JP5944243B2 - プラント安全装置およびその動作方法 - Google Patents

Description

本発明の実施形態は、原子力発電プラントなどのプラントに適用されるプラント安全装置およびその動作方法に関する。

原子力発電プラントでは、安全性を確保するためにプラント安全装置が設けられている。

プラント安全装置には、複数のチャンネルに割り当てられた安全制御装置と、判定部とを具備するものがある。複数のチャンネルの各々の安全制御装置は、プラントに設置されたセンサから監視データを受信し、その監視データの値と予めパラメータとして決められた設定値とを比較し、監視データの値が設定値を超えた場合にトリップ信号を有効にする。判定部は、複数のチャンネルの安全制御装置から送信されたトリップ信号のうちの半分以上のトリップ信号が有効である場合に、プラントに対する安全機能を起動させるための制御信号を送信する。安全機能として、例えば、原子炉の緊急停止、格納容器の隔離、あるいは工学的安全施設の起動が挙げられる。

近年のプラントでは、安全機能を制御する安全制御装置にデジタル技術、特にマイクロプロセッサやＦＰＧＡといった論理回路を利用したデジタル型安全制御装置が使われる。デジタル型安全制御装置は、設定値および安全制御プログラムを半導体メモリに設定データとして記憶する。この設定データを変更することで、安全機能の起動タイミング、あるいは条件を変更することができる。

設定データを変更することは頻繁に行われることではないが、運用上、あるいは規制により変更が必要になることも予想される。しかしながら、プラントの安全な運転を保証するため、設定データの変更は厳格な管理の下で行われる必要がある。

プラント安全装置に関するものとしては、ソフトウェアで構成され、安全機能を制御する安全制御装置（論理演算装置）に加えて、ハードウェアで構成されたハードウェア論理装置を設ける技術が提案されている（特許文献１参照）。

特開２０１１−１９１８５５号公報

特許文献１に記載された技術では、安全制御装置から送信されるデジタル信号の値とハードウェア論理装置から送信される電気信号の値とを比較し、その比較結果に基づいて故障がソフトウェアにあるか否かを把握することにより、安全制御装置の信頼性を高めるものであるが、設定データの変更を厳格な管理の下で行うものではない。

プラント安全装置において、安全制御装置の設定データ（設定値あるいは安全制御プログラム）を変更する場合は、複数のチャンネルのうち選択した１つを変更対象チャンネルとして安全制御装置をバイパスし、変更対象チャンネルの安全制御装置の設定データを変更しているときに異常な挙動をしてもプラントの安全な運転に影響を与えないようにすることが望ましい。

そのため、本実施形態が解決しようとする課題は、複数のチャンネルのうちの変更対象チャンネルの安全制御装置の設定データを変更するときに、変更対象チャンネルの安全制御装置をバイパスすることにより、設定データの変更を厳格な管理の下で行うことである。

実施形態のプラント安全装置の一つは、複数のチャンネルにそれぞれ割り当てられ、設定値および安全制御プログラムを含む設定データを記憶する記憶部と、プラントに設置されたセンサから監視データを入力する入力部と、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合にトリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合、または、バイパス信号が有効である場合に前記トリップ信号を無効にする実行部とを有する複数の安全制御装置と、前記複数のチャンネルのうちの変更対象チャンネルの安全制御装置への前記バイパス信号を有効にし、前記変更対象チャンネル以外のチャンネルの安全制御装置への前記バイパス信号を無効にするバイパス選択部と、前記複数のチャンネルの安全制御装置から送信された前記トリップ信号のうちの半分以上のトリップ信号が有効である場合に前記プラントに対する安全機能を起動させるための制御信号を送信する判定部と、新規の設定データを含むデータ変更要求コマンドを前記変更対象チャンネルの安全制御装置に送信するデータ変更部と、を具備し、前記変更対象チャンネルの安全制御装置の実行部は、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、その記憶部に記憶されている前記設定データを前記新規の設定データに変更するプラント安全装置であって、前記複数のチャンネルの安全制御装置の各々は、前記データ変更部と接続可能なツール入出力部をさらに備え、前記複数のチャンネルの安全制御装置の各々の入力部は、前記バイパス信号を入力し、前記変更対象チャンネルの安全制御装置の実行部は、その入力部に入力される前記バイパス信号が有効であるときに、そのツール入出力部を介して前記データ変更部から送信された前記データ変更要求コマンドを受信する、ことを特徴とする。
また、実施形態のプラント安全装置の一つは、複数のチャンネルにそれぞれ割り当てられ、設定値および安全制御プログラムを含む設定データを記憶する記憶部と、プラントに設置されたセンサから監視データを入力する入力部と、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合にトリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合、または、バイパス信号が有効である場合に前記トリップ信号を無効にする実行部とを有する複数の安全制御装置と、前記複数のチャンネルのうちの変更対象チャンネルの安全制御装置への前記バイパス信号を有効にし、前記変更対象チャンネル以外のチャンネルの安全制御装置への前記バイパス信号を無効にするバイパス選択部と、前記複数のチャンネルの安全制御装置から送信された前記トリップ信号のうちの半分以上のトリップ信号が有効である場合に前記プラントに対する安全機能を起動させるための制御信号を送信する判定部と、新規の設定データを含むデータ変更要求コマンドを前記変更対象チャンネルの安全制御装置に送信するデータ変更部と、を具備し、前記変更対象チャンネルの安全制御装置の実行部は、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、その記憶部に記憶されている前記設定データを前記新規の設定データに変更するプラント安全装置であって、前記複数のチャンネルの安全制御装置の各々は、前記データ変更部と接続可能なツール入出力部をさらに備え、前記複数のチャンネルの安全制御装置の各々の入力部およびツール入出力部は、前記バイパス信号を入力し、前記変更対象チャンネルの安全制御装置のツール入出力部は、入力される前記バイパス信号が有効であるときに、前記データ変更部からの前記データ変更要求コマンドを受信して、その実行部に送信し、前記変更対象チャンネルの安全制御装置の実行部は、その入力部に入力される前記バイパス信号が有効であるときに、そのツール入出力部から送信された前記データ変更要求コマンドを受信する、ことを特徴とする。
また、実施形態のプラント安全装置の一つは、複数のチャンネルにそれぞれ割り当てられ、設定値および安全制御プログラムを含む設定データを記憶する記憶部と、プラントに設置されたセンサから監視データを入力する入力部と、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合にトリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合、または、バイパス信号が有効である場合に前記トリップ信号を無効にする実行部とを有する複数の安全制御装置と、前記複数のチャンネルのうちの変更対象チャンネルの安全制御装置への前記バイパス信号を有効にし、前記変更対象チャンネル以外のチャンネルの安全制御装置への前記バイパス信号を無効にするバイパス選択部と、前記複数のチャンネルの安全制御装置から送信された前記トリップ信号のうちの半分以上のトリップ信号が有効である場合に前記プラントに対する安全機能を起動させるための制御信号を送信する判定部と、新規の設定データを含むデータ変更要求コマンドを前記変更対象チャンネルの安全制御装置に送信するデータ変更部と、を具備し、前記変更対象チャンネルの安全制御装置の実行部は、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、その記憶部に記憶されている前記設定データを前記新規の設定データに変更するプラント安全装置であって、前記複数のチャンネルの安全制御装置の各々の前記入力部は、運転モードまたはテストモードが設定されたモード設定信号を入力し、前記プラント安全装置は、前記変更対象チャンネルの安全制御装置に送信する前記モード設定信号に対して前記テストモードを設定し、それ以外のチャンネルの安全制御装置に送信する前記モード設定信号に対して前記運転モードを設定するモード設定部をさらに具備し、前記変更対象チャンネル以外のチャンネルの安全制御装置の前記実行部は、前記モード設定信号に対して前記運転モードが設定されているときに前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合に前記トリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合に前記トリップ信号を無効にし、変更対象チャンネルの安全制御装置の前記実行部は、前記モード設定信号に対して前記テストモードが設定されているときに前記バイパス信号が有効である場合に前記トリップ信号を無効にし、前記データ変更部から送信された前記データ変更要求コマンドを受信する、ことを特徴とする。

