図面 (/)

技術 原子炉保護システム及び方法

出願人 ニュースケールパワーエルエルシーロッククリークイノベーションズエルエルシー
発明者 クラークソングレゴリーウェインアヤラルフィーノポトフジェイソン
出願日 2019年11月22日 (1年1ヶ月経過) 出願番号 2019-211482
公開日 2020年3月5日 (9ヶ月経過) 公開番号 2020-034575
状態 未査定
技術分野 原子力プラント
主要キーワード 自動制御機器 信号調節器 次冷却剤 熱電対入力 指示機器 完全故障 故障基準 区分レベル
関連する未来課題
重要な関連分野

この項目の情報は公開日時点(2020年3月5日)のものです。
また、この項目は機械的に抽出しているため、正しく解析できていない場合があります

図面 (16)

課題

原子炉保護システム及びその関連する方法を提供する。

解決手段

原子炉保護システムは、複数の機能的に独立したモジュールであって、モジュールの各々が、原子炉安全システムから複数の入力を受信し、少なくとも部分的に複数の入力に基づいて安全動作論理的に決定するように構成された、複数の機能的に独立したモジュールと、複数の機能的に独立したモジュールに通信可能に接続され、少なくとも部分的に複数の入力に基づいて安全動作の決定を受信する1つ又は複数の原子炉安全アクチュエータとを備える。

概要

背景

概要

原子炉保護システム及びその関連する方法を提供する。原子炉保護システムは、複数の機能的に独立したモジュールであって、モジュールの各々が、原子炉安全システムから複数の入力を受信し、少なくとも部分的に複数の入力に基づいて安全動作論理的に決定するように構成された、複数の機能的に独立したモジュールと、複数の機能的に独立したモジュールに通信可能に接続され、少なくとも部分的に複数の入力に基づいて安全動作の決定を受信する1つ又は複数の原子炉安全アクチュエータとを備える。

目的

背景
原子炉保護システム、及び一般的に、原子炉計装制御(I&C)システムは、故障状態がもたらす結果を軽減するため、自動始動信号、自動及び手動制御信号、並びに監視表示を提供する

効果

実績

技術文献被引用数
0件
牽制数
0件

この技術が所属する分野

(分野番号表示ON)※整理標準化データをもとに当社作成

ライセンス契約や譲渡などの可能性がある特許掲載中! 開放特許随時追加・更新中 詳しくはこちら

請求項1

原子炉保護システムであって、複数の機能的に独立したモジュールであって、前記モジュールの各々は、原子炉安全システムから複数の入力を受信し、少なくとも部分的に前記複数の入力に基づいて安全動作論理的に決定するように構成される、複数の機能的に独立したモジュールと、前記複数の機能的に独立したモジュールに通信可能に接続され、少なくとも部分的に前記複数の入力に基づく前記安全動作決定を受信する、1つ又は複数の原子炉安全アクチュエータとを備える、原子炉保護システム。

請求項2

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールの各々は、前記複数の機能的に独立したモジュールの他のいずれかのモジュールに対する単一の故障伝搬に対する保護を提供する、原子炉保護システム。

請求項3

請求項1に記載の原子炉保護システムであって、前記原子炉安全システムは、工学的安全施設作動システムESFAS)を備え、前記複数の機能的に独立したモジュールは、複数のESFAS入力を受信し、少なくとも部分的に前記ESFAS入力に基づいてESFASコンポーネントの作動を論理的に決定する、原子炉保護システム。

請求項4

請求項3に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、冗長ESFAS投票区分を提供する、原子炉保護システム。

請求項5

請求項1に記載の原子炉保護システムであって、前記原子炉安全システムは、原子炉トリップシステムRTS)を備え、前記複数の機能的に独立したモジュールは、複数のRTS入力を受信し、少なくとも部分的に前記RTS入力に基づいてRTSコンポーネントの作動を論理的に決定する、原子炉保護システム。

請求項6

請求項5に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、冗長RTS投票区分を提供する、原子炉保護システム。

請求項7

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールの各々は、前記複数の機能的に独立したモジュールのうちの他のいずれかへの単一のハードウェア故障伝搬に対する保護を提供する、原子炉保護システム。

請求項8

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールの各々は、前記複数の機能的に独立したモジュールのうちの他のいずれかへの単一のソフトウェア故障伝搬に対する保護を提供する、原子炉保護システム。

請求項9

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールの各々は、前記複数の機能的に独立したモジュールのうちの他のいずれかへの単一のソフトウェア生成論理故障伝搬に対する保護を提供する、原子炉保護システム。

請求項10

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、原子炉トリップ検知及び決定の単一の経路について3重冗長化を提供する、原子炉保護システム。

請求項11

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、原子炉トリップコンポーネント毎に複数の独立したトリップ投票モジュールを備える、原子炉保護システム。

請求項12

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、特定のトリップコンポーネントに専用の前記複数のモジュールのうちの他の全てのモジュールから切り離して前記原子炉トリップを論理的に決定する、原子炉保護システム。

請求項13

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、ESFコンポーネント毎に複数の独立したESFAS作動投票モジュールを備える、原子炉保護システム。

請求項14

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、特定のESFコンポーネントに専用の前記複数のモジュールのうちの他の全てから切り離して前記ESFAS作動を論理的に決定する、原子炉保護システム。

請求項15

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、複数の安全機能モジュールを備える、原子炉保護システム。

請求項16

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、複数の通信モジュールを備える、原子炉保護システム。

請求項17

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、複数の機器インタフェースモジュールを備える、原子炉保護システム。

請求項18

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、単一階投票スキームにおいて前記原子炉トリップを論理的に決定する、原子炉保護システム。

請求項19

請求項1に記載の原子炉保護システムであって、前記複数の機能的に独立したモジュールは、複数階層投票スキームにおいて前記原子炉トリップを論理的に決定する、原子炉保護システム。

請求項20

請求項19に記載の原子炉保護システムであって、前記複数階層投票スキームは、2階層投票スキームを備える、原子炉保護システム。

請求項21

請求項20に記載の原子炉保護システムであって、前記2階層投票スキームの第1の階層は、多数決投票スキームを備える、原子炉保護システム。

請求項22

請求項21に記載の原子炉保護システムであって、前記多数決投票スキームは、3分の2投票スキームを備える、原子炉保護システム。

請求項23

請求項20に記載の原子炉保護システムであって、前記2階層投票スキームの第2の階層は、非多数決投票スキームを備える、原子炉保護システム。

請求項24

請求項23に記載の原子炉保護システムであって、前記第2の階層は、4分の2投票スキームを備える、原子炉保護システム。

請求項25

原子炉トリップを決定するための方法であって、工学的安全施設作動システム(ESFAS)又は原子炉トリップシステム(RTS)のうちの一方から、原子炉保護システムの複数の機能的に独立したモジュールにおいて複数の入力を受信することと、前記複数の機能的に独立したモジュールによって、少なくとも部分的に前記複数の入力に基づいてESFAS安全動作又は原子炉トリップの決定のうちの一方を論理的に決定することと、前記論理的な決定に基づいて、前記複数の機能的に独立したモジュールに通信可能に接続されたESFASコンポーネントアクチュエータ又は原子炉トリップ遮断器のうちの一方を作動させることとを備える、方法。

請求項26

請求項25に記載の方法であって、前記複数の機能的に独立したモジュールのうちの1つによって、前記複数の機能的に独立したモジュールのうちの他のいずれかへの単一の故障伝搬を制限することを更に備える、方法。

請求項27

請求項26に記載の方法であって、前記単一の故障は、単一のハードウェア故障、単一のソフトウェア故障、又は単一のソフトウェア生成論理故障のうちの少なくとも1つを含む、方法。

請求項28

請求項25に記載の方法であって、前記複数の機能的に独立したモジュールによって、少なくとも部分的に前記入力に基づいてESFAS安全動作又は原子炉トリップの決定のうちの一方を論理的に決定することは、前記複数の機能的に独立したモジュールによって、3重冗長化信号経路を通して前記ESFAS安全動作又は前記原子炉トリップの決定を論理的に決定することを備える、方法。

請求項29

請求項25に記載の方法であって、前記複数の機能的に独立したモジュールは、冗長RTS投票区分又は冗長ESFAS投票区分のうちの少なくとも一方を提供する、方法。

請求項30

請求項25に記載の方法であって、前記複数の機能的に独立したモジュールによって、少なくとも部分的に前記入力に基づいてESFAS安全動作又は原子炉トリップの決定のうちの一方を論理的に決定することは、前記複数の機能的に独立したモジュールによって、原子炉トリップコンポーネント毎の複数の独立したトリップ投票モジュールを通して前記ESFAS安全動作又は前記原子炉トリップの決定を論理的に決定することを備える、方法。

請求項31

請求項30に記載の方法であって、前記複数の機能的に独立したモジュールによって、少なくとも部分的に前記入力に基づいてESFAS安全動作又は原子炉トリップの決定のうちの一方を論理的に決定することは、前記複数の機能的に独立したモジュールのうちの特定のモジュールによって、前記複数のモジュールのうちの全ての他のモジュールから切り離して前記ESFAS安全動作又は前記原子炉トリップの決定を論理的に決定することを備える、方法。

請求項32

請求項25に記載の方法であって、前記複数の機能的に独立したモジュールは、ESFコンポーネント毎に複数の独立したESFAS作動投票モジュールを備え、前記方法は、更に、前記複数の機能的に独立したモジュールのうちの特定のモジュールによって、特定のESFコンポーネントに専用の前記複数のモジュールのうちの全ての他のモジュールから切り離して前記ESFAS作動を論理的に決定することを備える、方法。

請求項33

請求項25に記載の方法であって、前記複数の機能的に独立したモジュールは、複数の安全機能モジュールと、複数の通信モジュールと、複数の機器インタフェースモジュールとを備える、方法。

請求項34

請求項25に記載の方法であって、前記複数の機能的に独立したモジュールによって、少なくとも部分的に前記入力に基づいてESFAS安全動作又は原子炉トリップの決定のうちの一方を論理的に決定することは、前記複数の機能的に独立したモジュールによって、単一階層投票スキームにおいて前記ESFAS安全動作又は前記原子炉トリップの決定を論理的に決定することを備える、方法。

請求項35

請求項25に記載の方法であって、前記複数の機能的に独立したモジュールによって、少なくとも部分的に前記入力に基づいてESFAS安全動作又は原子炉トリップの決定のうちの一方を論理的に決定することは、前記複数の機能的に独立したモジュールによって、複数階層投票スキームにおいて前記ESFAS安全動作又は前記原子炉トリップの決定を論理的に決定することを備える、方法。

請求項36

請求項35に記載の方法であって、前記複数階層投票スキームは、2階層投票スキームを備える、方法。

請求項37

請求項36に記載の方法であって、前記2階層投票スキームの第1の階層は、多数決投票スキームを備える、方法。

請求項38

請求項37に記載の方法であって、前記多数決投票スキームは、3分の2投票スキームを備える、方法。

請求項39

請求項36に記載の方法であって、前記2階層投票スキームの第2の階層は、非多数決投票スキームを備える、方法。

請求項40

請求項39に記載の方法であって、前記第2の階層は、4分の2投票スキームを備える、方法。

請求項41

原子炉保護装置であって、原子炉安全システムから複数の入力を受信し、少なくとも部分的に前記複数の入力に基づいて安全動作を論理的に決定するための手段と、少なくとも部分的に前記複数の入力に基づいて前記安全動作の決定を受信するための手段とを備える、原子炉保護装置。

請求項42

請求項41に記載の原子炉保護装置であって、前記安全動作の決定を受信するための前記手段は、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段に通信可能に接続されている、原子炉保護装置。

請求項43

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、前記装置内の単一の故障伝搬に対する保護を提供する、原子炉保護装置。

請求項44

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムは、工学的安全施設作動システム(ESFAS)を備え、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、複数のESFAS入力を受信し、少なくとも部分的に前記ESFAS入力に基づいてESFASコンポーネントの作動を論理的に決定する、原子炉保護装置。

請求項45

請求項44に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、冗長ESFAS投票区分を提供する、原子炉保護装置。

請求項46

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムは、原子炉トリップシステム(RTS)を備え、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、複数のRTS入力を受信し、少なくとも部分的に前記RTS入力に基づいてRTSコンポーネントの作動を論理的に決定する、原子炉保護装置。

請求項47

請求項46に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、冗長RTS投票区分を備える、原子炉保護装置。

請求項48

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、前記装置内の単一のハードウェア故障伝搬に対する保護を提供する、原子炉保護装置。

請求項49

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、前記装置内の単一のソフトウェア故障伝搬に対する保護を提供する、原子炉保護装置。

請求項50

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、前記装置内の単一のソフトウェア生成論理故障伝搬に対する保護を提供する、原子炉保護装置。

請求項51

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、原子炉トリップ検知及び決定の3重冗長信号経路を備える、原子炉保護装置。

請求項52

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、原子炉トリップコンポーネント毎に複数の独立したトリップ投票モジュールを備える、原子炉保護装置。

請求項53

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、特定の原子炉トリップコンポーネントについて原子炉トリップを独立して決定する、原子炉保護装置。

請求項54

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、ESFコンポーネント毎に複数の独立したESFAS作動投票モジュールを備える、原子炉保護装置。

請求項55

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、特定のESFコンポーネントについてESFAS作動を独立して決定する、原子炉保護装置。

請求項56

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、複数の安全機能モジュールを備える、原子炉保護装置。

請求項57

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、複数の通信モジュールを備える、原子炉保護装置。

請求項58

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、複数の機器インタフェースモジュールを備える、原子炉保護装置。

請求項59

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、単一階層投票スキームにおいて原子炉トリップを論理的に決定する、原子炉保護装置。

請求項60

請求項41に記載の原子炉保護装置であって、前記原子炉安全システムから前記複数の入力を受信し、前記安全動作を論理的に決定するための前記手段は、複数階層投票スキームにおいて原子炉トリップを論理的に決定する、原子炉保護装置。

