Brevet FR2104861A1 — publié le 19720421

La présente invention se rapporte aux dispositifs de servo-coanande à plusieurs canaux tels que ceux utilisés pour la commande des aéronefs. Bien que 11Invention's'applique tout particulièrement à la commande des aéronefs, il est bien entendu qu'elle peut aussi s'appliquer à la commande d'autres 5 éléments mobiles H>na d'autres environnements, comme par exemple à tout élément de commande de véhicule mobile, élément de commande de machine-outil ou de fabrication, lorsqu'une défaillance de l'élément commandé est très dangereuse. Dans le domaine des commandes des aéronefs, il est d'usage d'utiliser 10 un dispositif de commande hydraulique pour le positionnement ou la mise en mouvement des organes de commande. Autrefois, un canal de conmande, commandé lui-même par le pilote, suffisait à assurer les commandes voulues et la fonction de contrôle avec la probabilité de défaillance désirée. Mais avec les très grands et très rapides aéronefs actuels, une défaillance peut-être 15 catastrophique et la probabilité de dérangement doit être ramenée au minimum. A cet effet, il est maintenant courant, drrjs les grands aéronefs à grande vitesse, de monter des dispositifs de commai;^ à redondance comportant des canaux multiples, de manière que la défaillance de l'un des canaux ne mette pas en dérangement le dispositif et ne cause pas la perte de 20 l'aéronef. La vitesse des aéronefs ayant augmenté aussi bien que leurs dimensions, le temps de réponse acceptable pour élininer un canal défaillant dans un dispositif redondant multiple a été réduit, de même que le temps mort et le mouvement transitoire de l'élément commandé dans le cas de défaillance d'un seul canal du dispositif. 25 De nombreuses suggestions ont été faites en vue de réaliser des dis positifs de commande redondants multiples. Parmi elles, il faut noter." les canaux de secours avec passage d'un canal sur un canal de secours dans le cas de défaillance d'un seul canal, les surfaces de commandes multiples et indépendantes comportant chacune un dispositif de commande de ma?» 30 nière que la défaillance d'une surface n'entraîne pas la défaillance du dispositif, les canaux à addition de déplacement dartf lesquels le déplacement résultant de la surface de commande est commandé par des organes multiples, déplacés chacun d'une fraction du déplacement voulu, et les dispositifs de commande à addition de force dans lesquels la force appliquée 35 à l'élément de commande par chacun des organes de conmandes multiples e*t une fraction de la force commandée. Dans chaque cas il est important de détecter et de signaler toute défaillance, de manière que l'action correc-tive puisse être entreprise avant que ne s'amorce une suite d'événements 71 30149 2104861 conduisant à la catastrophe. Le choix du dispositif dépend des caractéristiques générales telles que le décalage transitoire tolérable qui peut se produire en cas de défaillance d'un canal» les dimensions et le poids du dispositif et la probabilité acceptable de défaillance. 5 La présente invention concerne un dispositif de comnande de très hau te sécurité, qui est redondant et multiple et dans lequel un canal défaillant est éliminé avec un minimum de décalage transitoire de l'élément commandé entre l'apparition de la défaillance et l'élimination du canal. Selon l'invention, le temps d'élimination d'un canal est environ de 10 millise-10 candes. Ce temps est particulièrement court, car un électro-aimant de grande puissance de type courant demande environ 25 millisecondes pour réagir à un changement d'état. Le dispositif selon l'invention peut supporter à la fois des dérangements du type actif ou du type passif dans l'un ou plusieurs des canaux de 15 conmande. Un dérangement passif correspond au cas où un canal s'élimine de lui-même, par exemple par m manque de signaux de commande électriques ou hydrauliques. Les dérangements actifs requièrent une comparaison de "majorité" pour leur détection et leur élimination. Il existe d'une manière gé-narale deux types de dérangements actifs : la lente dérive et le blocage 20 brusque. La lente dérive peut provenir d'une usure excessive des éléments du dispositif, de variations locales de température qui ne sont pas subies par tous les canaux, ou de n'importe quelle lente dégradation de certains éléments. Un blocage brusque peut provenir d'un fil cassé, d'une vanne coincée ou de tout dérangement qui résulte d'un changement soudain de l'état 25 d'un composant du canal. Le dispositif selon l'invention consiste en un dispositif de commande électro-hydraulique à addition de forces et à redondance multiple. Chaque canal comporte 3on propre organe de coranande hydraulique, ses propres circuit circuits électriques de commande et de réaction et son propre de réaction de 30 synchronisation de charge. L'organe de commande comporte une vanne électrohydraulique à tube gicleur, placée à la limite entre les parties électriques et hydrauliques du dispositif .Un signal électrique de réaction de position est destiné à fermer la boucle du canal en combinaison avec un signal électrique de réaction de synchronisation de charge. Le signal de syn-35 chronisation de charge est produit de manière telle que la somme algébrique des signaux de tous les canaux soit nulle. Les signaux de réaction de synchronisation de charge n'ont donc pas d'autre effet sur les positions de sortie des canaux multiples que les corrections de différences de pression 71 30149 2104861 de charge entre les canaux, résultant de signaux d1 entrée parasites, de non-linéarité, etc... Le signal de synchronisât!on est produit par la comparaison de la'force à l'un quelconque des canaux avec la moyenne des forces de tous les canaux. Ce mène signal est contrôlé et utilisé pour déterminer s'il y a une lente dérive ou un blocage d'un canal. En cas de détection d'un canal défaillant, le fonctionnement rapide d'un distributeur de sécurité électro-hydraulique élimine le canal défaillant et relie les extrémités opposées de l'organe de commande hydraulique du canal défaillant à une boucle fermée, de manière que cet organe de commande puisse suivre librement les mouvements des autres organes de commande actifs sans exercer aucune force sur l'élément de commande mobile. Le dispositif selon 1'invention présente les avantages d'une très haute sécurité, d'une dégradation minimale des performances et d'un décalage transitoire minimal en cas de défaillance de l'un des multiples canaux. En outre, son prix est relativement bas, «a égard à ses performances. Il présente égaleront l'avantage d'être applicable à • 'importe quel nombre de canaux, deux, trois, quatre ou plus - réels ou simulés ~ en fonction de la sécurité souhaitée. D'autres caractéristiques et avantages de l'invention ressortiront de la description qui va suivre faite en regard d'un mode de réalisation donné à titre explicatif et non limitatif. Sur les dessins annexés : la figure 1 est tin schéma d'un mode de réalisation d'un dispositif de commande à trois canaux selon l'invention j la figure 2 est un schéma à grande échelle de l'un des canaux du dispositif de la figure 1 ; la figure J est une coupe axiale à grande échelle des distributeurs