BR112015013564B1

BR112015013564B1 - Circuito elétrico e sistema de aquisição

Info

Publication number: BR112015013564B1
Application number: BR112015013564-1A
Authority: BR
Inventors: Jean-Marie Courteille; François Guillot; Patrick Valette; Sonia Schindler
Original assignee: Sagem Defense Securite
Priority date: 2012-12-11
Filing date: 2013-12-11
Publication date: 2022-03-15
Also published as: US9459640B2; WO2014090849A1; CN105026265A; CN105026265B; CA2894374A1; CA2894374C; EP2931608A1; FR2999352A1; BR112015013564A2; EP2931608B1; US20150309519A1

Abstract

CIRCUITO ELÉTRICO E SISTEMA DE AQUISIÇÃO A presente invenção pertence ao campo da segurança do comando de sistemas ou de equipamentos, em particular eletrônicos e particularmente os embarcados a bordo de uma aeronave, e trata de um circuito elétrico (1) apropriado para comandar uma alimentação elétrica de um equipamento elétrico (2), sendo que o circuito elétrico (1) compreende um equipamento elétrico (2) e uma fonte de tensão alimentação (Vpp), e que possui ainda como entradas pelo menos dois sinais elétricos discretos (DIS 1, DIS 2, DIS 3) cujos valores condicionam o corte da alimentação elétrica do equi-pamento, o qual circuito compreende ainda: um módulo de comparação redundante (11) dos sinais elétricos discretos (DIS 1, DIS 2, DIS 3), que compreende duas ramificações de comparação (12, 13) dos referidos sinais, em paralelo uma com a outra, e cada ramificação é apropriado para fornecer na saída um sinal de comando (CLE1, CLE 2) representativo de cada uma das comparações dos referidos sinais elétricos discretos; um primeiro módulo de corte (HW) da alimentação elétrica do equipamento elétrico (2) que compreende dois interruptores em série (Switch 1, Switch 2), cada um dos quais é comandado respectivamente por um dos dois sinais de comando (CLE1, CLE2); e um segundo módulo (FSM) de corte da alimentação elétrica do equipamento elétrico conectado em (...).

Description

CAMPO DA INVENÇÃO

[001] A presente invenção pertence ao campo da segurança do comando de sistemas ou de equipamentos, em particular eletrônicos e particularmente os embarcados a bordo de uma aeronave.

ANTECEDENTES DA INVENÇÃO

[002] Um sistema elétrico pode ser comandado depois que uma condição tiver sido preenchida.

[003] Uma solução conhecida consiste em conectar a alimentação do sistema elétrico a um circuito elétrico configurado para testar sinais discretos que indicam que a condição foi preenchida.

[004] Por exemplo, no caso de uma aeronave, alguns equipamentos elétricos precisam ser cortados em voo, por exemplo no caso de um sistema de aquisição, de processamento e de comunicação de dados aviônicos, o módulo rádio de transmissão sem fio tem de ser cortado para não perturbar o funcionamento da aeronave.

[005] Por meio de portas lógicas E (em inglês, “AND”) conectadas a interruptores é possível simplesmente cortar a alimentação (energização) do módulo rádio se necessário.

[006] Tal solução não é, todavia, satisfatória quando níveis de confiabilidade (em inglês, “safety”) particularmente elevados são exigidos. Por exemplo, os níveis de confiabilidade exigidos para a alimentação (energização) dos equipamentos elétricos que comportam um risco catastrófico, isto é, que conduzem potencialmente à perda de vidas humanas são da ordem de 10-9 por hora de voo.

DESCRIÇÃO DA INVENÇÃO

[007] A presente invenção propõe corrigir pelo menos um desses inconvenientes.

[008] Para esse fim, a presente invenção propõe um circuito elétrico adaptado para comandar uma alimentação elétrica de um equipamento elétrico, sendo que circuito elétrico compreende um equipamento elétrico e uma fonte de tensão alimentação, e possui ainda como entradas pelo menos dois sinais elétricos discretos cujos valores condicionam o corte da alimentação elétrica do equipamento, o qual circuito se caracterizada pelo fato de que compreende ainda: - um módulo de comparação redundante dos sinais elétricos discretos, que compreende duas ramificações de comparação dos referidos sinais, em paralelo uma com a outra, e cada ramificação é apropriada para fornecer na saída um sinal de comando representativo de cada uma das comparações dos referidos sinais elétricos discretos, e - um primeiro módulo de corte da alimentação elétrica do equipamento elétrico que compreende dois interruptores em série, cada um dos quais é comandado respectivamente por um dos dois sinais de comando.

