FR 3153431 A1 20250328 FR 2310234 A 20230926 Ce système de commande d’un dispositif (1) muni d’au moins un équipement (1i), comprend au moins un capteur (3) apte à mesurer chacun une grandeur de fonctionnement du dispositif, et deux voies de mesure (3ia, 3ib) du capteur redondé pour chaque équipement (1i), au moins un moyen de commande (2a, 2b) configuré pour déterminer une commande à destination du au moins un équipement (1i) en fonction de la mesure d’au moins une grandeur et d’une mesure sélectionnée. Le système comprend un moyen de calcul (5) configuré pour déterminer la mesure sélectionnée par un observateur (5a) comprenant deux filtres de Kalman () utilisant un modèle de fonctionnement du dispositif (1). Le moyen de calcul (5) est configuré pour détecter une panne d’une des voies de mesure (3ia, 3ib), et pour recaler le modèle de fonctionnement en fonction d’au moins une caractéristique individuelle du dispositif (1). Figure pour l’abrégé : Fig 1 Système de commande d’un dispositif muni d’au moins un capteur redondé à détection et isolement des pannes desdits capteurs L’invention a pour domaine technique les systèmes de commande, et plus précisément les systèmes de commande à observateur. Dans une application non limitative, l’invention concerne les systèmes de commandes de vérins agissant sur un actionneur d’un moteur d’aéronef, tel qu’un vérin pilotant l’injection de carburant dans le moteur, et le contrôle du fonctionnement du vérin. Techniques antérieures Les systèmes de commande d’un moteur d’aéronef selon l’état de la technique utilisent divers types de capteurs qui assurent la mesure d’un paramètre de fonctionnement surveillé. Dans le cas de vérins pilotant l’injection de carburant, les capteurs assurent la mesure de la position des vérins afin de surveiller le respect d’une consigne d’injection. Cette mesure est redondée. Deux voies de mesure sont donc utilisées et doivent idéalement fournir la même valeur de mesure, aux incertitudes de mesure près. Les systèmes de commandes selon l’état de la technique ne permettent pas de localiser un biais ou une dérive d’une des voies de mesure d’un capteur redondé. En effet, lors d’une panne de «cross check», déterminée par un écart entre voies de mesure supérieur à un seuil, on réalise alors un choix arbitraire de la voie présentant la valeur minimale, de la voie présentant la valeur maximale ou d’une moyenne des deux voies de mesure. Il existe donc un risque de continuer à utiliser une mesure erronée ou une valeur dépendant de cette mesure erronée. De l’état de la technique antérieure, on connait les documents suivants. Le document US20200201312 divulgue une technologie d’isolation et de détection de pannes sur les capteurs anémométriques aéronautiques (Pression totale, Pression statique, etc…). Pour réaliser cela, il est décrit d’utiliser une banque de filtres de KALMAN et de ses résidus (i.e. écarts entre la mesure estimée et la mesure réelle) couplés à une table de vérité pour détecter et isoler un capteur en panne ou pour le reconfigurer sur son modèle en cas de défaut. Le document CN110118128 décrit un enseignement similaire mais basé sur une mise en forme particulière des résidus (WSSR : Weighted Sum of Squares of Residuals) pour l’isolation et la détection. Le document US2009043447 décrit également un enseignement similaire, mais basé sur des indicateurs différents (delta sur des moyennes des évolutions des états et/ou des résidus) pour détecter et isoler des pannes. De plus, dans le cas où le capteur en faute ne peut être isolé, une approche probabiliste (occurrence des pannes) est utilisée. Ces différents documents de l’état de l’art permettent de détecter le défaut d’un capteur parmi un ensemble de capteurs mesurant des grandeurs physiques différentes. Par ailleurs, ces différents documents reposent sur différentes architectures de filtres de Kalman sous forme de « banques » : plusieurs filtres de Kalman différents sont utilisés avec les mêmes capteurs et l’interprétation des résidus (i.e. écarts entre les sorties du modèle et les mesures capteur) permet de détecter le capteur d’une grandeur physique en panne. La demanderesse a proposé dans la demande de brevet non