ュールによって統合される。分離グループ及びディビジョン通信モジュール１６０２並び
にタイマＳＦＭ１６１２は、ＲＳ－４８５物理層１６０８を通って、ゲートウェイマスタ
１６０４と通信する。次いで、ＭＰＳゲートウェイバックプレーン１６２６上のゲートウ
ェイマスタ１６０４は、図１６に示すように、隔離された適格の１方向通信経路を通って
、統合されたデータをＭＷＳ１３１６及びＳＤＩＳハブへ伝送する。各ディビジョンに対
して１つのＭＰＳゲートウェイ１３１４が存在する。
ＰＳの各ディビジョンは、不安全関連ＭＰＳゲートウェイ１３１４を有する。ＭＰＳゲー
トウェイは、４つの分離グループ（たとえば、グループＡ、Ｂ、Ｃ、及びＤ）、ＲＴＳ１
２１４／１２１６の２つのディビジョン、及びＥＳＦＡＳ１２１２／１２１８から受け取
った情報を統合する複数の通信モジュール１６０２を含む。ＭＰＳゲートウェイ１３１４
はまた、機器からＰＡＭ専用モードに対するＨＷＭ１６２４への機器状態フィードバック
（位置フィードバック１６２２）を収集することができ、並びにタイマＳＦＭ１６１２を
通って、３つの２４時間タイマ１６１４の状態を読み取る。ＭＰＳゲートウェイ１３１４
へ伝送される情報のすべてが、ゲートウェイマスタ１６０４として作用する単一通信モジ
ュールによって統合される。分離グループ及びディビジョン通信モジュール１６０２並び
にタイマＳＦＭ１６１２は、ＲＳ－４８５物理層１６０８を通って、ゲートウェイマスタ
１６０４と通信する。次いで、ＭＰＳゲートウェイバックプレーン１６２６上のゲートウ
ェイマスタ１６０４は、図１６に示すように、隔離された適格の１方向通信経路を通って
、統合されたデータをＭＷＳ１３１６及びＳＤＩＳハブへ伝送する。各ディビジョンに対
して１つのＭＰＳゲートウェイ１３１４が存在する。
[0276]ＭＰＳ１２００の各ディビジョンは、保守及び較正の目的のため、不安全関連Ｍ
ＷＳ１３１６を有する。１方向の読取り専用データが、そのディビジョンに対するＭＰＳ
ゲートウェイ１３１４を通って提供され、各ディビジョンのＭＷＳ１３１６上で連続して
利用可能になる。ＭＷＳ１３１６は、安全機能が非稼働中のとき、ＳＦＭ１３００内で調
整可能なパラメータを更新するために使用される。安全機能を実行するために依拠されて
いるときにＳＦＭ１３００への修正を防止するために、制御が導入される。ＭＷＳ１３１
６は、ＳＦＭ１３００内の設定点及び調整可能なパラメータを更新するために２方向通信
を可能にする一時ケーブル１３１８を使用するオフライン保守及び較正に使用される。Ｓ
ＦＭ１３００がその非稼働スイッチを動作させることによって非稼働状態になると、その
ＳＦＭ１３００に関連付けられたトリップ／バイパススイッチの位置が、ＳＢＭ１３０６
によって読み取られて、ＳＦＭ１３００出力に対する状態として使用される。ＭＰＳ１２
００の各ディビジョンは、ポイントツーポイントケーブル（たとえば、銅又は光ファイバ
）を介して、隔離された１方向通信ポートを通って、ＭＰＳゲートウェイ１３１４を使用
して、オンライン監視の目的で恒久的に接続された不安全関連ＭＷＳ１３１６を有する。
ＷＳ１３１６を有する。１方向の読取り専用データが、そのディビジョンに対するＭＰＳ
ゲートウェイ１３１４を通って提供され、各ディビジョンのＭＷＳ１３１６上で連続して
利用可能になる。ＭＷＳ１３１６は、安全機能が非稼働中のとき、ＳＦＭ１３００内で調
整可能なパラメータを更新するために使用される。安全機能を実行するために依拠されて
いるときにＳＦＭ１３００への修正を防止するために、制御が導入される。ＭＷＳ１３１
６は、ＳＦＭ１３００内の設定点及び調整可能なパラメータを更新するために２方向通信
を可能にする一時ケーブル１３１８を使用するオフライン保守及び較正に使用される。Ｓ
ＦＭ１３００がその非稼働スイッチを動作させることによって非稼働状態になると、その
ＳＦＭ１３００に関連付けられたトリップ／バイパススイッチの位置が、ＳＢＭ１３０６
によって読み取られて、ＳＦＭ１３００出力に対する状態として使用される。ＭＰＳ１２
００の各ディビジョンは、ポイントツーポイントケーブル（たとえば、銅又は光ファイバ
）を介して、隔離された１方向通信ポートを通って、ＭＰＳゲートウェイ１３１４を使用
して、オンライン監視の目的で恒久的に接続された不安全関連ＭＷＳ１３１６を有する。
[0277]いくつかの実施形態では、ＥＤＳＳは、ＭＰＳ１２００に対する電源である。Ｄ
Ｃ－ＤＣ電圧変換器は、ＭＰＳ機器の１Ｅクラスの隔離及び保護に使用される。ディビジ
ョンＩのＭＰＳ電力は、電力チャネルＡ及びＣから１Ｅクラス隔離に対するＤＣ－ＤＣ変
換器を通って生成され、次いでオークショニアされる。ディビジョンＩＩの電力は、ディ
ビジョンＩと同様に、電力チャネルＢ及びＤから生成される。分離グループは各々、単一
のＥＤＳＳチャネルによって冗長に供給及びオークショニアされる。ＭＰＳディビジョン
Ｉへ電力を供給するＥＤＳＳ電力チャネルＡ及びＣは、ＭＰＳディビジョンＩＩへ電力を
供給するＥＤＳＳ電力チャネルＢ及びＤから完全に独立している。
Ｃ－ＤＣ電圧変換器は、ＭＰＳ機器の１Ｅクラスの隔離及び保護に使用される。ディビジ
ョンＩのＭＰＳ電力は、電力チャネルＡ及びＣから１Ｅクラス隔離に対するＤＣ－ＤＣ変
換器を通って生成され、次いでオークショニアされる。ディビジョンＩＩの電力は、ディ
ビジョンＩと同様に、電力チャネルＢ及びＤから生成される。分離グループは各々、単一
のＥＤＳＳチャネルによって冗長に供給及びオークショニアされる。ＭＰＳディビジョン
Ｉへ電力を供給するＥＤＳＳ電力チャネルＡ及びＣは、ＭＰＳディビジョンＩＩへ電力を
供給するＥＤＳＳ電力チャネルＢ及びＤから完全に独立している。
[0278]いくつかの実施形態では、Ａ及びＤ電池に対する２４時間並びにＢ及びＣ電池に
対する７２時間の全ミッションタイムにわたってＥＤＳＳ電池供給電力を確実にするため
に、閉鎖したＥＣＣＳバルブ又は機能的なＰＡＭ計装装備を維持することに関連する負荷
のみが、ＥＣＣＳ保持モード及びＰＡＭ専用モード中に励磁されたままである。これらの
負荷には、センサへの電力を含むＭＰＳ及び中性子監視システム（ＮＭＳ）キャビネット
、ＥＣＣＳバルブソレノイド、放射線監視（ＲＭ）バイオシールド放射線モニタ、及びＥ
ＤＳＳ電池モニタが含まれる。４つのセンサのうちの２つが、Ｂ及びＣ両方の電池充電器
の開閉器で電圧の損失を検出した場合、ＭＰＳは、原子炉トリップ、崩壊熱除去システム
（ＤＨＲＳ）作動、加圧器ヒータトリップ、脱塩水供給隔離、格納隔離を自動的に生成し
、ディビジョンごとに３つの２４時間タイマを開始する。電圧の損失後の最初の２４時間
にわたって、ＭＰＳ機器の４つの分離グループ並びにＥＳＦＡＳ及びＲＴＳの両方のディ
ビジョンは励磁されたままである。プラント状態のためＥＣＣＳ作動が必要とされない場
合、ＥＣＣＳは作動しなくなり（ＥＣＣＳトリップソレノイドバルブは励磁されたままで
ある）、これは、ＡＣ電力を回復する時間を可能にし、ＥＣＣＳの作動の防止するＥＣＣ
Ｓ保持モードとして定義される。この２４時間期間中に関連付けられたＥＳＦＡＳ信号が
生成された場合、ＥＣＣＳはそれでもなお作動する。２４時間の範囲内でＢ及びＣ電池開
閉器への電力が回復されない場合、２４時間タイマは時間切れになる。この時点で、ＥＳ
ＦＡＳ及びＲＴＳシャーシ並びに両方のＭＰＳディビジョンに対するＭＷＳが、自動的に
切断される。この措置は、ＥＣＣＳソレノイドトリップバルブを切断し、ＥＣＣＳが作動
する。ＰＡＭ計装装備は、追加の４８時間（合計７２時間）にわたって、Ｂ及びＣのＥＤ
ＳＳ電池によって給電されたままである。この構成は、ＰＡＭ専用モードとして定義され
る。
対する７２時間の全ミッションタイムにわたってＥＤＳＳ電池供給電力を確実にするため
に、閉鎖したＥＣＣＳバルブ又は機能的なＰＡＭ計装装備を維持することに関連する負荷
のみが、ＥＣＣＳ保持モード及びＰＡＭ専用モード中に励磁されたままである。これらの
負荷には、センサへの電力を含むＭＰＳ及び中性子監視システム（ＮＭＳ）キャビネット
、ＥＣＣＳバルブソレノイド、放射線監視（ＲＭ）バイオシールド放射線モニタ、及びＥ
ＤＳＳ電池モニタが含まれる。４つのセンサのうちの２つが、Ｂ及びＣ両方の電池充電器
の開閉器で電圧の損失を検出した場合、ＭＰＳは、原子炉トリップ、崩壊熱除去システム
（ＤＨＲＳ）作動、加圧器ヒータトリップ、脱塩水供給隔離、格納隔離を自動的に生成し
、ディビジョンごとに３つの２４時間タイマを開始する。電圧の損失後の最初の２４時間
にわたって、ＭＰＳ機器の４つの分離グループ並びにＥＳＦＡＳ及びＲＴＳの両方のディ
ビジョンは励磁されたままである。プラント状態のためＥＣＣＳ作動が必要とされない場
合、ＥＣＣＳは作動しなくなり（ＥＣＣＳトリップソレノイドバルブは励磁されたままで
ある）、これは、ＡＣ電力を回復する時間を可能にし、ＥＣＣＳの作動の防止するＥＣＣ
Ｓ保持モードとして定義される。この２４時間期間中に関連付けられたＥＳＦＡＳ信号が
生成された場合、ＥＣＣＳはそれでもなお作動する。２４時間の範囲内でＢ及びＣ電池開
閉器への電力が回復されない場合、２４時間タイマは時間切れになる。この時点で、ＥＳ
ＦＡＳ及びＲＴＳシャーシ並びに両方のＭＰＳディビジョンに対するＭＷＳが、自動的に
切断される。この措置は、ＥＣＣＳソレノイドトリップバルブを切断し、ＥＣＣＳが作動
する。ＰＡＭ計装装備は、追加の４８時間（合計７２時間）にわたって、Ｂ及びＣのＥＤ
ＳＳ電池によって給電されたままである。この構成は、ＰＡＭ専用モードとして定義され
る。
[0279]図１７は、原子力プラント保護システム（ＰＰＳ）１７００のブロック図を示す
。ＰＰＳ１７００は、プラントレベルでパラメータを監視し、ノーマル及びオフノーマル
状態に応答して作動を実行する。ＰＰＳ１７００は、複数の原子力システムに共通のシス
テムを監視及び制御する。ＰＰＳ１７００によって監視される選択済み変数及び作動され
る機器は、増大した品質レベルを必要とする。ＰＰＳ１７００は、２つの独立した冗長な
ディビジョンを含むことができる。いずれのディビジョンも、ＰＰＳ機能を実現すること
が可能である。
。ＰＰＳ１７００は、プラントレベルでパラメータを監視し、ノーマル及びオフノーマル
状態に応答して作動を実行する。ＰＰＳ１７００は、複数の原子力システムに共通のシス
テムを監視及び制御する。ＰＰＳ１７００によって監視される選択済み変数及び作動され
る機器は、増大した品質レベルを必要とする。ＰＰＳ１７００は、２つの独立した冗長な
ディビジョンを含むことができる。いずれのディビジョンも、ＰＰＳ機能を実現すること
が可能である。
[0280]ＰＰＳは、高度に統合された保護システムプラットホーム上に構築されており、
ＦＰＧＡに基づくシステムである。図１７は、１つのＰＰＳディビジョンのアーキテクチ
ャのシステム図を表示する。第２のディビジョンのアーキテクチャは類似しているはずで
ある。
ＦＰＧＡに基づくシステムである。図１７は、１つのＰＰＳディビジョンのアーキテクチ
ャのシステム図を表示する。第２のディビジョンのアーキテクチャは類似しているはずで
ある。
[0281]ＰＰＳ１７００のディビジョンＩ及びディビジョンＩＩは、制御棟の別個の部屋
に位置することができる。ＰＰＳ１７００の境界は、センサ及び検出器の出力接続から、
作動されるデバイスの入力接続へ延びる。ＰＰＳ１７００の境界内には、ＥＬＶＳ ＡＣ
電圧センサも含まれており、ＥＬＶＳ ＡＣ電圧センサは、ＰＰＳ１７００の一部である
と分類される。ＰＰＳ１７００からデータを受け取る不安全関連表示は、ＳＤＩＳ又はプ
ラント制御システム（ＰＣＳ）のいずれかの部分である。
に位置することができる。ＰＰＳ１７００の境界は、センサ及び検出器の出力接続から、
作動されるデバイスの入力接続へ延びる。ＰＰＳ１７００の境界内には、ＥＬＶＳ ＡＣ
電圧センサも含まれており、ＥＬＶＳ ＡＣ電圧センサは、ＰＰＳ１７００の一部である
と分類される。ＰＰＳ１７００からデータを受け取る不安全関連表示は、ＳＤＩＳ又はプ
ラント制御システム（ＰＣＳ）のいずれかの部分である。
[0282]プロセスセンサは、放射線、レベル、及び電圧などの異なるプロセスパラメータ
を測定する。別個のセンサが、２つのＰＰＳディビジョンへ情報を供給する。センサは、
設計基準事象前、設計基準事象中、及び設計基準事象後の環境条件に適格である。これら
のセンサは、ＰＰＳ１７００への入力を提供するが、これらのセンサが設置されたシステ
ムの一部であると分類される。
を測定する。別個のセンサが、２つのＰＰＳディビジョンへ情報を供給する。センサは、
設計基準事象前、設計基準事象中、及び設計基準事象後の環境条件に適格である。これら
のセンサは、ＰＰＳ１７００への入力を提供するが、これらのセンサが設置されたシステ
ムの一部であると分類される。
[0283]個々のＰＰＳ ＳＦＭ１７０４は、ＰＰＳ１７００によって実行される各機能に
対して各ディビジョン内に含まれる。各ＳＦＭ１７０４は、最大４つのセンサから入力１
７０２を受け付けることができる。センサ信号をデジタル表現に変換するために、信号調
節が実行される。デジタル信号の場合、ＳＦＭ１７０４は、その機能に作動が必要とされ
るかどうかを判定するために必要なアルゴリズム及び設定点比較を実行する。作動決定は
、３つの別個の通信バス１７１２へ出力されて、ＳＦＭ１７０４とＥＩＭ１７１４との間
に冗長通信を提供する。ＳＦＭ１７０４はまた、パラメータ値、状態情報、及び警報に対
する通信出力を提供し（たとえば、ＭＩＢ－ＣＭ１７０６を介して）、これらの出力はＰ
ＣＳ及びＳＤＩＳへ送られる。各ＳＦＭ１７０４に対する診断情報はまた、ＭＷＳ１３１
６へ送られる。
対して各ディビジョン内に含まれる。各ＳＦＭ１７０４は、最大４つのセンサから入力１
７０２を受け付けることができる。センサ信号をデジタル表現に変換するために、信号調
節が実行される。デジタル信号の場合、ＳＦＭ１７０４は、その機能に作動が必要とされ
るかどうかを判定するために必要なアルゴリズム及び設定点比較を実行する。作動決定は
、３つの別個の通信バス１７１２へ出力されて、ＳＦＭ１７０４とＥＩＭ１７１４との間
に冗長通信を提供する。ＳＦＭ１７０４はまた、パラメータ値、状態情報、及び警報に対
する通信出力を提供し（たとえば、ＭＩＢ－ＣＭ１７０６を介して）、これらの出力はＰ
ＣＳ及びＳＤＩＳへ送られる。各ＳＦＭ１７０４に対する診断情報はまた、ＭＷＳ１３１
６へ送られる。
[0284]ＰＰＳ１７００のアーキテクチャは、作動信号に専用の３つの独立したデータバ
ス１７１２を使用する。３つの通信安全データバス（ＳＤＢ１、ＳＤＢ２、及びＳＤＢ３
）１７１２は各々、マスタ－スレーブ通信プロトコルで構成される。３つの冗長ＳＢＭ（
ＳＢＭ１、ＳＢＭ２、及びＳＢＭ３）１７１８は、関連付けられたバスに対するマスタで
あり、ＳＦＭ１７０４からＥＩＭ１７１４への冗長ＳＤＢ１７１２通信を提供する。ＳＤ
Ｂ１、ＳＤＢ２、及びＳＤＢ３ １７１２は、作動信号の処理に専用である。
ス１７１２を使用する。３つの通信安全データバス（ＳＤＢ１、ＳＤＢ２、及びＳＤＢ３
）１７１２は各々、マスタ－スレーブ通信プロトコルで構成される。３つの冗長ＳＢＭ（
ＳＢＭ１、ＳＢＭ２、及びＳＢＭ３）１７１８は、関連付けられたバスに対するマスタで
あり、ＳＦＭ１７０４からＥＩＭ１７１４への冗長ＳＤＢ１７１２通信を提供する。ＳＤ
Ｂ１、ＳＤＢ２、及びＳＤＢ３ １７１２は、作動信号の処理に専用である。
[0285]ＭＩＢ－ＣＭ１７０６は、３つのＳＤＢ通信モジュールとは独立しており、ＭＩ
Ｂのマスタである。ＭＩＢ－ＣＭ１７０６は、同じマスタ－スレーブ通信プロトコルを使
用して情報を処理し、ＳＦＭ１７０４、通信モジュール、及びＥＩＭ１７１４上のレジス
タとインタフェース接続する。これらのレジスタは、作動データ経路に使用されるレジス
タとは異なる。ＭＩＢ－ＣＭ１７０６は、ＭＩＢを使用してＣＴＢ通信モジュール１７１
０に通信し、ＭＷＳ１３１６を更新する。ＰＣＳ及びＳＤＩＳへの１方向データは、ＭＩ
Ｂ－ＣＭ１７０６の隔離されたデータ経路を通って伝送される。このインタフェースは、
ＰＰＳ１７００がその機能を実行することを不安全機器の確かな故障が妨げることがない
ように設計される。
Ｂのマスタである。ＭＩＢ－ＣＭ１７０６は、同じマスタ－スレーブ通信プロトコルを使
用して情報を処理し、ＳＦＭ１７０４、通信モジュール、及びＥＩＭ１７１４上のレジス
タとインタフェース接続する。これらのレジスタは、作動データ経路に使用されるレジス
タとは異なる。ＭＩＢ－ＣＭ１７０６は、ＭＩＢを使用してＣＴＢ通信モジュール１７１
０に通信し、ＭＷＳ１３１６を更新する。ＰＣＳ及びＳＤＩＳへの１方向データは、ＭＩ
Ｂ－ＣＭ１７０６の隔離されたデータ経路を通って伝送される。このインタフェースは、
ＰＰＳ１７００がその機能を実行することを不安全機器の確かな故障が妨げることがない
ように設計される。
[0286]ＣＴＢ通信モジュール１７１０は、ＣＴＢのマスタであるが、通常動作中はこの
バス上にトランザクションは存在しない。ＣＴＢは、パラメータの較正又は変更中にチャ
ネルが非稼働状態にされた場合のみ活動中になる。ＣＴＢ通信モジュール１７１０の隔離
されたデータ経路は、ＭＷＳ１３１６へ１方向データを伝送する。
バス上にトランザクションは存在しない。ＣＴＢは、パラメータの較正又は変更中にチャ
ネルが非稼働状態にされた場合のみ活動中になる。ＣＴＢ通信モジュール１７１０の隔離
されたデータ経路は、ＭＷＳ１３１６へ１方向データを伝送する。
[0287]ＥＩＭ１７１４が、ＰＰＳ１７００によって作動又は監視される各機器に対する
各ディビジョン内に含まれる。各ＥＩＭ１７１４は、「１次」構成要素及び「２次」構成
要素への接続を可能にするために、２つの別個の論理経路を有することができる。各構成
要素１７１６は、２つの別個のＥＩＭ１７１４に接続され、その結果、２つのＥＩＭ１７
１４が、各構成要素１７１６へ冗長制御を提供する。これにより、いかなる機器１７１６
も作動させることなく、ＥＩＭ１７１４を非稼働にし、オンライン交換することが可能に
なる。
各ディビジョン内に含まれる。各ＥＩＭ１７１４は、「１次」構成要素及び「２次」構成
要素への接続を可能にするために、２つの別個の論理経路を有することができる。各構成
要素１７１６は、２つの別個のＥＩＭ１７１４に接続され、その結果、２つのＥＩＭ１７
１４が、各構成要素１７１６へ冗長制御を提供する。これにより、いかなる機器１７１６
