FR 2499298 A1 19820806 FR 8124018 A 19811222 La présente invention concerne un système d'ali- mentation électrique d'un réacteur nucléaire par la conversion de l'énergie thermique. Il y a une relation particulière entre la détection, la mesure et l'observation des paramètres des procédés de fonctionnement d'une installation d'alimentation servant à cet effet et pour la protection, le branchement des composants de cette installation suivant les manifestations de fonctionnement anormales ou d'état anormal de ces composants. Dans la description suivante, la détection, la mesure et l'obser- vation seront dans la plupart des cas appelées "mesures". De façon caractéristique, une centrale électrique à réacteur nucléaire comporte un réacteur nucléaire et les élé- ments coopérant avec celui-ci. De façon caractéristique, ces éléments sont les générateurs de vapeur, la turbine, l'alterna- teur entrainà par la turbine, le condenseur et les dispositifs de chauffage nécessaires ainsi que les pompes. Un fluide réfri- gérant passe dans le corps du réacteur. Lorsque le réacteur est à eau préssurisée,les composants qui coopèrent avec le réacteur comportent un pressuriseur et le fluide réfrigérant passe dans une boucle primaire à travers chaque générateur de vapeur pour effectuer un échange de chaleur, l'eau d'alimentation étant fournie au générateur de vapeur. L'eau d'alimentation est trans- formée en vapeur pour entraîner la turbine. Les opérations caractéristiques sont la génération de l'énergie nucléaire par le réacteur, le chauffage du fluide réfrigérant par le coeur du réacteur, la conversion de l'eau en vapeur, le débit de vapeur vers la turbine, le débit d'eau d'alimentation vers le générateur de vapeur et la compression du réfrigérant par le pressuriseur. Dans un réacteur à eau pressurisée, le réfrigérant doit être maintenu à la température et à la pression critiques. Les para- mètres caractéristiques qui sont détectés, mesurés ou observés sont la puissance générée par le réacteur, la température du réfrigérant, la pression de la vapeur et le niveau de l'eau d'alimentation dans les générateurs de vapeur, la pression et le niveau du réfrigérant dans le pressuriseur, le débit; c'est- à-dire le débit par rapport au temps de l'eau d'alimentation, et les paramètres de catégorie tels que l'état d'un commutateur ouvert ou fermé, Le terme "anormal" appliqué à une condition ou à un état signifie que cette condition et cet état est au-dessus ou en-dessous des limites fixées, telles qu'elles sont indiquées par la mesure du paramètre applicable. Dans la mesure des paramètres, on applique le principe de la redondance. Chaque paramètre est mesuré par un ensemble de capteurs identiques. Les signaux fournis par les capteurs sont traités séparément. Pour éviter la réaction cor- respondant à des signaux erratiques, il-faut recevoir au moins deux signaux indiquant un état anormal pour le traitement. Dans le cas du présent exemple, l'ensemble de capteurs qui mesurent un paramètre d'un procédé est appelé "assemblage de capteurs" ou "ensemble de capteurs". Les capteurs distincts de chaque ensemble sont appelés "moyens-capteurs". L'expression "moyens- capteurs" est utilisée car dans certains cas, par exemple dans les mesures de puissance à l'extérieur du coeur, l'ensemble de capteurs comporte des groupes de plusieurs capteurs. Il est souhaitable d'évaluer la fiabilité de la validité des différents signaux de paramètres de chaque ensemble de signaux pour déter- miner leur véracité ou leur degré d'erreur. Suivant les enseignements de l'art antérieur, on a un système de protection et un système de commande pour répondre par un effet approprié aux signaux des paramètres des procédés opérationnels. Le système de protection assure un effet de pro- tection tel que l'ouverture pour la coupure, qui se produit à la suite de signaux anormaux qui sont arrivés dans un étage demandant une telle action. Le système de commande répond aux signaux des paramètres décalés vers l'état anormal ou l'étage demandant un effet de protection en appliquant au réacteur ou à ses composants, des ordres tendant à contrecarrer cette dérive ou ce décalage. De même selon la pratique habituelle, le système de commandedériveà certaines de ses entrées des signaux des paramètres de traitement qui sont appliqués au système de pro- tection. Cela assure que le réacteur nucléaire et les composants qui coopèrent avec lui sont commandés en fonction des mêmes mesures de procédé que celles qui servent à les protéger. Le système de commande fonctionne ainsi pour maintenir. des marges entre les conditions de travail et les limites de sécurité du procédé et pour réduire le risque de déclenchements accidentels de l'installation de protection. Alors que le système de commande est destiné à maintenir des conditions normales dans l'installation d'alimen- tation et maintenir ainsi les marges des limites de sécurité, il existe de façon caractéristique deux cas dans lesquels les points de réglage de déclenchement de l'installation, sont variables et sont calculés par le système de protection, les marges de déclenchement au niveau de ces points de réglage ser- vant directement comme variables commandées dans le système de commande. Un cas de commande directe de marge effectuée par le système de commande pour lequel la marge de déclenchement soit pour une déviation faible par rapport au rapport d'ébulli- tion nucléaire ou pour un coefficient KW/ft, élevé dans le réacteur, suivant celui qui est le plus faible, sert à commander la répartition axiale de puissance du réacteur suivant un état plus équilibré pour réduire les coefficients de puissance, maxima et augmenter la marge au déclenchement. Le coefficient "DNBR" (déviation suivant le rapport d'ébullition nucléaire) est une indication de la déviation du réfrigérant du réacteur par rapport à la température critique et/ou la pression. Par exemple si la pression du réfrigérant diminue, le réfrigérant peut se mettre à ébullition. Le système de protection définit une marge en fonction de la demande de l'installation. Si la marge est dépassée, l'installation est arrêtée. Toutefois, lors- qu'on se rapproche de la marge, le système de commande réagit pour augmenter la pression du réfrigérant ou réduire la tempé- rature du réfrigérant ou-encore prendre d'autres mesures. Le rapport KW/ft est la puissance thermique par unité de longueur (ce rapport est usuellement utilisé dans cette technique, l'unité de longueur étant le pied c'est-à-dire 30 centimètres), puissance thermique développée dans le réacteur au point le plus chaud c'est-à-dire à l'endroit o le coeur du réacteur a tendance à créer un point chaud. Cette marge est également fixée par le système de protection en fonction des demandes de puissance à l'installation. Si la marge est dépassée, l'installation est arrêtée par le système de protection. Toutefois, le système de commande réagit pour éviter que l'on ne dépasse pas la marge. Dans chaque cas o soit DNBR ou soit KW/ft est faible, le sys- tème de commande demande une intervention. Le coefficient DNBR est fourni par l'instrumenta- tion nucléaire c'est-à-dire par les détecteurs à l'extéjieur du coeur et par des mesures de puissance QN-16' à partir de la position de commande des barres, à partir de la température de la branche froide, et à partir de la pression du pressuriseur. Le coefficient KW/ft est dérivé des mesures de paramètres ci- dessus à l'exception de la pression du pressuriseur. Cet effet de commande est exécuté par la combinaison des variations de concentration de bore et la commande du mouvement des barres cette commande est effectuée seulement si l'une des marges devient extrêmement faible. Les signaux de marge utilisés pour cette fonction de commande sont calculés à l'aide des calculs des limites du noyau dans chaque système de protection. Un autre cas de commande directe de marge est exécuté en combinaison avec la protection de chutes de barres.Si unegarre de commande tombe dans le coeur, le système de commande fonctionne pour mettre la turbine à une puissance plus faible. La barre est extraite par des organes de manoeuvre télécommandés. La protection contre les chutes de barres fonctionne pour déterminer un point de réglage de déclenchement de flux de neutrons, élevé, inférieur à la puissance maximale, suivant un cas de flux négatif, élevé, provoqué par la chute d'un ou de plusieurs ensembles de barres de commande. Le point de réglage est fixé par le système de protection en fonction du réglage de la puissance de l'instal- lation. Si le flux de neutrons est trop élevé pour le réglage de la puissance, le système de protection arrête l'installation. Toutefois si l'on se rapproche de la marge, le système de com- mande effectue des corrections. De façon caractéristique, le système de commande agit pour réduire la demande de. puissance à l'installation endessous du point de réglage, en évitant l'extraction des barres de commande et en commençant une réduc- tion de la vitesse de la turbine, qui se termine ultérieurement lorsque la puissance de la turbine est en-dessous du point de réglage de déclenchement du réacteur. La-dérivation des signaux du système de commande par le système de protection présente l'avantage de réduire le nombre de mesures redondantes nécessaires à chaque opération et la complexité globale de l'installation à la pénétration de la frontière critique. Cela aboutit à la réduction des exigences de séparation dans la partie protégée ainsi que du coût de l'installation et des conditions d'entretien. Pour arriver à ces avantages, il faut prendre certaines mesures pour assurer l'indépendance du système de protection et du système de commande. Le document IEEE-279-1971 "IEEE Standard Criteria for Protection Systems for Nuclear Power Generating Stations", (en particulier la partie 4.7) donne des critères auxquels une installation à réacteur nucléaire doit satisfaire si les signaux de protection sont également utilisés par le système de commande. En plus de l'indication que les dispositifs d'isolation doivent être prévus pour assurer le système de protection contre les incidents électriques du système de commande, le document IEEE279 contient le passage suivant qui concerne l'interaction fonctionnelle du système de protection et du -&ystème de commande: 4;7.3 incident aléatoire isolé. Lorsqu'un incident aléatoire isolé peut mettre en oeuvre un système de commande de façon qu'il provoque un état nécessitant une action de protection et peut également éviter une action appropriée du canal du système de protection destiné à protéger contre cet état, les canaux de protection redondants, qui subsistent, et pouvoir assurer une action de protection même s'ils sont détériorés par un second incident aléatoire. Des moyens doivent être prévus de façon que cette condition soit toujours satisfaite lorsqu'un canal est court- circuité ou n'est plus en service pour des raisons d'entretien ou d'essai. Des moyens acceptables consistent à réduire la coïncidence nécessaire, à annuler les signaux de commande venant des canaux redondants ou à commencer une action de protection à partir du"canal court-circuité". La présente invention a pour but de créer une installation d'alimentation électrique à réacteur nucléaire dans laquelle les signaux du système de commande sont dérivés du système de protection qui doit être structuré et doit fonc- tionner pour satisfaire à ce critère. Dans l'installation connue, ce critère est satis- fait par une logique donnant deux parmi quatre (2/4) signaux de traitement de protection, qui sont également utilisés pour la commande. Cela signifie que l'on transmet quatre signaux pour chaque paramètre du procédé vers le système de protection et le système de commande. Pour réduire l'action de protection ou de commande, il faut deux signaux indiquant l'état anormal ou la demande d'action de protection pour un procédé. Lorsqu'un