ES2206814T3 - Procedimiento y dispositivo para el funcionamiento de un reactor en estado inestable. - Google Patents

Abstract

PARA PODER AMORTIGUAR UN ESTADO TRANSITORIO INESTABLE DE UN REACTOR DE AGUA EN EBULLICION SE MIDE EL FLUJO DE NEUTRONES OSCILANTE, Y DESPUES DE REBASAR UN PRIMER VALOR LIMITE SE DETERMINA A LO LARGO DE VARIOS PERIODOS DE OSCILACION LA VELOCIDAD DE ACELERACION DE LA OSCILACION. EN FUNCION DE LA VELOCIDAD DE ACELERACION Y DESPUES DE REBASAR OTRO VALOR LIMITE (QUE EN ESPECIAL DEPENDE DE LA VELOCIDAD DE ACELERACION) SE TOMAN PARA EL FLUJO OSCILANTE UNA SELECCION DE DIVERSAS ESTRATEGIAS DE ESTABILIZACION QUE PROVOCAN UNA AMORTIGUACION PRECOZ DE LA OSCILACION ANTES DE QUE SEA NECESARIO RECURRIR A UN SCRAM. SE DISPONE DE UNA JERARQUIA DE MEDIDAS DE ESTABILIZACION: BLOQUEAR UN AUMENTO DE POTENCIA EN EL MANDO, REDUCCION LENTA Y CONTROLADA DE LA POTENCIA, REDUCCION RAPIDA DE LA POTENCIA MEDIANTE PARCIAL SCRAM. LA VIGILANCIA DEL ESTADO INESTABLE SE REALIZA MEDIANTE UN SISTEMA DE SENSORES DISTRIBUIDOS ENCIMA DEL NUCLEO QUE MIDEN DE MODO REDUNDANTE CADA UNO EL FLUJO EN UNA ZONA DEL NUCLEO. PARA ELLO LOSSENSORES ACTUAN SOBRE VARIOS SISTEMAS QUE TRABAJAN DE FORMA REDUNDANTE, SIENDO LA SEÑAL DE CADA SENSOR EFECTIVA UNICAMENTE EN UNO SOLO DE ESTOS SISTEMAS REDUNDANTES.

Description

Procedimiento y dispositivo para el funcionamiento de un reactor en estado inestable.

La invención se refiere a un procedimiento para hacer funcionar un reactor de agua hirviente que se encuentra en un estado inestable por efecto de la oscilación local de una magnitud física (especialmente de la potencia o del flujo de neutrones asociado a ella). La invención se refiere, además, a un dispositivo para llevar a cabo dicho procedimiento, así como a un dispositivo para el control de este estado inestable del reactor.

La fisión nuclear que determina la potencia de un reactor nuclear se controla mediante la introducción de elementos absorbedores en el núcleo para debilitar el flujo de neutrones. Se distribuyen lanzas de medición con sensores por el núcleo del reactor para el flujo de neutrones térmicos, para obtener así el estado real del reactor. Para regular un estado funcional deseado, debe también ajustarse el caudal de agua de refrigeración, que sirve simultáneamente como elemento moderador, al estado respectivo.

Este agua de refrigeración penetra en estado líquido en el núcleo del reactor por su parte inferior, atraviesa los elementos combustibles, en los que se vaporiza parcialmente, y abandona el núcleo como mezcla vapor/líquido, modificándose la relación combustible/moderador en las distintas partes de los elementos combustibles. Simultáneamente, sin embargo, se modifican también las relaciones de flujo, especialmente el lugar en el que el flujo de una fase, con el que el refrigerante líquido penetra en los elementos combustibles, pasa al flujo de dos fases de la mezcla líquido/vapor. En este punto han sido observados, con una potencia elevada y un caudal de refrigerante reducido, los estados inestables en los que este límite de fases funciona con un movimiento oscilante, lo que provoca una pulsación de la densidad del moderador y de la potencia, lo que repercute sobre la potencia de refrigeración y el movimiento del límite de fases. En este caso pueden producirse oscilaciones periódicas de temperatura en los elementos combustibles con valores punta considerables.

La potencia máxima admisible de los elementos combustibles se limita fundamentalmente mediante la estabilidad térmica de los materiales empleados en los elementos combustibles. En caso de rebasarse un límite térmico superior, dichos materiales pierden sus propiedades mecánicas, químicas y físicas, y pueden sufrir transformaciones irreversibles que obliguen a sustituir los elementos combustibles. Por ello, debe vigilarse que no se supere dicho límite termohidráulico superior de potencia en el reactor (y con él un valor límite A_{th} termohidráulico del flujo de neutrones). Las autorizaciones de explotación de los reactores prevén que, en caso de rebasarse un valor límite, se lleve a cabo una desconexión rápida del reactor (llamada "SCRAM"), por la cual se introducen rápidamente todas las barras de mando y se ajuste la correspondiente potencia de refrigeración según un programa de emergencia.

Tras un SCRAM de este tipo, el reactor debe ponerse de nuevo en marcha según un programa funcional de arranque, de modo que se dé una considerable perturbación en el funcionamiento del reactor. Además, por motivos de seguridad deben sustituirse los elementos combustibles en caso de que se haya rebasado repetidamente o a lo largo de un periodo prolongado de tiempo el valor límite termohidráulico.

Por ello, se pretende detectar y moderar lo antes posible un estado inestable de este tipo, antes de que estas pulsaciones de la potencia se acerquen al valor límite termohidráulico.

Se ha puesto de manifiesto que dichas pulsaciones siempre aparecen en un intervalo de frecuencias comprendido entre 0,3 y 0,7 Hz aproximadamente, y presentan una frecuencia muy constante. En ello se basa el procedimiento para el control de la banda de oscilación de frecuencias de reactores nucleares descrito en el documento EP-A-0 496 551.

En él se prevé emplear el flujo como magnitud de medición para el estado inestable provocado por la oscilación local de una magnitud física, empleándose para esta medición del flujo las mencionadas lanzas de medición ("local power range monitor-strings", cadenas LPRM). Cada lanza de este tipo contiene usualmente cuatro sensores cuyas señales se observan, procesan y documentan para el control de la potencia.

En este caso se emplea cada uno de estos sensores en cada lanza de medición, asignándose dos sensores a un primer sistema de control y los dos sensores restantes a un segundo sistema de control redundante. Cada sistema de control contiene dos canales de control, estando asignado cada señal de sensor de una lanza de medición a otro canal de control. En los dos canales de control de un sistema se basan distintas distribuciones del reactor en zonas individuales ("celdas de control"), estando limitada cada celda por cuatro lanzas de medición para la constitución de una señal zonal correspondiente. En función de la posición de las lanzas de medición en el núcleo (en el interior del núcleo o en el borde del mismo) una señal de sensor en cada canal de control pertenece a dos, tres o cuatro celdas. Gracias a esta utilización múltiple de las señales de sensor debe conseguirse que pueda supervisarse e identificarse en la práctica el estado de cada elemento combustible individual a través de su influencia sobre las señales de sensor de las celdas individuales. Para ello se prevé que en un sistema se establezca una alarma únicamente cuando reaccionen los dos canales de control. Para la alarma resulta suficiente que sea provocada por uno de los dos sistemas, aunque en este caso sólo se da una redundancia simple.

Otra desventaja consiste en que una medición errónea o la avería total de una lanza de medición afecta prácticamente a todos los canales de control, pudiendo ocurrir por ejemplo, con las lanzas de medición situadas en el borde del reactor, que a partir de este momento no se supervisen correctamente varias celdas de forma simultánea.

El estado de las celdas individuales (zonas) se supervisa controlando en primer lugar, por un control de plausibilidad, si la señal de sensor individual supera un cierto valor límite inferior y funciona correctamente. En caso de fallo del sensor, las señales pertenecientes a esta celda no se continúan evaluando. Con la suma de todas las señales de sensor de una zona se constituye una señal zonal momentánea que se suprime en caso de que (por ejemplo, por una medición errónea) un control de plausibilidad detecte que la señal zonal no alcanza un determinado valor mínimo. A continuación, se filtra la señal zonal y se relaciona con un valor medio temporal, cuya constante de tiempo es mayor que un periodo de la oscilación, de modo que se obtiene una señal zonal relativa momentánea que indica en qué porcentaje se encuentra la potencia momentánea de la zona por encima o por debajo del valor medio.

En caso de que este valor momentáneo rebase un límite de potencia (por ejemplo, el 120%), se comprueba si se trata de un estado provisional excepcional (llamado "transitorio"), que representa, por ejemplo, sólo una oscilación aperiódica hacia un nuevo estado de funcionamiento predeterminado en el control, sin que ello incite una oscilación. En este caso no se trata de una oscilación crítica en la banda de frecuencias entre 0,3 y 0,7 Hz, de modo que no se lleva a cabo ninguna intervención hasta que no se alcanza un valor límite A_{max} cercano al valor límite A_{th} termohidráulico.

