FR2531802A1 - Procede et appareil pour empecher toute criticite involontaire dans une centrale electronucleaire - Google Patents

Abstract

PROCEDE ET APPAREIL POUR EMPECHER TOUTE CRITICITE INVOLONTAIRE DANS UNE CENTRALE ELECTRONUCLEAIRE. LE FLUX NEUTRONIQUE EST MESURE AU MOYEN D'UN DETECTEUR 63 QUI CREE DES SIGNAUX DE TAUX DE COMPTAGE DU FLUX ENVOYES PAR L'INTERMEDIAIRE D'UN PREAMPLIFICATEUR 65 ET D'UN AMPLIFICATEUR 67 A UN MICROCALCULATEUR 69. CE DERNIER CONVERTIT LES SIGNAUX RECUS EN SIGNAUX NUMERIQUES ET CALCULE LA VALEUR MOYENNE DU FLUX NEUTRONIQUE 4096 FOIS PAR MINUTE. A LA FIN DE CHAQUE MINUTE, LA DERNIERE VALEUR EST COMPAREE AVEC LA VALEUR OBTENUE 10 MINUTES AUPARAVANT ET SI LA DERNIERE VALEUR DEPASSE LA PREMIERE D'AU MOINS UN FACTEUR DE MULTIPLICATION PRESELECTIONNE, LE MICROCALCULATEUR ENVOIE UN SIGNAL D'ALARME A UN SYSTEME DE PROTECTION 71. APPLICATIONS : NOTAMMENT A LA DETECTION D'UNE DILUTION INVOLONTAIRE DU BORE DANS UN REACTEUR A EAU SOUS PRESSION A L'ARRET.

Description

Procédé et appareil pour empêcher toute criticit& involontaire dans une

centrale électronucfiaire.

La présente invention se rapporte à la détection d'états qui

conduiraient à une criticité involontaire dans des centrales électronu-

cléaires utilisant un réacteur a eau sous pression ou un réacteur à eau

bouillante, et elle concerne également la fourniture d'une réponse au-

tomatique et (ou) d'une alarme à laquelle peut répondre l'opérateur 1 AO afin de mettre fin 3 l'événement La présente invention s'applique en particulier à la détection d'une dilution involontaire du bore dans un réacteur a eau sous pression à l'arrêt O

Un réacteur nucléaire qui a été arrêté doit rester sous cri-

tique et ne pas se remettre en marche accidentellement l Un tel événe-

1.5 ment pourrait se produire, par exemple, à la suited'une défaillance

d'un elme Wnt du système complexe de commande ou par une action involon-

taire de l'opérateur O En tout cas, au cours d'un tel événement, le ré-

acteur approche de la criticité exponentiellemnt par rapport au temps, ce qui augmente la difficulté pour l'opérateur de détecter l'événement et de prendre des mesures appropriées avant le réacteur La situation est en outre compliquée par l'étroitesse relative de la marge d'arrêt (c'est-&dire le pourcentage de réactivité en dessous de la criticité) qui peut exister lorsque le réacteur est a l'arrêt O On surveille l'état

de la marge d'arrêt du coeur en contrôlant le flux de neutrons; cepen-

dant, aux faibles taux de comptage des neutrons, le taux de comptage du flux de neutrons devient aléatoire, de fréquentes bouffées de neutrons se produisant entre des périodes d'activité faible ou nulle O Si l'on considère également le fait que le niveau du signal du détecteur du flux de neutrons, aux faibles taux de comptage, est bas comparativement au signal de bruit présent qui est élevé, et en tenant compte en outre que le signal traité venant du détecteur est une fonction logarithmique

et non pas linéaire du taux de comptage des neutrons, on peut compren-

dre qu'il est très difficile de détecter l'approche involontaire de la criticité au début de l'événement et, en même temps, éviter de fausses

alarmes.

Dans les réacteurs à eau bouillante aussi bien que dans les réacteurs à eau sous pression, on utilise des barres de commande qui

2531 ? 02

sont introduites dans le coeur du réacteur et retirées de ce coeur afin

de régler la réactivité du réacteur par l'absorption contrôlée des neu-

trons libérés par le processus de fission De plus, dans les réacteurs à eau sous pression, on utilise du bore qui est également un absorbeur

de neutrons et que l'on dissout dans l Veau de refroidissement du réac-

E teur afin de régler la r 6 activit, conj-inteent avec les barres de commande En fait, des modifications de longue durye de la réactivité sont normalement réalisées par i'intermdiaire du système de réglage

par le bore Lorsque le réacteur doit être mis en marche, la concentra-

tion en bore de son eau de refroidissement est abaissée a un taux ré-

glé De même, lorsque le réacteur est à l'ar Ye, la concentration en

bore est augmentée afin d'assurer la marge d'arrêt Au cours des opéra-

tions de rechargeieant, la cuve du réacteur est remplie d'eau fortement boratée tandis que les assemblages comïbustibles épuisés sont retirés du coeur et remplacés par des assemblages combustibles fraiso Le système de réglage par le bore comprend un grand nombre de réservoirs, de canalisations, de vannes et de commandes qui servent produire une eau boratée de concentrations réglées, à partir d'acide borique et d'eau douce, afin de contrôler la réactivitée introduite et utilisée pendant le rechargement L'eau fortement boratée contenue dans le réservoir d'eau de rechargement, peut égalemient être utilisée dans le système d'injection de sécurité au cas ou los systèmes normaux de commande seraient incapables d'arrêter le réacteur lorsqu'on approche

des limites des paramètres predéterminés de fonctionnement.

Alors que, dans les conditions normales de fonctionnement, ia

concentration en bore du système de refroidisseient du r 5 acteur est ré-

glée soigneusement, il pourrait arriver qu'elle soit abaissée par inad-

vertance, comme on l'a ment ionné ci-dessus, & la suite d'une défaillan-

ce d'un élément ou par une action involontaire de l'opérateur Si cela se produit au moment o le réacteur est en fonctionnement ou en cours

de démarrage, des actions généralement prévues du système de protec-

tion, telles que l'arrêt du réacteur par un flux neutronique élevé et une alarme indiquant la limite d'introduction des barres, avertissent l'opérateur de l'état existant et, dans certains cas, déclenchent une action corrective Pour empêcher une dilution involontaire au cours du rechargement, les vannes d'écoulement de l'eau de dilution sont

bloquées en position fermée, isolant de ce fait le système de refroi-

dissement du réacteur.

Aucun des systèmes actuels de protection des réacteurs n'est

approprié à la détection d'événements provoquant une dilution acciden-

telle du bore lorsque le réacteur est à l'arrêt, en temps voulu pour empêcher que le réacteur ne devienne critique Bien que le passage involontaire à l'état critique, du à une dilution du bore, ne soit pas

totalement inacceptable en lui-même car, lorsque la puissance du réac-

teur augmentera, des effets en concurrence tels qu'une élévation de température du combustible, provoqueront le retour du réacteur à l'état sous-critique et le feront donc osciller entre l"état critique et l'état sous-critique, les effets transitoires de pression créés pendant

ces passages d'un état à l'autre sont inacceptables.

La présente invention a pour objet principal un procédé pour

détecter l'approche de criticité d'un réacteur.

La présente invention consiste généralement en un procédé pour détecter l'approche involontaire de criticité d'un réacteur de centrale électronucléaire, ce procédé comprenant les stades suivants

production d'un signal du taux de comptage du flux neutronique instan-

tané, représentant le flux neutronique instantané dans le réacteur;

production à partir de ce signai *du taux de comptage du-flux neutroni-

que instantané, d'un premier et d'un deuxième signaux de taux de comp-

tage du flux neutronique moyen, représentant le signal de taux de comp-

tage du flux neutronique moyen pendant une première et une deuxième pé-

riodes incrémentielles de temps séparées par un intervalle de temps préréglé; comparaison de ce premier et de ce deuxième signaux de taux de comptage du flux neutronique moyen; et création d'un signal alarme lorsque le deuxième signal de taux de comptage du flux neutronique moyen dépasse le premier signal de taux de comptage du flux neutronique

moyen d'au moins un facteur de multiplication présélectionné.