canal est scoupé' pour effectuer des essais ou des opérations d'entretien, l'action de protection ou les actions de ce canal ont été démarrées pour que la logique des autres canaux corres- ponde à un choixun parmi trois" (1/3). Lorsqu'on travaille selon le mode 1/3, l'appareil est exposé aux risques qu'une seule défaillance de composant qui peut être aléatoire, provoque un déclenchement accidentel de l'installation. Lorsqu'un canal de protection est mis en essai ou enentretien, l'opérateur manoeuvre un commutateur pour couper le canal par rapport à l'entrée du système de commande. Si l'opérateur ne connaît pas le canal qui est à l'essai, il ne peut manoeuvrer le commutateur, si bien qu'il peut en résul- ter un incident de fonctionnement de l'installation. L'invention a pour but de remédier aux inconvé- nients mentionnés ci-dessus des solutions connues et se propose de créer un système d'alimentation électrique à réacteur nu- cléaire avec redondance pour sa protection et sa commande, en supprimant le risque de déclenchement accidentel de l'installa- tion par une seule défaillance de ces canaux à signaux à para- mètres de procédé. A cet effet, l'invention concerne un système d'alimentation électrique à réacteur nucléaire comprenant un réacteur nucléaire, un ensemble de composants reliés au réacteur pour transformer l'énergie thermique générée par le réacteur - en une énergie électrique, plusieurs ensembles de capteurs reliés au réacteur et à certains des composants pour détecter les paramètres de procédé du réacteur et de certains composants,' chaque ensemble de capteurs comportant plusieurs moyens-capteurs analogues pour capter les paramètres de procédé que l'ensemble de capteurs dont fait partie le moyen-capteur est susceptible de détecter, chacun des moyens-capteurs identiques donnant des signaux de mesure des paramètres détectés par l'ensemble de capteurs, un système de protection avec plusieurs unités de protection, identiques, un moyen reliant un même capteur de chaque ensemble de capteurs à une unité de protection corres- pondante pour appliquer à l'unité de protection, le signal produit par le moyen-capteur branché, et une installation de protection répondant au système de protection pour assurer une opération de protection de l'installation seulement si plus d'une unité de protection reçoit des signaux du capteur corres- pondant indiquant un fonctionnement erroné du réacteur et/ou certains composants dont les paramètres de procédé sont détectés par le moyencapteur correspondant, un système de commande, des moyens reliant le système de commande en relation avec le réacteur et avec au moins certains composants, cette installa- tion étant caractérisée en ce que le système comporte plusieurs canaux distincts, reliés séparément & chaque unité de protection et au système de commande pour transmettre au système de com- mande les signaux dérivés à partir de chaque moyen-capteur correspondant à chaque unité de protection, pour mettre en oeuvre le système de commande et commander le réacteur et/ou ses composants comme indiqué ci-dessus, en fonction de l'infor- mation des signaux appliqués au système de commande pour le fonctionnement anormal du réacteur et/ou de ses composants, et un moyen de sélection de signaux prévu entre les canaux et le système de commande pour éviter la transmission vers le système de commande à partir des unités de protection, des signaux d'un moyen-capteur d'un ensemble de capteurs, signaux qui diffèrent de façon significative des signaux de moyens-capteurs du m&me en- semble de capteurs et pour permettre la transmission au système de commande des signaux du moyen-capteur de l'ensemble de cap- téurs qui ne diffèrent pas de façon significative des signaux des autres moyens-capteurs de cet ensemble de capteurs. Suivant un mode de réalisation préférentiel de l'invention, on courtcircuite un canal qui est en essai ou en entretien. La logique 2/4 pour déclencher l'installation d'ali- mentation est transformée en une logique 2/3. Le paragraphe 4.7.3 du document IEEE-279 exige qu'aucune défaillance n'entratne une action de commande inverse et évite une réponse appropriée du canal de protection pour protéger de nouveau l'action inverse de la commande, par exemple par suite d'un incident dans ce canal de protection. Pour satisfaire à ce critère, un sélecteur ou moyen de sélection de signaux est prévu entre chaque canal de protection et le système de commande pour rejeter les signaux qui peuvent aboutir à une action barrée de la commande. Ce moyen de sélection de signaux laisse passer vers le système de commande à partir de chaque canal de protection seulement les signaux qui sont représentatifs de l'état réel du procédé en cours d'observation c'est-àdire des signaux vrais en rejetant les signaux qui sont faux. Les signaux qui sont des mesures de cha- que paramètre de chaque procédé transmis par les différents canaux sont comparés et tout signal qui diffère de façon signi- ficative des autres signaux mesurant le même paramètre est rejeté. La différence significative est une amplitude égale au double de la variation autorisée des signaux mesurant le para- mètre en question. Suivant un mode de réalisation préférentiel de l'invention, les interactions électriques entre les unités de protection du système de protection et le système de commande ne peuvent laisser passér les signaux de chaque unité vers le moyen de sélection de signaux et le système de commande à tra- vers des moyens optiques. Le moyen de sélection de signaux comporte une paire d'unités de sélection de signaux. Chaque unité est un calculateur et en particulier un microcalculateur. Tous les signaux de procédé sont appliqués séparément aux deux unités. Le système de commande comporte un canal de commande primaire communiquant avec une unité de sélection et un canal de com- mande secondaire communiquant avec l'autre unité. En coopération avec les unités de sélection et le canal de commande, on a une unité à signal de test. A des intervalles, on injecte des signaux d'essai ou de test dans une unité de sélection choisie à travers un commutateur. Pendant ces intervalles, le passage des signaux du procédé vers l'unité choisie et le passage des signaux de procédé vers le canal de commande relié à l'unité de sélection choisie sont interrompus. Le but du moyen de sélec- tion de signal est de rendre le système de commande insensible à des défaillances isolées dans les unités de protection du système de protection. Les mesures dérivées de ces procédés se présentent sous forme de signaux analogiques. Un convertis- seur analogique/numérique (convertisseur A/D) est prévu dans chaque unité de protection et est interposé entre le capteur et le moyen de sélection de signal pour convertir ces signaux analogiques en des grandeursnumériques. Les signaux numériques mesurant les procédés différents sont multiplexés par des liai- sons de données dans le moyen de sélection et si les signaux sont vrais, dans le système de commande. La présente invention sera décrite plus en détail à l'aide des dessins annexés, dans lesquels -la figure 1 est un schéma d'une installation d'alimentation électrique d'un réacteur nucléaire selon un mode de réalisation de l'invention. = - la figure 2 est un schéma d'une unité de protection * 2499298 du système de protection de l'installation de la figure 1, de son canal de communication, coopérant et de sa relation avec les autres parties de l'installation représentée à la figure 1. - la figure 3 est un schéma des canaux de communi- cation, distincts de l'appareil représenté à la figure 1, du moyen de sélection de signal et du système de commande ainsi que de la relation de coopération entre les différentes parties. - la figure 4 montre le sous-programme de l'algo- rithme de chaque unité de sélection de signaux pour le traite- ment global de tous les ensembles de signaux de paramètres de procédé. - la figure 5 montre le sous-programme d'initiali- sation de l'algorithme de chaque unité de sélection de signal réglant l'exécution de la procédure d'initialisation pour les signaux de chaque paramètre de procédé. - la figure 6 montre le sous-programme de sélec- tion de l'algorithme de chaque unité de sélection de signal réglant l'exécution de la procédure de sélection de signal. - la figure 7 montre le sous-programme de compa- raison de l'algorithme pour chaque unité de sélection de signal pour l'exécution de la comparaison de chaque signal mesurant un paramètre avec les autres signaux mesurant le mame paramètre. - la figure 8 montre le sous-programme de sortie de l'algorithme commandant la sortie de chaque unité de sélec- tion de signal. Les figures 1 à 3 représentent une installation électrique à réacteur nucléaire 11 ou centrale nucléaire, qui est de façon caractéristique à eau pressurisée. La centrale 11 se compose d'un réacteur nucléaire 13, de générateurs de vapeur 15, 17, d'un pressuriseur 18, d'une turbine 19, d'un alternateur 21, d'un condenseur 23 et de réchauffeurs 25 pour préchauffer le oendensat fourni par le condenseur. Bien que les figures ne montrent que deux générateurs de vapeur 15, 17, il peut y avoir plus de deux générateurs et de préférence quatre. La centrale 11 comporte des boucles distinctes 27, 29 fournissant du fluide réfrigérant au réacteur. Chaque boucle 27, 29 comporte des conduites primaires 31 pour le générateur de vapeur correspon- dant. Chaque boucle 27, 29 comporte une branche chaude 33 à travers laquelle passe le réfrigérant chaud vers le collecteur d'entrée 35 du générateur de vapeur. A travers les tubes 32, le réfrigérant chaud effectue un échange de chaleur avec l'eau d'alimentation fournie au générateur. Chaque boucle 27, 29 comporte également une branche froide 37 à travers laquelle le réfrigérant dont la température a été réduite par échange de chaleur, revient au réacteur 13 à partir du collecteur de sortie 39 du générateur de vapeur. Chaque boucle comporte une pompe 41 pour mettre en circulation le réfrigérant dans la boucle. Chaque générateur de vapeur 15, 17 est également alimenté séparément c'est-àdire par des boucles secondaires distinctes, en eau d'alimentation du condenseur 23 par l'intermédiaire du réchauffeur 25 et de la conduite d'eau d'alimentation 43. L'eau d'alimentation est mise en circulation par une pompe 45 dans chaque conduite 43. La vapeur produite par les générateurs de vapeur 15 et 17 est fournie à un collecteur commun 47. En pro- venance du collecteur 47, la vapeur alimente la turbine 19 pour l'entratner. Le dispositif de mise sous pression 18 se compose d'un réchauffeur 49 et d'un pulvérisateur 51. Le pul- vérisateur 51 reçoit le fluide réfrigérant de la branche froide 37 de la boucle 27 à travers la vanne 54. Le dispositif 18 fournit le réfrigérant à la branche chaude 33. Les-générateurs de vapeur 15, 17, le dispositif 18, la turbine 19, l'alterna- teur 21, le condenseur 23, les réchauffeurs 25, les boucles 27, 29 ainsi que les organes correspondants-sont combinés au réac- teur 13 pour transformer l'énergie thermique générée par le réacteur en énergie électrique. L'installation 11 comporte également un système de protection 53 et un système de commande 55. Le système de protection 53 met en oeuvre l'installation de protection 57 lorsque la centrale 11 est dans un état qui nécessite sa coupure par rapport au réseau. Le système de commande 55 agit sr les procédés de fonctionnement du réacteur 13 et les composants coopèrant avec le réacteur pour corriger les conditions anorma- les qui tendent elles-mêmes à se corriger. Le système de protec- tion 53 est relié au système de commande 55 par un moyen -de sélection de signal qui évite qu'un signal non représentatif d'un paramètre mesuré ne soit injecté dans le système de com- mande 55. Le fonctionnement du réacteur 13 et de ses compo- sants est contrôlé par un capteur qui mesure les paramètres des procédés du réacteur et