Para detectar la oscilación crítica, se analiza, además, si, en un intervalo de tiempo correspondiente a esta banda de frecuencias crítica, al rebasarse un valor límite A_{0} también se está por debajo de un valor límite correspondiente (por ejemplo, el 80%), como resulta necesario para una oscilación. En caso de que, de este modo, se averigüe que, como corresponde a una oscilación, a un valor extremo superior del flujo le sigue un valor extremo inferior, todavía se comprueba si a este valor extremo inferior le sigue de nuevo un valor extremo superior, y si este último valor extremo superior supera un valor de alarma situado por encima del primer valor extremo detectado en un determinado factor (por ejemplo, 1,3). En caso afirmativo, se deduce tras este periodo de oscilación que se trata de una oscilación en crecimiento ("creciente") que amenaza con rebasar el valor A_{th}, y se inicia el SCRAM antes de alcanzar el valor A_{max}.

Con relación a la presente invención, se advierte en este momento de que en este estado de la técnica se comprueba si la oscilación crece con una velocidad por encima del factor predeterminado (aquí, 1,3), pero el propio crecimiento (la "tasa de crecimiento") del valor extremo no se mide. Este factor (1,3), además, es en este sentido relativo, puesto que depende del primer valor extremo detectado, pero es independiente de la tasa de crecimiento.

También se advierte de que se comprueba si la separación temporal de los valores extremos detectados corresponden a la banda de frecuencias crítica entre 0,3 y 0,7 Hz, pero no se comprueba si, en la práctica, en esta misma separación temporal DT_{n}, existente entre el primer valor extremo superior detectado (designado A_{n-1}, instante T_{n-1}) y el valor extremo inferior detectado en este momento (A_{n}, instante T_{n}), tras este instante T_{n} le sigue realmente el siguiente valor extremo A_{n+1}. El experto en la materia responsable del control y control del reactor conoce la técnica usual de control y documentación de las señales de sensor, y estaría en condiciones no sólo de obtener los valores extremos A_{n-1}, A_{n}, A_{n+1}..., sino también los instantes T_{n-1}, T_{n}, T_{n+1}..., en los que se producen dichos valores extremos. Podría por tanto eliminar, sin más, la señal zonal correspondiente en caso de que la separación temporal DT_{n}= T_{n}-T_{n- 1} se desviara de forma significativa (por ejemplo, en 0,1 segundos) respecto a la separación temporal DT_{n+1}= T_{n+1}-T_{n}. Sin embargo, el documento EP-A-0 496 551 no contiene ninguna indicación al respecto.

Con este estado de la técnica, pues, en primer lugar no se tiene en cuenta una oscilación cuya tasa de crecimiento (no medida) se mantiene por debajo del factor predeterminado (1,3); únicamente provoca una intervención en el funcionamiento del reactor en caso de que sus valores extremos superen el valor límite A_{max}. Tan sólo las oscilaciones que crecen rápidamente provocan que se detecte este estado excepcionalmente crítico con antelación, pudiéndose tomar las contramedidas adecuadas. De ello se deduce, evidentemente, que las oscilaciones que crecen lentamente decrecen de nuevo por sí mismas, no provocando normalmente ningún SCRAM.

Como contramedida, este estado de la técnica únicamente prevé amortiguar la oscilación mediante la rápida introducción de prácticamente todas las barras de mando (SCRAM total). Esta estrategia no prevé así, aparte del SCRAM, ninguna otra medida para amortiguar la oscilación, y no reduce tampoco la probabilidad de un SCRAM, lo que constituye una intervención considerable en el funcionamiento del reactor. Además, en caso de que se dé una oscilación de rápido crecimiento, la amortiguación tiene lugar únicamente antes (es decir, por debajo del valor A_{max}). Con ello se reduce únicamente la carga térmica de los elementos combustibles.

El objetivo de la presente invención consiste en detectar mejor este tipo de oscilaciones y amortiguar en lo posible dicha oscilación, de modo que no deba iniciarse ningún otro SCRAM, es decir, sin intervención o con una intervención lo menos traumática posible en el funcionamiento del reactor. Este objetivo incluye también un control adecuada y lo más invulnerable posible del estado crítico.

La invención prevé, por medición de la magnitud física (es decir, del flujo de neutrones, siempre que se trate de las mencionadas oscilaciones termohidráulicas) en varias zonas del núcleo del reactor, la constitución de valores medidos locales asignados a las zonas respectivas. De entre una jerarquía de etapas de alarma con sus criterios de control, se constituye, por control de los valores medidos, una etapa de alarma momentánea, concretamente la etapa de alarma extrema cuyo criterio de control se cumple por parte de los valores medidos en un número mínimo predeterminado de las zonas. (El criterio de control puede componerse de varias condiciones individuales, por ejemplo, el rebasamiento de valores límite independientes para la amplitud y la tasa de crecimiento de los valores extremos.) A continuación se constituye una estrategia de estabilización en correspondencia con la etapa de alarma momentánea. Como una estrategia de estabilización, perteneciente a una etapa de alarma de bajo nivel, se prevé intervenir en el control funcional y la regulación del reactor únicamente de modo que se bloquee la eliminación de las barras de mando, como se prevé en un aumento funcional de la potencia del reactor. A continuación, la potencia del reactor no puede aumentarse por parte del personal de servicio, es más, tan sólo se mantienen activos aquellos mandos del control del reactor que corresponden a un control del reactor con una potencia constante o decreciente. En, al menos, una etapa de alarma de más alto nivel, se prevé como estrategia de estabilización la introducción de barras de mando en el núcleo del reactor (etapa de alarma I) para reducir su potencia. Resulta ventajoso prever al menos dos etapas de alarma de más alto nivel (etapa de alarma II y etapa de alarma III), introduciéndose lentamente en la etapa de alarma II únicamente varias barras de mando, que corresponden a una fracción del número total de ellas, de tal modo que la introducción corresponda a una reducción funcional de la potencia (es decir, el control del reactor lleva a cabo una reducción funcional de la potencia, incluso en el caso de que, por ejemplo, un mayor consumo de energía requiera una potencia mayor y el personal de servicio pretenda aumentarla). En la segunda etapa de alarma de más alto nivel (etapa de alarma III) se introducen rápidamente barras de mando -de forma análoga a una desconexión rápida total (SCRAM total) del reactor-, lo que también afecta únicamente a una parte, y no a todas, las barras de mando ("SCRAM parcial"). Así, no resulta necesario un SCRAM total, aunque puede preverse opcionalmente una etapa de alarma IV que dispare el SCRAM.

En especial, en el control de los valores medidos se evalúan al menos dos periodos de la oscilación, de modo que primeramente se continúa haciendo funcionar el reactor sin modificaciones aunque ya se insinúe una oscilación.

Un procedimiento para hacer funcionar un reactor inestable por efecto de la oscilación de una magnitud física que se manifiesta en su núcleo prevé, además, constituir, mediante la medición de la magnitud física, un valor medido que registra la tasa de crecimiento de la oscilación (y eventualmente también otros valores medidos). En función de este valor medido se toma una decisión acerca de si se inicia una estrategia de estabilización para amortiguar la inestabilidad o se continúa haciendo funcionar el reactor según valores medidos proporcionados a partir del funcionamiento. En especial, puede continuarse haciendo funcionar el reactor durante la medición de la tasa de crecimiento, al menos, en dos periodos de oscilación más sin que, mientras ningún valor medido alcanza un valor límite previsto para el inicio de un SCRAM total, se intervenga en el control del reactor. Así, por ejemplo, puede conseguirse que, al rebasarse un valor límite A_{max} para las amplitudes de oscilación -correspondientemente a la mencionada etapa de alarma IV- se inicie el SCRAM únicamente en caso de tasas de crecimiento elevadas, mientras que para tasas de crecimiento reducidas se continúa haciendo funcionar el reactor con amplitudes mayores, ya que para amplitudes de crecimiento tan débil un SCRAM que se inicie posteriormente (en caso de que la oscilación no decrezca por sí misma) dura un tiempo suficiente para activarse antes de alcanzarse el valor A_{th}.

En este procedimiento, se predetermina preferentemente un valor umbral, dependiente de la tasa de crecimiento, para los valores extremos de la magnitud física oscilante, y la estrategia de estabilización se inicia cuando los valores extremos superan dicho valor umbral. En una variante similar, puede predeterminarse un número de periodos de oscilación, dependiente de la tasa de crecimiento, para iniciar la estrategia de estabilización únicamente cuando la oscilación de la magnitud física se prolonga más allá de la duración de dichos periodos de oscilación.

De forma ventajosa, se prevén varias estrategias de estabilización, de entre las cuales se selecciona la estrategia de estabilización a emprender en función de la tasa de crecimiento.

