(54) Título: ARQUITETURA DE SISTEMA DE FRENAGEM PARA AERONAVE E PROCESSO DE GESTÃO DE UMA ARQUITETURA DE SISTEMA DE FRENAGEM PARA AERONAVE (73) Titular: MESSIER-BUGATTI-DOWTY, Companhia Francesa. Endereço: Inovei Pare Sud, 78140 Velizy Villacoublay, FRANÇA(FR) (72) Inventor: STÉPHANE MALLEVAIS; JEAN-PIERRE GARCIA
Prazo de Validade: 10 (dez) anos contados a partir de 06/03/2018, observadas as condições legais
Expedida em: 06/03/2018
Assinado digitalmente por:
Júlio César Castelo Branco Reis Moreira
Diretor de Patente “ARQUITETURA DE SISTEMA DE FRENAGEM PARA AERONAVE E PROCESSO DE GESTÃO DE UMA ARQUITETURA DE SISTEMA DE FRENAGEM PARA AERONAVE”
A presente invenção se refere a uma arquitetura de sistema de fienagem para aeronave incluindo dois computadores e capaz de resistir a duas falhas, e também se refere a um processo de gestão de uma tal arquitetura.
ANTECEDENTES DA INVENÇÃO
São conhecidas arquiteturas de sistemas de ffenagem para aeronaves equipadas com uma pluralidade de freios, tais arquiteturas incluindo pelo menos dois computadores de ffenagem, cada um capaz de controlar todos os freios.
Cada computador é subdividido em dois canais, um primeiro canal sendo adaptado para controlar os freios, enquanto um segundo canal é adaptado para monitorar o primeiro canal. Caso deva aparecer divergência entre os canais no computador ativo, então o outro computador assume a operação automaticamente, deste modo permitindo que a arquitetura resista a uma única falha.
Apesar disso, se uma nova falha ocorresse no segundo computador, a frenagem usando todos os freios não mais poderia ser garantida usando somente aqueles dois computadores.
E então necessário ou aceitar nenhuma frenagem, ou efetuar isto com frenagem degradada, ou até mesmo prover um terceiro computador.
Mp ΪΕ ΤΠ ΤΓ\ Γλ A Γλϊ\7Γ\ΐΡ A
I V O L./2A 11N V blNÇ/ÀU
A invenção busca prover uma arquitetura de sistema de frenagem que provê um nível de segurança melhorado, enquanto que, não obstante, não requer um computador adicional.
BREVE DESCRIÇÃO DA INVENÇÃO
A invenção provê uma arquitetura para um sistema de frenagem para uma aeronave equipada com uma pluralidade de trens de aterragem, cada uma suportando uma pluralidade de rodas, das quais pelo menos algumas são equipadas com freios, a arquitetura compreendendo pelo menos dois computadores de frenagem, cada um tendo dois módulos, de forma que, em cada computador, um dos módulos controla uma primeira fração dos freios e o outro módulo controla uma segunda fração dos freios complementar à primeira, a arquitetura sendo caracterizada pelo fato de que é configurada para operar em qualquer dos seguintes modos de operação:
• um primeiro modo normal no qual ambos módulos de um dos computadores de frenagem estão ativos para controlar todos os freios;
• um segundo modo normal no qual ambos módulos do outro computador de frenagem estão ativos para controlar todos os freios; e • um modo alternativo no qual um módulo de um dos computadores de frenagem e um módulo do outro computador de frenagem estão ativos para controlar todos os freios.
Podem ocorrer configurações de falha, nas quais estão presentes duas falhas, corn um dos módulos em cada um dos computadores de frenagem estando defeituoso, cada um dos módulos defeituosos controlando uma fração dos freios que é complementar à porção controlada pelo outro módulo defeituoso. Os dois módulos remanescentes são, desta maneira, teoricamente capazes de controlar a frenagem enquanto usam todos os freios da aeronave.
Na invenção, a frenagem é realizada usando os dc-is módulos que estão funcionando perfeitamente, e, deste modo, a plena capacidade, vez que ainda é possível controlar todos os freios da aeronave. A arquitetura da invenção, desta forma, supera o agrupamento físico dos módulos para capacitar a operação simultânea dos dois módulos que não pertencem ao mesmo computador de frenagem.