des composants pour donner des signaux qui caractèrent les mesures. Chaque paramètre est une mesure de plusieurs et de façon caractéristique à quelques exceptione,prês, quatre moyens-capteurs analogues. Comme déjà indiqué, l'expres- sion "moyens-capteurs" utilisée dans la présente description concerne un capteur ou dans le cas de détecteurs à l'extérieur du coeur, plusieurs capteurs qui mesurent ou contrôlent un paramètre de procédé. L'expression "ensemble de capteurs" cor- respond à un groupe ou à un ensemble de capteurs mesurant ou contrôlant ce même paramètre du procédé. La figure 1 montre certains des capteurs ou des ense bles de capteurs dont font partie des moyens-capteurs. Dans certains cas, on a représenté un ou deux moyens-capteurs pour éviter de compliquer les des- sins. Parmi les moyens-capteurs, il y a les détecteurs 61 à l'extérieur du coeur mesurant le flux de neutrons. Plusieurs ensembles 63 de détecteurs 61 sont couplés au réacteur 13. De façon caractéristique, il y a quatre détecteurs 61 dans chaque ensemble, disposés dans le réacteur 13. Il y a également des capteurs d'azote 16, 65 mesurant la puissance du réacteur. Ces capteurs sont reliés aux branches chaudes 33 des boucles 27, 29 du réfrigérant. De façon caractéristique, quatre capteurs sont reliés à chaque boucle. Le paramètre mesuré par les capteurs 65 est de façon conventionnelle appelé QNî16. Les ensembles de capteurs 63 et les capteurs 61 font partie des instruments nucléaires. La température de la branche froide est mesurée par les capteurs 67. Il s'agit de façon caractéristique de quatre capteurs pour chaque boucle 27 et 29. Il y a également les capteurs 69 sur chaque générateur de vapeur 15 et 27 qui mesurent la pression et les capteurs 71 qui mesurent le niveau de l'eau d'alimentation. De façon caractéristique, on a quatre tels capteurs 69, 71 pour chaque générateur de vapeur. Parmi ces capteurs, il y a les capteurs 73 mesurant le niveau de l'eau dans le dispositif 18 et les capteurs 75 qui mesurent la pres- sion dans le dispositif 18. De façon caractéristique, il y a quatre capteurs 73 et 75. Il y a des capteurs 77 reliés à cha- que conduite d'eau d'alimentation 43 mesurant le débit de l'eau d'alimentation; de façon caractéristique, il y a trois capteurs 77 pour chaque générateur de vapeur 15, 17. Il y a des capteurs 79 de façon caractéristique au nombre de quatre pour indiquer les positions des barres de commande. Il peut y avoir d'autres 24 99298 capteurs qui mesurent les paramètres du procédé ou même qui indiquent les positions de commutation. Les capteurs 61 à 79 appliquent les signaux des paramètres des procédés respectifs au système de protection 53. A la figure 1, certains des branchements entre les capteurs et le système de protection-sont représentés par des lignes avec des flèches dirigées vers le système de protection. D'autres sont représentés par des lignes en traits courts avec des flè- ches référencées "PS". Le système de protection 53 comporte un ensemble de mêmes unités de protection 81, 83, 85, 87 (figure 3) dont le nombre correspond au nombre maximum de capteurs qui est de façon caractéristique égal à quatre dans chaque ensemble. Le signal de chacun des capteurs distincts correspond aux moyens-capteurs distincts tels que les moyens-capteurs extérieurs 63 de chaque ensemble mesurant le même paramètre de procédé; ce signal est appliqué ou injecté dans une unité de protection, distincte. Les signaux de paramètres de procédé passent de façon caractéristique du système de protection 53 au système de commande 55 à travers le moyen de sélection de signal 59 qui sépare les signaux non représentatifs en les filtrant. Les signaux dérivés directement des capteurs traversent le système de commande 55 en étant choisis par le moyen de sélection de signal 59 sous la m^ome forme qu'ils sont reçus par le moyen de protection de signal.- Les autres signaux traversent le système de commande tel que la marge DNBR et la marge KW/ft qui sont calculées dans le système de protection 53 à partir des signaux dérivés du réacteur 13 et de ses composants; les résultats des calculs traversent le système de commande 53 à travers le moyen de sélection de signal -59. Le système de commande 55 applique des ordres de commande au réacteur et aux composants qui coopèrent avec lui. De façon caractéristique, les ordres sont appliqués aux barres de commande 89 à la vanne de pulvérisation 53 du'dispositif 18, aux vannes de sortie de vapeur 91 des générateurs de vapeur 15, 17, à la vanne de collecteur de vapeur 93 qui court-circuite la turbine 19, au réchauffeur 49 du dispositif 18, aux vannes de réglage de l'eau d'alimentation 95 etc. La figure 2 montre de façon caractéristique l'unité de protection 81. Chaque unité se compose d'un ensemble de conver- tisseurs analogique /numérique 97. Le signal de chaque moyen- capteur est appliqué à un convertisseur A/D (analogique/numéri- que) 97 distinct. En particulier la sortie de l'un des capteurs 61 du moyen-capteur 63 est appliquée au convertisseur gauche 97. S Il y a trois convertisseurs supplémentaires (non représentés à la figure 2) pour les autres trois capteurs de l'ensemble 63. Le signal du capteur de pression 69 du générateur de vapeur est appliqué au second convertisseur A/D à partir de l'extrémité gauche; le signal du capteur de température de la branche froide 67 est appliqué au convertisseur suivant; le signal du capteur de niveau du dispositif de mise en pression 73 est appli- qué au convertisseur suivant etc. Les signaux de sortie numéri- ques des différents convertisseurs A/D sont appliqués à un cir- cuit de commande de multiplexage 99 qui laisse passer chaque signal à son tour vers l'émetteur 101 de la liaison de données. Le circuit de commande de multiplexage 99 est de façon caracté- ristique un microcalculateur. La sortie de l'émetteur 101 passe dans l'amplificateur 103. La sortie de l'amplificateur 103 est reliée à une diode photo-émissive (LED) 105. De façon caracté- ristique un signal d'un capteur peut se définir par douze chiffres (digits) dont certains sont à l'état 1 et certains à l'état 0. Le signal lumineux émis par la diode LED 105 comporte douze espaces de temps. De façon caractéristique lorsqu'un chiffre est à l'état 1, une impulsion lumineuse est émise pen- dant l'intervalle correspondant; pour un chiffre à l'état 0, aucune impulsion lumineuse n'est émise pendant l'intervalle correspondant. Le signal de sortie de la diode LED 105 est transmis par un canal à fibres optiques 107. Des signaux de sortie des convertisseurs A/D 97 traversent également l'appareil de protection 57 comme cela est indiqué par les flèches 109. Les autres unités de protection 83, 85, 87 sont analogues à celles de l'unité 81. L'appareil de protection 57 ne peut être mis en oeuvre par un signal numérique venant seulement de l'une des unités de protection 81-87 même si ce signal indique que la mise en oeuvre de l'appareil de protection est demandée. Pour mettre en oeuvre l'appareil de protection, il faut les signaux adéquats d'au moins deux des unités de protection. Le moyen de sélection de signal (figure 3) com- porte des unités de sélection de signal 111, 113 identiques et une unité d'essai 115, automatique. Les unités 111, 113, 115 sont des microcalculateurs. Des mémoires partagées 117, 119 sont prévues pour recevoir et enregistrer les données des unités 111, 113, 115 pour le traitement ultérieur. La donnée des unités de protection distinctes 81-87 est transmise au moyen de sélec- tion de signal par des canaux de communication distincts. Chaque canal comporte en plus des fibres optiques 107, une photodiode 121 (ou un phototransistor), un amplificateur 123, un commuta- teur sélecteur électronique 125, des récepteurs de liaison de données 127, 129 et un émetteur de liaison de données 131. Les signaux de sortie des récepteurs de liaison de données 127 sont enregistrés à des adresses identifiées ou dans des intervalles d'adresses dans la mémoire partagée 133; les signaux de sortie des récepteurs de liaison de données. 129 sont enregistrés dans la mémoire partagée 135. La sortie choisie de l'unité d'essai automatique 115 est enregistrée dans la mémoire partagée 137 à des adresses ou à des intervalles identifiés. La mémoire par- tagée 137 transmet des signaux d'essais et des ordres appropriés aux émetteurs de données 131 respectifs. Chaque émetteur 131 transmet son signal d'essai et son ordre au commutateur 125 du canal de communication sur lequel il est branché. L'unité d'essai automatique 115 choisit l'unité de sélection de signal 111 ou 113 pour l'essai et génère des signaux d'essai. En fonction d'un ordre de l'unité d'essai auto- matique 115, les commutateurs 125 sont mis à l'état pour bloquer le débit des signaux de traitement vers l'unité de sélection de signal choisie 111 ou 113, suivant le cas, pour permettre aux signaux d'essai de passer dans cette unité choisie. Lessignaux d'essai sont enregistrés dans la mémoire 133 ou 135 reliée à l'unité choisie 111 ou 113. Le débit des signaux d'essai vers le système de commande est bloqué. Le système de commande 55 comporte des canaux de commande principaux 141 et des canaux de commande de retour 143. Les canaux de commande principaux 141 dérivent des signaux de la mémoire 117 et les canaux de retour 143 dérivent des signaux de la mémoire 119. Les canaux de commande de retour 143 compor- tent des verrous pour éviter que des incidents 'mineurs ne coupent accidentellement la centrale 11. Les canaux de commande principaux 141 et les canaux de commande de retour 143 sont alimentés directement des capteurs 145 qui contrôlent les procédés ne nécessitant pas de protection. Les canaux fournissent des signaux "vrais".au réacteur 13 et aux composants coopérant avec celui-ci pour corriger les états anormaux qui tendent eux-mêmes à se corriger. Les mémoires 117, 119, 133, 135, 137 sont des mémoires partagées, avec accès direct. Les liaisons à fibres optiques 107 évitent la propagation des incidents dans le système de protection 53 ou le système de commande 55 vers le système de protection ou le système de commande. Les liaisons 107 évitent également l'inter- action électrique entre les unités 81-87 du système de protec- tion ou entre les canaux 141 et 143 du système de commande. Seule l'information peut traverser une liaison et peut seulement passer du système de protection 53 vers le système de commande 55. L'information émise par le système de protection est un bloc de grandeurs de signaux qui sont transmises suivant un protocole strict comportant un code de début de message, un code de fin de message, un comptage d'octets, une somme de contr8le de message et des codes de parité, toutes ces informa- tions devant être satisfaites avant qu'elles ne.soient admises dans le système de commande. Les défaillances dans le système de protection 53 ne risquent pas de provoquer des effets de commande inverses, seulement s'ils modifient les grandeurs des signaux dans le bloc de données ou si toutes provoquent l'in- terruption du flux d'informations. Dans ce contexte, on consi- dère qu'un signal est un signal erroné ou un signal invalidé s'il s'agit d'un signal qui a été modifié à partir de sa valeur propre c'est-à-dire s'il n'est plus représentatif du paramètre de procédé. La fonction du moyen de sélection de signal 59 est d'identifier les signaux invalidés et d'éviter qu'ils ne pas- * sent dans le système de commande 55. Dans ce système de données multiplexées, le signal de données est enregistré aux adresses dans les mémoires 133 et 135 de microcalculateur. Ces mémoires sont chacune remises à jour périodiquement avec une information nouvelle reçue par les liaisons de données de chaque unité de protection 81-87. Si par exemple le procédé de mise à jour s'arrête, les données qui restent dans une mémoire deviennent des données anciennes c'est-à-dire des données non mises à jour; toutefois