WO2023100275A1 - 安全保護装置 - Google Patents

安全保護装置 Download PDF

Info

Publication number
WO2023100275A1
WO2023100275A1 PCT/JP2021/044019 JP2021044019W WO2023100275A1 WO 2023100275 A1 WO2023100275 A1 WO 2023100275A1 JP 2021044019 W JP2021044019 W JP 2021044019W WO 2023100275 A1 WO2023100275 A1 WO 2023100275A1
Authority
WO
WIPO (PCT)
Prior art keywords
circuit
outputs
majority
input
safety protection
Prior art date
Application number
PCT/JP2021/044019
Other languages
English (en)
French (fr)
Inventor
奨 奥田
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to JP2023564327A priority Critical patent/JPWO2023100275A1/ja
Priority to PCT/JP2021/044019 priority patent/WO2023100275A1/ja
Publication of WO2023100275A1 publication Critical patent/WO2023100275A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance

Definitions

  • the present application relates to security devices.
  • detectors for detecting process parameters are multiplexed and the signal from each multiplexed detector is compared with the operating setpoint of the safety function. A decision is made by doing so, and the result of each decision is used to determine the operation of the safety function by means of a majority circuit.
  • the logic of the safety function in Patent Document 1 discloses safety function activation logic in a system configuration in which detectors are quadrupled and safety protection devices are duplicated. Multiplexed security devices must be able to perform their functions independently of each other.
  • the signal from the detector is mutually transmitted and received between the duplicated safety protection devices. That is, the first safety device uses the judgment results of the two detectors and the majority circuit (TWO OF FOUR VOTER) of the judgment results of the remaining two detectors input from the second safety device to determine the safety function actuating signal can be output.
  • TWO OF FOUR VOTER majority circuit
  • this safety function activation logic cannot be applied to functions that restrict safety functions.
  • the function that limits the safety function is, for example, in a pressurized water nuclear reactor, since boiling of the cooling water is prevented by pressurizing the cooling water in the core, if the pressure of the coolant falls below a certain value.
  • a safety function it is equipped with a function for emergency shutdown of the reactor.
  • the operation is such that the pressure of the cooling water is increased along with the output of the nuclear power plant. Therefore, it is necessary to temporarily limit the emergency stop function due to the low pressure of the coolant.
  • This restriction is implemented by logic that disables the emergency shutdown function due to low coolant pressure on the condition that the power plant output is low.
  • This application was made to solve the above-mentioned problems, and provides a safety protection device that limits the safety function only when an abnormality in the process parameter is detected by the signal from the detector connected to the device itself.
  • the safety protection device disclosed in the present application is connected to each of a plurality of detectors, inputs the detected value of the detector, and outputs an operation request signal when the detected value exceeds a predetermined threshold value.
  • a majority decision circuit for determining a majority decision when the total number of outputs of the operation request signals is a half or a majority of the total number, wherein the decision result of the majority decision circuit is only output from the second decision circuit It is characterized in that a limiting circuit for limiting the deviation is provided in the preceding stage, the succeeding stage of the majority circuit, or in the majority circuit.
  • the safety protection device disclosed in the present application, only when a process parameter abnormality is detected by a signal from a detector connected to the own device, the safety function is limited, and self-recovery is performed only by a signal from another device. It is possible to prevent the functions of the device from being restricted or disabled.
  • FIG. 4 is a configuration diagram of execution logic for safety function limitation of the safety protection device according to Embodiment 1.
  • FIG. FIG. 9 is a configuration diagram of execution logic for safety function restriction of the safety protection device according to Embodiment 2;
  • FIG. 11 is a circuit configuration diagram showing an example of a majority circuit according to Embodiment 2;
  • FIG. 11 is a configuration diagram of execution logic for safety function restriction of the safety protection device according to Embodiment 3;
  • FIG. 1 is a configuration diagram of the execution logic for limiting the safety functions of the safety protection device according to this embodiment.
  • Detectors 101 to 104 measure process parameters such as flow rate, water level, pressure and temperature of cooling water used in the plant system of, for example, a nuclear power plant. Each process value is multiplexed by a plurality of detectors. Here, as an example, it is assumed that the detectors 101 to 104 detect the pressure of cooling water.
  • the detection signals of the detectors 101 and 102 are input to the safety protection device 2, and the detection signals of the detectors 103 and 104 are input to the safety protection device 3.
  • the determination circuit 211 determines whether or not the pressure value of the detection signal from the detector 101 is equal to or higher than a predetermined threshold value, and when the pressure value is equal to or higher than the threshold value, the pressure value is considered to be in an abnormal state. It judges and outputs an operation request signal.
  • the determination circuit 212 determines whether or not the pressure value of the detection signal from the detector 102 is equal to or greater than a predetermined threshold value. Output a request signal.
  • the determination circuit 311 determines whether or not the pressure value of the detection signal from the detector 103 is equal to or greater than a predetermined threshold value, and when the value is equal to or greater than the threshold value, the pressure value is considered to be in an abnormal state. It judges and outputs an operation request signal.
