JP4371856B2 - 安全保護計装システムおよびその取扱方法 - Google Patents

Description

本発明は、原子力プラントにおける安全保護系などに用いられる信頼性の高いディジタル信号処理装置で構成される安全保護計装システムおよびその取扱方法に関する。

原子力プラントにおいては、プラントの安全性が損なわれるおそれのある異常が発生した場合や、あるいは、発生が予想される場合に、それを防止あるいは抑制するために安全保護計装システムが設けられている。この安全保護計装システムに関わる放射線計測装置は、何らかの原因によりプラント内の放射線量が上昇した場合に、プラント外への放射性物質の放出を抑制するために、放射線量が上昇している箇所を隔離したり、非常用のガス処理装置を作動させたりするための条件となる情報を各作動回路に提供することを目的に設けられている。

近年のプラントには、このような安全保護計装システムに関わる放射線計測装置としてディジタル信号処理が適用されており、ディジタルフィルタや、複数の信号をひとつのＣＰＵでディジタル演算する（例えば、特許文献１参照）。一方、ＣＰＵを用いずに、ハードウエアロジックであるＡＳＩＣ／ＦＰＧＡを用いたシステムもある（例えば、特許文献２参照）。このシステムは、ＣＰＵの代わりにＡＳＩＣが処理の手順を制御するもので、動作の単純化がなされている。
特許第２６５３５２２号公報 米国特許第５８５９８８４号明細書

一方、安全保護計装システムは、その重要性から、機器の多重化や独立化によって機器の単一故障による機能喪失を防止する等の要求がされているが、このようなソフトウェアを用いたディジタルシステムでは、冗長系に同一のソフトウェアを用いた場合、このソフトウェアの欠陥により機器の多重化の機能が損なわれる可能性が生じる。また、ディジタル処理は離散処理であるため、ある条件を満たした場合に、内部の欠陥によって特異な出力が生じるなどの予期できない動作が実行される可能性がアナログ素子よりも高いと考えられる。

よって、ソフトウェアを用いたディジタル処理では、設計および製作を通じて高品質を確保するための品質保証活動とともに、ソフトウェア欠陥による共通要因故障の排除および管理外の変更に対しての適切な防護措置を講じることが要求されている。特に、ソフトウェアの共通要因故障を防止する方法として、検証及び健全性確認活動（Ｖｅｒｉｆｉｃａｔｉｏｎ ＆ Ｖａｌｉｄａｔｉｏｎ；以下、Ｖ＆Ｖと称する）を実施している。Ｖ＆Ｖとは、ディジタル型の安全保護系システムに要求される機能がソフトウェアの設計および製作の各過程において、上位の過程から下位の過程へ正しく反映されていることを確認する検証作業と、検証作業を経て製作されたシステムについて、要求機能が正しく実現されていることを確認する健全性確認作業からなる品質保証のための活動である。

一方、ＣＰＵの代わりにＡＳＩＣまたはＦＰＧＡを用いたシステムは、最終的にハードワイヤードなロジックとして構成されるため、ＣＰＵ処理と異なり、処理が決定的であるため処理時間も確定可能である。よって、これらＦＰＧＡを用いたシステムは、ディジタルロジックの半導体素子と見なすことができるので、その試験方法を適用してシステムを検証することが可能である。つまり、半導体素子の全入力および全内部状態に対する出力とを設計仕様から算出した予測値と比較できれば、タイミングに起因する欠陥以外の定常的な入出力特性は完全に検証できる。この検証方法は、ｅｘｈａｕｓｔｉｖｅ ｔｅｓｔｉｎｇと呼ばれる。

ただし、実際のＡＳＩＣ素子等においては、全入力ビット数と素子内部の状態の合計パターンが膨大となるため、全入力および全内部状態のパターンに応じた出力パターンをすべて予測値と比較することは困難である。よって、欠陥を効率的に見つけられる入力パターン列を評価することが重要となる。例えば、素子内部のロジックパターンから評価して内部のレジスタが１度は動作する入力パターン群や、または、Ｓｔａｃｋ ａｔ ｆａｕｌｔの故障モードを想定し、この故障を検出可能な入力パターン列を故障シミュレーションして算出している。

しかしながら、上述の検証方法は、あくまでも一部の入力パターンについて試験するものであるため、内部ロジックの組み合わせによって生じるような欠陥や、故障シミュレーションで想定しなかった故障については検出することができないという問題があった。

さらに、ロジックをＦＰＧＡなどのハードウエアに実装する過程においては、ハードウエアの構成を記述するソフトウェアおよびこれらを実際のＦＰＧＡ上のロジックに展開する論理合成ツールなどの汎用ソフトウエアツールが必要となる。よって、これら市販ソフトに内在する欠陥を排除するために、設計段階からの高い信頼性を確保する必要がある。

