FR 2721107 A1 19951215 FR 9506163 A 19950519 DISPOSITIF DE JAUGEAGE DE CARBURANT La présente invention concerne un dispositif de jaugeage de carbu- rant pour au moins deux réservoirs de carburant qui sont chacun pourvus d'une sonde de jaugeage, le dispositif comportant un premier et un deuxième processeur qui sont agencés pour recevoir des signaux dérivés de la sonde du réservoir correspondant et produire des signaux de sortie représentant la quantité de carburant dans le réservoir correspondant. L'invention concerne plus particulièrement, mais pas exclusivement, des dispositifs de jaugeage de carburant dans les aéronefs. Un jaugeage précis du carburant dans un aéronef tel qu'un avion joue un rôle important dans l'économie d'exploitation de l'avion. Si l'on peut mesurer la quantité de carburant à bord d'un avion d'une manière précise et fiable, cela permet d'emporter sans aucun danger la quantité minimale de carburant. Dans un avion moderne, le poids du carburant peut se monter à la moitié du poids total de l'avion. En réduisant la quantité de carburant emportée, on peut transporter plus de passagers ou de fret. Inversement, cela peut permettre d'augmenter le rayon d'action de l'avion et de réduire les arrêts pour le ravitaillement. Les dispositifs modernes de jaugeage de carburant peuvent être très précis lorsqu'ils fonctionnent correctement, mais il y a toujours le risque d'une panne d'un élément du dispositif, notamment d'une sonde ou d'un processeur, conduisant à une perte ou réduction de précision du jaugeage de carburant dans l'un des réservoirs. Il est possible d'assurer une redondance dans le dispo- sitif, en doublant des éléments du dispositif de façon qu'une panne d'un élément n'affecte pas la précision du dispositif. Cependant, ce doublement est susceptible d'augmenter le coût, le poids et la consommation d'énergie. La présente invention a pour but de créer un dispositif de jaugeage de carburant permettant d'éviter les inconvénients précités. Dans ce but, il est prévu un dispositif de jaugeage de carburant du genre indiqué plus haut, caractérisé en ce qu'il comporte un troisième et un quatrième processeur qui sont agencés pour recevoir tous deux les signaux de sortie du premier et du deuxième proces- seur et produire des signaux de sortie nominalement identiques représentant la quantité de carburant dans les deux réservoirs, en ce que le troisième et le quatrième processeur sont aussi agencés pour recevoir les signaux dérivés des sondes sans traitement par le premier ou le deuxième processeur et en ce que, en cas de panne du premier processeur, le troisième processeur est configuré pour fonc- tionner de la même manière que le premier et délivrer au quatrième processeur un signal de sortie représentant la quantité de carburant dans le premier réservoir et, en cas de panne du deuxième proces- seur, le quatrième processeur est configuré pour fonctionner de la même manière que le deuxième et délivrer au troisième processeur un signal de sortie représentant la quantité de carburant dans le second réservoir. Le premier ou le deuxième processeur peut être configuré pour fonc- tionner de la même manière que le troisième ou le quatrième proces- seur si le troisième et le quatrième processeur sont tous deux en panne. De préférence, le premier, le deuxième, le troisième et le quatrième processeur sont de construction identique et sont confi- gurés pour fonctionner de différentes manières par programmation avec différents logiciels. Le dispositif peut comporter deux circuits de concentration de données pour chaque réservoir, lesquels conver- tissent les signaux issus des sondes en une forme numérique, le premier et le troisième processeur étant agencés pour recevoir des signaux respectivement de l'un et de l'autre des circuits de concen- tration de données associés à l'un des réservoirs, et le deuxième et le quatrième processeur étant agencés pour recevoir des signaux respectivement de l'un et de l'autre des circuits de concentration de données associés à l'autre réservoir. Le dispositif peut comporter un troisième réservoir de carburant, et un cinquième processeur agencé pour recevoir un signal dérivé d'une sonde de jaugeage du troisième réservoir et produire un signal de sortie représentant la quantité de carburant dans le troisième réservoir, le cinquième processeur étant agencé pour délivrer un signal de sortie au troisième et au cinquième processeur. De préférence, la sonde de jaugeage du troisième réservoir est aussi agencée pour délivrer un signal au troisième ou au quatrième proces- seur sans traitement par le cinquième processeur. Le cinquième processeur est de préférence de construction identique aux premier, deuxième, troisième et quatrième processeurs. Le dispositif peut comporter deux circuits de concentration de données qui sont