JPH0697407B2 - 複合プロセスのための分散形マイクロプロセッサ方式のセンサ信号処理装置 - Google Patents

Description

【発明の詳細な説明】 この発明は、一般的には原子炉のような複合プロセス内
において選択されたパラメータを監視するセンサによっ
て発生される信号を処理するための装置に関する。特
に、この発明は、いくつかの冗長チャネルセットに配置
された複数個の独立したディジタルの信号プロセッサを
使用した装置に関し、各チャネルセット内の各信号プロ
セッサは、プロセスの保護装置に使用するに適した１つ
または２つ以上のディジタル信号と、監視及び制御装置
に使用するに適したアナログ信号とを発生するが、関連
する信号が異なった独立した信号プロセッサによって発
生され、装置の信頼性を高める。

原子力発電所のような複合プロセスにおいては、多くの
センサが設けられており、プロセス内の種々の物理状
態、例えば、圧力、温度、流量、レベル、放射線等や、
種々の要素の状態、例えば弁の位置、及びポンプが作動
しているか否か等を測定する。これらの測定値は概して
３つの異なった作用を行うために使用される。すなわ
ち、プロセス制御、監視、及び保護のために使用され
る。プロセス制御は、所望の結果を得るためにプロセス
状態の自動もしくは半自動の調節を含む。監視は、プロ
セス状態の監視を含み、所望の結果が達成されつつある
ということを判定する。保護は、プロセス内の異常状態
に対する自動応答に関係し、動作状態が所定の設計限界
を越えるのを避け、そしてその設計限界を外れた運転に
よる不利な影響を緩和するステップを取る。特に原子力
プラントの場合には、保護作用は３つのうち最も必要と
するものである。保護装置の信頼性を確かにするため
に、臨界センサの冗長群が設けられる。プラントの有用
性を改善するために、冗長センサによって生じる信号間
の相関関係は応答の開始に対する必要条件を為し、それ
により正常動作のスプリアスな遮断の可能性を減じる。
例えば代表的には４つの冗長センサ群が設けられ、そし
て４つのセンサ群のうち少なくとも２つのセンサ群（２
アウト・オブ４）による指示が非常もしくは安全装置を
作動させるために必要である。

臨界プロセス状態のいくつかは、加圧水型原子炉（PW
R）の場合には加圧器圧力のように直接測定することが
できる。他は、PWR内の核沸騰限界率（DNBR）のように
測定されたパラメータから計算される。いずれの場合に
も現実の状態はあらかじめ選ばれた値と比較され、そし
てもしその限界を越えたならばディジタル信号が発生さ
れる。これらのディジタル信号は保護装置作動信号とし
て解釈され、そして原子炉を停止、すなわち「トリッ
プ」する装置を起動するために使用されるトリップ信号
と、従来良く知られているような他のプラント非常装置
の動作を開始するために使用される工学的安全保護起動
信号とを含んでいる。応答を開始するために２つ以上の
起動信号が必要であるので、それらは「部分的トリッ
プ」もしくは「部分的工学的安全保護起動信号」と言わ
れている。

代表的な従来装置においては、センサ信号はチャネルセ
ット内で処理を行うよう群付けられ、各チャネルセット
は冗長センサ信号の各組からの１つのセンサ信号を含
む。しかしながら特別に高価なセンサが信号を発生する
ために必要とされる場合には、このような信号は全部の
チャネルセットに含まれるわけではない。前述したよう
に、共通の配置はほとんどのパラメータに対して４つの
冗長センサを提供しており、それ故これらは処理を行う
ため４つのチャネルセットに配置される。このような従
来装置においては、各チャネルセットはいくつかのアナ
ログ回路を含んでおり、そのアナログ回路の各々は、与
えられたセンサ信号を適当な範囲に変換し、必要な場合
には測定値から所望のパラメータを計算し、結果の信号
を選択された限界値と比較し、そしてその限界が越えら
れた時に保護装置起動（付勢）信号を発生する。代表的
には、アナログ回路への入力には、サージ保護、電気絶
縁及びバッファ段が設けられる。アナログ回路の出力は
双安定であり、正常状態下で動作状態を維持することに
より、そして適当な限界が越えられた時には不動作状態
となることにより、部分的トリップもしくは工学的安全
保護起動信号のフェールセーフ指示を与える。代表的な
従来の保護装置においては各パラメータに対する各チャ
ネルセットからの４つの部分的トリップ及び部分的工学
的安全保護起動信号が２つの冗長論理回路に与えられ、
それら回路の各々は、部分的保護装置起動信号につい
て、前述した２アウト・オブ４のような選択された多数
決論理処理を行う。２つの論理回路のいずれかにおいて
対応の部分的保護装置起動信号の４つのうち２つが不動
作ならば、適当な非常および安全制御装置が起動され
る。従来の保護装置の例が本件出願人に譲渡された米国
特許第3,888,772号に示されている。この装置は多数決
論理にために半自動のテスタを含んでおり、これは本件
出願人所有の米国特許第3,892,954号に記載されてい
る。多数決論理回路を試験するために、部分的保護装置
起動信号が１つの論理列内のすべての作動機能に対しそ
の多数決論理回路から取り除かれ、そして次にオペレー
タがセレクタ・スイッチを手動で位置付け、これにより
あらかじめプログラム化された試験信号が検査される論
理列内の１つの論理モジュールに急速にかつ自動的に与
えられる。試験の終了と同時にオペレータは次の論理モ
ジュールにセレクタ・スイッチを進める。試験信号の期
間は短いので作動装置は、テスタによって発生されかつ
監視される起動信号に対して反応する時間がない。しか
しながら予備の予防措置として、そして試験信号を手動
で発生することを可能にするために、バイパス遮断器が
設けられ非常及び安全動作の望ましくない作動が避けら
れる。原子力プラントのための一体化した保護装置のよ
り最近の形態が、「原子炉による電力供給（Power Supp
ly with Nuclear Reactor）」と言う題名の米国特許第
4,434,132号に記載されている。このシステムにおいて
はアナログ回路によって発生される冗長の部分的保護装
置起動信号が４つの別々の論理列に与えられ、その論理
列の各々は多数決論理演算を行う。各論理列すなわち各
チャネルセット内の多数決論理演算は、１つのマイクロ
コンピュータによって部分的に行われるが、これは光フ
ァイバ・データ・リンクを介して他のチャネルセットの
各々にあるマイクロコンピュータと部分的起動に関する
情報を交換する。もしセンサの１つが使用不能であるな
らば、割り当てられたチャネルセット内のその論理モジ
ュールは単独でバイパスされ得、そしてその起動作用だ
けのための他のチャネルセット内の多数決論理は関連の
マイクロコンピュータによって２アウト・オブ３に変え
られる。チャネルセットの各々はまた第２のマイクロプ
ロセッサを含んでおり、それは他のチャネルセットの状
態を監査し、そして個々の起動機能の試験中、全チャネ
ルセットのバイパスを開始する。

