Système de commande de sécurité notamment pour réacteur nucléaire
La présente invention concerne des systèmes de commande de sécurité, notamment pour réacteur nucléaire, dans lesquels plusieurs détecteurs surveillent un certain nombre de variables séparées pour prendre des mesures de sécurité en actionnant des moyens de commutation lorsqu'un nombre prédéterminé de détecteurs répondent simultanément à une condition pré-établie pour ces variables.
I1 est impératif, afin d'empêcher des accidents de proportions désastreuses. de munir les installations nucléaires de systèmes de sécurité qui sont capables de répondre immédiatement à des deviations à partir du fonctionnement sûr de l'installation et d'arrêter le fonctionnement du réacteur chaque fois que de telles déviations se produisent.
De tels systèmes doivent avoir une très grande sécurité de fonctionnement et doivent être conçus de telle sorte que des mauvais
fonctionnements accidentels des composants du système ne les empêchent pas de fonctionner. Conformément à cela, on connait très bien le fait de fournir plusieurs dispositifs de détection pour surveiller chacune des variables de fonctionnement d'une installation nucléaire et pour les disposer de telle sorte que chacune d'elle puisse indépendamment arrêter le fonctionnement du réacteur lors de la détection d'une condition pré-établie.
Une telle pratique, bien que possédant une sécurité de fonctionnement très élevée, n'est pas souhaitable parce qu'elle entraîne facilement un arrêt qui n'est pas nécessaire de l'installation nucléaire chaque fois qu'un des dispositifs de détection est actionné de fa [ on mal à propos ou qu'il se produit un mauvais fonctionnement du détecteur.
Afin de remédier à de telles déficiences dans les systèmes de commande de sécurité d'installation nucléaire, tout en conservant en même temps un très haut degré de sécurité de fonctionnement du système, on fournit de nos jours des commandes de sécurité dont les systèmes sont disposés de telle sorte que le fonctionnement du réacteur s'arrête seulement lorsqu'un certain nombre prédéterminé de dispositifs de détection répond simultanément à une déviation par rapport au fonctionnement en sécurité de l'installation.
Certains systèmes bien connus sont disposés de telle façon que les contacts actionnés par les dispositifs de détection surveillant chacune des variables respectives de l'installation soient montés en série avec un certain nombre de lignes correspondant au nombre de détecteurs surveillant chaque variable. Chacune des lignes contient un relais monté en série, les contacts actionnés par les relais respectifs étant disposés dans une matrice qui peut être actionnée pour arrêter le réacteur chaque fois qu'une partie prédéterminée des contacts, habituellement deux sur trois, sont actionnés.
Un tel dispositif, bien que nécessitant la réponse simultanée de plus d'un dispositif de détection pour arrêter le réacteur, subit l'effet nuisible en ce sens qu'il peut arrêter le fonctionnement du réacteur lorsque des dispositifs de détection uniques surveillant différentes variables de l'installation répondent simultanément, entraînant de ce fait un arrêt qui n'est pas nécessaire.
On a proposé d'autres systèmes de commande de sécurité qui puissent fonctionner de façon à assurer que le fonctionnement du réacteur n'est arrêté que lorsque plusieurs dispositifs de détection surveillant la même variable d'installation répondent simultanément à une indication d'une déviation à partir du fonctionnement en sécurité de l'installation. Dans ces systèmes, les dispositifs de détection respectifs actionnent chacun plusieurs contacts, les contacts étant disposés en matrice, dont les branches contiennent toutes les combinaisons possibles des dispositifs de détection. Chacune des matrices est adaptée pour actionner un relais monté en série dont les contacts sont disposés dans une matrice séparée fonctionnant pour arrêter le fonctionnement du réacteur chaque fois que deux sur trois, par exemple, des relais sont actionnés.