[009] A presente invenção é vantajosamente completada pelas características a seguir, consideradas isoladamente ou em qualquer uma de suas combinações tecnicamente possíveis: - o circuito elétrico compreende ainda um segundo módulo de corte da alimentação elétrica do equipamento elétrico conectado em série entre a fonte de tensão alimentação do equipamento elétrico e o primeiro módulo de corte, sendo que o primeiro módulo de corte é comandado pelos sinais de comando provenientes do módulo de comparação redundante. - o segundo módulo de corte da alimentação elétrica é apropriado para isolar o equipamento elétrico da fonte de alimentação gerando um curto- circuito em caso de diferença entre os sinais de comando provenientes do módulo de comparação redundante. - as ramificações paralelas do módulo de comparação redundante dos sinais discretos de entrada realizam uma comparação dos referidos sinais pelo uso respectivamente de uma lógica positiva e de uma lógica negativa. O circuito elétrico compreende, ainda, um primeiro módulo de verificação da tensão de alimentação do referido circuito. - o circuito elétrico compreende ainda um módulo de comparação dos sinais de comando e dos sinais discretos de cada ramificação. - o circuito elétrico compreende, ainda, um segundo módulo de verificação das saídas do módulo de comparação e do primeiro módulo de verificação da tensão e de comparação dos sinais de comandos e dos sinais discretos, e o segundo módulo de verificação possui na saída uma variável discreta de síntese. - o circuito possui como entradas três sinais elétricos discretos.

[010] A presente invenção propõe igualmente um sistema de aquisição, de processamento e de comunicação de dados aviônicos embarcado em uma aeronave, que compreende um circuito elétrico de acordo com a presente invenção, no qual o equipamento elétrico é um módulo de comunicação à distância de dados aviônicos, e os sinais elétricos discretos de entrada são sinais relativos ao estado da referida aeronave, e o circuito elétrico é apropriado para alimentar eletricamente o módulo de comunicação à distância de dados aviônicos quando todos os sinais elétricos de entrada indicarem um estado parado e em terra da referida aeronave.

[011] Vantajosa, mas facultativamente, o sistema de acordo com a presente invenção pode também apresentar as seguintes características: o circuito elétrico compreende ainda um módulo de aquisição centralizada de pelo menos um dos dados entre o seguinte grupo: - valores dos sinais de comando provenientes do módulo de comparação, - valor discreto de síntese, - estado dos interruptores, - estado do sinal de entrada do equipamento de comunicação à distância dos dados aviônicos, - estado de funcionamento do equipamento de comunicação à distância, e o sistema compreende ainda um dispositivo de sinalização dos dados adquiridos pelo módulo de aquisição centralizada.

[012] Foi, portanto, proposto um circuito elétrico que apresenta vários níveis de redundâncias: são assim tornadas redundantes: - as comparações dos sinais elétricos discretos de entrada, - os sinais de comando provenientes das referidas comparações, e - os comandos de corte da alimentação elétrica do equipamento de transmissão à distância dos dados.

[013] Essas múltiplas redundâncias permitem minimizar o impacto da falha de um componente eletrônico individual, e diminuir a probabilidade de que o equipamento elétrico seja alimentado quando ele não deve sê-lo a menos de 10-9 por hora de voo.

[014] Além disso, um módulo de corte da alimentação elétrica garante que uma falha de um componente eletrônico não cause uma alimentação não desejada da alimentação elétrica.

BREVE DESCRIÇÃO DOS DESENHOS

[015] Outras características, finalidades e vantagens da presente invenção aparecerão na descrição a seguir, que é meramente ilustrativa e não limitativa, e que deve ser ligada em relação aos desenhos anexos nos quais: - A figura 1 representa um sistema de aquisição, de processamento e de comunicação de dados aviônicos de acordo com um modo de realização da presente invenção. - A figura 2 ilustra um esquema de princípio de um circuito elétrico de acordo com um modo de realização da presente invenção.