publiée FR 2 200 875 une méthode à base de filtre de Kalman utilisant un modèle représentatif du fonctionnement du dispositif pour la détection de la voie saine lors d’un écart entre voies de mesure sur un capteur redondé. Cependant, l’utilisation d’une telle méthode peut faire apparaître de forts écarts entre les prédictions du modèle et les grandeurs correspondantes mesurés en vol. Ces écarts sont dus à plusieurs facteurs, notamment la variabilité de fabrication, le vieillissement du moteur ou les variations de prélèvements de puissance et d’air. Au vu de ce qui précède, le but de l’invention est d’améliorer la précision du modèle afin de diminuer les écarts entre les prédictions et les grandeurs correspondantes mesurés en vol. L’invention a donc pour objet un système de commande d’un dispositif muni d’au moins un équipement, le système de commande comprenant au moins un capteur apte à mesurer chacun une grandeur de fonctionnement du dispositif, et deux voies de mesure du capteur redondé pour chaque équipement, au moins un moyen de commande configuré pour déterminer une commande à destination du au moins un équipement en fonction de la mesure d’au moins une grandeur de fonctionnement du dispositif et d’une mesure sélectionnée pour l’équipement commandé. Le système comprend en outre un moyen de calcul configuré pour déterminer la mesure sélectionnée pour le au moins un équipement commandé, par un observateur comprenant deux filtres de Kalman utilisant chacun un même modèle de fonctionnement du dispositif, en fonction de la au moins une mesure de la grandeur de fonctionnement du dispositif et des mesures des voies de mesure du capteur redondé pour l’équipement commandé. Le moyen de calcul est configuré pour détecter une panne d’une des voies de mesure du capteur redondé de sorte à en exclure la voie de mesure, le moyen de calcul étant en outre configuré pour recaler le modèle de fonctionnement en fonction d’au moins une caractéristique individuelle du dispositif. Un tel système de commande permet le recalage du modèle en fonction des caractéristiques individuelles du dispositif et partant d’améliorer la précision des estimations réalisées par l’observateur à base de filtres de Kalman. La robustesse de l’accommodation d’une panne est ainsi améliorée. Selon une caractéristique, le moyen de calcul comprend : un observateur comprenant deux filtres de Kalman utilisant chacun un même modèle de fonctionnement du dispositif et déterminant pour l’un une estimation d’un biais d’une première voie de mesure, et pour l’autre une estimation d’un biais d’une deuxième voie de mesure, en fonction de la au moins une mesure de la grandeur de fonctionnement du dispositif, de la mesure de la première voie de mesure du capteur redondé et de la mesure de la deuxième voie de mesure du capteur redondé, un moyen de comparaison configuré pour émettre un signal de sélection en fonction d’une comparaison entre d’une part, la valeur absolue de la différence entre l’estimation du biais de la première voie de mesure et l’estimation du biais de la deuxième voie de mesure, et d’autre part, un seuil prédéterminé de vérification entre les deux voies de mesure, un dispositif de sélection configuré pour transmettre la mesure sélectionnée égale à la mesure de la première voie de mesure, à la mesure de la deuxième voie de mesure ou à la moyenne des mesures de la première voie de mesure et de la deuxième voie de mesure en fonction dudit signal de sélection, et un moyen de recalage configuré pour recaler le modèle de fonctionnement utilisé par ledit observateur en fonction de facteurs correctifs représentatifs d’au moins une caractéristique individuelle du dispositif. Par exemple, le moyen de recalage comprend une mémoire destinée au stockage des facteurs correctifs sous la forme d’une cartographie. Avantageusement, le moyen de recalage est configuré pour mettre à jour de façon itérative les valeurs de la cartographie lorsque le dispositif fonctionne en un régime stabilisé. Un tel moyen de recalage permet le recalage du modèle en fonction des caractéristiques individuelles du dispositif tenant compte à la fois de la variabilité de fabrication et de son évolution dans le temps. De