CA2751114C - Systeme de traitement de signaux redondants, procede associe, et aeronef comprenant un tel systeme - Google Patents
Systeme de traitement de signaux redondants, procede associe, et aeronef comprenant un tel systeme Download PDFInfo
- Publication number
- CA2751114C CA2751114C CA2751114A CA2751114A CA2751114C CA 2751114 C CA2751114 C CA 2751114C CA 2751114 A CA2751114 A CA 2751114A CA 2751114 A CA2751114 A CA 2751114A CA 2751114 C CA2751114 C CA 2751114C
- Authority
- CA
- Canada
- Prior art keywords
- signal
- output
- useful
- erroneous
- input
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
- G06F11/181—Eliminating the failing redundant component
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
- G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
- G05D1/0055—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots with safety arrangements
- G05D1/0077—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots with safety arrangements using redundant signals or controls
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0796—Safety measures, i.e. ensuring safe condition in the event of error, e.g. for controlling element
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
- G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
- G06F11/187—Voting techniques
- G06F11/188—Voting techniques where exact match is not required
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Quality & Reliability (AREA)
- General Engineering & Computer Science (AREA)
- Aviation & Aerospace Engineering (AREA)
- Radar, Positioning & Navigation (AREA)
- Remote Sensing (AREA)
- Automation & Control Theory (AREA)
- Safety Devices In Control Systems (AREA)
- Hardware Redundancy (AREA)
Abstract
La présente invention concerne un système (12) de traitement de signaux redondants (X1, ..., XN), un procédé associé, ainsi qu'un aéronef (2) comprenant un tel système, dans une optique de surveillance et de passivation des pannes erratiques ou oscillantes affectant les sources (20) de ces signaux redondants. Le système comprend : - un module (120) de calcul d'un signal utile courant (U) à partir des signaux redondants; - un module (124) de surveillance/passivation, apte à détecter un signal erroné, et à écarter, du calcul et en fonction d'un critère (T), ledit signal erroné; - un moyen pour basculer (122, 1220), dès qu'un signal erroné est détecté, dans un mode de figement (M2) figeant le signal utile de sortie, et pour revenir, dès que plus aucun signal erroné n'est détecté, dans un mode d'émission (Ml) où le signal utile courant est émis comme signal utile de sortie (X).
Description
Système de traitement de signaux redondants, procédé associé, et aéronef comprenant un tel système La présente invention concerne un système de traitement de signaux redondants, un procédé associé, ainsi qu'un aéronef comprenant un tel système, dans une optique de surveillance et de passivation des pannes erratiques ou oscillantes affectant les sources de ces signaux redondants.
De nombreux systèmes utilisent aujourd'hui plusieurs signaux redondants représentatifs d'une même grandeur physique et provenant de plusieurs sources.
C'est le cas notamment des systèmes embarqués dans les moyens de locomotion, comme par exemple les systèmes de commandes de vol électriques prévus pour les aéronefs.
L'utilisation de plusieurs sources redondantes accroit en effet grandement la fiabilité des systèmes les utilisant.
Pour des raisons de concision, bien que l'invention s'applique à tout type de système, elle sera illustrée par la suite principalement en référence à de tels systèmes de commandes de vol électriques.
Ainsi, la figure 1 montre schématiquement un calculateur 1 d'un système de commandes de vol électriques pour aéronef 2. Le calculateur 1 acquiert des consignes {Ci) en provenance des pilotes, telles que la position du manche, puis les traduit (bloc 10) en objectifs de commande {0i}.
En parallèle, des mesures de valeurs représentatives de grandeurs physiques, telles que des mesures anémométriques et/ou GPS et/ou inertielles, sont réalisées à l'aide de capteurs 20 de l'aéronef. Sur la figure et pour la suite, seule une valeur parmi l'ensemble des valeurs qui sont gérées est représentée et prise en compte, notée X., bien que l'invention s'applique également lorsque plusieurs valeurs sont prises en compte.
Les objectifs de commande {0i} et les valeurs X sont utilisés par les lois de pilotage 11 pour calculer des ordres de gouverne appropriés {oGi} à appliquer aux gouvernes de l'aéronef 2.
Comme le système de commandes de vol électriques est critique, le calculateur 1 qu'il intègre acquiert la même grandeur physique X à l'aide de plusieurs sources redondantes 20, généralement au travers d'une redondance double ou triple.
Les valeurs acquises de ces sources redondantes sont représentées, sur la figure, sous forme des signaux {X1, XN).
De nombreux systèmes utilisent aujourd'hui plusieurs signaux redondants représentatifs d'une même grandeur physique et provenant de plusieurs sources.
C'est le cas notamment des systèmes embarqués dans les moyens de locomotion, comme par exemple les systèmes de commandes de vol électriques prévus pour les aéronefs.
L'utilisation de plusieurs sources redondantes accroit en effet grandement la fiabilité des systèmes les utilisant.
Pour des raisons de concision, bien que l'invention s'applique à tout type de système, elle sera illustrée par la suite principalement en référence à de tels systèmes de commandes de vol électriques.
Ainsi, la figure 1 montre schématiquement un calculateur 1 d'un système de commandes de vol électriques pour aéronef 2. Le calculateur 1 acquiert des consignes {Ci) en provenance des pilotes, telles que la position du manche, puis les traduit (bloc 10) en objectifs de commande {0i}.
En parallèle, des mesures de valeurs représentatives de grandeurs physiques, telles que des mesures anémométriques et/ou GPS et/ou inertielles, sont réalisées à l'aide de capteurs 20 de l'aéronef. Sur la figure et pour la suite, seule une valeur parmi l'ensemble des valeurs qui sont gérées est représentée et prise en compte, notée X., bien que l'invention s'applique également lorsque plusieurs valeurs sont prises en compte.
Les objectifs de commande {0i} et les valeurs X sont utilisés par les lois de pilotage 11 pour calculer des ordres de gouverne appropriés {oGi} à appliquer aux gouvernes de l'aéronef 2.
Comme le système de commandes de vol électriques est critique, le calculateur 1 qu'il intègre acquiert la même grandeur physique X à l'aide de plusieurs sources redondantes 20, généralement au travers d'une redondance double ou triple.
Les valeurs acquises de ces sources redondantes sont représentées, sur la figure, sous forme des signaux {X1, XN).
2 L'utilisation de signaux redondants permet de consolider la valeur utile X
passée dans les lois de pilotage 11 en utilisant des principes de surveillance et de passivation des sources 20, mis en oeuvre par un système de traitement de signaux redondants 12.
La surveillance par le module 12 de pannes dans les sources est opérée par analyse des signaux redondants {X1, X1=1} en vue généralement de déterminer et d'écarter un signal qui s'avère erroné pendant une durée prédéterminée, notée T (et donc mise à l'écart de la source associée défaillante).
La passivation des sources consiste à limiter l'effet d'une telle défaillance pour éviter par exemple le départ en saturation (ou "embarquement") de la valeur X.
Ces mécanismes ont été partiellement abordés dans la publication "Evaluation of time-varying availability in multi-echelon spare parts systems with passivation", Hoong Chuin Lau et al., 2004.
A titre illustratif, dans les calculateurs de lois de commande 1, la surveillance des sources peut revêtir la forme d'une comparaison, entre eux, des signaux {X1, ... 1} provenant des différentes sources redondantes, par exemple en déterminant l'écart entre chacun de ces signaux et une combinaison linéaire de ceux-ci. Puis, une défaillance est déclarée et la source correspondante écartée lorsque cet écart pour l'un des signaux est supérieur à un certain seuil de tolérance (ou surveillance) pendant la durée T.
Pour limiter l'effet de la défaillance sur les lois de pilotage 11 et sur le comportement de l'avion 2 pendant le temps (T) nécessaire à la détection de la défaillance, les algorithmes de passivation des défaillances sont alors mis en oeuvre.
Ceux-ci consistent par exemple figer, pendant un temps T+s, la valeur utile X à l'instant tO de la détection d'un écart d'une source avec les autres.
Ainsi, la valeur utile à l'instant t est celle de l'instant tO si t0<t<t0+T+c. Au bout de la fenêtre T+s, le signal utile redevient le signal courant.
Ces mécanismes ne sont toutefois pas toujours adaptés à la surveillance et la passivation de pannes erratiques ou oscillantes affectant les signaux des sources {X1, ...
Par exemple, dans le cas où un signal redondant s'avère alternativement valide et erroné pendant une durée T, les mécanismes de surveillance de l'état de l'art ne vont pas déclencher de détection de défaillance ni de mise à l'écart de la source correspondante, car aucun signal n'aura été erroné pendant toute le durée T.
passée dans les lois de pilotage 11 en utilisant des principes de surveillance et de passivation des sources 20, mis en oeuvre par un système de traitement de signaux redondants 12.
La surveillance par le module 12 de pannes dans les sources est opérée par analyse des signaux redondants {X1, X1=1} en vue généralement de déterminer et d'écarter un signal qui s'avère erroné pendant une durée prédéterminée, notée T (et donc mise à l'écart de la source associée défaillante).
La passivation des sources consiste à limiter l'effet d'une telle défaillance pour éviter par exemple le départ en saturation (ou "embarquement") de la valeur X.
Ces mécanismes ont été partiellement abordés dans la publication "Evaluation of time-varying availability in multi-echelon spare parts systems with passivation", Hoong Chuin Lau et al., 2004.
A titre illustratif, dans les calculateurs de lois de commande 1, la surveillance des sources peut revêtir la forme d'une comparaison, entre eux, des signaux {X1, ... 1} provenant des différentes sources redondantes, par exemple en déterminant l'écart entre chacun de ces signaux et une combinaison linéaire de ceux-ci. Puis, une défaillance est déclarée et la source correspondante écartée lorsque cet écart pour l'un des signaux est supérieur à un certain seuil de tolérance (ou surveillance) pendant la durée T.
Pour limiter l'effet de la défaillance sur les lois de pilotage 11 et sur le comportement de l'avion 2 pendant le temps (T) nécessaire à la détection de la défaillance, les algorithmes de passivation des défaillances sont alors mis en oeuvre.
Ceux-ci consistent par exemple figer, pendant un temps T+s, la valeur utile X à l'instant tO de la détection d'un écart d'une source avec les autres.
Ainsi, la valeur utile à l'instant t est celle de l'instant tO si t0<t<t0+T+c. Au bout de la fenêtre T+s, le signal utile redevient le signal courant.
Ces mécanismes ne sont toutefois pas toujours adaptés à la surveillance et la passivation de pannes erratiques ou oscillantes affectant les signaux des sources {X1, ...
Par exemple, dans le cas où un signal redondant s'avère alternativement valide et erroné pendant une durée T, les mécanismes de surveillance de l'état de l'art ne vont pas déclencher de détection de défaillance ni de mise à l'écart de la source correspondante, car aucun signal n'aura été erroné pendant toute le durée T.
