FR2943036A1

FR2943036A1 - Systeme distribue de commande de vol implemente selon une architecture avionique modulaire integree.

Info

Publication number: FR2943036A1
Application number: FR0951527A
Authority: FR
Inventors: Marc Fervel; Arnaud Lecanu; Antoine Maussion; Jean Jacques Aubert
Original assignee: Airbus Operations SAS
Current assignee: Airbus Operations SAS
Priority date: 2009-03-11
Filing date: 2009-03-11
Publication date: 2010-09-17
Anticipated expiration: 2029-03-11
Also published as: FR2943036B1; WO2010103233A1; CN102421667B; BRPI1008968A2; CA2754031C; US20120101663A1; CN102421667A; CA2754031A1; US9081372B2

Abstract

L'invention concerne un système de commande de vol pour aéronef, destiné à commander une pluralité d'actionneurs adaptés à actionner des gouvernes du dit aéronef à partir d'informations fournies par les organes de pilotage et/ou des capteurs de l'aéronef. Le système comprend un système de commande primaire (SYSTP) adapté à contrôler un premier ensemble d'actionneurs de gouvernes et un système de commande secondaire (SYSTS) adapté à contrôler un second ensemble d'actionneurs de gouvernes, les systèmes primaire et secondaire étant respectivement alimentés par des sources d'énergie (Ep, Es) indépendantes et de types différents.

Description

SYSTÈME DISTRIBUÉ DE COMMANDE DE VOL IMPLÉMENTÉ SELON UNE ARCHITECTURE AVIONIQUE MODULAIRE INTÉGRÉE

DESCRIPTION 5 DOMAINE TECHNIQUE La présente invention concerne de manière générale les systèmes de commande de vol dans le domaine de l'aéronautique. 10 ÉTAT DE LA TECHNIQUE ANTÉRIEURE Le système de commande de vol d'un aéronef fait le lien entre les organes de pilotage (manche, palonnier, etc.) et les gouvernes aérodynamiques. Les avions de ligne modernes possèdent des systèmes de 15 commande de vol de type électrique dans lesquels les actions mécaniques sur les organes de pilotage sont converties en des signaux analogiques qui sont transmis à des actionneurs manoeuvrant les gouvernes. La Fig. 1 illustre un système de commande de vol 20 centralisé, 100, connu de l'état de la technique. On a représenté un organe de pilotage, 110, par exemple un mini-manche latéral, équipé d'un ou de plusieurs capteurs, 115, par exemple des capteurs de position et/ou des capteurs angulaires fournissant des 25 informations de position et/ou d'orientation au calculateur de commande de vol, 120. Le calculateur 120 détermine, à partir des informations reçues des différents organes de pilotage 110, incluant l'auto- pilote (non représenté), et/ou le cas échéant de 30 capteurs avion 150 (accéléromètre, gyromètre, centrale 2 inertielle), les commandes de vol à appliquer aux actionneurs 130. Ces actionneurs sont typiquement des vérins hydrauliques commandés par des électrovannes ou des moteurs électriques agissant sur les gouvernes aérodynamiques de l'aéronef, 140. Les actionneurs 130, d'une part, et les gouvernes aérodynamiques, 140, d'autre part, sont équipés de capteurs notés respectivement 135 et 145. Ces capteurs renseignent le calculateur 120 sur les positions et/ou orientations des éléments mobiles des actionneurs ainsi que sur celles des gouvernes. Par exemple, un capteur 135 pourra indiquer la position en translation d'un vérin, un capteur 145, l'orientation d'un volet. Le calculateur 120 possède à la fois une fonction de commande et une fonction de surveillance. Il est relié aux actionneurs par des premiers câbles 133 destinés à transmettre les signaux analogiques de commande. Il est également relié aux capteurs 135 et 145 équipant respectivement les actionneurs et les gouvernes elles-mêmes par des seconds câbles, 137, et des troisièmes câbles, 147. Il peut ainsi à tout moment surveiller l'état des actionneurs et vérifier que les commandes ont bien été exécutées. En réalité, un système de commande de vol est composé de plusieurs systèmes élémentaires indépendants, chacun disposant de ses propres calculateurs, de son propre ensemble de capteurs et d'actionneurs et de son propre réseau de câbles. Ce système de commande de vol présente un certain nombre d'inconvénients dont la nécessité de déployer grand nombre de câbles entre les calculateurs d'une 3 part et les actionneurs et gouvernes qu'ils contrôlent, d'autre part. Ce déploiement de câbles grève le bilan de masse de l'aéronef et accroît l'exposition aux risques de perturbations électromagnétiques.

Afin de remédier à ces inconvénients, il a été proposé dans la demande française N° 08 50806 déposée au nom de la présente demanderesse et non publiée, d'utiliser un système de commande de vol distribué ou DFCS (Distributed Flight Control System), organisé autour d'un bus de communication multiplexé. Dans ce système DFCS, certaines fonctions de contrôle et de surveillance sont déportées des calculateurs centraux vers des terminaux distants situés au niveau des actionneurs. Les messages de commande et de surveillance entre les calculateurs centraux et terminaux distants sont transmis sur ledit bus multiplexé.

Par ailleurs, afin de garantir un haut niveau de sûreté, chaque système élémentaire du système de commande de vol est alimenté par une source d'énergie distincte.

