FR2529694A1 - Procede et appareil pour le controle en direct du fonctionnement d'un systeme de commande de processus industriels complexes non lineaires - Google Patents

Abstract

PROCEDE ET APPAREIL POUR LE CONTROLE EN DIRECT DU FONCTIONNEMENT D'UN SYSTEME DE COMMANDE DE PROCESSUS INDUSTRIELS COMPLEXES NON LINEAIRES. CE PROCEDE COMPREND LA MESURE PERIODIQUE DES PARAMETRES (FLUX F, NIVEAU L, PRESSION P, RADIATION R, TEMPERATURE T) DU SYSTEME ET LA MISE EN MEMOIRE DE VALEURS DE POINTS DE CONSIGNE SELECTIONNES. LA VALEUR MESUREE DES PARAMETRES EST COMPAREE AVEC LA VALEUR DES POINTS DE CONSIGNE ASSOCIES AFIN DE CREER UNE REPRESENTATION DE LA PLAGE MESUREE DES PARAMETRES. L'ETAT EXISTANT DU SYSTEME EST REPRESENTE EN REPONSE A CES MESURES ET UN SYSTEME DE CONTROLE EFFECTUE DES CHANGEMENTS DANS LA VALEUR MESUREE D'AU MOINS UN PARAMETRE EN REPONSE AUX REPRESENTATIONS DE L'ETAT DU SYSTEME, DE MANIERE A DECLENCHER UNE MODIFICATION PREDETERMINEE DE CET ETAT. APPLICATIONS NOTAMMENT AUX USINES DE FABRICATION DE PRODUITS CHIMIQUES, AUX USINES SIDERURGIQUES ET AUX CENTRALES NUCLEAIRES DE PRODUCTION D'ELECTRICITE.

Description

Procédé et appareil pour le contrôle en direct du fonctionnement d'un

système de commande de processus industriels complexes non linéaires.

La présente invention se rapporte à un procédé et à un appa-

reil pour le contrôle du fonctionnement d'un système de commande de processus industriels complexes non linéaires tels que ceux utilisés pour les unités de production électrique nucléaires; l'invention se rapporte spécialement à un procédé et un appareil destinés à évaluer l'état de tels systèmes complexes grâce à une analyse systématique d'un volume énorme de données obtenues de tous les éléments du système Bien que le champ d'application de l'invention soit principalement prévu

pour l'indentification de conditions critiques dans le système, l'in-

vention peut également être utile pour détecter tout écart par rapport

aux conditions de fonctionnement normales.

Les systèmes modernes de commande de processus industriels

ont atteint un niveau de complexité tel que ceux-ci sont capables d'ac-

complir leur tâche très correctement en commandant semi-automatiquement ou automatiquement un processus industriel complexe non linéaire, tout en respectant des paramètres préaffichés, et malgré les perturbations inhérentes au système Un grand nombre de ces systèmes de commande sont

aussi capables d'interrompre un processus en cas de-perturbations ma-

jeures Il est néanmoins recommandé, et obligatoire dans certaines ap-

plications, qu'un opérateur humain garde le contrôle final du proces-

sus Par exemple, lorsqu'un système de commande de processus indus-

triels est capable de traiter certaines perturbations déjà identifiées dans le système, il y a toujours le risque qu'une interférence inconnue

apparaisse, telle que la combinaison imprévue de la défaillance de com-

posants indépendants l'un de l'autre Malgré l'existence d'un système automatique pouvant réagir en coupant le système, il existe toujours l'éventualité que d'autres mesures aient été prises afin de résoudre le

problème, ou encore, dans le cas o la défaillance est repérée suffi-

samment tôt, qu'il soit possible de restabiliser le système en évitant

l'arrêt total.

La capacité d'un opérateur d'intervenir dans le fonctionne-

ment d'un système de commande de processus industriels complexes est compliquée par le volume énorme d'informations à analyser Pour le traitement de ce problème, voir le brevet américain n' 4 298 955 Dans ce document il est fait appel à une table de décision afin de comparer

une variété de combinaisons de valeurs mesurées des paramètres du sys-

tème, avec des valeurs de points de consigne A chaque combinaison sé-

lectionnée est attribué un coefficient de pondération qui est fonction de la gravité de la situation exposée Le résultat peut être 5 utilisé afin d'indiquer le problème à l'opérateur et peut même permettre des modifications des commandes Néanmoins, même dans un système n'ayant qu'un nombre limité de paramètres, le nombre possible de combinaisons de valeurs mesurées et comparées aux points de consigne correspondants est beaucoup trop important à gérer Ceci oblige à ce 10 que seules les

combinaisons représentant des événements probables puissent être sélec-

tionnnées pour la détection Malheureusement, une telle méthode de sé-

lection peut entraîner l'élimination et donc empêcher la détection d'événements spécifiques qui, bien qu'improbables, pourraient survenir

comme résultant de défaillances 15 multiples du système.

Afin de résoudre ce problème, la présente invention est basée

sur une analyse de décision L'arbre de décision est un outil analyti-

que qui a trouvé son application dans l'analyse de situations o plu-

sieurs combinaisons d'événements peuvent survenir Ces événements font l'objet d'une analyse séquentielle, la séquence étant déterminée grâce à la réalisation ou la non-réalisation de l'événement précédant dans la

séquence Ces arbres de décision ont été utilisés dans l'analyse de dé-

faillances lorsque la défaillance ou la poursuite du fonctionnement de chaque composant du système constituent les événements, les différentes combinaisons de défaillances des composants entraînant finalement la défaillance du système En attribuant une probalité à la défaillance de

chaque composant, la fiabilité de tout le système peut être estimée.

Les arbres de décision ont aussi été utilisés dans l'analyse de ris-

ques En partant d'une situation particulière, la suite d'événements possibles est présentée sous la forme d'un organigramme afin d'inclure toutes les combinaisons possibles de la réalisation ou non de chaque

événement aboutissant finalement à un certain nombre d'événements pos-

sibles En attribuant à nouveau une probabilité à la réalisation de

chaque événement, la vraisemblance de la réalisation de chaque événe-

ment final peut-être prédite Une analyse basée sur un arbre de déci-

sion peut être effectuée sous forme de graphique en dessinant une série

de lignes convergeant avec la réalisation de chaque combinaison de dé-

faillances et se réduisant à une seule ligne dans le cas d'analyse des défaillances, puis divergeant d'une seule ligne vers une multitude de

branches dans le cas de l'analyse de risques Néanmoins, jusqu'a pré-

sent, la possibilité d'application des principes d'analyse basée sur un arbre de décision n'a pas été utilisée pour le contrôle en direct du

fonctionnement d'un système de commande de processus industriels.

Le cas d'un réacteur de production d'électricité fournit un exemple de système de commande d'un processus industriel complexe et non linéaire dans lequel un important ensemble de données doivent être analysées afin de déterminer l'état du système De tels systèmes sont

équipés de commandes automatiques fiables avec des redondances inté-

grées et un système de chute de puissance contrôlée pouvant complète-

ment arrêter la centrale dans l'éventualité d'un trop grand écart par rapport aux conditions normales de fonctionnement L'opérateur doit

être et est en mesure de se substituer au contrôle automatique Néan-

moins, afin d'intervenir avec efficacité, il doit être capable de -dé-

terminer, à partir des informations à sa disposition, quelle action est nécessaire et appropriée à la situation Des défaillances multiples peuvent provoquer des interactions complexes et non automatiques entre

les différents sous-systèmes qui, si elles ne sont pas analysées cor-

rectement, pourraient entraîner des interventions inappropriées pouvant aggraver plutôt qu'améliorer les conditions Néanmoins, quoi qu'il arrive dans le système, le but prioritaire est toujours d'empêcher la fuite de radiations de la centrale Dans cette perspective, la "U S. Nuclear Regulatory Agency" a institué des règlements obligeant à

présenter à l'opérateur l'état de certaines fonctions liées au confine-

ment de la radioactivité.

L'objet principal de la présente invention est de contrôler

les fonctions critiques dans un réacteur nucléaire.

Un des aspects de la présente invention réside essentielle-

ment dans le procédé de fonctionnement d'un système de commande de pro-

cessus industriels complexes et non linéaires comprenant les stades

suivants: mesure périodique de paramètres du système; stockage de va-

leurs sélectionnées de points de consignes associées à chaque paramè-

tre; comparaison séquentielle de la valeur mesurée desdits paramètres

sélectionnés avec la valeur du point de consigne associé de façon à ob-

tenir une représentation de la plage dudit paramètre, caractérisé en ce que la sélection séquentielle de chaque paramètre est basée sur la plage mesurée du paramètre précédent; représentation de l'état normal du système en réponse aux plages mesurées portant sur les paramètres sélectionnés en séquence; et exploitation du système de commande afin

d'effectuer des modifications de la valeur mesurée d'au moins un para-

mètre du système en réponse à la sélection de représentations de l'état du système afin de déclencher une modification prédéterminée de l'état

de celui-ci.

Un autre aspect de la présente invention concerne essentiel- lement un dispositif indiquant l'état d'un réacteur de production d'électricité comprenant: un moyen permettant de mesurer la valeur du paramètre du système sélectionné, caractérisé par des moyens permettant d'élaborer un graphique de lignes qui prennent leur origine à partir

d'un segment unique qui à son tour se divise successivement en plu-

sieurs segments supplémentaires, ceux-ci dérivant de chaque embranche-

ment, chacun de ces derniers représentant une plage présélectionnée de

valeurs pour l'un desdits paramètres; et un moyen permettant d'élabo-

rer des renseignements visuels liés audit graphique de lignes représen-

tant un cheminement continu de segments traversant ledit graphique, chaque segment de ligne sur le cheminement représentant les valeurs de la plage présélectionnée dans laquelle se situe la valeur mesurée d'un

des paramètres sélectionnés.

Selon la présente invention, le fonctionnement d'un système de commande de processus industriels non linéaires et complexes est

contrôlé par une comparaison séquentielle périodique des valeurs réel-

les des paramètres sélectionnés du système avec des valeurs de points de consignes en mémoire et ceci dans le but de déterminer les plages réelles des paramètres sélectionnés Les paramètres sont sélectionnés

pour une comparaison séquentielle sur la base de la plage réelle du pa-

ramètre précédemment sélectionné, la séquence ainsi créée représen-

tant une indication de l'état du système Une telle analyse peut être décrite par un graphique de lignes prenant leur origine à partir d'une seule ligne qui se divise à chaque embranchement o une comparaison est faite avec chaque ligne partant de l'embranchement représentant des plages sélectionnées de la valeur réelle du paramètre relatif au point de consigne correspondant La séquence de comparaison définit alors un cheminement à travers le graphique Des indications quant à l'état du

système peuvent être élaborées de deux manières différentes: la derni-

ère branche ou la branche terminale du cheminement sélectionné peut

être utilisée pour indiquer l'état; ou bien des indications des condi-

tions sélectionnées peuvent être élaborées, celles-ci étant identifiées

dans la séquence des comparaisons.

Bien qu'il ne s'agisse pas d'une caractéristique intrinsèque

de la présente invention, une visualisation du graphique peut être pro-

duite soit en configuration câblée, telle que des segments de lignes présentés sous forme d'éléments électroluminescents, ou au moyen d'un écran cathodique Le cheminement choisi à travers le graphique peut être visualisé de différentes manières: par exemple en faisant cligno- ter les branches sélectionnées et en utilisant des couleurs Dans l'exemple préféré de réalisation, les valeurs réelles des paramètres et

les valeurs des points de consigne apparaissent à côté des embranche-

ments. Une application particulière de la présente invention est de

fournir à l'opérateur d'un réacteur de production d'électricité une in-

formation en temps réel sur l'état de la centrale, surtout dans le cas

o le réacteur subit une chute de puissance contrôlée Dans la perspec-

tive de cette application, plusieurs arbres d'état, chacun 15 associé à

une fonction de sécurité critique, sont élaborés Une présentation sé-

quentielle de ces arbres peut être faite sur un écran de tube cathodi-

que ou sous la forme la plus simple et fiable d'un panneau câblé, cité précédemment Dans la dernière configuration, des galvanomètres indexés avec les valeurs-appropriées des points de consignes apparaissent à coté de chaque embranchement, afin de montrer les valeurs réelles du paramètre associé; ceci permet à l'opérateur de déterminer la plage

réelle de chaque paramètre Prenant pour base ces observations, l'opé-

rateur positionne un interrupteur manuel au point d'embranchement afin

de signaler la branche sélectionnée L'opérateur continue successive-

ment à éclairer le cheminement des embranchements à travers le circuit

représentatif de l'état réel de chaque fonction de sécurité critique.

Qu'il s'agisse de la présentation câblée ou par écran de la présente

invention, il y a un indicateur à côté de chaque branche terminale in-

diquant immédiatement à l'opérateur la gravité de l'état réel Cet in-

dicateur peut être présenté sous la forme de voyants lumineux en cou-

leur afin de marquer davantage l'indication de l'état.

La présente invention comprend aussi, à côté de chaque bran-

che terminale, des procédures à suivre afin d'améliorer l'état de la

centrale Dans l'exemple de réalisation à tube cathodique de la présen-

te invention, il est aussi utile d'afficher sommairement une liste de

procédures auxquelles on fait appel et qui souligne les nouvelles pro-

cédures impératives et les priorités pour leur exécution.

La présente invention porte aussi sur la surveillance de l'état de la centrale lorsque l'unité fonctionne Pendant cette phase, les marges attribuées aux différentes chutes de tension des réacteurs

ainsi que leur vitesse de variation sont surveillées, et des indica-

tions sont fournies concernant la possibilité d'une chute de puissan-

ce. Dans tous ses exemples de réalisation, la présente invention fournit une analyse systématique de l'énorme volume de données présent dans un système de commande de processus industriels non linéaires et complexes; elle présente à l'opérateur une indication claire de l'état

du système et indique aussi les procédures à suivre, y compris les pri-

orités d'exécution afin de guider le système vers des conditions norma-

les ou au moins vers des conditions plus sûres.

La présente invention sera bien comprise à la lecture de la

description suivante faite en relation avec les dessins ci-joints, dans

lesquels: la figure 1 représente le schéma fonctionnel d'un système

de réacteur à eau sous pression de production d'électricité, consti-

tuant un exemple de réalisation de la présente invention; la figure 2 est un schéma synoptique présenté sous la forme

d'encadrés d'un arbre d'état conforme à la présente invention et per-

mettant l'exploitation du système de production d'énergie décrit à la figure 1; les figures 3, 4 a, b et c montrent d'une façon détaillée des parties de l'arbre d'état illustré à la figure 2;

la figure 5 est un diagramme fonctionnel d'un système ser-

vant à effectuer l'analyse de l'arbre d'état des figures 2 à 4 c, à

l'aide d'un calculateur numérique.

les figures 6, 7 et 8 sont des illustrations de visualisa-

tions caractéristiques, produites par le système de la figure 5; les figures 9 à 13 sont des organigrammes adaptés pour l'analyse représentée par l'arbre d'état des figures 2, 3 et 4;

les figures 14 a et b sont des organigrammes servant à éla-

borer la visualisation de la figure 8; les figures 15 à 20 sont des illustrations d'arbres d'état

des fonctions de sécurité critiques d'après un autre aspect de l'inven-

tion;

la figure 21 est l'illustration d'une présentation sommaire

caractéristique pouvant être élaborée et relative à l'arbre d'état illustré sur les figures 15 à 20; les figures 22 à 28 sont des organigrammes adaptés pour produire les arbres d'état des figures 15 à 20; les figures 29 et 30 sont des organigrammes adaptés pour

produire la visualisation sommaire de la figure 21;

la figure 31 est la vue de face d'un écran de visualisation relatif à un autre aspect de la présente invention; et la figure 32 est une vue agrandie montrant les détails de

la partie du panneau illustré figure 31.

Etant entendu que la présente invention peut servir à l'usage de différents types de systèmes de commande de processus industriels complexes et non linéaires tels que des usines de produits chimiques, des usines sidérurgiques, etc, la présente invention sera décrite dans son application à un réacteur de production d'électricité et en particulier à un réacteur à eau sous pression à quatre boucles Comme le montre le schéma synoptique de la figure 1, le système comprend un

réacteur nucléaire dans lequel se trouve un coeur 1 contenant des mati-

ères fissiles immergées dans un fluide de refroidissement (de l'eau

dans ce cas) à l'intérieur d'une cuve 2 de réacteur La cuve du réac-

teur est elle-même logée dans une enceinte de confinement 3 équipée d'une piscine 4 Une réaction nucléaire en chaîne contrôlée produite dans la matière fissile du coeur, chauffe le fluide de refroidissement qui circule de la cuve du réacteur à travers la tuyauterie 5 du côté chaud vers le côté tubulure d'un ou plusieurs (dans le cas présent 4) générateurs de vapeur 6 au moyen de pompes 7 qui renvoient le fluide de refroidissement au coeur du réacteur 1 à travers la tuyauterie du côté froid 8 Un générateur de pression 9 maintient ce circuit, connu sous le nom de boucle primaire, rempli de fluide de refroidissement à une

pression préétablie.

