FR2986398A1 - Dispositif de securite pour la commande d'un moteur comprenant une redondance des acquisitions d'une mesure de capteurs - Google Patents

Abstract

Le dispositif de sécurité pour le contrôle d'un moteur (M) comprend au moins un premier et un second capteurs (C1, C2) d'un paramètre environnemental, au moins deux voies (V1, V2) de traitement des données mesurées par les capteurs (C1, C2), chacune des voies comprenant chacune un module de commande (K1, K2) et chacune une alimentation (A1, A2). Le dispositif comprend au moins deux relais (R1, R2), . le premier relais (R1) étant susceptible de recevoir une première commande (CMD1) provenant d'une alimentation et délivrant, en absence de la première commande, les données du premier capteur (C1) au second module de commande (K2), . le second relais (R2) étant susceptible de recevoir une seconde commande (CMD2) provenant de l'alimentation (A2) et délivrant, en absence de la seconde commande, les données du second capteur (C2) au premier module de commande (K1). L'alimentation de la voie active envoie une commande au relais qui lui est associé, le relais envoyant les données du capteur à la voie active.

Description

DISPOSITIF DE SECURITE POUR LA COMMANDE D'UN MOTEUR COMPRENANT UNE REDONDANCE DES ACQUISITIONS D'UNE MESURE DE CAPTEURS DOMAINE Le domaine de l'invention concerne les dispositifs de contrôle des conditions environnementales des systèmes de régulation des moteurs d'aéronefs de type turboréacteur. Enfin, l'invention se rapporte aux dispositifs faisant intervenir des calculs de redondance à partir de mesures de valeurs provenant de capteurs situés à proximité du moteur, notamment des capteurs à variation de résistance. Dans une application particulière, l'invention se rapporte au 15 domaine des systèmes de protection notamment vis-à-vis des incendies et des survitesses du moteur. ETAT DE L'ART Les moteurs actuels, de type turboréacteur, sont souvent associés 20 à des calculateurs de régulation qui sont généralement installés à proximité et parfois même situés dans une zone, dite « zone feu » du moteur. Dans la « zone feu », il est primordial de contrôler en permanence la température pour prévenir d'un incendie potentiel. Un des principaux dangers en cas d'incendie est la perte de 25 contrôle du moteur pouvant engager une survitesse du moteur. Un second calculateur peut être prévu de manière à prévenir d'une survitesse du moteur. Cela peut être le cas lorsqu'il est possible de séparer le pilotage des fonctions de régulation du moteur et des fonctions de détection et de contrôle de survitesse. Typiquement, dans ce cas une panne 30 d'un calculateur n'entraine pas automatiquement la panne du second. Selon les architectures, les fonctions de régulation et de protection de survitesse peuvent être réalisées par le même calculateur ou par des calculateurs indépendants. Dans les architectures ou le calculateur assure les deux fonctions, 35 certaines précautions doivent être prises de manière à minimiser les cas de pannes possibles des équipements et assurer un niveau de sureté de fonctionnement suffisant. Le niveau de sureté de fonctionnement peut être assuré par une architecture redondant les valeurs provenant des capteurs de mesures de manière à permettre une détection exhaustive des cas de pannes tout en minimisant le taux de fausses détections quel que soit la configuration de l'équipement contrôlé.

Dans une zone feu à proximité d'un turboréacteur, un incendie peut : - engendrer une survitesse, car la partie régulation du calculateur peut par exemple : o générer une commande de régulation erronée de carburant ou ; o engager une fermeture de vanne erronée due à une erreur sur le régime contrôle ou ; o acquérir des données erronées provenant de capteurs, - faire perdre la protection survitesse due à la perte de la fonction survitesse du calculateur. En cas d'incendie, un risque de générer un comportement erroné de la régulation du moteur déclenchant potentiellement une panne entrainant la perte de la protection survitesse peut survenir. Les fonctions de contrôle de régulation et de protection du moteur sont donc sensibles aux mêmes pannes. La cause de la panne du système de protection survitesse est alors la même que celle de la régulation du moteur.

