Note : Les descriptions sont présentées dans la langue officielle dans laquelle elles ont été soumises.
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
1
SYSTEME DISTRIBUÉ DE COMMANDE DE VOL IMPLÉMENTÉ SELON
UNE ARCHITECTURE AVIONIQUE MODULAIRE INTÉGRÉE
DESCRIPTION
DOMAINE TECHNIQUE
La présente invention concerne de manière
générale les systèmes de commande de vol dans le
domaine de l'aéronautique.
ÉTAT DE LA TECHNIQUE ANTÉRIEURE
Le système de commande de vol d'un aéronef fait
le lien entre les organes de pilotage (manche,
palonnier, etc.) et les gouvernes aérodynamiques. Les
avions de ligne modernes possèdent des systèmes de
commande de vol de type électrique dans lesquels les
actions mécaniques sur les organes de pilotage sont
converties en des signaux analogiques qui sont transmis
à des actionneurs man uvrant les gouvernes.
La Fig. 1 illustre un système de commande de vol
centralisé, 100, connu de l'état de la technique. On a
représenté un organe de pilotage, 110, par exemple un
mini-manche latéral, équipé d'un ou de plusieurs
capteurs, 115, par exemple des capteurs de position
et/ou des capteurs angulaires fournissant des
informations de position et/ou d'orientation au
calculateur de commande de vol, 120. Le calculateur 120
détermine, à partir des informations reçues des
différents organes de pilotage 110, incluant l'auto-
pilote (non représenté), et/ou le cas échéant de
capteurs avion 150 (accéléromètre, gyromètre, centrale
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
2
inertielle), les commandes de vol à appliquer aux
actionneurs 130. Ces actionneurs sont typiquement des
vérins hydrauliques commandés par des électrovannes ou
des moteurs électriques agissant sur les gouvernes
aérodynamiques de l'aéronef, 140. Les actionneurs 130,
d'une part, et les gouvernes aérodynamiques, 140,
d'autre part, sont équipés de capteurs notés
respectivement 135 et 145. Ces capteurs renseignent le
calculateur 120 sur les positions et/ou orientations
des éléments mobiles des actionneurs ainsi que sur
celles des gouvernes. Par exemple, un capteur 135
pourra indiquer la position en translation d'un vérin,
un capteur 145, l'orientation d'un volet.
Le calculateur 120 possède à la fois une fonction
de commande et une fonction de surveillance. Il est
relié aux actionneurs par des premiers câbles 133
destinés à transmettre les signaux analogiques de
commande. Il est également relié aux capteurs 135 et
145 équipant respectivement les actionneurs et les
gouvernes elles-mêmes par des seconds câbles, 137, et
des troisièmes câbles, 147. Il peut ainsi à tout moment
surveiller l'état des actionneurs et vérifier que les
commandes ont bien été exécutées.
En réalité, un système de commande de vol est
composé de plusieurs systèmes élémentaires
indépendants, chacun disposant de ses propres
calculateurs, de son propre ensemble de capteurs et
d'actionneurs et de son propre réseau de câbles.
Ce système de commande de vol présente un certain
nombre d'inconvénients dont la nécessité de déployer
grand nombre de câbles entre les calculateurs d'une
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
3
part et les actionneurs et gouvernes qu'ils contrôlent,
d'autre part. Ce déploiement de câbles grève le bilan
de masse de l'aéronef et accroît l'exposition aux
risques de perturbations électromagnétiques.
Afin de remédier à ces inconvénients, il a été
proposé dans la demande française N 08 50806 déposée
au nom de la présente demanderesse et non publiée,
d'utiliser un système de commande de vol distribué ou
DFCS (Distributed Flight Control System), organisé
autour d'un bus de communication multiplexé. Dans ce
système DFCS, certaines fonctions de contrôle et de
surveillance sont déportées des calculateurs centraux
vers des terminaux distants situés au niveau des
actionneurs. Les messages de commande et de
surveillance entre les calculateurs centraux et
terminaux distants sont transmis sur ledit bus
multiplexé.
Par ailleurs, afin de garantir un haut niveau de
sûreté, chaque système élémentaire du système de
commande de vol est alimenté par une source d'énergie
distincte.
La Fig. 2 illustre la structure globale d'un
système de commande de vol d'un Airbus A380. Le système
de commande de vol comprend quatre systèmes
élémentaires indépendants désignés respectivement par
SYST1, SYST2, SYST3 et BCM. Le système SYST1 comprend
un calculateur primaire noté PRIM1 et un calculateur
secondaire noté SEC1. De même, les systèmes SYST2 et
SYST3 comprennent chacun un calculateur primaire
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
4
(PRIM2, PRIM3) et un calculateur secondaire (SEC2,
SEC3). Le système de commande BCM est un système de
secours.
Les calculateurs PRIM1, PRIM2, PRIM3, SEC1, SEC2,
SEC3 et BCM sont des calculateurs spécifiques aux
calculs des commandes de vol. Les calculateurs
primaires PRIM1, PRIM2 et PRIM3 ont tous la même
structure. En revanche, les calculateurs secondaires
SEC1, SEC2 et SEC3 ont une structure distincte de celle
des calculateurs primaires.
Le système de commande de vol peut fonctionner
selon plusieurs modes. Les calculateurs primaires
permettent au système de commande de vol de fonctionner
en mode nominal, 210, c'est-à-dire de commander
l'ensemble des surfaces de contrôle de l'aéronef. Les
calculateurs secondaires fonctionnent en mode standby
ou en mode esclave d'un calculateur primaire maître.
Par défaut, le calculateur maître est le calculateur
primaire PRIM1. Il transmet les commandes de vol à tous
les autres calculateurs primaires ainsi qu'aux
calculateurs secondaires.
