JP5057837B2 - 冗長化システムおよび冗長化システムの製造方法 - Google Patents

Description

本発明は、回路基板と回路記述言語によって記述された電気回路を書き込まれた回路記述素子とを備えたユニットを冗長化したチャンネルのそれぞれに設けた冗長化システム、および、その製造方法に関する。

原子炉プラントには、安全保護計装システムに関わる放射線計測装置として、ＣＰＵあるいはＦＰＧＡ（Field Programmable Gate Array）といったＬＳＩを使用したディジタル信号処理手法が適用されている場合がある。ディジタル信号処理は、アナログ信号処理と比較して、複雑な計算処理が可能であり、精度、耐ノイズ性、システムのコンパクト化など多くの利点が挙げられる。しかしながら、信号処理のタイミングや特定の条件でエラーとなる場合があるというディジタル信号処理に特有な欠点も存在する。

安全保護計装システムは、異常時における原子炉スクラム信号の判定・出力に代表される原子炉保護上重要な役割が要求されているため、機器の多重化により誤動作および誤不動作を起こさない設計とする必要がある。このような安全保護計装システムにディジタル信号処理を適用するためには、設計・製作を通じた品質保証活動とともに、前述した誤動作および誤不動作の要因を設計または試験段階で検証・抽出し、機器の健全性を確実なものにする必要がある。

一方、安全保護計装システムにＦＰＧＡを用いたシステムは、最終的にハードワイヤードなロジックとして構成できるため、ソフトウェアが制御の主体となるＣＰＵベースのシステムと比較して処理が決定的であり、処理動作も一般に確定的であるため、検証性の点でメリットがある。ただし、ディジタル信号処理を適用していることから設計上の論理誤りや信号処理タイミングに起因するエラーは依然存在するため、それらの要因を排除することが可能なＦＰＧＡを用いた安全保護計装システムが考案されている（たとえば特許文献１参照）。
特開２００５−２４９６０９号公報

一般的に、安全保護計装システムは冗長化されている。また、そのような安全保護計装システムに適用されるＦＰＧＡについては、設計あるいは動作、信号処理タイミングなどの検証および健全性確認の手段が提案されている。しかし、潜在的な問題として、設計段階における人為的な誤りや、ＦＰＧＡ素子の不具合、またはＦＰＧＡの論理合成ツールといったＦＰＧＡ製作ツールの欠陥は、冗長化したシステムの共通故障原因となりうる。冗長化したチャンネルのそれぞれに共通した故障原因が存在すると、その共通故障原因によって、冗長化したチャンネルのそれぞれが同時に誤動作して、冗長化されたシステム全体が誤動作する可能性がある。

そこで、本発明は、冗長化されたチャンネルに共通する不具合によって冗長化システム全体が誤動作する可能性を抑制することを目的とする。

上述の課題を解決するため、本発明は、配線パターンが形成された回路基板と、回路記述言語によって記述された電気回路を製作ツールによって書き込まれて固定ピンを前記配線パターン上に配置して前記回路基板上に実装された回路記述素子と、を備えて所定の入力信号に対して所定の出力信号を出力するように要求する要求仕様を満足するように設計されたユニットを、冗長化したチャンネルのそれぞれに設けた冗長化システムにおいて、前記回路記述素子が前記冗長化したチャンネルのそれぞれで互いに異なるものであり、前記配線パターンは、異なる前記回路記述素子の対応する前記固定ピンをいずれも対応する位置に配置することができるように形成されることを特徴とする。

また、本発明は、配線パターンが形成された回路基板と、回路記述言語によって記述された電気回路を製作ツールによって書き込まれて固定ピンを前記配線パターン上に配置して前記回路基板上に実装された回路記述素子と、を備えて所定の入力信号に対して所定の出力信号を出力するように要求する要求仕様を満足するように設計されたユニットを冗長化したチャンネルのそれぞれに設けた冗長化システムの製造方法において、前記配線パターンは、異なる前記回路記述素子の対応する前記固定ピンをいずれも対応する位置に配置することができるように形成され、前記回路記述素子を、前記回路記述素子が前記冗長化したチャンネルのそれぞれで互いに異なるように製造する部品製造工程と、前記部品製造工程の後に、前記回路基板上に前記回路記述素子を実装する実装工程と、を有することを特徴とする。