3 Ainsi, au terme de la période T, la valeur utile X risque d'être, elle aussi, erronée car tenant compte du signal courant alternativement erroné. Les mécanismes de surveillance et de passivation s'avèrent donc ne pas être suffisamment robustes aux différents types de pannes existantes, notamment erratiques ou oscillantes.
La présente invention vise à pallier cet inconvénient en proposant notamment un système de traitement de signaux redondants de mesures acquises de valeur représentatives d'une grandeur physique, comprenant :
¨ des entrées pour recevoir une pluralité desdits signaux redondants provenant de sources;
¨ un module de calcul d'un signal utile courant à partir de signaux redondants d'entrée;
¨ un module de surveillance et de passivation des sources, apte à
détecter un signal erroné pris en compte dans ledit calcul, et à écarter, du calcul et en fonction d'au moins un critère (par exemple la période T évoquée ci-dessus), ledit signal erroné; et ¨ une sortie pour émettre, comme signal utile de sortie, ledit signal utile courant calculé lorsque aucun signal erroné n'est détecté;
caractérisé en ce qu'il comprend en outre un moyen pour basculer, dès que ledit signal erroné est détecté, dans un mode de figement où le signal utile de sortie est figé en sortie, et pour revenir, dès lors que plus aucun signal erroné n'est détecté, dans un mode d'émission où le signal utile courant calculé est émis comme signal utile de sortie.
Des modes de réalisations préférés du système sont décrits ci-dessous.
La présente invention offre ainsi des mécanismes de surveillance et de passivation plus efficaces. En effet, la surveillance selon l'invention garantit toujours la détection et la mise à l'écart des sources défaillantes, alors que la passivation est nettement améliorée par l'utilisation du moyen pour basculer.
Cela résulte notamment du fait que désormais la bascule entre le mode de figement du signal utile de sortie et le mode d'émission du signal utile calculé est déclenchée en "temps réel", c'est-à-dire dès qu'une panne (défaillance) est détectée ou résorbée.
On garantit ainsi qu'aucun signal utile de sortie ne résulte d'un calcul effectué sur un signal d'entrée erroné, contrairement aux techniques connues moins robustes vis-à-vis des pannes de type erratiques ou oscillantes.
La présente invention vise à pallier cet inconvénient en proposant notamment un système de traitement de signaux redondants de mesures acquises de valeur représentatives d'une grandeur physique, comprenant :
¨ des entrées pour recevoir une pluralité desdits signaux redondants provenant de sources;
¨ un module de calcul d'un signal utile courant à partir de signaux redondants d'entrée;
¨ un module de surveillance et de passivation des sources, apte à
détecter un signal erroné pris en compte dans ledit calcul, et à écarter, du calcul et en fonction d'au moins un critère (par exemple la période T évoquée ci-dessus), ledit signal erroné; et ¨ une sortie pour émettre, comme signal utile de sortie, ledit signal utile courant calculé lorsque aucun signal erroné n'est détecté;
caractérisé en ce qu'il comprend en outre un moyen pour basculer, dès que ledit signal erroné est détecté, dans un mode de figement où le signal utile de sortie est figé en sortie, et pour revenir, dès lors que plus aucun signal erroné n'est détecté, dans un mode d'émission où le signal utile courant calculé est émis comme signal utile de sortie.
Des modes de réalisations préférés du système sont décrits ci-dessous.
La présente invention offre ainsi des mécanismes de surveillance et de passivation plus efficaces. En effet, la surveillance selon l'invention garantit toujours la détection et la mise à l'écart des sources défaillantes, alors que la passivation est nettement améliorée par l'utilisation du moyen pour basculer.
Cela résulte notamment du fait que désormais la bascule entre le mode de figement du signal utile de sortie et le mode d'émission du signal utile calculé est déclenchée en "temps réel", c'est-à-dire dès qu'une panne (défaillance) est détectée ou résorbée.
On garantit ainsi qu'aucun signal utile de sortie ne résulte d'un calcul effectué sur un signal d'entrée erroné, contrairement aux techniques connues moins robustes vis-à-vis des pannes de type erratiques ou oscillantes.
4 Afin d'accroître la robustesse du système, il peut être prévu que le système comprend des moyens pour déterminer, sur une fenêtre temporelle glissante, une grandeur représentative du temps durant lequel le système est dans le mode de figement de sorte à écarter du calcul, dès que cette grandeur atteint une valeur seuil d'écartement, au moins un signal détecté comme erroné au cours de la durée de ladite fenêtre.
Cette disposition permet d'écarter définitivement, contrairement aux techniques connues, une source défaillante alors qu'elle subit une panne de type erratique ou oscillatoire. Cette mise à l'écart permet alors d'effectuer à
nouveau les calculs du signal utile courant à l'aide uniquement des sources fiables. La valeur seuil d'écartement peut être ajustée pour régler la sensibilité des mécanismes d'écartement en fonction de la fréquence des pannes erratiques ou oscillantes.
Cette robustesse accrue s'avère particulièrement efficace lorsque le signal utile de sortie est utilisé comme référence d'asservissement dans un système tiers. En effet, en l'absence de ce mécanisme de détermination, le signal utile de sortie pourrait être quasi-figé dans le temps, pouvant conduire à une divergence des ordres de par la boucle d'asservissement.
En particulier, le module de surveillance et de passivation est agencé pour déterminer, sur la fenêtre temporelle glissante, une grandeur représentative du temps durant lequel un signal est détecté comme erroné de sorte à écarter, du calcul, le signal détecté comme erroné dès que cette grandeur atteint ladite valeur seuil d'écartement.
Cette disposition garantit une identification plus précise du signal erroné et donc de la source à écarter, car un compteur du temps (i.e. ladite grandeur) peut être affecté à chaque signal d'entrée.
Dans un mode de réalisation, le module de surveillance et de passivation comprend un moyen apte à générer, pour au moins un signal d'entrée, un booléen représentatif d'un état erroné ou non du signal d'entrée.
Cette disposition permet d'obtenir un outil (le booléen) efficace tant à la fois pour contrôler les mécanismes de passivation (la bascule) que les mécanismes de surveillance (mise à l'écart) particulièrement en présence de pannes erratiques ou oscillantes, car ce booléen permet de mettre en place aisément des statistiques à partir desquelles des décisions peuvent être prises.
En effet, selon une caractéristique particulière de l'invention, le booléen d'un signal d'entrée commande un compteur comptabilisant ladite grandeur sur la
Cette disposition permet d'écarter définitivement, contrairement aux techniques connues, une source défaillante alors qu'elle subit une panne de type erratique ou oscillatoire. Cette mise à l'écart permet alors d'effectuer à
nouveau les calculs du signal utile courant à l'aide uniquement des sources fiables. La valeur seuil d'écartement peut être ajustée pour régler la sensibilité des mécanismes d'écartement en fonction de la fréquence des pannes erratiques ou oscillantes.
Cette robustesse accrue s'avère particulièrement efficace lorsque le signal utile de sortie est utilisé comme référence d'asservissement dans un système tiers. En effet, en l'absence de ce mécanisme de détermination, le signal utile de sortie pourrait être quasi-figé dans le temps, pouvant conduire à une divergence des ordres de par la boucle d'asservissement.
En particulier, le module de surveillance et de passivation est agencé pour déterminer, sur la fenêtre temporelle glissante, une grandeur représentative du temps durant lequel un signal est détecté comme erroné de sorte à écarter, du calcul, le signal détecté comme erroné dès que cette grandeur atteint ladite valeur seuil d'écartement.
Cette disposition garantit une identification plus précise du signal erroné et donc de la source à écarter, car un compteur du temps (i.e. ladite grandeur) peut être affecté à chaque signal d'entrée.
Dans un mode de réalisation, le module de surveillance et de passivation comprend un moyen apte à générer, pour au moins un signal d'entrée, un booléen représentatif d'un état erroné ou non du signal d'entrée.
Cette disposition permet d'obtenir un outil (le booléen) efficace tant à la fois pour contrôler les mécanismes de passivation (la bascule) que les mécanismes de surveillance (mise à l'écart) particulièrement en présence de pannes erratiques ou oscillantes, car ce booléen permet de mettre en place aisément des statistiques à partir desquelles des décisions peuvent être prises.
En effet, selon une caractéristique particulière de l'invention, le booléen d'un signal d'entrée commande un compteur comptabilisant ladite grandeur sur la
5 fenêtre temporelle glissante, et le module de surveillance et de passivation comprend un comparateur du compteur avec la valeur seuil d'écartement pour générer, à
destination du module de calcul, un signal d'écartement du signal d'entrée associé au com pteur.
L'utilisation d'un compteur commandé par le booléen ainsi généré s'avère d'une faible complexité à mettre en oeuvre, aussi bien au travers d'instructions logicielles que de circuits matériels.
Cela ressort notamment d'une réalisation dans laquelle il est prévu que le compteur comprend:
- un commutateur commandé par le booléen entre une position reliée à
un registre valant "1" et une position reliée à un registre valant "0";
- un additionneur recevant, en entrée, la valeur de sortie du commutateur et la valeur de sortie du compteur, de sorte à incrémenter le compteur en fonction du booléen, - un retard égal à la durée de la fenêtre temporelle glissante et recevant, en entrée, la valeur de sortie du commutateur, - un soustracteur pour soustraire, à la sortie de l'additionneur, la valeur retardée en sortie du retard et ainsi produire une valeur de sortie du compteur.
Dans cette disposition, le compteur est réalisé à l'aide de logiques relativement simples à mettre en oeuvre.
Selon une caractéristique de l'invention, le module de surveillance et de passivation comprend un compteur associé à chaque signal d'entrée et est agencé
pour générer un booléen représentatif d'un état erroné pour chaque signal d'entrée. De la sorte, il est aisé d'identifier le signal d'entrée (et donc la source) à
écarter pour cause de panne erratique ou oscillante.
En variante, lorsque deux signaux d'entrée sont prises en compte lors dudit calcul, le module de surveillance et de passivation comprend un unique compteur et est agencé pour générer un unique booléen représentatif d'un état erroné
commun aux deux signaux d'entrée. Cette disposition limite les ressources utilisées et s'adapte aux cas d'une redondance double où les erreurs sont déterminées relativement aux deux valeurs acquises. En effet, dans ce cas, les deux valeurs sont généralement déclarées ensemble comme erronées.
Dans un mode de réalisation, le moyen apte à générer un booléen représentatif d'un état erroné d'un signal d'entrée comprend un comparateur dont la sortie correspond audit booléen et comparant l'écart entre ledit signal d'entrée et un
destination du module de calcul, un signal d'écartement du signal d'entrée associé au com pteur.
