EP4565932A1 - Avionique triplex haute integrite - Google Patents

Avionique triplex haute integrite

Info

Publication number
EP4565932A1
EP4565932A1 EP23748792.1A EP23748792A EP4565932A1 EP 4565932 A1 EP4565932 A1 EP 4565932A1 EP 23748792 A EP23748792 A EP 23748792A EP 4565932 A1 EP4565932 A1 EP 4565932A1
Authority
EP
European Patent Office
Prior art keywords
computer
processing channel
module
processing
channel
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP23748792.1A
Other languages
German (de)
English (en)
Inventor
Julien FARJON
Nicolas CADALEN
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Safran Electronics and Defense SAS
Original Assignee
Safran Electronics and Defense SAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Safran Electronics and Defense SAS filed Critical Safran Electronics and Defense SAS
Publication of EP4565932A1 publication Critical patent/EP4565932A1/fr
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
    • G05D1/80—Arrangements for reacting to or preventing system or operator failure
    • G05D1/87—Arrangements for reacting to or preventing system or operator failure using redundant control arrangements
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D2109/00—Types of controlled vehicles
    • G05D2109/20—Aircraft, e.g. drones

Definitions

  • the invention relates to the field of avionics embedded in an aircraft (in a drone for example).
  • the open category is for low risk aviation safety operations
  • the specific category is for moderate risk operations
  • the certified category is for high risk operations.
  • Each category lists acceptable types of flight and operations based on the characteristics of the drones and in particular their mass and the control systems that equip them.
  • the invention is particularly interesting for civil drones of the specific and certified categories - but it can be applied more generally to any type of drone, civil or military, and even to any type of aircraft.
  • Drones are used, for example, to monitor high-voltage lines.
  • ETSO European Technical Standard Order
  • ETSO 0145 for example, Airborne navigation sensors using the GPS, etc.
  • each calculator differ from each other, each given processing channel having its own specificity which differs from the specific specificities of the other processing channels.
  • the invention aims to provide avionics having a high level of safety, and a reduced mass, volume and cost.
  • a computer arranged to be on board an aircraft which comprises at least one flight control actuator, the computer comprising a housing in which are integrated at least three processing channels which are physically separated, each processing channel comprising: a first module arranged to acquire measurements produced by at least one sensor associated with said processing channel, to estimate navigation parameters from these measurements, and to verify a first validity of the navigation parameters by comparing them with those estimated by the first modules of the other processing channels;
  • a second module arranged to generate commands from a trajectory instruction of the aircraft and navigation parameters estimated by the first module of said processing channel and the first validity of which has been verified;
  • a third module arranged to verify a second validity of the commands by comparing them with those generated by the second modules of the other processing channels; the computer being arranged to transmit the commands, the second validity of which has been verified, to control the flight control actuator(s).
  • the sensor(s) associated with said processing channel comprise at least one external sensor located outside the computer, and/or at least one internal sensor integrated into said treatment route.
  • the external sensor(s) associated with said processing channel comprise at least one pressure sensor and a magnetometer, and in which the navigation parameters comprise an air speed, an altitude and a magnetic heading.
  • the internal sensor(s) associated with said processing channel comprise sensors integrated into a satellite positioning system and into an integrated inertial measurement unit.
  • the navigation parameters include a position and an attitude.
  • the calculator is arranged to, if the first validity of a navigation parameter estimated by the first module of said processing channel is not verified, no longer use a sensor which is associated with said processing channel and which was used to estimate said navigation parameter.
  • the processing channels include a current master channel, the computer being arranged to:
  • the verification of the second validity carried out by the third module includes a bit-by-bit comparison and a majority vote.
  • each processing channel of the calculator being connected to one of the measuring equipment;
  • each interface equipment being connected to the computer and said flight control actuator and being arranged to acquire a command issued by the computer, to transmit said command to said actuator flight control to control it, and to send rising signals to the computer representative of operation of said flight control actuator.
  • the rising signals comprise monitoring signals representative of a state of the flight control actuator.
  • the upstream signals include return signals which are used by the second modules of the processing channels of the computer to produce the commands.
  • Figure 1 represents an avionics system of a drone, which includes a computer, measuring equipment, interface equipment, and flight control actuators;
  • Figure 2 is a view similar to Figure 1, the calculator being shown in more detail;
  • Figure 3 represents interface equipment.
  • the architecture represented is in no way limiting and, in particular, the number of measuring equipment 4, the number of flight control actuators 5 and the number of interface equipment 6, which are effectively embarked in the drone 1, may be different.
  • the number of flight control actuators 5 is in reality probably greater and for example equal to six or eight.
  • the three measuring equipment 4 are identical, but independent and physically separated.
  • the three measuring devices 4 measure the same quantities.
  • the calculator 3 is connected to each measuring equipment 4 by digital links 7: 7a, 7b, 7c.
  • Each measuring equipment 4 integrates at least one external sensor 8, as well as a processing module 11.
  • external sensor we mean that the sensor(s) are not integrated into the computer 3.
  • Each measuring equipment 4 integrates at least one pressure sensor (in this case a barometer and a pitot probe) and a magnetometer.
  • the processing module 11 of each measuring equipment 4 digitizes the measurements produced by the external sensors 8 of said measuring equipment 4, and transmits these digitized “raw” measurements to the computer 3 via the corresponding digital link 7.
  • the measurements therefore travel, from the measuring equipment 4 to the computer 3, according to flows Fl, which are monodirectional and independent flows.
  • the flight control actuators 5 include for example one or more control actuators of the drone 1 and/or one or more motor actuators of the drone 1.
  • the actuators 5 are so-called COTS actuators (for Commercial Off-The-Shelf, that is to say they are available actuators which do not have particular characteristics to be integrated into the avionics system 2 described here) .
  • the computer 3 is connected to the actuator 5a via the interface equipment 6a and to the actuator 5b via the interface equipment 6b.
  • the computer 3 is connected to the interface equipment 6a and to the interface equipment 6b by two separate CAN buses 9 (CAN for Controller Area Network): a CAN bus 9a and a CAN bus 9b.
  • CAN buses 9 CAN for Controller Area Network
  • Each interface equipment 6 is connected to an actuator 5 by a CAN bus 10: the interface equipment 6a is connected to the actuator 5a by a CAN bus 10a, and the interface equipment 6b is connected to the actuator 5b via a CAN bus 10b.
  • the computer 3 comprises a housing in which at least three processing channels 12 are physically integrated separated.
  • the calculator 3 includes three processing channels 12a, 12b and 12c.
  • processing channel 12 is connected to measuring equipment 4 (distinct): processing channel 12a is connected to measuring equipment 4a via link 7a, processing channel 12b is connected to measuring equipment 4b by the link 7b and the processing channel 12c is connected to the measuring equipment 4c by the link 7c.
