FR2643995A1 - Dispositif calculateur pour des systemes de commande - Google Patents
Dispositif calculateur pour des systemes de commande Download PDFInfo
- Publication number
- FR2643995A1 FR2643995A1 FR9002843A FR9002843A FR2643995A1 FR 2643995 A1 FR2643995 A1 FR 2643995A1 FR 9002843 A FR9002843 A FR 9002843A FR 9002843 A FR9002843 A FR 9002843A FR 2643995 A1 FR2643995 A1 FR 2643995A1
- Authority
- FR
- France
- Prior art keywords
- computers
- input
- pair
- function
- output
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000012544 monitoring process Methods 0.000 claims abstract description 10
- 238000010276 construction Methods 0.000 claims description 5
- 230000008030 elimination Effects 0.000 claims description 2
- 238000003379 elimination reaction Methods 0.000 claims description 2
- 230000009849 deactivation Effects 0.000 claims 1
- RZVHIXYEVGDQDX-UHFFFAOYSA-N 9,10-anthraquinone Chemical compound C1=CC=C2C(=O)C3=CC=CC=C3C(=O)C2=C1 RZVHIXYEVGDQDX-UHFFFAOYSA-N 0.000 description 32
- 230000010355 oscillation Effects 0.000 description 4
- 238000013016 damping Methods 0.000 description 2
- 239000000463 material Substances 0.000 description 2
- 230000001133 acceleration Effects 0.000 description 1
- 238000010586 diagram Methods 0.000 description 1
- 239000000446 fuel Substances 0.000 description 1
- 238000005259 measurement Methods 0.000 description 1
- 230000002441 reversible effect Effects 0.000 description 1
- 238000005096 rolling process Methods 0.000 description 1
- 230000009897 systematic effect Effects 0.000 description 1
Classifications
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
- G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
- G05D1/0055—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots with safety arrangements
- G05D1/0077—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots with safety arrangements using redundant signals or controls
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
Landscapes
- Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Theoretical Computer Science (AREA)
- Quality & Reliability (AREA)
- General Engineering & Computer Science (AREA)
- Aviation & Aerospace Engineering (AREA)
- Radar, Positioning & Navigation (AREA)
- Remote Sensing (AREA)
- Automation & Control Theory (AREA)
- Safety Devices In Control Systems (AREA)
Abstract
Une pluralité de calculateurs est prévue en disposition redondante. Des entrées d'unités d'entrée-sortie sont appliquées aux calculateurs, des calculateurs défaillants étant éliminables par surveillance réciproques des calculateurs. Les unités d'entrée-sortie 116, 118, 120, 122, 124, 126 sont formées comme des composants séparés des calculateurs. Au moins une partie des unités d'entrée-sortie 116, 118, 120, 122, 124, 126 sont directement reliées à plus d'un calculateur 98, 100, 102, 104. Un calculateur 98 est relié à plusieurs unités d'entrée-sortie 116, 118, 120. Ainsi, un haut degré de redondance peut être obtenu avec un minimum de dépenses en matériel.
Description
26 4399S
Dispositif calculateur pour des systèmes de commande Dans un système de commande de vol un haut degré de fiabilité est exigé. En cas de défaillance d'un composant le système de commande de vol doit rester capable de fonctionner. Pour quelques fonctions du système de commande de vol qui sont de première nécessité pour la capacité de vol de l'avion, il est exigé que la capacité de fonctionnement du système de commande de vol soit assurée même après défaillance de deux ou trois composants. Pour cette raison des composants dans de tels systèmes de commande de vol
sont multipliés. On parle d'une disposition redondante.
Des problèmes similaires existent également dans d'autres systèmes de commande dans lesquels la défaillance du système de commande peut avoir de graves conséquences, par exemple dans des robots ou des
centrales nucléaires.
Cette exigence de la capacité de fonctionnement après défaillance d'un composant vaut également pour des calculateurs utilisés dans un tel système de commande. Un problème particulier apparait cependant dans des calculateurs opérant numériquement. Ces calculateurs opèrent selon un programme relativement compliqué. On ne peut exclure qu'un tel programme présente des erreurs qui n'apparaissent que, dans une combinaison très présise d'états. Il n'est pas possible de prouver qu'un programme est sans fautes. La mise au point d'un programme dans tous les états imaginables est aussi impossible que par exemple jouer d'avance tous les déroulements de jeu possible d'un jeu d'échecs. Si on prévoyait alors deux calculateurs du même mode de construction (matériel) avec des mêmes programmes de manière redondante, une erreur conditliorinée par une erreur de programme appara]trait simultanément dans les deux calculateurs. Une telle erreur ne seraitpsaperçue, malgré la disposition
redondante des calculateurs.