La Fig. 2 illustre la structure globale d'un système de commande de vol d'un Airbus A380. Le système de commande de vol comprend quatre systèmes élémentaires indépendants désignés respectivement par SYST1, SYST2, SYST3 et BCM. Le système SYST1 comprend un calculateur primaire noté PRIM1 et un calculateur secondaire noté SEC1. De même, les systèmes SYST2 et SYST3 comprennent chacun un calculateur primaire 4 (PRIM2, PRIM3) et un calculateur secondaire (SEC2, SEC3). Le système de commande BCM est un système de secours. Les calculateurs PRIM1, PRIM2, PRIM3, SEC1, SEC2, SEC3 et BCM sont des calculateurs spécifiques aux calculs des commandes de vol. Les calculateurs primaires PRIM1, PRIM2 et PRIM3 ont tous la même structure. En revanche, les calculateurs secondaires SEC1, SEC2 et SEC3 ont une structure distincte de celle des calculateurs primaires. Le système de commande de vol peut fonctionner selon plusieurs modes. Les calculateurs primaires permettent au système de commande de vol de fonctionner en mode nominal, 210, c'est-à-dire de commander l'ensemble des surfaces de contrôle de l'aéronef. Les calculateurs secondaires fonctionnent en mode standby ou en mode esclave d'un calculateur primaire maître. Par défaut, le calculateur maître est le calculateur primaire PRIM1. Il transmet les commandes de vol à tous les autres calculateurs primaires ainsi qu'aux calculateurs secondaires. En cas de défaillance du calculateur PRIM1, le calculateur PRIM2 assure la relève, et si ce dernier est défaillant, PRIM3 l'assure à son tour. Lorsque tous les calculateurs primaires sont défaillants, les calculateurs secondaires prennent la relève dans le même ordre SEC1, SEC2, SEC3. En mode 220, les calculateurs secondaires mettent en oeuvre des lois de fonctionnement dégradées, c'est-à-dire plus robustes que celles utilisées par les systèmes primaires. En outre, les calculateurs secondaires ne permettent pas d'assurer la fonction d'autopilotage de l'avion à la différence des systèmes primaires. Enfin, les calculateurs secondaires contrôlent certaines des gouvernes de l'aéronef à partir des instructions du 5 calculateur PRIM1 ou à défaut, de celles d'un autre calculateur primaire, si ce dernier est défaillant. Le calculateur BCM (Back-up Control Module) correspond à un fonctionnement basique, 230. Les systèmes SYST1 et SYST3 sont alimentés par une première source d'énergie électrique El, par exemple un générateur de tension à fréquence variable (VFG). Le système SYST2 est alimenté par une seconde source d'énergie électrique E2, qui est indépendante de la première mais de même type. Enfin, le système de commande BCM est alimenté par une source de secours BPS (Back-up Power Supply), constituée par une génératrice montée sur un circuit hydraulique dont le fluide est entraîné par des pompes elles-mêmes entraînées mécaniquement par les réacteurs.

Un premier objet de la présente invention est de proposer un système de commande de vol distribué possédant une architecture modulaire intégrée plus simple que celle de l'art antérieur tout en garantissant un haut niveau de sûreté. Un second objet de la présente invention est de réduire le nombre de calculateurs dans le système de commande de vol sans sacrifier le niveau de sûreté requis. EXPOSÉ DE L'INVENTION La présente invention est définie par un système de commande de vol pour aéronef, destiné à commander 6 une pluralité d'actionneurs adaptés à actionner des gouvernes du dit aéronef à partir d'informations fournies par les organes de pilotage et/ou des capteurs de l'aéronef. Ce système de commande de vol comprend : - un système de commande dit primaire, adapté à contrôler un premier ensemble d'actionneurs de gouvernes du dit aéronef, comprenant au moins un calculateur, dit calculateur primaire, chaque calculateur primaire étant réalisé sous forme de modules de calcul génériques et alimenté par une source d'énergie, dite source d'énergie primaire ; - un système de commande dit secondaire, adapté à contrôler un second ensemble d'actionneurs de gouvernes du dit aéronef, ledit système secondaire comprenant au moins un calculateur, dit calculateur secondaire, chaque calculateur secondaire étant réalisé sous forme de modules de calcul ayant une architecture spécifique aux calculs de commandes de vol, dits modules spécifiques, et étant alimentés par une source d'énergie, dite source d'énergie secondaire, les sources d'énergie primaire et secondaire étant indépendantes et de types différents. Selon un mode de réalisation, le système de commande primaire comprend deux calculateurs primaires alimentés respectivement par une première et une seconde sources d'énergie primaires, la première et la seconde sources d'énergie primaires étant indépendantes. Chaque calculateur primaire est avantageusement relié à un réseau, dit réseau primaire, une première pluralité de terminaux abonnés au dit réseau primaire 7 étant adaptés à faire l'acquisition de signaux fournis par un premier ensemble de capteurs, une seconde pluralité de terminaux abonnés au dit réseau étant adaptés à recevoir des commandes du calculateur primaire et à transmettre des ordres électriques à des actionneurs appartenant au premier ensemble d'actionneurs. Chaque réseau primaire comprend au moins un noeud de réseau, le noeud du réseau primaire associé au premier calculateur primaire et le noeud du réseau primaire associé au second calculateur primaire étant avantageusement reliés par une liaison. Selon une variante de réalisation, au moins une grappe de terminaux abonnés du réseau primaire est reliée à un micro-commutateur, ledit micro-commutateur étant adapté à recevoir sur un premier port des trames transmises par le calculateur primaire à destination d'au moins un terminal de ladite grappe et, sur une pluralité de seconds ports, des trames transmises respectivement par les différents terminaux de ladite grappe, ledit micro-commutateur ayant une fonction de répéteur sur la liaison descendante et une fonction de multiplexeur sur la liaison montante. Chaque calculateur primaire peut être relié à un concentrateur via son réseau primaire associé, le concentrateur étant adapté à recevoir des informations fournies par une pluralité des dits organes de pilotage, à multiplexer lesdites informations et à transmettre les informations ainsi multiplexées au dit calculateur primaire. 8 Avantageusement, au moins un calculateur primaire comprend au moins un couple de modules génériques, ledit couple de modules génériques étant constitué d'un module de commande et d'un module de surveillance.

Selon une première variante de réalisation du calculateur primaire, celui-ci comprend un premier et un second couples de modules génériques, le second couple prenant la relève des calculs de commandes si le premier couple de modules génériques est défaillant.

