FR2499298A1 - Systeme d'alimentation electrique d'un reacteur nucleaire - Google Patents
Systeme d'alimentation electrique d'un reacteur nucleaire Download PDFInfo
- Publication number
- FR2499298A1 FR2499298A1 FR8124018A FR8124018A FR2499298A1 FR 2499298 A1 FR2499298 A1 FR 2499298A1 FR 8124018 A FR8124018 A FR 8124018A FR 8124018 A FR8124018 A FR 8124018A FR 2499298 A1 FR2499298 A1 FR 2499298A1
- Authority
- FR
- France
- Prior art keywords
- signals
- signal
- protection
- reactor
- channel
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 claims description 99
- 230000008569 process Effects 0.000 claims description 74
- 238000012360 testing method Methods 0.000 claims description 56
- 238000009434 installation Methods 0.000 claims description 31
- 230000002159 abnormal effect Effects 0.000 claims description 16
- 238000005259 measurement Methods 0.000 claims description 14
- 230000001681 protective effect Effects 0.000 claims description 9
- 230000005540 biological transmission Effects 0.000 claims description 8
- 230000004044 response Effects 0.000 claims description 7
- 230000000712 assembly Effects 0.000 claims description 5
- 238000000429 assembly Methods 0.000 claims description 5
- 239000013307 optical fiber Substances 0.000 claims description 5
- 238000001514 detection method Methods 0.000 claims description 4
- 230000003993 interaction Effects 0.000 claims description 4
- 230000007257 malfunction Effects 0.000 claims description 3
- 230000003287 optical effect Effects 0.000 claims description 3
- 230000001419 dependent effect Effects 0.000 claims description 2
- 230000011664 signaling Effects 0.000 claims 1
- 230000001131 transforming effect Effects 0.000 claims 1
- 238000004326 stimulated echo acquisition mode for imaging Methods 0.000 abstract description 3
- RLQJEEJISHYWON-UHFFFAOYSA-N flonicamid Chemical compound FC(F)(F)C1=CC=NC=C1C(=O)NCC#N RLQJEEJISHYWON-UHFFFAOYSA-N 0.000 abstract description 2
- 238000012544 monitoring process Methods 0.000 abstract description 2
- 238000004422 calculation algorithm Methods 0.000 description 34
- 230000015654 memory Effects 0.000 description 29
- XLYOFNOQVPJJNP-UHFFFAOYSA-N water Substances O XLYOFNOQVPJJNP-UHFFFAOYSA-N 0.000 description 22
- 229910003460 diamond Inorganic materials 0.000 description 20
- 239000010432 diamond Substances 0.000 description 20
- 239000003507 refrigerant Substances 0.000 description 16
- 230000009471 action Effects 0.000 description 15
- 238000004891 communication Methods 0.000 description 12
- 238000012545 processing Methods 0.000 description 12
- 230000006870 function Effects 0.000 description 10
- 230000000694 effects Effects 0.000 description 9
- 239000013598 vector Substances 0.000 description 7
- 238000004364 calculation method Methods 0.000 description 5
- 230000004907 flux Effects 0.000 description 5
- 238000012423 maintenance Methods 0.000 description 5
- 230000001343 mnemonic effect Effects 0.000 description 5
- 238000006243 chemical reaction Methods 0.000 description 4
- 239000002826 coolant Substances 0.000 description 4
- 230000000737 periodic effect Effects 0.000 description 4
- 238000010586 diagram Methods 0.000 description 3
- 230000002441 reversible effect Effects 0.000 description 3
- IJGRMHOSHXDMSA-UHFFFAOYSA-N Atomic nitrogen Chemical compound N#N IJGRMHOSHXDMSA-UHFFFAOYSA-N 0.000 description 2
- 230000008901 benefit Effects 0.000 description 2
- 230000007717 exclusion Effects 0.000 description 2
- 239000012530 fluid Substances 0.000 description 2
- 238000010438 heat treatment Methods 0.000 description 2
- 229910052757 nitrogen Inorganic materials 0.000 description 2
- 230000009467 reduction Effects 0.000 description 2
- 238000010187 selection method Methods 0.000 description 2
- 238000010998 test method Methods 0.000 description 2
- 238000012935 Averaging Methods 0.000 description 1
- ZOXJGFHDIHLPTG-UHFFFAOYSA-N Boron Chemical compound [B] ZOXJGFHDIHLPTG-UHFFFAOYSA-N 0.000 description 1
- 102100040853 PRKC apoptosis WT1 regulator protein Human genes 0.000 description 1
- 101710162991 PRKC apoptosis WT1 regulator protein Proteins 0.000 description 1
- 230000004913 activation Effects 0.000 description 1
- 238000004458 analytical method Methods 0.000 description 1
- 238000013475 authorization Methods 0.000 description 1
- 238000009835 boiling Methods 0.000 description 1
- 229910052796 boron Inorganic materials 0.000 description 1
- 239000003990 capacitor Substances 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 230000001427 coherent effect Effects 0.000 description 1
- 230000006835 compression Effects 0.000 description 1
- 238000007906 compression Methods 0.000 description 1
- 230000001143 conditioned effect Effects 0.000 description 1
- 238000012937 correction Methods 0.000 description 1
- 230000007423 decrease Effects 0.000 description 1
- 238000009795 derivation Methods 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 230000008030 elimination Effects 0.000 description 1
- 238000003379 elimination reaction Methods 0.000 description 1
- 230000003628 erosive effect Effects 0.000 description 1
- 238000000605 extraction Methods 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- 230000000977 initiatory effect Effects 0.000 description 1
- 238000002955 isolation Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000011017 operating method Methods 0.000 description 1
- 230000035515 penetration Effects 0.000 description 1
- 238000005057 refrigeration Methods 0.000 description 1
- 238000000926 separation method Methods 0.000 description 1
- 238000005507 spraying Methods 0.000 description 1
- 239000008400 supply water Substances 0.000 description 1
- 238000012549 training Methods 0.000 description 1
- 230000001052 transient effect Effects 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
- PISGDJRBMJWASY-UHFFFAOYSA-N xxxx-4 Chemical compound O=C1C(C)=C(OC)OC(C2OC3(CC2)C(C2(C)C=C(C)C=C(C)C23)C=2C=CC(=CC=2)[N+]([O-])=O)=C1C PISGDJRBMJWASY-UHFFFAOYSA-N 0.000 description 1
Classifications
-
- G—PHYSICS
- G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
- G21C—NUCLEAR REACTORS
- G21C17/00—Monitoring; Testing ; Maintaining
-
- G—PHYSICS
- G21—NUCLEAR PHYSICS; NUCLEAR ENGINEERING
- G21D—NUCLEAR POWER PLANT
- G21D3/00—Control of nuclear power plant
- G21D3/08—Regulation of any parameters in the plant
- G21D3/10—Regulation of any parameters in the plant by a combination of a variable derived from neutron flux with other controlling variables, e.g. derived from temperature, cooling flow, pressure
-
- F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
- F22—STEAM GENERATION
- F22B—METHODS OF STEAM GENERATION; STEAM BOILERS
- F22B35/00—Control systems for steam boilers
- F22B35/004—Control systems for steam generators of nuclear power plants
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B9/00—Safety arrangements
- G05B9/02—Safety arrangements electric
- G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
- Y02E30/00—Energy generation of nuclear origin
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02E—REDUCTION OF GREENHOUSE GAS [GHG] EMISSIONS, RELATED TO ENERGY GENERATION, TRANSMISSION OR DISTRIBUTION
- Y02E30/00—Energy generation of nuclear origin
- Y02E30/30—Nuclear fission reactors
Landscapes
- Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- Plasma & Fusion (AREA)
- High Energy & Nuclear Physics (AREA)
- Automation & Control Theory (AREA)
- Combustion & Propulsion (AREA)
- Thermal Sciences (AREA)
- Mechanical Engineering (AREA)
- General Physics & Mathematics (AREA)
- Chemical & Material Sciences (AREA)
- Monitoring And Testing Of Nuclear Reactors (AREA)
- Safety Devices In Control Systems (AREA)
- Supply Devices, Intensifiers, Converters, And Telemotors (AREA)
- Radiation-Therapy Devices (AREA)
- Apparatus For Radiation Diagnosis (AREA)
- Discharge Heating (AREA)
- Particle Accelerators (AREA)
- Elimination Of Static Electricity (AREA)
- Physical Or Chemical Processes And Apparatus (AREA)
- Stroboscope Apparatuses (AREA)
Abstract
A.CENTRALE NUCLEAIRE. B.CARACTERISEE PAR UN REACTEUR NUCLEAIRE 63 RELIE A DES GENERATEURS DE VAPEUR 17, 17 DEBOUCHANT DANS UN COLLECTEUR DE VAPEUR 47, COMMUN, ALIMENTANT LA TURBINE 19 QUI ENTRAINE L'ALTERNATEUR 21 AINSI QU'UN RECHAUFFEUR 25 ET UN SYSTEME DE PROTECTION 53 RELIE A UN APPAREIL DE PROTECTION 57 ET A UN SELECTEUR DE SIGNAUX PAR LE SYSTEME DE COMMANDE 55 ET DES ENSEMBLES DE CAPTEURS 71, 79. C.L'INVENTION CONCERNE LA SURVEILLANCE ET LA COMMANDE D'UNE CENTRALE NUCLEAIRE.
Description
La présente invention concerne un système d'ali-
mentation électrique d'un réacteur nucléaire par la conversion de l'énergie thermique. Il y a une relation particulière entre la détection, la mesure et l'observation des paramètres des procédés de fonctionnement d'une installation d'alimentation servant à cet effet et pour la protection, le branchement des composants de cette installation suivant les manifestations de
fonctionnement anormales ou d'état anormal de ces composants.
Dans la description suivante, la détection, la mesure et l'obser-
vation seront dans la plupart des cas appelées "mesures".
De façon caractéristique, une centrale électrique
à réacteur nucléaire comporte un réacteur nucléaire et les élé-
ments coopérant avec celui-ci. De façon caractéristique, ces
éléments sont les générateurs de vapeur, la turbine, l'alterna-
teur entrainà par la turbine, le condenseur et les dispositifs
de chauffage nécessaires ainsi que les pompes. Un fluide réfri-
gérant passe dans le corps du réacteur. Lorsque le réacteur est à eau préssurisée,les composants qui coopèrent avec le réacteur comportent un pressuriseur et le fluide réfrigérant passe dans une boucle primaire à travers chaque générateur de vapeur pour effectuer un échange de chaleur, l'eau d'alimentation étant
fournie au générateur de vapeur. L'eau d'alimentation est trans-
formée en vapeur pour entraîner la turbine. Les opérations caractéristiques sont la génération de l'énergie nucléaire par le réacteur, le chauffage du fluide réfrigérant par le coeur du réacteur, la conversion de l'eau en vapeur, le débit de vapeur vers la turbine, le débit d'eau d'alimentation vers le générateur
de vapeur et la compression du réfrigérant par le pressuriseur.
Dans un réacteur à eau pressurisée, le réfrigérant doit être
maintenu à la température et à la pression critiques. Les para-
mètres caractéristiques qui sont détectés, mesurés ou observés sont la puissance générée par le réacteur, la température du réfrigérant, la pression de la vapeur et le niveau de l'eau d'alimentation dans les générateurs de vapeur, la pression et
le niveau du réfrigérant dans le pressuriseur, le débit; c'est-
à-dire le débit par rapport au temps de l'eau d'alimentation, et les paramètres de catégorie tels que l'état d'un commutateur ouvert ou fermé, Le terme "anormal" appliqué à une condition ou à un état signifie que cette condition et cet état est au-dessus ou en-dessous des limites fixées, telles qu'elles sont indiquées
par la mesure du paramètre applicable.
Dans la mesure des paramètres, on applique le principe de la redondance. Chaque paramètre est mesuré par un ensemble de capteurs identiques. Les signaux fournis par les capteurs sont traités séparément. Pour éviter la réaction cor- respondant à des signaux erratiques, il-faut recevoir au moins deux signaux indiquant un état anormal pour le traitement. Dans le cas du présent exemple, l'ensemble de capteurs qui mesurent un paramètre d'un procédé est appelé "assemblage de capteurs" ou "ensemble de capteurs". Les capteurs distincts de chaque
ensemble sont appelés "moyens-capteurs". L'expression "moyens-
capteurs" est utilisée car dans certains cas, par exemple dans les mesures de puissance à l'extérieur du coeur, l'ensemble de capteurs comporte des groupes de plusieurs capteurs. Il est souhaitable d'évaluer la fiabilité de la validité des différents
signaux de paramètres de chaque ensemble de signaux pour déter-
miner leur véracité ou leur degré d'erreur.
Suivant les enseignements de l'art antérieur, on a un système de protection et un système de commande pour répondre par un effet approprié aux signaux des paramètres des procédés
opérationnels. Le système de protection assure un effet de pro-
tection tel que l'ouverture pour la coupure, qui se produit à la suite de signaux anormaux qui sont arrivés dans un étage demandant une telle action. Le système de commande répond aux signaux des paramètres décalés vers l'état anormal ou l'étage demandant un effet de protection en appliquant au réacteur ou à ses composants, des ordres tendant à contrecarrer cette dérive
ou ce décalage.
De même selon la pratique habituelle, le système de commandedériveà certaines de ses entrées des signaux des
paramètres de traitement qui sont appliqués au système de pro-
tection. Cela assure que le réacteur nucléaire et les composants qui coopèrent avec lui sont commandés en fonction des mêmes mesures de procédé que celles qui servent à les protéger. Le système de commande fonctionne ainsi pour maintenir. des marges entre les conditions de travail et les limites de sécurité du procédé et pour réduire le risque de déclenchements accidentels
de l'installation de protection.
