Brevet FR2633757A1 — publié le 19900105

La présente invention a trait à des systèmes de contrôle pour installation industrielle. Dans les installations industrielles, il est souvent nécessaire de disposer d'un système de contrôle qui arrêtera l'installation industrielle dans le cas o l'installation S industrielle fonctionnerait en dehors d'un régime de fonctionnement prédéterminé. Un système de contrôle connu qui arrêtera r'installation industrielle dans le cas o l'installation industrielle fonctionnerait en dehors d'un régime de fonctionnement prédéterminé, comprend plusieurs capteurs qui captent des paramètres propres à l'installation industrielle et qui transmettent des signaux de sortie à un circuit logique analysant les signaux de sortie pour déterminer si l'installation industrielle est en train de fonctionner à un régime de fonctionnement prédéterminé. Si le circuit logique détermine que l'installation industrielle fonctionne en dehors du régime de fonctionnement prédéterminé, un signal d'arrêt est produit et envoyé à des moyens pour arrêter rinstallation industrielle. Toutefois, les conséquences d'une défaillance dans l'arrêt de l'installation industrielle lorsqu'il est nécessaire, c'est-à-dire quand r'installation industrielle est en train de fonctionner en dehors du régime de fonctionnement prédéterminé, sont très graves en particulier dans certaines installations chimiques ou des centrales nucléaires. Ce système de contrôle connuestinadapté, car une défaillance d'une partie quelconque du système de contrôle peut permettre à l'installation industrielle de continuer à fonctionner alors qu'il est nécessaire de l'arrêter. Afin de surmonter le problème posé par la défaillance d'une partie quelconque du système de contrôle qui vient d'être décrit, un système de contrôle amélioré comprend plusieurs ensembles de capteurs, plusieurs circuits logiques et un circuit logique de décision a été imaginé. Dans ce système de contrôle, chaque ensemble de capteurs transmet ses signaux de sortie à l'un des circuits logiques qui analyse les signaux de sortie pour déterminer si rinstaliation industrielle est en train de fonctionner en dehors du régime de fonctionnement prédéterminé. Chaque circuit logique envoie un signal au circuit logique de décision. Le circuit logique de décision effectue une fonction pour, à partir des signaux reçus des circuits logiques, produire un signal d'arrêt de grande fiabilité. Si l'un quelconque des capteurs ou des circuits logiques a une défaillance, les capteurs restants dans les autres ensembles et les autres circuits logiques assurent que les signaux d'arrêt soiert envoyés au circuit logique de décision par un ou plusieurs des circuits logiques. Toutefois, les circuits logiques de décision sont sujets aux défaillances. Et, dans certaines installations industrielles, la probabilité de défaillance du circuit logique de 2 2633757 décision est encore trop élevée en termes de probabilité de défaillance de l'arrêt quand il est nécessaire. Un autre système de contrôle visant à surmonter le problème de la défaillance du circuit logique de décision a utilisé plusieurs circuits logiques de décision, chacun d'eux recevant les signaux de sortie de tous les circuits logiques. Dans ce système de contrôle, chaque circuit logique de décision actionne indépendamment des moyens pour arrêter l'installation industrielle. Un tel système de contrôle fournit un système effectif avec une probabilité considérablement réduite de défaillance vis-à-vis de l'arrêt de l'installation industrielle quand il est nécessaire. Cependant, ce système de contrôle a recours à un nombre relativement important de circuits logiques de décision et à un nombre relativement important de connexions qui rendent le système de contrôle relativement volumineux, relativement complexe et relativement cher. La présente invention cherche à fournir un système de contrôle pour une installation industrielle qui arrêtera l'installation industrielle dans le cas o l'installation industrielle fonctionnerait en dehors d'un régime de fonctionnement prédéterminé, avec une probabilité de défaillance relativement