FR 2064386 A1 19710723 FR 7036238 A 19701007 70 36238 i 2064386 La présente invention concerne un dispositif de véri-, * . ; ficàtion des éléments d'un système de régulation:' redondant' comportant au moins trois chaînes de régulation en parallèle et un moniteur ou contrôleur qui sert à surveiller les chaînes de ré-5 gulation et qui met hors circuit celle ou celles de ces chaînes qui deviennent défaillant.es, au moyen d'un dispositif de coupure ou de mise hors'circuit. ;Dans lastechnique de la régulation, on utilise souvent des systèmes de régulation redondants, dans lesquels plusieurs ]_,j chaînes de régulation en parallèle agissent sur une même boucle de réglage. De tels systèmes de régulation sont utilisés, en particulier, pour le pilotage d'avions, application dans laquelle,- lors d'une défaillance de l'une des chaînes de. régulation, pour des raisons de sécurité, aucune perturbation ne doit se-produire.- En conséquence, pour obtenir un haut degré de fiabilité, les chaînes de régulation sont doublées ou même triplées et sont surveillées par des contrôleurs. ±ie degré élevé de fiabilité ne peut, toutefois, être obtenu que si le bon état de fonctionnement de tous les éléments d'un système de régulation redondant est vérifié avant chaque mise en service. Ur, une vérification manuelle d'un système de régulation redondant est pratiquement impossible en raison du temps qui serait nécessaire et de la complexité des essais. En outre, une vérification manuelle exigerait des spécialistes 25 particulièrement qualifiés et de toute confiance. En conséquence, il est avantageux d'effectuer une telle vérification automatiquement, car c'est seulement de cette manière qu'on peut réduire le temps nécessaire aux essais et obtenir la sécurité de vérification nécessaire. ^ ijors de la vérification du bon état de fonctionnement, il est connu de simuler les signaux présents lors du fonctionnement réel-a l'entrée des divers éléments du système de régulation et d.e comparer les. réactions alors obtenues avec des valeurs de consigne mises en mémoire. Si les réactions s'écar-tent des valeurs de consigne, compte-tenu, toutefois, de tolérances déterminées, c'est que l'un des éléments est défectueux, une vérification de ce genre, effectuée sur l'ensemble du système de régulation redondant, risquerait toutefois, éventuellement, de ne pas détecter des défauts existants, car les chaî-nés de régulation défectueuses sont identifiées par le contrô .70 36:238 2 .2064386 « * - -> -• -* * ? * *' ' leur et mises hors circuit au moyen du dispositif de coupure. Pour éviter dès cas de "ce genre," il serait nécessaire de vérifier en détails èt individuelî'emènt chacune des chaînes de régulation. Mais une telle vérification exige une séparation entre 5 chacune des chaînes de'régulation à vérifier et le reste du système de régulation èt, par conséquent, une" intervention dans celui-ci. Or, dans les'systèmes' de "régulation d'aeronefs, pour des raisons de sécurité, une.telle intervention est indésirable et demande, en outre, beaucoup de temps et exige l'utilisation 10 d'un étalon de comparaison de très grande précision, et, par conséquent, coûteux. L'invention évite les inconvénients énuinérés ci-dessus dans la vérification de systèmes de régulation triplés et est caractérisée par le fait que des signaux d'essai sont appliqués 15 au contrôleur pour vérifier son bon état de fonctionnement qui peut être déterminé à l'aide d'une unité d'évaluation et d'indication/ et par le fait qu'ensuite des signaux dé mesure déterminés commandent la chaîne de régulation à vérifier de telle manière que son bon état de fonctionnement peut être vérifié 20 d'après le comportement du contrôleur. .L'invention est basée sur le principe consistant, dans un système de régulation plusieurs fois redondant, au lieu de vérifier chacun des éléments individuels, à évaluer le comportement du contrôleiir et à vérifier seulement le bon état de fonc-25 tionnement de celui-ci. Le bon état de fonctionnement du contrôleur peut être vérifié d'une manière simple ; il suffit à cet effet d'appliquer à chacune de ses entrées des signaux d'essai qui, lors d'une première vérification, ne produisent pas de réponse. du contrôleur mais qui en produisent une lors d'une secon-30 de vérification. Le comportement du contrôleur renseigne alors sur son bon état de fonctionnement. Lés signaux