En cas de défaillance du calculateur PRIM1, le
calculateur PRIM2 assure la relève, et si ce dernier
est défaillant, PRIM3 l'assure à son tour. Lorsque tous
les calculateurs primaires sont défaillants, les
calculateurs secondaires prennent la relève dans le
même ordre SEC1, SEC2, SEC3. En mode 220, les
calculateurs secondaires mettent en uvre des lois de
fonctionnement dégradées, c'est-à-dire plus robustes
que celles utilisées par les systèmes primaires. En
outre, les calculateurs secondaires ne permettent pas
CA 02754031 2016-07-18
d'assurer la fonction d'autopilotage de l'avion à la différence des systèmes
primaires. Enfin, les calculateurs secondaires contrôlent certaines des
gouvernes
de l'aéronef à partir des instructions du calculateur PRIM1 ou à défaut, de
celles
d'un autre calculateur primaire, si ce dernier est défaillant.
Le calculateur BCM (Back-up Cont roi Module) correspond à un
fonctionnement basique, 230.
Les systèmes SYST1 et SYST3 sont alimentés par une première source
d'énergie électrique El, par exemple un générateur de tension à fréquence
variable
(VFG). Le système SYST2 est alimenté par une seconde source d'énergie
électrique E2, qui est indépendante de la première mais de même type. Enfin,
le
système de commande BCM est alimenté par une source de secours BPS (Back-up
Power Supply), constituée par une génératrice montée sur un circuit
hydraulique
dont le fluide est entraîné par des pompes elles-mêmes entraînées
mécaniquement
par les réacteurs.
Un premier objet de la présente invention est de proposer un système de
commande de vol distribué possédant une architecture modulaire intégrée plus
simple que celle de l'art antérieur tout en garantissant un haut niveau de
sûreté. Un
second objet de la présente invention est de réduire le nombre de calculateurs
dans
le système de commande de vol sans sacrifier le niveau de sûreté requis.
EXPOSÉ DE L'INVENTION
La présente invention est définie par un système de commande de vol pour
aéronef, destiné à commander une pluralité d'actionneurs adaptés à actionner
des
gouvernes dudit aéronef à partir d'informations fournies par les organes de
pilotage
et/ou des capteurs de l'aéronef, caractérisé en ce qu'il comprend :
- un système de commande dit primaire (SYSTP), adapté à contrôler un premier
ensemble d'actionneurs de gouvernes dudit aéronef, ledit système de commande
CA 02754031 2016-07-18
6
primaire comprenant un premier calculateur, primaire (PRIM1) et un second
calculateur primaire (PRIM2), chaque calculateur primaire étant réalisé sous
forme
de modules de calcul génériques (PRIM1A, PRIM1B, PRIM2A, PRIM2B) de même
structure, les premier et second calculateurs primaires étant respectivement
alimentés par une première source d'énergie primaire (Ep1), et une seconde
source d'énergie primaire (Ep2), les première et seconde sources d'énergie
primaire
étant indépendantes l'une de l'autre;
- un système de commande dit secondaire (SYSTS), adapté à contrôler un second
ensemble d'actionneurs de gouvernes dudit aéronef, les premier et second
ensembles d'actionneurs étant disjoints, ledit système secondaire comprenant
au
moins un calculateur (SEC1, SEC2), dit calculateur secondaire, chaque
calculateur
secondaire étant réalisé sous forme de modules de calcul (SEC1A, SEC1B,
SEC2A, SEC2B) ayant une architecture spécifique aux calculs de commandes de
vol, dits modules spécifiques, et étant alimentés par une source d'énergie
secondaire (Es), les sources d'énergie primaire et secondaire étant
indépendantes
et de types différents, de sorte que la défaillance de l'une n'entraîne pas la
défaillance de l'autre.
Selon un mode de réalisation, le système de commande primaire comprend
deux calculateurs primaires alimentés respectivement par une première et une
seconde sources d'énergie primaires, la première et la seconde sources
d'énergie
primaires étant indépendantes.
Chaque calculateur primaire est avantageusement relié à un réseau, dit
réseau primaire, une première pluralité de terminaux abonnés au dit réseau
primaire
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
7
étant adaptés à faire l'acquisition de signaux fournis
par un premier ensemble de capteurs, une seconde
pluralité de terminaux abonnés au dit réseau étant
adaptés à recevoir des commandes du calculateur
primaire et à transmettre des ordres électriques à des
actionneurs appartenant au premier
ensemble
d'actionneurs.
Chaque réseau primaire comprend au moins un n ud
de réseau, le n ud du réseau primaire associé au
premier calculateur primaire et le n ud du réseau
primaire associé au second calculateur primaire étant
avantageusement reliés par une liaison.
Selon une variante de réalisation, au moins une
grappe de terminaux abonnés du réseau primaire est
reliée à un micro-commutateur, ledit micro-commutateur
étant adapté à recevoir sur un premier port des trames
transmises par le calculateur primaire à destination
d'au moins un terminal de ladite grappe et, sur une
pluralité de seconds ports, des trames transmises
respectivement par les différents terminaux de ladite
grappe, ledit micro-commutateur ayant une fonction de
répéteur sur la liaison descendante et une fonction de
multiplexeur sur la liaison montante.
Chaque calculateur primaire peut être relié à un
concentrateur via son réseau primaire associé, le
concentrateur étant adapté à recevoir des informations
fournies par une pluralité des dits organes de
pilotage, à multiplexer lesdites informations et à
transmettre les informations ainsi multiplexées au dit
calculateur primaire.
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
8
Avantageusement, au moins un calculateur primaire
comprend au moins un couple de modules génériques,
ledit couple de modules génériques étant constitué d'un
module de commande et d'un module de surveillance.