La chaleur présente dans le liquide de refroidissement du

coeur du réacteur et circulant dans la tuyauterie du générateur de va-

peur 6 transforme en vapeur l'eau introduite du côté de l'enveloppe du

générateur de vapeur La vapeur provenant des générateurs de vapeur in-

dividuels est envoyée dans un collecteur 10 pour être ensuite introdui-

te dans une turbine 11 qui fait fonctionner une génératrice 12 La va-

peur venant de la turbine 11 est introduite dans un condenseur 13 ou elle est condensée pour être recyclée dans le générateur au moyen d'une pompe 14 Si la génératrice 12 subit une chute de tension, la vapeur dans le collecteur 10 est envoyée directement dans le condenseur 13 par une vanne de transfert de vapeur 15 afin d'empêcher un emballement de

la turbine 11 Au cas o le condenseur n'aurait pas une capacité suffi-

sante disponible pour recevoir toute la vapeur à transmettre, une sou-

pape de mise à l'air libre 16 liée à chaque générateur de vapeur (un

seul est représenté) peut être ouverte afin de libérer la vapeur en ex-

cès, jusqu'à ce que le réacteur puisse s'adapter à la réduction de charge Les vannes 15 et 16 sont toutes les deux actionnées par de l'air sous pression en provenance d'un collecteur d'air 17 La soupape de mise à l'air libre 15 est actionnée par un sélecteur 18, soit en fonction de la température moyenne, soit en fonction de la pression de

la vapeur Les soupapes de mise à l'air libre 16 peuvent être action-

nées automatiquement ou manuellement selon la position des sélecteurs

20 S'il devenait nécessaire d'arrêter un générateur de vapeur indivi-

duel, comme dans le cas o une fuite se produirait entre le côté pri-

maire et secondaire, une vanne principale d'isolation de vapeur 21 et

une soupape manuelle de mise à l'air libre 16, associées audit généra-

teur, peuvent être fermées Lorsque le réacteur fonctionne à des ni-

veaux de température très bas, les générateurs de vapeur sont ineffica-

ces pour l'évacuation de la chaleur En conséquence, un système d'éva-

cuation de chaleur résiduelle, sous la forme d'échangeurs de chaleur 22 (un seul est représenté), est monté entre les branches froide et chaude

de la boucle primaire, chaque échangeur étant branché par l'intermi-

diaire de ses propres vannes 23 et clapets anti-retour 24 montés en sé-

rie, permettant ainsi à la chaleur produite dans le coeur du réacteur

d'être soutirée du fluide de refroidissement.

Dans des conditions de fonctionnement normales, le niveau de

puissance du coeur du réacteur 1 est commandé par un système de comman-

de au bore et un système de barres de commande (non représenté) Etant donné que le système de barres de commande peut abaisser la réactivité

du coeur rapidement en introduisant dans celui-ci un matériau d'absorp-

tion'de neutrons, ce système est aussi utilisé à la demande pour arrê-

ter le réacteur par un des systèmes de protection Les systèmes de pro-

tection (non représentés) qui sont bien connus de l'homme de l'art, contrôlent des paramètres spécifiques dans la centrale et produisent un signal de chute de tension du réacteur en positionnant un bistable 25 lorsque des critères spécifiques indiquent l'approche de conditions non

désirables ou dangereuses Quant au signal de chute de puissance du ré-

acteur, celui-ci commande le disjoncteur commandant le système d'intro-

duction des barres 26 Des chutes caractéristiques de tension du réac-

teur sont traitées ci-dessous et correspondent à la description de

l'arbre d'état utilisé dans la présente invention.

Dans la surveillance et la commande du réacteur à eau sous pression, beaucoup de paramètres dans la centrale sont contrôlés en

temps réel Ces paramètres comprennent des éléments tels que les tempé-

ratures, les pressions, les niveaux de fluides, les niveaux de radia-

tions, les flux, l'état de chaque élément tel que les vannes (ouvertes ou fermées), les pompes (arrêt ou marche) et d'autres paramètres qui sont dérivés d'un ou de plusieurs paramètres directement mesurés Les

dispositifs qui mesurent en temps réel les paramètres utilisés corres-

pondant aux dispositions spécifiques de la présente invention et qui seront décrit dans le texte qui suit, sont illustrés à la figure 1 Ces dispositifs sont de deux types différents: des instruments à lecture

numérique et des dispositifs logiques Ceux-ci sont indiqués sur la fi-

gure par un cercle entourant la lettre représentative du type de lectu-

re qui est adopté à l'endroit indiqué Ci-dessous les symboles adoptés

pour des dispositifs de mesure de type numérique.

F = flux L = niveau P = pression R = radiation T = température Les symboles liés aux dispositifs de type logique sont les suivants A = disponible B = disjoncteur S = état L'indication disponible est utilisée en relation avec le condenseur 13 et représente une indication quant à la disponibilité du condenseur en

tant que radiateur Cette condition est déjà calculée dans les centra-

les à réacteur à eau sous pression à d'autres fins à partir d'une lec-

ture de la température et de la pression, elle est aussi disponible sous la forme de l'état d'un interrupteur transistorisé Les signaux logiques du disjoncteur sont utilisés pour indiquer l'état des vannes et pompes et pour indiquer si de l'énergie a été utilisée pour faire

fonctionner les éléments associés Par exemple, si le disjoncteur asso-

cié à la pompe est fermé, l'élément logique fournira un signal positif indiquant que le moteur de la pompe est alimenté Les signaux logiques d'état sont utilisés en relation avec, par exemple, la soupape de mise à l'air libre 20 afin d'indiquer si le système fonctionne suivant le mode automatique ou manuel Des capteurs sont illustrés à la figure 1 dans un souci de clarté, en réalité, des dispositifs redondants sont utilisés pour obtenir une lecture plus fiable Les lectures multiples

sont traitées d'une manière bien connue dans le domaine de l'instrumen-

tation, elles ont pour fonction de générer la vanne utilisée pour la commande et l'analyse du système De plus, pour *ertains signaux qui

varient sur de grandes plages: on utilise des groupes séparés de cap-

teurs conditionnés pour fournir des lectures précises dans une partie donnée de l'ensemble de la plage Dar exemple, le niveau de puissance du réacteur varie sur une telle plage qu'une instrumentation d'origine à plage étendue est fournie afin de mesurer la puissance à l'arrêt et à

un point proche de l'arrêt, l'instrumentation à plage de pleine puis-

sance est fournie pour être utilisée à pleine puissance tandis que l'instrumentation à plage intermédiaire est utilisée pour des niveaux de puissance intermédiaires De plus, pour certaines mesures, telles

que celles du niveau liquide dans la cuve du réacteur et du niveau gé-

nérateur de vapeur, une instrumentation à plage étroite permettant des

lectures précises dans les limites de fonctionnement normales est four-

nie en plus de l'instrumentation à plage entière Dans ces cas, de l'é-

quipement redondant est fourni comme dans le cas d'instrumentation à

plage unique.

Le premier exemple de réalisation de la présente invention à avoir été décrit fait appel à une solution utilisant un arbre d'état

pour surveiller les opérations du système de fourniture de vapeur nu-

cléaire illustré figure 1, auquel il est fait référence sous le nom de Système d'analyse des perturbations (DASS) Un diagramme fonctionnel de la disposition d'ensemble de l'arbre de décision particulier utilisé

est illustré à la figure 2 -Cet arbre de décision est partagé fondamen-

talement en trois grandes zones basées sur le niveau de puissance du

réacteur qui est le premier paramètre examiné dans la séquence Le ni-

veau de puissance est déterminé en mesurant le flux de neutrons

s'échappant du coeur du réacteur 1 Si le niveau de puissance est supé-

rieur à un niveau nominal pour l'opération P(typiquement 15 %) le réac-

teur est en puissance, si le niveau de radiations est inférieur à un

niveau prédéterminé (d), (typiquement de O à 1 % selon l'instrumenta-

tion de la centrale), le réacteur est arrêté, et si le niveau de puis-

sance est entre les deux valeurs, le réacteur est soit en cours de -mon-

tée en puissance soit en diminution de puissance dans une séquence d'arrêt commandé, ou alors il ne s'est pas arrêté en réaction à une

chute de puissance.

Lorsque la centrale est en puissance, c'est-à-dire que le niveau de puissance nucléaire est supérieur à P, le premier exemple de réalisation de la présente invention surveille la marge à chaque chute de puissance contrôlée Ces marges de déclenchement sont analysées dans

la séquence indiquée à la figure 2: dispositif de déclenchement du gé-

nérateur de basse pression 27, dispositif de déclenchement du généra-

teur de haute pression 28, dispositif de déclenchement de haut flux nu-

cléaire 29, dispositif de déclenchement T surpuissance 30, dispositif

de déclenchement T surchauffe 31, dispositif de déclenchement généra-

teur de haute pression 32 et dispositif de déclenchement "Lo-Lo" du gé-

nérateur de vapeur 33 Ces dispositifs sont tous des déclenchements ca-

ractéristiques d'une centrale équipée d'un réacteur à eau sous pression et commandés par le système de protection de la centrale Si la centra-

le est arrêtée, une branche séparée de l'arbre d'état, indiquée dans

l'encadré 34, est introduite pour surveiller la condition du coeur.

Lorsque le niveau de puissance est entre les deux limites, l'état du

* disjoncteur de déclenchement et le signal de déclenchement sont contrô-

lés comme indiqué dans l'encadré 35.

La figure 3 illustre avec plus de détails une partie de l'ar-

bre d'état de la figure 2 lié aux déclenchements et à leurs signaux ainsi que l'état du disjoncteur Comme précisé auparavant, l'arbre d'état est divisé en colonnes qui représentent les paramètres mesurés ou calculés et qui doivent être examinés dans la séquence commençant

sur la gauche, et des lignes horizontales dans chaque colonne Les li-

gnes horizontales entrant dans une colonne précédente sur la gauche, se

divisent en une série d'autres lignes horizontales, chacune représenta-

tive d'une gamme de valeurs sélectionnées pour ce paramètre Si la va-

leur de ce paramètre est indifférente au cheminement dans l'arbre, la ligne horizontale traverse la colonne jusqu'à la prochaine colonne sur

la droite.

En contrôlant chacun des déclenchements, une "marge de dé-

clenchement" et une "vitesse de variation de la marge" sont examinés et un "état d'alerte" est affiché en fonction de ces valeurs La "marge de déclenchement" est l'amplitude absolue de la différence entre la valeur

compensée du paramètre mesuré ou calculé et la valeur du point de con-

signe pour le déclenchement en question Les détails concernant les al-

gorithmes servant à calculer les valeurs réelles d'un paramètre compen-

sé calculé ou mesuré se trouvent dans le "Rapport d'analyse des mesures de sécurité finales" et dans le volume des "Spécifications techniques de la centrale" préparé pour chaque centrale nucléaire Ces documents

d'accès libre sont bien connus de l'homme de l'art Les points de con-

signe pour chaque déclenchement sont aussi donnés dans les "Spécifica-

tions techniques de la centrale" Les données d'entrée utilisées pour calculer les valeurs des paramètres pour les déclenchements illustrés figure 2 comprennent: pression du générateur de pression, températures

des fluides de refroidissement dans les branches chaude et froide, ni-

veau de pressurisation, niveau de puissance du réacteur, niveau des générateurs de vapeur et pression des chambres d'impulsion de turbine La "vitesse de variation" d'un paramètre ou d'une variable telle que la

"marge de déclenchement" est calculée par la méthode des moindres car-

rés linéaires adaptée à l'ensemble des cinq valeurs (caractéristiques) les plus récemment observées ou calculées du paramètre ou variable sous la forme, var (temps) =O(+ P x temps

et mettant en équation la "vitesse de variation" et la valeur du fac-

teur de pente p. L"'état d'alerte" pour chaque déclenchement est un indicateur auquel est attribuée une valeur numérique dépendant du degré de "défi" que l'état du système présente au système de protection adéquat Ces valeurs sont attribuées comme suit: 1 Défi imminent au système de protection 2 Défi potentiel au système de protection 3 Aucun défi actuel au système de protection

Les indicateurs sont identifiés comme étant MS (k), k = 1, 7, o la va-

leur de k correspond à la chute de puissance du réacteur considéré.

On se reportera de nouveau à la figure 3 Lorsque le niveau de puissance nucléaire est supérieur à P, la plage d'amplitude de la marge du générateur de pression pour un déclenchement basse pression,

est déterminée Si la marge est inférieure à un premier point de consi-

gne a( 1) indiquant que cette marge approche du point de consigne du dé-

clenchement du système de protection, la vitesse de variation de la

marge est comparée à un point de consigne -c( 1 l) Si la vitesse de vari-

ation est inférieure à -c( 1), indiquant que la marge diminue à une vi-

tesse supérieure à celle prédéterminée, l'état d'alerte" MS ( 1) asso-

cié au déclenchement du générateur basse pression est réglé à "V" comme

mise en garde de l'approche d'un défi imminent au système de protec-

tion Si, d'autre part, la marge est inférieure à a(l) mais que la vi-

tesse de variation de celle-ci est plus positive que -c( 1), MS ( 1) est réglé à " 2 " afin de montrer qu'il y a seulement un défi potentiel au système de protection Il est évident, comme l'indique la figure 3, que si la "marge de déclenchement" est supérieure à a( 1) mais inférieure à b(l), il y a seulement un défi potentiel si la vitesse de variation de marge est plus négative que -c(l), et aucun défi si elle est plus positive que c(l) Finalement, si la marge est supérieure à b(l), il n'est pas nécessaire de vérifier la vitesse de variation puisqu'il n'y a aucun défi actuel On peut en déduire que chacun des autres déclenchements est examiné d'une manière similaire, l'état d'alerte approprié étant affiché en comparant la marge avec la valeur du point de consigne correspondant Aussi, pour chaque déclenchement, un état d'alerte sera élaboré, indiquant l'état actuel d'un défi au système de

protection associé.

Pour la partie de l'arbre d'état représenté par l'encadré 35 à la figure 2 et concernant le disjoncteur de déclenchement, l'état des

signaux, et la condition d'arrêt du coeur (encadré 34), un système dif-

férent servant à indiquer des conditions anormales est utilisé en rap-

port avec celui discuté auparavant à propos de la marge de déclenche-

ment de l'état d'alerte" Un certain nombre de conditions représentant des conditions significatives anormales ou hors de la normale, dont

l'opérateur et, si nécessaire, le système de contrôle automatique doi-

vent être informés, ont été sélectionnées Tandis que l'arbre de déci-

sion est établi, des indicateurs sont réglés à des valeurs numériques

présélectionnées qui catégorisent l'état des conditions sélectionnées.

Ces valeurs numériques sont: + 1 L'existence de la condition hors de la normale est certaine 1 L'existence de la condition hors de la normale est possible

O L'existence de la condition hors de la normale n'existe pas-

Les indicateurs sont représentés sous la forme IND(M), M = 1, 17, o M représente la condition particulière sélectionnée Un ensemble caractéristique d'état de condition hors de la normale est donné dans le tableau suivant: Mnémonique

IND ( 1) MPWR

" ( 2)

"I ( 3)

Il ( 4) i ( 5)

" ( 6)

I ( 7)

" ( 8)

"i ( 9)

" ( 10)

" ( 11)

" ( 12)

il ( 13)

" ( 14)

" ( 15)

" ( 16)

" ( 17)

Tous les d'état MATW MIH MIL MILL MIIN MVUH MV 56 Mi LSS MLKG MPOP MPHH MPH MSAT MINE MINA MNHS

TABLEAU A

Condition hors de la normale -La centrale se trouve à nouveau en puissance après

un déclenchement.

-Sollicité, le déclenchement ne s'est pas produit -Stock élevé de fluide de refroidissement -Stock bas de fluide de refroidissement -Stock bas-bas de fluide de refroidissement -Stock inadéquat de fluide de refroidissement

-Vide dans la tête supérieure.

-Vide dans les tubes du générateur de vapeur -Perte nette de fluide de refroidissement du "RCS" -Fuite continue de fluide de refroidissement du "RCS" -"RCS" surpressurisé -Haute-Haute pression "RCS" -Haute pression "RCS"

-Fluide de refroidissement à température de satura-

ration -Refroidissement du coeur inefficace -Refroidissement du coeur inadéquat -Radiateur indisponible indicateurs sont remis à zéro avant tout passage dans l'arbre Conmme indiqué dans l'arbre d'état de la figure 3, lorsque la puissance est supérieure au niveau arrêt, d%, mais inférieure au niveau

de fonctionnement, P 7, l'état du disjoncteur de déclenchement est véri-

fié Si les disjoncteurs sont ouverts, indiquant que le réacteur a subi une chute de puissance, MPWR (IND 51)) est ramené à + 1 signalant que la centrale est de nouveau en puissance après un déclenchement Si les disjoncteurs sont fermés, indiquant que le réacteur n'a pas subi une

chute de puissance, alors l'état du signal du déclencheur est vérifié.

Si l'état du signal de déclenchement est présent, MATW (IND( 2)) est ra-

mené à + 1 afin de signaler que le déclenchement sollicité n'a pas eu

lieu.

zone de l'arbre, chaque colonne représente un paramètre mesuré ou cal-

culé devant être examiné en séquence Dans le but de rendre l'identifi-

cation plus aisée, chaque colonne est numérotée de gauche à droite, tandis que les bran Ghes, dans chaque colonne, sont numérotées sur le côté droit, de haut en bas Ainsi, n'importe quelle branche dans l'ar-

bre peut être identifiée à l'aide de deux chiffres: le premier indi-

quant la colonne et le second la branche dans la colonne.