実施形態のプラント安全装置の動作方法の一つは、複数のチャンネルにそれぞれ割り当てられ、設定値および安全制御プログラムを含む設定データが設定された複数の安全制御装置を具備するプラント安全装置の動作方法であって、前記複数のチャンネルの安全制御装置が、プラントに設置されたセンサから監視データを入力するステップと、前記複数のチャンネルのうちの変更対象チャンネルの安全制御装置へのバイパス信号を有効にし、前記変更対象チャンネル以外のチャンネルの安全制御装置への前記バイパス信号を無効にするステップと、前記変更対象チャンネル以外のチャンネルの安全制御装置が、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合にトリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合に前記トリップ信号を無効にするステップと、前記変更対象チャンネルの安全制御装置が、前記バイパス信号が有効であるときに前記トリップ信号を無効にするステップと、前記複数のチャンネルの安全制御装置から送信された前記トリップ信号のうちの半分以上のトリップ信号が有効である場合に前記プラントに対する安全機能を起動させるための制御信号を送信するステップと、データ変更部が、新規の設定データを含むデータ変更要求コマンドを前記変更対象チャンネルの安全制御装置に送信するステップと、前記変更対象チャンネルの安全制御装置が、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、前記設定データを前記新規の設定データに変更するステップと、を具備し、前記複数のチャンネルの安全制御装置の各々は、入力部と、実行部と、前記データ変更部と接続可能なツール入出力部とを備え、前記複数のチャンネルの安全制御装置の各々の入力部は、前記バイパス信号を入力し、前記変更対象チャンネルの安全制御装置の実行部は、その入力部に入力される前記バイパス信号が有効であるときに、そのツール入出力部を介して前記データ変更部から送信された前記データ変更要求コマンドを受信する、ことを特徴とする。
また、実施形態のプラント安全装置の動作方法の一つは、複数のチャンネルにそれぞれ割り当てられ、設定値および安全制御プログラムを含む設定データが設定された複数の安全制御装置を具備するプラント安全装置の動作方法であって、前記複数のチャンネルの安全制御装置が、プラントに設置されたセンサから監視データを入力するステップと、前記複数のチャンネルのうちの変更対象チャンネルの安全制御装置へのバイパス信号を有効にし、前記変更対象チャンネル以外のチャンネルの安全制御装置への前記バイパス信号を無効にするステップと、前記変更対象チャンネル以外のチャンネルの安全制御装置が、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合にトリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合に前記トリップ信号を無効にするステップと、前記変更対象チャンネルの安全制御装置が、前記バイパス信号が有効であるときに前記トリップ信号を無効にするステップと、前記複数のチャンネルの安全制御装置から送信された前記トリップ信号のうちの半分以上のトリップ信号が有効である場合に前記プラントに対する安全機能を起動させるための制御信号を送信するステップと、データ変更部が、新規の設定データを含むデータ変更要求コマンドを前記変更対象チャンネルの安全制御装置に送信するステップと、前記変更対象チャンネルの安全制御装置が、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、前記設定データを前記新規の設定データに変更するステップと、を具備し、前記複数のチャンネルの安全制御装置の各々は、入力部と、実行部と、前記データ変更部と接続可能なツール入出力部とを備え、前記複数のチャンネルの安全制御装置の各々の入力部およびツール入出力部は、前記バイパス信号を入力し、前記変更対象チャンネルの安全制御装置のツール入出力部は、入力される前記バイパス信号が有効であるときに、前記データ変更部からの前記データ変更要求コマンドを受信して、その実行部に送信し、前記変更対象チャンネルの安全制御装置の実行部は、その入力部に入力される前記バイパス信号が有効であるときに、そのツール入出力部から送信された前記データ変更要求コマンドを受信する、ことを特徴とする。

本発明の実施形態によれば、複数のチャンネルのうちの変更対象チャンネルの安全制御装置の設定データを変更するときに、変更対象チャンネルの安全制御装置をバイパスすることにより、設定データの変更を厳格な管理の下で行うことができる。

第１実施形態に係るプラント安全装置の構成を示すブロック図である。 第２実施形態に係るプラント安全装置の構成を示すブロック図である。 第１実施形態に係るプラント安全装置のバイパス選択部の構成としてロータリースイッチの構成を示す回路図である。 第１実施形態に係るプラント安全装置において、安全制御装置の構成を示すブロック図であり、複数のチャンネルのうちの変更対象チャンネルの安全制御装置とバイパス選択部とデータ変更部との接続の例を示す図である。 第１実施形態に係るプラント安全装置の動作を示すフローチャートである。 第２実施形態に係るプラント安全装置において、第２の安全制御装置の構成を示す回路図である。 第３実施形態に係るプラント安全装置において、安全制御装置の構成を示すブロック図であり、複数のチャンネルのうちの変更対象チャンネルの安全制御装置とバイパス選択部とデータ変更部との接続の例を示す図である。 第４実施形態に係るプラント安全装置において、安全制御装置の構成を示すブロック図であり、複数のチャンネルのうちの変更対象チャンネルの安全制御装置とバイパス選択部とデータ変更部との接続の例を示す図である。

以下、本発明に係るプラント安全装置の実施形態について、図面を参照して説明する。

［第１実施形態］
（構成）
図１は、第１実施形態に係るプラント安全装置の構成を示すブロック図である。

第１実施形態に係るプラント安全装置は、安全制御装置１０１Ａ〜１０１Ｄと、判定部１０２と、バイパス選択部１０３と、データ変更部１０４と、を具備している。

安全制御装置１０１Ａ〜１０１Ｄは、それぞれ複数のチャンネルに割り当てられている。具体的には、安全制御装置１０１Ａは第１チャンネルに割り当てられ、安全制御装置１０１Ｂは第２チャンネルに割り当てられ、安全制御装置１０１Ｃは第３チャンネルに割り当てられ、安全制御装置１０１Ｄは第４チャンネルに割り当てられている。

安全制御装置１０１Ａ〜１０１Ｄには、それぞれ、設定値および安全制御プログラムを含む設定データ１０Ａ〜１０Ｄが設定されている。

プラントには１種類以上のセンサ５０１Ａ〜５０１Ｄが設置され、センサ５０１Ａ〜５０１Ｄはそれぞれ監視データ５Ａ〜５Ｄを送信する。安全制御装置１０１Ａ〜１０１Ｄは、それぞれ監視データ５Ａ〜５Ｄを入力する。監視データ５Ａ〜５Ｄは、たとえば、原子炉水位、原子炉圧力、あるいは格納容器圧力等の原子力発電プラントの安全を守るために重要な測定値である。

安全制御装置１０１Ａ〜１０１Ｄは、それぞれ、安全制御プログラムを実行して、監視データ５Ａ〜５Ｄの値と設定値とを比較する。監視データと設定値との比較は、監視データの種類毎に行われる。すなわち、原子炉水位、原子炉圧力、あるいは格納容器圧力等の測定値とそれに対する設定値とが比較される。

安全制御装置１０１Ａ〜１０１Ｄは、それぞれ監視データ５Ａ〜５Ｄの値が設定値を超えた場合にトリップ信号１Ａ〜１Ｄを有効“ＯＮ”にする。一方、監視データ５Ａ〜５Ｄの値が設定値を超えない場合にトリップ信号１Ａ〜１Ｄを無効“ＯＦＦ”にする。

ここで、トリップ信号１Ａ〜１Ｄが有効“ＯＮ”である場合、その電位は高電位に設定される。すなわち、トリップ信号１Ａ〜１Ｄのデジタル値は“１”に設定される。一方、トリップ信号１Ａ〜１Ｄが無効“ＯＦＦ”である場合、その電位は低電位に設定される。すなわち、トリップ信号１Ａ〜１Ｄのデジタル値は“０”に設定される。

また、複数のチャンネルのうちの１つのチャンネル（たとえば第２チャンネルとする）が変更対象チャンネルとして選択され、変更対象チャンネルの安全制御装置１０１Ｂへのバイパス信号３が有効“ＯＮ”である場合、変更対象チャンネルの安全制御装置１０１Ｂは、トリップ信号１Ｂを無効“ＯＦＦ”にする。

安全制御装置１０１Ａ〜１０１Ｄは、それぞれ、トリップ信号１Ａ〜１Ｄを判定部１０２に送信する。

判定部１０２は、複数のチャンネルの安全制御装置１０１Ａ〜１０１Ｄから送信されたトリップ信号１Ａ〜１Ｄを受信する。

判定部１０２は、多数決論理により安全機能を起動させる。原子力発電プラントで用いられる多数決論理として、２−ｏｕｔ−ｏｆ−４がある。これは、４つのチャンネルのうちの２つ以上のトリップ信号が有効“ＯＮ”である場合に安全機能を起動させる。具体的には、判定部１０２は、トリップ信号１Ａ〜１Ｄのうちの少なくとも２つのトリップ信号が有効“ＯＮ”である場合にプラントに対する安全機能を起動させるための制御信号２を送信する。この場合、制御信号２を有効“ＯＮ”にする。

なお、原子力発電プラントではトリップ信号１Ａ〜１Ｄの有効と無効とを上述とは逆の論理（以下、負論理）で実施することもできる。負論理はフェイルセーフを目的としたもので、トリップ信号１Ａ〜１Ｄが無効“ＯＦＦ”である場合、その電位は高電位に設定される。すなわち、トリップ信号１Ａ〜１Ｄのデジタル値は“１”に設定される。一方、トリップ信号１Ａ〜１Ｄが有効“ＯＮ”である場合、その電位は低電位に設定される。すなわち、トリップ信号１Ａ〜１Ｄのデジタル値は“０”に設定される。この場合、判定部１０２は、トリップ信号１Ａ〜１Ｄのうちの少なくとも３つのトリップ信号が無効“ＯＦＦ”である場合に制御信号２を無効“ＯＦＦ”にする。