  • Each processing channel 12 comprises at least one internal sensor.
  • Each processing channel 12 here includes several internal sensors, which include sensors integrated into a satellite positioning system 14 (or GNSS, for Global Navigation Satelli te System) and in an inertial measurement unit 15 (or IMU, for Inertial Measurement Unit t), which are themselves integrated into said processing channel 12.
  • GNSS Global Navigation Satelli te System
  • IMU Inertial Measurement Unit t
  • Each processing channel 12 further comprises power supply components 16 which supply said processing channel 12 from two power sources 18 of the drone 1 to which the computer 3 is connected.
  • the two power sources 18 are generally batteries.
  • Each processing channel 12 further comprises one or more processing components 19, and for example any processor or microprocessor(s), general purpose(s) or specialized(s) (for example a DSP, for Digital Signal Processor, or a GPU, for Graphics Processing Unit t), a microcontroller, or a programmable logic circuit such as an FPGA (for Field Programmable Gate Arrays) or an ASIC (for Application Specific Integra ted Circui t).
  • processor or microprocessor(s) for example a DSP, for Digital Signal Processor, or a GPU, for Graphics Processing Unit t
  • a microcontroller for example a programmable logic circuit such as an FPGA (for Field Programmable Gate Arrays) or an ASIC (for Application Specific Integra ted Circui t).
  • Each processing channel 12 also includes one or more memories 20. At least one of these memories 20 forms a computer-readable recording medium, on which is recorded at least one computer program comprising instructions which enable the processing channel 12 to perform the functions described here. One of these memories 20 can be integrated into one of the processing components 19.
  • Each processing channel 12 further comprises a first module 21, a second module 22 and a third module 23.
  • modules 21, 22, 23 are here functional modules and are implemented in the processing component(s) 19 which have just been described. Modules 21, 22, 23 can be purely software modules, purely hardware modules, or partially software and partially hardware modules.
  • each processing channel 12 is associated with at least one external sensor 8 (here three) and/or (here and) with at least one internal sensor (which are integrated here in a GNSS 14 and in an IMU 15).
  • the first module 21 acquires the measurements produced by the sensors associated with said processing channel 12, that is to say by the external sensors 8 of the measuring equipment 4 to which said processing channel 12 is connected, and by the internal sensors 14, 15 integrated in said processing channel 12.
  • the first module 21 of said processing channel 12 then estimates, from these measurements, navigation parameters.
  • the navigation parameters here include an air speed, an altitude and a magnetic heading (of the drone 1), obtained from the measurements produced by the sensors external 8, and a position and an attitude (of the drone 1), obtained from the measurements produced by the satellite positioning system 14 and by the inertial measurement unit 15.
  • the first modules 21 of the three processing channels 12 then exchange the navigation parameters that they have each estimated from the sensors associated with their processing channel 12.
  • the navigation parameters travel between the first modules 21 according to flows F2, on an internal inter-channel bus 24.
  • Each first module 21 also transmits on the internal bus 24 monitoring signals from the internal 14, 15 and external sensors 8 associated with the processing channel 12 to which said first module 21 belongs.
  • the monitoring signals include information on the state of said sensor (for example normal state, failure, sensor connection problem, etc.).
  • the first module 21 of each processing channel 12 then verifies a first validity of the navigation parameters that it has estimated by comparing them with those estimated by the first modules 21 of the other processing channels 12.
  • the first module 21 of each processing channel 12 for each navigation parameter, compares the value of said navigation parameter that it has estimated with an average of the values of the same parameter used for navigation estimated by the first modules 21 of the navigation parameters. other treatment routes 12.
  • a first vote is therefore carried out by each first module 21 on the navigation parameters. If the value of the navigation parameter that said first module 21 has estimated is included in an interval [Ma; M+a], where M is the average and a is a tolerance margin, the first module 21 considers that the first validity of said navigation parameter is verified, that is to say that the navigation parameter that it has estimated is valid.
  • the first module 21 If the value of said navigation parameter is not included in this interval, the first module 21 considers that the first validity of said navigation parameter is not verified, that is to say that the navigation parameter it estimated is not valid.
  • the computer 3 For each processing channel 12, if the first validity of a navigation parameter estimated by the first module 21 of said processing channel 12 is not verified, the computer 3 no longer uses the sensor (external or internal) which is associated with said processing channel 12 and which was used to estimate said navigation parameter.
  • the computer 3 deactivates said processing channel 12.
  • Computer 3 therefore goes from a triplex configuration (with three channels) to a dual lane configuration (with two channels).
  • the external 8 and internal sensors 14, 15 associated with said processing channel 12 are no longer used.
  • Each processing channel 12 receives, via a digital link 25, a trajectory instruction Ct from the drone 1.
  • the trajectory setpoint Ct of the drone 1 is for example pre-recorded in the computer 3 or in other equipment of the drone 1, or is calculated in real time by the computer 3 or by other equipment of the drone 1, or is sent by a ground station, by another aircraft, etc.
  • Each processing channel 12 also receives, via a digital link 26, flight control monitoring signals, which are transmitted to the computer 3 by equipment which monitors the flight controls, or by functions internal to the computer 3.
  • the second module 22 of each processing channel 12 then generates commands from the trajectory setpoint Ct of the drone 1 and the navigation parameters estimated by the first module 21 of said processing channel 12, the first validity of which was verified.
  • Each second module 22 then transmits to all the third modules 23 the commands it has generated.
  • the commands therefore travel from the second modules 22 to the third modules 23 according to flows F3.
  • These data circulate on an internal bus 28 (an Ethernet bus in this case), inter-channel.
  • the third module 23 of said processing channel 12 verifies a second validity of the commands that the second module 22 of said processing channel 12 has generated, by comparing them with the commands generated by the second modules 22 of the other treatment routes 12.
  • the comparison carried out by the third module 23 is a bit-by-bit comparison between the data in order to detect, via a majority vote (2 out of 3), a faulty processing channel 12.
  • Bit-by-bit voting eliminates the need for threshold or average logic, and makes voting simpler and more robust. This method, however, requires synchronization of the processes between the different processing channels 12, in order to guarantee that the calculations are carried out simultaneously from the same data.
  • the third modules 23 send on the bus 28 a status of the validity of the command calculation on each of the channels 12.
  • Each processing channel 12a, 12b, 12c is connected to the interface equipment 6a by the CAN bus 9a and by the CAN bus 9b, and to the interface equipment 6b by the CAN bus 9a and the CAN bus 9b .
  • the use of the two CAN buses 9a and 9b makes it possible to introduce redundancy into the link.
  • the processing channels 12 include a current master channel.
  • the master channel is processing channel 12a.
  • the commands generated by said second module 22 of the processing channel 12a are transmitted on the CAN buses 9a and 9b to control the actuators 5a, 5b.