これら従来装置のすべては、部分的トリップ及び部分的
工学的安全保護起動信号を発生するためにアナログ回路
を使用しており、それらはかかる回路に付随するすべて
の欠点、すなわち大きさ、高価格、電力多消費、高発
熱、不安定性、短寿命、および柔軟性の無さを含んでい
る。

この発明は、前述のアナログ回路を、それぞれのチャネ
ルセット内においてトリップおよび工学的安全保護起動
信号を発生する複数個の独立したディジタルの信号プロ
セッサと置き換えることにより、従来技術の欠点を克服
しようとするものである。各チャネルセット内のディジ
タルの信号プロセッサの少なくともいくつかは、２つ以
上の保護装置起動信号を発生するが、しかしながらその
起動作用は１つのチャネルセット内のプロセッサ間に割
り付けられ、それ故関連する起動作用は異なったプロセ
ッサに割り当てられる。特に、起動作用のいくつかは複
合プロセス内の特定のイベントの一次指示であり、他は
二次指示である。一次指示は特定の異常状態に対する急
速な応答を提供し、他方要求された動作をも開始する二
次指示は応答においてより遅い。例えばPWRの一次冷却
材系内の破損の場合には、瞬時に現れるであろう加圧器
の圧力は即座の動作を必要とするこの非常状態に関する
一次指示である。原子炉冷却材温度はこの場合（イベン
ト）の二次指示であり、急速に行われないであろう。こ
の発明によれば、加圧器圧力及び原子炉冷却材温度に基
づく部分的トリップ信号は別々の独立した信号プロセッ
サ内で発生され、それ故いずれの信号プロセッサの故障
も原子炉トリップを開始するために他を切り離す。トリ
ップ信号の各々は、それ自身の保護段絶縁を有する別々
の出力信号線に与えられ、それ故、故障はシステムの１
つの部分から別の部分へは伝わらない。

ディジタルの信号プロセッサの各々は、与えられたセン
サ信号を使用して割り当てられたトリップ及び工学的安
全対策基動作用の各々を循環的に行う。各個々のプロセ
ッサの動作を絶えずチェックするために、各チャネルセ
ット内のテスト／バイパス及びデータ処理ユニットはラ
ンプ信号を反復的に発生し、このランプ信号はチャネル
セット内の各信号プロセッサに付加的なセンサ入力とし
て与えられる。信号プロセッサの全ては、ランプ信号が
あらかじめ設定された値に達した時検査起動信号を発生
する。ランプ信号に応答して検査起動信号を発生するた
めのプロセッサの故障は警報信号を発生する。テスト／
バイパス及びデータ処理ユニットはまた指令に基づい
て、チャネルセット内の作動トリップ及び工学的安全対
策起動作用の各々を自動的かつ個々に検査する。これは
センサ信号を、トリップまたは工学的安全対策起動信号
を発生するように選ばれた検査信号と置き換えることに
より達成される。その作用は、トリップまたは工学的安
全対策起動信号が作用動作性の確認のためにテスト／バ
イパス及びデータ処理ユニットに与えられている間、関
連の出力信号線上に正常な出力信号を連続的に発生する
ことによって、この種の検査中バイパスされる。検査は
非常に急速に完了され、そしてチャネルセット内の残り
の起動作用か検査中線上に留まる。検査の終了と同時
に、その検査信号は極端な値に高められてそれが実際遮
断されたということを確認する。この発明のもう１つの
観点として、保護装置起動信号を発生するに際しディジ
タルの信号プロセッサによって発生される測定されまた
は計算されるプロセス・パラメータ信号は、原子炉制御
装置及び／または監視装置で使用するためにプラントの
コンピュータによってアナログ信号として出力される。
これらのアナログ信号の各１つに対して出力信号線内に
個々の絶縁回路を設ける必要性を取り除くために、各チ
ャネルセット内のアナログ信号が、唯１つの絶縁装置を
通して共通の出力装置にデータ・リンク・システム上を
直列に伝送される。このデータ転送のシーケンスは、共
通の通信プロセッサによって制御される。実際の事柄と
して、各チャネルセット内のディジタルの信号プロセッ
サは群に分けられ、その各々は、データ・リンク上を共
通の絶縁装置を通して１つの共通のパラメータ信号出力
装置にパラメータ信号を伝送するためのそれ自身の通信
ディジタル信号プロセッサを有している。