basse et dans lequel le système de contrôle est de volume réduit, relativement simple et relativement bon marché. Conformément à la présente invention, un système de contrôle pour une installation industrielle comprend une série d'ensembles instrumentaux et une série d'ensembles logiques, chaque ensemble instrumental comprenant une série de capteurs pour capter des paramètres de l'installation industrielle, chaque ensemble instrumental comprenant une série d'unités de contrôle connectées en série, chaque capteur étant adapté à transmettre un signal de sortie à chacune des séries d'unités de contrôle connectées en série, chaque ensemble logique comprenant une série de circuits logiques d'autosélection, un synchroniseur, un circuit logique de décision, un convertisseur série-parallèle et un circuit logique de contrôle, chacune des séries d'unités de contrôle connectées en série dans chaque ensemble instrumental étant conçue pour transmettre séquentiellement à run des circuits logiques d'autosélection dans chacun des ensembles logiques les signaux de sortie provenant de chacun des senseurs dans l'ensemble instrumental via des lignes de transmission respectives, chacun des circuits logiques d'autosélection dans chaque ensemble logique étant conçu pour sélectionner des données provenant de la série des capteurs de l'un des ensembles instrumentaux et pour transmettre les données au synchroniseur, le synchroniseur de chaque ensemble logique étant adapté à transmettre les données de chacun des circuits logiques d'autosélection au circuit logique de décision de l'ensemble logique de sorte que les signaux de sortie transmis par les capteurs dans chaque ensemble instrumental 3 2633757 captant le même paramètre sont transmis à peu près en même temps au circuit logique de décision, chaque circuit logique de décision étant conçu pour effectuer une fonction de décision vis-à-vis des signaux de sortie provenant des capteurs dans tous les ensembles instrumentaux captant le même paramètre afin de produire une série de signaux unitaires de grande fiabilité qui sont adaptés à être transmis au convertisseur série-parallèle de rensemble logique, chaque convertisseur sérieparallèle étant adapté à convertir la série de signaux de grande fiabilité en signaux parallèles de grande fiabilité qui sont transmis au circuit logique de contrôle de rensemble logique, chaque circuit logique de contrôle étant conçu pour contrôler le fonctionnement d'une installation industrielle en réponse aux signaux de grande fiabilité. Le circuit logique de contrôle peut être un circuit logique d'arrêt conçu pour contrôler ractionnement de moyens pour arrêter l'installation industrielle. Le circuit logique de contrôle peut être un circuit de processeur à algorithme de contrôle conçcu pour contrôler en continu rinstallation industrielle. Au moins un des circuits logiques d'autosélection peut sélectionner des données provenant de la série de capteurs d'un des ensembles instrumentaux en sélectionnant des lignes de transmission avec des signaux en série. Au moins un des circuits logiques d'autosélection peut sélectionner des données provenant de la série de capeturs d'un des ensembles instrumentaux en sélectionnant un codage détectant une erreur. Le synchroniseur peut comprendre une mémoire première entrée/première sortie. Les signaux de sortie séquentiels peuvent être renvoyés aux unités de contrôle connectées en série via des lignes respectives de transmission secondaires pour être décodés et comparés aux signaux de sortie transmis. Chacune des unités de contrôle connectées en série peut posséder un avertisseur d'anomalie. Chaque ensemble instrumental, peut comprendre des moyens d'auto-test, les moyens d'auto-test étant conçus pour transmettre des signaux tests à chacune des séries d'unités de contrôle connectées en série, chaque unité de contrôle connectée en série étant disposée pour transmettre les signaux tests sequentiellement avec les signaux de sortie provenant de chacun des capteurs dans rensemble instrumental à un des circuits logiques d'autosélection dans chacun des ensembles logiques en série via des lignes de transmission, le circuit logique de décision de chaque ensemble logique étant disposé pour effectuer une fonction de décision pour, à partir des signaux de test provenant des moyens d'autotest de chaque ensemble instrumental, produire un signal test de grande fiabilité, chaque ensemble logique ayant des moyens de vérification pour s'assurer que le signal test de grande fiabilité est correct. 