  • the computer 3 is connected to each actuator 5 via separate interface equipment 6.
  • each interface equipment 6 comprises a computer interface module 30, an actuator interface module 31, a power management module 32, a power supply and supervision module 33, a return module 34, and a processing and diagnostic module 35.
  • the power management module 32 is connected to the power source 18.
  • the power management module 32 receives power supply energy generated by the power source 18 and produces at least one supply voltage for power the interface equipment 6 and the actuator 5 to which the interface equipment 6 is connected.
  • the power management module 32 produces monitoring signals representative of a state of the power source 18, and transmits them to the processing and diagnostic module 35.
  • the power supply and supervision module 33 supplies the supply voltage V to the actuator 5 (more precisely, to the electric motor of the actuator 5).
  • the power supply and supervision module 33 monitors the consumption of the actuator 5.
  • the power supply and supervision module 33 attempts in particular to detect an anomaly in the current consumed (zero, too high, etc.).
  • the power supply and supervision module 33 produces monitoring signals monitoring representative of electrical consumption of the actuator 5, and transmits them to the processing and diagnostic module 35.
  • the computer interface module 30 is connected to the computer 3 via the CAN buses 9a and 9b, and receives the commands Cm issued by the current master channel (here channel 12a).
  • the processing and diagnostic module 35 acquires the Corn commands and, possibly, performs processing on the Corn commands. In particular, if necessary, the processing and diagnostic module 35 converts the Corn commands into a format compatible with the actuator 5. The processing and diagnostic module 35 also verifies that the data traveling on the two CAN buses 9a and 9b are very consistent.
  • the processing and diagnostic module 35 then transmits the Corn commands to the actuator 5 to control it, via the actuator interface module 31 and the bus 10.
  • the processing and diagnostic module 35 also acquires, via the actuator interface module 31 and the bus 10, monitoring signals, produced by the actuator 5, and representative of a state of the actuator 5.
  • the feedback module 34 acquires feedback signals Sr.
  • the feedback signals Sr are here analog signals, produced by the actuator 5 (that is to say by one or more sensors integrated in or connected to the actuator 5).
  • the actuator 5 comprises an electric motor and a member which is actuated by the electric motor.
  • the feedback signals Sr are representative of a position of the rotor of the electric motor and/or a position of the member actuated by the electric motor of the actuator 5.
  • the position feedback is independent of the command.
  • the feedback module 34 transmits the feedback signals Sr to the processing and diagnostic module 35.
  • the processing and diagnostic module 35 carries out processing and diagnostics relating to the operation of the actuator 5 and the power source 18, using the different monitoring signals produced by the different modules of the interface equipment 6 .
  • the processing and diagnostic module 35 goes back to the rising signal calculator Sm.
  • the Corn commands and the rising signals Sm travel according to flows F4 on the CAN buses 9a and 9b.
  • the rising signals Sm include monitoring signals representative of a state of the flight control actuator 5.
  • the upstream signals Sm also include the return signals Sr.
  • the monitoring signals are used by the computer 3 to deactivate the actuator 5 if it fails.
  • Calculator 3 takes this failure into account in the actuator control laws. Indeed, the control laws can adapt to the loss of part of the actuators (control allocation).
  • the return signals are used by the second modules 22 of the processing channels 12 of the computer 3 to implement the control laws and to produce the commands making it possible to control the actuators 5.
  • the computer 3 and the avionics system 2 which have just been described are particularly advantageous.
  • the computer 3 implements the following functions: I/O management 40 (input/output management), location 41, navigation 42, guidance 43, piloting 44, calculation of aerodynamic quantities 45, attitude and heading calculation 46, GNSS sensors 47 , inertial sensors 48, state machine 49 (for control laws), monitoring and voting 50.
  • I/O management 40 input/output management
  • location 41 navigation 42
  • guidance 43 guidance 43
  • piloting 44 calculation of aerodynamic quantities 45
  • attitude and heading calculation 46 GNSS sensors 47
  • inertial sensors 48 for control laws
  • monitoring and voting 50 for voting
  • the computer 3 and the avionics system 2 make it possible to obtain avionics with a high level of integrity and safety, in a mass, volume and cost adapted to civil professional drones.
  • the mass of avionics system 2 is typically less than 2 kilograms.
  • the integration, in a single box, of the three channels each including their position and attitude sensors, calculation means, power supply components, and input/output management, makes it possible to limit the mass of cabling between channels that are traditionally found on triplex architectures with three separate computers.
  • each measuring equipment 4 associated with each processing channel 12, integrating the static pressure, total pressure and magnetometer sensors, and communicating with the associated processing channel 12 via a digital link 7, makes it possible to free from generally used pneumatic fittings, which facilitates integration of system 2 into drone 1 and limits its mass.
  • each measuring equipment 4 In order to limit costs, each measuring equipment 4 only acquires the measurements, digitizes them and communicates them via the digital link 7. Calculations of useful quantities (air speed, atmospheric pressure) are carried out in each channel 12 of the computer 3, in order to commonize the critical calculation functions.
  • the various equipment of system 2 are less sensitive to icing.
  • Computer 3 implements a limited number of digital interfaces, which makes it possible to reduce the mass of the connectors.
  • interface equipment 6 communicating by digital link with the computer 3, makes it possible to manage the specific interfaces of the drone 1 in which the avionics are integrated.
  • This interface equipment 6 has the minimum communication and acquisition functions.
  • Each interface equipment 6 performs the monitoring functions of the actuators 5, which makes it possible to achieve the required safety levels on the functional flight control chain, while using COTS actuators (which do not necessarily integrate themselves). even monitoring devices).
  • Monitoring each actuator 5 by the associated interface equipment 6 makes it possible in particular to detect abnormal operation of the actuator 5 and therefore to deactivate it quickly, for example by cutting off its power supply. This prevents the abnormal operation of the actuator 5 from significantly or even dangerously degrading the operation of the drone 1.
  • the data reported by the interface equipment 6 makes it possible to implement Health Monitoring functions (which can be translated as predictive maintenance) on the actuators 5.
  • the comparison of the measurements carried out by the first modules 21 of the calculator 3 makes it possible to implement Health Monitoring functions on the external sensors 8 of the measuring equipment and on the internal sensors.
  • the invention is not necessarily implemented in a civilian drone, but can be applied to any type of drone.
  • the invention can also be implemented in an aircraft other than a drone, and for example in an aircraft certified according to the EASA CS-23 certification specification.
  • the calculator could include a number of channels other than three.
  • External sensors could be different from those described here, and are not necessarily grouped into measurement equipment. These could be individual sensors. The internal sensors could also be different.
  • the buses used between the computer and the interface equipment, and between the interface equipment and the actuators are CAN buses; it is of course possible to use different buses, and for example RS buses (RS485 for example) or buses using the PWM technique (for Pulse Width Modulation).

