La présente invention concerne, d'une manière générale, un dispositif de protection pour installation devant fonctionner dans des conditions proches d'un régime interdit. A titre d'exemple de telles installations, on peut citer les réacteurs nuclé-5 aires. A présent, on assure le réglage de sécurité de réacteurs nucléaires en affectant des gammes de consigne individuelles à diverses variables décelées en fonctionnement et en amorçant une mise à l'arrêt d'urgence chaque fois que l'une quelconque des variables sort de sa gamme de consigne. On constate qu.1 individuel-10 lement et en soi, aucune des variables décelées ne fournit une indication sûre sur le régime de fonctionnement du réacteur et c'est pourquoi la sécurité oblige à fixer des valeurs-limites individuelles à plusieurs variables décelées en fonctionnement. De ce fait, ces dispositifs de protection ont l'inconvénient d'amor-15 cer, dans certains cas, des mises à l'arrêt d'urgence injustifiées. Or, on a maintenant découvert qu'on peut obtenir, dans une installation de traitement telle que réacteur nucléaire, un fonctionnement plus souple et pourtant sûr en faisant dépendre la mi-20 se à l'arrêt de la valeur d'une combinaison fonctionnelle de variables de fonctionnement, et non d'une variable quelconque décelée individuellement. L'invention propose un dispositif de protection perfectionné pour installation de traitement, comportant plusieurs calcula-25 teurs numériques agencés pour recevoir des signaux représentatifs de plusieurs variables de fonctionnement. Chaque calculateur est programmé pour déterminer la valeur d'une expression mathématique choisie et pour engendrer un signal d'ordre d'arrêt d'urgence chaque fois que cette valeur tombe dans une gamme interdite. L'ex-50 pression mathématique est remarquable en ce que sa valeur est fonction de plusieurs des variables de fonctionnement et indique au moins partiellement si le régime de fonctionnement est sûr ou dangereux. Les signaux d'ordre d'arrêt d'urgence de tous les calculateurs sont transmis à un circuit logique à coïncidence qui en-55 gendre un signal d'amorçage d'arrêt d'urgence lorsqu'il reçoit des signaux d'ordre d'arrêt d'un nombre minimum préfixé de calculateurs . En appliquant l'invention à un réacteur nucléaire, on peut faire fonctionner ce dernier en toute sécurité à un niveau de 40 puissance très voisin des limites fixées par construction et main 71 39695 2 2113859 tenir le réacteur en fonctionnement dans des conditions qui provoqueraient autrement une mise à l'arrêt d'urgence. Sur le dessin : la figure unique illustre schématiquement un mode de réali-5 sation de dispositif suivant 1* invention indiqué pour assurer la protection d'un réacteur nucléaire à eau sous pression (non repré-. senté). Tel que représenté, le dispositif comprend plusieurs calculateurs 11A, 11B, 11C et 11D, capables d'engendrer chacun un signal d'ordre d'arrêt d'urgence du réacteur à partir de signaux 10 d'entrée chacun représentatif de la valeur de plusieurs variables de fonctionnement choisies, reçus d'un montage d'entrée 10, ainsi qu'un circuit logique à coïncidence 19 agencé pour recevoir les signaux d'ordre d'arrêt d'urgence des calculateurs 11Â-D et pour engendrer un signal d'amorçage d'arrêt d'urgence du réacteur lors-15 qu'il reçoit des signaux d'ordre d'arrêt d'urgence d'un nombre minimum donné de calculateurs 11A-D. Les calculateurs à utiliser suivant l'invention sont programmés pour déterminer chacun la valeur d'une expression mathématique choisie, remarquable en ce que sa valeur est fonction de plusieurs 20 des variables de fonctionnement décelées et indique au moins partiellement si le régime de fonctionnement du réacteur est sûr ou dangereux. La fonction ainsi évaluée peut être dite fonction de sûreté ou de protection. Certains des calculateurs, ou tous, peuvent être programmés pour évaluer la même expression mathématique ; 25 les calculateurs peuvent aussi être tous programmés pour évaluer des expressions mathématiques différentes. Les signaux d'entrée particuliers transmis à chaque calculateur dépendent de la fonction de sûreté que ce calculateur doit évaluer. On conçoit que même si tous les calculateurs sont programmés pour évaluer la mê-50 me expression mathématique, chacun à partir des signaux d'entrée qu'il reçoit, ils n'évaluent pas nécessairement la même fonction de sûreté. Il peut en être ainsi lorsqu'il est souhaitable de déterminer la même condition de fonctionnement du réacteur à deux niveaux différents, par exemple à l'entrée et à la sortie de ré-55 frigérant. Le dispositif représenté à titre d'exemple est du type à quatre calculateurs tous programmés pour évaluer la même expression mathématique et agencés pour recevoir des signaux d'entrée représentatifs des valeurs des mêmes variables de fonctionnement. 