上述したｅｘｈａｕｓｔｉｖｅ ｔｅｓｔｉｎｇを計装システムの性能検証に用いることができれば、スタティックなロジックエラー（確定的な論理誤り）はないことを示すことが可能であるが、上記検証方法が実施できない場合は、従来のソフトウェアと同等のＶ＆Ｖなどの検証が必要となると考えられる。

ただし、ＦＰＧＡを用いたシステムは、ＣＰＵ処理と異なって処理が決定的であり、処理時間も一般に確定可能である。また、単一ループで、単一の処理のみを実行可能であり、信頼性の高いシステムを構成するための設計条件を満たしやすいという特徴がある。

上述したように、計装システムの検証性の観点からはハードウエアロジックに原子炉安全系システムを実装するメリットは高いが、課題として、全入力パターンに対する出力パターンの検証が必要であるため、ｅｘｈａｕｓｔｉｖｅ ｔｅｓｔｉｎｇ相当の検証レベルで確認する必要がある。

従って、入力に対する出力の特性が設計どおりであることを容易に確認することができるシステムおよびそれを用いた検証方法が求められていた。

また、前記したスタティックな論理誤り以外にも内部の動作タイミングに起因するエラーがある。例えば、温度などの環境条件により内部ロジック間の伝送の遅延時間が変動した場合、雰囲気条件により誤動作する可能性がある。また、外部などの非同期部分とのデータ交換時には、受け取りタイミングにより値が確定しない場合もある。

これらタイミングに起因するエラーを防止するには、設計段階でタイミングシミュレーションなどにより余裕をもった設計を行うとともに、外部とのインターフェイス部には、値が不定になりにくい同期化設計を採用するなどの一般的な設計手法を適用する必要がある。

つまり、ＦＰＧＡを用いた安全系システムにおいても、これらのタイミングに起因する欠陥を防止しやすい構造および試験方法を採用することが重要であり、こうした構造のシステムおよび試験方法の開発が求められていた。

本発明は、上述したような事情を考慮してなされたものであり、ＦＰＧＡなどのハードウエアロジックを用いた原子炉の安全保護計装システムにおける、スタティックな論理誤りや信号処理のタイミングに起因するエラーを防止することが可能な安全保護計装システムおよびその取扱方法を提供することを目的とする。

本発明の安全保護計装システムは、上述した課題を解決するため、ＡＳＩＣおよびＦＰ
ＧＡから選択されるハードウェアに実装したディジタルロジックを用いて構築された原子
炉の安全保護計装システムにおいて、入力の全てのロジックパターンに対する出力のロジ
ックパターンが実装前段階においてあらかじめ検証された機能ユニットと、前記検証済み
の機能ユニットを組み合わせて構成した機能モジュールの少なくとも一方を用いてディジ
タルロジック部分が構成され、前記機能モジュールは、前記検証済みの機能ユニットと同
一のロジック構成を有する機能ユニットのみで構成されたことを特徴とするものである。

また、本発明の安全保護計装システムの取扱方法は、ＡＳＩＣおよびＦＰＧＡから選択
されるハードウェアに実装したディジタルロジックを用いて構築された原子炉の安全保護
計装システムの取扱方法において、安全保護計装システムを構成する機能ユニットへの全
ての入力のロジックパターンに対する出力のロジックパターンを実装前段階において予め
検証し、前記検証済みの機能ユニットを組み合わせて機能モジュールを構成する際、前記
検証済みの機能ユニットと同一のロジック構成であることを検証することを特徴とする方
法である。

本発明の安全保護計装システムおよびその取扱方法によれば、ハードウエアロジックを用いた原子炉安全系システムにおける、論理誤りや信号処理のタイミングに起因するエラーを防止することにより、安全性を向上することが可能となる。

本発明に係る原子炉安全保護計装システムの実施の形態について図１〜図９を用いて以下に説明する。

（実施例１）
図１に、本発明に係る安全保護計装システムの実施例１の構成図を示す。

図１において、原子炉内に設置されているセンサ１ａ、センサ１ｂの出力は、安全保護計装システム２に入力され、この安全保護計装システム２により異常の有無を判定してトリップ信号を出力する構成である。安全保護計装システム２の内部には、センサ１ａ，センサ１ｂの信号をアナログで波形整形・増幅した後にディジタル値に変換するＡＤ素子３ａ，ＡＤ素子３ｂが設けられている。ＡＤ素子３ａ，ＡＤ素子３ｂが出力するディジタル値は、フィルタ回路４ａ，フィルタ回路４ｂで信号変換される。このフィルタ回路４ａ，フィルタ回路４ｂは、複数の機能ユニット５を組み合わせて構成されている。図１において、フィルタ回路４ａ，フィルタ回路４ｂ、信号処理回路６、トリップ判定器７が機能モジュールである。