L'utilisation d'un compteur commandé par le booléen ainsi généré s'avère d'une faible complexité à mettre en oeuvre, aussi bien au travers d'instructions logicielles que de circuits matériels.
Cela ressort notamment d'une réalisation dans laquelle il est prévu que le compteur comprend:
- un commutateur commandé par le booléen entre une position reliée à
un registre valant "1" et une position reliée à un registre valant "0";
- un additionneur recevant, en entrée, la valeur de sortie du commutateur et la valeur de sortie du compteur, de sorte à incrémenter le compteur en fonction du booléen, - un retard égal à la durée de la fenêtre temporelle glissante et recevant, en entrée, la valeur de sortie du commutateur, - un soustracteur pour soustraire, à la sortie de l'additionneur, la valeur retardée en sortie du retard et ainsi produire une valeur de sortie du compteur.
Dans cette disposition, le compteur est réalisé à l'aide de logiques relativement simples à mettre en oeuvre.
Selon une caractéristique de l'invention, le module de surveillance et de passivation comprend un compteur associé à chaque signal d'entrée et est agencé
pour générer un booléen représentatif d'un état erroné pour chaque signal d'entrée. De la sorte, il est aisé d'identifier le signal d'entrée (et donc la source) à
écarter pour cause de panne erratique ou oscillante.
En variante, lorsque deux signaux d'entrée sont prises en compte lors dudit calcul, le module de surveillance et de passivation comprend un unique compteur et est agencé pour générer un unique booléen représentatif d'un état erroné
commun aux deux signaux d'entrée. Cette disposition limite les ressources utilisées et s'adapte aux cas d'une redondance double où les erreurs sont déterminées relativement aux deux valeurs acquises. En effet, dans ce cas, les deux valeurs sont généralement déclarées ensemble comme erronées.
Dans un mode de réalisation, le moyen apte à générer un booléen représentatif d'un état erroné d'un signal d'entrée comprend un comparateur dont la sortie correspond audit booléen et comparant l'écart entre ledit signal d'entrée et un
6 signal de référence calculé à partir desdits signaux d'entrée, avec une valeur seuil de tolérance. Le signal de référence peut notamment être égal au signal utile courant calculé ou mettre en oeuvre des calculs distincts. A noter que l'écart peut être obtenu par la simple mise en oeuvre d'une logique de soustraction en présence de seulement deux signaux redondants d'entrée. Ce mode de réalisation s'avère également simple à
mettre en oeuvre.
En particulier, le module de surveillance et de passivation comprend une fonction logique OU recevant, en entrée, les booléens représentatifs d'un état erroné
des signaux d'entrée pris en compte dans le calcul, et générant, en sortie, un signal de commande du moyen pour basculer. Cette logique, simple à mettre en oeuvre, permet d'obtenir un unique signal commandant efficacement les mécanismes de passivation des pannes selon l'invention.
Dans un mode de réalisation de l'invention, le moyen pour basculer comprend un commutateur commandé par le module de surveillance et de passivation, pour commuter, vers ladite sortie, le signal utile de sortie pour le mode de figement et le signal utile courant calculé pour le mode d'émission. A titre d'exemple, dans le mode de figement, le commutateur peut boucler sur lui-même un module de sortie du signal utile.
En particulier, le moyen pour basculer peut comprendre en outre un limiteur de pente apte à réaliser une transition contrôlée entre le signal utile de sortie figé et le signal utile courant calculé lors d'une bascule vers le mode d'émission. Cette disposition permet d'éviter des transitions trop brutales lorsque par exemple le signal utile courant résultant de la mise à l'écart d'une source diffère nettement du signal utile de sortie qui a été figé pendant la période de surveillance ayant conduit à
cette mise à
l'écart.
Corrélativement, l'invention concerne un procédé de traitement de signaux redondants de mesures acquises de valeur représentatives d'une grandeur physique, comprenant les étapes suivantes :
¨ recevoir, en entrée, une pluralité de signaux redondants provenant de sources;
¨ calculer un signal utile courant à partir de signaux redondants d'entrée;
¨ détecter au moins un signal erroné pris en compte dans ledit calcul, et écarter, du calcul et lorsqu'au moins un critère est atteint, ledit signal erroné; et ¨ émettre, comme signal utile de sortie, ledit signal utile courant calculé
lorsque aucun signal erroné n'est détecté;
mettre en oeuvre.
En particulier, le module de surveillance et de passivation comprend une fonction logique OU recevant, en entrée, les booléens représentatifs d'un état erroné
des signaux d'entrée pris en compte dans le calcul, et générant, en sortie, un signal de commande du moyen pour basculer. Cette logique, simple à mettre en oeuvre, permet d'obtenir un unique signal commandant efficacement les mécanismes de passivation des pannes selon l'invention.
Dans un mode de réalisation de l'invention, le moyen pour basculer comprend un commutateur commandé par le module de surveillance et de passivation, pour commuter, vers ladite sortie, le signal utile de sortie pour le mode de figement et le signal utile courant calculé pour le mode d'émission. A titre d'exemple, dans le mode de figement, le commutateur peut boucler sur lui-même un module de sortie du signal utile.
En particulier, le moyen pour basculer peut comprendre en outre un limiteur de pente apte à réaliser une transition contrôlée entre le signal utile de sortie figé et le signal utile courant calculé lors d'une bascule vers le mode d'émission. Cette disposition permet d'éviter des transitions trop brutales lorsque par exemple le signal utile courant résultant de la mise à l'écart d'une source diffère nettement du signal utile de sortie qui a été figé pendant la période de surveillance ayant conduit à
cette mise à
l'écart.
Corrélativement, l'invention concerne un procédé de traitement de signaux redondants de mesures acquises de valeur représentatives d'une grandeur physique, comprenant les étapes suivantes :
¨ recevoir, en entrée, une pluralité de signaux redondants provenant de sources;
¨ calculer un signal utile courant à partir de signaux redondants d'entrée;
¨ détecter au moins un signal erroné pris en compte dans ledit calcul, et écarter, du calcul et lorsqu'au moins un critère est atteint, ledit signal erroné; et ¨ émettre, comme signal utile de sortie, ledit signal utile courant calculé
lorsque aucun signal erroné n'est détecté;
7 caractérisé en ce qu'il comprend:
dès que le signal erroné est détecté, une étape consistant à figer le signal utile de sortie, et dès lors que plus aucun signal erroné n'est détecté, une étape consistant à
repasser dans un mode d'émission où le signal utile courant calculé est émis comme signal utile de sortie.
Des modes de réalisation préférés du procédé sont décrits ci-dessous.
Le procédé présente des avantages similaires à ceux du système de traitement exposé ci-dessus, et notamment le fait que le signal utile de sortie n'est jamais corrompu par un signal d'entrée erroné qui aurait été pris en compte lors dudit calcul.
De façon optionnelle, le procédé peut comprendre des étapes se rapportant aux caractéristiques du système décrites ci-dessus.
En particulier, le procédé peut comprendre une étape de détermination, sur une fenêtre temporelle glissante, d'une grandeur représentative du temps durant lequel un signal est erroné, de sorte à écarter du calcul le signal erroné dès que cette grandeur atteint une valeur seuil d'écartement.
Par ailleurs, il peut être prévu la génération, pour au moins une signal d'entrée, d'un booléen représentatif d'un état erroné ou non du signal d'entrée;
l'utilisation de ce booléen pour mettre à jour un compteur comptabilisant, sur la fenêtre temporelle glissante, ladite grandeur, et la comparaison du compteur avec la valeur seuil d'écartement pour générer un signal d'écartement du signal d'entrée associé au compteur; l'utilisation de ce booléen pour commander un commutateur prévu pour commuter en sortie, le signal utile de sortie pour le mode de figement et le signal utile courant calculé pour le mode d'émission L'invention concerne également un système de commandes de vol électriques pour aéronef, comprenant un calculateur recevant des consignes et des signaux redondants de mesures acquises de valeur représentatives d'une grandeur physique provenant de sources, ledit calculateur comprenant un module de lois de pilotage recevant des informations correspondant aux consignes et au moins un signal utile pour générer des ordres de gouverne de l'aéronef, et comprenant un système de traitement tel que décrit ci-dessus apte à traiter les signaux redondants reçus pour générer ledit signal utile en entrée du module de lois de pilotage.
L'invention concerne également un aéronef comprenant un système de commandes de vol électriques, tel que décrit ci-dessus.
7a Le système de commandes de vol électriques et l'aéronef présentent des avantages similaires à ceux du système de traitement exposé ci-dessus, et peuvent comprendre, de façon optionnelle, des moyens se rapportant aux caractéristiques du système de traitement décrites ci-dessus.
dès que le signal erroné est détecté, une étape consistant à figer le signal utile de sortie, et dès lors que plus aucun signal erroné n'est détecté, une étape consistant à
repasser dans un mode d'émission où le signal utile courant calculé est émis comme signal utile de sortie.
Des modes de réalisation préférés du procédé sont décrits ci-dessous.
Le procédé présente des avantages similaires à ceux du système de traitement exposé ci-dessus, et notamment le fait que le signal utile de sortie n'est jamais corrompu par un signal d'entrée erroné qui aurait été pris en compte lors dudit calcul.
De façon optionnelle, le procédé peut comprendre des étapes se rapportant aux caractéristiques du système décrites ci-dessus.
En particulier, le procédé peut comprendre une étape de détermination, sur une fenêtre temporelle glissante, d'une grandeur représentative du temps durant lequel un signal est erroné, de sorte à écarter du calcul le signal erroné dès que cette grandeur atteint une valeur seuil d'écartement.
Par ailleurs, il peut être prévu la génération, pour au moins une signal d'entrée, d'un booléen représentatif d'un état erroné ou non du signal d'entrée;
l'utilisation de ce booléen pour mettre à jour un compteur comptabilisant, sur la fenêtre temporelle glissante, ladite grandeur, et la comparaison du compteur avec la valeur seuil d'écartement pour générer un signal d'écartement du signal d'entrée associé au compteur; l'utilisation de ce booléen pour commander un commutateur prévu pour commuter en sortie, le signal utile de sortie pour le mode de figement et le signal utile courant calculé pour le mode d'émission L'invention concerne également un système de commandes de vol électriques pour aéronef, comprenant un calculateur recevant des consignes et des signaux redondants de mesures acquises de valeur représentatives d'une grandeur physique provenant de sources, ledit calculateur comprenant un module de lois de pilotage recevant des informations correspondant aux consignes et au moins un signal utile pour générer des ordres de gouverne de l'aéronef, et comprenant un système de traitement tel que décrit ci-dessus apte à traiter les signaux redondants reçus pour générer ledit signal utile en entrée du module de lois de pilotage.
