Brevet FR2972528A1 — publié le 20120914

L'invention se situe dans le domaine du contrôle du fonctionnement d'un système complexe. De tels systèmes sont habituellement pourvus d'un certain nombre de capteurs qui mesurent différentes grandeurs. Un capteur, associé à une chaîne de conditionnement, constitue une chaîne de mesure. Une telle chaîne génère une information que l'on nomme mesure, sur la base de laquelle le système est piloté. Des exemples de telles grandeurs (ou mesures) sont la position, la vitesse, l'accélération d'un élément matériel ou dans un fluide ; des grandeurs intrinsèques à une matière comme sa pression, sa température, sa couleur, sa conductivité thermique, une longueur d'onde, un nombre d'éléments, etc. Plus généralement, il peut s'agir de tout type d'information relative au fonctionnement du système considéré. Aussi de manière générale, une chaîne de mesure désigne ici un système quelconque qui fournit une information, de manière répétée et généralement périodique. Une chaîne de mesure peut ainsi comporter par exemple une carte électronique, ou encore un calculateur. Dans certains systèmes complexes, la probabilité de défaillance de certaines chaînes de mesure est relativement élevée. Il est donc nécessaire dans ce cas de fiabiliser l'acquisition de la grandeur mesurée, et cela d'autant plus que la connaissance précise de la valeur prise par la grandeur considérée est importante pour la mise en oeuvre du système. Pour pallier le risque de défaillance envisagé, différents dispositifs de fiabilisation d'une grandeur mesurée par une chaîne de mesure sont utilisés. Ces dispositifs servent à fournir une valeur fiabilisée de ladite grandeur. Ils visent à fournir la valeur de la grandeur considérée avec la disponibilité la plus élevée possible, c'est-à-dire idéalement de manière permanente, sans interruption. De manière connue, on peut ainsi prévoir de doubler, voire de tripler la chaîne de mesure. En cas de défaillance ou de défaut de l'une des chaînes de mesure, l'information fournie par la chaîne de mesure en défaut n'est plus prise en compte et le système fonctionne en exploitant seulement les informations fournies par les autres chaînes de mesures demeurées valides. Cependant, pour des raisons de poids, d'encombrement, de coût, 35 etc., il n'est pas possible d'augmenter indéfiniment le nombre de capteurs. Une solution complémentaire pour fiabiliser l'obtention de la mesure de la grandeur considérée, consiste donc à prévoir en outre dans le dispositif de fiabilisation, un estimateur (ou plusieurs), apte à fournir périodiquement une estimation de la grandeur mesurée sans utiliser l'information fournie par la ou les chaînes de mesure concernée(s). Cet estimateur est habituellement constitué par un logiciel exécuté par un calculateur, qui simule le comportement du système au moyen d'une modélisation de celui-ci. En cas de défaillance de la ou des chaînes de mesure, l'estimateur prend le relais du ou des chaînes de mesure, les informations successives fournies par l'estimateur étant alors utilisées pour la conduite du système. Cependant, dans ce dernier cas, la précision de l'information fournie par l'estimateur est relativement moyenne, car un estimateur tend à présenter un biais par rapport à la valeur effective de la grandeur considérée : Un écart est toujours possible entre le modèle et la réalité, sachant que le système surveillé peut évoluer. Le biais peut être de nature statique ou dynamique. Aussi, la performance (conjuguant précision statique et représentativité dynamique) que l'on peut attendre d'un tel dispositif de fiabilisation, pour la valeur de la grandeur considérée, peut s'avérer insuffisante. Un premier objectif de l'invention est donc de proposer un dispositif de fiabilisation d'une grandeur mesurée par au moins une chaîne de mesure, le dispositif étant apte à fournir une valeur fiabilisée de ladite grandeur et comprenant : un détecteur de défaut, apte à évaluer périodiquement si ladite au moins une chaîne de mesure est en défaut ou au contraire si elle est valide ; un estimateur, apte à fournir périodiquement une estimation de la grandeur mesurée, ladite estimation étant obtenue au moyen d'un modèle en fonction d'informations autres que celle(s) transmise(s) par ladite au moins une chaîne de mesure, des moyens de calcul, reliés ou du moins aptes à être reliés à ladite au moins une chaîne de mesure, et aptes à fournir périodiquement ladite valeur fiabilisée de ladite grandeur, en prenant en compte les mesures fournies par la ou les chaînes de mesure valides, et/ou l'estimation fournie par l'estimateur ; dispositif qui permette de fournir une valeur de la grandeur considérée plus précise que les dispositifs de fiabilisation connus, et cela avec une disponibilité élevée, sans entrainer pour autant un accroissement du nombre de capteurs. Cet objectif est atteint grâce au fait que le dispositif comporte en outre des moyens de recalage de l'estimateur qui sont agencés de manière à, au moins lors d'une première détection de défaut d'au moins une chaîne de mesure dite chaîne de mesure défaillante, qui avant ladite détection était évaluée comme valide et fournissait des informations servant