40 Les calculateurs 11A-D font ainsi double emploi les uns avec les 71 39695 3 2113859 autres en ce qu'ils calculent tous la valeur de la même expression mathématique à partir de signaux d'entrée représentant les valeurs des mêmes variables de fonctionnement, de sorte qu'ils assurent un contrôle mutuel. 5 En ce qui concerne la fonction de sûreté que déterminent les calculateurs 11A-D, on a découvert que le niveau de puissance est plus ou moins sûr selon l'efficacité avec laquelle le réfrigérant prélève de la chaleur sur le combustible du réacteur. Un bon critère pour l'estimation de cette efficacité est le point de dispa-10 rition de l'ébullition nucléée (expression représentée ci-après par lé signal DE1T), affecté par les paramètres individuels suivants flux de chaleur, hausse de température du réfrigérant, section de passage et par leurs interactions. Ce critère que constitue le D0. peut être utilisé par l'intermédiaire du rapport de disparition 15 de l'ébullition nucléée (RDEN) qui exprime le rapport entre la puissance de fonctionnement et la puissance à laquelle on s'attend à voir l'ébullition nucléée disparaître dans une zone donnée. On notera à ce stade que, bien qu'on ait proposé de nombreuses formules empiriques pour le calcul du BDEîï, ces formules tendent toutes 20 à indiquer que ce rapport dépend des valeurs que le flux dans le réacteur, le débit de réfrigérant, la pression du réfrigérant et les températures d'entrée et de sortie du réfrigérant présentent dans la zone considérée. En conséquence, les calculateurs 11a-D représentés à titre 25 d'exemple sont programmés pour calculer de temps à autre le RDEN d'après les valeurs momentanées que les variables de fonctionnement : flux dans le réacteur/ débit de réfrigérant W, pression de réfrigérant P, températures d'entrée U et de sortie V du réfrigérant présentent dans la zone du réacteur où l'ébullition nucléée 30 risque le plus de disparaître. Ces données parviennent aux calculateurs 11A-D à travers un montage d'entrée 10. Dans chaque calculateur 11A-D, ie RDEN calculé est comparé à une donnée emmagasinée, représentative du régime dangereux ou interdit, et chaque fois que le RDEN correspond à un état interdit, un signal d'ordre 35 d'arrêt d'urgence du réacteur est engendré sur les conducteurs de sortie respectif 18A, 18j3, 18C ou 18D. Le montage d'entrée suivant l'invention comprend une série de détecteurs destinés à fournir des données représentatives des valeurs des variables de fonctionnement choisies à utiliser pour 40 déterminer les fonctions de sûreté et des organes propres à trans 71 39695 2113859 mettre ces valeurs représentatives aux calculateurs sous forme utilisable. On peut utiliser de nombreux types de montages d'entrée selon les variables à déceler, le mode de programmation des calculateurs et la structure du réacteur. Si tous les calculateurs doivent évaluer des fonctions de sûreté différentes et exigent donc tous des données d'entrée différentes, on peut avoir à associer un montage d'entrée individuel à chaque calculateur ; par contre, si tous les calculateurs doivent déterminer la même fonction, un seul montage d'entrée peut les alimenter tous en données 10 d'entrée. Même dans ce dernier cas où tous les calculateurs doivent déterminer la même fonction, il peut être bon de leur affecter des montages d'entrée individuels, cette multiplication des détecteurs augmentant encore la sécurité. Le montage d'entrée 10 représenté à titre d'exemple est du 15 "type où chaque calculateur 11A-D est muni d'un groupe d'entrée séparé, c'est-à-dire d'un ensemble individuel 10A, 