KR20080013153A - 디지털 원자로 보호 시스템 - Google Patents

Abstract

본 발명은 발전소의 원자로 관련 장치들의 동작 상태를 나타내는 디지털 신호를 받아서 이상 상태가 발생하면 원자로를 안전하게 정지시키는 디지털 원자로 보호 시스템으로서, 디지털 신호를 받아서 처리하는 채널 4개를 포함하고, 상기 각 채널은 발전소의 원자로 관련 장치들의 동작 상태를 나타내는 디지털 신호를 받아서 처리하되, CPU와 운영체계(OS)를 사용하지 아니하고 각각 다른 디지털신호처리기(DSP)를 사용하여 구성한 바이스테이블 모듈, 동시논리 모듈, 원자로정지 개시모듈, 공학적안전설비 개시모듈을 포함하여 구성함으로써, 운영체계를 사용하는 디지털 원자로 보호 시스템에서 발생하는 소프트웨어 공통 유형 고장 발생을 방지하도록 한 것이다.

원자로, 트립신호, 바이스테이블모듈, 동시논리모듈, 원자로정지개시모듈, 공학적안전설비개시모듈

Description

디지털 원자로 보호 시스템{Digital Security System for Nuclear Power Plant}

도 1은 본 발명 디지털 원자로 보호 시스템의 기능적 구성을 나타내는 도면이다.

도 2는 본 발명에 따른 디지털 원자로 보호시스템의 한 채널에 대한 구성 및 하드웨어 구성을 나타내는 도면이다.

도 3은 제어신호 및 시험신호를 생성하기 위한 터치 입력을 제공하고, 발전소 계통으로부터 전송받은 정보를 표시하는 보수시험반의 구성을 나타내는 도면이다.

본 발명은 디지털 원자로 보호시스템에 관한 것으로서, 운영체계를 사용하지 않는 DSP를 이용한 원자로 보호 시스템에 관한 것이다. 특히 운영체계의 미사용에 따른 운영체계 소프트웨어의 공통유형고장을 배제하고 서로 다른 DSP를 사용하여 디지털 원자로 보호시스템의 공통모드고장을 배제할 수 있도록 한 디지털 원자로 보호시스템에 관한 것이다.

원자로 보호 시스템은 이상 사태가 발생할 때 원자로를 정지시키는 기능을 제공하는 것으로서, 계측계통으로부터 받은 입력 신호를 연속적으로 감시하고, 만약 입력신호가 안전 설정치를 벗어나면 자동적으로 원자로 정지 신호를 생성하여 원자로를 정지시키도록 한다. 원자로의 정지는 원자로 정지용 전력 차단기를 개방하여 제어봉 구동장치에 공급되는 전원을 차단함으로써 제어봉이 중력에 의해 원자로 내부로 낙하되어 원자로가 정지되게 한다.

원자로 보호 시스템의 안전 설정치들은 플랜트의 예상 운전 과도 상태와 가상 사고가 미치는 영향을 고려하여 플랜트를 안전하게 유지할 수 있도록 선정된다. 원자로 보호 시스템은 운전 상태를 나타내는 계측 제어값들이 이러한 설정치를 벗어날 때 원자로를 정지 및 공학적 안전 설비 계통을 동작시킴으로써 핵연료 및 원자로 냉각재계통 관련 허용기준을 초과하지 않고, 사고시 노심 냉각과 원자로건물 건전성이 유지되도록 하는 기능을 한다.

종래의 원자로 보호 시스템은 고리 2, 3, 4호기 및 영광 1, 2, 3, 4, 5, 6호기, 울진 3. 4호기처럼 아날로그 기술을 기반으로 설계 운영되고 있는데, 아날로그 기술을 이용한 부분들의 구성 부품확보가 어렵고, 비록 확보된다고 하여도 고가이며, 아날로그 부품들은 대부분 단종되고 있기 때문에, 기기 노후화에 따른 유지보수를 위하여 기존 보호 시스템의 디지털화가 요청되고 있다.

이러한 보호 시스템의 디지털화에 대한 기술을 공개한 대한민국 특허 공개번호 특 2001-0013442호가 있다. 여기서는 PLC (Programmable Logic Controller)를 사용하여 다중구조의 프로세서를 복수의 채널로 다중화시킴으로써 신뢰도를 향상시 킨 기술이 개시되어 있다.

PLC는 프로세서당 처리하는 입출력수가 비교적 적어 단순한 공정 제어용으로 사용되는 것이며 특히 단순한 소프트웨어 사용으로 운전 및 유지보수가 비교적 우수한 장점을 가지고 있으나, 제작사별로 규격화가 되어 있지 않아 서로 다른 기종간에는 게이트웨이(gateway)를 사용하거나 송수신 데이터에 제한을 받는 문제점이 있다. 즉 PLC 제어기기는 서로 다른 기종간의 프로세서 및 출력장치간에 호환성이 없는 문제점이 있다.

그리고 디지털 시스템에서는 소프웨어의 공통유형고장에 따른 해결 방안을 고려해야 한다. 소프트웨어는 어떠한 경우에도 공통유형고장이 발생할 수 있다는 전제하에 이러한 공통유형고장을 방지할 수 있는 수단을 갖추고 있어야 하기 때문에, 위 특허 공개 0013442호에서는 소프트웨어 공통유형고장을 원자로 보호시스템 자체 내에서 해결하지 못하고 별도의 다양성 보호 시스템(Diverse Protection System)을 설치하여 원자로를 정지할 수 있도록 하고 있다.