Alors que le système de commande est destiné à
maintenir des conditions normales dans l'installation d'alimen-
tation et maintenir ainsi les marges des limites de sécurité, il existe de façon caractéristique deux cas dans lesquels les points de réglage de déclenchement de l'installation, sont variables et sont calculés par le système de protection, les marges de déclenchement au niveau de ces points de réglage ser- vant directement comme variables commandées dans le système de commande. Un cas de commande directe de marge effectuée par le système de commande pour lequel la marge de déclenchement
soit pour une déviation faible par rapport au rapport d'ébulli-
tion nucléaire ou pour un coefficient KW/ft, élevé dans le réacteur, suivant celui qui est le plus faible, sert à commander la répartition axiale de puissance du réacteur suivant un état plus équilibré pour réduire les coefficients de puissance, maxima et augmenter la marge au déclenchement. Le coefficient "DNBR" (déviation suivant le rapport d'ébullition nucléaire) est une indication de la déviation du réfrigérant du réacteur par rapport à la température critique et/ou la pression. Par exemple si la pression du réfrigérant diminue, le réfrigérant peut se mettre à ébullition. Le système de protection définit une marge en fonction de la demande de l'installation. Si la
marge est dépassée, l'installation est arrêtée. Toutefois, lors-
qu'on se rapproche de la marge, le système de commande réagit
pour augmenter la pression du réfrigérant ou réduire la tempé-
rature du réfrigérant ou-encore prendre d'autres mesures. Le rapport KW/ft est la puissance thermique par unité de longueur (ce rapport est usuellement utilisé dans cette technique, l'unité de longueur étant le pied c'est-à-dire 30 centimètres), puissance thermique développée dans le réacteur au point le plus chaud c'est-à-dire à l'endroit o le coeur du réacteur a tendance à créer un point chaud. Cette marge est également fixée par le système de protection en fonction des demandes de puissance à l'installation. Si la marge est dépassée, l'installation est arrêtée par le système de protection. Toutefois, le système de
commande réagit pour éviter que l'on ne dépasse pas la marge.
Dans chaque cas o soit DNBR ou soit KW/ft est faible, le sys-
tème de commande demande une intervention.
Le coefficient DNBR est fourni par l'instrumenta-
tion nucléaire c'est-à-dire par les détecteurs à l'extéjieur du coeur et par des mesures de puissance QN-16' à partir de la position de commande des barres, à partir de la température de
la branche froide, et à partir de la pression du pressuriseur.
Le coefficient KW/ft est dérivé des mesures de paramètres ci-
dessus à l'exception de la pression du pressuriseur. Cet effet de commande est exécuté par la combinaison des variations de concentration de bore et la commande du mouvement des barres cette commande est effectuée seulement si l'une des marges devient extrêmement faible. Les signaux de marge utilisés pour cette fonction de commande sont calculés à l'aide des calculs des limites du noyau dans chaque système de protection. Un autre cas de commande directe de marge est exécuté en combinaison avec la protection de chutes de barres.Si unegarre de commande tombe dans le coeur, le système de commande fonctionne pour mettre la turbine à une puissance plus faible. La barre est extraite par des organes de manoeuvre télécommandés. La protection contre les chutes de barres fonctionne pour déterminer un point de réglage de déclenchement de flux de neutrons, élevé, inférieur à la puissance maximale, suivant un cas de flux négatif, élevé, provoqué par la chute d'un ou de plusieurs ensembles de barres de commande. Le point de réglage est fixé par le système de
protection en fonction du réglage de la puissance de l'instal-
lation. Si le flux de neutrons est trop élevé pour le réglage
de la puissance, le système de protection arrête l'installation.
Toutefois si l'on se rapproche de la marge, le système de com-
mande effectue des corrections. De façon caractéristique, le système de commande agit pour réduire la demande de. puissance à l'installation endessous du point de réglage, en évitant
l'extraction des barres de commande et en commençant une réduc-
tion de la vitesse de la turbine, qui se termine ultérieurement lorsque la puissance de la turbine est en-dessous du point de
réglage de déclenchement du réacteur.
La-dérivation des signaux du système de commande par le système de protection présente l'avantage de réduire le nombre de mesures redondantes nécessaires à chaque opération et la complexité globale de l'installation à la pénétration de la frontière critique. Cela aboutit à la réduction des exigences de séparation dans la partie protégée ainsi que du coût de
l'installation et des conditions d'entretien.
Pour arriver à ces avantages, il faut prendre certaines mesures pour assurer l'indépendance du système de protection et du système de commande. Le document IEEE-279-1971 "IEEE Standard Criteria for Protection Systems for Nuclear Power Generating Stations", (en particulier la partie 4.7) donne des critères auxquels une installation à réacteur nucléaire doit satisfaire si les signaux de protection sont également utilisés par le système de commande. En plus de l'indication que les dispositifs d'isolation doivent être prévus pour assurer le système de protection contre les incidents électriques du système de commande, le document IEEE279 contient le passage suivant qui concerne l'interaction fonctionnelle du système de protection et du -&ystème de commande: 4;7.3 incident aléatoire isolé. Lorsqu'un incident aléatoire isolé peut mettre en oeuvre un système de commande de façon qu'il provoque un état nécessitant une action de protection et peut également éviter une action appropriée du canal du système de protection destiné à protéger contre cet état, les canaux de protection redondants, qui subsistent, et pouvoir assurer une action de protection même s'ils
sont détériorés par un second incident aléatoire.
Des moyens doivent être prévus de façon que cette
condition soit toujours satisfaite lorsqu'un canal est court-
circuité ou n'est plus en service pour des raisons d'entretien ou d'essai. Des moyens acceptables consistent à réduire la coïncidence nécessaire, à annuler les signaux de commande venant des canaux redondants ou à commencer une action de protection
à partir du"canal court-circuité".
La présente invention a pour but de créer une installation d'alimentation électrique à réacteur nucléaire dans laquelle les signaux du système de commande sont dérivés
du système de protection qui doit être structuré et doit fonc-
tionner pour satisfaire à ce critère.
Dans l'installation connue, ce critère est satis-
fait par une logique donnant deux parmi quatre (2/4) signaux de traitement de protection, qui sont également utilisés pour la commande. Cela signifie que l'on transmet quatre signaux pour chaque paramètre du procédé vers le système de protection et le système de commande. Pour réduire l'action de protection ou de commande, il faut deux signaux indiquant l'état anormal ou la demande d'action de protection pour un procédé. Lorsqu'un canal est scoupé' pour effectuer des essais ou des opérations d'entretien, l'action de protection ou les actions de ce canal
ont été démarrées pour que la logique des autres canaux corres-
ponde à un choixun parmi trois" (1/3). Lorsqu'on travaille selon le mode 1/3, l'appareil est exposé aux risques qu'une seule défaillance de composant qui peut être aléatoire, provoque un déclenchement accidentel de l'installation. Lorsqu'un canal de protection est mis en essai ou enentretien, l'opérateur manoeuvre un commutateur pour
couper le canal par rapport à l'entrée du système de commande.
Si l'opérateur ne connaît pas le canal qui est à l'essai, il
ne peut manoeuvrer le commutateur, si bien qu'il peut en résul-
ter un incident de fonctionnement de l'installation.
L'invention a pour but de remédier aux inconvé-
nients mentionnés ci-dessus des solutions connues et se propose
de créer un système d'alimentation électrique à réacteur nu-
cléaire avec redondance pour sa protection et sa commande, en
supprimant le risque de déclenchement accidentel de l'installa-
tion par une seule défaillance de ces canaux à signaux à para-
mètres de procédé.
A cet effet, l'invention concerne un système d'alimentation électrique à réacteur nucléaire comprenant un réacteur nucléaire, un ensemble de composants reliés au réacteur
pour transformer l'énergie thermique générée par le réacteur -
en une énergie électrique, plusieurs ensembles de capteurs reliés au réacteur et à certains des composants pour détecter les paramètres de procédé du réacteur et de certains composants,' chaque ensemble de capteurs comportant plusieurs moyens-capteurs analogues pour capter les paramètres de procédé que l'ensemble de capteurs dont fait partie le moyen-capteur est susceptible de détecter, chacun des moyens-capteurs identiques donnant des signaux de mesure des paramètres détectés par l'ensemble de capteurs, un système de protection avec plusieurs unités de protection, identiques, un moyen reliant un même capteur de
chaque ensemble de capteurs à une unité de protection corres-
pondante pour appliquer à l'unité de protection, le signal produit par le moyen-capteur branché, et une installation de protection répondant au système de protection pour assurer une opération de protection de l'installation seulement si plus
d'une unité de protection reçoit des signaux du capteur corres-
pondant indiquant un fonctionnement erroné du réacteur et/ou certains composants dont les paramètres de procédé sont détectés par le moyencapteur correspondant, un système de commande, des moyens reliant le système de commande en relation avec le
réacteur et avec au moins certains composants, cette installa-
tion étant caractérisée en ce que le système comporte plusieurs canaux distincts, reliés séparément & chaque unité de protection
et au système de commande pour transmettre au système de com-
mande les signaux dérivés à partir de chaque moyen-capteur correspondant à chaque unité de protection, pour mettre en oeuvre le système de commande et commander le réacteur et/ou
ses composants comme indiqué ci-dessus, en fonction de l'infor-
mation des signaux appliqués au système de commande pour le fonctionnement anormal du réacteur et/ou de ses composants, et un moyen de sélection de signaux prévu entre les canaux et le système de commande pour éviter la transmission vers le système de commande à partir des unités de protection, des signaux d'un moyen-capteur d'un ensemble de capteurs, signaux qui diffèrent
de façon significative des signaux de moyens-capteurs du m&me en-
semble de capteurs et pour permettre la transmission au système
de commande des signaux du moyen-capteur de l'ensemble de cap-
téurs qui ne diffèrent pas de façon significative des signaux
des autres moyens-capteurs de cet ensemble de capteurs.
Suivant un mode de réalisation préférentiel de l'invention, on courtcircuite un canal qui est en essai ou en
entretien. La logique 2/4 pour déclencher l'installation d'ali-
mentation est transformée en une logique 2/3. Le paragraphe 4.7.3 du document IEEE-279 exige qu'aucune défaillance n'entratne une action de commande inverse et évite une réponse appropriée du canal de protection pour protéger de nouveau l'action inverse de la commande, par exemple par suite d'un incident dans ce canal de protection. Pour satisfaire à ce critère, un sélecteur ou moyen de sélection de signaux est prévu entre chaque canal de protection et le système de commande pour rejeter les signaux qui peuvent aboutir à une action barrée de la commande. Ce moyen de sélection de signaux laisse passer vers le système de commande à partir de chaque canal de protection seulement les signaux qui sont représentatifs de l'état réel du procédé en cours d'observation c'est-àdire des signaux vrais en rejetant les
signaux qui sont faux. Les signaux qui sont des mesures de cha-
que paramètre de chaque procédé transmis par les différents
canaux sont comparés et tout signal qui diffère de façon signi-
ficative des autres signaux mesurant le même paramètre est rejeté. La différence significative est une amplitude égale au
double de la variation autorisée des signaux mesurant le para-
mètre en question. Suivant un mode de réalisation préférentiel de l'invention, les interactions électriques entre les unités de protection du système de protection et le système de commande ne peuvent laisser passér les signaux de chaque unité vers le
moyen de sélection de signaux et le système de commande à tra-
vers des moyens optiques.
Le moyen de sélection de signaux comporte une paire d'unités de sélection de signaux. Chaque unité est un calculateur et en particulier un microcalculateur. Tous les
signaux de procédé sont appliqués séparément aux deux unités.
Le système de commande comporte un canal de commande primaire
communiquant avec une unité de sélection et un canal de com-
mande secondaire communiquant avec l'autre unité. En coopération avec les unités de sélection et le canal de commande, on a une unité à signal de test. A des intervalles, on injecte des signaux d'essai ou de test dans une unité de sélection choisie à travers un commutateur. Pendant ces intervalles, le passage des signaux du procédé vers l'unité choisie et le passage des signaux de procédé vers le canal de commande relié à l'unité
de sélection choisie sont interrompus. Le but du moyen de sélec-
tion de signal est de rendre le système de commande insensible à des défaillances isolées dans les unités de protection du système de protection. Les mesures dérivées de ces procédés
se présentent sous forme de signaux analogiques. Un convertis-
seur analogique/numérique (convertisseur A/D) est prévu dans chaque unité de protection et est interposé entre le capteur et le moyen de sélection de signal pour convertir ces signaux analogiques en des grandeursnumériques. Les signaux numériques
mesurant les procédés différents sont multiplexés par des liai-
sons de données dans le moyen de sélection et si les signaux
sont vrais, dans le système de commande.
La présente invention sera décrite plus en détail à l'aide des dessins annexés, dans lesquels -la figure 1 est un schéma d'une installation d'alimentation électrique d'un réacteur nucléaire selon un mode de réalisation de l'invention. = - la figure 2 est un schéma d'une unité de protection
* 2499298
du système de protection de l'installation de la figure 1, de son canal de communication, coopérant et de sa relation avec les
autres parties de l'installation représentée à la figure 1.
- la figure 3 est un schéma des canaux de communi-
cation, distincts de l'appareil représenté à la figure 1, du moyen de sélection de signal et du système de commande ainsi
que de la relation de coopération entre les différentes parties.
- la figure 4 montre le sous-programme de l'algo-
rithme de chaque unité de sélection de signaux pour le traite-
ment global de tous les ensembles de signaux de paramètres de procédé.
- la figure 5 montre le sous-programme d'initiali-
sation de l'algorithme de chaque unité de sélection de signal réglant l'exécution de la procédure d'initialisation pour les
signaux de chaque paramètre de procédé.
- la figure 6 montre le sous-programme de sélec-
tion de l'algorithme de chaque unité de sélection de signal
réglant l'exécution de la procédure de sélection de signal.
- la figure 7 montre le sous-programme de compa-
raison de l'algorithme pour chaque unité de sélection de signal pour l'exécution de la comparaison de chaque signal mesurant un
paramètre avec les autres signaux mesurant le mame paramètre.
- la figure 8 montre le sous-programme de sortie
de l'algorithme commandant la sortie de chaque unité de sélec-
tion de signal.
