EP3844575A1 - Aiguilleur électrique haute disponibilité : contrôle d'une chaine d'actionnement simplex par un contrôle redondé - Google Patents

Aiguilleur électrique haute disponibilité : contrôle d'une chaine d'actionnement simplex par un contrôle redondé

Info

Publication number
EP3844575A1
EP3844575A1 EP19778574.4A EP19778574A EP3844575A1 EP 3844575 A1 EP3844575 A1 EP 3844575A1 EP 19778574 A EP19778574 A EP 19778574A EP 3844575 A1 EP3844575 A1 EP 3844575A1
Authority
EP
European Patent Office
Prior art keywords
control
module
approval
modules
control system
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP19778574.4A
Other languages
German (de)
English (en)
Inventor
Hakim Maalioune
Julien CORBIN
Alain Nourrisson
Julien CALMELS
Maxime POUYET
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Safran Nacelles SAS
Original Assignee
Safran Nacelles SAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Safran Nacelles SAS filed Critical Safran Nacelles SAS
Publication of EP3844575A1 publication Critical patent/EP3844575A1/fr
Pending legal-status Critical Current

Links

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B64—AIRCRAFT; AVIATION; COSMONAUTICS
    • B64D—EQUIPMENT FOR FITTING IN OR TO AIRCRAFT; FLIGHT SUITS; PARACHUTES; ARRANGEMENT OR MOUNTING OF POWER PLANTS OR PROPULSION TRANSMISSIONS IN AIRCRAFT
    • B64D41/00—Power installations for auxiliary purposes
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B15/00—Systems controlled by a computer
    • G05B15/02—Systems controlled by a computer electric