  • the determination circuit 312 determines whether or not the pressure value of the detection signal from the detector 102 is equal to or greater than a predetermined threshold value, and determines that the pressure value is in an abnormal state when the threshold value is exceeded. Outputs an operation request signal.
  • the majority circuit 222 of the safety protection device 2 outputs a safety signal when half or the majority of the input signals from the judgment circuit are operation request signals.
  • a safety signal is generated. Output (TWO OF FOUR VOTER).
  • TWO OF FOUR VOTER only when an operation request signal is output from either of the determination circuits 211 and 212, the safety protection operation of the safety protection device 2 is restricted.
  • the logical product (AND circuit 223) of the output of the logical sum (OR circuit 221) of the outputs of the decision circuits 211 and 212 and the output of the majority circuit 222 is protected. configured to be the output of device 2; This prevents the safety protection operation of the safety protection device 2 from being limited only by an output from outside the safety protection device 2, for example, the operation request signal of the judgment circuits 311 and 312 from the safety protection device 3.
  • FIG. 1 the logical product (AND circuit 223) of the output of the logical sum (OR circuit 221) of the outputs of the decision circuits 211 and 212 and the output of the majority circuit 222 is protected. configured to be the output of device 2; This prevents the safety protection operation of the safety protection device 2 from being limited only by an output from outside the safety protection device 2, for example, the operation request signal of the judgment circuits 311 and 312 from the safety protection device 3.
  • the safety protection device 3 is configured in the same way as the safety protection device 2. In this case, the outputs of the judgment circuits 211 and 212 are input to the majority circuit 322 within the safety protection device 3 .
  • the function to execute the limiting function is added to the majority circuit, so that the automatic detection can be performed only by the signal from the other device. It is possible to prevent the functions of the device from being restricted or disabled.
  • FIG. 2 shows the configuration of the execution logic for limiting the safety functions of the safety protection device according to this embodiment. Since the configurations and operations of detectors 101 to 104 and the configurations and operations of determination circuits 211, 212, 311, and 312 are the same as those in the first embodiment, description thereof will be omitted.
  • the majority circuit 222a outputs a safety signal when half or the majority of the input signals from the determination circuit are operation request signals.
  • the operation request signal is input from at least two of the four determination circuits 211, 212, 311, and 312, the safety protection operation of the safety protection device 2 is restricted. (TWO OF FOUR VOTER).
  • the circuit configuration is such that only the operation request signal from the judgment circuits 311 and 312 of the safety protection device 3 does not output a signal.
  • FIG. 3 A specific circuit configuration of the majority circuit 222a is shown in FIG.
  • the majority circuit shown in FIG. 3 is configured to output a signal from an OR circuit 2227 which receives the following signals as inputs. (1) Output of the AND circuit 2221 with the input of the determination circuit 211 and the determination circuit 212 (2) Output of the AND circuit 2222 with the input of the determination circuit 211 and the determination circuit 311 (3) Input of the determination circuit 211 and the determination circuit 312 (4) the output of the AND circuit 2224 whose input is the decision circuit 212 and the decision circuit 311; (5) the output of the AND circuit 2225 whose input is the decision circuit 212 and the decision circuit 312. And the signal from the determination circuit 312 is not input to the OR circuit 2227 because only the signal from the safety protection device 3 is input.
  • the safety protection device 3 is configured in the same way as the safety protection device 2. In this case, the outputs of the judgment circuits 211 and 212 are input to the majority circuit 322a in the safety protection device 3. FIG.
  • the self-detection can be automatically detected only by the signal from the other device. It is possible to prevent the functions of the device from being restricted or disabled.
  • the circuit configuration can be simplified and miniaturized.
  • FIG. 4 shows the configuration of the execution logic for limiting the safety functions of the safety protection device according to this embodiment.
  • the configuration and operation of detectors 101 to 104, the configuration and operation of decision circuits 211, 212, 311, 312, and majority decision circuit 222 are the same as those in the first embodiment, and thus description thereof is omitted.
  • the signals from the determination circuits 311 and 312 of the safety protection device 3 are input to the AND circuits 243 and 244 together with the output of the OR circuit 241 which receives the output signals of the determination circuits 211 and 212 of the safety protection device 2.
  • 244 are input to the majority circuit 222 together with the outputs of the decision circuits 211 and 212 . This prevents operation without a signal from either of the decision circuits 211 and 212 of the safety protection device 2 . That is, only when half or the majority of the signals from the judgment circuit input to the majority circuit 222 are operation request signals, and only when the operation request signal is output from either of the judgment circuits 211 and 212, safety protection is performed.
  • the configuration is such that the safety protection operation of the device 2 is restricted.
  • the safety protection device 3 is configured in the same way as the safety protection device 2. In this case, the outputs of the determination circuits 211 and 212 are input to AND circuits 343 and 344 in the safety protection device 3, respectively.
  • the function to execute the limiting function is added to the majority circuit, so that the automatic detection can be performed only by the signal from other devices It is possible to prevent the functions of the device from being restricted or disabled.
  • the number of safety protection devices is 2
  • the number of detectors is 4, and the number of determination circuits is 4, but the number is not limited to this.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

