FR 2465259 A1 19810320 FR 8019664 A 19800911 La présente invention concerne un ensemble de contrôle d'installations industrielles ou d'usines de traitement. L'une des applications de l'invention est le contrôle des réacteurs nucléaires dans lesquels des con- ditions de panne, telles qu'une surchauffe, peuvent pro- voquer un arrêt de la centrale. Le brevet britannique no 1 515 525 décrit un exemple de système de traitement de données convenant à la commande d'une centrale. L'invention concerne un ensemble de contrôle qui possède une grande intégrité. L'invention concerne plus précisément un ensem- ble de contrôle d'une installation industrielle ou d'une usine de traitement, l'ensemble assurant le traitement de signaux de données provenant d'entrées reliées à des appareils ou des transducteurs associés à l'installation, et la transmission d'informations ou de signaux de com- mande correspondants, l'ensemble de contrôle étant tel que les entrées de données sont câblées par groupes 2Q correspondant à un dessin de test. Ce dernier correspond de préférence à un groupe cyclique. Chaque groupe peut être reconnu d'après les positions des signaux de test à l'intérieur. L'ensemble de contrôle comprend de préférence un système contenant un ordinateur. Ce système peut reconnaître le dessin de test à l'aide d'un circuit logique de reconnaissance de dessin. Il est avanta- geux que l'ensemble de contrôle comporte un commutateur inverseur de polarité tel que les signaux provenant des transducteurs ou des appareils puissent être multiplexés lors de la transmission à l'ensemble de contrôle. Dans une variante ou en plus du système contenant un ordina- teur, l'ensemble de contrôle peut comporter un système à base d'instruments analogiques câblés. Il est avanta- geux que le système câblé reconnaisse le dessin de test à l'aide de décodeurs reliés d'une manière qui corres- pond aux connexions des transducteurs. Les décodeurs sont avantageusement reliés à des circuits de déclenchement. Un signal alternatif dynamique est transmis aux circuits de déclenchement en fonction de la commande d'un commutateur d'inversion de polarité si bien que les pannes du système ne nuisent pas à la sécu- rité. Il est avantageux que la vitesse de variation des signaux transmis aux circuits de déclenchement soient analysée et, lorsque cette vitesse se trouve en dehors des plages choisies prédéterminées, le circuit est dé- clenché. L'analyse peut aussi porter sur la valeur abso- lue qui, lorsqu'elle se trouve en dehors d'une plage prédéterminée, provoque le déclenchement du circuit. Il est avantageux que chaque circuit de déclenchement com- porte un amplificateur opérationnel d'addition avec un intégrateur de réaction et un détecteur de passage à zéro. Un signal alternatif peut être transmis à l'amplificateur d'addition en combinaison avec les signaux des transduc- teurs et ce signal alternatif détermine les limites des signaux. Il est avantageux que l'un des signaux de test constitue un signal de référence de niveau élevé qui se trouve en dehors dela plage normale de fonctionnement, ce signal étant multiplexé avec les signaux des transduc- teurs, le signal de niveau élevé étant transmis par un comparateur mais ne parvenant pas à un circuit d'alarme, celui-ci n'étant commandé que si un autre signal appa- raît dans le canal de signaux élevés du fait d'un mul- tiplexage défectueux. D'autres caractéristiques et avantages de l'invention ressortiront mieux de la description qui va suivre, faite en référence aux dessins annexés sur lesquels: - les figures la, lb et lc forment ensemble un diagraxne synoptique d'un ensemble comprenant un or- dinateur selon l'invention; -la figure 2 représente plus en détail une par- tie du circuit de la figure 1; - la figure 3 est un diagramme synoptique de circuits de vérification automatique de l'ensemble de la figure 1; les figures 4a et 4b forment ensemble un diagramme synoptique d'un ensemble à circuits câblés; - les figures 5a et 5b sont des diagrammes synoptiques représentant respectivement un module et un circuit de déclenchement en fonction d'une tempéra- ture détectée; - la figure 6 représente plus en détail une partie de la figure 5b; et - la figure 7 représente aussi plus en détail, sous forme d'un tableau, une partie du circuit des fiqures 4a et 4b. Les installations industrielles modernes de traitement ont tendance à devenir de plus en plus grandes et de plus en plus complexes, et cette tendance conduit au remplacement des instruments individuels de commande et de contrôle, destinés chacun à une tâche particu- lière, par un appareillage courant de traitement de don- nées qui est habituellement un calculateur fonctionnant par partage dans le temps entre les nombreux paramètres qui doivent-être contrôlés ou commandés. Les transduc- teurs mesurent l'amplitude des paramètres de l'installa- tion et les signaux des transducteurs sont transmis suc- cessivement au processeur commun de données par un mul- tiplexeur qui échantillonne à son tour chacun des trans- ducteurs. Les données échantillonnées et multiplexés par division dans le temps sont normalement mise sous forme numérique par un convertissaur analogique-numérique avant transmission au processeur commun. Ce dernier com- porte normalement une mémoire dans laquelle la valeur ac- tuelle de chaque signal d'entrée est mémorisée pendant l'intervalle de temps compris entre des échantillon- nages