DESCRIÇÃO DE REALIZAÇÕES DA INVENÇÃO

[016] Em relação com a figura 1, um sistema de aquisição, de processamento e de comunicação de dados aviônicos compreende: - uma unidade de aquisição (não representada) de sinais elétricos discretos DIS1 DIS2, DIS3 que indicam um estado da aeronave; - um circuito elétrico 1 que compreende: - um módulo 2 rádio apropriado para transferir os dados aviônicos do sistema para uma estação distante; - uma fonte de tensão +Vpp de alimentação do módulo 2 rádio, e o circuito elétrico é apropriado para comandar uma alimentação elétrica do módulo 2, cortando a alimentação do módulo rádio quando a aeronave está em voo, e - um dispositivo de sinalização 3 de informações relativas ao circuito elétrico 1 e aos dados aviônicos a ser comunicados. Essa sinalização pode ser uma unidade de exibição, uma impressora ou qualquer outro meio de comunicação a um sistema aviônico externo.

[017] Um estado da aeronave está, por exemplo, em voo, em terra, etc. Quando a aeronave está em terra sinais elétricos discretos que indicam que a aeronave está parada são, por exemplo: um sinal que indica a existência de um peso da aeronave sobre as rodas, um sinal que indica que os motores da aeronave estão parados, ou então um sinal que indica que as portas da aeronave estão abertas, etc.

[018] O circuito elétrico de alimentação pode ser modelizado por um interruptor comandado por uma função lógica dos sinais elétricos discretos (ver a figura 1).

[019] Entende-se por função lógica uma série de operações lógicas com uma ou mais variáveis. Funções lógicas conhecidas: E (em inglês, “AND”), OU (em inglês “OR”), OU exclusivo (em inglês, “XOR”), etc.

[020] Em relação à figura 2, o circuito elétrico 1 recebe na entrada pelo menos dois sinais elétricos discretos, de preferência três sinais elétricos discretos DIS1, DIS2, DIS3, ou mais, e compreende uma fonte de tensão + Vpp. Os valores dos sinais elétricos discretos condicionam a alimentação elétrica do módulo 2 rádio.

[021] No caso, para que o módulo rádio 2 seja alimentado, os sinais elétricos discretos DIS1, DIS2, DIS3 devem ser todos iguais entre si, e seu valor lógico, 1 ou 0, deve corresponder para cada sinal elétrico discreto a um estado no qual a aeronave está em terra de acordo com a convenção escolhida.

[022] Evidentemente, pode-se considerar um circuito elétrico que recebe na entrada um número mais elevado de sinais elétricos discretos.

[023] A título de exemplo não limitativo, na continuação da presente descrição será considerado que os sinais elétricos discretos devem ser todos eles iguais a 1 para que o equipamento elétrico seja alimentado.

[024] Como está descrito acima, se um único componente for utilizado para testar os valores dos sinais elétricos discretos, esse componente apresenta uma probabilidade de falha que não é desprezível, de modo que o equipamento elétrico possui uma probabilidade não desprezível ser alimentado quando não deveria sê-lo.

[025] Para corrigir esse problema, o circuito elétrico apresenta comparações redundantes dos sinais elétricos discretos, para evitar uma falha de um componente. Isso permite diminuir a probabilidade de alimentar o equipamento elétrico quando ele não deveria sê-lo.

[026] De fato, a probabilidade de falha do circuito deve ser da ordem de 10 enquanto um componente eletrônico sozinho possui uma probabilidade de falha da ordem de 10-6.

[027] O circuito elétrico 1 compreende um módulo 11 de comparação redundante dos sinais elétricos discretos DIS1, DIS2, DIS3. O módulo 11 de comparação compreende duas ramificações de comparação 12, 13 dos sinais em paralelo, e cada ramificação compreende uma função lógica que usa os sinais elétricos discretos como entrada - isto é, fazendo a aquisição e a adaptação de uma interface física com o ambiente externo, e apropriada para fornecer na saída um sinal de comando respectivo CLE 1, CLE 2, representativo da comparação dos referidos sinais elétricos discretos na entrada.

[028] A título de exemplo, uma ramificação de comparação pode usar a função lógica E entre os sinais elétricos discretos, de forma que o sinal de comando na saída seja igual a 1 unicamente se todos os sinais elétricos discretos forem iguais 1.