複数の検出器（１０１、１０２、１０３、１０４）のそれぞれに接続され、検出器の検出値を入力し、前記検出値があらかじめ定められた閾値以上となったとき作動要求信号を出力する複数の第１の判定回路（２１１、２１２）と、複数の第１の判定回路の出力を入力するとともに、装置外部から複数の第２の判定回路（３１１、３１２）の出力を入力し、入力された第１および第２の判定回路の出力の総数の内、作動要求信号の出力の総数が、半数または過半数の場合に、多数決と判断する多数決回路とを備え、多数決回路の判断結果が第２の判定回路の出力のみに寄らないように制限する制限回路を、多数決回路の前段、後段、または多数決回路に備えたことを特徴とする安全保護装置であって、自装置に接続した検出器からの信号にてプロセスパラメータの異常を検出した場合のみ、制限機能を実行する機能を多数決回路に付加する構成により、他装置からの信号のみにより自装置の機能を制限あるいは無効化されることを防止することができる。

Description

安全保護装置
本願は、安全保護装置に関する。
　原子力発電所向け安全保護装置では、高い信頼性を実現するため、プロセスパラメータを検出するための検出器を多重化し、多重化されたそれぞれの検出器からの信号を安全機能の作動設定値と比較することにより判定を実施し、それぞれの判定結果を用いて多数決回路により、安全機能の動作を決定する。
　例えば、特許文献１の安全機能のロジックでは、検出器を４重化、安全保護装置を２重化したシステム構成における安全機能作動ロジックを開示している。多重化した安全保護装置は互いに独立して機能を実行可能である必要がある。例えば、特許文献１のロジックでは、４つの検出器からの信号の内２つを第１の安全保護装置に、残りの２つの検出器からの信号を第２の安全保護装置に入力することにより、検出器からの信号は２重化した安全保護装置間で相互に送受信する構成としている。すなわち、第１の安全保護装置は、２つの検出器の判定結果、および第２の安全保護装置から入力した残りの２つの検出器の判定結果の多数決回路（ＴＷＯ　ＯＦ　ＦＯＵＲ　ＶＯＴＥＲ）により、安全機能の作動信号を出力可能な構成としている。このような構成により、一方の安全保護装置が機能喪失した際にも、他方の安全保護装置にて安全機能を実行可能な安全機能作動ロジックとしている。
国際公開第２０１６／１６０４９２号
　特許文献１の安全機能作動ロジックでは、第２の安全保護装置から異常と判定された２つの判定結果を第１の安全保護装置で受信すると、第１の安全保護装置に入力された２つの検出器の判定結果が異常と判定していない場合でも多数決回路（ＴＷＯ　ＯＦ　ＦＯＵＲ　ＶＯＴＥＲ）から安全機能の作動信号を発信するが、安全性を損なう事象ではないため許容している。
　しかしながら、この安全機能作動ロジックを、安全機能を制限する機能に適用すると、第２の安全保護装置からの判定結果によって安全機能を無効化してしまうため、２重化した装置の独立性が確保できない。このため、この安全機能作動ロジックは安全機能を制限する機能には適用できない。
　ここで、安全機能を制限する機能とは、例えば、加圧水型の原子炉では炉心の冷却水を加圧することにより冷却水の沸騰を防いでいるため、冷却材の圧力がある値よりも低くなると安全機能として原子炉を緊急停止する機能を備えている。ただし、原子力発電所を停止状態から運転状態へ起動していく過程では、冷却水の圧力は原子力発電所の出力とともに上昇させていく運用とする。このため、冷却材の圧力が低いことによる緊急停止機能を一時制限しておく必要がある。この制限を発電所出力が低いことを条件として、冷却材圧力が低いことによる緊急停止機能を無効化するロジックにより実装している。
　本願は、上述のような問題を解決するためになされたもので、自装置に接続した検出器からの信号にてプロセスパラメータの異常を検出した場合のみ、安全機能を制限する安全保護装置を提供することを目的とする。