consécutifs. Les ensembles de ce type traitant des données échantillonnées et multiplexées sont utilisés très large- ment dans les systèmes d'acquisition de données et de commande des installations industrielles. Cependant, il existe certains modes potentiels de panne du multiple- xeur qui peuvent avoir des conséquences importantes si le fonctionnement convenable et la sécurité de l'instal- lation dépendent de son fonctionnement convenable. La protection contre de telles pannes peut être obtenue par duplication assurant l'utilisation en double du multi- plexeur mais une solution plus avantageuse est l'utili- sation de propriétés de contrôle automatique continu. Les modes particuliers de pannesqui doivent être détectées sont notamment le défaut de changement d'état d'un ou plusieurs bits d'adresse de multiplexeur, la panne 'totale du multiplexeur, le défaut de transport précis des.données échantillonnées d'une partie quelcon- que de l'itinéraire commun qui transmet les signaux par- tagés dans le temps. Le premier des défauts précités provoque l'accrochage à i ou à 0 si bien que le mul- tiplexeur échantillonne de façon répétée un sous- ensemble limité de l'ensemble de la plage d'adressage. 2Q On peut illustrer ce comportement par l'exemple compa- ratif suivant dans lequel le cas (a) correspond à une plage complète d'adresse d'un multiplexeur à 8 entrées et le cas (b) correspond à une plage limitée d'adresse d'un multiplexeur à 8 entrées, le bit d'adresse le plus significatif étant accroché à 0. adresse binaire (4 00o 0 adresse décimale (ou octale) 001 1 2 011 3 100 4 101 5 6 111 7 (b) 000 0 001 1 2 011 3 000 0 001 1 2 011 3 L'exemple (b) qui précède montre que le pre- mier sous-ensemble de la plage d'adresses est répété, c'est-à-dire que les adresses 4 à 7 sont court-circui- tées. D'autres sous-ensembles limités de l'adresse complète sont obtenus lorsque d'autres bits d'adresse sont accrochés ou 1 ou 0. Les valeurs mémorisées des signaux d'entrée qui sont court-circuités du fait de la panne d'adressage du multiplexeur, soit conservent la valeur conservée avant la panne, soit sont remplacées par des données provenant d'autres entrées, suivant que la panne affecte ou non l'adresse de mémorisation dans l'ordinateur. La panne du second type indiqué précédemment, c'est-à-dire la panne totale du multiplexeur, provoque la conservation par la mémoire du dernier ensemble de valeurs mémorisées avant la panne. Enfin, le défaut de transmission précise des données échantillonnées, dû à une panne limitée ou complète d'une partie quelconque de l'itinéraire commun de transmission des signaux par- tagés dans le temps entre le multiplexeur et le proces- seur peut être observé par exemple lorsqu'un ou plu- sieurs bits de données transmis par le convertisseur analogique-numérique est accroché à un ou à zéro. L'ensemble de contrôle selon l'invention s'applique en particulier à un réacteur nucléaire dans lequel des thermocouples sont utilisés pour la détermi- nation de la température de différentes parties du ré- acteur, les thermocouples se terminant par des soudures froides formées sur le blindage de la partie supérieure du réacteur. On tend à utiliser le multiplexage afin de réduire le nombre de câbles qui doivent revenir de ce blindage à l'appareillage distant de traitement de signaux. La configuration des signaux multiplexés et leur nombre sont déterminés en grande partie par la disposition matérielle de ce blindage et le nombre de thermocouples associés à chaque orifice de pénétration dans le blindage. La sécurité des réacteurs impose le regroupement de canaux de détecteurs utilisés en dou- ble afin que les thermocouples utilisés en double dans un groupe quelconque transmettent des données traitées par un multiplexeur séparé et une liaison sé- parée à distance. En conséquence, il y-a au moins au- tant de multiplexeurs et de liaisonsde télémétrie qu'il y a de thermocouples par groupe. On considère maintenant les figures la, lb et lc sur lesquelles les connexions des thermocouples sont indiquées de façon générale par la référence 1, deux groupes hexagonaux 2 et 3 étant représentés en trait plein alors que l'emplacement de quatre autres groupes est représenté par les traits interrompus 4. Lés groupes 2, 3 et 4 sont incorporés à un ensemble 5. Un ensemble tel que l'ensemble 5 comprend par exemple 96 groupes. Dans l'exemple de la figure 1, 9 ensembles analogues sont utilisés mais on a représenté le seul ensemble par raison de simplicité. Les thermocouples 1 sont reliés à un ensemble 6 de transmission de données qui est monté en pratique à la partie supérieure du blindage du réacteur. L'ensemble de transmission de données est répété sous forme de six modules analogues 7 (seul le module supérieur 1 est représenté en détail) et chaque module reçoit l'un des signaux des thermocouples de cha- cun des groupes 2, 3 et 4; il y a donc autant de modu- les 7 qu'il y a de thermocouples dans chaque groupe. Chacun des modules 7 comprend un arrangement multiple- xeur 8 destiné à recevoir les signaux des thermocouples. Les signaux de sortie des multiplexeurs 8 parviennent à un convertisseur analogique-numérique 9 par l'intermé- diaire d'un commutateur 10 d'inversion de polarité du multiplexeur à chaque balayage. Le signal de sortie du commutateur 10 parvient à un transmetteur télémétrique 11. L'arrangement multiplexeur 8 et le transmetteur 11 sont commandés d'après des