Selon une première variante de réalisation du
calculateur primaire, celui-ci comprend un premier et
un second couples de modules génériques, le second
couple prenant la relève des calculs de commandes si le
premier couple de modules génériques est défaillant.
Selon une seconde variante de réalisation du
calculateur primaire, celui-ci comprend un triplet de
modules génériques indépendants, chaque module
effectuant les mêmes calculs de commande en parallèle à
partir des informations fournies par les organes de
pilotage et/ou les capteurs, les valeurs de commandes
obtenues par les trois modules étant comparées pour
sélectionner les valeurs données par la majorité.
Selon une troisième variante de réalisation du
calculateur primaire, celui-ci comprend un couple de
modules génériques constitué d'un module de commande et
d'un module de surveillance ainsi qu'un module
supplémentaire en réserve pouvant être configuré comme
module de commande ou en module de surveillance en cas
de défaillance de l'un ou de l'autre des modules dudit
couple.
De même que le calculateur primaire, le
calculateur secondaire peut comprendre un couple de
modules spécifiques, le couple de modules spécifiques
étant constitué d'un module de commande et d'un module
de surveillance.
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
9
Le système de commande secondaire peut comprendre
en outre un module spécifique de réserve pouvant être
configuré en module de commande ou en module de
surveillance en cas de défaillance d'un module
appartenant au couple de modules spécifiques.
Selon une variante de réalisation du calculateur
secondaire, celui-ci comprend un triplet de modules
spécifiques indépendants, chaque module effectuant les
mêmes calculs de commande en parallèle à partir des
informations fournies par les organes de pilotage, les
valeurs de commandes obtenues par les trois modules
étant comparées pour sélectionner les valeurs données
par la majorité.
Le système de commande secondaire peut comprendre
en outre un réseau, dit réseau secondaire, chaque
calculateur secondaire étant relié à ce réseau, une
première pluralité de terminaux reliés au réseau
secondaire étant adaptés à faire l'acquisition de
signaux fournis par un second ensemble de capteurs et
une seconde pluralité de terminaux abonnés au dit
réseau secondaire étant adaptés à recevoir des
commandes du calculateur secondaire et à transmettre
des ordres électriques à des actionneurs appartenant au
second ensemble d'actionneurs de gouvernes, les premier
et second ensembles de capteurs étant disjoints et les
premier et second ensembles d'actionneurs de gouvernes
étant disjoints.
Le système de commande secondaire peut encore
comprendre un module spécifique indépendant de
commande, dit module de secours, ne pouvant être
désactivé sur intervention extérieure ni ne pouvant se
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
désactiver lui-même, le(s) couple(s) de module(s)
spécifique(s) ainsi que le module de secours partageant
ledit second réseau secondaire.
L'invention concerne enfin un aéronef comprenant
5 un système de commande de vol tel qu'exposé ci-dessus.
BREVE DESCRIPTION DES DESSINS
D'autres caractéristiques et avantages de
10 l'invention apparaîtront à la lecture d'un mode de
réalisation préférentiel de l'invention fait en
référence aux figures jointes parmi lesquelles :
La Fig. 1 illustre schématiquement un système de
commande de vol connu de l'état de la technique ;
La Fig. 2 illustre schématiquement un système de
commande de vol connu de l'état de la technique ;
La Fig. 3A représente un système de commande de vol
selon un premier mode de réalisation de l'invention ;
La Fig. 3B représente un système de commande de vol
selon un second mode de réalisation de l'invention ;
La Fig. 4 représente un exemple de système de
commande primaire selon l'invention ;
La Fig. 5 représente un exemple de système de
commande secondaire selon l'invention ;
Les Figs. 6A et 6B représentent schématiquement
deux variantes d'implémentation des modules de calcul
du système de commande primaire de la Fig. 4 ;
Les Figs. 7A et 7B représentent schématiquement
deux variantes d'implémentation des modules de calcul
du système de commande secondaire de la Fig. 5.
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
11
EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS
L'idée à la base de l'invention est d'utiliser au
moins un système de commande primaire réalisé à l'aide
de calculateurs génériques, alimenté par au moins une
source d'énergie, dite source d'énergie primaire, ainsi
qu'un système de commande secondaire, réalisé sous
forme de calculateurs spécifiques et alimenté par une
source d'énergie, dite source d'énergie secondaire,
indépendante et de type différent de la source
d'énergie primaire. Par calculateur spécifique on
entend un calculateur présentant une architecture
matérielle spécifique aux commandes de vol, c'est à
dire, plus précisément, une architecture matérielle
adaptée aux calculs des commandes de vol ainsi qu'aux
entrées-sorties afférentes. Les entrées-sorties
permettent notamment l'acquisition des signaux fournis
par les capteurs embarqués et la transmission des dites
commandes de vol aux actionneurs des gouvernes. Le
système secondaire peut comprendre, outre des
calculateurs secondaires spécifiques, un calculateur de
secours, également spécifique, qui sera décrit plus
loin.
La Fig. 3A représente schématiquement un système
de commande de vol selon un premier mode de réalisation
de l'invention.
Le système de commande de vol 300 comprend deux
systèmes de commande indépendants
désignés
respectivement par SYSTP et SYSTS. Le système de
commande primaire, SYSTP, comprend au moins un
calculateur primaire noté PRIM, un premier ensemble
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
12
(non représenté) d'actionneurs de gouvernes commandés
par ce calculateur et un premier ensemble (non
représenté) de capteurs surveillant l'état de ces
actionneurs et des gouvernes associées. Le calculateur
primaire est relié au premier ensemble d'actionneurs et
au premier ensemble de capteurs par un réseau, dit
réseau primaire.