10B, 10C, 10D de transducteurs, chaque ensemble comportant cinq transducteurs, 12A-16A, 12B-16is, 12C-16C et 12D-16D respectivement. Chaque variable à déceler est surveillée par vin transducteur de chaque ensem-20 ble : 12A-D pour 0, 13A-D pour P, 14A-D pour W, 15A-D pour ïï et 16A-D pour V, de sorte que chaque variable à déceler est surveillée par quatre transducteurs. Chaque transducteur fournit un signal de sortie représentatif de la variable particulière qu'il surveille et ce signal va s'appliquer à un convertisseur de signal 25 correspondant 17-&-, 17B, 170 ou 17D qui lui confère la forme numérique voulue pour son traitement par les calculateurs. Dans 1' exemple choisi, les convertisseurs 17A-D sont des convertisseurs analogique-numérique qui peuvent avoir toute structure connue convenable. 30 Les conducteurs de sortie 18A-D des calculateurs 11A-D sont reliés à un c ircuit logique à coïncidence 19 qui reçoit les signaux d'ordre d'arrêt apparaissant sur les conducteurs 18A-D et engendre, sur son conducteur de sortie 20, un signal d'amorçage d'arrêt d'urgence lorsqu'il reçoit des signaux d'ordre d'arrêt 35 d'un nombre minimum donné de calculateurs 18A-D. Le circuit logique à coïncidence 19 n'a pas à avoir aucune structure particulière et peut être de tout modèle connu convenable. Dans l'exemple choisi, il est agencé pour amorcer la mise à l'arrêt d'urgence du réacteur l0rsqu*il reçoit simultanément des signaux d'ordre 40 d'arrêt de deux quelconques des quatre calculateurs 11A-D. Toute 71 3Ô695 5 2113859 fois, le circuit 19 peut être agencé pour amorcer l'arrêt d'urgence d'après d'autres combinaisons, par exemple signaux d'ordre d'arrêt émanant de trois sur quatre des calculateurs ; si les calculateurs sont prévus en nombre supérieur ou inférieur, il peut 5 être souhaitable d'amorcer l'arrêt d'urgence du réacteur après réception d'un autre nombre minimum de signaux d'ordre d'arrêt. Pour le mode de réalisation choisi à titre d'exemple, en régime normal de fonctionnement, les signaux d'ordre d'arrêt émanant des quatre calculateurs 11À-D doivent être les mêmes. C'est 10 seulement lors de quelque erreur apparue dans le traitement des données 0, P, W, U, V que le circuit logique à coïncidence 19 agit pour éviter 1'intervention que devrait entraîner cette erreur. On notera aussi que l'utilisation de calculateurs numériques permet dans le dispositif une vérification automatique des détec-15 teurs. Dans un exemple, on peut obtenir ce résultat en programmant un calculateur pour qu'il envoie un signal choisi à un détecteur, par exemple détecteur de pression, et compare ensuite les valeurs du signal reçu et du signal envoyé. Dans un autre exemple, on obtient ce résultat en vérifiant certaines correspondances à 20 1'intérieur du dispositif, par exemple en programmant le calculateur pour qu'il compare le débit mesuré au régime de fonctionnement de la pompe. On peut encore assurer une vérification automatique en prévoyant du matériel propre à établir un régime de fonctionnement apparent dans la zone immédiatement voisine des détec-25 teurs et en programmant les calculateurs pour qu'ils déclenchent de temps à autre ce matériel pendant fonctionnement du réacteur. Pour un détecteur de température, le matériel prévu peut être un élément chauffant. On peut alors programmer chaque calculateur pour qu'il compare les données reçues par lui pour le régime ap-30 parent établi avec des données emmagasinées, afin de déterminer si le détecteur fournit des données d'entrée correctes. On peut aussi assurer dans le dispositif un graissage automatique. Le détecteur de flux neutronique est destiné à fournir une indication sur la puissance du réacteur, bien que le flux et 35 la puissance ne soient pas directement liés, car la mesure de flux peut être affectée par modification d'une autre variable de fonctionnement, par exemple température. Il se révèle donc souhaitable de programmer les calculateurs pour qu'ils calculent périodiquement la puissance du réacteur à l'aide des données reçues 40 sur le débit de réfrigérant, les températures et la pression, et 71 39695 6 2113859 étalonnent ensuite le détecteur de flux de façon qu'il fournisse une indication pratiquement directe sur la puissance du réacteur. De l'exposé qui précède, il ressort que l'invention offre tin dispositif de protection pour installation de traitement qu'on 5 peut avantageusement utiliser dans des réacteurs nucléaires pour amorcer des mises à l'arrêt d'urgence. Dans cette application, il permet de faire fonctionner en toute sécurité le réacteur tout près des conditions-limites imposées par construction sans que s* amorcent des mises à l'arrêt d'urgence indésirables. En outre, on 10 peut l'agencer pour qu'il assure des étalonnages et des vérifications automatiques. 