FR 2998058 A1 20140516 FR 1260802 A 20121113 DISPOSITIF ET PROCEDE DE PROTECTION D'UN CALCULATEUR DE TURBO- MACHINE D'AERONEF CONTRE LES ERREURS DE MESURE DE VITESSE DESCRIPTION DOMAINE TECHNIQUE L'invention concerne un dispositif et un procédé de protection d'un calculateur de turbo-machine, par exemple un groupe auxiliaire de puissance (APU), à bord d'un aéronef, par exemple un hélicoptère, contre les erreurs de mesure de vitesse. ÉTAT DE LA TECHNIQUE ANTÉRIEURE Le domaine de l'invention est celui des turbo-machines d'aéronef, et plus particulièrement celui des calculateurs de turbo-machines d'aéronefs utilisés pour réguler le comportement de ces turbo-machines. De tels calculateurs peuvent réunir dans un même boîtier un canal de régulation et un canal de surveillance ou de protection contre les erreurs de mesure de vitesse, ce qui permet d'obtenir un coût plus économique et une masse plus faible qu'une solution dans laquelle ces canaux seraient installés dans deux boîtiers séparés. Le canal de régulation a pour fonction de réguler la vitesse de la turbo-machine. Mais une défaillance de ce canal de régulation peut entraîner une survitesse de l'arbre de turbine. En effet, lors d'une rupture de cet arbre, la puissance fournie par les gaz à la turbine n'est plus absorbée par les équipements entraînés par cet arbre et la vitesse de rotation de la turbine s'accroit de façon extrêmement rapide. Une telle survitesse aboutit très rapidement à une rupture des parties tournantes et/ou à leur séparation d'avec le disque de turbine. Ces parties tournantes sont alors projetées violemment vers l'extérieur du fait de la force centrifuge et peuvent traverser le carter entourant la turbine, provoquant des dégâts très importants dans le moteur, et pouvant même mettre en danger l'aéronef et ses passagers. Le canal de surveillance à pour objet de prévenir les conséquences d'une telle survitesse. Le canal de surveillance comporte un organe électronique associé à un organe hydromécanique. L'organe électronique mesure la vitesse de rotation du rotor. Si l'organe électronique détecte une erreur de mesure de vitesse, il commande alors l'organe hydromécanique, qui coupe totalement l'alimentation en carburant de la turbo-machine. De manière connue on mesure la vitesse de rotation de la turbine avec au moins deux capteurs indépendants, un pour le canal de régulation, l'autre pour le canal de surveillance. Les fréquences représentatives des vitesses de rotation de la boite d'engrenages et du générateur de gaz de la turbo-machine sont les variables primaires de régulation de la vitesse de rotation (régulation) et de la protection contre un départ en survitesse associé (surveillance). Une analyse de sécurité ayant mis en évidence un lien direct entre ces fréquences et la mise en situation d'une survitesse de la turbo-machine, l'invention a pour objet de proposer un dispositif et un procédé de protection du calculateur de turbo-machine contre les erreurs de mesure de vitesse permettant de s'assurer de l'exactitude des mesures de fréquence afin notamment d'éviter toute mesure de vitesse sous-évaluée. EXPOSÉ DE L'INVENTION L'invention concerne un dispositif de protection d'un calculateur de turbo-machine d'aéronef comprenant : - sur un canal de régulation de vitesse : - un capteur de vitesse de l'arbre de la boite d'engrenages de la turbo-machine, - un circuit de mesure de cette vitesse, - un circuit de régulation de vitesse, - sur un canal de surveillance : - un capteur de vitesse de l'arbre du générateur de gaz de la turbo-machine, - un circuit de mesure de cette vitesse, - un circuit de commande de l'arrêt de la turbomachine, caractérisé en ce qu'il comprend sur chaque canal un circuit de surveillance de vitesse qui effectue une comparaison à un seuil minimum et délivre éventuellement un signal d'erreur, et un circuit commun de vérification croisée des vitesses