Brevet FR2488397A1 — publié le 19820212

La présente invention concerne la détection des défectuosités dans des capteurs tels que des gyroscopes et, plus particulièrement, la détection des défectuosi- tés dans des capteurs, sans devoir faire appel à des capteurs redondants. Bon nombre de systèmesde commande fonctionnent en réponse à des capteurs de différents types. A titre d'exemple, un système dé commande de vol automatique d'hélicoptère réagit à des altimètres, à des gyroscopes d'attitude et de cap, ainsi qu'à des accéléromètres et des gyroscopes de vitesse et d'attitude, afin de comman- der les manoeuvres de l'aéronef. Lorsqu'un système de commande de vol automatique est en service, la commande de l'aéronef dépend par conséquent des signaux transmis à ce système par les différents capteurs (gyroscopes, gyroscopes de vitesse.et accéléromètres, etc.). En cas de défaillance d'un capteur, le vol de l'aéronef pour- rait être perturbé de manière préjudiciable. Dans cer- tains cas, la perturbation peut être brusque ou tumul- tueuse tandis que, dans d'autres cas, elle peut être graduelle. Par exemple, si un gyroscope de cap vient à tomber en panne à un réglage donné alors que l'aéronef vole en mode de maintien de cap, l'effet de cette dé- faillance pourrait passer inaperçu jusqu'à ce qu'on ob- serve une forte perturbation (par exemple, une rafale de vent) faisant dévier l'aéronef de son cap, ou encore jusqu'à ce que le pilote désire changer de cap; dans d'autres conditions, le seul résultat perceptible pour- rait être une dérive lente de l'aéronef en dehors du cap désiré. D'autre part, si le gyroscope de cap vient à tomber en panne en transmettant un signal de sortie maximum, une manoeuvre de l'aéronef pourrait être amor- cée immédiatement dans une direction opposée, étant donné que la commande de vol automatique tente de corri- ger l'erreur de cap apparente. Toute défaillance d'un capteur dans un système de commande de vol automatique d'aéronef exige, de la part du pilote, une réponse destinée à réagir au chan- gement de manoeuvre de l'aéronef, ainsi qu'à contrôler des alarmes indicatrices d'erreurs éventuelles afin de désengager le système défectueux. Dans de nombreux cas, le simple désengagement du système défectueux peut provoquer un effet de manoeuvre inverse (étant donné qu'une erreur grave dans une direction est immédiate- ment convertie en une erreur zéro, ou analogues). De la même manière, si le pilote réagit à la perturbation en introduisant un signal de contrordre via les comman- des de pilotage, le désengagement du système défectueux donne lieu à un ordre de pilotage inopportun non compen- sé, provoquant ainsi une perturbation supplémentaire. A certains moments, par exemple, lors d'un vol stationnaire à quelques mètres au-dessus de l'océan, ces défaillances survenant dans un système de commande d'aéronef peuvent être désastreuses. Par exemple, la défaillance d'un altimètre à radar pourrait, dans ce cas, amener l'aéronef à entrer réellement en contact avec la surface de l'eau. Afin de surmonter les difficultés rencontrées avec ces capteurs, il est connu d'utiliser deux capteurs d'un type identique (capteurs redondants) dont les sor- ties sont comparées, une défaillance ou une défectuosité étant indiquée par un manque de concordance entre les sorties des deux capteurs dans une limite de tolérance l'une par rapport à l'autre. Toutefois, ce système exi- ge non seulement des capteurs supplémentaires, mais éga- lement des canaux de traitement de signaux supplémentai- res pour chacun des capteurs. De plus, il existe des conditions dans lesquelles deux capteurs du même type sont susceptibles de tomber en panne en même temps et émettent dès lors le même signal erroné, si bien qu'ils se situent dans la tolérance prescrite l'un par rapport à l'autre; en conséquence, la comparaison entre les sorties de ces capteurs ne permet pas d'indiquer une défaillance de l'un d'eux. Ce cas peut se présenter si les couvercles de protection des deux antennes de Pitot d'un aéronef ne sont pas'enlevés avant d'entre- prendre un vol: les deux capteurs de vitesse vraie pourraient alors indiquer la même vitesse vraie (zéro) Pet, par conséquent, aucune défectuosité ne serait si- gnalée. Dans le but de réduire le matériel requis pour une comparaison redondante et de remédier à certaines des déficiences de ces comparaisons redondantes, on a tenté antérieurement d'utiliser une certaine forme de contrôle d'activité de capteurs. Ce contrôle d'ac- tivité connu dans la technique consiste à extraire la dérivée d'une sortie de capteur et à l'examiner pour y déceler un changement d'une certaine ampleur. Au cas o la vitesse de changement de la sortie du capteur en fonction du temps devient excessive eu égard à la ma- noeuvre admissible de l'aéronef dans l'axe détecté par ce capteur, une défectuosité peut être signalée. Tou- tefois, des bruits parasites apparaissant éventuelle- ment dans la sortie du capteur sont amplifiés en raison de la différentiation du signal de sortie du capteur et ces bruits conduisent à des indications de défectuosi- tés dommageables (indications de vitesse excessive alors que cette vitesse est nulle). C'est la raison pour la- quelle la tolérance ou la sensibilité d'un détecteur de défectuosités de ce type doit être sensiblement réduite, même au point o des défectuosités dignes de foi, mais de plus faible amplitude ne sont pas encore détectables. De plus, étant donné que de nombreux capteurs peuvent être mis en service au cours de manoeuvres normales ad- missibles (par exemple, lors d'un vol en palier à vi- tesse et cap constants par temps calme), ces capteurs ne peuvent être contrôlés pour détecter un manque d'acti- vité minimum en guise d'indication de défectuosité, puisqu'aussi bien une valeur zéro peut être tolérée pendant des périodes relativement longues. Les objets de l'invention englobent la détec- tion des modes de défaillance habituels des capteurs, la détection des défectuosités survenant dans ces der- niers sans faire appel à des capteurs