à déterminer la valeur fiabilisée, recaler ledit modèle sur la ou les dernières valeurs fiabilisées fournies avant ladite première détection ; et en ce que les moyens de calcul sont agencés de manière à, après ladite première détection de défaut, déterminer la valeur fiabilisée en prenant en compte ladite estimation. Le dispositif est donc conçu de manière à fournir avec une disponibilité très élevée, une valeur dite 'valeur fiabilisée', déterminée périodiquement par les moyens de calcul. Si la valeur fiabilisée est fournie à une fréquence relativement élevée, on peut considérer que le dispositif fournit cette valeur continûment. En fonctionnement normal, ou du moins lorsqu'au moins une des chaînes de mesure est indiquée comme valide par le détecteur de défaut, la valeur fiabilisée est déterminée à partir de la valeur de la chaîne de mesure valide ou des valeurs des chaînes de mesure valides ; c'est-à-dire que la valeur fiabilisée est fonction notamment de la valeur ou des valeurs fournies par le ou les chaînes de mesure valides. La valeur fiabilisée peut par exemple être égale à la valeur de la ou d'une mesure valide, ou être égale à la moyenne des mesures fournies par les chaînes de mesure valides (après éventuellement un filtrage ou lissage numérique). Par ailleurs, le dispositif comporte en outre un estimateur. L'estimateur est apte à fournir périodiquement (ou de façon quasi continue, à la même fréquence que les chaînes de mesure) une estimation de la valeur de la grandeur considérée. Cette estimation est faite sur la base d'informations fournies à l'estimateur par des chaînes de mesures du système autres que la ou les chaînes de mesure citées précédemment et mesurant la grandeur considérée. En général, l'estimateur comporte un modèle dans lequel une simulation du fonctionnement du système est calculée. Les mesures fournies par le ou les chaînes de mesures sont plus fiables (en général) que l'estimation fournie par l'estimateur. Cependant, la fiabilité de ces mesures peut décroître suite à la défaillance d'une ou de plusieurs des chaînes de mesure. Selon l'invention, à partir de la défaillance d'une chaîne de mesure dite 'défaillante' - cela peut-être dès la première défaillance, ou au contraire si les chaînes de mesures sont très précises, seulement lors de la défaillance de l'ensemble des chaînes de mesure (redondantes) - le dispositif a donc recours à l'estimation fournie par l'estimateur pour déterminer la valeur fiabilisée. En d'autres termes, la détection de la chaîne de mesure défaillante' déclenche le recours à l'estimation pour déterminer la valeur fiabilisée. On considère donc que suite à cette défaillance, prendre en compte l'estimation, en plus des informations fournies par les chaînes de mesure valides restantes, permet d'obtenir une valeur fiabilisée plus précise que la valeur fiabilisée calculée seulement sur la base des informations des chaînes de mesure valides restantes. La chaîne de mesure défaillante n'est pas une chaîne de mesure spécifique ; c'est la chaîne de mesure ou une des chaînes de mesure dont le défaut (défini plus loin) justifie de recourir à l'estimation pour la détermination de la valeur fiabilisée. Dès que l'estimation est utilisée, le problème se pose donc que celle-ci soit la plus précise possible. Selon l'invention, pour éviter un décalage entre l'estimation et la valeur réelle de la grandeur considérée, lors d'une première détection de défaut de la dite chaîne de mesure défaillante, les moyens de recalage recalent l'estimateur sur la ou les dernières valeurs fiabilisées qui avaient été déterminées auparavant, c'est-à-dire, les valeurs déterminées juste avant la détection du défaut, valeurs qui par conséquent ne sont pas fondées sur des estimations fournies par l'estimateur. Par 'première détection', on désigne ici la première évaluation de l'état de la chaîne de mesure dite chaîne de mesure défaillante, au cours de laquelle le détecteur de défauts évalue que la chaîne de mesure défaillante fournit une information moins précise que lorsqu'elle fonctionne normalement, suite à une panne plus ou moins grave. L'opération de 'recalage du modèle sur la ou les dernières valeurs fiabilisées' consiste à intervenir sur l'estimateur, en modifiant les paramètres du modèle mis en oeuvre dans celui-ci, de telle sorte que le modèle fournisse en sortie, à partir des données d'entrées qui lui ont été fournies pendant la période précédant la détection du défaut général de la chaîne de mesure défaillante : - une estimation qui soit égale à (ou la plus proche possible de) la dernière valeur fiabilisée déterminée par les moyens de calcul sur la base de la dernière mesure ou des dernières mesures fournies par le ou les chaînes de mesure valides, ou - de dernières estimations qui soient égales aux (ou les plus proches possibles des) dernières valeurs déterminées par les moyens de calcul sur la base des dernières mesures fournies par la ou les chaînes de mesure valides. Le deuxième tiret ci-dessus vise le cas où le recalage du modèle vise à optimiser la réponse de celui-ci, non seulement lors de la dernière estimation qu'il a fournie (juste avant le défaut de la chaîne de mesure défaillante), mais