FR 3009096 A1 20150130 FR 1357356 A 20130725 SURVEILLANCE D'ACTIONNEUR DANS UN SYSTEME DE COMMANDE DE VOL DESCRIPTION DOMAINE TECHNIQUE La présente invention concerne les systèmes de commande de vol (en anglais : Flight Control System) présents dans les aéronefs. Un système de commande de vol fait le lien entre les organes de pilotage (manche, palonnier, etc.) et les gouvernes aérodynamiques de l'aéronef (ailerons, direction, gouvernes de profondeur etc.). Les avions de ligne modernes, et plus généralement les aéronefs modernes, possèdent des systèmes de commande de vol de type électrique dans lesquels les actions mécaniques sur les organes de pilotage sont converties en des ordres sous la forme de signaux qui sont transmis à des actionneurs manoeuvrant les gouvernes. Des calculateurs dédiés assurent la transmission des ordres de pilotage. La présente invention concerne plus particulièrement la surveillance des actionneurs. ÉTAT DE LA TECHNIQUE ANTÉRIEURE Il existe différentes architectures de système de commande de vol, dont une des fonctions principales est de contrôler les actionneurs. Quelle que soit l'architecture, il est nécessaire de prévoir une surveillance des actionneurs, pour éviter un embarquement de l'un d'eux par exemple. Selon une première architecture connue, chaque actionneur d'un système de commande de vol est contrôlé par un ou deux calculateurs, en fonction de la criticité de la fonction de l'actionneur. La sélection du calculateur contrôlant l'actionneur est de type prioritaire. Le calculateur sélectionné a également pour fonction de surveiller l'actionneur. Ainsi, si le calculateur détecte une panne de l'actionneur, il relâche le contrôle de l'actionneur qui passe en mode amorti. Si un second calculateur est prévu pour contrôler l'actionneur, il existe une logique pour que le second calculateur prenne le relais du premier dans certaines conditions. Cependant, à un instant donné, seul le calculateur en charge du contrôle d'un actionneur effectue également la surveillance de cet actionneur. Les demandes de brevet FR 2941913, FR 2941912, FR2959835 et FR 1259507 de la demanderesse ont trait à une autre architecture de système de commande de vol qui comporte des calculateurs centraux reliés à des contrôleurs déportés au niveau des actionneurs et respectivement associés aux actionneurs. Chaque contrôleur contrôle son actionneur, à partir d'un ordre sélectionné provenant des calculateurs centraux. Dans cette architecture également, il est nécessaire de surveiller les actionneurs. EXPOSÉ DE L'INVENTION L'invention vise à résoudre les problèmes de la technique antérieure en fournissant un système de commande de vol selon la troisième architecture qui inclut une surveillance des actionneurs. L'invention a ainsi pour objet un calculateur pour le calcul de commandes de vol au sein d'un système de commande de vol, relié par au moins un bus à des unités de contrôle distantes associées à des actionneurs, le calculateur et les unités de contrôle comportant des moyens de communication entre eux, caractérisé en ce que - il est adapté pour recevoir des informations sur au moins un actionneur, transmises par au moins une unité de contrôle associée audit au moins un actionneur, - il est adapté pour déterminer un indice de validité pour ledit au moins un actionneur sur lequel il reçoit des informations, - il est adapté pour transmettre l'indice de validité déterminé à ladite au moins une unité de contrôle associée audit au moins un actionneur. Grâce à l'invention, la surveillance des actionneurs est effectuée par les calculateurs centraux. Les contrôleurs déportés au niveau des actionneurs n'ont pas à effectuer cette fonction ce qui simplifie leur conception et leur fonctionnement. La surveillance des actionneurs effectuée par les calculateurs centraux est indépendante de la sélection du calculateur dont l'ordre est appliqué à l'actionneur. Selon une caractéristique préférée, le calculateur est adapté pour recevoir des informations sur ledit au moins un actionneur qui comportent la position, le mode et l'état de l'actionneur. Selon une caractéristique préférée, le calculateur est adapté à déterminer l'indice de validité pour ledit au moins un actionneur en fonction des informations reçues pour ledit au moins un