WO2005086175A1 - 安全保護計装システムおよびその取扱方法 - Google Patents

安全保護計装システムおよびその取扱方法 Download PDF

Info

Publication number
WO2005086175A1
WO2005086175A1 PCT/JP2005/003728 JP2005003728W WO2005086175A1 WO 2005086175 A1 WO2005086175 A1 WO 2005086175A1 JP 2005003728 W JP2005003728 W JP 2005003728W WO 2005086175 A1 WO2005086175 A1 WO 2005086175A1
Authority
WO
WIPO (PCT)
Prior art keywords
instrumentation system
output
functional
input
functional unit
Prior art date
Application number
PCT/JP2005/003728
Other languages
English (en)
French (fr)
Inventor
Mikio Izumi
Toshifumi Hayashi
Teruji Tarumi
Shigeru Odanaka
Naotaka Oda
Toshiaki Ito
Toshifumi Sato
Hideyuki Kitazono
Tatsuyuki Maekawa
Original Assignee
Kabushiki Kaisha Toshiba
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Kabushiki Kaisha Toshiba filed Critical Kabushiki Kaisha Toshiba
Priority to CN200580014317XA priority Critical patent/CN1950911B/zh
Priority to US10/591,433 priority patent/US7774187B2/en
Priority to EP05720000A priority patent/EP1727157A4/en
Publication of WO2005086175A1 publication Critical patent/WO2005086175A1/ja

Links

Classifications

    • G—PHYSICS
    • G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
    • G21D—NUCLEAR POWER PLANT
    • G21D3/00—Control of nuclear power plant
    • G21D3/04—Safety arrangements
    • G—PHYSICS
    • G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
    • G21C—NUCLEAR REACTORS
    • G21C17/00—Monitoring; Testing ; Maintaining
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
    • Y02E30/00—Energy generation of nuclear origin
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
    • Y02E30/00—Energy generation of nuclear origin
    • Y02E30/30—Nuclear fission reactors