[029] Vantajosa, mas não limitativamente, as funções lógicas utilizadas pelas duas ramificações de comparação 12, 13 dos sinais discretos são distintas, de forma a obter uma comparação por duas vias diferentes.

[030] Por exemplo, a função lógica de uma das ramificações utiliza uma lógica positiva, isto é, uma comparação dos próprios discretos (elemento DISC1 -3 Norm na figura 2), e outra utiliza uma lógica negativa, isto é, uma comparação entre os inversos dos discretos (elemento DISC1-3 Redund na figura 2).

[031] Como deve ter ficado claro, o módulo 11 de comparação permite, portanto, tornar a comparação dos sinais discretos redundante.

[032] Se os sinais de comando CLE 1, CLE 2 na saída de cada ramificação do módulo 11 de comparação forem iguais, por exemplo iguais a 1 isso corresponde a um funcionamento normal, o caso contrário corresponde a uma anomalia em uma das ramificações do módulo 11 de comparação.

[033] Ainda em relação com a figura 2, o circuito elétrico 1 compreende um primeiro módulo de corte HW da alimentação elétrica do equipamento 2, o qual módulo é comandado pelos sinais de comando CLE 1 CLE 2 provenientes do módulo 11 de comparação a montante.

[034] Esse primeiro módulo de corte HW comporta dois interruptores em série Switch1, Switch2, dispostos entre a alimentação Vpp e o equipamento elétrico 2, e cada um dos dois interruptores é comandado respectivamente por um dos dois sinais de comando CLE 1, CLE 2.

[035] O primeiro módulo de corte HW permite, portanto, tornar redundante o comando proveniente dos sinais de comando CLE 1, CLE 2. Para que o equipamento elétrico seja alimentado (energizado), os dois sinais de comando devem ser iguais e, em particular, no exemplo apresentado acima, os sinais de comando CLE 1, CLE 2 devem ser ambos iguais a 1.

[036] Se, após uma anomalia de um componente eletrônico, os sinais de comando apresentarem valores diferentes, o equipamento elétrico não é, porém, alimentado (energizado).

[037] Devido a essa redundância do comando proveniente da comparação dos discretos, a falha de um componente eletrônico é menos suscetível de iniciar a alimentação do equipamento elétrico 2. Em outras palavras, a probabilidade de que o equipamento elétrico 2 seja alimentado (energizado) quando não deveria sê-lo é reduzida.

[038] Como ilustra figura 2, o circuito elétrico 1 compreende, ainda, um segundo módulo de corte FSM em inglês, “FailSafe Monitoring”, isto é, que garante que uma anomalia de um componente eletrônico não crie nenhum perigo para a aeronave, e particularmente que tal anomalia não cause um risco de alimentação (energização) do equipamento eletrônico 2 quando ele não deveria ser alimentado (energizado).

[039] Esse segundo módulo de corte FSM está conectado em série entre a fonte de tensão alimentação Vpp do equipamento elétrico 2 e o primeiro módulo HW de corte.

[040] O segundo módulo de corte FSM é comandado, em particular, pelos dois sinais de comando CLE 1, CLE 2 provenientes do módulo 11 de comparação dos sinais discretos de entrada.

[041] O segundo módulo de corte FSM é apropriado para só permitir a alimentação do equipamento elétrico no caso quando os valores dos dois sinais de comando CLE 1, CLE 2 são iguais e correspondem a valores de todos os discretos que correspondem a um estado da aeronave “em terra”.

[042] Retomando, o exemplo anterior, o segundo módulo de corte FSM só permite a alimentação do equipamento elétrico se os dois sinais de comando CLE 1, CLE 2 forem iguais a 1.

[043] Além disso, o segundo módulo de corte FSM tem igualmente por objetivo detectar uma anomalia nos componentes do módulo 11 de comparação dos discretos. A esse respeito, se os valores dos sinais de comando diferirem, o módulo isola o equipamento elétrico da fonte de alimentação Vpp gerando um curto-circuito. A esse respeito, o módulo de corte FSM pode destruir um órgão de isolação tal como um fusível ou um disjuntor.

[044] Consequentemente, graças aos primeiro e segundo módulos de corte HW, FSM, o corte da alimentação Vpp comandado pelos sinais de comando CLE 1, CLE 2, é por sua vez redundante, o que diminui a probabilidade de falha do circuito elétrico 1.

