FR 3035642 A1 20161104 FR 1553943 A 20150430 1 AERONEF EQUIPE D'UN DISPOSITIF DE SURVEILLANCE DE LA GESTION ELECTRONIQUE DES MOTEURS L'invention concerne un aéronef et plus particulièrement un dispositif de surveillance de la gestion électronique des moteurs pour surveiller et rétablir les capacités de propulsion dudit aéronef en cas de coupure totale ou partielle des moteurs. Chaque moteur d'aéronef est surveillé par un calculateur de contrôle qui lui est dédié (EEC pour Engine Electronic Control : contrôle électronique de moteur). Un tel calculateur est connecté à un réseau de capteurs installés dans différentes zones du moteur et de ses composants pour mesurer des paramètres du moteur et, en fonction des paramètres mesurés, le calculateur de contrôle pilote le moteur. Le calculateur de contrôle met en outre en oeuvre des logiques permettant l'activation automatique d'un mode de protection lorsque les paramètres mesurés indiquent que le fonctionnement du moteur sort d'une enveloppe de fonctionnement prédéterminée par le constructeur du moteur. Le mode de protection est par exemple activé dans des situations rares telles que des cas de surchauffe moteur, de fuites de liquides comme l'huile ou le kérosène ou de dommages d'éléments structuraux du moteur suite à un choc, par exemple un impact d'oiseau sur les aubes de la soufflante du moteur. L'activation du mode de protection consiste soit en la réduction de la poussée autorisée par le moteur en deçà de sa poussée maximale afin de préserver son intégrité et de diminuer l'impact d'une panne, soit en l'extinction du moteur. Un tel mode permet, en cas d'anomalies, de réduire rapidement (moins d'une seconde) les sollicitations sur le moteur afin de réduire les risques de propagation de l'anomalie. Il est nécessaire que le mode de protection ne puisse être activé que sur un seul des moteurs, car il est exigé que seul le pilote ait le pouvoir d'agir sur tous les moteurs à la fois. De manière connue, afin de respecter cette exigence, les calculateurs de contrôle sont connectés à un dispositif d'interface moteur qui met en oeuvre une logique d'inhibition des modes de protection. Le dispositif d'interface reçoit des informations du calculateur de contrôle de chaque moteur et lorsque il a connaissance qu'un mode de protection est activé sur un moteur, il envoie un signal au calculateur de contrôle des autres moteurs afin de les empêcher d'activer le mode de protection. 3035642 2 Le dispositif d'inhibition est efficace pour empêcher l'activation du mode de protection sur plus d'un moteur. En cas de panne totale ou temporaire du dispositif d'inhibition, les calculateurs pourront chacun activer le mode de protection sur le moteur qui leur est associé sans que le dispositif 5 d'interface ne puisse interdire cette multiple activation. L'exigence mentionnée plus haut ne sera alors plus respectée. Le pilote pourra certes désactiver manuellement les modes de protection des moteurs mais cette action lui fera perdre du temps et le détournera de ses tâches de pilotage. Il existe donc un besoin d'un dispositif supplémentaire permettant d'éviter que plusieurs moteurs soient mis automatiquement en mode de protection. 10 L'invention a pour objectif de répondre à ce besoin et concerne un aéronef comprenant au moins deux moteurs et des moyens électroniques de gestion comprenant des calculateurs de contrôle, un pour chaque moteur, chaque calculateur étant configuré pour surveiller le fonctionnement du moteur auquel il est associé et pour activer un mode de protection du moteur 15 lorsque le fonctionnement dudit moteur sort d'une enveloppe de fonctionnement prédéterminée, un mode de protection étant de deux types pris parmi un mode de protection mineur selon lequel la poussée pouvant être fournie un moteur est inférieure à sa poussée maximale, et un mode de protection majeur selon lequel le moteur est éteint, les moyens électroniques de gestion comprenant en outre un dispositif d'interface moteur auquel