この発明は図面と共になされる以下の説明からより詳細
に理解され得る。

この発明は、選ばれたプロセス・パラメータを測定する
非常に多くのセンサからの情報が処理される多様な複合
プロセスのための信号処理に適用され得るけれども、こ
こでは加圧水型原子炉（PWR）の原子力プラントに適用
されたものとして説明する。第１図には、例えば４つの
冗長のセンサ群が参照数字1,3,5および７で総括的に示
されており、これらセンサ群は、当該技術分野で良く知
られている方法でプラント全体に渡って、温度、圧力、
流量、流体レベル、放射線レベル、ポンプおよび弁の状
態等を含む選択されたパラメータを監視する。前述した
ように、各センサ群は、そのセンサが特に高価である場
合にはすべてが同じパラメータを監視する当該センサを
含んでいるわけではないが、このような場合においてす
ら、これらセンサからの電気的に絶縁された複数の信号
が冗長処理のために与えられるのが通常である。各セン
サ群1,3,5および７は、信号を発生し、これらはそれぞ
れ組合わせられた信号プロセッサ9,11,13および15によ
って処理される。センサ群１〜７および信号プロセッサ
９〜15は、実施例において識別番号１〜４を付されたチ
ャネルセットを形成している。

各チャネルセットの関連の信号プロセッサ9,11,13およ
び15によるセンサ信号の処理には、その信号の値を選定
された制限値と比較することが含まれている。もしその
制限値を越えたならば、部分保護装置起動ディジタル信
号が発生される。各チャネルセットによって発生された
その部分保護装置起動信号は各々２つの同じ論理回路
（train）17および19に与えられ、それら論理回路17、1
9は選ばれた多数決論理に基づいて、独自に保護装置起
動信号を発生する。例えば、２アウト・オブ４多数決論
理が選ばれているとするならば、保護装置起動信号を発
生するためには対応の４つの部分保護送値起動信号の内
の２つが、保護装置起動信号を発生するために存在しな
ければならない。これらの保護装置起動信号には、原子
炉の制御棒制御装置の不足電圧コイルに電力を供給して
いるブレーカーを開いて原子炉を停止するトリップ信号
と、条件が整えば、非常用ほう素注入装置を起動した
り、格納容器スプレーを起動させる等の動作を始める工
学的安全保護起動信号とが含まれている。多数決論理や
原子炉のトリップ、そして工学的安全設備の運転は当該
技術分野で良く知られている。

信号プロセッサ9,11,13および15はまた、選択されたプ
ロセス・パラメータのオンライン値を表すいくつかの冗
長アナログ信号をも発生する。これらのアナログ信号
は、プラント運転を調節するために原子炉制御装置によ
って、プラント運転を監視するために監視装置によっ
て、そしてもし設けられているならば事故後監視装置に
よってプラントの状態や事故後にとられる緩和動作の効
果について監視職員が評価するために使用され等る。ア
ナログ信号の選ばれた一組はこれら目的の１つまたは２
つ以上に使用され得る、またはこれらアナログ信号の４
つの組がこの発明とは無関係の既知の技術を使用して平
均値もしくは最も信頼性ある値を発生するために処理さ
れ得る。

第２図は、チャネルセット１内の信号プロセッサ９の構
成を示し、これは、各チャネルセット内の信号プロセッ
トを代表している。信号プロセッサはループ・ケージ
（loop cage）21を含んでいるが、一方それは以下に詳
細に説明されるマイクロコンピュータをいくつか含んで
いる。チャネルセット１のセンサ群１（1a〜1n）からの
信号はループ・ケージ21のマイクロコンピュータに与え
られ、部分保護装置起動信号をいくつか発生し、この部
分保護装置起動信号は論理回路17および19に向けて信号
線23上に個々に出力される。信号線23の各々に、関連の
信号のためのクラスIE（米国規格）の保護級の絶縁を与
える絶縁装置25が設けられている。テスト／バイパス及
びデータ処理ユニット27は、マイクロコンピュータと、
ループ・ケージ21の他の構成要素を試験し、そしてマイ
クロコンピュータによって発生されるアナログ・パラメ
ータ信号を、共通のクラスIEの絶縁装置31を通しデータ
・リンク29を介して監視装置33に連続出力するために集
めて記憶する。そのアナログ信号のあるものは、データ
・リンク35によって共通のクラスIEの絶縁装置37を通し
て原子炉制御装置39にも伝送される。もし所望ならばデ
ータ・リンク35はこれらのアナログ信号を、単独のクラ
スIEの絶縁装置43を通して事故後監視装置（PAM）41に
も供給する。

