JPH10506476A - 原子炉保護系 - Google Patents

Abstract

(57)【要約】 原子炉保護系は４つの部門を有し、各スクラム・パラメータに対する４つの冗長センサが４つの独立なマイクロプロセッサをベースとした電子装置に入力を供給する。各電子装置は、それ自身のセンサからスクラム・パラメータ・データを取得し、情報をディジタル化した後、光ファイバを介して他の３つのＲＰＳ電子装置にセンサ読取り値を送信する。系のアベイラビリティを増大し且つ誤信号スクラムを低減するために、原子炉保護系は原子炉スクラムの必要性に対して２レベルの票決を用いる。電子装置は、ソフトウェア分割データ処理を遂行し、全ての４つのセンサからの情報に基づき予備を入れて２／３票決を行い、部門スクラム信号をハードウェア論理パネルに送る。ハードウェア論理パネルは、原子炉スクラムを開始すべきか否かに対して２／４部門票決を遂行する。各電子装置は、全てのセンサからのデータに基づいて部門スクラム判定を行う。各部門は他の部門とは独立に遂行する（非同期動作）。部門相互間の全ての通信は非同期である。他の電子装置の１つからのセンサ読取り値が不完全であるか又は欠けている場合には、２／３票決の際に電子装置はそれ自身の予備のセンサ読取り値に置き換える。センサの読取り値の相互通信により、４つの理論的に「同じ」値を比較することができる。出力リレー論理を介したセンサ入力の自動化された自己試験および診断監視により、手動の監視試験は事実上不要になる。

Description

【発明の詳細な説明】 原子炉保護系 エネルギー省により裁定された契約番号ＤＥ−ＡＣ０３−８９ＳＦ１７４４５ により、米国政府は本発明に対する権利を有する。 発明の分野 本発明は一般に、系の過渡状態または機能不全の際に系を停止し、系を安全な 状態に維持するための保護系に関するものである。特に本発明は、主として過熱 によって生じる核燃料炉心の破損または公衆を危険に陥れる放射線の放出を引き 起こすような系の過渡現象または機能不全の際に原子炉を停止して原子炉を安全 な状態に維持するための保護系に関するものである。 発明の背景 需要が変化したとき安全な運転状態を維持するように、従来の原子炉制御系は 手動および自動の制御器をそなえている。いくつかの制御系が、与えられた需要 信号に応動して原子炉の運転を制御する。炉心の制御のため、コンピュータプロ グラムを使用して炉心の熱特性および流体圧特性を解析する。解析は、解析的お よび経験的な過渡事象および事故事象から、そして原子炉物理および熱流体圧原 理から選択された核データに基づく。異常な過渡事象の際には、原子炉運転員は 通常、状況の診断を行い、適用可能な訓練、経験および判断に基づいて是正動作 を行うことができる。手動の是正動作が充分であるか又は充分に高速であるか否 かは、事象により、そして運転員の知識および訓練によって左右される。事象が 重大な場合には（すなわち、原子炉の安全限界のいずれかを超えるような場合に は）、原子炉トリップ（原子炉停止、スクラムまたは全制御棒挿入とも呼ばれる ）が必要になることがある。過渡的な事象には急速に生じるもの、すなわち運転 員の能力よりも速く生じるものがあり、このような事象では、原子炉トリップが 自動的に行われる。 従来の原子炉保護系には、多チャネル電気警報作動系が含まれている。多チャ ネル電気警報作動系は、原子炉の運転を監視し、異常な事象の検知時に危険また は危険可能性のある状態を防止するための動作を開始する。従来の保護系は次の ３つの機能、すなわち（１）ある特定の監視しているパラメータが限界を超えた ときに原子炉を停止する原子炉停止、（２）原子炉容器と格納障壁の内部に入り 込む全ての接続とを隔離する原子炉系隔離、および（３）冷却系および残留熱除 去系のような従来の緊急系を作動させる工学的安全施設作動を行う。 原子炉保護系の必須の要件は、必要なときに故障しないということである。し たがって、運転員が原子炉の運転の異常な過渡現象の原因を敏速かつ正確に識別 して、敏速に是正動作または軽減動作を行わなければ、従来の原子炉保護系は自 動的に原子炉トリップを行う。しかし、原子炉トリップが望ましくないか又は不 要であるときには原子炉トリップが避けられることも必須である。すなわち、計 測に誤りがあるとき、機能不全が充分小さくて原子炉トリップが不要であるとき 、または１つの停止機能が故障したときには、次の停止機能を遂行すると危険で あれば、原子炉保護系は次の停止機能を遂行してはならない。 発明の概要 本発明は４つの部門（ｄｉｖｉｓｉｏｎ）を有する原子炉保護系（ＲＰＳ）で あり、各スクラム・パラメータに対して４つの冗長センサが４つの独立のマイク ロプロセッサをベースとした電子装置に入力を供給する、各電子装置は、それ自 身のセンサからスクラム・パラメータ・データを取得し、情報をディジタル化し 、次いで光ファイバを介して他の３つのＲＰＳ電子装置にセンサ読み取り値を送 信する。系のアベイラビリティを増大し且つ誤信号スクラムを低減するために、 ＲＰＳは原子炉スクラムの必要性に対して２レベルの票決（ｖｏｔｉｎｇ）を用 いる。電子装置は、ソフトウェア部門データ処理を遂行し、全ての４つのセンサ からの情報に基づいて予備を入れて２／３票決を行い、部門スクラム信号をハー ドウェア論理パネルに送る。ハードウェア論理パネルは、原子炉スクラムを開始 すべきか否かに対して２／４（すなわち４分の２）部門票決を遂行する。各電子 装置は、全てのセンサからのデータに基づいて部門スクラム判定を行う。各ＲＰ Ｓ部門は他のＲＰＳ部門とは独立に遂行する（非同期動作）。部門相互間の全て の通信は非同期である。 原子炉保護系の論理は、故障許容、信頼度向上、アベイラビリティ増大および 分離の改善を行うように設計される。この保護系の特徴は、１つのセンサが故障 しても、保護のレベルを下げることがなく、また誤った原子炉トリップの可能性 を増大することがないという能力を含む。本発明に従った設計では、手動のバイ パスが不要となり、運転員による操作が事実上不要となり、カスタム設計部品を 用いずに故障許容が得られる。 ＲＰＳは、そのほとんど全ての構成要素の多重故障に耐えるように設計される 。その論理は、下記のような主要な性能増強特性を有する。 第１に、センサ読取り値の交換および各部門内での多重センサ票決機能により 、スクラムの高い信頼度が得られる。これは、全てのセンサおよびそれらのデー タが良好であって故障センサの限界の外側にないと仮定して、原子炉にスクラム 条件が存在し、これをいずれか３つのセンサでピックアップする場合を考えるこ とにより、理解することができる。この場合、ＲＰＳは４つの全ての部門でスク ラム信号を発生するので、非常に信頼度の高い原子炉スクラム構成が得られる。 従来のほとんどの保護系は３つの部門でスクラム信号を発生するだけである。ス クラムを指示する良好なセンサとまさに軽度に故障した故障センサが含まれるス クラムシナリオに対してもスクラム信頼度は高い。このようなシナリオの場合、 ＲＰＳは良好なセンサに基づいてスクラム信号を発生し、軽度に故障したセンサ により禁止されないからである。 第２に、各部門内での多重センサ票決により、センサの機能不全によるスプリ アス・スクラムに対する識別が行われる。したがって、１つのスクラム変数のセ ンサが１つの部門でスクラムを間違って指示し、第２の変数のセンサが他の１つ の部門でスクラムを間違って指示した場合、ＲＰＳは間違った読取り値を票決で 除外して、スクラム信号を発生しない。 第３に、故障したセンサに対する自動検出および識別により、ＲＰＳはこのよ うな故障が生じたときに既知の状態に自動的に入ることができる。センサの故障 が高度であるか軽度であるか否か、あるいは運転員が正しい手動バイパス操作を 行ったか否かについての不確かさは無い。 第４に、センサの読取り値の相互通信により、４つの理論的に「同じ」値を比 較することができる。これにより、ドリフトまたは機能不全のようなセンサ誤差 を識別することができる。誤ったセンサ・データに対して、診断サービス要求が 発せられる。 第５に、出力リレー論理を介したセンサ入力を自動自己試験および診断監視す ることにより、手動の監視試験は事実上不要になる。これにより、各部門が全て の部門を相互チェックし且つハードウェア論理の故障を検知する能力が得られる 。 図面の簡単な説明 図１は、本発明による原子炉保護系のブロック図である。 図２は、液体金属原子炉に適用した場合の本発明の好適実施例による原子炉保 護系と運転員インタフェースを示す概略ブロック図である。 図３は、本発明の好適実施例による原子炉保護系の一部門に対する論理のブロ ック図である。 図４は、本発明の好適実施例による原子炉保護系のセンサ位置を示す概略図で ある。 図５は、本発明の好適実施例による代表的な２アウトオブ４電流遮断スイッチ ング・ハードウェア構成内のスイッチ接点の物理的配置を示す回路図である。 図６は、本発明の好適実施例による１つの部門に対するＲＰＳトリップ論理の フローチャートである。 図７Ａは、電流遮断ハードウェア論理に対するスイッチ接点の電気等価回路を 示す回路図である。 図７Ｂは、図７Ａに示されたハードウェア論理の診断試験のためのＣＰＵへの センサ出力データの入力を示すブロック図である。 図７Ｃは、図７Ａに示されたハードウェア論理に組み込まれる電流センサの回 路図である。 図８Ａは、電圧印加ハードウェア論理に対するスイッチ接点の電気等価回路を 示す回路図である。 図８Ｂは、図８Ａに示されたハードウェア論理に組み込まれる電圧センサの回 路図である。 図９は、本発明によるＲＰＳ計測電子装置に対する代表的な電力分布を示す単 線接続図である。 図１０は、本発明による原子炉保護系の構成要素論理のブロック図である。 図１１は、本発明の原子炉保護系とともに使用される熱式停止系のブロック図 である。 図１２は、液体金属原子炉に適用したときの本発明の好適実施例による原子炉 保護系の入力および出力を示すブロック図である。 図１３は、種々のパラメータがそれぞれの閾値を超えたとき原子炉保護系の応 答を示すフローチャートである。 好適実施例の詳細な説明 本発明の原子炉保護系を、典型的な原子炉（すなわち、液体金属冷却増殖炉） に適用した場合について以下詳細に説明する。しかし、その概念は増殖炉に限定 されず、軽水炉、ガス冷却炉等にも適用できる。本発明はまた、重要なパラメー タを監視して安全動作を開始する任意のプロセスまたは系とともに用いることが できる高信頼性で故障許容の安全系も提供する。 図１に示すように、本発明による原子炉保護系（ＲＰＳ）は４つの部門で構成 される系であり、各スクラム（安全停止または「トリップ」とも呼ばれる）パラ メータに対する４つの冗長センサ２が４つの独立なマイクロプロセッサをベース とした電子装置４に入力を供給する。電子装置は４つの全てのセンサからの情報 に基づいてソフトウェア部門データ処理を行い、部門スクラム信号をハードウエ ア論理６へ送る。系のアベイラビリティを増大し且つ誤信号スクラムを低減する ために、ＲＰＳは原子炉スクラムの必要性について２つのレベルの票決を用いる 。すなわち、検知されたデータからスクラムの必要性について予備付きソフトウ ェア２／３票決を行い、その後でスクラム指令の実行について２／４部門ハード ウェア論理票決を行う。 各ＲＰＳ部門はそれ自身のセンサからスクラム・パラメータ・データを取得し 、その情報をディジタル化し、次いでセンサ読取り値を他の３つのＲＰＳ部門に 送る。各電子装置４は専用の光ファイバ８を介して他の３つの電子装置に結合さ れているので、各電子装置は全てのセンサからのデータを見て、それらのデータ に基づいて部門スクラム判定を行う。各部門はそれ自身のデータを「予備」とし て保持しながら、他の３つの部門からのデータを評価する（たとえば、部門Ａは 部 門Ｂ、ＣおよびＤからのデータを処理する）。たとえば、部門Ａは部門Ｂ、Ｃお よびＤからのデータを評価してスクラムについて２／３票決を行い、部門Ｂは部 門Ａ、ＣおよびＤのデータを評価してスクラムについて２／３票決を行い、部門 Ｃは部門Ａ、ＢおよびＤのデータを評価してスクラムについて２／３票決を行い 、部門Ｄは部門Ａ、ＢおよびＣのデータを評価してスクラムについて２／３票決 を行う。 データが有効でないか又は他のいずれかの部門から来ていない場合には、処理 している部門は自動的にそれ自身のセンサ読取り値に置き換える。各部門により スクラムの必要性について２／３のソフトウェア票決が行われる。スクラムが要 求された場合には、各部門はそれ自身の２／４ハードウェア論理リレーにスクラ ム指令を出力する。データ交換のための部門相互間の全ての相互通信が万一失敗 した場合には、各部門は独立にそれ自身のセンサ読取り値に基づいてスクラムの 必要性の評価を行う。ハードウェア論理は、スクラム・シーケンスが開始される 前に、２／４の部門（４部門の内の２部門）がスクラムを要求し続けていること を必要とする。この失敗モード（相互通信無し）は、ＲＰＳが従来の四重冗長保 護系と同様に動作しているということを意味する。 他の部門からのデータが有効で無かったり欠けている場合に部門自身のセンサ データが自動的に置き換えられるということは、部門の試験、校正、点検整備、 保守、修理または交換のためにバイパスが必要とされることはないということを 意味する。 １つの部門が「オフライン」であるとき、その部門により「フェイルセイフ」 スクラム指令が２／４ハードウェア論理へ発せられる（従来の保護系の「半スク ラム」状態）。しかし、本発明のＲＰＳでは、スクラム指令をハードウェア論理 へ送出する前に、各々の動作している部門のソフトウェア論理によって２／３の センサ読取り値がスクラムの必要性を示していることが要求されることにより、 「半スクラム」が不注意によるスクラム操作から防護される。 