FR 2916290 A1 20081121 FR 0755136 A 20070518 Le brevet concerne un système de sélection d'une donnée représentative d'un paramètre de l'air, en particulier pour l'utilisation de ce paramètre dans la commande d'un réacteur d'un aéronef, ainsi qu'un procédé et un programme d'ordinateur associés. Dans les aéronefs modernes, la commande et la surveillance du fonctionnement des réacteurs sont généralement assurées par un système informatisé, connu notamment sous le nom de FADEC (de l'anglais "Full Authority Digital Engine Controe'), dont l'élément principal est une unité de commande généralement dénommé EEC (de l'anglais "Engine Electronic Controller"). Afin de déterminer correctement les informations de commande destinées aux réacteurs (en particulier l'information de commande de la poussée du réacteur), il est nécessaire de calculer des paramètres (telle que l'altitude standard Alt ISA, le nombre de Mach Mn et la différence entre la température effective et la température standard d/SA), ce pour quoi il est nécessaire de connaître la valeur de certains paramètres de la masse d'air dans laquelle évolue l'aéronef (notamment la pression statique PS, la pression totale PT et la température de l'air TAT ù pour "Total Air Temperature"). Une table de correspondance permet alors de connaître les paramètres de commande de la poussée des réacteurs en fonction des paramètres précédemment déterminés (Alt ISA, Mn, AISA) et de la poussée demandée par le pilote de l'aéronef au moyen d'un sélecteur (par exemple une manette). On comprend dès lors que la connaissance de valeurs représentant de manière correcte les paramètres de l'air soit critique pour obtenir une 30 commande de la poussée adéquate. C'est pourquoi il a été proposé d'utiliser des systèmes redondants pour la mesure de paramètres de l'air et de sélectionner au niveau du calculateur associé à chaque réacteur la valeur à utiliser parmi les différentes valeurs mesurées par les différents systèmes redondants. II a par exemple été proposé d'équiper chaque réacteur de capteurs des paramètres de l'air et de comparer la valeur obtenue par ces capteurs à celles obtenues par deux systèmes de mesure des mêmes paramètres équipant l'aéronef (par exemple au niveau du fuselage) : une donnée mesurée au niveau du fuselage était alors sélectionnée si elle se trouvait en accord avec la mesure effectuée au niveau du réacteur ; si aucune donnée mesurée au niveau du fuselage n'est en accord avec la mesure effectuée au niveau du réacteur, cette dernière était utilisée. Dans ce type de système, la logique de sélection pour un réacteur reposant sur trois mesures, la sûreté de fonctionnement n'est plus assurée dès lors que l'un des systèmes de mesure des paramètres de l'air d'un réacteur subit un dysfonctionnement et le moindre problème sur ces systèmes immobilise par conséquent l'aéronef au sol. II a par conséquent été proposé d'augmenter le nombre de systèmes redondants utilisé et de comparer, par exemple au niveau des systèmes de traitement des mesures effectuées au niveau du fuselage, chaque valeur issue d'une mesure au niveau d'un réacteur avec chaque valeur issue des différentes mesures au niveau du fuselage. Une telle logique est toutefois particulièrement complexe à mettre en oeuvre et à gérer. Dans ce contexte, l'invention propose un système de sélection d'une donnée parmi un ensemble de données représentatives d'un paramètre de l'air, cet ensemble comprenant au moins deux données de réacteur obtenues par mesure respectivement au niveau de deux réacteurs d'un aéronef et au moins deux données de référence obtenues par mesure au niveau d'un fuselage de l'aéronef, le système comprenant des moyens pour vérifier un accord, deux à deux, de trois données de l'ensemble de données, et des moyens pour sélectionner, si cet accord est vérifié, une donnée de référence parmi lesdites trois données. Un tel système permet ainsi de répondre de manière relativement simple aux contraintes en matière de sureté de fonctionnement (notamment la règle de séparation des réacteurs), même lorsque l'un des systèmes de mesure est défaillant. Le système de sélection peut comprendre en outre des moyens pour vérifier, si aucun accord deux à deux de trois données n'est vérifié, un accord d'une donnée de référence avec une autre donnée de l'ensemble et des moyens pour sélectionner une donnée de référence pour laquelle ledit accord avec une autre donnée est vérifié afin d'éliminer les cas de panne multiple. Par ailleurs, les moyens pour vérifier l'accord de trois données peuvent comprendre des moyens pour déterminer si une première donnée de référence est en accord avec une seconde donnée de référence d'une part et avec une donnée de