Suivant la présente invention, une approche involontaire de la criticité d'un réacteur nucléaire à l'arrêt est détectée avant que le réacteur ne devienne critique, grâce à la surveillance du taux de

comptage du flux neutronique instantané Du fait que le taux de compta-

ge du flux neutronique est un signal statistiquement variable aux fai-

bles taux de comptage, on crée des signaux représentant la valeur

moyenne du taux de comptage du flux neutronique pendant une période in-

crémentielle de temps Les signaux de taux de comptage du flux neutro-

nique moyen, séparés par un intervalle de temps préréglé, sont comparés et un signal d'alarme est créé si le dernier signal de taux de comptage du flux neutronique moyen dépasse le premier d'une valeur supérieure à un facteur de multiplication. Le choix de l'intervalle de temps préréglé entre les signaux de taux de comptage du flux neutronique moyen, de même que le choix du facteur de multiplication présélectionné, sont basés sur un certain nombre de critères d'interactions Le facteur de multiplication doit

être suffisamment élevé pour que de fausses alarmes ne soient pas dé-

clenchées Cependant, s'il est trop élevé, l'alarme sera déclenchée

trop tard au cours de l'événement pour empêcher que le réacteur ne de-

vienne critique puisque, dans un tel cas, le taux de comptage du flux neutronique augmente exponentiellement en fonction du temps Lorsqu'on

choisit un facteur de multiplication plus bas, on doit augmenter l'in-

tervalle de temps, mais un intervalle de temps trop long provoquera la

création d'un signal d'alarme dans certaines circonstances de fonction-

nement normal De plus, si on choisit un intervalle de temps trop long, les conditions dans lequelles sont créés les deux signaux de taux de comptage du flux neutronique moyen, telles que la température dans un réacteur à eau sous pression, peuvent varier, ce qui rend les calculs plus difficiles On a déterminé qu'un facteur de multiplication compris entre 1,5 et 3, et de préférence 2, avec un intervalle de temps de 5 à minutes, et de préférence 10 minutes, permet d'obtenir une réponse satisfaisante sans limiter indûment le fonctionnement normal ni crééer

de fausses alarmes.

Dans l'exemple préféré de réalisation de la présente inven-

tion, le signal de taux de comptage du flux neutronique moyen est pro-

duit de manière répétitive et sans interruption et les valeurs créées

en séquence sont mémorisées pendant l'intervalle de temps présélection-

né Dans ce cas, le dernier signal de taux de comptage du flux neutro-

nique moyen est comparé non seulement avec le signal de taux de compta-

ge du flux neutronique moyen qui a été créé pendant l'intervalle présé-

lectionné précédent, mais également avec chacun des signaux intermi-

diaires de taux de comptage du flux neutronique moyen De cette ma-

25312 02

nière, toute augmentation soudaine du taux de comptage du flux neutro-

nique est détectée plus t 6 t, de même qu'on peut détecter l'apparition d'un événement qui pourrait conduire a un retour à la criticité, du moins une heure tout au plus après un arrêt du réacteur lorsque le taux

de comptage du flux neutronique a atteint approximativement son ni-

veau.

Afin d'obtenir le signal de taux de comptage du-flux neutro-

nique moyen, on fait le total cumulé des valeurs du signal de taux de

comptage du flux neutronique instantané à divers moments également es-

pacés dans le temps, et on divise le total obtenu par le nombre de mo-

ments considérés Ces opérations sont effectuées le mieux par un calcu-

lateur numérique programm et, en particulier, par un des microordina-

teurs actuellement disponibles Dans 1 'exemple de réalisation de la

présente invention décrit en particulier, les signaux de taux de comp-

tage du flux neutronique moyen sont créés pendant des périodes incré-

mentielles de temps d'une minute, de sorte que dix signaux de ce type

sont mémorisés et comparés avec le dernier signal moyen.

La présente invention s'applique en particulier i la détec-

tion d'une dilution involontaire du bore dans des réacteurs à eau sous pression, bien qu'elle soit également utilisable pour la détection d'autres événements qui pourraient provoquer le passage involontaire d'un réacteur à la criticité, Dans la présente application, le facteur de multiplication et l'intervalle de temps sont choisis de telle sorte que le système répond aux phénomènes de dilution involontaire du bore,

que la vitesse de dilution soit élevée ou faible, et donne cette répon-

se en temps voulu pour permettre que des mesures soient prises en vue d'empêcher le passage du réacteur à la criticitéo Lorsqu'un signal

d'alarme est créé, les vannes peuvent se fermer afin d'arrêter l'écou-

lement d'eau boratée venant du système normal de réglage par le bore,

tandis que des vannes s'ouvrent pour introduire dans le circuit de re-

froidissement du réacteur de l'eau fortement boratée, c'est-i-dire de

l'eau dont la concentration en bore est suffisamment élevée pour main-

tenir le réacteur dans un état sous-critique Cette eau fortement bora-

tée est normalement disponible dans Te réservoir de stockage d'eau de rechargement Les vannes peuvent être commandées en réponse au signal

d'alarme, soit manuellement par l'opérateur ou automatiquement.

La présente invention concerne à la fois le proc 5 d de détec-

tion d'un rapprochement involontaire vers la criticité et l'appareil de

mise en oeuvre de ce procédé.

La présente invention sera bien cecprise à la lecture de la

description suivante faite en relation avec les dessins ci-joints, dans

lesquels:

la figure i est un sch&iia représentant le système d'alimen-

taticn en vapeur nucléaire et le systcme de réglage par le bore d'une centrale électronuc 11 aire utilisant un réacteur à eau sous pression, constituant un exemple de réalisation de la présente invention; é la figure 2 représente grapique ent la variation du flux

neutronique en fonction du temps au cours d'une approche carac'tristi-

que de la criticité du réacteur représent& Z la fioure 1, en supposant

une introduction constante de réactivité positive telle quelle se pro-

duir Yait par suite d'une di lution involontaire du bore;

V a I figure 3 est un schéma fonctionnel reprsentant tn sys-

te Ue suivant la présente-, invention porr dtecter une aproche involio-

taire de la c'riticité du racteur illustr' à la figure 1; ia fipure; 4 représente grp q t la ariation du fl'ux neutronique en fonction du temps dais le cas du réacteur itlustr à la figure 1, 1 la suite d'un arrêt du réacteur; la figure S reprécsene schémam'tiquelent ui systlne microin M formatique suivant la présente invention 9 approprie pour âtre utilisé dans le svsté;me représenté à la figure 2; et les figures 6 et 7 son 7 i les organigrammes repryseatant un

prograimme approprié d'exploitation du systéme microinfornatique repré-

senté Z, la figure 5 conform Smernt au x enseignements de la présente in-

vention. Bien que la présent e invention soit prévue pour détecter des

événements qui pourraient conduire à un yreto Lr involontaire à la criti-

cite d'un réacteur nucléaire arrêté de centraie électronuciéaire à r-

acteur à eau bouillante ou a réacteur a eau Sous pression la dles-crip-

tion qui suit concernera une centrale elect Yronuciéaire utilisant un reacteur a eau sous pression, pour laquelle la présente invention sera particulièrement utile dans la détection d'une dilution involontaire d u bore Comme le représente la figure 1, ce système comprend une cuve 1 -7 de réacteur qui contient un coeur 3 de matière fissile Le fluide de

refroidissement du réacteur, qui se présente sous la forme d'eau bora-

tée sous pression, circule dans la cuve 1 et dans le coeur 3 du réac-

teur o la température est élevée par la chaleur créée par la réaction

de fission Le fluide chauffé de refroidissement du réacteur est refou-

lé par une pompe 5, par l'intermédiaire d'une conduite 7 formant une

branche chaude, jusqu'à un générateur 9 de vapeur qui utilise la cha-

leur pour crééer de la vapeur qui entraine, à son tour, une turbo-

génératrice (non représentée), par l'intermédiaire d'une boucle secon-

daire (non représentée), afin de-produire de l'énergie électrique Le fluide de refroidissement est renvoyé ensuite dans la cuve 1 et dans le coeur 3 du réacteur par l'intermédiaire d'une conduite 11 formant une

branche froide qui contient la pompe 5 de circulation du fluide de re-

froidissement du réacteur Bien que la figure 1 ne représente qu'une boucle seulement du fluide de refroidissement du réacteur, comprenant une branche chaude, une branche froide, un générateur de vapeur et une

pompe de circulation du fluide-de refroidissement du réacteur, une cen-

trale utilisant un réacteur à eau sous pression peut comprendre jusqu'à

quatre boucles de ce genre, reliées toutes à la cuve du réacteur et ap-

pelées boucles primaires Un générateur 12 de pression maintient la pression du fluide de refroidissement du réacteur dans les boucles primaires.

