Note: Descriptions are shown in the official language in which they were submitted.
CA 02751114 2011-08-18
1
Système de traitement de signaux redondants, procédé associé, et aéronef
comprenant un tel système
La présente invention concerne un système de traitement de signaux
redondants, un procédé associé, ainsi qu'un aéronef comprenant un tel système,
dans
une optique de surveillance et de passivation des pannes erratiques ou
oscillantes
affectant les sources de ces signaux redondants.
De nombreux systèmes utilisent aujourd'hui plusieurs signaux redondants
représentatifs d'une même grandeur physique et provenant de plusieurs sources.
C'est
le cas notamment des systèmes embarqués dans les moyens de locomotion, comme
par exemple les systèmes de commandes de vol électriques prévus pour les
aéronefs.
L'utilisation de plusieurs sources redondantes accroit en effet grandement
la fiabilité des systèmes les utilisant.
Pour des raisons de concision, bien que l'invention s'applique à tout type
de système, elle sera illustrée par la suite principalement en référence à de
tels
systèmes de commandes de vol électriques.
Ainsi, la figure 1 montre schématiquement un calculateur 1 d'un système
de commandes de vol électriques pour aéronef 2. Le calculateur 1 acquiert des
consignes {Ci) en provenance des pilotes, telles que la position du manche,
puis les
traduit (bloc 10) en objectifs de commande {0i}.
En parallèle, des mesures de valeurs représentatives de grandeurs
physiques, telles que des mesures anémométriques et/ou GPS et/ou inertielles,
sont
réalisées à l'aide de capteurs 20 de l'aéronef. Sur la figure et pour la
suite, seule une
valeur parmi l'ensemble des valeurs qui sont gérées est représentée et prise
en
compte, notée X., bien que l'invention s'applique également lorsque plusieurs
valeurs
sont prises en compte.
Les objectifs de commande {0i} et les valeurs X sont utilisés par les lois de
pilotage 11 pour calculer des ordres de gouverne appropriés {oGi} à appliquer
aux
gouvernes de l'aéronef 2.
Comme le système de commandes de vol électriques est critique, le
calculateur 1 qu'il intègre acquiert la même grandeur physique X à l'aide de
plusieurs
sources redondantes 20, généralement au travers d'une redondance double ou
triple.
Les valeurs acquises de ces sources redondantes sont représentées, sur la
figure,
sous forme des signaux {X1, XN).
CA 02751114 2011-08-18
2
L'utilisation de signaux redondants permet de consolider la valeur utile X
passée dans les lois de pilotage 11 en utilisant des principes de surveillance
et de
passivation des sources 20, mis en oeuvre par un système de traitement de
signaux
redondants 12.
La surveillance par le module 12 de pannes dans les sources est opérée
par analyse des signaux redondants {X1, X1=1} en
vue généralement de déterminer
et d'écarter un signal qui s'avère erroné pendant une durée prédéterminée,
notée T (et
donc mise à l'écart de la source associée défaillante).
La passivation des sources consiste à limiter l'effet d'une telle défaillance
pour éviter par exemple le départ en saturation (ou "embarquement") de la
valeur X.
Ces mécanismes ont été partiellement abordés dans la publication
"Evaluation of time-varying availability in multi-echelon spare parts systems
with
passivation", Hoong Chuin Lau et al., 2004.
A titre illustratif, dans les calculateurs de lois de commande 1, la
surveillance des sources peut revêtir la forme d'une comparaison, entre eux,
des
signaux {X1, ... 1} provenant des différentes sources redondantes, par
exemple en
déterminant l'écart entre chacun de ces signaux et une combinaison linéaire de
ceux-
ci. Puis, une défaillance est déclarée et la source correspondante écartée
lorsque cet
écart pour l'un des signaux est supérieur à un certain seuil de tolérance (ou
surveillance) pendant la durée T.
Pour limiter l'effet de la défaillance sur les lois de pilotage 11 et sur le
comportement de l'avion 2 pendant le temps (T) nécessaire à la détection de la
défaillance, les algorithmes de passivation des défaillances sont alors mis en
oeuvre.
Ceux-ci consistent par exemple figer, pendant un temps T+s, la valeur utile
X à l'instant tO de la détection d'un écart d'une source avec les autres.
Ainsi, la valeur
utile à l'instant t est celle de l'instant tO si t0<t<t0+T+c. Au bout de la
fenêtre T+s, le
signal utile redevient le signal courant.