Para supervisar el estado inestable del núcleo del reactor, la invención puede prever la disposición de varios sensores respectivos en varias zonas del núcleo del reactor para la medición de la magnitud física, agrupándose las señales de salida de los sensores en un número Mp de canales zonales y asignándose a cada canal zonal respectivamente una zona y los sensores dispuestos en ella para la obtención de una señal zonal. A continuación, las señales zonales se agrupan en un número P de canales de sistema, asignándose respectivamente a un canal de sistema varios canales zonales que emiten una señal final. En la señal final se establece, mediante etapas de control y de selección, una señal final de alarma, mientras, al menos en un número Np predeterminado de los canales de sistema, se compruebe respectivamente si en un número mínimo Nmp del respectivo canal de sistema se cumple un criterio de control en varios periodos de oscilación. La señal de salida de cada sensor afecta como máximo a una señal zonal, y cada señal zonal como máximo a una señal de sistema. Las señales zonales de un canal de sistema se constituyen respectivamente a partir de las señales de salida de los sensores dispuestos en zonas, los cuales están distribuidos de tal modo a lo largo de la sección transversal del núcleo del reactor que las zonas contiguas a una respectiva zona de este tipo contienen sensores cuyas señales de salida están asignadas a canales zonales de otros canales de sistema.

Prescindiendo de una evaluación múltiple y de solapamientos de zona ya no se supervisa de forma tan precisa cada elemento combustible individual como según el documento EP-A-0 496 551, pero las experiencias y los cálculos con modelos con estados inestables han demostrado que siempre sufren oscilaciones grandes zonas del reactor y no elementos combustibles aislados, es decir, que resulta necesaria una resolución precisa en la obtención de valores medidos. Además, así aumentan la redundancia y la invulnerabilidad de la detección.

Para supervisar el estado inestable del reactor por efecto de una oscilación local y para hacerlo funcionar de forma correspondiente, la invención puede prever un dispositivo que contenga una etapa de selección de sistema, un número P de etapas de selección de zona, para cada etapa de selección de zona un número Mp de etapas de control de zona y para cada etapa de control de zona una etapa de sensor con varios sensores dispuestos dentro de una zona del núcleo y asignados a esta etapa de control de zona. Este dispositivo se constituye, en este caso, de manera que los sensores respectivamente asignados a una etapa de control de zona suministran señales de medición para la magnitud física agrupadas en una señal zonal, y de forma que cada señal zonal se supervisa en la etapa de control de zona asignada a los sensores según un criterio de control, suministrando cada etapa de control de zona una señal zonal que contiene una señal de control de zona. Cada señal de control de zona está sometida al menos a una etapa de selección de zona que constituye, de entre un número mínimo predeterminado de señales de control de zona, una señal de control de sistema. Cada señal de control de sistema se suministra entonces a la etapa de selección de sistema; ésta suministra, mediante un número mínimo de etapas de control de sistema, una señal de control final.

En este caso, la invención comprende un dispositivo para supervisar el estado del reactor, inestable por efecto de la oscilación local, en el que en varias zonas del núcleo del reactor se disponen respectivamente varios sensores para medir la magnitud física y las señales de salida de varios sensores de una zona se agrupan en una señal zonal asignada. Cada señal zonal está asignada a una etapa de evaluación que identifica la aparición de valores extremos de la magnitud física en la señal zonal (especialmente a lo largo de varios periodos de oscilación) y obtiene la tasa de crecimiento de los valores extremos en esta zona para una oscilación de frecuencia constante y duración correspondiente. A las etapas de cálculo se asigna al menos una etapa de control que establece una señal de alarma, cumpliendo los valores extremos, al menos en un número predeterminado de zonas, un criterio de control local que depende de la tasa de crecimiento obtenida.

Por lo que se refiere a los criterios de estabilización previstos, un dispositivo de control de las oscilaciones locales puede contener sensores para la medición de la magnitud física, dispuestos en varias zonas del núcleo del reactor y agrupándose las señales de salida de varios sensores de una zona en una señal zonal asignada. A continuación, a cada señal zonal se le asigna una etapa de evaluación que identifica en la señal zonal la aparición de una oscilación de frecuencia constante. A las etapas de evaluación se les asigna una etapa de control final que selecciona, de entre una jerarquía de etapas de alarma, una etapa de alarma correspondiente a criterios de control predeterminados para las oscilaciones identificadas en, al menos, un número predeterminado de señales zonales. La etapa de control final determina, correspondientemente a la etapa de alarma seleccionada, un instante (o al menos los criterios para el instante) en el que se emite un comando de emergencia para el inicio de una de las estrategias de estabilización correspondiente a la etapa de alarma. Este instante puede predeterminarse, por ejemplo, mediante un número de periodos de oscilación que se esperan antes del inicio de una medida de estabilización. Sin embargo, también puede determinarse estableciendo un valor límite (por ejemplo, un valor límite para la amplitud) en función de valores reales instantáneos (por ejemplo, valores reales de la tasa de crecimiento) que, en un instante posterior en el que un valor real observado (en el ejemplo, la amplitud) supera este valor límite predeterminado, dispara la medida de estabilización.

Estas y otras características especiales de la realización de la invención se indican en las reivindicaciones independientes y en las subreivindicaciones, pudiendo caracterizar también muchas de las características descritas en relación con un procedimiento el dispositivo (y a la inversa).

La invención se describe más en detalle a partir de once figuras y varios ejemplos de realización. Éstas muestran:

La figura 1, el esquema de elementos combustibles y lanzas de medición dispuestos en el núcleo de un reactor de agua hirviente, así como su asignación a zonas y sistemas de control,

La figura 2, una lanza de medición con cuatro sensores para supervisar una zona y una etapa de sensor asignada a estos sensores en un canal zonal asignado a la zona,

La figura 3, una unidad de evaluación y una unidad de control en este canal zonal,

La figura 4, la distribución en el sistema de las señales zonales producidas en distintas zonas y canales zonales, las etapas de selección de zona dispuestas en cada sistema y la etapa de selección de sistema para la emisión de las señales de alarma,

La figura 5, una oscilación crítica en el valor medido del flujo y su amortiguación en un SCRAM,

La figura 6, los respectivos valores de amplitud del flujo que crecen con otra tasa de crecimiento sin amortiguarse, hasta alcanzar el valor límite A_{th} termohidráulico,

La figura 7, la relación entre la tasa de crecimiento DA y los periodos de oscilación disponibles hasta alcanzar un valor máximo A_{max} permitido,

La figura 8, las amplitudes surgidas en distintas tasas de crecimiento en caso de oscilación insuficientemente amortiguada mediante una estrategia de estabilización,

La figura 9, la sucesión de los valores extremos (amplitudes) durante el funcionamiento del reactor con una oscilación de crecimiento relativamente débil según una forma de realización preferente de la invención,

La figura 10, la correspondiente sucesión en caso de oscilación de crecimiento rápido, y

La figura 11, una etapa de control de zona en un ejemplo de realización preferente.

La figura 1 muestra esquemáticamente una sección transversal 1, a través de un núcleo de reactor, en el que se disponen ajedrezados y estrechamente contiguos elementos combustibles 2 cuadrados. A excepción de las zonas periféricas, cuatro de estos elementos combustibles constituyen respectivamente un cuadrado en el que respectivamente sólo en una única esquina se dispone una de las lanzas de medición designadas con los números (1), (2)..(28). Una lanza de medición de este tipo se dispone pues generalmente en la esquina común de cuatro cuadrados contiguos que se tocan, constituidos en cada caso por cuatro elementos combustibles. Para la evaluación de las señales de estas lanzas de medición se agrupan -de nuevo a excepción de las zonas periféricas- respectivamente cuatro de estos cuadrados en una "zona" (por ejemplo, las zonas contiguas 2', 2'' sombreadas de forma distinta), abarcando así de forma ajedrezada prácticamente toda la zona del núcleo. Como cada lanza de medición (posición 3 de la figura 2) comprende respectivamente cuatro sensores 4a, 4b, 4c y 4d dispuestas una sobre otra en un tubo de camisado 5, a través de las correspondientes conducciones 6 de las lanzas de medición (1)..(28) se suministran respectivamente cuatro señales de sensor al dispositivo conjunto para el control del núcleo. Así, cada una de estas conducciones de medición 6 transmite las señales de sensor asignadas a una zona.

En la figura 1 se designan las lanzas de medición individuales, asignadas respectivamente a un zona, con una de las letras A, B, C y D, indicando estas letras la asignación de las correspondientes lanzas de medición y sus señales de sensor a un sistema p de un total de p sistemas de control (aquí, p = 4). Estos sistemas de control funcionan de forma redundante y suministran respectivamente una señal de control propia y eventualmente señal de alarma, procesándose estas señales únicamente en una selección de sistema hasta obtener una señal de control final o señal de alarma final.