réacteur d'autre part, et des moyens pour sélectionner la première donnée de référence lorsque la première donnée de référence est en accord avec la seconde donnée de référence et la donnée de réacteur, ce qui permet d'éliminer les cas où notamment l'autre donnée de réacteur de l'ensemble est en panne (c'est-à-dire dans l'exemple décrit ci-après les cas de panne d'une donnée fuselage et d'une donnée réacteur). Les moyens pour vérifier l'accord de trois données peuvent en outre comprendre des moyens pour déterminer, lorsque la première donnée de référence n'est pas en accord avec la seconde donnée de référence d'une part et avec la donnée de réacteur d'autre part, si une troisième donnée de référence, éventuellement la même que la première donnée de référence ou la seconde donnée de référence, est en accord respectivement avec les deux données réacteurs, et des moyens pour sélectionner la troisième donnée de référence lorsque la troisième donnée de référence est en accord respectivement avec les deux données réacteurs, afin d'éliminer les cas de panne de l'autre donnée fuselage notamment dans l'ensemble (c'est-à-dire dans l'exemple décrit ci-après les cas de panne de deux données fuselage). Les moyens pour vérifier l'accord de trois données peuvent également comprendre des moyens pour déterminer, lorsque la troisième donnée de référence n'est pas en accord respectivement avec les deux données réacteurs, si une donnée de référence est en accord respectivement avec les deux autres données de référence, et des moyens pour sélectionner ladite donnée de référence si elle est en accord avec les deux autres données de référence, afin d'éliminer la panne des données issues des deux réacteurs. En pratique, on peut prévoir que certaines données soient comparées au niveau d'une unité de traitement qui comprend des moyens de détermination d'une donnée de référence en fonction de signaux mesurés par un capteur associé et des moyens de comparaison de la donnée de référence déterminée à chacune des données de réacteur. L'unité de traitement peut comprendre en outre des moyens de comparaison d'une donnée de réacteur à l'autre donnée de réacteur. Dans une mise en oeuvre particulièrement pratique, on peut prévoir également qu'une unité de commande d'un réacteur comprenne des moyens de comparaison d'une donnée de référence à une autre donnée de référence, ce qui permet de simplifier l'architecture du système. L'invention propose également un aéronef caractérisé en ce qu'il comprend un système de commande de réacteur et un système de sélection d'une donnée à utiliser dans ledit système de commande comme évoqué ci-dessus. De manière analogue, l'invention propose un procédé de sélection d'une donnée parmi un ensemble de données représentatives d'un paramètre de l'air, cet ensemble comprenant au moins deux données de réacteur obtenues par mesure respectivement au niveau de deux réacteurs d'un aéronef et au moins deux données de référence obtenues par mesure au niveau d'un fuselage de l'aéronef, le procédé comprenant les étapes suivantes : - vérification d'un accord, deux à deux, de trois données de l'ensemble de données ; -sélection, si cet accord est vérifié, d'une donnée de référence parmi lesdites trois données. Les caractéristiques optionnelles présentées ci-dessus pour le système de sélection sont également envisageables en ce qui concerne ce 30 procédé de sélection. L'invention propose également un programme d'ordinateur chargeable dans un système informatique, ledit programme contenant des instructions permettant la mise en oeuvre du procédé présenté ci-dessus lorsque ce programme est chargé et exécuté par un système informatique. D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture de la description qui suit, faite en référence aux dessins annexés dans lesquels : - la figure 1 représente l'architecture générale d'un système réalisé conformément aux enseignements de l'invention ; - la figure 2 représente la logique générale de sélection des paramètres de l'air telle que proposée par l'invention ; - les figures 3 à 7 représentent les logiques combinatoires utilisées dans un mode de réalisation de l'invention. L'architecture représentée à la figure 1 comprend trois capteurs indépendants AS1, AS2, AS3, situés par exemple en trois points différents de la surface du fuselage d'un avion, afin de mesurer de manière indépendante un paramètre de la masse d'air dans laquelle l'avion évolue. Le paramètre mesuré est par exemple la pression statique (PS). En variante, il pourrait s'agir de la pression totale (PT) ou de la température (TAT). En pratique, le système de mesure et de sélection des paramètres décrit ci-après gère les trois paramètres précités, mais