Landscapes

  • Engineering & Computer Science (AREA)
  • Aviation & Aerospace Engineering (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Remote Sensing (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Feedback Control In General (AREA)
  • Control Of Position, Course, Altitude, Or Attitude Of Moving Bodies (AREA)
  • Hardware Redundancy (AREA)
  • Position Fixing By Use Of Radio Waves (AREA)

Abstract

Calculateur (3) comprenant un boîtier dans lequel sont intégrées au moins trois voies de traitement (12a, 12b, 12c) comprenant chacune : - un premier module (21) agencé pour acquérir des mesures produites par au moins un capteur (8, 14, 15), pour estimer des paramètres de navigation, et pour vérifier la validité des paramètres de navigation en les comparant avec ceux estimés par les autres premiers modules; - un deuxième module (22) agencé pour générer des commandes à partir d'une consigne de trajectoire de l'aéronef et de paramètres de navigation valides; - un troisième module (23) agencé pour vérifier la validité des commandes en les comparant avec celles estimées par les autres deuxièmes modules.

Description

AVIONIQUE TRIPLEX HAUTE INTÉGRITÉ
L' invention concerne le domaine de 1 ' avionique embarquée dans un aéronef (dans un drone par exemple ) .
ARRIERE PLAN DE L' INVENTION
Une réglementation européenne , adoptée récemment , définit trois catégories pour les drones civils : catégorie ouverte, catégorie spécifique et catégorie certifiée .
La catégorie ouverte concerne les opérations à faible risque pour la sécurité aérienne , la catégorie spécifique concerne les opérations à risque modéré , et la catégorie certifiée concerne les opérations à risque élevé .
Chaque catégorie liste des types de vol et d' opérations acceptables en fonction de caractéristiques des drones et notamment de leur masse et des systèmes de contrôle qui les équipent .
L' invention est particulièrement intéressante pour les drones civils des catégories spécifique et certifiée - mais elle peut s ' appliquer plus généralement à tout type de drone , civil ou militaire , et même à tout type d' aéronef .
Actuellement , la maj orité des drones professionnels civils présentent une masse inférieure à 25kg et ne peuvent opérer que dans des zones très peu peuplées , à portée de vue et sous régime particulier . Les drones sont utilisés par exemple pour effectuer des surveillances des lignes à haute tension .
Il n' existe pas d' avionique de contrôle du vol présentant à la fois un niveau de safety (que l ' on peut traduire par « sécurité ») élevé , et une masse , un volume et un coût compatibles avec de tels drones , qui permettrait d' étendre le champ d' action et les fonctions mises en œuvre par ces drones, ce qui ouvrirait de nouvelles opportunités de marché .
Les solutions à disposition des dronistes sont des avioniques dont le niveau de safety n' est ni démontré ni même revendiqué . Ces avioniques présentent des niveaux de safety qui sont en réalité de plusieurs ordres de grandeur inférieurs à ce qui est nécessaire pour opérer au-delà de la portée visuelle et au-dessus de zones avec une densité de population plus importante .
On a donc, pour répondre aux contraintes de safety imposées , décidé de travailler sur un référentiel similaire à celui des aéronefs certifiés organisés en ATA (pour Air Transport Association) , afin d ' embarquer les fonctions nécessaires à la sécurité du vol .
Le fait d ' embarquer ces fonctions permet de bénéficier des preuves de certification associées à des normes telles que les ETSO (pour European Technical Standard Order, ETSO 0145 par exemple , Airborne navigation sensors using the GPS...) . Dans une telle architecture , les différentes fonctions , portées par des équipements différents , communiquent entre elles à l ' aide de bus numériques . Les avioniques disponibles sur le marché répondent maj oritairement à ce type d' architecture , qui sont communes auj ourd' hui en aéronautique .
Cependant , ces architectures en ATA sont clairement incompatibles avec les drones visés , du fait de leur masse , de leur volume et de leur coût .
On a donc envisagé d' utiliser des solutions existantes développées pour des avions conçus pour être conformes avec la spécification de certification EASA CS-23 , qui est applicable aux avions de catégorie normale , utilitaire , acrobatique ou navette . Les exigences de safety requises pour ce type d' avions sont moins importantes que celles atteintes par les architectures en ATA, et sont relativement proches des exigences requises pour les drones .
Cependant , à nouveau, ces solutions d' avionique existantes ne sont pas applicables aux drones visés , du fait de leur masse , de leur volume et de leur coût .
On comprend donc que les architectures avioniques existantes , permettant d' obtenir des niveaux de safety acceptables , ne sont pas compatibles avec les exigences de conception des drones , qui sont régies par les contraintes dites de « SWaP-C » (pour Size , Weight, Power and Cost ) . Ces avioniques existantes ne peuvent pas être embarquées dans des drones , et il n' existe à ce j our pas d' avionique présentant un niveau de safety acceptable dans un volume et des coûts compatibles avec un drone d' une masse inférieure à deux cents kilogrammes .
Les documents US20140027564A1 et US 2018 / 001994A1 divulguent des calculateurs qui comportent plusieurs voies de traitement .
Les voies de traitement de chaque calculateur diffèrent entre elles , chaque voie de traitement donnée ayant une spécificité propre qui diffère des spécificités propres des autres voies de traitement .
OBJET DE L' INVENTION
L' invention a pour but de fournir une avionique présentant un niveau de safety élevé , et une masse , un volume et un coût réduits .
RESUME DE L ' INVENTION
En vue de la réalisation de ce but , on propose un calculateur agencé pour être embarqué dans un aéronef qui comprend au moins un actionneur de commande de vol , le calculateur comprenant un boîtier dans lequel sont intégrées au moins trois voies de traitement qui sont physiquement séparées , chaque voie de traitement comprenant : un premier module agencé pour acquérir des mesures produites par au moins un capteur associé à ladite voie de traitement, pour estimer à partir de ces mesures des paramètres de navigation, et pour vérifier une première validité des paramètres de navigation en les comparant avec ceux estimés par les premiers modules des autres voies de traitement ;
- un deuxième module agencé pour générer des commandes à partir d' une consigne de traj ectoire de l ' aéronef et de paramètres de navigation estimés par le premier module de ladite voie de traitement et dont la première validité a été vérifiée ;
- un troisième module agencé pour vérifier une deuxième validité des commandes en les comparant avec celles générées par les deuxièmes modules des autres voies de traitement ; le calculateur étant agencé pour transmettre les commandes , dont la deuxième validité a été vérifiée , pour piloter le ou les actionneurs de commande de vol .
L' intégration, dans un seul calculateur, de trois voies de traitement physiquement séparées , associées chacune à au moins un capteur distinct, et comprenant chacune des modules qui calculent et vérifient les paramètres de navigation et les commandes , permet d' obtenir une avionique avec un haut niveau de safety et présentant une masse , un volume et un coût réduits .
On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement , le ou les capteurs associés à ladite voie de traitement comprennent au moins un capteur externe situé à l ' extérieur du calculateur, et/ou au moins un capteur interne intégré dans ladite voie de traitement .
On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement, le ou les capteurs externes associés à ladite voie de traitement comprennent au moins un capteur de pression et un magnétomètre , et dans lequel les paramètres de navigation comprennent une vitesse air, une altitude et un cap magnétique .
On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement, le ou les capteurs internes associés à ladite voie de traitement comprennent des capteurs intégrés dans un système de positionnement par satellites et dans une unité de mesure inertielle intégrés dans ladite voie de traitement , et dans lequel les paramètres de navigation comprennent une position et une attitude .
On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement, le calculateur est agencé pour, si la première validité d' un paramètre de navigation estimé par le premier module de ladite voie de traitement n' est pas vérifiée , ne plus utiliser un capteur qui est associé à ladite voie de traitement et qui a été utilisé pour estimer ledit paramètre de navigation .