Ces mécanismes ne sont toutefois pas toujours adaptés à la surveillance et
la passivation de pannes erratiques ou oscillantes affectant les signaux des
sources
{X1, ...
Par exemple, dans le cas où un signal redondant s'avère alternativement
valide et erroné pendant une durée T, les mécanismes de surveillance de l'état
de l'art
ne vont pas déclencher de détection de défaillance ni de mise à l'écart de la
source
correspondante, car aucun signal n'aura été erroné pendant toute le durée T.
3
Ainsi, au terme de la période T, la valeur utile X risque d'être, elle aussi,
erronée car tenant compte du signal courant alternativement erroné. Les
mécanismes
de surveillance et de passivation s'avèrent donc ne pas être suffisamment
robustes
aux différents types de pannes existantes, notamment erratiques ou
oscillantes.
La présente invention vise à pallier cet inconvénient en proposant
notamment un système de traitement de signaux redondants de mesures acquises
de
valeur représentatives d'une grandeur physique, comprenant :
¨ des entrées pour recevoir une pluralité desdits signaux redondants
provenant de sources;
¨ un module de calcul d'un signal utile courant à partir de signaux
redondants d'entrée;
¨ un module de surveillance et de passivation des sources, apte à
détecter un signal erroné pris en compte dans ledit calcul, et à écarter, du
calcul et en
fonction d'au moins un critère (par exemple la période T évoquée ci-dessus),
ledit
signal erroné; et
¨ une sortie pour émettre, comme signal utile de sortie, ledit signal utile
courant calculé lorsque aucun signal erroné n'est détecté;
caractérisé en ce qu'il comprend en outre un moyen pour basculer, dès
que ledit signal erroné est détecté, dans un mode de figement où le signal
utile de
sortie est figé en sortie, et pour revenir, dès lors que plus aucun signal
erroné n'est
détecté, dans un mode d'émission où le signal utile courant calculé est émis
comme
signal utile de sortie.
Des modes de réalisations préférés du système sont décrits ci-dessous.
La présente invention offre ainsi des mécanismes de surveillance et de
passivation plus efficaces. En effet, la surveillance selon l'invention
garantit toujours la
détection et la mise à l'écart des sources défaillantes, alors que la
passivation est
nettement améliorée par l'utilisation du moyen pour basculer.
Cela résulte notamment du fait que désormais la bascule entre le mode de
figement du signal utile de sortie et le mode d'émission du signal utile
calculé est
déclenchée en "temps réel", c'est-à-dire dès qu'une panne (défaillance) est
détectée
ou résorbée.
On garantit ainsi qu'aucun signal utile de sortie ne résulte d'un calcul
effectué sur un signal d'entrée erroné, contrairement aux techniques connues
moins
robustes vis-à-vis des pannes de type erratiques ou oscillantes.
CA 2751114 2017-06-28
4
Afin d'accroître la robustesse du système, il peut être prévu que le système
comprend des moyens pour déterminer, sur une fenêtre temporelle glissante, une
grandeur représentative du temps durant lequel le système est dans le mode de
figement de sorte à écarter du calcul, dès que cette grandeur atteint une
valeur seuil
d'écartement, au moins un signal détecté comme erroné au cours de la durée de
ladite
fenêtre.
Cette disposition permet d'écarter définitivement, contrairement aux
techniques connues, une source défaillante alors qu'elle subit une panne de
type
erratique ou oscillatoire. Cette mise à l'écart permet alors d'effectuer à
nouveau les
calculs du signal utile courant à l'aide uniquement des sources fiables. La
valeur seuil
d'écartement peut être ajustée pour régler la sensibilité des mécanismes
d'écartement
en fonction de la fréquence des pannes erratiques ou oscillantes.
Cette robustesse accrue s'avère particulièrement efficace lorsque le signal
utile de sortie est utilisé comme référence d'asservissement dans un système
tiers. En
effet, en l'absence de ce mécanisme de détermination, le signal utile de
sortie pourrait
être quasi-figé dans le temps, pouvant conduire à une divergence des ordres de
par la
boucle d'asservissement.
En particulier, le module de surveillance et de passivation est agencé pour
déterminer, sur la fenêtre temporelle glissante, une grandeur représentative
du temps
durant lequel un signal est détecté comme erroné de sorte à écarter, du
calcul, le
signal détecté comme erroné dès que cette grandeur atteint ladite valeur seuil
d'écartement.