Ces paramètres examinés de la colonne 1 à 4 de la figure 4 a sont des paramètres mesurés dont l'identification est claire à partir

de la description donnée La non-correspondance de la masse du fluide

de refroidissement considérée dans la colonne 5 est un paramètre calcu-

lé La valeur réelle de ce paramètre est déterminée en prenant en compte

le volume de contrôle composé de la cuve 2 du réacteur, de la tuyaute-

rie principale du système 5 et 8 de refroidissement du réacteur, du gé-

nérateur de pression 9 et du côté primaire (côté tubes) du générateur de vapeur 6, et en évaluant de deux façons différentes la masse du

fluide de refroidissement du réacteur comprise dans le volume de con-

trôle Dans la première méthode d'évaluation, la "masse indiquée" est évaluée en convertissant les données disponibles du niveau du liquide

du générateur de pression 9 et de la cuve du réacteur 2 en masse de 1-

quide plus la vapeur dans ces deux volumes, tout en tenant compte des effets de la température et de la pression mesurés sur la densité du liquide et de la vapeur, et, en fonction du niveau du liquide dans la cuve du réacteur, en considérant que la tuyauterie et la tubulure du générateur de vapeur sont soit entièrement remplies d'eau d'une densité calculable, ou totalement vides Dans cette méthode, on ne tient aucun compte de la présence d'un certain volume de vapeur du côté primaire

d'un ou de plusieurs générateurs de vapeur, lorsque le système est sup-

posé rempli d'eau.

Dans la deuxième méthode d'évaluation de la masse du fluide

de refroidissement du réacteur dans le volume de contrôle, les addi-

tions d'eau par un flux de charge et un flux d'injection de sécurité et les soutirages d'eau par des flux de sortie sont contrôlés et intégrés afin de déterminer la masse d'eau exacte ajoutée ou retirée par rapport à un point de référence La valeur de référence de, la masse du fluide de refroidissement aura été établie La masse réelle, dans le système, est considérée comme étant la masse de référence plus la masse exacte ajoutée (qui peut être une quantité négative) Dans cette méthode, on ne tient aucun compte de la masse perdue dans le système par des fuites

à travers des ruptures de l'enceinte de pression du fluide de refroi-

dissement du réacteur, ou-bien encore, par des délestages à travers les

sécurités du générateur de pression et les soupapes de délestage.

La "non-correspondance du fluide de refroidissement" est la différence algébrique entre la "masse indiquée" de la première méthode

et la "masse calculée" obtenue avec la deuxième méthode Si la non-

correspondance est une quantité positive, elle indique la présence d'un volume de vide (en réalité de la vapeur) du côté tubulure du générateur de vapeur Si la non-correspondance est une quantité négative, elle indique la perte de fluide de refroidissement par des ouvertures anormales. La "différence de pression secondaire-primaire" de la colonne 6 est aussi un paramètre calculé et est la différence algébrique entre la pression de la vapeur dans le générateur de vapeur et la pression du fluide de refroidissement du réacteur C'est une manière indirecte de confirmer ou de déduire qu'un volume de vide existe du côté primaire des générateurs de vapeur Il y a une corrélation directe entre la pression et la température du côté secondaire (enveloppe) du générateur de pression et du côté primaire (tubulure), si un volume de vapeur s'est constitué du côté tubulure Ainsi, si la différence de pression secondaire-primaire est positive, le côté enveloppe est plus chaud que le côté tubulure, et l'éventualité de la constitution d'un volume de

vide apparaît Si la différence de pression est négative, le côté tubu-

lure est le plus chaud et toute vapeur présente du côté tubulure finira

par se condenser.

La paramètre calculé à la colonne 7 est la vitesse de varia-

tion de la "non-correspondance de la masse du fluide de refroidisse-

ment" de la colonne 5, qui est déterminé par la méthode des moindres carrés linéaires, expliquée plus haut Si la "non-correspondance" est

de plus en plus négative, la perte continue de fluide de refroidisse-

ment est signalée Le générateur de pression de la colonne 8 (figure 4 b) s'explique par lui-même Dans la colonne 9, la détermination est faite, qu'il s'agisse de déterminer l'aspect refroidissement du coeur

de l'état du "NSSS", aussi bien que l'aspect pressurisation La déter-

mination est faite sur la base du cheminement par lequel la colonne 9

est obtenue Dans la plupart des cas, tandis qu'une branche particuli-

ère se développe à travers l'arbre, il devient évident que, soit la

surpressurisation, soit le refroidissement du coeur, est l'objet d'in-

quiétude Il y a très peu de cas o la surpressurisation et le refroi-

dissement du coeur soient, tous deux, source d'inquiétude Ces chemine-

ments comprennent les branches 2, 3 ou 4 de la colonne 7 o le RCC a

été fixé égal à RCL ou bien la branche 3 ou 4 de la colonne 8.

La "marge de sous-refroidissement" de la colonne 10 est aussi un paramètre calculé, il représente la différence entre la température de saturation qui correspond à la pression existante dans le système de refroidissement du réacteur (représenté par la pression du générateur

de pression) et la température du fluide de refroidissement du réac-

teur de sortie du coeur indiquée par les thermocouples de sortie du coeur Une valeur positive de la marge de sous-consommation montre que le fluide de refroidissement est sous-refroidi et se présente en phase

unique dans la cuve Une valeur négative de la "marge de sous-

refroidissement" montre que le fluide de refroidissement quittant cer-

taines zones du coeur du réacteur se présente sous la forme de vapeur

surchauffée et que le refroidissement du coeur est compromis.

La "non-correspondance de la puissance indiquée" de la colon-

ne 11 est calculée de la manière qui suit La vitesse d'émission de chaleur de désintégration dans le coeur du réacteur a l'arrêt,résultant de la décroissance radioactive de produits de fission, est calculée avec une assez grande précision comme étant fonction, aussi bien, de la connaissance historique de la puissance du coeur avant l'arrêt, que de celle du temps passé depuis l'arrêt Selon les différentes conditions

d'écoulement du fluide de refroidissement du réacteur (circulation na-

turelle avec toutes les pompes 6 de refroidissement du réacteur arrê-

tées, circulation forcée avec un nombre 1 à N de pompes fonctionnant)

l'augmentation de la température du fluide de refroidissement de l'en-

trée du coeur (ou l'entrée de la cuve du réacteur) à la sortie du coeur (ou sortie de la cuve du réacteur) est calculée comme une fonction d'émission de chaleur de désintégration Ainsi, l'augmentation de la température de refroidissement, fonction du temps passé après arrêt et du nombre de pompes fonctionnant, est prédite avec une assez grande

précision On peut, aussi, en faire une détermination empirique à par-

tir d'expériences commandées L'amplitude de l'augmentation de la tem-

pérature pendant que le fluide de refroidissement traverse le coeur peut être déterminée, à n'importe quel moment, après l'arrêt, par une mesure directe La non-correspondance de la puissance représente la

différence entre l'amplitude de l'augmentation de la température réel-

lement constatée du fluide de refroidissement traversant le coeur, et

l'amplitude de l'augmentation prédite pour les conditions à partir des-

quelles l'observation a été 'faite Si l'augmentation de la température

est beaucoup plus importante que la valeur prédite, on peut en dédui-

re que le fluide de refroidissement n'est pas pleinement efficace dans son refroidissement du coeur, peut-être par suite d'une dégradation de

la géométrie du coeur, ou que le coeur produit de la puissance nucléai-

re directe, aussi bien par fission que par désintégration radioactive.

La "température maximum de sortie du coeur" de la colonne 12

s'explique par elle-même Le "mode de circulation du liquide de refroi-

dissement" de la colonne 13 signale si des pompes 6 (voir figure 1) de refroidissement du réacteur fonctionnent; ceci est représenté par l'état des disjoncteurs ou en observant si la circulation se fait par convection L'état du système de suppression de la chaleur résiduelle de la colonne 14 (figure 4 c) est signalé par l'état des disjoncteurs des vannes 23 qui dêt Qurnent le fluide de refroidissement du réacteur à

travers l'échangeur 22 de chaleur d'évacuation de la chaleur résiduel-

le L'exploitation de ce système est signalée à la colonne 15 par la

mesure de la température du fluide de refroidissement par les thermo-

couples de sortie du coeur Les paramètres de la colonne 16 à 20 se

comprennent facilement par leur titre.

Lorsque les paramètres des colonnes 1 à 20 de la figure 4 sont comparés en séquence par rapport aux points de consigne et que les

plages des paramètres mesurés ou calculés sont déterminées, un chemine-

ment est créé à travers l'arbre d'état, qui est représentatif de l'état réel du système Certains paramètres sont comparés avec plus d'un point de consigne à un embranchement donné Par exemple, le niveau du fluide dans la cuve du réacteur, colonne 2, est comparé au point de consigne

niveau 100 % avec une autre valeur de point de consigne e% dont la sé-

lection dépend de la conception spécifique de la centrale en question.

Il y a ainsi trois branches qui se forment à partir de ce point d'em-

branchement D'autres paramètres sont comparés avec d'autres valeurs de point de consigne en fonction du cheminement emprunté pour atteindre la

colonne associée Par exemple, le paramètre calculé de la "non cor-

respondance du volume du fluide de refroidissement" de la colonne 5 est comparé avec la valeur du point de consigne "h" si la colonne 5 est atteinte à travers les branches 1 ou 3 de la colonne 4, tandis que la

comparaison se fait avec la valeur du point de consigne "s" si l'appro-

che se fait par la branche 5 de la colonne 4.

En traversant l'arbre d'état, tandis qu'une quantité suffi-

sante d'informations est accumulée afin de déterminer les conditions anormales présélectionnées, l'indicateur correspondant est fixé à la valeur appropriée Ainsi, à la colonne 2 branche 2, si le niveau du fluide de refroidissement de la cuve du réacteur est inférieur à 100 %,

mais supérieur à e %, l'indicateur MILL (IND ( 5)) est réglé à + 1 indi-

quant qu'une condition de stock de fluide de refroidissement basse-

basse (très basse) existe A certains points plusieurs indicateurs sont réglés Par exemple, à la colonne 4 branche 4, MVUH (IND ( 7)) est réglé à + 1 pour signaler l'existence de vide dans la tête supérieure de la cuve du réacteur et MIL (IND ( 4)) est réglé i-+ 1 afin d'indiquer un stock de fluide de refroidissement bas Si la colonne 7 est atteinte

par les branches 2, 3 ou 4 de la colonne 6, alors le paramètre lo-

gique RCL est réglé à T (vrai) Ainsi, lorsque la colonne 9 est at-

teinte et que la détermination est faite de savoir si le refroidisse-

ment du coeur devrait être considéré aussi bien que la surpression, la réponse sera oui et la branche 4 sera sélectionnée de telle sorte que

la marge de sous-refroidissement et les paramètres restant dans l'ar-

bre, pourront être considérés comme nécessaires.

Lorsqu'un cheminement à travers l'arbre de la figure 4 est terminé, il est possible que tous les indicateurs sélectionnés restent à la valeur zéro, indiquant, par cela, que le réacteur s'est arrêté

d'une façon satisfaisante Il est aussi possible, néanmoins, qu'un in-

dicateur ou plus affiche des valeurs + 1 ou -1 indiquant l'existence ou

l'existence possible de conditions anormales Les valeurs de ces indi-

cateurs peuvent être présentées à l'opérateur pour information et ac-

tion appropriées, si nécessaire, ou peuvent être utilisées par le sys-

tème de commande automatique afin qu'il prenne les mesures nécessaires

pour ramener le système à des conditons normales de fonctionnement.

Les analyses en question, dans les figures 2, 3 et 4, peuvent

être réalisées par un système comprenant un calculateur numérique pro-

grammable Un tel système est décrit à la figure 5 par un diagramme

fonctionnel Le système comprend un séquenceur/multiplexeur 36 qui sé-

lectionne, dans un ordre p Yescrit, des ensembles de signaux provenant des capteurs décrits en relation avec la figure 1, le système convertit ces signaux en données permettant un traitement numérique et transmet chaque signal des capteurs à un ordinateur de traitement de données 37 En relation avec le séquenceur-multiplexeur 36, il y a un générateur de

signaux de vérification 38 qui fournit, sur demande, des signaux de ré-

ponse de capteurs simulés, représentatifs de conditions hors de la nor-

male, afin de permettre des essais et des vérifications périodiques des

performances du système.

L'ordinateur 37 reçoit les signaux des capteurs bruts du séquenceur/multiplexeur 36, les vérifie pour les valider, applique des facteurs de correction et de calibration préspécifiés, convertit les

résultats en valeurs d'unités de mesure de traitement, en accord, aus-

si, avec les procédures connues et transmet les résultats à un système de mise à jour des paramètres d'état 39 Le système de mise à jour, pour des paramètres d'état 39, exploite des données transmises par l'ordinateur 37, dans le but de réévaluer ou mettre à jour la valeur du

paramètre d'état devant être utilisé durant le stade suivant d'évalua-

tion de l'état de la centrale Cela inclus la mise à jour des paramè-

tres calculés et est fait sous forme analytique ou numérique, en ayant

recours aux principes cités précédemment en relation avec la figure 4.

Les valeurs des paramètres mises à jour sont, ensuite, transmises au module 40 d' "exécution" de l'arbre d'état qui produit un cheminement à travers l'arbre d'état et fixe les indicateurs appropriés de la manière

décrite précédemment.

En introduisant une horloge pilote (non représentée figure 5) pour commander la transmission d'information de module en module dans la chaîne du séquenceur/multiplexeur 36 au module "d'exécution" de

l'arbre d'état 40, il est pratique de faire fonctionner les quatre mo-

dules à la fois de telle sorte que, par exemple, aussitôt que le sé-

quenceur/multiplexeur 36 transmet un ensemble de signaux de réponse des

capteurs à l'ordinateur 37, celui-ci ordonne le prochain groupe de cap-

teurs et commence à préparer leurs signaux de sortie afin de les trans-

mettre à l'ordinateur Ainsi, lorsque le module d"'exécution" de l'ar-

bre d'état 40 est à la colonne N, le séquenceur/multiplexeur agit déjà sur les réponses des capteurs qui fourniront les valeurs des paramètres d'état nécessaires à la colonne N plus 2, tandis que le système de mise à jour du paramètre d'état 39 sera en train de produire la valeur du paramètre d'état utilisé à la colonne N plus 1 Ceci devrait aboutir à une diminution du temps de fonctionnement de l'ordinateur d'un facteur proche de quatre Le module de spécification de l'état de la centrale 41 reçoit les valeurs des indicateurs et des marges de déclenchement produits par le module d'exécution" de l'arbre d'état et sélectionne

un ensemble approprié d'affichage d'informations prioritaires à présen-

ter à l'opérateur, comme indiqué dans le module 42 Ces visualisations peuvent être produites par une imprimante ligne par ligne, ou par un

tube cathodique A la demande, le spécificateur 41 d'état de la centra-

le peut aussi produire un ensemble approprié d'actions constituant des conseils pour l'opérateur dans le module 42 ou pour la mise en oeuvre du système de protection et de commande de la centrale 43 Un ensemble approprié de visualisations est illustré aux figures 6 à 9 La figure 6 montre une visualisation caractéristique produite lorsque l'unité opère

à 100 % de sa puissance Etant donné que l'état de "l" pour le déclen-

chement du niveau de pression haut indique qu'il y a un défi imminent à ce système de protection, cette zone de visualisation clignote lorsqu' elle apparaît sur le tube cathodique, afin d'attirer l'attention de l'opérateur La figure 7 montre une visualisation qui pourrait 'être

produite lorsque l'unité ne s'est pas arrêtée à la suite d'un déclen-

chement Une telle visualisation serait produite par l'indicateur MATW

réglé à "l" La figure 8 montre une visualisation qui énumère, une com-

binaison possible de conditions hors de la normale, avec une liste des conditions identifiées avec certitude affichées en premier, suivie par

les conditions possibles.

Des organigrammes pour un programme adapté à la mise en oeu-

vre d'une analyse basée sur un arbre d'état des figures 2 à 4 et per-

mettant de produire les visualisations des figures 6 à 8, sont présen-

tés aux figures 9 à 13.

Le tableau suivant donne la légende des symboles utilisés pour les différents paramètres o NIS fait référence aux systèmes

d'instruments de mesures nucléaires.

TABLEAU B

NIS Niveau de puissance dans la plage de puissance N I S P R P L (% de la pleine puissance) NIS Haute tension de la plage d'alimentation N I S S R S U (Volts) NIS Vitesse de démarrage dans la plage intermédiaire N I S I R S U (décades/minute) NIS Vitesse de démarrage de la plage d'alimentation N I S S R H V (décades/minute) Températures maxima des thermocouples de sortie du coeur C E T C T M P (degrés Fahrenheits) Pression du système de refroidissement du réacteur(PRZR) P R Z R P R E (psia) Niveau du liquide du générateur de pression (% de la plage)

Etat du disjoncteur de chaque pompe de re-

froidissement du réacteur (marche/arrêt) T = marche La plage restreinte duniveau du fluide de la cuve du réacteur (% de la plage totale) Niveau du fluide de la tête supérieure de la cuve du réacteur (% de plage totale) Etat de la vanne d'entrée du système d'élimination de la chaleur résiduelle (train m) (ouverte/fermée):T = ouvert Pression de la vapeur de chaque générateur de vapeur (psia) Niveau de la plage restreinte de chaque générateur de vapeur (% de la plage totale)

Etat du disjoncteur d'une chute de puissance contrô-

lée du réacteur (OUVERT/fermé) T = ouvert Etat du signal de chute de puissance contrôlée du réacteur (P 4 bistable)

P R Z R L V L

R C P B R S (N)

R Y N R L V L

R V U H L Y L

R H R T m Vl R H R T m V 2

S G S P R E (N)

*S G N R L V (N)

T R I P B R S

T R I P S I G

(haut/bas) T = haut signal Le premier stade, comme il est montré dans l'encadré 44 de la figure 9, consiste à mettre à jour toutes les variables, aussi bien celles qui ont été calculées, que celles mesurées, et de régler à zéro

tous les indicateurs de conditions hors de la normale Une détermina-

tion est alors faite dans les encadrés 45 et 46 de la plage de puissan-

ce du réacteur Si le réacteur est en puissance, la figure 10 est in-

troduite Dans l'encadré 47, I est affiché égal à "V" o I représente

les marges de déclenchement, I ( 1) étant la désignation du déclenche-

ment de pression du générateur de basse pression, la marge de déclen-

chement et la vitesse de variation de la marge de déclenchement sont alors calculées respectivement dans les encadrés 48 et 49 Après cela, la marge de déclenchement est comparée avec le point de consigne a( 1)

dans l'encadré 50 et éventuellement b( 1) dans l'encadré 51, et la vi-

tesse de variation de la marge de déclenchement est comparée, si néces-

saire, avec la valeur du point de consigne -C( 1) dans l'encadré 52 ou 53, afin de produire l'état approprié de déclenchement de la marge MS ( 1) = 1, 2 ou 3 respectivement dans les encadrés 54, 55 et 56, le tout

en accord avec la logique décrite en relation avec la figure 3 Le pro-

gramme revient en boucle à l'encadré 47 o I est indexé à I + 1 et la

séquence est répétée afin de produire l'état du déclenchement du géné-

rateur de pression haute Cette fois, lorsque le programme revient en

boucle à l'encadré 47, il sort par AA.