qui permet de détecter un écart anormal entre ces deux vitesses. Avantageusement le dispositif de l'invention comprend, sur chaque canal, un circuit de détection de rupture de câblage. Avantageusement, la turbo-machine peut être un groupe auxiliaire de puissance (APU). L'invention peut concerner un aéronef, par exemple un hélicoptère, mettant en oeuvre un tel dispositif. L'invention concerne également un procédé de protection d'un calculateur de turbo-machine d'aéronef comprenant un générateur de gaz, un compresseur d'air, un boite d'engrenages et une unité de génération électrique, ce calculateur comprenant un canal de régulation de vitesse et un canal de surveillance, le canal de régulation de vitesse utilisant la fréquence d'un capteur de vitesse de l'arbre de la boite d'engrenages, le canal de surveillance utilisant la fréquence d'un capteur de vitesse de l'arbre du générateur de gaz, caractérisé en ce qu'il comprend les étapes suivantes : - mesure d'un signal de fréquence sur chaque canal, - contrôle de la cohérence de chaque signal de fréquence, par comparaison à un seuil minimum, - comparaison de ces signaux de fréquence entre eux pour détecter l'écart entre les fréquences, - arrêt de la turbo-machine en cas d'écart supérieur à une valeur déterminée. Avantageusement la turbo-machine est stoppée en cas d'absence de signal de fréquence, sur au moins un canal, durant un temps déterminé après la commande de démarrage de la turbo-machine. Avantageusement la turbo-machine est stoppée en cas de perte de signal de fréquence en fonctionnement. Avantageusement lorsque la fréquence minimum Fmin est atteinte et que les signaux semblent cohérents, les contrôles complémentaires suivants interviennent : - Du côté canal de régulation, la turbo-machine est stoppée en cas de détection d'une variation invraisemblable de la vitesse, la perte confirmée d'une ou plusieurs périodes menant à cette détection, le canal de régulation constatant cette anomalie et stoppant la turbo-machine. - Du côté canal de surveillance, la turbo-machine est stoppée en cas de détection de perte de dent sur le signal vitesse du canal de surveillance, le canal de surveillance constatant cette anomalie et stoppant la turbo-machine. Avantageusement dans le cas où la fréquence minimum Fmin n'est pas atteinte, les contrôles complémentaires suivants interviennent : - Du côté canal de régulation, la turbo-machine est stoppée en cas de détection du fait que la vitesse du canal de régulation n'a pas dépassé la sous-vitesse dans le délai imparti, le canal de régulation constatant cette anomalie et stoppant la turbo-machine. BRÈVE DESCRIPTION DES DESSINS La figure 1 illustre le dispositif de protection d'un calculateur de turbo-machine d'aéronef contre les erreurs de mesure de vitesse, selon l'invention. La figure 2 illustre un exemple de réalisation d'un circuit de mesure de vitesse du dispositif de l'invention. EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS Le dispositif de protection d'un calculateur de turbo-machine d'aéronef contre les erreurs de mesure de vitesse selon l'invention, comme illustré sur la figure 1, comprend un canal de régulation de vitesse 10 et un canal de surveillance des erreurs de mesure de vitesse 11. Le canal de régulation 10 mesure, en entrée El, la vitesse de rotation de l'arbre de la boite d'engrenages à l'aide d'un capteur de vitesse, par exemple un capteur magnétique 21 disposé au regard des dents d'une roue phonique 20 installée sur cet arbre. Le canal de surveillance 11 mesure, en entrée E2, la vitesse de rotation de l'arbre du générateur de gaz de la turbo-machine à l'aide d'un capteur de vitesse, par exemple un capteur magnétique 31 disposé au regard des dents d'une roue phonique 30 installée sur cet arbre. Ces deux canaux générant des fréquences différentes, on effectue un contrôle de cohérence 36 des deux fréquences ainsi