Selon une seconde variante de réalisation du calculateur primaire, celui-ci comprend un triplet de modules génériques indépendants, chaque module effectuant les mêmes calculs de commande en parallèle à partir des informations fournies par les organes de pilotage et/ou les capteurs, les valeurs de commandes obtenues par les trois modules étant comparées pour sélectionner les valeurs données par la majorité. Selon une troisième variante de réalisation du calculateur primaire, celui-ci comprend un couple de modules génériques constitué d'un module de commande et d'un module de surveillance ainsi qu'un module supplémentaire en réserve pouvant être configuré comme module de commande ou en module de surveillance en cas de défaillance de l'un ou de l'autre des modules dudit couple. De même que le calculateur primaire, le calculateur secondaire peut comprendre un couple de modules spécifiques, le couple de modules spécifiques étant constitué d'un module de commande et d'un module de surveillance. 9 Le système de commande secondaire peut comprendre en outre un module spécifique de réserve pouvant être configuré en module de commande ou en module de surveillance en cas de défaillance d'un module appartenant au couple de modules spécifiques. Selon une variante de réalisation du calculateur secondaire, celui-ci comprend un triplet de modules spécifiques indépendants, chaque module effectuant les mêmes calculs de commande en parallèle à partir des informations fournies par les organes de pilotage, les valeurs de commandes obtenues par les trois modules étant comparées pour sélectionner les valeurs données par la majorité. Le système de commande secondaire peut comprendre en outre un réseau, dit réseau secondaire, chaque calculateur secondaire étant relié à ce réseau, une première pluralité de terminaux reliés au réseau secondaire étant adaptés à faire l'acquisition de signaux fournis par un second ensemble de capteurs et une seconde pluralité de terminaux abonnés au dit réseau secondaire étant adaptés à recevoir des commandes du calculateur secondaire et à transmettre des ordres électriques à des actionneurs appartenant au second ensemble d'actionneurs de gouvernes, les premier et second ensembles de capteurs étant disjoints et les premier et second ensembles d'actionneurs de gouvernes étant disjoints. Le système de commande secondaire peut encore comprendre un module spécifique indépendant de commande, dit module de secours, ne pouvant être désactivé sur intervention extérieure ni ne pouvant se 10 désactiver lui-même, le(s) couple(s) de module(s) spécifique(s) ainsi que le module de secours partageant ledit second réseau secondaire. L'invention concerne enfin un aéronef comprenant 5 un système de commande de vol tel qu'exposé ci-dessus. BRÈVE DESCRIPTION DES DESSINS

D'autres caractéristiques et avantages de 10 l'invention apparaîtront à la lecture d'un mode de réalisation préférentiel de l'invention fait en référence aux figures jointes parmi lesquelles : La Fig. 1 illustre schématiquement un système de commande de vol connu de l'état de la technique ; 15 La Fig. 2 illustre schématiquement un système de commande de vol connu de l'état de la technique ; La Fig. 3A représente un système de commande de vol selon un premier mode de réalisation de l'invention ; La Fig. 3B représente un système de commande de vol 20 selon un second mode de réalisation de l'invention ; La Fig. 4 représente un exemple de système de commande primaire selon l'invention ; La Fig. 5 représente un exemple de système de commande secondaire selon l'invention ; 25 Les Figs. 6A et 6B représentent schématiquement deux variantes d'implémentation des modules de calcul du système de commande primaire de la Fig. 4 ; Les Figs. 7A et 7B représentent schématiquement deux variantes d'implémentation des modules de calcul 30 du système de commande secondaire de la Fig. 5. 11 EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS L'idée à la base de l'invention est d'utiliser au moins un système de commande primaire réalisé à l'aide de calculateurs génériques, alimenté par au moins une source d'énergie, dite source d'énergie primaire, ainsi qu'un système de commande secondaire, réalisé sous forme de calculateurs spécifiques et alimenté par une source d'énergie, dite source d'énergie secondaire, indépendante et de type différent de la source d'énergie primaire. Par calculateur spécifique on entend un calculateur présentant une architecture matérielle spécifique aux commandes de vol, c'est à dire, plus précisément, une architecture matérielle adaptée aux calculs des commandes de vol ainsi qu'aux entrées-sorties afférentes. Les entrées-sorties permettent notamment l'acquisition des signaux fournis par les capteurs embarqués et la transmission des dites commandes de vol aux actionneurs des gouvernes. Le système secondaire peut comprendre, outre des calculateurs secondaires spécifiques, un calculateur de secours, également spécifique, qui sera décrit plus loin.

La Fig. 3A représente schématiquement un système 25 de commande de vol selon un premier mode de réalisation de l'invention. Le système de commande de vol 300 comprend deux systèmes de commande indépendants désignés respectivement par SYSTP et SYSTS. Le système de 30 commande primaire, SYSTP, comprend au moins un calculateur primaire noté PRIM, un premier ensemble 12 (non représenté) d'actionneurs de gouvernes commandés par ce calculateur et un premier ensemble (non représenté) de capteurs surveillant l'état de ces actionneurs et des gouvernes associées. Le calculateur primaire est relié au premier ensemble d'actionneurs et au premier ensemble de capteurs par un réseau, dit réseau primaire. De manière similaire, le système secondaire, SYSTS, comprend au moins un calculateur secondaire, noté SEC, un second ensemble d'actionneurs de gouvernes commandés par ce calculateur et un second ensemble de capteurs surveillant l'état de ces actionneurs et des gouvernes associées. Optionnellement, le système secondaire comprend aussi un calculateur de secours, BCM, partageant avec le calculateur secondaire le second ensemble d'actionneurs et le second ensemble de capteurs. Le calculateur secondaire et, le cas échéant, le calculateur de secours sont reliés au second ensemble d'actionneurs et au second ensemble de capteurs au moyen d'un réseau, dit réseau secondaire, indépendant du réseau primaire et de type différent de ce dernier. Par indépendance des réseaux, on entend qu'une défaillance du réseau primaire n'entraîne pas une défaillance du réseau secondaire, autrement dit les défaillances affectant respectivement les réseaux primaire et secondaire sont des évènements indépendants. Par réseaux de types différents, on entend des réseaux fonctionnant selon des protocoles de communication différents. Par exemple le réseau primaire pourra être un réseau AFDX (Avionics Full DupleX switched Ethernet) et le réseau secondaire 13 pourra être constitué d'un ou plusieurs bus de terrain conformes à la norme MIL-STD-1553. Il est important de noter que les premier et second ensembles de capteurs sont avantageusement disjoints. De même, les premier et second ensembles d'actionneurs sont disjoints. Les systèmes primaire et secondaire sont respectivement alimentés par des sources d'énergie Ep et Es indépendantes et de types différents. Par sources indépendantes on entend à nouveau que la défaillance de l'une n'entraîne pas la défaillance de l'autre. Par types différents, on entend que les principes de génération de l'énergie sont différents. Par exemple, Ep peut être une génératrice couplée à un réacteur et délivrant une tension de fréquence variable VFG (Variable Frequency Generator) fonction du régime de rotation des réacteurs, Es peut être un générateur à aimant permanent PMG (Permanent Magnet Generator), entraîné mécaniquement par un moteur. De manière générale, la source d'énergie Es est choisie plus fiable que la source d'énergie Ep.

