WO2012049935A1 - 原子力施設の制御システム - Google Patents

原子力施設の制御システム Download PDF

Info

Publication number
WO2012049935A1
WO2012049935A1 PCT/JP2011/070903 JP2011070903W WO2012049935A1 WO 2012049935 A1 WO2012049935 A1 WO 2012049935A1 JP 2011070903 W JP2011070903 W JP 2011070903W WO 2012049935 A1 WO2012049935 A1 WO 2012049935A1
Authority
WO
WIPO (PCT)
Prior art keywords
operation signal
safety
output
side operation
signal
Prior art date
Application number
PCT/JP2011/070903
Other languages
English (en)
French (fr)
Inventor
弘志 藤本
篠原　広信
安武 秋月
俊樹 福井
田中　佑一
信二 木内
寛司 白澤
Original Assignee
三菱重工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱重工業株式会社 filed Critical 三菱重工業株式会社
Priority to EP11832373.2A priority Critical patent/EP2629301B1/en
Priority to US13/876,775 priority patent/US9627877B2/en
Publication of WO2012049935A1 publication Critical patent/WO2012049935A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
    • H02H—EMERGENCY PROTECTIVE CIRCUIT ARRANGEMENTS
    • H02H3/00—Emergency protective circuit arrangements for automatic disconnection directly responsive to an undesired change from normal electric working condition with or without subsequent reconnection ; integrated protection
    • H02H3/02—Details
    • H02H3/05—Details with means for increasing reliability, e.g. redundancy arrangements
    • G—PHYSICS
    • G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
    • G21D—NUCLEAR POWER PLANT
    • G21D3/00—Control of nuclear power plant
    • G21D3/04—Safety arrangements
    • G—PHYSICS
    • G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
    • G21D—NUCLEAR POWER PLANT
    • G21D3/00—Control of nuclear power plant
    • G21D3/001—Computer implemented control
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
    • Y02E30/00—Energy generation of nuclear origin
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
    • Y02E30/00—Energy generation of nuclear origin
    • Y02E30/30—Nuclear fission reactors

