FR 2011595 A1 19700306 FR 6921105 A 19690624 69 21105 2011595 La présenta invention a trait & un système de commande et plus particulièrement à un système de commande électronique du type analogique dans lequel on obtient une grande sécurité à l'aide d'une série d'éléments redondants. 5 Des systèmes de commande électroniques très sûrs sont ob tenus en utilisant une série d'éléments fonctionnant simultanément en parallèles mais ayant uné .fonction commune, un discri-minateur ou dispositif de rétablissement connecté aux sorties de ces éléments et engendrant un signal de sortie et un calcu-10 lateur connecté aux sorties de ces éléments qui compare leurs signaux de sortie à des valeurs prédéterminées et donne une indication ou crée une action de commande chaque fois que l'un de ces signaux diffère de la dite valeur d'une grandeur supérieure à une tolérance déterminée. Sans des systèmes qui doi-1$ vent être sûrs pendant longtemps, le calculateur peut être surveillé à des instants peu fréquents, ce qui lui permet d'être utilisé pour d'autres travaux. Quand des éléments sûrs déconnectés sont prévus et quand le calculateur est programmé de façon à faire démarrer une action de commande en déconnectant l'élé-20 ment dont le signal de sortie n'a pas la valeur voulue et en connectant simultanément l'élément sûr dans le système, on obtient alors un système auto-correcteur, donc plus sûr. Pour protéger un système de commande contre des erreurs de fonctionnement inattendues, il est bien connu de prévoir une 25 série d'éléments ayant la même fonction, branchés en parallèle. Les sorties de ces éléments sont connectées à un dispositif de vote ou discriminateur qui fournit le résultat cherché, même en cas de mauvais fonctionnement d'un ou plusieurs éléments. TJn tel dispositif peut prendre différentes formes. Il peut, par 30 exemple, recevoir trois signaux et déterminer si deux de ces trois signaux sont très voisins, puis prendre leur moyenne, et éliminer la troisième signal. Dans un système mécanique binaire, un discriminateur connu reçoit une série de signaux d'entrée qui peuvent être des signaux "1" ou *0*, en engendrant un 35 signal de sortie correspondant à la majorité des signaux d'entrée. Des discriminateurs de types connus peuvent avoir d'autres modes de fonctionnement. Dans les systèmes ou sous-systèmes de commande électroni- 69 21105 -2- 201Î595 que ayant une série d'éléments similaires redondant?,il n'est pas d'ordinaire facile de savoir si, en fonctionnement, la redondance prévue initialement fournit une protection suffisante contre un mauvais fonctionnement de ce système, far exemple, 5 si on considère un système dans lequel trois éléments fonctionnent en parallèle et dont les sorties sont connectées à un discriminateur du type moyenneur avec rejet indiqué ci-dessus. Dès qu'ira de ces trois éléments est défaillant, la protection restante est terminée, et la défaillance d'un des deux autres élé-10 ments crée une erreur de fonctionnement. Une redondance d'un ordre plus élevé (par exemple utilisant 5 ou 7 éléments en parallèle) renforce la sécurité du système mais en même temps il est plus difficile de savoir si un ou plusieurs des éléments a eu une défaillance, et jusqu'où cela provoquera un mauvais 15 fonctionnement du système. Cette difficulté s'accroît si le principe de redondance est appliqué non seulement à la fonction d'un seul élément mais aux fonctions d'un grand nombre d'éléments, ou à la sortie de sous-systèmes, ou même à la sortie de systèmes entiers. 20 La sécurité d'un système redondant est-assurée, selon l'invention, en prévoyant une connexion entre les sorties des éléments distincts et un calculateur qui compare les signaux de sortie de ces éléments à des valeurs déterminées en déterminant s'ils sont voisins de ces valeurs, et, si cela n'est pas 25 vrai pour un ou plusieurs d'entre eux, en donnant une indication de cet état ou en créant une action de commande. Cette action peut être une déconnexion de l'élément défectueux du système et la connexion d'un élément de remplacement dans le système, uns sorte que ce système est remis en état automatique-30 ment. L'invention réside dans un système de commande de grande sécurité comprenant une série d'éléments identiques ayant des canaux parallèles avec une entrée commune une fonction commune, chacun de ces éléments étant relié à une ligne de sortie, 35 un discriminateur connecté à ces lignes de sortie et engendrant un signal de sortie correspondant à celui d'un de ces éléments fonctionnant correctement, et un calculateur connecté à ces lignes de sortie qui détermine successivement si chacun de ces 69 21105 2011595 éléments fonctionne correctement et qui indique celui ou ceux qui ne fonctionnent pas correctement. L'invention sera mieux comprise en se référant au dessin annexé sur lequel : 5 - la figure 1 est un schéma d'un mode de:.