L'évènement appelé « survitesse non contrôlée » est classé comme un événement dit "Hazardous" par les autorités de certification. Il est donc essentiel d'éviter le cas de figure mentionné précédemment. Notamment, le mode commun réalisé par le calculateur hébergeant les fonctions de protection survitesse et de régulation du moteur doit être secondé et/ou redondé de manière à permettre une détection rapide des mesures avec un taux de fausses détections minimisé. Le niveau de performance doit être identique dans le cas nominal et dans un cas d'accident par exemple, c'est-à-dire dans lequel les conditions environnementales sont extraordinaires.

Le raisonnement précédent s'applique également au système de protection de sur-poussée et de la régulation de la sur-poussée. Certaines solutions actuelles permettent de résoudre ce problème.

Une solution consiste à mettre en place un système de protection incendie qui coupe le moteur pour éviter la survitesse non contrôlée lors d'une détection. Une architecture possible du système de protection feu du calculateur de régulation fait intervenir deux capteurs de température interne et deux détecteurs incendie externes de type thermistors. Chacun de ces détecteurs externes peut être dans un exemple de réalisation assimilé à une résistance variable. Cette résistance variable est également appelée dans la littérature technique : « VRT », acronyme anglo-saxon signifiant « Variable Resistance Transducer ».

Le thermistor peut être configuré de manière à ce qu'une détection d'une surchauffe globale ou d'une flamme localisée puisse être réalisée grâce à la variation de sa résistance. Le calculateur de régulation acquiert une valeur de résistance d'un thermistor de manière régulière et engage des calculs permettant de contrôler l'évolution de la température.

Notamment, le calculateur de régulation convertit la valeur de la résistance mesurée en température à partir d'une table par exemple. Enfin, une comparaison peut être effectuée à partir d'un seuil prédéfini. Lorsque la valeur dépasse un seuil, une surchauffe ou une flamme peut être déclaré par le système de détection.

D'autres conditions peuvent être testées par l'intermédiaire de calculs de paramètres environnementaux notamment par la comparaison de valeurs avec des seuils prédéfinis. Le calculateur de régulation peut être programmé de manière à couper le moteur pour éviter une survitesse en cas de détection d'un paramètre environnemental tel que la température allant au-delà d'un seuil défini. Néanmoins, les solutions existantes présentent des inconvénients quant à la sureté de fonctionnement. De manière à permettre d'une part une détection optimale des 35 valeurs provenant des capteurs de mesures de conditions environnementales et d'autre part une discrimination efficace entre le cas d'une défaillance d'un capteur et le cas d'une détection d'un réel incendie par exemple, les dispositifs de contrôle comprennent souvent deux chaines identiques fonctionnellement permettant de redonder les collectes d'informations avant d'entreprendre une action. Ces chaines sont également appelées des voies. Chaque voie comprend un module d'acquisition des mesures, un module de commande et une alimentation. Les voies idéalement doivent être indépendantes l'une de l'autre, néanmoins elles peuvent échanger des informations de manière à effectuer des opérations de corrélation de données mesurées de part et d'autre. Une première voie A et une seconde voie B effectuent des calculs similaires de manières à corréler leur résultat et s'assurer qu'une détection d'une valeur d'un capteur indiquant un danger est réellement une telle détection et non une erreur de détection.