Definitions

  • the present invention relates to a control system for a nuclear facility that operates a device provided in the nuclear facility on the safe side when an abnormality occurs in the nuclear facility.
  • a digital plant protection system for a nuclear power plant described in Patent Document 1 is known as a control system for nuclear facilities.
  • the digital plant protection system has a main control room, a remote operation stop panel, and an equipment control system processor.
  • the main control room is connected to the equipment control system processor, and the equipment of the emergency response system provided in the nuclear power plant can be operated by transmitting a signal from the main control room to the equipment control system processor.
  • the remote operation stop panel is also connected to the equipment control system processor. When the main control room cannot stay, a signal is transmitted from the remote operation stop panel to the equipment control system processor.
  • the emergency response system equipment can be manually activated. The activated emergency response system equipment implements emergency measures such as shutting down the reactor.
  • the equipment installed in nuclear facilities is divided into safety protection facilities and regular facilities (non-safety protection facilities).
  • the safety protection system equipment is equipment for operating the nuclear facility on the safe side when an abnormality occurs
  • the regular system equipment is equipment for controlling the nuclear facility during normal operation.
  • the safety protection system equipment is digital equipment, it is assumed that the safety protection system equipment will have problems such as common cause failure.
  • the CCF facility is provided in the nuclear facility assuming the occurrence of a common factor failure of the safety protection system facility.
  • This CCF facility is operated as a regular facility.
  • the safety protection system facility is designed so that the operation guarantee is higher than that of the CCF facility which is a regular system facility.
  • a signal output from the safety protection system equipment is output from the regular system equipment so that a signal output from the safety protection system equipment is not obstructed by a signal output from the CCF equipment. It is necessary to configure so that the signal is prioritized over the generated signal.
  • the device provided in the main control room is a safety protection system facility and the remote operation stop panel is a CCF facility
  • a signal output from the safety protection system facility is transmitted to the equipment control system processor.
  • the signal output from the safety protection system facility may be disturbed by the signal output from the CCF facility.
  • the present invention operates the equipment provided in the nuclear facility to the safe side without obstructing the signal output from the safety main control device even if the signal is output from the normal auxiliary control device. It is an object to provide a control system for a nuclear facility.
  • the nuclear facility control system outputs a first safety-side operation signal for operating a device provided in the nuclear facility to a safe side when an abnormality occurs in the nuclear facility, while the nuclear facility operates normally.
  • a safety main controller that outputs a first non-safe side operation signal for operating the device to the non-safe side, and a second for operating the device to the safe side when an abnormality occurs in the nuclear facility.
  • a safety-side operation signal is output and the auxiliary control device of the normal system that is an auxiliary to the main control device, and various operation signals that are output from the main control device and the auxiliary control device are input, and the various operation signals that are input And an operation signal input / output means for outputting a third safety side operation signal for operating the device to the safe side or a third non-safe side operation signal for operating the device to the non-safe side.
  • the stage is connected to an OR circuit capable of outputting a third safety side operation signal based on the presence / absence of the input of the first safety side operation signal and the presence / absence of the input of the second safety side operation signal, and to the output side of the OR circuit
  • a NOT circuit that can output the third safety-side operation signal by negating the presence, the presence / absence of the signal output from the NOT circuit, and the presence / absence of the first non-safety-side operation signal.
  • an AND circuit capable of outputting a third non-safety side operation signal.
  • the safety main control device when an abnormality occurs in the nuclear facility, the safety main control device does not output the first safety side operation signal to the OR circuit due to malfunction, and the normal auxiliary control device does not output the second safety control device.
  • the side operation signal is output to the OR circuit, the first safety side operation signal is not input to the OR circuit, and the second safety side operation signal is input.
  • the OR circuit can output the third safety side operation signal.
  • the operation signal input / output means can prioritize the second safety side operation signal from the auxiliary auxiliary control device without obstructing the first safety side operation signal from the safety main control device.
  • the safety main control device operates normally and outputs the first safety side operation signal to the OR circuit, and the normal system auxiliary control device directs the second safety side operation signal to the OR circuit.
  • the OR circuit receives the first safety side operation signal and the second safety side operation signal.
  • the OR circuit can output the third safety side operation signal.
  • the operation signal input / output means outputs the first safety side operation signal from the safety main control device without being obstructed by the second safety side operation signal from the regular auxiliary control device. Can do.
  • the main controller outputs the first non-safe side operation signal to the AND circuit due to a malfunction when a nuclear facility abnormality occurs
  • the third safety-side operation signal output from the OR circuit Is input to the AND circuit as no input by passing through the NOT circuit.
  • the AND circuit can block the first non-safe side operation signal by a signal indicating no input from the NOT circuit.
  • the operation signal input / output means can output the third non-safe side operation signal based on the presence or absence of the output of the third safe side operation signal.
  • the auxiliary control device includes an automatic auxiliary control means capable of automatically outputting the second safety-side operation signal when an abnormality occurs in the nuclear facility, and manual auxiliary control capable of outputting the second safety-side operation signal by manual operation.
  • Second safety side operation based on the presence or absence of a second safety side operation signal output from the automatic auxiliary control means and the presence or absence of a second safety side operation signal output from the manual auxiliary control means It is preferable to have an auxiliary OR circuit capable of outputting a signal.
  • the second safety-side operation signal output from the auxiliary control device can be output automatically or manually.
  • assistant control apparatus can be suitably divided into the case where a 2nd safety side operation signal is output automatically, and the case where a 2nd safety side operation signal is output manually.
  • the manual auxiliary control means includes an operation section capable of manually outputting the second safety side operation signal, and a signal output permission means capable of outputting a permission signal for permitting the operation section to output the second safety side operation signal.
  • an auxiliary AND circuit capable of outputting the second safety-side operation signal based on the presence / absence of the second safety-side operation signal output from the operation unit and the presence / absence of the permission signal. It is preferable.
  • the manual auxiliary control means when the permission signal is input and the second safety side operation signal is input, the manual auxiliary control means can output the second safety side operation signal. That is, if the permission signal is not input, the manual auxiliary control means cannot output the second safety-side operation signal even if the operator operates the operation unit by mistake. Thereby, the manual auxiliary control means can reduce the operator's erroneous operation by providing the signal output permission means.
  • the signal output permission means is a circuit breaker capable of supplying power to the manual auxiliary control means, and the permission signal is input to the auxiliary side AND circuit when power is supplied to the manual auxiliary control means by the circuit breaker. It is preferable.
  • the manual auxiliary control means can input the permission signal to the auxiliary side AND circuit by supplying power to the manual auxiliary control means by the circuit breaker.
  • the manual auxiliary control means By shutting off the power supply to the manual auxiliary control means, it is possible to eliminate the input of the permission signal to the auxiliary AND circuit. Thereby, the operator can input the permission signal easily by operating the circuit breaker. Further, it is not necessary to newly provide a dedicated facility for inputting the permission signal.
  • the signal output from the safety main controller is given priority regardless of whether the signal is output from either the main controller or the auxiliary controller.
  • the malfunction of the control device can be suppressed, and the equipment provided in the nuclear facility can be operated on the safe side.
  • FIG. 1 is a schematic configuration diagram schematically illustrating a nuclear facility controlled by the control system according to the present embodiment.
  • FIG. 2 is a configuration diagram of a control system for a nuclear facility according to the present embodiment.
  • FIG. 3 is a configuration diagram of the signal input / output circuit.
  • FIG. 1 is a schematic configuration diagram schematically showing a nuclear facility controlled by the control system according to the present embodiment.
  • the control system 40 of the nuclear facility 1 according to the present invention controls the nuclear facility 1 having the nuclear reactor 5, and as the nuclear reactor 5, for example, a pressurized water reactor (PWR: Pressurized Water Reactor) is used. ing.