préférence, la mise à jour de façon itérative est réalisée en fonction d’un facteur de gain prédéterminé. Avantageusement, le moyen de comparaison est configuré pour réaliser les étapes suivantes : on mémorise les estimations des biais au moment où il est déterminé que la différence en valeur absolue entre la mesure de la première voie de mesure et la mesure de la deuxième voie de mesure est supérieure à un seuil prédéterminé et on émet un signal de sélection indiquant au dispositif de sélection de transmettre une mesure sélectionnée égale à la mesure de la voie de mesure du capteur redondé pour laquelle la valeur absolue de son estimation du biais est le plus faible. De préférence, on continue à réaliser les estimations des biais même après la mémorisation. Par exemple, le dispositif est un moteur d’aéronef et les voies de mesure du capteur redondé mesurent la position des vérins pilotant les géométries variables des compresseurs, la section variable de la tuyère ou la valve de dosage du carburant. Selon un autre aspect, l’invention a pour objet un procédé de commande d’un dispositif muni d’au moins un équipement, d’au moins un capteur apte à mesurer une grandeur de fonctionnement du dispositif, et des voies de mesure du capteur redondé pour chaque équipement, le procédé de commande comprenant des étapes de : détermination d’une commande à destination d’au moins un équipement en fonction de la au moins une mesure de la grandeur de fonctionnement du dispositif et d’une mesure sélectionnée pour l’équipement commandé, détermination d’une mesure sélectionnée pour le au moins un équipement commandé, par un observateur comprenant deux filtres de Kalman utilisant chacun un même modèle de fonctionnement du dispositif recalé par des facteurs correctifs représentatifs d’au moins une caractéristique individuelle du dispositif, en fonction de la au moins une mesure de la grandeur de fonctionnement du dispositif et des mesures des voies de mesure du capteur redondé pour l’équipement commandé. Avantageusement, le procédé de commande comprend une étape préalable de mise à jour de façon itérative des facteurs correctifs réalisée lorsque le dispositif fonctionne en un régime stabilisé. Selon un autre aspect, l’invention a pour objet un aéronef muni d’un système de commande ou comprenant un procédé de commande tels que décrit ci-dessus. D’autres buts, caractéristiques et avantages de l’invention apparaîtront à la lecture de la description suivante, donnée uniquement à titre d’exemple non limitatif, et faite en référence aux dessins annexés sur lesquels : FIG. 1 illustre les principaux éléments d’un système de commande basé sur deux filtres de Kalman selon l’invention; FIG. 2 illustre les principaux éléments d’un moyen de calcul prévu sur un système de commande selon l’invention ; et FIG. 3 illustre un organigramme d’une mise à jour des facteurs correctifs selon l’invention. Exposé détaillé d’au moins un mode de réalisation Le système de commande selon l’invention repose sur l’utilisation de deux filtres de Kalman pour détecter et localiser une panne simple d’un capteur redondé afin d’accommoder l’acquisition sur la voie saine au lieu de choisir arbitrairement une voie et potentiellement sélectionner la mauvaise voie. Selon l’invention, les deux filtres de Kalman sont identiques, mais alimentés chacun par une voie de mesure différente, à savoir une première voie de mesure dite voie locale pour l’un et une deuxième voie de mesure dite voie « cross » pour l’autre. Dans une application à un aéronef, et à la commande du moteur d’un aéronef, il est alors possible d’éviter un évènement moteur, tel qu’une perte de commande de poussée LOTC (acronyme de « Loss of Thrust Control »). La FIG. 1 illustre les principaux éléments d’un système de commande basé sur un observateur comprenant deux filtres de Kalman selon l’invention. Comme indiqué précédemment, un tel système de commande a des applications en aéronautique et est utilisé pour commander un dispositif, tel qu’un moteur pour un aéronef. Par exemple, le système de commande peut être utilisé pour le contrôle du fonctionnement d’un vérin de commande d’injection de carburant dans un moteur d’aéronef. Ainsi, un