も作動させることなく、ＥＩＭ１７１４を非稼働にし、オンライン交換することが可能に
なる。
[0288]冗長ＳＤＢ１７１２からの作動信号は組み合わされて、ＥＩＭ１７１４内のＡＰ
Ｌへ送達される。ＡＰＬは、（１）ＳＦＭ１７０４からのデジタル作動信号、（２）それ
自体のＰＰＳディビジョンからの非デジタル手動作動入力信号、及び（３）ＰＣＳからの
非デジタル手動制御信号という３つのソースからのコマンドを受け付ける。非デジタル信
号は、ＰＰＳ１７００のデジタル部分とは異なる。ＡＰＬによって、最も高い優先順位に
基づいて単一のデバイスを作動させるために、個別の論理が使用される。デジタルシステ
ムの状態にかかわらず、措置の手動開始をディビジョンレベルで開始することができる。
適当な構成が操作者によって可能にされたとき、ＰＣＳの使用によって、構成要素レベル
の制御を実現することができる。
Ｌへ送達される。ＡＰＬは、（１）ＳＦＭ１７０４からのデジタル作動信号、（２）それ
自体のＰＰＳディビジョンからの非デジタル手動作動入力信号、及び（３）ＰＣＳからの
非デジタル手動制御信号という３つのソースからのコマンドを受け付ける。非デジタル信
号は、ＰＰＳ１７００のデジタル部分とは異なる。ＡＰＬによって、最も高い優先順位に
基づいて単一のデバイスを作動させるために、個別の論理が使用される。デジタルシステ
ムの状態にかかわらず、措置の手動開始をディビジョンレベルで開始することができる。
適当な構成が操作者によって可能にされたとき、ＰＣＳの使用によって、構成要素レベル
の制御を実現することができる。
[0289]ＡＰＬからの結果は、ＥＩＭ１７１４に接続された機器を制御して作動させるた
めに使用される。機器状態が、各ＥＩＭ１７１４へフィードバックされる。機器フィード
バック情報は、ＭＩＢ－ＣＭ１７０６へ、ＳＤＢ信号及びＡＰＬの状態とともに送られる
。
めに使用される。機器状態が、各ＥＩＭ１７１４へフィードバックされる。機器フィード
バック情報は、ＭＩＢ－ＣＭ１７０６へ、ＳＤＢ信号及びＡＰＬの状態とともに送られる
。
[0290]ＰＰＳ１７００の各ディビジョンは、専用のＭＷＳ１３１６を有する。保守活動
を実行するために、ＭＷＳ１３１６から機器への書込みコマンドを実行する能力が必要と
される。
を実行するために、ＭＷＳ１３１６から機器への書込みコマンドを実行する能力が必要と
される。
[0291]各ＰＰＳディビジョンキャビネットは、１つ又は複数のＨＷＭ１７２２／１７２
４を有し、ＨＷＭ１７２２／１７２４は外部信号を受け付け、これらの信号を他のモジュ
ールに対するバックプレーン１７２０上で利用可能にする。これらの信号は、手動作動ス
イッチ、不安全制御信号、及びトリップバイパス制御を含む。
４を有し、ＨＷＭ１７２２／１７２４は外部信号を受け付け、これらの信号を他のモジュ
ールに対するバックプレーン１７２０上で利用可能にする。これらの信号は、手動作動ス
イッチ、不安全制御信号、及びトリップバイパス制御を含む。
[0292]ＰＰＳ１７００は、複数の原子力システムに共通のプラントシステムの監視及び
制御を提供する。ＰＰＳ１７００は不安全関連であるが、ＰＡＭ機能に対応するため、Ｐ
ＰＳ１７００は、増大された品質及び規制要件を満たすように設計される。表３（図２９
に示す）挙げたＰＰＳ１７００によって監視される例示的な変数はすべて、ＳＤＩＳ及び
ＰＣＳへ送られて、それらのシステムによって必要とされる場合、ＭＣＲ内に表示される
。これらは、制御室居住性システムの作動及びＰＰＳ１７００からの必要とされるＰＡＭ
変数に対応するために、表示及び標示を提供する。
制御を提供する。ＰＰＳ１７００は不安全関連であるが、ＰＡＭ機能に対応するため、Ｐ
ＰＳ１７００は、増大された品質及び規制要件を満たすように設計される。表３（図２９
に示す）挙げたＰＰＳ１７００によって監視される例示的な変数はすべて、ＳＤＩＳ及び
ＰＣＳへ送られて、それらのシステムによって必要とされる場合、ＭＣＲ内に表示される
。これらは、制御室居住性システムの作動及びＰＰＳ１７００からの必要とされるＰＡＭ
変数に対応するために、表示及び標示を提供する。
[0293]図１８は、ＭＰＳ１２００の安全表示及び標示システム（ＳＩＤＳ）の例示的な
実施形態の概略図を示す。ＳＤＩＳは、ＭＰＳ１２００及びＰＰＳ１７００の状態に関す
る正確、完全、かつ適時の情報、並びに必要とされる場合に保護措置を手動で開始する能
力を支援するための情報表示を提供する。情報の表示は、曖昧な標示の可能性を最小にし
、操作者に対する人間－システムインタフェース（ＨＳＩ）を強化するように設計される
。
実施形態の概略図を示す。ＳＤＩＳは、ＭＰＳ１２００及びＰＰＳ１７００の状態に関す
る正確、完全、かつ適時の情報、並びに必要とされる場合に保護措置を手動で開始する能
力を支援するための情報表示を提供する。情報の表示は、曖昧な標示の可能性を最小にし
、操作者に対する人間－システムインタフェース（ＨＳＩ）を強化するように設計される
。
[0294]ＳＤＩＳの主要な機能は、安全分析によって定義された限界範囲内でプラントが
動作していることを確実にするために、ＨＳＩ及びデータを操作者に提供すること、ＥＳ
ＦＡＳ、ＲＴＳ、及びＰＰＳ設定点に到達したときに操作者に通知すること、原子力シス
テムが事故後に安全な状態にあることを確実にするために必要なデータを操作者に供給す
ること、並びにＭＰＳ１２００及びＰＰＳ１７００の状態に関する正確、完全、かつ適時
の情報、並びに事故後監視（ＰＡＭ）を支持するための情報表示を提供することである。
ＳＤＩＳは、ＰＡＭ変数を監視及び表示するためのＭＰＳ及びＰＰＳに対するＨＳＩを提
供し、制御入力及び状態情報のための能力を提供する。ＳＤＩＳは、安全又は不安全関連
システムとすることができる。いくつかの例では、ＳＤＩＳは、不安全関連の非重要リス
クシステムとすることができるが、ＰＡＭ機能に対応するため、ＳＤＩＳは、増大された
品質及び規制要件を満たす。
動作していることを確実にするために、ＨＳＩ及びデータを操作者に提供すること、ＥＳ
ＦＡＳ、ＲＴＳ、及びＰＰＳ設定点に到達したときに操作者に通知すること、原子力シス
テムが事故後に安全な状態にあることを確実にするために必要なデータを操作者に供給す
ること、並びにＭＰＳ１２００及びＰＰＳ１７００の状態に関する正確、完全、かつ適時
の情報、並びに事故後監視（ＰＡＭ）を支持するための情報表示を提供することである。
ＳＤＩＳは、ＰＡＭ変数を監視及び表示するためのＭＰＳ及びＰＰＳに対するＨＳＩを提
供し、制御入力及び状態情報のための能力を提供する。ＳＤＩＳは、安全又は不安全関連
システムとすることができる。いくつかの例では、ＳＤＩＳは、不安全関連の非重要リス
クシステムとすることができるが、ＰＡＭ機能に対応するため、ＳＤＩＳは、増大された
品質及び規制要件を満たす。
[0295]パラメータ値及び機器状態に関する情報は、ＭＰＳ１２００及びＰＰＳ１７００
の各分離グループ及び各ディビジョンからＳＤＩＳへ提供される。
の各分離グループ及び各ディビジョンからＳＤＩＳへ提供される。
[0296]ＳＤＩＳは、通信モジュールを通ってＭＰＳ１２００及びＰＰＳ１７００とイン
タフェース接続する。ＭＰＳインタフェースは、ＭＰＳゲートウェイ１３１４と呼ばれて
おり、ＰＰＳとのインタフェースは、ＭＩＢ通信モジュール１７０６を通る。ＳＤＩＳは
、機器の２つの独立したディビジョンからなる。各ＳＤＩＳディビジョンは、通信ハブ、
表示インタフェースモジュール（ＤＩＭ）（図２０を参照して後述する）、及び表示パネ
ルからなる。ＳＤＩＳ境界及びインタフェースは、図１８に示されている。
タフェース接続する。ＭＰＳインタフェースは、ＭＰＳゲートウェイ１３１４と呼ばれて
おり、ＰＰＳとのインタフェースは、ＭＩＢ通信モジュール１７０６を通る。ＳＤＩＳは
、機器の２つの独立したディビジョンからなる。各ＳＤＩＳディビジョンは、通信ハブ、
表示インタフェースモジュール（ＤＩＭ）（図２０を参照して後述する）、及び表示パネ
ルからなる。ＳＤＩＳ境界及びインタフェースは、図１８に示されている。
[0297]ＳＤＩＳハブ１８００は、ＭＰＳゲートウェイ及びプラント保護システムＭＩＢ
通信モジュールからデータを受け取る。各ＭＰＳゲートウェイ１３１４は、ＳＤＩＳハブ
１８００内の別個の通信モジュール１８０４へデータを送達する。ＳＤＩＳハブ１８００
は、ＭＰＳ１２００及びＰＰＳ１７００から受け取ったデータを、光学的に隔離された１
方向光ファイバケーブルを通って、それぞれの原子力システム又はＰＰＳに関連付けられ
たＤＩＭに分散させる。各ＳＤＩＳハブラックに対するＳＤＩＳハブ１８００上の通信モ
ジュール１８０４の各々からのデータは、単一の通信モジュールに集められる。このモジ
ュールは、ラックに対するバックプレーンを通って、そのラック上の通信モジュールの各
々を集計する。次いで、通信モジュールは、光学的に隔離された単方向インタフェースを
通って、集めた情報をＰＣＳ１８０２へ送る。
通信モジュールからデータを受け取る。各ＭＰＳゲートウェイ１３１４は、ＳＤＩＳハブ
１８００内の別個の通信モジュール１８０４へデータを送達する。ＳＤＩＳハブ１８００
は、ＭＰＳ１２００及びＰＰＳ１７００から受け取ったデータを、光学的に隔離された１
方向光ファイバケーブルを通って、それぞれの原子力システム又はＰＰＳに関連付けられ
たＤＩＭに分散させる。各ＳＤＩＳハブラックに対するＳＤＩＳハブ１８００上の通信モ
ジュール１８０４の各々からのデータは、単一の通信モジュールに集められる。このモジ
ュールは、ラックに対するバックプレーンを通って、そのラック上の通信モジュールの各
々を集計する。次いで、通信モジュールは、光学的に隔離された単方向インタフェースを
通って、集めた情報をＰＣＳ１８０２へ送る。
[0298]ＳＤＩＳハブ１８００は、ディビジョンごとに通信モジュールの２つのシャーシ
に分離される。第１のシャーシは、原子力システム１～６に関連付けられたＭＰＳ１２０
０に対する通信モジュール及びＰＰＳ１７００の通信モジュールを収納する。第２のシャ
ーシは、原子力システム７～１２に関連付けられたＭＰＳ１２００のみに対する通信モジ
ュールを収容する。通信モジュールの第１及び第２のシャーシはどちらも、不安全システ
ムとインタフェース接続する通信モジュールを収納する。
に分離される。第１のシャーシは、原子力システム１～６に関連付けられたＭＰＳ１２０
０に対する通信モジュール及びＰＰＳ１７００の通信モジュールを収納する。第２のシャ
ーシは、原子力システム７～１２に関連付けられたＭＰＳ１２００のみに対する通信モジ
ュールを収容する。通信モジュールの第１及び第２のシャーシはどちらも、不安全システ
ムとインタフェース接続する通信モジュールを収納する。
[0299]図１９は、ＭＰＳ１２００のＳＤＩＳハブラック１９００の例示的な実施形態の
概略図を示す。ＳＤＩＳラック１９００は、複数のＳＤＩＳ通信モジュール１９０２を含
む。ＭＰＳ１２００のいくつかの実施形態では、各ラック１９００が、モジュール原子炉
システムの１つのディビジョンに対するＳＤＩＳ－ＣＭ１９０２を含む。ＳＤＩＳ－ＣＭ
１９０２は、ＲＳ－４８５物理層１９０４上で相互接続することができる。たとえば、各
ラック１９００は、１２の原子力モジュール（ＮＰＭ）ＳＤＩＳ－ＣＭ１９０２を含み、
各原子力モジュールは、１２のモジュール原子炉のうちの１つに関連付けられたＩ＆Ｃデ
ータを受け取って表示するように構成され、ＰＰＳ ＳＤＩＳ－ＣＭ１９０２は、ＰＰＳ
に関連付けられたＩ＆Ｃデータを受け取って表示するように構成される。第２のラック１
９００は類似しているが、多様性を提供するために異なるタイプのソフトウェア及び／又
はハードウェア構成要素によって実施することができる。ＳＤＩＳラック１９００は、複
数の原子炉システムからＩ＆Ｃデータを集める効率的な方法を提供することができる。
概略図を示す。ＳＤＩＳラック１９００は、複数のＳＤＩＳ通信モジュール１９０２を含
む。ＭＰＳ１２００のいくつかの実施形態では、各ラック１９００が、モジュール原子炉
システムの１つのディビジョンに対するＳＤＩＳ－ＣＭ１９０２を含む。ＳＤＩＳ－ＣＭ
１９０２は、ＲＳ－４８５物理層１９０４上で相互接続することができる。たとえば、各
ラック１９００は、１２の原子力モジュール（ＮＰＭ）ＳＤＩＳ－ＣＭ１９０２を含み、
各原子力モジュールは、１２のモジュール原子炉のうちの１つに関連付けられたＩ＆Ｃデ
ータを受け取って表示するように構成され、ＰＰＳ ＳＤＩＳ－ＣＭ１９０２は、ＰＰＳ
に関連付けられたＩ＆Ｃデータを受け取って表示するように構成される。第２のラック１
９００は類似しているが、多様性を提供するために異なるタイプのソフトウェア及び／又
はハードウェア構成要素によって実施することができる。ＳＤＩＳラック１９００は、複
数の原子炉システムからＩ＆Ｃデータを集める効率的な方法を提供することができる。
[0300]図２０は、ＭＰＳ１２００の表示システム（ＤＳ）２０００の例示的な実施形態
のブロック図を示す。ＤＳ２０００は、デジタル表示パネル２００４（たとえば、液晶デ
ィスプレイ（ＬＣＤ）又は発光ダイオード（ＬＥＤ）ディスプレイ）と電気的に通信して
いる表示インタフェースモジュール（ＤＩＭ）２００２を含む。ＤＳ２０００は、２つの
独立した電源２０１０及び２０１２を含む。各電源２０１０／２０１２は、ＤＩＭ２００
２及び表示パネル２００４の両方へ電力を提供するように接続される。２つの独立した電
源２０１０／２０１２の使用により、ＤＳ２０００への冗長電力の供給が確実になる。
のブロック図を示す。ＤＳ２０００は、デジタル表示パネル２００４（たとえば、液晶デ
ィスプレイ（ＬＣＤ）又は発光ダイオード（ＬＥＤ）ディスプレイ）と電気的に通信して
いる表示インタフェースモジュール（ＤＩＭ）２００２を含む。ＤＳ２０００は、２つの
独立した電源２０１０及び２０１２を含む。各電源２０１０／２０１２は、ＤＩＭ２００
２及び表示パネル２００４の両方へ電力を提供するように接続される。２つの独立した電
源２０１０／２０１２の使用により、ＤＳ２０００への冗長電力の供給が確実になる。
[0301]ＳＤＩＳ内のＤＩＭ２００２は、隔離されたファイバ－銅インタフェースを通っ
て、データを受け取る。受け取ったデータは、ＦＰＧＡ２００６において、すぐに表示で
きる形式に変換される。たとえば、ＤＩＭ２００２は、データを処理して適当な形式（た
とえば、グラフィカルユーザインタフェース）にし、またパネル２００４に対するディス
プレイドライバとして働く。したがって、すぐに表示できる形式は、表示パネル２００４
の画素行列を駆動するパネル駆動信号とすることができる。
て、データを受け取る。受け取ったデータは、ＦＰＧＡ２００６において、すぐに表示で
きる形式に変換される。たとえば、ＤＩＭ２００２は、データを処理して適当な形式（た
とえば、グラフィカルユーザインタフェース）にし、またパネル２００４に対するディス
プレイドライバとして働く。したがって、すぐに表示できる形式は、表示パネル２００４
の画素行列を駆動するパネル駆動信号とすることができる。
[0302]次いで、ＤＩＭ２００２は、すぐに表示できるデータを、ケーブルを通って表示
パネル２００４へ送る。表示パネル２００４は、ＭＰＳ１２００及びＰＰＳ１７００から
利用可能なデータを、ＭＣＲ内のプラント操作者へ表示する。各ＭＰＳ１２００及びＰＰ
Ｓ１７００からのデータは、その独自の専用モニタに表示される。ディビジョンごとに１
つのモニタがある。ＭＰＳ１２００及びＰＰＳ１７００データのディビジョンはどちらも
、両方のＳＤＩＳディビジョンディスプレイに表示される。
パネル２００４へ送る。表示パネル２００４は、ＭＰＳ１２００及びＰＰＳ１７００から
利用可能なデータを、ＭＣＲ内のプラント操作者へ表示する。各ＭＰＳ１２００及びＰＰ
Ｓ１７００からのデータは、その独自の専用モニタに表示される。ディビジョンごとに１
つのモニタがある。ＭＰＳ１２００及びＰＰＳ１７００データのディビジョンはどちらも
、両方のＳＤＩＳディビジョンディスプレイに表示される。
[0303]いくつかの実施形態では、各ＤＳ２０００は、１対のＤＩＭ２００２及び１対の
表示パネル２００４を含む。データ表示の冗長性を提供するために、ＤＳ２０００内の各
ＤＩＭ２００２に同じＭＰＳ又はＰＰＳデータが提供される。言い換えれば、ＤＳ２００
０内の両方のＤＩＭ２００２が、同じＳＤＩＳ出力に接続される。冗長性は、設計多様性
を提供するために、各ＤＩＭ２００２内で異なるタイプのＦＰＧＡ２００６を使用するこ
とによって、さらに提供される。同様に、各ＤＩＭ２００２のＦＰＧＡ２００６は、ソフ
トウェア多様性を提供するために、異なるデータ及びグラフィック処理アルゴリズムによ
ってプログラムすることができる。
表示パネル２００４を含む。データ表示の冗長性を提供するために、ＤＳ２０００内の各
ＤＩＭ２００２に同じＭＰＳ又はＰＰＳデータが提供される。言い換えれば、ＤＳ２００
０内の両方のＤＩＭ２００２が、同じＳＤＩＳ出力に接続される。冗長性は、設計多様性
を提供するために、各ＤＩＭ２００２内で異なるタイプのＦＰＧＡ２００６を使用するこ
とによって、さらに提供される。同様に、各ＤＩＭ２００２のＦＰＧＡ２００６は、ソフ
トウェア多様性を提供するために、異なるデータ及びグラフィック処理アルゴリズムによ
ってプログラムすることができる。
[0304]図２１は、ＳＦＭ２１００の別の例示的な実施形態の概略図を示す。安全機能モ
ジュール（ＳＦＭ）２１００がセンサ入力を処理し、割り当てられた分離グループに対す
る原子炉トリップ及び／又はＥＳＦ作動判定を行う。モジュールは、図２１に示すように
、信号調節／アナログデジタル変換（入力サブモジュール）２１０４ａ～２１０４ｄ、デ
ジタル論理回路２１１４（たとえば、安全機能アルゴリズム、計算、診断）、及び通信エ
ンジン２１２０という３つの機能領域から構成される。
ジュール（ＳＦＭ）２１００がセンサ入力を処理し、割り当てられた分離グループに対す
る原子炉トリップ及び／又はＥＳＦ作動判定を行う。モジュールは、図２１に示すように
、信号調節／アナログデジタル変換（入力サブモジュール）２１０４ａ～２１０４ｄ、デ
ジタル論理回路２１１４（たとえば、安全機能アルゴリズム、計算、診断）、及び通信エ
ンジン２１２０という３つの機能領域から構成される。
[0305]ＳＦＭ２１００は、ＦＰＧＡ２１１２デバイスを使用して、安全機能アルゴリズ
ム、工学単位計算、バス通信論理、並びに標示及び診断情報（ＩＤＩ）論理回路を含むす