de cooraande et de sécurité du dispositif ; la figure 4 est une coupe axiale à grande échelle de l'un des organes de commande du dispositif de la figure 1 ; la figure 5 est le schéma de l'amplificateur d'addition et de différence de forces de la figure 2 ; la figure 6 est le schéma du circuit amplificateur à déphasage avant et arrière de la figure 2 ; la figure 7 est le diagramme de l'amplificateur d'addition d'entrée de la figure 2 ; la figure 8 est le schéma du circuit détecteur de limite de la figure 2 ; 71 30149 2104361 4 la figure 9 est le schéma du circuit de commande de vannes de sécurité de la figure 2 ; la figure 10 est le schéma du circuit sélecteur d'inhibition de la figure 2 ; 5 la figure 11 est le schéma du circuit de commande d'engagement de ca nal de la figure 2, et la figure 12 est le schéma du circuit de relais de pression de la figure 2. la figure 1 illustre un mode de réalisation d'un dispositif de conman-10 de redondant triple selon l'invention. Ce dispositif comporte trois canaux comportant chacun leurs propres alimentations électriques et" hydrauliques et chacun d'eux commandant,indépendamment, des autres un organe de commande hydraulique, ou moteur hydraulique 15, 16 et 17 respectivement. Les forces des moteurs hydrauliques sont à leur tour additionnées et ces moteurs 15 fonctionnent en parallèle pour commander un mouvement mécanique unique, par exemple, le mouvement d'une gouverne ou d'un autre élément mobile 18 d'un aéronef. La référence 19 représente schématiquement la liaison mécani»-que de l'élément 18 avec les tiges de piston 20, 21 et 22 des trois moteurs hydrauliques. Le dispositif est redondant, car n'importe lequel des moteurs 20 hydrauliques 15, 16 ou 17 est susceptible, indépendamment s 25 Une défaillance active correspond au cas où une énergie non contrôlée est appliquée au dispositif. Une défaillance passive correspond au cas où l'énergie nécessaire n'est pas appliquée au dispositif. Dans chaque canal, un dispositif de détection et de correction d'erreur détecte toute défaillance active lorsqu'elle se produit, et isole en-30 suite le canal défaillant de manière qu'il n'intervienne plus sur la sortie et qu'il n'interfere plus avec le fonctionnement des autres canaux* Une erreur ou défaillance est détectée par l'observation de toute différence notable entre un canal et les autres. Si la différence atteint une valeur prédéterminée, le canal est considéré comne défaillant et en consé-35 quence l'organe de correction qui isole le canal est déclenché. Par exemple, dans le. cas d'une défaillance du canal n* 2, l'organe de eonmande 16 doit ôtre isolé de manière que les deux autres organes de commande 15 et 17 puissent continuer à fonctionner et à déplacer l'élément mobile 18. 71 30149 5 2104861 Les dérangements passifs sont à auto-élimination, c'est à dire que les signaux s'évanouissent dans le canal en dérangement qui n'a pas à être éliminé par le dispositif de détection et de correction d'erreurs. Les fonctions nécessaires au fonctionnement correct des autres canaux sont en-5 core assurées même avec un défaut passif. Un dérangement actif doit être détecté afin d'être éliminé. Du fait qu'une erreur est détectée par la mesure de la différence entre l'état du canal supposé défaillant et l'état des deux autres, le canal subissant un dérangement actif ne peut être isolé que lorsque les autres canaux l'em-10 portent en nombre sur le canal défaillant. Dans cette comparaison, la "majorité" est considérée être correcte. Un dispositif de commande à trois canaux, tel que celui illustré sur la figure 1, ne peut donc supporter qu'ion seul canal en dérangement actif ou deux canaux en dérangement passif. S'il ne reste que deux canaux, aucune comparaison de majorité n'est possible 15 pour déterminer celui des canaux qui fonctionne correctement dans le cas d'un dérangement actif. Les trois organes de commande 15, 16 et 17 à aci ition de forces appliquent tous à peu près la même force sur l'élément 18 pour le déplacer ou le maintenir en position. Cependant, toutes les positions sont contrôlées, 20 c'est-à-dire qu'un signal de position provoque le mouvement de l'organe de commande, et le signal de réaction de position complète la boucle afin d'indiquer à l'élément de c«mande si la position a été atteinte. Des signaux auxiliaires de réaction liés aux forces, sont appliqués à chaque canal ai"in de rattraper toute différence qui peut apparaître entre la coonan-25 de d'entrée et le signal de réaction de position par le fait que les trois organes de commande sont liés mécaniquement au même élément mobile. Du fait que les trois canaux N° 1, 2 et 3 sont identiques, un seul a été représenté en détails. Les figures 2, 3 et 4 représentent à grande échelle, le schéma de l'un des canaux, le canal N° 1, Les mêmes éléments/de cha-30 cun des trois canaux portent les mimes références numériques mais celles du canal N° 2 sont suivies de la lettre A et celles du canal N° 3 sont suivies de la lettre B, La figure 2 montre que chaque canal comporte sa source de pression, cru alimentation en fluide, indépendante et désignée par la référence 25. De 35 même, chaque canal comporte sa propre source 26 de courant continu, son propre oscillateur ou source 27 de courant alternatif et sa propre source 28 de signaux de commande d'entrée en courant continu. Ces sources 25, 26, 27 et 28 sont toutes indépendantes des sources correspondantes des autres 71 30149 2104861 6 canaux de sorte qu'une défaillance de l'une n'affecte en aucune maniéré les sources correspondantes des autres canaux. En plus du moteur hydraulique 15, le circuit hydraulique de chaque ca-,nal comporte une vanne ou un distributeur de commande 30 électro-hydrauli-5 que et une vanne de sécurité J>1 électro-hydraulique. La vanne de sécurité J1 est en fait un distributeur de coupure et de dérivation à fonctionnement très rapide, destiné à interrompre la circulation du fluide vers le moteur hydraulique dans le cas d'une défaillance du canal. Le fluide provenant du distributeur de sécurité 31 «st normalement dirigé vers le distributeur de 10 commande 30. Ce dernier dirige ensuite le fluide vers l'une ou l'autre des extrémités du moteur hydraulique en fonction du signal provenant de l'entrée 28 de signaux électriquesde commande. Le distributeur de commande 30 électro-hydraulique est illustré plus en détails sur la figure 3« Son. rôle consiste à commander la vitesse et la 1 v. direction du déplacement de la tige de piston 20 en fonction du courant électrique appliqué. Le distributeur standard Aaex 410 à tube gicleur, disponible dans le commerce, convient pour cette application. Elle consiste essentiellement en un moteur couple 35 étanche qui déplace un tube gicleur 36 en presence d'un courant électrique. Le mouvement de ce tube dirige à 20 son tour un jet d'huile ou de fluide, arrivant dans le tube par une conduite 37, vers deux orifices récepteurs 38 et 39. La pression différentielle obtenue à partir de ces orifices récepteurs 38 et 39 entraîne le tiroir 40 du second étage du distributeur. Ce tiroir est relié au tube gicleur par un ressort de rappel 42 qui ramène toujours au centre le gicleur et l'ar-25 mature du moteur de couple. la