[045] De modo complementar, o primeiro módulo de corte HW pode compreender um regulador de tensão LDO colocado entre o primeiro interruptor Switch1 e o segundo interruptor para adaptar o valor da tensão na entrada do dispositivo de sinalização 3.

[046] Ainda de modo complementar, o circuito elétrico 1 está conectado a um dispositivo de sinalização 3 de informações relativas ao estado do circuito elétrico e aos dados aviônicos.

[047] A esse respeito, o circuito elétrico 1 compreende um módulo 15 de comparação entre os valores redundantes dos sinais discretos de entrada de um lado, e dos sinais de comando CLE1, CLE 2 de outro lado.

[048] Esse módulo recebe, portanto, na entrada: - os valores dos discretos DISC1-3 Norm, DISC1-3 Redund nas duas ramificações 12, 13 do módulo 11 de comparação, que ele compara dois a dois, e - os valores dos sinais de comando CLE1, CLE 2 provenientes da comparação dos discretos que ele compara dois a dois.

[049] Na saída, ele gera uma informação que indica se os dados comparados são corretos, por exemplo 1 se as informações redundantes são coerentes entre si, e 0 no caso contrário.

[050] O circuito 1 compreende igualmente um primeiro módulo 14 de verificação para verificar os valores das tensões no circuito. Ele verifica o valor da tensão de alimentação dos módulos 13 e 15, que deve, por exemplo, ser igual a 5V, o valor da tensão de alimentação das interfaces de aquisição dos discretos nos módulos 12 e 13, que deve ser, por exemplo, igual a 12 V, e o valor da tensão alimentação Vpp do equipamento elétrico. Se uma dessas tensões não tiver o valor esperado, as informações obtidas nas saídas dos módulos 12, 13 e 15 poderiam estar distorcidas.

[051] Por exemplo, os valores de sinais de comando CLE 1 e CLE2 poderiam estar incorretos, se as tensões de alimentação dos módulos 12 e 13 estiverem incorretos.

[052] O módulo 14 de verificação das tensões gera na saída um sinal cujo valor indica se as tensões do circuito estão ou não de acordo com as que deveriam ser. Por exemplo, a saída do módulo de verificação 14 é igual a 1 se todas as tensões estiverem dentro de sua faixa nominal esperada de valores.

[053] Esse módulo 14 de verificação pode igualmente ser utilizado para inibir os valores de sinais de comando CLE1 e CLE2 se as tensões não estiverem dentro de sua faixa de valor nominal esperada.

[054] O circuito compreende, finalmente, um segundo módulo 16 de verificação que recebe na entrada a saída do módulo de comparação 15, de um lado, e a saída do primeiro módulo 14 de verificação e gerando uma variável BITE_OK de síntese de dessas informações. O segundo módulo 16 de verificação é, por exemplo, uma função lógica E. Assim, por exemplo, as saídas do módulo de comparação 15 e do primeiro módulo de comparação 14 são a iguais 1, e a variável BITE_OK é também igual a 1.

[055] Finalmente, o circuito compreende igualmente um módulo 17 de aquisição centralizada dos dados relativos ao estado do circuito. Esses dados compreendem a totalidade ou parte dos seguintes dados: - variável BITE_OK - o estado dos sinais de comando CLE1, CLE 2, - o estado dos interruptores Switch1, Switch2 do primeiro módulo de corte HW, - estado do regulador de tensão LDO, e - estado do sinal em entrada do equipamento de comunicação à distância 2, e - estado de funcionamento do equipamento de comunicação à distância 2.

[056] O módulo 17 de aquisição centralizada comunica os referidos dados ao dispositivo de sinalização e de exibição 3 que exibe esses dados, por exemplo por meio de diodos luminosos, ou de informações texto simples (claro) sobre telas de visualização. Isso permite que um operador detecte imediatamente uma anomalia em um nível do circuito elétrico. A anomalia assim detectada pode ser reparada mais cedo, e a probabilidade de que o equipamento 2 seja alimentado quando não deveria sê-lo fica ainda mais diminuída.