べてのデジタル論理回路を収納する。ＳＦＭ２１００の前面に非稼働（ＯＯＳ）スイッチ
２１２４が存在し、ＳＦＭ２１００を非稼働状態にすることを可能にする。ＯＯＳ２１２
４スイッチが起動されると、安全機能は、そのＳＦＭ２１００に対するトリップ／バイパ
ススイッチの位置に基づいて、トリップ又はバイパスに配置される。このスイッチを起動
することで、不揮発性メモリ（ＮＶＭ）２１１０内の調整可能なパラメータ及び設定点の
修正が許可される。
ム、工学単位計算、バス通信論理、並びに標示及び診断情報（ＩＤＩ）論理回路を含むす
べてのデジタル論理回路を収納する。ＳＦＭ２１００の前面に非稼働（ＯＯＳ）スイッチ
２１２４が存在し、ＳＦＭ２１００を非稼働状態にすることを可能にする。ＯＯＳ２１２
４スイッチが起動されると、安全機能は、そのＳＦＭ２１００に対するトリップ／バイパ
ススイッチの位置に基づいて、トリップ又はバイパスに配置される。このスイッチを起動
することで、不揮発性メモリ（ＮＶＭ）２１１０内の調整可能なパラメータ及び設定点の
修正が許可される。
[0306]入力サブモジュール２１０４ａ～２１０４ｄは、複数の入力２１０２から情報を
受け取る。入力サブモジュール２１０４ａ～２１０４ｄは、信号調節回路２１０６、アナ
ログ－デジタル（Ａ／Ｄ）変換器２１０８、及び直列インタフェースを含む。各ＳＦＭ２
１００は、複数（たとえば、４つ又はそれ以上）の入力サブモジュール２１０４ａ～２１
０４ｄを取り扱うことができる。入力２１０２のタイプは、パーミッシブ及びインタロッ
クの生成を含むＳＦＭ２１００が作動判定を行うために必要とするはずのアナログ及びデ
ジタルの任意の組合せ（たとえば、ＲＴＤ、ＴＣ、４～２０ｍＡ、１０～５０ｍＡ、０～
１０Ｖ）とすることができる。
受け取る。入力サブモジュール２１０４ａ～２１０４ｄは、信号調節回路２１０６、アナ
ログ－デジタル（Ａ／Ｄ）変換器２１０８、及び直列インタフェースを含む。各ＳＦＭ２
１００は、複数（たとえば、４つ又はそれ以上）の入力サブモジュール２１０４ａ～２１
０４ｄを取り扱うことができる。入力２１０２のタイプは、パーミッシブ及びインタロッ
クの生成を含むＳＦＭ２１００が作動判定を行うために必要とするはずのアナログ及びデ
ジタルの任意の組合せ（たとえば、ＲＴＤ、ＴＣ、４～２０ｍＡ、１０～５０ｍＡ、０～
１０Ｖ）とすることができる。
[0307]論理機能は、ＳＦＭ２１００のプログラマブル部分（ＦＰＧＡ）２１１２内で実
施される。入力サブモジュールの各々の出力は、ＦＰＧＡ２１１２内の複数の冗長コア論
理モジュール２１１４信号経路及びＭＩＢ論理モジュール２１１６論理へ送られる。コア
モジュール２１１４は各々、冗長信号経路内で機能する。コアモジュール２１１４は、そ
れだけに限定されるものではないが、安全機能アルゴリズムを実行すること、安全機能ア
ルゴリズム出力を設定点と比較し、トリップ及び／又はＥＳＦ作動判定を行うこと、並び
にパーミッシブ及び制御インタロックを生成することを含む機能を実行する。
施される。入力サブモジュールの各々の出力は、ＦＰＧＡ２１１２内の複数の冗長コア論
理モジュール２１１４信号経路及びＭＩＢ論理モジュール２１１６論理へ送られる。コア
モジュール２１１４は各々、冗長信号経路内で機能する。コアモジュール２１１４は、そ
れだけに限定されるものではないが、安全機能アルゴリズムを実行すること、安全機能ア
ルゴリズム出力を設定点と比較し、トリップ及び／又はＥＳＦ作動判定を行うこと、並び
にパーミッシブ及び制御インタロックを生成することを含む機能を実行する。
[0308]コアモジュール２１１４は各々、別個のコア論理信号経路内で動作し、他の２つ
のコアモジュールから論理的に独立して機能を実行する。これにより、３つの機能的に独
立したコア論理機能が可能になり、３つの冗長信号経路が提供される。たとえば、安全機
能アルゴリズムは、安全機能のエラー検出及び障害公差を提供するために、３つの冗長経
路を通って処理される。
のコアモジュールから論理的に独立して機能を実行する。これにより、３つの機能的に独
立したコア論理機能が可能になり、３つの冗長信号経路が提供される。たとえば、安全機
能アルゴリズムは、安全機能のエラー検出及び障害公差を提供するために、３つの冗長経
路を通って処理される。
[0309]ＦＰＧＡ２１１２内には、ＭＩＢ論理モジュール２１１６及びＣＴＢ論理モジュ
ール２１１８という２つの他の論理機能がある。監視及び標示バス（ＭＩＢ）論理モジュ
ール２１１６は、３つの冗長コア論理経路の各々からパラメータ、トリップ判定、状態、
及び診断情報を取得し、その情報をＭＩＢへ提供する。この情報は、ＭＩＢ－ＣＭ及びＭ
ＰＳゲートウェイを通って、ＭＣＳ、ＳＤＩ、及びＭＷＳへ送られる。ＣＴＢ論理モジュ
ール２１１８は、ＳＦＭ２１００が非稼働中である（ＯＯＳスイッチ２１２４が起動され
ている）とき、ＭＷＳがＮＶＭ２１１０内で調整可能なパラメータを更新することを可能
にする。
ール２１１８という２つの他の論理機能がある。監視及び標示バス（ＭＩＢ）論理モジュ
ール２１１６は、３つの冗長コア論理経路の各々からパラメータ、トリップ判定、状態、
及び診断情報を取得し、その情報をＭＩＢへ提供する。この情報は、ＭＩＢ－ＣＭ及びＭ
ＰＳゲートウェイを通って、ＭＣＳ、ＳＤＩ、及びＭＷＳへ送られる。ＣＴＢ論理モジュ
ール２１１８は、ＳＦＭ２１００が非稼働中である（ＯＯＳスイッチ２１２４が起動され
ている）とき、ＭＷＳがＮＶＭ２１１０内で調整可能なパラメータを更新することを可能
にする。
[0310]論理モジュール２１１４／２１１６／２１１８は各々、複数の決定論的状態機械
を含む。論理機能アルゴリズムは、エラー検出及び障害公差を提供するために、複数の冗
長経路を通って処理される。１つの機能又は１群の機能に専用のＳＦＭ２１００を使用す
ることによって、各モジュール上の一意の論理及びアルゴリズムのため、ソフトウェアＣ
ＣＦの影響が制限される。
を含む。論理機能アルゴリズムは、エラー検出及び障害公差を提供するために、複数の冗
長経路を通って処理される。１つの機能又は１群の機能に専用のＳＦＭ２１００を使用す
ることによって、各モジュール上の一意の論理及びアルゴリズムのため、ソフトウェアＣ
ＣＦの影響が制限される。
[0311]通信ブロックは、５つの別個の論理的に独立した通信エンジン２１２０（たとえ
ば、別の通信エンジンの状態にかかわらずデータを伝送することが可能）を含む。各エン
ジン２１２０は、安全データバス１（ＳＤＢ１）、安全データバス２（ＳＤＢ２）、安全
データバス３（ＳＤＢ３）、監視及び標示バス（ＭＩＢ）、並びに較正及び試験バス（Ｃ
ＴＢ）という通信バスのうちの１つに専用である。各ＳＤＢは同じデータを通信するが、
各通信ポートは、データを別々にパッケージ化して伝送する。ＳＤＢ１は、たとえば、１
０パケットのデータを順次（たとえば、１、２、．．．、１０）伝送することができ、Ｓ
ＤＢ２は、同じ１０パケットを逆の順序（たとえば、１０、９、．．．、１）で伝送し、
ＳＤＢ３は、偶数のパケットをまず伝送し、続いて奇数のパケットを伝送する（たとえば
、２、４、．．．、１０、１、３、．．９）。
ば、別の通信エンジンの状態にかかわらずデータを伝送することが可能）を含む。各エン
ジン２１２０は、安全データバス１（ＳＤＢ１）、安全データバス２（ＳＤＢ２）、安全
データバス３（ＳＤＢ３）、監視及び標示バス（ＭＩＢ）、並びに較正及び試験バス（Ｃ
ＴＢ）という通信バスのうちの１つに専用である。各ＳＤＢは同じデータを通信するが、
各通信ポートは、データを別々にパッケージ化して伝送する。ＳＤＢ１は、たとえば、１
０パケットのデータを順次（たとえば、１、２、．．．、１０）伝送することができ、Ｓ
ＤＢ２は、同じ１０パケットを逆の順序（たとえば、１０、９、．．．、１）で伝送し、
ＳＤＢ３は、偶数のパケットをまず伝送し、続いて奇数のパケットを伝送する（たとえば
、２、４、．．．、１０、１、３、．．９）。
[0312]いくつかの実施形態では、ＳＤＢ上のコア論理機能に対して３重冗長性を使用す
ることで、通信エラー検出を可能にするだけではなく、下流の構成要素が正確なトリップ
及び／又は作動判定を行う能力に影響を及ぼすことなく、通信ＣＣＦを特定のバスに制限
することができる。
ることで、通信エラー検出を可能にするだけではなく、下流の構成要素が正確なトリップ
及び／又は作動判定を行う能力に影響を及ぼすことなく、通信ＣＣＦを特定のバスに制限
することができる。
[0313]図２２は、ＭＰＳ１２００の監視及び標示（ＭＩＢ）通信モジュール２２００の
例示的な実施形態の概略図を示す。通信モジュール（ＣＭ）２２００は、安全データをＳ
ＦＭからＥＩＭへ伝達するための通信チャネルを提供する基底モジュールである。ＣＭ２
２００はまた、保護システムアーキテクチャの外からの監視及び標示並びに診断情報を、
（１）事故監視及び表示システム（たとえば、ＳＤＩ）、並びに（２）制御、診断、表示
、及び監視の目的の他のシステム（たとえば、ＭＣＳ及びＭＷＳ）へ渡す通信能力を提供
する。
例示的な実施形態の概略図を示す。通信モジュール（ＣＭ）２２００は、安全データをＳ
ＦＭからＥＩＭへ伝達するための通信チャネルを提供する基底モジュールである。ＣＭ２
２００はまた、保護システムアーキテクチャの外からの監視及び標示並びに診断情報を、
（１）事故監視及び表示システム（たとえば、ＳＤＩ）、並びに（２）制御、診断、表示
、及び監視の目的の他のシステム（たとえば、ＭＣＳ及びＭＷＳ）へ渡す通信能力を提供
する。
[0314]いくつかの実施形態では、ＣＭ２２００はまた、論理レベルバックプレーン信号
を介して、ハードワイヤード信号入力を組み込む。使用される場合、これらのハードワイ
ヤード信号は、同じシャーシ又はデイジーチェーンシャーシ内のハードワイヤードモジュ
ール（ＨＷＭ）を通って、バックプレーン上に直接配置される。
を介して、ハードワイヤード信号入力を組み込む。使用される場合、これらのハードワイ
ヤード信号は、同じシャーシ又はデイジーチェーンシャーシ内のハードワイヤードモジュ
ール（ＨＷＭ）を通って、バックプレーン上に直接配置される。
[0315]ＣＭ２２００は、それらの機能に基づいて別々に構成することができる。異なる
タイプの通信モジュールは、同じモジュールハードウェアアーキテクチャに基づいており
、監視及び標示バスＣＭ（ＭＩＢ－ＣＭ）、スケジューリング及びバイパスモジュール（
ＳＢＭ）、スケジューリング及び投票モジュール（ＳＶＭ）、ＭＰＳゲートウェイＣＭを
含む。
タイプの通信モジュールは、同じモジュールハードウェアアーキテクチャに基づいており
、監視及び標示バスＣＭ（ＭＩＢ－ＣＭ）、スケジューリング及びバイパスモジュール（
ＳＢＭ）、スケジューリング及び投票モジュール（ＳＶＭ）、ＭＰＳゲートウェイＣＭを
含む。
[0316]基本的なＣＭ２２００は、ＦＰＧＡ２２０２、スケジューリング及び通信論理２
２１４、標示及び診断情報（ＩＤＩ）２２１０、ＣＭ機能論理回路２２１２（ＣＭの具体
的に所望される機能に基づいて構成される）、ハードワイヤード信号入力、並びに通信物
理層２２１６という回路を含む。ＣＭは、ＦＰＧＡ２２０２デバイスを利用して、ＣＭが
実行する特有の機能に基づいて論理回路を実施する。ＦＰＧＡ２２０２内で実施される論
理は、バス通信及びスケジューリング論理、ＣＭが実行する任意の機能、並びにＩＤＩ論
理回路を含む。たとえば、ＭＩＢ－ＣＭにおいて、機能論理回路２２１２は、監視及び標
示情報の収集及び割当てを実行するように構成される。ＭＩＢ ＣＭは、ＳＦＭ、ＳＢＭ
、及びＥＩＭから標示及び診断情報を収集し、隔離された１方向データ経路を通って、こ
の情報をＳＤＩシステム及びＰＣＳへ伝送するために使用される。
２１４、標示及び診断情報（ＩＤＩ）２２１０、ＣＭ機能論理回路２２１２（ＣＭの具体
的に所望される機能に基づいて構成される）、ハードワイヤード信号入力、並びに通信物
理層２２１６という回路を含む。ＣＭは、ＦＰＧＡ２２０２デバイスを利用して、ＣＭが
実行する特有の機能に基づいて論理回路を実施する。ＦＰＧＡ２２０２内で実施される論
理は、バス通信及びスケジューリング論理、ＣＭが実行する任意の機能、並びにＩＤＩ論
理回路を含む。たとえば、ＭＩＢ－ＣＭにおいて、機能論理回路２２１２は、監視及び標
示情報の収集及び割当てを実行するように構成される。ＭＩＢ ＣＭは、ＳＦＭ、ＳＢＭ
、及びＥＩＭから標示及び診断情報を収集し、隔離された１方向データ経路を通って、こ
の情報をＳＤＩシステム及びＰＣＳへ伝送するために使用される。
[0317]４つの銅－ファイバ物理層２２１６は各々、受取り専用又は伝送専用に構成する
ことができる。ディビジョン間通信又は不安全関連若しくは他の安全関連システムへの通
信は、伝送専用又は受取り専用の通信ポート（たとえば、銅又は光ファイバ）を通らなけ
ればならない。これらのポートは、受取り又は伝送構成に対して１Ｅクラス隔離を提供す
る。ＣＭは、ＦＰＧＡ論理回路、不揮発性メモリ（ＮＶＭ）、クロック回路、並びに電力
及び電力管理回路内の故障の検出を確実にする自己試験能力を含む。
ことができる。ディビジョン間通信又は不安全関連若しくは他の安全関連システムへの通
信は、伝送専用又は受取り専用の通信ポート（たとえば、銅又は光ファイバ）を通らなけ
ればならない。これらのポートは、受取り又は伝送構成に対して１Ｅクラス隔離を提供す
る。ＣＭは、ＦＰＧＡ論理回路、不揮発性メモリ（ＮＶＭ）、クロック回路、並びに電力
及び電力管理回路内の故障の検出を確実にする自己試験能力を含む。
[0318]ＭＩＢ－ＣＭは、ＳＦＭ、ＳＢＭ、ＳＶＭ、及びＥＩＭから標示及び診断情報を
収集し、隔離された適格の１方向データ経路を通って、この情報をＭＣＳ及びＭＰＳゲー
トウェイへ伝送するために使用される。ＭＩＢ－ＣＭはまた、較正及び試験バス（ＣＴＢ
）情報をＭＷＳからＳＦＭへ伝送するために使用される。
収集し、隔離された適格の１方向データ経路を通って、この情報をＭＣＳ及びＭＰＳゲー
トウェイへ伝送するために使用される。ＭＩＢ－ＣＭはまた、較正及び試験バス（ＣＴＢ
）情報をＭＷＳからＳＦＭへ伝送するために使用される。
[0319]各分離グループ並びにＲＴＳ及びＥＳＦＡＳディビジョン内のＭＩＢ－ＣＭに対
する銅－ファイバデータポートのうちの３つは、伝送専用に構成され、ＭＣＳ、ディビジ
ョンＩのＭＰＳゲートウェイ、及びディビジョンＩＩのＭＰＳゲートウェイへ情報を送る
。分離グループＭＩＢ－ＣＭ上の残りの銅－ファイバデータポートは、受取り専用として
構成され、保守活動中に接続された一時ケーブルを通って、ＭＷＳから情報を受け取る。
ＲＴＳ及びＥＳＦＡＳディビジョン内のＭＩＢ－ＣＭ上の残りのポートは予備である。
する銅－ファイバデータポートのうちの３つは、伝送専用に構成され、ＭＣＳ、ディビジ
ョンＩのＭＰＳゲートウェイ、及びディビジョンＩＩのＭＰＳゲートウェイへ情報を送る
。分離グループＭＩＢ－ＣＭ上の残りの銅－ファイバデータポートは、受取り専用として
構成され、保守活動中に接続された一時ケーブルを通って、ＭＷＳから情報を受け取る。
ＲＴＳ及びＥＳＦＡＳディビジョン内のＭＩＢ－ＣＭ上の残りのポートは予備である。
[0320]図２３は、ＭＰＳ１２００のスケジューリング及びバイパスモジュール（ＳＢＭ
）２３００の例示的な実施形態の概略図を示す。ＳＢＭ２３００は、スケジューリング及
びバイパス機能を実行するように構成されたＣＭ２２００である。たとえば、ＳＢＭ－Ｃ
Ｍ内で、機能論理回路２２１２は、スケジューリング及びバイパス機能を実行するように
構成される。上述したように、各安全データバスに対して１つずつ、分離グループごとに
複数の冗長ＳＢＭ２３００（たとえば、グループごとに３つのＳＢＭ）が存在する。ＳＢ
Ｍ２３００は、各ＳＦＭから安全データを要求して受け取り、次いでＲＴＳの両方のディ
ビジョン内のその関連付けられたＳＶＭ及びＥＳＦＡＳの両方のディビジョン内の関連付
けられたＳＶＭへ、このデータを伝送する。ＳＢＭ銅－ファイバデータポート２２１０は
、ＲＴＳ及びＥＳＦＡＳへ１方向データを提供するために、伝送専用に構成される。３つ
のＳＢＭ２３００は、エラー検出及び伝送障害を検出する能力を助けるために、３重冗長
データ通信経路を提供する。
）２３００の例示的な実施形態の概略図を示す。ＳＢＭ２３００は、スケジューリング及
びバイパス機能を実行するように構成されたＣＭ２２００である。たとえば、ＳＢＭ－Ｃ
Ｍ内で、機能論理回路２２１２は、スケジューリング及びバイパス機能を実行するように
構成される。上述したように、各安全データバスに対して１つずつ、分離グループごとに
複数の冗長ＳＢＭ２３００（たとえば、グループごとに３つのＳＢＭ）が存在する。ＳＢ
Ｍ２３００は、各ＳＦＭから安全データを要求して受け取り、次いでＲＴＳの両方のディ
ビジョン内のその関連付けられたＳＶＭ及びＥＳＦＡＳの両方のディビジョン内の関連付
けられたＳＶＭへ、このデータを伝送する。ＳＢＭ銅－ファイバデータポート２２１０は
、ＲＴＳ及びＥＳＦＡＳへ１方向データを提供するために、伝送専用に構成される。３つ
のＳＢＭ２３００は、エラー検出及び伝送障害を検出する能力を助けるために、３重冗長
データ通信経路を提供する。
[0321]分離グループに対するＨＷＭは、トリップ／バイパススイッチ位置を、各安全機
能に対する論理レベル信号に変換し、この情報をシャーシバックプレーン上に配置し、こ
の情報は、ＳＢＭ２３００ハードワイヤード信号インタフェース２３０４で受け取られる
。ＳＦＭから受け取ったデータパケットは、ＳＦＭ上のＯＯＳスイッチの位置を収納する
。ＳＢＭ２３００は、データパケット内でＳＦＭから受け取ったＯＯＳスイッチ位置情報
から、ＳＦＭが非稼働中であるかどうかを判定する。ＳＦＭが非稼働中であり、かつトリ
ップ／バイパススイッチがバイパスにある場合、ＳＢＭ２３００は、ＳＦＭ安全機能の出
力が何を求めていても、作動なし条件をＳＶＭへ伝送する。ＳＦＭが非稼働中であり、ト
リップ／バイパススイッチがトリップにある場合、ＳＢＭ２３００は、安全機能の出力が
何を求めていても、作動信号をＳＶＭへ伝送する。ＳＦＭが非稼働中ではない場合、ＳＢ
Ｍ２３００は、ＳＦＭからＳＢＭ２３００へ計算及び伝送された安全機能アルゴリズム結
果を伝送する。
能に対する論理レベル信号に変換し、この情報をシャーシバックプレーン上に配置し、こ
の情報は、ＳＢＭ２３００ハードワイヤード信号インタフェース２３０４で受け取られる
。ＳＦＭから受け取ったデータパケットは、ＳＦＭ上のＯＯＳスイッチの位置を収納する