De manière similaire, le système secondaire,
SYSTS, comprend au moins un calculateur secondaire,
noté SEC, un second ensemble d'actionneurs de gouvernes
commandés par ce calculateur et un second ensemble de
capteurs surveillant l'état de ces actionneurs et des
gouvernes associées. Optionnellement, le système
secondaire comprend aussi un calculateur de secours,
BCM, partageant avec le calculateur secondaire le
second ensemble d'actionneurs et le second ensemble de
capteurs. Le calculateur secondaire et, le cas échéant,
le calculateur de secours sont reliés au second
ensemble d'actionneurs et au second ensemble de
capteurs au moyen d'un réseau, dit réseau secondaire,
indépendant du réseau primaire et de type différent de
ce dernier. Par indépendance des réseaux, on entend
qu'une défaillance du réseau primaire n'entraîne pas
une défaillance du réseau secondaire, autrement dit les
défaillances affectant respectivement les réseaux
primaire et secondaire sont des
évènements
indépendants. Par réseaux de types différents, on
entend des réseaux fonctionnant selon des protocoles de
communication différents. Par exemple le réseau
primaire pourra être un réseau AFDX (Avionics Full
DupleX switched Ethernet) et le réseau secondaire
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
13
pourra être constitué d'un ou plusieurs bus de terrain
conformes à la norme MIL-STD-1553.
Il est important de noter que les premier et
second ensembles de capteurs sont avantageusement
disjoints. De même, les premier et second ensembles
d'actionneurs sont disjoints.
Les systèmes primaire et secondaire sont
respectivement alimentés par des sources d'énergie Ep
et Es indépendantes et de types différents. Par sources
indépendantes on entend à nouveau que la défaillance de
l'une n'entraîne pas la défaillance de l'autre. Par
types différents, on entend que les principes de
génération de l'énergie sont différents. Par exemple,
Ep peut être une génératrice couplée à un réacteur et
délivrant une tension de fréquence variable VFG
(Variable Frequency Generator) fonction du régime de
rotation des réacteurs, Es peut être un générateur à
aimant permanent PMG (Permanent Magnet Generator),
entraîné mécaniquement par un moteur. De manière
générale, la source d'énergie Es est choisie plus
fiable que la source d'énergie Ep.
La Fig. 3B représente schématiquement un système
de commande de vol selon un second mode de réalisation
de l'invention.
A la différence du premier mode de réalisation, le
système de commande primaire comprend ici une pluralité
de calculateurs primaires reliés à des sources
d'énergie indépendantes et de types différents. Les
calculateurs primaires sont génériques et de structure
identique. Ce mode de réalisation est préféré lorsque
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
14
le taux de panne d'un calculateur primaire est
supérieur à celui exigé par l'organisme de
certification. On comprendra en effet que si le niveau
taux de panne maximum acceptable est de X et que le
taux de panne moyen d'un calculateur primaire, pris
isolément, est de X0, le nombre n de calculateurs
primaires sera choisi tel que X0n<X.
Dans un but d'illustration, une configuration
avec deux calculateurs primaires PRIM1 et PRIM2 a été
représentée ici mais il est clair que l'invention
s'applique de manière générale à un nombre quelconque
de tels calculateurs.
Le calculateur PRIM1 est, comme on le verra en
détail plus loin, relié à un premier sous-ensemble du
premier ensemble d'actionneurs et à un premier sous-
ensemble du premier ensemble de capteurs au moyen d'un
premier réseau. De même, le calculateur PRIM2 est relié
à un second sous-ensemble du premier ensemble
d'actionneurs et à un second sous-ensemble du premier
ensemble de capteurs au moyen d'un second réseau. Le
réseau primaire est alors constitué par les premier et
second réseaux.
Les calculateurs PRIM1 et PRIM2 comprennent chacun
un module de commande, dit module COM, et un module de
surveillance, dit module MON. Les modules MON et COM
sont de structure identique et ne diffèrent que par
leur programmation. Un module COM peut être reconfiguré
en module MON et réciproquement. Les modules MON et COM
sont des calculateurs génériques, en pratique des
cartes IMA montées dans un rack de la baie avionique,
hébergeant des logiciels d'application spécifiques.
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
Le module COM transmet aux actionneurs des
messages de commande via le réseau primaire (les
actionneurs sont équipés de terminaux abonnés au
réseau) et reçoivent des messages d'information ou de
5 confirmation.
Le module MON reçoit également les messages
d'information ou de confirmation des actionneurs et
vérifie la cohérence entre les messages de commande
envoyés par le module COM et les messages d'information
10 ou de confirmation qui sont retournés à cette dernière
par les différents actionneurs.
Les calculateurs primaire sont respectivement
alimentés par des sources d'énergie électrique
indépendantes, notées Ep1 et Ep2.
15 Il est possible d'adjoindre au calculateur
primaire PRIM1 un calculateur supplémentaire PRIM3, de
même structure que PRIM1 et alimenté par Ep1, et
pouvant prendre le relais de PRIM1 en cas de
défaillance de ce dernier. Pour les mêmes raisons, il
est possible d'adjoindre un calculateur supplémentaire
PRIM4 au calculateur primaire PRIM2. Les calculateurs
PRIM3 et PRIM4 tout comme les calculateurs PRIM1 et
PRIM2 sont chacun composés de calculateurs génériques,
l'un servant pour la commande et l'autre pour la
surveillance.
Comme déjà mentionné en relation avec les Figs. 3A
et 3B, le système de commande de vol 300 comprend en
outre un système secondaire SYSTS. Le système SYSTS
comprend un ou plusieurs calculateurs secondaires, par
exemple deux calculateurs SEC1, SEC2 et,
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
16
avantageusement, un calculateur de secours, BCM. Les
calculateurs secondaires SEC1, SEC2 et le calculateur
de secours BCM partagent les seconds ensembles
d'actionneurs et de capteurs grâce au réseau
secondaire.
