Brevet FR2959489A1 — publié le 20111104

La présente invention concerne un panneau de commande pour un aéronef, en particulier pour un avion de transport. Un tel panneau de commande qui est, par exemple, installé dans le poste de pilotage de l'aéronef, comprend généralement une pluralité de moyens de commande (boutons-poussoirs, commutateurs rotatifs, potentiomètres, ...) qui sont susceptibles d'être actionnés par un opérateur, notamment par le pilote de l'aéronef, dans le but de commander des équipements dudit aéronef. Par le document FR-2 858 863, on connaît un tel panneau de commande qui fait partie d'un système de commande d'un aéronef. Ce système de commande comporte, en plus dudit panneau, une pluralité d'équipements commandables (climatisation, moyens de dégivrage, ...) de l'aéronef, dont chacun est commandé par un calculateur qui lui est associé, en fonction de l'actionnement d'un élément de commande également associé dudit panneau de commande, et un système de communication pour relier ensemble les calculateurs et les éléments de commande associés. On connaît différentes technologie pour réaliser un tel panneau de commande. Selon une technologie ancienne qui est simple et robuste, les éléments de commande sont reliés par des fils électriques aux équipements à commander, par exemple des pompes ou des moteurs. Pour des raisons de sécurité, ces panneaux de commande sont en mesure de traiter des fonctions critiques, grâce à diverses caractéristiques et notamment : - à une ségrégation entre tous les commutateurs du panneau de commande, permettant d'éviter des pannes communes ; et - à de multiples cellules de commutation indépendantes électriquement correspondant à différents étages desdits commutateurs, reliées ensemble mécaniquement dans un même élément de commande. Dans le cadre de la présente invention, une fonction est considérée comme critique si sa défaillance peut avoir des conséquences graves sur la sécurité de l'aéronef. Cette architecture simple et robuste présente cependant un inconvénient majeur : elle nécessite notamment un nombre élevé de fils électriques, ce qui entraîne des problèmes de poids, d'encombrement, de coût, et d'installation. Pour remédier à cet inconvénient, une technologie récente prévoit de numériser les signaux des commutateurs et de transmettre l'état des éléments de commande aux systèmes par l'intermédiaire de bus de transmission de données numériques. Cette solution conduit à intégrer des composants électroniques à l'intérieur du panneau de commande. L'architecture interne du panneau est alors modifiée de manière à utiliser des cartes de circuit imprimé, plutôt que des fils électriques. A titre d'illustration, on connaît, par le document FR-2 858 863 précité, un système de commande pour aéronef, dans lequel le système de communication comprend des bus de communication numériques qui relient les panneaux de commande aux équipements à commander. Ces bus de communication numériques sont des bus CAN ou des réseaux Ethernet bidirectionnels simultanés commutés, de type AFDX ("Avionics Full Duplex Switched Ethernet"). Toutefois, cette nouvelle architecture est réservée à des données qui présentent un bas niveau de criticité, et ceci pour diverses raisons : - la communication est basée sur des bus de communication numériques qui n'ont pas été utilisés auparavant sur les avions. Or, les autorités de certification requièrent des expériences opérationnelles probantes avant d'autoriser une nouvelle technologie pour des fonctions critiques d'un avion ; et - aucun moyen de surveillance n'est prévu pour garantir l'intégrité de la chaîne numérique. Aussi, même dans ces architectures nouvelles, les caractéristiques anciennes avec des transmissions de signaux discrets ou analogiques à l'aide de fils électriques, sont généralement conservées pour les fonctions critiques, par exemple celles relatives aux commandes de vol. La présente invention concerne un panneau de commande pour aéronef, qui permet de remédier aux inconvénients précités. A cet effet, selon l'invention, ledit panneau de commande, du type comportant une pluralité d'éléments comprenant des éléments de commande (boutons-poussoirs, commutateurs rotatifs, potentiomètres, ...) qui sont susceptibles d'être actionnés par un opérateur (et éventuellement des éléments d'indication tels qu'un voyant