Ce problème est. résolu par le fait que deux calculateurs se surveillant réciproquement sont programmés indépendamment l'un de l'autre, conventionnellement avec des langages de programmation différents et par des groupes de travail de programmation différents. Comme les opérations demandées peuvent être effectuées de manières très différentes par des programmes, et en plus les langages de programmation différents conditionnent des programmations différentes, la probabilité qu'une erreur de logiciel apparaisse simultanément dans les deux calculateurs est extrêmement faible. En plus, d'autres paires de calculateurs se surveillant réciproquement sont prévues, qui diffèrent des calculateurs' mentionnés ci-dessus également dans la mode de construction (matériel) et qui sont également programmés indépendamment de ceux-ci et l'un de l'autre. Dans des dispositions de calculateurs redondantes connues une unité d'entrée-sortie est associé à chaque
calculateur. Celle-ci forme une partie du calculateur.
Elle sert à éditer des données obtenues par exemple par des détecteurs, et à amener des données de sortie du calculateur également conformément éditées par exemple à des servomoteurs (actionneurs). Les deuxcalculateurs de chaque paire se surveillent réciproquement. En cas d'erreur de l'un des calculateurs, si les données de sortie ne coincident pas, toute la paire.est mise hors circuit. Il existe plusieurs de ces paires. En cas de défaillance d'une paire, on renverse sur une autre paire. On peut par exemple prévoir pour une certaine fonction en tout quatre paires de calculateurs. En cas de défaillance d'une première paire de calculateurs, un renversement est effectué sur une seconde paire, en cas de défaillance de la seconde paire un renversement sur une troisième paire et, si la troisième paire est également défaillante, un renversement sur la quatrième et dernière paire. Un tel système "survit" alorsà trois défaillances et reste capable de fonctionner. Une quatrième défaillance mettrait le système hors fonctionnement. Ainsi, en tout huit calculateurs avec une unité d'entrée-sortie chacun, sont nécessaires pour
cette fonction.
Une défaillance d'un calculateur constatée peut être provoquée par un défaut ou une erreur de
calculateur ou par un défaut de l'unité d' entrée-
sortie. Ceci ne peut être distingué dans les systèmes de commande connus, par exemple des système de commande de vol. Des exigences différement élevées quant à la fiabilité sont posées à des fonctions différentes du système de commande. Quelques fonctions doivent également être maintenues après défaillance de plusieurs composants, par exemple plusieurs calculateurs. Pour d'autres fonctions un degré plus faible de redondance est suffisant. Ainsi, dans uns système de commande de vol l'auto-pilotage, inclusivement le réglage de l'orientation de l'avion et l'amortissement d'oscillations d'orientation de l'avion ainsi que le réglage et la surveillance des servomoteurs, est une fonction qui est de première nécessité pour la capacité de vol de l'avion. Pour cet auto-pilotage, il faut qu'un calculateur soit capable de fonctionner même en cas de défaillance de trois calculateurs ou paires de calculateuers. D'autres fonctions telle que la conduite de vol, c'est à dire l'indication du cap, de la vitesse de montée ou de descente sont généralement moins vitales pour la capacité de vol de l'avion. Elles peuvent en cas d'urgence être assumées par le pilote et n'exigent
ainsi, le cas échéant, pas de redondance.
Conventionnellement, des calculateurs pour de telles fonctions sont également présentes de manière redondante. Il résulte alors des dépenses considérables pour obtenir la fiabilité nécessaire. Ceci augmente l'encombrement, le poids et les coûts du système de commande de vol. Révélation de l'invention L'invention a pour but de réduire les dépenses nécessaires pour un certain degré de fiabilité dans une disposition de calculateur redondante pour des systèmes
de commande de l'espèce définie ci-dessus.
Selon l'invention, ce problème est résolu par le fait que (b) les unités d'entrée-sortie sont formées comme composants séparés des calculateurs, et (c) au moins une partie des unités d'entrée-sortie
est directement liée à plus d'un calculateur.
Les signaux obtenus par les unités d'entrée-sortie peuvent alors -être séléctivement traités par l'un ou l'autre calculateur. Par cela, une augmentation de la redondance peut être obtenue sans augmentation des
dépenses de matériel.
Avantageusement, en plus au minimum un calculateur est relié à plusieurs unités d'entrée-sortie. Le calculateur peut alors surveiller la fonction des unités d'entrée-sortie et mettre hors circuit les
unités d'entrée-sortie défaillantes.