。ＳＢＭ２３００は、データパケット内でＳＦＭから受け取ったＯＯＳスイッチ位置情報
から、ＳＦＭが非稼働中であるかどうかを判定する。ＳＦＭが非稼働中であり、かつトリ
ップ／バイパススイッチがバイパスにある場合、ＳＢＭ２３００は、ＳＦＭ安全機能の出
力が何を求めていても、作動なし条件をＳＶＭへ伝送する。ＳＦＭが非稼働中であり、ト
リップ／バイパススイッチがトリップにある場合、ＳＢＭ２３００は、安全機能の出力が
何を求めていても、作動信号をＳＶＭへ伝送する。ＳＦＭが非稼働中ではない場合、ＳＢ
Ｍ２３００は、ＳＦＭからＳＢＭ２３００へ計算及び伝送された安全機能アルゴリズム結
果を伝送する。
[0322]ＳＢＭ２３００がＳＦＭから有効な応答を受け取らない場合、警報が生成され、
ＳＢＭ２３００は、トリップ／バイパススイッチの位置を使用して、ＳＶＭへ何を伝送す
るかを判定する。トリップ／バイパススイッチがトリップ位置にある場合、ＳＢＭ２３０
０は、その安全機能のために作動信号をＳＶＭへ伝送する。スイッチがバイパス位置にあ
る場合、ＳＢＭ２３００は、その安全機能のために作動なし信号をＳＶＭへ伝送する。
ＳＢＭ２３００は、トリップ／バイパススイッチの位置を使用して、ＳＶＭへ何を伝送す
るかを判定する。トリップ／バイパススイッチがトリップ位置にある場合、ＳＢＭ２３０
０は、その安全機能のために作動信号をＳＶＭへ伝送する。スイッチがバイパス位置にあ
る場合、ＳＢＭ２３００は、その安全機能のために作動なし信号をＳＶＭへ伝送する。
[0323]図２４は、ＭＰＳ１２００のスケジューリング及び投票モジュール（ＳＶＭ）２
４００の例示的な実施形態の概略図を示す。ＳＶＭ２４００は、スケジューリング及び投
票機能を実行するように構成されたＣＭ２２００である。たとえば、ＳＶＭ－ＣＭ内で、
機能論理回路２２１２は、スケジューリング及び投票機能を実行するように構成される。
ＳＶＭ２４００は、４つの分離グループからデータを受け取り、各安全機能に対して非多
数決投票（たとえば、２ｏｏ４投票）を実行し、トリップ又は作動信号が必要とされるか
どうかを判定する。２つ以上の分離グループが、トリップ又は作動信号が必要とされるこ
とに一致した場合、その安全機能のためにトリップ又は作動信号が適当なＥＩＭへ渡され
る。上述したように、ＲＴＳの各ディビジョン内に、各安全データバスに対して１つずつ
、３つの冗長ＳＶＭ２４００があり、ＥＳＦＡＳの各ディビジョン内に３つがある。通信
ポート２２１６は、受取り専用として構成される。
４００の例示的な実施形態の概略図を示す。ＳＶＭ２４００は、スケジューリング及び投
票機能を実行するように構成されたＣＭ２２００である。たとえば、ＳＶＭ－ＣＭ内で、
機能論理回路２２１２は、スケジューリング及び投票機能を実行するように構成される。
ＳＶＭ２４００は、４つの分離グループからデータを受け取り、各安全機能に対して非多
数決投票（たとえば、２ｏｏ４投票）を実行し、トリップ又は作動信号が必要とされるか
どうかを判定する。２つ以上の分離グループが、トリップ又は作動信号が必要とされるこ
とに一致した場合、その安全機能のためにトリップ又は作動信号が適当なＥＩＭへ渡され
る。上述したように、ＲＴＳの各ディビジョン内に、各安全データバスに対して１つずつ
、３つの冗長ＳＶＭ２４００があり、ＥＳＦＡＳの各ディビジョン内に３つがある。通信
ポート２２１６は、受取り専用として構成される。
[0324]ＲＴＳに対するＨＷＭ及びＥＳＦＡＳに対するＨＷＭは、動作バイパススイッチ
位置を論理レベル信号に変換し、この情報をシャーシバックプレーン上に配置し、この情
報は、ＳＶＭ２４００ハードワイヤード信号インタフェース２４０４で受け取られる。評
価されている安全機能に対して動作バイパス信号が存在する場合、その安全機能に対する
あらゆる作動信号は無視され、作動なし信号が適当なＥＩＭへ伝送される。
位置を論理レベル信号に変換し、この情報をシャーシバックプレーン上に配置し、この情
報は、ＳＶＭ２４００ハードワイヤード信号インタフェース２４０４で受け取られる。評
価されている安全機能に対して動作バイパス信号が存在する場合、その安全機能に対する
あらゆる作動信号は無視され、作動なし信号が適当なＥＩＭへ伝送される。
[0325]図２５は、ＭＰＳ１２００又はＰＰＳ１７００の機器インタフェースモジュール
（ＥＩＭ）２５００の例示的な実施形態の概略図を示す。ＥＩＭ２５００は、ＲＴＳ、Ｅ
ＳＦＡＳ、及びＰＰＳの最終作動デバイスである。ＥＩＭ２５００は、ＦＰＧＡ２５０２
、バス通信論理２５０８、ＩＤＩ論理２５１２、自動作動投票論理２５１０、ハードワイ
ヤード信号論理２５０４、作動及び優先論理（ＡＰＬ）２５１４、スイッチング出力２５
１６、並びに位置フィードバック入力２５１８という回路を含む。
（ＥＩＭ）２５００の例示的な実施形態の概略図を示す。ＥＩＭ２５００は、ＲＴＳ、Ｅ
ＳＦＡＳ、及びＰＰＳの最終作動デバイスである。ＥＩＭ２５００は、ＦＰＧＡ２５０２
、バス通信論理２５０８、ＩＤＩ論理２５１２、自動作動投票論理２５１０、ハードワイ
ヤード信号論理２５０４、作動及び優先論理（ＡＰＬ）２５１４、スイッチング出力２５
１６、並びに位置フィードバック入力２５１８という回路を含む。
[0326]ＦＰＧＡ２５０２内で実施される論理は、バス通信論理２５０８、自動作動投票
論理２５１０、及びＩＤＩ論理２５１２を含む。バス通信論理２５０８は、ＳＤＢ（ＳＤ
Ｂ１、ＳＤＢ２、及びＳＤＢ３）からのデータを処理し、そのデータを自動作動投票論理
２５１０へ送る。ＩＤＩ論理２５１２は、ＭＩＢ通信論理２５２０へ送られ、ＰＣＳ、Ｓ
ＤＩＳハブ、及びＭＷＳによって処理される。
論理２５１０、及びＩＤＩ論理２５１２を含む。バス通信論理２５０８は、ＳＤＢ（ＳＤ
Ｂ１、ＳＤＢ２、及びＳＤＢ３）からのデータを処理し、そのデータを自動作動投票論理
２５１０へ送る。ＩＤＩ論理２５１２は、ＭＩＢ通信論理２５２０へ送られ、ＰＣＳ、Ｓ
ＤＩＳハブ、及びＭＷＳによって処理される。
[0327]自動作動投票論理２５１０は、３つのＳＤＢから受け取った作動信号で投票する
。自動作動投票論理２５１０は、１次又は２次作動経路に対して作動が保証されているか
どうかを判定する。たとえば、自動作動投票論理２５１０は、作動信号で多数決を行う。
自動作動投票論理２５１０は、ツーアウトオブスリー（２ｏｏ３）作動信号がそのように
示す場合、自動作動が保証されていることを示す。データ通信は３重冗長であり、単一故
障の問題をなくすために投票される。
。自動作動投票論理２５１０は、１次又は２次作動経路に対して作動が保証されているか
どうかを判定する。たとえば、自動作動投票論理２５１０は、作動信号で多数決を行う。
自動作動投票論理２５１０は、ツーアウトオブスリー（２ｏｏ３）作動信号がそのように
示す場合、自動作動が保証されていることを示す。データ通信は３重冗長であり、単一故
障の問題をなくすために投票される。
[0328]ＩＤＩ論理２５１２は、ＥＩＭ２５００上の様々な回路から状態及び診断情報を
収集し、この診断情報を処理のためにＭＩＢ通信論理２５２０へ送る。
収集し、この診断情報を処理のためにＭＩＢ通信論理２５２０へ送る。
[0329]ＥＩＭ２５００は、シャーシバックプレーンを通って、ＨＷＭに接続することが
できる（たとえば、ＲＴＳ ＨＷＭ１４０２、ＥＳＦＡＳ ＨＷＭ１４０８、及びＰＰＳ
ＨＷＭ１７２２）。それぞれのＨＷＭは、手動スイッチ位置及び不安全関連制御信号を
アナログ論理レベル信号に変換し、この情報をシャーシバックプレーン上に配置する。ハ
ードワイヤード信号論理２５０４は、この情報をシャーシのバックプレーンからＡＰＬ２
５１４の１次及び２次回へ分散される。ハードワイヤード信号２５０６は、それだけに限
定されるものではないが、手動作動信号、不安全（ＮＳ）イネーブルスイッチ位置信号、
パーミッシブ信号、バイパス信号、及び不安全関連制御信号を含むことができる。
できる（たとえば、ＲＴＳ ＨＷＭ１４０２、ＥＳＦＡＳ ＨＷＭ１４０８、及びＰＰＳ
ＨＷＭ１７２２）。それぞれのＨＷＭは、手動スイッチ位置及び不安全関連制御信号を
アナログ論理レベル信号に変換し、この情報をシャーシバックプレーン上に配置する。ハ
ードワイヤード信号論理２５０４は、この情報をシャーシのバックプレーンからＡＰＬ２
５１４の１次及び２次回へ分散される。ハードワイヤード信号２５０６は、それだけに限
定されるものではないが、手動作動信号、不安全（ＮＳ）イネーブルスイッチ位置信号、
パーミッシブ信号、バイパス信号、及び不安全関連制御信号を含むことができる。
[0330]ＡＰＬ２５１４は、個別の論理構成要素から構築され、自動作動投票論理２５１
０、ハードワイヤード信号論理２５０４、及びＰＣＳ制御信号からのコマンドを受け取る
。ＡＰＬ２５１４は、受け取った最も高い優先順位のコマンドを優先して処理する。たと
えば、ＡＰＬ２５１４は、ＰＣＳ制御信号及びＮＳイネーブル信号より、自動及び手動の
作動信号を優先する。たとえば、ＮＳイネーブルスイッチが活動中である場合、ＰＣＳは
、より高い優先順位の機能作動信号が存在しないとき、ＥＩＭ２５００に結合された終端
デバイスを制御することが可能である。しかし、自動又は手動作動コマンドは、ＰＣＳ入
力をオーバーライドする。ＮＳイネーブル信号がないと、ＥＩＭ２５００は常にＰＣＳコ
マンド信号を無視する。たとえば、ＡＰＬ２５１４は、より高い優先順位の信号（たとえ
ば、自動又は手動作動信号）が存在しない限り、ＥＩＭ２５００を通って終端デバイスを
作動又は再設定するための不安全信号（たとえば、ＮＳイネーブル及びＰＣＳコマンド信
号）の使用を許可する。さらに、ＡＰＬ２５１４は、不安全信号からのそのような動作を
許可しながら、不安全システム（たとえば、ＰＣＳ）からのあらゆる障害エラーが、ＥＩ
Ｍ２５００を通って安全システム（たとえば、ＲＴＳ又はＥＳＦＡＳ）内へ波及するのを
防止する。
０、ハードワイヤード信号論理２５０４、及びＰＣＳ制御信号からのコマンドを受け取る
。ＡＰＬ２５１４は、受け取った最も高い優先順位のコマンドを優先して処理する。たと
えば、ＡＰＬ２５１４は、ＰＣＳ制御信号及びＮＳイネーブル信号より、自動及び手動の
作動信号を優先する。たとえば、ＮＳイネーブルスイッチが活動中である場合、ＰＣＳは
、より高い優先順位の機能作動信号が存在しないとき、ＥＩＭ２５００に結合された終端
デバイスを制御することが可能である。しかし、自動又は手動作動コマンドは、ＰＣＳ入
力をオーバーライドする。ＮＳイネーブル信号がないと、ＥＩＭ２５００は常にＰＣＳコ
マンド信号を無視する。たとえば、ＡＰＬ２５１４は、より高い優先順位の信号（たとえ
ば、自動又は手動作動信号）が存在しない限り、ＥＩＭ２５００を通って終端デバイスを
作動又は再設定するための不安全信号（たとえば、ＮＳイネーブル及びＰＣＳコマンド信
号）の使用を許可する。さらに、ＡＰＬ２５１４は、不安全信号からのそのような動作を
許可しながら、不安全システム（たとえば、ＰＣＳ）からのあらゆる障害エラーが、ＥＩ
Ｍ２５００を通って安全システム（たとえば、ＲＴＳ又はＥＳＦＡＳ）内へ波及するのを
防止する。
[0331]いくつかの実施形態では、各ＥＩＭ２５００は、複数の構成要素を制御すること
ができる。たとえば、各ＥＩＭ２５００は、２つのフィールド構成要素を制御することが
できる。ＥＩＭ２５００は、４つのスイッチング出力２５１６、２つの１次及び２つの２
次を備える。スイッチング出力２５１６は、出力動作に影響を及ぼすことなく、冗長出力
として実施され、駆動構成要素の１つのうちの単一故障が、自動的に検出及び軽減される
。４つのスイッチング出力２５１６のうちの１つの単一故障は、出力チャネルが負荷を励
磁又は切断することを防止することができない。自己試験能力は、ソレノイドが励磁され
ているときはスイッチング出力２５１６を通って電流を測定することによって実施され、
ソレノイドが切断されているときはソレノイドを通って連続性を測定することによって実
施される。スイッチング出力は、不安全構成要素又は電圧源への接続を可能にするために
、フィールドから隔離される。
ができる。たとえば、各ＥＩＭ２５００は、２つのフィールド構成要素を制御することが
できる。ＥＩＭ２５００は、４つのスイッチング出力２５１６、２つの１次及び２つの２
次を備える。スイッチング出力２５１６は、出力動作に影響を及ぼすことなく、冗長出力
として実施され、駆動構成要素の１つのうちの単一故障が、自動的に検出及び軽減される
。４つのスイッチング出力２５１６のうちの１つの単一故障は、出力チャネルが負荷を励
磁又は切断することを防止することができない。自己試験能力は、ソレノイドが励磁され
ているときはスイッチング出力２５１６を通って電流を測定することによって実施され、
ソレノイドが切断されているときはソレノイドを通って連続性を測定することによって実
施される。スイッチング出力は、不安全構成要素又は電圧源への接続を可能にするために
、フィールドから隔離される。
[0332]１つのＥＩＭ２５００のみが終端デバイスのコイルへ電力を供給している場合、
ＥＩＭ２５００の故障又は除去により、フィールド構成要素が作動されるはずである。終
端デバイスを作動させることなくＥＩＭ２５００の交換を可能にするために、第２のＥＩ
Ｍ２５００スイッチング出力が、第２のＥＩＭ２５００と並列に配置され、図１５を参照
して図示及び説明するように、いずれのＥＩＭ２５００も出力を励磁されたまま維持する
。この構成はまた、ＥＩＭ２５００回路のより徹底的な試験を可能にする。
ＥＩＭ２５００の故障又は除去により、フィールド構成要素が作動されるはずである。終
端デバイスを作動させることなくＥＩＭ２５００の交換を可能にするために、第２のＥＩ
Ｍ２５００スイッチング出力が、第２のＥＩＭ２５００と並列に配置され、図１５を参照
して図示及び説明するように、いずれのＥＩＭ２５００も出力を励磁されたまま維持する
。この構成はまた、ＥＩＭ２５００回路のより徹底的な試験を可能にする。
[0333]図２６は、ＭＰＳ１２００のハードワイヤードモジュール（ＨＷＭ）２６００の
ブロック図を示す。各ＭＰＳ分離グループ及びディビジョン、並びにＭＰＳゲートウェイ
、及び各ＰＰＳディビジョンは、専用のＨＷＭ２５００（たとえば、ＨＷＭ１３１０、１
４０２、１４０８、１７２２、１７２４）を有する。ＨＷＭ２６００は、ＭＰＳキャビネ
ットの外部からハードワイヤードアナログ信号を受け付け、これらの信号を他のモジュー
ルに対するシャーシバックプレーン２６０２上で利用可能にする。たとえば、これらの信
号は、それだけに限定されるものではないが、ＭＣＲからの手動作動スイッチ、動作バイ
パススイッチ、オーバーライドスイッチ、及びイネーブル不安全制御スイッチを含む。Ｈ
ＷＭへの他の入力は、ＳＦＭトリップ／バイパススイッチ、ＭＣＳ制御入力、及び構成要
素位置フィードバックを含む。
ブロック図を示す。各ＭＰＳ分離グループ及びディビジョン、並びにＭＰＳゲートウェイ
、及び各ＰＰＳディビジョンは、専用のＨＷＭ２５００（たとえば、ＨＷＭ１３１０、１
４０２、１４０８、１７２２、１７２４）を有する。ＨＷＭ２６００は、ＭＰＳキャビネ
ットの外部からハードワイヤードアナログ信号を受け付け、これらの信号を他のモジュー
ルに対するシャーシバックプレーン２６０２上で利用可能にする。たとえば、これらの信
号は、それだけに限定されるものではないが、ＭＣＲからの手動作動スイッチ、動作バイ
パススイッチ、オーバーライドスイッチ、及びイネーブル不安全制御スイッチを含む。Ｈ
ＷＭへの他の入力は、ＳＦＭトリップ／バイパススイッチ、ＭＣＳ制御入力、及び構成要
素位置フィードバックを含む。
[0334]ＨＷＭ２６００は、主制御室内の手動スイッチからの信号、ＭＣＳからの個別の
制御信号、位置フィードバック、及びトリップ／バイパススイッチパネルを受け取ること
ができる。ＨＷＭ２６００は、個別のアナログ構成要素のみから構築され、プログラマブ
ルデバイスはない。これらの信号は、分離グループスイッチ入力（たとえば、保守トリッ
プ／バイパス（各分離グループ））、ＲＴＳ及びＥＳＦＡＳスイッチ入力（たとえば、手
動作動（ＭＣＲ）、ブロック又はオーバーライド（ＭＣＲ）、イネーブルＮＳ制御（ＭＣ
Ｒ）、動作バイパス（ＭＣＲ）、不安全関連ＭＣＳ制御信号）、並びにＭＰＳゲートウェ
イ（たとえば、事故監視標示のためのＲＴＳ及びＥＳＦＡＳ構成要素からの位置フィード
バック）からなる。
制御信号、位置フィードバック、及びトリップ／バイパススイッチパネルを受け取ること
ができる。ＨＷＭ２６００は、個別のアナログ構成要素のみから構築され、プログラマブ
ルデバイスはない。これらの信号は、分離グループスイッチ入力（たとえば、保守トリッ
プ／バイパス（各分離グループ））、ＲＴＳ及びＥＳＦＡＳスイッチ入力（たとえば、手
動作動（ＭＣＲ）、ブロック又はオーバーライド（ＭＣＲ）、イネーブルＮＳ制御（ＭＣ
Ｒ）、動作バイパス（ＭＣＲ）、不安全関連ＭＣＳ制御信号）、並びにＭＰＳゲートウェ
イ（たとえば、事故監視標示のためのＲＴＳ及びＥＳＦＡＳ構成要素からの位置フィード
バック）からなる。
[0335]手動スイッチ及び不安全関連ＭＣＳ信号からのすべての信号は、フィールドから
隔離され、アナログ論理電圧レベル電圧に変換され、その信号を必要とする任意のモジュ
ールによって使用するために、バックプレーン上に配置される。図２６に示す例示的なＨ
ＷＭ２６００は、モジュールの頂部からくる最大３２の入力を有する。３２の入力は、４
組の８つの入力２６０４に分割される。各組２６０４は、外部入力からのその独自の電気
的隔離２５０８、並びに隣接する３組の入力２６０４を有する。各入力チャネルは、その
独自のガルバーニ隔離２６０８を提供する。ガルバーニ隔離は、光アイソレータデバイス
によって提供することができる。各組の８つの入力２６０８は、隔離された電源を提供す
るために、その独自のＤＣ－ＤＣ変換器を有する。
隔離され、アナログ論理電圧レベル電圧に変換され、その信号を必要とする任意のモジュ
ールによって使用するために、バックプレーン上に配置される。図２６に示す例示的なＨ
ＷＭ２６００は、モジュールの頂部からくる最大３２の入力を有する。３２の入力は、４
組の８つの入力２６０４に分割される。各組２６０４は、外部入力からのその独自の電気
的隔離２５０８、並びに隣接する３組の入力２６０４を有する。各入力チャネルは、その
独自のガルバーニ隔離２６０８を提供する。ガルバーニ隔離は、光アイソレータデバイス
