JP4856397B2 - 工業プロセスにおける安全制御の方法及び装置 - Google Patents

Description

本発明は、一般に、工業用安全システムに関し、特に、安全システムの構造及びその動作方法に関する。

原子炉システムが正しく稼動していることを確認するためには、原子力発電システムを定期的に作動確認することが必要である。しかし、様々なアナログ安全システムの作動確認手順は、システムを試験し且つオペラビリティに関するレポートを得るために、原子炉の運転担当者の手動操作による起動を必要とする。手動操作によるアナログ安全システムの作動確認機能の自動化を実現することは、容易ではない。更に、そのようなアナログ安全システムをスケーリングし、標準化を実施することは困難である。
特開２００３−２１５２８４号公報

従って、本発明のいくつかの構成は、工業用途において使用するのに適する安全計器を提供する。計器は、計器の自己試験、並びに計器により監視及び／又は制御される外部システムの作動確認機能を実行するように構成されたマイクロコントローラを有する論理カードを含む。論理カードは、少なくとも１つの結合プログラマブル論理装置（ＣＰＬＤ）を更に含む。ＣＰＬＤは、マイクロコントローラから独立して、外部システムの人体安全条件に関連する論理機能を実行し、且つマイクロコントローラのアドレス復号、入出力アドレス指定及び／又はレジスタを提供するように構成される。計器は、１つ以上のＩ／Ｏモジュールを更に含む。Ｉ／Ｏモジュールは、論理カードに動作可能に結合され、論理カードから外部システムへ、監視信号及び／又は制御信号を通信する。

他の面においては、本発明は、工業プラントに関する安全機能を提供する方法を提供する。方法は、外部システムを監視及び／又は作動確認するために、論理カードにおいてマイクロプロセッサを動作させることと、外部システムの人体安全条件に関連する論理機能を実行し且つマイクロコントローラのアドレス復号、入出力アドレス指定及び／又はレジスタを提供するために、論理カードにおいて結合プログラマブル論理装置を、マイクロコントローラから独立して動作させることとを含む。方法は、１つ以上のＩ／Ｏモジュールを介して、外部システムへ、監視信号及び／又は制御信号を通信することを更に含む。

このように、本発明の構成は、アナログ安全システムの手動操作による作動確認機能を容易に自動化し、容易にスケーリングを実行し、且つ構成要素の好都合な標準化を実行することがわかるであろう。その他の利点は、以下の詳細な説明を読むことにより、当業者には明らかになるであろう。

いくつかの構成では、工業プロセスにおいて安全制御装置として使用するのに適するマイクロコントローラアーキテクチャが提供される。このアーキテクチャは、多くの工業プロセスにおいて使用するのに適するが、原子力発電装置の計装システム及び制御システムにおいて使用するのに特に適している。例えば、マイクロコントローラアーキテクチャは、原子力測定解析制御（ＮＵＭＡＣ）モジュール、高圧炉心注水系（ＨＰＣＦ）制御モジュール、出力論理ユニット（ＯＬＵ）モジュール及びホウ酸水注入制御（ＳＬＣ）モジュールにおいて使用するのに適する。これらのモジュールは、本発明の構成を採用する一連のマイクロコントローラ利用シャシを具備する。様々な構成において、これらの計器はモジュール構造を有する。更に、計器は、リレー、ファイバ／光通信リンク、入力コンタクトカード、又は他の入出力（Ｉ／Ｏ）カードを追加することにより、スケーリング自在である。それらのカードは、マイクロコントローラ、ファームウェア、カスタム化ロジック（ＣＰＬＤ）、ＥＰＲＯＭ、ＮＶＲＡＭ、ＲＡＭ及び様々なＩＣを含む論理ボード（マザーボード）に直接に又は間接的に挿入可能である。本発明のいくつかの構成は、取り外し自在の全てのモジュールが交換自在となるように、これらモジュールに対して、標準化を採用する。いくつかの構成においては、保守に好都合であるように、全ての外部接続及びインタフェースは、計器パネルの背面に収納される。本発明の様々な構成により実現される技術的効果には、特に、アナログ安全システムの手動操作による作動確認機能が自動化されること、作業のスケーリングが容易であること、及び構成要素が都合よく標準化されることが含まれる。

