FR 2514522 A1 19830415 FR 8119028 A 19811009 i L'invention concerne un dispositif de sécu- rité entre un système de commande d'actionneurs de sû- reté et un circuit logique de commande de ces action- neurs Elle s'applique notamment aux tests de systèmes et de moyens de transmission qui permettent d'appli- quer à un actionneur de sûreté des signaux de déclen- chement urgent Ces actionneurs de sûreté sont utili- sés par exemple, pour commander l'arrêt d'urgence d'un réacteur nucléaire. On sait qu'un réacteur nucléaire, par exem- ple, comprend un grand nombre de dispositifs qui per- mettent de contrôler son fonctionnement Ces disposi- tifs sont qualifiés d'actionneurs de sûreté En cas d'incidents, ces actionneurs doivent pouvoir être dé- clenchés de façon urgente, de manière que leur action de protection puisse arrêter cet incident Dans les réacteurs nucléaires, on mesure les valeurs d'un cer- tain nombre de grandeurs physiques telles que la pres- sion, la température, le flux neutronique, etc, en un certain nombre de points, grâce à des capteurs Les valeurs analogiques de ces grandeurs sont converties en valeurs numériques que l'on compare ensuite dans des systèmes de traitement, avec des valeurs de réfé- rence Ces systèmes-de traitement permettent en outre de commander un ou plusieurs actionneurs de sûreté. Ils délivrent normalement un signal logique de compa- raison qui est, par exemple, de valeur non nulle, lorsque les valeurs numériques des grandeurs physiques sont situées dans une fourchette de valeurs de réfé- rence définies à l'avance et correspondant au fonc- tionnement normal de l'appreil ou du réacteur sous surveillance Lorsque les grandeurs physiques mesu- rées par les capteurs sortent de cette fourchette de sécurité, le ou les système de traitement et de com- mande délivre des signaux logiques de sortie de valeur nulle par exemple, pour chacune des valeurs de mesure qui sort de la fourchette de sécurité Ces signaux logiques de sortie de système de traitement sont ap- pliqués séquentiellement, par des moyens de communica- tion qui seront décrits plus loin en détail, à l'en- trée d'un circuit logique dont les sorties commandent des actionneurs de sûreté Généralement, ce circuit logique est conçu de sorte qu'une action de protection soit déclenchée lorsqu'au moins la moitié des voies redondantes des moyens de communication applique sur au moins la moitié des entrées de ce circuit logique- des signaux de commande de déclenchement d'actions de protection Ces circuits logiques permettent aussi, comme indiqué dans la demande de brevet français n O 80 25068 déposé le 26 novembre 1980 au nom du même demandeur, d'inhiber-certaines des voies de transmis- sion, pour effectuer des tests, par exemple, des cir- cuits ou du système situés en amont de ces voies Ces circuits situés en amont peuvent être, par exemple, des chaînes d'amplification et de traitement des si- gnaux, reliées aux-capteurs mentionnés plus haut. Il est particulièrement utile, pour des rai- sons de sécurité, de déclencher l'actionneur de sûre- té, par l'intermédiaire-du circuit logique qui le com- mande, en cas de défaillance dans la transmission des signaux logiques de commande émis par le système de traitement et de commande vers le circuit logique, ou en cas de défaillance de ce système On ne connaît actuellement aucun dispositif de sécurité qui permette de manière simple et de façon permanente, de vérifier que la transmission séquentielle des signaux entre un système de traitement et de commande et un circuit logique de commande d'un actionneur de sûreté, s'ef- fectue sans défaillance et de vérifier aussi que le système de traitement et de commande lui-même, ne pré- sente aucune défaillance. La présente invention a pour but de remédier à ces inconvénients et notamment de réaliser un dispo- sitif de sécurité entre un système de commande d'un actionneur de sûreté et un circuit logique de commande de cet actionneur, ce dispositif permettant de façon simple et en permanence, de vérifier que les signaux logiques émis par le système vers le circuit logique sont transmis sans défaillance, et de vérifier que le système de commande lui-même ne présente aucune dé- faillance. L'invention a pour objet un dispositif de sécurité entre un système de commande d'actionneurs de sûreté et un circuit logique