以下に機能ユニット５の構成および作用について説明する。

機能ユニット５は、例えば、Ｄフリップ・フロップ、ラッチ、８ビットデコーダ、８ビットカウンタ、８ビットシリアルパラレル変換、８ビット・８ビット入力−加算器、８ビット・８ビット入力−乗算器、８ビット・８ビット−比較器等から選択されるユニットであり、機能ユニット５に対する全入力パターンに対する出力パターンが、設計仕様から期待される予測値のパターンとすべて一致していることを確認することが可能なロジックである。

本実施例においては、入力ビット数は８ビットとしているが、入力のビット数は、実際にはテストできるビット数に制限する。この全入力パターンについて検証された機能ユニット５を用いて、内部の各機能（機能モジュール）および全体の原子炉安全保護計装システムを構築することにより、全体の入力に対して検証可能な、信頼性の高い安全保護計装システムを構築することができる。

図２に、機能ユニット５ａを試験する構成図を示す。なお、以下の記述において、機能ユニット５に付したアルファベットは、構成が異なる機能ユニット同士を区別するものである。アルファベットを付さず、単に機能ユニット５と記述したものは、共通の構成についての記述を示す。

図２に示すように、機能ユニット５ａを実ハードウエアに実装して信号発生器８からの信号を入力する。一方、機能ユニット５ａの出力は、信号受信器９で測定され、判定装置１０において入力パターンに対する予測値と受信した信号とを比較して、機能ユニット５ａの異常の有無を検出する。機能ユニット５ａへの全入力パターンに対して異常が検出されなければ、機能ユニット５ａとして認証する。

上記のように、実ハードウエアであるＦＰＧＡに実装して試験することにより、論理合成ツールやＦＰＧＡへの書き込みツール等の市販ソフトのエラーを同時に検証することが可能となる。

機能ユニット５の内部は、Ａｎｄ回路、ＯＲ回路などのＦＰＧＡ素子ハード固有の基本要素で構成されている。しかし、これらの機能ユニット５を組み合わせて機能モジュールを実現する場合には、論理合成ツールが論理すなわち基本要素の組み合わせの最適化を実施するため、単体で検証したロジック構成と異なる構成でハードウエアに実装される。そのため、組み合わせた場合に論理の最適化を行わないように論理合成ツールまたはＦＰＧＡに実装する配置配線ツールのオプションを選定し、検証に用いたロジック構成と同一のロジックが機能モジュール内部に実装されていることを確認した後に、各機能モジュールを構築していく。

また、全体の安全保護計装システムが完成した後にも、内部の機能ユニット５が、試験で用いたロジック構成と同一であることを目視等により行うことにより、安全保護計装システム全体が検証された機能ユニット５で構成されていることを確認する。

図３に、機能ユニット５をフィルタ回路４ａに実装した構成図を示す。これは、図２の構成により試験された機能ユニット５ａを実装した機能モジュールである。

機能ユニット５ａは、フリップフロップで信号を出力する構成を採用することにより、内部のロジック構成を維持した状態で機能モジュールに実装することが可能となる。例えば、２４ビットの加算器は、検証された１２ビットの加算器を２つ組み合わせて構成することが可能であるが、本発明の安全保護計装システムは、１２ビット加算器のロジック構成を維持するために、１２ビット加算器の出力ごとにフリップフロップを設ける。フリップフロップとは、安定状態を保つように構成された２つの回路を示す。このように構成された１２ビットの加算器の出力は、フリップフロップが１クロックで動作すると考えた場合、２クロック分、出力が遅延する。

本発明の安全保護計装システムは、１クロックで出力が得られる多ビット入力の演算回路を、機能の検証が可能な小ビット入力の機能ユニット５ａ，機能ユニット５ｂ，機能ユニット５ｃに分割し、複数のクロックで演算結果を得る構成とする。このような構成とすることにより、全入力に対する機能の検証が容易になるとともに、各ロジックのタイミングによるエラーも防止できる。

すなわち、タイミングエラーはフリップフロップ間のロジックの組み合わせで生じる遅延時間が、フリップフロップを駆動するクロックに比べて長くなった場合に発生するが、本実施例の安全保護計装システムのように、組み合わせ回路部分を分割することにより遅延時間を短くでき、また個別にタイミングを検証することが可能となる。図３に示す構成は、機能ユニットの組み合わせ数に応じて出力が得られるまでのクロック数が異なるため、２つの信号の比較や加算などを実行する場合には、遅延素子１１を設けてタイミングを調整する。