on s'intéresse en particulier dans la suite de la description à un seul paramètre afin de simplifier l'exposé. Chaque capteur situé au niveau du fuselage AS1, AS2, AS3 génère un signal représentatif du paramètre qu'il mesure à destination d'une unité de traitement associée ADIRUI, ADIRU2, ADIRU3 qui reçoivent chacune le signal du capteur qui leur est associé et convertissent celui-ci en une donnée représentative de la valeur du paramètre mesurée par ce capteur. Chaque unité de traitement ADIRUI, ADIRU2, ADIRU3 est par exemple réalisée sous la forme d'une unité de traitement des données air et des références inertielles, d'où l'appellation ADIRU (pour "Air Data and Inertial Reference Unit"). L'architecture de la figure 1 comprend également deux capteurs ES1, ES2 aptes à mesurer chacun le même paramètre que celui mesuré par les capteurs AS1, AS2, AS3, et situés respectivement à la surface extérieure des deux réacteurs de l'avion. Les signaux représentatifs de la valeur du paramètre mesuré délivrés par chaque capteur ES1, ES2 situés au niveau du réacteur sont transmis à l'unité de commande EEC1, EEC2 de ce même réacteur où ils sont convertis en données représentatives de la valeur mesurée. Comme vu précédemment, chaque unité de commande EEC1, EEC2 assure également la détermination de paramètre de commande d'un réacteur, sur la base notamment des paramètres air mesurés. Les unités de traitement ADIRUI, ADIRU2, ADIRU3 et les unités de commande EEC1, EEC2 sont reliées, par exemple par un bus, afin de pouvoir échanger et comparer les données représentatives des différentes valeurs mesurées comme décrit ci-après. On s'intéressera dans la suite en particulier au fonctionnement de l'unité de commande EEC1 et à la sélection des données en vue d'une utilisation dans cette unité de commande EEC1. Le fonctionnement de l'autre unité de commande EEC2 et la sélection des données à utiliser dans cette autre unité de commande s'en déduisent par analogie (le fonctionnement des deux unités de commande EEC1, EEC2 étant identique). La figure 2 représente un exemple de logique de sélection de la donnée à utiliser dans l'unité de commande EEC1 conforme aux enseignements de l'invention. La sélection de la donnée à utiliser est basée sur une série de tests détaillés ci-après et basés sur certaines comparaisons entre les différentes données dont un mode de réalisation sera donné plus loin en référence aux figures 3 à 7. La sélection de la donnée représentative du paramètre concerné à utiliser dans l'unité de commande EEC1 consiste selon une première condition (E2) à vérifier l'accord des données émises par deux ADIRUs distinctes et l'accord de l'une de ces deux ADIRUs avec une donnée générée par l'une des unités de commande EEC1, EEC2 (données réacteurs). Si ces deux accords sont vérifiés, on sélectionne (E12) la donnée issue de I'ADIRU en accord avec les deux autres données pour être utilisée en tant que donnée représentative du paramètre concerné au sein de l'unité de commande EEC1. Si plusieurs données issues des ADIRUs remplissent la première condition, on sélectionne par convention la première ADIRU qui réponde à la condition dans l'ordre ADIRUI, ADIRU2, ADIRU3, ce qui permet aux deux unités de commande EEC1, EEC2 de sélectionner la même donnée vu qu'elles suivent tous deux cette convention. On évite ainsi une dissymétrie dans la commande des deux réacteurs. Si la première condition n'est pas remplie, le système cherche à vérifier (E4) une seconde condition, à savoir s'il existe une donnée issue d'une ADIRU en accord respectivement avec les deux données correspondantes provenant chacune des unités de commande EEC1, EEC2. Dans l'affirmative, cette ADIRU est sélectionnée comme source de données représentative du paramètre pour l'unité de commande EEC1 (E14). Comme précédemment, si plusieurs ADIRUs satisfont le critère, la première ADIRU dans l'ordre ADIRUI, ADIRU2, ADIRU3 est sélectionnée par convention pour assurer une sélection de la même donnée dans les deux réacteurs. Si la seconde condition n'est pas satisfaite, le système recherche (E6) l'accord d'une ADIRU respectivement avec les deux autres ADIRUs et sélectionne la première (E16). Comme pour les deux conditions précédentes, si plusieurs ADIRUs répondent à la troisième condition, la première de celles-ci dans l'ordre ADIRUI, ADIRU2, ADIRU3 sera sélectionnée par convention. Si la troisième condition n'est pas réalisée, le système recherche (E8) une ADIRU dont la donnée est en accord soit avec une autre ADIRU, soit avec l'une des données générées au niveau des unités de commande EEC1, EEC2, sans qu'il n'y ait toutefois deux autres sources en accord. Cette dernière réserve (absence de deux