Si, à la figure 9, la puissance est supérieure à d %, mais inférieure au niveau P 7, la figure 11 est introduite Si, comme indiqué par l'encadré 57, la logique du disjoncteur du circuit du déclenchement n'est pas positionnée à une valeur fausse, indiquant que le disjoncteur est ouvert et que donc le réacteur a été déclenché, l'indicateur MPWR IND ( 1) est réglé à + 1 dans l'encadré 58 indiquant que le réacteur est,

à nouveau, en puissance après un déclenchement Si la logique du dis-

joncteur est positionnée à une valeur fausse mais que la logique du si-

gnal du déclenchement est positionnée à une valeur vraie, comme vérifié dans l'encadré 59, l'indicateur IND ( 2) est réglé à + 1 dans l'encadré

afin de signaler que le déclenchement ordonné n'a pas eu lieu lors-

qu'il était demandé Dans les deux cas, le programme d'analyse basé sur un arbre de décision est terminé D'autre part, si la logique du signal de déclenchement est positionnée à une valeur fausse, le programme est

évacué à AA.

Une fois le programme terminé à la figure 10 ou à la sortie

du programme à la figure 11 à AA, le programme de la figure 12 est in-

troduit afin de produire l'état des marges de déclenchement indiquées dans les encadrés 29 à 33 de la figure 2 Le programme de la figure 12 fonctionne comme celui de la figure 10 en faisant une boucle de I égal à 3, représentant le déclenchement du flux nucléaire haut, à I égal à 7, correspondant au niveau de vapeur "Lo-Lo", et, ceci, comme indiqué par l'encadré 61 avec les marges de déclenchement successives calculées dans l'encadré 62 et comparées aux points de consigne a et b dans les

encadrés 64 et 65; les vitesses de variations des marges de déclenche-

ment sont déterminées dans les encadrés 63 et comparées au point de

consigne -c dans les encadrés 66 ou 67, et l'état des marges de déclen-

chement MS (I) correspondantes est fixé à 1, 2 ou 3 d'une façon appro-

priée. Si le réacteur est arrêté, en accord avec le programme de la figure 9, le programme de la figure 13 est introduit Dans ce programme qui met en oeuvre l'analyse basée sur l'arbre d'état de la figure 4,

une représentation de nombres entiers en trois dimensions sous la for-

me: NBR {I, J, K) est utilisée pour parcourir l'arbre I et J repré-

sentent la colonne et le cheminement dans la colonne, comme dans la fi-

gure 4 Le nombre entier supplémentaire K indique les cheminements dans la colonne suivante laquelle tire sa source de la fin du cheminement identifié dans la colonne indiquée Il est à noter que le nombre entier K ne correspond pas automatiquement au nombre attribué à la branche dans la colonne suivante dans la figure 4, mais représente le nombre de la branche tirant sa source du cheminement spécifié dans la colonne précédente Néanmoins, la valeur numérique attribuée à NBR (I, J, K,)

est le nombre de la branche en question comme indiqué à la figure 4.

Par exemple

NBR ( 4, 3, 1) = 4

NBR ( 4, 3, 2) = 5

Ceci veut dire que les deux cheminements qui dérivent du troisième che-

minement dans la quatrième colonne sont le quatrième et le cinquième cheminements dans la colonne 5 Si aucun cheminement ne dérive d'-un

cheminement donné, alors la première branche seule aura une valeur su-

périeure à zéro, comme dans l'exemple suivant

NBR ( 4, 4, 1) = 6

NBR ( 4, 4, 2) = O

Ceci indique que le quatrième cheminement dans la quatrième colonne continue sous forme de cheminement 6 de la colonne 5 sans produire de branche.

Plusieurs représentations à une et à deux dimensions accompa-

gnent celle à trois dimensions, comme on le décrit brièvement ci-

dessous.

VAR( 20) contient les valeurs à jour des variables utilisées dans les branches sélectionnées aux embranchements dans les diverses colonnes. RLOG( 20) contient soit T ou F selon que les décisions prises aux embranchements dans les colonnes respectives sont basées sur

des comparaisons logiques ou numériques.

PARA( 20, 13) contient les valeurs des points de consigne as-

sociées à chaque cheminement dans chaque colonne Si un cheminement

donné dans la colonne I th est simplement un prolongement du chemine-

ment dans la (I-1)-th colonne PARA (I, J) = (arbitraire).

NIND( 20, 13) contient le nombre entier d'identification cor-

respondant à la condition particulière potentiellement hors de la nor-

male qui est estimée comme résultant de la sélection du cheminement

J-th dans la colonne I-th.

NVAL( 20, 13) contient la valeur numérique réelle devant être attribuée à la condition potentiellement hors de la normale décrite par

la valeur correspondante de NIND.

IND( 17) contient les valeurs numériques utilisées pour indi-

quer la présence, présence possible ou absence de chacune des condi-

tions hors de la normale représentées.

RRCL( 20, 13) contient soit les valeurs de T ou F selon

que la sélection du cheminement particulier dans une colonne particu-

lière mène à la nécessité de considérer les aspects refroidissement du

coeur de l'état du NSSS aussi bien que les aspects surpressurisation.

Dans la plupart des cas, lorsqu'une branche particulière se développe à

travers l'arbre d'état, il devient évident que soit la surpressurisa-

tion, soit le refroidissement du coeur est en question, et les désigna-

tions des valeurs NIND reflètent cela Dans un nombre relativement res-

treint de cas, la surpressurisation et le refroidissement du coeur sont, tous deux, en question Ces cas sont marqués par RRCL = T. En rapport maintenant avec la figure 13, la variable logique

RCL est affichée égale à faux dans l'encadré 71 afin d'établir la con-

dition selon laquelle le refroidissement du coeur ne sera pas vérifiée

s'il y a surpression dans le générateur de pression, à moins que cer-

tains cheminements ne soient suivis à travers l'arbre d'état, indiquant que les conditions existent qui justifient la vérification des deux conditions La variable J est alors affichée égale à " 1 " dans l'encadré 72 afin de permettre au programme de passer en revue les cheminements en commençant par le haut, tandis que I est affiché égal à " 2 " dans

l'encadré 73, étant donné que le paramètre de la première colonne, Ni-

veau de Puissance Nucléaire, a déjà été considéré dans le programme de la figure 9 Si, comme il a été déterminé dans l'encadré 74, NBR pour

une seconde branche venant du cheminement J-th dans la colonne précé-

dente I-1, la colonne est égale à " O ", indiquant que le cheminement ne se divise pas en branche mais continue tout droit à travers la colonne examinée, une variable de travail M est affichée égale à NBR ( 1-1, J,2) dans l'encadré 75 En fait, M représente le nuimwéro du cheminement dans

la colonne du paramètre examiné en acord avec le système de numérota-

tion de la figure 4 Si le cheminement provenant de la colonne précé-

dente produit une branche, une détermination est faite dans l'encadré 76, et ceci que le paramètre -en question soit une variable logique ou numérique S'il s'agit d'une variable logique et que le paramètre est vrai comme déterminé dans l'encadre 77, M est affiché dans le bloc 75 égal à la deuxième branche du cheminement de la colonne précédente Si le paramètre est faux, M est affiché égal à la première branche dans

l'encadré 78.

Si le paramètre en question est déterminé comme étant numéri-

que dans l'encadré 76, une boucle est introduite dans l'encadré 79 afin de déterminer quelle branche représente la plage normale du signal de démarrage avec la première branche <K = 1) La variable de travail M est alors affichée égale au NBR associé avec la branche en question dans l'encadré 80 La valeur de M est ensuite vérifiée dans l'encadré

81, afin de déterminer s'il y a une branche correspondante dans la co-

lonne Dans le cas contraire, J qui représente le cheminement à travers lequel la prochaine colonne est introduite, est affiché égal à M-1 dans l'encadré 82 Bien sûr, il y aura toujours une première branche (quand K = 1) étant donné que, même si le cheminement de la colonne précédente

ne produit pas de branche, il continuera tout droit à travers la colon-

ne en question En supposant qu'il y ait une branche K, la valeur du paramètre VAR (I) est comparée avec le point de consigne approprié

PARA(I, M) dans l'encadré 83 Si la valeur du paramètre excède la va-

leur du point de consigne, J est affiché égal à M dans l'encadré 84 Là o le cheminement ne produit aucune branche, le point de consigne est

fixé à une valeur égale à ou inférieure à la valeur minimum du paramè-

tre de telle sorte que VAR(I) sera toujours supérieur à VAR(I, M) Si le paramètre n'excède par la valeur du point de consigne, K est indexé dans l'encadré 79 et la séquence est répétée à travers les branches restantes Etant donné que le nombre maximum de branches tirant leur source de n'importe quel cheminement dans la figure 4, est égal à 4 lorsque K est indexé à 4, ceci doit représenter la branche appropriée pour la valeur du paramètre, d'o M est affiché égal à NBR(I, J, 4)

dans l'encadré 85 Ensuite, et lorsque la variable est une fonction lo-

gique, J est affiché égal à M dans l'encadré 86.

Maintenant que le cheminement représentatif de la valeur

réelle du paramètre en considération a été sélectionné, une détermina-

tion est faite dans l'encadré de la figure 13 afin de savoir si la branche produit un indicateur représentatif d'une condition hors de la normale Si cela est le cas, l'indicateur approprié IND(M) est affiché égal à la valeur en mémoire pour cette branche dans l'encadré 88 En- suite, une détermination est faite dans l'encadré 89 afin de savoir si le refroidissement du réacteur doit être considéré aussi bien que la

surpressurisation Si cela est le cas, le paramètre logique RCL est af-

fiché égal à vrai dans l'encadré 90 avant que le programme ne fasse une boucle en arrière vers l'encadré 73 et passe à la colonne suivante de l'arbre d'état Lorsque toutes les colonnes ont été considérées, le

programme est sorti.

Les visualisations comparables à celles illustrées aux figu-

res 6 à 8, qui communiquent à l'opérateur sur un tube cathodique l'état du déclenchement ou l'état de la condition hors de la normale, sont

produites de la manière décrite à la figure 14 qui produit une visuali-

sation du type représenté à la figure 8 Lorsque le programme de la fi-

gure 13 complète son analyse, basée sur un arbre d'état, du réacteur arrêté, le programme est transféré au programme des figures 14 a et b

comme indiqué par le drapeau "H" Dans un-premier stade, le titre "CON-

DITIONS HORS DE LA NORMALE" est introduit par l'encadré 91 et le sous-

titre, "CONDITIONS IDENTIFIEES AVEC CERTITUDE", est produit à l'encadré 92 Un drapeau RDEF est alors affiché égal à faux dans l'encadré 93

afin d'annuler l'identification des conditions identifiées avec certi-

tude du déroulement précédent Une boucle est introduite ensuite à

l'encadré 94, dans laquelle chacun des 17 indicateurs énumérés ci-

dessus est vérifié dans l'encadré 95 afin de déterminer s'ils sont af-

fichés égal à + 1, indiquant que la condition associée existe avec cer-

titude Au cas o une telle condition n'existe pas, les encadrés 96 et 97 sont utilisés afin d'afficher RDEF égal à vrai et le titre de cette condition est visualisé comme indiqué dans l'encadré 98 Si après un

bouclage à travers les 17 indicateurs, RDEF est encore faux comme dé-

terminé à l'encadré 99, "aucun" est affiché sous le titre "CONDITIONS

IDENTIFIEES AVEC CERTITUDE" par l'encadré 100.

Le programme suit alors le drapeau I à la figure 14 B o le sous-titre "CONDITIONS POSSIBLES" est produit dans l'encadré 101 et une variable logique RPOS est affichée égale à faux dans l'encadré 102 afin

d'annuler toute indication préalable de conditions possibles Une bou-

cle est alors introduite dans l'encadré 103 o chacun des indicateurs d'état de condition hors de la normale est vérifié dans l'encadré 104

afin de déterminer si la condition a été identifiée comme étant possi-

ble Dans ce cas, RPOS est affiché égal à vrai dans les encadrés 105 et

106 et le titre de la condition est affiché par l'encadré 107 Lors-

qu'aucune condition "possible" n'existe comme déterminé dans l'encadré 108, "AUCUN" est affiché sous le sous-titre "CONDITIONS POSSIBLES" par l'encadré 109 Les autres visualisations telles que celles illustrées

aux figures 6 et 7 sont produites d'une manière similaire dont le dé-

tail sera bien compris par l'homme de l'art.

En accord avec un autre aspect de la présente invention, le concept d'arbre d'état est appliqué afin de répondre aux nécessités du

Système de Visualisation de Paramètre de Sécurité (SPDS) que la Commis-

sion des Réglementations Nucléaires a rendu obligatoire dans les salles de commande des centrales nucléaires en exploitation Le but recherché dans la fourniture d'un SPDS dans la salle des commandes est de rendre accessible aux opérateurs de la centrale une indication de l'état de la

centrale sous forme de "Fonctions critiques de Sécurité" Dans la mesu-

re o les fonctions critiques de sécurité sont satisfaites par une com-

binaison d'actions manuelles et automatiques pendant et après un acci-

dent ou autre événement anormal qui a pour résultat l'arrêt du réac-

teur, la sécurité des populations contre les fuites de matières radio-

actives peut être assurée L'impossibilité de satisfaire une ou plu-

sieurs fonctions critiques de sécurité accroit, d'une façon significa-

tive, la possibilité d'une exposition des populations aux fuites radio-

actives au cours d'un incident La surveillance de l'état d'une centra-

le nucléaire en terme de fonctions critiques de sécurité revient à sur-

veiller les dangers potentiels pour les populations au cours d'un Inci-

dent anormal.

Le but de la visualisation proposée est de communiquer à l'opérateur dans les termes les moins équivoques et les plus simples

possible l'état des fonctions critiques de sécurité Les fonctions sur-

veillées sont sélectionnées sur la base de leur pertinence au regard des différentes barrières installées dans la centrale pour s'opposer

aux fuites radioactives Les fonctions critiques particulières sélec-

tionnées sont les suivantes: 1 Etat sous-critique 2 Refroidissement du coeur 3 Intégrité du système de refroidissement du réacteur 4 Puits de chaleur Confinement 6 Stock de fluide de refroidissement du réacteur

Sous une forme, cet aspect de la présente invention est maté-

rialisé par des visualisations par tube cathodique couleur, qui présentent une représentation visuelle de l'arbre d'état entier pour chacune

des fonctions critiques de sécurité sélectionnées, et identifie le che-

minement à travers chaque arbre représentant l'état normal de cette

fonction Les arbres d'état des fonctions critiques de sécurité sélec-

tionnées sont, de préférence, présentés en séquence par un seul tube cathodique bien qu'un dispositif de visualisation séparé puisse être

fourni pour chaque arbre.

Un exemple de configuration d'un arbre d'état sous-critique

est représenté à la figure 15 Cet arbre indique si le réacteur s'est réel-

lement arrêté après avoir subi un déclenchement L'arbre est défini par

un réseau de lignes 113, lesquelles se divisent en plages présélection-

nées pour chaque paramètre considéré A chaque embranchement 114, un affichage 115 de la valeur normale (mesurée ou calculée) du paramètre associé est fourni Tandis qu'à la figure 15 la mnémonique associée et présentée sur le tableau B ci-dessus, apparaît dans l'affichage 115 à

des fins d'identification, en pratique l'indication logique ou numéri-

que appropriée est présentée Les branches qui prennent leur source

des points d'embranchement, représentent la plage dans laquelle s'ins-

crit la valeur normale du paramètre comparativement à un point de con-

signe sélectionné Si la valeur normale est supérieure au point de con-

signe, la branche supérieure est suivie; si cette valeur normale est

inférieure au point de consigne, la branche la plus basse est sélec-

tionnée A titre de référence, le rapport de la valeur normale à la va-

leur du point de consigne est indiqué verbalement sur chaque branche.

