FR 3131643 A1 20230707 FR 2200037 A 20220104 L’invention concerne un système de régulation et de surveillance d’un moteur d’aéronef, comprenant un système (1) de régulation principale configuré pour commander un système (2) d’actionnement comprenant au moins un actionneur (21), le système de régulation principale comprenant une première voie (11) et une seconde voie (12), l’une ou l’autre des première et deuxième voies (11, 12) étant en contrôle de manière à commander le système (2) d’actionnement selon la consigne de position calculée par l’unité de commande (COM1, COM2) de la voie en contrôle ; l’autre voie étant en attente ; l’une des première ou deuxième voies (11, 12) étant en attente en ce qu’elle est configurée pour être en contrôle lorsque la consigne de position calculée par la voie en contrôle (11, 12) est erronée. Figure pour l’abrégé : FIGURE 1 Système de régulation et de surveillance d’un moteur d’aéronef DOMAINE TECHNIQUE GENERAL L’invention concerne la régulation et la surveillance des moteurs d’aéronef. ETAT DE LA TECHNIQUE Pour contrôler un moteur d’aéronef essentiellement tolérant à la simple panne, une solution classique consiste à redonder le chemin électrique, voire organique (acquisition, unité de traitement, commande) de la régulation automatique ; par exemple une architecture double voie dans laquelle les actionneurs peuvent être pilotés par l’une ou l’autre voie de régulation. Une telle solution permet d’améliorer la disponibilité et la sécurité des systèmes de régulation au détriment de la fiabilité. Tant que les pannes sont détectées, ce type d’architecture permet d’éloigner la probabilité de la perte de la régulation automatique, du moins pour toutes les pannes aléatoires qui n’affectent qu’une seule des deux voies (hors causes communes résiduelles). Cependant, si la chaîne de calcul du système de régulation est redondée mais que la redondance est de conception identique, alors il pourrait subsister des causes résiduelles d’erreur commune de développement (erreur de conception, de spécification, d’implémentation,…, non quantifiables), voire de fabrication, etc., qui pourraient potentiellement affecter les deux voies de calcul du système de régulation dans un même vol, et ainsi conduire à la perte de la régulation automatique, voire à une multiple perte de régulation automatique dans le cas des applications multi-moteurs. Par ailleurs, au-delà de la perte de la régulation automatique, un autre événement redouté à considérer est la régulation erronée non détectée (sur un ou plusieurs moteurs). Ce type d’implémentation double voie ne permet pas de réduire la probabilité de régulation erronée non détectée. C’est uniquement après avoir détecté une information erronée sur la voie en contrôle que la voie en attente joue le rôle de redondance en devenant la voie en contrôle. La voie pilotant les actionneurs étant alors dite en contrôle tandis que l’autre voie est dite en attente (en ce qu’elle ne pilote pas les actionneurs lorsque l’autre est en contrôle, en ce qu’elle pilote les actionneurs lorsqu’elle prend le relais sur l’autre voie, en cas de défaillance par exemple). Actuellement, le risque vis-à-vis de l’erreur de développement (spécification, conception, implémentation…) conduisant à un ou plusieurs des événements redoutés est minimisé par l’adoption d’un processus rigoureux d’assurance de développement correspondant au niveau le plus critique (tests, contrôle des exigences, contrôle de la qualité, revues, compétences des personnels, etc.). PRESENTATION DE L’INVENTION L’invention permet de réduire des risques des erreurs résiduelles, a priori non connues, de développement, fabrication, installation, utilisation, maintenance/réparation, à un niveau acceptable. La réduction des risques n’est alors pas uniquement basée sur des techniques réactives traditionnelles de minimisation des erreurs en réduisant les causes, ce qui est la pratique courante des motoristes aéronautiques, mais aussi par des techniques proactives qui rendent le système capable d’être tolérant aux erreurs en limitant les effets. En particulier, par l’intermédiaire des principes de surveillance, d’indépendance et de reconfiguration, elle vise qualitativement : d’une part, la détection de potentielles erreurs au sein même d’une voie de régulation ; d’autre part, la tolérance/robustesse à l’erreur au sein du système de régulation. A cet effet, l’invention propose, selon un premier aspect, un système de régulation et de surveillance d’un moteur d’aéronef, comprenant un système de régulation principale configuré pour commander un système d’actionnement comprenant au moins un actionneur, le système de régulation principale comprenant : une première voie