actionneur, et par comparaison avec un ordre que ledit au moins un actionneur avait précédemment reçu. Selon une caractéristique préférée, le calculateur est adapté à déterminer l'indice de validité sous la forme d'une valeur booléenne. L'invention concerne aussi une unité de contrôle associée à un actionneur au sein d'un système de commande de vol, reliée par au moins un bus à des calculateurs pour le calcul de commandes de vol, l'unité de contrôle et les calculateurs comportant des moyens de communication entre eux, caractérisée en ce que - elle est adaptée pour transmettre des informations sur l'actionneur à au moins deux calculateurs, - elle est adaptée pour recevoir un indice de validité respectivement déterminé par chacun desdits au moins deux calculateurs, - elle est adaptée pour déterminer un état de validité de l'actionneur auquel elle est associée, en fonction des indices de validité reçus.30 Selon une caractéristique préférée, l'unité de contrôle est adaptée pour transmettre des informations sur l'actionneur à trois calculateurs. Selon une caractéristique préférée, l'unité de contrôle est adaptée pour transmettre des informations sur l'actionneur qui comportent la position, le mode et l'état de l'actionneur. Selon une caractéristique préférée, l'unité de contrôle est adaptée pour déterminer l'état de validité de l'actionneur comme étant égal : - à l'indice de validité le plus souvent reçu, si au moins trois indices de validité sont reçus pour l'actionneur, - aux indices de validité reçus, si deux indices de validité sont reçus pour l'actionneur et si ils sont égaux, - à l'indice de validité reçu, si un seul indice de validité est reçu pour l'actionneur, - à l'état invalide si aucun indice de validité n'est reçu ou dans les autres cas. L'invention concerne encore un système de commande de vol comportant plusieurs calculateurs reliés par au moins un bus à des unités de contrôle distantes associées à des actionneurs, au moins une unité de contrôle étant associée à un actionneur, les calculateurs et les unités de contrôle comportant des moyens de communication entre eux, caractérisé en ce que - chaque unité de contrôle est adaptée pour transmettre des informations sur l'actionneur auquel elle est associée à au moins deux calculateurs, - chaque calculateur qui reçoit des informations sur au moins un actionneur est adapté pour déterminer un indice de validité pour ledit au moins un actionneur sur lequel il reçoit des informations, - chaque calculateur est adapté pour transmettre l'indice de validité déterminé à l'au moins une unité de contrôle associée audit au moins un actionneur sur lequel il reçoit des informations, - chaque unité de contrôle qui a transmis des informations sur l'actionneur auquel elle est associée est adaptée pour déterminer un état de validité de l'actionneur, en fonction des indices de validité déterminés pour l'actionneur. L'invention concerne encore un aéronef caractérisé en ce qu'il comporte un système de commande de vol tel que précédemment présenté. L'invention concerne aussi un procédé de surveillance d'un actionneur associé à au moins une unité de contrôle au sein d'un système de commande de vol, l'au moins une unité de contrôle étant reliée par au moins un bus à des calculateurs pour le calcul de commandes de vol, l'au moins une unité de contrôle et les calculateurs comportant des moyens de communication entre eux, caractérisé en ce qu'il comporte les étapes de : - transmission par l'au moins une unité de contrôle d'informations sur l'actionneur à au moins deux calculateurs, - détermination d'un indice de validité par chaque calculateur qui reçoit des informations sur l'actionneur, - transmission à l'au moins une unité de contrôle de l'indice de validité déterminé, par chaque calculateur qui reçoit des informations sur l'actionneur, - détermination par l'au moins une unité de contrôle d'un état de validité de l'actionneur, en fonction des indices de validité déterminés pour l'actionneur. 