請求項61

請求項60に記載の原子炉保護装置であって、前記複数階層投票スキームは、2階層投票スキームを備える、原子炉保護装置。

請求項62

請求項61に記載の原子炉保護装置であって、前記2階層投票スキームの第1の階層は、多数決投票スキームを備える、原子炉保護装置。

請求項63

請求項62に記載の原子炉保護装置であって、前記多数決投票スキームは、3分の2投票スキームを備える、原子炉保護装置。

請求項64

請求項61に記載の原子炉保護装置であって、前記2階層投票スキームの第2の階層は、非多数決投票スキームを備える、原子炉保護装置。

請求項65

請求項64に記載の原子炉保護装置であって、前記第2の階層は、4分の2投票スキームを備える、原子炉保護装置。

発明の詳細な説明

0001

[関連出願に対する相互参照
本願は、2013年12月31日に出願された米国仮特許出願第61/922,625号及び2014年3月6日に出願された米国特許出願第14/198,891号に対して優先権を主張し、両出願の全内容が参照によりここに援用される。
[技術的背景
本開示は、原子炉保護システム及びその関連する方法を述べる。
[背景]
原子炉保護システム、及び一般的に、原子炉計装制御(I&C)システムは、故障状態がもたらす結果を軽減するため、自動始動信号、自動及び手動制御信号、並びに監視表示を提供する。例えば、I&Cシステムは、定常状態及び過渡電力運転中に安全でない原子炉運転に対する保護を提供する。正常運転中、I&Cシステムは、種々のパラメータを測定し、それらの信号を制御システムに送信する。異常運転及び事故状態中に、I&Cシステムは、信号を、原子炉保護システムに、幾つかの場合には原子炉保護システムの原子炉トリップシステムRTS)及び工学的安全施設作動システムESFAS)に送信して、所定の設定点に基づいて保護動作を開始する。
概要
本開示に係る全体的な実装形態において、原子炉保護システムは、複数の機能的に独立したモジュールであって、モジュールの各々は、原子炉安全システムから複数の入力を受信し、少なくとも部分的に複数の入力に基づいて安全動作論理的に決定するように構成された、複数の機能的に独立したモジュールと、少なくとも部分的に複数の入力に基づいた安全動作決定を受信するために、複数の機能的に独立したモジュールに通信可能に接続された1つ又は複数の原子炉安全アクチュエータとを含んでいる。

0002

全体的な実装形態と組合せ可能な第1の局面において、複数の機能的に独立したモジュールの各々は、複数の機能的に独立したモジュールのうちのあらゆる他のモジュールに対する単一の故障伝搬に対する保護を提供する。

0003

前の局面のうちのいずれかと組合せ可能な第2の局面において、原子炉安全システムは、工学的安全施設作動システム(ESFAS)を含み、複数の機能的に独立したモジュールは、複数のESFAS入力を受信し、少なくとも部分的にESFAS入力に基づいてESFASコンポーネント作動を論理的に決定する。

0004

前の局面のうちのいずれかと組合せ可能な第3の局面において、複数の機能的に独立したモジュールは、冗長ESFAS投票区分を提供する。
前の局面のうちのいずれかと組合せ可能な第4の局面において、原子炉安全システムは、原子炉トリップシステム(RTS)を含み、複数の機能的に独立したモジュールは、複数のRTS入力を受信し、少なくとも部分的にRTS入力に基づいてRTSコンポーネント作動を論理的に決定する。

0005

前の局面のうちのいずれかと組合せ可能な第5の局面において、複数の機能的に独立したモジュールは、冗長RTS投票区分を提供する。
前の局面のうちのいずれかと組合せ可能な第6の局面において、複数の機能的に独立したモジュールの各々は、複数の機能的に独立したモジュールのうちのいずれかの他のモジュールに対する単一のハードウェア故障伝搬に対する保護を提供する。

0006

前の局面のうちのいずれかと組合せ可能な第7の局面において、複数の機能的に独立し
たモジュールの各々は、複数の機能的に独立したモジュールのうちのいずれかの他のモジュールに対する単一のソフトウェア故障伝搬に対する保護を提供する。

0007

前の局面のうちのいずれかと組合せ可能な第8の局面において、複数の機能的に独立したモジュールの各々は、複数の機能的に独立したモジュールのうちのいずれかの他のモジュールに対する単一のソフトウェア生成論理故障伝搬に対する保護を提供する。

0008

前の局面のうちのいずれかと組合せ可能な第9の局面において、複数の機能的に独立したモジュールは、原子炉トリップ検知及び決定の単一の経路について3重冗長化を提供する。

0009

前の局面のうちのいずれかと組合せ可能な第10の局面において、複数の機能的に独立したモジュールは、原子炉トリップコンポーネント毎に複数の独立したトリップ投票モジュールを含む。

0010

前の局面のうちのいずれかと組合せ可能な第11の局面において、複数の機能的に独立したモジュールは、特定のトリップコンポーネントに専用の複数のモジュールの全ての他のモジュールから切り離して原子炉トリップを論理的に決定する。

0011

前の局面のうちのいずれかと組合せ可能な第12の局面において、複数の機能的に独立したモジュールは、ESFコンポーネント毎に複数の独立したESFAS作動投票モジュールを提供含む。

0012

前の局面のうちのいずれかと組合せ可能な第13の局面において、複数の機能的に独立したモジュールは、特定のESFコンポーネントに専用の複数のモジュールの全ての他のモジュールから切り離してESFAS作動を論理的に決定する。

0013

前の局面のうちのいずれかと組合せ可能な第14の局面において、複数の機能的に独立したモジュールは、複数の安全機能モジュールを含む。
前の局面のうちのいずれかと組合せ可能な第2の局面において、複数の機能的に独立したモジュールは、複数の通信モジュールを含む。

0014

前の局面のうちのいずれかと組合せ可能な第15の局面において、複数の機能的に独立したモジュールは、複数の機器インタフェースモジュールを含む。
前の局面のうちのいずれかと組合せ可能な第16の局面において、複数の機能的に独立したモジュールは、単一階投票スキームにおいて原子炉トリップを論理的に決定する。

0015

前の局面のうちのいずれかと組合せ可能な第17の局面において、複数の機能的に独立したモジュールは、複数階層投票スキームにおいて原子炉トリップを論理的に決定する。
前の局面のうちのいずれかと組合せ可能な第18の局面において、複数階層投票スキームは2階層投票スキームを含む。

0016

前の局面のうちのいずれかと組合せ可能な第19の局面において、2階層投票スキームの第1の階層は、多数決投票スキームを含む。
前の局面のうちのいずれかと組合せ可能な第20の局面において、多数決投票スキームは、3分の2投票スキームを含む。

0017

前の局面のうちのいずれかと組合せ可能な第21の局面において、2階層投票スキームの第2の階層は、非多数決投票スキームを含む。
前の局面のうちのいずれかと組合せ可能な第22の局面において、第2の階層は、4分
の2投票スキームを含む。

0018

本開示に係る別の全体的な実装形態において、原子炉トリップを決定するための方法は、工学的安全施設作動システム(ESFAS)又は原子炉トリップシステム(RTS)のうちの一方から、原子炉保護システムの複数の機能的に独立したモジュールにおいて複数の入力を受信することと、複数の機能的に独立したモジュールによって、少なくとも部分的に複数の入力に基づいて、ESFAS安全動作又は原子炉トリップの決定のうちの一方を論理的に決定することと、論理的な決定に基づいて、複数の機能的に独立したモジュールに通信可能に接続されたESFASコンポーネントアクチュエータ又は原子炉トリップ遮断器のうちの一方を作動させることとを含む。

0019

全体的な実装形態と組合せ可能な第1の局面は、更に、複数の機能的に独立したモジュールのうちの1つによって、複数の機能的に独立したモジュールのうちのいずれかの他のモジュールに対する単一の故障伝搬を制限することを含む。

0020

前の局面のうちのいずれかと組合せ可能な第2の局面において、単一の故障は、単一のハードウェア故障、単一のソフトウェア故障、又は単一のソフトウェア生成論理故障のうちの少なくとも1つを含む。

0021

前の局面のうちのいずれかと組合せ可能な第3の局面において、複数の機能的に独立したモジュールによって、少なくとも部分的に入力に基づいて、ESFAS安全動作又は原子炉トリップの決定の一方を論理的に決定することは、複数の機能的に独立したモジュールによって、3重冗長化信号経路を通してESFAS安全動作又は原子炉トリップの決定を論理的に決定することを含む。

0022

前の局面のうちのいずれかと組合せ可能な第4の局面において、複数の機能的に独立したモジュールは、冗長RTS投票部又は冗長ESFAS投票部のうちの少なくとも一方を提供する。

0023

前の局面のうちのいずれかと組合せ可能な第5の局面において、複数の機能的に独立したモジュールによって、少なくとも部分的に入力に基づいて、ESFAS安全動作又は原子炉トリップの決定の一方を論理的に決定することは、複数の機能的に独立したモジュールによって、原子炉トリップコンポーネント毎の複数の独立したトリップ投票モジュールを通してESFAS安全動作又は原子炉トリップの決定を論理的に決定することを含む。

0024

前の局面のうちのいずれかと組合せ可能な第6の局面において、複数の機能的に独立したモジュールによって、少なくとも部分的に入力に基づいて、ESFAS安全動作又は原子炉トリップの決定の一方を論理的に決定することは、複数の機能的に独立したモジュールのうちの特定のモジュールによって、複数のモジュールの全ての他のモジュールから切り離してESFAS安全動作又は原子炉トリップの決定を論理的に決定することを含む。

0025

前の局面のうちいずれかと組合せ可能な第7の局面において、複数の機能的に独立したモジュールは、ESFコンポーネント毎の複数の独立したESFAS作動投票モジュールを含み、方法は、更に、複数の機能的に独立したモジュールの特定のモジュールによって、特定のESFコンポーネントに専用の複数のモジュールの全ての他のモジュールから切り離してESFAS作動を論理的に決定することを含む。

0026

前の局面のうちのいずれかと組合せ可能な第8の局面において、複数の機能的に独立したモジュールは、複数の安全機能モジュール、複数の通信モジュール、及び複数の機器インタフェースモジュールを含む。

0027

前の局面のうちのいずれかと組合せ可能な第9の局面において、複数の機能的に独立したモジュールによって、少なくとも部分的に入力に基づいて、ESFAS安全動作又は原子炉トリップの決定のうちの一方を論理的に決定することは、複数の機能的に独立したモジュールによって、単一階層投票スキームにおいてESFAS安全動作又は原子炉トリップの決定を論理的に決定することを含む。

0028

前の局面のうちのいずれかと組合せ可能な第10の局面において、複数の機能的に独立したモジュールによって、少なくとも部分的に入力に基づいて、ESFAS安全動作又は原子炉トリップの決定のうちの一方を論理的に決定することは、複数の機能的に独立したモジュールによって、複数階層投票スキームにおいてESFAS安全動作又は原子炉トリップの決定を論理的に決定することを含む。

0029

前の局面のうちのいずれかと組合せ可能な第11の局面において、複数階層投票スキームは2階層投票スキームを含む。
前の局面のうちのいずれかと組合せ可能な第12の局面において、2階層投票スキームの第1の階層は、多数決投票スキームを含む。

0030

前の局面のうちのいずれかと組合せ可能な第13の局面において、多数決投票スキームは、3分の2投票スキームを含む。
前の局面のうちのいずれかと組合せ可能な第14の局面において、2階層投票スキームの第2の階層は、非多数決投票スキームを含む。

0031

前の局面のうちのいずれかと組合せ可能な第15の局面において、第2の階層は、4分の2投票スキームを含む。
本開示に係る別の全体的な実装形態において、原子炉保護システムは、単一のモジュールへの単一の故障の移行を制限する複数の機能的に独立したモジュールを含む。

0032

本開示に係る別の全体的な実装形態において、原子炉保護システムは、3つの型のモジュールだけを含み、それにより、作業ラインで交換可能なユニットの数を最小化する、複数の機能的に独立したモジュールを含む。

0033

本開示に係る別の全体的な実装形態において、原子炉保護システムは、データバスを通ってデータが通過するスケジュールを決定する通信モジュールを含む複数の機能的に独立したモジュールを含む。

0034

本開示に係る別の全体的な実装形態において、原子炉保護システムは、システムアーキテクチャを規定する原子炉トリップシステムを含み、そのシステムアーキテクチャでは、例えば事故監視機能ではなく、安全機能に排他的に関連する経路を通って、データが原子炉トリップシステムから制御室に送信される。

0035

本開示に係る別の全体的な実装形態において、原子炉保護システムは、複数の機能的に独立したモジュールを含み、複数の機能的に独立したモジュールの各々は、システムにおける複数の原子炉トリップ遮断器の間で特定の原子炉トリップ遮断器に専用である。

0036

本開示に係る別の全体的な実装形態において、原子炉保護システムは、複数の機能的に独立したモジュールを含み、複数の機能的に独立したモジュールの各々は、他のモジュールの全てと完全に独立に、原子炉トリップ/トリップなし決定又はESFAS作動/作動なし決定を行う。

0037

本開示に係る別の全体的な実装形態において、原子炉保護システムは、複数の機能的に独立したモジュールを含み、複数の機能的に独立したモジュールの各々は、システムにおける複数のESFAS機器アクチュエータの間で特定のESFAS機器アクチュエータに専用である。

0038

本開示に係る別の全体的な実装形態において、原子炉保護装置は、原子炉安全システムから複数の入力を受信し、少なくとも部分的に複数の入力に基づいて、安全動作を論理的に決定するための手段と、少なくとも部分的に複数の入力に基づいて、安全動作決定を受信するための手段とを含む。

0039

全体的な実装形態と組合せ可能な第1の局面において、安全動作決定を受信するための手段は、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段に通信可能に接続される。

0040

前の局面のうちのいずれかと組合せ可能な第2の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、装置内の単一の故障伝搬に対する保護を提供する。

0041

前の局面のうちのいずれかと組合せ可能な第3の局面において、原子炉安全システムは、工学的安全施設作動システム(ESFAS)を備え、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、複数のESFAS入力を受信し、少なくとも部分的にESFAS入力に基づいて、ESFASコンポーネント作動を論理的に決定する。

0042

前の局面のうちのいずれかと組合せ可能な第4の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、冗長ESFAS投票部を提供する。

0043

前の局面のうちのいずれかと組合せ可能な第5の局面において、原子炉安全システムは、原子炉トリップシステム(RTS)を備え、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、複数のRTS入力を受信し、少なくとも部分的にRTS入力に基づいて、RTSコンポーネント作動を論理的に決定する。

0044

前の局面のうちのいずれかと組合せ可能な第6の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、冗長RTS投票区分を備える。

0045

前の局面のうちのいずれかと組合せ可能な第7の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、装置内の単一のハードウェア故障伝搬に対する保護を提供する。

0046

前の局面のうちのいずれかと組合せ可能な第8の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、装置内の単一のソフトウェア故障伝搬に対する保護を提供する。

0047

前の局面のうちのいずれかと組合せ可能な第9の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、装置内の単一のソフトウェア生成論理故障伝搬に対する保護を提供する。

0048

前の局面のうちのいずれかと組合せ可能な第10の局面において、原子炉安全システム
から複数の入力を受信し、安全動作を論理的に決定するための手段は、原子炉トリップ検知及び決定の3重冗長信号経路を備える。

0049

前の局面のうちのいずれかと組合せ可能な第11の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、原子炉トリップコンポーネント毎に複数の独立したトリップ投票モジュールを備える。

0050

前の局面のうちのいずれかと組合せ可能な第12の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、特定の原子炉トリップコンポーネントについて原子炉トリップを独立して決定する。

0051

前の局面のうちのいずれかと組合せ可能な第13の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、ESFコンポーネント毎に複数の独立したESFAS作動投票モジュールを備える。