センサ群１のすべての信号を処理するために、センサ群
1p〜1xを処理する追加のマイクロコンピュータが必要な
場合には、第２のループ・ケージ45を設けることもでき
る。上記追加のマイクロコンピュータによって発生され
る追加の部分保護装置起動用ディジタル信号の各々は、
自己保護級段階の絶縁装置25を有する信号線23を通して
論理回路17および19に出力される。同様に、第２のルー
プ・ケージ45において発生されるアナログ信号は、それ
ぞれ絶縁装置47、49を通して原子炉制御装置39および事
故後監視装置41にデータ・リンク51によって伝送され
る。ループ・ケージ21内のマイクロコンピュータの配置
が第３図に示されている。各マイクロコンピュータ53
は、プロセッサ55、アナログ−ディジタル入力装置（A/
D変換インターフェース）57、ディジタル出力装置（デ
ィジタル出力インターフェース）59、およびメモリ61を
含んでいる。適当なマイクロコンピュータは、インテル
SBC337数理用共通プロセッサを有したインテルSBC88/40
である。この組合せは、単一の6.75×12インチのプリン
ト回路基板上に完全なコンピュータシステムを与える。
このプリント回路基板は、iAPX88/2マイクロプロセッサ
／共通プロセッサの組合せ、16の差動アナログ入力端
子、３つのタイマ、パラレルI/Oの24本の線、E²PROM支
持板、そして１キロバイトのデュアル・ポートRAMを提
供する。各々のマイクロコンピュータ53に関連して幾つ
かの入力／出力基板（I/O）63があり、これら入力／出
力基板63にはセンサ群１からの信号が与えられ、それら
入力／出力基板63自身の保護級絶縁装置25を有する出力
信号線23が延びている。各入力／出力基板63は、バス65
によってテスト／バイパス及びデータ処理ユニット27に
接続される。バス65の信号は、センサ信号および試験信
号をマイクロコンピュータ53のアナログ−ディジタル入
力装置57に与えるのを制御し、そしてディジタル出力装
置59からの保護装置起動用ディジタル信号を出力信号線
23に与えるのを制御する。以後解るように、バス65は、
又、試験応答ディジタル信号をテスト／バイパス及びデ
ータ処理ユニット27に伝送する。

マイクロコンピュータ53によって発生されるアナログパ
ラメータを表す信号はメモリ61内に記憶される。共用さ
れる通信プロセッサ67は、その記憶された信号をデータ
・リンク35によって、原子炉制御装置39と事故後監視装
置41とに順次に伝送することを制御する。アナログ信号
は、監視装置33に出力するために、そして試験中の実証
のために、テスト／バイパス及びデータ処理ユニット27
へも伝送される。

第４図は、マイクロコンピュータ53のための入力／出力
基板63の１つを詳細に示している。各入力／出力基板63
は、一対の差動入力端子を有するアナログ入力回路を含
んでいる。ループ電源71は、示されている電流伝送型の
センサ群１の場合に有用であるが、電圧型のセンサ信号
の場合には必要とされない。センサ群が抵抗温度検出器
（RTD）であるときには単一の抵抗温度検出器の出力を
引き出しかつ監視するために２つの入力を必要とするけ
れども、各入力／出力基板63はそのような２つのアナロ
グ入力回路を持っている。アナログのセンサ信号は、入
力／出力基板63上の他の構成要素と、関連のマイクロコ
ンピュータとをフィールド信号の大きさ変化から守るサ
ージ保護回路73を通り、検査リレー75の常閉接点に与え
られる。検査リレー75が消勢されている場合には、その
アナログ信号はバッファ77に与えられ、このバッファ77
はセンサを下流の構成要素の作用から隔離すると共に差
動信号をシングルエンド信号（single ended signal）
に変換する。そのシングルエンドのアナログ信号は、バ
ターワース特性を持った低域フィルタ79を通ってノイズ
が除去され、その後にマルチプレクサ81に入力される。
正常な運転状態で、マルチプレクサ81は、絶縁回路83を
通じて、そのアナログ信号をマイクロコンピュータ53の
入力インターフェースであるアナログ−ディジタル入力
装置57に与える。

入力／出力基板63はコントローラ85も含んでおり、この
コントローラ85は、母線65を通じて、テスト／バイパス
及びデータ処理ユニット（テスタ）27から命令を受ける
と共に、それに情報を送るが、この母線65は全二重直列
伝送バス87と実時間ディジタル応答バス89とを含んでい
る。保護装置起動機能の特定の１つを検査するために
は、テスト／バイパス及びデータ処理ユニット27からの
信号に応答して、コントローラ85が、信号線91を通じて
制御信号を送ることにより、その機能に適したアナログ
入力信号に組合わされた検査リレー75を起動する。一つ
の特定の保護機能の試験は、唯１つのアナログ入力信号
に組合された検査リレー75の起動を必要とする場合もあ
るし、また選択された機能が２つのアナログ入力信号に
依存している場合には基板上の２つの検査リレーの起動
を必要とする場合もある。実際に、３以上のアナログ入
力信号に依存した保護機能は、他の基板上のコントロー
ラ（複数）をして、適切な検査リレー（複数）を同時に
起動することが必要となる。しかしながら、実際上のテ
ストイネーブル信号である「プラス15ボルト・リレー」
信号がない場合には検査リレーを起動することができな
い。検査リレーの起動のための電源を与えるこの「プラ
ス15ボルト・リレー」信号は、手動スイッチ（図示せ
ず）を閉じることによって発生される。任意の一つのチ
ャネルセットにおけるすべての入力／出力基板上のすべ
ての検査リレーを同時に使用可能にするこの手動スイッ
チは、検査手順に対して管理制御を提供し、これにより
検査員が一度に１つのチャネルセットだけを確実に試験
することができる。

信号線91を通じてコントローラ85から来る信号による検
査リレー75が付勢されると、バッファ77へのアナログ信
号の印加が絶たれ、信号線93に供給される差動アナログ
基準信号と入れ代わる。信号線93上の差動アナログ基準
信号は、信号線97を通じてテスト／バイパス及びデータ
処理ユニット27によって供給される16個のアナログ基準
信号の内から、ジャンパユニット95によって選ばれてい
る。信号線97はバス65の一部を形成し、チャネルセット
における入力／出力基板63のすべての間でひな菊の花輪
のようにチェーン化されている。16個のアナログ基準信
号線は、多数のアナログ入力信号に依存した保護機能
（複数）の試験を可能にしている。