スクラムのためにＲＰＳが使用する原子炉パラメータは、中性子束、炉心の入 口温度と出口温度、（炉心入口のナトリウムおよびカバーガス圧力センサから計 算された）一次流量、および原子炉内のナトリウム・レベルである。更にＲＰＳ スクラム・パラメータには、二次ナトリウム（中間ループ）圧力、および格納容 器の放射線レベルと圧力が含まれる。（過渡的な過出力、一次流の喪失、ＩＨＸ 破裂、容器漏れ、蒸気発生器のナトリウム−水反応からの二次流の過圧力のよう な）スクラムを要求する全ての設計基準事象がこれらのパラメータの偏りにより 検知される。 中性子束は、原子炉の底部Ａ（図４参照）で導管内に配置されたモニタによっ て測定される。炉心の入口温度は、各ポンプＣの吐き出しプレナムの中に配置さ れた熱電対によって測定される。炉心の出口温度は、単一集合体Ｄの出口温度で はなく混合された平均出口温度を得るように炉心より約５フィート上に配置され た熱電対により測定される。一次流量は、各ポンプＣの吐き出しプレナム内およ びカバーガス領域Ｅ内に配置された圧力センサによる測定値から導き出される。 一次ナトリウムレベルは、原子炉Ｇの内側の従来のレベル・センサによって測定 される。二次ナトリウム圧力は、原子炉の外側であるが、ＩＨＴＳ弁Ｆに近接し た二次パイプ内の圧力センサによって測定される。点検整備と交換を容易にする ため、全てのセンサは計器指頭または導管の中に配置される。各ＲＰＳトリップ ・パラメータに対して、四重冗長度が維持される。 各ＲＰＳセンサの大体の位置が図４に示されている。これらのセンサは次の通 りである。すなわち、（Ａ）中性子束、（Ｂ）（原子炉容器１０１と格納容器１ ０５との間の空間への）ナトリウムの漏れ、（Ｃ）炉心入口温度、ＥＭポンプ圧 力、ＴＳＳポンプ圧力、（Ｄ）炉心出口温度、（Ｅ）カバーガス圧力、（Ｆ）Ｉ ＨＴＳ圧力、（Ｇ）ナトリウム・レベル（レベル・プローブ１３４）、（Ｈ）キ ャリッジ底部スイッチ、（Ｉ）制御棒停止位置、（Ｊ）キャリッジ位置、（Ｋ） 上側格納容器放射線、（Ｌ）ＣＶＩＳ流出液放射線、（Ｍ）ＲＶＡＣＳ出口温度 、（Ｎ）ＲＶＡＣＳ質量流、（Ｏ）ＲＶＡＣＳ流出液放射線、（Ｐ）周囲空気温 度、および（Ｑ）格納容器圧力である。容器内センサおよびアクチュエータに対 する全ての貫通部は原子炉頭部に設けられる。原子炉容器の壁には貫通部は無い 。センサおよびアクチュエータのケーブルは、ＲＰＳボールト（ｖａｕｌｔ）内 に配置されたＲＰＳ電子装置へドーム状格納容器内の貫通部を介して出てくる。 原子炉または格納容器には、ＲＰＳ電子装置は無い。 パラメータの直接測定に基づくスクラム作用に加えて、ＲＰＳはまたこれらの データをスクラム作用のための基礎としての計算（比率、変化速度、事象計数、 相関、事象間の時間、レベル、パーセント等）にも使用する。 ＲＰＳは人間の介在の必要性を最少限にするために次の３つの異なる自動運転 モード、すなわち（１）原子炉を停止して運転してない「停止／保守」モード、 （２）正規の原子炉運転を行う「始動／運転」モード、および（３）原子炉の緊 急停止を行う「スクラム」を有する。 人間の誤りを最少限にして安全性を増大するために、各運転モードでは、ＲＰ Ｓへの運転員入力が充分に規定され、限定されている。停止／保守モードでは、 原子炉の正規保守、燃料交換、試験および校正の活動を行うことができる。ＲＰ Ｓは運転員の要求に応動して、必要な保守活動が行えるようにする。ＲＰＳは、 原子炉の出力運転に至り得る活動は許さない。原子炉の出力運転が望ましいとき は、運転員が始動／運転モードへのモード変更を要求しなければならない。 始動／運転モードへの変更のための運転員が入力した要求に応動して、ＲＰＳ はまずそれ自身、全ての監視されるパラメータおよびそれ自身の動作が公称のも のであることを満たす。ＲＰＳ始動チェックの一部には、（設定値を含む）全て のＲＰＳソフトウェアと、制御室の原子炉運転員によって独立に保守される第５ のソフトウェアとの比較が含まれる。この比較はプラント制御系（ＰＣＳ）によ って行われ、ＲＰＳは正の応答を待った後、モード変更を続行する。１ビットの 誤りでもあれば、不一致が解消されるまで、ＲＰＳは始動／運転モードへ遷移し ない。次に、ＲＰＳは原子炉の始動と運転を容易にする。始動／運転モードでは 、ＲＰＳだけが２つの運転員入力要求、すなわちスクラム要求または停止／保守 モードへの戻り要求に応動する。スクラム要求により、ＲＰＳはそれの現在のデ ータ処理等を中断し、ただちに原子炉のスクラム・シーケンスを開始する。停止 ／保守モードへの戻り要求が実行されるのは、停止や燃料交換や保守などのため に制御素子がそれらの全挿入位置（原子炉最小出力）に置かれた場合だけである 。制御素子を全挿入できない場合には、保護系がスクラム・シーケンスを開始し て原子炉を停止させるように、スクラム要求を発しなければならない。 ＲＰＳが自動的にスクラム・シーケンスを実行する場合、または運転員の入力 要求に応動して、ＲＰＳはスクラム・モードに入る。このモードでは、原子炉が 完全に停止させられ、たぶん冷却する。スクラム・モードからの唯一の回復は、 停止／保守モードへ戻すための手動入力要求である。これは「安全系を正規状態 に戻すための運転員の故意の操作」の必要条件を満たし、スクラムからの回復を 開始する。 停止／保守モードから始動／運転モードへの、そして始動／運転モードから停 止／保守モードへの正規の遷移が行われる。原子炉トリップの際には、ＲＰＳは 自動的にスクラム・モードに入る。スクラム・モードでは、認識される唯一の要 求は、スクラム後解析、試験、修理（必要な場合）、燃料交換等のための停止／ 保守モードへ変更するための手動入力の要求である。ＲＰＳが停止／保守モード から始動／運転モードへ変更するための運転員入力要求を尊重して、始動のため 制御棒へのＰＣＳアクセスを許す前に、ＲＰＳおよび全てのセンサ入力が正常で あって正しく動作していなければならない。ＲＰＳはＰＣＳと連動する独立の系 である。設計によれば、ＰＣＳが動作できる前に、ＲＰＳは動作状態になってい なければならない。始動／運転モードから停止／保守モードへの正規の変更の要 求が尊重されるのは、全ての制御棒キャリッジが「底につけられ」、原子炉が停 止出力になっている場合だけである。始動／運転モードからスクラム・モードへ の遷移は、手動でスクラムを開始することによりいつでも行うことができる。 手動スクラムは数個の位置のどれから始動してもよい。図２を参照して説明す ると、手動スクラムは、全ての電子装置をバイパスする２つの専用の安全系スク ラム・ボタンを同時に押すことにより始動することができる。電子式スクラムは 手動指令に対するバックアツプ作用として自動的に起動される。スクラム・ボタ ンは、主制御室（ＭＣＲ）７４の中の運転員卓または遠隔停止設備（ＲＳＦ）７ ８の中の卓７６、およびＲＰＳの各部門に対する制御盤に配置されている。代案 として、ＲＰＳと通信しているコンピュータ・キーボードで適当な指令をタイピ ングしてＲＰＳにスクラム・シーケンスを開始するように要求することにより、 手動スクラムを始動してもよい。キーボードは、ＭＣＲまたはＲＳＦの中の運転 員卓、ＲＰＳ計測ボールト８２の中のＲＰＳの各部門に対する制御盤、またはＰ ＣＳ計測ボールト８４の中のＰＣＳの各部門に対する制御盤であってもよい。こ れらのボールトは地震隔離された原子炉ベース・マット上に支持されている。 本発明のＲＰＳは同じ構成の４つの部門に分割される。各部門は、原子炉の上 側格納容器領域１１４に隣接したそれ自身の地震絶縁された計測ボールト８２の 中に配置される（図４参照）。各部門には、各測定パラメータに対してそれ自身 のセンサが設けられる。したがって、監視される各パラメータに対して同じ構成 の４つのセンサがある。図３に示すように１つの部門は、センサ２および基準電 圧２０１に接続されたマルチプレクサ２００を有する。選択された電圧が制御利 得増幅器２０２によって増幅され、次いで帯域幅調整可能フィルタ２０４によっ てフィルタリングされる。フィルタリングされた信号は、サンプル・ホールド回 路２０６によってサンプリングされ、次いでアナログ・ディジタル変換器２１０ によってディジタル化される。センサ検証回路２０８により、センサ検証フラグ がセットされる。ディジタル化されたパラメータ値およびそれに対応するセンサ 検証フラグがバッファメモリ２１２に記憶される。ディジタル信号はこの点２１ ４で入力される。ディジタル入力には、ハードウェア論理診断、キャリッジ底つ きスイッチ、弁位置検知スイッチ、回転プラグ座着およびロック連動スイッチ、 「カード・アウトオブ・ファイル（ｃａｒｄ ｏｕｔ ｏｆ ｆｉｌｅ）」セン サ等が含まれる。次に、バッファ・メモリ２１８のデータがデータ交換出力２２ ０を介して、他の部門、データ処理送信系（ＤＨＴＳ）およびＲＳＦへ伝えられ る。逆に、他の部門、ＤＨＴＳおよびＲＳＦからのデータは、交換データ入力２ ２２を介して受信され、バッファ・メモリ２２４に記憶される。次に、中央処理 （ソフトウェア論理）装置が、データ値およびフラグを評価し（ステップ２２６ ）、必要な場合にはデータを処理し（ステップ２２８）、限定された履歴データ ・ファイル２３０に新しいデータを入力し、パラメータ値をＲＯＭ（読出し専用 記憶装置）２３４から検索された設定値に対して試験し、予備付き２／３票決を 行い（ステップ２３６）、次に必要な場合にはスクラム指令を２／４ハードウェ ア論理６に出力する（ステップ２３８）。２／４ハードウェア論理６は、他のＲ ＰＳ部門からのトリップ、およびＭＣＲ、ＲＳＦまたはＲＰＳからの手動スクラ ムも受信する。更に、票決結果、スクラム指令およびパラメータ値は表示プロセ ッサ２４０に出力される。表示プロセッサ２４０はパラメータ値を工学単位に変 換さ れる。次に、この情報は局部表示装置２４４に表示される。表示プロセッサは、 光ファイバ２３９を介した他のＲＰＳ部門からのデータおよびキーボード２４２ を介した運転員が入力したデータも受信する。少なくとも２つのトリップに応動 して、２／４ハードウェア論理は状態を変え、安全アクチュエータ３６をターン オンすべきかターンオフすべきかに応じて、安全アクチュエータとそれの電源回 路３８との間の接続を開放または遮断する。図５に示す例では、ハードウェア論 理６は二重の遮断不可能な電池後備電源３８から液体金属原子炉の制御棒ラッチ コイル１０２への電力供給を制御する。 ＲＰＳの４つの部門は、単一の故障許容系として並列に（部門間データ交換を 行って）非同期で運転される。４つの部門は、部門間の光ファイバケーブルを介 してそれらのセンサ・データを共有する。２レベルの票決（ソフトウェアとその 後のハードウェア）は、スプリアス・スクラムを低減し、バイパスの必要性を無 くし、必要なときに安全停止シーケンスを開始する信頼性を高く維持し、そして スプリアス・スクラムを防止することにより被保護系のアベイラビリティを高く するために用いられる。各部門は他の３つの部門からのデータについて２アウト オブ３票決（２／３票決）を行うことにより（各部門はそれ自身のセンサデータ を予備として保持している）、スクラムを行うべきか判定する。各部門の出力は 、２アウトオブ４のハードワイヤード（ｈａｒｄ−ｗｉｒｅｄ）論理を行うよう に構成されているアクチュエータ電力回路の中のトリップ遮断器に与えられる。 このハードワイヤード論理は各ＲＰＳ作動のためのフェイルセイフ論理である。 ソフトウェアの予備付き２アウトオブ３票決は、充分必要条件を満たしたソフト ウェアによって達成される。安全停止のための２アウトオブ４の部門間票決は、 光学的に隔離されたリレー、接触器または遮断器を使用するハードワイヤード論 理により行われる。請求の範囲で使用されているように、「遮断器」という用語 は、リレーや接触器や遮断器を包含する。 各部門は、他の３つの部門から得られたデータを処理する際に、それ自身のセ ンサ・データを予備として保持している。いずれかのデータが欠けているか、或 いは検証できないか又は有効とされなかった場合には、その部門は自動的にそれ 自身のセンサの読取り値に置き換える。ある部門自身のセンサ・データが不完全 である場合にも、その部門は残りの２つの良好な通信されたセンサ読取り値に基 づいてスクラムの必要性を評価する。部門は４つのセンサの読取り値を評価する ことにより「同一性」を確認した後、情報を処理し続け、トリップの必要性につ いて２アウトオブ３の票決を行う。トリップが要求された場合には、部門は２ア ウトオブ４のハードワイヤード論理回路網の中のそれのトリップ遮断器を作動す る。この論理では、１つの部門は失敗またはサービスから除くことができ、トリ ップを生じたりバイパスを必要とすることなく、いつでも戻すことができる。１ つの部門が動作していなくてもスクラム指令を発する前に、安全パラメータに対 する２つのセンサがスクラムの必要性を指示することがまだ必要とされる。オフ ラインの部門は自動的にオンラインに戻され、特別の手順やソフトウェアは必要 としない。 部門間通信を使用することによりデータを転送し且つ各部門においてスクラム についてソフトウェアで２／３票決を行えるようにすることにより、ＲＰＳ設計 は従来のＲＰＳ設計に比べてアベイラビリティが著しく改善される。従来の設計 の場合、各部門はそれ自身のセンサだけを読み取って、１／１論理に基づいて部 門スクラムを与える。したがって、１つの部門がダウンして、ハードウェア論理 が半スクラム状態にある場合、従来の保護系は他のセンサのいずれか１つがスク ラムを指示したとき又は故障したときにスクラムを生じる（誤ってスクラムを生 じ易い）。