図４に、機能ユニット間のクロックおよびデータの受け渡しの構成図を示す。

機能ユニット５間のデータ転送時のタイミングエラーを低減するには、機能ユニット５内のフリップフロップを同一のクロック周期で、しかも、クロックの立ち上がりなどの同一タイミングで駆動するような構成とする。

一方、異なるクロック周期を用いる場合は、図４に示すように、データ送受信の可・不可を判断するハンドシェイクを機能ユニット５ｂと信号処理回路６の間に用い、データ受け渡しを確保することにより、機能ユニットの接続に起因するタイミングエラーを除去することが可能である。

以上説明のように、本実施例の安全保護計装システムによれば、全入出力パターンが検証された機能ユニットを、その内部ロジック構成を維持した状態で各機能モジュールに組み込むことにより、定常的なロジックの欠陥を削除できる。また、機能ユニット内のフリップフロップにより、もうひとつの発生しやすいエラーであるタイミングエラーについてもタイミング余裕のある設計が可能となり、機能モジュール内でのタイミング検証も容易となる。さらに、機能ユニット間の伝送にハンドシェイクを用いることにより、これらの接続に起因するタイミングエラーも除去することが可能となる。

（実施例２）
実施例１の安全保護計装システムは、機能ユニット内のロジックが正常に動作するので、タイミングに起因するエラーもロジックの正常な接続により削除可能である。しかし、機能ユニットが間違って接続されたり、設計仕様に記載されない機能ユニットがソフトウェア上に内在する可能性もある。こうしたケースを解決する手法として本発明の安全保護計装システムの実施例２を示す。

図５に、実施例２の安全保護計装システムに係るコンパレータを記述したソフトウェア（ＶＨＤＬ文）の一例を示す。

機能ユニット５ａはＶＨＤＬ言語の記述では、ポート文によって呼び出される。機能ユニット５ａ内の数値のパターンは、事前に検証されているため、ＶＨＤＬ文法上で機能ユニット５ａを正しく呼び出し可能なことが確認できれば、機能ユニットは正しく接続されていると判断できる。

つまり、実施例２の構成において、図５のＶＨＤＬ文内の定義文と異常時を想定して作成された冗長処理分を除いた、実際の実行に寄与するＶＨＤＬ文の動作を検証できれば、機能ユニットの接続が正しいと確認できる。

このＶＨＤＬ文の実行の有無を評価するパラメータとして、一般にカバレッジ率というパラメータを使用する。全ＶＨＤＬ文に対するソフトウェアで実行したＶＨＤＬ文の割合を示したものをステートメントカバレッジと呼ぶ。また、ＩＦ文等の分岐がある場合は、成立または不成立の両方をカウントして全体経路のパターンに対する実行経路数を示したものをブランチカバレッジと呼ぶ。また、機能ユニット５内部の信号が（Ｈｉｇｈ→Ｌｏｗ→Ｈｉｇｈ）と変化した信号の割合で示すものとしてトグルカバレッジがある。

実施例２の安全保護計装システムは、ブランチカバレッジまたはトグルカバレッジを評価指標として、すべての分岐条件を動作させる入力パターン群を作成し、その入力パターンに対する出力と設計仕様から求めた予測値とが一致することを確認することにより機能ユニットの接続が正しく行われていることを検証する。特に、トグルカバレッジは、論理合成後のネットリスト上でもカバー率が評価可能であり、論理合成の影響を受けにくいという特徴がある。

また、機能ユニット５が正常に接続されていることは、機能モジュールが設計仕様どおりの機能を有していることを確認する機能試験を実施することによっても確認できる。つまり、仕様に記載された性能を確認するための入力パターン群を作成し、その入力群に対する出力を予測値と比較し、差異のないことを確認することにより機能ユニットの接続を検証可能である。

この機能モジュールの機能を確認する機能試験においては、ディジタル値を入力し、出力のディジタル値と予測値とを比較して差異の有無を検出する。しかし、ディジタル値で比較する場合、１パターンの試験に必要な時間が数μ〜数ｍｓｅｃ必要となり、多数の信号パターンを迅速に評価することが難しい。

そこで、図６に示すように、アナログ信号発生器１２の信号を、ＡＤ素子１３を介して機能モジュールａに入力する。この出力はＤＡ素子１４を介してアナログ信号に変換され、アナログ信号受信器１５で計測されて設計仕様から算出した予測値と比較することによって、出力と予測値との差異の有無を高速に比較評価することが可能となる。本実施例のようにＡＤ素子１３，ＤＡ素子１４を用いた方法によれば、ディジタル値で比較する場合に比べ、微小な差異については検出できないが、測定に影響する測定精度以上の大幅な変動を検出することにより機能を検証するには十分である。また、多数のパターンを高速で処理できるため、ディジタル特有の不連続点や特異点の検出に有効である。