  • a nuclear facility 1 using this pressurized water type nuclear reactor 5 includes a primary cooling system 3 including the nuclear reactor 5 and a secondary cooling system 4 that exchanges heat with the primary cooling system 3.
  • the primary coolant flows through the secondary cooling system 4, and the secondary coolant flows through the secondary cooling system 4.
  • the primary cooling system 3 includes a nuclear reactor 5 and a steam generator 7 connected to the nuclear reactor 5 through coolant pipes 6a and 6b including a cold leg 6a and a hot leg 6b. Further, a pressurizer 8 is interposed in the hot leg 6b, and a coolant pump 9 is interposed in the cold leg 6a.
  • the reactor 5, the coolant pipes 6 a and 6 b, the steam generator 7, the pressurizer 8, and the coolant pump 9 are accommodated in the reactor containment vessel 10.
  • the reactor 5 is a pressurized water reactor as described above, and the inside thereof is filled with the primary coolant.
  • a large number of fuel assemblies 15 are accommodated, and a large number of control rods 16 for controlling the nuclear fission of the fuel assemblies 15 are provided in the fuel assemblies 15 so as to be removable. ing.
  • the pressurizer 8 interposed in the hot leg 6b suppresses boiling of the primary coolant by pressurizing the primary coolant that has become high temperature. Further, the steam generator 7 heat-exchanges the primary coolant that has become high temperature and high pressure with the secondary coolant, thereby evaporating the secondary coolant to generate steam, and the primary coolant that has become high temperature and high pressure. Cooling material is cooling.
  • Each coolant pump 9 circulates the primary coolant in the primary cooling system 3, sends the primary coolant from each steam generator 7 to the reactor 5 through the cold leg 6 a, and sends the primary coolant to the reactor 5. To the steam generators 7 through the hot legs 6b.
  • the primary coolant is heated by the thermal energy generated by the fission reaction in the nuclear reactor 5, the heated primary coolant is sent to each steam generator 7 via the hot leg 6b by each coolant pump 9. .
  • the high temperature primary coolant passing through the hot leg 6b is pressurized by the pressurizer 8 to suppress boiling, and flows into each steam generator 7 in a state of high temperature and pressure.
  • the high-temperature and high-pressure primary coolant flowing into each steam generator 7 is cooled by exchanging heat with the secondary coolant, and the cooled primary coolant is atomized by each coolant pump 9 via the cold leg 6a. It is sent to the furnace 5.
  • the reactor 5 is cooled because the cooled primary coolant flows into the reactor 5. That is, the primary coolant is circulated between the nuclear reactor 5 and the steam generator 7.
  • the primary coolant is light water used as a coolant and a neutron moderator.
  • the secondary cooling system 4 includes a turbine 22 connected to each steam generator 7 through a steam pipe 21, a condenser 23 connected to the turbine 22, a condenser 23, and each steam generator 7. And a water supply pump 24 interposed in the water supply pipe 26 to be connected. A generator 25 is connected to the turbine 22.
  • the condenser 23 has a cooling pipe 27 disposed therein, and one of the cooling pipes 27 is connected to a water intake pipe 28 for supplying cooling water (for example, seawater). A drain pipe 29 for draining the cooling water is connected to.
  • the condenser 23 cools the steam flowing in from the turbine 22 by the cooling pipe 27, thereby returning the steam to a liquid.
  • the secondary coolant that has become liquid is sent to each steam generator 7 via a water supply pipe 26 by a water supply pump 24.
  • the secondary coolant sent to each steam generator 7 becomes steam again by exchanging heat with the primary coolant in each steam generator 7.
  • FIG. 2 is a block diagram of a nuclear facility control system according to the present embodiment.
  • the nuclear facility 1 configured as described above is provided with a control system 40 that controls the operation of each device such as the various pumps and valves (not shown) provided in the nuclear facility 1.
  • the control system 40 includes a central control facility (not shown), a plant control facility (not shown), a safety protection system facility (main control device) 43, and a CCF facility (auxiliary control device) 44.
  • the central control facility is provided with a display device for displaying the operation status of the nuclear facility 1, an operating device for operating the nuclear facility 1, and the like. Then, an operator operating the nuclear facility 1 operates the nuclear facility 1 by visually recognizing the display device to grasp the operation status of the nuclear facility 1 and appropriately operating the operation device.
  • the plant control facility controls the operation of the nuclear reactor 5 and each device of the nuclear facility 1 based on the operation signal output from the operation device of the central control facility.
  • the safety protection system 43 controls each device provided in the nuclear facility 1 so that the nuclear facility 1 is safely stopped when an abnormality occurs in the nuclear facility 1.
  • the CCF facility 44 is a backup facility that assists the safety protection system 43, and is provided in the nuclear facility 1 so that the nuclear facility 1 can be safely stopped when a failure or the like occurs in the safety protection system 43.
  • a signal input / output circuit (operation signal input / output means) 45 is connected to the safety protection system equipment 43 and the CCF equipment 44. That is, the signal input / output circuit 45 is connected to the safety protection system 43 and the CCF equipment 44 on the input side, and to each device provided in the nuclear power facility 1 on the output side.
  • the safety protection system equipment 43 is a so-called digital equipment equipped with an arithmetic device such as a CPU and a storage device such as an HDD, and executes various programs stored in the storage device by the arithmetic device, so that the safety of the nuclear facility 1 It is a facility that can control the protection system.
  • the safety protection system is a functional system having functions of stopping the nuclear reaction of the nuclear reactor 5, cooling the nuclear facility 1, and preventing leakage of radioactive materials from the nuclear facility 1.
  • the safety protection system equipment 43 has a high operation guarantee so that it can operate reliably and can operate even in a severe environment.
  • Various detection sensors 50 disposed in the nuclear facility 1 are connected to the safety protection system 43, and whether or not an abnormality has occurred in the nuclear facility 1 based on the detection results obtained from the various detection sensors 50. Judgment.
  • the safety protection system 43 determines that an abnormality has occurred in the nuclear facility 1, the safety protection system equipment 43 outputs a first safety-side operation signal S1 for operating each device to the safety side toward each device.
  • the safety protection system equipment 43 outputs a first non-safe side operation signal J1 for operating each device to the non-safe side toward each device.
  • the CCF facility 44 is provided on the assumption that a failure such as a common cause failure occurs in the safety protection system 43.
  • the CCF facility 44 is an analog facility, and is configured by connecting each contact point with an electric wire using electrical circuit components such as a switch and a relay.
  • the common factor failure is failure due to a common factor, and in particular, hardware such as an arithmetic unit used in digital equipment fails due to a common factor, or software causes a common factor such as a bug. It is not executed by.
  • the above-described various detection sensors 50 are also connected to the CCF equipment 44, and whether or not an abnormality has occurred in the nuclear facility 1 based on the detection results obtained from the various detection sensors 50, as in the safety protection system equipment 43. Judgment.
  • the CCF facility 44 determines that an abnormality has occurred in the nuclear facility 1, the CCF facility 44 outputs a second safety-side operation signal S2 for operating each device to the safe side toward each device.
  • the CCF equipment 44 is provided to assist the safety protection equipment 43 when an abnormality occurs in the nuclear facility 1, and therefore does not output a non-safety side operation signal. Further, even when an abnormality occurs in the nuclear facility 1, the CCF equipment 44 does not output the second safety-side operation signal S2 when the safety protection system equipment 43 operates normally.
  • the CCF equipment 44 includes an automatic control panel (automatic auxiliary control means) 52 that can automatically output the second safety-side operation signal S2, and a manual operation panel that can output the second safety-side operation signal S2 by manual operation ( Manual auxiliary control means) 53, and an automatic control panel 52 and a CCF side OR circuit (auxiliary side OR circuit) 54 connected to the manual operation panel 53.
  • automatic control panel automatic auxiliary control means
  • manual operation panel manual operation panel
  • CCF side OR circuit auxiliary side OR circuit
  • the second safety side operation signal S2 output from the automatic control panel 52 and the second safety side operation signal S2 output from the manual operation panel 53 are input to the CCF side OR circuit 54.
  • the CCF side OR circuit 54 determines whether or not the second safety side operation signal S2 output from the automatic control panel 52 is input and whether or not the second safety side operation signal S2 output from the manual operation panel 53 is input. Based on this, the second safety side operation signal S2 is output. That is, when the second safety side operation signal S2 is input from at least one of the automatic control panel 52 and the manual operation panel 53, the CCF side OR circuit 54 outputs the second safety side operation signal S2.
  • the automatic control panel 52 determines that an abnormality has occurred in the nuclear facility 1 based on the detection result obtained from the detection sensor 50, the automatic control panel 52 generates a second safety-side operation signal S2 that causes each device to operate safely. Output to.
  • the manual operation panel 53 is connected to the operation unit 61 capable of manually outputting the second safety-side operation signal S2, the circuit breaker 62 capable of supplying power to the manual operation panel 53, and the operation unit 61 and the circuit breaker 62.