これに対し、本発明のＲＰＳは、トリップ指令を発する前に、残りの 良好なセンサの内の２つのセンサがスクラムを指示することを要求する。 誤ったスクラムに対する耐性が改善されたことにより、周期的なエンドツーエ ンドの自己試験と校正、サービス、または交換のためにＲＰＳの１つの部門が自 動的にオフラインとすることができる。手動のスイッチングやバイパスは必要で ない。その理由は、１つの部門がオフラインとされても、他の部門はそれらの２ ／３センサ・スクラム・ソフトウェア論理を維持するので、スクラムの実行には まだ２つのセンサ読取り値がスクラム設定値を超えることが必要とされる。ある 部門はいつでも点検整備のためオフラインとすることができ、しかもバイパスの 必要は無く、誤ったスクラムの恐れは無く、提供される保護の低下は無く、その 部門をオンラインに戻すための特別な配慮は必要としない。手動バイパスが無く なったことにより、運転員の不注意による誤まったスクラムの発生は少なくなる 。与えられたパラメータに対して故障したセンサが２つ存在する場合には、ＲＰ Ｓはそのソフトウェアを１／２論理に変形し、残りの２つの良好なセンサのいず れかがトリップの必要性を示している場合にはトリップ指令を発する。 本発明によるＲＰＳ設計の主要な特徴を以下に説明する。 入力データ処理 ＲＰＳ電子装置の各部門は、直接的なアナログまたはディジタル接続により、 もしくはセンサ信号調整装置を介してセンサ入力を受ける。ＲＰＳ電子装置とセ ンサとの間にデータ・バスは無い。全ての部門のセンサ入力はその部門の入力カ ード上に継続的に現れ、その部門の中央処理装置（ＣＰＵ）からの指令によって 読み込まれる。図３に示すように、各トリップ・センサに対する入力データ処理 は次のようなステップで構成される。 （１）第１のＲＰＳセンサ２から入力データを読み取る。アナログ入力はアナ ログ増幅器２０２により増幅され（個別センサの校正およびセンサ信号電圧正規 化のための適当な安全設定値に合わせるように利得が設定される）、そして（雑 音を減らすため）エイリアシング防止フィルタ２０４に通される。全てのセンサ 入力は正規化された電圧として処理される。工学単位への変換は、保護系の計算 のためではなく、人間−機械インタフェースのために行われるだけである。セン サ読取り値を正規化された電圧として処理することは、データ評価のために必要 なアルゴリズムを簡単化し低減する。 （２）正規化されたセンサ信号電圧値のサンプル・ホールドを行う（図３のブ ロック２０６）。［この電圧値がＡ／Ｄ変換とセンサの検証の両方のために使用 される。］ （３）入力読取り値に対してアナログ・ディジタル（Ａ／Ｄ）変換（ブロック ２１０）を行う。 （４）Ａ／Ｄ変換と並列に、サンプリングされたアナログ電圧読取り値が過去 の二三の読取り値と平均され、センサ故障の表示のために所定のセンサの正当性 限界と比較される（ブロック２０８）。不良センサはフラグで除外される。した がって「センサ検証フラグ」が良好なセンサに対してはセットされ、不良なセン サに対してはセットされない。 （５）検知されたパラメータ識別子、センサ識別、読取り値、検証フラグ、有 効性フラグ、時間タグを含むデー・ワードを形成した後、そのデータ・ワードを バッファ・メモリに記憶する。 （６）ステップ１−４がその部門の、次のポーリングされるセンサに対して繰 り返される。１つのポーリング・サイクルの後、その部門のポーリングされる各 センサに対するデータ・ワードがデータ・バッファに記憶される。 （７）検証フラグ、センサ識別およびデータ時間タグとともに、ポーリング・ サイクルの間に取得された全ての入力読取り値についてのディジタル化されたセ ンサ・データがこのとき他の部門と共有される用意ができている。他の部門に送 る前に、処理している部門の識別子もデータ・ワードに付加される。 ＲＰＳの４つの部門は全て、この入力データ処理を継続的かつ実時間で、それ ら自身のセンサに対して並列に非同期で行う。 部門間データ通信 各部門は、電気的な隔離を行う光ファイバケーブル８（図１）を介して他の全 ての部門にそれのデータを送る。この部門間の非同期相互通信により、部門間で センサ・データの交換が行える。データ交換機能により、各部門は、処理部門の 識別子およびデータの有効性を表すフラグとともに、与えられたパラメータに対 する４つのセンサ読取り値を全て有することができる。データは直列データ・ポ ートを介して交換される。この目的のため、各ＲＰＳ部門は３つの出力ポートと ３つの入力ポートを有する。 データ交換の用意ができたとき、各部門は情報を他の３つの部門およびそれ自 身のデータ・プロセッサへ送る。他の部門からの入力データは、トリップ機能に ついて評価される前に、（各部門の非同期動作を行うため）バッファ・メモリ２ ２４（図３）に記憶される。バッファ・メモリはその部門自身の情報を収容する 。このとき４つのデータ読取り値は、部門のスクラム指令出力の必要性を判定す るための処理および票決を行う用意ができたことになる。 ソフトウェア論理動作 上記の部門間データ通信に従って、各部門により形成されたデータ・ワードは 自動的に他の全ての部門に送られる。したがって各部門は、ポーリングされる各 観察に対して処理すべき（４つの「同じ」データ・ワードに含まれる）４つのセ ンサ読取り値およびフラグを全て有している。ある部門が各ワードを受けると、 このワードはバッファ・メモリ２２４に記憶された後、読み出されて、センサ読 取り値がセンサ検証フラグのステータスにより判定して良好であるか判断するた め試験される（図３のブロック２２６）。検証されれば、センサ読取り値は一様 であるか互いにチェックされる。次にセンサ読取り値は、何か必要な計算（ブロ ック２２８）およびソフトウェア票決（ブロック２３６）のために通される（図 ６参照）。変化速度や比率のような演算されるパラメータは、付加的な計算ステ ップを必要とする（ソフトウェア・ルーチンの付加は必要とするが、付加的なハ ードウェアは必要としない）。 与えられた部門の１つまたは２つの相次ぐ読取り値が「仕様外」であれば、そ の読取り値は無視され、その部門はそれ自身のデータに置き換える。しかし、１ つの部門からの情報が誤りであり続けたり、他の部門のセンサのセンサ読取り値 からずれ続けていたり、または繰り返し欠けたりする場合には、誤りメッセージ （サービス要求）が発せられる。 全てのスクラム・パラメータが計算された後、それらは安全設定値と比較され る。いずれかのパラメータに対して３分の２が設定値を超えた場合には、その部 門からスクラム信号が発せられて（図３のブロック２３８）、それの２／４ハー ドウェア論理リレーを作動する。２つ以上の部門がスクラム信号を発した場合に は、原子炉スクラムが生じる。 ハードウェアスクラム論理 ＲＰＳはハードウェア論理６を使用して、スクラムの必要性について２アウト オブ４部門票決を行う。いずれか２つのＲＰＳ部門がトリップ指令を発すると、 スクラム・シーケンスが開始される。各アクチュエータ３６は、それに接続され た一組のハードウェア論理をそなえている。２つの異なる型のハードウェア論理 、すなわち直列と並列が使用される。直列論理は、どの２つの部門組の接点もア クチュエータ回路を通る電流を遮断するように直列／並列構成で配置されたスイ ッチ接点で構成される。この電流遮断ハードウェア論理の一例はラッチ・コイル 保 持回路である（図７Ａ参照）。これと異なり並列論理は、どの２つの部門組の接 点も作動回路を通って電流が流れるようにする、すなわち電圧形成論理となるよ うに直列／並列構成で配置されたスイッチ接点で構成される。アクチュエータを 付勢するこのハードウェア論理の一例が図８Ａに示されている。これらの構成の 各々で、「”Ａ”接点は全て物理的にＲＰＳ部門Ａの計測ボールトの中に配置さ れ」、「”Ｂ”接点は全て部門Ｂの計測ボールトの中に配置され」、以下同様で ある（図５参照）。 診断自己試験および連続監視 系のアベイラビリティを向上するためのＲＰＳの付加的な特徴には、自動的で 頻繁に行われる自己試験、連続診断監視、部門の定期試験、出力リレー動作によ るセンサ入力が含まれる。ＲＰＳは二通りのやり方でそれ自身の性能を自動的に チェックする。第１にＲＰＳは、センサ入力として基準電圧２０１を注入し、測 定された応答を所定の値と比較することにより、電子構成要素および電子回路の 限定された試験を行う（図３参照）。ＲＰＳは、部門を手動でバイパスすること なく、そして誤ったスクラムを生じることなく、部門全体のオンライン拡大定期 試験も自動的に行う。試験は入力から出力まで行われ、スクラム・ハードウェア 論理回路の作動が含まれる。４つの部門は全て連続的に２／４ハードウェア論理 構成要素のステータスを監視し、試験のスケジュール作成、および正しい動作の 確認のため、そして問題を識別するための診断としてこの情報を使用する。 「能動限界試験」：各センサポーリング・サイクルは、部門の基準電圧のサン プリングを含む。基準電圧２０１（図３参照）は、スクラムの判定を生じるのに 充分なセンサ入力として扱われる。しかし、スクラム指令の実際の出力は禁止さ れる。この試験電圧に対する応答を診断的に評価して、部門による間違った動作 の兆候が無いか、そして他の部門からの入力と比較したとき、系の動作、基準電 圧の誤りや相互通信の劣化を検出する。系のいずれかの部門が正しく動作してい ない場合には、欠陥のある品目が自動的に最小の交換可能なモジュールまで識別 され、サービスを自動的に要求する。この電子構成要素試験は、自動的な区分的 試験により継続的にオンラインで行われるように設計される。限定された試験の 間は「半スクラム」条件が防止されるように、正規のスクラム禁止指令がその部 門のハードウェア論理に出力され続ける。各センサ・ポーリング・サイクルで、 限定された試験が行われる［基準電圧は、それがセンサ入力であるかのようにポ ーリングされる］。したがって、限定された試験は「それぞれの部門に関して」 連続である。どの問題が検出されても、時宜にかなったサービスを要求するメッ セージが出力される。 全てのディジタル化されたセンサおよび基準入力電圧の読取り値が全ての部門 により交換され、比較されるので、系の誤りが素早く検出される。これには、個 別のセンサまたは基準電圧の読取り値、入力データ処理、および相互通信の誤り が含まれる。それ自身の問題または他の１つの部門の問題を検知した各部門は、 保守の呼び出しを出力するので、敏速な損傷の検出と通知が確実に行われる。 「拡大試験」：拡大試験は、出力ハードウェア論理を介して部門全体の健康状 態、センサ入力を評価するように設計される。拡大試験は、禁止されたスクラム 出力が無ければ、限定された試験と同じである。したがって、拡大試験により、 部門の出力スクラム・リレーが動作する。この試験は、他の部門がどれも同様に 試験していない場合のみ、そして全ての部門が正しく動作している場合のみ、一 度に１つの部門だけが行う。試験を行うようにスケジュール作成された部門はま ず、全てが正常であるか見るためチェックする。全てが正常でない場合には、そ の部門はランダムな長さの時間待った後、後で再び試みる。全ての部門による２ ／４ハードウェア論理の監視を使用することにより、２つの部門が試験を同時に 行わず、誤ったスクラムを生じないようにする。 この定期的な拡大試験を行うため、試験している部門がスクラム指令を発して それの２／４ハードウェア論理構成要素を作動するようにすることにより、限定 された試験が拡大される。拡大試験のために必要な数ミリ秒の間、停止シーケン スを実際に開始するには、３つの活きた部門の内の２部門がスクラムを指令する ことがまだ必要である。これにより、試験している部門がハードウェア論理に試 験「スクラム」信号を送出するときに従来の保護系で生じ得る「半スクラム」状 態の問題が防止される。半スクラム状態では、１つの部門のスクラム・リレーが 開放されるので、他の部門のどれか１つからのスクラムによって、原子炉スクラ ムが生じる。これは、系が「半スクラム」状態にある試験の唯一の時間である。 この試験部門に対する時間は正規のセンサ読取り周期に等しいので、他の１つの 部門の同時の試験による誤ったスクラムの危険が小さい。更に全ての部門につい て、他の部門の試験動作のそれらの監視に基づいて試験のためのソフトウェア・ スケジュールが作成される。 部門の試験および保守の間のハードウェア論理の（２／３論理への）再構成は 普通、従来のＲＰＳ設計で行われる。主要な相違は、従来の保護系の設計が手動 バイパスを使ってこれらの試験を行うのに対して、本発明のＲＰＳは２／３のセ ンサがスクラムの必要性を指示することを要求し続けるので、不注意による運転 上および保守の誤りが起こりにくく、またバイパスを必要としないということで ある。 ４つの部門のどれかがオフノーマル（ｏｆｆ−ｎｏｒｍａｌ）状態で運転され ている場合には、拡大試験は行われない。たとえば、部門のＣＰＵ、電力または ディジタル出力カードが動作していないような全部門体保守動作の際には、拡大 試験は行われない。この動作の際には、ハードウェア論理全体が「半スクラム」 状態となる。しかしソフトウェア論理遮壁はなお、スクラム指令が発せられる前 に３つのセンサ読取り値の内の２つがスクラムの必要性を示すことを要求する。 これにより、誤ったスクラムの危険性は大幅に減る。現在の見積もりによれば、 誤ったスクラムの確率は許容できるほど小さい。 ある部門の拡大試験の結果は、ハードウェア論理リレー接点の連続監視により 全ての部門によって監視される（図７および８参照）。各部門は任意の接点対の 状態変化および正しい動作を探す。