L'invention concerne également un aéronef comprenant un système de commandes de vol électriques, tel que décrit ci-dessus.
7a Le système de commandes de vol électriques et l'aéronef présentent des avantages similaires à ceux du système de traitement exposé ci-dessus, et peuvent comprendre, de façon optionnelle, des moyens se rapportant aux caractéristiques du système de traitement décrites ci-dessus.
8 D'autres particularités et avantages de l'invention apparaîtront encore dans la description ci-après, illustrée par les dessins ci-joints, dans lesquels :
- la figure 1 représente un système de commandes de vol électriques pour aéronef;
- la figure 2 illustre schématiquement un système de traitement de signaux redondants conforme à la présente invention;
- la figure 3 illustre la détermination d'un signal de référence en cas de redondance triple, mise en uvre dans le système de la figure 2;
- la figure 4 représente schématiquement un module de sortie du système de traitement de la figure 2;
- la figure 5 représente un module de surveillance d'un signal X1 , incorporé dans le système de la figure 2, dans le cas d'une redondance triple;
- la figure 6 représente schématiquement des composants d'un système de traitement de signaux redondants selon l'invention dans le cas d'une redondance triple;
- la figure 7 illustre un module d'écartement du système de la figure 2, prévu pour déterminer si un signal d'entrée doit être écarté;
- la figure 8 représente schématiquement un système de traitement de signaux redondants selon l'invention dans le cas d'une redondance triple mais utilisant uniquement deux signaux d'entrée pour générer un signal utile de sortie;
- la figure 9 représente un système de traitement de signaux redondants selon l'invention dans le cas d'une redondance multiple; et - la figure 10 représente un système de traitement de signaux redondants selon l'invention dans le cas d'une redondance double.
La figure 2 illustre schématiquement un système de traitement de signaux redondants selon un mode de réalisation de l'invention. Le système de la figure 2 peut notamment consister en un système 12 formant partie d'un calculateur de commandes de vol électriques de la figure 1.
Le système 12 comprend des entrées El, ..., EN pour recevoir la pluralité
de signaux redondants X1 XN provenant des sources 20, un module de calcul d'un signal utile courant U à partir de signaux redondants d'entrée, par exemple selon une fonction F: U=F(X1 , XN), un module de sortie 122 relié au module de calcul 120 pour émettre, comme signal utile de sortie (X), ledit signal utile courant calculé (U) dans un mode M1 d'émission normal.
- la figure 1 représente un système de commandes de vol électriques pour aéronef;
- la figure 2 illustre schématiquement un système de traitement de signaux redondants conforme à la présente invention;
- la figure 3 illustre la détermination d'un signal de référence en cas de redondance triple, mise en uvre dans le système de la figure 2;
- la figure 4 représente schématiquement un module de sortie du système de traitement de la figure 2;
- la figure 5 représente un module de surveillance d'un signal X1 , incorporé dans le système de la figure 2, dans le cas d'une redondance triple;
- la figure 6 représente schématiquement des composants d'un système de traitement de signaux redondants selon l'invention dans le cas d'une redondance triple;
- la figure 7 illustre un module d'écartement du système de la figure 2, prévu pour déterminer si un signal d'entrée doit être écarté;
- la figure 8 représente schématiquement un système de traitement de signaux redondants selon l'invention dans le cas d'une redondance triple mais utilisant uniquement deux signaux d'entrée pour générer un signal utile de sortie;
- la figure 9 représente un système de traitement de signaux redondants selon l'invention dans le cas d'une redondance multiple; et - la figure 10 représente un système de traitement de signaux redondants selon l'invention dans le cas d'une redondance double.
La figure 2 illustre schématiquement un système de traitement de signaux redondants selon un mode de réalisation de l'invention. Le système de la figure 2 peut notamment consister en un système 12 formant partie d'un calculateur de commandes de vol électriques de la figure 1.
Le système 12 comprend des entrées El, ..., EN pour recevoir la pluralité
de signaux redondants X1 XN provenant des sources 20, un module de calcul d'un signal utile courant U à partir de signaux redondants d'entrée, par exemple selon une fonction F: U=F(X1 , XN), un module de sortie 122 relié au module de calcul 120 pour émettre, comme signal utile de sortie (X), ledit signal utile courant calculé (U) dans un mode M1 d'émission normal.
9 Le module 120 de calcul du signal utile courant U peut mettre en oeuvre différentes techniques de calcul du signal ou de sélection d'un signal représentatif parmi les signaux redondants X1, XN en entrée.
La figure 3 illustre par exemple la sélection d'un signal médian lorsque les signaux redondants d'entrée sont au nombre de trois: X1, X2 et X3.
Dans cet exemple, le module 120 effectue un vote entre les trois signaux d'entrée, consistant à prendre, à un instant donné, comme valeur de référence (et donc comme valeur utile courante U), la valeur médiane parmi les trois valeurs correspondantes aux signaux d'entrée. La valeur médiane est notamment celle qui est comprise entre les deux autres (en gras sur la figure).
Dans le cas d'une redondance double (seulement deux signaux d'entrée X1 et X2), la valeur de référence U peut être une moyenne des deux.
De façon générale, le module de calcul 120 peut également mettre en oeuvre une fonction linéaire des signaux d'entrée X1, XN (par exemple la valeur E xi moyenne ).
De retour à la figure 2, le système comprend également un module 124 de surveillance et de passivation des sources recevant en entrée les signaux redondants X1, XN et générant un signal de passivation SP au module de sortie 122 dès qu'il détecte qu'un signal redondant X1 , XN pris en compte dans ledit calcul est erroné, et générant un signal d'écartement SE d'un signal redondant X1, XN dès que cette détection du signal erroné satisfait au moins un critère, par exemple un quota temporel dans une fenêtre temporelle glissante de durée T, comme il sera vu par la suite.
En variante, cette mise à l'écart peut être déclenchée immédiatement en cas d'erreur trop importante du signal (amplitude démesurée, etc.).
Le module de sortie 122 comprend notamment un moyen pour basculer à
réception d'un signal de passivation SP indiquant qu'un signal erroné a été
détecté, dans un mode M2 de figement où le signal utile de sortie X est figé en sortie S, et pour revenir, en l'absence de signal de passivation SP (donc dès lors que plus aucun signal erroné n'est détecté), dans le mode M1 d'émission où le signal utile courant calculé U
est émis comme signal utile de sortie X.
D'une façon générale, les différents modules décrits ici peuvent être cadencés par une même horloge de telle sorte qu'en un cycle d'horloge (de t-1 à t), l'ensemble des calculs est réalisé. A titre illustratif, le signal de passivation SP est ainsi mis à jour à chaque cycle d'horloge.
La figure 4 illustre un mode de réalisation du module de sortie 122, comprenant un commutateur 1220 commandé par le signal de passivation SP issu du module 124 et un limiteur de pente 1222.
En mode M1 d'émission (absence de signal SP ou signal nul), le 5 commutateur 1220 est en position P1 pour fournir, en entrée du limiteur 1222, le signal utile courant U calculé par le module 120. En fonctionnement stationnaire, c'est-à-dire lors que sa valeur de sortie s=X égale celle d'entrée e, le limiteur 1222 transmet le signal en entrée en limitant sa vitesse de variation à une valeur maximale En mode M2 de figement (en présence d'un signal SP ou signal non nul), le
La figure 3 illustre par exemple la sélection d'un signal médian lorsque les signaux redondants d'entrée sont au nombre de trois: X1, X2 et X3.
Dans cet exemple, le module 120 effectue un vote entre les trois signaux d'entrée, consistant à prendre, à un instant donné, comme valeur de référence (et donc comme valeur utile courante U), la valeur médiane parmi les trois valeurs correspondantes aux signaux d'entrée. La valeur médiane est notamment celle qui est comprise entre les deux autres (en gras sur la figure).
Dans le cas d'une redondance double (seulement deux signaux d'entrée X1 et X2), la valeur de référence U peut être une moyenne des deux.
De façon générale, le module de calcul 120 peut également mettre en oeuvre une fonction linéaire des signaux d'entrée X1, XN (par exemple la valeur E xi moyenne ).
De retour à la figure 2, le système comprend également un module 124 de surveillance et de passivation des sources recevant en entrée les signaux redondants X1, XN et générant un signal de passivation SP au module de sortie 122 dès qu'il détecte qu'un signal redondant X1 , XN pris en compte dans ledit calcul est erroné, et générant un signal d'écartement SE d'un signal redondant X1, XN dès que cette détection du signal erroné satisfait au moins un critère, par exemple un quota temporel dans une fenêtre temporelle glissante de durée T, comme il sera vu par la suite.
En variante, cette mise à l'écart peut être déclenchée immédiatement en cas d'erreur trop importante du signal (amplitude démesurée, etc.).
Le module de sortie 122 comprend notamment un moyen pour basculer à
réception d'un signal de passivation SP indiquant qu'un signal erroné a été
détecté, dans un mode M2 de figement où le signal utile de sortie X est figé en sortie S, et pour revenir, en l'absence de signal de passivation SP (donc dès lors que plus aucun signal erroné n'est détecté), dans le mode M1 d'émission où le signal utile courant calculé U
est émis comme signal utile de sortie X.
D'une façon générale, les différents modules décrits ici peuvent être cadencés par une même horloge de telle sorte qu'en un cycle d'horloge (de t-1 à t), l'ensemble des calculs est réalisé. A titre illustratif, le signal de passivation SP est ainsi mis à jour à chaque cycle d'horloge.
La figure 4 illustre un mode de réalisation du module de sortie 122, comprenant un commutateur 1220 commandé par le signal de passivation SP issu du module 124 et un limiteur de pente 1222.
En mode M1 d'émission (absence de signal SP ou signal nul), le 5 commutateur 1220 est en position P1 pour fournir, en entrée du limiteur 1222, le signal utile courant U calculé par le module 120. En fonctionnement stationnaire, c'est-à-dire lors que sa valeur de sortie s=X égale celle d'entrée e, le limiteur 1222 transmet le signal en entrée en limitant sa vitesse de variation à une valeur maximale En mode M2 de figement (en présence d'un signal SP ou signal non nul), le
10 commutateur 1220 commute sur une deuxième position P2 dans laquelle le limiteur 1222 est rebouclé sur lui-même permettant de mémoriser la valeur utile de sortie à cet instant. Dans ce cas, la valeur de sortie X est figée, évitant de tenir compte d'une valeur U qui pourrait résulter d'un calcul basé sur un signal X1...XN erroné.