次に、機能試験のテストパターンの選定方法を図７、図８を用いて説明する。図７は、フィルタ機能モジュールを検証する場合の入力信号の大きさの選定方法の一例である。図７に示すグラフの縦軸が数値のビット幅を模式的に示したもので、横軸がロジックの処理数を示したものである。

フィルタ回路である機能モジュール内部の、あるビット数のある処理手順でエラーが発生した場合、フィルタ回路は線形であり、値の制限を行っていなければ、図７のように後段の処理へエラーが伝播する。また、出力をＤＡ変換してアナログ値で評価する場合は、出力の下位ビット数の変動は、ＤＡ素子および回路ノイズの影響で測定できない。

そこで、入力のレベルを例えば、Ｔ１〜Ｔ４に分割し、ぞれぞれの入力に対応する出力レンジで測定することにより、ディジタル値のフルビット幅のエラーを検出することが可能となる。つまり、出力におけるエラー識別精度に応じて、入力の信号の大きさ（入力のレベル）を調整することでフィルタ内部に内在するエラーを検出できる。

図８に、機能として周波数特性を試験する場合の、周波数測定点の選定方法の説明図を示す。

ディジタルフィルタは、オーバーフローが生じない条件を設計で満たせば、線形時不変システムであるので、代表周波数で評価することが可能である。また、サンプリング周波数の１／２で折り返す特性を有するため、サンプリング周波数の１／２以下の範囲で検証することを基本とし、それ以上ではサンプリング周波数の１／２の倍数で谷が現れることのみ確認する。

図８の波形の例は、４０ＭＨｚサンプリングのローパスフィルタに、１ＭＨｚサンプリングのハイパスフィルタを重ねた合計の周波数特性を示す。図８の実線は、１ＭＨｚのハイパスフィルタの周波数特性を示し、破線が合計の周波数特性を示す。

実線で示すハイパスフィルタの周波数特性は、１ＭＨｚのサンプリングのため、５００ｋＨｚで周波数特性が折り返す形状となっており、この５００ｋＨｚ以下の領域Ａの周波数範囲の特性を検証すれば、本ハイパスフィルタの特性は検証できる。

一方、破線で示す４０ＭＨｚサンプリングのローパスフィルタは、領域Ｂのうち２０ＭＨｚ以下の帯域でその減衰特性を検証する必要がある。ただし、ハイパスフィルタの影響により、２０ＭＨｚ以下の周波数帯域では山、谷の特性を繰り返すため、この山相当の周波数を選定に、この包絡線を評価することで、ローパスフィルタの減衰特性を検証する。つまりディジタルフィルタの周波数特性を検証する場合、サンプリング周波数の１／２で周波数帯域を分類し、設計仕様に応じて測定点を選定する。

上述したように、本実施例の安全保護計装システムによれば、ブランチカバレッジを１００％とする全入力パターンを作成し、各入力パターンに対する出力パターンを順次確認していくことにより、各機能モジュール内の機能ユニットがすべて正常に接続されていることが確認可能となる。また、各機能モジュールの機能を確認する機能試験によっても、機能ユニットが正常に接続されていることを確認できる。機能試験においては、ＡＤ素子，ＤＡ素子を用いてアナログ信号によって比較することで、多数のパターンを連続的に試験可能であり、原子炉安全計装システムの性能の検証が容易となる。

（実施例３）
図９に、乗算器１６によって全入力に対する出力パターンを検証する場合のテスト範囲を示す。

乗算器１６のみを機能ユニットとしたテスト範囲Ａ´の場合、乗算器の２つの入力は１６ビットであるため、全入力パターンは、２^{（１６＋１６）}となり、このパターンを数日で検証することは困難である。しかし、フィルタ処理を想定した場合、信号変数に対して一定の定数を乗算するパターンがほとんどである。

そこで図９に示すように、本実施例の安全保護計装システムは、ルックアップテーブル（ＬＵＴ）１７で定数を選択して乗算器１６に定数を入力する構成とする。

このように構成した安全保護計装システムは、機能ユニットをテスト範囲Ｂ´とした場合、データを選択するアドレスは４ビットであるため、テスト範囲Ｂの入力ビット数は、４＋１６＝２０ビットとなり、この場合のテストパターン数は２^{（４＋１６）}となるので、全入力パターンに対する出力を試験評価することが容易となる。