La Fig. 3B représente schématiquement un système de commande de vol selon un second mode de réalisation de l'invention. A la différence du premier mode de réalisation, le système de commande primaire comprend ici une pluralité de calculateurs primaires reliés à des sources d'énergie indépendantes et de types différents. Les calculateurs primaires sont génériques et de structure identique. Ce mode de réalisation est préféré lorsque 14 le taux de panne d'un calculateur primaire est supérieur à celui exigé par l'organisme de certification. On comprendra en effet que si le niveau taux de panne maximum acceptable est de X et que le taux de panne moyen d'un calculateur primaire, pris isolément, est de X0, le nombre n de calculateurs primaires sera choisi tel que Xo <X . Dans un but d'illustration, une configuration avec deux calculateurs primaires PRIM1 et PRIM2 a été représentée ici mais il est clair que l'invention s'applique de manière générale à un nombre quelconque de tels calculateurs. Le calculateur PRIM1 est, comme on le verra en détail plus loin, relié à un premier sous-ensemble du premier ensemble d'actionneurs et à un premier sous-ensemble du premier ensemble de capteurs au moyen d'un premier réseau. De même, le calculateur PRIM2 est relié a un second sous-ensemble du premier ensemble d'actionneurs et à un second sous-ensemble du premier ensemble de capteurs au moyen d'un second réseau. Le réseau primaire est alors constitué par les premier et second réseaux. Les calculateurs PRIM1 et PRIM2 comprennent chacun un module de commande, dit module COM, et un module de surveillance, dit module MON. Les modules MON et COM sont de structure identique et ne diffèrent que par leur programmation. Un module COM peut être reconfiguré en module MON et réciproquement. Les modules MON et COM sont des calculateurs génériques, en pratique des cartes IMA montées dans un rack de la baie avionique, hébergeant des logiciels d'application spécifiques. 15 Le module COM transmet aux actionneurs des messages de commande via le réseau primaire (les actionneurs sont équipés de terminaux abonnés au réseau) et reçoivent des messages d'information ou de confirmation. Le module MON reçoit également les messages d'information ou de confirmation des actionneurs et vérifie la cohérence entre les messages de commande envoyés par le module COM et les messages d'information ou de confirmation qui sont retournés à cette dernière par les différents actionneurs. Les calculateurs primaire sont respectivement alimentés par des sources d'énergie électrique indépendantes, notées Epl et Ep2.

Il est possible d'adjoindre au calculateur primaire PRIM1 un calculateur supplémentaire PRIM3, de même structure que PRIM1 et alimenté par Epl, et pouvant prendre le relais de PRIM1 en cas de défaillance de ce dernier. Pour les mêmes raisons, il est possible d'adjoindre un calculateur supplémentaire PRIMO au calculateur primaire PRIM2. Les calculateurs PRIM3 et PRIMO tout comme les calculateurs PRIM1 et PRIM2 sont chacun composés de calculateurs génériques, l'un servant pour la commande et l'autre pour la surveillance.

Comme déjà mentionné en relation avec les Figs. 3A et 3B, le système de commande de vol 300 comprend en outre un système secondaire SYSTS. Le système SYSTS comprend un ou plusieurs calculateurs secondaires, par exemple deux calculateurs SEC1, SEC2 et, 16 avantageusement, un calculateur de secours, BCM. Les calculateurs secondaires SEC1, SEC2 et le calculateur de secours BCM partagent les seconds ensembles d'actionneurs et de capteurs grâce au réseau secondaire. Chacun des calculateurs secondaires SEC1 et SEC2 est composé de modules MON et COM qui jouent les mêmes rôles que ceux indiqués précédemment pour le système primaire. Les modules sont toutefois ici implémentés sous forme de calculateurs spécifiques. Les calculateurs secondaires correspondent à un mode de commande 320 plus robuste que le mode nominal 310 des calculateurs primaires, au sens où, par exemple, les lois de commande des gouvernes sont simplifiées et/ou les contraintes sur l'observation des consignes sont relaxées par rapport à celles utilisées par les calculateurs primaires. En outre, les calculateurs secondaires peuvent ne pas accepter certaines fonctionnalités comme l'autopilotage.

Le calculateur de secours BCM, lorsqu'il est présent, est un calculateur monovoie, c'est-à-dire qu'il est constitué d'un seul module de structure identique à un module COM ou MON d'un calculateur secondaire. Le calculateur de secours BCM prend la relève lorsque le(s) calculateur(s) primaire(s) et secondaire(s) sont désactivés, que ce soit automatiquement suite à une panne ou manuellement par les pilotes. Le calculateur de secours a pour particularité de ne pouvoir être désactivé ni par une intervention extérieure ni suite à une opération d'auto-test. 17 Le système secondaire SYSTS est alimenté par une source d'énergie électrique Es, indépendante et type distinct de Epl et Ep2.

La Fig. 4 illustre plus précisément la structure du système primaire SYSTP dans le mode de réalisation de la Fig. 3B. Les calculateurs primaires PRIM1 et PRIM2 ont été représentés par leurs modules COM et MON, à savoir PRIM1A et PRIM1B pour le calculateur PRIM1, et PRIM2A et PRIM2B pour le calculateur PRIM2. Comme on l'a dit plus haut, ces modules sont des calculateurs génériques, montés en rack dans la baie avionique. Comme indiqué précédemment, on peut adjoindre au calculateur PRIM1, un calculateur PRIM3 comprenant lui aussi un module COM, PRIM3A et un module MON, PRIM3B (représentés en traits discontinus). Ces modules sont alors reliés au commutateur de trames SW1. De même on peut adjoindre au calculateur PRIM2 un calculateur supplémentaire PRIMO, comportant des modules COM et MON notés respectivement PRIM4A et PRIM4B (représentés en traits discontinus). Ces modules sont reliés au commutateur SW2. Les calculateurs supplémentaires PRIM3 et PRIMO peuvent être des calculateurs en réserve, non nécessairement destinés à effectuer des calculs de commandes de vol. Ils peuvent, en cas de besoin, aussi bien être utilisés par d'autres systèmes embarqués. On décrira tout d'abord la partie du système primaire contrôlée par le premier calculateur primaire, PRIM1.