この機能は、ハードウェア論理回路全体を通 じて異なる点で電流または電圧を監視することに基づく。（リレーに電力が加え られた状態で）接点の状態が付加的なディジタル・センサ入力として正規運転の 間、連続的に監視される。これにより、正規運転の間および試験の間、故障（接 点状態の変化：論理構成に応じて、開放から閉成への変化、閉成から開放への変 化、または状態変化の失敗）検出機能が得られる。（手動で要求されるか、また はコンピュータのスケジュールで決められた）部門の試験機能により、スクラム を生じることなくリレーが実際に動作する。診断検知により、リレー接点の正し い動作が確認されるか、または正しく動作し損なったことが識別されて報告され る。各部門は、他の全ての部門の健康とステータスを査定するために集められた 情報を使用することができる。拡大試験の実行は、データ処理アルゴリズム、設 定値の比較およびスクラム出力回路を確実に正しく機能させる助けとなる。 本発明により、２／４ハードウェア論理リレー接点が正しく動作し、スクラム 要求に応動する用意ができているようにする自動試験機能が得られる。試験は、 自動モードで周期的に、または手動で入力されたキーボードの試験要求に応動し てただちに行われる。試験により、２／４リレー接点が開放または閉成すること により、接点を通る電流が遮断または設定される。他の１つの部門が自己試験を 遂行しているか又は何らかの理由でサービス外であるか、或いは２／４論理回路 からのオフノーマル表示が存在している場合には、自動または手動で入力された キーボードの試験要求は実行されない。 図７Ａに示すように、正規状態では、ＲＰＳの各部門からの制御電圧が印加さ れることによってリレー接点は閉じたままになる。試験を行うことにより、一度 に唯１つの部門組の接点（部門毎に４個の接点）が開放する。同時に２つの部門 が試験を行うことはない。１つの部門がサービス外である場合には、試験は中止 される。２／４論理回路を通る電流は通常、ブリッジ構成の２つの辺にほぼ等分 される。正規状態では、３つの交差経路を通って電流が流れない。試験の間、開 放される接点組によって決まるこれらの交差経路を通って、電流が流れる。図７ Ａに示されるように、接点対の間に非接触（隔離のため）電流センサＳ１−Ｓ８ が配置される。検知された電流は測定され、増幅器１０によってアナログ電圧に 変換される。増幅された電圧は比較器１２に供給される。比較器は基準電圧に対 して入力電圧を試験する。入力電圧が基準を超えると、ディジタル１の値が出力 される。入力電圧が基準を超えない場合には、ディジタル０が出力される。たと えば、試験の間、接点Ａを開放するように信号が送られると、センサＳ１、Ｓ４ 、Ｓ６、およびＳ７は低レベルになるべきであるが、センサＳ２、Ｓ３、Ｓ５、 およびＳ８は高レベルのままになる。これらのセンサ出力からずれがあれば、そ れはＡ接点の１つ以上が開放し損なったということを示す。誤りのある接点は、 センサ出力から作成された一意の８ビット（または検知された診断点数によって 決まる任意のビット数）から容易に識別することができる。 各ハードウェア論理列に対する８個のセンサの各々からのディジタル出力は、 各ＲＰＳ部門に対する電子装置４に差し込まれた８ビットのデータ入力カード４ ０（図３および７Ｂ参照）に並列に入力される。８個のセンサの全てからのディ ジタルＩ／Ｏ出力は、２／４ハードウェア論理リレーの正しいか、または欠陥の ある各々の動作に対する一意の８ビットのディジタルワードを形成する。そのワ ードが、電子装置４上のＣＰＵによって処理される。診断のディジタル入力ポー トの監視によって、各部門は他の１つの部門が試験を行っているか又はサービス 外であること、および各試験の結果を報告できるということを知ることができる 。ある部門が試験を行う予定になっている場合には、その部門はそれの診断用デ ィジタル入力ポートを調べる。そのポートがビジー（ｂｕｓｙ）であれば、その 部門はランダムな長さの時間の間、待った後、再び試みる。ディジタル入力ポー トが空きになる時点まで、ランダムな待ちの後の再試行が継続される（これによ り、１つの部門がサービス外である間は試験が行われず、ポートが空きになった とき手動の再始動無しに、試験が自動的に再開される）。このとき試験は、その 部門がスクラム指令をそれのリレーに発することにより行われる。その部門は、 診断用のディジタル入力ポートを読み取る。返送されたセンサパターンが正しけ れば、試験は成功であり、その部門の表示は試験が行われ、合格したことを示す 。パターンが正しくなければ、ＣＰＵはどのハードウェア要素が故障したかを識 別し、適当なメッセージを出力することができる。 図８Ａに示すハードウェア論理リレー接点の場合には、高抵抗値の抵抗１４が 接点と並列に配置される（図８Ｂ参照）。隔離されたアナログ増幅器１６が各抵 抗両端間の電圧降下を測定する。増幅された電圧は比較器１８に供給される。比 較器は閾値電圧に対して入力電圧を試験する。入力電圧が閾値を超えると、ディ ジタル１の値が出力される。入力電圧が閾値を超えない場合には、ディジタル０ が出力される。たとえば、試験の間、接点Ａを閉成するように信号が送られると 、センサＳ１、Ｓ４、Ｓ６、およびＳ８は低レベルになるべきであるが、センサ Ｓ２、Ｓ３１１、Ｓ５、およびＳ７は高レベルのままになる。これらのセンサ出 力からずれがあれば、それはＡ接点の１つ以上が閉成し損なったということを示 す。誤りのある接点は、センサ出力から作成された一意の８ビットから容易に識 別す ることができる。 各ハードウェア論理列に対する８個のセンサの各々からのディジタル出力は、 各ＲＰＳ部門のコンピュータに対する８ビットのデータ入力カード４０に並列に 入力される（図７Ｂ参照）。８個のセンサの全てからのディジタルＩ／Ｏ出力は 、２／４ハードウェア論理リレーの正しいか又は欠陥のある各々の動作に対する 一意の８ビットのディジタル・ワードを形成する。そのディジタル・ワードは上 記のように監視される。 試験完了時に、その部門は正規の監視および保護サービスを再開する。限定お よび拡大の自動試験、センサ読取り値と基準読取り値との交換および比較、並び に診断監視は、人間による監視試験を不要するので、過失によるスクラムの主要 な原因を低減する。 環境および保守の機能 ＲＰＳ電子装置は高温（約１７０°Ｆ）で動作するように設計され、能動冷却 、もしくは加熱、換気および空気調和（ＨＶＡＣ）系は必要としない。部門は、 原子炉トリップを生じることなく、いつでもオンラインで点検整備することがで きる。ＲＰＳは高度のモジュール方式で組み立てられた系として設計され、技術 が進歩して６０年の所要寿命を満足したときには機能的に更新してもよい。最小 のプラグイン形の交換可能なモジュールまで問題を突き止める診断法が提供され る。これは、熟練度が最小の技術者が容易かつ迅速に系を保守することができる ということを意味する。４つの全ての部門および全ての原子炉に対するＲＰＳ電 子モジュール（たとえば、ＣＰＵ、信号調整カードおよびデータ入力カードであ り、これらは全て電子装置シャーシ４にプラグインできる）は同一であるので、 系を保守するために必要な予備部品の貯蔵が少なくなる。 ＲＰＳ電力 ＲＰＳ計測電子装置に対する代表的な配電が図９に示されている。図９は、唯 ２つのＲＰＳ計測ボールトに対する単線接続図を示している。他の２つの部門の ボールトは同様に電力が供給されるが、供給源は２つの異なる高電圧バスである 。 全てのＲＰＳ計測は直流（ＤＣ）電圧で動作する。ＲＰＳの各部門には、直流 バス３０および隔離素子（たとえば、ダイオード）３２を介して（２つの異なる ＲＰＳ部門ボールトの中に配置された）２つの並列で電気的に隔離された直流電 源から、電池でバックアップされた直流電力が供給される。 各ボールト内の電池充電器２０は、調整可能な電気隔離素子としての役目を果 たす。各交流（ＡＣ）バス２２には、２つの異なる電源から給電される。信頼度 とアベイラビリティを向上するため、各ＡＣバスには２つの高電圧ＡＣバスのい ずれかから給電される。 施設電力はバス２４を介してキロボルトレベルの交流（ＡＣ）として発電所全 体を通じて配電される。降圧変圧器（１つまたは複数）２６は交流電圧レベルを 下げ、電池充電器２０に給電する。電池充電器はＲＰＳ部門負荷に対する直流電 圧を出力し、電池２８上の電荷を維持する。正規状態では、ＲＰＳ部門はそれの 電力を電池充電器から得る。しかし万一、施設の入力交流電源が故障した場合に は、ＲＰＳ部門には電池から連続電力が供給される。スイッチングや直流−交流 の反転が含まれないので、系が簡略化され、付加的な構成要素の故障の可能性が 無くなる。 故障によるＲＰＳスクラム論理動作 ＲＰＳは、（１）単一の故障では保護機能が失われず、且つ（２）どの構成要 素またはチャネルをサービスから除いても必要な保護機能が失われないように設 計される。ＲＰＳは、安全性を危うくすることなくセンサの機能不全による誤信 号（誤った）スクラムを最小限にするようにも設計される。 正規状態では、４つの良好なセンサおよび全ての電子装置と通信系が動作状態 にあり（図１０参照）、ＲＰＳ部門トリップは２／３部門センサ・データ票決に 基づき、各部門はそれ自身のセンサ読取り値を予備として保持する。しかし、セ ンサ、処理電子装置または通信で故障が発生した場合には、このトリップ論理は 違ってくる。 電子装置および通信が動作しているがセンサが故障している場合には、センサ の故障によりセンサ読取り値は正当な帯（ｂａｎｄ）の外側に生じる。センサ読 取り値は、センサ検証フラグのステータスに注意することにより容易に検出され る。不良なセンサの読取り値はスクラム票決では使用されない。たとえば、図１ ０に示されるセンサＢが不良である場合には、部門Ａ、Ｃ、およびＤの各々に対 する２／３ソフトウェア論理４ｂが必要に応じてそれ自身のセンサ読取り値に置 き換えて（したがって、各部門はなおセンサＡ、Ｃ、およびＤからの３つの良好 な読取り値を持っており）、２／３スクラム票決を行う。部門Ｂに対するソフト ウェア論理は、（部門Ａ，Ｃ、およびＤからの）正規なセンサの読取り値を使用 してそれの２／３スクラム票決を行う。２つのセンサが不良である場合には、各 部門は２つの良好なセンサ読取り値を持っており、一方または両方のセンサがス クラムを主張すればスクラム信号を発する（すなわち、各部門は１／２票決を行 う）。３つ（または４つ）のセンサが全て不良である場合には、各部門はスクラ ム指令を発する。４つの部門の中の２つがトリップ信号を発する場合には、ハー ドウェア論理６は運転員に信号を発する。 代わりに、電子装置が故障していて、センサおよび通信が正しく動作している 場合がある。電子装置の故障には、マイクロプロセッサに基づく電子装置４の中 の主要な信号処理チップ（図１０の信号調整回路４ａ）の故障、または電力を電 子装置に供給する系の故障が含まれる。このような電子装置の故障により、その 部門の出力回路がその部門の「非スクラム」信号を送出することが防止され、そ してそれによりセンサおよび通信系のステータスにかかわらず、その部門が自動 的に「スクラム」状態に入る。したがって、いずれかのセンサがスクラムを指示 しているか否かにかかわらず、２つ（以上）のこのような電子（ＣＰＵ）故障が スクラムをトリガーする（フェイルセイフ）。これは、従来のＲＰＳ系で行われ ていることと同等である。 第３に、通信が故障していて、センサおよび電子装置が動作している場合があ る。通信故障には、送信装置または受信装置のハードウェア／ソフトウェアの問 題、または伝送中の雑音のピックアップによってプロセッサ間通信系の故障が含 まれる。このような通信の故障は重大でなく、入って来る通信センサデータが無 いことにより検出される。このような故障が１つ発生し、ある部門が他の３つの 部門からではなく２つの部門からだけデータを受信すると、それ自身のデータに 置き換え、２／３票決を行うので、保護機能に対する信頼度が失われることはな い。ある部門が他の３つの部門の内の１つの部門だけからデータを受信すると、 その部門はそれ自身のデータに置き換えることにより、２つの良好な読取り値を 与えるとともに、いずれかがトリップ設定値より大きい場合は、スクラムの票決 を行う（すなわち、１／２票決を行う）。ある部門が他のどの部門からもデータ を受信しない場合には、それ自身のデータを使用し、従来のＲＰＳ設計と同様に １／１論理で部門スクラムを発する。したがって、どの部門もデータを送信せず 、他のどの部門からもデータを受信しない全体的な通信故障の場合には、ＲＰＳ はプロセッサ間通信の無い従来のＲＰＳのように動作する。 正規状態では、トリップが発せられる前に、２つの正しく動作しているセンサ がトリップを要求しなければならない。これは、ＲＰＳ電子装置の予備つきの２ アウトオブ３のソフトウェア論理、およびＲＰＳスクラム遮断器の２アウトオブ ４ハードウェア論理と一致する。従来の系と異なり、１つのセンサが正しく動作 しておらず、ＲＰＳ論理の１つの異なる部門がサービス外であっても、２センサ ・トリップの必要条件は成立し続ける。このようにＲＰＳがセンサ故障から保護 されることにより、誤ったスクラムが減少し、また発せられたどのトリップもセ ンサ入力によって指示された通りの原因によるものであるという高度の確信が得 られる。 原子炉に適用されたときのＲＰＳの機能は次の通りである。