上述したように、本実施例の安全保護計装システムによれば、機能ユニット内部にルックアップテーブルを設けることにより全入力パターン数を削減できる。

（実施例４）
図１０に、検証された機能ユニットから構成された原子炉安全保護計装システムにおける自己診断機能の説明図を示す。

機能ユニット５から構成された機能モジュールは、機能ユニット５を多数内蔵しているために、数クロック遅れて出力が得られる。そこで、出力時に、出力のデータとともに正常終了時には動作フラッグを、出力先の機能モジュールに伝送する。この動作フラッグは、複数の機能モジュール間をリレー式で伝達し、トリップ判定器７における動作フラッグの有無を異常診断回路１８で判断し、一定時間以上動作フラッグが存在しない場合など、正常時の特性と大幅に異なるケースは、動作不良出力を出力する。

他に、出力有無の動作フラッグの他に、図１１に示すように、各機能モジュールの入力パターンに対する出力パターンの範囲を近似式で算出し、実際の出力値がその範囲を逸脱した場合に、動作不良出力を出力する。

本実施例によれば、機能ユニットまたは機能モジュール単位でフラッグまたは数値範囲を設定し、自己診断機能を設けたので、プラントに設置された後に生じる欠陥を防止することが可能となる。

（実施例５）
図１２に、ロジックパターンが検証された機能ユニットから構成された原子炉安全保護計装システムにおける、信号分離方法の説明図を示す。

この実施例５は、第１の安全保護計装システム２ｂと第２の安全保護計装システム２ｃの信号伝送の独立性を確保するために光伝送を用いる。つまり、信号伝送側である第１の安全保護計装システム２ｂにおいては、伝送データをＤＡ素子１４でアナログ信号に変換し、そのアナログ信号をＥＯ変換器１９によって電気・光学変換し、光の強度または変調データにより伝送する。一方、信号の受信側となる第２の安全保護計装システム２ｃは、光強度データまたは変調データをＯＥ変換器２０で光・電気変換を行った後に、ＡＤ素子１３でＡＤ変換してディジタル値へ変換する。

また図１３に示す構成は、第１の安全保護計装システム２ｂにおいてＦＰＧＡで処理するディジタルデータをＤＡ変換素子１４で一度アナログ信号に変換した後に、再度ＡＤ素子１３でディジタルデータに変換し、そのディジタルデータをＥＯ変換器１９で光のディジタルデータで伝送する。第２の安全保護計装システム２ｃにおいては、第１の安全保護計装システム２ｂのディジタル光データをＱＥ変換器２０でディジタルデータに変換してディジタル処理に用いる。

同一のディジタル値を複数の独立なシステムに分配する場合、あるデータパターンで誤動作するソフトウェアが各システムに内在すると、同一データが入力されることにより、同時に故障するケースが考えられる。そこで、本実施例の安全保護計装システムは、データをアナログ値に変換することにより、ノイズ成分が伝送信号に加えられることで、同一のディジタルデータが同時に異なるシステムに伝送されることを防止できる。

本実施例の安全保護計装システムによれば、機能ユニットを用いた原子炉安全保護計装システムの独立性を確保するとともに、ディジタル信号処理を用いた安全系システムの課題である共通モード故障の発生割合を低減することが可能となる。

（実施例６）
図１４に、本発明の実施例６の安全保護計装システムの基本構成図を示す。

図１４に示す安全保護計装システムは、機能ユニット５ａ、機能ユニット５ｂ、機能ユニット５ｃが相互に接続され、これらの機能ユニットが一つにＦＰＧＡに格納されている。

これらの機能ユニット間の信号伝送は、フリップフロップによってクロックに同期して出力されるが、その出力タイミングは、機能ユニットによって異なる構成とすることが可能である。本実施例においては、図１４において、機能ユニット５ａの出力が、機能ユニット５ｂに入力された後に、機能ユニット５ｂの信号処理を行うように、機能ユニットがデータというバトンを順次に渡して処理を行う構成とする。

このような構成に機能ユニットを接続することにより、バトン（データ）の渡るタイミングを監視することで、処理動作自体の検証が可能となる。つまり、図１４に示す外部ピンＡ２１，外部ピンＢ２２，外部ピンＣ２３，外部ピンＤ２４を設け、これらの機能ユニットの信号をモニタリングすることにより、設計どおりのタイミングで動作することを検証することができる。また、動作中も、各タイミングの変動を監視することで、動作の不具合を検出することが可能となる。

図１５に、実際にＦＰＧＡの外部ピンから内部の機能ユニットの出力タイミングをモニタした一例を示す。図１５の下部側が入力信号で、上部側に順に外部ピンＡ２１，外部ピンＢ２２，外部ピンＣ２３，外部ピンＤ２４，外部ピンＥ２５の出力信号が示されている。