Definitions

  • the present invention relates to the general field of aeronautics. More particularly, the invention relates to the field of electrical control systems fitted to an aircraft, as well as to a nacelle and / or an aircraft equipped with such a control system.
  • Such an electrical control system makes it possible to electrically control any actuation device mounted in an aircraft.
  • such actuating devices allow the radial opening of cowlings for the maintenance of the turbojet engine, the deployment and retraction of mobile cowls of the thrust reverser, or still the radial opening of the two half parts of the thrust reverser.
  • control systems allow the controls of primary and secondary flights or else the braking, steering, extension and retraction functions of landing gear, or else still electric pumps.
  • Each electrical control system used to control an actuation device ensuring one of the abovementioned auxiliary functions of the nacelle successively comprises a control module, a power module and an electric machine together forming a power control chain driving a machine the associated actuation device.
  • Document EP 2 419 620 A1 describes an improved electrical control system whose assembly forming the power control chain is doubled in order to increase its reliability in the event of failure.
  • the electrical control system of an actuating device comprises two control modules each electrically connected to two power modules and each power module of which is electrically connected to an electric machine to form together a power control chain. controlling the actuation device.
  • Such a power control chain significantly improves its availability in the event of failure of one of these components and allows the control of the actuation device by one of the control and power modules when the other control or power module is failing.
  • this electrical control system allows greater availability of the system, it remains expensive and cumbersome in its integration into a nacelle. Furthermore, this electrical control system has the disadvantage of doubling each of the control and power modules, although a power module formed from electronic power components has a degree of reliability substantially greater than a control module formed electronic control components.
  • the availability criterion means the capacity for the actuation device controlled by the electric control system to be actuated without failure in order to fulfill the function associated with it.
  • Reliability is the measure of the probability of operation or failure of a system used under specified conditions and for a given time. In aeronautics, this quantity characterizes the operational safety of equipment.
  • the object of the present invention is to overcome at least one of the aforementioned drawbacks by proposing an improved electrical control system intended to equip a nacelle with a turbojet engine which has a gain in availability while facilitating its integration into a nacelle and limiting its cost.
  • the subject of the invention is an electrical control system intended to equip an aircraft, particularly a nacelle of an aircraft, said electrical control system being characterized in that it comprises two control modules of a single power module driving an electric machine, and in that it comprises an approval module connecting each of the control modules to the power module, the approval module selectively authorizing the control of the power module by one of the modules control.
  • the use of two control modules for a single power module of an electric machine ensures a high degree of availability of the electric control system while significantly reducing its cost and its size in a nacelle compared to an electric control system. totally redundant.
  • the approval module is configured to identify an inactive state of the authorized control module and when this inactive state is identified to allow the selection of the other control module for controlling the power module .
  • the approval module is formed by discrete electronic components.
  • control system is redundant to allow tolerance to the simple failure of one of the electronic components constituting it.
  • electronic component is understood here to mean an electronic component which may be digital such as the control module, or even a discrete electronic component.
  • the approval module comprises a sub-module for monitoring the state of the corresponding control module.
  • each control sub-module is associated with a sub-module for validating the control of the power module by the control module corresponding to the control sub-module.
  • each control sub-module and validation sub-module is associated with a logic function sub-module, the logic function sub-modules being connected with a view to selectively authorizing the control of the power module by one of the first or second control modules so that, when one of the control modules controls the power module, it is verified that the other control module is deactivated.
  • each control module comprises a servo unit for the electric machine and a unit for controlling the servo unit, the control unit being connected to an electronic control unit with full authority by a digital link.
  • control modules each generate simultaneously and in parallel pulse width control signals to the approval module, the approval module being configured to authorize the passage of the control signals. in pulse width generated by the control module which it authorizes for the control of the power module.
  • the control system does not require dedicated software. It will be understood that the reconfiguration is passive.
  • the reconfiguration time of the electrical control system corresponds to the time required, in the event of a fault, for the control system to selectively authorize the control of the power module by the other non-faulty control module.
  • the invention also relates to an actuation system, for example of a jack, integrated into an aircraft, the actuation system comprising the electrical control system as defined in this document.
  • the invention also relates to a nacelle for a turbojet engine of an aircraft comprising an electrical control system as defined in this document.
  • the invention also relates to an aircraft comprising an electrical control system as defined in this document or an actuation system as defined in this document or also a turbojet engine nacelle as defined in this document.
  • FIG. 1 shows a schematic view of an electrical control system according to a first embodiment of the invention which comprises inter alia two control modules of a power module driving an electric machine, the power module being connected to the order modules via an approval module.
  • FIG. 2 represents a schematic view of an electrical control system according to a second embodiment of the invention
  • FIG. 3 represents a schematic view of the approval module according to the second embodiment
  • - Figure 4 shows a schematic view of an electrical control system according to a third embodiment of the invention.
  • FIG. 1 there is shown an electrical control system 1 intended to equip a nacelle of a turbojet engine of an aircraft.
  • the electrical control system 1 comprises two control modules 10, 20, namely a first control module 10 and a second control module 20, of a single power module 30 driving an electric machine 40 which can advantageously be of any type , for example of the solenoid type or of the electromagnet type.
  • the first and second control modules 10, 20 are advantageously digital circuits of processor type.
  • the power module 30 is of the inverter type.
  • first and second control modules 10, 20 are advantageously connected, by a digital link 10 ′, 20 ′ of bidirectional communication to a full-authority electronic regulation unit 50 commonly known as EEC (Electronic Engine Control).
  • EEC Electronic Engine Control
  • the digital link 10 ′, 20 ′ is advantageously of the ARINC or AFDX type.
  • the full-authority electronic regulation unit 50 performs inter alia the function of sending activation or deactivation orders for the first and second control modules 10, 20. More particularly, the full-authority electronic regulation unit 50 is configured, at all times, to generate an activation order for one of the control modules 10, 20 and to generate a deactivation order for the other control module 10, 20 so that it is ensured that the module of power 30 is controlled by a single control module 10, 20.
  • activation or deactivation orders sent by the full authority electronic regulation unit 50 to the first and second control modules 10, 20 are, for example, a bit in a label of the communication protocol between the first or second control modules 10, 20 and the full authority electronic regulation unit 50.
  • the full authority electronic regulation unit 50 sends the same activation or deactivation orders at a given time to each control modules 10, 20.
  • the two control modules 10, 20 therefore receive the same instructions from the full-authority electronic regulation unit 50.
  • Each of the first and second control modules 10, 20 is configured to allow servo-control of the electric machine 40.
  • Each first and second control module 10, 20 receives, by the full authority electronic regulation 50, control instructions for the electric machine 40.
  • Such a servo control allows the speed, position and torque of the electric machine 40 to be controlled.
  • the electronic control system 1 comprises an approval module 60 electrically connecting each of the first and second control modules 10, 20 to the power module 30.
  • This approval module 60 makes it possible to selectively authorize the control of the power module 30 by one of the first or second control modules 10, 20 so that when one of the control modules 10, 20 ensures the control of the power module 30, the other control module is disabled.
  • the control of the power module 30 by the first or second control module 10, 20 allows, of course, the control of the electric machine 40 to which the power module 30 is connected.
  • each of the first and second control modules 10, 20 is indirectly connected to the power module 30 via the approval module 60.
  • approval module 60 is distinct from the full authority electronic regulation unit 50.
  • the approval module 60 is configured to identify an inactive state of the control module 10, 20 authorized by the electronic control unit with full authority 50 and when this inactive state is identified to cut off the other control module 10, 20 for controlling the power module 30.
  • the inactive state of the control module 10, 20 authorized by the full-authority electronic regulation unit 50 is representative of a faulty state of this control module 10, 20 so that the latter cannot ensure control by servo-control of the electric machine 40.
  • Each first and second control module 10, 20 is electrically connected to the approval module 60 by a pulse width control bus 10 ", 20" of the power module 30 by which the control of the electric machine 40 is provided by pulse width control signals.
  • the control modules 10, 20 each generate simultaneously and in parallel 10 ", 20" pulse width control signals towards the approval module 60, the approval module 60 being configured to authorize the passage of the pulse width control 10 ”, 20” generated by the control module 10, 20 which it authorizes for the control of the power module 60.
  • each first and second control module 10, 20 is electrically connected to the approval module 60 by a first channel A by which a first signal 100, 200 representative of the activation or deactivation state of the corresponding control module 10, 20 is generated. This first signal 100, 200 is generated in function of the activation or deactivation orders of the first and second control modules 10, 20 received by the latter from the full-authority electronic regulation unit 50.
  • control module 10, 20 When a control module 10, 20 receives, from the electronic full control authority unit 50, an activation order, this control module 10, 20 generates a signal 100, 200 representative of its activation state which is received by the approval module 60. When a control module 10, 20 receives, from the electronic full control authority unit 50, a deactivation order, this control module 10, 20 generates a signal 100, 200 representative of its deactivated state which is also received by the approval module 60.
  • This first signal 100, 200 received by the approval module 60 allows the latter to identify a first condition for approving the control of the power module 30 by the first or second control module 10, 20, this first condition being validated when a control module 10, 20 generates a signal 100, 200 representative of its activation state which is received by the approval module 60.
  • each first and second control module 10, 20 is electrically connected to the approval module 60 by a second channel B by which a second signal 101, 201 representative of the regulation of the control of the power module 30 is generated. the corresponding control module 10, 20.
  • This second signal 101, 201 is advantageously a clock signal allowing the regulation of the control of the power module 30 by the corresponding control module 10, 20.
  • the regulation of the control of the power module 30 is identified by the approval module 60 when this clock signal is received by the approval module 60, while a defect in the regulation of the control of the power module 30 by the corresponding command 10, 20 is identified when this clock signal is not received by the approval module 60 over a predetermined period.
  • This second signal 101, 201 received by the approval module 60 allows the latter to identify a second condition for approving the control of the power module 30 by the first or second control module 10, 20, this second approval condition being validated when the clock signal is received by the approval module 60.
  • each first or second control module 20 is electrically connected to the approval module 60 by a third channel C by which a third signal 102, 202 representative of the active or inactive state of the corresponding control module 10 is generated, 20.