redondants, ainsi que la détection des défaillances survenant dans les capteurs et qui ont pour résultat un changement trop faible de leurs sorties. Suivant la présente invention, le fonctionne- ment correct des capteurs est déterminé en contrôlant la vitesse de changement de la sortie de ces derniers, tant en ce qui concerne des vitesses de changement ex- cessives que des vitesses de changement inadéquates à des moments o il est par ailleurs déterminé que la sortie du capteur doit être modifiée. Suivant un autre aspect de l'invention, une sortie brute de capteur est comparée avecunesortie de capteurquiesttributairedelavitesse et, si les deux sorties ne se situent pas dans une limite de tolérance l'une par rapport à l'autre, une vitesse erronée excessive est indiquée. -Suivant un autre aspect encore de l'invention, l'activité d'un capteur concerné est utilisée pour indiquer que le capteur contrôlé doit avoir une sortie variable et, si la sortie de ce capteur ne présente pas au moins une vitesse de changement mini- male, une erreur nulle est indiquée. L'invention sera décrite en se référant à la fois à des formes de réalisation analogique et numérique, la forme de réalisation numérique ayant été entièrement mise en oeuvre et étant préférée. L'invention peut être aisément mise en oeuvre dans des systèmes analogiques ou numériques, en utili- sant un appareil et des techniques rentrant parfaitement dans les compétences de l'homme de métier ainsi qu'il apparaîtra dans la description ci-après. D'autres objets, caractéristiques et avantages de la présente invention apparaîtront plus clairement à la lecture de la description détaillée ci-après de formes de réalisation données à titre d'exemple, en se référant aux dessins annexés dans lesquels: la figure 1 est un schéma de principe simplifié d'une forme de réalisation analogique de la présente invention; la figure 2 est un organigramme logique simpli- fié d'une forme de réalisation numérique de la section de détection d'erreur nulle de l'invention; et la figure 3 est un organigramme logique simpli- fié d'une forme de réalisation numérique de la section de détection d'erreur de vitesse excessive de la présen- 1S te invention. En se référant à présent à la figure 1, l'acti- vité d'un capteur 10 est contrôlée, pour y détecter une défectuosité éventuelle, par une section d'erreur nulle 11 (moitié supérieure de la figure 1) et par une sec- tion d'erreur de vitesse excessive (moitié inférieure de la figure 1), chacune de ces sections pouvant positionner un dispositif bistable indicateur de défectuosité 13 en réponse à un circuit OU 14. La sortie de ce dispositif bistable 13 est un signal de défectuosité émis sur une ligne 15. Le fonctionnement du système de contrôle d'acti- vité de la figure 1 peut être rétabli ou réinitialisé à l'intervention d'un signal émis sur une ligne 16 par un circuit OU 17 en réponse soit à un signal de remise à zéro émis sur une ligne 18 suite à une commande manuelle du pilote, soit à un signal de déclenchement émis sur une ligne 19 à l'intervention du système de commande de vol automatique et qui pourrait apparaître spécifiquement lorsqu'un tel système est branché pour la première fois. L'utilisation du signal de remise à zéro/initialisation émis sur la ligne 16 sera décrite ci-après. La section de détection d'erreur nulle 11 est constituée principalement d'une minuterie 20 qui émet un signal d'erreur nulle sur une ligne 22 si elle a pu dépasser le temps imparti avant d'être remise à zéro par un détecteur d'activité de capteur 24, ainsi qu'on le décrira ci-après plus en détail. Toutefois, cette minuterie 20 peut être mise en marche uniquement en réponse à un signal 26 émis par un dispositif bi- stable 27, lequel est positionné par un signal d'acti- vité de capteur concerné émis sur une ligne 28 par un comparateur de fenêtres 29, ce dernier étant raccordé à un capteur concerné 31 par une ligne 30. Par l'ex- pression "capteur concerné", on entend le capteur ayant un certain rapport avec le paramètre devant être détecté par le capteur 10 contrôlé par le circuit décrit ici. Par exemple, le capteur 10 peut être un gyroscope de cap d'aéronef, tandis que le capteur concerné 31 peut être un gyroscope de vitesse de mouvement de lacet; le capteur 10 peut être un capteur de vitesse vraie et le capteur concerné 31, le gyroscope de vitesse de tangage d'un hélicoptère; le capteur 10 peut être un altimètre, auquel cas le capteur concerné 31 peut être un accéléromètre vertical ou un indicateur de vi- tesse de montée; le capteur 10 peut également être un gyroscope d'attitude de tangage ou de roulis, tandis que le capteur concerné 31 peut, de manière correspondante, être un gyroscope de vitesse de tangage ou de roulis, respectivement. De la même manière, dans des applica- tions autres que la commande d'hélicoptères ou d'autres aéronefs, on peut utiliser d'autres combinaisons de cap- teurs fonctionnant selon le principe du contrôle d'acti- vité de la présente invention. A titre d'exemple, le capteur 10 pourrait faire office d'indicateur de débit de combustible pour un four. Il est à noter que le cap- teur particulier et le capteur concerné ne sont pas im- portants pour la présente invention, si ce n'est dans la mesure o l'on doit utiliser les différents détails et limites propres à ces capteurs, conformément aux compé- tences techniques et à la lumière des enseignements de la présente invention. Lorsque le capteur concerné 31 émet un signal sur une ligne 30 et que le comparateur de fenêtres 29 détermine qu'il s'agit d'un signal dont l'amplitude dépasse une certaine valeur minimum, soit dans un sens positif,soit dans un sens négatif (sens qui est déterminé par les tensions de référence positive et négative utilisées dans ce comparateur de fenêtres 29), le signal- émis sur la ligne 28 positionne le dispositif bistable 27, de telle sorte que le signal émis sur la ligne-26 valide la minuterie afin d'entamer le minutage. A moins que la minuterie 20 ne soit remise à zéro avant dépas- sement du temps qui lui