A arquitetura de sistema de frenagem da invenção é, assim, capaz de resistir a pelo menos certas combinações de duas falhas, enquanto que, no entanto, não requer que um computador seja usado
Em um aspecto particular da invenção, os módulos incluem primeiros dispositivos de monitoração configurados de forma que, em cada modo de operação, os dois módulos ativos se monitoram um ao outro.
Deste modo, independentemeníe de se os módulos ativos pertencem ao mesmo computador ou a dois computadores diferentes, eles se monitoram um ao outro, desta forma permitindo que a frenagem seja realizada com todos os freios e com grande- segurança, independentemente do modo de operação da arquitetura.
Também, preferivelmente, cada módulo compreende urna primeira placa adaptada para gerar um sinal de referência de frenagem, e uma segunda placa adaptada para gerar uma ordem de frenagem para cada freio associado com o módulo por meio da modulação do sinal de referência de frenagem para evitar patinagem do dito freio, os primeiros dispositivos de monitoração sendo associados com a primeira placa de cada módulo e sendo adaptado para monitorar a primeira placa do outro módulo ativo.
Também, preferivelmente, a primeira placa e a segunda placa em um dado módulo incluem segundos dispositivos de monitoração configurados, quando o dito módulo está ativo, para permitir que a primeira e a segunda placas se monitorem uma à outra.
Para esta finalidade, a primeira placa e a segunda placa incluem pelo menos uma entrada idêntica.
De acordo com um outio aspecto da invenção, a arquitetura de sistema de frenagem é configurada também para operar em um modo degradado no qual somente um dos módulos de um dos computadores de frenagem está ativo.
Esta disposição permite que frenagem seja realizada usando somente aqueles freios que são associados com o módulo que está ativo.
Em uma configuração preferida da arquitetura da invenção, um dos módulos de um dos computadores é conectado com um primeiro barramento de suprimento de energia, um dos módulos do outro computador é conectado com um segundo barramento de suprimento de energia e os outros dois módulos que são destinados a serem ativos conjuntamente no modo alternativo são conectados com um terceiro barramento de suprimento de energia.
Em um aspecto prático da invenção, cada módulo é configurado para realizar pelo menos uma função distinta de frenagem e que envolve pelo menos um dos trens de aterragem da aeronave, tal como direcionamento da aeronave ou abaixamento e/ou elevação dos trens de aterragem.
A invenção é também relativa a um processo de gestão de uma tal arquitetura.
BREVE DESCRIÇÃO DOS DESENHOS
A invenção será melhor entendida à luz da descrição que segue, dada com referência aos desenhos acompanhantes, na qual:
a figura 1 é um diagrama mostrando uma arquitetura de frenagem de aeronave da invenção: e as figuras 2 a 5 mostram diferentes modos de operação de uma arquitetura de frenagem que constitui uma forma de realização particular da invenção.
DESCRIÇÃO DETALHADA DA INVENÇÃO
Com referência à figura 1, uma arquitetura de sistema de frenagem para uma aeronave compreende dois computadores de frenagem A, B, cada urn compreendendo respectivos módulos Al, A2 e Bl, B2. Na aplicação aqui descrita, a aeronave tem dois trens de aterragem principais; cada um suportando quatro rodas frenadas tendo seus freios referidos respectivamente com 1 a S. Os módulos Al e Bl controlam, ambos, freios de roda 1 a 5 do primeiro trem de aterragem e freios de roda 4 e 8 do segundo trem de aterragem, enquanto que os módulos AB e B2, ambos, controlam freios de roda 2 e 6 do primeiro trem de aterragem e freios de roda 3 e 7 do segundo trem de aterragem, como mostrado esquematicamente na figura.
De fato, os módulos Al, A2, Bl, B2 não controlam os freios diretamente. Se os freios usarem tecnologia hidráulica, entào os módulos fornecem sinais elétricos para servo-válvulas (uma válvula por freio) que regulam a pressão nos freios em função dos sinais elétricos que elas recebem. Se os freios usarem controles implementados, a corrente que é alimentada aos motores elétricos dos freios em função dos sinais elétricos que eles recebem. Em ambos casos, os sinais elétricos fornecidos pelos módulos podem ser idênticos, de modo que a arquitetura mostrada pode ser usada de forma igualmente boa para aeronaves equipadas com freios hidráulicos e para enninarUiÇ rr»rn nT-idc
Pode ser observado que a distribuição dos freios controlados por cada módulo em um dado computador de frenagem é simétrica, de forma que uma súbita falha de um dos módulos não irá conduzir a uma saída lateral no deslocamento de uma aeronave correndo ao longo de uma pista.