  • the operation unit 61 outputs the second safety side operation signal S2 when operated by the operator, but does not output the second safety side operation signal S2 unless operated by the operator.
  • the circuit breaker 62 is operated to the power input side by the operator, so that electric power is supplied to the manual operation panel 53, while the operator is operated to the power interruption side to supply power to the manual operation panel 53. Blocked.
  • the CCF side AND circuit 63 receives the permission signal T that permits the operation unit 61 to output the second safety side operation signal S2.
  • the permission signal T for permitting the operation unit 61 to output the second safety side operation signal S2 is not input to the CCF side AND circuit 63.
  • the second safety side operation signal S2 output from the operation unit 61 and the permission signal T output by operating the circuit breaker 62 are input to the CCF side AND circuit 63. Then, the CCF side AND circuit 63 outputs the second safety side operation signal S2 based on whether or not the second safety side operation signal S2 output from the operation unit 61 is input and whether or not the permission signal T is input. . That is, the CCF side AND circuit 63 outputs the second safety operation signal S2 when the second safety side operation signal S2 is input from the operation unit 61 and the permission signal T is input.
  • the operator When outputting the second safety-side operation signal S2 from the manual operation panel 53, the operator switches the circuit breaker 62 from the power cutoff side to the power input side, and then operates the operation unit 61 to operate the manual operation panel 53.
  • a second safety side operation signal S2 is output. Thereby, if the operator does not switch the circuit breaker 62 to the power input side, the second safety side operation signal S2 is not output even if the operation unit 61 is operated.
  • the second safety side operation signal S2 is output.
  • the automatic control panel 52 of the CCF equipment 44 outputs the second safety side operation signal S2 toward the CCF side OR circuit 54.
  • the manual operation panel 53 of the CCF equipment 44 outputs the second safety-side operation signal S2 toward the CCF-side OR circuit 54.
  • the CCF side OR circuit 54 operates toward the signal input / output circuit 45. The signal S2 is output.
  • the device that operates according to the second safety-side operation signal S2 output from the automatic control panel 52 is partially different from the device that operates according to the second safety-side operation signal S2 output from the manual operation panel 53. That is, the device that is operated by the automatic control panel 52 is, for example, a device that is operated quickly. On the other hand, as a device that is operated by the manual operation panel 53, for example, a device that has time allowance before being operated is targeted.
  • FIG. 3 is a block diagram of the signal input / output circuit.
  • the signal input / output circuit 45 serves as an interface between the safety protection system equipment 43 and the CCF equipment 44 and each device.
  • the signal input / output circuit 45 is supplied with a first safe side operation signal S1, a first non-safe side operation signal J1, and a second safe side operation signal S2.
  • the signal input / output circuit 45 outputs a third safe side operation signal S3 and a third non-safe side operation signal J3.
  • the signal input / output circuit 45 includes an OR circuit 70, a NOT circuit 71, and an AND circuit 72.
  • the OR circuit 70 has a safety protection system 43 and a CCF equipment 44 connected to its input side, and each device connected to its output side.
  • the NOT circuit 71 the output side of the OR circuit 70 is connected to the input side, and the input side of the AND circuit 72 is connected to the output side.
  • the AND circuit 72 has a safety protection system 43 and a NOT circuit 71 connected to its input side, and each device connected to its output side.
  • the OR circuit 70 is based on whether or not the first safety side operation signal S1 output from the safety protection system equipment 43 is input and whether or not the second safety side operation signal S2 output from the CCF equipment 44 is input.
  • the third safety side operation signal S3 is output to each device. That is, the OR circuit 70 outputs the third safety side operation signal S3 when at least one of the first safety side operation signal S1 and the second safety side operation signal S2 is input.
  • the NOT circuit 71 outputs a signal negating the presence or absence of the input of the third safety side operation signal S3 output from the OR circuit 70 to the AND circuit 72. That is, the NOT circuit 71 outputs a signal without input to the AND circuit 72 when the signal with the input of the third safety side operation signal S3 is input. On the other hand, the NOT circuit 71 outputs a signal with input to the AND circuit 72 when a signal without the third safety side operation signal S3 is input, that is, when the third safety side operation signal S3 is not input. To do.
  • the AND circuit 72 outputs the third non-safety side operation signal J1 output from the safety protection system equipment 43 to each device based on the presence / absence of the input of the signal output from the NOT circuit 71.
  • the non-safe side operation signal J3 is output. That is, the AND circuit 72 outputs the third non-safe operation signal J3 when the first non-safe side operation signal J1 is input and the input signal is input from the NOT circuit 71.
  • the AND circuit 72 receives a signal that negates the third safety-side operation signal S3 without input, that is, a signal with input from the NOT circuit 71, and also receives the first non-safety-side operation signal J1. . Therefore, the AND circuit 72 outputs the third non-safety side operation signal J3. Therefore, when the nuclear facility 1 is operating normally, the signal input / output circuit 45 does not output the third safety-side operation signal S3 but outputs the third non-safety-side operation signal J3. Operates to the non-safe side.
  • the CCF facility 44 When the safety protection system 43 is activated when an abnormality occurs in the nuclear facility 1, the CCF facility 44 does not output the second safety side operation signal S2. For this reason, the signal input / output circuit 45 receives the first safe side operation signal S1 but does not receive the first non-safe side operation signal J1 and the second safe side operation signal S2. In this case, since the first safety side operation signal S1 is input to the OR circuit 70, the second safety side operation signal S2 is not input, and therefore the third safety side operation signal S3 is output.
  • the AND circuit 72 receives a signal that negates the input third safety side operation signal S3, that is, the signal is not input from the NOT circuit 71, and the first non-safe side operation signal J1 is not input.
  • the AND circuit 72 does not output the third non-safety side operation signal J3. Therefore, the signal input / output circuit 45 outputs the third safe side operation signal S3 and does not output the third non-safe side operation signal J3. Thereby, when an abnormality occurs in the nuclear facility 1, each device operates to the safe side.
  • the safety protection system equipment 43 When the CCF equipment 44 is activated when an abnormality occurs in the nuclear facility 1, the safety protection system equipment 43 does not output the first safety side operation signal S1 due to a failure such as a common factor failure, and outputs the first non-safety side operation signal J1. There is a risk of doing. For this reason, the first non-safe side operation signal J1 and the second safe side operation signal S2 may be input to the signal input / output circuit 45 while the first safe side operation signal S1 may not be input. In this case, since the first safety side operation signal S1 is not input to the OR circuit 70, on the other hand, the second safety side operation signal S2 is input, so the third safety side operation signal S3 is output.
  • the AND circuit 72 receives a signal that negates the input third safety-side operation signal S3. That is, no signal is input from the NOT circuit 71, while the first non-safety-side operation signal J1 is input. For this reason, the AND circuit 72 does not output the third non-safety side operation signal J3. Therefore, the signal input / output circuit 45 outputs the third safe side operation signal S3 and does not output the third non-safe side operation signal J3. Thereby, when an abnormality occurs in the nuclear facility 1, each device operates to the safe side.
  • the signal input / output circuit 45 when the first safety side operation signal S1 is output, the signal input / output circuit 45 can output the first safety side operation signal S1 as the third safety side operation signal S3. When the first safety side operation signal S1 is not output, the signal input / output circuit 45 can output the second safety side operation signal S2 as the third safety side operation signal S3. Thus, when an abnormality occurs in the nuclear facility 1, the signal input / output circuit 45 can output the third safety side operation signal S3 in the OR circuit 70 without inhibiting the first safety side operation signal S1. .
  • the signal input / output circuit 45 blocks the first unsafe side operation signal J1 when the third safe side operation signal S3 is output, while the third unsafe side operation signal J1 is output. If the safe side operation signal S3 is not output, the first non-safe side operation signal J1 can be output as the third non-safe side operation signal J3. Further, when the first non-safe side operation signal J1 is not output, the signal input / output circuit 45 blocks the third non-safe side operation signal J3 when the third safe side operation signal S3 is output, while the third safety side operation signal J3 is output. If the side operation signal S3 is not output, the third unsafe side operation signal J3 can be output. Thereby, the signal input / output circuit 45 can output the third non-safety side operation signal J3 based on whether or not the third safe-side operation signal S3 is output.
  • the second safety side operation signal S2 output from the CCF facility 44 can be output automatically or manually, it can be properly used depending on the application.
  • the manual operation panel 53 will not output the second safety-side operation signal S2 even if the operator operates the operation unit 61 by mistake. Incorrect operation by the operator can be reduced.
  • control system for a nuclear facility is useful in a nuclear facility having a safety protection system facility and a CCF facility, and in particular, when an abnormality occurs, the equipment provided in the nuclear facility is operated on the safety side. Suitable for use.