dispositif 1 est commandé par un moyen de commande 2a,2b en fonction de la différence entre une consigne CS d’un paramètre de fonctionnement du dispositif 1 (par exemple, la vitesse de rotation dans le cas d’un moteur) et une mesure Y par un capteur 3 du paramètre de fonctionnement du dispositif 1 correspondant à la consigne CS. La différence entre la consigne CS et la mesure Y est déterminée par l’intermédiaire d’un soustracteur 4. Le premier moyen de commande 2a peut être un moyen de commande en boucle ouverte ou en boucle fermée et permet de déterminer la commande u c . Le deuxième moyen de commande 2b est un moyen de commande en boucle fermée. Plus précisément, le premier moyen de commande 2a permet de déterminer une consigne de commande u c en fonction de la différence entre la consigne CS et la mesure Y lorsque le premier moyen de commande 2a est un moyen de commande en boucle fermée. Le premier moyen de commande 2a permet de déterminer une consigne de commande u c en fonction de la mesure Y lorsque le premier moyen de commande 2a est un moyen de commande en boucle ouverte. Cette consigne de commande u c est reçue par un deuxième moyen de commande 2b afin de déterminer une commande u d’au moins un dispositif 1i en tenant compte d’une mesure sélectionnée u s reçue d’un moyen de calcul 5 comprenant un observateur 5a basé sur deux filtres de Kalman 5a 1 et 5a 2 ( FIG. 2 ). On comprendra que l’utilisation de deux moyens de commande 2a, 2b permet de commander plusieurs équipements 1i distincts agissant sur les dispositifs en fonction de la mesure Y et/ou de la consigne CS suivant la structure du premier moyen de commande 2a. Dans le cas d’un moteur aéronautique commandé ainsi, les équipements 1i commandés peuvent être le doseur de carburant ou les aubes à géométrie variable dudit moteur. Ces équipements contribuent au fonctionnement du moteur, et à la réalisation de la commande, par exemple la vitesse de rotation du moteur. On comprend ainsi que pour réaliser la consigne CS au travers de la mesure Y, la commande u est de type vecteur, et comprend une mesure sélectionnée à destination de chaque équipement 1i du dispositif 1. Il est à noter que les grandeurs u c , u s , CS, Y, u L et u x peuvent être des vecteurs. Afin de s’assurer que chaque équipement 1i réalise la commande déterminée par le deuxième moyen de commande 2b, des voies de mesures 3ia,3ib spécifiques à chaque équipement 1i sont employées. Chaque paire de voies de mesures 3ia,3ib est issue de la redondance d’un capteur de mesure et de sa chaine d’acquisition. Ils mesurent ainsi la même grandeur de sorte que la mesure soit toujours disponible même en cas de défaillance d’une de voies de mesures 3ia,3ib d’un capteur spécifique redondé. Les mesures de la première voie de mesure 3ia, ou voie locale, de plusieurs capteurs (avec i variant 1 à j) peuvent être concaténées dans le vecteur u L . Les mesures de la deuxième voie de mesure 3ib, ou voie cross, de plusieurs capteurs peuvent être concaténées dans le vecteur u x . Sur la FIG. 1 , un seul équipement 1i est illustré dans un but de lisibilité. On comprendra qu’un moteur pour aéronef est généralement muni de multiples équipements 1i, munis chacun d’une paire de capteurs spécifiques redondés 3ia, 3ib. Néanmoins, cette redondance pose alors le problème de la détermination des voies de mesures 3ia,3ib à prendre en compte dans le calcul de la mesure sélectionnée u s à transmettre au deuxième moyen de commande 2b. En effet, les cas simples comme l’absence d’un signal ou des signaux identiques peuvent être traités avec des opérateurs logiques. Néanmoins, les cas plus complexes comme une dérive ou biais d’une voie de mesure d’un capteur ne peuvent être traités ainsi. Le moyen de calcul 5 reçoit en entrée les mesures u L ,u X des voies de mesure 3ia,3ib du capteur redondé et une ou des mesures Y du capteur 3. Il émet en sortie le signal de mesure sélectionnée u s à destination du deuxième moyen de commande 2b. Le moyen de calcul 5 est muni d’un observateur 5a comprenant deux filtres de Kalman 5a 1 et 5a 2 ( FIG. 2 ), permettant de déterminer la mesure sélectionnée u s en fonction des signaux des capteurs u L ,u X ,Y. L’observateur