FR 2628858 A1 19890922 FR 8803343 A 19880315 La présente invention concerne un système de commande de vol pour aéronef présentant. sur les systèmes existants. des avantages certains en terme de court, de sécurité et de disponibilité. Son originalité tient à son architecture et au dispositif de détection et de recouvrement de défaillance qui y est inclus. Il est bien connu que les éléments de vol constituent un des systèmes les plus importants pour assurer les performance s et garantir la sécurité d un avion. Mais de plus. à cause notamment de la généralisation des systèmes numériques et des technologies associées, des fonctions assurées et des performances que ces techniques permettent d obtenir, et cause des risques qu'il pourrait y avoir à utiliser inconsidérément de telles techniques dans de tels systèmes pour des avions de transport, la conception de ces systèmes implique. plus que tout autre. expérience. études et essais avec coordination et synthèse de savoir-faire. au point qu un système de commande de vol caractérise en grande partie un avion. Comme. d autre part. ces systèmes doivent répondre à des exigences précises de securit en vue de leur certification alors que les technologies mises en jeu sont parfois récentes par rapport aux expériences de fiabilité les avionneurs et les fabricants d'équipement cherchent à proposer des ensembles d'équipements pour la réalisation de ces système s qui sont caractérisés autant par l'organisation et l'économie des moyens permettant d'obtenir les rclauses de sécurité que par les performances propres des divers sous-ensembles mis en jeu. Des systèmes connus sont notamment décrits en tout ou partie dans les documents FR-2.55? .853. FR-2.557.854, EP-186.9065 et EP-211.500. De nos jours. il est courant de trouver dans un avion un systeme informatique de Commande Automatique de Vol (CAdV) qui a pour objet de décharger le pilote de certaines taches et est parfois appelé "pilote automatique'. Il a des contraintes sévères de sécurité (en particulier. il ne doit pas embarquer de gouverne) mais moins de contrainte de disponibilité (en général le pilote peut reprendre la main. sauf pendant un court instant. lors d'un atterrissage automatique). Par ailleurs, sur certains avions civils (Airbus A.310, A.320) et sur certains avions militaires, un système de Commandes Electriques de Vol (CdVE) assure une liaison électrique entre le pilote (et le système CAdV) et les gouvernes. Sur les avions civils, qui ont des contraintes de sûreté plus grandes que celles des avions militaires. un système de Commande Mécanique de Vol est également disponible. Pour satisfaire à la réglementation en matière de certification d'avions civils, il convient que les événements suivants soient extrèmement improbables - l'embarquement d'une gouverne. par le système CAdV, ou le système CdVE, - la perte complète du système CdVE, - la perte complète du système CAdV. pendant un atterrissage automatique. Actuellement, on connait deux types d'architecture pour assurer la fonction de commande automatique du vol i - - Utilisation d' u n ou deux calculateurs, chaque calculateur ayant deux chaines de calcul. l'une assurant la fonction de commande automatique du vol. l'autre surveillant la première chaine. Si l'une des deux chaines fonctionne anormalement, ses signaux de sortie vont etre différents de ceux de 1. autre chaine et une simple comparaison permet de détecter la présence de l'erreur. Le recouvrement de cette erreur se fait en arretant le calculateur dont une des chaines est défaillante et en utilisant un éventuel calculateur de rechange disponible. 2 - Utilisation de trois chaines de calcul. Les actionneurs commandant les gouvernes ou surfaces sous contrôle reçoivent la moyenne des résultats de chaque chai ne. ou alors leur médiane. Ouand une chaîne émet un résultat erroné, celui-ci est d abord masqué. ou tout au moins atténué par l'utilisation de la moyenne ou de la médiane. Par la suite, la chaine de calcul défaillante est ignorée et l'on se retrouve dans le cas précèdent d'un calculateur a deux chaines de calcul. L'objectif de sécurité des deux systèmes ci-dessus est généralement d etre opérationnel. même après la perte d'une des chaines de calcul, et de détecter tout défaut de conception affectant une chaîne. Pour ce faire, il est nécessaire d'avoir des chaines de calcul redondantes et d'éviter des points communs å plusieurs chaînes. A cet effet, il faut 4 chaines de calcul et 2 logiciels différents dans le premier cas d'architecture, et 3 chaines de calcul et 3 logiciels différents dans le second cas d architecture. De plus. il peut être intéressant. en particulier pour un avion long courrier, de pouvoir tolérer la perte. sur panne matérielle. d'une chaîne de calcul supplémentaire or, à la connaissance de la Demanderesse, ceci n'a pas encore été réalise. Une extrapolation des deux types d'architecture rappelés ci-dessus conduirait à 6 chaines de calcul et 2 logiciels dans le premier cas, et à 4 chaines de calcul et 4 logiciels dans le second cas. En ce qui concerne les commandes électriques du vol, plusieurs systèmes de commande de vol électriques sont actuellement utilisés ou en cours de développement - utilisation de deux types de calculateur ayant un même niveau de fonctionnalité (systéme Airbus A.320)-voir par exemple le document FR-2.557.85X, - utilisation d'un point de vue fonctionnel, d'un seul type de calculateur, réalise physiquement en 2 types d'équipement (projet BENDIX. projet SPERRY (voir par exemple le document EP-1S6.S55) ) . 11 est aussi possible d ajouter un système de secours inactif en fonctionnement normal (avion Mirage 2000). Les commandes sont complétées par des commandes à transmission mécanique. suffisantes a stabiliser l'avion en cas de perte momentanée des commandes de vol électriques En fonctionnement normal, le groupe de calculateurs "normal" est utilisé. Suite à une panne successive de tous les calculateurs de ce groupe. ou à une erreur commise durant la conception ou la fabrication de ces calculateurs et qui se révélerait en vol en rendant indisponible tous les calculateurs de ce groupe, le groupe de calculateurs de "secours" prend en charge le contrôle de l'aéronef, Il peut pourtant paraitre dangereux que les calculateurs de "secours ne soient pas utilisés en fonctionnement normal. En effet, - soit toute gouverne contrôlée par un calculateur de secours est commandable également par un calculateur normal, soit cette gouverne n'est pas utilisée en fonctionnement normal, L'alternative est