によって提供することができる。各組の８つの入力２６０８は、隔離された電源を提供す
るために、その独自のＤＣ－ＤＣ変換器を有する。
[0336]動作バイパスは、特定のプラント動作モードでは必要ないとき、特定の保護措置
のために提供される。異なるプラント動作モードが、安全機能の自動又は手動バイパスを
必要とすることがある。動作バイパスは、モード変化を許可するために使用される。保守
バイパスは、保守、試験、又は修理中に安全システム機器をバイパスするために提供され
る。保守バイパスは、機器の冗長度を低減させることがあるが、安全機能の損失をもたら
さない。動作及び保守バイパスは、以下の段落で説明する。
のために提供される。異なるプラント動作モードが、安全機能の自動又は手動バイパスを
必要とすることがある。動作バイパスは、モード変化を許可するために使用される。保守
バイパスは、保守、試験、又は修理中に安全システム機器をバイパスするために提供され
る。保守バイパスは、機器の冗長度を低減させることがあるが、安全機能の損失をもたら
さない。動作及び保守バイパスは、以下の段落で説明する。
[0337]ＭＰＳは、自動的に、又は自動及び手動措置の組合せによって、プラントモード
の変更を可能にする特定の保護措置を禁止又は許可するインタロック、パーミッシブ、並
びに動作及び保守バイパスを含む。
の変更を可能にする特定の保護措置を禁止又は許可するインタロック、パーミッシブ、並
びに動作及び保守バイパスを含む。
[0338]ＭＰＳ論理は、動作バイパスに対するパーミッシブ又はインタロック条件が満た
されていない場合、動作バイパスの起動を自動的に防止し、又は適当な安全機能（複数可
）を開始する。動作バイパス回路は、機能が必要とされていないときに保護機能をバイパ
スすることを可能にする両方のパーミッシブ特徴、及び条件が満たされたときに動作バイ
パスを自動的に起動するインタロック特徴を収納する。パーミッシブ及びインタロック条
件が満たされなくなった場合、動作バイパスは自動的に非活動化される。
されていない場合、動作バイパスの起動を自動的に防止し、又は適当な安全機能（複数可
）を開始する。動作バイパス回路は、機能が必要とされていないときに保護機能をバイパ
スすることを可能にする両方のパーミッシブ特徴、及び条件が満たされたときに動作バイ
パスを自動的に起動するインタロック特徴を収納する。パーミッシブ及びインタロック条
件が満たされなくなった場合、動作バイパスは自動的に非活動化される。
[0339]動作バイパスは、プラントモードの変更を可能にし、安全分析又はプラント動作
に基づいて特定の機能の操作者制御を提供するために必要とされる。ＭＰＳ機能、インタ
ロック、及びパーミッシブに対する例示的な動作バイパスが、表４（図３０Ａ～３０Ｃに
示す）に挙げられている。これらのバイパスは、普通ならプラント動作（たとえば、プラ
ント開始）中のモード変更を妨げる特定の保護措置を自動又は手動でブロックする。動作
バイパスは、保護措置を動作可能にすることが必要とされる動作状態へプラントが動いた
とき、自動的に除去される。システムの何らかの部分がバイパスされ又は非稼働状態にさ
れている場合、制御室内に標示が提供される。
に基づいて特定の機能の操作者制御を提供するために必要とされる。ＭＰＳ機能、インタ
ロック、及びパーミッシブに対する例示的な動作バイパスが、表４（図３０Ａ～３０Ｃに
示す）に挙げられている。これらのバイパスは、普通ならプラント動作（たとえば、プラ
ント開始）中のモード変更を妨げる特定の保護措置を自動又は手動でブロックする。動作
バイパスは、保護措置を動作可能にすることが必要とされる動作状態へプラントが動いた
とき、自動的に除去される。システムの何らかの部分がバイパスされ又は非稼働状態にさ
れている場合、制御室内に標示が提供される。
[0340]手動動作バイパスは、ディビジョンごとに１つずつ、２つのスイッチを有する。
いくつかの設計で使用される唯一の手動動作バイパスは、バイパスの機能を実現するため
に、手動バイパスとともにパーミッシブを使用する。動作バイパススイッチは瞬間的コン
タクトスイッチとすることができ、通常は開放されており、動作バイパス機能を実行する
ために瞬間的にのみ閉鎖される。
いくつかの設計で使用される唯一の手動動作バイパスは、バイパスの機能を実現するため
に、手動バイパスとともにパーミッシブを使用する。動作バイパススイッチは瞬間的コン
タクトスイッチとすることができ、通常は開放されており、動作バイパス機能を実行する
ために瞬間的にのみ閉鎖される。
[0341]識別された事象において、故障は、２つのＭＰＳディビジョンのうちの１つに制
限される。他のＭＰＳディビジョンは、完全に動作可能であり、安全機能を実行すること
が可能であり、単一故障が安全機能を無効にしない。安全機能の不注意のバイパスは、１
つのＭＰＳディビジョンに制限される。他のＭＰＳディビジョンは、必要とされる安全機
能を実行することができない。
限される。他のＭＰＳディビジョンは、完全に動作可能であり、安全機能を実行すること
が可能であり、単一故障が安全機能を無効にしない。安全機能の不注意のバイパスは、１
つのＭＰＳディビジョンに制限される。他のＭＰＳディビジョンは、必要とされる安全機
能を実行することができない。
[0342]自動及び手動動作バイパスの場合、分離グループからのパーミッシブ又はインタ
ロックに対してトリップ判定が使用され、これは、保護措置に対するトリップ判定に類似
している。動作バイパスが保証されているかを判定するために、スリーアウトオブフォー
一致が使用される。動作バイパスを除去するために、パーミッシブ又はインタロックが有
効でなくなると判定するために分離グループのツーアウトオブフォーが必要とされ、動作
バイパスが自動的にリセットされる。
ロックに対してトリップ判定が使用され、これは、保護措置に対するトリップ判定に類似
している。動作バイパスが保証されているかを判定するために、スリーアウトオブフォー
一致が使用される。動作バイパスを除去するために、パーミッシブ又はインタロックが有
効でなくなると判定するために分離グループのツーアウトオブフォーが必要とされ、動作
バイパスが自動的にリセットされる。
[0343]ＭＰＳ変数は、ツーアウトオブフォー一致論理を利用する保護機能を作動させる
４つの冗長チャネルによって監視される。この構成により、保護チャネルの単一の偶発故
障が保守バイパス内のチャネルと同時発生した場合、必要とされる安全機能を動作可能な
ままにすることが可能になる。
４つの冗長チャネルによって監視される。この構成により、保護チャネルの単一の偶発故
障が保守バイパス内のチャネルと同時発生した場合、必要とされる安全機能を動作可能な
ままにすることが可能になる。
[0344]ＭＰＳは、保守、試験、又は修理に対する保護チャネルの管理バイパスを許可す
るように設計される。ＭＰＳチャネルが管理的にバイパスされ又は非稼働状態にされてい
る場合、制御室内に標示が提供される。保守バイパス内で非稼働状態にするために可能に
される時間期間は、プラントの技術仕様によって管理的に制御される。
るように設計される。ＭＰＳチャネルが管理的にバイパスされ又は非稼働状態にされてい
る場合、制御室内に標示が提供される。保守バイパス内で非稼働状態にするために可能に
される時間期間は、プラントの技術仕様によって管理的に制御される。
[0345]ＭＰＳ上で保守を実行するために、各ＳＦＭに関連付けられたスイッチ、及びＳ
ＦＭの前面の非稼働スイッチという２つの関連付けられたスイッチが存在し、保守及び修
理のためにＳＦＭを非稼働状態にすることを可能にする。非稼働スイッチを起動すること
で、安全機能が、そのＳＦＭに対するトリップ／バイパススイッチの位置に基づいて、ト
リップ又はバイパスになる。非稼働スイッチを起動することで、ＭＷＳを介して不揮発性
メモリ内で調整可能なパラメータ及び設定点の修正が許可される。トリップバイパススイ
ッチ状態入力は、ハードワイヤードモジュール（ＨＷＭ）を通って受け取られ、これによ
りスイッチ位置が論理レベル信号に変換され、この情報がバックプレーン上へ配置される
。
ＦＭの前面の非稼働スイッチという２つの関連付けられたスイッチが存在し、保守及び修
理のためにＳＦＭを非稼働状態にすることを可能にする。非稼働スイッチを起動すること
で、安全機能が、そのＳＦＭに対するトリップ／バイパススイッチの位置に基づいて、ト
リップ又はバイパスになる。非稼働スイッチを起動することで、ＭＷＳを介して不揮発性
メモリ内で調整可能なパラメータ及び設定点の修正が許可される。トリップバイパススイ
ッチ状態入力は、ハードワイヤードモジュール（ＨＷＭ）を通って受け取られ、これによ
りスイッチ位置が論理レベル信号に変換され、この情報がバックプレーン上へ配置される
。
[0346]ＳＦＭから受け取ったデータパケットは、非稼働スイッチの位置をＳＦＭ上に収
納する。スケジューリング及びバイパスモジュール（ＳＢＭ）は、ＳＦＭからのデータパ
ケット内に受け取られた非稼働スイッチ位置情報からＳＦＭが非稼働中であるかどうかを
判定する。ＳＦＭが非稼働中であり、かつトリップ／バイパススイッチがバイパスにある
場合、ＳＢＭは、ＳＦＭの出力にかかわらず、作動なし又は非トリップ状態をスケジュー
ル及び投票モジュール（ＳＶＭ）へ伝送する。ツーアウトオブフォー投票一致論理に変化
はなく、１つの分離グループが、トリップなしをＳＶＭへ提供し、ＳＶＭによって受け取
られた残りの３つのチャネルのうちの２つがトリップ／作動に投票することを必要とする
。この場合、ＭＰＳはそれでもなお、単一故障基準を満たすために必要とされる冗長性及
び連続性レベルによって、安全機能を実行することが可能である。
納する。スケジューリング及びバイパスモジュール（ＳＢＭ）は、ＳＦＭからのデータパ
ケット内に受け取られた非稼働スイッチ位置情報からＳＦＭが非稼働中であるかどうかを
判定する。ＳＦＭが非稼働中であり、かつトリップ／バイパススイッチがバイパスにある
場合、ＳＢＭは、ＳＦＭの出力にかかわらず、作動なし又は非トリップ状態をスケジュー
ル及び投票モジュール（ＳＶＭ）へ伝送する。ツーアウトオブフォー投票一致論理に変化
はなく、１つの分離グループが、トリップなしをＳＶＭへ提供し、ＳＶＭによって受け取
られた残りの３つのチャネルのうちの２つがトリップ／作動に投票することを必要とする
。この場合、ＭＰＳはそれでもなお、単一故障基準を満たすために必要とされる冗長性及
び連続性レベルによって、安全機能を実行することが可能である。
[0347]ＳＦＭが非稼働中であり、かつトリップ／バイパススイッチがトリップにある場
合、ＳＢＭは、ＳＦＭの出力にかかわらず、トリップ／作動信号をＳＶＭへ伝送する。ツ
ーアウトオブフォー投票一致論理への変更はない。ＳＢＭは、１つのチャネルをトリップ
／作動させ、１つの分離グループが、トリップ／作動入力をＳＶＭへ提供し、それにより
１つの他の分離グループが投票を発行し、トリップ／作動が特定の安全機能に対してトリ
ップ／作動を生じさせる必要がある。この場合、ＭＰＳは、「部分トリップ」状態にある
が、それでもなお単一故障基準を満たしており、必要とされる冗長性レベルで安全機能を
実行することが可能である。
合、ＳＢＭは、ＳＦＭの出力にかかわらず、トリップ／作動信号をＳＶＭへ伝送する。ツ
ーアウトオブフォー投票一致論理への変更はない。ＳＢＭは、１つのチャネルをトリップ
／作動させ、１つの分離グループが、トリップ／作動入力をＳＶＭへ提供し、それにより
１つの他の分離グループが投票を発行し、トリップ／作動が特定の安全機能に対してトリ
ップ／作動を生じさせる必要がある。この場合、ＭＰＳは、「部分トリップ」状態にある
が、それでもなお単一故障基準を満たしており、必要とされる冗長性レベルで安全機能を
実行することが可能である。
[0348]いくつかの実施形態では、保守トリップ／バイパススイッチは、ＭＰＳ機器室内
位置する分離グループキャビネット内のパネルの上に位置することができる。これらのス
イッチは、ＳＦＭシャーシ（図１３に示す）内のＨＷＭに接続される。
位置する分離グループキャビネット内のパネルの上に位置することができる。これらのス
イッチは、ＳＦＭシャーシ（図１３に示す）内のＨＷＭに接続される。
[0349]ＳＦＭが非稼働中ではない場合、ＳＢＭは、ＳＦＭからＳＢＭへ計算及び伝送さ
れた安全機能アルゴリズム結果を伝送する。ＳＢＭがＳＦＭから有効な応答を受け取らな
い場合、警報が生成され、ＳＢＭは、トリップ／バイパススイッチの位置を使用して、Ｓ
ＶＭへ何を伝送するかを判定する。
れた安全機能アルゴリズム結果を伝送する。ＳＢＭがＳＦＭから有効な応答を受け取らな
い場合、警報が生成され、ＳＢＭは、トリップ／バイパススイッチの位置を使用して、Ｓ
ＶＭへ何を伝送するかを判定する。
[0350]ＳＦＭの非稼働機能を使用することで、停止及び燃料サイクル中に特定の調整可
能なパラメータの周期的なパラメータ更新が可能になる。安全機能の操作性を検証するた
めに、周期的な試験が必要とされる。
能なパラメータの周期的なパラメータ更新が可能になる。安全機能の操作性を検証するた
めに、周期的な試験が必要とされる。
[0351]ＭＰＳは、通常動作及び停止中に周期的な補正のための保守を可能にするように
設計される。保守を実行するために、安全機能を非稼働状態にしなければならない。影響
を受けたチャネルは、技術仕様の制限を受けてトリップ状態又はバイパスになる。
設計される。保守を実行するために、安全機能を非稼働状態にしなければならない。影響
を受けたチャネルは、技術仕様の制限を受けてトリップ状態又はバイパスになる。
[0352]試験又は補正の保守のために、分離グループ内の安全機能をバイパス又はトリッ
プにすることができる。ＲＴＳ及びＥＳＦＡＳディビジョンにはバイパス機能がないが、
モジュールは、連続自己試験カバー範囲を有する。原子炉トリップ遮断器は、遮断器構成
のため、１度に１つの遮断器を開放することによって、出力時に試験することができる。
これにより、原子炉トリップ遮断器に関連付けられた保守バイパスの必要なく、原子炉ト
リップ遮断器試験が可能になる。ＥＳＦＡＳ構成要素のほとんどは、トリップ又は工学的
安全施設（ＥＳＦ）の作動を引き起こすため、出力時に試験されず、停止中に試験する必
要がある。ＭＣＲ内の手動トリップ及び作動スイッチは、出力時に試験することができず
、プラントの技術仕様に従って、停止状態中に試験される。
プにすることができる。ＲＴＳ及びＥＳＦＡＳディビジョンにはバイパス機能がないが、
モジュールは、連続自己試験カバー範囲を有する。原子炉トリップ遮断器は、遮断器構成
のため、１度に１つの遮断器を開放することによって、出力時に試験することができる。
これにより、原子炉トリップ遮断器に関連付けられた保守バイパスの必要なく、原子炉ト
リップ遮断器試験が可能になる。ＥＳＦＡＳ構成要素のほとんどは、トリップ又は工学的
安全施設（ＥＳＦ）の作動を引き起こすため、出力時に試験されず、停止中に試験する必
要がある。ＭＣＲ内の手動トリップ及び作動スイッチは、出力時に試験することができず
、プラントの技術仕様に従って、停止状態中に試験される。
[0353]４つの原子炉トリップ遮断器が、ＭＰＳの２つのディビジョンの各々に関連付け
られている。ＭＰＳディビジョンは、遮断器の単一のディビジョンを開放すると、制御棒
駆動機構が切断され、したがって原子炉トリップを引き起こすように構成される（図１２
に示す）。トリップ作動論理の試験中、原子炉トリップ遮断器の不足電圧トリップ機構へ
のトリップ信号は作動されない。ＭＰＳは、ＭＰＳ論理及び原子炉トリップ遮断器の重複
するオンライン試験を許可するように設計される。
られている。ＭＰＳディビジョンは、遮断器の単一のディビジョンを開放すると、制御棒
駆動機構が切断され、したがって原子炉トリップを引き起こすように構成される（図１２
に示す）。トリップ作動論理の試験中、原子炉トリップ遮断器の不足電圧トリップ機構へ
のトリップ信号は作動されない。ＭＰＳは、ＭＰＳ論理及び原子炉トリップ遮断器の重複
するオンライン試験を許可するように設計される。
[0354]ＭＰＳのうち出力時に試験されない部分は、ＥＩＭ上の作動優先論理回路である
。これは、作動優先論理へ入力を提供する手動ＭＣＲスイッチ及びイネーブル不安全制御
スイッチを含む。作動優先論理は、個別の構成要素からなり、フィールド構成要素の作動
を直接引き起こし、それにより原子炉は停止し、又は動作に不都合な影響を及ぼす。作動
優先論理は、原子炉が遮断されているときに試験される。作動優先論理回路の簡潔性のた
め、停止状態中の試験は、必要とされる場合に作動優先論理機能が実行することを確実に
するのに十分である。
。これは、作動優先論理へ入力を提供する手動ＭＣＲスイッチ及びイネーブル不安全制御
スイッチを含む。作動優先論理は、個別の構成要素からなり、フィールド構成要素の作動
を直接引き起こし、それにより原子炉は停止し、又は動作に不都合な影響を及ぼす。作動
優先論理は、原子炉が遮断されているときに試験される。作動優先論理回路の簡潔性のた
め、停止状態中の試験は、必要とされる場合に作動優先論理機能が実行することを確実に
するのに十分である。
[0355]保守バイパスの目的で、ＮＭＳは、ＭＰＳへのセンサ入力として扱われ、ＭＰＳ
は、保守の目的でバイパス能力を提供する。
は、保守の目的でバイパス能力を提供する。
[0356]ＭＰＳチャネルが管理的にバイパスされ又は非稼働状態にされている場合、制御
室内に標示が提供される。保守バイパス内で非稼働状態にするために可能にされる期間は
、技術仕様によって管理的に制御される。
室内に標示が提供される。保守バイパス内で非稼働状態にするために可能にされる期間は
、技術仕様によって管理的に制御される。
[0357]ＭＰＳ機器の状態情報は、ＭＣＳ及びＳＤＩＳへ自動的に送られる。ＭＣＳ及び
ＳＤＩＳは、バイパス、トリップ、及び非稼働中状態の連続標示を操作者に提供する。状
態情報の表示により、操作者は、安全機能の操作性を識別することが可能になる。
ＳＤＩＳは、バイパス、トリップ、及び非稼働中状態の連続標示を操作者に提供する。状
態情報の表示により、操作者は、安全機能の操作性を識別することが可能になる。
[0358]１組のディビジョンＩ及びディビジョンＩＩの手動スイッチは、保護措置の手動
開始のために提供され、対応するＲＴＳ及びＥＳＦＡＳディビジョンのＨＷＭに接続され
る。ＨＷＭへの入力信号は隔離され、論理レベル信号に変換され、バックプレーン上に配