sont 20 connectés les calculateurs de contrôle, ledit dispositif étant configuré pour interdire l'activation d'un mode de protection par un calculateur de contrôle lorsque un mode de protection est activé par un autre calculateur de contrôle, les moyens électroniques de gestion comprennent en outre un dispositif de surveillance connecté aux calculateurs de contrôle, ledit dispositif recevant un signal d'information de chacun des 25 calculateurs pour indiquer si un mode de protection est activé et émettant, dans le cas où un mode de protection est activé sur plus d'un moteur, un signal de pilotage vers le calculateur ayant activé un mode de protection en dernier de sorte à annuler l'activation dudit mode de protection. Selon l'invention, l'électronique de gestion des moteurs permet d'annuler, via le dispositif de surveillance, l'activation automatique d'un mode de protection sur plus d'un moteur. 30 Les caractéristiques de l'invention mentionnées ci-dessus, ainsi que d'autres, apparaîtront plus clairement à la lecture de la description suivante d'exemples de réalisation, ladite description étant faite en relation avec la figure 1 jointe: 3035642 3 - la figure 1, est une vue schématique d'un aéronef comprenant deux moteurs et des moyens de gestions électroniques de ces derniers selon l'invention. En référence avec la figure 1, l'aéronef 1 comprend deux moteurs 2,3 qui sont chacun 5 arrangé dans une nacelle 2a,3a fixée par exemple sous une aile 4,5 de l'aéronef. Le fonctionnement des moteurs 2,3 est surveillé et commandé par une électronique de gestion comprenant de manière connue deux calculateurs de contrôle 6,7 pour piloter chaque moteur et un dispositif d'interface moteur 8 pour harmoniser le pilotage des deux moteurs par 10 les calculateurs. Un calculateur de contrôle 6,7 est dédié à un moteur 2,3 et est, par exemple, arrangé dans la nacelle 2a,3a dudit moteur. Ledit calculateur est de type unité centrale et est relié à un réseau de capteurs (non représentés) installés sur le moteur 2,3 de sorte à mesurer des paramètres de fonctionnement du moteur. Le calculateur de contrôle 6,7 est configuré pour surveiller et piloter 15 le fonctionnement du moteur sur la base des paramètres mesurés. Le moteur 2,3 est piloté de sorte à ce que son fonctionnement demeure dans une enveloppe de fonctionnement prédéterminée par le constructeur du moteur. Chaque calculateur de contrôle 6,7 comprend des logiques permettant automatiquement l'activation d'un mode de protection du moteur lorsque le fonctionnement de ce dernier sort de 20 l'enveloppe de fonctionnement prédéterminée. Un mode de protection est de deux types: - un mode de protection mineur dans lequel le calculateur de contrôle 6,7 pilote le moteur 2,3 de sorte que ce dernier fournisse une poussée qui soit inférieure à sa poussée maximale disponible en fonctionnement normal. Dans ce mode de protection mineur, la poussée 25 que peut fournir le moteur 2,3 est, par exemple, de 40 à 90% de sa poussée maximale. Ce mode est activé quand les paramètres mesurés par les capteurs du calculateur de contrôle indiquent que le moteur a un fonctionnement anormal qui nécessite une limitation de ses performances afin de ne pas l'endommager; et - un mode de protection majeur dans lequel le calculateur de contrôle 6,7 pilote le 30 moteur 2,3 de sorte à ce que ce dernier s'éteigne, en coupant par exemple l'arrivée en carburant. Ce mode est notamment enclenché suite à une ingestion d'objet extérieur (oiseaux) ayant entraîné des dommages conséquents au moteur. 