Par ailleurs, le limiteur 1222 peut être paramétré par une constante k définissant une pente ou taux maximum de transition. Ainsi lorsque le commutateur 1220 rebascule sur la première position P1 (car désormais plus aucun signal SP
n'est émis), le limiteur 1222 assure que la valeur utile de sortie s=X rejoint progressivement (transition progressive en fonction du paramètre k) la valeur d'entrée e=U, si ces deux valeurs sont différentes au moment de la rebascule.
On décrit maintenant en référence aux figures 5 et 8, un module de surveillance et de passivation 124 dans le cas d'une redondance triple (X1, X2, X3).
Dans cet exemple, la surveillance/ passivation se base sur le vote du signal médian parmi les signaux d'entrée pour obtenir une valeur de référence pour la surveillance, notée VR, obtenue par exemple de façon similaire à la figure 3.
Bien entendu, les mécanismes d'obtention de la valeur de référence pour la surveillance VR
peuvent être d'une autre nature (par exemple, calcul d'une fonction linéaire) et peuvent notamment être distincts des calculs mis en oeuvre dans le module de calcul 120.
Toutefois, en utilisant les mêmes calculs on peut réduire la complexité
technique de mise en uvre.
Chaque signal d'entrée X1, X2, X3 est ensuite comparé à cette valeur de référence de surveillance VR. Lorsqu'un écart trop important est détecté, par comparaison avec une valeur seuil de tolérance a, un signal de détection positive est généré, par exemple un booléen Bi (i=1, 2, 3) qui est passé à "vrai" en cas de comparaison positive. Dès que la comparaison redevient négative, le booléen est alors repassé à "faux".
Par ailleurs, le limiteur 1222 peut être paramétré par une constante k définissant une pente ou taux maximum de transition. Ainsi lorsque le commutateur 1220 rebascule sur la première position P1 (car désormais plus aucun signal SP
n'est émis), le limiteur 1222 assure que la valeur utile de sortie s=X rejoint progressivement (transition progressive en fonction du paramètre k) la valeur d'entrée e=U, si ces deux valeurs sont différentes au moment de la rebascule.
On décrit maintenant en référence aux figures 5 et 8, un module de surveillance et de passivation 124 dans le cas d'une redondance triple (X1, X2, X3).
Dans cet exemple, la surveillance/ passivation se base sur le vote du signal médian parmi les signaux d'entrée pour obtenir une valeur de référence pour la surveillance, notée VR, obtenue par exemple de façon similaire à la figure 3.
Bien entendu, les mécanismes d'obtention de la valeur de référence pour la surveillance VR
peuvent être d'une autre nature (par exemple, calcul d'une fonction linéaire) et peuvent notamment être distincts des calculs mis en oeuvre dans le module de calcul 120.
Toutefois, en utilisant les mêmes calculs on peut réduire la complexité
technique de mise en uvre.
Chaque signal d'entrée X1, X2, X3 est ensuite comparé à cette valeur de référence de surveillance VR. Lorsqu'un écart trop important est détecté, par comparaison avec une valeur seuil de tolérance a, un signal de détection positive est généré, par exemple un booléen Bi (i=1, 2, 3) qui est passé à "vrai" en cas de comparaison positive. Dès que la comparaison redevient négative, le booléen est alors repassé à "faux".
11 La figure 5 montre un exemple de réalisation d'un tel mécanisme 12401 pour la surveillance du signal d'entrée X1 uniquement. Des dispositifs similaires sont donc prévus pour chacun des autres signaux d'entrée.
Le mécanisme 12401 comprend une logique 200 de vote de valeur médiane (idem figure 3) recevant les signaux d'entrée X1, X2, X3 et générant la valeur de référence pour la surveillance VR, comprend un soustracteur 202 pour calculer un écart en soustrayant la valeur du signal d'entrée considéré (ici le signal X1) à cette valeur de référence VR, et comprend enfin un comparateur 204 pour comparer cet écart (résultat de la soustraction) avec le seuil de tolérance a. La sortie du comparateur 204 est le booléen B1 (respectivement B2, B3) qui prend la valeur "vrai"
si l'entrée X1 (resp. X2, X3) est trop écartée de la valeur de référence VR.
Les booléens Bi ainsi produits à chaque cycle d'horloge sont mis en entrée d'une logique OU 1242 dont la sortie correspond au signal de passivation SP
(voir figure 6). En effet, dès lors qu'un booléen Bi est passé à "vrai", un signal d'entrée est considéré comme erroné et le signal utile de sortie X doit être figé. Le signal SP permet de déclencher ce figement comme décrit précédemment.
La figure 7 représente schématiquement un module d'écartement 1244 d'un signal d'entrée X1, X2, X3 (valable quelque soit le nombre d'entrées) permettant d'écarter, du calcul par le module 120, un signal redondant d'entrée même si la source correspondante subit des pannes erratiques ou oscillantes.
Le module d'écartement 1244, reçoit en entrée le booléen Bi associé au signal d'entrée Xi qu'il surveille (généré notamment par les mécanismes de la figure 5) et fournit en sortie un signal d'écartement SEi qui informe le module de calcul 120 s'il y a lieu d'écarter, des calculs, le signal d'entrée Xi. Dans ce cas, la source correspondante 20 est déclarée invalide et les calculs ne sont réalisés plus qu'avec les signaux issus des sources restantes.
Les mécanismes d'écartement par le module de calcul 120 demeurent classiques et ne seront donc pas décrits plus en détail.
On notera par ailleurs qu'en cas de mise à l'écart d'un signal, ce dernier peut également être écarté de la surveillance, notamment celle portant sur les autres signaux d'entrée encore valides (par exemple écarté des voteurs 200 prévus pour ces autres signaux).
Les traitements par le module d'écartement 1244 sont notamment réalisés en parallèle des traitements du module de surveillance 1240 à chaque cycle d'horloge.
Le mécanisme 12401 comprend une logique 200 de vote de valeur médiane (idem figure 3) recevant les signaux d'entrée X1, X2, X3 et générant la valeur de référence pour la surveillance VR, comprend un soustracteur 202 pour calculer un écart en soustrayant la valeur du signal d'entrée considéré (ici le signal X1) à cette valeur de référence VR, et comprend enfin un comparateur 204 pour comparer cet écart (résultat de la soustraction) avec le seuil de tolérance a. La sortie du comparateur 204 est le booléen B1 (respectivement B2, B3) qui prend la valeur "vrai"
si l'entrée X1 (resp. X2, X3) est trop écartée de la valeur de référence VR.
Les booléens Bi ainsi produits à chaque cycle d'horloge sont mis en entrée d'une logique OU 1242 dont la sortie correspond au signal de passivation SP
(voir figure 6). En effet, dès lors qu'un booléen Bi est passé à "vrai", un signal d'entrée est considéré comme erroné et le signal utile de sortie X doit être figé. Le signal SP permet de déclencher ce figement comme décrit précédemment.
La figure 7 représente schématiquement un module d'écartement 1244 d'un signal d'entrée X1, X2, X3 (valable quelque soit le nombre d'entrées) permettant d'écarter, du calcul par le module 120, un signal redondant d'entrée même si la source correspondante subit des pannes erratiques ou oscillantes.
Le module d'écartement 1244, reçoit en entrée le booléen Bi associé au signal d'entrée Xi qu'il surveille (généré notamment par les mécanismes de la figure 5) et fournit en sortie un signal d'écartement SEi qui informe le module de calcul 120 s'il y a lieu d'écarter, des calculs, le signal d'entrée Xi. Dans ce cas, la source correspondante 20 est déclarée invalide et les calculs ne sont réalisés plus qu'avec les signaux issus des sources restantes.
Les mécanismes d'écartement par le module de calcul 120 demeurent classiques et ne seront donc pas décrits plus en détail.
On notera par ailleurs qu'en cas de mise à l'écart d'un signal, ce dernier peut également être écarté de la surveillance, notamment celle portant sur les autres signaux d'entrée encore valides (par exemple écarté des voteurs 200 prévus pour ces autres signaux).
Les traitements par le module d'écartement 1244 sont notamment réalisés en parallèle des traitements du module de surveillance 1240 à chaque cycle d'horloge.
12 On prévoit autant de module d'écartement 1244; qu'il y a de signaux d'entrée X1...XN à surveiller (dans notre exemple 3 modules 1244 pour 3 signaux d'entrée X1-X3).
Chaque module d'écartement 1244; est également paramétré par un délai T définissant une fenêtre temporelle glissante F de surveillance des sources et par un seuil d'écartement p.
Le seuil 13 définit la limite du temps passé par un signal dans un état erroné
et cumulé dans la fenêtre temporelle, à partir de laquelle il est décidé que le signal d'entrée Xi doit être écarté du calcul de la valeur utile courante U.
La durée T de la fenêtre F est notamment très supérieur à un cycle d'horloge, par exemple de l'ordre de plusieurs dizaines voire centaines de cycles.
La durée T de le fenêtre et le seuil p sont fixés, d'une part, par rapport à
un critère d'acceptabilité des lois de pilotage de travailler avec un pourcentage de temps de figement et, d'autre part, par rapport à la robustesse de la surveillance aux perturbations en environnement réel lorsqu'il n'y a pas de panne.
Dans l'exemple de la figure, le module d'écartement 1244; comprend un compteur 300 qui comptabilise, sur le fenêtre temporelle glissante F, une grandeur Ti représentative du temps durant lequel le signal d'entrée Xi est considéré
comme erroné (donc lorsque Bi=vrai), et comprend un comparateur 350 comparant cette grandeur Ti avec la valeur seuil d'écartement p.
Par exemple si f3 correspond à un taux d'erreur dans le temps (par exemple 25%, 50%, 75% ou 90% selon la sensibilité désirée), la comparaison consiste à
comparer Tin- à f3. Le signal d'écartement SEi alors généré prend la valeur "vrai" dès que Ti/T >13, et la valeur "faux" sinon.
De préférence, ce signal d'écartement est irréversiblement passé à "vrai"
de telle sorte qu'un signal d'entrée écarté du calcul 120 ne peut être réintégré
ultérieurement. Cependant une mise à zéro du système par un opérateur permet de repasser tous les signaux d'écartement SEi à "faux".
Le compteur 300 comprend :
¨ un commutateur 302 commandé par le booléen Bi en entrée entre une position reliée à un registre 304 valant "1" et une position reliée à un registre 306 valant "0". En sortie du commutateur à un instant t, on dispose ainsi d'un bit bt valant soit 1, soit 0;
Chaque module d'écartement 1244; est également paramétré par un délai T définissant une fenêtre temporelle glissante F de surveillance des sources et par un seuil d'écartement p.
Le seuil 13 définit la limite du temps passé par un signal dans un état erroné
et cumulé dans la fenêtre temporelle, à partir de laquelle il est décidé que le signal d'entrée Xi doit être écarté du calcul de la valeur utile courante U.