下部側に信号（データ）が入力されると、下部側に近いロジックから順番に信号を転送し、最終的に上部側の出力段が出力される。この信号伝送のタイミングは、図１５に示す複数のロジック信号により確認できる。このロジック信号のタイミングは、設計固有のものであり、このロジック信号のタイミングを監視することで、設計どおりのロジックが実装されているかどうか検証可能である。また、通常動作中もこれらロジック信号のタイミングをモニタリングする機能を別途、設けておくことにより、動作中の異常な加熱等による内部信号ラインの遅延時間の増大によるロジック演算の誤動作を監視することが可能となる。

以上、本実施例の安全保護計装システムによれば、各機能ユニットがシリアルに動作し、その信号を順次伝送する構成とし、その信号伝送タイミングをモニタリングすることにより、設計どおりの論理がＦＰＧＡに実装されていることが検証できる。また、異常診断方法として、これら信号伝送の順番、タイミングをモニタすることにより、信頼性の高い安全保護計装システムが構築可能である。

（実施例７）
図１６に、実施例７の安全保護計装システムの構成図を示す。

例えば、図１６に示すような安全保護計装システムは、同一の機能ユニット５が４つシリアルに接続され、それらの出力がフリップフロップで同期して出力される構成となっている。このような構成とした安全保護計装システムにおいて、各機能ユニット５が、接続前の単体の機能ユニット５と同じロジック構成であることを検証することにより、単体の機能ユニット５で検証した場合と同じ機能が安全保護計装システムに実装されていることが保証される。

すなわち、図１６に示す安全保護計装システムの各機能ユニット５の内部は、単体での試験時に性能の健全性が確認されている。この機能ユニット５を図１６のように接続し、論理合成後も性能が維持されていることを、論理合成後に目視等で確認する検証方法を採用することにより、安全保護計装システムにおける機能ユニット５の健全性が保証される。

入出力特性が検証された機能ユニットから構成された本発明の安全保護計装システムの構成図。 機能ユニットの入出力特性を検証する試験方法の構成図。 機能モジュールの内部構成を説明する構成図。 機能モジュールのクロックの同期化と、非同期部分のハンドシェイクの信号伝送を説明する構成図。 ブランチカバレッジを指標とする構造テストを説明する構成図。 ＡＤ素子およびＤＡ素子により信号を検証する構成図。 入力信号のレベルを調整してエラーを検証する構成図。 信号の周波数特性を検証する構成図。 機能ユニットの試験パターンのルックアップテーブルによる削減手法を説明する構成図。 本発明の安全保護計装システムによるシステムの第一の自己診断方法を説明する構成図。 本発明の安全保護計装システムによるシステムの第二の自己診断方法を説明する構成図。 本発明の安全保護計装システムによる信号分離手法の説明図。 第１の安全保護計装システムと第２の安全保護計装システムを信号接続して構成した安全保護計装システムの構成図。 本発明の安全保護計装システムにおける機能ユニットのシリアル動作とそのタイミング監視による検証・診断方法を説明する構成図。 本発明の安全保護計装システムにおける出力タイミングの監視例を示す模式図。 本発明の安全保護計装システムにおける機能ユニットの接続例を示す構成図。

符号の説明

１ センサ
２ 安全保護計装システム
３ ＡＤ素子
４ フィルタ回路
５ 機能ユニット
６ 信号処理回路
７ トリップ判定器
８ 信号発生器
９ 信号受信器
１０ 判定装置
１１ 遅延素子
１２ アナログ信号発生器
１３ ＡＤ素子
１４ ＤＡ素子
１５ アナログ信号受信器
１６ 乗算器
１７ ルックアップテーブル
１８ 異常診断回路
１９ ＥＯ変換器
２０ ＯＥ変換器
２１ 外部ピンＡ
２２ 外部ピンＢ
２３ 外部ピンＣ
２４ 外部ピンＤ
２５ 外部ピンＥ

Claims (13)