Definitions

  • the present invention relates to a safety protection instrumentation system including a highly reliable digital signal processing device used for a safety protection system in a nuclear power plant, and a method of handling the same.
  • a safety protection meter In a nuclear power plant, when an abnormality occurs that may impair the safety of the plant, or when an abnormality is expected to occur, a safety protection meter is used to prevent or suppress it.
  • Equipment system is provided.
  • the radiation measurement device related to this safety instrumentation system is designed to measure the location where the radiation dose is rising in order to suppress the release of radioactive substances outside the plant when the radiation dose inside the plant rises for some reason. It is provided for the purpose of providing to each operating circuit information necessary for isolation and operation of the emergency gas treatment equipment.
  • a digital filter and a plurality of signals are digitally operated by a single CPU (for example, see Japanese Patent No. 2653522).
  • ASICZFPGA application specific integrated circuit / field programmable uate array
  • ASIC controls the processing procedure instead of the CPU, and the operation is simplified!
  • a system using an ASIC or an FPGA instead of a CPU is finally configured as hard-wired logic, and unlike CPU processing, the processing is deterministic and the processing time can be determined. is there. Therefore, a system using these FPGAs can be regarded as a semiconductor device of digital logic, and it is possible to verify the system by applying the test method. In other words, if all inputs and outputs for all internal states of the semiconductor device can be compared with the predicted values calculated based on the design specifications, steady input / output characteristics other than defects due to timing can be completely verified. This verification method is called exhaustive testing.
  • the above-described verification method only tests a part of the input patterns, so that defects such as those caused by a combination of internal logics and failure stains are generated.
  • the problem is that failures not expected by the erasure cannot be detected.
  • processing is deterministic unlike CPU processing, and the processing time can generally be determined.
  • only a single process can be executed in a single loop, so that it is highly reliable and easily satisfies design conditions for configuring a system.
  • a design with a margin is provided by a timing simulation or the like at the design stage, and a synchronization design in which the value of the interface with the outside is less likely to be undefined is designed. It is necessary to apply general design techniques such as It is necessary.
  • the present invention has been made in view of the above-described circumstances, and is caused by a static logic error and timing of signal processing in a reactor safety instrumentation system using hardware logic such as an FPGA.
  • An object of the present invention is to provide a security instrumentation system capable of preventing errors and a method of handling the same.
  • the safety protection instrumentation system of the present invention provides a safety protection instrumentation system for a nuclear reactor constructed using digital logic, in which the output for all of the input logic patterns is provided.
  • the digital logic portion is characterized by comprising a functional unit whose logic pattern has been verified and a functional module configured by combining the functional units.
  • the security protection instrumentation system having the above characteristics can take the following modes.
  • the functional unit individually implements the output logic patterns for all the input logic patterns on the hardware, and confirms that the predicted value obtained from the design specification capability also matches the output value. It may be a functional unit.
  • the functional module may include only a functional unit having the same gate configuration as a functional unit whose performance has been verified in advance.
  • the functional module configured by combining the functional units may include a register that mediates the output of the functional unit, and a delay element that matches signal processing timing of the functional unit.
  • the functional module configured by combining the functional units includes a register that mediates the output of the functional cut, and a signal between the functional units of the functional units having different clocks for driving the register is provided. You may have a handshake to hand over.
  • a valid program statement executed by hardware and an input butter for executing an operation path Software that creates a set of input patterns, has branch coverage or toggle coverage that evaluates whether the ratio of the input patterns or the number of input patterns is sufficient, and the output corresponding to the input matches the predicted value obtained by the design specification capability
  • the connection between the functional units can be confirmed by verifying the connection.
  • An AD element that converts an analog signal pattern according to the design specifications of the functional module into a digital signal to be an input pattern
  • a DA element that converts an output corresponding to an input of the functional module into an analog value by converting the output to an analog value. Also, it can be confirmed that the analog value matches the predicted value predicted from the design specification.
  • the function unit has a function of passing an operation flag indicating a normal completion of operation, the function module has a function of monitoring the operation flag, and an output from the function module is input to perform the operation. It may include a trip determiner for determining the presence / absence of a flag, and an abnormality diagnosis circuit for outputting an operation failure signal when the operation flag is not present.
  • the functional unit has a function of calculating a maximum value and a minimum value of the output by a simplified formula, and a function of passing the maximum value and the minimum value of the output, and the maximum value and the minimum value of the output. May be provided with a trip determiner that determines whether the signal value is an appropriate value by comparing the result of the operation with the signal value, and an abnormality diagnosis circuit that outputs an operation failure signal.
  • a first security instrumentation system for converting a digital output to an analog value and then to light, and a second security instrumentation system for converting this light to an analog value and then to a digital value.
  • the first security instrumented system and the second security instrumented system may be signal-connected.
  • the above object is to provide a method for handling a safety instrumented system for a reactor constructed using digital logic, and to configure the safety instrumented system. Achieved by providing a method for handling a safety instrumented system characterized by pre-verifying the output logic pattern against all input logic patterns to a functional unit
  • each functional unit of the security protection instrumentation system having a plurality of functional units is configured to operate serially in the order of connection, and a signal is transmitted to the serial. It may be possible to verify the performance of the security instrumentation system by monitoring the output timing to confirm that it is performing, and verifying that the output timing is as designed.
  • a verification step for confirming that the functional unit of the security protection instrumentation system including the functional unit has the same structure as the internal structure when the performance of the functional unit is verified may be provided. Good.
  • FIG. 1 shows a configuration diagram of Embodiment 1 of the security protection instrumentation system according to the present invention.
  • the outputs of the sensors la and lb installed in the reactor are input to the safety protection instrumentation system 2, and the safety protection instrumentation system 2 determines whether there is an abnormality. Outputs trip signal.
  • the safety protection instrumentation system 2 there are provided AD elements 3a and 3b that convert the signals of the sensors la and lb into analog values after waveform shaping and amplification. Digital values output from the AD elements 3a and 3b are converted into signals by the filter circuits 4a and 4b.
  • the filter circuits 4a and 4b are configured by combining a plurality of functional units 5.
  • a filter module 4a, a filter circuit 4b, a signal processing circuit 6, and a trip determiner 7 are functional modules. It is.
  • the functional unit 5 includes, for example, a D flip-flop, a latch, an 8-bit decoder, an 8-bit counter, an 8-bit serial / parallel conversion, an 8-bit / 8-bit input adder, an 8-bit / 8-bit input-multiplier , 8 bits ⁇ 8 bits-Comparator etc. are also selected units, and confirm that the output patterns for all input patterns for the functional unit 5 match all the patterns of the expected values expected from the design specifications. Is possible logic.
  • the number of input bits is eight, but the number of input bits is limited to the number of bits that can actually be tested.
  • FIG. 2 shows a configuration diagram for testing the functional unit 5a.
  • the alphabet attached to the functional unit 5 distinguishes functional units having different configurations. If the function unit 5 is simply described without an alphabet, the description of the common configuration is shown.
  • the functional unit 5a is mounted on real hardware, and a signal from the signal generator 8 is input.
  • the output of the functional unit 5a is measured by the signal receiver 9, and the judgment device 10 compares the predicted value for the input pattern with the received signal to detect the presence or absence of an abnormality in the functional unit 5a. . If no abnormality is detected for all input patterns to the functional unit 5a, the authentication is performed as the functional unit 5a.
  • the inside of the functional unit 5 is composed of basic elements unique to the FPGA element hardware, such as an AND circuit and an OR circuit.
  • the logic synthesis tool optimizes the logic, that is, the combination of basic elements, so that the logic configuration differs from the logic configuration verified independently.
  • Hardware Implemented in Therefore select the option of the logic synthesis tool or the placement and routing tool implemented on the FPGA so that the logic is not optimized when combined, and the same logic as the logic configuration used for verification is implemented inside the functional module. After confirming that the function modules are installed, build each function module.
  • the internal functional unit 5 is visually inspected or the like to confirm that the logic configuration used in the test is the same as that of the safety protection instrumentation system. Check that the whole is composed of verified functional units 5.
  • FIG. 3 shows a configuration diagram in which the functional unit 5 is mounted on the filter circuit 4a. This is a functional module implementing the functional unit 5a tested by the configuration of FIG.
  • the functional unit 5a can be mounted on a functional module while maintaining the internal logic configuration by adopting a configuration in which a signal is output by a flip-flop.
  • a 24-bit adder can be configured by combining two verified 12-bit adders, but the security instrumentation system of the present invention uses the logic of a 12-bit adder.
  • a flip-flop is provided for each output of the 12-bit adder.
  • a flip-flop refers to two circuits that are configured to remain stable.
  • the output of the 12-bit adder configured as described above is delayed by two clocks, assuming that the flip-flop operates with one clock.
  • a multi-bit input operation circuit that can obtain an output in one clock is converted into a small-bit input functional unit 5a, a functional unit 5b, and a functional unit 5c that can verify functions.
  • the operation is divided into a plurality of clocks to obtain an operation result.
  • a timing error occurs when a delay time generated by a combination of logic between flip-flops becomes longer than a clock for driving the flip-flop.
  • the delay time can be reduced, and the timing can be individually verified.
  • the delay element 11 is set when comparing or adding two signals. And adjust the timing.
  • FIG. 4 shows a configuration diagram of clock and data transfer between functional units.
  • the functional units whose all input / output patterns have been verified are incorporated into each functional module while maintaining its internal logic configuration. By doing so, regular logic defects can be eliminated.
  • the flip-flop in the function cut allows a design with sufficient timing for another easily occurring error, timing verification, and facilitates timing verification in the function module. Furthermore, by using handshaking for transmission between functional units, it is possible to eliminate timing errors caused by these connections.
  • FIG. 5 shows an example of a software (VHDL statement) describing a comparator according to the security instrumentation system of the second embodiment.