utilise un modèle représentatif du fonctionnement du dispositif 1 et du au moins un équipement 1i et permet d’isoler une voie de mesure défaillante provenant d’une des voies de mesures 3ia,3ib de capteur redondé mesurant chaque équipement 1i. La mesure sélectionnée u S est obtenue en comparant les biais additifs estimés sur la première voie de mesure 3ia avec les biais additifs estimés sur la deuxième voie de mesure 3ib. Les filtres de Kalman permettent alors, en faisant varier en temps réel les biais additifs sur chacune des entrées du modèle, de faire converger les sorties du modèle avec les mesures Y du moteur. La convergence permet de minimiser les résidus. Les biais obtenus représentent alors directement l’écart entre la mesure réelle de l’équipement commandé (déterminée par observation via son effet sur le dispositif) et la mesure choisie u L , u X issue d’une des voies de mesure 3ia,3ib du capteur. Le réglage de la performance du filtre (gains) est réalisé de manière optimale à travers la résolution d’un problème standard (par exemple, équation algébrique de RICCATI). Plus précisément, le moyen de calcul 5 réalise l’estimation des biais associée à chaque voie de mesure 3ia ou 3ib du capteur redondé. La FIG. 2 illustre les principaux éléments du moyen de calcul 5 selon l’invention. Le moyen de calcul 5 comprend un observateur 5a utilisant deux filtres de Kalman référencés 5a 1 et 5a 2 , un moyen de comparaison 5b, et un dispositif de sélection référencé 5c. Comme indiqué précédemment, l’observateur 5a utilise un modèle représentatif du fonctionnement du dispositif 1. Dans le mode de réalisation préféré, le modèle utilisé est un modèle linéarisé tangent et l’observateur 5a comprend deux filtres de Kalman utilisant ce même modèle, mais alimentés chacun par une voie de mesure différente. Il reste cependant possible d’utiliser tout estimateur de perturbations qui utilise un modèle linéarisé tangent. Il est aussi possible, de remplacer le modèle linéarisé tangent par un modèle physique et non-linéaire. Dans ce dernier cas, les filtres de Kalman utilisés pour estimer les perturbations sur les signaux des actionneurs sont des filtres de Kalman étendus (« Extended Kalman Filter » en anglais) qui permettent de linéariser localement le problème. Le modèle représentatif du fonctionnement du dispositif est basé sur une représentation d’état du système représenté par le dispositif 1. De manière connue, une représentation d’état d’un système linéaire peut s’écrire : (1) où A, B, C, D sont des matrices qui permettent de représenter les contributions des états x k et des commandes u k sur la valeur des états à l’instant suivant x k+1 et des mesures y k . Néanmoins, les systèmes réels sont en général non-linéaires et leur représentation d’état prend alors la forme générale suivante : (2) où f et g sont des fonctions quelconques et qui permettent de linéariser le système par développements en série de Taylor autour d’un point de fonctionnement quelconque du système. On obtient alors au voisinage d’un point la représentation d’état linéarisée tangente suivante : (3) dans laquelle, (4) Dans le contexte de l’accommodation de panne d’écart de mesure sur un capteur redondé sur un moteur d’aéronef, tel qu’un capteur LVDT (acronyme de « Linear Variable Differential Transformer ») mesurant la position linéaire d’un vérin sur un des actionneurs du moteur on peut choisir la représentation d’état suivante : (5) Où : Avec : le régime de rotation de l’arbre de basse pression (BP), le régime de rotation de l’arbre de haute pression (HP), la température dans le plan thermodynamique du compresseur BP, la température dans le plan thermodynamique du compresseur HP, la pression en amont du compresseur BP, le débit de carburant dans la chambre de combustion, le régime réduit de l’arbre BP, le régime réduit de l’arbre HP, le débit carburant réduit dans la chambre de combustion, la section variable de la tuyère, l’angle de la roue directrice d’entrée du compresseur BP, l’angle des stators variables du compresseur HP, le ratio entre la pression statique et la pression totale dans un plan intermédiaire entre les compresseurs BP et HP, la pression statique réduite dans