0052

前の局面のうちのいずれかと組合せ可能な第14の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、特定のESFコンポーネントについてESFAS作動を独立して決定する。

0053

前の局面のうちのいずれかと組合せ可能な第15の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、複数の安全機能モジュールを備える。

0054

前の局面のうちのいずれかと組合せ可能な第16の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、複数の通信モジュールを備える。

0055

前の局面のうちのいずれかと組合せ可能な第17の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、複数の機器インタフェースモジュールを備える。

0056

前の局面のうちのいずれかと組合せ可能な第18の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、単一階層投票スキームにおいて原子炉トリップを論理的に決定する。

0057

前の局面のうちのいずれかと組合せ可能な第19の局面において、原子炉安全システムから複数の入力を受信し、安全動作を論理的に決定するための手段は、複数階層投票スキームにおいて原子炉トリップを論理的に決定する。

0058

前の局面のうちのいずれかと組合せ可能な第20の局面において、複数階層投票スキームは2階層投票スキームを備える。
前の局面のうちのいずれかと組合せ可能な第21の局面において、2階層投票スキームの第1の階層は、多数決投票スキームを備える。

0059

前の局面のうちのいずれかと組合せ可能な第22の局面において、多数決投票スキームは、3分の2投票スキームを備える。
前の局面のうちのいずれかと組合せ可能な第23の局面において、2階層投票スキームの第2の階層は、非多数決投票スキームを備える。

0060

前の局面のうちのいずれかと組合せ可能な第24の局面において、第2の階層は、4分
の2投票スキームを備える。
本開示に係る原子炉保護システムの種々の実装形態は、以下の特徴の1つ、幾つか、又は全てを含み得る。例えば、原子炉保護システムは、システムにおける安全機能を無効化および/又は不能化し得るソフトウェア又はソフトウェア生成論理エラーによって引き起こされる共通原因故障CCF)を緩和し得る。別の例として、原子炉保護システムは、独立性冗長性決定論多層多様性試験可能性、及び診断を含む主要属性を組み込んでもよい。原子炉保護システムは、原子炉が安全状態で維持されることを保証し得る。別の例として、原子炉保護システムは、特定の機能に専用の個々の論理エンジン実装される機能性を有する対称アーキテクチャを通して増加した簡素性を有してもよい。更に別の例として、原子炉保護システムは、単純な決定論的プロトコルに基づく、かつ冗長経路を介して通信される、アーキテクチャ内での通信を容易にし得る。

0061

本明細書で述べる主題の1つ又は複数の実装形態の詳細は、添付図面及び以下の説明において述べられる。本主題の他の特徴、局面、及び利点は、説明、図面、及び請求項から明らかになるであろう。

図面の簡単な説明

0062

複数の原子力システムと、計装及び制御(I&C)システムとを含むシステムの例示的な実装形態のブロック図を図示している。
原子力システム用のI&Cシステムのモジュール保護システム(MPS)のブロック図を図示している。
原子力システム用のI&Cシステムのモジュール保護システム(MPS)のブロック図を図示している。
原子力システムのためのI&CシステムのMPSのトリップ決定ブロックのブロック図を図示している。
原子力システムのためのI&CシステムのMPSの工学的安全施設作動システム(ESFAS)のブロック図を図示している。
I&Cシステムがその意図する安全機能を実行することができることを保証する、MPS内のソフトウェア又はソフトウェア論理ベース共通原因故障を緩和する多層化多様性戦略を図示する例示的なチャートを図示している。
原子力システムのためのI&CシステムのMPSの安全機能モジュール(SFM)のブロック図を図示している。
原子力システムのためのI&CシステムのMPSの通信モジュール(CM)のブロック図を図示している。
原子力システムのためのI&CシステムのMPSの機器インタフェースモジュール(EIM)のブロック図を図示している。
1つ又は複数のSFM、EIM、及びCMを通信可能に接続する原子炉保護システムの筐体の例示的な実施形態を図示している。
SFM、CM、及びEIMの1つ又は複数を利用する、トリップ決定レベル相互接続、RTSレベル相互接続、及びESFASレベル相互接続のブロック図を図示している。
SFM、CM、及びEIMの1つ又は複数を利用する、トリップ決定レベル相互接続、RTSレベル相互接続、及びESFASレベル相互接続のブロック図を図示している。
SFM、CM、及びEIMの1つ又は複数を利用する、トリップ決定レベル相互接続、RTSレベル相互接続、及びESFASレベル相互接続のブロック図を図示している。
原子力システムのためのI&CシステムのMPSのための多様性分析ダイアグラムを図示している。
防護の4つの階層へのMPSブロックの例示的な分離のブロック図を図示している。

実施例

0063

[詳細な説明]
図1は、複数の原子力システム150と、原子炉計装及び制御(I&C)システム135とを含むシステム100の例示的な実装形態を図示している。一般的に、I&Cシステム135は、自動始動信号、自動及び手動制御信号、並びに監視及び指示ディスプレイを提供して、システム100における故障状態の結果を防止又は緩和する。I&Cシステム135は、正常な原子炉制御と、定常状態及び過渡的電力運転中に原子力システム150の安全でない原子炉運転に対しての保護とを提供する。正常運転中、計装は、種々のプロセスパラメータを測定し、その信号をI&Cシステム135の制御システムに送信する。異常運転及び事故状態中、計装は、信号をI&Cシステム135の複数の部分(モジュール保護システム(MPS)145の部分である、例えば(例えば、事故の影響を緩和するための)原子炉トリップシステム(RTS)147及び工学的安全施設作動システム(ESFAS)148)に送信して、所定の設定点に基づいて保護動作を始動する。

0064

図1において、システム100は、I&Cシステム135に電気的に接続される複数の原子力システム150を含む。3つの原子力システム150だけがこの例では示されるが、システム100内に含まれるか又はシステム100に接続されるより少ないか又はより多い(例えば、6、9、12、又はその他の数の)システム150が存在してもよい。1つの好ましい実装形態において、システム100内に含まれる12の原子力システム150が存在してもよく、原子力システム150の1つ又は複数は、以下で更に述べるように、モジュール式軽水炉を含む。

0065

各原子力システム150に関して、また、明示的に示されないが、原子炉炉心は熱を提供することができ、その熱が利用されて、(例えば、沸騰水型原子炉の場合と同様に)1次冷却ループ内で又は(例えば、加圧水型原子炉の場合と同様に)2次冷却ループ内で水を沸騰させる。例えば蒸気等の気化した冷却剤が使用されて、1つ又は複数のタービンを駆動してもよく、タービンは熱ポテンシャルエネルギー電気エネルギーに変換する。凝縮された後、冷却剤は、その後、戻されて、原子炉炉心からより多くの熱エネルギーを再び除去する。原子力システム150は、システム内の故障に関連する危険を最小にするため監視及び保護機能を必要とする任意のシステムの一例である。

0066

原子炉システム150の特定の例示的な実装形態において、炉心は、円柱状又はカプセル状原子炉容器の底部に配置される。炉心は、おそらく数年以上の期間にわたって起こり得る制御された反応を生成する或る量の核分裂性物質を含む。図1に明示的に示さないが、制御棒が使用されて、炉心内核分裂速度を制御してもよい。制御棒は、銀、インジウムカドミウムホウ素、コバルトハフニウムジスプロシウムガドリニウムサマリウムエルビウム、及びユーロピウム、又はそれらの合金及び化合物を含み得る。しかしながら、これらは、多くの考えられる制御棒材料のうちの少数に過ぎない。受動的運転システムを有するように設計される原子炉では、正常運転中に又はたとえ緊急状態においても、オペレータ介入又は監督なしで、少なくとも予め規定された或る期間の間、原子炉の安全運転が維持されることを保証するのに物理法則が利用される。

0067

複数の実装形態において、円筒状又はカプセル状の格納容器は、原子炉容器を囲み、原子炉ベイ内で、例えば水線未満等、原子炉プール内に部分的に又は完全に浸漬される。原子炉容器と格納容器との間の容積は、部分的に又は完全に真空排気されて、原子炉容器から原子炉プールへの熱伝達を低減する。しかしながら、他の実装形態において、原子炉容器と格納容器との間の容積を、原子炉と格納容器との間の熱伝達を増加させる気体及び/又は液体で少なくとも部分的に充填してもよい。格納容器は、原子炉ベイのベースのスカ
ート上に載ってもよい。

0068

特定の実装形態において、炉心は、ホウ素又は他の添加剤を含み得る、例えば水等の液体内に浸漬され、この液体は、炉心の表面と接触した後にチャネル内を上昇する。冷却剤は、熱交換器の上部にわたって移動し、原子炉容器の内壁に沿って、対流によって下方に引かれ、ひいては、冷却剤が熱を熱交換器に与える。原子炉容器の底部に達した後、炉心との接触は、冷却剤を加熱することをもたらし、冷却剤は、再びチャネルを通って上昇する。

0069

原子炉容器内の熱交換器は、チャネルの少なくとも一部分に巻付く任意の数の螺旋コイルを表し得る。別の実装形態において、異なる数の螺旋コイルが、対向する方向にチャネルに巻付いてもよく、例えば、第1の螺旋コイルが反時計方向螺旋状に巻付く一方、第2の螺旋コイルが時計方向に螺旋状に巻付く。しかしながら、異なるように構成された、及び/又は異なるように配向された熱交換器の使用を何ものも妨げず、実装形態は、この点に関して制限されない。

0070

図1において、原子炉モジュールの正常運転は、加熱された冷却剤がチャネルを通って上昇し、熱交換器と接触するように進む。熱交換器と接触した後、冷却剤は、吸熱プロセスを誘起する方法で原子炉容器の底部に向かって沈む。図1の例において、原子炉容器内の冷却剤は、大気圧を超える圧力のままであり、ひいては、冷却剤が、気化する(例えば、沸騰する)ことなく高温を維持することを可能にする。

0071

熱交換器内の冷却剤の温度が上がるにつれて、冷却剤は沸騰を始め得る。熱交換器内の冷却剤が沸騰し始めると、例えば蒸気等の気化した冷却剤を1つ又は複数のタービンを駆動するのに使用することができ、タービンは、蒸気の熱ポテンシャルエネルギーを電気エネルギーに変換する。凝縮された後、冷却剤は、熱交換器のベースの近くの場所に戻される。

0072

図1の原子力システム150の正常運転中、原子力システムの種々の性能パラメータを、原子力システム150内の種々の場所に配置された、例えばI&Cシステム135といったセンサによって監視してもよい。原子力システム内のセンサは、システム温度システム圧力、1次及び/又は2次冷却剤ベル、及び中性子束を測定してもよい。これらの測定値を示す信号を、原子力システムの外部で通信チャネルによってI&Cシステム135のインタフェースパネルレポートしてもよい。

0073

図示されたI&Cシステム135は、一般的に、主制御室140、モジュール(又は原子炉)保護システム(MPS)145、及び非安全モジュール制御システム(MCS)155を含む。主制御室140は、各原子力システム150のための制御装置及び計器のセット141を含む。制御装置及び計器の各セット141は、手動1E制御装置142、1E計器143、並びに非1E制御装置及び計器144を含む。幾つかの局面において、「1E」は、例えば原子力規制委員会規制ガイド1.32によって承認されたIEE規格308?2001のセクション3.7における1Eスキームを規定する要件等のような規
制要件を指すことができ、1Eスキームは、緊急原子炉停止、格納容器隔離、炉心冷却、及び、格納容器及び原子炉の熱除去にとって必須の、又は別途、環境内への放射性物質の著しい放出を防止するときに必須の、電気機器及びシステムの安全性分類を規定する。通常、或る制御装置及び計器(例えば、手動1E制御装置142及び1E計器143)は「1E」適格であってもよく、一方、他の制御装置及び計器(例えば、非1E制御装置及び計器144)は「1E」適格でなくてもよい。

0074

非1E制御装置及び計器144は、MCS155と双方向通信状態にある。MCS15
5は、原子力システム150の非安全部分の制御及び監視を提供してもよい。一般的に、MCS155は、運転上の過渡状態を抑制して、ユニットトリップを防止し、運転の中でもとりわけ定常状態ユニット運転を再確立する。

0075

MPS145は、図1に示すように、手動1E制御装置142及び1E計器143とそれぞれ一方向通信状態にある。MPS145は、一般的に、安全動作を始動して、設計基準事象の結果を緩和する。MPS145は、一般的に、原子炉停止を始動するために必要とされる、センサから最終的な作動デバイス電力源、センサ、信号調節器始動回路、論理、バイパス制御ボード、相互接続部、及び作動デバイス)までの(ハードウェア、ソフトウェア、及びファームウェアを含む)全ての機器を含む。

0076

MPS145は、RTS147及びESFAS148を含む。RTS147は、幾つかの局面において、原子炉トリップを生成するために利用され得るプラントパラメータを監視するため、独立した測定チャネルを有する4つの独立した分離グループ(例えば、同じクラス−1E電気チャネル指定(A、B、C、又はD)を有するプロセスチャネル物理的分類であって、別個でかつ独立した給電部及びプロセス計装送信機が設けられ、また、そのグループのそれぞれが、他のグループと物理的にかつ電気的に独立している、プロセスチャネルの物理的分類)を含む。各測定チャネルは、パラメータが所定の設定点を超えるとトリップする。RTS147の一致論理は、どの単一の故障も、必要とされるときに原子炉トリップを妨げる可能性がなく、かつ、単一の測定チャネルにおけるどの故障も、不必要な原子炉トリップを生成する可能性がないように設計されてもよい。

0077

ESFAS148は、幾つかの局面において、独立した測定チャネルを有する4つの独立した分離グループを含み、独立した測定チャネルはプラントパラメータを監視し、プラントパラメータは、工学的安全施設(ESF)機器の運転を起動するのに使用され得る。各測定チャネルは、パラメータが所定の設定点を超えるとトリップする。ESFAS148の一致論理は、どの単一の故障も、必要とされるときに保障措置作動を妨げる可能性がなく、かつ、単一の測定チャネルにおけるどの単一の故障も、不必要なセーフガード作動を生成する可能性がないように設計されてもよい。

0078

システム100は、NUREG/CR−6303に規定されるように、防護の4つの階層、例えば、原子炉を運転するため、又は、原子炉を停止し原子炉を冷却するために原子炉に取り付けられた計装及び制御システムの配置構成に対する深層防護の原理の特定の適用を含んでもよい。特に、4つの階層は、制御システム、原子炉トリップ又はスクラムシステム、ESFAS、及び、監視及び計器システム(例えば、最も遅くかつ最も柔軟性のある防護の階層であって、他の3つの階層に名目的に割り当てられる機器を運転するために必要とされる、クラス1Eと非クラス1Eとの双方の手動制御装置モニター、及び計器を含む、防護の階層)である。