Cette disposition garantit une identification plus précise du signal erroné et
donc de la source à écarter, car un compteur du temps (i.e. ladite grandeur)
peut être
affecté à chaque signal d'entrée.
Dans un mode de réalisation, le module de surveillance et de passivation
comprend un moyen apte à générer, pour au moins un signal d'entrée, un booléen
représentatif d'un état erroné ou non du signal d'entrée.
Cette disposition permet d'obtenir un outil (le booléen) efficace tant à la
fois
pour contrôler les mécanismes de passivation (la bascule) que les mécanismes
de
surveillance (mise à l'écart) particulièrement en présence de pannes
erratiques ou
oscillantes, car ce booléen permet de mettre en place aisément des
statistiques à partir
desquelles des décisions peuvent être prises.
En effet, selon une caractéristique particulière de l'invention, le booléen
d'un signal d'entrée commande un compteur comptabilisant ladite grandeur sur
la
CA 2751114 2017-06-28
5
fenêtre temporelle glissante, et le module de surveillance et de passivation
comprend
un comparateur du compteur avec la valeur seuil d'écartement pour générer, à
destination du module de calcul, un signal d'écartement du signal d'entrée
associé au
com pteur.
L'utilisation d'un compteur commandé par le booléen ainsi généré s'avère
d'une faible complexité à mettre en oeuvre, aussi bien au travers
d'instructions
logicielles que de circuits matériels.
Cela ressort notamment d'une réalisation dans laquelle il est prévu que le
compteur comprend:
- un commutateur commandé par le booléen entre une position reliée à
un registre valant "1" et une position reliée à un registre valant "0";
- un additionneur recevant, en entrée, la valeur de sortie du commutateur
et la valeur de sortie du compteur, de sorte à incrémenter le compteur en
fonction du
booléen,
- un retard égal à la durée de la fenêtre temporelle glissante et recevant,
en entrée, la valeur de sortie du commutateur,
- un soustracteur pour soustraire, à la sortie de l'additionneur, la valeur
retardée en sortie du retard et ainsi produire une valeur de sortie du
compteur.
Dans cette disposition, le compteur est réalisé à l'aide de logiques
relativement simples à mettre en oeuvre.
Selon une caractéristique de l'invention, le module de surveillance et de
passivation comprend un compteur associé à chaque signal d'entrée et est
agencé
pour générer un booléen représentatif d'un état erroné pour chaque signal
d'entrée. De
la sorte, il est aisé d'identifier le signal d'entrée (et donc la source) à
écarter pour cause
de panne erratique ou oscillante.
En variante, lorsque deux signaux d'entrée sont prises en compte lors dudit
calcul, le module de surveillance et de passivation comprend un unique
compteur et
est agencé pour générer un unique booléen représentatif d'un état erroné
commun aux
deux signaux d'entrée. Cette disposition limite les ressources utilisées et
s'adapte aux
cas d'une redondance double où les erreurs sont déterminées relativement aux
deux
valeurs acquises. En effet, dans ce cas, les deux valeurs sont généralement
déclarées
ensemble comme erronées.
Dans un mode de réalisation, le moyen apte à générer un booléen
représentatif d'un état erroné d'un signal d'entrée comprend un comparateur
dont la
sortie correspond audit booléen et comparant l'écart entre ledit signal
d'entrée et un
CA 2751114 2017-06-28
6
signal de référence calculé à partir desdits signaux d'entrée, avec une valeur
seuil de
tolérance. Le signal de référence peut notamment être égal au signal utile
courant
calculé ou mettre en oeuvre des calculs distincts. A noter que l'écart peut
être obtenu
par la simple mise en oeuvre d'une logique de soustraction en présence de
seulement
deux signaux redondants d'entrée. Ce mode de réalisation s'avère également
simple à
mettre en oeuvre.
En particulier, le module de surveillance et de passivation comprend une
fonction logique OU recevant, en entrée, les booléens représentatifs d'un état
erroné
des signaux d'entrée pris en compte dans le calcul, et générant, en sortie, un
signal de
commande du moyen pour basculer. Cette logique, simple à mettre en oeuvre,
permet
d'obtenir un unique signal commandant efficacement les mécanismes de
passivation
des pannes selon l'invention.
Dans un mode de réalisation de l'invention, le moyen pour basculer
comprend un commutateur commandé par le module de surveillance et de
passivation,
pour commuter, vers ladite sortie, le signal utile de sortie pour le mode de
figement et
le signal utile courant calculé pour le mode d'émission. A titre d'exemple,
dans le mode
de figement, le commutateur peut boucler sur lui-même un module de sortie du
signal
utile.