バイパス選択部１０３は、安全制御装置１０１Ａ〜１０１Ｄにバイパス信号３を送信する。

バイパス選択部１０３は、複数のチャンネルのうちの１つのチャンネル（上述の例では第２チャンネル）を変更対象チャンネルとして選択した場合、変更対象チャンネルの安全制御装置１０１Ｂへのバイパス信号３を有効“ＯＮ”にし、変更対象チャンネル以外のチャンネルの安全制御装置１０１Ａ、１０１Ｃおよび１０１Ｄへのバイパス信号３を無効“ＯＦＦ”にする。

バイパス信号３が有効“ＯＮ”である場合、その電位は高電位に設定される。すなわち、バイパス信号３のデジタル値は“１”に設定される。一方、バイパス信号３が無効“ＯＦＦ”である場合、その電位は低電位に設定される。すなわち、バイパス信号３のデジタル値は“０”に設定される。

第１実施形態に係るプラント安全装置では、バイパス選択部１０３として、たとえばロータリースイッチ、あるいはジョイスティックで構成することにより、同時に２つ以上のチャンネルの安全制御装置をバイパスさせないことを保証できる。

図３は、第１実施形態に係るプラント安全装置のバイパス選択部１０３の構成としてロータリースイッチの構成を示す回路図である。

バイパス選択部１０３は、操作部３０１と、接点である第１チャンネル選択端子３０２Ａ、第２チャンネル選択端子３０２Ｂ、第３チャンネル選択端子３０２Ｃ、第４チャンネル選択端子３０２Ｄ、非選択端子３０３、および、共通端子３０６とを備えている。

操作部３０１は、一端が共通端子３０６に接続され、操作軸（図示しない）を中心に回転することにより他端が第１チャンネル選択端子３０２Ａ、第２チャンネル選択端子３０２Ｂ、第３チャンネル選択端子３０２Ｃ、第４チャンネル選択端子３０２Ｄ、および、非選択端子３０３のいずれか１つの端子に接続される。すなわち、上記１つの端子と共通端子３０６とが接続される。

第１チャンネル選択端子３０２Ａ、第２チャンネル選択端子３０２Ｂ、第３チャンネル選択端子３０２Ｃおよび第４チャンネル選択端子３０２Ｄは、それぞれ、配線３０５Ａ、３０５Ｂ、３０５Ｃおよび３０５Ｄの一端に接続されている。配線３０５Ａ、３０５Ｂ、３０５Ｃおよび３０５Ｄの他端は、安全制御装置１０１Ａ〜１０１Ｄに接続されている。非選択端子３０３は、どの安全制御装置にも接続されていない。

通常時において、操作部３０１の他端は非選択端子３０３に接続され、いずれの安全制御装置も選択されない。

設定データの変更時において、第１チャンネル選択端子３０２Ａ、第２チャンネル選択端子３０２Ｂ、第３チャンネル選択端子３０２Ｃ、第４チャンネル選択端子３０２Ｄのいずれか１つの選択端子は共通端子３０６と接続される。この場合、上記１つの選択端子から配線を通して安全制御装置１０１Ａ〜１０１Ｄのいずれか１つを変更対象チャンネルとして安全制御装置が選択される。

共通端子３０６は配線３０４の一端に接続され、配線３０４の他端は直流電源（図示しない）に接続され、直流電源と変更対象チャンネルの安全制御装置との間を閉ループで構成する。直流電源は、バイパス信号３を有効“ＯＮ”にするための高電位を出力し、配線３０４の電位は常に高電位である。

図３に示されるように、操作部３０１の他端が第２チャンネル選択端子３０２Ｂに接続されたとき、直流電源から配線３０４、共通端子３０６、操作部３０１、第２チャンネル選択端子３０２Ｂ、配線３０５Ｂを介して安全制御装置１０１Ｂを結ぶ回路を構成する。安全制御装置１０１Ｂは、配線３０５Ｂの電位が高電位になったときに、バイパス信号３が有効“ＯＮ”になったことを認識する。安全制御装置１０１Ａ、１０１Ｃおよび１０１Ｄは、それぞれ、配線３０５Ａ、３０５Ｃおよび３０５Ｄの電位が低電位のままである場合、バイパス信号３が無効“ＯＦＦ”であることを認識する。

このように、第１実施形態に係るプラント安全装置では、バイパス選択部１０３の構成をロータリースイッチの構造にすることにより、同時に２つ以上のチャンネルのバイパスを不可能にする。バイパス選択部１０３の構成としてジョイスティックの構成にする場合も、ロータリースイッチ同様の５個の接点を設け、同時に２つ以上のチャンネルのバイパスは不可能な仕組みとする。

図１に示されるように、データ変更部１０４は、複数のチャンネルのうちの変更対象チャンネルの安全制御装置１０１Ｂに接続される。データ変更部１０４は、新規の設定データを含むデータ変更要求コマンド４を変更対象チャンネルの安全制御装置１０１Ｂに送信する。この場合、変更対象チャンネルの安全制御装置１０１Ｂは、バイパス信号３が有効“ＯＮ”であるときに、データ変更部１０４から送信されたデータ変更要求コマンド４を受信し、データ変更要求コマンド４に応じて、設定データ１０Ｂを新規の設定データに変更する。

第１実施形態に係るプラント安全装置では、プラントの安全な運転を保証するため、設定データの変更は厳格な管理の下で行われる必要がある。このため、安全制御装置１０１Ａ〜１０１Ｄに対して、それぞれ、設定データ１０Ａ〜１０Ｄの管理、バイパス信号３の内容の判断、データ変更部１０４の接続の有無の判断などを対応可能な構成にする必要がある。

図４は、第１実施形態に係るプラント安全装置において、安全制御装置１０１Ａ〜１０１Ｄの構成を示すブロック図であり、複数のチャンネルのうちの変更対象チャンネルの安全制御装置１０１Ｂとバイパス選択部１０３とデータ変更部１０４との接続の例を示す図である。

第１実施形態に係るプラント安全装置は、さらに、モード設定部４１２を具備することができる。

モード設定部４１２は、モード設定信号６を安全制御装置１０１Ａ〜１０１Ｄに送信する。モード設定信号６には、運転モードまたはテストモードが設定される。モード設定部４１２は、変更対象チャンネルの安全制御装置１０１Ｂに送信するモード設定信号６に対してテストモードを設定し、それ以外のチャンネルの安全制御装置１０１Ａ、１０１Ｃおよび１０１Ｄに送信するモード設定信号６に対して運転モードを設定する。

まず、図４を用いて、複数のチャンネルの安全制御装置１０１Ａ〜１０１Ｄの各々の構成について説明する。

安全制御装置１０１Ａ〜１０１Ｄの各々は、実行部であるプロセッサ４０１と、フラッシュメモリ４０２と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）４０３と、入力部４０４と、出力部４０９と、ツール入出力部４１０とを備えている。

フラッシュメモリ４０２は、プロセッサ４０１が使用する設定データ（設定値および安全制御プログラム）を記憶する記憶部である。記憶部としては、フラッシュメモリ４０２に限らず、不揮発性の記憶デバイス、例えばＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ−Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＦｅＲＡＭ（Ｆｅｒｒｏｅｌｅｃｔｒｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）により実現してもよい。あるいは、ハードディスクとして実現される。

入力部４０４は、上述の監視データと、モード設定部４１２から送信されたモード設定信号６と、バイパス選択部１０３から送信されたバイパス信号３とを入力する。なお、監視データ、モード設定信号６、バイパス信号３を入力する部分を分けることも可能である。

プロセッサ４０１は、安全制御装置が起動された時の初期化、安全制御プログラムの周期的実行、および、データ変更部１０４からのデータ変更要求コマンド４に応じた設定データの変更を行う。プロセッサ４０１は、汎用マイクロプロセッサ、あるいはＦＰＧＡ、ＡＳＩＣ等のプログラム可能なデバイスとして実現される。

プロセッサ４０１は、初期化時に、フラッシュメモリ４０２に記憶されている設定データ（設定値および安全制御プログラム）のコピーを表すコピーデータをＲＡＭ４０３に格納する。コピーデータには、設定データの他に、設定データを変更するための変更プログラムも含まれている。

プロセッサ４０１は、モード設定信号６に対して運転モードが設定されているときに、ＲＡＭ４０３に格納されたコピーデータの安全制御プログラムを実行して、監視データの値が、ＲＡＭ４０３に格納されたコピーデータの設定値を超えた場合に、トリップ信号を有効“ＯＮ”にし、監視データの値が設定値を超えない場合にトリップ信号を無効“ＯＦＦ”にする。プロセッサ４０１は、バイパス信号３が有効“ＯＮ”である場合、監視データの値に関わらず、トリップ信号を無効“ＯＦＦ”にする。