Du fait que les générateurs 9 de vapeur sont incapables d'ab-

sorber la chaleur aux basses températures dans le circuit du fluide de refroidissement du réacteur lorsque, par exemple, le réacteur se trouve à l'arrét et à une température inférieure à 177 UC ( 350 O F), le fluide de refroidissement du réacteur est-réacheminé dans ces conditions dans une boucle d'élimination de la chaleur résiduelle qui comprend deux

vannes 13 motorisées, normalement fermées et montées en série, une pom-

pe-15 d'élimination de la chaleur résiduelle et un échangeur 17 de cha-

leur De nouveau, bien que la figure 1 ne représente qu'une boucle seu-

lement d'élimination de la chaleur résiduelle, deux boucles de ce genre sont prévues dans les installations industrielles, l'une ou les deux

boucles étant en fonctionnement selon l'état du réacteur et des échan-

geurs de chaleur.

La réactivité du coeur 3 du réacteur est contrôlée au moyen d'un système à barres de commande (non représenté) qui règle le degré

d'introduction de barres d'absorption des neutrons dans le coeur du ré-

acteur, et au moyen d'un système de réglage par le bore qui règle la

concentration en bore, absorbeur de neutrons, de l'eau de refroidisse-

ment du réacteur Une modification de position des barres de commande affecte immédiatement la réactivité du coeur du réacteur mais elle a tendance également à déformer axialement lacrépartition de la puissance

créée dans le coeur puisque ces barres sont introduites et retirées de-

puis la partie supérieure de la cuve 1 du réacteur D'autre part, du

fait qu'il agit par l'intermédiaire du fluide de refroidissement du ré-

acteur qui circule dans le coeur 1 du réacteur, le système de réglage par le bore ne déforme pas la répartition de la puissance; cependant,

étant donné le volume important de fluide de refroidissement du réac-

teur qui doit être boraté ou dilué, il faut un temps sensiblement long pour effectuer un changement de puissance Il en résulte que le système de commande par barres et le système de réglage par le bore sont normalement coordonnés, l'équilibre des variations de puissance à long

terme étant assuré par le système de réglage par le bore.

Dans le système de réglage par le bore, on produit de l'eau boratée ayant la concentration désirée en bore en mélangeant de l'acide borique conservé dans un réservoir 19 de stockage d'acide borique, avec de l'eau ayant une pureté chimique spécifiée, connue dans le commerce

sous le nom d'eau primaire et stockée dans un réservoir 21 d'eau pri-

maire Le mélange désiré est réalisé au moyen d'un mélangeur qui com-

prend deux vannes motorisées normalement fermées, de réglage du débit, c'est-à-dire une vanne 23 de réglage du débit d'acide borique et une vanne 25 de réglage du débit d'eau primaire, et un débitmètre 27 Le mélangeur comprend également un régulateur (non représenté), qui est sensible au débit indiqué par le débitmètre 27 et règle l'ouverture des

vannes motorisées 23 et 25 afin d'opérer le mélange eau de recharge-

ment-acide borique La vanne motorisée 62 est ouverte afin que l'eau de rechargement fortement boratée puisse être pompée par la pompe 15

d'élimination de la chaleur résiduelle-depuis le réservoir 55 de stoc-

kage d'eau de rechargement jusqu'à la cuve du réacteur en passant par la conduite 64 de remplissage Ce réservoir a un volume suffisant pour

contenir assez d'eau fortement boratée pour noyer le coeur sous plu-

sieurs mètres, plus de 3,658 m ( 12 pieds), d'eau bo'atée et remplir la cavité et le canal de rechargement Ce volume important d'eau fortement

boratée est utilisé également dans le système d'injection de sécurité.

Dans le cas o les conditions justifieraient une telle action détermi-

née par le système de mise en oeuvre des éléments calculés de sécurité, on injecte ce volume important d'eau-fortement boratée dans le circuit

du fluide de refroidissement du réacteur, par l'intermédiaire des van-

nes 57, au moyen de la pompe 35 de chargement afin de rendre rapidement le réacteur sous-critique Le système de réglage par le bore comprend également une conduite 59 reliant directement la pompe 31 de chargement

d'eau primaire a la pompe 35 de chargement d'eau fortement boratée.

Cette conduite 59 n'est pas utilisée en fonctionnement normal et elle est bloquée par une vanne 61 à commande manuelle, normalement fermée O Au cours du fonctionnement normal du système de réglage par

le bores, l'acide borique venant du réservoir 19 de stockage d'acide bo-

r Viue, est mélange avec l'eau primaire venant du réservoir 21 et injec-

té dans le circuit du fluide de refroidissement du réacteur au moyen de la pompe 35 de chargement La concentration en bore de l'eau chargée

est inférieure-a celle qui existe dans le circuit du fluide de refroi-

dissement du réacteur si la réactivité du réacteur doit être augmentée, et supérieure si la réactivité doit être diminuée Si une augmentation importante de réactivité est nécessaire, de l'eau primaire non boratée est introduite dans le circuit du fluide de refroidissement du réacteur

afin d'abaisser la concentration-totale en bore au niveau désiré Ce-

pendant, un dérangement du régulateur, de la vanne 23 de réglage du dé-

bit d'acide borique, de la vanne 25 de réglage du débit d'eauiprimaire,

de la pompe 29 de transfert de l'acide borique, du système 51 d'élimi-

nation du bore et (ou) de l'une quelconque des vannes 37, 45 ou 53,

peut se produire O La vanne 61 pourrait également s'ouvrir accidentelle-

ment, de sorte que l'opérateur pourrait faire une erreur en réglant le régulateur, ou une concentration incorrecte en acide borique pourrait

être obtenue par mélange dans-le réservoir 19 de stockage d'acide bori-

que L'un quelconque de ces événements pourrait conduire à une concen-

tration incorrecte en bore de l'eau boratée chargée dans le circuit du

fluide de refroidissement du réacteur et, dans certains cas, à l'in-

jection d'eau non boratée à un moment inapproprié Si l'erreur est

2531 022

telle que la concentration en bore est supérieure à ce qu'elle devrait

tre, il n'en résu Ite aucun domage permanent Cependant, si la concen-

tration en bore est inferileure a celle qui est e Xigée, pyovoquant de ce

fait une diminution de la concentration en bore du fluide de refroidis-

sement du réacteur, une réact-ivité positive sera introduite involontai-

renient dans le réacteur. Si une dilution duj bore s_ 2 produit lorsque le rz-cteur est en marche au approche dib nr de la c:'i Atîcit,_ alors qu'i se trouve pèacé sous le contrôle striectl de l 'opérateur, mre dilution involontaire du bore n'est pas très p"éoccupante pâme pluisieuris raisois Tout -10 d'abord, on retire les barres de cowi,, nkinde, ce qui fourniit un woyen

d'arra-t rapide du réacteur De plu-s, le syst'I Dest souple am; tempéra-

tures atteintes par le fliiide de rridse ent u réacteur lorsque ce

dernier est en marche car une bulle de vapeur est présente dans le gé-

nérateur 12 de pression et le nii'ieau di flumide dasce dernier est îrai-

sonnable, de sorte que les &-coups de pression pvquspar la dilu- tion du bore sont plus facilleffent supportés EP outre, les systéaies de réduction de la pressio 5 N édu Jluii de deriisetu écursont capables de prendre en charge les poiàitz tran-sitoires de xression qui ne seraient pas absorb-ées pair le gééaerde pression -De plus, de

nombreuses:alares so dt disix-iblies pour csonner il'oéat une re-

ponse approprié,e en temps vcvu u Enfin, les effets de diutions transi-

toires du bore en fonction nemzent sont limités par d'autres analyses.

lo-rmciîeiment, une dilution Mnonflontaire du bore ne peut se produire pendant le rechargement: car les vannes dans les circuits possibles

d'cueetde diluticrn so nt bloquées en position fgerîmée.