  • the functional unit 5a is called by a port statement in the description in the VHDL language. Since the numerical pattern in the functional unit 5a has been verified in advance, if it can be confirmed that the functional unit 5a can be correctly called on the VHDL grammar, it can be determined that the functional units are correctly connected. That is, in the configuration of the second embodiment, the definition statement in the VHDL statement of FIG. 5 and the redundant processing created assuming an abnormal time are excluded! Also, the operation of the VHDL statement contributing to actual execution If it can be verified, it can be confirmed that the connection of the functional unit is correct.
  • a coverage rate As a parameter for evaluating whether or not this VHDL statement is executed, a parameter called a coverage rate is generally used.
  • the ratio of VHDL statements executed by software to all VHDL statements is called statement coverage.
  • branch coverage When there is a branch in an IF statement or the like, a branch coverage that indicates the number of execution paths for the entire path pattern by counting both establishment and non-establishment is called branch coverage.
  • branch coverage there is toggle coverage as a signal that indicates the ratio of a signal in which the signal inside the functional unit 5 changes from (High ⁇ Low ⁇ High).
  • the toggle force barrier has the following characteristics: its coverage can be evaluated even on a netlist after logic synthesis, and it is hardly affected by logic synthesis.
  • the normal connection of the functional unit 5 can also be confirmed by performing a functional test for confirming that the functional module has a function according to the design specification.
  • a group of input canoturns is created to confirm the performance described in the specifications, the output for the input group is compared with the predicted value, and the connection of the functional cut is confirmed by confirming that there is no difference. Verifiable.
  • the signal of the analog signal generator 12 is input to the functional module a via the AD element 13.
  • This output is converted to an analog signal via the DA element 14, and is compared with the predicted value measured by the analog signal receiver 15 and the design specification power is also calculated. Can be compared and evaluated.
  • a small difference cannot be detected as compared with a case where comparison is made by digital values, but a large difference exceeding the measurement accuracy that affects the measurement is obtained. It is enough to verify the function by detecting the fluctuation. Further, since a large number of patterns can be processed at high speed, it is effective for detecting discontinuous points and singular points peculiar to digital.
  • FIG. 7 is an example of a method of selecting the magnitude of an input signal when verifying a filter function module.
  • the vertical axis of the graph shown in FIG. 7 schematically shows the bit width of the numerical value, and the horizontal axis shows the number of logic processes.
  • the filter circuit When an error occurs in a processing procedure having a certain number of bits inside a function module that is a filter circuit, the filter circuit is linear, and if no value is limited, the processing in the subsequent stage is performed as shown in FIG. The error propagates to Also, when the output is DA converted and evaluated using an analog value, fluctuations in the number of lower bits of the output cannot be measured due to the influence of DA elements and circuit noise.
  • FIG. 8 is an explanatory diagram of a method of selecting a frequency measurement point when a frequency characteristic is tested as a function.
  • the digital filter is a linear time-invariant system if overflow is not caused and the condition is satisfied by design, so that the digital filter can be evaluated at the representative frequency.
  • verification is basically performed within the range of 1Z2 or less of the sampling frequency, and above that, it is confirmed only that a valley appears at a multiple of 1Z2 of the sampling frequency.
  • the example of the waveform in Fig. 8 shows a total frequency characteristic obtained by superimposing a 1MHz sampling high-pass filter on a 40MHz sampling low-pass filter.
  • the solid line in FIG. 8 indicates the frequency characteristics of the 1 MHz NO-pass filter, and the broken line indicates the total frequency characteristics.
  • the frequency characteristic of the high-pass filter indicated by the solid line has a shape that folds at 500 kHz because of sampling at 1 MHz. The characteristics of the low pass filter can be verified.
  • the attenuation characteristics of the 40 MHz sampling low-pass filter indicated by the broken line in the band of 20 MHz or less in the region B it is necessary to verify the attenuation characteristics of the 40 MHz sampling low-pass filter indicated by the broken line in the band of 20 MHz or less in the region B.
  • the characteristics of peaks and valleys are repeated in the frequency band of 20 MHz or less due to the influence of the high-pass filter, so the frequency corresponding to these peaks is selected, and this envelope is evaluated to verify the attenuation characteristics of the low-pass filter.
  • the frequency band is classified based on the sampling frequency 1Z2, and the measurement points are selected according to the design specifications.
  • all the input patterns with the branch coverage being 100% are created, and the output pattern for each input pattern is sequentially confirmed. Then, it can be confirmed that all the functional units in each functional module are connected normally.
  • a functional test that checks the function of each functional module can also confirm that the functional units are connected properly. In functional tests, by comparing AD signals and DA elements with analog signals, a large number of patterns can be tested continuously, facilitating verification of the performance of the reactor safety instrumentation system. .
  • FIG. 9 shows a test range when the output pattern for all inputs is verified by the multiplier 16.
  • the security instrumentation system of the present embodiment has a configuration in which a constant is selected by a look-up table (LUT) 17 and the constant is input to the multiplier 16.
  • LUT look-up table
  • the total number of input patterns can be reduced by providing the lookup table inside the functional unit.
  • Figure 10 shows an explanatory diagram of the self-diagnosis function in the reactor safety protection instrumentation system composed of verified functional units.
  • the functional module composed of the functional units 5 has a large number of built-in functional units 5, an output is obtained with a delay of several clocks. Therefore, at the time of output, the operation flag is transmitted to the output destination functional module at the time of normal termination together with the output data. This operation flag is relayed between multiple function modules, and the presence or absence of an operation flag in the trip decision unit 7 is judged by the abnormality diagnosis circuit 18. Output a malfunction output if the operation is significantly different from
  • the range of the output pattern with respect to the input pattern of each functional module is calculated by an approximate expression, and the actual output value deviates from the range. In this case, a malfunction output is output.
  • a flag or a numerical value range is set for each functional unit or functional module, and a self-diagnosis function is provided. Therefore, it is possible to prevent defects that occur after installation in a plant.
  • Figure 12 shows an illustration of the signal separation method in a reactor safety instrumented system composed of functional units whose logic patterns have been verified.
  • optical transmission is used to ensure independence of signal transmission between the first security instrumentation system 2b and the second security instrumentation system 2c. That is, in the first safety protection instrumentation system 2b on the signal transmission side, the transmission data is converted into an analog signal by the DA element 14, and the analog signal is converted by the EO converter (electrical-optical signal converter) 19. Electro-optical conversion and transmission by light intensity or modulation data. On the other hand, it is the signal receiving side The second safety instrumented system 2c performs optical-to-electrical conversion of the light intensity data or modulated data with the OE converter (optical-to-electrical signal converter) 20, and then performs AD conversion with the AD element 13 to obtain a digital value. Convert to
  • the configuration shown in FIG. 13 is such that in the first security protection instrumentation system 2b, the digital data processed by the FPGA is once converted into an analog signal by the DA conversion element 14, and then converted again into the digital data by the AD element 13. Then, the digital data is transmitted as optical digital data by the EO converter 19. In the second security instrumentation system 2c, the digital optical data of the first security instrumentation system 2b is converted into digital data by the OE converter 20 and used for digital processing.
  • the safety protection instrumentation system of this embodiment converts the data to an analog value, thereby adding a noise component to the transmission signal, thereby preventing the same digital data from being transmitted to different systems at the same time. it can.
  • the independence of the reactor safety protection instrumentation system using functional units is ensured, and the safety system system using digital signal processing is required. It is possible to reduce the occurrence rate of a certain common mode failure.
  • FIG. 14 shows a basic configuration diagram of the safety protection instrumentation system according to the sixth embodiment of the present invention.
  • the functional unit 5a, the functional unit 5b, and the functional cutout 5c are connected to each other, and these functional units are stored together in the FPGA.
  • FIG. 15 shows an example of actually monitoring the output timing of an internal functional unit from an external pin of the FPGA.
  • the lower part of FIG. 15 shows the input signal, and the upper part shows the output signals of the external pin A21, the external pin B22, the external pin C23, the external pin D24, and the external pin E25 in order.
  • each functional unit operates serially and sequentially transmits its signal, and monitors the signal transmission timing to achieve the design as designed. It can be verified that logic is implemented in SFPGA. In addition, by monitoring the order and timing of these signal transmissions as an abnormality diagnosis method, a highly reliable safety protection instrumentation system can be constructed.
  • FIG. 16 shows a configuration diagram of the safety protection instrumentation system of the seventh embodiment.
  • a security protection instrumentation system as shown in FIG. 16 has a configuration in which four identical functional units 5 are serially connected and their outputs are synchronously output by flip-flops.
  • the safety protection instrumentation system configured as described above, by verifying that each functional unit 5 has the same logic configuration as a single functional unit 5 before connection, It is assured that the same functions as those verified by the body functional unit 5 are implemented in the security instrumentation system.
  • FIG. 1 is a configuration diagram of a safety protection instrumentation system of the present invention, which is composed of functional units whose input / output characteristics have been verified.
  • FIG. 2 is a configuration diagram of a test method for verifying input / output characteristics of a functional unit.
  • FIG. 3 is a configuration diagram illustrating an internal configuration of a functional module.
  • FIG. 4 A configuration diagram illustrating synchronization of clocks of functional modules and signal transmission of a handshake of an asynchronous part.
  • FIG. 5 is a configuration diagram illustrating a structure test using branch coverage as an index.
  • FIG. 6 is a configuration diagram for verifying a signal using an AD element and a DA element.
  • FIG. 7 is a configuration diagram for adjusting an input signal level and verifying an error.
  • FIG. 8 is a configuration diagram for verifying frequency characteristics of a signal.
  • FIG. 9 is a configuration diagram illustrating a method for reducing test patterns of functional units using a lookup table.
  • FIG. 10 is a configuration diagram illustrating a first self-diagnosis method of the system by the safety protection instrumentation system of the present invention.
  • FIG. 11 illustrates a second self-diagnosis method of the system by the security instrumentation system of the present invention.
  • FIG. 12 is an explanatory diagram of a signal separation method by the security instrumentation system of the present invention.
  • FIG. 14 A configuration diagram illustrating a serial operation of a functional unit and a verification / diagnosis method by monitoring its timing in the security instrumentation system of the present invention.
  • FIG. 15 is a schematic diagram showing an example of monitoring output timing in the safety protection instrumentation system of the present invention.