プロセッサ４０１は、上記トリップ信号を出力部４０９を介して判定部１０２に送信する。

次に、図４を用いて、変更対象チャンネルの安全制御装置１０１Ｂとバイパス選択部１０３とデータ変更部１０４との接続について説明する。

バイパス選択部１０３において、配線３０５Ｂにはノード４０７を介して抵抗素子４０５の一端に接続され、抵抗素子４０５の他端は接地端子４１１により接地されている。配線３０４の他端は上述の直流電源である直流電源４０８に接続されている。安全制御装置１０１Ａ、１０１Ｃおよび１０１Ｄについても同様である。

変更対象チャンネルの安全制御装置１０１Ｂにおいて、フラッシュメモリ４０２は、設定データ１０Ｂ（設定値、安全制御プログラム）を記憶している。

操作部３０１の他端が第２チャンネル選択端子３０２Ｂに接続されたとき、直流電源４０８から配線３０４、共通端子３０６、操作部３０１、第２チャンネル選択端子３０２Ｂ、配線３０５Ｂを介して安全制御装置１０１Ｂを結ぶ回路を構成する。この場合、配線３０５Ｂの電位、すなわち、バイパス信号３の電位は高電位であり、バイパス信号３は有効“ＯＮ”である。操作部３０１の他端が接続されないチャンネル選択端子３０２Ａ、３０２Ｃ、３０２Ｄについては直流電源４０８からの電力供給がないため、バイパス信号３の電位は低電位であり、バイパス信号３は無効“ＯＦＦ”である。

入力部４０４は、監視データ５Ｂと、テストモードが設定されたモード設定信号６と、有効“ＯＮ”なバイパス信号３とを入力する。プロセッサ４０１は、バイパス信号３が有効“ＯＮ”であるため、トリップ信号１Ｂを無効“ＯＦＦ”にする。プロセッサ４０１は、無効“ＯＦＦ”を示すトリップ信号１Ｂを出力部４０９を介して判定部１０２に送信する。

ツール入出力部４１０は、データ変更部１０４に接続されたときに、データ変更部１０４から送信されたデータ変更要求コマンド４を受信し、プロセッサ４０１に送信する。データ変更部１０４との接続はシリアル通信、イーサネット（登録商標）等によって実現され、ツール入出力部４１０は、シリアル通信用のデバイス、あるいはイーサネット（登録商標）インタフェースとして実現される。

プロセッサ４０１は、モード設定信号６に対してテストモードが設定され、かつ、入力部４０４に入力されるバイパス信号３が有効“ＯＮ”である場合にデータ変更要求コマンド４を受信する。このとき、プロセッサ４０１は、データ変更要求コマンド４に応じて、ＲＡＭ４０３に格納されたコピーデータの変更プログラムを実行し、フラッシュメモリ４０２に記憶されている設定データ１０Ｂを、データ変更要求コマンド４に含まれる新規の設定データに変更する。

（作用）
図５は、第１実施形態に係るプラント安全装置の動作を示すフローチャートである。

ここで、モード設定部４１２は、変更対象チャンネルの安全制御装置１０１Ｂに送信するモード設定信号６に対してテストモードを設定し、それ以外のチャンネルの安全制御装置１０１Ａ、１０１Ｃおよび１０１Ｄに送信するモード設定信号６に対して運転モードを設定しているものとする。バイパス選択部１０３は、変更対象チャンネルの安全制御装置１０１Ｂへのバイパス信号３を有効“ＯＮ”にし、変更対象チャンネル以外のチャンネルの安全制御装置１０１Ａ、１０１Ｃおよび１０１Ｄへのバイパス信号３を無効“ＯＦＦ”にしているものとする。

まず、初期化処理が実行される。複数のチャンネルの安全制御装置１０１Ａ〜１０１Ｄのプロセッサ４０１は、初期化時に、そのフラッシュメモリ４０２に記憶されている設定データ（設定値および安全制御プログラム）のコピーとその設定データを変更するための変更プログラムとを含むコピーデータをそのＲＡＭ４０３に格納する（ステップＳ１１）。

複数のチャンネルの安全制御装置１０１Ａ〜１０１Ｄの入力部４０４は、それぞれ、プラントに設置されたセンサ５０１Ａ〜５０１Ｄから監視データ５Ａ〜５Ｄを入力する。また、安全制御装置１０１Ａ〜１０１Ｄの入力部４０４は、モード設定部４１２から送信されたモード設定信号６と、バイパス選択部１０３から送信されたバイパス信号３とを入力する。安全制御装置１０１Ａ〜１０１Ｄのプロセッサ４０１は、モード設定信号６がテストモードであるか否か、バイパス信号３が有効“ＯＮ”であるか否かなどをチェックする（ステップＳ１２）。

変更対象チャンネル以外のチャンネルの安全制御装置１０１Ａ、１０１Ｃおよび１０１Ｄのプロセッサ４０１は、それぞれ、モード設定信号６に対して運転モードが設定されているときに、そのＲＡＭ４０３に格納されたコピーデータの安全制御プログラムを実行する。安全制御装置１０１Ａ、１０１Ｃおよび１０１Ｄのプロセッサ４０１は、監視データ５Ａ、５Ｃおよび５Ｄの値が、そのＲＡＭ４０３に格納されたコピーデータの設定値を超えた場合にトリップ信号１Ａ、１Ｃおよび１Ｄを有効“ＯＮ”にして、その出力部４０９を介して判定部１０２に送信する。一方、監視データ５Ａ、５Ｃおよび５Ｄの値が設定値を超えない場合にトリップ信号を無効“ＯＦＦ”にして、その出力部４０９を介して判定部１０２に送信する（ステップＳ１２−Ｎｏ、Ｓ１３）。

また、変更対象チャンネルの安全制御装置１０１Ｂのプロセッサ４０１は、モード設定信号６に対してテストモードが設定され、かつ、バイパス信号３が有効“ＯＮ”であるときに、トリップ信号１Ｂを無効“ＯＦＦ”にして、その出力部４０９を介して判定部１０２に送信する（ステップＳ１２−Ｙｅｓ、Ｓ１４）。

データ変更部１０４は、変更対象チャンネルの安全制御装置１０１Ｂに接続されたときに、新規の設定データを含むデータ変更要求コマンド４を変更対象チャンネルの安全制御装置１０１Ｂに送信する。安全制御装置１０１Ｂのプロセッサ４０１は、モード設定信号６に対してテストモードが設定され、かつ、バイパス信号３が有効“ＯＮ”である場合に、データ変更部１０４から送信されたデータ変更要求コマンド４を受信する（ステップＳ１５−Ｙｅｓ）。

このとき、変更対象チャンネルの安全制御装置１０１Ｂのプロセッサ４０１は、データ変更要求コマンド４に応じて、そのＲＡＭ４０３に格納されたコピーデータの変更プログラムを実行し、そのフラッシュメモリ４０２に記憶されている設定データ１０Ｂを、データ変更要求コマンド４に含まれる新規の設定データに変更する（ステップＳ１６）。

判定部１０２は、複数のチャンネルの安全制御装置１０１Ａ〜１０１Ｄから送信されたトリップ信号１Ａ〜１Ｄを受信する。判定部１０２は、トリップ信号１Ａ〜１Ｄのうちの半分以上のトリップ信号が有効“ＯＮ”である場合に制御信号２を送信する（ステップＳ１７）。

なお、ステップＳ１６において、安全制御装置１０１Ｂのプロセッサ４０１が新規の設定データを利用するためには、安全制御装置１０１Ｂを再起動する必要がある。すなわち、モード設定部４１２が、変更対象チャンネルの安全制御装置１０１Ｂに送信するモード設定信号６に対して運転モードを設定し、バイパス選択部１０３が、変更対象チャンネルの安全制御装置１０１Ｂへのバイパス信号３を無効“ＯＦＦ”にし、変更対象チャンネルの安全制御装置１０１Ｂを再起動するために、ステップＳ１１以降が実行される。

また、ステップＳ１６において、変更対象チャンネルの安全制御装置１０１Ｂのプロセッサ４０１は、データ変更要求コマンド４に応じて、そのＲＡＭ４０３に格納された変更プログラムを実行し、そのフラッシュメモリ４０２に記憶されている設定データ１０Ｂを、データ変更要求コマンド４に含まれる新規の設定データに変更するとともに、ＲＡＭ４０３に格納されたコピーデータの設定データ１０Ｂを新規の設定データに変更することもできる。その場合、変更対象チャンネルの安全制御装置１０１Ｂを再起動する必要がなく、ステップＳ１２以降が実行される。