本発明によれば、冗長化されたチャンネルに共通する不具合によって冗長化システム全体が誤動作する可能性を抑制できる。

本発明に係る冗長化システムの実施の形態を、原子力発電プラントの出力領域監視システムを例として、図面を参照して説明する。なお、同一または類似の構成には同一の符号を付し、重複する説明は省略する。

［第１の実施の形態］
図１は、本発明に係る出力領域監視システムの第１の実施の形態におけるブロック図である。

出力領域監視システム１０は、たとえばｍ個のＬＰＲＭ（local power range monitor：局部出力領域モニター）検出器１１と、そのＬＰＲＭ検出器１１から出力される信号に基づいてトリップ判定を行うＡＰＲＭ（average power range monitor system：平均出力領域モニター）ユニット１２，２２，３２，４２を有している。本実施の形態では、ＡＰＲＭユニット１２，２２，３２，４２は、４つ設けられている。

これらのＡＰＲＭユニット１２，２２，３２，４２は、所定の入力信号に対して所定の出力信号を出力するように要求する要求仕様を満足するように設計されている。本実施の形態のＡＰＲＭユニット１２，２２，３２，４２は、ｍ個のＬＰＲＭ検出器１１から出力される信号に対して、平均演算を行い、得られた平均値が所定の値を超えるか否かによってトリップ判定し、トリップ判定が真となった場合にはそれぞれ独立してトリップ信号１８を出力する。４つのＡＰＲＭユニット１２，２２，３２，４２が出力するトリップ信号１８を、それぞれトリップ信号Ａ１、トリップ信号Ｂ１、トリップ信号Ａ２およびトリップ信号Ｂ２と呼ぶこととする。

原子力発電プラントの原子炉保護系は、トリップ信号Ａ１またはＡ２が真で、かつ、トリップ信号Ｂ１またはＢ２が真である場合に、原子炉をスクラムさせる。したがって、ＡＰＲＭユニット１２，２２，３２，４２のうちの１つが故障したとしても誤トリップ信号によって原子炉がスクラムに至らないように多重化された設計となっている。なお、原子炉保護系は、４つのトリップ信号のうち２つ以上が真となったときに、原子炉をスクラムさせるものであってもよい。

このように、これらのＡＰＲＭユニット１２，２２，３２，４２は、冗長化したチャンネルである。

ＡＰＲＭユニット１２，２２，３２，４２は、たとえばそれぞれＬＰＲＭモジュール１３，２３，３３，４３およびＡＰＲＭモジュール１５，２５，３５，４５を有している。ＬＰＲＭモジュール１３，２３，３３，４３は、それぞれ回路基板１４とその回路基板１４上に実装された回路記述素子１７，２７，３７，４７を備えている。また、ＡＰＲＭモジュール１５，２５，３５，４５は、それぞれ回路基板１６とその回路基板１６上に実装された回路記述素子１７，２７，３７，４７を備えている。つまり、ＡＰＲＭユニット１２，２２，３２，４２は、それぞれ配線パターンが形成された回路基板１４，１６と、回路基板１４，１６上に実装された回路記述素子１７，２７，３７，４７と、を備えている。回路記述素子１７，２７，３７，４７とは、回路記述言語によって記述された電気回路を製作ツールによって書き込まれたものであり、たとえばＦＰＧＡ素子である。