  • control module 10, 20 when a control module 10, 20 is active, it generates a third signal 102, 202 representative of the active state of the corresponding control module 10, 20. When a control module 10, 20 is inactive, this generates a third signal 102, 202 representative of the inactive state of the corresponding control module 10, 20.
  • the first signal 100, 200 is generated as a function of the activation or deactivation orders of the first and second control modules 10, 20 received by the latter from the electronic control unit with full authority 50
  • the first signal 100, 200 designates the control module 10, 20 selected to drive the power module 30 and the control module 10, 20 not selected to drive the power module 30.
  • the third signal 102, 202 is representative of the active or inactive state of the corresponding control module 10, 20.
  • the first and second control modules 10, 20 are both active
  • the third signal 102, 202 of each of the control modules 10, 20 is representative of the active state of the control modules 10, 20. It will be understood that this third signal 102, 202 is thus representative of the operating state of the corresponding control module 10, 20 which thus makes it possible to identify a malfunction.
  • each first and second control module 10, 20 is electrically connected to the approval module 60 by at least two third channels C by which a third signal 102, 202 representative of the active state is generated on each of them. or inactive of the corresponding control module 10, 20.
  • the redundancy of the third signal 102, 202 generated on each of the two third channels of the first and second control modules 10, 20 allows tolerance to the loss of information from this third signal 102, 202.
  • At least one third signal 102, 202 generated by one of the control modules 10, 20 is combined by the approval module 60 with at least one third signal 102, 202 generated by the other control module 10, 20 in view of selectively authorizing the control of the power module 30 by one of the first or second control modules 10, 20 so that, when one of the first or second control modules 10, 20 controls the power module power 30, it is verified that the other control module 10, 20 is deactivated.
  • the combination of these third signals 102, 202 received by the approval module 60 allows the latter to identify a third condition for approving the control of the power module 30 by the first or second control module 10, 20 authorized by the full authority electronic control unit 50, this third approval condition being validated when the third signal 102, 202 generated by the control module authorized by the full authority electronic control unit 50 is representative of an active state of this control module 10, 20 and when the third signal 102, 202 generated by the other control module is representative of an inactive state of this control module 10, 20.
  • the approval module 60 is electrically connected to the full-authority electronic regulation unit 50 by a fourth channel D and a fifth channel E.
  • the approval module 60 is electrically connected by the fourth channel D to the first module 10 and the approval module 60 is connected by the fifth channel E to the second control module 20.
  • the approval module 60 From the fourth channel D, the approval module 60 generates a fourth signal 103 representative of the combination of the second and third approval conditions relating to the first control module 10. From the fifth channel E, the approval module 60 generates a fifth signal 203 representative of the combination of the second and third approval conditions relating to the second control module 20.
  • the electronic control unit with full authority 50 sends an activation order for the first control module 10 and sends an order to deactivate the second control module 20.
  • the first, second and third approval conditions relating to the first control module 10 are validated, the control of the power module 30 by the first control module 10 is authorized by the approval module 60.
  • the approval module 60 then authorizes the first control module 10 to control the power module 30 via the pulse width control bus 10 "of the power module 30 of the first control module 10.
  • the first, second and third approval conditions relating to the second control module 20 are not validated, the control of the power module 30 by the second control module 20 is not authorized by the approval module 60.
  • the fourth signal 103 generated by the approval module 60 is representative of a faulty state of the first control module 10
  • the regulation unit receiving this fourth signal 103 sends an order to deactivate the first control module 10 and an order to activate the second control module 20.
  • control module 10, 20 authorized by the full authority electronic regulation unit 50 is then the second control module 20.
  • the control of the power module 30 by the second control module 20 is authorized by the approval module 60.
  • the approval module 60 then authorizes the second control module 20 to control the power module 30 via the pulse width control bus of the second control module 20.
  • each first and second control module 10, 20 comprises a servo unit 10b, 20b of the electric machine 40 and a control unit 10a, 20a of the servo unit 10b, 20b connected to each other, the control unit 10a, 20a being connected to an electronic control unit with full authority 50 by the digital link 10 ', 20' such that previously defined.
  • the first channel A electrically connects the control unit 10a, 20a corresponding to the approval module 60
  • the second and third channels B, C electrically connect the servo unit 10b, 20b corresponding to the approval module 60.
  • a first signal 100, 200 representative of the activation or deactivation state of the control unit 10a , 20a of the corresponding control module 10, 20.
  • This first signal 100, 200 is generated as a function of the activation or deactivation orders of the first and second control modules 10, 20 received by these control units from the control unit. full authority electronic regulation 50.
  • a second signal 101, 201 representative of the regulation of the control of the power module 30 by the servo unit 10b, 20b of the corresponding command 10, 20.
  • a third redundant signal 102, 202 and representative of the active or inactive state of the servo unit 10b, 20b of the corresponding control module 10, 20 For each first and second control module 10, 20 a third redundant signal 102, 202 and representative of the active or inactive state of the servo unit 10b, 20b of the corresponding control module 10, 20.
  • the redundancy of the third signal 102, 202 generated on each of the two third third channels 102, 202 of the control unit 10a, 20a of the first and second control modules 10, 20 allows tolerance to the loss of information from this third signal 102, 202.
  • each control module 10, 20 the corresponding servo unit 10b, 20b is electrically connected to the approval module 60 by a pulse width control bus of the power module 30.
  • the full authority electronic control unit 50 sends an order to activation of the control unit 10a of the first control module 10 and sends an order to deactivate the control unit 20a of the second control module 20.
  • the control of the power module 30 by the first control module 10 is authorized by the approval module 60.
  • the approval module 60 then authorizes the servo unit 10b, 20b of the first control module 10 to control the power module 30 via the pulse width control bus 10 "of the servo unit 10b of the first control module 10.
  • the fourth signal 103 generated by the approval module 60 is representative of a faulty state of the control unit. servo 10b of the first control module 10 or any other electronic component of the approval module 60.
  • the control unit 10a, 20a receiving this fourth signal 103 sends information to the regulation unit 50 of this faulty state.
  • the full-authority electronic regulation unit 50 then sends an order to deactivate the servo unit 10b of the first control module 10 and an order to activate the control unit 20a of the second control module 20.
  • the control of the power module 30 by the servo unit 20b of the second control module 20 is authorized by the approval module 60.
  • the approval module 60 then authorizes the servo unit 20b of the second control module 20 to control the power module 30 via the pulse width control bus 20 ′ of the second control module 20.
  • the approval module 60 is formed by discrete electronic components.
  • the use of discrete electronic components makes it possible to guarantee a high degree of reliability of the approval module 60 and to avoid the use of software which is often expensive to develop.
  • the approval module 60 comprises a control sub-module 60a of the state of the corresponding control module 10, 20. More particularly, each control sub-module 60a makes it possible to control the state of the servo unit 10b, 20b of the corresponding control module 10, 20.
  • Each control sub-module 60a comprises monostable flip-flops 60aa and receives as input the second channel B of the corresponding control module 10, 20 by which is generated the second signal 101, 201 representative of the regulation of the control of the power module 30 by the corresponding control module 10, 20.
  • These monostable flip-flops 60aa make it possible to generate at output a stable state resulting from the second signal 101, 201 generated by the corresponding control module 10, 20, more particularly, generated by the unit of servo 10b, 20b of the corresponding control module 10, 20.
  • These monostable flip-flops 60aa ensure that the oscillating state of the input signal is not blocked. It will be understood that the monostable flip-flops 60aa are redundant to allow tolerance for the loss of information.
  • Each control sub-module 60a is associated with a validation sub-module 60b for controlling the power module 30 by the corresponding control module 10, 20 with the control sub-module.
  • Each validation sub-module 60b is formed by two discrete electronic switches 60bb connected in cascade to one another. Such redundancy of the discrete electronic switches 60bb is carried out with a view to preventing a simple breakdown, for example when a discrete electronic switch 60bb is blocked then preventing deactivation of the active control module 10, 20 and switching over to the another control module 10, 20. Each of the discrete electronic switches 60bb successively receives as input the third signals 102, 202 and the pulse width control bus 10 ", 20" connected to the corresponding control module 10, 20.
  • These discrete electronic switches 60bb receive, on validation input, on the one hand, the first signal 100, 200 representative of the activation or deactivation state of the control unit 10a, 20a of the corresponding control module 10, 20, and on the other hand, for each of them the output state of a monostable rocker 60aa from the control sub-module 60a.
  • the discrete electronic switches 60bb authorize at output the passage of these third signals 102, 202 and pulse width control signals 10 ", 20" from the servo unit 10b , 20b of the corresponding control module 10, 20.
  • the discrete electronic switches 60bb do not authorize at output the passage of these third signals 102, 202 and pulse width control signals 10 ", 20" of the servo unit 10b, 20b of the corresponding control module 10, 20.
  • each control sub-module 60a and validation sub-module 60b is associated with a logic function sub-module 60c, the logic function sub-modules 60c being connected in order to selectively authorize the control of the control module.
  • power 30 by one of the first or second control modules 10, 20 so that, when one of the control modules 10, 20 controls the power module 30, it is verified that the other control module 10, 20 is disabled.
  • each logic function sub-module 60c comprises a first electronic component of combinatorial logic 60cl allowing a logic function of XOR type.
  • This first electronic component of combinatorial logic 60cl receives as input, on the one hand, a third signal 102, 202 generated by the servo unit 10b, 20b of the corresponding control module 10, 20 and, on the other hand, a third signal 102, 202 generated by the servo unit 10b, 20b of the other control module 10, 20.
  • the signal at the output of the first electronic component of combinational logic 60cl corresponds to the third signal 102, 202 as defined above.
  • each logic function sub-module 60c comprises a second electronic combinational logic component 60c2 allowing an AND type logic function.
  • This second electronic component of combinational logic 60c2 receives as input, on the one hand, the output state of a monostable flip-flop 60bb of the validation sub-module 60b and, on the other hand, the output state of the first component electronic combinatorial logic 60cl.
  • the signal at the output of the second electronic component of combinational logic 60c2 of the first and second control module 10, 20 corresponds respectively to the fourth and fifth signal 103, 203 as defined above.
  • control system is redundant to allow tolerance to the simple failure of one of the electronic components constituting it
  • the redundancy is advantageously obtained by the redundancy of the third signal 102, 202, the redundancy of the monostable flip-flops 60aa, as well as by the redundancy of the discrete electronic switches 60bb and more generally by the redundancy of each of the control modules 10, 20 and of the sub -Modules referenced 60a, 60b and 60c.
  • the full authority electronic regulation unit 50 comprises each of the control units 10a, 20a of the first and second control modules 10, 20.
  • the digital link 10 ′, 20 ′ connecting the control units 10a, 20a to the full authority electronic regulation unit 50 is directly integrated into the architecture of the full authority electronic regulation unit 50
  • Each control unit 10a, 20a is connected to its corresponding servo unit 10b, 20b.
  • the first channel A, the fourth channel D and the fifth channel E electrically connect the corresponding control unit 10a, 20a integrated in the full authority electronic regulation unit 50 to the approval module 60.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • General Engineering & Computer Science (AREA)
  • Aviation & Aerospace Engineering (AREA)
  • Safety Devices In Control Systems (AREA)
  • Supercharger (AREA)