（効果）
第１実施形態に係るプラント安全装置によれば、複数のチャンネルから構成される安全制御装置の設定データ（設定値および安全制御プログラム）の変更は、バイパスされたチャンネルのみ可能となる。また、一度にバイパスできるチャンネルは１つに制限される。

そのため、第１実施形態に係るプラント安全装置によれば、安全制御装置の設定データ（設定値および安全制御プログラム）の変更中に誤ってトリップ信号を発信する等の誤動作のリスクを著しく軽減し、規制を守ると共に、プラントの安全な運転を保証することに寄与することができる。

このように、第１実施形態に係るプラント安全装置によれば、複数のチャンネルのうちの変更対象チャンネルの安全制御装置の設定データを変更するときに、変更対象チャンネルの安全制御装置をバイパスすることにより、設定データの変更を厳格な管理の下で行うことができる。

［第２実施形態］
第２実施形態に係るプラント安全装置では、第１実施形態における安全制御装置と判定部との間に、多数決論理が適用された装置が設けられる。第２実施形態について、第１実施形態の変更点のみ説明する。

（構成）
図２は、第２実施形態に係るプラント安全装置の構成を示すブロック図である。

第２実施形態に係るプラント安全装置は、安全制御装置であるデジタル・トリップ・モジュール（以下、ＤＴＭと称する）２０１Ａ〜２０１Ｄと、トリップ・ロジック・ユニット（以下、ＴＬＵと称する）２０２Ａ〜２０２Ｄと、出力ロジックユニット（以下、ＯＬＵと称する）２０３Ａ〜２０３Ｄと、判定部１０２と、バイパス選択部１０３と、データ変更部１０４と、を具備している。

ＤＴＭ２０１Ａ〜２０１Ｄは、それぞれ、第１実施形態における安全制御装置１０１Ａ〜１０１Ｄと同じ構成である。

複数のチャンネルのＤＴＭ２０１Ａ〜２０１Ｄには、それぞれ、設定データ２０Ａ〜２０Ｄが設定されている。設定データ２０Ａ〜２０Ｄは、それぞれ、第１実施形態における設定データ１０Ａ〜１０Ｄと同様に、設定値および安全制御プログラムを含んでいる。

複数のチャンネルのＤＴＭ２０１Ａ〜２０１Ｄは、プラントに設けられた２種類以上のセンサ（図示しない）から監視データと、モード設定部４１２から送信されたモード設定信号６と、バイパス選択部１０３から送信されたバイパス信号３とを入力する。ＤＴＭ２０１Ａ〜２０１Ｄは、監視データとモード設定信号６とバイパス信号３とに基づいて、前述のトリップ信号であるセンサ別トリップ信号を出力する。

ここで、センサ別トリップ信号が有効“ＯＮ”である場合、その電位は高電位に設定される。すなわち、センサ別トリップ信号のデジタル値は“１”に設定される。一方、センサ別トリップ信号が無効“ＯＦＦ”である場合、その電位は低電位に設定される。すなわち、センサ別トリップ信号のデジタル値は“０”に設定される。

また、バイパス選択部１０３は、変更対象チャンネルのＤＴＭ（たとえばＤＴＭ２０１Ｄとする）へのバイパス信号３を有効“ＯＮ”にし、変更対象チャンネル以外のチャンネルのＤＴＭ２０１Ａ、２０１Ｂ、２０１Ｃへのバイパス信号３を無効“ＯＦＦ”にしたものとする。バイパス信号３が有効“ＯＮ”である場合、バイパス信号３のデジタル値が“０”であり、バイパス信号３が無効“ＯＦＦ”である場合、バイパス信号３のデジタル値が“１”であるものとする。

ＴＬＵ２０２Ａ〜２０２Ｄは、ＤＴＭ２０１Ａ〜２０１Ｄと同数設けられ、各々がＤＴＭ２０１Ａ〜２０１Ｄの出力に接続されている。ＯＬＵ２０３Ａ〜２０３Ｄは、ＴＬＵ２０２Ａ〜２０２Ｄと同数設けられ、それぞれＴＬＵ２０２Ａ〜２０２Ｄの出力に接続されている。

複数のチャンネルのＴＬＵ２０２Ａ〜２０２Ｄは、複数のチャンネルのＤＴＭ２０１Ａ〜２０１Ｄからのセンサ別トリップ信号と、複数のチャンネルのＤＴＭ２０１Ａ〜２０１Ｄに送信されるバイパス信号３とを受信し、出力別トリップ信号を送信する。

図６は、第２実施形態に係るプラント安全装置において、ＴＬＵ２０２Ａ〜２０２Ｄの構成を示す回路図である。

複数のチャンネルのＴＬＵ２０２Ａ〜２０２Ｄの各々は、ＡＮＤ回路６０１Ａ〜６０１Ｄと、多数決論理回路６０２と、を備えている。

ＡＮＤ回路６０１Ａ〜６０１Ｄは、それぞれ複数のチャンネルに割り当てられている。具体的には、ＡＮＤ回路６０１Ａは第１チャンネルに割り当てられ、ＡＮＤ回路６０１Ｂは第２チャンネルに割り当てられ、ＡＮＤ回路６０１Ｃは第３チャンネルに割り当てられ、ＡＮＤ回路６０１Ｄは第４チャンネルに割り当てられている。

ＡＮＤ回路６０１Ａ〜６０１Ｄは、それぞれ、複数のチャンネルのＤＴＭ２０１Ａ〜２０１Ｄからのセンサ別トリップ信号と、複数のチャンネルのＤＴＭ２０１Ａ〜２０１Ｄに送信されるバイパス信号３とを入力し、出力信号を多数決論理回路６０２に出力する。

具体的には、ＡＮＤ回路６０１Ａは、第１チャンネルのＤＴＭ２０１Ａに送信されるバイパス信号３が無効“ＯＦＦ”であり、第１チャンネルのＤＴＭ２０１Ａからのセンサ別トリップ信号が有効“ＯＮ”である場合に出力信号を有効“ＯＮ”にする。すなわち、センサ別トリップ信号とバイパス信号３とのデジタル値が両方とも“１”である場合に出力信号のデジタル値を“１”にする。それ以外の場合は出力信号を無効“ＯＦＦ”にする。

同様に、ＡＮＤ回路６０１Ｂは、第２チャンネルのＤＴＭ２０１Ｂに送信されるバイパス信号３が無効“ＯＦＦ”であり、第２チャンネルのＤＴＭ２０１Ｂからのセンサ別トリップ信号が有効“ＯＮ”である場合に出力信号を有効“ＯＮ”にする。それ以外の場合は出力信号を無効“ＯＦＦ”にする。ＡＮＤ回路６０１Ｃ、６０１Ｄについても同様の動作である。

多数決論理回路６０２は、前述の２−ｏｕｔ−ｏｆ−４を実施して、出力別トリップ信号を判定部１０２に送信する。具体的には、多数決論理回路６０２は、ＡＮＤ回路６０１Ａ〜６０１Ｄから出力された出力信号のうちの少なくとも２つの出力信号が有効“ＯＮ”である場合に出力別トリップ信号を有効“ＯＮ”にして出力する。それ以外の場合は出力別トリップ信号を無効“ＯＦＦ”にする。

複数のチャンネルのＯＬＵ２０３Ａ〜２０３Ｄは、それぞれ、複数のチャンネルのＴＬＵ２０２Ａ〜２０２Ｄから送信された出力別トリップ信号を判定部１０２に送信する。

判定部１０２は、複数のチャンネルのＯＬＵ２０３Ａ〜２０３Ｄから送信された出力別トリップ信号のうちの半分以上の出力別トリップ信号が有効“ＯＮ”である場合に制御信号２を送信する。この場合、制御信号２を有効“ＯＮ”にする。

なお、第２実施形態においても、第１実施形態と同様に、フェイルセーフを目的として上述の逆の論理（負論理）でも実施することもできる。

（作用）
第２実施形態に係るプラント安全装置の動作について、図５を用いて説明する。図５は第１実施形態と同様であるが、第２実施形態に係るプラント安全装置の動作については、第１実施形態に係るプラント安全装置の動作とは若干異なる。

ここで、モード設定部４１２は、変更対象チャンネルのＤＴＭ２０１Ｄに送信するモード設定信号６に対してテストモードを設定し、それ以外のチャンネルのＤＴＭ２０１Ａ、２０１Ｂおよび２０１Ｃに送信するモード設定信号６に対して運転モードを設定しているものとする。バイパス選択部１０３は、変更対象チャンネルのＤＴＭ２０１Ｄへのバイパス信号３を有効“ＯＮ”にし、変更対象チャンネル以外のチャンネルのＤＴＭ２０１Ａ、２０１Ｂおよび２０１Ｃへのバイパス信号３を無効“ＯＦＦ”にしているものとする。