Landscapes

  • Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Plasma & Fusion (AREA)
  • General Engineering & Computer Science (AREA)
  • High Energy & Nuclear Physics (AREA)
  • Business, Economics & Management (AREA)
  • Emergency Management (AREA)
  • Monitoring And Testing Of Nuclear Reactors (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

　ディジタルロジックを用いて構築された原子炉の安全保護計装システムにおいて、入力の全てのロジックパターンに対する出力のロジックパターンがあらかじめ検証された機能ユニットと、前記機能ユニットを組み合わせて構成した機能モジュールとによりディジタルロジック部分が構成されている。

Description

明 細 書
安全保護計装システムおよびその取扱方法
技術分野
[0001] 本発明は、原子力プラントにおける安全保護系などに用いられる信頼性の高いディ ジタル信号処理装置で構成される安全保護計装システムおよびその取扱方法に関 する。
背景技術
[0002] 原子力プラントにおいては、プラントの安全性が損なわれるおそれのある異常が発 生した場合や、あるいは、異常の発生が予想される場合に、それを防止あるいは抑 制するために安全保護計装システムが設けられて 、る。この安全保護計装システム に関わる放射線計測装置は、何らかの原因によりプラント内の放射線量が上昇した 場合に、プラント外への放射性物質の放出を抑制するために、放射線量が上昇して いる箇所を隔離したり、非常用のガス処理装置を作動させたりするための条件となる 情報を各作動回路に提供することを目的に設けられている。
[0003] 近年のプラントには、このような安全保護計装システムに関わる放射線計測装置と してディジタル信号処理が適用されており、ディジタルフィルタや、複数の信号をひと つの CPUでディジタル演算する（例えば、日本国特許第 2653522号公報参照)。一 方、 CPUを用いずに、ハードウェアロジックである ASICZFPGA(Application specific Integrated Circuit/Field Programmable uate Array)を用 ヽたンスアムもめる ( 例えば、米国特許第 5859884号明細書参照）。このシステムは、 CPUの代わりに A SICが処理の手順を制御するもので、動作の単純化がなされて!/、る。
[0004] 一方、安全保護計装システムは、その重要性から、機器の多重化や独立化によつ て機器の単一故障による機能喪失を防止する等の要求がされているが、このようなソ フトウェアを用いたディジタルシステムでは、冗長系に同一のソフトウェアを用いた場 合、このソフトウェアの欠陥により機器の多重化の機能が損なわれる可能性が生じる 。また、ディジタル処理は離散処理であるため、不運にして特定の条件が重なってし まった場合に、内部の欠陥によって特異な出力が生じるなどの予期できない動作が 実行される可能性がアナログ素子よりも高いと考えられる。
[0005] よって、ソフトウェアを用いたディジタル処理では、設計および製作を通じて高品質 を確保するための品質保証活動とともに、ソフトウェア欠陥による共通要因故障の排 除および管理外の変更に対しての適切な防護措置を講じることが要求されている。 特に、ソフトウエアの共通要因故障を防止する方法として、検証及び健全性確認活動 (Verification & Validation；以下、 V& Vと称する）を実施して！/、る。 V& Vとは、 ディジタル型の安全保護系システムに要求される機能がソフトウェアの設計および製 作の各過程にぉ 、て、上位の過程から下位の過程へ正しく反映されて 、ることを確 認する検証作業と、検証作業を経て製作されたシステムについて、要求機能が正しく 実現されていることを確認する健全性確認作業カゝらなる品質保証のための活動であ る。
[0006] 一方、 CPUの代わりに ASICまたは FPGAを用いたシステムは、最終的にハードヮ ィヤードなロジックとして構成されるため、 CPU処理と異なり、処理が決定的であるた め処理時間も確定可能である。よって、これら FPGAを用いたシステムは、ディジタル ロジックの半導体素子と見なすことができるので、その試験方法を適用してシステムを 検証することが可能である。つまり、半導体素子の全入力および全内部状態に対す る出力とを設計仕様力 算出した予測値と比較できれば、タイミングに起因する欠陥 以外の定常的な入出力特性は完全に検証できる。この検証方法は、 exhaustive t e stingと呼ばれる。
[0007] ただし、実際の ASIC素子等においては、全入力ビット数と素子内部の状態の合計 ノターンが膨大となるため、全入力および全内部状態のパターンに応じた出力バタ ーンをすベて予測値と比較することは困難である。よって、欠陥を効率的に見つけら れる入力パターン列を評価することが重要となる。例えば、素子内部のロジックパター ン力 評価して内部のレジスタが 1度は動作する入力パターン群や、または、 Stack at faultの故障モードを想定し、この故障を検出可能な入力パターン列を故障シミ ユレーシヨンして算出している。
[0008] しかしながら、上述の検証方法は、あくまでも一部の入力パターンについて試験す るものであるため、内部ロジックの組み合わせによって生じるような欠陥や、故障シミ ユレーシヨンで想定しなかった故障につ ヽては検出することができな ヽと 、う問題が めつに。
[0009] さらに、ロジックを FPGAなどのハードウェアに実装する過程においては、ハードウ エアの構成を記述するソフトウェアおよびこれらを実際の FPGA上のロジックに展開 する論理合成ツールなどの汎用ソフトウェアツールが必要となる。よって、これら巿販 ソフトに内在する欠陥を排除するために、設計段階力 の高い信頼性を確保する必 要がある。
[0010] 上述した exhaustive testingを計装システムの性能検証に用いることができれば 、スタティックなロジックエラー (確定的な論理誤り）はないことを示すことが可能である 力 上記検証方法が実施できない場合は、従来のソフトウェアと同等の V&Vなどの 検証が必要となると考えられる。
[0011] ただし、 FPGAを用いたシステムは、 CPU処理と異なって処理が決定的であり、処 理時間も一般に確定可能である。また、単一ループで、単一の処理のみを実行可能 であり、信頼性の高 、システムを構成するための設計条件を満たしやす 、と 、う特徴 がある。
[0012] 上述したように、計装システムの検証性の観点からはハードウェアロジックに原子炉 安全系システムを実装するメリットは高いが、課題として、全入力パターンに対する出 力パターンの検証が必要であるため、 exhaustive testing相当の検証レベルで確 認する必要がある。
[0013] 従って、入力に対する出力の特性が設計どおりであることを容易に確認することが できるシステムおよびそれを用いた検証方法が求められて 、た。
[0014] また、前記したスタティックな論理誤り以外にも内部の動作タイミングに起因するエラ 一がある。例えば、温度などの環境条件により内部ロジック間の伝送の遅延時間が変 動した場合、雰囲気条件により誤動作する可能性がある。また、外部などの非同期部 分とのデータ交換時には、受け取りタイミングにより値が確定しない場合もある。
[0015] これらタイミングに起因するエラーを防止するには、設計段階でタイミングシミュレ一 シヨンなどにより余裕をもった設計を行うとともに、外部とのインターフェイス部には、 値が不定になりにくい同期化設計を採用するなどの一般的な設計手法を適用する必 要がある。
[0016] つまり、 FPGAを用いた安全系システムにおいても、これらのタイミングに起因する 欠陥を防止しやすい構造および試験方法を採用することが重要であり、こうした構造 のシステムおよび試験方法の開発が求められていた。
[0017] 発明の開示
本発明は、上述したような事情を考慮してなされたものであり、 FPGAなどのハード ウェアロジックを用いた原子炉の安全保護計装システムにおける、スタティックな論理 誤りや信号処理のタイミングに起因するエラーを防止することが可能な安全保護計装 システムおよびその取扱方法を提供することを目的とする。
[0018] 本発明の安全保護計装システムは、上述した課題を解決するため、ディジタルロジ ックを用いて構築された原子炉の安全保護計装システムにおいて、入力の全ての口 ジックパターンに対する出力のロジックパターンがあら力じめ検証された機能ユニット と、前記機能ユニットを組み合わせて構成した機能モジュールとによりディジタルロジ ック部分が構成されたことを特徴とするものである。
[0019] 上記の特徴を有する安全保護計装システム下記の態様を取りうる。
[0020] 前記機能ユニットは、入力の全てのロジックパターンに対する出力のロジックパター ンを個別にハードウェア上に実装して、設計仕様力も求めた予測値と出力値とがー 致することを確認した機能ユニットであってもよ 、。
[0021] 前記機能モジュールは、あらかじめ性能が検証された機能ユニットと同一のゲート 構成を有する機能ユニットのみで構成してもよ 、。
[0022] 前記機能ユニットを組み合わせて構成した前記機能モジュールが、前記機能ュ- ットの出力を媒介するレジスタと、前記機能ユニットの信号処理のタイミングを合わせ る遅延要素とを備えてもよい。
[0023] 前記機能ユニットを組み合わせて構成した前記機能モジュールが、前記機能ュ- ットの出力を媒介するレジスタを備え、前記機能ユニットのうち前記レジスタを駆動す るクロックが異なる機能ユニット間の信号を受け渡しするハンドシェイクを備えたてもよ い。
[0024] ハードウェアが実行する有効なプログラム文および動作経路を実行する入力バタ 一ン群を作成したソフトウェアを備え、前記入力パターンの割合または前記入力バタ ーンの数が十分か評価するブランチカバレッジまたはトグルカバレッジを有し、入力 に対する出力が設計仕様力 求めた予測値と一致することを検証して機能ユニット間 の接続を確認することができる。
[0025] 前記機能モジュールの設計仕様に応じた入カノターンを作成し、前記機能モジュ ールの入力に対する出力が設計仕様力 予測した予測値と一致することを確認する ように構成する事も可能である。
[0026] 前記機能モジュールの設計仕様に応じたアナログ信号パターンをディジタル変換 して入力パターンとする AD素子と、前記機能モジュールの入力に対する出力をアナ ログ変換してアナログ値とする DA素子とを備え、前記アナログ値が設計仕様から予 測した予測値と一致することを確認することもできる。
[0027] 前記機能ユニットにより 2変数の乗算または比較を行い、 2変数の一方を変数のビッ ト数より少ないビット数のアドレスで指定可能な定数に置き換えることも可能である。
[0028] 前記機能ユニットが動作の正常修了を表す動作フラッグを受け渡す機能を備え、 前記機能モジュールが前記動作フラッグを監視する機能を有し、前記機能モジユー ルからの出力が入力されて前記動作フラッグの有無を判定するトリップ判定器と、前 記動作フラッグのない場合に動作不良信号を出力する異常診断回路を備えてもよい
[0029] 前記機能ユニットが、出力の最大値および最小値を簡略式により算出する機能と、 前記出力の最大値および最小値を受け渡す機能とを備え、前記出力の最大値およ び最小値の演算結果と信号値とを比較して信号値が妥当な値であることを判定する トリップ判定器と、動作不良信号を出力する異常診断回路を備えてもよい。
[0030] ディジタル出力をアナログ値に変換した後に光に変換する第 1の安全保護計装シ ステムと、この光をアナログ値に変換した後ディジタル値に変換する第 2の安全保護 計装システムとを備え、前記第 1の安全保護計装システムと前記第 2の安全保護計装 システムとを信号接続させることも出来る。
[0031] 更に本発明によれば、上述の目的は、ディジタルロジックを用いて構築された原子 炉の安全保護計装システムの取扱方法にお!、て、安全保護計装システムを構成す る機能ユニットへの全ての入力のロジックパターンに対する出力のロジックパターンを 予め検証することを特徴とする安全保護計装システムの取扱方法を提供する事に拠 り達成される