L"es difficultés dans le, cas d'une diluty-ion involontaire -du

bore surviennent lorsque _Ic réacteur est destiné à rester sous-

critique Ceci inclut Q le riode de fonctionnement en réserve iâ cliaud, dans l;equel la température moyenne du fluide de refroidissement du réacteur est égale ou supérieure à 177 'C ( 350 'F) envi on, aucune puissance thermique n'a-tant produite, le mode d'arréts à cha-d dans lequel cette température est comprise entre 93 'C ( 200 ' F) et 177 'C ( 350 'F), et le mode d'arrêt à froid dans lequel la température est égale ou inférieure à 93 'C ( 200 O F) Bien qu'une criticité involontaire conduise à des effets en concurrence qui provoqueront le retouy du réacteur à l 'état sous-critique et, s'il est laissé à lui-même, le feront osciller entre

l'état critique et l'état sous-critique à un faible niveau de puissan-

ce, cette situation crée une faible éventualité d'endommagement du com-

bustible dû à une erreur de concordance entre-la puissance et le flux,

et à une possibilité d'excursion en s'écartant de l'ébullition du flui-

de nucléaire Une telle situation crée également la possibilité d'une surpressurisation du circuit du fluide de refroidissemient du réacteur, du fait d'une augmentation rapide de la température et de l'incapacité du système de protection contre la surpressurisation de faire face aux

conditions transitoires.

La situation la plus grave en cas de dilution du bore se pro-

duit lorsque le système d'élimination-de la chaleur résiduelle est en

fonctionnement Ceci est dû au fait que le volume du fluide de refroi-

dissement du réacteur est relativement faible, de l'ordre de 70,80 à

113,27 m 3 environ ( 2 500 à 4 000 pieds cubes),lorsque le système d'éli-

mination de la chaleur résiduelle est en fonctionnement Les débits du système d'élimination de la chaleur résiduelle sont également faibles et, de manière caractéristique, compris entre 13 249 et 15 142 1/min environ ( 3 500 à 4 000 gpm), ce qui a pour conséquence des temps longs

de passage dans les boucles (par exemple de 5 à 7 minutes environ).

Cette situation crée une éventualité d'écoulement lent de l'eau de di-

lution et un mélange limité, ayant pour résultat des variations brus-

ques de réactivité, au lieu d'un écoulement et d'un mélange uniformes avec des variations régulières de réactivitée La dilution du bore, lorsque le système d'élimination de la

chaleur résiduelle est en fonctionnement, présente un autre inconvé-

nient dû au fait que, aux faibles températures du fluide de refroidis-

sement du réacteur rencontrées dans ces circonstances, le circuit dufluide de refroidissement manque de souplesse; il est soit continu ou

seule une bulle dure (par exemple d'azote) est présente dans Te généra-

teur de pression En outre, les systèmes ce réduction de la pression sont virtuellement incapables d'absorber les pressions transitoires créées car ils sont conçus pour répondre à d'autres événements De même, lorsque le système d'élimination de la chaleur résiduelle est en

fonctionnement, la pression dans le circuit du fluide de refroidisse-

ment du réacteur est faible, ce qui a pour conséquence des débits éle-

253 1802

vés d'injection par les pompes centrifuges de chargement, de manière

* caractéristique entre 1 135,6 et 1 892,7 1/min environ ( 300 à 500 gpm).

Enfin, lorsque le système d'élimination de la chaleur résiduelle est en

fonctionnement, la marge d'arrêt du réacteur est faible (de manière ca-

ractéristique, égale à environ 1 X).

Dans la production d'une réponse à une dilution du bore lors- que le réacteur est sous-critique, une autre considération doit être faite: la Commission -des Réglementations Nucléaires a imposé qu'un

laps de temps de 15 minutes soit admis avant que l'opérateur puisse ré-

pondre à un signal d'alarme Dans le cas d'une réponse automatique, on doit prévoir seulement un temps suffisant pour que le système puisse

déclencher une réponse Cependant, dans l'un ou l'autre cas, la détec-

tion de l'événement doit se faire suffisamment tôt pour que des mesures puissent être prises, soit manuellement ou automatiquement, en vue

d'empêcher le passage du réacteur à la criticité.

Certains des facteurs qui doivent être pris en considération dans la réponse à un événement conduisant à un retour involontaire à la criticité, sont illustrés à la figure 2 qui représente graphiquement la variation du flux neutronique en fonction du temps lors d'une approche

caractéristique de la criticité, en supposant une introduction de réac-

tivité positive constante, qui se produirait par exemple pendant une

dilution involontaire du bore Comme le montre le diagramme, la fonc-

tion est fondamentalement exponentielle, avec une légère augmentation du flux au début dé l'événement, suivie d'une rapide élévation du flux

conduisant à la criticité Bien que la sélection d'une variation impor-

tante du flux, utilisée pour déclencher une alarme, permette de faire la différence, de manière évidente, entre une approche involontaire de la criticité et l'état prévu de fonctionnement sous-critique continu,

une telle variation du flux ne se produit que tard au cours de l'événe-

ment et, par conséquent, n'accorderait pas un temps suffisant pour dé-

clencher un signal d'alarme qui empêcherait le passage du réacteur à l'état critique Cette considération est particulièrement vraie dans le cas d'une réponse manuelle, lorsque la Commission des Réglementations Nucléaires a imposé que s'écoule un laps de temps de 15 minutes suivant le déclenchement de l'alarme, pendant lequel l'opérateur est supposé ne prendre aucune mesure Une variation quelque peu plus faible du flux

sera détectée plus tôt au cours de l'événement; cependant, il est pos-

sible que, pendant la période étendue de temps nécessaire à une telle variation de flux, des paramètres tels que la température du circuit du fluide de refroidissement du réacteur, puissent varier du fait du réchauffement ou du refroidissement du circuit, ce qui complique les calculs Par ailleurs, si la variation sélectionnée du flux utilisée pour déclencher le signal d'alarme est trop faible, de fausses alarmes pourraient être créées en raison du faible rapport signal/bruit et de la nature aléatoire, aux faibles taux de comptage, du signal de flux

neutronique utilisé pour mesurer la marge d'arrêt du réacteur.

D'autres facteurs sont à considêrer dans la production du si-

gnal d'alarme en cas d'approche involontaire de la criticité Ce sont les débits de la pompe 31 de chargement d'eau primaire et de la pompe de chargement d'eau fortement boratée, le nombre et le montage des pompes de chargement utilisables lorsque le système d'élimination de la

chaleur résiduelle est en fonctionnement, et les marges d'arrêt du ré-

acteur A partir de ces facteurs, on a déterminé qu'il était possible d'injecter dans le coeur du réacteur de 1 514,2 à 1 892,7 1/min ( 400 i

500 gpm) d'eau pure depuis le système de réglage par le bore.

On se reportera de nouveau à la figure 2 Le point A repré-

sente la réactivité du réacteur à un certain moment de l'événement La position de ce point sur la courbe est fonction de la marge d'arrêt du

réacteur et du moment dans l'événement On a admis, d'après les consi-

dérations ci-dessus, qu'une technique appropriée à la détection d'une approche involontaire de la criticité, consisterait à sélectionner un

facteur de multiplication pour le taux de comptage du flux qui se pro-

duirait dans la région du point B représenté sur la courbe Une analyse empirique a révélé qu'une augmentation du taux de comptage du flux,

d'un facteur égal à 2, au cours d'une période de dix minutes, fourni-

rait cette réponse Une telle réponse permet la détection d'événements avec une période du réacteur (c'est-à-dire le temps nécessaire pour que

la réactivité augmente d'un facteur "e") d'environ 800 secondes.