lumineux par exemple), ainsi que des moyens d'acquisition et de numérisation de signaux de commande, dans lequel un signal de commande, qui est engendré par l'actionnement d'un élément de commande et qui est transmis par ledit panneau de commande, est destiné à la commande d'un équipement commandable de l'aéronef, est remarquable en ce qu'il comporte : - deux voies d'acquisition, de numérisation et de traitement de signaux présents dans le panneau de commande, qui sont intégrées dans ledit panneau de commande, qui sont redondantes à tous les niveaux et qui sont ségréguées, les signaux présents dans le panneau de commande comprenant au moins lesdits signaux de commande ; et - deux unités de surveillance desdits signaux, dont chacune fait partie d'une desdites deux voies et qui comprennent des moyens pour réaliser des vérifications croisées. Ainsi, grâce à la redondance complète à tous les niveaux (commutateurs, moyens d'acquisition de données, bus de communication locaux, sources d'énergie, ...) des deux voies d'acquisition, de numérisation et de traitement de signaux et à la mise en place de vérifications croisées (précisées ci-dessous) qui sont réalisées entre les signaux ou données présents sur les deux voies, on est en mesure de vérifier l'intégrité de tous ces signaux. Ainsi, comme grâce ces caractéristiques, on peut savoir à tout instant pour tous les signaux susceptibles de transiter sur le panneau de commande, et en particulier pour des signaux critiques, s'ils sont intègres ou non, ledit panneau de commande conforme à l'invention peut également être utilisé pour traiter de tels signaux critiques. Aussi, il n'est pas nécessaire de prévoir des moyens spécifiques tels que des liaisons à fils électriques pour de tels signaux critiques, ce qui présente de nombreux avantages, notamment en termes de poids et d'encombrement. Ainsi, grâce à l'invention, on obtient un panneau de commande pourvu d'un système de transmission de données, complètement numérique, qui est susceptible de traiter tout type de signal ou de donnée. En outre, comme précisé ci-dessous, le panneau de commande conforme à l'invention peut être réalisé, notamment, à partir de tout type de commutateur et/ou de tout type de bus numérique. On peut prévoir que les unités de surveillance vérifient seulement une partie des signaux présents dans le panneau de commande, en particulier les signaux sortants, essentiellement lesdits signaux de commande, ou les signaux entrants tels que des ordres de commande d'éléments du panneau, par exemple des voyants lumineux. Toutefois, dans un mode de réalisation préféré, lesdites unités de surveillance sont formées de manière à vérifier l'ensemble des signaux présents dans le panneau de commande. Avantageusement, lesdits moyens destinés à réaliser les surveillances croisées comparent, bit à bit, deux signaux correspondants qui sont transmis respectivement par les deux voies d'acquisition, de numérisation et de traitement de signaux. Dans un mode de réalisation particulier, ledit panneau de commande comporte également des moyens pour surveiller la cohérence de signaux qui sont associés à un élément dudit panneau de commande, soit à un élément de commande (bouton-poussoir, commutateur rotatifs potentiomètre, ...), soit à un élément d'indication tel qu'un voyant lumineux par exemple. De préférence, cette cohérence est vérifiée en comparant deux données relatives à l'élément considéré, par exemple les deux positions d'un commutateur, ou un ordre et un courant mesuré sur un voyant. De plus, lesdits moyens pour surveiller la cohérence de signaux peuvent être intégrés, soit dans les moyens de numérisation, soit dans une unité de surveillance. En outre, lorsque des données ont été détectées comme invalides par une telle vérification de cohérence réalisée sur l'une desdites voies, on peut, soit continuer le traitement avec les données ou signaux correspondants existant sur l'autre voie, soit considérer que l'élément à l'origine de ces données est défaillant. Dans un mode de réalisation particulier, ledit panneau de commande comporte également des moyens, par exemple un voyant lumineux, pour signaler, le cas échéant, sur le panneau de commande la détection d'un signal invalide lors d'une surveillance. Ainsi, le pilote peut être informé de toute défaillance affectant un élément du panneau