Chacun des calculateurs secondaires SEC1 et SEC2
est composé de modules MON et COM qui jouent les mêmes
rôles que ceux indiqués précédemment pour le système
primaire. Les modules sont toutefois ici implémentés
sous forme de calculateurs spécifiques.
Les calculateurs secondaires correspondent à un
mode de commande 320 plus robuste que le mode nominal
310 des calculateurs primaires, au sens où, par
exemple, les lois de commande des gouvernes sont
simplifiées et/ou les contraintes sur l'observation des
consignes sont relaxées par rapport à celles utilisées
par les calculateurs primaires. En outre, les
calculateurs secondaires peuvent ne pas accepter
certaines fonctionnalités comme l'autopilotage.
Le calculateur de secours BCM, lorsqu'il est
présent, est un calculateur monovoie, c'est-à-dire
qu'il est constitué d'un seul module de structure
identique à un module COM ou MON d'un calculateur
secondaire. Le calculateur de secours BCM prend la
relève lorsque le(s) calculateur(s) primaire(s) et
secondaire (s) sont désactivés, que ce soit
automatiquement suite à une panne ou manuellement par
les pilotes. Le calculateur de secours a pour
particularité de ne pouvoir être désactivé ni par une
intervention extérieure ni suite à une opération
d'auto-test.
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
17
Le système secondaire SYSTS est alimenté par une
source d'énergie électrique Es, indépendante et type
distinct de Ep1 et Ep2.
La Fig. 4 illustre plus précisément la structure
du système primaire SYSTP dans le mode de réalisation
de la Fig. 3B.
Les calculateurs primaires PRIM1 et PRIM2 ont été
représentés par leurs modules COM et MON, à savoir
PRIM1A et PRIM1B pour le calculateur PRIM1, et PRIM2A
et PRIM2B pour le calculateur PRIM2. Comme on l'a dit
plus haut, ces modules sont des calculateurs
génériques, montés en rack dans la baie avionique.
Comme indiqué précédemment, on peut adjoindre au
calculateur PRIM1, un calculateur PRIM3 comprenant lui
aussi un module COM, PRIM3A et un module MON, PRIM3B
(représentés en traits discontinus). Ces modules sont
alors reliés au commutateur de trames SPVI. De même on
peut adjoindre au calculateur PRIM2 un calculateur
supplémentaire PRIM4, comportant des modules COM et MON
notés respectivement PRIM4A et PRIM4B (représentés en
traits discontinus). Ces modules sont reliés au
commutateur SPV2.
Les calculateurs supplémentaires PRIM3 et PRIM4
peuvent être des calculateurs en réserve, non
nécessairement destinés à effectuer des calculs de
commandes de vol. Ils peuvent, en cas de besoin, aussi
bien être utilisés par d'autres systèmes embarqués.
On décrira tout d'abord la partie du système
primaire contrôlée par le premier calculateur primaire,
PRIM1.
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
18
Les modules PRIM1A et PRIM1B sont connectés au
premier réseau 410, avantageusement un réseau AFDX.
Plus précisément, ils sont reliés à un premier
commutateur de trames SPVI situé également dans la baie
avionique. Le commutateur SPVI reçoit en outre sur deux
ports distincts, via les concentrateurs CR1 et CR2, les
informations fournies par les organes de pilotage 420,
430 du pilote et du copilote. Plus précisément, les
concentrateurs CR1 et CR2 multiplexent les mêmes
informations issues de 420 et 430 à des fins de
surveillance croisée. Les concentrateurs CR1, CR2 ont
une architecture générique (IMA).
Un certain nombre de capteurs 440 sont également
reliés au premier réseau 410, par exemple des
accéléromètres et des gyromètres utilisés pour les
fonctions avancées des commandes de vol. Plus
précisément des terminaux distants abonnés à ce réseau
font l'acquisition des signaux fournis par ces capteurs
et transmettent les données correspondantes aux
calculateurs. Le cas échéant, les capteurs peuvent
incorporer lesdits terminaux distants et sont donc
alors directement abonnés au réseau AFDX.
Les modules PRIM1A et PRIM1B reçoivent les
informations fournies par les organes de pilotage 420,
430 ainsi que par les capteurs 440, en déduisent des
commandes de vol, notamment les ordres de braquage des
gouvernes.
En fonctionnement nominal le module PRIM1A
transmet les commandes de vol aux différents
actionneurs reliés au premier sous-réseau (le module
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
19
PRIM1B n'ayant qu'un rôle de surveillance). Plus
précisément, des terminaux abonnés au premier réseau,
déportés auprès des actionneurs, reçoivent les
commandes de PRIM1A et transmettent les ordres
électriques aux actionneurs.
Les terminaux abonnés associés aux capteurs ou aux
actionneurs peuvent être directement connectés à un
commutateur de trames tel que le commutateur SPVI, situé
dans la baie avionique. Toutefois, afin de réduire le
nombre et la longueur des liaisons, on peut prévoir des
équipements de commutation de trames dénommés micro-
commutateurs. Les micro-commutateurs permettent de
traiter localement les trames en provenance ou à
destination d'une grappe de terminaux abonnés. Plus
précisément, un micro-commutateur possède un premier
port généralement relié à un commutateur AFDX et une
pluralité de seconds ports reliés aux différents
abonnés. Sur la liaison descendante, c'est-à-dire pour
des trames reçues par le premier port à destination
d'un abonné, le micro-commutateur joue le rôle de
répéteur (hub), c'est-à-dire qu'une trame incidente sur
le premier port est répliquée sur tous les seconds
ports. Les abonnés qui la reçoivent déterminent s'ils
sont destinataires, et l'ignorent dans la négative et
la prennent en considération dans l'affirmative. Sur la
liaison montante, c'est-à-dire pour des trames émises
par les différents abonnés, le micro-commutateur scrute
tour à tour les seconds ports et vide leurs tampons
respectifs sur le premier port, selon un mécanisme de
type round robin , assurant un partage équitable de
la bande passante.