position du tiroir du distributeur, et par conséquent la circulation du fluide dans le second étage 4l du distributeur 30, est donc proportionnelle au courant dans le moteur de couple. Le second étage 4-1 du distributeur 30 est constitué d'un cylindre 44 daa» lequel se déplace le tiroir 40. Le cylindre 44 comporte cinq orifices 46, 10 47, 48, 49 et 50. La circulation du fluide en provenance de, et vers ces orifices est commandée par les portées 51, 52, 53 et 54 du tiroir, entre lesquelles se trouvent trois canaux de circulation 55, 56 et 57. l'orifice central 48 du distributeur 4l est relié par un conduit 58 à une conduite 60 de retour à basse pression. Les orifices 47 et 49 sont reliés chacun aux 3r conduites de commandes 61 et 62 par les conduites 63 et 64 respectivement. Les orifices, d'extrémité 46 et 50 du distributeur 4l sont reliés à la conduite sous pression 65 par les conduites 66 et 67 respectivement. La conduite 65 est normalement sous pression, sauf lorsque la circulation vers 71 50149 2104861 le distributeur de coraaande 30 est interrompuqlpar le distributeur 31. Ainsi que le montre la figure 3> le déplacement vers la jgauche du tiroir 40 relie là conduite de courra ni e 62 à la source de pression par la conduite 65, les orifices 50 et 49 et la conduite 64. En même temps, l'autre 5 conduite de commande 61 est reliée à la conduite de retour 60, ou de basse pression, par la conduite 58, les orifices 48 et 47 et la conduite 63. Ainsi que le montre la figure 2, ce déplacement du tiroir vers la gauche provoque le déplacement vers la droite, ou vers l'extérieur du cylindre de coomande, de la tige de piston 20 de l'organe de coomande 15* Inversement, 10 ainsi que le montre la figure 3, le mouvement vers la droite du tiroir 40 relie la conduite de commande 61 à la conduite sous pression 65 par la conduite 66, les orifices 46 et 47 et la conduite 63, et relie simultanément l'autre conduite de commande 62 à la conduite 60 de retour ou de basse pression par les orifices 48 et 49 et les conduites 58 et 64. 15 Le dispositif de commande selon l'invention comporte des circuits électroniques logiques et des circuits de contrôle destinés à détecter une défaillance d'un canal. S'il est en dérangement, le canal doit ttre immédiatement éliminé du dispositif s'il risque d'y apporter une pertubatian. En d'autres termes, il ne doit y avoir qu'un minimum de variation^transi-20 toires à la sortie du dispositif de comande lorsqu'il se produit un dérangement dans un canal. Par conséquent, le canal défaillant doit ttre rapidement éliminé et son piston doit ttre mis hors circuit. On dispositif dans lequel des circuits électroniques contrôlent la sortie hydraulique introduit généralement un retard indésirable dans la liaison électrique-hy-25 draulique. A titre d'exemple, le temps de fonctionnement d'un électro-aimant à action rapide est de l'ordre de 25 millisecondes. Dans la plupart des dispositifs de commande d'aéronef à triple redondance, ce temps de retard est inacceptable. De nombreuses applications nécessitent des temps est un de commutation beaucoup plus courts. Le distributeur de sécurité 31 /tiroir 30 à action rapide, c'est-à-dire qu'il lui faut environ 5 millisecawies pour éliminer du dispositif le canal en dérangement. D'une manière générale, le distributeur de sécurité 31 est semblable au distributeur de commande 30. Il consiste essentiellement en un moteur-couple 70, étanche, qui, sous l'action d'un courant électrique, déplace un 35 tube gicleur 71, Ce tube gicleur 71 dirige à son tour tm jet d'huile dams l'un ou l'autre des orifices de réception 72 et 73. La pression différentielle entre ces orifices de réception 72 et 73 provoque le déplacement du tiroir 75 du second étage du distributeur 31, Mais Hana ce distributeur 71 3Ô149 S 2104861 de séc . ité, le tiroir n'est pas relié au tube gicleur et ne le ramène pas en position centrale. Le tuba ^1 gle^e^iyn^rmalement poussé ver3 une position .ians laquelle il dirige la/Jet dans l'orifice de réception 72. Lorsqu'un courant circule dans l'enroulement d'armature j6 du moteur-couple 5 '70, le tube gicleur 71 dirig* le fluide hydraulique vers l'orifice récepteur 73. Ainsi qu'il sera dée-it plus en détails ci-après, la circulation d'un courant dans l'enroulement d'armature 76 est commandéa^par un circuit 77 détecteur de limite qui commande le courant dans un circuit 78 de commande de distributeur de sécurité. Le second étage 79 clu distributeur 31 10 est constitué d'un cylindre 80 dans lequel coulisse le tiroir 75» cylindre 80 comporte deux orifices 81 et 82 reliés par les conduites 83 et 84 aux orifices 72 et 73 du moteur-couple JO, Ces orifices 8l et 82 débouchent dans des chambres 85 et 86 aux extrémités opposées du tiroir. En plus de ces orifices, le cylindre comporte quatre orifices 90, 91, 92 et 93• 15 Les orifices 90, 91 et 93 sont reliés, par une conduite 94, à la conduite principale de retour 60. L'orifice 92 est relié à la scurce de fluide 25 par la conduite 105. H comporte également un orifice 95 de sortie principale relié à la conduite sous pression 65 aussi bien qu'aux deux orifices de commande 96 et 97 • Ces deux derniers orifices sont reliés respecti-20 vement aux conduites de commande 6l et 62. Le tiroir 75 est traversé par deux canaux 98 et 99 qui, dans la position d'élimination, relient les orifices 91 et 96 d'une part et les orifices 93 et 97 d'autre part. Un canal annulaire 100 du tiroir 75 relie les canaux sous pression 92 et 95 dans l'une des positions du distributeur. En 25 outre, dans un mode de réalisation du tiroir 75, un passage étranglé du canal 101 relie la chambre 85 à un canal annulaire 102. Ce passage 101 peut être supprimé et le distributeur fonctionne encore. Un ressort de compression 103 pousse normalement le tiroir 75 vers la droite de la figure 3. Le distributeur 31 est amené à la position d'élimination, aussi bien 30 mécaniquement qu'hydrauliquement. En position d'élimination, le fluide passe du tube gicleur 71 à l'orifice de réception 72 et de là, à la chambre 85 située à l'extrémité gauche du second étage 79 du distributeur. Ce fluide aide le ressort 103 à pousser le tiroir 75 vers la droite dans la position où le canal 98 relie l'orifice 91 à l'orifice 96 et où le canal =>9 3j relie 1 orifice 93 a 1 orifice 97» Dans cette position, le passage étranglé du canal 101 est séparé de l'orifice Q0 par la portée d'extrémité 104 du tiroir, de sorte que la pression du fluide force ce dernier vers la droite. 71 30149 9 2104861 Lorsqu'un courant circule dans 1'enroulement de l'armature 76, le tube gicleur 71 est entraîné vers la droite, dans la position représentée sur la figure j. Dans cette position, le fluide venant du tube gicleur 71 pénètre dans l'orifice de réception 73 et passe dans la chambre 86 à l'ex-5 trémité droite du tiroir. Ce fluide pousse le tiroir vers la gauche, contre la force du ressort, dans la position représentée sur la figure 3. Dans cette position du tiroir, la circulation du fluide est interrompue aux orifices 96 et 97, et l'orifice 95 est relié à l'orifice d'admission de pression. 