Brevet FR2489560A1 — publié le 19820305

La présente invention concerne des ensembles d'alarme et en particulier ceux qui sont destinés aux centrales nucléaires. Dans les installations techniques importantes et complexes, le nombre d'alarmes pouvant être présentes à un moment quelconque peut facilement déborder un opérateur responsable d'une telle installation. Lors de la recherche de la cause par exemple de l'échauffement d'un roulement d'un moteur particulier, il est possible que l'opérateur ne détecte pas une cause principale de l'échauffement du roulement, par exemple un défaut de fluide de refroidissement dû à une panne d'une pompe. On a mis au point des systèmes d'alarme de type arborescent dans lesquels chaque alarme est examinée par un ordinateur et classée comme cause essentielle ou comme alarme mineure afin que l'analyse du type d'alarme par les opérateurs soit facilitée. Ces ensembles peuvent alors idendifier la cause essentielle en indiquant à l'opérateur soit sous forme d'une liste associée à la cause essentielle soit séparément, les autres alarmes provoquées par la cause essentielle. Il faut noter qu'une alarme, dans un cas particulier, peut être la résultante d'une autre alarme d'ordre hiérarchique plus élevé alors que, à un autre moment, elle peut constituer une cause essentielle elle-même. La mise au point d'un ensemble d'alarme de type arborescent pour des machines du type décrit est une opération facile bien qu'elle puisse prendre beaucoup de temps lorsque les arrangements d'alarme sont complexes. Cependant, la mise en oeuvre d'un tel système à l'aide d'un ordinateur, sans une étude très poussée de son exécution, peut conduire à un accès si fréquent à l'information d'une mémoire auxiliaire que la fonction de traitement de l'ordinateur peut être ralentie au point que la présentation de l'alarme s'en trouve retardée. L'invention concerne un ensemble d'alarme dans lequel des inconvénients de la présentation multiple des alarmes sont notablement réduits. Un ensemble d'alarme selon l'invention comporte plus précisément un ordinateur, un premier dispositif d'affichage d'une information d'alarme due à une cause essentielle, un dispositif supplémentaire d'affichage d'alarmes secondaires, dépendant d'au moins une alarme associée indiquée par le premier dispositif d'affichage, l'état de chaque condition contrôléepar l'ordinateur étant présenté à une entrée de celui-ci sous une forme numérique et étant lu par l'ordinateur à intervalles périodiques, l'ordinateur ayant au moins un mot de données pour chacune des conditions contrôlées et étant tel que, à chaque lecture d'une condition, il compare l'état actuel de cette condition#à l'état antérieur de celle-ci comme indiqué par les données respectives mémorisées afin qu'il détermine un changement d'état de la condition et le fait que ce changement d'état indique que la condition est une alarme afin qu'il détermine auquel de n groupes d'alarmes appartient l'alarme, et qu'il commande un dispositif associé choisi parmi n dispositifs d'avertissement du dispositif supplémentaire d'affichage associé au groupe particulier d'alarmes, l'ordinateur assurant aussi la considération périodique de chaque alarme par rapport à d'autres alarmes éventuelles afin qu'il détermine si l'alarme est une cause essentielle ou est une alarme résultant d'une autre cause, et affiche chaque alarme due à une cause essentielle sur le premier dispositif d'affichage. Le premier dispositif d'affichage est de préférence est un ensemble d'affichage visuel, et chaque alarme due à une cause essentielle est affichée sous forme d'une phrase ou d'un mot. Chaque affichage d'une alarme due à une cause essentielle peut aussi comprendre une référence à un manuel d'utilisation de l'installation, indiquant les vérifications qui doivent être effectuées ou pouvant contenir une suite suggérée de mesures à prendre. Une alarme due à une cause essentielle peut être créée par l'ordinateur et affichée sur l'ensemble visuel lorsqu'un certain nombre d'alarmes sont présentes et ne sont pas reliées à une condition contrôlée en particulier. D'autres caractéristiques et avantages de l1in- vention ressortiront mieux de la description