FR 2512565 A1 19830311 FR 8214868 A 19820831 12565 I SYSTEME DE COMMANDE NUMERIQUE DE PLEINE AUTORITE L'invention concerne des systèmes de commande dans les- quels la commande est principalement ou entièrement effec- tuée par des signaux provenant d'un ordinateur numérique. Ces systèmes sont communément appelés systèmes de commande numérique de "pleine autorité"" Dans ces systèmes de com- mande, l'activité de commande est communément réglée par un ordinateur numérique qui est lui- même sensible à des conditions de fonctionnement détectées et/ou souhaitées d'un appareil à commander Le nombre de ces conditions de fonctionnement peut être grand, et chacune de ces con- ditions individuelles peut tomber dans des intervalles de valeurs importants Les combinaisons et les séquences des valeurs de fonctionnement sont alors vraiment très grandes, de sorte qu'il n'est pas possible de contrôler le système pour toutes les conditions de fonctionnement combinées que l'on peut rencontrer en cours d'utilisation Le pro- blème est accru par-la facilité relative avec laquelle on peut reprogrammer un système de commande numérique, de tel- le sorte que des contrôles étendus qui peuvent avoir été exécutés avec le système sous la commande d'un programme supprimé ne sont plus valables. L'incapacité de prédire la réponse d'un système de pleine- autorité dans toutes les conditions de fonctionnement a conduit l'administration concernée par la navigabilité aérienne à montrer peu d'empressement pour approuver l'uti- lisation d'un tel système dans un avion, en particulier parce qu'une réponse inappropriée du système à une combi- naison de conditions, résultant par exemple d'une faute de programmation, ne se produit pas de façon aléatoire mais peut provoquer, dans cette combinaison de conditions, un mauvais fonctionnement de tous les appareils commandés par l'ordinateur numérique De plus, il est évident que la reproduction de processeurs ou unités de traitement de données programmées identiques ne surmonte pas ce problè- me, puisque les processeurs fonctionnent mal simulta- nément et de la même façon La présente invention fournit un système de commande numérique de pleine autorité dans lequel les problèmes précédents sont résolus. Selon la présente invention, un système de commande numé- rique de pleine autorité comprend un appareil sensible à des signaux électriques d'entrée, un premier ordinateur numérique sensible à un ensemble de conditions de fonc- tionnement de l'appareil pour engendrer des premiers si- gnaux de commande numérique, un second ordinateur sensi- ble à au moins certaines des conditions de fonctionnement pour engendrer des seconds signaux de commande, des moyens pour déduire les signaux d'entrée desdits premiers ou se- conds signaux de commande, un circuit de contrôle sensi- ble à au moins certaines des conditions de fonctionnement et aux premiers signaux de commande pour déterminer des valeurs acceptables des premiers signaux de commande et pour que les signaux d'entrée ne soient déduits que des premiers signaux de commande dont les valeurs sont compri- ses dans l'intervalle des valeurs acceptables, et des moyens de commutation pouvant fonctionner dans un de leurs états pour que les signaux d'entrée soient déduits des premiers signaux de commande, et incluant des moyens sen- sibles à une différence prédéterminée entre un des pre- miers signaux de commande et sa valeur acceptable corres- pondante, pour isoler ledit appareil des premiers signaux de commande et pour que les signaux d'entrée soient dé- duits des seconds signaux de commande. D'autres caractéristiques et avantages de la présente in- vention seront mis en évidence dans la description sui- vante, donnée à titre d'exemple non limitatif, en référen- ce aux dessins annexés dans lesquels: Figure 1 est un schéma fonctionnel d'un système de commande numérique de pleine autorité appliqué à une tur- bine à gaz, et Figure 2 est un schéma d'un circuit de contrôle fai- sant partie du système de la Figure 1. Un moteur à turbine à gaz 10 est sensible à des signaux électriques analogiques d'entrée sur un ensemble de lignes 11, ces signaux correspondant à la position voulue d'une soupape de calibrage de combustible dans le moteur 10 et aux besoins de variation de la géométrie du moteur, comme la position de directrices de compresseur Les conditions détectées du moteur 10, par exemple, la géométrie du mo- teur mentionnée plus haut G, les vitesses NH,NL, des ar- bres de haute pression et de basse