FR 2503922 A1 19821015 FR 8204929 A 19820323 La présente invention concerne une installation de coupure d'un réacteur nucléaire dans une centrale nucléaire alimentée par le réacteur. De façon plus détaillée, l'invention concerne une installation de coupure de réacteur nucléaire évi- tant la coupure erratique du réacteur. Pour faciliter la compréhension de l'invention à l'aide d'éléments concrets, la présente demande concerne essen- tiellement une centrale nucléaire dans laquelle l'énergie ther- mique est fournie par un réacteur à eau sous pression (réacteur PWR). L'invention est applicable à des réacteurs d'autres types y compris des réacteurs à eau bouillante (réacteurs BWR), des réacteurs à réfrigérant à métal liquide et des réacteurs à réfrigérant gazeux; l'application de l'invention de ces princi- pes à d'autres réacteurs entre dans le cadre de l'invention. La centrale à laquelle s'applique l'invention comporte elle-même en plus du réacteur nucléaire, des moyens pour transformer l'énergie thermique générée par le réacteur en énergie électrique. De façon caractéristique, les éléments principaux d'un réacteur à eau sous pression sont le surpresseur, les générateurs de vapeur, la turbine, l'alternateur, le con- denseur et les organes correspondants. Le réacteur nucléaire et ses composants lorsqu'ils fonctionnent, travaillent suivant des procédés définis par un ou plusieurs paramètres. On peut ainsi avoir 18 paramètres et plus. Les plus importants de ces paramètres sont le flux de neutrons, la puissance fournie par le réacteur, les températures du réfrigérant du réacteur, le niveau et la pression de l'eau sous pression. le niveau de l'eau d'alimentation du générateur de vapeur et la pression de cette vapeur, le débit d'eau d'ali- mentation etc. Il peut également y avoir des paramètres de catégorie tels que par exemple l'état d'un commutateur (ouvert ou fermé) ou l'état d'une pompe (en marche ou à l'arrt). Il faut contrôler ces paramètres de façon fiable et pour cela on utilise u' ensemble de capteurs analogues pour contrôler chaque paramètre. L'utilisation de plus d'un capteur pour chaque para- mètre est une fonction redondante adoptée pour arriver à une fiabilité optimale. L'agregaticn de capteurs analogues contrO- lant chaque paramètre es pApelée "ensemble de capteurs". De facorn geéralef on suppose qu'il y a n détec- teurs ou capnteurs dans cn eunemb1e. Pour tester, entretenir ou interdire un capteur, on le met hors service; pour le mettre hors service, on le court-circuite. Dans le cas d'une mise hors service, seuls les capteurs non mis hors service pour le para- mètre conservé c'est-à-dire le jeu de capteurs concernés sont disponibles pour contr8ler ce paramètre. Lorsque les capteurs en service détectent un paramètre non normal, les tiges de réglage ou de contr8le sont complètement introduites dans le coeur du réacteur pour éviter que le réacteur ne fournisse de l'énergie thermique, et cela en réduisant considérablement le flux des neutronsdu réacteur. Dans le cadre de l'invention, on peut réduire le flux des neutrons en réglant la réactivité en plus de l'introduction des barres ou en 'réglant seulement la réactivité de façon appropriée. Cette opération sera appelée ci-après "la coupure du réacteur" ou "la coupure de la centrale". La présente description concerne également la coupure d'un cir- cuit à disjoncteurs. Le fait de couper un disjoncteur ne signifie pas que le réacteur soit coupé. En pratique, on ne coupe pas un réacteur lorsqu'un capteur d'un ensemble de capteurs analogues détecte un paramètre non normal car il n'est pas souhaitable que cette coupure se produise lors d'une détection d'un état non normal, erratique ou transitoire par un capteur. Une telle coupure erratique augmenterait notablement le temps d'arrêt. En général, on estime qu'il faut détecter un paramètre non normal par au moins m capteurs d'un ensemble, non mis hors ser- vice, et l'on provoque la coupure si le nombre de capteurs non mis hors service est supérieur à m. Si le nombre de capteurs non mis hors service est inférieur ou égal à m, il faut détecter le paramètre non normal à l'aide du nombre de capteurs non mis hors service, nombre diminué d'une unité, pour obtenir une cou- pure. Le nombre m peut être une constante; ce nombre peut éga- lement varier suivant que les capteurs sont mis hors service. De façon caractéristique n est égal à 4 et m est égal à 2. Si le nombre de capteurs analogues non mis hors service est égal à 2, on a une coupure lorsqu'un paramètre non normal est détecté seulement par un capteur; si le nombre de capteurs non mis hors service est égal à 1, il y a une coupure automati- que. Les capteurs et les éléments coopérant avec ceux- ci, et qui répondent aux signaux détectés par les capteurs, sont regroupés suivant des canaux logiques de coupure. Le regroupement peut être un regroupement de structure; il peut également s'agir d'un regroupement fonctionnel, les composants réels qui effectuent ces fonctions étant imbriqués. Il y a autant de canaux qu'il y a d'ensembles de capteurs analogues, c'est-à- dire en général n canaux. Chaque canal contient généralement un exemplaire des capteurs différents détectant les différents paramètres. De façon caractéristique, il y a quatre canaux. Le réacteur est coupé par l'ouverture ou la coupure du circuit à disjoncteurs. Il y a deux fois autant de disjonc- teurs qu'il y a de capteurs par paramètre, c'est-à-dire en général 2 n disjoncteurs. Les contacteurs des disjoncteurs sont reliés de façon que 2 m contacteurs soient ouverts pour couper le réacteur. De façon caractéristique, il y a quatre capteurs par paramètre et quatre canaux. Il y a ainsi huit disjoncteurs; deux disjoncteurs sont commandés par chaque canal et les con- tacteurs des disjoncteurs sont reliés de façon que quatre con- tacteurs s'ouvrent ou se coupent pour couper leiéacteur. L'opé- ration qui se produit lorsqu'un capteur d'un ensemble détecte un paramètre non normal est appelée 'coupure partielle du réac- teur" dans la présente description. Pour faciliter la compréhension de l'invention, la description suivante s'applique à une installation comportant des ensembles de quatre capteurs par paramètre et ainsi quatre canaux; la coupure du réacteur est mise en oeuvre sur la base d'un vote de "deux sur quatre". Il est clair que l'utilisation d'ensembles de plus de quatre capteurs par paramètre et d'une structure de coupure différente du réacteur entre dans le cadre de l'invention. Lorsque l'un des capteurs d'un ensemble est mis hors service, il faut que cette mise hors service n'entraîne pas de coupure partielle du réacteur. Si cela se produit, la détection d'un paramètre non normal par un autre capteur de l'ensemble c'est-à-dire par un seul capteur provoque la coupure du réacteur. Il est souhaitable que la fiabilité de la détec- tion et de la coupure du réacteur soit conservée sans qu'il n'y ait de coupure erratique du réacteur même si un ou plu- sieurs capteurs sont mis hors service. De façon plus générale, il faut que la commande des paramètres d'une centrale nucléaire se fasse avec la fiabilité exigée par la technologie des réacteurs nucléaires tout en réduisant au minimum le temps d'arrêt du réacteur. On a suggéré d'éviter une coupure partielle résul- tant d'une mise hors service en fermant des disjoncteurs sup- plémentaires en dérivation des disjoncteurs du canal dont le capteur a été mise hors service. Un tel montage demanderait huit disjoncteurs supplémentaires et serait complexe, coûteux à ins- taller et à entretenir. Il est souhaitable que la mise hors service d'un capteur de paramètre d'une centrale nucléaire n'entraîne pas la coupure partielle du réacteur, tout en réalisant l'installa- tion de façon simple et à moindre co t. Il est également souhai- table de créer une centrale nucléaire comportant des moyens simples, peu coûteux à entretenir pour éviter la mise hors ser- vice d'un capteur de paramètre pour que celui-ci n'entraîne pas la coupure partielle du réacteur. La présente invention a ainsi pour but de créer une installation de coupure de réacteur nu- cléaire remédiant aux inconvénients de l'art antérieur. A cet effet, l'invention concerne une centrale nucléaire dans laquelle la mise hors service d'un capteur évite la coupure ou l'ouverture du disjoncteur commandé par le canal associé à ce capteur c'est-à-dire un capteur local. Pour cela, on bloque le passage du signal de coupure, réel, vers la com- mande de l'enroulement de coupure du disjoncteur dans le cas d'une mise hors service. De façon caractéristique, on bloque le signal de coupure pour la commande de l'enroulement du relais de sous-tension du disjoncteur. De façon détaillée, le relais de sous-tension est maintenu alimenté en fonctionnement normal de l'appareil. Lors de l'application d'un signal de coupure, l'ali- mentation du relais est coupée. Lorsqu'un capteur est mis hors service, le signal de coupure de l'alimentation du relais est bloqué. Un relais de sous-tension ou tout autre relais sera considéré comme alimenté si le courant traverse son enrou- lement. Un relais sera considéré comme mis en oeuvre lorsqu'il travaille soit pour arrêter le passage du courant à travers son enroulement, soit pour initialiser le passage du courant à tra- vers son enroulement. Cette fonction de blocage a l'avantage d'éviter les complications nécessaires d'un appareil par l'adjonction de disjoncteurs supplémentaires: en outre, cette fonction a un autre avantage important: cette fonction tend facilement elle- même à imbriquer chaque capteur d'un ensemble et le canal qui lui correspond avec les autres capteurs du mame ensemble et les autres canaux qui leur correspondent. Il est ainsi possible de commander le nombre de coupures réelles nécessaires pour couper le réacteur en fonction du nombre de capteurs mis hors service. Cette fonction facilite elle-même la détection des erreurs. Selon un mode de réalisation préférentiel de l'invention, les capteurs de chacun des différents ensembles sont imbriqués de façon qu'en court-circuitant ou en mettant hors service un seul capteur d'un ensemble, on évite la coupure partielle du disjoncteur correspondant du canal dans lequel se trouve ce capteur local et la mise hors service d'un autre capteur du même ensemble entraîne une coupure partielle. En d'autres termes, si un capteur est mis hors service dans son canal local et si seulement un capteur supplémentaire du même ensemble est également mis hors service, la mise hors service de ces deux capteurs déclenche les disjoncteurs correspondants de l'un des canaux et entraîne une coupure partielle du réacteur sans entraîner la coupure du réacteur lui-même. La configuration du disjoncteur reste ainsi bn ordre" (par rapport à la dtection d'un seul état non normal) quel que soit le nombre de mises hors service qui ont été faites. La conception décrite ci-dessus est réalisée par des ordinateurs et de façon caractéristique des micro-ordina- teurs ou des microprocesseurs. Chaque fonction de coupure de réacteur (ou petit groupe de fonctions étroitement liées) est traitée par une unité de calcul qui reçoit des signaux d'entrée de paramètre et génère une demande de coupure du réacteur lors- que les conditions du procédé appelent la coupure du réacteur. Comme indiqué, il y a quatre "canaux" redondants, et chacun comporte une paire de disjoncteurs de coupure de réacteur. Les huit disjoncteurs sont relit de façon que l'ouverture de l'une quelconque des paires de disjoncteurs est suffisante pour en- traîner la coupure du réacteur. De façon caractéristique cela se fait en arratant l'alimentatlon du circuit d'entraînement des barres de commande du réacteur et par l'introduction des barres de commande dans Me coeur du réacteur. En plus de cette logique de vote de detnx parni quatre i2/4) au niveau du disjonc- teur de coupure, chaque fonction de coupure individuelle (en général la coupure du réacteur à haute pression) est assurée par sa propre logique de vote 2/4 et l'accord parmi les capteurs de procédé liés à la même fonction est nécessaire pour initia- liser la coupure du réacteur. Le système logique de coupure effectue le vote de niveau 2/4 pour les fonctions de mise hors service. Comme indi- qué, la logique de vote selon 2/4 se transforme en logique selon 2/3 lorsqu'il y a un capteur hors service et le vote se fait selon 1/2 pour deux mises hors service. Le réacteur est coupé lorsqu'il y a plus de deux mises hors service. On a proposé que l'appareil de commande comporte un système de logique de coupure avec un seul processeur ou microprocesseur dans le sous-système de l'ordinateur de la logi- que de coupure pour effectuer le vote logique 2/4. Le vote logique 2/4 est effectué par ce système pour chacun des dix- huit paramètres ou plus selon les expressions logiques suivantes COUPURE = COUPURE PARTIELLE et AUTORISATION DE COUPURE ou COUPURE GLOBALE, avec COUPURE PARTIEILE = Sortie de la fonction de coupure dans un canal AUTORISATION DE COUPURE = COUPURES PARTIELLES 1/3 provenant des autres trois canaux qui restent COUPURE GLOBALE = COUPURE PARTIELLE 2/3 des autres trois canaux. Dans les indications ci-dessus, l'expression 1/3 se lit "1 parmi 3" et l'expression 2/3 se lit " 2 parmi 3". Ces expressions logiques qui sont étendues pour inclure la logique de mise hors service se réalisent en trois étapes. 