置される。これらの信号は、自動信号を生成するＦＰＧＡ論理構成要素の下流にある関連
付けられたＥＩＭ作動優先論理回路へ提供される。
開始のために提供され、対応するＲＴＳ及びＥＳＦＡＳディビジョンのＨＷＭに接続され
る。ＨＷＭへの入力信号は隔離され、論理レベル信号に変換され、バックプレーン上に配
置される。これらの信号は、自動信号を生成するＦＰＧＡ論理構成要素の下流にある関連
付けられたＥＩＭ作動優先論理回路へ提供される。
[0359]ディビジョンＩ及びディビジョンＩＩの手動作動スイッチは、ＭＣＲ内で以下の
保護措置の各々に対して提供される。各手動作動スイッチは、その関連付けられたディビ
ジョン内でそれぞれの保護機能を作動させる。いずれのディビジョンスイッチの作動も、
安全機能を完了するのに十分である。手動作動スイッチは、それだけに限定されるもので
はないが、原子炉トリップ、ＥＣＣＳ作動、崩壊熱除去作動、格納隔離、脱塩水システム
隔離、化学及び体積制御システム隔離、加圧器ヒータトリップ、及び低温超過圧力保護を
含むことができる。ハードワイヤード手動作動スイッチ入力は、ＭＰＳ内のデジタル構成
要素の下流にあるため、ＭＰＳ自動機能の故障は、必要とされる保護措置の手動開始を妨
げない。
保護措置の各々に対して提供される。各手動作動スイッチは、その関連付けられたディビ
ジョン内でそれぞれの保護機能を作動させる。いずれのディビジョンスイッチの作動も、
安全機能を完了するのに十分である。手動作動スイッチは、それだけに限定されるもので
はないが、原子炉トリップ、ＥＣＣＳ作動、崩壊熱除去作動、格納隔離、脱塩水システム
隔離、化学及び体積制御システム隔離、加圧器ヒータトリップ、及び低温超過圧力保護を
含むことができる。ハードワイヤード手動作動スイッチ入力は、ＭＰＳ内のデジタル構成
要素の下流にあるため、ＭＰＳ自動機能の故障は、必要とされる保護措置の手動開始を妨
げない。
[0360]操作者が安全関連イネーブル不安全制御スイッチを使用することによって可能に
された場合、ＥＳＦ機器の手動構成要素レベル制御の能力は、ＭＣＳからＨＷＭへの不安
全個別ハードワイヤード入力を使用することが可能である。次いで、これらの信号は、Ｅ
ＩＭ上の作動優先論理回路へ入力される。あらゆる自動又は手動安全関連信号は、不安全
信号をオーバーライドし、作動優先論理内で優先される。ＤＢＥを超えて、制限された数
の作動機器に対して、安全関連オーバーライドスイッチを使用して、自動信号に対して不
安全信号を優先することができる。
された場合、ＥＳＦ機器の手動構成要素レベル制御の能力は、ＭＣＳからＨＷＭへの不安
全個別ハードワイヤード入力を使用することが可能である。次いで、これらの信号は、Ｅ
ＩＭ上の作動優先論理回路へ入力される。あらゆる自動又は手動安全関連信号は、不安全
信号をオーバーライドし、作動優先論理内で優先される。ＤＢＥを超えて、制限された数
の作動機器に対して、安全関連オーバーライドスイッチを使用して、自動信号に対して不
安全信号を優先することができる。
[0361]オーバーライドスイッチは、以下の機能のために提供される。オーバーライドス
イッチは、ディビジョンごとに１つずつ、２つのスイッチを含むことができる。手動オー
バーライドスイッチは、格納容器注水及び排水システム並びにバルブをオーバーライドす
ることができる。手動オーバーライドスイッチは、起動すると警報を生成することができ
る。手動制御は、認可されたプラント手順によって管理的に制御される。
イッチは、ディビジョンごとに１つずつ、２つのスイッチを含むことができる。手動オー
バーライドスイッチは、格納容器注水及び排水システム並びにバルブをオーバーライドす
ることができる。手動オーバーライドスイッチは、起動すると警報を生成することができ
る。手動制御は、認可されたプラント手順によって管理的に制御される。
[0362]主題の特定の実施形態について説明した。他の実施形態、変更形態、及び記載す
る実施形態の並べ替えは、当業者には明らかな以下の特許請求の範囲の範囲内である。た
とえば、特許請求の範囲に記載の動作は、異なる順序で実行することができ、それでもな
お望ましい結果を実現することができる。したがって、例示的な実施形態の上記の説明は
、本開示を定義又は抑制するものではない。本開示の精神及び範囲から逸脱することなく
、他の変形、置換え、及び変更も可能である。
る実施形態の並べ替えは、当業者には明らかな以下の特許請求の範囲の範囲内である。た
とえば、特許請求の範囲に記載の動作は、異なる順序で実行することができ、それでもな
お望ましい結果を実現することができる。したがって、例示的な実施形態の上記の説明は
、本開示を定義又は抑制するものではない。本開示の精神及び範囲から逸脱することなく
、他の変形、置換え、及び変更も可能である。
Claims (20)
- 複数の機能的に独立したモジュールであって、前記モジュールの各々が、原子炉安全シ
ステムから複数の入力を受け取り、前記複数の入力に少なくとも部分的に基づいて安全措
置を論理的に判定するように構成され、前記機能的に独立したモジュールの各々が、デジ
タルモジュール又は複合型デジタル及びアナログモジュールを備えている、複数の機能的
に独立したモジュールと、
前記機能的に独立したモジュールのうちの１つ又は複数に電気的に結合されたアナログ
モジュールと、
前記複数の入力に少なくとも部分的に基づいた前記安全措置の判定を受け取るように、
前記複数の機能的に独立したモジュールに通信可能に結合された１つ又は複数の原子炉安
全アクチュエータと、
を備えている原子炉保護システム。 - 前記アナログモジュールへの入力の起動が、前記機能的に独立したモジュールのうちの
少なくとも１つの１つ又は複数の動作をオーバーライドする、請求項１に記載の原子炉保
護システム。 - 前記アナログモジュールが、アナログ回路構成要素のみを備えている、請求項１に記載
の原子炉保護システム。 - 前記アナログモジュールへの少なくとも１つの入力が、手動オーバーライド入力を含み
、前記アナログモジュールが、前記手動オーバーライド入力の起動の際、前記機能的に独
立したモジュールのうちの少なくとも１つのデジタル動作をオーバーライドするように構
成されている、請求項１に記載の原子炉保護システム。 - 前記アナログモジュールへの少なくとも１つの入力が、手動バイパス入力を含み、前記
アナログモジュールが、前記手動バイパス入力の起動の際、前記機能的に独立したモジュ
ールのうちの少なくとも１つのデジタル動作をバイパスするように構成されている、請求
項１に記載の原子炉保護システム。 - 前記アナログモジュールへの少なくとも１つの入力が、手動作動入力を含み、前記アナ
ログモジュールが、前記手動作動入力の起動の際、前記機能的に独立したモジュールのう
ちの少なくとも１つのデジタル動作を作動させるように構成されている、請求項１に記載
の原子炉保護システム。 - 前記アナログモジュールからの１つ又は複数の出力が、前記原子炉保護システムのバッ
クプレーンを通って前記複数の機能的に独立したモジュールへ入力として供給されている
、請求項１に記載の原子炉保護システム。 - 前記アナログモジュールが、第１のアナログモジュールを含み、前記原子炉保護システ
ムが、
第２のアナログモジュールと、
工学的安全施設作動システム（ＥＳＦＡＳ）であって、前記複数の機能的に独立したモ
ジュールの第１の部分集合が、複数のＥＳＦＡＳ入力を受け取り、前記ＥＳＦＡＳ入力に
少なくとも部分的に基づいてＥＳＦＡＳ構成要素の作動を論理的に判定し、前記第１のア
ナログモジュールが、前記複数の機能的に独立したモジュールの前記第１の部分集合のう
ちの前記機能的に独立したモジュールに電気的に結合されている、工学的安全施設作動シ
ステム（ＥＳＦＡＳ）と、
原子炉トリップシステム（ＲＴＳ）であって、前記複数の機能的に独立したモジュール
の第２の部分集合が、複数のＲＴＳ入力を受け取り、前記ＲＴＳ入力に少なくとも部分的
に基づいてＲＴＳ構成要素の作動を論理的に判定し、前記第２のアナログモジュールが、
前記複数の機能的に独立したモジュールの前記第２の部分集合のうちの前記機能的に独立
したモジュールに電気的に結合されている、原子炉トリップシステム（ＲＴＳ）と、
を備えている、請求項１に記載の原子炉保護システム。 - 前記複数の機能的に独立したモジュールの各々が、前記複数の機能的に独立したモジュ
ールのうちの他のいずれかへの単一故障波及からの保護を提供している、請求項１に記載
の原子炉保護システム。 - 前記原子炉安全システムが、工学的安全施設作動システム（ＥＳＦＡＳ）を備えており
、前記複数の機能的に独立したモジュールが、複数のＥＳＦＡＳ入力を受け取り、前記Ｅ
ＳＦＡＳ入力に少なくとも部分的に基づいてＥＳＦＡＳ構成要素の作動を論理的に判定す
る、請求項１に記載の原子炉保護システム。 - 前記複数の機能的に独立したモジュールが、冗長ＥＳＦＡＳ投票ディビジョンを提供し
ている、請求項１０に記載の原子炉保護システム。 - 前記原子炉安全システムが、原子炉トリップシステム（ＲＴＳ）を備えており、前記複
数の機能的に独立したモジュールが、複数のＲＴＳ入力を受け取り、前記ＲＴＳ入力に少
なくとも部分的に基づいてＲＴＳ構成要素の作動を論理的に判定する、請求項１に記載の
原子炉保護システム。 - 前記複数の機能的に独立したモジュールが、冗長ＲＴＳ投票ディビジョンを提供してい
る、請求項１２に記載の原子炉保護システム。 - 前記アナログモジュールが、不安全関連信号をアナログ電圧レベルに変換し、シャーシ
バックプレーンを通って前記アナログ電圧レベルを関連機能モジュールへ渡すことによっ
て、安全関連システムから不安全関連信号を電気的に隔離している、請求項１に記載の原
子炉保護システム。 - 前記機能的に独立したモジュールのうちの少なくとも１つが、前記アナログモジュール
からの少なくとも１つのハードワイヤードアナログ入力信号を備えた機器インタフェース
モジュール（ＥＩＭ）を具備している、請求項１に記載の原子炉保護システム。 - 前記ＥＩＭが、少なくとも１つのデジタル入力信号に対して前記少なくとも１つのハー
ドワイヤードアナログ入力信号を優先する作動及び優先論理（ＡＰＬ）回路を備えている
、請求項１５に記載の原子炉保護システム。 - 前記少なくとも１つのデジタル信号が、安全関連信号を含み、前記ＡＰＬ回路が、前記
ハードワイヤードアナログ信号より前記デジタル信号を優先する、請求項１６に記載の原
子炉保護システム。 - 前記少なくとも１つのハードワイヤードアナログ入力信号が、手動作動スイッチからの
安全関連信号を含み、前記ＡＰＬ回路が、前記デジタル信号より前記ハードワイヤードア
ナログ入力信号を優先する、請求項１６に記載の原子炉保護システム。 - 前記少なくとも１つのハードワイヤードアナログ入力信号が、原子炉トリップ信号を含
む、請求項１８に記載の原子炉保護システム。 - 手動作動スイッチからの前記少なくとも１つのハードワイヤードアナログ入力信号が、
不安全関連制御信号を含み、前記ＡＰＬ回路が、前記ハードワイヤードアナログ入力信号
より前記デジタル信号を優先する、請求項１６に記載の原子炉保護システム。
Applications Claiming Priority (4)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US201662440989P | 2016-12-30 | 2016-12-30 | |
| US62/440,989 | 2016-12-30 | ||
| PCT/US2018/012089 WO2018144173A1 (en) | 2016-12-30 | 2018-01-02 | Nuclear reactor protection systems and methods |
| JP2019532799A JP2020514700A (ja) | 2016-12-30 | 2018-01-02 | 原子炉保護システム及び方法 |
Related Parent Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2019532799A Division JP2020514700A (ja) | 2016-12-30 | 2018-01-02 | 原子炉保護システム及び方法 |
Related Child Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2024019542A Division JP2024069204A (ja) | 2016-12-30 | 2024-02-13 | 原子炉保護システム及び方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2022160445A true JP2022160445A (ja) | 2022-10-19 |
Family
ID=62218289
Family Applications (2)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2019532799A Pending JP2020514700A (ja) | 2016-12-30 | 2018-01-02 | 原子炉保護システム及び方法 |
| JP2022112351A Pending JP2022160445A (ja) | 2016-12-30 | 2022-07-13 | 原子炉保護システム |
Family Applications Before (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2019532799A Pending JP2020514700A (ja) | 2016-12-30 | 2018-01-02 | 原子炉保護システム及び方法 |
Country Status (8)
| Country | Link |
|---|---|
| US (3) | US11069450B2 (ja) |
| EP (1) | EP3563391B1 (ja) |
| JP (2) | JP2020514700A (ja) |
| KR (3) | KR102642462B1 (ja) |
| CN (1) | CN110366760B (ja) |
| CA (1) | CA3047135A1 (ja) |
| PL (1) | PL3563391T3 (ja) |
| WO (1) | WO2018144173A1 (ja) |
Families Citing this family (26)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9335296B2 (en) | 2012-10-10 | 2016-05-10 | Westinghouse Electric Company Llc | Systems and methods for steam generator tube analysis for detection of tube degradation |
| JP6295113B2 (ja) * | 2014-03-17 | 2018-03-14 | ルネサスエレクトロニクス株式会社 | 自己診断装置及び自己診断方法 |
| EP2988420B1 (en) * | 2014-08-20 | 2021-03-10 | Framatome | Circuit arrangement for a safety i&c system |
| JP2020514700A (ja) * | 2016-12-30 | 2020-05-21 | ニュースケール パワー エルエルシー | 原子炉保護システム及び方法 |
| JP7227959B2 (ja) * | 2017-08-18 | 2023-02-22 | ウエスチングハウス・エレクトリック・カンパニー・エルエルシー | 絶縁分離された核計装出力信号のスケーリング方法および当該方法を用いたシステム |
| US10755826B2 (en) | 2017-11-10 | 2020-08-25 | Nugen, Llc | Integrated system for converting nuclear energy into electrical, rotational, and thermal energy |
| US11265688B2 (en) * | 2018-09-10 | 2022-03-01 | Tagup, Inc. | Systems and methods for anomaly detection and survival analysis for physical assets |
| CN109712732A (zh) * | 2018-12-25 | 2019-05-03 | 江苏核电有限公司 | 一种核电站专设安全设施的手动多样化触发方法 |
| US11205031B2 (en) * | 2019-02-25 | 2021-12-21 | Qiang Huang | System and method for facilitating use of commercial off-the-shelf (COTS) components in radiation-tolerant electronic systems |
| US11935662B2 (en) | 2019-07-02 | 2024-03-19 | Westinghouse Electric Company Llc | Elongate SiC fuel elements |
| CN110444305B (zh) * | 2019-08-13 | 2022-09-13 | 中国核动力研究设计院 | 一种优化的数字化反应堆保护系统 |
| CN110460542B (zh) * | 2019-08-13 | 2022-01-14 | 中核控制系统工程有限公司 | 核电厂dcs系统级联数据交换系统及其数据交换方法 |
| KR102523509B1 (ko) | 2019-09-19 | 2023-04-18 | 웨스팅하우스 일렉트릭 컴퍼니 엘엘씨 | 콜드 스프레이 침착물의 현장 접착 테스트를 수행하기 위한 장치 및 사용 방법 |
| CN110867220A (zh) * | 2019-11-07 | 2020-03-06 | 西安交通大学 | 利用粒子网格混合法研究堆芯内共晶反应及高温熔化行为的方法 |