マルチプレクサ81は、マイクロコンピュータ53に、絶縁
回路83およびアナログ−ディジタル入力装置57を自動的
に反復して、校正する能力を与える。マイクロコンピュ
ータ53は、その動作中、循環的に、信号線99上の/CAL信
号（以下、信号名の前のスラッシュはオーバーラインを
示す。）を発生し、この/CAL信号は絶縁回路83へのろ波
されたアナログ信号の印加を断とする校正基準信号と入
れ代わる。マイクロコンピュータによって発生される信
号線101上のHi/（/Lo）信号がアクティブ（活性化され
ている）のとき、好ましくはアナログ−ディジタル入力
装置57の有効範囲の上端の値を有する校正基準信号Vref
が絶縁回路83に与えられる。このHi/（/Lo）信号が不活
性である時、接地電圧が校正基準信号として使用され
る。理想的には、校正はアナログ入力信号に対する全て
の信号の調整を含む。不幸にして、サージ保護回路73は
信号の調整に大きな時定数をもたらす。時間の制約のた
めに、これは全調整回路の動的校正を禁止する。

マイクロコンピュータ53は、アナログ信号に自己校正信
号から引出された補償を与え、それらを読み取り、それ
らを校正し、それらを警報および注意限界と比較し、関
数計算を行い、部分的なトリップ信号および部分的な工
学的安全保護信号を作り、そして通信プロセッサ67の制
御のもとにアナログ出力装置に最終的に伝送するために
アナログパラメータ信号をそれらデュアル・ポート・メ
モリ61に記憶する。部分的トリップ信号および部分的工
学的安全保護起動信号を含む部分的保護装置起動信号
は、制御信号CTLの形でディジタル出力装置59によって
信号線103を通って入力／出力基板63に伝送される。そ
のCTL信号は、パルス列信号PTと一緒にデッドマン（dea
dman）回路105に与えられるが、このパルス列信号PT
は、マイクロコンピュータ53の正常な周期動作の間発生
され、そしてディジタル出力装置59によって信号線107
上に与えられる。デッドマン回路105は、計算された部
分的トリップ信号CALPTとして制御信号CTLを信号線109
上に通し、そしてPT信号を監視する。もし、パルス列信
号PTがマイクロコンピュータ53内の故障を示す時間の間
が遮断されたならば、デッドマン回路はタイムアウト
し、そしてCLT信号の状態に無関係に信号線109上に部分
的起動信号を発生する。デッドマン回路105の動作は、
信号線110上にコントローラ85によって与えられる/PSTO
P信号によって検査することができる。

計算された部分的トリップ信号CALPTは、手動の部分的
トリップ信号SET PT及び局部的手動部分トリップ信号と
共にオアゲート111において論理積がとられる。この手
動の部分的トリップ信号SET PTは、テスト／バイパス及
びデータ処理ユニット27およびコントローラ85を通して
遠隔的にオペレータによって信号線113上に発生され、
そして局部的手動部分トリップ信号は基板上のスイッチ
117によって信号線115上に発生される。信号線119上の
ゲート111の出力は、アンド・ゲート121およびコントロ
ーラ85に与えられる信号LEDPTである。コントローラ85
は、部分トリップ信号をテスト／バイパス及びデータ処
理ユニット27を通して、オペレータ用のコンソール上の
発光ダイオード（LED）に伝送し、手動または自動の部
分的起動信号が発生したことを告げる。このLEDPT信号
は、また、自動試験中適切なアナログ基準信号に応答し
て部分的起動信号が発生したことを、テスト／バイパス
及びデータ処理ユニット27に示す。この信号は、実時間
ディジタル応答バス89を通じてテスト／バイパス及びデ
ータ処理ユニット27へ伝送されるので、テスト／バイパ
ス及びデータ処理ユニットはマイクロコンピュータが検
査シーケンスの一部分として部分的起動信号を発生する
に要した時間を評価することができる。

前述したように、部分的起動信号（LEDPT）は試験中バ
イパスされる。このため、もし対応の部分的起動信号が
例えば欠陥センサによって別のチャネルセットにすでに
発生されているならば、原子炉はトリップされない。即
ち関連の工学的安全設備が２アウト・オブ４の多数決論
理回路に基づいて起動されない。同様に前述したことで
はあるが、部分的起動信号は、そのチャネルセット内の
バイパスに対してオペレータが同意を与えかつその特定
の部分的起動信号が試験のために選択された場合のみバ
イパスされ得る。オペレータの同意は「＋15ボルト・リ
レー」信号を動作状態にすることによって為され、この
「プラス15ボルト・リレー」信号は、光カプラ／レベル
シフタ123を通って、信号線125上に/BYPASS ENABLE信号
を発生するが、この/BYPASS ENABLE信号は「＋15ボルト
・リレー」信号から電気的に絶縁されかつその信号に関
して変換された保障グレードである。バイパスされるべ
き特別の部分的起動信号は、全二重直列伝送バス（通信
リンク）87上をテスト／バイパス及び処理ユニット27に
よって送られた信号に応答して、コントローラ85によっ
て信号線127上に発生されるSET BYP信号のローレベルに
よって識別される。/BYPASS ENABLEおよび/SET BYP信号
は、ローアクティブのAND・ゲート129の入力に与えら
れ、信号線131上に/BYPASS信号を発生し、この/BYPASS
信号はAND・ゲート121に第２の入力として与えられると
共に、検証のためにコントローラ85へフィードバックさ
れる。/BYPASS ENABLEおよび/SET BYP信号の双方がロー
レベルでない限り、AND・ゲート129の出力は高くAND・
ゲート121を作動させ、それにより部分的起動信号がパ
ワースイッチ133に通される。パワースイッチ133は、部
分的起動信号に応答して、118ボルトの交換電流と出力
信号線23との間の回路を閉じるかまたは開くかのいずれ
かを行うように配置されている。部分トリップ信号に対
して、パワースイッチ133は１つの部分トリップ信号も
ない場合に信号線23に連続的に電源を供給し、部分トリ
ップ信号があるときには電源を遮断するように構成され
ており、それによりフェールセーフの運転モードが可能
になっている。応答速度がそれほど臨界的でない場合の
格納容器内スプレーのような幾つかの工学的安全保護設
備の場合には、パワースイッチは部分的起動信号が存在
する場合のみ出力信号線23を起動するように配置されて
いる。