comprenant une unité de commande configurée pour calculer une consigne de position pour l’au moins un actionneur en fonction des informations de mesures issues d’un système de mesures, une seconde voie comprenant une unité de commande configurée pour calculer une consigne de position pour l’au moins un actionneur en fonction des informations de mesures issues du système de mesures, l’une ou l’autre des première et deuxième voies étant en contrôle de manière à commander le système d’actionnement selon la consigne de position calculée par l’unité de commande de la voie en contrôle ; l’autre voie étant en attente ; l’une et/ou l’autre des première et deuxième voies comprenant : une unité de surveillance configurée pour calculer une consigne de position pour l’au moins un actionneur, l’unité de surveillance étant diversifiée par rapport à l’unité de commande de la voie en contrôle, en ce qu’elle est calculée d’une manière différente de la consigne calculée par l’unité de commande de la voie en contrôle, l’unité de surveillance étant configurée pour comparer la consigne de position de l’unité de commande de la voie en contrôle avec la consigne de position de l’unité de surveillance afin de vérifier que la consigne de position calculée par la voie en contrôle pour chaque actionneur n’est pas erronée, l’une des première ou deuxième voies étant en attente en ce qu’elle est configurée pour être en contrôle lorsque la consigne de position calculée par la voie en contrôle est erronée. Selon un deuxième aspect, l’invention concerne un système de régulation et de surveillance d’un moteur d’aéronef, comprenant un système de régulation principale configuré pour commander un système d’actionnement comprenant au moins un actionneur, le système de régulation principale comprenant - une première voie comprenant une première unité de commande et une deuxième unité de commande, chacune configurée pour calculer une consigne de position pour l’au moins un actionneur en fonction des informations de mesures issues d’un système de mesures, la première ou la deuxième unité de commande calculant la consigne de position en cas de défaillance de l’autre unité de commande ; la première voie étant en contrôle de manière à commander le système d’actionnement selon la consigne de position calculée par la première ou la deuxième unité de commande ; - une deuxième voie, en attente, comprenant au moins une unité de surveillance configurée pour calculer une consigne de position pour l’au moins un actionneur, l’unité de surveillance étant diversifiée par rapport à l’unité de commande de la première voie en contrôle, en ce que la consigne calculée par l’unité de surveillance est calculée d’une manière différente de la consigne calculée par la première ou la deuxième unité de commande de la première voie, l’unité de surveillance étant configurée pour comparer la consigne de position de la première voie avec la consigne de position calculée par l’unité de surveillance afin de vérifier que la consigne de position calculée au niveau de la première voie pour chaque actionneur n’est pas erronée, la deuxième voies étant en attente en ce qu’elle est configurée pour être en contrôle lorsque la consigne de position calculée par la voie en contrôle est erronée. Le système selon le deuxième aspect est tel que la deuxième voie comprend deux unités de surveillance, une première unité de surveillance et une deuxième unité de surveillance, la première ou la deuxième unité de surveillance calculant et surveillant la consigne de position de la première voie en cas de défaillance de l’autre unité de surveillance. Le système selon le premier ou le deuxième aspect comprend en outre un système de régulation auxiliaire, le système d’actionnement comprenant en outre au moins un actionneur auxiliaire, le système de régulation auxiliaire comprenant une voie auxiliaire configurée pour piloter ledit au moins un actionneur auxiliaire en cas de défaillance du système de régulation principale, soit dès le début du vol de l’aéronef, soit lors d’entraînement à la panne du système de régulation principale. Avantageusement, le système selon le premier ou le deuxième aspect est tel que lequel la voie auxiliaire comprend une unité de commande configurée pour calculer une consigne de position pour l’au moins un actionneur et commander le système d’actionnement selon la consigne de position calculée par l’unité de commande ; et/ou une unité de surveillance configurée pour calculer et surveiller la consigne de position calculée par l’unité de commande de la voie en contrôle. Avantageusement, le système selon le premier ou le deuxième aspect est tel que l’unité de commande de la première voie et/ou la seconde voie et/ou