| CN110828002B (zh) * | 2019-12-03 | 2022-07-22 | 上海核工程研究设计院有限公司 | 一种高价值控制棒中子吸收体材料 |
| CN111132372B (zh) * | 2019-12-25 | 2022-01-11 | 广东电网有限责任公司 | 一种用于跳闸开关定位的系统及方法 |
| FR3108768B1 (fr) * | 2020-03-24 | 2022-04-01 | Electricite De France | Dispositif de contrôle d’une pluralité de réacteurs nucléaires par peloton |
| FR3108769B1 (fr) * | 2020-03-24 | 2022-04-01 | Electricite De France | Dispositif de contrôle d’une pluralité de réacteurs nucléaires |
| CN112016185A (zh) * | 2020-07-06 | 2020-12-01 | 中国核电工程有限公司 | 一种核电厂事故应对系统投运方式设计方法 |
| KR102325096B1 (ko) * | 2021-01-19 | 2021-11-11 | 주식회사 리얼게인 | 공학적 안전설비 작동 계통을 위한 광결합기 및 광결합기의 동작 방법 |
| US11862350B2 (en) * | 2021-01-22 | 2024-01-02 | Westinghouse Electric Company Llc | Nuclear movable element position indication apparatus, system, and method |
| US11914347B2 (en) * | 2021-02-12 | 2024-02-27 | Ge Infrastructure Technology Llc | Configurable industrial protection system |
| WO2022182727A1 (en) * | 2021-02-23 | 2022-09-01 | Phoenix Contact Development and Manufacturing, Inc. | Apl field switch with dynamic power allocation |
| US11421589B1 (en) | 2021-05-18 | 2022-08-23 | Nugen, Llc | Integrated system for converting nuclear energy into electrical, mechanical, and thermal energy |
| CN115237046A (zh) * | 2022-07-21 | 2022-10-25 | 中国核动力研究设计院 | 一种安注信号手动禁止方法、装置、终端及可读存储介质 |
| CN115898563A (zh) * | 2022-09-09 | 2023-04-04 | 中国核动力研究设计院 | 一种核电厂汽轮机跳闸信号生成方法和系统 |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH10506476A (ja) * | 1995-07-14 | 1998-06-23 | ゼネラル・エレクトリック・カンパニイ | 原子炉保護系 |
| JPH1194987A (ja) * | 1997-09-19 | 1999-04-09 | Toshiba Corp | 原子力プラントの安全保護系制御装置 |
| US20110202163A1 (en) * | 2008-10-22 | 2011-08-18 | Kepco Engineering & Construction Company | Plant protection system and method using field programmable gate array |
| JP2014006694A (ja) * | 2012-06-25 | 2014-01-16 | Toshiba Corp | プラント安全装置 |
| JP2014145663A (ja) * | 2013-01-29 | 2014-08-14 | Toshiba Corp | 安全保護システムおよび制御装置 |
| WO2015112304A2 (en) * | 2013-12-31 | 2015-07-30 | Nuscale Power, Llc | Nuclear reactor protection systems and methods |
| US20160307655A1 (en) * | 2015-04-14 | 2016-10-20 | Alstom Technology Ltd | Nuclear instrumentation and control system |
Family Cites Families (91)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US3597939A (en) | 1969-06-25 | 1971-08-10 | Atomic Energy Commission | Control assembly for a nuclear reactor including an offset coupling |
| US4661310A (en) * | 1983-10-27 | 1987-04-28 | Westinghouse Electric Corp | Pulsed multichannel protection system with saturable core magnetic logic units |
| US4783307A (en) * | 1987-03-05 | 1988-11-08 | Commonwealth Edison Company | Reactor control system verification |
| JPS63290989A (ja) | 1987-05-22 | 1988-11-28 | Hitachi Ltd | 制御棒駆動機構 |
| CZ293613B6 (cs) | 1992-01-17 | 2004-06-16 | Westinghouse Electric Corporation | Způsob monitorování chodu zařízení pomocí CPU |
| WO1993018464A1 (en) * | 1992-03-09 | 1993-09-16 | Ronald John Youngs | Distributed processing system |
| JPH07174890A (ja) | 1993-12-17 | 1995-07-14 | Toshiba Corp | プラント制御装置 |
| US5621776A (en) | 1995-07-14 | 1997-04-15 | General Electric Company | Fault-tolerant reactor protection system |
| JPH0944203A (ja) | 1995-07-26 | 1997-02-14 | Hitachi Ltd | 冗長化制御システム |
| JP3567038B2 (ja) | 1995-12-27 | 2004-09-15 | 株式会社東芝 | 原子炉出力監視装置 |
| US5892440A (en) * | 1997-05-14 | 1999-04-06 | Combustion Engineering Inc. | Alarm significance mapping |
| JPH10104385A (ja) | 1996-10-01 | 1998-04-24 | Hitachi Ltd | プラント内伝送器の監視方法及びシステム |
| US6049578A (en) | 1997-06-06 | 2000-04-11 | Abb Combustion Engineering Nuclear Power, Inc. | Digital plant protection system |
| US6292523B1 (en) * | 1997-06-06 | 2001-09-18 | Westinghouse Electric Company Llc | Digital engineered safety features actuation system |
| US5984504A (en) * | 1997-06-11 | 1999-11-16 | Westinghouse Electric Company Llc | Safety or protection system employing reflective memory and/or diverse processors and communications |
| US5820475A (en) | 1997-10-30 | 1998-10-13 | Luna; Antonio A. | Compact golf ball teeing machine |
| CN1145975C (zh) | 1998-02-19 | 2004-04-14 | Abb燃烧工程核力公司 | 泵选择逻辑 |
| EP1157324A4 (en) | 1998-12-18 | 2009-06-17 | Triconex Corp | PROCESS AND DEVICE FOR PROCESSING CONTROL USING A MULTIPLE REDUNDANT PROCESS CONTROL SYSTEM |
| WO2000038040A1 (en) | 1998-12-23 | 2000-06-29 | Triconex Corporation | Cause effect diagram program maintenance development and test system |
| CN1144236C (zh) * | 1999-08-19 | 2004-03-31 | 东芝株式会社 | 控制棒操作监控系统的试验方法及试验装置 |
| US7328189B2 (en) | 2000-01-26 | 2008-02-05 | Paybyclick Corporation | Method and apparatus for conducting electronic commerce transactions using electronic tokens |
| US6532550B1 (en) | 2000-02-10 | 2003-03-11 | Westinghouse Electric Company Llc | Process protection system |
| US8121941B2 (en) | 2000-03-07 | 2012-02-21 | American Express Travel Related Services Company, Inc. | System and method for automatic reconciliation of transaction account spend |
| CN1119819C (zh) * | 2000-11-10 | 2003-08-27 | 清华大学 | 基于硬件和软件并行处理的反应堆数字化保护系统 |
| US6418178B1 (en) | 2001-04-16 | 2002-07-09 | General Electric Company | Control rod coupling assembly for a nuclear reactor |
| US20030149576A1 (en) | 2001-04-19 | 2003-08-07 | Sunyich Steven L. | Personalized smart room |
| KR100408493B1 (ko) | 2001-05-07 | 2003-12-06 | 한국전력기술 주식회사 | 소프트웨어 공통유형고장을 자체 배제한 디지털원자로 보호시스템 및 그 제어방법 |
| US7330768B2 (en) * | 2003-01-28 | 2008-02-12 | Fisher-Rosemount Systems, Inc. | Integrated configuration in a process plant having a process control system and a safety system |
| US7102343B1 (en) | 2003-03-31 | 2006-09-05 | Invensys Systems, Inc. | Methods and systems having multiple cooperating transformers |
| KR100970073B1 (ko) * | 2004-08-24 | 2010-07-16 | 샤프 가부시키가이샤 | 표시 시스템 |
| CN1755660B (zh) * | 2004-09-28 | 2010-09-29 | 惠普开发有限公司 | 冗余处理器中的诊断存储器转储方法 |
| JP4568143B2 (ja) * | 2005-02-28 | 2010-10-27 | 株式会社東芝 | 安全系装置の検証方法およびその検証方法で検証された安全系装置 |
| JP4772396B2 (ja) * | 2005-06-24 | 2011-09-14 | 株式会社東芝 | 原子炉の出力領域モニタシステム |
| US7558292B2 (en) | 2005-08-19 | 2009-07-07 | Invensys Systems, Inc. | Redundant time synchronization |
| US7840285B2 (en) | 2005-10-28 | 2010-11-23 | Invensys Systems, Inc. | Sequence of events recorder facility for an industrial process control environment |
| US8284208B2 (en) * | 2006-05-24 | 2012-10-09 | General Electric Company | Processes and apparatus for information transfer |
| KR100848881B1 (ko) | 2006-08-07 | 2008-07-29 | 삼창기업 주식회사 | 디지털 원자로 보호 시스템 |
| CN100999065A (zh) * | 2006-11-06 | 2007-07-18 | 中铝西南铝板带有限公司 | 具有冗余功能的轧辊磨床数控系统 |
| US8009032B2 (en) * | 2006-11-21 | 2011-08-30 | Gilbarco Inc. | Remote display tamper detection using data integrity operations |
| US7894599B2 (en) * | 2006-12-04 | 2011-02-22 | International Business Machines Corporation | Enhanced data security with redundant inclusive data encryption segments |
| CN100481798C (zh) * | 2006-12-20 | 2009-04-22 | 江苏万工科技集团有限公司 | 纺织设备管理网络系统 |
| GB0704753D0 (en) | 2007-03-13 | 2007-04-18 | Airbus Uk Ltd | Preparation of a component for use in a joint |
| JP5057837B2 (ja) * | 2007-04-26 | 2012-10-24 | 株式会社東芝 | 冗長化システムおよび冗長化システムの製造方法 |
| CN100491710C (zh) * | 2007-04-30 | 2009-05-27 | 哈尔滨工程大学 | 柴油机多功能机旁控制装置及控制方法 |
| KR20090000054U (ko) | 2007-06-28 | 2009-01-07 | 건아정보기술 주식회사 | 노후경유차량 단속운영시스템 |
| KR100926013B1 (ko) * | 2007-08-31 | 2009-11-11 | 두산중공업 주식회사 | 현장기기연계모듈 |
| KR100931136B1 (ko) | 2007-11-27 | 2009-12-10 | 한국원자력연구원 | 삼중화된 ｂｐ와 ｃｐ 및 2/3 논리의 개시회로 구조를 갖는디지털 원자로 보호계통 및 그 구동 방법 |
| US8117512B2 (en) | 2008-02-06 | 2012-02-14 | Westinghouse Electric Company Llc | Failure detection and mitigation in logic circuits |
| US7870299B1 (en) | 2008-02-06 | 2011-01-11 | Westinghouse Electric Co Llc | Advanced logic system |
| JP2010249559A (ja) | 2009-04-13 | 2010-11-04 | Toshiba Corp | デジタル安全保護系システム |
| US8498359B2 (en) * | 2009-06-05 | 2013-07-30 | Broadcom Corporation | Transmission acknowledgment within multiple user, multiple access, and/or MIMO wireless communications |
| CN101615211B (zh) * | 2009-08-04 | 2012-10-17 | 复旦大学 | 商用现场可编程器件用于辐照环境下三模冗余抗辐照方法 |