de commande de ces ac- tionneurs, caractérisé en ce qu'il comprend des moyens séquentiels de transmission de signaux logiques émis par le système de commande vers le circuit logique, des moyens séquentiels de vérification, pour appliquer au circuit logique des signaux de déclenchement de l'actionneur, en cas de défaillance du système de com- mande ou en cas de défaillance des moyens de transmis- sion, la transmission des signaux entre le système et le circuit logique étant effectuée après vérification de la non défaillance des moyens de transmission. Selon une autre caractéristique de l'inven- tion, les moyens de vérification comprennent des moyens de temporisation connectés entre le système et les moyens de transmission, une horloge de commande de ces moyens de temporisation, les moyens de transmis- sion appliquant au circuit logique des signaux de dé- clenchement de l'actionneur, en cas de défaillance du système, si après un intervalle de temps prédéterminé les moyens de temporisation n'ont pas reçu un signal de réarmement en provenance du système, ces moyens de vérification comprenant en outre des moyens de compa- raison des signaux émis par le système et des signaux issus des moyens de transmission, de sorte qu'en cas de différence entre ces signaux, une sortie des moyens de comparaison applique au système un signal d'erreur pour que celui-ci n'applique pas un signal de réarme- ment aux moyens de temporisation, après l'intervalle de temps prédéterminé, les moyens de transmission ap- pliquant ainsi au circuit logique des signaux de dé- clenchement de l'actionneur. Dans un autre mode de réalisation, les moyens de comparaison se limitent à des moyens de re- lecture par le système, de l'état des signaux appli- qués au circuit logique La comparaison des signaux émis par le système et des signaux issus des moyens de transmission étant alors effectuée par le système lui- même. Selon une autre caractéristique, les moyens de temporisation sont constitués par un compteur dont la sortie est dans un premier état logique pendant une période déterminée correspondant-à la vérification de la non défaillance-du système et des moyens de trans- mission et à la transmission des signaux logiques émis par le système, cette sortie étant ensuite dans un deuxième état logique pendant ledit intervalle de temps prédéterminé correspondant au temps qui s'écoule entre d'une part, l'instant de basculement du premier état logique vers le deuxième état logique et, d'autre part, l'instant o le système applique à ce compteur ledit signal de réarmement. Selon une autre caractéristique, ledit in- tervalle de temps prédéterminé a une durée inférieure au temps de réponse du circuit logique. Selon une autre caractéristique, les moyens de transmission comprennent une pluralité de voies de transmission reliant des entrées du circuit logique avec des sorties d'un registre recevant les signaux logiques émis par le système, chaque voie comprenant deux interrupteurs commandables, reliés en série entre une sortie du registre et une entrée du circuit logi- que, le premier interrupteur étant commandé par le ni- veau logique du signal émis par le système et prove- nant de la sortie correspondante du registre, le deuxième interrupteur étant commandé par le signal de la sortie du compteur, de sorte à être ouvert pendant ledit intervalle de temps prédéterminé, ou en cas de défaillance. D'autres caractéristiques et avantages de l'invention ressortiront mieux de la description qui va suivre donnée en référence aux dessins annexés dans lesquels: la figure 1 représente schématiquement un ensemble de commande d'actionneurs de sûreté dans lequel in- tervient un dispositif de sécurité conforme à l'in- vention; la figure 2 représente, de manière plus détaillée, un dispositif de sécurité conforme à l'invention; la figure 3 est un chronogramme des signaux qui in- terviennent en certains points du dispositif de sé- curité. La figure 1 représente schématiquement un ensemble de sécurité dans lequel intervient un dispo- sitif de sécurité conforme à l'invention Cet ensemble de sécurité comprend un système 1 qui permet de com- mander des actionneurs de sûreté 2, par l'intermédiai- re d'un circuit logique de commande 3 Le système de commande 1 peut être constitué par exemple par un pro- cesseur ou un microprocesseur 4, associé