1. L'ordinateur de la logique de coupure reçoit les signaux de COUPURE PARTIELLE d'un autre canal par l'intermédiaire des boucles de données, isolées et génère un signal d'AUTORISA- TION DE COUPURE et/ou de COUPURE GLOBALE. 2. La combinaison logique selon la fonction ET du signal d'AUTO- RISATION DE COUPURE avec le signal de COUPURE PARTIELLE est effectuée par un module logique (il y a un module logique pour chaque paramètre). 3. Les résultats de l'étape 2 ou de la COUPURE GLOBALE passent par une porte OU dans un bus de coupure qui est de façon caractéristique mis au potentiel de masse de sorte que le disjoncteur de mise hors service commande la coupure de l'alimentation des enroulements de sous-tension du disjonc- teur de coupure du réacteur. Le système logique de coupure à un seul processeur a l'inconvénient qu'une défaillance d'un seul processeur dans l'ordinateur de la logique de coupure évite la coupure du réac- teur dans ce canal, car la COUPURE GLOBALE et tous les ordres d'AUTORISATION DE COUPURE sont générés par ce processeur. Cela n'est pas concerné par le critère d'une défaillance unique, car l'ordinateur de la logique de coupure a une contre-partie redondante dans chacun des trois autres canaux et seuls deux des ordinateurs sont nécessaires pour assurer une coupure du réacteur. Toutefois comme la durée de vie des cartes de circuit imprimé utilisées dans le processeur est selon les estimations inférieure à 100.000 heures, il est nécessaire de tester en permanence l'ordinateur de la logique de coupure du système pour arriver à une fiabilité définitive de 3,4 x 10 7 de défaillance à la coupure sur une demande. Cette fiabilité définitive a été fixée pour assurer que l'installation présente la fiabilité classique exigée d'un tel appareil. Selon un mode de réalisation préférentiel de l'in- vention, on a un ordinateur de logique de coupure à double pro- cesseur pour commander chaque canal.-Un processeur génère un ordre de coupure globale et l'autre un ordre d'autorisation de coupure. Pour améliorer la fiabilité de la transmission de l'état vers les autres canaux, l'émetteur-récepteur de la boucle de données passe du module de communication pour être directement entraîné par l'un des ordinateurs de la logique de coupure. On a constaté par une analyse de la ramification des erreurs que pour arriver à une fiabilité complète de l'ordinateur à double processeur, il faut que la fonction de transmission de données soit indépendante de la génération des ordres d'autorisation de coupure et c'est pourquoi, le processeur qui génère l'ordre de coupure globale recueille et transmet également l'état aux autres canaux. La liaison entre l'ordinateur de la logique de coupure et les modules de communication reste établie par des cartes de mémoire partagées pour donner l'état de coupure du système logi- que à l'ordinateur de l'installation, en vue de l'affichage, ainsi qu'au système de test automatique. En plus de cette répar- tition des fonctions, la mise en oeuvre de la commande de mise hors service de disjoncteurs est séparée de la collecte de son état pour éviter qu'une seule défaillance n'entraîne une mise hors service automatique et n'interdisse aux autres canaux de "voir" cette mise hors service. Suivant une caractéristique de l'invention, l'ins- tallation comporte un ensemble de canaux, cet ensemble étant égal à n, chacun des canaux ayant un capteur pour contrôler chacun des paramètres, avec n capteurs locaux dans n canaux pour commander chaque paramètre, installation caractérisée en ce que chaque canal comporte un second moyen qui, lorsqu'il est mis en oeuvre, conditionne la mise en oeuvre du premier moyen, le moyen de mise hors service, relié à chaque capteur, la mise hors service d'un capteur dans chaque canal étant appliquée mise hors service locale, le moyen de mise-hors service compor- tant un cinquième moyen pour appliquer une information à chaque canal des mises hors service locales des capteurs des autres canaux, la mise hors service locale dans un autre canal dont l'information est appliquée à chaque canal étant appelée ci- après "mise hors service à distance" par rapport à chaque canal, le second moyen du canal d'un capteur étant mis en oeuvre lors de la détection d'un paramètre non normal par le dernier capteur mentionné, le quatrième moyen répondant à la mise en oeuvre du second moyen d'un ensemble de m-l canaux, m étant inférieur à n, pour mettre en oeuvre le premier moyen et couper le réacteur lors de la mise en oeuvre du second moyen du canal numéro m, le troisième moyen répondant à une mise hors service locale dans un canal pour éviter que le second moyen du canal ne soit mis en oeuvre, le troisième moyen répondant également à la fois à une mise hors service locale d'un capteur et à une mise hors service à distance d'un capteur analogue dans un canal pour mettre en oeuvre le second moyen du canal. Suivant une autre caractéristique de l'invention, m est une constante pour tout paramètre lorsque le nombre de capteurs analogues non mis hors service pour le paramètre est supérieur à m, ce nombre étant égal à un nombre r lui-même égal au nombre de capteurs analogues non mis hors service, nombre diminué de la valeur 1 lorsque le nombre des capteurs analogues non mis hors service est égal ou inférieur à m. La présente invention sera décrite plus en détail à l'aide des dessins annexés, dans lesquels: - la figure 1 est un schéma d'une installation selon l'invention. - la figure 2 est un schéma-bloc de principe très généralisé du fonctionnement de l'installation de la figure 1. - la figure 3 est un schéma-bloc des composants principaux d'un canal logique de coupure de réacteur traitant l'information fournie par les capteurs de paramètre. - la figure 4 est un schéma logique montrant com- ment est générée la fonction d'autorisation de coupure. - la figure 5 est un schéma logique montrant com- ment est générée la coupure totale. - la figure 6 est un schéma d'un appareil à relais pour la réalisation du circuit logique du canal logique de coupure de réacteur selon la figure 3. - la figure 7 est un schéma logique d'un appareil réalisé en technique état solide pour le circuit logique du canal logique de coupure de réacteur. - la figure 8 est un schéma logique d'un appareil pour tester en continu l'ordinateur logique de coupure du réacteur. - la figure 9 est un schéma logique montrant com- ment se réalise la commande de mise hors circuit à l'aide d'un appareil en technique état solide. - la figure 10 est un schéma montrant la réalisa- tion de la commande de mise hors service à l'aide d'un appareil à relais. - la figure 11 est un schéma de la logique de déclenchement des disjoncteurs de l'appareil réalisé à l'aide de relais, et coopérant avec la commande de relais selon la figure 10. - la figurs 12 est un schémaobloc montrant la caractéristique la plus importarnte du canal logique de coupure de réacteur satisfaisant aux probabilités classiques, faibles de défaillances d'un ordinatsur cour une centrale nucléaire. - la ficQure 1i e-t un graphique montrant le résul- tat d'un éeude de fiabilité paramétrique des ordinateurs de la iogique de coupure de la figure 12. L'instalaticn représentee à la figure 1 est l'ins- tallation d'une centrale nucléaire comportant un réacteur nucléaire 11 coopérant par échange de chaleur avec plusieurs générateurs de vapeur 13, 15. Un circuit primaire 17, 19 res- pectif comportant chacun une pompe 18, 20 relie de façon thermi- que le réacteur 11 et chacun des générateurs de vapeur 13, 15. Un fluide réfrigérant qui est, de façon caractéristique, de l'eau sous pression, traverse le coeur (non représenté) du réacteur 11 et les faisceaux primaires de chacun des générateurs de vapeur 13, 15. La chaleur fournie par chaque circuit primaire 17, 19 en partant du coeur du réacteur, vaporise l'eau dans chaque générateur 13, 15. Un circuit secondaire 21, 23 est associé à chaque générateur 13, 15 respectif. Il y a également un surpresseur 24 relié au circuit 17 pour régler la pression du fluide réfrigérant. L'installation de la figure 1 comporte également une turbine 25 entrainant un alternateur 27. Chaque circuit secondaire 21, 23 se compose d'une première branche 29 pour la circulation de la vapeur provenant de chaque générateur de vapeur 13, 15 de façon à entratner la turbine 25 ainsi qu'une seconde branche 31 pour la circulation de l'eau d'alimentation retournant de la turbine 25 vers le générateur de vapeur 13, 15 correspondant. La branche 31 comporte en plus de la turbine 25 un condenseur 33 pour condenser le fluide de la turbine 25 et une pompe à condensat 35. Chaque branche d'eau d'alimentation 31 comporte également des pompes d'eau d'alimentation 39. La centrale nucléaire décrite de façon schématique ci-dessus est explicitée dans le brevet américain 4 104 117. La présente invention concerne de façon particu- lière la coupure du réacteur 11 lorsque se produit un fonction- nement non normal se traduisant sur les paramètres de fonction- nement de l'installation de la figure 1. Le réacteur 11 comporte des barres de commande 61 qui peuvent s'introduire ou s'extraire du coeur par un moyen d'entratnement 60. Pour couper le réacteur, on met en oeuvre le moyen d'entraînement 60, ce qui correspond de façon caractéristique à la coupure du moyen d'entraînement pour que les barresde commande 61 pénètrent dans le coeur du réacteur. L'entrainement de commande des barresest alimenté de façon caractéristique par un ensemble moteuralternateur 63. Le moteur M de cet ensemble 63 est entraîné par l'alternateur 27 ou toute autre source appropriée. Le générateur G fournit l'alimentation de l'entraînement 60 par l'intermédiaire d'un disjoncteur ou d'un ensemble de coupures à disjoncteurs 64. L'ensemble disjoncteurs 64 est commandé par les canaux logiques de coupure de réacteur CI, CII, CIII, CIV. La quadruple redondance des canaux donne la fiabilité requise à la commande. Les canaux CI-CIV répondent chacun à l'état de différents capteurs qui détectent les différents paramètres du réacteur hl et/ou des composants 13, 15, 17, 19, 25, 33 etc servant à convertir l'énergie thermique fournie par le réacteur en énergie électrique. Il y a essentiellement des ensembles de quatre capteurs pour chaque paramètre. Chaque capteur de chaque ensemble fournit son information d'état aux différents canaux. De façon caractéristique, on détecte au moins 18 paramètres. Pour ne pas compliquer inutilement la figure 1, on y a seulement représenté quelques uns des différents capteurs et dans la plu- part des cas il y a seulement deux des quatre capteurs effectifs. Les capteurs représentés sont les détecteurs de flux nucléaires 51, les détecteurs d'écoulement du réfrigérant 52 du réacteur, les détecteurs de pression 53, les détecteurs de température du fluide réfrigérant du réacteur 54 et les détecteurs de niveau d'eau d'alimentation des générateurs de vapeur 55. Chacun des détecteurs ou capteurs 51... 