BRPI1103753A2

BRPI1103753A2 - sistema de tratamento de sinais redundantes, processo de tratamento de sinais redundantes, sistema de comandos de vâo elÉtricos para aeronave e aeronave

Info

Publication number: BRPI1103753A2
Application number: BRPI1103753-9A
Authority: BR
Inventors: Remy Dayre; Gregory Schott; Pierre Fabre
Original assignee: Airbus Operations Sas
Priority date: 2010-08-24
Filing date: 2011-08-24
Publication date: 2012-12-25
Also published as: US20120053761A1; FR2964210B1; CA2751114C; CN102375410B; FR2964210A1; CA2751114A1; CN102375410A

Abstract

"SISTEMA DE TRATAMENTO DE SINAIS REDUNDANTES, PROCESSO DE TRATAMENTO DE SINAIS REDUNDANTES, SISTEMA DE COMANDOS DE VOO ELÉTRICOS PARA AERONAVE E AERONAVE". A presente invenção refere-se a um sistema (12) de tratamento de sinais redundantes (X1,...,XN), a um processo associado bem como a uma aeronave (2) compreendendo tal sistema, com o intuito de monitorar e apassivar as panes intermitentes ou oscilantes que afetam as fontes (20) destes sinais redundantes. O sistema compreende: - um módulo (120) de cálculo de um sinal últil corrente (U) a partir de sinais redundantes; - um módulo (124) de monitoramento e de apassivação, capaz de detectar um sinal errôneo levado, e afastar do cálculo, em função de pelo menos um critério (T), o referido sinal errôneo; e - um meio de desvio (122,1220), assim que um sinal errôneo for detectado, para um modo de paralisação (M2) que paralisa o sinal últil de saída, e para retornar, assim que mais nenhum sinal errôneo for detectado, para um modo de emissão (M1) em que o sinal últil corrente é emitido com sinal últil de saída (X).

Description

"SISTEMA DE TRATAMENTO DE SINAIS REDUNDANTES, PROCESSO DE TRATAMENTO DE SINAIS REDUNDANTES, SISTEMA DE COMANDOS DE VOO ELÉTRICOS PARA AERONAVE E AERONAVE"

A presente invenção refere-se a um sistema de tratamento de sinais redundantes, a um processo associado bem como a uma aeronave compreendendo tal sistema, com o intuito de monitorar e apassivar as panes intermitentes ou oscilantes que afetam as fontes destes sinais redundantes.

Hoje em dia, muitos sistemas utilizam vários sinais redundantes representativos de uma mesma grandeza física e provenientes de várias fontes. É o caso, especialmente, dos sistemas embarcados nos meios de locomoção, como por exemplo, os sistemas de comandos de voo elétricos previstos nas aeronaves.

De fato, a utilização de várias "fontes redundantes ,aumenta consideravelmente a confiabilidade dos sistemas que as utilizam.

Por razões de concisão, embora ela se aplique a qualquer tipo de sistema, a invenção será ilustrada daqui em diante principalmente em referência a tais sistemas de comandos de voo elétricos.

Dessa forma, a figura 1 mostra esquematicamente um processador 1 de um sistema de comandos de voo elétricos para aeronave 2. 0 processador 1 carrega instruções {Ci} provenientes dos pilotos, tais como a posição do manche, e as traduz (bloco 10) em objetivos de comando {Oi}. Paralelamente, são realizadas medidas de valores representativos de grandezas físicas, tais como medidas anemométricas e/ou GPS e/ou inerciais, por meio de sensores 20 da aeronave. Na figura, e para a sequencia da descrição, somente um valor entre o conjunto de valores que são gerados é representado e levado em conta, notado X, embora a invenção também se aplique quando vários valores são levados em conta.

Os objetivos de comando {Oi} e os valores X são utilizados pelas leis de pilotagem 11 para calcular ordens de mecanismos de direção apropriados {OGi}. Como o sistema de comandos de voo elétricos é crucial, o processador 1 que ele integra carrega a mesma grandeza física X por meio de várias fontes redundantes 20, geralmente através de uma redundância dupla ou tripla. Os valores carregados destas fontes redundantes são representados na figura na forma dos sinais {XI,...,XN}. 0 uso de sinais redundantes permite consolidar o valor útil X enviado para as leis de pilotagem 11 utilizando princípios de monitoramento e de apassivação das fontes aplicados por um sistema de tratamento de sinais redundantes 12.

O monitoramento de panes nas fontes pelo módulo 12 é realizado pela análise dos sinais redundantes {X1,...,XN}, geralmente a fim de determinar e afastar um sinal que se revela errôneo durante um tempo predeterminado, notado T (e, portanto, afastado da fonte defeituosa associada).

A apassivação das fontes consiste em limitar o efeito de tal falha para evitar, por exemplo, o início de saturação (ou "embarquement") do valor X.

Estes mecanismos foram parcialmente abordados na publicação "Evaluation of time-varying availability in multi-echelon spare parts systems with passivation", Hoong Chuin Lau e outros, 2004.

A título ilustrativo, nos processadores de leis de comando 1, o monitoramento das fontes pode ter a forma de uma comparação, entre eles, dos sinais {XI,...,XN} provenientes das diferentes fontes redundantes, por exemplo, determinando a diferença entre cada um destes sinais e uma combinação linear destes. Em seguida, uma falha é declarada e a fonte correspondente é afastada quando essa diferença para um dos sinais for superior a um limite de tolerância (ou de monitoramento) durante o tempo T.