Ces systèmes ont le désavantage d'avoir un dispositif relativement complexe et d'être de fabrication très coûteuse du fait du grand nombre de composants que comprend le système. Cette conception a de plus le désavantage d'être relativement peu souple en ce sens qu'il faut de nombreuses modifications du système pour l'agrandir afin qu'il puisse fonctionner avec un plus grand nombre de dispositifs de détection surveillant chaque variable de 'linstallation et ou qu'il puisse fonctionner pour produire l'effet désiré en réponse à un plus grand nombre de dispositifs de détection.
La présente invention concerne donc un système de commande de sécurité notamment qui évite des désavantages mentionnés ci-dessus. Dans le cas particulier d'un réacteur nucléaire, elle permet d'obtenir un dispo- sitif relativement simple de circuits matrices offrant une très grande sécurité de fonctionnement pour le sys tème de protection de réacteur en en même temps pouvant empêcher que des arrêts du réacteur qui ne sont pas nécessaires ne se produisent lors d'un mauvais fonctionnement accidentel d'un composant ou d'un mauvais actionnement du détecteur.
Enoncée différemment, I'invention compte, dans ce cas particulier, résoudre le problème consistant à surveiller chacune des variables de fonctionnement d'un réacteur fonctionnant pour arrêter le fonctionnement du réacteur chaque fois qu'au moins plusieurs des dispositifs de détection associés à chacune des variables répondent simultanément à une condition préétablie de la variable surveillée.
Selon cette invention on a résolu un tel problème en ce sens que le système de commande de sécurité comprend un circuit de commande formé par plusieurs matrices de commutation, toutes ces matrices étant montées en parallèle avec une source de puissance commune ou bien chacune d'elle étant montée en parallèle avec plusieurs sources de puissance indépendantes, chaque matrice ayant plusieurs branches montées en série l'une avec l'autre et dont le nombre correspond au nombre desdites variables, chaque branche comprenant en certain nombre de contacts montés en parallèle actionnés par des détecteurs séparés surveillant la même variable, le nombre de contacts en parallèle dans chaque branche correspondant au nombre de détecteurs qui doivent répondre simultanément pour que soient prises lesdites mesures de sécurité grâce à des relais de sécurité montés en série avec lesdites matrices.
Dans une forme d'exécution particulière préferée, le circuit de commande contient plusieurs matrices disposées en parallèle, chacune d'elle comprenant un certain nombre de branches montées en série, qui, à leur tour, contiennent un certain nombre de contacts montés ni parallèle actionnés par les dispositifs de détection respectifs employées pour surveiller chacune des différentes variables séparées de l'installation. Les moyens relais fonctionnant pour arrêter le fonctionnement du réacteur en actionnant un contrôleur de commande de barres sont montés en série avec chaque matrice et peuvent fonctionner en réponse à l'actionnement d'un nombre approprié de contacts comme cela est déterminé par leur disposition dans les matrices respectives.
Le circuit de commande est disposé de telle sorte que le nombre de branches dans chaque matrice correspond au nombre de variables séparées de l'installation à surveiller; le nombre de contacts montés en parallèle dans chaque branche correspond au nombre de dispositifs de détection dont la réponse à une déviation à partir des conditions de fonctionnement en sécurité est nécessité afin que le fonctionnement du réacteur soit arrête; et le nombre de matrices employées dans le circuit de commande correspond au nombre nécessaire pour produire toutes les combinaisons logiques nécessaires de dispositifs de détection surveillant la même variable.
Afin que l'on puisse comprendre plus aisément cette invention on en décrira maintenant, plusieurs formes d'exécution particulières, en se référant aux dessins qui l'accompagnent, dans lesquels:
La figure 1 est un diagramme schématique d'une première forme d'exécution constituant un système de commande de sécurité de réacteur nucléaire employant une logique d'actionnement deux sur trois;
La figure 2 est un diagramme schématique d'une deuxième forme d'exécution similaire à celle de la figure 1, employant une logique d'actionnement deux sur quatre;
La figure 3 est un diagramme schématique d'une troisième forme d'exécution similaire à celles des figures 1 et 2, mais employant une logique d'actionnement trois sur quatre;
et
Les figures 4 et 4a montrent un diagramme schématique d'une variante de la deuxième forme d'exécution.