Abstract

L'invention concerne un système de commande électrique (1) destiné à équiper une nacelle de turboréacteur d'un aéronef, ledit système de commande électrique (1) étant caractérisé en ce qu'il comprend deux modules de commande (10, 20) d'un unique module de puissance (30) pilotant une machine électrique (40), et en ce qu'il comprend un module d'approbation (60)reliant chacun des modules de commande (10, 20) au module de puissance (30), le module d'approbation (60) autorisant sélectivement la commande du module de puissance (30) par l'un des modules de commande (10,20).

Description

Aiguilleur électrique haute disponibilité : Contrôle d'une chaîne d'actionnement simplex par un contrôle redondé
La présente invention se rapporte au domaine général de l'aéronautique. Plus particulièrement, l'invention se rapporte au domaine des systèmes de commande électriques équipant un aéronef, ainsi qu'à une nacelle et/ou un aéronef équipés d'un tel système de commande.
Un tel système de commande électrique permet de commander électriquement tout dispositif d'actionnement montés dans un aéronef.
Sans que cela soit limitatif, dans une application à une nacelle, de tels dispositifs d'actionnement permettent, l'ouverture radiale de capotages pour la maintenance du turboréacteur, le déploiement et l'escamotage de capots mobiles de l'inverseur de poussée, ou encore l'ouverture radiale des deux demi parties de l'inverseur de poussée.
Dans une application à un aéronef, sans que cela soit limitatif, de tels systèmes de commande permettent les commandes des vols primaires et secondaires ou bien les fonctions de freinage, de direction, d'extension et de rétraction de train d'atterrissage, ou bien encore de pompes électriques.
En raison d'un espace réduit disponible dans la nacelle, la mise en place et protection de ces systèmes de commande électriques reste une préoccupation importante des constructeurs. Par ailleurs, un enjeu consistant à limiter les coûts des systèmes électriques nécessite de trouver un compromis entre un gain de disponibilité obtenu en redondant ces systèmes et l'augmentation des coûts liés à une telle redondance.
Chaque système de commande électrique utilisé pour piloter un dispositif d'actionnement assurant l'une des fonctions annexes précitées de la nacelle comprend successivement un module de commande, un module de puissance et une machine électrique formant ensemble une chaîne de commande en puissance pilotant une machine électrique du dispositif d'actionnement associé.
Ces systèmes de commande électriques présentent l'inconvénient d'être peu fiable du fait de la probabilité de défaillance d'un composant du module de commande pouvant, par exemple, empêcher le déploiement des capots mobiles en phase d'atterrissage de l'aéronef.
Pour remédier à cet inconvénient des systèmes de commande électriques ont été développés en vue d'optimiser leur fiabilité. Le document EP 2 419 620 Al décrit un système de commande électrique amélioré dont l'ensemble formant la chaîne de commande en puissance est doublé afin d'augmenter sa fiabilité en cas de défaillance. Pour cela, le système de commande électrique d'un dispositif d'actionnement comprend deux modules de commande chacune reliés électriquement à deux modules de puissance et dont chaque module de puissance est relié électriquement à une machine électrique pour former ensemble une chaîne de commande en puissance pilotant le dispositif d'actionnement. Une telle chaîne de commande en puissance améliore sensiblement sa disponibilité en cas de défaillance de l'un de ces composants et permet le pilotage du dispositif d'actionnement par un des modules de commande et de puissance lorsque l'autre module de commande ou de puissance est défaillant.
Bien qu'un tel système de commande électrique permette une plus grande disponibilité du système, il reste coûteux et encombrant dans son intégration à une nacelle. Par ailleurs, ce système de commande électrique présente l'inconvénient de doubler chacune des modules de commande et de puissance, ceci bien qu'un module de puissance formé de composants électroniques de puissance présente un degré de fiabilité sensiblement supérieur à un module de commande formé de composants électroniques de commande.
Le critère de disponibilité s'entend de la capacité pour le dispositif d'actionnement commandé par le système de commande électrique à être actionné sans défaillance afin de remplir la fonction qui lui est associée.
La fiabilité est la mesure de la probabilité de fonctionnement ou de panne d'un système utilisé dans des conditions déterminées et pendant un temps donné. En aéronautique, cette grandeur caractérise la sécurité de fonctionnement d'un matériel.
La présente invention a pour but de pallier au moins l'un des inconvénients précités en proposant un système de commande électrique amélioré prévu pour équiper une nacelle d'un turboréacteur qui présente un gain de disponibilité tout en facilitant son intégration dans une nacelle et en limitant son coût.
A cet effet, l'invention a pour objet un système de commande électrique destiné à équiper un aéronef, particulièrement une nacelle d'un aéronef, ledit système de commande électrique étant caractérisé en ce qu'il comprend deux modules de commande d'un unique module de puissance pilotant une machine électrique, et en ce qu'il comprend un module d'approbation reliant chacun des modules de commande au module de puissance, le module d'approbation autorisant sélectivement la commande du module de puissance par l'un des modules de commande. L'utilisation de deux modules de commande pour un unique module de puissance d'une machine électrique assure un degré de disponibilité élevé du système de commande électrique tout en réduisant significativement son coût et son encombrement dans une nacelle par rapport à un système de commande électrique totalement redondé.
Selon une caractéristique de l'invention, le module d'approbation est configuré pour identifier un état inactif du module de commande autorisé et lorsque cet état inactif est identifié pour permettre la sélection de l'autre module de commande pour la commande du module de puissance.
Selon une autre caractéristique de l'invention, le module d'approbation est formé par des composants électroniques discrets.
L'utilisation de composants électroniques discrets permet de garantir un degré de fiabilité élevé du module d'approbation et d'éviter le recours à du logiciel souvent coûteux en développement. Par ailleurs, les composants électroniques discrets ne nécessitent pas l'utilisation d'une alimentation externe.
Selon une autre caractéristique de l'invention, le système de commande est redondé pour permettre une tolérance à la panne simple de l'un des composants électroniques le constituant.
On entend ici par l'expression « composant électronique », un composant électronique pouvant être numérique tel que le module de commande, ou encore un composant électronique discret.
Selon une autre caractéristique de l'invention, pour chaque module de commande, le module d'approbation comprend un sous-module de contrôle de l'état du module de commande correspondant.
Selon une autre caractéristique de l'invention, à chaque sous-module de contrôle est associé un sous-module de validation de la commande du module de puissance par le module de commande correspondant au sous-module de contrôle.
Selon une autre caractéristique de l'invention, à chaque sous-module de contrôle et sous-module de validation est associé un sous-module de fonction logique, les sous-modules de fonction logique étant reliés en vue d'autoriser sélectivement la commande du module de puissance par l'un des premier ou deuxième modules de commande de sorte que, lorsque l'un des modules de commande assure la commande du module de puissance, il est vérifié que l'autre module de commande est désactivé.
Selon une autre caractéristique de l'invention, chaque module de commande comprend une unité d'asservissement de la machine électrique et une unité de commande de l'unité d'asservissement, l'unité de commande étant reliée à une unité de régulation électronique à pleine autorité par une liaison numérique.
Selon une autre caractéristique de l'invention, les modules de commande génèrent chacun simultanément et en parallèle des signaux de commande en largeur d'impulsions vers le module d'approbation, le module d'approbation étant configuré pour autoriser le passage des signaux de commande en largeur d'impulsions générés par le module de commande qu'il autorise pour la commande du module de puissance.
Ainsi, en cas de panne, aucun temps de reconfiguration du système de commande électrique n'est introduit. Par ailleurs, le système de commande ne nécessite pas de logiciel dédié. On comprendra que la reconfiguration est passive. Le temps de reconfiguration du système de commande électrique correspond au temps nécessaire, en cas de panne, pour le système de commande d'autoriser sélectivement la commande du module de puissance par l'autre module de commande non défaillant.
L'invention a également pour objet un système d'actionnement, par exemple d'un vérin, intégré à un aéronef, le système d'actionnement comprenant le système de commande électrique tel que défini dans le présent document.