Un des problèmes majeurs est que lorsqu'une voie tombe en panne, alors la redondance d'information doit toujours pouvoir être assurée, d'autant plus qu'une panne d'une voie vient de se produire. On comprend par exemple qu'un aéronef effectuant un vol et subissant une dégradation d'une de ses voies de contrôle moteur doit pouvoir finir son vol et revenir tout en assurant une sécurité maximale. Dans certains cas, l'aéronef doit enchaîner un certain nombre de missions avant toute opération de maintenance. Dans le présent cas, si une voie tombe en panne, il ne reste plus qu'un capteur et un détecteur incendie pour assurer la détection d'un feu ou d'une surchauffe. En cas de perte d'une voie, la panne du détecteur incendie restant n'est pas une contrainte de fonctionnement dans la mesure où cette détection de panne est conjuguée à la détection d'un incendie, par exemple à partir d'un capteur de température interne. L'incendie est considéré lui aussi comme une panne, donc pour ne pas détecter un incendie se déclenchant avec une seule voie il faut qu'une double panne se produise. Dans ce dernier cas le taux de fausse panne est acceptable. Cependant, une détection intempestive peut arriver sur une simple panne du détecteur incendie restant, et le taux de détection intempestive d'un détecteur n'étant pas assez faible, un risque est de détecter un feu alors qu'il n'y en a pas et donc de couper le moteur. Cette dernière solution ne constitue pas un fonctionnement acceptable pour un aéronef. s Certaines solutions consistent à démultiplier les capteurs et à densifier les architectures en les rendant d'autant plus complexes et couteuses. Il est par exemple possible d'utiliser jusqu'à quatre capteurs de températures, dont deux par voies. Avec cette solution, chaque voie acquiert bien deux mesures de 10 thermistors. Lorsqu'une voie est en panne et qu'il ne reste plus qu'une voie qui fonctionne, il reste donc deux thermistors qui délivrent leurs mesures. Une détection intempestive d'incendie ou de surchauffe ne peut donc se faire qu'à cause d'une double panne, ce qui est acceptable. Cependant, en doublant le nombre de thermistors, on double la 15 masse du dispositif. En outre, le coût est augmenté d'autant plus qu'il est nécessaire d'ajouter un second capteur sur chacune des voies. Enfin, le volume disponible autour du calculateur ne permet pas de façon certaine d'installer ces quatre détecteurs. 20 Une autre solution consiste à utiliser des capteurs non alimentés électriquement, en conséquence ils peuvent être indépendants de l'alimentation de la voie à laquelle ils sont associés. Par exemple, des détecteurs incendie de type « pneumatique » peuvent être utilisés. La technologie des détecteurs pneumatiques permet de faire 25 acquérir des discrets par le calculateur. Lorsqu'un dispositif acquiert un discret, il acquiert un courant mais le fait que celui-ci soit divisé par deux à cause de la redondance et le fait que la redondance dégrade la précision ne gênent pas, car seuls les états "alimenté"/"non alimenté" sont nécessaires. Il n'est pas nécessaire d'obtenir la valeur exacte du courant. De plus comme 30 mentionné précédemment, avec cette technologie pneumatique, le calculateur ne doit pas alimenter les détecteurs. Cependant, un détecteur pneumatique est environ deux fois plus cher qu'un thermistor, et environ deux fois plus lourd, et cela impliquerait de modifier l'interface électrique sur chaque voie, cette solution présente un désavantage dans les solutions dans lesquelles il est nécessaire de diminuer les coûts. RESUME DE L'INVENTION L'invention permet de résoudre les inconvénients précités. L'invention a pour objet un dispositif de sécurité pour le contrôle d'un moteur comprenant au moins un premier et un second capteurs d'un paramètre environnemental, au moins une première et une seconde voies de traitement des données mesurées par les capteurs, chacune des voies comprenant un état actif ou passif définissant une voie active et une voie passive, la voie active pilotant au moins un actionneur du moteur, chacune des voies comprenant respectivement un premier et un second modules de commande et une première et une seconde alimentations. Avantageusement, le dispositif comprend au moins un premier et un second relais. - Le premier relais étant susceptible de recevoir une première commande provenant de la première alimentation et délivrant, en absence de la première commande, les données du premier capteur au module de commande de la seconde voie. - Le second relais étant susceptible de recevoir une seconde commande provenant de l'alimentation de la seconde voie et délivrant, en absence de la seconde commande, les données du second capteur au module de commande de la première voie.