En particulier, le moyen pour basculer peut comprendre en outre un limiteur
de pente apte à réaliser une transition contrôlée entre le signal utile de
sortie figé et le
signal utile courant calculé lors d'une bascule vers le mode d'émission. Cette
disposition permet d'éviter des transitions trop brutales lorsque par exemple
le signal
utile courant résultant de la mise à l'écart d'une source diffère nettement du
signal utile
de sortie qui a été figé pendant la période de surveillance ayant conduit à
cette mise à
l'écart.
Corrélativement, l'invention concerne un procédé de traitement de signaux
redondants de mesures acquises de valeur représentatives d'une grandeur
physique,
comprenant les étapes suivantes :
¨ recevoir, en entrée, une pluralité de signaux redondants provenant de
sources;
¨ calculer un signal utile courant à partir de signaux redondants d'entrée;
¨ détecter au moins un signal erroné pris en compte dans ledit calcul, et
écarter, du calcul et lorsqu'au moins un critère est atteint, ledit signal
erroné; et
¨ émettre, comme signal utile de sortie, ledit signal utile courant calculé
lorsque aucun signal erroné n'est détecté;
CA 2751114 2017-06-28
7
caractérisé en ce qu'il comprend:
dès que le signal erroné est détecté, une étape consistant à figer le signal
utile de sortie, et
dès lors que plus aucun signal erroné n'est détecté, une étape consistant à
repasser dans un mode d'émission où le signal utile courant calculé est émis
comme
signal utile de sortie.
Des modes de réalisation préférés du procédé sont décrits ci-dessous.
Le procédé présente des avantages similaires à ceux du système de
traitement exposé ci-dessus, et notamment le fait que le signal utile de
sortie n'est
jamais corrompu par un signal d'entrée erroné qui aurait été pris en compte
lors dudit
calcul.
De façon optionnelle, le procédé peut comprendre des étapes se
rapportant aux caractéristiques du système décrites ci-dessus.
En particulier, le procédé peut comprendre une étape de détermination, sur
une fenêtre temporelle glissante, d'une grandeur représentative du temps
durant lequel
un signal est erroné, de sorte à écarter du calcul le signal erroné dès que
cette
grandeur atteint une valeur seuil d'écartement.
Par ailleurs, il peut être prévu la génération, pour au moins une signal
d'entrée, d'un booléen représentatif d'un état erroné ou non du signal
d'entrée;
l'utilisation de ce booléen pour mettre à jour un compteur comptabilisant, sur
la fenêtre
temporelle glissante, ladite grandeur, et la comparaison du compteur avec la
valeur
seuil d'écartement pour générer un signal d'écartement du signal d'entrée
associé au
compteur; l'utilisation de ce booléen pour commander un commutateur prévu pour
commuter en sortie, le signal utile de sortie pour le mode de figement et le
signal utile
courant calculé pour le mode d'émission
L'invention concerne également un système de commandes de vol
électriques pour aéronef, comprenant un calculateur recevant des consignes et
des
signaux redondants de mesures acquises de valeur représentatives d'une
grandeur
physique provenant de sources, ledit calculateur comprenant un module de lois
de
pilotage recevant des informations correspondant aux consignes et au moins un
signal
utile pour générer des ordres de gouverne de l'aéronef, et comprenant un
système de
traitement tel que décrit ci-dessus apte à traiter les signaux redondants
reçus pour
générer ledit signal utile en entrée du module de lois de pilotage.
L'invention concerne également un aéronef comprenant un système de
commandes de vol électriques, tel que décrit ci-dessus.
CA 2751114 2017-06-28
7a
Le système de commandes de vol électriques et l'aéronef présentent des
avantages similaires à ceux du système de traitement exposé ci-dessus, et
peuvent
comprendre, de façon optionnelle, des moyens se rapportant aux
caractéristiques du
système de traitement décrites ci-dessus.
