WO2012018016A1 - 原子力施設の制御システム - Google Patents

原子力施設の制御システム Download PDF

Info

Publication number
WO2012018016A1
WO2012018016A1 PCT/JP2011/067684 JP2011067684W WO2012018016A1 WO 2012018016 A1 WO2012018016 A1 WO 2012018016A1 JP 2011067684 W JP2011067684 W JP 2011067684W WO 2012018016 A1 WO2012018016 A1 WO 2012018016A1
Authority
WO
WIPO (PCT)
Prior art keywords
circuit
signal
output
auxiliary
input
Prior art date
Application number
PCT/JP2011/067684
Other languages
English (en)
French (fr)
Inventor
正文 内海
秀和 佐竹
清水　勝
Original Assignee
三菱重工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱重工業株式会社 filed Critical 三菱重工業株式会社
Priority to US13/813,472 priority Critical patent/US9368240B2/en
Priority to EP11814641.4A priority patent/EP2602794B1/en
Publication of WO2012018016A1 publication Critical patent/WO2012018016A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
    • G21D—NUCLEAR POWER PLANT
    • G21D3/00—Control of nuclear power plant
    • G21D3/04—Safety arrangements
    • G—PHYSICS
    • G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
    • G21C—NUCLEAR REACTORS
    • G21C17/00—Monitoring; Testing ; Maintaining
    • G—PHYSICS
    • G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
    • G21C—NUCLEAR REACTORS
    • G21C7/00—Control of nuclear reaction
    • G21C7/36—Control circuits
    • G—PHYSICS
    • G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
    • G21D—NUCLEAR POWER PLANT
    • G21D3/00—Control of nuclear power plant
    • G21D3/001—Computer implemented control
    • G—PHYSICS
    • G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
    • G21D—NUCLEAR POWER PLANT
    • G21D3/00—Control of nuclear power plant
    • G21D3/04—Safety arrangements
    • G21D3/06—Safety arrangements responsive to faults within the plant
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
    • Y02E30/00—Energy generation of nuclear origin
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
    • Y02E30/00—Energy generation of nuclear origin
    • Y02E30/30—Nuclear fission reactors