Une indication de la branche sélectionnée peut être faite de différen-

tes manières Dans l'approche actuellement préférée, les branches sé-

lectionnées de l'arbre clignotent tandis que les branches non sélec-

tionnées ne subissent aucun changement En variante, les branches sé-

lectionnées pourraient être identifiées par des couleurs Dans l'exem-

ple préféré de réalisation, les couleurs sont utilisées à des fins dif-

férentes Les branches terminales 116 ont des codes couleurs, les couleurs attribuées indiquant le niveau de danger représenté par l'état des fonctions critiques de sécurité indiquées Les couleurs sont attribuées coinme suit Rouge = conditions dangereuses existantes Orange = conditions potentiellement dangereuses Jaune = conditions hors de la normale vert = conditions normales

Les branches terminales sont toujours présentées dans leur couleur at-

tribuée La branche terminale particulière qui fait partie du chemine-

ment représentant l'état normal clignote tout comme les branches précé-

demment sélectionnées qui y conduisent.

De préférence, à côté de chaque branche terminale 116, une

indication est fournie quant à l'état de la fonction critique de sécu-

rité, représenté par le cheminement à travers l'arbre qui se termine avec cette branche Une telle indication de l'état peut se présenter

sous la forme, par exemple, d'un cercle 117 codé en couleur, comme dé-

crit ci-dessus, afin d'indiquer immédiatement à l'opérateur la gravité

de la situation Lorsque la branche terminale a aussi un code en cou-

leur comme dans la figure 15, l'indicateur 117 de l'état peut être com-

plètement connecté à la branche A côté de chaque indicateur 117 d'é-

tat, se trouve un indicateur 118 d'une Procédure de Restauration de Fonction associé à cette condition particulière Ces procédures sont

des listes de vérification que l'opérateur doit suivre afin de restau-

rer les fonctions critiques de sécurité Dans l'exemple de la figure

, elles sont présentées sous la forme, par exemple, de "Go to FR -

S.1 " qui veut dire: se reporter à la première liste associée à l'arbre

d'état sous-critique Si le système est prévu pour une commande automa-

tique, des signaux seraient produits afin de permettre au système de

commande automatique d'effectuer ces procédures.

En ce qui concerne le caractère spécifique de l'arbre d'état souscritique de la figure 15, les paramètres pertinents s'appliquant à cet arbre sont les mesures du niveau de puissance du réacteur Comme

mentionné précédemment, le niveau de puissance du réacteur, qui est me-

suré en contrôlant le flux demneutrons s,échappant du coeur du réacteur,

s'étend sur une si grande plage de valeur, de l'arrêt à la pleine puis-

sance, que trois systèmes distincts d'instruments de mesure sont utili-

sés L'instrument de mesure de la plage-d'alimentation, qui est utilisé dans les niveaux de puissance les plus bas, ext extrêmement sensible et par conséquent son alimentation haute tension est coupée lorsque la puissance commence à augmenter, afin d'éviter tout dégât à l'instrument

de mesure Ainsi, à la figure 15, la haute tension de la plage d'ali-

mentation est vérifiée au premier point d'embranchement Si l'alimenta-

tion est coupée indiquant un niveau de puissance supérieur à la puis-

sance d'arrêt, la branche supérieure est sélectionnée Ensuite, la lec-

ture de l'instrument de mesure NISPRPL du niveau de puissance dans la plage de puissance est comparée à une valeur b% d'un point de consigne et si elle est supérieure à ce niveau de référence, indiquant que le

réacteur ne s'est pas arrêté, la branche terminale supérieure est sé-

lectionnée Cette branche et l'indicateur d'état associé sont colorés

en rouge indiquant qu'une condition dangereuse existe, le tout cligno-

tera ainsi que les branches qui y conduisent afin d'indiquer l'état de

la fonction sous-critique à ce moment-là.

Si le signal du NISPRPL est inférieur à b%, le signal de la plage intermédiaire NISIRSU est comparé à un signal positif de point de consigne de vitesse de démarrage Si la vitesse de croissance du niveau de puissance est supérieure à cette vitesse de démarrage, la branche

terminale supérieure est sélectionnée Cette branche terminale et l'in-

dicateur d'état associé sont colorés en orange afin d'indiquer qu'une condition potentiellement dangereuse existe D'autre part, si le signal NISIRSU indique une vitesse de démarrage négative ou nulle, la branche

terminale inférieure jaune et l'indicateur d'état sont sélectionnés in-

diquant une condition hors de la normale Si la comparaison initiale dans l'arbre d'état sous-critique indique que la plage d'alimentation est cadrée de telle sorte que la branche inférieure est sélectionnée, la lecture NISSRSU de la plage d'alimentation est comparée à un point

de consigne de vitesse de démarrage Si ce niveau est dépassé, la bran-

che terminale inférieure verte et l'indicateur d'état sont sélection-

nés Dans ce dernier cas, la fonction critique de sécurité est satis-

faite conne indiqué par les indices associés et aucune procédure de

restauration de fonction n'est nécessaire.

La visualisation de l'arbre d'état de fonction critique de

sécurité du refroidissement du coeur est présentée à la figure 16.

L'objet de cet arbre est de déterminer si le coeur du réacteur est cor-

rectement refroidi Le premier paramètre considéré-est la marge de tem-

pérature TMRGN de sous-refroidissement qui, comme on l'a mentionné pré-

cédemnent en relation avec le premier exemple de réalisation de la pré-

sente invention décrit ci-dessus, est un paramètre calculé qui mesure le nombre de degrés Farhenheit dont la température du coeur mesurée par

-2529694

les thermocouples de sortie du coeur, se trouve au-dessous du point

d'ébullition pour la pression existante mesurée au générateur de pres-

sion Si cette marge est supérieure à la valeur e F du point de consi-

gne, la branche terminale supérieure verte est sélectionnée indiquant une condition normale Si la marge est inférieure à "e", la température CETCTMP du thermocouple de sortie est vérifiée et si elle excède 6490 C

( 1200 'F), le cheminement terminal supérieur rouge est sélectionné indi-

quant l'existence de conditions dangereuses Si la température CETCTMP

est inférieure à 6490 C ( 120 MO), une vérification est faite afin de sa-

voir si l'une quelconque des quatre pompes de fluide de refroidissement du réacteur fonctionne comme indiqué par l'état des disjoncteurs RCPBRS (N) de pompe Si au moins l'une des pompes fonctionne, indiquant qu'il y a une circulation forcée du fluide de refroidissement du réacteur, le niveau RVNRLVL de refroidissement de la cuve du réacteur est comparé à une valeur g du point de consigne et la branche terminale supérieure jaune est sélectionnée si le niveau en question excède g, sinon la branche terminale inférieure orange complète le cheminement à travers l'arbre Au cas o aucune des pompes de refroidissement du réacteur ne serait en fonctionnement, et si la température des thermocouples de

sortie du coeur est supérieure à 3710 C ( 7000 F), le niveau de refroidis-

sement de la cuve du réacteur est comparé à une autre valeur I de point de consigne, la branche terminale supérieure orange étant sélectionnée lorsque le niveau mesuré excède x et la branche terminale inférieure rouge étant sélectionnée dans les autres cas D'une manière similaire, lorsque la température de sortie du coeur est inférieure à 371 'C ( 7000 F), la branche terminale est sélectionnée selon que le niveau

RVNRLVL est supérieur ou inférieur à la valeur d'un autre point de con-

signe j.

* L'arbre d'état d'Intégrité du Système de Refroidissement du Réacteur, représenté à la figure 17, détermine si la pression dans le système de refroidissement du réacteur, mesurée au générateur de pres-

sion, est incluse dans des limites spécifiées, basées sur la températu-

re du fluide de refroidissement La limite 1 représente la limite de rupture du métal du système de refroidissement La limite 2 représente

une limite de précaution qui signale l'approche de la limite 1 La li-

mite 3 représente les limites de refroidissement et de réchauffement

spécifiées dans les Spécifications Techniques de la Centrale, qui fi-

xent les limites acceptables pendant les périodes transitoires du sys-

tème Chacune de ces limites est mise en mémoire dans l'ordinateur comme une fonction de la pression PRZRPRE du générateur de pression et de la température CIRTDTM du détecteur de température à résistance à l'entrée du coeur A chaque point d'embranchement, les valeurs mesurées de la pression du générateur de pression et de la température d'entrée du coeur sont successivement comparées aux fonctions limites afin de déterminer la branche devant être sélectionnée En fait, si la limite 1

est dépassée, une condition dangereuse, en rouge, existe; si la com-

binaison température-pression est inférieure à la limite 1 mais supe-

rieure à la limite 2, une condition potentiellement dangereuse, en orange, existe, tandis qu'une résultante inférieure à la limite 2 mais supérieure à la limite 3 signale une condition hors de la normale, en jaune La condition normale, en vert, n'existe que si le "aucun" des

limites est dépassé.

La figure 18 représente la visualisation de l'arbre d'état pour la fonction de sécurité critique du radiateur Cet arbre d'état est lié à la capacité du système d'évacuation de la chaleur résiduelle et des générateurs de vapeur, y compris leurs systèmes d'évacuation,

dans les zones o ceux-ci peuvent évacuer efficacement la chaleur pro-

duite par le réacteur A l'origine, l'état de la première et de la se-

conde vannes pour chaque système d'évacuation de la chaleur résiduelle

est vérifié afin de savoir si l'un ou l'autre système est en service.

Si au moins un fonctionne, et que la température CETCTMP des thermocou-

ples de sortie du coeur est inférieure à une valeur de point de consi-

gne y, la fonction de sécurité critique du radiateur est satisfaite comme indiqué par le clignotement de la branche terminale inférieure

verte de l'arbre d'état Si la température de sortie du coeur est supé-

rieure à y, ou qu'aucun des systèmes d'évacuation de la chaleur rési-

duelle ne fonctionne, une détermination est faite afin de savoir si la

somme des débits SGFWFL(N) d'eau d'alimentation des générateurs de va-

peur intacts est supérieure ou inférieure à une valeur m minimum de point de consigne Un générateur de vapeur est considéré comme intact, comme on le précisera plus loin dans le texte, si le niveau d'eau SGNRLV(N) est inférieur à une valeur de point de consigne et si la

pression SGSPRE(N) est supérieure à une valeur d'un autre point de con-

signe Si le débit total de l'eau d'alimentation des générateurs de Va-

peur intacts, n'est pas supérieur à la valeur minimum, la branche t Ey-

minale rouge la plus haute est sélectionnée indiquant que des condi-

Mions dangereuses existent.

Si le dbt total d'eaut d'aliqen;nion des générateu-s de va-

peur intacts est approprié les pressions des générateurs de vapeur in-

dividuels sont conparàes a une valeu de point de consiqne Si une

pression de générateur de vapeur de'asse n, la euxime branche termi-

nale orange, en partant du haut, est slectionnée Sinon, les niveaux SGNRLV(N) des générateurs de vapeur sont o Pards à valeur die point

de consignez Si un niveau quelconque des nérateurs de vapeurs in-

tacts dépasses, la branche terminale supérieure cian e est sélection-

née Si tous les niveaux de gcrntéateur de vapeur intacts sont infé-

rieurs à o, ils sont alors comparés à unie deuxieme valeur de consigne p Si le niveau de l'un quelconque des générateurs de vapeur intacts

est inférieur au niveau p, la deuxième branche terminale jaune en par-

tant du bas est alors sélectionnée D Vautre part, lorsque tous les ni-

veaux des générateurs de vapeurs intacts sont supérieurs à p une dé-

termination est faite afin de savoir s'ils ont tous leur évacuation de condenseur ou leur propre vanne de mise à l'air libre disponible Ceci s'effectue en vérifiant la pression d'air SDAPRES dans le collecteur d'évacuation de vapeur qui fournit la force motrice servant à commander les soupapes d'évacuation, l'état ADCONSS du sélecteur de commande de mise à l'air libre afin dc déterminer si l'automatisme a été enclenché,

l'état CONAYAL du condenseur disponible, et l'état SDCONSS de l'inter-

rupteur du sélecteur cormmandant la soupape d'évacuation de la vapeur du condenseur qui détermine s'il est en position d'évacuation de pression vapeur.

L'arbre d'état de la fonction critique de sécurité de confi-

nement, représenté à la figue 19, fournit une évaluation du danger de

fuite de radiations du confinement 3 entourant la cuve 2 du réacteur.

Si la pression de confinement, CONTPRE, dépasse une valeur de point de

consigne r, une condition dangereuse existe et la branche terminale su-

périeure rouge clignote Si la pression de confinement est inférieure à r, mais supérieure à une deuxième valeur de consigne s, une condition potentiellement dangereuse existe et la deuxième branche terminale orange est sélectionnée Lorsque la pression est à la fois inférieure à r et à s, le niveau CONTSUL de la piscine est comparé à une valeur de

point de consigne t qui, si elle est dépassée, provoquera le clignote-

ment du troisième cheminement terminal orange Si le niveau de la pis-

cirne est inférieur à t et que le niveau de radiations est inférieur à la valeur du point de consigne u, les conditions sont normales, et la

branche terminale inférieure verte est sélectionnée Néanmoins, lors-

que le niveau de radiation dépasse la valeur du point de consigne, la branche terminale jaune clignote signalant une condition hors de la normale. Le dernier arbre d'état de fonction critique de sécurité est l'arbre de stockage du fluide de refroidissement du réacteur, présenté

à la figure 20 Cet arbre, en surveillant les niveaux du fluide de re-

froidissement dans le générateur de pression et la tête supérieure de la cuve du réacteur, fournit des informations utiles pour déterminer si la quantité d'eau présente dans le circuit primaire est satisfaisante

et/ou si une bulle s'est formée dans la tête de la cuve du réacteur.

Dans des conditions normales, de l'eau est constamment ajoutée et reti-

rée du circuit primaire en relation avec le système de commande au bo-

re Si les additions et les évacuations d'eau ne s'équilibraient pas, la quantité d'eau dans le circuit primaire pourrait être supérieure ou

inférieure à la quantité nécessaire De plus, des fuites dans le cir-

cuit pourraient amener l'eau à un niveau inférieur aux normes accepta-

bles Une autre condition qui est surveillée est la formation de bulles dans la tête de la cuve du réacteur, formation qui pourrait conduire à

découvrir le coeur du réacteur et éventuellement à le refroidir insuf-

fisamment.

Ainsi, l'arbre de stock du fluide de refroidissement du réac-

teur compare, tout d'abord, le niveau PRZRLVL du fluide de refroidisse-

ment du générateur de pression à une valeur haute de point de consigne.

Si ce niveau est dépassé et que le niveau de la tête supérieure de la cuve du réacteur dépasse une valeur de point de consigne w, il y a trop d'eau dans le circuit primaire et la branche terminale supérieure jaune clignote Néanmoins, si le niveau de la tête supérieure de la cuve du réacteur est inférieur à la valeur w, et que le niveau du générateur de pression est haut, ceci indique qu'une bulle de vapeur s'est formée

dans la tête supérieure et la deuxième branche terminale jaune égale-

ment est sélectionnée.

Lorsque le niveau du générateur de pression est inférieur à

la valeur haute W et se trouve également au-dessous d'une valeur mini-

mum de point de consigne x, il y a trop peu d'eau dans le circuit pri-

maire et la branche terminale inférieure jaune clignote Si le niveau du générateur de pression est supérieur à x, indiquant qu'il se trouve dans une plage satisfaisante, et si le niveau RVUHLVL de la tête supérieure de la cuve du réacteur est aussi supérieur à la valeur W du point de consigne, les conditions sont normales et la branche terminale verte clignote D'autre part, si le niveau de la tête supérieure de la cuve du réacteur est bas tandis que le niveau du générateur de pression semble normal, ceci indique qu'une bulle s'est formée dans la tête su- périeure et que le stock d'eau est bas étant donné que, normalement, la bulle dans la tête supérieure de la cuve du réacteur devrait entraîner un niveau haut dans le générateur de pression Dans ces circonstances,

la deuxième branche terminale jaune, en partant du bas, clignote.

Toutes les visualisations d'arbre d'état des figures 16 à 20 comprennent, comme décrit précédemment en relation avec l'arbre d'état sous-critique de la figure 15, des indices contigus à chaque branche terminale indiquant 2 l'opérateur un ensemble déterminé de procédures prévues pour atténuer l'effet des conditions anormales indiquées La situation pourrait bien sûr se produire lorsque plus d'une condition anormale est indiquée en même temps Tandis que le code couleur fournit un guidage quant au degré de danger associé a chaque condition anormale

et indique en conséquence quelle condition devrait être traitée en pre-

mier, il est possible que plus d'une condition du même code couleur

puisse apparaître simultanément Dans ces circonstances, il est impor-

tant de fixer des priorités afin de prendre les mesures nécessaires mi-

nimisant ou éliminant les dangers les plus critiques en premier Il est très important que l'opérateur ait à sa disposition une indication claire de la priorité des procédures suggérées afin de pouvoir réagir

rapidement et efficacement, surtout dans des situations très criti-

ques.