qui va suivre, faite en référence aux dessins annexés sur lesquels la figure 1 est une simple structure arborescente d'alarme la figure 2 est un diagramme synoptique d'un ensemble d'alarme selon l'invention ; la figure 3 est un schéma indiquant comment les figures 4 et 5 doivent être assemblées ; et les figures 4 et 5, assemblées comme indiqué sur la figure 3, représentent une partie d'un exemple de structure arborescente d'alarme pour une centrale. La structure arborescente d'alarme représentée sur la figure 1 est une structure simple destinée à un circuit d'huile d'une pompe d'alimentation, montrant comment une structure arborescente d'alarme est formée. Par exemple, lorsque les machines contrôlées ont quatre paliers, une condition contrôlée peut être la température des paliers. Si l'un quelconque des paliers s'échauffe, la condition d'alarme correspondant à la température du palier N élevée (1 à 4) est créée. La température du palier de valeur élevée peut être due à l'interruption de la circulation de l'huile vers le palier ou à l'interruption de la transmission de fluide derefroidissement au palier, ces conditions donnant lieu à des alarmes correspondant à N arrêts de courant d'huile comme indiqué par la référence 5 à 8 ou à l'arrêt de N courants de fluide de refroidissement repérés par les références 9 à 12. L'interruption du courant d'huile peut être due à l'arrêt de la pompe à huile qui peut donner lieu à une alarme 13 d'arrêt de pompe à huile. De manière analogue, l'interruption du courant de fluide de refroidissement peut être due à une panne de la pompe de fluide de refroi dissement qui peut créer une alarme 14 d'arrêt de pompe. Ces alarmes 13 et 14 d'arrêt de pompe peuvent apparaitre lorsque les alimentations sont interrompues, et donnent ainsi des alarmes 15 et 16 d'interruption d'alimentation de pompe à huile et de pompe de fluide de refroidissement respectivement. Lorsque les deux alarmes 15 et 16 sont présentes, un ordinateur qui contrôle l'installation peut créer une alarme synthétique 17 de panne d'alimentation principale. On considère maintenant l'action de l'ordinateur lors de l'analyse des alarmes. Lorsque l'un des paliers tourne avec une température élevée, l'une des alarmes, par exemple l'alarme 2 de température élevée du palier 2, est présente. Lorsqu'aucune alarme d'ordre supérieur, telle que les alarmes 6 et 14 d'interruption de courant d'huile et d'arrêt de pompe de fluide de refroidissement, ne sont présentes, l'ordinateur donne le message température élevée du palier 2" sur un ensemble visuel d'affichage correspondant à des alarmes dues à des causes essentielles. Cependant, si par exemple l'alarme 6 "arrêt de la circulation d'huile n0 2" apparaît, l'alarme "température du palier n0 2 élevée" peut être supposée due à une panne d'ordre supérieur. L'ordinateur affiche donc le message "arrêt de circulation d'huile n0 2" comme cause essentielle sur l'ensemble visuel d'affichage et traite l'autre alarme comme secondaire. Si toutes les alarmes l à 4 de "température de palier élevée" sont présentes sans cause d'ordre supérieur, l'ordinateur peut indiquer les quatre alarmes comme cause essentielle sur l'ensemble visuel d'affichage et en même temps peut créer une alarme synthétique 18 indiquant "filtre à huile sale". Dans une variante, cette alarme "filtre à huile sale" peut être affichée comme cause essentielle, et les alarmes des températures élevées des paliers peuvent être traitées comme alarmes secondaires. Les alarmes synthétiques possibles sont indiquées dans le schéma par les traits interrompus. Il faut noter que la structure arborescente simplifiée d'alarme de la figure 1 est décrite afin que le lecteur puisse comprendre le procédé essentiel de détermination de l'ordre de la cause essentielle dans l'arbre d'alarme. On se réfère à la figure 2 qui indique que l'ensemble d'alarme comporte un ordinateur 20 ayant un certain nombre de dispositifs de contrôle de condition d'alarme (non représentés) reliés par des circuits 21 à 2n de couplage. L'ordinateur 20 a accès à une mémoire 40 à accès rapide et à une mémoire auxiliaire 30 qui peut être une mémoire à disque par exemple. Les signaux de sortie