alors, soit d'utiliser des dispositifs supplémentaires. soit de ne pas avoir de performances optimales. Dans les deux cas, c est s'imposer des pénalités économiques. - un calculateur qui reste inemployé peut tomber en panne, sans que cela ne soit connu avant que l'on n'essaye de l'utiliser, Ceci est particulièrement dangereux pour un calculateur de secours, L invention a pour objet un système de commande de vol dont l'architecture originale lui permette de combiner, pour un coût modéré, des caractéristiques élevées de performances, de sécurité. de fiabilité et de disponibilité - elle a pour objet un système global dont le système de commande automatique de vol ait une grande disponibilité (faible probabilité de panne) et reste operationnel en cas de perte d'une (voire deux) chaîne(s) de calcul et de détecter un défaut de conception (en anglais - fail safre"), - elle a également pour objet un système global dont le systeme de commandes électriques de vol soit simple. fiable, peu coûteux, decentralisé et puisse tolerer des erreurs de conception (notamment logiciels) (en anglais "fail operational/fail safe"). L invention propose a cet effet un système de commande de vol pour aéronef muni de capteurs. d'organes de commande, d'ion systéme centralisé de maintenance. de surfaces commandées et d'actionneurs pour leur manoeuvre. et des detecteurs de position associes à ces surfaces commandées, ce système. comportant un système de commande automatique de vol et un système de commandes eectrlques de vol destiné a appliquer des signaux de manoeuvre aux actionneurs à partir ci'informations reçues des organes de commande ettou du système de commande automatique de vol entant caractérisé en ce que e - le système de commande automatique de vol comprend au plus quatre chaines de calcul dont chacune dispose de deux logiciels différents disponibles entre lesquels elle peut basculer de l'un à l'autre en réponse à des signaux de reconfiguration reçus du système de commandes électriques de vol, ces chaines étant adaptées, à partir d'informations en provenance des capteurs, des organes de commande et du système centralisé de maintenance, à élaborer des consignes primaires et à les émettre vers le système de commandes électriques du vol - le système de commandes électriques de vol comprend une double pluralité de calculateurs adaptés chacun à recevoir des informations en provenance des capteurs. des organes de commande et des détecteurs de position associés aux surfaces commandes, à échanger des informations avec le système centraliste de maintenance et à émettre les signaux de manoeuvre aux actionneurs, ces calculateurs étant répartis entre un groupe de calculateurs normaux et un groupe de calculateurs de secours tels que chaque calculateur normal comporte : un étage de calcul adapté à recevoir en outre les consignes primaires émises par le système de commande automatique de vol, à élaborer des consignes élaborées et les émettre vers chacun des calculateurs de chaque groupe et à élaborer les ordres de reconfiguration et les emettre vers chacune des chaines de calcul du système de commande automatique de vol ; et un étage de sélection de consigne et d'asservissement adapté à recevoir les consignes élaborées en provenance de I étage de calcul de chacun des calculateurs normaux ainsi que lesdits signaux de position. à appliquer un test de validité à ces consignes élaborées, à sélectionner, selon une échelle prédéterminée de priorite, l 1' u n e, v a 1 i d e, d e s c o n s i g n e s élaborées et à émettre cette consigne sélectionnée en tant que signal de manoeuvre vers l'un approprié des actionneurs, chaque calculateur de secours comporte principalement un étage de sélection de consigne et d'asservissement adapté à recevoir, en outre, les consignes élaborées issues des étages de calcul de chacun des calculateurs normaux, à appliquer un test de validité à ces consignes élaborées, à sélectionner, selon une échelle prédéterminée de priorité. l'une. valide, de ces consignes élaborées et à émettre celle-ci en tant que signal de manoeuvre vers l'un. approprié. des actionneurs. On appréciera que ces calculateurs ont deux chaines de calcul ayant chacune un logiciel différent. Ces calculateurs sont arrangés comme suit - un groupe de calculateurs dits "normal" qui assure le contrôle de l'avion au moyen de lois de pilotage évoluées, qui permettent une optimisation des performances de l'aéronef, - un groupe de calculateurs dit "de secours qui permet de voler en toute sécurité, mais sans optimiser le pilotage. De manière préférée, il y a, dans le système de commande automatique de vol, quatre chaines de calcul. Pt, dans 1e système de commandes électriques de vol, trois calculateurs normaux et deux calculateurs de secours. Parmi les originalités de l'invention, on peut insister sur - l'association originale des commandes automatiques de vol et des commandes électriques de vol avec, en partrculier une une utilisation de calcu'lateurs de secours simplifiés - une architecture conçue à partir de fonction différentes réalises par des logiciels plus surement différents que ceux réalisant des fonctions identiques et donc pouvant mettre en évidence des défauts dus à des erreurs commises lors du processus de conception des logiciels ("generic fault") - l utilisation avantageuse de décideurs standards comportant (voir plus loin) une entrée supplémentaire utilisable en cas de panne, cette entree, provenant soit de la sortie et en donnant la va leur instantanée, soit d'éléments en mémoire donnant des ordres de commande correspondant à des lois pré-8tablies. ayant essentiellement pour but d'éviter les commandes intempestives en cas de panne - un renvoi d'informations des commandes électriques vers les commandes automatiques permettant de réaliser une reconfiguration de ces derniéres après une défaillance passagère ou corrigée de leurs circuits - l ensemble se traduisant par un nombre réduit d'éléments de calcul et de logiciels pour assurer toutes les fonctions du système. Selon des dispositions essentielles ou au moins préférées du système de commande automatique de vol - chacune des 4 chaines de calcul dispose de 2 logiciels disponibles. et peut basculer de l'un à l'autre, à la demande - des décideurs sont placés à l'extérieur des chaines de calcul et délivrent, ce qui peut etre pris comme le résultat du système de commande automatique de vol ainsi qu'une indication de la validité de ce résultat, et un ordre de configuration à l'usage du système de commande automatique de vol - le