25 L'unité de contrôle, le système de commande de vol, l'aéronef et le procédé selon l'invention présentent des avantages analogues à ceux précédemment exposés. Dans un mode particulier de réalisation, les étapes du procédé selon l'invention sont mises en oeuvre par des instructions de programme d'ordinateur. En conséquence, l'invention vise aussi un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en oeuvre dans un ordinateur, ce programme comportant des instructions adaptées à la mise en oeuvre d'étapes d'un procédé tel que décrit ci-dessus. Ce programme peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi un support d'informations lisible par un ordinateur, et comportant des instructions de programme d'ordinateur adaptées à la mise en oeuvre d'étapes d'un procédé tel que décrit ci-dessus. Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette ou un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé selon l'invention. BRÈVE DESCRIPTION DES DESSINS D'autres caractéristiques et avantages apparaîtront à la lecture de la description suivante d'un mode de réalisation préféré donné à titre d'exemple non limitatif, décrit en référence aux figures dans lesquelles : La figure 1 représente une architecture de système de commande de vol selon un mode de réalisation de la présente invention, La figure 2 représente un procédé de surveillance d'actionneurs selon un mode de réalisation de la présente invention. EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS Selon un mode de réalisation préféré de l'invention représenté à la figure 1, le système de commande de vol est du type décrit dans les demandes de brevet FR 2941913, FR 2941912, FR2959835 et FR 1259507 de la demanderesse. Il comporte un ensemble de calculateurs centraux de commande de vol, dit FCC d'après l'anglais Flight Control Computer. Ces calculateurs sont localisés en baie avionique et calculent les commandes de gouvernes. Les calculateurs sont de type simplex, c'est-à-dire composés d'une seule unité de traitement. Ils sont par exemple au nombre de six, et sont répartis en deux groupes 3.1 et 3.2. Chaque groupe est constitué de deux calculateurs primaires 3.3, 3.4, 3.6 et 3.7 et d'un calculateur secondaire 3.5 et 3.8. Le calcul des commandes est effectué par les calculateurs en fonction des informations reçues depuis les organes de pilotage et de paramètres de vol courant. Ce calcul obéit à une loi parmi un ensemble de lois possibles. Un calculateur primaire est doté de fonctions évoluées. Il est notamment capable de calculer les commandes de gouvernes selon un ensemble de lois de vol qui sont typiquement les lois manuelles dites normale, dégradée et directe, et la loi du pilote automatique. Un calculateur secondaire est doté de fonctions plus simples, il calcule les commandes de gouverne selon la loi directe seulement. La loi normale est la loi utilisée par défaut. Les calculateurs ajustent les consignes de pilotage pour ne pas dépasser des limites de charge supportable par la structure de l'avion dans le but de garder l'avion dans un domaine d'opération ou de vol sûr et sécurisé. Les autres lois sont implémentées pour faire face à une dégradation des informations disponibles, par exemple en cas de perte de certains paramètres de vol à la suite de panne éventuelle des appareils fournissant ces paramètres. Une succession de lois (loi dégradée, puis loi directe) permet de pallier à une dégradation de plus en plus importante des paramètres disponibles. Selon la loi directe, les consignes reçues des organes de pilotage sont transmises directement aux actionneurs. Le pilotage est alors entièrement contrôlé par le pilote sans modification. Les calculateurs primaires sont utilisés en priorité, et les calculateurs secondaires sont utilisés lorsque tout ou partie des calculateurs primaires sont non fonctionnels. Dans chaque groupe de calculateurs, un premier calculateur primaire met en oeuvre un premier logiciel A, un second calculateur primaire met en oeuvre un second logiciel B assurant les mêmes fonctions que le premier et le calculateur secondaire met en oeuvre un troisième logiciel C. Il y a ainsi dissimilarité logicielle entre les calculateurs à l'intérieur de chaque groupe. Trois actionneurs 3.10, 3.11 et 3.12 sont représentés à la figure 1. Chaque actionneur est contrôlé par un contrôleur dit FCRM (d'après l'anglais Flight Control Remote Module) déporté au niveau de l'actionneur. Chaque contrôleur comporte deux unités de contrôle qui sont une unité de commande 3.13, 3.15 et 3.17 et une unité moniteur 3.14, 3.16 et 3.18. Les unités de commande