Ainsi, chaque branche terminale est caractérisée par un para-

mètre sous la forme de IPAT Hn, dans lequel N est une lettre identifiant l'arbre spécifique Toutes les branches terminales jaune, orange et rouge sont caractérisées par un paramètre 5 (i), O (j) ou Y(k) indiquant

la priorité pour chaque code couleur Comme il en a été question précé-

demment, chaque branche est associée à une procédure de restauration de fonction sous la forme FR-n m dans laquelle N correspond, de nouveau, à

l'arbre d'état particulier et m est un numéro de séquence Les nota-

tions N sont associées aux arbres d'état comme suit S = état souscritique C = refroidissement du coeur P = intégrité du système de refroidissement du réacteur H = puits de chaleur Z = confinement I = stock de fluide de refroidissement du réacteur Le tableau suivant fournit une correspondance entre les désignations de branches, les procédures de restauration de fonction et les paramè- tres de priorité:

TABLEAU C

"rouges"

IPATHS = 1

IPATHC = 2

IPATHC = 6

IPATHP = 1

IPATHW = 1

IPATHZ = 1

FR-S 1

FR-C 1

FR-C 1

FR-P 1

FR-W 1

FR-Z 1

R( 1) R( 2) R( 3) R( 4) R( 5) R( 6) "oranges"

IPATHS = 2

IPATHC = 4

IPATHC = 5

IPATHC = 8

IPATHP = 2

IPATHW = 2

IPATHH = 3

IPATHZ = 2

IPATHZ = 3

FR-S 1

FR-C 2

FR-C 3

FR-C 3

FR-P 2

FR-H 2

FR-H 3

FR-Z 1

FR-Z 2

0 ( 1)

0 ( 2)

0 ( 3)

0 ( 4)

0 ( 5)

0 ( 6)

( 7)

0 ( 8)

0 ( 9)

"jaunes"

IPATHS = 3

IPATHS = 4

IPATHC = 3

IPATHC = 7

IPATHP = 3

IPATHH = 5

IPATHH = 6

IPATHZ = 4

IPATHI = 1

IPATHI = 2

IPATHI = 4

IPATHI = 5

FR-S 2

FR-S 2

FR-C 4

FR-C 4

FR-P 3

FR-H 5

FR-H 4

FR-Z 3

FR-I 1

FR-I 3

FR-I 3

FR-I 2

Y( 1) Y( 2) Y( 3) Y( 4) Y( 5) Y( 6) Y( 7) Y( 8) Y( 9)

Y( 10)

Y( 11)

Y( 12)

La figure 21 représente une visualisation caractéristique du tube cathodique, les conditions indiquées dans chaque code couleur étant énumérées dans l'ordre de priorité d'exécution des procédures applicables Les priorités sont choisies en accord avec le tableau précédent Etant donné que les d&signations TPA Tkln ne fourniraient pas

à l'opérateur une reconnaissance instantanée de la condition, des des-

criptions verbales fonctionnelles ont été produites Par exemple, la

condition qui a provoqué l'appel de la procédure FR-c 2 de restaura-

tion fonctionnelle apparaît, comme indiqué à la figure 21, sous la forme de REFROIDISSEMENT MARGINAL DU COEUR La référence au tableau

ci-dessus montre que la branche terminale IPATHC= 4 a créé cette répon-

se On doit bien noter que les descriptions verbales ne sont pas né-

cessairement uniques à une branche terminale, étant donné que plu-

sieurs conditions peuvent signifier un même problème fonctionnel Ain-

si, le REFROIDISSEMENT MARGINAL DU COEUR est aussi utilisé comme titre pour IPATHC= 5 et IPATHC=& qui, tous deux, appellent la procédure

FR-c 3 -de restauration fonctionnelle De même, la description de la

condition STOCK BAS DU LIQUIDE DE REFROIDISSEMENT DU REACTEUR, qui ap-

paraît dans la liste de la figure 21 dans LES CONDITIONS HORS DE LA NORMALE (JAUNES), est utilisée pour décrire IPATHI= 1, 2 et 4 aussi bien que 5, étant donné que toutes ces branches terminales suggèrent des conditions et des procédures applicables liées à un problème de

stock bas du liquide Les descriptions sont choisies afin de communi-

quer à l'opérateur la nature générale du problème Aucune ambiguïté n'est possible, car l'opérateur n'est pas sensé connaître les détails des conditions qui ont concouru à amener le système dans l'état o il se trouve, il est seulement sensé avoir une connaissance générale de la nature du problème, et, surtout, connaître la procédure recommandée afin de corriger le problème S'il veut connaître plus en détail les

conditions qui ont abouti à la recommandation d'une procédue spécifi-

que, il lui est possible de revenir à l'arbre d'état indiqué par le numéro de FR On doit noter que la visualisation du tube cathodique indique aussi la procédure recommandée, créée pour la première fois (clignotant) et ayant une priorité première Cette désignation de

priorité apparaît seulement pour les procédures recommandées nouvelle-

ment créées, considérant que l'opérateur a déjà mis en pratique les procédures appelées pour le précédent passage Si plus d'une procédure nouvelle est appelée, la deuxième serait affichée sous PRIORITE

SECONDE (non représentée) immédiatement en dessous de la première pro-

cédure de priorité de la figure 21 La première et la seconde désigna-

tions de priorité sont seulement données pour les conditions dangereu-

ses (rouge) ou potentiellement dangereuses (orange) A la figure 21, L'ENVIRONNEMENT ANORMAL DU CONFINEMENT n'a pas une priorité seconde,

étant donné qu'elle apparaît dans le déroulement précédent du program-

me (qui est présenté sous un format stable).

Les organigrammes de programmation adaptés pour créer les ar-

bres d'état de fonctions critiques de sécurité des figures 15 à 20 et la visualisation Récapitulation de l'état des fonctions critiques de

sécurité de la figure 21, sont représentés aux figures 22 à 31 L'or-

ganigramme de la figure 22 fixe les conditions initiales pour les vi-

sualisations en mettant à jour toutes les variables de l'encadré 110

et à travers les boucles indiquées par les blocs 120, 121 et 122, af-

fichant à "faux" tous les indicateurs de condition jaune, orange et rouge respectivement dans les encadrés 123, 124 et 125 L'arbre d'état souscritique est alors produit par l'organigramme de la figure 23 dans lequel la forme de l'arbre représentée à la figure -15, avec la valeur réelle de chacun des paramètres pertinents visualisée sous une forme numérique, est créée dans l'encadré 126 Si le signal NISSRHV de la plage d'alimentation haute tension est supérieur à la valeur "a" d'un point de consigne, tel qu'il a été vérifié dans l'encadré 127, indiquant que les instruments de mesure de plage d'alimentation sont à

l'échelle et qu'en conséquence le réacteur est à un niveau de puissan-

ce bas, la lecture du niveau NISSRSU de puissance de la plage d'ali-

mentation est comparée à l'encadré 128 avec une valeur "d" d'un point

de consigne Si le niveau de puissance "d" est dépassé, IPATHS est af-

fiché égal à 4 et l'indicateur jaune deux, Y( 2), est fixé égal à "vrai" dans l'encadré 129 Lorsque le niveau de puissance n'est pas supérieur à "d", IPATHS est affiché égal à 5 dans l'encadré 130 Si la

plage d'alimentation haute tension est coupée, indiquant que le réac-

teur produisait plus que la puissance minimale, le signal NISPRPL de puissance de la plage de puissance est comparé à une valeur "b" de point de consigne dans l'encadré 131 et si le niveau de puissance "b" n'est pas dépassé, IPATHS est affiché égal à 1 et R( 1) est affiché égal à "vrai" dans l'encadré 132 D'autre part, lorsque le niveau de puissance de la plage de puissance est inférieur à "b", le signal NISIRSU de puissance de la plage intermédiaire est comparé à la valeur de point de consigne "c" dans l'encadré 133 et IPATHS est affiché égal à 2, orange un, O ( 1), est affiché égal à "vrai" dans l'encadré 134 lorsque le niveau "c" est dépassé, mais IPATHS est fixé égal à 3 et

Y( 1) est affiché égal à "vrai" lorsque le niveau "c" n'est pas dépas-

sé Quoiqu'il en soit, IPATHS est affiché égal à la branche terminale

qui clignote comme indiqué dans l'encadré 136.

L'organigramme concernant l'arbre d'etat de Refroidissement du Coeur de la figure 16 est représenté à la figure 24 Tout d'abord, le format de l'arbre est produit sous une forme stable dans l'encadré 137 Comme indiqué précédemment, la marge TMRGN de température qui est

un paramètre calculé, est normalement déjà disponible à partir du sys-

tème de commande NSSS mais, si ce n'est pas le cas,elle peut être pro-

duite en calculant la température TSAT de saturation, dans l'encadré 138 d'une manière bien connue de l'homme de l'art, et en soustrayant

de cette valeur la température CETCTMP de sortie du coeur dans l'enca-

dré 139 afin d'aboutir à TMRGN Si la marge de température n'est pas inférieure à la valeur "e" du point de consigne comme déterminé dans l'encadré 140, IPATHC, représentatif de la branche terminale verte, est affiché égal à 1 dans l'encadré 141 Par contre, si la marge de température est inférieure à la valeur du point de consigne "e", et que la température de sortie du coeur CETCTMP est au moins égale à-la g valeur de point de consigne "f" comme déterminé dans l'encadré 142, IPATHC est affiché égal à 2 et R( 2) est affiché "vrai" dans l'encadré 143 Si la température de sortie du coeur est inférieure à "f", une boucle est introduite dans l'encadré 144 afin de déterminer si les pompes du fluide de refroidissement du réacteur sont en fonctionnement et ceci en vérifiant l'état du disjoncteur de circuit de chaque pompe RCPBRS(N) dans l'encadré 145 Si au moins une pompe fonctionne, le niveau RYNRLVL de la plage étroite de la cuve du réacteur est vérifié à l'encadré 146 et si ce niveau est inférieur à une valeur de point de consigne "g" IPATHC est affiché égal à 4 et 0 ( 2) est considéré comme "vrai" dans l'encadré 147, sinon IPATHC est affiché à 3 et Y( 3) est

considéré comme "vrai" dans l'encadré 148.

Si aucune des pompes de refroidissement du réacteur ne fonc-

tionne, et que la température CETCTMP de sortie du coeur n'est pas in-

férieure à une valeur de point de consigne h, comme déterminé dans l'encadré 150, IPATHC est affiché égal à 6 et R( 3) est considéré comme "vrai" dans l'encadré 152 si le niveau de la plage étroite de la cuve dépasse une valeur de point de consigne "i' dans l'encadré 151 Si cette valeur ne dépasse pas "i", IPATHC est considéré égal à 5 et 0 ( 3) est considéré comme "vrai" dans l'encadré 153 Lorsque la température CETCTMP est supérieure à "h" dans l'encadré 150, IPATHC est affiché égal à 8 ou 7 et Y( 4) ou 0 ( 4) est considéré comme "vrai" respective-

ment dans l'encadré 155 ou 156 selon que les niveaux de refroidisse-

ment de la cuve du réacteur sont au-dessus ou au-dessous d'une valeur

de point de consigne "j" comme déterminé dans l'encadré 154 Le pro-

gramme est alors complété dans l'encadré 157 en faisant clignoter la

branche terminale IPATHC sélectionnée.

La visualisation de l'arbre d'état d'Intégrité du Système de

Refroidissement du Réacteur de la figure 17 est créée par l'organi-

gramme de la figure 25 A nouveau, l'arbre apparaît sous la forme d'un format stable dans l'encadré 158 La première limite PLIM 1 de pression est alors calculée dans l'encadré 159 en utilisant la température RTD

d'entrée du coeur CIRTDTM, tandis que la pression PRZRPRE du généra-

teur de pression est comparée à cette limite dans l'encadré 160 Si la

limite est dépassée, IPATHP est affiché égal à "l" et R( 4) est consi-

déré comme vrai dans l'encadré 161 Si la première limite n'est pas dépassée, la pression du générateur de pression est comparée dans

l'encadré 163 à la deuxième limite PLIM 2 qui est calculée dans l'enca-

dré 162 Si cette limite n'est pas dépassée, IPATHP est considéré égal à 2 et 0 ( 5) est considéré comme vrai dans l'encadré 164 De même, IPATHP est affiché égal à 3 ou 4 respectivement dans les encadrés 167 ou 168 selon que la pression du générateur de pression dépasse ou non, dans l'encadré 166, la troisième limite de pression PLIM 3 calculée

dans l'encadré 165 Dans tous les cas, la branche terminale sélection-

née IPATHP clignote dans l'encadré 169.

L'organigramme des figures 26 a à 26 f crée la visualisation de l'arbre d'état du Puits de Chaleur de la figure 18, en produisant tout

d'abord la visualisation sous une forme stable dans l'encadré 170 En-

suite, une détermination est faite dans les encadrés 171 à 174 si les

deux vannes qui commandent les deux systèmes d'évacuation de la cha-

leur résiduelle sont ouvertes Si l'un des deux groupes de vannes est ouvert, indiquant qu'un des systèmes est en fonctionnement, et si la température CETCTMP de sortie du coeur ne dépasse pas la valeur du point de consigne "y", dans l'encadré 175, la branche terminale verte

est sélectionnée en affichant IPATHH égal à 7 dans l'encadré 176.

Si aucun des systèmes d'évacuation de chaleur résiduelle ne fonctionne ou si la température de sortie du coeur dépasse une valeur de point de consigne "y", une détermination est faite afin de savoir quels générateurs sont en panne Les facteurs pris en considération pour cette détermination consistent à savoir si le niveau d'eau dans

l'un quelconque des générateurs de vapeur dépasse le niveau d'eau mo-

yen des générateurs de vapeurs d'une quantité préselectionnée, ce qui

indiquerait l'existence d'une fuite du circuit primaire vers le cir-

cuit secondaire, si la pression du générateur de vapeur est inférieure

d'une quantité présélectionnée à la moyenne des pressions de généra-

teurs de vapeur La détermination du niveau d'eau est faite un addi-

tionnant les niveaux d'eau SGNRLV(N) dans l'encadré 177 et en intro-

* duisant une boucle dans l'encadré 178 dans laquelle, après avoir affi-

ché un indicateur intact de générateur de vapeur, SG(N), considéré comme "vrai" dans l'encadré 179, cette somme est soustraite d'une

quantité égale à quatre fois les niveaux d'eau individuels dans l'en-

cadré 180, et la différence est comparée à une valeur de point de con-

signe "k", dans l'encadré 181 Si la différence dépasse "k", l'indica-

teur correspondant SG(N) est commuté sur "faux" dans l'encadré 182 De même, les pressions des générateurs de vapeur sont additionnées dans l'encadré 183 et ensuite, dans une boucle, introduits dans l'encadré 184, la somme est soustraite d'une quantité égale à quatre fois les pressions de vapeur individuelles dans l'encadré 185 et si la pression

individuelle est inférieure à la pression moyenne d'une quantité supé-

rieure à -1, comme déterminé dans l'encadré 186, l'indicateur intact

individuel SG(N) est placé à "faux" dans l'encadré 187.

Le débit réel d'eau d'alimentation des générateurs intacts de vapeur est déterminé dans les encadrés 188 à 191 en introduisant une boucle qui ajoute à une variable débit d'eau d'alimentation, FWFLO, les débits SGFWFL(N) vers les générateurs intacts de vapeur SG(N) =

T Même si le débit réel d'eau d'alimentation ne dépasse pas une va-

leur de point de consigne "m", dans l'encadré 102, il est possible qu'un débit suffisant soit disponible mais que le niveau dans un ou plusieurs générateurs de vapeur, soit adéquat et par conséquent qu'il

n'y ait pas de débits vers ces unités Ceci est déterminé en introdui-

sant une boucle dans l'encadré 193 o , si le niveau d'eau SGNRLV(N) dans l'un quelconque des générateurs intacts de vapeur, encadré 194, ne dépasse pas un niveau présélectionné "z" dans l'encadré 195, IPATHH est affiché égal à 1 et R( 5) est considéré comme vrai dans l'encadré 196 indiquant qu'un débit suffisant d'eau d'alimentation n'est pas

disponible Si le niveau d'eau dans un des générateurs intacts de va-

peur dépasse la valeur "z", alors un débit suffisant est disponible malgré le fait que le débit réel soit inférieur à "m" Dans ce cas, le programme passe, comme indiqué par le drapeau c,,à une boucle dans l'encadré 197 qui est aussi introduite si FWFLO dépasse le niveau "m"

dans l'encadré 192.

La boucle introduite à l'encadré 197 entraîne l'affichage de IPATHH égal à 2 et 0 ( 6) est considéré comme "vrai" dans l'encadré 199

si la pression SGSPRE(N) de la vapeur dans un des générateurs de va-

peur dépasse une valeur de point de consigne "n" déterminée comme re-

présentant le cycle de boucle à travers l'encadré 198 Si la pression

dans les générateurs de pression est inférieure à "n", IPATHH est af-

fiché égal à 3 et 0 ( 7) est considéré comme étant "vrai" dans l'encadré 202 si le niveau d'eau, SGNRLV(N), dans un des générateurs intacts de

vapeur, encadré 200, dépasse la valeur du point de consigne Ir déter-

minée dans l'encadré 201 Si la limite supérieure C n'est pas dépassée, les niveaux sont comparés à une valeur de point de consigne minimum "p" dans l'encadré 203, et si un des niveaux est inférieur à "p", IPATHH est affiché égal à 6 et Y( 7) est considéré comme "vrai"dans l'encadré 204.

D'autre part, lorsque les pressions des générateurs de vapeur sont toutes inférieures à n, et que les niveaux de plage restreinte se

trouvent placés entrecr et"p" pour tous les générateurs intacts de va-

peur, les systèmes d'évacuation sont vérifiés en déterminant si dans

l'encadré 205 la pression d'air, SDAPRES, est disponible pour le fonc-

tionnement des vannes d'évacuation Si cela n'est pas le cas, IPATHH

est considéré égal à 5 et Y( 6) est considéré comme-"vrai" dans l'enca-

dré 206 Si la pression est disponible dans le collecteur d'évacuation de la vapeur, l'état du sélecteur ADCONSS de commande de mise à l'air libre est vérifié dans l'encadré 207 Si le sélecteur est en position automatique, l'état des vannes manuelles ADMIVS(N) d'isolation de mise

à l'air libre des générateurs intacts de vapeur, encadré 209, est vé-

rifié dans l'encadré 210 dans une boucle qui est introduite à l'enca-

dré 208 Si toutes ces vannes sont ouvertes, indiquant que les mises à l'air libre sur tous les générateurs de vapeur sont disponibles, le programme passe comme indiqué par le drapeau #, à l'encadré 218 qui

affiche IPATHH égal à 4.