de l'ordinateur sont transmis à une console 31 d'opérateur qui comprend un ensemble visuel 32 d'affichage qui permet l'affichage de messagesd'alarme, et un panneau 34 d'alarme de groupe d'installations ayant une lampe pour chaque groupe d'alarmes auquel les conditions contrôlées d'alarme peuvent être attribuées. L'ensemble visuel 32 a un clavier associé 33 qui peut être utilisé par l'opérateur pour la demande de l'affichage de toutes les alarmes présentes dans un groupe particulier (comme indiqué par une lampe-témoin éclairée d'alarme du panneau 34) ou qui peut être utilisé pour la demande d'une analyse des alarmes d'un groupe particulier afin que la ou les causes principales d'alarme de ce groupe soient déterminées. Les alarmes "principales" ou dues à des causes essentielles sont affichées sur l'ensemble visuel 32 alors que les alarmes auxiliaires peuvent être affichées soit sur l'unité visuelle 32 soit (le cas écheant) sur une unité visuelle séparée d'affichage (non représentée). Périodiquement, par exemple toutes les 200 millisecondes, l'ordinateur 20 analyse chaque condition d'entrée des circuits 21 à 2n de couplage et enregistre ces conditionsdans un mot individuel de mémoire pour chaque condition dans la mémoire 40 à accès rapide. Les programmes nécessaires à l'analyse et à la mémorisation des conditions d'entrée sont bien connus et on ne les décrit donc pas dans le présent mémoire. Il faut noter que les circuits de couplage 21 à 2n ne doivent pas obligatoirement posséder des entréesindividuelles dans l'ordinateur mais peuvent être atteints par l'intermédiaire d'un concentrateur (non représenté), à la suite d'un adressage convenable. Un exemple de centrale nucléaire peut par exemple comprendre cinq mille dispositifs de contrôle qui peuvent être adressés par exemple à l'aide d'une adresse binaire à 13 bits. Un programme séparé d'ordinateur mis en oeuvre en synchronisme avec le programme d'analyse compare l'état de chaque condition contrôlée, telle qu'elle est mémorisée par son mot dans la mémoire à accès rapide, avec l'état antérieur de cette condition. Lorsque ce programme détecte un changement d'état de la condition contrôlée (par exemple une nouvelle alarme ou l'effacement d'une alarme), le changement et le moment du changement sont enregistrés dans la mémoire auxiliaire 30. Cette information peut être transmise à une imprimante (non représentée). Lorsque ce dernier programme détecte un changement d'état de la condition d'alarme, il détermine à partir des données conservées dans la mémoire auxiliaire 30, ces données étant déterminées par l'utilisateur à partir de la structure arborescente d'alarme, auquel des cents groupes d'installations par exemple appartient l'alarme. A moins qu'il existe déjà une autre alarme dans le groupe, le programme provoque un changement d'un des cent mots correspondants de données de la mémoire 40 à accès rapide afin qu'il indique la présence de l'alarme dans le groupe et commande 11 éclairement d'une lampe-témoin correspondante d'alarme sur le panneau 34 d'alarme de groupe. La commande d'une lampe-témoin d'alarme sur le panneau 34 est une instruction donnée à l'opérateur afin qu'il vérifie les alarmes de ce groupe. Chaque lampe-témoin d'alarme a un numéro de groupe correspondant et un titre disposé au-dessus de la lampe, sur le panneau 34. A l'aide du clavier 33, l'opérateur peut demander que toutes les alarmes présentes dans un groupe particulier soient affichées sur l'ensemble visuel 32 ou sur un ensemble visuel séparé d'affichage ,non représenté). Dans une variante, l'opérateur peut demander une analyse des alarmes du groupe particulier. Lorsque l'analyse des alarmes est demandée, l'ordinateur 20 est destiné à localiser l'alarme ou les alarmes dues à une cause essentielle et à afficher ces alarmes sur l'ensemble visuel 32 d'affichage des causes essentielles. Toutes les alarmes du groupe peuvent être affichées individuellement en même temps sur l'ensemble visuel séparé d'affichage (non représenté). Des données déterminées par l'utilisateur (préparées à partir de la structure arborescente d'alarmes comme indiqué précédemment) sont conservées dans la mémoire auxiliaire 30 pour chacun