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
Les terminaux équipant les actionneurs comprennent
généralement un module de contrôle de l'actionneur,
COM, et un module de surveillance, MON chargé de
vérifier si les ordres électriques transmis à
5 l'actionneur par le module COM sont bien cohérents avec
les commandes transmises par les modules des
calculateurs primaires. Les deux modules COM et MON
d'un même terminal peuvent être multiplexés pour être
reliés au même port d'un micro-commutateur ou bien être
10 reliés à des ports distincts d'un même micro-
commutateur ou à des ports de micro-commutateurs
distincts, la première option permettant cependant de
réduire le câblage du réseau.
De manière générale, un terminal abonné sera
15 connecté à un micro-commutateur local, sauf si les
contraintes de temps de latence imposent une connexion
directe à un commutateur. L'architecture du réseau AFDX
sera avantageusement choisie de manière à ce que l'on
ne traverse pas plus d'un commutateur et d'un micro-
20 commutateur en passant d'un module d'un calculateur
primaire à un terminal abonné.
Comme illustré en Fig. 4, le premier réseau AFDX,
410, comprend des micro-commutateurs SPVI, SPV3, SPV5,
eV, correspondant respectivement au premier sous-
ensemble de capteurs 440, et aux sous-ensembles
d'actionneurs contrôlant respectivement les groupes de
gouvernes Gil, G21 et G31 . Le groupe Gil est constitué ici
du premier aileron gauche mg et des aérofreins
gauches Sf,Sf, le groupe G21 est constitué de l'aileron
droit AILd et des aérofreins droits Sd Sd le groupe G31
1 1 , 3 f
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
21
est constitué des élévateurs gauche et droit ELf,Elcii et
de la dérive RDR2.
Les micro-commutateurs SPVI , SPV3 et SPV5 sont
avantageusement situés dans la zone de soute centrale
de l'aéronef, le micro-commutateur eV, est situé quant
à lui dans la queue de l'appareil. Ainsi les micro-
commutateurs sont situés à proximité des équipements
qu'ils desservent et la quantité de câblage est
réduite.
La partie du système primaire contrôlée par PRIM2
est similaire à celle contrôlée par PRIM1 et sa
description ne sera donc pas reprise en détail.
On notera brièvement que le modules PRIM2A et
PRIM2B sont connectés à un second réseau, ici un réseau
AFDX, 411. Plus précisément, ils sont reliés à un
second commutateur de trames SW2 situé comme SPVI dans
la baie avionique. Le commutateur SPV2 reçoit sur deux
ports distincts, via les concentrateurs CR3 et CR4, les
informations fournies par les organes de pilotage 420,
430 du pilote et du copilote. Les concentrateurs CR3 et
CR4 multiplexent les mêmes informations issues de 420
et 430 à des fins de surveillance croisée. Tout comme
les concentrateurs CR1 et CR2, les concentrateurs CR3,
CR4 ont une architecture générique (IMA). Un certain
nombre de capteurs 441 sont reliés au second réseau
AFDX, 411. Plus précisément, des terminaux distants
abonnés à ce second réseau font l'acquisition des
signaux fournis par ces capteurs et transmettent les
données correspondantes aux calculateurs. Les modules
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
22
PRIM2A et PRIM2B reçoivent les informations fournies
par les organes de pilotage 420, 430 ainsi que par les
capteurs 441 et calculent des commandes de vol, en
l'occurrence les ordres de braquage des gouvernes. En
fonctionnement nominal le module PRIM2A transmet les
commandes de vol aux différents actionneurs reliés au
second sous-réseau AFDX (le module PRIM2B n'ayant qu'un
rôle de surveillance). Ces actionneurs agissent sur des
gouvernes appartenant aux trois groupes G], G et G.
Le second réseau AFDX 411 comprend des micro-
commutateurs SPV2, SPV4, SPV6, SPV8 correspondant
respectivement au second sous-ensemble de capteurs 441,
et aux groupes de gouvernes G], G et G. Le premier
groupe G, est constitué ici des aérofreins gauches
Sf,g, le second groupe G est constitué des aérofreins
droits S2d,S4d, le troisième groupe G est constitué de
la dérive RDR3, du plan horizontal réglable THS2
(Trimmable Horizontal Surface) ainsi que de l'élévateur
droit EL. Les micro-commutateurs SPV2, SPV4, SPV6,
sont avantageusement situés dans la zone de soute
centrale de l'aéronef, le micro-commutateur SPV8 est
situé quant à lui dans la queue de l'appareil.
Il est important de noter que les premier et
second réseaux AFDX peuvent être reliés entre eux pour
former un seul réseau, par exemple à l'aide d'une
liaison entre les commutateurs SPVI et SPV2. Cette
liaison est avantageusement réalisée à l'aide d'une
fibre optique, OF, ce qui permet un découplage
galvanique des deux sous-réseaux. Cette liaison permet
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
23
à chacun des modules PRIM1A, PRIM1B, PRIM2A et PRIM2B
d'exploiter en mode nominal l'ensemble des informations
provenant des concentrateurs CRI, CR2, CR3 et CR4, ainsi
que des capteurs 440 et 441. Ceci permet d'effectuer
une surveillance croisée entre les différents modules
et le, cas échéant, d'accroître la disponibilité de
l'un ou l'autre d'entre eux. De surcroît, si l'un des
calculateurs primaires est défaillant ou désactivé par
le pilote, l'autre calculateur peut prendre la main sur
la totalité des gouvernes en récupérant les
informations provenant de la totalité des capteurs. En
outre si deux actionneurs reliés respectivement aux
premier et second réseaux contrôlent la même gouverne,
ils peuvent dialoguer via la liaison de couplage entre
les deux réseaux de manière à ce que leurs actions
soient cohérentes et ne créent pas de contraintes
mécaniques dans la gouverne en question. Grâce à cette
liaison de couplage, le dialogue entre les deux
actionneurs peut s'établir sans passer par les
calculateurs centraux et donc avec un faible temps de
latence.