No modo de operação normal, um dos computadores de frenagem A e B está ativo e, assim, controla todos os freios. Qual dos computadores dentre os computadores de frenagem está ativo, pode ser selecionado de várias maneiras, que são conhecidas por si. Por exemplo, é possível usar urn dos computadores de frenagem em urna base permanente, com o outro computador de frenagem sendo usado somente no caso de uma falha no computador que é usado nonnalmente. E também possível decidir usar a altemação de computador de frenagem, alternando o computador de frenagem ativo para cada vôo.
O conjunto de módulos Al, A2, Bl, B2 recebe, através de um ou mais barramentos de comunicação 10, informação elétrica que provém da cabine da aeronave e agrupada através de um ou mais concentradores 9. Esta informação elétrica inclui, em particular, um sinal que provém de um seletor de ffenagem que permite que o piloto indique se é requerida frenagem normal sob o controle do piloto, ou ffenagem automática com desaceleração programada, ou, mais especificamente, que a aeronave deve ser mantida estacionária, quando estacionada. Também existem sinais elétricos 11 que provêm dos pedais de freio Parque eólico, operados pelo piloto.
Considere que o computador de ffenagem A está ativo. Se o módulo Al deva falhar, então a arquitetura é configurada de maneira convencional para transferir para o computador de frenagem B. Este computador é capaz de controlar todos os freios, e, deste modo, assegura ffenagem a plena capacidade. A frenagem, deste modo, continua a ser provida em um modo de ffenagem normal.
Se, em um primeiro cenário, o módulo BI deva falhar, então o módulo B2 continua a controlar metade dos freios (especificamente os freios 2, 3, 6, e 7). E assim possível continuar a prover frenagem, mesmo após duas falhas, e, não obstante, a frenagem resultante seja provida simplesmente pela metade dos freios. Isto constitui um modo degradado de frenagem.
Se, em um segundo cenário, o módulo B2 deva falhar, então, de acordo com a invenção, a arquitetura é configurada para controlar todos os freios por meio do uso dos módulos A2 e Bi. Com o módulo A2 controlando os freios 2, 3, ó, e 7, e o módulo B2 controlando os freios 1, 4, 5, e S, é possível controlar todos os freios usando estes dois módulos, mesmo que, fisicamente, os ditos módulos estejam localizados em dois computadores diferentes. Assim, este novo modo de frenagem é um modo alternativo, intermediário entre o modo degradado e o modo normal, permitindo que todos os freios sejam controlados, mesmo que nenhum dos computadores esteja totalrnente ativo.
Para adicionar segurança adicional, os módulos A2 e BI recebem os sinais de pedal 11 diretamente, tomando assim possível, no caso de uma falha do barramento 10, continuar a ffenagem da aeronave em função de indicações do piloto, dadas através dos pedais.
Se, em seguida ao segundo cenário, o módulo BI deva também falhar, então ainda é possível usar o módulo A2 para executar a ffenagem usando metade dos freios. Isto é um retomo para o modo de operação degradado.
Aitemalivamente, se o módulo A2 deva falhar, o módulo Bi permanecería ativo, permitindo assim que a ffenagem fosse realizada usando metade dc»s freios.
Com o princípio gerai da invenção descrita acima, urna forma de realização preferida da invenção é descrita abaixo com referência às figuras 2 a 5.
Como pode ser visto na figura 5, e como explicado, a arquitetura compreende dois computadores A e B, dos quais cada um é subdividido em dois módulos respectivamente referidos como Al, A2 e Bi, B2. Neste caso, somente o computador A está ativo no controle de todos os ffeios.
Neste caso, cada um dos módulos compreende uma primeira placa de componentes eletrônicos, referida aqui como a placa de baixa velocidade BV, adequada para a geração de ura sinal de referência de ffenagem. Para esta finalidade, a placa BV tem uma pluralidade de enfiadas, tais como o sinal de pedal 1 1 da figura 1, ou um sinal de auto-freio.