Landscapes

  • Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Emergency Management (AREA)
  • Plasma & Fusion (AREA)
  • General Engineering & Computer Science (AREA)
  • High Energy & Nuclear Physics (AREA)
  • Safety Devices In Control Systems (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

　第１安全側作動信号Ｓ１を出力する一方で、第１非安全側作動信号Ｊ１を出力する安全保護系設備４３と、第２安全側作動信号Ｓ２を出力するＣＣＦ設備４４と、安全保護系設備４３およびＣＣＦ設備４４に接続された信号入出力回路４５とを備え、信号入出力回路４５は、第１安全側作動信号Ｓ１および第２安全側作動信号Ｓ２の入力の有無に基づいて、第３安全側作動信号Ｓ３を出力するＯＲ回路と、ＯＲ回路の出力側に接続され、第３安全側作動信号Ｓ３の入力の有無を否定して出力するＮＯＴ回路と、ＮＯＴ回路から出力される信号の入力の有無および第１非安全側作動信号Ｊ１の入力の有無に基づいて、第３非安全側作動信号Ｊ３を出力するＡＮＤ回路とを有する。

Description

原子力施設の制御システム
　本発明は、原子力施設の異常発生時に、原子力施設に設けられた機器を安全側に作動させる原子力施設の制御システムに関するものである。
　従来、原子力施設の制御システムとして、特許文献１に記載された原子力発電プラントのデジタルプラント保護システムが知られている。このデジタルプラント保護システムは、主制御室と、遠隔運転停止パネルと、機器制御システムプロセッサとを有している。主制御室は、機器制御システムプロセッサに接続されており、主制御室から機器制御システムプロセッサへ信号が送信されることにより、原子力発電プラントに設けられた緊急応答システムの機器を作動させることができる。また、遠隔運転停止パネルも、機器制御システムプロセッサに接続されており、主制御室が滞在不能の場合、遠隔運転停止パネルから機器制御システムプロセッサへ信号が送信されることにより、原子力発電プラントに設けられた緊急応答システムの機器を手動により作動させることができる。そして、作動した緊急応答システムの機器は、原子炉の運転停止等の緊急措置を実施する。
特表２００２－５２５６１５号公報
　ところで、原子力施設に設けられる機器は、安全保護系設備と、常用系設備（非安全保護系設備）とに区分されている。安全保護系設備とは、異常発生時において原子力施設を安全側に作動させるための設備であり、常用系設備とは、通常運転時に原子力施設の制御を行うための設備である。安全保護系設備をデジタル設備とした場合、安全保護系設備では、共通要因故障（Common　Cause　Failure）等の不具合が発生することが想定される。このため、原子力施設には、安全保護系設備の共通要因故障の発生を想定して、ＣＣＦ設備が設けられている。このＣＣＦ設備は、常用系設備として運用されている。このとき、安全保護系設備は、常用系設備であるＣＣＦ設備に比して動作保証が高くなるように設計されている。このため、規制上、安全保護系設備から出力される信号が、ＣＣＦ設備から出力される信号によって阻害されることがないように、安全保護系設備から出力される信号が、常用系設備から出力される信号よりも優先されるように構成する必要がある。
　ここで、従来のデジタルプラント保護システムにおいて、例えば、主制御室に設けられた装置が安全保護系設備であり、遠隔運転停止パネルがＣＣＦ設備である場合、安全保護系設備から出力される信号、およびＣＣＦ設備から出力される信号は、機器制御システムプロセッサに送信される。このとき、安全保護系設備から出力される信号は、ＣＣＦ設備から出力される信号によって阻害される虞がある。
　そこで、本発明は、常用系の補助制御装置から信号が出力されても、安全系の主制御装置から出力される信号を阻害することなく、原子力施設に設けられた機器を安全側に作動させることができる原子力施設の制御システムを提供することを課題とする。
　本発明の原子力施設の制御システムは、原子力施設の異常発生時において、原子力施設に設けられた機器を安全側に作動させるための第１安全側作動信号を出力する一方で、原子力施設の正常運転時において、機器を非安全側に作動させるための第１非安全側作動信号を出力する安全系の主制御装置と、原子力施設の異常発生時において、機器を安全側に作動させるための第２安全側作動信号を出力し、主制御装置の補助となる常用系の補助制御装置と、主制御装置および補助制御装置から出力される各種作動信号が入力されると共に、入力される各種作動信号に基づいて、機器を安全側に作動させる第３安全側作動信号または機器を非安全側に作動させる第３非安全側作動信号を出力する作動信号入出力手段と、を備え、作動信号入出力手段は、第１安全側作動信号の入力の有無、および第２安全側作動信号の入力の有無に基づいて、第３安全側作動信号を出力可能なＯＲ回路と、ＯＲ回路の出力側に接続され、第３安全側作動信号の入力の有無を否定して出力可能なＮＯＴ回路と、ＮＯＴ回路から出力される信号の入力の有無、および第１非安全側作動信号の入力の有無に基づいて、第３非安全側作動信号を出力可能なＡＮＤ回路と、を有していることを特徴とする。
　この構成によれば、原子力施設の異常発生時において、誤作動により安全系の主制御装置がＯＲ回路へ向けて第１安全側作動信号を出力せず、常用系の補助制御装置が第２安全側作動信号をＯＲ回路へ向けて出力した場合、ＯＲ回路には、第１安全側作動信号が入力されず、第２安全側作動信号が入力される。この場合、ＯＲ回路は、第３安全側作動信号を出力することができる。これにより、作動信号入出力手段は、安全系の主制御装置からの第１安全側作動信号を阻害することなく、常用系の補助制御装置からの第２安全側作動信号を優先させることができる。一方で、安全系の主制御装置が正常に作動して、ＯＲ回路へ向けて第１安全側作動信号を出力し、常用系の補助制御装置が第２安全側作動信号をＯＲ回路へ向けて出力した場合、ＯＲ回路には、第１安全側作動信号が入力され、第２安全側作動信号が入力される。この場合、ＯＲ回路は、第３安全側作動信号を出力することができる。これにより、作動信号入出力手段は、安全系の主制御装置からの第１安全側作動信号を、常用系の補助制御装置からの第２安全側作動信号により阻害されることなく、出力することができる。また、原子力施設の異常発生時において、誤作動により主制御装置がＡＮＤ回路へ向けて第１非安全側作動信号を出力した場合であっても、ＯＲ回路から出力された第３安全側作動信号は、ＮＯＴ回路を通過することにより入力無しとしてＡＮＤ回路に入力される。このため、ＡＮＤ回路は、ＮＯＴ回路からの入力無しの信号により、第１非安全側作動信号をブロックすることができる。これにより、作動信号入出力手段は、第３安全側作動信号の出力の有無に基づいて、第３非安全側作動信号を出力することができる。
　この場合、補助制御装置は、原子力施設の異常発生時において、第２安全側作動信号を自動で出力可能な自動補助制御手段と、手動操作により第２安全側作動信号を出力可能な手動補助制御手段と、自動補助制御手段から出力される第２安全側作動信号の入力の有無、および手動補助制御手段から出力される第２安全側作動信号の入力の有無に基づいて、第２安全側作動信号を出力可能な補助側ＯＲ回路と、を有していることが、好ましい。
　この構成によれば、補助制御装置から出力される第２安全側作動信号を、自動または手動により出力することができる。これにより、補助制御装置は、用途に応じて、自動により第２安全側作動信号を出力する場合と、手動により第２安全側作動信号を出力する場合と、に適宜分けることができる。
　この場合、手動補助制御手段は、手動により第２安全側作動信号を出力可能な操作部と、操作部による第２安全側作動信号の出力を許可する許可信号を出力可能な信号出力許可手段と、操作部から出力される第２安全側作動信号の入力の有無、および許可信号の入力の有無に基づいて、第２安全側作動信号を出力可能な補助側ＡＮＤ回路と、を有していることが、好ましい。
　この構成によれば、許可信号が入力され、且つ、第２安全側作動信号が入力された場合に、手動補助制御手段は、第２安全側作動信号を出力することができる。つまり、許可信号が入力されなければ、オペレータが誤って操作部を操作しても、手動補助制御手段は、第２安全側作動信号を出力することができない。これにより、手動補助制御手段は、信号出力許可手段を設けることで、オペレータの誤操作を低減することができる。
　この場合、信号出力許可手段は、手動補助制御手段に電力を投入可能な遮断器であり、遮断器により手動補助制御手段に電力が投入されることで、許可信号が補助側ＡＮＤ回路に入力されることが、好ましい。
　この構成によれば、手動補助制御手段は、遮断器により手動補助制御手段に電力が投入されることで、補助側ＡＮＤ回路への許可信号の入力を有りとすることができる一方、遮断器により手動補助制御手段への電力供給を遮断することで、補助側ＡＮＤ回路への許可信号の入力を無しとすることができる。これにより、オペレータは、遮断器を操作することで、簡単に許可信号の入力を行うことができる。また、許可信号を入力を行うための専用の設備を新たに設ける必要がない。
　本発明の原子力施設の制御システムによれば、主制御装置および補助制御装置のどちらから信号が出力されても、安全系の主制御装置から出力される信号が優先されるため、常用系の補助制御装置の誤作動を抑制することができ、原子力施設に設けられた機器を安全側に作動させることができる。
図１は、本実施例に係る制御システムにより制御される原子力施設を模式的に表した概略構成図である。 図２は、本実施例に係る原子力施設の制御システムの構成図である。 図３は、信号入出力回路の構成図である。
　以下、添付した図面を参照して、本発明に係る原子力施設の制御システムについて説明する。なお、以下の実施例によりこの発明が限定されるものではない。また、下記実施例における構成要素には、当業者が置換可能かつ容易なもの、或いは実質的に同一のものが含まれる。