L'invention a également pour objet une nacelle de turboréacteur d'un aéronef comportant un système de commande électrique tel que défini dans le présent document.
L'invention a par ailleurs pour objet un aéronef comprenant un système de commande électrique tel que défini dans le présent document ou un système d'actionnement tel que défini dans le présent document ou encore une nacelle de turboréacteur telle que définie dans le présent document.
D'autres aspects, buts et avantages de l'invention apparaîtront à la lecture de la description détaillée suivante de formes de réalisation préférées de celle-ci, donnée à titre d'exemple non limitatif et faite en référence aux dessins annexés sur lesquels :
- la figure 1 représente une vue schématique d'un système de commande électrique selon un premier mode de réalisation de l'invention qui comprend entre autres deux modules de commande d'un module de puissance pilotant une machine électrique, le module de puissance étant relié aux modules de commande par l'intermédiaire d'un module d'approbation.
- la figure 2 représente une vue schématique d'un système de commande électrique selon un deuxième mode de réalisation de l'invention,
- la figure 3 représente une vue schématique du module d'approbation selon le deuxième mode de réalisation, - la figure 4 représente une vue schématique d'un système de commande électrique selon un troisième mode de réalisation de l'invention.
A la figure 1, on a représenté un système de commande électrique 1 destiné à équiper une nacelle de turboréacteur d'un aéronef. Le système de commande électrique 1 comprend deux modules de commande 10, 20, à savoir un premier module de commande 10 et un deuxième module de commande 20, d'un unique module de puissance 30 pilotant une machine électrique 40 pouvant être avantageusement de tout type, par exemple de type solénoïde ou encore de type électro-aimant.
Les premier et deuxième modules de commande 10, 20 sont avantageusement des circuits numériques de type processeur. Le module de puissance 30 est de type onduleur.
Ces premier et deuxième modules de commande 10, 20 sont avantageusement reliés, par une liaison numérique 10', 20' de communication bidirectionnelle à une unité de régulation électronique à pleine autorité 50 communément dénommé EEC (Electronic Engine Control). La liaison numérique 10', 20' est avantageusement de type ARINC ou AFDX.
L'unité de régulation électronique à pleine autorité 50 assure entre autres la fonction d'envoi des ordres d'activation ou de désactivation des premier et deuxième modules de commande 10, 20. Plus particulièrement, l'unité de régulation électronique à pleine autorité 50 est configurée, à chaque instant, pour générer un ordre d'activation d'un des modules de commande 10, 20 et générer un ordre de désactivation de l'autre module de commande 10, 20 de sorte qu'il est assuré que le module de puissance 30 soit commandé par un seul module de commande 10, 20.
Ces ordres d'activation ou de désactivation envoyés par l'unité de régulation électronique à pleine autorité 50 vers les premier et deuxième modules de commande 10, 20 sont, par exemple, un bit dans un label du protocole de communication entre le premier ou deuxième modules de commande 10, 20 et l'unité de régulation électronique à pleine autorité 50. En d'autres termes, l'unité de régulation électronique à pleine autorité 50 envoie les mêmes ordres d'activation ou de désactivation à un instant donné vers chacun des modules de commande 10, 20. Les deux modules de commande 10, 20 reçoivent donc les mêmes consignes de l'unité de régulation électronique à pleine autorité 50.
Chacun des premier et deuxième modules de commande 10, 20 est configuré pour permettre une commande en asservissement de la machine électrique 40. Chaque premier et deuxième module de commande 10, 20 reçoit, par l'unité de régulation électronique à pleine autorité 50, les instructions de commande en asservissement de la machine électrique 40.
Une telle commande en asservissement permet un contrôle de la vitesse, de la position et du couple de la machine électrique 40.
Par ailleurs, le système électronique de commande 1 selon l'invention comprend un module d'approbation 60 reliant électriquement chacun des premier et deuxième modules de commande 10, 20 au module de puissance 30. Ce module d'approbation 60 permet d'autoriser sélectivement la commande du module de puissance 30 par l'un des premier ou deuxième modules de commande 10, 20 de sorte que lorsque l'un des modules de commande 10, 20 assure la commande du module de puissance 30, l'autre module de commande est désactivé.
La commande du module de puissance 30 par le premier ou deuxième module de commande 10, 20 permet, bien entendu, le pilotage de la machine électrique 40 auquel est relié le module de puissance 30.
On comprendra que chacun des premier et deuxième modules de commande 10, 20 est relié indirectement au module de puissance 30 par l'intermédiaire du module d'approbation 60.
On comprendra, par ailleurs, que le module d'approbation 60 est distinct de l'unité de régulation électronique à pleine autorité 50.
L'utilisation de deux modules de commande 10, 20 pour un unique module de puissance 30 d'une machine électrique 40 assure un degré de disponibilité élevé du système de commande électrique 1 tout en réduisant significativement son coût et son encombrement dans une nacelle par rapport à un système de commande électrique totalement redondé.
Le module d'approbation 60 est configuré pour identifier un état inactif du module de commande 10, 20 autorisé par l'unité de régulation électronique à pleine autorité 50 et lorsque cet état inactif est identifié pour sectionner l'autre module de commande 10, 20 pour la commande du module de puissance 30.
L'état inactif du module de commande 10, 20 autorisé par l'unité de régulation électronique à pleine autorité 50 est représentatif d'un état défaillant de ce module de commande 10, 20 de sorte que celui-ci ne peut assurer la commande en asservissement de la machine électrique 40.
Chaque premier et deuxième module de commande 10, 20 est relié électriquement au module d'approbation 60 par un bus de commande en largeur d'impulsions 10'', 20" du module de puissance 30 par lequel le pilotage de la machine électrique 40 est assuré par des signaux de commande en largeur d'impulsions. Les modules de commande 10, 20 génèrent chacun simultanément et en parallèle des signaux de commande en largeur d'impulsions 10”, 20” vers le module d'approbation 60, le module d'approbation 60 étant configuré pour autoriser le passage des signaux de commande en largeur d'impulsions 10”, 20” générés par le module de commande 10, 20 qu'il autorise pour la commande du module de puissance 60.Tel que représenté, chaque premier et deuxième module de commande 10, 20 est relié électriquement au module d'approbation 60 par une première voie A par laquelle est généré un premier signal 100, 200 représentatif de l'état d'activation ou de désactivation du module de commande correspondant 10, 20. Ce premier signal 100, 200 est généré en fonction des ordres d'activation ou de désactivation des premier et deuxième modules de commande 10, 20 reçus par ces derniers depuis l'unité de régulation électronique à pleine autorité 50.
Lorsqu'un module de commande 10, 20 reçoit, depuis l'unité de régulation électronique à pleine autorité 50, un ordre d'activation, ce module de commande 10, 20 génère un signal 100, 200 représentatif de son état d'activation qui est reçu par le module d'approbation 60. Lorsqu'un module de commande 10, 20 reçoit, depuis l'unité de régulation électronique à pleine autorité 50, un ordre de désactivation, ce module de commande 10, 20 génère un signal 100, 200 représentatif de son état désactivé qui est également reçu par le module d'approbation 60.
Ce premier signal 100, 200 reçu par le module d'approbation 60 permet à celui-ci d'identifier une première condition d'approbation de la commande du module de puissance 30 par le premier ou deuxième module de commande 10, 20, cette première condition étant validée lorsque qu'un module de commande 10, 20 génère un signal 100, 200 représentatif de son état d'activation qui est reçu par le module d'approbation 60.
Par ailleurs, chaque premier et deuxième module de commande 10, 20 est relié électriquement au module d'approbation 60 par une deuxième voie B par laquelle est généré un deuxième signal 101, 201 représentatif de la régulation de la commande du module de puissance 30 par le module de commande correspondant 10, 20.
Ce deuxième signal 101, 201 est avantageusement un signal d'horloge permettant la régulation de la commande du module de puissance 30 par le module de commande correspondant 10, 20. Dans ce cas, on comprendra que la régulation de la commande du module de puissance 30 est identifiée par le module d'approbation 60 lorsque ce signal d'horloge est reçu par le module d'approbation 60, alors qu'un défaut de la régulation de la commande du module de puissance 30 par le module de commande correspondant 10, 20 est identifié lorsque ce signal d'horloge n'est pas reçu par le module d'approbation 60 sur une période prédéterminée.