Cada um dos módulos também tem urna segunda placa de componentes eletrônicos, referida como a placa de alta velocidade HV, adaptada para gerar ordens de controle para os atuadores (servo-váivulas para freios hidráulicos, motores elétricos para ffeios elétricos) associados com os ffeios controlados pelo dito módulo. Para esta finalidade, a placa HV modula o sinal de referência de ffenagem gerado pela correspondente placa de baixa <?
ο velocidade BV, de modo a evitai' que as rodas patinem durante a frenagem (com esta aplicação, naturalmente, somente para aquelas rodas de freio que estão sob o controle do módulo). Para esta finalidade, a placa HV tem várias entradas que provêm de vários sensores (rotação de roda, pressão nos circuitos) associados com as rodas de freio e com os freios, permitindo que tal modulação seja estabelecida.
O processador da placa HV é um processador adaptado para operar a uma velocidade mais alta que o processador da placa BV, uma vez que o sinal de referência de frenagem tem que ser modulado em tempo real como uma função da informação instantânea acerca do comportamento das rodas e dos freios. Esta diferença em velocidades dos processadores da placa
BV e da placa HV explica a razão pela qual as placas são referidas como de baixa velocidade e alta velocidade.
O módulo Al é energizado por um primeiro barramento de suprimento de energia PW1, associado com geradores acionados pelos motores da aeronave. O módulo B2 é energizado por um segundo barramento de suprimento de energia PW2, que é independente do primeiro barramento de suprimento de energia PWI, e que é associado com outros geradores acionados pelos motores da aeronave. Os módulos A2 e BI energizados por um terceiro barramento de suprimento de energia PWEss, independente dos barramentos de suprimento de energia PWi e PW2 e associado em primeiro lugar com um gerador auxiliar que não é acionado pelos motores da aeronave e, em segundo lugar, por uma fonte de comente contínua (DC), tal como baterias. Deve ser observado que uma única falha em qualquer das fontes de eletricidade do barramento de suprimento de energia PWEss não conduz a uma perda do barramento de suprimento de energia PWEss.
Desta maneira, urna única falha que afeta os barramentos de suprimento de energia (perda do barramento PWI, perda dc· barramento PW2) conduz no máximo à perda de somente um dos quatro módulos).
Por razões de clareza, os suprimentos de energia mostrados na figura 2 não são reproduzidos nas figuras seguintes.
Para melhorar a segurança de frenagem, monitoração é organizada entre as placas ou os módulos no mesmo computador como a seguir:
• as placas BV dos módulos Al e A2 são adaptadas para monitorar um ao outro, por exemplo por meio do processador em uma das placas BV rodando rotinas para verificar a operação adequada da outra placa BV, e vice-versa, e também por fazer comparações (no software ou usando portas lógicas) em uma base regular entre o sinal de referência de frenagem gerado por uma das placas BV e o sinal de referência de frenagem gerado pela outra placa BV. Esta monitoração é representada por uma seta entre as placas BV dos módulos Al e A2; e • de modo que o processador em uma das placas verifica que o processador na outra placa está operando apropriadamente. Esta monitoração é simbolizada por meio de uma seta entre a placa BV e a placa HV em cada módulo.
Assuma que o módulo ;\1 falha, porque ou o barramenlo de suprimento de energia PW1 falhou ou porque uma das placas no modulo Al detectou uma falha na outra placa.
Então, como explicado acima, o computado A é desativado e o segundo computador B assume a operação, como mostrado na figura 3, onde o módulo Al que falhou está cruzado.
<J corriDUtador B tem a mesma estrutura que o computador A e operação da mesma maneira. As setas representam as várias operações de monitoração executadas em primeiro lugar entre as placas BV dos módulos BI e B2, e em segundo lugar entre a placa EA7 e a placa HV em cada um dos módulos BI e B2.
Assuma que o módulo B2 falha, porque ou o barramento de suprimento de energia PW2 falhou ou porque uma divergência foi detectada entre as placas BV e HV.