Claims

1. CIRCUITO ELÉTRICO (1) apropriado para comandar uma alimentação elétrica (Vpp) de um equipamento elétrico (2), sendo que o circuito elétrico (1) compreende um equipamento elétrico (2) e uma fonte de tensão de alimentação (Vpp), e que possui ainda como entradas pelo menos dois sinais elétricos discretos (DIS 1, DIS 2, DIS 3) cujos valores condicionam o corte da alimentação elétrica do equipamento, o circuito elétrico (1) sendo caracterizado por compreender ainda: - um módulo de comparação redundante (11) dos sinais elétricos discretos (DIS 1, DIS 2, DIS 3), que compreende duas ramificações de comparação (12, 13) dos sinais, em paralelo uma com a outra, e cada ramificação é apropriada para fornecer na saída um sinal de comando (CLE1, CLE 2) representativo de cada uma das comparações dos sinais elétricos discretos; - um primeiro módulo de corte (HW) da alimentação elétrica do equipamento elétrico (2) que compreende dois interruptores em série (Switch 1, Switch 2), cada um dos quais é comandado respectivamente por um dos dois sinais de comando (CLE1, CLE2); e - um segundo módulo (FSM) de corte da alimentação elétrica do equipamento elétrico conectado em série entre a fonte de tensão alimentação (Vpp) do equipamento elétrico e o primeiro módulo (HW) de corte, sendo que o primeiro módulo de corte (HW) é controlado pelos sinais de comando (CLE1, CLE2) provenientes do módulo de comparação redundante (11).

2. CIRCUITO ELÉTRICO (1), de acordo com a reivindicação 1, caracterizado pelas ramificações paralelas (12, 13) do módulo de comparação (11) redundante dos sinais discretos de entrada (DIS1, DIS2, DIS3) realizarem uma comparação dos sinais pelo uso respectivamente de uma lógica positiva e de uma lógica negativa.

3. CIRCUITO ELÉTRICO (1), de acordo com qualquer uma das reivindicações 1 a 2, caracterizado por compreender ainda um primeiro módulo (14) de verificação da tensão alimentação (Vpp) do circuito (1).

4. CIRCUITO ELÉTRICO (1), de acordo com qualquer uma das reivindicações 1 a 3, caracterizado por compreender ainda um módulo (15) de comparação dos sinais de comando (CLE1, CLE2) e dos sinais discretos (DISC1-3 Norm, DISC1-3 Redund) de cada ramificação (12, 13).

5. CIRCUITO ELÉTRICO (1), de acordo com uma das reivindicações 3 a 4, caracterizado por compreender ainda um segundo módulo (16) de verificação das saídas do módulo de comparação (15) e do primeiro módulo de verificação (14) da tensão e de comparação dos sinais de comandos e dos sinais discretos, sendo que o segundo módulo de verificação (16) possui na saída uma variável discreta de síntese (BITE_OK).

6. CIRCUITO ELÉTRICO (10), de acordo com qualquer uma das reivindicações 1 a 5, caracterizado pelo circuito possuir como entradas três sinais elétricos discretos (DIS1, DIS2, DIS3).

7. SISTEMA (10) DE AQUISIÇÃO, de processamento e de comunicação de dados aviônicos embarcado em uma aeronave, caracterizado por compreender um circuito elétrico (1) conforme definido nas reivindicações 1 a 6, no qual um equipamento elétrico é um módulo de comunicação à distância de dados aviônicos (2), e os sinais elétricos discretos de entrada (DIS1, DIS2, DIS3) são sinais relativos ao estado da aeronave, e o circuito elétrico (1) é apropriado para alimentar eletricamente o módulo de comunicação à distância de dados aviônicos (2) quando todos os sinais elétricos de entrada indicarem um estado parado e em terra da aeronave.

8. SISTEMA (10), de acordo com a reivindicação 7, caracterizado pelo circuito elétrico (1) compreender ainda um módulo de aquisição centralizada (17) de pelo menos um dos dados entre o seguinte grupo: - valores dos sinais de comando (CLE1, CLE 2) provenientes do módulo de comparação; - valor discreto de síntese (BITE_OK); - estado dos interruptores (Switch 1, Switch 2); - estado do sinal de entrada do equipamento de comunicação à distância dos dados aviônicos (2); e - estado de funcionamento do equipamento de comunicação à distância (2), em que o sistema compreende ainda um dispositivo de sinalização (3) dos dados adquiridos pelo módulo de aquisição centralizado.