CA2740280C - Systeme de commande de vol et aeronef le comportant - Google Patents
Systeme de commande de vol et aeronef le comportant Download PDFInfo
- Publication number
- CA2740280C CA2740280C CA2740280A CA2740280A CA2740280C CA 2740280 C CA2740280 C CA 2740280C CA 2740280 A CA2740280 A CA 2740280A CA 2740280 A CA2740280 A CA 2740280A CA 2740280 C CA2740280 C CA 2740280C
- Authority
- CA
- Canada
- Prior art keywords
- calculator
- actuator
- calculators
- master
- control
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- RZVHIXYEVGDQDX-UHFFFAOYSA-N 9,10-anthraquinone Chemical compound C1=CC=C2C(=O)C3=CC=CC=C3C(=O)C2=C1 RZVHIXYEVGDQDX-UHFFFAOYSA-N 0.000 title claims abstract description 26
- 238000012544 monitoring process Methods 0.000 claims description 11
- 238000012795 verification Methods 0.000 claims description 2
- 238000004364 calculation method Methods 0.000 description 5
- 230000001427 coherent effect Effects 0.000 description 5
- 238000004891 communication Methods 0.000 description 4
- 230000000712 assembly Effects 0.000 description 2
- 238000000429 assembly Methods 0.000 description 2
- 230000015556 catabolic process Effects 0.000 description 2
- 238000006073 displacement reaction Methods 0.000 description 2
- 239000000463 material Substances 0.000 description 2
- 210000000056 organ Anatomy 0.000 description 2
- TVEXGJYMHHTVKP-UHFFFAOYSA-N 6-oxabicyclo[3.2.1]oct-3-en-7-one Chemical compound C1C2C(=O)OC1C=CC2 TVEXGJYMHHTVKP-UHFFFAOYSA-N 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 238000012790 confirmation Methods 0.000 description 1
- 125000004122 cyclic group Chemical group 0.000 description 1
- 238000006731 degradation reaction Methods 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 230000009977 dual effect Effects 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 230000007257 malfunction Effects 0.000 description 1
- 238000000034 method Methods 0.000 description 1
- 238000011328 necessary treatment Methods 0.000 description 1
- 238000005192 partition Methods 0.000 description 1
- 238000012958 reprocessing Methods 0.000 description 1
- 230000011664 signaling Effects 0.000 description 1
- 230000006641 stabilisation Effects 0.000 description 1
- 238000011105 stabilization Methods 0.000 description 1
- 239000003381 stabilizer Substances 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
- 230000001360 synchronised effect Effects 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
- G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
- G05D1/0055—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots with safety arrangements
- G05D1/0077—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots with safety arrangements using redundant signals or controls
Landscapes
- Engineering & Computer Science (AREA)
- Aviation & Aerospace Engineering (AREA)
- Radar, Positioning & Navigation (AREA)
- Remote Sensing (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Automation & Control Theory (AREA)
- Safety Devices In Control Systems (AREA)
- Control Of Position, Course, Altitude, Or Attitude Of Moving Bodies (AREA)
- Control By Computers (AREA)
Abstract
Un système de commande de vol pour aéronef, dans lequel des ordres de commande sont transmis entre un module (12) de commande de vol et au moins un actionneur (13) d'une surface de vol mobile, le module de commande de vol comportant au moins un premier et un deuxième calculateur (14-1, 14-2, 14-3, 15-1, 15-2, 15-3), chaque calculateur étant adapté à calculer, pour chaque actionneur, un ordre de commande établi selon au moins une loi de commande prédéterminée de la surface de vol commandée par l'actionneur. Chaque actionneur (13) comporte au moins deux unités logiques (18, 19) adaptées à recevoir des ordres en provenance de tous les calculateurs, chaque unité logique (18, 19) étant adaptée à - comparer entre eux les ordres reçus, et choisir en fonction du résultat de la comparaison, selon une logique prédéterminée commune à tous les actionneurs, un calculateur, dit calculateur maître, dont l'ordre de commande est validé pour exécution par l'actionneur considéré ; et - transmettre, à destination de l'ensemble des calculateurs, une information de choix de calculateur maître ; et en ce que chaque calculateur (14-1, 14-2, 14-3, 15-1, 15-2, 15-3) est adapté à s'autodéterminer comme étant un calculateur maître ou sinon comme étant un calculateur dit esclave, à partir des informations de choix de calculateur maître reçues de l'ensemble des actionneurs, un seul calculateur maître parmi l'ensemble des calculateurs étant finalement déterminé.
Description
SYSTEME DE COMMANDE DE VOL ET AÉRONEF LE COMPORTANT
La présente invention concerne les systèmes de commande de vol (Flight Control Systems) présents dans les aéronefs.
Ces systèmes de commande de vol sont à l'interface entre les organes de pilotage (manche, palonnier, etc.) et les diverses surfaces de vol mobiles de l'aéronef (tels que les gouvernes de direction, de profondeur, les ailerons, les stabilisateurs, etc.).
Les avions de ligne modernes possèdent des systèmes de commande de vol de type fly by wire dans lesquels les actions mécaniques sur les organes de pilotage sont converties en des signaux transmis à des actionneurs commandant le déplacement des surfaces de vol, ces ordres étant transmis aux actionneurs par des calculateurs évolués.
Ces ordres sont calculés selon plusieurs types de lois. L'une de ces lois, appelée loi normale, est une loi de pilotage assistée qui retraite les consignes de pilotage fournies par les organes de pilotage pour optimiser les conditions de pilotage (confort des passagers, stabilisation de l'avion, protection du domaine de vol, etc.). Une autre loi, dite loi directe, est une loi qui ne fait que retranscrire les instructions de déplacement de l'avion transmises par les commandes de vol électriques sans retraitement de ces signaux visant à
améliorer les performances de pilotage.
On connaît déjà, comme illustré sur la figure 1, un système de commande de vol 1 comportant un module de commande 2 présentant deux ensembles de calculateurs 4 et 5 afin de déterminer les ordres de commande à
transmettre à des actionneurs 3.
L'ensemble 4 comporte deux calculateurs 4-1 et 4-2 en mesure de calculer la commande des actionneurs 3 établie selon les lois de commande normale et directe (ces calculateurs sont appelés calculateurs primaires) et un calculateur 4-3 uniquement en mesure de calculer cette commande établie selon la loi directe (ce calculateur est appelé calculateur secondaire).
La présente invention concerne les systèmes de commande de vol (Flight Control Systems) présents dans les aéronefs.
Ces systèmes de commande de vol sont à l'interface entre les organes de pilotage (manche, palonnier, etc.) et les diverses surfaces de vol mobiles de l'aéronef (tels que les gouvernes de direction, de profondeur, les ailerons, les stabilisateurs, etc.).
Les avions de ligne modernes possèdent des systèmes de commande de vol de type fly by wire dans lesquels les actions mécaniques sur les organes de pilotage sont converties en des signaux transmis à des actionneurs commandant le déplacement des surfaces de vol, ces ordres étant transmis aux actionneurs par des calculateurs évolués.
Ces ordres sont calculés selon plusieurs types de lois. L'une de ces lois, appelée loi normale, est une loi de pilotage assistée qui retraite les consignes de pilotage fournies par les organes de pilotage pour optimiser les conditions de pilotage (confort des passagers, stabilisation de l'avion, protection du domaine de vol, etc.). Une autre loi, dite loi directe, est une loi qui ne fait que retranscrire les instructions de déplacement de l'avion transmises par les commandes de vol électriques sans retraitement de ces signaux visant à
améliorer les performances de pilotage.
On connaît déjà, comme illustré sur la figure 1, un système de commande de vol 1 comportant un module de commande 2 présentant deux ensembles de calculateurs 4 et 5 afin de déterminer les ordres de commande à
transmettre à des actionneurs 3.
L'ensemble 4 comporte deux calculateurs 4-1 et 4-2 en mesure de calculer la commande des actionneurs 3 établie selon les lois de commande normale et directe (ces calculateurs sont appelés calculateurs primaires) et un calculateur 4-3 uniquement en mesure de calculer cette commande établie selon la loi directe (ce calculateur est appelé calculateur secondaire).
2 L'ensemble 5 comporte un calculateur primaire 5-1 et deux calculateurs secondaires 5-2 et 5-3.
Tous ces calculateurs sont installés en baie avionique et communiquent avec les actionneurs via des liaisons directes point à point analogiques.
Les actionneurs sont reliés à un ou deux calculateurs, avec dans le cas de deux calculateurs une architecture maître/attente , le calculateur maître s'assure de la validité du signal de commande transmis à l'actionneur ce qui assure l'intégrité du dispositif. Lorsque le calculateur maître tombe en panne, le calculateur en attente prend le relais ce qui assure qu'un calculateur est toujours disponible.
Pour s'assurer de la validité de son ordre, chaque calculateur présente une structure à double unité de calculs (il s'agit de calculateurs double-voie encore appelés calculateurs duplex ), non illustrée sur la figure 1.
La première unité est une unité de commande (COM) qui met en oeuvre les traitements nécessaires à la réalisation des fonctions du calculateur, à savoir déterminer un signal de commande vers un actionneur.
La seconde unité est une unité de surveillance ou de monitorage (MON) qui effectue de son côté les mêmes types d'opérations, les valeurs obtenues par chaque unité étant ensuite comparées et, s'il y a un écart qui dépasse le seuil de tolérance autorisé, le calculateur est automatiquement désactivé. Il devient alors inopérant et est déclaré en panne pour qu'un autre calculateur puisse s'y substituer pour mettre en oeuvre les fonctions délaissées par ce calculateur en panne.
Chaque calculateur est ainsi prévu pour détecter ses propres pannes et inhiber les sorties correspondantes tout en signalant son état.
Le matériel des calculateurs primaires et secondaires est différent de façon à minimiser les risques de défaillance simultanée de l'ensemble des calculateurs (dissimilarité matérielle).
Tous ces calculateurs sont installés en baie avionique et communiquent avec les actionneurs via des liaisons directes point à point analogiques.
Les actionneurs sont reliés à un ou deux calculateurs, avec dans le cas de deux calculateurs une architecture maître/attente , le calculateur maître s'assure de la validité du signal de commande transmis à l'actionneur ce qui assure l'intégrité du dispositif. Lorsque le calculateur maître tombe en panne, le calculateur en attente prend le relais ce qui assure qu'un calculateur est toujours disponible.
Pour s'assurer de la validité de son ordre, chaque calculateur présente une structure à double unité de calculs (il s'agit de calculateurs double-voie encore appelés calculateurs duplex ), non illustrée sur la figure 1.
La première unité est une unité de commande (COM) qui met en oeuvre les traitements nécessaires à la réalisation des fonctions du calculateur, à savoir déterminer un signal de commande vers un actionneur.
La seconde unité est une unité de surveillance ou de monitorage (MON) qui effectue de son côté les mêmes types d'opérations, les valeurs obtenues par chaque unité étant ensuite comparées et, s'il y a un écart qui dépasse le seuil de tolérance autorisé, le calculateur est automatiquement désactivé. Il devient alors inopérant et est déclaré en panne pour qu'un autre calculateur puisse s'y substituer pour mettre en oeuvre les fonctions délaissées par ce calculateur en panne.
Chaque calculateur est ainsi prévu pour détecter ses propres pannes et inhiber les sorties correspondantes tout en signalant son état.
Le matériel des calculateurs primaires et secondaires est différent de façon à minimiser les risques de défaillance simultanée de l'ensemble des calculateurs (dissimilarité matérielle).
3 De plus, le matériel des deux voies (COM et MON) de chaque calculateur est identique mais pour des raisons de sécurité, les logiciels de ces deux voies sont différents de façon à assurer une dissimilarité logicielle.