0079

制御システム階層は、通常、MCS155(例えば、非クラス1E手動又は自動制御機器)を含み、MCS155は、安全でない運転レジームに向かう原子炉暴走を定期的に防止し、また、一般的に、原子炉を安全発電運転領域内で運転するのに使用される。計器、アナンシエータ、及びアラームは、制御階層に含まれてもよい。原子炉制御システムは、通常、特定の規則及び/又は要求、例えば、遠隔停止パネルのための要求を満たす何らかの機器を含む。制御システム階層によって実行される原子炉制御機能はMCS155に含まれる。MCS155は、例えば、運転限界内でシステム100を維持して、原子炉トリップ又はESF作動についての必要性を回避する機能を含む。

0080

原子炉トリップシステム階層は、通常、RTS147、例えば、制御されない暴走に応答して炉心反応を急速に低減するように設計された安全機器を含む。この階層は、通常、
潜在的な又は実際の暴走を検出するための計装、原子炉制御棒を急速にかつ完全に挿入するための機器及びプロセスからなり、また同様に、或る化学的中性子減速システム(例えば、ホウ素注入)を含んでもよい。図示されるように、原子炉トリップ階層によって実行される自動原子炉トリップ機能は、MPS145に(例えば、RTS147に)含まれる。

0081

ESFAS階層は、通常、MPS145の一部であるESFASモジュール148を含む。ESFASモジュール148内に実装されるESFAS階層は、通常、熱を除去するか又はそうでなければ放射性物質放出に対する3つの物理的障壁(例えば、原子炉燃料棒被覆管、原子炉容器、及び原子炉格納)の完全性を維持するのを補助する安全機器を含む。この階層は、例えば緊急時原子炉冷却、圧力逃がし又は減圧、隔離、及び、ESF機器が運転するために必要とされる種々の支持システム(例えば、緊急時発電機)又はデバイス(弁、モータポンプ)の制御といった機能等についての必要性を検出し、それを実行する。

0082

監視及び計器システム階層は、通常、主制御室140を含み、また、幾つかの局面において、最も遅くまた同様に最も柔軟性がある防護の階層である。他の3つの階層のように、(例えば、システム100の)人間オペレータは、自分のタスクを実行するために正確なセンサ情報に依存するが、情報、時間、及び手段が与えられると、予期しない事象に反応するため、前もって指定されていない論理的演算を実行できる。監視及び指示階層は、他の3つの階層に(例えば、手動1E制御装置142、1E計器143、及び非1E制御装置及び計器144を通して)名目上割り当てられた機器を運転するために必要とされるクラス1E及び非クラス1E制御装置、モニター、及び計器を含む。監視及び計器システム階層によって要求される機能は、主制御室内の手動制御装置、ディスプレイ、及び計器によって提供され、MCS155及びMPS145からの情報を含む。安全監視、手動原子炉トリップ、及び手動EFS作動機能はMPS145に含まれる。MCS155は、非安全監視及び手動制御を提供して、正常プラント運転中に運転限界を維持する。

0083

防護の4つの階層を含むことに加えて、システム100は、複数レベルの多様性を含む。特に、I&C多様性は、異なる技術、論理、又はアルゴリズムを使用して変数を測定するか又は作動手段を提供するという原理であり、想定プラント状態に対応する多様な方法を提供する。ここで、多様性は、異なる技術、論理、又はアルゴリズムを使用して異なるパラメータを検知する計装システム、又は、作動手段の原理に適用されて、重大事象を検出し、重大事象に応答する幾つかの方法を提供する。多様性は、深層防護の原理に相補的であり、特定のレベル又は深度の防護が、必要とされるときに作動されることになる機会を増加させる。一般的に、6つの多様性の属性、すなわち、人間多様性、設計多様性、ソフトウェア多様性、機能多様性、信号多様性、及び機器多様性が存在する。本開示でより詳細に論じるように、MPS145は、MPS145における共通原因故障(例えば、ハードウェアアーキテクチャによって達成される冗長性を無効にし得るソフトウェアエラー又はソフトウェア生成論理によって引き起こされる故障)の影響を緩和するために、6つの多様性の属性を組み込んでもよい。

0084

一般的に、人間多様性は、システム開発ライフサイクル全体にわたる人間生成の過失(例えば、誤り、誤解釈エラー、構成失敗)に対処することに関連し、また、ライフサイクルプロセスの実行における不同性を特徴とする。

0085

一般的に、設計多様性は、同じか又は類似の問題を解決するための、ソフトウェア及びハードウェアを含む異なるアプローチの使用である。ソフトウェア多様性は、設計多様性の特別な場合であり、その考えられる重要性及びその考えられる欠点のために別々に述べられる。設計多様性についての理論的解釈は、異なる設計が異なる故障モードを有し、同
じ共通影響を受けないことである。

0086

一般的に、ソフトウェア多様性は、例えば、原子炉がいつトリップされるべきかを決定するための2つの別々に設計されたプログラムを使用して、同じ安全目標を達成するための、異なる主要職員を有する異なるソフトウェア開発グループによって設計され、実装される異なるソフトウェアプログラムの使用である。

0087

一般的に、機能多様性は、異なる物理的又は論理的機能を実行する2つのシステム(例えば、システム100内のサブシステム)を指すが、2つのシステムは、オーバラップする安全効果を有してもよい。

0088

一般的に、信号多様性は、保護動作を始動する異なるプロセスパラメータの使用であり、保護動作において、そのパラメータのうちのいずれも、他のパラメータが正しく検出されない場合でも、異常状態を独立して示し得る。

0089

一般的に、機器多様性は、類似の安全機能(例えば、必要とされる全ての保護動作をRTS又はESFが完了することか、必要とされる全ての保護動作を補助的に支持する機能が完了することか、又は両方によって達成され得る、設計基準事象について確立された許容限度内にプラントパラメータを維持するのに必須のプロセス又は条件のうちの1つ)を実行するための異なる機器の使用である。この場合、「異なる」は、共通原因故障に対する脆弱性を著しく減少させるほどに十分に違っていることを意味してもよい。

0090

幾つかの局面において、MPS145は、連続的な(又は部分的に連続的な)自己試験及び定期的な監視試験の組合せを組み込んでもよい。こうした試験戦略は、検出可能な全ての故障が特定され、(例えば、主制御室140を通して)ステーション職員に通知されることを保証し得る。自己試験機能は、システム状態が連続的に(又は部分的に)監視されることを保証する包括的診断システムを提供してもよい。検出可能な全ての故障は、ステーション職員に通知されてもよく、故障の影響の指示が提供されて、システムの全体の状態を判定してもよい。自己試験機能は、分離グループ及び分割の独立性を維持する。自己試験機能は、システムの完全性が常に維持されることを保証する。

0091

幾つかの局面において、(以下でより詳細に述べる)MPS145内の各サブモジュールは、モジュール内の単一の故障を検出するように設計された高い故障検出範囲を提供する自己試験機能を含んでもよい。これは、故障を検出するのに必要とされる時間を最小にすることができ、安全及びシステム可用性に対する利益を提供する。システムが正常運転中であるとき、自己試験は、例えば応答時間等の安全機能の性能に影響を及ぼすことなく進む。

0092

自己試験機能は、アクティブ論理及び非アクティブ論理(例えば、安全機能が作動することを必要とされるときだけにアクティブとなる論理)の双方においてほとんどの故障を検出することが可能であり、未検出故障を有することを回避し得る。故障検出及び指示は、MPSサブモジュールレベルにおいて起こり、プラント職員が、置換される必要があるMPSサブモジュールを容易に特定することを可能にする。

0093

周期オンライン監視試験能力が組み込まれて、全ての機能試験及びチェック較正検証、並びに時間応答測定が検証されることを保証してもよい。周期的監視試験はまた、継続的自己試験機能を検証する。

0094

MPS145内の自己試験及び周期的監視試験機能は、全てのプラント運転モードについて実行される安全機能に相応する稼働中試験可能性のために設計されてもよい。性能自
己試験及び監視試験は、暫定試験セットアップを全く必要としない。試験機能は、システムの設計に固有であってもよく、安全機能論理及びデータ構造に最小の複雑さを付加してもよい。バイパス条件の継続的指示は、(1)プラントの正常運転中に自己試験によってフォールトが検出される場合、又は、(2)安全機能の或る部分が、バイパスされるか、又は、試験について故意に運転不能にされる場合に行われる。バイパス条件が取り除かれると、バイパスの指示が除去される。これは、バイパスされた安全機能がサービスに適切に戻されたことをプラント職員が確認できることを保証し得る。

0095

MPS145についての診断データは、各分離グループ及び分割についてメンテナンスワークステーション(MWS)に提供される。MWSは、機器に接近して配置されて、トラブルシューティング活動を容易にしてもよい。MPSとMWSとの間のインタフェースは、光学的に絶縁された一方向診断インタフェースであってもよい。全ての診断データは、物理的に離れた通信経路によって通信されてもよく、診断機能が安全機能と独立であることを保証し得る。更に、診断データを、長期格納のために、中央ヒストリアンに送信され得る。これは、システム運転履歴分析を実行する手段を提供する。

0096

診断システムは、設置されたモジュールのリストを維持してもよい。リストは、システム内でアクティブである設置されたモジュールと継続的に比較されて、モジュールの欠如又は正しくないモジュールが設置されることを予防してもよい。

0097

全てのMPS安全データ通信は、データ完全性を高めるためにエラー検出を有するように設計されてもよい。プロトコル機能は、通信が、送信故障を検出する能力によってロバストでかつ信頼性があることを保証する。類似のデータ完全性機能が使用されて、診断データを転送してもよい。

0098

図2A〜2Bは、原子力システム150のためのI&Cシステムのモジュール保護システム(MPS)200のブロック図を図示している。幾つかの実装形態において、MPS200は、図1に示されたMPS145に類似するか又はそれと同一であってもよい。一般的に、図示されたMPS200は、センサ及び検出器の4つの分離グループ(例えば、センサ202a〜202d)、信号調節及び信号調節器の4つの分離グループ(例えば、信号調節器204a〜204d)、トリップ決定の4つの分離グループ(例えば、トリップ決定208a〜208d)、RTS投票及び原子炉トリップ遮断器の2つの区分(例えば、区分I RTS投票214及び区分II RTS投票216)、及び、工学的安全施設作動システム(ESFAS)投票及び工学的安全施設(ESF)機器の2つの区分(例えば、区分I ESFAS投票212及びESF機器224並びに区分II ESFAS投票218及びESF機器226)を含む。

0099

一般的に、センサ202a〜202dは、例えば圧力、温度、レベル、及び中性子束等の異なるプロセスパラメータを測定することを担当するプロセスセンサを含む。そのため、原子力システム150の各プロセスパラメータは、異なるセンサを使用して測定され、異なる論理エンジンによって実行される異なるアルゴリズムによって処理される。幾つかの局面において、中性子束センサは、フルパワーの120パーセントまでの停止条件による、炉心からの中性子束を測定することを担当する。ソース範囲、中間範囲、及びパワー範囲を含む、3つの型の中性子束センサを、MPS200内で使用してもよい。

0100

一般的に、信号調節器204a〜204dは、センサ202a〜202dから測定値を受信し、測定値を処理し、出力206a〜206dを提供する。幾つかの局面において、信号調節器204a〜204dに対するセンサ202a〜202dの相互接続部は、専用銅線又は何らかの他の信号送信方法であってもよい。

0101

信号調節器204a〜204dはそれぞれ、(例えば、センサ入力の数に応じて任意の数のモジュールを示す)図3Aに示された複数の入力モジュール270a〜270nからなってもよく、入力モジュール270a〜270nは、センサ202a〜202dからのフィールド入力を調節し、測定し、フィルタリングし、サンプリングすることを担う。各入力モジュール270a〜270nは、例えば24V又は48Vデジタル入力、4〜20mAアナログ入力、0〜10Vアナログ入力、抵抗熱検出器入力、又は熱電対入力等の特定の入力型に専用であってもよい。

0102

各入力モジュール270a〜270nは、アナログ回路及びデジタル回路からなってもよい。アナログ回路は、アナログ電圧又はアナログ電流デジタル表現に変換することを担う。アナログ回路は信号調節回路構成とも称される。各入力モジュール270a〜270nのデジタル部分を、論理エンジン内に配置してもよい。論理エンジンは、全入力モジュール制御、サンプル及びホールドフィルタリング、完全性チェック、自己試験、及びデジタルフィルタリング機能を実行する。センサ出力のデジタル表現は、幾つかの例ではシリアルインタフェースを使用して、出力206a〜206dを通して信号調節器204a〜204dからトリップ決定208a〜208dまで通信される。

0103

同様に図3Aを参照すると、トリップ決定208a〜208dは、一般的に、上述したように、信号調節器204a〜204dからシリアルインタフェースを介してデジタルフォーマットでセンサ入力値を受信する。トリップ決定208a〜208dはそれぞれ、(図5を参照してより完全に述べる)独立した安全機能モジュール(SFM)272a〜272nからなり、そこで、特定のモジュールが安全機能の1つのセットを実装する(例えば、セットは、特定のプロセスパラメータに関連する単一の安全機能又は複数の安全機能であってもよい)。例えば、安全機能のセットは、例えば同じ圧力入力からの高いトリップ及び低いトリップ等の、主要変数に関連する機能のグループからなってもよい。各SFM272a〜272nは、安全機能の1つのセットを実装することに専用の固有の論理エンジンを含む。これは、安全機能の全ての他のセットと全く異なる安全機能の各セットのゲートレベル実装をもたらす。

0104

センサ入力値(例えば、出力206a〜206d)は、決定論的経路を介して通信されてもよく、各トリップ決定208a〜208d内の特定のSFM272a〜272nに提供される。その後、これらの入力値工学単位に変換されて、どんな安全機能又は安全機能のセットがその特定のSFM272a〜272n上に実装されるかを決定してもよい。トリップ決定208a〜208dは、これらの工学単位値を、幾つかの例では、絶縁された送信のみの光ファイバ接続を介して制御システムに提供する。

0105

各トリップ決定208a〜208dにおけるSFMは、必要である場合、所定の設定点に基づいて原子炉トリップ決定を行い、トリップ要求又はトリップなし要求信号を、絶縁された、また幾つかの事例では3重冗長性があり送信のみのシリアル接続によって各RTS区分(例えば、それぞれ、区分I及びIIのRTS投票214及び216)に提供する。SFMはまた、必要である場合、所定の設定点に基づいてESFAS作動決定を行い、作動要求又は作動しない要求信号を、絶縁された、幾つかの事例では3重冗長性があり送信のみのシリアル接続によって各ESFAS区分(例えば、それぞれ、区分I及びIIのESFAS投票212及び218)に提供する。

0106

図3A〜3Bに示すように、例えば、特定のトリップ決定208aは、トリップ要求又はトリップなし要求信号を、出力274aを通してESFAS投票212に、また、出力274bを通してESFAS投票218に提供する。トリップ決定208aは、トリップ要求又はトリップなし要求信号を、出力276aを通してRTS投票214に、また、出力276bを通してRTS投票216に提供する。これらの出力はまた、それぞれ、トリ
ップ決定208a〜208dからの出力210a〜210dとして、図2Aに全体的に示される。