各入力／出力基板63上には、真上に説明したような２つ
のディジタル出力回路があり、その各々の一つは部分保
護装置起動信号を発生する。工学的安全保護設備のある
ものにおいては、１つの安全保護機能が複数の部分的起
動信号を発生することがある。このような場合におい
て、関連の部分的起動信号のすべてが、その機能が試験
中であったときにはバイパスされるであろう。

この発明の重要な考慮点は処理ループ間で独立性を維持
することである。その別々のセンサ群内のチャネルセッ
ト間には完全な分離があり、信号処理および絶縁出力は
４つのチャネルセットの各々ごとに与えられる。例示の
実施例の各チャネルセット内には12個の独立したマイク
ロコンピュータ53がある。１つの方法は各保護装置起動
作用ごとに１つの分離されたマイクロコンピュータを設
けることであるけれども、これは不経済でありかつ不必
要である。発生されるべきあまりにも多くの起動信号、
代表的には４つのループのPWRプラントに対しては約100
の起動信号があり、行われるべき計算は全く単純であ
る。さらにディジタル・コンピュータが動作するその性
質は、マイクロコンピュータ内でシーケンシャルな態様
で行われる演算の間に分離を提供する。この事は、一つ
のチャネルセット内に保護装置起動信号のすべてを発生
するために唯１つのディジタル・コンピュータを設ける
ことが理想的な解決方法であろうと言うことを意味する
かもしれないが、この方法はディジタル・コンピュータ
内の唯１つの故障が全チャネルセットを無用にするかも
知れないという理由で望ましくない。この発明の原理は
各チャネルセット内の保護作用を幾つかのマイクロコン
ピュータに分散することであり、その幾つかのマイクロ
コンピュータの各々は、１つのマイクロコンピュータの
機能喪失が全チャネルセットを危うくしないように幾つ
かの保護装置起動信号を発生する。付加的にこの方法
は、唯１つの故障の影響を軽減する態様で１つのチャネ
ルセット内のマイクロコンピュータ間で保護作用を割付
けることである。多くの保護ループが本来的にプロセス
を通して結び付いているので、故障したループによって
検出されないままで続くであろう異常なプロセス状態
は、関連の別のループ内に現れるであろう。事実、全て
の仮定されたイベント（そのイベントに対してPWR保護
装置が設計されている）に対して、そのイベントを検出
するための一次ループと、二次ループとがあるというこ
とが決定されてきた。従って、一次ループと二次ループ
を識別し、そしてそれらをチャネルセット内の異なった
マイクロコピュータに割当てることがこの発明の基礎概
念である。表１は、４つのループPWRプラント内の保護
装置作用が１つのチャネルセット内の12個のマイクロコ
ンピュータ中に割付けられ得ると言う態様を示してい
る。かかるプラントは４つの蒸気発生器を有しており、
その全ては４つの相互接続された原子炉冷却材ループを
通して１つの共通の原子炉によって使用される。以下の
凡例は表１に使用される略字を説明する。

＊ 割当てられたマイクロコンピュータ FW 給水 RC 原子炉冷却材 RT 原子炉トリップ RWST 燃料交換給水タンク SI 安全注入 ST 蒸気 WR 広い領域 蒸気発生器の高い水レベルのための部分的原子炉トリッ
プは、蒸気発生器２、３のための図示のチャネルセット
のみで発生されると表１に認められるけれども、他のチ
ャネルセットもまたこれら蒸気発生器のための冗長トリ
ップを発生し、残りのチャネルセットは蒸気発生器１、
４のための態様の冗長部分的トリップを発生する。同様
の割付けが原子炉冷却材の広い領域の圧力に対して行わ
れる。

表１の例の内の保護作用の割当てにおいて実施されるこ
の発明の原理の説明として、原子炉冷却材の配管におけ
る破壊の一次的しるしは冷却材の圧力における低下であ
り、二次的しるしは冷却材の温度における変化であると
言うことが思い起こされよう。表１の例から分かるよう
に、加圧器圧力の部分的トリップおよび安全注入の部分
的起動信号は第１マイクロコンピュータにおいて発生さ
れ、他方、冷却材温度の部分的保護装置起動信号は第４
マイクロコンピュータによって発生される。蒸気発生器
不整合もしくはミスマッチ保護装置の、ループ１〜４に
対する部分的起動信号は、（このいずれか１つまたは仮
定されたイベントに対する緊急もしくは非常動作を開始
することもできる）は、それぞれ第６、７、10及び11マ
イクロコンピュータで発生される。表１に示されたチャ
ネルセット内で個々のマイクロコンピュータへの保護作
用の割付けは４ループ型PWR発電プラントに対してさえ
本発明の教授内において独特の解決方法ではない。