plutôt lors de l'ensemble des N dernières estimations. Pour permettre le recalage, les moyens de recalage du modèle peuvent par exemple comprendre un buffer, qui stocke un vecteur de mesures (des N dernières mesures réalisées). Périodiquement, ou selon certains critères, ces informations contenues dans le buffer sont utilisées pour le recalage du modèle. Le recalage du modèle conduit donc à ce que la valeur fournie par le modèle, pour l'instant considéré ou pour la période venant de s'achever, corresponde (à une tolérance près) à la valeur fiabilisée retenue, fournie par le ou les chaînes de mesures valides. Le modèle est ainsi optimisé pour fournir en sortie des estimations a priori les plus proches possibles des valeurs effectivement prises par la grandeur considérée. Ainsi, si l'ensemble des chaînes de mesure (ou la chaîne de mesure unique) sont en défaut, le système peut utiliser comme valeur pour la grandeur considérée, la valeur fournie par l'estimateur, en lieu et place de la valeur ou des valeurs fournie(s) par la ou les chaînes de mesure valides. Comme au moment de l'apparition du défaut de la chaîne de mesure défaillante, l'estimation fournie par l'estimateur est recalée sur la valeur fiabilisée, le passage pour la valeur fiabilisée d'une valeur déterminée sur la base des mesures fournies par les chaînes de mesure valides à une valeur fiabilisée prenant en compte l'estimation fournie par l'estimateur, est ainsi presque continu, ces deux valeurs étant voisines du fait de la continuité (en général) des estimations fournies par l'estimateur. Le dispositif peut n'utiliser les informations que d'une chaîne de mesure unique. Ainsi dans un mode de réalisation, les mesures de la grandeur sont fournies par une chaîne de mesure unique, et les moyens de recalage sont agencés de manière à, lors de la première détection d'un défaut de la dite chaîne de mesure unique, recaler l'estimateur sur la ou les dernières valeurs fiabilisées. Par ailleurs, suivant la configuration du dispositif, le recours à l'estimation pour déterminer la valeur fiabilisée peut intervenir à différents moments. Dans un mode de réalisation, dans le cas où il y a plusieurs chaînes de mesure, les moyens de recalage sont agencés de manière à procéder au recalage du modèle et les moyens de calcul sont agencés de manière à prendre en compte l'estimation pour déterminer ladite valeur fiabilisée, après la première détection de défaut soit de l'une quelconque des chaînes de mesure, soit de la totalité des chaînes de mesure. Le premier cas, dans lequel la défaillance de n'importe laquelle des chaînes de mesure déclenche le recours à l'estimation, correspond à une situation dans laquelle l'estimateur est d'une précision voisine de celle des chaînes de mesure. Le second cas à l'inverse, correspond à la situation dans laquelle l'estimateur est nettement moins fiable que les différentes chaînes de mesure. De plus, des situations `intermédiaires' peuvent se présenter. Ainsi dans un mode de réalisation, les moyens de calcul sont agencés de manière à, lorsqu'au moins une première chaîne de mesure est en défaut et qu'au moins une seconde chaîne de mesure est valide, déterminer la valeur fiabilisée au moins à partir de la valeur fournie par la seconde chaîne de mesure, et par l'estimation fournie par l'estimateur. Dans ce cas, le recalage de l'estimateur est inhibé à partir du moment où la valeur fiabilisée est déterminée en prenant en compte la valeur fournie par l'estimateur. Dans un mode de réalisation, les moyens de recalage sont agencés de manière à, suite à ladite première détection de défaut de ladite chaîne de mesure défaillante et au moins pendant une période de recalage, procéder audit recalage périodique du modèle sur une ou plusieurs valeurs fiabilisées. Ainsi, le gain de précision conféré à l'estimateur (et à ses estimations) n'est pas limité à un seul recalage ayant lieu lors de ladite première détection de défaut de la chaîne de mesure défaillante, mais est reconduit périodiquement pendant une période donnée, en général à la même fréquence que les déterminations de la valeur fiabilisée. Le recalage peut par ailleurs être réalisé de façon continue en l'absence de panne de la ou des chaîne(s) de mesure. La fin de la période de recalage peut être fixée de la manière suivante : Dans un mode de réalisation, dans le cas où il y a plusieurs chaînes de mesure, la période de recalage du modèle a lieu jusqu'à une première détection de défaut d'une autre chaîne de mesure défaillante, qui avant ladite détection était évaluée comme valide et fournissait des informations servant à déterminer la valeur fiabilisée. Un tel fonctionnement peut être choisi lorsqu'il reste une ou plusieurs chaîne de mesure valides pendant la période de recalage faisant suite à la défaillance de la chaîne de mesure défaillante', et que la précision obtenue dans la détermination de la valeur fiabilisée est accrue si l'estimateur est recalé périodiquement sur la valeur fiabilisée, car cette dernière valeur prend en compte les valeurs des chaînes de mesures valides. Inversement, lorsque la précision des chaînes de mesure valides restantes est insuffisante, ou a fortiori s'il ne reste plus aucune