critères logiques d'un circuit 12 de synchronisation et d'adressage. Chaque multiplexeur 8 a 8 entrées dont deux sont utilisées comme entrées de test. Une première entrée de test est tirée de la mesure de la température de la soudure froide des thermocouples et l'autre entrée de test est transmise sous forme d'un signal de référence à haute température, c'est-à-dire d'un signal qui se trouve en dehors de la plage des signaux qui peuvent être reçus à partir des thermocouples. On se réfère maintenant à la figure 2 en même temps qu'aux figures la à lc. Les transducteurs sont ré- férencés suivant un système de numérotation octale. Le signal d'entrée correspondant à la soudure froide a l'a- dresse 002 dans les multiplexeurs 8 et la référence à température élevée a l'adresse 005. Les adresses 000, 001, 003, 004, 006 et 007 correspondent aux thermocouples. Les deux premiers chiffres des adresses indiquent l'a- dresse du multiplexeur. Les entrées de test (repérées sur la figure 2) tournent à chaque multiplexeur si bien que, pour le multiplexeur 000, il s'agit des entrées 2, , pour le multiplexeur 01 il s'agit des entrées 3, 6 et pour le multiplexeur 02, il s'agit des entrées 4, 7, et ainsi de suite. Au total, il y a 128 entrées pour chaque arrangement multiplexeur 8. En conséquence, la figure 2 représente un multiplexeur à 128 entrées, dans lequel le dessin progressif cycliquement est formé à partir de 16 groupes ayant chacun 8 entrées. Chaque groupe a 6 entrées de transducteur (thermocouples) et deux entrées imbriquées de test. Lorsqu'on décrit des nombres en sys- tème binaire, il est commode d'utiliser des nombres octals dans lesquels le chiffre représente les 8 valeurs possi- bles de trois chiffres binaires consécutifs. Les chiffres binaires nécessaires à l'adressage d'un multiplexeur à 128 entrées peuvent donc être écrits en système octal avec trois chiffres, les valeurs étant comprises entre 0008 pour le nombre binaire 0 000 000 et 1778 correspondant au nombre binaire 1 111 111. L'indice 8 est utilisé pour la désignation de la base du système numérique. Le chiffre octal le moins significatif recouvre la plage d'adressage 0 à 7 dans chaque groupe de 8 entrées. Les deux chiffres octals les plus significatifs recouvrent la plage d'adresse à 8 à 17 qui correspond au nombre de groupe de 8 entrées qui forment au total les 128 entrées. Les entrées de test du premier groupe 00 occupent les adresses 2 et 5 sibien que leurs adresses composites sont 0028et.0058. Dans le second groupe 01, les entrées de test sont décalées d'une place vers les adresses 3 et 6 si bien que les adresses composites sont 0138 et 0168. Les adresses des entrées de test avancent cycli- quement comme indiqué précédemment et comme représenté dans le tableau qui suit. 013 016 024 027 030 046 041 -7 052 060 063 071 074 102 105 Pour éviter la répétition du même dessin cy- clique des adresses des entrées de test dans la seconde moitié de l'adresse, c'est-à-dire entre 1008 et 1778, la progression cyclique des adresses des entrées de test est inversée, c'est-à-dire qu'on a le tableau 102 105 111 114 123 137 132 146 141 150 164 167 173 176 002 005 L'avant-dernière ligne du tableau des adresses inverses indique la fin du cycle et la dernière ligne le début d'un nouveau cycle. On doit vérifier non seulement que le multi- plexeur échantillonne toutes les entrées mais encore que les données d'entrée sont rafraîchies à chaque cycle du multiplexeur puisque dans le cas contraire et si le multiplexeur devait s'arrêter, le dernier jeu de données d'entrée serait conservé dans la mémoire et le processeur réutiliserait de façon répétée ces données anciennes. Le problème du défaut de rafraîchissement des données d'en- trée peut être réduit de l'une ou des deux manièressui- vantes. D'abord, la capacité de la mémoire disponible pour les données d'entrée peut être limitée afin qu'une certaine surcharge des données d'entrée ait lieu dans un cycle complet du multiplexeur. En conséquence, la créa- tion d'un dessin complet de motsd'état n'est pas possi- ble par utilisation répétée d'un sous-ensemble limité d'un cycle complet de données d'entrée. L'absence d'un dessin complet de motsd'état est facilement détectée par le processeur. Ensuite, une propriété des données d'entrée qui est avantageusement la polarité, est changée obligatoirement lors des cycles consécutifs du multiple- xeur. Un commutateur d'inversion de polarité suivant le multiplexeur et qui-change l'état à la fin de chaque cy- cle du multiplexeur, provoque l'inversion de la polarité des données d'entrée conservées dans la mémoire du pro- cesseur à chaque rafraîchissement.Le processeur est ré- 246525e alisé de manière qu'il anticipe cette inversion régulière de polarité et si cette inversion n'a pas lieu parce que le multiplexeur n'a pas rafraîchi la mémoire, un dessin erroné de bitsd'état est créé et il est reconnu comme dé- crit dans la suite du présent mémoire. L'utilisation d'un inverseur de polarité présente l'avantage supplémentaire de nécessiter un fonctionnement de l'itinéraire commun de données à chaque cycle du multiplexeur si bien qu'il révèle les pannes qui limitent sa plage de mouvements. Dans un arrangement plus simple mais moins complet, la polarité des entrées de test peut être inversée unique- ment à chaque cycle d'un arrangement de multiplexeurs comprenant un groupe de multiplexeurs. Tout système de numération, par exemple un