0107

図3Aに更に示されるように、例えば、特定のトリップ決定208aは、トリップ要求又はトリップなし要求信号を、監視及び指示(M&I)出力278a及び278b(1区分について1つ)並びに非1E出力280に提供する。出力278a及び278bは、非安全制御機能についてプロセス情報をMCSに提供する。出力280は、プロセス情報及びトリップ状態情報を非1E制御装置及び計器144に提供する。

0108

図2Aに戻ると、各RTS区分(例えば、区分IのためのRTS投票214及び区分IIのためのRTS投票216)は、絶縁され、また幾つかの局面では冗長性(例えば、2重、3重、又はその他)がある受信のみのシリアル接続210a〜210dによって、上述したようにトリップ決定208a〜208dから入力を受信する。トリップ入力は、トリップ決定208a〜208dからの2つ以上の原子炉トリップ入力が自動原子炉トリップ出力信号を出力228a〜228d及び230a〜230d上に(各区分について適宜)生成するようにRTS投票論理において組み合せられ、自動原子炉トリップ出力信号は、それぞれの区分に関連する(図2Bに示す)8つの原子炉トリップ遮断器(RTB)のうちの4つについてトリップコイルを作動させる。換言すれば、RTS投票論理は、MPS200のこの例示的な実装形態において、「4分の2」論理に関して働き、原子炉「トリップ」が必要であることを4つのトリップ決定208a〜208dのうちの少なくとも2つが示す場合、トリップ信号がRTB264a〜264d及び266a〜266dのそれぞれに送信されることを意味する。この遮断器構成は、MPS200の安全でかつ簡単なオンライン試験を可能にする。

0109

手動トリップ250aは、(区分Iのための)RTB266a〜266dの直接トリップを提供し、手動トリップ250bは、(区分IIのための)RTB264a〜264dの直接トリップを提供すると共に、自動作動、(区分Iのための)手動トリップ234、及び(区分IIのための)手動トリップ236に入力して、シーケンスが維持されることを保証する。

0110

更に図示されるように、各RTB264a〜264d及び各RTB266a〜266dは、入力として、手動トリップ250a及び250bを含む。そのため、双方の手動トリップ250a及び250b(例えば、区分I及びIIについての各手動トリップ)が始動される場合、電力入力260は、入力230a〜230d及び入力228a〜228dの状態(例えば、トリップ又はトリップなし)によらず、電力出力262に送信されないことになる。

0111

ESFAS投票及び論理は、例示的な実装形態では、どの単一の故障も、必要とされるときにセーフガード作動を妨げる可能性がなく、かつ、トリップ決定信号(例えば、201a〜210d)内のどの単一の故障も、不必要なセーフガード作動を生成する可能性がないように配置される。ESFASシステムは、例えば緊急時炉心冷却システム及び崩壊熱除去システム等のクリティカルシステムの自動始動及び手動始動の双方を提供してもよい。

0112

各ESFAS投票212/218は、入力201a〜210dを、絶縁された3重冗長性があり受信のみの光ファイバ(又は他の通信技法)接続によってトリップ決定208a〜208dから受信する。作動論理及び投票は、ESFAS投票212/218内で起こる。ESFAS投票212/218は、作動が必要であると判定すると、ESFAS投票212/218は、適切なESF機器224及び226を作動させる作動要求信号を、ESFAS優先度論理220/222にそれぞれ送信する。

0113

図2A〜2B及び図3A〜3BにおけるMPS200の図示された実装形態は、主要要素間の高いレベルの独立性を保証する。これは、センサ及び検出器の4つの分離グループ202a〜202d、(「a」〜「d」とラベル付けされる)トリップ決定の4つの分離グループ、RTS214/214の2つの区分(述べた区分I及び区分II)、ESFAS回路構成212/218の2つの区分(述べた区分I及び区分II)、及びESF機器224/226の2つの区分(述べた区分I及び区分II)の間の独立性を含む。(例えば、トリップ決定208a〜208d内の)SFMへの入力に基づいて、MPS200は、4つの分離グループの各々の中に安全機能のセットを独立に実装する。安全機能独立性は、センサ202a〜202dからトリップ決定出力210a〜210dまで維持される。この構成は、幾つかの局面では、SFM故障を、そのモジュールの入力に基づくSFM故障に限定する。この戦略は、共通原因故障の影響を制限し、信号多様性を高めるのに役立ち得る。独立性のこの方法はまた、独立した安全機能内の故障が、他の安全機能モジュールのいずれかに伝搬しないことを保証し得る。更に、故障したSFMのオンライン置換は、もしあれば他のモジュールに対する影響が最小の状態で故障が正される可能性があることを保証する。

0114

図示されたMPS200内での安全機能データの通信は、3重モジュールで冗長性があり独立した光学式絶縁一方向通信経路によって送受信される。この通信スキームは、区分間投票を除いて、安全機能が、その安全機能を達成するため、その区分の外部に起因するあらゆる情報又はリソースにも依存しないことを保証し得る。クラス1E区分(例えば、区分I及びII)間の故障伝搬は、区分トリップ信号の一方向絶縁(例えば、光学式絶縁又はその他)によって防止される。

0115

図2A〜2B及び図3A〜3BにおけるMPS200の図示された実装形態は、図示されたアーキテクチャの複数のエリアにおいて冗長性を更に組み込んでいる。MPS200内の冗長性は、(「a」〜「d」とラベル付けされる)センサ及び検出器の4つの分離グループ、(「a」〜「d」とラベル付けされる)トリップ決定、及びRTS及びESFAS回路構成の2つの区分(述べた区分I及び区分II)を含む。MPS200はまた、原子炉トリップ又はESF機器作動が、必要されるときに起こることを、始動信号の単一の故障が妨げないように4分の2投票を用いる。更に、始動信号の単一の故障は、偽りの又は意図しない原理炉トリップ又はESF機器作動が必要とされないときに、それらをもたらさないことになる。

0116

MPS200はまた、安全機能の各セットを実装することによって機能独立性を組み込み、安全機能の各セットは、独立したSFM上での特定の過渡事象を、安全機能のその特定のセットのための固有の論理エンジンによって緩和するのに使用される。

0117

幾つかの局面において、MPS200は、原子炉システムのために、簡単で信頼性が高く安全な設計を実現する設計技法を実装する。例えば、MPS200は、4つの分離グループ及び2つの区分の対称アーキテクチャに基づいてもよい。4つの分離グループの各々は、他の分離グループと機能的に同等であってもよく、2つの区分の各々は、機能的に同等であってもよい。上述したように、4分の2投票は、図示された実装形態において唯一の投票戦略であってもよい。別の例として、MPS200の論理は、特定の安全機能又は安全機能のグループに専用の有限状態機械(例えば、デジタル論理回路集合体であって、有限数の状態のうちの1つの状態にある可能性があり、一度に、現在状態と称されるただ1つの状態にあるが、例えば状態遷移等のトリガー用の事象又は条件のセットによって始動されると1つの状態から別の状態に変化し得る、デジタル論理回路の集合体)に実装してもよい。そのため、カーネル又はオペレーティングシステムが全く必要とされない。別の例として、MPS200内の通信は、決定論的プロトコルに基づいてもよく、全ての
安全データは、冗長性がある通信経路によって通信される。別の例として、MPS200の多様性属性は、完全に異なるプラットフォームに基づく更なるシステムの更なる複雑さなしで、アーチテクチャに固有であるように設計されてもよい。

0118

例えば、図4A〜4Bは、MPS200内に実装される多層化多様性戦略が、ソフトウェアベース又はソフトウェア論理ベース共通原因故障をどのように緩和するかを図示する例示的なチャート400及び450をそれぞれ図示している。チャート400及び450は、MPS200内に実装される多層化多様性戦略が、MPS(例えばMPS200)内のソフトウェアベース又はソフトウェア論理ベースCCFについての懸念をどのように排除することができるかを図示している。これらの例において、過渡事象は、原子力システムのための給水の喪失である。図示されるように、2つの異なるプロセスパラメータA1及びA2が(例えば、センサ202a〜202dを通して)測定される。A1は、図示されるように温度パラメータである一方、A2は、図示されるように、圧力である。

0119

異なるプロセス測定値A1及びA2は、図示されるように、2つの異なる安全機能アルゴリズム、すなわち、(A1)高温及び(A2)高圧に入力される。2つの安全機能アルゴリズムの各々は、分離グループ内の別個でかつ独立したSFM上に位置する。安全機能アルゴリズムは、MPS200と共に示されるように、4つの分離グループ(A,B,C,D)に分割されるプログラマブルデジタルハードウェアの2つの異なるセット(A/C及びB/D)と、2つの区分とを使用して実装されてもよい。例えば、ここでは、2つの安全機能は、安全機能の単一のセットを備える。(例えば、2つの安全機能アルゴリズムの)各セットは、異なる技術に基づいてもよい。

0120

プログラマブルデジタルハードウェアの各セットは、設計ツールの異なるセットを使用して異なる設計チームによって設計され得るため、設計多様性もまたプロセスによって組み込まれる。一例として、安全機能は、マイクロプロセッサに実装されてもよい。この例において、安全機能は、シーケンシャルな方法で評価されてもよく、シーケンシャルな方法は、幾つかの局面において、処理ループシーケンシャル動作に起因して、1つの安全機能(例えばA2)の別の安全機能(例えばA1)に対する依存性を導入してもよい。別の例として、安全機能は、状態ベースフィールドプログラマブルゲートアレイFPGA)に実装されてもよい。この例において、各安全機能は、全ての他の安全機能と独立に評価されてもよい。この後者の例は、別の安全機能に対する1つの安全機能の処理のあらゆる依存性を除去することによって独立性の増加を保証し得る。

0121

水喪失の過渡事象の例についての多層化多様性は、ソフトウェアCCFを特定の安全機能(A1)の1つのセット(A/C)に限定することによって、保護動作を無効化するCCFに対する保護を提供する。幾つかの局面において、ソフトウェアCCFは、2つの安全機能間の機能的独立性、及び、安全機能アルゴリズムが入力として使用するプロセス測定値に基づいて特定の安全機能に限定される。幾つかの局面において、ソフトウェアCCFは、各セットについて異なるプログラマブルハードウェア、設計チーム、及び設計ツールを組み込むことによって、特定の安全機能の1つのセットに限定される。CCFが特定の安全機能の1つのセットに限定された状態で、過渡事象は、その安全機能(A1)の他のセット(B/D)又は第2の安全機能(A2)の双方のセット(A/C及びB/D)によって緩和される。

0122

例えば、図4Aに示されるように、保護動作が(例えばチェックマークで示される)4つ全ての分離グループ(A,B,C,D)によってとられる必要があることを示すA1についての安全機能の出力は、(例えば、「トリップ)」で示される)保護動作の始動をもたらす。図4Bに示されるように、安全機能A1について、2つの分離グループ(A及びC)、更に単一の区分内の2つのグループ内にCCFが存在する場合、他の分離グループ
(B及びD)内の保護動作の肯定的な指示は、(上述した4分の2スキームにおいて)保護動作を始動するのに十分な投票を依然としてもたらす。更に、安全機能A1についてのグループA及びC内のCCFは、各SFMに関する評価が独立しているため、安全機能A2に伝搬しない。

0123

図5は、原子力システムのためのI&CシステムのMPSの安全機能モジュール(SFM)500のブロック図を図示している。図6は、原子力システムのためのI&CシステムのMPSの通信モジュール(CM)600のブロック図を図示している。図7は、原子力システムのためのI&CシステムのMPSの機器インタフェースモジュール(EIM)700のブロック図を図示している。(以下で論じる)図8は、筐体(例えば、1つ又は複数のSFM500、CM600、及びEIM700を相互接続する機械的構造)内の通信経路を図示している。一般的に、(筐体800によって図示され、以下で述べられる)筐体内で相互接続された図示されたモジュール500、600、及び700は、MPS200の安全機能を実装し、分離グループレベルモジュール(例えば、信号調節器204a〜204d、トリップ決定208a〜208d)、RTSレベルモジュール(例えば、RTS投票214/216)、及びESFASレベルモジュール(例えば、ESFAS投票212/218)を構成する。幾つかの局面において、3つの型のモジュール(500、600、及び700)を有することは、作業ラインで交換可能なユニットの数を最小にし、それにより、旧式化を最小にすることができる。更に、これらのモジュール(500、600、及び700)は、どの個々のモジュール(500、600、及び700)における単一の故障も、他のモジュール又は他の安全機能に伝搬しないように機能的に独立であってもよい。更に、図8A〜8Cにおいて実装されるモジュール(500、600、及び700)の組合せは、離散的で決定論的な安全信号経路をもたらし得る。

0124

幾つかの局面において、モジュール(500、600、及び700)は、それらの機能的独立性を少なくとも部分的に規定する1つ又は複数の特性を有してもよい。例えば、モジュールの各々は、全体システム/アーキテクチャにおいて(例えば、MPS200において)各々の他のモジュールに対して完全に自律的であってもよい。別の例として、モジュールの各々は、全体システム/アーキテクチャにおいて各々の他のモジュールに対して自律的に、特定の意図された安全機能を実行してもよい。更に別の例として、モジュールの各々は、モジュールの特定の意図された安全機能に固有である専用論理を含んでもよい。したがって、機能的に独立した各モジュールは、特定の意図された安全機能を遂行するため、任意の他のモジュールからの論理又は機能に依存していなくてもよい。

0125

図5を見ると、SFM500は、図示されるように、センサ入力又は他のSFMからのデータを処理して、特定のSFMが割り当てられる分離グループ(例えば、分離グループA、B、C、又はD)について原子炉トリップ及び/又はESF作動決定を行う。SFM500は、2つの別個の構成、すなわち、(1)安全データバス通信によるセンサ信号調節及び原子炉トリップ及び/又はEFS作動、並びに、(2)原子炉トリップ決定及び/又はEFS作動決定を伴う安全データバス通信において使用され得る。

0126

図示されるように、SFM500は、一般的に、入力ブロック504、機能論理ブロック512、並びに通信ブロック514、516、及び518を含む。(図5には4つが示される)各入力ブロック504は、信号調節回路506、アナログ・デジタル(A/D)変換器508、及びシリアルインタフェース510からなる。各入力ブロック504は、(例えば、センサ202a〜202dと同じか又は類似し得る)センサ502に通信可能に接続される。示されるように、個々のSFM500は、(図示された例示的な実施形態において)最大4つの入力ブロック504を扱うことができる。入力型は、許可及びインターロックの生成を含む、トリップ又はESF作動決定を行うためにSFM500が必要になるであろうアナログ及びデジタル(例えば、4〜20mA、10〜50mA、0〜1
0V)の任意の組合せであってもよい。