本発明のマイクロプロセッサアーキテクチャ構成を利用する計器は、標準の４８．２６ｃｍ（１９ｉｎ）幅の工業用ラックに嵌合するように設計可能であり、標準の高さ、例えば、１３．３３５ｃｍ（５．２５ｉｎ）の高さであることが可能である。本発明のいくつかの構成においては、マイクロプロセッサアーキテクチャを利用する計器に要求されるフェイルセーフ機能及び堅牢な電気的構成を提供するために、冗長電源（例えば、２つの電源）が使用される。いくつかの構成は、マイクロコントローラファームウェアにおいて、特定のアプリケーションに対応する自己試験及び作動確認の方法を提供する。マイクロコントローラサブシステム論理は、ＣＰＬＤサブシステムに含まれる論理から独立して実行される。いくつかの構成においては、マイクロコントローラとＣＰＬＤとの間にインタフェースが設けられる。このインタフェースにより、いずれか一方のサブシステムにおいて壊滅的な障害が起こった場合でも、他方のサブシステムを機能させることができる。複数の計器で利用される場合、本発明の構成は、一貫したユーザインタフェース及びフィードバック（「ルック・アンド・フィール」）を提供する。また、例えば、キーロックスイッチを使用して、フロントパネルから、各計器を保護できる。更に、本発明のいくつかの構成においては、押しボタン、ＬＥＤ及び／又は英数字ディスプレイも設けられる。特定の顧客要件及び技術的要件に適合するように、新たな計器をスケーリングできる。例えば、特定の通信プロトコル（すなわち、ＭＩＬ‐ＳＴＤ‐１５５３、ＲＳ‐２３２など）に対応するための装置、特定の電圧及び電流（すなわち、１２ＶＤＣ、２４ＶＤＣ、１２０ＶＡＣ）を処理するように設計されたリレー、並びに様々な光の波長（すなわち、８５０ｎｍ、１，３００ｎｍ）でデータを送受信するように設計された光ファイバカードを、本発明の様々な構成に組み込むことができる。

本発明のいくつかの構成においては、計器は、標準計器用ラック、例えば、４８．２６ｃｍ（１９ｉｎ）の計器用ラック内に設置するために、ラックに装着自在である。例えば、本発明のいくつかの構成における計器シャシは、幅４８．２６ｃｍ（１９ｉｎ）、高さ１３．３３５ｃｍ（５．２５ｉｎ）、奥行は３０．４８ｃｍ〜３５．５６ｃｍ（１２ｉｎ〜１４ｉｎ）である。各計器シャシは、フロントパネルディスプレイ、二重冗長電源、論理カード及び計器の所期のアプリケーションに適するＩ／Ｏカードを含むことができる。計器間で、同様のモジュールを電気的及び機械的に直接交換することが可能であり、交換時に、校正は不要である。

図１を参照すると、本発明のいくつかの構成においては、論理カード１０は、計器の論理及び制御、外部システム（すなわち、論理カード１０が含まれる計器の外部にあるシステム）への状態通信、並びにオペレータによるディスプレイ及びキーボード操作の制御を実行する。論理カード１０のいくつかの構成は、以下に説明する構成要素を含む。
マイクロコントローラ
マイクロコントローラ１２は、高速計算及び高速入出力動作を処理するために設けられる。適切なマイクロコントローラの一例は、カリフォルニア州Santa ClaraのIntel Corporationから入手可能な１６ビットＣＨＭＯＳプロセッサである87C196KDマイクロコントローラである。本発明の構成に有用である、このマイクロコントローラの特徴は、２０ＭＨｚクロッキング、１キロバイトレジスタＲＡＭ、全二重シリアルポート、５つの８ビットＩ／Ｏポート、４つの内部１６ビットタイマ、及び入力ＭＵＸを有する１０ビットＡ／Ｄ変換器である。

論理カードにおける機能動作は、マイクロコントローラ１２により監視される。マイクロコントローラ１２は、作動確認の目的に使用できる非同期直列状態メッセージを送信し、キーボード及びディスプレイを制御し、デジタルＩ／Ｏ回線を監視する。これらの機能に加えて、マイクロコントローラは、電源及び外部センサ電圧を監視し且つメモリの保全性を検査することにより、始動及びオンライン自己試験を実行する。送信される通信メッセージは、自己試験による妥当性検査のために、ループバックされることができる。
マイクロコントローラスーパーバイザ
マイクロプロセッサスーパーバイザ論理は、電源監視回路１４を含む。電源監視回路１４は、論理カード１０及びＩ／Ｏモジュール３４に供給される＋５ＶＤＣ電力を監視する。この電力は、冗長電源１６及び１８から供給される。電圧が＋４．５０〜４．６０ＶＤＣであるとき、電源監視回路１４は、マイクロコントローラ１２に対するリセットを発生する。このリセットにより、ＣＰＬＤ制御論理４６もクリアされ、初期設定状態になる。マイクロプロセッサスーパーバイザ論理の一部として、＋５ＶＤＣ基準電圧源２０及びリセット／パワーオン回路２２が更に設けられる。

制御及び復号を実行し且つ／又は機能論理を構成するために、マイクロコントローラ１２に加えて、１つ以上の結合プログラマブル論理装置（ＣＰＬＤ）４６が設けられる。
制御復号ハードウェア
本発明のいくつかの構成においては、制御復号ハードウェアは、本質的には、１つ以上の結合プログラマブル論理装置（ＣＰＬＤ）４６を含むか、又はそれらから構成される。ＣＰＬＤ４６は、以下のうち１つ以上を提供するように構成される。