El monitor correspondiente que supervisa el núcleo contiene así únicamente sistemas respectivamente independientes (ninguna señal de sensor se procesa en más de un sistema) y las zonas supervisadas por los mismos no se superponen. En caso de avería de una lanza de medición, ya no se supervisa una zona completa de 16 elementos combustibles, pero sólo uno de los sistemas de funcionamiento redundante se ve afectado, mientras que los otros sistemas no sufren las consecuencias de dicha avería. Los sensores de zonas contiguas están siempre asignados asimismo a sistemas distintos. Estos principios se mantienen también en otras configuraciones del núcleo (por ejemplo, en núcleos mayores) y de las lanzas de medición (por ejemplo, 34 en lugar de 28 lanzas).

En el caso presente, las 28 lanzas de medición se distribuyen en sistemas con siete zonas cada una (en general, una zona cualquiera se designa con m y el número total de zonas de un sistema p con Mp. En el ejemplo, para todos los sistemas se cumple que Mp = 7). En esta asignación, todas las zonas detectan respectivamente el mismo número (concretamente, cuatro) de señales de sensor, mientras que en un caso general el número de señales de sensor puede ser distinto para cada zona individual. Esto puede preverse sobre todo en el caso de que no se aplique la asignación "lineal" mencionada arriba, en la que cada sensor está asignado como máximo a un único sistema.

Cada señal de sensor se somete primero en su canal zonal a un control de plausibilidad mediante una etapa de selección 8, eliminándose primero las señales de sensor que se encuentran fuera de la zona de trabajo correcta de los sensores, como se prevé ya en el documento mencionado EP-A-0 496 551. Sin embargo, de las restantes señales de salida de los sensores que funcionan correctamente se seleccionan -a diferencia de este estado de la técnica- tan sólo un número mínimo (aquí, dos), y generalmente se trata de las señales de los sensores inferiores disponibles. En general, las señales de sensores dispuestos linealmente uno sobre otro, se diferencian poco, y especialmente presentan prácticamente la misma sucesión temporal sin desplazamiento de fase que retornan en esta zona a la pulsación de potencia local. Por ello, los sensores pueden, en principio, sustituirse mutuamente. Sin embargo, tener en cuenta los sensores inferiores (4a y 4a en la figura 2) constituye una ventaja menor, ya que, en la zona crítica de potencia elevada y caudal de refrigerante reducido del flujo se producen, en la zona inferior de los elementos combustibles, oscilaciones mas pronunciadas que en las zonas superiores, es decir, que los valores extremos (amplitudes) correspondientes de la oscilación pueden detectarse de forma más inequívoca.

A esta etapa de selección 8, almacenada por las señales de sensor, puede intercalársele especialmente un filtro 9' análogo para las señales de sensor, pudiendo efectuarse la selección de las dos señales de sensor liberadas para el tratamiento posterior a través de una selección 10 "2 de 4" ("2 out of 4"), la cual puede, a la vez, emprender una transformación de las señales de entrada análogas en señales de salida digitales, de modo que en lugar del filtro 9' análogo intercalado puede disponerse posteriormente un filtro 9 digital. Además, en este filtro 9 puede efectuarse también una suma de las dos señales de salida de la etapa de selección 8 para obtener un valor instantáneo para el flujo determinado a partir de la dispersión unitaria de los sensores individuales en la zona correspondiente. Esto se corresponde con la suma de las señales de sensor en las "celdas" individuales del documento mencionado EP-A-0 496 551, aunque constituyéndose en este estado de la técnica la "señal de celda" correspondiente por parte de señales de sensor que se emplean también en el control de otras zonas y en otros sistemas.

A continuación, se constituye en una unidad de calibración, a partir de la señal A(t) momentánea en la salida del filtro 9, un valor medido A(t)-A* momentánea, el cual, por ejemplo, puede calibrarse con el nivel de señal A* medio de esta zona. Este nivel medio, como se describe en el estado de la técnica, puede constituirse por medio de un integrador 10 de forma que se integra la señal obtenida a lo largo de un intervalo de tiempo relativamente prolongado. Esta calibración suministra un valor medido alternadamente negativo y positivo, de modo que las amplitudes de oscilación se disponen simétricas alrededor de un punto nulo y pueden detectarse fácilmente. Sin embargo, un tratamiento digital de las señales permite también, sin un gran esfuerzo, obtener, para señales S calibradas o no calibradas de otro modo, las amplitudes respectivas de un semiperiodo, pudiendo resultar entonces ventajoso que puedan predeterminarse valores límite como valores absolutos en lugar de valores relativos.

A continuación, se suprime el tratamiento posterior de la señal S mientras ésta se mantiene por debajo de un valor límite Ao para el ruido normal de señal, no siendo posible una determinación de los valores extremos ("picos" o "amplitudes") que podrían asignarse a una oscilación (elemento de valor umbral 11).

Según la figura 3, el canal zonal de un sistema p contiene una etapa de evaluación 12 en la que primeramente se fija en una primera etapa de cálculo el instante T_{n} en el que un valor de señal S, que primero aumenta y que se encuentra por encima del límite de ruido Ao, aumenta hasta un valor extremo A_{n} y desciende de nuevo (pico positivo). De forma alternativa -o preferentemente de forma adicional- se obtiene también, como pico A_{n} y su instante T_{n}, un pico negativo, es decir, un valor extremo por encima del límite de ruido Ao constituido por un valor (negativo) de la señal S que primero desciende y después asciende. Por detrás de esta obtención 13 de valores extremos se dispone otro control de plausibilidad 14 configurada, por ejemplo, tal y como se describe en el documento EP-A-0 496 551 y que comprueba si el espacio temporal DT_{n} entre el instante T_{n} obtenido momentáneamente y el instante T_{n-1} obtenido anteriormente que puede obtenerse en el control 13 de valores extremos puede corresponder a una oscilación situada dentro de la banda de frecuencias crítica entre 0,3 y 0,7 Hz. Otro elemento de evaluación 15 comprueba, adicionalmente de forma ventajosa, si le intervalo de tiempo DT_{n} obtenido coincide prácticamente con el intervalo de tiempo DT_{n-1} obtenido en último lugar. Si éste no es el caso, los picos obtenidos no corresponden a las amplitudes de una oscilación prácticamente no amortiguada que podría crecer hasta valores extremos peligrosos; entonces, se elimina la evaluación posterior del pico A_{n} obtenido en último lugar. Si, en cambio, se trata de valores que pueden asignarse a la amplitud de una magnitud oscilante, se activa por medio de una señal de confirmación ("confirmation signal") correspondiente un elemento de cálculo 16 posterior que determina, a partir de los picos obtenidos en último lugar, su "tasa de crecimiento" DA = (|A_{n}|-|A_{n-1}|)/T_{n}- T_{n-1}. Así, si el respectivo valor de señal S puede describirse matemáticamente mediante una magnitud S(t)\cdotcoseno \OmegaT, esta tasa de crecimiento corresponde a los cocientes diferenciales dS(t)/dt. Indica, por ejemplo, por evaluación de los valores extremos positivos y negativos, el crecimiento del valor extremo respectivamente tras un semiperiodo DT=T_{n}-T_{n-1} de la oscilación.

En la unidad de control 17 ("checking"), un elemento de control 18 constituye ahora, según criterios de control predeterminados descritos con más precisión a continuación, una señal que, por ejemplo, como señal binaria en estado "0", indica que no existe ninguna oscilación peligrosa que corresponda a los criterios de control, mientras que el estado "1" de la señal de control correspondiente impulsa una alarma (posición 19). Esta señal de alarma puede visualizarse en una unidad indicadora y/o almacenarse en una unidad de memoria para la documentación del proceso junto con otras informaciones que, por ejemplo, identifican la zona en la que el criterio de control se ha cumplido.

Esta conformación del canal zonal m se prevé ventajosamente en cada canal zonal, como se indica en la parte superior izquierda de la figura 4 en el campo "sistema 2" para cada zona del número total M_{1} de zonas del sistema p =, y en el campo derecho "sistema P" para todas las zonas (número total M_{p}) del sistema p = P.

Las señales zonales de alarma lineales (alimentadas también, por ejemplo, en el elemento 19) representan una señal binaria M_{p}-veces correspondiente al número M_{p} de canales zonales, a partir de la cual se constituye en un etapa de selección de zona 20 una señal binaria N_{mp}-veces para indicar que, al menos en un número N_{mp} de las zonas de este sistema, se estableció un bit correspondiente a una alarma.

En la figura 4 se agrupan una vez las correspondientes señales zonales de alarma en un indicador óptico 21, seleccionándose N_{m}=1, es decir, que se dispara la alarma óptica 21, una vez establecido el bit correspondiente a la alarma en al menos un canal zonal. Por ello, cada sistema contiene un elemento de selección en el que se predetermina N_{mp}=1, aquí pues una selección 22 "1 de 7" (por ejemplo, en una evaluación digital, un elemento O), y se establece el indicador óptico 21, mientras que en un segundo elemento de selección 23 se establece N_{mp}=2, tratándose pues de una selección "2 de 7". Concretamente, debe establecerse un bit de alarma correspondiente en la señal zonal únicamente en caso de que, en al menos dos zonas del sistema, se cumpla respectivamente el criterio de control para excluir la posibilidad de establecer una alarma incorrecta en caso de error de procesamiento.