　本願に開示される安全保護装置は、複数の検出器のそれぞれに接続され、検出器の検出値を入力し、検出値があらかじめ定められた閾値以上となったとき作動要求信号を出力する複数の第１の判定回路、複数の第１の判定回路の出力を入力するとともに、装置外部から複数の第２の判定回路の出力を入力し、入力された第１および第２の判定回路の出力の総数の内、作動要求信号の出力の総数が、半数または過半数の場合に、多数決と判断する多数決回路、を備えたものであって、多数決回路の判断結果が第２の判定回路の出力のみに寄らないように制限する制限回路を、多数決回路の前段、後段、または多数決回路に備えたことを特徴とする。
　本願に開示される安全保護装置によれば、自装置に接続した検出器からの信号にてプロセスパラメータの異常を検出した場合のみ、安全機能を制限する構成により、他装置からの信号のみにより自装置の機能を制限あるいは無効化されることを防止することができる。
実施の形態１に係る安全保護装置の安全機能制限のための実行ロジックの構成図である。 実施の形態２に係る安全保護装置の安全機能制限のための実行ロジックの構成図である。 実施の形態２に係る多数決回路の一例を示す回路構成図である。 実施の形態３に係る安全保護装置の安全機能制限のための実行ロジックの構成図である。
　以下、本願に係る安全保護装置の好適な実施の形態について、図面を参照して説明する。なお、同一内容および相当部については同一符号を配し、その詳しい説明は省略する。以降の実施形態も同様に、同一符号を付した構成について重複した説明は省略する。
実施の形態１．
　図１は、本実施の形態に係る安全保護装置の安全機能制限のための実行ロジックの構成図である。検出器１０１から１０４は、例えば原子力発電所のプラント系統で使用される冷却水の流量、水位、圧力、温度などのプロセスパラメータを計測する。それぞれのプロセス値は、複数の検出器にて多重化した構成としている。ここでは、一例として検出器１０１から１０４は、冷却水の圧力を検出しているとする。
　検出器１０１、１０２の検出信号は安全保護装置２に入力し、検出器１０３，１０４の検出信号は、安全保護装置３に入力する。安全保護装置２において、検出器１０１からの検出信号の圧力値が、あらかじめ定められた閾値以上であるか否かを判定回路２１１で判定し、閾値以上となったときに圧力値の異常状態と判定し、作動要求信号を出力する。同様に、検出器１０２からの検出信号の圧力値が、あらかじめ定められた閾値以上であるか否かを判定回路２１２で判定し、閾値以上となったときに圧力値の異常状態と判定し作動要求信号を出力する。
　安全保護装置３において、検出器１０３からの検出信号の圧力値が、あらかじめ定められた閾値以上であるか否かを判定回路３１１で判定し、閾値以上となったときに圧力値の異常状態と判定し、作動要求信号を出力する。同様に、検出器１０２からの検出信号の圧力値が、あらかじめ定められた閾値以上であるか否かを判定回路３１２で判定し、閾値以上となったときに圧力値の異常状態と判定し、作動要求信号を出力する。
　安全保護装置２の多数決回路２２２は、入力された判定回路からの信号の内、半数または過半数が作動要求信号である場合に、安全信号を出力する。本実施の形態の場合、図１に示すように、４つの判定回路２１１、２１２、３１１、３１２の内、複数（２以上）の判定回路からの作動要求信号を入力した場合に、安全信号を出力する（ＴＷＯ　ＯＦ　ＦＯＵＲ　ＶＯＴＥＲ）。しかし、判定回路２１１、２１２のいずれかから作動要求信号が出力されているときのみ、安全保護装置２の安全保護動作の制限が実行される構成とする。
　この構成を実現するために、図１に示すように判定回路２１１、２１２の出力の論理和（ＯＲ回路２２１）の出力と、多数決回路２２２の出力との論理積（ＡＮＤ回路２２３）を安全保護装置２の出力とするように構成する。これにより、安全保護装置２外からの出力、例えば安全保護装置３からの判定回路３１１、３１２の作動要求信号のみによって、安全保護装置２の安全保護動作の制限が実行されることを防止する。
　安全保護装置３も安全保護装置２と同じように構成される。この場合、判定回路２１１、２１２の出力は、安全保護装置３内の多数決回路３２２に入力される。
　以上のように、自装置に接続した検出器からの信号にてプロセスパラメータの異常を検出した場合のみ、制限機能を実行する機能を多数決回路に付加する構成により、他装置からの信号のみにより自装置の機能を制限あるいは無効化されることを防止することができる。