本実施の形態で、それぞれのＡＰＲＭユニット１２，２２，３２，４２に用いられている回路記述素子１７，２７，３７，４７は、互いに異なるものである。ここで、互いに異なる回路記述素子１７，２７，３７，４７とは、たとえば異なる供給者（メーカ）によって製造されたそれぞれのＦＰＧＡ素子に、要求仕様を満足する電気回路を構成するように回路記述言語によって記述した同一のＶＨＤＬ（VHSIC Hardware Description Language）設計をＦＰＧＡ設計ツールを用いて書き込んだものである。

異なる供給者によって製造された回路記述素子１７，２７，３７，４７は、それらの回路記述素子１７，２７，３７，４７に設けられたピンの配置が異なる場合がある。そこで、本実施の形態では、同一の回路基板１４，１６にこれらの回路記述素子１７，２７，３７，４７を実装することができるようにしている。

図２は、本実施の形態における第１の供給者が製造した回路記述素子を実装した回路基板の上面図である。図３は、本実施の形態における第２の供給者が製造した回路記述素子を実装した回路基板の上面図である。なお、図２および図３は、たとえばＬＰＲＭモジュール１３，２３，３３，４３の回路基板１４を示したものであるが、ＡＰＲＭモジュール１５，２５，３５，４５の回路基板１６も同様である。

第１の供給者が製造した回路記述素子１７と、第２の供給者が製造した回路記述素子２７は、回路記述素子１７，２７の電源（コモン５１およびグランド５２）などの固定ピンの配置が異なる場合がある。そこで、４つのＬＰＲＭモジュール１３，２３，３３，４３に共通の配線パターンの回路基板１４を用いるために、実装する回路記述素子１７，２７の固定ピンに対応する配線パターンの位置を、いずれもその固定ピンが配置される位置としておく。

つまり、たとえば一方の回路記述素子１７のコモン５１の位置に対応する配線パターンの位置、および、他方の回路記述素子２７のコモン５１の位置に対応する配線パターンの位置をいずれもコモン５１用の配線５３としておく。また、たとえば一方の回路記述素子１７のグランド５２の位置に対応する配線パターンの位置、および、他方の回路記述素子２７のグランド５２の位置に対応する配線パターンの位置をいずれもグランド５２用の配線５４としておく。すなわち、配線パターンに、コモン５１用の配線およびグランド５２用の配線がそれぞれ２つのピンに対応するように設けておく。

回路記述素子１７，２７に書き込まれる電気回路は、他方の回路記述素子２７，１７の固定ピンに対応するピン５５は、ロジックを割り当てないようにする。たとえばこれらのピン５５は、入力ピンとして割り当てないように回路記述言語によって記述する。

このような回路基板１４および回路記述素子１７，２７を用いることにより、異なる供給者が製造した回路記述素子１７，２７であっても、同一の配線パターンが形成された回路基板１４に実装することができる。また、一つの回路基板１４上の異なる位置に、異なる供給者が製造した回路記述素子１７，２７に対応した配線パターンを形成しておくことにより、異なる供給者が製造した回路記述素子１７，２７であっても、同一の配線パターンが形成された回路基板１４に実装できるようにしてもよい。

このように本実施の形態の出力領域監視システム１０は、冗長化したＡＰＲＭユニット１２，２２，３２，４２のそれぞれで互いに異なる供給者が製造した回路記述素子１７，２７，３７，４７を用いている。このため、ある供給者が製造した回路記述素子に共通する故障原因が存在した場合であっても、その故障原因による出力領域監視システム１０の誤動作は生じない。

また、互いに異なる回路記述素子１７，２７，３７，４７は、たとえば同一の供給者によって製造されたＦＰＧＡ素子に、要求仕様を満足する電気回路を構成するように異なる設計者が回路記述言語によって記述した互いに異なるＶＨＤＬ設計を同一のＦＰＧＡ設計ツールを用いて書き込んだものであってもよい。この場合、特定のＶＨＤＬ設計に誤りが存在した場合であっても、その設計の誤りによる出力領域監視システム１０の誤動作は生じない。