Para limitar o efeito da falha sobre as leis de pilotagem 11 e sobre o comportamento do avião 2 durante o tempo T necessário para a detecção da falha, os algoritmos de apassivação das falhas são então aplicados. Estes consistem, por exemplo, em paralisar, durante um tempo T+s, o valor útil X no instante tO da detecção de uma diferença de uma fonte com as outras. Dessa forma, o valor útil no instante t é o valor no instante tO se tO<t<tO+T+s. No fim do período Τ+ε, o sinal útil volta a ser o sinal corrente.

Estes mecanismos, contudo, não estão sempre adaptados ao monitoramento e à apassivação de panes intermitentes ou oscilantes que afetam os sinais das fontes {XI,...,XN}. Por exemplo, no caso em que um sinal redundante se revela alternadamente válido e errôneo durante um tempo T, os mecanismos de monitoramento do estado da técnica não vão acionar uma detecção de falha nem um afastamento da fonte correspondente, pois nenhum sinal terá sido errôneo durante todo o tempo T.

Dessa forma, no final do período Τ, o valor útil X corre o risco de ser, ele também, errôneo, pois levou em conta o sinal corrente alternadamente errôneo. Os mecanismos de monitoramento e de apassivação, portanto, não são suficientemente robustos para os diferentes tipos de panes existentes, especialmente, as panes intermitentes ou oscilantes.

A presente invenção visa remediar esse inconveniente propondo especialmente um sistema de tratamento de sinais redundantes, compreendendo:

entradas para receber uma pluralidade de sinais redundantes provenientes de fontes; - um módulo de cálculo de um sinal útil corrente a partir de sinais redundantes de entrada;

- um módulo de monitoramento e de apassivação das fontes, capaz de detectar um sinal errôneo levado em conta no dito cálculo, e afastar do cálculo, em função de pelo

menos um critério (por exemplo, o período T mencionado acima), o referido sinal errôneo; e

- uma saída para emitir, como sinal útil de saída, o citado sinal útil corrente calculado quando nenhum sinal errôneo foi detectado;

caracterizado pelo fato de compreender, além disso, um meio de desvio, assim que um sinal errôneo for detectado, para um modo de paralisação em que o sinal útil de saida é paralisado na saida, e para retornar, assim que mais nenhum sinal errôneo for detectado, para um modo de emissão em que o sinal útil corrente calculado é emitido como sinal útil de saida. A presente invenção oferece assim mecanismos de monitoramento e de apassivação mais eficientes. De fato, o monitoramento de acordo com a invenção sempre garante a detecção e o afastamento das fontes falhas, enquanto a apassivação é nitidamente melhorada pela utilização do meio de desvio.

Isso é especialmente o resultado do fato de, daqui em diante, o desvio entre o modo de paralização do sinal útil de saida e o modo de emissão do sinal útil calculado ser acionado em "tempo real", isto é, assim que uma pane (falha) é detectada ou sanada.

Dessa forma, garante-se que nenhum sinal útil de saida seja o resultado de um cálculo efetuado a partir de um sinal de entrada errôneo, contrariamente às técnicas conhecidas menos robustas em relação às panes do tipo intermitentes ou oscilantes.

Com o fim de aumentar a robustez do sistema, pode-se prever que o sistema compreenda meios para determinar, em um espaço de tempo variável, uma grandeza representativa do tempo durante o qual o sistema está no modo de paralização de maneira a afastar do cálculo, assim que essa grandeza atingir um valor limite de afastamento, pelo menos um sinal detectado como errôneo durante a duração do dito espaço de tempo.

Essa disposição permite afastar definitivamente, contrariamente às técnicas conhecidas, uma fonte falha enquanto ela sofrer uma pane do tipo intermitente ou oscilante. Esse afastamento permite então efetuar novamente os cálculos do sinal útil corrente unicamente por meio das fontes confiáveis. 0 valor limite de afastamento pode ser ajustado para regular a sensibilidade dos mecanismos de afastamento em função da freqüência das panes intermitentes ou oscilantes.

Essa robustez aumentada revela-se particularmente eficiente quando o sinal útil de saída é utilizado como referência de controle em um sistema terceiro. De fato, na ausência desse mecanismo de determinação, o sinal útil de saída poderia ser semiparalisado no tempo, podendo levar a uma divergência das ordens pela malha de controle.

Em particular, o módulo de monitoramento e de apassivação é concebido para determinar, no espaço de tempo variável, uma grandeza representativa do tempo durante o qual um sinal é detectado como errôneo de maneira a afastar do cálculo o sinal detectado como errôneo assim que essa grandeza atingir o citado valor limite de afastamento. Essa disposição garante uma identificação mais precisa do sinal errôneo e, portanto, da fonte a afastar, pois um contador de tempo (isto é, a dita grandeza) pode ser acrescido a cada entrada.

Em um modo de realização, o módulo de monitoramento e de apassivação compreende um meio capaz de gerar, para pelo menos um sinal de entrada, uma variável booleana representativa de um estado errôneo ou não do sinal de entrada.