CA 2751114 2017-06-28
CA 02751114 2011-08-18
8
D'autres particularités et avantages de l'invention apparaîtront encore dans
la description ci-après, illustrée par les dessins ci-joints, dans lesquels :
- la figure 1 représente un système de commandes de vol électriques
pour aéronef;
- la figure 2 illustre schématiquement un système de traitement de
signaux redondants conforme à la présente invention;
- la figure 3 illustre la détermination d'un signal de référence en cas de
redondance triple, mise en uvre dans le système de la figure 2;
- la figure 4 représente schématiquement un module de sortie du
système de traitement de la figure 2;
- la figure 5
représente un module de surveillance d'un signal X1 ,
incorporé dans le système de la figure 2, dans le cas d'une redondance triple;
- la figure 6 représente schématiquement des composants d'un système
de traitement de signaux redondants selon l'invention dans le cas d'une
redondance
triple;
- la figure 7 illustre un module d'écartement du système de la figure 2,
prévu pour déterminer si un signal d'entrée doit être écarté;
- la figure 8 représente schématiquement un système de traitement de
signaux redondants selon l'invention dans le cas d'une redondance triple mais
utilisant
uniquement deux signaux d'entrée pour générer un signal utile de sortie;
- la figure 9 représente un système de traitement de signaux redondants
selon l'invention dans le cas d'une redondance multiple; et
- la figure 10 représente un système de traitement de signaux redondants
selon l'invention dans le cas d'une redondance double.
La figure 2 illustre schématiquement un système de traitement de signaux
redondants selon un mode de réalisation de l'invention. Le système de la
figure 2 peut
notamment consister en un système 12 formant partie d'un calculateur de
commandes
de vol électriques de la figure 1.
Le système 12 comprend des entrées El, ..., EN pour recevoir la pluralité
de signaux redondants X1 XN provenant des sources 20, un module de calcul
120
d'un signal utile courant U à partir de signaux redondants d'entrée, par
exemple selon
une fonction F: U=F(X1 , XN), un
module de sortie 122 relié au module de calcul
120 pour émettre, comme signal utile de sortie (X), ledit signal utile courant
calculé (U)
dans un mode M1 d'émission normal.
CA 02751114 2011-08-18
9
Le module 120 de calcul du signal utile courant U peut mettre en oeuvre
différentes techniques de calcul du signal ou de sélection d'un signal
représentatif
parmi les signaux redondants X1, XN en entrée.
La figure 3 illustre par exemple la sélection d'un signal médian lorsque les
signaux redondants d'entrée sont au nombre de trois: X1, X2 et X3.
Dans cet exemple, le module 120 effectue un vote entre les trois signaux
d'entrée, consistant à prendre, à un instant donné, comme valeur de référence
(et donc
comme valeur utile courante U), la valeur médiane parmi les trois valeurs
correspondantes aux signaux d'entrée. La valeur médiane est notamment celle
qui est
comprise entre les deux autres (en gras sur la figure).
Dans le cas d'une redondance double (seulement deux signaux d'entrée
X1 et X2), la valeur de référence U peut être une moyenne des deux.
De façon générale, le module de calcul 120 peut également mettre en
oeuvre une fonction linéaire des signaux d'entrée X1, XN (par
exemple la valeur
E xi
moyenne ).
De retour à la figure 2, le système comprend également un module 124 de
surveillance et de passivation des sources recevant en entrée les signaux
redondants
X1, XN et
générant un signal de passivation SP au module de sortie 122 dès qu'il
détecte qu'un signal redondant X1 , XN pris en
compte dans ledit calcul est erroné,
et générant un signal d'écartement SE d'un signal redondant X1, XN dès que
cette
détection du signal erroné satisfait au moins un critère, par exemple un quota
temporel
dans une fenêtre temporelle glissante de durée T, comme il sera vu par la
suite.
En variante, cette mise à l'écart peut être déclenchée immédiatement en
cas d'erreur trop importante du signal (amplitude démesurée, etc.).
Le module de sortie 122 comprend notamment un moyen pour basculer à
réception d'un signal de passivation SP indiquant qu'un signal erroné a été
détecté,
dans un mode M2 de figement où le signal utile de sortie X est figé en sortie
S, et pour
revenir, en l'absence de signal de passivation SP (donc dès lors que plus
aucun signal
erroné n'est détecté), dans le mode M1 d'émission où le signal utile courant
calculé U
est émis comme signal utile de sortie X.
D'une façon générale, les différents modules décrits ici peuvent être
cadencés par une même horloge de telle sorte qu'en un cycle d'horloge (de t-1
à t),
l'ensemble des calculs est réalisé. A titre illustratif, le signal de
passivation SP est ainsi
mis à jour à chaque cycle d'horloge.