Une solution particulièrement avantageuse est constituée par le fait que (a) au moins une première paire et une seconde paire de calculateurs sont prévues, auxquelles sont
appliquées les mêmes entrées -d'unités d'entrée-
sortie, un renversement sur les-calculateurs (106,108) de la seconde paire étant effectué en cas de déviation des sorties de l'un et de l'autre calculateur (98,100) de la première paire, (b) trois unités d'entrée-sortie séparées des calculateurs sont associées aux deux paires de calculateurs, (c) chaque unité d'entrée-sortie est reliée à chacun des calculateurs, et (d) les calculateurs sont adaptés à la
reconnaissance et l'élimination d'une unité d'entrée-
sortie, dont les signaux diffèrent notablement des deux
autres unités d'entrée-sortie.
Les unités d'entrée-sortie sont ainsi séparées des calculateurs. Ceci rend possible d'associer les trois unités d'entrée-sortie simultanément aussi bien à l'une des paires de calculateurs premièrement prête à fonctionner, qu'à l'autre paire de calculateurs disponible. En cas de défaillance de l'une des unités d'entrée-sortie les calculateurs peuvent déterminer par considération multiple, laquelle des trois unités d'entrée- sortie est défaillante,et mettre celle-ci hors circuit. En présence de trois unités entrée-sortie, en cas de défaillance de l'une de ces unités les deux autres fournissent encore des signaux conformes déviant du signal de l'unité défaillante. Par cela l'unité défaillante peut être identifiée. Un renversement des calculateurs n'est alors pas encore nécessaire. Lorsque les calculateurs de la première paire établissent une déviation l'un de l'autre et sont mis hors circuit, les calculateurs de la seconde paire sont alors mis en
circuit à larplace.
Dans une telle disposition, on obtient le même degré de sécurité que dans une disposition avec deux paires de calculateurs dont chacun présente une unité d'entrée-sortie. Ceci est cependant obtenu avec trois au lieu de quatre unités d'entrée-sortie. Dans une disposition avec en tout quatre paires de calculateurs
il résulte une économie de deux unités d'entrée-sortie.
Une autre économie résulte par le fait que (a) des premiers calculateurs sont prévus pour une première fonction ayant des exigences de redondance élevées, (b) des seconds calculateurs sont prévus pour une fonction ayant de faibles exigences de redondance, (c) les seconds calculateurs sont additionnellement programmés pour la première fonction, (d) les seconds calculateurs sont également reliés aux unités d'entrée-sortie des premiers calculateurs, et (e) en cas de défaillance d'un premier calculateur (98,100l;102,104) au moins un second calculateur (106,108;110, 112) avec la première fonction peut être
mis en circuit.
On peut par exemple prévoir deux paires de premiers calculateurs qui sont programmés pour la première fonction "auto-pilotage". De même, on prévoit deux paires de calculateurs qui sont programmées pour la fonction moins critique "conduite de vol". Les seconds calculateurs sont cependant additionnellement programmés pour la fonction "auto-, pilotage" et également applicables à cette fin. Les deux fonctions sont ainsi occupées de manière doublement redondante par des paires de calculateurs se surveillant réciproquement. Lorsqu'une première paire de premiers calculateurs est défaillante, sa fonction est assumée par la seconde paire de premiers calculateurs. Si cette paire de premiers calculateurs est également défaillante un renversement sur une paire de seconds calculateurs est effectué. Cette paire de seconds calculateurs est cependant effectué maintenant avec le programme "auto-pilotage". La "conduite de vol" n'est plus chargée que d'une seule paire de calculateurs. Une redondance des calculateurs pour la conduite de vol est cependant prescrite dans certains
cas, par exemple pour l'atterissage dans le brouillard.
De tels états peuvent cependant généralement être évités. En cas d'urgence, lorsque également la troisième paire de seconds calculateurs est défaillante, on peut utiliser même la quatrième paire
2643995.
de seconds calculateurs pour l'auto-pilotage. La fonction de conduite de vol doit alors être assumée
par le pilote manuellement.
Ce type de "redondance dynamique" est permis dans le système de commande de vol par le fait que les unités d'entrée-sortie sont séparées des calculateurs de sorte que les calculateurs différents, le cas échéant avec des fonctions de base différentes, peuvent
coopérer avec des unités d'entrée-sortie conjointes.
Deux exemples d'exécution de l'invention sont
décrits ci-après en référence aux dessins annexés.
Courte description des dessins
Fig. 1 montre schématiquement un avion ayant un système de commande de vol dans lequel des calculateurs
sont prévus de manière redondante.
Fig. 2 montre le gouve.nail de direction de l'avion. Fig. 3 est un diagramme en blocs d'un système de
commande de vol pour un avion à utilisation militaire.
Dans la fig. 1, un avion est désigné par 10.
L'avion 10 a une pluralité de surfaces de commande ajustables par des servomoteurs hydrauliques. Des surfaces de commande essentielles sont respectivement commandables de manière redondante par plusieurs
servomoteurs. Des ailerons sont désignés par 12 et 14.