[0032] 上記の方法にぉ ヽて、複数の機能ユニットを備えた安全保護計装システムの各機 能ユニットのデータ処理を、接続順にシリアルに動作する構成とし、そのシリアルに信 号が伝送されていることを出力タイミングをモニタリングして確認し、その出力タイミン グが設計どおりであることを検証することにより、安全保護計装システムの性能を検証 する様にしてちよい。
[0033] また、機能ユニットを備えた安全保護計装システムの前記機能ユニットが、前記機 能ユニットの性能を検証した際の内部構造と同一の構造であることを確認する検証 工程を備えてもよい。
[0034] 上記の特徴を有する本発明の安全保護計装システムおよびその取扱方法によれ ば、ハードウェアロジックを用いた原子炉安全系システムにおける、論理誤りや信号 処理のタイミングに起因するエラーを防止することにより、安全性を向上することが可 能となる。
発明を実施するための最良の形態
[0035] 本発明に係る原子炉安全保護計装システムの実施の形態について図 1一図 9を用 いて以下に説明する。
[0036] (実施例 1)
図 1に、本発明に係る安全保護計装システムの実施例 1の構成図を示す。
[0037] 図 1において、原子炉内に設置されているセンサ la、センサ lbの出力は、安全保 護計装システム 2に入力され、この安全保護計装システム 2により異常の有無を判定 してトリップ信号を出力する。安全保護計装システム 2の内部には、センサ la,センサ lbの信号をアナログで波形整形'増幅した後にディジタル値に変換する AD素子 3a , AD素子 3bが設けられている。 AD素子 3a, AD素子 3bが出力するディジタル値は 、フィルタ回路 4a,フィルタ回路 4bで信号変換される。このフィルタ回路 4a,フィルタ 回路 4bは、複数の機能ユニット 5を組み合わせて構成されている。図 1において、フィ ルタ回路 4a,フィルタ回路 4b、信号処理回路 6、トリップ判定器 7が機能モジュール である。
[0038] 以下に機能ユニット 5の構成および作用について説明する。
[0039] 機能ユニット 5は、例えば、 Dフリップ'フロップ、ラッチ、 8ビットデコーダ、 8ビットカウ ンタ、 8ビットシリアルパラレル変換、 8ビット · 8ビット入力 加算器、 8ビット · 8ビット入 力-乗算器、 8ビット · 8ビット-比較器等力も選択されるユニットであり、機能ユニット 5 に対する全入力パターンに対する出力パターンが、設計仕様から期待される予測値 のパターンとすべて一致していることを確認することが可能なロジックである。
[0040] 本実施例においては、入力ビット数は 8ビットとしているが、入力のビット数は、実際 にはテストできるビット数に制限する。この全入力パターンについて検証された機能 ユニット 5を用いて、内部の各機能 (機能モジュール)および全体の原子炉安全保護 計装システムを構築することにより、全体の入力に対して検証可能な、信頼性の高い 安全保護計装システムを構築することができる。
[0041] 図 2に、機能ユニット 5aを試験する構成図を示す。なお、以下の記述において、機 能ユニット 5に付したアルファベットは、構成が異なる機能ユニット同士を区別するも のである。アルファベットを付さず、単に機能ユニット 5と記述したものは、共通の構成 についての記述を示す。
[0042] 図 2に示すように、機能ユニット 5aを実ノヽードウエアに実装して信号発生器 8からの 信号を入力する。一方、機能ユニット 5aの出力は、信号受信器 9で測定され、判定装 置 10において入力パターンに対する予測値と受信した信号とを比較して、機能ュ- ット 5aの異常の有無を検出する。機能ユニット 5aへの全入力パターンに対して異常 が検出されなければ、機能ユニット 5aとして認証する。
[0043] 上記のように、実ノヽードウエアである FPGAに実装して試験することにより、論理合 成ツールや FPGAへの書き込みツール等の巿販ソフトのエラーを同時に検証するこ とが可能となる。
[0044] 機能ユニット 5の内部は、 AND回路、 OR回路などの FPGA素子ハード固有の基 本要素で構成されている。しかし、これらの機能ユニット 5を組み合わせて機能モジュ ールを実現する場合には、論理合成ツールが論理すなわち基本要素の組み合わせ の最適化を実施するため、単体で検証したロジック構成と異なる構成でノヽードウエア に実装される。そのため、組み合わせた場合に論理の最適化を行わないように論理 合成ツールまたは FPGAに実装する配置配線ツールのオプションを選定し、検証に 用いたロジック構成と同一のロジックが機能モジュール内部に実装されていることを 確認した後に、各機能モジュールを構築していく。
[0045] また、全体の安全保護計装システムが完成した後にも、内部の機能ユニット 5が、試 験で用いたロジック構成と同一であることを目視等により行うことにより、安全保護計 装システム全体が検証された機能ユニット 5で構成されていることを確認する。
[0046] 図 3に、機能ユニット 5をフィルタ回路 4aに実装した構成図を示す。これは、図 2の 構成により試験された機能ユニット 5aを実装した機能モジュールである。
[0047] 機能ユニット 5aは、フリップフロップで信号を出力する構成を採用することにより、内 部のロジック構成を維持した状態で機能モジュールに実装することが可能となる。例 えば、 24ビットの加算器は、検証された 12ビットの加算器を 2つ組み合わせて構成す ることが可能であるが、本発明の安全保護計装システムは、 12ビット加算器のロジッ ク構成を維持するために、 12ビット加算器の出力ごとにフリップフロップを設ける。フリ ップフ口ップとは、安定状態を保つように構成された 2つの回路を示す。このように構 成された 12ビットの加算器の出力は、フリップフロップが 1クロックで動作すると考えた 場合、 2クロック分、出力が遅延する。
[0048] 本発明の安全保護計装システムは、 1クロックで出力が得られる多ビット入力の演算 回路を、機能の検証が可能な小ビット入力の機能ユニット 5a,機能ユニット 5b,機能 ユニット 5cに分割し、複数のクロックで演算結果を得る構成とする。このような構成と することにより、全入力に対する機能の検証が容易になるとともに、各ロジックのタイミ ングによるエラーも防止できる。
[0049] すなわち、タイミングエラーはフリップフロップ間のロジックの組み合わせで生じる遅 延時間力 フリップフロップを駆動するクロックに比べて長くなつた場合に発生するが 、本実施例の安全保護計装システムのように、組み合わせ回路部分を分割すること により遅延時間を短くでき、また個別にタイミングを検証することが可能となる。図 3に 示す構成は、機能ユニットの組み合わせ数に応じて出力が得られるまでのクロック数 が異なるため、 2つの信号の比較や加算などを実行する場合には、遅延素子 11を設 けてタイミングを調整する。
[0050] 図 4に、機能ユニット間のクロックおよびデータの受け渡しの構成図を示す。
[0051] 機能ユニット 5間のデータ転送時のタイミングエラーを低減するには、機能ユニット 5 内のフリップフロップを同一のクロック周期で、し力も、クロックの立ち上がりなどの同 一タイミングで駆動するような構成とする。
[0052] 一方、異なるクロック周期を用いる場合は、図 4に示すように、データ送受信の可- 不可を判断するハンドシェイクを機能ユニット 5bと信号処理回路 6の間に用い、デー タ受け渡しを確保することにより、機能ユニットの接続に起因するタイミングエラーを除 去することが可能である。
[0053] 以上説明のように、本実施例の安全保護計装システムによれば、全入出力パター ンが検証された機能ユニットを、その内部ロジック構成を維持した状態で各機能モジ ユールに組み込むことにより、定常的なロジックの欠陥を削除できる。また、機能ュ- ット内のフリップフロップにより、もうひとつの発生しやすいエラーであるタイミングエラ 一についてもタイミング余裕のある設計が可能となり、機能モジュール内でのタイミン グ検証も容易となる。さらに、機能ユニット間の伝送にハンドシェイクを用いることによ り、これらの接続に起因するタイミングエラーも除去することが可能となる。
[0054] (実施例 2)
実施例 1の安全保護計装システムは、機能ユニット内のロジックが正常に動作する ので、タイミングに起因するエラーもロジックの正常な接続により削除可能である。し かし、機能ユニットが間違って接続されたり、設計仕様に記載されない機能ユニットが ソフトウェア上に内在する可能性もある。こうしたケースを解決する手法として本発明 の安全保護計装システムの実施例2を示す。
[0055] 図 5に、実施例 2の安全保護計装システムに係るコンパレータを記述したソフトゥェ ァ (VHDL文）の一例を示す。
[0056] 機能ユニット 5aは VHDL言語の記述では、ポート文によって呼び出される。機能ュ ニット 5a内の数値のパターンは、事前に検証されているため、 VHDL文法上で機能 ユニット 5aを正しく呼び出し可能なことが確認できれば、機能ユニットは正しく接続さ れていると判断できる。 [0057] つまり、実施例 2の構成において、図 5の VHDL文内の定義文と異常時を想定して 作成された冗長処理分を除!、た、実際の実行に寄与する VHDL文の動作を検証で きれば、機能ユニットの接続が正 、と確認できる。
[0058] この VHDL文の実行の有無を評価するパラメータとして、一般にカバレッジ率という ノ ラメータを使用する。全 VHDL文に対するソフトウェアで実行した VHDL文の割合 を示したものをステートメントカバレッジと呼ぶ。また、 IF文等の分岐がある場合は、成 立または不成立の両方をカウントして全体経路のパターンに対する実行経路数を示 したものをブランチカバレッジと呼ぶ。また、機能ユニット 5内部の信号が（High→Lo w→High)と変化した信号の割合で示すものとしてトグルカバレッジがある。
[0059] 実施例 2の安全保護計装システムは、ブランチカバレッジまたはトグルカバレッジを 評価指標として、すべての分岐条件を動作させる入力パターン群を作成し、その入 力パターンに対する出力と設計仕様力 求めた予測値とがー致することを確認するこ とにより機能ユニットの接続が正しく行われていることを検証する。特に、トグル力バレ ッジは、論理合成後のネットリスト上でもカバー率が評価可能であり、論理合成の影 響を受けにくいと 、う特徴がある。
[0060] また、機能ユニット 5が正常に接続されていることは、機能モジュールが設計仕様ど おりの機能を有していることを確認する機能試験を実施することによつても確認できる 。つまり、仕様に記載された性能を確認するための入カノターン群を作成し、その入 力群に対する出力を予測値と比較し、差異のないことを確認することにより機能ュ- ットの接続を検証可能である。
[0061] この機能モジュールの機能を確認する機能試験においては、ディジタル値を入力 し、出力のディジタル値と予測値とを比較して差異の有無を検出する。しかし、デイジ タル値で比較する場合、 1パターンの試験に必要な時間が数 一数 msec必要となり 、多数の信号パターンを迅速に評価することが難しい。
[0062] そこで、図 6に示すように、アナログ信号発生器 12の信号を、 AD素子 13を介して 機能モジュール aに入力する。この出力は DA素子 14を介してアナログ信号に変換さ れ、アナログ信号受信器 15で計測されて設計仕様力も算出した予測値と比較するこ とによって、出力と予測値との差異の有無を高速に比較評価することが可能となる。 本実施例のように AD素子 13, DA素子 14を用いた方法によれば、ディジタル値で 比較する場合に比べ、微小な差異については検出できないが、測定に影響する測 定精度以上の大幅な変動を検出することにより機能を検証するには十分である。また 、多数のパターンを高速で処理できるため、ディジタル特有の不連続点や特異点の 検出に有効である。
[0063] 次に、機能試験のテストパターンの選定方法を図 7、図 8を用いて説明する。図 7は 、フィルタ機能モジュールを検証する場合の入力信号の大きさの選定方法の一例で ある。図 7に示すグラフの縦軸が数値のビット幅を模式的に示したもので、横軸がロジ ックの処理数を示したものである。
[0064] フィルタ回路である機能モジュール内部の、あるビット数のある処理手順でエラーが 発生した場合、フィルタ回路は線形であり、値の制限を行っていなければ、図 7のよう に後段の処理へエラーが伝播する。また、出力を DA変換してアナログ値で評価する 場合は、出力の下位ビット数の変動は、 DA素子および回路ノイズの影響で測定でき ない。