3035642 4 Chaque calculateur de contrôle 6,7 est connecté au dispositif d'interface 8. Ce dernier est par exemple arrangé dans la baie avionique (non représentée) de l'aéronef. Le dispositif d'interface 8, de type unité centrale, reçoit un signal, dit signal d'activation, en provenance de chaque calculateur de contrôle 6,7 et émet un signal, dit signal d'inhibition, à 5 chacun des calculateurs de contrôle. Le dispositif 8 reçoit ainsi le signal d'activation Sal en provenance d'un premier calculateur 6 et le signal d'activation Sa2 en provenance d'un second calculateur 7. Il émet le signal d'inhibition Shi vers le premier calculateur 6 et le signal d'inhibition Sh2 vers le second calculateur 7. Le signal d'activation Sal,Sa2, par exemple un signal Booléen à deux états vrai ou faux, 10 indique dans un état vrai si un mode de protection est activé par un calculateur sur le moteur 2,3 qui lui est associé et dans un état faux si un mode de protection n'est pas est activé par un calculateur de contrôle. Le signal d'inhibition Shl,Sh2, par exemple un signal Booléen à deux états vrai ou faux, autorise quant à lui un calculateur de contrôle 6,7 à activer un mode de protection dans un état vrai ou interdit, dans un état faux, un calculateur d'activer un mode de protection. 15 La logique mise en oeuvre par le dispositif d'interface 8 est telle que ledit dispositif interdit à un calculateur de contrôle 6,7 d'activer un mode de protection via l'envoi d'un signal d'inhibition Shl,Sh2 dans un état faux, si l'autre calculateur de contrôle 7,6 a déjà activé un mode de protection pour l'autre moteur. Selon l'invention, l'électronique de gestion comprend en outre un dispositif de 20 surveillance de la gestion électronique des moteurs, dit dispositif de surveillance 9. Ce dispositif est connecté aux deux calculateurs de contrôle 6,7 et a un fonctionnement indépendant de celui du dispositif d'interface 8. Le dispositif de surveillance 9 est du type unité centrale et est par exemple arrangé dans la baie avionique de l'aéronef 1. Il reçoit un signal, dit signal d'information, de chacun des calculateurs de contrôle 6,7 indiquant si un mode de protection mineur ou majeur 25 est activé par un calculateur de contrôle. Le dispositif de surveillance 9 est en outre apte à émettre un signal de pilotage à chacun des calculateurs. Le dispositif de surveillance 9 reçoit ainsi un signal d'information Sil en provenance d'un premier calculateur de contrôle 6 et le signal d'information Sit en provenance d'un second calculateur de contrôle 7. Il est apte à émettre le signal de pilotage Spi vers le premier calculateur 30 de contrôle 6 et le signal de pilotage Sp2 vers le second calculateur de contrôle 7. Ce signal de pilotage sera détaillé ci-dessous. La logique mise en oeuvre par le dispositif de surveillance 9 est telle que ce dernier émet un signal de pilotage Spi, Sp2 vers le calculateur de contrôle 6,7 qui a activé un mode de 3035642 5 protection en dernier lorsque les deux signaux d'informations Sil et Sit qu'il reçoit indiquent qu'un mode de protection est activé pour chacun des deux moteurs 2,3. Le signal de pilotage Spi, Sp2 comporte comme instruction l'annulation de l'activation du mode de protection, que celui-ci soit de type majeur ou mineur. 5 Le calculateur de contrôle 6,7 qui a activité un mode de protection avant l'autre calculateur ne reçoit pas de signal d'information Sil,Si2 du dispositif de surveillance 9. En outre, aucun signal de pilotage Sil,Si2 n'est émis lorsque aucun ou seulement un seul des deux calculateurs de contrôle 6,7 a activé un mode de protection. Dans le cas où le mode de protection annulé était de type mineur, le calculateur de 10 contrôle 6,7 recevant le signal de pilotage Spl,Sp2 pilote à nouveau le moteur normalement. Une alerte visuelle et ou sonore à destination du pilote est lancée dans le cockpit 10 de l'aéronef afin de prévenir le pilote de vérifier le fonctionnement du moteur pour lequel l'activation du mode de protection vient d'être annulée. Le pilote peut alors vérifier le fonctionnement de ce moteur 2,3 et prendre les décisions nécessaires en cas de dysfonctionnement de ce dernier. Le pilote reste 15 maître des décisions à entreprendre sur les moteurs de l'aéronef 1. Dans le cas où le mode de protection annulé était de type majeur, le signal de pilotage Spl,Sp2 envoyé au calculateur de contrôle 6,7 comporte en outre des instructions supplémentaires afin