la voie auxiliaire comprend : trois sous unités de commande chacune configurée pour calculer une consigne de position ; une unité de surveillance configurée pour détecter si au moins une des consignes de position calculées est erronée, la voie correspondante étant alors considérée en écart ; une des trois consignes de position calculées étant considérée en écart si elle est supérieure à un seuil, ledit seuil étant de préférence défini pour chaque actionneur. Avantageusement, le système selon le premier ou le deuxième aspect est tel que au moins une des trois sous unités de commande est diversifiée par rapport aux deux autres ; l’unité de surveillance est diversifiée par rapport aux trois unités de commande. Avantageusement, le système selon le premier ou le deuxième aspect est tel que la voie en contrôle est diversifiée par rapport à au moins une des autres voies en attente qui a les propriétés suivantes : l’unité de commande est diversifiée des unités de commande et de surveillance de la voie en contrôle ; l’unité de surveillance optionnelle est diversifiée des unités de commande et de surveillance de la voie en contrôle. L’invention concerne également un ensemble bimoteur comprenant deux systèmes de régulation et de surveillance selon le premier aspect ou le deuxième aspect, les moteurs étant contrôlés : soit par deux voies diversifiées au début du vol en cas de panne/erreur détectée sur un système, celui-ci pouvant être reconfiguré sur une voie en attente similaire à celle en contrôle de l’autre moteur ; soit par deux voies similaires au début du vol en cas de panne/erreur détectée sur un ou les deux systèmes, ceux-ci pouvant être reconfigurés sur des voies en attente diversifiées de celles précédemment en contrôle. L’architecture du système maintient la disponibilité du système lorsqu’un chemin fonctionnel est impacté par la manifestation d’une erreur, le chemin fonctionnel étant celui considéré pour le calcul et la réalisation (actionnement) de la consigne. Le maintien de l’intégrité et de la disponibilité du système sont donc les deux objectifs visés de minimisation de l’effet de la manifestation d’une l’erreur. C’est grâce à la faculté d’au moins une des voies de régulation de surveiller que la ou les consignes de régulation de la voie en contrôle ne sont pas erronées, que le dispositif de régulation de l’invention est résilient aux erreurs. Ce principe est basé sur des conceptions diversifiées de certains composants de la chaîne fonctionnelle permettant de calculer et opérer des consignes de régulation de manières différentes afin de détecter les erreurs puis de les accommoder. La diversification s’entend comme une défense contre les erreurs qui s’accomplit par des spécifications suffisamment différentes et/ou des conceptions suffisamment différentes et/ou des implémentations suffisamment différentes (organes différents) et/ou des fabrications suffisamment différentes incluant notamment le montage et l’installation sur l’aéronef, et/ou des conditions d’utilisation suffisamment différentes, de façon à ce que si une erreur se manifeste sur un chemin fonctionnel, le chemin fonctionnel prévu de détection, et/ou de contournement/compensation/accommodation (back-up), et/ou la barrière de protection (en anglais, containment), ne soit pas lui-même/elle-même affecté(e) par la même erreur. L’invention est avantageusement réalisable sur des architectures matérielles et fonctionnelles de typologies différentes. Pour un moteur, un système de régulation auxiliaire peut être adjoint au système de régulation principale. Ce système auxiliaire peut avoir les mêmes caractéristiques fonctionnelles que le système principal. Dans ce cas, il peut être utilisé comme un système principal, même lorsque le système principal est nominal. Il peut également avoir des fonctionnalités plus limitées du point de vue de la régulation et/ou de la surveillance. Dans ce cas, il est utilisé en back-up (recueil), en cas de panne du système de régulation principale. Pour un moteur, lorsqu’un système de régulation principale est couplé à un système de régulation auxiliaire, afin de ne pas rendre indisponible le système de régulation du fait d’une erreur, nous proposons que la fonction de régulation principale et la fonction de régulation auxiliaire soient diversifiées. D’une manière générale, quel que soit le nombre de voie de régulation principale et auxiliaire pour un moteur, nous proposons qu’au moins deux voies soient diversifiées. Pour un bimoteur avec des moteurs à définition identique, chaque système de régulation hérite des propriétés de diversification du système de régulation d’un moteur. Afin de ne pas supporter les effets identiques d’une erreur sur les deux