-réalisation d'un équipement selon l'invention ; - la figure 2 est un schéma d'un deuxième mode de réalisation d'un équipement selon l'invention. Sur la figure *1, on a représenté un système comprenant des 10 éléments ou unités 2, 4, 6 sensiblement identiques et commandées par une source d'entrée 8 à l'aide d'un conducteur commun 10. Ces unités ou éléments 2, 4, 6 onjr des sorties reliées à des lignes respectives 12, 14, et 16, connectées à un discriminateur 20 dont la sortie est reliée à la ligne 22. Cet équipement est 15 connu en soi. Un calculateur ou système de traitement d'information 30 est relié aux lignes 12, 14 et 16 par les lignes respectives 24, 26, et 28 et il compare, & des instants plus fréquents et déterminés, les signaux de sortie des lignes 12, 14 et 16 à des valeurs dé-20 terminées, en donnant, si cette comparaison montre un écart, une indication de ce fait, par exemple en allumant une des lampes témoins 40, 42 ou 44 des lignes 32, 34 ou 36, ce qui indique la défaillance d'un des éléments 2, 4 ou 6. La description ci-dessus est schématique et il est clair 25 que les éléments 2, 4 et 6 peuvent être des résistances, des condensateurs, des semi-conducteurs, des circuits intégrés, des résistances variables ou des relais à lame microminiaturisés. La figure 2 représente .un autre mode de réalisation de l'invention, sous la forme d'un système de commande électronique 30 à réparation automatique. Sans une zone commandée, 50, on a placé quatre détecteurs 52, 54, 56 et 58. Ils sont reliés par des lignes 60 à des conditionneurs de signaux respectifs 62, 64, 66 et 68. Les sorties de ces conditionneurs sont reliées à des lignes respectives 72, 74, 76 et 78 qui contiennent des.commutateurs 35 respectifs 82, 84, 86 et 88. Ces commutateurs sont commandés à distance, comme indiqué ci-après. Un discriminateur, qui peut être du type moyenneur et à rejet, est relié aux lignes 72 à 78. La sortie du discriminateur 90 est reliée à la ligne 92 et à 69 21105 -4- 2011595 l'additionneur 94 Qui reçoit de la ligne 96 un signal de commande correspondant à line valeur désirée d'un paramètre telle qu'une température ou une pression à maintenir dans la zone de commande 50. Le circuit 94 émet un signal d'erreur sur la li-5 gne 98 qui est reliée par un conducteur 99 et» des lignes en parallèle 100 à quatre éléments de commande 102, 104, 106 et 108. Les signaux de sortie de ces éléments 102 à 108 apparaissent sur les lignes 112, 114, 116 et 118. Ces lignes contiennent des commutateurs respectifs 122, 124, 126 et 128 reliés à 10 un deuxième discriminateur 1J0 qui peut être aussi du type moyeimeur et à rejet. Le circuit 130 engendre un signal sur la ligne 132 qui est transmis à un dispositif 134 de modification de paramètre. Celui-ci est connecté par la voie 136 à la zone 50 et sa nature dépend du paramètre à commande. Si ce paramè-15 tre est la température, le dispositif 134 peut être par exemple un rhéostat connecté à un élément de chauffage par résistance ..placé dans la zone 50. Dans un réacteur nucléaire, le dispositif 134 peut être un servo-mécanisme commandant la position d'une ou plusieurs tiges de commande du réacteur. Si le 20 paramètre est le niveau d'un liquide, le dispositif 134 peut être une valve de commande de débit d'un liquide dans la zone 50. D'autres possibilités connues sont évidentes. Les lignes 72, 74-» 76 et 78 sont reliées aux lignes 142, 144, 146 et 148 connectées au calculateur 150. Ce calculateur 25 150 est connecté aux conducteurs 162, 164, 166 et 168, aux commutateurs 82, 84, 86 et 88, aux lignes 172, 174, 176 et 178, et aux commutateurs 122, 124, 126 et 128. Ce calculateur 150 utilise seulement une petite partie de sa durée de fonctionnement à la surveillance du système. Il 30 est programmé de façon à examiner périodiquement et successivement, en plus d'autres fonctions qu'il peut assumer, les signaux qu'il reçoit des lignes 142 à 148 et 152 à 158, en les comparant à des valeurs déterminées, et, au cas où les signaux détectés ne concordent pas avec ces valeurs, il modifie les 35 positions de certains des commutateurs 82 à 88 et 122 à 128. 51, par exemple, les commutateurs 82, 84 et 86 sont dans les positions de la figure 2, la détection du paramètre dans la zone 50 est effectuée par les détecteurs 52, 54 et 56. Le com 69 21105 -5- 2011595 mutateur 88 est ouvert en sorte que la voie en parallèle comprenant le détecteur 58 et la ligne 78 est inopérante et sert de rechange. Tant que les détecteurs 52 à 56 et les circuits 62 à 66 fonctionnent correctement, en n'engendrant aucune valeur extérieure aux gammes prévues par le programme du calculateur 5 150, la position des commutateurs 82 à 86 reste inchangée. Si, cependant, le détecteur 52 est défaillant, le calculateur 150 alors commande par les lignes 162 et 168 l'ouverture du commutateur 82 et la fermeture du commutateur 88. Oeci rétablit 10 l'opération de détection avec une protection correcte par une triple redondance. De préférence, le calculateur 150 est aussi programmé de façon à indiquer à un opérateur à l'aide d'un indicateur convenable quel est le détecteur défaillant, ce qui facilite beaucoup les réparations. 