1. ＡＳＩＣおよびＦＰＧＡから選択されるハードウェアに実装したディジタルロジックを
   用いて構築された原子炉の安全保護計装システムにおいて、入力の全てのロジックパター
   ンに対する出力のロジックパターンが実装前段階においてあらかじめ検証された機能ユニ
   ットと、前記検証済みの機能ユニットを組み合わせて構成した機能モジュールの少なくと
   も一方を用いてディジタルロジック部分が構成され、
   前記機能モジュールは、前記検証済みの機能ユニットと同一のロジック構成を有する機
   能ユニットのみで構成されたことを特徴とする安全保護計装システム。
2. 前記機能ユニットのあらかじめの検証は、前記機能ユニットをハードウエアロジック上
   に実装し、当該実装された機能ユニットに入力値を与えた際に得られる出力値が、前記機
   能ユニットの入力ビット数で決定する全ての入力のロジックパターンに対して設計仕様か
   ら求めた予測値と一致することを確認することで行うことを特徴とする請求項１記載の安
   全保護計装システム。
3. 前記機能ユニットを組み合わせて構成した前記機能モジュールが、前記機能ユニットの
   出力を媒介するレジスタと、前記機能ユニットの信号処理のタイミングを合わせる遅延要
   素とを備えたことを特徴とする請求項１記載の安全保護計装システム。
4. 前記機能ユニットを組み合わせて構成した前記機能モジュールが、前記機能ユニットの
   出力を媒介するレジスタを備え、前記機能ユニットのうち前記レジスタを駆動するクロッ
   クが異なる機能ユニット間の信号を受け渡しするハンドシェイクを備えたことを特徴とす
   る請求項１記載の安全保護計装システム。
5. ハードウエアが実行する有効なプログラム文を実行する入力パターン群を作成したソフ
   トウェアを備え、前記入力パターンの割合または前記入力パターンの数が十分か評価する
   ブランチカバレッジまたはトグルカバレッジを有し、入力に対する出力が設計仕様から求
   めた予測値と一致することを検証して機能ユニット間の接続を確認することを特徴とする
   請求項１記載の安全保護計装システム。
6. 前記機能モジュールの設計仕様に応じた入力パターンを作成し、前記機能モジュールの
   入力に対する出力が設計仕様から予測した予測値と一致することを確認するように構成し
   たことを特徴とする請求項１記載の安全保護計装システム。
7. 前記機能モジュールの設計仕様に応じたアナログ信号パターンをディジタル変換して入
   力パターンとするＡＤ素子と、前記機能モジュールの入力に対する出力をアナログ変換し
   てアナログ値とするＤＡ素子とを備え、前記アナログ値が設計仕様から予測した予測値と
   一致することを確認することを特徴とする請求項１記載の安全保護計装システム。
8. 前記機能ユニットにより２変数の乗算または比較を行う場合に、２変数の一方を変数の
   ビット数より少ないビット数のアドレスで指定可能な定数に置き換えることを特徴とする
   請求項１記載の安全保護計装システム。
9. 前記機能ユニットが動作の正常修了を表す動作フラッグを受け渡す機能を備え、前記機
   能モジュールが前記動作フラッグを監視する機能を有し、前記機能モジュールからの出力
   が入力されて前記動作フラッグの有無を判定するトリップ判定器と、前記動作フラッグの
   ない場合に動作不良信号を出力する異常診断回路を備えたことを特徴とする請求項１記載
   の安全保護計装システム。
10. 前記機能ユニットが、出力の最大値および最小値を簡略式により算出する機能と、前記
    出力の最大値および最小値を受け渡す機能とを備え、前記出力の最大値および最小値の演
    算結果と信号値とを比較して信号値が妥当な値であることを判定するトリップ判定器と、
    動作不良信号を出力する異常診断回路を備えたことを特徴とする請求項１記載の安全保護
    計装システム。
11. ディジタル出力をアナログ値に変換した後に光に変換する第１の安全保護計装システム
    と、この光をアナログ値に変換した後ディジタル値に変換する第２の安全保護計装システ
    ムとを備え、前記第１の安全保護計装システムと前記第２の安全保護計装システムとを信
    号接続したことを特徴とする請求項１記載の安全保護計装システム。
12. ＡＳＩＣおよびＦＰＧＡから選択されるハードウェアに実装したディジタルロジックを
    用いて構築された原子炉の安全保護計装システムの取扱方法において、安全保護計装シス
    テムを構成する機能ユニットへの全ての入力のロジックパターンに対する出力のロジック
    パターンを実装前段階において予め検証し、前記検証済みの機能ユニットを組み合わせて
    機能モジュールを構成する際、前記検証済みの機能ユニットと同一のロジック構成である
    ことを検証することを特徴とする安全保護計装システムの取扱方法。
13. 複数の機能ユニットを備えた安全保護計装システムの各機能ユニットのデータ処理を、
    接続順にシリアルに動作する構成とし、そのシリアルに信号が伝送されていることを出力
    タイミングをモニタリングして確認し、その出力タイミングが設計どおりであることを検
    証することにより、安全保護計装システムの性能を検証することを特徴とする請求項１２
    記載の安全保護計装システムの取扱方法。

Images