En una etapa final 24 se efectúa ahora una selección de sistema que establece respectivamente una señal final de alarma cuando, del número total P de sistemas, al menos un número mínimo Np contiene una señal de alarma establecida. En este caso, esta selección de sistema consiste en un conmutador 25 "1 de 4" ajustado a Np=1, el cual emite una señal de alarma (posición 26) que se muestra ópticamente en una pantalla de visualización 27 y que indica que en uno de los sistema se ha detectado una oscilación crítica. Una selección 28 "2 de 4" ajustada a Np=2 establece una alarma (posición 27) que puede indicarse también, por un lado, en la pantalla de visualización 27, y que por otro lado actúa sobre el control del reactor ("control de reactor", posición 29) disparando en él una estrategia de estabilización almacenada en una unidad de memoria 29' como programa correspondiente.

En general, los elementos de procesamiento del canal zonal representados en las figuras 2 y 3 pueden realizarse en cada sistema a través de un ordenador central con alimentación de tensión propia, una unidad de procesamiento central, un módulo de entrada para 32 señales de entrada análogas y un módulo de salida correspondiente para 32 señales de salida digitales, el cual, para una frecuencia de trabajo de 32 MHz, trabaja aproximadamente al 50% con el procesamiento paralelo de las 28 señales de sensor contenidas en la entrada de 32 bits del ordenador. Una tasa de exploración ventajosa para las señales de entrada asciende a 50 Hz o más, aunque como mínimo es de 20 Hz. Los elementos de procesamiento usuales para las señales de sensor ofrecen el espacio suficiente para las unidades de procesamiento del sistema.

Las señales de salida de estos procesadores del sistema pueden conectarse a un microprocesador comercial en el que las señales zonales recibidas se procesan y se almacenan. Este procesador contiene también los programas necesarios para realizar la selección de sistema y suministrar según estrategias predeterminadas las señales que se requieren para tomar las respectivas medidas de estabilización en el control del reactor. Como conducciones de conexión pueden emplearse ventajosamente fibras de vidrio.

Para explicar las medidas de estabilización, en la figura 5 se asume -sin tener en cuenta una escala correspondiente a las relaciones efectivas- una sucesión del valor zonal S relativo, a partir de cuyos valores situados por encima del límite de ruido A_{0} se determina la tasa de crecimiento DA cuando esta oscilación supera un valor límite A_{lim}. Se asume el caso extremo en que, tras rebasarse un valor máximo A_{max} predeterminado de las amplitudes, se inicia un SCRAM total hasta que para su suficiente actividad se requiere un número N' (aquí, N'=2) de periodos de oscilación, mientras que transcurren únicamente un número N (aquí se asume para mayor claridad que N=3, en relaciones reales N es mucho mayor) de periodos de oscilación hasta que las amplitudes recorren en un valor medidos S relativo la zona entre A_{lim} y A_{max}.

Al caso extremo representado en la figura 5 mediante la curva 30 le corresponde la curva 30 de la figura 6, indicándose en esta figura 6 otras curvas 34, 33, 32 y 31 cuya tasa de crecimiento DA es respectivamente menor en un factor de 1/2, 1/3, 1/4 y 1/5. De la figura 6 puede deducirse que para estas tasas de crecimiento no resulta todavía necesario un SCRAM, que se hubiera disparado al rebasar el valor límite A_{max}, más bien el tiempo o número N' de periodos de oscilación DT necesarios para la eficacia del SCRAM permiten hacer funcionar el reactor durante aún un cierto número N de periodos que se desprende de la intersección entre las curvas 32, 33.. y la curva F(A4). Para oscilaciones cuyas amplitudes crecen aún más débilmente que la curva 32 al rebasar el valor límite A_{lim}, puede asumirse que los pasos transitorios de crecimiento débil de este tipo decrecen por sí mismos, de modo que previsiblemente no debe intervenirse en el funcionamiento del reactor para un número N de periodos de funcionamiento que se desprende de la intersección entre las curvas correspondientes y la curva límite 35. Un valor límite A4 garantiza que incluso para amplitudes crecientes no modificadas aún puede iniciarse un SCRAM para cuya eficacia se dispone aún del número N'=2 de periodos de oscilación.

En la figura 5 se reproduce como curva límite correspondiente F(DA) la correlación dada por la curva F(A4) entre las tasas de crecimiento DA y las duraciones de periodo N de las que se dispone tras rebasarse el valor límite A_{max} antes de iniciarse un SCRAM. Una curva de este tipo puede obtenerse -teniendo en cuenta una reserva de seguridad suficiente- a partir de cálculos sobre modelos para el comportamiento del reactor en estados transitorios y a partir de la comparación de cálculos sobre modelos de este tipo con estados reales observados del reactor y, por ejemplo, almacenarse como curva característica en una unidad de memoria. Entonces resulta suficiente, al rebasarse el valor límite A_{lim}, utilizar las tasas de crecimiento respectivas detectadas para deducir el valor N correspondiente (para las curvas 31, 32, 33, 34 los valores N1, N2, N3, N4). Al rebasarse el valor de amplitud A_{max}, puede establecerse un contador sobre el correspondiente valor N, el cual se contabiliza entonces en cuenta atrás con cada señal de confirmación "confirmation" (figura 3). Entonces, le funcionamiento del reactor no necesita ser interrumpido mediante un SCRAM total mientras el contador no ha llegado hasta cero. Así, el SCRAM total no necesita iniciarse hasta alcanzarse el valor límite de amplitud A4. En general, sin embargo, en este intervalo de tiempo la oscilación ya se ha amortiguado por sí misma y decrece de nuevo, lo que puede garantizarse estableciendo un señal de alarma al rebasarse el valor límite A_{max}, que en esta etapa de alarma impide que únicamente que en el control se lleven a cabo modificaciones del estado de funcionamiento que podrían provocar un aumento de la potencia y, con ello, a otra activación transitoria de la oscilación. Así, en esta variante se sigue únicamente una estrategia de estabilización al rebasarse sólo un valor límite Amax, lo que corresponde a un etapa de alarma de bajo nivel y no requiere ninguna interrupción del funcionamiento del reactor, y en especial ningún SCRAM, hasta que se da una etapa de alarma de nivel máximo con un SCRAM total al rebasarse las curvas representadas en la figura 7 y/o al rebasarse el valor límite A4.

Sin embargo, también puede prescindirse de una curva característica que asocia a cada valor DA su correspondiente tiempo aún disponible antes de un SCRAM (número de periodos N), y en lugar de ello supervisar el rebasamiento de determinados valores límite de la tasa de crecimiento DA, indicados como DA1, DA2, DA3 y DA4 mediante el correspondiente identificador de valores límite. En caso de que, por ejemplo, una tasa de crecimiento se encuentre por debajo de un valor límite DA1, puede esperarse un número de periodos N1 correspondiente, en el que aún no resulta necesario tomar ninguna medida de seguridad, es decir, que no debe adoptarse ninguna estrategia de estabilización con una intervención especial en el control del reactor. En la zona situada entre los valores límite DA1 y DA2 (etapa de alarma I) puede preverse, por ejemplo, dejar funcionando el reactor durante un número N2 de periodos de oscilación, pudiendo resultar ventajoso evitar que el reactor evolucione hacia un estado de funcionamiento de mayor potencia. En la etapa de alarma II puede limitarse la duración de este funcionamiento del reactor a un número N3 de periodos de reactor, pudiéndose prever también, para la mejora de la amortiguación, introducir lentamente una parte de las barras de mando en el reactor, lo que producirá una reducción de la potencia del mismo, como se prevé funcionalmente se exige una potencia menor para el reactor. Los valores límite DA3 y DA4 para la tasa de crecimiento determinan una etapa de alarma III en la que el reactor puede continuar funcionando durante un número N4 de periodos, pudiéndose prever, además, la introducción rápida de una parte de las barras de absorción (indicado como "SCRAM parcial"). Únicamente después de rebasarse el valor límite DA4 resulta necesario un SCRAM total en una etapa de alarma de máximo
nivel.

Otra variante de la invención se explica a partir de las figuras 8 a 10. En la figura 8 se muestran para las amplitudes de las señales zonales S relativas las tasas de crecimiento que corresponden a las curvas 32 y 33 de la figura 6. Estas amplitudes se obtienen en el instante en que rebasan el valor límite A_{lim}. En este caso se asume que la etapa de alarma II ha sido detectada por la etapa de control y se ha iniciado una estrategia de estabilización en la que la potencia del reactor debe estabilizarse mediante la introducción lenta de las barras de mando. En el caso de la curva 33, las amplitudes aparecidas bajo estas condiciones se indican mediante líneas discontinuas. La estrategia de estabilización correspondiente a la etapa de alarma II conllevaría -en caso de que se mantenga incluso para valores de amplitud por encima de un valor límite designado como A3 y que se representa mediante picos interrumpidos- que, con el valor límite A4, debería iniciarse un SCRAM total. Sin embargo, debería evitarse un SCRAM total de este tipo. Por ello, al alcanzarse el valor límite A3 se pasa, con la estrategia de estabilización reseñada con relación a la etapa de alarma II en la figura 7 (introducción lenta de elementos absorbedores), se pasa a una etapa de alarma superior con una estrategia de estabilización de más alto nivel, concretamente al mencionado "SCRAM parcial". Así, a partir de este momento se amortigua más enérgicamente la oscilación, de modo que las amplitudes no continúan creciendo, es decir, que no se alcanza el valor límite A4 y no se inicia el SCRAM total.