Les modules PRIM1A et PRIM1B sont connectés au premier réseau 410, avantageusement un réseau AFDX. Plus précisément, ils sont reliés à un premier commutateur de trames SW1 situé également dans la baie avionique. Le commutateur SW1 reçoit en outre sur deux ports distincts, via les concentrateurs CR1 et CR2, les informations fournies par les organes de pilotage 420, 430 du pilote et du copilote. Plus précisément, les concentrateurs CR1 et CR2 multiplexent les mêmes informations issues de 420 et 430 à des fins de surveillance croisée. Les concentrateurs CR1, CR2 ont une architecture générique (IMA). Un certain nombre de capteurs 440 sont également reliés au premier réseau 410, par exemple des accéléromètres et des gyromètres utilisés pour les fonctions avancées des commandes de vol. Plus précisément des terminaux distants abonnés à ce réseau font l'acquisition des signaux fournis par ces capteurs et transmettent les données correspondantes aux calculateurs. Le cas échéant, les capteurs peuvent incorporer lesdits terminaux distants et sont donc alors directement abonnés au réseau AFDX. Les modules PRIM1A et PRIM1B reçoivent les informations fournies par les organes de pilotage 420, 430 ainsi que par les capteurs 440, en déduisent des commandes de vol, notamment les ordres de braquage des gouvernes. En fonctionnement nominal le module PRIM1A transmet les commandes de vol aux différents actionneurs reliés au premier sous-réseau (le module 19 PRIM1B n'ayant qu'un rôle de surveillance). Plus précisément, des terminaux abonnés au premier réseau, déportés auprès des actionneurs, reçoivent les commandes de PRIM1A et transmettent les ordres électriques aux actionneurs. Les terminaux abonnés associés aux capteurs ou aux actionneurs peuvent être directement connectés à un commutateur de trames tel que le commutateur SW1, situé dans la baie avionique. Toutefois, afin de réduire le nombre et la longueur des liaisons, on peut prévoir des équipements de commutation de trames dénommés micro-commutateurs. Les micro-commutateurs permettent de traiter localement les trames en provenance ou à destination d'une grappe de terminaux abonnés. Plus précisément, un micro-commutateur possède un premier port généralement relié à un commutateur AFDX et une pluralité de seconds ports reliés aux différents abonnés. Sur la liaison descendante, c'est-à-dire pour des trames reçues par le premier port à destination d'un abonné, le micro-commutateur joue le rôle de répéteur (hub), c'est-à-dire qu'une trame incidente sur le premier port est répliquée sur tous les seconds ports. Les abonnés qui la reçoivent déterminent s'ils sont destinataires, et l'ignorent dans la négative et la prennent en considération dans l'affirmative. Sur la liaison montante, c'est-à-dire pour des trames émises par les différents abonnés, le micro-commutateur scrute tour à tour les seconds ports et vide leurs tampons respectifs sur le premier port, selon un mécanisme de type round robin , assurant un partage équitable de la bande passante. 20 Les terminaux équipant les actionneurs comprennent généralement un module de contrôle de l'actionneur, COM, et un module de surveillance, MON chargé de vérifier si les ordres électriques transmis a l'actionneur par le module COM sont bien cohérents avec les commandes transmises par les modules des calculateurs primaires. Les deux modules COM et MON d'un même terminal peuvent être multiplexés pour être reliés au même port d'un micro-commutateur ou bien être reliés à des ports distincts d'un même micro-commutateur ou à des ports de micro-commutateurs distincts, la première option permettant cependant de réduire le câblage du réseau. De manière générale, un terminal abonné sera connecté à un micro-commutateur local, sauf si les contraintes de temps de latence imposent une connexion directe à un commutateur. L'architecture du réseau AFDX sera avantageusement choisie de manière à ce que l'on ne traverse pas plus d'un commutateur et d'un micro- commutateur en passant d'un module d'un calculateur primaire à un terminal abonné. Comme illustré en Fig. 4, le premier réseau AFDX, 410, comprend des micro-commutateurs SWI, iSW3, SW5, iSW7 correspondant respectivement au premier sous- ensemble de capteurs 440, et aux sous-ensembles d'actionneurs contrôlant respectivement les groupes de gouvernes G, Gz et 61. Le groupe Gi est constitué ici du premier aileron gauche AILg et des aérofreins gauches Sg,Sg, le groupe GZ est constitué de l'aileron droit AIL et des aérofreins droits S',S' , le groupe G3

est constitué des élévateurs gauche et droit ELg,ELa et de la dérive RDR2. Les micro-commutateurs SW1 , iSW3 et SW5 sont avantageusement situés dans la zone de soute centrale de l'aéronef, le micro-commutateur iSW7 est situé quant à lui dans la queue de l'appareil. Ainsi les micro-commutateurs sont situés à proximité des équipements qu'ils desservent et la quantité de câblage est réduite.

La partie du système primaire contrôlée par PRIM2 est similaire à celle contrôlée par PRIM1 et sa description ne sera donc pas reprise en détail. On notera brièvement que le modules PRIM2A et PRIM2B sont connectés à un second réseau, ici un réseau AFDX, 411. Plus précisément, ils sont reliés à un second commutateur de trames SW2 situé comme SW1 dans la baie avionique. Le commutateur SW2 reçoit sur deux ports distincts, via les concentrateurs CR3 et CR4, les informations fournies par les organes de pilotage 420, 430 du pilote et du copilote. Les concentrateurs CR3 et CR4 multiplexent les mêmes informations issues de 420 et 430 à des fins de surveillance croisée. Tout comme les concentrateurs CR1 et CR2, les concentrateurs CR3, CR4 ont une architecture générique (IMA). Un certain nombre de capteurs 441 sont reliés au second réseau AFDX, 411. Plus précisément, des terminaux distants abonnés à ce second réseau font l'acquisition des signaux fournis par ces capteurs et transmettent les données correspondantes aux calculateurs. Les modules PRIM2A et PRIM2B reçoivent les informations fournies par les organes de pilotage 420, 430 ainsi que par les capteurs 441 et calculent des commandes de vol, en l'occurrence les ordres de braquage des gouvernes. En fonctionnement nominal le module PRIM2A transmet les commandes de vol aux différents actionneurs reliés au second sous-réseau AFDX (le module PRIM2B n'ayant qu'un rôle de surveillance). Ces actionneurs agissent sur des gouvernes appartenant aux trois groupes G1, G3 e t G3 .