est imparti, elle émet, sur la ligne 22, un signal de dépassement de temps imparti (désigné ici par "signal d'erreur nulle") par lequel le circuit OU 14 positionne le dispositif bistable 13, assurant ainsi l'émission du signal de défectuosité sur la ligne 15. Le dispositif bistable 13 est initialement placé dans l'état de remise à zéro par le signal de remi- se à zéro/initialisation émis sur la ligne 16. La minute- rie 20 est remise à zéro par un signal de réinitialisa- tion émis sur une ligne 32 par un circuit OU 34 en ré- ponse au signal de remise à zéro/initialisation émis sur la ligne 16, ou à un signal émis sur une ligne 36 et in- diquant que l'aéronef se trouve au sol, ou encore en ré- ponse à un signal d'activité émis sur une ligne 38 par le détecteur d'activité 24. Le signal de réinitialisa- tion émis sur la ligne 32 est utilisé pour ouvrir un com- mutateur 40 (par exemple, pour bloquer un transistor à effet de champ dans l'état non conducteur) destiné à as- surer un couplage entre le signal émis sur une ligne 42 par le capteur et un circuit de recherche d'erreurs/mé- morisation 44. Ensuite, ce circuit 44 continue à émet- tre, sur sa ligne de sortie 46, un signal indiquant l'amplitude du signal émis par le capteur sur la ligne 42 au moment o le signal de réinitialisation apparaît sur la ligne 32. Le signal émis sur la ligne 46 est comparé avec le signal instantané émis sur la ligne 42 à la sortie du capteur, au moyen d'une jonction de som- mation 48, laquelle transmet,à uncomparateur de fenê- tres 52 et via une ligne 50, un signal indiquant la différence existant entre ces deux signaux. Ce compa- rateur de fenêtres 52 compare la différence indiquée par le signal émis sur la ligne 50 avec des signaux de référence positif et négatif afin de déterminer si cette différence dépasse une certaine amplitude seuil prédéterminée; dans l'affirmative, le comparateur de fenêtres 52 émet, sur la ligne 38, le signal d'activité qui passe par le circuit OU 34, engendrant ainsi, sur la ligne 32, le signal de réinitialisation destiné à remettre la minuterie à zéro. En conséquence, si la sortie instantanée du capteur diffère, d'une certaine amplitude seuil prédéterminée, de la sortie qu'avait ce capteur lors de la remise à zéro précédente de la minu- terie, avant que cette dernière dépasse le temps qui lui est imparti, aucun signal d'erreur nulle n'est émis sur la ligne 22. Toutefois, si le comparateur de fenêtres 52 n'a pas détecté un changement d'une amplitude seuil dans la sortie du capteur après la remise à zéro de la minute- rie et avant dépassement du temps imparti par cette der- nière, un signal d'erreur nulle est alors émis sur la li- gne 22. Un aspect important de cette partie de l'inven- tion réside dans le fait qu'une certaine activité mini- male du capteur 10 peut être vérifiée, même si la sortie de ce dernier peut ne pas avoir, lors d'un fonctionnement normal, une amplitude importante pendant de longues pé- riodes, étant donné que l'activité du capteur concerné 31 est contrôlée pour déterminer le moment o le capteur 10 doit avoir une certaine sortie mesurable. Dès lors, l'utilisation d'un capteur concerné, quoique non redon- dant, en vue de déterminer le moment o un capteur par- ticulier doit avoir une activité qui vaille la peine d'être contrôlée, permet de contrôler l'activité d'un capteur dans le but de déterminer si sa défaillance peut être due à une sortie nulle ou à l'absence de sor- tie (par exemple, une perte d'alimentation de courant à un gyroscope). Le signal de sortie du capteur 10 apparaissant sur la ligne 42 est également contrôlé pour y déceler un changement survenant à une vitesse excessive, par exemple, celui pouvant se produire lors de n'importe quel type de défaillance d'extrême limite. Par exem- ple, si le capteur 10 est constitué d'un potentiomètre de mesure de position couplé entre des potentiels di- vergents et dont le curseur est positionné en réponse à l'élément à contrôler, la perte d'un de ces poten- tiels pourrait faire passer rapidement et essentielle- ment le curseur à l'autre potentiel. Il pourrait en résulter le même effet que si le curseur était déplacé instantanément de sa position courante dans une des po- sitions extrêmes du potentiomètre. Toutefois, la sec- tion de détection d'erreur de vitesse excessive du sys- tème de la présente invention permet également de-con- trôler des vitesses qui sont simplement supérieures à celles permises, même si ces vitesses excessives ne sont pas la conséquence d'une défaillance d'extrême limite. Le signal émis sur la ligne 42 à la sortie du capteur est appliqué à un différentiateur 56 (désigné par opérateur laplacien "s") afin d'obtenir, sur une li- gne 58, un signal qui est fonction de la vitesse de chan- gement du signal émis sur la ligne 42 à la sortie du cap- teur. Ce signal est appliqué à.un limiteur 60 qui peut être constitué simplement d'un amplificateur comportant à la fois des verrouillages positif et négatif sur sa sortie afin d'émettre,sur une ligne 62,un signal tributaire de la vitesse etqui est appliqué à un intégrateur 64. Dans cet intégrateur 64, une valeur initiale peut être établie, en réponse au signal émis sur la ligne 62, au moyen du signal de remise à zéro/initialisation émis sur la ligne 16 et qui est appliqué à un commutateur d'initialisation 66 prévu dans l'intégrateur 64. A ti- tre d'exemple, si l'intégrateur 64 est constitué d'un amplificateur à gain élevé et à réaction capacitive, il peut être initialisé, alors qu'il comporte également une réaction résistive, à l'intervention d'un système de commutation électronique (constitué, par exemple, de deux transistors complémentaires) afin de provoquer un couplage entre la résistance à réaction et l'entrée lorsque le signal de remise à zéro/initialisation est présent sur-la ligne 16, ou, en variante, l'application de la réaction capacitive à cette entrée en absence du signal de remise à zéro/initialisation sur la ligne 16. En conséquence, chaque fois que le fonctionnement de l'intégrateur 64 est rétabli