Les figures 1 à 3 représentent une installation électrique à réacteur nucléaire 11 ou centrale nucléaire, qui est de façon caractéristique à eau pressurisée. La centrale 11 se compose d'un réacteur nucléaire 13, de générateurs de vapeur 15, 17, d'un pressuriseur 18, d'une turbine 19, d'un alternateur 21, d'un condenseur 23 et de réchauffeurs 25 pour préchauffer le oendensat fourni par le condenseur. Bien que les figures ne montrent que deux générateurs de vapeur 15, 17, il peut y avoir plus de deux générateurs et de préférence quatre. La centrale 11 comporte des boucles distinctes 27, 29 fournissant du fluide réfrigérant au réacteur. Chaque boucle 27, 29 comporte des
conduites primaires 31 pour le générateur de vapeur correspon-
dant. Chaque boucle 27, 29 comporte une branche chaude 33 à travers laquelle passe le réfrigérant chaud vers le collecteur d'entrée 35 du générateur de vapeur. A travers les tubes 32, le réfrigérant chaud effectue un échange de chaleur avec l'eau d'alimentation fournie au générateur. Chaque boucle 27, 29 comporte également une branche froide 37 à travers laquelle le réfrigérant dont la température a été réduite par échange de chaleur, revient au réacteur 13 à partir du collecteur de sortie 39 du générateur de vapeur. Chaque boucle comporte une pompe 41 pour mettre en circulation le réfrigérant dans la boucle. Chaque générateur de vapeur 15, 17 est également alimenté séparément c'est-àdire par des boucles secondaires distinctes, en eau d'alimentation du condenseur 23 par l'intermédiaire du réchauffeur 25 et de la conduite d'eau d'alimentation 43. L'eau d'alimentation est mise en circulation par une pompe 45 dans chaque conduite 43. La vapeur produite par les générateurs de
vapeur 15 et 17 est fournie à un collecteur commun 47. En pro-
venance du collecteur 47, la vapeur alimente la turbine 19 pour l'entratner. Le dispositif de mise sous pression 18 se
compose d'un réchauffeur 49 et d'un pulvérisateur 51. Le pul-
vérisateur 51 reçoit le fluide réfrigérant de la branche froide 37 de la boucle 27 à travers la vanne 54. Le dispositif 18 fournit le réfrigérant à la branche chaude 33. Les-générateurs
de vapeur 15, 17, le dispositif 18, la turbine 19, l'alterna-
teur 21, le condenseur 23, les réchauffeurs 25, les boucles 27,
29 ainsi que les organes correspondants-sont combinés au réac-
teur 13 pour transformer l'énergie thermique générée par le
réacteur en énergie électrique.
L'installation 11 comporte également un système de protection 53 et un système de commande 55. Le système de protection 53 met en oeuvre l'installation de protection 57 lorsque la centrale 11 est dans un état qui nécessite sa coupure par rapport au réseau. Le système de commande 55 agit sr les procédés de fonctionnement du réacteur 13 et les composants
coopèrant avec le réacteur pour corriger les conditions anorma-
les qui tendent elles-mêmes à se corriger. Le système de protec-
tion 53 est relié au système de commande 55 par un moyen -de sélection de signal qui évite qu'un signal non représentatif
d'un paramètre mesuré ne soit injecté dans le système de com-
mande 55.
Le fonctionnement du réacteur 13 et de ses compo-
sants est contrôlé par un capteur qui mesure les paramètres des procédés du réacteur et des composants pour donner des signaux qui caractèrent les mesures. Chaque paramètre est une mesure de plusieurs et de façon caractéristique à quelques exceptione,prês,
quatre moyens-capteurs analogues. Comme déjà indiqué, l'expres-
sion "moyens-capteurs" utilisée dans la présente description
concerne un capteur ou dans le cas de détecteurs à l'extérieur du coeur, plusieurs capteurs qui mesurent ou contrôlent un
paramètre de procédé. L'expression "ensemble de capteurs" cor-
respond à un groupe ou à un ensemble de capteurs mesurant ou contrôlant ce même paramètre du procédé. La figure 1 montre certains des capteurs ou des ense bles de capteurs dont font partie des moyens-capteurs. Dans certains cas, on a représenté
un ou deux moyens-capteurs pour éviter de compliquer les des-
sins. Parmi les moyens-capteurs, il y a les détecteurs 61 à l'extérieur du coeur mesurant le flux de neutrons. Plusieurs ensembles 63 de détecteurs 61 sont couplés au réacteur 13. De façon caractéristique, il y a quatre détecteurs 61 dans chaque ensemble, disposés dans le réacteur 13. Il y a également des capteurs d'azote 16, 65 mesurant la puissance du réacteur. Ces capteurs sont reliés aux branches chaudes 33 des boucles 27, 29 du réfrigérant. De façon caractéristique, quatre capteurs sont reliés à chaque boucle. Le paramètre mesuré par les capteurs 65 est de façon conventionnelle appelé QNî16. Les ensembles de capteurs 63 et les capteurs 61 font partie des instruments nucléaires. La température de la branche froide est mesurée par les capteurs 67. Il s'agit de façon caractéristique de quatre capteurs pour chaque boucle 27 et 29. Il y a également les capteurs 69 sur chaque générateur de vapeur 15 et 27 qui mesurent la pression et les capteurs 71 qui mesurent le niveau de l'eau d'alimentation. De façon caractéristique, on a quatre tels capteurs 69, 71 pour chaque générateur de vapeur. Parmi ces capteurs, il y a les capteurs 73 mesurant le niveau de l'eau
dans le dispositif 18 et les capteurs 75 qui mesurent la pres-
sion dans le dispositif 18. De façon caractéristique, il y a
quatre capteurs 73 et 75. Il y a des capteurs 77 reliés à cha-
que conduite d'eau d'alimentation 43 mesurant le débit de l'eau d'alimentation; de façon caractéristique, il y a trois capteurs 77 pour chaque générateur de vapeur 15, 17. Il y a des capteurs 79 de façon caractéristique au nombre de quatre pour indiquer les positions des barres de commande. Il peut y avoir d'autres
24 99298
capteurs qui mesurent les paramètres du procédé ou même qui
indiquent les positions de commutation.
Les capteurs 61 à 79 appliquent les signaux des paramètres des procédés respectifs au système de protection 53.
A la figure 1, certains des branchements entre les capteurs et le système de protection-sont représentés par des lignes avec des flèches dirigées vers le système de protection. D'autres
sont représentés par des lignes en traits courts avec des flè-
ches référencées "PS". Le système de protection 53 comporte un ensemble de mêmes unités de protection 81, 83, 85, 87 (figure 3) dont le nombre correspond au nombre maximum de capteurs qui est
de façon caractéristique égal à quatre dans chaque ensemble.
Le signal de chacun des capteurs distincts correspond aux moyens-capteurs distincts tels que les moyens-capteurs extérieurs 63 de chaque ensemble mesurant le même paramètre de procédé; ce signal est appliqué ou injecté dans une unité de protection, distincte. Les signaux de paramètres de procédé passent de façon caractéristique du système de protection 53 au système de commande 55 à travers le moyen de sélection de signal 59 qui sépare les signaux non représentatifs en les filtrant. Les signaux dérivés directement des capteurs traversent le système de commande 55 en étant choisis par le moyen de sélection de signal 59 sous la m^ome forme qu'ils sont reçus par le moyen de protection de signal.- Les autres signaux traversent le système de commande tel que la marge DNBR et la marge KW/ft qui sont calculées dans le système de protection 53 à partir des signaux dérivés du réacteur 13 et de ses composants; les résultats des calculs traversent le système de commande 53 à travers le moyen
de sélection de signal -59.
Le système de commande 55 applique des ordres de
commande au réacteur et aux composants qui coopèrent avec lui.
De façon caractéristique, les ordres sont appliqués aux barres de commande 89 à la vanne de pulvérisation 53 du'dispositif 18, aux vannes de sortie de vapeur 91 des générateurs de vapeur 15, 17, à la vanne de collecteur de vapeur 93 qui court-circuite la turbine 19, au réchauffeur 49 du dispositif 18, aux vannes de réglage de l'eau d'alimentation 95 etc. La figure 2 montre de façon caractéristique l'unité
de protection 81.
Chaque unité se compose d'un ensemble de conver-
tisseurs analogique /numérique 97. Le signal de chaque moyen-
capteur est appliqué à un convertisseur A/D (analogique/numéri-
que) 97 distinct. En particulier la sortie de l'un des capteurs
61 du moyen-capteur 63 est appliquée au convertisseur gauche 97.
S Il y a trois convertisseurs supplémentaires (non représentés à la figure 2) pour les autres trois capteurs de l'ensemble 63. Le signal du capteur de pression 69 du générateur de vapeur est appliqué au second convertisseur A/D à partir de l'extrémité gauche; le signal du capteur de température de la branche froide 67 est appliqué au convertisseur suivant; le signal du
capteur de niveau du dispositif de mise en pression 73 est appli-
qué au convertisseur suivant etc. Les signaux de sortie numéri-
ques des différents convertisseurs A/D sont appliqués à un cir-
cuit de commande de multiplexage 99 qui laisse passer chaque
signal à son tour vers l'émetteur 101 de la liaison de données.
Le circuit de commande de multiplexage 99 est de façon caracté-
ristique un microcalculateur. La sortie de l'émetteur 101 passe dans l'amplificateur 103. La sortie de l'amplificateur 103 est
reliée à une diode photo-émissive (LED) 105. De façon caracté-
ristique un signal d'un capteur peut se définir par douze chiffres (digits) dont certains sont à l'état 1 et certains à l'état 0. Le signal lumineux émis par la diode LED 105 comporte douze espaces de temps. De façon caractéristique lorsqu'un
chiffre est à l'état 1, une impulsion lumineuse est émise pen-
dant l'intervalle correspondant; pour un chiffre à l'état 0, aucune impulsion lumineuse n'est émise pendant l'intervalle correspondant. Le signal de sortie de la diode LED 105 est transmis par un canal à fibres optiques 107. Des signaux de sortie des convertisseurs A/D 97 traversent également l'appareil
de protection 57 comme cela est indiqué par les flèches 109.
Les autres unités de protection 83, 85, 87 sont analogues à
celles de l'unité 81.
L'appareil de protection 57 ne peut être mis en oeuvre par un signal numérique venant seulement de l'une des unités de protection 81-87 même si ce signal indique que la mise en oeuvre de l'appareil de protection est demandée. Pour mettre en oeuvre l'appareil de protection, il faut les signaux
adéquats d'au moins deux des unités de protection.
Le moyen de sélection de signal (figure 3) com-
porte des unités de sélection de signal 111, 113 identiques et une unité d'essai 115, automatique. Les unités 111, 113, 115 sont des microcalculateurs. Des mémoires partagées 117, 119 sont prévues pour recevoir et enregistrer les données des unités 111, 113, 115 pour le traitement ultérieur. La donnée des unités de protection distinctes 81-87 est transmise au moyen de sélec- tion de signal par des canaux de communication distincts. Chaque canal comporte en plus des fibres optiques 107, une photodiode
121 (ou un phototransistor), un amplificateur 123, un commuta-
teur sélecteur électronique 125, des récepteurs de liaison de données 127, 129 et un émetteur de liaison de données 131. Les signaux de sortie des récepteurs de liaison de données 127 sont enregistrés à des adresses identifiées ou dans des intervalles d'adresses dans la mémoire partagée 133; les signaux de sortie des récepteurs de liaison de données. 129 sont enregistrés dans la mémoire partagée 135. La sortie choisie de l'unité d'essai automatique 115 est enregistrée dans la mémoire partagée 137
à des adresses ou à des intervalles identifiés. La mémoire par-
tagée 137 transmet des signaux d'essais et des ordres appropriés aux émetteurs de données 131 respectifs. Chaque émetteur 131 transmet son signal d'essai et son ordre au commutateur 125 du
canal de communication sur lequel il est branché.
L'unité d'essai automatique 115 choisit l'unité de sélection de signal 111 ou 113 pour l'essai et génère des
signaux d'essai. En fonction d'un ordre de l'unité d'essai auto-
matique 115, les commutateurs 125 sont mis à l'état pour bloquer le débit des signaux de traitement vers l'unité de sélection de signal choisie 111 ou 113, suivant le cas, pour permettre aux signaux d'essai de passer dans cette unité choisie. Lessignaux d'essai sont enregistrés dans la mémoire 133 ou 135 reliée à l'unité choisie 111 ou 113. Le débit des signaux d'essai vers
le système de commande est bloqué.
Le système de commande 55 comporte des canaux de
commande principaux 141 et des canaux de commande de retour 143.
Les canaux de commande principaux 141 dérivent des signaux de la mémoire 117 et les canaux de retour 143 dérivent des signaux
de la mémoire 119. Les canaux de commande de retour 143 compor-
tent des verrous pour éviter que des incidents 'mineurs ne coupent accidentellement la centrale 11. Les canaux de commande principaux 141 et les canaux de commande de retour 143 sont alimentés directement des capteurs 145 qui contrôlent les procédés ne nécessitant pas de protection. Les canaux fournissent des signaux "vrais".au réacteur 13 et aux composants coopérant avec celui-ci pour corriger les états anormaux qui tendent eux-mêmes à se corriger. Les mémoires 117, 119, 133, 135, 137 sont des mémoires partagées, avec accès direct. Les liaisons à fibres optiques 107 évitent la propagation des incidents dans le système de protection 53 ou le système de commande 55 vers le système de protection ou le
système de commande. Les liaisons 107 évitent également l'inter-
action électrique entre les unités 81-87 du système de protec-
tion ou entre les canaux 141 et 143 du système de commande.
Seule l'information peut traverser une liaison et peut seulement passer du système de protection 53 vers le système de commande 55. L'information émise par le système de protection est un bloc de grandeurs de signaux qui sont transmises suivant un protocole strict comportant un code de début de message, un code de fin de message, un comptage d'octets, une somme de
contr8le de message et des codes de parité, toutes ces informa-
tions devant être satisfaites avant qu'elles ne.soient admises dans le système de commande. Les défaillances dans le système de protection 53 ne risquent pas de provoquer des effets de commande inverses, seulement s'ils modifient les grandeurs des
signaux dans le bloc de données ou si toutes provoquent l'in-
terruption du flux d'informations. Dans ce contexte, on consi-
dère qu'un signal est un signal erroné ou un signal invalidé s'il s'agit d'un signal qui a été modifié à partir de sa valeur propre c'est-à-dire s'il n'est plus représentatif du paramètre de procédé. La fonction du moyen de sélection de signal 59 est
d'identifier les signaux invalidés et d'éviter qu'ils ne pas-
* sent dans le système de commande 55. Dans ce système de données multiplexées, le signal de données est enregistré aux adresses dans les mémoires 133 et 135 de microcalculateur. Ces mémoires sont chacune remises à jour périodiquement avec une information nouvelle reçue par les liaisons de données de chaque unité de protection 81-87. Si par exemple le procédé de mise à jour s'arrête, les données qui restent dans une mémoire deviennent des données anciennes c'est-à-dire des données non mises à jour; toutefois ces données peuvent continuer à représenter la valeur vraie du paramètre de procédé si le procédé reste constant. Le moyen de sélection de signal 59 ne repose sur aucune méthode de retard de temps pour détecter les données anciennes; en fait de telles techniques sont utilisées pour détecter les incidents de liaisons de données(mais seulement pour mettre en oeuvre des alarmes)plutôt que de laisser passer une donnée ancienne dans le système de commande 55 aussi longtemps que cette donnée est représentative du paramètre de procédé. Lorsque le paramètre de procédé se déplace, les canaux de données, mis en oeuvre, suivent ce paramètre pendant que l'information d'un canal non mis en oeuvre reste à une valeur fixe. Le moyen de sélection de signal constate alors que la donnée ancienne n'est plus représentative du paramètre de procédé concerné et rejette cette donnée, ce qui évite que le système de commande n'entreprenne une action gênante par suite d'un incident du système de protection. Le moyen de sélection de signal 59 a pour but de rejeter les signaux qui ne sont pas représentatifs de cette variable de procédé et de laisser passer seulement les signaux valides vers le système
de commande.