[0065] そこで、入力のレベルを例えば、 T1一 T4に分割し、ぞれぞれの入力に対応する出 力レンジで測定することにより、ディジタル値のフルビット幅のエラーを検出することが 可能となる。つまり、出力におけるエラー識別精度に応じて、入力の信号の大きさ (入 力のレベル)を調整することでフィルタ内部に内在するエラーを検出できる。
[0066] 図 8に、機能として周波数特性を試験する場合の、周波数測定点の選定方法の説 明図を示す。
[0067] ディジタルフィルタは、オーバーフローが生じな 、条件を設計で満たせば、線形時 不変システムであるので、代表周波数で評価することが可能である。また、サンプリン グ周波数の 1Z2で折り返す特性を有するため、サンプリング周波数の 1Z2以下の 範囲で検証することを基本とし、それ以上ではサンプリング周波数の 1Z2の倍数で 谷が現れることのみ確認する。
[0068] 図 8の波形の例は、 40MHzサンプリングのローパスフィルタに、 1MHzサンプリン グのハイパスフィルタを重ねた合計の周波数特性を示す。図 8の実線は、 1MHzの ノ、ィパスフィルタの周波数特性を示し、破線が合計の周波数特性を示す。 [0069] 実線で示すハイパスフィルタの周波数特性は、 1MHzのサンプリングのため、 500k Hzで周波数特性が折り返す形状となっており、この 500kHz以下の領域 Aの周波数 範囲の特性を検証すれば、本ノヽィパスフィルタの特性は検証できる。
[0070] 一方、破線で示す 40MHzサンプリングのローパスフィルタは、領域 Bのうち 20MH z以下の帯域でその減衰特性を検証する必要がある。ただし、ハイパスフィルタの影 響により、 20MHz以下の周波数帯域では山、谷の特性を繰り返すため、この山相当 の周波数を選定に、この包絡線を評価することで、ローパスフィルタの減衰特性を検 証する。つまりディジタルフィルタの周波数特性を検証する場合、サンプリング周波数 の 1Z2で周波数帯域を分類し、設計仕様に応じて測定点を選定する。
[0071] 上述したように、本実施例の安全保護計装システムによれば、ブランチカバレッジを 100%とする全入力パターンを作成し、各入力パターンに対する出力パターンを順 次確認していくことにより、各機能モジュール内の機能ユニットがすべて正常に接続 されていることが確認可能となる。また、各機能モジュールの機能を確認する機能試 験によっても、機能ユニットが正常に接続されていることを確認できる。機能試験にお いては、 AD素子、 DA素子を用いてアナログ信号によって比較することで、多数のパ ターンを連続的に試験可能であり、原子炉安全計装システムの性能の検証が容易と なる。
[0072] (実施例 3)
図 9に、乗算器 16によって全入力に対する出力パターンを検証する場合のテスト範 囲を示す。
[0073] 乗算器 16のみを機能ユニットとしたテスト範囲 A'の場合、乗算器の 2つの入力は 1 6ビットであるため、全入力パターンは、 2(16+16)となり、このパターンを数日で検証す ることは困難である。しかし、フィルタ処理を想定した場合、信号変数に対して一定の 定数を乗算するパターンがほとんどである。
[0074] そこで図 9に示すように、本実施例の安全保護計装システムは、ルックアップテープ ル (LUT) 17で定数を選択して乗算器 16に定数を入力する構成とする。
[0075] このように構成した安全保護計装システムは、機能ユニットをテスト範囲 とした場 合、データを選択するアドレスは 4ビットであるため、テスト範囲 Bの入力ビット数は、 4 + 16 = 20ビットとなり、この場合のテストパターン数は 2(4+16)となるので、全入力パタ ーンに対する出力を試験評価することが容易となる。
[0076] 上述したように、本実施例の安全保護計装システムによれば、機能ユニット内部に ルックアップテーブルを設けることにより全入力パターン数を削減できる。
[0077] (実施例 4)
図 10に、検証された機能ユニットから構成された原子炉安全保護計装システムに おける自己診断機能の説明図を示す。
[0078] 機能ユニット 5から構成された機能モジュールは、機能ユニット 5を多数内蔵してい るために、数クロック遅れて出力が得られる。そこで、出力時に、出力のデータととも に正常終了時には動作フラッグを、出力先の機能モジュールに伝送する。この動作 フラッグは、複数の機能モジュール間をリレー式で伝達し、トリップ判定器 7における 動作フラッグの有無を異常診断回路 18で判断し、一定時間以上動作フラッグが存在 しない場合など、正常時の特性と大幅に異なるケースは、動作不良出力を出力する
[0079] 更には、出力有無の動作フラッグの他に、図 11に示すように、各機能モジュールの 入力パターンに対する出力パターンの範囲を近似式で算出し、実際の出力値がその 範囲を逸脱した場合に、動作不良出力を出力する。
[0080] 本実施例によれば、機能ユニットまたは機能モジュール単位でフラッグまたは数値 範囲を設定し、自己診断機能を設けたので、プラントに設置された後に生じる欠陥を 防止することが可能となる。
[0081] (実施例 5)
図 12に、ロジックパターンが検証された機能ユニットから構成された原子炉安全保 護計装システムにおける、信号分離方法の説明図を示す。
[0082] この実施例 5は、第 1の安全保護計装システム 2bと第 2の安全保護計装システム 2c の信号伝送の独立性を確保するために光伝送を用いる。つまり、信号伝送側である 第 1の安全保護計装システム 2bにおいては、伝送データを DA素子 14でアナログ信 号に変換し、そのアナログ信号を EO変換器 (電気 ·光信号変換器） 19によって電気' 光学変換し、光の強度または変調データにより伝送する。一方、信号の受信側となる 第 2の安全保護計装システム 2cは、光強度データまたは変調データを OE変換器 ( 光'電気信号変換器) 20で光 ·電気変換を行った後に、 AD素子 13で AD変換して ディジタル値へ変換する。
[0083] また図 13に示す構成は、第 1の安全保護計装システム 2bにおいて FPGAで処理 するディジタルデータを DA変換素子 14で一度アナログ信号に変換した後に、再度 AD素子 13でディジタルデータに変換し、そのディジタルデータを EO変換器 19で光 のディジタルデータで伝送する。第 2の安全保護計装システム 2cにおいては、第 1の 安全保護計装システム 2bのディジタル光データを OE変換器 20でディジタルデータ に変換してディジタル処理に用いる。
[0084] 同一のディジタル値を複数の独立なシステムに分配する場合、あるデータパターン で誤動作するソフトウェアが各システムに内在すると、同一データが入力されることに より、同時に故障するケースが考えられる。そこで、本実施例の安全保護計装システ ムは、データをアナログ値に変換することにより、ノイズ成分が伝送信号に加えられる ことで、同一のディジタルデータが同時に異なるシステムに伝送されることを防止でき る。
[0085] 本実施例の安全保護計装システムによれば、機能ユニットを用いた原子炉安全保 護計装システムの独立性を確保するとともに、ディジタル信号処理を用いた安全系シ ステムの課題である共通モード故障の発生割合を低減することが可能となる。
[0086] (実施例 6)
図 14に、本発明の実施例 6の安全保護計装システムの基本構成図を示す。
[0087] 図 14に示す安全保護計装システムは、機能ユニット 5a、機能ユニット 5b、機能ュ- ット 5cが相互に接続され、これらの機能ユニットが一つに FPGAに格納されている。
[0088] これらの機能ユニット間の信号伝送は、フリップフロップによってクロックに同期して 出力されるが、その出力タイミングは、機能ユニットによって異なる構成とすることが可 能である。本実施例においては、図 14において、機能ユニット 5aの出力力 機能ュ ニット 5bに入力された後に、機能ユニット 5bの信号処理を行うように、機能ユニットが データというバトンを順次に渡して処理を行う構成とする。
[0089] このような構成に機能ユニットを接続することにより、ノトン (データ）の渡るタイミング を監視することで、処理動作自体の検証が可能となる。つまり、図 14に示す外部ピン A21,外部ピン B22,外部ピン C23,外部ピン D24を設け、これらの機能ユニットの 信号をモニタリングすることにより、設計どおりのタイミングで動作することを検証する ことができる。また、動作中も、各タイミングの変動を監視することで、動作の不具合を 検出することが可能となる。
[0090] 図 15に、実際に FPGAの外部ピンから内部の機能ユニットの出力タイミングをモ- タした一例を示す。図 15の下部側が入力信号で、上部側に順に外部ピン A21,外 部ピン B22,外部ピン C23,外部ピン D24,外部ピン E25の出力信号が示されてい る。
[0091] 下部側に信号 (データ）が入力されると、下部側に近!、ロジック力 順番に信号を転 送し、最終的に上部側の出力段が出力される。この信号伝送のタイミングは、図 15に 示す複数のロジック信号により確認できる。このロジック信号のタイミングは、設計固 有のものであり、このロジック信号のタイミングを監視することで、設計どおりのロジック が実装されているかどうか検証可能である。また、通常動作中もこれらロジック信号の タイミングをモニタリングする機能を別途、設けておくことにより、動作中の異常な加熱 等による内部信号ラインの遅延時間の増大によるロジック演算の誤動作を監視するこ とが可能となる。
[0092] 以上、本実施例の安全保護計装システムによれば、各機能ユニットがシリアルに動 作し、その信号を順次伝送する構成とし、その信号伝送タイミングをモニタリングする ことにより、設計どおりの論理力 SFPGAに実装されていることが検証できる。また、異 常診断方法として、これら信号伝送の順番、タイミングをモニタすることにより、信頼性 の高 、安全保護計装システムが構築可能である。
[0093] (実施例 7)
図 16に、実施例 7の安全保護計装システムの構成図を示す。
[0094] 例えば、図 16に示すような安全保護計装システムは、同一の機能ユニット 5が 4つ シリアルに接続され、それらの出力がフリップフロップで同期して出力される構成とな つている。このような構成とした安全保護計装システムにおいて、各機能ユニット 5が、 接続前の単体の機能ユニット 5と同じロジック構成であることを検証することにより、単 体の機能ユニット 5で検証した場合と同じ機能が安全保護計装システムに実装されて いることが保証される。
[0095] すなわち、図 16に示す安全保護計装システムの各機能ユニット 5の内部は、単体 での試験時に性能の健全性が確認されている。これら各機能ユニット 5を図 16のよう に接続し、論理合成後も性能が維持されていることを、論理合成後に目視等で確認 する検証方法を採用することにより、安全保護計装システムにおける機能ユニット 5の 健全性が保証される。
産業上の利用可能性
[0096] 本発明の安全保護計装システムおよびその取扱方法によれば、ハードウェアロジッ クを用いた原子炉安全系システムにおける、論理誤りや信号処理のタイミングに起因 するエラーを防止することにより、安全性を向上することが可能となり、原子炉を運転 する上での利用の可能性大なる発明である。
図面の簡単な説明
[0097] [図 1]入出力特性が検証された機能ユニットから構成された本発明の安全保護計装 システムの構成図。
[図 2]機能ユニットの入出力特性を検証する試験方法の構成図。
[図 3]機能モジュールの内部構成を説明する構成図。
[図 4]機能モジュールのクロックの同期化と、非同期部分のハンドシェイクの信号伝送 を説明する構成図。
[図 5]ブランチカバレッジを指標とする構造テストを説明する構成図。
[図 6]AD素子および DA素子により信号を検証する構成図。
[図 7]入力信号のレベルを調整してエラーを検証する構成図。
[図 8]信号の周波数特性を検証する構成図。
[図 9]機能ユニットの試験パターンのルックアップテーブルによる削減手法を説明する 構成図。
[図 10]本発明の安全保護計装システムによるシステムの第一の自己診断方法を説明 する構成図。
[図 11]本発明の安全保護計装システムによるシステムの第二の自己診断方法を説明 する構成図。
[図 12]本発明の安全保護計装システムによる信号分離手法の説明図。
圆 13]第 1の安全保護計装システムと第 2の安全保護計装システムを信号接続して 構成した安全保護計装システムの構成図。
圆 14]本発明の安全保護計装システムにおける機能ユニットのシリアル動作とそのタ イミング監視による検証'診断方法を説明する構成図。
圆 15]本発明の安全保護計装システムにおける出力タイミングの監視例を示す模式 図。
圆 16]本発明の安全保護計装システムにおける機能ユニットの接続例を示す構成図