au moyen du signal de remi- se à zéro/initialisation émis sur la ligne 16, la valeur de sortie initiale de cet intégrateur est établie à la valeur du signal émis sur la ligne 62. Toutefois, lors- que le signal de remise à zéro/initialisation disparaît, l'intégrateur entame l'intégration telle qu'elle est dé- terminée par l'amplitude et la polarité du signal émis sur la ligne 62. Le signal émis sur une ligne 70 à la sortie de l'intégrateur 64 comprend une manifestation, tri- butaire de la vitesse, du signal de sortie instantané du capteur apparaissant sur la ligne 42. Etant donné que le signal est tout d'abord différencié dans le différen- tiateur 56, puis intégré par l'intégrateur 64, il est complètement restauré, sauf dans la mesure o la vitesse de changement de ce signal dépasse les limites établies par le limiteur 60. Dès lors, si le signal émis sur la ligne 70 est différent du signal émis sur la ligne 42, il cela est dû au fait que ce dernier signal change à une vitesse dépassant la valeur prédéterminée qui a été éta- blie par le limiteur 60 pour la fonction particulière en- visagée. Par exemple, si le capteur 10 constitue un gyroscope de cap d'aéronef, le cap de l'aéronef pourrait changer à raison d'environ 90 par seconde. S'il change à une vitesse supérieure à une certaine valeur admissible prédéterminée telle que celle indiquée ci-dessus, le si- gnal émis sur la ligne 58 pourrait atteindre une amplitu- de telle qu'il serait limité par le limiteur 60 et, par conséquent, l'amplitude du signal de sortie de l'inté- grateur 64-pourrait différer instantanément de celle du signal émis sur la ligne 42. Cette différence est dé- tectée par une jonction de sommation 72 et indiquée par 1S un signal que transmet celle-ci, via une ligne 74, à un comparateur de fenêtres 76 comparant l'amplitude de ce signal avec des tensions de référence positive et néga- tive indiquant une différence seuil prédéterminée qui est destinée à signaler une erreur de vitesse excessive. Si la vitesse de changement du signal émis sur la ligne 42 à la sortie du capteur est trop rapide, le signal apparaissant sur la ligne 74 indiquera une différence amenant le comparateur de fenêtres à émettre, sur une li- gne 78, un signal de vitesse d'erreur excessive passant par le circuit OU 14 pour positionner le dispositif bi- stable 13 et engendrer le signal de- défectuosité sur la ligne 15. Si on le désire, la sortie tributaire de la vi- tesse apparaissant sur la ligne 70 peut être utilisée préférentiellement comme sortie du capteur 10 pour con- trôler une fonction du système de commande de vol automa- tique. On obtient ainsi un avantage supplémentaire du fait que, si le capteur 10 subit une défaillance d'ex- trême limite au point de provoquer un changement brusque dans l'amplitude du signal émis sur la ligne 42, le si- gnal émis sur la ligne 70 ne changera pas brusquement, mais seulement à la vitesse déterminée par l'amplitude limite établie dans le limiteur 60. En conséquence, au cours de la période requise pour que le capteur détecte et réagisse à l'erreur d'extrême limite, la fonction de- vant être contrôlée par ce capteur ne sera pas interrom- pue pendant un laps de temps à peu près identique à ce- lui atteint lorsque le signal de sortie tributaire de la vitesse et émis sur la ligne 70 est utilisé pour contrô- ler cette fonction. Ce système équivaut, dans certains cas, à l'utilisation de signaux tributaires de la vites- se de virage afin de s'assurer qu'ils ne dépassent pas des valeurs admissibles. On peut faire varier considérablement le mode de mise en oeuvre du circuit décrit en se référant à la figure 1 en utilisant les différents appareils et techniques connus. Par exemple, la fonction de la minu- terie 20 peut être mise en oeuvre au moyen d'un intégra- teur réagissant à une tension d'entrée constante lors- que l'entrée de tension y est raccordée, cette tension étant branchée uniquement en réponse à la fermeture d'un commutateur lorsque le signal d'activité du capteur con- cerné est présent sur la ligne 28. Dans ce cas, le dé- passement du temps imparti de la minuterie est déterminé par le fait que la sortie de l'intégrateur est une ten- sion en dents de scie s'élevant de manière linéaire avec le temps. Si l'intégrateur a une valeur de sortie de un volt par seconde pour une entrée de un volt, un si- gnal de 10 volts pourrait en être soustrait, le résultat obtenu étant ensuite contrôlé pour vérifier s'il s'agit d'un signal négatif, simplement en le faisant passer par un amplificateur unilatéral. S'il s'agit d'un signal négatif, cela pourrait signifier que la minuterie a dé- passé le temps imparti. En variante, les comparaisons effectuées par les comparateurs de fenêtres 29, 52, 76 pourraient consister à prendre la valeur absolue du si- gnal à contrôler, à en soustraire une valeur de référen- * ce, puis à faire passer le résultat obtenu par un cir- cuit destiné à en déterminer la polarité. Le circuit à valeur absolue peut être constitué simplement de deux amplificateurs complémentaires comportant chacun une sor- tie unilatérale, de telle sorte que l'un ou l'autre de ces amplificateurs fournisse une sortie d'une polarité singulière en fonction de la polarité de l'entrée. Le limiteur 60 peut être constitué simplement d'un ampli- ficateur dont la sortie est verrouillée tant dans le sens négatif que dans le sens positif. L'intégrateur 64 peut être simplement un réseau d'intégration à résistance/ capacité ou n'importe quel circuit de différentiation actif bien connu. On a décrit ci-dessus à titre d'exemple, une forme de réalisation analogique de l'invention. En variante, les fonctions effectuées dans le circuit de la figure 1 peuvent être remplies par un appareil com- prenant un calculateur numérique. Un calculateur ap- proprié est celui décrit dans la demande de brevet des Etats-Unis d'Amérique N0 928.583 déposée le 31 août 1978 au nom de la Demanderesse et ayant pour titre "SELECTIVE DISABLEMENT IN FAIL-OPERATIONAL, FAIL-SAFE MULTI- COMPUTER CONTROL SYSTEM" (= Invalidation