la chambre de combustion, une température standard de référence, une pression standard de référence. À noter que les régimes et sont à la fois dans les états , puisqu’ils sont régis par une équation différentielle que l’on considère à travers la représentation d’état, et dans les mesures puisqu’on les mesure. On a alors : (7) où , et . Les coefficients présents dans les matrices comme les éléments de ( et ), ( , , et ) et ( , , et ) sont obtenus par une procédure d’identification classique. Il est à noter que les deux premières lignes de et sont triviales puisqu’on a et . Comme le comportement du moteur évolue avec sa charge, on peut identifier des matrices et des vecteurs pour des points de fonctionnement progressivement répartis entre le ralenti et le plein gaz. On obtient alors une représentation d’état conforme à l’équation 1 pour chaque point de fonctionnement, et entre deux points de fonctionnement identifiés le modèle du système est donné par une interpolation terme à terme des éléments de ces matrices. La grandeur de fonctionnement représentant la position le long de la ligne de fonctionnement peut typiquement être PS32Q2, c’est-à-dire la pression statique réduite dans la chambre de combustion. Il reste cependant possible d’utiliser tout autre grandeur évoluant de manière bijective avec la charge du moteur. Par exemple, il est possible d’utiliser des grandeurs de fonctionnement telles que la pression P32, les régimes XN2, XN25, les régimes réduits XN2R, XN25R, le débit de carburant WF32 ou le débit de carburant réduit WF32R2. Cette représentation est juste au sol, mais le comportement du moteur varie également suivant les conditions de l’air ambiant, elles-mêmes fonction de l’altitude (notée ALT) et du nombre de Mach (noté XM) de l’avion. Les valeurs des coefficients de ne sont donc pas seulement issues d’une interpolation à une dimension le long de la ligne de fonctionnement, mais bien d’une interpolation dans un cube dont les trois dimensions sont typiquement PS32Q2, ALT et XM. On peut alors exprimer la représentation d’état sous la forme suivante : (8) Où (9) Il est à noter que bien que la détermination des valeurs des éléments a été décrite en référence à une interpolation typiquement réalisée à partir d’une table de valeurs, il est possible d’utiliser à la place, des fonctions mathématiques représentant l’évolution de chaque grandeur du modèle le long d’une ligne de fonctionnement. Aussi, bien que la description fait référence à l’altitude et au nombre de Mach pour la prise en compte des conditions de l’air ambiant, il reste possible de remplacer ces séquencements par d’autres grandeurs représentatives des conditions de l’air aux bornes du moteur. Les filtres de Kalman 5a 1 et 5a 2 de l’observateur 5a permettent en tenant compte d’une ou plusieurs mesures Y, de déterminer, respectivement une estimation du biais de la première voie de mesure û L correspondant à la mesure u L de la première voie de mesure 3ia du capteur redondé, et une estimation du biais de la deuxième voie de mesure û x correspondant à la mesure u x de la deuxième voie de mesure 3ib du capteur redondé. Le moyen de comparaison 5b est configuré pour déterminer un signal de sélection, noté sel, en fonction de la comparaison entre d’une part, la valeur absolue de la différence entre l’estimation du biais û L de la première voie de mesure et l’estimation du biais û x de la deuxième voie de mesure, et d’autre part, un seuil prédéterminé de vérification entre les deux voies de mesure, seuil dit de « cross-check ». Le choix de la mesure sélectionnée se fait en fonction du seuil de cross-check. Si le seuil de cross-check n’est pas dépassé, on sélectionne la moyenne arithmétique des deux voies de mesure. Si le seuil de cross-check est dépassé, on a deux cas possibles. Selon un premier cas, si le biais estimé sur la première voie de mesure de l’actionneur concerné par la panne de cross-check est supérieur en valeur absolue au biais estimé sur la deuxième voie de mesure, on sélectionne la mesure de la deuxième voie. Selon un deuxième cas, si le biais estimé sur la première voie de l’actionneur concerné par la panne de cross-check est inférieur ou égal en valeur