Les formes de réalisation représentées au dessin sont fondamentalement similaires. Dans chacune d'elles le système de commande de sécurité fonctionne pour surveiller chacune des nombreuses variables de fonctionnement d'une installation de réacteur nucléaire et pour suspendre le fonctionnement du réacteur chaque fois que n'importe laquelle des variables présente une condition que l'on a déterminé comme étant dangeureuse pour le fonctionnement de l'installation. Certaines des variables que l'on peut surveiller grâce au dispositif de détection approprié dans une installation typique sont les suivantes: le flux réfrigérant primaire; la pression dans la chambre de pression; le niveau de l'eau dans le générateur de vapeur; la présence de la charge; la condition du flux de neutron; etc.
Le présent système emploie une instrumentation superflue en ce sens que plusieurs dispositifs de détection indiqués par 10 sur les dessins sont disposés de façon à surveiller indépendament chacune des variables respectives. C'est une pratique classique en ce sens qu'il est impératif qu'un mauvais fonctionnement dans un des composants n'empêche pas le fonctionncment du système de sécurité du réacteur. Les dispositifs de détection 10 possédent chacun plusieurs contacts 12 associés qui sont actionnés par une bobine relais 14. Selon une autre disposition, par exemple afin d'obtenir une indépendance de fonctionnement, chaque contact 12 peut être disposé de façon a être actionné par un relais indépendant unique.
Les contacts 12 sont des contacts normalement ouverts et les bobines relais 14 sont généralement excitées pendant le fonctionnement du réacteur afin de fermer les contacts de telle sorte que le système fonctionne suivant un principe panne-sécurité. En fonctionnement, chaque dispositif de détection 10 est disposé de façon à désexciter sa bobine relais associée 14 lorsque la variable surveillée présente une condition préétablie, laquelle condition a été déterminée comme étant indésirable pour le fonctionnement du réacteur en sécurité.
Dans le mode de réalisation du diagramme des dessins, les dispositifs de détection 10 sont groupés en plusieurs canaux, qui, parce que c'est la disposition préférée pour raisons qui seront données ci-après, facilitent l'identification des composants respectifs. Chaque dispositif de détection est identifié par la variable qu'il surveille chacune des variables respectives étant désignée par un seul nombre 1, 2, 3 n. Par exemple, ceux des dispositifs de détection que surveillent le faible flux d'écoulement primaire sont désignés 1 , la haute pression dans la chambre de pression 2 , et la basse pression dans la chambre de pression 3 .
Afin de rendre la description plus brève on a illustré sur le diagramme un appareil pour surveiller seulement trois variables. On doit comprendre cependant qu'un nombre quelconque de variables peut être surveillé comme indiqué par les dispositifs de détection tels que n . Les canaux respectifs en lesquels les dispositifs de détection sont groupés sont désignés par les lettres capitales appropriées A, B, C, D, etc. Ici aussi, on peut employer un nombre quelconque de canaux; tout dépend du nombre de dispositifs de détection choisi pour surveiller chaque variable.
Les groupes individuels de contacts 12 associés avec chaque dispositif de détection 10 et connectés fonctionellement à chaque relais 14 sont désignées par les lettres minuscules a, b, c, etc, le nombre de contacts employés étant déterminé par le nombre de matrices que comprend le circuit de commande du système. Ainsi comme la description se développe, chacun des composants du système peut être identifié en fonction du canal et de la variable avec lesquels il est associé. Ainsi, les contacts Ala associés avec le dispositif de commande surveillant le flux de réfrigérant (1) dans le premier canal (A).