résultat délivré par le décideur est le résultat d'une des chaines de calcul ou un résultat pr-enregistré si les chaines ne peuvent plus fournir - l'indicatton de validité est donne à partir de la comparaison entre la chaine qui délivre le résultat, et une autre chaine. sachant que les deux chaines ont un logiciel différent - l'ordre de configuration sert à sélectionner le logiciel de chaque chaine de façon à pouvoir utiliser une paire de chaînes à logiciels différents. Selon des avantages du système de commandes électriques de vol - les calculateurs de secours sont simples et donc fiables, légers. de cout de développement, de production et de maintenance réduits ; - il est possible, à peu de frais, de décentraliser les calculateurs de secours. En les plaçant prés des surfaces à commander, les liaisons entre celles-ci et les calculateurs qui les asservissent sont réduites, De plus, les calculateurs de secours n'étant pas à proximité des calculateurs normaux, une agression extérieure telle que par un projectile ne peut atteindre qu'un des deux groupes de calculateurs et ne peut donc faire perdre les commandes de vol. De plus, si ces calculateurs de secours sont isolés électriquement des autres calculateurs et s'ils ont leur propre source d' énergie (éolienne ou générateur électrique entrainé par de l'énergie hydraulique, ou batteries), on peut penser que la perte des commandes de vol électriques est extrêmement improbable. il est alors possible de supprimer tout système de secours manique, et de rendre l avion instable, pour diminuer sa consommation - la sureté du système selon l'invention est très forte. En effet, un problème particulièrement crucial est de tolérer des erreurs de conception, en particulier du logiciel. Pour ce faire, un principe est d'utiliser des logiciels issus de chaines de conception différente, et de comparer leurs résultats. Les erreurs qui ne sont pas communes â plusieurs logiciels vont vraisemblablement conduire à des résultats différents et seront donc détectables et donc tolérables, Il est clair que ce principe ne tien t que par le niveau de différenciation entre les logiciels. Un moyen treks efficace est d'avoir des logiciels de fonctions différentes. Ceci est possible entre les calculateurs normaux et de secours ' le niveau de différenciation est donc satisfaisant. Au sein d'un meme calculateur, les deux logiciels sont utilisés pour la meme fonction la différenciation est toutefois plus facile â obtenir que pour un système avec trois logiciels de meme fonctionnalité comme dans l'art antérieur. En effet, un moyen de différencier est d'utiliser des algorithmes, des langages et autres, différents, or il est plus facile d'en trouver deux que trois. Le calculateur de secours va asservir des surfaces autour de consigne s qu il n' a pas calculé : Plusieurs calculateurs normaux envoient une consigne au calculateur secours, de manière à ce que ce dernier puisse décider sans ambiguité si cette consigne est valide ou non, de la façon suivante 1. la consigne susceptible d' être utilise par le calculateur secours est une fonction des consignes émises par les calculateurs normaux 2. cette consigne respecte certains critères de validité (l'emploi d'un système expert peut être envisagé) Comme on divise le calculateur normal en fonctions séparées, calcul de consigne et asservissement, une' perte de la fonction calcul n entraîne pas une perte de la fonction asservissement. Il est intéressant de noter que par rapport a des systèmes connus ayant deux calculateurs à deux logiciels différents, l'invention permet - le gain d'un ordre de grandeur de disponibilité du système CAdV, et ce à masse et coût identiques (faible taux de perte) - un gain de disponibilité de la fonction CdVE du fait que si 2 types de calculateurs sont utilisés pour cette fonction tant sur ces systèmes que dans l'invention, ces 2 types sont bien plus différents dans l'invention que sur ces systèmes De ce fait, l occurence d'un défaut commun à tous les calculateurs est encore plus improbable - un gain en masse et en coût de développement du à la forte simplification d'un des calculateurs - un gain en cout de développement grâce à l'utilisation de composants (matériel ou logiciel) standards : le décideur et le comparateur. A propos d'autres systèmes basés sur l'utilisation de 3 chaines de calcul avec un logiciel différent par chaine de calcul et des mécanismes de vote et de reconfigtzration, il s'avère que - appliqués à un systéme CAdV, ces systèmes sont plus coûteux que 'invention car ils nécessitent le développement de 3 logiciels au lieu de 2 pour l'invention ; - appliqués à un système CdVE, on peut douter atteindre un niveau de sureté suffisant puisqu'un point crucial est le niveau de différenciation (ou dissimilarité) entre les logiciels. En effet, plus les logiciels sont différents, moins grandes sont les chances d'un défaut commun à ces logiciels (voir ci-dessus). D'autres caractéristiques. avantages et particularités de l'invention ressortiront de la description qui en est donnée ci-après. en référence aux dessins schématiques annexés qui représentent,. à titre d'exemple préférentiel une forme de réalisation possible de ladite invention, Sur ces dessins - la figure 1 est un schéma simplifié de l'architecture informatique d un système de commande de vol selon l'invention - la figure 1A est une vue en perspective d un avion civil gros porteur adapté à etre équipé de ce systeme ; - la figure 2 est une vue de détail de la partie "commande automatique du vol" de ce système - la figure 2A est un schéma d'une chaine de calcul de cette partie - la figure 3 est une vue de détail de la partie "commandes électriques de vol" de ce système - la figure 4 est un schéma synoptique de l'un des calculateurs normaux des commandes électriques de vol de la figure 3 - la figure 5 est un schéma synoptique de l'un des calculateurs de secours des commandes électriques de vol de la figure 3 - les figures 6 et 7 sont des schémas de conception de deux types de décideurs intègres dans un calculateur normal tel que celui de la figure c ; - la figure 8 est un schéma de conception d'un type de décideur intégré dans un calculateur de secours tel que celui de la figure 5 - la figure 9 est une vue de détail d'un comparateur intégré aux calculateurs ou à l'un quelconque de ces décideurs - la figure 10 est un schéma synoptique plus détaillé que celui de la figure 1, . montrant l'ensemble des éléments constitutifs essentiels du système de commande de vol selon l'invention et des liaisons