générées à l'intérieur du canal de surveillance 11. La figure 1 illustre les différents circuits du dispositif de l'invention disposés respectivement dans la turbo-machine 12, dans le capteur 13, dans le câblage 14 et dans l'unité de commande électronique (ECU) 15, pour les deux canaux 10 et 11. Dans le canal de régulation 10, le dispositif de l'invention comprend : - une roue phonique 20, - un capteur de vitesse 21 de l'arbre de la boite d'engrenages de la turbo-machine qui délivre un signal de fréquence pseudo-sinusoïdal pouvant atteindre au maximum 35 volts crête-crête, - un circuit 22 de câblage qui véhicule ce signal pseudo- sinusoïdal, - un circuit 23, détaillé en figure 2, de mise en forme de ce signal pseudo-sinusoïdal, qui délivre un signal de fréquence carré variant entre les deux niveaux 0 et 5 volts, et détecte une éventuelle rupture du câblage, - un circuit de mesure de vitesse 24 qui délivre une mesure de vitesse en tours/minute, - un circuit de surveillance de vitesse 25 qui effectue une comparaison à un seuil minimum, vérifie le dépassement de la sous-vitesse dans un délai imparti, surveille une variation invraisemblable de la vitesse, et qui délivre éventuellement un signal Si de détection de problème de vitesse, - un circuit de régulation de vitesse 26. Dans le canal de surveillance 11, le dispositif de l'invention comprend : - une roue phonique 30, - un capteur de vitesse 31 de l'arbre du générateur de gaz de la turbo-machine, qui délivre un signal de fréquence pseudo-sinusoïdal pouvant atteindre au maximum 35 volts crête-crête, - un circuit de câblage 32 qui véhicule ce signal pseudosinusoïdal, - un circuit 33 de mise en forme de ce signal pseudo-sinusoïdal, qui délivre un signal de fréquence carré variant entre les deux niveaux 0 et 5 volts, et détecte une éventuelle rupture du câblage, - un circuit de mesure de vitesse 34 qui délivre une mesure de vitesse en tours/minute, - un circuit de surveillance de vitesse 35 qui effectue une comparaison à un seuil minimum et qui délivre éventuellement un signal S2 de détection de problème de vitesse, - un circuit 36 de vérification croisée des vitesses obtenues par les circuits 24 et 34, qui permet de détecter un écart anormal entre ces deux vitesses et qui délivre un signal S3 de détection de vérification croisée des vitesses issues des deux canaux 10 et 11, - un circuit 37 de commande éventuelle de l'arrêt de la turbomachine en cas de détection de survitesse, ou en cas de détection de perte de dent sur le signal vitesse. Le fonctionnement du dispositif de l'invention est le suivant : Si les deux capteurs de vitesse 21 et 31 ne fournissent pas de signal : - du côté du canal de régulation 10, la turbo-machine est stoppée par le circuit 25 en cas de détection d'absence de signal de fréquence durant un temps déterminé, par exemple 3 secondes, après la commande de démarrage de la turbo-machine ou d'une perte du signal de fréquence en fonctionnement. Si le canal de régulation 10 constate une de ces anomalies, il stoppe la turbo-machine. - du côté du canal de surveillance 11, la turbo-machine est stoppée par le Circuit 35, en cas de détection d'absence de signal de fréquence durant un temps déterminé, par exemple 3 secondes, après la commande de démarrage de la turbo-machine ou d'une perte du signal de fréquence en fonctionnement. Si le canal de surveillance 11 constate une de ces anomalies, il stoppe la turbo-machine. En fonctionnement et passé un seuil minimum de fréquence (Fmin) sur l'un ou l'autre des capteurs de vitesse 21 et 31, comme vérifié dans les circuits 25 et 35, les fréquences mesurées sont comparées dans le circuit 36 afin de détecter le dépassement d'un écart anormal dimensionné comme suit : - l'écart surveillé est supérieur à un écart maximum mécaniquement constaté, - l'écart surveillé est inférieur à un écart correspondant à la perte d'une période de fréquence