Le système de commande de sécurité du réacteur nucléaire est muni d'un circuit de commande 20 efficace pour actionner le mécanisme, indiqué comme étant un contrôleur 22 de barres de commande, qui est efficace pour amener les barres de commande du réacteur dans leur position entièrement allongée dans le noyau du réacteur, arrêtant de ce fait le fonctionnement du réacteur. Un tel contrôleur est représenté en détail sur la figure 4a. Enoncé généralement, le circuit de commande 20 est un arrangement des contacts 12 actionnés par les dispositifs de détection respectifs 10 disposés de telle sorte que le contrôleur de barres de commande 22 ne sera actionné que lorsqu'un nombre prédéterminé de dispositifs de détection surveillant chaque variable répond à une indication préétablie d'une déviation à partir du fonctionnement en sécurité du réacteur.
Afin d'actionner le contrôleur de barres de commande 22, les dispositifs de détection 10 surveillant la même variable doivent être actionnés simultanément pour empêcher de ce fait qu'il n'y ait d'arrêt non cécessaire du réacteur comme cela était possible dans les systèmes de la technique antérieure lorsqu'un mauvais fonctionnement ou un actionnement mal à propos des dispositifs de détection surveillant des variables séparées pouvaient arrêter le fonctionnement du réacteur.
En se reportant maintenant à la figure 1, on y voit une représentation schématique d'un système de commande employant trois dispositifs de détection 10 pour surveiller chacune des variables 1, 2, 3 n et pouvant arrêter le fonctionnement du réacteur chaque fois que n'importe lesquels de deux des trois dispositifs de détection surveillant l'une quelconque des variables est actionné. Les dispositifs de détection 10 sont représentés groupés en canaux, A, B, et C, chaque canal contenant plusieurs dispositifs de détection chacun d'eux surveillant une des variables séparées. Deux contacts 12 sont associés avec chaque dispositif de détection pour être actionnés par ceux-ci et sont respectivement identifiés comme contacts a et b .
Les contacts 12 qui sont des contacts normalement ouverts sont actionnés et fermés par l'excitation des bobines relais 14 chaque fois que le réacteur est en fonctionnement. Ainsi, les contacts 12 peuvent être ouverts par la désexcitation de leurs bobines relais respectives comme cela se produira lorsque le dispositif de détection actionnant chacun d'eux répondra à une condition préétablie de la variable à surveiller.
Le système de commande comprend un circuit de commande 20 comprenant un certain nombre de connections de contacts similaires séries-parallèles 12 actionnées par les divers dispositifs de détection 10 et disposées en matrices 24 qui sont représentées comme étant montées en parallèle sur les conducteurs de puissance 26 et 28. Chaque matrice 24 contient un certain nombre de branches montées en séries, désignées par 30, 32, 34 et 36, chacune d'elle consistant en des paires de contacts montés en parallèle et actionnés par les dispositifs de détection surveillant la même variable.
Comme représenté, chaque matrice 24 est identifiée par une combinaison des lettres capitales qui correspondent aux canaux avec lesquelles les contacts de chaque branche sont associés. Ainsi, la matrice AB contient les branches 30 à 36 se composant des contacts Ala et Bla, A2a et B2a, A3a et B3a, et Ana et
Bna actionnés par les dispositifs de détection groupés dans les canaux A et B. De façon similaire, la matrice
AC contient les branches 30 et 36 se composant des contacts Alb et C1a, A2a et C2a, A3b et C3a, et Anb et Cna actionnés par les dispositifs de détection groupés dans les canaux A et C. Et de façon similaire pour la matrice BC qui contient les contacts actionnés par les dispositifs de détection groupés dans les canaux B et C.
Montée en séries avec chaque matrice 24 il y a une bobine relais 38 adaptée pour actionner un groupe de contacts associés 40. Les bobines relais respectives 38 et les contacts 40 sont identifiés sur les dessins par des indices qui correspondent à la matrice appropriée avec laquelle chacun d'eux est associé. Les contacts 40 sont montés en série dans une ligne 42 contenant le contrôleur de barres de commande 22 de telle sorte que l'actionnement de n'importe lequel des contacts 40 est efficace pour actionner le contrôleur.