15 Le fonctionnement du calculateur en ce qui concerne les sorties des dispositifs de commande 102 à 108 est évidemment analogue. La sécurité d'un système contenant un calculateur de surveillance est supérieure & celle d'un système redondant analo-20 gue sans calculateur, quel que soit le degré de sécurité du calculateur. En d'autres termes, un système redondant peut être asses sûr sans calculateur, mais le calculateur améliore sa sécurité plus ou moins suivant la sécurité de ce calculateur. Oeci suppose que le calculateur est protégé contre les défàil-25 lances, c'est-à-dire ne peut pas, quand il tombe en panne, perturber le fonctionnement d'un système qui autrement fonctionnerait correctement. Une autre possibilité, selon l'invention, consiste à utiliser des éléments identiques de façon que, quand certains sont 30 en fonctionnement, les autres soient surveillés par le calculateur et, s'ils fonctionnent ^correctement, ils. soient remis en circuit dans le système. Le calculateur peut encore travailler d'une autre manière : Dans certains cas, tous les éléments identiques sont connectés 35 initialement et le calculateur les vérifie successivement et met hors service ceux qui sont défectueux. Ainsi le discriminateur reçoit Tin nombre différent de signaux d'entrée à différents instants pendant le fonctionnement du système et il sélectionne 69 21105 2011595 par exemple une valeur moyenne ou la plus faible des deux valeurs les plus proches de la moyenne. Avec un tel discriminateur, il est évidemment important que des éléments reconnus comme défectueux soient éliminés du système. 5 Dans certains cas, il peut être avantageux de prévoir un système dans lequel on utilise une série de discriminateurs fournissant en parallèle la même fonction. Dans un tel système, il est possible en outre d'utiliser un calculateur de surveillance pour commander les signaux de sortie de discriminateurs 10 distincts et pour déconnecter ceux qui sont défectueux, si cela est avantageux. Un calculateur peut aussi être utilisé pour vérifier les signaux de sortie de sous-systèmes distincts comprenant chacun un ou plusieurs éléments et reliés chacun à un discriminateur associé, le signal de sortie d'un de ces sous-sys-15 tèmes étant écarté s'il sort de limites déterminées, du fait de la défaillance de son discriminateur ou de ses éléments. Cette dernière utilisation d'un calculateur en combinaison avec des discriminateurs travaillant en parallèles augmente dans la plupart des cas la sécurité du système total. 20 Le ..terme "système de commande" utilisé ici englobe des combinaisons d'appareils électriques ou hydrauliques utilisables comme indicateurs ainsi que dans des buts de commande. L'invention décrite ci-dessus n'est pas limitée par le nombre des canaux utilisés (sauf que dans tin système à fonctionne-25 ment continu et à grande sécurité, il doit y en avoir au moins trois), ni par la nature du discriminateur utilisé. 69 21105 -f- 2011595 R_E_V_E_N_D_I_G_A_T_I_0_N_§ 1.- Système de commande à grande sécurité comprenant une série d'éléments identiques travaillant dans des canaux parallèles avec izne entrée commune et une fonction commune et ayant 5 chacun une ligne de sortie, un discriminateur connecté aux lignes de sortie desdits éléments engendrant un signal de sor-- tiè correspondant à celui d'un desdits éléments ayant un fonctionnement correct, et un calculateur connecté auxdites lignes de sortie qui détermine successivement si chacun des élé-10 ments fonctionne correctement et qui indique celui ou ceux qui ne fonctionnent pas correctement. 2.- Système selon revendication 1, dans lequel au moins trois de ces éléments sensiblement identiques sont connectés de façon à fonctionner simultanément. 15 3«- Système selon revendication 2, dans lequel chaque ca nal comporte un commutateur, ledit système comportant au moins un élément de réserve placé dans un canal distinct ayant son commutateur normalement ouvert, le calculateur étant connecté à chacun des commutateurs en sorte que, lors de la détection 20 d'une défaillance d'un élément donné, il ouvre le commutateur du canal associé à cet élément et ferme celui du canal associé - à l'élément de réserve. 4.- Système selon revendication 2 et 3»dans lequel les commutateurs sont initialement fermés, le calculateur étant . 25 connecté à ces commutateurs en sorte que, lors de la détection d'une défaillance d'un élément donné, il ouvre le commutateur du canal associé à cet élément.