　図１は、本実施例に係る制御システムにより制御される原子力施設を模式的に表した概略構成図である。本発明に係る原子力施設１の制御システム４０は、原子炉５を有する原子力施設１を制御するものであり、原子炉５としては、例えば、加圧水型原子炉（ＰＷＲ：Pressurized　Water　Reactor）が用いられている。この加圧水型の原子炉５を用いた原子力施設１は、原子炉５を含む一次冷却系３と、一次冷却系３と熱交換する二次冷却系４とで構成されており、一次冷却系３には、一次冷却材が流通し、二次冷却系４には、二次冷却材が流通している。
　一次冷却系３は、原子炉５と、コールドレグ６ａおよびホットレグ６ｂから成る冷却材配管６ａ，６ｂを介して原子炉５に接続された蒸気発生器７とを有している。また、ホットレグ６ｂには、加圧器８が介設され、コールドレグ６ａには、冷却材ポンプ９が介設されている。そして、原子炉５、冷却材配管６ａ，６ｂ、蒸気発生器７、加圧器８および冷却材ポンプ９は、原子炉格納容器１０に収容されている。
　原子炉５は、上記したように加圧水型原子炉であり、その内部は一次冷却材で満たされている。そして、原子炉５内には、多数の燃料集合体１５が収容されると共に、燃料集合体１５の核分裂を制御する多数の制御棒１６が、各燃料集合体１５に対し、抜差し可能に設けられている。
　制御棒１６により核分裂反応を制御しながら燃料集合体１５を核分裂させると、この核分裂により熱エネルギーが発生する。発生した熱エネルギーは一次冷却材を加熱し、加熱された一次冷却材は、ホットレグ６ｂを介して蒸気発生器７へ送られる。一方、コールドレグ６ａを介して各蒸気発生器７から送られてきた一次冷却材は、原子炉５内に流入して、原子炉５内を冷却する。
　ホットレグ６ｂに介設された加圧器８は、高温となった一次冷却材を加圧することにより、一次冷却材の沸騰を抑制している。また、蒸気発生器７は、高温高圧となった一次冷却材を、二次冷却材と熱交換させることにより、二次冷却材を蒸発させて蒸気を発生させ、且つ、高温高圧となった一次冷却材を冷却している。各冷却材ポンプ９は、一次冷却系３において一次冷却材を循環させており、一次冷却材を各蒸気発生器７からコールドレグ６ａを介して原子炉５へ送り込むと共に、一次冷却材を原子炉５からホットレグ６ｂを介して各蒸気発生器７へ送り込んでいる。
　ここで、原子力施設１の一次冷却系３における一連の動作について説明する。原子炉５内の核分裂反応により発生した熱エネルギーにより、一次冷却材が加熱されると、加熱された一次冷却材は、各冷却材ポンプ９によりホットレグ６ｂを介して各蒸気発生器７に送られる。ホットレグ６ｂを通過する高温の一次冷却材は、加圧器８により加圧されることで沸騰が抑制され、高温高圧となった状態で、各蒸気発生器７に流入する。各蒸気発生器７に流入した高温高圧の一次冷却材は、二次冷却材と熱交換を行うことにより冷却され、冷却された一次冷却材は、各冷却材ポンプ９によりコールドレグ６ａを介して原子炉５に送られる。そして、冷却された一次冷却材が原子炉５に流入することで、原子炉５が冷却される。つまり、一次冷却材は、原子炉５と蒸気発生器７との間を循環している。なお、一次冷却材は、冷却材および中性子減速材として用いられる軽水である。
　二次冷却系４は、蒸気管２１を介して各蒸気発生器７に接続されたタービン２２と、タービン２２に接続された復水器２３と、復水器２３と各蒸気発生器７とを接続する給水管２６に介設された給水ポンプ２４と、を有している。そして、上記のタービン２２には、発電機２５が接続されている。
　ここで、原子力施設１の二次冷却系４における一連の動作について説明する。蒸気管２１を介して各蒸気発生器７から蒸気がタービン２２に流入すると、タービン２２は回転を行う。タービン２２が回転すると、タービン２２に接続された発電機２５は、発電を行う。この後、タービン２２から流出した蒸気は復水器２３に流入する。復水器２３は、その内部に冷却管２７が配設されており、冷却管２７の一方には冷却水（例えば、海水）を供給するための取水管２８が接続され、冷却管２７の他方には冷却水を排水するための排水管２９が接続されている。そして、復水器２３は、タービン２２から流入した蒸気を冷却管２７により冷却することで、蒸気を液体に戻している。液体となった二次冷却材は、給水ポンプ２４により給水管２６を介して各蒸気発生器７に送られる。各蒸気発生器７に送られた二次冷却材は、各蒸気発生器７において一次冷却材と熱交換を行うことにより再び蒸気となる。
　図２は、本実施例に係る原子力施設の制御システムの構成図である。上記のように構成された原子力施設１には、原子力施設１に設けられた上記の各種ポンプや図示しないバルブ等の各機器の作動を制御する制御システム４０が配設されている。制御システム４０は、図示しない中央制御設備と、図示しないプラント制御設備と、安全保護系設備（主制御装置）４３と、ＣＣＦ設備（補助制御装置）４４とを有している。
　図示は省略するが、中央制御設備は、原子力施設１の運転状況を表示する表示装置や、原子力施設１を操作する操作装置等が設けられている。そして、原子力施設１を運転するオペレータは、表示装置を視認して原子力施設１の運転状況を把握し、操作装置を適宜操作することで、原子力施設１を運転する。プラント制御設備は、中央制御設備の操作装置から出力された操作信号に基づいて、原子力施設１の原子炉５や各機器の運転を制御している。
　図２に示すように、安全保護系設備４３は、原子力施設１に異常が発生した場合、原子力施設１が安全に停止するように、原子力施設１に設けられた各機器を制御している。ＣＣＦ設備４４は、安全保護系設備４３を補助するバックアップ設備となっており、安全保護系設備４３に不具合等が生じた場合、原子力施設１が安全に停止するように、原子力施設１に設けられた各機器を制御している。ここで、安全保護系設備４３およびＣＣＦ設備４４には、信号入出力回路（作動信号入出力手段）４５が接続されている。つまり、信号入出力回路４５は、その入力側に安全保護系設備４３およびＣＣＦ設備４４が接続され、その出力側に原子力施設１に設けられた各機器が接続されている。
　安全保護系設備４３は、ＣＰＵ等の演算装置やＨＤＤ等の記憶装置を搭載した、いわゆるデジタル設備であり、演算装置により記憶装置に記憶された各種プログラムを実行することで、原子力施設１の安全保護系を制御可能な設備となっている。なお、安全保護系とは、原子炉５の核反応を停止させる、原子力施設１を冷却する、原子力施設１からの放射性物質の漏洩を防ぐという機能を有する機能系統である。そして、安全保護系設備４３は、確実に作動可能で、且つ、厳しい環境下においても作動可能なように、動作保証が高いものとなっている。
　安全保護系設備４３には、原子力施設１内に配設された各種検出センサ５０が接続されており、各種検出センサ５０から得られる検出結果に基づいて、原子力施設１に異常が発生したか否かを判断している。そして、安全保護系設備４３は、原子力施設１に異常が発生したと判断した場合、各機器を安全側に作動させる第１安全側作動信号Ｓ１を、各機器へ向けて出力する。一方で、安全保護系設備４３は、原子力施設１が正常に運転していると判断した場合、各機器を非安全側に作動させる第１非安全側作動信号Ｊ１を、各機器へ向けて出力する。
　ＣＣＦ設備４４は、安全保護系設備４３に共通要因故障（Common　Cause　Failure）等の不具合が発生することを想定して設けられている。ＣＣＦ設備４４は、アナログ設備であり、スイッチやリレー等の電気回路部品を用い、各接点を電線でつなぐことにより構成されている。ここで、共通要因故障とは、共通の要因で故障することであり、特に、デジタル設備において用いられる演算装置等のハードウェアが共通の要因により故障したり、あるいはソフトウェアがバグ等の共通の要因により実行されなかったりすることである。
　ＣＣＦ設備４４にも、上記の各種検出センサ５０が接続されており、安全保護系設備４３と同様に、各種検出センサ５０から得られる検出結果に基づいて、原子力施設１に異常が発生したか否かを判断している。そして、ＣＣＦ設備４４は、原子力施設１に異常が発生したと判断した場合、各機器を安全側に作動させる第２安全側作動信号Ｓ２を、各機器へ向けて出力する。なお、ＣＣＦ設備４４は、原子力施設１に異常が発生したときに、安全保護系設備４３を補助するために設けられていることから、非安全側作動信号は出力しない。また、ＣＣＦ設備４４は、原子力施設１に異常が発生した場合であっても、安全保護系設備４３が正常に作動した場合、第２安全側作動信号Ｓ２を出力しない。
　また、ＣＣＦ設備４４は、第２安全側作動信号Ｓ２を自動で出力可能な自動制御盤（自動補助制御手段）５２と、手動操作により第２安全側作動信号Ｓ２を出力可能な手動操作盤（手動補助制御手段）５３と、自動制御盤５２および手動操作盤５３と接続されたＣＣＦ側ＯＲ回路（補助側ＯＲ回路）５４と、を有している。
　ＣＣＦ側ＯＲ回路５４には、自動制御盤５２から出力された第２安全側作動信号Ｓ２と、手動操作盤５３から出力された第２安全側作動信号Ｓ２とが入力される。そして、ＣＣＦ側ＯＲ回路５４は、自動制御盤５２から出力された第２安全側作動信号Ｓ２の入力の有無、および手動操作盤５３から出力された第２安全側作動信号Ｓ２の入力の有無に基づいて、第２安全側作動信号Ｓ２を出力する。つまり、ＣＣＦ側ＯＲ回路５４は、自動制御盤５２および手動操作盤５３のうち、少なくともいずれか一方から第２安全側作動信号Ｓ２が入力されたら、第２安全側作動信号Ｓ２を出力する。
　自動制御盤５２は、検出センサ５０から得られる検出結果に基づいて、原子力施設１に異常が発生したと判断した場合、各機器を安全側に作動させる第２安全側作動信号Ｓ２を、各機器へ向けて出力する。
　手動操作盤５３は、手動により第２安全側作動信号Ｓ２を出力可能な操作部６１と、手動操作盤５３に電力を投入可能な遮断器６２と、操作部６１および遮断器６２に接続されたＣＣＦ側ＡＮＤ回路（補助側ＡＮＤ回路）６３と、を有している。
　操作部６１は、オペレータにより操作されることで第２安全側作動信号Ｓ２を出力する一方で、オペレータによる操作がなければ第２安全側作動信号Ｓ２を出力しない。遮断器６２は、オペレータにより電力投入側へ操作されることで、手動操作盤５３へ電力が供給される一方、オペレータにより電力遮断側へ操作されることで、手動操作盤５３への電力供給が遮断される。また、オペレータが遮断器６２を電力投入側へ操作すると、ＣＣＦ側ＡＮＤ回路６３には、操作部６１による第２安全側作動信号Ｓ２の出力を許可する許可信号Ｔが入力される。一方で、オペレータが遮断器６２を電力遮断側へ操作すると、ＣＣＦ側ＡＮＤ回路６３には、操作部６１による第２安全側作動信号Ｓ２の出力を許可する許可信号Ｔが入力されない。