Le fonctionnement du système de commande de la figure 1 et le suivant. Lorsque l'installation de puissance est en fonctionnement, les bobines relais 14 associées avec tous les dispositifs de détection 10 sont excitées et ferment les contacts associés 12 qui sont disposés dans les matrices 24 comprenant le circuit de commande 20. Les bobines relais 38 montées en série avec chacune des matrices 24 sont donc excitées afin de fermer leur contact associé 40.
Si une variable présente une condition qui dévie d'une quantité prédéterminée d'une conditiom de fonctionnement en sécurité, par exemple si le flux réfrigérant primaire tombe sous la ligne de flux établie pour le dispositif de fonctionnement 10 surveillant cette variable, tous les dispositifs de détection Al, B1 et C1 seront actionnés pour désexciter leurs bobines relais 14, ouvrant de ce fait les contacts a et b associés avec chacun d'eux.
Ainsi les contacts Ala, Alb, Bla, Blb, Cla, et Clb dans les branches 30 des matrices 24 qui comprennent le circuit de commande 20 seront ouverts. Dans ce cas, le chemin de courant dans chacune des matrices AB, AC, et BC sera ouvert désexcitant de ce fait tous les relais 38, 38AC, et 38 et ouvrant les contacts 40 B, 38AB, 38AC, et 38BC et ouvrant les contacts 40AB, 40AC, et 40BC sur la ligne 42, actionnant ainsi le contrôleur de barres de commande 22 pour arrêter le fonctionnement du réacteur.
De façon similaire, si seulement deux des trois dispositifs de détection 10 associés avec la variable 1 sont actionnés et si par exemple, la bobine relais 14 associée avec l'un des dispositifs de détection surveillant cette variable, dans le canal B, par exemple, est court-circuitée, les contacts a et b actionnés par le dispositif de détection indiqué par A1 et C1 seront ouverts. Du fait du court-circuit, les contacts associés avec le dispositif de détection B1 resteront fermés. Une telle action interrompra le chemin de courant dans la matrice AC en ouvrant les contacts Alb et Cla dans la branche 30, désexcitant de ce fait la bobine relais 38AC et ouvrant les contacts 40AC dans la ligne 42 pour actionner le contrôleur de barres de commande 22.
Si, seulement, un seul des dispositifs de détection 10 surveillant cette variable, dans le canal A, par exemple était actionné, soit que cela provienne d'un maivais fonctionnement d'un composant ou de la réception d'un signal parasite, seuls les contacts Ala et
Alb dans le circuit de commande 20 s'ouvriront. Parce que les branches qui contiennent chaque matrice 24 sont faites de contacts montés en parallèle le chemin de courant à travers toutes les matrices ne sera pas interrompu puisque le contact Bla dans la matrice AB et Cla dans la matrice AC reste fermé empêchant de ce fait la désexcitation des bobines relais affectées 38.
Sur la figure 2 on voit représenté un système de commande de sécurité dans lequel on emploie quatre dispositifs de détection 10 pour surveiller chaque variable 1, 2, 3... n et la disposition du circuit de commande est telle que l'actionnement de deux quelconques des quatre dispositifs de détection actionnera le contrôleur de barres de commande 22. Comme représenté, le système modifié diffère de celui de la figure 1 en ce sens que les dispositifs de détection supplémentaires sont groupés dans le canal D. Puisque le système emploie une logique a deux sur quatre semblable à celle de la figure 1 chaque matrice 24 comprend des branches 30 à 36 faites de deux groupes de contacts montés en parralèle.