électriques réciproques. Le système de commande de vol selon l'invention regroupe, selon l'architecture informatique représentée sur la figure 1 , un système de commande automatique de vol désigné par la référence générale 1 et un système de commandes électriques de vol désigné par la référence générale 2. Ces deux systèmes 1 et 2 reçoivent, en entre, des informations de mesure daignées par la référence générale 3, provenant des capteurs 3A tels que centrales à inertie, barométriques. . , ainsi que des informations de commande désignées par la référence générale 4. provenant d'organes de commande 4A tels que manches, pédales, Plus particulièrement, le systéme automatique de commande de vol 1 , en plus de son dialogue avec d'autres systèmes de l'aéronef tels que le système centralise 6A d'alarme, de maintenance par une liaison 6 (dont les fonctions afferentes connues en soi, ne seront pas détaillées plus avant dans la présente description) émet des consignes T vers le système de commandes électriques de vol 2 et reçoit, en retour de ce dernier, des ordres de configuration 8. Durant au système de commandes électriques de vol 2, il asservit des gouvernes ou autres surfaces commandées telles que (voir figure 1A) ailerons 41, déflecteurs d'extrados. 42, aérofreins 43, gouvernes de profondeur 44, empennage horizontal 45 à incidence variable, gouvernes de direction 46 ... au moyen d'actionneurs classiques SA qui sont reliés audit système de commande 2 par une liaison 5 et reçoit en retour des signaux 19 représentatifs de la position desdits actionneurs, tels que relevés par des détecteurs 19A. Ces systèmes comportent des calculateurs ou chaines de calcul destinés à déterminer simultanément et/ou sèquentiellement, des signaux de manoeuvre pour ces surfaces commandées. On a vu dans le préambule de la description qu'il pouvait être intéressant, en particulier pour un avion long courrier, de pouvoir tolérer la perte, dans le système de commande automatique de vol, non seulement d'une première chaine de calcul, mais en plus sur panne matérielle d une chaine de calcul supplémentaire ; mais l'extrapolation des deux types actuellement connus d architecture permettant d'assurer la fonction de commande automatique de vol suggérait de prévoir 6 chaînes de calcul et 2 logiciels dans un cas et 4 chaines de calcul et 4 logiciels pour l'autre. L' intérêt de la présente invention est qu'elle ne necessite, pour ce faire, que 4 chaines de calcul et 2 logiciels ou, en d autres termes .chacune des 4 chaînes de calcul dispose des 2 logiciels disponibles, et peut basculer de l'un à l'autre à la demande. Le système automatique de vol de la figure 2 comporte quatre chaines de calcul 9.1, 9.2, 9.3 et 9.4 de tout type connu approprié, dont chacune dispose de deux logiciels disponibles entre lesquels elle peut basculer à la demande. La mise au point de tels logiciels est du domaine connu de l'homme de métier et ne sera pas ici détaillée plus avant, La liaison T donnant les consignes au système de commandes électriques de vol 2 peut donc être décomposée en 7.1, 7.2, 7.3 et 7.4, selon la chaine de calcul émettrice de consigne. Chacune de ces chaines de calcul reçoit les informations des capteurs 3A et des organes de commande sA pour élaborer les consignes et, en retour du système 2, des ordres de configuration B. Ces chaînes sont reliées, par ailleurs. par la liaison 6, avec les autres systèmes appropriés de l'aéronef, pour pouvoir dialoguer avec ces derniers. Ainsi qu'il ressort de la figure 2A, ces chaines de calcul 9 comportent un module de configuration 50 recevant les signaux 8 et sélectionnant l'un ou l'autre de deux logiciels stockés dans des mémoires ROM 51 ou 52 : le logiciel sélectionné est utilisé par une chaine de calcul 53 de tout type connu. Le signal 8 est en outre appliqué à un déclencheur 54 commandant la remise à zéro du microprocesseur de la chaine monologiciel 53. De son cuté, le système des commandes électriques de vol 2 de la figure 3 comporte trois calculateurs normaux 10.1, 10,2, 10.3 et deux calculateurs de secours 11.1, 1 1 .2 étant important de noter que chacun des calculateurs normaux élabore des consignes et les met par une liaison multiple 12 vers chacun des autres calculateurs normaux et de secours. Par ailleurs, ces calculateurs normaux renvoient des informations de reconfiguration 8.1, 8.2, 8.3 vers les chaines de calcul du système de commande automatique de vol 1. Dans les buts précités, chacun des calculateurs normaux 10.1, 10.2, 10.3 comprend, comme cela est schématisé pour l'un d'entre eux à la figure 4, à la différence des calculateurs de secours, un étage de calcul 10A avec deux modules de calcul de consigne 13.1 et 13.2 dont les sorties 14.1 et 14.2 émettent, hors du calculateur 10, les consignes 12.1, 12.2 vers les autres calculateurs normaux et de secours, Ces modules 13.1 et 13,2 calculent les. consignes (voir figures 1 et 4) , soit directement a partir des entrées : 3 concernant les informations des capteurs et 4 concernant les informations des organes de commande, soit en retransmettant des consignes 24. 1 et 24.2 déduites des consignes 7. 1 7.2, 7.3, 7.4 issues du système de commande automatique du vol 1 (voir figures 2 et 4). Dans ce dernier cas. il apparait à la lecture de la figure 4' que ces consignes 24.1 ou 24.2 sont issues d'un décideur 20.1 ou 20.2 qui. dans l'exemple préféré représenté, les élabore aussi bien à partir des signaux 7 . 1 , 7.2, 7.3, 7.4 provenant du système automatique du vol 1, qu'à partir de signaux 22.1. 22.2 en provenance d'un module 21.1 , 21.2. qui contient un profil de vol pré-enregistré ; ces consigne s peuvent e n outre reproduire les retours 19. Il est précisé qu un décideur est ici un circuit qui aiguille vers sa sortie celle de ses entrées valides qui bénéficie du plus fort degré de priorité, la validité de telle ou telle entree tant établie par comparaison avec les autres entrées. Ce profil de vo). pré-enregistré augmente la sécurité de l'avion puisqu il a joute un niveau de redondance et qu'il en résulte que, conformément à la réglementation en matière de certificat ion d'avions civils, la perte du système de commande automatique du vol pendant un atterrissage est donc extrêmement Improbable. Le reste 10B (étage de sélection de consigne et d'asservissement) du calculateur norma calcul de consignes 13.1, 13.2 et les retours de position de gouverne 19, à partir desquelles les informations desdits décideurs 15.1, 15.2 élaborent une consigne '16.1, 16.2 à appliquer à la gouverne ou la surface considérée de l avion qui est sous controle au moment considere. L'asservissement de la surface en question autour de la consigne est obtenu par un module particulier 17. 