55 ainsi que les autres fournis- sent comme signaux d'entrée son état à un canal CI-CIV. L'état introduit peut être l'état normal, un état non normal ou un état hors circuit. Chacun des canaux CI-CIV reçoit non seulement l'information de chacun de ces capteurs locaux mais également l'information de chacun des capteurs à distance pour les trois autres canaux. Ces informations passent dans les canaux formés de conducteurs à fibres optiques. Pour indiquer cette liaison, l'ensemble des lignes PI, PII, PIII, PIV est représenté à la figure 1. Chacune des lignes représente un seul conducteur à fibres optiques qui transmet des signaux multiplexés dont le nombre correspond à celui des paramètres détectés. Les chiffres romains après la lettre P indiquent dans chaque cas que le signal passe dans un canal CI-CIV identifié par le même chiffre romain. De chaque canal CI-CIV vers un autre canal, il y a un conducteur à fibres optiques qui transmet toutes les informa- tions de détection du premier canal vers le second canal et un autre conducteur à fibres optiques transmettant toute l'infor- mation du second canal vers le premier canal. - Chacun des canaux CI-CIV commande une paire de contacts de coupure 66, 68, 70, 72 respectifs de l'ensemble- disjoncteurs 64. L'ouverture de deux ensembles de disjoncteurs c'est-àdire de quatre contacts est nécessaire pour couper le générateur G de l'entraînement 60. Par exemple, si uniquement les contacts 66 sont ouverts, le courant peut passer du géné- rateur G à travers le contact 68, le conducteur 74, les contacts , 72 et le conducteur 76 pour aller au moyen d'entraînement 60. Si les contacts 70 sont ouverts, le courant passe du généra- teur G à travers les contacts 68 et 70, le conducteur 78, le contact 72, le conducteur 76 pour aller au moyen d'entraînement 60. L'ouverture de deux ensembles de contacts par exemple les ensembles 66 et 68 coupe les deux branches alternatives qui alimentent le conducteur 76. La figure 2 est un schéma logique abstrait montrant de façon fondamentale comment les capteurs commandent la coupure du réacteur et comment lescapteurs coopèrent dans leur fonction de détection. A titre d'exemple, on a représenté un seul capteur a savoir le capteur de pression dans les quatre canaux. Les éléments fonctionnels du canal CI sont représentés. Les autres canaux CII, CIII, CIV ont des éléments fonctionnels analogues. Le canal CI comporte un ensemble de portes Gl, G2, G3... c'est-à-dire une porte distincte pour chaque paramètre. Un capteur relié directement à la porte d'un canal est appelé dans la description "capteur local" c'est-à-dire un capteur local par rapport au canal. Les capteurs locaux sont représentés comme étant reliés aux portes Gl, G2, G3; ces capteurs détectent différents paramètres. Chaque porte Gl,... reçoit également des informations d'état des autres capteurs du même ensemble en provenance des autres canaux CII, CIII, CIV. Ces autres capteurs sont appelés "capteurs à distance" pour chaque canal. Cette information est appliquée par des fibres optiques PII, PIII, PIV, si bien qu'il n'y a pas de liaison électrique entre les canaux. Chaque porte reçoit également l'information de mise hors service pour chaque capteur. De façon caractéristique, chaque porte Gl... reçoit quatre signaux de capteurs et quatre signaux de mise hors service. Les signaux d'entrée locaux et les signaux d'entrée de mise hors service locaux sont respecti- vement référencés par les références SL et BL; les signaux d'entrée à distance correspondants sont respectivement réfé- rencés par SR et BR. Chaque porte Gl etc donne un signal de sortie d'état logique 1, si le nombre approprié de capteurs détecte le paramètre de fonctionnement non normal correspondant ou si la porte reçoit une information selon laquelle le capteur local et l'un des capteurs à distance détectant le paramètre correspondant sont mis hors service. Si aucun capteur n'est hors service, la porte fonctionne sur la base 2/4 comme cela est indiqué pour la porte G1. Dans le cas d'un capteur mis-hors service, ce capteur est extrait, ce qui réduit d'une unité le nombre d'entrées. Lors- qu'un capteur est mis hors circuit, il reste trois entrées de capteur et la porte fonctionne sur la base 2/3. Si deux capteurs sont mis hors service, la porte travaille sur la base 1/2 et si trois entrées sont mises hors service, la porte travaille sur la base 0/1. On peut mettre hors service un ou plusieurs capteurs d'un canal ou encore tous les capteurs d'un canal. Il peut y avoir 18 capteurs ou plus. Lorsque tous les capteurs d'un canal sont mis hors service, cette mise hors service est appelée "mise hors service globale". Les signaux de sortie de la porte G1 etc de chaque canal sont appliques à âne porte OU référencée OI etc. La sortie de la porte OU, OI est appliquée à ld porte de coupure de réacteur G. La porte G fonctionne sur la base 2/4. La porte de coupure de réacteur G reçoit les signaux des quatre canaux c est-à-dire quatre signaux d'information relatifs au caractère normal ou non normal des paramètres contrôlés par chaque canal et les quatre signaux donnant l'information de l'état de mise hors service du canal. Pour faciliter l'exposé, on suppose que la porte G reçoit des signaux d'éetat I pour détecter l'état non normal d'un paramètre d'un canal ou la mise hors service dans un canal; la porte reçoit des signaux d'état O pour la détec- tion normale d'un paramètre ou lorsqu'il n'y a pas de mise hors service dans un canal. Les entrées de capteurs sont référencées SCI, SCII, SCIII, SCIV et les entrées de mise hors service BI, BII, BIII, BIV. Si Iec; capteurs des quatre canaux ne détectent pas de paramètre non noL:r'av:e signaux d'état O sont appliqués aux sntées CI-SCIV..S'I. a pas de mise hors circuit dans lcs cana.., les états bu e sont introdiuts par BI-BIV. Le réacteur n'est pas coupé et le fonctionnement de l'appareil est normal. On suppose que seul le capteur local du canal CI détecte un paramètre non normal sans qu'il n'y ait de mise hors circuit. Un état 1 est appliqué à l'entrée SL de la porte Gl et des états 1 sont introduits par les entrées éloignées SR des portes correspondantes (non représentées) des autres canaux. Les sorties de la porte Gl et des autres portes sont à l'état O et le réacteur n'est pas coupé. Si l'on suppose que le capteur local du canal CI et le capteur à distance de ce canal CI détectant un signal venant par exemple du canal CII, constatent qu'il y a un paramètre non normal avec aucune mise hors circuit, l'entrée SL et une entrée SR de la porte Gl reçoivent des états logiques 1; l'entrée S et une entrée SR d'un autre canal reçoivent également des états logiques 1; les entrées SR des deux autres canaux reçoivent des états logiques 1. Les entrées SCI-SCIV reçoivent des états 1 et le réacteur est coupé. On suppose que le capteur local du canal CI est mis hors circuit. L'introduction d'un signal de coupure par les portes Gl et G est bloquée. Les signaux de coupure ne peuvent être introduits par les trois autres canaux et la configuration correspond à 2/3. Une mise hors service locale et une mise hors service éloignée, introduites dans un canal évitent l'introduc- tion dans un autre canal d'une mise hors service à distance et d'une mise hors service locale. Dans ce cas un état logique 1 est introduit dans l'une des entrées BI-BIV de la porte G indi- quant une coupure partielle du réacteur. L'introduction d'un autre signal logique d'état 1 par la porte G résultant d'une coupure dans l'un des deux autres canaux entraîne la coupure du réacteur. On a dans ces conditions, la configuration 1/2. Si une mise hors service à distance et une mise hors service locale sont introduites dans les trois canaux, des états 1 sont appli- qués aux deux entrées BI-BIV et le réacteur se coupe. La confi- guration est alors 0/1. La figure 3 donne certains détails d'un canal logi- * que de coupure de réacteur, caractéristique qui commande une coupure. On suppose que le canal est le canal CI. Des modules exécutent les fonctions de coupure. Il y a une unité de module de coupure 77 et une unité de module logique 78. L'unité de module de coupure se compose de plusieurs modules 79 chacun correspondant à un capteur de paramètre. A titre d'exemple, on a indiqué les paramètres détectés par les modules 79. Les modules de coupure 79 peuvent se réaliser soit en technique analogique, soit en technique numérique. Chaque module de coupure 79 a une sortie 80 qui dérive de façon caractéristique d'un transistor à collecteur "ouvert" (non représenté). Un signal de coupure apparaît à la sortie 80; ce signal est appelé "coupure partielle". Ce signal est obtenu lorsque seule- ment un capteur d'un ensemble détecte un paramètre non normal. Les sorties 80 fournissent les signaux respectifs à l'unité de module logique 78. Cette unité de module logique effectue la fonction de vote 2/4. L'unité de module logique 78 se compose de plu- sieurs modules 86 coopérant chacun avec un module 79. Chaque relais de module (bobine non représentée) est mis en oeuvre par un signal fourni par une sortie correspondante 80. Chaque relais a un contact 81 qui est normalement fermé. Les contacts 81 sont reliés à un bus de déclenchement 82 (encore appelé "conducteur") par le contact 83 normalement fermé d'un relais 84 qui est mis en oeuvre en fonction de l'information d'une coupure globale dans l'un des autres canaux II, III, IV. Le signal de coupure globale pour la manoeuvre du relais 84 est transmis par une horloge de sécurité 85. Cette horloge commande l'ouverture des disjoncteurs de coupure par le moyen d'une coupure globale si le comptage du temps n'est pas redémarré périodiquement par le système d'ordinateur logique de coupure. Chaque module 86 comporte également un autre relais (bobine non représentée). Ce relais est manoeuvré en fonction de l'informa- tion d'une coupure dans un autre canal CII, CIII ou CIV. Cette coupure est identifiée par l'expression "coupure partielle" dans l'autre canal et comme "autorisation coupure" dans le canal CI. Chacun des autres relais a un contact 87 normalement fermé. Chaque contact 87 est branché en parallèle sur un con- tact 81. Chaque paire de relais dont les contacts 81, 87 sont en parallèle, répond au m9me paramètre non normal. Le bus de coupure 82 est relié à la masse par une résistance 88 et par les contacts 81 et/ou 87 lorsqu'ils sont tous fermés et que le contact 83 qui est à un potentiel supérieur à la masse,-de façon caractéristique et égal à 5 volts, est appliqué au bus de coupure 82. En technique numérique, ce potentiel applique un état logique 1 au bus de coupure. Le bus de coupure est mis à la masse soit par l'ouverture des deux contacts en parallèle 81, 87 d'une paire ou par l'ouverture du contact 83. En technique numérique, l'effet de la mise à la masse est d'appliquer un état logique O au bus de coupure 82. L'ouverture d'un contact 81 d'une ou plusieurs paires de contacts parallèles et d'un contact 87 d'une ou plusieurs autres paires ne met pas à la masse ce bus de coupure 82. Il s'agit là d'une caractéristique importante de l'invention puisqu'on suppose que le bus de cou- pure n'est pas autorisé pour une réponse erratique non normale de plusieurs capteurs différents. Un commutateur de mise hors service, manuel SWB est associé à chaque module 86 du module logique 78. La fermeture d'un quelconque commutateur SWB com- mande les relais du même module pour ouvrir les contacts 81 et 87 et mettre à la masse le bus de déclenchement. On peut réa- liser le même effet en fermant le commutateur manuel d'ensemble SWB1. Le bus de coupure 82 est relié au circuit logique de l'unité de mise hors service 89. De façon caractéristique, l'unité de mise hors service 89 est une carte à circuit imprimé. La sortie du circuit logique de mise hors service 90 commande le transistor Ql (figure 9). La sortie émetteur-collecteur du transistor Ql est appliquée par un commutateur manuel normale- ment fermé SW13 aux enroulements à sous-tension 149 qui comman- dent les contacts 66 (figure 1) de l'unité de disjoncteurs de circuit 64. Lorsque les enroulements de sous-tension 149 sont coupés de l'alimentation, les contacteurs 66 sont ouverts. L'information concernant l'état d'une entrée de coupure partielle et d'une mise hors service manuelle est trans- mise par l'unité de module logique 78 au système d'ordinateur logique de coupure 91. Ce système d'ordinateur 91 est un ordina- teur à microprocesseur formé de cartes de circuit imprimé de la série "Q" ISD de WESTINGHOUSE. Ce système d'ordinateur reçoit les entrées des différents modules logiques distincts 86 et des ordinateurs des autres canaux CII, CIII, CIV par des boucles de données, isolées; ce système exécute ce qui est nécessaire sur le plan logique et fournit des sorties aux modules logiques 86 pour terminer la logique de vote 2/4. En plus de l'informa- tion provenant des différents modules logiques distincts 86, il y a des signaux de coupure "globale". La seule entrée pour une coupure globale est dérivée du système d'ordinateur logique de coupure 91. Le système logique de coupure 91 se compose d'une entrée numérique QDI1, d'un ordinateur QMC1, d'une mémoire QME1 associée à l'ordinateur QMC1, de transmetteurs de boucles de données QMD1 et QMD2 et d'une sortie numérique QDO1. Les informations de coupure partielle et de mise hors service sont introduites par l'entrée numérique QDI1 par les bus 92, 93. Cette information contient les données de tous les capteurs. Le bus 94 fournit une information de test à l'entrée QDI1. L'entrée numérique QDI1 transmet cette information à l'ordina- teur QMCl qui traite l'information; ce résultat est enregistré dans la mémoire QME1 pour être transmis aux canaux CII, CIII, CIV. Cette information est transmise par la mémoire partagée QMS et par le transmetteur de boucle de données QMD du module de communication 95. Les transmetteurs de boucles de données QMD1, QMD2 fonctionnent comme un multiplexeur pour recevoir et extraire l'information des canaux CII, CIII, CIV. Cette donnée est enregistrée dans la mémoire QMlE1, pour Atre traitée par l'ordinateur QMCl et transmise par la sortie numérique QDO1. Le signal d'autorisation de coupure est transmis par le bus 96 et la coupure globale est transmise par le bus 97. L'ordinateur QMC1 traite également le signal d'essai et transmet l'informa- tion obtenue par le bus 98. L'unité de mise hors service reçoit l'information d'une mise hors service à distance par le bus 99 et celle d'une mise hors service locale par le bus 100. L'information relative à l'état de l'unité de mise hors service 89 est transmise aux canaux CI, CII, CITII par le module de communication 95. Ce module est un système d'ordina- teur à microprocesseur comprenant une entrée numérique QDI, un ordinateur QMAC, une m.moire QME et une sortie numérique QMD. La sortie numérique QI-D fonctionne comme multiplexeur pour trans- mettre l'information à la memoire QM et = la mémoire QME1 pour les canaux CIi, CIII, CIV. L' unité de module logique 78 de chacun des canaux CI-CIV peut mettre à la masse le bus de coupure 82. I1 en ré- sulte l'ouverture des contacteurs de coupure de réacteur 66-72 correspondants. Le bus de ccupure fonctionne co=mme une porte logique OU équivalente au circuit CI de la figure 2 pour la sortie de. 'unité de Odule iogique 78. On apDeile A SP. C D les coupures partielles des canaux CI, CIIs CIi CiV CI ecVifs. 2/4 des coupures partielles est donné par l'ex- pression logique suivante: 2/4 (A,B,C,D) = A * B + A AC + A D + Bt C + B %D + C 6D Dans cette relation, un point représente la fonction logique ET et un symbole plus représente la fonction logique OU. L'ex- pression ci-dessus peut se transcrire comme suit 2/4 (A,B,C,D)= (B+C+D + ( C + B D + C D) coupure autorisation coupure partielle de coupure globale On a une coupure partielle lorsque l'un des cap- teurs d'un ensemble est en situation non normale. On a une autorisation de coupure lorsqu'un autre capteur est en situation non normale. La coupure partielle du canal CI du calculateur logique est représentée par A. Cela apparait seulement dans l'expression regroupée; ce terme est combiné suivant la fonc- tion logique ET avec 1/3 des autres coupures partielles. Cette fonction ET est exécutée par un module logique; une entrée représentant 1/3 des autres coupures partielles, appelée "auto- risation de coupure" est fournie par l'ordinateur logique de coupure 91. Le reste de l'expression logique est équivalent à 2/3 des coupures partielles autres que A et se réalise en uti- lisant la coupure globale. Comme il y a seulement une entrée de coupure globale pour le bus de coupure, toutes les coupures globales des fonctions de coupure individuelle sont combinées suivant la fonction logique OU par l'ordinateur logique et donnent une seule sortie. Dans la mise en oeuvre pratique de l'invention, on utilise des éléments logiques en technique état solide ou des portes logiques. Dans la description suivante, on se réfère à des entrées et des sorties des éléments qui sont à l'état 1 ou O de préférence à des expressions de niveau bas et de niveau haut. Un signal d'entrée ou de sortie d'état 1 est un signal d'entrée égal ou supérieur à 2,4 volts; un signal d'entrée ou de sortie d'état O est un signal d'entrée ou de sortie égal ou inférieur à 0,4 volt. La figure 4 est un schéma logique donnant le signal d'autorisation de coupure qui est transmis au canal CI en combinant les coupures partielles et les mises hors service dans les canaux CII, CIII, CIV. Chaque canal a une porte ET 101 pour le passage des signaux. Lorsqu'il n'y a pas de coupure partielle dans un canal CI-IV, un état logique 1 est appliqué comme entrée sur la borne de coupure partielle 102; s'il y a une mise hors services un état logique 1 est appliqué comme entrée à la borne de mise hors service 103. Le signal 0 ou 1 sur les bornes 103 est appliqué à la porte ET 101 par l'inter- médiaire d'une porte de négation ou d'inversion NON 104. En l'absence de mise hors service dans un canal par exemple dans le canal CII, il y a un état 0 sur sa borne 103 et un état 1 sur l'entrée de sa porte ET 101. S'il y a également une coupure partielle dans ce canal CII, il y a un état 1 à la sortie de la porte ET 101, à la sortie de la porte OU 105 et à la sortie de la porte OU 106; un signal d'autorisation de coupure est fourni au canal CI. Une mise hors service dans l'un quelconque des canaux CII-CIV se traduit par un état 0 à l'entrée de la porte ET correspondante. La transmission de l'information d'une cou- pure partielle est arrêtée. Les bornes 103 sont reliées aux entrées de la porte 107 de vote 2/3. Une mise hors service dans au moins deux des canaux CI-CIII donne un état 1 à la sortie de la porte 107, un état 1 à l'entrée de la porte OU 106 et un signal d'autorisation de coupure au canal CI. Un signal d'essai 1 peut également être appliqué à la porte OU 106 pour simuler un signal d'autorisation de coupure d'essai. La figure 5 représente le circuit logique donnant une coupure globale. Ce schéma comporte en plus des portes ET 101, des bornes d'entrée 102 et 103 pour la coupure partielle et la mise hors service et des portes d'inversion ou de négation NON 104 pour les canaux CII-CIV ainsi qu'une porte 107 de vote 2/3 et une borne de mise hors service 108 pour le canal CI. En l'absence d'états 1 pour les mises hors service sur la borne 103, un état 1 sur l'une des bornes 102 signalant une coupure partielle, se traduit par un état 1 à la sortie de la porte ET 101 correspondante et à l'entrée correspondante ainsi qu'à la sortie de la porte OU 109. Il y a un état 1 à l'entrée 110 de la porte ET 111. Les bornes de mise hors service 103 des canaux CII-CIV et la borne de mise hors service 108 du canal CI sont reliées comme entrées à la porte 112 de vote 2/4 et à la potte 113 de vote 3/4. Les mises hors service de deux des canaux CI-CIV donnent un état 1 à la sortie de la porte 112 et un état 1 à l'entrée 114 de la porte ET 111 Une alarme 115 est égale- ment autorisée. Lorsqu'un état 1 est appliqué aux entrées 110 et 114, il y a un état 1 à la sortie de la porte ET 111 et à l'entrée 116 de la porte OU 117. Il y a un état 1 à l'entrée 118 de la porte OU 119 et le circuit signale une coupure glo- bale. Lorsqu'il y a des mises hors service dans trois des quatre canaux CI-CIV, il y a des signaux d'état logique 1 sur trois des entrées de la porte 113, un état 1 à sa sortie et à l'entrée 120 de la porte OU 117 ainsi qu'à l'entrée 118 de la porte OU 119 et le circuit signale une coupure globale. La figure 6 représente un module logique 86R (figure 3) dans lequel les composantes de commande sont des relais. Chaque canal CI-CIV se compose de plusieurs modules analogues, dont le nombre est égal à celui des paramètres con- trôlés. On suppose que le module 86R est le module du canal CI. Chaque module 86R comprend un relais Kl mis en oeuvre par une coupure partielle générée dans le module de coupure 79R corres- pondant. Il y a également un relais K2 qui reçoit le signal d'autorisation de coupure et un relais K3 qui reçoit un signal de coupure globale. Chacun des relais Kl, K2, K3 a un contact normalement fermé 1Kl, 1K2, lK3 respectif. Le relais Kl est commandé à partir du module de coupure 79R par le transistor Q5. Le transistor QS est conducteur en l'absence de coupure par- tielle. Le relais Kl est alimenté et le contact 1Kl est fermé. Le fait que le relais 11 de capteur non normal, est signalé par la diode LED13 au photo- transistor Q8. La diode LED13 et le phototransistor Q8 font partie de l'entrée numérique QDI1. L'information relative à l'état du capteur relié au module de coupure 79R est introduite dans la mémoire QME1. Les relais K2, K3 sont alimentés en courant par les transistors Q6, Q7 de la sortie numérique QDO1 (figure 3). La sortie numérique QDO1 reçoit son information des autres canaux CII-CIV par le microprocesseur 91 comprenant le multi- plexeur QMDl-QMD2, la mémoire QMEl, l'ordinateur QMCl et le bus entrée/sortie universel 122. La sortie numérique QDO1 comprend un transistor Q6 qui commande le courant d'alimentation du relais K2 et le transistor Q7 du courant d'alimentation du relais K3. Les transistors Q6, Q7 sont conducteurs en l'absence d'autorisation de coupure ou de coupure globale. Les relais K2, K3 sont alimentés et les contacts lK2, 1K3 sont fermés. Les transistors Q6 et Q7 sont commandés en fonction des capteurs dans les canaux CII-CIV qui détectent les mêmes paramètres que ceux détectés par le module de coupure 79R. Les contacts lKl, 1K2, 1K3 étant fermés, un signal logique 1 est appliqué à l'entrée 124 de la porte NON-ET 1F (par convention une telle porte NONET sera appelée ci-après "porte NAND"). En l'absence d'une mise hors service multiple, il y a un état 1 à l'entrée de coupure à mise hors service mul- tiple 126. Les impulsions de test sont appliquées à l'entrée 128. Les impulsions apparaissent â la sortie de la porte NAND 1F (comparée avec la porte MAND F, figure 9) indiquant l'absence de coupure soit à cause de la détection faite par un capteur ou plus que le paramètre concerne se trouve en situation non nor- male ou encore à cause d'une mise hors service multiple. Si le capteur local constate que le paramètre est en situation non normale, le transistor Q5 se bloque coupant le relais K1 et ouvrant le contact 1K1. Cela constitue une coupure partielle. Celle-ci n'a pas d'influence sur la porte NAND 1F puisque les contacts 1K2 et 1K3 restent fermés. Toutefois la diode LED13 est coupée par le transistor Q7, l'information de la coupure partielle est introduite dans la mémoire QME1 pour les traite- ments ultérieurs. On suppose maintenant que le capteur qui détecte le même paramètre est un capteur appartenant a l'un des canaux CII-CIV et qu'il détecte également une situation non normale. Dans ces conditions, le système d'ordinateur 91 transmet un signal d'autorisation de coupure à QDO1 qui débloque le tran- sistor Q6. Le relais K2 est coupé de l'alimentation et ouvre le contact 12. L'entrée 124 de la porte NAND IF est alors coupée de la borne de tension ±5 volts et un signal d'état O est appli- qué à cette borne par la résistance 88. Le flux des impulsions par 'entrée 128 est arr9té et un signal d'état 1 apparaît a la sortie de la porte NAND iF. Une coupure est signalée par "ETAT DE COUPURE", et les contacteurs 66 sont ouverts. Pour une coupure globale dans les canaux CII-CIV, le transducteur Q7 est bloqué, le relais K3 coupé de l'alimen- tation, le contact lK.3 ouvert et un signal d'état O introduit par l'entrée 124 de 7a Dorte N.AND IF avec les conséquences décrites cidessus, Dans le cas iune mise hors service manuelle, le contact Q17,R est fern., reeais K2 est maintenu conducteur par la diode 2D1 et le relais SWBR indépendamment de l'état du transistor Q7 interdisant la coupure du canal CI. Le courant passe alors du p8le de potentiel + 24V par la diode LED12, le commutateur SWBR jusqu'à la masse indiquant une mise hors ser- vice locale. La diode LED14 est également alimentée par le com- mutateur SWBR introduisant l'information relative à la mise hors service locale par l'intermédiaire du phototransistor Q9 dans l'ordinateur. Il est prévu un bus de test 130. Ce bus est com- mun à tous les modules logiques 86R. Normalement, il y a un contact lK ouvert pour la mise à la masse du bus de test 130. Lorsque le bus de test est mis à