Definitions

  • the auxiliary control device provided in the nuclear facility when the main control device provided in the nuclear facility cannot control the operation of the device to the safe side due to a failure such as a common factor failure, the auxiliary control device provided in the nuclear facility is used to make the device safe. It is related with the control system of the nuclear facility operated on the side.
  • the reactor protection system has two comparison logic processor modules, which have different types of CPUs.
  • One comparison logic processor module processes the input data in accordance with the first processing order to output a trip state signal.
  • the other comparison logic processor module outputs the trip state signal by processing the input data according to the second processing order that is the reverse order of the first processing order. For this reason, in this reactor protection system, a trip state signal can be output using the other comparison logic processor module that is different from one comparison logic processor module, so that a common factor failure is eliminated. Can do.
  • the reactor protection system will stop the operation of the reactor. For this reason, if the operation of the nuclear reactor is stopped due to a malfunction, the nuclear power facility cannot be operated until the operation of the nuclear reactor is restored, so that the operation rate of the nuclear power facility decreases.
  • an object of the present invention is to provide a nuclear facility control system that can suppress a decrease in the operating rate of the nuclear facility due to malfunction.
  • a control system for a nuclear facility includes a detection sensor provided in a nuclear facility and capable of outputting an abnormality detection signal when an abnormality occurs in the nuclear facility, and a device provided in the nuclear facility based on the abnormality detection signal.
  • the main controller that outputs a normal operation signal when the device operates normally, and the output result of the abnormality detection signal and normal operation signal, the device operates normally when an abnormality occurs in the nuclear facility
  • An auxiliary control device that outputs an auxiliary operation signal for operating the device to the safe side and assists the main control device, and the auxiliary control device is an output side of the main control device.
  • a NOT circuit that can be output by negating the presence or absence of a normal operation signal input, the presence or absence of a signal output from the NOT circuit, and the presence or absence of an input of an abnormality detection signal Characterized in that it has a first 1AND circuit capable of outputting an auxiliary actuation signal.
  • the main control device when the abnormality detection signal is input from the detection sensor to the main control device and the auxiliary control device in a state where the main control device is operating normally, the main control device is based on the abnormality detection signal. Control the operation of equipment installed in nuclear facilities to the safe side. Then, the main control device outputs a normal operation signal when the device is normally operated as a result of controlling the operation of the device to the safe side. At this time, a normal operation signal is input to the auxiliary control device, but no signal is input to the first AND circuit by passing through the NOT circuit. For this reason, even if the abnormality detection signal is input to the first AND circuit, the auxiliary operation signal is not output from the first AND circuit.
  • the main control device when an abnormality occurs in the nuclear facility in a state where the main control device is operating normally (for example, a state where no common factor failure has occurred), the main control device outputs a normal operation signal.
  • the auxiliary control device can block the output of the auxiliary operation signal by the first AND circuit.
  • an abnormality detection signal is input from the detection sensor to the main control device and the auxiliary control device in a malfunction state of the main control device (for example, a common factor failure has occurred)
  • the main control device is normal.
  • the operation signal may not be output.
  • a normal operation signal is not input to the auxiliary control device, but a signal is input to the first AND circuit by passing through the NOT circuit.
  • the first AND circuit can output the auxiliary operation signal.
  • the auxiliary control device can output the auxiliary operation signal from the first AND circuit, and thus the equipment provided in the nuclear facility can be operated to the safe side.
  • the auxiliary control device delays the output of the abnormality detection signal to the first AND circuit by a predetermined time after the main control device receives the abnormality detection signal until the normal operation signal is output to the first AND circuit. It is preferable to have a circuit.
  • the delay circuit can delay the output of the abnormality detection signal to the first AND circuit by a predetermined time until the normal operation signal is input to the first AND circuit via the NOT circuit. That is, if the normal operation signal is not input to the first AND circuit via the NOT circuit, the signal output from the NOT circuit is input to the first AND circuit. In this state, when an abnormality detection signal is input, an auxiliary operation signal is output from the first AND circuit. Therefore, by providing the delay circuit, the abnormality detection signal is input after the normal operation signal is input to the first AND circuit via the NOT circuit. For this reason, the first AND circuit detects whether or not the signal output from the NOT circuit is input, and then detects whether or not the abnormality detection signal is input, so that the auxiliary operation signal is output only when necessary. be able to.
  • it further includes a first manual operation unit capable of outputting a permission signal for allowing the output of the auxiliary operation signal by manual operation, and the auxiliary control device is configured to input the auxiliary operation signal output from the first AND circuit. It is preferable to further include a second AND circuit capable of outputting an auxiliary operation signal based on the presence / absence and presence / absence of the permission signal.
  • the second AND circuit when the permission signal is input to the second AND circuit by manually operating the first manual operation unit, the second AND circuit can be in a state in which an auxiliary operation signal can be output.
  • the second AND circuit can disable the auxiliary operation signal.
  • a second manual operation unit capable of outputting a manual operation signal for operating the equipment provided in the nuclear facility to the safe side by manual operation is further provided, and an auxiliary operation signal output from the second AND circuit is input. It is preferable to further include an OR circuit capable of outputting the second auxiliary operation signal based on whether or not a manual operation signal is input.
  • the OR circuit can output the second auxiliary operation signal. Accordingly, by manually operating the second manual operation unit as appropriate, the operator can easily output the second auxiliary operation signal, so that the device can be operated to the safe side by manual operation.
  • the nuclear facility has a reactor having a core inside, a reactor containment vessel for storing the reactor, and equipment, and the equipment includes core damage prevention equipment for preventing damage to the core, A container breakage prevention device for preventing damage to the reactor containment vessel, and the auxiliary control device outputs the auxiliary operation signal to operate the core damage prevention device and the vessel breakage prevention device to the safe side, preferable.
  • the auxiliary control device only has to output an auxiliary operation signal for operating the core damage prevention device to the safe side and an auxiliary operation signal for operating the vessel breakage prevention device to the safe side.
  • the auxiliary control device can have a simple configuration.
  • the main control device has a digital facility in which software is executed on hardware, and the auxiliary control device is an analog facility configured by connecting each contact of the electronic component by wiring. .
  • the main control device and the auxiliary control device can be configured differently, the occurrence of a common factor failure can be suppressed. Thereby, even if a common factor failure occurs in the digital equipment of the main controller, the auxiliary controller can operate the equipment provided in the nuclear facility on the safe side when an abnormality occurs in the nuclear facility.
  • the equipment provided in the nuclear facility does not operate by the auxiliary control device, while the main control device has a common factor failure, etc.
  • the equipment provided in the nuclear facility can be operated by the auxiliary control device when necessary.
  • the equipment provided in the nuclear facility can be suitably operated on the safe side by the main control device and the auxiliary control device.
  • the main control device operates normally, the equipment provided in the nuclear facility does not operate due to a malfunction of the auxiliary control device, and therefore it is possible to suppress a decrease in the operation rate of the nuclear facility due to the malfunction. .
  • FIG. 1 is a schematic configuration diagram schematically illustrating a nuclear facility controlled by the control system according to the present embodiment.
  • FIG. 2 is a configuration diagram of a control system for a nuclear facility according to the present embodiment.
  • FIG. 3 is a table in which abnormal events that can be assumed to occur in a nuclear facility are associated with types of core damage prevention functions and vessel damage prevention functions that are performed according to the assumed abnormal events.
  • FIG. 1 is a schematic configuration diagram schematically showing a nuclear facility controlled by the control system according to the present embodiment.
  • the control system 40 of the nuclear facility 1 according to the present invention controls the nuclear facility 1 having the nuclear reactor 5.
  • the nuclear reactor 5 for example, a pressurized water nuclear reactor (PWR: Pressurized Water Reactor) is used.
  • PWR Pressurized Water Reactor
  • a nuclear facility 1 using this pressurized water reactor 5 includes a reactor cooling system 3 including the reactor 5 and a turbine system 4 that exchanges heat with the reactor cooling system 3.
  • a reactor coolant flows, and in the turbine system 4, a secondary coolant flows.
  • the reactor cooling system 3 includes a nuclear reactor 5 and a steam generator 7 connected to the nuclear reactor 5 through coolant pipes 6a and 6b including a cold leg 6a and a hot leg 6b. Further, a pressurizer 8 is interposed in the hot leg 6b, and a coolant pump 9 is interposed in the cold leg 6a.
  • the reactor 5, the coolant pipes 6 a and 6 b, the steam generator 7, the pressurizer 8, and the coolant pump 9 are accommodated in the reactor containment vessel 10.
  • the reactor 5 is a pressurized water reactor as described above, and the inside thereof is filled with a reactor coolant.
  • a large number of fuel assemblies 15 are accommodated in the nuclear reactor 5, and a large number of control rods 16 for controlling the nuclear fission of the fuel assemblies 15 are provided so as to be insertable into the respective fuel assemblies 15. ing.
  • the pressurizer 8 interposed in the hot leg 6b suppresses boiling of the reactor coolant by pressurizing the reactor coolant that has become high temperature. Further, the steam generator 7 heat-exchanges the reactor coolant that has become high temperature and high pressure with the secondary coolant, thereby evaporating the secondary coolant and generating steam, and also has high temperature and pressure. Reactor coolant is being cooled.
  • Each coolant pump 9 circulates the reactor coolant in the reactor cooling system 3 and sends the reactor coolant from each steam generator 7 to the reactor 5 via the cold leg 6a. From the nuclear reactor 5 to the steam generators 7 via the hot legs 6b.
  • the reactor coolant is heated by the thermal energy generated by the fission reaction in the reactor 5, the heated reactor coolant is sent to each steam generator 7 by the coolant pump 9 via the hot leg 6b. Sent.
  • the high-temperature reactor coolant passing through the hot leg 6b is pressurized by the pressurizer 8 to suppress boiling, and flows into each steam generator 7 in a state of high temperature and pressure.
  • the high-temperature and high-pressure reactor coolant flowing into each steam generator 7 is cooled by exchanging heat with the secondary coolant, and the cooled reactor coolant is cooled by each coolant pump 9 via the cold leg 6a. And sent to the reactor 5.
  • the reactor 5 is cooled by the cooled reactor coolant flowing into the reactor 5. That is, the reactor coolant is circulated between the reactor 5 and the steam generator 7.
  • the reactor coolant is light water used as a coolant and a neutron moderator.