Le moyen de sélection de signal est de façon
caractéristique localisé en pratique dans des boîtiers conte-
nant le système de commande. La raison de cette localisation est double. En premier lieu aucune des unités de protection
distinctes ne contient suffisamment d'informations pour déter-
miner si le signal électrique correspondant à un paramètre de procédé donné est un signal valide. Il faut que chaque signal
soit comparé aux autres signaux qui mesurent le même procédé.
Pour avoir l'information nécessaire, il faudrait augmenter considérablement la communication entre les canaux parmi les unités de protection, si l'unité de sélection de signal devait se trouver dans le bottier d'une unité de protection. Il en résulterait des difficultés quant à l'indépendance des parties redondantes du système de protection. La seconde raison pour
mettre le moyen de sélection de signal dans le système de com-
mande est celui d'une défaillance en mode commun. Si le moyen de sélection se trouvait placé dans le boîtier ou dans l'une
des unités de protection, un seul événement tel qu'une tempéra-
ture extrême, provoquerait une erreur dans les signaux traités dans ce boîtier alors qu'en même temps cela autoriserait le
moyen de sélection de signal à rejeter de tels signaux.
Il faut indiquer que le moyen de sélection de signal 59 doit pouvoir rejeter un seul signal faux par suite d'une défaillance aléatoire dans le système de protection. Il faut pouvoir exécuter cette fonction même si l'une des unités de protection, redondantes, 81-87 est court-circuitée ou est
mise hors service pour des essais ou des travaux d'entretien.
Comme le signal d'un canal en cours d'essai n'est en général pas représentatif du paramètre du procédé, il faut que le moyen de sélection de signal puisse rejeter à la fois le signal du canal en cours d'essai et un autre signal faux (par exemple engendré par une défaillance du système de protection). Ce
critère doit être satisfait même si la défaillance et la tran-
sition en mode d'essai se produisent simultanément (dans le
même cycle d'exécution de l'algorithme).
Le système de protection 53 est structuré pour permettre le courtcircuitage simultané de deux des quatre canaux mesurant toute variable de procédé. Cela a pour but de permettre l'essai périodique du système de protection, même si l'un des canaux est hors service pour une durée prolongée. Bien que le moyen de sélection de signal rejeterait les deux signaux court-circuités, il serait incapable d'isoler un signal faux parmi les deux signaux restants. Ainsi en mode opérationnel, il
y a deux canaux de la même fonction de protection qui sont court-
circuités, et n'importe quelle commande dérivée de ces canaux
doit être placée en mode manuel. Il s'agit d'un effet adminis-
tratif plutbt que d'un effet automatique; toutefois, il est prévu une alarme pour informer l'opérateur qu'il passe dans ce mode de fonctionnement. Pendant ce mode de fonctionnement, la logique de coïncidence des deux canaux restants est restructurée automatiquement pour être une logique de type un parmi deux
(1/2).
Le tableau I est une liste des signaux de para-
mètres de procédé, caractéristiques qui sont injectés dans le
système de commande 55 pour régler le réacteur 15 et ses compo-
sants.
TABLEAU I
1. Température d'entrée du réacteur (Tfroid) 2. Plage de puissance mesurée par des détecteurs à l'extérieur
du noyau.
3. Puissance du réacteur (QN-16)
4. Marge de déclenchement sur DNBR ou KW/ft.
5. Niveau d'eau dans le générateur de vapeur (chacun pour
quatre boucles caractéristiques).
6. Débit d'eau d'alimentation (chacun pour quatre boucles
caractéristiques).
7. Pression du dispositif de mise en pression.
8. Niveau d'eau dans le dispositif de mise en pression.
9. Puissance fournie par le réacteur dans les unités d'enre-
gistrement/trace de chute de tiges; dérivée de détecteurs
extérieurs au noyau dans la plage de puissance.
Les signaux du tableau -I sont fournis par les ensembles de capteurs. Dans le cas d'un niveau de générateur de vapeur et d'un débit d'eau d'alimentation, il y a un ensemble de capteurs pour chaque boucle du générateur de vapeur, deux ensembles ayant été représentés. Le débit d'eau d'alimentation
est capté par trois capteurs 77 dans chaque boucle et la tempé-
rature de la branche froide est captée par trois capteurs dans
chaque boucle.
L'ensemble des capteurs, détecteurs extérieurs au coeur sont de façon caractéristique formés de quatre jeux 63 ayant chacun quatre capteurs 61. Pour dériver les autres
signaux, chaque ensemblee capteurs se compose de façon caracté-
ristique de quatre capteurs. Des capteurs correspondants de chaque ensemble sont reliés aux unités de protection 81-87 à l'exception des capteurs de débit d'eau d'alimentation qui sont seulement reliés à trois unités de protection. Les détecteurs correspondants des quatre jeux de détecteurs extérieurs au coeur sont traités comme dispositifs distincts dans les quatre unités
de protection correspondantes 81-87.
En d'autres termes, chacun des signaux de chaque jeu d'ensemble de capteurs extérieurs au coeur de chaque niveau de la rangée la plus basse des détecteurs jusqu'à la rangée la plus haute des détecteurs est comparé séparément au détecteur 61 de l'autre moyen 63 extérieur au coeur, du même niveau pour déterminer si un signal quelconque n'est pas représentatif du paramètre. * 1*9
Les signaux qui sont envoyés au système de com-
mande 55 sont les signaux de sortie des convertisseurs A/D 97 avant l'exécution d'aucun calcul. Il y a peu d'exception. A la fois, la puissance bN16) du réacteur et les signaux de marge de déclenchement DNBR ou KW/ft ne sont pas des signaux bruts
des capteurs; ces signaux sont en fait le résultat de calculs.
Chaque boucle de générateur de vapeur est commandée indépendam-
ment par la commande du niveau d'eau du générateur de vapeur.
Comme il y a seulement trois capteurs de débit d'eau d'alimen-
tation 77 dans chaque boucle, l'algorithme du moyen de sélection de signaux 59 est réglé pour travailler seulement avec trois signaux d'entrée. Aucune comparaison n'est faite entre les
signaux qui viennent des capteurs 77 des différentes boucles.
Il n'y a pas de contradiction avec le paragraphe 4.7.3. du document IEEE279 puisque le débit d'eau d'alimentation est utilisé à des fins de protection seulement à des niveaux de puissance faibles (inférieurs à environ 25 % de la puissance
maximale) pour lesquels ce débit n'est pas utilisé pour la com-
mande. Comme chacun des quatre détecteurs nucléaires extérieurs au coeur, dans la plage de puissance 63 comporte quatre segments (quatre signaux de sortie), il faut un traitement particulier
pour le moyen de sélection de signal 79.
La température de la vapeur de la branche froide (Tfroid) du réacteur est en fait mesurée douze fois: trois
mesures des capteurs 67 de chacune des quatre boucles de réfri-
gérant du réacteur 27-29 et deux qui ne sont pas représentées.
Seuls quatre des signaux sont envoyés au système de commande 55,
un signal pour chaque boucle.
Le tableau II identifie les fonctions de commande qui sont exécutées manuellement lorsque deux canaux du même
signal de paramètre de procédé sont court-circuités simultané-
ment. Le moyen de sélection de signal 59 compare chaque signal d'entrée d'un paramètre de procédé aux autres signaux du même paramètre et rejette (c'est-à-dire évite de laisser passer le signal vers le système de commande 55) tout signal qui diffère d'une amplitude prédéterminée appelée ci-après
différence A par rapport aux autres signaux. De façon caracté-
ristique, lorsqu'il y a quatre ou dans des cas exceptionnels trois signaux, un signal qui diffère de plus de & par rapport
TABLEAU II
4- 4 _-
À) 0) 0 0 0 À cd À 0> À >À>À>À 0 do . . o : H H H - - a H.Q G> H H H H *4r-1 r > a) 0 0 0 0 0 0
10.4 S "5"
H 1. TturOe. e la brnh fO Q 'roe d rd X r d 2O tu NI extnien Ln c o eD X a P rd O ss an rd 4 X rdX rd G>G>G> V-G> 4CO-riGr C C S s- Z: p -0100000 gg: Paramètres du procédé 1. Température de la branche froide du réacteur X X X-X 2. NIS extérieur au coeur X X 3. Puissance QN-16 X X X X 4. Marge de déclenchement à la limite du coeur X X a.Niveau de la boucle de 1 S.G X 5b.Niveau de la boule de 2 SG - X c.Niveau de la boucle de 3 S.G X d. Niveau de la boucle de 4 S.G X 6a.Débitveau de la boucle de 4 S.GF.W X 6b. Débit de la boucle 2 F.W X 306c.Débit de la boucle 3 F.W X 6c.Débit de la boucle 3 F.W 6d.Débit de la boucle 4 F.W X 7. Pression du dispositif de mise en pression X 8. Niveau du dispositif de mise en pression X 9. Puissance de chute de barre T/S*
* Remarque: I1 n'y a pas de commande manuelle pour la décélé-
ration de la turbine lorsqu'une barre est tombée.
aux deux autres signaux des capteurs identiques est rejeté.
Les deux signaux qui sont cohérents, sont supposés être des signaux "vrais". Lorsque comme supposé quatre signaux sont appliqués au système de protection 53, deux signaux peuvent être rejetés. Le moyen de sélection de signal 59 présente une
caractéristique d'exclusion qui permet le rejet de deux signaux.
De ces deux signaux rejetés, on suppose que l'un est invalide car il correspond à une mise hors service pour un essai ou un travail d'entretien ou encore pour une centrale 11 qui travaille avec N-1 boucle. L'autre signal rejeté est le résultat d'une seule défaillance aléatoire. Il est très fortement improbable
que ces deux signaux sont invalidés dans le même cycle de cal-
cul (inférieur à une seconde). Ainsi le premier signal à être' invalidé serait rejeté et du fait de "l'exclusion", il ne serait plus compris dans la comparaison, de sorte que la seconde "défaillance" pourrait se détecter facilement comme étant un signal mauvais parmi trois signaux, même s'il est en défaut pour la même valeur que le signal précédemment invalidé. Dans le cas o deux signaux sont invalidés dans le même cycle de calcul, le signal qui est rejeté est celui le plus éloigné de la moyenne
des quatre signaux calculés immédiatement avant que ne se pré-
sentent les défaillances de signaux c'est-à-dire avant que l'algorithme de sélection ne rejette un signal qui a été écarté des autres dans ce cas. Cela est cohérent avec le principe de la présente invention puisqu'au moins l'un des signaux invalidés
c'est-à-dire celui du canal hors service, est connu pour pré-
senter une différence importante. Les signaux restants contenus dans les deux autres signaux invalidés sont de nouveau comparés pour déterminer si un rejet supplémentaire est nécessaire. Chaque fois qu'un signal est rejeté, une alarme et un dispositif d'annonce sont mis en oeuvre dans la chambre de commande pour indiquer cette situation à l'opérateur afin qu'il commence des
actions de correction.
Un élément clé dans la mise en oeuvre de l'in-
vention tout en satisfaisant à la condition selon le document
IEEE-279 est le moyen de sélection de signal 59. Il est essen-
tiel que ce moyen soit essayé à des intervalles pour garantir son fonctionnement correct. Un essai du moyen de sélection fait
partie des essais automatiques exécutés dans les unités de pro-
tection 81-87. Pendant ces essais périodiques, on substitue un signal d'essai, injecté à chaque fois en remplacement de chacun des signaux de capteurs; le signal d'essai correspond à des grandeurs qui englobent l'ensemble de la plage choisie du capteur. Ce signal d'essai n'est pas représentatif de la variable du procédé et ne correspond pas aux autres signaux pour le même paramètre; ce signal est rejeté. Si le signal d'essai injecté est identifié par le même procédé et les composants servant à identifier les signaux faux, le rejet du signal d'essai constitue
une vérification de la possibilité de rejeter des signaux faux.
Les microcalculateurs, les sélecteurs de signaux 111, 113 com-
portent des moyens pour constater que chaque signal qui arrive dans le moyen de sélection de signal 59 en provenance d'une unité de protection 81-87, donnée, est rejeté un certain temps après l'essai périodique de cette unité. Les résultats de cette vérification (que chaque signal soit ou non rejeté pendant l'essai) sont transmis à un calculateur de contrôle général
(non représenté) de la centrale, pour faire partie de l'enregis-
trement de surveillance périodique, permanent. La preuve du procédé d'essai peut s'obtenir facilement en mettant pendant un court instant, une unité de protection 81-87 en mode d'essai sans injecter aucun signai d'essai. Cela doit se traduire par "un incident de fonctionnement de sélection" qui est enregistré dans le cas de chaque signal envoyé du bottier; cela démontre la détection des incidents de fonctionnement vrais, pendant
l'essai.
Un second procédé d'essai utilisé repose sur le fait que le moyen de sélection de signal 59 se compose de deux
sélecteurs de signaux 111, 113 qui effectuent toutes les sélec-
tions de signaux. Comme chacun de ces sélecteurs reçoit les mêmes signaux d'entrée pendant le fonctionnement normal, et travaille sur ces signaux d'entrée avec le même algorithme, il faut obtenir les mêmes résultats. Le microcalculateur distinct
qui observe la séquence d'essai automatique décrite ci-
dessus poursuit le contrôle des signaux de sortie des deux sélecteurs. En cas de différence dans les signaux de sortie, une alarme est générée pour indiquer l'incident de fonctionnement
à l'opérateur.