la masse, le relais K2 est maintenu alimenté indépendamment du transistor Q6 par l'inter- médiaire des diodes 2D1, 2D2, du bus 130 et du contact 1K, reliés à la masse. Le bus de test effectue ainsi la mise hors service de tous les modules logiques. Cela permet à l'ordina- teur QMC1 de vérifier qu'il lit toutes les entrées d'état de mise hors service. La diode 2D2 isole le bus de test 130 par rapport au commutateur de mise hors service SWBR. La figure 7 montre un appareil en technique état solide pour réaliser la même fonction que celle de l'appareil à relais de la figure 6. On suppose que cet appareil fait partie du canal CI. L'appareil en technique état solide est réalisé en logique transistor-transistor. La figure 7 concerne le fonc- tionnement d'un module de coupure 79S coopérant avec le capteur d'un paramètre et le module logique 86S correspondant. Le module de coupure peut être le même que le module 79R. Les com- posants extérieurs au module 86S sont les mêmes que ceux de l'appareil à relais (figure 6) et fonctionnent de la même manière. Lorsque le transistor Q6 est conducteur, un signal d'état O est appliqué à l'entrée 132 de la porte NAND lA; lorsque le transistor Q6 est conducteur, un niveau O est appli- qué à l'entrée 134 de la porte LA. Dans l'un ou l'autre cas, un signal de niveau 1 est appliqué au bus de coupure 82 et à l'en- trée 124 de la porte NAND 1F. Le fonctionnement de l'unité de coupure 89 est normal. Si les deux transistors Q5, Q6 sont blo- qués, il y a des états 1 sur les entrées 132, 134 de la porte NAND lA et un signal de niveau O à la sortie sur le bus de coupure et à l'entrée 124 de la porte NAND 1F. Le disjoncteur est alors déclenché. Le transistor Q7 est bloqué en l'absence de cou- pure globale. Il y a un signal d'état 1 sur le bus de coupure 82 et à l'entrée 124 de la porte NAND 1F. Si le transistor Q7 devient conducteur, il y a un état 0 sur le bus de coupure 82. Il y a un état 0 sur l'entrée 124 de la porte NAND 1F et un état 1 à sa sortie; le disjoncteur correspondant est déclenché. Lorsque le transistor Q5 est conducteur, il y a un état 0 sur les entrées de la porte NAND lE dont la sortie est à l'état 1; cet état se retrouve sur la base du transistor d'entraînement Q10. Un courant traverse alors la diode LED13 et le transistor Q10. Le signal émis par la diode LED13 tombe sur le phototransistor Q8 indiquant que le capteur 79S, branché, n'a pas détecté de paramètre non normal. Le transistor d'en- traînement Q10 est destiné à isoler le module logique 86S par rapport à des niveaux de tension plus élevés de l'entrée numé- rique QDI1. Lorsque le transistor Q5 se bloque, un état 1 est appliqué aux entrées de lE et un état 0 à sa sortie. Le tran- sistor Q10 se bloque lorsque la diode LED13 est coupée de l'ali- mentation; les autres canaux CII-CIV sont alors informés que le capteur du module de coupure 79R a détecté un paramètre non normal. Lorsque le commutateur de mise hors service ma- nuelle SWBS est ouvert, un état logique 1 est appliqué aux entrées de la porte NAND 1C dont la sortie est au niveau logi- que 0; un état 1 est appliqué à la sortie de la porte MAND 1B. Toutefois l'entrée 134 de la porte NAND lA reste à l'état 0 aussilongtemps que le transistor Q6 est conducteur. Il y a également un état logique 1 aux entrées de la porte NAND 1G dont la sortie est à l'état 0 et sur le transistor d'entratne- ment Qll. La diode LED14 est bloquée et QDI1 transmet par le transistor Q9 l'information selon laquelle il n'y a pas de mise hors service manuelle dans le circuit 86S. Le transistor Qll assure la même fonction d'isolation que le transistor Q1O. Lorsque le commutateur SWBS est fermé, il y a un état 0 sur les entrées de la porte NAND 1e dont la sortie est à l'état 1 et un état O à la sortie de la porte NAND lB. Le tran- sistor Q6 est mis hors service. Il y a également un état 0 appliqué aux entrées de la porte NAND 1G dont la sortie est à l'état 1. Le transistor Qîl est conducteur et la diode LED14 signale cette mise hors service par l'intermédiaire du photo- transistor Q9. De même, la diode LED15 est alimentée donnant une indication locale de la mise hors service. Le bus de test 136 est isolé du commutateur SWBS par la porte NAND 10. Normalement le bus de test 136 est mis à la masse par le contact 1L. Un état logique 0 est appliqué aux entrées de la porte NAND 1D qui fournit un état 1 à sa sortie et à l'entrée de la porte NAND lG. La sortie de la porte NAND 1G fournit un état logique 0 et le transistor Qll ainsi que la diode LED14 ne sont pas conducteurs. Lorsqu'un test est demandé, on ouvre le contact iL. Un état logique 1 est appliqué aux entrées de la porte NAND 1D; sa sortie fournit un état logique 0. Les entrées de la porte 1G reçoivent un état 0 et la sortie de cette porte donne un état logique 1. Le transistor Qîl et la diode LED14 deviennent conducteurs et indiquent qu'un test est en cours. L'état logique 0 à la sortie de la porte NAND 1D permet à la diode LED15 de conduite et donne une indi- cation locale du test. Etant donné que l'appareil logique de coupure est une partie de l'ensemble de l'installation, il faut pério- diquement l'essayer pour vérifier qu'il est opérationnel. En effectuant de façon cyclique les combinaisons des entrées de coupure partielle, d'autorisation de coupure et de coupure globale, on vérifie le fonctionnement correct en coupure. Les signaux d'entrée d'essai sont appliqués à chaque bus d'autori- sation de coupure et de coupure globale pour cette raison (voir les portes OU 106 et 119 des figures 4, 5). Les bus d'essai 130 (figure 6) et 136 (figure 7) sont reliés à tous les modules logiques 86R et 86S respectifs. La commande de ces bus permet de vérifier les possibilités du système d'ordinateur logique de coupure 91 pour lire les états de mise hors service. Les possibilités de lire les coupures partielles peuvent se vérifier au cours du test de fonctionnement des modules de coupure pour lesquels les sorties de coupure partielle changent d'état. La logique interne du système d'ordinateur logique de coupure est testée en substituant des entrées simu- lées de boucles de données à l'ordinateur et en parcourant par cycle toutes les combinaisons logiques réalisables. Tous les essais décrits ci-dessus sont de carac- tère périodique et se font à l'aide d'un système de test auto- matique. En plus de ces tests, on a un certain test continu de l'installation logique de coupure pour détecter les incidents de fonctionnement dès que ceux-ci se produisent, afin de mettre en oeuvre une alarme. Cela permet un entretien rapide de l'ins- tallation garantissant sa fiabilité. Ces tests consistent à faire des contr8les habituels de parité, des contrôles de somme etc, et qui se font normalement dans les boucles de données et dans le traitement numérique mais également on effectue cer- taines caractéristiques de test de circuit. La figure 8 montre un circuit de test qui vérifie en permanence l'aptitude au fonctionnement de l'ordinateur logique de coupure. L'horloge 138 qui est essentiellement constituée par un générateur d'impulsions introduit en alternance les signaux 1 et o par ientree numérique QDI1 du système d'ordina- teur logique de coupure 91. Le système d'ordinateur 91 doit lire ces signaux et fournir un signal identique à sa sortie. On suppose qu'un état O a d'abord été transmis par l'horloge 138 et qu'il y a un état O sur le bus de sortie 140. Lorsqu'un état 1 est d'abord transmis, il y a un état 1 sur l'entrée 142 de la porte ET 144. La porte de négation NON 146 applique égale- ment un état I à l'entrée 148. La porte ET 148 donne un état 1 a sa sortie pour démarrer l'horloge 150 par la porte OU 152. I1 y a également un état O à l'entrée 156 de la porte ET 158 appliqué par la porte d:'inversion NON 160. La porte ET 158 donne un état O en sortie. Il n'y a pas d'état i sur le bus 140 dans une période de 20 millisecondes qui correspond de façon caractéristique à la durée pendant laquelle l'horloge 150 émet une alarme sonore 154. S'il y a un état logique 1 en sortie sur le bus 140 avant le décomptage par l'horloge 150, il y a un état logique 1 à l'entrée 162 de la porte E? 158 mais conei i1 y a un état logique O à l'entrée 156, il. /a vu état O à la sortie de la porte ET 2158. Pour un btat logique 1 sur le bus 140, il y a un état logique O à l'entrae 148 de la porte ET 144 appliqué par la porte de négation(ou inverseur) NON 146 et un état O à la sortie de la porte ET 144 un état O est appliqué à l'horloge par la Dorte OU 152 c hr!og 150 arrête alors le comptage du temps et se remet, 1e' itniial. Lorsque l'horloge 138 transmet d'abord 5:i état il y' a un etat 1 sur le bus 140 et -ôa nre12' t'entrée 62 y- a eaes un ta I entre 56 par l'intermédiaire de l'inversion NON 160. Il y a également un état 1 à la sortie de la porte ET 158 et par la porte OU 152, l'horloge 150 commence de nouveau à décompter. L'introduction d'un état O par le bus 140 dans un délai de 20 ms donne un état O à la sortie de la porte ET 158 et arrête, puis remet à l'état initial l'horloge 150. S'il n'y a pas d'état logique O introduit, l'alarme 154 est mise en oeuvre. Les impulsions 1 et O fournies par l'horloge 138 doivent être au moins aussi longues que l'intervalle de temps de l'horloge 150, ce qui correspond de façon caractéristique à 20 ms. En plus de pouvoir effectuer une fonction logique de vote 2/4 au niveau de la fonction de coupure, l'installation logique de coupure décrite, peut, en variante, effectuer la logique d'un système de protection générale avec des mises hors service de niveau de fonction. Dans un système de protec- tion. générale, toute coupure partielle unique dans un canal ouvre les disjoncteurs de coupure de ce canal sans nécessiter de confirmation provenant d'un autre canal. Si pour une raison quelconque deux canaux se coupent, cela entratne la coupure du réacteur. L'inconvénient principal de ce type de système de protection est qu'il tend à diminuer la disponibilité de l'ins- tallation par suite de coupures aléatoires. L'installation logi- que de coupure selon l'invention effectue ce type de fonction logique si le programme de l'ordinateur logique de coupure est modifié pour que les sorties d'autorisation de coupure soient normalement à l'état "d'autorisation" (transistor de sortie Q6 bloqué); par exemple cela se produit pour la détection d'une défaillance. L'entrée de coupure partielle peut directement ouvrir les disjoncteurs. La logique de coupure globale reste la même que celle décrite ci-dessus, les signaux d'état de mise hors service individuelle étant la somme logique (OU) de l'état de mise hors service, de la fonction de coupure et l'état de mise hors service du disjoncteur de coupure pour chaque ensemble correspondant à un canal. La figure 9 montre un circuit logique 89L en technique état solide réalisant l'unité de mise hors service 89 de la figure 3 (voir également les figures 6 et 7). Il s'agit de la logique correspondant à un canal par exemple le canal CI. Dans ces conditions, seuls les signaux de mise hors service sont représentés pour être imbriqués. Les signaux de coupure sont fournis séparément par le bus de coupure décrit ci-dessus. Les expressions BYIN II, BYIN III et BYIN IV sont des signaux mnémoniques d'identification des fibres optiques transmettant les informations vers le canal CI ou en provenance des trois autres canaux CII, CIII, CIV. Le signal LOCBYP iden- tifie un signal de logique câblé, qui transmet l'information de mise hors service locale, automatique du canal CI. Un trait qui surligne une expression mnémonique signifie qu'il s'agit de l'état bas (état logique O) correspon- dant à un état logique vrai; cela signifie qu'un état O est appliqué au conducteur lorsque le signal identifié par l'ex- pression mnémonique est présent. L'absence de trait ou de ligne au-dessus de l'expression correspond à un niveau logique haut, vrai (1); cela signifie qu'un état logique 1 est appliqué au conducteur lorsque le signal identifié est présent. Les états 1 et O peuvent Atre des impulsions ou des niveaux. Par exemple lorsqu'un capteur du canal CII est mis hors service, un niveau d'état O est appliqué par BYIN II; lorsqu'un test est effectué, on applique-un niveau 1 sur TEST. L'expression mnémonique MULTBYP (mise hors service multiple) identifie l'état de l'in- formation de mise hors service multiple dans le canal CI. Lors- qu'un état O est appliqué à MULTBYP, le canal