Essa disposição permite obter uma ferramenta (a variável booleana) eficiente para controlar tanto os mecanismos de apassivação (o desvio) quanto os mecanismos de monitoramento (o afastamento), particularmente em presença de panes intermitentes ou oscilantes, pois essa variável booleana permite facilmente instituir estatísticas a partir das quais decisões podem ser tomadas.

De fato, de acordo com uma característica particular da invenção, a variável booleana de um sinal de entrada comanda um contador que contabiliza a citada grandeza no espaço de tempo variável, e o modulo de monitoramento e de apassivação compreende um comparador do contador com o valor limite de afastamento para gerar um sinal de afastamento do sinal de entrada associado ao contador, destinado ao modulo de cálculo.

A utilização de um contador comandado pela variável booleana assim gerada revela-se de execução pouco complexa, tanto por meio de instruções lógicas quanto por meio de circuitos materiais.

Isso é especialmente ressaltado por uma realização na qual se prevê que o contador compreenda:

- um comutador comandado pela variável booleana entre uma posição ligada a um registro valendo "1" e uma posição

ligada a um registro valendo "0";

- um somador que recebe, na entrada, o valor de saida do comutador e o valor de saida do contador, de maneira a incrementar o contador da variável booleana;

- um atraso igual à duração do espaço de tempo variável, que recebe, na entrada, o valor de saida do comutador;

- um subtrator para subtrair, na saida do somador, o valor atrasado na saida do atraso e assim produzir um valor de saida do contador.

Nessa disposição, o contador é realizado por meio de lógicas de implementação relativamente simples.

De acordo com uma característica da invenção, o módulo de monitoramento e de apassivação compreende um contador associado a cada sinal de entrada e é concebido para gerar uma variável booleana representativa de um estado errôneo para cada sinal de entrada. Dessa forma, é fácil identificar o sinal de entrada (e, portanto, a fonte) a afastar devido a uma pane intermitente ou oscilante. Em variante, quando dois sinais de entrada são levados em conta durante o citado cálculo, o módulo de monitoramento e de apassivação compreende um único contador e é concebido para gerar uma única variável booleana representativa de um estado errôneo comum aos dois sinais de entrada. Essa disposição limita os recursos utilizados e se adapta aos casos de uma redundância dupla em que os erros são determinados relativamente aos dois valores carregados. De fato, nesse caso, os dois valores geralmente são ambos declarados como errôneos.

Em um modo de realização, o meio capaz de gerar uma variável booleana representativa de um estado errôneo de um sinal de entrada compreende um comparador cuja saida corresponde à mencionada variável booleana, e que compara a diferença entre o dito sinal de entrada e um sinal de referência calculado a partir dos referidos sinais de entrada com um valor limite de tolerância. O sinal de referência pode especialmente ser igual ao sinal útil corrente calculado ou realizar cálculos distintos. Note- se que a diferença pode ser obtida pela simples implementação de uma lógica de subtração na presença de apenas dois sinais redundantes de entrada. Esse modo de realização também se revela de implementação simples. Em particular, o módulo de monitoramento e de apassivação compreende uma função lógica OU que recebe, na entrada, as variáveis booleanas representativas de um estado errôneo dos sinais de entrada levados em conta no cálculo, e que gera, na saida, um sinal de comando do meio de desvio. Essa lógica, de implementação simples, permite obter um único sinal que comanda eficientemente os mecanismos de apassivação das panes de acordo com a invenção.

Em um modo de realização da invenção, o meio de desvio compreende um comutador comandado pelo módulo de monitoramento e de apassivação para comutar, em direção à dita saida, no modo de paralização, o sinal útil de saida, e, no modo de emissão, o sinal útil corrente calculado. A titulo de exemplo, no modo de paralização, o comutador pode ter em laço sobre si mesmo um módulo de saida do sinal útil.

Em particular, o meio de desvio pode compreender, além disso, um limitador de rampa capaz de realizar uma transição controlada entre o sinal útil de saida paralisado e o sinal útil corrente calculado durante um desvio para o modo de emissão. Essa disposição permite evitar transições muito brutais quando, por exemplo, o sinal útil corrente que resulta do afastamento de uma fonte é nitidamente diferente do sinal útil de saida que foi paralisado durante o período de monitoramento que levou a esse afastamento.

Simultaneamente, a invenção refere-se a um processo de tratamento de sinais redundantes, compreendendo as seguintes etapas:

recepção, na entrada, de uma pluralidade de sinais redundantes provenientes de fontes;

- cálculo de um sinal útil corrente a partir de sinais redundantes de entrada;

- detecção de pelo menos um sinal errôneo levado em conta no dito cálculo, e afastamento do cálculo, quando pelo menos um critério for verificado, do referido sinal errôneo; e

- emissão, como sinal útil de saída, do citado sinal útil corrente calculado quando nenhum sinal errôneo foi detectado;

caracterizado pelo fato de compreender:

- assim que um sinal errôneo for detectado, uma etapa que consiste em paralisar o sinal útil de saída; e

- assim que mais nenhum sinal errôneo for detectado, uma etapa que consiste em retornar para um modo de emissão em que o sinal útil corrente calculado é emitido como sinal útil de saída.