sélective dans un système de commande par multicalculateur opération- nel à sécurité intégrée). Dans cette demande de brevet, deux calculateurs identiques fonctionnent conjointement et ont cha- cun la capacité de détecter le moment o un désaccord survient entre eux; lorsqu'un de ces calculateurs n'ac- cepte pas une erreur, l'autre calculateur peut les inva- lider tous les deux. Les calculateurs ont la capacité de comparer des capteurs redondants et, en cas de désac- cord entre eux, d'émettre un troisième signal de sortie dérivé d'un capteur différent afin de déterminer quel capteur a subi une défaillance. Toutefois, cette action est limitée à certains capteurs seulement (les gyrosco- pes de vitesse de tangage et de vitesse de roulis étant comparés avec des vitesses de tangage et de roulis dérivées du gyroscope vertical). Toutefois, la pré- sente invention peut être utilisée dans cet appareil, en particulier, avec des capteurs pour lesquels une alternative n'est pas aisément dérivée mathématiquement. On se référera à présent à la figure 2 qui est un organigramme logique simplifié de la section de dé- tection d'erreur nulle semblable à la section 11 illus- trée en figure 1. L'accès à la routine a lieu via un point d'entrée d'erreur nulle 80 et un premier essai 82 contrôle un indicateur de défaillance fonctionnelle,ain- si qu'un signal de dérogation pour le pilote (décrits ci-après plus en détail) afin de déterminer s'il a été décelé précédemment, dans la fonction particulière com- mandée par le capteur dont la fonction doit être contro- lée, une défaillance (due à ce capteur ou à un autre capteur en relation avec cette fonction) et si le pilote a décidé ou non de se substituer à cette fonction afin de vérifier si elle peut être rétablie.Cela permet sim- plement d'éviter d'exécuter le programme si celui-ci est superflu en raison de l'arrêt de la fonction parti- culière à laquelle se rapporte le capteur. Si la fonc- tion ne présente aucune défaillance ou si le pilote se substitue à cette fonction pour pallier à sa défaillance, un résultat négatif de l'essai 82 est transmis à un essai 83 qui détermine si l'aéronef se trouve au sol, ce qui correspond à l'émission, sur la ligne 36 de la figu- re 1, du signal indiquant que l'aéronef se trouve au sol. Si l'aéronef est au sol, le contrôle d'activité doit alors être remis à z é r o ou réinitialisé de la manière décrite ci-après. Toutefois, si l'aéronef n'est pas au sol, un résultat négatif est acheminé de l'essai 83 à un essai 81 qui détermine si l'essai d'activité du capteur concerné a été précédemment satisfait. Dans l'affirmative, un essai 88 (décrit ciaprès) est alors effectué, sinon le résultat négatif de l'essai 81 est acheminé à un essai 84 dans lequel l'amplitude du si- gnal de sortie d'un capteur concerné est comparée avec une valeur de référence, de la même manière que le com- parateur de fenêtres 29 de la figure 1 détermine si le signal émis sur une ligne 30 à la sortie du capteur concerné 31 a une amplitude dépassant une certaine va- leur seuil prédéterminée. Si le capteur concerné émet un signal d'une amplitude suffisante, un résultat affir- matif de l'essai 84 est transmis à une unité 85 dans la- quelle un compteur d'activité pour le capteur concerné est décrémenté à partir d'une certaine valeur de réfé- rence prédéterminée. Il s'agit d'un "compteur de pas- sages" d'un type habituel. Par exemple, si ce compteur est initialement positionné à cinq, chaque fois que l'essai 84 est affirmatif, le compteur est décrémenté jusqu'à ce qu'il atteigne zéro. Ensuite, dans un essai 86, le compteur est contrôlé pour vérifier s'il indique zéro; dans l'affirmative, le capteur en question (par exemple, le capteur 10 de la figure 1) est alors soumis au contrôle d'activité pour la détection d'erreurs nul- les. Toutefois, dans la négative, le reste de la détec- tion d'erreurs nulles est alors ignoré provisoirement, assurant ainsi que le capteur concerné a dénoté une cer- taine activité au cours de cinq cycles opératoires (ou de n'importe quel nombre de cycles utilisés comme référen- ce). On obtient ainsi une certaine garantie que le cap- teur soumis à l'essai-(par exemple, le capteur 10) doit avoir une certaine activité et peut, par conséquent, être contrôlé pour y déceler une erreur nulle. Dès lors, un résultat affirmatif à l'essai 86 validera l'essai du cap- teur au cours des passages ultérieurs par l'unité 81 (compteur = 0). Lorsque les essais et les unités 81-86 indiquent que l'activité du capteur 10 peut être contrôlée, un essai 88 détermine si la valeur courante de la sortie de ce capteur (SENS N) se situe dans une tolérance prescrite par rapport à la valeur précédente de cette sortie (SENS M). Dans l'affirmative, un résultat affirmatif de l'essai 88 amène l'unité 89 à incrémenter un compteur d'erreurs nulles de capteur, lequel est également un compteur de passages d'un type habituel garantissant qu'une erreur a été détectée sur plusieurs cycles dans une rangée avant d'être admise, réduisant ainsi les ris- ques d'indication d'erreurs dommageables suite à des con- ditions parasites qui disparaissent rapidement. Ensui- te, le positionnement du compteur d'erreurs nulles est contrôlé dans l'unité 90 afin de déterminer s'il a pro- gressé à un comptage supérieur à un nombre de passages prédéterminé (par exemple, de l'ordre de trois ou cinq cycles). Si l'erreur nulle a été détectée plusieurs fois dans une rangée et que le positionnement du comp- teur d'erreurs nulles du capteur dépasse dès lors le nombre de passages prédéterminé, un résultat affirmatif de l'essai 90 est alors transmis aux unités 91-94 dans lesquelles: un code d'erreur nulle est établi; ce code est mémorisé dans une section de mémoire permanente (si l'on utilise un système du type décrit dans la demande de brevet précitée); le fait que la fonction concernée a subi une défaillance, est enregistré par positionnement d'un indicateur de défaillance de fonction; et cette dé- faillance de fonction est visualisée à l'intention du pilote. Par l'expression "défaillance de fonction", on entend, par exemple, la fonction de maintien de cap du système de commande de vol automatique qui est utilisé lorsque l'aéronef est en pilotage automatique. Cette fonction est perdue s'il est déterminé que le gyroscope -de cap présente une erreur nulle. Ce qui intéresse le pilote est de savoir s'il dispose ou non de cette fonc- tion plutôt que de connaître l'élément particulier dé- faillant. Toutefois, la localisation de l'élément parti- culier défaillant présente de l'intérêt pour le personnel d'entretien et, par conséquent, le code d'erreur nulle pour le capteur particulier est positionné et mémorisé dans la mémoire permanente afin de garantir que ce fac- teur sera connu du personnel d'entretien au moment o l'aéronef est envoyé à l'atelier de réparations. L'in- dicateur de défaillance de fonction positionné dans l'unité 93, est celui qui est contrôlé dans l'essai 82, ainsi qu'on l'a décrit ci-dessus. En fait, l'indicateur de défaillance de fonction concernant un capteur parti- culier peut avoir été positionné suite à une défectuosi- té dans une section concernée ou une autre section du système. Dès lors, la fonction de maintien de cap pour- rait être perdue en raison d'une défaillance de l'ali- mentation en force motrice utilisée dans la section de maintien de cap du système de commande de vol automati- que. Il pourrait également en résulter un positionnement du même indicateur de défaillance de fonction que celui pouvant être positionné dans l'unité 93 et contrôlé dans l'essai 82. Dans l'unité 95, le compteur d'erreurs nulles de capteur (incrémenté dans l'unité 89 et contrôlé dans l'essai 90) est remis à zéro si bien que, après la dé- faillance précitée, il devra effectuer un comptage sur l'ensemble du nombre de passages de cyclesavant que la défectuosité soit indiquée tandis que, dans l'unité 96, le compteur d'activité du capteur concerné est ramené à sa valeur de référence, si bien que sa décrémentation commencera à partir de la valeur de référence totale (par exemple, cinq cycles) après que le fonctionnement du système ait été rétabli à la suite de la défectuosité présente. Ensuite, cette routine entraîne le renvoi à d'autres sections d'un programme machine via un point de retour 97. A des périodes o il n'y a aucune activité dans le gyroscope d'attitude concerné de l'aéronef (ou une au- tre fonction apparentée dans des formes de réalisation de l'invention qui ne concernent pas l'aviation), par exemple, lorsque l'aéronef est au sol comme indiqué dans l'essai 83, ou lorsqu'un signal insignifiant est émis à la sortie d'un capteur concerné comme déterminé dans l'essai 84, le compteur d'activité pour ce capteur concerné est positionné à la valeur de référence dans une unité 98. Dès lors, même si une certaine activité a été décelée dans le capteur concerné et que le comp- tage du compteur peut avoir ainsi progressé d'une ou deux fois, dans n'importe quel cycle dans lequel l'ac- tivité tombe en dessous de l'amplitude requise avant le déroulement des nombres de cycles de référence, le compteur d'activité sera ramené à la valeur de réfé- rence, si bien que le comptage devra ensuite redémarrer. En outre, dans ce cas, la partie restante du programme partant de l'unité 85 et passant par l'unité 96 de la routine de la figure 2 est ignorée, cependant que le compteur d'erreurs nulles du capteur est remis à zéro dans une unité 99 et que la valeur de sortie du capteur est mise à jour dans une unité 100. Dans des cas o le compteur d'activité concerné indique que le capteur concerné (31, figure 1) a eu une activité importante au cours du nombre de cycles requis et que l'activité du capteur (10, figure 1) peut dès lors être contrôlée pour y déceler une erreur nulle, si l'essai 88 est négatif (par exemple, lorsque le capteur est suffisamment actif), du fait que la différence entre la nouvelle et l'ancienne valeur de la sortie du capteur dépasse la tolérance prescrite, le reste du programme de détection d'erreurs nulles (unités 89-96) est alors igno- ré, le compteur d'activité du capteur concerné est rame- né à la valeur de référence dans l'unité 98, le compteur d'erreurs nulles du capteur est remis à zéro dans l'uni- té 99 et la valeur de sortie du capteur est mise à jour dans l'unité 100, ainsi qu'on l'a décrit ci-dessus. Tou- tefois, dans l'un ou l'autre cas, lorsqu'une erreur nul- le est détectée dans l'unité 88 du fait que la nouvelle valeur de la sortie du capteur se situe dans la tolé- rance prescrite vis-à-vis de l'ancienne, le compteur d'erreurs nulles du capteur est incrémenté dans l'uni- té 89 et soumis à un essai dans l'unité 90. Au cours des deux premières défaillances, l'essai 90 sera néga- tif, étant donné que plusieurs erreurs nulles doivent être détectées dans une rangée avant d'être considérées comme une défectuosité, ainsi qu'on l'a décrit ci-dessus. Dans ce cas, aucune mise à jour n'a lieu et la sortie de la routine s'effectue au point de retour 97. Si l'on compare le système de détection d'er- reurs nulles selon une version numérique du type illus- tré en figure 2 avec le matériel analogique illustré en figure 1, l'essai 83 équivaut à l'activité de remise à zéro du signal émis sur la ligne 36 (figure 1) et indi- quant que l'aéronef est au sol. L'essai 84.