Cependant, du fait de la présence d'un canal supplémentaire D, et de la logique deux sur quatre le nombre de matrices 24 dans le circuit de commande 20 doit passer de trois comme cela était dans le dispositif précédent, à six. Celles-ci sont identifiées comme étant les matrices AB, AC, AD, BC, BD, et CD. Le nombre de matrices dans ce dispositif nécessite que chaque dispositif de détection 10 soit muni d'un groupe supplémentaire de contacts de telle sorte que, dans ce dispositif, chaque relais 14 fait fonctionner trois contacts, a, b, et c. De plus, la ligne 42 qui contient le contrôleur de barres de commande 22 comprend maintenant six contacts montés en séries 40AB, 40AC, 40AD, 40BC, 40BD, et 40CD actionnés par les bobines relais 38 montées en séries avec chacune des matrices respectives 24.
On se rendra compte que le fonctionnement du système de commande de ce mode de réalisation est sensiblement identique à celui de la figure 1, la seule différence provenant du fait que l'on fournit des chemins de courant supplémentaires définis-par la présence de matrices supplémentaires pour contrôler le fonctionnement du contrôleur 22.
Si deux quelconques ou plus des quatre dispositifs de détection 10 employés
pour surveiller l'une quelconque des variables sont actionnés, le chemin de courant défini par deux ou plus des matrices 24 sera interrompu pour désexciter le
(s) relais associé 38 ouvrant de ce fait les contacts associés 40 dans la ligne 42 pour actionner le contrô
leur. Tant qu'un seul dispositif de détection 10 est
actionné, tous les chemins de circuit définis par la
matrice 24 resteront non interrompus pour empêcher l'actionnement du contrôleur 22 permettant ainsi au
réacteur de continuer à fonctionner.
Le système de commande représenté sur la figure 3
est un système dans lequel l'actionnement de trois, au lieu de deux, des quatre dispositifs de détection 10 du dispositif de la figure 2 est nécessaire pour actionner le contrôleur de barres de commande 22. Dans ce
mode de réalisation de l'invention les canaux A, B, C
et D sont disposés d'une façon identique à celui du dispositif de la figure 2 chaque canal contenant un dispos- sitif de détection 10 pour surveiller chacune des variables de fonctionnement de l'installation 1, 2, 3... n et chaque dispositif de détection actionne trois contacts a, b et c.
La différence provient, cependant, de la disposition du circuit de commande 20 ou, du fait que le système est conçu pour fonctionner lors de l'actionne
ment de trois dispositifs de détection au lieu de deux, les matrices 24 comprennent des branches 30 à 36 montées en séries chacune d'elles consiste en trois contacts montés en parallèles. Parce que les seules combinaisons possibles des quatre canaux A, B, C et D en groupes sont ABC, ABD, ACD et BCD il a quatre matrices 24 dans le circuit, chacune d'elles correspondant à ces combinaisons respectives. Comme auparavant, chaque matrice 24 se termine suivant une bobine relais montée en séries 38 possédant un groupe de contacts associé 40.
Les contacts 40 sont montés en séries dans une ligne 42 contenant le contrôleur de barres de commande 22 de ce fait l'actionnement de l'une quelcon
que des bobines relais 38 actionnées par la matrice affectera l'actionnement du contrôleur.
La variante représentée sur les figures 4 et 4a est
un système sensiblement le même que celui de la figure 2 mais dans laquelle le circuit de commande,
représenté ici par 20', est disposé pour fonctionner avec plusieurs sources d'énergie indépendantes. Au moyen de ce dispositif on augmente la sécurité de fonctionnement du système de sécurité en ce sens que la fonction de protection n'est pas annulée par une panne d'une ou plusieurs sources d'énergie.
De plus, comme cela est mieux montré sous cette forme, on obtient de façon commode une isolation mutuelle de chacun des composants du système éliminant de ce fait la possibilité d'une rupture de la fonction de protection du système provenant d'un seul mauvais fonctionnement, tel qu'un court-circuit d'une partie du système qui pourrait vraisemblablement endommager le circuit de tout le système de commande s'il était logé dans une seule enceinte ou structure de logement comme cela s'est fait couramment jusqu'ici.