0 processo apresenta vantagens semelhantes às do sistema de tratamento descrito acima, e especialmente o fato de o sinal útil de saída nunca ser corrompido por um sinal de entrada errôneo que teria sido levado em conta durante o mencionado cálculo. De maneira opcional, o processo pode compreender etapas referentes às características do sistema descritas acima. Em particular, o processo pode compreender uma etapa de determinação, em um espaço de tempo variável, de uma grandeza representativa do tempo durante o qual um sinal é errôneo, de maneira a afastar do cálculo o sinal errôneo assim que essa grandeza atingir um valor de limite de afastamento.

Por outro lado, pode-se prever a geração, para pelo menos um sinal de entrada, de uma variável booleana representativa de um estado errôneo ou não do sinal de entrada; a utilização dessa variável booleana para atualizar um contador que contabiliza, no espaço de tempo variável, a referida grandeza, e a comparação do contador com o valor limite de afastamento para gerar um sinal de afastamento do sinal de entrada associado ao contador; a utilização dessa variável booleana para comandar um comutador previsto para comutar na saida, no modo de paralisação, o sinal útil de saida, e, o no modo de emissão, o sinal útil corrente calculado.

A invenção também se refere a um sistema de comandos de voo elétricos para aeronave, compreendendo um processador que recebe instruções e sinais redundantes proveniente de fontes, sendo que o dito processador compreende um módulo de leis de pilotagem que recebe informações correspondentes às instruções e pelo menos um sinal útil para gerar ordens para os mecanismos de direção da aeronave, e compreende um sistema de tratamento tal como descrito acima capaz de tratar os sinais redundantes recebidos para gerar o citado sinal útil na entrada do módulo de leis de pilotagem.

A invenção também se refere a uma aeronave compreendendo um sistema de comandos de voo elétricos tal como descrito acima.

0 sistema de comandos de voo elétricos e a aeronave apresentam vantagens semelhantes às do sistema de tratamento descrito acima, e podem compreender, de maneira opcional, meios que se referem às características do sistema de tratamento descrito acima.

Outras particularidades e vantagens da invenção ressaltarão da descrição a seguir, ilustrada pelos desenhos anexos cujas figuras são relacionadas abaixo. A figura 1 representa um sistema de comandos de voo elétricos para aeronave; A figura 2 ilustra esquematicamente um sistema de tratamento de sinais redundantes de acordo com a presente invenção;

A figura 3 ilustra a determinação de um sinal de referência no caso de redundância tripla, implementada no sistema da figura 2;

A figura 4 representa esquematicamente um módulo de saida do sistema de tratamento da figura 2;

A figura 5 representa um módulo de monitoramento de um sinal XI, incorporado no sistema da figura 3, no caso de uma redundância tripla;

A figura 6 representa esquematicamente componentes de um sistema de tratamento de sinais redundantes de acordo com a invenção, no caso de uma redundância tripla; A figura 7 ilustra um módulo de afastamento do sistema da figura 2, previsto para determinar se um sinal de entrada deve ser afastado;

A figura 8 representa esquematicamente um sistema de tratamento de sinais redundantes de acordo com a invenção, no caso de uma redundância tripla, porém utilizando unicamente dois sinais de entrada para gerar um sinal útil na saída;

A figura 9 representa um sistema de tratamento de sinais redundantes de acordo com a invenção, no caso de uma redundância múltipla; e A figura 10 representa um sistema de tratamento de sinais redundantes de acordo com a invenção, no caso de uma redundância dupla.

A figura 2 ilustra esquematicamente um sistema de tratamento de sinais redundantes de acordo com um modo de realização da invenção. O sistema da figura 2 pode especialmente consistir em um sistema 12 que faz parte de um processador de comandos de voo elétricos da figura 1. O sistema 12 compreende entradas El,...,EN para receber a pluralidade de sinais redundantes Xl,...,XN provenientes das fontes 20, um módulo de cálculo 120 de um sinal útil corrente U a partir de sinais redundantes de entrada, por exemplo, de acordo com uma função F: U=F(XI,...,XN), um módulo de saida 122 ligado ao módulo de cálculo 120 para emitir, como sinal útil de saida X, o dito sinal útil corrente calculado U em um modo Ml de emissão normal. O módulo 120 de cálculo do sinal útil corrente U pode implementar diferentes técnicas de cálculo do sinal ou de seleção de um sinal representativo entre os sinais redundantes Xl,...,XN na entrada.

A figura 3 ilustra, por exemplo, a seleção de um sinal mediano quando os sinais redundantes de entrada são em número de três: XI, X2 e X3.

Nesse exemplo, o módulo 120 efetua uma votação entre os três sinais de entrada, o que consiste em assumir, em um determinado instante, como valor de referência (e, portanto, como valor útil corrente U) , o valor mediano dos três valores correspondentes aos sinais de entrada. O valor mediano é especialmente o valor que está compreendido entre os dois outros (em negrito na figura). No caso de uma redundância dupla (somente dois sinais de entrada Xl e X2), o valor de referência U pode ser a média dos dois valores.

De maneira geral, o modulo de cálculo 120 também pode implementar uma função linear dos sinais de entrada Xl,...,XN (por exemplo o valor médio

De volta à figura 2, o sistema também compreende um módulo 124 de monitoramento e de apassivação das fontes que recebe na entrada os sinais redundantes Xl,...,XN e que gera um sinal de apassivação SP para o módulo de saida 122 assim que detectar que um sinal redundante Xl,...,XN levado em conta no dito cálculo é errôneo, e que gera um sinal de afastamento SE de um sinal redundante Xl,...,XN assim que essa detecção do sinal errôneo satisfizer pelo menos um critério, por exemplo, um limite temporal em um espaço de tempo variável de duração T, como se verá a seguir.