Avantageusement, l'alimentation de la voie active envoie une commande au relais qui lui est associé, le relais ainsi commandé envoyant les données provenant du capteur qui lui est associé au module de commande de la voie active. La présente invention vise donc à proposer une solution permettant de redonder le signal des capteurs de température tels que des thermistors, de manière à ce que chaque module de commande de chaque voie acquière les données provenant des différents capteurs. Ainsi en cas de panne d'une des voies, le dispositif de l'invention permet d'assurer l'acheminement des valeurs mesurées par au moins deux capteurs vers le module de commande de la voie active, c'est-à-dire la voie pilotant les actionneurs d'un moteur. La redondance des signaux délivrés au module de commande de la voie active permet de réduire le taux de fausses détections de pannes. Selon les modes de réalisations, les modules de commande K1 et s K2 permettent de piloter différents actionneurs Qi,iE[1 ; N] qui contrôlent le moteur. En outre, le module de commande comprend un calculateur permettant d'effectuer des opérations sur des consignes ou des valeurs reçues des dispositifs de traitement des signaux. Enfin le module de commande est capable de générer l'émission de données, par exemple d'un 10 mot de santé à l'autre module de commande. Ainsi, une détection intempestive ne pourra se produire que sur une double panne, c'est-à-dire une double détection intempestive, au lieu de se produire sur une simple panne. Un des problèmes que permet de résoudre l'invention consiste en 15 ce que la redondance des mesures des signaux des capteurs ne se fait jamais. Notamment, une première raison est qu'un capteur tel qu'un thermistor doit être alimenté par la voie à laquelle il est relié. La redondance pose donc une contrainte quant à l'alimentation du capteur lorsque la voie 20 tombe en panne. L'alimenter par une seule des deux voies choisie arbitrairement pose un problème en cas de panne de cette voie. Par ailleurs, les capteurs à résistance variable ne peuvent être alimentés par plusieurs alimentations en même temps sans pouvoir modifier les circuits d'acquisition des signaux électriques. 25 Une seconde raison est que pour obtenir un signal d'un capteur en température de type à résistance variable, il faut acquérir un courant et une tension, la résistance s'obtenant ensuite par la loi d'Ohm. Redonder le circuit électrique entre les deux voies diminuerait donc l'intensité sensiblement par deux, aux composants utilisés près. Par conséquent, une multiplication par 30 deux en interne n'est pas envisageable, la précision serait trop dégradée. L'invention permet d'assurer une redondance des mesures des capteurs dans chaque module de commande de sorte que cette redondance soit envisageable et rendue possible. Les modules de commande comprennent avantageusement chacun un calculateur permettant d'effectuer des mesures sur les mesures acquises par les capteurs et traitées par les dispositifs de traitement. Avantageusement, chaque voie comprend un dispositif de traitement du signal.

Avantageusement, l'alimentation du relais est réalisée par une commande électrique. Avantageusement, des capteurs sont alimentés par les alimentations de chaque voie. Avantageusement, les capteurs sont des capteurs à résistance variable. Avantageusement, les capteurs sont des capteurs de température. Avantageusement, les capteurs sont des capteurs capacitifs. Avantageusement, le module de commande de la voie active permet de piloter l'arrêt du moteur ou sa réduction de vitesse.

Avantageusement, chaque relais comprend un double interrupteur. Avantageusement, chaque voie comprend un capteur de température interne.

BREVES DESCRIPTION DES FIGURES D'autres caractéristiques et avantages de l'invention ressortiront à la lecture de la description détaillée qui suit, en référence aux figures annexées, qui illustrent : ^ figure 1 : un schéma de principe de l'invention comprenant le contrôle de température sur une double voie ; ^ figure 2 : un schéma détaillé d'un premier relais du dispositif de l'invention et de ses interfaces ; ^ figure 3 : un schéma détaillé d'un second relais du dispositif de l'invention et de ses interfaces.