1 17.2 qui reçoit sa consigne 16. 1 , 16.2 d'un des décideurs 15.1, 15.2 ainsi qu'un retour de position de la gouverne ou surface considérée 19. Un module de comparaison 18 est monté en série en aval des deux modules d'asservissement 17. 1, 17.2 Ce comparateur 18 laisse passer une des deux sorties 39.1 ou 39.2 de ces modules 17.1, 17.2 ou encore la position de la gouverne 19 si les deux sorties 39.1 et 39.2 ont tendance à diverger Si ces deux sorties 39.1 et 39.2 qui constituent les entrées du comparateur 18 sont trop différentes, le comparateur 18 en question ordonne, par ouverture des contacts 3 B. 1 , 3 8. 2 l'interruption des sorties du calculateur, å savoir a) la liaison 5 vers l actionneur en charge de la gouverne ou de la surface sous controle b) les consignes 12.1 et 12.2 vers les autres calculateurs normaux 10.2 et 10.3 et de secours 1 1 . 1 et il .2. Ti est important de noter que durant le transitoire d'interruption. le comparateur 18 délivre la position 19 de la gouverne sous contrôle, ce qui a pour effet d'immobiliser cette derniére. A noter également que les décideurs 15.1, 15.2 émettent, par la liaison 6, des informations donnant l'état du système en cause vers la autres systèmes de l'aéronef. tels que maintenance, alarme. . , tandis que les décideurs 20.1 et 20.1 émettent par la liaison 8 les signaux de configuration. Si l'on se réfère maintenant à la figure 5, on peut constater, en la comparant à la figure 4 . que chaque calculateur de secours 11.1, 11.2 est semblable à la partie aval (asservissement) d'un calculateur normal en ce qu'il comprend deux dècideurs 23. 1 , 23.2 qui reçoivent diverses informations. (å savoir : les consignes 12.1 à 12.6 émises par les trois calculateurs normaux 10.1, 10.2 et 10.3, les informations 4 concernant les organes de commande, ainsi que les retours de position de gouverne 19) à partir desquelles les décideurs élaborent la consigne 16. 1 , 16.2 à appliquer à la gouverne ou à la surface considérée de l'avion, qui est sous contrôle. L asservissement de la surface en question autour de la consigne est obtenu, comme précédemment décrit, par un module particulier 17.1, 17.2. qui reçoit sa consigne 16.1, 16.2 d'un des décideurs 23.1 , 23.2, ainsi qu un retour de position de la gouverne ou autre surface considérée 19. Un module de comparaison 18 est mont en série, en aval des deux modules d'asservissement 17.1, 1,7.2. Ce comparateur 18 laisse passer une des deux sorties 39. 1 39.2 de ces modules 17. 1 , 17.2 ou encore la position 19 de la gouverne sous contrôle si les deux sorties 39.1, 39.2 ont tendance à diverger. Si ces deux' sorties 39.1 et 39.2 qui constituent les entrées du comparateur 18 sont trop différentes, le comparateur en question 18 ordonne par ouverture du contact 38 l'interruption de la sortie du calculateur, en l'occurence la liaison 5 vers l actionneur en charge de la gouverne ou surface sous contrôle. Il est à noter que, durant le transitoire d interruption, le comparateur 18 délivre la position 19 de la gouverne sous contrôle, ce qui a pour effet d'immobiliser cette derniére. Par ailleurs, comme dans les cas précédents. les décideurs 23.1, 23.2 émettent les informations donnant l'état du système en cause par la liaison 6 vers les autres systèmes de l'aéronef. Comme les décideurs sont des éléments constitutifs particulièrement importants de la présente invention, on v a y revenir ci - a prés d'une façon plus détaillée en se référant aux schémas des figures 6. 7. 8 et 9. Il y a lieu tout d'abord de noter que tous les décideurs 20.1. 20.2 et 15.1, 15.2 des calculateurs normaux ainsi que tous les décideurs 23.1, 23.2 des calculateurs de secours sont standardisés, comme cela apparait distinctement sur les figures 6, 7 et B représentant respectivement, l'un des dévideurs 20. l'un des décideurs 15 et l'un des décideurs 23. Ces décideurs comportent un certain nombre de comparateurs 18 (semblables à ceux des calculateurs des figures 4 et 5), six en l'occurence. et ont d e u fonctions une fonction de comparaison entre les signaux d'entrées desdits comparateurs et une fonction de section des sorties de ces mêmes comparateurs. Afin de faciliter la compréhension. cette section a été représentée sur les figures 6, 7 et 8 sous forme de circuits logiques et de relais, étant bien entendu que ceci est purement fonctionnel et que bien des realisations peuvent entre envisagées dans la pratique pour tout homme de l'art. Pour l'ensemble des trois décideur 20 (figure 6). 15 (figure 7) et 23 (figure 8) la sélection a pour but d'orienter une des entrées du décideur vers la sortie. repérée en l'occurence 24 pour le décideurs 20 et 16 pour les décideurs 15 et 23. Les entrées étant préalablement comparées dans les comparateurs 18' , la sélection s'effectue alors sur les sorties 29 desdits comparateurs, en fonction d'indications de validité 28, 8 ou 6 de ceux-ci. La logique de sélection est la suivante - un ordre de priorité existe entre chacun des comparateurs 18 et l'entrée non comparée du décideur (â savoir 22 pour le décideur 20 ; 19 pour le décideur 15 et ; pour le décideur 23) - le signal sélectionné est celui qui eat prioritaire parmi les signaux valides. La représentation de cette logique est basée sur les conventions suivantes - u n signal 1 apparaissant en 2 8 à la sortie d'un comparateur, indique que la sortie correspondante 29 est valide - un signal 1 apparaissant en 8 ou 6 force le relais 25 associé à être passant - la logique est positive. Dans le cas du décideur 20 (voir figures 4 et 6). six paires de signaux 7 sont constituées 7. 1 -7.2 7.1 - 7.3 ; 7.1 - 7.4 ; 7.2 - 7.3 ; 7.2 - 7.4; 7.4 - 7.3. Ainsi, à chaque comparateur 18' correspond une paire de chaînes de calcul du système de commande automatique de vol 1 (voir figures 2 et 4). Si une de ces chaines émet une erreur, le comparateur 18' correspondant va indiquer que sa sortie n'est plus valide et c'est la sortie du comparateur suivant qui sera sélectionnée. Il est important de noter qu après la défaillance d'au moins trois chaines de calcul du système 1, l'entrée 22 du décideur 20 est sélectionnée, avec prise en compte de signaux en provenance d'un module de calcul 21 qui contient un profil de vol pré-enregistré. Oans le cas des décideurs 15 (figures 4 et 7) et 23 (figures 5 et 8) certaines entrées (trois en l'occurence) ne sont pas utilisées parce qu'inutiles (il y a un trop faible nombre d'entrées à comparer une à une). Pour éviter tout risque de perturbation dans le fonctionnement, des décideurs, ces entrées reçoivent des signaux 26 et 27 qui sont choisis suffisamment différentes pour entre certain que les comparateurs 18' correspondants se déclarent invalides. Le signa que sélectionne en priorité le décideur 15 (voir figures 4 et 7) correspond aux signaux 14. 