  • the turbine system 4 connects a turbine 22 connected to each steam generator 7 through a steam pipe 21, a condenser 23 connected to the turbine 22, and the condenser 23 and each steam generator 7. And a water supply pump 24 interposed in the water supply pipe 26.
  • a generator 25 is connected to the turbine 22.
  • the condenser 23 has a cooling pipe 27 disposed therein, and one of the cooling pipes 27 is connected to a water intake pipe 28 for supplying cooling water (for example, seawater). A drain pipe 29 for draining the cooling water is connected to.
  • the condenser 23 cools the steam flowing in from the turbine 22 by the cooling pipe 27, thereby returning the steam to a liquid.
  • the secondary coolant that has become liquid is sent to each steam generator 7 via a water supply pipe 26 by a water supply pump 24.
  • the secondary coolant sent to each steam generator 7 becomes steam again by exchanging heat with the reactor coolant in each steam generator 7.
  • FIG. 2 is a block diagram of a nuclear facility control system according to the present embodiment.
  • the nuclear facility 1 configured as described above is provided with a control system 40 that controls the operation of each device such as the various pumps and valves (not shown) provided in the nuclear facility 1.
  • the control system 40 includes a central control facility (not shown), a plant control facility (not shown), a safety protection system facility (main control device) 43, and a CCF countermeasure facility (auxiliary control device) 44.
  • the central control facility is provided with a display device for displaying the operation status of the nuclear facility 1, an operating device for operating the nuclear facility 1, and the like. Then, an operator operating the nuclear facility 1 operates the nuclear facility 1 by visually recognizing the display device to grasp the operation status of the nuclear facility 1 and appropriately operating the operation device.
  • the plant control facility controls the operation of the nuclear reactor 5 and each device of the nuclear facility 1 based on the operation signal output from the operation device of the central control facility.
  • the safety protection system 43 controls the nuclear facility 1 to stop safely when an abnormality occurs in the nuclear facility 1.
  • the CCF countermeasure equipment 44 is a backup equipment that assists the safety protection system equipment 43. If a failure such as a common cause failure (CCF: Common ⁇ Cause Failure) occurs in the safety protection system equipment 43, the nuclear facility 1 is safe. Control to stop.
  • CCF Common ⁇ Cause Failure
  • the safety protection system equipment 43 is configured by using a plurality of control panels, and the plurality of control panels include a so-called digital equipment, a part of which is equipped with an arithmetic device such as a CPU. By executing various programs by the apparatus, the facility can control the safety protection system of the nuclear facility 1.
  • the safety protection system is a functional system having functions of stopping the nuclear reaction of the nuclear reactor 5, cooling the nuclear facility 1, and preventing leakage of radioactive materials from the nuclear facility 1.
  • the safety protection system equipment 43 has a high operation guarantee so that it can operate reliably and can operate even in a severe environment.
  • Various kinds of detection sensors 50 arranged in the nuclear facility 1 are connected to the safety protection system 43, and whether an abnormality has occurred in the nuclear facility 1 based on the abnormality detection signals obtained from the various detection sensors 50. Judging whether or not.
  • the safety protection system 43 determines that an abnormality has occurred in the nuclear facility 1, the safety protection system 43 outputs an operation signal for operating each device to the safe side toward each device, and when each device operates normally.
  • the normal operation signal S1 is output to the CCF countermeasure equipment 44.
  • the normal operation signal S1 there are a reactor trip signal T for stopping the reactor 5, an auxiliary water supply signal S for replenishing the turbine 22 with a secondary coolant, and the like.
  • the CCF countermeasure equipment 44 is provided assuming that a common factor failure (Common Cause Failure) occurs in the safety protection equipment 43.
  • the CCF countermeasure equipment 44 is an analog equipment, and is configured by connecting each contact point with an electric wire using electrical circuit parts such as a switch and a relay.
  • a common factor failure is an event in which software used in a digital facility is not executed due to a common factor such as a bug.
  • the safety protection system 43 is a digital facility and the CCF countermeasure 44 is an analog facility, thereby eliminating the possibility that the safety protection system 43 and the CCF countermeasure 44 will simultaneously fail due to a common factor failure. ing.
  • the above-described various detection sensors 50 are also connected to the CCF countermeasure equipment 44, and an abnormality has occurred in the nuclear facility 1 based on the abnormality detection signals obtained from the various detection sensors 50, as in the safety protection system equipment 43. Judgment whether or not.
  • the CCF countermeasure facility 44 determines that an abnormality has occurred in the nuclear facility 1, the CCF countermeasure facility 44 outputs an auxiliary operation signal S2 for operating each device to the safe side toward each device.
  • the auxiliary operation signal S2 as with the normal operation signal S1, a reactor trip signal T for stopping the reactor 5, an auxiliary water supply signal S for replenishing the turbine 22 with a secondary coolant, and the like. is there.
  • the CCF countermeasure equipment 44 includes an automatic control panel 52 that can automatically output the auxiliary operation signal S2, and a manual operation panel 53 that can output the auxiliary operation signal S2 by manual operation. If the automatic control panel 52 determines that an abnormality has occurred in the nuclear facility 1 based on the abnormality detection signal obtained from the detection sensor 50, the automatic control panel 52 sends an auxiliary operation signal S2 for operating each device to the safe side. Output.
  • the manual operation panel 53 has a plurality of operation units (not shown) for outputting various signals by manual operation.
  • the plurality of operation units for example, an operation unit capable of outputting a reactor trip signal T, a trip permission signal K1 for permitting output of the reactor trip signal T by the automatic control panel 52, and auxiliary water supply by the automatic control panel 52
  • an operation unit that can output an auxiliary water supply permission signal K2 that permits the output of the signal S and an alarm permission signal K3 that permits the automatic control panel 52 to generate an alarm.
  • the automatic control panel 52 has a plurality of operation circuits that output various signals based on the input abnormality detection signal.
  • a reactor stop circuit 60 that outputs a reactor trip signal T
  • an auxiliary water supply start circuit 61 that outputs an auxiliary water supply signal S
  • an alarm circuit 62 that generates an alarm are provided. Yes.
  • the automatic control panel 52 also includes a pressurizer pressure vise table 65 that acquires an abnormality detection signal output from the detection sensor 50 that detects the pressure of the pressurizer 8, and a detection sensor 50 that detects the water level of the steam generator 7.
  • the steam generator water level vise table 66 for acquiring the abnormality detection signal output from the above-mentioned operation circuit 60, 61, 62 is connected to the pressurizer pressure vise table 65 or the steam generator water level vise table 66. It is connected.
  • the pressurizer pressure vise table 65 includes a low pressure vise table 65a and a high pressure vise table 65b.
  • a plurality of low pressure vise tables 65a are arranged in accordance with the pressurizers 8 provided in the nuclear facility 1, and a pressure value lower than a preset lower limit pressure value is acquired. An abnormality detection signal is output to.
  • a plurality of high pressure vise tables 65b are arranged according to the pressurizers 8 provided in the nuclear facility 1, and when a pressure higher than a preset upper limit pressure value is acquired. An abnormality detection signal is output.
  • the steam generator water level vise table 66 includes a low water level vise table 66a and a high water level vise table 66b.
  • a plurality of low water level vise tables 66a (four in this embodiment) are arranged in accordance with the steam generator 7 provided in the nuclear facility 1, and a water level value lower than a preset lower limit water level value is obtained. In this case, an abnormality detection signal is output.
  • a plurality of (four in the present embodiment) high water level vise tables 66b are arranged in accordance with the steam generators 7 provided in the nuclear facility 1, and have obtained a water level value higher than a preset upper limit water level value. In this case, an abnormality detection signal is output.
  • the reactor shutdown circuit 60 includes an AND circuit 70 connected to the output side of the low pressure vise table 65a, an AND circuit 71 connected to the output side of the high pressure vise table 65b, and a low water level vise table 66a. And a voting circuit 72 connected to the output side.
  • the reactor shutdown circuit 60 includes an OR circuit 73 connected to the output side of the AND circuit 70, the AND circuit 71, and the voting circuit 72, a delay circuit 74 connected to the output side of the OR circuit 73, and a delay circuit 74.
  • a first AND circuit 75 connected to the output side of the first AND circuit 75 and a NOT circuit 76 connected to the input side of the first AND circuit 75.
  • the AND circuit 70 outputs an abnormality detection signal to the OR circuit 73 when an abnormality detection signal is input from the two low pressure vise tables 65a. On the other hand, the AND circuit 70 does not output an abnormality detection signal unless an abnormality detection signal is output from at least one of the low pressure vise tables 65a.
  • the AND circuit 71 outputs an abnormality detection signal to the OR circuit 73 when an abnormality detection signal is input from the two high pressure vise tables 65b. On the other hand, the AND circuit 71 does not output an abnormality detection signal unless an abnormality detection signal is output from at least one of the high pressure vise tables 65b.
  • the voting circuit 72 outputs an abnormality detection signal to the OR circuit 73 when an abnormality detection signal is input from three low water level vise tables 66a among the four low water level vise tables 66a. On the other hand, the voting circuit 72 does not output an abnormality detection signal unless an abnormality detection signal is output from at least three low water level vise tables 66a.
  • the OR circuit 73 outputs a reactor trip signal T to the delay circuit 74 when an abnormality detection signal is input from at least one of the AND circuit 70, the AND circuit 71, and the voting circuit 72.
  • the NOT circuit 76 has its input side connected to the safety protection system equipment 43, negates the reactor trip signal T output from the safety protection system equipment 43, and outputs it to the first AND circuit 75. That is, when the reactor trip signal T is output from the safety protection system 43, the NOT circuit 76 does not output a signal toward the first AND circuit 75. On the other hand, if the reactor trip signal T is not output from the safety protection system 43, the NOT circuit 76 outputs a signal toward the first AND circuit 75.
  • the first AND circuit 75 When the signal is input from the NOT circuit 76 and the reactor trip signal T is input from the OR circuit 73, the first AND circuit 75 outputs the reactor trip signal T. On the other hand, the first AND circuit 75 does not output the reactor trip signal T unless a signal is output from the NOT circuit 76 or the OR circuit 73.
  • the delay circuit 74 has a delay time from the OR circuit 73 until the reactor trip signal T is input to the first AND circuit 75 via the NOT circuit 76 after the abnormality detection signal is input to the safety protection system equipment 43.
  • the reactor trip signal T output to the first AND circuit 75 is delayed.
  • the reactor shutdown circuit 60 includes a latch circuit 78 connected to the output side of the first AND circuit 75 and an OR circuit 79 connected to the output side of the latch circuit 78.
  • the latch circuit 78 includes a latching OR circuit 81 connected to the output side of the first AND circuit 75, and a latching AND circuit (second AND circuit) 82 connected to the output side of the latching OR circuit 81. ing.
  • the manual operation panel 53 is connected to the input side of the AND circuit 82 for latch, and when the trip permission signal K1 is input from the manual operation panel 53, the reactor trip signal T can be output.
  • the latch AND circuit 82 is connected to the input side of the latch OR circuit 81 on its output side, and as long as the trip permission signal K1 is input to the latch AND circuit 82, the reactor trip from the latch AND circuit 82.
  • the signal T can be output.
  • the latch AND circuit 82 cannot output the reactor trip signal T unless the trip permission signal K1 is input from the manual operation panel 53.