Em variante, esse afastamento pode ser ativado imediatamente no caso de erro considerável do sinal (amplitude demasiada, etc.).

0 módulo de saida 122 compreende especialmente um meio de desvio, na recepção de um sinal de apassivação SP indicando que um sinal errôneo foi detectado, para um modo M2 de paralização em que o sinal útil de saida X é paralisado na saida S, e para retornar, na ausência de sinal de apassivação SP (portanto, assim que mais nenhum sinal errôneo é detectado) , para o modo Ml de emissão em que o sinal útil corrente calculado U é emitido como sinal útil de saida X.

De maneira geral, os diferentes módulos descritos aqui podem ser ritmados por um mesmo relógio de tal modo que durante um ciclo de relógio (de t-1 a t) , o conjunto dos cálculos seja realizado. A titulo de ilustração, o sinal de apassivação SP pode assim ser atualizado a cada ciclo de relógio.

Δ figura 4 ilustra um modo de realização do módulo 122, compreendendo um comutador 1220 comandado pelo sinal de apassivação SP proveniente do módulo 234 e um limitador de rampa 1222.

No modo Ml de emissão (na ausência de um sinal SP ou sinal nulo) , o comutador 1220 está na posição Pl para fornecer, na entrada do limitador 1222, o sinal útil corrente U calculado pelo módulo 120. Em funcionamento estacionário, isto é, quando seu valor de saida s=X é igual ao valor de entrada e, o limitador 1222 transmite o sinal na entrada limitando sua velocidade de variação a um valor máximo. No modo M2 de paralisação (na presença de um sinal SP ou sinal não nulo), o comutador 1220 comuta para uma segunda posição P2 na qual o limitador 1222 está montado em laço sobre si mesmo permitindo memorizar o valor útil de saída nesse instante. Nesse caso, o valor de saída X é paralisado, evitando levar em conta um valor U que poderia ser o resultado de um cálculo baseado em um sinal XI,...,XN errôneo.

Por outro lado, o limitador 1222 pode ser parametrizado por uma constante k que define uma rampa ou taxa máxima de transição. Dessa forma, quando o comutador 1220 desvia de volta para a primeira posição Pl (pois dali em diante mais nenhum sinal SP é emitido), o limitador 1222 assegura que o valor útil de saída S=X se aproxima progressivamente (transição progressiva em função do parâmetro k) do valor de entrada e=U, se esses dois valores forem diferentes no momento do desvio de volta. Será descrito agora, em referência às figuras 5 e 8, um módulo de monitoramento e apassivação 124 no caso de uma redundância tripla (XI, X2, X3).

Nesse exemplo, o monitoramento/apassivação se baseia no voto do sinal mediano entre os sinais de entrada para obter um valor de referência para o monitoramento, notado VR, obtido, por exemplo, de maneira semelhante ao da figura 3. Evidentemente, os mecanismos de obtenção do valor de referência para o monitoramento VR podem ser de outra natureza (por exemplo, cálculo de uma função linear) e podem especialmente ser distintos dos cálculos implementados no módulo de cálculo 120. Contudo, ao se utilizar os mesmos cálculos pode-se reduzir a complexidade técnica da implementação.

Cada sinal de entrada XI, X2, X3, em seguida, é comparado a esse valor de referência de monitoramento VR. Quando uma diferença demasiadamente grande é detectada, por comparação com um valor limite de tolerância a, um sinal de detecção positiva é gerado, por exemplo, uma variável booleana Bi (i=l, 2, 3) que assume o valor "verdadeiro" no caso de uma comparação positiva. Assim que a comparação volta a ser negativa, a variável booleana volta a assumir o valor "falso". A figura 5 mostra um exemplo de realização de tal mecanismo 1240i para o monitoramento unicamente do sinal de entrada XI. Dispositivos semelhantes são então previstos para cada um dos outros sinais de entrada.

0 mecanismo 1240i compreende uma lógica 200 de voto do valor mediano (como na figura 3) que recebe os sinais de entrada XI, X2, X3 e que gera o valor de referência para o monitoramento VR, compreende um subtrator 202 para calcular uma diferença subtraindo o valor do sinal de entrada considerado (aqui, o sinal XI) desse valor de referência VR, e compreende finalmente um comparador 204 para comparar essa diferença (resultado da subtração) com o limite de tolerância α. A saída do comparador 204 é a variável booleana Bl (respectivamente B2, B3) que assume o valor "verdadeiro" se a entrada Xl (respectivamente X2, X3) for muito diferente do valor de referência VR. As variáveis booleanas Bi assim produzidas a cada ciclo de relógio são carregadas na entrada de uma lógica OU 1242 cuja saída corresponde ao sinal de apassivação SP (figura 6) . De fato, assim que uma variável booleana Bi assume o valor "verdadeiro", um sinal de entrada é considerado errôneo e o sinal útil de saída X deve ser paralisado. 0 sinal SP permite ativar essa paralisação como descrito anteriormente. A figura 7 representa esquematicamente um módulo de afastamento 1244 de um sinal de entrada XI, X2, X3 (válido qualquer que seja o número de entradas) que permite afastar do cálculo pelo módulo 120 um sinal redundante de entrada mesmo se a fonte correspondente sofre panes intermitentes ou oscilantes.