이는 디지털 보호 시스템이 공통유형고장에 의해 제 기능을 수행할 수 없을 때 별도의 보호 시스템인 다양성 보호 시스템이 어느 정도의 시간 경과 후 원자로 정지 기능을 작동시키도록 하였다.

결론적으로 이러한 방법은 독립된 별도의 타 시스템을 추가하여야 하기 때문에 전체 시스템의 설계 및 기기 비용이 증가하며, 기존 원전의 아날로그 보호 시스템 교체시에는 원자로 보호 시스템뿐만 아니라 관련된 타 시스템의 설계 변경이 요구되는 복잡한 문제가 야기된다.

디지털 시스템에 대한 또 다른 선행 기술은 대한민국 특허 공개번호 특2002-0085222호가 있는데, 이는 서로 상이한 CPU와 운영체제를 사용하는 한쌍의 비교논리 프로세서와 한쌍의 동시논리 프로세서를 포함하여, 하나의 비교논리 프로세서와 동시논리 프로세서는 Intel계열의 CPU와 QNX 운영체제를 사용하며, 다른 하나의 비교논리 프로세서와 동시논리 프로세서는 Motorola계열의 CPU와 VxWorks 운영체제를 사용하여, 문제를 해결하려는 것이었다. 하나의 비교논리 프로세서와 동시논리 프로세서는 순번이 정해진 트립처리 신호 변수들을 순번의 순방향으로 논리처리하고, 상기 다른 하나의 비교논리 프로세서와 동시논리 프로세서는 순번의 역방향으로 논리처리한다. 또한, 한쌍의 동시논리 프로세서의 디지털 출력모듈의 릴레이접점이 실배선 방식으로 연결되어 논리적 "OR" 회로를 구성할 수 있다. 나아가, 이러한 비교논리 프로세서와 동시논리 프로세서는 단일보드컴퓨터로 구현될 수 있도록 하고, 또 디지털원자로 보호시스템을 위한 고신뢰도 소프트웨어 생산방법은, (a) 상태도를 사용하여 소트프웨어 요건명세서를 작성하는 단계; (b) 상이한 운영체제를 사용하는 각 소프트웨어에 대한 설계설명서를 작성하는 단계; (c) 상기 작성된 설계설명서로부터 각 소프트웨어를 코딩하는 단계; (d) 상기 코딩된 각 소프트웨어에 대한 모듈시험을 행하는 단계; 및 (e) 상기 각 소프트웨어에 대한 상기 시험 결과를 비교하여 오류발생 여부를 확인하는 단계를 포함하여 이루어지는 것이었다.

위와 같은 단일보드컴퓨터의 경우 소프트웨어로된 운영체계를 사용하여야 하며, 이러한 운영체계에 대한 공통유형고장에 대한 안정성 분석이나 검정이 이루어 지니 않은 상태이며, 운영체계에 대한 어떠한 검증도 이루어지지 않는 상태에서 상 용 운영체계를 탑재하여 시스템을 운영할 경우에 소프트웨어의 잠재적인 오류에 대해서는 어떠한 방어도 할 수 없는 문제점이 있다.

또한 단일보드 컴퓨터 내에 탑재된 운영체계 및 응용소프트웨어의 오류로 인하여 다중 장비들에서 공통모드 고장을 일으킬 수 있고, 이러한 고장은 하드웨어로써 구축된 다중성을 파기시킬 수 있으며, 경우에 따라서는 디지털 계측제어계통의 감시, 제어, 원자로 정지 및 공학적 안전기능으로 이루어진 한 계층 이상의 심층방어개념을 무너뜨릴 수도 있는 문제점이 있다.

일반적으로 소프트웨어 오류들은 사양서 작성오류, 설계오류와 코딩오류로 분류되고, 사양서가 잘못 작성되면 소프트웨어 개발 초기부터 오류를 내포한 소프트웨어가 개발될 수밖에 없으므로 심각한 소프트웨어 오류를 파생하게 된다. 또한 사양서가 제대로 작성되었더라도 설계오류는 사양서를 잘못 해석하였거나 또는 불충분하고 부적합한 논리의 사용으로부터 생길 수 있고, 소프트웨어 코딩오류는 코드 생산과정에서 발생하며 대표적인 코드오류는 입력 오류, 부정확한 수치 사용, 부호 생략, 그리고 불확실한 표현 사용 등으로서 이러한 오류들로 부터 신뢰성의 저하가 문제되고 있다.

단일사건이 다중장비와 계통들에 동시에 영향을 끼쳐 그 기능 수행이 불가능해지는 사건들을 공통모드과정으로 정의한다.

원자력 플랜트의 안전관련 계측제어계통을 설계함에 있어 안전성과 높은 신뢰도를 확보하는 것이 중요하다. 이러한 요건을 해결하기 위해서는 다중성을 통한 신뢰성 확보와 안전성 확보등의 방법이 있으나, 보호계통과 같이 채널로 구성된 다 중계통에서도 다중장비 간에 물리적 종속성이 존재하게 되므로 하나의 원인으로 인한 공통모드 고장의 발생시에 다중성을 통하여 구축해 놓은 안전성과 높은 신뢰성이 동시에 무너져 안전계통이 원하는 기능을 수행하지 못하는 문제점이 있어 왔다.

기존의 아날로그 계통에서는 다중화 된 안전계통의 각 채널이 충분히 독립되어 있다면 외부의 영향으로 인한 공통모드고장의 발생 가능성을 제외하고 계통 내부의 공통모드고장의 발생 가능성은 매우 낮은 것으로 평가되었다.