CA 02751114 2011-08-18
La figure 4 illustre un mode de réalisation du module de sortie 122,
comprenant un commutateur 1220 commandé par le signal de passivation SP issu
du
module 124 et un limiteur de pente 1222.
En mode M1 d'émission (absence de signal SP ou signal nul), le
5 commutateur
1220 est en position P1 pour fournir, en entrée du limiteur 1222, le signal
utile courant U calculé par le module 120. En fonctionnement stationnaire,
c'est-à-dire
lors que sa valeur de sortie s=X égale celle d'entrée e, le limiteur 1222
transmet le
signal en entrée en limitant sa vitesse de variation à une valeur maximale
En mode M2 de figement (en présence d'un signal SP ou signal non nul), le
10 commutateur 1220 commute sur une deuxième position P2 dans laquelle le
limiteur
1222 est rebouclé sur lui-même permettant de mémoriser la valeur utile de
sortie à cet
instant. Dans ce cas, la valeur de sortie X est figée, évitant de tenir compte
d'une
valeur U qui pourrait résulter d'un calcul basé sur un signal X1...XN erroné.
Par ailleurs, le limiteur 1222 peut être paramétré par une constante k
définissant une pente ou taux maximum de transition. Ainsi lorsque le
commutateur
1220 rebascule sur la première position P1 (car désormais plus aucun signal SP
n'est
émis), le limiteur 1222 assure que la valeur utile de sortie s=X rejoint
progressivement
(transition progressive en fonction du paramètre k) la valeur d'entrée e=U, si
ces deux
valeurs sont différentes au moment de la rebascule.
On décrit maintenant en référence aux figures 5 et 8, un module de
surveillance et de passivation 124 dans le cas d'une redondance triple (X1,
X2, X3).
Dans cet exemple, la surveillance/ passivation se base sur le vote du signal
médian parmi les signaux d'entrée pour obtenir une valeur de référence pour la
surveillance, notée VR, obtenue par exemple de façon similaire à la figure 3.
Bien
entendu, les mécanismes d'obtention de la valeur de référence pour la
surveillance VR
peuvent être d'une autre nature (par exemple, calcul d'une fonction linéaire)
et peuvent
notamment être distincts des calculs mis en oeuvre dans le module de calcul
120.
Toutefois, en utilisant les mêmes calculs on peut réduire la complexité
technique de
mise en uvre.
Chaque signal d'entrée X1, X2, X3 est ensuite comparé à cette valeur de
référence de surveillance VR. Lorsqu'un écart trop important est détecté, par
comparaison avec une valeur seuil de tolérance a, un signal de détection
positive est
généré, par exemple un booléen Bi (i=1, 2, 3) qui est passé à "vrai" en cas de
comparaison positive. Dès que la comparaison redevient négative, le booléen
est alors
repassé à "faux".
CA 02751114 2011-08-18
11
La figure 5 montre un exemple de réalisation d'un tel mécanisme 12401
pour la surveillance du signal d'entrée X1 uniquement. Des dispositifs
similaires sont
donc prévus pour chacun des autres signaux d'entrée.
Le mécanisme 12401 comprend une logique 200 de vote de valeur
médiane (idem figure 3) recevant les signaux d'entrée X1, X2, X3 et générant
la valeur
de référence pour la surveillance VR, comprend un soustracteur 202 pour
calculer un
écart en soustrayant la valeur du signal d'entrée considéré (ici le signal X1)
à cette
valeur de référence VR, et comprend enfin un comparateur 204 pour comparer cet
écart (résultat de la soustraction) avec le seuil de tolérance a. La sortie du
comparateur 204 est le booléen B1 (respectivement B2, B3) qui prend la valeur
"vrai"
si l'entrée X1 (resp. X2, X3) est trop écartée de la valeur de référence VR.
Les booléens Bi ainsi produits à chaque cycle d'horloge sont mis en entrée
d'une logique OU 1242 dont la sortie correspond au signal de passivation SP
(voir
figure 6). En effet, dès lors qu'un booléen Bi est passé à "vrai", un signal
d'entrée est
considéré comme erroné et le signal utile de sortie X doit être figé. Le
signal SP permet
de déclencher ce figement comme décrit précédemment.
La figure 7 représente schématiquement un module d'écartement 1244
d'un signal d'entrée X1, X2, X3 (valable quelque soit le nombre d'entrées)
permettant
d'écarter, du calcul par le module 120, un signal redondant d'entrée même si
la source
correspondante subit des pannes erratiques ou oscillantes.