La durée T de la fenêtre F est notamment très supérieur à un cycle d'horloge, par exemple de l'ordre de plusieurs dizaines voire centaines de cycles.
La durée T de le fenêtre et le seuil p sont fixés, d'une part, par rapport à
un critère d'acceptabilité des lois de pilotage de travailler avec un pourcentage de temps de figement et, d'autre part, par rapport à la robustesse de la surveillance aux perturbations en environnement réel lorsqu'il n'y a pas de panne.
Dans l'exemple de la figure, le module d'écartement 1244; comprend un compteur 300 qui comptabilise, sur le fenêtre temporelle glissante F, une grandeur Ti représentative du temps durant lequel le signal d'entrée Xi est considéré
comme erroné (donc lorsque Bi=vrai), et comprend un comparateur 350 comparant cette grandeur Ti avec la valeur seuil d'écartement p.
Par exemple si f3 correspond à un taux d'erreur dans le temps (par exemple 25%, 50%, 75% ou 90% selon la sensibilité désirée), la comparaison consiste à
comparer Tin- à f3. Le signal d'écartement SEi alors généré prend la valeur "vrai" dès que Ti/T >13, et la valeur "faux" sinon.
De préférence, ce signal d'écartement est irréversiblement passé à "vrai"
de telle sorte qu'un signal d'entrée écarté du calcul 120 ne peut être réintégré
ultérieurement. Cependant une mise à zéro du système par un opérateur permet de repasser tous les signaux d'écartement SEi à "faux".
Le compteur 300 comprend :
¨ un commutateur 302 commandé par le booléen Bi en entrée entre une position reliée à un registre 304 valant "1" et une position reliée à un registre 306 valant "0". En sortie du commutateur à un instant t, on dispose ainsi d'un bit bt valant soit 1, soit 0;
13 - un additionneur 308 recevant, en entrée, la valeur bt de sortie du commutateur 300 et la valeur Ti de sortie du compteur 300 à l'instant de cycle d'horloge antérieur t-1, de sorte à incrémenter le compteur en fonction du booléen Bi, - un retard 310 égal à la durée T de la fenêtre temporelle glissante F, et recevant, en entrée, la valeur bt de sortie du commutateur 300. Ce retard a vocation à
permettre la suppression de la valeur qui a été incrémenté à t-T de sorte à
garantir que le compteur 300 comptabilise uniquement sur la durée de la fenêtre glissante F. En sortie du retard 310, on dispose donc à un instant t, de la valeur bt-r;
- un soustracteur 312 pour soustraire, à la sortie de l'additionneur 308, la valeur retardée en sortie du retard 310 et ainsi produire la valeur de sortie Ti du compteur 300 pour l'instant t courant. Cette soustraction garantit que l'on comptabilise sur la seule période T glissante.
Entre deux itérations successives d'un cycle d'horloge (entre t-1 et t), on a donc :
- en sortie de l'additionneur 308: bt + Ti(t-1);
- en sortie du retard 310: bt_T; et - en sortie du soustracteur 312: Ti(t) = Ti(t-1) + bt - bt.T.
La figure 8 illustre un cas particulier où seulement deux signaux d'entrée parmi les trois signaux X1, X2, X3 sont exploités pour calculer le signal utile de sortie X
utilisé par les lois de pilotage 11. Bien entendu, ce cas peut être étendu à
tout utilisation de j signaux d'entrée parmi N (N>j) signaux redondants d'entrée X1, XN.
Dans cet exemple, le module de calcul 120 met donc en oeuvre la fonction F(X1, X2) fonction uniquement de X1 et X2, et seul les deux booléens B1, B2 associés aux deux signaux d'entrée pris en compte sont utilisés pour piloter le commutateur 1220 du module de sortie 122. Les booléens B1, B2 sont toutefois obtenus en utilisant les trois signaux d'entrées X1-X3 dans le calcul de la valeur de référence VR
(par exemple par un voteur type 200) au sein des blocs 12401 et 12402.
En parallèle, la surveillance de comportements erratiques et/ou oscillants des sources par des modules d'écartement n'est réalisé que pour les signaux X1 et X2:
on prévoit donc uniquement deux modules 12441 et 12442 recevant respectivement le booléen B1 et le booléen B2.
Le comportement du système de la figure 8 est donc similaire à celui explicité ci-dessus où l'on bascule entre les modes M1 et M2 en fonction de la détection d'erreur dans X1 et X2.
permettre la suppression de la valeur qui a été incrémenté à t-T de sorte à
garantir que le compteur 300 comptabilise uniquement sur la durée de la fenêtre glissante F. En sortie du retard 310, on dispose donc à un instant t, de la valeur bt-r;
- un soustracteur 312 pour soustraire, à la sortie de l'additionneur 308, la valeur retardée en sortie du retard 310 et ainsi produire la valeur de sortie Ti du compteur 300 pour l'instant t courant. Cette soustraction garantit que l'on comptabilise sur la seule période T glissante.
Entre deux itérations successives d'un cycle d'horloge (entre t-1 et t), on a donc :
- en sortie de l'additionneur 308: bt + Ti(t-1);
- en sortie du retard 310: bt_T; et - en sortie du soustracteur 312: Ti(t) = Ti(t-1) + bt - bt.T.
La figure 8 illustre un cas particulier où seulement deux signaux d'entrée parmi les trois signaux X1, X2, X3 sont exploités pour calculer le signal utile de sortie X
utilisé par les lois de pilotage 11. Bien entendu, ce cas peut être étendu à
tout utilisation de j signaux d'entrée parmi N (N>j) signaux redondants d'entrée X1, XN.
Dans cet exemple, le module de calcul 120 met donc en oeuvre la fonction F(X1, X2) fonction uniquement de X1 et X2, et seul les deux booléens B1, B2 associés aux deux signaux d'entrée pris en compte sont utilisés pour piloter le commutateur 1220 du module de sortie 122. Les booléens B1, B2 sont toutefois obtenus en utilisant les trois signaux d'entrées X1-X3 dans le calcul de la valeur de référence VR
(par exemple par un voteur type 200) au sein des blocs 12401 et 12402.
En parallèle, la surveillance de comportements erratiques et/ou oscillants des sources par des modules d'écartement n'est réalisé que pour les signaux X1 et X2:
on prévoit donc uniquement deux modules 12441 et 12442 recevant respectivement le booléen B1 et le booléen B2.
Le comportement du système de la figure 8 est donc similaire à celui explicité ci-dessus où l'on bascule entre les modes M1 et M2 en fonction de la détection d'erreur dans X1 et X2.
14 La figure 9 résume schématiquement les exemples ci-dessus dans un cas générique de N signaux redondants d'entrée.
On illustre maintenant en référence à la figure 10 le cas d'une redondance double, c'est-à-dire où seulement deux signaux X1 et X2 sont fournis par les sources 20.
Les deux signaux redondants d'entrée X1, X2 sont comparés entre eux à
raide d'un simple soustracteur 202, avant de vérifier, à l'aide du comparateur 204, si l'écart entre les deux signaux dépasse le seuil de tolérance a. En cas de dépassement du seuil, le booléen B de sortie est passé à "vrai". Sinon, il est mis à
"faux".
On notera que cette comparaison directe des deux signaux entre eux est équivalente à une comparaison de chacun à une valeur de référence VR calculée comme moyenne des deux signaux.
En parallèle, un module d'écartement 1244 comme décrit précédemment reçoit le booléen B ainsi généré et produit en sortie un éventuel signal d'écartement SE. En cas d'écartement, les deux signaux d'entrée X1, X2 sont écartés ensemble des calculs du module 120, car, la surveillance étant réalisée relativement l'un à
l'autre, il n'est pas possible de savoir directement quel est le signal d'entrée erroné.
Les modules 120 et 122 peuvent être similaires à ceux décrits précédemment, en tenant notamment compte de la présence de deux signaux d'entrée uniquement pour le calcul G(X1, X2) du module 120.
Comme montré précédemment, l'invention offre à la fois des mécanismes de passivation permettant d'éviter toute dérive du signal utile de sortie en raison d'une panne sur l'une des sources et toute contamination du signal utile de sortie, et des mécanismes de surveillance des sources permettant de détecter des pannes erratiques et/ou oscillantes afin d'écarter ces sources des calculs le cas échéant.
La mise en oeuvre d'une analyse du comportement des pannes sur une durée de fenêtre glissante assure en outre que le signal utile de sortie n'est pas figé
trop longtemps (au maximum la durée du seuil 13).
Les différents moyens, modules et systèmes constituant la présente invention peuvent être, intégralement ou en partie, mis en oeuvre sous forme logicielle et réciproquement sous forme de circuits matériels tels que des circuits logiques programmables (type FPGA, pour "field-programmable gate array" signifiant réseau de portes programmables in situ).
Les exemples qui précèdent ne sont que des modes de réalisation de l'invention qui ne s'y limite pas.
On illustre maintenant en référence à la figure 10 le cas d'une redondance double, c'est-à-dire où seulement deux signaux X1 et X2 sont fournis par les sources 20.
Les deux signaux redondants d'entrée X1, X2 sont comparés entre eux à
raide d'un simple soustracteur 202, avant de vérifier, à l'aide du comparateur 204, si l'écart entre les deux signaux dépasse le seuil de tolérance a. En cas de dépassement du seuil, le booléen B de sortie est passé à "vrai". Sinon, il est mis à
"faux".
On notera que cette comparaison directe des deux signaux entre eux est équivalente à une comparaison de chacun à une valeur de référence VR calculée comme moyenne des deux signaux.
En parallèle, un module d'écartement 1244 comme décrit précédemment reçoit le booléen B ainsi généré et produit en sortie un éventuel signal d'écartement SE. En cas d'écartement, les deux signaux d'entrée X1, X2 sont écartés ensemble des calculs du module 120, car, la surveillance étant réalisée relativement l'un à
l'autre, il n'est pas possible de savoir directement quel est le signal d'entrée erroné.
Les modules 120 et 122 peuvent être similaires à ceux décrits précédemment, en tenant notamment compte de la présence de deux signaux d'entrée uniquement pour le calcul G(X1, X2) du module 120.
Comme montré précédemment, l'invention offre à la fois des mécanismes de passivation permettant d'éviter toute dérive du signal utile de sortie en raison d'une panne sur l'une des sources et toute contamination du signal utile de sortie, et des mécanismes de surveillance des sources permettant de détecter des pannes erratiques et/ou oscillantes afin d'écarter ces sources des calculs le cas échéant.
La mise en oeuvre d'une analyse du comportement des pannes sur une durée de fenêtre glissante assure en outre que le signal utile de sortie n'est pas figé
trop longtemps (au maximum la durée du seuil 13).