Le second réseau AFDX 411 comprend des micro-commutateurs SW2 , SW4 , SW6 , SWg correspondant respectivement au second sous-ensemble de capteurs 441, et aux groupes de gouvernes G, G et G. Le premier groupe G1 est constitué ici des aérofreins gauches S3,S3, le second groupe G est constitué des aérofreins droits S2d,S3, le troisième groupe G est constitué de la dérive RDR3, du plan horizontal réglable THS2 (Trimmable Horizontal Surface) ainsi que de l'élévateur droit ELa . Les micro-commutateurs SW2 , SW4 , SW6 , sont avantageusement situés dans la zone de soute centrale de l'aéronef, le micro-commutateur SWg est situé quant à lui dans la queue de l'appareil. Il est important de noter que les premier et second réseaux AFDX peuvent être reliés entre eux pour former un seul réseau, par exemple à l'aide d'une liaison entre les commutateurs SW1 et SW2. Cette liaison est avantageusement réalisée à l'aide d'une fibre optique, OF, ce qui permet un découplage galvanique des deux sous-réseaux. Cette liaison permet 23 à chacun des modules PRIM1A, PRIM1B, PRIM2A et PRIM2B d'exploiter en mode nominal l'ensemble des informations provenant des concentrateurs CRI, CR2, CR3 et CR4, ainsi que des capteurs 440 et 441. Ceci permet d'effectuer une surveillance croisée entre les différents modules et le, cas échéant, d'accroître la disponibilité de l'un ou l'autre d'entre eux. De surcroît, si l'un des calculateurs primaires est défaillant ou désactivé par le pilote, l'autre calculateur peut prendre la main sur la totalité des gouvernes en recupérant les informations provenant de la totalité des capteurs. En outre si deux actionneurs reliés respectivement aux premier et second réseaux contrôlent la même gouverne, ils peuvent dialoguer via la liaison de couplage entre les deux réseaux de manière à ce que leurs actions soient cohérentes et ne créent pas de contraintes mécaniques dans la gouverne en question. Grâce à cette liaison de couplage, le dialogue entre les deux actionneurs peut s'établir sans passer par les calculateurs centraux et donc avec un faible temps de latence. Les liaisons appartenant aux premier et second réseaux AFDX peuvent être réalisées classiquement à l'aide de paires de fils torsadées, à l'aide de fibres optiques ou d'une combinaison des deux, la fibre optique étant utilisée pour les liaisons les plus sensibles à d'éventuelles perturbations électromagnétiques. Enfin, de manière générale les noeuds du premier 30 et/ou du second réseau(x) AFDX peuvent être des commutateurs de trames (SW) ou des micro-commutateurs 24

( SW) tels que définis plus haut, ou encore une combinaison des deux comme représenté en Fig. 4, le choix étant fait notamment en fonction des contraintes de trafic et de latence sur le réseau.

La Fig. 5 illustre un exemple de réalisation du système de commande secondaire SYSTS. Le système de commande secondaire comprend ici deux calculateurs secondaires SEC1, SEC2 et un calculateur de secours noté BCM. Le calculateur secondaire SEC1 comprend un module COM et un module MON, notés respectivement SEC1A et SEC1B. De même, le calculateur secondaire SEC2 comprend un module COM et un module MON, notés respectivement SEC2A et SEC2B. Le calculateur de secours BCM est constitué d'un seul module, de structure identique à celle des modules COM et MON précédents. Les calculateurs SEC1, SEC2 et BCM partagent une pluralité de bus correspondant chacun au contrôle d'un sous-ensemble d'actionneurs de gouvernes.

Dans le cas présent, trois bus B1, B2 et B3 sont prévus, correspondant respectivement à des gouvernes d'ailerons, des gouvernes d'aérofreins et des gouvernes de surfaces de contrôle arrière. Les bus sont de préférence conformes à la norme MIL-STD-1553. D'autres types d'organisation du réseau secondaire peuvent être envisagés, notamment le réseau secondaire peut se réduire à un seul bus. En fonctionnement nominal, le calculateur SEC1 est maître des bus B1 , B2 et B3. En cas de défaillance de SEC1, le calculateur SEC2 prend en charge les calculs et devient maître des bus. Si les systèmes primaires 25 PRIM1, PRIM2 ainsi que les calculateurs SEC1 et SEC2 sont défaillants, le calculateur BCM prend à son tour le contrôle des bus et, en tant que dernier recours, contrôle les gouvernes de l'aéronef.

Des capteurs 540 peuvent également être connectés aux différents bus, par exemple des capteurs de mouvement comme des gyromètres. Ces capteurs sont distincts de ceux appartenant aux systèmes primaires. Ils sont avantageusement équipés d'interfaces numériques permettant directement un couplage aux bus B1 , B2 et B3. Les calculateurs SEC1, SEC2 et BCM reçoivent des informations des organes de pilotage à savoir des informations relatives notamment aux mini-manches et aux palonniers des postes du pilote et du copilote. Ces informations sont transmises aux calculateurs sous forme numérique ou analogique. Plus précisément, ces informations sont acquises directement par les cartes entrée/sortie des modules COM et MON des calculateurs SEC1 et SEC2 ainsi que par la carte entrée/sortie du module BCM. A partir des informations des organes de pilotage et, le cas échéant, des informations fournies par les capteurs connectés aux bus, les calculateurs SEC1 et SEC2 calculent les commandes pour actionner les gouvernes. Par exemple, le bus B1 permet de contrôler l'aileron gauche AILg et l'aileron droit AIL, le bus B2 permet de contrôler l'aérofrein gauche Sg et l'aérofrein droit e, le bus B3 permet de contrôler 26 l'élévateur gauche ELg, la dérive RDR1 et le plan horizontal réglable THS1. Les actionneurs contrôlant ces gouvernes sont des actionneurs dits intelligents car ils sont capables de contrôler localement leur asservissement. Chaque actionneur est équipé d'un terminal abonné au réseau MIL-STD-1553 avec un module COM contrôlant l'actionneur et un module MON surveillant le module COM. Le module MON peut désactiver le module COM en cas de désaccord entre la commande et la surveillance.