autres sources en accord) est utilisée du fait que, s'il existe des sources en accord par paires de source mais pas d'accord entre les deux paires, on ne souhaite pas trancher en faveur d'une paire plutôt que de l'autre. On passe dans ce cas notamment au test de l'étape El0 décrite ci-après. Si la quatrième condition (E8) est vérifiée (une ADIRU en accord avec une autre ADIRU ou une donnée réacteur sans autre accord de deux sources), on sélectionne la donnée issue d'une ADIRU en accord avec l'autre donnée (E18). En revanche, lorsque cette quatrième condition n'est pas vérifiée, on se trouve dans le cas où aucune donnée émise par une ADIRU n'a pu être confirmée par un accord avec une autre donnée ou dans le cas où l'on ne peut trancher entre deux paires de sources avec accord dans chaque paire seulement. On vérifie dans ce cas (El0) si la donnée représentative du paramètre mesurée au niveau du réacteur concerné (ici, EEC1) est valide, c'est-à-dire par exemple si l'unité de commande EEC1 ne détecte aucune défaillance dans la mesure (par exemple du type mesure en-dehors d'une plage déterminée ou absence de donnée en provenance de la sonde). Dans l'affirmative, cette donnée réacteur est sélectionnée (E20) pour utilisation dans l'unité de commande EEC1. Dans la négative, l'unité de commande EEC1 utilise une valeur par défaut (E22) en tant que valeur représentative du paramètre (PS dans 20 l'exemple décrit ici). On va décrire à présent un mode de réalisation particulier envisageable pour la mise en oeuvre des comparaisons décrites ci-dessus en vue de la sélection de la donnée à utiliser pour la commande du réacteur. Selon ce mode de réalisation, chaque unité de traitement ou ADIRU 25 compare la valeur mesurée par le capteur AS1, AS2 ou AS3 qui lui est associé avec chacune des valeurs mesurées au niveau des réacteurs (que l'ADIRU reçoit des unités de commande EEC1, EEC2). Chaque ADIRU compare également entre elles les données mesurées au niveau des réacteurs (reçues des unités de commande EEC1, EEC2). 30 Le résultat de chaque comparaison est : - soit l'accord entre les données considérées lorsqu'elles diffèrent de moins d'une valeur prédéfinie (par exemple 0,5 psi pour les pressions PS et PT et 5 C pour la température TAT) ; - soit l'absence d'accord lorsque la différence entre les données 5 considérées est supérieure à cette même valeur prédéfinie. On peut par ailleurs définir un mécanisme d'hystérésis afin d'éviter un basculement trop fréquent entre accord et absence d'accord. (Un tel mécanisme consiste à prévoir une valeur prédéfinie légèrement supérieure pour le passage accord vers absence d'accord à celle utilisée pou le passage 10 absence d'accord ù vers accord.) Les unités de traitements (ou ADIRUs) ADIRUI, ADIRU2, ADIRU3 envoient alors chacune un signal représentatif du résultat de la comparaison (respectivement API, AP2, AP3) aux unités de commande EEC1, EEC2 défini comme suit : 15 - APi = 0 si la donnée de l'ADIRUi n'est en accord avec aucune donnée réacteur (issue d'une unité de commande EEC1, EEC2) et si les données réacteurs sont en désaccord ; - APi = 1 si la donnée de l'ADIRUi n'est en accord avec aucune donnée réacteur mais que les données réacteur sont en accord entre elles ; 20 - APi = 2 si la donnée de l'ADIRUi est en accord avec l'une quelconque des données réacteurs ; - APi = 3 si la donnée de l'ADIRUi est en accord avec l'une et l'autre des données réacteurs. Chaque unité de commande EEC1, EEC2 reçoit et compare en outre 25 les données issues des unités de traitement ADIRUI, ADIRU2, ADIRU3 (selon une méthode de comparaison identique à celle décrite ci-dessus au sein de chaque ADIRU). Chaque unité de commande EEC1, EEC2 détermine alors la valeur d'un indicateur d'état en fonction du résultat de ces comparaisons. 30 Précisément : - l'indicateur AD1 agAD2 est mis à la valeur 1 (ou "VRAI' si la donnée issue de l'unité de traitement ADIRU1 est en accord avec la donnée issue de l'unité de traitement ADIRU2 (et à la valeur 0 ou "FAUX" sinon) ; - l'indicateur AD2agAD3 est mis à la valeur 1 (ou "VRAI', si la donnée issue de l'unité de traitement ADIRU2 est en accord avec la donnée issue de l'unité de traitement ADIRU3 (et à la valeur 0 ou "FAUX" sinon) ; - l'indicateur AD3agAD1 est mis à la valeur 1 (ou "VRAI' si la donnée issue de l'unité de traitement ADIRU3 est en accord avec la donnée issue de l'unité de traitement ADIRU1 (et à la valeur 0 ou "FAUX" sinon). On peut en outre prévoir que les indicateurs d'état ne sont mis à jour que si la condition (accord ou absence d'accord) dure plus d'un temps prédéterminé (par exemple 1 s) afin d'éviter un basculement trop rapide de ces indicateurs. Les différents résultats de comparaison