すなわち、（１） 原子炉内の安全性パラメータ（中性子束、低温プールと炉心出口の温度、ポンプ 吐き出し圧力、および一次ナトリウム・レベル）を連続的に監視すること、（２ ）原子炉の停止、ＥＭポンプのトリップ、および格納容器の隔離が必要であるか 判定すること、（３）制御棒解放機構およびドライブイン・モータにトリップ信 号を送ることにより、確実に制御棒を挿入すること、（４）一次ＥＭポンプの惰 性下降を開始すること、および（５）ＩＨＴＳ弁の閉成および格納容器換気弁の 閉成により格納容器の隔離を開始することである。 これらの機能を遂行するため、ＲＰＳは４つの同じ構成の、並列の論理列また は部門をそなえている。各論理はセンサ、アナログ入力／増幅器／ディジタル変 換器、ディジタル論理装置、およびトリップ・アクチュエータで構成される。原 子炉のトリップのために、７個のパラメータが使用される。各論理列は、パラメ ータ毎に１つのセンサ入力を有する。アナログ入力のポーリングが行われ、これ により、任意の時点にＲＰＳがどのパラメータを処理するかが決められる。 異なる間隔でＲＰＳにより自動的に、数個のレベルの診断が行われる。これら のレベルには、個別の構成要素の校正、部門系の校正／健康状態のチェック、系 全体の性能、信号の検証および有効性、データ交換の有効性、およびトリップの 有効性が含まれる。 ４つのＲＰＳ部門は、故障許容の系として一緒に動作する。すなわち、どの部 門の中で発生したどんな故障も検出されて局限される。再構成が自動的に行われ て、問題領域がバイパスされる。系は、運転されている間に修理することができ る。サービスのためにいつでも１つの部門全体を取り除くことができ、系の性能 低下を生じない。入力は完全に故障許容になっている。すなわち、入力部に故障 が生じると、その故障は隔離され、系はその故障を迂回して再構成される。４つ の中央処理論理装置は、誤り検出、局限および再構成を行うことができる。光結 合された各遮断器は試験機能をそなえているので、制御棒を解放したり、原子炉 のスクラムを開始することなく、いつでも部門を完全に（センサ入力からトリッ プ遮断器まで）自動的に試験することができる。 「ＲＰＳの動作」：設計基準事象が発生して、原子炉トリップ・パラメータの どれかがそれらの安全性設定値を超えると、ＲＰＳ電子装置４は自動的にスクラ ム・シーケンスを開始する（図２参照）。２／４ハードウェア論理６を制御して 、制御素子１０６を保持するラッチ・コイル保持回路１０２への電力を遮断し、 ドライブイン・モータ１０４に電力を印加することにより、そして原子炉トリッ プが進行中であることを示すメッセージをＰＣＳ５６に送ることにより、原子炉 スクラム・シーケンスが開始する。スクラム（中性子束の減少）を確認すると、 ２／４ハードウェア論理６を制御することによりＥＭポンプ電源装置１１０から 電磁ポンプ１０８への電力が切断される。２／４ハードウェア論理６はＲＰＳ− ＥＭポンプ遮断器６２（３つのＥＭポンプ位相の各々に対して２つの遮断器があ る）をトリップすることにより、一次流の惰性下降を開始する。制御素子１０６ が挿入されたことが確認されるまで、ＥＭポンプ遮断動作は行われない。スクラ ム指令が最初に発せられたとき、その時点の測定された中性子束に注目する。中 性子束のレベルが再チェックされる。中性子束がそれのスクラム開始レベルから 予め設定されたパーセントだけ減少するまで、ＥＭポンプ遮断動作が行われるこ とは 許されない。制御棒１０６が挿入され損なうと、この確認論理は原子炉の温度上 昇を許す。これは、受動停止機能により中性子束が指定されたパーセントだけ減 少した後、熱停止系（ＴＳＳ）によりＥＭポンプ停止が開始され、流れの惰性下 降が生じるまで続く。図１１に示されるようにＴＳＳには、それぞれ４つの熱ト リップ装置６６を介して２／４電流遮断ハードウェア論理に接続された４つの熱 センサ６４が含まれる。各熱センサ６４は、ＥＭポンプ温度の独立のセンサ読取 り値を与える。 制御棒１０６の解放は、トリップ指令を発するという決定から５０ミリ秒以内 に行われる。制御棒の重力による挿入は２秒以内に完了する。重力による挿入は 、ドライブイン・モータから動力を与えられる制御素子の挿入によってバックア ップされる。ドライブイン・モータ１０４により、制御棒の挿入は１８秒以内に 完了する。スクラム後、原子炉の出力は約２秒から３秒以内に１０％未満まで減 少する。次にＥＭポンプの惰性下降により、一次流は２００秒にわたって自然循 環に近いレベルまで減っていく。 混合炉心の出口温度は急激に低下した後、次第に上昇し、約５００秒でピーク に達し、その後、原子炉１００が冷却するにつれて次第に低下する。流れの惰性 下降曲線は、ＥＭポンプ１０８から電力が切断されると直ちに生じる冷却材流の １００％から約８５％への急激な低下、およびその後に同期機１１２がそれのエ ネルギーをＥＭポンプに与えて、流れが遅くなる次の数百秒の間の流れのゆるや かな低下で構成される。 ＲＰＳの全ての動作は自動化される。運転員の安全操作はいつでも不要である 。しかし、局部的に又は遠隔で手動のスクラムを開始することにより、固有の安 全機能に対する挑戦を防止することができる。ＲＰＳは手動で入力された要求を 受け入れることにより、それ自身のスクラム・ボタンからトリップ・シーケンス を実行する（全ての電子装置をバイパスし、直接トリップ遮断器に至る電力を遮 断する動作）。主制御室７４の中の運転員卓７２（図２）から、安全に関係しな い異なる電子装置を介して手動のスクラムを開始してもよい。第１の方法はＤＨ ＴＳからＲＰＳ制御器に至るものであり、異なる方法は手動のスクラム作動電子 装置への直接接続を介するものである。更に、遠隔停止設備７８の中の卓７６の 面 上に配置されたスクラム・ボタンから、安全に関連した手動入力のスクラム指令 をＲＰＳに入力してもよい。原子炉のスクラム・シーケンスが完了すると、スク ラムの回復を開始し、スクラムの原因を判定し、全てが正規状態である場合には 原子炉を再始動するために、運転員の操作が要求される。 （ＥＭポンプの停止を含む）原子炉のスクラム機能の他に、ＲＰＳは次の３つ の付加的な機能も遂行する。すなわち、（１）事故後の監視（ＰＡＭ）に対する データおよび表示を提供すること、（２）大きな蒸気発生器のナトリウム−水反 応が発生したときにＩＨＴＳ弁制御器１１８を介して中間熱輸送系（ＩＨＴＳ） 隔離弁１１６を閉じること（図１３参照）、および（３）格納容器ドームおよび 空気格納容器流出液の中の放射線が高くなり過ぎたとき、格納容器換気弁１２０ を閉じること（図１３参照）である。 重大な蒸気発生器のナトリウム−水の反応の場合、ＲＰＳは中間熱交換器（Ｉ ＨＸ）１１７を隔離するＩＨＴＳ隔離弁１１６を閉じることにより原子炉の損傷 を防止する。ナトリウム−水の反応事象は、ＩＨＴＳループの中に配置されたＲ ＰＳ圧力センサＦ（図４）によって検知される。ＲＰＳ圧力センサＦは隔離弁の 閉成と原子炉スクラムの両方をトリガする。施設電力１３２を換気弁１２０に接 続するＰＣＳ制御遮断器９０と直列の常開ＲＰＳ遮断器８８への電力をＲＰＳで 除去することにより、格納容器換気弁１２０が閉じられる（図１２参照）。スク ラム機能は格納容器隔離機能から独立している。ほとんどのスクラム事象（原子 炉内の事象によって生じるスクラム事象）はＩＨＴＳまたは格納容器弁閉成をト リガしない。 「制御棒のスクラム」：ＲＰＳスクラム指令により、原子炉炉心１２４の中に 中性子吸収材が放出される（制御棒集合体の下部１０６には、吸収材が含まれて いる）。代表的な制御棒系の要素が図１２に示されている。 制御集合体は、原子炉モジュールの運転出力レベルを調整するためにプラント 制御系（ＰＣＳ）が使用する。吸収材バンドル１０６はそれの棒状の構造の最上 部でコレット（ラッチ）１２６により保持されている。コレット１２６は棒１２ ８により制御棒駆動機構に接続されている。制御棒駆動機構では、一対の連続的 に付勢される電磁石（ラッチ・コイル）１０２がコレット１２６を閉じた状態に 保持する。ラッチ・コイル１０２への電流の遮断（トリップ）によりコレット１ ２６が開き、吸収材バンドル１０６が解放されるので、吸収材バンドル１０６は それ自身の重さにより炉心１２４の中に落ち込むこと（重力支援挿入）ができる 。 各制御集合体は、吸収材バンドルの位置決めを制御するために２つのモータを そなえている。ＰＣＳが粗調整または微細調整を行うことにより、各吸収材バン ドル１０６を上昇または下降させて原子炉の出力を制御できるように、シムステ ッピング・モータ１３０が設けられる。スクラム・シーケンスの一部としてＲＰ Ｓにより駆動されると、一方向性（入りのみ）の（シム・モータ１３０より４倍 強い）直流ドライブイン・モータ１０４は各制御集合体駆動管路をその行程の底 まで駆動することにより、吸収材バンドルが完全に挿入されるようにする。ＲＰ Ｓには、制御棒引き上げ機能は無い。［これは本発明の特徴である。本発明では 、ＲＰＳは安全方向または安全動作でのみ直流運動装置を動作させる。これらの 装置の引き上げまたはリセットは、ＰＣＳのような別の系によって行われなけれ ばならない。］各制御棒キャリジ１０６はリミット・スイッチをそなえており、 このリミット・スイッチは制御集合体挿入の端でドライブイン・モータ出力をオ フにする。これらのリミット・スイッチの作動は、制御集合体挿入が完全である ことの確認として識別される。 「ＥＭポンプ惰性下降の開始」：制御棒の挿入に加えて、ＲＰＳはスクラム・ シーケンスの一部として（制御棒の挿入の確認後に）ＥＭポンプ１０８への動力 を遮断する。ＲＰＳは中性子束レベルが所定のパーセントだけ低下したことに注 目することにより制御棒の挿入を確認した後、ＥＭポンプ遮断のための指令を発 する。この動作のためＲＰＳは、ＰＣＳ電力調整装置１１０とＥＭポンプ１０８ ／同期機１１２との間の遮断器を開放する。これにより、ＥＭポンプ／同期機は それの正規の電源から切り離される。ＥＭポンプ１０８は、同期機１１２（自励 ）に接続されたはずみ車に蓄積された慣性エネルギーを使用して、惰性下降流を 生じる。ポンプのナトリウムの温度が所定の値を超えた場合にＲＰＳ遮断器６２ を開放して、ＥＭポンプ１０８への電力を遮断する別個の熱遮断系（ＴＳＳ）６ ５が設けられる。これは、ＲＰＳが故障したときにＡＴＷＳ事象に対する一次ポ ンプ遮断を行う。図１１はＥＭポンプ電力回路ならびにＰＣＳ、ＲＰＳおよびＴ Ｓ Ｓインタフェースを示す簡略化された単線接続図である。 「二次ナトリウム系および格納容器換気系の隔離」：ＲＰＳは格納容器の自動 換気ならびに格納容器に危害を加える事象に対するＩＨＴＳ隔離弁の閉成につい て責任がある。これらの機能に対する概念設計が図１３に示されている。ＩＨＴ Ｓ弁１１６の閉成は、空気動力をＩＨＴＳ弁に送る管路のＲＰＳで制御されるソ レノイド弁を閉じることによって行われる。格納容器換気弁１２０の閉成は、弁 電力管路１３２の、ＲＰＳで制御される遮断器８８を開放することによって行わ れる。 原子炉がＩＨＴＳ流を許容するように運転されているとき、通常は、ＩＨＴＳ 弁１１６（合計４個で、２個は低温ＩＨＴＳ管路の中にあり、２個は高温ＩＨＴ Ｓ管路の中にある）が開いている。これらの弁は、ナトリウムと水の反応によっ てＩＨＴＳ管路の中に高圧状態が生じる遠隔事象の際に閉じられるだけである。 閉成は自動的であり、ＲＰＳ制御器５０のみにより行われる。ＰＣＳ８４には、 弁１１６を閉じる能力が無い。これにより、原子炉を運転しているときに制御室 の運転員が不注意で弁を閉じることが防止される。更に、ＲＰＳには弁を開く能 力が無い。原子炉がスクラム状態となり、ＲＰＳが停止／保守モードに切り替わ るまで、ＰＣＳは弁を開くことができない。一旦このモードになれば、制御室か らのＰＣＳ指令により（始動前に二次ナトリウム流を開始するために）弁を開く ことはできない。サービスと試験の目的で、原子炉が停止し、ＲＰＳが停止／保 守モードにあるとき、弁の近くの局部空気制御盤から手動で弁を開閉してもよい 。 原子炉が運転されているとき、通常は、格納容器換気弁１２０（合計４個で、 ２個は取入れ口の中にあり、２個は吐出し口の中にある）が閉じている。運転中 にこれらの弁を開かなければならない唯一のときは、運転員が格納容器の中に入 れるように空気を新鮮にすることである。運転員が格納容器を離れた後、換気弁 は再び閉じられる。正規状態でのこれらの弁の開閉は、ＰＣＳ電子装置を使用し て、格納容器の入口の近くの局部盤から、もしくは保守室および／または制御室 から行われる。しかし、格納容器ドーム１１４（図４参照）または流出液の中に 高放射線が検出されると、ＲＰＳは自動的に遮断器８８を開き、弁１２０を閉じ る。そして、原子炉が停止させられて、ＲＰＳが停止／保守モードに切り替わる まで、ＰＣＳは弁を開くことができない。図１３は正規および異常の状況に対す るＰＣＳおよびＲＰＳによる格納容器換気弁を図示したものである。 図１２に示すように、３つの補助安全系、すなわち制御棒停止系（ＲＳＳ）１ ３６、熱遮断系（ＴＳＳ）１３８および最終停止系（ＵＳＳ）１４０を液体金属 原子炉設計に組み込むことにより、ＲＰＳが故障する遠隔事象の安全性に対して 余裕が与えられる。 ＲＳＳ１３８は機械的な制御棒止めを電子的に調整し、保護されない過渡的な 過電力事象の最大反応度の付加的な電位を制限する。ＲＳＳは、キャリジの動き との物理的な干渉により制御棒の外への動きを受動的に制限することにより、保 護されない制御棒引抜き事象に対する寛容な応答が行われるようにする。制御棒 停止系の構成要素には、四重の冗長な制御器、制御棒停止駆動選択器、および容 量が制限された電源が含まれる。電源は、６個の制御棒停止調整駆動モータの各 々に対する電力を制御し、各制御棒に対して１つづつ設けられている。制御棒お よびとめの位置を判定するために絶対位置センサが使用される。制御棒停止系制 御器はＲＰＳ制御器とは分離されている。