CI a reçu l'in- formation correspondant à une mise hors service locale et à une mise hors service à distance; cela signifie qu'il y a un état O pour LOCBYP I et pour au moins l'un des BYIN II, III ou IV. L'expression mnémonique BYSTAT (état de mise hors service) identifie l'état de l'information de mise hors service locale pour le canal. Un état O pour BYSTAT signifie qu'il y a seule- ment une mise hors service locale dans le canal CI. La borne BYIN I dans les canaux CII, CIII ou CIV qui reçoit le signal LOCBYP I du canal CI comme signal à distance, reçoit le meme signal que celui appliqué par BYSTAT. Les signaux BYIN II, III, IV sont dérivés des canaux à distance CII, CIII, CIV respectifs par l'ordinateur. Les informations LOCBYP I ainsi que LOCBYP II, III, IV sont dérivées de leurs canaux respectifs. L'information MULTBYP est appliquée à l'ordinateur de l'installation. Le signal BYSTAT est également appliqué à l'ordinateur; l'ordinateur applique ce signal aux entrées BYIN éloignées, correspondantes. Le signal BYPACK (accusé de réception de mise hors service) est introduit dans l'ordinateur et le signal TEST est fourni par l'ordinateur. Le signal TRIP est appliqué au canal. Le signal MANTRP est introduit par l'opérateur utilisant la console (non représentée) de l'installation. Le signal MANTRP déclenche le disjoncteur commandé par le canal m9me s'il y a une mise hors service locale 0 dans LOCBYP. Une mise hors service locale peut s'introduire manuellement par la fermeture du commutateur SW1. En l'absence de toute mise hors service ou de test, il y a des états 1 sur BYIN II, III, IV et aux entrées corres- pondantes 121, 123, 125 de la porte NAND A. Il y a un état 0 à l'entrée 27 de la porte NAND B et un état 1 à sa sortie ainsi qu'à l'entrée 129 de la porte NAND A. Il y a un état 0 à la sortie de la porte NAND A. L'information BYPACK est à l'état 0. Le système d'ordinateur 95 (figure 3) qui coopère avec l'installa- * tion, est informé que le canal CI n'a pas d'information de mise hors service partielle dans les canaux CII, CIII ou CIV. Il y a également un état 0 à l'entrée 131 de la porte NAND D et un état 1 à sa sottie et à l'entrée 133 de la porte NAND H. Il y a également des états 1 sur les entrées 153, 163, 164 de la porte NAND C et des états 0 sur les entrées 135 de la porte NAND E. Il y a un état 1 à la sortie de la porte NAND E et à l'entrée 137 de la porte NAND G. En l'absence de signal TRIP, il y a un état 1 à l'entrée 139 de la porte NAND E (figures 6, 7). L'horloge Tl fournit de façon caractéristique un niveau de base d'état 1 interrompu en permanence par dix impulsions de millisecondes et d'état 0 par durée de une seconde. L'horloge Tl est essentiellement un générateur d'impulsions. Entre les impulsions de niveau 0 générées par l'horloge Tl, il y a un état 1 appliqué à l'entrée 111 de la porte NAND F et un état 0 à sa sortie. Il y a un état 0 à l'entrée 143 de la porte NAND G et un état 1 à sa sortie ainsi qu'à l'entrée 145 de la porte NAND H. En l'absence de signal MAN TRP (coupure manuelle) un état logique 1 est appliqué à l'entrée 47 de la porte NAND H et un état 0 apparait à sa sortie. Il y a un état 0 à l'entrée de l'amplificateur Ai et un état 1 à sa sortie. Le transistor Q1 est conducteur et alimente les enroulements de sous-tension 149. Cela évite la coupure du disjoncteur dont les enroulements 149 ont des contacteurs 66 (figure 1). Chaque impulsion de 5 ms de l'horloge Tl applique un état logique 0 à l'entrée 41 de la porte NAND F. Une impul- sion de niveau 1 apparait à la sortie de la porte NAND F et une impulsion O apparait à l'entrée 145 de la porte NAND H qui donne en sortie un signal de niveau l1 La sortie de l'amplifi- cateur Al passe à l'état O pendant l'intervalle de 5 ms; au cours de cet intervalle, le transistor Q1 est bloqué. Cet inter- valle de blocage est trop court pour couper l'alimentation des enroulements 149, ce qui évite ila coupure du disjoncteur. Les impulsions sont transmises par le transformateur d'impulsions TR1 et par le déclencheur de Schmitt ST autorisant le multivi- brateur à un branchement EV redéclenchable. La sortie du multi- vibrateur MV passe à l'état O. De façon caractéristique, la période de MV correspond a environ 110 mis Le fonctionnement du multivibrateur MV eut tel que sa sortie O sur Q chevauche les intervalles entre les impulsions de 5 ms, si bien que la sortie Q reste au niveau O si et aussi. longtemps que des impulsions de 5 ms sont appliquées. Un niveau O est appliqué à l'entrée 151 de la porte NAND K qui fournit en sortie un signal de niveau 1. Le signal BYSTAT, indique pour l'état logique 1 qu'il n'y a pas de mise hors service locale dans le canal CI. Un niveau 1 est appliqué sur BYIN ú dans les autres canaux CII, CIII, CIV. En cas de mise hors service locale, il y a pour L.,CBYP un niveau C; 1l en est de meme à l'entrée 153 de la porte NAND C qui fourr:t en sortie un signal d'état i; il y a également un signal d'état i le trée 155 de la porte NAND D et aux entrées 135 de la porte LND E. La porte kENID D n'est pas influencée mais la sortie de la porte NAND E est au niveau 0; il y a également un naheau O à -entrée 137 de la porte -,ND G dont la sortie est au niveau i; lentrrée 145 de la porte NAND H est également au niveau 1 et sa sortie est au niveau O; l'entrée de l'amplificateur Ai 'st au niveau O et sa sortie au niveau 1. Le transiss-cr I est conducteur et!e disjroncteur ne peut se couper comme cela devrat se produire pour une naise hcrs service parti-!is- La partei 1ApND G fonctionne cormme une porte. Lis signaux TRIP itr ar nre 139 de la porte NA'ND F Ci{nnent ur, état:ri e r ientrée 143 de la porte G. :,.Lat O.'i ri-trA i37 &-,-- qe col.se signaux TRiP ne traversent i_ porte et znrar;ent unî c:re. porte. Il n'y a pas d'impulsions à l'entrée 157 du multivibra- teur MV et un niveau 1 apparaît à sa sortie Q ainsi qu'à l'en- trée 151 de la porte NAND K. En l'absence d'impulsions de 5 ms, il y a un état O à l'entrée de l'inverseur A3 et un état 1 à sa sortie ainsi qu'à l'entrée 152 de la porte NAND K. Il y a un niveau O à la sortie de la porte NAND K et sur BYSTAT signalant une mise hors service locale. L'état O est introduit par les conducteurs BYIN I dans les canaux CII, CIII, CIV. Un état 1 est appliqué à la sortie de la porte NAND A et à la borne de sortie BYPACK. L'introduction de l'information de mise hors service dans BYIN I dans les canaux CII-CIV est confirmée. On suppose maintenant qu'il n'y a pas de mise hors service locale mais une mise hors service à distance dans l'un des autres canaux CII, CIII ou CIV. Il y a un état O sur BYIN II, III ou IV et à l'une des entrées 121, 123 ou 125 de la porte NAND A. Il y a un état 1 à la sortie de cette porte et sur BYPACK, pour accuser réception de la mise hors service dans l'ordinateur 95. Il y a un état 1 à l'entrée 131 de la porte NAND D mais cela n'a pas d'influence puisqu'il y a un état O à son entrée 135. Le fonctionnement du canal CI décrit ci-dessus n'est pas influencé par la mise hors service locale dans l'autre canal en l'absence de mise hors service locale dans le canal CI. On suppose qu'en plus de la mise hors service locale dans l'un des canaux CII, CIII ou CIV, il y a une mise hors service locale dans le canal CI. Un signal de niveau 1 est alors appliqué aux entrées 131 et 155 de la porte NAND D et un niveau O apparait à sa sortie. Il y a un niveau O sur MULTBY et l'ordinateur 95 est informé de la mise hors service multiple pour autoriser une alarme. Il y a un niveau O à l'entrée 133 de la porte NAND H et un état 1 à sa sortie ainsi qu'à l'entrée de l'amplificateur Ai. A la sortie de l'amplificateur Al apparait un signal de niveau O ainsi que sur la base du transistors Q1. Le transistor Ql se bloque et les contacteurs 66 (figure 1) s'ouvrent. Les impulsions de l'horloge TI sont blo- quées et un signal de niveau 1 apparaît à la sortie Q du multi- vibrateur MV. Toutefois comme il y a un état 1 à la sortie de la porte NAND H, un signal d'état 1 apparaît sur 1' inverseur A3 et un signal d'état O sur sa sortie ainsi que sur l'entrée 152 de la porte NAND K. Un état 1 apparaît sur BYSTAT et sur BYIN I des canaux CII, CIII, CIV. Il est à remarquer que pour une mise hors service locale et une mise hors service à distance introduites dans le canal CI, les états O pour les mises hors service et à distance seraient introduits dans BYIN I des autres canaux CII, CIII, CIV s'il n'y avait d'état 1 pour BYSTAT dans le canal CI. De plus, l'un des autres canaux par exemple le canal CII introduirait également un état O pour une mise hors service locale correspondant à la mise hors service à distance dans le canal CI. Il en résulterait le déclenchement du disjonc- teur dans cet autre canal CII et la coupure du réacteur. L'in- troduction d'un état 1 par BYSTAT sur le canal CI pour BYIN I du canal CII évite cette coupure. En l'absence de mise hors service, l'installation est en mode de coupure 2/4. On suppose maintenant qu'un signal d'état O est introduit sur LOCBYP de CI et qu'il n'y a pas d'autres mises hors service. Dans ces conditions, l'entrée de TRIP pour CI est bloquée alors qu'elle ne l'est pas pour CII, CIII ou CIV. Les coupures introduites dans deux des trois autres canaux provoquent la coupure du réacteur. En d'autres termes, l'installation est en mode de coupure 2/3. L'état de la logique est un état O sur LDCBYP de CI et des états O sur BYIN I de CII, CIII et CIV. On suppose maintenant qu'un signal d'état O est appliqué sur LDCBYP du canal CII. Dans le canal CII, on a main- tenant des états O sur BYIN I et sur LOCBYP; il y a une coupure du disjoncteur du canal CII et une coupure partielle du réacteur. L'état BYSTAT sur CII introduit un état 1 sur BYIN Il de CI. Il n'y a pas de coupure du disjoncteur du canal CI. L'introduc- tion d'état O sur LOCBYP du canal CI continue à bloquer TRIP dans le canal CI. Il reste deux canaux à savoir CIII et CIV et dans l'un ou l'autre de ceux-ci on peut introduire TRIP pour couper le réacteur. L'appareil est alors en mode 1/2. L'état de la logique est alors: un état O sur LOCBYP et un état 1 sur BYIN II de CI; des états O sur LOCBYP et BYIN I du canal CII: des états 1 sur BYI1 II des canaux CIII et CIV et des états O sur BYIN I des canaux CIII et CIV. Enfin, on suppose qu'un état O est introduit sur LOCBYP de CIII. Des états G étant sur BYIN I et sur LOCBYP du canal CIIIt le disjoncteur de CIII se coupe. Les disjoncteurs des canaux CII, et CIII étant coupés, cela entraîne la coupure du réacteur, Seul le canal CIV qui permet d'introduire un signal TRIP subsiste. Cela correspond à la situation 0/1. Il est intéressant de distinguer entre une cou- pure partielle du réacteur ll(figure 1) à cause d'une mise hors service locale et d'une mise hors service à distance dans un canal et une coupure résultant de deux capteurs non mis hors service mais qui sont dans un état non normal. Deux coupures partielles provenant d'un ensemble de mises hors service des mêmes capteurs sont nécessaires pour couper le réacteur 11. Une seule coupure par suite de la détection d'un état non normal par deux capteurs non mis hors service est nécessaire pour couper le réacteur (figure 2). La borne d'entrée TEST effectue un test d'intégrité des portes NAND C, D, H, K, de l'amplificateur-inverseur Al, du transistor Ql, du transformateur TRI, du déclencheur de Schmitt T et du multivibrateur MV. Le test se fait avec une mise hors service simulée de niveau 0 sur LOCBYP et de niveau 1 sur TEST. Il y a un état 1 à l'entrée 153 de la porte NAND C. On suppose qu'il n'y a pas de mise hors service à distance, si bien que l'on a des états 1 sur BYIN I, II, III et sur les entrées 121, 123, 125. L'état 1 sur TEST permet à des impulsions de 5 ms de traverser la porte NAND B; toutefois comme un état O est appli- qué à l'entrée 153, les impulsions ne peuvent traverser la porte NAND C. Les impulsions sont appliquées à l'entrée 129 de la porte NAND A et des signaux d'état 1 aux entrées 121, 123, 125 de cette porte NAND; les impulsions sont appliquées à l'entrée 131 de la porte NAND D. Il y a un état 1 à la sortie de la porte NAND C et à l'entrée 155 de la porte NAND D. Les impul- sions traversent la porte NAND D, la porte NAND H, le transistor Qi, le transformateur TRI, si bien que le multivibrateur MV donne un état 1 à la sortie de la porte NAND K et sur BYSTAT indiquant qu'il n'y a pas de mise hors service