１．ＥＰＲＯＭ２６及びＲＡＭ２８のアドレス復号、並びに全てのメモリマッピングＩ／Ｏ機能；
２．様々な論理状態レジスタのアドレス復号；及び
３．より低速の周辺装置アクセスのためのマイクロコントローラ１２における待ち状態発生器制御（例えば、いくつかの構成においては、読み取りアクセス又は書き込みアクセスのために、フロントパネルＬＥＤディスプレイ３０は、３つの待ち状態を要求する）。
機能論理インタフェースハードウェア
本発明のいくつかの構成においては、機能論理インタフェースハードウェアは、本質的には、１つ以上の結合プログラマブル論理装置（ＣＰＬＤ）を含むか、又はそれらから構成される。ＣＰＬＤは、以下のうち少なくとも１つを提供するように構成される。

１．様々な周波数分割器；
２．緊急停止状態及びＩ／Ｏを監視し、緊急停止コマンド及び他の制御コマンドを生成できる機能論理；
３．様々な通信プロトコルに対する支援論理；及び
４．外部インタフェースカード３４及び他のグルー論理に対する支援。

論理カード１０の構成は、複数のＣＰＬＤ４６（例えば、いくつかの構成においては、１つのカードに３つまでのＣＰＬＤ）を収容でき、保守、交換又は再構成を容易にするために、ＣＰＬＤは、ソケット接続されてもよい。従って、制御復号ハードウェアと、機能論理インタフェースハードウェアを１つのＣＰＬＤの中に組み込むこと、２つの別個のＣＰＬＤの中に含めること、２つ以上のＣＰＬＤにまたがって分散させることなどが可能である。本発明においては、制御復号ハードウェア及び機能論理インタフェースハードウェアと、個別のＣＰＬＤとの間に１対１の対応が存在している必要はない。
入力電力保護及びアナログ基準
コントロールカードにある＋５ＶＤＣ、＋５ＶＤＣフロントパネル、＋５ＶＤＣ光ファイバ、＋５ＶＤＣリレーカードＡ及びＢ、＋２４ＶＤＣ及び＋４８ＶＤＣの各電力入力線路は、熱電流制限装置（図１には、別個に示されない）を自動リセットすることにより保護される。それらの装置は、電流限界に到達したときに、ヒートアップし、過電流状態が修正されるまで、開路する。入力電力線路は、電源監視回路１４を使用して、自己試験中、マイクロコントローラ１２により監視される。フロントパネルに表示される電力障害ＬＥＤ（ＬＥＤ３０に含まれる）を制御するために、測定ごとの自己試験の結果が組み合わされる。いくつかの構成においては、論理回路１０を具備する計器の背面パネルにある複数の試験ポイントで測定が実行されるため、電源電圧はアクセス可能である。

マイクロコントローラ１２のＡ／Ｄ変換器に必要とされる＋５ＶＤＣの基準電圧２０は、＋２４ＶＤＣ入力電力から発生され、不足電圧／過電圧検出回路により監視される。
ＥＰＲＯＭ及びＲＡＭメモリ
いくつかの構成においては、不揮発性プログラム格納のために、ＥＰＲＯＭ２６が設けられる。この目的のために、３２ＫバイトＥＰＲＯＭを使用できる。いくつかの構成においては、マイクロコントローラ１２により使用されるべき高速読み取り／書き込みメモリとして、スタティックＲＡＭ２８、例えば、８ＫバイトスタティックＲＡＭが設けられる。
不揮発性ＲＡＭ
いくつかの構成においては、電力が供給されなくなったときに、失われてはならないアプリケーションパラメータを格納するために、２Ｋｘ８ビット強誘電性ＲＡＭなどの不揮発性ＲＡＭ３８が設けられる。それらのパラメータは、カード１０が利用されるアプリケーションに依存するが、不揮発性ＲＡＭ３８に格納できる可能アプリケーションパラメータのリストは、自己試験エラーコード及びカウント、校正パラメータなどを含むことができる。いくつかの構成におけるＲＡＭ３８は、消費電力が少なく、書き込み耐久性特性に非常に優れた直列装置である。
光ファイバインタフェースカード
光ファイバインタフェースカード４０は、光信号と電気信号との間の変換を実行する。本発明のいくつかの構成においては、各カードは、６つの物理チャネルを含む。それらのチャネルは、論理カード１０のアプリケーションに応じて、送信、受信、又は双方向通信に使用可能である。例えば、各チャネルは、８５０ｎｍのピーク感度波長を有する光ファイバ信号によって動作可能であるが、いくつかの構成は、１，３００ｎｍなどの他の波長を使用する。いくつかの構成においては、光送信器及び光受信器は、標準ＳＴ型光コネクタに適合する。
リレーＩ／Ｏカード
多くのアプリケーションにおいて、１つ以上のリレーＩ／Ｏカード４２が設けられる。Ｉ／Ｏカード４２は、例えば、機械的ラッチングリレー、非ラッチングリレー、コンタクト閉成感知回路、又はそれらの何らかの組み合わせを含む。各Ｉ／Ｏカード４２は、論理カード１０と制御されるべき他の装置（論理カード１０の視点から見れば、「外界」）との間のインタフェースバッファとして構成される。シャシに入力する高電圧信号は、標準ＴＴＬレベルに変換される。標準ＴＴＬレベル信号は、多くの場合、外部システムにより使用される、はるかに高い電圧を切り替えるために、それらのカードへ送信される。