chaîne de mesure valide, il devient préférable de ne plus procéder à un recalage, et de mettre fin à la période de recalage. Une difficulté pour la réalisation du dispositif réside dans la réalisation du détecteur de défaut pour la ou les chaînes de mesure. Différentes stratégies peuvent être suivies pour réaliser ce détecteur. Dans un mode de réalisation, pour au moins une chaîne de mesure, le détecteur de défaut est apte à analyser des valeurs fournies par les chaînes de mesure et éventuellement par l'estimateur, et à évaluer qu'une chaîne de mesure est en défaut lorsque les mesures fournies par celle-ci ne respectent pas un critère prédéterminé, fonction d'écarts entre ces mesures, d'autres mesures disponibles, et éventuellement les estimations. Dans un mode de réalisation, le détecteur de défaut est apte, pour au moins une chaîne de mesure, à analyser périodiquement la suite des valeurs fournies par la chaîne de mesure, et à évaluer que la chaîne de mesure est en défaut lorsque le bruit de ces mesures est inférieur ou supérieur à des valeurs prédéterminées de bruit minimal ou de bruit maximal pour de telles mesures. Le bruit de mesure est en effet une caractéristique de fonctionnement de chaque chaîne de mesure. La présence d'un bruit trop faible (par exemple à l'extrême, lorsque la valeur fournie est rigoureusement constante), ou encore trop grand (mesures semblant erratiques), est ainsi significatif d'un défaut de la chaîne de mesure. Dans un mode de réalisation, les moyens de calcul déterminent pour chaque mesure un coefficient de validité ; ils fournissent la valeur fiabilisée en fonction des différentes mesures fournies par les chaînes de mesure et en prenant en compte les coefficients de validité de chacune des mesures. Dans un mode de réalisation dans lequel au moins deux capteurs sont utilisés pour mesurer la grandeur, le détecteur de défaut est apte à évaluer qu'au moins une chaîne de mesure est en défaut lorsque la différence entre les mesures fournies par lesdites au moins deux chaînes de mesure excède une valeur prédéterminée. On comprend en effet que lorsque deux chaînes de mesure sont affectées à la mesure de la même grandeur, les mesures qu'elles fournissent doivent être sensiblement égales. Le mode de réalisation précédent pourrait d'ailleurs être étendu de telle sorte qu'un défaut au sein des chaînes de mesure soit détecté dès lors qu'une relation prédéterminée entre les valeurs fournies par les chaînes de mesure n'est plus vérifiée. Une seconde difficulté dans la réalisation du dispositif réside dans le recalage de l'estimateur sur la valeur fiabilisée courante, c'est-à-dire sur la valeur fiabilisée en cours pour la grandeur considérée. L'estimateur peut être un logiciel ou partie de logiciel relativement complexe qui comprend un modèle pour simuler le comportement du système. Ce modèle comporte un ensemble de paramètres représentatifs de l'état ou de variables du système, qui sont associés à une représentation mathématique du système. Le modèle permet de simuler le système ou de représenter le comportement de celui-ci en réponse aux sollicitations qui lui sont appliquées. Dans un mode de réalisation, les moyens de recalage sont aptes à recaler le modèle sur la ou les dernières valeurs fiabilisées fournies avant ladite première détection au moyen d'un algorithme d'adaptation paramétrique, en modifiant la valeur d'au moins un paramètre de l'estimateur en fonction du ou des écarts constatés entre la ou les dernières estimations fournies par le modèle, et la ou les dernières valeurs fiabilisées correspondantes déterminées en prenant en compte au moins une mesure fournie par une chaîne de mesure valide. Selon différentes variantes de ce mode de mise en oeuvre, l'algorithme d'adaptation paramétrique utilise la méthode des moindres carrés, un filtre de Kalman, un algorithme génétique, ou encore comporte un intégrateur pur. Un deuxième objectif de l'invention est de proposer une méthode de fiabilisation d'une grandeur mesurée par au moins une chaîne de mesure, visant à fournir une valeur fiabilisée de ladite grandeur ; méthode suivant laquelle : on évalue périodiquement pour chaque chaîne de mesure si elle est en défaut ou au contraire, si elle est valide ; on utilise un estimateur apte à fournir périodiquement une estimation de la grandeur mesurée, ladite estimation étant obtenue au moyen d'un modèle en fonction d'informations autres que celle(s) transmise(s) par ladite au moins une chaîne de mesure ; et on détermine périodiquement la valeur fiabilisée de ladite grandeur, en prenant en compte les mesures fournies par la ou les chaînes de mesure valides, et/ou l'estimation fournie par l'estimateur ; méthode qui permette d'obtenir une valeur de la grandeur considérée plus précise que les dispositifs de fiabilisation connus, tels que les capteurs logiciels utilisés dans les systèmes redondants, et cela avec une disponibilité élevée, sans entrainer pour autant un accroissement du nombre de capteurs. Dans la phrase précédente, une évaluation ou une détermination périodique peuvent être une évaluation ou une détermination continue. L'objectif indiqué précédemment est atteint grâce au fait que suivant la