Ce deuxième signal 101, 201 reçu par le module d'approbation 60 permet à celui-ci d'identifier une deuxième condition d'approbation de la commande du module de puissance 30 par le premier ou deuxième module de commande 10, 20, cette deuxième condition d'approbation étant validée lorsque le signal d'horloge est reçu par le module d'approbation 60.
De plus, chaque premier ou deuxième module de commande 20 est relié électriquement au module d'approbation 60 par une troisième voie C par laquelle est généré un troisième signal 102, 202 représentatif de l'état actif ou inactif du module de commande correspondant 10, 20.
Bien entendu, lorsqu'un module de commande 10, 20 est actif, celui-ci génère un troisième signal 102, 202 représentatif de l'état actif du module de commande correspondant 10, 20. Lorsqu'un module de commande 10, 20 est inactif, celui-ci génère un troisième signal 102, 202 représentatif de l'état inactif du module de commande correspondant 10, 20.
On comprendra, par ailleurs, que le premier signal 100, 200 est généré en fonction des ordres d'activation ou de désactivation des premier et deuxième modules de commande 10, 20 reçus par ces derniers depuis l'unité de régulation électronique à pleine autorité 50. En d'autres termes, le premier signal 100, 200 désigne le module de commande 10, 20 sélectionné pour piloter le module de puissance 30 et le module de commande 10, 20 non sélectionné pour piloter le module de puissance 30.
D'autre part, le troisième signal 102, 202 est représentatif de l'état actif ou inactif du module de commande correspondant 10, 20. En fonctionnement nominal, c'est-à-dire dans un cas sans panne, les premier et deuxième modules de commande 10, 20 sont tous deux actifs, le troisième signal 102, 202 de chacun des modules de commande 10, 20 est représentatif de l'état actif des modules de commande 10, 20. On comprendra que ce troisième signal 102, 202 est ainsi représentatif de l'état de fonctionnement du module de commande 10, 20 correspondant qui permet ainsi d'identifier un défaut de fonctionnement.
Avantageusement, chaque premier et deuxième module de commande 10, 20 est relié électriquement au module d'approbation 60 par au moins deux troisièmes voies C par lesquelles sont générés sur chacune d'entre elles un troisième signal 102, 202 représentatif de l'état actif ou inactif du module de commande correspondant 10, 20. La redondance du troisième signal 102, 202 généré sur chacune des deux troisièmes voies des premier et deuxième modules de commande 10, 20 permet la tolérance à la perte d'information de ce troisième signal 102, 202.
Au moins un troisième signal 102, 202 généré par l'un des modules de commande 10, 20 est combiné par le module d'approbation 60 à au moins un troisième signal 102, 202 généré par l'autre module de commande 10, 20 en vue d'autoriser sélectivement la commande du module de puissance 30 par l'un des premier ou deuxième modules de commande 10, 20 de sorte que, lorsque l'un des premier ou deuxième modules de commande 10, 20 assure la commande du module de puissance 30, il est vérifié que l'autre module de commande 10, 20 est désactivé.
La combinaison de ces troisièmes signaux 102, 202 reçus par le module d'approbation 60 permet à celui-ci d'identifier une troisième condition d'approbation de la commande du module de puissance 30 par le premier ou deuxième module de commande 10, 20 autorisé par l'unité de régulation électronique à pleine autorité 50, cette troisième condition d'approbation étant validée lorsque le troisième signal 102, 202 généré par le module de commande autorisé par l'unité de régulation électronique à pleine autorité 50 est représentatif d'un état actif de ce module de commande 10, 20 et lorsque le troisième signal 102, 202 généré par l'autre module de commande est représentatif d'un état inactif de ce module de commande 10, 20.
Le module d'approbation 60 est relié électriquement à l'unité de régulation électronique à pleine autorité 50 par une quatrième voie D et une cinquième voie E. Alternativement, le module d'approbation 60 est relié électriquement par la quatrième voie D au premier module de commande 10 et le module d'approbation 60 est relié par la cinquième voie E au deuxième module de commande 20.
Depuis la quatrième voie D, le module d'approbation 60 génère un quatrième signal 103 représentatif de la combinaison de la deuxième et troisième conditions d'approbation relatif au premier module de commande 10. Depuis la cinquième voie E, le module d'approbation 60 génère un cinquième signal 203 représentatif de la combinaison de la deuxième et troisième conditions d'approbation relatif au deuxième module de commande 20.
Le fonctionnement du système de commande électrique 1 est décrit ci- après.
Lorsque le module de commande 10, 20 autorisé par l'unité de régulation électronique à pleine autorité 50 est le premier module de commande 10, l'unité de régulation électronique à pleine autorité 50 envoie un ordre d'activation du premier module de commande 10 et envoie un ordre de désactivation du deuxième module de commande 20. Lorsque les premier, deuxième et troisième conditions d'approbation relatives au premier module de commande 10 sont validées, la commande du module de puissance 30 par le premier module de commande 10 est autorisée par le module d'approbation 60. Le module d'approbation 60 autorise alors le premier module de commande 10 à commander le module de puissance 30 par l'intermédiaire du bus de commande en largeur d'impulsions 10" du module de puissance 30 du premier module de commande 10. Par ailleurs, les premier, deuxième et troisième conditions d'approbation relatives au deuxième module de commande 20 ne sont pas validées, la commande du module de puissance 30 par le deuxième module de commande 20 n'est pas autorisé par le module d'approbation 60.
Lorsque l'une des deuxième ou troisième condition d'approbation relative au premier module de commande 10 n'est pas validée, le quatrième signal 103 généré par le module d'approbation 60 est représentatif d'un état défaillant du premier module de commande 10. L'unité de régulation recevant ce quatrième signal 103 envoie un ordre de désactivation du premier module de commande 10 et un ordre d'activation du deuxième module de commande 20.
Le module de commande 10, 20 autorisé par l'unité de régulation électronique à pleine autorité 50 est alors le deuxième module de commande 20.
Lorsque les premier, deuxième et troisième conditions d'approbation relatives au deuxième module de commande 20 sont validées, la commande du module de puissance 30 par le deuxième module de commande 20 est autorisée par le module d'approbation 60. Le module d'approbation 60 autorise alors le deuxième module de commande 20 à commander le module de puissance 30 par l'intermédiaire du bus de commande en largeur d'impulsions du deuxième module de commande 20.
A la figure 2, on a représenté un deuxième mode de réalisation de l'invention où chaque premier et deuxième module de commande 10, 20 comprend une unité d'asservissement 10b, 20b de la machine électrique 40 et une unité de commande 10a, 20a de l'unité d'asservissement 10b, 20b reliées l'une à l'autre, l'unité de commande 10a, 20a étant reliée à une unité de régulation électronique à pleine autorité 50 par la liaison numérique 10', 20' tel que défini précédemment.
Selon ce mode de réalisation, pour chaque module de commande 10, 20, la première voie A relie électriquement l'unité de commande 10a, 20a correspondante au module d'approbation 60, alors que les deuxième et troisième voies B, C relient électriquement l'unité d'asservissement 10b, 20b correspondante au module d'approbation 60. Selon ce deuxième mode de réalisation, pour chaque premier et deuxième module de commande 10, 20, depuis la première voie A est généré un premier signal 100, 200 représentatif de l'état d'activation ou de désactivation de l'unité de commande 10a, 20a du module de commande correspondant 10, 20. Ce premier signal 100, 200 est généré en fonction des ordres d'activation ou de désactivation des premier et deuxième modules de commande 10, 20 reçus par ces unités de commande depuis l'unité de régulation électronique à pleine autorité 50.
Pour chaque premier et deuxième module de commande 10, 20, depuis la deuxième voie B est généré un deuxième signal 101, 201 représentatif de la régulation de la commande du module de puissance 30 par l'unité d'asservissement 10b, 20b du module de commande correspondant 10, 20.
Pour chaque premier et deuxième module de commande 10, 20 un troisième signal 102, 202 redondé et représentatif de l'état actif ou inactif de l'unité d'asservissement 10b, 20b du module de commande correspondant 10, 20. La redondance du troisième signal 102, 202 généré sur chacune des deux troisièmes voies 102, 202 de l'unité de commande 10a, 20a des premier et deuxième modules de commande 10, 20 permet la tolérance à la perte d'information de ce troisième signal 102, 202.
Par ailleurs, pour chaque module de commande 10, 20, l'unité d'asservissement 10b, 20b correspondante est reliée électriquement au module d'approbation 60 par un bus de commande en largeur d'impulsions du module de puissance 30.