光ファイバインタフェースカード４０及びリレーＩ／Ｏカード４２は、外部システム（例えば、弁、ポンプ又は他の計器であるが、それらに限定されない）と、論理カード１０の構成要素とを電気的に隔離する一方で、外部システムの制御及び／又は感知及び作動確認を可能にする。このように、論理カード１０は、外部システムにおける電気的妨害、あるいは安全計器と外部システムとの間の通信回線における電気的妨害によって起こる障害を受けにくい。いくつかの構成においては、マイクロコントローラ１２及び／又はＣＰＬＤ４６と、計器内に存在する何らかのインタフェースカード３４との間をインタフェースするために、インタフェーシングハードウェア３２が設けられる。

外部論理を使用するか、又はＣＰＬＤを使用するかに関わらず、本発明のいくつかの構成は、４つまでのＩ／Ｏカード３４、フロントパネルディスプレイ３０及び／又は４４、ＥＰＲＯＭ２６、ＲＡＭ２８、並びに１〜３つのカスタムプログラマブル論理装置ＣＰＬＤ４６に対応するインタフェースを供給するバスを採用する。適切なバス構成の一部が、図２に示される。図２のバス構成は、特に、アドレスバス（ＡＤＲ ＢＵＳ）及びデータバス（ＤＡＴＡＢＵＳ）を含み、これらを、合わせて、アドレス／データバス（ＡＤＤＲ／ＤＡＴＡ ＢＵＳ）と呼ぶこともある。構成要素を互いに相互作用させると共に、メモリデータ及びＩ／Ｏデータの転送、ダイレクトメモリアクセス、及び他の機能を実行するために、バス構造は、信号を搬送する。バス構造は、「マスタ‐スレーブ」構成の変形である。図２のマスタ‐スレーブ構成においては、マスタ装置５０は、バスの制御を実行し、スレーブ装置（例えば、スレーブ装置５２）は、そのアドレスを復号したときに、マスタ装置により提供されたコマンドに応じて動作する。

いくつかの構成においては、8xC196KDデバイス（カリフォルニア州Santa Claraのインテル社より入手可能である）が、ＢＵＳマスタ５０として動作する。このデバイスは、アドレス／データバスからのアドレスを逆多重化するために、アドレスラッチイネーブル（ＡＬＥ）信号を外部ラッチへ送信する。この信号は、外部メモリ（例えば、ＲＡＭ２８及びＥＰＲＯＭ２６）のために使用され、下位の８つのアドレス信号を復号するために使用される。他の周辺装置は、ＣＰＬＤ４６と１つ以上のオクタルＢＵＳドライバ４８との組み合わせを介して、アドレス指定され、制御される。ＣＰＬＤ４６は、上位の８つのアドレス線路を復号し、正しいオクタルＢＵＳドライバ４８に対して、ＥＮＡＢＬＥＤ信号を発生する。これにより、下位の８つのアドレス線路を使用して、周辺装置をアドレス指定することが可能になる。バスを介して転送される信号が実行する機能に基づいて、それらの信号をいくつかのクラスにグループ分けできる。クラスは、制御信号、アドレス信号及び抑止信号、並びにデータ信号を含む。
作動確認能力
本発明のいくつかの構成においては、改善された作動確認能力を支援するために、自己試験状態機能及び報告機能が提供される。更に、論理カード１０を含む計器の背面パネルにおいて、電源電圧が利用可能である。例えば、マイクロコントローラ１２において実行されるソフトウェア又はファームウェアは、バス状態を超過する電圧及びそれより不足する電圧を試験し、報告する。いくつかの構成においては、監視される各電源の電圧は、パネルの背面から、直接、ＤＶＭにより測定可能である。