et les unités moniteur sont quasiment identiques et réalisent les mêmes calculs. Une unité de commande contrôle l'actionneur, tandis qu'une unité moniteur surveille le bon fonctionnement de l'unité de commande, par comparaison des résultats de calcul. En cas de désaccord entre les deux unités d'un actionneur, celui-ci est désactivé. Dans la suite, l'unité de commande et l'unité moniteur d'un contrôleur associé à un actionneur seront désignées unités de contrôle et ne seront distinguées que lorsque cela sera nécessaire. La communication entre les calculateurs et les unités de contrôle distantes est assurée par des bus de données numériques 3.9. Il s'agit par exemple de bus de type AFDX (d'après l'anglais Avionics Full DupleX switched ethernet) qui est un bus développé par des industriels européens de l'avionique pour Airbus, ou MIL-STD-1553 utilisé dans l'avionique militaire. De préférence, chaque calculateur est relié à chaque unité de contrôle par un bus et avantageusement par plusieurs bus. La surveillance des actionneurs est effectuée par les calculateurs. Les actionneurs sont répartis en deux groupes qui comportent autant d'actionneurs l'un que l'autre. De préférence, les deux actionneurs d'une gouverne donnée sont dans deux groupes différents. Une unité de contrôle est adaptée pour transmettre des informations sur l'actionneur à au moins deux calculateurs, et de préférence trois. L'unité de contrôle reçoit ensuite un indice de validité respectivement déterminé par chacun des calculateurs ayant reçu ces informations. Enfin, l'unité de contrôle détermine un état de validité de l'actionneur auquel elle est associée, en fonction des indices de validité reçus. Comme précédemment exposé, les calculateurs sont également répartis en deux groupes 3.1 et 3.2. Ces deux groupes sont respectivement associés aux groupes d'actionneurs. Les groupes de calculateurs sont formés de sorte que trois logiciels dissimilaires surveillent les actionneurs. Chaque calculateur est adapté pour recevoir des informations sur au moins un actionneur, transmises par au moins une unité de contrôle associée à l'actionneur. Après réception de ces informations, le calculateur détermine un indice de validité pour l'actionneur sur lequel il reçoit des informations. Enfin, il transmet l'indice de validité déterminé à l'au moins une unité de contrôle associée à l'actionneur. La figure 2 représente le procédé de surveillance d'un actionneur selon la présente invention. Ce procédé comporte des étapes El à E4 qui sont mises en oeuvre dans les calculateurs et les unités de contrôle du système de commande de vol précédemment décrit. On considère ici un actionneur donné et son contrôleur associé comportant deux unités de contrôle, mais bien entendu le procédé est mis en oeuvre pour tous les actionneurs. L'étape El est la transmission par les unités de contrôle d'informations INF sur l'actionneur à au moins deux calculateurs. Dans le mode de réalisation représenté à la figure 1, les informations sont transmises à trois calculateurs d'un groupe 3.1 ou 3.2. Les informations sur l'actionneur qui sont transmises aux calculateurs sont notamment et à titre d'exemple : - La position de l'actionneur, - Le mode actif ou amorti de l'actionneur, - L'état sain ou en panne du contrôleur. Il est à noter que dans un mode préféré, seuls la position et le mode transmis par l'unité de contrôle moniteur sont pris en compte. L'étape suivante E2 est la détermination d'un indice IND de validité par chaque calculateur qui reçoit des informations sur l'actionneur. Dans un calculateur donné, l'indice IND de validité de l'actionneur est déterminé en fonction des informations reçues pour l'actionneur et par comparaison avec un ordre que l'actionneur avait précédemment reçu. Un ordre reçu par un actionneur est déterminé et transmis par l'un des calculateurs. Ce calculateur est le calculateur de commande d'un couple commande/moniteur qui a été élu maître par les calculateurs. L'ordre en question est reçu par tous les calculateurs. L'indice de validité déterminé par un calculateur est une valeur booléenne qui indique que le calculateur considère l'actionneur comme valide ou non valide. Le calculateur met l'indice de validité à la valeur « valide » si et seulement si des conditions sont