L'invention vise à fournir un système de commande de vol qui présente une architecture modifiée par rapport à celle de l'art antérieure décrite ci-dessus, à la fois moins coûteuse en ressources matérielles et logicielles tout en répondant aux mêmes exigences de sécurité et de disponibilité que le système de l'art antérieur.
A cet effet, l'invention propose un système de commande de vol pour aéronef, dans lequel des ordres de commande sont transmis entre un module de commande de vol et au moins un actionneur d'une surface de vol mobile, le module de commande de vol comportant au moins un premier et un deuxième calculateur, chaque calculateur étant adapté à calculer, pour chaque actionneur, un ordre de commande établi selon au moins une loi de commande prédéterminée de la surface de vol commandée par l'actionneur.
Conformément à l'invention, le système proposé est remarquable en ce que chaque actionneur comporte au moins deux unités logiques adaptées à
recevoir des ordres en provenance de tous les calculateurs, chaque unité
logique étant adaptée à :
- comparer entre eux les ordres reçus, et choisir en fonction du résultat de la comparaison, selon une logique de choix prédéterminée commune à tous les actionneurs, un calculateur, dit calculateur maître, dont l'ordre de commande est validé pour exécution par l'actionneur considéré ; et - transmettre, à destination de l'ensemble des calculateurs, une information de choix de calculateur maître ;
et en ce que chaque calculateur est adapté à s'autodéterminer comme étant un calculateur maître ou sinon comme étant un calculateur dit esclave, à partir des informations de choix de calculateur maître reçues de l'ensemble des actionneurs, un seul calculateur maître parmi l'ensemble des calculateurs étant finalement déterminé.
La mise en oeuvre, dans chacune des unités logiques de chaque actionneur, de la même logique de choix d'un calculateur maître, associée à
L'invention vise à fournir un système de commande de vol qui présente une architecture modifiée par rapport à celle de l'art antérieure décrite ci-dessus, à la fois moins coûteuse en ressources matérielles et logicielles tout en répondant aux mêmes exigences de sécurité et de disponibilité que le système de l'art antérieur.
A cet effet, l'invention propose un système de commande de vol pour aéronef, dans lequel des ordres de commande sont transmis entre un module de commande de vol et au moins un actionneur d'une surface de vol mobile, le module de commande de vol comportant au moins un premier et un deuxième calculateur, chaque calculateur étant adapté à calculer, pour chaque actionneur, un ordre de commande établi selon au moins une loi de commande prédéterminée de la surface de vol commandée par l'actionneur.
Conformément à l'invention, le système proposé est remarquable en ce que chaque actionneur comporte au moins deux unités logiques adaptées à
recevoir des ordres en provenance de tous les calculateurs, chaque unité
logique étant adaptée à :
- comparer entre eux les ordres reçus, et choisir en fonction du résultat de la comparaison, selon une logique de choix prédéterminée commune à tous les actionneurs, un calculateur, dit calculateur maître, dont l'ordre de commande est validé pour exécution par l'actionneur considéré ; et - transmettre, à destination de l'ensemble des calculateurs, une information de choix de calculateur maître ;
et en ce que chaque calculateur est adapté à s'autodéterminer comme étant un calculateur maître ou sinon comme étant un calculateur dit esclave, à partir des informations de choix de calculateur maître reçues de l'ensemble des actionneurs, un seul calculateur maître parmi l'ensemble des calculateurs étant finalement déterminé.
La mise en oeuvre, dans chacune des unités logiques de chaque actionneur, de la même logique de choix d'un calculateur maître, associée à
4 l'utilisation de calculateurs capables de s'autodéterminer comme calculateur maître ou esclave à partir des informations de choix transmises par les actionneurs, permet d'aboutir au choix d'un calculateur maître unique pour l'ensemble des actionneurs.
Par ailleurs, dans le système selon l'invention, la comparaison des ordres des calculateurs ne s'effectuant plus au niveau de ces calculateurs mais au niveau de chaque actionneur, chaque actionneur est ainsi en mesure de déterminer par lui-même, à partir des ordres calculateurs qui lui sont transmis, l'action à exécuter sur la surface mobile de vol (en pratique, l'amplitude de déplacement de cette surface), c'est-à-dire celle correspondant à l'ordre de commande du calculateur choisi comme maître.
Chaque actionneur est ainsi également en mesure, grâce aux unités logiques qu'il comporte, de déterminer sur quels ordres se baser pour définir l'action à exécuter et de rejeter les ordres dont la comparaison avec les autres ordres montrent qu'ils présentent une anomalie.
Selon une caractéristique particulière de l'invention, chaque calculateur comporte des moyens de vérification adaptés à vérifier, pour chaque actionneur, la cohérence des informations de choix de calculateur maître obtenues respectivement de chacune des unités logiques de l'actionneur considéré, et si lesdites informations ne sont pas cohérentes, à ignorer ces informations.
Ainsi, si les unités logiques associées à un actionneur choisissent des calculateurs maîtres différents - ce qui indique un dysfonctionnement probable de l'actionneur - les informations de choix transmises par cet actionneur ne sont pas prises en compte par les calculateurs pour s'autodéterminer comme maître ou esclave.
Selon une autre caractéristique de l'invention, si le choix du calculateur maître effectué par chaque unité logique d'un actionneur donné est le même, l'ordre de commande du calculateur maître choisi est exécuté par l'actionneur, sinon l'actionneur est désactivé.
La détermination de l'action à exécuter étant ainsi déportée au niveau de l'actionneur, ceci permet également de réaliser des calculateurs plus simples et moins coûteux tout en offrant une plus grande flexibilité pour l'agencement du système. Ceci permet en particulier de s'affranchir des architectures COM/MON et maître/attente de l'art antérieur, ce qui minimise significativement le nombre total de calculateurs, tout en conservant
Par ailleurs, dans le système selon l'invention, la comparaison des ordres des calculateurs ne s'effectuant plus au niveau de ces calculateurs mais au niveau de chaque actionneur, chaque actionneur est ainsi en mesure de déterminer par lui-même, à partir des ordres calculateurs qui lui sont transmis, l'action à exécuter sur la surface mobile de vol (en pratique, l'amplitude de déplacement de cette surface), c'est-à-dire celle correspondant à l'ordre de commande du calculateur choisi comme maître.
Chaque actionneur est ainsi également en mesure, grâce aux unités logiques qu'il comporte, de déterminer sur quels ordres se baser pour définir l'action à exécuter et de rejeter les ordres dont la comparaison avec les autres ordres montrent qu'ils présentent une anomalie.
Selon une caractéristique particulière de l'invention, chaque calculateur comporte des moyens de vérification adaptés à vérifier, pour chaque actionneur, la cohérence des informations de choix de calculateur maître obtenues respectivement de chacune des unités logiques de l'actionneur considéré, et si lesdites informations ne sont pas cohérentes, à ignorer ces informations.
Ainsi, si les unités logiques associées à un actionneur choisissent des calculateurs maîtres différents - ce qui indique un dysfonctionnement probable de l'actionneur - les informations de choix transmises par cet actionneur ne sont pas prises en compte par les calculateurs pour s'autodéterminer comme maître ou esclave.
Selon une autre caractéristique de l'invention, si le choix du calculateur maître effectué par chaque unité logique d'un actionneur donné est le même, l'ordre de commande du calculateur maître choisi est exécuté par l'actionneur, sinon l'actionneur est désactivé.
La détermination de l'action à exécuter étant ainsi déportée au niveau de l'actionneur, ceci permet également de réaliser des calculateurs plus simples et moins coûteux tout en offrant une plus grande flexibilité pour l'agencement du système. Ceci permet en particulier de s'affranchir des architectures COM/MON et maître/attente de l'art antérieur, ce qui minimise significativement le nombre total de calculateurs, tout en conservant
5 un haut niveau de sécurité.
Selon une autre caractéristique de l'invention, chaque calculateur comporte une chaîne de contrôle comprenant au moins un intégrateur, chaque calculateur étant adapté, lorsqu'il s'est autodéterminé comme étant un calculateur esclave, à synchroniser l'intégrateur de sa chaine de contrôle sur celui du calculateur maître finalement déterminé.
En synchronisant automatiquement, selon l'invention, les intégrateurs des calculateurs esclaves sur ceux du calculateur maître unique, on remédie ainsi à la divergence possible des intégrateurs des calculateurs esclaves. En effet, les boucles d'asservissement, incluant les intégrateurs, du calculateur maître sont stables puisque les ordres sont appliqués par les actionneurs et l'avion répond physiquement à l'asservissement ; en revanche, les ordres générés par les calculateurs esclaves n'étant pas appliqués leurs intégrateurs peuvent diverger.
Par ailleurs, la caractéristique selon laquelle un seul calculateur maître est finalement choisi associée à la caractéristique selon laquelle les autres calculateurs (esclaves) se synchronisent automatiquement sur l'unique calculateur maître, confère davantage de simplicité à l'invention par rapport à
l'art antérieur, tout en préservant un haut niveau de sécurité.
Selon des caractéristiques optionnelles de l'invention - les unités logiques de chaque actionneur sont également adaptées, pour chaque calculateur, à renvoyer ou non un message de défaillance du calculateur, en fonction du résultat de la comparaison des ordres.
- le système comporte une pluralité d'actionneurs et chaque calculateur est adapté à se désactiver lorsqu'il reçoit des messages de défaillance en provenance d'un nombre d'actionneurs supérieur à un nombre prédéterminé.
Selon une autre caractéristique de l'invention, chaque calculateur comporte une chaîne de contrôle comprenant au moins un intégrateur, chaque calculateur étant adapté, lorsqu'il s'est autodéterminé comme étant un calculateur esclave, à synchroniser l'intégrateur de sa chaine de contrôle sur celui du calculateur maître finalement déterminé.
En synchronisant automatiquement, selon l'invention, les intégrateurs des calculateurs esclaves sur ceux du calculateur maître unique, on remédie ainsi à la divergence possible des intégrateurs des calculateurs esclaves. En effet, les boucles d'asservissement, incluant les intégrateurs, du calculateur maître sont stables puisque les ordres sont appliqués par les actionneurs et l'avion répond physiquement à l'asservissement ; en revanche, les ordres générés par les calculateurs esclaves n'étant pas appliqués leurs intégrateurs peuvent diverger.
Par ailleurs, la caractéristique selon laquelle un seul calculateur maître est finalement choisi associée à la caractéristique selon laquelle les autres calculateurs (esclaves) se synchronisent automatiquement sur l'unique calculateur maître, confère davantage de simplicité à l'invention par rapport à
l'art antérieur, tout en préservant un haut niveau de sécurité.
Selon des caractéristiques optionnelles de l'invention - les unités logiques de chaque actionneur sont également adaptées, pour chaque calculateur, à renvoyer ou non un message de défaillance du calculateur, en fonction du résultat de la comparaison des ordres.
- le système comporte une pluralité d'actionneurs et chaque calculateur est adapté à se désactiver lorsqu'il reçoit des messages de défaillance en provenance d'un nombre d'actionneurs supérieur à un nombre prédéterminé.
6 Les actionneurs étant en mesure de comparer les ordres des calculateurs entre eux, ils sont capables de détecter quels calculateurs sont défaillants et de leur renvoyer un message pour les en informer.
Dans le système selon l'invention, les fonctions remplies par l'unité
MON des calculateurs à structure duplex de l'art antérieur sont ainsi mises en oeuvre par les actionneurs conjointement avec les autres calculateurs grâce à
quoi il est rendu possible d'utiliser des calculateurs qui ne présentent qu'une seule voie (calculateurs dits simplex , c'est-à-dire dépourvus de processeurs redondants) au lieu de deux (calculateurs duplex ).