本発明の様々な構成においては、マイクロコントローラ１２とＣＰＬＤ４６とは、２つの別個のサブシステムとして並列に実行する。安全関連論理及びグルー論理をＣＰＬＤに適切に配分することにより、いずれか一方のサブシステムにおける壊滅的な障害は、必ずしも、他方のサブシステムに影響を及ぼさなくなる。例えば、マイクロコントローラ１２により使用される１組のアドレス／データラッチ、マルチプレクサ、デマルチプレクサ及び割り込みコントローラを第１のＣＰＬＤ４６にプログラムしてもよい。別のＣＰＬＤ４６（又は１組のＣＰＬＤ）は、論理カード１０が含まれる計器の機能性を実現するために必要な論理を含むようにプログラム可能である。それにより、計器の動作を構成する上で、融通性が得られ、好都合である。マイクロコントローラ１２により使用するために、数百のレジスタ及びアドレス復号器を（ＣＰＬＤ４６の物理的限界に至るまで）追加できる。論理カード１０が含まれる計器の動作を規定するＣＰＬＤ４６を、将来のプラントアプリケーションに容易に適合させることができる。例えば、Ｉ／Ｏ線路、タイマ、波形発生器及び様々な状態機械を容易に追加できる。マイクロコントローラ１２のグルー論理（ＣＰＬＤ４６にあるか、又は他の場所にある）は、マイクロコントローラ論理サブシステム１２とＣＰＬＤ論理サブシステム４６との間のバッファリングを実行する。そのような構成において、バッファリングＣＰＬＤ４６が正常に動作している限り、マイクロコントローラ１２における論理の壊滅的障害が、計器論理カード１０の性能に影響を及ぼすことはない。このような分離によって、計器論理カード１０は、異なる安全分類を有する他の機器と共に動作し、その機器とインタフェースすることができる。例えば、ＣＰＬＤ４６は、人命を左右するような動作を実行する安全関連機能を実行し、人命を危険にさらすような力を持たない非安全関連機能を実行することをマイクロコントローラ１２に命令するために、ＲＰＲＯＭ２６及び／又はＲＡＭ２８に、ソフトウェア又はファームウェアを提供することが可能である。あるいは、ＣＰＬＤ４６が非安全関連機能を実行し、マイクロコントローラ１２は、ＥＰＲＯＭ２６及び／又はＲＡＭ２８と連携して、安全関連機能を実行することも可能である。また、ＣＰＬＤ４６及びマイクロコントローラ１２は、協働して、選択された機能を実行するように構成されてもよい。フロントパネルインジケータ３０及び／又は４４は、論理カード１０により制御される。それらのインジケータは、論理カード１０を含む計器により監視及び／又は制御されるべき外部システムに関する情報（例えば、弁又はポンプの状態、あるいは計器に入力を供給する外部センサ）をユーザに提供する。

先に説明したように、論理カード１０は、数多くの異なる種類の計器（例えば、ＯＬＵ、ＳＬＣ、ＨＰＣＦ）において使用可能であるが、原子力発電装置の複数の安全システムに特に適している。例えば、高圧炉心注水系（ＨＰＣＦ）システムにおいては、２つの別個の区画に配置された２つの１００％容量ループ（すなわち、ループＢ及びループＣ）を介して、原子炉容器内部へ水が注入される。図３を参照すると、ＨＰＣＦシステムにおいて、手動操作による始動を経て、ループＣに対して動作するために、ＨＰＣＦダイバース論理プロセッサ１００として構成された論理カード１０が使用される。４つの通常のＨＰＣＦシステムの４分割一般原因障害の場合、ＨＰＣＦダイバース論理プロセッサを介する手動操作によるループＣは、他の全ての工学的安全機能（ＥＳＦ）論理とは関係なく始動される。始動後、ＨＰＣＦダイバース論理プロセッサ１００は、冷却材喪失事故（ＡＬＯＣＡ）を防止するために、必要な弁及びポンプを自動的に制御する。ＨＰＣＦダイバース論理プロセッサ１００は、作動確認アクティビティを自動化する目的で、ハードウェア利用論理（マイクロコントローラ１２及びＣＰＬＤ４６を含む）を使用して、ＨＰＣＦダイバース論理プロセッサ１００の状態を監視し且つ報告するために、制御機能及びソフトウェアを受動モードで実行する。ＨＰＣＦダイバース論理プロセッサ１００は、バックアップシステムのためのバックアップシステムである。正規のＨＰＣＦシステムが全て故障した場合（すなわち、いくつかの構成においては、４つの正規のＨＰＣＦシステムの全てが故障した場合）、更に、そのバックアップとして、ＨＰＣＦダイバース論理プロセッサ１００を利用できる。正規のＨＰＣＦシステムで、コモンモード構造的欠陥が起こった場合でも、ＨＰＣＦダイバース論理プロセッサ１００は、利用可能な状態を保持するであろう。それは、ＨＰＣＦダイバース論理プロセッサ１００が、独立したツール及び技術を使用して設計されているからである。ＨＰＣＦダイバース論理プロセッサ１００における論理カード１０は、モジュール構造を有し、計器の障害をオペレータに対して自動的に通知するように構成できる。いくつかの構成においては、障害をモジュールレベルで識別できるようにするために、自己試験ソフトウェア機能及び自己試験ハードウェア機能が提供される。このため、モジュールの交換により、ＨＰＣＦダイバース論理プロセッサ１００の様々な構成を迅速に（例えば、３０分以内に）修理できる。