그런데 디지털 기술을 이용한 안전계통에서는 많은 기능이 하나의 하드웨어 상에서 소프트웨어로 구현됨에 따라 계통의 기능 수행에 있어 외부적인 영향뿐만 아니라 계통 내부에서도 소프트웨어와 하드웨어가 공통모드고장을 일으킬 수 있는 디지털 기기의 설계 및 프로그래밍 오류에 취약한 것으로 알려져 있다.

왜냐하면 디지털 계통은 기존의 아날로그 계통과는 달리 많은 정보량과 정보처리능력을 갖게되며, 또한 아날로그계통에 비해 데이터 전송, 처리기능, 그리고 공정정비 등을 많이 공유하게 된다. 이와 같은 공유는 디지털계통이 갖는 큰 장점이 되기도 하지만, 공통모드고장에 취약점을 가지고 있어 하드웨어로써 구축된 다중성을 파기시킬 수도 있다. 따라서 디지털 안전계통의 설계시에 공통모드고장의 발생 가능성은 매우 중요한 현안으로 부각되었다.

공통모드고장에 대비하는 방어수단으로는 안전계통이 갖추어야 하는 품질, 다중성, 격리 및 다양성이 있다. 다양성은 서로 다른 기술, 신호 그리고 알고리듬 등을 이용하여 중복된 기능 수행을 하는 것으로 정의된다. 다양성의 종류로는 인적, 설계, 기기, 신호, 소프트웨어, 기능 다양성이 있다. 너무 높은 수준의 다양성 을 확보하는 방법은 안전계통에서 요구되는 품질, 안전성을 저하시키는 잠재적인 요소를 가지고 있다. 따라서 안전계통의 설계시에 품질, 안전성을 해치지 않는 다양성의 수준을 고려해야 한다.

본 발명은 위에서 제시한 문제점을 해결하기 위한 것으로, 운영체계를 사용하지 않고 DSP를 사용하는 시스템을 개발함으로서 운영체계를 사용하는 디지털 보호 시스템에서 발생하는 공통유형고장을 방지할 수 있도록 하고, 종래 시스템보다 더욱 안전성과 신뢰도를 향상시킨 디지털 보호 시스템을 제공하는데 목적이 있다.

위에서 제시한 목적을 달성하기 위해, 본 발명에 따른 운영체계를 사용하지 않는 디지털 신호 처리기 DSP를 사용한 디지털 원자로 보호시스템은 운영체제를 사용하지 않는 서로 다른 기종의 DSP를 사용하여 디지털 원자로 보호시스템을 구성한다.

본 발명의 디지털 원자로 보호시스템 구성은 하나의 DSP로 바이스테이블 모듈, 동시논리 모듈, 원자로정지 개시모듈, 공학적안전설비 개시모듈을 각각 구성하고 다른 기종의 DSP로 동일한 모듈을 다시 구성하여 2조를 합하여 하나의 채널이 되도록 한다.

이하, 첨부된 도면을 참조로 본 발명의 바람직한 실시 예를 상세히 설명하기로 한다.

도 1은 본 발명에 따른 운영체계를 사용하지 않는 DSP를 사용한 디지털 원자 로 보호시스템의 기능적 구성을 나타내는 도면이다.

도면을 참조하면, 디지털 원자로 보호시스템은 4개의 채널(A, B, C, D)로 구성되며 각 채널은 바이스테이블 모듈(Bistable Module:BSM), 동시논리 모듈(Coincidence Module:CCM), 원자로 정지 개시 모듈(Reactor Trip Initiation Module:RIM), 공학적 안전설비 개시모듈(ESF Initiation Module:EIM), 보수시험반(Maintenance and Test Panel:MTP) 등으로 구성된다.

바이스테이블 모듈(20)은 계측계통(10)으로부터 공정변수 값(발전소 설비에 설치된 각종 센서들이 발생하는 신호)을 입력받아 공정변수마다 미리 지정된 설정치와 비교함으로써 트립상태를 결정한다. 바이스테이블 모듈(20)의 트립상태는 안전통신망(도 2의 100)을 통해 동일 채널 및 타 채널의 동시논리 모듈(30)로 전송된다.

동시논리 모듈(30)은 각 채널 바이스테이블 모듈(20)에서 판단한 각 변수별 트립 출력을 다른 채널의 결과와 함께 투표방식(Voting)에 의하여 해당 채널의 트립 여부를 결정한다. 동시논리 모듈(30)에서는 자기 채널의 바이스테이블 모듈(20)의 트립 출력 결과와 다른 세 채널의 바이스테이블 모듈(20) 트립 출력을 기반으로 4 채널 중 2 채널 이상의 바이스테이블 모듈(20) 출력이 트립이면 변수별 트립을 생성한다. 동시논리 모듈(30)의 출력 중 원자로정지를 위한 변수는 원자로정지 개시모듈(40)로 전송되고 공학적안전설비작동을 위한 변수는 공학적안전설비 개시모듈(50)로 전송된다.

원자로정지 개시모듈(40)과 공학적안전설비 개시모듈(50)은 동시논리 모 듈(30)으로부터의 출력을 받아 보호계통 내부의 예상치 못한 외란에 의한 불필요한 트립신호의 발생을 막기 위해 내부적으로 일정시간 지연루틴을 수행하고 지연시간동안 일정하게 트립 상태가 유지되는 경우에 최종 원자로정지 신호와 공학적안전설비 작동 개시신호를 내보낸다.