1 14.2 provenant des modules de calcul 13.1 et 13.2 du même calculateur normal 10. Lorsqu'un de ces modules est défaillant, le décideur 15 sélectionne une autre paire parmi les signaux 12.1. 12.2 ou 12.3 provenant d'un autre calculateur normal. Le signal de plus basse priorité 19 correspond évidemment à un retour de position de la gouverne asservie, ce qui permet, comme cela a été expliqué précédemment, de bloquer cette gouverne en attendant qu'un autre calculateur en prenne le cont r o le. Ouant au décideur 23 d'un calculateur de secours (voir figures 5 et 8). il sélectionne une paire de signaux 12. 1 - 12.2, 12.3 - 12.4, 12.5 - 12.6 provenant d'un des calculateurs normaux 10.1, 10.2. 10.3. La dernière entrée possible 4 correspond directement aux organes de commande. En se référant maintenant à la figure 9 qui représente la conception de l'un des comparateurs 18 des décideurs 20. 15 ou 23. on voit que la sortie 29 dudit comparateur est issue d'un voteur 33 d'un type quelconque classique qui prend la médiane de trois signaux 30, 31 et 19 qui sont, normalement, quasiment égaux. Le comparateur 18 des calculateurs 10 et 11 a la méme conception. Il est rappelé ici qu'un voteur ("voter" en anglais) est un circuit qui génère en sa sortie un signal similaire à une majorité de ceux appliques à ses entrées, Le critère de similarité peut etre l'égalité (vote "bit" par "bit") ou la non-divergence (vote par la médiane ou la moyenne). En l'occurencp : les signaux 30 et > 31 sont des signaux de commande tels que 7. 1 7.2, T .3 (décideur 20) ; 14.1, 14.2 , . 12.1, 12.2 . (décideur 15) et 12. 1 , 12.2 , 12.3 (décideur 23 > tandis que le signal 19 est un retour de position d'une gouverne. On voit que normalement la sortie 29 prend donc une valeur proche de ces signaux et par conséquent des signaux de commande. Par contre, si l'un des signaux 30 ou 31 diverge. le signal 19 va rester proche de la valeur du signal n ayant pas divergé et ne va donc pas varier significativement. De plus. cette ,divergence va étre détectée par le comparateur. En effet, la différence des signaux 30 et 31 est d'abord faite dans le module 34. Ce signal est ensuite redressé dans le module 35 puis il lui est soustrait dans le module 36 un signal 32 qui représente l'écart maximal permis. Il résulte que la sortie du module 36 est, soit négative (écart admissible). soit positive (défaillance détectée). Ces deux états possibles sont codés dans le module 37 en deux valeurs booléennes 1 ou 0 constituant le signal 28, lequel indique que la sortie correspondante 29 du comparateur est valide ou non valide. Les éléments 13. 17, 21, 33 à 37 sont des éléments connus en soi et ne seront pas ici détaillés plus avant. Les calculateurs normaux 10 sont par exemple du meme type connu que les calculateurs ELAC ("Elevator and Aileron Computer") assumant sur les A-320 la commande des gouvernes de profondeur et des ailerons. Ces calculateurs sont capables de commander huit surfaces commandées, par exemple - une paire d'ailerons 41, - une paire de déflecteurs 47 ou d'aérofreins 43, la - la paire de gouvernes de profondeur 44. ou une seconde paire de déflecteurslaérofreins, - l'empennage horizontal 45 a incidence variable, - un actionneur d amortisseur de la c e t Idt ("yaw damper actuator"). Les calculateurs de secours 11 sont par exemple du même type connu que des calculateurs SEC ("Spoiler and Elevator Computer") assumant sur les A-320 la commande des déflecteurs/aérofreins et des gouvernes de profondeur. Ces calculateurs, assumant moins de fonctions, sont capables, en régime normal ou de secours, un plus grand nombre (ici dix) de surfaces commandes. par exemple - trois ailerons 41, - le limiteur de course de la gouverne de direction ("rudder travel limitation"). - un actionneur de compensation de la gouverne de direction ("rudder t r im actuateur'), - un actionneur d'amortissement de lacet "vaw damper actuator"), - la paire de gouvernes de profondeur 4 4 - une paire de deflecteurs ou d'aérofreins. Ds règles préétablies (å la porte de l'homme de métier) sont définies pour chaque surface commandée pour, en cas de panne du calculateur normalement en charge de cette surface, lui substituer l'un ou l'autre des autres calculateurs 10 ou 11. Selon l'importance (connue) de chaque surface commandée pour la commande en roulis, en tangage ou en haut de l'avion, ces règles préétablies prévoient un, deux, voire quatre calculateurs adaptés a prendre successivement le relais en cas de panne, étant rappelé que lorsque tous les calculateurs supposés prendre successivement le relais d'un calculateur en charge d'une surface donnée sont tombés en panne, cette surface, selon son degré d'importance, est reprise en charge par le profil de vol pré-enregistré ou directement par les organes de commande, soit est bloquée ,en position, Une table de réaffectation des gouvernes aux calculateurs est par exemple établie comme suit aileron interne gauche 10.2 puis 10.1 puis 11.2 puis 11.1 aileron interne droit. 10.1 puis 10.2 2 puis il . 1 puis 11.2 aileron externe gauche 1 0 3 ptlis il . 1 aileron externe droit 10.2 puis 1 1 .2 amortissement de lacet 10.1 puis 10.3 puis 11.1 puis 1 1 .2 compensation de la gouverne de direction Il . 1 puis 11.2 limiteur de course 11.1 puis 11.2 gouvernes de profondeur 10. 