ＨＰＣＦダイバース論理プロセッサ計器１００は、ＮＵＭＡＣファミリーのメンバであり、ＣＰＬＤ４６、マイクロコントローラ１２及びソフトウェア／ファームウェアプログラミングを含めて、論理カード１０を使用する。いくつかの実施形態は、このシステムの「多重防護（defense-in-depth）」条件及びダイバーシティ条件を満たすために、ＨＰＣＦループＣの中央制御室パネルからの手動始動／停止信号を処理するように構成される。また、いくつかの構成は、自己試験及び状態診断を実行する。自己試験及び状態診断の結果は、計器のフロントパネルに表示され（図４を参照）、原子炉緊急停止隔離機能（ＲＴＩＦ）通信インタフェースモジュール（ＣＩＭ）へ送信される。いくつかの構成においては、安全関連機能は、ＨＰＣＦダイバース論理プロセッサ１００のハードワイヤード論理（ＣＰＬＤ４６）により実行される。ソフトウェアは、自己試験診断を経て、それらの機能を監視し、光ファイバモジュール４０を介して、ＣＩＭへ、状態メッセージを送信する。更に、ソフトウェアは、シャシのフロントパネル５４にあるＬＥＤ３０及び英数字ディスプレイ４０を制御し、フロントパネルの押しボタン及びキーロックスイッチ５６に直接応答する。いくつかの構成においては、ＨＰＣＦダイバース論理プロセッサのハードワイヤード機能は、中央制御室パネル（ＭＣＲＰ）から、２４コンタクト入力モジュール４２を介して信号を受信すること、並びに、非ラッチングリレー制御モジュール４２を介して、ＭＣＲＰのインジケータランプ、ポンプ及び弁を制御することを含む。

コンタクト入力モジュール４２（例えば、いくつかの構成においては、２４コンタクト入力モジュール）は、ＭＣＲＰとインタフェースする。ＭＣＲＰにおいて、オペレータは、様々なスイッチ及び押しボタンを使用して、ＨＰＣＦダイバース論理プロセッサ１００を制御できる。コンタクト入力モジュール４２は、更に、ポンプ及び吸込弁からの状態信号を受信する。

本発明のいくつかの構成においては、光ファイバモジュール４０は、少なくとも１つの送信器を含む。光ファイバモジュール４０は、ＨＰＣＦダイバース論理プロセッサ１００と原子炉緊急停止隔離機能（ＲＴＩＦ）通信インタフェースモジュール（ＣＩＭ）との間に、通信リンクを構成する。

図４を参照すると、いくつかの構成においては、ＨＰＣＦフロントパネルアセンブリは、オペレータとＨＰＣＦダイバース論理プロセッサとの間にローカルインタフェース５４を構成する。ＨＰＣＦフロントパネルアセンブリは、複数の押しボタンと、キーロックスイッチ５６とを含む。オペレータは、キーロックスイッチ５６を使用して、自己試験を開始し、ＨＰＣＦダイバース論理プロセッサ及びＨＰＣＦループＣシステムの状態を監視できる。フロントパネルにあるＬＥＤ３０及びディスプレイ４０は、ＡＴＭ信号の状態、ＭＣＲＰ信号の状態、リレーの状態、自己試験結果、及びＨＰＣＦダイバース論理プロセッサの動作モードを示す。

２つの非ラッチングリレーモジュール４２の各々は、１８の機械的非ラッチングリレーと、２つの固体リレーとを含む。非ラッチングリレーコンタクトは、ポンプ始動機能及びポンプ停止機能、並びに弁の開閉機能及びバイパス機能を制御するために使用される。固体リレーは、中央制御室パネル（ＭＣＲＰ）に配置されたインジケータランプを駆動するために使用される。

ＨＰＣＦダイバース論理プロセッサ論理カード１０は、ＨＰＣＦダイバース論理プロセッサの論理処理機能、監視機能及び通信機能を実行する。このモジュールは、マイクロコントローラ１２と、メモリ３８、２６及び２８と、ＣＰＬＤ４６と、インタフェース論理とを含む。モジュールは、入力モジュール３４から、ＭＣＲＰ信号の状態を示す信号を受信し、更に、圧力信号及び流量信号を受信する。モジュールは、非ラッチングリレーモジュール４２のリレーを制御すると共に、ＲＴＩＦ ＣＩＭへメッセージを送信するために、光ファイバモジュール４０とインタフェースする。電源１６及び／又は１８からの入力電圧が範囲外になった場合に、リセット信号を発生する電源監視回路１４の形態をとるマイクロコントローラスーパーバイザが設けられる。更に、いくつかの構成においては、電源監視回路１４は、ＣＰＬＤ４６論理を初期設定状態にリセットする。マイクロコントローラが、所定の時間内、例えば、１．１２秒以内にストローブ信号を送信できないと、ウォッチドッグタイマ５８は、時間切れになる。いくつかの構成においては、ウォッチドッグタイマ５８は、マイクロコントローラ１２のマスク不可能割り込み（ＮＭＩ）に電気的に接続される。これにより、ウォッチドッグタイマ５８が時間切れになった場合、マイクロコントローラ１２に対して、ＮＭＩが生成され、その結果、ウォームリブートが実行される。しかし、ウォッチドッグタイマは、ＣＰＬＤ４６の論理をリセットしない。