Le choix d'un doublement du taux de comptage du flux en 10 minutes, comme critère de détection d'une approche involontaire de la criticité, a été ensuite examiné à la lumière des critères de temps imposés par la Comnission des Réglementations Nucléaires A cet effet,

25318 002

les courbes indiquant le rapport inverse du taux de comptage a la con-

centration C Ben bore du circuit du fluide de refroidissement du réac-

teur, pour plusieurs centrales existantes, ont 6 té transformées en courbes indiquant le rapport inverse du taux de comptage au temps pour un groupe de vitesses de dilution, initialement 10, puis 5 et 2,5 ppm/miin Les données relatives au rapport inverse du taux de comptage au temps ont éte ensuite reportees pour former une famille de courbes basées sur la vitesse de dilution pour chacune des centrales dont on

avait recueilli les données ( 2 centrales a deux boucles, 2 à trois bou-

cles et 2 à quatre boucles, aboutissant à des données caractéristiques

pour les approches de criticité aussi bien du coeur initial que du re-

chargement)o A l'aide de ces courbes, on a verifi& qu'on pouvait utili-

ser une alarme créée lors du doublement du flux, pour satisfaire aux

critères de temps imposés par la Comiissioi des Réglementations Nucli-

aires Les paramètres critiques utilisés a ce point ont été l'efficaci-

té du bore et la marge d'arret On a dquermin que des efficacités du bore de 14 pcm/ppm et de 12,5 pcm/ppm (selon la temperature du circuit

du fluide de refroidissement du rèacteue paraissaientl être raisonnable-

ment prudentes On les a utilisées pour déterrminer des points de départ sur les courbes pour des marges d'arrêet de 1, 1,5, 1,77 et 2 %AK/K

(exigences caractéristiques de marge d'arrêt pour interruption transi-

toire de vapeur ou à l'état froid).

En prenant ces différentes marges d'arret, on a déterminé le temps qui s'est écoulé entre le doublement du flux et la criticité et

on l'a compare aux criteres de la Commission des Réglementations Nuclé-

aires pour chacune des trois vitesses de dilution A la suite de ces comparaisons, on a conclu a la nécessité des limites suivantes:

Centrales de catégorie 1 Centrales avec système automatique de répon-

se. En réserve à chaud et arrêt à chaud marge d'arrêt 1,6 % AK/K vitesse de dilution 20 ppm/min Arrêt à froid marge dlarrêt: 1 % K/K vitesse de dilution 20 ppm/min Centrales de catégorie 2 Centrales avec réponse de l'opérateur après déclenchement d'une alarme : En réserve à chaud et arrêt à chaud

(si le système d'élimi-

nation de la chaleur ré-

siduelle n'est pas en fonctionnement) marge d'arrêt 1,6 % 2 àK/K 4 boucles 1,77 % AK/K 3 boucles 2 % i K/K 2 boucles vitesse de dilution 3 ppm/min

Arrêt à froid et arrêt -

à chaud

(si le système d 'élimi-

nation de la chaleur ré-

siduelle n'est pas en fonctionnement) marge d'arrêt 1,6 % i K/K 4 boucles 1,77 X% K/K 3 boucles 2 % j K/K 2 boucles vitesse de dilution v 2,5 ppm/min

Les vitesses de dilution indiquées ci-dessus sont les vites-

ses maxima de dilution involontaire qui peuvent être détectées en temps voulu pour satisfaire aux critères de temps imposés par la Commission

des Réglementations Nucléaires dans les diverses conditions indiquées.

Les vitesses de dilution indiquées pour les centrales de catégorie 1 ont pour résultat de déclencher une réponse du système environ 2 à 3 minutes avant que la criticité soit atteinte O Ce temps est suffisant

dans le cas d'une réponse automatique donnée de la manière décrite ci-

dessous Les vitesses de dilution indiquées pour les centrales de caté-

gorie 2 ont pour conséquence le déclenchement d'une alarme environ 17 à

18 minutes avant que la criticité soit atteinte, ce qui donne à l'opé-

rateur le temps nécessaire pour prendre des mesures correctives Les recherches ont montré également que, bien qu'un doublement du taux de comptage du flux neutronique en 10 minutes constitue le critère préféré de détection d'une approche involontaire de la criticité, des facteurs de multiplication compris entre 1,5 et 3 environ et des intervalles de

temps de 5 à 20 minutes environ donnent des résultats satisfaisants.

La mesure du flux neutronique, qui fournit une indication sur 16. l'état de la marge d'arrêt du réacteur, est effectuée par un système d'instrumentation nucléaire Du fait que le flux neutronique varie d'un

facteur de 1 i décades environ, de l'arrêt à froid à la pleine puissan-

ce, le système d'instrumentation nucléaire se divise en trois ensembles

d'instruments adaptés chacun pour donner une indication du flux neutro-

nique dans un domaine spécifique de puissance du réacteur Les instruments du domaine des sources couvrent l'extrémité inférieure de l'échelle depuis 10 9 pour cent environ de la puissance jusqu'à 10 pour cent environ, les instruments du domaine intermédiaire fournissent -4 les lectures depuis 10 pour cent environ de la puissance jusqu'à 10

pour cent environ, et les instruments du domaine de puissance qui pren-

nent le relais au-dessus de 100 pour cent de la puissance (avec un che-

vauchement d'environ deux décades entre les domaines) Les instruments

du domaine des sources comprennent un détecteur de neutrons au BF 3 (tri-

fluorure de bore) placé dans un blindage en béton contigu à la cuve du

réacteur Chaque neutron passant dans le tube rempli de gaz du détec-

teur au BF 3 crée une impulsion Comme le représente le schéma fonction-

nel de la figure 3, le détecteur 63 est connecté à un préamplificateur Celui-ci convertit les impulsions en un signal analogique qui est amplifié dans un amplificateur 67 étalonné pour produire un signal de sortie logarithmique Tous ces éléments du système de mesure du flux neutronique sont déjà prévus dans la centrale pour la surveillance et

la commande du fonctionnement du réacteur.

Comme on l'a déjà mentionné précédemment, l'utilisation de ce signal pour la détection d'une approche involontaire de la criticité au début de l'événement, soulève plusieurs difficultés Tout d'abord, le

détecteur 63 crée des impulsions et les données statistiques sur le si-

gnal d'impulsion créé sont très maigres aux faibles taux de comptage

rencontrés lorsque le réacteur est à l'arrêt ou en réserve à chaud En-

suite, le signal venant du préamplificateur 65 est très bruyant Enfin, la longue constante de temps prévue pour l'événement, combinée avec

l'étalonnage logarithmique de l'amplificateur 67, signifie que la vari-

ation d'amplitude du signal de sortie, pendant les phases de début de l'événement, sera faible pendant de longues périodes de temps Afin

d'éviter de fausses alarmes, on doit donc choisir un facteur de multi-

plication suffisamment grand pour surmonter ces difficultés, sans ou-

blier qu'un facteur de multiplication trop grand créera une alarme trop tardive au cours de l'événement, comme on l'a mentionné ci-dessus Ces considérations ont conduit à choisir un facteur de multiplication

compris entre 1,5 et 3 et, de préférence, égal à 2 environ O -

Afin d'éliminer les défauts du signal de taux de comptage du flux neutronique, créé à la sortie de l'amplificateur 67, on a décidé qu'un signal représentant le taux de comptage du flux neutronique moyen pendant une période incrémentielle de temps, serait créé pour chaque

point dans le temps ou un signal de taux de comptage du flux est néces-

saire On crée les signaux de taux de comptage du flux neutronique moyen en échantillonnant le signal analogique de taux de comptage du flux à plusieurs moments pendant chaque période incrémentielle de temps, en faisant un total cumulé des valeurs du signal à chaque moment

et en divisant ensuite ce total par lé nombre de moments échantillon-

nés Pour des raisons pratiques et afin de diminuer l'importance du bruit du signal, on a choisi des périodes incrémentielles de temps d'une minute qui cadrent bien avec l'intervalle de 10 minutes choisi

pour le doublement du signal de taux de comptage du flux.