O módulo de afastamento 1244i recebe na entrada a variável booleana Bi associada ao sinal de entrada Xi que ela monitora (gerada essencialmente pelos mecanismos da figura 5) e fornece na saída um sinal de afastamento SEi que informa o módulo de cálculo 120 se há necessidade de afastar dos cálculos o sinal de entrada Xi. Nesse caso, a fonte correspondente 20 é declarada inválida e os cálculos são realizados somente com os sinais provenientes das fontes restantes.

Os mecanismos de afastamento pelo módulo de cálculo 120 permanecem clássicos e, portanto, não serão descritos mais detalhadamente.

Por outro lado, nota-se que no caso do afastamento de um sinal, esse último também pode ser afastado do monitoramento, especialmente o que incide sobre os outros sinais de entrada ainda válidos (por exemplo, afastado dos votadores 200 previstos para esses outros sinais).

Os tratamentos pelo módulo de afastamento 1244 são especialmente realizados paralelamente aos tratamentos do módulo de monitoramento 1240 a cada ciclo de relógio. É prevista a mesma quantidade de módulos de afastamento 1244± que de sinais de entrada Xl,...,XN a monitorar (no nosso exemplo, 3 módulos 1244 para 3 sinais de entrada X1-X3).

Cada módulo de afastamento 1244i também é parametrizado por um prazo T que define um espaço de tempo variável F de monitoramento das fontes e por um limite de afastamento β.

O limite β define o limite do tempo passado por um sinal em um estado errôneo e acumulado no espaço de tempo, a partir do qual se decide que o sinal de entrada Xi deve ser afastado do cálculo do valor útil corrente U.

Δ duração T do espaço de tempo F é especialmente muito superior a um ciclo de relógio, por exemplo, da ordem de várias dezenas, e até de várias centenas de ciclos. A duração T do espaço de tempo e o limite β são fixados, de um lado, em relação a um critério de aceitabilidade das leis de pilotagem para trabalhar com uma porcentagem de tempo de paralisação e, de outro lado, em relação à robustez do monitoramento às perturbações em ambiente real quando não há pane. No exemplo da figura, o módulo de afastamento 1244i compreende um contador 300 que contabiliza, no espaço de tempo variável F, uma grandeza Ti representativa do tempo durante o qual o sinal de entrada Xi é considerado errôneo (portanto quando Bi="verdadeiro"), e compreende um comparador 350 que compara essa grandeza Ti com o valor limite de afastamento β.

Por exemplo, se β corresponde a uma taxa de erro no tempo (por exemplo, 25 %, 50 %, 75 % ou 90 % de acordo com a sensibilidade desejada), a comparação consiste em comparar Ti/T com β. O sinal de afastamento SEi gerado assume o valor "verdadeiro" assim que Ti/T > β, e o valor

"falso" caso contrário.

De preferência, esse sinal de afastamento assume irreversivelmente o valor "verdadeiro" de maneira que um sinal de entrada afastado do cálculo 120 não pode ser reintegrado posteriormente. Entretanto, o sistema pode

ser zerado por um operador, o que permite que todos os sinais de afastamento voltem a assumir o valor "falso". O contador 300 compreende:

- um comutador 302 comandado pela variável booleana Bi na entrada entre uma posição ligada a um registro 304

valendo "1" e uma posição ligada a um registro 306 valendo "0". Na saida do comutador em um instante t, dispõe-se assim de um bit bt que vale ou 1, ou 0;

- um somador 308 que recebe, na entrada, o valor bt de saida do comutador 302 e o valor Ti de saida do contador

300 no instante do ciclo de relógio anterior t-1, de maneira a incrementar o contador da variável booleana Bi;

- um atraso 310 igual à duração T do espaço de tempo variável F, que recebe, na entrada, o valor bt de saida do comutador 302. Esse atraso tem como objetivo permitir

a supressão do valor que foi incrementado a t-T de maneira a garantir que o contador 300 contabilize unicamente durante a duração do espaço de tempo variável F. Na saida do atraso 310, dispõe-se, portanto, em um instante t, o valor bt-τ;

- um subtrator 312 para subtrair, na saida do somador 308, o valor atrasado na saida do atraso 310 e assim produzir um valor de saida Ti do contador 300 para o instante t corrente. Essa subtração garante que se contabilize apenas durante o período T variável. Entre duas iterações sucessivas de um ciclo de relógio (entre t-1 e t), tem-se então: - na saída do somador 308: bt + Ti (t-1);

- na saída do atraso 310: bt-τ; e

- na saída do subtrator 312: Ti (t) = Ti (t-1) + bt - bt-T-

A figura 8 ilustra um caso particular em que apenas dois sinais de entrada entre os três sinais XI, X2, X3 são usados para calcular o sinal útil de saída X utilizado pelas leis de pilotagem 11. Evidentemente, esse caso pode ser estendido a qualquer utilização de j sinais de entrada entre N (N>j) sinais redundantes de entrada XI,...,XN.