1 puis 10.2 empennage horizontal à incidence variable 10.1 puis 10.2 puis 10.3 Dans le cas d'application de l'invention à un avion civil, les commandes électriques sont complétées de façon connue en soi par des commandes å transmission mécanique. suffisantes à stabiliser l'avion en cas de perte momentanée des commandes de vol électriques. En se référant maintenant å toutes les figures précédemment décrite ainsi qu'à la figure 10 qui est un schéma synoptique de l'ensemble des éléments constitutifs essentiels du système de commande de vol selon l invention ainsi que de leurs liaisons électriques réciproques, on voit apparaitre certains points importants ou preférés de l'invention. Le système de commande automatique de vol 1 comporte (au plus) quatre chaines de calcul 9.1, 9.2, 9,3, 9. disposant, chacune, de deux logiciels disponibles différents (de tout type approprié connu) entre lesquels elle peut basculer de l un à l autre sous la commande d'un calculateur 10 placé en aval. En fonction des informations provenant des capteurs 3A et des organes de commandes 4A, le système de commande automatique de vol 1 émet des consignes 7 vers le système des commandes électriques de vol 2 et reçoit. en retour de ce dernier, des ordres de configuration 8. Le système de commandes électriques de vol 2 comporte. des calculateurs, de préférence a deux ehaines de calcul, chaque chaine ayant un logiciel différent, ces calculateurs tant agencés de façon à comporter - un groupe de calculateurs normaux 10.1, 10.2, 10.3 qui calculent des valeurs de consigne qu'ils transmettent å tous es autres calculateurs, et qui asservissent en conséquence des surfaces commandes - un groupe de calculateurs de secours 11.1. 11.2, utilisés au moins en partie en régime normal, qui se limitent à asservir en position des gouvernes autour de consignes qu'ils n'ont pas calculées. A cet effet, plusieurs calculateurs normaux 10.1, 10.2. 10.3 envoient une consigne 12 au calculateur de secours 11.1 ou 11.2 de manière que ce dernier puisse décider sans ambiguïté si cette consigne est valide ou non. Cette décision peut être prise de la façon suivante 1. la consigne susceptible d'etre utilise par le calculateur de secours est une fonction des consignes émises par les calculateurs normaux 2. cette consigne respecte certains critères de validité l emploi d'un système expert peut être envisagé). Comme le calculateur normal est divisé en fonctions séparées, calcul de consigne et fonction asservissement, une perte de la fonction calcul n'entraine pas nécessairement une perte de la fonction asservissement, et le calculateur originellement de type normal peut encore servir de calculateur de secours. Des décideurs standardisés (20.1, 20.2 et 15.1, 15.2 pour les calculateurs normaux, et 23. 1 , 23.2 pour les calculateurs de secours), sont placés à l'extérieur des chaines de calcul 9.1, 9.2, 9.3, 9.4 du système de commande automatique de vol 1 , les premiers 20.1, 20.2 comportant une entrée supplémentaire 22. 1 , 22.2 utilisable en cas de panne. ces décideurs délivrant un résultat. a savoir 24.1, 24 .2, 16. I 16.2 pour les décideurs des calculateurs normaux, 16. 1 , 16.2 pour les décideurs des calculateurs de secours, qui peut entre pris suivant les cas comme le résultat des consignes 7 du système de commande automatique de vol 1 ou d un profil de vol pre-enregistre 21.1, 21.2. une indication de la validité dudit résultat, ou un ordre de configuration 8 à l usage dudit système de commande automatique de vol 1 L indication de validité est donnée, à partir de la comparaison en 18 entre la chaine 39. 1 qui délivre le résultat et une autre chaine 39 .2, sachant que les deux chaînes ont un logiciel différent. L ordre de configuration 8 sert à sélectionner le logiciel de chaque chaine de calcul de façon à toujours pouvoir utiliser une paire de chai ne s à logiciels différents. En conclusion, il ressort de ce qui précède que l'architecture originale du système de commande de vol pour aéronef conforme à l'invention permet, à elle seule, d'atteindre à un ensemble de résultats que les systèmes actuellement connus ne permettaient d'obtenir que séparément. En d'autres termes, on peut dire que la nouveauté de cette architecture suivant l'invention est de donner, entre-autres, une solution économique au probleme posé, solution, qui plus est, est réalise par des moyens eux-memes économiques. C'est ainsi que l'on peut citer les possibilités suivantes de l architecture suivant l'invention - la commutation des commandes en milieu de chaîne - le positionnement d'un module de sélection et d'élaboration de consigne en milieu de chaine - la sélection des voies, indépendamment de l'élément de calcul et à chaque niveau de la chaine de commande - la séparation entre certains éli énents de calcul de début de chaine et les éléments de calcul et d'asservissement de sortie - la duplication de quelques-uns de ces éléments de calcul. sans pour autant multiplier par le meme nombre tous les éléments de la chaine - la possibilité d'utiliser plusieurs critères slection. simultanément ou indépendamment. à partir d'autres critères eux-mmes pr-établis et mémorises (hiérarchisés) - l'introduction en milieu de chaine de consignes élaborées sommairement à partir de 1 élément de commande (manche) - l'introduction en milieu de chaine de valeurs de référence contenues en mémoire (valeurs .limites ou plausibles selon la configuration du moment,' etc. - la réalisation des divers éléments de la chaîne par des techniques. des technologies, des procédés de fabrication ou des logiciels différents ; - la modification de la loi de sélection par des chanaements n'intervenant que sur l'élément de sélection ; - la création de modules de calcul d asservissement standardisés pour différentes versions d'avion ou même pour différents avions. il va de soi que la description qui précède n'a été proposée qu'à titre d'exemple non limitatif et que de nombreuses variantes peuvent etre proposées par l'homme d e l'art sans sortir du cadre de l invention. REVENDICATIONS 1. Système de commande de vol pour aéronef muni de capteurs (3A), d'organes de commande (4A), d'un système (6A) centralisé de maintenance, de surf'aces commandées (40-46) et d actionneurs (SA) pour leur manoeuvre, et des détecteurs de position (19A) associés à ces surfaces commandées, ce système. comportant un système de commande automatique de vol (1) et u,n système de commandes électriques de vol (2) destin à appliquer des ' signaux de ma-noeuvre (5) aux actionneurs à partir d'informations (4 ' 7) reçues des oryanes de commande et/ou du système de commande automatique de vol (1) étant caractérisé en ce que - le système de commande automatique de vol (1) comprend a au plus quatre chaines de calcul (9) dont chacune dispose de deux logiciels différentes disponibles entre lesquels elle peut basculer de l un à l autre en réponse à des signaux de reconfiguration (8) reçus du système de commandes électriques de vol (2). ces chaînes étant adaptes, a partir d'informations (3. 4, 6) en provenance des capteurs, des organes de commande et du système centralisé de maintenance. à élaborer des consignes primaires (7)'et et à les émettre vers le systeme d commandes électriques du vol - le système de commandes électriques du vol (2) comprend une double pluralité de calculateurs (10, 11) adaptés chacun à recevoir des informations (3. 