4 2633757 Les moyens de vérification peuvent recevoir des signaux provenant du convertisseur série-parallèle. Chacun des moyens de vérification peut comprendre un avertisseur d'anomalie. L'installation industrielle peut être une centrale nucléaire. La centrale nucléaire peut avoir un réacteur nucléaire à eau sous pression. Chaque circuit logique d'arrêt si anomalie peut être adapté à contrôler ractionnement de moyens d'arrêt séparés. Chaque circuit logique d'arrêt si anomalie peut être adapté à contrôler l'actionnement d'une seule barre de contrôle ou d'un groupe de barres de contrôle. La présente invention va être décrite plus en détail à l'aide d'un exemple et par référence aux dessins joints, sur lesquels: - la figure I est un schéma d'un système de contrôle pour une installation industrielle conformément à la présente invention, - la figure 2 est un schéma d'un ensemble instrumental montré sur le figure 1, - la figure 3 est un schéma d'un ensemble logique montré sur la figure I, - la figure 4 est un tableau illustrant des vecteurs tests pour une décision deux sur trois. Un système de contrôle 10 pour une installation industrielle (non représentée) est montré sur la figure 1 et comprend une série d'ensembles instrumentaux 12A, 12B à 12N ainsi qu'une série d'ensembles logiques 14A, 14B à 14L. L'ensemble instrumental 12A est montré schématiquement plus en détail sur la figure 2 et comprend une série de capteurs 16A, 16B, 16C à 16N, dont chacun capte un paramètre ou une condition de l'installation industrielle. Les capteurs peuvent mesurer par exemple des températures, des pressions, des vibrations ou tout autre paramètre souhaité au même endroit ou à différents endroits au travers de linstallation industrielle. Chacun des capteurs 16A, 16B, 16C à 16N émet un signal de sortie, dépendant du paramètre à capter, qui est adapté à être transmis respectivement à des canaux instrumentaux 20A, 20B, 20C à 20N via des éléments de conduction électrique 18A, 18B, 18C à 18N respectivement. Les canaux instrumentaux 20A, 20B, 20C à 20N traitent les signaux de sortie, par exemple les amplifient, les filtrent, etc. et produisent des signaux de déclenchement. Les canaux instrumentaux 20A, 20B, 20C à N sont adaptés à transmettre leurs signaux de sortie respectifs à une paire d'unités de contrôle 24A et 24B connectées en série via des éléments de conduction électrique 22A, 22B, 22C à 22N et 22A', 22B', 22C' à 22N' respectivement. Les canaux instrumentaux 20A à 20N émettent également des signaux de déclenchement partiel. Bien que deux unités de contrôle connectées en série soient utilisées dans l'exemple, il est tout aussi bien possible d'en utiliser plus de deux de façon à accroître la fiabilité du 2633757 système de contrôle. Les unités de contrôle 24A et 24B connectées en série sont adaptées à transmettre les signaux de sortie de chacun des capteurs 16A, 16B, 16C à 16N en série par rapport à chacun des ensembles logiques 14A, 14B à 14L via des élements 26A et 26A' de conduction électrique qui relient respectivement les ensembles logiques 14A à 14L en série. Des éléments 28A et 28A' de conduction électrique renvoientles signaux de sortie aux unités de contrôle 24A et 24B connectées en série afin de vérifier que les signaux de sortie reçus par les ensembles logiques concordent avec les signaux de sortie transmis. Si une discordance est détectée, les unités de contrôle connectées en série cessent leur transmission. S'il y a présence de signaux en série, ils sont utilisés par les ensembles logiques. Les unités de contrôle 24A et 24B connectées en série sont connectées électriquement par des éléments 30A et 30B à des avertisseurs d'anomalie (non représentés). afin de transmettre un signal avertisseur