La limite concernant le fonctionnement avec un moyen de sélection de signal lorsque deux des canaux d'entrée sont court-circuités, pose une condition relative aux procédures
administratives utilisées pendant l'essai du système de protec-
tion 53. L'utilisateur détermine la fonction de commande qui le cas échéant doit être mise en mode manuel avant d'initialiser la séquence d'essai automatique de n'importe laquelle des quatre unités de protection. En plus des essais passifs décrits ci-dessus, l'unité d'essai automatique 115 qui fait partie du moyen de sélection de signal 59, lors de l'initialisation par l'opérateur, effectue des essais pour vérifier le fonctionnement correct de l'algorithme de sélection. Pendant ces essais, des signaux de procédé, simulés, sont injectés en remplaçant les liaisons de données 127, 129 des unités de protection 81-89. Les essais montrent qu'un signal ou des paires designaux peuvent être rejetés le cas échéant. Chaque sélecteur redondant 111 ou 113 est essayé séparément pendant que l'autre assure la commande
automatique de l'installation.
Il y a redondance dans le système de commande 55 en parallèle avec la redondance du moyen de sélection de signal 59. Le canal de commande principal 141 est desservi par l'unité de sélection de signal 111 par l'intermédiaire de la mémoire 117 et le canal de commande de retour 143 est desservi par l'unité de sélection de signal 113 en passant par la mémoire 119. Deux moyens de commande à savoir là commande de puissance et la commande d'eau d'alimentation sont des commandes redondantes car ces commandes ne sont pas déterminantes pour
le fonctionnement de la centrale et leur défaillance n'entratne-
rait pas l'arrêt de la centrale 11. De même, le niveau du dis-
positif de mise en pression et la commande de pression ont des liaisons indépendantes dans le système de commande sur les
vannes principales pour éviter toute mise hors pression, acci-
dentelle de l'installation. On a une redondance pour augmenter la disponibilité de la centrale. Il n'est pas nécessaire de séparer de façon physique ou électrique les unités de sélection
de signal redondantes 111, 113; ces unités peuvent être juxta-
posées dans la même structure ou le même bottier.
Chacune des deux unités de sélection de signal 111, 113 effectue la sélection de l'ensemble de la liste des
variables de procédé présentées dans le tableau I. La chronolo-
gie des liaisons de données 101, 127, 129 et le moyen de sélection de signal correspondent à la condition de réponse dans le temps
pour le canal de commande le plus rapide, de sorte qu'une infor-
mation de capteur, validée est rendue disponible pour le système de commande 55 "temps réel". Les conditions de réponse dans le tempsappliquées aux capteurs et à leurs canaux d'instrument
par le système de commande 55 sont mois strictes que les condi-
tions s'appliquant au système de protection 53. Les données envoyées par le système de protection au système-de commande sont présentées à l'émetteur de liaisons de données 101 (figure 2) suivant une vitesse qui est adaptée au temps de réponse du système de protection. Les émetteurs de la liaison de données 101 travaillent de façon asynchrone par rapport au système de protection 53 et prennent la dernière information disponible pour la transmettre au système de commande 53, la vitesse étant déterminée par les conditions chronologiques du système de commande. Comme les conditions de temps de réponse-du système
de commande sont moins strictes que celles du système de pro--
tection, aucune condition supplémentaire n'est imposée au sys-
tème de protection pour fournir les signaux au système de com-
mande.
La mise en oeuvre du mode de réalisation-préfé-
rentiel de l'invention sera décrite ci-après à l'aide des figu-
res 4 à 8 qui donnent l'algorithme du sous-programme pour le
traitement des signaux. On suppose initialement que les commuta-
teurs 125 (figure 3) sont mis à l'état pour transmettre les signaux qui mesurent les paramètres du procédé. Les signaux des mêmes ensembles de capteurs sont transmis en continu, en séquence par l'ensemble. Ces signaux sont enregistrés dans des adresses
dans les mémoires 133, 135 et sont mis à jour lorsqu'ils changent.
Les unités de sélection de signaux 111, 113 sont programmées
pour traiter les signaux en continu dans la séquence par l'en-
semble; cela signifie que les unités de sélection échantillon-
nent les signaux. Les résultats de ce traitement sont enregistrés
dans les mémoires d'adresses 117, 119. Ces mémoires sont program-
mées pour laisser passer les signaux représentatifs des procédés concernés c'est-à-dire les signaux "vrais" vers les canaux de commande principaux et de retour, respectifs, pour éviter le
passage de signaux non représentatifs ou de signaux "faux".
L'algorithme (figures 4-8) montre le flux des signaux.
Ag début de chaque cycle, les unités de sélection 2S de signal 111, 113 prennent chacune en fonction de l'algorithme, le nombre de signaux qui est de façon caractéristique égal à 4, pour chaque paramètre; ces unités déterminent les signaux, valides et laissent passer ces signaux valides et la moyenne de ces signaux dans les mémoires locales respectives des unités
dans les fentes d'adresses dans les mémoires 117 ou 119.
L'algorithme est subdivisé par segments suivant
des procédures ou des sous-programmes correspondant à la réali-
sation d'un programme structuré. Les signaux qui apparaissent
dans l'algorithme sont les contenus de mémoires qui apparais-
sent dans l'algorithme sont les suivants SIG(i) = Valeur du signal n'i du paramètre de procédé dans un ensemble redondant (par 4) VALID(i) = Variable logique qui est mise à l'état vrai
si le signal n' i est validé.
SUM = Somme des signaux validés.
AVG = Moyenne des signaux validés.
N(i) = Nombre de signaux qui diffèrent du signal n0 i
de plus de -
NR - Nombre de signaux qui diffèrent de deux ou de plusieurs signaux qui ont été validés dans le cycle précédent, la différence étant supérieure à A.
NW = Indice pour un signal invalidé.
DIFF = Différence entre deux signaux.
DELTA = Différence acceptable entre deux signaux validés.
NC = Nombre de signaux validés.
CONT(i) = signal validé n0 i qui a passé par le canal de commande.
Lorsqu'on traite quatre signaux pour chaque para-
mètre, i prend des valeurs comprises entre 1 et 4.
Le procédé de sélection de l'algorithme est décrit ci-dessous, les lettres du paragraphe du cas le plus faible
correspondant aux sous références de chaque procédure.
(a) Sous-programme global: Ce sous-programme est représenté à la figure 4. La lettre "k" représente le nombre de paramètres de procédé de la séquence, qui sont traités par chaque unité de sélection de signal 111, 113. La lettre "N" est le nombre total de paramètres de procédé qui sont traités. Les flèches représentent une opération d'attribution de valeurs pour la variable concernée. Par exemple 'k v 1" du second bloc 160
signifie que la valeur de k est fixée à 1 et 'k E-k + 1" signi-
fie que la valeur k est fixée à la valeur courante augmentée de 1. (b) Procédure d'initialisation de la figure 5 Dans cette procédure, les variables sont initialisées en mettant tous les indicateurs de signaux validés à l'état "vrai" et en réglant AVG à la valeur moyenne des signaux d'entrée. Cette
initialisation se fait dans le premier cycle qui suit une in-
terruption de montée en puissance ou à la suite d'un ordre d'une commande à boutons-poussoirs manuels, placée au voisinage du
dispositif de sélection. Cette-initialisation est faite séparé-
ment pour chaque ensemble de signaux de chaque paramètre de procédé. La lettre "i" du chiffre est le signal de la séquence de signaux correspondant au même paramètre. Un "cycle" concerne une opération pendant laquelle on traite un ensemble de signaux
d'un paramètre de procédé.
(c) Procédure de sélection représentée à la figure 6: Il s'agit du programme principal de sélection qui est appelé
pour chaque nouvel ensemble de signaux concernant le même para-
mètre à chaque cycle. Il s'agit d'une procédure de comparaison.
Si l'un seulement des signaux validés diffère de deux ou de plusieurs des autres signaux validés, l'indicateur de signal
validé (VALID.) de ce signal est mis à l'état faux.
Si plus d'un signal validé diffère de deux ou de plusieurs autres signaux validés, chacun des signaux-différents est comparé à la moyenne des signaux validés, moyenne calculée dans le cycle précédent. Le signal qui diffère de la moyenne selon l'amplitude la plus grande est affiché comme invalidé par la mise du signal VALID. à l'état faux. On répète l'étape n0 2 et le cas échéant les étapes nri 3 et 4 pour supprimer les signaux invalidés,- restants. La lettre "j" représente le numéro
du signal qui s'écarte le plus de la moyenne.
(d) Procédure de comparaison représentée à la
figure 7: Dans cette procédure, chaque signal validé (c'est-à-
dire validé au cours du cycle précédent) est comparé aux autres signaux validés. On tient un état de comptage pour chaque signal validé N(i) du nombre d'autres signaux dont il diffère de plus
de là.
(e) Autre procédure: Après avoir déterminé la validité des signaux, les valeurs des signaux validés sont mises dans le réseau CONT. Le reste du réseau CONT est chargé par la répétition des autres signaux validés. La valeur moyenne des signaux validés est également calculée au cours de cette étape. Si un seul signal est invalidé, ce signal invalidé est comparé aux autres signaux pendant que l'on charge le réseau CONT. Si la différence entre le signal invalidé et n'importe quel autre signal validé est inférieure à A, l'indicateur de signal validé correspondant à ce signal invalidé est mis à l'état vrai. Toutefois, ce signal ne passe pas dans les canaux
de commande 141, 143 avant le cycle suivant.
Le réseau des valeurs des signaux validés (CONT), le nombre de signaux validés et la valeur moyenne des signaux validés passent dans les mémoires 117, 119. Une alarme est émise
si l'un des signaux est rejeté pendant le traitement du cycle.
Le tableau III montre le procédé exécuté selon l'algorithme de sélection pendant un cycle au cours duquel les
signaux A, B, C, D d'un ensemble de capteurs sont traités.
TABLEAU III
Incidence Comparaisons* Non validé Validéac 1. Initialement tout est en ordre A=B=C=D A,B,C,D 2. A en cours d'essai passe au niveau bas A- B, A C, A D
SUPPRIMER A B=C=D A B,C,D
3. B passe au niveau bas B C, B D
SUPPRIMER B C=D A,B C,D
4. Essai terminé A=C=D A normal Remettre A B A,C,D * Cette comparaison suppose que l'égalité se fait à l'intérieur
de la limite à.
La ligne 2 du tableau III repose sur l'hypothèse que le capteur qui traite le signal A est en cours d'essai. Pour effectuer un essai, on injecte un signal dans ce capteur, signal qui diffère des autres signaux de plus de à. Le signal A a été rejeté. La ligne 4 correspond à l'hypothèse selon
laquelle l'essai est terminé et le signal A redevient une gran-
deur représentative.
Le sous-programme de la figure 4 sera décrit ci-
après. Pour simplifier l'exposé, on décrira seulement le fonc-
tionnement de la mémoire 133 et de l'unité de sélection de signal 111. Lorsque la centrale 11 est autorisée, l'unité 111 est remise automatiquement à l'état initial et les données sont effacées de la mémoire locale. L'ensemble des signaux d'indice
i de chaque ensemble de capteurs portant l'indice k sont intro-
duits à leur tour, successivement. Comme indiqué, chaque ensem-
ble de signaux est initialisé (figure 5). Pendant l'initialisa-
tion, on calcule la moyenne de chaque ensemble. On compte les
ensembles k. Aussi longtemps que l'état de comptage des ensem-
bles k est inférieur à N, chaque ensemble est initialisé et sa valeur moyenne, est calculée pour être enregistrée à une adresse dans la mémoire locale de l'unité 111. Lorsque les états de comptage de k dépassent N, les amplitudes des signaux de chaque ensemble et les valeurs moyennes initiales sont transmises en séquence pour être traitées par le sousprogramme choisi (figure
6), le sous-programme de comparaison (figure 7) et le sous-
programme de sortie (figure 8). Les ensembles de signaux ainsi traités sont comptés; lorsque les états de comptage dépassent
N, les ensembles suivants de N signaux sont traités. Le traite-
ment se poursuit aussi longtemps que la centrale 11 fonctionne.
L'ordre INITIALISER APPEL PAR SIG(k) est effectué comme cela est commandé selon le sous-programme de la figure 5
pour chaque jeu de signaux mesurant le même paramètre.
Les signaux identifiés par les numéros ou les indices i (de 1 à 4) sont additionnés comme l'indique le bloc 151. Lorsque l'indice i atteint la valeur 4, comme l'indique le losange de décision 153, on fait la moyenne comme l'indique le bloc 155. La moyenne est enregistrée dans la mémoire locale de l'unité de sélection de signal 111. Après avoir fait la moyenne des signaux de chaque ensemble, on fait la moyenne des
signaux de l'ensemble suivant comme l'indique l'oval 157, jus-
qu'à ce que la-moyenne de tous les ensembles identifiés par
le nombre k soit faite.
L'ordre SELECTION D'APPEL AVEC SIG(k) appelé dans le bloc 161 (figure 4) est exécuté comme le demande le sous-programme de la figure 6 pour chaque ensemble de signaux mesurant le même paramètre. Suivant l'ordre COMPARER APPELS
dans le bloc 163, chaque signal est comparé aux trois autres.
Comme l'indique le losange 165, une décision est prise pour déterminer combien de signaux le cas échéant diffèrent d'au
moins deux signaux reconnus comme validés dans le cycle précé-
dent pour les signaux mesurant le même paramètre. Si le nombre de signaux différents est inférieur à 2, une décision est prise pour vérifier si ce nombre est égal à 1. Si le nombre est égal à 1, le drapeau logique VALID. est mis à l'état "faux" pour ce signal et on appelle le sous-programme de sortie comme l'indique le bloc 167. Si le nombre de signaux différents est égal à O,
l'ordre APPEL DE SORTIE est fait directement. L'unité de sélec-
tion de signal est alors commandée pour traiter l'ensemble des signaux qui portent le numéro k le plus haut, qui suit comme
l'indique l'oval 169.
Si le nombre de signaux qui diffèrent d'au moins deux signaux reconnus comme valides (vrais ?) au cours du cycle précédent pour le même paramètre est égal à deux ou plus de deux, on exécute le procédé correspondant à la branche 171 à
la figure 6. On prend la différence entre chaque signal et cha-
cun des autres signaux.