Nesse exemplo, o módulo de cálculo 120 implementa então a função F(X1, X2) , unicamente função de Xl e X2, e apenas as duas variáveis booleanas Bl e B2 associadas aos dois sinais de entrada levados em conta são utilizadas para acionar o comutador 1220 do módulo de saída 122. As variáveis booleanas BI, B2 são, contudo, obtidas utilizando os três sinais de entrada X1-X3 no cálculo do valor de referência VR (por exemplo, por um votador do tipo 200) no seio dos blocos 1240i e 12402. Paralelamente, o monitoramento de comportamentos intermitentes e/ou oscilantes das fontes por módulos de afastamento é realizado somente para os sinais Xl e X2: prevê-se então unicamente dois módulos 1240i e 12402 que recebem respectivamente a variável booleana Bl e a variável booleana B2. O comportamento do sistema da figura 8 é, portanto, semelhante ao explicado acima, em que se desvia entre os modos Ml e M2 em função da detecção de um erro em Xl e X2.

A figura 9 resume esquematicamente os exemplos acima em um caso genérico de N sinais redundantes de entrada.

A figura 10 ilustra esquematicamente o caso de uma redundância dupla, isto é, em que apenas dois sinais Xl e Χ2 são fornecidos pelas fontes 20.

Os dois sinais redundantes de entrada Xl e X2 são comparados entre si por meio de um simples subtrator 202, em seguida verifica-se, por meio do comparador 204, se a diferença entre os dois sinais ultrapassa o limite de tolerância a. Se o limite for ultrapassado, a variável booleana B de saida assume o valor "verdadeiro". Senão, ela assume o valor "falso".

Note-se que essa comparação direta dos dois sinais entre si é equivalente a uma comparação de cada um deles com um valor de referência VR calculado como média destes dois sinais.

Paralelamente, um módulo de afastamento 1244, como descrito anteriormente, recebe a variável booleana B assim gerada e produz na saida um eventual sinal de afastamento SE. Em caso de afastamento, os dois sinais de entrada XI, X2 são ambos afastados dos cálculos do módulo 120, pois como o monitoramento é realizado em relação um ao outro, não é possível saber diretamente qual dos dois sinais de entrada é errôneo.

Os módulos 120 e 122 podem ser semelhantes aos descritos anteriormente, levando em conta especialmente a presença de dois sinais de entrada unicamente para o cálculo G(XI, X2) do módulo 120. Como descrito anteriormente, a invenção oferece ao mesmo tempo mecanismos de apassivação que permitem evitar qualquer discrepância do sinal útil de saída devido a uma pane de uma das fontes e qualquer contaminação do sinal útil de saída, e mecanismos de monitoramento das fontes que permitem detectar panes intermitentes e/ou oscilantes a fim de afastar estas fontes dos cálculos caso necessário.

A aplicação de uma análise do comportamento das panes em uma duração de um espaço de tempo variável assegura, além disso, que o sinal útil de saída não seja paralisado por muito tempo (no máximo a duração do limite β). Os diferentes meios, módulos e sistemas que constituem a presente invenção podem ser, integralmente ou em parte, implementados de maneira lógica e reciprocamente na forma de circuitos materiais, tais como circuitos lógicos programáveis (tipo FPGA, "Field-programmable gate array", que significa rede de portas programáveis in situ). Os exemplos que antecedem são apenas modos de realização da invenção que não se limita a eles.

Claims

1. Sistema de tratamento de sinais redundantes, compreendendo: - entradas (El,...,EN) para receber uma pluralidade de α sinais redundantes (XI,...,XN) provenientes de fontes (20); - um módulo (120) de cálculo de um sinal útil corrente (U) a partir de sinais redundantes de entrada; - um módulo (124) de monitoramento e de apassivação das fontes, capaz de detectar um sinal errôneo levado em conta no dito cálculo, e afastar do cálculo, em função de pelo menos um critério (T), o referido sinal errôneo; e - uma saida (S) para emitir, como sinal útil de saida (X) , o citado sinal útil corrente calculado (U) quando nenhum sinal errôneo foi detectado; caracterizado pelo fato de compreender, além disso, um meio de desvio (122, 1220), assim que um sinal errôneo for detectado, para um modo de paralisação (M2) em que o sinal útil de saida (X) é paralisado na saida (S), e para retornar, assim que mais nenhum sinal errôneo for detectado, para um modo de emissão (Ml) em que o sinal útil corrente calculado (U) é emitido como sinal útil de saida (X).

2. Sistema, de acordo com a reivindicação 1, caracterizado pelo fato de compreender méios para determinar, em um espaço de tempo variável (F) , uma grandeza (Ti) representativa do tempo durante o qual o sistema (12) está no modo de paralização (M2) de maneira a afastar do cálculo, assim que essa grandeza atingir um valor limite de afastamento (β) , pelo menos um sinal detectado como errôneo durante a duração (T) do dito espaço de tempo (F).

3. Sistema, de acordo com a reivindicação 2, caracterizado pelo fato de o módulo de monitoramento e de apassivação (124) ser concebido para determinar, no espaço de tempo variável (F) , uma grandeza (Ti) representativa do tempo durante o qual um sinal (XI,...,XN) é detectado como errôneo de maneira a afastar do cálculo o sinal detectado como errôneo assim que essa grandeza atingir o mencionado valor limite de afastamento (β).

4. Sistema, de acordo com qualquer uma das reivindicações 2 ou 3, caracterizado pelo fato de o módulo de monitoramento e de apassivação (124) compreender um meio (1240χ, ...,124On) capaz de gerar, para pelo menos um sinal de entrada (XI,...,XN), uma variável booleana (BI,...,BN) representativa de um estado errôneo ou não do sinal de entrada.