92 relié lui-fflfene, par la conduite 105, à la source de fluide sous 10 pression 25. Toute la pression est alors appliquée à la vanne ou distributeur de commande 30. Lorsque le tiroir se trouve dans cette position extrême gauche, l'étranglement 101 situé à soi extrémité gauche permet une circulation de fluide de la chambre 85, par le passage 101, l'orifice 90 et la conduite 94 vers la conduite de retour 60. 15 L'organe de coranande, ou moteur hydraulique 15 représenté sur la fi gure 4, est un cylindre hydraulique à surfaces équilibrées. Il consiste en un cylindre 110 dans lequel coulisse une tige de pi-r^on 20 à double face. Le cylindre, ou moteur, 15 est appelé cylindre à surfaces équilibrées parce que la surface affective du piston sur laquelle s'exerce la pression 20 hydrauliqije qui déplace le piston est la même sur les deux faces. C'est- à-dire que la surface 111 d'une face du piston 112 est la mène que la surface 113 de l'autre face du piston. Le fluide est amené sur les côtés opposés du piston par les orifices 116 et 117 du cylindre. Ces orifices sont reliés aux conduites de commande 61 et 62 respectivement. 25 L'extrémité intérieure 118 de la tige de piston 20 pénètre dans une partie annulaire 120 de plus faible diamètre à l'intérieur du cylindre 110, et elle coulisse dans une cavité ou chambre 121 du cylindre qui n'est pas sous pression. Cette extrémité 118 du piston comporte un logement, ou chambre 122 dans laquelle est monté un capteur de déplacement linéaire 123. 30 Ce capteur 123 est monté par une collerette à l'extrémité intérieure du cylindre et son boîtier pénètre dans le logement, ou chambre 122. La sonde 124 du capteur est fixée à la tige du piston de manière à se déplacer avec elle. Ainsi qu'il sera expliqué plus en détails ci-après, ce capteur sert à fournir à l'entrée de l'amplificateur additionneur, un signal élec-35 trique de réaction proportionnel à la position de la tige de piston. Les deux conduites de commande 61 et 62 sont reliées à un capteur 1J0 de pression différentielle. Ainsi qu'il sera expliqué plus en détails ci-après, ce capteur de pression 130 délivre à un circuit de synchronisation 71 30149 2104861 de charge, des signaux proportionnels aux pressions de charge dans le cy- , liixlre. Ces pressions sont directement proportionnelles aux forces de sortie du-piston de l'organe de commande. Ce capteur est d'un type courant disponible dans le commerce, constitué d'un dispositif inductif à diaphrag-5 me qui détecte les différences de pression entre les deux conduites 61 et 62. Un communateur dg pression 135 est relié à la conduite 65 de pression, du côté de la sortie/distributeur de sécurité. Ce commutateur de pression est d'un type courant, il délivre un signal électrique logique au détecteur 10 de limite 77 afin de lui indiquer la présence ou l'absence de pression hydraulique . En plus des deux capteurs et du commitateur de pression qui viennent d'être mentionnés, les éléments électriques de chaque canal du dispositif comportent un amplificateur 136 de sommation d'entrée, un amplificateur 137 15 de sommation et de différence de force, un amplificateur 138 à décalage avant et arrière, un circuit 140 de commande d'engagement de canal, un détecteur de limite 77, un sélecteur d'inhibition 142, un circuit 78 de commande de distributeur de sécurité et un relais de pression 144. Les circuits électriques de chacun de ces éléments 137, 138, 136, 77, 78, 142, 140 20 et 144 sont représentés respectivement sur les figures 5 à 12. Le signal de pression, en courant alternatif, provenant du capteur de pression 130 est démodulé par le démodulateur 151. Le signal PI de force de sortie, en courant continu, provenant du démodulateur 151 est appliqué, par le fil 160, à l'amplificateur 137 de somme et de différence. Le sché-25 ma de l'amplicateur 137 est représenté sur la figure 5. Les signaux de pression,ou de force, démodulés PI, F2, P5 de tous les canaux sont additionnés, leur moyenne est faite et chaque signal est retranché de la moyenne afin de produire un signal de réaction de synchronisation de charge. Ceci s'effectue en reliant ensemble par le fil 158 les 30 contacts 163 des amplificateurs 137, 137A et 137B de somme et de différence des trois canaux (voir figure 1). La connexion des contacts Pc 163 de chaque canal s'effectue par le contact 162 du relais de pression 144 (figures 2, 5 et 12) de manière qu'un signal de force d'un canal en dérangement soit automatiquement éliminé de la comparaison, en séparant ce signal 35 de ceux qui vont être additionnés. Le signal 0Q de réaction dp synchronisation de charge appliqué sur le fil 165 de 1 amplificateur 1-37 de somme et/différence, est donc automatiquement proportionnel a la différence entre la moyenne des signaux de force 71 30149 2104861 de tous les canaux en fonctionnement et le signal de force de son propre canal. Ce signal de sortie est le signal de synchronisation qui est contrôlé et utilise pour éliminer un canal défaillant. Il est également utilisé couine signal de réaction supplémentaire dans le dispositif assisté. 5 Lorsque ce signal de réaction de synchronisation de charge dépasse une valeur prédéterminée, par exemple de 20 bars d'erreur à chaque canal, le détecteur de limite 77 du canal change d'état et ferme le canal. Le signal de réaction de synchronisation de charge du fil 165 est appliqué à 11 amplificateur 138 à décalage avant et arrière, (figure Une 10 fonction de cet amplificateur 1J8 consiste à faire la différence entre des erreurs transitoires ou très rapides et des erreurs accumulées ou lentes de manière à permettre au détecteur de limite 77 de répondre à la fois à ces deux niveaux différents de pression. D'une manière générale, un dispositif de détection de limite destiné 15 à éliminer un canal défaillant doit réagir à deux types fondamentaux de dérangements : la lente dérive d'un canal et le blocage brusque. Les dérangements peu* dérive lente peuvent se produire par _uite d'une usure excessive, de variations locales de température qui ne se partagent pas entre tous les canaux, ou de dégradation lente des performances de certains 20 composants du canal. Un dérangement par blocage brusque peut résulter d'un fil cassé, d'une rupture de conduite, d'une vanne coincée, etc.,. Des variations de dérive lente existent toujours à un certain degré et sort généralement considérées corame faisant partie du fonctionnement normal tant qu'elles restent dans des limites prédéterminées. Mais lorsque ces dérives 25 atteignent une amplitude prédéterminée et persistent pendant un temps prédéterminé, elles deviennent inacceptables et sont considérées coane des dérangements. Ufa signal de synchronisation de lente dérive cumulé ou permanent, équivalent à une erreur de pression de 20 bars déclenchera le détecteur de limite . Des signaux transitoires tels que des "bruits" hydrauli-30 ques ou des dérangements de blocage hydraulique sont atténués le rapport 6 : 1 et doivent par conséquent avoir une amplitude de 125 bars pour déclencher le détecteur de limite 77, Une seconde fonction de l'amplificateur 138 de décalage avant et arrière consiste à réduire le déplacement transitoire de l'organe de coœnan-35 de dans le cas d'une défaillance d'un canal. En supposant que l'un des trois canaux présente une erreur cumulée due à un élément défaillant, immédiatement avant l'élimination du canal en faute il apparaît un signal de réaction de synchronisation égal au réglage limite du détecteur de limite 77. 