d'essai peuvent être .appliqués au contrôleur directement, ou par l'intermédiaire de chacune des chaînes de régulation à vérifier. Lors du processus d'essai, deux chaînes de régulation groupées en un sys-35 tème duplex sont utilisées comme étalon de comparaison pour la troisième chaîne de régulation, car on peut faire'davantage confiance à deux chaînes de régulation qu'à celle qui est précisément vérifiée. Un autre avantage du dispositif suivant l'invention, .réside.en .ce qu'il se vérifie lui-même avant chaque sé-40.. quence d'essais. On est ainsi, en même temps, assuré que des 70 36238 3 2064386 défauts indiqués dans des systèmes de régulation redondants correspondent à des défaillances réelles de ces systèmes et ne sont pas dûs à un fonctionnement défectueux de l'appareil d'essai. D'autres caractéristiques de l'invention apparaîtront 5 au cours de la description qui va suivre. Aux dessins annexés donnés uniquement à titre d'exemple : - la Fig. 1 est un schéma symbolique du montage de vérification du contrôleur ; lu - la Fig. 2 est un schéma symbolique du montage de vérification des chaînes de régulation, et - la Fig. 3 est un schéma symbolique du montage d'auto-vérification du dispositif. Le schéma symbolique, représenté sur la Fig. 1, com-15 prend trois chaînes de régulation 10, 11 et 12 fonctionnant en parallèle et aux entrées 13, 14 et 15 desquelles des signaux d' entrée sont appliqués à partir de générateurs de signaux de mesure (non représentés). Les sorties 16, 17 et 18 des chaînes de régulation 10, 11 et 12 sont connectées chacune, d'une part, 2u à l'une des entrées 21, 22 et 23 d'un contrôleiir 20 et, d'autre part, à l'une des entrées 26, 2'/ et 2b d'un dispositif de coupure ou de mise hors circuit 25. Le contrôleur 20 comporte line sortie de commutation 24, qui est connectée à une entrée de commutation 29 du dispositif de coupure 25. Le dispositif de cou-25 pure 25 présente une sortie 30, qui est reliée à un élément de réglage (non représenté). En outre, il est prévu, au dispositif de coupure 25> une sortie de commutation 32, par l'intermédiaire 'de laquelle la position de commutation du dispositif de coupure 25 est transmise à l'entrée de commutation 34 d'une unité d'é-3u valuation et d'indication 33. Cette dernière reçoit, en outre, le programme de valeurs de consigne, par l'intermédiaire dtune entrée 35, tandis que le résultat des essais peut être recueilli à sa sortie 36. Le contrôleur 20 reçoit les signaux d'essai, par l'intermédiaire des chaînes de régulation 10, 11 et 12. A cet 35 effet, les entrées 13, 14 et 15 des chaînes de régulation 10, 11 et 12 sont connectées chacune à l'une des sorties 41, 42 et 43 d'une unité de commande 40. La vérification du contrôleur 20 s'effectue grâce au fait que les signaux d'essai fournis par l'unité de commande 40 4U présentent alternativement une différence de niveau entre deux 70 36238 4 2064386 des chaînes de régulation 10, 11 et 12. Cette différence de niveau est réglée lors d'un premier essai à une valeur inférieure au seuil de réponse réglable du contrôleur 20. Le contrôleur 20 ne doit pas alors répondre et le dispositif de coupure 25 ne doit 5 pas provoquer une mise hors circuit des chaînes de régulation 10 11 et 12, par l'intermédiaire de sa sortie de commutation 24. La position de commutation du dispositif de coupure 25 est en même temps transmise, par l'intermédiaire de la sortie de commutation 32, à l'entrée de commutation 34 de l'unité d'évaluation 10 et d'indication 33 qui compare la valeur réelle avec la valeur de consigne et, en cas de défaut, donne une indication à sa sortie 36. En présence d'une anomalie, le processus d'essai est interrompu simultanément à l'indication du défaut. Par contre, si aucune défaillance n'est constatée, on 1> procède à un second essai. Lors de celui-ci, la différence de niveau entre les signaux d'essai fournis par l'unité de commande 40 est réglée à une valeur supérieure au seuil de réponse du contrôleur. Le contrôleur 20 doit alors répondre et provoquer, par l'intermédiaire de sa sortie de commutation 24, une mise hors 2u circuit des chaînes de régulation 10, 11 et 12 par le dispositif de coupure 25.'" En même temps, la position de commutation de ce dernier est transmise, par l'intermédiaire de la sortie de commutation 32, à l'entrée 34- de l'unité d'évaluation et d'indication 33 qui compare la valeur réelle avec la valeur de consigne. 