Selon encore d'autres caractéristiques de l'invention :
- chaque comparaison d'ordres effectuée par une unité logique d'actionneur porte sur des ordres provenant de calculateurs calculant leur ordre de commande selon un programme différent ;
- d'autre part, les unités logiques de chaque actionneur sont également adaptées, lorsque tous les calculateurs encore opérationnels calculent l'ordre de commande selon un même programme, à envoyer une requête en reconfiguration logicielle vers l'un des calculateurs encore opérationnels pour qu'il fonctionne selon un programme différent de celui des autres calculateurs encore opérationnels.
Ainsi, d'une part, la prise en compte de la dissimilarité logicielle des calculateurs pour la comparaison des ordres permet d'augmenter la fiabilité du système, et d'autre part, la reconfiguration logicielle permet de maximiser l'utilisation de chaque calculateur, ce qui contribue à minimiser le nombre total de calculateurs tout en conservant, pour une même loi de commande une dissimilarité logicielle entre calculateurs.
Selon encore d'autres caractéristiques de réalisation de l'invention - chaque actionneur comporte une unité de commande et une unité
de surveillance de l'unité de commande ;
- chaque unité est reliée au premier calculateur et au deuxième calculateur ; et/ou
Dans le système selon l'invention, les fonctions remplies par l'unité
MON des calculateurs à structure duplex de l'art antérieur sont ainsi mises en oeuvre par les actionneurs conjointement avec les autres calculateurs grâce à
quoi il est rendu possible d'utiliser des calculateurs qui ne présentent qu'une seule voie (calculateurs dits simplex , c'est-à-dire dépourvus de processeurs redondants) au lieu de deux (calculateurs duplex ).
Selon encore d'autres caractéristiques de l'invention :
- chaque comparaison d'ordres effectuée par une unité logique d'actionneur porte sur des ordres provenant de calculateurs calculant leur ordre de commande selon un programme différent ;
- d'autre part, les unités logiques de chaque actionneur sont également adaptées, lorsque tous les calculateurs encore opérationnels calculent l'ordre de commande selon un même programme, à envoyer une requête en reconfiguration logicielle vers l'un des calculateurs encore opérationnels pour qu'il fonctionne selon un programme différent de celui des autres calculateurs encore opérationnels.
Ainsi, d'une part, la prise en compte de la dissimilarité logicielle des calculateurs pour la comparaison des ordres permet d'augmenter la fiabilité du système, et d'autre part, la reconfiguration logicielle permet de maximiser l'utilisation de chaque calculateur, ce qui contribue à minimiser le nombre total de calculateurs tout en conservant, pour une même loi de commande une dissimilarité logicielle entre calculateurs.
Selon encore d'autres caractéristiques de réalisation de l'invention - chaque actionneur comporte une unité de commande et une unité
de surveillance de l'unité de commande ;
- chaque unité est reliée au premier calculateur et au deuxième calculateur ; et/ou
7 l'une des unités est uniquement reliée au premier calculateur et l'autre unité est uniquement reliée au deuxième calculateur, les unités de commande et de surveillance étant également reliées entre elles.
La mise en relation des unités de commande et de surveillance des actionneurs avec les ensembles de calculateurs peut ainsi s'opérer directement ou indirectement (par l'intermédiaire de l'autre unité).
L'invention vise également selon un deuxième aspect un aéronef équipé d'un système de commande de vol tel qu'exposé ci-dessus.
L'exposé de l'invention sera maintenant poursuivi par la description détaillée d'un exemple de réalisation, donnée ci-après à titre illustratif mais non limitatif, en référence aux dessins annexés, sur lesquels :
- la figure 1 est une représentation schématique d'un système de commande de vol selon l'art antérieur décrit précédemment ;
- la figure 2 est une vue schématique d'un système de commande de vol selon l'invention ;
- la figure 3 est une vue détaillant le réseau de communication permettant le transfert d'information des ensembles de calculateurs que comportent le système selon l'invention vers les actionneurs de ce système ;
- la figure 4 est une vue similaire à la figure 3 mais pour une variante du réseau de communication ; et - la figure 5 illustre de manière schématique le principe de la synchronisation de la voie MON sur la voie COM dans un calculateur selon une architecture COM/MON de l'art antérieur.
Un système de commande de vol 11, selon un mode de réalisation de l'invention illustré sur la figure 2, présente un module de commande 12 pour transmettre des ordres à une pluralité d'actionneurs 13.
Le module de commande 12 comporte six calculateurs simplex (ils ne présentent qu'une seule voie et un seul processeur de calcul) répartis en deux ensembles 14 et 15 de trois calculateurs (FCC, Flight Control Computer), chaque ensemble étant relié à chacun des actionneurs 13 (FCRM, Flight Control Remote Module).
La mise en relation des unités de commande et de surveillance des actionneurs avec les ensembles de calculateurs peut ainsi s'opérer directement ou indirectement (par l'intermédiaire de l'autre unité).
L'invention vise également selon un deuxième aspect un aéronef équipé d'un système de commande de vol tel qu'exposé ci-dessus.
L'exposé de l'invention sera maintenant poursuivi par la description détaillée d'un exemple de réalisation, donnée ci-après à titre illustratif mais non limitatif, en référence aux dessins annexés, sur lesquels :
- la figure 1 est une représentation schématique d'un système de commande de vol selon l'art antérieur décrit précédemment ;
- la figure 2 est une vue schématique d'un système de commande de vol selon l'invention ;
- la figure 3 est une vue détaillant le réseau de communication permettant le transfert d'information des ensembles de calculateurs que comportent le système selon l'invention vers les actionneurs de ce système ;
- la figure 4 est une vue similaire à la figure 3 mais pour une variante du réseau de communication ; et - la figure 5 illustre de manière schématique le principe de la synchronisation de la voie MON sur la voie COM dans un calculateur selon une architecture COM/MON de l'art antérieur.
Un système de commande de vol 11, selon un mode de réalisation de l'invention illustré sur la figure 2, présente un module de commande 12 pour transmettre des ordres à une pluralité d'actionneurs 13.
Le module de commande 12 comporte six calculateurs simplex (ils ne présentent qu'une seule voie et un seul processeur de calcul) répartis en deux ensembles 14 et 15 de trois calculateurs (FCC, Flight Control Computer), chaque ensemble étant relié à chacun des actionneurs 13 (FCRM, Flight Control Remote Module).
8 L'ensemble de calculateurs 14 (respectivement 15) communique avec les actionneurs 13 par un organe numérique d'échange de données 16 (respectivement 17) dont on exposera ci-après la structure en détail à l'aide des figures 3 et 4.
L'ensemble de calculateurs 14 (respectivement 15) comporte deux calculateurs primaires (PRIM pour PRIMary flight control and guidance computer) 14-1 et 14-2 (respectivement 15-1 et 15-2) permettant de calculer les ordres de commande selon la loi normale et selon la loi directe ainsi qu'un calculateur secondaire (SEC pour SECondary flight control computer) 14-3 (respectivement 15-3) pour calculer les ordres de commande à partir de la loi directe uniquement.
Les calculateurs primaires et secondaires sont de conception matérielle différente afin de répondre aux exigences de sécurité
(dissimilarité
matérielle).
Les calculateurs primaires 14-1 et 14-2 (respectivement 15-1 et 15-2) fonctionnent avec deux variantes de programmes A et B pour le calcul selon les lois normale et directe qui sont différentes l'une de l'autre tandis que le calculateur 14-3 (respectivement 15-3) fonctionne pour le calcul selon la loi directe avec une variante de programme C différente des variantes A et B.
Ainsi le calcul selon la loi normale est obtenu par deux programmes différents (A et B) tandis que le calcul selon la loi directe est également obtenu par deux programmes différents (B et C ou A et C ou A et B). La dissimilarité
logicielle est donc bien assurée pour la détermination des signaux de commande ce qui assure un haut niveau de sécurité.
Comme on le verra ci-après, chaque calculateur est reconfigurable à
chaud en fonction des défaillances.
Ces ensembles de calculateurs sont localisés en baie avionique (la baie avionique est l'espace dans lequel sont regroupés la majeure partie des équipements électroniques d'un avion, en général situé sous l'espace utile de l'avion) et sont alimentés par deux systèmes électriques séparés.
Chaque actionneur 13 comporte deux voies 18 et 19 (voie COM et voie MON) connectées aux deux ensembles de calculateurs 14 et 15 de sorte
L'ensemble de calculateurs 14 (respectivement 15) comporte deux calculateurs primaires (PRIM pour PRIMary flight control and guidance computer) 14-1 et 14-2 (respectivement 15-1 et 15-2) permettant de calculer les ordres de commande selon la loi normale et selon la loi directe ainsi qu'un calculateur secondaire (SEC pour SECondary flight control computer) 14-3 (respectivement 15-3) pour calculer les ordres de commande à partir de la loi directe uniquement.
Les calculateurs primaires et secondaires sont de conception matérielle différente afin de répondre aux exigences de sécurité
(dissimilarité
matérielle).
Les calculateurs primaires 14-1 et 14-2 (respectivement 15-1 et 15-2) fonctionnent avec deux variantes de programmes A et B pour le calcul selon les lois normale et directe qui sont différentes l'une de l'autre tandis que le calculateur 14-3 (respectivement 15-3) fonctionne pour le calcul selon la loi directe avec une variante de programme C différente des variantes A et B.
Ainsi le calcul selon la loi normale est obtenu par deux programmes différents (A et B) tandis que le calcul selon la loi directe est également obtenu par deux programmes différents (B et C ou A et C ou A et B). La dissimilarité
logicielle est donc bien assurée pour la détermination des signaux de commande ce qui assure un haut niveau de sécurité.
Comme on le verra ci-après, chaque calculateur est reconfigurable à
chaud en fonction des défaillances.
Ces ensembles de calculateurs sont localisés en baie avionique (la baie avionique est l'espace dans lequel sont regroupés la majeure partie des équipements électroniques d'un avion, en général situé sous l'espace utile de l'avion) et sont alimentés par deux systèmes électriques séparés.
Chaque actionneur 13 comporte deux voies 18 et 19 (voie COM et voie MON) connectées aux deux ensembles de calculateurs 14 et 15 de sorte
9 que chaque actionneur communique par ses voies 18 et 19 avec tous les calculateurs.
La voie 18 (unité de commande COM) réalise les fonctions de vote et de sélection et la voie 19 (unité de surveillance MON) de son côté effectue les mêmes types d'opérations pour que, à la sortie, les valeurs obtenues par chaque unité soient comparées et, en cas de désaccord, l'actionneur soit désactivé.
Selon l'architecture logique des actionneurs 13, dite "architecture à
calculateur maître voté par les actionneurs", tous les calculateurs (primaires et secondaires) des deux ensembles de calculateurs 14 et 15 calculent les lois de pilotage pour générer les ordres de commande des surfaces de vol mobiles. A
chaque cycle, chaque calculateur calcule les consignes pour tous les actionneurs valides, et transmet les ordres via les organes 16 et 17 vers toutes les unités 18 et 19 de tous les actionneurs et ceci indépendamment de la validité des ordres calculés par chaque calculateur.
Dans l'exemple illustré, chaque actionneur 13 reçoit donc par ensemble de calculateurs deux ordres pour la loi normale (provenant des calculateurs 14-1 et 14-2 pour l'ensemble 14 et des calculateurs 15-1 et 15-2 pour l'ensemble 15) et trois ordres pour la loi directe (provenant des calculateurs 14-1 à 14-3 pour l'ensemble 14 et des calculateurs 15-1 à 15-3 pour l'ensemble 15), de sorte que, avant la première panne, chaque actionneur 13 dispose de quatre consignes pour la loi normale et de six consignes pour la loi directe.
A partir de l'ensemble de ces consignes, chacune des deux unités logiques 18 et 19 de chaque actionneur 13 effectuent des opérations de vote.
L'algorithme de vote est basé sur les ordres des calculateurs et est implémenté dans chaque unité 18 et 19 (COM ou MON) de chacun des actionneurs (FCRM).