Le système de commande de vol décrit plus haut présente un certain nombre de calculateurs redondés à des fins de disponibilité. Par exemple, le calculateur primaire (facultatif) PRIM3 est redondant avec PRIM1, le calculateur primaire (facultatif) PRIMO est redondant avec PRIM 2. De manière similaire, le calculateur secondaire SEC2 est redondant avec SEC1. Lorsque le calculateur principal (PRIM1, PRIM2, SEC1) est défaillant, le calculateur auxiliaire (PRIM3, PRIMO, SEC2) prend la relève. Comme on l'a déjà vu, chaque calculateur principal ou auxiliaire comprend deux modules COM et MON, ce qui nécessite donc quatre modules par système primaire (SYSTP1, SYSTP2) ou secondaire. Selon une première variante, on utilise en lieu et place de deux couples de modules COM et MON, trois modules indépendants effectuant chacun les mêmes calculs de commandes en parallèle. Les résultats sont alors comparés : en fonctionnement nominal, il y a unanimité entre les différents modules ; en revanche si 27 ceux obtenus par l'un des modules diffèrent de ceux obtenus par les deux autres, seuls les résultats correspondant au vote majoritaire sont utilisés. L'avantage de cette variante est de réduire le nombre de modules par rapport au système de commande précédemment exposé. On a en effet alors deux systèmes primaires SYSTP1 et SYSTP2 comprenant respectivement un calculateur primaire PRIM1 à trois modules PRIM1A, PRIM1B, PRIM1C et un calculateur primaire PRIM2 à trois modules également. Le système SYSTS possède aussi un calculateur secondaire SEC à trois modules SEC1A, SEC1B, SEC1C ainsi qu'un calculateur de secours à un seul module, BCM.

Selon une seconde variante, on utilise en lieu et place de deux couples de modules COM et MON, un seul couple de tels modules avec un module de réserve supplémentaire qui peut être configuré en cas de besoin en module COM ou MON pour se substituer à un module défaillant. Ce module de réserve, d'architecture générique, n'est pas nécessairement destiné à être utilisé pour des calculs de commandes de vol mais peut en cas de besoin être utilisé par d'autres systèmes embarqués.

Les Figs. 6A et 6B montrent respectivement l'architecture du système primaire SYSTP dans la configuration de la Fig. 4 et dans celle de la seconde variante.

On voit en Fig. 6B que, dans la seconde variante, la redondance (représentée par le trait discontinu) 28 porte sur un seul module par calculateur : PRIM1C pour le calculateur PRIM1 et PRIM2C pour le calculateur PRIM2. On a donc un gain de deux modules par rapport à la Fig. 6A où la redondance concerne le calculateur complet. Si, lors de la détection d'une panne, on ne peut déterminer quel module COM ou MON de PRIM1 (ou de PRIM2) est défaillant, le calculateur PRIM1 (respectivement PRIM2) est déclaré défaillant. C'est alors l'autre calculateur primaire qui contrôle l'aéronef.

Les Fig. 7A et 7B illustrent respectivement l'architecture du système de commande secondaire dans la configuration de la Fig. 5 et dans celle de la seconde variante de réalisation. On voit en Fig. 7B que la redondance porte sur un seul module SEC1C pour le calculateur SEC alors que la redondance porte sur le calculateur secondaire complet SEC2A, SEC2B en Fig. 7A, d'où un gain d'un module. S'il n'est pas possible de déterminer quel module MON ou COM du calculateur SEC1 est défaillant, le calculateur complet est considéré comme défaillant. Il est à noter que le système primaire, d'une part, et le système secondaire, d'autre part, peuvent utiliser des variantes différentes. L'exemple de réalisation du système secondaire illustré en Fig. 5 fait appel à un module de secours BCM. Il est toutefois possible de se passer de ce module si l'on utilise des actionneurs dits intelligents , c'est-à-dire des actionneurs capables de recevoir et d'exécuter directement des ordres des organes de pilotage. Plus précisément, lors de la perte des calculateurs primaire(s) et secondaire(s), les actionneurs agissant sur les élévateurs et les ailerons reçoivent alors directement les ordres du mini-manche et l'actionneur agissant sur la dérive reçoit les ordres du palonnier.

Dans les modes de réalisation exposés précédemment, les informations des organes de pilotage sont transmis aux concentrateurs CR1, CR2, CR3, CR4 pour le système primaire SYSTP, et directement aux modules des calculateurs SEC1, SEC2, BCM pour le système secondaire SYTS.

Selon une première option, les informations des organes de pilotage sont transmis sous forme analogique aux concentrateurs CR1, CR2, CR3, CR4 et aux modules de SEC1, SEC2. Les concentrateurs assurent la conversion analogique numérique et transmettent les informations ainsi numérisées aux modules des calculateurs primaires via les commutateurs SW1 et SW2. Une seconde option diffère de la première en ce que les informations de pilotage sont transmises aux modules de SEC1, SEC2 non pas directement mais via des concentrateurs SR1, SR2, SR3, SR4 spécifiques aux commandes de vol, qui assurent eux-mêmes la conversion analogique numérique. Ces concentrateurs ont une architecture matérielle spécifique à l'inverse des concentrateurs CR1, CR2, CR3, CR4 qui ont un hardware générique. De surcroît, les concentrateurs spécifiques pourront utiliser un réseau de type différent de celui utilisé par les concentrateurs génériques (par exemple AFDX pour les concentrateurs génériques et MIL-STD-1553 pour les concentrateurs spécifiques).

Selon une troisième option, les informations de pilotage sont transmises directement sous forme numérique par les organes de pilotage aux modules des calculateurs primaires et secondaires. Les concentrateurs CRI, CR2, CR3, CR4 et SRI , SR2 , SR3 , SR4 sont alors superflus. Selon une quatrième option, les informations de pilotage sont transmises sous forme analogique aux concentrateurs CRI, CR2, CR3, CR4 et directement sous forme numérique aux modules des calculateurs SEC1, SEC2 et BCM. L'homme du métier comprendra que d'autres options puissent être envisagées sans pour autant sortir du cadre de l'invention.