DESCRIPTION Dans la suite de la description : - on dit qu'un relais et une voie sont associés dans la mesure où une commande électrique de l'alimentation de ladite voie est physiquement connectée audit relais ; - on dit qu'un relais et un capteur sont associés dans la mesure où un relais achemine les mesures dudit capteur vers un composant donné. s La figure 1 représente un mode de réalisation du dispositif de l'invention comprenant deux voies permettant de redonder des mesures des de capteurs de données relatives à des conditions environnementales. Parmi les conditions environnementales surveillées à proximité du moteur, la température ambiante est mesurée à des instants réguliers de manière à 10 prévenir la survenance d'un incendie. L'analyse des mesures par un ou des calculateurs permet d'agir notamment au moyen de la génération de commandes sur des actionneurs contrôlant le moteur. Il est alors possible d'éviter par exemple une survitesse du moteur. 15 Lorsqu'on évoque dans la présente demande « un calculateur », on entend le calculateur présent dans un module de commande K1 ou K2. Chaque voie V1, respectivement V2, comprend un dispositif d'acquisition des signaux, lesdits signaux provenant des capteurs. Sur la figure 1, les dispositifs d'acquisition des signaux sont notés TS1 ou TS2. 20 En outre, chaque voie comprend au moins un module de commande Kl, respectivement K2, permettant de générer des commandes de régulation aux actionneurs agissant sur le moteur M. Les commandes sont adaptées et générées selon les valeurs des mesures des capteurs Cl et/ou C2. 25 En outre, chaque voie V1 ou V2 comprend une alimentation A1, respectivement A2, alimentant les composants de chacune des voies. Le dispositif de l'invention comprend au moins deux relais R1 et R2 qui sont susceptibles de commuter : - d'une part l'acquisition des mesures réalisées par les capteurs 30 C1, C2 vers les voies V1, V2 et ; - d'autre part un courant d'alimentation délivré par les alimentations A1, A2 de chaque voie vers les capteurs Cl et C2. -10- Chaque voie comprend un état défini par les états suivants : actif ou passif. La voie active délivre des commandes de régulation à des actionneurs agissant sur un moteur M alors que la voie passive est muette vis-à-vis de ces mêmes actionneurs. Sur la figure 1 la voie active est la voie V1. Dans un mode de réalisation amélioré, chaque statut d'une voie est attribué par les modules de commande K1, K2 internes à chacune des voies V1, V2. Une liaison peut être prévue entre les deux modules de commande K1, K2 pour échanger des données, notamment des données définissant le statut de chaque voie. Selon les modes de réalisations, la logique d'attribution du statut actif/passif d'une voie peut être définie par des historiques de pannes ou de cycles de fonctionnement ou encore par tout autre paramètre qui peut être combiné également à d'autres paramètres permettant de définir qu'une voie est active ou passive. Les deux voies peuvent s'échanger un mot de santé, la voie la plus « saine », c' est à dire ayant eu le moins de cas de pannes, devient active, l'autre étant alors passive. Lorsqu'une panne est détectée sur l'un des composants d'une voie active, ladite voie peut devenir automatiquement passive et donner à l'autre voie une donnée définissant le nouveau statut actif de la voie n'ayant pas subie de panne. Le dispositif comprend dans une configuration initiale des relais et 25 un mode de fonctionnement des relais définissant une logique de commutation prédéfinie. Un but de l'invention est de permettre au module de commande pilotant les actionneurs contrôlant le moteur d'un aéronef de disposer de mesures provenant d'au moins deux capteurs de manière à limiter le taux de 30 fausses détections. Le dispositif de l'invention comprend donc au moins deux capteurs et comprend également deux relais. La figure 1 représente une configuration de deux relais de l'invention permettant de redonder l'acquisition de mesures 35 de capteurs délivrées dans chacune des voies. -11- C'est donc la voie V1 active dans cette configuration qui fait l'acquisition des mesures des capteurs Cl et C2. Les figures 2 et 3 illustrent des relais dans un mode de réalisation de l'invention ainsi qu'une architecture permettant de définir une logique de commutation. La figure 2 représente en détail un exemple de relais R1 et R2 pour des capteurs de type thermistors à résistances variables. Le relais R1 est associé au premier capteur Cl et comprend un double interrupteur. La figure 3 représente un relais R2 associé au seconde capteur C2 et comprenant lui aussi un double interrupteur. Chaque relais comprend des sorties physiques susceptibles soient d'acheminer des mesures de capteurs dans la première voie, soient d'acheminer les mesures de capteurs dans la seconde voie.

Lorsque les interrupteurs d'un relais sont en position haute, comme représenté sur la figure 2 ou la figure 3, c'est l'alimentation Al de la première voie V1 qui alimente le ou les capteurs associés au relais. La voie active fait l'acquisition des mesures des capteurs de chaque relais.