Les microcalculateurs généralement disponibles sont idéaux pour créer le signal de taux de comptage du flux neutronique moyen et une alarme lors d'une augmentation de'ce signal, au moyen du facteur de

multiplication choisi et dans l'intervalle de temps choisi O -Leur sou-

plesse d'emploi autorise également une modification des paramètres

choisis, si on le désire, avec un minimum d'effort Dans l'exemple par-

ticulier de réalisation de la présente invention qui a été mis au point, un microcalculateur 69, représenté à la figure 3, échantillonne le signal analogique d taux de comptage du flux venant de l'amplificateur 67 et convertit ce signal en un signal numérique afin de calculer la valeur moyenne 4 096 fois par minute ou toutes les 14,64 microsecondes Le nombre d'échantillons utilisés en moyenne dans le calcul du signal de taux de comptage du flux neutronique moyen, n'est pas fixe mais on doit le choisir suffisamment grand pour assurer un

résultat représentatif.

Le microcalculateur 69 crée de manière répétitive et continue

un signal de taux de comptage du flux neutronique moyen, à chaque minu-

te, et il stocke les dix dernières valeurs dans une file d'attente A

la fin de chaque minute, la dernière valeur du signal de caux de comp-

tage du flux neutronique moyen est comparée avec la valeur créée 10 mi-

nutes plus tôt et, si elle a augmenté du facteur de multiplication

choisi, un signal d'alarme est créé Dans l'exemple préféré de réalisa-

tion de la présente invention, cette dernière valeur est comparée éga-

lement avec les valeurs stockées pendant chacune des 10 dernières minutes, un signal d'alarme étant créé si elle dépasse l'une d'entre elles du facteur de multiplication choisi Ces dispositions permettent la création d'un signal d'alarme, dès le début, pour des vitesses très

élevées de dilution et elles fournissent également une meilleure pro-

tection à la suite d'un arrêt du r Eacteur On comprendra mieux cette dernière caractéristique en se reportant à la figure 4 qui représente

une courbe de décroissance caractéristique du flux neutronique en fonc-

tion du temps qui suit un arrêt du réacteur Conez on peut le voir, le flux neutronique chute exponentieliement et, par exemple, une heure après l'arrêt, il subsiste une certaine vitesse de décroissance Ainsi, sur une période de 10 minutes par exemple, le dernier signai du flux

moyen serait inférieur au premier signal dans des circonstances norma-

les Par conséquent, les conditions qui pourraient conduire àune ap-

proche involontaire de la criticité ne seraient détectées qu'à un stade

très avancé de l'événement Par ailleurs, la comparaison du dernier si-

gnal de taux de comptage du flux neutronique moyen avec le signal cor-

respondant pour chacune des 10 dernières minutes, créerait un signal

d'alarme beaucoup plus tot En fait, on a déterminé que la présente in-

vention permettra de détecter une dilution involontaire du bore dans les limites de temps imposées par la Commission des Réglementations

Nucléaire, moins d'une heure après un arrêt du réacteur.

On se reportera de nouveau à la figure 3 Tout signal d'alar-

me créé par le microcalculateur 69 est envoyé à un système 71 de pro-

tection qui présente une indication de l'alarme à l'opérateur et qui crée, dans le cas d'une réponse automatique, des signaux qui commandent les dispositifs d'entraînement des moteurs afin de fermer les vannes 39 du système de réglage chimique et de volume, et ouvrir les vannes 55 du réservoir de stockage de l'eau de rechargement Dans la plupart des cas, ces manoeuvres interrompent complètement l'écoulement d'eau diluée

vers le réacteur et introduisent, dans le circuit du fluide de refroi-

253 1802

dissement du réacteur, l'eau fortement boratée venant du réservoir de stockage de l'eau de rechargement, afin d'assurer que le réacteur reste

sous-critique Tout ceci, y compris la purge de l'eau pure des condui-

tes vers le circuit du fluide de refroidissement du réacteur, se pro-

duit en moins de deux à trois minutes environ après la création du si-

gnal d'alarme par le microcalcultateur Si la source d'eau de dilution est branchée par l'intermédiaire de la vanne 61 à commande manuelle, dont la position normalement fermée a été modifiée pour une raison quelconque, le fonctionnement du système automatique ne bloquera pas l'écoulement; cependant, la dimension de la conduite 59, comparée à

celles des conduites venant du réservoir de stockage de l'eau de re-

chargement, est tellement petite que l'eau fortement boratée de rechar-

gement continue a maintenir effectivement le réacteur à l'état sous-

critique Le système illustré à la figure 3 est l'un des deux systèmes identiques redondants qui assurent la protection contre une approche

involontaire de la criticité.

La microcalculateur 69 de la figure 3 est représenté plus en détail à la figure 5 Le coeur de l'unité est un microcalculateur 73 à

puce unique et qui contient une unité centrale de traitement, une mé-

moire morte programmable pour les instructions du programme, une mémoi-

re à accès sélectif pour mémoriser les données, un matériel d'entrées-

sorties parallèles et une horloge de matériel Toutes les opérations effectuées par le microprocesseur 69, y compris la commande de tous les

périphériques et de tous les calculs, sont commandes par le microcal-

culateur 73 Ses actions résultent de l'exécution d'un jeu d'instruc-

tions détaillées ci-dessous et qui sont stockées dans sa mémoire morte

programmable rémanente Parmi les exemples de microcalculateurs appro-

priés à la présente invention, on citera les microcalculateurs Intel 8748, 8749 ou 8751 choisis en fonction du nombre de mémoires mortes, de

mémoires a accès sélectif et de la longueur du jeu d'instructions né-

cessaires Un microcalculateur Intel 8748 a été utilisé dans l'unité initiale Un cristal 75 fournit les impulsions de synchronisation au microcalculateur. Le microprocesseur 69 comprend un multiplexeur 77 d'entrée

qui sélectionne, sous le contrôle du microcalculateur, le signal exté-

rieur à introduire dans le microcalculateur Les entrées comprennent le signal analogique différentiel de taux de comptage du flux neutronique venant de l'amplificateur 67, un signal d'interdiction et de validation du domaine des sources qui indique si les instruments du domaine des sources sont utilisés, une tension variable qui représente le facteur

de multiplication à utiliser dans la comparaison des valeurs successi-

ves du signal de taux de comptage du flux neutronique, et une tension constante utilisée pour l'étalonnage comme on le décrira plus loin Le signal analogique de taux de comptage du flux neutronique, qui varie entre O et 10 volts, et le signal d'interdiction et de validation, qui est à 0 ou à 10 volts, sont appliqués l'un et l'autre au multiplexeur

par l'intermédiaire d'amplificateurs 79 d'entrée Cette tension varia-

ble peut être réglée afin de faire varier le facteur de multiplication dans une plage comprise entre 1,5 et 3 environ Du fait que le signal analogique de taux de comptage du flux neutronique est logarithmique, on peut appliquer le facteur de multiplication aux premiers signaux de taux de comptage du flux neutronique moyen en l'ajoutant aux valeurs

stockées lorsqu'on les compare avec la dernière valeur.

Le signal d'entrée sélectionné est appliqué au microcalcula-

teur par l'intermédiaire d'un circuit 81 d'échantillonnage et de main-

tien et d'un comparateur 83 Ces éléments sont utilisés, ainsi qu'un convertisseur numérique-analogique 85 de sortie, pour effectuer une

conversion analogique-numérique des signaux d'entrée pour qu'ils puis-

sent être utilisés par le microcalculatàur Ce dernier effectue cette

conversion par approximations successives en attribuant une valeur nu-

mérique au signal d'entrée analogique, en convertissant cette valeur attribuée en un signal analogique dans le convertisseur 85 et en le comparant, dans le comparateur 83, avec le signal analogique mémorisé

dan's le circuit 81 d'échantillonnage et de maintien La valeur attri-

buée est corrigée en plus ou en moins selon que le signal analogique

est respectivement supérieur ou inférieur a la valeur attribuée précé-

demment et le cycle se répète jusqu'e ce que la valeur attribuée abou-

tisse à la valeur du signal d'entrée analogique.