d'anomalie et d'actionner l'avertisseur d'anomalie si une discordance est détectée par les unités de contrôle 24A et 24B connectées en série entre les signaux de sortie transmis et les signaux de sortie reçus par les ensembles logiques. Les ensembles instrumentaux 12B, 12C à 12N sont essentiellement identiques à l'ensemble instrumental 12A. Et les ensembles instrumentaux 12B, 12C à 12N comprendront des capteurs mesurant les mêmes paramètres aux mêmes endroits que r'ensemble instrumental 12A. Toutefois, certains ensembles instrumentaux peuvent ne pas posséder tous les capteurs si les capteurs mesurant un paramètre particulier sont suffisamment fiables pour nécessiter moins de copies qu'il y a d'ensembles instrumentaux. Là o un capteur est omis, sa ligne de sortie est associée à un état de déclenchement ou de non-déclendhement, comme cela est nécessaire afin d'obtenir la décision souhaitée des capteurs qui sont présents. Les unités de contrôle connectées en sériepeuvent avoir recours à tout protocole convenable tel qu'un codeur détectant les erreurs, par exemple une méthode de codage du type Hamming ou une vérification cyclique par redondance. L'ensemble logique 14A est montré schématiquement plus en détail sur la figure 3 et comprend une série de circuits logiques d'autosélection 32A, 32B à 32N, c'est-à- dire un circuit logique d'autosélection pour chaque ensemble instrumental. Et chacun des circuits logiques d'autosélection 32A, 32B à 32N est conçu pour sélectionner les signaux de sortie provenant de tous les capteûrs d'un des ensembles instrumentaux en sélectionnant un élément de conduction électrique avec des signr'x en série ou bien en écartant un élément de conduction n'ayant pas de signaux en série. Cest pourquoi le circuit logique d'autosélection 32A par exemple sélectionne les signaux de sortie provenant de tous les capteurs 16A, 16B, 16C à 16N de l'ensemble instrumental 12Aà partir de l'élément de conduction 26A ou de celui 26A'. De façon similaire, le circuit 6 2633757 logique d'autosélection 32B sélectionne les signaux de sortie provenant de tous les capteurs de l'ensemble instrumental 12B à partir de l'élément de conduction 26B ou de celui 26B'. De même, les circuits logiques d'autosélection 32C à 32N sélectionnent les signaux de sortie provenant de tous les capteurs des ensembles 12C à 12N. Si une méthode de codage du type Hamming est utilisée, un vérificateur de codes est utilisé dans la logique de sélection. Les circuits logiques d'autosélection 32A à 32N sont conçus pour fournir des données, autrement dit les signaux de sortie sélectionnés, au synchroniseur 36; et le synchroniseur 36 permet que les signaux provenant du capteur détectant dans chaque ensemble instrumental le même paramètre soient transmis au circuit logique de décision à peu près en même temps via des éléments de conduction électrique 38A à 38N respectivement. Le synchroniseur 36 peut comprendre une mémoire première entrée/première sortie. Le circuit logique de décision 40 est conçu pour effectuer une fonction de décision à partir des signaux de sortie provenant des capteurs détectant le même paramètre dans tous les ensembles instrumentaux. Et la fonction de décision est effectuée sur les signaux de sortie provenant des capteurs dans tous les ensembles instrumentaux pour tous les paramètres en séquence afin de produire un seul signal en série de grande fiabilité. Le signal en série de grande fiabilité unique est transmis à un convertisseur 44 série-parallèle via un élément 42 de conduction électrique. Le convertisseur 44 série-parallèle est adapté à convertir le seul signal en série de grande fiabilité en des signaux parallèles de grande fiabilité qui sont transmis à un circuit logique 48 d'arrêt si anomalie via des éléments de conduction électrique 46A à 46N. Le circuit logique 48 d'arrêt si anomalie est conçu pour contrôler l'actionnement d'un mécanisme d'arrêt de l'installation industrielle en réponse à des signaux de grande fiabilité en transmettant des signaux de sortie d'arrêt via des éléments 50. Les ensembles logiques 14B à 14L sont essentiellement les mêmes et fonctionnent de