Claims

請求の範囲
[1] ディジタルロジックを用いて構築された原子炉の安全保護計装システムにお ヽて、入 力の全てのロジックパターンに対する出力のロジックパターンがあらかじめ検証され た機能ユニットと、前記機能ユニットを組み合わせて構成した機能モジュールとにより ディジタルロジック部分が構成されたことを特徴とする安全保護計装システム。
[2] 前記機能ユニットは、入力の全てのロジックパターンに対する出力のロジックパターン を個別にハードウェア上に実装して、設計仕様力 求めた予測値と出力値とがー致 することを確認した機能ユニットであることを特徴とする請求の範囲 1に記載の安全保 護計装システム。
[3] 前記機能モジュールは、あらかじめ性能が検証された機能ユニットと同一のゲート構 成を有する機能ユニットのみで構成されたことを特徴とする請求の範囲 1に記載の安 全保護計装システム。
[4] 前記機能ユニットを組み合わせて構成した前記機能モジュールが、前記機能ュ-ッ トの出力を媒介するレジスタと、前記機能ユニットの信号処理のタイミングを合わせる 遅延要素とを備えたことを特徴とする請求の範囲 1に記載の安全保護計装システム。
[5] 前記機能ユニットを組み合わせて構成した前記機能モジュールが、前記機能ュ-ッ トの出力を媒介するレジスタを備え、前記機能ユニットのうち前記レジスタを駆動する クロックが異なる機能ユニット間の信号を受け渡しするハンドシェイクを備えたことを特 徴とする請求の範囲 1に記載の安全保護計装システム。
[6] ハードウェアが実行する有効なプログラム文および動作経路を実行する入力パター ン群を作成したソフトウェアを備え、前記入力パターンの割合または前記入力パター ンの数が十分力評価するブランチカバレッジまたはトグルカバレッジを有し、入力に 対する出力が設計仕様力 求めた予測値と一致することを検証して機能ユニット間の 接続を確認することを特徴とする請求の範囲 1に記載の安全保護計装システム。
[7] 前記機能モジュールの設計仕様に応じた入力パターンを作成し、前記機能モジユー ルの入力に対する出力が設計仕様力 予測した予測値と一致することを確認するよ うに構成したことを特徴とする請求の範囲 1に記載の安全保護計装システム。
[8] 前記機能モジュールの設計仕様に応じたアナログ信号パターンをディジタル変換し て入力パターンとする AD素子と、前記機能モジュールの入力に対する出力をアナ口 グ変換してアナログ値とする DA素子とを備え、前記アナログ値が設計仕様カゝら予測 した予測値と一致することを確認することを特徴とする請求項 1に記載の安全保護計 装システム。
[9] 前記機能ユニットにより 2変数の乗算または比較を行い、 2変数の一方を変数のビット 数より少ないビット数のアドレスで指定可能な定数に置き換えることを特徴とする請求 の範囲 1に記載の安全保護計装システム。
[10] 前記機能ユニットが動作の正常修了を表す動作フラッグを受け渡す機能を備え、前 記機能モジュールが前記動作フラッグを監視する機能を有し、前記機能モジュール 力 の出力が入力されて前記動作フラッグの有無を判定するトリップ判定器と、前記 動作フラッグのない場合に動作不良信号を出力する異常診断回路を備えたことを特 徴とする請求の範囲 1に記載の安全保護計装システム。
[11] 前記機能ユニットが、出力の最大値および最小値を簡略式により算出する機能と、前 記出力の最大値および最小値を受け渡す機能とを備え、前記出力の最大値および 最小値の演算結果と信号値とを比較して信号値が妥当な値であることを判定するトリ ップ判定器と、動作不良信号を出力する異常診断回路を備えたことを特徴とする請 求の範囲 1に記載の安全保護計装システム。
[12] ディジタル出力をアナログ値に変換した後に光に変換する第 1の安全保護計装シス テムと、この光をアナログ値に変換した後ディジタル値に変換する第 2の安全保護計 装システムとを備え、前記第 1の安全保護計装システムと前記第 2の安全保護計装シ ステムとを信号接続したことを特徴とする請求の範囲 1に記載の安全保護計装システ ム。
[13] ディジタルロジックを用いて構築された原子炉の安全保護計装システムの取扱方法 にお 、て、安全保護計装システムを構成する機能ユニットへの全ての入力のロジック パターンに対する出力のロジックパターンを予め検証することを特徴とする安全保護 計装システムの取扱方法。
[14] 複数の機能ユニットを備えた安全保護計装システムの各機能ユニットのデータ処理 を、接続順にシリアルに動作する構成とし、そのシリアルに信号が伝送されていること を出力タイミングをモニタリングして確認し、その出力タイミングが設計どおりであるこ とを検証することにより、安全保護計装システムの性能を検証することを特徴とする請 求の範囲 13に記載の安全保護計装システムの取扱方法。
機能ユニットを備えた安全保護計装システムの前記機能ユニットが、前記機能ュ-ッ トの性能を検証した際の内部構造と同一の構造であることを確認する検証工程を備 えたことを特徴とする請求の範囲 13に記載の安全保護計装システムの取扱方法。
PCT/JP2005/003728 2004-03-04 2005-03-04 安全保護計装システムおよびその取扱方法 WO2005086175A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN200580014317XA CN1950911B (zh) 2004-03-04 2005-03-04 安全保护仪表系统及其处理方法
US10/591,433 US7774187B2 (en) 2004-03-04 2005-03-04 Safety protection instrumentation system and method of operating the system
EP05720000A EP1727157A4 (en) 2004-03-04 2005-03-04 SAFETY INSTRUMENTATION SYSTEM AND HANDLING METHOD THEREFOR

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004061156A JP4371856B2 (ja) 2004-03-04 2004-03-04 安全保護計装システムおよびその取扱方法
JP2004-061156 2004-03-04

Publications (1)

Publication Number Publication Date
WO2005086175A1 true WO2005086175A1 (ja) 2005-09-15

Family

ID=34918046

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/003728 WO2005086175A1 (ja) 2004-03-04 2005-03-04 安全保護計装システムおよびその取扱方法

Country Status (5)