sur l'un ou l'autre des capteurs 21 et 31. Cet écart anormal garantit qu'une des mesures est incohérente. Le dispositif de l'invention met alors la turbo-machine en sécurité en coupant l'alimentation en carburant via un moyen de coupure spécifique du canal de surveillance 11. Si le capteur de vitesse 21 du canal de régulation 10 ne donne pas de fréquence ou donne une fréquence sous évaluée (perte de périodes sur le signal) le canal de surveillance 11 fonctionne normalement. Lorsque le capteur 31 atteint la fréquence minimum Fmin, le canal de surveillance 11 constate un écart anormal et stoppe la turbo-machine. Si le capteur de vitesse 31 du canal de surveillance 11 ne donne pas de fréquence ou donne une fréquence sous-évaluée (perte de périodes sur le signal) le canal de régulation 10 fonctionne normalement. Lorsque le capteur 21 atteint la fréquence minimum Fmin, le canal de surveillance 11 constate un écart anormal et stoppe la turbo-machine. Si les deux capteurs de vitesse 21 et 31 donnent une fréquence sous-évaluée (perte de périodes sur les signaux de fréquence) on a les trois cas suivants : - Cas 1: La fréquence Fmin est atteinte et les signaux sont perçus comme incohérents. Le canal de surveillance 11 constate un écart et stoppe la turbo-machine. - Cas 2: La fréquence Fmin est atteinte et les signaux semblent cohérents (sur certaines combinaisons de perte d'impulsions). Dans ce cas les contrôles complémentaires suivants interviennent : - Du côté canal de régulation 10, la turbo-machine est stoppée en cas de détection d'une variation invraisemblable de la vitesse (basée sur les accélérations/décélération maximum). La perte confirmée d'une ou plusieurs périodes mène à cette détection (cela couvre toute configuration de perte d'impulsions durant le fonctionnement). Le canal de régulation 10 constate cette anomalie et stoppe la turbo-machine. - Du côté canal de surveillance 11, la turbo-machine est stoppée en cas de détection de perte de dent sur le signal vitesse du canal de surveillance 11 (on surveille une anomalie sur la périodicité du signal fréquentiel et on détecte une période anormalement longue). Le canal de surveillance 11 constate cette anomalie et stoppe la turbo-machine. - Cas 3 : La fréquence Fmin n'est pas atteinte, dans ce cas les contrôles complémentaires suivants interviennent : - Du côté canal de régulation 10 la turbo-machine est stoppée en cas de détection du fait que la vitesse du canal de régulation 10 n'a pas dépassé la sous-vitesse dans le délai imparti (avec une fréquence > Fmin). Le canal de régulation 10 constate cette anomalie et stoppe la turbo-machine. Il faut remarquer qu'en utilisant seulement deux capteurs de vitesse 21 et 31 de technologie identique, mais indépendants, on garantit un niveau d'intégrité de la mesure de vitesse compatible des exigences applicables aux fonctions dont les erreurs peuvent avoir des effets catastrophiques. La figure 2 illustre un exemple de réalisation du circuit de mesure de signal 23. Ce circuit comprend un amplificateur opérationnel à hystérésis (300 mV centré sur 2,5 volts) recevant le signal d'entrée ayant traversé un filtre passe-bas 40 dont l'entrée est reliée à un pont de résistances suivi de deux capacités Cl et C2 dont le point milieu est relié à deux diodes D1 et D2 reliées à la masse, et dont la sortie est reliée à une porte 45 pour délivrer un signal carré (0 - 5 volts) par écrêtage du signal pseudo-sinusoïdal d'entrée. Un second filtre passe-bas 42 délivre une sortie DC (Test ohmique, détectant une éventuelle rupture du câblage). Un troisième filtre passe-bas 43 suivi d'un condensateur C3 et d'un quatrième filtre passe-bas 44 délivre une sortie DC (Niveau signal AC), une diode D3 reliant l'entrée du quatrième filtre passe-bas à la masse. Dans un exemple de réalisation certains circuits peuvent être réalisés en logiciel, tels les circuits 24 et 