マイクロコンピュータ53の各々に対するソフトウェアは
連続のループによって続けられるシステム初期設定の形
体を取り、そして常に、幾つかの状態、すなわち一次初
期設定、パラメータ・セット、二次初期設定、ランおよ
び誤りのような状態の１つにある。これらの状態の各々
を順番に考察すると、パワーアップまたはリセットと同
時にマイクロコンピュータまたはループ・プロセッサが
一次初期設定状態に入る。原子炉部分的トリップ信号お
よび工学的安全設備の部分的起動信号は各々それらの安
全状態にセットされる。プロセッサは次に広範囲に渡る
パワーアップ診断検査を行う。検査の上首尾の完了と同
時に、もしパラメータ・セットイネーブル信号が活動的
であるならばプロセッサはパラメータ・セット状態に入
り、もしパラメータ・セットイネーブル信号が活動的で
ないならばプロセッサは二次初期設定状態に入る。一次
初期設定状態からのみ入れられることのできるパラメー
タ・セット状態は、ループ・プロセッサが通信プロセッ
サ67からの指令を受け入れるのを可能とする。それは注
意および警報限界、I/Oモジュール校正付定数、工学的
単位の変換定数および同調定数を換えるために使用され
る。アクセスは管理的制御のもとで制限され、指令はル
ープ・ケージのプロセッサがパラメータ・セット状態に
あるならば通信プロセッサからのみ受け入れられる。ル
ープ・ケージのプロセッサはまず、指令を受け入れる前
に通信プロセッサとの通信を行う。多くの指令はE²PROM
定数を換えるための要求である。ループ・ケージのプロ
セッサがパラメータ・セット状態からの出口を要求した
時、それは一次初期設定状態に戻る。

二次初期設定状態は動作のための最終の準備である。機
能的アルゴリズムおよび実時間間隔タイマが初期設定さ
れる。次にループ・ケージのプロセッサが正常の動作モ
ードであるラン状態に入る。それは以下の作用を行う連
続ループから成る： 1.入力スキャン アナログ入力、エラー補償、工学的単位の変換および限
界検査を行う。

2.機能計算 数値アルゴリズムを行いそして直ちに部分的トリップお
よび工学的安全施設を設定する。

3.通信 もし通信プロセッサとの通信が存在するならば、そして
先のトランザクションが完了しているならば、それは記
憶されたアナログパラメータのための次のデータブロッ
クを創設しそしてそれを通信プロセッサへ通す。もし通
信が存在しないならば通信を行うための試みが為され
る。これらの状況がない場合にはプロセッサは通信ルー
チン内にハングアップ（hang up）されることが許容さ
れる。

4.必須の診断（Mandatory Diagnostics）幾つかのオン
ライン診断が数値データのプロセッサ検査を含んで行わ
れる。

5.実時間間隔同期 間隔タイマが読み取られる；もしそれが満期に接近して
いなければ付加的な診断が行われる。満期がせまってい
る時、ループ・ケージのプロセッサは待機し、そして満
期が生ずるまでタイマをポーリングするであろう。連続
したループが次に再開される。

ループ・ケージのプロセッサが内部エラーを検出した時
それはエラー状態に入る。すべての部分的トリップおよ
び工学的安全保護設備起動出力は安全状態に置かれ、そ
してエラー・コードが通信プロセッサに通信される。も
し通信が存在しないならばループ・プロセッサは、通信
を創設するように連続的に試みる。ループ・ケージのプ
ロセッサはリセットされるまでエラー状態に留まる。

前述したように、通信プロセッサはループ・ケージ内の
各プロセッサと通信する。通信の目的は２つの折り返し
である。最初に正常な動作中、ループ・ケージのプロセ
ッサは保護作用に加うるにデータ処理作用を行う。全て
の入力点は工学的単位に変換され、限界と比較され、そ
して通信プロセッサに対して有用とする。通信プロトコ
ル（protocol）は、データの流れがループ・ケージのプ
ロセッサの全く外にあるので単純である。この作用はま
たシステム検査および校正の間にも使用される。ループ
・ケージのプロセッサは検査が進行中であると言うこと
を知らないので、正常な動作モードが立証される。第２
に通信設備はパラメータおよび設定点を変更するために
使用される。この通信は半二重である。すなわち、ルー
プ・ケージのプロセッサはパラメータ変更を要求する指
令を受け、それに従って応答する。

ループ・ケージのプロセッサの作用独立性を維持するた
めに注意が払われる。特にそれらは通信を持ちつつ停止
せず、そしてパラメータ変更は厳密に制御されたオフラ
イン作用である。最初の考察、すなわち待状態を避ける
こと、は容易にアドレス指定される。通信の状態は各サ
イクルごとに検査される。通信を行うために１つの試み
が為される。これが成功してもしなくてもプロセッサは
正常な動作を続ける。第２の考察、すなわちパラメータ
変更の厳密な制御、もまた通信機構によってアドレス指
定される。パラメータ変更はループ・ケージのプロセッ
サがパラメータ・セット状態にある時にのみ許される。
この状態に入るために努力が必要である。ハードウェア
化されたディジタル信号「パラメータ・セット・イネー
ブル」が起動されなければならず、そしてループ・ケー
ジがリセットされなければならない。通信プロセッサも
特定の状態におかれ半二重通信を許さなければならな
い。

テスト／バイパス及びデータ処理ユニット27は、プラン
トの職員および他のプラントの監視システムと通信する
ために焦点として働く。広い人間工学的な自動検査能力
が提供され、これはシステムおよびプラント有用性の双
方に加えられそして技術仕様によって要求されるシステ
ム動作を保つためにプラント職員によって要求される努
力を減じる。テスト／バイパス及びデータ処理ユニット
27はまたループ・サブシステム内のパラメータを設定し
かつ確認するために使用される。