On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement, le calculateur est agencé pour, si la première validité d' un paramètre de navigation estimé par le premier module de ladite voie de traitement n' est pas vérifiée , désactiver ladite voie de traitement .
On propose de plus un calculateur tel que précédemment décrit, dans lequel , à un temps T, les voies de traitement comprennent une voie maître actuelle, le calculateur étant agencé pour :
- si la deuxième validité des commandes générées par le deuxième module de la voie maître actuelle est vérifiée , utiliser lesdites commandes pour piloter le ou les actionneurs de commande de vol ;
- sinon, désactiver la voie maître actuelle et désigner une nouvelle voie maître .
On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement, la vérification de la deuxième validité réalisée par le troisième module comprend une comparaison bit à bit et un vote maj oritaire .
On propose de plus un système d' avionique comprenant :
- au moins trois équipements de mesure intégrant chacun au moins un capteur externe ;
- un calculateur tel que précédemment décrit , chaque voie de traitement du calculateur étant reliée à l ' un des équipements de mesure ;
- au moins un actionneur de commande de vol ;
- un équipement d' interface distinct associé à chaque actionneur de commande de vol , chaque équipement d' interface étant relié au calculateur et audit actionneur de commande de vol et étant agencé pour acquérir une commande émise par le calculateur, pour transmettre ladite commande audit actionneur de commande de vol pour le piloter, et pour remonter au calculateur des signaux montants représentatifs d' un fonctionnement dudit actionneur de commande de vol .
On propose de plus un système d' avionique tel que précédemment décrit, ledit équipement d' interface étant agencé pour être connecté à une source d' alimentation intégrée dans l'aéronef, et pour fournir une tension d'alimentation à l'actionneur de commande de vol pour 1' alimenter .
On propose de plus un système d' avionique tel que précédemment décrit, dans lequel les signaux montants comprennent des signaux de surveillance représentatifs d'un état de l'actionneur de commande de vol.
On propose de plus un système d' avionique tel que précédemment décrit, dans lequel les signaux montants comprennent des signaux de retour qui sont utilisés par les deuxièmes modules des voies de traitement du calculateur pour produire les commandes.
On propose de plus un système d' avionique tel que précédemment décrit, dans lequel les signaux de retour sont représentatifs d'une position d'un rotor d'un moteur électrique de l'actionneur de commande de vol et/ou d'une position d'un organe actionné par ledit moteur électrique.
On propose de plus un aéronef comprenant un système d' avionique tel que précédemment décrit.
On propose de plus un aéronef tel que précédemment décrit, l'aéronef étant un drone.
L'invention sera mieux comprise à la lumière de la description qui suit d'un mode de mise en œuvre particulier non limitatif de l'invention.
BREVE DESCRIPTION DES DESSINS
Il sera fait référence aux dessins annexés parmi lesquels :
[Fig. 1] la figure 1 représente un système d' avionique d'un drone, qui comprend un calculateur, des équipements de mesure, des équipements d'interface, et des actionneurs de commandes de vol ; [Fig. 2] la figure 2 est une vue similaire à la figure 1, le calculateur étant représenté de manière plus détaillée ; [Fig. 3] la figure 3 représente un équipement d'interface.
DESCRIPTION DETAILLEE DE L'INVENTION
En référence aux figures 1 et 2, un drone 1 intègre un système d' avionique 2 qui comprend un calculateur 3, au moins un équipement de mesure 4 (ici trois équipements de mesure 4a, 4b, 4c sont représentés) , au moins un actionneur de commande de vol 5 (ici deux actionneurs de commandes de vol 5a, 5b sont représentés) , et un équipement d'interface 6 pour chaque actionneur de commande de vol 5 (et donc ici deux équipements d'interface 6a, 6b) .
Bien sûr, l'architecture représentée n'est aucunement limitative et, en particulier, le nombre d'équipements de mesure 4, le nombre d' actionneurs de commandes de vol 5 et le nombre d'équipements d'interface 6, qui sont effectivement embarqués dans le drone 1, peuvent être différents. En particulier, le nombre d' actionneurs de commande de vol 5 est en réalité probablement plus important et par exemple égal à six ou huit.
Les trois équipements de mesure 4 sont identiques, mais indépendants et séparés physiquement. Les trois équipements de mesure 4 mesurent les mêmes grandeurs.
Le calculateur 3 est relié à chaque équipement de mesure 4 par des liaisons numériques 7 : 7a, 7b, 7c.
Chaque équipement de mesure 4 intègre au moins un capteur externe 8, ainsi qu'un module de traitement 11. Par « capteur externe », on entend que le ou les capteurs ne sont pas intégrés dans le calculateur 3. Chaque équipement de mesure 4 intègre au moins un capteur de pression (en l'occurrence un baromètre et une sonde pitot) et un magnétomètre . Le module de traitement 11 de chaque équipement de mesure 4 numérise les mesures produites par les capteurs externes 8 dudit équipement de mesure 4, et transmet ces mesures « brutes » numérisées au calculateur 3 via la liaison numérique 7 correspondante.
Les mesures cheminent donc, depuis les équipements de mesure 4 vers le calculateur 3, selon des flux Fl, qui sont des flux monodirectionnels et indépendants.
Les actionneurs de commandes de vol 5 (on parlera dans la suite d' « actionneurs » pour simplifier la description) comprennent par exemple un ou des actionneurs de gouvernes du drone 1 et/ou un ou des actionneurs de moteurs du drone 1. Les actionneurs 5 sont des actionneurs dits COTS (pour Commercial Off-The-Shelf, c'est-à-dire qu'il s'agit d' actionneurs disponibles qui ne présentent pas de caractéristiques particulières pour être intégrées dans le système d' avionique 2 décrit ici) .
Le calculateur 3 est connecté à l'actionneur 5a via l'équipement d'interface 6a et à l'actionneur 5b via l'équipement d'interface 6b.
Le calculateur 3 est connecté à l'équipement d'interface 6a et à l'équipement d'interface 6b par deux bus CAN 9 distincts (CAN pour Controller Area Network) : un bus CAN 9a et un bus CAN 9b.
Chaque équipement d' interface 6 est relié à un actionneur 5 par un bus CAN 10 : l'équipement d'interface 6a est relié à l'actionneur 5a par un bus CAN 10a, et l'équipement d'interface 6b est relié à l'actionneur 5b par un bus CAN 10b.
Le calculateur 3 comprend un boîtier dans lequel sont intégrées au moins trois voies de traitement 12 physiquement séparées . Ici , le calculateur 3 comprend trois voies de traitement 12a, 12b et 12c .
Chaque voie de traitement 12 est connectée à un équipement de mesure 4 (distinct ) : la voie de traitement 12a est connectée à l ' équipement de mesure 4a par la liaison 7a, la voie de traitement 12b est connectée à l ' équipement de mesure 4b par la liaison 7b et la voie de traitement 12c est connectée à l ' équipement de mesure 4c par la liaison 7c .
Chaque voie de traitement 12 comprend au moins un capteur interne . Chaque voie de traitement 12 comprend ici plusieurs capteurs internes , qui comprennent des capteurs intégrés dans un système de positionnement par satellites 14 (ou GNSS , pour Global Naviga tion Satelli te System) et dans une unité de mesure inertielle 15 (ou IMU, pour Inertial Measurement Uni t) , qui sont eux-mêmes intégrés dans ladite voie de traitement 12 .
Chaque voie de traitement 12 comprend de plus des composants d' alimentation 16 qui alimentent ladite voie de traitement 12 à partir de deux sources d' alimentation 18 du drone 1 à laquelle est connecté le calculateur 3 . Les deux sources d' alimentation 18 sont généralement des batteries .
Chaque voie de traitement 12 comprend en outre un ou plusieurs composants de traitement 19 , et par exemple un processeur ou un microprocesseur quelconque ( s ) , généraliste ( s ) ou spécialisé ( s ) (par exemple un DSP, pour Digi tal Signal Processor, ou un GPU, pour Graphics Processing Uni t) , un microcontrôleur, ou bien un circuit logique programmable tel qu' un FPGA (pour Field Programmable Gate Arrays) ou un ASIC (pour Application Specific Integra ted Circui t) .
Chaque voie de traitement 12 comprend aussi une ou des mémoires 20 . Au moins l ' une de ces mémoires 20 forme un support d'enregistrement lisible par ordinateur, sur lequel est enregistré au moins un programme d'ordinateur comprenant des instructions qui permettent à la voie de traitement 12 de réaliser les fonctions décrites ici. L'une de ces mémoires 20 peut être intégrée dans l'un des composants de traitement 19.
Chaque voie de traitement 12 comprend de plus un premier module 21, un deuxième module 22 et un troisième module 23.
Les modules 21, 22, 23 sont ici des modules fonctionnels et sont implémentés dans le ou les composants de traitement 19 qui viennent d'être décrits. Les modules 21, 22, 23 peuvent être des modules purement logiciels, purement matériels, ou bien partiellement logiciels et partiellement matériels .