Si toutes les mises à l'air libre sur les générateurs intacts

de vapeur ne sont pas disponibles, et que le condenseur n'est pas dis-

ponible, encadré 211, ou s'il est disponible mais que l'état de l'in-

terrupteur du sélecteur, encadré 212, indique que le sélecteur n'est pas en position permettant de fonctionner en pression vapeur, IPATHH est affiché égal à 5 et Y{ 6) est considéré comme "vrai" dans l'encadré 213 Si le condenseur est disponible et que l'évacuation du condenseur est en position permettant un fonctionnement avec pression vapeur, l'état des vannes principales îl SIVSS(N) d'isolation vapeur pour chaque générateur intact de vapeur, encadré 215, est vérifié dans l'encadré 216 dans une boucle introduite à l'encadré 214 Si toutes les vannes sont ouvertes, IPATHH est affiché égal à 4 dans l'encadré 218, sinon il est affiché égal à 5 et Y( 6) est considéré comme étant vrai dans l'encadré 217 Le programme se termine en faisant clignoter le IPATHH

sélectionné dans l'encadré 219.

La figure 27 représente l'organigramme de l'arbre d'état de Confinement présenté à la figure 19 Après avoir créé la visualisation

de l'arbre d'état dans un format stable dans l'encadré 220, la pres-

sion de confinement, CONTPRE, est comparée à une valeur de point de consigne "r" dans l'encadré 221 et, si nécessaire, à une valeur de

point de consigne "s" dans l'encadré 222 Si la pression de confine-

ment est inférieure à ces deux valeurs de point de consigne, le niveau

de la piscine de confinement, et si nécessaire, les niveaux de radia-

tion de confinement sont vérifiés respectivement dans les encadrés 223 et 224 IPATHZ est affiché égal à 1, 2, 3 ou 4 et R( 6), 0 ( 8), 0 ( 9) ou Y( 8) est considéré comme étant "vrai" dans les encadrés 225 à 228 si la pression de confinement est supérieure à "r", si la pression est inférieure à "r" mais supérieure à "s", si la pression est inférieure à "s" et le niveau de la piscine supérieur à "t", ou si le niveau de la piscine est inférieur "t" et le niveau de radiation supérieur à "u" Si aucune des valeurs de point de consigne n'est dépassée, IPATHZ est affiché égal à 5 dans l'encadré 229 Le IPATHZ sélectionné est

clignoté par l'encadré 230.

L'arbre d'état de stock de fluide de refroidissement du réac-

teur de la figure 20 est créé par le programme présenté à la figue 28.

Après avoir tout d'abord produit une visualisation de l'arbre en un format stable dans l'encadré 231, le niveau PRZRLVL du générateur est comparé à une valeur haute de point de consigne "v", dans l'encadré 232 Si le niveau du générateur est supérieur a "y", IPATHI est affiché égal à 1 ou 2 et Y( 9) ou Y( 10) est considéré comme étant

"vrai" dans l'encadré 234 ou 235 selon que le niveau RVUHLVL de la tê-

te supérieure de la cuve du réacteur est supérieur ou inférieur à la

valeur du point de consigne "W", comme déterminé dans l'encadré 233.

Si le niveau du générateur de pression est inférieur à v et inférieur aussi à une valeur basse de point de consigne "x", comme déterminé dans l'encadré 236, IPATHE est affiché égal à 5 et Y( 12) est considéré comme étant "vrai" dans l'encadré 237 D'autre part, si le niveau du générateur est compris entre "y" et 1 'x", IPATHI est affiché égal à 3 dans l'encadré 239 ou il est affiché égal à 4 et Y( 11) est considéré comme étant "vrai" dans l'encadré 240 selon que le niveau de la tête

supérieure de la cuve du réacteur est respectivement inférieur ou su-

périeur à la valeur de point de consigne "w" comme déterminé dans l'encadré 238 Afin de terminer le programme, le IPATHI sélectionné

est clignoté dans l'encadré 241.

Les organigrammes en relation avec la création de la visuali-

sation récapitulative des états des fonctions critiques de sécurité illustré à la figure 21, sont représentés aux figures 29 et 30 Le programme commence en affichant un nombre de "logiques à faux" dans

l'encadré 242 de la figure 29 RFIRST et RSECND sont utilisés pour in-

diquer s'il y a des procédures sollicitées auxquelles on pourrait don-

ner une priorité première et seconde Comme mentionné précédemment,

seules des procédures nouvellement sélectionnées ayant pour but d'at-

ténuer des conditions d'état dangereuses (rouge) ou potentiellement dangereuses (orange) se voient attribuer des priorités "premières" ou

"secondes" Les logiques RRED, RORN et RYEL sont utilisées afin d'in-

diquer si oui ou non les branches terminales codées en couleurs jaune,

orange ou rouge ont été respectivement sélectionnées dans un des ar-

bres d'état.

Avec les logiques affichées, les en-têtes RECAPITULATIF D'ETAT et ROUGES sont visualisées comme indiqué dans les encadrés 243

et 244 Une boucle est alors introduite à l'encadré 245 o chaque in-

dicateur, R<I), associé à des branches terminales codées en rouge, est vérifié dans l'encadré 246 afin de voir si la sélection a eu lieu Si cela est le cas, la logique RRED est considérée comme "vraie" dans l'encadré 247 et une détermination est faite dans l'encadré 248, selon que cette branche rouge particulière a été sélectionnée ou non au cours d'un précédent passage du programme de l'arbre d'état par une vérification de l'état de la logique R O LDJ( 4) Si ROID(I) est vrai, indiquant que la branche rouge avait aussi até sélectionnée au cours d'un passage précédent du programme de l'arbra d'état, le titre verbal attribué à la condition et la procédure recommandée sont visualisés dans un format stable dans l'encadré 249, D'autre part, des conditions

et des procédures qui apparaissent pour la première fois sont visuali-

sées sous une forme clignotante dans l'encadré 250.

La désignation de la priorité première et seconde pour l'exi-

cution des procédures associées à des tranches terminales "rouge" nou-

vellement sélectionnées, est faite en vérifiant RFIRST dans l'encadré 251 Si RFIRST n'est pas "vrai", indiquant qu'aucune branche terminale

"rouge' à chiffre plus élevé n'a été sélectionnée au cours de ce pas-

sage des programmes de l'arbre d'état, NFIRST est affiché égal -à la branche terminale "rouge", sélectionnée dans l'encadré 252, et RFIRST est considéré comme "vrai" dans l'encadré 253 Si RFIRST était déjà

"vrai" dans l'encadré 251, mais que RSECND n'est pas "vrai" dans l'en-

cadré 254, NSECND est affiché égal au chiffre de la branche terminale "rouge" sélectionnée dans l'encadré 255 et RSECND est considéré comme "vrai" dans l'encadré 256 Quel que soit l'état de R(I), ROLD(I) est mis à jour à l'état logique présent de R(I) dans l'encadré 257 pour être utilisé au cours d'un prochain passage du programme Si aucune des branches terminales rouges n'a été sélectionnée au cours de ce passage du programme, que ce soit pour la première fois ou non, comme déterminé dans l'encadré 258, "AUCUN" est visualisé sous "l'entête

rouge" dans l'encadré 259 Le programme servant à créer la partie 'ton-

dition potentiellement dangereuse" (orange) de la visualisation réca-

pitulative est fondamentalement analogue à celle utilisée pour les

"rouges" représentée à la figure 29, sauf, bien sûr, en ce qui concer-

ne les logiques qui ne sont pas réaffichées à "faux" comme dans l'en-

cadré 242, ce qui a pour conséquence que les branchesterminales "oran-

ge" ne sont affichées que pour la priorité première et seconde après

les "rouges".

Une fois terminé le programme servant à créer une récapitula-

tion des procédures associées aux branches terminales "orange", le programme de la figure 30 est introduit Si RFIRST est "vrai" dans l'encadré 260, le titre pour les procédures de priorité est produit dans l'encadré 261, et la procédure et le titre associés indiqués par NFIRST sont visualisés dans l'encadré 262 S'il y a aussi une deuxième priorité, comme indiqué par l'encadré 263, la procédure et le titre

indiqués par NSECND sont visualisés par l'encadré 264 Ensuite, le ti-

tre "jaune" est visualisé par l'encadré 265, et une boucle est intro-

duite à l'encadré 266 dans laquelle RYEL est considéré comme "vrai" dans l'encadré 268 si un cheminement de fin d'opération "jaune" a été sélectionné comme indiqué dans l'encadré 267 Si cette branche n'a pas

été sélectionnée au cours du passage précédent du programme comme dé-

terminé dans l'encadré 269, le titre et la désignation de la procédure sont visualisés sous une forme clignotante par l'encadré 270 Sinon, ils sont visualisés sous une forme stable par l'encadré 271 Dans tous les cas, YOLD(K) pour chaque "jaune" est affiché égal à l'état réel dans l'encadré 272, afin d'être utilisé au cours d'un prochain passage du programme Si aucune branche terminale "jaune" n'a été sélectionnée par les arbies d'état pendant ce passage du programme, comme déterminé dans l'encadré 273, "AUCUN" est visualisé sous le titre "jaune" par

l'encadré 274 et le programme est terminé.

Tandis que les systèmes décrits précédemment servant à créer

les arbres d'état des fonctions critiques de sécurité par l'intermé-

diaire de visualisations informatisées par tube cathodique, peuvent

être mis en oeuvre par des unités formées de microprocesseurs indépen-

dants, indépendamment d'autres systèmes de surveillance des commandes, ces arbres d'état peuvent être mis en oeuvre d'une façon plus simple sans l'aide d'ordinateurs Par exemple, cet aspect de l'invention peut être matérialisé par un panneau vertical 275 représenté à la figure

31, et sur lequel les six arbres d'état de fonctions critiques de sé-

curité sont mis en place en séquence par des ensembles de barres lumi-

neuses et colorées 276 A la fin de chaque cheminement à travers cha-

que arbre, se trouve un indicateur d'état 277 qui peut se présenter

sous la forme d'une lumière colorée ou de tout autre dispositif per-

mettant d'attirer l'attention sur l'état en cours de la fonction cri-

tique particulière de sécurité D'autres visualisations plus perfec-

tionnées à l'état solide peuvent être utilisées au besoin, ou dans le

cas d'une qualification sismique de la visualisation.

Les configurations de segments lumineux colorés 276 utilisés

à la figure 31 sont semblables aux configurations de lignes représen-

tées-pour les arbres d'état correspondants illustrés aux figures 15 à Chaque segment 276 de branche dans chaque arbre peut être éclairé afin d'indiquer que le cheminement sélectionné suit la branche en

question Les branches sont sélectionnées manuellement par l'opéra-

teur Comme cela a été précisé d'une façon plus détaillée à la figure

32, un sélecteur manuel 278 est placé à chaque point d'embranchement.

Chaque sélecteur a autant de positions que de nombre de branches éma-

nant des points d'embranchement (généralement deux) Dans une position

donnée, le sélecteur alimente le circuit qui fournit la puissance né-

cessaire pour illuminer la branche sélectionnée, et il alimente en

puissance le prochain sélecteur De même, à côté de chaque point d'em-

branchement se trouve un compteur 279 qui donne à l'opérateur la va-

leur calculée ou mesurée du paramètre pertinent Les plages ou les va-

leurs de points de consigne sont indiquées sur le compteur par des in-

dex 280 et une description verbale de la condition représentée par

chaque branche est indiquée par des index 281 Ainsi, l'opérateur lit le compteur, compare les valeurs indiquées avec la valeur de points de

consigne présente sur l'échelle, et positionne en conséquence le sélec-

teur manuel 278 afin d'allumer la branche sélectionnée L'opérateur

suit alors la branche allumée jusqu'au prochain embranchement et posi-

tionne le sélecteur se trouvant à la fin de cette branche dans la po-

sition indiquée par le compteur associé Ce processus est terminé

lorsqu'un cheminement a été entièrement parcouru à travers l'arbre.

L'indicateur 277 d'état est activé par la sélection d'une branche ter-

minale et ce peut être une lumière colorée codée comme indiqué précé-

demment afin d'identifier le niveau de danger Au besoin, la branche terminale peut être colorée d'une façon similaire, et ceci en plus ou

à la place des indicateurs d'état Les procédures fonctionnelles asso-

ciées de réponse sont également identifiables à côté de la branche terminale ou de l'indicateur de statut afin de diriger l'opérateur

vers la liste de vérification d'intervention appropriée.

Il est à noter que le processus de sélection aux points d'em-

branchement dans l'exemple de réalisation de la présente invention re-

présenté à la figure 31, pourrait être entièrement automatisé en uti-

lisant des jeux de bistables ou de composants comparables, afin d'ef-

fectuer la comparaison des valeurs des paramètres avec les critères

correspondant aux branches respectives et afin d'établir le chemine-

ment actif à chaque point d'embranchement Dans un tel exemple de réa-

lisation de la présente invention, un dispositif de mise en séquence serait utilisé afin de déclencher des balayages successifs à travers les ensembles d'arbres, et un dispositif de déclenchement à retard

serait accouplé à chaque sélecteur afin d'alimenter le bistable sui-

vant le long d'un cheminement actif en développement après un retard

approprié permettant une stabilisation à chaque point d'embranchement.

Chaque bistable resterait dans un état MAINTIEN avant d'être excité par un ensemble bistable sélecteur en aval et reviendrait à l'état

MAINTIEN à la fin de son intervalle de sélection Comme autre varian-

te, le panneau de la figure 31 pourrait être commandé par un proces-

seur numérique d'une manière qui serait bien comprise par l'homme de

l'art, grâce aux informations précédemment données Néanmoins, le sys-

tème manuel fournit la disposition la moins sujette aux défailances d'équipement ou aux pannes Ce système nécessite cependant de la part

de l'opérateur un redéclenchement périodique du processus afin de pou-

voir faire face à des changements de conditions.

Des panneaux de visualisation secondaires ou des tubes catho-

diques répétant les cheminements actifs à travers les arbres d'état,

pourraient être facilement fournis dans d'autres dispositifs de répon-

se urgente (par exemple, le Centre de Soutien Technique) exigés par la Commission des Réglementations Nucléaires afin d'informer les autres personnes occupéesdans la centrale, des données reçues par la salle de

commande sur l'état de la centrale, sous la forme de fonctions criti-

ques de sécurité.

La présente invention n'est pas limitée aux exemples de réa-

lisation qui viennent d'être décrits, elle est au contraire suscepti-

ble de variantes et de modifications qui apparaîtront à l'homme de

l'art.

IDENTIFICATION DES NUMEROS DE REFERENCE UTILISES DANS LES

GRAPHIQUES

LEGENDE REF N FIGURE

Déclenchement du niveau du générateur die pression bas 27 2 Déclenchement du niveau du générateur de pression haut 28 2 Déclenchement du flux nucléaire haut 29 2 Déclenchement de A T de surpuissance 30 2 Déclenchement de A T de surtempérature 31 2 Déclenchement de la pression du générateur de pression haut 32 2 Déclenchement du niveau SG LO-LO 33 2 Condition d'arrêt du coeur 34 2 Etat du disjoncteur de déclenchement et du SIG 35 2 Séquenceur/Multiplexeur 36 5 Processeur 37 5 S.G d'examen 38 5 Système de mise à jour du paramètre d'état 39 5 "EXECUTION" de l'arbre d'état 40 5 Spécificateur d'état de la centrale 41 5 Utilisation de conseil de diagnostic pour l'opérateur 42 5 Système de protection et de commande 43 5 Mettre à jour toutes les variables dans l'ensemble de l'arbre d'état dans la mémoire du coeur et afficher tout IND'S = O' 44 9 Est-ce que NISPRPL > P 7 ? 45 9 Est-ce que NISPRPL > (d)% 46 9 Calculer M(I) = "marge de déclenchement" pour déclenchement I-th 48 10 Calculer d M(I)/dt = "vitesse de variation de la marge de déclenchement "pour le déclenchement I-th 49 10 Est-ce que M(I) ea(I) ? 50 10 Est-ce que M(I) <b(I) ? 51 10 Est-ce qued M(I) 4-c(I) ? 52 10 dt Est-ce qued M(I) 4-c(I) ? 53 10 dt Afficher MS(I) = 3 54 10 Afficher MS(I)= Z 55 10

IDENTIFICATION DES NUMEROS DE REFERENCE UTILISES DANS LES

GRAPHIQUES

LEGENDE REF N FIGURE

Afficher MS(I)= 1 56 10 Est-ce que TRIPBRS F ? 57 11 Afficher IND( 1) = + 1 58 11 Est-ce que TRIPSIG F ? 59 11 Afficher IND( 2) = + 1 60 11 Calculer M(I) = "Marge de déclenchement" pour déclenchement I-th 62 12 Calculer d M(I)/dt = "Vitesse de variation de la marge de déclenchement" pour le déclenchement I-th 63 12 Est-ce que M(I) a(I) ? 64 i Z Est-ce que M(I) <b(I) ? 65 12 Est-ce que d M(I) 6 1 dt 66 12 Est-ce que d M(I) c(I)? dt 67 12 Afficher MS(I) = 3 68 12 Afficher MS(I) = 2 69 12 Afficher MS(I) = 1 70 12 Afficher RCL = F 71 13 Afficher J=l 72 13 Est-ce que NBR (I-1 J, 2)=O ? 74 13 Afficher M=NBR(I-1, J, 2) 75 13 Est-ce que RLOG (I)T ? 76 13 Est-ce que VAR (I)T ? 77 13 Afficher M=NBR (I-1, J, 1) 78 13 Afficher M=NBR (I-1, J, K) 80 13 Est-ce que M< 1 81 13 Afficher J=M-1 82 13 Est-ce que VAR(I) PARA(r, M)? 83 13 Afficher J=M 84 13