des cents groupes d'installations. Ces données représentent les liaisons entre les alarmes de la structure arborescente et le titre d'affichage de chaque alarme. Les données comprennent aussi des liaisons et des titres d'alarmes synthétiques qui sont détectés par une analyse logique des alarmes qui peuvent être présentes dans le groupe. Une information auxiliaire, par exemple des références de chapitres d'un manuel d'instructions, peut aussi être conservée dans la mémoire. Lorsqu'une analyse des alarmes d'un groupe particulier est soit demandée par un opérateur soit demandée à la suite d'une analyse automatique indiquée dans la suite du présent mémoire, les données du groupe correspondant sont localisées dans la mémoire auxiliaire 30 et trans férées à la mémoire à accès rapide 40. Un programme d'organisation de mise en place dispose alors les données dans le groupe par mise en oeuvre de sous-programmes normalisés convenables de l'ordinateur 20. Les principaux sous-programmes utilisés sont appelés ANALYSE DE GROUPE, APPEL, LIAISON, AFFICHAGE et GROUPE. Les fonctions de tous ces sous-programmes sont les suivantes. Le sous-programme ANALYSE DE GROUPE est tel que n appelle les données du groupe n dans la mémoire auxiliaire 30 et les transmet à la mémoire à accès rapide 40 de l'ordinateur 20. Le sous-programme APPEL examine le mot correspondant de données (déterminé par les données appelées dans la mémoire auxiliaire) concernant le numéro d'alarme et détermine si la condition contrôlée est une alarme. Si la condition est normale (c'est-à-dire en l'absence d'alarme), le programme passe à l'APPEL suivant ou lorsque toutes les alarmes du groupe ont été examinées, à l'ANALYSE DE GROUPE suivante Lorsqu'une alarme est présente, un sous-programme de LIAISON ou AFFICHAGE, suivant la position de l'alarme dans la structure arborescente, est mis en oeuvre. Le sous-programme de LIAISON examine le mot de données correspondant (déterminé par les données retirées de la mémoire auxiliaire) concernant le numéro d'alarme et détermine si la condition d'alarme est présente. Si la condition d'alarme d'ordre plus élevé n'est pas présente, la sortie de sous-programme LIAISON conduit à un autre sous-programme LIAISON ou à un sous-programme AFFICHAGE. Lorsque la condition d'alarme est présente, la sortie du sous-programme LIAISON conduit à un sous-programme APPEL suivant ou un sous-programme suivant ANALYSE DE GROUPE. Le sous-programme GROUPE est utilisé pour la formation d'une alarme synthétique lorsqu'un nombre "m" d'alarmesd'un sous-groupe du groupe principal est présent. Les numéros d'alarmes de chaque élément du sous-groupe sont conservés dans une liste p qui a été transférée de la mémoire auxiliaire par le sous-programme ANALYSE DE GROUPE. Si m alarmes ou plus de la liste p sont présentes, un sousprogramme AFFICHAGE indique l'alarme synthétique déterminée par le numéro d'alarme synthétique sur l'unité visuelle 32 d'affichage de la cause essentielle. La sortie du sousprogramme GROUPE conduit à un autre sous-programme GROUPE ou à un sous-programme AFFICHAGE. Les sous-programmes APPEL et LIAISON peuvent conduire à un sous-programme GROUPE. Les données destinées aux sous-programmes APPEL et LIAISON peuvent comprendre un paramètre de l'ensemble empêchant l'entrée dans le sous-programme lorsque la vérification effectuée ne se trouve pas dans l'ensemble particulier. La préparation des données pour chaque groupe apparaît plus clairement dans les exemples suivants. La structure arborescente d'alarme représentée sur les figures 4 et 5, assemblées comme indiqué sur la figure 3, se rapporte à un circuit de circulation de gaz (GC) d'une centrale nucléaire ayant deux réacteurs (Ri et R2). L'accolade du coin inférieur gauche de la figure 4 correspond à un état d'alarme indiquant que la température de sortie des gaz de refroidissement du moteur du circuit de circulation est trop élevée. Les données de cette alarme sont telles que la référence GC 304 Ai indique que la température de sortie des gaz de refroidissement du moteur Ai du circuit de circulation est trop élevée et que cette alarme peut être auxiliaire par rapport aux alarmes GC 302 AlA, GC 302 AlB, GC 302 