0127

機能論理ブロック512は、(使用される場合)入力ブロック504のシリアルインタフェース510からの出力を工学的単位に変換するSFM500のプログラマブル部分である。機能論理ブロック512はまた、(例えば、センサ502からのセンサ測定値に基づく)入力ブロック504の出力及び/又は安全データバスからの情報に基づいてトリップ及び/又はESF作動決定を行ってもよい。機能論理ブロック512はまた、許可を生成し、インターロックを制御してもよい。図示されるように、機能論理ブロック512は、複数の決定論的論理エンジンからなり、決定論的論理エンジンは、入力ブロック504及び/又は安全データバスから得られる情報を利用して、トリップ又はESF作動決定を行う。

0128

機能論理ブロック512によって利用される設定点及び他の調整可能情報は、(例えば、SFM500上の)不揮発性メモリに格納され得る。これは、基礎にある論理を修正することなく、変更を可能にし得る。更に、機能多様性、信号多様性、及びソフトウェア多様性を実装するため、AOO又はPAを緩和するのに使用される主要機能及びバックアップ機能は、同じSFM500上にはなくてもよい。そのため、機能又は機能のグループのための専用SFM500を使用することによって、また、主要機能及びバックアップ機能が別個のモジュール500上にあることを保証することによって、ソフトウェアCCFの影響は、各モジュール500上の論理及びアルゴリズムが固有であることに起因して制限される。

0129

通信ブロック514/516/518は、5つの別個の通信ポート(例えば、514とラベル付けされた3つの安全データポート、516とラベル付けされた1つのポート、及び518とラベル付けされた1つのポート)からなる。各ポートは、機能的に独立であり、監視及び指示(M/I)バス(例えば、ブロック516)、メンテナンスワークステーション(MWS)バス(例えば、ブロック518)、又は安全バス(例えば、ブロック514)のいずれかとして指定される。各安全データバス514は同じデータを通信してよいものの、各通信ポートは、非同期であり、ポートは、独立しかつ固有の異なる通信エンジンを使用することによって異なるようにデータをパッケージし送信する。例えば、1つの安全データバス514は、例えば、シーケンシャルな順序(例えば、1、2、…、10)でデータの10パケットを送信してもよい一方、別の安全バス514は、同じ10パケットを逆順(例えば、10、9、…、1)で送信し、第3の安全バス514は、最初に偶数パケットを、それに続いて奇数パケットを送信する(例えば、2、4、…、10、1、3、…、9)。この3重モジュール冗長性及び多様性は、通信エラー検出を可能にするだけでなく、RTS又はESFASが正しいトリップ及び/又は作動決定を行う能力に影響を及ぼすことなく、通信CCFを特定のバスに限定する。

0130

図6を見ると、CM600は、原子力システム(例えば、MPS200)のためのI&
CシステムのMPSの分離グループレベル相互接続、RTSレベル相互接続、及びESFASレベル相互接続内で、例えばSFM500及びEIM700等のMPSの他のモジュール間の独立しかつ冗長性がある通信を提供する。例えば、CM600は、データがMPS内で通過するパイプライン並びにデータのこうした通過のスケジューラであってもよい。CM600は、任意の特定のチャネルにおいて、そのチャネル内でのデータの操作/通過を制御してもよい。CM600の図示された実装形態において、3つの型のブロック、すなわち、制限付き通信ブロック(RCB)604、通信スケジューラ606、及び通信ブロック608/610が存在する。

0131

RCB604は、図示されるように、4つの通信ポートからなる。幾つかの局面において、各ポートは、異なる一方向(例えば、受信のみ又は送信のみ)経路になるよう構成さ
れ得る。幾つかの実装形態において、図示されたCM600の場合と同様に、特定のRCB604から受信又は送信される情報は、光絶縁器602を通過する。幾つかの事例において、光絶縁器602は、任意の特定のトリップ決定からのデータが他のトリップ決定のデータから絶縁され、それにより、独立した冗長性を確保することを保証するのに役立ち得る。

0132

通信スケジューラ606は、通信ブロック608/610からRCB604に、又は、RCB604から通信ブロック608/610にデータを移動させることを担う。幾つかの局面において、通信エンジン606は、例えばFPGA等のプログラマブル論理、マイクロプロセッサ、又は述べた相互接続の間で通信をスケジュールするようにプログラムされる他の離散的論理からなる。

0133

通信ブロック608/610は、4つの別個の通信ポート(例えば、608とラベル付けされた3つの安全データポート及び610とラベル付けされた1つのポート)からなる。各ポートは、機能的に独立であってもよく、監視及び指示(M/I)バス(例えば、ブロック610)又は安全データバス(例えば、ブロック608)として指定される。幾つかの局面において、M/Iバス610は、MPS(例えば、モジュール500、600、及び700)内の全てのモジュールから、こうしたモジュールの各々の状態を含む情報を収集してもよく、その情報を「ヒストリアン」ステーション(例えば、MPSの履歴データのための専用コンピューティングシステム)に送信する。

0134

各安全データバス608は同じデータを通信してもよいものの、各通信ポートは、バス514を参照して上述したように、データを異なるようにパッケージし送信する。通信モジュールのアプリケーションに応じて、4つの通信ブロック608/610は、一方向及び2方向経路の任意の組合せで構成され得る。

0135

図7を見ると、EIM700は、一般的に、RTS及び/又はESFASレベルシステム内の原子力システム内で各コンポーネントに対するインタフェースを提供して、トリップ決定が投票され、コンポーネントレベルの作動及び操作が行われる。図示されるように、EIM700は、出力ブロック720、機器フィードバックブロック718、1E手動入力716、非1E手動入力714、投票エンジン722、優先度論理ブロック721、機器制御ブロック723、及び通信ブロック724/726/728を含む。一般的に、EIM700は、トリップ信号に基づいて、投票また幾つかの場合には2重投票(例えば、通信のための3分の2投票及びトリップ信号のための4分の2投票)を実行して、単一のコンポーネントの故障が、原子力システム(例えば、MPS200)のためのI&CシステムのMPSのチャネルレベル相互接続、RTSレベル相互接続、及びESFASレベル相互接続内で伝搬しないことを保証してもよい。EIM700は、投票722、手動作動/1E入力716、及び非1E入力714からの自動信号について優先度割当てを実行してもよい。

0136

出力ブロック720は、図示されるように、外部回路内で使用される可能性があり、かつ、電気負荷702(例えば、アクチュエータ)に接続される、最大3つの独立した出力スイッチ、又は幾つかの例ではそれより多い出力スイッチを含む。幾つかの局面では、これにより、EIM700は、単一のコンポーネントを直接制御するか又は複数のコンポーネントのための始動信号を提供できる。例えば、出力ブロック720はリレー励磁し、リレーは種々のポンプを始動させ、複数の弁を開放する。各出力ブロック720はまた、自己試験し、負荷連続性チェックを実行する能力を含んでもよい。

0137

機器フィードバックブロック718は、示されるように、機器からの複数の(例えば、最大3つ又は幾つかの例ではそれより多い数の)フィードバック入力704からなっても
よい。フィードバック入力704は、例えば、弁位置(例えば、完全に開放、完全に閉鎖)、遮断器状態(例えば、閉鎖/開放)、又は他のコンポーネントからの他のフィードバックを含み得る。機器フィードバック704は、以下で論じるように投票機器制御ブロック723内で使用され得る。

0138

1E手動入力ブロック716は、複数の(例えば、最大2つ又は幾つかの例ではそれより多い数の)手動入力信号706を提供してもよい。EIM700のこの部分は、手動入力に専用であってもよく、優先度論理ブロック721において利用される。

0139

複数の入力信号708は、絶縁インタフェース712を介して非1E入力ブロック714に接続される。この電気的絶縁インタフェース712は、優先度論理ブロック721への入力について非1E信号の使用を可能にする。

0140

投票エンジン722は、通信ブロック724からトリップ決定入力を受信する。投票の結果は、自動作動信号のために作動又は非作動信号を優先度論理ブロック721に提供する。幾つかの局面において、投票エンジン722は、投票スキームまた幾つかの場合には2重投票スキームを実装して、MPS内の単一のコンポーネントの故障が伝搬しないことを保証してもよい。例えば、幾つかの局面において、投票エンジン722は、通信ブロック724においてトリップ決定を受信する。各通信ブロック724は、4つのチャネル又は分離グループ(例えば、上述したチャネルA〜D)からトリップ決定(例えば、トリップ又はトリップなし)を受信してもよい。投票エンジン722内では、幾つかの局面において、3つの「A」トリップ決定、3つの「B」トリップ決定、3つの「C」トリップ決定、及び3つの「D」トリップ決定が存在してもよい。そのため、投票エンジン722は、4つのチャネル又は分離グループの各々に関して3分の2決定を実行してもよい。例えば、3つの「A」チャネルのうちの少なくとも2つがトリップの有効通信(例えば、トリップ決定の通信が有効であることを示す)を提供する場合、投票エンジン722は、少なくとも最初に、チャンル「A」上にトリップが存在することを通信してもよい一方、3つの「A」チャネルのうちの1つだけがトリップを示す場合、投票エンジン722は、チャネル「A」上にトリップが存在しないと判定してもよい。

0141

投票エンジン722は、先に述べたように、2重投票スキームを実装して、MPS構造全体にわたって故障が伝搬しないことを更に保証してもよい。例えば、上述した3分の2通信決定に続いて、投票エンジン722はまた、(例えば、偽りのトリップを示す故障と対照的に)トリップが実際に起こったのかを判定するために、4分の2トリップ決定を実行してもよい。例えば、3つの決定のうちの2つを実行する投票エンジン722内の4つの投票ブロック(例えば、3つの投票論理ゲートのうちの2つ)の出力を、4つの決定のうちの2つを行う別の投票ブロック(例えば、4つの投票論理ゲートのうちの2つ)に送ってもよい。第1の階層投票ブロック(例えば、3つのブロックのうちの2つ)からの4つの出力のうちの少なくとも2つがトリップを示す場合、投票エンジン722は、トリップが起こった、(また、例えば負荷702等のEFS機器が作動されるべきである)と判定してもよく、そうでなければ、投票エンジン722は、実際にはトリップが全く起こらなかったと判定してもよい。

0142

優先度論理ブロックは、投票ブロック722、1E手動入力ブロック716、及び非1E手動入力ブロック714から入力を受信する。優先度論理ブロック721は、その後、全ての入力に基づいて、何を実行するよう機器制御モジュール指令するかを決定する。

0143

機器制御ブロックは、優先度論理モジュールからコマンドを受信し、出力ブロック720を介してコンポーネントに対して適切な作動又は操作を実行する。機器制御ブロックは、機器制御目的のために、機器フィードバックブロック718を介して機器からフィード
バックを受信する。

0144

機器制御ブロック722、優先度論理ブロック721、及び投票ブロック722はそれぞれ、状態情報をメンテナンスワークステーション(MWS)バス(例えば、ブロック728)に提供する。通信ブロック724/726/728は、5つの別個の通信ポート(例えば、724とラベル付けされた3つの安全データポート、726とラベル付けされた1つのポート、及び728とラベル付けされた1つのポート)からなる。各ポートは、機能的に独立であってもよく、監視及び指示(M/I)バス(例えば、ブロック726)、メンテナンスワークステーション(MWS)バス(例えば、ブロック728)、又は安全データバス(例えば、ブロック724)のいずれかとして指定される。

0145

図8は、1つ又は複数のSFM500、EIM700、及びCM600を通信可能に接続する原子炉保護システム(例えば、MPS145)の筐体800の例示的な実施形態を図示している。この図は、筐体800内で4つのCM600に接続された3つのSFM500又はEIM700の例を提示する。この例において、5つのデータバス経路が示されている。例えば、X、Y、及びZとそれぞれラベル付けされた3つの安全データポート802が存在する。M/Iとラベル付けされた1つのデータバス経路804が存在する。MWSとラベル付けされた1つのデータバス経路804が存在する。各データバス経路802/804は、この例において、筐体800内で全ての他のデータバス経路802/804から機能的にかつ電気的に独立であってもよい。

0146

この図示された実施形態において、CM600の各々は、データバス経路802/804のうちの1つのマスターを含んでもよい。図示されるように、Xデータバス経路802のマスター808は、安全データXのためのCM600の一部である。Yデータ経路802のマスター810は、安全データYのためのCM600である。Zデータ経路802のマスター812は、安全データZのためのCM600である。最後に、この例に示すように、M/Iデータ経路804のためのマスター814は、M/IのためのCM600である。同様にこの例において、(例えば、メンテナンスワークステーションとして)別々に接続される、MWSデータ経路806のマスターであるMWSマスター816が存在する。メンテナンスワークステーション(MWSマスター)816は、配線スイッチによって、機器の正常運転のために切り離されてもよい。

0147

図9A〜9Cは、SFM500、CM600、及びEIM700の1つ又は複数を利用する分離グループレベル相互接続、RTSレベル相互接続、及びESAFASレベル相互接続のブロック図を図示している。一般的に、モジュールSFM500、CM600、及びEIM700は、例えば、隣接するか又は他の安全機能に単一の故障(例えば、ハードウェア、ソフトウェア、又はその他)が伝搬することに対する保護をもたらす機能的に独立したモジュール(例えば、相互接続されたコンポーネントのアセンブリであって、識別可能なデバイス、計器、又は機器要素を構成し、切り離すことができ、ユニットとして除去することができ、またスペアと置換することができ、そのアセンブリがユニットとして試験されることを可能にする定義可能な性能特性を有する、アセンブリ)として、MPS200内に配置され得る。モジュールは、トリップ検知及び決定のために、幾つかの実装形態において、最大3重冗長性を提供してもよい。モジュールは、同様に、上述したように、冗長性があるRTS及びESFAS投票区分を提供するために配置されてもよい。幾つかの実装形態において、モジュールは、トリップコンポーネント(例えば、遮断器、センサ、又はその他)毎に複数の独立したトリップ投票モジュールを提供してもよい。

0148

幾つかの場合において、モジュールはRTS投票を提供する一方、他の場合において、モジュールはESFAS投票を提供する。各モジュールの独立性に関して、各モジュールは、特定のトリップコンポーネントに専用の全ての他のモジュールとは別に、特定のトリ
ップについて決定を行って、RTS/ESFASトリップを起動しても又は起動しなくてもよい。幾つかの実装形態において、トリップ決定の有効通信の決定は、多数(例えば、3分の2)によって行ってもよい。幾つかの実装形態において、決定は、2重投票スキームにおいて行なわれてもよく、2重投票スキームにおいて、トリップ決定の通信は多数決(例えば、3分の2)によって有効化され、2次トリップ決定投票は、多数に満たない(例えば、4分の2)投票による。