méthode, au moins lors d'une première détection de défaut d'au moins une chaîne de mesure dite chaîne de mesure défaillante, qui avant ladite détection était évaluée comme valide et fournissait des informations servant à déterminer la valeur fiabilisée, on recale le modèle sur la ou les dernières valeurs fiabilisées fournies avant ladite première détection; et après ladite première détection de défaut, on détermine la valeur fiabilisée en prenant en compte ladite estimation. Naturellement, les différents perfectionnements de l'invention présentés précédemment en relation avec le dispositif de fiabilisation selon l'invention peuvent être mis en oeuvre dans la méthode selon l'invention. Dans un mode de mise en oeuvre, dans le cas où il y a plusieurs chaîne de mesure, on recale l'estimateur et on prend en compte ladite estimation pour déterminer ladite valeur fiabilisée, après la première détection de défaut soit de l'une quelconque des chaînes de mesure, soit de la totalité des chaînes de mesure. Dans un mode de mise en oeuvre, les mesures de la grandeur sont fournies par une chaîne de mesure unique, et, lors de la première détection d'un défaut de la chaîne de mesure unique, on recale l'estimateur sur la ou les dernières valeurs fiabilisées. Dans un mode de mise en oeuvre, lorsqu'au moins une première chaîne de mesure est en défaut et qu'au moins une seconde chaîne de mesure est valide, on détermine la valeur fiabilisée au moins à partir de la valeur fournie par la seconde chaîne de mesure, et par l'estimation fournie par l'estimateur. Dans un mode de mise en oeuvre, suite à ladite première détection de défaut de la chaîne de mesure défaillante et au moins pendant une période de recalage, on procède au recalage périodique (ou continu) de l'estimateur sur la ou les dernières valeurs fiabilisées fournies avant ladite première détection. Dans un mode de mise en oeuvre, pour évaluer si l'une des chaîne de mesure est en défaut, on analyse périodiquement la suite des valeurs fournies par la chaîne de mesure, et on évalue que la chaîne de mesure est en défaut lorsque le bruit de ces mesures est inférieur ou supérieur à des valeurs prédéterminées de bruit minimal ou de bruit maximal pour de telles mesures. Dans un mode de mise en oeuvre, au moins deux chaînes de mesure sont utilisées pour mesurer ladite grandeur, et on évalue qu'au moins une chaîne de mesure est en défaut lorsque la différence entre les mesures fournies par lesdits au moins deux chaînes de mesure excède une valeur prédéterminée. Dans un mode de mise en oeuvre, un recalage périodique (ou continu) de l'estimateur sur la ou les dernières valeurs fiabilisées disponibles est effectué tant qu'au moins une chaine de mesure est valide ; ce recalage est interrompu lorsqu'une panne est détectée sur la dernière chaine de mesure valide (c'est-à-dire lorsque l'ensemble des chaînes de mesure sont en défaut). Dans un mode de mise en oeuvre, on recale l'estimateur sur la (ou les) dernière(s) valeur(s) fiabilisée(s) au moyen d'un algorithme d'adaptation paramétrique, en modifiant la valeur d'au moins un paramètre de l'estimateur en fonction du ou des écarts constatés entre la ou les dernières estimations fournies par l'estimateur, et la ou les dernières valeurs fiabilisées correspondantes déterminées en prenant en compte au moins une mesure fournie par une chaîne de mesure valide. L'invention sera bien comprise et ses avantages apparaîtront mieux à la lecture de la description détaillée qui suit, de modes de réalisation représentés à titre d'exemples non limitatifs. La description se réfère aux dessins annexés, sur lesquels : - la figure 1 est une vue schématique d'un moteur de fusée et de son système de commande, qui comporte un dispositif de fiabilisation selon l'invention ; - la figure 2 représente les composants logiciels mis en oeuvre dans le 25 dispositif selon l'invention représenté sur la figure 1 ; - la figure 3 représente un traitement logiciel permettant d'obtenir le bruit de mesure ; - les figures 4 et 5 représentent respectivement les variations d'un bruit de mesure et du carré de celui-ci, en fonction du temps ; et 30 - la figure 6 représente les variations en fonction du temps de différentes grandeurs mesurées ou déterminées dans le dispositif selon l'invention présentée par la figure 1. Le moteur fusée 100 présenté par la figure 1 comporte une tuyère 102, alimentée par deux réservoirs d'ergols 131 et 132, chacun en amont 35 d'une pompe 111, 112. Le débit de chacun de ces ergols est régulé par les vannes 121 et 122. Pour cela, le débit de ces ergols est mesuré immédiatement en amont de chacune des pompes 111, 112. Par souci de simplicité, seule la mesure du débit en amont de la pompe 111 est détaillée, des dispositions similaires étant prises pour l'ergol pompé par la pompe 112. Deux capteurs 10A et 10B sont disposés sur la pompe 111 et mesurent la vitesse de rotation de celle-ci. Ces capteurs fournissent deux mesures indépendantes l'une de l'autre, RTHA et RTHB, représentatives de la vitesse de rotation de la pompe 111. Le moteur 100 comporte un contrôleur 200, qui comprend un module de conditionnement 104, un module de calcul 105, un module de régulation 106, et