ces données peuvent continuer à représenter la valeur vraie du paramètre de procédé si le procédé reste constant. Le moyen de sélection de signal 59 ne repose sur aucune méthode de retard de temps pour détecter les données anciennes; en fait de telles techniques sont utilisées pour détecter les incidents de liaisons de données(mais seulement pour mettre en oeuvre des alarmes)plutôt que de laisser passer une donnée ancienne dans le système de commande 55 aussi longtemps que cette donnée est représentative du paramètre de procédé. Lorsque le paramètre de procédé se déplace, les canaux de données, mis en oeuvre, suivent ce paramètre pendant que l'information d'un canal non mis en oeuvre reste à une valeur fixe. Le moyen de sélection de signal constate alors que la donnée ancienne n'est plus représentative du paramètre de procédé concerné et rejette cette donnée, ce qui évite que le système de commande n'entreprenne une action gênante par suite d'un incident du système de protection. Le moyen de sélection de signal 59 a pour but de rejeter les signaux qui ne sont pas représentatifs de cette variable de procédé et de laisser passer seulement les signaux valides vers le système de commande. Le moyen de sélection de signal est de façon caractéristique localisé en pratique dans des boîtiers conte- nant le système de commande. La raison de cette localisation est double. En premier lieu aucune des unités de protection distinctes ne contient suffisamment d'informations pour déter- miner si le signal électrique correspondant à un paramètre de procédé donné est un signal valide. Il faut que chaque signal soit comparé aux autres signaux qui mesurent le même procédé. Pour avoir l'information nécessaire, il faudrait augmenter considérablement la communication entre les canaux parmi les unités de protection, si l'unité de sélection de signal devait se trouver dans le bottier d'une unité de protection. Il en résulterait des difficultés quant à l'indépendance des parties redondantes du système de protection. La seconde raison pour mettre le moyen de sélection de signal dans le système de com- mande est celui d'une défaillance en mode commun. Si le moyen de sélection se trouvait placé dans le boîtier ou dans l'une des unités de protection, un seul événement tel qu'une tempéra- ture extrême, provoquerait une erreur dans les signaux traités dans ce boîtier alors qu'en même temps cela autoriserait le moyen de sélection de signal à rejeter de tels signaux. Il faut indiquer que le moyen de sélection de signal 59 doit pouvoir rejeter un seul signal faux par suite d'une défaillance aléatoire dans le système de protection. Il faut pouvoir exécuter cette fonction même si l'une des unités de protection, redondantes, 81-87 est court-circuitée ou est mise hors service pour des essais ou des travaux d'entretien. Comme le signal d'un canal en cours d'essai n'est en général pas représentatif du paramètre du procédé, il faut que le moyen de sélection de signal puisse rejeter à la fois le signal du canal en cours d'essai et un autre signal faux (par exemple engendré par une défaillance du système de protection). Ce critère doit être satisfait même si la défaillance et la tran- sition en mode d'essai se produisent simultanément (dans le même cycle d'exécution de l'algorithme). Le système de protection 53 est structuré pour permettre le courtcircuitage simultané de deux des quatre canaux mesurant toute variable de procédé. Cela a pour but de permettre l'essai périodique du système de protection, même si l'un des canaux est hors service pour une durée prolongée. Bien que le moyen de sélection de signal rejeterait les deux signaux court-circuités, il serait incapable d'isoler un signal faux parmi les deux signaux restants. Ainsi en mode opérationnel, il y a deux canaux de la même fonction de protection qui sont court- circuités, et n'importe quelle commande dérivée de ces canaux doit être placée en mode manuel. Il s'agit d'un effet adminis- tratif plutbt que d'un effet automatique; toutefois, il est prévu une alarme pour informer l'opérateur qu'il passe dans ce mode de fonctionnement. Pendant ce mode de fonctionnement, la logique de coïncidence des deux canaux restants est restructurée automatiquement pour être une logique de type un parmi deux (1/2). Le tableau I est une liste des signaux de para- mètres de procédé, caractéristiques qui sont injectés dans le système de commande 55 pour régler le réacteur 15 et ses compo- sants. TABLEAU I 1. Température d'entrée du réacteur (Tfroid) 2. Plage de puissance mesurée par des détecteurs à l'extérieur du noyau. 3. Puissance du réacteur (QN-16) 4. Marge de déclenchement sur DNBR ou KW/ft. 5. Niveau d'eau dans le générateur de vapeur (chacun pour quatre boucles caractéristiques). 6. Débit d'eau d'alimentation (chacun pour quatre boucles caractéristiques). 7. Pression du dispositif de mise en pression. 8. Niveau d'eau dans le dispositif de mise en pression. 9. Puissance fournie par le réacteur dans les unités d'enre- gistrement/trace de chute de tiges; dérivée de détecteurs extérieurs au noyau dans la plage de puissance. Les signaux du tableau -I sont fournis par les ensembles de capteurs. Dans le cas d'un niveau de générateur de vapeur et d'un débit d'eau d'alimentation, il y a un ensemble de capteurs pour chaque boucle du générateur de vapeur, deux ensembles ayant été représentés. Le débit d'eau d'alimentation est capté par trois capteurs 77 dans chaque boucle et la tempé- rature de la branche froide est captée par trois capteurs dans chaque boucle. L'ensemble des capteurs, détecteurs extérieurs au coeur sont de façon caractéristique formés de quatre jeux 63 ayant chacun quatre capteurs 61. Pour dériver les autres signaux, chaque ensemblee capteurs se compose de façon caracté- ristique de quatre capteurs. Des capteurs correspondants de chaque ensemble sont reliés aux unités de protection 81-87 à l'exception des capteurs de débit d'eau d'alimentation qui sont seulement reliés à trois unités de protection. Les détecteurs correspondants des quatre jeux de détecteurs extérieurs au coeur sont traités comme dispositifs distincts dans les quatre unités de protection correspondantes 81-87. En d'autres termes, chacun des signaux de chaque jeu d'ensemble de capteurs extérieurs au coeur de chaque niveau de la rangée la plus basse des détecteurs jusqu'à la rangée la plus haute des détecteurs est comparé séparément au détecteur 61 de l'autre moyen 63 extérieur au coeur, du même niveau pour déterminer si un signal quelconque n'est pas représentatif du paramètre. * 1*9 Les signaux qui sont envoyés au système de com- mande 55 sont les signaux de sortie des convertisseurs A/D 97 avant l'exécution d'aucun calcul. Il y a peu d'exception. A la fois, la puissance bN16) du réacteur et les signaux de marge de déclenchement DNBR ou KW/ft ne sont pas des signaux bruts des capteurs; ces signaux sont en fait le résultat de calculs. Chaque boucle de générateur de vapeur est commandée indépendam- ment par la commande du niveau d'eau du générateur de vapeur. Comme il y a seulement trois capteurs de débit d'eau d'alimen- tation 77 dans chaque boucle, l'algorithme du moyen de sélection de signaux 59 est réglé pour travailler seulement avec trois signaux d'entrée. Aucune comparaison n'est faite entre les signaux qui viennent des capteurs 77 des différentes boucles. Il n'y a pas de contradiction avec le paragraphe 4.7.3. du document IEEE279 puisque le débit d'eau d'alimentation est utilisé à des fins de protection seulement à des niveaux de puissance faibles (inférieurs à environ 25 % de la puissance maximale) pour lesquels ce débit n'est pas utilisé pour la com- mande. Comme chacun des quatre détecteurs nucléaires extérieurs au coeur, dans la plage de puissance 63 comporte quatre segments (quatre signaux de sortie), il faut un traitement particulier pour le moyen de sélection de signal 79. La température de la vapeur de la branche froide (Tfroid) du réacteur est en fait mesurée douze fois: trois mesures des capteurs 67 de chacune des quatre boucles de réfri- gérant du réacteur 27-29 et deux qui ne sont pas représentées. Seuls quatre des signaux sont envoyés au système de commande 55, un signal pour chaque boucle. Le tableau II identifie les fonctions de commande qui sont exécutées manuellement lorsque deux canaux du même signal de paramètre de procédé sont court-circuités simultané- ment. Le moyen de sélection de signal 59 compare chaque signal d'entrée d'un paramètre de procédé aux autres signaux du même paramètre et rejette (c'est-à-dire évite de laisser passer le signal vers le système de commande 55) tout signal qui diffère d'une amplitude prédéterminée appelée ci-après différence A par rapport aux autres signaux. De façon caracté- ristique, lorsqu'il y a quatre ou dans des cas exceptionnels trois signaux, un signal qui diffère de plus de & par rapport TABLEAU II 4- 4 _- À) 0) 0 0 0 À cd À 0> À >À>À>À 0 do . . o : H H H - - a H.Q G> H H H H *4r-1 r > a) 0 0 0 0 0 0 10.4 S "5" H 1. TturOe. e la brnh fO Q 'roe d rd X r d 2O tu NI extnien Ln c o eD X a P rd O ss an rd 4 X rdX rd G>G>G> V-G> 4CO-riGr C C S s- Z: p -0100000 gg: Paramètres du procédé 1. Température de la branche froide du réacteur X X X-X 2. NIS extérieur au coeur X X 3. Puissance QN-16 X X X X 4. Marge de déclenchement à la limite du coeur X X a.Niveau de la boucle de 1 S.G X 5b.Niveau de la boule de 2 SG - X c.Niveau de la boucle de 3 S.G X d. Niveau de la boucle de 4 S.G X 6a.Débitveau de la boucle de 4 S.GF.W X 6b. Débit de la boucle 2 F.W X 306c.Débit de la boucle 3 F.W X 6c.Débit de la boucle 3 F.W 6d.Débit de la boucle 4 F.W X 7. Pression du dispositif de mise en pression X 8. Niveau du dispositif de mise en pression X 9. Puissance de chute de barre T/S* * Remarque: I1 n'y a pas de commande manuelle pour la décélé- ration de la turbine lorsqu'une barre est tombée. aux deux autres signaux des capteurs identiques est rejeté. Les deux signaux qui sont cohérents, sont supposés être des signaux "vrais". Lorsque comme supposé quatre signaux sont appliqués au système de protection 53, deux signaux peuvent être rejetés. Le moyen de sélection de signal 59 présente une caractéristique d'exclusion qui permet le rejet de deux signaux. De ces deux signaux rejetés, on suppose que l'un est invalide car il correspond à une mise hors service pour un essai ou un travail d'entretien ou encore pour une centrale 11 qui travaille avec N-1 boucle. L'autre signal rejeté est le résultat d'une seule défaillance aléatoire. Il est très fortement improbable que ces deux signaux sont invalidés dans le même cycle de cal- cul (inférieur à une seconde). Ainsi le premier signal à être' invalidé serait rejeté et du fait de "l'exclusion", il ne serait plus compris dans la comparaison, de sorte que la seconde "défaillance" pourrait se détecter facilement comme étant un signal mauvais parmi trois signaux, même s'il est en défaut pour la même valeur que le signal précédemment invalidé. Dans le cas o deux signaux sont invalidés dans le même cycle de calcul, le signal qui est rejeté est celui le plus éloigné de la moyenne des quatre signaux calculés immédiatement avant que ne se pré- sentent les défaillances de signaux c'est-à-dire avant que l'algorithme de sélection ne rejette un signal qui a été écarté des autres dans ce cas. Cela est cohérent avec le principe de la présente invention puisqu'au moins l'un des signaux invalidés c'est-à-dire celui du canal hors service, est connu pour pré- senter une différence importante. Les signaux restants contenus dans les deux autres signaux invalidés sont de nouveau comparés pour déterminer si un rejet supplémentaire est nécessaire. Chaque fois qu'un signal est rejeté, une alarme et un dispositif d'annonce sont mis en oeuvre dans la chambre de commande pour indiquer cette situation à l'opérateur afin qu'il commence des actions de correction. Un élément clé