보수시험반(60)은 시스템의 운전상태를 표시하고 트립채널 우회 및 시험을 수행하는데 사용된다. 안전등급소프트제어기(SGSC:80a)는 주제어실에 설치되어 시스템의 상태를 표시하고 제어 등의 기능을 수행하는데 사용된다.

시스템 구성은 4채널로 되어 있고 한 채널은 다른 기종의 DSP를 사용하여 분리되어 있다. 한 채널에 대한 구성에 대해서 자세한 설명을 한다.

도 2는 본 발명에 따른 DSP를 사용한 디지털 보호계통 시스템의 한 채널에 대한 구성 실예를 나타낸다.

본 실시예서 사용되는 일반적인 구성요소들을 개략적으로 먼저 설명한다.

서브 랙은 바이스테이블 모듈을 구성하는 디지털신호처리카드(DSP)와 네트워크 인터페이스카드(NIC) 그리고 SRPC(Sub-Rack Power Card)을 수용하는 19 inch 표준 랙에 장착되며, 3U의 높이를 가진다. 서브랙의 백플레인은 VMEbus 구조를 가지며, 설치되는 카드에 전원을 공급하고 모듈간 필요한 데이터를 VMEbus를 통하여 데이터를 전송하는 기능을 가지고 있으며 8～16개의 카드를 설치할 수 있는 슬롯이 구비되어 있다.

디지털신호처리카드(DSP)는 응용알고리즘 및 시험 등의 알고리즘을 수행한다. 카드는 데이터를 처리하는 부분과 VMEbus를 제어하기위한 VMEbus Master Controller 부분으로 구성된다. 카드는 32비트 디지털신호처리 프로세서를 사용하며, EPLD, ROM과 RAM을 내장하고 있다. 신호를 처리하는 응용프로그램은 ROM에 저장된다. 모듈전면에는 모듈의 상태를 파악 할 수 있는 LED Display가 있다.

네트워크 인터페이스카드(NIC)는 서브랙과 서브랙간, 채널과 채널간, 계통과 계통간의 데이터 전송을 위해 설계되었으며, 광신호처리용 EPLD 및 VMEbus Slave 용 EPLD를 내장하고 있다.

Sub-Rack Power Card(SRPC)은 서브 랙의 카드에 전원을 공급한다.

본 발명의 실시예에서 디지털 원자로 보호 시스템의 한 채널은 A1채널과 A2채널을 합친 것이다. 도2에서 보인 바와 같이 A1 채널은 바이스테이블 모듈(BSM1:20a), 동시논리 모듈(CCM1:30a), 원자로정지 개시모듈(RIM1:50a), 공학적안전설비 개시모듈(EIM1:40a)으로 구성되며, A2 채널은 바이스테이블 모듈(BSM2:20b), 동시논리 모듈(CCM2:30b), 원자로정지 개시모듈(RIM2:50b), 공학적안전설비 개시모듈(EIM2:40b)로 구성된다.

A1채널과 A2 채널은 서로의 연계가 없이 독립적으로 구성되며 A1채널과 A2 채널이 합해져서 A채널을 이루고 있다.

A1채널과 A2 채널은 공통유형고장을 배제하기 위해 운영체계를 사용하지 않는 서로 다른 기종의 DSP를 사용한다. A1채널에서는 핵계측계통(NIS:10a), 공정계측계통(PIS:10b) 및 노심보호계통(SCOPS:60a)으로부터 디지털화된 공정변수에 대한 값을 바이스테이블 모듈(BSM1:20a)이 받아서 처리하는데, 바이스테이블 모듈은 각 입력신호에 대하여 설정치와의 비교논리를 처리하여 그 결과를 동시논리 모 듈(CCM:30a)로 전송한다. 신호취득 및 변환 기능을 하기 위하여 현장 신호를 받아들이는 SC신호취득카드 (원자력발전소용 전류/전압 변환 카드, 원자력발전소용 리드스위치 위치 전송 카드, 원자력발전소용 주파수/전압 변화 카드, 원자력발전소용 저항/전압 변화 카드, 등)와 이를 통해 아나로그 신호를 디지털 신호를 변환하는 AD변환카드(원자력발전소용 VME-bus 기반의 아날로그/디지털 변환 카드), 이 신호를 결정시스템으로 운송하기위한 DSP카드(원자력발전소용 디지털프로세서 카드)들을 사용하고 있다.

이를 통해 통신망을 거친 신호는 BSM으로, 수신카드(원자력발전소용 VME-bus 기반의 안전통신카드)를 통해 설정치를 비교하는 DSP카드(원자력발전소용 디지털프로세서 카드)로 보내지며 여기서 결정된 설정치 비교결과는 다시 통신망을 통해 , CCM으로, 수신카드를 통해 보내져서 2 out of 4논리를 DSP카드에서 수행하게 된다. 이때 비교를 위하여 다른 채널에서도 각각 신호를 수신하게 된다.