| CN102023957B (zh) * | 2009-09-18 | 2012-10-17 | 联芯科技有限公司 | Usb接口模拟多串口传输数据的方法及usb复合设备 |
| WO2011085314A1 (en) | 2010-01-08 | 2011-07-14 | Gallagher Kevin N | Guest check presenter having a wireless communication device |
| US20110178863A1 (en) | 2010-01-19 | 2011-07-21 | Daigle Mark R | Location based consumer interface for retail environment |
| US8730004B2 (en) | 2010-01-29 | 2014-05-20 | Assa Abloy Hospitality, Inc. | Method and system for permitting remote check-in and coordinating access control |
| US20110302504A1 (en) | 2010-06-08 | 2011-12-08 | Santosh Khare | Mobile Application for Proximity Based Awareness System |
| CA2707373A1 (en) * | 2010-06-14 | 2011-12-14 | Ievgenii Bakhmach | Platform and method to implement safety critical instrumentation and control (i&c) functions |
| US20110313580A1 (en) * | 2010-06-17 | 2011-12-22 | Levgenii Bakhmach | Method and platform to implement safety critical systems |
| US8331855B2 (en) | 2010-07-12 | 2012-12-11 | Invensys Systems, Inc. | Methods and apparatus for process control with improved communication links |
| US9095002B2 (en) | 2010-07-12 | 2015-07-28 | Invensys Systems, Inc. | Methods and apparatus for process control with improved communication links |
| JP5675208B2 (ja) * | 2010-08-06 | 2015-02-25 | 三菱重工業株式会社 | 原子力施設の制御システム |
| CN101968974B (zh) * | 2010-08-09 | 2013-01-02 | 中广核工程有限公司 | 一种核电站反应堆保护系统 |
| KR101022606B1 (ko) | 2010-09-28 | 2011-03-16 | (주) 코아네트 | 원자력 발전소의 디지털 신호 전자제어 처리를 위한 장치 및 방법 |
| US9268367B2 (en) * | 2010-10-13 | 2016-02-23 | Microsoft Technology Licensing, Llc | Use of low-power display on device |
| US8565735B2 (en) | 2010-10-29 | 2013-10-22 | Jeffrey L. Wohlwend | System and method for supporting mobile unit connectivity to venue specific servers |
| CN102157213B (zh) * | 2010-12-10 | 2013-10-16 | 中国广东核电集团有限公司 | 一种核电机组数字化总体运行程序的进入方法及系统 |
| US8498900B1 (en) | 2011-07-25 | 2013-07-30 | Dash Software, LLC | Bar or restaurant check-in and payment systems and methods of their operation |
| DE102011108802B4 (de) | 2011-07-29 | 2013-02-21 | Areva Np Gmbh | Verbindung zwischen Steuerstabführungsrohr und Antriebsgehäuserohr eines Kernreaktors |
| CN102298980B (zh) * | 2011-08-17 | 2015-02-25 | 岭东核电有限公司 | 百万千瓦级数字化核电站反应堆保护退出的方法 |
| KR101244015B1 (ko) | 2011-09-09 | 2013-03-15 | 한국수력원자력 주식회사 | 독립적 다중화 구조를 갖는 통합원전안전계통 및 구성 방법 |
| CN102426863B (zh) | 2011-10-31 | 2015-12-16 | 中广核工程有限公司 | 核电站反应堆停堆信号传输系统和方法 |
| CN102411361A (zh) * | 2011-12-12 | 2012-04-11 | 中国水电顾问集团华东勘测设计研究院 | 一种工程安全自动化设备采集控制系统 |
| JP5583153B2 (ja) * | 2012-01-26 | 2014-09-03 | 株式会社東芝 | 液面レベル検知装置及び方法 |
| CN102525470A (zh) * | 2012-02-10 | 2012-07-04 | 北京汇影互联科技有限公司 | 一种基于cPCI的磁共振成像系统的谱仪和磁共振成像系统 |
| CN202453705U (zh) * | 2012-02-13 | 2012-09-26 | 南京埃斯顿自动化股份有限公司 | 一种适用于锻压类机床的安全控制模块 |
| US9031892B2 (en) | 2012-04-19 | 2015-05-12 | Invensys Systems, Inc. | Real time safety management system and method |
| US20130304578A1 (en) | 2012-05-08 | 2013-11-14 | 24/7 Customer, Inc. | Method and apparatus for enhanced in-store retail experience using location awareness |
| US20130315362A1 (en) * | 2012-05-25 | 2013-11-28 | Institute Of Nuclear Energy Research Atomic Energy Council, Executive Yuan | Nuclear digital instrumentation and control system |
| US9496057B2 (en) | 2012-08-06 | 2016-11-15 | Smr Inventec, Llc | Fail-safe control rod drive system for nuclear reactor |
| CN104091558B (zh) * | 2013-04-01 | 2017-03-01 | 香港理工大学 | Led显示面板的驱动方法及系统 |
| CN103400623A (zh) * | 2013-07-30 | 2013-11-20 | 中广核工程有限公司 | 核电站数字化仪控多样性保护方法和系统 |
| CN104347131A (zh) * | 2013-08-01 | 2015-02-11 | 中广核工程有限公司 | 核电站驱动指令执行方法和系统 |
| JP6139341B2 (ja) * | 2013-09-04 | 2017-05-31 | 三菱電機株式会社 | 安全系表示システム |
| EP2988420B1 (en) * | 2014-08-20 | 2021-03-10 | Framatome | Circuit arrangement for a safety i&c system |
| CN104408312B (zh) * | 2014-11-27 | 2017-12-05 | 北京广利核系统工程有限公司 | 一种核电站系统误动率计算方法 |
| CN204965751U (zh) * | 2015-09-08 | 2016-01-13 | 苏州市世跃智能科技有限公司 | 一种卡口式电子警察系统 |
| CN105575448B (zh) * | 2015-12-15 | 2017-10-31 | 中广核工程有限公司 | 核电站反应堆保护系统及其中的安全控制方法 |
| JP2020514700A (ja) | 2016-12-30 | 2020-05-21 | ニュースケール パワー エルエルシー | 原子炉保護システム及び方法 |
| FR3063855B1 (fr) | 2017-03-08 | 2019-04-12 | Areva Np | Circuit logique programmable de commande d'une installation electrique, en particulier une installation nucleaire, dispositif et procede de commande associes |
| CN109547066B (zh) * | 2018-11-02 | 2021-08-06 | 中国电子科技集团公司第二十八研究所 | 一种基于fpga的专线通信分路控制实现方法及控制系统 |
-
2018
- 2018-01-02 JP JP2019532799A patent/JP2020514700A/ja active Pending
- 2018-01-02 US US15/860,434 patent/US11069450B2/en active Active
- 2018-01-02 KR KR1020237009921A patent/KR102642462B1/ko active IP Right Grant
- 2018-01-02 PL PL18726248.0T patent/PL3563391T3/pl unknown
- 2018-01-02 EP EP18726248.0A patent/EP3563391B1/en active Active
- 2018-01-02 CN CN201880005583.3A patent/CN110366760B/zh active Active
- 2018-01-02 KR KR1020197022520A patent/KR102514568B1/ko active IP Right Grant
- 2018-01-02 CA CA3047135A patent/CA3047135A1/en active Pending
- 2018-01-02 KR KR1020247006458A patent/KR20240033106A/ko active Application Filing
- 2018-01-02 WO PCT/US2018/012089 patent/WO2018144173A1/en unknown
-
2021
- 2021-03-01 US US17/189,038 patent/US11961625B2/en active Active
-
2022
- 2022-07-13 JP JP2022112351A patent/JP2022160445A/ja active Pending
-
2023
- 2023-11-22 US US18/518,408 patent/US20240087761A1/en active Pending
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH10506476A (ja) * | 1995-07-14 | 1998-06-23 | ゼネラル・エレクトリック・カンパニイ | 原子炉保護系 |
| JPH1194987A (ja) * | 1997-09-19 | 1999-04-09 | Toshiba Corp | 原子力プラントの安全保護系制御装置 |
| US20110202163A1 (en) * | 2008-10-22 | 2011-08-18 | Kepco Engineering & Construction Company | Plant protection system and method using field programmable gate array |
| JP2014006694A (ja) * | 2012-06-25 | 2014-01-16 | Toshiba Corp | プラント安全装置 |
| JP2014145663A (ja) * | 2013-01-29 | 2014-08-14 | Toshiba Corp | 安全保護システムおよび制御装置 |
| WO2015112304A2 (en) * | 2013-12-31 | 2015-07-30 | Nuscale Power, Llc | Nuclear reactor protection systems and methods |
| US20160307655A1 (en) * | 2015-04-14 | 2016-10-20 | Alstom Technology Ltd | Nuclear instrumentation and control system |
Also Published As
| Publication number | Publication date |
|---|---|
| CA3047135A1 (en) | 2018-08-09 |
| KR102514568B1 (ko) | 2023-03-27 |
| JP2020514700A (ja) | 2020-05-21 |
| WO2018144173A9 (en) | 2018-09-13 |
| KR20190109428A (ko) | 2019-09-25 |
| WO2018144173A1 (en) | 2018-08-09 |
| EP3563391B1 (en) | 2023-07-05 |
| PL3563391T3 (pl) | 2024-01-03 |
| US20210287813A1 (en) | 2021-09-16 |
| US20240087761A1 (en) | 2024-03-14 |
| KR20240033106A (ko) | 2024-03-12 |
| CN110366760A (zh) | 2019-10-22 |
| US11069450B2 (en) | 2021-07-20 |
| US11961625B2 (en) | 2024-04-16 |
| US20180190395A1 (en) | 2018-07-05 |
| KR102642462B1 (ko) | 2024-03-04 |
| KR20230045101A (ko) | 2023-04-04 |
| CN110366760B (zh) | 2024-05-07 |
| EP3563391A1 (en) | 2019-11-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2022160445A (ja) | 原子炉保護システム | |
| JP7203154B2 (ja) | 原子炉保護システムとこれを動作させる方法 | |
| KR100931136B1 (ko) | 삼중화된 ｂｐ와 ｃｐ 및 2/3 논리의 개시회로 구조를 갖는디지털 원자로 보호계통 및 그 구동 방법 | |
| KR100788826B1 (ko) | 디지털 원자로 보호계통 및 디지털 원자로 보호계통의 시험 방법 | |
| CN107484430A (zh) | 一种用于核电厂的安全系统及其操作方法 | |
| KR100875467B1 (ko) | 독립적 이중화 구조 리던던시를 갖는 디지털 원자로보호계통 및 그 방법 | |
| JP2024069204A (ja) | 原子炉保護システム及び方法 | |
| Shin et al. | DIVERSITY AND DEFENSE-IN-DEPTH ANALYSIS FOR I&C SYSTEMS OF RESEARCH REACTORS: A CASE STUDY ON TWO RESEARCH REACTORS | |
| Cook et al. | LI Reclassification | |
| Jang et al. | System design strategies of post-accident monitoring system for a PGSFR in Korea |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20220810 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20220810 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20230320 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20230328 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20230626 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20230731 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20231017 |
|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20231213 |