moteurs à la fois, nous proposons d’utiliser la diversification des voies de la manière suivante en configuration nominale (en début de vol) : la voie en contrôle du système de régulation (principale ou auxiliaire) d’un moteur est diversifiée par rapport à la voie en contrôle du système de régulation (principale ou auxiliaire) de l’autre moteur. En cas de panne ou d’erreur détectée sur la voie en contrôle d’un moteur, reconfiguration sur la voie en attente du système de régulation (principale ou auxiliaire). La voie en contrôle du système de régulation (principale ou auxiliaire) d’un moteur est similaire à la voie en contrôle du système de régulation (principale ou auxiliaire) de l’autre moteur. En cas de panne ou d’erreur détectée sur la (ou les) voie(s) en contrôle, reconfiguration sur la (ou les) voie(s) diversifiée(s) en attente du système de régulation (principale ou auxiliaire). Les principes de diversification, répondant aux besoins d’indépendance, décrits ci-dessus pour un bimoteur peuvent s’étendre pour d’autres applications multi-moteurs et être mixés selon les besoins. La répartition de la diversification des moteurs entre eux tiendra compte de l’impact sur la pilotabilité de l’aéronef. PRESENTATION DES FIGURES D’autres caractéristiques, buts de l’invention ressortiront de la description qui suit, qui est purement illustrative et non limitative, et qui doit être lue en regard des dessins annexés sur lesquels : - la illustre un dispositif de régulation selon un premier mode de réalisation de l’invention ; - la illustre un dispositif de régulation selon un second mode de réalisation de l’invention ; - la illustre un dispositif de régulation selon un troisième mode de réalisation de l’invention ; - la , la , la , la , la et la illustrent des variantes d’implémentation des unités de commande et surveillance au sein d’un dispositif de régulation selon l’invention ; - la illustre un dispositif de régulation selon un quatrième mode de réalisation. Système de régulation et de surveillance d’un moteur d’aéronef, comprenant un système (1) de régulation principale configuré pour commander un système (2) d’actionnement comprenant au moins un actionneur (21), le système de régulation principale comprenant - une première voie (11) comprenant une unité de commande (COM1) configurée pour calculer une consigne de position pour l’au moins un actionneur en fonction des informations de mesures issues d’un système (3) de mesures, - une seconde voie (12) comprenant une unité de commande (COM2) configurée pour calculer une consigne de position pour l’au moins un actionneur en fonction des informations de mesures issues du système (3) de mesures, l’une ou l’autre des première et deuxième voies (11, 12) étant en contrôle de manière à commander le système (2) d’actionnement selon la consigne de position calculée par l’unité de commande (COM1, COM2) de la voie en contrôle ; l’autre voie étant en attente ; l’une et/ou l’autre des première et deuxième voies (11, 12) comprenant - une unité de surveillance (MON1, MON2) configurée pour calculer une consigne de position pour l’au moins un actionneur, l’unité de surveillance (MON1, MON2) étant diversifiée par rapport à l’unité de commande (COM) de la voie en contrôle, en ce qu’elle est calculée d’une manière différente de la consigne calculée par l’unité de commande (COM1, COM2) de la voie en contrôle, l’unité de surveillance (MON1, MON2) étant configurée pour comparer (COMP) la consigne de position de l’unité de commande de la voie en contrôle avec la consigne de position de l’unité de surveillance (MON) afin de vérifier que la consigne de position calculée par la voie en contrôle (11, 12) pour chaque actionneur n’est pas erronée, l’une des première ou deuxième voies (11, 12) étant en attente en ce qu’elle est configurée pour être en contrôle lorsque la consigne de position calculée par la voie en contrôle (11, 12) est erronée. Système de régulation et de surveillance d’un moteur d’aéronef, comprenant un système (1) de régulation principale configuré pour commander un système (2) d’actionnement comprenant au moins un actionneur (21), le système de régulation principale comprenant - une première voie (11) comprenant une première unité de commande (COM1) et une deuxième unité de commande (COM2), chacune configurée pour calculer une consigne de position pour l’au moins un actionneur en fonction des informations de mesures issues d’un système (3) de mesures, la première ou la deuxième unité de commande (COM1, COM2) calculant la consigne de position en cas de défaillance de l’autre unité de commande (COM1, COM2) ; la première voie (11) étant en contrôle de manière à commander le système (2) d’actionnement selon la consigne