AlC et GC 303 Ai. Le programme d'organisation de mise en place interprète ces données par mise en oeuvre des sous-programmes suivants APPEL : GC304Ai LIAISON : GC302AlA LIAISON : GC302AlB LIAISON : GC302AlC LIAISON : GC303Ai AFFICHAGE : TEMPERATURE DE SORTIE DES GAZ DE REFROIDISSEMENT DU MOTEUR TROP ELEVEE La mise en place des données comme indiqué a lieu lorsque aucune des alarmes GC302AiA, GC302A1B, GC302A1C ou GC303A1 n'est présente et si l'alarme GC304A1 est présente. Dans ce cas l'alarme GC304A1 est l'alarme d'ordre hiérar chique le plus élevé présente et elle est affichée comme cause essentielle. Si l'une des alarmes d'ordre élevé est présente, la mise en place des données par les sous-programmes LIAISON cesse et le programme d'organisation de mise en place assure la mise en place des données concernant l'alarme suivante. L'alarme d'ordre élevé est ensuite analysée par ellemême et elle peut alors être affichée comme étant une alarme due à une cause essentielle. Ainsi, si l'alarme GC302A1B est aussi présente et si l'alarme GC303A1 n'est pas présente, lorsque la mise en place des données de la condition GC302A1B apparaît, un affichage de cause essentielle de température du moteur AI du circuit de circulation trop élevée est affiché. En conséquence, l'opérateur est conduit à la cause correspondant à la température élevée de sortie et non à l'effet qui est la température élevée du moteur. On considère maintenant une analyse plus complexe du débit d'eau de refroidissement de gaz du circuit de circulation de gaz comme indiqué dans la partie supérieure gauche de la figure 5, le programme d'organisation de mise en place assurant la disposition des données pour cette alarme APPEL : GC122AlA LIAISON (R1) : RP1061 LIAISON (R1-) : RP1421 GROUPE : 2 : LISTE 1 :GC402 AFFICHAGE : débit d'eau de refroidissement du refroidisseur de gaz trop faible GCA1A La liste 1 est la suivante GC122A1A GC122AlB GC122A2A GC122A2B. Ainsi, la condition GC122A1A est une condition d'alarme, la condition RP1061 du réacteur 1 (LIAISON (R1)) (débit d'eau de refroidissement du réacteur insuffisant) et la condition RP1421 du réacteur 1 sont vérifiées. Lorsque aucune des alarmes d'ordre élevé n'est présente, les conditions d'alarme associées au débit d'eau de refroidissement du refroidisseur de gaz GC122A1A, GC122A1B, GC122A2A, GC122A2B sont vérifiées et si deux ou plus de ces quatre conditions d'alarme sont présentes (GROUPE 2), l'alarme synthétique indiquant un débit insuffisant d'eau de refroidissement dans le circuit du refroidisseur GC402 est affichée sur l'unité visuelle 32 comme cause essentielle. Il faut noter que la séparation de l'analyse successive des alarmes et de leur analyse particulière, sans que chaque alarme soit étudiée lorsqu'elle apparaît, empêche le débordement de l'ordinateur par des demandes importantes transmises à la mémoire auxiliaire et par l'attente du transfert des données convenables. Toutes les alarmes peuvent être affichées pour l'opérateur, mais les principaux défauts sont aussi rendu facilement apparent. En l'absence d'une demande particulière de l'opérateur demandant l'analyse d'un groupe particulier, l'ordinateur 20 peut assurer l'appel de l'analyse de chaque groupe à son tour à des intervalles périodiques afin que l'opérateur reste informé des causes essentielles de toutes les conditions d'alarme présentes dans l'installation. Comme l'ordinateur peut aussi transmettre diverses conditions telles que l'ouverture ou la fermeture de vannes à commande manuelle, l'opérateur, à l'aide du clavier 33, peur demander une analyse de l'état convenable de l'installation dans des conditions de panne. Le programme d'organisation de mise en place peut être utilisé pour la mise en place des données par les mêmes sous-programmes en vue de l'analyse de l'état actuel de l'installation, avec avertissement de l'opérateur afin qu'il prenne les mesures correctrices convenables. Des accidents dans diverses centrales ont montré l'importance d'une action préventive convenable lorsque des conditions d'alarmes apparaissent initialement et l'importance de la coîncidence de deux ou trois états de panne qui, individuellement, ne provoquent que le