4, 19) en provenance des capteurs, des organes de commande et des détecteurs de position associés aux surfaces commandées, à échanger des informations avec le systeme centralisé de maintenance et a émettre les signaux de manoeuvre aux actionneurs, ces calculateurs étant répartis entre un groupe de calculateurs normaux (10) et un groupe de calculateurs de secours (11) tels que chaque calculateur normal (10) comporte : un etage de calcul (10A) adapté à recevoir les consignes primaires (7) émises par le système de commande automatique de vol, élaborer des consignes élaborées (12. 14) et les émettre vers chacun des calculateurs de chaque groupe et a élaborer les ordres de reconfiguration (B) et les émettre vers chacune des chaines de calcul du système de commande automatique de vol ; et un etage de section de consigne et d'asservissement (108) adapté à recevoir les consignes élaborées (12, 14) en provenance de l'étage de calcul de chacun des calculateurs normaux (10) ainsi que lesdits signaux de position (19). à appliquer un test de validité å ces consignes élaborées. à sélectionner. selon une échelle prédéterminée de priorité. l'une, valide, des consignes élaborées et à émettre cette consigne sélectionnée en tant que signal de manoeuvre vers l'un approprié des actionneurs, chaque calculateur de secours (11) comporte principalement un étage de section de consigne et d'asservissement adapté à recevoir les consignes élaborées (12) issues des étages de calcul ( 10A) de chacun des calculateurs normaux (10), à appliquer un test de validité à ces consignes élaborées. à sélectionner, selon une échelle prédéterminée de priorité. l'une, valide, de ces consignes élaborées et à émettre celle-ci en tant que signal de manoeuvre vers l un. approprie. des actionneurs 2. Système selon la revendication 1. caractérisé en ce que le système de commande automatique de vol (1) comporte quatre chaines de calcul (9) et le système de commandes électriques de vol (2) comporte trois calculateurs normaux (10) et deux calculateurs de secours (11). 3. Système selon la revendication 1 ou la revendication 2. caractérisé en ce que l'étage de calcul (1OA) de chaque calculateur normal comporte deux modules de calcul (13, 1 , 13.2) indépendants adaptés chacun à élaborer lesdites consignes élaborées selon des logiciels différents, et l'étage de sélection de consigne et d'asservissement (108, 1 11) de chaque calculateur (10 , 11) comporte deux modules parallèles de sélection de consigne (15, 23), deux modules parallèles d'asservissement (17} et un module comparateur (18) adapté à transmettre comme signal de manoeuvre, soit l'une ou l'autre des sorties des deux modules d'asservissement si elles ont des valeurs compatibles soit, dans le cas contraire, le signal de position de la surface commandée considérée. 4. système selon 1 une quelconque des revendications 1 à 3, caractérisé en ce que l'étage de calcul (1osa) de chaque calculateur normal comporte au moins un module de calcul (13) recevant des informations (3, 4 > provenant des capteurs et des organes ne s de commande ainsi qu un signal de sortie d'un module de décision qui. recevant les consignes primaires (7) établies par les chaines de calcul (9) du système de commande automatique de vol (1) ainsi qu'un signal stock dans un module (21) contenant un profil de vol pre-enregistre, est adapté à appliquer un test de validité a ces consignes primaires, slectionner vers le module de calcul, selon une échelle prédéterminée de priorité, l'une, valide, de ces consignes ou, à défaut, le signal de profil de vol pré-enregistré, et à élaborer par ailleurs, les signaux de reconfiguration en fonction des resultats de ce test de validité. 5. Système selon 1 une quelconque des revendications 1 à 4, caractérisé en ce que l'étage (108) de sélection de consigne et d asservissement de chaque calculateur normal (10) comporte un module de décision (15) recevant les consignes élaborées (12, 14) et les signaux de position (19), adapté à appliquer un test de validité à ces consignes élaborées. à sélectionner selon une échelle prédéterminée de priorité l'une, valide, des consignes élaborées ou, 7 défaut, le signal de position de la surface commandée considérée, et à élaborer, par ailleurs, des signaux pour le système centralisé de maintenance (16) à partir des résultats de ce test de validité. 6. Systéme selon l une quelconque des revendications 1 à 5, caractérisé en ce que l'étage (11) de sélection de consigne et d'asservissement de chaque calculateur de secours (11) comporte un module de décision (23) recevant les consignes élaborées par chacun des calculateurs normaux et les informations (4) en provenance des organes de commande, adapté a appliquer un test de validité à ces consignes élaborées, à sélectionner selon une échelle prédéterminée de priorité, l'une, valide. de ces consignes ou, à défaut, le signal des organes de commande associé à la surface commandée consideree, et à élaborer par ailleurs des signaux (6) pour le système centralisé de maintenance à partir des résultats de ce test de validité. 7. Système selon l'une quelconque des revendications 4 à 6, caractérisé en ce que chaque module de décision (15, 20,'23] comporte un groupe de modules comparateurs identiques (18') montés en parallèle. en nombre suffisant pour comparer chacune des consignes appliquées à ce module à chacune des autres de ces consignes, chaque comparateur émettant un signal de sortie et un signal binaire, soit de validité, soit d'invalidité, concernant ce signal de sortie, ce groupe de comparateurs parallèles étant connecté à un circuit logique de sélection affectant une échelle de hiérarchie a ce groupe de comparateurs et sélectionnant conséquence l'un des signaux. de sortie affecté d'un signal de validité. 8. Système selon la revendication 3. caractérisé en ce que chaque module comparateur comporte un voteur (33) auquel sont appliques deux signaux å comparer ainsi que le signal de position associé à la surface commandée considérée, et qui émet un signal de sortie ; et une chaine de test de validité comportant un premier module différenciateur (34) faisant la différence entre ces signaux å comparer, un module redresseur (35) qui redresse ce signal de différence. un second module différenciateur (36) qui fait la différencie entre une valeur d'écart admissible (32) et ce signal de différence redressé et un module binaire (37) qui émet un signal binaire de validité/invalidité en fonction du signe du signal sortant du second module différenciateur.