ＲＳＳはＲＰＳ制御器を介して冗長セ ンサから原子炉出力および制御棒の絶対位置データを得る。ＲＳＳは、制御棒停 止位置を調整するために必要とされるような運転だけにより駆動される。ＲＳＳ 制御器、電力遮断器、電源、ステッピング・モータ制御器および分配器が、格納 容器２の上側領域に隣接したＲＰＳ電子装置ボールト８２（図４）の中に配置さ れる。 ヒートシンク（ＩＨＴＳ）が失われ（このためＲＶＡＣＳ冷却だけが利用でき る）且つＲＰＳが故障した場合に、高温でＥＭポンプを自動的に遮断するように 、ＴＳＳ１３８は設計されている。このシナリオに対して、ヒートシンク喪失事 象が全出力から開始し、ＰＣＳもＲＰＳもポンプを停止することができないもの と仮定する。原子炉内の温度は急速に上昇し、固有機構をトリガすることにより 、ＥＭポンプが運転されていない場合には原子炉が３０時間以内に高温予備レベ ルとなる。しかし、ＥＭポンプが運転し続ける場合には、各ＥＭポンプは原子炉 に熱を付加する。ＥＭポンプが停止させられない場合には、原子炉の熱入力の積 分がヒートシンクの能力を超える。したがって、原子炉の温度が与えられた閾値 を 超えた場合にはＥＭポンプを自動的にオフにする機構が必要とされる。 図２に示すように、ＲＰＳ５０はＥＭポンプ／同期機電力回路のＲＰＳ遮断器 ６２に対する制御電力を供給する。正規スクラム・シーケンスの一部として、Ｒ ＰＳはこれらの遮断器を解放することによりＥＭポンプの一次流惰性下降を開始 する。正規運転では、ＲＰＳ遮断器６２は閉成位置に能動的に保持されるので、 ＥＭポンプ（１０８）／同期機（１１２）は電力調整装置（１１０）から電力を 受ける。 図１１に示すように、ＴＳＳ１３８は各ポンプ内の出口のナトリウムの温度を 監視する。ＴＳＳは、安全性に関係する４個の熱電対６４（各ポンプ入口プレナ ムに１個づつ）で構成され、その各々が熱トリップ装置６６をそなえる。センサ およびトリップ装置はＲＰＳから分離されている。ポンプ内の温度が所定の設定 値より上に上昇した場合には、ポンプと結合された熱トリップ装置６６がトリッ プ信号を送出する。このトリップ信号により、ＲＰＳからＥＭポンプのＲＰＳ遮 断器に至るトリップ信号線の接点６８が開く。４個の熱トリップ装置の中の任意 の２個の熱トリップ装置からのトリップ信号により４個のＥＭポンプの全てに対 するＥＭポンプのＲＰＳ遮断器６２が開くように、接点が配置される。これによ り、４個のポンプの全てで流れの惰性下降が開始され、ＥＭポンプ電源による原 子炉への熱入力が終了する。 各ＥＭポンプには、ＲＰＳ計測ボールト８４（図４）の１つの中に配置された 熱トリップ装置６６に接続された１つの熱センサ６４が含まれる。熱トリップ装 置６６は、従来の信号調整電子装置、設定値比較器および出力回路で構成される 。各熱トリップ装置は光学的に隔離された４個のリレーに信号を出力する。４個 のリレーは図４に示すように、他の３個の熱トリップ装置からのリレー接点と一 緒に２アウトオブ４ハードウェア論理６８を構成する。ＲＰＳと同様に、こりら のリレーは全てフェイルセイフである。すなわち、接点を閉じたままにするため に活性信号を必要とする。多重の故障または電力の喪失がある場合には、接点が 開いてＥＭポンプの惰性下降が開始される。 ＵＳＳ１４０は、他の全ての方法が失敗するという極めて起こりにくい仮定の 状態で原子炉の停止を行う。最終停止系を必要とするためには、ＰＣＳが制御棒 で運転に失敗し、ＲＰＳが制御棒をスクラムし損なっていなければならない。こ のような故障が生じた場合には、系のリアクタンス性負帰還特性により、高温で 原子炉は安全で安定した状態となる。この点で、運転員は最終停止系を作動させ て、原子炉を低温の臨界未満状態とすることができる。遠隔停止機能またはＲＰ Ｓボールトから最終停止系の作動を開始するためには、運転員の手動操作が必要 である。最終停止系は、原子炉を低温停止させるために毒物（Ｂ４Ｃ吸収材ボー ル）が原子炉の中に放出された格納容器で構成される。図４に示すようにＵＳＳ は、ＲＳＦの壁のケースの中およびＲＰＳボールトの中に配置された一対のボタ ンにより作動される。 本発明による原子炉保護系（ＲＰＳ）は、伝統的な原子炉保護系からの設計の 新発展を表す。この系の設計は説明した全ての目標に適合するか、または超え、 保護系の設計で得られるアベイラビリティを最大にする。開示されたＲＰＳの多 数の特徴により、この設計は伝統的な系から隔たっている。これらの特徴には下 記のものが含まれる。 （１）対話形四重冗長度。これは、検知される変数当たり４個のセンサ、電子 装置の４個の独立な部門（通常、４個の独立な計測ボールトに分離される）、お よび各ハードウェア出力論理の中の４対の固体トリップ・リレーを含む。各部門 はトリップの必要性を判定する際に他の部門のセンサの読取り値を積極的に使用 する。 （２）制御利得増幅器。利得の設定は、センサの校正係数、検知されたパラメ ータの安全性の設定値、および系の電圧の正規化の必要条件に基づいて行われる 。 （３）固体電子装置、マイクロプロセッサ、論理回路、固体リレーおよび負荷 ドライバ、並びにハードワイヤ信号伝送ルート。 （４）各ＲＰＳ部門による非同期センサ・データ交換および全てのセンサ・デ ータの評価。ファイル・サーバ（マスタ／スレーブ）または他の共通の故障点が 無い。非同期動作により、４個のＲＰＳ部門の各々による作用の独立性が保証さ れる。 （５）データ値が欠けているか又は不完全である場合に予備データの自動的な 置換。各部門は他の部門のデータを評価し、それ自身のセンサ読取り値を予備と して保持する。２アウトオブ３のソフトウェア論理に基づいて判定が行われる。 検証されていない、有効でない、欠けている又はそこなわれた読取り値が、部門 自身のセンサ値に自動的に置き換えられて、２アウトオブ３の論理処理が継続さ れる。欠けている又は誤った信号に対処するため、またはオフノーマル状態が補 正されたときに正規状態に戻るために、手動操作は必要ない。 （６）簡単な論理を超えて、インテリジェント・データ処理および評価。ＲＰ Ｓは部門間で同じデータを評価することができ、そしてパラメータ間の比、パラ メータの変化率、原因となる特定の事象、平均、および必要に応じて他の演算に 基づいてトリップに対する選択されたデータを使用することができる。 （７）データが、パラメータ毎に異なる処理アルゴリズムを必要とする工学単 位に変換されないで、正規化された電圧値として処理される。工学単位への変換 はオフライン・プロセスとして人間−機械インタフェース（ＭＭＩ）に対してだ け行われる。ＭＭＩはスクラムの必要性の判定には関与せず、非干渉的に行う。 （８）全てのパラメータに対して唯１つのトリップ設定値。センサ間の変動は 、入力の増幅器利得調整要因として調節される。 （９）データ平均、統計的処理および他の演算を用いることにより、信頼度を 向上して且つスプリアス・スクラムを減らせるように、高速動作およびセンサの オーバーサンプリングが使用される。 （１０）自動自己試験−実際のスクラム遮断器の作動によるセンサ入力の自動 的な試験および監視。（スクラム遮断器の作動の無い）スクラム判定によるセン サ入力についての限定試験がセンサ・ポーリングサイクル毎に少なくとも一回行 われる。スクラム遮断器の作動によるセンサ入力についての拡大試験が各判定に 対して４時間毎に一回行われる。プラント制御系は全てのＲＰＳセンサと診断の データを受けるので、ＰＣＳは故障予測を目的として付加的な詳細なオフライン の診断と時系列解析を行うことができる。このオフライン解析はＲＰＳ安全機能 を妨げることはあり得ず、結果的に早期の障害検出および問題の是正を行うこと ができる。更にＰＣＳは、早期の障害検出の目的で全てのＲＰＳデータを解析す る。 監視試験はしばしば行われ、オンラインで、自動的である。手動操作は必要で ない。最小の交換可能なモジュールまで問題を明らかにするために、診断を利用 することができる。 ディジタル化されたセンサおよび基準読取り値が自動的に交換されるため、各 部門はそれの限定試験および拡大試験を他の部門のそれと比較することができる 。同様に全ての部門は、１つの部門の試験を評価することができ、問題が検出さ れた場合には独立にサービスを要求することができる。これにより、ある部門が それ自身のパラメータおよび性能の観察に限定されている場合には検出できない 系統的な誤りを早期に検出することができる。 自己診断とモジュール状の設計により、保守およびほとんどの系の故障の修理 を４時間以内に行い、保守動作が完了した後、自動的に再始動することができる 。ＲＰＳの全ての修理は、原子炉を停止させる必要無しに行うことができる。 （１１）不注意による何らかの状態変化を検出するため、そして試験の作動ま たは実際のスクラム指令の出力に応動して正しく状態が変化したことを確認する ために、スクラム・アクチュエータの接点が正規センサ入力として連続的に監視 される。正規動作の間のいかなる変化（故障）もただちに検知され、保守者への 通知が行われる。スクラム指令またはトリップ遮断器を介したセンサ入力試験が 発せられた場合、この監視機能は動作が正しく行われたことを確認することがで きるか、または動作の失敗をただちに検知して、失敗通知を行う。ハード配線さ れた論理の全ての遮断器接点は、４つの全ての部門により並列に連続的に監視さ れる。 （１２）正規動作、障害調節、試験、保守または修理のために、手動であれ、 自動であれ、バイパスは必要とされない。ほとんど全てのＲＰＳ試験、保守およ び修理を行う際、系全体を停止する必要は無く、一回に１つの部門をいつでもオ フラインとすることができる。オンライン動作への復帰は全自動で行われる。 （１３）３つの動作モードが規定されており、人間の誤りの危険性を少なくす るため、各動作モードでの運転員の入力／通信は限定されている。これらのモー ドは、停止／保守、始動／運転、およびスクラムである。 （１４）ＲＰＳは停止／保守の動作モードでも動作しており、連続的な安全性 が得られる。それの他の系、特にＰＣＳとのインタロック設計のために、ほとん どの原子炉の燃料補給、試験、保守および修理に対してＲＰＳは機能を果たさな ければならない。 停止、保守および燃料補給を含む原子炉の全ての動作モードの間、ＲＰＳは積 極的な役割を果たす。インタロック制御棒キャリジ機能により、ＲＰＳは偶然の 制御素子の引き上げおよび思いがけない原子炉の運転を防止することができる。 ＲＰＳが正しく動作していない場合には一次流体のポンプ作用が行えないように 、ＥＭポンプ遮断器を制御することもＲＰＳは行う。ＲＰＳは、燃料補給動作の ため制御棒キャリジ引き上げが行われるようにしなければならず、そして強制的 な制御棒下降試験のため一度に１つの制御素子が引き上げられるように正しく動 作しなければならない。 （１５）ＲＰＳ電子装置の各部門に対する電源は二重の隔離された、電池でバ ックアップされた直流電源であり、直流−交流インバータは無く、施設電力から 電池電力への変更にスイッチングは含まれていない。電源は物理的と電気的の両 方の隔離を使用して、１つの電力系の故障によって第２の電力系の故障が生じな いようにする。ＲＰＳ電子装置によって共通使用されない独立の二重の、電池で バックアップされたアクチュエータ電源が、各スクラム遮断器の２／４論理列お よびそれが作動させる安全装置に対して設けられている。 （１６）ＲＰＳの構成要素および部門間の最大の電気的および物理的な隔離を 使用することにより、１つの構成要素の故障がＲＰＳまたは原子炉の全体の運転 を妨げることがないようにする。 （１７）ＲＰＳは四重の冗長性があり、電子装置および電力の各部門はそれ自 身の計測ボールトに物理的に分割される。部門間の通信のために光ファイバが最 大限に使用される。光ファイバを広範囲に使用することにより、系と構成要素の 高度の隔離が行われる。 （１８）安全系の全ての電子装置はＲＰＳ計測ボールトの中に配置される。セ ンサおよびアクチュエータだけが格納容器、原子炉の一方または両方に配置され る。アナログセンサおよびディジタルセンサが直接、データ取得装置（ＤＡＵ） に接続される。頭部アクセス領域および格納容器を含む原子炉領域の中には、電 子装置は無い。可能な場合には、センサとそれの入力電子装置との間のインタフ ェースはＲＰＳ計測ボールトの中に配置される。したがって、全ての電子装置は 事故状態のもとで利用できる。全てのＲＰＳセンサは原子炉の設計例では、構成 要素の大きな分解無しに置き換えが行えるように、設置される。ＲＰＳボールト の簡単な配線変更で障害センサの「修理／交換」となるように、ほとんどのＲＰ Ｓセンサには予備が設置されている。 （１９）ＲＰＳは試験される最小モジュールまで完全にモジュール化され、自 動試験により識別される。故障は自動的に検出され、モジュールの識別結果を含 めて告知されるので、迅速な探索および修理が容易になる。 （２０）系はほとんどの人間の（偶然または別の）相互作用に対して許容度が ある。人間の誤りの影響を最小限にするために、系は完全に自動化され、人間の 相互作用を規制（スクラム回復）で必要とされる相互作用および原子炉運転員の 指示による運転モードの変更（始動／運転または停止／保守）のために必要とさ れる相互作用まで最小化する。 （２１）停止／保守から始動／運転へ運転モードを変更するという運転員の要 求に応動して、ＲＰＳはまずそれ自身のソフトウェアをチェックする。各部門は それのソフトウェアを、より高レベルの「原子炉制御運転員」によって維持され る独立のファイルと照合する。５個のソフトウェアファイルの間の明確な合致に 失敗した場合には、ＲＰＳがモード変更を実行し続ける前に解決しなければなら ない。