  • the OR circuit 79 has a manual operation panel 53 connected to the input side thereof, and when the reactor trip signal T is input from the manual operation panel 53 or when the reactor trip signal T is input from the latch circuit 78.
  • the reactor trip signal T (second auxiliary operation signal) is output.
  • the reactor shutdown circuit 60 also functions as a turbine shutdown circuit capable of outputting a turbine trip signal for stopping the turbine 22, and the coolant flowing in the feed water pipe 26 is supplied to the reactor containment vessel 10. It also functions as a water supply isolation circuit capable of outputting a water supply isolation signal for isolation inside and outside.
  • the auxiliary water supply start circuit 61 includes the voting circuit 72 described above, a delay circuit 84 connected to the output side of the voting circuit 72, a first AND circuit 85 connected to the output side of the delay circuit 84, and a first AND circuit 85. And a NOT circuit 86 connected to the input side.
  • the voting circuit 72 is also used as the reactor shutdown circuit 60.
  • the auxiliary water supply signal S is generated. Output toward the first AND circuit 85.
  • the voting circuit 72 does not output the auxiliary water supply signal S unless an abnormality detection signal is output from at least three low water level vise tables 66a.
  • the NOT circuit 86 has its input side connected to the safety protection system equipment 43, negates the auxiliary water supply signal S output from the safety protection system equipment 43, and outputs it to the first AND circuit 85. That is, when the auxiliary water supply signal S is output from the safety protection system 43, the NOT circuit 86 does not output a signal toward the first AND circuit 85. On the other hand, if the auxiliary water supply signal S is not output from the safety protection system 43, the NOT circuit 86 outputs a signal toward the first AND circuit 85.
  • the first AND circuit 85 When the signal is input from the NOT circuit 86 and the auxiliary water supply signal S is input from the voting circuit 72, the first AND circuit 85 outputs the auxiliary water supply signal S. On the other hand, the first AND circuit 85 does not output the auxiliary water supply signal S unless a signal is output from the NOT circuit 86 or the voting circuit 72.
  • the delay circuit 84 is connected to the first voting circuit 72 from the voting circuit 72 by a delay time from when the abnormality detection signal is input to the safety protection system 43 to when the auxiliary water supply signal S is input to the first AND circuit 85 via the NOT circuit 86.
  • the auxiliary water supply signal S output toward the 1AND circuit 85 is delayed.
  • the auxiliary water supply start circuit 61 has a latch circuit 88 connected to the output side of the first AND circuit 85.
  • the latch circuit 88 includes a latching OR circuit 91 connected to the output side of the first AND circuit 85, and a latching AND circuit (second AND circuit) 92 connected to the output side of the latching OR circuit 91. ing.
  • the AND circuit 92 for latching has a manual operation panel 53 connected to the input side thereof, and when the auxiliary water supply permission signal K2 is input from the manual operation panel 53, the auxiliary water supply signal S can be output.
  • the latch AND circuit 92 is connected to the input side of the latch OR circuit 91 on the output side, and as long as the auxiliary water supply permission signal K2 is input to the latch AND circuit 92, the latch AND circuit 92 supplies the auxiliary water supply.
  • the signal S can be output.
  • the latch AND circuit 92 cannot output the auxiliary water supply signal S unless the auxiliary water supply permission signal K2 is input from the manual operation panel 53.
  • the alarm circuit 62 includes an OR circuit 95 connected to the output side of the high water level vise table 66b, a delay circuit 96 connected to the output side of the OR circuit 95, and a latch circuit connected to the output side of the delay circuit 96. 97, a NOT circuit 98 connected to the input side of the latch circuit 97, and a second AND circuit 99 connected to the output side of the latch circuit 97.
  • the OR circuit 95 outputs an alarm signal A toward the delay circuit 96 when an abnormality detection signal is input from at least one of the four high water level vise tables 66b.
  • the NOT circuit 98 has its input side connected to the safety protection system equipment 43, negates the reactor trip signal T output from the safety protection system equipment 43, and outputs it to the latch circuit 97. That is, when the reactor trip signal T is output from the safety protection system 43, the NOT circuit 98 does not output a signal toward the latch circuit 97. On the other hand, if the reactor trip signal T is not output from the safety protection system 43, the NOT circuit 98 outputs a signal toward the latch circuit 97.
  • the latch circuit 97 includes a latch AND circuit (first AND circuit) 100 connected to the output side of the delay circuit 96, and a latch OR circuit 101 connected to the input side of the latch AND circuit 100. Yes.
  • the latch OR circuit 101 has a NOT circuit 98 connected to the input side thereof. When a signal is input from the NOT circuit 98, the latch OR circuit 101 outputs a signal to the latch AND circuit 100.
  • the latch AND circuit 100 is connected at its input side to the output side of the latch OR circuit 101 and the output side of the delay circuit 96.
  • the latch AND circuit 100 outputs an alarm signal A toward the second AND circuit 99 when the signal is input from the latch OR circuit 101 and the alarm signal A is input from the delay circuit 96.
  • the second AND circuit 99 has a manual operation panel 53 connected to the input side thereof, and outputs an alarm signal A when an alarm permission signal K3 is input from the manual operation panel 53.
  • the delay circuit 96 is ORed for a delay time from when the abnormality detection signal is input to the safety protection system 43 to when the signal is input to the latch AND circuit 100 via the NOT circuit 98 and the latch OR circuit 101.
  • the alarm signal A output from the circuit 95 toward the latching AND circuit 100 is delayed.
  • the control target of the safety protection equipment 43 and the control target of the CCF countermeasure equipment 44 are partially different.
  • the CCF countermeasure equipment 44 is one of the equipment that prevents damage to the core of the reactor 5 and the equipment that prevents damage to the reactor containment vessel 10 among the control targets of the safety protection system equipment 43. Are controlled.
  • the CCF countermeasure equipment 44 outputs the auxiliary operation signal S2 such as the reactor trip signal T and the auxiliary water supply signal S described above, thereby preventing the core damage from being damaged and preventing damage to the vessel. Demonstrates container damage prevention function.
  • FIG. 3 is a table in which abnormal events that can be assumed to occur in a nuclear facility are associated with types of core damage prevention functions and vessel breakage prevention functions that are performed according to the assumed abnormal events.
  • abnormal events that can be assumed include transient events such as coolant temperature and pressure, breakage of heat transfer tubes provided in the steam generator 7 (SGTR), breakage of the steam tubes 21, and water supply tubes. 26 breaks, loss of coolant due to breaks (LOCA).
  • the types of the core damage prevention function and the container damage prevention function can be roughly classified into three types: a function for stopping the nuclear facility 1, a function for cooling the nuclear facility 1, and a function for confining the nuclear facility 1 in the nuclear facility 1. It is.
  • the functions for stopping the nuclear facility 1 include a reactor trip function for stopping the nuclear reactor 5 and a turbine trip function for stopping the turbine 22.
  • a reactor trip function for stopping the nuclear reactor 5
  • a turbine trip function for stopping the turbine 22.
  • an auxiliary water supply function for supplying auxiliary water to the turbine system 4
  • an auxiliary water supply isolation function for isolating auxiliary water supplied to the turbine system 4
  • water injection to the reactor cooling system 3 There are a safety injection function, a function of letting the steam in the steam generator 7 escape from the main steam relief valve, and a function of letting the steam in the pressurizer 8 escape from the pressurizer relief valve.
  • a main water supply isolation function that isolates the coolant flowing in the feed water pipe 26 inside and outside the reactor containment vessel 10, and a coolant flowing in the steam tube 21 is stored in the reactor containment vessel 10.
  • the safety protection system equipment 43 when an abnormality detection signal is input from the detection sensor 50 to the safety protection system equipment 43 and the CCF countermeasure equipment 44 in a state where the safety protection system equipment 43 is operating normally, the safety protection system equipment 43 outputs a normal operation signal S1 when each device operates normally as a result of controlling the operation of each device to the safe side.
  • the normal operation signal S1 is input to the CCF countermeasure equipment 44, but no signal is input to the first AND circuits 75, 85, and 100 through the NOT circuits 76, 86, and 98. For this reason, even if an abnormality detection signal is input to the first AND circuits 75, 85, 100, the auxiliary operation signal S2 is not output from the first AND circuits 75, 85, 100.
  • the safety protection system equipment 43 when an abnormality occurs in the nuclear power facility 1 in a state where the safety protection system equipment 43 is operating normally, the safety protection system equipment 43 outputs a normal operation signal S1, so that the CCF countermeasure equipment 44 The first AND circuit 75, 85, 100 can block the output of the auxiliary operation signal S2.
  • an abnormality detection signal is input from the detection sensor 50 to the safety protection system equipment 43 and the CCF countermeasure equipment 44 in a state where the CCF is generated in the digital equipment of the safety protection system equipment 43 (malfunction state)
  • the normal operation signal S1 may not be output from the system equipment 43.
  • the normal operation signal S1 is not input to the CCF countermeasure equipment 44, but a signal is input to the first AND circuits 75, 85, and 100 by passing through the NOT circuits 76, 86, and 98.
  • the NOT circuits 76, 86, 98 are connected to the first AND circuits 75, 85, 100.
  • the first AND circuits 75, 85, and 100 can output the auxiliary operation signal S2 because the signal from and the abnormality detection signal are input.
  • the auxiliary operation signal S2 can be output from the CCF countermeasure equipment 44. Equipment can be operated safely.
  • the abnormality detection signal is input after the normal operation signal S1 is input to the first AND circuits 75, 85, 100 via the NOT circuits 76, 86, 98. .
  • the first AND circuits 75, 85, and 100 detect the presence / absence of the signal output from the NOT circuits 76, 86, and 98, and then detect the presence / absence of the input of the abnormality detection signal.
  • the presence or absence of the output of the signal S2 can be performed.
  • the second AND circuits 82, 92, and 99 receive the auxiliary operation signal S2. Can be output.
  • the second AND circuits 82, 92, and 99 receive the auxiliary operation signal S2. Can be output.
  • the second AND circuits 82, 92, and 99 S2 can be in a state incapable of outputting.
  • the operator can easily control whether the auxiliary operation signal S2 is output.
  • the OR circuit 79 If the reactor trip signal T is input to the OR circuit 79 by manually operating the manual operation panel 53, the OR circuit 79 outputs the reactor trip signal T (second auxiliary operation signal). be able to. Thus, by manually operating the manual operation panel 53 as appropriate, the operator can easily output the reactor trip signal T, so that the device can be operated to the safe side by manual operation.
  • the CCF countermeasure equipment 44 only has to output an auxiliary operation signal S2 for operating the reactor core damage prevention device to the safe side and an auxiliary operation signal S2 for operating the vessel damage prevention device to the safe side.
  • the CCF countermeasure equipment 44 can be simplified.
  • the safety protection system 43 includes a digital facility and the CCF countermeasure facility 44 can be an analog facility, the occurrence of a failure due to a common factor can be suppressed. Thereby, even when CCF occurs in the safety protection system 43, the CCF countermeasure equipment 44 operates normally. Therefore, when an abnormality occurs in the nuclear facility 1, the equipment provided in the nuclear facility 1 is safely Can be operated.
  • control system for a nuclear facility is useful in a nuclear facility having a safety protection system facility and a CCF countermeasure facility.
  • the safety protection system facility operates normally, the device is not operated safely due to malfunction of the CCF countermeasure facility, and is suitable for suppressing a reduction in the operating rate of the nuclear facility.