On compte les signaux pendant leur comparaison comme l'indique le bloc 173. Si après la comparaison du signal numéro i, le nombre de signaux qui diffèrent de ce signal d'une valeur inférieure à A, est moins de deux (indication "Y" qui suit le losange 175), aucune action n'est effectuée pour ce
-25 signal numéro i et on traite le signal suivant. La même procé-
dure est suivie si comme l'indique la référence "Y" placée à la suite du losange 177, la différence maximale entre deux signaux est supérieure à l'amplitude absolue de la différence entre la moyenne prise pendant le cycle précédent, et le signal numéro i. Suivant l'hypothèse qui a entra né le départ du procédé vers la branche 171, il y aura en définitive deux ou plusieurs signaux qui partent suivant la ligne "N" du losange
et il y aura un signal pour lequel on a la branche 'N" par-
tant du losange 177. Ce dernier signal porte l'indice j et est traité comme le demande le bloc 181. Le drapeau "VALID" pour ce signal numéro j est changé en " FAUX ". Le sous-programme de comparaison est appelé comme l'indique le bloc 183. Les trois autres signaux sont comparés pour identifier l'autre signal qui diffère de plus de A par rapport aux deux autres signaux validés. Ce signal est traité comme le demandent le bloc 185 et 249929e le bloc 187, puis le sous-programme de sortie est appelé. Le signal est repéré par l'indication mnémonique NW. Si l'autre signal qui initialement était reconnu comme étant différent de
plus de 4 par rapport aux deux signaux validés, tombe mainte-
nant à l'intérieur de la limite As, ce qui peut se produire s'il s'agissait par exemple d'un signal d'essai, on appelle
directement le sous-programme de sortie.
La raison de la déviation par rapport à la moyenne au cours d'un cycle précédent pour chacun des deux signaux qui diffèrent des autres d'une différence supérieure à A forme un point intéressant de l'invention. Lorsque deux signaux diffèrent des autres, la mesure instantanée ne permet pas de savoir quels
* signaux sont vrais et quels signaux sont faux. L'absence d'in-
formations constitue un problème particulièrement épineux lors-
que l'on a seulement quatre signaux redondants pour un paramè-
tre de procédé et que deux signaux sont différents des deux autres d'une différence supérieure à A. Si cette différence est constatée la première fois après que les signaux aient parcouru un certain nombre de cycles, on identifie facilement lÉs* signaux faux par leur différence par rapport à la moyenne au cours du cycle précédent. Si la différence est constatée pendant le premier cycle qui suit le sous-programme initial, il est raisonnable de supposer que la valeur moyenne représente une arplitude proche de l'amplitude "vraie". Un signal qui présente une différence maximale par rapport à cette moyenne
peut raisonnablement être considéré comme"faux".
Le sous-programme de comparaison (figure 7) est
commandé par le sous-programme de sélection à deux moments pen-
dant chaque cycle dès le départ du sous-programme de sélec-
tion (bloc 163), puis de nouveau après un signal indiquant que deux signaux diffèrent de la moyenne du cycle précédent de
façon maximale (bloc 183).
Dans chaque cas, l'indice, i et la référence mnémo-
nique NR sont mis à l'état 0 comme l'indique le bloc 201; la référence N(i) est mis à l'état 0 pour chaque signal comme cela est indiqué dans le bloc 203. Chacun des signaux identifiés par la référence i est traité à son tour par incrémentation de l'indice comne l'indique le bloc 202. -i. un signald'indice est identifié comme 4tant valide, comme l'indique le losange 205, ce signal est comparé aux autres sigiaux du même ensemble indexé j. Initialement j est mis à l'état O comme l'indique le bloc 207. Puis les états j sont incrémentés comme l'indique le bloc 209. Lorsque le m9me signal porte les indices i et j comme l'indique le losange 211, aucune autre opération n'est effectuée comme l'indique l'expression "Y" du losange 211; le signal d'indice i est comparé au signal j suivant. Si le signal suivant d'indice j n'est pas validé, aucune autre opération ne se fait comme l'indique la référence "N" qui suit le losange 213. Si le signal suivant j est validé, la différence entre le signal d'indice i et le signal suivant est calculée comme l'indique le bloc 215. Si la différence n'est pas supérieure à X, aucune opération ultérieure n'est effectuée comme l'indique la référence "N" à la suite du losange 217. Si la différence est supérieure à i, N(i) est incrémenté de l'état 1 comme l'indique le bloc 217. Le fait qu'un signal d'indice i a été comparé à tous les quatre signaux indexés est indiqué par la référence "Y"
à la suite du losange 219. Le losange 221 indiqué qu'une déci-
sion est prise si à ce moment c'est-à-dire en cours d'examen du signal i, deux ou plusieurs signaux diffèrent des signaux validés d'une différence supérieure à 6. Dans la négative cela est indiqué par l'expression "N" à la suite du losange 221 et aucune opération ultérieure n'est effectuée; le signal suivant d'indice i est alors examiné. Dans l'affirmative, cela
est indiqué par "Y" après le losange 221 et l'indication mnémo-
nique NR est incrémentée de 1 - l'indication mnémonique NW est
mise à l'état pour le signal numéro i examiné.
Lorsque le sous-programme de comparaison est appelé comme l'indique le bloc 183 (figure 6), après qu'un signal ait été mis sur "faux" un signal référencé "N" découle du losange 205 et aucune autre intervention n'est effectuée. Les signaux restants qui sont de façon caractéristique au nombre de trois,
sont comparés aux signaux d'indice j comme cela a été décrit.
Après avoir traité tous les signaux i comme cela est indiqué par "i > 4" dans le losage 223, l'opération revient sur le
sous-programme de sélection, à l'étape qui suit l'ordre COMPARER.
Le sous-programme de SORTIE est commandé par le bloc 167 du programme de sélection SELECT. Comme indiqué par
le bloc 231, les indices i et j à la somme sont mis à l'état 0.
Comme l'indique le bloc 233, on compte les signaux d'indice i.
-2 2499298
La référence "N" qui découle du losange 235 aussi longtemps que
i n'a pas atteint la valeur 4, une décision est prise quant à-
la validité de chaque signal comme l'indique le losange 237. Si
signal est validé, il est conditionné pour être transmis à tra-
vers les canaux de commande 141 (ou 143) comme l'indique le bloc 239. Pour cela, le signal est enregistré dans une fente d'adresses dans la mémoire 117 (ou 119). L'expression mnémonique
CONT (j) signifie que les signaux validés d'indice i sont enre-
gistrés dans des fentes.d'adresses dans l'ordre de leur passage.
Par exemple si le premier signal est "faux" et si le second est
validé, le second est enregistré dans la première fente d'adresses.
Il aura alors au moins une fente d'adresses vide après que tous les signaux d'un paramètre de procédé aient été traités. Cette fente d'adresses est chargée par l'un des signaux validés pour assurer que les canaux de commande n'agissent que sur les signaux validés remis à jour. Comme indiqué dans le bloc 239, la somme
est fait des signaux validés d'indice i.
Si le signal d'indice i n'est pas validé, la décision indiquée dans le losage 241 est prise à savoir SC = 3 (nombre de signaux validés = 3) et NR = 0. NR est le nombre de signaux qui étaient validés dans le cycle précédent et qui dans le cycle présent diffèrent de plus de A par rapport à deux ou plusieurs signaux. Si la décision est "N", aucune action autre n'est prise et le signal suivant est traité. Si la décision est "Y"., le signal présent est comparé aux autres signaux indexés jusqu'à L. Une décision est prise sur la validité du signal numéro L comme l'indique le losange 245. Si ce signal numéro L n'est pas validé, aucune autre action n'est entreprise et le
signal instantané numéro i est comparé au signal numéro L sui-
vant. Si le signal L est validé, une décision est prise comme indiqué par le losange 247, pour vérifier si a est supérieur à la valeur absolue de la différence du signal numéro L et du signal numéro i. Si le signal est "Y", VALID. (i), le drapeau
logique du signal numéro i est mis sur "VRAI".
Les signaux identifiés comme étant "VALID"' au début du cycle sont susceptibles d'être invalidés et déclarés "FAUX" pendant le traitement. Un signal qui a été essayé et qui est revalidé, est identifié provisoirement comme "VALID" pour le cycle suivant. Ce signal peut être identifié comme étant "VALID." ou "FAUX-' suivant le résultat de l'examen de ce signal
dans le cycle suivant.
Lorsque tous les signaux d'un ensemble ont été traités comme l'indique la référence "Y" qui découle du losange 235, le nombre de signaux validés NC est mis sur la valeur de j et on calcule la valeur moyenne des signaux validés comme l'indique le bloc 249. La moyenne est enregistrée dans la mémoire
locale de l'unité de sélection de signal 111 (ou 113) pour ser-
vir dans le cycle suivant.
Si NC = 4, le sous-programme de sortie est ter-
miné et le fonctionnement revient sur le sous-programme global pour traiter le jeu suivant de signaux de paramètre. Si NC n'est pas égal à 4 comme l'indique la référence "N" qui découle du losange 251, l'alarme est mise en oeuvre et un nombre 1 est ajouté à l'indice j identifiant la fente d'adresses suivante dans la mémoire 117 (ou 119). Si-j est inférieur à 4, le signal numéro i qui a été mis dans la fente d'adressesprécédente est également mis dans la fente d'adresses qui porte maintenant l'indice j. Cette opération est indiquée dans le bloc 253. Si j atteint le chiffre 4 à ce moment, l'ordre RETOUR est introduit
et les signaux de paramètre suivants dans l'ordre sont traités.
Si j n'est pas égal à 4, un autre signal numéro i, validé, qui a été introduit dans la fente d'adresses précédente dans la
mémoire 117 peut être introduit dans la fente vide suivante.
L'algorithme décrit ci-dessus correspond au cas général qui s'applique pratiquement à tous les paramètres de
procédé qui sont envoyés par le système de protection au dis-
positif de commande. Il y a toutefois au moins deux exceptions.
D'abord le débit d'eau d'alimentation de chaque boucle est seulement mesuré par trois capteurs. Il faut pour cela régler l'algorithme pour tenir compte de trois signaux d'entrée au lieu de quatre signaux d'entrée en réglant les extrémités de chaque boucle de l'algorithme. Dans ce cas, l'algorithme permet de rejeter soit un signal faux, soit un signal d'essai mais non les deux. Cela n'est pas une difficulté car la protection que réalise le signal du débit d'eau d'alimentation est seulement mise en oeuvre pour les faibles niveaux de puissance, lorsque
le signal n'est pas utilisé pour la commande.
La seconde exception est constituée par les signaux de puissance nucléaires, extérieur au noyeu. Dans ce cas, chacun des quatre signaux d'entrée est en fait un "vecteur" de quatre signaux. Pour traiter de tels signaux, il faut effectuer les modifications suivantes à l'algorithme de base: 1. Lorsqu'un "signal" est rejeté (VALID.(i) est mis sur FAUX) dans l'algorithme de base et la totalité du vecteur correspondant à ce signal d'entrée est rejetée dans l'algorithme modifié. 2. La différence entre n'importe quels deux vecteurs (par comparaison avec A) est définie comme étant la différence maximale en valeur absolue entre n'importe quels deux éléments correspondants des "vecteurs" c'est-à-dire DIFF =max lai -b.I ii avec i = 1,2,3,4
a. et b. sont les composants des vecteurs A et B respectifs.
Cela signifie que le signal de chaque capteur 61 (figure 1) du
moyen capteur 63 est comparé aux signaux des capteurs corres-
pondants 61 dans les positions analogues du réacteur 13 et la
différence adoptée est la différence maximale.
3.La moyenne des signaux validés est définie comme étant le "vecteur" dont les composants sont égaux à la moyenne
des éléments correspondants des signaux "vecteurs" validés.
L'algorithme de sélection de signal repose sur
le rejet d'un signal qui diffère des autres signaux d'une diffé-
rence supérieure à une amplitude fixe,. Bien que la fonction commandée par l'algorithme de sélection est de rejeter des signaux, il est important que cet algorithme de sélection ne rejette pas accidentellement les signaux c'est-à-dire ne rejette pas les signaux qui présentent la précision voulue par rapport a la valeur appropriée. La raison en est double. En premier lieu, des rejets accidentels de signaux entraîneraient la mise en oeuvre inutile de l'affichage dans la salle de commande, ce qui est la fois gênant et si cela se produisait trop souvent, et présenterait le risque que l'opérateur oublie une alarme réelle. La seconde raison est plus importante. Lorsqu'il y a seulement quatre signaux pour chaque ensemble de paramètres, l'algorithme de sélection (figures 4-8) ne permet pas de rejeter un signal faux si seulement deux signaux restent dans l'ensemble validé, lorsque le signal est défaillant. Comme l'extraction d'un signal de l'ensemble validé si un signal est enlevé par
suite d'une défaillance d'un capteur est une condition de con-
3e ception, l'hypothèse que seulement trois signaux sont disponibles au moment d'une défaillance de signal est prévue pour toutes
les analyses de sécurité. Si seulement trois signaux sont dispo-
nibles, et si un signal validé est accidentellement rejeté, il subsiste que deux signaux dans l'ensemble validé et l'algorithme de sélection serait incapable de rejeter un signal réellement faux. Ainsi le risque de rejet accidentel d'un signal constitue l'élément principal au risque qu'un algorithme de sélection
n'exécute pas le travail prévu. C'est pourquoi lorsqu'on déter-
mine la valeur de t', le but est de minimiser la probabilité
de rejets accidentels.
Chacun des signaux à traiter par les ordres de l'algorithme de sélection présente une bande de variations autorisée associée. Cette bande qui contient les autorisations de précision de canal ainsi que les variations de traitement dans l'espace définit la plage des amplitudes qu'un signal peut avoir sans qu'il ne soit considéré comme faux. Par exemple les mesures des flux de neutrons à l'extérieur du coeur du réacteur peuvent varier de 2 % du fait des variations de puissance ,d'azimut dans le noyau ainsi que de 2 % supplémentaires pour des raisons d'erreurs de calibrage. A la fois l'erreur de canal (précision) et les variations dans l'espace sont limitées par les exigences de surveillance de l'installation contenues dans le cahier des charges de la centrale 11. Il est possible qu'un signal se trouve à la limite inférieure de cette plage et qu'un
autre se trouve à la limite supérieure, ce qui donne une diffé-
rence maximale possible entre les deux signaux validés, diffé-
rence qui est égale à deux fois celle de la bande de variations, autoriséedes signaux. C'est pourquoi pour être sûr qu'un signal qui est validé c'est-à-dire qui est dans la bande spécifiée des valeurs vraies, n'est pas rejeté accidentellement, il faut fixer une valeur à égale à deux fois la bande des variations autorisée. On remarque que chacune des fonctions du tableau I présente sa propre valeur de A. Par exemple si lé canal de température a une précision déterminée de + 20F ( 1-C) avec aucune tolérance pour les variations dans l'espace, la valeur A
pour ce canal est égale à 40F (20C).