実施の形態２．
　図２は、本実施の形態に係る安全保護装置の安全機能制限のための実行ロジックの構成である。検出器１０１から１０４の構成および動作、判定回路２１１，２１２，３１１，３１２の構成および動作は実施の形態１と同じであるため、説明を省略する。
　多数決回路２２２ａは、入力された判定回路からの信号の内、半数または過半数が作動要求信号である場合に、安全信号を出力する。本実施の形態の場合、４つの判定回路２１１、２１２、３１１、３１２の内、少なくとも２つの判定回路から作動要求信号を入力した場合に安全保護装置２の安全保護動作の制限が実行される構成とする（ＴＷＯ　ＯＦ　ＦＯＵＲ　ＶＯＴＥＲ）。ただし、安全保護装置３の判定回路３１１、３１２からの作動要求信号のみでは、信号を出力しない回路構成とする。
　多数決回路２２２ａの具体的な回路構成を図３に示す。図３に示す多数決回路は以下の信号を入力とするＯＲ回路２２２７によって信号を出力する構成としている。
（１）判定回路２１１及び判定回路２１２を入力とするＡＮＤ回路２２２１の出力
（２）判定回路２１１及び判定回路３１１を入力とするＡＮＤ回路２２２２の出力
（３）判定回路２１１及び判定回路３１２を入力とするＡＮＤ回路２２２３の出力
（４）判定回路２１２及び判定回路３１１を入力とするＡＮＤ回路２２２４の出力
（５）判定回路２１２及び判定回路３１２を入力とするＡＮＤ回路２２２５の出力
なお、判定回路３１１及び判定回路３１２の信号では、安全保護装置３からの信号のみの入力となるため、ＯＲ回路２２２７に入力しない。
　安全保護装置３も安全保護装置２と同じように構成される。この場合、判定回路２１１、２１２の出力は、安全保護装置３内の多数決回路３２２ａに入力される。
　以上の構成により、自装置に接続した検出器からの信号にてプロセスパラメータの異常を検出した場合のみ、制限機能を実行するように多数決回路を構成することにより、他装置からの信号のみにより自装置の機能を制限あるいは無効化されることを防止することができる。また、実施の形態１に比べ多数決回路に外付けの回路を追加する必要がなく、回路構成を簡素化および小型化することが可能となる。
実施の形態３．
　図４は、本実施の形態に係る安全保護装置の安全機能制限のための実行ロジックの構成である。検出器１０１から１０４の構成および動作、判定回路２１１，２１２，３１１，３１２、多数決回路２２２の構成および動作は実施の形態１と同じであるため、説明を省略する。
　安全保護装置３の判定回路３１１、３１２からの信号は、安全保護装置２の判定回路２１１、２１２の出力信号を入力とするＯＲ回路２４１の出力とともにＡＮＤ回路２４３、２４４に入力され、ＡＮＤ回路２４３、２４４の出力が、判定回路２１１、２１２の出力とともに多数決回路２２２に入力される。これにより、安全保護装置２の判定回路２１１、２１２のいずれかからの信号なしに作動することを防止する。すなわち、多数決回路２２２に入力された判定回路からの信号の内、半数または過半数が作動要求信号であるとともに、判定回路２１１、２１２のいずれかから作動要求信号が出力されているときのみ、安全保護装置２の安全保護動作の制限が実行される構成とする。
　安全保護装置３も安全保護装置２と同じように構成される。この場合、判定回路２１１、２１２の出力は、安全保護装置３内のＡＮＤ回路３４３、３４４にそれぞれ入力される。
　以上の構成により、自装置に接続した検出器からの信号にてプロセスパラメータの異常を検出した場合のみ、制限機能を実行する機能を多数決回路に付加する構成により、他装置からの信号のみにより自装置の機能を制限あるいは無効化されることを防止することができる。
　なお、実施の形態１から３では、安全保護装置の数を２，検出器の数を４、判定回路の数を４としているが、これに限るものではない。
　本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。
２、３：安全保護装置、１０１、１０２、１０３、１０４：検出器、２１１、２１２、３１１、３１２：判定回路、２２２、２２２ａ：多数決回路