さらに、互いに異なる回路記述素子１７，２７，３７，４７は、たとえば同一の供給者によって製造されたＦＰＧＡ素子に、要求仕様を満足する電気回路を構成するように回路記述言語によって記述した同一のＶＨＤＬ設計を互いに異なるＦＰＧＡ設計ツールを用いて書き込んだものであってもよい。この場合、特定のＦＰＧＡ設計ツールにエラーが存在した場合であっても、そのＦＰＧＡ設計ツールのエラーによる出力領域監視システム１０の誤動作は生じない。

互いに異なる回路記述素子１７，２７，３７，４７が要求仕様を満足する電気回路を構成しているか否かは、たとえばＦＰＧＡ入出力パターン比較装置によって確認することができる。

図４は、本実施の形態におけるＦＰＧＡ入出力パターン比較装置のブロック図である。

ＦＰＧＡ入出力パターン比較装置６０は、模擬入力信号生成器６１および出力信号比較器６２を備えている。模擬入力信号生成器６１は、健全性確認対象の回路記述素子１７，２７，３７，４７が処理すべき入力信号を模擬した模擬入力信号６３を、回路記述素子１７，２７，３７，４７に対して出力する。また、回路記述素子１７，２７，３７，４７から出力される出力信号６４は、出力信号比較器６２に入力される。

このＦＰＧＡ入出力パターン比較装置６０を用いて、複数の回路記述素子１７，２７，３７，４７に同一の入力信号を入力したときの出力信号の電圧値およびその変化のタイミングを比較する。これにより、互いに異なる回路記述素子１７，２７，３７，４７が同一の入力信号に対して同一の出力信号を出力するか否かを判定して、それらの回路記述素子１７，２７，３７，４７の健全性を確認することができる。これにより、特定の供給者、特定のＶＨＤＬ設計、あるいは、特定のＦＰＧＡ設計ツールに不具合があるかどうかを判定することができる。

この出力信号比較器６２は、たとえば回路記述素子１７，２７，３７，４７の電気出力を同じ抵抗値の抵抗を介して接続し、その接続点の電圧を測定するものである。回路記述素子１７，２７，３７，４７が、たとえばその出力電圧が０Ｖまたは５Ｖとなる４つのＦＰＧＡ素子の場合には、全てのＦＰＧＡ素子が同じ動作をする場合には、接続点の電圧は０Ｖまたは５Ｖとなる。しかし、いずれかのＦＰＧＡ素子の動作が他のＦＰＧＡ素子とことなる動作をした場合には、接続点の電圧は０Ｖおよび５Ｖ以外の値をとるため、所定のしきい値を超えるか否かを判定することにより、いずれかのＦＰＧＡ素子に不具合があることを確認することができる。

各ＦＰＧＡ素子の入出力パターンを採取し、各パターンを比較して一致していることを確認する場合には、比較するＦＰＧＡ素子の数が多くなるに従って採取しなければならない入出力パターンが多くなる。また、各パターンを比較する回路が必要となり、回路構成が複雑となってしまう。しかし、上述の通り、複数のＦＰＧＡ素子の電気出力を一点で接続してその接続点での出力電圧を監視することにより、ＦＰＧＡ素子の数が増えた場合であっても、接続点の電圧を監視するだけで、複数のＦＰＧＡ素子の健全性を確認することができる。このため、健全性の監視のための回路構成が簡素になり、健全性の監視のための回路の故障確率を小さくすることができる。

また、この出力信号比較器６２に、多数決判定処理機能を持たせてもよい。多数決判定処理機能とは、同一の入力信号に対するＦＰＧＡ素子の出力信号を比較して、同一の出力信号を出力するＦＰＧＡ素子の数が多いＦＰＧＡ素子を健全であると判定し、他方のＦＰＧＡ素子には、不具合があると判定する機能である。このようにして、複数の回路記述素子１７，２７，３７，４７の健全性を効率的に判定することができる。