Chacune des unités logiques 18 et 19 (COM et MON) de chaque actionneur 13 (FCRM) compare deux à deux les ordres reçus de la part de l'ensemble des calculateurs (FCC) 14-i, 15-i (i = 1, 2, 3).
Selon l'exemple de réalisation décrit, deux ordres destinés à la même surface mobile à actionner et provenant de deux calculateurs (FCC) distincts, sont considérés comme cohérents ou incohérents selon que leur différence (en valeur absolue) reste supérieure ou inférieure à un seuil de 5 surveillance prédéfini (noté Delta), pendant une durée prédéfinie, dite de confirmation.
Selon l'invention, afin de garantir la prise en considération de la dissimilarité logicielle des calculateurs, chaque comparaison d'ordres porte sur des ordres provenant de calculateurs équipés d'un logiciel différent.
La voie 18 (unité de commande COM) réalise les fonctions de vote et de sélection et la voie 19 (unité de surveillance MON) de son côté effectue les mêmes types d'opérations pour que, à la sortie, les valeurs obtenues par chaque unité soient comparées et, en cas de désaccord, l'actionneur soit désactivé.
Selon l'architecture logique des actionneurs 13, dite "architecture à
calculateur maître voté par les actionneurs", tous les calculateurs (primaires et secondaires) des deux ensembles de calculateurs 14 et 15 calculent les lois de pilotage pour générer les ordres de commande des surfaces de vol mobiles. A
chaque cycle, chaque calculateur calcule les consignes pour tous les actionneurs valides, et transmet les ordres via les organes 16 et 17 vers toutes les unités 18 et 19 de tous les actionneurs et ceci indépendamment de la validité des ordres calculés par chaque calculateur.
Dans l'exemple illustré, chaque actionneur 13 reçoit donc par ensemble de calculateurs deux ordres pour la loi normale (provenant des calculateurs 14-1 et 14-2 pour l'ensemble 14 et des calculateurs 15-1 et 15-2 pour l'ensemble 15) et trois ordres pour la loi directe (provenant des calculateurs 14-1 à 14-3 pour l'ensemble 14 et des calculateurs 15-1 à 15-3 pour l'ensemble 15), de sorte que, avant la première panne, chaque actionneur 13 dispose de quatre consignes pour la loi normale et de six consignes pour la loi directe.
A partir de l'ensemble de ces consignes, chacune des deux unités logiques 18 et 19 de chaque actionneur 13 effectuent des opérations de vote.
L'algorithme de vote est basé sur les ordres des calculateurs et est implémenté dans chaque unité 18 et 19 (COM ou MON) de chacun des actionneurs (FCRM).
Chacune des unités logiques 18 et 19 (COM et MON) de chaque actionneur 13 (FCRM) compare deux à deux les ordres reçus de la part de l'ensemble des calculateurs (FCC) 14-i, 15-i (i = 1, 2, 3).
Selon l'exemple de réalisation décrit, deux ordres destinés à la même surface mobile à actionner et provenant de deux calculateurs (FCC) distincts, sont considérés comme cohérents ou incohérents selon que leur différence (en valeur absolue) reste supérieure ou inférieure à un seuil de 5 surveillance prédéfini (noté Delta), pendant une durée prédéfinie, dite de confirmation.
Selon l'invention, afin de garantir la prise en considération de la dissimilarité logicielle des calculateurs, chaque comparaison d'ordres porte sur des ordres provenant de calculateurs équipés d'un logiciel différent.
10 Selon l'invention, on définit deux fonctions de comparaison d'ordres, notées CL-Normale(FCCx, FCCy) et CL-Directe(FCCx, FCCy) définies comme suit.
La fonction CL-Normale(FCCx, FCCy) est destinée à déterminer la cohérence pour la loi normale des ordres provenant des calculateurs FCCx et FCCy, tandis que la fonction CL-Directe(FCCx, FCCy) est destinée à
déterminer la cohérence pour la loi directe des ordres provenant des calculateurs FCCx et FCCy. En pratique, les fonctions précitées retournent les valeurs 'VRAI' ou 'FAUX' selon que les deux ordres comparés sont cohérents ou non.
Selon le mode de réalisation exposé :
La fonction CL-Normale(FCCx, FCCy) retourne la valeur 'FAUX' si :
- L'ordre pour la loi normale du calculateur FCCx n'est pas disponible, OU
- L'ordre pour la loi normale du calculateur FCCy n'est pas disponible, OU
- La différence (en valeur absolue) entre les deux ordres pour la loi normale des calculateurs FCCx et FCCy est supérieure au seuil de surveillance Delta, confirmé pendant un certain temps T, et verrouillé au delà du temps T' supérieur à T. Les paramètres Delta, T et T' sont ajustés au préalable.
La fonction CL-Normale(FCCx, FCCy) retourne la valeur 'VRAI' sinon.
La fonction CL-Normale(FCCx, FCCy) est destinée à déterminer la cohérence pour la loi normale des ordres provenant des calculateurs FCCx et FCCy, tandis que la fonction CL-Directe(FCCx, FCCy) est destinée à
déterminer la cohérence pour la loi directe des ordres provenant des calculateurs FCCx et FCCy. En pratique, les fonctions précitées retournent les valeurs 'VRAI' ou 'FAUX' selon que les deux ordres comparés sont cohérents ou non.
Selon le mode de réalisation exposé :
La fonction CL-Normale(FCCx, FCCy) retourne la valeur 'FAUX' si :
- L'ordre pour la loi normale du calculateur FCCx n'est pas disponible, OU
- L'ordre pour la loi normale du calculateur FCCy n'est pas disponible, OU
- La différence (en valeur absolue) entre les deux ordres pour la loi normale des calculateurs FCCx et FCCy est supérieure au seuil de surveillance Delta, confirmé pendant un certain temps T, et verrouillé au delà du temps T' supérieur à T. Les paramètres Delta, T et T' sont ajustés au préalable.
La fonction CL-Normale(FCCx, FCCy) retourne la valeur 'VRAI' sinon.
11 De manière similaire, la fonction CL-Directe(FCCx, FCCy) retourne la valeur 'FAUX' si :
- L'ordre pour la loi directe du calculateur FCCx n'est pas disponible, OU
- L'ordre pour la loi directe du calculateur FCCy n'est pas disponible, OU
- La différence (en valeur absolue) entre les deux ordres pour la loi directe des calculateurs FCCx et FCCy est supérieure au seuil de surveillance Delta, confirmé pendant un certain temps T, et verrouillé au delà du temps T' supérieur à T.
La fonction CL-Directe(FCCx, FCCy) retourne la valeur'VRAI' sinon.
On notera ici que le fait que l'ordre d'un calculateur ne soit pas disponible pour la loi normale ou la loi directe, correspond en particulier à
une situation de panne auto-déclarée du calculateur concerné.
En utilisant les deux fonctions de comparaison définies ci-dessus, chacune des unités logiques (COM ou MON) 18 et 19 d'un actionneur quelconque, détermine un calculateur (FCC) maître, c'est-à-dire le calculateur dont l'ordre est à appliquer, selon une logique de choix prédéterminée utilisée par les unités logiques de tous les actionneurs, dont un exemple est synthétisé
par le tableau donné ci-dessous :
CONDITION CALCULATEUR TYPE DE
MAITRE LOI
Cl. Si CL-Normale(FCC 14-1, FCC 15-2) est VRAI, alors : FCC 14-1 Normale C2. Sinon, si CL-Normale(FCC 14-1, FCC 14-2) est VRAI, FCC 14-2 Normale alors :
C3. Sinon, si CL-Normale(FCC 15-1, FCC 14-2) est VRAI, FCC 15-1 Normale alors :
C4. Sinon, si CL-Normale(FCC 15-1, FCC 15-2) est VRAI, FCC 15-2 Normale alors :
C5. Sinon, si CL-Normale(FCC 14-1, FCC 15-1) est VRAI FCC 14-1 Normale après reconfiguration du logiciel du FCC 15-1 en logiciel 'B', alors :
- L'ordre pour la loi directe du calculateur FCCx n'est pas disponible, OU
- L'ordre pour la loi directe du calculateur FCCy n'est pas disponible, OU
- La différence (en valeur absolue) entre les deux ordres pour la loi directe des calculateurs FCCx et FCCy est supérieure au seuil de surveillance Delta, confirmé pendant un certain temps T, et verrouillé au delà du temps T' supérieur à T.
La fonction CL-Directe(FCCx, FCCy) retourne la valeur'VRAI' sinon.
On notera ici que le fait que l'ordre d'un calculateur ne soit pas disponible pour la loi normale ou la loi directe, correspond en particulier à
une situation de panne auto-déclarée du calculateur concerné.
En utilisant les deux fonctions de comparaison définies ci-dessus, chacune des unités logiques (COM ou MON) 18 et 19 d'un actionneur quelconque, détermine un calculateur (FCC) maître, c'est-à-dire le calculateur dont l'ordre est à appliquer, selon une logique de choix prédéterminée utilisée par les unités logiques de tous les actionneurs, dont un exemple est synthétisé
par le tableau donné ci-dessous :
CONDITION CALCULATEUR TYPE DE
MAITRE LOI
Cl. Si CL-Normale(FCC 14-1, FCC 15-2) est VRAI, alors : FCC 14-1 Normale C2. Sinon, si CL-Normale(FCC 14-1, FCC 14-2) est VRAI, FCC 14-2 Normale alors :
C3. Sinon, si CL-Normale(FCC 15-1, FCC 14-2) est VRAI, FCC 15-1 Normale alors :
C4. Sinon, si CL-Normale(FCC 15-1, FCC 15-2) est VRAI, FCC 15-2 Normale alors :
C5. Sinon, si CL-Normale(FCC 14-1, FCC 15-1) est VRAI FCC 14-1 Normale après reconfiguration du logiciel du FCC 15-1 en logiciel 'B', alors :
12 C6. Sinon, si CL-Normale(FCC 14-2, FCC 15-2) est VRAI FCC 15-2 Normale après reconfiguration du logiciel du FCC 15-2 en logiciel 'A', alors :
C7. Sinon, si CL-Directe(FCC 14-3, FCC 15-3) est VRAI, FCC 14-3 Directe alors :
C8. Sinon, si CL-Directe(FCC 14-1, FCC 15-2) est VRAI, FCC 14-1 Directe alors :
C9. Sinon, si CL-Directe(FCC 14-1, FCC 14-2) est VRAI, FCC 14-2 Directe alors :
CIO. Sinon, si CL-Directe(FCC 15-1, FCC 14-2) est VRAI, FCC 15-1 Directe alors :
C11. Sinon, si CL-Directe(FCC 15-1, FCC 15-2) est VRAI, FCC 15-2 Directe alors :
C12. Sinon, si CL-Directe(FCC 14-1, FCC 14-3) est VRAI, FCC 14-1 Directe alors :
C13. Sinon, si CL-Directe(FCC 14-2, FCC 14-3) est VRAI, FCC 14-2 Directe alors :
C14. Sinon, si CL-Directe(FCC 15-1, FCC 14-3) est VRAI, FCC 15-1 Directe alors :
C15. Sinon, si CL-Directe(FCC 15-2, FCC 14-3) est VRAI, FCC 15-2 Directe alors :
C16. Sinon, si CL-Directe(FCC 14-1, FCC 15-3) est VRAI, FCC 14-1 Directe alors :
C17. Sinon, si CL-Directe(FCC 14-2, FCC 15-3) est VRAI, FCC 14-2 Directe alors :
C18. Sinon, si CL-Directe(FCC 15-1, FCC 15-3) est VRAI, FCC 15-1 Directe alors :
C191. Sinon, si CL-Directe(FCC 15-2, FCC 15-3) est VRAI, FCC 15-2 Directe alors :
La logique de choix illustrée par le tableau ci-dessus tient compte de la dégradation des lois, puisque la loi normale est privilégiée par rapport à
la loi directe (loi dégradée), les instructions représentées par tableau étant à
appliquer selon une priorité décroissante de haut en bas en partant de la première ligne ou condition du tableau. Ainsi, si une condition Ci produit le résultat 'FAUX', la condition suivante Ci+l est testée, et ainsi de suite, jusqu'à
C7. Sinon, si CL-Directe(FCC 14-3, FCC 15-3) est VRAI, FCC 14-3 Directe alors :
C8. Sinon, si CL-Directe(FCC 14-1, FCC 15-2) est VRAI, FCC 14-1 Directe alors :
C9. Sinon, si CL-Directe(FCC 14-1, FCC 14-2) est VRAI, FCC 14-2 Directe alors :
CIO. Sinon, si CL-Directe(FCC 15-1, FCC 14-2) est VRAI, FCC 15-1 Directe alors :
C11. Sinon, si CL-Directe(FCC 15-1, FCC 15-2) est VRAI, FCC 15-2 Directe alors :
C12. Sinon, si CL-Directe(FCC 14-1, FCC 14-3) est VRAI, FCC 14-1 Directe alors :
C13. Sinon, si CL-Directe(FCC 14-2, FCC 14-3) est VRAI, FCC 14-2 Directe alors :
C14. Sinon, si CL-Directe(FCC 15-1, FCC 14-3) est VRAI, FCC 15-1 Directe alors :
C15. Sinon, si CL-Directe(FCC 15-2, FCC 14-3) est VRAI, FCC 15-2 Directe alors :
C16. Sinon, si CL-Directe(FCC 14-1, FCC 15-3) est VRAI, FCC 14-1 Directe alors :
C17. Sinon, si CL-Directe(FCC 14-2, FCC 15-3) est VRAI, FCC 14-2 Directe alors :
C18. Sinon, si CL-Directe(FCC 15-1, FCC 15-3) est VRAI, FCC 15-1 Directe alors :
C191. Sinon, si CL-Directe(FCC 15-2, FCC 15-3) est VRAI, FCC 15-2 Directe alors :
La logique de choix illustrée par le tableau ci-dessus tient compte de la dégradation des lois, puisque la loi normale est privilégiée par rapport à
la loi directe (loi dégradée), les instructions représentées par tableau étant à
appliquer selon une priorité décroissante de haut en bas en partant de la première ligne ou condition du tableau. Ainsi, si une condition Ci produit le résultat 'FAUX', la condition suivante Ci+l est testée, et ainsi de suite, jusqu'à
13 la condition dont le résultat est 'VRAI". Le calculateur maître sélectionné
est alors celui correspondant à cette dernière condition.