satisfaites. A titre d'exemple, les conditions suivantes sont considérées : - Les unités de contrôle de commande et moniteur du contrôleur transmettent l'état du contrôleur à « sain », - L'unité de contrôle moniteur transmet une information valide de position de l'actionneur, - L'unité de contrôle moniteur transmet une information de mode (actif ou amorti) cohérente avec la demande du calculateur de commande maître, - Lorsque le mode est actif, la valeur absolue de la différence entre l'ordre du calculateur de commande maître et la position renvoyée par l'unité de contrôle moniteur est inférieure à un seuil prédéterminé. Il est à noter que la dernière condition n'est considérée comme non satisfaite que si elle n'est pas vérifiée pendant un temps prédéterminé correspondant à plusieurs cycles de calculs. A l'étape suivante E3, chaque calculateur qui a reçu des informations sur l'actionneur et qui a déterminé un indice IND de validité transmet cet indice aux unités de contrôle de l'actionneur. Chaque unité de contrôle de l'actionneur reçoit donc trois indices IND dans le cas nominal. L'étape suivante E4 est la détermination par les unités de contrôle de l'actionneur d'un état de validité ETV, en fonction des indices de validité IND déterminés pour l'actionneur. L'état de validité ETV de l'actionneur déterminé par une unité de contrôle auquel il est associé est égal : à l'indice de validité le plus souvent reçu, si au moins trois indices de validité sont reçus pour l'actionneur, aux indices de validité reçus, si deux indices de validité sont reçus pour l'actionneur et si ils sont égaux, à l'indice de validité reçu, si un seul indice de validité est reçu pour l'actionneur, à l'état invalide si aucun indice de validité n'est reçu ou dans les autres cas. Chaque unité de contrôle associée à l'actionneur détermine ainsi un état de validité de l'actionneur. Lorsqu'une unité de contrôle détermine que l'état de validité de l'actionneur est non valide, il positionne l'état de l'actionneur à la valeur « en panne » et passe en mode amorti. L'invention a été décrite pour une architecture de système de commande de vol comportant six calculateurs centraux, deux types de matériels et trois variantes de logiciel. Cela permet un niveau de redondance nécessaire et suffisant pour satisfaire l'ensemble des exigences du système de commande de vol. Cependant, l'invention peut être mise en oeuvre dans une architecture ayant un niveau de redondance plus élevé. Il est également possible de ne faire qu'un seul groupe d'actionneurs, chacun étant alors surveillé par tous les calculateurs. Le fait de répartir les actionneurs en deux groupes pour leur surveillance permet de diviser par deux la charge de calcul des calculateurs. Il est encore possible de faire trois groupes d'actionneurs, chacun étant alors surveillé par deux calculateurs. Cette configuration est un peu moins robuste à certains scénarios de pannes possibles que la configuration préférée dans laquelle chaque actionneur est surveillé par trois calculateurs.20 REVENDICATIONS1. Calculateur pour le calcul de commandes de vol au sein d'un système de commande de vol, relié par au moins un bus à des unités de contrôle distantes associées à des actionneurs, le calculateur et les unités de contrôle comportant des moyens de communication entre eux, caractérisé en ce que - il est adapté pour recevoir des informations sur au moins un actionneur, transmises par au moins une unité de contrôle associée audit au moins un actionneur, - il est adapté pour déterminer un indice de validité pour ledit au moins un actionneur sur lequel il reçoit des informations, - il est adapté pour transmettre l'indice de validité déterminé à ladite au moins une unité de contrôle associée audit au moins un actionneur. 2. Calculateur pour le calcul de commandes de vol selon la revendication 1, caractérisé en ce qu'il est adapté pour recevoir des informations sur ledit au moins un actionneur qui comportent la position, le mode et l'état de l'actionneur. 