de commande. Par ailleurs, ledit panneau de commande comporte également : - des moyens pour, en cas de détection d'un signal invalide, mettre en oeuvre l'une des opérations suivantes : - arrêter la transmission de ce signal ; - transmettre à la place un signal par défaut ; - transmettre à la place le dernier signal valide ; et/ou - des moyens pour engendrer une signature numérique (de type «checksum») d'un signal de commande et pour compléter la transmission dudit signal de commande avec cette signature numérique. En outre, dans un mode de réalisation préféré, ledit panneau de commande comporte deux cartes électroniques, à savoir une carte frontale et une carte d'interface, qui sont reliées ensemble par des bus locaux de transmission de données. De plus, ladite carte frontale comprend lesdits éléments et lesdits moyens d'acquisition et de numérisation de signaux de commande, et ladite carte d'interface comprend lesdites unités de surveillance, ainsi que des sources d'énergie. En outre, avantageusement, ledit panneau de commande peut également comporter une ou plusieurs interfaces de communication externes. La présente invention concerne également un système d'aéronef comprenant un panneau de commande (pourvu d'une pluralité d'éléments de commande qui sont susceptibles d'être actionnés par un opérateur) et une pluralité d'équipements commandables qui sont reliés audit panneau de commande par l'intermédiaire de moyens de transmission de données. Selon l'invention, ledit panneau de commande est tel que celui précité. Par ailleurs, la présente invention concerne également un aéronef, en particulier un avion de transport, qui comprend un panneau de commande et/ou un système tels que ceux précités. Les figures du dessin annexé feront bien comprendre comment l'invention peut être réalisée. Sur ces figures, des références identiques désignent des éléments semblables. La figure 1 est le schéma synoptique d'un panneau de commande conforme à l'invention. Les figures 2 et 3 illustrent schématiquement des moyens pour surveiller la cohérence de signaux qui sont associés respectivement à un élément de commande et à un élément d'indication. Le panneau de commande 1 conforme à l'invention et représenté schématiquement sur la figure 1, est monté sur un aéronef non représenté, en particulier un avion de transport civil, et sert d'interface homme/machine en vue de la commande d'équipements commandables (non représentés) de cet aéronef, tels que des voyants de signalisation de la cabine des passagers (par exemple pour une signalisation "interdiction de fumer"), une climatisation, des moyens de dégivrage, des pompes, des vannes, ... Pour ce faire, ledit panneau de commande 1 comporte une pluralité d'éléments comprenant des éléments de commande 2 (boutons-poussoirs, commutateurs rotatifs, potentiomètres, ...) qui sont susceptibles d'être actionnés par un opérateur, et des éléments d'indication 3 tels qu'un voyant lumineux. Ledit panneau de commande 1 comporte également des moyens 4 d'acquisition et de numérisation de signaux de commande. Dans le cadre de la présente invention, on considère qu'un signal de commande : - est engendré par l'actionnement d'un élément de commande 2 ; - illustre l'état de cet élément de commande 2 (pressé ou relâché pour un bouton-poussoir par exemple) ou d'un composant de ce dernier (commutateur, voyant) ; - est transmis par le panneau de commande 1 ; et ~o - est destiné à la commande d'au moins un équipement commandable de l'aéronef. En outre, ledit panneau de commande 1 peut faire partie d'un système de commande (non représenté) de l'aéronef, qui comporte, en plus dudit panneau de commande 1 : 15 - une pluralité d'équipements commandables de l'aéronef, dont chacun est commandé en fonction de l'actionnement d'un élément de commande 2 associé du panneau de commande 1 ; et - des moyens de communication (bus de communication, moyens de connection), pour relier ensemble lesdits équipements et ledit panneau de 20 commande 1. Selon l'invention, ledit panneau de commande 1 comporte : - deux voies A et B d'acquisition, de numérisation et de traitement des signaux présents dans le panneau de commande 1, qui sont intégrées dans ledit panneau de commande 1. Ces voies A et B sont redondantes à tous les 25 niveaux et sont ségréguées ; et - deux unités 5 et 6 de surveillance