On décrit maintenant plus précisément le fonctionnement du calculateur 3.
Comme on l'a vu, chaque voie de traitement 12 est associée à au moins un capteur externe 8 (ici à trois) et/ou (ici et) à au moins un capteur interne (qui sont intégrés ici dans un GNSS 14 et dans une IMU 15) .
Dans chaque voie de traitement 12, le premier module 21 acquiert les mesures produites par les capteurs associés à ladite voie de traitement 12, c'est-à-dire par les capteurs externes 8 de l'équipement de mesure 4 auquel ladite voie de traitement 12 est connectée, et par les capteurs internes 14, 15 intégrés dans ladite voie de traitement 12.
Le premier module 21 de ladite voie de traitement 12 estime alors, à partir de ces mesures, des paramètres de navigation .
Les paramètres de navigation comprennent ici une vitesse air, une altitude et un cap magnétique (du drone 1) , obtenus à partir des mesures produites par les capteurs externes 8 , et une position et une attitude (du drone 1 ) , obtenues à partir des mesures produites par le système de positionnement par satellites 14 et par l ' unité de mesure inertielle 15 .
Les premiers modules 21 des trois voies de traitement 12 s ' échangent alors les paramètres de navigation qu' ils ont chacun estimés à partir des capteurs associés à leur voie de traitement 12 .
Les paramètres de navigation cheminent entre les premiers modules 21 selon des flux F2 , sur un bus interne 24 inter-voies .
Chaque premier module 21 émet aussi sur le bus interne 24 des signaux de surveillance des capteurs internes 14 , 15 et externes 8 associés à la voie de traitement 12 à laquelle appartient ledit premier module 21 . Pour chaque capteur, les signaux de surveillance comprennent une information sur l ' état dudit capteur (par exemple état normal , panne , problème de connexion du capteur, etc . ) .
Le premier module 21 de chaque voie de traitement 12 vérifie alors une première validité des paramètres de navigation qu' il a estimés en les comparant avec ceux estimés par les premiers modules 21 des autres voies de traitement 12 .
Pour cela, le premier module 21 de chaque voie de traitement 12 , pour chaque paramètre de navigation, compare la valeur dudit paramètre de navigation qu' il a estimée avec une moyenne des valeurs du même paramètre utilisées de navigation estimées par les premiers modules 21 des autres voies de traitement 12 .
Un premier vote est donc réalisé par chaque premier module 21 sur les paramètres de navigation . Si la valeur du paramètre de navigation que ledit premier module 21 a estimée est incluse dans un intervalle [M-a ; M+a] , où M est la moyenne et a est une marge de tolérance, le premier module 21 considère que la première validité dudit paramètre de navigation est vérifiée , c' est- à-dire que le paramètre de navigation qu' il a estimé est valide .
Si la valeur dudit paramètre de navigation n' est pas incluse dans cet intervalle, le premier module 21 considère que la première validité dudit paramètre de navigation n' est pas vérifiée , c' est-à-dire que le paramètre de navigation qu' il a estimé n' est pas valide .
Pour chaque voie de traitement 12 , si la première validité d' un paramètre de navigation estimé par le premier module 21 de ladite voie de traitement 12 n' est pas vérifiée , le calculateur 3 n' utilise plus le capteur (externe ou interne) qui est associé à ladite voie de traitement 12 et qui a été utilisé pour estimer ledit paramètre de navigation .
Alternativement, pour chaque voie de traitement 12 , si la première validité d' un paramètre de navigation estimé par le premier module 21 de ladite voie de traitement 12 n' est pas vérifiée , le calculateur 3 désactive ladite voie de traitement 12 . Le calculateur 3 passe donc d' une configuration triplex (à trois voies ) à une configuration dual lane (à deux voies ) . Les capteurs externes 8 et internes 14 , 15 associés à ladite voie de traitement 12 ne sont plus utilisés .
Chaque voie de traitement 12 reçoit, via une liaison numérique 25 , une consigne de traj ectoire Ct du drone 1 .
La consigne de traj ectoire Ct du drone 1 est par exemple préenregistrée dans le calculateur 3 ou dans un autre équipement du drone 1 , ou bien est calculée en temps réel par le calculateur 3 ou par un autre équipement du drone 1 , ou bien est envoyée par une station sol, par un autre aéronef , etc .
Chaque voie de traitement 12 reçoit aussi , via une liaison numérique 26 , des signaux de surveillance des commandes de vol , qui sont transmis au calculateur 3 par des équipements qui surveillent les commandes de vol , ou par des fonctions internes au calculateur 3 .
Le deuxième module 22 de chaque voie de traitement 12 génère alors des commandes à partir de la consigne de traj ectoire Ct du drone 1 et des paramètres de navigation estimés par le premier module 21 de ladite voie de traitement 12 , dont la première validité a été vérifiée .
Pour chaque commande de vol , les commandes sont générées uniquement si les signaux de surveillance des commandes de vol indiquent que celle-ci fonctionne correctement .
Chaque deuxième module 22 transmet alors à tous les troisièmes modules 23 les commandes qu' il a générées .
Les commandes cheminent donc depuis les deuxièmes modules 22 vers les troisièmes modules 23 selon des flux F3 . Ces données circulent sur un bus interne 28 (un bus Ethernet en l ' occurrence ) , inter-voies .
Dans chaque voie de traitement 12 , le troisième module 23 de ladite voie de traitement 12 vérifie une deuxième validité des commandes que le deuxième module 22 de ladite voie de traitement 12 a générées , en les comparant avec les commandes générées par les deuxièmes modules 22 des autres voies de traitement 12 .
Pour chaque voie de traitement 12 , la comparaison réalisée par le troisième module 23 est une comparaison bit à bit entre les données afin de détecter, via un vote maj oritaire (2 sur 3 ) , une voie de traitement 12 défaillante . Le vote bit à bit permet de ne pas faire appel à une logique de seuils ou de moyennes , et rend le vote plus simple et plus robuste . Cette méthode nécessite cependant une synchronisation des processus entre les différentes voies de traitement 12 , afin de garantir que les calculs sont réalisés simultanément à partir des mêmes données .
Les troisièmes modules 23 envoient sur le bus 28 un état de la validité du calcul de commandes sur chacune des voies 12 .
Chaque troisième module 23 est relié à deux émetteurs- récepteurs CAN 27 , l ' un étant connecté au bus CAN 9a et l ' autre au bus CAN 9b . Les émetteurs-récepteurs CAN 27 convertissent les signaux produits par les troisièmes modules 23 en signaux compatibles avec un bus CAN .
Chaque voie de traitement 12a, 12b, 12c est reliée à l ' équipement d' interface 6a par le bus CAN 9a et par le bus CAN 9b, et à l ' équipement d' interface 6b par le bus CAN 9a et le bus CAN 9b . L' utilisation des deux bus CAN 9a et 9b permet d' introduire une redondance de la liaison .
Au temps T , les voies de traitement 12 comprennent une voie maître actuelle . Par exemple , au démarrage du calculateur 3 , la voie maître est la voie de traitement 12a .
Si la deuxième validité des commandes générées par le deuxième module 22 de la voie maître actuelle 12a est vérifiée, les commandes générées par ledit deuxième module 22 de la voie de traitement 12a sont émises sur les bus CAN 9a et 9b pour piloter les actionneurs 5a, 5b .
Par contre , si la deuxième validité des commandes générées par le deuxième module 22 de la voie maître actuelle 12a n' est vérifiée , c' est-à-dire si au moins une commande à destination d' au moins un actionneur n' est pas valide , le calculateur 3 désactive la voie maître actuelle et désigne une nouvelle voie maître. On peut par exemple prévoir que, lorsque la voie maître actuelle est la voie 12a et que les commandes produites par cette voie ne sont pas valides, la voie 12b devient la nouvelle voie maître. De même, après la voie 12b, c'est la voie 12c qui devient la nouvelle voie maître .
Comme on l'a vu, le calculateur 3 est connecté à chaque actionneur 5 via un équipement d'interface 6 distinct.
En référence à la figure 3, chaque équipement d'interface 6 comprend un module d'interface calculateur 30, un module d'interface actionneur 31, un module de gestion d'alimentation 32, un module d'alimentation et de supervision 33, un module de retour 34, et un module de traitement et de diagnostic 35.
Le module de gestion d'alimentation 32 est connecté à la source d'alimentation 18. Le module de gestion d'alimentation 32 reçoit une énergie d'alimentation générée par la source d'alimentation 18 et produit au moins une tension d'alimentation pour alimenter l'équipement d'interface 6 et l' actionneur 5 auquel est connecté l'équipement d'interface 6. Le module de gestion d'alimentation 32 produit des signaux de surveillance représentatifs d'un état de la source d'alimentation 18, et les transmet au module de traitement et diagnostic 35.