système décimal, peut être utilisé à la place du système octal, la rotation étant effectuée de manière analogue, le ou les signaux de test ayant un emplacement convena- ble dans le système. Dans un tel système, un équivalent câblé du test cyclique de l'ordinateur est réalisé comme dans l'exemple considéré. Chacun des transmetteurs 11 émet des données série asynchrones vers un récepteur télémétrique corres- pondant 13 par l'intermédiaire d'une ligne correspon- dante télémétrique 14. Le signal de sortie des récep- teurs 13 parvient à un ordinateur correspondant 15. Les ordinateurs 15 reçoivent un signal du récepteur télé- métrique correspondant par deux bus parallèles (repré- sentées schématiquement sous forme d'une flèche), un bus transmettant les adresses de multiplexeur et l'autre les signaux lus dans les thermocouples 1, normalisés par rap- port à la pleine échelle des convertisseurs analogiques- numériques 9. Les lectures et les adresses correspon- dantes apparaissent successivement dans les bus à la fréquence de balayage déterminée par les signaux d'hor- loge parvenant au circuit 12. Chaque ordinateur 15 re- çoit les signaux des thermocouples de façon asynchrone à partir du récepteur télémétrique et les conserve dans une région de tampon d'entrée d'une mémoire à accès direct. Après reconnaissance de la dernière adresse de multiple- xeur, le contenu du circuit tampon d'entrée (c'est-à-dire un balayage du multiplexeur) est relocalisé dans une zone de traitement de mémoire à accès direct, si bien que le circuit tampon d'entrée est prêt pour recevoir les si- gnaux d'entrée du balayage suivant. Les ordinateurs 15 tiennent compte de la pola- rité des données qui changent à chaque balayage successif et qui sont transmises au circuit tampon correspondant, pour les raisons indiquées précédemment en référence à l'inverseur 10 de polarité. Le traitement du bloc actuellement conservé comprenant les lectures s'effectue par groupe de 8 lec- tures correspondant aux 8 entrées d'un multiplexeur d'un arrangement 8. Chaque groupe contient 6 lectures de ther- mocouples ainsi que les signaux de référence correspon- dant à la température de compensation de soudure froide et à la référence de température élevée, comme indiqué précédemment.La température de soudure froide est copiée dans un registre de travail et la compensation de cette température est alors effectuée, et elle suivie d'une analyse de déclenchement en fonction de la température, pour chacune des 8 lectures, y compris la température de soudure froide et la référence de température élevée. Si l'état de lecture est satisfaisant, c'est-à-dire si la lecture n'a pas changé trop rapidement depuis la va- leur précédente et si elle n'est pas sortie de limites prédéterminées, une lecture d'état égale à 1 est formée. Au contraire, si l'état n'est pas satisfaisant, une lec- ture d'état égale à 0 est formée. Ainsi, si l'on suppose que l'état est satisfaisant, le mot 11011011 est formé (les 0 correspondant aux signaux de température de sou- dure froide et de température élevée de référence). Lorsque le mot d'état est assemblé, il est transmis suivant un groupe de bus 18 de données. Chaque bus a des prises correspondant à chacun de 4 ordinateurs 19 d'élection utilisés en double et associés à chaque en- semble tel que 5. Le processus se répète pour les 8 lec- tures suivantes d'entrée afin que le mot suivant d'état soit assemblé. Les 16 mots d'état représentant les états des 128 entrées doivent être assemblés et transmis à l'ordinateur d'élection, dans un intervalle de balayage de multiplexeur afin que les ordinateurs 15 soient prêts pour la réception du bloc suivant de lecture. Les ordi- nateurs 15 tiennent compte de l'ordre et de la polarité des données d'entrée comme déterminé par le câblage du multiplexeur (avec rotation d'un emplacement pour chaque multiplexeur comme indiqué précédemment) et parle fonc- tionnement du commutateur 10 de polarité. Les ordinateurs 19 d'élection reçoivent les mots d'état de façon asynchrone à partir des ordinateurs auxquels ils sont reliés et ils mettent en oeuvre une procédure d'élection pour chaque ensemble de bits repré- sentant le nombre n de thermocouples de chaque groupe. De cette manière, les mots d'état à 8 bits provenant des ordinateurs 15 sont assemblés dans l'ordinateur 10 d'élection, dans un circuit tampon d'entrée à 16 mots qui contient un balayage complet des 128 entrées. Un circuit * tampon séparé d'entrée à 16 mots est incorporé à l'or- dinateur d'élection pour chacun des ordinateurs 15 d'ali- mentation. Lorsque chacun des circuits tampons est rem- pli, son contenu est transmis à une pile associée. Avant la mise en oeuvre du sous-programme d'élection, il faut que les mots tournent dans la pile jusqu'à une référence commune afin que le sous-programme d'élection soit mis en oeuvre sur les n bits d'état provenant du même groupe. La position des mots d'état dans la pile peut être iden- tifiée d'après la position des références de soudure froide et de température élevée dans les mots d'état, correspondant à des 0. Lorsque les mots d'état sont ali- gnés dans les n piles, le sous-programme d'élection de m sur n mots peut être mis en oeuvre sur le mot suivant extrait des n piles. L'algorithme d'élection forme un seul mot d'état à 8 bits pour chaque groupe de n mots d'état prélevés séquentiellement dans les piles. Le mot d'état formé par élection contient l'état