Claims (6)

  1. 　複数の検出器のそれぞれに接続され、前記検出器の検出値を入力し、前記検出値があらかじめ定められた閾値以上となったとき作動要求信号を出力する複数の第１の判定回路、
    　複数の前記第１の判定回路の出力を入力するとともに、装置外部から複数の第２の判定回路の出力を入力し、入力された第１および第２の判定回路の出力の総数の内、前記作動要求信号の出力の総数が、半数または過半数の場合に、多数決と判断する多数決回路、
    を備えた安全保護装置において、
    　前記多数決回路の判断結果が前記第２の判定回路の出力のみに寄らないように制限する制限回路を、前記多数決回路の前段、後段、または前記多数決回路に備えたことを特徴とする安全保護装置。
  2. 　複数の検出器のそれぞれに接続され、前記検出器の検出値を入力し、前記検出値があらかじめ定められた閾値以上となったとき作動要求信号を出力する複数の第１の判定回路、
    　複数の前記第１の判定回路の出力を入力するとともに、装置外部から複数の第２の判定回路の出力を入力し、入力された第１および第２の判定回路の出力の総数の内、前記作動要求信号の出力の総数が半数または過半数の場合に、多数決と判断する多数決回路、
    　前記多数決回路の判断結果が、前記第２の判定回路の出力のみによる場合、前記多数決回路の出力を装置外部に出力しない制限回路、
    を備えたことを特徴とする安全保護装置。
  3. 　前記制限回路は、複数の前記第１の判定回路の論理和の出力と前記多数決回路の出力との論理積を出力する回路であることを特徴とする請求項２に記載の安全保護装置。
  4. 　複数の検出器のそれぞれに接続され、前記検出器の検出値を入力し、前記検出値があらかじめ定められた閾値以上となったとき作動要求信号を出力する複数の第１の判定回路、
    　複数の前記第１の判定回路の出力を入力するとともに、装置外部から複数の第２の判定回路の出力を入力し、入力された第１および第２の判定回路の出力の総数の内、前記作動要求信号の出力の総数が、半数または過半数の場合に多数決と判断するとともに、前記第２の判定回路の出力のみによる判断を多数決の判断に反映しない多数決回路、
    を備えたことを特徴とする安全保護装置。
  5. 　複数の検出器のそれぞれに接続され、前記検出器の検出値を入力し、前記検出値があらかじめ定められた閾値以上となったとき作動要求信号を出力する複数の第１の判定回路、
    　複数の前記第１の判定回路の出力を入力するとともに、装置外部から複数の第２の判定回路の出力を入力し、入力された第１および第２の判定回路の出力の総数の内、前記作動要求信号の出力の総数が、半数または過半数の場合に、多数決と判断する多数決回路、
    　前記多数決回路の判断結果が、前記第２の判定回路の出力のみに寄らないよう、前記第２の判定回路の出力の前記多数決回路への入力を制限する制限回路、
    を備えたことを特徴とする安全保護装置。
  6. 　前記制限回路は、複数の前記第１の判定回路の出力の論理和と前記第２の判定回路の出力との論理積を前記多数決回路へ入力する回路であることを特徴とする請求項５に記載の安全保護装置。
PCT/JP2021/044019 2021-12-01 2021-12-01 安全保護装置 WO2023100275A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2023564327A JPWO2023100275A1 (ja) 2021-12-01 2021-12-01
PCT/JP2021/044019 WO2023100275A1 (ja) 2021-12-01 2021-12-01 安全保護装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/044019 WO2023100275A1 (ja) 2021-12-01 2021-12-01 安全保護装置