dans la mise en oeuvre de l'in- vention tout en satisfaisant à la condition selon le document IEEE-279 est le moyen de sélection de signal 59. Il est essen- tiel que ce moyen soit essayé à des intervalles pour garantir son fonctionnement correct. Un essai du moyen de sélection fait partie des essais automatiques exécutés dans les unités de pro- tection 81-87. Pendant ces essais périodiques, on substitue un signal d'essai, injecté à chaque fois en remplacement de chacun des signaux de capteurs; le signal d'essai correspond à des grandeurs qui englobent l'ensemble de la plage choisie du capteur. Ce signal d'essai n'est pas représentatif de la variable du procédé et ne correspond pas aux autres signaux pour le même paramètre; ce signal est rejeté. Si le signal d'essai injecté est identifié par le même procédé et les composants servant à identifier les signaux faux, le rejet du signal d'essai constitue une vérification de la possibilité de rejeter des signaux faux. Les microcalculateurs, les sélecteurs de signaux 111, 113 com- portent des moyens pour constater que chaque signal qui arrive dans le moyen de sélection de signal 59 en provenance d'une unité de protection 81-87, donnée, est rejeté un certain temps après l'essai périodique de cette unité. Les résultats de cette vérification (que chaque signal soit ou non rejeté pendant l'essai) sont transmis à un calculateur de contrôle général (non représenté) de la centrale, pour faire partie de l'enregis- trement de surveillance périodique, permanent. La preuve du procédé d'essai peut s'obtenir facilement en mettant pendant un court instant, une unité de protection 81-87 en mode d'essai sans injecter aucun signai d'essai. Cela doit se traduire par "un incident de fonctionnement de sélection" qui est enregistré dans le cas de chaque signal envoyé du bottier; cela démontre la détection des incidents de fonctionnement vrais, pendant l'essai. Un second procédé d'essai utilisé repose sur le fait que le moyen de sélection de signal 59 se compose de deux sélecteurs de signaux 111, 113 qui effectuent toutes les sélec- tions de signaux. Comme chacun de ces sélecteurs reçoit les mêmes signaux d'entrée pendant le fonctionnement normal, et travaille sur ces signaux d'entrée avec le même algorithme, il faut obtenir les mêmes résultats. Le microcalculateur distinct qui observe la séquence d'essai automatique décrite ci- dessus poursuit le contrôle des signaux de sortie des deux sélecteurs. En cas de différence dans les signaux de sortie, une alarme est générée pour indiquer l'incident de fonctionnement à l'opérateur. La limite concernant le fonctionnement avec un moyen de sélection de signal lorsque deux des canaux d'entrée sont court-circuités, pose une condition relative aux procédures administratives utilisées pendant l'essai du système de protec- tion 53. L'utilisateur détermine la fonction de commande qui le cas échéant doit être mise en mode manuel avant d'initialiser la séquence d'essai automatique de n'importe laquelle des quatre unités de protection. En plus des essais passifs décrits ci-dessus, l'unité d'essai automatique 115 qui fait partie du moyen de sélection de signal 59, lors de l'initialisation par l'opérateur, effectue des essais pour vérifier le fonctionnement correct de l'algorithme de sélection. Pendant ces essais, des signaux de procédé, simulés, sont injectés en remplaçant les liaisons de données 127, 129 des unités de protection 81-89. Les essais montrent qu'un signal ou des paires designaux peuvent être rejetés le cas échéant. Chaque sélecteur redondant 111 ou 113 est essayé séparément pendant que l'autre assure la commande automatique de l'installation. Il y a redondance dans le système de commande 55 en parallèle avec la redondance du moyen de sélection de signal 59. Le canal de commande principal 141 est desservi par l'unité de sélection de signal 111 par l'intermédiaire de la mémoire 117 et le canal de commande de retour 143 est desservi par l'unité de sélection de signal 113 en passant par la mémoire 119. Deux moyens de commande à savoir là commande de puissance et la commande d'eau d'alimentation sont des commandes redondantes car ces commandes ne sont pas déterminantes pour le fonctionnement de la centrale et leur défaillance n'entratne- rait pas l'arrêt de la centrale 11. De même, le niveau du dis- positif de mise en pression et la commande de pression ont des liaisons indépendantes dans le système de commande sur les vannes principales pour éviter toute mise hors pression, acci- dentelle de l'installation. On a une redondance pour augmenter la disponibilité de la centrale. Il n'est pas nécessaire de séparer de façon physique ou électrique les unités de sélection de signal redondantes 111, 113; ces unités peuvent être juxta- posées dans la même structure ou le même bottier. Chacune des deux unités de sélection de signal 111, 113 effectue la sélection de l'ensemble de la liste des variables de procédé présentées dans le tableau I. La chronolo- gie des liaisons de données 101, 127, 129 et le moyen de sélection de signal correspondent à la condition de réponse dans le temps pour le canal de commande le plus rapide, de sorte qu'une infor- mation de capteur, validée est rendue disponible pour le système de commande 55 "temps réel". Les conditions de réponse dans le tempsappliquées aux capteurs et à leurs canaux d'instrument par le système de commande 55 sont mois strictes que les condi- tions s'appliquant au système de protection 53. Les données envoyées par le système de protection au système-de commande sont présentées à l'émetteur de liaisons de données 101 (figure 2) suivant une vitesse qui est adaptée au temps de réponse du système de protection. Les émetteurs de la liaison de données 101 travaillent de façon asynchrone par rapport au système de protection 53 et prennent la dernière information disponible pour la transmettre au système de commande 53, la vitesse étant déterminée par les conditions chronologiques du système de commande. Comme les conditions de temps de réponse-du système de commande sont moins strictes que celles du système de pro-- tection, aucune condition supplémentaire n'est imposée au sys- tème de protection pour fournir les signaux au système de com- mande. La mise en oeuvre du mode de réalisation-préfé- rentiel de l'invention sera décrite ci-après à l'aide des figu- res 4 à 8 qui donnent l'algorithme du sous-programme pour le traitement des signaux. On suppose initialement que les commuta- teurs 125 (figure 3) sont mis à l'état pour transmettre les signaux qui mesurent les paramètres du procédé. Les signaux des mêmes ensembles de capteurs sont transmis en continu, en séquence par l'ensemble. Ces signaux sont enregistrés dans des adresses dans les mémoires 133, 135 et sont mis à jour lorsqu'ils changent. Les unités de sélection de signaux 111, 113 sont programmées pour traiter les signaux en continu dans la séquence par l'en- semble; cela signifie que les unités de sélection échantillon- nent les signaux. Les résultats de ce traitement sont enregistrés dans les mémoires d'adresses 117, 119. Ces mémoires sont program- mées pour laisser passer les signaux représentatifs des procédés concernés c'est-à-dire les signaux "vrais" vers les canaux de commande principaux et de retour, respectifs, pour éviter le passage de signaux non représentatifs ou de signaux "faux". L'algorithme (figures 4-8) montre le flux des signaux. Ag début de chaque cycle, les unités de sélection 2S de signal 111, 113 prennent chacune en fonction de l'algorithme, le nombre de signaux qui est de façon caractéristique égal à 4, pour chaque paramètre; ces unités déterminent les signaux, valides et laissent passer ces signaux valides et la moyenne de ces signaux dans les mémoires locales respectives des unités dans les fentes d'adresses dans les mémoires 117 ou 119. L'algorithme est subdivisé par segments suivant des procédures ou des sous-programmes correspondant à la réali- sation d'un programme structuré. Les signaux qui apparaissent dans l'algorithme sont les contenus de mémoires qui apparais- sent dans l'algorithme sont les suivants SIG(i) = Valeur du signal n'i du paramètre de procédé dans un ensemble redondant (par 4) VALID(i) = Variable logique qui est mise à l'état vrai si le signal n' i est validé. SUM = Somme des signaux validés. AVG = Moyenne des signaux validés. N(i) = Nombre de signaux qui diffèrent du signal n0 i de plus de - NR - Nombre de signaux qui diffèrent de deux ou de plusieurs signaux qui ont été validés dans le cycle précédent, la différence étant supérieure à A. NW = Indice pour un signal invalidé. DIFF = Différence entre deux signaux. DELTA = Différence acceptable entre deux signaux validés. NC = Nombre de signaux validés. CONT(i) = signal validé n0 i qui a passé par le canal de commande. Lorsqu'on traite quatre signaux pour chaque para- mètre, i prend des valeurs comprises entre 1 et 4. Le procédé de sélection de l'algorithme est décrit ci-dessous, les lettres du paragraphe du cas le plus faible correspondant aux sous références de chaque procédure. (a) Sous-programme global: Ce sous-programme est représenté à la figure 4. La lettre "k" représente le nombre de paramètres de procédé de la séquence, qui sont traités par chaque unité de sélection de signal 111, 113. La lettre "N" est le nombre total de paramètres de procédé qui sont traités. Les flèches représentent une opération d'attribution de valeurs pour la variable concernée. Par exemple 'k v 1" du second bloc 160 signifie que la valeur de k est fixée à 1 et 'k E-k + 1" signi- fie que la valeur k est fixée à la valeur courante augmentée de 1. (b) Procédure d'initialisation de la figure 5 Dans cette procédure, les variables sont initialisées en mettant tous les indicateurs de signaux validés à l'état "vrai" et en réglant AVG à la valeur moyenne des signaux d'entrée. Cette initialisation se fait dans le premier cycle qui suit une in- terruption de montée en puissance ou à la suite d'un ordre d'une commande à boutons-poussoirs manuels, placée au voisinage du dispositif de sélection. Cette-initialisation est faite séparé- ment pour chaque ensemble de signaux de chaque paramètre de procédé. La lettre "i" du chiffre est le signal de la séquence de signaux correspondant au même paramètre. Un "cycle" concerne une opération pendant laquelle on traite un ensemble de signaux d'un paramètre de procédé. (c) Procédure de sélection représentée à la figure 6: Il s'agit du programme principal de sélection qui est appelé pour chaque nouvel ensemble de signaux concernant le même para- mètre à chaque cycle. Il s'agit d'une procédure de comparaison. Si l'un seulement des signaux validés diffère de deux ou de plusieurs des autres signaux validés, l'indicateur de signal validé (VALID.) de ce signal est mis à l'état faux. Si plus d'un signal validé diffère de deux ou de plusieurs autres signaux validés, chacun des signaux-différents est comparé à la moyenne des signaux validés, moyenne calculée dans le cycle précédent. Le signal qui diffère de la moyenne selon l'amplitude la plus grande est affiché comme invalidé par la mise du signal VALID. à l'état faux. On répète l'étape n0 2 et le cas échéant les étapes nri 3 et 4 pour supprimer les signaux invalidés,- restants. La lettre "j" représente le numéro du signal qui s'écarte le plus de la moyenne. (d) Procédure de comparaison représentée à la figure 7: Dans cette procédure, chaque signal validé (c'est-à- dire validé au cours du cycle précédent) est comparé aux autres signaux validés. On tient un état de comptage pour chaque signal validé N(i) du nombre d'autres signaux dont il diffère de plus de là. (e) Autre procédure: Après avoir déterminé la validité des signaux, les valeurs des signaux validés sont mises dans le réseau CONT. Le reste du réseau CONT est chargé par la répétition des autres signaux validés. La valeur moyenne des signaux validés est