élu de 6 sous-ensembles (normalement 1) d'une entrée de correction de soudure froide et d'une entrée de référence de température élevée (normalement à l'état 0). La position du bit d'état de ré- férence à température élevée et du bit de correction de soudure froide dans le mot élu d'état se déplace d'une position dans chaque mot successif, en fonction du câ- blage matériel des entrées du multiplexeur. Les signaux de sortie des ordinateurs d'élec- tion parviennent à un circuit logique 20 correspondant de reconnaissance de dessin. L'arrangement de ce circuit logique est décrit plus en détail en référence à la fi- gure 3. Ce circuit logique de reconnaissance de dessin examine les mots élus d'état formés par les ordinateurs d'élection et crée un stimulus dynamique (sous forme d'une onde rectangulaire) destiné au circuit logique uniquement lorsque le dessin normal valable de bitsest détecté. Des générateurs 21 d'impulsions ont été repré- sentés et ils alimentent les ordinateurs 19 d'élection et les circuits logiques 20 de reconnaissance de dessin, pour des raisons de synchronisation. Les générateurs 21 alimentent aussi quatre lignes 24, 25, 26 et 27 de garde. Les générateurs 21 alimentent aussi des lignes de garde par l'intermédiaire du circuit logique 28 qui comprend des portes NON-ET 29 et 30 et des circuits 31 et 32 d'inversion. Le circuit logique de reconnaissance de dessin alimente les lignes de garde par l'intermédiaire de bornes d'entrée et des portes NON-ET 29 et 30. Le circuit logique des lignes de garde combine les signaux sous forme d'impulsions aux stimuli dynamiques transmis par le circuit logique 20 de reconnaissance de dessin. En conséquence, lorsque les circuits 20 détectent un dessin valable, les impulsions des générateurs sont trans- mises par le circuit logique des lignes de garde. Cepen- dant, si l'un des circuits logiques 20 de reconnaissance de dessin se verrouille comme dans le cas d'un défaut (com- me décrit dans la suite en référence à la figure 3), les impulsions ne peuvent pas être transmises vers la ligne convenable de garde.Les impulsions de ligne de garde, lorsqu'elles sont présentes, sont transmises par l'un des dispositifs de contrôle 34, 35, 36 et 37 associés aux lignes de garde 24, 25, 26 et 27 respectivement, vers un convertisseur correspondant 40 des impulsions en cou- rant continu.- Les convertisseurs 40 sont reliés au cir- cuit logique 41 d'élection de ligne de garde qui peut lui-même provoquer l'arrêt du réacteur si plusieurs li- gnes de garde indiquent un défaut. Des parties de deux des neuf ensembles tels que , placés après les ordinateurs 15, sont aussi représen- tées. Ces parties sont analogues à celles qui sont asso- ciées à l'ensemble 5 et portent des références identiques suivies du signe '. Les lignes de garde sont indiquées en traits interrompus lorsqu'elles passent dans des cir- cuits d'ordinateur associés à d'autres ensembles. Il faut noter que le générateur 21 d'impulsions transmet les im- pulsions aux lignes de garde dans tout le système ainsi qu'à l'ordinateur 19' d'élection et aux circuits logiques ' de reconnaissance de dessin. On considère maintenant la figure 3 qui repré- sente plus en détail un circuit logique de reconnaissance de dessin, les références identiques à celles de la fi- gure 1 étant utilisées pour désigner des parties analo- gues. Les circuits de transmission de données et de télémétrie et les ordinateurs sont représentés sous for- me de diagrammes synoptiques sur la figure 3. Chaque mot élu d'état comporte normalement 6 bits à 1 (groupe vala- ble de thermocouples) et 2 bits mis à 0, correspondant aux deux entrées de test.La position des bits 0 dans les mots élus d'état-est déterminée par le câblage du multi- plexeur et l'ensemble du dessin à 8 bits avance d'une position à chaque mot successif. En conséquence, le cir- cuit logique de reconnaissance de dessin comprend des 2 465259 registres 40', 41', correspondant à un fonctionnement numérique et analogique respectivement, et des compara- teurs 43, 44 en mode numérique et analogique. Le mode analogique met aussi en oeuvre un convertisseur numérique- analogique 45 pour le comparateur analogique. Des regis- tres d'état 47 et 48 sont utilisés dans les systèmes numérique et analogique respectivement, un convertis- seur numérique-analogique 49 étant monté entre le regis- tre 48 et le comparateur 44. Des bascules 51, 52 sont reliées aux sorties des comparateurs 43, 44 respective- ment. Le dessin normal de bits 11011011 est chargé dans les registres à décalage lors de la mise en route du système ou lors d'une remise à 0 manuelle, et ce dessin est décalé d'une place à chaque fois qu'un nou- veau mot élu d'état est créé par l'ordinateur convena- ble 19 d'élection. La mise à l'état initial des élé- ments logiques est effectué par chargement du premier mot, formé à partir des 8 premiers signaux d'entrée du multiplexeur, dans le registre à décalage en même temps que le mot correspondant d'état est créé par l'ordinateur. Ensuite, le dessin de référence contenu dans le registre à décalage est déplacé d'une position à chaque fois qu'un nouveau mot d'état est créé par l'ordinateur. Les dessins de référence et de sortie doivent en conséquence se décaler en synchronisme. L'accord des dessins est vérifié avant et après-le changement de position du dessin de référence, c'est- à-dire deux fois pour chaque nouveau mot d'état créé par