Bien qu'un actionneur (FCRM) soit concerné seulement par l'ordre régissant le fonctionnement de la gouverne qu'il commande, selon l'invention chaque actionneur reçoit l'ensemble des ordres émis par chacun des calculateurs (FCC), c'est-à-dire les ordres destinés à toutes les gouvernes de l'avion. Par conséquent, chaque actionneur effectue sa propre sélection d'un calculateur maître en prenant en compte l'ensemble des informations transmises par les calculateurs, et dès que pour un ordre donné, deux calculateurs sont incohérents entre eux, ces calculateurs sont alors considérés par l'actionneur comme étant globalement incohérents, c'est-à-dire incohérents pour l'ensemble des ordres reçus, et la condition suivante dans la liste de priorités (tableau ci-dessus) est systématiquement examinée.
Comme tous les unités logiques des actionneurs mettent en oeuvre la même logique de sélection sur l'ensemble des ordres reçus des calculateurs, on obtient au final un maître unique choisi par tous les actionneurs valides.
On notera dans l'exemple de logique donné ci-dessus, que le calculateur maître choisi varie avantageusement d'une condition à une autre.
En effet, lorsqu'un calculateur maître tombe en panne, c'est-à-dire transmet un ordre erroné, ce dernier est appliqué par toutes les gouvernes de l'avion, ce qui généralement provoque un embarquement de l'avion (comportement non souhaité). Très rapidement, dès que le seuil de détection (seuil de surveillance) de la panne est atteint, la condition en cours "saute"
et la condition suivante (dans le tableau) est prise en compte, un nouveau calculateur maître est alors sélectionné. Par conséquent, l'ordre appliqué à
l'avion redevient bon et le comportement sain de l'avion est rétabli.
Si par exemple, dans le tableau ci-dessus, deux conditions successives pouvaient aboutir à la sélection d'un même calculateur maître, en cas de panne de ce calculateur, le temps de retour à un comportement sain de l'avion serait par conséquent plus long, puisqu'il faudrait traiter deux conditions successives pour changer de calculateur maître, au lieu d'une seule selon l'invention.
est alors celui correspondant à cette dernière condition.
Bien qu'un actionneur (FCRM) soit concerné seulement par l'ordre régissant le fonctionnement de la gouverne qu'il commande, selon l'invention chaque actionneur reçoit l'ensemble des ordres émis par chacun des calculateurs (FCC), c'est-à-dire les ordres destinés à toutes les gouvernes de l'avion. Par conséquent, chaque actionneur effectue sa propre sélection d'un calculateur maître en prenant en compte l'ensemble des informations transmises par les calculateurs, et dès que pour un ordre donné, deux calculateurs sont incohérents entre eux, ces calculateurs sont alors considérés par l'actionneur comme étant globalement incohérents, c'est-à-dire incohérents pour l'ensemble des ordres reçus, et la condition suivante dans la liste de priorités (tableau ci-dessus) est systématiquement examinée.
Comme tous les unités logiques des actionneurs mettent en oeuvre la même logique de sélection sur l'ensemble des ordres reçus des calculateurs, on obtient au final un maître unique choisi par tous les actionneurs valides.
On notera dans l'exemple de logique donné ci-dessus, que le calculateur maître choisi varie avantageusement d'une condition à une autre.
En effet, lorsqu'un calculateur maître tombe en panne, c'est-à-dire transmet un ordre erroné, ce dernier est appliqué par toutes les gouvernes de l'avion, ce qui généralement provoque un embarquement de l'avion (comportement non souhaité). Très rapidement, dès que le seuil de détection (seuil de surveillance) de la panne est atteint, la condition en cours "saute"
et la condition suivante (dans le tableau) est prise en compte, un nouveau calculateur maître est alors sélectionné. Par conséquent, l'ordre appliqué à
l'avion redevient bon et le comportement sain de l'avion est rétabli.
Si par exemple, dans le tableau ci-dessus, deux conditions successives pouvaient aboutir à la sélection d'un même calculateur maître, en cas de panne de ce calculateur, le temps de retour à un comportement sain de l'avion serait par conséquent plus long, puisqu'il faudrait traiter deux conditions successives pour changer de calculateur maître, au lieu d'une seule selon l'invention.
14 Une fois la sélection du maître effectuée, chacune des unités logiques (18, 19) COM et MON transmet à destination de l'ensemble des calculateurs une information identifiant le calculateur maître choisi.
Selon une mise en oeuvre particulière de l'invention, on peut prévoir qu'une fois le calculateur maître sélectionné, chaque actionneur (FCRM) effectue une vérification supplémentaire consistant à comparer les ordres de tous les calculateurs non maîtres avec ceux du calculateur maître, et en cas d'écart confirmé en comparant des ordres, le calculateur dont l'ordre présente l'écart confirmé, est exclu définitivement (verrouillage).
D'autre part, si le choix du calculateur maître effectué par chaque unité logique (18, 19) d'un actionneur donné est le même, l'ordre de commande du calculateur maître choisi est exécuté par l'actionneur, sinon l'actionneur est désactivé. Un actionneur dont les deux unités logiques MON et COM ont choisi le même calculateur maître est désigné dans le cadre du présent exposé par actionneur cohérent .
Du côté calculateurs, chaque calculateur (14-1, 14-2, 14-3, 15-1, 15-2, 15-3) valide reçoit les informations de choix de calculateur maître reçues de l'ensemble des actionneurs, et s'autodétermine comme étant le calculateur maître, si les informations qu'il reçoit l'identifient comme tel, dans le cas contraire il s'autodétermine comme étant un calculateur non maître, désigné
par calculateur esclave . Etant donné que les informations de choix sont émises par toutes les unités logiques de l'ensemble des actionneurs valides, afin de se déterminer comme calculateur maître ou non, chaque calculateur vérifie au préalable, pour chaque actionneur, la cohérence des informations de choix de calculateur maître obtenues respectivement de chacune des unités logiques de l'actionneur considéré, et si lesdites informations ne sont pas cohérentes, l'actionneur est déclaré incohérent , et les informations en provenance de l'actionneur considéré sont ignorées.
Par ailleurs, comme mentionné précédemment, on notera que la logique de choix illustrée par le tableau ci-dessus prend en compte la dissimilarité logicielle des calculateurs, puisque chaque comparaison porte sur des ordres provenant de deux calculateurs équipés d'un logiciel différent. Par exemple, pour la première condition (Cl), on compare les ordres provenant des calculateurs 14-1 et 15-2 qui sont respectivement équipés des programmes A
et B pour la loi normale (voir figure 2). D'autre part, chaque unité logique (18, 19) d'un actionneur (13) donné est adaptée, lorsque tous les calculateurs 5 encore opérationnels calculent l'ordre de commande selon un même programme, à envoyer une requête en reconfiguration logicielle vers l'un des calculateurs encore opérationnels pour qu'il fonctionne selon un programme (logiciel A ou B) différent de celui des autres calculateurs encore opérationnels.
A chaque cycle de réception d'ordres de commandes transmis par 10 les calculateurs, chaque unité COM ou MON des actionneurs vérifient les conditions de choix selon l'ordre de priorité. Si selon l'ordre de priorité, les conditions Cl à C4 testées successivement, produisent le résultat 'FAUX', dans ce cas, les calculateurs 14-1 et 15-1 sont considérés comme étant en panne.
De plus, comme aucune des conditions Cl à C4 n'est remplie, aucun des
Selon une mise en oeuvre particulière de l'invention, on peut prévoir qu'une fois le calculateur maître sélectionné, chaque actionneur (FCRM) effectue une vérification supplémentaire consistant à comparer les ordres de tous les calculateurs non maîtres avec ceux du calculateur maître, et en cas d'écart confirmé en comparant des ordres, le calculateur dont l'ordre présente l'écart confirmé, est exclu définitivement (verrouillage).
D'autre part, si le choix du calculateur maître effectué par chaque unité logique (18, 19) d'un actionneur donné est le même, l'ordre de commande du calculateur maître choisi est exécuté par l'actionneur, sinon l'actionneur est désactivé. Un actionneur dont les deux unités logiques MON et COM ont choisi le même calculateur maître est désigné dans le cadre du présent exposé par actionneur cohérent .
Du côté calculateurs, chaque calculateur (14-1, 14-2, 14-3, 15-1, 15-2, 15-3) valide reçoit les informations de choix de calculateur maître reçues de l'ensemble des actionneurs, et s'autodétermine comme étant le calculateur maître, si les informations qu'il reçoit l'identifient comme tel, dans le cas contraire il s'autodétermine comme étant un calculateur non maître, désigné
par calculateur esclave . Etant donné que les informations de choix sont émises par toutes les unités logiques de l'ensemble des actionneurs valides, afin de se déterminer comme calculateur maître ou non, chaque calculateur vérifie au préalable, pour chaque actionneur, la cohérence des informations de choix de calculateur maître obtenues respectivement de chacune des unités logiques de l'actionneur considéré, et si lesdites informations ne sont pas cohérentes, l'actionneur est déclaré incohérent , et les informations en provenance de l'actionneur considéré sont ignorées.