La curva 32 muestra que en este caso también, para una tasa de crecimiento menor, puede establecerse un valor límite A3 más elevado que en tasas de crecimiento mayores.

Así, en esta variante de la invención no se supervisa el rebasamiento de valores límite por parte de la tasa de crecimiento, sino que más bien se utiliza la tasa de crecimiento instantánea detectada para predeterminar un valor límite para los propios valores de amplitud. Sin embargo, la dependencia del valor límite de la tasa de crecimiento puede determinarse de nuevo según una curva final, análogamente a la figura 7, o se puede también modificarse escalonadamente, mediante una distribución correspondiente de la zona disponible para la tasa de crecimiento, en etapas de alarma individuales del valor límite A3 correspondiente.

Esta variante presenta la ventaja de que las modificaciones en la tasa de crecimiento, que aparecen durante el funcionamiento del reactor, incluso tras rebasarse el valor límite A_{lim}, pueden supervisarse especialmente. Esto se muestra en la curva 40 de la figura 8, en la que primeramente se asume que la oscilación crece tan débilmente tras rebasar el valor límite A_{lim}, que no resulta necesario intervenir en el control del reactor. Sin embargo, se asume que el personal de servicio, en el instante t_{b}, ha provocado un aumento de la potencia mediante el control funcional del reactor, por lo que la oscilación transitoria estimulada se amplifica considerablemente. Esto provoca que la amplitud A, cuya tasa de crecimiento era en un principio reducida al rebasarse el valor A_{lim} y no ha disparado ninguna alarma, asume a partir de este momento el valor de la curva 33, de modo que ahora se supervisa el rebasamiento del valor límite A3 por parte de la amplitud A y se inicia, en este caso, la misma estrategia de estabilización correspondiente a la etapa de alarma III ("SCRAM parcial"). Con ello, se amortigua más enérgicamente la oscilación creciente, de modo que también en este caso no se alcanza prácticamente más el valor límite A4, es decir, que no se requiere ningún SCRAM total.

Naturalmente, de forma análoga al valor límite A3 de la amplitud A, que conduce al inicio del SCRAM parcial, pueden introducirse unos valores límite A1 y A2 correspondientes para la estrategia de estabilización de más bajo nivel (bloqueo de un aumento de la potencia, etapa de alarma I; o introducción lenta de elementos absorbedores adicionales, etapa de alarma II).

Esto se muestra en la figura 9 a partir de una oscilación que crece con una tasa de crecimiento relativamente reducida. En este caso, los valores extremos (amplitudes) de la oscilación se sitúan sobre una curva 41 y se supervisa su rebasamiento de los valores límite A1, A2, A3, los cuales se sitúan relativamente cerca de los valores límite A_{th} y A_{max} de forma correspondiente al número N elevado disponible para esta tasa de crecimiento. Al superarse el valor límite A1 se establece la primera etapa de alarma, cuya estrategia de estabilización prevé tan sólo el bloqueo del aumento de la potencia. Con ello se reduce la tasa de crecimiento, pero la oscilación no se amortigua aún suficientemente. Al superarse el valor límite A2, en cambio, se reduce la potencia del reactor y la oscilación se amortigua de tal modo que no se produce ya un crecimiento posterior hacia los valores límite A3, A_{max} y A_{th}.

La curva 42 mostrada en la figura 10 se basa en una tasa de crecimiento DA relativamente elevada, por lo que los valores límite A1, A2 y A3 se establecen menores en este caso -en función de la tasa de crecimiento DA detectada- que en la figura 9. Por ello, se alcanza relativamente temprano la etapa de alarma I (valor límite A2), y se inicia más temprano el "SCRAM parcial" previsto en la etapa de alarma III al rebasarse el valor límite A3. Esto provoca la amortiguación deseada de la oscilación, y evita que se rebase el valor límite A_{max}. De este modo se evita, en este caso inadecuado, una desconexión total.

El restablecimiento de las etapas de alarma respectivas puede, por ejemplo, efectuarse una vez la amplitud baja de nuevo por debajo del valor límite A_{lim}.

La figura 11 muestra una forma de realización de las supervisiones en los canales de comandos del sistema 1, las etapas de selección de zona para las señales de alarma que se establecen en la señal zonal mediante este control, y el dispositivo de control en el canal de sistema correspondiente.

En esta figura, los campos designados respectivamente como "Región 1" representan el control de zona en la primera zona del canal 1, transmitiéndose la señal zonal asignada a esta primera zona de forma correspondiente a un valor límite A1 a un identificador de valores límite que establece una señal de alarma lógica "1" en el momento que la señal zonal S supera el valor límite A1.

Este valor límite se extrae a un dispositivo de memoria 52 para una curva característica. Este valor límite A1 corresponde, según la curva característica almacenada, al valor DA obtenido en el canal zonal 1 (posición 16, figura 3) para la tasa de crecimiento momentánea. Con la señal de salida lógica del identificador de valores límite 51 se puede controlar, por un lado, un dispositivo indicador y/o una unidad de memoria 53 que constituye ahora una señal zonal de alarma AA1 asignada a la primera etapa de alarma para la señal de control AA1 que se asigna a la primera etapa de alarma y al primer canal zonal. De un modo análogo, se lleva a cabo la señal zonal S relativa en una unidad de evaluación 54 (no representada en detalle) respecto al valor límite A2 y de una etapa de control que contiene el identificador de valores límite 55, la unidad de memoria de curvas características 56 y la unidad de visualización y/o memoria 57 respecto al valor límite A3 y de la etapa de alarma III. No se representa el hecho de que puede supervisarse por medio de otro identificador de valores límite el rebasamiento de un valor límite A4 predeterminado fijo.

Los elementos correspondientes se encuentran disponibles en cada señal zonal del sistema, y se representan también para la última zona "Región Mp" de la parte derecha de la figura 11 con los números de referencia 51', 52'... 57'.

Las señales de control (en caso de que Mp=7, una señal de 7 bits) constituidas por los identificadores de valores límite 51, 51' en los canales zonales individuales pueden sumarse en un elemento sumador 60. Así, esta señal indica en cuántos canales zonales el identificador de valores límite 51 correspondiente ha establecida una señal de alarma de la etapa I. En caso de que este número sea mayor o igual a un número Nmp predeterminado, una estación de consulta 61 correspondiente establece una señal de sistema de alarma correspondiente. En este caso, la estación de consulta 61 efectúa esta consulta dos veces, fijándose para una primera señal de sistema de alarma AA1' el número mínimo Nmp a 1. Esta señal AA1' puede entonces emplearse para indicar mediante una selección de sistema correspondiente (en el caso más sencillo, un elemento sumador, no representado, de todas las señales AA1' de todos los canales de sistema de funcionamiento redundante) si los sistemas, y cuántos de ellos, generan la etapa de alarma I.

Además, en este control de sistema 61 también se establece que Nmp=2, es decir, se emite una señal AA1' correspondiente en caso de que al menos dos zonas comuniquen la alarma de la etapa I. Esta señal puede servir, en l selección de sistema, para constituir, a partir de todas las señales de alarma generadas en los sistemas de funcionamiento redundante, una señal de alarma que puede intervenir en le control del reactor bloqueando un aumento funcional de la potencia del mismo. En caso de que resulte suficiente, la selección de sistema constituye sólo una selección "1 de 4", es decir, que unifica las correspondientes señales AA1'' de los cuatro sistemas mediante un "elemento O". Sin embargo, para evitar de forma eficaz las alteraciones innecesarias en el funcionamiento del reactor que podrían surgir por un procesamiento defectuoso en uno de los sistemas, se predetermina ventajosamente para la intervención en el funcionamiento del reactor un número mínimo Np para las señales de sistema en las que se establece la etapa de alarma I. Esto puede suceder de forma sencilla sumando las señales AA1'' lógicas de los sistemas e iniciando la intervención en el control del reactor únicamente cuando la suma sea mayor o igual a 2.