Le module d'écartement 1244, reçoit en entrée le booléen Bi associé au
signal d'entrée Xi qu'il surveille (généré notamment par les mécanismes de la
figure 5)
et fournit en sortie un signal d'écartement SEi qui informe le module de
calcul 120 s'il y
a lieu d'écarter, des calculs, le signal d'entrée Xi. Dans ce cas, la source
correspondante 20 est déclarée invalide et les calculs ne sont réalisés plus
qu'avec les
signaux issus des sources restantes.
Les mécanismes d'écartement par le module de calcul 120 demeurent
classiques et ne seront donc pas décrits plus en détail.
On notera par ailleurs qu'en cas de mise à l'écart d'un signal, ce dernier
peut également être écarté de la surveillance, notamment celle portant sur les
autres
signaux d'entrée encore valides (par exemple écarté des voteurs 200 prévus
pour ces
autres signaux).
Les traitements par le module d'écartement 1244 sont notamment réalisés
en parallèle des traitements du module de surveillance 1240 à chaque cycle
d'horloge.
CA 02751114 2011-08-18
12
On prévoit autant de module d'écartement 1244; qu'il y a de signaux
d'entrée X1...XN à surveiller (dans notre exemple 3 modules 1244 pour 3
signaux
d'entrée X1-X3).
Chaque module d'écartement 1244; est également paramétré par un délai
T définissant une fenêtre temporelle glissante F de surveillance des sources
et par un
seuil d'écartement p.
Le seuil 13 définit la limite du temps passé par un signal dans un état erroné
et cumulé dans la fenêtre temporelle, à partir de laquelle il est décidé que
le signal
d'entrée Xi doit être écarté du calcul de la valeur utile courante U.
La durée T de la fenêtre F est notamment très supérieur à un cycle
d'horloge, par exemple de l'ordre de plusieurs dizaines voire centaines de
cycles.
La durée T de le fenêtre et le seuil p sont fixés, d'une part, par rapport à
un
critère d'acceptabilité des lois de pilotage de travailler avec un pourcentage
de temps
de figement et, d'autre part, par rapport à la robustesse de la surveillance
aux
perturbations en environnement réel lorsqu'il n'y a pas de panne.
Dans l'exemple de la figure, le module d'écartement 1244; comprend un
compteur 300 qui comptabilise, sur le fenêtre temporelle glissante F, une
grandeur Ti
représentative du temps durant lequel le signal d'entrée Xi est considéré
comme
erroné (donc lorsque Bi=vrai), et comprend un comparateur 350 comparant cette
grandeur Ti avec la valeur seuil d'écartement p.
Par exemple si f3 correspond à un taux d'erreur dans le temps (par exemple
25%, 50%, 75% ou 90% selon la sensibilité désirée), la comparaison consiste à
comparer Tin- à f3. Le signal d'écartement SEi alors généré prend la valeur
"vrai" dès
que Ti/T >13, et la valeur "faux" sinon.
De préférence, ce signal d'écartement est irréversiblement passé à "vrai"
de telle sorte qu'un signal d'entrée écarté du calcul 120 ne peut être
réintégré
ultérieurement. Cependant une mise à zéro du système par un opérateur permet
de
repasser tous les signaux d'écartement SEi à "faux".
Le compteur 300 comprend :
¨ un commutateur 302 commandé par le booléen Bi en entrée entre une
position reliée à un registre 304 valant "1" et une position reliée à un
registre 306
valant "0". En sortie du commutateur à un instant t, on dispose ainsi d'un bit
bt valant
soit 1, soit 0;
CA 02751114 2011-08-18
13
- un additionneur 308 recevant, en entrée, la valeur bt de sortie du
commutateur 300 et la valeur Ti de sortie du compteur 300 à l'instant de cycle
d'horloge antérieur t-1, de sorte à incrémenter le compteur en fonction du
booléen Bi,
- un retard 310 égal à la durée T de la fenêtre temporelle glissante F, et
recevant, en entrée, la valeur bt de sortie du commutateur 300. Ce retard a
vocation à
permettre la suppression de la valeur qui a été incrémenté à t-T de sorte à
garantir que
le compteur 300 comptabilise uniquement sur la durée de la fenêtre glissante
F. En
sortie du retard 310, on dispose donc à un instant t, de la valeur bt-r;
- un soustracteur 312 pour soustraire, à la sortie de l'additionneur 308,
la
valeur retardée en sortie du retard 310 et ainsi produire la valeur de sortie
Ti du
compteur 300 pour l'instant t courant. Cette soustraction garantit que l'on
comptabilise
sur la seule période T glissante.