71 3Ô149 2104861 La somme de tous les signaux de réaction de synchronisation : -jur tous les canaux est toujours nulle. Les signaux de réaction de synchronisation des deux autres (bons) canaux représentent alors chacun environ 50 % du réglage de limite lorsque le signal de réaction de synchronisation du canal en 5 dérangement est égal à oe réglage limite. Le canal en dérangement détecte alors la limite et s'élimine. Au monent de l'élimination du canal défaillant, les autres canaux ne présentent pas d'erreur cumulée et leurs signaux de réaction de synchronisation doivent passer immédiatement de 50 $> du réglage limite à zéro. En l'absence de l'amplificateur à décalage avant-arv 10 rière, ces signaux descendraient immédiatement à zéro et l'organe de connan-de recevrait une commande de décalage de position égale à 50 % du réglage du détecteur de limite . L'amplificateur 138 à décalage avant-arrière intègre ce signal de coomande sur une période relativement longue (par exemple 10 secondes) et permet à l'organe de commande de se déplacer lentement jus-15 qu'à sa nouvelle position. Avant d'Ôtre appliqué à l'entrée de l'amplificateur 136 d'addition d'entrée, le signal de réaction de synchronisation provenant de l'amplificateur 138 à décalage avant-arrière est d'abord limité par le circuit intérieur de cet amplificateur (figure 6). Ce circuit limite le signal de réac-20 tion de synchronisation du fil 171 à une valeur prédéterminée, comme par exemple dans le mode de réalisation préféré aux environs de 33 % au-dessus de la valeur de détection de faute de canal par le détecteur de limite 77. Lorsqu'un dérangement par blocage se produit dans un canal, le signal de synchronisation de charge de ce canal augmente rapidement jusqu'à la va-25 leur limite . Les signaux des deux autres canaux augmentent jusqu'à environ la moitié de la valeur de celui du canal défaillant. Mais, si le canal en dérangement n'est pas complètement décomprimé au bout de 5 millisecondes, les deux autres signaux peuvent atteindre leur limite. Afin d'assurer une détection correcte, le détecteur de limite fonctionne à une vitesse 30 élevée comparée à celle du taux d'augmentation des signaux de synchronisation de charge. Les circuits logiques de chaque canal sont inter-connectés avec ceux des autres canaux, de sorte qu'un seul canal peut ttre éliminé. Si quatre canaux 3ont utilisés, une inhibition transversale momentanée est appliquée après un premier dérangement, et une inhibition transversale per-35 manente après deux dérangements. L'amplificateur 136 de somnation d'entrée de chaque canal reçoit un signal électrique de commande provenant de l'une parmi les trois sources de commande similaires 28. Ce signal de commande en courant continu variable, 71 30149 2104861 est transmis par le fil 175 à l'entrée de l'amplificateur 136 de sommation d'entrée. Le signal de ooamande C est additionné algébriquement avec un si-gaal P de réaction de position sur le fil 176 et un signal de réaction de synchronisation sur le fil 172. Le signal de réaction de position, indi-5 quant la position de l'organe de coomande 15, est transmis sous forme d'un signal en courant alternatif sur le fil 177, vers un démodulateur 150 où il est démodulé et transmis ensuite, par le fil 176, à l'amplificateur 136 de sommation d'entrée. Le signal de différence résultant provoque la circulation d'un courant proportionnel dans les fils 178 et 179, vers les en-10 roulements 180 du moteur - couple du . distributeur de commande électro-hydraulique 30. La circulation dans le distributeur 30 produit un déplacement du piston dont la vitesse dépend de sa surface et de la charge opposée. Du fait que le dispositif complet ccœporte trois canaux identiques avec trois organes de commande identiques 15, 16 et 17 agissant chacun in-15 dépendaient sur la charge de sortie 18 à laquelle ils sont reliés mécaniquement par une barre de liaison 19, chaque piston applique sur la charge 18 une force proportionnée, dans ce sens que les forces des pistons s'additionnent sur une charge coranune. Il est évident que, dans un dispositif à trois canaux dans lequel chaque canal fonctionne indépendamment et dont la 20 position est commandée, les forces de sortie ne peuvent pas être identiques. Des différences dans les forces et dans les pressions des canaux, qui sont presque directement proportionnelles,se produisent du fait d'entrées parasites telles que décalagesde zéro, non-linéarités, usure, etc... Du fait que les positions de sortie de tous les canaux sont physiquement astreintes, 25 par la barre de liaison 19, à ttre les mêmes, les signaux de réaction de position associés à 1'amplificateur de sommation d'entrée 136 sur le fil 176 peuvent équilibrer ou non, les signaux de coomande du fil 175. Lorsqull» sont appliqués aux vannes d'asservissement à gain de pression élevé, les signaux résultant provoquent l'apparition de charges inégales sur les 30 canaux et il peut se produire que les 0anaux exercent des forces des directions opposées bien que leur s cerne équilibre encore la charge extérieure. Il peut en résulter une réduction du gain en force sur la charge extérieure, une fatigue au point d'addition de sortie, et une possibilité de pompage. Afin d'éliminer ces inconvénients, un dispositif de synchroni-35 sation de charge est incorporé dans le dispositif d'addition de forces. Le circuit de synchronisation applique les signaux de réaction de synchronisation du fil 172 à 1'amplificateur de sommation d'entrée, de manière à rattraper toute différence entre la conande d'entrée et les signaux de 71 30149 2104861 réaction de position sur les fils 175 et 176. Le circuit de synchronisation est réalisé de manière telle que la somme algébrique des signaux de réaction de synchronisation des fils 172 des trois canaux soit toujours nulle. Toute variation de l'un des signaux est donc opposée aux deux autres. 5 Le circuit de synchronisation n'a virtuellement aucun effet réel sur le positionnement des dispositifs de commande 15, il ne sert qu'à équilibrer les trois canaux en addition de forces. Ainsi qu'il a été indiqué, le signal de synchronisation de charge provenant de l'amplificateur à décalage avant-arrière est contrôlé de maniè-10 re à déclencher le détecteur de limite 77 dans le cas où le signal de synchronisation dépasse des valeurs prédéterminées (indiquant une erreur de 20 bars de dérive lente ou une erreur de 125 bars de blocage dans le présent mode de réalisation). A cet effet, le signal de synchronisation de charge est appliqué, par le fil 173, au détecteur de limite 77• Le détecteur de 15 limite 77 élimine alors le canal et le signal vers le distributeur de sécurité 31 lorsque le signal de synchronisation dépasse la valeur prédéterminée . Le détecteur 77 contrôle également l'état des détecteurs de limite de chacun des deux autres canaux. A cet effet, un signal provenant du sélec-20 teur d'inhibition 142 par le fil 181 est appliqué au détecteur de limite 77. Dans le cas de la présence sur le fil l8l, d'un signal