まず、複数のチャンネルのＤＴＭ２０１Ａ〜２０１Ｄは、初期化処理を実行し、モード設定信号６がテストモードであるか否か、バイパス信号３が有効“ＯＮ”であるか否かなどをチェックを行う（ステップＳ１１、Ｓ１２）。

変更対象チャンネル以外のチャンネルのＤＴＭ２０１Ａ、２０１Ｂおよび２０１Ｃは、それぞれ、モード設定信号６に対して運転モードが設定されているときに、安全制御プログラムを実行し、監視データの値が設定値を超えた場合にセンサ別トリップ信号を有効“ＯＮ”にする。一方、監視データの値が設定値を超えない場合にセンサ別トリップ信号を無効“ＯＦＦ”にする（ステップＳ１２−Ｎｏ、Ｓ１３）。

また、変更対象チャンネルのＤＴＭ２０１Ｄは、モード設定信号６に対してテストモードが設定され、かつ、バイパス信号３が有効“ＯＮ”であるときに、センサ別トリップ信号を無効“ＯＦＦ”にする（ステップＳ１２−Ｙｅｓ、Ｓ１４）。

データ変更部１０４は、変更対象チャンネルのＤＴＭ２０１Ｄに接続されたときに、新規の設定データを含むデータ変更要求コマンド４を変更対象チャンネルのＤＴＭ２０１Ｄに送信する。ＤＴＭ２０１Ｄは、モード設定信号６に対してテストモードが設定され、かつ、バイパス信号３が有効“ＯＮ”である場合に、データ変更部１０４から送信されたデータ変更要求コマンド４を受信する（ステップＳ１５−Ｙｅｓ）。

このとき、変更対象チャンネルのＤＴＭ２０１Ｄは、データ変更要求コマンド４に応じて、変更プログラムを実行し、内部に設定された設定データ２０Ｄを、データ変更要求コマンド４に含まれる新規の設定データに変更する（ステップＳ１６）。

次に、判定処理が実行される（ステップＳ１７）。

ステップＳ１７において、複数のチャンネルのＴＬＵ２０２Ａ〜２０２Ｄの各々は、複数のチャンネルにおけるセンサ別トリップ信号のうちの、バイパス信号３が無効“ＯＦＦ”であるチャンネルにおいて半分以上のセンサ別トリップ信号が有効“ＯＮ”である場合に出力別トリップ信号を有効“ＯＮ”にし、それ以外の場合は出力別トリップ信号を無効“ＯＦＦ”にする。ここで、変更対象チャンネルのＤＴＭ２０１Ｄから送信されるセンサ別トリップ信号は無効“ＯＦＦ”であるため、出力別トリップ信号は残りの３つのチャンネルによる２−ｏｕｔ−ｏｆ−３の多数決論理により決定される。

ステップＳ１７において、複数のチャンネルのＯＬＵ２０３Ａ〜２０３Ｄは、それぞれ、複数のチャンネルのＴＬＵ２０２Ａ〜２０２Ｄから送信された出力別トリップ信号を判定部１０２に送信する。判定部１０２は、複数のチャンネルのＯＬＵ２０３Ａ〜２０３Ｄから送信された出力別トリップ信号のうちの半分以上の出力別トリップ信号が有効“ＯＮ”である場合に制御信号２を送信する。ここで、変更対象チャンネルのＤＴＭ２０１Ｄから送信されるセンサ別トリップ信号は無効“ＯＦＦ”であるため、制御信号２は、残りの３つのチャンネルによる２−ｏｕｔ−ｏｆ−３の多数決論理により決定される。

（効果）
第２実施形態に係るプラント安全装置によれば、ＤＴＭ２０１Ａ〜２０１Ｄと判定部１０２との間に、多数決論理が適用されたＴＬＵ２０２Ａ〜２０２Ｄが設けられる構成においても、複数のチャンネルから構成される安全制御装置の設定データ（設定値および安全制御プログラム）の変更は、バイパスされたチャンネルのみ可能となる。また、一度にバイパスできるチャンネルは１つに制限される。

そのため、第２実施形態に係るプラント安全装置によれば、ＤＴＭの設定データ（設定値および安全制御プログラム）を誤って変更するリスクを著しく軽減し、規制を守ると共に、プラントの安全な運転を保証することに寄与することができる。

このように、第２実施形態に係るプラント安全装置によれば、複数のチャンネルのうちの変更対象チャンネルのＤＴＭの設定データを変更するときに、変更対象チャンネルのＤＴＭをバイパスすることにより、設定データの変更を厳格な管理の下で行うことができる。

［第３実施形態］
第３実施形態について、第１実施形態の変更点のみ説明する。ここで、説明部分以外の部分は第１の実施形態と同じである。

（構成）
図７は、第３実施形態に係るプラント安全装置において、安全制御装置１０１Ａ〜１０１Ｄの構成を示すブロック図であり、複数のチャンネルのうちの変更対象チャンネルの安全制御装置１０１Ｂとバイパス選択部１０３とデータ変更部１０４との接続の例を示す図である。

第１実施形態に係るプラント安全装置において、入力部４０４に監視データとモード設定信号６とバイパス信号３とを入力しているが、第３実施形態に係るプラント安全装置において、入力部４０４に監視データとモード設定信号６とを入力し、ツール入出力部４１０にバイパス信号３を入力する。

ツール入出力部４１０は、バイパス信号３が有効であるときのみ、データ変更部１０４から送信されたデータ変更要求コマンド４を受信し、プロセッサ４０１に出力する。バイパス信号３が無効であるときには、データ変更部１０４から送信されたデータ変更要求コマンド４を受信しないため、プロセッサ４０１にデータ変更要求コマンド４を出力しない。

（作用）
第３実施形態に係るプラント安全装置の動作について、図５を用いて説明する。図５は第１実施形態と同様であるが、第３実施形態に係るプラント安全装置の動作については、第１実施形態に係るプラント安全装置の動作とは異なる部分について説明する。

まず、第１実施形態と同じステップＳ１１が実行される。

ステップＳ１２において、第１実施形態と同じ処理に加えて、安全制御装置１０１Ａ〜１０１Ｄのツール入出力部４１０は、バイパス選択部１０３から送信されたバイパス信号３を入力し、バイパス信号３が有効“ＯＮ”であるか否かをチェックする。

ここで、モード設定信号６に対して運転モードが設定されている場合（ステップＳ１２−Ｎｏ）、第１実施形態と同じステップＳ１３が実行される。

一方、モード設定信号６に対してテストモードが設定されている場合（ステップＳ１２−Ｙｅｓ）、ステップＳ１４において、第１実施形態と同じ処理に加えて、変更対象チャンネルの安全制御装置１０１Ｂのツール入出力部４１０は、入力されるバイパス信号３が有効“ＯＮ”であるときに、データ変更部１０４からのデータ変更要求コマンド４を受信して、そのプロセッサ４０１に送信する。

変更対象チャンネルの安全制御装置１０１Ｂのプロセッサ４０１は、そのツール入出力部４１０から送信されたデータ変更要求コマンド４を受信し（ステップＳ１５−Ｙｅｓ）、第１実施形態と同じステップＳ１６およびＳ１７が実行される。

なお、バイパス信号３をツール入出力部４１０への電源としてもよい。すなわち、変更対象チャンネルの安全制御装置１０１Ｂのツール入出力部４１０は、入力されるバイパス信号３が有効“ＯＮ”であるときに動作する。この場合、バイパス信号３が無効“ＯFF”であるときにはツール入出力部４１０への電力供給がされず、ツール入出力部４１０は動作しないため、より安全性を高めることができる。

（効果）
第３実施形態に係るプラント安全装置によれば、第１実施形態と同様の効果を実現する上に、データ変更の可否をプロセッサ４０１によるソフトウェア処理ではなく、ツール入出力部４１０に構成されたハードウェアとして実現することもできる。この結果、フラッシュメモリ４０２やＲＡＭ４０３にデータ変更可否に係るソフトウェアを格納する必要がなくなり容量削減することができるとともに、プロセッサ４０１におけるデータ変更可否に係るソフトウェアの実行に伴う万が一の誤動作等を防ぐことができる。

［第４実施形態］
第４実施形態について、第３実施形態の変更点のみ説明する。ここで、説明部分以外の部分は第３の実施形態と同じである。

（構成）
図８は、第４実施形態に係るプラント安全装置において、安全制御装置１０１Ａ〜１０１Ｄの構成を示すブロック図であり、複数のチャンネルのうちの変更対象チャンネルの安全制御装置１０１Ｂとバイパス選択部１０３とデータ変更部１０４との接続の例を示す図である。

安全制御装置１０１Ａ〜１０１Ｄの各々は、さらに、制御部であるフラッシュメモリコントローラ８０１を備えている。

フラッシュメモリコントローラ８０１は、フラッシュメモリ４０２へのデータの読み出しおよび書き込みを制御する。また、バイパス信号３を入力する。フラッシュメモリコントローラ８０１は、バイパス信号３が無効“ＯＦＦ”である場合はフラッシュメモリ４０２内の設定データを変更しない。