équivaut au comparateur de fenêtres 29 (figure 1). L'essai 88 équivaut au comparateur de fenêtres 52 (figure 1), tan- dis que l'unité 89 et l'essai 90 équivalent au dépasse- ment du temps imparti de la minuterie 20 (figure 1). Le signal de réinitialisation émis sur la ligne 32 en figure 1 trouve sa contrepartie dans les unités 98 et 99 (ainsi que dans les unités 95 et 96) de la figure 2. En se référant à présent à la figure 3, la par- tie de l'invention qui concerne la détection d'erreurs de vitesse excessive peut être mise en oeuvre dans un mode numérique au moyen d'un sous-programme auquel on a accès via un point d'entrée d'erreur de vitesse exces- sive 101. Le premier essai 102 détermine simplement si la routine doit être ou non exécutée, de la même manière que l'essai 82 en figure 2. Si cet essai 102 est négatif, un essai 103 détermine alors si l'initialisation de la fonction d'intégration a été ou doit être effectuée. Cet essai équivaut à l'application, s-ur la ligne 16, du si- gnal de remise à zéro/initialisation destiné à initialiser le positionnement de l'intégrateur 64 en figure 1. Si l'initialisation n'a pas déjà eu lieu, une unité 104 mettra à jour la valeur que présente la sortie du cap- teur au dernier cycle, à la valeur courante de cette sortie, une unité 105 établira une valeur initiale dans - l'intégrateur (registre ou emplacement de mémoire renfer- mant un nombre qui est intégré comme décrit ci-après) à la valeur courante de la sortie du capteur, tandis qu'- une unité 106 positionnera l'indicateur d'initialisa- tion de vitesse excessive indiquant que l'initialisa- tion a eu lieu, cet indicateur étant interrogé par l'es- sai 103 au cours du passage ultérieur par la routine, afin de contourner les unités 104-106. En figure 3, une unité 107 calcule la différence entre la valeur courante et la valeur précédente de la sortie du capteur afin de trouver la différence ou la différentielle existant entre ces deux valeurs. Cette unité 107 équivaut au différentiateur 56 de la figure 1. Ensuite, deux essais 108, 109 déterminent si cette dif- férence se situe dans certaines limites et, dans la néga- tive, la différence est fixée à une limite positive ou négative appropriée par des unités correspondantes 110, 111 qui équivalent au limiteur 60 de la figure 1. Dans l'unité 112, l'intégration est effectuée par addition, à la valeur intégrale établie lors de l'initialisation dans l'unité 105, de la différence ou de la différentielle D trouvée dans l'unité 107. Si la différence D est infé- rieure à chacune des limites (auquel cas les deux essais 108 et 109 sont négatifs) et si cette valeur n'a pas été fixée à la limite positive ou négative, la valeur D ajou- tée à la valeur intégrale sera égale à la valeur couran- te de la sortie du capteur. Si tel n'est pas le cas, la différence entre les deux valeurs (C) trouvée dans l'unité 113sera supérieure à une certaine valeur de référence (préétablie d'après la fonction particulière en cause) telle qu'elle est déterminée dans un essai 114. En d'au- tres termes, si la différence entre la valeur présente et la valeur courante dépasse une certaine limite, cela signifie que la sortie du capteur change à une vitesse excessive. Etant donné que la vitesse est trop élevée, la différence (D) sera limitée, si bien que son addition à l'intégrale ne donnera pas un résultat égal à la valeur courante. Toutefois, elle peut ne pas dépasser une dif- férence de référence utilisée dans l'essai 114 dans une mesure suffisante pour indiquer une défectuosité. Tou- tefois, au cours des passages ultérieurs, étant donné que l'intégrale est déjà distancée, si cette vitesse élevée se prolonge, l'intégrale sera davantage distancée, étant donné que des différences inadéquates (D) y sont ajou- tées. En conséquence, la différence entre la valeur cou- rante du capteur et la valeur intégrale donnera finale- ment lieu à un résultat affirmatif dans l'essai 114. Dans ce cas, un compteur d'excédent est incrémenté dans une unité 115 (il s'agit du même type de compteur de pas- sages qui nécessite la présence de plusieurs erreurs dans une rangée avant que ces dernières soient reconnues) et ce compteur est contrôlé dans un essai 116 afin de vérifier s'il dépasse le nombre de passages présélection- né. Dans l'affirmative, l'erreur est alors reconnue et des opérations de servitude sont effectuées dans des uni- tés 117-122. Dans l'unité 117, le code d'erreurdevitesse excessive pour le capteur particulier à contrôler est positionné et ce code peut être mémorisé dans une mémoi- re permanente par l'unité 118 (dans un système du type décrit dans la demande de brevet précitée). Dans l'uni- té 119, l'indicateur de défaillance de fonction est po- sitionné (il s'agit du même indicateur de défaillance de fonction qui peut être positionné dans l'unité 93 en fi- gure 2). En outre, cette défaillance de fonction peut être visualisée à l'intention du pilote par l'unité 120 (correspondant à l'unité 94 de la figure 2). Ensuite, le compteur d'excédent est remis à zéro dans l'unité 121 et l'indicateur d'initialisation de vitesse excessive est remis à z é r o dans l'unité 122 si bien que, lors des passages ultérieurs par cette routine (lorsque l'indicateur d'initialisation de vitesse excessive n'est plus positionné ou lorsque le pilote appuie sur un interrupteur de dérogation et que l'essai 102 est alors négatif), celle-ci est réinitialisée, de la mê- me manière que le signal de remise à zéro/initialisa- tion émis sur la ligne 16 relance la détection d'erreur de vitesse excessive en figure 1. Lorsque l'essai 114 détermine que la différence entre la valeur courante et la valeur intégrée ne dépas- se pas la valeur de référence, un résultat négatif de cet essai 114 provoque la remise à zéro du compteur d'excédent dans une unité 123, tandis que la valeur de la sortie du capteur atteinte au dernier cycle est mise à jour dans une unité 124. Il est toutefois à noter que, dès que des défaillances ont été détectées en provoquant ainsi l'incrémentation du compteur de passages à plu- sieurs reprises, la valeur qu'atteint la sortie du cap- teur au dernier cycle, n'est pas mise à jour, puisqu'- aussi bien l'unité 124 est contournée. Cette caractéristique est nécessaire lorsque de hautes vitesses de changement doivent être détectées car, si le capteur vient à subir une défaillance d'extrême limite et si cette dernière était mise à jour à l'an- cienne valeur, dans tous les cycles ultérieurs, la nou- velle et l'ancienne valeur de la sortie pourraient alors être essentiellement égales, si bien que le compteur de passages pourrait ne pas être incrémenté. En d'autres termes, la défectuosité peut être contrôlée uniquement pendant plusieurs cycles si l'ancienne valeur est rete- nue, si bien que plusieurs cycles d'une nouvelle valeur