desdits signaux, dont chacune fait partie d'une desdites deux voies A et B et qui comprennent des moyens 7 pour réaliser des vérifications croisées. Le panneau de commande 1 comprend donc une duplication 30 complète à tous les niveaux des deux voies A et B d'acquisition, de numérisation et de traitement de signaux, et en particulier, comme représenté sur la figure 1, au niveau : - de commutateurs 8 qui sont intégrés dans les éléments de commande 2, et qui permettent de déterminer l'état (actionnement ou non) de ces derniers ; - des moyens 4 d'acquisition de données, qui sont associés aux éléments de commande 2 ; - de bus de communication locaux 9 ; et - de sources d'énergie 10. Grâce à cette redondance complète à tous les niveaux, ainsi qu'à la mise en place de vérifications croisées (précisées ci-dessous) qui sont réalisées (par les moyens 7) entre les signaux ou données présents sur les deux voies A et B, le panneau de commande 1 est en mesure de vérifier l'intégrité de tous les signaux qui apparaissent au niveau dudit panneau 1. Ainsi, comme grâce ces caractéristiques, il est possible de savoir à tout instant pour tous les signaux susceptibles de transiter sur le panneau de commande 1, et en particulier pour des signaux critiques, s'ils sont intègres ou non, le panneau de commande 1 conforme à l'invention peut être utilisé pour traiter de tels signaux critiques. De ce fait, il n'est pas nécessaire de prévoir des moyens spécifiques, tels que des liaisons à fils électriques par exemple, pour les signaux critiques, ce qui présente de nombreux avantages, notamment en termes de poids et d'encombrement. Ainsi, grâce à l'invention, on obtient un panneau de commande 1 pourvu d'un système de transmission de données, complètement numérique, qui est susceptible de traiter tout type de signal ou de donnée. On peut prévoir que les unités de surveillance 5 et 6 vérifient seulement une partie des signaux présents dans le panneau de commande 1, en particulier les signaux sortants, essentiellement lesdits signaux de commande issus des éléments de commande 2, ou les signaux entrants tels que des ordres de commande d'éléments d'indication 3 du panneau 1, par exemple des voyants lumineux. Toutefois, dans un mode de réalisation préféré, lesdites unités de surveillance 5 et 6 sont formées de manière à vérifier l'intégrité de l'ensemble des signaux présents dans le panneau de commande 1. Dans un mode de réalisation préféré, ledit panneau de commande 1 comporte deux cartes électroniques 11 et 12, à savoir une carte frontale 11 et une carte d'interface 12 qui sont reliées entre elles par les bus locaux 9 de transmission de données. Lesdits bus locaux 9 permettent une transmission de données dans les deux sens : de la carte frontale 11 vers la carte d'interface 12 comme illustré par des flèches El, et inversement comme illustré par des flèches E2. De plus, ladite carte frontale 11 comprend lesdits éléments 2 et 3 et lesdits moyens 4 d'acquisition et de numérisation de signaux de commande, à savoir notamment de l'état des commutateurs 8 des éléments 2. Tous les éléments de commande 2 sont reliés ensemble par les deux bus de communication locaux 9 redondants et ségrégués. En outre, ladite carte d'interface 12 comprend les deux unités de surveillance 5 et 6 redondantes et ségréguées, qui assurent les vérifications d'intégrité des données et un lien vers des bus de communication externes 14, ainsi que les deux sources d'énergie 10 qui alimentent électriquement les unités de surveillance 5 et 6 via des liaisons 10A et les moyens 4 via des liaisons 10B. Par conséquent, lorsque l'on désire compléter ou modifier le panneau de commande 1 avec de nouveaux éléments de commande 2 par exemple, il suffit de réaliser les modifications appropriées sur la carte frontale 11, sans avoir à modifier la carte d'interface 12, excepté éventuellement pour des adaptations logicielles mineures. En outre, une interface de communication externe est utilisée pour communiquer avec des systèmes utilisateurs. De façon optionnelle, une seconde interface redondante peut être utilisée pour augmenter la tolérance à des pannes et la disponibilité du panneau de commande 1. Dans un mode de réalisation particulier, ledit panneau de commande 1 comporte des moyens 17 pour surveiller la cohérence de signaux qui sont associés à un élément