Entre deux itérations successives d'un cycle d'horloge (entre t-1 et t), on a
donc :
- en sortie de l'additionneur 308: bt + Ti(t-1);
- en sortie du retard 310: bt_T; et
- en sortie du soustracteur 312: Ti(t) = Ti(t-1) + bt - bt.T.
La figure 8 illustre un cas particulier où seulement deux signaux d'entrée
parmi les trois signaux X1, X2, X3 sont exploités pour calculer le signal
utile de sortie X
utilisé par les lois de pilotage 11. Bien entendu, ce cas peut être étendu à
tout
utilisation de j signaux d'entrée parmi N (N>j) signaux redondants d'entrée
X1, XN.
Dans cet exemple, le module de calcul 120 met donc en oeuvre la fonction
F(X1, X2) fonction uniquement de X1 et X2, et seul les deux booléens B1, B2
associés
aux deux signaux d'entrée pris en compte sont utilisés pour piloter le
commutateur
1220 du module de sortie 122. Les booléens B1, B2 sont toutefois obtenus en
utilisant
les trois signaux d'entrées X1-X3 dans le calcul de la valeur de référence VR
(par
exemple par un voteur type 200) au sein des blocs 12401 et 12402.
En parallèle, la surveillance de comportements erratiques et/ou oscillants
des sources par des modules d'écartement n'est réalisé que pour les signaux X1
et X2:
on prévoit donc uniquement deux modules 12441 et 12442 recevant respectivement
le
booléen B1 et le booléen B2.
Le comportement du système de la figure 8 est donc similaire à celui
explicité ci-dessus où l'on bascule entre les modes M1 et M2 en fonction de la
détection d'erreur dans X1 et X2.
CA 02751114 2011-08-18
14
La figure 9 résume schématiquement les exemples ci-dessus dans un cas
générique de N signaux redondants d'entrée.
On illustre maintenant en référence à la figure 10 le cas d'une redondance
double, c'est-à-dire où seulement deux signaux X1 et X2 sont fournis par les
sources
20.
Les deux signaux redondants d'entrée X1, X2 sont comparés entre eux à
raide d'un simple soustracteur 202, avant de vérifier, à l'aide du comparateur
204, si
l'écart entre les deux signaux dépasse le seuil de tolérance a. En cas de
dépassement
du seuil, le booléen B de sortie est passé à "vrai". Sinon, il est mis à
"faux".
On notera que cette comparaison directe des deux signaux entre eux est
équivalente à une comparaison de chacun à une valeur de référence VR calculée
comme moyenne des deux signaux.
En parallèle, un module d'écartement 1244 comme décrit précédemment
reçoit le booléen B ainsi généré et produit en sortie un éventuel signal
d'écartement
SE. En cas d'écartement, les deux signaux d'entrée X1, X2 sont écartés
ensemble des
calculs du module 120, car, la surveillance étant réalisée relativement l'un à
l'autre, il
n'est pas possible de savoir directement quel est le signal d'entrée erroné.
Les modules 120 et 122 peuvent être similaires à ceux décrits
précédemment, en tenant notamment compte de la présence de deux signaux
d'entrée
uniquement pour le calcul G(X1, X2) du module 120.
Comme montré précédemment, l'invention offre à la fois des mécanismes
de passivation permettant d'éviter toute dérive du signal utile de sortie en
raison d'une
panne sur l'une des sources et toute contamination du signal utile de sortie,
et des
mécanismes de surveillance des sources permettant de détecter des pannes
erratiques et/ou oscillantes afin d'écarter ces sources des calculs le cas
échéant.
La mise en oeuvre d'une analyse du comportement des pannes sur une
durée de fenêtre glissante assure en outre que le signal utile de sortie n'est
pas figé
trop longtemps (au maximum la durée du seuil 13).
Les différents moyens, modules et systèmes constituant la présente
invention peuvent être, intégralement ou en partie, mis en oeuvre sous forme
logicielle
et réciproquement sous forme de circuits matériels tels que des circuits
logiques
programmables (type FPGA, pour "field-programmable gate array" signifiant
réseau de
portes programmables in situ).
Les exemples qui précèdent ne sont que des modes de réalisation de
l'invention qui ne s'y limite pas.