さらに、このＦＰＧＡ入出力パターン比較装置６０は、回路記述素子１７，２７，３７，４７の出力信号を比較して、回路記述素子の１７，２７，３７，４７の健全性を判定しているが、ＬＰＲＭモジュール１３，２３，３３，４３、ＡＰＲＭモジュール１５，２５，３５，４５、あるいは、ＡＰＲＭユニット１２，２２，３２，４２全体に対して、それぞれに対して模擬入力信号６３を与えて、出力信号６４の比較を行ってもよい。このようして、各モジュールの全体としての健全性や、各ユニットの全体としての健全性を確認することもできる。

このように、冗長化したチャンネルのそれぞれで互いに異なる回路記述素子を用いて多様化することにより、複数の回路記述素子に共通する不具合によって冗長化システム全体が誤動作する可能性を抑制することができる。

［第２の実施の形態］
図５は、本発明に係る出力領域監視システムの第２の実施の形態におけるブロック図である。

本実施の形態の出力領域監視システム２０は、各ＬＰＲＭモジュール１３，２３，３３，４３は、互いに異なる回路基板１４，２４，３４，４４を用いている。これらの回路基板１４，２４，３４，４４は、たとえば異なる設計者が同一の要求仕様を満足するように独立して配線パターンを設計したものである。

また、各ＡＰＲＭモジュール１５，２５，３５，４５は、互いに異なる回路基板１６，２６，３６，４６を用いている。これらの回路基板１６，２６，３６，４６は、たとえば異なる設計者が同一の要求仕様を満足するように独立して配線パターンを設計したものである。

いずれのＡＰＲＭユニット１２，２２，３２，４２においても、回路記述素子１７は、たとえば同じ供給者が製造したＦＰＧＡ素子に同一のＶＨＤＬ設計を同一のＦＰＧＡ設計ツールで書き込んだものでよい。

このように本実施の形態の出力領域監視システム２０は、冗長化したＡＰＲＭユニット１２，２２，３２，４２のそれぞれで互いに異なる配線パターンの回路基板１４，２４，３４，４４，１６，２６，３６，４６を用いている。このため、ある配線パターンにミスが存在した場合であっても、そのミスによる出力領域監視システム２０の誤動作は生じない。

このように、冗長化したチャンネルのそれぞれで互いに異なる回路基板を用いて多様化することにより、複数の回路基板に共通する不具合によって冗長化システムが誤作動する可能性を抑制することができる。

［他の実施の形態］
上述の各実施の形態は単なる例示であり、本発明はこれらに限定されない。たとえば、上述の各実施の形態は、安全保護計装システムを例として説明したが、他の冗長化システムにも適用可能である。さらに、各実施の形態の特徴を組み合わせて実施してもよい。

本発明に係る出力領域監視システムの第１の実施の形態におけるブロック図である。 本発明に係る出力領域監視システムの第１の実施の形態における第１の供給者が製造した回路記述素子を実装した回路基板の上面図である。 本発明に係る出力領域監視システムの第１の実施の形態における第２の供給者が製造した回路記述素子を実装した回路基板の上面図である。 本発明に係る出力領域監視システムの第１の実施の形態におけるＦＰＧＡ入出力パターン比較装置のブロック図である。 本発明に係る出力領域監視システムの第２の実施の形態におけるブロック図である。

符号の説明

１０，２０…出力領域監視システム、１１…ＬＰＲＭ検出器、１２，２２，３２，４２…ＡＰＲＭユニット、１３，２３，３３，４３…ＬＰＲＭモジュール、１５，２５，３５，４５…ＡＰＲＭモジュール、１４，２４，３４，４４，１６，２６，３６，４６…回路基板、１７，２７，３７，４７…回路記述素子、５１…コモン、５２…グランド、６１…模擬入力信号生成器、６２…出力信号比較器、６３…模擬入力信号、６４…出力信号

Claims (11)