L'aileron 12 est ajustable par deux servomoteurs 16 et 18. L'aileron 14 est ajustable par deux servomoteurs 20 et 22. Les servomoteurs de chaque paire 16,18 et 20,22, respectivement, sont raccordés à des réseaux hydrauliques différents caractérisés par les lettres "G" (vert) et'"B"(bleu) conformément à la couleur des
conduites hydrauliques utilisées pour ces réseaux.
Grâce à cette mesure, on veut obtenir qu'en cas de défaillance d'un réseau hydraulique un servomoteur à la fois 16 ou 18 et 20 ou 22, respectivement, soit encore
capable de fonctionner.
Des déporteurs 28,30,32,34 et 36 sont situés sur l'aile 24. Des déporteurs 38,40,42,44 et 46 sont situés sur l'aile 26. Les déporteurs sont déstinés au freinage et supportent les ailerons lors du commencement d'un mouvement de roulement. Les déporteurs sont ajustables par des servomoteurs 48,50,52,54 et 56 et 58,60,62,64 et 66. Les servomoteurs sont de nouveau raccordés à des réseaux hydrauliques différents. A part les réseaux hydrauliques G et B déjà mentionnés,un troisième réseau
hydraulique Y (" jaune") est prévu.
Un aileron 68 au gouvernail de direction 70 est commandé de manière trois fois redondante par trois servomoteurs 72,74 et 76. Les trois servomoteurs 72,74 et 76 sont alimentés par les trois réseaux hydrauliques différents B,G et Y. Des gouvernails horizontaux 80 et 82 sont situés sur un empennage horizontal 78. Le gouvernail horizontal 80 est commandé de manière
doublement redondante par deux servomoteurs 84 et 86.
Le servomoteur 84 est alimenté par le réseau hydraulique G. Le servomoteur 86 est alimenté par le réseau hydraulique B. Le gouvernail horizontal 82 est alimenté de manière doublement redondante par deux servomoteurs 88 et 90. Le servomoteur 88 est alimenté par le réseau hydraulique B. Le servomoteur 90 est alimenté par le réseau hydraulique Y. Une disposition de servomoteuis92 commande des
volets d'atterissage 94 et 96.
Les servomoteurs sont commandés par des calculateurs par des unités d'entrée-sortie. Les calculateurs sont prévus en paires. Deux paires de calculateurs sont respectivement associées à trois
unités d'entrée-sortie séparées de celles-ci.
Une première paire de "premiers" calculateurs 98 et 100 est programmée pour l'auto-pilotage (commande de vol). Ceci englobe l'auto-pilotage au sens propre, c'est-à-dire le réglage de l'avion dans une orientation de l'avion commandée et l'amortissement d'oscillations d'orientation. En outre, ceci englobe le réglage et la surveillance des servomoteurs. Le calculateur règle alors un servomoteur de sorte qu'il occupe une certaine position. En outre, le calculateur vérifie si le servomoteur s vraiment assumé une position commandée et met, le cas échéant, le servomoteur défaillant hors circuit. En outre, la "commande de vol" englobe la surveillance du rayon d'action. Le calculateur
surveille par exemple, si l'avion vole suffisamment au-
dessus de la vitesse de décrochage. Enfin, la "reduction de charoe des ailes" fait partie des fonctions de la "commande de vol". Si lors d'états de vol déterminés des oscillations propres des ailes sont incitées, qui pourraient provoquer une charge critique des ailes, de telles oscillations propres sont amorties
par actionnement des surfaces de commande.
Une seconde paire de "premiers" calculateurs 102
et 104 est également déstinée à l'auto-pilotage.
Une paire de "seconds" calculateurs 106 et 108 est
déstinée à la conduite de vol ("enveloDpe de guida-
ge de vol"). Ceci englobe les fonctions d'auto-pilotage, c'est-à-dire par exemple l'indication d'un cap déterminé ou d'un angle de montée ou de descente. En outre, la fonction de "directeur de vol", c'est-à-dire l'indication de la déviation d'un rayon de guidage lors de l'atterissage fait partie de cette conduite de vol. cette déviation pouvant ensuite être corrigée par le pilote manuellement. Enfin, la "commande et la surveillance d'enveloppe", c'est-à-dire le guidage de l'avion à l'intérieur d'un "tuyau de tolérance d'espace" fait partie de la conduite de vol. Les seconds calculateurs sont additionnellement programmés pour la fonction de l'auto-pilotage comme les premiers calculateurs. En cas de nécessité ils peuvent être renversés à cette fonction et assumer ensuite la fonction d'une paire de "premiers"
calculateurs défaillante.
Enfin, on a encore prévu une autre paire de
"seconds" calculateurs 110 et 112.
Les calculateurs recoivent des signaux de détecteurs par des unités d'entrée-sortie et fournissent des données de sortie, par exemple des instructions de commande pour les servomoteurs ou des informations pour un appareil de mannoeuvre 114 dans le
cockpit de l'avion, par ces unités d'entrée-sortie.
Trois unités d'entrée-sortie 116,118 et 120 sont
associées aux paires de calculateurs 98,100 et 106,108.
Trois unités d'entrée-sortie 122,124 et 126 sont associées aux paires de calculateurs 102,104 et ,112. Chaque unité d'entrée-sortie 116,118 et 120
est reliée à chacun des calculateurs 98,100,106 et 108.
Chaque unité d'entrée-sortie 122,124 et 126 est reliée à chacun des calculateurs 102,104,110 et 112. Des signaux de sortie sont captés parallèlement par les unités d'entrée-sortie 118 et 120. De même, des
signaux de sortie sont captés par des unités d'entrée-
sortie 124 et 126. Les unités d'entrée-sortie 116 et
122 ne fournissent pas de signaux de sortie.
Les calculateurs de chaque paire, par exemple 98 et 100 se surveillent réciproquement. A cette fin, ils sont reliés l'un à l'autre, comme illustré dans la fig. 3. Lorsqu'un calculateur est défaillant, de sorte que ses données de sortie se différencient de celles de l'autre calculateur de la paire, toute, la paire de calculateurs est mise hors circuit. Sa fonction est assumée par une autre paire. La construction de la disposition de calculateurs est illustrée en détail
dans la fig. 3.
Afin d'éviter des erreurs systémmatiques qui peuvent se produire par des erreurs de mat6riel et qui ne pouraient être - découvertes parce qu'elles apparaîtraient dans Ies deux calculateurs d'une
paire, on procède comme suit.
Pour la même fonction, à savoir ici pour l'auto-
pilotage et pour la conduite de vol, on prévoit deux systèmes de calculateurs illustrés à gauche et à droite de la ligne séparatrice 128. Ces systèmes de calculateurs sont construits pour respectivement les mêmes fonctions avec un matériel différent. Les calculateurs de chaque paire sont construits avec la
même matériel mais programmés différemment, c'est-à-
dire avec des langages de programmation, différents et par des équipes de travail de programmation différentes. Ainsi, le calculateur 98 est programmé avec un programme "A" pour la fonction "auto-pilotage" et le calculateur 100 avec un programme "B" également pour la fonction "autopilotage". Le calculateur 108 est programmé pour un programme, "A" pour la fonction "conduite de vol" et additionnellement pour la fonction "autopilotage". Le calculateur 106 est programmé avec un programme "B" également pour la fonction "conduite de
vol" et additionnellement pour la fonction "auto-
pilotage". Similairement, mais avec un autre matériel, le calculateur 104 est programmé avec un programme "C" pour la fonction "auto-pilotage". Le calculateur 102 est programmé avec un programme "D" également pour la fonction "auto-pilotage". Le calculateur 112 est programmé pour un programme "C" pour la fonction "conduite de vol" et additionnellement de manière renversable pour la fonction "auto-pilotage". Enfin, le calculateur 110 est programmé avec un programme "D" églement pour la fonction "conduite de vol" et additionnellement pour la fonction "autopilotage". La fonction additionnelle peut être mise en application très facilement dans les calculateurs 108,106,112 et
par un élément de programme supplémentaire.
Les calculateurs 98 et 100 surveillent les unités d'entrée-sortie 116,118 et 120 au moyen de considerations majoritaires. Lorsque l'une de ces unités 116,118 ou 120 est défaillante ses signaux d'entrée se différencient des signaux d'entrée des deux autres unités de plus d'une zone de tolérance prédéterminée. L'unité d'entrée-sortie est alors mise
hors circuit.
Lorsque la paire de calculateurs 98 et 100 établit une déviation entre les résultats de calcul la paire de calculateurs 98 et 100 se met hors circuit. La fonction de cette paire est alors assumée par la paire de calculateurs 102 et 104. Ces deux calculateurs 102,104 se surveillent également réciproquement. En cas de défaillance de cette paire de calculateurs 102,104, lorsque les calculateurs établissent les déviations des résultats de calcul, la paire de calculateurs 106 et 108 assument leur fonction. Les calculateurs 106 et
108 sont alors renversés au programme "auto-pilotage".
Il n'y a alors plus qu'une paire de calculateurs pour la fonction "conduite de vol". Cette fonction n'est cependant généralement pas aussi importante pour la sécurité que la fonction "auto-pilotage". Comme déjà mentionné ci-dessus, une redondance des calculateurs pour cette fonction n'est demandée que pour des manoeuvres de vol spéciales, par exemple pour l'atterissage en brouillard. Il faut alors éviter de telles manoeuvres après défaillance des calculateurs 98 à 104. Si également la paire de calculaturs 106,108 était défaillante, sa fonction est assumée par la paire de
calculateurs 110,112 de nouveau après renversement au-
programme "auto-pilotage". La fonction "conduite de vol" peut en cas d'urgence être assumée par le pilote manuellement. En cas de fonctionnement normal, la fonction "conduite de volt est également occupée par deux paires de calculateurs non similaires se surveillant réciproquement. Fig. 4 montre un système de commande de vol pour
un avion de combat.
Le système de commande de vol de la fig. 4 comprend trois calculateurs 130,132 et 134 pour la fonction "auto-pilotage". En outre, le système de commande de vol comprend trois calculateurs 136,138 et pour la fonction "conduite de vol et données de l'air" ("guidage de vol" et "données de VOl").Trois autres calculateurs 142,144 et 146 sont prévus pour la fonction "unité de mesure d'inertie" et deux autres
calculateurs 148 et 150 pour le réglage du propulseur.
Les calculateurs prévus respectivement en triple pour la même fonction se surveillent réciproquement par considérations majoritaires, comme indiqué dans la fig. 4. A chaque calculateur est associée une unité
d'entrée-sortie séparée de celui: une unité d'entrée-
sortie 152 est associée au calculateur 130. Une unité
d'entrée-sortie 154 est associée au calculateur 132.
Une unité d'entrée-sortie 156 est associée au calculateur 134. Les unités d'entrée-sortie 152,154 et
156 sont reliées aux servomoteurs.
Une unité d'entrée-sortie 160 est associée au calculateur 138. Une unité d'entrée-sortie est associée au calculateur 140. Les unités d'entréesortie 160 et
162 sont reliés à un Bus (MIL-BUS) de l'avion.
Une unité d'entrée-sortie 164 est associée au calculateur 142. Une unité d'entrée-sortie 166 est associée au calculateur 144. Une unité d'entréesortie 168 est associée au calculateur 146. Les unités d'entrée-sortie 164,166 et 168 sont reliées à des
gyroscopes et à des détecteurs d'accélération.
Les calculateurs 148 et 150 sont reliés chacun à
une unité d'entrée-sortie 170 et 172, respectivement.
Les unités d'entrée-sortie 170 et 172 sont reliées à un
dispositif d'ajustement du carburant.
La plupart des unités d'entrée-sortie sont reliées dans la disposition selon la fig. 4 au calculateur associé. En plus, les calculateurs 136,138, 140 et les calculateurs 142,144,146 sont reliés aux unités d'entréesortie 152,154 et 156. Les calculateurs 132 et
134 sont reliés aux unités d'entrée-sortie 160,162.
Egalement les calculateurs 148 et 150 sont reliés aux
unités d'entrée-sortie 170 et 172.
L'unité d'entrée-sortie 158 est en attente pour le cas que l'une des unités d'entrée-sortie 152,154 ou 156 soit défaillante. Egalement cette disposition permet similairement à la disposition selon la fig. 3 une
"redondance dynamique", c'est-à-dire le remplace-
ment d'un calculateur défaillant par d'autres calculateurs qui sont également disponibles de manière redondante mais qui remplissent des fonctions moins
importantes pour la sécurité.
Claims (9)
1. Dispositif calculateur pour des systèmes de commande, comprenant (a) une pluralité de calculateurs en disposition redondante auxquels sont appliqués des entrées d'unités d'entrée-sortie, des calculateurs défaillants pouvant être éliminés par surveillance réciproque des calculateurs, caractérisé par le fait que (b) les unités d'entrée-sortie (116,118,120,122,124,126) sont formées comme composants séparés des calculateurs, et (c) au moins une partie des unités d'entrée-sortie (116, 118,120,122,124,126) est directement liée à plus
d'un calculateur (98,100;102,104).
2. Dispositif calculateur redondant selon la revendication 1, caractérisé par le fait qu'un
calculateur (98) est relié à plusieurs unités d'entrée-
sortie (116,118,120).
3. Dispositif calculateur redondant selon la revendication 2, caractérisé par le fait que (a) au moins une première paire et une seconde paire de calculateurs (98,100;106,108) sont prévues, auxquelles sont appliquées les mêmes entrées d'unités d'entrée-sortie (116,118,120), un renversement aux calculateurs (106,108) de la seconde paire étant effectué en cas de déviation des sorties de l'un et de l'autre calculateur (98,100) de la première paire, (b) trois unités d'entrée-sortie (116,118,120) séparées des calculateurs sont associées aux deux paires de calculateurs (98,100; 106,108), (c) chaque unité'd'entrée-sortie (116,118,120) est reliée à chacun des calculateurs, et (d) les calculateurs (98,100) sont adaptés à la
reconnaissance et l'élimination d'une unité d'entrée-
sortie (116,118,120), dont les signaux diffèrent
notablement des deux autres unités d'entrée-sortie.
4'. Dispositif calculateur redondant selon la revendication 1, caractérisé par le fait que (a) des premiers calculateurs (98,100,102,104) sont prévus pour une première fonction ayant des exigences de redondance élevées, (b) des seconds calculateurs (106,108;110,112) sont prévus pour une fonction ayant de faibles exigences de redondance, (c) les seconds calculateurs (106,108;110,112) sont additionnellement programmés pour la première fonction, (d) les seconds calculateurs (106,108;110,112) sont également reliés aux unités d'entrée-sortie (116,118,120,120;122,124,126) des premiers calculateurs, et (e) en cas de défaillance d'un premier calculateur (98,100;102,104) au moins un second calculateur (106,108;110, 112) avec la première fonction peut être
mis en circuit.
5. Dispositif calculateur redondant selon la revendication 4, caractérisé par le fait que plusieurs paires de premiers calculateurs (98,100;102,104) et plusieurs paires de seconds calculateurs (106,108;110,112) sont prévues, les calculateurs de chaque paire se contrôlant réciproquement et déclenchant la mise hors circuit de la paire concernée
en cas de déviations l'un de l'autre.
6. Dispositif calculateur redondant selon la revendication 5, caractérisé par le fait que les calculateurs de chaque paire sont programmés différemment.
7. Dispositif calculateur redondant selon la revendication 6, caractérisé par le fait que des paires de calculateurs d'un premier mode de construction et des paires de calculateurs d'un second mode de construction non similaire au premier sont prévues pour
chaque fonction.
8. Dispositif calculateur redondant selon la revendication 4, caractérisé par le fait que la
première fonction englobe l'auto-pilotage d'un avion.
9. Dispositif calculateur selon la revendication 8, caractérisé par le fait que la deuxième fonction
englobe la conduite de l'avion.
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| DE3906846A DE3906846C2 (de) | 1989-03-03 | 1989-03-03 | Redundante Rechneranordnung für Steuersysteme |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| FR2643995A1 true FR2643995A1 (fr) | 1990-09-07 |
| FR2643995B1 FR2643995B1 (fr) | 1995-05-05 |
Family
ID=6375475
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR9002843A Expired - Fee Related FR2643995B1 (fr) | 1989-03-03 | 1990-03-02 | Dispositif calculateur pour des systemes de commande |
Country Status (2)
| Country | Link |
|---|---|
| DE (1) | DE3906846C2 (fr) |
| FR (1) | FR2643995B1 (fr) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP0573106A1 (fr) * | 1992-06-03 | 1993-12-08 | The Boeing Company | Système de commande de vol primaire multiaxial redondant électrique |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE19531923B4 (de) * | 1995-08-16 | 2004-05-06 | Siemens Ag | Einrichtung zur Realisierung von safe-life-Funktionen |
| US7017861B1 (en) | 2000-05-22 | 2006-03-28 | Saab Ab | Control system for actuators in an aircraft |
| GB0127254D0 (en) * | 2001-11-13 | 2002-01-02 | Lucas Industries Ltd | Aircraft flight surface control system |
| US7337044B2 (en) * | 2004-11-10 | 2008-02-26 | Thales Canada Inc. | Dual/triplex flight control architecture |
| FR2941912B1 (fr) | 2009-02-10 | 2011-02-18 | Airbus France | Systeme de commande de vol et aeronef le comportant |
| DE102017010716A1 (de) * | 2017-11-10 | 2019-05-16 | Knorr-Bremse Systeme für Nutzfahrzeuge GmbH | System zum wenigstens teilautonomen Betrieb eines Kraftfahrzeugs mit doppelter Redundanz |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4327437A (en) * | 1980-07-30 | 1982-04-27 | Nasa | Reconfiguring redundancy management |
| WO1986003865A1 (fr) * | 1984-12-17 | 1986-07-03 | Combustion Engineering, Inc. | Commande distribuee, avec possibilite de commutation mutuelle supplementaire |
Family Cites Families (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| GB1434186A (en) * | 1972-04-26 | 1976-05-05 | Gen Electric Co Ltd | Multiprocessor computer systems |
| GB1560554A (en) * | 1976-03-10 | 1980-02-06 | Smith Industries Ltd | Control systems |
| DE2701925C3 (de) * | 1977-01-19 | 1981-10-15 | Standard Elektrik Lorenz Ag, 7000 Stuttgart | Fahrzeugsteuerung mit zwei Bordrechnern |