Abstract

　原子力施設の異常発生時に出力される異常検出信号に基づいて、原子力施設に設けられた機器を安全側に作動制御した結果、機器が正常に作動した場合に正常作動信号Ｓ１を出力する安全保護系設備４３と、異常検出信号および正常作動信号Ｓ１の出力結果から、原子力施設の異常発生時に機器が正常に作動しなかったと判断した場合、機器を安全側に作動させるためのＣＣＦ時作動信号Ｓ２を出力するＣＣＦ対策設備４４と、を有し、ＣＣＦ対策設備４４は、正常作動信号Ｓ１の入力の有無を否定して出力可能なＮＯＴ回路７６，８６，９８と、ＮＯＴ回路７６，８６，９８から出力される信号の入力の有無、および異常検出信号の入力の有無に基づいて、ＣＣＦ時作動信号Ｓ２を出力可能な第１ＡＮＤ回路７５，８５，１００とを有する。

Description

原子力施設の制御システム
　本発明は、原子力施設に設けられた主制御装置が、共通要因故障等の不具合により、機器を安全側に作動制御できなかった場合に、原子力施設に設けられた補助制御装置によって、機器を安全側に作動させる原子力施設の制御システムに関するものである。
　従来、運転中に原子力施設が異常状態となった場合に、ソフトウェア上における共通要因故障（共通類型故障）を考慮して、原子炉停止および工学的安全設備を作動させる原子炉保護システムが知られている（例えば、特許文献１参照）。この原子炉保護システムは、２つの比較論理プロセッサーモジュールを有しており、２つの比較論理プロセッサーモジュールは、異なるタイプのＣＰＵを備えている。一方の比較論理プロセッサーモジュールは、入力されたデータを、第１処理順序に従って処理することで、トリップ状態信号を出力する。他方の比較論理プロセッサーモジュールは、入力されたデータを、第１処理順序の逆順となる第２処理順序に従って処理することで、トリップ状態信号を出力する。このため、この原子炉保護システムでは、一方の比較論理プロセッサーモジュールとは異なる他方の比較論理プロセッサーモジュールを用いて、トリップ状態信号を出力することができるため、共通要因故障を排除したシステムとすることができる。
特表２００４－５２９３５３号公報
　しかしながら、２つの比較論理プロセッサーモジュールのうち、いずれか一方が誤作動によりトリップ状態信号を出力した場合、原子炉保護システムは、原子炉の運転を停止することとなる。このため、誤作動により原子炉の運転が停止してしまうと、原子炉の運転を復帰させるまでの間、原子力施設を稼動させることができないため、原子力施設の稼働率が低下してしまう。
　そこで、本発明は、誤作動による原子力施設の稼働率低下を抑制することができる原子力施設の制御システムを提供することを課題とする。
　本発明の原子力施設の制御システムは、原子力施設に設けられ、原子力施設の異常発生時において、異常検出信号を出力可能な検出センサと、異常検出信号に基づいて、原子力施設に設けられた機器を安全側に作動制御した結果、機器が正常に作動した場合に正常作動信号を出力する主制御装置と、異常検出信号および正常作動信号の出力結果から、原子力施設の異常発生時に機器が正常に作動しなかったと判断した場合、機器を安全側に作動させるための補助作動信号を出力し、主制御装置の補助となる補助制御装置と、を有し、補助制御装置は、主制御装置の出力側に接続され、正常作動信号の入力の有無を否定して出力可能なＮＯＴ回路と、ＮＯＴ回路から出力される信号の入力の有無、および異常検出信号の入力の有無に基づいて、補助作動信号を出力可能な第１ＡＮＤ回路と、を有していることを特徴とする。
　この構成によれば、主制御装置が正常に作動している状態において、検出センサから異常検出信号が主制御装置および補助制御装置に入力されると、主制御装置は、異常検出信号に基づいて、原子力施設に設けられた機器を安全側に作動制御する。そして、主制御装置は、機器を安全側に作動制御した結果、機器が正常に作動した場合に正常作動信号を出力する。このとき、補助制御装置には、正常作動信号が入力されるが、ＮＯＴ回路を通ることで、第１ＡＮＤ回路には、信号が入力されない。このため、第１ＡＮＤ回路に異常検出信号が入力されても、第１ＡＮＤ回路から補助作動信号が出力されない。これにより、主制御装置が正常に作動している状態（例えば、共通要因故障が発生していない状態）において、原子力施設に異常が発生すると、主制御装置は、正常作動信号を出力する一方で、補助制御装置は、第１ＡＮＤ回路により補助作動信号の出力を阻止することができる。一方で、主制御装置の誤作動状態（例えば、共通要因故障が発生している状態）において、検出センサから異常検出信号が主制御装置および補助制御装置に入力されると、主制御装置から正常作動信号が出力されない場合がある。このとき、補助制御装置には、正常作動信号が入力されないが、ＮＯＴ回路を通ることで、第１ＡＮＤ回路には、信号が入力される。このため、第１ＡＮＤ回路には、ＮＯＴ回路からの信号と異常検出信号とが入力されるため、第１ＡＮＤ回路は補助作動信号を出力することができる。これにより、主制御装置が誤作動しても、補助制御装置は、第１ＡＮＤ回路から補助作動信号を出力することができるため、原子力施設に設けられた機器を安全側に作動させることができる。
　この場合、補助制御装置は、主制御装置が異常検出信号を受信してから、第１ＡＮＤ回路へ正常作動信号を出力するまでの所定時間分、異常検出信号の第１ＡＮＤ回路への出力を遅らせるディレイ回路を有していることが、好ましい。
　この構成によれば、ディレイ回路は、ＮＯＴ回路を介して第１ＡＮＤ回路に正常作動信号が入力されるまでの所定時間分、第１ＡＮＤ回路への異常検出信号の出力を遅らせることができる。つまり、正常作動信号がＮＯＴ回路を介して第１ＡＮＤ回路に入力されなければ、第１ＡＮＤ回路には、ＮＯＴ回路から出力される信号が入力される状態となる。この状態において、異常検出信号が入力されると、第１ＡＮＤ回路から補助作動信号が出力されてしまう。よって、ディレイ回路を設けることにより、異常検出信号は、正常作動信号がＮＯＴ回路を介して第１ＡＮＤ回路へ入力された後に入力される。このため、第１ＡＮＤ回路は、ＮＯＴ回路から出力される信号の入力の有無を検知した後で、異常検出信号の入力の有無を検知することで、必要時のみ補助作動信号の出力の有無を行うことができる。
　この場合、手動操作により補助作動信号の出力を許可するための許可信号を出力可能な第１手動操作部を、さらに備え、補助制御装置は、第１ＡＮＤ回路から出力される補助作動信号の入力の有無、および許可信号の入力の有無に基づいて、補助作動信号を出力可能な第２ＡＮＤ回路を、さらに有していることが、好ましい。
　この構成によれば、第１手動操作部が手動操作されることにより、許可信号が第２ＡＮＤ回路に入力されると、第２ＡＮＤ回路は、補助作動信号を出力可能な状態とすることができる。一方で、第１手動操作部が手動操作されることにより、許可信号が第２ＡＮＤ回路に入力されなければ、第２ＡＮＤ回路は、補助作動信号を出力不能な状態とすることができる。これにより、第１手動操作部を適宜手動操作することで、運転員は、簡単に補助作動信号の出力の有無をコントロールすることができる。
　この場合、手動操作により原子力施設に設けられた機器を安全側に作動させるための手動作動信号を出力可能な第２手動操作部を、さらに備え、第２ＡＮＤ回路から出力される補助作動信号の入力の有無、および手動作動信号の入力の有無に基づいて、第２補助作動信号を出力可能なＯＲ回路を、さらに有していることが、好ましい。
　この構成によれば、ＯＲ回路に、手動作動信号および補助作動信号の少なくともいずれか一方が入力されれば、ＯＲ回路は、第２補助作動信号を出力することができる。これにより、第２手動操作部を適宜手動操作することで、運転員は、簡単に第２補助作動信号を出力することができるため、手動操作により機器を安全側へ作動させることができる。
　この場合、原子力施設は、内部に炉心を有する原子炉と、原子炉を格納する原子炉格納容器と、機器と、を有し、機器は、炉心の損傷を防止する炉心損傷防止機器と、原子炉格納容器の破損を防止する容器破損防止機器と、を有し、補助制御装置は、補助作動信号を出力することで、炉心損傷防止機器および容器破損防止機器を安全側に作動させることが、好ましい。
　この構成によれば、補助制御装置は、炉心損傷防止機器を安全側に作動させる補助作動信号と、容器破損防止機器を安全側に作動させる補助作動信号とを出力すればよいため、補助制御装置を最低限の構成することができ、これにより、補助制御装置を簡易な構成とすることができる。
　この場合、主制御装置は、ハードウェア上においてソフトウェアが実行されるデジタル設備を有し、補助制御装置は、電子部品の各接点を配線により接続して構成されたアナログ設備であることが、好ましい。
　この構成によれば、主制御装置と補助制御装置とを異なる構成とすることができるため、共通要因故障の発生を抑制することができる。これにより、主制御装置のデジタル設備に共通要因故障が発生しても、原子力施設の異常発生時において、補助制御装置は、原子力施設に設けられた機器を安全側に作動させることができる。
　本発明の原子力施設の制御システムによれば、主制御装置が正常に作動する場合、原子力施設に設けられた機器は、補助制御装置により作動せず、一方で、主制御装置が共通要因故障等により誤作動する場合、原子力施設に設けられた機器は、必要時に補助制御装置により作動できる。このため、原子力施設の異常発生時において、原子力施設に設けられた機器は、主制御装置および補助制御装置により好適に安全側に作動することができる。また、主制御装置が正常に作動する場合、原子力施設に設けられた機器は、補助制御装置の誤作動によって作動することがないため、誤作動による原子力施設の稼働率低下を抑制することができる。
図１は、本実施例に係る制御システムにより制御される原子力施設を模式的に表した概略構成図である。 図２は、本実施例に係る原子力施設の制御システムの構成図である。 図３は、原子力施設に発生すると想定され得る異常事象と、想定された異常事象に応じて実施される炉心損傷防止機能および容器破損防止機能の種類と、を対応付けた表である。
　以下、添付した図面を参照して、本発明に係る原子力施設の制御システムについて説明する。なお、以下の実施例によりこの発明が限定されるものではない。また、下記実施例における構成要素には、当業者が置換可能かつ容易なもの、或いは実質的に同一のものが含まれる。
　図１は、本実施例に係る制御システムにより制御される原子力施設を模式的に表した概略構成図である。本発明に係る原子力施設１の制御システム４０は、原子炉５を有する原子力施設１を制御するものであり、原子炉５としては、例えば、加圧水型原子炉（ＰＷＲ：Pressurized Water Reactor）が用いられている。この加圧水型の原子炉５を用いた原子力施設１は、原子炉５を含む原子炉冷却系３と、原子炉冷却系３と熱交換するタービン系４とで構成されており、原子炉冷却系３には、原子炉冷却材が流通し、タービン系４には、二次冷却材が流通している。
　原子炉冷却系３は、原子炉５と、コールドレグ６ａおよびホットレグ６ｂから成る冷却材配管６ａ，６ｂを介して原子炉５に接続された蒸気発生器７とを有している。また、ホットレグ６ｂには、加圧器８が介設され、コールドレグ６ａには、冷却材ポンプ９が介設されている。そして、原子炉５、冷却材配管６ａ，６ｂ、蒸気発生器７、加圧器８および冷却材ポンプ９は、原子炉格納容器１０に収容されている。
　原子炉５は、上記したように加圧水型原子炉であり、その内部は原子炉冷却材で満たされている。そして、原子炉５内には、多数の燃料集合体１５が収容されると共に、燃料集合体１５の核分裂を制御する多数の制御棒１６が、各燃料集合体１５に対し、挿入可能に設けられている。
　制御棒１６により核分裂反応を制御しながら燃料集合体１５を核分裂させると、この核分裂により熱エネルギーが発生する。発生した熱エネルギーは原子炉冷却材を加熱し、加熱された原子炉冷却材は、ホットレグ６ｂを介して蒸気発生器７へ送られる。一方、コールドレグ６ａを介して各蒸気発生器７から送られてきた原子炉冷却材は、原子炉５内に流入して、原子炉５内を冷却する。
　ホットレグ６ｂに介設された加圧器８は、高温となった原子炉冷却材を加圧することにより、原子炉冷却材の沸騰を抑制している。また、蒸気発生器７は、高温高圧となった原子炉冷却材を、二次冷却材と熱交換させることにより、二次冷却材を蒸発させて蒸気を発生させ、且つ、高温高圧となった原子炉冷却材を冷却している。各冷却材ポンプ９は、原子炉冷却系３において原子炉冷却材を循環させており、原子炉冷却材を各蒸気発生器７からコールドレグ６ａを介して原子炉５へ送り込むと共に、原子炉冷却材を原子炉５からホットレグ６ｂを介して各蒸気発生器７へ送り込んでいる。