25. Certains circuits peuvent être réalisés sous la forme de circuits dédiés (FPGA), tels les circuits 33, 34 et 37. REVENDICATIONS1. Dispositif de protection d'un calculateur de turbo-machine d'aéronef contre les erreurs de mesure de vitesse comprenant : - sur un canal de régulation de vitesse (10) : - un capteur de vitesse de l'arbre de la boite d'engrenage de la turbo-machine (21), - un circuit de mesure du signal de vitesse (23), - un circuit de régulation de vitesse (26), 10 - sur un canal de surveillance (11) : - un capteur de vitesse de l'arbre du générateur de gaz de la turbo-machine (31), - un circuit de mesure de signal de vitesse, - un circuit de commande de l'arrêt de la turbo- 15 machine (37), caractérisé en ce qu'il comprend sur chaque canal un circuit de surveillance de vitesse (25, 35) qui effectue une comparaison de la vitesse à un seuil minimum et qui délivre éventuellement un signal d'erreur, et un circuit commun (36) de détection d'un écart anormal entre les deux vitesses. 20 2. Dispositif selon la revendication 1, qui comprend sur chaque canal un circuit de détection de rupture de câblage (23, 33). 3. Dispositif selon la revendication 1, dans lequel la turbo- 2 5 machine est un groupe auxiliaire de puissance. 4, Aéronef comprenant un dispositif selon l'une quelconque des revendications précédentes.5. Procédé de protection d'un calculateur de turbo-machine d'aéronef contre les erreurs de mesure de vitesse comprenant un générateur de gaz, un compresseur d'air, une boite d'engrenages et une unité de génération électrique, ce calculateur comprenant un canal de régulation de vitesse et un canal de surveillance, le canal de régulation utilisant la fréquence d'un capteur de vitesse de l'arbre de la boite d'engrenages, le canal de surveillance utilisant la fréquence d'un capteur de vitesse de l'arbre du générateur de gaz, caractérisé en ce qu'il comprend les étapes suivantes : - mesure d'un signal de fréquence sur chaque canal, - contrôle de la cohérence de chaque signal de fréquence par comparaison à un seuil minimum de fréquence - comparaison de ces signaux de fréquence entre eux pour détecter l'écart entre les fréquences, - arrêt de la turbo-machine en cas d'un écart entre les fréquences supérieur à une valeur déterminée. 6. Procédé selon la revendication 5, dans lequel la turbomachine est stoppée en cas d'absence de signal de fréquence, sur au moins un canal, durant un temps déterminé après la commande de démarrage de la turbo- machine. 7. Procédé selon la revendication 5, dans lequel la turbomachine est stoppée en cas de perte de signal de fréquence en fonctionnement. 8. Procédé selon la revendication 5, dans lequel lorsque le seuil minimum de fréquence Fmin est atteint et que les signaux de fréquence ont été contrôlés cohérents, les contrôles complémentaires suivants interviennent : - du côté canal de régulation (10), la turbo-machine est stoppée en cas de détection d'une variation anormale de la vitesse, la perteconfirmée d'une ou plusieurs périodes menant à cette détection, le canai de régulation (10) constatant cette anomalie et stoppant la turbo-machine, - du côté canal de surveillance (11), la turbo-machine est stoppée en cas de détection d'une période anormalement longue sur le signal vitesse du canal de surveillance (11), le canal de surveillance (11) constatant cette anomalie et stoppant la turbo-machine. 9. Procédé selon la revendication 5 dans lequel, dans le cas où le seuil minimum de fréquence Fmin n'est pas atteint, les contrôles complémentaires suivants interviennent : - du côté canal de régulation (10) la turbo-machine est stoppée en cas de détection du fait que la vitesse du canal de régulation (10) n'a pas dépassé une sous-vitesse, avec une fréquence supérieure à la fréquence minimum Fmin, dans le délai imparti, le canal de régulation (10) constatant cette 1 5 anomalie et stoppant la turbo-machine.