connectés à la sonde du troisième réservoir pour convertir les signaux issus de cette sonde en une forme numérique, le cinquième processeur étant agencé pour recevoir le signal de sortie de l'un des circuits de concentration de données associés au troisième réservoir, et l'autre desdits circuits étant agencé pour délivrer son signal de sortie au troisième ou au quatrième processeur. On décrira maintenant, à titre d'exemple, un dispositif de jaugeage de carburant dans un avion, en référence aux dessins annexés, dans lesquels: la figure 1 est un schéma-bloc d'un dispositif de jaugeage pour deux réservoirs de carburant, et la figure 2 est un schéma-bloc d'un dispositif de jaugeage pour trois réservoirs de carburant. Dans la figure 1, il est représenté un dispositif de jaugeage de carburant 100 pour mesurer la quantité de carburant dans le réser- voir gauche 1 et le réservoir droit 2 d'un avion. Le réservoir gauche 1 comporte au moins deux sondes de niveau de carburant 10 et 11, bien qu'il soit généralement prévu plus de deux sondes pour permettre de déterminer l'orientation de la surface du carburant dans différentes positions de l'avion en vol. Les sondes 10 et 11 sont des sondes de niveau de liquide à ultrasons, telles que celles décrites dans les publications GB-A-2 265 219 et 2 265 005, bien qu'on puisse faire usage de n'importe quel type de sonde classique, tel qu'une sonde capacitive. Le réservoir comporte aussi un capteur de température 12, un densitomètre 13 et un détecteur d'eau 14 de construction classique. Des sondes identiques 20 et 21 et des capteurs identiques 22 à 24 sont prévus dans le réservoir droit 2, qui a la même forme que le réservoir gauche 1. Les sorties des sondes 10 et 11 et les capteurs 12 à 14 sont con- nectés à un concentrateur de données 31 comportant deux circuits identiques parallèles 32 et 33 qui reçoivent tous deux les signaux provenant du réservoir. Les circuits 32 et 33 convertissent ces signaux en signaux numériques et délivrent des signaux nominalement identiques sur des lignes de données respectives 34 et 35. De même, les signaux provenant du réservoir droit 2 sont convertis en signaux numériques dans un concentrateur de données 41, identique au concentrateur de données de gauche 31, et sont délivrés sur des lignes 44 et 45. Comme la quantité de carburant dans le réservoir gauche 1 ne sera généralement pas la même que celle du réservoir droit 2, les signaux présents sur les lignes 34 et 35 seront différents de ceux des lignes 44 et 45. La voie de gauche comporte un premier processeur ou circuit de réservoir 36 dont l'entrée est connectée à la ligne de données 34. Le circuit de réservoir 36 calcule la quantité de carburant dans le réservoir gauche 1 en termes de masse ou de volume. De même, la voie de droite comporte un second processeur ou circuit de réservoir 46 dont l'entrée est connectée à la ligne de données 44. Le circuit de réservoir 46 calcule la quantité de carburant dans le réservoir droit 2. Ces signaux indiquant les quantités de carburant dans le réservoir droit et le réservoir gauche sont délivrés sur des lignes 37 et 47 allant respectivement à un troisième et un quatrième processeur ou circuit d'entrée/sortie 38 et 43. Le circuit d'entrée/sortie 38 de la voie gauche reçoit aussi par la ligne 47 des signaux provenant du circuit de réservoir 46 de la voie droite, de sorte qu'il peut calculer la masse totale de carburant dans les deux réservoirs 1 et 2. Le circuit d'entrée/sortie 43 de la vole droite reçoit aussi par la ligne 37 des signaux provenant du circuit de réservoir gauche 36 et calcule la masse totale de carburant. Les lignes de données 35 et 45 sont connectées aux entrées des circuits d'entrée/sortie 38 et 48 mais, en fonctionnement normal, les circuits ne répondent pas aux signaux présents sur ces lignes. Les signaux de sortie des circuits 38 et 48 sont délivrés sur des lignes 39 et 49 à des cartes respectives 60 et 61 du type "bus de données ARINC", qui communiquent les infor- mations de jaugeage de carburant aux instruments et commandes de l'avion. Les deux circuits de réservoir 36 et 46 et les deux circuits d'entrée/sortie 38 et 48 sont tous constitués par des processeurs de construction matérielle identique, mais sont configurés pour opérer différemment sur la base des différentes parties du logiciel installé dans les processeurs, de sorte qu'ils fonctionnent chacun soit comme circuit de réservoir, soit comme circuit d'entrée/sortie. En fonction- nement normal, le signal représentatif de la quantité de carburant dans le réservoir gauche 1 est converti en forme numérique dans le circuit concentrateur de données 32 et délivré au circuit de réservoir 36. Celuici calcule la quantité de carburant dans le réservoir 1 et délivre cette information aux deux circuits d'entrée/sortie 38 et 48. Les