façon essentiellement identique à l'ensemble instrumental 14A. La logique d'arrêt est conçue pour donner les signaux de sortie d'arrêt un sur deux, deux sur trois, deux sur quatre, trois sur quatre ou tout autre code convenable. Les signaux de sortie d'arrêt sont renvoyés par des éléments 52 et vérifiés de sorte qu'à la fois la logique d'arrêt et les éléments 50 de connexion de sortie sont vérifiés. Si une anomalie est détectée par cette vérification, un signal d'avertisseur d'anomalie est transmis à un avertisseur d'anomalie (non représenté) par des éléments 54 de connexion électrique afin d'actionner l'avertisseur d'anomalie et déclencher la maintenance. Le circuit logique 48 d'arrêt comprend également des codes détecteurs d'erreurs en plus de la vérification par renvoi. 7 2633757 L'ensemble instrumental 12A possède un système 56 d'auto-test qui transmet des signaux tests aux unités de contrôle connectées en série 24A et 24B via des éléments de connexion électrique 58A et 58B respectivement. Les unités de contrôle connectées en série 24A, 24B transmettent les signaux tests, séquentiellement avec les signaux de sortie provenant des capteurs de l'ensemble instrumental, à un des circuits logiques d'autosélection dans chacun des ensembles logiques. Les signaux tests sont traités par le synchroniseur, le circuit logique de décision et le convertisseur série- parallèle. L'ensemble logique 14A possède un circuit de vérification 64 qui reçoit le signal test provenant du convertisseur série-parallèle au moyen d'éléments 62 de connexion électrique. Le circuit de vérification 64 possède un élément 66 de connexion électrique qui transmet un signal d'avertisseut d'anomalie à un avertisseur d'anomalie (non représenté). Si les circuits logiques d'autosélection fondent leur décision sur la présence de signaux en série, il est nécessaire que les unités de contrôle connectées en série cessent leur transmission si une anomalie est détectée. Tous les ensembles instrumentaux 12B à 12N possèdent également des systèmes d'auto-test et tous les ensembles logiques 14B à 14L possèdent des circuits de vérification. Les systèmes d'auto-test dans les différents ensembles instrumentaux sont conçus pour transmettre différents signaux tests de sorte que, lorsqu'ils arrivent aux circuits logiques de décision, ils forment un ensemble de vecteurs tests. Les circuits de vérification vérifient que les circuits logiques de décision répondent correctement aux vecteurs tests après leur conversion sous forme parallèle. Et si la réponse est incorrecte, un signal d'avertisseur d'anomalie est envoyé à l'avertisseur d'anomalie pour déclencher la maintenance. Un exemple de signaux tests est montré sur la figure 4 pour un système deux sur trois. Les circuits logiques de décision devraient recevoir la combinaison des signaux tests provenant des systèmes d'auto- test de trois ensembles instrumentaux 001, 011, 001,..., 111 en séquence et produire les sorties 0, 1, 0,.... 1. Le circuit de vérification vérifie que cela est obtenu. Le système de contrôle décide par paramètres individuels et autorise la flexibilité dans radaptation du degré de redondance de chaques capteur et canal individuels. Le système de contrôle inclut des caractéristiques crd'auto-test qui permettent aux anomalies dans la zone la plus sensible de s'annoncer elles-mêmes. Cela réduit la probabilité de défaillance du système en réduisant le temps de détection des anomalies. La redondance des capteurs et canaux individuels plutôt que celle des ensembles instrumentaux réduit également la probabilité de défaillance du système de contrôle pour donner un système de contrôle extrêmement fiable. 