A arquitetura é então organizada para operar por meio do módulo A2 no computador A e do módulo BI no computador B, como mostrado na figura 4, onde o módulo B2 que falhou está cruzado. Em cada um dos módulos A2 e Bl, as placas HV e BV continuam a se monitorar uma à outra. Na invenção, as placas BV dos módulos A2 e Bl são tambérn adaptadas para monitorar uma â outra, mesmo quanto os módulos não formam parte do mesmo computador.
Finalmente, no caso do módulo 31 falhar, então somente o módulo A2 permanece ativo e pode servir para controlar somente metade dos freios, como mostrado na figura 5, onde o módulo Bl que falhou está cruzado.
Com respeito a isto, e para assegurar um nível de monitoração entre a placa B’v e a placa HV que excede a mera verificação da operação adequada dos processadores, pelo menos uma das entradas da placa BV, necessária para calcular o sinal de referência de frenagem, é duplicada na placa HV. Por exemplo, neste caso, o sinal elétrico 11 que provém dos pedais P e que forma uma das entradas para a placa BV está mostrado simbolicamente como sendo uma entrada para aquele sinal na placa HV, desta maneira permitindo que a placa HV piopriamente dita prossiga com sua própria verificação dos cálculos executados pela placa BV na base do dito sinal. Esta disposição possibilita que a segurança de frenagem seja elevada no modo de operação graduado quando somente um dos módulos está ativo. Preferivelmente, esta duplicação é realizada em cada um dos módulos.
A arquitetura da invenção, desta maneira, torna possível, na eventualidade de uma única falha (mudança do modo de operação normal do computador A para o modo de operação normal do computador B), ou na eventualidade de duas falhas (mudança para o modo alternativo A2/B1), continuar a prover frenagem usando todos os freios e, não obstante, continuar a prover um elevado nível de segurança.
Em comparação com um tipo convencional de arquitetura na qual cada um dos computadores tem um primeiro canal que controla as rodas de freio e um segundo canal que monitora o primeiro canal, para obter o mesmo nível de segurança, é necessário usar três computadores, o que é penalizante em termos de peso, de custo, manutenção, e complexidade de operação.
Na eventualidade de três falhas (mudança para o modo degradado A2 sozinho), a arquitetura da invenção ainda permite que a frenagem seja realizada no modo degradado, usando somente um módulo e somente metade das rodas.
Remanesce um último modo degrado, o qual consiste na frenagem da aeronave por meio do freio de estacionamento.
Em um aspecto particular da invenção, as placas BV dos módulos são configuradas para executar funções diferentes que a frenagem propriamente dita, tais como abaixamento dos trens de aterragem, ou direcionamento da aeronave sobre o solo. Estas funções são geralmente consideradas como sendo menos críticas que a função de frenagem Deste modo, pode ser aceitável omitir monitoração de organização entre os módulos
A2 e B3 (durante a operação da espécie mostrada na figura 4) com respeito a estas funções. Não sendo uma vez executada a monitoração, e estas funções são preferivelmente executadas por outros meios, de modo a garantir suficiente segurança de operação. Por exemplo, o abaixamento dos trens de aterragem pode ser garantido meramente por meio da gravidade, enquanto que o direcionamento da aeronave sobre o solo pode ser provido pela.
frenagem diferencial.
A invenção não é limitada à forma de realização particular acima descrita, mas, pelo contrário, cobre qualquer variante que entra no âmbito da invenção como definida pelas reivindicações.
Em particular, embora a forma de realização descrita aqui favoreça a operação comum dos módulos A2 e Bl, é possível, de maneira simétrica, prover para a operação comum dos módulos Al e B2.
Similarmente, é possível prover operação de modo degrado com os módulos A2 ou B1.
Finalmente, embora a arquitetura de frenagem da invenção seja mostrada como sendo aplicada em uma aeronave tendo dois trens de aterragem, cada um tendo quatro rodas de freio, a mesma arquitetura naturalmente pode ser aplicada em outras configurações, por exemplo uma aeronave tendo dois trens de aterragem principais nas asas e um OU doiS fiviiS de aterragem na fuselagem. E então possível desenvolver vários esquemas para controlar os freios por meio dos módulos. Por exemplo, é possível contemplar que os módulos Al e Bl controlam os freios dos trens de aterragem das asas, enquanto os módulos A2 e B2 controlam os freios dos trens de aterragem da fuselagem.