モード変更の必要条件のもう１つの部門は、監視される全てのＲＰＳパラ メータは「正規」でなければならない。これには、トリップ・パラメータが含ま れるだけでなく、インタロックおよび重大な弁の位置の監視も含まれる。最後に ＲＰＳは、制御棒ラッチ・コイルを付勢し、全ての制御棒キャリジ上のドライブ イン・モータを復旧させ、電源への上昇を開始してもよいということを運転員に 通知する。 原子炉のスクラムに続いて、ＲＰＳが停止／保守モードへ切り替えるように手 動で要求されるまで、ＰＣＳインタロック原子炉制御動作は可能でない。これは 、米国連邦規制法に規定された、スクラムに続いて回復を開始するための運転員 入力に合致する。 （２２）液体金属原子炉ＲＰＳはデータ評価、ソフトウェア論理、連続自己試 験等のためにディジタルおよびコンピュータ技術を広範囲に使用し、原子炉の運 転、系の試験、校正、保守動作等のためのバイパス（手動であれ、自動であれ） を必要としない。 全てのＲＰＳセンサ・データは、一旦ディジタル化されれば、ＰＣＳに転送さ れる。中性子束、流量、炉心温度のようなＲＰＳパラメータは、ＰＣＳに対する 一次制御帰還パラメータである。 （２３）系は、保護機能の低下無しに、そして原子炉の不必要な停止を開始す ることなく、故障およびほとんどの多重故障に順応する。 （２４）ＲＰＳ設計の概念は原子炉のサイズに関係しない。 （２５）ＲＰＳは他の系とは全く無関係である。しかし、機能上のインタロッ クのため、ＲＰＳが正しく働かないと、プラント制御系（ＰＣＳ）は原子炉を運 転することはできない。 ＲＰＳは、原子炉の運転のため正しく動作しなければならない能動的な系であ る。ＲＰＳは動作についてプラント制御系（ＰＣＳ）とは全く無関係であり、Ｐ ＣＳを支援するため対話的に動作する。したがってＰＣＳは原子炉の主要な制御 パラメータ情報および制御素子結合についてＲＰＳの正しい動作に依存している ので、ＰＣＳは原子炉の運転のために制御素子を引き上げることができる。ＲＰ Ｓは更に独立に、ＰＣＳがいつでも行うことができる制御素子の引き上げの量を 制限する。ＰＣＳによって行われ、ＲＰＳによって制限される機能である、制御 素子の引き上げ機能はＲＰＳには無い。 （２６）ＲＰＳの全ての能動的なモジュールおよび構成要素はフェイルセイフ である（または、どちらがより安全な選択であるかに応じて、「故障のまま」で ある）。 （２７）自動化された自己試験および診断のための監視、出力リレー論理素子 を介したセンサ入力により、安全系の決まりきった手動の監視試験は事実上不要 になる。 原子炉の設計例の受動安全機能は、ＲＰＳのスクラムで必要とされる動作が完 了した後、ＲＰＳが事故監視のためのセンサを提供し続けるということを意味す る。したがって、ＲＰＳの設計は大幅に簡単になる。 上記の実施例は説明の目的で開示されてきた。実施例の変更および変形は原子 炉保護系の熟練した設計者は容易に考えつき得る。このような全ての変更および 変形は請求の範囲に包含されるものである。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，Ｌ Ｕ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＪＰ，ＫＲ 【要約の続き】 決の際に電子装置はそれ自身の予備のセンサ読取り値に 置き換える。センサの読取り値の相互通信により、４つ の理論的に「同じ」値を比較することができる。出力リ レー論理を介したセンサ入力の自動化された自己試験お よび診断監視により、手動の監視試験は事実上不要にな る。

Claims (1)

1. 【特許請求の範囲】 １．重大なパラメータの監視に応動して安全動作を開始するための系に於いて 、 独立に重大なパラメータの値を検出して、第１乃至第４のセンサ読取り値をそ れぞれ出力する第１乃至第４のセンサ、 上記センサにそれぞれ接続されて、上記第１乃至第４のセンサ読取り値をそれ ぞれ処理する第１乃至第４の部門の電子装置、および 上記第１乃至第４の部門の電子装置の各々が他の部門の電子装置から処理され たセンサ読取り値を受けるように、上記第１乃至第４の部門の電子装置を相互接 続する相互通信チャネルを含み、 上記第１の部門の電子装置は、それ自身のセンサ読取り値が故障により有効で ないと判定する手段、それ自身の有効なセンサ読取り値を予備として記憶する手 段、安全動作禁止信号を出力する手段、上記第２、第３および第４の部門の電子 装置から伝えられた３つの有効なセンサ読取り値の内の任意の２つが設定値を超 えたことに応動して、もしくは上記第２、第３、および第４の部門の電子装置の 内の１つからのセンサ読取り値が有効でないか又は欠けている場合に、予備の有 効なセンサ読取り値と上記第２、第３および第４の部門の電子装置の内の残りの ２つからの２つの有効なセンサ読取り値とで構成される３つの有効なセンサ読取 り値の内の少なくとも２つのセンサ読取り値が上記設定値を超えたことに応動し て、上記安全動作禁止信号の出力を終了させる手段をが含んいること を特徴とする安全動作を開始する系。 ２．上記第１の部門の電子装置の上記安全動作禁止信号終了手段が、上記第２ 、第３および第４の部門の電子装置の内の２つの電子装置からのセンサ読取り値 が有効でないか又は欠けている場合に、予備の有効なセンサ読取り値と上記第２ 、第３および第４の部門の電子装置の内の残りの１つからの有効なセンサ読取り 値とで構成される２つの有効なセンサ読取り値の内のいずれか一方が上記設定値 を超えたことに応動して、安全動作禁止信号の出力を終了させる請求項１記載の 系。 ３．更に、上記第１乃至第４の部門の電子装置の各々から出力を受けるように 接続されたハードウェア論理回路を有し、上記ハードウェア論理回路は、上記第 １乃至第４の部門の電子装置の内の少なくとも２つからの安全動作禁止信号の受 信の中断に応動して正規状態から安全動作状態に変わる請求項１記載の系。 ４．更に、安全アクチュエータおよび冗長な第１および第２のアクチュエータ の電源回路を有し、上記安全アクチュエータは上記ハードウェア論理回路を介し て上記第１および第２のアクチュエータ電源回路に結合される請求項３記載の系 。 ５．開放状態および閉成状態を各々有する第１乃至第４の組の遮断器および上 記第１乃至第４の組の各組の内の遮断器を直列に接続するための電気接続が上記 ハードウェア論理回路に含まれ、上記第１乃至第４の部門の電子装置により上記 第１乃至第４のセンサ読取り値を処理した結果の関数として、上記第１乃至第４ の組の遮断器の状態がそれぞれ制御される請求項４記載の系。 ６．上記第１乃至第４の部門の電子装置および上記第１乃至第４の組の遮断器 をそれぞれ収容するための第１乃至第４の計測ボールトも含まれ、上記相互通信 チャネルおよび上記電気接続が上記計測ボールトの壁を貫通し、上記第１および 第２の電源回路が上記第１および第２の計測ボールトの中にそれぞれ収容される 請求項５記載の系。 ７．第１乃至第４の直流電源回路、ならびに上記第１乃至第４の部門の電子装 置および上記第１乃至第４の直流電源回路をそれぞれ収容するための第１乃至第 ４の計測ボールトも含まれ、上記第１の部門の電子装置は上記第１および第４の 直流電源回路から直流電力を受け、上記第２の部門の電子装置は上記第１および 第２の直流電源回路から直流電力を受け、上記第３の部門の電子装置は上記第２ および第３の直流電源回路から直流電力を受け、上記第４の部門の電子装置は上 記第３および第４の直流電源回路から直流電力を受ける請求項１記載の系。 ８．上記第１乃至第４の直流電源回路の各々に、 正規運転の間、上記対応する部門の電子装置および他の１つの部門の電子装置 にそれぞれの隔離ダイオードを介して直流電力を供給するためのそれぞれの、交 流電力を供給される電池の充電器であって、各電池充電器がそれぞれの交流電力 バスから交流電力を受け、各交流電力バスが二重の交流電源から交流電力を受け るような電池の充電器、および 交流電力が止まった場合に上記対応する部門の電子装置および上記他の１つの 部門の電子装置に上記隔離ダイオードを介して直流電力を供給するためのそれぞ れのバックアップ電池であって、正規運転の間、上記それぞれの電池が上記それ ぞれの電池充電器によって充電されるようなバックアップ電池 が含まれる請求項７記載の系。 ９．重大なパラメータの監視に応動して安全動作を開始する系に於いて、 重大なパラメータの値を独立に検出して、第１乃至第４のセンサ読取り値をそ れぞれ出力する第１乃至第４のセンサ、 上記センサにそれぞれ接続されて、上記第１乃至第４のセンサ読取り値をそれ ぞれ処理する第１乃至第４の部門の電子装置であって、各々の電子装置はそれ自 身のセンサ読取り値が障害により有効でないとき判定する手段および安全動作禁 止信号を出力する手段を含んでいる第１乃至第４の部門の電子装置、および 上記第１乃至第４の部門の電子装置の各々が他の部門の電子装置から処理され たセンサ読取り値を受けるように、上記第１乃至第４の部門の電子装置を相互接 続する相互通信チャネルを含み、 上記第１の部門の電子装置は、上記第１乃至第４の部門の電子装置の全てが使 用されているときに上記第２乃至第４の部門の電子装置の内の少なくとも２つか ら設定値を超えるセンサ読取り値を受けたことに応動して、もしくは（ａ）上記 第２乃至第４の部門の電子装置の内の１つが使用されていない状態、（ｂ）残り の３つの部門の電子装置の内の少なくとも２つからのセンサ読取り値が有効であ る状態、および（ｃ）上記３つの有効なセンサ読取り値の内の少なくとも２つが 上記設定値を超えている状態の組に応動して、安全動作禁止信号の出力を終了さ せる手段を含んでいること を特徴とする安全動作を開始する系。 １０．上記第１乃至第４の部門の電子装置の内の少なくとも２つからの安全動 作禁止信号の受信の中断に応動して正規状態から安全動作状態に変わるハードウ ェア論理回路も含まれる請求項９記載の系。 １１．安全アクチュエータおよび冗長な第１および第２のアクチュエータの電 源回路も含まれ、上記安全アクチュエータは上記ハードウェア論理回路を介して 上記第１および第２のアクチュエータ電源回路に結合される請求項１０記載の系 。 １２．開放状態および閉成状態を有する第１乃至第４の組の遮断器および上記 第１乃至第４の組の各組の内の遮断器を直列に接続するための電気接続が上記ハ ードウェア論理回路に含まれ、それぞれ上記第１乃至第４の部門の電子装置によ り上記第１乃至第４のセンサ読取り値を処理した結果の関数として、上記第１乃 至第４の組の遮断器の状態がそれぞれ制御される請求項４記載の系。 １３．上記第１乃至第４の部門の電子装置および上記第１乃至第４の組の遮断 器をそれぞれ収容するための第１乃至第４の計測ボールトも含まれ、上記相互通 信チャネルおよび上記電気接続が上記計測ボールトの壁を貫通し、上記第１およ び第２の電源回路が上記第１および第２の計測ボールトの中にそれぞれ収容され る請求項１２記載の系。 １４．第１乃至第４の直流電源回路、ならびに上記第１乃至第４の部門の電子 装置および上記第１乃至第４の直流電源回路をそれぞれ収容するための第１乃至 第４の計測ボールトも含まれ、上記第１の部門の電子装置は上記第１および第４ の直流電源回路から直流電力を受け、上記第２の部門の電子装置は上記第１およ び第２の直流電源回路から直流電力を受け、上記第３の部門の電子装置は上記第 ２および第３の直流電源回路から直流電力を受け、上記第４の部門の電子装置は 上記第３および第４の直流電源回路から直流電力を受ける請求項９記載の系。 １５．上記第１乃至第４の直流電源回路の各々に、 正規運転の間、上記対応する部門の電子装置および他の１つの部門の電子装置 にそれぞれの隔離ダイオードを介して直流電力を供給するためのそれぞれの、交 流電力を供給される電池の充電器であって、各電池充電器がそれぞれの交流電力 バスから交流電力を受け、各交流電力バスが二重の交流電源から交流電力を受け るような電池の充電器、および 交流電力が止まった場合に上記対応する部門の電子装置および上記他の１つの 部門の電子装置に上記隔離ダイオードを介して直流電力を供給するためのそれぞ れのバックアップ電池であって、正規運転の間、上記それぞれの電池が上記それ ぞれの電池充電器によって充電されるようなバックアップ電池 が含まれる請求項１４記載の系。 １６．重大な原子炉パラメータの監視に応動して原子炉内のスクラムを開始す るための原子炉保護系に於いて、 重大な原子炉パラメータの値を独立に検出して、第１乃至第４のセンサ読取り 値をそれぞれ出力する第１乃至第４のセンサ、 上記センサにそれぞれ接続されて、上記第１乃至第４のセンサ読取り値をそれ ぞれ処理する第１乃至第４の部門の電子装置であって、各々の電子装置はそれ自 身のセンサ読取り値が障害により有効でないと判定する手段および安全動作禁止 信号を出力する手段を含んでいる第１乃至第４の部門の電子装置、および 上記第１乃至第４の部門の電子装置の各々が他の部門の電子装置から処理され たセンサ読取り値を受けるように、上記第１乃至第４の部門の電子装置を相互接 続する相互通信チャネルを含み、 上記第１乃至第４の部門の電子装置の各々は、上記第１乃至第４の部門の電子 装置の全てが使用されているときには第１のルーチンに従って、そして上記第１ 乃至第４の部門の電子装置の内の３つだけが使用されているときには上記第１の ルーチンと異なる第２のルーチンに従って、上記スクラム禁止信号の出力を選択 的に終了させる手段を含み、上記第１および第２のルーチンの各々では、上記ス クラム禁止信号の出力を終了させる前に設定値を超える少なくとも２つの有効な センサ読取り値が存在することが要求されること を特徴とする原子炉保護系。 １７．上記第１の部門の電子装置は、それ自身の有効なセンサ読取り値を予備 として記憶する手段、上記第２、第３および第４の部門の電子装置から伝えられ た３つの有効なセンサ読取り値の内の任意の２つが設定値を超えたことに応動し て、もしくは上記第２、第３および第４の部門の電子装置の内の１つからのセン サ読取り値が有効でないか又は欠けている場合に、予備の有効なセンサ読取り値 と上記第２、第３および第４の部門の電子装置からの任意の有効なセンサ読取り 値とで構成される３つの有効なセンサ読取り値の内の少なくとも２つのセンサ読 取り値が上記設定値を超えたことに応動して、上記スクラム禁止信号の出力を終 了させる手段を含んでいる請求項１６記載の原子炉保護系。。 １８．上記第１の部門の電子装置の上記スクラム禁止信号終了手段が代わりに 、上記第２、第３、および第４の部門の電子装置の内の２つの電子装置からの非 有効または欠けたセンサ読取り値、ならびに（予備の有効なセンサ読取り値およ び 上記第２、第３、および第４の部門の電子装置の内の残りの１つからの有効なセ ンサ読取り値で構成される）２つの有効なセンサ読取り値の内のいずれか一方が 上記設定値を超えたことに応動して、スクラム禁止信号を終了させる請求項１７ 記載の原子炉保護系。 １９．上記第１乃至第４の部門の電子装置の各々から出力を受けるように接続 されたハードウェア論理回路も含まれ、上記第１乃至第４の部門の電子装置の内 の少なくとも２つからのスクラム禁止信号の受信の中断に応動して上記ハードウ ェア論理回路が正規状態からスクラム状態に変わる請求項１６記載の原子炉保護 系。 ２０．安全アクチュエータおよびアクチュエータ電源回路も含まれ、上記安全 アクチュエータが上記第１のハードウェア論理回路を介して上記アクチュエータ 電源回路に結合され、上記第１乃至第４の部門の電子装置の内の少なくとも２つ からのスクラム信号の受信に応動して上記安全アクチュエータと上記アクチュエ ータ電源回路との間の電気接続を選択的に形成または切断するための遮断器が上 記第１のハードウェア論理回路に含まれる請求項１９記載の原子炉保護系。 ２１．重大なパラメータの監視に応動して安全動作を開始するための自己試験 系に於いて、 重大なパラメータの値を独立に検出して、第１乃至第４のセンサ読取り値をそ れぞれ出力する第１乃至第４のセンサ、 上記第１乃至第４のセンサにそれぞれ接続されて、上記第１乃至第４のセンサ の読取り値をそれぞれ処理する第１乃至第４の部門の電子装置であって、各々の 電子装置はそれぞれのセンサ読取り値が所定の閾値電圧より低いことに応動して 安全動作禁止信号を出力し、上記それぞれのセンサ読取り値が上記所定の閾値電 圧より高いことに応動して上記安全動作禁止信号の出力を終了させる手段を含ん でいる第１乃至第４の部門の電子装置、および 上記第１乃至第４の部門の電子装置の各々が他の部門の電子装置から処理され たセンサ読取り値を受けるように、上記第１乃至第４の部門の電子装置を相互接 続する相互通信チャネルを含み、 上記第１乃至第４の部門の電子装置の各々は、上記それぞれのセンサ読取り値 の代わりにそれぞれの基準電圧を入力する手段、および上記部門の電子装置の内 の１つの部門の電子装置のそれ自身の基準電圧に対する応答と他の１つの部門の 電子装置のそれ自身の基準電圧に対する応答との差を検出する手段を含んでいる ことを 特徴とする自己試験系。 ２２．上記第１乃至第４の部門の電子装置の各々は、上記それぞれのセンサお よび上記それぞれの基準電圧源を順にポーリングするマルチプレクサ手段を含ん でいる請求項２１記載の自己試験系。 ２３．上記第１乃至第４の部門の電子装置の各々は、上記第１乃至第４のセン サからのセンサ読取り値をそれぞれサンプリングする手段、上記サンプリングさ れたセンサ読取り値を多数の過去のセンサ読取り値と平均化する手段、およびセ ンサの故障を表示するために平均センサ読取り値を所定のセンサの正当限界と比 較する手段を更に含んでいる請求項２１記載の自己試験系。 ２４．上記サンプリングされたセンサ読取り値をディジタル化するための手段 、および上記通信チャネルを経由して他の部門の電子装置に送信するために上記 ディジタル化されたセンサ読取り値に検証フラグを追加するための手段も上記第 １乃至第４の部門の電子装置の各々に含まれ、上記検証フラグは現在のセンサ読 取り値を所定のセンサの正当限界と比較した結果の関数である請求項２３記載の 自己試験系。 ２５．異なる部門の電子装置によって処理された有効なセンサ読取り値の非一 様性に応動して誤りメッセージを発するための手段も上記第１乃至第４の部門の 電子装置の各々に含まれる請求項２４記載の自己試験系。 ２６．更に、上記第１乃至第４の部門の電子装置の各々から出力を受けるよう に接続されたハードウェア論理回路を有し、上記ハードウェア論理回路は、上記 第１乃至第４の部門の電子装置の内の少なくとも２つからの安全動作禁止信号の 受信の中断に応動して正規状態から安全動作状態に変わる請求項２１記載の自己 試験系。 ２７．安全アクチュエータおよびアクチュエータ電源回路も含まれ、上記安全 アクチュエータが上記ハードウェア論理回路を介して上記アクチュエータ電源回 路に結合される請求項２５記載の自己試験系。 ２８．重大なパラメータの監視に応動して安全動作を開始するための自己試験 系に於いて、 上記重大なパラメータを監視する第１乃至第４の手段、 上記重大なパラメータが所定の閾値を超えないときには第１乃至第４の連続し た安全動作禁止信号を発し、上記重大なパラメータが上記所定閾値を超えたとき にはそれぞれの安全動作禁止信号を中断する第１乃至第４の部門の処理手段、 上記第１乃至第４の部門の処理手段の各々から出力を受けるように接続された ハードウェア論理回路であって、上記第１乃至第４の部門の処理手段の内の少な くとも２つによる上記安全動作禁止信号の中断に応動して正規状態から安全動作 状態に変わるハードウェア論理回路、 安全アクチュエータ、 上記ハードウェア論理回路を介して上記アクチュエータが結合されるアクチュ エータ電源回路、および 上記ハードウェア論理回路の状態を検出する手段を含み、 上記第１乃至第４の部門の処理手段の各々は、上記ハードウェア論理回路の障 害状態を上記検出手段の出力の関数として診断する手段を含んでいること を特徴とする自己試験系。 ２９．上記状態検出手段は、上記ハードウェア論理回路のそれぞれの部門の状 態を表すそれぞれのアナログ信号を出力する複数のセンサ、および上記複数のア ナログ信号をハードウェア論理状態符号を構成する対応する複数のディジタル信 号に変換する手段を含み、上記診断手段は上記ハードウェア論理状態符号に依存 して上記ハードウェア論理回路内に障害が存在するか否かを示す信号を出力する 請求項２８記載の自己試験系。 ３０．各々が開放状態および閉成状態を有する第１乃至第４の組の遮断器およ び上記第１乃至第４の組の各組の内の遮断器を直列に接続するための電気接続が 上記ハードウェア論理回路に含まれ、それぞれ上記第１乃至第４の部門の処理手 段による信号出力の関数として、上記第１乃至第４の組の遮断器の状態がそれぞ れ制御される請求項２９記載の自己試験系。 ３１．第２から第４の部門の処理手段がそれぞれ上記第２から第４組の遮断器 に安全動作禁止信号を出力している時間の間に、上記第１組の遮断器への安全動 作禁止信号の出力を終了させるための試験手段も上記第１の部門の処理手段に含 まれる請求項３０記載の自己試験系。 ３２．読取り専用記憶（ＲＯＭ）に記憶された多数の基準ハードウェア論理状 態符号が上記診断手段に含まれる 請求項３０記載の自己試験系。 ３３．上記遮断器を相互接続することにより、電流遮断論理回路が形成される 請求項３０記載の自己試験系。 ３４．上記電流遮断論理回路の内の遮断器相互の間の異なる結合点に接続され て、上記それぞれの結合点での電流の関数としてそれぞれのアナログ出力信号を 出力する電流センサが上記複数のセンサに含まれる請求項３３記載の自己試験系 。 ３５．上記遮断器を相互接続することにより、電圧形成論理回路が形成される 請求項３０記載の自己試験系。 ３６．上記電圧形成論理回路の内の遮断器の両端間に接続されて、上記それぞ れの遮断器の両端間の電圧の関数としてそれぞれのアナログ出力信号を出力する 電圧センサが上記複数のセンサに含まれる請求項３５記載の自己試験系。 ３７．重大な原子炉パラメータの監視に応動して原子炉のスクラムを開始する ための自己試験原子炉保護系に於いて、 重大な原子炉パラメータの値を独立に検出して、第１乃至第４のセンサ読取り 値をそれぞれ出力する第１乃至第４の原子炉パラメータ・センサ、 上記第１乃至第４の原子炉パラメータ・センサにそれぞれ接続されて、上記第 １乃至第４のセンサ読取り値をそれぞれ処理する第１乃至第４の部門の電子装置 であって、各々の電子装置は上記それぞれのセンサ読取り値が所定の閾値電圧よ り低いことに応動してスクラム禁止信号を出力し、上記それぞれのセンサ読取り 値が上記所定の閾値電圧より高いことに応動して上記スクラム禁止信号の出力を 終了させる手段を含んでいる第１乃至第４の部門の電子装置、および 上記第１乃至第４の部門の電子装置の各々が他の部門の電子装置から処理され たセンサ読取り値を受けるように、上記第１乃至第４の部門の電子装置を相互接 続する相互通信チャネルを含み、 上記第１乃至第４の部門の電子装置の各々は、上記それぞれのセンサ読取り値 の代わりに上記所定の閾値電圧より大きいそれぞれの基準電圧を入力する手段、 上記それぞれの基準電圧の入力に拘わらずスクラム禁止信号を出力する手段、上 記部門の電子装置の内の１つの部門の電子装置のそれ自身の基準電圧に対する応 答と他の部門の電子装置のそれ自身の基準電圧に対する応答との差を検出する手 段、および異なる部門の電子装置によって処理されたセンサ読取り値の非一様性 に応動して誤りメッセージを発する手段を含んでいること を特徴とする自己試験原子炉保護系。 ３８．更に、上記第１乃至第４の部門の電子装置の各々から出力を受けるよう に接続されたハードウェア論理回路であって、上記第１乃至第４の部門の電子装 置の内の少なくとも２つによる上記スクラム禁止信号の中断に応動して正規状態 からスクラム状態に変わるハードウェア論理回路、 スクラム動作を行うための安全アクチュエータ、 上記ハードウェア論理回路を介して上記アクチュエータが結合されるアクチュ エータ電源回路、および 上記ハードウェア論理回路の状態を検出する複数のハードウェア論理状態セン サを有し、 上記第１乃至第４の部門の電子装置の各々が上記ハードウェア論理回路の障害 状態を上記ハードウェア論理状態センサの出力の関数として診断する手段を含ん でいる請求項３７記載の自己試験原子炉保護系。 ３９．各々が開放状態および閉成状態を有する第１乃至第４の組の遮断器およ び上記第１乃至第４の組の各組の内の遮断器を直列に接続するための電気接続が 上記ハードウェア論理回路に含まれ、それぞれ上記第１乃至第４の部門の電子装 置による信号出力の関数として、上記第１乃至第４の組の遮断器の状態がそれぞ れ制御され、第２から第４の部門の処理手段がそれぞれ上記第２から第４組の遮 断器にスクラム禁止信号を出力している時間の間に、上記第１組の遮断器へのス クラム禁止信号の出力を終了させるための試験手段も上記第１の部門の処理手段 に含まれる請求項３８記載の自己試験原子炉保護系。 ４０．上記それぞれの原子炉パラメータセンサおよび上記ハードウェア論理状 態センサを順にポーリングするためのマルチプレクサ手段、およびもう１つの部 門の電子装置による動作状態の試験が検出されたとき上記試験手段の動作を防止 するための手段も上記第１乃至第４の部門の電子装置の各々に含まれる請求項１ ９記載の自己試験原子炉保護系。 ４１． 重大なパラメータの値を独立に検出して、第１乃至第４のセンサ読取 り値をそれぞれ出力する第１乃至第４のセンサ、上記第１乃至第４のセンサにそ れぞれ接続されて、上記第１乃至第４のセンサ読取り値をそれぞれ処理する第１ 乃至第４の部門の電子装置であって、各々の電子装置は上記それぞれのセンサ読 取り値がそれぞれの所定の閾値電圧より低いことに応動して安全動作禁止信号を 出力し、上記それぞれのセンサ読取り値が上記それぞれの所定の閾値電圧より高 いことに応動して上記安全動作禁止信号の出力を終了させる手段を含んでいる第 １乃至第４の部門の電子装置、および上記第１乃至第４の部門の電子装置の各々 が他の部門の電子装置から処理されたセンサ読取り値を受けるように、上記第１ 乃至第４の部門の電子装置を相互接続する相互通信チャネルをそなえている、重 大なパラメータの監視に応動して安全動作を開始する系を試験するための方法に 於いて、 各ポーリング・サイクルの間に一回、上記第１乃至第４のセンサを順にポーリ ングするステップ、 各ポーリング・サイクルの間に上記それぞれの所定の閾値レベルを超えるレベ ルを有するそれぞれの基準信号を入力するステップであって、上記基準電圧がセ ンサ入力として扱われるような入力ステップ、 上記ポーリング・サイクルの内の選択された１つのポーリング・サイクルの間 に上記それぞれの基準信号が上記それぞれの所定の閾値レベルを超えたことに応 動して、上記第１乃至第４の部門の電子装置の内の選択された１つの部門の電子 装置により上記それぞれの安全動作禁止信号の出力を終了させるステップ、およ び 上記それぞれの基準信号が上記それぞれの所定の閾値レベルを超えたことに応 動して、上記第１乃至第４の部門の電子装置の内で上記選択されたものと異なる 部門の電子装置により上記それぞれの安全動作禁止信号の出力の終了を禁止する ステップ を含んでいることを特徴とする方法。