Ayant déterminé l'amplitude de la valeur A en fonction de l'élimination des rejets accidentels des signaux, il est nécessaire d'évaluer les effets du non rejet d'un signal
36 2499298
invalidé, pour s'écarter de la valeur vraie au-delà de la limite déterminée. Dans le as le défavorable, un décalage de signal peut s'écarter par rapport à la valeur vraie de A+ X, X étant
la précision du canal avant d'être écarté d'au moins t par rap-
port à deux ou plusieurs signaux validés qui se trouvent dans- la limite de + X par rapport à la valeur vraie. Les systèmes de-commande qui utilisent des signaux traités selon l'algorithme de sélection, les utilisent de différentes façons et l'effet
du décalage du signal sur ces systèmes est considéré séparément.
Certains des éléments du système de commande 55 tels que la partie de commande de décalage axial des paramètres de commande de puissance prennent le jeu de signaux validés reçus, comme étant commandés par l'algorithme de sélection et à partir de cet ensemble ils choisissent le signal qui est le plus approprié dans le sens de la sécurité. La seule façon pour un décalage
hypothétique d'un signal d'affecter ce type de système de com-
mande est que s'ilse décale dans le sens de la conservation,- cela implique que l'effet de la commande écarte le procédé de ses
limites de protection. Ainsi il n'y a pas de possibilité d'inter-
action entre le système de commande et le système de protection.
Les systèmes de commande qui ne choisissent pas l'amplitude la plus conservatrice utilisent la moyenne des signaux validés reçus, comme étant commandés par l'algorithme de sélection de signal. Cela est nécessaire pour les variables lorsque soit le signal le plus haut, soit le signal le plus bas pourraient être
dépendants dans le sens de la conservation, du mode de fonction-
nement ou de l'amplitude particulière du paramètre par exemple le niveau de l'eau dans le générateur de vapeur. Dans ces cas, le décalage du signal pourrait entraîner la moyenne des signaux dans le sens de la non conservation. L'erreur maximale dans la moyenne se produit si tous les signaux validés sont accumulés à une extrémité de la bande autorisée et que le signal décalé s'écarte des signaux de la valeur A Dans le cas de trois signaux disponibles avant le début du décalage du signal, l'erreur maximale de la moyenne est égale à 1,67 fois la bande de variations autorisée. Lorsque quatre signaux sont concernés, l'erreur maximale est égale à 1,50 fois la bande autorisée. Dans aucun cas un décalage ou une dérive d'une amplitude-aussi faible entraîne une commande transitoire qui mettrait l'installation
dans une situation nécessitant une intervention de protection.
f LA encore il n'y a pas de risque d'interaction entre le système
de protection et le système de commande. C'est pourquoi, l'ampli-
tude de la valeur Q a été déterminée pour être égale à deux fois la bande de variations autorisée, ce qui correspond aux exigences de la règle IEEE279.
LISTE DES REFERENCES NUMERIQUES SELON LES
LEGENDE
TURBINE
ALTERNATEUR
CONDENSATEUR
RECHAUFFEURS
COLLECTEUR COMMUN DE VAPEUR
SYSTEME DE PROTECTION
V
SYSTEME DE COMMANDE
INSTALLATION DE PROTECTION
INSTALLATION DE PROTECTION
MOYENS DE SELECTION DE SIGNAL
CT SGP V v V V
CONTROLLEUR A MULTIPLEXAGE
EMETTEUR DE LIAISONS DE DONNEES
CANAL A FIBRES OPTIQUES
UNITE DE SELECTION DE SIGNAL
UNITE DE SELECTION DE SIGNAL
UNITE D'ESSAI AUTOMATIQUE
CANAUX DE COMMANDE PRINCIPAUX
CANAUX DE COMMANDE DE RETOUR ET LIAISONS
VALID.(i) - VRAI SUM d- SUM + SIG(i) i f i+ i < 4
AVG -- SUM/4
RETOUR
k -l 1 APPEL SELECTION AVEC SIG (k)
APPEL DE LA COMPARAISON
NR > 2
APPEL DE LA SORTIE
RETOUR
i--i + 1 N(i) <2
REFERENCE
38g 2499298
DESSINS:
FIGURE
----- --- - - - - - --
LISTE DES REFERENCES NUMERIQUES SELON LES DESSINS
LEGENDE REFERENCE FIGURE
DIFF> AVG-SIG(i) 177 6 VALID.(j)4-FAUX 181 6
APPEL. COMPARER 183 6
NR = 1 185 6
VALID. (NW) --FAUX 187 6
i4- O
NR --- O 201 7
N(i)-- O 203 7 VALID. (i) 205 7 j (-- O 207 7 j±j + 1 209 7 i = j 211 7 VALID.(j) 213 7 DIFF4- ISIG(i)-SIG(j)I 215 7
DIFF > A 216 7
N(i)*- N(i) + 1 217 7 j> 4 219 7 N(i) > 2 221 7 i 4 223 7 i <-O O j -o
SUM ±O 231 8
i4-i + 1 233 8 i J> 4 235 8 VALID. (i) 237 8 j4-j + 1 CONT(j)(-SIG(i) SUM(-- SUM+SIG(i) 239 8
NC=3 & NO=O 241 8
L >4 243 8
VALID.(L) 245 8
DELTA> ISIG(L)-SIG(i)I 247 8 NC(-j AVG e- SUM/NC 249 8
NC = 4 251 8
CONT(j) --CONT(i) 253 8
Claims (2)
- 40) Centrale nucléaire selon la revendication 3, caractérisée en ce que le moyen optique (107) est un chemin à fibres optiques dans chaque canal travaillant comme élément exclusif pour transmettre les signaux de l'unité de protection(81-87) correspondante vers le système de commande (55).
- 50) Centrale nucléaire selon la revendication 2, caractérisée en ce que le système de commande (55) comporte un canal de commande principal (141) et un canal de commande de retour (143) le moyen de sélection de signal comporte une première unité de sélection de signal (111) et une seconde unité de sélection de s-îgnal (113) analogues, la première unité de sélection de signal (111) étant reliée au canal de commande principal (141) pour éviter et permettre comme indiqué, la transmission des signaux du moyen-capteur (81-87) vers le canal de commande principal (141) et la seconde unité de sélection (113) étant reliée au canal de commande de retour (143) pour éviter et permettre comme précédemment, la transmission des signaux du moyen-capteur vers le canal de commande de retour (143), un générateur de signaux d-essai (117e 119) un moyen (115) reliant le générateur de signaux d-essai aux canaux, le moyen de liaison comportant un moyen de commutation sélectif pour relier lemoyen générateur de signaux d-essai suivant une relation sélec-tive de transmission de signaux d'essai avec la première unité de sélection de signal (111) et le canal de commande principal (141) ou avec la seconde unité de sélection de signal (113) etle canal de commande de retour (143) et pour éviter la trans-mission des signaux de l'ensemble de détection par la première unité choisie ou la seconde sélection de signal suivant le cas, et un moyen (117,119) reliant le moyen générateur de signaux d'essai et le canal de commande principal (141) et le canal decommande de retour (143) pour éviter la transmission d'infor-mations de commande vers le réacteur (13) et/ou ses composants à partir du canal de commande principal choisi ou du canal de commande de retour. suivant le cas, ) Procédé de commande d'une centrale nucléaire qui comporte un réacteur nucléaire et un ensemble de composants reliés au réacteur pour transformer l'énergie thermique générée par le réacteur en énergie électrique, le réacteur et certainsdes composants ayant des paramètres dépendant de leur fonction-nement, un système de protection,- une installation de protection répondant au système de protection pour établir un fonctionnement de protection lorsque les paramètres dépendant du fonctionnementindiquant un état anormal de l'installation et un système de -commande pour commander l'installation en fonction de l'amplitude, des paramètres dépendant du procédé, procédé selon lequel on fournit un ensemble ou plusieurs signaux de procédé ou de fonctionnement, chaque ensemble mesurant chacun des paramètres, on transmet chaque ensemble de signaux de procédé au système de protection pour être traité séparément par le système de protection, oncommande le système de protection pour mettre en oeuvre l'instal-lation de protection en réponse seulement à plus d'un signal de procédé d'un ensemble mesurant un paramètre et traduisant un fonctionnement anormal de l'installation, on fournit séparément à partir du système de protection chaque ensemble de signaux de procédé mesurant chacun des paramètres, procédé caractérisé en ce que les étapes de détermination des différences entre chaque signal de procédé d'un ensemble mesurant un paramètre et les autres signaux de procédé de l'ensemble ainsidériVé mesurant le méme paramètre, on supprime l'un des derniers signaux de procédé, dérivés qui diffèrent de l'autre signal de procédé mentionné en dernier lieu d'au moins une amplitude prédéterminée, on transmet les signaux de procédé dérivés, restants, de chaque ensemble vers le système de commande qui, en fonction de tout signal de procédé dérivé qu'il reçoit et qui mesure un état anormal, commande le réacteur ou le composant concerné qui est en fonctionnement anormal pour remettre le procédé à l'état normal. 7 ) Procédé selon la revendication 6, dans lequelle système de commande comporte des canaux de commande princi-paux et des canaux de commande de retour, procédé caractérisé en ce qu'on transmet les jeux de signaux de fonctionnement ainsi dérivés par un premier canal de signal et un second canal de signal, chacun des canaux déterminant la différence entre chaque signal de fonctionnement d'un ensemble mesurant un paramètre ainsi choisi et les autres signaux de fonctionnement de l'ensemble pour obtenir la mesure du mème paramètre pour chaque canal, les signaux de fonctionnement ainsi obtenus pour chaque ensemble transmis et qui ne diffèrent pas du dernier signal de fonctionnement d'une valeur prédéterminée, passent par le premier canal de signal pour le canal de commande principal, les autres signaux de fonctionnement, dérivés de chaque ensemble transmis passant par le second canal de signal vers le canal de.commande de commande de retour, on injecte sélectivement à intervalles, des signaux dans le premier canal de signal ou dans le second canal de signal, on fait passer sélectivement le signal d'essai injecté dansle premier canal de signal seulementvers le canal de commande principal ou on fait passer sélecti-vement les signaux d'essai injectés dans le second canal de signal seulement vers le canal de commande de retour, on interdit le canal de commande principal choisi ou le canal de commande de retour, suivant le cas pour le passage des signaux de fonctionnement et on agit sur le système de commande-ou pendant les intervalles d'essai sur le canal principal ou le canal de retour, choisi, suivant le cas en fonction de n'importe quel signal de procédé, reçu, et qui mesure l'état anormal d'un fonctionnement, pour commander le réacteur ou le composantconcerné par ce fonctionnement anormal pour rétablir le fonc-tionnement à létat normal,8zj Procédé selon l'une quelconque des revendica-tions 6 et 7, caractérisé en ce qu'il consiste g a) à dériver pendant les cycles successifs, les signaux distincts indicateurs de 10amplitude détectée par chaque capteur; b) à déterminer la moyenne des amplitudes des' signaux détectés par le dernier capteur pendant chaque-cycle; c) -à comparer l'amplitude de chaque signal détecté par un moyen-capteur pendant un cycle avec l'amplitude des autres signaux captés par le moyen- capteur pendant le même cycle, d) lorsqu'on constate que deux signaux diffèrent en amplitude des autres signaux de façon supérieure à la variation autorisée du moyen-capteur correspondant, on détermine celui des deux signaux qui diffère de la plus grande amplitude par rapport à la moyenne déterminée par le même moyen-capteur pendant le cycle précédent; e) on rejette celui des deux signaux qui est le plus différent de la moyenne, et f) on transmet au moins les autres signaux par rapportauxquels diffèrent les deux signaux pour commander l'installation.) Procédé selon la revendication 8, caractérisé en ce qu'on compare chacun des autres signaux à l'exclusion de celui qui est rejeté avec chacun des signaux restants pour déterminer si celui des deux signaux qui restent, diffère des autres signaux de plus que la variation autorisée pour le moyen-capteur et on rejette ce signal si la différence parrapport aux autres signaux est supérieure aux variations autorisées.l0 ) Procédé selon la revendication 9, caractérisé en ce que l'un des deux signaux est rejeté s'il diffère d'aumoins deux autres signaux plus que la limite autorisée.