Claims

REVENDICATIONS1. Système de commande de vol pour aéronef, destiné à commander une pluralité d'actionneurs adaptés à actionner des gouvernes du dit aéronef à partir d'informations fournies par les organes de pilotage et/ou des capteurs de l'aéronef, caractérisé en ce qu'il comprend : - un système de commande dit primaire (SYSTP), adapté à contrôler un premier ensemble d'actionneurs de gouvernes du dit aéronef, comprenant au moins un calculateur, dit calculateur primaire (PRIM, PRIM1, PRIM2), chaque calculateur primaire étant réalisé sous forme de modules de calcul génériques (PRIM1A, PRIM1B, PRIM2A, PRIM2B) et alimenté par une source d'énergie (Ep, Epl, Ep2), dite source d'énergie primaire; - un système de commande dit secondaire (SYSTS), adapté à contrôler un second ensemble d'actionneurs de gouvernes du dit aéronef, ledit système secondaire comprenant au moins un calculateur (SEC1, SEC2), dit calculateur secondaire, chaque calculateur secondaire étant réalisé sous forme de modules de calcul (SEC1A, SEC1B, SEC2A, SEC2B) ayant une architecture spécifique aux calculs de commandes de vol, dits modules spécifiques, et étant alimentés par une source d'énergie (Es), dite source d'énergie secondaire, les sources d'énergie primaire et secondaire étant indépendantes et de types différents.
2. Système de commande de vol selon la revendication 1, caractérisé en ce que le système decommande primaire (SYSTP) comprend deux calculateurs primaires (PRIM1, PRIM2) alimentés respectivement par une première et une seconde sources d'énergie primaires (Epl, Ep2), la première et la seconde sources d'énergie primaires étant indépendantes.
3. Système de commande de vol selon la revendication 2, caractérisé en ce que chaque calculateur primaire est relié à un réseau, dit réseau primaire (410, 411), une première pluralité de terminaux abonnés au dit réseau primaire étant adaptés à faire l'acquisition de signaux fournis par un premier ensemble de capteurs (440, 441), une seconde pluralité de terminaux abonnés au dit réseau étant adaptés à recevoir des commandes du calculateur primaire et à transmettre des ordres électriques à des actionneurs appartenant au premier ensemble d'actionneurs.
4. Système de commande de vol selon la revendication 3, caractérisé en ce que chaque réseau primaire comprend au moins un noeud de réseau (SW,SW2, SWI à SW8) , le noeud (SW1) du réseau primaire associé au premier calculateur primaire et le noeud (SW2) du réseau primaire associé au second calculateur 25 primaire étant reliés par une liaison (0F).
5. Système de commande de vol selon la revendication 3, caractérisé en ce qu'au moins une grappe de terminaux abonnés du réseau primaire est 30 reliée à un micro-commutateur ( SW1,..., SWg) , ledit micro-commutateur étant adapté à recevoir sur unpremier port des trames transmises par le calculateur primaire à destination d'au moins un terminal de ladite grappe et, sur une pluralité de seconds ports, des trames transmises respectivement par les différents terminaux de ladite grappe, ledit micro-commutateur ayant une fonction de répéteur sur la liaison descendante et une fonction de multiplexeur sur la liaison montante.
6. Système de commande de vol selon l'une des revendications 3 à 5, caractérisé en ce que chaque calculateur primaire est relié à un concentrateur (CRi,CR2) via son réseau primaire associé, le concentrateur étant adapté à recevoir des informations fournies par une pluralité des dits organes de pilotage, à multiplexer lesdites informations et à transmettre les informations ainsi multiplexées au dit calculateur primaire.
7. Système de commande de vol selon l'une des revendications précédentes, caractérisé en ce qu'au moins un calculateur primaire (PRIM1, PRIM2) comprend au moins un couple de modules génériques ((PRIMIA, PRIM1B) ; (PRIM2A, PRIM2B)), ledit couple de modules génériques étant constitué d'un module de commande (COM) et d'un module de surveillance (MON).
8. Système de commande de vol selon la revendication 7, caractérisé en ce que le calculateur primaire (PRIM1) comprend un premier et un second couples de modules génériques, le second couple 34 (PRIM3A, PRIM3B) prenant la relève des calculs de commandes si le premier couple de modules génériques (PRIM1A, PRIM1B) est défaillant.
9. Système de commande de vol selon la revendication 7, caractérisé en ce que le calculateur primaire (PRIM1) comprend un triplet de modules génériques indépendants (PRIM1A, PRIM1B, PRIM1C), chaque module effectuant les mêmes calculs de commande en parallèle à partir des informations fournies par les organes de pilotage et/ou les capteurs, les valeurs de commandes obtenues par les trois modules étant comparées pour sélectionner les valeurs données par la majorité.
10. Système de commande de vol selon l'une des revendications 1 à 6 , caractérisé en ce qu'au moins un calculateur primaire comprend un couple de modules génériques constitué d'un module de commande et d'un module de surveillance ainsi qu'un module supplémentaire en réserve pouvant être configuré comme module de commande ou en module de surveillance en cas de défaillance de l'un ou de l'autre des modules dudit couple.
11. Système de commande de vol selon l'une des revendications précédentes, caractérisé en ce qu'au moins un calculateur secondaire (SEC1) comprend un couple ((SEC1A, SEC1B)) de modules spécifiques, le couple de modules spécifiques étant constitué d'un module de commande et d'un module de surveillance. 35
12. Système de commande de vol selon la revendication 11, caractérisé en ce que le système de commande secondaire (SYSTS) comprend en outre un module spécifique de réserve pouvant être configuré en module de commande ou en module de surveillance en cas de défaillance d'un module appartenant au couple de modules spécifiques.
13. Système de commande de vol selon la revendication 11, caractérisé en ce que le calculateur secondaire (SYSTS) comprend un triplet de modules spécifiques indépendants (SEC1A, SEC1B, SEC1C), chaque module effectuant les mêmes calculs de commande en parallèle à partir des informations fournies par les organes de pilotage, les valeurs de commandes obtenues par les trois modules étant comparées pour sélectionner les valeurs données par la majorité.
14. Système de commande de vol selon la revendication 11, caractérisé en ce que le système de commande secondaire comprend un réseau, dit réseau secondaire et que chaque calculateur secondaire (SEC1, SEC2) est relié à ce réseau, une première pluralité de terminaux reliés au réseau secondaire étant adaptés à faire l'acquisition de signaux fournis par un second ensemble de capteurs (540) et une seconde pluralité de terminaux abonnés au dit réseau secondaire étant adaptés à recevoir des commandes du calculateur secondaire et à transmettre des ordres électriques à des actionneurs appartenant au second ensemble 36 d'actionneurs de gouvernes, les premier et second ensembles de capteurs étant disjoints et les premier et second ensembles d'actionneurs de gouvernes étant disjoints.
15. Système de commande de vol selon la revendication 14, caractérisé en ce que le système de commande secondaire (SYSTS) comprend en outre un module spécifique indépendant de commande, dit module de secours (BCM), ne pouvant être désactivé sur intervention extérieure ni ne pouvant se désactiver lui-même, le(s) couple(s) de module(s) spécifique(s) ainsi que le module de secours partageant ledit second réseau secondaire.
16. Aéronef caractérisé en ce qu'il comprend un système de commande de vol selon l'une des revendications précédentes.