Le microcalculateur 69 comprend également un circuit 87 de

mise sous tension qui fournit un signal d'initialisation au microcalcu-

lateur 73 et une horloge 89 de temps mort Cette dernière est remise à zéro chaque fois que le programme créant le signal d'alarme est exécuté

253 -802

par le microcalculateur Si ce dernier entre accidentellement dans un état inconnu du fait du bruit dans les lignes d'alimentation, ou dans n'importe quel autre état imprévu, de sorte que le programme créant le signal d'alarme n'est pas exécuté de manière répétitive comme il est prévu qu'il le soit, l'horloge 89 de temps mort mesurera le dépassement du temps imparti et enverra un signal au circuit 87 de mise sous ten-

sion afin de réinitialiser le microcalculateur.

La sortie principale du microcalculateur 73 est constituée de deux commandes 91 a relais qui sont désexcitées lorsqu'un signal d'alarme est créé par le microcalculateur afin de signaler au système

71 de protection (figure 3) qu'une approche involontaire de la critici-

té est en cours de réalisationo Une deuxième sortie est prévue par

l'intermédiaire d'un convertisseur numérique-analogique 85, d'un cir-

cult 93 d'échantillonnage et de maintien et d'un amplificateur 95 de sortie Le signal analogique à cette sortie représente la différence

entre la valeur du dernier signal de taux de comptage du flux neutroni-

que moyen et la valeur stockée 10 minutes auparavant Le microcalcula-

teur 69 comprend également un affichage numérique local 97 Un sélec-

teur rotatif 99 à seize positions détermine l'information à afficher.

Le choix des affichages comprend: les signaux analogiques d'entrée, le nombre d'échantillons moyens stockés (jusqu'à dix), la position pendant la période moyenne d'une minute, certaines des valeurs moyennes pendant

une minute et une position sans information pour éteindre l'affichage.

La position du sélecteur 99 détermine également les tests de

diagnostics qui doivent être effectués par le microcalculateur.

Les fonctions décrites ci-dessus et attribuées au microcalcu-

lateur 73 sont exécutées au moyen de l'algorithme illustré par les or-

ganigrammes des figures 6 et 7 L'algorithme est divisé en deux parties : le programme principal qui initialise le compteur et tourne ensuite sur une boucle sans fin, et le sous-programme d'interruption de temps qui interrompt le programme principal-toutes les 14,64 msec ( 4 069 fois par minute), afin de suivre la progression du temps et grouper les échantillons en créant la tension moyenne d'entrée Le programme principal, représenté par l'organigramme de-la figure 6, est lancé en réponse à un signal venant du module 87 de mise sous tension (figure 5) et il commence par l'initialisation des paramètres comme l'indique la

case 101 Cette initialisation comprend: remise à zéro d'un total cu-

mulé des échantillons d'entrée du signal de taux de comnptage du flux

neutronique, réglage sur une minute de la position du compteur une mi-

nute, mise à zero d'un drapeau indiquant qu'une minute s'est écoulée, remise à zéro d'un indicateur à partir du bas de la liste des valeurs moyennes relevées chaque minute et stockées, et réglage de la sortie pour indiquer l'absence d'alarme jusqu'à ce que des données suffisantes aient été analysées afin de déterminer la condition vraie Ensuite, le programme principal lance certains prograri-ies de diagnostic, selon la nécessité, comme l'indique la case 103 Le seul test de diagnostic effectué lorsque le systèime est connecte au calculateur, est un test d'étalonnage de la conversion numérique-analogique Ce test est fait par comparaison de la valeur convertie de la tension constante appliquée à la dernière entrée analogique du multiplexeur, avec une valeur mémorisée pour cette tension La différence est appliquée sous forme de décalage, à tous les signaux analogiques d'entrée D'autres tests de diagnostic effectu Tés en autonome comprennent des tests d'écart permanent pour les circuits d'échantilonnage et de maintien, et un programme de diagnostic en escalier qui vérifie la conversion numérique analogique de la microprogrammation L'initialisation est complétée par une mise en route de l'horloge pour le programme d'interruption et une validation de ce dernier, conie l'indique la case 105. A la suite de l'initialisation, le programme principal de la figure 5 tourne sur une boucle sans fin en remettant à zéro l'horloge 89 de temps mort, comi:e l'indique la case 107 Comme on 'a mentionné précédemment, le temps r 6 glé dans l'horloge de temps mort dépasse de beaucoup le temps nécessaire a chaque répétition de la boucle sans fin, de sorte que normalement l'horloge de temps mort ne mesurera jamais de

dépassement du temps imparti Si, cependant, le programme est interrom-

pu de manière imprévue pour une raison quelconque, l'horloge de temps

mort mesurera le dépasse Fient du temps imparti et réinitialisera le pro- gramme principal de la manière décrite précédemment Après le réglage de-

l'horloge de temps mort, les valeurs sélectionnées par le sélecteur rotatif 99 (voir figure 5) sont visualisées sur l'affichage numérique

local 97, comme l'indique la case 109 Un contrôle est effectué ensui-

te, comme indiqué à la case 111, pour voir si un laps de temps d'une

minute ne s'est pas encore écoulé Ce laps de temps d'une minute repré-

sente l'intervalle de temps pendant lequel le sous-programme d'inter-

ruption rassemble les données pour créer les signaux de taux de comp-

tage du flux neutronique moyen Si une minute ne s'est pas écoulée, le programme principal revient à la case 107 et remet à zéro'l'horloge de temps mort afin de recommencer la boucle Si une minute s'est écoulée, le dernier signal de taux de comptage du flux neutronique moyen est

comparé avec chacun des signaux des valeurs moyennes précédentes stoc-

kées Après la première minute de fonctionnement, seul un signal moyen est disponible et aucune comparaison ne peut être faite Pour chaque minute supplémentaire de fonctionnement, un autre signal de valeur

moyenne devient disponible pour une comparaison jusqu_'à ce que 10 va-

leurs antérieures aient été retenues Si le dernier signal de taux de

comptage du flux neutronique moyen dépasse l'une quelconque des ancien-

nes moyennes disponibles, du facteur de multiplication choisi ou plus,

comme l'indique la case 115, une alarme est créée, case 117, par la mi-

se hors tension des sorties 91 des commandes à relais du microcalcula-

teur Si le dernier signal de la valeur moyenne est inférieur à tous

ceux des anciennes valeurs multipliées par le facteur de multiplica-

tion, l'alarme est supprimée, comme indiqué à la case 119, par l'appli-

cation d'une tension aux commandes à relais Dans l'un ou l'autre cas, le programme principal revient à la case 107 pour commencer une autre répétition de la boucle sans fin Du fait que les signaux analogiques

de taux de comptage du flux neutronique, utilisés par le microcalcula-

teur pour créer les signaux de taux de comptage du flux neutronique

moyen, sont logarithmiques, on peut effectuer facilement la multiplica-

tion en ajoutant le logarithme du facteur de multiplication à chacune

des anciennes valeurs.

Toutes les 14,64 millisecondes, lorsque l'horloge interne du microcalculateur mesure un dépassement du temps imparti, le programme d'interruption de temps représenté à la figure 7 est lancé, à la suite de quoi l'horloge est remise à zéro et le compteur de minute progresse, comme l'indique la case 121 La différence entre la dernière valeur

moyenne et la valeur moyenne stockée la plus ancienne est transmise en-

suite, par l'intermédiaire du convertisseur numérique-analogique 85, au circuit 93 d'échantillonnage et de maintien toutes les 3,75 secondes,

253 1802

comme l'indique la case 123 Si une minute s'est écoulée lorsque le contrôle indiqué à la case 125 est effectué, un drapeau est mis à zéro, case 127, pour indiquer la finr de la minute et le total cumulé pendant

la dernière minute est divisé par 4 096, qui est le nombre d'échantil-

lons additionnés, afin que l'on puisse obtenir la dernière valeur

moyenne du signal du taux de comptage du flux neutronique Cette derni-

ère valeur moyenne est alors introduite en haut-de liste, chacune des

* autres valeurs étant décalées d'une position vers le bas et la plus an-

cienne valeur étant éliminée Lorsque ces pas du programme ont été effectués, le total cumulé est effacé, comme indiqué-à la case 129, en

préparation du calcul de la moyenne suivante effectué sur une minute.