indiquant l'élimination de l'un des deux autres canaux, le détecteur de limite passe en position de marche dans laquelle il reste, et il maintient un signal de blocage sur le distributeur de sécurité 31 quelle que soit la valeur du si- de charge 25 gnal de synchronisation/sur le ril 173• Autrement dit, un signal sur le fil 181 indiquant l'élimination de l'un des autres canaux joue le rôle d'un signal de blocage qui empêche le signal de synchronisation d'éliminer tout autre canal. Un seul canal peut dont Être en dérangement actif. Qi plus de ces signaux, le circuit détecteur de limite 77 reçoit éga-30 lement deux signaux; C et D provenant du circuit 140 de commande d'engagement. Le signal C sur le fil 184 provenant du circuit 140 de commande d'engagement, permet au détecteur de limite de rester en position de marche aussi longtemps qu'un signal H de mise sous tension d'un canal est appliqué par une source d'alimentation 185 au circuit 140 de coomande d'engagement. Le 35 signal D du fil 186 consiste en un signal en impulsions provenant du circuit 140 de commande d'engagement. Ce signal d'impulsions D met en marche le détecteur de limite lorsque le signal H du canal est d'abord appliqué. Le signal C sur le fil 184 maintient ensuite le détecteur de limite s* 71 30149 2104861 15 position de marche jusqu'à ce que le dispositif soit arrêté, ce qui fait disparaître un signal H, ou que le détecteur de limite 77 soi,t bloqué par un signal de synchronisation de charge sur le fil 173 dépassant la limite prédéterminée, ou par 1'apparition d'un signal du commutateur de pression 5 indiquant une baisse de pression hydraulique. Les détecteurs de limite reçoivent également, par le fil 190, un signal A du commutateur de pression et, par le fil 191, un signal B du relais de pression. Ces deux signaux changent d'état dans le cas d'une perte de pression hydraulique dans le canal. Dans ce cas, les signaux A et B servent 10 à bloquer le détecteur de limite en l'absence d'un signal de blocage E sur le fil l8l. Le signal B bloque le détecteur de limite dans le cas d'une défaillance de l'enroulenent du relais de pression. Tant quj^le détecteur de limite "g^est en fonctionnement, un signal F de c offrande/ distributeur de dérivation/ appliqué, par le fil 197, au cir-15 cuit 78 de coomande du distributeur de dérivation. Ce circuit fait, à son tour, passer un courant dans le fil 188 vers l'amature f6 du distributeur de dérivation J1 et maintient ce dernier en position Je travail. Dans le cas où le détecteur de limite 77 est bloqué, il applique un signal I sur le fil 189 vers les sélecteurs d'inhibition 142A et 142B des deux autres 20 canaux. Ces sélecteurs d'inhibition 142A ou 142B appliquent alors, par les fils l8l des signaux de blocage au détecteur de limite des deux autres canaux de manière à les maintenir en fonctionnement. Le fonctionnement du dispositif sera maintenant décrit : les circuits logiques du dispositif sont réalisés de telle manière que lorsque l'éner-25 gie électrique et hydraulique est appliquée à chacun des trois canaux, ces derniers passent inraédiatement en état de marche. Avant que le détecteur de limite 77 applique un signal, par le fil 187, au circuit 78 de commande du distributeur de sécurité, de manière à faire circuler un courant dans l'enroulement de l'armature 76 du distributeur 30 31, le tiroir principal 75 du distributeur de détection d'erreur de pression, ou distributeur de sécurité 31, est poussé mécaniquement vers la droite en position de fermeture par le ressort de compression 103. Le tube gicleur 71 du distributeur est poussé mécaniquement vers la gauche de manière à diriger le jet de fluide dans l'orifice 72 et à aider le ressort 103 à 35 maintenir le tiroir 75 en position extrême droite. Le jet est donc projeté vers l'orifice 72 de gauche et donc sur l'extrémité gauche du tiroir. Le distributeur est donc maintenu mécaniquement et assisté hydrauliquement en position de dérivation. La conduite d'alimentation hydraulique, ou conduite 71 30149 2104861 sous pression 65» du distributeur de coomande est maintenue fermée et les orifices 116 et 117 du cylindre du moteur hydraulique sont donc court-cir-cuités. A l'application d'un signal sur le Ml 187 vers le circuit 78 de com-5 mande du distributeur 31, le courant nominal du distributeur passe dans l'enroulement 76 de manière à déplacer le tube gicleur 71 vers la droite de la figure 3. Toute la pression est alors appliquée sur la partie droite du clapet 76, de manière à le déplacer vers la gauche. Lorsque cela se produit, le fluide sous pression provenant de la source 25 passe par la con-10 duite 105 et les orifices 92, 95 du distributeur 31 vers la conduite sous pression 65. Cette pression dans la conduite 65 provoque la fermeture du commutateur de pression 135» La fermeture de ce commutateur 135 entraîne l'application d'un signal de maintien par les fils 156, 190 vers le détecteur de limite 77 et, par les fils 156, 152, le relais 144 et le fil 191 15 vers le détecteur 77. Ce signal maintient le détecteur de limite dans l'état où il laisse le distributeur 31 ouvert. Chaque canal reçoit des signaux de coomande idertiques provenant d'une source 28, Ces signaux sont appliqués, peu? le fil 175, à l'entrée de l'amplificateur de sommation 136 dans lequel ils sont ajoutés aux signaux? de 20 réaction de position du fil 176 et aux signaux 0^ de réaction de synchronisation du fil 172. La sommation résultante produit une tension d'erreur qui à son tour, fait apparaître un courant proportionnel sur les fils 178 et 179, Ce courant passe dans les enroulements du moteur-couple 180 du distributeur de commande 30 dont le tube gicleur 36 dirige un jet de flui-25 de plus ou moins important vers l'un ou l'autre des orifices 38 et 39, Cette différence entre les circulations de fluide Hans les orifices 38 et 39 provoque le déplacement du tiroir 40 vers une extrémité ou l'autre du distributeur de commande 30. En fonction du sens de déplacement du tiroir, l'une des conduites 61, 62 de commande du moteur hydraulique est reliée à 30 la conduite sous pression 65 et l'autre conduite est reliée à la conduite de retour 58. La circulation du fluide dans le distributeur de coomande 30 provoque le déplacement du piston du moteur hydraulique à une vitesse qui dépend de sa surface et de la charge opposée. Afin de fermer la boucle, un signal de réaction est extrait du capteur 123 de mouvement linéaire qui 35 mesure le déplacement du piston par rapport au corps du cylindre. Ce signal de réaction de position est ensuite transmis par le fil 177, le modulateur 150 et le fil 176 vers l'amplificateur de sommation d'entrée. Les forces développées par les trois pistons sont additionnées sur la charge coranune 71 30149 2104861 18 par 11 intermédiaire de la barre de liaison 19» Le problème de synchronisation de charge sur les canaux est résolu par le dispositif de synchronisation qui comporte les capteurs de pression 130 et les amplificateurs 157 de somme et de différence de force. Ces amplificateurs 137> 137A et 137B 5 reçoivent les signaux de force PI, F2, F3 indiquant la charge, ou la force sur chaque canal et provenant des capteurs de pression. En outre, les amplificateurs