également calculée au cours de cette étape. Si un seul signal est invalidé, ce signal invalidé est comparé aux autres signaux pendant que l'on charge le réseau CONT. Si la différence entre le signal invalidé et n'importe quel autre signal validé est inférieure à A, l'indicateur de signal validé correspondant à ce signal invalidé est mis à l'état vrai. Toutefois, ce signal ne passe pas dans les canaux de commande 141, 143 avant le cycle suivant. Le réseau des valeurs des signaux validés (CONT), le nombre de signaux validés et la valeur moyenne des signaux validés passent dans les mémoires 117, 119. Une alarme est émise si l'un des signaux est rejeté pendant le traitement du cycle. Le tableau III montre le procédé exécuté selon l'algorithme de sélection pendant un cycle au cours duquel les signaux A, B, C, D d'un ensemble de capteurs sont traités. TABLEAU III Incidence Comparaisons* Non validé Validéac 1. Initialement tout est en ordre A=B=C=D A,B,C,D 2. A en cours d'essai passe au niveau bas A- B, A C, A D SUPPRIMER A B=C=D A B,C,D 3. B passe au niveau bas B C, B D SUPPRIMER B C=D A,B C,D 4. Essai terminé A=C=D A normal Remettre A B A,C,D * Cette comparaison suppose que l'égalité se fait à l'intérieur de la limite à. La ligne 2 du tableau III repose sur l'hypothèse que le capteur qui traite le signal A est en cours d'essai. Pour effectuer un essai, on injecte un signal dans ce capteur, signal qui diffère des autres signaux de plus de à. Le signal A a été rejeté. La ligne 4 correspond à l'hypothèse selon laquelle l'essai est terminé et le signal A redevient une gran- deur représentative. Le sous-programme de la figure 4 sera décrit ci- après. Pour simplifier l'exposé, on décrira seulement le fonc- tionnement de la mémoire 133 et de l'unité de sélection de signal 111. Lorsque la centrale 11 est autorisée, l'unité 111 est remise automatiquement à l'état initial et les données sont effacées de la mémoire locale. L'ensemble des signaux d'indice i de chaque ensemble de capteurs portant l'indice k sont intro- duits à leur tour, successivement. Comme indiqué, chaque ensem- ble de signaux est initialisé (figure 5). Pendant l'initialisa- tion, on calcule la moyenne de chaque ensemble. On compte les ensembles k. Aussi longtemps que l'état de comptage des ensem- bles k est inférieur à N, chaque ensemble est initialisé et sa valeur moyenne, est calculée pour être enregistrée à une adresse dans la mémoire locale de l'unité 111. Lorsque les états de comptage de k dépassent N, les amplitudes des signaux de chaque ensemble et les valeurs moyennes initiales sont transmises en séquence pour être traitées par le sousprogramme choisi (figure 6), le sous-programme de comparaison (figure 7) et le sous- programme de sortie (figure 8). Les ensembles de signaux ainsi traités sont comptés; lorsque les états de comptage dépassent N, les ensembles suivants de N signaux sont traités. Le traite- ment se poursuit aussi longtemps que la centrale 11 fonctionne. L'ordre INITIALISER APPEL PAR SIG(k) est effectué comme cela est commandé selon le sous-programme de la figure 5 pour chaque jeu de signaux mesurant le même paramètre. Les signaux identifiés par les numéros ou les indices i (de 1 à 4) sont additionnés comme l'indique le bloc 151. Lorsque l'indice i atteint la valeur 4, comme l'indique le losange de décision 153, on fait la moyenne comme l'indique le bloc 155. La moyenne est enregistrée dans la mémoire locale de l'unité de sélection de signal 111. Après avoir fait la moyenne des signaux de chaque ensemble, on fait la moyenne des signaux de l'ensemble suivant comme l'indique l'oval 157, jus- qu'à ce que la-moyenne de tous les ensembles identifiés par le nombre k soit faite. L'ordre SELECTION D'APPEL AVEC SIG(k) appelé dans le bloc 161 (figure 4) est exécuté comme le demande le sous-programme de la figure 6 pour chaque ensemble de signaux mesurant le même paramètre. Suivant l'ordre COMPARER APPELS dans le bloc 163, chaque signal est comparé aux trois autres. Comme l'indique le losange 165, une décision est prise pour déterminer combien de signaux le cas échéant diffèrent d'au moins deux signaux reconnus comme validés dans le cycle précé- dent pour les signaux mesurant le même paramètre. Si le nombre de signaux différents est inférieur à 2, une décision est prise pour vérifier si ce nombre est égal à 1. Si le nombre est égal à 1, le drapeau logique VALID. est mis à l'état "faux" pour ce signal et on appelle le sous-programme de sortie comme l'indique le bloc 167. Si le nombre de signaux différents est égal à O, l'ordre APPEL DE SORTIE est fait directement. L'unité de sélec- tion de signal est alors commandée pour traiter l'ensemble des signaux qui portent le numéro k le plus haut, qui suit comme l'indique l'oval 169. Si le nombre de signaux qui diffèrent d'au moins deux signaux reconnus comme valides (vrais ?) au cours du cycle précédent pour le même paramètre est égal à deux ou plus de deux, on exécute le procédé correspondant à la branche 171 à la figure 6. On prend la différence entre chaque signal et cha- cun des autres signaux. On compte les signaux pendant leur comparaison comme l'indique le bloc 173. Si après la comparaison du signal numéro i, le nombre de signaux qui diffèrent de ce signal d'une valeur inférieure à A, est moins de deux (indication "Y" qui suit le losange 175), aucune action n'est effectuée pour ce -25 signal numéro i et on traite le signal suivant. La même procé- dure est suivie si comme l'indique la référence "Y" placée à la suite du losange 177, la différence maximale entre deux signaux est supérieure à l'amplitude absolue de la différence entre la moyenne prise pendant le cycle précédent, et le signal numéro i. Suivant l'hypothèse qui a entra né le départ du procédé vers la branche 171, il y aura en définitive deux ou plusieurs signaux qui partent suivant la ligne "N" du losange et il y aura un signal pour lequel on a la branche 'N" par- tant du losange 177. Ce dernier signal porte l'indice j et est traité comme le demande le bloc 181. Le drapeau "VALID" pour ce signal numéro j est changé en " FAUX ". Le sous-programme de comparaison est appelé comme l'indique le bloc 183. Les trois autres signaux sont comparés pour identifier l'autre signal qui diffère de plus de A par rapport aux deux autres signaux validés. Ce signal est traité comme le demandent le bloc 185 et 249929e le bloc 187, puis le sous-programme de sortie est appelé. Le signal est repéré par l'indication mnémonique NW. Si l'autre signal qui initialement était reconnu comme étant différent de plus de 4 par rapport aux deux signaux validés, tombe mainte- nant à l'intérieur de la limite As, ce qui peut se produire s'il s'agissait par exemple d'un signal d'essai, on appelle directement le sous-programme de sortie. La raison de la déviation par rapport à la moyenne au cours d'un cycle précédent pour chacun des deux signaux qui diffèrent des autres d'une différence supérieure à A forme un point intéressant de l'invention. Lorsque deux signaux diffèrent des autres, la mesure instantanée ne permet pas de savoir quels * signaux sont vrais et quels signaux sont faux. L'absence d'in- formations constitue un problème particulièrement épineux lors- que l'on a seulement quatre signaux redondants pour un paramè- tre de procédé et que deux signaux sont différents des deux autres d'une différence supérieure à A. Si cette différence est constatée la première fois après que les signaux aient parcouru un certain nombre de cycles, on identifie facilement lÉs* signaux faux par leur différence par rapport à la moyenne au cours du cycle précédent. Si la différence est constatée pendant le premier cycle qui suit le sous-programme initial, il est raisonnable de supposer que la valeur moyenne représente une arplitude proche de l'amplitude "vraie". Un signal qui présente une différence maximale par rapport à cette moyenne peut raisonnablement être considéré comme"faux". Le sous-programme de comparaison (figure 7) est commandé par le sous-programme de sélection à deux moments pen- dant chaque cycle dès le départ du sous-programme de sélec- tion (bloc 163), puis de nouveau après un signal indiquant que deux signaux diffèrent de la moyenne du cycle précédent de façon maximale (bloc 183). Dans chaque cas, l'indice, i et la référence mnémo- nique NR sont mis à l'état 0 comme l'indique le bloc 201; la référence N(i) est mis à l'état 0 pour chaque signal comme cela est indiqué dans le bloc 203. Chacun des signaux identifiés par la référence i est traité à son tour par incrémentation de l'indice comne l'indique le bloc 202. -i. un signald'indice est identifié comme 4tant valide, comme l'indique le losange 205, ce signal est comparé aux autres sigiaux du même ensemble indexé j. Initialement j est mis à l'état O comme l'indique le bloc 207. Puis les états j sont incrémentés comme l'indique le bloc 209. Lorsque le m9me signal porte les indices i et j comme l'indique le losange 211, aucune autre opération n'est effectuée comme l'indique l'expression "Y" du losange 211; le signal d'indice i est comparé au signal j suivant. Si le signal suivant d'indice j n'est pas validé, aucune autre opération ne se fait comme l'indique la référence "N" qui suit le losange 213. Si le signal suivant j est validé, la différence entre le signal d'indice i et le signal suivant est calculée comme l'indique le bloc 215. Si la différence n'est pas supérieure à X, aucune opération ultérieure n'est effectuée comme l'indique la référence "N" à la suite du losange 217. Si la différence est supérieure à i, N(i) est incrémenté de l'état 1 comme l'indique le bloc 217. Le fait qu'un signal d'indice i a été comparé à tous les quatre signaux indexés est indiqué par la référence "Y" à la suite du losange 219. Le losange 221 indiqué qu'une déci- sion est prise si à ce moment c'est-à-dire en cours d'examen du signal i, deux ou plusieurs signaux diffèrent des signaux validés d'une différence supérieure à 6. Dans la négative cela est indiqué par l'expression "N" à la suite du losange 221 et aucune opération ultérieure n'est effectuée; le signal suivant d'indice i est alors examiné. Dans l'affirmative, cela est indiqué par "Y" après le losange 221 et l'indication mnémo- nique NR est incrémentée de 1 - l'indication mnémonique NW est mise à l'état pour le signal numéro i examiné. Lorsque le sous-programme de comparaison est appelé comme l'indique le bloc 183 (figure 6), après qu'un signal ait été mis sur "faux" un signal référencé "N" découle du losange 205 et aucune autre intervention n'est effectuée. Les signaux restants qui sont de façon caractéristique au nombre de trois, sont comparés aux signaux d'indice j comme cela a été décrit. Après avoir traité tous les signaux i comme cela est indiqué par "i > 4" dans le losage 223, l'opération revient sur le sous-programme de sélection, à l'étape qui suit l'ordre COMPARER. Le sous-programme de SORTIE est commandé par le bloc 167 du programme de sélection SELECT. Comme indiqué par le bloc 231, les indices i et j à la somme sont mis à l'état 0. Comme l'indique le bloc 233, on compte les signaux d'indice i. -2 2499298 La référence "N" qui découle du losange 235 aussi longtemps que i n'a pas atteint la valeur 4, une décision est prise quant à- la validité de chaque signal comme l'indique le losange 237. Si signal est validé, il est conditionné pour être transmis à tra- vers les canaux de commande 141 (ou 143) comme l'indique le bloc 239. Pour cela, le signal est enregistré dans une fente d'adresses dans la mémoire 117 (ou 119). L'expression mnémonique CONT (j) signifie que les signaux validés d'indice i sont enre- gistrés dans des fentes.d'adresses dans l'ordre de leur passage. Par exemple si le premier signal est "faux" et si le second est validé, le second est enregistré dans la première fente d'adresses. Il aura alors au moins une fente d'adresses vide après que tous les signaux d'un