3. Calculateur pour le calcul de commandes de vol selon la revendication 1 ou 2, caractérisé en ce qu'il est adapté à déterminer l'indice de validité pour ledit au moins un actionneur en fonction des informations reçues pour ledit au moins un actionneur, et par comparaison avec un ordre que ledit au moins un actionneur avait précédemment reçu. 4. Calculateur pour le calcul de commandes de vol selon l'une quelconque des revendications 1 à 3, caractérisé en ce qu'il est adapté à déterminer l'indice de validité sous la forme d'une valeur booléenne. 5. Unité de contrôle associée à un actionneur au sein d'un système de commande de vol, reliée par au moins un bus à des calculateurs pour le calcul de commandes de vol, l'unité de contrôle et les calculateurs comportant des moyens de communication entre eux, caractérisée en ce que - elle est adaptée pour transmettre des informations sur l'actionneur à au moins deux calculateurs, - elle est adaptée pour recevoir un indice de validité respectivement déterminé par chacun desdits au moins deux calculateurs, - elle est adaptée pour déterminer un état de validité de l'actionneur auquel elle est associée, en fonction des indices de validité reçus. 6. Unité de contrôle selon la revendication 5, caractérisée en ce qu'elle est adaptée pour transmettre des informations sur l'actionneur à trois calculateurs. 7. Unité de contrôle selon la revendication 5 ou 6, caractérisée en ce qu'elle est adaptée pour transmettre des informations sur l'actionneur qui comportent la position, le mode et l'état de l'actionneur. 8. Unité de contrôle selon l'une quelconque des revendications 5 à 7, caractérisée en ce qu'elle est adaptée pour déterminer l'état de validité de l'actionneur comme étant égal : à l'indice de validité le plus souvent reçu, si au moins trois indices de validité sont reçus pour l'actionneur, aux indices de validité reçus, si deux indices de validité sont reçus pour l'actionneur et si ils sont égaux, à l'indice de validité reçu, si un seul indice de validité est reçu pour l'actionneur, à l'état invalide si aucun indice de validité n'est reçu ou dans les autres cas. 9. Système de commande de vol comportant plusieurs calculateurs reliés par au moins un bus à des unités de contrôle distantes associées à des actionneurs, au moins une unité de contrôle étant associée à un actionneur, les calculateurs et les unités de contrôle comportant des moyens de communication entre eux, caractérisé en ce que - chaque unité de contrôle est adaptée pour transmettre des informations sur l'actionneur auquel elle est associée à au moins deux calculateurs, - chaque calculateur qui reçoit des informations sur au moins un actionneur est adapté pour déterminer un indice de validité pour ledit au moins un actionneur sur lequel il reçoit des informations, - chaque calculateur est adapté pour transmettre l'indice de validité déterminé à l'au moins une unité de contrôle associée audit au moins un actionneur sur lequel il reçoit des informations, - chaque unité de contrôle qui a transmis des informations sur l'actionneur auquel elle est associée est adaptée pour déterminer un état de validité de l'actionneur, en fonction des indices de validité déterminés pour l'actionneur. 10. Aéronef caractérisé en ce qu'il comporte un système de commande de vol selon la revendication 9. 20 11. Procédé de surveillance d'un actionneur associé à au moins une unité de contrôle au sein d'un système de commande de vol, l'au moins une unité de contrôle étant reliée par au moins un bus à des calculateurs pour le calcul de commandes de vol, l'au moins une unité de contrôle et les calculateurs comportant des moyens de 25 communication entre eux, caractérisé en ce qu'il comporte les étapes de : - transmission par l'au moins une unité de contrôle d'informations sur l'actionneur à au moins deux calculateurs, - détermination d'un indice de validité par chaque calculateur qui reçoit des informations sur l'actionneur,- transmission à l'au moins une unité de contrôle de l'indice de validité déterminé, par chaque calculateur qui reçoit des informations sur l'actionneur, - détermination par l'au moins une unité de contrôle d'un état de validité de l'actionneur, en fonction des indices de validité déterminés pour l'actionneur. 12. Programme d'ordinateur comportant des instructions pour l'exécution d'étapes du procédé selon la revendication 11 lorsque ledit programme est exécuté par un ordinateur. 13. Support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution d'étapes du procédé selon la revendication 11.