fonctionnement d'un élément de secours ou la réduction de l'inté- grité de l'installation, d'une manière prévue et acceptable individuellement. Dans un exemple particulier, on considère les restrictions imposées au fonctionnement d'une centrale nucléaire afin que le refroidissement après la mise en route soit toujours disponible, même en cas d'accident important, par exemple d'incendie de càblesou d'une rupture du circuit de refroidissement. Par exemple, quatre pompes à incendie, entraînées par des moteurs diesel, peuvent être incorporées à une centrale et le fonctionnement peut se poursuivre en toute sécurité lorsqu'une pompe n'est pas disponible, mais le risque est accru lorsque l'indisponibilité d'une pompe se prolonge. Lorsque deux pompes sont indisponibles, pendant une certaine période (par exemple deux heures), la centrale doit être arrêtée même s'il n'y a pas d'incendie, pour des raisons de prudence. Un réacteur à refroidissement par gaz a habituellement quatre circuits de chaudière ayant chacun un ventilateur de circulation de gaz entraîné par un moteur principal et par un moteur auxiliaire utilisé lors de l'arrêt. Après la mise en route, une chaudière au moins doit être disponible, la disponibilité étant déterminée d'après les conditions suivantes la) l'alimentation du moteur auxiliaire est disponible lb) l'alimentation de la commande du moteur auxiliaire est disponible ic) l'appareil de commande du moteur auxiliaire est disponible ld) la protection du moteur auxiliaire n'a pas fonctionné le les températures des paliers du circuit de circulation associé de gaz ne sont pas excessives ; et If) un moteur rapide de commande d'ailettes de guidage d'entrée du circuit de circulation associé est disponible. L'indisponibilité de l'une quelconque des conditions précédentes est indiquée par la présence d'une alarme correspondante. Les restrictions de fonctionnement en l'absence d'alarme sont les suivantes lg) un commutateur sélecteur de mode de moteur auxiliaire associé est mis en position de mise en route automatique 1h) un commutateur de section de ligne omnibus du panneau d'alimentation du circuit de circulation de gaz à 415 V est disponible chaque fois qu'un ensemble moteur auxiliaire-chaudiere du même sous-ensemble n'est pas disponible lj) un transformateur 3,3 kV/415 V du circuit de circulation de gaz est disponible dans chaque sous-ensemble;; 1k) une soupape de décharge de collecteur d'alimentation d'urgence associé est totalement ouverte 11) une vanne associée d'isolement d'économiseur est totalement ouverte lm) une soupape de régulation d'eau d'alimentation à la mise en route associée est totalement ouverte in) l'appareillage de commande pouvant provoquer la fermeture d'une vanne d'arrêt de la chaudière associée est disponible lo) un appareillage de réglage d'une vanne de décharge de vapeur associée est disponible lp) un mode automatique de commande est choisi dans le circuit de commande de la vanne de décharge de vapeur.La sélection du mode manuel de commande est indiquée par une alarme lq) l'appareillage de commande de vanne de décharge de vapeur n'est pas en cours d'essai, une alarme étant in diquée lorsque l'appareillage est en cours d'essai ; et 1r) la demande de pression de décharge de vapeur se trouve entre des limites prédéterminées, nécessaires après la mise en route. Les restrictions de fonctionnement imposées à des paires de chaudières peuvent être exprimées pour deux ensembles séparés de chaudières, par exemple un premier ensemble comprenant des chaudières A et B et un second ensemble comprenant des chaudières C et D. Pour des raisons de sécurité (à titre purement illustratif) 2a) une seule chaudière au maxs doit être indisponible dans chaque jeu d'un réacteur en fonctionnement pendant une période dépassant une heure, à moins qu'un arrêt programmé du réacteur ait commencé 2b) l'indisponibilité d'une chaudière d'un jeu quelconque est indésirable et ne doit pas se prolonger pendant de longues périodes car, lorsqu'une incendie affecte un jeu, le fonctionnement du moteur du circuit de circulation après la mise en route peut affecter l'autre jeu, lors de la protection.Le fonctionnement sur trois circuits de gaz