dudit panneau de commande, soit à un élément de commande 2 (bouton-poussoir, commutateur rotatifs potentiomètre, ...), soit à un élément d'indication 3 tel qu'un voyant lumineux. De préférence, cette cohérence est vérifiée en comparant deux données relatives à l'élément considéré, comme précisé ci-dessous. De plus, lesdits moyens 17 pour surveiller la cohérence de signaux peuvent être intégrés, soit dans les moyens de numérisation 4, soit dans une unité de surveillance 5, 6. Dans une première variante de réalisation représentée sur la figure 2, lesdits moyens 17 sont associés à un commutateur 8 d'un élément de commande 2. Ces moyens 17 comportent un élément 18 pour comparer entre elles les valeurs (1 en cas de liaison et 0 en cas d'absence de liaison) des deux positions ou sorties P1 et P2 du commutateur 8. Quatre situations S1, S2, S3, et S4, illustrées sur un tableau Ti de la figure 2, peuvent se présenter pour le commutateur 8, en fonction de ces valeurs, situations qui correspondent respectivement aux états suivants pour le commutateur 8 : - pressé pour S1 ; - relâché pour S2 ; et - invalide pour S3 et S4. Lorsque l'élément 18 rencontre l'une de ces dernières situations S3 et S4, il détecte donc une incohérence. Cet élément 18 peut être appliqué de façon similaire à des commutateurs à plus de deux positions. Deux niveaux de tension différents (par exemple la terre et 5 V) peuvent être utilisés comme référence dans la numérisation pour engendrer des dissimilitudes et pour être moins sensibles à des perturbations externes ou à des pannes de carte de circuit imprimé. Dans une seconde variante de réalisation représentée sur la figure 3, lesdits moyens 17 sont associés à un élément d'indication 3 d'un élément de commande 2, muni d'un moyen d'illumination 19 usuel (LED). Ces moyens 17 comportent un élément 20 qui contient des moyens pour comparer l'état actuel (courant mesuré) à l'état commandé dudit élément d'indication 3 (1 pour activé et 0 pour inactivé). Quatre situations S5, S6, S7, et S8, illustrées sur un tableau T2 de la figure 3, peuvent se présenter pour l'élément d'indication 3, en fonction de ces valeurs, situations qui correspondent respectivement aux états suivants pour l'élément d'indication 3 : - allumé pour S5 ; - éteint pour S6 ; - panne de lumière pour S7 ; et - panne de conducteur pour S8. Lorsque l'élément 20 rencontre l'une de ces dernières situations S7 et S8, il détecte donc une incohérence. En outre, lorsque des données ont été détectées comme invalides par une telle vérification de cohérence réalisée sur l'une desdites voies A, B, on peut, soit continuer le traitement avec les données ou signaux correspondants existant sur l'autre voie, soit considérer que l'élément à l'origine de ces données est défaillant. Par ailleurs, lesdits moyens 7 pour réaliser des surveillances croisées sont reliés ensemble par l'intermédiaire d'une liaison 22 et comparent, bit à bit, deux signaux correspondants qui sont transmis respectivement par les deux voies A et B d'acquisition, de numérisation et de traitement de signaux. Dans un mode de réalisation particulier, ledit panneau de commande 1 comporte également des moyens, par exemple un voyant lumineux 3, pour signaler sur la carte frontale 11 la détection d'un signal invalide. Ainsi, le pilote peut être informé de toute défaillance affectant un élément 2, 3 du panneau de commande 1. Par ailleurs, ledit panneau de commande 1 comporte également des moyens 24 pour, en cas détection d'un signal invalide, mettre en oeuvre l'une des opérations suivantes : - pour un signal (ou donnée) sortant : - arrêter l'envoi de ce signal ; - envoyer un signal par défaut prédéterminé ; ou - envoyer le dernier signal valide ; et - pour un signal (ou donnée) entrant : - arrêter le traitement de ce signal ; - appliquer un signal par défaut prédéterminé ; ou - conserver le dernier signal valide. Le panneau de commande 1 comporte en outre : - des interfaces série 23 qui sont intégrées dans lesdites unités de surveillance 5 et 6 ; - des moyens 25 usuels pour engendrer une signature numérique (de type «checksum») d'un signal de commande et pour compléter la transmission dudit signal de commande avec cette signature numérique ; - des interfaces 26 de sortie ; et - des connecteurs 21. Lesdits moyens 24, 25, et 26 peuvent être optionnels sur l'unité