FR 2676555 A1 19921120 FR 9200212 A 19920110 La présente invention concerne, en général, la sélec- tion de signaux et la détection de défauts dans des dispositifs de commande et, plus particulièrement, un dis- positif de commande numérique pour choisir un signal valable en provenance de deux capteurs redondants ou plus. Dans les dispositifs de commande, et en particulier dans les dispositifs de commande employés en aviation, on utilise fréquemment un traitement redondant des signaux de canaux pour augmenter la fiabilité et la sécurité du dispositif Dans les moteurs d'avion, on peut employer des dispositifs de commande numérique pour, par exemple, réguler la puissance de sortie à l'état constant et la puissance transitoire dans la gamme de puissance disponible, de manière à rendre maximale l'efficacité des cycles du moteur, pour fournir la réponse requise en matière de poussée pendant les changements de puissance, et pour conférer un fonctionnement stable dans toutes les conditions de marche. Les dispositifs de commande numérique ont tendance à utiliser de plus en plus de capteurs pour améliorer la disponibilité et les performances du dispositif au moyen de la redondance Pour valider les signaux, on doit exécuter des tests de validité sur chaque signal des capteurs et on doit traiter leurs résultats par une logique de sélection Les dispositifs courants sont immunisés contre le bruit et -2- tolèrent les défaillances intermittentes en, par exemple, dispersant des compteurs de persistance et des bascules dans les tests de validité et la logique de sélection Les dispositifs courants peuvent aussi adapter la conception de la logique de validité aux besoins de chaque capteur Cela s'est traduit par une augmentation très rapide de la taille et de la complexité de la logique utilisée pour valider les signaux Il existe un besoin pour une stratégie de validation du signal qui puisse traiter le bruit et les différents types de défaillance avec une réduction de la complexité d'en- semble En outre, il y a un besoin pour un procédé de validation du signal qui soit suffisamment souple pour traiter divers types de capteurs. Le brevet des Etats-Unis d'Amérique N O 4 916 612 décrit une approche pour fournir un dispositif de sélection de signal et de détection des défauts qui présente une sécurité positive Dans ce dispositif, les sorties d'une paire de capteurs sont reçues par un sélecteur de valeur médiane Ce sélecteur reçoit aussi une troisième entrée qui est représentative de la condition détectée Dans un mode de fonctionnement normal, c'est-à-dire lorsque ni le premier ni le second signal redondant d'entrée n'a défailli, ou est sur le point de le faire, le troisième signal d'entrée est produit par un filtre complémentaire dans le mode normal Ce filtre intégre un signal de taux de condition qui est représentatif du taux de changement de la condition Lors- qu'il se produit une condition de défaillance, la sortie d'un filtre complémentaire dans le mode défaillance remplace la sortie du filtre complémentaire dans le mode normal comme troisième entrée du sélecteur de valeur médiane. Alors que le dispositif de commande décrit dans le brevet cité ci-dessus peut s'être avéré approprié dans les systèmes d'aviation, il peut ne pas l'être dans d'autres applications, par exemple dans les moteurs d'avion, pour diverses raisons Tout d'abord, le couplage de la logique de sélection à la logique de défaut peut imposer une nouvelle conception de la structure de la logique si le dispositif de commande doit être utilisé dans d'autres domaines technolo- giques En second lieu, en étendant le dispositif de commande à la sélection de signaux valables provenant de plusieurs capteurs, par exemple de trois capteurs ou plus, la taille et la complexité de la logique nécessaire au dispositif peuvent augmenter rapidement En troisième lieu, le dispositif de commande ne comporte pas un moyen pour rétablir un signal dès qu'il a été déclaré défaillant Les