データ変更部１０４は、設定データを変更するデータ変更機能とは別に、変更対象チャンネルの安全制御装置の内部動作を監視する監視機能を具備している。データ変更部１０４は、変更対象チャンネルの安全制御装置の内部動作を監視する内部動作監視コマンド７を送信する場合、または、設定データを変更するデータ変更要求コマンド４を送信する場合に変更対象チャンネルの安全制御装置のツール入出力部４１０に接続される。

（作用）
第４実施形態に係るプラント安全装置の動作について、図５を用いて説明する。図５は第１実施形態と同様であるが、第４実施形態に係るプラント安全装置の動作については、第１実施形態に係るプラント安全装置の動作とは異なる部分について説明する。

ここで、バイパス選択部１０３は、変更対象チャンネルの安全制御装置１０１Ｂへのバイパス信号３を、最初は無効“ＯＦＦ”にしていて、次に有効“ＯＮ”にしたものとする。

まず、第１実施形態と同じステップＳ１１が実行される。

ステップＳ１２において、第１実施形態と同じ処理に加えて、安全制御装置１０１Ａ〜１０１Ｄのツール入出力部４１０およびフラッシュメモリコントローラ８０１は、バイパス選択部１０３から送信されたバイパス信号３を入力し、バイパス信号３が有効“ＯＮ”であるか否かをチェックする。

ここで、モード設定信号６に対して運転モードが設定されている場合（ステップＳ１２−Ｎｏ）、第１実施形態と同じステップＳ１３が実行される。

一方、モード設定信号６に対してテストモードが設定されている場合（ステップＳ１２−Ｙｅｓ）、第１実施形態と同じステップＳ１４が実行される。

また、ステップＳ１４において、変更対象チャンネルの安全制御装置１０１Ｂのツール入出力部４１０は、データ変更部１０４から送信された内部動作監視コマンド７を受信して、そのプロセッサ４０１に送信する。変更対象チャンネルの安全制御装置１０１Ｂのプロセッサ４０１は、そのツール入出力部４１０から送信された内部動作監視コマンド７を受信する。

また、ステップＳ１４において、変更対象チャンネルの安全制御装置１０１Ｂのツール入出力部４１０は、入力されるバイパス信号３が有効“ＯＮ”であるときに限り、データ変更部１０４からのデータ変更要求コマンド４を受信して、そのプロセッサ４０１に送信する。

変更対象チャンネルの安全制御装置１０１Ｂのフラッシュメモリコントローラ８０１は、入力されるバイパス信号３が有効であるときに限り、データ変更要求コマンド４の受け入れを許可する変更許可信号を、そのプロセッサ４０１に送信する。変更対象チャンネルの安全制御装置１０１Ｂのプロセッサ４０１は、変更許可信号に応じて、そのツール入出力部４１０から送信されたデータ変更要求コマンド４を受信し（ステップＳ１５−Ｙｅｓ）、第１実施形態と同じステップＳ１６およびＳ１７が実行される。

（効果）
第４実施形態に係るプラント安全装置によれば、第１実施形態と同様の効果を実現する上に、フラッシュメモリ４０２に記憶されたデータ変更の可否を、フラッシュメモリコントローラ８０１がバイパス信号３により判定することにより、変更対象チャンネルの安全制御装置の内部動作を監視する目的と、設定データを変更する目的とに分けて、データ変更部１０４を接続することができる。

［他の実施形態］
以上、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更、また各実施形態の特徴を組み合わせることができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１Ａ〜１Ｄ … トリップ信号
２ … 制御信号
３ … バイパス信号
４ … データ変更要求コマンド
５Ａ〜５Ｄ … 監視データ
６ … モード設定信号
７ … 内部動作監視コマンド
１０Ａ〜１０Ｄ … 設定データ
２０Ａ〜２０Ｄ … 設定データ
１０１Ａ〜１０１Ｄ … 安全制御装置
１０２ … 判定部
１０３ … バイパス選択部
１０４ … データ変更部
２０１Ａ〜２０１Ｄ … ＤＴＭ（安全制御装置）
２０２Ａ〜２０２Ｄ … ＴＬＵ
２０３Ａ〜２０３Ｄ … ＯＬＵ
３０１ … 操作部
３０２Ａ … 第１チャンネル選択端子
３０２Ｂ … 第２チャンネル選択端子
３０２Ｃ … 第３チャンネル選択端子
３０２Ｄ … 第４チャンネル選択端子
３０３ … 非選択端子
３０４ … 配線
３０５Ａ〜３０５Ｄ … 配線
３０６ … 共通端子
４０１ … プロセッサ
４０２ … フラッシュメモリ
４０３ … ＲＡＭ
４０４ … 入力部
４０５ … 抵抗素子
４０７ … ノード
４０８ … 直流電源
４０９ … 出力部
４１０ … ツール入出力部
４１１ … 接地端子
４１２ … モード設定部
５０１Ａ〜５０１Ｄ … センサ
６０１Ａ〜６０１Ｄ … ＡＮＤ回路
６０２ … 多数決論理回路
８０１ … フラッシュメモリコントローラ（制御部）

Claims (8)