De forma análoga, las señales de control asignadas a las etapas de alarma II y III de las zonas individuales del sistema pueden procesarse mediante los elementos sumadores 62, 64 hasta obtener las señales correspondientes que se suministran a las estaciones de consulta 65, 66 para generar las señales de sistema de alarma AA3' y AA3'' asignadas a estas etapas. Las señales de alarma AA2'' de las cuatro señales de sistema se siguen procesando del mismo modo que se describió con motivo de las señales AA1'' (no se representa), y constituyen una señal final de alarma asignada a esta etapa de alarma II que interviene en el funcionamiento del reactor de tal modo que no sólo bloquea un aumento de la potencia del mismo, sino que incluso reduce dicha potencia a partir de los programas previstos para le funcionamiento normal del reactor.

Del mismo modo descrito para las señales AA1'' de la primera etapa de alarma se siguen procesando también las señales de alarma AA3'' asignadas a la etapa de alarma III, y constituyen una señal de alarma asignada a esta etapa de alarma III que dispara, según la estrategia de estabilización asignada a esta etapa de alarma, un "SCRAM parcial".

Mencionar, por último, que las señales de alarma constituidas mediante el valor límite A4 fijo se siguen procesando del mismo modo para, en caso de emergencia, disparar un SCRAM total correspondiente a la etapa de alarma máxima.

Así pues, la invención garantiza, por un lado, que el estado inestable del reactor se supervise con la redundancia suficiente para, en caso de avería de sensores individuales, las lanzas de medición o los elementos de cálculo puedan obtener una información fiable acerca del estado inestable, consiguiéndose, por otro lado, que se intervenga tan sólo en menor medida sobre el funcionamiento del reactor para amortiguar su inestabilidad. Así, según todas las experiencias y estimaciones, queda prácticamente excluido un SCRAM total, de modo que puede entenderse como totalmente superfluo en la cuarta etapa de alarma, cuya estrategia prevé un SCRAM total. Los elementos constructivos previstos para el control del valor límite A_{max} y los elementos de transferencia para una señal de alarma asignada a esta etapa de alarma máxima se describen pues sólo como opción de la que también puede prescindirse.

Claims (32)

1. Procedimiento para hacer funcionar un reactor inestable por efecto de la oscilación de una magnitud física que se manifiesta en el interior, el cual se manda mediante parámetros proporcionados a partir del funcionamiento y es controlado por parte de un dispositivo de control que mide la magnitud física en, al menos, tres semiperiodos sucesivos de la oscilación y no interrumpe el funcionamiento del reactor mientras no resulta necesaria una desconexión del mismo, caracterizado porque se constituye un valor medido para la tasa de crecimiento de la oscilación, el reactor se continúa dirigiendo al menos durante otro semiperiodo con los parámetros introducidos, y el dispositivo de control decide, en función de este valor medido, si debe iniciarse una estrategia de estabilización para amortiguar la inestabilidad, estrategia en la que se continúa controlando el reactor con los parámetros modificados automáticamente por el dispositivo de control.

2. Procedimiento según la reivindicación 1, caracterizado porque, tras rebasarse un límite de ruido (A_{0}) para los valores extremos (A_{n}), se constituye el valor medido para la tasa de crecimiento, y porque únicamente tras rebasarse otro valor límite (A1) para los valores extremos se toma la decisión acerca de si debe intervenirse en el mando del funcionamiento del reactor.

3. Procedimiento según las reivindicaciones 1 o 2, caracterizado porque se emprende una estrategia de estabilización que interviene en el mando del funcionamiento del reactor cuando los valores extremos (A_{n}) de la magnitud oscilante superan un valor umbral (A2) predeterminado en función del valor medido (DA) de la tasa de crecimiento.

4. Procedimiento según la reivindicación 1 o 2, caracterizado porque se predetermina un valor umbral (DA1) para la tasa de crecimiento (DA) y le inicia la estrategia de estabilización cuando la tasa de crecimiento (DA) supera dicho valor umbral.

5. Procedimiento según la reivindicación 1 o 2, caracterizado porque se predetermina un número (N) de periodos de oscilación en función de la tasa de crecimiento y, correspondientemente a la estrategia de estabilización se interviene en el control del reactor cuando la oscilación de la magnitud física se prolonga más allá de la duración de dichos periodos de oscilación.

6. Procedimiento según una de las reivindicaciones 1 a 5, caracterizado porque la estrategia de estabilización a emprender se selecciona en función de la tasa de crecimiento (DA) de entre un número de estrategias de estabilización predeterminadas.

7. Procedimiento según la reivindicación 6, caracterizado porque como estrategia de estabilización se interviene en el control del reactor dentro de una fase de alarma de bajo nivel, de tal modo que se bloquea un aumento de la potencia eliminando elementos absorbedores del núcleo del reactor.

8. Procedimiento según la reivindicación 6 o 7, caracterizado porque como estrategia de estabilización se interviene en el control del reactor dentro de una primera fase de alarma de más alto nivel, de tal modo que se reduce funcionalmente la potencia introduciendo lentamente elementos absorbedores en el núcleo del reactor.

9. Procedimiento según una de las reivindicaciones 6 a 8, caracterizado porque como estrategia de estabilización se introducen rápidamente varias barras de mando el núcleo del reactor dentro de una segunda fase de alarma de más alto nivel.

10. Procedimiento según una de las reivindicaciones 6 a 9, caracterizado porque como estrategia de estabilización se reduce a cero, lo más rápidamente posible, la potencia del reactor dentro de una fase de alarma de nivel máximo.

11. Procedimiento según una de las reivindicaciones 1 a 10, caracterizado porque se agrupan en un sistema varias zonas distribuidas por el núcleo del reactor, y en cada zona del sistema se constituye respectivamente un valor medido (S) local para la magnitud física y un valor medido (DA) para la tasa de crecimiento de dicha magnitud, y a partir de este valor medido se toma una decisión preliminar para cada zona acerca de si debe iniciarse la estrategia de estabilización, y porque la estrategia de estabilización únicamente se emprende en caso de que ello se haya decidido como mínimo en un número mínimo predeterminado de estas decisiones preliminares.

12. Procedimiento según la reivindicación 11, caracterizado porque la decisión se toma de manera redundante para varios sistema distintos dentro de las zonas distribuidas dentro del núcleo del reactor, y se bloque hasta que se agua decidido en un número mínimo (Np) predeterminado de sistemas a favor de la estrategia de estabilización.

13. Procedimiento según la reivindicación 12, caracterizado porque las zonas están asociadas a los sistemas de tal modo que las zonas contiguas pertenecen a sistemas distintos y cada zona pertenece únicamente a un solo sistema.

14. Procedimiento según una de las reivindicaciones 11 a 13, caracterizado porque en cada zona se emplean varios sensores para la constitución de los valores medidos y porque en cada zona se recurre únicamente a un número mínimo predeterminado de estos sensores para constituir la decisión.

15. Procedimiento para hacer funcionar un reactor de agua hirviente inestable por efecto de la oscilación local de una magnitud física que se dirige mediante parámetros proporcionados a partir del funcionamiento y se supervisa mediante un dispositivo de control que constituye, en al menos tres semiperiodos sucesivos de la oscilación, y por medición de la magnitud física en varias zonas del núcleo del reactor, los valores medidos asignados a las zonas respectivas, y que, tras superarse un límite de ruido predeterminado de dichos valores medidos, continúa haciendo funcionar el reactor con los parámetros predeterminados mientras no resulte necesaria una desconexión del mismo, caracterizado porque el dispositivo de control selecciona como etapa de alarma momentánea, según al menos un criterio de control de entre una jerarquía de etapas de alarma, la etapa de alarma máxima cuyo criterio de control es satisfecho por los valores medidos de un número mínimo predeterminado de zonas, e inicia automáticamente una estrategia de estabilización como más temprano en un instante situado varios periodos de oscilación tras rebasar el límite de ruido, por el cual

i)

una etapa de alarma (I) de bajo nivel prevé como estrategia de estabilización una intervención en el control del reactor en la que se bloquea una eliminación de elementos absorbedores del núcleo del reactor, lo que corresponde a un aumento funcional de la potencia del reactor, y

ii)

al menos una etapa de alarma (II) de más alto nivel prevé como estrategia de estabilización una intervención en el control del reactor en la que se introducen varios elementos absorbedores en el núcleo del reactor para provocar una reducción funcional de la potencia del mismo.

16. Procedimiento según la reivindicación 15, caracterizado porque como estrategia de estabilización se introducen lentamente en una primera etapa de alarma de más alto nivel varias barras de mando, lo que corresponde a una reducción funcional de la potencia, y en una segunda etapa de alarma (II) de más alto nivel se introducen rápidamente varios elementos absorbedores.

17. Procedimiento según la reivindicación 15 o 16, caracterizado porque como estrategia de estabilización, en una etapa de alarma (IV) de máximo nivel, se reduce la potencia del reactor lo más rápidamente posible a cero para provocar una parada de emergencia (SCRAM) del mismo.

18. Procedimiento según una de las reivindicaciones 15 a 17, caracterizado porque mediante el criterio de control se determina el instante o, al menos, los parámetros para la determinación de dicho instante, en el que el reactor se hace funcionar de nuevo normalmente antes del inicio de una estrategia de estabilización correspondiente a la etapa de alarma momentánea.