pannes électriques sont souvent temporaires et le composant défaillant peut reprendre son fonctionnement normal après avoir été défaillant pendant un bref laps de temps Un procédé de détection des défauts qui ne peut rétablir un signal après un défaut peut ne pas retrouver les avantages offerts par la pleine redondance lorsqu'il est disponible. La présente invention propose un dispositif pour sélectionner un signal valable au sein d'une multitude de signaux de capteurs redondants, o les signaux des capteurs peuvent comprendre une multitude de signaux mesurés et modélisés Le dispositif comprend un moyen pour produire une multitude de premiers signaux satisfaisants/non satisfaisants en exécutant des tests sur les signaux des capteurs Le dispositif comprend en outre un moyen pour affecter une multitude de valeurs pondérées à chacun des signaux mesurés des capteurs en conformité avec les premiers et seconds signaux satisfaisants/non satisfaisants; o les seconds signaux sont initialisés comme signaux satisfaisants Le dispositif comprend en outre un moyen pour additionner les valeurs pondérées pour chaque signal mesuré des capteurs et produire des seconds signaux satisfaisants/non-satisfaisants pour chaque signal mesuré des capteurs Un moyen pour affecter des drapeaux de sélection à chacun des signaux des capteurs en conformité avec les premiers et seconds signaux satisfaisants/non-satisfaisants, et un moyen pour choisir le signal valable parmi les drapeaux de sélection sont également incorpores. La présente invention fournit un procédé pour choisir un signal valable au sein d'une multitude de signaux redondants, o les signaux des capteurs peuvent comprendre une multitude de signaux mesurés et modélisés Le procédé comprend les étapes consistant à: 1) exécuter une série de tests sur une multitude de signaux de capteurs afin d'obtenir des premiers signaux satisfaisants/non-satisaisants pour chaque signal, 2) affecter une multitude de valeurs pondérées à chaque signal mesuré en conformité avec les premiers et seconds signaux satisfaisants/non satisfaisants, o ces seconds signaux sont initialisés comme signaux satisfaisants. Le procédé comprend en outre les étapes consistant à: 3) faire la sommation des valeurs pondérées pour chaque signal mesuré des capteurs et 4) produire des seconds signaux satisfaisants/non-satisaisants pour chaque signal mesuré des capteurs en conformité avec la somme de leurs valeurs pondérées Le procédé comprend en outre les étapes consistant à: 5) affecter une multitude de drapeaux de sélection en conformité avec les premiers et seconds signaux satisfai- sants/non-satisfaisants pour chacun des signaux des capteurs et 6) choisir un signal valable en conformité avec les drapeaux de sélection. La suite de la description se réfère aux figures annexées qui représentent respectivement: figure 1, un schéma sous forme de blocs d'un mode de réalisation du dispositif de validation de signal filtré selon la présente invention; figure 2, un organigramme d'un mode de réalisation du procédé de validation de signal filtré selon la présente invention. La figure 1 est un schéma sous forme de blocs d'un mode de réalisation préféré du dispositif de validation de signal filtré selon la présente invention Le dispositif comprend des circuits d'essai 106-110 pour exécuter une série de tests sur des signaux mesurés 101, 102 et par exemple sur un signal modélisé 103 pour obtenir des premiers signaux satisfaisants/non-satisfaisants 111-115 Le technicien remar- quera que le signal 103 peut être, par exemple, un troisième signal mesuré Le dispositif comprend en outre une logique de validation 116 pour affecter des valeurs pondérées 120, 121 à chaque signal mesuré 101, 102 et des drapeaux de sélection 117-119 à chaque signal mesuré 101, 102 et au signal modélisé 103 en conformité avec les premiers ( 111-115) et seconds ( 124,125) signaux satisfaisants/non-satisfaisants, o ces seconds signaux sont initialisés en signaux "satisfaisants" 124, 125 Le dispositif comprend en outre des filtres de validité 122, 123 pour faire la sommation des valeurs pondérées 120, 121 à des valeurs pondérées stockées anté- rieurement 120, 121 pour chaque signal mesuré 101, 102, o chaque filtre de validité 122, 123 est associé à un signal mesuré 101, 102 Les seconds signaux satisfaisants/non- satisfaisants 124, 125 sont produits par chaque filtre de validité 122, 123 en conformité avec la somme des valeurs pondérées 120, 121 dans chaque filtre de validité 122, 123, o des seconds signaux "non- satisfaisants" 124, 125 sont produits lorsque la somme des valeurs pondérées 120, 121 dans chaque filtre de validité 122, 123 atteint une valeur prédéterminée Le dispositif comprend en outre une logique de sélection 104 pour choisir un signal valable 105 en confor- mité avec les drapeaux de sélection 117-119. Dans le mode de réalisation ayant la préférence, on utilise trois signaux de capteurs Deux signaux de capteurs sont des signaux mesurés 101, 102, alors que le troisième signal est un signal modélisé 103 Les circuits d'essai 106, 107 peuvent exécuter des tests de gamme/taux sur les signaux mesurés 101, 102 Les circuits d'essai 106, 107 peuvent aussi comprendre un test d'activité pour déterminer si oui ou non les signaux mesurés 101, 102 ont été mis à jour Les circuits 6 - d'essai 108-110 peuvent exécuter des tests de comparaison pour comparer chaque signal mesuré 101-102 au signal modélisé 103 et pour comparer le signal mesuré 101 au signal mesuré 102 Les résultats des tests de gamme/taux et de comparaison S sont des signaux satisfaisants/non-satisfaisants 111-115 La logique de validation 116 affecte des valeurs pondérées 120, 121 à chaque signal mesuré 101, 102 en conformité avec les premiers ( 111-115) et seconds ( 124, 125) signaux satisfai- sants/non-satisfaisants, o les seconds signaux sont initia- lisés comme signaux "satisfaisants" La logique de validation 116 affecte aussi des drapeaux de sélection 117-119 à chaque signal mesuré 101, 102 et au signal modélisé 103 en conformité avec les premiers ( 111- 115) et seconds ( 124, 125) signaux satisfaisants/non-satisfaisants Les filtres de vali- dité 122, 123 font la sommation des valeurs pondérées 120, 121 et des valeurs pondérées stockées antérieurement 120, 121 pour chaque signal mesuré 101, 102 Les seconds signaux satisfaisants/non-satis- faisants 124, 125 pour chaque signal mesuré 101, 102 sont produits par chaque filtre de validité 122, 123 en conformité avec la somme pondérée 120, 121 dans chaque filtre de validité 122, 123 o les seconds signaux "non satisfaisants" 124, 125 sont produits lorsque la somme des valeurs pondérées 120, 121 dans chaque filtre de validité 122, 123 atteint une valeur prédéterminée La logique de sélection 104 choisit le signal valable 105 en conformité avec les drapeaux de sélection 117-119 Des circuits à retard de calcul 126, 127 sont représentés pour indiquer que les seconds signaux satisfaisants/non- satisfaisants 124, 125 en provenance de la sélection de signal valable antérieure sont entrés dans la logique de validation 116 Par conséquent, la logique 116 peut affecter des drapeaux de sélection 117- 119 à la sélection courante de signal valable. Comme on l'a décrit dans les paragraphes précédents, les seconds signaux satisfaisants/non-satisfaisants 124, 125 sont initialisés comme signaux "satisfaisants" ( 124, 125) et resteront à l'état "satisfaisant" jusqu'à ce que la somme des valeurs pondérées 120, 121 dans les filtres de validité respectifs 122, 123 atteigne une valeur prédéterminée Si l'un des seconds signaux satisfaisants/non-satisfaisants est intialisé en signal "non-satisfaisant", il restera à l'état non-satisfaisant jusqu'à ce que la somme des valeurs pondé- rées 120, 121 dans le filtre de validité correspondant soit décrémentée jusqu'à sa valeur initiale De cette manière, la présente invention permet une reinitialisation filtrée ou retardée d'une condition de