71 39695 2113859 BEVESPIGA7I01Î0 1) Dispositif de protection pour installation de traitement, caractérisé en ce qu'il comporte une série de calculateurs numériques agencés pour recevoir "chacun d'un montage d'entrée des 5 données d'entrée représentatives chacune de la valeur d'une de plusieurs variables de fonctionnement décelées, chaque calculateur étant programmé pour déterminer la valeur d'une expression mathématique choisie, remarquable en ce que sa valeur est fonctior de plusieurs des variables de fonctionnement décelées et indique 10 au moins partiellement si le régime de fonctionnement de l'installation est sûr ou dangereux et pour engendrer un signal d'ordre d'arrêt chaque fois que la valeur de cette expression indique un régime de fonctionnement dangereux, et un circuit logique à coïncidence qui est relié aux calculateurs pour en recevoir les 15 signaux d'ordre d'arrêt qu'ils engendrent et qui émet un signal d'amorçage d'arrêt d'urgence lorsqu'il reçoit des signaux d'ordre d'arrêt d'un nombre minimum donné de calculateurs. 2) Dispositif de protection pour réacteur nucléaire, caractérisé en ce qu'il comprend une série de calculateurs numériques 20 agencés pour recevoir chacun d'un montage d'entrée des données d' entrée représentant chacune la valeur d'une de plusieurs variables de fonctionnement du réacteur décelées, chaque calculateur étant programmé pour déterminer la valeur d'une expression mathématique choisie, remarquable en ce que sa valeur est fonction de plusieurs lesdites variables de fonctionnement et indique au moins partiellement si le régime de fonctionnement du réacteur est sûr ou dangereux et pour engendrer un signal d'ordre d'arrêt d'urgence du réacteur chaque fois que la valeur de ladite expression indique un régime de fonctionnement dangereux, et un circuit logique à 30 coïncidence qui est relié aux calculateurs pour en recevoir les signaux d'arrêt d'urgence qu'ils engendrent et qui émet un signal d'amorçage d'arrêt d'urgence lorsqu'il reçoit des signaux d'ordre l'arrêt d'urgence d'un nombre minimum donné de calculateurs. 3) Dispositif de protection selon la revendication 2, carac-35 térisé en ce que les calculateurs sont tous programmés pour déterminer la valeur de la même expression mathématique. 4) Dispositif de protection selon la revendication 3j caractérisé en ce que les calculateurs sont agencés pour recevoir du montage d'entrée les mêmes ensembles de données d'entrée. u 5) Procédé de mise à l'arrêt d'une installation de traitement caractérisé en ce qu'on transmet des signaux d'entrée chacun re 71 39695 8 2113859 présentatif de la valeur d'une de plusieurs variablee de fonction nement décelées, à une série de calculateurs numériques dont chacun est programmé pour déterminer la valeur d'une expression mathématique choisie, remarquable en ce que sa valeur est fonction 5 de plusieurs des Variables décelées et indique au moins partielle ment si le régime de fonctionnement de l'installation est sûr ou dangereux et pour engendrer un signal d'ordre d'arrêt d'urgence chaque fois que la valeur de ladite expression indique un régime de fonctionnement dangereux, on détermine la valeur de ladite ex-10 pression, on transmet un signal d'ordre d'arrêt d'urgence, chaque fois que cette valeur indique un régime de fonctionnement dangereux, à un circuit logique à coïncidence qui émet un signal d'amorçage d'arrêt d'urgence lorsqu'il reçoit des signaux d'ordre d'arrêt d'urgence d'un nombre minimum donné desdits calculateurs 15 et on fait engendrer un signal d'amorçage d'arrêt d'urgence en réponse à la réception des signaux d'ordre d'arrêt d'urgence.