de position calculée par la première ou la deuxième unité de commande (COM1, COM2) ; - une deuxième voie (12), en attente, comprenant au moins une unité de surveillance (MON1) configurée pour calculer une consigne de position pour l’au moins un actionneur, l’unité de surveillance (MON1) étant diversifiée par rapport à l’unité de commande (COM1, COM2) de la première voie (11) en contrôle, en ce que la consigne calculée par l’unité de surveillance (MON1) est calculée d’une manière différente de la consigne calculée par la première ou la deuxième unité de commande (COM1, COM2) de la première voie (11), l’unité de surveillance (MON1) étant configurée pour comparer (COMP) la consigne de position de la première voie avec la consigne de position calculée par l’unité de surveillance (MON1) afin de vérifier que la consigne de position calculée au niveau de la première voie (11) pour chaque actionneur n’est pas erronée, la deuxième voies (12) étant en attente en ce qu’elle est configurée pour être en contrôle lorsque la consigne de position calculée par la voie en contrôle (11) est erronée. Système de régulation et de surveillance selon la revendication 2, dans lequel la deuxième voie (12) comprend deux unités de surveillance (MON1, MON2), une première unité de surveillance (MON1) et une deuxième unité de surveillance (MON2), la première ou la deuxième unité de surveillance (MON1, MON2) calculant et surveillant la consigne de position de la première voie (11) en cas de défaillance de l’autre unité de surveillance (MON1, MON2). Système de régulation et de surveillance selon l’une quelconque des revendications précédentes, comprenant en outre un système (4) de régulation auxiliaire, le système (2) d’actionnement comprenant en outre au moins un actionneur auxiliaire (22), le système (4) de régulation auxiliaire comprenant une voie auxiliaire (41) configurée pour piloter ledit au moins un actionneur (22) auxiliaire en cas de défaillance d du système (1) de régulation principale, soit dès le début du vol de l’aéronef, soit lors d’entraînement à la panne du système (1) de régulation principale. Système de régulation et de surveillance selon la revendication précédente, dans lequel la voie auxiliaire (41) comprend - une unité de commande (COM4) configurée pour calculer une consigne de position pour l’au moins un actionneur (22) et commander le système (2) d’actionnement selon la consigne de position calculée par l’unité de commande (COM4) ; et/ou - une unité de surveillance (MON4) configurée pour calculer et surveiller la consigne de position calculée par l’unité de commande de la voie en contrôle. Système de régulation et de surveillance selon quelconque des revendications précédentes, dans lequel l’unité de commande (COM1, COM2, COM4) de la première voie (11) et/ou la seconde voie (12) et/ou la voie (41) auxiliaire comprend : - trois sous unités de commande (COMA, COMB, COMC) chacune configurée pour calculer une consigne de position ; - une unité de surveillance (MON Voteur) configurée pour détecter si au moins une des consignes de position calculées est erronée, la voie correspondante étant alors considérée en écart ; une des trois consignes de position calculées étant considérée en écart si elle est supérieure à un seuil, ledit seuil étant de préférence défini pour chaque actionneur. Système de régulation et de surveillance selon la revendication précédente, dans lequel : - au moins une des trois sous unités de commande (COMA, COMB, COMC) est diversifiée par rapport aux deux autres ; - l’unité de surveillance (MON Voteur) est diversifiée par rapport aux trois unités de commande (COMA, COMB, COMC). Système de régulation et de surveillance selon l’une quelconque des revendications précédentes, dans lequel la voie en contrôle est diversifiée par rapport à au moins une des autres voies en attente qui a les propriétés suivantes : - l’unité de commande (COM) est diversifiée des unités de commande et de surveillance (COM, MON) de la voie en contrôle ; - l’unité de surveillance optionnelle (MON) est diversifiée des unités de commande et de surveillance (COM et MON) de la voie en contrôle. Ensemble bimoteur comprenant deux systèmes de régulation et de surveillance selon l’une quelconque des revendications précédentes, les moteurs étant contrôlés : soit par deux voies diversifiées au début du vol en cas de panne/erreur détectée sur un système, celui-ci pouvant être reconfiguré sur une voie en attente similaire à celle en contrôle de l’autre moteur ; soit par deux voies similaires au début du vol en cas de panne/erreur détectée sur un ou les deux systèmes, ceux-ci pouvant être reconfigurés sur des voies en attente diversifiées de celles précédemment en contrôle.