deux circuits 38 et 48 reçoivent des informations relatives aux quantités dans les deux réservoirs et calculent deux indications nominalement identiques de la quantité totale de carburant, lesquelles sont délivrées sur le bus de données de l'avion. Le dispositif est agencé de façon qu'une panne de l'un quelconque des éléments du dispositif n'empêche pas le jaugeage ou ne dégrade pas les performances et la précision du dispositif. En outre, aucune panne de deux éléments du dispositif ne causera une perte totale du jaugeage, bien qu'elle puisse causer une perte du jaugeage dans un réservoir ou une réduction de précision. Par exemple, si le circuit 32 du concentrateur de données 31 tombe en panne, le circuit de réservoir 36 va détecter ce fait et signaler la panne au circuit d'entrée sortie 38. En conséquence, le circuit d'entrée/sortie 38 va exécuter un logiciel différent, de façon à se configurer pour remplir la fonction du circuit de réservoir 36. Le circuit 38 traite alors les informations délivrées sur la ligne 35 par le circuit 33 du concentrateur de données, pour en tirer une indication de la quantité de carburant dans le réservoir gauche 1. Le circuit 38 délivre un signal de sortie sur une ligne 62 allant à une entrée du circuit d'entrée/sortie 48 et représentant la quantité de carburant dans le réservoir gauche 1 et, sur cette base, le circuit d'entrée/sortie 48 calcule la quantité totale de carburant et la délivre comme signal de sortie unique du dispositif. De même, si le circuit de réservoir 36 tombe en panne, le circuit d'entrée/sortie 38 va détecter cette panne et se configurer à nouveau pour fonctionner comme circuit de réservoir et délivrer un signal de sortie au circuit d'entrée/sortie 48 de la voie droite par une ligne 137. Le signal de sortie du circuit d'entrée/sortie 38 est alors dérivé du signal de sortie du circuit 33 du concentrateur de données 31. Des pannes analogues dans la voie droite obligeraient le circuit d'entrée/sortie de droite 48 à se configurer comme circuit de réservoir. En conséquence, il n'est pas nécessaire de doubler le circuit de réservoir 36 ou 46 de 1' une ou l'autre voie dans la présente invention. Une panne du circuit d'entrée/sortie 38 de la voie gauche permettrait encore au circuit 48 de la voie droite de recevoir le signal de sortie du circuit de réservoir 36 de la voie gauche. Si deux éléments tombent en panne dans la même voie, par exemple les deux circuits 32 et 33 du concentrateur de données 31, cela conduit à une perte complète d'informations relatives au réservoir gauche 1, mais cela n'affecte pas le fonctionnement de la voie droite et le dispositif est encore capable de fournir une indication de la quantité de carburant dans le réservoir droit 2. Le dispositif peut aussi fournir une indication de quantité de carburant si les deux circuits d'entrée/sortie 38 et 48 tombent en panne. Si cela arrive, l'un des circuits de réservoir 36 ou 46 se reconfigure comme circuit d'entrée/sortie. Si par exemple le circuit de réservoir droit 46 se reconfigurait comme circuit d'entrée/sortie, il ne traiterait plus les données présentes sur la ligne 44, mais traiterait à la place le signal de sortie du circuit de réservoir gauche 36 et fournirait sur la ligne 47 un signal représentatif de la quantité de carburant dans le réser- voir gauche 1 sous une forme propre à être délivrée à la carte ARINC 61. Dans ces circonstances, les signaux présents sur la ligne 47 court- circuiteraient le circuit 48 ou le traverseraient sans être affectés par lui. La figure 2 représente un dispositif utilisable avec trois réservoirs 1 à 3, le troisième réservoir ayant une position centrale dans l'avion. Les signaux de sortie des sondes et capteurs du troisième réservoir 3 sont délivrés à un concentrateur central de données 51 ayant deux circuits identiques parallèles 52 et 53. Le signal de sortie du circuit 52 est transmis par une ligne 54 à un circuit de réservoir 56 iden- tique au circuit de réservoirs gauche et droite 36 et 46. Le signal de sortie de l'autre circuit 53 est transmis par une ligne 55 directement au circuit d'entrée/sortie gauche 38, bien qu'il puisse être transmis au circuit d'entrée/sortie droit 48. La sortie du circuit de réservoir central 56 est connectée par une ligne 57 aux deux circuits d'entrée/sortie gauche et droit 38 et 48. En fonctionnement normal, le circuit de réservoir central 56 produit un signal de sortie représentatif de la quantité de carburant dans le réservoir central 3 et ce signal est additionné dans les deux circuits d'entrée/sortie 38 et 48, dont les sorties représentent la quantité to- tale de carburant dans les trois réservoirs et les quantités indivi- duelles dans chacun des trois réservoirs. Là aussi, une panne de l'un quelconque des éléments de la voie centrale n'a pas d'effet sur les