5. Sistema, de acordo com a reivindicação 4, caracterizado pelo fato de a variável booleana (BI,...,BN) de um sinal de entrada (XI,...,XN) comandar um contador (300) que contabiliza a citada grandeza (Ti) no espaço de tempo variável (F), e o módulo de monitoramento e de apassivação (124) compreender um comparador (350) do contador (300) com o valor limite de afastamento (β) para gerar um sinal de afastamento (SEi,...,SEn) do sinal de ^ntraHs associado ao contador, destinado ao módulo de cálculo (120) .

6. Sistema, de acordo com a reivindicação 5, caracterizado pelo fato de o contador (300) compreender: - um comutador (302) comandado pela variável booleana BI,...,BN) entre uma posição ligada a um registro (304) valendo "1" e uma posição ligada a um registro (306) valendo "0"; - um somador (308) que recebe, na entrada, o valor de saida (bt) do comutador (302) e o valor de saida do contador (Ti), de maneira a incrementar o contador da variável booleana (Bi,...,BN); - um atraso (310) igual à duração (T) do espaço de tempo variável (F) , que recebe, na entrada, o valor (bt) de saida do comutador (302). - um subtrator (312) para subtrair, na saida do somador (308), o valor atrasado (bt-T) na saida do atraso (310) e assim produzir um valor de saida do contador (300).

7. Sistema, de acordo com qualquer uma das reivindicações de 4 a 6, caracterizado pelo fato de o meio (1240i, ..., 1240n) capaz de gerar uma variável booleana (BI,...,BN) representativa de um estado errôneo de um sinal de entrada (XI,...,XN) compreender um comparador (204) cuja saida corresponde à mencionada variável booleana, e que compara a diferença entre o dito sinal de entrada (XI,...,XN) e um sinal de referência (VR) calculado a partir dos referidos sinais de entrada com um valor limite de tolerância (a).

8. Sistema, de acordo com qualquer uma das reivindicações de 4 a 7, caracterizado pelo fato de o módulo de monitoramento e de apassivação (124) compreender uma função lógica OU (1242) que recebe, na entrada, as variáveis booleanas (BI,...,BN) representativas de um estado errôneo dos sinais de entrada (XI,...,XN) levados em conta no cálculo, e que gera, na saida, um sinal de comando (SP) do meio de desvio (120, 1220) .

9. Sistema, de acordo com qualquer uma das reivindicações de 1 a 8, caracterizado peln fato de o meio de desvio (120) compreender um comutador (1220) comandado pelo módulo de monitoramento e de apassivação (124) para comutar, em direção à dita saida (S), no modo de paralização (M2), o sinal útil de saida (X), e, no modo de emissão (Ml), o sinal útil corrente calculado (U).

10. Sistema, de acordo com a reivindicação 9, caracterizado pelo fato de o meio de desvio (120, 1220) compreender, além disso, um limitador de rampa (1222) capaz de realizar uma transição controlada entre o sinal útil de saida (X) paralisado e o sinal útil corrente calculado (U) durante um desvio para o modo de emissão (Ml) .

11. Processo de tratamento de sinais redundantes, compreendendo as seguintes etapas: - recepção, na entrada, de uma pluralidade de sinais redundantes provenientes de fontes (20); - cálculo de um sinal útil corrente (U) a partir de sinais redundantes de entrada; - detecção de pelo menos um sinal errôneo levado em conta no dito cálculo, e afastamento do cálculo, quando pelo menos um critério (T) for verificado, do referido sinal errôneo; e - emissão, como sinal útil de saida (X), do citado sinal útil corrente calculado (U) quando nenhum sinal errôneo foi detectado; caracterizado pelo fato de compreender: - assim que um sinal errôneo for detectado, uma etapa que consiste em paralisar o sinal útil de saida (X); e - assim que mais nenhum sinal errôneo for detectado, uma etapa que consiste em retornar para um modo de emissão (Ml) em que o sinal útil corrente calculado (U) é emitido como sinal útil de saida (X).

12. Processo, de acordo com a reivindicação 11, caracterizado pelo fato de compreender uma etapa de determinação, em um espaço de tempo variável (F), de uma grandeza (Ti) representativa do tempo durante o qual um sinal (XI,...,XN) é errôneo, de maneira α afastdi do cálculo o sinal errôneo assim que essa grandeza atingir um valor de limite de afastamento (β).

13. Sistema de comandos de voo elétricos para aeronave, compreendendo um processador (1) que recebe instruções (Ci) e sinais redundantes (XI,...,XN) provenientes de fontes (20), sendo que o dito processador compreende um módulo de leis de pilotagem (11) que recebe informações (Oi) correspondentes às instruções (Ci) e pelo menos um sinal útil (X) para gerar ordens para os mecanismos de direção (OGi) da aeronave (2), caracterizado pelo fato de compreender um sistema de tratamento (12) conforme definido em qualquer uma das reivindicações 1 a 10 capaz de tratar os sinais redundantes recebidos (XI,...,XN) para gerar o citado sinal útil (X) na entrada do módulo de leis de pilotagem (11).

14. Aeronave, caracterizada pelo fato de compreender um sistema de comandos de voo elétricos conforme definido na reivindicação 13