à une mémoire Ce microprocesseur reçoit par exemple, par l'inter- médiaire d'un interface 6 des signaux de mesure prove- nant de capteurs 7 Ces signaux de mesures sont géné- ralement des signaux analogiques qui sont transformés par des circuits (non représentés), à l'intérieur de l'interface 6, en valeurs numériques Les valeurs nu- mériques de mesures sont comparées à des valeurs de référence relatives à chacun des signaux de mesures, enregistrées dans la mémoire 5 Si des valeurs numéri- ques représentatives des signaux de mesures sont si- tuées en dehors de fourchettes numériques de sécurité, le système de commande 1 fournit pour ces valeurs, au circuit logique 3, des signaux logiques de commande de déclenchement d'action urgente de l'actionneur 2 Gé- néralement et comme on l'a indiqué plus haut, cette action urgente n'est déclenchée que si un certain nom- bre de signaux logiques redondants qui parviennent aux entrées du circuit logique 3, sont à un niveau logique correspondant à une commande de déclenchement d'action urgente Généralement, ce niveau logique est un niveau logique bas: absence de tension Le dispositif de l'invention est représenté en 8 sur cette figure Ce dispositif logique permet, comme on le verra plus loin en détail, d'assurer une transmission séquentielle des signaux logiques émis par le système de commande 1, vers le circuit logique 3 Ce dispositif permet égale- ment d'appliquer à ce circuit logique des signaux de -déclenchement de l'actionneur 2 en cas de défaillance des systèmes de commande 1 ou en cas de défaillance des moyens de transmission (schématisé par les voies 51, 58) Ces moyens de transmission sont constitués par plusieurs voies relatives à des actions de protec- tion différentes et le dispositif de l'invention per- met de déclencher une action urgente en cas de défail- lance d'une ou plusieurs des voies Bien entendu, ces voies de transmission peuvent également transmettre des signaux logiques de déclenchement de l'actionneur 2, en dehors de toute défaillance du système de com- mande ou des moyens de transmission. La figure 2 représente, de manière plus dé- taillée, le dispositif de sécurité, conforme à l'in- vention Ce dispositif de sécurité comprend des moyens séquentiels 10 de transmission des signaux logiques émis par le système de commande 1 vers le circuit lo- gique 3 Ce dispositif comprend aussi des moyens sé- quentiels 11 de vérification, qui permettent d'appli- quer au circuit logique 3 des signaux de déclenchement de l'actionneur (non représenté), en cas de défaillan ce du système de commande 1 ou en cas de défaillance des moyens de transmission 10. Les moyens de vérification 11 comprennent des moyens de temporisation 12 constitués par un comp- teur dont le r 8 le sera expliqué plus loin en détail. Ces moyens de vérification comprennent aussi une hor- loge 13 qui commande le compteur 12 et qui permet éga- lement de synchroniser le système de commande 1. Enfin, ces moyens de vérification comprennent des moyens de relecture 14 permettant la relecture, par le système 1 de l'état, des signaux logiques correspon- dant Slr 58, issus des moyens de transmission 10. Comme on le verra plus loin, ces moyens de vérifica- tion permettent d'appliquer au circuit logique 3, des signaux de déclenchement de l'actionneur, en cas de défaillance du système 1, si après un intervalle de temps prédéterminé, les moyens de temporisation cons- titués par le compteur 12 n'ont pas reçu un signal de réarmement R en provenance du système Ces moyens de vérification permettent aussi, grâce aux moyens de re- lecture 14, de renvoyer au système 1 l'état des si- gnaux appliqués au circuit logique 3 Le système 1 compare alors les signaux qu'il a émis et les signaux appliqués au circuit logique S'il y a discordance, le système 1 n'applique plus un signal de réarmement R aux moyens de temporisation 12, après un intervalle de temps prédéterminé; cette absence de réarmement en- traîne, comme on le verra plus loin en détail, l'ap- plication de signaux de déclenchement sur les entrées du circuit logique 3, par les moyens de transmis- sion 10. Comme on l'a indiqué plus haut, dans un autre mode de réalisation, les moyens de relecture 14 sont remplacés par des moyens de comparaison qui ap- pliquent au système 1 un signal d'erreur ER dans le cas o les signaux