8 o2633757 Le système de contrôle effectue sa fonction de décision à partir de paramètres individuels plutôt que sur la base d'un principe directeur comme dans l'art antérieur. Un autre avantage du système de contrôle est que la décision par paramètres est effectuée alors que le nombre d'ensembles logiques est une fonction du nombre de signaux de sortie indépendants souhaités plutôt que du nombre de paramètres mesurés. Le système de contrôle décrit est particulièrement adapté pour être utilisé dans les centrales nucléaires, par exemple avec des réacteurs nucléaires à eau sous pression (PWR). Dans de tel système de contrôle, les signaux de sortie d'arrêt provenant des ensembles logiques seraient transmis aux différentes barres de contrôle ou à un petit groupe de barres de contrôle de sorte qu'une défaillance d'un ensemble logique ou d'une barre de contrôle ne pourrait pas plus déclencher l'arrêt que l'empêcher,et cela en raison de l'effet limité d'une seule barre de contrôle ou d'un petit groupe de barres de contrôle. Le système de contrôle peut être utilisé pour arrêter la centrale nucléaire utilisant d'autres méthodes. L'invention a été décrite par référence à un circuit logique d'arrêt, mais tout circuit logique de contrôle adapté peut être utilisé. Par exemple le circuit logique d'arrêt peut être remplacé par un circuit à processeur à algorithme de contrôle dans le cas o un contrôle continu de l'installation nucléaire est nécessaire plutôt qu'un contrôle d'arrêt. Le système de contrôle est tout aussi adapté à être utilisé avant d'autre installation industrielle, par exemple des centrales chimiques. Dans le système de contrôle adapté à être utilisé avec les centrales nucléaires, les signaux de sortie provenant des capteurs sont des états de déclenchement tandis que dans le système de contrôle adapté à être utilisé avec d'autres installations industrielles, les signaux de sortie provenant des capteurs peuvent être des niveaux. Le circuit logique de décision pour d'autres installations industrielles est conçu pour rejeter les signaux de sortie parasites et pour produire un signal de grande fiabilité qui correspond à celui le mieux estimé à partir de ceux disponibles. 9 2633757 Revendications: 1.- Système de contrôle pour une installation industrielle comprenant une série d'ensembles instrumentaux et une série d'ensembles logiques, chaque ensemble instrumental comprenant une série de capteurs pour capter des paramètres de l'installation industrielle, chaque ensemble logique comprenant un circuit logique de décision, caractérisé en ce que chaque ensemble instrumental (12A-12N) comprend une série d'unités de contrôle (24A, 24B) connectées en série, chaque capteur (16A- 16N) étant adapté à transmettre un signal de sortie à chacune des séries d'unités de contrôle (24A, 24B) connectées en série, chaque ensemble logique (14A-14L) comprenant une série de circuits logiques d'autosélection (32A, 32B, 32C), un synchroniseur (36), un convertisseur (44) série-parallèle et un circuit logique de contrôle (48), chacune des séries d'unités de contrôle (24A, 24B) connectées en série dans chaque ensemble instrumental (12A-12N) étant adaptée à transmettre les signaux de sortie provenant de chacun des capteurs (16A-16N) de l'ensemble instrumental (12A-12N) séquentiellement à l'un des circuits logiques d'autosélection (32A-32N) dans chacun des ensembles logiques (14A-14L) pris en série via des lignes de transmission respectives (26A-26N), chacun des circuits logiques d'autosélection (32A-32N) dans chacun des ensembles logiques (14A-14L) étant conçu pour sélectionner des données provenant de la série de capteurs (16A-16N) d'un des ensembles instrumentaux (12A) et pour transmettre les données au synchroniseur (36), le synchroniseur (36) de chaque ensemble logique (14A- 14L) étant adapté à transmettre les données provenant de chacun des circuits logiques d'autosélection (32A-32N) au circuit logique de décision (40) de l'ensemble logique (14A-14L) de sorte que les signaux de sortie provenant des capteurs (16A-16 N) dans chaque ensemble instrumental (12A-12N) détectant le même paramètre soient transmis au circuit logique de décision (40) à peu près au même instant, chaque circuit logique de décision (40) étant conçu pour effectuer une fonction de décision à partir des signaux de sortie provenant des capteurs dans tous les ensembles instrumentaux (12A-12N) détectant le *même paramètre et pour produire une série de signaux isolés de grande fiabilité qui sont adaptés à être transmis au convertisseur (44) séride-parallèle de rensemble logique (14A-14L), chaque convertisseur (44) série-parallèle étant adapté à convertir la série de signaux de grande fiabilité en signaux parallèles de grande fiabilité qui sont transmis au circuit logique de contrôle (48) de l'ensemble logique (14A-14L), chaque circuit logique de contrôle (48) étant conçu pour contrôler le fonctionnement de l'installation industrielle d'après les signaux de grande fiabilité. 