19. Procedimiento según una de las reivindicaciones 15 a 18, caracterizado porque, para valores de amplitud (A_{n}) por encima del límite de ruido, el criterio de control está activo únicamente hasta que los valores de amplitud detectados corresponden a una frecuencia situada dentro de una banda de frecuencias crítica predeterminada.

20. Procedimiento según la reivindicación 19, caracterizado porque se predetermina como banda de frecuencias crítica un intervalo de 0,3 a 0,7 Hz.

21. Procedimiento según la reivindicación 19 o 20, caracterizado porque los valores medidos (A_{(t)}) se analizan con una frecuencia de barrido superior a aproximadamente 20 Hz, ventajosamente de aproximadamente 50 Hz, para determinar si aparecen valores de amplitud (A_{n}) y si se cumplen los criterios de control.

22. Procedimiento según una de las reivindicaciones 19 a 21, caracterizado porque se determina la tasa de crecimiento (DA) de las amplitudes a partir de los valores medidos locales y los criterios de control dependen de la tasa de crecimiento (DA) detectada.

23. Procedimiento según la reivindicación 22, caracterizado porque para cada etapa de alarma salida de la tasa de crecimiento (DA) se determina un valor umbral (A1, A2, A3) para los valores de amplitud detectados, y la estrategia de estabilización que corresponde a la etapa de alarma momentánea únicamente se inicia una vez rebasado dicho valor umbral.

24. Procedimiento según la reivindicación 22, caracterizado porque para cada etapa de alarma se determina un valor umbral (DA2) para la tasa de crecimiento (DA) determinada a partir de las amplitudes detectadas, y la estrategia de estabilización que corresponde a la etapa de alarma momentánea se selecciona e inicia en función del rebasamiento de dicho valor umbral.

25. Procedimiento según una de las reivindicaciones 15 a 24, caracterizado porque en el dispositivo de control trabajan de forma redundante varios sistemas, detectando cada sistema los valores medidos locales de varias zonas distribuidas por todo el núcleo del reactor y constituyendo una etapa de alarma asignada a la respectiva zona momentánea asignada; porque se escoge una etapa de alarma de entre las etapas de alarma momentáneas de los sistemas individuales, y porque se inicia la estrategia de estabilización perteneciente a la etapa de alarma seleccionada.

26. Procedimiento según una de las reivindicaciones 15 a 25, caracterizado porque a continuación se analiza cada valor medido (S) local para ver si toma un valor extremo en intervalos de tiempo equidistantes, y porque se recurre a este valor medido (S) local para seleccionar la etapa de alarma momentánea únicamente mientras el mismo presenta una sucesión equidistante de estos valores extremos.

27. Procedimiento para el control de la estabilidad de un núcleo de reactor en un reactor de agua hirviente respecto a la oscilación local desestabilizadora de una magnitud física, con las siguientes características:

a)

en varias zonas (2', 2'') del núcleo del reactor (1) se disponen respectivamente varios sensores (4a, 4b, 4c, 4d) para medir la magnitud física, se agrupan las señales de salida de estos sensores en un número Mp de canales zonales y se asignan a cada canal zonal (4 a 19) respectivamente una zona (2'') y unos sensores (4a...4d) situados en ella para la emisión de una señal zonal (S, A_{n}, T_{n}, DA),

b)

los canales zonales se agrupan en un número P de canales de sistema (20, 20'), emitiendo una señal de sistema, y

c)

las señales de sistema se asignan a un canal final (24), emitiendo una señal final ("alarma"), por el cual

d)

en cada señal final se establece, mediante etapas de control y de selección, una señal final de alarma, y mediante la señal final puede iniciarse una estrategia de estabilización en un procedimiento según una de las reivindicaciones 1 a 26, mientras, al menos en un número Np predeterminado de los canales de sistema, se compruebe respectivamente si en un número mínimo Nmp del respectivo canal de sistema (p) se cumple un criterio de control en varios periodos de oscilación,

e)

la señal de salida de cada sensor (4a, 4b, 4c, 4d) afecta como máximo a una única señal zonal y cada señal zonal afecta como máximo a una única señal de sistema, y

f)

las señales zonales de un canal de sistema se constituyen respectivamente a partir de las señales de salida de unos sensores situados en zonas distribuidas de tal modo a lo largo de la sección transversal (1) del núcleo del reactor que las zonas contiguas respectivamente a una zona de este tipo contienen sensores -preferentemente sólo este tipo de sensores- cuyas señales de salida se asignan a canales zonales de otros canales de sistema.

28. Dispositivo para supervisar la estabilidad de un reactor de agua hirviente respecto a la oscilación local desestabilizadora de una magnitud física del núcleo (1) que contiene una etapa de selección de sistema (24), un número P de etapas de selección de zona (20, 20'), para cada etapa de selección de zona un número Mp de etapas de control de zonas, y para cada etapa de control de zonas (4, ...19) una etapa de sensor (4, 11) con varios sensores (4a, 4b, 4c, 4d), dispuestos dentro de una zona del núcleo y asignados a dicha etapa de control de zonas, con las características siguientes:

a)

los sensores (4a, 4b, 4c, 4d) asignados respectivamente a una etapa de control de zonas (4, ...19) suministran señales de medida agrupadas en una señal zonal (S) para la magnitud física, cada señal zonal (S) se supervisa en la etapa de control de zonas (17) asignada a los sensores según un criterio de control, y cada etapa de control de zonas suministra una señal zonal que contiene una señal de control de zona,

b)

cada señal zonal está sometida al menos a una de las etapas de selección de zona (20, 20') que constituye una señal de control de sistemas a partir de un número mínimo (Nmp) predeterminado de señales de control de zonas, y

c)

cada señal de control de sistemas se transmite a la etapa de selección de sistema (24), la cual suministra, mediante un número mínimo predeterminado de sistemas (Np = 2) una señal de control final con la que puede iniciarse una estrategia de estabilización en un procedimiento según una de las reivindicaciones 1 a 26.

29. Dispositivo para supervisar la estabilidad de un reactor de agua hirviente respecto a la oscilación local desestabilizadora de una magnitud física con las características siguientes:

a)

en varias zonas (2', 2'') del núcleo del reactor (1) se disponen respectivamente varios sensores (4a, ...4d) para medir la magnitud física, y las señales de salida de varios sensores de una zona (2', 2'') se agrupan respectivamente en una señal zonal (S) asignada,

b)

a cada señal zonal se le asigna una etapa de evaluación (12) que identifica en la señal zonal la aparición de valores extremos (A_{n}) de la magnitud física y determina, para una oscilación de frecuencia constante, la tasa de crecimiento (DA) de los valores extremos en esta zona,

c)

a la etapa de evaluación (12) se le asigna como mínimo una etapa de control (17, 23) que establece una señal de alarma tan pronto como en al menos un número (Nmp = 2) predeterminado de zonas los valores extremos cumplen el criterio de control local dependiente de la tasa de crecimiento (DA) obtenida, y

d)

mediante la señal de alarma puede iniciarse una estrategia de estabilización en un procedimiento según una de las reivindicaciones 1 a 26.

30. Procedimiento según la reivindicación 29, caracterizado porque la etapa de control (51) interviene cuando los valores extremos de la magnitud física cumplen un valor límite (A1) predeterminado en función de la tasa de crecimiento obtenida.

31. Procedimiento según la reivindicación 30, caracterizado porque la etapa de control constituye varios valores límite (A1, A2, A3) en función de la tasa de crecimiento (DA) obtenida, y la señal de alarma establecida indica cuál de los valores límite es sobrepasado por los valores extremos identificados.

32. Dispositivo para supervisar la estabilidad de un reactor de agua hirviente respecto a la oscilación local desestabilizadora de una magnitud física con las características siguientes:

a)

en varias zonas (2', 2'') del núcleo del reactor (1) se disponen respectivamente varios sensores (4a, 4b, 4c, 4d) para medir la magnitud física, y las señales de salida de varios sensores de una zona se agrupan respectivamente en una señal zonal (S) asignada,

b)

a cada señal zonal se le asigna una etapa de evaluación (12) que identifica en la señal zonal la aparición de una oscilación de frecuencia constante,

c)

a las etapas de evaluación asignadas a las distintas señales zonales se les asigna medios (17) de control que seleccionan, de entre una jerarquía de etapas de alarma (I, II, III, IV) y según criterios de supervisión (valores límite A1, A2, A3, A4) predeterminados, una etapa de alarma para las oscilaciones identificadas en, al menos, un número (Nmp = 2) predeterminado de zonas, y correspondientemente a la etapa de alarma seleccionada determinan el instante en el que se emite un comando de emergencia ("alarma") para la iniciación de una estrategia de estabilización correspondiente a una de las etapas de alarma en un procedimiento según una de las reivindicaciones 1 a 26.