de somme et de différence 137, 137A et 137B reçoivent, par les fils 157, les relais de pression 144 et le fil 158, les signaux de pression ou de force des autres canaux. Grâce à ces liaisons, une comparaison 10 algébrique est effectuée dans l'amplificateur de somme et de différence 137, dont le signal de sortie sur le fil 165 est proportionnel à la différence entre la pression dans le canal et la valeur moyenne des pressions dans les autres canaux. Ce signal de réaction de synchronisation de charge des fils 165 est ensuite traité par 1'amplificateur 138 à décalage avant-derrière 15 et il est transmis par le fil 173 au détecteur de limite 77 du canal défaillant et à l'amplificateur 136 de sommation d'entrée par le fil 172, Le réseau de synchronisation est réalisé de manière telle que la somme algébrique des trois signaux de réaction auxiliaires des fils 172, 172A et 172B des trois canaux soit nulle. Par conséquent, toute modification d'un signal 20 de pression de charge s'oppose aux deux autres et les trois signaux n'ont aucun effet sur l'élément commandé 18 mais ils compensent les différences entre les signaux de réaction de position des canaux et permettent l'addition de force. Ce signal de réaction de synchronisation de charge est également con-25 trfclé afin de déterminer si une pression ou une force à un moteur hydraulique 15 de l'un des canaux devient inacceptable et s'il y a donc une défaillance, Du fait que la somme algébrique des signaux est nulle, si le signal correspondant à l'un des canaux augmente jusqu'à une certaine valeur, les signaux correspondant aux deux autres canaux varient en sens opposé 30 jusqu'à seulement la moitié de cette valeur. Par conséquent, le signal de réaction de synchronisation de charge des fils 172 d'un canal défaillant atteint une limite autorisée prédéterminée avant que ce signal de réaction des deux autres canaux n'atteigne la niême valeur limite. Le fait que le signal correspondant à un cernai atteint le premier cette valeur limite pré-35 déterminée constitue donc une indication sure qu'un dérangement s'est produit dans ce canal. Tant que le signal de réaction de synchronisation de charge reste les limites autorisées, indiquant que le canal fonctionne correctement, le 71 30149 2104861 courant dans l'enroulement 76 du distributeur de sécurité 31 maintient le canal en service. Lorsque l'amplitude du signal sur le fil 171 atteint ou dépasse la limite autorisée, indiquant qu'un dérangement s'est produit dans le canal, le détecteur de limite 77 commute et bloque le circuit 78 de com-5 mande du distributeur de sécurité. Il en résulte une réduction du courant d'enroulement 76 et le tube gicleur 71 du distributeur 31 se déplace sous l'action du ressort vers la position de fermeture. En fonctionnement, le tiroir 75 du distributeur 31 se déplace vers la droite de la figure 3 et arrête la circulation de fluide sous pression par 10 les orifices 92 à 95, de sorte que le commutateur de pression 135 du canal SA défaillant/declenehe. Dans cette position du tiroir, les conduites de commande 61 et 62 du canal défaillant sont reliées, par les canaux 98 et 99 du clapet, aux orifices 91 et 93. Ces orifices 91 et 93 sont tous deux reliés à la conduite 60 de retour ou de basse pression du circuit de fluide. Dans 15 cette position du distributeur de sécurité, le moteur hydraulique 15 du canal défaillant est libre de se déplacer ou de su:: \Te les mouvements des deux autres canaux en fonctionnement sans appliquer aucune force sur le dispositif. Au déclenchement du détecteur de limite 77, un certain nombre d'opé-20 rations se produisent dans le circuit logique électrique du canal défaillant. Les signaux électriques A et B des fils 190 et 191 changent d'état en raison de l'ouverture du commutateur de pression 135 et du relais de pression 144. Le signal d'engagement D sur le fil 186 est un signal temporaire qui n'apparaît que lorsque le canal est mis en service initialement, et ce 25 signal n'est donc pas présent. Le signal de sortie du détecteur de limite 77 du premier canal change d'état et émet vers les autres canaux un signal de blocage d'inhibition. Ce signal de blocage a pour conséquence que les détecteurs de limite des deux autres canaux continuent à fonctionner et que les distributeurs de sécurité 31 des deux autres canaux ne peuvent se fer-30 mer si les signaux de synchronisation dépassent les limites prédéterminées. Même si les commutateurs de pression 135 des deux canaux en fonctionnement étaient en dérangement, le signal de blocage du fil 189 maintiendrait le sélecteur d'inhibition des deux autres canaux, de manière que leurs signaux de blocage E maintiennent en fonctionnement les détecteurs de limite 77-35 des deux canaux en fonctionnement. La disparition sur le fil 152 du signal A du commutateur de pression 135 ouvre le relais de pression 144 et réajuste le circuit de somme et de différence de force. Cela établit dans les deux autres canaux une compensation 71 30149 2104861 de la disparition du signal de pression du canal défaillant. Bien que seul un dérangement du canal N° 1 soit décrit en détails, il est évident qu'un dé rangement actif de l'un des deux autres canaux provoque, exactement de la même manière, la cooButaticn du circuit logique des 5 deux autres canaux en f onetionnement, de manière à maintenir le dispositif en condition de fonctionnement tout en éliminant simultanément le canal défaillant. Du fait que le dispositif nécessite une recherche de majorité, il ne peut ttre toléré plus d'un dérangement actif. Lorsqu'un canal défaillant a été éliminé par suite d'un dérangeront 10 actif, il peut encore ttre accepté un dérangement passif pour lequel le dispositif de détection de dérangement n'a pas à éliminer le canal défaillant, Le type de dérangement considéré canne passif pourrait provenir de manque de pression hydraulique, de manque d'étanchéité, de fissure dans les conduites ou de manque d1alimentation électrique, etc.,. Dans un tel cas, 15 le ressort 103 pousse le distributeur de sécurité 31 vers la droite de la figure 3, de manière qu'il établisse une dérivation, isolant ainsi le canal défaillant passif. Bien qu'un seul mode de réalisation selon l'invention comportant trois canaux soit décrit en détails ci-dessus, il est bien évident que de nom-20 breuses modifications, telles que 1'augmentation du nombre de canaux jusqu'à 4 ou plus, peuvent y ttre apportées sans départir de l'esprit de l'invention. 71 30149 2104861 REVENDICATIONS 1 - Dispositif de servo-commande à canaux multiples comportant plusieurs canaux de servo-commande séparés et comportant chacun un circuit d'entrée auquel est appliqué un signal électrique de commande, et un mo- 5 teur hydraulique comportant un élément de sortie mobile et destiné à produire un mouvement en réponse à un signal de commande produit dans le canal, chaque canal comportant également un dispositif qui introduit dans le circuit d'entrée un signal électrique de réaction provenant de l'élément mobile de sortie, de manière à annuler le signal de coomande lorsque le 10 mouvement voulu a été produit à la sortie du canal, le dispositif de servo-commande comportant un organe couplé à l'élément de sortie -de tous les canaux, ainsi qu'une pièce de sortie qui produit un mouvement de sortie en fonction de la somme des forces développées par tous les éléments de sortie de canaux, caractérisé en ce qu'il comporte dans chaque canal un dis-15 positif de détection de défaillance qui débranche hydrauliquement du système le canal défaillant. 