0149

図9Aを見ると、例示的な分離グループレベル相互接続900が図示されている。図示されたチャネルレベル相互接続900は、チャネルセンサ入力902、入力902を受信するSFM500、及び920を通して出力904を通信するCM600を含む。示されるように、単一の機能又は機能の単一のセットを実装するため、チャネルレベル相互接続900における各SFM500は、アナログ及びデジタルの任意の組合せで、4つの入力902又は幾つかの事例ではそれより多い入力902を含み得る。各入力902は、特定のSFM500に固有であってもよい(例えば、チャネルA加圧器圧力信号は、1つのSFM500だけに対する直接入力である)。入力データは、状態情報(例えば、アラーム、論理決定モジュール状態)と共に、4つ全てのデータバス上で利用可能であってもよい。

0150

安全バスは、機能的に独立であってもよく、各安全バスはマスター・スレーブプロトコルを使用し、マスターはCM600である。SFM内のブロックは同期して運転するものの、モジュール間の通信は非同期であってもよい。或るバスのためのCM600が特定のSFM500から情報を要求するとき、SFM500は、ブロードキャストによってバスに応答してもよい。ブロードキャストの利点は、例えば、「1」とラベル付けされるSFM500が「2」とラベル付けされるSFM500が必要とする情報(例えば、許可信号、センサ入力値)を有する場合、SFM500「2」は、傾聴し、必要とされる情報を取得することができるということである。

0151

(例えば、「X」、「Y」、及び「Z」とラベル付けされる)3つの安全データバスに加えて、監視及び指示(M/I)のための第4の図示された通信バスが存在する。M/Iバスのマスターは、M/Iデータを安全ゲートウェイ及び非安全制御システムに提供することに専用のCM600であってもよい。3つの安全データバス(例えば、バスX、Y、及びZ)のためのCM600とは違い、M/I CM600は、3つの全ての安全バス上のブロードキャスト情報を傾聴できてもよい。

0152

幾つかの実装形態において、CM600の制限付き通信ブロック(RCB)は種々のポイント・ツー・ポイント構成を有し得る。分離グループレベル相互接続900において、RCB上の4つの全ての通信ポートを、送信だけのために構成してもよい。各安全データバスCM600(例えば、X、Y、及びZとラベル付けされるCM600)からのデータを、RTS及びESFASの各区分(例えば、区分I及びII)に送信してもよい。M/I CM600からのデータ(例えば、出力916〜920)を、安全ゲートウェイ及び非安全制御システムに送信してもよい。

0153

出力904〜914を、例えば、RTSレベル相互接続及びESFASレベル相互接続に提供してもよい(以下で述べる)。例えば、図示されるように、出力904、908、及び912を、ESFASレベル相互接続に提供してもよい一方、出力906、910、及び914を、RTSレベル相互接続に提供してもよい。1つだけの分離グループレベル相互接続900が図9Aに示されているものの、MPS構造内に複数の相互接続900が存在してもよい。

0154

図9Bを見ると、区分によって分割された例示的なRTSレベル相互接続が示されてい
る。RTSレベル相互接続は、示されるように、RTSの区分I及びII(例えば、RTS投票214及び216)を含む。図示された各区分(214及び216)は、4つのCM600及び4つのEIM700を含む。各区分について、(X、Y、及びZとラベル付けされる)3つの安全データバスの各々は、(例えば、同じ数値、すなわち、A1及びB1でラベル付けされる分離グループを有する)入力962〜972として示されるトリップ又はトリップなし決定を4つの全ての分離グループから受信してもよい。第4のCM600を、示されるように、非安全制御システム及び安全ゲートウェイに(出力974〜976として)データを送信するために設けてもよい。

0155

各安全バスCM600のためのRCB上の各通信ポートを、「受信のみ」のために構成してもよく、また、(上述したように)光学的に絶縁してもよい。M/I CM600は、「送信のみ」のために構成されたRCBにおける全てのポートを有してもよい。

0156

幾つかの実装形態において、全ての分離グループからの各安全データバスについてのトリップ決定は、4つのEIM700の各々に利用可能である。EIM700は、(X、Y、及びZとラベル付けされる)3つ全ての安全バスを使用して、通信エラーに起因する遮断器の誤った作動が全く存在しないことを保証してもよい。4つの分離グループ(入力962〜972)のうちの少なくとも2つがトリップ状態を示すとき、原子炉トリップ遮断器は開放される。各EIM700は、例えば、原子炉トリップ遮断器の不足電圧リレー及びシャントトリップコイルに専用であってもよい。自動作動に加えて、EIM600は、手動区分レベル原子炉トリップ978、遮断器フィードバック、及びESFASフィードバックのための入力を有することになる。

0157

(区分Iの場合、980a〜980dとラベル付けされ、区分IIの場合、982a〜982dとラベル付けされる)EIM600出力は、特定の区分に関連する(図2Bに示された)原子炉トリップ遮断器(RTB)についてトリップコイルのための入力に接続されてもよい。

0158

図9Cを見ると、区分によって分割された例示的なESFASレベル相互接続が示されている。ESFASレベル相互接続は、示されるように、ESFASの区分I及びII(例えば、ESFAS投票212及び218)を含む。図示された各区分(212及び218)は、4つのCM600及び4つのEIM700を含む。各区分について、(X、Y、及びZとラベル付けされる)3つの安全データバスの各々は、入力962〜972としてラベル付けされるESF作動決定を全ての分離グループ(この例では、Dとラベル付けされる4つの分離グループ)から受信する。

0159

(X、Y、及びZとラベル付けされる)各安全データバスCM600のためのRCBにおける各通信ポートを、「受信のみ」のために構成し、また、(上述したように)光学的に絶縁してもよい。M/I CM600は、「送信のみ」のために構成されるRCBにおける全てのポートを有し、また、光学的に絶縁されてもよい。

0160

幾つかの実装形態において、全ての分離グループからのESF作動決定は、(X、Y、及びZとラベル付けされる)3つの全ての安全データバス上のEIM700に利用可能である。例えば、EIM700は、3つの全ての安全データバスを使用して、通信エラーによって引き起こされる機器の誤作動が全く存在しないことを保証してもよい。(例えば、入力962〜972上で)4つの分離グループのうちの少なくとも2つがESF作動についての必要性を示すとき、安全機能を、(図3Bに示すように、区分に基づいてESF機器224及び226に接続される)出力990を通して始動してもよい。幾つかの局面において、各EIM700は、個々のコンポーネント(例えば、単一のESFコンポーネント)に専用となり得る。

0161

自動始動以外に、各EIM700は、手動入力992を使用して、コンポーネントを制御できる。更に、各EIM700はまた、非1E制御入力994を受信してもよい。(図3Bにおいて入力282としても示される)非1E制御入力994は、非1EのためのEIM700に提供されて、EIMの出力に基づいて1E安全ESFコンポーネントを制御してもよい。コンポーネントフィードバック(例えば、リミットスイッチ)、投票決定、及び他の利用可能な情報(例えば、アラーム)は、出力974〜976としてM/I CM600から送信されてもよい。

0162

図10は、原子力システムのためのI&Cシステム135のための多様性分析図を図示している。多様性分析の目的ために、図10において特定されるブロックは、システム検査を簡略化する或るレベルの詳細を示す。ブロックは、機器及びソフトウェアであって、それらの内部故障がそれらの属性に基づいて他のブロックに伝搬しないと仮定され得る、機器及びソフトウェアの物理的サブセットを表すように選択された。

0163

図示されるように、図10の図内のブロックは、I&Cシステム、この例では、I&Cシステム135を図示している。ブロック1002は、非1E監視及び指示機器を表し、ブロック1004a/bは、1E監視及び指示I及びIIをそれぞれ表し、ブロック1006a/bは、安全ブロックI及びIIをそれぞれ表す。ブロック1006aは、分離グループA及びC、RTS I、及びESFAS Iを含む一方、ブロック1006bは、分離グループB及びD、RTS II、及びESFAS IIを含む。ブロック1008はMCSを表す。図示されるように、矢印を有する接続ラインはブロック間の通信を示す。

0164

4つの階層についての目的のうちの1つは多様性である。例えば、MPSは、単一の故障基準を満たしてもよく、単一の故障基準は、(1)特定可能であるが検出可能でない全ての故障と同時発生の安全システム内の任意の単一の検出可能故障、(2)単一の故障によってもたらされる全ての故障、及び(3)安全機能を必要とする設計基準事象をもたらすか又は設計基準事象によってもたらされる全ての故障及び誤ったシステム動作の存在下で、設計基準事象について必要とされる全ての安全機能をMPSが実行することを要求してもよい。この要件は、信頼性の増加を提供し得るが、システムが共通原因故障(CCF)に脆弱であることを排除しない。任意の設計について、CCFを複数の独立した故障から区別する依存性(例えば、結合因子)が存在し得る。これは、システム内の共通原因故障を防止する2つの基本形態をもたらす、すなわち、原因となる影響が減少するか、又は、これらの影響に抗するシステムの能力が増加する。

0165

これらの2つの形態の実装形態は、上述した6つの属性、すなわち、設計多様性、機器多様性、機能多様性、人間多様性、信号多様性、及びソフトウェア多様性で実装され得る。これらの属性の適用は、図10に図示される各ブロック並びに図10に示されるブロック間の属性に関して検査される。
[ブロック内の属性]
先の図を参照して図示され、また同様に述べるように、分離グループA、B、C、及びD並びにRTS及びESFASの2つの区分は、それらが基づくプログラマブル技術に従ってグループ化される。安全ブロックI及びIIは共に、モジュール保護システム(MPS)(例えばMPS200)を構成する。

0166

信号多様性に関して、所与の過渡事象の場合、少なくとも2つの安全機能が存在する可能性があり、それぞれの機能は、異なる物理効果(例えば、圧力、レベル、温度、中性子束)の被測定変数に基づく。1つの安全機能の喪失は、ブロックが保護動作についての必要性を特定することを妨げない。

0167

ソフトウェア多様性に関して、その入力に基づいて、各安全機能モジュール(SFM500)は、安全機能又は安全機能のグループに専用である。結果として、各SFMは、固有のアルゴリズム/論理を有する。各通信モジュール(CM600)は、同じ情報のパケットを、CMにおける各通信エンジン(608/610)が異なるアルゴリズムを有することを必要とし得る異なる順序で送信する。各機器インタフェースモジュール(EIM700)は、単一のコンポーネントに専用であってもよく、固有のアルゴリズム/論理をもたらしてもよい。

0168

1E監視及び指示は、ビデオ表示ユニットVDU)及び物理的スイッチの2つの区分を使用して達成されてもよい。1E監視及び指示(M/I)の各区分はブロック1004a/bであってもよい。設計多様性に関して、M/Iの各区分は、ディジタル表示上のプラント状態情報をオペレータに提供してもよく、また、区分レベルで、任意の保護動作を手動で始動する手動スイッチを有する。信号多様性に関して、オペレータは、MPSによって利用される全ての被測定変数を有し、トリップ及び/又はEFS作動が必要とされるかを判定してもよい。同程度に速くはないものの、オペレータは、異なる物理効果の複数の被測定変数を有して、MPSと同じ判定を行い得る。
[ブロック間の多様性属性]
人間多様性に関して、安全ブロックI及び1E M/I Iのソフトウェアは、1つの設計チームによって設計されてもよく、安全ブロックII及び1E M/I IIは、異なる設計チームによって設計されてもよい。更に、独立した検証及び妥当性確認チームが、各設計チームの作業を再検討して、設計の正しさを保証し得る。先に述べた設計チームは、同様に、モジュール制御システム(MCS)及び非1E M/Iに割り当てられる設計チームとは異なる。

0169

設計多様性は、同じか又は類似の問題を解決するために、ソフトウェアとハードウェアとの双方を含む異なるアプローチを使用することである。CCFの可能性及び結果を制限するため、安全ブロックI 1004a及び1E M/I Iブロック1006aは、安全ブロックII及び1E M/I IIとは異なるプログラマブル技術を使用してもよい。MCS及び非1E M/Iもまた、異なるプログラマブル技術を有してもよい。以下で論じる他の属性と共に、異なるハードウェア設計は、異なる故障モードを有してもよく、ひいては、CCFが2つ以上のブロックに影響を及ぼす可能性を減少させてもよい。例えば、M/Iブロックを除いて、ブロックは、異なる部屋に物理的に分離されてもよい。これは、複数のコンポーネントがCCF事象に関わる状態を生成し得る結合因子を更に減少させることが意図されている。

0170

ソフトウェア多様性は、設計多様性のサブセットであり、また、同じ安全目標を達成するための、異なる主要職員を有する異なる開発グループによって設計され、実装される異なるプログラムの使用を含んでもよい。先に論じた設計多様性に起因して、異なる設計チームは、異なる設計ツールを使用してもよく、ひいては、ツールは、同じ故障モードを導入しなくてもよい。

0171

機能多様性は、ブロック間で異なる目的及び機能を有することによって導入されてもよい。安全ブロックI及びIIはMPSを形成する。これらのブロックは、運転限界を超えた場合に原子炉トリップを始動し、ESFを始動して、想定事故を緩和してもよい。M/Iブロックによって、オペレータが、安全システムと非安全システムとの双方を監視及び制御することが可能になり得る。オペレータは、プラントを運転限界内に維持するか又は必要な保護動作を始動することができる。MCSは、システムの自動制御を提供して、或る運転上の過渡変化を制限することを含む運転限界内にプラントを維持することを提供する。

0172

ブロック間において、機器を作動する自動及び手動手段並びに保護動作を有することによって、信号多様性を提供してもよい。MCS及び非1E M/Iは、機器レベルの制御を提供する一方、1E M/Iブロックは、区分レベルの制御を提供する。

0173

機器多様性は、類似の安全機能を実行するための異なる機器の使用である。保護動作の始動は、スイッチを使用してオペレータ動作によって行われ得る、又は、安全ブロックI又はIIによって自動的に実行され得る。安全ブロックIとIIとの間において、異なるプログラマブル技術を使用してもよく、その技術は、異なる内部サブコンポーネント及び異なる製造方法を必要としてもよい。

0174

4つの階層の別の分析指針はシステム故障の型である。型1故障は、防護の階層の間の相互作用による制御システムエラーによって始動されるプラント過渡変化について、保護動作をとることができない故障である。通常、これは、共通のセンサ又は信号源の故障に関連する。MPSによって監視されるプラントパラメータのうちの幾つかは、正常なプラント制御のためにMCSに提供される。上述したように、1つの信号源を設ける代わりに、4つの全ての分離グループ並びにESFAS及びRTSの双方の区分は、絶縁された一方向通信を通して情報を提供する。これによって、MCSが、冗長性がありかつ独立したどの信号源を使用するかを選択する異なる方法(例えば、中央信号選択)を使用できるようになり得る。