Lorsque les interrupteurs d'un relais sont en position basse, configuration non représentée, c'est l'alimentation A2 de la seconde voie V2 qui alimente le ou les capteurs associés au relais. Le dispositif de l'invention permet une configuration dans laquelle 25 des commandes notées CMD1 et CMD2 provenant de chacune des voies V1, respectivement V2, permettent de commander électriquement la position des interrupteurs de chacun des relais. Le dispositif de l'invention permet de configurer les relais de telle sorte qu'un premier relais achemine les mesures d'un premier capteur Cl 30 auquel il est associé vers la voie qui comprend un retour commandé vers un autre relais, dans l'exemple des figures 2 et 3 le second relais. Un second relais est configuré de manière symétrique dans la mesure où ce dernier achemine les mesures d'un second capteur C2 auquel il est associé vers la voie qui comprend un retour commandé vers le premier 35 relais. -12- Dans la configuration par défaut, les relais et les voies sont « croisées » dans la mesure où un relais achemine les mesures de capteurs qu'ils lui sont associés vers la voie à laquelle le relais n'est pas associé. Le relais R1 est associé à la voie V1 par l'intermédiaire d'une s connexion physique permettant éventuellement la génération d'une commande CMD1. Le relais R2 est associé à la voie V2 par l'intermédiaire d'une connexion physique permettant éventuellement la génération d'une commande CMD2. 10 Le relais R1 est associé au capteur C1, le Cl envoyant ses mesures au relais R1. Le relais R2 est associé au capteur C2, le C2 envoyant ses mesures au relais R2. 15 Dans un mode de réalisation, la voie passive n'émet pas de commande au relais qu'il lui est associé. Dans l'exemple de la figure 3, aucune commande CMD2 n'est émise vers le relais. Donc le relais R2 est dans sa configuration par défaut et achemine les mesures du capteur C2 vers la voie V1. 20 En revanche, la voie active, V1 sur la figure 2, émet une commande électrique CMD1 au relais R1 qu'il lui est associé. Lorsqu'une commande électrique, par exemple CMD1, comme représentée à la figure 2, est envoyée au relais associé R1, le relais change la commutation et aiguille les mesures du capteur qui lui est associé, c'est à 25 dire Cl sur la figure 2, vers la voie V1 à laquelle il est associé. Ainsi la commande électrique CMD1 provenant de la voie active permet de modifier la position des interrupteurs par défaut. Ces derniers se positionnent vers le haut comme représenté à la figure 2. Ainsi la première voie V1, qui est la voie active dans cet exemple, 30 et en particulier le dispositif de traitement des signaux TS1 reçoit les signaux aiguillés par les relais R1 et R2 provenant des capteurs. Le dispositif de traitement des signaux peut éventuellement comporter des fonctions de détection de seuil, de remise en forme de signaux reçus, de génération de consignes pour le module de commande. -13- Dans une variante un seul composant permet de réaliser les fonctions d'acquisition et traitement des valeurs mesurées par les capteurs et des fonctions de commandes du module de commande.

L'architecture de commutation du dispositif de l'invention est conçue de telle manière qu'au moins une voie reçoive les signaux des deux capteurs. Cette architecture assure un taux de fausses détections réduit et acceptable.

Lorsqu'un relais n'est pas commandé, il se positionne mécaniquement sur sa position par défaut. La position par défaut est définie comme étant celle qui lui permet de délivrer les mesures d'un capteur qui lui est associé à la voie qui ne lui est pas associée. Par exemple, lorsque le relais R1 n'est pas commandé, c'est-à- dire que la voie V1 n'est pas active, ledit relais R1 positionne ses interrupteurs vers le bas de telle sorte que les mesures prélevées du capteur Cl sont envoyées vers la seconde voie V2, notamment au dispositif d'acquisition des signaux de la seconde voie V2. Lorsque le premier relais R1 est commandé, il change la position de ses interrupteurs, positionnés alors vers le haut. Le relais R1 achemine alors les mesures du capteur Cl vers la première voie V1 devenue active. Lorsque c'est le second relais R2 qui est commandé par la seconde voie V2 qui est alors active, les interrupteurs du second relais sont alors vers le bas orientant les signaux du capteur C2 vers la seconde voie 25 V2. Le dispositif de l'invention permet donc de prendre en compte le statut de la voie de manière à commuter les interrupteurs des relais de sorte que le module de commande de la voie active reçoive des mesures de deux 30 capteurs. Du point de vue d'une voie, si elle est active, elle envoie une commande au relais qui lui est associé. Ce dernier positionne ses interrupteurs de manière à ce que le module de commande de la voie active reçoive les signaux provenant du capteur qui lui est associé. -14- Lorsqu'une voie est passive, aucune commande n'est envoyée au relais associé à la voie. Ce dernier relais envoie par défaut les mesures du capteur qui lui est associé vers la voie qui ne lui est pas associée.