" M=NBR(I-1, J, 4) 85 13

Afficher J=M 86 13

IDENTIFICATION DES NUMEROS DE REFERENCE UTIL ISES DANS LES

GRAPHIQUES

LEGENDE REF N FIGURE

Est-ce que NIND(I,J)>O? 87 13 Afficher IND(M)=NVAL(I, J) 88 13 Est-ce que RRCL (I, J)T ? 89 13 Afficher RCL = T 90 13 Visualisation de l'entête "hors de la normale"91 14 a Visualisation de l'entête "avec certitude" 92 14 a Afficher RDEF = F 93 14 a Est-ce que IND(K)=+ 1 ? 95 14 a Est-ce que RDEF F ? 96 14 a Afficher RDEF = T 97 14 a Visualisation du titre K-th 98 14 a Est-ce que RDEF F ? 99 14 a Visualisation du titre "aucun" 100 14 a Visualisation de l'entête "possible" 101 14 b Afficher RPOS = F 102 14 b Est-ce que IND(K)=-1 ? 104 14 b 2 S Est-ce que RPOS F ? 105 14 b Afficher RPOS = T 106 14 b Visualisation du titre K-th 107 14 b Est-ce que RPOS F ? 108 14 b Visualisation du titre "aucun" 109 14 b

NISSRHV 115 15

Mettre à jour toutes les variables dans l'ensemble de l'arbre d'état dans la mémoire du coeur 119 22 R(I)=F 123 zz 22

(J) =F 124 22

Y(K) = F 125 22

Produire la visualisation de l'arbre d'état sous-

critique en un format stable 126 23 Est-ce que NISSRHV > (a)? 127 23 Estce que NISSRSU > (d)? 128 23 Afficher IPATHS = 4 Y( 2) =T 129 23 Afficher IPATHS = 5 130 23 Est-ce que NISPRPL> (b)? 131 23

IDENTIFICATION DES NUMVIEROS DE REFERENCE UTILISES DANS LES

GRAPHIQUES

LEGENDE R

Afficher I PATHS = 1 R( 1) = T. Est-ce que NISIRSU> (c)? Est-ce que NISIRSU> (c)? Afficher IPATHS = 2 O ( 1) = T. Afficher IPATHS = 3 Y( 1) = T. Convertir la section IPATHS de la visualisation de l'arbre d'état souscritique en un format clignotant Produire la visualisation de l'arbre d'état de

EF N

refroidissement du coeur en un format stable 137 Calculer TSAT (PRZRPRE) 138 Calculer TMRGN = TSAT CETCTMP 139 Est-ce que TMRGN 4 (e)? 140

IPATHC = 1 141

Est-ce que CETCTMP< (f)? 142 Afficher IPATHC = 2 R( 2) =T 143 Est-ce que RCPBRS(N) T ? 145 Est-ce que RVNRLVL < (g) 146

IPATHC = 4 9 ( 2)T 147

IPATHC = 3 Y ( 3) =T 148

Est-ce que CETCTMP < (h)? 150 Est-ce que RVNRLBL < (i)? 151

IPATHC = 6 R( 3) =T 152

IPATHC = 5 O ( 3) =T 153

Est-ce que RVNRLVL <-(j)? 154

IPATHC = 8 O ( 4) = T 155

IPATHC = 7 Y( 4) =T 156

Convertir la section IPATHC de la visualisation de l'arbre d'état de refroidissement du coeur en un format clignotant 157 Produire la visualisation de l'arbre d'état de l'intégrité du RCS en un format clignotant 158 Calculer PLIMI (CLRTDTM) 159 Est-ce que PRZRPRE < PLIMI? 160 Afficher IPATHP = 1 R( 4) =T 161

FIGURE

54 2529694

IDENTIFICATION DES NUMEROS DE REFERENCE UTLITSES DANS LES

GRAPHIQUES '

LEGENDE E N FIGURE

Calculer PLIMZ(CLRTDTM) 162 25 Est-ce que PRZRPRE<PLIM 2 ? 163 25 Afficher IPATHP = 2, ( 5) =T 164 25 Calculer PLIM 3 (CLRTDTM) 165 25 Est- ce que PRZRPRE PLIM 3 ? 166 25

IPATHP= 3 Y( 5)=T 167 25

IPATHP= 4 168 25

Convertir la section IPATHP de la visualisation de l'arbre dl'état d'intégrité du RCS en un format clignotant169 25 Produire la visualisation de l'arbre d'état du radiateur en un format stable 170 26 a Est-ce que RHRTIVI F ? 171 26 a Est-ce que RHRTIV 2F ? 172 26 a Est-ce que RHRTZVI F ? 173 26 a Est-ce que RHRT 2 V 2F ? 174 26 a Est-ce que CETCTMP > (Y)? 175 26 a Afficher IPATHH = 7 176 26 a Calculer SUM = SGNRLV( 1) + SGNRLV( 2) + SGNRLV( 3) + SGNRLV( 4) 177 26 a Afficher SG(N) =T 179 26 a Calculer DELLVL = 4 O SGNRLV(N)-sum 180 26 b Est-ce que DELLVL> (k)? 181 Z 6 b Afficher SG(N) =F 182 26 b Calculer SUM = SGSPRE( 1) + SGSPRE ( 2) + SGSPRE ( 3) + SGSPRE ( 4) 183 = 26 b Calculer DELPRE = 4 0 SGSPRE(N)-sum 185 26 b Est-ce que DELPRE < (-t)? 186 26 b Afficher SG(N) =F 187 26 b FWFL = O O 188 26 b Est-ce que SG(N)T ? 190 26 b Afficher FWFLO + SGFWFL (N) 191 26 c Est-ce que FWFLO> (m)? 192 26 c Est- ce que SG (N)T? 194 26 c Est-ce que SGNRLV (N)> Z ? 26 c

IDENTIFICATION DES NUMEROS DE REFERENCE UTILISES DANS LES

GRAPHIQUES

LEGENDE REF N FIGURE

IPATHH = 1 R( 5) =T 196 26 c Est-ce que SGSPRE (N)>,(n)? 198 26 c Afficher IPATHH = 2 O ( 6) =T, 199 26 d Est-ce que SG (N)T ? 200 26 c Est- ce que SGNRLV(N) > (o)? 201 26 d Afficher IPATHH = 3 O = ( 7) =T 202 26 d Est-ce que SGNRLV(N)< (p)? 203 26 d Afficher IPATH H= 6 Y( 7) =T 204 26 d Est-ce que SDAPRES> (q)? 205 26 d Afficher IPATHH = 5 Y( 6) =T 206 Z 6 d Est-ce que ADCONSS F ? 207 26 d Est-ce que SG(N)T 209 26 d Est-ce que ADMIVS(N)F ? 210 26 e Est-ce que CONAVAL T 211 26 e Est-ce que SDCONSS T 212 Z 6 e Afficher IPATH H= 5 Y( 6) = T 213 26 e Est-ce que SG (N)T ? Z 15 26 e Est-ce que MSIVSS (N)F ? 216 Z 6 e IPATHH= 5 Y( 6) =T 217 26 f Afficher IPATHH= 4 218 26 f Convertir la section IPATH de la visualisation de l'arbre d'état du radiateur en un format clignotant 219 26 f Produire la visualisation de l'arbre d'état de confinement en un format stable Est-ce que CONTPRE Z_ (r)? Est-ce que CONTPRE c(s)? Est-ce que CONTSUL <(t)? Est-ce que CONTRAD < (u)? Afficher IPATHZ=I R( 6) = T. Afficher IPATHZ= 2 O ( 8) = T. Afficher IPATHZ= 3 O ( 9) = T. Afficher IPATHZ = 4 Y( 8) = T.

IPATHZ = 5

Z 7 Z 5

IDENTIFICATION DES NUMEROS DE REFERENCE UTILISES DANS LES

GRAPHIQUES

LEGENDE REF N FIGURE

Convertir la section IPATHZ de la visualisation de l'arbre d'état du confinement en un format clignotant230 27 Produire la visualisation de l'arbre d'état de l'inventaire du refroidissement du réacteur en un format stable 231 28 Est-ce que PRZRLVL À (v)? 232 28 Est-ce que RVUHLVL < (w)? 233 28 Afficher IPATHI = 1 Y( 9) =T 234 28 Afficher IPATH I= 2 Y( 10) =T 235 28 Est-ce que PRZRLVL 7 (x)? 236 28 Afficher IPATHI = 5 Y( 12) =T 237 28 Est-ce que RVUHLVL) (w)? 238 28 Afficher IPATH I= 3 239 28 Afficher IPATH I= 4 Y(l 11) =T 240 28 Convertir la section IPATHI de la visualisation de l'arbre d'état de l'inventaire du refroidissement du réacteur en un format clignotant 241 28 ZC Afficher RFIRST, RSECND, RRED, RORN, RYEL to F 242 29 Visualisation de l'entête "Résumé de l'état"243 29 Visualisation de l'entête "Rouge" 244 29 Est-ce que R(I)T ? 246 29 Afficher RRED = T 247 29 Est-ce que ROLD(I) F ? 248 29 Visualisation du titre I-th "rouge" en un format stable 249 29 Visualisation du titre I-th "rouge" en un format clignotant 250 29 Est-ce que RFIRST T ? 251 29

NFIRST I 252 29

RFIRST = T 253 29

Est-ce que RSECND T ? 254 29

NSECND = I 255 29

RSECND = T 256 29

Afficher ROLD(I)=R(I) 257 29 Est-ce que RRED T ? 258 29

IDENTIFICATION DES NUMEROS DE REFERENCE UTILISES DANS LES

GRAPHIQUES

LEGENDE

Visualisation d'un titre "aucun" Est-ce que RFIRST T ? Visualisation de l'entête "procédure" Visualisation du nom de la procédure NFIRST -th Estce que RSECND T ? Visualisation du nom de la procédure NSECND-th Visualisation de l'entête "jaune" Est-ce que Y(K) T ? Afficher RYEL = T. Est-ce que Y 9 ÈLD(K) F ? Visualisation du titre "jaune" K-th en un format clignotant Visualisation du titre "jaune" K-th en un

format stable

Afficher YOLD(K) = Y(K) Est-ce que RYEL T ? Visualisation d'un titre "aucun"

REF N

Z 69 Z 72 Z 73

FIGURE

Claims (12)

REVENDICATIONS

1 Procédé d'exploitation d'un système de commande de proces-

sus industriel complexe non linéaire, caractérisé en ce qu'il comprend les stades de mesure périodique des paramètres du système; mise en mémoire de valeurs de points de consigne sélectionnésassociées à cha-

que paramètre; comparaison séquentielle de la valeur mesurée des pa-

ramètres sélectionnés avec la valeur des points de consigne associés afin de créer une représentation de la plage mesurée des paramètres, chaque paramètre dans la séquence étant sélectionné sur la base de la

plage mesurée du paramètre précédent; élaboration de la représenta-

tion de l'état existant du système en réponse aux plages mesurées des paramètres sélectionnés en séquence; et exploitation du système de

contrôle dans le but d'effectuer des changements dans la valeur mesu-

rée d'au moins un paramètre du système en réponse aux représentations sélectionnées de l'état du système afin de déclencher une modification

prédéterminée de l'état du système.

2 Procédé suivant la revendication 1, caractérisé en ce qu'il comprend la mise en mémoire de valeurs de points de consigne multiples des paramètres sélectionnés; et la comparaison des valeurs mesurées de chacun de ces paramètres avec une des valeurs des points

de consigne pour le paramètre sélectionné à partir de ces valeurs mul-

tiples de points de consigne sur la base de la plage mesurée du para-

mètre sélectionné précédent.

3 Procédé suivant l'une des revendications 1 ou 2, caracté-

rise en ce qu'il comprend le stade d'élaboration, à partir de cette représentation de l'état du système, d'une visualisation communiquant

visuellement cet état à l'opérateur.

4 Procédé suivant la revendication 3, caractérisé en ce

qu'il comprend l'élaboration sur cette visualisation, de représenta-

tions indiquant les actions prioritaires que doit accomplir l'opéra-

teur en raison de l'état visualisé afin d'effectuer ce changement dans au moins un paramètre du système afin de déclencher cette modification

de l'état du système.

Procédé suivant la revendication 4, caractérisé en ce

qu'il comprend l'élaboration sur cette visualisation, de représenta-

tions des plages mesurées des paramètres sélectionnés en séquence afin

de créer la représentation visualisée de l'état du système.

6 Procédé suivant l'une quelconque des revendications 3, 4

ou 5, caractérisé en ce que certaines de ces séquences ne comprennent pas la comparaison des valeurs mesurées de certains des paramètres avec les valeurs des points de consigne correspondants; et en ce que la séquence de sélection des paramètres sélectionnés est ordonnée de telle sorte que les paramètres qui sont sélectionnés dans la plupart des séquences sont sélectionnés en premier, de sorte que les séquences

nécessitant la sélection du plus petit nombre de paramètres sont ter-

minées dans le temps le plus court.

7 Procédé suivant la revendication 3, caractérisé en ce que

certaines de ces séquences ne comprennent pas la comparaison de cer-

taines des valeurs mesurées avec les valeurs des points de-consigne correspondants; en ce que au moins une des valeurs sélectionnées de points de consigne des paramètres identifiés représente les conditions

critiques du système; et en ce que les paramètres identifiés sont sé-

lectionnés d'abord dans cette séquence de comparaisons.

8 Procédé suivant la revendication-7, caractérisé en ce que la séquence de comparaisons déterminée par des valeurs mesurées des paramètres identifiés qui se trouvent dans une plage représentative de

conditions dangereuses du système, sont les seuls paramètres sélec-

tionnés dans une telle séquence, moyennant quoi un état prédéterminé

représentant une condition critique du système est produit plus rapi-

dement et est discerné plus facilement à partir de la visualisation

qu'un état représentatif de conditions non critiques du système.

9 Appareil pour visualiser l'état d'un générateur électrique à combustible nucléaire comprenant des moyens pour mesurer la valeur

de paramètres sélectionnés du système, caractérisé en ce qu'il com-

prend des moyens permettant de créer un graphique visible de lignes

qui commence par un tronçon d'une seule ligne et qui se divise succes-

sivement en tronçons de lignes supplémentaires, ces tronçons de lignes partant de chaque point d'embranchement et représentant chacun une

plage présélectionnée de valeurs pour l'un des paramètres; et des mo-

yens pour créer une indication visible associée a ce graphique de li-

gnes représentant un cheminement continu de tronçons de lignes à tra-

vers le graphique, chaque tronçon de ligne dans le cheminement repré-

sentant la plage présélectionnée de valeurs dans laquelle se trouve la

valeur mesurée de l'un des paramètres sélectionnés.

Appareil suivant la revendication 9, caractérisé en ce qu'il comprend des moyens associés à l'extrémité de chaque cheminement de tronçons de ligne pour créer une indication visible des conditions critiques prédéterminés de l'état de l'unité, déterminées par la plage présélectionnée des valeurs dans laquelle se trouve la valeur mesurie

de chacun des paramètres sélectionnés dans le cheminement.

11 Appareil suivant la revendication 10, caractérisé en ce

que les moyens associés à l'extrémité de chaque cheminement pour indi-

quer les conditions critiques du cheminement comprennent des moyens pour créer le dernier tronçon de ligne dé chaque cheminement dans une

couleur présélectionnée afin d'indiquer les conditions critiques rela-

tives de l'état représenté par le cheminement -

12 Appareil suivant l'une des revendications 9 ou 10, carac-

térisé en ce que les moyens pour créer une indication visible du che-

minement à travers le graphique de lignes comprennent des moyens pour

faire clignoter le dernier tronçon de ligne dans le cheminement sélec-

tionné. 13 Appareil suivant la revendication 10, caractérisé en ce qu'il comprend des moyens contigus aux moyens indiquant ces conditions

critiques pour donner des directives concernant les mesures appro-

priées à prendre.

14 Appareil suivant la revendication 10, caractérisé en ce que le graphique de lignes se prolonge généralement longitudinalement depuis la ligne unique initiale jusqu'au dernier des tronçons de ligne

dans n'importe quel cheminement, les tronçons de ligne partant de cha-

que point d'embranchement se prolongeant latéralement vers l'extérieur à partir du point d'embranchement et prenant ensuite généralement une

direction parallèle à la direction longitudinale jusqu'au point d'em-

branchement suivant, les points d'embranchements associés à chaque pa-

ramètre particulier sélectionné étant généralement tous alignés laté-

ralement.

Appareil suivant l'une quelconque des revendications 9 à

14, caractérisé en ce qu'il comprend des moyens contigus à chaque point d'embranchement pour créer une indication visible de la valeur

mesurée du paramètre associé à ce point d'embranchement.

16 Appareil suivant la revendication 15, caractérisé en ce qu'il comprend des moyens associés aux moyens contigus à chaque point d'embranchement pour créer une indication visible de la valeur mesurée

du paramètre associé, afin de créer une visualisation des plages sé-

lectionnées de valeurs pour ce paramètre, moyennant quoi la plage mesurée du paramètre peut être déterminée en observant visuellement la

valeur mesurée et la plage sélectionnée des valeurs pour le paramètre.