émis par le système et les signaux reçus par le circuit logique sont discordants Le signal d'erreur ER agit sur le système 1 pour que celui-ci n'applique pas un signal de réarmement R aux moyens de temporisation 12, après un intervalle de temps prédéterminé. Le compteur 12 est un compteur qui peut être réarmé et dont la sortie 15 est dans un état logique 1 pendant une période qui correspond à la transmission des signaux émis par le système 1, à la vérification de la non défaillance du système et de la non défail- lance des moyens de transmission 10 La sortie de ce compteur bascule ensuite vers un état logique 0 Ce deuxième état logique est présent pendant un interval- le de temps prédéterminé qui correspond au temps qui s'écoule entre d'une part, l'instant de basculement du premier état logique vers le deuxième état logique et, d'autre part, l'instant o le système 1 applique à ce compteur le signal de réarmement R En fait et comme on le verra plus loin en détail, si l'on considère que l'action de protection est déclenchée par des niveaux logiques O appliqués au circuit logique 3, la trans- mission des signaux logiques du système vers les voies de communication, ne peut être effectuée que si des transistors tels que T 2 appartenant aux moyens de com- munication qui seront décrits plus loin en détail, sont rendus passants Ces transistors sont-rendus pas- sants lorsqu 'un niveau logique 1 est appliqué sur leurs bases La transmission des signaux logiques émis par le système 1 est donc effectuée pendant la période déterminée qui correspond à la production d'un signal présentant un état logique 1 sur la sortie 15 du comp- teur 12 Le deuxième état logique de la sortie 15 du compteur 12 est un niveau logique O qui bloque les transistors tels que T 2 et qui rend donc impossible la transmission des signaux logiques du système de com- mande vers le circuit logique 3 Ce niveau logique 0 correspond à l'application de signaux de déclenchement sur les entrées du circuit logique 3 Comme on le verra plus loin en détail, l'intervalle de temps pré- déterminé mentionné plus haut, est inférieur au temps de réponse du circuit logique 3. Les moyens de transmission 10 comprennent une pluralité de voies de transmission dont les sor- ties sont représentées en S,, 58 et dont le nombre est égal à 8 dans l'exemple de réalisation décrit, ce nombre pouvant bien entendu être différent Ces voies de transmission relient les entrées du circuit logique 3 avec des sorties d'un registre 18 qui reçoit les signaux logiques émis par le système 1, par exemple par l'intermédiaire d'un décodeur d'ordres 19 et d'un décodeur d'adresses 20 Chaque voie de transmission comprend deux interrupteurs qui sont reliés en série entre une sortie du registre 18 et une entrée corres- pondante du circuit logique 3 Ces interrupteurs sont réalisés par des transistors tels que T 1 et T 2 Dans l'exemple de réalisation considéré, ces transistors sont de type PNP Le collecteur du transistor T 1 est relié à l'émetteur du transistor T 2, tandis que 2514522 l'émetteur du transistor T 1 est porté à une tension de polarisation +V; le collecteur du transistor T 2 est relié à une masse de référence M par l'intermédiaire d'une résistance R 2 Les bases des transistors T 2 sont reliées à la sortie 15 du compteur 12, tandis que les bases des transistors T 1 sont reliées aux sorties cor- respondantes du registre 18 En fait, les premiers in- terrupteurs constitués par les transistors T 1 sont commandés par les signaux correspondants provenant du registre 18, tandis que les deuxièmes interrupteurs constitués par les transistors T 2 sont commandés par le signal de la sortie 15 du compteur 12 Les transis- tors T 2 sont bloqués pendant l'intervalle de temps prédéterminé mentionné plus haut, ou en cas de défail- lance, comme on le verra plus loin en détail Les moyens de relecture 14 qui permettent la comparaison par le système des signaux reçus par le circuit logi- que 3, reçoivent ces signaux sur leurs entrées 21 et les présentent 'sur leurs sorties 22; les signaux reçus par les circuits logiques 3, sont appliqués aux entrées 22 du dispositif de relecture 14, par l'inter- médiaire d'un pont diviseur adapteur à résistances, tel que R 3, R 4 Ce comparateur est synchronisé par le processeur 4 du système de commande 1. La figure 3 est un chronogramme qui repré- sente en a et b, les états logiques de la sortie 15 du compteur 12 dans deux cas de fonctionnement du dispo- sitif. En a, on a représenté le fonctionnement nor- mal du dispositif dans le cas o il n'y a pas de dé- faillance du système de commande 1 ou pas de défail- lance d'une ou plusieurs voies des moyens de communi- cation 10 Dans ce cas, le compteur réglable 12 com- mandé par l'horloge 13, fournit en sortie des signaux C 1 de période déterminée t 1 Ces signaux présentent un il premier état logique 1 et c'est durant cette période que sont transmis les signaux logiques émis par le système de commande 1 et qu'est ensuite vérifiée la non défaillance du système 1 et des moyens de communi- cation 10 pour la transmission des signaux logiques de la séquence suivante Durant cette période tl, la sor- tie 15 du compteur 12 est à un niveau logique 1 Ce niveau logique permet de rendre passants les deuxièmes interrupteurs constitués par les transistors T 2 Lors- qu'il n'y a pas de défaillance du système de traite- ment 1 ou des moyens de transmission 10, après un in- tervalle de temps prédéterminé t 2, le système de com- mande 1, synchronisé sur l'horloge 13, applique au compteur 12 le signal de réarmement R Ce signal per- met de commander le compteur de manière que sa sortie passe de nouveau à un état logique 1 pendant une nouvelle période de durée t 1. Le cas b correspond à une défaillance, soit du système de commande 1, soit des moyens de communi- cation 10 On considère ici que la transmission des signaux logiques du système vers le circuit logique 3, s'est effectuée normalement jusqu'à l'instant G de basculement de la sortie du compteur 12 vers le niveau logique 0 En cas de défaillance du système de commàn- de 1, celui-ci ne fournit pas, à l'instant 92, après l'intervalle de temps prédéterminé t 2, qui sépare cet instant e 2 de l'instant el auquel la sortie du comp- teur avait basculée, un signal de réarmement R Il en résulte que la sortie du compteur reste alors dans l'état logique O, et que les deuxièmes interrupteurs constitués par les transistors T 2 sont ouverts (tran- sistors bloqués); ceci correspond à l'application de signaux logiques 0 sur les entrées du circuit logique 3, ces signaux provoquant le déclenchement de l'ac- tionneur. Le processus est identique lors d'une dé- faillance des moyens de communication 10 En effet, lors d'une défaillance de ces moyens de communication, le système 1 acquiert par l'intermédiaire du disposi- tif de relecture 14, l'état des signaux appliqués au circuit logique, détecte une discordance entre les si- gnaux qu'il a émis et ceux qu'il relit et dans ces conditions ne commande plus l'émission du signal de réarmement R, après l'intervalle de temps t 2 Il en résulte alors, comme précédemment, que la sortie 15 du compteur 12 reste à un état logique 0, au-delà de cet intervalle de temps t 2, ce qui entraîne l'application de signaux de déclenchement sur les entrées du circuit logique 3 de commande de l'actionneur 2. Il est bien évident que les moyens de trans- mission 10 permettent de transmettre des signaux de déclenchement provenant du système de commande 1, en dehors-de toute défaillance de ce système ou de toute défaillance des moyens de transmission 10 Dans ce cas, le compteur 12 fournit bien des signaux logiques tels que C 1, de niveau logique 1, mais comme les si- gnaux appliqués aux transistors T 1 sont à un niveau logique O correspondant à la commande de défaillance, et les sorties 51 à 58 du dispositif sont à un niveau logique O correspondant au déclenchement de l'action- neur 2. Il est bien évident que dans la description du dispositif, les moyens utilisés auraient pu être remplacés par des moyens équivalents, sans sortir du cadre de l'invention. REVENDICATIONS 1 Dispositif de sécurité entre un système de commande ( 1) d'un actionneur de sûreté ( 2) et un circuit logique ( 3) de commande de cet actionneur, ca- ractérisé en ce qu'il comprend des moyens séquentiels ( 10) de transmission de signaux logiques émis par le système de commande ( 1) vers le circuit logique ( 3), des moyens séquentiels ( 11) de vérification, pour ap- pliquer au circuit logique ( 3) des signaux de déclen- chement de l'actionneur ( 2), en cas de défaillance du système de commande ( 1) ou en cas de défaillance des moyens de transmission ( 10), la transmission des si- gnaux entre le système ( 1) et le circuit logique ( 3) étant effectuée après vérification de la non défail- lance des moyens de transmission ( 10). 2 Dispositif de sécurité selon la revendi- cation 1, caractérisé en ce que les moyens séquentiels de vérification ( 11) comprennent des moyens de tempo- risation ( 12), connectés entre le système ( 1) et les moyens de transmission ( 10), une horloge ( 13) de com- mande de ces moyens de temporisation ( 12), les moyens de transmission ( 10) appliquant au circuit logique ( 3) des signaux ( 51, 58) de déclenchement de l'action- neur ( 2), en cas de défaillance du système ( 1), si après un intervalle de temps prédéterminé (t 2) les moyens de temporisation ( 12) n'ont pas reçu un signal de réarmement (R) en provenance du système ( 1), ces moyens de vérification comprenant en outre des moyens de comparaison ( 14) des signaux émis par le système ( 1) et des signaux ( 51, 58) issus des moyens de transmission ( 10), de sorte qu'en cas de différence entre ces signaux, une sortie des moyens de comparai- son applique au système ( 1) un signal d'erreur (ER) pour que celui-ci n'applique pas de signal de réarme- ment (R) aux moyens de temporisation ( 12), après l'in- tervalle de temps prédéterminé (t 2), les moyens de transmission appliquant ainsi au circuit logique ( 3) des signaux de déclenchement de l'actionneur ( 2). 3 Dispositif de sécurité selon la revendi- cation 1, caractérisé en ce que les moyens séquentiels de vérification ( 11) comprennent des moyens de tempo- risation ( 12), connectés entre le système ( 1) et les moyens de transmission ( 10), une horloge ( 13) de com- mande de ces moyens de temporisation ( 12), les moyens de transmission ( 10) appliquant au circuit logique ( 3) des signaux (S, S) de déclenchement de l'action- neur ( 2), en cas de défaillance du système ( 1), si après un intervalle de temps prédéterminé (t 2) les moyens de temporisation ( 12) n'ont pas reçu un signal de réarmement (R) en provenance du système ( 1), ces moyens de vérification comprenant en outre des moyens de relecture ( 14) des signaux (Si, 58) issus des moyens de transmission ( 10), de sorte qu'en cas de différence entre ces signaux, et les signaux émis par le système ( 1), ledit système ( 1) n'applique pas de signal de réarmement (R) aux moyens de temporisation ( 12), après l'intervalle de temps prédéterminé (t 2), les moyens de transmission appliquant ainsi au circuit logique ( 3) des signaux de déclenchement de l'action- neur ( 2). 4 Dispositif selon l'une quelconque des re- vendications 2 et 3, caractérisé en ce que les moyens de temporisation ( 12) sont constitués par un compteur dont la sortie ( 15) est dans un premier état logique pendant une période déterminée (t 1) correspondant à la vérification de la non défaillance du système ( 1) et des moyens de transmission ( 10) et à la transmission des signaux logiques émis par le système ( 1), cette sortie ( 15) étant ensuite dans un deuxième état logi- que pendant ledit intervalle de temps prédéterminé (t 2) correspondant au temps qui s'écoule entre d'une part, l'instant ( 91) de basculement du premier état logique vers le deuxième état logique et, d'autre part, l'instant (e 2) o le système ( 1) applique à ce compteur ledit signal de réarmement (R). Dispositif selon la revendication 4, ca- ractérisé en ce que ledit intervalle de temps prédé- terminé (t 2) a une durée inférieure au temps de répon- se du circuit logique ( 3). 6 Dispositif selon la revendication 5, ca- ractérisé en ce que les moyens de transmission ( 10) comprennent une pluralité de voies de transmission (T 1,T 2, R 2, 51, 58) reliant des entrées du circuit logique ( 3) avec des sorties d'un registre ( 18) rece- vant les signaux logiques émis par le système ( 1), chaque voie comprenant deux interrupteurs (T 1, T 2) commandables, reliés en série entre une sortie du re- gistre ( 18) et une entrée du circuit logique ( 3), le premier interrupteur (T 1) étant commandé par le niveau logique du signal émis par le système ( 1) et provenant de la sortie correspondante du registre ( 18), le deuxième interrupteur (T 2) étant commandé par le si- gnal de la sortie ( 15) du compteur ( 12), de sorte à être ouvert pendant ledit intervalle de temps prédé- terminé (t 2), ou en cas de défaillance.