défaillance après sa détection. La caractéristique de reinitialisation filtrée est le résultat des tests de signaux 106-110, de l'affectation des valeurs pondérées 120, 121, et de la sommation des valeurs pondérées dans les filtres de validité 122, 123 se poursui- vant même après la déclaration d'une condition non-satis- faisante par les seconds signaux satisfaisants/non-satisfai- sants 124, 125 Le nombre total des fois qu'un second signal satisfaisant/non-satisfaisant 124, 125 peut être rétabli pour passer d'un état "non-satisfaisant" à un état "satisfaisant" est limité par les filtres de validité 122, 123 en utilisant des compteurs qui sont incrémentés chaque fois qu'il y a rétablissement du second signal satisfaisant/non-satisfaisant 124, 125 Ainsi, un signal mesuré intermittent 101, 102 qui est non satisfaisant de manière répétée dans un laps de temps donné finit par produire l'enclenchement d'un second signal "non-satisfaisant" 124, 125. La présente invention comporte une limite supérieure et une limite inférieure pour la sommation des valeurs pondérées 120, 121 dans les filtres de validité 122, 123. Dans le mode de réalisation ayant le préférence, ces limites sont égales à la valeur prédéterminée à laquelle une défaillance est déclarée et à la valeur initialisée, respec- tivement Il apparaîtra au technicien qu'à ces limites supérieure et inférieure peuvent être affectées des valeurs différentes en fonction de l'application particulière du -8- dispositif de commande. La figure 2 représente un organigramme d'un mode de réalisation préféré du procédé de validation de signal filtré selon la présente invention Le procédé comprend l'étape 1 d'exécution d'une série de tests sur des signaux de capteurs afin d'obtenir des premiers signaux satis-faisants/non- satisfaisants et l'étape 2) d'affectation de valeurs pondé- rées à chaque signal de capteur en conformité avec les premiers et seconds signaux satisfaisants/non-satisfaisants, o les seconds signaux sont initialisés comme signaux "satisfaisants" Le procédé comprend en outre l'étape 3) de sommation de valeurs pondérées pour chaque signal de capteur à des valeurs pondérées affectées antérieurement et l'étape 4) de production de seconds signaux satisfaisants/non- satisfaisants selon la somme des valeurs pondérées pour chaque signal de capteur Le procédé comprend en outre l'étape 5) d'affectation de drapeaux de sélection pour chaque signal de capteur en conformité avec les premiers et seconds signaux satisfaisants/non-satisfaisants et l'étape 6) du choix d'un signal valable en conformité avec les drapeaux de sélection. Dans le second mode de réalisation ayant la préfé- rence, les seconds signaux "non-satisfaisants" sont produits lorsque la somme des valeurs pondérées pour le capteur correspondant atteint une limite supérieure Des seconds signaux "satisfaisants" sont produits lorsque la somme des valeurs pondérées pour le capteur correspondant atteint une limite inférieure Ces limites sont égales à la valeur prédéterminée à laquelle une défaillance est déclarée et à la valeur initialisée, respectivement Le nombre total de fois qu'un second signal satisfaisant/non-satisfaisant peut être rétabli pour passer d'un état "non-satisfaisant" à un état "satisfaisant" est limité et donc, un signal mesuré intermit- tent qui est non-satisfaisant de manière répétée dans un laps de temps donné finit par produire un second signal "non- satisfaisant" enclenché. La présente invention fournit ainsi un procédé et un dispositif pour choisir un signal valable au sein d'une multitude de signaux de capteurs redondants L'invention peut être facilement modifiée pour tenir compte des différents types de capteurs et des différentes quantités des signaux des capteurs Par exemple, pour un système redondant triplex, le signal modélisé peut être un troisième capteur Ainsi, des tests supplémentaires de signaux et un filtre supplémentaire de validité peuvent être ajoutés Pour les gros systèmes à redondance multiple, plusieurs tests supplémentaires de signaux peuvent être ajoutés au dispositif de commande. Cependant, pour chaque signal mesuré ajouté, un filtre de validité peut être inclus dans le dispositif de commande pour permettre l'extension. - REVENDICATIONS 1 Dispositif pour sélectionner un signal valable au sein d'une multitude de signaux de capteurs redondants, caractérisé en ce qu'il comprend: des moyens ( 106-110) pour produire une multitude de premiers signaux satisfaisants/non-satisfaisants ( 111-115) en exécutant des tests sur lesdits signaux des capteurs, un moyen ( 116) pour affecter une multitude de valeurs pondérées ( 120, 121) à chacun des signaux des capteurs en conformité avec les premiers signaux satisfaisants/non- satisfaisants; et, un moyen ( 122, 123) pour faire la sommation des valeurs pondérées ( 120, 121) pour chacun des signaux des capteurs et des valeurs stockées antérieurement desdites valeurs pondérées. 2 Dispositif selon la revendication 1, caractérisé en ce que: le moyen de sommation produit des seconds signaux satisfaisants/non-satisfaisants ( 124, 125) en conformité avec la somme des valeurs pondérées ( 120, 121) pour chacun des signaux des capteurs. 3 Dispositif selon la revendication 2, caractérisé en ce que: les seconds signaux non-satisfaisants sont produits lorsque la somme des valeurs pondérées pour chacun des signaux de capteurs atteint une limite supérieure; les seconds signaux satisfaisants sont produits lors- que la somme des valeurs pondérées pour chacun des signaux de capteurs atteint une limite inférieure. 4 Dispositif selon la revendication 3, caractérisé en ce qu'il comprend en outre: un moyen ( 116) pour affecter une multitude de drapeaux de sélection ( 117-119) à chacun des signaux de capteurs en conformité avec les premiers signaux satisfaisants/non- satisfaisants ( 111-115); et il - un moyen ( 104) pour choisir un signal valable ( 105) en conformité avec les drapeaux de sélection. Dispositif selon la revendication 4, caractérisé en ce que: le moyen de sommation ( 122, 123) comprend un moyen pour compter le nombre de fois que les seconds signaux satisfaisants/non-satisfaisants ( 124, 125) passent des se- conds signaux non-satisfaisants aux seconds signaux satis- faisants, les seconds signaux satisfaisants/non-satisfaisants étant enclenchés comme seconds signaux non-satisfaisants lorsque ce nombre de fois atteint une première valeur pré- déterminée. 6 Dispositif selon la revendication 5, caractérisé en ce que: les signaux de capteurs ( 101-103) comprennent une multitude de signaux mesurés ( 101, 102) et un signal modélisé ( 103); la multitude de valeurs pondérées ( 120, 121) comporte un signe et une amplitude; la limite supérieure est une seconde valeur pré- déterminée; la limite inférieure est une valeur initialisée; et les seconds signaux satisfaisants/non-satisfaisants ( 124, 125) sont initialisés en signaux satisfaisants. 7 Dispositif selon la revendication 3, caractérisé en ce que: le moyen ( 116) pour affecter une multitude de valeurs pondérées à chacun desdits signaux de capteurs en conformité avec les premiers signaux satisfaisants/non-satisfaisants ( 111-115) affecte ladite multitude de valeurs pondérées ( 120, 121) et une multitude de drapeaux de sélection ( 117-119) à chacun des signaux de capteurs en conformité avec les premiers et seconds signaux satisfaisants/non-satisfaisants. 8 Dispositif selon la revendication 7, caractérisé en ce qu'il comprend en outre: 12 - un moyen ( 104) pour sélectionner un signal valable ( 105) en conformité avec les drapeaux de sélection. 9 Dispositif selon la revendication 8, caractérisé en ce que: le moyen de sommation ( 122, 123) comporte un moyen pour compter le nombre de fois que les seconds signaux satisfaisants/non-satisfaisants passent des seconds signaux non-satisfaisants aux seconds signaux satisfaisants, ces seconds signaux satisfaisants/non-satisfaisants étant enclen- chés comme seconds signaux non-satisfaisants lorsque ce nombre de fois atteint une première valeur prédéterminée. Dispositif selon la revendication 9, caractérisé en ce que: les signaux de capteurs ( 101-103) comprennent une multitude de signaux mesurés ( 101, 102) et un signal modélisé ( 103); la multitude de valeurs pondérées ( 120, 121) comprend un signe et une amplitude; la limite supérieure est une seconde valeur prédéter- minée; la limite inférieure est une valeur initialisée; et les seconds signaux satisfaisants/non-satisfaisants sont initialisés en signaux satisfaisants. 11 Procédé pour sélectionner un signal valable au sein d'une multitude de signaux redondants, caractérisé en ce qu'il comprend les étapes consistant à: exécuter une série de tests sur une multitude de signaux de capteurs ( 101-103) afin d'obtenir une multitude de premiers signaux satisfaisants/non-satisfaisants ( 111-115); affecter une multitude de valeurs pondérées ( 120, 121) à chacun des signaux de capteurs en conformité avec les premiers signaux satisfaisants/non- satisfaisants; faire la sommation de la valeur pondérée pour chacun des signaux de capteurs et de valeurs antérieures desdites valeurs pondérées; et 13 - produire des seconds signaux satisfaisants/non-satis- faisants ( 124, 125) pour chaque signal de capteur en conformité avec la somme des valeurs pondérées. 12 Procédé selon la revendication 11, caractérisé en ce que: les seconds signaux non-satisfaisants sont produits lorsque la somme des valeurs pondérées atteint une limite supérieure; les seconds signaux satisfaisants sont produits lors- que la somme des valeurs pondérées atteint une limite inférieure. 13 Procédé selon la revendication 12, caractérisé en ce qu'il comprend en outre les étapes consistant à: compter le nombre de fois que les seconds signaux satisfaisants/non-satisfaisants passent des seconds signaux non-satisfaisants aux seconds signaux satisfaisants; enclencher les seconds signaux satisfaisants/non- satisfaisants comme second signal non-satisfaisant lorsque ce nombre de fois atteint une valeur première valeur prédéter- minée. 14 Procédé selon la revendication 13, caractérisé en ce qu'il comprend en outre les étapes consistant à: affecter une multitude de drapeaux de sélection ( 117- 119) à chacun des signaux de capteurs en conformité avec les premiers signaux satisfaisants/non-satisfaisants; choisir un signal valable ( 105) en conformité avec les drapeaux de sélection. Procédé selon la revendication 14, caractérisé en ce que: les signaux de capteurs ( 101-103)comprennent une multitude de signaux mesurés ( 101, 102) et un signal modélisé ( 103); la multitude de valeurs pondérées ( 120, 121) comprend un signe et une amplitude; la limite supérieure est une seconde valeur prédéter- 14 - minée; la limite supérieure est une valeur initialisée; les seconds signaux satisfaisants/non-satisfaisants sont initialisés comme signaux satisfaisants. 16 Procédé selon la revendication 13, caractérisé en ce que: la multitude de valeurs pondérées ( 120, 121) pour chacun des signaux de capteurs est affectée en conformité avec les premiers et seconds signaux satisfaisants/non- satisfaisants. 17 Procédé selon la revendication 16, caractérisé en ce qu'il comprend en outre les étapes consistant à: affecter une multitude de drapeaux de sélection ( 117- 119) à chacun des signaux de capteurs en conformité avec les premiers et seconds signaux satisfaisants/non-satisfaisants; choisir un signal valable ( 105) en conformité avec les drapeaux de sélection. 18 Procédé selon la revendication 17, caractérisé en ce que: les signaux de capteur ( 101-103) comprennent une multitude de signaux mesurés ( 101, 102) et un signal modélisé ( 103); la multitude de valeurs pondérées ( 120, 121) comprend un signe et une amplitude; la limite supérieure est une seconde valeur prédéter- minée; la limite inférieure est une valeur initialisée; les seconds signaux satisfaisants/non-satisfaisants sont initialisés en signaux satisfaisants.