　ここで、原子力施設１の原子炉冷却系３における一連の動作について説明する。原子炉５内の核分裂反応により発生した熱エネルギーにより、原子炉冷却材が加熱されると、加熱された原子炉冷却材は、各冷却材ポンプ９によりホットレグ６ｂを介して各蒸気発生器７に送られる。ホットレグ６ｂを通過する高温の原子炉冷却材は、加圧器８により加圧されることで沸騰が抑制され、高温高圧となった状態で、各蒸気発生器７に流入する。各蒸気発生器７に流入した高温高圧の原子炉冷却材は、二次冷却材と熱交換を行うことにより冷却され、冷却された原子炉冷却材は、各冷却材ポンプ９によりコールドレグ６ａを介して原子炉５に送られる。そして、冷却された原子炉冷却材が原子炉５に流入することで、原子炉５が冷却される。つまり、原子炉冷却材は、原子炉５と蒸気発生器７との間を循環している。なお、原子炉冷却材は、冷却材および中性子減速材として用いられる軽水である。
　タービン系４は、蒸気管２１を介して各蒸気発生器７に接続されたタービン２２と、タービン２２に接続された復水器２３と、復水器２３と各蒸気発生器７とを接続する給水管２６に介設された給水ポンプ２４と、を有している。そして、上記のタービン２２には、発電機２５が接続されている。
　ここで、原子力施設１のタービン系４における一連の動作について説明する。蒸気管２１を介して各蒸気発生器７から蒸気がタービン２２に流入すると、タービン２２は回転を行う。タービン２２が回転すると、タービン２２に接続された発電機２５は、発電を行う。この後、タービン２２から流出した蒸気は復水器２３に流入する。復水器２３は、その内部に冷却管２７が配設されており、冷却管２７の一方には冷却水（例えば、海水）を供給するための取水管２８が接続され、冷却管２７の他方には冷却水を排水するための排水管２９が接続されている。そして、復水器２３は、タービン２２から流入した蒸気を冷却管２７により冷却することで、蒸気を液体に戻している。液体となった二次冷却材は、給水ポンプ２４により給水管２６を介して各蒸気発生器７に送られる。各蒸気発生器７に送られた二次冷却材は、各蒸気発生器７において原子炉冷却材と熱交換を行うことにより再び蒸気となる。
　図２は、本実施例に係る原子力施設の制御システムの構成図である。上記のように構成された原子力施設１には、原子力施設１に設けられた上記の各種ポンプや図示しないバルブ等の各機器の作動を制御する制御システム４０が配設されている。この制御システム４０は、図示しない中央制御設備と、図示しないプラント制御設備と、安全保護系設備（主制御装置）４３と、ＣＣＦ対策設備（補助制御装置）４４とを有している。
　図示は省略するが、中央制御設備は、原子力施設１の運転状況を表示する表示装置や、原子力施設１を操作する操作装置等が設けられている。そして、原子力施設１を運転するオペレータは、表示装置を視認して原子力施設１の運転状況を把握し、操作装置を適宜操作することで、原子力施設１を運転する。プラント制御設備は、中央制御設備の操作装置から出力された操作信号に基づいて、原子力施設１の原子炉５や各機器の運転を制御している。
　図２に示すように、安全保護系設備４３は、原子力施設１に異常が発生した場合、原子力施設１が安全に停止するように制御している。ＣＣＦ対策設備４４は、安全保護系設備４３を補助するバックアップ設備となっており、安全保護系設備４３に共通要因故障（ＣＣＦ：Common Cause Failure）等の不具合が生じた場合、原子力施設１が安全に停止するように制御している。
　安全保護系設備４３は、複数の制御盤を用いて構成されており、複数の制御盤は、その一部が、ＣＰＵ等の演算装置を搭載した、いわゆるデジタル設備を含み、デジタル設備は、演算装置により各種プログラムを実行することで、原子力施設１の安全保護系を制御可能な設備となっている。なお、安全保護系とは、原子炉５の核反応を停止させる、原子力施設１を冷却する、原子力施設１からの放射性物質の漏洩を防ぐという機能を有する機能系統である。そして、安全保護系設備４３は、確実に作動可能で、且つ、厳しい環境下においても作動可能なように、動作保証が高いものとなっている。
　安全保護系設備４３には、原子力施設１内に配設された各種検出センサ５０が接続されており、各種検出センサ５０から得られる異常検出信号に基づいて、原子力施設１に異常が発生したか否かを判断している。そして、安全保護系設備４３は、原子力施設１に異常が発生したと判断した場合、各機器を安全側に作動させる作動信号を各機器へ向けて出力すると共に、各機器が正常に作動した場合に正常作動信号Ｓ１をＣＣＦ対策設備４４へ向けて出力する。ここで、正常作動信号Ｓ１としては、原子炉５を停止するための原子炉トリップ信号Ｔや、タービン２２に二次冷却材を補給するための補助給水信号Ｓ等がある。
　ＣＣＦ対策設備４４は、安全保護系設備４３に共通要因故障（Common Cause Failure）が発生した場合を想定して設けられている。ＣＣＦ対策設備４４は、アナログ設備であり、スイッチやリレー等の電気回路部品を用い、各接点を電線でつなぐことにより構成されている。ここで、共通要因故障とは、デジタル設備において用いられるソフトウェアがバグ等の共通の要因により実行されない事象である。つまり、本実施例では、安全保護系設備４３をデジタル設備、ＣＣＦ対策設備４４をアナログ設備とすることで、共通要因故障により安全保護系設備４３およびＣＣＦ対策設備４４が同時に故障する虞を排除している。
　ＣＣＦ対策設備４４にも、上記の各種検出センサ５０が接続されており、安全保護系設備４３と同様に、各種検出センサ５０から得られる異常検出信号に基づいて、原子力施設１に異常が発生したか否かを判断している。そして、ＣＣＦ対策設備４４は、原子力施設１に異常が発生したと判断した場合、各機器を安全側に作動させる補助作動信号Ｓ２を、各機器へ向けて出力する。なお、補助作動信号Ｓ２としては、正常作動信号Ｓ１と同様に、原子炉５を停止するための原子炉トリップ信号Ｔや、タービン２２に二次冷却材を補給するための補助給水信号Ｓ等がある。
　また、ＣＣＦ対策設備４４は、補助作動信号Ｓ２を自動で出力可能な自動制御盤５２と、手動操作により補助作動信号Ｓ２を出力可能な手動操作盤５３と、を有している。自動制御盤５２は、検出センサ５０から得られる異常検出信号に基づいて、原子力施設１に異常が発生したと判断した場合、各機器を安全側に作動させる補助作動信号Ｓ２を、各機器へ向けて出力する。
　手動操作盤５３は、手動操作により各種信号を出力する図示しない複数の操作部を有している。複数の操作部としては、例えば、原子炉トリップ信号Ｔを出力可能な操作部や、自動制御盤５２による原子炉トリップ信号Ｔの出力を許可するトリップ許可信号Ｋ１と、自動制御盤５２による補助給水信号Ｓの出力を許可する補助給水許可信号Ｋ２と、自動制御盤５２による警報の発生を許可する警報許可信号Ｋ３と、を出力可能な操作部がある。
　自動制御盤５２は、入力された異常検出信号に基づいて各種信号を出力する複数の作動回路を有している。複数の作動回路としては、例えば、原子炉トリップ信号Ｔを出力する原子炉停止回路６０と、補助給水信号Ｓを出力する補助給水起動回路６１と、警報を発生する警報回路６２と、を備えている。また、自動制御盤５２は、加圧器８の圧力を検出する検出センサ５０から出力された異常検出信号を取得する加圧器圧力用バイステーブル６５と、蒸気発生器７の水位を検出する検出センサ５０から出力された異常検出信号を取得する蒸気発生器水位用バイステーブル６６とを備え、上記の作動回路６０，６１，６２は、加圧器圧力用バイステーブル６５または蒸気発生器水位用バイステーブル６６に接続されている。
　加圧器圧力用バイステーブル６５は、低圧力用バイステーブル６５ａと、高圧力用バイステーブル６５ｂとを有している。低圧力用バイステーブル６５ａは、原子力施設１に設けられた加圧器８に応じて複数（本実施例では２つ）配設され、予め設定された下限圧力値よりも低い圧力値を取得した場合に異常検出信号を出力する。高圧力用バイステーブル６５ｂは、原子力施設１に設けられた加圧器８に応じて複数（本実施例では２つ）配設され、予め設定された上限圧力値よりも高い圧力を取得した場合に異常検出信号を出力する。
　蒸気発生器水位用バイステーブル６６は、低水位用バイステーブル６６ａと、高水位用バイステーブル６６ｂとを有している。低水位用バイステーブル６６ａは、原子力施設１に設けられた蒸気発生器７に応じて複数（本実施例では４つ）配設され、予め設定された下限水位値よりも低い水位値を取得した場合に異常検出信号を出力する。高水位用バイステーブル６６ｂは、原子力施設１に設けられた蒸気発生器７に応じて複数（本実施例では４つ）配設され、予め設定された上限水位値よりも高い水位値を取得した場合に異常検出信号を出力する。
　原子炉停止回路６０は、低圧力用バイステーブル６５ａの出力側に接続されたＡＮＤ回路７０と、高圧力用バイステーブル６５ｂの出力側に接続されたＡＮＤ回路７１と、低水位用バイステーブル６６ａの出力側に接続された票決回路７２とを有している。また、原子炉停止回路６０は、ＡＮＤ回路７０、ＡＮＤ回路７１および票決回路７２の出力側に接続されたＯＲ回路７３と、ＯＲ回路７３の出力側に接続されたディレイ回路７４と、ディレイ回路７４の出力側に接続された第１ＡＮＤ回路７５と、第１ＡＮＤ回路７５の入力側に接続されたＮＯＴ回路７６と、を有している。
　ＡＮＤ回路７０は、２つの低圧力用バイステーブル６５ａから異常検出信号が入力されると、異常検出信号をＯＲ回路７３へ向けて出力する。一方で、ＡＮＤ回路７０は、少なくともいずれか一方の低圧力用バイステーブル６５ａから異常検出信号が出力されなければ、異常検出信号を出力しない。
　ＡＮＤ回路７１は、２つの高圧力用バイステーブル６５ｂから異常検出信号が入力されると、異常検出信号をＯＲ回路７３へ向けて出力する。一方で、ＡＮＤ回路７１は、少なくともいずれか一方の高圧力用バイステーブル６５ｂから異常検出信号が出力されなければ、異常検出信号を出力しない。
　票決回路７２は、４つの低水位用バイステーブル６６ａのうち、３つの低水位用バイステーブル６６ａから異常検出信号が入力されると、異常検出信号をＯＲ回路７３へ向けて出力する。一方で、票決回路７２は、少なくとも３つの低水位用バイステーブル６６ａから異常検出信号が出力されなければ、異常検出信号を出力しない。
　ＯＲ回路７３は、ＡＮＤ回路７０、ＡＮＤ回路７１および票決回路７２のうち、少なくともいずれか１つの回路から異常検出信号が入力されると、原子炉トリップ信号Ｔをディレイ回路７４へ向けて出力する。
　ＮＯＴ回路７６は、その入力側が安全保護系設備４３に接続されており、安全保護系設備４３から出力される原子炉トリップ信号Ｔを否定して、第１ＡＮＤ回路７５へ向けて出力する。つまり、安全保護系設備４３から原子炉トリップ信号Ｔが出力されると、ＮＯＴ回路７６は、第１ＡＮＤ回路７５へ向けて信号を出力しない。一方で、安全保護系設備４３から原子炉トリップ信号Ｔが出力されないと、ＮＯＴ回路７６は、第１ＡＮＤ回路７５へ向けて信号を出力する。
　第１ＡＮＤ回路７５は、ＮＯＴ回路７６から信号が入力され、且つ、ＯＲ回路７３から原子炉トリップ信号Ｔが入力されると、原子炉トリップ信号Ｔを出力する。一方で、第１ＡＮＤ回路７５は、ＮＯＴ回路７６またはＯＲ回路７３から信号が出力されなければ、原子炉トリップ信号Ｔを出力しない。
　ディレイ回路７４は、安全保護系設備４３に異常検出信号が入力されてから、ＮＯＴ回路７６を介して第１ＡＮＤ回路７５に原子炉トリップ信号Ｔが入力されるまでのディレイ時間分、ＯＲ回路７３から第１ＡＮＤ回路７５へ向けて出力される原子炉トリップ信号Ｔを遅れさせている。
　また、原子炉停止回路６０は、第１ＡＮＤ回路７５の出力側に接続されたラッチ回路７８と、ラッチ回路７８の出力側に接続されたＯＲ回路７９と、を有している。ラッチ回路７８は、第１ＡＮＤ回路７５の出力側に接続されたラッチ用ＯＲ回路８１と、ラッチ用ＯＲ回路８１の出力側に接続されたラッチ用ＡＮＤ回路（第２ＡＮＤ回路）８２と、を有している。
　ラッチ用ＡＮＤ回路８２は、その入力側に手動操作盤５３が接続されており、手動操作盤５３からトリップ許可信号Ｋ１が入力されると、原子炉トリップ信号Ｔが出力可能な状態となる。ラッチ用ＡＮＤ回路８２は、その出力側にラッチ用ＯＲ回路８１の入力側が接続されており、ラッチ用ＡＮＤ回路８２にトリップ許可信号Ｋ１が入力されている限り、ラッチ用ＡＮＤ回路８２から原子炉トリップ信号Ｔが出力可能な状態となる。一方で、ラッチ用ＡＮＤ回路８２は、手動操作盤５３からトリップ許可信号Ｋ１が入力されないと、原子炉トリップ信号Ｔを出力することができない。
　ＯＲ回路７９は、その入力側に手動操作盤５３が接続されており、手動操作盤５３から原子炉トリップ信号Ｔが入力されるか、またはラッチ回路７８から原子炉トリップ信号Ｔが入力されると、原子炉トリップ信号Ｔ（第２補助作動信号）を出力する。
　なお、上記の原子炉停止回路６０は、タービン２２を停止するためのタービントリップ信号を出力可能なタービン停止回路としても機能すると共に、給水管２６内部に流通する冷却材を原子炉格納容器１０の内外において隔離するための給水隔離信号を出力可能な給水隔離回路としても機能する。
　補助給水起動回路６１は、上記の票決回路７２と、票決回路７２の出力側に接続されたディレイ回路８４と、ディレイ回路８４の出力側に接続された第１ＡＮＤ回路８５と、第１ＡＮＤ回路８５の入力側に接続されたＮＯＴ回路８６と、を有している。