Dans un mode amélioré, une liaison est établie entre les deux voies. Cette liaison permet d'échanger des signaux entre les deux voies. Dans un mode de réalisation de l'invention, une corrélation de données peut être effectuée de sorte que les données perçues par une voie puissent être comparées avec celle reçue par l'autre voie indépendamment du statut actif/passif de chacune des voies. Cette solution permet également que les deux voies puissent assurer la détection. Un avantage de l'invention est que lorsque les deux voies sont opérationnelles, la voie active fait l'acquisition des données acheminées par les deux relais. La voie active transmet ces données à la voie passive par une liaison entre les deux modules de commande de chacune des voies. Les deux voies possèdent donc chacune des données redondées provenant des capteurs de mesure C1, C2.

Selon les modes de réalisation, il est possible qu'en amont d'un relais plusieurs capteurs envoient leur mesure au relais qui leur est associé. Dans une configuration du dispositif de l'invention, les relais comportent plusieurs entrées permettant une démultiplication d'un même capteur ou la connexion de différents capteurs. Chaque type de capteur peut être redondé par le dispositif de l'invention. Le mode le plus simple de l'invention concerne un unique capteur connecté à un relais. Mais une adaptation simple permettrait de disposer plusieurs capteurs en amont de chaque relais. Lorsqu'une voie tombe en panne, un avantage du dispositif de l'invention permet de configurer les modules de commande de manière à ce que la voie qui n'est pas tombée en panne devienne la voie active. Cette dernière voie, appliquant la logique de commutation définie précédemment, -15- envoie une commande au relais qui lui est associé. Ce dernier relais achemine alors, par une commutation des interrupteurs, les mesures du capteur auquel il est associé vers la voie nouvellement active. Le relais de la voie en panne est alors dans une configuration par défaut. Le relais associé à la voie en panne ne reçoit plus la commande électrique provenant de la voie qui est devenue en panne. En conséquence, ce relais achemine les mesures du capteur qui lui est associé vers la voie qui ne lui est pas associée. Dans cette configuration dans laquelle une voie tombe en panne, 10 l'autre voie reçoit des données redondées correspondantes aux mesures des deux capteurs, chaque capteur étant associé à un relais. Lorsqu'un relais tombe en panne et que ce relais est associé à la voie active, la voie active ne peut plus commander son relais. En 15 conséquence, le relais associé à la voie active se repositionne dans sa configuration par défaut et envoie ses données à la voie passive. Le relais associé à la voie passive n'est pas commandé par son relais. En conséquence, chacune des voies acquiert des données du relais qui ne lui est pas associé. Dans un second temps les données reçues 20 respectivement par les deux voies K1 et K2 sont échangés entre eux par la liaison inter-voie de manière à permettre à chaque voie d'avoir les mesures de chaque capteur. Lorsqu'un relais tombe en panne et que ce relais est associé à la 25 voie passive, la voie passive ne commande pas son relais. En conséquence, le relais associé à la voie passive est positionné par défaut et envoie les données à la voie qui ne lui est pas associée, c'est-à-dire la voie active. Le relais associé à la voie active envoie les données à ladite voie active. 30 En conséquence, dans cette configuration, la voie active reçoit les données des deux relais et les transmets au module de commande de la voie passive par la liaison entre les deux modules de commande. Lorsqu'un premier capteur tombe en panne, la panne est vue par 35 la voie qui fait l'acquisition des données provenant du relais qui lui est -16- associé, par exemple la voie active. En conséquence, une fausse détection générée par le second capteur et transmise à la voie active est considérée comme une double panne. La voie active constatant une absence de signaux et recevant un signal erroné établit deux erreurs indépendantes. s En effet, un premier capteur tombe en panne et le second fait l'acquisition d'une mauvaise mesure, ce qui peut être compris comme une double panne. En conséquence, ce cas de double panne ne sera pas plus défavorable qu'une autre double panne du système. Le taux de fausses détections sera donc équivalent à n'importe quelle autre double panne 10 pouvant se produire dans le dispositif. Le dispositif de l'invention permet de délivrer des signaux ou des données redondé(e)s au module de commande de la voie active grâce à la mise en place de relais et d'une architecture physique et logique de 15 commutation desdits relais. Le dispositif de l'invention permet : - d'obtenir un moyen de redonder les capteurs de manière à toujours permettre une redondance de l'acquisition de leurs 20 signaux ; - d'implémenter une logique de commutation des relais pour chacun des deux capteurs utilisés. Le dispositif de l'invention peut comprendre des capteurs de types 25 à résistance variable, tels que des capteurs à température. Dans d'autre modes de réalisation, d'autres capteurs peuvent être compatibles du dispositif de l'invention, notamment tous les capteurs qui ont besoin d'être alimentés. 30 Plus particulièrement, on trouve des capteurs à mesure de résistance variable, dont l'acronyme utilisé est VRT. Il s'agit de détecteurs « incendie », de type « thermistor » par exemple, dont certains forment des capteurs de température. -17- Il est également possible de munir le dispositif de l'invention de capteurs de pression. Dans ce cas, ils fonctionnent généralement avec une "strain gauge" qui a besoin d'être alimentée.