Le module d'alimentation et de supervision 33 fournit la tension d'alimentation V à l' actionneur 5 (plus précisément, au moteur électrique de l' actionneur 5) . Le module d'alimentation et de supervision 33 surveille la consommation de l' actionneur 5. Le module d'alimentation et de supervision 33 tente notamment de détecter une anomalie dans le courant consommé (nul, trop élevé, etc.) . Le module d'alimentation et de supervision 33 produit des signaux de surveillance représentatifs d'une consommation électrique de l'actionneur 5, et les transmet au module de traitement et de diagnostic 35.
Le module d'interface calculateur 30 est relié au calculateur 3 via les bus CAN 9a et 9b, et reçoit les commandes Cm émises par la voie maître actuelle (ici la voie 12a) .
Le module de traitement et de diagnostic 35 acquiert les commandes Corn et, possiblement, réalise des traitements sur les commandes Corn. En particulier, si nécessaire, le module de traitement et de diagnostic 35 convertit les commandes Corn dans un format compatible avec l'actionneur 5. Le module de traitement et de diagnostic 35 vérifie aussi que les données cheminant sur les deux bus CAN 9a et 9b sont bien cohérentes.
Le module de traitement et de diagnostic 35 transmet alors les commandes Corn à l'actionneur 5 pour le piloter, via le module d'interface actionneur 31 et le bus 10.
Le module de traitement et de diagnostic 35 acquiert aussi, via le module d'interface actionneur 31 et le bus 10, des signaux de surveillance, produits par l'actionneur 5, et représentatifs d'un état de l'actionneur 5.
Le module de retour 34 acquiert des signaux de retour Sr. Les signaux de retour Sr sont ici des signaux analogiques, produits par l'actionneur 5 (c'est-à-dire par un ou des capteurs intégrés dans ou reliés à l'actionneur 5) .
L'actionneur 5 comprend un moteur électrique et un organe qui est actionné par le moteur électrique.
Les signaux de retour Sr sont représentatifs d'une position du rotor du moteur électrique et/ou d'une position de l ' organe actionné par le moteur électrique de l' actionneur 5 . Le retour de position est indépendant de la commande .
Le module de retour 34 transmet les signaux de retour Sr au module de traitement et diagnostic 35 .
Le module de traitement et diagnostic 35 réalise des traitements et des diagnostics relatifs au fonctionnement de l ' actionneur 5 et de la source d' alimentation 18 , en utilisant les différents signaux de surveillance produits par les différents modules de l ' équipement d' interface 6 .
Le module de traitement et diagnostic 35 remonte au calculateur des signaux montants Sm .
Les commandes Corn et les signaux montants Sm cheminent selon des flux F4 sur les bus CAN 9a et 9b .
Les signaux montants Sm comprennent des signaux de surveillance représentatifs d' un état de l ' actionneur de commande de vol 5 .
Les signaux montants Sm comprennent aussi les signaux de retour Sr .
Les signaux de surveillance sont utilisés par le calculateur 3 pour désactiver l ' actionneur 5 si celui-ci est défaillant . Le calculateur 3 prend en compte cette défaillance dans les lois de contrôle des actionneurs . En effet, les lois de contrôle peuvent s ' adapter à la perte d' une partie des actionneurs (allocation de contrôle) .
Les signaux de retour sont utilisés par les deuxièmes modules 22 des voies de traitement 12 du calculateur 3 pour mettre en œuvre les lois de contrôle et pour produire les commandes permettant de piloter les actionneurs 5 .
On note que les signaux de retour pourraient être différents . Dans le cas où le pilotage de l ' actionneur 5 est réalisé via un asservissement sur une autre grandeur ( couple , courant, etc.) , les signaux de retour sont alors représentatifs de cette autre grandeur.
Le calculateur 3 et le système d' avionique 2 qui viennent d'être décrits sont particulièrement avantageux.
Le calculateur 3 met en œuvre les fonctions suivantes : gestion I/O 40 (gestion des entrées/sorties) , localisation 41, navigation 42, guidage 43, pilotage 44, calcul des grandeurs aérodynamiques 45, calcul attitudes et cap 46, capteurs GNSS 47, capteurs inertiels 48, machine d'état 49 (pour les lois de commandes) , surveillance et vote 50.
Le calculateur 3 et le système d' avionique 2 permettent d' obtenir une avionique à haut niveau d' intégrité et de sûreté, dans une masse, un volume et un coût adaptés aux drones professionnels civils. La masse du système avionique 2 est typiquement inférieure à 2 kilogrammes.
L'intégration, dans un seul boîtier, des trois voies comprenant chacune leurs capteurs de position et d'attitude, des moyens de calculs, des composants d'alimentations, et de la gestion des entrées/sorties, permet de limiter la masse de câblage entre voies que l'on trouve traditionnellement sur des architectures triplex avec trois calculateurs séparés .
La mise en œuvre de logiques de vote de type triplex distribué, sur les paramètres de navigation et sur les commandes, permet d'assurer que les commandes fournies sont valides .
L'utilisation d'un équipement de mesure 4 distinct associé à chaque voie de traitement 12, intégrant les capteurs de pression statique, pression totale et magnétomètre, et communiquant avec la voie de traitement 12 associée via une liaison numérique 7, permet de s'affranchir des raccords pneumatiques utilisés généralement, ce qui facilite d'intégration du système 2 dans le drone 1 et limite la masse de celui-ci. Afin de limiter les coûts, chaque équipement de mesure 4 réalise uniquement l'acquisition des mesures, la numérisation de celles-ci et la communication de celles-ci via la liaison numérique 7. Les calculs des grandeurs utiles (vitesse air, pression atmosphérique) sont réalisés dans chaque voie 12 du calculateur 3, afin de communaliser les fonctions de calcul critiques. De plus, en limitant la longueur des pneumatiques, en plaçant l'électronique au plus près, les différents équipements du système 2 sont moins sensibles au givrage.
Le calculateur 3 met en œuvre un nombre limité d'interfaces numériques, ce qui permet de réduire la masse des connecteurs.
L'utilisation d'équipements d'interface 6, communiquant par liaison numérique avec le calculateur 3, permet de gérer les interfaces spécifiques du drone 1 dans lequel l'avionique est intégrée. Ces équipements d'interface 6 possèdent les fonctions minimales de communication et d'acquisition.
Chaque équipement d'interface 6 effectue les fonctions de surveillance des actionneurs 5, ce qui permet d'atteindre les niveaux de safety requis sur la chaine fonctionnelle de contrôle du vol, tout en utilisant des actionneurs COTS (qui n'intègrent pas nécessairement eux-mêmes des dispositifs de surveillance) .
La surveillance de chaque actionneur 5 par l'équipement d'interface 6 associé permet notamment de détecter un fonctionnement anormal de l' actionneur 5 et donc de désactiver celui-ci rapidement, par exemple en coupant son alimentation. On évite ainsi que le fonctionnement anormal de l' actionneur 5 puisse dégrader de manière importante voire dangereuse le fonctionnement du drone 1. Les données remontées par les équipements d' interface 6 permettent de mettre en œuvre des fonctions de Health Monitoring (que l'on peut traduire par maintenance prédictive) sur les actionneurs 5. De même, la comparaison des mesures réalisées par les premiers modules 21 du calculateur 3 permet de mettre en œuvre des fonctions de Health Monitoring sur les capteurs externes 8 des équipements de mesure et sur les capteurs internes.
Bien entendu, l'invention n'est pas limitée au mode de réalisation décrit mais englobe toute variante entrant dans le champ de l'invention telle que définie par les revendications .
L'invention n'est pas nécessairement mise en œuvre dans un drone civil, mais peut s'appliquer à tout type de drone.
L'invention peut aussi être mise en œuvre dans un aéronef autre qu'un drone, et par exemple dans un aéronef certifié selon la spécification de certification EASA CS-23.
Le calculateur pourrait comprendre un nombre de voies différent de trois.
Les capteurs externes pourraient être différents de ceux décrits ici, et ne sont pas nécessairement regroupés dans des équipements de mesure. Il pourrait s'agir de capteurs individuels. Les capteurs internes pourraient eux aussi être différents.
Dans le mode de réalisation décrit, les bus utilisés entre le calculateur et les équipements d'interface, et entre les équipements d'interface et les actionneurs, sont des bus CAN ; il est bien sûr possible d'utiliser des bus différents, et par exemple des bus RS (RS485 par exemple) ou des bus utilisant la technique PWM (pour Pulse Width Modulation, ou modulation de largeur d'impulsion) .