Lorsque l'unité de commande 10a, 20a autorisé par l'unité de régulation électronique à pleine autorité 50 est l'unité de commande 10a du premier module de commande 10, l'unité de régulation électronique à pleine autorité 50 envoie un ordre d'activation de l'unité de commande 10a du premier module de commande 10 et envoie un ordre de désactivation de l'unité de commande 20a du deuxième module de commande 20.
Lorsque les premier, deuxième et troisième conditions d'approbation relatives au premier module de commande 10 sont validées, la commande du module de puissance 30 par le premier module de commande 10 est autorisée par le module d'approbation 60. Le module d'approbation 60 autorise alors l'unité d'asservissement 10b, 20b du premier module de commande 10 à commander le module de puissance 30 par l'intermédiaire du bus de commande en largeur d'impulsions 10" de l'unité d'asservissement 10b du premier module de commande 10. Lorsque l'une des deuxième ou troisième conditions d'approbation relative au premier module de commande 10 n'est pas validée, le quatrième signal 103 généré par le module d'approbation 60 est représentatif d'un état défaillant de l'unité d'asservissement 10b du premier module de commande 10 ou de tout autre composant électronique du module d'approbation 60. L'unité de commande 10a, 20a recevant ce quatrième signal 103 envoie à l'unité de régulation 50 une information de cet état défaillant. L'unité de régulation électronique à pleine autorité 50 envoie alors un ordre de désactivation de l'unité d'asservissement 10b du premier module de commande 10 et un ordre d'activation de l'unité de commande 20a du deuxième module de commande 20.
Lorsque les premier, deuxième et troisième conditions d'approbation relatives au deuxième module de commande 20 sont validées, la commande du module de puissance 30 par l'unité d'asservissement 20b du deuxième module de commande 20 est autorisée par le module d'approbation 60. Le module d'approbation 60 autorise alors l'unité d'asservissement 20b du deuxième module de commande 20 à commander le module de puissance 30 par l'intermédiaire du bus de commande en largeur d'impulsions 20' du deuxième module de commande 20.
A la figure 3, on a représenté une vue schématique du module d'approbation 60 selon le deuxième mode de réalisation.
Le module d'approbation 60 est formé par des composants électroniques discrets. L'utilisation de composants électroniques discrets permet de garantir un degré de fiabilité élevé du module d'approbation 60 et d'éviter le recours à du logiciel souvent coûteux en développement.
Pour chaque module de commande 10, 20, le module d'approbation 60 comprend un sous-module de contrôle 60a de l'état du module de commande correspondant 10, 20. Plus particulièrement, chaque sous-module de contrôle 60a permet de contrôler l'état de l'unité d'asservissement 10b, 20b du module de commande correspondant 10, 20.
Chaque sous-module de contrôle 60a comprend des bascules monostables 60aa et reçoit en entrée la deuxième voie B du module de commande correspondant 10, 20 par laquelle est généré le deuxième signal 101, 201 représentatif de la régulation de la commande du module de puissance 30 par le module de commande correspondant 10, 20. Ces bascules monostables 60aa permettent de générer en sortie un état stable résultant du deuxième signal 101, 201 généré par le module de commande correspondant 10, 20, plus particulièrement, généré par l'unité d'asservissement 10b, 20b du module de commande correspondant 10, 20. Ces bascules monostables 60aa permettent d'assurer que l'état oscillant du signal en entrée n'est pas bloqué. On comprendra que les bascules monostables 60aa sont redondées pour permettre la tolérance à la perte d'information.
A chaque sous-module de contrôle 60a est associé un sous-module de validation 60b de la commande du module de puissance 30 par le module de commande correspondant 10, 20 au sous-module de contrôle.
Chaque sous-module de validation 60b est formé des deux interrupteurs électroniques discrets 60bb relié en cascade l'un à l'autre. Une telle redondance des interrupteurs électroniques discrets 60bb est réalisée en vue de se prémunir d'une panne simple, par exemple lorsqu'un interrupteur électronique discret 60bb est bloqué empêchant alors la désactivation du module de commande actif 10, 20 et le basculement sur l'autre module de commande 10, 20. Chacun des interrupteurs électroniques discrets 60bb reçoit successivement en entrée les troisièmes signaux 102, 202 et le bus de commande en largeur d'impulsions 10", 20" reliés au module de commande correspondant 10, 20. Ces interrupteurs électroniques discrets 60bb reçoivent en entrée de validation, d'une part, le premier signal 100, 200 représentatif de l'état d'activation ou de désactivation de l'unité de commande 10a, 20a du module de commande correspondant 10, 20, et d'autre part, pour chacun d'entre eux l'état de sortie d'une bascule monostable 60aa du sous-module de contrôle 60a.
Lorsque la première condition et la deuxième condition sont validées, les interrupteurs électroniques discrets 60bb autorisent en sortie le passage de ces troisièmes signaux 102, 202 et signaux de commande en largeur d'impulsions 10", 20" de l'unité d'asservissement 10b, 20b du module de commande correspondant 10, 20.
Lorsque l'une des première condition ou deuxième condition n'est pas validée, les interrupteurs électroniques discrets 60bb n'autorisent pas en sortie le passage de ces troisièmes signaux 102, 202 et signaux de commande en largeur d'impulsions 10", 20" de l'unité d'asservissement 10b, 20b du module de commande correspondant 10, 20.
Par ailleurs, à chaque sous-module de contrôle 60a et sous-module de validation 60b est associé un sous-module de fonction logique 60c, les sous-modules de fonction logique 60c étant reliés en vue d'autoriser sélectivement la commande du module de puissance 30 par l'un des premier ou deuxième modules de commande 10, 20 de sorte que, lorsque l'un des modules de commande 10, 20 assure la commande du module de puissance 30, il est vérifié que l'autre module de commande 10, 20 est désactivé. Pour cela, chaque sous-module de fonction logique 60c comprend un premier composant électronique de logique combinatoire 60cl permettant une fonction logique de type XOR. Ce premier composant électronique de logique combinatoire 60cl reçoit en entrée, d'une part, un troisième signal 102, 202 généré par l'unité d'asservissement 10b, 20b du module de commande correspondant 10, 20 et, d'autre part, un troisième signal 102, 202 généré par l'unité d'asservissement 10b, 20b de l'autre module de commande 10, 20.
Pour chaque module de commande 10, 20, le signal en sortie du premier composant électronique de logique combinatoire 60cl correspond au troisième signal 102, 202 tel que défini précédemment.
Par ailleurs, chaque sous-module de fonction logique 60c comprend un deuxième composant électronique de logique combinatoire 60c2 permettant une fonction logique de type ET. Ce deuxième composant électronique de logique combinatoire 60c2 reçoit en entrée, d'une part, l'état de sortie d'une bascule monostable 60bb du sous-module de validation 60b et, d'autre part, l'état de sortie du premier composant électronique de logique combinatoire 60cl.
Le signal en sortie du deuxième composant électronique de logique combinatoire 60c2 du premier et deuxième module de commande 10, 20 correspond respectivement au quatrième et cinquième signal 103, 203 tel que défini précédemment.
Selon l'invention, le système de commande est redondé pour permettre une tolérance à la panne simple de l'un des composants électroniques le constituant,
La redondance est avantageusement obtenue par la redondance du troisième signal 102, 202, la redondance des bascules monostables 60aa, ainsi que par la redondance des interrupteurs électroniques discrets 60bb et plus généralement par la redondance de chacun des modules de commande 10, 20 et des sous-modules référencés 60a, 60b et 60c.
A la figure 4, on a représenté un troisième mode de réalisation de l'invention dans lequel l'unité de régulation électronique à pleine autorité 50 comprend chacune des unités de commande 10a, 20a des premier et deuxième modules de commande 10, 20. Selon ce mode de réalisation, la liaison numérique 10', 20' reliant les unités de commande 10a, 20a à l'unité de régulation électronique à pleine autorité 50 est directement intégrée à l'architecture de l'unité de régulation électronique à pleine autorité 50. Chaque unité de commande 10a, 20a est relié à son unité d'asservissement 10b, 20b correspondante. Par ailleurs, de la même façon, la première voie A, la quatrième voie D et la cinquième voie E relient électriquement l'unité de commande 10a, 20a correspondante intégré à l'unité de régulation électronique à pleine autorité 50 au module d'approbation 60.
Bien évidemment, l'invention n'est pas limitée aux exemples qui viennent d'être décrits et de nombreux aménagements peuvent être apportés à ces exemples sans sortir du cadre de l'invention. Notamment, les différentes caractéristiques, formes, variantes et modes de réalisation de l'invention peuvent être associés les uns avec les autres selon diverses combinaisons dans la mesure où ils ne sont pas incompatibles ou exclusifs les uns des autres. En particulier, toutes les variantes et modes de réalisation décrits précédemment sont combinables entre eux.