un module de surveillance 107. Le module de conditionnement 104 reçoit les valeurs transmises par les capteurs RTHA et RTHB. Il modifie les signaux transmis afin de mettre ceux-ci sous une forme exploitable par le module de calcul 105. Il peut par exemple réaliser une conversion analogique/numérique pour exprimer sous forme numérique les valeurs de RTHA et RTHB. Le module de conditionnement 104 associé aux capteurs 10A et 10B forme deux chaînes de mesure 11A et 11B au sens de l'invention. Ces chaînes de mesure 11A et 11B fournissent au module 105 les valeurs RTHA et RTHB de la vitesse de rotation RTH de la pompe 111. Le module de calcul 105 reçoit non seulement les valeurs RTHA et RTHB, mais également les valeurs d'autres variables D du moteur 100. Sur la base des informations qui lui sont transmises, le module 105 calcule la valeur fiabilisée R2 de la vitesse de rotation de la pompe 111 et la transmet aux modules 106 et 107. Le module 105, associé aux chaînes de mesure 11A et 11B, constitue un dispositif de fiabilisation au sens de l'invention, et permet de fournir une valeur fiabilisée R2 pour la vitesse de rotation RTH de la pompe 111. Il permet ainsi la mise en oeuvre de la méthode selon l'invention. Parallèlement au processus de régulation réalisé par le module 106, le module de surveillance 107 reçoit les informations de vitesse de rotation des pompes 111 et 112, et génère une alerte A si la vitesse de rotation de l'une des pompes 111 et 112 devient excessive. Le module de régulation 106, sur la base des valeurs fiabilisées des vitesses de rotation des pompes 111 et 112, de l'information PC de pression dans la tuyère 102, et d'autres paramètres non décrits ici, est à même de réguler le fonctionnement du moteur 100, en transmettant des consignes VR1 et VR2 d'ouverture/fermeture aux vannes 121 et 122 d'alimentation du moteur 100. Le fonctionnement du module de calcul 105 est illustré plus particulièrement par la figure 2. Cette figure permet de comprendre comment est réalisée la fonction principale du dispositif de fiabilisation, à savoir la fourniture de la valeur fiabilisée R2 de la grandeur considérée, indiquant la vitesse de rotation RTH de la pompe 111. En régime de fonctionnement normal, la valeur fiabilisée R2 est obtenue seulement à partir des mesures fournies par les chaînes de mesure 11A et 11B, au moyen des traitements informatiques représentés sur la partie haute de la figure 2 (au dessus du pointillé) : Les chaînes de mesure 11A et 11B fournissent respectivement, à intervalles réguliers, des valeurs RTHA et RTHB de la vitesse de rotation de la pompe 111. Ces valeurs sont soumises à une opération de filtrage (via les filtres logiciels 20A, 20B) afin de réduire le bruit de mesure que comportent les valeurs RTHA et RTHB. Pour cela, la bande passante des filtres 20A et 20B est adaptée de telle sorte que ceux-ci séparent les composantes du signal en deux parties, à savoir un signal filtré (FM et FRB) et un bruit (BRA et BRB). Ce filtrage fait apparaître la dynamique des pompes 111 et 112, et ainsi permet de détecter des évolutions anormalement rapide de la vitesse de rotation des pompes. Cette détection est faite par le module 107. Le filtrage fait apparaître également les évolutions continues (à basse fréquence) des pompes, et par suite permet la régulation de leur fonctionnement par le module de régulation 106. Les filtres 20A et 20B fournissent ainsi en sortie des valeurs filtrées FRA et FRB ainsi que les résidus de bruit BRA et BRB. Chacune des valeurs FRA, FRB, est alors transmise à un opérateur de fusion 40. De la même manière, chacune des valeurs BRA, BRB, est alors transmise à un détecteur de défaut 30. Le détecteur de défaut 30 détecte la survenance d'un défaut dans l'une ou l'autre de chaînes de mesure 11A ou 11B sur la base des informations BRA et BRB, d'une manière qui sera développée plus loin. En sortie, le détecteur de défaut 30 fournit un indicateur F Cflag' en Anglais) qui indique le nombre de chaînes en défaut parmi les différentes chaînes de mesure 11A, 11B. Cet indicateur F prend par exemple la valeur 2 pour indiquer que l'ensemble des chaînes de mesure 11A et 11B sont en défaut. L'opérateur de fusion 40 réalise la fusion des deux valeurs FRA et FRB, c'est-à-dire produit une valeur fiabilisée interne R1 de la grandeur considérée RTH, obtenue à partir des valeurs filtrées FRA et FRB, et en fonction de l'indicateur F qui lui est transmis par le détecteur de défaut 30. Cette valeur fiabilisée interne R1 peut être choisie de différentes manières. Dans l'exemple présenté, elle est égale à la moyenne des deux valeurs FRA et FRB (sous réserve que les deux chaînes de mesure 11A et 11B soient valides ; sinon, R1 est égale à la mesure valide restante). La valeur fiabilisée interne R1 et l'indicateur F sont transmis à un sélecteur 50. Ce sélecteur reçoit également en entrée une estimation ER de la vitesse de rotation RTH, fournie par un estimateur logiciel 60, qui va être décrit plus loin. En fonction de la valeur de l'indicateur F, le sélecteur 50 détermine la valeur fiabilisée de sortie R2 que fournit en sortie le dispositif de fiabilisation de la grandeur considérée RTH : tant que l'indicateur F