1. 複数のチャンネルにそれぞれ割り当てられ、設定値および安全制御プログラムを含む設定データを記憶する記憶部と、プラントに設置されたセンサから監視データを入力する入力部と、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合にトリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合、または、バイパス信号が有効である場合に前記トリップ信号を無効にする実行部とを有する複数の安全制御装置と、
   前記複数のチャンネルのうちの変更対象チャンネルの安全制御装置への前記バイパス信号を有効にし、前記変更対象チャンネル以外のチャンネルの安全制御装置への前記バイパス信号を無効にするバイパス選択部と、
   前記複数のチャンネルの安全制御装置から送信された前記トリップ信号のうちの半分以上のトリップ信号が有効である場合に前記プラントに対する安全機能を起動させるための制御信号を送信する判定部と、
   新規の設定データを含むデータ変更要求コマンドを前記変更対象チャンネルの安全制御装置に送信するデータ変更部と、
   を具備し、
   前記変更対象チャンネルの安全制御装置の実行部は、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、その記憶部に記憶されている前記設定データを前記新規の設定データに変更するプラント安全装置であって、
   前記複数のチャンネルの安全制御装置の各々は、前記データ変更部と接続可能なツール入出力部をさらに備え、
   前記複数のチャンネルの安全制御装置の各々の入力部は、前記バイパス信号を入力し、
   前記変更対象チャンネルの安全制御装置の実行部は、その入力部に入力される前記バイパス信号が有効であるときに、そのツール入出力部を介して前記データ変更部から送信された前記データ変更要求コマンドを受信する、
   ことを特徴とするプラント安全装置。
2. 複数のチャンネルにそれぞれ割り当てられ、設定値および安全制御プログラムを含む設定データを記憶する記憶部と、プラントに設置されたセンサから監視データを入力する入力部と、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合にトリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合、または、バイパス信号が有効である場合に前記トリップ信号を無効にする実行部とを有する複数の安全制御装置と、
   前記複数のチャンネルのうちの変更対象チャンネルの安全制御装置への前記バイパス信号を有効にし、前記変更対象チャンネル以外のチャンネルの安全制御装置への前記バイパス信号を無効にするバイパス選択部と、
   前記複数のチャンネルの安全制御装置から送信された前記トリップ信号のうちの半分以上のトリップ信号が有効である場合に前記プラントに対する安全機能を起動させるための制御信号を送信する判定部と、
   新規の設定データを含むデータ変更要求コマンドを前記変更対象チャンネルの安全制御装置に送信するデータ変更部と、
   を具備し、
   前記変更対象チャンネルの安全制御装置の実行部は、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、その記憶部に記憶されている前記設定データを前記新規の設定データに変更するプラント安全装置であって、
   前記複数のチャンネルの安全制御装置の各々は、前記データ変更部と接続可能なツール入出力部をさらに備え、
   前記複数のチャンネルの安全制御装置の各々の入力部およびツール入出力部は、前記バイパス信号を入力し、
   前記変更対象チャンネルの安全制御装置のツール入出力部は、入力される前記バイパス信号が有効であるときに、前記データ変更部からの前記データ変更要求コマンドを受信して、その実行部に送信し、
   前記変更対象チャンネルの安全制御装置の実行部は、その入力部に入力される前記バイパス信号が有効であるときに、そのツール入出力部から送信された前記データ変更要求コマンドを受信する、
   ことを特徴とするプラント安全装置。
3. 前記データ変更部は、前記変更対象チャンネルの安全制御装置の内部動作を監視する内部動作監視コマンドを送信する場合、または、前記データ変更要求コマンドを送信する場合に前記変更対象チャンネルの安全制御装置に接続され、
   前記複数のチャンネルの安全制御装置の各々は、その記憶部へのデータの読み出しおよび書き込みを制御し、前記バイパス信号を入力する制御部をさらに備え、
   前記変更対象チャンネルの安全制御装置のツール入出力部は、前記データ変更部から送信された前記内部動作監視コマンドを受信して、その実行部に送信し、入力される前記バイパス信号が有効であるときに限り、前記データ変更部から送信された前記データ変更要求コマンドを受信して、その実行部に送信し、
   前記変更対象チャンネルの安全制御装置の制御部は、入力される前記バイパス信号が有効であるときに限り、前記データ変更要求コマンドの受け入れを許可する変更許可信号を、その実行部に送信し、
   前記変更対象チャンネルの安全制御装置の実行部は、そのツール入出力部から送信された前記内部動作監視コマンドを受信し、前記変更許可信号に応じて、そのツール入出力部から送信された前記データ変更要求コマンドを受信する、
   ことを特徴とする請求項１または請求項２に記載のプラント安全装置。
4. 前記バイパス選択部は、前記変更対象チャンネルの安全制御装置の前記ツール入出力部と、当該ツール入出力部を動作させるために必要な電力を供給する電源との間に介在するように接続されていることを特徴とする請求項１ないし請求項３のいずれか一項に記載のプラント安全装置。
5. 複数のチャンネルにそれぞれ割り当てられ、設定値および安全制御プログラムを含む設定データを記憶する記憶部と、プラントに設置されたセンサから監視データを入力する入力部と、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合にトリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合、または、バイパス信号が有効である場合に前記トリップ信号を無効にする実行部とを有する複数の安全制御装置と、
   前記複数のチャンネルのうちの変更対象チャンネルの安全制御装置への前記バイパス信号を有効にし、前記変更対象チャンネル以外のチャンネルの安全制御装置への前記バイパス信号を無効にするバイパス選択部と、
   前記複数のチャンネルの安全制御装置から送信された前記トリップ信号のうちの半分以上のトリップ信号が有効である場合に前記プラントに対する安全機能を起動させるための制御信号を送信する判定部と、
   新規の設定データを含むデータ変更要求コマンドを前記変更対象チャンネルの安全制御装置に送信するデータ変更部と、
   を具備し、
   前記変更対象チャンネルの安全制御装置の実行部は、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、その記憶部に記憶されている前記設定データを前記新規の設定データに変更するプラント安全装置であって、
   前記複数のチャンネルの安全制御装置の各々の前記入力部は、運転モードまたはテストモードが設定されたモード設定信号を入力し、
   前記プラント安全装置は、前記変更対象チャンネルの安全制御装置に送信する前記モード設定信号に対して前記テストモードを設定し、それ以外のチャンネルの安全制御装置に送信する前記モード設定信号に対して前記運転モードを設定するモード設定部をさらに具備し、
   前記変更対象チャンネル以外のチャンネルの安全制御装置の前記実行部は、前記モード設定信号に対して前記運転モードが設定されているときに前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合に前記トリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合に前記トリップ信号を無効にし、
   変更対象チャンネルの安全制御装置の前記実行部は、前記モード設定信号に対して前記テストモードが設定されているときに前記バイパス信号が有効である場合に前記トリップ信号を無効にし、前記データ変更部から送信された前記データ変更要求コマンドを受信する、
   ことを特徴とするプラント安全装置。
6. 前記複数のチャンネルの安全制御装置と同数設けられたトリップ・ロジック・ユニットをさらに具備し、
   前記変更対象チャンネル以外のチャンネルの安全制御装置の実行部は、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合に前記トリップ信号であるセンサ別トリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合に前記センサ別トリップ信号を無効にし、
   前記変更対象チャンネルの安全制御装置の実行部は、前記バイパス信号が有効であるときに前記センサ別トリップ信号を無効にし、
   前記複数のチャンネルのトリップ・ロジック・ユニットは、前記複数のチャンネルの安全制御装置からの前記センサ別トリップ信号と、前記複数のチャンネルの安全制御装置に送信される前記バイパス信号とを受信し、前記複数のチャンネルにおける前記センサ別トリップ信号のうちの、前記バイパス信号が無効であるチャンネルにおいて半分以上のセンサ別トリップ信号が有効である場合に前記出力別トリップ信号を有効にし、それ以外の場合は前記出力別トリップ信号を無効にし、
   前記判定部は、前記複数のチャンネルのトリップ・ロジック・ユニットから送信された前記出力別トリップ信号のうちの半分以上の出力別トリップ信号が有効である場合に前記制御信号を送信し、
   前記変更対象チャンネルの安全制御装置の実行部は、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、その記憶部に記憶されている前記設定データを前記新規の設定データに変更する、
   ことを特徴とする請求項１ないし請求項５のいずれか一項に記載のプラント安全装置。
7. 複数のチャンネルにそれぞれ割り当てられ、設定値および安全制御プログラムを含む設定データが設定された複数の安全制御装置を具備するプラント安全装置の動作方法であって、
   前記複数のチャンネルの安全制御装置が、プラントに設置されたセンサから監視データを入力するステップと、
   前記複数のチャンネルのうちの変更対象チャンネルの安全制御装置へのバイパス信号を有効にし、前記変更対象チャンネル以外のチャンネルの安全制御装置への前記バイパス信号を無効にするステップと、
   前記変更対象チャンネル以外のチャンネルの安全制御装置が、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合にトリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合に前記トリップ信号を無効にするステップと、
   前記変更対象チャンネルの安全制御装置が、前記バイパス信号が有効であるときに前記トリップ信号を無効にするステップと、
   前記複数のチャンネルの安全制御装置から送信された前記トリップ信号のうちの半分以上のトリップ信号が有効である場合に前記プラントに対する安全機能を起動させるための制御信号を送信するステップと、
   データ変更部が、新規の設定データを含むデータ変更要求コマンドを前記変更対象チャンネルの安全制御装置に送信するステップと、
   前記変更対象チャンネルの安全制御装置が、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、前記設定データを前記新規の設定データに変更するステップと、
   を具備し、
   前記複数のチャンネルの安全制御装置の各々は、入力部と、実行部と、前記データ変更部と接続可能なツール入出力部とを備え、
   前記複数のチャンネルの安全制御装置の各々の入力部は、前記バイパス信号を入力し、
   前記変更対象チャンネルの安全制御装置の実行部は、その入力部に入力される前記バイパス信号が有効であるときに、そのツール入出力部を介して前記データ変更部から送信された前記データ変更要求コマンドを受信する、
   ことを特徴とするプラント安全装置の動作方法。
8. 複数のチャンネルにそれぞれ割り当てられ、設定値および安全制御プログラムを含む設定データが設定された複数の安全制御装置を具備するプラント安全装置の動作方法であって、
   前記複数のチャンネルの安全制御装置が、プラントに設置されたセンサから監視データを入力するステップと、
   前記複数のチャンネルのうちの変更対象チャンネルの安全制御装置へのバイパス信号を有効にし、前記変更対象チャンネル以外のチャンネルの安全制御装置への前記バイパス信号を無効にするステップと、
   前記変更対象チャンネル以外のチャンネルの安全制御装置が、前記安全制御プログラムを実行して、前記監視データの値が前記設定値を超えた場合にトリップ信号を有効にし、前記監視データの値が前記設定値を超えない場合に前記トリップ信号を無効にするステップと、
   前記変更対象チャンネルの安全制御装置が、前記バイパス信号が有効であるときに前記トリップ信号を無効にするステップと、
   前記複数のチャンネルの安全制御装置から送信された前記トリップ信号のうちの半分以上のトリップ信号が有効である場合に前記プラントに対する安全機能を起動させるための制御信号を送信するステップと、
   データ変更部が、新規の設定データを含むデータ変更要求コマンドを前記変更対象チャンネルの安全制御装置に送信するステップと、
   前記変更対象チャンネルの安全制御装置が、前記バイパス信号が有効であるときに、前記データ変更部から送信された前記データ変更要求コマンドを受信し、前記データ変更要求コマンドに応じて、前記設定データを前記新規の設定データに変更するステップと、
   を具備し、
   前記複数のチャンネルの安全制御装置の各々は、入力部と、実行部と、前記データ変更部と接続可能なツール入出力部とを備え、
   前記複数のチャンネルの安全制御装置の各々の入力部およびツール入出力部は、前記バイパス信号を入力し、
   前記変更対象チャンネルの安全制御装置のツール入出力部は、入力される前記バイパス信号が有効であるときに、前記データ変更部からの前記データ変更要求コマンドを受信して、その実行部に送信し、
   前記変更対象チャンネルの安全制御装置の実行部は、その入力部に入力される前記バイパス信号が有効であるときに、そのツール入出力部から送信された前記データ変更要求コマンドを受信する、
   ことを特徴とするプラント安全装置の動作方法。

Images