API, AP2, AP3, ADIagAD2, AD2agAD3, AD3agAD1 sont alors combinés au sein de chaque unité de commande EEC1, EEC2 au moyen de circuits logiques dont les fonctions sont représentées sur les figures 3 à 7 et provoquent ainsi la sélection d'une donnée représentative du paramètre comme indiqué sur ces figures. Les figures 3 à 5 correspondent respectivement aux étapes E2, E4 et E6 décrites plus haut, tandis que les figures 6 et 7 réunies correspondent à l'étape E8. L'invention n'est pas limitée aux exemples de réalisation décrits ci-dessus. REVENDICATIONS 1. Système de sélection d'une donnée parmi un ensemble de données représentatives d'un paramètre de l'air, cet ensemble comprenant au moins deux données de réacteur obtenues par mesure respectivement au niveau de deux réacteurs d'un aéronef et au moins deux données de référence obtenues par mesure au niveau d'un fuselage de l'aéronef, le système comprenant : -des moyens pour vérifier un accord, deux à deux, de trois données de l'ensemble de données ; - des moyens pour sélectionner, si cet accord est vérifié, une donnée de référence parmi lesdites trois données. 2. Système de sélection selon la revendication 1, caractérisé par : - des moyens pour vérifier, si aucun accord deux à deux de trois données n'est vérifié, un accord d'une donnée de référence avec une autre donnée de l'ensemble ; - des moyens pour sélectionner une donnée de référence pour 20 laquelle ledit accord avec une autre donnée est vérifié. 3. Système de sélection selon la revendication 1 ou 2, caractérisé en ce que les moyens pour vérifier l'accord de trois données comprennent : - des moyens pour déterminer si une première donnée de référence 25 est en accord avec une seconde donnée de référence d'une part et avec une donnée de réacteur d'autre part ; - des moyens pour sélectionner la première donnée de référence lorsque la première donnée de référence est en accord avec la seconde donnée de référence et la donnée de réacteur. 30 4. Système de sélection selon la revendication 3, caractérisé en ce que les moyens pour vérifier l'accord de trois données comprennent :- des moyens pour déterminer, lorsque la première donnée de référence n'est pas en accord avec la seconde donnée de référence d'une part et avec la donnée de réacteur d'autre part, si une troisième donnée de référence, éventuellement la même que la première donnée de référence ou la seconde donnée de référence, est en accord respectivement avec les deux données réacteurs ; - des moyens pour sélectionner la troisième donnée de référence lorsque la troisième donnée de référence est en accord respectivement avec les deux données réacteurs. 5. Système de sélection selon la revendication 4, caractérisé en ce que les moyens pour vérifier l'accord de trois données comprennent : - des moyens pour déterminer, lorsque la troisième donnée de référence n'est pas en accord respectivement avec les deux données réacteurs, si une donnée de référence est en accord respectivement avec les deux autres données de référence ; - des moyens pour sélectionner ladite donnée de référence si elle est en accord avec les deux autres données de référence. 6. Système de sélection selon l'une des revendications 1 à 5, caractérisé en ce qu'une unité de traitement comprend des moyens de détermination d'une donnée de référence en fonction de signaux mesurés par un capteur associé et des moyens de comparaison de la donnée de référence déterminée à chacune des données de réacteur. 7. Système de sélection selon l'une des revendications 1 à 6, caractérisé en ce qu'une unité de commande d'un réacteur comprend des moyens de comparaison d'une donnée de référence à une autre donnée de référence.30 8. Aéronef caractérisé en ce qu'il comprend un système de commande de réacteur et un système de sélection selon l'une des revendications 1 à 7 d'une donnée à utiliser dans ledit système de commande. 9. Procédé de sélection d'une donnée parmi un ensemble de données représentatives d'un paramètre de l'air, cet ensemble comprenant au moins deux données de réacteur obtenues par mesure respectivement au niveau de deux réacteurs d'un aéronef et au moins deux données de référence obtenues par mesure au niveau d'un fuselage de l'aéronef, le procédé comprenant les étapes suivantes : - vérification d'un accord, deux à deux, de trois données de l'ensemble de données ; - sélection, si cet accord est vérifié, d'une donnée de référence parmi lesdites trois données. 10. Programme d'ordinateur chargeable dans un système informatique, ledit programme contenant des instructions permettant la mise en oeuvre du procédé de sélection selon la revendication 9, lorsque ce programme est chargé et exécuté par un système informatique.