　ＣＣＦ側ＡＮＤ回路６３には、操作部６１から出力された第２安全側作動信号Ｓ２と、遮断器６２が操作されることによって出力された許可信号Ｔとが入力される。そして、ＣＣＦ側ＡＮＤ回路６３は、操作部６１から出力された第２安全側作動信号Ｓ２の入力の有無、および許可信号Ｔの入力の有無に基づいて、第２安全側作動信号Ｓ２を出力する。つまり、ＣＣＦ側ＡＮＤ回路６３は、操作部６１から第２安全側作動信号Ｓ２が入力され、且つ、許可信号Ｔが入力されたら、第２安全作動信号Ｓ２を出力する。
　手動操作盤５３から第２安全側作動信号Ｓ２を出力する場合、オペレータは、遮断器６２を電力遮断側から電力投入側に切り替えた後、操作部６１を操作することにより、手動操作盤５３から第２安全側作動信号Ｓ２が出力される。これにより、オペレータは、遮断器６２を電力投入側に切り替えなければ、操作部６１を操作しても、第２安全側作動信号Ｓ２が出力されることはない。
　ここで、ＣＣＦ設備４４から第２安全側作動信号Ｓ２を出力する一連の動作について説明する。ＣＣＦ設備４４は、検出センサ５０から入力された検出信号に基づいて原子力施設１に異常が発生したと判断した場合や、オペレータにより手動操作盤５３が操作された場合に、第２安全側作動信号Ｓ２を出力する。原子力施設１に異常が発生した場合、ＣＣＦ設備４４の自動制御盤５２は、ＣＣＦ側ＯＲ回路５４へ向けて第２安全側作動信号Ｓ２を出力する。一方、オペレータにより手動操作盤５３が操作された場合、ＣＣＦ設備４４の手動操作盤５３は、ＣＣＦ側ＯＲ回路５４へ向けて第２安全側作動信号Ｓ２を出力する。そして、ＣＣＦ側ＯＲ回路５４は、自動制御盤５２および手動操作盤５３の少なくともいずれか一方から第２安全側作動信号Ｓ２が入力されると、信号入出力回路４５へ向けて第２安全側作動信号Ｓ２を出力する。
　なお、自動制御盤５２から出力される第２安全側作動信号Ｓ２によって作動する機器は、手動操作盤５３から出力される第２安全側作動信号Ｓ２によって作動する機器と一部異なっている。つまり、自動制御盤５２により作動する機器としては、例えば、迅速に作動させるものを対象としている。一方で、手動操作盤５３により作動する機器としては、例えば、作動させるまでに時間的余裕のあるものを対象としている。
　図３は、信号入出力回路の構成図である。図３に示すように、信号入出力回路４５は、安全保護系設備４３およびＣＣＦ設備４４と、各機器との間のインターフェースとなっている。この信号入出力回路４５には、第１安全側作動信号Ｓ１、第１非安全側作動信号Ｊ１および第２安全側作動信号Ｓ２が入力される。一方で、信号入出力回路４５からは、第３安全側作動信号Ｓ３および第３非安全側作動信号Ｊ３が出力される。
　信号入出力回路４５は、ＯＲ回路７０と、ＮＯＴ回路７１と、ＡＮＤ回路７２とを有している。ＯＲ回路７０は、その入力側に安全保護系設備４３およびＣＣＦ設備４４が接続され、その出力側に各機器が接続されている。ＮＯＴ回路７１は、その入力側にＯＲ回路７０の出力側が接続され、その出力側にＡＮＤ回路７２の入力側が接続されている。ＡＮＤ回路７２は、その入力側に安全保護系設備４３およびＮＯＴ回路７１が接続され、その出力側に各機器が接続されている。
　ＯＲ回路７０は、安全保護系設備４３から出力される第１安全側作動信号Ｓ１の入力の有無と、ＣＣＦ設備４４から出力される第２安全側作動信号Ｓ２の入力の有無とに基づいて、各機器へ第３安全側作動信号Ｓ３を出力している。つまり、ＯＲ回路７０は、第１安全側作動信号Ｓ１および第２安全側作動信号Ｓ２のうち、少なくともいずれか一方が入力されたら、第３安全側作動信号Ｓ３を出力する。
　ＮＯＴ回路７１は、ＯＲ回路７０から出力される第３安全側作動信号Ｓ３の入力の有無を否定した信号を、ＡＮＤ回路７２へ向けて出力している。つまり、ＮＯＴ回路７１は、第３安全側作動信号Ｓ３の入力有りの信号が入力されると、入力無しの信号をＡＮＤ回路７２に出力する。一方で、ＮＯＴ回路７１は、第３安全側作動信号Ｓ３の入力無しの信号が入力されると、すなわち、第３安全側作動信号Ｓ３が入力されないと、入力有りの信号をＡＮＤ回路７２に出力する。
　ＡＮＤ回路７２は、安全保護系設備４３から出力される第１非安全側作動信号Ｊ１の入力の有無と、ＮＯＴ回路７１から出力される信号の入力の有無とに基づいて、各機器へ第３非安全側作動信号Ｊ３を出力している。つまり、ＡＮＤ回路７２は、第１非安全側作動信号Ｊ１が入力され、且つ、ＮＯＴ回路７１から入力有りの信号が入力されたら、第３非安全作動信号Ｊ３を出力する。
　ここで、原子力施設１の正常運転時における信号入出力回路４５の一連の動作と、原子力施設１の異常発生時に安全保護系設備４３が作動した場合における信号入出力回路４５の一連の動作と、原子力施設１の異常発生時にＣＣＦ設備４４が作動した場合における信号入出力回路４５の一連の動作と、についてそれぞれ説明する。
　原子力施設１が正常に運転している場合、信号入出力回路４５には、第１非安全側作動信号Ｊ１のみが入力され、第１安全側作動信号Ｓ１および第２安全側作動信号Ｓ２が入力されない。この場合、ＯＲ回路７０には、第１安全側作動信号Ｓ１および第２安全側作動信号Ｓ２が入力されないため、第３安全側作動信号Ｓ３は出力されない。一方、ＡＮＤ回路７２には、入力が無い第３安全側作動信号Ｓ３を否定する信号、すなわち入力有りの信号がＮＯＴ回路７１から入力されると共に、第１非安全側作動信号Ｊ１が入力される。このため、ＡＮＤ回路７２は、第３非安全側作動信号Ｊ３を出力する。よって、信号入出力回路４５は、原子力施設１が正常に運転している場合、第３安全側作動信号Ｓ３を出力せず、第３非安全側作動信号Ｊ３を出力し、これにより、各機器は非安全側へ作動する。
　原子力施設１の異常発生時に安全保護系設備４３が作動した場合、ＣＣＦ設備４４は、第２安全側作動信号Ｓ２を出力しない。このため、信号入出力回路４５には、第１安全側作動信号Ｓ１が入力される一方で、第１非安全側作動信号Ｊ１および第２安全側作動信号Ｓ２が入力されない。この場合、ＯＲ回路７０には、第１安全側作動信号Ｓ１が入力される一方、第２安全側作動信号Ｓ２が入力されないため、第３安全側作動信号Ｓ３が出力される。ＡＮＤ回路７２には、入力された第３安全側作動信号Ｓ３を否定する信号が入力され、すなわちＮＯＴ回路７１から信号が入力されず、また、第１非安全側作動信号Ｊ１が入力されない。このため、ＡＮＤ回路７２は、第３非安全側作動信号Ｊ３を出力しない。よって、信号入出力回路４５は、第３安全側作動信号Ｓ３を出力し、第３非安全側作動信号Ｊ３を出力しない。これにより、原子力施設１に異常が発生した場合、各機器は安全側へ作動する。
　原子力施設１の異常発生時にＣＣＦ設備４４が作動した場合、安全保護系設備４３は共通要因故障等の不具合により第１安全側作動信号Ｓ１を出力せず、第１非安全側作動信号Ｊ１を出力する虞がある。このため、信号入出力回路４５には、第１非安全側作動信号Ｊ１および第２安全側作動信号Ｓ２が入力される一方で、第１安全側作動信号Ｓ１が入力されない場合がある。この場合、ＯＲ回路７０には、第１安全側作動信号Ｓ１が入力されず、一方で、第２安全側作動信号Ｓ２が入力されるため、第３安全側作動信号Ｓ３が出力される。ＡＮＤ回路７２には、入力された第３安全側作動信号Ｓ３を否定する信号が入力され、すなわちＮＯＴ回路７１から信号が入力されず、一方、第１非安全側作動信号Ｊ１が入力される。このため、ＡＮＤ回路７２は、第３非安全側作動信号Ｊ３を出力しない。よって、信号入出力回路４５は、第３安全側作動信号Ｓ３を出力し、第３非安全側作動信号Ｊ３を出力しない。これにより、原子力施設１に異常が発生した場合、各機器は安全側へ作動する。
　以上の構成によれば、第１安全側作動信号Ｓ１が出力される場合、信号入出力回路４５は、第１安全側作動信号Ｓ１を第３安全側作動信号Ｓ３として出力することができる。また、第１安全側作動信号Ｓ１が出力されない場合、信号入出力回路４５は、第２安全側作動信号Ｓ２を第３安全側作動信号Ｓ３として出力することができる。これにより、原子力施設１の異常発生時に、信号入出力回路４５は、そのＯＲ回路７０において、第１安全側作動信号Ｓ１を阻害することなく、第３安全側作動信号Ｓ３として出力することができる。
　また、第１非安全側作動信号Ｊ１が出力される場合、信号入出力回路４５は、第３安全側作動信号Ｓ３が出力されたら第１非安全側作動信号Ｊ１をブロックする一方で、第３安全側作動信号Ｓ３が出力されなかったら第１非安全側作動信号Ｊ１を第３非安全側作動信号Ｊ３として出力することができる。さらに、第１非安全側作動信号Ｊ１が出力されない場合、信号入出力回路４５は、第３安全側作動信号Ｓ３が出力されたら第３非安全側作動信号Ｊ３をブロックする一方で、第３安全側作動信号Ｓ３が出力されなかったら第３非安全側作動信号Ｊ３を出力することができる。これにより、信号入出力回路４５は、第３安全側作動信号Ｓ３の出力の有無に基づいて、第３非安全側作動信号Ｊ３を出力することができる。
　また、ＣＣＦ設備４４から出力される第２安全側作動信号Ｓ２を、自動または手動により出力することができるため、用途に応じて、適宜、使い分けることができる。
　また、許可信号ＴがＣＣＦ側ＡＮＤ回路６３に入力されなければ、オペレータが誤って操作部６１を操作しても、手動操作盤５３は、第２安全側作動信号Ｓ２を出力することはないため、オペレータによる誤操作を低減することができる。
　以上のように、本発明に係る原子力施設の制御システムは、安全保護系設備とＣＣＦ設備とを有する原子力施設において有用であり、特に、異常発生時に原子力施設に設けられた機器を安全側に作動させる場合に適している。
　１　　原子力施設
　３　　一次冷却系
　４　　二次冷却系
　５　　原子炉
　７　　蒸気発生器
　８　　加圧器
　１５　燃料集合体
　１６　制御棒
　２２　タービン
　２５　発電機
　４０　制御システム
　４３　安全保護系設備
　４４　ＣＣＦ設備
　４５　信号入出力回路
　５０　検出センサ
　５２　自動制御盤
　５３　手動操作盤
　５４　ＣＣＦ側ＯＲ回路
　６１　操作部
　６２　遮断器
　６３　ＣＣＦ側ＡＮＤ回路
　７０　ＯＲ回路
　７１　ＮＯＴ回路
　７２　ＡＮＤ回路
　Ｓ１　第１安全側作動信号
　Ｊ１　第１非安全側作動信号
　Ｓ２　第２安全側作動信号
　Ｓ３　第３安全側作動信号
　Ｊ３　第３非安全側作動信号
　Ｔ　　許可信号