　票決回路７２は、原子炉停止回路６０と兼用されており、４つの低水位用バイステーブル６６ａのうち、３つの低水位用バイステーブル６６ａから異常検出信号が入力されると、補助給水信号Ｓを第１ＡＮＤ回路８５へ向けて出力する。一方で、票決回路７２は、少なくとも３つの低水位用バイステーブル６６ａから異常検出信号が出力されなければ、補助給水信号Ｓを出力しない。
　ＮＯＴ回路８６は、その入力側が安全保護系設備４３に接続されており、安全保護系設備４３から出力される補助給水信号Ｓを否定して、第１ＡＮＤ回路８５へ向けて出力する。つまり、安全保護系設備４３から補助給水信号Ｓが出力されると、ＮＯＴ回路８６は、第１ＡＮＤ回路８５へ向けて信号を出力しない。一方で、安全保護系設備４３から補助給水信号Ｓが出力されないと、ＮＯＴ回路８６は、第１ＡＮＤ回路８５へ向けて信号を出力する。
　第１ＡＮＤ回路８５は、ＮＯＴ回路８６から信号が入力され、且つ、票決回路７２から補助給水信号Ｓが入力されると、補助給水信号Ｓを出力する。一方で、第１ＡＮＤ回路８５は、ＮＯＴ回路８６または票決回路７２から信号が出力されなければ、補助給水信号Ｓを出力しない。
　ディレイ回路８４は、安全保護系設備４３に異常検出信号が入力されてから、ＮＯＴ回路８６を介して第１ＡＮＤ回路８５に補助給水信号Ｓが入力されるまでのディレイ時間分、票決回路７２から第１ＡＮＤ回路８５へ向けて出力される補助給水信号Ｓを遅れさせている。
　また、補助給水起動回路６１は、第１ＡＮＤ回路８５の出力側に接続されたラッチ回路８８を有している。ラッチ回路８８は、第１ＡＮＤ回路８５の出力側に接続されたラッチ用ＯＲ回路９１と、ラッチ用ＯＲ回路９１の出力側に接続されたラッチ用ＡＮＤ回路（第２ＡＮＤ回路）９２と、を有している。
　ラッチ用ＡＮＤ回路９２は、その入力側に手動操作盤５３が接続されており、手動操作盤５３から補助給水許可信号Ｋ２が入力されると、補助給水信号Ｓを出力可能な状態となる。ラッチ用ＡＮＤ回路９２は、その出力側にラッチ用ＯＲ回路９１の入力側が接続されており、ラッチ用ＡＮＤ回路９２に補助給水許可信号Ｋ２が入力されている限り、ラッチ用ＡＮＤ回路９２から補助給水信号Ｓを出力可能な状態となる。一方で、ラッチ用ＡＮＤ回路９２は、手動操作盤５３から補助給水許可信号Ｋ２が入力されないと、補助給水信号Ｓを出力することができない。
　警報回路６２は、高水位用バイステーブル６６ｂの出力側に接続されたＯＲ回路９５と、ＯＲ回路９５の出力側に接続されたディレイ回路９６と、ディレイ回路９６の出力側に接続されたラッチ回路９７と、ラッチ回路９７の入力側に接続されたＮＯＴ回路９８と、ラッチ回路９７の出力側に接続された第２ＡＮＤ回路９９と、を有している。
　ＯＲ回路９５は、４つの高水位用バイステーブル６６ｂのうち、少なくとも１つの高水位用バイステーブル６６ｂから異常検出信号が入力されると、警報信号Ａをディレイ回路９６へ向けて出力する。
　ＮＯＴ回路９８は、その入力側が安全保護系設備４３に接続されており、安全保護系設備４３から出力される原子炉トリップ信号Ｔを否定して、ラッチ回路９７へ向けて出力する。つまり、安全保護系設備４３から原子炉トリップ信号Ｔが出力されると、ＮＯＴ回路９８は、ラッチ回路９７へ向けて信号を出力しない。一方で、安全保護系設備４３から原子炉トリップ信号Ｔが出力されないと、ＮＯＴ回路９８は、ラッチ回路９７へ向けて信号を出力する。
　ラッチ回路９７は、ディレイ回路９６の出力側に接続されたラッチ用ＡＮＤ回路（第１ＡＮＤ回路）１００と、ラッチ用ＡＮＤ回路１００の入力側に接続されたラッチ用ＯＲ回路１０１と、を有している。ラッチ用ＯＲ回路１０１は、その入力側にＮＯＴ回路９８が接続されており、ＮＯＴ回路９８から信号が入力された場合、ラッチ用ＡＮＤ回路１００へ向けて信号を出力する。ラッチ用ＡＮＤ回路１００は、その入力側に、ラッチ用ＯＲ回路１０１の出力側とディレイ回路９６の出力側とが接続されている。ラッチ用ＡＮＤ回路１００は、ラッチ用ＯＲ回路１０１から信号が入力され、且つ、ディレイ回路９６から警報信号Ａが入力されると、第２ＡＮＤ回路９９へ向けて警報信号Ａを出力する。
　第２ＡＮＤ回路９９は、その入力側に手動操作盤５３が接続されており、手動操作盤５３から警報許可信号Ｋ３が入力された場合、警報信号Ａを出力する。
　ディレイ回路９６は、安全保護系設備４３に異常検出信号が入力されてから、ＮＯＴ回路９８およびラッチ用ＯＲ回路１０１を介してラッチ用ＡＮＤ回路１００に信号が入力されるまでのディレイ時間分、ＯＲ回路９５からラッチ用ＡＮＤ回路１００へ向けて出力される警報信号Ａを遅れさせている。
　ここで、安全保護系設備４３の制御対象と、ＣＣＦ対策設備４４の制御対象とは、一部異なっている。具体的に、ＣＣＦ対策設備４４は、安全保護系設備４３の制御対象のうち、原子炉５の炉心の損傷を防止する機器の一部と、原子炉格納容器１０の破損を防止する機器の一部と、を制御対象としている。つまり、ＣＣＦ対策設備４４は、上記の原子炉トリップ信号Ｔや補助給水信号Ｓ等の補助作動信号Ｓ２を出力することで、炉心の損傷を防止する炉心損傷防止機能と、容器の破損を防止する容器破損防止機能とを発揮する。
　図３は、原子力施設に発生すると想定され得る異常事象と、想定された異常事象に応じて実施される炉心損傷防止機能および容器破損防止機能の種類と、を対応付けた表である。この表に示すように、想定され得る異常事象としては、冷却材の温度や圧力等の過渡事象、蒸気発生器７に設けられた伝熱管の破損（ＳＧＴＲ）、蒸気管２１の破断、給水管２６の破断、破断による冷却材喪失（ＬＯＣＡ）とがある。また、炉心損傷防止機能および容器破損防止機能の種類としては、大きく３つに分類することができ、原子力施設１を止める機能と、原子力施設１を冷やす機能と、原子力施設１内に閉じ込める機能とである。
　原子力施設１を止める機能としては、原子炉５を停止する原子炉トリップ機能と、タービン２２を停止するタービントリップ機能とがある。原子力施設１を冷やす機能としては、タービン系４に補助給水を行う補助給水機能と、タービン系４に供給される補助給水を隔離する補助給水隔離機能と、原子炉冷却系３に冷却材を注水する安全注入機能と、蒸気発生器７内の蒸気を主蒸気逃がし弁から逃がす機能と、加圧器８内の蒸気を加圧器逃がし弁から逃がす機能とがある。原子力施設１内に閉じ込める機能としては、給水管２６内部に流通する冷却材を原子炉格納容器１０の内外において隔離する主給水隔離機能と、蒸気管２１に流通する冷却材を原子炉格納容器１０の内外において隔離する主蒸気隔離機能と、原子炉格納容器１０内に冷却水を散布する格納容器スプレイ機能と、原子炉格納容器１０の内外を隔離する格納容器隔離機能とがある。
　そして、図３に示すように、異常事象と機能の種類とに応じて、ＣＣＦ対策設備４４の自動制御盤５２により行うものと、ＣＣＦ対策設備４４の手動操作盤５３により行うものと、機器の配設現場に移動して手動操作するものとに分類される。ここで、自動制御盤５２により行うものとしては、異常事象の発生頻度が高く、且つ早期の操作が必要なものであり、具体的には、図３に示す記号Ａである。手動操作盤５３により行うものとしては、異常事象の発生頻度が高いが、操作に時間的余裕のあるものであり、具体的には、図３に示す記号Ｂである。配設現場において機器を手動操作するものとしては、異常事象の発生頻度は低いが、異常事象による影響が大きく且つ手動操作が必要なものであり、具体的には、図３に示す記号Ｃである。
　以上の構成によれば、安全保護系設備４３が正常に作動している状態において、検出センサ５０から異常検出信号が安全保護系設備４３およびＣＣＦ対策設備４４に入力されると、安全保護系設備４３は、各機器を安全側に作動制御した結果、各機器が正常に作動した場合に正常作動信号Ｓ１を出力する。このとき、ＣＣＦ対策設備４４には、正常作動信号Ｓ１が入力されるが、ＮＯＴ回路７６，８６，９８を通ることで、第１ＡＮＤ回路７５，８５，１００には、信号が入力されない。このため、第１ＡＮＤ回路７５，８５，１００に異常検出信号が入力されても、第１ＡＮＤ回路７５，８５，１００から補助作動信号Ｓ２が出力されない。これにより、安全保護系設備４３が正常に作動している状態において、原子力施設１に異常が発生すると、安全保護系設備４３が、正常作動信号Ｓ１を出力することで、ＣＣＦ対策設備４４は、第１ＡＮＤ回路７５，８５，１００により補助作動信号Ｓ２の出力を阻止することができる。一方で、安全保護系設備４３のデジタル設備にＣＣＦが発生した状態（誤作動状態）において、検出センサ５０から異常検出信号が安全保護系設備４３およびＣＣＦ対策設備４４に入力されると、安全保護系設備４３から正常作動信号Ｓ１が出力されない場合がある。このとき、ＣＣＦ対策設備４４には、正常作動信号Ｓ１が入力されないが、ＮＯＴ回路７６，８６，９８を通ることで、第１ＡＮＤ回路７５，８５，１００には、信号が入力される。このため、ＣＣＦ対策設備４４が正常に作動して、第１ＡＮＤ回路７５，８５，１００に異常検出信号が入力された場合、第１ＡＮＤ回路７５，８５，１００には、ＮＯＴ回路７６，８６，９８からの信号と、異常検出信号とが入力されるため、第１ＡＮＤ回路７５，８５，１００は補助作動信号Ｓ２を出力することができる。これにより、ＣＣＦ対策設備４４が正常に作動する場合、安全保護系設備４３にＣＣＦが発生しても、ＣＣＦ対策設備４４から補助作動信号Ｓ２を出力することができるため、原子力施設１に設けられた機器を安全側に作動させることができる。
　また、ディレイ回路７４，８４，９６を設けることにより、異常検出信号は、正常作動信号Ｓ１がＮＯＴ回路７６，８６，９８を介して第１ＡＮＤ回路７５，８５，１００へ入力された後に入力される。このため、第１ＡＮＤ回路７５，８５，１００は、ＮＯＴ回路７６，８６，９８から出力される信号の入力の有無を検知した後で、異常検出信号の入力の有無を検知することで、補助作動信号Ｓ２の出力の有無を行うことができる。
　また、手動操作盤５３が手動操作されることにより、許可信号Ｋ１，Ｋ２，Ｋ３が第２ＡＮＤ回路８２，９２，９９に入力されると、第２ＡＮＤ回路８２，９２，９９は、補助作動信号Ｓ２を出力可能な状態とすることができる。一方で、手動操作盤５３が手動操作されることにより、許可信号Ｋ１，Ｋ２，Ｋ３が第２ＡＮＤ回路８２，９２，９９に入力されなければ、第２ＡＮＤ回路８２，９２，９９は、補助作動信号Ｓ２を出力不能な状態とすることができる。これにより、手動操作盤５３を適宜手動操作することで、運転員は、簡単に補助作動信号Ｓ２の出力の有無をコントロールすることができる。
　また、手動操作盤５３が手動操作されることにより、ＯＲ回路７９に、原子炉トリップ信号Ｔが入力されれば、ＯＲ回路７９は、原子炉トリップ信号Ｔ（第２補助作動信号）を出力することができる。これにより、手動操作盤５３を適宜手動操作することで、運転員は、簡単に原子炉トリップ信号Ｔを出力することができるため、手動操作により機器を安全側へ作動させることができる。
　また、ＣＣＦ対策設備４４は、炉心損傷防止機器を安全側に作動させる補助作動信号Ｓ２と、容器破損防止機器を安全側に作動させる補助作動信号Ｓ２とを出力すればよいため、ＣＣＦ対策設備４４を最低限の構成することができ、これにより、ＣＣＦ対策設備４４を簡易な構成とすることができる。
　また、安全保護系設備４３がデジタル設備を含み、ＣＣＦ対策設備４４をアナログ設備とすることができるため、共通の要因による故障の発生を抑制することができる。これにより、安全保護系設備４３にＣＣＦが発生した場合であっても、ＣＣＦ対策設備４４は正常に作動するため、原子力施設１の異常発生時において、原子力施設１に設けられた機器を安全側に作動させることができる。
　以上のように、本発明に係る原子力施設の制御システムは、安全保護系設備とＣＣＦ対策設備とを有する原子力施設において有用であり、特に、異常発生時に原子力施設に設けられた機器を安全側に作動させると共に、安全保護系設備が正常に作動する場合、ＣＣＦ対策設備の誤作動によって機器を安全側に作動させることがなく、原子力施設の稼働率低下を抑制する場合に適している。
　１　　原子力施設
　３　　原子炉冷却系
　４　　タービン系
　５　　原子炉
　７　　蒸気発生器
　８　　加圧器
　１０　原子炉格納容器
　１５　燃料集合体
　１６　制御棒
　２２　タービン
　２５　発電機
　４０　制御システム
　４３　安全保護系設備
　４４　ＣＣＦ対策設備
　５０　検出センサ
　５２　自動制御盤
　５３　手動操作盤
　６０　原子炉停止回路
　６１　補助給水起動回路
　６２　警報回路
　７４　原子炉停止回路のディレイ回路
　７５　原子炉停止回路の第１ＡＮＤ回路
　７６　原子炉停止回路のＮＯＴ回路
　７８　原子炉停止回路のラッチ回路
　８４　補助給水起動回路のディレイ回路
　８５　補助給水起動回路の第１ＡＮＤ回路
　８６　補助給水起動回路のＮＯＴ回路
　８８　補助給水起動回路のラッチ回路
　９６　警報回路のディレイ回路
　９７　警報回路のラッチ回路
　９８　警報回路のＮＯＴ回路
　９９　警報回路の第２ＡＮＤ回路
　Ｓ１　正常作動信号
　Ｓ２　補助作動信号
　Ｔ　　原子炉トリップ信号
　Ｓ　　補助給水信号
　Ａ　　警報信号
　Ｋ１　トリップ許可信号
　Ｋ２　補助給水許可信号
　Ｋ３　警報許可信号