Publications (1)

Publication Number Publication Date
WO2023100275A1 true WO2023100275A1 (ja) 2023-06-08

Family

ID=86611738

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/044019 WO2023100275A1 (ja) 2021-12-01 2021-12-01 安全保護装置

Country Status (2)

Country Link
JP (1) JPWO2023100275A1 (ja)
WO (1) WO2023100275A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110313580A1 (en) * 2010-06-17 2011-12-22 Levgenii Bakhmach Method and platform to implement safety critical systems
JP2012079184A (ja) * 2010-10-04 2012-04-19 Mitsubishi Heavy Ind Ltd 制御装置および原子力発電プラント制御システム
US20160284429A1 (en) * 2015-03-27 2016-09-29 Mitsubishi Electric Power Products, Inc. Safety system for a nuclear power plant and method for operating the same

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110313580A1 (en) * 2010-06-17 2011-12-22 Levgenii Bakhmach Method and platform to implement safety critical systems
JP2012079184A (ja) * 2010-10-04 2012-04-19 Mitsubishi Heavy Ind Ltd 制御装置および原子力発電プラント制御システム
US20160284429A1 (en) * 2015-03-27 2016-09-29 Mitsubishi Electric Power Products, Inc. Safety system for a nuclear power plant and method for operating the same

Also Published As

Publication number Publication date
JPWO2023100275A1 (ja) 2023-06-08

Similar Documents

Publication Publication Date Title
US20180211734A1 (en) Reactor protection-processor-to-reactor-trip breaker interface and method for operating the same
WO2018221136A1 (ja) 異常判定装置、異常判定方法及び異常判定プログラム
JP2004259137A (ja) 電子制御装置
US20080215913A1 (en) Information Processing System and Information Processing Method
WO2023100275A1 (ja) 安全保護装置
KR20160086082A (ko) 원자력 발전소 보호계통과 원자력 발전소 보호계통의 운전방법
US10479340B2 (en) Overload protection for a parking lock
KR101831398B1 (ko) 다양성보호계통시스템
US4562035A (en) Logic safety system
US20130177119A1 (en) Control device and nuclear power plant control system
JPH0626894A (ja) 異常判定装置
USRE49043E1 (en) Apparatus and method for communications in a safety critical system
WO2022113345A1 (ja) 制御切替装置
JP7360277B2 (ja) 航空機の制御システム
US6704682B2 (en) Dual sensor process pressure switch having high-diagnostic one-out-of-two voting architecture
CN113518949A (zh) 控制器系统
WO2023144857A1 (ja) 監視制御システム
JP6101648B2 (ja) 異常発信検知装置及び方法
KR102262090B1 (ko) 피엘씨의 입력 이중화 처리장치 및 방법
KR102640045B1 (ko) 원자력발전소의 공통원인 고장 감지 장치 및 이의 동작 방법
US11609999B2 (en) Control system
JP2006276957A (ja) 安全システム
JPH05158742A (ja) 複数のマイクロコンピュータの暴走監視回路
JPS5812062A (ja) 並列電子計算機システムの出力装置
JPH02155403A (ja) 自動列車制御装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21966359

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2023564327

Country of ref document: JP