que ledit calculateur redémarre le moteur 2,3 et pilote à nouveau le moteur normalement. Le redémarrage est rendu possible, même en vol, puisque le laps de temps entre 20 l'extinction du moteur (activation du mode de protection majeur) et le redémarrage (annulation et consigne de redémarrage) est de l'ordre de maximum 200 ms de sorte que les parties tournantes du moteur et l'injection de carburant n'ont pas été suspendues. Une alerte visuelle et ou sonore à destination du pilote est lancée dans le cockpit 10 de l'aéronef afin de prévenir le pilote de vérifier le fonctionnement du moteur pour lequel l'activation du mode de protection 25 vient d'être annulée et qui vient d'être redémarré. Le pilote peut alors vérifier le fonctionnement de ce moteur et prendre les décisions nécessaires en cas de dysfonctionnement de ce dernier. Selon l'invention, l'électronique de gestion des moteurs permet d'annuler, via le dispositif de surveillance 9, l'activation d'un mode de protection sur chacun des deux moteurs 2,3. Le pilote 30 demeure ainsi seul maître du contrôle des deux moteurs, et conformément à l'exigence mentionnée au début de la description, l'électronique de gestion est autorisée à activer un mode de protection uniquement sur un seul des deux moteurs. 3035642 6 Il est à noter que les signaux électriques transmis entre les différents éléments de l'électronique de gestion des moteurs sont de préférence des signaux numériques, par exemple cryptés, qui sont moins sensibles aux parasites que les signaux analogiques. La description ci-dessus concerne un exemple d'implémentation de l'invention pour un 5 aéronef bimoteur. Sans sortir du cadre de la présente invention, l'invention pourrait être implémentée dans un aéronef comprenant plus de moteurs, comme par exemple un aéronef quadrimoteurs. REVENDICATIONS1) Aéronef (1) comprenant au moins deux moteurs (2,3) et des moyens électroniques de gestion comprenant des calculateurs de contrôle (6,7), un pour chaque moteur, chaque calculateur étant configuré pour surveiller le fonctionnement du moteur (2,3) auquel il est associé et pour activer un mode de protection du moteur lorsque le fonctionnement dudit moteur sort d'une enveloppe de fonctionnement prédéterminée, un mode de protection étant de deux types pris parmi un mode de protection mineur selon lequel la poussée pouvant être fournie un moteur (2,3) est inférieure à sa poussée maximale, et un mode de protection majeur selon lequel le moteur est éteint, les moyens électroniques de gestion comprenant en outre un dispositif d'interface (8) auquel sont connectés les calculateurs de contrôle (6,7), ledit dispositif étant configuré pour interdire l'activation d'un mode de protection par un calculateur de contrôle lorsque un mode de protection est activé par un autre calculateur de contrôle, caractérisé en ce que les moyens électroniques de gestion comprennent en outre un dispositif de surveillance (9) connecté aux calculateurs de contrôle (6,7), ledit dispositif recevant un signal d'information (Si1,Si2) de chacun des calculateurs de contrôle pour indiquer si un mode de protection est activé et émettant, dans le cas où un mode de protection est activé sur plus d'un moteur, un signal de pilotage (Sp1,Sp2) vers le calculateur de contrôle (6,7) ayant activé un mode de protection en dernier de sorte à annuler l'activation dudit mode de protection. 2) Aéronef (1) selon la revendication 1, caractérisé en ce que le signal d'information (Si1,Si2) comprend l'information du type de mode de protection activé. 3) Aéronef selon la revendication 2, caractérisé en ce que le signal de pilotage (Sp1,Sp2) comprend une instruction de redémarrage du moteur pour lequel un mode de protection majeur a été désactivé. 4) Aéronef selon l'une quelconque des revendications 1 à 3, caractérisé en ce que le dispositif de surveillance (9) émet une alerte visuelle et/ou sonore à destination d'un pilote de l'aéronef lorsque l'activation d'un mode de protection est annulée.