Claims (6)

  1. 　原子力施設に設けられ、前記原子力施設の異常発生時において、異常検出信号を出力可能な検出センサと、
    　前記異常検出信号に基づいて、前記原子力施設に設けられた機器を安全側に作動制御した結果、前記機器が正常に作動した場合に正常作動信号を出力する主制御装置と、
    　前記異常検出信号および前記正常作動信号の出力結果から、前記原子力施設の異常発生時に前記機器が正常に作動しなかったと判断した場合、前記機器を安全側に作動させるための補助作動信号を出力し、前記主制御装置の補助となる補助制御装置と、を有し、
    　前記補助制御装置は、
    　前記主制御装置の出力側に接続され、前記正常作動信号の入力の有無を否定して出力可能なＮＯＴ回路と、
    　前記ＮＯＴ回路から出力される信号の入力の有無、および前記異常検出信号の入力の有無に基づいて、前記補助作動信号を出力可能な第１ＡＮＤ回路と、を有していることを特徴とする原子力施設の制御システム。
  2. 　前記補助制御装置は、前記主制御装置が前記異常検出信号を受信してから、前記第１ＡＮＤ回路へ前記正常作動信号を出力するまでの所定時間分、前記異常検出信号の前記第１ＡＮＤ回路への出力を遅らせるディレイ回路を有していることを特徴とする請求項１に記載の原子力施設の制御システム。
  3. 　手動操作により前記補助作動信号の出力を許可するための許可信号を出力可能な第１手動操作部を、さらに備え、
    　前記補助制御装置は、前記第１ＡＮＤ回路から出力される前記補助作動信号の入力の有無、および前記許可信号の入力の有無に基づいて、前記補助作動信号を出力可能な第２ＡＮＤ回路を、さらに有していることを特徴とする請求項１または２に記載の原子力施設の制御システム。
  4. 　手動操作により前記原子力施設に設けられた機器を安全側に作動させるための手動作動信号を出力可能な第２手動操作部を、さらに備え、
    　前記第２ＡＮＤ回路から出力される前記補助作動信号の入力の有無、および前記手動作動信号の入力の有無に基づいて、第２補助作動信号を出力可能なＯＲ回路を、さらに有していることを特徴とする請求項３に記載の原子力施設の制御システム。
  5. 　前記原子力施設は、内部に炉心を有する原子炉と、前記原子炉を格納する原子炉格納容器と、前記機器と、を有し、
    　前記機器は、前記炉心の損傷を防止する炉心損傷防止機器と、前記原子炉格納容器の破損を防止する容器破損防止機器と、を有し、
    　前記補助制御装置は、
    　前記補助作動信号を出力することで、前記炉心損傷防止機器および前記容器破損防止機器を安全側に作動させることを特徴とする請求項１ないし４のいずれか１項に記載の原子力施設の制御システム。
  6. 　前記主制御装置は、ハードウェア上においてソフトウェアが実行されるデジタル設備を有し、
    　前記補助制御装置は、電子部品の各接点を配線により接続して構成されたアナログ設備であることを特徴とする請求項１ないし５のいずれか１項に記載の原子力施設の制御システム。
PCT/JP2011/067684 2010-08-06 2011-08-02 原子力施設の制御システム WO2012018016A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US13/813,472 US9368240B2 (en) 2010-08-06 2011-08-02 Control system for nuclear facilities
EP11814641.4A EP2602794B1 (en) 2010-08-06 2011-08-02 Control system for nuclear power plant

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2010-178092 2010-08-06
JP2010178092A JP5675208B2 (ja) 2010-08-06 2010-08-06 原子力施設の制御システム

Publications (1)

Publication Number Publication Date
WO2012018016A1 true WO2012018016A1 (ja) 2012-02-09

Family

ID=45559513

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2011/067684 WO2012018016A1 (ja) 2010-08-06 2011-08-02 原子力施設の制御システム

Country Status (4)

Country Link
US (1) US9368240B2 (ja)
EP (1) EP2602794B1 (ja)
JP (1) JP5675208B2 (ja)
WO (1) WO2012018016A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103400623A (zh) * 2013-07-30 2013-11-20 中广核工程有限公司 核电站数字化仪控多样性保护方法和系统

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11017907B2 (en) 2013-12-31 2021-05-25 Nuscale Power, Llc Nuclear reactor protection systems and methods
JP6721423B2 (ja) * 2016-06-14 2020-07-15 株式会社日立製作所 アプリロジックおよびその検証方法
KR20240033106A (ko) 2016-12-30 2024-03-12 뉴스케일 파워, 엘엘씨 핵 반응기 보호 시스템 및 방법
CN108962405A (zh) * 2018-07-27 2018-12-07 中国核动力研究设计院 一种应用于核电厂保护系统的ptr水位信号处理方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS59183396A (ja) * 1983-04-04 1984-10-18 株式会社日立製作所 安全機能達成確認装置
JPH0378696A (ja) * 1989-08-23 1991-04-03 Toshiba Corp プラント・インターロック監視支援装置
JPH04299292A (ja) * 1991-03-28 1992-10-22 Toshiba Corp 警報処理診断装置
JPH05209993A (ja) * 1992-01-30 1993-08-20 Toshiba Corp 原子力発電プラントの制御装置
JP2004529353A (ja) 2001-05-07 2004-09-24 コリア パワー エンジニアリング カンパニー インク． ソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム
JP2005195570A (ja) * 2004-01-09 2005-07-21 Korea Electric Power Corp 原子炉の核計測系統のデジタル制御システム及び方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4371856B2 (ja) * 2004-03-04 2009-11-25 株式会社東芝 安全保護計装システムおよびその取扱方法
JP5054654B2 (ja) * 2008-10-24 2012-10-24 三菱電機株式会社 プラント運転装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS59183396A (ja) * 1983-04-04 1984-10-18 株式会社日立製作所 安全機能達成確認装置
JPH0378696A (ja) * 1989-08-23 1991-04-03 Toshiba Corp プラント・インターロック監視支援装置
JPH04299292A (ja) * 1991-03-28 1992-10-22 Toshiba Corp 警報処理診断装置
JPH05209993A (ja) * 1992-01-30 1993-08-20 Toshiba Corp 原子力発電プラントの制御装置
JP2004529353A (ja) 2001-05-07 2004-09-24 コリア パワー エンジニアリング カンパニー インク． ソフトウェア共通類型故障を自体排除したデジタル原子炉保護システム
JP2005195570A (ja) * 2004-01-09 2005-07-21 Korea Electric Power Corp 原子炉の核計測系統のデジタル制御システム及び方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103400623A (zh) * 2013-07-30 2013-11-20 中广核工程有限公司 核电站数字化仪控多样性保护方法和系统

Also Published As

Publication number Publication date
JP2012037393A (ja) 2012-02-23
US9368240B2 (en) 2016-06-14
US20130129028A1 (en) 2013-05-23
JP5675208B2 (ja) 2015-02-25
EP2602794A4 (en) 2016-02-24
EP2602794A1 (en) 2013-06-12
EP2602794B1 (en) 2017-07-12

Similar Documents

Publication Publication Date Title
US9589683B2 (en) Reactor shutdown system
KR100399759B1 (ko) 원자력 발전소의 디지털 온라인 능동 시험 발전소 보호시스템 및 그 방법
JP5675256B2 (ja) 原子力施設の制御システム
JP5675208B2 (ja) 原子力施設の制御システム
EP2495730B1 (en) Nuclear power plant and operational support method for nuclear power plant
US10541059B2 (en) Digital protection system for nuclear power plant
JP5606260B2 (ja) 原子力施設の制御システム
KR101681978B1 (ko) 이종 제어기기를 포함하는 원자로 보호계통
WO2012020666A1 (ja) プラントの制御システム
JP6505889B1 (ja) 原子炉の異常緩和設備及び制御棒の固着判定方法
JP6847755B2 (ja) プラントの監視制御装置
Huang et al. Reactor Protection Diversity Requirements and the Typical Solution Base on DCS
CN115775641A (zh) 一种应对汽轮机停机事故的反应堆保护方法及系统
Shin et al. DIVERSITY AND DEFENSE-IN-DEPTH ANALYSIS FOR I&C SYSTEMS OF RESEARCH REACTORS: A CASE STUDY ON TWO RESEARCH REACTORS
Yao et al. Analysis of DAS and ATWS mitigation system in nuclear power plant
Ma et al. The Analysis and Design Technology Research of DAS
JPH02272394A (ja) ほう酸水注入装置
Wei-Jun et al. REACTOR PROTECTION DIVERSITY REQUIREMENTS AND THE TYPICAL SOLUTION BASE ON DCS

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11814641

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2011814641

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 13813472

Country of ref document: US

Ref document number: 2011814641

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE