FR2939528A1 - Dispositif et procede de generation automatique d'un ordre de commande d'une gouverne d'aeronef - Google Patents

Abstract

Le dispositif (1) comporte des moyens (9) pour calculer et transmettre automatiquement, en cas de suspicion d'une panne d'un ordre de commande de gouverne, un ordre auxiliaire limité, pendant une durée de confirmation de la panne.

Description

La présente invention concerne un dispositif et un procédé de génération automatique d'un ordre de commande d'au moins une gouverne d'un aéronef, en particulier d'un avion de transport, ainsi qu'un système et une méthode de commande automatique d'une gouverne utilisant res- pectivement ledit dispositif et ledit procédé. La présente invention s'applique à un aéronef, notamment un avion de transport civil, qui est muni d'un système de commande de vol électrique. Par le document FR-2 908 219, on connaît une architecture particulière d'un tel système de commande de vol électrique, avec un agencement particulier entre un système de gestion de vol et un calculateur de vol permettant de rationaliser et de simplifier les échanges à l'intérieur dudit système de commande de vol. On sait qu'une architecture usuelle de commande de gouverne d'aéronef, par exemple d'une gouverne de direction ou d'une gouverne de profondeur, comporte un calculateur dit maître qui est destiné à engendrer des ordres de commande et à envoyer ces ordres de commande à un ou plusieurs calculateurs dits esclaves, dont le rôle est d'asservir la ou les gouvernes suivant ces ordres de commande. Une telle architecture usuelle rend nécessaire d'implanter dans le calculateur maître des moyens de sur- veillance destinés à vérifier que les ordres émis sont corrects afin d'éviter d'asservir, dans les calculateurs esclaves, les gouvernes suivant des ordres erronés. Les surveillances usuelles prévoient de comparer des ordres de commande calculés par deux unités différentes et de déclarer le calcula- teur maître en panne, en cas d'écart (entre des ordres de commande), su- périeur à un seuil de surveillance, ledit écart devant être confirmé dans le temps. Toutefois, lors d'une panne, jusqu'à ce que ce seuil de surveillance soit atteint et que cet écart soit confirmé, un ordre erroné continue à être appliqué par les calculateurs esclaves aux gouvernes, ce qui conduit à amener ces dernières à des positions erronées, et ainsi à augmenter de façon anormale les efforts aérodynamiques sur la structure des gouvernes et de l'aéronef. En outre, le réglage de telles surveillances usuelles ne permet pas de détecter des pannes de faibles niveaux, car le seuil de surveillance et la temporisation doivent être robustes, en particulier vis-à-vis d'écarts statiques (utilisation de capteurs différents) et dynamiques (asynchronisme, transition de lois) entre les deux unités. Ainsi, à titre d'illustration, pour une gouverne telle qu'une gouverne de profondeur d'un avion gros por- teur, la panne de l'ordre émis peut conduire à des braquages erronés de gouverne de plus d'une dizaine de degrés. La présente invention a pour objet de remédier à ces inconvénients. Elle concerne un dispositif de génération automatique d'un ordre de commande d'au moins une gouverne d'aéronef, qui permet de détecter et d'inhiber des pannes de génération d'ordre de commande présentant des niveaux faibles, tout en garantissant la robustesse et la disponibilité dudit dispositif. A cet effet, selon l'invention, ledit dispositif du type comportant : û des premiers moyens pour engendrer au moins un ordre de commande ; û des deuxièmes moyens pour émettre cet ordre de commande à destina- tion de moyens utilisateurs ; des troisièmes moyens pour surveiller l'ordre de commande engendré par lesdits premiers moyens, afin de vérifier s'il présente une valeur correcte ou une valeur incorrecte, une valeur incorrecte représentant une suspicion de panne, et si une telle suspicion de panne est détectée, afin de vérifier si ledit ordre de commande présente une valeur incorrecte pendant une durée de confirmation prédéterminée, dans le but de confirmer la panne ; et û des quatrièmes moyens pour inhiber l'émission d'ordre de commande lorsqu'une panne est confirmée, est remarquable en ce qu'il comporte, de plus : des cinquièmes moyens pour déterminer, dès qu'une suspicion de panne est détectée, un ordre de commande auxiliaire, en faisant la somme de l'ordre de commande engendré en dernier avant cette détection et d'une valeur d'ordre prédéterminée illustrant une marge d'erreur tolérée ; et des sixièmes moyens pour transmettre automatiquement auxdits deuxièmes moyens, en vue de son émission comme ordre de corn-15 mande : ledit ordre de commande engendré par lesdits premiers moyens, en l'absence de panne et de suspicion de panne ; et • ledit ordre de commande auxiliaire déterminé par lesdits cinquièmes moyens, dès qu'une suspicion de panne est détectée, et ceci 20 jusqu'à la fin de ladite durée de confirmation, à partir de laquelle : * si la panne est confirmée, l'émission d'ordre de commande est in- hibée ; * sinon, ledit ordre de commande engendré par lesdits premiers moyens est de nouveau émis. 25 Ainsi, grâce à l'invention, en cas de suspicion de panne, et avant une éventuelle confirmation définitive de la panne, on n'émet pas l'ordre de commande, pour lequel une panne est suspectée, à destination desdits moyens utilisateurs (en particulier des moyens d'asservissement), mais on transmet un ordre de commande auxiliaire qui présente une valeur accep- table. Cette valeur est acceptable, car elle correspond à la somme de la dernière valeur de l'ordre de commande, jugée correcte, et d'une marge d'erreur tolérée. Par conséquent, cet ordre de commande auxiliaire, qui est émis pendant la durée de confirmation, représente une valeur limitée qui ne présente aucun risque pour la structure de la gouverne ou de l'aéronef, ce qui permet de remédier aux inconvénients précités. En cas de suspicion de panne, il est nécessaire de vérifier que l'ordre de commande conserve une valeur incorrecte pendant une certaine durée (à savoir ladite durée de confirmation), afin d'éviter de considérer de simples erreurs transitoires comme étant des pannes. Selon l'invention, pendant la durée de confirmation, on n'émet donc pas l'ordre de commande qui est engendré par lesdits premiers moyens, puisque cet ordre peut présenter une valeur incorrecte susceptible d'entraîner un braquage de gouverne excessif et ne correspondant à aucune commande souhaitée. En outre, à l'issue de la durée de confirmation, l'une des deux situations suivantes se présente : soit la panne est confirmée, et toute émission d'un ordre de commande par le dispositif conforme à l'invention, est inhibée par lesdits quatriè- mes moyens ; soit la panne est infirmée, c'est-à-dire l'ordre de commande surveillé revient à une valeur correcte pendant la durée de confirmation, et cet ordre de commande (engendré par les premiers moyens) peut de nouveau être émis à destination desdits moyens utilisateurs.

Dans un mode de réalisation préféré : ledit dispositif comporte deux unités de calcul, dont chacune engendre un ordre de commande, l'une desdites unités de calcul comprenant les-dits premiers moyens ; et lesdits troisièmes moyens destinés à surveiller l'ordre de commande engendré par les premiers moyens, sont formés de manière à utiliser simultanément les ordres de commande engendrés par ces deux unités de calcul.

En outre, avantageusement, lesdits troisièmes moyens comportent au moins une unité de surveillance qui est intégrée dans l'une desdites unités de calcul et qui comprend : ù un élément de calcul qui calcule la différence entre les ordres de commande engendrés par lesdites deux unités de calcul ; un élément de comparaison qui compare la différence calculée par ledit élément de calcul à une valeur prédéterminée représentant ladite marge d'erreur tolérée, une suspicion de panne étant détectée dès que ladite différence est supérieure à ladite valeur prédéterminée ; et un élément de confirmation pour vérifier, dès qu'une telle suspicion de panne est détectée, si ladite différence reste supérieure à ladite valeur prédéterminée pendant ladite durée de confirmation, dans le but de confirmer la panne. Cette unité de surveillance permet de détecter des erreurs d'ordre liées à des erreurs d'une unité qui calcule l'ordre de commande, à des pannes d'émission sur un bus existant entre les unités de calcul, et à des pannes d'acquisition du bus. Dans ce cas, dans un mode de réalisation préféré, ledit dispositif comporte deux unités de surveillance de ce type, dont l'une est intégrée dans l'une desdites unités de calcul et dont l'autre est intégrée dans l'autre unité de calcul, ce qui permet notamment de détecter des problèmes d'acquisition au niveau de chacune des unités. Ainsi, le dispositif conforme à l'invention est en mesure de détecter, notamment, une panne d'acquisition du bus dans chacune des unités de calcul.

Par ailleurs, dans un mode de réalisation préféré, lesdits cinquièmes et sixièmes moyens font partie d'un ensemble de calcul qui comporte : un premier élément, par exemple un voteur, pour déterminer un ordre intermédiaire, à partir des ordres de commande engendrés par les deux unités de calcul ; un deuxième élément pour ajouter ladite marge d'erreur tolérée audit ordre intermédiaire ; un troisième élément pour soustraire ladite marge d'erreur tolérée dudit ordre intermédiaire ; et un voteur qui reçoit les valeurs déterminées par lesdits premier, deuxième et troisième éléments, qui sélectionne la valeur médiane des valeurs ainsi reçues, et qui transmet la valeur médiane sélectionnée auxdits deuxièmes moyens en vue de son émission comme ordre de commande. Dans ce mode de réalisation préféré, de façon avantageuse, ledit premier élément est formé de manière à déterminer comme valeur intermédiaire : en l'absence de détection d'une suspicion de panne et en l'absence de panne, l'ordre de commande le plus en retard des deux ordres de commande engendrés par lesdites deux unités de calcul ; et en cas de détection d'une suspicion de panne, l'ordre de commande engendré en dernier avant cette détection. Par ailleurs, le dispositif conforme à la présente invention com- porte également au moins une unité de surveillance auxiliaire qui est intégrée dans l'une desdites unités de calcul et qui comprend : û un élément de calcul qui calcule la différence entre des ordres de commande émis respectivement par lesdites deux unités de calcul ; - un élément de comparaison qui compare la différence calculée par ledit élément de calcul à une valeur auxiliaire prédéterminée ; et ù un élément de confirmation pour vérifier, dès que ladite différence est supérieure à ladite valeur auxiliaire prédéterminée, si elle le reste pen- dant une durée de confirmation auxiliaire. Cette unité de surveillance auxiliaire permet de détecter des pannes d'émission sur le bus du système et des erreurs de calcul de l'ordre de commande émis par une unité de calcul. La présente invention concerne également un système de com- mande automatique d'au moins une gouverne d'aéronef, ainsi qu'un aéronef, qui comporte un tel dispositif et/ou un tel système. Selon l'invention, ledit système de commande automatique est remarquable en ce qu'il comporte : au moins un actionneur de ladite gouverne, qui est susceptible de dépla- cer automatiquement cette dernière ; un dispositif tel que celui précité, pour engendrer automatiquement un ordre de commande, et pour émettre automatiquement cet ordre de commande à destination de moyens d'asservissement ; et lesdits moyens d'asservissement qui appliquent automatiquement cet ordre de commande audit actionneur de la gouverne. La présente invention concerne également un procédé de génération automatique d'un ordre de commande d'au moins une gouverne d'un aéronef, en particulier d'un avion de transport. Selon l'invention, ledit procédé selon lequel : A/ on engendre au moins un ordre de commande ; et B/ on émet cet ordre de commande à destination de moyens utilisateurs, procédé selon lequel on réalise, de plus, les opérations suivantes : ù on surveille ledit ordre de commande engendré à l'étape Al, afin de véri- fier s'il présente une valeur correcte ou une valeur incorrecte, une va- leur incorrecte représentant une suspicion de panne, et si une telle suspicion de panne est détectée, afin de vérifier si ledit ordre de commande présente une valeur incorrecte pendant une durée de confirmation pré-déterminée, dans le but de confirmer la panne ; et lorsqu'une panne est confirmée, on inhibe l'émission dudit ordre de commande de l'étape B /, est remarquable en ce que l'on réalise, de plus, les opérations suivantes : dès qu'une suspicion de panne est détectée, on détermine un ordre de commande auxiliaire, en faisant la somme de l'ordre de commande en- gendré en dernier avant cette détection et d'une valeur d'ordre illustrant une marge d'erreur tolérée ; et ù à l'étape B/, on émet à destination des moyens utilisateurs, comme ordre de commande : ledit ordre de commande engendré à l'étape AI, en l'absence de panne et de suspicion de panne ; et ledit ordre de commande auxiliaire dès qu'une suspicion de panne est détectée, et ceci jusqu'à la fin de ladite durée de confirmation, à partir de laquelle : * si la panne est confirmée, l'émission d'ordre de commande est in- hibée ; * sinon, ledit ordre de commande engendré à l'étape A/ est de nouveau émis. Par ailleurs, la présente invention concerne également une méthode de commande automatique d'au moins une gouverne d'aéronef, qui est remarquable en ce que : ù on engendre automatiquement un ordre de commande, en mettant en oeuvre un procédé tel que celui précité ; ù on émet automatiquement cet ordre de commande à destination de moyens d'asservissement ; et ù on applique automatiquement cet ordre de commande à au moins un actionneur de ladite gouverne, à l'aide desdits moyens d'asservissement. Les figures du dessin annexé feront bien comprendre comment 5 l'invention peut être réalisée. Sur ces figures, des références identiques désignent des éléments semblables. La figure 1 est le schéma synoptique d'un dispositif de génération automatique d'un ordre de commande d'une gouverne d'aéronef. La figure 2 illustre schématiquement un ensemble de calcul faisant 10 partie d'un dispositif conforme à l'invention. La figure 3 est le schéma synoptique d'un système de commande automatique d'une gouverne d'aéronef, conforme à l'invention. Le dispositif 1 conforme à l'invention et représenté schématique-ment sur la figure 1 est destiné à engendrer automatiquement un ordre de 15 commande pour au moins une gouverne 2 d'un aéronef, en particulier d'un avion de transport. Ladite gouverne 2 peut notamment être une gouverne latérale, une gouverne de profondeur, ou une gouverne de direction de l'aéronef. Pour ce faire, ledit dispositif 1 comporte : 20 des moyens 8A usuels pour engendrer au moins un ordre de commande qui représente un ordre de braquage de la gouverne 2, exprimé par exemple en angle de braquage (en °) ; des moyens 3 usuels, comportant notamment un bus 4, pour émettre cet ordre de commande à destination de moyens utilisateurs (externes 25 audit dispositif 1, et précisés ci-dessous) ; des moyens 5 pour surveiller l'ordre de commande engendré par lesdits moyens 8A : • afin de vérifier si cet ordre de commande présente une valeur correcte ou une valeur incorrecte, une valeur incorrecte représentant une suspicion de panne ; et si une telle suspicion de panne est détectée, afin de vérifier si ledit ordre de commande présente une valeur incorrecte pendant une du-rée de confirmation prédéterminée, par exemple 300 ms, dans le but de confirmer l'existence d'une panne ; et des moyens 6 usuels qui sont reliés par l'intermédiaire d'une liaison 7 auxdits moyens 5 et qui sont formés de manière à inhiber l'émission d'ordre de commande mise en oeuvre par lesdits moyens 3, lorsqu'une panne est confirmée par lesdits moyens 5. Selon l'invention, pour pouvoir détecter et inhiber des pannes de génération d'ordre de commande, présentant des niveaux réduits, tout en garantissant la robustesse et la disponibilité dudit dispositif 1, ce dernier comporte, de plus, selon l'invention : des moyens 9 pour déterminer, dès qu'une suspicion de panne est détectée, un ordre de commande auxiliaire, en faisant la somme de l'ordre de commande engendré en dernier avant cette détection et d'une valeur d'ordre prédéterminée illustrant une marge d'erreur tolérée, comme précisé ci-dessous ; et des moyens, de préférence lesdits moyens 9, pour transmettre automatiquement auxdits moyens 3, en vue de son émission comme ordre de commande : • ledit ordre de commande engendré par lesdits moyens 8A, en l'absence de panne et de suspicion de panne ; et • ledit ordre de commande auxiliaire déterminé par lesdits moyens 9, dès qu'une suspicion de panne est détectée, et ceci jusqu'à la fin de la durée de confirmation. A la fin de ladite durée de confirmation : si la panne est confirmée, l'émission d'ordre de commande est complètement inhibée par lesdits moyens 6 ; et si, au contraire, la panne est infirmée, ledit ordre de commande engendré par lesdits moyens 8A est de nouveau émis (de façon habituelle) 5 par lesdits moyens 3. Ainsi, grâce à l'invention, en cas de suspicion de panne, et avant une éventuelle confirmation définitive de la panne, le dispositif 1 n'émet pas l'ordre de commande, pour lequel une panne est suspectée, à destination desdits moyens utilisateurs (en particulier des moyens 10 d'asservissement 50 précisés ci-dessous), mais il transmet un ordre de commande auxiliaire qui présente une valeur acceptable. Cette valeur est acceptable, car elle correspond à la somme de la dernière valeur de l'ordre de commande, jugée correcte, et d'une marge d'erreur tolérée, comme précisé ci-dessous. Par conséquent, cet ordre de commande auxiliaire, qui 15 est émis pendant la durée de confirmation, représente une valeur limitée qui ne présente aucun risque pour la structure de la gouverne 2 et/ou de l'aéronef. En cas de suspicion de panne, il est nécessaire que le dispositif 1 vérifie (à l'aide des moyens 5) que l'ordre de commande conserve une 20 valeur incorrecte pendant une certaine durée (dite durée de confirmation), afin d'éviter de considérer de simples erreurs transitoires comme étant des pannes. Selon l'invention, pendant ladite durée de confirmation, le dispositif 1 n'émet donc pas l'ordre de commande qui est engendré par lesdits 25 moyens 8A, puisque cet ordre peut présenter une valeur incorrecte susceptible d'entraîner un braquage excessif de la gouverne 2, qui ne correspond à aucune commande souhaitée. En outre, à l'issue de la durée de confirmation, deux situations peuvent se présenter : û soit la panne est confirmée, et toute émission d'un ordre de commande par le dispositif 1 conforme à l'invention (via le bus 4 notamment), est inhibée par lesdits moyens 6. Le dispositif 1 est alors considéré en panne concernant la génération d'un ordre de commande ; û soit la panne est infirmée, c'est-à-dire l'ordre de commande surveillé revient à une valeur correcte avant la fin de la durée de confirmation, et cet ordre de commande (engendré par les moyens 8A) peut de nouveau être émis à destination des moyens utilisateurs (via le bus 4 notamment).

Dans un mode de réalisation préféré, ledit dispositif 1 comporte deux unités de calcul 10A et 10B, dont chacune comporte des moyens 8A et 8B pour engendrer, de façon usuelle, un ordre de commande de gouverne. Ces moyens 8A et 8B usuels peuvent utiliser les mêmes capteurs ou des capteurs différents. Ces moyens 8A et 8B peuvent, par exemple, comporter au moins un capteur qui détermine automatiquement l'amplitude d'actionnement d'un manche de commande, destiné à la commande de la gouverne 2 et susceptible d'être actionné manuellement par un pilote de l'aéronef, l'ordre de commande étant représentatif de cette amplitude. Ces moyens 8A et 8B peuvent également comporter des moyens pour mesurer ou déterminer automatiquement les valeurs courantes de paramètres de l'aéronef et des moyens pour calculer automatique-ment un ordre de commande à l'aide de ces valeurs courantes. Dans ce mode de réalisation préféré (représenté sur la figure 1) : l'unité de calcul 10A comprend lesdits moyens 8A qui engendrent 25 l'ordre de commande utilisé pour l'émission (via le bus 4 notamment), en l'absence de panne ou de suspicion de panne ; et lesdits troisièmes moyens 5 destinés à surveiller l'ordre de commande engendré par lesdits moyens 8A, sont formés de manière à utiliser simultanément les ordres de commande engendrés par ces deux unités de calcul 10A et 10B (à savoir par lesdits moyens 8A et 8B qui les transmettent par des liaisons 12A et 14B). Dans un mode de réalisation préféré, lesdits moyens 9 comprennent un ensemble de calcul 11. Cet ensemble de calcul 11 comporte, comme représenté sur la figure 2 : un élément 13 pour déterminer un ordre de commande intermédiaire, notamment un ordre de braquage (exprimé par exemple en °-, à partir des ordres de commande engendrés respectivement par les moyens 8A et 8B et reçus par l'intermédiaire de liaisons 12A et 14B, la liaison 14B étant reliée à un bus 15B qui est prévu entre les deux unités de calcul 10A et 10B et qui est lié notamment à la liaison 12B de sortie des moyens 8B ; un élément de calcul 16 qui fait la somme de l'ordre de commande intermédiaire (reçu dudit élément 13 par l'intermédiaire d'une liaison 17) et d'une marge d'erreur tolérée (reçue d'un moyen 18, par exemple une mémoire, par l'intermédiaire d'une liaison 19) ; un élément 20 qui calcule la différence entre l'ordre de commande intermédiaire, reçu par la liaison 17, et la marge d'erreur tolérée, par exemple 5°, reçue par la liaison 19 ; et un voteur 21 qui reçoit à ses (trois) entrées, respectivement : • par une liaison 22, l'ordre de commande engendré par le moyen 8A; • par une liaison 23, la somme calculée par l'élément de calcul 16 ; et • par une liaison 24, la différence calculée par l'élément de calcul 20.

Ledit voteur 21 sélectionne la valeur médiane des trois valeurs reçues à ses entrées, et il transmet cette valeur médiane par l'intermédiaire d'une liaison 25 auxdits moyens 3, en vue de l'émission de cette valeur médiane comme ordre de commande, via ledit bus 4.

Comme représenté sur la figure 2, ledit élément 13 reçoit à ses (trois) entrées, respectivement : û par une liaison 27, l'ordre engendré par les moyens 8A et limité par un moyen de limitation (ou d'écrêtage) 28 usuel ; û par une liaison 29, l'ordre engendré par les moyens 8B et limité par un moyen de limitation (ou d'écrêtage) 30 usuel (similaire au moyen 28) ; et - par une liaison 31 de rebouclage, la valeur engendrée à la sortie dudit élément 13. 1 o Ledit élément 13 est un voteur qui est formé de manière à émettre à sa sortie, comme valeur intermédiaire : û en l'absence de détection d'une suspicion de panne et en l'absence de panne (cette dernière information pouvant être reçue desdits moyens 5), l'ordre de commande le plus en retard des deux ordres de com- 15 mande engendrés par les deux unités de calcul 10A et 10B ; et en cas de détection d'une suspicion de panne, l'ordre de commande (de valeur constante) engendré en dernier avant cette détection, ou bien l'ordre non erroné des deux ordres (transitoirement, il peut suivre l'ordre erroné, mais toujours dans la plage de tolérance entre les deux ordres).

20 En outre, selon l'invention, la marge d'erreur tolérée, fournie par le moyen 18, doit prendre en compte le besoin de limiter la valeur de braquage sous un seuil tolérable et ne doit pas, en l'absence de panne, affecter l'ordre de commande. A titre d'illustration, dans un avion de transport civil gros porteur, les ordres de commande peuvent être calculés toutes 25 les quarante millisecondes, avec une émission toutes les quarante millisecondes juste après le calcul de l'ordre, une acquisition dans l'autre unité de calcul à dix millisecondes, et un calcul de l'ordre émis à dix millisecondes. Aussi, les ordres entre les unités de calcul 10A et 10B sont, au plus, désynchronisés de soixante millisecondes. Comme la variation des ordres est limitée sur l'avion à trente degrés par seconde, l'écart maximal entre des ordres engendrés par les deux unités de calcul 10A et 10B est de 1,8 degré. Aussi, pour ne pas perturber l'évolution de l'ordre engendré par les moyens 8A hors panne, on choisit une marge d'erreur tolérée qui est supérieure à 1,8 degré. Si l'on tolère des braquages de six degrés, on peut par exemple choisir une valeur de cinq degrés comme marge d'erreur tolérée. Par ailleurs, lesdits moyens 5 comportent au moins une unité de surveillance 33 qui est intégrée dans l'unité de calcul 10A et qui corn- prend : û un élément de calcul 35 qui calcule la différence entre les ordres de commande, engendrés respectivement par les moyens 8A et 8B desdites unités de calcul 10A et 10B ; û un élément de comparaison 36 qui compare la différence calculée par ledit élément de calcul 35 à une valeur prédéterminée représentant la-dite marge d'erreur tolérée, par exemple cinq degrés. Dans ce cas, une suspicion de panne est détectée dès que ladite différence devient supérieure à ladite valeur prédéterminée ; et un élément de confirmation 37 pour vérifier, dès qu'une telle suspicion de panne est détectée, si ladite différence reste supérieure à ladite va-leur prédéterminée pendant la durée de confirmation, par exemple 300 ms, dans le but de confirmer la panne. Cette unité de surveillance 33 permet de détecter des erreurs d'ordre liées à des erreurs des moyens 8A qui engendrent l'ordre de com- mande, à des pannes d'émission sur un bus 15A, 15B existant entre les unités de calcul 10A et 10B, et à des pannes d'acquisition du bus. La surveillance mise en oeuvre par cette unité de surveillance 33 doit être robuste aux écarts usuels entre les deux unités de calcul 10A et 10B. Ces écarts usuels sont dus : ù à l'asynchronisme entre les deux unités de calcul 10A et 10B : soixante millisecondes à trente degrés par seconde, soit 1,8° ; ù à des écarts statiques sur les mesures, qui sont très faibles si les deux unités de calcul 10A et 10B utilisent des capteurs communs ; et à des écarts dynamiques principalement dus à des transitions de loi. Dans ce cas, dans un mode de réalisation préféré, ledit dispositif 1 comporte deux unités de surveillance 33 et 34 identiques, dont l'une 33 est intégrée dans l'unité de calcul 10A et dont l'autre 34 est intégrée dans l'unité de calcul 10B, comme représenté sur la figure 1. Ce mode de réalisation préféré permet notamment de détecter des pannes d'acquisition du bus (inter-unités) au niveau de chacune des unités de calcul 10A et 10B. La surveillance mise en oeuvre par ledit dispositif 1 comporte également au moins une unité de surveillance auxiliaire 39 qui est intégrée dans l'une desdites unités de calcul 10A et 10B et qui comprend : 15 ù un élément de calcul 40 qui calcule la différence entre des ordres de commande émis respectivement par les deux unités de calcul 10A et 10B. A cet effet, cet élément de calcul 40 est relié : • d'une part, via une liaison 41, à un ensemble de calcul 11 qui est intégré dans l'unité de calcul 10B, qui est identique à l'ensemble de 20 calcul 11 de l'unité de calcul 10A et qui est relié par ses entrées aux moyens 8A (via des liaisons 12A, 15A et 14A) et aux moyens 8B (via une liaison 12B) ; et • d'autre part, au bus 4 via des liaisons 38 et 42, c'est-à-dire à la sortie de l'unité de calcul 10A ; 25 ù un élément de comparaison 43 qui compare la différence calculée par ledit élément de calcul 40 à une valeur auxiliaire prédéterminée, par exemple 3° ; et û un élément de confirmation 44 pour vérifier, dès que ladite différence est supérieure à ladite valeur auxiliaire prédéterminée, si elle le reste pendant une durée de confirmation auxiliaire, par exemple 100 ms. Cette unité de surveillance auxiliaire 39 permet de détecter des pannes d'émission sur le bus 4 et des erreurs de calcul de l'ordre de commande émis par une unité de calcul 10A, 10B (et calculé par les en-sembles de calcul 11). La surveillance mise en oeuvre par cette unité de surveillance auxiliaire 39 doit être robuste aux écarts normaux qui sont liés seulement à l'asynchronisme entre les deux unités de calcul 10A et 10B, puisqu'elle compare rigoureusement le même ordre passivé. Cette surveillance doit être suffisamment véloce pour satisfaire les objectifs de détection de panne. Afin de garantir ce dernier point, les calculateurs utilisateurs (de l'ordre de commande émis) doivent limiter la vitesse de la variation de l'ordre reçu. On notera que les différentes surveillances mises en oeuvre par le dispositif 1 conforme à l'invention peuvent être formées de manière à ac- tiver les moyens d'inhibition 6 en cas de détection d'une panne. Dans un mode de réalisation préféré, le dispositif 1 de génération 20 automatique d'un ordre de commande de gouverne, tel que précité, fait partie d'un système 46 de commande automatique d'une gouverne 2 d'un aéronef. Ce système 46 comporte, comme représenté sur la figure 3 : un ensemble 47 de sources d'informations usuelles, comportant notam-25 ment des moyens usuels qui sont en mesure de déterminer les valeurs courantes de paramètres (vitesse, altitude, ...) de l'aéronef, ainsi qu'un système de gestion de vol ; - un calculateur 48 dit calculateur maître, qui est relié par l'intermédiaire d'une liaison 49 audit ensemble 47 et qui comporte ledit dispositif 1 conforme à l'invention pour engendrer un ordre de commande ; - au moins un calculateur 50, dit calculateur esclave, qui reçoit l'ordre de commande engendré par ledit dispositif 1, via une liaison 51, et qui ré-alise un asservissement de la gouverne 2. Ce calculateur 50 comporte des moyens d'asservissement mettant en oeuvre une boucle d'asservissement usuelle. Ledit calculateur 50 réalise une commande en vitesse ; et ù au moins un moyen d'actionnement 52 usuel de la gouverne 2, par exemple une gouverne latérale, une gouverne de profondeur ou une gouverne de direction. Ledit moyen d'actionnement 52 reçoit les ordres dudit calculateur 50 par l'intermédiaire d'une liaison 53 et il actionne de façon corres- pondante ladite gouverne 2, comme illustré par une liaison 54 en traits mixtes.

Claims (10)

1. REVENDICATIONS1. Dispositif de génération automatique d'un ordre de commande d'au moins une gouverne (2) d'un aéronef, ledit dispositif (1) comportant : ù des premiers moyens (8A) pour engendrer au moins un ordre de corn-5 mande ; ù des deuxièmes moyens (3) pour émettre cet ordre de commande à destination de moyens utilisateurs (50) ; - des troisièmes moyens (5) pour surveiller l'ordre de commande engendré par lesdits premiers moyens (8A), afin de vérifier s'il présente une 10 valeur correcte ou une valeur incorrecte, une valeur incorrecte représentant une suspicion de panne, et si une telle suspicion de panne est détectée, afin de vérifier si ledit ordre de commande présente une valeur incorrecte pendant une durée de confirmation prédéterminée, dans le but de confirmer la panne ; et 15 û des quatrièmes moyens (6) pour inhiber l'émission d'ordre de commande lorsqu'une panne est confirmée, caractérisé en ce qu'il comporte, de plus : û des cinquièmes moyens (9) pour déterminer, dès qu'une suspicion de panne est détectée, un ordre de commande auxiliaire, en faisant la 20 somme de l'ordre de commande engendré en dernier avant cette détection et d'une valeur d'ordre prédéterminée illustrant une marge d'erreur tolérée ; et - des sixièmes moyens (9) pour transmettre automatiquement auxdits deuxièmes moyens (3), en vue de son émission comme ordre de com-25 mande : • ledit ordre de commande engendré par lesdits premiers moyens (8A), en l'absence de panne et de suspicion de panne ; et• ledit ordre de commande auxiliaire déterminé par lesdits cinquièmes moyens (9), dès qu'une suspicion de panne est détectée, et ceci jusqu'à la fin de ladite durée de confirmation, à partir de laquelle : * si la panne est confirmée, l'émission d'ordre de commande est in-5 hibée ; * sinon, ledit ordre de commande engendré par lesdits premiers moyens est de nouveau émis.
2. 2. Dispositif selon la revendication 1, caractérisé en ce qu'il comporte deux unités de calcul (10A, 10B), dont 10 chacune engendre un ordre de commande, l'une (10A) desdites unités de calcul (10A, 10B) comprenant lesdits premiers moyens (8A), et en ce que lesdits troisièmes moyens (5) destinés à surveiller l'ordre de commande engendré par les premiers moyens, sont formés de manière à utiliser simultanément les ordres de commande engendrés par ces deux unités de 15 calcul (10A, 10B).
3. 3. Dispositif selon l'une des revendications 1 et 2, caractérisé en ce que lesdits troisièmes moyens (5) comportent au moins une unité de surveillance (33, 34) qui est intégrée dans l'une desdites uni-tés de calcul (10A, 10B) et qui comprend : 20 un élément de calcul (35) qui calcule la différence entre les ordres de commande engendrés par lesdites deux unités de calcul (10A, 10B) ; un élément de comparaison (36) qui compare la différence calculée par ledit élément de calcul (35) à une valeur prédéterminée représentant la-dite marge d'erreur tolérée, une suspicion de panne étant détectée dès 25 que ladite différence est supérieure à ladite valeur prédéterminée ; et un élément de confirmation (37) pour vérifier, dès qu'une telle suspicion de panne est détectée, si ladite différence reste supérieure à ladite va-leur prédéterminée pendant ladite durée de confirmation, dans le but de confirmer la panne.
4. 4. Dispositif selon la revendication 3, caractérisé en ce qu'il comporte deux unités de surveillance (33, 34), dont l'une (33) est intégrée dans l'une (10A) desdites unités de calcul (10A, 10B) et dont l'autre (34) est intégrée dans l'autre unité de calcul (10B).
5. 5. Dispositif selon l'une quelconque des revendications 1 à 4, caractérisé en ce que lesdits cinquièmes et sixièmes moyens (9) font partie d'un ensemble de calcul (Il) qui comporte : un premier élément (13) pour déterminer un ordre intermédiaire, à partir des ordres de commande engendrés par deux unités de calcul (10A, 10 10B) ; un deuxième élément (16) pour ajouter ladite marge d'erreur tolérée au-dit ordre intermédiaire ; un troisième élément (20) pour soustraire ladite marge d'erreur tolérée dudit ordre intermédiaire ; et 15 un voteur (21) qui reçoit les valeurs déterminées par lesdits premier, deuxième et troisième éléments (13, 16, 20), qui sélectionne la valeur médiane des valeurs ainsi reçues, et qui transmet la valeur médiane sélectionnée auxdits deuxièmes moyens (3) en vue de son émission comme ordre de commande. 20
6. 6. Dispositif selon la revendication 5, caractérisé en ce que ledit premier élément (13) est formé de manière à déterminer comme valeur intermédiaire : en l'absence de détection d'une suspicion de panne et en l'absence de panne, l'ordre de commande le plus en retard des deux ordres de corn- 25 mande engendrés par lesdites deux unités de calcul (10A, 10B); et û en cas de détection d'une suspicion de panne, l'ordre de commande engendré en dernier avant cette détection.
7. 7. Dispositif selon l'une quelconque des revendications précéden- tes,caractérisé en ce qu'il comporte, de plus, au moins une unité de surveillance auxiliaire (39) qui est intégrée dans l'une (10B) desdites unités de calcul (10A, 10B) et qui comprend : ù un élément de calcul (40) qui calcule la différence entre des ordres de 5 commande émis respectivement par lesdites deux unités de calcul (10A, 10B) ; - un élément de comparaison (43) qui compare la différence calculée par ledit élément de calcul (40) à une valeur auxiliaire prédéterminée ; et - un élément de confirmation (44) pour vérifier, dès que ladite différence 10 est supérieure à ladite valeur auxiliaire prédéterminée, si elle le reste pendant une durée de confirmation auxiliaire.
8. 8. Système de commande automatique d'au moins une gouverne d'un aéronef, caractérisé en ce qu'il comporte : 15 ù au moins un actionneur (52) de ladite gouverne (2), qui est susceptible de déplacer automatiquement cette dernière ; ù un dispositif (1) tel que celui spécifié sous l'une quelconque des revendications 1 à 7, pour engendrer automatiquement un ordre de commande, et pour émettre automatiquement cet ordre de commande à 20 destination de moyens d'asservissement (50) ; et - lesdits moyens d'asservissement (50) qui appliquent automatiquement cet ordre de commande audit actionneur (52) de la gouverne (2).
9. 9. Procédé de génération automatique d'un ordre de commande d'au moins une gouverne d'un aéronef, procédé selon lequel : 25 A/ on engendre au moins un ordre de commande ; et B/ on émet cet ordre de commande à destination de moyens utilisateurs (50), procédé selon lequel on réalise, de plus, les opérations suivantes : û on surveille ledit ordre de commande engendré à l'étape AI, afin de vérifier s'il présente une valeur correcte ou une valeur incorrecte, une va-leur incorrecte représentant une suspicion de panne, et si une telle suspicion de panne est détectée, afin de vérifier si ledit ordre de commande présente une valeur incorrecte pendant une durée de confirmation pré- déterminée, dans le but de confirmer la panne ; et - lorsqu'une panne est confirmée, on inhibe l'émission dudit ordre de commande de l'étape B /, caractérisé en ce que l'on réalise, de plus, les opérations suivantes : ù dès qu'une suspicion de panne est détectée, on détermine un ordre de commande auxiliaire, en faisant la somme de l'ordre de commande engendré en dernier avant cette détection et d'une valeur d'ordre prédéterminée illustrant une marge d'erreur tolérée ; et - à l'étape B/, on émet à destination des moyens utilisateurs (50), comme 15 ordre de commande : • ledit ordre de commande engendré à l'étape AI, en l'absence de panne et de suspicion de panne ; et ledit ordre de commande auxiliaire dès qu'une suspicion de panne est détectée, et ceci jusqu'à la fin de ladite durée de confirmation, à 20 partir de laquelle : * si la panne est confirmée, l'émission d'ordre de commande est inhibée ; * sinon, ledit ordre de commande engendré à l'étape A/ est de nouveau émis. 25
10. 10. Méthode de commande automatique d'au moins une gouverne d'un aéronef, caractérisé en ce que : ù on engendre automatiquement un ordre de commande, en mettant en oeuvre un procédé tel que celui spécifié sous la revendication 9 ;on émet automatiquement cet ordre de commande à destination de moyens d'asservissement (50) ; et on applique automatiquement cet ordre de commande à au moins un actionneur (52) de ladite gouverne (2), à l'aide desdits moyens 5 d'asservissement (50).