doit être déclenché lorsque la situation ne s'est pas améliorée après quatre heures, afin que la probabilité de la perte d'une chaudière disponible à la suite d'une panne, déclenchant un disjoncteur d'un moteur principal, soit réduite 2c) l'intégrité d'une chaudière est obtenue à l'aide d'alimentationsredondantes, etc. Lorsqu'une chaudière d'un jeu est indisponible et lorsqu'il n'y a pas la totalité des alimentations essentielles disponibles pour l'autre ensemble ou lorsque des ensembles de rechange sont indisponibles, l'arrêt programmé du réacteur doit être déclenché lorsque la situation ne peut pas être corrigée dans les quatre heures qui suivent 2d) l'intégrité du système repose sur la disponi bilité d'un collecteur d'alimentation d'urgence qui est entièrement connecté.Il est indesirable que les vannes des collecteurs soient fermées (manuellement ou automatiquement). Lorsqu'une chaudière est indisponible (par exemple dans le second groupe), la vanne automatique ou manuelle associée à la section de collecteur alimentation les chaudières de l'ensemble l ne doivent pas être fermées pendant plus de douze heures, ou 2e) l'indisponibilité d'une chaudière d'un jeu coexistant avec l'indisponibilité dans l'autre jeu d'un transformateur du circuit de circulation de gaz ne doit pas durer plus de huit heures. Les restrictions précédentes peuvent être représentées par une combinaison de groupements dsalarmes et de tablesde vérité. Celles-ci peuvent être exprimées par des données d'analyse d'alarme et interprétées de la manière décrite précédemment. La coîncidence de l'apparition d'alarmespeut être utilisée pour la création d'alarmes convenables et pour la présentation d'une phrase comprenant une limite de temps. Un sous-programme de retard peut être incorporé afin qu'une alarme supplémentaire soit affichée après un retard convenable. Dans le cas de l'exemple qui précède, les alarmes "chaudière non disponible" (lA, lB, lC, lD pour chaque chaudière) doivent être formées par un sous-programme GROUPE comprenant les point l(a) à l(r) qui précèdent, après déclenchement comme décrit lorsque l'une des conditions l(a) à l(r) n'est pas acceptable. Les données de la mémoire auxiliaire, lors de la vérification de l'acceptabilité de l'état de l'installation en ce qui concerne les restrictions de fonctionnement 2(a) et 2(b) peuvent être utilisées par le programme d'organisation de mise en place sous la forme suivante LISTE Riz2 : chaudière A ; chaudière B ; chaudière C chaudière D LISTE Ri : chaudière A ; chaudière B LISTE R2 : chaudière C ; chaudière D GROUPE 2 : LISTE Ri : ALARME D'ARRET GROUPE 2 : LISTE R2 : ALARME D'ARRET GROUPE 1 : LISTE RlR2 :ALARME D'ISOLEMENT APPEL : ALARME D'ARRET AFFICHAGE : deux chaudières en panne - arrêt dans moins d'une heure APPEL : ALARME D'ISOLEMENT LIAISON : ALARME D 'ARRET AFFICHAGE : panne de chaudière - isolement dans moins de 4 heures. Ainsi, lorsqu'une analyse d'alarmes est exécutée en mode automatique, le programme d'organisation met en place les données par l'intermédiaire des sous-programmes d'abord à l'aide du sous-programme GROUPE, afin qu'il détermine Si les deux chaudières (GROUPE : 2) de chaque ensemble (LISTE LISTE R2) sont indisponibles. Si cela est vérifié, le sous-programme passe à l'alarme d'arrêt dans la mémoire 40 à accès rapide et la mémoire auxiliaire 30. Si l'une quelconque des quatre chaudières est indisponible (GROUPE l), une alarme d'isolement est formée. Si l'alarme d'arrêt-est présente, l'ensemble visuel 32 d'afflchage de la cause essentielle indique "deux chaudières en panne - arrêt dans moins d'une heure". Dans ce cas, 11 alarme d'isolement est traitée comme alarme auxiliaire. Si l'alarme d'isolement est présente en l'absence de l'alarme d'arrêt, l'ensemble visuel 32 affiche "panne de chaudière - isolement dans moins de 4 heures". L'exemple décrit précédemment illustre le principe de l'analyse de l'état d'acceptabilité de l'installation. Les autres restrictions de fonctionnement peuvent être formées d'une manière analogue. REVENDICATIONS l. Ensemble d'alarme, caractérisé en ce qu'il comprend un ordinateur (20), un premier dispositif (32) d'affichage d'une information d'alarme due