2633757 2.- Système de contrôle selon la revendication I, caractérisé en ce que le circuit logique de contrôle (48) est un circuit logique d'arrêt adapté à contrôler l'actionnement de moyens pour arrêter l'installation industrielle. 3.- Système de contrôle selon la revendication 1, caractérisé en ce que le circuit logique de contrôle (48) est un circuit de processeur à algorithme de contrôle adapté à contrôler en continu l'installation industrielle. 4.- Système de contrôle selon la revendication 1, caractérisé en ce qu'au moins un des circuits logiques d'autosélection (32A-32N) sélectionne des données provenant de la série de capteurs (16A-16N) d'un des ensembles instrumentaux (12A-12N) en sélectionnant des lignes de transmission avec des signaux en série. 5.- Système de contrôle selon la revendication 1, caractérisé en ce qu'au moins un des circuits logiques d'autosélection (32A-32N) sélectionne des données provenant de la série de capteurs (16A-16N) d'un des ensembles instrumentaux (12A-12N) en sélectionnant un codage détecteur d'erreurs. 6.- Système de contrôle selon la revendication 1, caractérisé en ce que le synchroniseur (36) comprend une mémoire première entrée/première sortie. 7.- Système de contrôle selon la revendication 1, caractérisé en ce que les signaux de sortie séquentiels sont renvoyés aux unités de contrôle (24A, 24B) connectées en série via des lignes de transmission (28A-28N) respectives secondaires pour être décodés et comparés avec les signaux de sortie transmis. 8.- Système de contrôle selon la revendication 7, caractérisé en ce que chacune des unités de contrôle (24A, 24B) connectées en série comporte un avertisseur d'anomalie. 9.- Système de contrôle selon la revendication 1, caractérisé en ce que chaque ensemble instrumental (12A-12N) comprend des moyens d'auto-test (56), les moyens d'auto-test (56) étant adaptés pour transmettre des signaux tests à chacune des séries d'unité de contrôle (24A, 24B) connectées en série, chacune des unités de contrôle (24A, 24B) connectées en série étant adaptée à transmettre les signaux tests séquentiellement avec les signaux de sortie provenant de chacun des capteurs de l'ensemble instrumental à un des circuits logiques d'autosélection (32A-32N) dans chacun des ensembles logiques (14A-14L) pris en série via des lignes de transmission (26A-26N), le circuit logique de décision (40) de chaque ensemble logique (14A- 14L) étant conçu pour effectuer une fonction de décision à partir des siLnaux tests provenant des moyens d'auto-test (56) de chaque ensemble instrumental (12A- 12N) et donner un signal test de grande fiabilité, chaque ensemble logique (14A-14L) comprenant des moyens de vérification (64) pour vérifier que le signal test de grande fiabilité est correct. Il 10.- Système de contrôle selon la revendication 9, caractérisé en ce que les moyens de vérification (64) reçoivent des signaux du convertisseur (44) série-parallèle. 11.- Système de contrôle selon la revendication 9, caractérisé en ce que les moyens de vérification (64) comprennent un avertisseur d'anomalie. 12.- Système de contrôle selon la revendication 1, caractérisé en ce que chaque circuit logique de contrôle (48) est adapté à contrôler l'actionnement de moyens séparés d'arrêt. 13.- Système de contrôle selon la revendication 1, caractérisé en ce que linstallation industrielle est une centrale nucléaire. 14.- Système de contrôle selon la revendication 13, caractérisé en ce que la centrale nucléaire comprend un réacteur nucléaire à eau sous pression. 15.- Système de contrôle selon la revendication 13, caractérisé en ce que chaque circuit logique de contrôle (48) est adapté à contrôler le fonctionnement d'une seule barre de contrôle ou d'un groupe de barres de contrôle.