pression, la pression de compresseur Pl, P 2, et la température Tl à l'entrée du moteur sont fournies sur un ensemble de lignes 12 Les signaux sur les lignes 12 qui proviennent du moteur sont combinés avec un signal e correspondant à la position de fonctionnement d'un dispositif sélecteur de vitesse du mo- teur 13, pour produire des signaux analogiques de condi- tions de fonctionnement du moteur sur des lignes 14 Les signaux sur les lignes 14 sont envoyés à un circuit de conditionnement 15 dont l'une des fonctions est de con- vertir les signaux analogiques sur les lignes 14 en si- gnaux numériques pour les envoyer à un premier ordinateur numérique 16 Le premier ordinateur 16 comprend deux uni- tés d'ordinateur numérique identiques du type disponible sous la désignation Z 8002 de ZILOG Inc de Cupertino, Ca- lifornie, E U A Les deux unités d'ordinateur sont chacune sensibles à des signaux provenant du circuit 15 et sont connectées pour un contrôle bitpar-bit de leurs signaux de sortie, de la manière décrite dans le brevet anglais N O 20 19622 Dans le cas o une différence entre les si- gnaux de sortie des unités d'ordinateur dans le premier ordinateur 16 persiste pendant un intervalle de temps su- périeur à un intervalle de temps prédéterminé, un signal est envoyé par une ligne 17 à un circuit de commutation, qui sera décrit plus loin Le signal de sortie d'une des unités d'ordinateur du premier ordinateur 16 est envoyé par une ligne 18 à un convertisseur numérique-analogique 19 et de là,par des lignes 20,21, à un circuit de contrô- le 22. Le circuit 22 est sensible aux signaux de fonctionnement sur les lignes 12 et engendre des signaux de commande ana- logiques sur des lignes 23,24 en réponse aux signaux sur les lignes 12 et 20,21 Des circuits de commande 25 sont sensibles aux signaux sur les lignes 23,24 pour engendrer les signaux d'entrée sur les lignes 11 qui sont envoyés au moteur 10. Comme le montre la Figure 2, le circuit 22 est sensible à la vitesse NH de l'arbre moteur de haute pression, à la pression Pl et à la température Tl à l'entrée d'air du moteur et à la position e du sélecteur de vitesse du mo- teur 13 Le circuit 22 est aussi sensible à des signaux analogiques sur les lignes 20,21, ces signaux correspon- dant respectivement au débit de combustible désiré F et aux positions angulaires voulues G des directrices d'entrée de moteur Un circuit générateur de fonction ana- logique 30 est sensible au signal de vitesse NH et pro- duit sur une ligne 31, un signal correspondant à la posi- tion de directrice d'entrée voulue, et ce signal est en- voyé, en même temps que le signal de position voulue G sur la ligne 21, à un circuit de gains les plus bas 32, de sorte que le signal sur la ligne 24 ne puisse pas dé- passer celui engendré par le circuit 30 Les signaux sur les lignes 21,31, sont aussi envoyés à un comparateur 33 qui fournit un signal sur une ligne 34 à une entrée d'une porte OU 35 si une différence entre les signaux sur les lignes 21,31, dépasse une valeur prédéterminée. Le signal NH est aussi envoyé à un autre circuit généra- teur de fonction 36 qui produit un signal de sortie ana- logique sur une ligne 37, ce signal ayant la caractéristi- que indiquée dans l'élément 36 et donnant une limite supé- rieure au débit de combustible voulu F pour les valeurs de la vitesse NH On notera que la valeur de F décroît brusquement à une valeur prédéterminée de NH, et le signal sur la ligne 37 spécifie ainsi le débit de com- bustible qui établit une limite supérieure de la vitesse NH. Un autre circuit analogique 40 est sensible au signal e pour engendrer un signal correspondant à F/Pl V, qui a la caractéristique 41 indiquée par la courbe en trait plein dans l'élément 40 La caractéristique 40 correspond à une valeur de stabilité du débit de combustible Au- dessus et au-dessous de la caractéristique 41 sont situées des courbes représentant les limites maximale et minimale permises du débit du combustible respectivement pour une accélération et une décélération Il est commode de consi- dérer la courbe d'accélération comme ayant une valeur cons- tante &Fl au-dessus de la courbe 41, et la courbe de décé- lération comme ayant une valeur constante AF 2 au-dessous de la courbe 41. Un circuit 42 engendre sur une ligne 43 un signal corres- pondant à la racine carrée de la valeur Ti Le signal provenant du circuit 40 est envoyé, en même temps que le signal sur une ligne 43, à un circuit multiplicateur 44 et le produit résultant est multiplié par le signal Pl dans un autre circuit multiplicateur 45 Le signal résul- tant sur une ligne 46 correspond au débit de combustible voulu F pour un fonctionnement stable du moteur 10 et pour un réglage donné e Une valeur constante, correspon- dant à l'augmentation d'accélération A Fl mentionnée plus haut, est additionnée au moyen d'un circuit 47 et la som- me est envoyée par une ligne 48 à un circuit des gains les plus bas 49 Les signaux de demande de combustible sur les lignes 20 et 37 sont aussi envoyés au circuit des gains les plus bas 49 Le signal de demande de combusti- ble sur une ligne 50 en provenant du circuit 49 ne peut donc pas dépasser la valeur établie par la courbe d'accé- lération indiquée dans le circuit 40, ou la valeur de li- mitation de NH établie par le circuit 36, quelle que soit la valeur la plus petite Les signaux sur les lignes 20, 48, sont envoyés à un comparateur 51 qui produit un signal sur une ligne 52 envoyé à la porte OU 35 si la différence entre les signaux sur les lignes 20,48, dépasse un niveau prédéterminé. Un circuit soustracteur 53 est sensible au signal sur la ligne 46 et à une valeur constante qui correspond à la diminution de décélération AF 2 mentionnée plus haut Le signal de sortie du circuit 53 est envoyé par une ligne 54 à un circuit des gains les plus hauts 55 auquel le signal sur la ligne 50 est également envoyé Le signal de sortie sur la ligne 23 provenant du circuit 55 ne peut donc pas être inférieur à la valeur établie par la courbe de décé- lération indiquée dans le circuit 40 L'effet combiné des circuits 49,55, et de leurs signaux d'entrée est que le signal de demande de combustible sur la ligne 23 se trouve entre les limites d'accélération et de décélération indi- quées dans l'élément de circuit 40, en étant soumis à la restriction de vitesse imposée par le circuit 36, même si les signaux provenant du premier ordinateur 16 correspon- dent à une demande de combustible qui est hors des limites mentionnées plus haut. Les signaux sur les lignes 50,54, sont envoyés à un com- parateur 56 qui produit un signal de sortie envoyé à la porte OU 35 si une différence entre les signaux sur les lignes 50,54, dépasse un niveau prédéterminé La sortie de la porte OU 35 est connectée à une entrée d'une porte ET 57 et également à l'entrée de déclenchement d'un circuit monostable 58 dont la sortie est connectée à l'autre en- trée de la porte ET 57 Le circuit monostable produit un signal de sortie qui est retardé d'un intervalle de temps prédéterminé à partir du départ du signal de la porte OU La porte ET 57 engendre ainsi un signal de sortie sur une ligne 59 uniquement quand une différence prédétermi- née entre des signaux d'entrée des circuits 32,49, 55, a été maintenue pendant l'intervalle de temps de retard dé- fini par le circuit monostable 58. Des signaux sélectionnés parmi les signaux des lignes 14 sont envoyés par des lignes 60 à un autre circuit de con- ditionnement 61 qui produit des signaux numériques d'en- trée d'un ordinateur numérique à auto-contrôle 62 qui est du type disponible sous la désignation 9900 de Texas Ins- truments Les signaux sélectionnés sur les lignes 60 sont un minimum nécessaire pour permettre à l'ordinateur 62 d'effectuer un contrôle sûr du moteur 10, même si ce con- trôle ne peut fournir des conditions de fonctionnement op- timales Les signaux numériques de sortie de l'ordinateur 62 sont envoyés par des lignes 63 à un convertisseur nu-s mérique-analogique 64 et peuvent être envoyés par des lignes 65 du convertisseur 64 à un circuit de commande 66, correspondant dans son ensemble au circuit de commande 25. Le circuit de commande 66 peut ainsi produire sur des li- gnes 67 des signaux de commande pour le moteur 10, Des lignes 67 sont connectées aux lignes de-l'ensemble des li- gnes 11 qui transmettent dans une utilisation normale les signaux correspondants. Des dispositifs de commutation 71,72, sont sensibles à des signaux sur les lignes respectives 73,74, provenant d'un circuit bistable 75 Le dispositif de commutation 71 commande la transmission des signaux sur les lignes 23,24 au circuit de commande 25 Le dispositif de commutation 72 commande la transmission des signaux sur les lignes 65 au circuit de commande 66 Dans son premier état normal, le circuit bistable 75 engendre un signal sur la ligne 73 pour permettreaudispositif de commutation 71 de transfé- rer les signaux sur les lignes 23,24 Dans cet état du circuit 75, le dispositif de commutation 72 n'est pas va- lidé Le circuit 75 change d'état en réponse à un signal provenant d'une des lignes 17,59, ce qui invalide le dis- positif de commutation 71 et valide le dispositif de com- mutation 72 Ainsi, en réponse à un mauvais fonctionnement du premier ordinateur 16 ou à la détection par le circuit de contrôle 22 d'un écart prédéterminé et persistant entre les signaux de commande, la commande du moteur 10 est pas- sée à l'ordinateur 62. Dans un exemple de réalisation préféré de l'inventions les circuits 30,36 (Figure 2) sont disposés pour engendrer des signaux dont les valeurs de limitation sont un peu su- périeures à celles des signaux correspondants sur les li- gnes 20,21, ce qui permet de s'assurer qu'un signal erron- né n'est pas transmis par inadvertance sur la ligne 59. Pareillement, les valeurs de AF 1 et Jb F 2 sont disposées pour établir les limites d'accélération et de décélération qui sont respectivement légèrement supérieure et inférieu- re à celles qu'engendrent les unités d'ordinateur du pre- mier ordinateur 16, pour une condition de fonctionnement de moteur correspondante. 12565 REVENDICATIONS 1 Système de commande numérique de pleine autorité com- prenant un appareil sensible à des signaux électriques d'entrée, caractérisé en ce qu'il comprend un premier or- dinateur numérique ( 16) sensible à un ensemble de condi- tions de fonctionnement dudit appareil ( 10) pour engendrer des premiers signaux de commande numérique, un second or- dinateur ( 62) sensible à au moins certaines des conditions de fonctionnement pour engendrer des seconds signaux de commande, des moyens ( 19,64) pour déduire lesdits signaux d'entrée des premiers et seconds signaux de commande, un circuit de contrôle ( 22) sensible à au moins certaines des conditions de fonctionnement et aux premiers signaux de commande pour déterminer des valeurs acceptables des pre- miers signaux de commande et pour que les signaux d'en- trée ne soient déduits que des premiers signaux de comman- de dont les valeurs se trouvent dans l'intervalle des va- leurs acceptables, et des moyens de commutation ( 71,72) pouvant fonctionner dans un de leurs états pour que les signaux d'entrée soient déduits des premiers signaux de commande, et qui comprend des moyens ( 75) sensibles à une différence prédéterminée entre des signaux parmi les pre- miers signaux de commande et leur valeur acceptable cor- respondante, pour isoler ledit appareil des premiers si- gnaux de commande et pour que les signaux d'entrée soient déduits des seconds signaux de commande. 2 Système de commande numérique selon la revendication 1, caractérisé en ce que ledit circuit de contrôle ( 22) est constitué d'un ensemble de moyens ( 30,36,40,42) pour en- gendrer des premiers signaux analogiques qui sont fonction de conditions de fonctionnement sélectionnées et qui se trouvent dans des intervalles prédéterminés de valeurs col- respondantes des premiers signaux de commande, et un en- semble de circuits discriminateurs ( 32,49,55) sensibles chacun à un des premiers signaux analogiques et à un si- gnal déduit d'un signal correspondant des premiers signaux de commande, chaque circuit discriminateur étant conçu pour déduire un signal d'entrée correspondant des signaux d'entrée de celui de ses signaux analogique et de commande ayant la différence la plus grande avec une valeur de li- mitation prédéterminée. 3 Système selon la revendication 2, caractérisé en ce que ledit circuit de contrôle ( 22) comprend des moyens ( 47) pour engendrer un second signal analogique correspondant à une limite supérieure prédéterminée d'un des signaux d'entrée, un des circuits discriminateurs ( 49) étant sen- sible au second signal analogique, à une valeur de limita- tion supérieure d'un des premiers signaux analogiques et à un signal correspondant des premiers signaux de commande, ce circuit discriminateur ( 49) comprenant des moyens pour engendrer un signal de sortie correspondant au signal le plus bas des trois signaux auxquels il est sensible. 4 Système selon l'une quelconque des revendications 1 à 3, caractérisé en ce que le premier ordinateur ( 16) comprend deux unités d'ordinateur numérique et des moyens pour com- parer les signaux de sortie des unités d'ordinateur bit- par-bit. Système selon l'une quelconque des revendications 1 à 4, caractérisé en ce que ledit second ordinateur ( 62) est un ordinateur numérique. 6 Système de commande numérique de pleine autorité es- sentiellement conforme à la description en référence aux dessins annexés.