Dans le dispositif représenté chaque canal A, B, C, et
D peut être physiquement isolé l'un de l'autre comme peut l'être chaque dispositif de détection 10 qui constitue les canaux. De façon similaire, chaque circuit de matrice 24' peut être dispos dans des compartiments isolés séparés ou dans des dispositifs similaires.
Comme représenté, chacune des matrices 24' est
connectée à deux sources d'énergie indépendante 44,
lesquelles sources peuvent être celles qui alimentent en puissance chacun des canaux respectifs; A, B, C et D.
Ainsi, la matrice désignée comme étant la matrice AB
est montée en parallèle entre des sources de puissance
indépendantes 44A et 443. De façon similaire, la
matrice AC est montée en parallèle entre des sources
de puissance indépendantes désignées par 44A et .
Les matrices restantes AD, BC, BD, et CD, sont mon
tées de façon similaire en parallèle entre des sources de puissance indépendantes. Parce que l'énergie électrique
est envoyée au circuit de commande de cette façon une panne de puissance dans une des sources n'affectera pas la possibilité de fonctionnement des matrices asso
ciées. Il doit être évident, cependant, qu'une panne de
puisssance dans la source qui envoie de l'énergie élec
trique à l'un des canaux A, B, C ou D fera que les
contacts 12 associés avec tous les éléments de détection 10 contenus dans le canal affecté seront amenés à une position ouverte actionnant de ce fait un côté de chacune des matrices affectées.
Par exemple, si une panne de puissance se produit dans la source d'énergie à laquelle est connecté le canal A, laquelle source alimente également les matrices AB, AC, et AD, les matrices AB, AC, et AD ne seront pas mises hors circuit puisqu'elles recoivent également de la puissance des sources de puissance 44B, 44C, et 44D auxquelles sont respectivement connectés les canaux B, C, et D.
Une telle panne de puissance dans le canal A désexcitera, cependant, les relais 14 associés à tous les dispositifs de détection 10 contenus dans ce canal actionnant de ce fait leurs contacts 12 les amenant en position ouverte. Ceci entraînera une ouverture des contacts Ala, A2a, et Ana dans le matrice AB. Dans la matrice AC les contacts Alb, A2b, A3b, et Anb seraient également ouverts et de même dans la matrice
AD pour les contacts Aie, A2c, A3c, et Anc. Mais, bien que tous ces contacts aient été actionnés, aucun n'arrêt non necessaire du réacteur ne se produit puisque les contacts associés avec les dispositifs de détection dans les canaux B, C, et D resteront fermés, empêchant ainsi l'actionnement du contrôleur de barres de commande. Dans le dispositif divulgué sur les figures 4 et 4a, on utilise encore plus ce principe de composant superflu.
Les bobines relais 38 montées en séries avec chacune des matrices de la Figure 2 sont remplacées par des groupes de relais indiqués par 46 et l'indice approprié a la matrice à laquelle chacun d'eux est connecté. Chaque groupe de relais comprend quatre bobines montées en parallèle chacune d'elle actionnant un groupe associé de contacts désigné par 1, 2, 3, et 4 dans chaque groupe. Ces groupes de contacts sont disposés dans le circuit de la figure 4a qui correspond à la ligne 42 de la figure 2 de telle sorte qu'il existe maintenant quatre lignes indépendantes pouvant fonctionner pour actionner le contrôleur de barres de commande.
Le contrôleur de barres de commande et son circuit de fonctionnement de la figure 4a remplace la ligne 42 dans le mode de réalisation de l'invention représenté sur la figure 2 et comprend plusieurs bobines 48 de fermeture de barres de commande montées en parallèle entre deux sources indépendantes de puissance continue 50 et 52. Chacune des sources de puissance continue 50 et 52 reçoit de l'énergie électrique de deux sources alternatives indépendantes qui peuvent être les mêmes sources de puissance qui alimentent les canaux respectifs 44A et 44B dans le cas de la source continue 50 et 44c et 44D dans le cas de la source continue 52. La connnection se fait entre les sources de puissance alternative et continue grâce aux lignes 54 et 56 par l'intermédiaire des commutateurs 58 bipolaires actionnés à la main.