Par ailleurs, comme mentionné précédemment, on notera que la logique de choix illustrée par le tableau ci-dessus prend en compte la dissimilarité logicielle des calculateurs, puisque chaque comparaison porte sur des ordres provenant de deux calculateurs équipés d'un logiciel différent. Par exemple, pour la première condition (Cl), on compare les ordres provenant des calculateurs 14-1 et 15-2 qui sont respectivement équipés des programmes A
et B pour la loi normale (voir figure 2). D'autre part, chaque unité logique (18, 19) d'un actionneur (13) donné est adaptée, lorsque tous les calculateurs 5 encore opérationnels calculent l'ordre de commande selon un même programme, à envoyer une requête en reconfiguration logicielle vers l'un des calculateurs encore opérationnels pour qu'il fonctionne selon un programme (logiciel A ou B) différent de celui des autres calculateurs encore opérationnels.
A chaque cycle de réception d'ordres de commandes transmis par 10 les calculateurs, chaque unité COM ou MON des actionneurs vérifient les conditions de choix selon l'ordre de priorité. Si selon l'ordre de priorité, les conditions Cl à C4 testées successivement, produisent le résultat 'FAUX', dans ce cas, les calculateurs 14-1 et 15-1 sont considérés comme étant en panne.
De plus, comme aucune des conditions Cl à C4 n'est remplie, aucun des
15 calculateurs primaires 14-1, 14-2, 15-1, 15-2 ne peut être choisi comme calculateur maître pour la loi normale, par conséquent tous les actionneurs (FCRM) passent en mode loi directe en testant la condition C7.
Les deux conditions C5 et C6 ne sont appliquées pour un cycle suivant, qu'après reconfiguration logicielle respectivement du calculateur 15-en logiciel B ou du calculateur 15-2 en logiciel A.
Par exemple, si les calculateurs 14-1 et 15-1 sont déclarés perdus (panne auto-détectée), alors on ne dispose plus que des calculateurs primaires 14-2 et 15-2, lesquels sont équipés du même logiciel de calcul, B. Dans ce cas, tous les actionneurs (FCRM) envoient au calculateur 15-2 une requête de reconfiguration logicielle en version logicielle A.
Le calculateur 15-2 identifie au moins une requête de reconfiguration comme étant valide, selon un exemple de réalisation, parce que la requête provient d'un actionneur cohérent c'est-à-dire un actionneur dont les informations de choix de maître sont cohérentes entre les deux unités logiques de l'actionneur. Le calculateur, dans cet exemple le calculateur 15-2, se reconfigure en logiciel A, puis envoie aux actionneurs (FCRM) une information indiquant qu'il est reconfiguré en logiciel A.
Les deux conditions C5 et C6 ne sont appliquées pour un cycle suivant, qu'après reconfiguration logicielle respectivement du calculateur 15-en logiciel B ou du calculateur 15-2 en logiciel A.
Par exemple, si les calculateurs 14-1 et 15-1 sont déclarés perdus (panne auto-détectée), alors on ne dispose plus que des calculateurs primaires 14-2 et 15-2, lesquels sont équipés du même logiciel de calcul, B. Dans ce cas, tous les actionneurs (FCRM) envoient au calculateur 15-2 une requête de reconfiguration logicielle en version logicielle A.
Le calculateur 15-2 identifie au moins une requête de reconfiguration comme étant valide, selon un exemple de réalisation, parce que la requête provient d'un actionneur cohérent c'est-à-dire un actionneur dont les informations de choix de maître sont cohérentes entre les deux unités logiques de l'actionneur. Le calculateur, dans cet exemple le calculateur 15-2, se reconfigure en logiciel A, puis envoie aux actionneurs (FCRM) une information indiquant qu'il est reconfiguré en logiciel A.
16 Lors du cycle suivant de réception d'ordres, la condition C6 du tableau peut donner lieu à un résultat 'VRAI' puisque le calculateur 15-2 a été
reconfiguré en logiciel A. Dans ce cas, le calculateur maître sélectionné
pourra être le calculateur (FCC) 15-2 et la loi appliquée redeviendra la loi normale.
De manière similaire, si les calculateurs 14-2 et 15-2 qui fonctionnent avec le logiciel B sont déclarés en panne, une requête de reconfiguration logicielle en logiciel B sera envoyée au calculateur 15-1, afin que la condition C5 dans le tableau puisse être applicable.
On notera que le problème d'absence de dissimilarité logicielle ne se pose pas pour le calcul de la loi directe car cette loi peut être calculée par chacun des calculateurs selon trois programmes (A, B ou C) de sorte que même si deux calculateurs fonctionnant avec le même programme tombent en panne, la dissimilarité logicielle est toujours conservée (A et B, A et C, ou B et C).
La logique de sélection d'un calculateur maître exposée ci-dessus est donnée à titre d'exemple seulement, on peut prévoir par exemple d'utiliser toute logique de choix similaire obtenue par permutation circulaire des calculateurs (FCC) dont les ordres sont comparés.
Par ailleurs, on peut aussi prévoir d'utiliser une logique de sélection différente pour les actionneurs (FCRM) chargés du contrôle latéral (lesquels sélectionneraient un FCC maître pour la loi normale latérale) et pour les actionneurs de contrôle longitudinal (lesquels sélectionneraient un FCC maître pour la loi normale longitudinale).
On va maintenant décrire un exemple de réseau de communication entre les calculateurs du module 12 et les actionneurs 13 à l'aide de la figure 3.
Ce réseau comporte deux organes d'échange de données 16 et 17.
L'organe 16 (respectivement 17) comporte deux éléments 16-1 et 16-2 (respectivement 17-1 et 17-2), chaque élément comportant un bus AFDX
(Avionics Full DupleX switched ethernet) à 100 Mbit/s, situé en baie avionique ou ailleurs dans le fuselage de l'avion et relié à un micro-bus (d'un débit de Mbit/s) situé proche des actionneurs (ces bus ne sont pas illustrés sur la figure).
reconfiguré en logiciel A. Dans ce cas, le calculateur maître sélectionné
pourra être le calculateur (FCC) 15-2 et la loi appliquée redeviendra la loi normale.
De manière similaire, si les calculateurs 14-2 et 15-2 qui fonctionnent avec le logiciel B sont déclarés en panne, une requête de reconfiguration logicielle en logiciel B sera envoyée au calculateur 15-1, afin que la condition C5 dans le tableau puisse être applicable.
On notera que le problème d'absence de dissimilarité logicielle ne se pose pas pour le calcul de la loi directe car cette loi peut être calculée par chacun des calculateurs selon trois programmes (A, B ou C) de sorte que même si deux calculateurs fonctionnant avec le même programme tombent en panne, la dissimilarité logicielle est toujours conservée (A et B, A et C, ou B et C).
La logique de sélection d'un calculateur maître exposée ci-dessus est donnée à titre d'exemple seulement, on peut prévoir par exemple d'utiliser toute logique de choix similaire obtenue par permutation circulaire des calculateurs (FCC) dont les ordres sont comparés.
Par ailleurs, on peut aussi prévoir d'utiliser une logique de sélection différente pour les actionneurs (FCRM) chargés du contrôle latéral (lesquels sélectionneraient un FCC maître pour la loi normale latérale) et pour les actionneurs de contrôle longitudinal (lesquels sélectionneraient un FCC maître pour la loi normale longitudinale).
On va maintenant décrire un exemple de réseau de communication entre les calculateurs du module 12 et les actionneurs 13 à l'aide de la figure 3.
Ce réseau comporte deux organes d'échange de données 16 et 17.
L'organe 16 (respectivement 17) comporte deux éléments 16-1 et 16-2 (respectivement 17-1 et 17-2), chaque élément comportant un bus AFDX
(Avionics Full DupleX switched ethernet) à 100 Mbit/s, situé en baie avionique ou ailleurs dans le fuselage de l'avion et relié à un micro-bus (d'un débit de Mbit/s) situé proche des actionneurs (ces bus ne sont pas illustrés sur la figure).
17 Ces bus ont été développés et standardisés pour répondre aux normes du domaine aéronautique.
Les réseaux AFDX sont basés sur le principe des réseaux commutés, c'est-à-dire que les actionneurs et les calculateurs chargés de l'émission ou de la réception de données s'organisent autour de commutateurs par lesquels transitent ces données.
Ces réseaux réalisent une liaison numérique entre les calculateurs et les actionneurs, le multiplexage des données ainsi obtenu permettant de faire communiquer aisément chaque calculateur avec chaque actionneur (ce qui n'était pas le cas avec le dispositif de l'art antérieur où les liaisons entre les calculateurs et les actionneurs étaient des liaisons point à point analogiques).
Chaque organe 16 et 17 est relié à chaque unité 18 et 19 de chaque actionneur 13, de façon à ce que soit reliée directement par les bus AFDX et micro-bus chaque unité 18 et 19 avec chaque calculateur.
Dans une variante illustrée en figure 4, l'unité 18 de chaque actionneur est uniquement reliée à l'un des ensembles de calculateurs tandis que l'unité 19 est reliée à l'autre des ensembles de calculateurs, avec les unités
Les réseaux AFDX sont basés sur le principe des réseaux commutés, c'est-à-dire que les actionneurs et les calculateurs chargés de l'émission ou de la réception de données s'organisent autour de commutateurs par lesquels transitent ces données.
Ces réseaux réalisent une liaison numérique entre les calculateurs et les actionneurs, le multiplexage des données ainsi obtenu permettant de faire communiquer aisément chaque calculateur avec chaque actionneur (ce qui n'était pas le cas avec le dispositif de l'art antérieur où les liaisons entre les calculateurs et les actionneurs étaient des liaisons point à point analogiques).
Chaque organe 16 et 17 est relié à chaque unité 18 et 19 de chaque actionneur 13, de façon à ce que soit reliée directement par les bus AFDX et micro-bus chaque unité 18 et 19 avec chaque calculateur.
Dans une variante illustrée en figure 4, l'unité 18 de chaque actionneur est uniquement reliée à l'un des ensembles de calculateurs tandis que l'unité 19 est reliée à l'autre des ensembles de calculateurs, avec les unités
18 et 19 qui sont reliées entre elles de sorte que l'unité 18 peut tout de même communiquer avec l'ensemble de calculateurs auquel elle n'est pas reliée directement par l'intermédiaire de l'unité 19 et réciproquement.
En variante, les unités 18 et 19 de chaque actionneur peuvent partager un même média pour communiquer avec le calculateur, en utilisant des CRC (Cyclic Redundancy Check) dits applicatifs, pour signer leurs messages.
II est également possible d'utiliser d'autres types de bus tels que des bus ARINC (Aeronautical Radio INCorporated) ou tout autre type d'organe de communication permettant un multiplexage numérique entre les calculateurs et les actionneurs, pourvu que ceux-ci soient compatibles avec les normes dans le domaine aéronautique.
Dans une autre variante encore, ce ne sont pas les lois normales et directes qui sont implémentées dans les calculateurs mais tout autre type de loi telle que par exemple une loi qui ne serait, contrairement à la loi directe, que partiellement dégradée par rapport à la loi normale (suite à la perte des signaux de capteurs de l'avion par exemple).
On rappellera enfin que le nombre de calculateurs est variable selon les besoins et n'est pas restreint au nombre décrit dans les exemples illustrés en figures 2 à 4.
La figure 5 illustre de manière schématique le principe de la synchronisation de la voie MON sur la voie COM dans un calculateur selon une architecture COM/MON de l'art antérieur.
La loi normale vise à asservir un paramètre de vol de l'avion (facteur de charge, assiette, taux de roulis, ...) à une consigne (issue de l'ordre du pilote ou du pilote automatique). Dans le but d'améliorer la précision de ces asservissements, il est mis en place des intégrateurs au sein des chaînes de contrôle des calculateurs, pour annuler l'erreur statique. Comme l'asservissement de l'unité MON n'est pas exécuté (boucle ouverte) et qu'il comporte des intégrateurs, ceux-ci peuvent finir par dériver (intégration d'un écart fixe donné). Pour pallier cette divergence des intégrateurs des unités MON, ceux-ci sont synchronisés sur les sorties des intégrateurs de l'unité
COM, comme représenté sur la figure 5.