テスト／バイパス及びデータ処理ユニット27は、パラメ
ータ変更を直列データ・リンクを介してループ・ケージ
の通信プロセッサ67に通信する。テスト／バイパス及び
データ処理ユニット27はまたバス65を経て個々の入力／
出力基板（I/O）63にインターフェイスする。この検査
インターフェイスは、信号線97上をテスト／バイパス及
びデータ処理ユニットによって供給される検査信号を、
上記ユニットがフィールド信号のかわりに個々のマイク
ロプロセッサのアナログ入力に印加するのを可能とす
る。検査中、論理回路へのディジタル出力は上述した態
様でバイパスされる。これは、３つの内の２つすなわち
２アウト・オブ３に、検査された作用に関する多数決論
理を自動的に変換する。しかしながら個々の保護作用だ
けがバイパスされ、そして自動検査は、作用が非常に短
い期間だけオフラインであるように非常に急速に完了す
る。検査の完了と同時に検査信号アナログ入力から外さ
れたと言うことを確認するために、それは極端な値に設
定され、そしてアナログの値は次に通信プロセッサを通
して直列のデータ・リンクを介して読み取られる。もし
極端な値がテスト／バイパス及びデータ処理ユニット27
によって読み戻されるならば、インターフェイスは外さ
れない。また、テスト／バイパス及びデータ処理ユニッ
ト27は、各マイクロコンピュータ・サブシステムに関す
る付加的な検査をも行う。テスト／バイパス及びデータ
処理ユニットは、各マイクロコンピュータのアナログ入
力として連続的に印加されるランプ信号を反復的に発生
する。各プロセッサは、割り当てられた保護作用のため
の計算を循環的に行うことに加えて、またランプ信号の
特定の値に基づいた検査トリップをも計算する。ランプ
信号が特定の値に達するに要する時間間隔は、マイクロ
コンピュータのサイクル・タイムよりも非常に長い。検
査トリップ信号は実時間ディジタル応答バス89上をテス
ト／バイパス及びデータ処理ユニット27に伝送され、こ
れにより上記ユニットは検査の部分として、マイクロコ
ンピュータが検査トリップ信号を発生するに要する時間
を評価することができる。ランプ信号が特定の値に達し
たあとの選ばれた間隔内で、もし検査トリップ信号が発
生されないならば、警報信号がテスト／バイパス及びデ
ータ処理ユニットによって発生される。

【図面の簡単な説明】

第１図は、この発明を含む加圧水型原子力発電プラント
の保護装置を示すブロック図、第２図は、第１図に示す
保護装置の１つのチャネルセットを示すブロック図、第
３図は、第２図に示されたチャネルセットの一部分を形
成するループ・ケージの詳細を示すブロック図、第４図
は、第３図に示すループ・ケージ内の入力／出力基板の
１つを示す回路図である。 図において、１、３、５、７はセンサ群、９、11、13、
15は信号プロセッサ、17及び19は論理回路、21及び45は
ループ・ケージ、27はテスト／バイパス及びデータ処理
ユニット、33は監視装置、39は原子炉制御装置、41は事
故後監視装置、53はマイクロコンピュータ、63は入力／
出力基板、85はコントローラである。

フロントページの続き (72)発明者 ロバート・エドワード・ヘイガー アメリカ合衆国、ペンシルベニア州、ピツ ツバーグ、ジエフアーソン・ロード 404 (72)発明者 ジヨージ・ミルトン・チエインバーズ アメリカ合衆国、ペンシルベニア州、ノー ス・ハンチンドン、ロバート・ドライブ 14427 (72)発明者 エリツク・アントーン・デラバ アメリカ合衆国、ペンシルベニア州、モン ロービル、オツクスフオード・ドライブ 100 アパートメント 514 (72)発明者 スーザン・アン・ウイルバー アメリカ合衆国、ペンシルベニア州、ピツ ツバーグ、ブラウン・アヴエニユー611、 ナンバー302 (72)発明者 トーマス・ジヨセフ・ケニー アメリカ合衆国、ペンシルベニア州、ピツ ツバーグ、ヘイヴアン・ストリート 3721 (72)発明者 ジエイムズ・フランクリン・サザーランド アメリカ合衆国、ペンシルベニア州、ピツ ツバーグ、ハヴアナ・ドライブ 4857

Claims (1)

【特許請求の範囲】
1. 【請求項１】保護装置用の複合プロセスにおける選択パ
   ラメータを監視するセンサ群によって発生された複数の
   センサ信号をアナログディジタル入力装置を介して入力
   処理し、 前記センサ群に関連し、所定の条件を示す前記センサ信
   号の値の所定の組合せに対応して、前記保護装置のため
   のディジタルの保護装置起動信号を発生する複数のセン
   サ信号よりも数で少ない複数の独立したマイクロコンピ
   ュータを備え、 前記マイクロコンピュータの出力ラインは絶縁装置を介
   して前記保護装置に接続され、 少なくともいくつかのマイクロコンピュータはディジタ
   ルの保護装置起動信号を１つ以上発生する複合プロセス
   のための分散形マイクロプロセッサ方式のセンサ信号処
   理装置において、 前記複合プロセスの少なくとも一つの所定プロセス条件
   を満足させるべく、少なくとも二つの独立した前記保護
   装置起動信号が、前記複数の独立したマイクロコンピュ
   ータの異なるものによってそれぞれ出力され、 さらに、前記独立のマイクロコンピュータからシーケン
   シャルに前記複合プロセスの制御装置に信号を送るた
   め、制御プロセッサを有するデータ線を備えたことを特
   徴とする複合プロセスのための分散形マイクロプロセッ
   サ方式のセンサ信号処理装置。