Les différents moyens, modules et systèmes constituant la présente invention peuvent être, intégralement ou en partie, mis en oeuvre sous forme logicielle et réciproquement sous forme de circuits matériels tels que des circuits logiques programmables (type FPGA, pour "field-programmable gate array" signifiant réseau de portes programmables in situ).
Les exemples qui précèdent ne sont que des modes de réalisation de l'invention qui ne s'y limite pas.
Claims (13)
1. Système (12) de traitement de signaux redondants (X1, XN) de mesures acquises de valeur représentatives d'une grandeur physique, comprenant :
¨ des entrées (E1, ..., EN) pour recevoir lesdits signaux redondants (X1, XN) provenant de sources (20);
¨ un module (120) de calcul d'un signal utile courant (U) à partir de signaux redondants d'entrée;
¨ un module (124) de surveillance et de passivation des sources, apte à
détecter un signal erroné pris en compte dans ledit calcul, et à écarter, du calcul et en fonction d'au moins un critère (T), ledit signal erroné; et ¨ une sortie (S) pour émettre, comme signal utile de sortie (X), ledit signal utile courant calculé (U) lorsque aucun signal erroné n'est détecté;
caractérisé en ce qu'il comprend en outre un moyen pour basculer (122, 1220), dès que ledit signal erroné est détecté, dans un mode de figement (M2) où le signal utile de sortie (X) est figé en sortie (S), et pour revenir, dès lors que plus aucun signal erroné n'est détecté, dans un mode d'émission (M1) où le signal utile courant calculé (U) est émis comme signal utile de sortie (X).
¨ des entrées (E1, ..., EN) pour recevoir lesdits signaux redondants (X1, XN) provenant de sources (20);
¨ un module (120) de calcul d'un signal utile courant (U) à partir de signaux redondants d'entrée;
¨ un module (124) de surveillance et de passivation des sources, apte à
détecter un signal erroné pris en compte dans ledit calcul, et à écarter, du calcul et en fonction d'au moins un critère (T), ledit signal erroné; et ¨ une sortie (S) pour émettre, comme signal utile de sortie (X), ledit signal utile courant calculé (U) lorsque aucun signal erroné n'est détecté;
caractérisé en ce qu'il comprend en outre un moyen pour basculer (122, 1220), dès que ledit signal erroné est détecté, dans un mode de figement (M2) où le signal utile de sortie (X) est figé en sortie (S), et pour revenir, dès lors que plus aucun signal erroné n'est détecté, dans un mode d'émission (M1) où le signal utile courant calculé (U) est émis comme signal utile de sortie (X).
2. Système (12) selon la revendication 1, comprenant des moyens pour déterminer, sur une fenêtre temporelle glissante (F), la grandeur physique qui est une grandeur (Ti) représentative du temps durant lequel le système (12) est dans le mode de figement (M2) de sorte à écarter du calcul, dès que cette grandeur atteint une valeur seuil d'écartement (3), au moins le signal détecté comme erroné au cours de la durée (T) de ladite fenêtre (F).
3. Système (12) selon la revendication 2, dans lequel le module de surveillance et de passivation (124) est agencé pour déterminer, sur la fenêtre temporelle glissante (F), la grandeur (Ti) représentative du temps durant lequel le signal (X1 , ..., XN) est détecté
comme erroné de sorte à écarter, du calcul, le signal détecté comme erroné dès que cette grandeur atteint ladite valeur seuil d'écartement (f3).
comme erroné de sorte à écarter, du calcul, le signal détecté comme erroné dès que cette grandeur atteint ladite valeur seuil d'écartement (f3).
4. Système (12) selon la revendication 2 ou 3, dans lequel le module de surveillance et de passivation (124) comprend un moyen (12401, ..., 1240N) apte à
générer, pour au moins des signaux redondants (X1 , ..., XN) constituant un signal d'entrée, un booléen (B1, ..., BN) représentatif d'un état erroné ou non du signal d'entrée.
générer, pour au moins des signaux redondants (X1 , ..., XN) constituant un signal d'entrée, un booléen (B1, ..., BN) représentatif d'un état erroné ou non du signal d'entrée.
5. Système (12) selon la revendication 4, dans lequel le booléen (B1, BN) du signal d'entrée (X1, XN) commande un compteur (300) comptabilisant ladite grandeur (Ti) sur la fenêtre temporelle glissante (F), et le module de surveillance et de passivation (124) comprend un comparateur (350) du compteur (300) avec la valeur seuil d'écartement (.beta.) pour générer, à destination du module de calcul (120), un signal d'écartement (SE1, ..., SE N) du signal d'entrée associé au compteur.
6. Système (12) selon la revendication 5, dans lequel le compteur (300) comprend :
¨ un commutateur (302) commandé par le booléen (B1, BN) entre une position reliée à un registre (304) valant "1" et une autre position reliée à
un autre registre (306) valant "0";
¨ un additionneur (308) recevant, en entrée, la valeur de sortie (bt) du commutateur (302) et la valeur de sortie du compteur (Ti), de sorte à
incrémenter le compteur en fonction du booléen (B1, BN), ¨ un retard (310) égal à la durée (T) de la fenêtre temporelle glissante (F) et recevant, en entrée, la valeur de sortie (bt) du commutateur (302), ¨ un soustracteur (312) pour soustraire, à la sortie de l'additionneur (308), la valeur retardée (bt-T) en sortie du retard (310) et ainsi produire une valeur de sortie du compteur (300).
¨ un commutateur (302) commandé par le booléen (B1, BN) entre une position reliée à un registre (304) valant "1" et une autre position reliée à
un autre registre (306) valant "0";
¨ un additionneur (308) recevant, en entrée, la valeur de sortie (bt) du commutateur (302) et la valeur de sortie du compteur (Ti), de sorte à
incrémenter le compteur en fonction du booléen (B1, BN), ¨ un retard (310) égal à la durée (T) de la fenêtre temporelle glissante (F) et recevant, en entrée, la valeur de sortie (bt) du commutateur (302), ¨ un soustracteur (312) pour soustraire, à la sortie de l'additionneur (308), la valeur retardée (bt-T) en sortie du retard (310) et ainsi produire une valeur de sortie du compteur (300).
7. Système (12) selon la revendication 5, dans lequel le moyen (1240 1, ..., 1240N) apte à générer le booléen (b1, BN) représentatif de l'état erroné du signal d'entrée (X1, XN) comprend le comparateur (204) dont la sortie correspond audit booléen et comparant l'écart entre ledit signal d'entrée (X1, XN) et un signal de référence (VR) calculé à partir de signaux d'entrée, avec une valeur seuil de tolérance (a).
8. Système (12) selon la revendication 7, dans lequel le module de surveillance et de passivation (124) comprend une fonction logique OU (1242) recevant, en entrée, les booléens (B1, BN) représentatifs de l'état erroné des signaux d'entrée (X1, XN) pris en compte dans le calcul, et générant, en sortie, un signal de commande (SP) du moyen pour basculer (120, 1220).
9. Système (12) selon l'une quelconque des revendications 1 à 8, dans lequel le moyen pour basculer (120) comprend le moyen pour basculer (1220) commandé par le module de surveillance et de passivation (124), pour commuter, vers ladite sortie (S), le signal utile de sortie (X) pour le mode de figement (M2) et le signal utile courant calculé (U) pour le mode d'émission (M1).
10. Système (12) selon la revendication 9, dans lequel le moyen pour basculer (120, 1220) comprend en outre un limiteur de pente (1222) apte à
réaliser une transition contrôlée entre le signal utile de sortie (X) figé et le signal utile courant calculé (U) lors d'une bascule vers le mode d'émission (M1).
réaliser une transition contrôlée entre le signal utile de sortie (X) figé et le signal utile courant calculé (U) lors d'une bascule vers le mode d'émission (M1).
11. Procédé de traitement de signaux redondants (X1, XN) de mesures acquises de valeur représentatives d'une grandeur physique, comprenant les étapes suivantes :
- recevoir, en entrée, les signaux redondants qui proviennent de sources (20);
- calculer un signal utile courant (U) à partir des signaux redondants;
- détecter au moins un signal erroné pris en compte dans ledit calcul, et écarter, du calcul et lorsqu'au moins un critère (T) est atteint, ledit signal erroné; et - émettre, comme signal utile de sortie (X), ledit signal utile courant calculé (U) lorsque aucun signal erroné n'est détecté;
caractérisé en ce qu'il comprend:
dès que le signal erroné est détecté, une étape consistant à figer le signal utile de sortie (X), et dès lors que plus aucun signal erroné n'est détecté, une étape consistant à
repasser dans un mode d'émission (M1) où le signal utile courant calculé (U) est émis comme signal utile de sortie (X).
- recevoir, en entrée, les signaux redondants qui proviennent de sources (20);
- calculer un signal utile courant (U) à partir des signaux redondants;
- détecter au moins un signal erroné pris en compte dans ledit calcul, et écarter, du calcul et lorsqu'au moins un critère (T) est atteint, ledit signal erroné; et - émettre, comme signal utile de sortie (X), ledit signal utile courant calculé (U) lorsque aucun signal erroné n'est détecté;
caractérisé en ce qu'il comprend:
dès que le signal erroné est détecté, une étape consistant à figer le signal utile de sortie (X), et dès lors que plus aucun signal erroné n'est détecté, une étape consistant à
repasser dans un mode d'émission (M1) où le signal utile courant calculé (U) est émis comme signal utile de sortie (X).
12. Procédé selon la revendication 11, comprenant une étape de détermination, sur une fenêtre temporelle glissante (F), de la grandeur physique qui est une grandeur (Ti) représentative du temps durant lequel un signal (X1, XN) est erroné, de sorte à écarter du calcul le signal erroné dès que cette grandeur atteint une valeur seuil d'écartement (3).
13. Système de commandes de vol électriques pour aéronef (2), comprenant un calculateur (1) recevant des consignes (Ci) et des signaux redondants (X1, XN) de mesures acquises de valeur représentatives d'une grandeur physique provenant de sources (20), ledit calculateur comprenant un module de lois de pilotage (11) recevant des informations (Oi) correspondant aux consignes (Ci) et au moins un signal utile (X) pour générer des ordres de gouverne (OGi) de l'aéronef (2), et comprenant le système de traitement (12) selon l'une quelconque des revendications 1 à 12 apte à
traiter les signaux redondants reçus (X1, XN) pour générer ledit signal utile (X) en entrée du module de lois de pilotage (11).
traiter les signaux redondants reçus (X1, XN) pour générer ledit signal utile (X) en entrée du module de lois de pilotage (11).