Country Link
US (1) US7774187B2 (ja)
EP (2) EP1727157A4 (ja)
JP (1) JP4371856B2 (ja)
CN (1) CN1950911B (ja)
WO (1) WO2005086175A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008275354A (ja) * 2007-04-26 2008-11-13 Toshiba Corp 冗長化システムおよび冗長化システムの製造方法

Families Citing this family (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010249559A (ja) * 2009-04-13 2010-11-04 Toshiba Corp デジタル安全保護系システム
US20110047519A1 (en) * 2009-05-11 2011-02-24 Juan Andres Torres Robles Layout Content Analysis for Source Mask Optimization Acceleration
JP5675208B2 (ja) * 2010-08-06 2015-02-25 三菱重工業株式会社 原子力施設の制御システム
JP5675256B2 (ja) * 2010-10-12 2015-02-25 三菱重工業株式会社 原子力施設の制御システム
KR101199625B1 (ko) 2012-04-30 2012-12-11 인코어테크놀로지 주식회사 원자력 발전소의 디지털 신호 전자제어 처리를 위한 장치 및 방법
CN102981431B (zh) * 2012-11-15 2018-03-20 国核自仪系统工程有限公司 基于fpga的核电站多样性保护系统硬件架构
CN105244065B (zh) * 2015-09-16 2017-12-05 北京广利核系统工程有限公司 一种基于fpga技术的核电站dcs控制站架构
JP6796373B2 (ja) * 2015-09-25 2020-12-09 三菱重工業株式会社 プラント運転システム及びプラント運転方法
CN106855606A (zh) * 2015-12-09 2017-06-16 岭东核电有限公司 一种核电站反应堆控制系统的crdm/rpi测试装置
JP6721423B2 (ja) 2016-06-14 2020-07-15 株式会社日立製作所 アプリロジックおよびその検証方法
JP6663801B2 (ja) 2016-06-15 2020-03-13 株式会社日立製作所 半導体ｌｓｉ設計装置および設計方法
CN106019350A (zh) * 2016-06-24 2016-10-12 成都理工大学 一种核脉冲信号采集装置及系统
KR101992299B1 (ko) * 2017-05-15 2019-06-25 두산중공업 주식회사 원자력 발전소 디지털 보호계통
CN107146647B (zh) * 2017-04-20 2019-05-21 岭东核电有限公司 一种便携式中子检测装置
JP7045921B2 (ja) 2018-04-27 2022-04-01 株式会社日立製作所 半導体ｌｓｉ設計装置および設計方法
KR101914506B1 (ko) * 2018-05-17 2018-11-02 주식회사 우진엔텍 원전 전자카드 정비를 위한 디지털 신호기반 아날로그 전원 제어장치
CN108986938B (zh) * 2018-06-15 2021-06-11 国核自仪系统工程有限公司 核电站反应堆保护系统的停堆工况响应时间测试方法
KR102151439B1 (ko) * 2020-06-04 2020-09-03 주식회사 오르비스 통합형 반도체식 논리제어식계통 전자카드
SE544824C2 (en) 2021-04-16 2022-12-06 Bombardier Transp Gmbh Digital output module
WO2023152853A1 (ja) * 2022-02-10 2023-08-17 三菱電機株式会社 安全保護システムのバックアップ装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS4919029B1 (ja) * 1968-11-01 1974-05-14
JP2003287587A (ja) * 2002-03-27 2003-10-10 Toshiba Corp プラント保護計装装置

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB1390004A (en) 1972-03-27 1975-04-09 Olin Corp Laundering method using a biocidal composition comprising a mercaptopyridine-1-oxide compound and a quaternary ammonium compound
US4517154A (en) * 1982-07-27 1985-05-14 General Electric Company Self-test subsystem for nuclear reactor protection system
DE68925121T2 (de) * 1988-10-05 1996-06-13 Quickturn Systems Inc Verfahren zur verwendung einer elektronisch wiederkonfigurierbaren gatterfeld-logik und dadurch hergestelltes gerät
JP2653522B2 (ja) 1989-08-31 1997-09-17 株式会社東芝 原子炉中性子束監視装置
US5832049A (en) 1995-03-22 1998-11-03 Metro; Bernard J. Electric circuit for selectively processing electrical signals
US5621776A (en) * 1995-07-14 1997-04-15 General Electric Company Fault-tolerant reactor protection system
US5805608A (en) * 1996-10-18 1998-09-08 Samsung Electronics Co., Ltd. Clock generation for testing of integrated circuits
JP2004500609A (ja) * 1999-01-06 2004-01-08 レイヴシム，インコーポレイテッド 多要素電子回路設計を検証するための装置および方法
US6691079B1 (en) * 1999-05-28 2004-02-10 Ming-Chih Lai Method and system for analyzing test coverage
US6587979B1 (en) * 1999-10-18 2003-07-01 Credence Systems Corporation Partitionable embedded circuit test system for integrated circuit
US7133822B1 (en) * 2001-03-29 2006-11-07 Xilinx, Inc. Network based diagnostic system and method for programmable hardware
JP4398600B2 (ja) 2001-05-14 2010-01-13 株式会社東芝 パルス計数率計
JP2004318254A (ja) 2003-04-11 2004-11-11 Toshiba Corp 安全保護計測装置の試験装置
JP4509489B2 (ja) 2003-04-14 2010-07-21 株式会社東芝 安全保護用放射線測定監視装置
JP4568143B2 (ja) * 2005-02-28 2010-10-27 株式会社東芝 安全系装置の検証方法およびその検証方法で検証された安全系装置

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS4919029B1 (ja) * 1968-11-01 1974-05-14
JP2003287587A (ja) * 2002-03-27 2003-10-10 Toshiba Corp プラント保護計装装置

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
AMBLER A. P. ET AL., DESIGN OF SAFETY-CRITICAL ASICS, 1998, pages 6 - 13
See also references of EP1727157A4 *
STROUD C. E. ET AL., APPLYING BUILT-IN SELF-TEST TO MAJORITY VOTING FAULT TOLERANT CIRCUITS, 1998, pages 303 - 308

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008275354A (ja) * 2007-04-26 2008-11-13 Toshiba Corp 冗長化システムおよび冗長化システムの製造方法

Also Published As

Publication number Publication date
US7774187B2 (en) 2010-08-10
JP2005249609A (ja) 2005-09-15
EP2355107A2 (en) 2011-08-10
EP1727157A4 (en) 2008-11-19
EP1727157A1 (en) 2006-11-29
EP2355107A3 (en) 2011-12-28
CN1950911A (zh) 2007-04-18
JP4371856B2 (ja) 2009-11-25
CN1950911B (zh) 2010-12-22
US20070185700A1 (en) 2007-08-09

Similar Documents

Publication Publication Date Title
WO2005086175A1 (ja) 安全保護計装システムおよびその取扱方法
JP4568143B2 (ja) 安全系装置の検証方法およびその検証方法で検証された安全系装置
EP1857936B1 (en) Information processing apparatus and information processing method
JP5034576B2 (ja) 半導体集積回路、テストデータ生成装置およびｌｓｉ試験装置
KR101865666B1 (ko) 원자로노심보호계통 소프트웨어 검증용 시뮬레이션 장치 및 시스템
EP1840585B1 (en) Self test device and self test method for a reconfigurable device mounted on a board
CN105510810B (zh) 用于提供输出参数的装置和方法以及传感器设备
CN109642926A (zh) 安全逻辑的自测试
US8006152B2 (en) Scan chain fail diagnostics
KR101457557B1 (ko) 멀티코어 장치, 테스트 장치 및 고장 진단 방법
US9256223B2 (en) Safety interlock device for a plant
JP5057837B2 (ja) 冗長化システムおよび冗長化システムの製造方法
US9958507B2 (en) Channel verification of multiple channels on one chip
KR101608437B1 (ko) 원자력 발전소 계통의 비교논리회로의 실시간 건전성 검사 장치 및 방법
JP2004318254A (ja) 安全保護計測装置の試験装置
US20090106461A1 (en) Information Processing Apparatus and Information Processing Method
US20070288819A1 (en) Semiconductor integrated circuit, test data generating device, lsi test device, and computer product
Afik et al. Integration and commissioning of the ATLAS Muon-to-Central-Trigger-Processor Interface for Run-3
WO2023007344A1 (en) Logic built-in self-test of an electronic circuit
CN116702669A (zh) 一种formal验证的可复用模块级验证环境的建立方法
JPS6022211A (ja) 故障診断装置
JPS6070598A (ja) 自己診断回路
Krasniewski Concurrent Error Detection for a Network of Combinational Logic Blocks Implemented with Memory Embedded in FPGAs
Jennings Research into the Safety Issues Arising from Using ASIC Devices as a Potential Replacement Technology for Analogue Trip Amplifiers in Existing Reactor Safety Systems
JPH0383170A (ja) 論理シュミレーションによる仕様の自動判定装置

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 10591433

Country of ref document: US

Ref document number: 2005720000

Country of ref document: EP

Ref document number: 2007185700

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWW Wipo information: withdrawn in national office

Country of ref document: DE

WWE Wipo information: entry into national phase

Ref document number: 200580014317.X

Country of ref document: CN

WWP Wipo information: published in national office

Ref document number: 2005720000

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 10591433

Country of ref document: US