l'ordinateur afin que le fonctionnement soit plei- nement dynamique et que le comparateur lui-même_ soit contrôlé constamment. Le signal de sortie du compara- teur doit donc être égal à 0 avant le décalage (indi- quant un défaut d'accord) et à 1 après le décalage (in- diquant un accord convenable). Le signal de sortie du comparateur, alternant entre 1 et 0, forme le stimulus dynamique, après amplification, pour les dispositifs de mise en action d'arrêt de l'installation. Le décalage du dessin de référence est rendu conditionnel après recon- naissance d'un accord convenable.Le circuit logique se verrouille donc jusqu'à remise en route manuelle lors- qu'un défaut d'accord est détecté. Le fonctionnement fiable de l'ensemble de com- mande et de contrôle est amélioré parce que le câblage cyclique physique des transducteurs d'entrée supprime une opération d'analyse cyclique par l'ordinateur, per- mettant à celui-ci d'être à la fois plus simple et moins sujet aux pannes dangereuses du système du fait d'une opé- ration erronée de programmation. En outre, les problèmes d'établissement de liaison entre ordinateurs sont évités. En résumé, lé système d'acquisition et de traitement de données mettant en oeuvre les opérations indiquées, faisant partie d'un système de protection de centrale ou d'usine (par exemple d'un réacteur nuclé- aire) et comprenant un ordinateur, met en oeuvre avan- tageusement une séquence de mots d'état créée dynami- quement comme stimulus opérationnel de sécurité pour les dispositifs de mise en action des organes d'arrêt de l'installation. La reconnaissance du dessin d'état convenable est effectuée dans un circuit logique câblé extérieur au système comprenant les ordinateurs si bien que les propriétés globales de contrôle automatique et de sécurité ne dépendent pas du fonctionnement convena- ble de la programmation de l'ordinateur. Le circuit lo- gique de reconnaissance de dessin supprime le stimulus opérationnel du dispositif de mise en action, lorsqu'il ne reconnaît pas le dessin convenable du fait d'un écart de l'un quelconque des signaux d'entrée par rapport à des limites prédéterminées, d'une panne des circuits, d'une erreur de programmation ou d'une erreur de câblage. On se réfère maintenant aux figures 4a et 4b qui représentent le système câblé destiné à recevoir des signaux de données des thermocouples dont les signaux d'état sont codés comme décrit précédemment en référence au système comprenant les ordinateurs. Sur les figures 4a et 4b, les références identiques à celles des figures la à lc désignent des éléments analogues.. Le système câblé des figures 4a et 4b met en oeuvre avantageusement des cir- cuits télémétriques séparés de connexion au système à ordinateur des figures la à lc, maisle même système télémé- trique peut être utilisé pour les tests, pourvu que les systèmes aient des circuits tampons séparés. En général, on note que les différences principales avec le système 1o mettant en oeuvre un ordinateur sont le remplacement des ordinateurs par des circuits logiques 61 d'élection et de lignes de garde et des modules-60 de déclenchement en fonction de la -température. Il y a 6 jeux de 16 modu- les 60 de déclenchement, un seul jeu des 6 étant repré- senté. Chaque module de déclenchement en fonction de la température comprend 6 circuits de déclenchement, un pour chaque thermocouple. La figure 5a représente l'un des modules de déclenchement en fonction de la température. Le codage des adresses de multiplexeurs est effectué par le circuit représenté à gauche de la figure 5a. Le bus d'adresse contient 7 bits puisqu'il doit transmettre 128 adresses différentes. Les 4 bits les plus significatifs trans- mettent l'adresse du module de déclenchement qui doit être validé et les trois bits les moins significatifs sont décodés dans chaque module pour la formation de 8 sous-adresses, chacune de ces dernières étant repré- sentative d'un thermocouple ou d'un canal de référence. Les bits les plus significatifs sont appelés A8, A16, A32 et A64, et ils sont transmis par un arrangement convenable d'inversion 62 et une porte ET-NON afin qu'un décodeur binaire-décimal convenable 63 du module de déclenchement en fonction de la température puisse fonctionner. Les signaux de sortie des décodeurs de sous-adresses sont transformés en 8 signaux de valida- tion, à raison d'un pour chaque canal de déclenchement, les connexions étant réalisées de manière qu'elles cor- respondent aux connexions effectuées dans le multiplexeur, comme indiqué sur la figure 7 à laquelle on se réfère aussi. Ces signaux de sortie de validation sont appelés ENO, EN1, EN2,... EN7. En conséquence, les 16 modules de déclenchement peuvent être identiques et ils diffèrent en cours d'utilisation uniquement par le câblage des douilles des connecteurs. Sur la figure 7, les lignes de données sont repérées par les références 0, 1, 3, 4, 6 et 7 alors que les lignes de température de soudure froi- de et de référence de température élevée sont repérées par les références 2 et 5 respectivement. -Cette figure montre que le signal de soudure froide provenant de la ligne 2 passe à la ligne 1 puis à la ligne O puis à la ligne 7 et ainsi de suite alors que la référence de température élevée passe de la ligne 5 à la ligne 4 à la ligne 3 et ainsi de suite, en reproduisant les con- nexions d'entrée du multiplexeur afin que les signaux soient analysés sous la forme dans laquelle ils