1. 配線パターンが形成された回路基板と、回路記述言語によって記述された電気回路を製作ツールによって書き込まれて固定ピンを前記配線パターン上に配置して前記回路基板上に実装された回路記述素子と、を備えて所定の入力信号に対して所定の出力信号を出力するように要求する要求仕様を満足するように設計されたユニットを、冗長化したチャンネルのそれぞれに設けた冗長化システムにおいて、
   前記回路記述素子が前記冗長化したチャンネルのそれぞれで互いに異なるものであり、
   前記配線パターンは、異なる前記回路記述素子の対応する前記固定ピンをいずれも対応する位置に配置することができるように形成されることを特徴とする冗長化システム。
   
2. 前記冗長化したチャンネルのそれぞれに用いられる前記回路記述素子は、互いに異なる供給者によって製造されたものであることを特徴とする請求項１に記載の冗長化システム。
3. 前記冗長化したチャンネルのそれぞれに用いられる前記回路記述素子は、互いに異なる記述の前記電気回路が書き込まれたものであることを特徴とする請求項１または請求項２に記載の冗長化システム。
4. 前記冗長化したチャンネルのそれぞれに用いられる前記回路記述素子は、互いに異なる前記製作ツールで前記電気回路が書き込まれたものであることを特徴とする請求項１ないし請求項３のいずれか１項に記載の冗長化システム。
5. 配線パターンが形成された回路基板と、回路記述言語によって記述された電気回路を製作ツールによって書き込まれて固定ピンを前記配線パターン上に配置して前記回路基板上に実装された回路記述素子と、を備えて所定の入力信号に対して所定の出力信号を出力するように要求する要求仕様を満足するように設計されたユニットを冗長化したチャンネルのそれぞれに設けた冗長化システムの製造方法において、
   前記配線パターンは、異なる前記回路記述素子の対応する前記固定ピンをいずれも対応する位置に配置することができるように形成され、
   前記回路記述素子を、前記回路記述素子が前記冗長化したチャンネルのそれぞれで互いに異なるように製造する部品製造工程と、
   前記部品製造工程の後に、前記回路基板上に前記回路記述素子を実装する実装工程と、
   を有することを特徴とする冗長化システムの製造方法。
   
6. 前記部品製造工程は、前記冗長化したチャンネルのそれぞれに用いられる前記回路記述素子を、互いに異なる供給者によって製造させる工程、を含むことを特徴とする請求項５に記載の冗長化システムの製造方法。
7. 前記部品製造工程は、互いに異なる記述の前記電気回路を前記冗長化したチャンネルのそれぞれに用いられる前記回路記述素子に書き込む工程、を含むことを特徴とする請求項５または請求項６に記載の冗長化システムの製造方法。
8. 前記部品製造工程は、互いに異なる前記製作ツールで前記冗長化したチャンネルのそれぞれに用いられる前記回路記述素子に前記電気回路を書き込む工程、を含むことを特徴とする請求項５ないし請求項７のいずれか１項に記載の冗長化システムの製造方法。
9. 前記部品製造工程の後であって前記実装工程の前に、前記所定の入力信号を模擬した模擬入力信号を前記冗長化したチャンネルのそれぞれに用いられる前記回路記述素子に与えて、そのときそれぞれの前記回路記述素子から出力される出力信号が一致する場合に前記回路記述素子が健全であると判定する健全性判定工程、を有することを特徴とする請求項５ないし請求項８のいずれか１項に記載の冗長化システムの製造方法。
10. 前記健全性判定工程は、前記回路記述素子の出力信号を一点に接続して、その接続点の電圧を所定のしきい値と比較する工程を含むことを特徴とする請求項９に記載の冗長化システムの製造方法。
11. 前記健全性判定工程は、同一の入力信号に対して多数側の出力信号を出力する前記回路記述素子は健全であると判定する工程を含むことを特徴とする請求項９または請求項１０に記載の冗長化システムの製造方法。

Images