à une cause essentielle, un dispositif supplémentaire (34) d'affichage d'alarmes auxiliaires dépendant d'au moins une alarme associée affichée sur le premier dispositif d'affichage (32), l'état de chaque condition étant contrôlé par l'ordinateur (20) par présentation à une entrée (21-2n) de l'ordinateur (20) sous forme numérique et étant lu à intervalles périodiques par l'ordinateur (20), celui-ci ayant au moins un mot de données pour chacune des conditions contrôlées et étant tel que, à chaque lecture d'une condition, il compare l'état actuel de la condition à l'état antérieur de cette condition comme indiqué par des données correspondantes mémorisées afin qu'il détermine le moment où a lieu un changement d'état de la condition et si ce changement d'état indique que la condition est une alarme afin qu'il détermine auquel de n groupes d'alarmes l'alarme appartient, et qu'il active un dispositif correspondant choisi parmi n dispositifs d'avertissement du dispositif supplémentaire (34) d'affichage associé au groupe particulier d'alarmes, l'ordinateur (20) assurant aussi périodiquement la prise en considération de chaque alarme par rapport à d'autres alarmes éventuelles afin qu'il détermine si l'alarme est due à une cause essentielle ou s il s'agit d'une alarme résultant d'une autre cause, et que chaque alarme due à une cause essentielle soit affichée sur le premier dispositif d'affichage (32). 2. Ensemble selon la revendication l, caractérisé en ce que le premier dispositif d'affichage (32) est un ensemble visuel d'affichage. 3. Ensemble selon la revendication 2, caractérisé en ce que l'ordinateur (20) est destiné à commander l'affichage d'une alarme due à une cause essentielle sous forme d'un mot ou d'une phrase sur l'ensemble visuel d'affichage (32). 4. Ensemble selon la revendication 3, caractérisé en ce que l'ordinateur (20) est aussi réalisé afin qu'il commande l'affichage, sur l'ensemble visuel d'affichage (32), d'une référence à une information supplémentaire qui est disponible pendant au moins certaines des alarmes affichées dues à une cause essentielle. 5. Ensemble selon l'une quelconque des revendications précédentes, caractérisé en ce que l'ordinateur (20) assure aussi périodiquement la considération de groupements prédétermines de conditions contrôlées et, lorsqu'un nombre de conditions de l'un des groupements prédéterminés dépassant un nombre spécifié se trouve à l'état d'alarme sans alarme d'ordre plus élevé concernant une condition contrô idée, il provoque l'affichage par le premier dispositif (32) d'affichage d'une alarme de cause essentielle déterminée à partir du groupement considéré. 6. Ensemble selon l'une quelconque des revendications précédentes, caractérisé en ce que l'ordinateur (20) assure aussi périodiquement la considération des possibilités de fonctionnement des éléments de l'appareil contrôlé et détermine l'acceptabilité d'un fonctionnement continu de l'appareil lorsque certaines parties de celui-ci ne sont pas disponibles et, lorsque le fonctionnement continu de l'appareil est inacceptable, il provoque l'affichage d'un message convenable par le premier dispositif d'affichage (32). 7. Ensemble selon la revendication 6, caractérisé en ce que l'ordinateur (20) est aussi destiné à déterminer, d'après les parties de l'appareil qui ne sont pas disponibles et par considération de la probabilité du passage à l'état indisponible d'autres parties de l'appareil, la probabilité pour que le fonctionnement continu de l'appareil devienne inacceptable au cours d'une période calculée, et l'affichage d'un message d'avertissement contenant cette période calculée sur le premier dispositif d'affichage (32). 8. Ensemble selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte en outre un clavier (33) destiné à être utilisé par un opérateur afin que celui-ci puisse demander à l'ordinateur (20) d'afficher sur le premier dispositif d'affichage (32) les titres de toutes les conditions d'alarmes présentes dans l'un des groupes d'alarmes. 9. Ensemble selon la revendication 8, caractérisé en ce que l'ordinateur (20) est aussi destiné à analyser l'un des groupes d'alarmes à la suite d'une demande provenant du clavier (33).