réelle malgré le test simulé de niveau O sur LOCBYP. Il n'y a pas d'état O simulé sur LOCBYP mais un O artificiel sur un ou plusieurs BYIN I, Il ou III, les impulsions passent par l'entrée 163 de la porte NAND C et indiquent de nouveau aucune mise hors service locale. Pour une mise hors service locale, manuelle, on met le commutateur SW1 à la masse en appliquant un niveau O à l'entrée 165 de la porte NAND C qui donne en sortie un signal de niveau 1. Le transistor QI reste conducteur de la même manière que pour l'état O sur LOCBYP. De même, le transmission de TRIP est évitée comme pour une mise hors service locale par l'état O appliqué à l'entrée 137 de la porte NAND Go De même, il y a un état O sur BYSTAT indiquant qu'il y a une mise hors service. Lorsque deux capteurs détectent un fonctionnement non normal, un signal logique d'état O est entré sur TRIP. Il y a un état O à l'entrée 139 de la porte NAND F et le passage des impulsions en provenance de l'horloge T1 est arrêté. On a un état logique 1 à la sortie de la porte NAND F et à l'entrée 143 de la porte NAND Go Si à ce moment, il n'y a pas de mise hors service, locale, l'entrée 137 de la porte NAND G est égale- ment à l'état 1 et sa sortie à l'état O. Il y a un état O à l'entrée 145 de la porte NND H et un état 1 à sa sortie ainsi qu'à l'entrée de l'inverseur Al. I1 y a un état O à sa sortie et le transistor Q1 est bloqué, ce qui provoque le déclenche- ment du disjoncteur. Un état logique O est appliqué par l'inverseur A3 à l'entrée 65 de la porte NAND K et un état 1 à sa sortie. Un signal de BYSTAT de mise hors service locale est interdit. Dans le cas d'une mise hors service locale, il y a un état O à l'entrée 137. Le passage du signal TRIP est inter- dit. Cette caractéristique est nécessaire pour éviter une cou- pure si le capteur local est mis hors service pour l'entretien ou pour un essai ou s'il est défectueux. On peut appliquer un signal d'essai de mise hors service sur LOCBY pour vérifier que le système fonctionne correctement. La figure O10 montre une installation à relais pour effectuer les mêmes opérations que celles effectuées par l'ins- tallation en technique état solide de la figure 9. Le fonction- nement est assure par des relais 1R-5R dont les enroulements sont branches entre une borne fournissant une tension de +25 V d'alimentation et les bornes 214, 219, 228, 233, 237 respectives. Pour alimenter l'un des relais, on met la borne correspondante à la masse. Les fonctions des relais 1R-SR sont indiquées à la figure 10. Les diodes ID9-D13] entre les bornes des enroulements permettent de supprimer!es p:ssees transitoires de tension aux bornes des nroueme;% e- es oscillations à travers ces enrouieients lors du a e du courant ou de la coupure. On éite ainsi d'endoirmager.ie-r=Ansistors de commande et d'avoir 4'3 des rebondissenments Les -. R et 4R don-t les enroulements 34 2503922 sont marqués de hachures, sont alimentés pendant le fonctionne- ment normal de l'installation. Les contacts 2R1, 4R1 sont ouverts. Le branchement à la masse par l'intermédiaire du relais 2R1 du bus de coupure 271 est ouvert. Le branchement à la masse pour le bus d'accusé de réception de mise hors service à distance 273 est également ouvert. Les bornes 236 et 220 sont branchées de façon que le collecteur du transistor Q3 soit normalement relié au bus de coupure 271. Le bus de coupure 271 peut également être mis à la masse par le branchement de sa borne 204 à la borne de masse 206 ou de sa borne 205 à la borne de masse 207. Ce double bran- chement est redondant pour assurer la fiabilité. Ce branchement est commandé par l'installation représentée à la figure 11. La figure 11 montre la commande d'un canal par exemple du canal CI par huit capteurs qui détectent huit para- mètres de procédé, différents. Ce montage constitue une variante de l'installation de la figure 6. De façon caractéristique, on détecte dix-huit paramètres de procédé et il y a dans ce canal autant de com- mandes supplémentaires pour les autres capteurs. Les relais 6R... 3R respectifs répondent chacun à un capteur différent. Les diodes D10... D17 aux bornes des relais permettent de supprimer les oscillations. Dans ces conditions normales, les relais 6R- 13R sont alimentés. Les circuits de ces relais étant analogues, il suffit d'examiner en détail le circuit du relais 6R. L'enrou- lement du relais 6R est alimenté par un circuit allant de la borne + 25 V de l'alimentation à travers l'enroulement jusqu'à la borne 209 qui est mise à la masse et par la diode Dl jusqu'à la borne 210 également mise à la masse. Comme tous les relais 6R... 13R sont alimentés, tous les contacts 6R1... 13R1 sont ouverts. Le bus 277 qui est relié aux bornes 206, 207 mises à la masse est coupé du bus 275 lui-même relié aux bornes 204 et 205 et du bus de coupure 271. Pendant le fonctionnement normal en l'absence de mise hors service ou de détection d'étatsnon normaux de capteurs, le bus de coupure 271 n'est pasmis à la masse. La base et l'émetteur du transistor Q2 sont branchés dans le circuit allant de la borne de tension + 25 V de l'alimentation à travers la résistance R68-3, les diodes lD8, 1D7, lD6, les bases et l'émet- teur du transistor Q2 jusqu'à la masse. Il y a également un circuit reliant la masse à travers la diode 1D5, la résistance R24 et la borne 12 V de l'alimentation. Les tensions de ces circuits sont liées de façon qu'une tension de + 0,7 V soit appliquée à la base du transistor Q2 qui est conducteur dans un circuit allant de la borne + 25 V, passant par les commuta- teurs de coupure à distance 14R1, 14R2 du disjoncteur, la bobine d'arrêt Ml, les résistances RO, les enroulements de coupure UV du disjoncteur, la bobine d'arrêt M2, le collecteur et l'émetteur du transistor Q2 pour arriver à la masse. Les enroulements de coupure UV sont alimentés et le disjoncteur est fermé. Les thyristors MAl et MA2 sont branchés entre les bobines d'arrêt Ml, M2 et la masse. Les bobines d'arrêt. et les thyristors suppriment les parasites de fréquence radio provenant par exem- ple de pointes de tension. L'essai de mise en série se fait en appliquant entre les bornes 238, 239 des trains successifs d'impulsions de façon caractéristique trois impulsions ayant chacun une durée de 0,6 ms. Les impulsions peuvent être appliquées de façon caractéristique trois fois par seconde. Les trains d'impulsions sont appliqués entre la base et l'émetteur du transistor Q3. Normalement ce transistor est maintenu à l'état bloqué par le courant venant de la masse et traversant la diode 1D14, la résistance R337-1 pour arriver à la borne de tension -12V de l'alimentation. Les trains d'impulsions sont appliqués entre la base et l'émetteur du transistor Q3 à travers la diode Zener Z31-1 qui s'ouvre lorsqu'elle reçoit les impulsions. Les impul- sions rendent le transistor Q3 conducteur. Lorsque le transistor Q3 est conducteur, les trains d'impulsions passent du p8le de tension +25V a travers la résistance R28-1 et le conducteur 271, la borne 220, la borne 336, le contact 5R2 normalement fermé du relais 5R, le collec- teur et l'émetteur du transistor Q3, la masse, la diode 1D5, la résistance R24 pour arriver à la borne de tension -12V de l'ali- mentation. Chaque impulsion du train d'impulsions débloque le transistor Q2 pendant un intervalle de temps court, de sorte que les relais de soustension UV restent alimentés. Les trains d'interruption se produisent dans un circuit allant de la borne +25V et en passant par le conducteur 279, les commutateurs de déclenchement à distance 14R1, 14R2, la bobine Ml, la résistance R68-1, le récepteur du train d'impulsions 281, la résistance 268-2, la bobine d'arrêt M2 et le collecteur et l'émetteur du transistor Q2 et la masse. Les trains d'impulsions ne sont pas influencés en pratique par les bobines d'arrêt Ml, M2 et les thyristors MAl, MA2. Le récepteur 281 comporte des diodes D100, D101 shuntées par la résistance Ri ainsi que par la diode LEDl1 pen- dant un test de série, la diode LEDl1 génère un train d'impul- sions lumineuses qui tombe sur un phototransistor Q4. Le photo- transistor Q4 transforme le train d'impulsions lumineuses en un train d'impulsions électriques transmises comme informations à l'ordinateur associé à ce canal. Pour une mise hors service locale, le relais 3R est alimenté. Le courant passe du pôle de tension +25V à tra- vers la diode LED10, la diode 1D2, la diode 1D18, la borne 228 et la masse. La diode LED10 est alimentée de façon à signaler la mise hors service locale. Le courant passe également à tra- vers la borne 227 informant le système d'ordinateur 95 de la mise hors service locale. Un fonctionnement analogue se produit pour une mise au repos manuelle par le commutateur SW2. Lorsque le relais 3R est alimenté, le contact 3R1 qui est normalement fermé s'ouvre et les contacts 3R2, 3R3 qui sont normalement ouverts, se ferment. La résistance R68-3 est coupée du bus de coupure 271 par le contact 3R1. Toutefois, le transistor Q2 reçoit le courant de commande du pôle +25V pour rester conducteur avant d'être court-circuité par le chemin conducteur allant du pôle fournissant une tension de +25V pas- sant par la résistance R68-3 et les diodes 1D6, 1D7, 1D8. S'il n'y a pas de mise hors service locale d'un capteur analogue d'un autre canal, il n'y a pas de mise hors service de canal à distance et le relais 4R reste alimenté; le contact 4R1 reste ouvert. Le transistor Q2 continue de conduire et les enroule- ments UV restent alimentés et évitent le déclenchement du dis- joncteur. Pour vérifier l'état de fonctionnement du relais 3R, on alimente le relais 5R qui ouvre le contact 5R2 et ferme le contact 5R1. L'ouverture du contact 5R2 coupe le transistor Q3 des bornes 236 et 220. Le contact 5R1 relie le transistor Q3 pour que celui-ci continue d'appliquer les trains d'impulsions au circuit de commande du transistor Q2. Si le récepteur 281 détecte les trains d'impulsions de test de série, cela confirme le bon état du relais 3R. A l'arrivée d'une information de mise hors service à distance, le relais 4R est coupé et le contact 4R1 se referme. La borne 31 est mise à la masse et le circuit accuse réception de l'information de mise hors service à distance. S'il y a à ce moment également une mise hors service locale, le relais 3R est alimenté mettant à ia masse le conducteur 283 et bloquant le transistor Q2, ce qui déclenche le disjoncteur. S'il y a une mise hors service locale dans un canal par exemple le canal CI, le relais de mise hors service à distance 4R de chacun des autres canaux CII-CIV est coupé de l'alimentation. S'il y a une mise hors service locale par exemple dans le canal CII, l'infor- mation de cette mise hors service locale est introduite dans la mémoire QME1 du système d'ordinateur et l'introduction de la mise hors service à distance indiquée dans le canal CI est blo- quée. Si le relais de coupure globale 2R n'est plus ali- menté, le contact 2R1 se referme et le conducteur 283 est mis à la masse. Le transistor Q2 se bloque. S'il se produit une mise hors service locale par exemple dans le canal CI avant une cou- pure globale dans un autre canal, ie relais 3R est mis en oeuvre et il ouvre le contact 3PR1 évitant que le transistor Q2 ne se blo- que c'est-à-dire évitant l'entrée du signal. Le bus d'essai 285 est autorisé par l'alimentation des relais 1R et 3R. Les contacts iRl et 3R3 sont fermés; ils mettent la borne 208 a la masse et appliquent des informations de mise hors service a distance aux autres canaux. Le fonctionnemenc du bus de coupure 271 est com- mandé par les relais 6R... 13R normalement alimentés (figure 11). I1 suffit d'examiner le fonctionnement du relais 6R. Les bornes 209, 210 sont à la rsuse. Lors d'une coupure partielle c'est-à-dire lorsqu'un capteur détecte un paramètre non normal, la borne 210 est coupée de la masse et l'ordinateur reçoit une information relative a la coupure partielle par la borne 211. Si la mémoire de l'ordinateur contient une information relative à une autre coupure partiele d'ua détecteur correspondant au même paramètre, 3isgnal Liauori-seion de coupure est appliqué *t la borne 20s est coiupee dce 15 masse - l'alimentation du relais 6R est coupee, si bien.e. le contact 6RI se ferme. Le crndIcteuz 277 est ru.s 5 la e par la iaison Avec le conduc- teur 275 et le conducteur de coupure 271 est mis à la masse, ce qui bloque le transistor Q2. Le disjoncteur est alors déclenché. Il