Enfin il est possible de munir le dispositif de l'invention de capteurs capacitifs qui permettent par exemple : - de mesurer une densité d'huile ou de carburant ; - de mesurer une permittivité, pour en déduire un débit de carburant ; - de mesure un niveau d'huile. Enfin le dispositif de l'invention pourrait s'appliquer également à certains switches qui utilisent un pont diviseur de tension, par exemple : ceux de l'inverseur de poussée ou niveau d'huile.

Claims (10)

1. REVENDICATIONS1. Dispositif de sécurité pour le contrôle d'un moteur REVENDICATIONS1. Dispositif de sécurité pour le contrôle d'un moteur (M) comprenant au moins un premier et un second capteurs (C1, C2) d'un paramètre environnemental, au moins une première et une seconde voies (V1, V2) de traitement des données mesurées par les capteurs (C1, C2), chacune des voies comprenant un état actif ou passif définissant une to voie active (VA) et une voie passive (VP), la voie active (VA) pilotant au moins un actionneur (01) du moteur (M), chacune des voies (V1, V2) comprenant respectivement un premier et un second modules de commande (K1, K2) et une première et une seconde alimentations (A1, A2), caractérisé en ce que le dispositif comprend au moins un 15 premier et un second relais (R1, R2), - le premier relais (R1) étant susceptible de recevoir une première commande (CMD1) provenant de la première alimentation (A1) et délivrant, en absence de la première commande, les données du premier capteur (C1) au module de 20 commande (K2) de la seconde voie (V2), - le second relais (R2) étant susceptible de recevoir une seconde commande (CMD2) provenant de l'alimentation (A2) de la seconde voie (V2) et délivrant, en absence de la seconde commande, les données du second capteur (C2) au module de 25 commande (K1) de la première voie (V1), l'alimentation de la voie active (VA) envoyant une commande au relais qui lui est associé, le relais ainsi commandé envoyant les données provenant du capteur qui lui est associé au module de commande de la voie active (VA). 30
2. 2. Dispositif de sécurité selon la revendication 1, caractérisé en ce que chaque voie comprend un dispositif de traitement du signal (TS1, TS2).
3. 3. Dispositif de sécurité selon l'une quelconque des revendications 1 à 2, caractérisé en ce que l'alimentation du relais est réalisée par une commande électrique (CMDA, CMD2).
4. 4. Dispositif de sécurité selon l'une quelconque des revendications 1 à 3, caractérisé en ce que des capteurs (C1, C2) sont alimentés par les alimentations (A1, A2) de chaque voie (V1, V2).
5. 5. Dispositif de sécurité selon l'une quelconque des revendications 1 à 4, caractérisé en ce que les capteurs (C1, C2) sont des capteurs à résistance variable.
6. 6. Dispositif de sécurité selon la revendication 5, caractérisé en ce que les capteurs (C1, C2) sont des capteurs de température.
7. 7. Dispositif de sécurité selon l'une quelconque des revendications 1 à 4, caractérisé en ce que les capteurs (C1, C2) sont des capteurs capacitifs.
8. 8. Dispositif de sécurité selon l'une quelconque des revendications 1 à 7, caractérisé en ce que le module de commande de la voie active permet de piloter l'arrêt du moteur ou sa réduction de vitesse.
9. 9. Dispositif de sécurité selon l'une quelconque des revendications 1 à 8, 25 caractérisé en ce que chaque relais (R1, R2) comprend un double interrupteur.
10. 10. Dispositif de sécurité selon la revendication 1, caractérisé en ce que chaque voie comprend un capteur de température interne.