paramètre de procédé aient été traités. Cette fente d'adresses est chargée par l'un des signaux validés pour assurer que les canaux de commande n'agissent que sur les signaux validés remis à jour. Comme indiqué dans le bloc 239, la somme est fait des signaux validés d'indice i. Si le signal d'indice i n'est pas validé, la décision indiquée dans le losage 241 est prise à savoir SC = 3 (nombre de signaux validés = 3) et NR = 0. NR est le nombre de signaux qui étaient validés dans le cycle précédent et qui dans le cycle présent diffèrent de plus de A par rapport à deux ou plusieurs signaux. Si la décision est "N", aucune action autre n'est prise et le signal suivant est traité. Si la décision est "Y"., le signal présent est comparé aux autres signaux indexés jusqu'à L. Une décision est prise sur la validité du signal numéro L comme l'indique le losange 245. Si ce signal numéro L n'est pas validé, aucune autre action n'est entreprise et le signal instantané numéro i est comparé au signal numéro L sui- vant. Si le signal L est validé, une décision est prise comme indiqué par le losange 247, pour vérifier si a est supérieur à la valeur absolue de la différence du signal numéro L et du signal numéro i. Si le signal est "Y", VALID. (i), le drapeau logique du signal numéro i est mis sur "VRAI". Les signaux identifiés comme étant "VALID"' au début du cycle sont susceptibles d'être invalidés et déclarés "FAUX" pendant le traitement. Un signal qui a été essayé et qui est revalidé, est identifié provisoirement comme "VALID" pour le cycle suivant. Ce signal peut être identifié comme étant "VALID." ou "FAUX-' suivant le résultat de l'examen de ce signal dans le cycle suivant. Lorsque tous les signaux d'un ensemble ont été traités comme l'indique la référence "Y" qui découle du losange 235, le nombre de signaux validés NC est mis sur la valeur de j et on calcule la valeur moyenne des signaux validés comme l'indique le bloc 249. La moyenne est enregistrée dans la mémoire locale de l'unité de sélection de signal 111 (ou 113) pour ser- vir dans le cycle suivant. Si NC = 4, le sous-programme de sortie est ter- miné et le fonctionnement revient sur le sous-programme global pour traiter le jeu suivant de signaux de paramètre. Si NC n'est pas égal à 4 comme l'indique la référence "N" qui découle du losange 251, l'alarme est mise en oeuvre et un nombre 1 est ajouté à l'indice j identifiant la fente d'adresses suivante dans la mémoire 117 (ou 119). Si-j est inférieur à 4, le signal numéro i qui a été mis dans la fente d'adressesprécédente est également mis dans la fente d'adresses qui porte maintenant l'indice j. Cette opération est indiquée dans le bloc 253. Si j atteint le chiffre 4 à ce moment, l'ordre RETOUR est introduit et les signaux de paramètre suivants dans l'ordre sont traités. Si j n'est pas égal à 4, un autre signal numéro i, validé, qui a été introduit dans la fente d'adresses précédente dans la mémoire 117 peut être introduit dans la fente vide suivante. L'algorithme décrit ci-dessus correspond au cas général qui s'applique pratiquement à tous les paramètres de procédé qui sont envoyés par le système de protection au dis- positif de commande. Il y a toutefois au moins deux exceptions. D'abord le débit d'eau d'alimentation de chaque boucle est seulement mesuré par trois capteurs. Il faut pour cela régler l'algorithme pour tenir compte de trois signaux d'entrée au lieu de quatre signaux d'entrée en réglant les extrémités de chaque boucle de l'algorithme. Dans ce cas, l'algorithme permet de rejeter soit un signal faux, soit un signal d'essai mais non les deux. Cela n'est pas une difficulté car la protection que réalise le signal du débit d'eau d'alimentation est seulement mise en oeuvre pour les faibles niveaux de puissance, lorsque le signal n'est pas utilisé pour la commande. La seconde exception est constituée par les signaux de puissance nucléaires, extérieur au noyeu. Dans ce cas, chacun des quatre signaux d'entrée est en fait un "vecteur" de quatre signaux. Pour traiter de tels signaux, il faut effectuer les modifications suivantes à l'algorithme de base: 1. Lorsqu'un "signal" est rejeté (VALID.(i) est mis sur FAUX) dans l'algorithme de base et la totalité du vecteur correspondant à ce signal d'entrée est rejetée dans l'algorithme modifié. 2. La différence entre n'importe quels deux vecteurs (par comparaison avec A) est définie comme étant la différence maximale en valeur absolue entre n'importe quels deux éléments correspondants des "vecteurs" c'est-à-dire DIFF =max lai -b.I ii avec i = 1,2,3,4 a. et b. sont les composants des vecteurs A et B respectifs. Cela signifie que le signal de chaque capteur 61 (figure 1) du moyen capteur 63 est comparé aux signaux des capteurs corres- pondants 61 dans les positions analogues du réacteur 13 et la différence adoptée est la différence maximale. 3.La moyenne des signaux validés est définie comme étant le "vecteur" dont les composants sont égaux à la moyenne des éléments correspondants des signaux "vecteurs" validés. L'algorithme de sélection de signal repose sur le rejet d'un signal qui diffère des autres signaux d'une diffé- rence supérieure à une amplitude fixe,. Bien que la fonction commandée par l'algorithme de sélection est de rejeter des signaux, il est important que cet algorithme de sélection ne rejette pas accidentellement les signaux c'est-à-dire ne rejette pas les signaux qui présentent la précision voulue par rapport a la valeur appropriée. La raison en est double. En premier lieu, des rejets accidentels de signaux entraîneraient la mise en oeuvre inutile de l'affichage dans la salle de commande, ce qui est la fois gênant et si cela se produisait trop souvent, et présenterait le risque que l'opérateur oublie une alarme réelle. La seconde raison est plus importante. Lorsqu'il y a seulement quatre signaux pour chaque ensemble de paramètres, l'algorithme de sélection (figures 4-8) ne permet pas de rejeter un signal faux si seulement deux signaux restent dans l'ensemble validé, lorsque le signal est défaillant. Comme l'extraction d'un signal de l'ensemble validé si un signal est enlevé par suite d'une défaillance d'un capteur est une condition de con- 3e ception, l'hypothèse que seulement trois signaux sont disponibles au moment d'une défaillance de signal est prévue pour toutes les analyses de sécurité. Si seulement trois signaux sont dispo- nibles, et si un signal validé est accidentellement rejeté, il subsiste que deux signaux dans l'ensemble validé et l'algorithme de sélection serait incapable de rejeter un signal réellement faux. Ainsi le risque de rejet accidentel d'un signal constitue l'élément principal au risque qu'un algorithme de sélection n'exécute pas le travail prévu. C'est pourquoi lorsqu'on déter- mine la valeur de t', le but est de minimiser la probabilité de rejets accidentels. Chacun des signaux à traiter par les ordres de l'algorithme de sélection présente une bande de variations autorisée associée. Cette bande qui contient les autorisations de précision de canal ainsi que les variations de traitement dans l'espace définit la plage des amplitudes qu'un signal peut avoir sans qu'il ne soit considéré comme faux. Par exemple les mesures des flux de neutrons à l'extérieur du coeur du réacteur peuvent varier de 2 % du fait des variations de puissance ,d'azimut dans le noyau ainsi que de 2 % supplémentaires pour des raisons d'erreurs de calibrage. A la fois l'erreur de canal (précision) et les variations dans l'espace sont limitées par les exigences de surveillance de l'installation contenues dans le cahier des charges de la centrale 11. Il est possible qu'un signal se trouve à la limite inférieure de cette plage et qu'un autre se trouve à la limite supérieure, ce qui donne une diffé- rence maximale possible entre les deux signaux validés, diffé- rence qui est égale à deux fois celle de la bande de variations, autoriséedes signaux. C'est pourquoi pour être sûr qu'un signal qui est validé c'est-à-dire qui est dans la bande spécifiée des valeurs vraies, n'est pas rejeté accidentellement, il faut fixer une valeur à égale à deux fois la bande des variations autorisée. On remarque que chacune des fonctions du tableau I présente sa propre valeur de A. Par exemple si lé canal de température a une précision déterminée de + 20F ( 1-C) avec aucune tolérance pour les variations dans l'espace, la valeur A pour ce canal est égale à 40F (20C). Ayant déterminé l'amplitude de la valeur A en fonction de l'élimination des rejets accidentels des signaux, il est nécessaire d'évaluer les effets du non rejet d'un signal 36 2499298 invalidé, pour s'écarter de la valeur vraie au-delà de la limite déterminée. Dans le as le défavorable, un décalage de signal peut s'écarter par rapport à la valeur vraie de A+ X, X étant la précision du canal avant d'être écarté d'au moins t par rap- port à deux ou plusieurs signaux validés qui se trouvent dans- la limite de + X par rapport à la valeur vraie. Les systèmes de-commande qui utilisent des signaux traités selon l'algorithme de sélection, les utilisent de différentes façons et l'effet du décalage du signal sur ces systèmes est considéré séparément. Certains des éléments du système de commande 55 tels que la partie de commande de décalage axial des paramètres de commande de puissance prennent le jeu de signaux validés reçus, comme étant commandés par l'algorithme de sélection et à partir de cet ensemble ils choisissent le signal qui est le plus approprié dans le sens de la sécurité. La seule façon pour un décalage hypothétique d'un signal d'affecter ce type de système de com- mande est que s'ilse décale dans le sens de la conservation,- cela implique que l'effet de la commande écarte le procédé de ses limites de protection. Ainsi il n'y a pas de possibilité d'inter- action entre le système de commande et le système de protection. Les systèmes de commande qui ne choisissent pas l'amplitude la plus conservatrice utilisent la moyenne des signaux validés reçus, comme étant commandés par l'algorithme de sélection de signal. Cela est nécessaire pour les variables lorsque soit le signal le plus haut, soit le signal le plus bas pourraient être dépendants dans le sens de la conservation, du mode de fonction- nement ou de l'amplitude particulière du paramètre par exemple le niveau de l'eau dans le générateur de vapeur. Dans ces cas, le décalage du signal pourrait entraîner la moyenne des signaux dans le sens de la non conservation. L'erreur maximale dans la moyenne se produit si tous les signaux validés sont accumulés à une extrémité de la bande autorisée et que le signal décalé s'écarte des signaux de la valeur A Dans le cas de trois signaux disponibles avant le début du décalage du signal, l'erreur maximale de la moyenne est égale à 1,67 fois la bande de variations autorisée. Lorsque quatre signaux sont concernés, l'erreur maximale est égale à 1,50 fois la bande autorisée. Dans aucun cas un décalage ou une dérive d'une amplitude-aussi faible entraîne une commande transitoire qui mettrait l'installation dans une situation nécessitant une intervention de protection. f LA encore il n'y a pas de risque d'interaction entre le système de protection et le système de commande. C'est pourquoi, l'ampli- tude de la valeur Q a été déterminée pour être égale à deux fois la bande de variations autorisée, ce qui correspond aux exigences de la règle IEEE279. LISTE DES REFERENCES NUMERIQUES SELON LES LEGENDE TURBINE ALTERNATEUR CONDENSATEUR RECHAUFFEURS COLLECTEUR COMMUN DE VAPEUR SYSTEME DE PROTECTION V SYSTEME DE COMMANDE INSTALLATION DE PROTECTION INSTALLATION DE PROTECTION MOYENS DE SELECTION DE SIGNAL CT SGP V v V V CONTROLLEUR A MULTIPLEXAGE EMETTEUR DE LIAISONS DE DONNEES CANAL A FIBRES OPTIQUES UNITE DE SELECTION DE SIGNAL UNITE DE SELECTION DE SIGNAL UNITE D'ESSAI AUTOMATIQUE CANAUX DE COMMANDE PRINCIPAUX CANAUX DE COMMANDE DE RETOUR ET LIAISONS VALID.