sont transmis au multiplexeur. Sur la figure 5b, un bus de données des cir- cuits de déclenchement en fonction de la température porte la référence 64. Ce bus de données comprend 10 bits et un circuit tampon 65 est placé dans chacune des lignes, deux circuits tampons seulement étant représentés par raison de commodité. Les données d'entrée sont transmises successivement à des convertisseurs numériques-analogi- ques individuels 66, un seul pouvant fonctionner à un mo- ment donné afin qu'il échantillonne les données en fonc- tion de l'adresse convenable provenant du décodeur 62. Le canal de soudure froide, ayant son convertisseur numérique-analogique validé par le signal EN2, échan- tillonne le bus de données 64 et conserve la nouvelle température de soudure froide dans son registre numéri- que d'entrée pendant le reste de l'intervalle d'échan- tillonnage. Le signal de sortie de ce convertisseur est transmis aux 7 autres sections du module de déclenche- ment en fonction de la température afin qu'il assure la compensation de soudure froide. Sa polarité s'inverse à chaque balayage sous l'action du commutateur inverseur (comme indiqué sur les figures la à le, 2 et 3 et dans la description qui précède). Le contrôle spécial du signal de compensation de soudure froide n'est pas effectué car une panne provoque le déclenchement des 6 canaux associés qui utilisent le signal de compensation. Les 6 circuits de déclenchement ont des con- vertisseurs numériques-analogiques qui sont validés par la réception des signaux ENO, EN1, EN3, EN4, EN6 et EN7. Seul le convertisseur validé par le circuit logique d'adressage échantillonne le bus de données. Le signal analogique de sortie du convertisseur convenable numé- rique-analogique 66 est transmis à un amplificateur convenable 67 de différentiation choisi dans un groupe et dans lequel le signal de compensation de soudure froide est soustrait. Le signal de sortie de l'ampli- ficateur 67 est alors transmis sous forme d'un courant alternatif à un circuit redresseur 68 et il parvient alors à un circuit analogique 69 de déclenchement. Le couplage en courant alternatif indique que le signal de sortie tombe à 0 si le multiplexeur ne rafraîchit pas le signal d'entrée de l'un quelconque ou de tous les circuits démultiplexés de déclenchement, cette caracté- ristique pouvant être utilisée grâce au commutateur d'inversion de polarité. Un signal alternatif de ré- férence de courant transmis par la ligne 70 et un signal d'une table de référence transmis par la ligne 71 par- viennent aussi au circuit 69 de déclenchement dont on décrit maintenant un exemple plus en détail en référence à la figure 6. Le circuit 68 de déclenchement comprend un amplificateur opérationnel 74 d'addition et un intégra- teur 75, dans la ligne de réaction de l'amplificateur 74, un circuit limiteur 76 monté en série avec l'inté- grateur 75 et un détecteur 78 de passage à zéro. Le signal de sortie de ce détecteur 78 peut parvenir aux lignes de garde codées par impulsions par l'intermédiaire du circuit logique 61 d'élection et de ligne de garde, comme décrit précédemment. En outre, un circuit redresseur à transformateur peut être utilisé pour la transmission de quatre signaux de sortie en courant continu, lorsque cette caractéristique est jugée nécessaire pour d'autres types de circuit logique de ligne de garde. De tels si- gnaux de sortie en courant continu disparaissent évidem- ment en cas de disparition du signal alternatif d'entrée du transformateur. Le circuit de déclenchement est des- tiné à se déclencher lorsque la vitesse de variation de la température des thermocouples dépasse 250C par minute ou lorsque la température dépasse une valeur réglable qui correspond habituellement à une valeur supérieure de 60 à 90'C à la valeur de référence transmise par la ligne 71. Le signal de sortie de l'intégrateur de réaction est limité par le circuit 76 si bien que le signal de sortie ne peut pas avoir une valeur grande au point qu'elle com- pense l'écart à l'extérieur des limites réglables. La détection du seuil de déclenchement est effectuée par superposition d'un signal de référence alternatif provenant d'une ligne 70 aux signaux de dé- clenchement en fonction du niveau et de la vitesse. Les signaux combinés recoupent finalement le seuil du détecteur de passage à zéro dans des conditions de validité. L'état déclenché est commandé lorsque la référence al- ternative est décalé des signaux de déclenchement en fonction du niveau ou de la vitesse d'une quantité qui suffit pour qu'il n'y ait plus recoupement du seuil du détecteur de passage à zéro si bien que le signal dynamique de sortie et l'interaction de la ligne de garde dispa- raissent. La référence alternative doit être réglée avec précision puisqu'elle détermine le niveau du seuil de déclenchement. On se réfère maintenant à la figure 5b qui représente aussi un canal de référence à température élevée formé dans chaque module de déclenchement, ce 2 465259 canal étant alimenté lors de la validation du convertis- seur analogique-numérique qui reçoit le signal EN5. La polarité du signal de température élevée alterne sous l'action du commutateur inverseur 10 mais, dans des con- ditions de validité, l'amplitude est constante entre les limites de résolution du système de multiplexage. Les écarts par rapport à la condition de validité peuvent être dus à une panne quelconque du système de multiple- xage, provoquant