Ces commutateurs 58 permettent aux sources de puissance continue 50 d'être alimentées alternativement par les sources alternative 44A ou 44B et à la source de puissance continue 52 d'être alternativement alimentée par les sources 44c ou 44D Les contacts de rupture de circuit 60 sont contenus dans chacune des lignes 54 et 56. Ils sont actionnés par les bobines relais 62, 64, 66 et 68 contenues dans les lignes 70, 72, 74 et 76 qui sont connectées aux sources alternative 44A, 44, 44c, et 44D respectivement.3 alternative 44A, 44B, 44C, et 44D respectivement.
Connectés en séries dans chacune des lignes 70, 72, 74 et 76 on trouve un groupe de contacts 1, 2, 3 ou 4 actionnés par chacune des bobines dans chaque groupe de relais 46 associé avec les matrices du circuit de commande. Ces contacts sont identifiés par leur nombre approprié ainsi que par un préfixe approprié pour indiquer la matrice avec laquelle chaque groupe de contacts est associé.
Le fonctionnement du contrôleur de la figure 4a est tel que chaque fois qu'une matrice affectée est actionnée pour désexciter son groupe de relais connecté 4, toutes les bobines dans le groupe affecté seront désexcitées ouvrant de ce fait les contacts actionnés par chacune d'elle. Par exemple, lorsque le groupe de relais 46AB est actionné pour désexciter chacune des bobines dans ce groupe les contacts AB1 dans la ligne 70, AB2 dans la ligne 72, AB3 dans la ligne 74, et
AB4 dans la ligne 76 s'ouvriront pour ouvrir la ligne dans laquelle chacun d'eux est contenu.
La rupture des lignes 70, 72, 74 ou 76 oblige les relais 62, 64, 66 ou 68 à être désexcités ouvrant ainsi les contacts 60 qui envoient de la puissance alternative aux alimentations de puissance continue 50 et 52 désexcitant de ce fait toutes les bobines d'accouplement 48 ce qui à son tour oblige les barres de commande actionnées par chacune d'entre elle à tomber rapidement et à prendre leur position entièrement étendue dans le noyau du réac- teur, de ce fait arrêtant le fonctionement du réacteur.
Ainsi, grâce au système divulgué, tant qu'une des sources de puissance continue 50 ou 52 est en service le contrôleur de barres de commande peut fonctionner.
Les systèmes de commande de sécurité décrits sont caractérisés par leur simplicité de conception et leur sécurité de fonctionnement. Du fait de la disposition particulière des contacts actionnés par les détecteurs dans le circuit de commande, la mise en oeuvre de la fonction de protection du système est assurée dans toutes les cas nécessitant une telle mise en oeuvre et est empêchée dans les cas qui autrement entraîneraient un arrêt qui n'est pas nécessaire du réacteur. De plus, ces systèmes de commande de sécurité sont caractérisés par la souplesse de la conception en ce sens que n'importe quel nombre de variables de fonctionnement de l'installation peut être absorbé simplement en fournissant un nombre accru de branches dans chacune des matrices du circuit de comande.
De tels systèmes peuvent de plus s'adapter à des modification dans la logique d'actionnement en fournissant l'actionnement d'un nombre quelconque de dispositifs de détection nécessaires pour remplir la fonction de protection. Ceci se fait en augmentant le nombre de contacts montés en parallèle que comprend chacune des branches de matrice.
Les dispositifs décrits peuvent également être utiles dans d'autres applications nécessitant des précautions de sécurité similaires. En outre d'autres formes d'exécution sont possibles. Par exemple, les contacts des matrices n'ont pas besoin d'être nécessairement des commutateurs actionnés par relais mais peuvent être simplement des moyens de commutation électroniques actionnés par des détecteurs.