동시논리 모듈(CCM:30a)는 "2 out of 4" 논리를 수행하고 그 결과를 원자로정지 개시모듈(RIM:50a)와 공학적안전설비 개시모듈(EIM:40a)에 전송한다. 이러한 과정을 거쳐 확인된 결정신호는 RIM으로 수신카드를 통해 보내지며 여기서 최종 오류신호 확인을 위하여 몇 번의 신호 주기 동안 동일한 결정이 내려지는지를 확인한 후 DSP카드는 디지털 출력카드(원자력발전소용 VME-bus 기반의 디지털 출력카드)를 통하여 결정사항을 원자로 정지를 위해 구성된 대형 릴레이로 보내게 된다. 즉, 원자로정지 개시모듈(RIM:50a)은 일정시간동안 트립신호가 지속되면 원자로를 정지시키기 위해 디지털 출력을 내보낸다. 원자로정지 개시모듈의 디지털 출력(DO)은 저 전압 트립 릴레이(Under Voltage Trip Relay:51b)와 분로 트립 릴레이(Shunt Trip Relay:51a)에 각각 신호를 내보낸다. A2 채널도 A1과 동일하다. 원자로를 정지시키는 최종 단의 정지차단기(TCB:52a)는 저전압 트립 릴레이(51b) 접점이 개방되거나 분로 트립 릴레이(51a) 접점이 닫히면 개방되며, 이로써, 원자로 제어봉구동장치에 공급되는 전력이 차단되어 모든 제어봉들이 원자로 내에서 자유 낙하시킴으로써 원자로를 정지시킨다.

공학적안전설비 개시모듈(EIM:40a)은 일정시간동안 트립신호가 지속되면 공학적안전설비 개시신호를 안전등급제어계통(SGCS:90a)으로 전송하여 원자로의 트립과 함께 발전소 모든 설비 전체를 안전하게 샷다운 되게 한다.

모든 데이터전송은 안전통신망을 통해 이루어지며 A1과 A2의 통신은 독립적이고 서로간에 연계가 없다. 통신을 위해 각 모듈은 네트워크 인터페이스 카드(NIC)를 가지고 있으며 채널간의 통신은 Sub-network Switch(SS:100a, 100b)에 의해서 이루어진다.

안전통신망은 시간적(Temporal locality of reference), 공간적 국부성(spatial locality of reference)를 바탕으로 설계되었으며, 메시지 트래픽의 특성을 고려하여 방송방식(broadcasting method)의 데이터 전송 방식을 적용하고, 하부망(sub-network) 구성 기준을 채널링(channeling) 요건을 바탕으로 계통의 각 채널을 4개의 하부 망으로 분리하여 구성되어있다. 각 하부 망은 전용 하부망스위치(Sub-network Switch: SS)를 통한 TDM 관리의 단위인 동시에, SS를 통하여 타 하부 망과의 통신을 수행한다.

DSP(Digital Signal Processor:20a) 모듈은 VMEbus 규격에 의거한 3U 보드 사이즈를 갖으며, 디지털신호처리기, VMEbus 제어기, 제어로직 회로 등으로 구성되어 있다.

네트워트 인터페이스 카드(NIC)는 모듈과 모듈간, 채널과 채널간, 계통과 계통간의 테이터 전송을 위해 설계되었으며, 광신호처리용 EPLD 및 VMEbus Slave용 EPLD를 내장하고 있다.

보수 시험반(MTP:70a)은 4개의 채널로 구성되며 플랜트 보호계통 캐비넷의 상단에 위치한다. MTP는 플랜트보호계통의 각 모듈에 전달하는 제어 신호 및 시험 신호를 생성하기 위한 터치 입력을 제공하는 제어 모듈과, 계측계통 플랜트 보호계통 노심보호계통으로부터 전송받은 상태 정보 및 시험 결과를 표시하기 위한 디스플레이 모듈을 가지고 있다.

MTP의 디스플레이 모듈은 LCD 패널에 통신망 연계를 통해 계통상태정보를 받아 표시하고, 보수 및 시험에 필요한 정보를 표시한다. 디스플레이 모듈은 플랜트 보호계통 캐비넷에 장착되어 플랜트 보호계통 각 모듈에 관한 모든 상태 정보를 각 모듈로부터 전송받아 표시한다. 자기진단 및 박동 신호(설명을 추가할 필요가 있습니다)의 결과도 모두 전송받아 이를 분석하고 이상이 있을 시에는 운전원에게 경보한다.

제어 모듈은 운전원의 요구에 의해 LCD패널의 터치스크린(또는 별도의 키패드)을 통해 직접 입력을 받아 운전 우회 및 채널 우회, 수동 리셋, 설정치 변경, 등의 기능을 하도록 한다. 또한 플랜트 보호계통의 바이스테이블 모듈, 동시논리 모듈, 원자로 정지 개시 모듈과 공학적 안전설비개시모듈과 노심 보호 계통에 직접 전달되는 시험신호를 생성하고 계통의 상태를 감시한다.

디스플레이와 제어 모듈은 도 3과 같이 TFT-LCD 패널을 제어하기 위하여 LCD 컨터롤러를 사용하였으며, 디지털 입력과 출력, 광통신 제어 등에 대한 제어신호 및 응용 소프트웨어의 동작을 위한 ARM Core 프로세서 기반의 모듈로서 구성되어 있다. 그리고 도2에서 보인 터치 스크린을 제어하기 위한 모듈은 TFT-LCD와는 독립적으로 설계되어 있으며, 초음파 방식의 터치 센싱 방법을 취하며 이를 위해 Touch Controller를 사용하였다. 이런 기능의 제어 및 광통신의 제어를 위해 DSP 프로세서를 사용하였다.

본 발명의 시스템의 동작 과정을 개략적으로 설명하면 다음과 같다.

먼저 입력되는 신호의 종류는 발전소 설비에 따라서 다르지만 대략 다음과 같다.