Les liaisons appartenant aux premier et second
réseaux AFDX peuvent être réalisées classiquement à
l'aide de paires de fils torsadées, à l'aide de fibres
optiques ou d'une combinaison des deux, la fibre
optique étant utilisée pour les liaisons les plus
sensibles à d'éventuelles
perturbations
électromagnétiques.
Enfin, de manière générale les n uds du premier
et/ou du second réseau(x) AFDX peuvent être des
commutateurs de trames (eV) ou des micro-commutateurs
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
24
( SW) tels que définis plus haut, ou encore une
combinaison des deux comme représenté en Fig. 4, le
choix étant fait notamment en fonction des contraintes
de trafic et de latence sur le réseau.
La Fig. 5 illustre un exemple de réalisation du
système de commande secondaire SYSTS.
Le système de commande secondaire comprend ici
deux calculateurs secondaires SEC1, SEC2 et un
calculateur de secours noté BCM. Le calculateur
secondaire SEC1 comprend un module COM et un module
MON, notés respectivement SEC1A et SEC1B. De même, le
calculateur secondaire SEC2 comprend un module COM et
un module MON, notés respectivement SEC2A et SEC2B. Le
calculateur de secours BCM est constitué d'un seul
module, de structure identique à celle des modules COM
et MON précédents. Les calculateurs SEC1, SEC2 et BCM
partagent une pluralité de bus correspondant chacun au
contrôle d'un sous-ensemble d'actionneurs de gouvernes.
Dans le cas présent, trois bus B1, B2 et B3 sont
prévus, correspondant respectivement à des gouvernes
d'ailerons, des gouvernes d'aérofreins et des gouvernes
de surfaces de contrôle arrière. Les bus sont de
préférence conformes à la norme MIL-STD-1553. D'autres
types d'organisation du réseau secondaire peuvent être
envisagés, notamment le réseau secondaire peut se
réduire à un seul bus.
En fonctionnement nominal, le calculateur SEC1 est
maître des bus B1, B2 et B3. En cas de défaillance de
SEC1, le calculateur SEC2 prend en charge les calculs
et devient maître des bus. Si les systèmes primaires
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
PRIM1, PRIM2 ainsi que les calculateurs SEC1 et SEC2
sont défaillants, le calculateur BCM prend à son tour
le contrôle des bus et, en tant que dernier recours,
contrôle les gouvernes de l'aéronef.
5 Des capteurs 540 peuvent également être connectés
aux différents bus, par exemple des capteurs de
mouvement comme des gyromètres. Ces capteurs sont
distincts de ceux appartenant aux systèmes primaires.
Ils sont avantageusement équipés
d'interfaces
10 numériques permettant directement un couplage aux bus
B2 et B3 =
Les calculateurs SEC1, SEC2 et BCM reçoivent des
informations des organes de pilotage à savoir des
informations relatives notamment aux mini-manches et
15 aux palonniers des postes du pilote et du copilote. Ces
informations sont transmises aux calculateurs sous
forme numérique ou analogique. Plus précisément, ces
informations sont acquises directement par les cartes
entrée/sortie des modules COM et MON des calculateurs
20 SEC1 et SEC2 ainsi que par la carte entrée/sortie du
module BCM.
A partir des informations des organes de pilotage
et, le cas échéant, des informations fournies par les
capteurs connectés aux bus, les calculateurs SEC1 et
25 SEC2 calculent les commandes pour actionner les
gouvernes. Par exemple, le bus B1 permet de contrôler
l'aileron gauche AM et l'aileron droit AM, le bus
B2 permet de contrôler l'aérofrein gauche Se et
l'aérofrein droit e, le bus B3 permet de contrôler
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
26
l'élévateur gauche E4, la dérive R l et le plan
horizontal réglable THS1.
Les actionneurs contrôlant ces gouvernes sont des
actionneurs dits intelligents car ils sont capables de
contrôler localement leur asservissement. Chaque
actionneur est équipé d'un terminal abonné au réseau
MIL-STD-1553 avec un module COM contrôlant l'actionneur
et un module MON surveillant le module COM. Le module
MON peut désactiver le module COM en cas de désaccord
entre la commande et la surveillance.
Le système de commande de vol décrit plus haut
présente un certain nombre de calculateurs redondés à
des fins de disponibilité. Par exemple, le calculateur
primaire (facultatif) PRIM3 est redondant avec PRIM1,
le calculateur primaire (facultatif) PRIM4 est
redondant avec PRIM 2. De manière similaire, le
calculateur secondaire SEC2 est redondant avec SEC1.
Lorsque le calculateur principal (PRIM1, PRIM2, SEC1)
est défaillant, le calculateur auxiliaire (PRIM3,
PRIM4, SEC2) prend la relève. Comme on l'a déjà vu,
chaque calculateur principal ou auxiliaire comprend
deux modules COM et MON, ce qui nécessite donc quatre
modules par système primaire (SYSTP1, SYSTP2) ou
secondaire.