Claims

REVENDICATIONS
1 . Calculateur ( 3 ) agencé pour être embarqué dans un aéronef ( 1 ) qui intègre au moins un actionneur de commande de vol ( 5a, 5b) , le calculateur comprenant un boîtier dans lequel sont intégrées au moins trois voies de traitement ( 12a, 12b, 12c) qui sont physiquement séparées , caractérisé en ce que chaque voie de traitement comprend :
- un premier module (21 ) agencé pour acquérir des mesures produites par au moins un capteur ( 8 , 14 , 15 ) associé à ladite voie de traitement, pour estimer à partir de ces mesures des paramètres de navigation, et pour vérifier une première validité des paramètres de navigation en les comparant avec ceux estimés par les premiers modules des autres voies de traitement ;
- un deuxième module (22 ) agencé pour générer des commandes à partir d' une consigne de traj ectoire de l ' aéronef et de paramètres de navigation estimés par le premier module de ladite voie de traitement et dont la première validité a été vérifiée ;
- un troisième module (23 ) agencé pour vérifier une deuxième validité des commandes en les comparant avec celles générées par les deuxièmes modules des autres voies de traitement ; le calculateur étant agencé pour transmettre les commandes , dont la deuxième validité a été vérifiée , pour piloter le ou les actionneurs de commande de vol ( 5 ) ; le calculateur étant agencé de manière qu' à un temps T, les voies de traitement ( 12 ) comprennent une voie maître actuelle ( 12a) , le calculateur ( 3 ) étant agencé pour que :
- si la deuxième validité des commandes générées par le deuxième module ( 22 ) de la voie maître actuelle est vérifiée , utiliser lesdites commandes pour piloter le ou les actionneurs de commande de vol (5) ;
- sinon, désactiver la voie maître actuelle et désigner une nouvelle voie maître.
2. Calculateur selon la revendication 1, dans lequel, pour chaque voie de traitement (12) , le ou les capteurs associés à ladite voie de traitement comprennent au moins un capteur externe (8) situé à l'extérieur du calculateur, et/ou au moins un capteur interne intégré dans ladite voie de traitement .
3. Calculateur selon la revendication 2, dans lequel, pour chaque voie de traitement (12) , le ou les capteurs externes (8) associés à ladite voie de traitement comprennent au moins un capteur de pression et un magnétomètre, et dans lequel les paramètres de navigation comprennent une vitesse air, une altitude et un cap magnétique.
4. Calculateur selon l'une des revendications 2 ou 3, dans lequel, pour chaque voie de traitement (12) , le ou les capteurs internes associés à ladite voie de traitement comprennent des capteurs intégrés dans un système de positionnement par satellites (14) et dans une unité de mesure inertielle (15) intégrés dans ladite voie de traitement, et dans lequel les paramètres de navigation comprennent une position et une attitude.
5. Calculateur selon l'une des revendications 1 à 4, dans lequel, pour chaque voie de traitement (12) , le calculateur (3) est agencé pour, si la première validité d'un paramètre de navigation estimé par le premier module (21) de ladite voie de traitement n'est pas vérifiée, ne plus utiliser un capteur qui est associé à ladite voie de traitement et qui a été utilisé pour estimer ledit paramètre de navigation.
6. Calculateur selon l'une des revendications 2 à 4, dans lequel, pour chaque voie de traitement (12) , le calculateur (3) est agencé pour, si la première validité d'un paramètre de navigation estimé par le premier module (21) de ladite voie de traitement (12) n'est pas vérifiée, désactiver ladite voie de traitement.
7. Calculateur selon l'une des revendications 1 à 6, dans lequel, pour chaque voie de traitement (12) , la vérification de la deuxième validité réalisée par le troisième module (23) comprend une comparaison bit à bit et un vote maj oritaire .
8. Système d' avionique (2) comprenant :
- au moins trois équipements de mesure (4) intégrant chacun au moins un capteur externe (8) ;
- un calculateur (3) selon l'une des revendications 1 à 7, chaque voie de traitement (12) du calculateur étant reliée à l'un des équipements de mesure ;
- au moins un actionneur de commande de vol (5) ;
- un équipement d'interface (6) distinct associé à chaque actionneur de commande de vol, chaque équipement d'interface (6) étant relié au calculateur (3) et audit actionneur de commande de vol (5) et étant agencé pour acquérir une commande émise par le calculateur (3) , pour transmettre ladite commande audit actionneur de commande de vol pour le piloter, et pour remonter au calculateur des signaux montants représentatifs d'un fonctionnement dudit actionneur de commande de vol.
9. Système d'avionique selon la revendication 8, ledit équipement d'interface (6) étant agencé pour être connecté à une source d'alimentation (18) intégrée dans l'aéronef (1) , et pour fournir une tension d'alimentation (V) à l'actionneur de commande de vol (5) pour l'alimenter.
10. Système d'avionique selon l'une des revendications 8 ou
9, dans lequel les signaux montants comprennent des signaux de surveillance représentatifs d'un état de l'actionneur de commande de vol .
11. Système d'avionique selon l'une des revendications 8 à
10, dans lequel les signaux montants comprennent des signaux de retour qui sont utilisés par les deuxièmes modules (22) des voies de traitement (12) du calculateur (3) pour produire les commandes.
12. Système d'avionique selon la revendication 11, dans lequel les signaux de retour (Sr) sont représentatifs d'une position d'un rotor d'un moteur électrique de l'actionneur de commande de vol et/ou d'une position d'un organe actionné par ledit moteur électrique.
13. Aéronef (1) comprenant un système d'avionique (2) selon l'une des revendications 8 à 12.
14. Aéronef selon la revendication 13, l'aéronef étant un drone .
EP23748792.1A 2022-08-04 2023-07-31 Avionique triplex haute integrite Pending EP4565932A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR2208104A FR3138708A1 (fr) 2022-08-04 2022-08-04 Avionique triplex haute intégrité
PCT/EP2023/071125 WO2024028250A1 (fr) 2022-08-04 2023-07-31 Avionique triplex haute integrite

Publications (1)

Publication Number Publication Date
EP4565932A1 true EP4565932A1 (fr) 2025-06-11

Family

ID=84569291

Family Applications (1)

Application Number Title Priority Date Filing Date
EP23748792.1A Pending EP4565932A1 (fr) 2022-08-04 2023-07-31 Avionique triplex haute integrite

Country Status (4)

Country Link
US (1) US20260044159A1 (fr)
EP (1) EP4565932A1 (fr)
FR (1) FR3138708A1 (fr)
WO (1) WO2024028250A1 (fr)

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE3279929D1 (en) * 1982-06-16 1989-10-12 Boeing Co Autopilot flight director system
US10843796B2 (en) * 2012-02-10 2020-11-24 Merlin Technology, Inc. Rotorcraft advanced autopilot control arrangement and methods
JP6567652B2 (ja) * 2014-05-01 2019-08-28 アラカイ テクノロジーズ コーポレーション 個人航空輸送および有人または無人動作のためのクリーン燃料の電気マルチローター航空機

Also Published As

Publication number Publication date
US20260044159A1 (en) 2026-02-12
FR3138708A1 (fr) 2024-02-09
WO2024028250A1 (fr) 2024-02-08

Similar Documents

Publication Publication Date Title
EP3667438B1 (fr) Système de commande de vol d'un aéronef
FR3061344A1 (fr) Systeme d'aide au pilotage d'aeronef
CA2918640C (fr) Dispositif de surveillance d'un systeme de transmission de puissance d'un aeronef, un aeronef muni de ce dispositif et le procede utilise
EP3179328B1 (fr) Procédé et dispositif de pilotage d'un aéronef
FR3041197A1 (fr) Calculateur avionique avec module de routage integre, reseau de communication et installation de communication associes, et aeronef comprenant une telle installation de communication
WO2022180196A1 (fr) Système électronique de détection et de gestion d'un dysfonctionnement dans le comportement en vol d'un drone, procédé et programme d'ordinateur associés
FR2911972A1 (fr) Procede de surveillance de moteurs d'avion
FR2878953A1 (fr) Architecture d'un systeme embarque d'aide au pilotage d'un aeronef
EP2539786A1 (fr) Systeme de detection et de localisation de pannes et moteur comportant un tel systeme
FR3067491A1 (fr) Dispositif, systeme et procede d'assistance a un pilote d'un aeronef
FR3044758A1 (fr) Ensemble de gestion de vol d’un aeronef et procede de surveillance de consignes de guidage d’un tel ensemble.
FR2990725A1 (fr) Procede de surveillance d'une degradation d'un dispositif embarque d'un aeronef avec determination automatique d'un seuil de decision
CA3158841A1 (fr) Procede d'aide au pilotage d'un giravion en hautes altitudes grace a l'apport d'une puissance mecanique provenant d'une installation motrice electrique
FR3069947A1 (fr) Procede et dispositif de surveillance de la position d'un aeronef suiveur par rapport a un aeronef meneur lors d'un vol en formation.
EP2734719A1 (fr) Systeme de controle et de surveillance d'un aeronef
FR3029312A1 (fr) Procede de verification d'integrite de transmission de donnees entre une unite amont principale et une unite aval principale
EP1205732A2 (fr) Centrale inertielle de navigation comportant un récepteur GPS intégré
CA3145495A1 (fr) Systeme de pilotage d'aeronef, aeronef et procede associes
WO2024028250A1 (fr) Avionique triplex haute integrite
WO2021224185A1 (fr) Procédé de contrôle d'un robot-aéronef et système de contrôle correspondant
WO2021023632A1 (fr) Aeronef comprenant un dispositif de secours en cas de panne
CA2928844A1 (fr) Procede et dispositif de gestion de pannes avec un systeme de gestion d'un turbomoteur d'un aeronef
FR3083881A1 (fr) Systeme de suivi d'un etat de fonctionnement d'un aeronef eet procede associe
FR2967647A1 (fr) Procede et systeme de sauvegarde de donnees de fonctionnement d'un vehicule
Castaldi et al. Nonlinear actuator fault detection and isolation for a general aviation aircraft

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20250211

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC ME MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20260123