- 현장 공정계통(유체, 기체 등의 온도, 압력, 유량, 수위, 속도 등)안전 설비의 상태를 감시하여 발전소의 위험한 상황을 모니터링 할 수 있는 충분한 신호들이 입력된다.

- 원자로의 반응도를 제어함으로써 원자로를 항상 안전한 상태로 유지할 수 있게 하는 제어봉과 그 집합체에 관련된 위치 및 동작신호들이 입력된다.

- 원자로의 반응도와 출력을 간접적으로 판단할 수 있는 핵계측 계통의 센서들로부터의 신호가 입력된다.

위와 같은 종류의 신호들은 최초 설계시 반응도와 유체상태들에 대한 계산을 통하여 허용한계치와 같은 개념의 설정치(SET POINT)들이 존재하게 되며, 이 시스템은 이와 같은 설정치를 벗어나는 신호들을 놓치지 않고 논리를 통하여 판단하여 원자로를 안전한 상태(정지상태)로 만들기 위한 신호를 생성하는 역할을 하고 있다.

따라서 이 시스템의 동작은 실제 설정치를 벗어나는 위험한 상태에 대해서 정확하고 민감하게 반응하여 원자로를 안전한 상태로 돌아가게 만드는 원자로 정지신호(트립신호)를 발생시키는 것이다.

실제 신호와 오류로 인한 신호를 검증하는 방법은 자체적인 검증방법과 시스템의 논리를 통한 검증방법이 있다.

먼저 자체적인 검증방법은 두 가지 상황이 있다.

그 첫 번째 검정방법은 신호를 받아들이는 카드들에서 일어나는 신호검증으로 주로 신호의 생성범위를 넘어서는 신호를 무시하는 동작을 하드웨어적으로 구현하는 것이며 이 동작은 이후 프로세스 카드들에서도 소프트웨어를 통해 동일하게 구현될 수 있다. 이 과정에서 생성범위를 넘어서거나 과도한 변화를 가지는 신호 값들을 걸러내게 된다.

두 번째 검증방법은 각 신호들이 4개의 채널내의 2개의 내부채널 즉 8개의 채널을 통하여 설정치와 비교하게 되는데 이때 "2 out of 4" 논리 (4개중에 2개 이상이 설정치를 초과한다 결정신호를 보내주어야 동작하게 만드는 논리) 비교를 통하여 신호전달과정의 오류로 인해서 발생할 수 있는 오류를 거르게 된다. 즉 4개 중에서 2개 이상의 신호전달과정이 동시에 오류가 발생되지 아니하면 오동작이 되 지 아니하는 시스템 논리이다.

이것은 모든 원자력에 적용되는 논리이며 이것을 더욱 발전시켜서 현재 이 시스템은 하나의 채널에 두 개의 다른 프로세서 기반을 가진 시스템을 내장하고 있어서 이 두개의 내부 채널이 동시에 고장 나지 아니하는 한 오류 발생을 방지할 수 있도록 하고 있다.

아울러 이 시스템은 운영체계를 사용하지 아니함으로써 현재 다른 시스템들이 가지고 있는 운영체계의 오류에 의한 동시고장을 근본적으로 배제하고 있다.

운영체계를 가지는 시스템은 모두 그 운영체계에 의한 메모리 할당 등을 강제 받게 된다.

이는 운영체계의 경미한 문제점으로 인하여 메모리 할당 등의 운영체계가 지배하는 영역에서의 오류가 발생할 수 있는데, 이러한 때에 그 운영체계를 포함하고 있는 모든 시스템에 동시에 고장이 발생할 수 있는 가능성을 내포하고 있는 것이다.

본 발명의 시스템은 DSP를 사용하여 DSP에 어셈블리어의 응용프로그램을 직접 포팅 함으로써, 운영체계에 의한 메모리 지배나 시간 할당 등을 모두 배제하고, 각각의 응용프로그램들이 직접 메모리에 접근하게 함으로써 운영체계에 의한 동시고장을 원천적으로 막을 수 있도록 설계되어 있다.

이와 같이 "2 out of 4" 논리를 통하여 두개의 신호흐름에서 동시고장이 발생하지 않은 이상 오동작신호가 발생하지 않게 되어 각각의 응용프로그램에 의한 메모리 및 신호할당은 안정적으로 동작이 되며 신뢰성 있는 시스템 운용을 가능하 게 한다.

본 발명의 실시 예에서의 동작은 바이스테이블 모듈(BSM)에서 노심출력, 압력, 수위 또는 온도 등에 대한 측정변수 값이 설정치를 초과하면 정지신호를 발생하고 동시논리 모듈(CCM)로 입력된다. 바이스테이블 모듈은 각각의 안전변수 값이 기 설정된 안전 제한치를 초과하는지 입력 값과 안전 제한치를 비교하여, 안전 제한치를 초과할 경우에는 각 변수별로 트립신호를 출력한다. 바이스테이블 모듈은 트립 출력뿐만 아니라 트립 사전 경고를 위한 예비트립 출력기능을 포함하며 예비트립에 대한 설정치도 트립의 경우와 동일한 설정치 유형을 갖는다. 또한 정상적인 원자로 기동 또는 정지 시에 불필요한 정지를 방지하기 위한 운전우회 기능도 제공한다.

동시논리 모듈은 2/4 동시논리 후 원자로정지 개시모듈과 공학적안전설비 개시모듈에 결과를 전송하고 원자로정지 개시모듈(RIM)은 원자로정지차단기에 원자로정지신호를 보내며, 공학적안전설비 개시모듈(EIM)은 공학적안전설비 작동 개시신호를 안전등급제어계통으로 안전통신망을 통하여 보낸다.