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US06/231,521 US4427620A (en) | 1981-02-04 | 1981-02-04 | Nuclear reactor power supply |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| FR2499298A1 true FR2499298A1 (fr) | 1982-08-06 |
| FR2499298B1 FR2499298B1 (fr) | 1985-09-13 |
Family
ID=22869587
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR8124018A Expired FR2499298B1 (fr) | 1981-02-04 | 1981-12-22 | Systeme d'alimentation electrique d'un reacteur nucleaire |
Country Status (13)
| Country | Link |
|---|---|
| US (1) | US4427620A (fr) |
| EP (1) | EP0057453B2 (fr) |
| JP (1) | JPS57147086A (fr) |
| KR (1) | KR890000670B1 (fr) |
| AT (1) | ATE18821T1 (fr) |
| CA (1) | CA1180133A (fr) |
| DE (1) | DE3270057D1 (fr) |
| ES (1) | ES8401668A1 (fr) |
| FR (1) | FR2499298B1 (fr) |
| GB (1) | GB2093245B (fr) |
| IL (1) | IL64649A (fr) |
| IT (1) | IT1205251B (fr) |
| ZA (1) | ZA82139B (fr) |
Families Citing this family (34)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4582672A (en) * | 1982-08-11 | 1986-04-15 | Westinghouse Electric Corp. | Method and apparatus for preventing inadvertent criticality in a nuclear fueled electric powering generating unit |
| US4804515A (en) * | 1984-10-31 | 1989-02-14 | Westinghouse Electric Corp. | Distributed microprocessor based sensor signal processing system for a complex process |
| JPS61118692A (ja) * | 1984-11-13 | 1986-06-05 | ウエスチングハウス エレクトリック コ−ポレ−ション | 加圧水型原子炉発電システムの運転方法 |
| US4697093A (en) * | 1985-01-23 | 1987-09-29 | Westinghouse Electric Corp. | Testable, fault-tolerant power interface circuit for controlling plant process equipment |
| US4652417A (en) * | 1985-02-07 | 1987-03-24 | Westinghouse Electric Corp. | Fault-tolerant analog output network |
| US4635468A (en) * | 1985-06-10 | 1987-01-13 | Westinghouse Electric Corp. | Gas monitoring method and device |
| US4747994A (en) * | 1985-10-18 | 1988-05-31 | Westinghouse Electric Corp. | Reactor trip control with voltage sensing |
| US4683105A (en) * | 1985-10-31 | 1987-07-28 | Westinghouse Electric Corp. | Testable, fault-tolerant power interface circuit for normally de-energized loads |
| US4696785A (en) * | 1985-10-31 | 1987-09-29 | Westinghouse Electric Corp. | Testable voted logic power circuit and method of testing the same |
| US4816208A (en) * | 1986-02-14 | 1989-03-28 | Westinghouse Electric Corp. | Alarm management system |
| US4774049A (en) * | 1986-04-10 | 1988-09-27 | Westinghouse Electric Corp. | Two and three dimensional core power distribution monitor and display |
| US4738818A (en) * | 1986-09-29 | 1988-04-19 | Westinghouse Electric Corp. | Feedwater control in a PWR following reactor trip |
| US4783307A (en) * | 1987-03-05 | 1988-11-08 | Commonwealth Edison Company | Reactor control system verification |
| US4838559A (en) * | 1987-06-17 | 1989-06-13 | Westinghouse Electric Corp. | Reactor coolant pump hydrostatic sealing assembly with improved hydraulic balance |
| US4848774A (en) * | 1987-08-31 | 1989-07-18 | Westinghouse Electric Corp. | Reactor coolant pump hydrostatic sealing assembly with externally pressurized hydraulic balance chamber |
| US5287264A (en) * | 1988-08-05 | 1994-02-15 | Hitachi, Ltd. | Multicontroller apparatus, multicontroller system, nuclear reactor protection system, inverter control system and diagnostic device |
| US5167010A (en) * | 1989-08-03 | 1992-11-24 | Westinghouse Electric Corp. | Expert advice display processing system |
| US5192493A (en) * | 1989-08-30 | 1993-03-09 | Westinghouse Electric Corp. | Median signal selector for feedwater control systems |
| EP0742637A1 (fr) * | 1995-05-11 | 1996-11-13 | Siemens Aktiengesellschaft | Méthode et appareil pour freinage sécurisé d'un entraînement électrique |
| US5631937A (en) * | 1995-11-15 | 1997-05-20 | Westinghouse Electric Corporation | Method and apparatus for protecting a PWR from departure from nucleate boiling and hot leg boiling |
| US6167547A (en) * | 1996-06-20 | 2000-12-26 | Ce Nuclear Power Llc | Automatic self-test system utilizing multi-sensor, multi-channel redundant monitoring and control circuits |
| US6484126B1 (en) | 1997-06-06 | 2002-11-19 | Westinghouse Electric Company Llc | Digital plant protection system with engineered safety features component control system |
| US6292523B1 (en) * | 1997-06-06 | 2001-09-18 | Westinghouse Electric Company Llc | Digital engineered safety features actuation system |
| US5984504A (en) * | 1997-06-11 | 1999-11-16 | Westinghouse Electric Company Llc | Safety or protection system employing reflective memory and/or diverse processors and communications |
| ATE238574T1 (de) * | 1998-07-29 | 2003-05-15 | Cegelec Acec S A | Redundantes prozesssteuerungssystem |
| WO2000017888A1 (fr) * | 1998-09-18 | 2000-03-30 | Westinghouse Electric Company Llc | Systeme numerique de protection de centrale |
| US6898542B2 (en) * | 2003-04-01 | 2005-05-24 | Fisher-Rosemount Systems, Inc. | On-line device testing block integrated into a process control/safety system |
| JP4511861B2 (ja) * | 2003-04-01 | 2010-07-28 | フィッシャー−ローズマウント システムズ， インコーポレイテッド | オーバライドおよびバイパスを利用したプロセス制御・安全システム内におけるフィールドデバイスの動作調整 |
| US7130703B2 (en) * | 2003-04-08 | 2006-10-31 | Fisher-Rosemount Systems, Inc. | Voter logic block including operational and maintenance overrides in a process control system |
| US8234414B2 (en) * | 2004-03-31 | 2012-07-31 | Qurio Holdings, Inc. | Proxy caching in a photosharing peer-to-peer network to improve guest image viewing performance |
| JP5631098B2 (ja) * | 2010-08-02 | 2014-11-26 | 三菱重工業株式会社 | 原子力プラントの運転監視装置 |
| JP5675256B2 (ja) * | 2010-10-12 | 2015-02-25 | 三菱重工業株式会社 | 原子力施設の制御システム |
| FR3005142B1 (fr) * | 2013-04-24 | 2015-05-22 | Dalkia France | Systeme et procede de controle d'une installation sous pression, et installation equipee d'un tel systeme |
| CN111739669B (zh) * | 2020-07-24 | 2022-02-01 | 中国核动力研究设计院 | 一种适用核电站棒位探测器的冗余励磁结构、系统及方法 |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US3265584A (en) * | 1963-11-13 | 1966-08-09 | Richard C Cooper | Nuclear reactor viewing system |
| GB1108258A (en) * | 1964-12-31 | 1968-04-03 | Kernforschung Gmbh Ges Fuer | Method and device for the supervision of an electrical control system, especially of a safety switching system of a nuclear reactor |
| DE1464290A1 (de) * | 1961-08-31 | 1968-11-28 | North American Aviation Inc | Verfahren und Einrichtung zum UEberwachen der Arbeitsweise einer Anlage |
| US3424652A (en) * | 1966-04-26 | 1969-01-28 | Kernforschung Gmbh Ges Fuer | Method and device for the supervision of installations,in particular safety switching system of nuclear reactors |
| GB1506081A (en) * | 1975-03-04 | 1978-04-05 | Commissariat Energie Atomique | Method and apparatus for the thermal monitoring of a nuclear reactor core |
| GB2040522A (en) * | 1979-01-22 | 1980-08-28 | Babcock & Wilcox Co | Nuclear reactor safety systems |
| GB2041605A (en) * | 1979-01-29 | 1980-09-10 | Babcock & Wilcox Co | Nuclear reactor safety systems |
Family Cites Families (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US3483081A (en) | 1963-05-21 | 1969-12-09 | Atomic Energy Commission | Stability improvement for nuclear reactor automatic control system |
| US3425903A (en) | 1967-09-15 | 1969-02-04 | Combustion Eng | Nuclear power plant protective system employing logic materices |
| US3437556A (en) | 1967-10-23 | 1969-04-08 | Combustion Eng | Test circuit for reactor safety control system |
| US3593307A (en) | 1968-09-20 | 1971-07-13 | Adaptronics Inc | Redundant, self-checking, self-organizing control system |
| DE2020940B2 (de) | 1970-04-29 | 1973-05-03 | Siemens AG, 1000 Berlin u. 8000 München | Einrichtung zur funktionsueberwachung der einzelnen regelstraenge eines analogen mehrkanaligen regelsystems |
| US3892954A (en) | 1972-04-04 | 1975-07-01 | Westinghouse Electric Corp | Programmable, tester for protection and safeguards logic functions |
| US3888772A (en) | 1972-04-04 | 1975-06-10 | Westinghouse Electric Corp | Communication between redundant protection and safeguards logic systems within nuclear reactor power plants by means of light |
| IT957627B (it) | 1972-04-14 | 1973-10-20 | Cnen | Dispositivo elettromagnetico di sicurezza per l agganciamento delle barre di controllo e sicurez za di un reattore nucleare con logi ca di sgancio intrinseca |
| FR2294473A1 (fr) | 1974-12-11 | 1976-07-09 | Commissariat Energie Atomique | Procede et dispositif electronique de commande a securite positive |
| GB1546587A (en) | 1974-12-11 | 1979-05-23 | Commissariat Energie Atomique | Positive-safety units haveing the functions of control relay and current regulation |
| US4200226A (en) | 1978-07-12 | 1980-04-29 | Euteco S.P.A. | Parallel multiprocessing system for an industrial plant |
| US4292129A (en) | 1979-02-14 | 1981-09-29 | Westinghouse Electric Corp. | Monitoring of operating processes |
| US4282061A (en) | 1979-02-22 | 1981-08-04 | Hitachi, Ltd. | System for preventing erroneous operation of control rods |
| US4347563A (en) | 1980-06-16 | 1982-08-31 | Forney Engineering Company | Industrial control system |
-
1981
- 1981-02-04 US US06/231,521 patent/US4427620A/en not_active Expired - Lifetime
- 1981-12-22 FR FR8124018A patent/FR2499298B1/fr not_active Expired
- 1981-12-25 IL IL64649A patent/IL64649A/xx unknown
-
1982
- 1982-01-08 ZA ZA82139A patent/ZA82139B/xx unknown
- 1982-01-21 CA CA000394692A patent/CA1180133A/fr not_active Expired
- 1982-01-29 EP EP82100649A patent/EP0057453B2/fr not_active Expired
- 1982-01-29 DE DE8282100649T patent/DE3270057D1/de not_active Expired
- 1982-01-29 AT AT82100649T patent/ATE18821T1/de not_active IP Right Cessation
- 1982-02-01 IT IT19378/82A patent/IT1205251B/it active
- 1982-02-03 ES ES509306A patent/ES8401668A1/es not_active Expired
- 1982-02-04 KR KR8200471A patent/KR890000670B1/ko active
- 1982-02-04 JP JP57015640A patent/JPS57147086A/ja active Granted
- 1982-02-04 GB GB8203160A patent/GB2093245B/en not_active Expired
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE1464290A1 (de) * | 1961-08-31 | 1968-11-28 | North American Aviation Inc | Verfahren und Einrichtung zum UEberwachen der Arbeitsweise einer Anlage |
| US3265584A (en) * | 1963-11-13 | 1966-08-09 | Richard C Cooper | Nuclear reactor viewing system |
| GB1108258A (en) * | 1964-12-31 | 1968-04-03 | Kernforschung Gmbh Ges Fuer | Method and device for the supervision of an electrical control system, especially of a safety switching system of a nuclear reactor |
| US3424652A (en) * | 1966-04-26 | 1969-01-28 | Kernforschung Gmbh Ges Fuer | Method and device for the supervision of installations,in particular safety switching system of nuclear reactors |
| GB1506081A (en) * | 1975-03-04 | 1978-04-05 | Commissariat Energie Atomique | Method and apparatus for the thermal monitoring of a nuclear reactor core |
| GB2040522A (en) * | 1979-01-22 | 1980-08-28 | Babcock & Wilcox Co | Nuclear reactor safety systems |
| GB2041605A (en) * | 1979-01-29 | 1980-09-10 | Babcock & Wilcox Co | Nuclear reactor safety systems |
Also Published As
| Publication number | Publication date |
|---|---|
| KR830009589A (ko) | 1983-12-22 |
| JPS57147086A (en) | 1982-09-10 |
| EP0057453B1 (fr) | 1986-03-26 |
| FR2499298B1 (fr) | 1985-09-13 |
| GB2093245A (en) | 1982-08-25 |
| JPH034872B2 (fr) | 1991-01-24 |
| US4427620A (en) | 1984-01-24 |
| EP0057453A2 (fr) | 1982-08-11 |
| EP0057453A3 (en) | 1982-11-17 |
| IT1205251B (it) | 1989-03-15 |
| GB2093245B (en) | 1985-11-27 |
| EP0057453B2 (fr) | 1989-07-26 |
| CA1180133A (fr) | 1984-12-27 |
| ES509306A0 (es) | 1983-12-16 |
| KR890000670B1 (ko) | 1989-03-22 |
| IT8219378A0 (it) | 1982-02-01 |
| IL64649A (en) | 1985-02-28 |
| ATE18821T1 (de) | 1986-04-15 |
| DE3270057D1 (en) | 1986-04-30 |
| ZA82139B (en) | 1983-01-26 |
| ES8401668A1 (es) | 1983-12-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| FR2499298A1 (fr) | Systeme d'alimentation electrique d'un reacteur nucleaire | |
| FR2503922A1 (fr) | Installation de coupure d'un reacteur nucleaire | |
| EP0535761B1 (fr) | Procédé de détection et de passivation de pannes dans un système de traitement de données et système de traitement de données adapté à sa mise en oeuvre | |
| US4804515A (en) | Distributed microprocessor based sensor signal processing system for a complex process | |
| EP0428676B1 (fr) | Gestion de parametres relatifs a un traitement de dialyse | |
| KR100931136B1 (ko) | 삼중화된 ｂｐ와 ｃｐ 및 2/3 논리의 개시회로 구조를 갖는디지털 원자로 보호계통 및 그 구동 방법 | |
| KR100788826B1 (ko) | 디지털 원자로 보호계통 및 디지털 원자로 보호계통의 시험 방법 | |
| FR2506040A1 (fr) | ||
| CN101971115B (zh) | 冷凝水回收系统及监测蒸汽损失的方法 | |
| FR2531802A1 (fr) | Procede et appareil pour empecher toute criticite involontaire dans une centrale electronucleaire | |
| FR2673288A1 (fr) | Detecteur d'anomalie de temperature pour appareil electronique. | |
| CA2064019C (fr) | Procede pour la surveillance d'equipements et dispositif pour la mise en oeuvre de ce procede | |
| FR2544518A1 (fr) | Appareil electronique de commande pour installation de propulsion | |
| KR20090054838A (ko) | 디지털 원자로보호계통의 시험장치 및 그 제어 방법 | |
| JP5194775B2 (ja) | 光チャネルモニタのデータ収集方法およびプログラムならびに伝送装置 | |
| EP0325455B1 (fr) | Méthode et système d'intercommunication | |
| US20020196430A1 (en) | Measuring optical signal power in an optical system | |
| EP3943399B1 (fr) | Systeme et procede de regulation de la temperature de la cabine d'un aeronef au sol | |
| FR2531651A1 (fr) | ||
| DK160731B (da) | Kredsloeb til automatisk overvaagning af referencebaggrunden i et filmbehandlingsapparat | |
| JP5493681B2 (ja) | 局内装置、光通信システム、構成検出方法、および装置のプログラム | |
| EP0535760B1 (fr) | Procédé de discrimination temporelle de pannes dans un système hiérarchisé de traitement de données, et système hiérarchisé de traitement de données adapté à sa mise en oeuvre | |
| US6545976B1 (en) | Measurement of network protection switch time | |
| RU2785587C1 (ru) | Способ мониторинга каналов связи в волоконно-оптической системе и устройство для его осуществления | |
| FR2715786A1 (fr) | Système de transmission de données transmises par une liaison comprenant des équipements intermédiaires et équipement intermédiaire pour un tel système. |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| CL | Concession to grant licences | ||
| ST | Notification of lapse |