Que la minute se soit écoulée ou non lorsque le contrôle in-

diqué à la case 125 est effectué, la nouvelle valeur instantanée du si-

gnal analogique de taux de comptage du flux neutronique est introduite

dans l'ordinateur, comme indiqué a la case 131, et ajoutée au total cu-

mulé Ceci nécessite l'uti-1 i-sation de la conversion analogique numé-

rique de la microprogrammation et, par conséquent, l'utilisation de re-

gistres et d'accès dans le microordinateur en association avec la con-

version de la manière décrite ci-dessus Du fait que le programme prin-

cipal utilise également la conversion numérique-analogique de la micro-

programmation pour fournir des indications sur l'affichage numérique

local 97 des divers signaux d'entrée lors de la sélection par le sélec-

teur rotatif 99, il faut mémoriser les contenus des registres et des

sorties utilisés par le programme principal lorsque ce'dernier est in-

terrompu par le sous-programme d'interruption de temps Par conséquent,

le sous-programme d'interruption de temps rétablit dans tous les regis-

tres et accès les valeurs du programme principal, comme indiqué à la

case 133, afin de retourner au programme principal.

Ainsi, la présente invention permet de contrôler le signal de taux de comptage du flux neutronique, de créer des signaux de taux de comptage du flux neutronique moyen, calculés sur une minute, de les stocker pendant dix minutes, de comparer la dernière valeur moyenne

avec chacune des valeurs stockées et de créer une alarme si cette der-

nière valeur moyenne dépasse l'une quelconque des valeurs stockées de plus d'un facteur préréglé de multiplication La technique décrite pour l'utilisation d'un microcalculateur permet d'éliminer les défauts du signal statistiquement insuffisant et intrinsèquement bruyant, créé par le détecteur de flux neutronique dans le domaine des sources Le microcalculateur permet également de régler le facteur de multiplication simplement en réglant l a valeur de la tension de référence à l'entrée et les autres paramètres peuvent être modifiés par

des réglages directs effectués dans le programme.

La présente invention n'est pas limitée aux exemples de réalisation qui viennent d'etre décrits, elle est au contraire susceptible de variantes et de modifications qui apparaîtront

à l'hommede l'art.

IDENTIFICATION DES NUMEROS DE REFERENCE UTILISES SUR LES DESSINS

LEGENDE RE Fe N FIGURE

CUVE DU REACTEUR 1 1

GENERATEUR DE VAPEUR 9 1

RESERVOIR DE STOCKAGE D'ACIDE BORIQUE 19 1

RESERVOIR D'EAU PRIMAIRE 21 i

RESERVOIR DE REGLAGE DU VOLUME 3 1

SYSTEME D'ELIMINATION DU BORE 51 1

RESERVOIR DE STOCKAGE D'EAU DE RECHARGEMENT 55 1

DETECTEUR DANS LE DOMAINE DES SOURCES 63 3

PREAMPLIFICATEUR 65 3

AMPLIFICATEUR 67 3

SYSTEME MICROCALCULATEUR 69 3

SYSTEME DE PROTECTION 71 3

MULTIPLEXEUR 77 5

CIRCUIT D'ECHANTILLONNAGE ET DE-r MAIN Ti EN 81 5

COMPARATEUR 83 5

CONVERTISSEUR NUMERIQUE-ANALOGIQUE 85 5

CIRCUIT DE MISE SOUS TENSION 87 5

HORLOGE DE TEMPS MORT 89 5

AFFICHAGE NUMERIQUE 97 5

SELECTEUR ROTATIF 99 5

INITIALISATION DES PARAMETRES 101 6

LANCEMENT DE CERTAINS PROGRAMMES DE DIAGNOSTIC

SELON NECESSITE 103 6

MISE EN ROUTE DE L'HORLOGE ET VALIDATION DU

PROGRAMME D'INTERRUPTION 105 6

REMISE A ZERO DE L'HORLOGE DE TEMPS MORT 107 6

AFFICHAGE VALEUR SELECTIONNEE 109 6

UNE MINUTE S'EST-ELLE ECOULEE 111 6

COMPARAISON DE LA NOUVELLE MOYENNE AVEC TOUTES

LES ANCIENNES MOYENNES 113 6

LA NOUVELLE MOYENNE EST-ELLE TROP ELEVEE 115 6

CREATION DE L'ALARME 117 6

SUPPRESSION DE L'ALARME 119 6

REMISE A ZERO DE L'HORLOGE ET PROGRESSION DU

COMPTEUR DE MINUTE 121 7

TRANSMISSION DE LA DIFFERENCE ENTRE LA NOUVELLE

MOYENNE ET LES ANCIENNES MOYENNES

TOUTES LES 3,75 SECONDES 123 7

UNE MINUTE S'EST-ELLE ECOULEE 125 7

IDENTIFICATION DES NUMEROS DE REFERENCE UTILISES SUR LES DESSINS

LEGENDE REF N FIGURE

MISE A ZERO D'UN DRAPEAU INDIQUANT LA FIN

DE LA MINUTE, DIVISION DU TOTAL CUMULE

PAR 4 096 AFIN DE CREER LA DERNIERE -

VALEUR MOYENNE, INTRODUCTION EN HAUT -

DE LISTE 127 7

EFFACEMENT DU TOTAL CUMULE DE L'ENTREE

ANALOGIQUE 129 7

INTRODUCTION DE LA NOUVELLE'VALEUR ET ADDITION

AU TOTAL CUMULE 131 7

RETABLISSEMENT DES VALEURS DU PROGRAMME

PRINCIPAL DANS TOUS LES REGISTRES ET ACCES 133 7

R E Y E N D I C A T I O N S

1 Procédé pour détecter l'approche involontaire de criticité d'un réacteur de centrale électronucléaire, caractérisé en ce qu'il comprend les stades de production d'un signal de taux de comptage du flux neutronique instantané, représentant le flux neutronique instanta-

né dans le réacteur; production, à partir de ce signal de taux de comp-

tage du flux neutronique instantané, d'un premier et d'un deuxième si-

gnaux de taux de comptage du flux neutronique moyen, représentant le

signal de taux de comptage du flux neutronique moyen pendant une premi-

ère et une deuxième périodes incrémentielles de temps séparées par un

intervalle de temps préréglé; comparaison de ce premier et de ce deuxi-

ème signaux de taux de comptage du flux neutronique moyen; et création d'un signal d'alarme lorsque le deuxième signal de taux de comptage du flux neutronique moyen dépasse le premier signal de taux de comptage du

flux neutronique moyen d'au moins un facteur de multiplication présé-

lectionné. 2 Procédé suivant la revendication 1, caractérisé en ce que

cet intervalle de temps préréglé est un multiple de la période incré-

mentielle, et en ce que le procédé comprend en outre les stades de cré-

ation répétitive et continue des signaux de taux de comptage du flux neutronique moyen; stockage du dernier de ces signaux dont le nombre est égal à ce multiple; et sélection, comme deuxième signal de taux de

comptage du flux neutronique moyen, du premier de ces signaux créés.

3 Procédé suivant la revendication 2, caractérisé en ce que le dernier signal de taux de comptage du flux neutronique moyen est

comparé à chacun des signaux stockés de taux de comptage du flux neu-

tronique moyen; et en ce que le signal d'alarme est créé lorsque ce dernier signal de taux de comptage du flux neutronique moyen dépasse

l'un quelconque des signaux stockés de taux de comptage du flux neutro-

nique moyen d'au moins ce facteur de multiplication.