동시논리 모듈은 각 보호채널의 바이스테이블 모듈로부터의 트립요구신호와 우회상태에 근거한 신호를 받아 트립개시신호를 생성하기 위한 2/4 동시논리를 수행한다. 동시논리 모듈에서는 자기 채널의 바이스테이블 모듈의 트립출력 결과와 다른 3채널의 바이스테이블 모듈의 트립 출력을 기반으로 4채널 중 2개 이상의 바이스테이블이 트립을 출력하면 변수별 최종 트립을 생성한다. 예비트립의 경우도 동일하며 보수 또는 시험을 위한 트립채널 우회 기능도 제공한다. 안전기능이 요구 되지 않는 플랜트운전모드에서는 부주의한 원자로정지를 막기 위해 이들은 우회된다. 또한 한 번에 한 채널씩 그 채널을 시험하기 위해 우회된다. 채널당 하나의 안전등급 소프트제어기가 정지채널의 우회, 운전우회와 가변설정치의 리셋 등과 같은 인간기계연계를 위해 제공된다.

개시논리 모듈은 원자로 정지기능과 공학적 안전 설비 작동을 위한 개시 모듈이 따로 존재하며, 각 채널에서 들어온 개시신호를 입력으로 받아 시간 지연을 통해 최종 개시신호를 생성한다. 원자로정지 개시 모듈의 출력은 원자로정지차단기로 보내져 트립신호가 발생하면 원자로를 정지시킨다. 공학적안전설비작동 개시 모듈은 공학적안전설비작동 개시신호를 안전통신망을 통해 안전등급제어계통으로 보낸다. 원자로정지 개시회로는 최종출력을 위한 아날로그 회로들로 구성되며, 원자로정지 개시모듈로부터 자동 트립 개시신호를, 주제어실로부터는 수동트립 요구신호를 받는다. 두 신호는 논리적으로 "OR"되어 원자로정지차단기를 트립시킨다.

원자로정지차단기는 원자로정지 개시모듈의 디지털출력에 의해 작동된다. 원자로정지 개시모듈의 최종 트립출력은 채널별로 4개의 정지차단기 중 1개를 각각 개방한다. 원자로정지 개시모듈의 출력신호는 2개로서, 원자로정지 개시회로에서 "OR"되어 원자로 정지차단기의 분로 트립(shunt trip)장치와 저전압 트립(undervoltage trip)장치를 제어한다. 원자로 정지차단기들은 제어봉 구동장치에 전력을 공급하는 전원장치와 제어봉 구동장치사이의 전력선에 선택적인 2/4 작동논리를 갖도록 배열된다. 전원장치와 제어봉구동장치사이에 두 개의 병렬전류 통로가 구성되고, 각각의 통로는 연속적으로 연결된 두 개의 차단기를 갖는다. 이러한 배 열은 제어봉 구동장치에 대한 전력차단을 위해 병렬 통로 각각에서 하나씩 최소한 두 개의 선택적인 차단기들의 개방을 요구한다. 구동장치로 가는 전력이 차단되면 중력과 스프링력에 의해 제어봉이 노심으로 떨어지도록 한다.

보수시험반은 바이스테이블 모듈, 동시논리 모듈, 원자로정지 개시모듈, 공학적안전설비작동 개시모듈, 노심보호계통에 직접 전달되는 시험신호를 생성하고 계통의 상태를 감시한다. 보수시험반은 통신망 연계를 통해 계통상태정보를 받으며 필요한 정보를 표시한다. 보수시험반은 자동시험 개시에 필요한 인간기계연계를 제공하고 자동으로 시험되지 않는 보호계통의 기능을 위한 수동시험을 제공하며, 플랜트보호계통 캐비넷 내의 각 모듈과 시험을 위해 통신망으로 연결된다.

본 발명의 운영체계를 사용하지 않는 DSP를 사용한 디지털 원자로 보호 시스템은 운영체계를 사용하지 않는 서로 다른 DSP를 사용하여 공통유형고장을 배제하여 한 채널 내의 A1이 공통유형고장이 발생하여도 A2는 공통유형고장의 영향을 받지 않아 원자로 보호기능을 수행하는데 이상이 발생하지 않음으로써 안전성과 신뢰성을 향상시키고 경제성이 제고된 디지털 원자로 보호 시스템을 제공한다.

본 발명의 운영체계를 사용하지 않는 DSP를 사용한 디지털 원자로 보호 시스템은 추후 건설될 플랜트 및 운전중인 플랜트에 대체할 경우 경제적인 막대한 이익을 가져올 것이며 더욱 안전한 디지털 원자로 보호 시스템으로 플랜트의 운용에 막대한 이점을 가져올 것이다.