est à remarquer que comme la résistance R68-3 est égale à 500 ohms alors que la résistance R28-1 est de l0K.CL", la diode 1D16 est conductrice. Les commutateurs SW3... SW10 peuvent dominer ce fonctionnement pour le capteur correspondant. Lorsque ces com- mutateurs sont fermés sur la masse, le relais correspondant 6R- 13R ouvre en permanence le contact correspondant. La fermeture de l'un des commutateurs SW3... SW10 est signalée par la diode correspondante LED2... LED9. De même dans le cas d'une mise hors service du capteur commandant le relais R6, la borne 212 est mise à la masse, ce qui domine la coupure par les bornes 209, 210. La figure 12 montre une installation dans laquelle deux systèmesd'ordinateur logiques de coupure 301, 303 à base de microprocesseurs sont interconnectés par des modules logiques 86 et par l'unité de mise hors service 89 de chaque canal. Le microprocesseur 301 comprend la boucle d'émet- teur-récepteur QMD3 et QMD4 assurant le multiplexage pour trans- mettre les données des canaux à distance CII, CIII, CIV en sup- posant que l'information soit reçue par le canal CI. Le micro- processeur 301 englobe également l'ordinateur QMC2 et sa mémoire QME2 ainsi que la sortie numérique QD02. L'ordinateur QMC2 est relié a la sortie QD02 par le bus entrée-sortie universel 305. La sortie numérique QD02 fournit des signaux d'état d'autorisa- tion de coupure par le bus 309 au module logique 86. Il fournit également des signaux de manoeuvre par le bus 311 si cela est nécessaire à l'unité de mise hors service 89. Le microprocesseur 303 se compose de l'entrée numé- rique QD13,de la sortie numérique QD03, de l'ordinateur QMC3 et de sa mémoire correspondante QME3 ainsi que des émetteurs-récep- teurs QXD5, QMD6 de la boucle de données. Les émetteurs-récep- teurs QMD5, QMD6 assurent le multiplexage des informations transmises aux canaux éloignés CII-CIV. L 'entrée numérique QD13 reçoit les signaux d'état de mise hors service de l'unité de mise hors service 89 par le bus 313, les signaux d'état de coupure partielle par le bus 315 et des signaux de mise hors service des modules logiques par le bus 317. Les signaux de coupure partielle du canal CI coupent les signaux d'autorisation lorsqu'ils sont reçus par les canaux CII-CIV. La sortie numéri- que QDO3 fournit des signaux d'état de coupure globale par le bus 319 et le bus de coupure 88. Le passage de l'information se fait dans les deux sens pour le microprocesseur 303; ce passage se fait à partir des canaux CII-CIV à travers le multi- plexeur QMD5, QMD6 jusqu'à l'unité de mise hors service et à partir des modules logiques 86 et de l'unité de mise hors ser- vice à travers le multiplexeur QMD5, QMD6 jusqu'aux canaux CII-CIV. L'information venant et allant vers l'ordinateur QMC3 traverse le bus entrée-sortie universel 307. Le microprocesseur 303 comprend essentiellement les composants du module de communication 95 (figure 3) qui est supprimé. La sortie numérique QD03 est ajoutée pour permettre une communication bidirectionnelle. La figure 13 est un graphique montrant les résul- tats d'une étude de fiabilité des paramètres de l'installation logique de coupure de la figure 12. Les temps moyens en heure entre deux incidents d'un ordinateur sont représentés en hori- zontale et la fiabilité de l'installation sous forme de proba- bilité d'incident est représentée sur l'axe vertical. On a fait des essais hebdomadaires et des essais mensuels. Comme indiqué, les boucles de données et l'unité de mise hors service ont été testées en permanence. L'efficacité du test pour détecter les incidents était de 50 % pour les boucles de données et de 90 % pour l'unité de coupure. L'ordina- teur a été testé périodiquement. La courbe supérieure dans cha- que cas représente des cas de réparations nécessitant huit heures; la courbe inférieure représente des cas pour lesquels la réparation a demandé quatre heures. La conclusion de l'étude est que sans essai continu de l'ordinateur logique de coupure, on peut arriver à une fiabi- lité de 3,4 x 10-7 avec un temps moyen de cartes de série W ISD "Q', entre les défaillances qui sont de l'ordre de la pre- mière estimation de ces cartes de série "2Q". REVENDICAT IONS ) Installation de coupure de réacteur nucléaire dans lequel un réacteur nucléaire et les composants coopérant avec celui-ci fonctionnent suivant un ensemble de procédé, cha- que procédé ayant un ou plusieurs paramètres à contrôler, le système de coupure comprenant un premier moyen relié au réacteur, qui, lorsqu'il est mis en oeuvre, coupe le réacteur, un ensemble de capteurs analogues pour contrôler chacun des paramètres, installation caractérisée en ce qu'elle comporte un moyen de mise hors service relié à chacun des capteurs de chaque ensemble pour mettre en service chacun des capteurs lorsqu'un capteur est soumis à un test ou à un travail d'entretien ou encore est défectueux ou, est interdit, un second moyen travaillant en fonction de la détection du premier capteur d'un ensemble de paramètres à l'état non normal pour conditionner le premier moyen à être miq en oeuvre et couper le réacteur; un troisième moyen répondant au moyen de mise hors service, relié au premier capteur pour permettre au second moyen du premier capteur de conditionner une coupure de réacteur si le premier capteur n'est pas mis hors service ou pour interdire au second moyen du premier capteur d'assurer une coupure si le premier capteur est mis hors service ainsi qu'un quatrième moyen répondant à un second capteur non mis hors service et faisant partie de l'ensemble, lors de la détection par le second capteur d'un paramètre non normal, le premier capteur étant également non mis hors service et détectant ce paramètre à l'état non normal pour mettre en oeuvre le premier moyen et couper le réacteur. ) Installation selon la revendication 1, caractérisée en ce qu'elle comporte un ensemble de canaux, cet ensemble étant égal à n, chacun des canaux ayant un capteur pour contrôler chacun des paramètres, avec n capteurs locaux dans n canaux pour commander chaque paramètre, installation caractérisée en ce que chaque canal comporte un second moyen qui, lorsqu'il est en oeuvre, conditionne la mise en oeuvre du premier moyen, le moyen de mise hors service, relié à chaque capteur, la mise hors service d'un capteur dans chaque canal étant appliquée mise hors service locale, le moyen de mise hors service comportant un cinquième moyen pour appliquer une information à chaque canal des mises hors service locales des capteurs des autres canaux, la mise hors service locale dans un autre canal dont l'information est appliquée à chaque canal étant appelée ci-après "mise hors service à distance" par rap- port à chaque canal, le second moyen du canal d'un capteur étant mis en oeuvre lors de la détection d'un paramètre non normal par le dernier capteur mentionné, le quatrième moyen répondant à la mise en oeuvre du second moyen d'un ensemble de m-l canaux, m étant inférieur à nr, pour mettre en oeuvre le premier moyen et couper le réacteur lors de la mise en oeuvre du second moyen du canal numéro m, le troisième moyen répondant à une mise hors service locale dans un canal pour éviter que le second moyen du canal ne soit mis en oeuvre, le troisième moyen répondant également à la fois a une mise hors service locale d'un capteur et à une mise hors service a distance d'un capteur analogue dans un canal pour mettre en oeuvre le second moyen du canal. 1s 3 ) Installation selon la revendication 2, caractérisée en ce que m est une constante pour tout paramètre lorsque le nombre de capteurs analogues non mis hors service pour le paramètre est supérieur a m, ce nombre étant égal à un nombre r lui-même égal au nombre de capteurs analogues non mis hors service, nombre diminué de la valeur I lorsque le nom- bre des capteurs analogues non mis hors service est égal ou inférieur A m. 4 ) Installation selon la revendication 3, caractérisée en ce que n est égal à 4, ni est égal A 2 lorsque le nombre de capteurs non mris hors service est égal a 3 ou à 4 et r est égal à 1 ou A O iorslue ie nombre de capteurs non mis hors service est égal respectivemen a 2 ou 1. ) Installation selon la revendication i, caractérisée en ce qufelie comporte un sixième moyen pour générer un signal périodique, un:tLeîe mtioyen pour générer uni signal de test, un huitième tooen 'ondant. la fois au signal de test et a!:absence de:i:s hars service du prenoer capteur pour transmettr 7e sigrnaI piodique: iravers le second moyen et pour metire hors service le premier capteur, pour évJter la transmission du signal priod.ique, ce signal perJriodique ne Pouvant pas mettre en cnutre:: second moyen pour conditionner une coupure du réacteur e a;n u evi-me moyen répondant A la présence ou a l'absenice u si;a priodicde transmis pour onner u -, indication pes ttnt de distinguer entre une mise hors service et une absen de aise hors service. 42 2503922 ) Installation selon l'une quelconque des revendications 2, 3, 4, caractérisée en ce qu'elle comporte un dixième moyen dans chaque canal, ce dixième moyen lorsqu'il est autorisé, transmet un signal périodique par le second moyen du canal, ce signal périodique ne permettant pas de mettre en oeuvre le second moyen pour conditionner la coupure du réacteur, et un onzième moyen répondant à la transmission ou à la non transmission du signal périodique par le second moyen pour donner une indication permettant de distinguer entre la mise hors service et la non mise hors service du capteur local du canal. ) Installation selon la revendication 6, caractérisée en ce que le onzième moyen répond à la transmis- sion du signal périodique par le second moyen lors de l'autori- sation du dixième moyen pour indiquer l'absence d'une mise hors service du capteur local du canal, le onzième moyen comprenant un douzième moyen répondant à la mise hors service du capteur local pour éviter l'autorisation du dixième moyen et la trans- mission du signal périodique à travers le canal de façon à in- diquer la mise hors service du capteur local. ) Installation selon l'une quelconque des revendications 2 à 7, caractérisée en ce que chacun des canaux se compose d'un ensemble de relais, chaque relais étant relié à l'un des capteurs de chaque canal et chaque relais ayant un contact, un bus de coupure, un bus d'état du capteur, un trei- zième moyen reliant les contacts des relais en parallèle entre les bus, installation caractérisée en ce que les contacts de tous les relais sont ouverts et coupent les bus en l'absence de paramètre non normal, le second moyen répondant à la détection par au moins un capteur d'un paramètre non normal pour mettre en oeuvre le relais relié au capteur pour fermer son contact et relier le bus de coupure au bus d'état du capteur et un moyen répondant à la connexion des bus pour conditionner le réacteur à la coupure. 90) Installation selon la revendication 8, caractérisée en ce que la mise en oeuvre de chaque relais est commandée par un quatorzième moyen comprenant une paire de bornes ainsi qu'un quinzième moyen pour appliquer normalement une première tension à chacune des bornes de façon à maintenir le relais non mis en oeuvre, le second moyen répondant à la 43 2503922 détection d'un paramètre non normal par le capteur auquel est relié le relais pour appliquer à l'une des bornes une seconde tension conditionnant le relais pour la mise en oeuvre et le second moyen répondant également à la détection d'un paramètre non normal par un autre capteur pour appliquer une troisième tension à l'autre borne et mettre en oeuvre le relais. ) Installation selon la revendication 9, caractérisée en ce que le relais est relié à un ordinateur et l'installation comprend un seizième moyen relié à l'ordinateur pour appliquer à celui-ci l'information indiquant que la seconde tension a été appliquée à l'une des bornes, ainsi qu'un dix- septième moyen relié à l'ordinateur et à l'autre borne et répon- dant à l'information fournie par l'ordinateur qui détecte un paramètre non normal à l'aide d'un autre capteur du même ensem- ble que celui relié au relais pour appliquer une troisième tension à l'autre borne. ) Installation selon l'une quelconque des revendications 8, 9, 10, caractérisée en ce qu'elle comporte un commutateur de mise hors service relié à chaque relais pour maintenir le relais hors service quelle que soit la détection d'un paramètre non normal par le capteur relié à ce relais.