| WO1984000071A1 (fr) * | 1982-06-16 | 1984-01-05 | Boeing Co | Systeme de pilote automatique de direction de vol |
| JPS60500232A (ja) * | 1983-02-09 | 1985-02-21 | インタ−ナシヨナル・ビジネス・マシ−ンズ・コ−ポレ−シヨン | 障害がない場合に最適化される、複数プロセッサの合意を得る方法 |
| US4654846A (en) * | 1983-12-20 | 1987-03-31 | Rca Corporation | Spacecraft autonomous redundancy control |
| US4622667A (en) * | 1984-11-27 | 1986-11-11 | Sperry Corporation | Digital fail operational automatic flight control system utilizing redundant dissimilar data processing |
| DD247535A1 (de) * | 1986-03-31 | 1987-07-08 | Werk Signal Sicherungstech Veb | Schaltungsanordnung fuer die steuerung sicherer prozessperipherie |
-
1989
- 1989-03-03 DE DE3906846A patent/DE3906846C2/de not_active Expired - Lifetime
-
1990
- 1990-03-02 FR FR9002843A patent/FR2643995B1/fr not_active Expired - Fee Related
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4327437A (en) * | 1980-07-30 | 1982-04-27 | Nasa | Reconfiguring redundancy management |
| WO1986003865A1 (fr) * | 1984-12-17 | 1986-07-03 | Combustion Engineering, Inc. | Commande distribuee, avec possibilite de commutation mutuelle supplementaire |
Non-Patent Citations (1)
| Title |
|---|
| IEEE SPECTRUM vol. 17, no. 9, 1 Septembre 1980, NEW YORK US pages 33 - 37 BERNHARD R. 'The 'no-downtime' computer' * |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP0573106A1 (fr) * | 1992-06-03 | 1993-12-08 | The Boeing Company | Système de commande de vol primaire multiaxial redondant électrique |
Also Published As
| Publication number | Publication date |
|---|---|
| FR2643995B1 (fr) | 1995-05-05 |
| DE3906846A1 (de) | 1990-09-06 |
| DE3906846C2 (de) | 1994-02-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9665097B2 (en) | Aircraft ground lift dump flight control function | |
| DE69305112T2 (de) | Primäres mehrachsig redundantes vollelektrisches Flugsteuersystem | |
| US9639087B1 (en) | Emergency landing using inertial sensors | |
| US11945571B2 (en) | Piloting device designed to be integrated into a preexisting aircraft | |
| US9915954B2 (en) | Rotorcraft control system, associated rotorcraft, and corresponding control method | |
| EP2188144A2 (fr) | Systèmes de protection contre le décrochage, le tremblement et l'assiette élevée | |
| CN111216878A (zh) | 用于飞行器的飞行控制系统和飞行器 | |
| CA2619067A1 (fr) | Dispositif de protection d'energie pour un avion | |
| CA2717121A1 (fr) | Procede et dispositif de pilotage lateral d'un aeronef roulant au sol | |
| US5678786A (en) | Reconfigurable helicopter flight control system | |
| FR2643995A1 (fr) | Dispositif calculateur pour des systemes de commande | |
| Kügler et al. | Autoland for a novel UAV as a state-machine-based extension to a modular automatic flight guidance and control system | |
| WO1997020735A9 (fr) | Systeme reconfigurable de commande du vol d'un helicoptere | |
| DE102005008556A1 (de) | Steuervorrichtung für Flugzeuge | |
| CN112327924A (zh) | 一种无人直升机航线飞行时链路失效应急处置方法 | |
| Burken et al. | Flight-test results of propulsion-only emergency control system on MD-11 airplane | |
| FR3032551A1 (fr) | Systeme et procede de pilotage d'un aeronef. | |
| US12111658B2 (en) | Alternative piloting system for integrating in a pre-existing aircraft | |
| CA2660997C (fr) | Systeme de gestion de defaillances d'un systeme de conversion pour convertible | |
| US6935596B2 (en) | Process and system for piloting an aircraft | |
| Burken et al. | Flight test of a propulsion-based emergency control system on the MD-11 airplane with emphasis on the lateral axis | |
| Chapa | A nonlinear pre-filter to prevent departure and/or pilot-induced oscillations (pio) due to actuator rate limiting | |
| EP1011036B1 (fr) | Système de commande de vol | |
| Fujizawa et al. | Outer-Loop Development and DVE Flight Test Assessment of a Partial Authority Model-Following Control System for the UH-60 | |
| RU2339540C1 (ru) | Способ автоматического управления полетом высокоманевренного самолета |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| ST | Notification of lapse |
Effective date: 20091130 |