Claims (4)

  1. 　原子力施設の異常発生時において、前記原子力施設に設けられた機器を安全側に作動させるための第１安全側作動信号を出力する一方で、前記原子力施設の正常運転時において、前記機器を非安全側に作動させるための第１非安全側作動信号を出力する安全系の主制御装置と、
    　前記原子力施設の異常発生時において、前記機器を安全側に作動させるための第２安全側作動信号を出力し、前記主制御装置の補助となる常用系の補助制御装置と、
    　前記主制御装置および前記補助制御装置から出力される各種作動信号が入力されると共に、入力される各種作動信号に基づいて、前記機器を安全側に作動させる第３安全側作動信号または前記機器を非安全側に作動させる第３非安全側作動信号を出力する作動信号入出力手段と、を備え、
    　前記作動信号入出力手段は、
    　前記第１安全側作動信号の入力の有無、および前記第２安全側作動信号の入力の有無に基づいて、前記第３安全側作動信号を出力可能なＯＲ回路と、
    　前記ＯＲ回路の出力側に接続され、前記第３安全側作動信号の入力の有無を否定して出力可能なＮＯＴ回路と、
    　前記ＮＯＴ回路から出力される信号の入力の有無、および前記第１非安全側作動信号の入力の有無に基づいて、前記第３非安全側作動信号を出力可能なＡＮＤ回路と、を有していることを特徴とする原子力施設の制御システム。
  2. 　前記補助制御装置は、
    　前記原子力施設の異常発生時において、前記第２安全側作動信号を自動で出力可能な自動補助制御手段と、
    　手動操作により前記第２安全側作動信号を出力可能な手動補助制御手段と、
    　前記自動補助制御手段から出力される前記第２安全側作動信号の入力の有無、および前記手動補助制御手段から出力される前記第２安全側作動信号の入力の有無に基づいて、前記第２安全側作動信号を出力可能な補助側ＯＲ回路と、を有していることを特徴とする請求項１に記載の原子力施設の制御システム。
  3. 　前記手動補助制御手段は、
    　手動により前記第２安全側作動信号を出力可能な操作部と、
    　前記操作部による前記第２安全側作動信号の出力を許可する許可信号を出力可能な信号出力許可手段と、
    　前記操作部から出力される前記第２安全側作動信号の入力の有無、および前記許可信号の入力の有無に基づいて、前記第２安全側作動信号を出力可能な補助側ＡＮＤ回路と、を有していることを特徴とする請求項２に記載の原子力施設の制御システム。
  4. 　前記信号出力許可手段は、前記手動補助制御手段に電力を投入可能な遮断器であり、前記遮断器により前記手動補助制御手段に電力が投入されることで、前記許可信号が前記補助側ＡＮＤ回路に入力されることを特徴とする請求項３に記載の原子力施設の制御システム。
PCT/JP2011/070903 2010-10-12 2011-09-13 原子力施設の制御システム WO2012049935A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP11832373.2A EP2629301B1 (en) 2010-10-12 2011-09-13 Control system for nuclear power facility
US13/876,775 US9627877B2 (en) 2010-10-12 2011-09-13 Control system and method for nuclear power facility

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2010-230077 2010-10-12
JP2010230077A JP5675256B2 (ja) 2010-10-12 2010-10-12 原子力施設の制御システム

Publications (1)

Publication Number Publication Date
WO2012049935A1 true WO2012049935A1 (ja) 2012-04-19

Family

ID=45938168

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2011/070903 WO2012049935A1 (ja) 2010-10-12 2011-09-13 原子力施設の制御システム

Country Status (4)

Country Link
US (1) US9627877B2 (ja)
EP (1) EP2629301B1 (ja)
JP (1) JP5675256B2 (ja)
WO (1) WO2012049935A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014206470A (ja) * 2013-04-12 2014-10-30 株式会社東芝 原子力発電所の操作システム及びその操作方法
WO2024018578A1 (ja) * 2022-07-21 2024-01-25 三菱電機株式会社 安全保護システムおよび試験方法

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103137227B (zh) * 2013-01-29 2016-01-13 北京广利核系统工程有限公司 核电站安全级dcs的软件共模故障检测系统及其控制方法
KR101698334B1 (ko) * 2015-11-04 2017-01-23 한국수력원자력 주식회사 주제어실의 상주 불능을 고려한 원자력발전소의 중대사고관리 방법
JP6721423B2 (ja) * 2016-06-14 2020-07-15 株式会社日立製作所 アプリロジックおよびその検証方法
JP6847755B2 (ja) * 2017-04-28 2021-03-24 三菱重工業株式会社 プラントの監視制御装置
JP7527509B2 (ja) 2022-01-25 2024-08-02 三菱電機株式会社 監視制御システム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07167987A (ja) * 1993-12-16 1995-07-04 Toshiba Corp 原子力プラント安全施設制御装置
JPH09145893A (ja) * 1995-11-20 1997-06-06 Toshiba Corp 復水給水装置
JPH10186087A (ja) * 1996-12-26 1998-07-14 Hitachi Ltd 原子炉減圧系起動制御装置
JP2002525615A (ja) 1998-09-18 2002-08-13 ウエスチングハウス・エレクトリック・カンパニー・エルエルシー デジタルプラント保護システム

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4977529A (en) * 1973-02-23 1990-12-11 Westinghouse Electric Corp. Training simulator for a nuclear power plant
US4080251A (en) * 1973-05-22 1978-03-21 Combustion Engineering, Inc. Apparatus and method for controlling a nuclear reactor
SU847266A1 (ru) 1978-12-15 1981-07-15 Головное Специализированное Кон-Структорско-Технологическое Бюропо Машинам Для Возделывания Иуборки Картофеля Устройство дл автоматическогоупРАВлЕНи и КОНТРОл САМОХОдНОйубОРОчНОй МАшиНы
US4427620A (en) * 1981-02-04 1984-01-24 Westinghouse Electric Corp. Nuclear reactor power supply
JPS60128908A (ja) 1983-12-16 1985-07-10 Toshiba Corp 火力プラントの抽気弁開度制御装置
US4804515A (en) * 1984-10-31 1989-02-14 Westinghouse Electric Corp. Distributed microprocessor based sensor signal processing system for a complex process
JPH08233990A (ja) 1995-02-28 1996-09-13 Hitachi Ltd 原子炉安全システムとその作動状態表示方法
US6292523B1 (en) * 1997-06-06 2001-09-18 Westinghouse Electric Company Llc Digital engineered safety features actuation system
CN1265220A (zh) 1997-06-06 2000-08-30 Abb燃烧工程核力公司 数字化设计安全装置驱动系统
KR100408493B1 (ko) * 2001-05-07 2003-12-06 한국전력기술 주식회사 소프트웨어 공통유형고장을 자체 배제한 디지털원자로 보호시스템 및 그 제어방법
JP4371856B2 (ja) * 2004-03-04 2009-11-25 株式会社東芝 安全保護計装システムおよびその取扱方法
JP5422448B2 (ja) * 2010-03-10 2014-02-19 株式会社東芝 制御装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07167987A (ja) * 1993-12-16 1995-07-04 Toshiba Corp 原子力プラント安全施設制御装置
JPH09145893A (ja) * 1995-11-20 1997-06-06 Toshiba Corp 復水給水装置
JPH10186087A (ja) * 1996-12-26 1998-07-14 Hitachi Ltd 原子炉減圧系起動制御装置
JP2002525615A (ja) 1998-09-18 2002-08-13 ウエスチングハウス・エレクトリック・カンパニー・エルエルシー デジタルプラント保護システム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2629301A4 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014206470A (ja) * 2013-04-12 2014-10-30 株式会社東芝 原子力発電所の操作システム及びその操作方法
WO2024018578A1 (ja) * 2022-07-21 2024-01-25 三菱電機株式会社 安全保護システムおよび試験方法

Also Published As

Publication number Publication date
US20130204453A1 (en) 2013-08-08
EP2629301A1 (en) 2013-08-21
JP2012083231A (ja) 2012-04-26
US9627877B2 (en) 2017-04-18
JP5675256B2 (ja) 2015-02-25
EP2629301A4 (en) 2014-03-19
EP2629301B1 (en) 2016-11-09

Similar Documents

Publication Publication Date Title
JP5701033B2 (ja) 原子炉停止装置
JP5675256B2 (ja) 原子力施設の制御システム
EP2839479B1 (en) System for decay heat removal in a nuclear reactor system comprising an auxiliary condenser and corresponding method
CN103400623A (zh) 核电站数字化仪控多样性保护方法和系统
EP2495730B1 (en) Nuclear power plant and operational support method for nuclear power plant
JP5675208B2 (ja) 原子力施設の制御システム
JP5606260B2 (ja) 原子力施設の制御システム
WO2012020666A1 (ja) プラントの制御システム
JP6505889B1 (ja) 原子炉の異常緩和設備及び制御棒の固着判定方法
US6928132B2 (en) Methods and apparatus for operating a system
Park et al. Design of instrumentation and control system for research reactors
JP2024102556A (ja) 原子炉の異常緩和設備及び原子炉の異常緩和方法
Liu et al. The Situation and Suggestion of Diversity Actuation System Applied in China
JPS6117988A (ja) 原子炉の安全装置
Han Development of the small (600 MWe class) KSNP design
Yao et al. Analysis of DAS and ATWS mitigation system in nuclear power plant
Yang State oriented procedure application in nuclear power plants in China
Casada Aging assessment of PWR (Pressurized Water Reactor) Auxiliary Feedwater Systems
Ma et al. The Analysis and Design Technology Research of DAS
Huang et al. Reactor Protection Diversity Requirements and the Typical Solution Base on DCS
JPH02272394A (ja) ほう酸水注入装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11832373

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 13876775

Country of ref document: US

REEP Request for entry into the european phase

Ref document number: 2011832373

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2011832373

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE