FR 2494877 A1 19820528 FR 8025068 A 19801126 La présente invention concerne un système logique de sécurité pour déclencher l'action de pro- tection d'un actionneur de sûreté. Elle s'applique notamment aux déclenchements urgents d'actionneurs de sûreté commandant l'arrêt d'un réacteur nucléaire. On sait qu'un réacteur nucléaire, par exem- ple, comprend un grand nombre de dispositifs qui per- mettent de contrôler son fonctionnement. Ces disposi- tifs sont qualifiés d'actionneurs de sûreté. En cas d'incident, ces actionneurs doivent pouvoir être dé- clenchés de façon urgente, de manière que leur action de protection puisse arrêter cet incident. Dans les réacteurs, on mesure les valeurs d'un certain nombre de grandeurs physiques, telles que la pression, la température, le flux neutronique, etc..., en un cer- tain nombre de points. On compare ensuite dans diffé- rents appareils les valeurs de ces grandeurs avec des valeurs de référence. Ces appareils délivrent norma- lement un signal logique de comparaison qui est, par exemple, de valeur non nulle lorsque les valeurs des grandeurs physiques sont situées dans une fourchette de valeurs définies à l'avance, correspondant au fonctionnement normal du réacteur. Lorsque les gran- deurs physiques sortent de cette fourchette de sécu- rité, les appareils du système délivrent un signal logique de sortie de valeur nulle par exemple. Ce sont les sorties de ces appareils qui sont reliées à chacune des quatre voies du système logique de sécu- rité, conforme à l'invention, qui sera décrit plus loin en détail. On sait que les systèmes logiques de sécu- rité qui permettent de déclencher l'action de protec- tion d'un actionneur de sûreté comprennent générale- ment plusieurs voies redondantes qui sont reliées par leurs sorties à des entrées d'un circuit logique de commande de déclenchement d'action de protection; ce - circuit logique de commande est conçu de manière qu'une action de protection soit déclenchée, à chaque fois que plus d'une voie fournit un signal de comman- de de déclenchement d'action de protection, en répon- se à un signal d'actionnement reçu par les différen- tes voies. On peut, par exemple déclencher l'action de protection, si 2 voies parmi un nombre m de ces voies, émettent un signal de déclenchement. En géné- ral, 2 est égal à 2 et m est égal à 4 si l'on veut pouvoir inhiber pour essai une voie du système. Dans la description de l'invention, on considèrera par exemple que le système présente quatre voies redon- dantes et que l'action de protection est déclenchée à partir des signaux d'au moins deux voies. Les cir- cuits à sécurité positive sont également bien connus des spécialistes de problèmes de sécurité. La sécuri- té dite positive d'un circuit est son aptitude à évo- luer dans le sens de l'initiation de l'action pour laquelle il a été conçu, en cas de pannes dites "pan- nes sûres", l'affectant, le taux des pannes non sûres étant réduit à une valeur très voisine de zéro. Il est bien évident que de tels circuits peuvent être utilisés, non seulement dans le domaine nucléaire, mais aussi dans tout autre domaine nécessitant des déclenchements d'action de protection. On sait aussi que certains systèmes logi- ques de sécurité comprennent pour chacune des voies de commande un circuit logique d'alarme qui permet d'actionner cette voie de commande lorsqu'il reçoit un signal d'alarme sur une entrée, et un circuit lo- gique d'inhibition de ce circuit logique d'alarme qui permet, lorsqu'il reçoit un signal de commande d'in- hibition, d'isoler la voie de commande par rapport au 249407; circuit logique de commande de déclenchement d'action de protection; cette inhibition de la voie de com- mande est rendue nécessaire dans les systèmes logi- ques de sécurité, pour des tests par exemple, des circuits situés en amont du circuit logique d'action- nement; ces circuits situés en amont peuvent être, par exemple, des chaînes d'amplification et de trai- tement de signaux, reliées à des capteurs; ces cap- teurs permettent notamment de déterminer des paramè- tres physiques caractéristiques du fonctionnement d'une installation qui comporte des actionneurs dont l'action de protection doit être déclenchée en cas d'incident. Cette inhibition possible des voies de commande, dans un système logique de sécurité, bien que nécessaire pour des fonctions de tests, ne doit pas être effectuée sans précautions. Dans un circuit de sécurité de type, dit "2/4", on peut envisager l'inhibition de l'une des voies pour vérification ou maintenance. Il est cependant interdit d'envisager l'inhibition simultanée de deux voies parmi quatre. En effet, tout système logique de sécurité doit res- pecter le critère de défaillance unique, qui impose que l'action de protection soit déclenchée en cas d'incident. L'inhibition d'une seule voie dans un circuit de sécurité "2/4" permet de respecter ce cri- tère, mais l'inhibition de deux voies, ou a fortiori, de trois voies doit être interdite; en effet, si deux voies étaient inhibées et que survienne une dé- faillance (panne non sûre) dans l'une des deux voies restantes, le système de sécurité ne déclencherait pas l'action de protection, en cas de nécessité. Si l'on sait faire fonctionner des circuits logiques de sécurité, de type deux sur quatre, présentant quatre voies redondantes qui comprennent des circuits logi- ques d'alarme et d'inhibition, on ne sait pas, par contre, dans ces circuits "2/4" interdire de manière simple et sûre, l'inhibition de plusieurs voies. L'invention a pour but de remédier à cet inconvénient et notamment de réaliser un système lo- gique de sécurité pour déclencher l'action de protec- tion d'un actionneur, ce système logique de sécurité comprenant quatre voies redondantes constituées cha- cune notamment par un circuit logique de commande de déclenchement d'action de protection, un circuit lo- 18 gique d'alarme relié au circuit de commande,.et par un circuit logique d'inhibition grâce auquel il est im- possible d'inhiber simultanément plusieurs circuits d'alarme. Comme on le verra plus loin en détail, tou- te tentative d'inhibition du circuit d'alarme d'une deuxième voie alors que le circuit d'alarme d'une première voie est déjà inhibé, provoque artomatique- ment, à la sortie de cette deuxième voie, l'appari- tion d'un signal de commande d'action de protection quel que soit le signal reçu à l'entrée du circuit d'alarme de cette deuxième voie. L'invention a pour objet un système logique de sécurité pour déclencher l'action de protection d'un actionneur de sûreté, comprenant un nombre en- tier m de voies redondantes de commande de déclenche- ment d'action de protection, ces voies étant reliées par des sorties à des entrées d'un circuit logique de commande de déclenchement d'action de protection apte à déclencher cette action à chaque fois qu'au moins deux voies parmi les m voies ont fourni un signal de commande de déclenchement d'action de protection, en réponse à un signal d'alarme reçu par ces deux voies au moins, caractérisé en ce que chacune des voies comprend un circuit logique d'alarme apte à recevoir le signal d'alarme sur une entrée, un circuit logique d'inhibition du circuit logique d'alarme, apte à re- 2494D7 cevoir sur une entrée de commande, un signal de com- mande d'inhibition du circuit logique d'alarme, ce circuit d'inhibition étant relié à une entrée d'inhi- bition du circuit d'alarme apte à recevoir un signal d'inhibition de la voie correspondante, les circuits logiques d'alarme et d'inhibition de chaque voie étant constitués et reliés de manière que, lorsque le circuit logique d'inhibition d'une première voie par- mi toutes les voies reçoit sur l'entrée de commande d'inhibition un signal de commande d'inhibition, alors que ce signal était déjà reçu par une entrée de commande d'inhibition d'un circuit logique d'inhibi- tion d'une deuxième voie parmi toutes les voies, le circuit logique d'inhibition de cette première voie applique, par une sortie de sécurité sur une entrée de sécurité du circuit d'alarme correspondant, un si- gnal de sécurité qui provoque l'apparition sur une sortie du circuit d'alarme qui correspond à la sortie de cette première voie d'un signal de commande de déclenchement d'action de protection, quels que soient les signaux reçus sur les entrées d'alarme des circuits d'alarme des autres voies. D'autres caractéristiques et avantages de l'invention ressortiront mieux de la description qui va suivre donnée en référence aux dessins annexés dans lesquels: - la figure 1 représente schématiquement un premier mode de réalisation d'un système logique de sécurité conforme à l'invention, - la figure 2 représente schématiquement un second mode de réalisation d'un système logique de sécurité conforme à l'invention, - la figure 3 est un tableau qui donne les valeurs des signaux logiques apparaissant en des points caractéristiques du système de la figure 1, 2494o77 - la figure 4 est un tableau qui donne les valeurs logiques des signaux apparaissant en des points caractéristiques du système de la figure 2. La figure 1 représente schématiquement un premier mode de réalisation d'un système logique de sécurité, conforme à l'invention. Ce système logique permet de déclencher l'action de protection d'un ac- tionneur de sûreté 1 qui agit, par exemple, sur le fonctionnement d'une installation en cas de défail- lance de celle-ci. Cette défaillance peut être repé- rée, comme on l'a mentionné plus haut, par des si- gnaux résultant de la comparaison de paramètres phy- siques qui sont fournis par des capteurs (non repré- sentés) et qui sont comparés à des paramètres de ré- férence; ces signaux de comparaison parviennent aux entrées d'alarme D1, D2, D3, D4 de différentes voies redondantes V1, V2, V3, V4 du système logique de sé- curité conforme à l'invention. Ces voies sont re- liées, par des sorties A1, A2, A3, A4, à des entrées d'un circuit logique de commande de déclenchement d'action de protection 2. Ce circuit logique peut être un circuit à sécurité positive, apte à déclen- cher l'actionneur 1 lorsqu'au moins deux des voies parmi les quatre voies ont fourni au circuit de com- mande de déclenchement 2, un signal de commande de déclenchement d'action de protection, en réponse à un signal d'actionnement reçu sur les entrées d'alarme D1, D2, D3, D4 de ces voies. Dans les systèmes de sécurité, il est con- venu que les signaux qui parviennent aux entrées d'alarme Dl,...,D4 des différentes voies sont norma- lement à l'état logique 1, en l'absence de défaillan- ces signalées par les capteurs. Un ou plusieurs de ces signaux logiques provenant des capteurs situés en amont seront à l'état logique 0, en présence d'une ou plusieurs défaillances signalées. 2494S7i La description qui suit correspond au choix de cette convention concernant les états logiques 0 et 1. Si la convention contraire était adoptée pour l'ensemble de l'installation de protection, la struc- ture générale du système resterait identique, la mo- dification ne portant que sur les éléments logiques internes en appliquant les règles bien connues de l'homme de l'art pour passer de la logique précédem- ment définie (normal état 1, déclenchement état 0) à la logique complémentaire. Sur la figure, Il, I21 I31 I4 désignent des entrées de commande qui permettent de faire parvenir à chacune des voies, un signal de commande d'inhibi- tion. Chacune des voies comprend un circuit logique d'alarme 3, et un circuit logique d'inhibition 4; ce circuit d'inhibition 4 agit sur le circuit logique d'alarme 3 comme on le verra plus loin en détail. En l'absence d'inhibition de chacune des voies, les en- trées I1,..., 14 de commande d'inhibition des voies sont normalement à l'état logique 0. Lorsque l'une des voies doit être inhibée afin de tester, par exem- ple, la chaîne d'amplification et de traitement ainsi que le capteur situés en amont, un signal de commande d'inhibition du circuit logique d'alarme, de niveau logique 1, est appliqué sur l'entrée de commande d'inhibition de la voie correspondante. Dans chacune des voies, une sortie S12 du circuit d'inhibition 4 est reliée à une entrée d'inhibition 6 du circuit d'alarme 3. Cette entrée d'inhibition reçoit un si- gnal d'inhibition, si sur l'entrée de commande d'in- hibition Il par exemple, est appliqué un signal de commande d'inhibition de niveau logique 1. Il est bien évident que les différentes voies sont identiques et que l'on expliquera seule- ment en détail la structure et le fonctionnement de là voie V1. Le circuit logique d'alarme 3 et le cir- cuit logique d'inhibition 4, sont constitués et re- liés de manière que lorsque le circuit logique d'in- hibition d'une première voie telle que la voie V1 par exemple reçoit sur son entrée de commande d'inhibi- tion Il, un signal d'inhibition de niveau logique 1, alors qu'un signal de commande d'inhibition était déjà reçu par une entrée de commande d'inhibition I2 d'une deuxième voie V2 par exemple, le circuit logi- que d'inhibition 4 de la première voie V1 agit sur le circuit logique d'alarme 3, de manière que sur la sortie A1 de ce circuit apparaisse un signal de dé- clenchement d'action de protection. Ce signal-de dé- clenchement de l'action de protection dans les systè- mes de sécurité présente généralement le niveau logi- que 0. Dans ce cas et comme on le verra plus loin en détail, le circuit logique d'inhibition 4 de la voie V1 applique par une sortie de sécurité S1l sur une entrée de sécurité 5 du circuit d'alarme 3 un signa:. de sécurité qui provoque l'apparition sur la sortie A1 du circuit d'alarme, d'un signal de commande de déclenchement d'action de protection. Le circuit d'inhibition 4 de chaque voie comprend trois autres entrées de sécurité Ell, E12, E13. Sur la figure 1, les trois entrées de sécu- rité El, E12, E13, sont reliées respectivement aux sorties S42' S32' S22 des circuits d'inhibition (non représentés) des trois autres voies. De cette façon, le circuit d'inhibition 4 de la première voie V1 ap- plique par sa sortie S12 connectée à l'entrée E21 parmi les trois entrées de sécurité (E21, E22, E23) du circuit d'inhibition (non représenté) d'une autre voie telle que V21 un autre signal de sécurité; ce signal, comme on le verra par la suite, provoquera l'apparition d'un signal de déclenchement de protec- tion sur la sortie A2 de cette voie, si le circuit d'alarme 3 de la première voie était déjà inhibé. Ce signal de déclenchement sur la sortie A2 est un si- gnal de niveau logique 0, selon les conventions don- nées précédemment. Dans ce premier mode de réalisation du sys- tème conforme à l'invention, chaque circuit logique - d'alarme 3 comprend une porte ET1 d'alarme à deux entrées (6,D1); l'entrée D1 est apte à recevoir, comme indiqué plus haut, un signal d'alarme de niveau logique 0, tandis qu'une autre entrée 6 constitue l'entrée d'inhibition du circuit d'alarme 3. Le cir- cuit d'alarme comprend également une porte OU1 d'alarme à deux entrées 5, 7; l'entrée 7 est reliée à la sortie de la porte ET1, tandis que l'entrée 5 qui constitue l'entrée de sécurité du circuit d'alar- me est reliée à la sortie de sécurité Sl1 du circuit d'inhibition. La sortie de cette porte OU1 constitue la sortie A1 du circuit d'alarme 3. Le circuit logique d'inhibition 4 de chaque voie comprend un inverseur INV, dont l'entrée Il est apte à recevoir le signal de commande d'inhibition de niveau logique 1. La sortie S12 de cet inverseur est reliée, comme on l'a vu plus haut, à l'entrée d'inhi- bition 6 du circuit d'alarme et aux entrées Eij de sécurité des autres voies, telles que les entrées E23, E33, E43 des voies V2, V3, V4. Le circuit logi- que d'inhibition 4 comprend également une porte ET2 d'inhibition à deux entrées 8, 9; la première entrée 8 est reliée à l'entrée Il de l'inverseur INV; une porte OU2 d'inhibition à deux entrées 10, 11 est re- liée d'une part à la sortie de la porte ET2 et d'autre part, à la sortie d'une autre porte ET3 a q eentrées E1 E12, E13, E14, l'entrée E14 étant reliée à l'entrée Il de commande d'inhibition; la sortie Sil de la porte OU2 est reliée d'une part à l'autre entrée 9 de la porte ET2 et d'autre part, à l'entrée de sécurité 5 de la porte OU1 du circuit d'alarme 3. La porte ET3 comporte quatre entrées; trois de ces entrées (El# E12, E13) constituent les entrées de sécurité du circuit d'inhibition. Comme on l'a vu plus haut, l'entrée E14 de cette porte est reliée à l'entrée I de l'inverseur INV, tandis que les trois autres entrées E12, El3 E14 sont reliées respectivement aux sorties S22, S32, S42 des inver- seurs des circuits d'inhibition des autres voies. Le circuit bouclé réalisé entre la sortie Sil de la porte OU2 et l'entrée 9 de la porte ET2 permet de rendre -le circuit d'inhibition 4 indépendant de l'état des entrées E11, E12, E13 dèsque l'inhibition de la voie devient effective. Le fonctionnement du système qui vient d'être décrit sera expliqué plus loin en détail. La figure 2 représente schématiquement un autre mode de réalisation d'un système logique de sé- curité conforme à l'invention. Sur cette figure, on n'a représenté que deux des voies redondantes V1, V2 parmi les quatre voies du système logique. La voie V1 est représentée de manière plus détaillée sur la fi- gure. Chacune des voies, identique à la voie V1, com- prend une entrée D1 apte à recevoir un signal d'alar- me permettant le déclenchement de l'action de protec- tion d'un actionneur 1 qui intervient rapidement dans le fonctionnement d'une installation non représentée sur la figure. Comme dans le mode de réalisation précé- dent, ce déclenchement est réalisé par l'intermédiai- re du circuit 2 de commande de déclenchement. Comme dans le premier mode de réalisation, le système comprend aussi une entrée de commande 2494B7; il d'inhibition Il qui permet d'isoler la voie corres- pondante du dispositif 1 afin de tester par exemple la chaîne d'amplification et de traitement ainsi que le capteur situés en amont de cette voie. Chacune des voies comporte un circuit logique d'alarme 3 et un circuit d'inhibition 4; dans ce mode de réalisation du système conforme à l'invention, le circuit logique d'alarme 3 est apte à recevoir un signal d'alarme sur son entrée D1 de niveau logique 0, tandis que le cir- 1o cuit logique d'inhibition est apte à recevoir sur son entrée I1 un signal de commande d'inhibition de ni- veau logique 1. Une connexion S13 relie l'entrée 1 du circuit d'inhibition à une entrée d'inhibition 6 du circuit d'alarme 3. Cette entrée d'inhibition re- çoit un signal d'inhibition. Les circuits logiques 3, 4 d'alarme et d'inhibition sont constitués et reliés de manière que lorsque le circuit logique 4 d'inhibi- tion de la voie V1 par exemple reçoit sur son entrée il, un signal de commande d'inhibition alors que ce signal a été aussi reçu par une entrée I2 du circuit logique d'inhibition d'une autre voie (telle que la voie V2 par exemple),le circuit logique 4 d'inhibi- tion de la voie V1 commande le circuit logique d'alarme 3 de cette voie, de manière qu'apparaisse sur la sortie A1 un signal de déclenchement d'action de protection. A cet effet, le circuit logique d'inhibi- tion 4 applique par une sortie de sécurité Sil sur une entrée de sécurité 5 du circuit d'alarme 3, un signal de sécurité qui provoque l'apparition sur la sortie A1 de ce circuit du signal de commande de dé- clenchement d'action de protection; ce signal de commande est appliqué au circuit logique de comman- de 2. Dans ce second mode de réalisation du sys- tème conforme à l'invention, le circuit d'inhibition de chaque voie comprend trois entrées de sécurité El, E12, E13; une sortie S12 du circuit d'inhibi- tion est reliée respectivement à l'une des trois en- trées de sécurité (E23, E33, E43) des circuits d'in- hibition des trois autres voies. Le circuit d'inhibi- tion 4 de la première voie applique ainsi par sa sor- tie connectée à l'une des trois entrées de sécurité des circuits d'inhibition des autres voies, un autre signal de sécurité qui provoque le déclenchement de la protection sur toute autre voie que l'on tenterait d'inhiber, quel que soit le signal présent à l'entrée d'alarme de cette voie. Dans ce mode de réalisation du système con- 15. forme à l'invention, le circuit logique d'alarme 3 comprend une porte OU1 à deux entrées 6,D1; l'une de ces entrées est celle qui reçoit éventuellement un signal d'alarme tandis que l'autre entrée 6 constitue l'entrée de commande d'inhibition du circuit d'alarme 3. Ce circuit comprend également une porte ET1 à deux entrées 5, 14; l'entrée 14 est reliée à la sortie de la porte OU1, tandis que l'entrée 5 constitue l'en- trée de sécurité du circuit d'alarme 3. Cette entrée de sécurité est reliée à la sortie de sécurité Sil du circuit d'inhibition 4. La sortie A1 de la porte ET1 constitue la sortie du circuit d'alarme-3 de la voie V1 considérée. Le circuit logique 4 d'inhibition comprend pour chaque voie un inverseur INV dont une entrée I est apte à recevoir le signal de commande d'inhibi- tion; cette entrée est reliée à l'entrée de commande d'inhibition 6 de la porte OU1 du circuit d'alarme 3. La sortie S12 de cet inverseur constitue comme on l'a mentionné plus haut une sortie de sécurité du circuit d'inhibition. Cette sortie est reliée à chacune des 2494D7i trois entrées de sécurité des circuits d'inhibition des autres voies. Le circuit d'inhibition comprend aussi une porte ET2 à deux entrées 15,16; une entrée 15 de cette porte est reliée à l'entrée Il de l'inverseur INV. Une première porte OU2 à deux entrées 17, 18 est reliée par l'entrée 18, à la sortie de la porte ET2; la sortie 19 de la porte OU2 est reliée d'une part à * l'entrée 16 de la porte ET2 et d'autre part, à l'en- trée 20 d'une deuxième porte OU3 à deux entrées 20, 21. L'entrée 21 de la porte OU3 est reliée à la sor- tie S12 de l'inverseur INV. La sortie Sll de cette deuxième porte OU3 est reliée à l'entrée 13 de la porte ET1 du circuit d'alarme 3. Enfin, ce circuit d'inhibition comprend une porte ET' à trois entrées E11, E12, E13; ces trois entrées constituent les entrées de sécurité du circuit d'inhibition, tandis que la sortie de cette porte ET3 est reliée à l'entrée 17 de la première porte OU2 du circuit d'inhibition. La sortie S12 de l'inverseur INV est reliée comme on l'a vu plus haut, à chacune des entrées de sécurité des circuits d'in- hibition des autres voies. De la même manière, les autres sorties de sécurité des trois autres voies sont reliées respectivement aux trois entrées de sé- curité E11, E12, E13 du circuit d'inhibition de la première voie. La figure 3 est un tableau des valeurs lo- giques qui apparaissent en des points caractéristi- ques du système de sécurité conforme au premier mode de réalisation de l'invention représenté sur la figu- re 1. Dans ce tableau, les valeurs 0 ou 1 dési- gnent l'état logique des signaux présents à l'entrée I1 du circuit d'inhibition 4, à l'entrée D1 du cir- 2494g77 cuit d'alarme 3, sur la sortie S12 du circuit d'inhi- bition, sur les entrées de sécurité E11' E12, E13, de ce circuit, à la sortie de chacune des portes ET1, ET3, ET2, à la sortie Si, qui commande l'entrée de - sécurité du circuit d'alarme 5, et enfin sur la sor- tie A de la voie V1. C Cl, C2, C4, 051 6 désignent différents cas de fonctionnement du système de sécu- rité décrit précédemment. Le cas C1 correspond à un fonctionnement normal de l'installation sous surveillance, reliée en sortie de l'actionneur 1. On suppose dans ce cas, qu'aucun signal d'alarme n'est reçu à l'entrée D1 de la voie V1 et qu'aucun signal de commande d'inhibi- tion n'est reçu à l'entrée I1 du circuit d'inhibition de cette voie ainsi que sur les entrées d'inhibition des autres voies. Dans ce cas, l'entrée Il est à un niveau logique 0, tandis que l'entrée D1 est à un niveau logique 1. Le fonctionnement des différentes portes ET et OU ainsi que le fonctionnement de l'in- verseur INV étant bien connus dans l'état de la te- chnique, on en déduit facilement l'état logique des signaux qui apparaissent aux points caractéristiques définis plus haut. Toutes les entrées de sécurité Ell, E12, E13, du circuit d'inhibition reçoivent des signaux logiques de niveau 1, en provenance des cir- cuits d'inhibition des autres voies puisqu'aucune de ces voies ne reçoit un signal de commande d'inhibi- tion. La sortie Ai de la voie V1 est alors au niveau logique 1; ce niveau correspond à l'absence de si- gnal de déclenchement d'action de protection sur l'entrée correspondante du circuit logique de comman- de 2. Le cas C2 correspond à l'envoi d'un signal d'alarme sur l'entrée D1 de la voie V1; ce signal correspond à un niveau logique 0 sur l'entrée D1 tan- dis que l'on suppose qu'aucun signal d'inhibition n'est reçu par cette voie puisque son entrée I est au niveau 0. On suppose également qu'aucune des au- tres voies ne reçoit de signal de commande d'inhibi- tion puisque les entrées de sécurité Ell, E12, E13 sont au niveau logique 1. Dans ce cas, la voie V1 remplit sa fonction et sa sortie Ai est au niveau 0, ce qui correspond à l'application d'un signal de dé- clenchement d'action de protection sur l'entrée cor- respondante du circuit logique de commande 2. Le cas C3 correspond à l'absence, puis à l'application d'un ordre d'alarme à l'entrée D1 de la voie V1 (signal logique de niveau 1 à l'entrée D1 de cette voie, puis signal logique de niveau 0). On sup- pose d'autre. part qu'un signal logique de commande d'inhibition est appliqué sur l'entrée I1 (niveau 1), tandis qu'aucun signal de commande d'inhibition n'est reçu des autres voies, ce qui correspond à des si- gnaux logiques de niveau 1 sur les entrées de sécurité El,, E12, E13 de la voie V1. On voit dans ce cas, que même si un ordre d'alarme est appliqué sur l'entrée D1, le signal à la sortie A1 de la voie V, reste au niveau 1, ce qui correspond à l'absence d'ordre de déclenchement d'action de protection à l'entrée cor- respondante du circuit logique de commande 2. On peut dire, pour résumer ce cas, que l'application d'un or- dre de commande d'inhibition sur l'une des voies, alors que toutes les autres voies ne sont pas inhi- bées, maintient la sortie de la voie inhibée à un niveau logique 1 (absence de déclenchement d'action de protection), quel que soit le signal appliqué sur l'entrée de commande d'alarme de cette voie. Le cas C4 correspond à l'absence puis à l'application d'un ordre d'alarme (niveau 1, puis ni- veau 0) à l'entrée D1 de la voie V11 cette voie n'é- tant pas inhibée (niveau 0 sur l'entrée I de comman- de d'inhibition). On suppose que l'une des autres voies, telle que V2 a reçu un signal de commande d'inhibition, ce qui se traduit par un signal logique de niveau 0 sur l'entrée de sécurité E13 de la voie V1. Les voies V3 et V4 sont supposées non inhibées (niveau 1 sur les entrées de sécurité Eil, E12). Dans ce cas, l'application d'un ordre d'alarme (passage du niveau 1 au niveau 0) sur l'entrée D1 de la voie Vil provoque l'apparition d'un signal de déclenchement de protection (passage du niveau 1 au niveau 0) sur la sortie A1 de la voie V1. Le cas C5 correspond à l'inhibition de la voie V2 par exemple, qui se traduit par un signal de niveau 0 sur l'entrée de sécurité E13' puis à la ten- tative d'inhibition de la voie V1 (passage de Il, du niveau 0 au niveau 1) . Dans ce cas, la sortie A1 de la voie V1 passe du niveau 1 au niveau 0 (déclenchement d'action de protection). On peut dire, pour résumer ce cas, que l'application d'un ordre d'inhibition sur l'une des voies alors qu'une autre voie est déjà in- hibée, provoque l'apparition d'un signal de déclen- chement d'action de protection sur la sortie de la voie que l'on tente d'inhiber. Le cas C6 correspond à l'inhibition de la voie V1 (Il au niveau logique 1X, puis à l'inhibition de la voie V2 (entrée de sécurité E13 passant du ni- veau 1 au niveau 0). On a vu précédemment, que dans un tel cas, la voie V1 étant la première inhibée, la sortie de la voie V2 va appliquer au circuit logique 2 un signal de déclenchement de protection. La sortie S22 de la voie V2 passe du niveau 1 au niveau 0 infor- mant les autres voies de la tentative d'inhibition de la voie V2 qui a produit le signal de déclenchement. 2494?7 Dans le tableau, ce changement de niveau est visible dans la colonne correspondant à l'entrée de sécurité E13 de la voie Vl. La sortie A1 de la voie V1 reste au niveau logique 1 (absence de déclenchement d'action de protection sur cette voie), même si l'entrée D1 de cette voie reçoit un ordre d'alarme (signal appliqué à D1 passant du niveau 1 au niveau 0). On peut dire, pour résumer ce cas, que lorsqu'une première voie est inhibée, la tentative d'inhibition d'une autre voie provoque le déclenchement de l'action de protection à la sortie de cette autre voie, tandis que la sortie de la première voie inhibée ne déclenche aucune ac- tion de protection (niveau logique 1 sur cette sor- tie), même si un ordre d'alarme est appliqué à son entrée. Le tableau de la figure 4 représente pour les mêmes cas de fonctionnement C1,..., C6 mentionnés plus haut, les niveaux logiques des signaux apparais- sant en différents points caractéristiques du système conforme à l'invention et qui est représenté sur la figure 2. Ce tableau ne sera pas commenté en détail. OU1, ET3, OU2, OU3 désignent les niveaux logiques des signaux de sortie des portes correspondantes. Dans le système logique de sécurité qui vient d'être décrit,chaque circuit logique de comman- de d'inhibition connaît en permanence l'état des in- hibitions sur les autres voies redondantes du systè- me. On a intêret, pour des raisons de sécurité, à choisir par convention des signaux actifs pour la transmission entre les différentes voies des informa- tions d'inhibition, de sorte que toute coupure sur une liaison entre les circuits logiques d'inhibition des différentes voies peut être assimilée à une inhi- bition. Il en résulte qu'une telle coupure ne met pas en défaut la sûreté du système de sécurité. L'utili- sation de circuits logiques dynamiques à sécurité po- sitive dans la constitution du circuit 2 de commande d'action urgente permet d'obtenir un ensemble à très grande sûreté de fonctionnement. REVENDICATIONS 1. Système logique de sécurité pour déclen- cher l'action de protection d'un actionneur de sûreté (1), comprenant un nombre entier m de voies redondan- tes de commande de déclenchement d'action de protec- tion (V1, V2, 23, V4) , ces voies étant reliées par des sorties (A1, A2, A3, A4) à des entrées d'un cir- cuit logique (2) de commande de déclenchement d'ac- tion de protection apte à déclencher cette action à chaque fois qu'au moins deux voies parmi les m voies ont fourni un signal de commande de déclenchement d'action de protection en réponse à un signal d'alar- me reçu par ces deux voies au moins, caractérisé en ce que chacune des voies comprend un circuit logique d'alarme (3) apte à recevoir le signal d'alarme sur une entrée (D1), un circuit logique d'inhibition (4) du circuit logique d'alarme (3) apte à recevoir sur une entrée de commande (I), un signal de commande d'inhibition du circuit logique d'alarme (3), ce cir- cuit d'inhibition étant relié à une entrée d'inhibi- tion (6) du circuit d'alarme apte à recevoir un si- gnal d'inhibition de la voie correspondante, les cir- cuits logiques d'alarme (3) et d'inhibition (4) de chaque voie étant constitués et reliés de manière que, lorsque le circuit logique d'inhibition (4) d'une première voie parmi toutes les voies reçoit sur l'entrée de commande d'inhibition (Il) un signal de commande d'inhibition, alors que ce signal est déjà reçu par une entrée (I2) de commande d'inhibition d'un circuit logique d'inhibition d'une deuxième voie parmi toutes les voies, le circuit logique d'inhibi- tion (4) de cette première voie applique, par une sortie de sécurité (Sll) sur une entrée de sécurité (5) du circuit d'alarme correspondant, un signal de sécurité qui provoque l'apparition sur une sortie (A1) du circuit d'alarme qui correspond à la sortie de cette première voie d'un signal de commande de déclenchement d'action de protection. 2. Système logique selon la revendica- tion 1, caractérisé en ce que le circuit d'inhibition (4) de chaque voie comprend en outre m-l entrées (El, E12, El3) de sécurité reliées respectivement à des sorties de sécurité (S22' S32' S42) des circuits d'inhibition des trois autres voies, le circuit d'in- hibition (4) de chaque voie appliquant ainsi par une sortie de sécurité (S12) connectée respectivement à l'une des m-l entrées de sécuritë de chaque circuit d'inhibition des autres voies, un autre signal de sé- curité indiquant l'état inhibé ou non inhibé du cir- cuit d'alarme de chaque voie. 3. Système selon la revendication2, ca- ractérisé en ce que chaque circuit logique d'alarme (3) comprend une porte (ET1) d'alarme à deux entrées (6, D1), l'une de ces entrées (D1) étant apte à rece- voir le signal d'alarme, tandis que l'autre entrée (6) constitue l'entrée d'inhibition de ce circuit, et une porte (OU1) d'alerte à deux entrées (5, 7), l'une de ces entrées (7) étant reliée à une sortie de la porte (ET1>, tandis qu'une autre entrée (5) de la porte (OU1) constitue l'entrée de sécurité du circuit d'alarme reliée à la sortie de sécurité (Sll) du cir- cuit d'inhibition (4), la sortie de cette porte (OU1) constituant la sortie (A1) du circuit d'alarme (3), reliée au circuit logique de commande (2). 4. Système selon la revendication 3, ca- ractérisé en ce que chaque circuit logique d'inhibi- tion (4) comprend un inverseur (INV) dont une entrée 249407; (I) est apte à recevoir le signal de commande d'in- hibition, une sortie (S12) de cet inverseur étant re- liée à une entrée (6) de la porte (ET1) d'alarme qui constitue l'entrée d'inhibition du circuit d'alarme (3), une porte (ET2) d'inhibition à deux entrées (8, 9) dont une première entrée (8) est reliée à l'entrée (Il) de l'inverseur (INV), une porte (OU2) d'inhibi- tion à deux entrées (10, 11) dont une entrée (10) est reliée à la sortie de la porte (ET2) d'inhibition à deux entrées, la sortie (Sl) de cette porte (OU2) étant reliée, d'une part, à l'autre entrée (9) de la porte (ET2) d'inhibition à deux entrées et, d'autre part, à l'entrée de sécurité (5) de la porte (OU1) d'alarme et une porte (ET3) à m entrées (El1, E12, E13, E14), m-i de ces entrées constituant les m-i entrées de sécurité du circuit d'inhibition (4), la sortie (11) de cette porte (ET3) à m entrées étant reliée à l'autre entrée (11) de la porte (OU2) d'in- hibition, la m eme entrée (E14) de la porte (ET3) à quatre entrées étant reliée à la sortie (S12) de l'inverseur (INV), tandis que les m-l autres entrées (Ell, E12, E13) de cette porte sont reliées respecti- vement aux sorties (S22' S32' S42) des inverseurs des circuits d'inhibition des trois autres voies. 5. Système selon la revendication 1, ca- ractérisé en ce que le circuit d'inhibition (4) de chaque voie comprend mi entrées de sécurité (E11, E12, E13), une sortie (Sl2) du circuit d'inhibition de chaque voie étant reliée respectivement à l'une des m-l entrées de sécurité des circuits d'inhibition des autres voies, le circuit d'inhibition de l'une des voies appliquant ainsi, par sa sortie (S12) con- nectée à l'une des trois entrées de sécurité des cir- cuits d'inhibition des autres voies, un autre signal de sécurité indiquant l'état inhibé ou non inhibé du circuit d'alarme de chaque voie. 6. Système selon la revendication 5, ca- ractérisé en ce que chaque circuit logique d'alarme (3) comprend une porte (OU1) d'alarme à deux entrées ( 6, D1), l'une de ces entrées (D1) étant apte à re- cevoir le signal d'alarme, tandis que l'autre entrée ( 6) constitue l'entrée d'inhibition de ce circuit, et une porte (ET1) d'alarme à deux entrées (5, 14), l'une de ces entrées (14) étant reliée à une sortie de la porte (OU1) tandis qu'une autre entrée (5) de cette porte (ET1) constitue l'entrée de sécurité du circuit d'alarme reliée à la sortie de sécurité (S11) du circuit d'inhibition (4), la sortie (A1) de cette porte (ET1) constituant la sortie du circuit d'alarme reliée au circuit logique de commande (2). 7. Système selon la revendication 6, ca- ractérisé en ce que chaque circuit logique d'inhibi- tion (4) comporte un inverseur (INV) dont une entrée (Il) est apte à recevoir le signal de commande d'in- hibition, cette entrée (Il) étant en outre reliée à l'entrée (6) d'inhibition de la porte (OU1) d'alar- me, une porte (ET2) d'inhibition à deux entrées (15, 16) dont une entrée (15) est reliée à l'entrée (Il) de l'inverseur (INV), une première porte (OU2) d'in- hibition à deux entrées (17, 18) dont une entrée (18) est reliée à la sortie de la porte (ET2) à deux en- trées et dont la sortie (19) est reliée à l'autre entrée (16) de la porte (ET2) à deux entrées, une deuxième porte (OU3) d'inhibition à deux entrées (20, 21) dont une entrée (20) est reliée à la sortie (19) de la première porte (OU2), la sortie (S l) de cette deuxième porte (OU3) d'inhibition constituant la sor- tie de sécurité (Sil) du circuit d'inhibition reliée à l'autre entrée de sécurité ( 5) de la porte (ET1) d'alarme, une porte (ET3) à m-l entrées (E11, E12, E13) constituant les m-l autres entrées de sécurité 2494O377 du circuit d'inhibition (4), la sortie de cette porte (ET3) étant reliée à l'autre entrée (17) de la pre- mière porte (OU2) d'inhibition, l'autre entrée (21) de la deuxième porte (OU3) d'inhibition étant reliée à la sortie (S12) de l'inverseur (INV), les m-l en- trées (E11, E12, E13) de la porte (ET3) étant reliées respectivement aux autres sorties des inverseurs des circuits d'inhibition des trois autres voies, pour recevoir ledit autre signal de sécurité. 8. Système selon l'une quelconque des re- vendications 1, 2 et 5, caractérisé en ce que le cir- cuit logique de commande d'actionnement (2) est du type nà logique dynamique et à sécurité positive". 9. Système selon l'une quelconque des re- vendications 1 à 7, caractérisé en ce qu'il comporte quatre voies redondantes.