25 Si un écart est constaté, une indication de l'erreur se produit alors en même temps qu'une interruption du processus d'essai lors de ce processus, outre la vérificxation du contrôleur 20, on procède également à celle des chaînes de régulation 10, 11 et 12. Toutefois, au cours de cet essai, sont seules reconnues com-30 me des anomalies des défaillances totales des diverses chaînes de régulation 10, 11 et 12 tandis que le synchronisme de celles-ci n'est vérifié qu'au cours d'un essai ultérieur. Lors de l'essai du contrôleur 2u, si l'on constate une défaillance, celle-ci peut aussi bien provenir dudit contrôleur que de l'une des chaî-35 nés de régulation 10, 11 et 12, de sorte qu'on ne dispose pas d'une localisation précise de la défectuosité. Mais ceci est sans importance car, en construction aéronautique, on remplace, de préférence, des ensembles constructifs entiers plutôt que des organes individuels. 40 Lors de la vérification du contrôleur 2u, les signaux 70 36238 5 '2064386 d'essai, fournis par l'unité, de commande 4U, peuvent également être transmis directement audit contrôleur. Toutefois, dans le . cas de systèmes de régulation d'aeronefs, ceci entraîne des difficultés car, à cet effet, il est nécessaire d'interrompre le 5 parcours des signaux entre les sorties 16, 17 et 18 des chaînes de régulation 10, 11 et 12 et les entrées 21,.22 et 23 du contrôleur 20. Or de telles interruptions, constituent, des sources de nouvelles défaillances, de .sorte que la transmission des si-gaux d'essai par l'intermédiaire des chaînes de régulation est 10 . plus favorable. Si la vérification du contrôleur 20 n'a mis en évidence aucune défaillance, on procède alors au contrôle du fonctionnement identique des chaînes de régulation 10, 11 et 12. La Fig. 2 représente un schéma symbolique relatif à cette véri-15 fication et dans lequel, à la différence de celui de la Fig. 1, les entrées 13, 14 et 15 des chaînes de régulation 10, il et 12 sont connectées aux sorties 53» 54 et 55 de générateurs de signaux de mesure respectifs 50, 51 et 52 qui sont connectés à un mécanisme producteur d'un écart 56, réglable au moyen d'une unité.de commande 57» En outre, il est prévu à partir de la sortie 3o du dispositif de coupure 25> une liaison 31 avec un élément de réglage 60 dont la réaction est surveillée par un comparateur 61 auquel il est connecté, lie comparateur 61 reçoit un programme de valeurs de consigne sur une entrée 62 et compare 25 ce programme avec la valeur réelle fournie par l'élément de réglage 60. Par l'intermédiaire d'une sortie 63, le résultat est transmis à l'entrée 66 d'une unité d'évaluation et d'indication 65 qui lit le résultat fourni par le comparateur et, en cas de défaillance, donne une indication correspondante. 50 La vérification s'effectue de la manière suivante : les générateurs de signaux de mesure 50, 51 et 52 sont dévies artificiellement par le mécanisme producteur d'écart 5t>. Jj'amplitude de chaque écart est déterminée par l'unité de commande 57. Lors de la déviation artificielle, les générateurs 5u, 51 35 et 52 produisent des signaux de même grandeur qui sont transmis aux chaînes de régulation 10, 11 et 12. Au lieu d'une mesure de la valeur réelle des sorties 16, 17 et 18 des chaînes de régulation individuelles, le dispositif de coupure 25 est surveillé par l'unité d'évaluation et d'indication 33 pour contrôler 4u le fonctionnement identique des chaînes de régulation 10, 11 et 70 36238 6 2064386 12, par l'intermédiaire 'du "contrôleur 2u. En même temps, la réaction de l'élément de réglage 60 est mesurée et comparée dans le comparateur 61 avec la valeur de consigne. La vérification s'effectue de telle'manière que l'élément de réglage 5 doit dépasser une valeur minimale, mais"ne pas atteindre une valeur maximale (exploration, dès tolérances avec des signaux de sortie déterminés des générateurs de signaux de mesure). En cas d'écart entre la valeur réelle et la valeur de consigne, un signal est engendré"dans le comparateur 61 et ce signal, 10 lors de l'interrogation par l'unité'd'évaluation et d^indica-tion 65, provoque l'indication d'une défaillance et une interruption du processus d'essai par cette unité". Lors de la.déviation mécanique' des générateurs de signaux de mesure 50, 51 et 52,'la fonction de temps de ce pro-15 cessus peut être choisie telle que les éléments insensibles à la fréquence et les éléments sensibles à la fréquence des chaînes de régulation individuelles 10, 11 et 12 fournissent des fractions égales du signal de sortie transmis à l'élément de réglage 60. Ainsi, lors de l'apparition d'un défaut dans l'une 2u des branches de coupure dTune chaîne de régulation, ce défaut ne risque pas'd'être masqué par une majoration de valeur du signal d'une autre branche de coupure, de sorte que le défaut est identifié par le contrôleur 20. Le contrôleur 20 réagit en provoquant la mise hors circuit de la chaîne de régulation dé-2^ fectueuse par le dispositif de coupure 25. Dans cette vérification, l'emplacement du défaut est indiqué d'une manière univo-que simultanément à sa détection. En même temps que la mise hors circuit de la chaîne de régulation défectueuse, l'unité d'évaluation et d'indication 35 est actionnée, donne une indi-50 cation de la défaillance et interrompt le processus d'essai. Pour exclure de fausses indications de défaillances qui pourraient se produire en raison d'un défaut dans le dispositif de vérification lui-même, il est prévu avant chaque essai une opération de contrôle par laquelle le dispositif d'es-55 sai se vérifie lui-même. Jja Fig. 3"représente un schéma symbolique relatif à cette auto-vérification. A cet effet, on utilise également le système de régulation 70 à contrôler. Le système" de régulation 70 est' connecté à une- unité de programmation 71, elle-même connectée, d'une part par une sortie, à l'u-4u nité'd'évaluation et d'indication 72 et, d'autre part, par une 70 36238 7 2064386 seconde entrée, au système de régulation 70. Un indicateur de défaillance 73 est connecté à l'unité d'évaluation et d'indication 72 et est, en outre, relié par l'intermédiaire d'une autre entrée, à un comparateur 77 de l'unité d'auto-vérifieation 80. 5 L'unité de programmation 71 est connectée à une unité de commande numérique 74-» elle-même reliée à un rythmeur 75. le rythmeur 75 est connecté à une unité de commutation 79 qui fait partie de l'unité d'auto-vérification 80. Dans celle-ci est, en outre, prévue, pour la valeur de consigne, une unité de commande 78 relu liée, par l'intermédiaire du comparateur 77» à ion compteur de défauts 76. Ce compteur de défauts 76 est connecté à la fois à l'unité d'évaluation et d'indication 72 et à l'unité de programmation 71. En outre, une liaison est prévue entre l'unité de commande numérique 74 et l'unité d'auto-vérification 80. 15 Lors de l'auto-vérification automatique qui est effec tuée avant chaque série d'essais, tous les défauts que le dispositif d'essai doit identifier sont simulés et enregistrés. En même temps, tous les essais à effectuer sont exécutés sous la commande d'un programme d'essai déterminé par l'unité de program-20 mation 71> sur le système de régulation 70. -Les essais s'effectuent, toutefois, à une fréquence beaucoup plus élevée, sensiblement mille fois plus grande que la cadence d'essai normale. L'unité d'évaluation et d'indication 72 doit, dès lors, à chaque essai élémentaire, détecter un défaut dans le système de régula-25 tion, car celui-ci ne peut répondre à cette fréquence considérablement plus élevée. La commutation de la fréquence s'effectue au moyen de l'unité de commutation 79 qui ajuste le rythmeur 75 à la fréquence élevée désirée. (Tous les défauts déterminés dans l'unité d'évaluation et d'indication 72 sont transmis au comp-30 teur de défauts 76 qui les additionne et transmet la somme, en tant que valeur réelle, au comparateur 77. Celui-ci compare la valeur réelle avec la valeur de consigne qui lui est transmise par l'unité de commande 78. S'il y a concordance entre la valeur réelle et la valeur de consigne, c'est que le dispositif de vé-35 rification fonctionne sans aucune anomalie. Si, par contre, il n'y a pas concordance entre la valeur réelle, et la valeur de consigne, le comparateur 77 fournit un signal de défaillance qui est transmis à l'unité d'indication 73 qui donne alors une indication d'anomalie. /tfj Ce type d'auto-vérification porte sur pratiquement 70 36238 8 2064386 tous les organes du dispoMtïf-dCessai et permet donc d'obtenir un degré de fiabilité éleveTlrToutre, l'auto-vérification n'exige qu'un temps supplémentaire très court car, d'une part, elle est effectuée à une fréquence considérablement plus élevée et, ^ d'autre part, elle est indépendante des constantes de temps du système à vérifier. la construction de l'unité d'auto-vérification peut s' effectuer en majeure partie à_l'aide de composants numériques connus qui, en raison des progrès de la technique de commutation 10 modernes, n'exigent que très peu de place pour leur incorporation. Mais les autres organes tels que, par exemple, les comparateurs qui peuvent comporter des amplificateurs opérationnels, peuvent également être fabriqués avec de très petites di-15 mensions spatiales, de sorte que l'ensemble du dispositif de vérification ne présente qu'un très faible encombrement. En conséquence, le dispositif de vérification peut être utilisé très avantageusement pour l'exécution d'essais dans le domaine de l'aéronautique, en particulier sous forme d'appareils de bord 20 pour avions, ,où ils sont faciles à remplacer en cas de défaillance. 70 36238 y 2064386 BEWSBICiïTIOfIS 1 — Dispositif permettant; de vérifier les éléments d'un système de régulation redondant, comprenant am moins trois 5- chaînes de régulation en parallèle et un contrôleur qui sert à surveiller les cùaînes de régulation et met hors circuit, au moyen d'un dispositif de coupure, la ou les chaînes de régulation devenant défaillantes, ledit dispositif étant caractérisé en ce. que des signaux d'essai sont transmis au contrôleur (20) lu pour vérifier son bon état de fonctionnement qui peut être déterminé au moyen d'une unité d'évaluation et d'indication (33) et en ce qu'ensuite des signaux de mesure déterminés" commandent - les- chaînes de régulation (10, 11 et 12) de telle façon que le bon état de fonctionnement desdites chaînes (10, 11, 12) puisse 15 être déterminé-d'après le comportement du contrôleur (20). 2 — Dispositif suivant la revendication 1, caractéri— - sé en ce que les signaux d'essai ou de mesure sont transmis directement au contrôleur (20). -5 — Dispositif suivant la revendication"!, caractérisa sé en ce que les signaux d'essai ou de mesure sont transmis au contrôleur (20) par l'intermédiaire des chaînes de régulation (10, 11, 12). 4 — Dispositif suivant l'une quelconque des revendications 1 à 3* caractérisé en ce que les signaux d'essai trams— 25 mis au contrôleur (20) peuvent être recueillis aux sorties (4-1, 42, 43) d'une unité de commande (40), et en ce que les signaux d'essai présentent alternativement, entre deux sorties, une différence de niveau qui est réglée, lors du premier essai, à une valeur inférieure à un seuil de réponse réglable du contrôleur 5u (20) et, lors d'un second essai, à une valeur supérieure à ce seuil de réponse. 5 - Dispositif suivant l'une quelconque des revendications 1 à 4, caractérisé en ce que le contrôleur (20} compare alternativement le signal de chaque entrée avec un étalon de 35 comparaison formé par les signaux des autres entrées. 6 — Dispositif suivant l'une quelconque des revendications 1 à 5* caractérisé en ce que les signaux de commande transmis aux chaînes de régulation (10f 11, 12) sont obtenus uar une déviation mécanique appropriée des générateurs des si— qu gnaux de mesure (53* 52). • —r BAD ORIGINAL 70, 36238 10: 2064386 7 - Dispositif suivant la revendi cation 1» caractérisé en ce qu'avant chaque essai» le dispositif contrôle son-propre bon-état de fonctionnement par une auto-vérification qui . .. porte.pratiquement sur tous les composants...-. . > . ... .. a Dispositif, suivant,l'une -quelconque des: revendications 1 et 7» caractérisé..en ce que lors-de 1*auto-vérification, la fréquence des.-signaux d'essai est multipliée sensiblement* par IGOOj'de sorte" que'chaque- opération d'essai donne une indication-d'erreur dans'*le système de régulation et, de sorte 10 que l'auto-vérificatioiL. se. déroule: très rapidement .. y - -Dispositif suivant,---! 'une quelconque des revend!— cations-7 et b, caractérisé en ce que, lors de 1*auto-vérification, " tous les défauts qui doivent -être- identifiés par le dispositif sont simulés .jet enregistrés! par rapport, à une valeur -1> - de'consigne- qui, si le "dispositif est en bon état de fonctionnement,, doit concorder avec les défauts déterminés dams le système de - régulation par la fréquence multipliée. 10 - Dispositif - suivant l^une quelconque des revendications 1 à 9s caractérisé en ce que le processus d'essai est 2ks interrompu lorsqu'une anomalie est déterminée» simultanément à'l'indication de cette anomalie. A BAD OBlGlNAL