Selon une première variante, on utilise en lieu et
place de deux couples de modules COM et MON, trois
modules indépendants effectuant chacun les mêmes
calculs de commandes en parallèle. Les résultats sont
alors comparés : en fonctionnement nominal, il y a
unanimité entre les différents modules ; en revanche si
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
27
ceux obtenus par l'un des modules diffèrent de ceux
obtenus par les deux autres, seuls les résultats
correspondant au vote majoritaire sont utilisés.
L'avantage de cette variante est de réduire le
nombre de modules par rapport au système de commande
précédemment exposé. On a en effet alors deux systèmes
primaires SYSTP1 et SYSTP2 comprenant respectivement un
calculateur primaire PRIM1 à trois modules PRIM1A,
PRIM1B, PRIM1C et un calculateur primaire PRIM2 à trois
modules également. Le système SYSTS possède aussi un
calculateur secondaire SEC à trois modules SEC1A,
SEC1B, SEC1C ainsi qu'un calculateur de secours à un
seul module, BCM.
Selon une seconde variante, on utilise en lieu et
place de deux couples de modules COM et MON, un seul
couple de tels modules avec un module de réserve
supplémentaire qui peut être configuré en cas de besoin
en module COM ou MON pour se substituer à un module
défaillant. Ce module de réserve, d'architecture
générique, n'est pas nécessairement destiné à être
utilisé pour des calculs de commandes de vol mais peut
en cas de besoin être utilisé par d'autres systèmes
embarqués.
Les Figs. 6A et 6B montrent respectivement
l'architecture du système primaire SYSTP dans la
configuration de la Fig. 4 et dans celle de la seconde
variante.
On voit en Fig. 6B que, dans la seconde variante,
la redondance (représentée par le trait discontinu)
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
28
porte sur un seul module par calculateur : PRIM1C pour
le calculateur PRIM1 et PRIM2C pour le calculateur
PRIM2. On a donc un gain de deux modules par rapport à
la Fig. 6A où la redondance concerne le calculateur
complet.
Si, lors de la détection d'une panne, on ne peut
déterminer quel module COM ou MON de PRIM1 (ou de
PRIM2) est défaillant, le calculateur PRIM1
(respectivement PRIM2) est déclaré défaillant. C'est
alors l'autre calculateur primaire qui contrôle
l'aéronef.
Les Fig. 7A et 7B illustrent respectivement
l'architecture du système de commande secondaire dans
la configuration de la Fig. 5 et dans celle de la
seconde variante de réalisation.
On voit en Fig. 7B que la redondance porte sur un
seul module SEC1C pour le calculateur SEC alors que la
redondance porte sur le calculateur secondaire complet
SEC2A, SEC2B en Fig. 7A, d'où un gain d'un module. S'il
n'est pas possible de déterminer quel module MON ou COM
du calculateur SEC1 est défaillant, le calculateur
complet est considéré comme défaillant.
Il est à noter que le système primaire, d'une
part, et le système secondaire, d'autre part, peuvent
utiliser des variantes différentes.
L'exemple de réalisation du système secondaire
illustré en Fig. 5 fait appel à un module de secours
BCM. Il est toutefois possible de se passer de ce
module si l'on utilise des actionneurs dits
intelligents , c'est-à-dire des actionneurs capables
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
29
de recevoir et d'exécuter directement des ordres des
organes de pilotage. Plus précisément, lors de la perte
des calculateurs primaire(s) et secondaire(s), les
actionneurs agissant sur les élévateurs et les ailerons
reçoivent alors directement les ordres du mini-manche
et l'actionneur agissant sur la dérive reçoit les
ordres du palonnier.
Dans les modes de réalisation
exposés
précédemment, les informations des organes de pilotage
sont transmis aux concentrateurs CRi, CR2, CR3, CR4
pour le système primaire SYSTP, et directement aux
modules des calculateurs SEC1, SEC2, BCM pour le
système secondaire SYTS.
Selon une première option, les informations des
organes de pilotage sont transmis sous forme analogique
aux concentrateurs CRi, CR2, CR3, CR4 et aux modules de
SEC1, SEC2. Les concentrateurs assurent la conversion
analogique numérique et transmettent les informations
ainsi numérisées aux modules des calculateurs primaires
via les commutateurs SPVI et SPV2.
Une seconde option diffère de la première en ce
que les informations de pilotage sont transmises aux
modules de SEC1, SEC2 non pas directement mais via des
concentrateurs SRI, SR2, SR3, SR4 spécifiques aux
commandes de vol, qui assurent eux-mêmes la conversion
analogique numérique. Ces concentrateurs ont une
architecture matérielle spécifique à l'inverse des
concentrateurs CRi, CR2, CR3, CR4 qui ont un hardware
générique. De surcroît, les concentrateurs spécifiques
CA 02754031 2011-08-30
WO 2010/103233
PCT/FR2010/050405
pourront utiliser un réseau de type différent de celui
utilisé par les concentrateurs génériques (par exemple
AFDX pour les concentrateurs génériques et MIL-STD-1553
pour les concentrateurs spécifiques).
5 Selon une troisième option, les informations de
pilotage sont transmises directement sous forme
numérique par les organes de pilotage aux modules des
calculateurs primaires et secondaires. Les
concentrateurs CRi, CR2, CR3, CR4 et SR1, SR2, SR3,
10 SR4 sont alors superflus.
Selon une quatrième option, les informations de
pilotage sont transmises sous forme analogique aux
concentrateurs CR 3,
lf CR 2f
CRCR4 et directement sous
forme numérique aux modules des calculateurs SEC1, SEC2
15 et BCM. L'homme du métier comprendra que d'autres
options puissent être envisagées sans pour autant
sortir du cadre de l'invention.