2 - Dispositif de servo-commande à canaux multiples, du type comportant un certain nombre de canaux redondants séparés, à addition de force, chacun de ces canaux comportant une source de signal électrique de comman- 20 de d'entrée et un moteur hydraulique de sortie, mobile en réponse au signal électrique de commande d'entrée, et un dispositif qui délivre un signal électrique de réaction de position en réponse au mouvement du moteur hydraulique, caractérisé en ce qu'il comporte un dispositif qui détecte un canal défaillant lorsque la force développée par ce canal dépasse d'une 25 valeur prédéterminée celle des autres canaux et un dispositif comnaïKié par ledit dispositif de détection de canal défaillant et qui débranche hydrauliquement du dispositif le moteur hydraulique du canal défaillant pour le brancher sur un circuit hydraulique fermé, de manière qu'il puisse suivre les mouvements des canaux en fonctionnement sans les gêner. 30 3 - Dispositif selon la revendication 2, caractérisé en ce que le dis positif de détection de canal défaillant comporte un dispositif qui compare la force développée par chaque canal avec la moyenne des forces développées par les canaux multiples et qui commande une vanne ou un distributeur de débranchement en réponse à la force du canal qui dépasse la force moyenne 35 d'une valeur prédéterminée. 4 - Dispositif selon l'une des revendications 1 et 2, caractérisé en ce que le dispositif de détection de défaillance est sensible soit à une défaillance par lente dérive du canal soit à une défaillance par blocage 71 30149 2104861 brusque du canal, 5 - Dispositif selon l'une des revendications 1 et 2, caractérisé en ce que le dispositif de détection de défaillance est sensible à un signal d'erreur de faible amplitude indiquant une lente dérive ou à un signal de 5 grande amplitude indiquant un blocage brusqua, de manière à débrancher hy-dratLLiq'iwnent du système le canal défaillant, 6 - Dispositif selon l'une des revendications 1 et 2, caractérisé en ce que le dispositif de détection de défaillaaoe. comporte une vanne ou un distributeur de dérivation qui élimine un canal défaillant lorsque le si- 10 gnal d'erreur dépasse une limite prédéterminée, 7 - Dispositif de servo-commande à canaux multiples, type comportant un certain nombre de canaux redondants séparés à addition de force et comportant chacun une source de signal électrique de cdemande d'entrée et un moteur électrique de sortie mobile en réponse au signal électrique de 15 coomande d'entrée et un dispositif qui délivre un signal électrique de réaction de position en réponse au mouvement du enteur hydraulique, chaque canal comportant également un dispositif qui débranche le moteur hydraulique du canal en cas de défaillance de ce canal, caractérisé en ce que le dispositif de débranchement de canal défaillant est sensible à la fois à 20 des signaux d'erreur de grande amplitude indiquant un blocage brusque et à des signaux d'erreur d'amplitude plus faible et de plus grande durée indiquant une dérive, de manière à débrancher du dispositif le canal défaillant, 8 - Dispositif selon la revendication 7, caractérisé en ce que le dis- 25 positif de débranchement commande une vanne hydraulique qui débranche du dispositif, le moteur hydraulique du canal défaillant, 9 - Dispositif selon la revendication 7, caractérisé en ce que le dispositif de débranchement comporte un circuit amplificateur à déphasage avant et arrière destiné à intégrer les signaux d'entrée et à produire un signal 30 de sortie indiquant une erreur de force et dont l'amplitude est une fonction du temps, 10 - Dispositif de servo-commande à canaux multiples, du type comportant un certain nombre de canaux redondants séparés, à addition de force et comportant chacun une source de signal électrique de commande d'entrée, un 35 moteur hydraulique de sortie mobile en réponse au signal électrique de commande d'entrée et un dispositif qui délivre un signal électrique de réaction de position en répanse au mouvement du moteur hydraulique, caractérisé en ce qu'il comporte dans chaque canal un dispositif qui produit un signal 71 30149 2104861 de synchronisation de réaction d'erreur de force et un dispositif qui, en fonction du signal de réaction de position et du signal de synchronisation de réaction d'erreur de force, commande le mouvement du moteur hydraulique _ en réponse au signal de commande. 5 11 - Dispositif selon la revendication 10, caractérisé en ce qu'il com porte également un dispositif qui produit un signal de force moyenne qui représente la moyenne de l'amplitude des forces de tous les canaux en fonctionnement, un dispositif qui compare la force développée par chaque canal avec la moyenne des forces et qui délivre un signal de réaction de synchro- 10 nisation représentant la différence entre la force développée par le canal et la moyenne des forces de tous les canaux. 12 - Dispositif selon l'une des revendications 10 et 11, caractérisé en ce qu'il comporte également un dispositif de commande qui, en répanse à un signal de synchronisation dépassant une valeur prédéterminée, débranche 15 du dispositif le canal défaillant. 13 - Dispositif selon la revendication 11, caractérisé en ce que la somme algébrique des signaux de réaction de synchronisation de tous les canaux en fonctionnement est nulle. 14 - Dispositif selon la revendication 10, caractérisé en ce qu'il 20 comporte également dans chaque canal un dispositif de débranchement d'un canal défaillant. 15 - Dispositif selon la revendication 14-, caractérisé en ce que le dispositif de débranchement isole hydrauliquement un canal défaillant. 16 - Dispositif selon l'une des revendications 10 et 11, caractérisé 25 en ce qu'il comporte également un dispositif de détection de défaillance, qui, en réponse à un signal de réaction de synchronisation dépassant une valeur prédéterminée, débranche un canal défaillant. 17 - Dispositif selon la revendication 16, caractérisé en ce que le dispositif de détection de défaillance débranche hydrauliquement un canal 30 défaillant en commandant une vanne hydraulique qui débranche du dispositif le moteur hydraulique de ce canal. 18 - Dispositif selon la revendication 16, caractérisé en ce que le dispositif de détection de défaillance est sensible à la fois à un signal de synchronisation de faible amplitude indiquant une lente dérive ou à un 35 signal de synchronisation de grande amplitude indiquant un blocage brusque. 19 - Dispositif selon la revendication 18, caractérisé en ce que le dispositif de détection de défaillance comporte une vanne de dérivation destinée a eliminer un canal défaillant lorsque le signaX de synchronisation 71 30149 2104861 dépasse une liaite prédéterminée. 20 - Dispositif selon l'une queiconque des revendications 6, 8 et 19, caractérisé en ce que la. vanne consiste fen un distributeur électro-hydraulique à tube gicleur.