performances et la précision du système. Par exemple, si le circuit de réservoir central 56 tombe en panne, le circuit d'entrée/sortie gauche 38 se reconfigure pour assumer la fonction du circuit 56. La présente invention permet d'assurer un degré élevé de fiabilité, sans avoir besoin d'une grande capacité de traitement. L'invention n'est pas limitée aux exemples de réalisation décrits ci-dessus, mais s' étend à toute modification ou variante évidente pour un homme du métier. REVENDICATIONS 1. Dispositif de jaugeage de carburant pour au moins deux réservoirs de carburant(1, 2) qui sont chacun pourvus d'une sonde de jaugeage (10, 11, 20, 21), le dispositif comportant un premier et un deuxième processeur (36, 46) qui sont agencés pour recevoir des signaux dérivés de la sonde du réservoir correspondant et produire des signaux de sortie représentant la quantité de carburant dans le réservoir correspondant, caractérisé en ce qu'il comporte un troisième et un quatrième processeur (38 et 48) qui sont agencés pour recevoir tous deux les signaux de sortie du premier et du deuxième processeur (36 et 46) et produire des signaux de sortie nominalement identiques représentant la quantité de carburant dans les deux réservoirs (1 et 2), en ce que le troisième et le quatrième processeur (38 et 48) sont aussi agencés pour recevoir les signaux dérivés des sondes sans traitement par le premier ou le deuxième processeur (36 ou 46) et en ce que, en cas de panne du premier processeur (36), le troisième processeur (38) est configuré pour fonctionner de la même manière que le premier (36) et délivrer au quatrième processeur (48) un signal de sortie représentant la quantité de carburant dans le premier réservoir (1) et, en cas de panne du deuxième processeur (46), le quatrième processeur (48) est configuré pour fonctionner de la même manière que le deuxième (46) et délivrer au troisième processeur (38) un signal de sortie représentant la quantité de carburant dans le second réservoir (2). 2. Dispositif selon la revendication 1, caractérisé en ce que le premier ou le deuxième processeur (36 ou 46) est configuré pour fonctionner de la même manière que le troisième ou le quatrième processeur (38 ou 48) si le troisième et le quatrième processeur sont tous deux en panne. 3. Dispositif selon la revendication 1 ou 2, caractérisé en ce que le premier, le deuxième, le troisième et le quatrième processeur (36, 46, 38 et 48) sont de construction identique et sont configurés pour fonctionner de différentes manières par programmation avec différents logiciels. 4. Dispositif selon l'une des revendications précédentes, caractérisé en ce qu'il comporte deux circuits de concentration de données (32 et 33, 42 et 43) pour chaque réservoir (1 et 2), lesquels convertissent les signaux issus des Sondes (10, 11) en une forme numérique, en ce que le premier et le troisième processeur (36 et 38) sont agencés pour recevoir des signaux respectivement de l'un et de l'autre des circuits de concentration de données (32 et 33) associés à l'un (1) des réservoirs, et en ce que le deuxième et le quatrième processeur (46 et 48) sont agencés pour recevoir des signaux respectivement de l'un et de l'autre des circuits de concentration de données (42 et 43) associés à l'autre réservoir (2). 5. Dispositif selon l'une des revendications précédentes, comportant un troisième réservoir de carburant, caractérisé en ce que le dispo- sitif comporte un cinquième processeur (56) agencé pour recevoir un signal dérivé d'une sonde de jaugeage du troisième réservoir (3) et produire un signal de sortie représentant la quantité de carburant dans le troisième réservoir, et en ce que le cinquième processeur (56) est agencé pour délivrer un signal de sortie au troisième et au cinquième processeur (38 et 48). 6. Dispositif selon la revendication 5, caractérisé en ce que la sonde de jaugeage du troisième réservoir (3) est aussi agencée pour déli- vrer un signal au troisième ou au quatrième processeur (38 ou 48) sans traitement par le cinquième processeur (56). 7. Dispositif selon la revendication 5 ou 6, caractérisé en ce que le cinquième processeur (56) est de construction identique aux premier, deuxième, troisième et quatrième processeurs (36, 46, 38 et 48). 8. Dispositif selon l'une des revendications 5 à 7, caractérisé en ce qu'il comporte deux circuits de concentration de données (52 et 53) qui sont connectés à la sonde du troisième réservoir pour convertir les signaux issus de cette sonde en une forme numérique, en ce que le cinquième processeur (56) est agençé pour recevoir le signal de sortie de l'un (52) des circuits de concentration de données associés au troisième réservoir (3) et en ce que l'autre (51) desdits circuits est agencé pour délivrer son signal de sortie au troisième ou au quatrième processeur (38 ou 48).