(i) - VRAI SUM d- SUM + SIG(i) i f i+ i AVG -- SUM/4 RETOUR k -l 1 APPEL SELECTION AVEC SIG (k) APPEL DE LA COMPARAISON NR > 2 APPEL DE LA SORTIE RETOUR i--i + 1 N(i) REFERENCE 38g 2499298 DESSINS: FIGURE ----- --- - - - - - -- LISTE DES REFERENCES NUMERIQUES SELON LES DESSINS LEGENDE REFERENCE FIGURE DIFF> AVG-SIG(i) 177 6 VALID.(j)4-FAUX 181 6 APPEL. COMPARER 183 6 NR = 1 185 6 VALID. (NW) --FAUX 187 6 i4- O NR --- O 201 7 N(i)-- O 203 7 VALID. (i) 205 7 j (-- O 207 7 j±j + 1 209 7 i = j 211 7 VALID.(j) 213 7 DIFF4- ISIG(i)-SIG(j)I 215 7 DIFF > A 216 7 N(i)*- N(i) + 1 217 7 j> 4 219 7 N(i) > 2 221 7 i 4 223 7 i SUM ±O 231 8 i4-i + 1 233 8 i J> 4 235 8 VALID. (i) 237 8 j4-j + 1 CONT(j)(-SIG(i) SUM(-- SUM+SIG(i) 239 8 NC=3 & NO=O 241 8 L >4 243 8 VALID.(L) 245 8 DELTA> ISIG(L)-SIG(i)I 247 8 NC(-j AVG e- SUM/NC 249 8 NC = 4 251 8 CONT(j) --CONT(i) 253 8 REVENDICATIONS ) Centrale nucléaire comportant un réacteur nucléaire, un ensemble de composants (15, 17, 19, 21, 25) reliés au réacteur (13) pour transformer luénergie thermique générée par le réacteur (13) en puissance électrique, plusieurs ensembles de capteurs (71,79) reliés au réacteur (13) et à certains des composants (15, 17) pour détecter les paramètres de fonction- nement du réacteur (13) et des composants, chacun des ensembles de capteurs se composant de plusieurs moyens-capteurs, identiques pour capter les paramètres de fonctionnement concernés, chacun des mêmes moyens-capteurs donnant des signaux de mesure du para- mètre détecté par l'ensemble de capteurs, un système de protection (53) comportant plusieurs unités de protection (81,83,85,87) identiques, des moyens reliant les moyens-capteurs unité de protection (81-87) reçoit les signaux du moyen- capteur correspondant indiquant un mauvais fonctionnement du réacteur (13) et/ou de certains composants (15...25) dont on détecte les paramètres de fonctionnement à l'aide des moyens-capteurs (61, 79) correspondants, un système de commande (55), un moyen de liaison du système de commande (55) pour régler la relation entre le réacteur (13) et au moins l'un des certains composants (15, 25, 89, 54), centrale caractérisée en ce que le système comporte plusieurs canaux distincts (107) reliés séparément à chaque unité de protection (81, 83, 85, 87) et au système de commande (55) pour transmettre au système de commande (55) les signaux fournis par chacune des unités de protection à partir du moyen-capteur (61-79) correspondant, pour mettre en oeuvre le système de commande (55) pour qu'il commande le réacteur (13) et/ou les composants (83, 54, 91, 93, 49, 95) suivant l'indication fournie par les signaux appliqués au système de commande (55) pour un fonctionnement anormal du réac- teur (13) et/ou des composants, et un moyen de sélection (59) de signaux prévu entre les canaux et le système de commande (55) pour éviter la transmission vers le système de commande (55) à partir des unités de protection (81X.87), de signaux provenant d'un moyen-capteur (61, 79) de l'ensemble de capteurs et qui diffèrent de façon significative des signaux du même moyen- capteur (61-79) du même ensemble decapteurs et de permettre la transmission vers le système de commande (55) des signaux du moyencapteur de l'ensemble de capteurs qui ne diffèrent pas de façon notable dès signaux des autres moyens capteurs de l'ensemble de capteurs-. 2;j Centrale nucléaire selon la revendication 1, caractérisée en ce que le moyen de sélection de signal (59) comporte un moyen (111. 113) pour déterminer la différence entre chaque signal détecté par chaque moyencapteur et les signaux détectés par les autres moyens capteurs identiques d'un ensemble de capteurs ainsi qu'un moyen répondant au moyen déter- minant la différence pour rejeter les signaux de chaque moyen capteur qui diffèrent des signaux des autres moyens capteurs, identiques. d'au moins une valeur prédéterminée, celle-ci dépassant le double de la variation autorisée du signal détecté par les mêmes moyens-capteurs, 3*) Centrale nucléaire selon l'une quelconque des revendications 1 et 2, caractérisée en ce que chacun des canaux comporte un moyen optique (107, 121) pour transmettre seulement les signaux de l'unité de protection correspondante (107) vers le système de commande et pour éviter l'interaction électrique entre les unités de protection et le système de commande. 40) Centrale nucléaire selon la revendication 3, caractérisée en ce que le moyen optique (107) est un chemin à fibres optiques dans chaque canal travaillant comme élément exclusif pour transmettre les signaux de l'unité de protection (81-87) correspondante vers le système de commande (55). 50) Centrale nucléaire selon la revendication 2, caractérisée en ce que le système de commande (55) comporte un canal de commande principal (141) et un canal de commande de retour (143) le moyen de sélection de signal comporte une première unité de sélection de signal (111) et une seconde unité de sélection de s-îgnal (113) analogues, la première unité de sélection de signal (111) étant reliée au canal de commande principal (141) pour éviter et permettre comme indiqué, la transmission des signaux du moyen-capteur (81-87) vers le canal de commande principal (141) et la seconde unité de sélection (113) étant reliée au canal de commande de retour (143) pour éviter et permettre comme précédemment, la transmission des signaux du moyen-capteur vers le canal de commande de retour (143), un générateur de signaux d-essai (117e 119) un moyen (115) reliant le générateur de signaux d-essai aux canaux, le moyen de liaison comportant un moyen de commutation sélectif pour relier le moyen générateur de signaux d-essai suivant une relation sélec- tive de transmission de signaux d'essai avec la première unité de sélection de signal (111) et le canal de commande principal (141) ou avec la seconde unité de sélection de signal (113) et le canal de commande de retour (143) et pour éviter la trans- mission des signaux de l'ensemble de détection par la première unité choisie ou la seconde sélection de signal suivant le cas, et un moyen (117,119) reliant le moyen générateur de signaux d'essai et le canal de commande principal (141) et le canal de commande de retour (143) pour éviter la transmission d'infor- mations de commande vers le réacteur (13) et/ou ses composants à partir du canal de commande principal choisi ou du canal de commande de retour. suivant le cas, ) Procédé de commande d'une centrale nucléaire qui comporte un réacteur nucléaire et un ensemble de composants reliés au réacteur pour transformer l'énergie thermique générée par le réacteur en énergie électrique, le réacteur et certains des composants ayant des paramètres dépendant de leur fonction- nement, un système de protection,- une installation de protection répondant au système de protection pour établir un fonctionnement de protection lorsque les paramètres dépendant du fonctionnement indiquant un état anormal de l'installation et un système de - commande pour commander l'installation en fonction de l'amplitude, des paramètres dépendant du procédé, procédé selon lequel on fournit un ensemble ou plusieurs signaux de procédé ou de fonctionnement, chaque ensemble mesurant chacun des paramètres, on transmet chaque ensemble de signaux de procédé au système de protection pour être traité séparément par le système de protection, on commande le système de protection pour mettre en oeuvre l'instal- lation de protection en réponse seulement à plus d'un signal de procédé d'un ensemble mesurant un paramètre et traduisant un fonctionnement anormal de l'installation, on fournit séparément à partir du système de protection chaque ensemble de signaux de procédé mesurant chacun des paramètres, procédé caractérisé en ce que les étapes de détermination des différences entre chaque signal de procédé d'un ensemble mesurant un paramètre et les autres signaux de procédé de l'ensemble ainsidériVé mesurant le méme paramètre, on supprime l'un des derniers signaux de procédé, dérivés qui diffèrent de l'autre signal de procédé mentionné en dernier lieu d'au moins une amplitude prédéterminée, on transmet les signaux de procédé dérivés, restants, de chaque ensemble vers le système de commande qui, en fonction de tout signal de procédé dérivé qu'il reçoit et qui mesure un état anormal, commande le réacteur ou le composant concerné qui est en fonctionnement anormal pour remettre le procédé à l'état normal. 7 ) Procédé selon la revendication 6, dans lequel le système de commande comporte des canaux de commande princi- paux et des canaux de commande de retour, procédé caractérisé en ce qu'on transmet les jeux de signaux de fonctionnement ainsi dérivés par un premier canal de signal et un second canal de signal, chacun des canaux déterminant la différence entre chaque signal de fonctionnement d'un ensemble mesurant un paramètre ainsi choisi et les autres signaux de fonctionnement de l'ensemble pour obtenir la mesure du mème paramètre pour chaque canal, les signaux de fonctionnement ainsi obtenus pour chaque ensemble transmis et qui ne diffèrent pas du dernier signal de fonctionnement d'une valeur prédéterminée, passent par le premier canal de signal pour le canal de commande principal, les autres signaux de fonctionnement, dérivés de chaque ensemble transmis passant par le second canal de signal vers le canal de.commande de commande de retour, on injecte sélectivement à intervalles, des signaux dans le premier canal de signal ou dans le second canal de signal, on fait passer sélectivement le signal d'essai injecté dansle premier canal de signal seulement vers le canal de commande principal ou on fait passer sélecti- vement les signaux d'essai injectés dans le second canal de signal seulement vers le canal de commande de retour, on interdit le canal de commande principal choisi ou le canal de commande de retour, suivant le cas pour le passage des signaux de fonctionnement et on agit sur le système de commande-ou pendant les intervalles d'essai sur le canal principal ou le canal de retour, choisi, suivant le cas en fonction de n'importe quel signal de procédé, reçu, et qui mesure l'état anormal d'un fonctionnement, pour commander le réacteur ou le composant concerné par ce fonctionnement anormal pour rétablir le fonc- tionnement à létat normal, 8zj Procédé selon l'une quelconque des revendica- tions 6 et 7, caractérisé en ce qu'il consiste g a) à dériver pendant les cycles successifs, les signaux distincts indicateurs de 10amplitude détectée par chaque capteur; b) à déterminer la moyenne des amplitudes des' signaux détectés par le dernier capteur pendant chaque-cycle; c) -à comparer l'amplitude de chaque signal détecté par un moyen-capteur pendant un cycle avec l'amplitude des autres signaux captés par le moyen- capteur pendant le même cycle, d) lorsqu'on constate que deux signaux diffèrent en amplitude des autres signaux de façon supérieure à la variation autorisée du moyen-capteur correspondant, on détermine celui des deux signaux qui diffère de la plus grande amplitude par rapport à la moyenne déterminée par le même moyen-capteur pendant le cycle précédent; e) on rejette celui des deux signaux qui est le plus différent de la moyenne, et f) on transmet au moins les autres signaux par rapport auxquels diffèrent les deux signaux pour commander l'installation. ) Procédé selon la revendication 8, caractérisé en ce qu'on compare chacun des autres signaux à l'exclusion de celui qui est rejeté avec chacun des signaux restants pour déterminer si celui des deux signaux qui restent, diffère des autres signaux de plus que la variation autorisée pour le moyen-capteur et on rejette ce signal si la différence par rapport aux autres signaux est supérieure aux variations autorisées. l0 ) Procédé selon la revendication 9, caractérisé en ce que l'un des deux signaux est rejeté s'il diffère d'au moins deux autres signaux plus que la limite autorisée.