いくつかの構成においては、ＣＰＬＤ４６は、５６０マクロセル結合プログラマブル論理装置（ＰＬＤ）を具備する。それらのＰＬＤは、ａ）ＥＰＲＯＭ２６及びＲＡＭ２８メモリ装置のアドレス復号、並びに全てのメモリマッピングＩ／Ｏ機能；ｂ）より低速の周辺アクセスのためのマイクロコントローラ１２に対する待ち状態発生器制御（いくつかの構成においては、フロントパネルＬＥＤディスプレイ３０及び２４コンタクト入力カードは、読み取りアクセス又は書き込みアクセスに際して、２つの待ち状態を要求する）；ｃ）マイクロコントローラ１２が、入力信号の状態、出力制御の状態、ＰＬＤリビジョンの状態及びリレー状態をアクセスすることを可能にするアドレス指定可能ポート及びレジスタ；ｄ）リレードライバコンポーネントとインタフェースする５つの出力ポート；ｅ）フロントパネルディスプレイカードとインタフェースする１つの出力ポート；ｆ）１２ＭＨｚ〜１ＭＨｚクロック発生器；及びｇ）１）ＡＴＭ緊急停止状態及びコンタクト入力スイッチ状態を監視し、２）コンタクト入力を処理し、且つ３）ポンプ制御コマンド及び弁制御コマンドを生成するための、ＨＰＣＦダイバース論理プロセッサの全ての機能論理を提供するように構成される。

ＨＰＣＦダイバース論理モジュールの電力入力線路は、熱電流制限装置を自動リセットすることにより保護される。熱電流制限装置は、電流限界に到達したとき、ヒートアップし、過電流状態が修正されるまで、開路する。

いくつかの構成においては、３２キロバイトＥＰＲＯＭ２６は、ソフトウェアの不揮発性記憶装置を構成する。いくつかの構成においては、全てのソフトウェアは、ファームウェアとして、不揮発性メモリに格納されるので、ソフトウェアの変更は、ＥＰＲＯＭの交換により実行される。いくつかの構成においては、８キロバイトスタティックＲＡＭ２８は、マイクロコントローラ１２により要求される高速読み取り／書き込みメモリを構成する。いくつかの構成において設けられる不揮発性２Ｋｘ８強誘電性ＲＡＭ３８は、電力の供給が遮断されたときに、失われてはならないアプリケーションパラメータを格納する。このＲＡＭは、電力消費が少なく、書き込み耐久性特性に非常に優れた直列装置である。マイクロコントローラのポート１を介する４ワイヤシリアルインタフェースは、メモリ装置内のあらゆるバイトに対して、アクセスする。ＮＶＲＡＭ３８に格納すべき変数の例には、１）コールドブートカウンタ；２）ウォームブートカウンタ；３）ウォッチドッグカウンタ；４）電源電圧の読み値及び設定値；５）エラーコード；並びに６）自己試験状態があるが、変数は、それらに限定されない。

ＬＥＤ６０は、試験及び／又は障害の指標を提供するために、論理カード１０自体に設けられる。様々な試験ポイント及び監視ポイントも設けられ、必要に応じて、それらのポイントで、電圧及びタイミングを観測できる。

ＨＰＣＦダイバース論理プロセッサ１００は、光ファイバ出力を含めて、シャシの背面に配置されたコネクタを介して、多数の電気信号にインタフェースする論理カード１０インタフェースを含む。電気的入力は、中央制御室パネルにおけるコンタクトの閉成、並びに様々なポンプ、流量計及び圧力変換器におけるコンタクトの閉成を含む。また、シャシのフロントパネルにも、いくつかの電気的コンタクト入力が配置される。それらの入力は、押しボタン及び１つ以上のキーロックスイッチ５６を含む。

このように、論理カード１０を利用するＨＰＣＦダイバース論理プロセッサ１００は、同様のモジュールが交換自在であるように、全ての取り外し自在のモジュールに標準化を採用したことを含めて、様々な利点を提供することが理解されるであろう。いくつかの構成においては、保守に好都合であるように、外部接続及びインタフェースは、計器パネルの背面に収納される。計器に要求されるフェイルセーフ機能及び堅牢な電気的構成を提供するために、冗長電源（例えば、２つの電源）が使用される。マイクロコントローラファームウェアに、自己試験及び作動確認の方法を含めることができる。マイクロコントローラシステムは、ＣＰＬＤに含まれる論理から独立して実行され、いずれか一方のサブシステムに壊滅的障害が起こった場合でも、他方のサブシステムは機能できる。キーロックスイッチを使用して、ＨＰＣＦダイバース論理プロセッサを、フロントパネルから保護できる。計器間で、電気的及び機械的に、同様のモジュールが直接交換可能であり、交換時に、校正は不要である。