la réception par ce canal d'une lecture normale de température de soudure froide. Un comparateur 81 à fenêtre détecte le défaut de validité du signal de sortie du convertisseur numériqueanalogique. Si la polarité du signal de la table de référence à tempéra- ture élevée ne varie pas, un intégrateur 82 qui reçoit aussi le signal de sortie du convertisseur EN5, transmet aussi un signal de sortie qui dépasse le niveau d'un au- tre comparateur 83 qui commande un dispositif d'alarme. En résumé, les données échantillonnées et multiplexées, créées comme décrit en référence à la figure 2, peuvent être démultiplexées, mises sous forme analogique puis traitées par des circuits individuels de déclenchement analogique, dans une variante du trai- tement en temps partagé par un ordinateur. Dans l'exem- ple représenté, les données multiplexées et échantillon- nées sont réparties vers des convertisseurs numériques- analogiques individuels. Les signaux analogiques d'en- trée des circuits individuels suivants de déclenchement sont maintenus constants entre les moments d'échantil- lonnage par mémorisation de la valeur numérique des échantillons dans les registres d'entrée des conver- tisseurs numériques-analogiques. Le fonctionnement dy- namique de ces convertisseurs numériques-analogiques, y compris leurs éléments de mémorisation, est assuré par inversion de polarité lors des cycles consécutifs du multiplexeur, comme décrit précédemment, afin que la mémoire de l'ordinateur ait un fonctionnement dynamique (c'est-à-dire sûr). Le signal alternatif de sortie des convertisseurs numériquesanalogiques est alors transmis par un transformateur ou un condensateur et est redressé afin qu'il parvienne au circuit analogique de déclenche- ment. Le couplage en courant alternatif est rendu possi- ble par la polarité alternée introduite par le commuta- teur inverseur de polarité afin que le défaut de rafraî- chissement du signal transmis à l'un quelconque ou à tous les circuits de déclenchement de multiplexage par le multiplexeur provoque la transmission d'un signal 0 (c'est-à-dire de sécurité). La reconnaissance du dessin câblé des signaux d'entrée transmis au multiplexeur est assurée par un des- sin correspondant câblé dans le décodeur démultiplexé d'adresse. De cette manière, les données des échantillons sont dirigées successivement, lors du multiplexage, vers le module convenable de traitement analogique. Tout chan- gement dans l'ordre de présentation des données aux mo- dules de traitement analogique, du fait d'une panne du multiplexeur ou du démultiplexeur, est détecté dans le module. Ainsi, la description qui précède montre que l'invention concerne un dispositif perfectionné de con- trôle. REVENDICATIONS 1. Ensemble de contrôle destiné à une installa- tion industrielle ou une centrale de traitement, ledit ensemble étant du type qui traite des signaux de données provenant d'entrées reliées à des appareils ou des trans- ducteurs associés à l'installation,et qui transmet une information ou des signaux de commande à l'installation, ledit ensemble étant caractérisé en ce que les entrées de données (2, 3, 4,) sont câblées sous forme de grou- pes (8) correspondant à un dessin de test représenté par un sous-programme. 2. Ensemble selon la revendication 1, caractérisé en ce que les entrées de données sont câblées par groupes cycliques (8). 3. Ensemble selon la revendication 2, caractérisé en ce que chaque groupe *est reconnu d'après les positions des signaux de test dans le groupe. 4. Ensemble selon l'une quelconque des revendica- tions précédentes, caractérisé en ce qu'il comprend un système contenant un ordinateur. 5. Ensemble selon la revendication 4, caractérisé en ce que le système contenant un ordinateur reconnaît le dessin de test à l'aide d'un circuit logique (20) de reconnaissance de desssin. 6. Ensemble selon l'une quelconque des revendica- tions précédentes, caractérisé en ce qu'il comporte un commutateur inverseur de polarité (10) par l'intermédiai- re duquel les signaux provenant des entrées sont multi- plexés dans l'ensemble de contrôle. 7. Ensemble selon l'une quelconque des revendica- tions précédentes, caractérisé en ce qu'il est sous forme d'un système câblé. 8. Ensemble selon la revendication 7, caractérisé en ce que le système câblé reconnaît le dessin de test à l'aide de décodeurs (62, 63) reliés afin qu'ils cor- respondent aux connexions des transducteurs. 9. Ensemble selon la revendication 8, caractérisé - 246St59 en ce que les décodeurs sont reliés à des circuits de déclenchement (66). 10. Ensemble selon la revendication 9, caractérisé en ce que les signaux transmis aux circuits de déclenche- ment (66) sont analysés pour la détermination de leur vi- tesse de variation. 11. Ensemble selon la revendication 9, caractérisé en ce que les signaux transmis aux circuits de déclenche- ment (66) sont analysés pour la détermination de leur valeur absolue. 12. Ensemble selon la revendication 9, caractérisé en ce que chaque circuit de déclenchement en fonction de la température comprend un amplificateur opérationnel (74) d'addition coopérant avec un intégrateur de réaction (75) et un détecteur de passage à zéro (78). 13. Ensemble selon la revendication 12, caractérisé en ce qu'un signal alternatif est transmis à l'amplifica- teur (74) d'addition en combinaison avec les signaux des transducteurs, ce signal alternatif déterminant les li- mites du signal.