Claims (10)

1. 발전소의 원자로 관련 장치들의 동작 상태를 나타내는 디지털 신호를 받아서 이상 상태가 발생하면 원자로를 안전하게 정지시키는 디지털 원자로 보호 시스템으로서,

   디지털 신호를 받아서 처리하는 채널 4개를 포함하고, 상기 각 채널은 발전소의 원자로 관련 장치들의 동작 상태를 나타내는 디지털 신호를 받아서 처리하되, CPU와 운영체계(OS)를 사용하지 아니하고 각각 다른 디지털신호처리기(DSP)를 사용하여 구성한 바이스테이블 모듈, 동시논리 모듈, 원자로정지 개시모듈, 공학적안전설비 개시모듈을 포함하여 구성함으로써, 운영체계를 사용하는 디지털 원자로 보호 시스템에서 발생하는 소프트웨어 공통 유형 고장 발생을 방지하도록 한 것을 특징으로 하는 디지털 원자로 보호 시스템.
2. 청구항 1에 있어서, 상기 채널 각각은,

   상기 디지털 신호를 받아서 원자로 관련 장치별로 미리 설정된 설정치와 비교하여 설정치 한계를 벗어나면 각 변수별로 트립신호를 출력하는 2개의 제1 바이스테이블모듈 및 제2바이스테이블모듈과,

   상기 제1 바이스테이블모듈의 트립신호와 다른 3개의 채널에 있는 각각의 제1바이스테이블모듈의 트립신호를 입력으로 받아서 제1바이스테이블모듈에서 판단한 각 변수별 트립신호를 다른 채널의 결과와 함께 투표방식으로 판단하여 트립여부를 결정하는 제1동시논리모듈과,

   상기 제2 바이스테이블모듈의 트립신호와 다른 3개의 채널에 있는 각각의 제2바이스테이블모듈의 트립신호를 입력으로 받아서 제2바이스테이블모듈에서 판단한 각 변수별 트립신호를 다른 채널의 결과와 함께 투표방식으로 판단하여 트립여부를 결정하는 제2동시논리모듈과,

   상기 제1동시논리모듈에서 결정된 트립신호가 일정한 시간 동안 유지되는지를 확인한 후 원자로 정지 신호를 출력하는 제1원자로정지개시모듈과,

   상기 제2동시논리모듈에서 결정된 트립신호가 일정한 시간 동안 유지되는지를 확인한 후 원자로 정지 신호를 출력하는 제2원자로정지개시모듈을 포함하여 이루어지는 디지털 원자로 보호 시스템.
3. 청구항 2에 있어서,

   상기 제1원자로정지개시모듈과 제2원자로정지개시모듈의 신호 중 어느 하나가 트립신호이면 당해 채널의 출력이 트립결정신호로 인식하고, 다른 3개의 채널 모두에 대하여 같은 방식으로 트립결정된 것으로 인식하여, 4개의 채널 중에서 2개 채널이상에서 트립결정신호가 발생하면 원자로를 최종적으로 트립시키는 전원차단기 를 포함하여 이루어지는 디지털 원자로 보호 시스템.
4. 청구항 2에 있어서,

   상기 제1동시논리모듈에서 결정된 트립신호가 일정한 시간 동안 유지되는지 를 확인한 후 공학적안전설비 작동 개시하게 하는 트립신호를 출력하는 제1공학적안전설비개시모듈과,

   상기 제2동시논리모듈에서 결정된 트립신호가 일정한 시간 동안 유지되는지를 확인한 후 공학적안전설비 작동 개시하게 하는 트립신호를 출력하는 제2공학적안전설비개시모듈과,

   상기 제1공학적안전설비개시모듈과 제2공학적안전설비개시모듈의 신호 중 어느 하나가 트립신호를 발생하고 있으면 당해 채널의 출력이 트립결정된 것으로 인식하고, 다른 3개의 채널 모두에 대하여 같은 방식으로 트립결정된 것으로 인식하여, 4개의 채널 중에서 2개 채널 이상에서 트립결정된 것으로 인식되면 공학적 안전 설비의 작동을 개시하는 안전등급제어계통을 추가로 포함하는 것이 특징인 디지털 원자로 보호 시스템.
5. 청구항 2에 있어서,

   상기 제1동시논리모듈 및 제2동시논리모듈은,

   상기 제1 및 2 바이스테이블모듈의 트립신호와 다른 3개의 채널에 있는 각각의 바이스테이블모듈의 트립신호를 입력으로 받아서 "2 out of 4" 논리방식으로 판단하여 트립여부를 결정하는 것이 특징인 디지털 원자로 보호 시스템
6. 청구항 2에 있어서,

   자기진단 및 박동 신호의 결과를 감시하고 자체 LCD화면을 통하여 각종 신호 와 시험신호의 생성기능을 수행하는 보수시험반을 추가로 포함하는 것이 특징인 디지털 원자로 보호 시스템
7. 청구항 1 내지 6 중 어느 하나의 항에 있어서,

   상기 각 모듈들은 각각 VME BUS를 사용하는 디지털신호처리기, VMEbus 제어기, 제어로직 회로로 구성된 단일 보드 형태의 모듈인 것이 특징인 디지털 원자로 보호 시스템
8. 청구항 1 내지 6 중 어느 하나의 항에 있어서,

   상기 시스템은 결정론적 광통신 시스템을 통하여 신호의 수발신을 방송방식(broadcasting method)으로 수행하여 신호의 누락으로 인한 고장요소를 배제한 것이 특징인 디지털 원자로 보호 시스템
9. 청구항 1 내지 6 중 어느 하나의 항에 있어서,

   상기 시스템에 장착되어 자기진단 및 박동 신호의 결과를 감시하고 자체 LCD화면을 통하여 각종 신호와 시험신호의 생성기능을 수행하는 보수시험반을 추가로 포함하는 것이 특징인 디지털 원자로 보호 시스템
10. 청구항 9에 있어서,

    상기 시스템에 적용된 박동신호의 감시를 통하여 상위 프로세서의 고장으로 인한 동작정지를 사전에 방지한 FAULT TOLERANCE 개념의 디지털 출력모듈을 가진 것을 특징으로 하는 디지털 원자로 보호시스템

Images