de surveillance 6, comme illustré par des traits interrompus sur la figure 1. Le panneau de commande 1 conforme à l'invention présente une mise en oeuvre très variée. En particulier : - il peut comporter tout type de commutateur : électromécanique, optique ou magnétique ; - il peut être réalisé avec des microprocesseurs et des logiciels ou avec des dispositifs logiques de type ASIC ou FPGA ; - le bus interne peut être de tout type de bus numérique local qui remplit des contraintes aéronautiques : I2C, SMBus, RS422, RS485 ; et - le bus externe peut également être de tout type de bus numérique qui remplit des contraintes aéronautiques : AFDX, CAN, ARINC 429, MIL 1553 . REVENDICATIONS1. Panneau de commande pour aéronef, ledit panneau de commande (1) comportant une pluralité d'éléments (2, 3) comprenant des éléments de commande (2) qui sont susceptibles d'être actionnés par un opérateur, ainsi que des moyens (4) d'acquisition et de numérisation de signaux de commande, dans lequel un signal de commande, qui est engendré par l'actionnement d'un élément de commande (2) et qui est transmis par ledit panneau de commande (1), est destiné à la commande d'un équipement commandable de l'aéronef, caractérisé en ce qu'il comporte : - deux voies (A, B) d'acquisition, de numérisation et de traitement de signaux présents dans le panneau de commande (1), qui sont intégrées dans ledit panneau de commande (1), qui sont redondantes à tous les niveaux et qui sont ségréguées, les signaux présents dans le panneau de commande (1) comprenant au moins lesdits signaux de commande ; et - deux unités (5, 6) de surveillance desdits signaux, dont chacune fait partie d'une desdites deux voies (A, B) et qui comprennent des moyens (7) pour réaliser des vérifications croisées. 2. Panneau de commande selon la revendication 1, caractérisé en ce que lesdites unités de surveillance (5, 6) vérifient l'ensemble des signaux présents dans le panneau de commande (1). 3. Panneau de commande selon l'une des revendications 1 et 2, caractérisé en ce que lesdits moyens (7) pour réaliser des surveillances croisées comparent, bit à bit, deux signaux correspondants qui sont transmis respectivement par les deux voies (A, B) d'acquisition, de numérisation et de traitement de signaux.30 4. Panneau de commande selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte des moyens (17) pour surveiller la cohérence de signaux qui sont associés à un élément (2, 3) dudit panneau de commande (1). 5. Panneau de commande selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte des moyens pour indiquer sur le panneau de commande (1) la détection d'un signal invalide lors d'une surveillance. 6. Panneau de commande selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte des moyens (24) pour, en cas de détection d'un signal invalide, mettre en oeuvre l'une des opérations suivantes : - arrêter la transmission de ce signal ; - transmettre un signal par défaut ; - transmettre le dernier signal valide. 7. Panneau de commande selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte des moyens (25) pour engendrer une signature numérique d'un signal de commande et pour compléter la transmission dudit signal de commande avec cette signature numérique. 8. Panneau de commande selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte deux cartes électroniques (11, 12), une carte frontale (11) et une carte d'interface (12), qui sont reliées ensemble par des bus locaux (9) de transmission de données, en ce que ladite carte frontale (11) comprend lesdits éléments (2, 3) et lesdits moyens (4) d'acquisition et de numérisation de signaux de commande, et en ce que ladite carte d'interface (12) comprend au moins lesdites unités de surveillance (5, 6). 9. Panneau de commande selon l'une quelconque des revendications précédentes,caractérisé en ce qu'il comporte, de plus, au moins une interface de communication externe. 10. Système d'aéronef comprenant un panneau de commande (1) pourvu une pluralité d'éléments de commande (2) qui sont susceptibles d'être actionnés par un opérateur et une pluralité d'équipements commandables qui sont reliés audit panneau de commande (1) par l'intermédiaire de moyens de transmission de données, caractérisé en ce que ledit panneau de commande (1) est tel que celui spécifié sous l'une quelconque des revendications 1 à 9.10