0175

型2故障は、過渡変化を直接もたらさない場合があり、また、検出されない故障であるため、保護機器がプラント過渡変化に応答しない場合がある故障である。安全ブロックI及びIIの中及びIとIIとの間の属性を使用すると、検出されない故障又はCCFが2つ以上のブロックに影響を及ぼすことを防止するのに十分な多様性が存在し得る。保護動作を自動的に始動するために必要とされる2つのブロックのうちの1つだけによって、型2故障を、更なるシステムなしで、MPS(安全ブロックI及びII)によって緩和してもよい。

0176

型3故障は、設計基準事象を検出するのに依存する1次センサが異常な読みを生成する故障である。信号多様性は、任意の過渡事象について、少なくとも2つの安全機能をそれぞれ異なる測定パラメータに基づいて提供することによって安全ブロック内に存在し得る。所与の安全機能についての4つの全ての分離グループのセンサが異常な読みを提供する場合、型3故障について2つの考えられる不都合シナリオ、すなわち、1)限界を実際に超えたときにトリップ又はESF作動が全く必要とされないことを異常な読みが示すこと、及び、2)限度を超えなくてもトリップ又はESF作動が必要とされること(例えば、誤ったトリップ又はESF作動)を異常な読みが示すことが存在し得る。第1のシナリオにおいて、安全ブロック内でCCFと同時発生の型3故障は、必要な保護動作の始動を妨げないことがある。先に述べたように、信号多様性は、別個の安全機能が過渡事象を緩和するために利用可能であることを可能にし得る。MPS内のCCFは、2つの安全ブロックの一方の安全ブロックに限定され、また、保護動作の始動を妨げるか又は誤った指示による始動を妨げると仮定される。例えば、先に論じたように、4分の2一致論理は、全てのトリップ及びESF作動のために使用されてもよく、4分の2一致論理は、4つの分離グループのうちの2つが、影響を受けない安全ブロック上の影響を受けない安全機能について、トリップ又はESF作動についての必要性を示し、実行される動作のオペレータに肯定的な指示を提供する。

0177

第2のシナリオにおいて、安全ブロック内でCCFと同時発生の型3故障は、誤ったトリップまたはESF作動をもたらし、そのとき、1E M/Iブロックは、1つのブロックが肯定的であり、かつ1つのブロックが成功裡の作動の誤った指示であることを示すか
、又は、1つのブロックが肯定的であり、かつ1つブロックが作動の指示を有していないことを示す。いずれの場合も、誤った作動を評価しそれを正すことは、オペレータを長く拘束する場合があるが、必要に応じてコンポーネントを再整列させる能力は、同じCCFによって影響を受けないであろう1E制御装置及び非1E制御装置の双方によって提供される。

0178

別の分析指針は階層要件である。システム検査を簡略化する詳細レベルを表すブロックを提供するため、防護の4つの概念的な階層が、幾つかのブロックにおいて組み合わされる(例えば、RTS及びESFAS)だけでなく、別個のブロック(例えば、安全ブロックI及びII、1E M/I I及びII)に分割される。幾つかの局面において、分離グループ、RTS、及びESFASは、それらが基づくプログラマブル技術に従って安全ブロックにグループ化される。例えば、MPSのそれぞれの半分(例えば、4つの分離グループのうちの2つ、ESFASの2つの区分のうちの1つ、及びRTSの2つの区分のうちの1つ)又は1つの安全ブロックは、十分な多様性属性を有してもよい。異なる設計チーム(人間多様性)は、異なるプログラマブル技術(設計及び機器多様性)に基づいて異なるプログラマブルデジタルハードウェアを利用し、異なるプログラマブル技術は、異なる設計ツール(ソフトウェア多様性)の使用を必要とする。M/I階層は、同様に別個のブロックに分割されてもよい。1E M/Iブロックは、分割されて、1E M/Iブロックが安全ブロックと類似の多様性属性を有することを特定してもよい。選択されたブロックがどのようにして防護の4つの階層の中に入るかが図11に図示され、図11はダイアグラム1100を示す。

0179

別の分析指針は評価方法である。選択されるブロックは、(以下で論じる)出力信号指針に従って分析されると、想定されることを必要とするあらゆる想定故障も、最も弊害をもたらす結果を生成するように、「ブラックボックス」として考慮されるべきである。幾つかの局面において、作動するシステムの故障は、特に、自動化安全システム内のCCFに起因する状態を特定し、それに応答するために必要とされる時間を分析するとき、最悪の事態の故障ではない場合がある。ブロックは、ハードウェアCCF及びソフトウェアCCFに基づいて評価されることになる。各CCFについて、ブロックは、最も弊害をもたらす結果を生じ得る3つの考えられる出力、すなわち、1)誤った指示を有する故障したままの状態か又は必要とされるときの動作がない、2)成功裡の作動の指示を伴う、機能の誤った始動、及び3)成功裡の作動の指示のない、機能の誤った始動を有すると評価され得る。安全ブロックのうちのいずれかの安全ブロック内のEIMは、ソフトウェアCCFに対して脆弱であると考慮されない場合がある。例えば、EIMは、単一のESFコンポーネント又は原子炉トリップ遮断器並びに手動制御及び自動制御を有するインタフェースに専用の優先度論理モジュールであってもよい。有限状態機械の使用は、全ての考えられる入力、デバイス状態、及び状態機械の出力を含む、機能の網羅的な試験を可能にし得る。その試験可能性、EIM多様性属性、及び単一のコンポーネントに専用であることに基づいて、EIMは、ソフトウェアベースの又はソフトウェア論理ベースのCCFの考慮が必要とされないほどに十分に簡素であってもよい。

0180

別の分析指針はブロックの想定共通原因故障である。1E M/Iブロックは、ビデオ表示ユニット(デジタルハードウェア)と手動制御装置(非デジタルハードウェア)との組合せを含む。VDUは、指示のためだけに設計されてもよく、機器を制御する能力を持たない。各1E M/Iブロック1004a/b内の手動制御は、安全ブロックI又はIIによって自動的に実行される任意の保護動作を区分レベルで始動する能力をオペレータに提供する。指示及び手動制御が、幾つかの例において異なるハードウェア(例えば、デジタル対オープンクローズ接点スイッチ)である状態で、CCFは、両方ではないが、一方又は他方に影響を及ぼすと仮定され得る。ソフトウェアCCFとハードウェアCCFの双方について、故障したままの状態は、1つの区分のオペレータ表示が、誤った安全運
転状態又は1つの区分の手動スイッチの故障を示すことをもたらす。VDUは、制御能力をほとんど又は全く有していない場合があるため、誤った作動を提供しない場合がある。しかしながら、ソフトウェアCCFの場合、VDUは、成功裡の作動の誤った指示を提供するか又は不正確なプラント状態を提供し、オペレータが誤った保護動作を始動することを要求する場合がある。

0181

EIMを除いて、安全ブロック内のモジュールは、ソフトウェアCCFを有すると想定される。安全ブロック内の多様性属性に起因して、ソフトウェアCCFは、SFM上のCM又は機能に限定され得る。SFMが適切なトリップ決定を行うことを妨げる安全ブロック内のソフトウェアCCFは、そのブロック内の機器、信号、及びソフトウェア多様性によって緩和され得る。それぞれの過渡事象の場合、事象を緩和するために必要とされる1次安全機能及びバックアップ安全機能は、異なる物理効果の被測定パラメータに基づく異なる論理/アルゴリズムを使用して別個の安全機能上に実装され得る。3重のモジュール冗長性の実装形態を有し、かつ、各データバスが異なる方法で同じ情報を送信すると、ソフトウェアCCFを有するCMは、保護動作を誤って始動しないか又は、保護動作の始動を妨げない場合がある。結果として、最も弊害をもたらすシナリオは、ESFAS機能の誤った作動をもたらすSFM内のソフトウェアCCFである可能性がある。

0182

安全ブロック内のハードウェアCCFは、必要な保護動作を検出し始動するブロックの完全故障であると想定され得る。ESF機能の誤った作動をもたらすハードウェアCCFは、ソフトウェアCCFに起因する誤った作動と同じ影響を及ぼす場合があり、ひいては、ハードウェアCCFについてやはり考えられない場合がある。

0183

非1E M/Iは、安全及び非安全機器のための制御装置を含む。非1EのためのVDUは、1E M/Iによって使用されるVDUとは異なる。非1E M/Iが、正常な日々の運転のために使用されるため、非1E M/Iサブシステム(例えば、タービン制御、給水制御)内のソフトウェア又はハードウェアCCFによって誘起されるあらゆる誤った作動も即座に特定可能である場合があり、また、運転限界を超える場合、MPS(安全ブロックI及びII)によって緩和される場合がある。非1Eについての想定故障は、1)成功裡の作動の指示がある、また、その指示がないサブシステムのコンポーネントの誤った作動を有する故障したままの状態、及び、2)どの機器も実際に作動されないときの成功裡の作動の指示を有する故障したままの状態である。

0184

MCSは、或る運転上の過渡変化を制限することを含む運転限界内に日々のプラント運転を維持するために依存する非安全システムを包含する。したがって、サブシステム(例えば、棒コントロール)のあらゆる故障も、オペレータによって即座に検出され得る。非1E M/Iと同様に、MCSについての想定されるソフトウェア及びハードウェアCCFは、1)成功裡の作動の指示がある、また、その指示がないサブシステムのコンポーネントの誤った作動を有する故障したままの状態、及び、2)どの機器も実際に作動されないときの成功裡の作動の指示を提供する故障したままの状態をもたらす。

0185

別の分析指針は、同一のハードウェア及びソフトウェアモジュールの使用である。ここで、ブロック間の多様性は、同一であるブロックを考慮しないための基礎を提供する。これに基づいて、想定されるCCFは、単一のブロックに限定され得る。

0186

別の分析指針は、他のブロックの影響である。全てのブロックは、正しい又は正しくない入力に応答して正しく機能すると仮定される。各ブロックは、独立し、別のブロック内の想定されるCCFによって影響を受けないとみなされる。

0187

別の分析指針は出力信号である。幾つかの局面において、I&Cアーキテクチャは、エ
ラーが後方に伝搬して前のブロックの出力に入るのを防止し得る。安全ブロックI及びIIから1E M/Iへの全ての情報は、(CM600内に示される)光学的に絶縁された送信のみの通信エンジンを通して送出され得る。1E M/Iから安全ブロックへの信号は、手動スイッチからのオープン/クローズ接点であってもよく、手動スイッチの位置又は接点状態を、安全ブロック内のCCFは変更できない。安全ブロック間の通信情報は、分離グループA及びCからESFAS及びRTSの区分IIに、また、分離グループB及びDからESFAS及びRTSの区分Iに送出されるデータであってもよい。4つの分離グループは、独立しかつ冗長性がある。しかしながら、図10例証のために、分離グループは、それらが使用するプログラマブル技術に従って安全ブロックにグループ化される。安全ブロックと1E M/Iとの間の通信と同様に、分離グループからRTS及びESFASの任意の区分への通信は、光学的に絶縁された送信のみの通信エンジンを通してもよい。安全ブロックへの非安全入力は、ESFASEIMに対するものであってもよく、絶縁されたオープン/クローズ接点に限定されてもよい。

0188

安全ブロックからの全ての入力は、光学的に絶縁された送信のみの通信エンジンからであってもよい。これは、1E M/I内のいずれのエラーも、後方に伝搬して安全ブロックに至ることを防止し得る。

0189

別の分析指針は、予測運転事象についての多様性である。過渡事象に関連する単一のCCF又は型2故障は、MPSがその安全機能を実行することを妨げない場合がある。MPSを共に構成する安全ブロックI及びIIは、CCFを1つのブロックに限定するために選択され得る。慣例的に、原子力発電所は、CCFによってMPSが使用不能になった場合に機能を始動する多様な方法を提供するため、多様化作動システム(DAS)又はスクラムなしの予想遷移ATWS)に依存してきた。しかし、図示されたMPS設計において、単一のCCFであっても安全機能を始動するのに十分な多様性がシステム内に存在し得る。ここで、MPSは、安全ブロックI及びII(例えば、1006a/b)に分割される。想定されるソフトウェア又はハードウェアCCFは、1つの安全ブロックに限定されることになる。各ブロックは、異なるプログラマブル技術(設計及び機器多様性)に基づいて異なるプログラマブルデジタルハードウェアを利用する異なる設計チーム(人間多様性)を使用し、異なるプログラマブル技術は、異なる設計ツール(ソフトウェア多様性)の使用を必要とし得る。各ブロック内で、別個のSFM上に実装される、異なる物理効果の被測定変数に基づく少なくとも2つの安全機能が存在し得る。全ての論理は、有限状態機械に実装されてもよく、また、全ての安全データは、決定論的方法で通信されてもよい。これらの属性に起因して、CCFに関連する型3故障でも、MPSが必要な保護動作を始動することを妨げない可能性がある。

0190

別の分析指針は事故についての多様性である。AOOと同様に、MPS内のCCFエラーに関連する想定事故は、MPSがその安全機能を実行することを妨げない可能性がある。

0191

別の分析指針は、手動オペレータ動作である。MPSによって実行される保護動作の手動区分レベル作動は、オペレータに提供されてもよい。手動コンポーネントレベル制御は、1E M/Iによって許可される場合、非1E M/Iを使用してオペレータに提供される。

0192

主題の特定の実装形態が述べられた。他の実装形態、代替形態、及び述べる実装形態の変更は、当業者にとって明らかであるように、以下の特許請求の範囲内にある。例えば、請求項に記載された動作は、異なる順序で実行され、またそれでも望ましい結果を達成し得る。したがって、例示的な実装形態の先の説明は、本開示を規定又は制限しない。他の変更形態置換形態、及び代替形態もまた、本開示の精神及び範囲から逸脱することなく
可能である。

ページトップへ

この技術を出願した法人

この技術を発明した人物

ページトップへ

関連する挑戦したい社会課題

関連する公募課題

ページトップへ

技術視点だけで見ていませんか?

この技術の活用可能性がある分野

分野別動向を把握したい方- 事業化視点で見る -

(分野番号表示ON)※整理標準化データをもとに当社作成

ページトップへ

おススメ サービス

おススメ astavisionコンテンツ

新着 最近 公開された関連が強い技術

この 技術と関連性が強い技術

関連性が強い 技術一覧

この 技術と関連性が強い人物

関連性が強い人物一覧

この 技術と関連する社会課題

関連する挑戦したい社会課題一覧

この 技術と関連する公募課題

関連する公募課題一覧

astavision 新着記事

サイト情報について

本サービスは、国が公開している情報(公開特許公報、特許整理標準化データ等)を元に構成されています。出典元のデータには一部間違いやノイズがあり、情報の正確さについては保証致しかねます。また一時的に、各データの収録範囲や更新周期によって、一部の情報が正しく表示されないことがございます。当サイトの情報を元にした諸問題、不利益等について当方は何ら責任を負いかねることを予めご承知おきのほど宜しくお願い申し上げます。

主たる情報の出典

特許情報…特許整理標準化データ(XML編)、公開特許公報、特許公報、審決公報、Patent Map Guidance System データ