d'extrême limite seront comparés avec cette ancienne va- leur afin d'établir l'excédent nécessaire vis-à-vis de la valeur de référence dans l'essai 114. L'unité 124 (en absence de toute défaillance), l'essai 116 (après détection d'au moins une erreur) ou l'unité 122 (après détection d'un nombre de passages indiquant des erreurs) donnera accès à d'autres parties du programme via un point de retour 126. Ainsi qu'on l'a décrit ci-dessus, la forme de réalisation numérique de l'invention décrite en se réfé- rant aux figures 2 et 3 peut être mise en oeuvre dans un appareil du type décrit dans la demande de brevet précitée. Par exemple, l'invention peut être mise en oeuvre par mémorisation de valeurs de capteurs au moyen de transferts de données d'accès direct à une.mémoire comme expliqué dans les tableaux de cette demande de brevet; en outre, les sous-programmes spécifiques dé- crits dans cette dernière peuvent être exécutés dans une des routines d'interruption RT 1 - RT 4. Par exemple, un essai de détection d'erreur de vitesse vraie peut être effectué dans le sous-programme 906 (figure 9 de la demande de brevet précitée), ou un essai de détec- tion d'erreur de cap peut être effectué dans le sous- programme 1304 (figure 13 de la demande de brevet pré- citée). Dans n'importe quelle application de l'inven- tion dans laquelle un signal tributaire de la vitesse (par exemple, le signal émis sur la ligne 70 en figu- re 1) est déjà transmis en guise de mesure de sécurité, il n'est pas indispensable d'utiliser l'appareil 56, 60, 66, mais ce signal préalable tributaire de la vitesse peut être appliqué directement à la jonction de somma- tion 72 et être utilisé comme source des données iden- tifiées en figure 3, en l'occurrence, la valeur d'inté- gration ajoutée à la différence ou à la différentielle dans l'unité 112, ce signal étant appliqué directement pour une soustraction dans l'unité 113. L'invention a été illustrée et décrite ici en se référant à son application dans des systèmes de commande de vol automatiques d'un hélicoptère ou d'un autre type d'aéronef. Toutefois, les principes énoncés ici sont également applicables à d'autres systèmes dans des cas o l'inactivité ou l'hyperactivité d'un capteur peut être contrôlée conformément à l'invention en vue de dé- tecter des défectuosités dans le capteur et, en parti- culier, en présence d'un capteur concerné qui permet l'identification de périodes pendant lesquelles il n'y a pas d'erreurs nulles, permettant ainsi la détection d'erreurs nulles, ainsi que la détection d'erreurs de vitesse excessive conformément à l'invention. Evidem- ment, les formes de réalisation analogiques ou numéri- ques seront choisies en sachant si la capacité de trai- tement numérique est par ailleurs disponible dans l'un ou l'autre système d-ans lequel l'invention doit être utilisée. Le type de système numérique est sans impor- tance ici, étant donné que les fonctions devant être remplies lors de la mise en oeuvre de l'invention sont simples et sans détours, ces fonctions pouvant générale- ment être mise en application, même par des micro-ordi- nateurs ayant la plus faible capacité. En conséquence, telles qu'elles ont été décrites ci-dessus en se réfé- rant aux figures 2 et 3, les formes de réalisation numé- riques peuvent être mise en oeuvre en adoptant des tech- niques de programmation ordinaires appropriées pratique- ment pour n'importe quel type de système de traitement numérique. Dans les formes de réalisation décrites ici, on adopte des techniques basées sur une réaction à l'amplitude d'un signal; toutefois, l'invention peut être utilisée lorsqu'un paramètre donné est caractérisé par la fréquence, la largeur d'impulsion ou d'autres va- riables d'un signal. De même, bien que l'invention ait été illustrée et décrite en se référant à certaines de ses formes de réalisation données à titre d'exemple, l'homme de métier comprendra que diverses autres modifications, omissions et additions peuvent être envisagées tant dans sa forme que dans ses détails, sans se départir de son esprit et de son cadre. REVENDICATIONS 1. Système de capteurs à activité contrôlée comprenant: un premier capteur émettant un premier signal de sortie indiquant un paramètre physique donné; et un second capteur émettant un second signal de sor- tie indiquant un second paramètre en relation avec ce paramètre physique donné, de telle sorte que ce second signal de sortie indique également si le premier signal de sortie doit ou non changer en fonction du temps, caractérisé en ce qu'il comprend également: des éléments de traitement de signaux réagissant au second signal de sortie pour émettre un signal indiquant que le second paramètre dépasse une première amplitude seuil prédéterminée et, en réponse à ce signal, pour émettre un signal indiquant une erreur nulle en réponse au premier signal de sortie indiquant un changement in- férieur à une seconde amplitude seuil prédéterminée dans le paramètre donné au cours d'un intervalle prédéterminé, ces éléments étant également destinés à émettre, en ré- ponse au premier signal de sortie, un signal tributaire de la vitesse et indiquant que le paramètre physique donné est limité, par exemple, à sa vitesse de changement en fonction du temps, à comparer ce signal tributaire de la vitesse avec le premier signal de sortie, puis à émet- tre un signal indiquant une erreur de vitesse excessive au cas o la différence entre le, signal de sortie tribu- taire de la vitesse et le premier signal de sortie dé- passe une troisième amplitude seuil prédéterminée. 2. Système de capteurs-à activité contrôlée sui- vant la revendication 1,-caractérisé en ce que le pre- mier capteur émet le premier signal de sortie en réponse à l'amplitude du paramètre physique donné, tandis que le second capteur émet le second signal de sortie en répon- se à la vitesse de changement, en fonction du temps, de l'amplitude de ce paramètre physique donné, le second pa- ramètre physique étant la vitesse de changement, en fonc- tion du temps, de ce paramètre physique donné.