Claims

REVENDICATIONS
1. Système de commande électrique (1) destiné à équiper un aéronef, ledit système de commande électrique (1) étant caractérisé en ce qu'il comprend deux modules de commande (10, 20) d'un unique module de puissance (30) pilotant une machine électrique (40), et en ce qu'il comprend un module d'approbation (60) reliant chacun des modules de commande (10, 20) au module de puissance (30), le module d'approbation (60) autorisant sélectivement la commande du module de puissance (30) par l'un des modules de commande (10, 20).
2. Système de commande électrique (1) selon la revendication précédente, caractérisé en ce que le module d'approbation (60) est configuré pour identifier un état inactif du module de commande (10, 20) autorisé et lorsque cet état inactif est identifié pour permettre la sélection de l'autre module de commande (10, 20) pour la commande du module de puissance (30).
3. Système de commande électrique (1) selon l'une quelconque des revendications précédentes, caractérisé en ce que le module d'approbation (60) est formé par des composants électroniques discrets.
4. Système de commande électrique (1) selon l'une quelconque des revendications précédentes, caractérisé en ce que le système de commande (1) est redondé pour permettre une tolérance à la panne simple de l'un des composants électroniques le constituant.
5. Système de commande électrique (1) selon l'une quelconque des revendications précédentes, caractérisé en ce que, pour chaque module de commande (10, 20), le module d'approbation (60) comprend un sous-module de contrôle (60a) de l'état du module de commande (10, 20) correspondant.
6. Système de commande électrique (1) selon la revendication précédente, caractérisé en ce qu'à chaque sous-module de contrôle (60a) est associé un sous-module de validation (60b) de la commande du module de puissance (60) par le module de commande (10, 20) correspondant au sous-module de contrôle (60a).
7. Système de commande électrique (1) selon la revendication précédente, caractérisé en ce qu'à chaque sous-module de contrôle (60a) et sous- module de validation (60b) est associé un sous-module de fonction logique (60c), les sous-modules de fonction logique (60c) étant reliés en vue d'autoriser sélectivement la commande du module de puissance (60) par l'une des premier ou deuxième modules de commande (10, 20) de sorte que, lorsque l'un des modules de commande (10, 20) assure la commande du module de puissance (60), il est vérifié que l'autre module de commande (10, 20) est désactivé.
8. Système de commande électrique (1) selon l'une quelconque des revendications précédentes, caractérisé en ce que chaque module de commande (10, 20) comprend une unité d'asservissement (10b, 20b) du moteur électrique (40) et une unité de commande (10b, 20b) de l'unité d'asservissement (10a, 20a), l'unité de commande (10a, 20a) étant reliée à une unité de régulation électronique à pleine autorité (50) par une liaison numérique (10', 20').
9. Système de commande électrique (1) selon l'une quelconque des revendications précédentes, caractérisé en ce que les modules de commande (10, 20) génèrent chacun simultanément et en parallèle des signaux de commande en largeur d'impulsions (10'', 20'') vers le module d'approbation (60), le module d'approbation (60) étant configuré pour autoriser le passage des signaux de commande en largeur d'impulsions (10'', 20'') générés par le module de commande (10, 20) qu'il autorise pour la commande du module de puissance (60).
10. Aéronef, caractérisé en ce qu'IL comprend un système de commande électrique (1) selon l'une quelconque des revendications précédentes.
EP19778574.4A 2018-08-30 2019-08-28 Aiguilleur électrique haute disponibilité : contrôle d'une chaine d'actionnement simplex par un contrôle redondé Pending EP3844575A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR1857819A FR3085562B1 (fr) 2018-08-30 2018-08-30 Aiguilleur electrique haute disponibilite : controle d’une chaine d’actionnement simplex par un controle redonde
PCT/FR2019/051987 WO2020043990A1 (fr) 2018-08-30 2019-08-28 Aiguilleur électrique haute disponibilité : contrôle d'une chaine d'actionnement simplex par un contrôle redondé

Publications (1)

Publication Number Publication Date
EP3844575A1 true EP3844575A1 (fr) 2021-07-07

Family

ID=63834280

Family Applications (1)

Application Number Title Priority Date Filing Date
EP19778574.4A Pending EP3844575A1 (fr) 2018-08-30 2019-08-28 Aiguilleur électrique haute disponibilité : contrôle d'une chaine d'actionnement simplex par un contrôle redondé

Country Status (4)

Country Link
US (1) US12054278B2 (fr)
EP (1) EP3844575A1 (fr)
FR (1) FR3085562B1 (fr)
WO (1) WO2020043990A1 (fr)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102019125867B4 (de) * 2019-09-25 2022-05-05 Keba Industrial Automation Germany Gmbh Programmierbarer elektronischer Leistungssteller

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2944563B1 (fr) 2009-04-16 2011-04-22 Aircelle Sa Dispositif d'inversion de poussee
JP5528168B2 (ja) * 2010-03-26 2014-06-25 Ｎｔｎ株式会社 電気自動車用コントローラ装置
GB2520694A (en) * 2013-11-27 2015-06-03 Airbus Operations Ltd Aircraft electric braking system
US10723465B2 (en) * 2017-12-13 2020-07-28 Rosemount Aerospace Inc. Routable backup power control units

Also Published As

Publication number Publication date
US20210206505A1 (en) 2021-07-08
US12054278B2 (en) 2024-08-06
FR3085562A1 (fr) 2020-03-06
WO2020043990A1 (fr) 2020-03-05
FR3085562B1 (fr) 2020-09-04

Similar Documents

Publication Publication Date Title
EP3408515B1 (fr) Système de régulation électronique partiellement redondant
EP0318354B1 (fr) Dispositif de transmission d'informations pour véhicule automobile et procédé de mise en oeuvre d'un tel dispositif
EP2238026B1 (fr) Systeme distribue de commande de vol
EP2216244B1 (fr) Système de commande de vol et aéronef le comportant
EP0828206B1 (fr) Dispositif de contrôle de la poussée d'un aéronef à plusieurs moteurs
EP3632795B1 (fr) Architecture de système de freinage pour aéronef
FR2961927A1 (fr) Systeme de simulation temps reel de l'environnement d'un moteur d'aeronef
EP3844575A1 (fr) Aiguilleur électrique haute disponibilité : contrôle d'une chaine d'actionnement simplex par un contrôle redondé
EP1827978B1 (fr) Dispositif pour émettre une autorisation d'agir sur le fonctionnement d'un moteur d'aéronef et système de contrôle de moteur comportant un tel dispositif
EP2864196B1 (fr) Circuit electrique de coupure d'une alimentation electrique a transistors et fusibles
EP2864201B1 (fr) Circuit electrique de coupure d'une alimentation electrique a transistors et fusibles a logique redondee
WO2013021120A1 (fr) Procede de surveillance des moyens de verrouillage d'un systeme electrique d'inversion de poussee pour turbomachine
CA2364846C (fr) Systeme de distribution d'energie electrique et contacteur pour un tel systeme
FR2946018A1 (fr) Dispositif pour compenser la perte de poussee d'un moteur d'aeronef et systeme de communication entre lesdits moteurs et un calculateur comportant ledit dispositif.
EP3841291B1 (fr) Architecture de commande d'aéronef, d'au moins un actionneur d'un capôt mobile de nacelle
EP0115994A1 (fr) Interface pour relier un système informatique à un dispositif actionneur
FR2600437A1 (fr) Procede et dispositif pour la commande redondante d'un organe de puissance
EP2547554A1 (fr) Dispositif de commutation pour haut de colonne de direction de véhicule automobile
FR2999352A1 (fr) Circuit electrique redonde de coupure de l'alimentation electronique d'un equipement
FR3162086A1 (fr) Système d’entraînement pour un actionneur
FR3096326A1 (fr) Système de freinage d’aéronef avec dispositifs de commande dissimilaires et module logiciel utilisé en cas de défaillance
WO2024224025A1 (fr) Système d'inversion de poussée pour un aéronef, installation et aéronef associés
FR3082960A1 (fr) Architecture electronique de vehicule automobile avec redondance des reseaux d’alimentation electrique et de communication inter-calculateurs.
EP4630910A1 (fr) Interface homme-machine à connexion sécurisée
WO2003071654A2 (fr) Ligne de contrôle de mise en veille pour un bus de climatisation de véhicule automobile

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20210316

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20221013