Dans le cadre de la présente invention, pour répondre à ce problème de synchronisation, chaque calculateur est adapté, lorsqu'il s'est autodéterminé
comme étant un calculateur esclave, à synchroniser l'intégrateur de sa chaine de contrôle sur celui du calculateur maître finalement déterminé. Dans le mode de réalisation décrit et illustré, cette synchronisation reprend la méthode connue de synchronisation, telle qu'illustrée à la figure 5.
Le système de commande de vol selon l'invention peut être avantageusement complété par un calculateur extérieur, désigné par calculateur diagnostic dédié à l'identification des calculateurs (FCC) du système de commande qui sont en panne. Ce calculateur diagnostic, par exemple un calculateur de type FCDC (Flight Contro/ Data Concentrator) connu, peut être constitué d'une partition de l'avionique modulaire intégrée (IMA - Integrated ModularAvionics).
En variante, les unités 18 et 19 de chaque actionneur peuvent partager un même média pour communiquer avec le calculateur, en utilisant des CRC (Cyclic Redundancy Check) dits applicatifs, pour signer leurs messages.
II est également possible d'utiliser d'autres types de bus tels que des bus ARINC (Aeronautical Radio INCorporated) ou tout autre type d'organe de communication permettant un multiplexage numérique entre les calculateurs et les actionneurs, pourvu que ceux-ci soient compatibles avec les normes dans le domaine aéronautique.
Dans une autre variante encore, ce ne sont pas les lois normales et directes qui sont implémentées dans les calculateurs mais tout autre type de loi telle que par exemple une loi qui ne serait, contrairement à la loi directe, que partiellement dégradée par rapport à la loi normale (suite à la perte des signaux de capteurs de l'avion par exemple).
On rappellera enfin que le nombre de calculateurs est variable selon les besoins et n'est pas restreint au nombre décrit dans les exemples illustrés en figures 2 à 4.
La figure 5 illustre de manière schématique le principe de la synchronisation de la voie MON sur la voie COM dans un calculateur selon une architecture COM/MON de l'art antérieur.
La loi normale vise à asservir un paramètre de vol de l'avion (facteur de charge, assiette, taux de roulis, ...) à une consigne (issue de l'ordre du pilote ou du pilote automatique). Dans le but d'améliorer la précision de ces asservissements, il est mis en place des intégrateurs au sein des chaînes de contrôle des calculateurs, pour annuler l'erreur statique. Comme l'asservissement de l'unité MON n'est pas exécuté (boucle ouverte) et qu'il comporte des intégrateurs, ceux-ci peuvent finir par dériver (intégration d'un écart fixe donné). Pour pallier cette divergence des intégrateurs des unités MON, ceux-ci sont synchronisés sur les sorties des intégrateurs de l'unité
COM, comme représenté sur la figure 5.
Dans le cadre de la présente invention, pour répondre à ce problème de synchronisation, chaque calculateur est adapté, lorsqu'il s'est autodéterminé
comme étant un calculateur esclave, à synchroniser l'intégrateur de sa chaine de contrôle sur celui du calculateur maître finalement déterminé. Dans le mode de réalisation décrit et illustré, cette synchronisation reprend la méthode connue de synchronisation, telle qu'illustrée à la figure 5.
Le système de commande de vol selon l'invention peut être avantageusement complété par un calculateur extérieur, désigné par calculateur diagnostic dédié à l'identification des calculateurs (FCC) du système de commande qui sont en panne. Ce calculateur diagnostic, par exemple un calculateur de type FCDC (Flight Contro/ Data Concentrator) connu, peut être constitué d'une partition de l'avionique modulaire intégrée (IMA - Integrated ModularAvionics).
19 Selon l'invention, il est prévu que ce calculateur additionnel détermine le calculateur FCC maître selon le même algorithme de choix que celui appliqué par les actionneurs (FCRM). Un tel calculateur diagnostic est adapté à comparer les informations émises par tous les calculateurs FCC avec les informations émises par le calculateur FCC maître (sain), ce qui lui permet de détecter un calculateur FCC au comportement erroné. Selon un exemple de réalisation, une fois la comparaison précitée effectuée, le calculateur diagnostic affiche sur un dispositif d'affichage, un écran par exemple, l'état de fonctionnement de chaque calculateur FCC, par exemple en utilisant la classification suivante : Maître ; Esclave sain (cohérent du maître) ; Esclave erroné (incohérent du maître) ; Perdu (panne auto-détectée).
Claims (10)
1. Système de commande de vol pour aéronef, dans lequel des ordres de commande sont transmis entre un module (12) de commande de vol et au moins un actionneur (13) d'une surface de vol mobile, le module de commande de vol comportant au moins un premier et un deuxième calculateur (14-1, 14-2, 14-3, 15-1, 15-2, 15-3), chaque calculateur étant adapté à
calculer, pour chaque actionneur, un ordre de commande établi selon au moins une loi de commande prédéterminée de la surface de vol commandée par l'actionneur ;
ledit système étant caractérisé en ce que chaque actionneur (13) comporte au moins deux unités logiques (18, 19) adaptées à recevoir des ordres en provenance de tous les calculateurs, chaque unité logique (18, 19) étant adaptée à :
- comparer entre eux les ordres reçus, et choisir en fonction du résultat de la comparaison, selon une logique prédéterminée commune à tous les actionneurs, un calculateur, dit calculateur maître, dont l'ordre de commande est validé pour exécution par l'actionneur considéré ; et - transmettre, à destination de l'ensemble des calculateurs, une information de choix de calculateur maître ;
et en ce que chaque calculateur (14-1, 14-2, 14-3, 15-1, 15-2, 15-3) est adapté à s'autodéterminer comme étant un calculateur maître ou sinon comme étant un calculateur dit esclave, à partir des informations de choix de calculateur maître reçues de l'ensemble des actionneurs, un seul calculateur maître parmi l'ensemble des calculateurs étant finalement déterminé.
calculer, pour chaque actionneur, un ordre de commande établi selon au moins une loi de commande prédéterminée de la surface de vol commandée par l'actionneur ;
ledit système étant caractérisé en ce que chaque actionneur (13) comporte au moins deux unités logiques (18, 19) adaptées à recevoir des ordres en provenance de tous les calculateurs, chaque unité logique (18, 19) étant adaptée à :
- comparer entre eux les ordres reçus, et choisir en fonction du résultat de la comparaison, selon une logique prédéterminée commune à tous les actionneurs, un calculateur, dit calculateur maître, dont l'ordre de commande est validé pour exécution par l'actionneur considéré ; et - transmettre, à destination de l'ensemble des calculateurs, une information de choix de calculateur maître ;
et en ce que chaque calculateur (14-1, 14-2, 14-3, 15-1, 15-2, 15-3) est adapté à s'autodéterminer comme étant un calculateur maître ou sinon comme étant un calculateur dit esclave, à partir des informations de choix de calculateur maître reçues de l'ensemble des actionneurs, un seul calculateur maître parmi l'ensemble des calculateurs étant finalement déterminé.
2. Système selon la revendication 1, dans lequel chaque calculateur comporte des moyens de vérification adaptés à vérifier, pour chaque actionneur, la cohérence des informations de choix de calculateur maître obtenues respectivement de chacun des unités logiques de l'actionneur considéré, et si lesdites informations ne sont pas cohérentes, à ignorer ces informations.
3. Système selon la revendication 1 ou 2, dans lequel, si le choix du calculateur maître effectué par chaque unité logique (18, 19) d'un actionneur donné est le même, l'ordre de commande du calculateur maître choisi est exécuté par l'actionneur, sinon l'actionneur est désactivé.
4. Système selon la revendication 3, dans lequel chaque calculateur comporte une chaîne de contrôle comprenant au moins un intégrateur, chaque calculateur étant adapté, lorsqu'il s'est autodéterminé comme étant un calculateur esclave, à synchroniser l'intégrateur de sa chaine de contrôle sur celui du calculateur maître finalement déterminé
5. Système selon l'une quelconque des revendications 1 à 4, dans lequel chaque comparaison d'ordres porte sur des ordres provenant de calculateurs calculant leur ordre de commande selon un programme différent
6. Système selon l'une quelconque des revendications 1 à 5, dans lequel lesdites unités logiques (18, 19) de chaque actionneur (13) sont également adaptées, lorsque tous les calculateurs encore opérationnels calculent l'ordre de commande selon un même programme, à envoyer une requête en reconfiguration logicielle vers l'un des calculateurs encore opérationnels pour qu'il fonctionne selon un programme différent de celui des autres calculateurs encore opérationnels.
7. Système selon l'une quelconque des revendications 1 à 6, caractérisé en ce que les unités logiques (18, 19) de chaque actionneur (13) sont constituées d'une unité de commande (18) et d'une unité de surveillance (19) de ladite unité de commande (18).
8. Système selon la revendication 7, dans lequel chaque unité (18, 19) est reliée audit premier calculateur et audit deuxième calculateur
9. Système selon la revendication 7, dans lequel l'une des unités (18) est uniquement reliée audit premier calculateur et l'autre unité (19) est uniquement reliée audit deuxième calculateur, lesdites unités de commande (18) et de surveillance (19) étant également reliées entre elles.