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1056737 | 2010-08-24 | ||
| FR1056737A FR2964210B1 (fr) | 2010-08-24 | 2010-08-24 | Systeme de traitement de signaux redondants, procede associe, et aeronef comprenant un tel systeme |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CA2751114A1 CA2751114A1 (fr) | 2012-02-24 |
| CA2751114C true CA2751114C (fr) | 2018-05-15 |
Family
ID=43648722
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CA2751114A Active CA2751114C (fr) | 2010-08-24 | 2011-08-18 | Systeme de traitement de signaux redondants, procede associe, et aeronef comprenant un tel systeme |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US20120053761A1 (fr) |
| CN (1) | CN102375410B (fr) |
| BR (1) | BRPI1103753A2 (fr) |
| CA (1) | CA2751114C (fr) |
| FR (1) | FR2964210B1 (fr) |
Families Citing this family (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20140163907A1 (en) * | 2012-12-10 | 2014-06-12 | General Electric Company | Systems and methods for fault detection |
| US9092313B2 (en) * | 2013-01-25 | 2015-07-28 | Honeywell International Inc. | System and method for three input voting |
| US9706508B2 (en) | 2013-04-05 | 2017-07-11 | Honeywell International Inc. | Integrated avionics systems and methods |
| DE102014211180A1 (de) * | 2014-06-11 | 2015-12-17 | Continental Teves Ag & Co. Ohg | Verfahren und System zur verbesserten Erkennung und/oder Kompensation von Fehlerwerten |
| CN105204431B (zh) * | 2015-08-11 | 2018-01-30 | 中国航空工业集团公司西安飞机设计研究所 | 四余度信号监控表决方法和设备 |
| CN109840169B (zh) * | 2017-11-27 | 2022-07-12 | 中国航空工业集团公司西安航空计算技术研究所 | 一种控制信号余度输出管理电路 |
| FR3093829B1 (fr) * | 2019-03-12 | 2021-02-26 | Safran Aircraft Engines | Localisation de panne dans un système d’acquisition redondant |
| CN113525703A (zh) * | 2021-09-06 | 2021-10-22 | 中国商用飞机有限责任公司 | 用于监控飞机信号的方法和设备 |
| CN114200853B (zh) * | 2021-11-05 | 2024-06-14 | 河北汉光重工有限责任公司 | 一种分布式冗余控制系统 |
Family Cites Families (17)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4136333A (en) * | 1973-09-03 | 1979-01-23 | Mitsubishi Denki Kabushiki Kaisha | Terminal signal operation apparatus |
| US4254492A (en) * | 1979-04-02 | 1981-03-03 | Rockwell International Corporation | Redundant clock system utilizing nonsynchronous oscillators |
| US5537655A (en) * | 1992-09-28 | 1996-07-16 | The Boeing Company | Synchronized fault tolerant reset |
| US5377205A (en) * | 1993-04-15 | 1994-12-27 | The Boeing Company | Fault tolerant clock with synchronized reset |
| US5665974A (en) * | 1995-11-16 | 1997-09-09 | The Boeing Company | Self-monitoring optical encoder for wavelength division multiplexing optical sensors |
| SE509186C2 (sv) * | 1996-06-25 | 1998-12-14 | Ericsson Telefon Ab L M | Anordning och metod vid behandling av redundanssignaler och ett telekommunikationssystem omfattande densamma |
| DE69718129T2 (de) * | 1996-10-29 | 2003-10-23 | Hitachi, Ltd. | Redundantes Datenverarbeitungssystem |
| JP3348146B2 (ja) * | 1997-12-05 | 2002-11-20 | 株式会社日立製作所 | 通信制御装置 |
| US7177785B2 (en) * | 2003-08-22 | 2007-02-13 | Honeywell International, Inc. | Systems and methods for improved aircraft performance predictions |
| US7130772B2 (en) * | 2004-04-07 | 2006-10-31 | United Technologies Corporation | Method and apparatus for estimating a parameter based on a plurality of redundant signals |
| US7337357B2 (en) * | 2004-11-16 | 2008-02-26 | International Business Machines Corporation | Apparatus, system, and method for limiting failures in redundant signals |
| US20060265159A1 (en) * | 2004-11-23 | 2006-11-23 | Wolff Controls Corporation | Offset Compensated Position Sensor and Method |
| FR2882141B1 (fr) * | 2005-02-14 | 2007-05-04 | Airbus France Sas | Procede et dispositif pour detecter au sol l'obstruction d'une prise de pression d'un capteur de pression statique d'un aeronef |
| US7415645B2 (en) * | 2005-07-28 | 2008-08-19 | International Business Machines Corporation | Method and apparatus for soft-error immune and self-correcting latches |
| US8118122B2 (en) * | 2007-10-25 | 2012-02-21 | GM Global Technology Operations LLC | Method and system for monitoring signal integrity in a distributed controls system |
| US8099219B2 (en) * | 2007-10-27 | 2012-01-17 | GM Global Technology Operations LLC | Method and apparatus for securing an operating range state mechanical transmission |
| US8112194B2 (en) * | 2007-10-29 | 2012-02-07 | GM Global Technology Operations LLC | Method and apparatus for monitoring regenerative operation in a hybrid powertrain system |
-
2010
- 2010-08-24 FR FR1056737A patent/FR2964210B1/fr active Active
-
2011
- 2011-08-18 US US13/212,549 patent/US20120053761A1/en not_active Abandoned
- 2011-08-18 CA CA2751114A patent/CA2751114C/fr active Active
- 2011-08-24 BR BRPI1103753-9A patent/BRPI1103753A2/pt not_active Application Discontinuation
- 2011-08-24 CN CN201110243906.2A patent/CN102375410B/zh active Active
Also Published As
| Publication number | Publication date |
|---|---|
| US20120053761A1 (en) | 2012-03-01 |
| FR2964210B1 (fr) | 2012-09-21 |
| CN102375410B (zh) | 2016-06-15 |
| FR2964210A1 (fr) | 2012-03-02 |
| CA2751114A1 (fr) | 2012-02-24 |
| BRPI1103753A2 (pt) | 2012-12-25 |
| CN102375410A (zh) | 2012-03-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CA2751114C (fr) | Systeme de traitement de signaux redondants, procede associe, et aeronef comprenant un tel systeme | |
| EP3161568A1 (fr) | Procede de surveillance d'une degradation d'un dispositif embarque d'un aeronef incluant la determination d'un seuil de comptage | |
| EP2825437B1 (fr) | Système embarqué de génération d'un signal de localisation d'un véhicule ferroviaire | |
| FR2996302A1 (fr) | Procede et systeme de mesure a capteurs multiples | |
| EP3839679B1 (fr) | Procédé de contrôle d'un niveau de qualité de vissage d'une visseuse, dispositif associé et programme mettant en oeuvre le procédé | |
| EP2756280A1 (fr) | Système de surveillance d'une chaîne de mesure d'un turboréacteur | |
| FR3032804A1 (fr) | Procede de caracterisation d'un defaut non franc dans un cable | |
| FR3030091A1 (fr) | Procede et systeme de detection automatique d'un desalignement en operation d'un capteur de surveillance d'un aeronef. | |
| FR2916547A1 (fr) | Procede et dispositif de detection de pannes oscillatoires relatives a une chaine d'asservissement d'une gouverne d'aeronef. | |
| FR3030095A1 (fr) | Ensemble de gestion de vol d'un aeronef et procede de surveillance de consignes de guidage d'un tel ensemble. | |
| FR3044758A1 (fr) | Ensemble de gestion de vol d’un aeronef et procede de surveillance de consignes de guidage d’un tel ensemble. | |
| FR2932625A1 (fr) | Dispositif de comptage d'oscillations d'un signal temporel oscillant | |
| FR2932287A1 (fr) | Procede et dispositif pour la detection de conflits de pilotage entre l'equipage et le pilote automatique d'un aeronef | |
| EP3752811B1 (fr) | Procede et systeme de detection d'un endommagement d'aubes mobiles d'un aeronef | |
| FR2889342A1 (fr) | Procede et dispositif de detection d'un risque de collision d'un aeronef avec le terrain environnant | |
| FR3046265A1 (fr) | Systeme de surveillance d'une installation industrielle ; procedes de configuration et de surveillance associes | |
| FR3066832B1 (fr) | Procede et dispositif de traitement de signaux de flux neutronique, produit programme d'ordinateur et systeme de controle-commande associes | |
| WO2020183113A1 (fr) | Localisation de panne dans un système d'acquisition redondant | |
| EP3092395A1 (fr) | Procédé et programme d'ordinateur pour la surveillance d'un inverseur de poussée à actionneurs hydrauliques | |
| FR2933512A1 (fr) | Procede de diagnostic pour localiser une defaillance dans un systeme complexe et dispositif pour mettre en oeuvre ledit procede | |
| WO2016066254A1 (fr) | Procede de pilotage d'un processeur d'un boitier electronique monte sur une roue d'un vehicule automobile | |
| WO2014063879A1 (fr) | Procede permettant a un systeme de surveillance du reseau d'evaluer de facon non intrusive le ressenti utilisateur lors du chargement d'une page web | |
| CN112849226B (zh) | 轨道车辆的测速方法、存储介质、电子设备 | |
| EP3671583B1 (fr) | Procédé et dispositif de mémorisation de données numériques | |
| CA2503148A1 (fr) | Codeur angulaire optique |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| EEER | Examination request |
Effective date: 20160725 |
|
| MPN | Maintenance fee for patent paid |
Free format text: FEE DESCRIPTION TEXT: MF (PATENT, 13TH ANNIV.) - STANDARD Year of fee payment: 13 |
|
| U00 | Fee paid |
Free format text: ST27 STATUS EVENT CODE: A-4-4-U10-U00-U101 (AS PROVIDED BY THE NATIONAL OFFICE); EVENT TEXT: MAINTENANCE REQUEST RECEIVED Effective date: 20240805 |
|
| U11 | Full renewal or maintenance fee paid |
Free format text: ST27 STATUS EVENT CODE: A-4-4-U10-U11-U102 (AS PROVIDED BY THE NATIONAL OFFICE); EVENT TEXT: MAINTENANCE FEE PAYMENT PAID IN FULL Effective date: 20240805 |
|
| MPN | Maintenance fee for patent paid |
Free format text: FEE DESCRIPTION TEXT: MF (PATENT, 14TH ANNIV.) - STANDARD Year of fee payment: 14 |
|
| U00 | Fee paid |
Free format text: ST27 STATUS EVENT CODE: A-4-4-U10-U00-U101 (AS PROVIDED BY THE NATIONAL OFFICE); EVENT TEXT: MAINTENANCE REQUEST RECEIVED Effective date: 20250805 |
|
| U11 | Full renewal or maintenance fee paid |
Free format text: ST27 STATUS EVENT CODE: A-4-4-U10-U11-U102 (AS PROVIDED BY THE NATIONAL OFFICE); EVENT TEXT: MAINTENANCE FEE PAYMENT PAID IN FULL Effective date: 20250805 |