n'indique pas que l'ensemble des mesures sont en défaut (F On notera que l'estimateur 60 et plus précisément le module adaptateur 74 reçoit en outre l'indicateur F. Grâce à cela, lorsque l'indicateur F indique qu'au moins une chaîne de mesure 11A ou 11B est valide (F Ces figures représentent les courbes de variation respectivement du bruit BRA, et du bruit élevé au carré BRA2, en fonction du temps. La valeur M du bruit moyen entre deux instants T et T' est calculée par le module de calcul 105 d'après la formule suivante : T' J BR2(t) dt = M T Dans le module de calcul 105, le détecteur de défaut est fondé sur le critère de défaut suivant, pour la mesure RTHA : Si le bruit moyen M ne se trouve pas dans un intervalle [Mmin,Mmax] prédéterminé, caractéristique du capteur, la mesure RTHA est considérée comme étant en défaut. Cette information est transmise au moyen de l'indicateur de défaut F. Le fonctionnement effectif du dispositif de fiabilisation peut être mieux compris à travers un exemple concret illustré par la figure 6. Cette figure comporte huit courbes qui représentent en fonction du temps respectivement les valeurs de : - l'indicateur de défaut F ; - la vitesse de rotation RTHA mesurée par le capteur 10A ; - le bruit de mesure BRA associé à la vitesse de rotation RTHA ; ^ la vitesse de rotation RTHB mesurée par le capteur 10B ; - le bruit de mesure BRB associé à la vitesse de rotation RTHB ; - la valeur fiabilisée interne R1 ; - l'estimation ER fournie par l'estimateur ; - la valeur fiabilisée (proprement dite) R2. Dans la séquence de fonctionnement présentée par la figure 6, à l'instant initial le moteur 100 fonctionne de manière satisfaisante et les deux chaînes de mesure 11A et 11B sont considérées comme valides. L'indicateur F vaut alors 0. Le bruit de mesure BRA et BRB pour les capteurs 10A et 10B est très faible, sans être nul cependant. Les valeurs fiabilisées interne R1 et de sortie R2 sont égales aux valeurs RTHA ou RTHB transmises par les capteurs. A l'instant t0, les valeurs RTHA et RTHB transmises par les capteurs 10A et 10B changent, et passent d'une première valeur relativement élevée, à une deuxième valeur plus basse. Peu de temps après, les valeurs RTHA transmises par le capteur 10A commencent à varier en présentant des oscillations. Ces oscillations sont de plus en plus importantes. Naturellement, dans la même période, le bruit de mesure associé BRA augmente, Le capteur 10B fournit pour sa part des valeurs relativement constantes, et le bruit BRB reste très faible. A l'instant t1, les valeurs transmises par le capteur 10A chutent et deviennent nulles : La chaîne de mesure 11A est défaillante. L'indicateur F est mis à 1, ce qui traduit la panne de la chaîne de mesure 11A. La valeur R1 est alors calculée uniquement sur la base de RTHB. A l'instant t2, les valeurs RTHB (toujours valides) transmises par le capteur 10B changent, et passent de la deuxième valeur citée précédemment à une troisième valeur encore plus basse que la deuxième. Les valeurs fiabilisées interne R1 et de sortie R2 varient en conséquence, en suivant les valeurs de RTHB. Pendant toute cette période (voir courbe `ER», les paramètres du modèle 70 de l'estimateur 60 sont adaptés en permanence grâce au module adaptateur 74. Celui-ci détermine les valeurs des paramètres du modèle 70 qui permettent que le modèle 70 fournisse en sortie une valeur sensiblement égale à la valeur fiabilisée R1, sur la base des mesures D. On voit que la courbe ER suit sensiblement la courbe R1. A l'instant t3, les valeurs transmises par la chaîne de mesure 11B deviennent constantes. Le bruit de mesure BRB devient nul. Cette information est interprétée par le détecteur de défaut 30 comme une preuve de défaut de la chaîne de mesure 11B. Le détecteur de défaut fait passer l'indicateur de défaut F à la valeur 2. A partir de cet instant, du fait que la valeur de F passe à 2', le sélecteur 50 bascule : Au lieu de fournir en sortie la valeur fiabilisée interne R1, il fournit comme valeur fiabilisée finale R2, l'estimation ER fournie par l'estimateur 60. Du fait que l'estimation ER est recalée en permanence sur la valeur fiabilisée R1, il n'y a à l'instant t3 aucun saut ou aucune variation visible dans la valeur de la valeur fiabilisée R2. Après l'instant t3, les évolutions de la valeur fiabilisée R2 sont celles prédites par l'estimateur 60, sur la base des informations D qu'il reçoit en permanence.5 REVENDICATIONS1. Dispositif de fiabilisation d'une grandeur (RTH) mesurée par au moins une chaîne de mesure (11A, 11B), le dispositif étant apte à fournir une valeur fiabilisée (R2) de ladite grandeur et comprenant : un détecteur de défaut (30), apte à évaluer périodiquement si ladite au moins une chaîne de mesure est en défaut ou au contraire si elle est valide ; un estimateur (70), apte à fournir périodiquement une estimation (ER) de la grandeur mesurée, ladite estimation étant obtenue au moyen d'un modèle (70) en fonction d'informations (D) autres que celle(s) transmise(s) par ladite au moins une chaîne de mesure, des moyens de calcul (105), reliés à ladite au moins une chaîne de mesure, et aptes à fournir périodiquement ladite valeur fiabilisée de ladite grandeur, en prenant en compte les mesures fournies par la ou les chaînes de mesure valides, et/ou l'estimation fournie par l'estimateur ; le dispositif se caractérisant en ce qu'il comporte en outre des moyens de recalage (72,74) de l'estimateur qui sont agencés de manière à, au moins lors d'une première détection de défaut d'au moins une chaîne de mesure dite chaîne de mesure défaillante, qui avant ladite détection était évaluée comme valide et fournissait des informations servant à déterminer la valeur fiabilisée, recaler ledit modèle sur la ou les dernières valeurs fiabilisées fournies avant ladite première détection ; et en ce que les moyens de calcul sont agencés de manière à, après ladite première détection de défaut, déterminer la valeur fiabilisée en prenant en compte ladite estimation. 2. Dispositif selon la revendication 1, dans le cas où il y a plusieurs chaînes de mesure, dans lequel les moyens de recalage (74) sont agencés de manière à procéder au recalage du modèle et les moyens de calcul sont agencés de manière à prendre en compte ladite estimation pour déterminer ladite valeur fiabilisée, après la première détection de défaut soit de l'une quelconque des chaînes de mesure, soit de la totalité des chaînes de mesure.35 3. Dispositif selon la revendication 1 ou 2, dans lequel les moyens de calcul sont agencés de manière à, lorsqu'au moins une première chaîne de mesure est en défaut et qu'au moins une seconde chaîne de mesure est valide, déterminer la valeur fiabilisée au moins à partir de la valeur fournie par la seconde chaîne de mesure, et par l'estimation fournie par l'estimateur. 4. Dispositif selon l'une quelconque des revendications 1 à 3, dans lequel les moyens de recalage sont agencés de manière à, suite à ladite première détection de défaut de ladite chaîne de mesure défaillante et au moins pendant une période de recalage, procéder audit recalage périodique du modèle sur une ou plusieurs valeurs fiabilisées. 5. Dispositif selon la revendication 4, dans le cas où il y a plusieurs chaînes de mesure, dans lequel ladite période de recalage du modèle a lieu jusqu'à une première détection de défaut d'une autre chaîne de mesure défaillante, qui avant ladite détection était évaluée comme valide et fournissait des informations servant à déterminer la valeur fiabilisée. 6. Dispositif selon l'une quelconque des revendications 1 à 5, dans lequel le détecteur de défaut est apte, pour au moins une chaîne de mesure, à analyser périodiquement la suite des valeurs fournies par la chaîne de mesure, et à évaluer que la chaîne de mesure est en défaut lorsque le bruit de ces mesures est inférieur ou supérieur à des valeurs prédéterminées de bruit minimal ou de bruit maximal pour de telles mesures. 7. Dispositif selon l'une quelconque des revendications 1 à 6, dans lequel au moins deux capteurs sont utilisés pour mesurer ladite grandeur, et le détecteur de défaut est apte à évaluer qu'au moins une chaîne de mesure est en défaut lorsque la différence entre les mesures fournies par lesdites au moins deux chaînes de mesure excède une valeur prédéterminée. 8. Dispositif selon l'une quelconque des revendications 1 à 7, dans lequel 35 les moyens de recalage sont aptes à recaler le modèle sur la ou les dernières valeurs fiabilisées fournies avant ladite première détection aumoyen d'un algorithme d'adaptation paramétrique, en modifiant la valeur d'au moins un paramètre de l'estimateur en fonction du ou des écarts constatés entre la ou les dernières estimations fournies par le modèle, et la ou les dernières valeurs fiabilisées correspondantes déterminées en prenant en compte au moins une mesure fournie par une chaîne de mesure valide. 9. Dispositif selon la revendication 8, dans lequel l'algorithme d'adaptation paramétrique utilise un filtre de Kalman, la méthode des moindres carrés, 10 ou un algorithme génétique, ou encore comporte un intégrateur pur. 10. Méthode de fiabilisation d'une grandeur (RTH) mesurée par au moins une chaîne de mesure (11A,11B), visant à fournir une valeur fiabilisée (R2) de ladite grandeur ; méthode suivant laquelle : 15 on évalue périodiquement pour chaque chaîne de mesure si elle est en défaut ou au contraire, si elle est valide ; on utilise un estimateur (60) apte à fournir périodiquement une estimation (ER) de la grandeur mesurée, ladite estimation étant obtenue au moyen d'un modèle en fonction d'informations autres que celle(s) transmise(s) 20 par ladite au moins une chaîne de mesure ; et on détermine périodiquement la valeur fiabilisée de ladite grandeur, en prenant en compte les mesures (RTHA, RTHB) fournies par la ou les chaînes de mesure valides, et/ou l'estimation (ER) fournie par l'estimateur ; 25 la méthode se caractérisant en ce que, au moins lors d'une première détection de défaut d'au moins une chaîne de mesure dite chaîne de mesure défaillante, qui avant ladite détection était évaluée comme valide et fournissait des informations servant à déterminer la valeur fiabilisée, on recale le modèle sur la ou les dernières valeurs fiabilisées fournies avant 30 ladite première détection; et après ladite première détection de défaut, on détermine la valeur fiabilisée en prenant en compte ladite estimation.