10. Aéronef équipé d'un système de commande de vol selon l'une quelconque des revendications 1 à 9.
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1053634 | 2010-05-10 | ||
| FR1053634A FR2959835B1 (fr) | 2010-05-10 | 2010-05-10 | Systeme de commande de vol et aeronef le comportant |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CA2740280A1 CA2740280A1 (fr) | 2011-11-10 |
| CA2740280C true CA2740280C (fr) | 2017-11-07 |
Family
ID=43589403
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CA2740280A Expired - Fee Related CA2740280C (fr) | 2010-05-10 | 2011-05-09 | Systeme de commande de vol et aeronef le comportant |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US8538602B2 (fr) |
| CN (1) | CN102289206B (fr) |
| BR (1) | BRPI1102364A2 (fr) |
| CA (1) | CA2740280C (fr) |
| FR (1) | FR2959835B1 (fr) |
Families Citing this family (33)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2008122820A2 (fr) | 2007-04-05 | 2008-10-16 | Bombardier Inc. | Système de commande de vol électrique multivoie. à canal unique et redondance série multiaxe |
| FR2943037B1 (fr) * | 2009-03-11 | 2012-09-21 | Airbus France | Systeme de commande d'aeronef a architecture modulaire integre. |
| FR2943036B1 (fr) * | 2009-03-11 | 2011-04-15 | Airbus France | Systeme distribue de commande de vol implemente selon une architecture avionique modulaire integree. |
| US9625894B2 (en) * | 2011-09-22 | 2017-04-18 | Hamilton Sundstrand Corporation | Multi-channel control switchover logic |
| FR2983598B1 (fr) * | 2011-12-06 | 2013-12-27 | Airbus Operations Sas | Procede de surveillance automatique d'operations aeriennes necessitant une garantie de performance de navigation et de guidage. |
| DE102012200042A1 (de) | 2012-01-03 | 2013-07-04 | Airbus Operations Gmbh | Serversystem, luft- oder raumfahrzeug und verfahren |
| FR2996651B1 (fr) | 2012-10-05 | 2014-12-12 | Airbus Operations Sas | Systeme de commande de vol utilisant des calculateurs simplex et aeronef le comportant |
| FR3000196B1 (fr) * | 2012-12-21 | 2015-02-06 | Airbus Operations Sas | Dispositif de mise a disposition de valeurs de parametres de navigation d'un vehicule |
| FR3005824B1 (fr) * | 2013-05-16 | 2015-06-19 | Airbus Operations Sas | Gestion distribuee des communications bord-sol dans un aeronef |
| EP2851291B1 (fr) * | 2013-09-23 | 2016-05-11 | Airbus Operations (S.A.S) | Système de commande d'un aéronef |
| FR3013880B1 (fr) * | 2013-11-26 | 2017-03-31 | Airbus Operations Sas | Systeme avionique, notamment un systeme de gestion de vol d'un aeronef |
| FR3024925B1 (fr) * | 2014-08-14 | 2016-08-26 | Zodiac Aero Electric | Systeme et procede de commande d'au moins un organe de puissance, notamment pour aeronef |
| FR3030794B1 (fr) * | 2014-12-23 | 2016-12-23 | Thales Sa | Procede et systeme de guidage d'un aeronef |
| US9493231B2 (en) * | 2015-03-20 | 2016-11-15 | The Boeing Company | Flight control system command selection and data transport |
| US9611033B1 (en) * | 2015-09-24 | 2017-04-04 | Rockwell Collins, Inc. | System and method for maintaining system integrity in control systems having multi-lane computational differences |
| FR3044758B1 (fr) * | 2015-12-08 | 2018-01-12 | Airbus Operations | Ensemble de gestion de vol d’un aeronef et procede de surveillance de consignes de guidage d’un tel ensemble. |
| CN106874155A (zh) * | 2015-12-14 | 2017-06-20 | 中国航空工业第六八研究所 | 一种嵌入式软件开发阶段针对目标机的动态监控方法 |
| FR3047274B1 (fr) * | 2016-01-29 | 2018-01-26 | Safran Power Units | Systeme de regulation electronique partiellement redondant |
| FR3061344B1 (fr) | 2016-12-23 | 2021-01-01 | Thales Sa | Systeme d'aide au pilotage d'aeronef |
| FR3064979B1 (fr) * | 2017-04-07 | 2019-04-05 | Airbus Operations (S.A.S.) | Systeme de commande de vol d'un aeronef |
| US10479484B2 (en) * | 2017-06-14 | 2019-11-19 | The Boeing Company | Methods and apparatus for controlling aircraft flight control surfaces |
| US10843792B2 (en) | 2018-02-01 | 2020-11-24 | Hamilton Sundstrand Corporation | Autonomous reconfiguration of a multi-redundant actuator control system |
| FR3078788A1 (fr) * | 2018-03-06 | 2019-09-13 | Valeo Systemes Thermiques | Procede de controle d'un systeme pour vehicule automobile |
| US11155341B2 (en) | 2018-07-30 | 2021-10-26 | Honeywell International Inc. | Redundant fly-by-wire systems with fault resiliency |
| EP3617882A1 (fr) * | 2018-09-03 | 2020-03-04 | TTTech Computertechnik AG | N ud de communication pour systèmes critiques |
| US11099936B2 (en) * | 2018-09-11 | 2021-08-24 | Embraer S.A. | Aircraft integrated multi system electronic architecture |
| EP3627247B1 (fr) * | 2018-09-18 | 2023-04-05 | KNORR-BREMSE Systeme für Nutzfahrzeuge GmbH | Architecture de commande pour véhicule |
| FR3089375B1 (fr) * | 2018-12-04 | 2020-11-20 | Airbus Operations Sas | Procédé et système de protection d’un aéronef contre une instruction de commande incohérente |
| US11097834B2 (en) | 2019-02-19 | 2021-08-24 | Honeywell International Inc. | Fly-by-wire systems and related operating methods |
| US11273906B2 (en) | 2019-05-10 | 2022-03-15 | Honeywell International Inc. | Redundant fly-by-wire systems with fault resiliency |
| DE102020111810A1 (de) | 2020-04-30 | 2021-11-04 | Volocopter Gmbh | Verfahren zum Betreiben eines Fluggeräts, Flugsteuerungssystem für ein Fluggerät und Fluggerät mit einem solchen |
| US11225321B1 (en) * | 2021-03-31 | 2022-01-18 | Beta Air, Llc | Method and system for fly-by-wire flight control configured for use in electric aircraft |
| WO2023080955A1 (fr) * | 2021-11-03 | 2023-05-11 | Maxar Space Llc | Avionique à architecture modulaire |
Family Cites Families (26)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5044155A (en) * | 1989-02-27 | 1991-09-03 | The Boeing Company | Aircraft propulsion control system |
| JPH0317702A (ja) * | 1989-06-15 | 1991-01-25 | Toshiba Corp | 計算機構成制御装置 |
| JPH0823859B2 (ja) * | 1990-09-28 | 1996-03-06 | インターナショナル・ビジネス・マシーンズ・コーポレイション | データ処理システム |
| US5274554A (en) * | 1991-02-01 | 1993-12-28 | The Boeing Company | Multiple-voting fault detection system for flight critical actuation control systems |
| US5790791A (en) * | 1995-05-12 | 1998-08-04 | The Boeing Company | Apparatus for synchronizing flight management computers where only the computer chosen to be the master received pilot inputs and transfers the inputs to the spare |
| US6839393B1 (en) * | 1999-07-14 | 2005-01-04 | Rambus Inc. | Apparatus and method for controlling a master/slave system via master device synchronization |
| FR2838532B1 (fr) * | 2002-04-10 | 2004-07-30 | Airbus France | Systeme et procede de controle de plusieurs actionneurs |
| US8099179B2 (en) * | 2004-09-10 | 2012-01-17 | GM Global Technology Operations LLC | Fault tolerant control system |
| US7789345B2 (en) * | 2005-03-03 | 2010-09-07 | Nabtesco Corporation | Actuator control apparatus |
| US7725215B2 (en) * | 2005-08-05 | 2010-05-25 | Honeywell International Inc. | Distributed and recoverable digital control system |
| FR2891051B1 (fr) * | 2005-09-22 | 2007-10-19 | Airbus France Sas | Procede et dispositif pour realiser au moins un essai en vol sur un aeronef et applications |
| JP4871687B2 (ja) * | 2005-10-03 | 2012-02-08 | 日立オートモティブシステムズ株式会社 | 車両制御システム |
| US7421320B2 (en) * | 2005-10-06 | 2008-09-02 | The Boeing Company | Methods and apparatus for implementing mid-value selection functions for dual dissimlar processing modules |
| JP2009523658A (ja) * | 2006-01-17 | 2009-06-25 | ガルフストリーム・エアロスペース・コーポレイション | 分散型飛行制御システムのバックアップ制御のための装置及び方法 |
| US7562264B2 (en) * | 2006-09-06 | 2009-07-14 | Intel Corporation | Fault tolerant soft error detection for storage subsystems |
| CN201017202Y (zh) * | 2006-11-09 | 2008-02-06 | 上海大学 | 舵机控制器 |
| US8751067B2 (en) * | 2007-02-27 | 2014-06-10 | The Boeing Company | Electronic flight bag system and method |
| WO2008122820A2 (fr) * | 2007-04-05 | 2008-10-16 | Bombardier Inc. | Système de commande de vol électrique multivoie. à canal unique et redondance série multiaxe |
| JP4957806B2 (ja) * | 2007-11-13 | 2012-06-20 | 富士通株式会社 | 伝送装置、切替処理方法および切替処理プログラム |
| US8762188B2 (en) * | 2008-05-12 | 2014-06-24 | Ut-Battelle, Llc | Cyberspace security system |
| FR2941912B1 (fr) * | 2009-02-10 | 2011-02-18 | Airbus France | Systeme de commande de vol et aeronef le comportant |
| FR2941913B1 (fr) | 2009-02-10 | 2012-08-31 | Airbus France | Systeme de commande de vol et aeronef le comportant |
| FR2943037B1 (fr) * | 2009-03-11 | 2012-09-21 | Airbus France | Systeme de commande d'aeronef a architecture modulaire integre. |
| FR2943036B1 (fr) * | 2009-03-11 | 2011-04-15 | Airbus France | Systeme distribue de commande de vol implemente selon une architecture avionique modulaire integree. |
| US8788714B2 (en) * | 2010-01-29 | 2014-07-22 | Honeywell International Inc. | Method for synchronizing execution of multiple processing devices and related system |
| US8935015B2 (en) * | 2011-05-09 | 2015-01-13 | Parker-Hannifin Corporation | Flight control system with alternate control path |
-
2010
- 2010-05-10 FR FR1053634A patent/FR2959835B1/fr not_active Expired - Fee Related
-
2011
- 2011-05-09 CA CA2740280A patent/CA2740280C/fr not_active Expired - Fee Related
- 2011-05-09 US US13/103,319 patent/US8538602B2/en active Active
- 2011-05-10 CN CN201110238477.XA patent/CN102289206B/zh not_active Expired - Fee Related
- 2011-05-10 BR BRPI1102364-3A patent/BRPI1102364A2/pt not_active IP Right Cessation
Also Published As
| Publication number | Publication date |
|---|---|
| BRPI1102364A2 (pt) | 2012-10-09 |
| CN102289206A (zh) | 2011-12-21 |
| US8538602B2 (en) | 2013-09-17 |
| CN102289206B (zh) | 2016-08-31 |
| US20110276199A1 (en) | 2011-11-10 |
| CA2740280A1 (fr) | 2011-11-10 |
| FR2959835B1 (fr) | 2012-06-15 |
| FR2959835A1 (fr) | 2011-11-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CA2740280C (fr) | Systeme de commande de vol et aeronef le comportant | |
| EP2717108B1 (fr) | Système de commande de vol utilisant des calculateurs simplex et aéronef le comportant | |
| EP2216245B1 (fr) | Système de commande de vol et aéronef le comportant | |
| EP2216244B1 (fr) | Système de commande de vol et aéronef le comportant | |
| EP3189380B1 (fr) | Architecture bi-voies avec liaisons ccdl redondantes | |
| EP2238026B1 (fr) | Systeme distribue de commande de vol | |
| CA2754031C (fr) | Systeme distribue de commande de vol implemente selon une architecture avionique modulaire integree | |
| EP3189381B1 (fr) | Architecture bi-voies | |
| CA3003039C (fr) | Couverture de defaillance destinee a des defaillances multiples dans les systemes redondants | |
| CA2918108C (fr) | Selection de commandes et transport de donnees pour un systeme de commandes de vol | |
| EP3667438B1 (fr) | Système de commande de vol d'un aéronef | |
| FR3027477A1 (fr) | Commutateur de transmission de donnees entre reseaux heterogenes pour aeronef | |
| EP2209009B1 (fr) | Procédé de commande d'un aéronef mettant en oeuvre un système de vote | |
| FR2946769A1 (fr) | Procede et dispositif de reconfiguration d'avionique. | |
| EP3232417B1 (fr) | Securisation du sequencement du plan de vol d'un aeronef | |
| FR3030095A1 (fr) | Ensemble de gestion de vol d'un aeronef et procede de surveillance de consignes de guidage d'un tel ensemble. | |
| FR3089375A1 (fr) | Procédé et système de protection d’un aéronef contre une instruction de commande incohérente | |
| FR3001065A1 (fr) | Dispositif centralise pour la gestion automatique de la configuration et de la reconfiguration de systemes multiples d'un aeronef. | |
| KR102596572B1 (ko) | 무인항공기 네트워크 구조 및 네트워크 구조에서의 동기화 방법 | |
| FR2628858A1 (fr) | Systeme de commande de vol pour aeronef | |
| FR3131643A1 (fr) | Système de régulation et de surveillance d’un moteur d’aéronef | |
| FR3092428A1 (fr) | Dispositif d’acquisition et d’analyse destiné à être intégré dans un aéronef préexistant |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| EEER | Examination request |
Effective date: 20160418 |
|
| MKLA | Lapsed |
Effective date: 20210510 |