本発明を様々な特定の実施形態によって説明したが、技術的範囲内で、変形を伴って本発明を実施できることは、当業者には認識されるであろう。なお、特許請求の範囲に記載された符号は、理解容易のためであってなんら発明の技術的範囲を実施例に限縮するものではない。

本発明の論理カードの様々な構成を表すブロック図。 図１の論理カードの１つの適切なバス構成を表す概略図。 図１に表されるような論理カード構成を具備する安全制御計器（この場合、高圧炉心注水系）を表すブロック図。 図３により表される計器構成のフロントパネルを表す概略図。

符号の説明

１０…論理カード、１２…マイクロコントローラ、１４…電源監視回路、１６、１８…冗長電源、２０…＋５ＶＤＣ基準電圧源、２２…リセット／パワーオン回路、２６…ＥＰＲＯＭ、２８…ＲＡＭ、３０…フロントパネルＬＥＤディスプレイ、３２…インタフェーシングハードウェア、３４…インタフェースカード、３８…不揮発性ＲＡＭ、４０…光ファイバインタフェースカード、４２…リレーＩ／Ｏカード、４４…英数字ディスプレイ、４６…結合プログラマブル論理装置（ＣＰＬＤ）、５４…ローカルインタフェース、５６…キーロックスイッチ、５８…ウォッチドッグタイマ、６０…論理カードＬＥＤ、１００…ＨＰＣＦダイバース論理プロセッサ

Claims (10)

1. 工業用途で使用するのに適する安全計器において、
   前記計器の自己試験、並びに前記計器により監視及び／又は制御される外部システムの作動確認機能を実行するように構成されたマイクロコントローラ（１２）と、前記マイクロコントローラから独立して、前記外部システムの人体の安全を左右するような動作を実行する安全関連機能を実行し、且つ前記マイクロコントローラのアドレス復号、入出力アドレス指定及び／又はレジスタを提供するように構成された少なくとも１つの結合プログラマブル論理装置（ＣＰＬＤ）（４６）とを含む論理カード（１０）と；
   前記論理カードに動作可能に結合され、前記論理カードから前記外部システムへ、監視信号及び／又は制御信号を通信する１つ以上のＩ／Ｏモジュール（４０、４２）と；
   不揮発性ＲＡＭ（３８）と
   を具備し、
   前記マイクロコントローラ（１２）は、前記不揮発性ＲＡＭに、タイムスタンプ付きエラーデータを格納するように構成されることを特徴とする、計器。
2. 前記論理カード（１０）により制御される複数のインジケータを有するフロントパネルを更に具備し、前記インジケータは、前記安全計器のユーザに、前記外部システムに関連する情報を提供するように構成される請求項１記載の計器。
3. 前記タイムスタンプ付きエラーデータは、前記自己試験及び前記作動確認機能に関連する請求項１記載の計器。
4. 前記外部システムと、前記マイクロコントローラ（１２）及び／又は前記ＣＰＬＤ（４６）との間で信号を通信し且つそれらの間を電気的に隔離するように構成された少なくとも１つの光ファイバインタフェースカード（４０）を更に具備する請求項１記載の計器。
5. 原子力発電装置に設置されることを特徴とする、請求項１乃至４のいずれか１項に記載の安全計器。
6. 工業プラントに関する安全機能を提供する方法において、
   外部システムを監視及び／又は点検するために、論理カード（１０）において、マイクロプロセッサ（１２）を動作させることと；
   前記外部システムの人体の安全を左右するような動作を実行する安全関連機能を実行し且つ前記マイクロコントローラのアドレス復号、入出力アドレス指定及び／又はレジスタを提供するために、前記論理カードにおいて結合プログラマブル論理装置（４６）を、前記マイクロコントローラから独立して動作させることと；
   前記マイクロコントローラ（１２）を使用して、前記論理カード（１０）にある不揮発性ＲＡＭ（３８）に、タイムスタンプ付きエラーデータを格納することと；
   １つ以上のＩ／Ｏモジュール（４０、４２）を介して、監視信号及び／又は制御信号を前記外部システムへ通信することと
   から成る方法。
7. 前記論理カード（１０）を使用して、フロントパネルの複数のインジケータを制御することを更に含み、前記インジケータは、前記安全計器のユーザに、前記外部システムに関連する情報を提供するように構成される請求項６記載の方法。
8. 前記タイムスタンプ付きエラーデータは、前記自己試験及び前記作動確認機能に関連する請求項６記載の方法。
9. 前記外部システムと、前記マイクロコントローラ（１２）及び／又は前記ＣＰＬＤ（４６）との間を電気的に隔離するように構成された少なくとも１つの光ファイバインタフェースカード（４０）を介して、前記外部システムと、前記マイクロコントローラ及び／又は前記ＣＰＬＤとの間で信号を通信することを更に含む請求項６記載の方法。
10. 原子力発電装置において実行される請求項６記載の方法。

Images