absolue au biais estimé sur la deuxième voie de mesure, on sélectionne la mesure de la première voie. En fonction du résultat des comparaisons, le signal de sélection sel est alors transmis au dispositif de sélection 5c recevant également en entrée la mesure u L de la première voie de mesure 3ia et la mesure u x de la deuxième voie de mesure 3ib. Le dispositif de sélection 5c comprend un moyen de calcul 5d configuré pour réaliser la moyenne de la mesure u L de la première voie de mesure 3ia et de la mesure u x de la deuxième voie de mesure 3ib. Le dispositif de sélection 5c comprend également une porte logique 5e recevant en entrée d’une part le signal de sélection sel et d’autre part la mesure u L de la première voie de mesure 3ia, la mesure u x de la deuxième voie de mesure 3ib et la moyenne de la mesure u L de la première voie de mesure 3ia et de la mesure u x de la deuxième voie de mesure 3ib. En fonction du signal de sélection sel reçu, le dispositif de sélection 5c transmet la mesure u L de la première voie de mesure 3ia, la mesure u x de la deuxième voie de mesure 3ib ou la moyenne de la mesure u L de la première voie de mesure 3ia et de la mesure u x de la deuxième voie de mesure 3ib sous forme du signal de mesure sélectionnée u S . La [Table 1] suivante illustre la table de vérité résultant des actions du moyen de comparaison 5b et du dispositif de sélection 5c. | u L – u x | > β û L > û x sel 0 N/A (u L + u x ) / 2 1 0 u L 1 1 ux Le moyen de calcul 5 permet de détecter qu’une voie de mesure 3ia, 3ib est en panne ou qu’elle est défaillante. On considère qu’une voie de mesure est défaillante, si l’écart mesuré entre les deux voies est supérieur au seuil de cross-check et si l’estimation du biais associé à l’autre voie est inférieure en valeur absolue à celle de la voie en question. L’observateur emploie alors les mesures fournies par la voie de mesure saine du capteur redondé. Cet arbitrage peut être fait sous la forme d’une table de vérité. Le moyen de calcul 5 comprend un moyen de recalage référencé 5f configuré pour recaler le modèle de fonctionnement du dispositif 1 utilisé par l’observateur 5a en fonction de facteurs correctifs représentatifs d’au moins une caractéristique individuelle du dispositif. Le recalage consiste à corriger la représentation d’état linéarisée tangente décrite par les équations 8 qui devient : (10) où (11) Le point de référence n’apparaît plus directement dans la représentation d’état, mais chaque élément de l’équation 11 est corrigé en multipliant chaque grandeur de fonctionnement par un facteur correctif noté , spécifique à la grandeur corrigée et qui dépend de la position le long de la ligne de fonctionnement, typiquement en fonction de PS32Q2. Un tel recalage par des facteurs correctifs k permet de corriger le modèle de fonctionnement du dispositif en tenant compte des caractéristiques individuelles du dispositif. Pour garantir l’efficacité des filtres de Kalman à désigner la voie saine, et éviter qu’un recalage ne mette à jour des facteurs correctifs alors qu’un écart entre voies de mesures est apparu, le moyen de calcul 5 est configuré en fonction d’un seuil d’écart prédéfini. Si l’écart mesuré entre les voies de mesure est en dessous du seuil d’écart prédéfini, le moyen de calcul est configuré pour effectuer le recalage et pour désactiver les filtres de Kalman. Inversement, si l’écart mesuré entre les voies de mesure est égal ou au-dessus du seuil d’écart prédéfini, le moyen de calcul est configuré pour désactiver le recalage et activer les filtres de Kalman. Par exemple, si les écarts de mesure entre la voie locale et la voie cross sont inférieurs à 50% du seuil de cross-check pour chacun des quatre actionneurs considérés, le recalage est activé et les filtres de Kalman estimant les perturbations sur les signaux de commande sont désactivés. Sinon, les filtres de Kalman sont activés et le recalage est désactivé. En variante, il reste possible de garder activés les filtres de Kalman 5a 1 et 5a 2 et de désactiver le recalage lorsque l’on dépasse le seuil d’écart prédéfini. Les facteurs correctifs sont stockés dans une mémoire 5g du moyen de recalage 5f sous la forme d’une cartographie. La cartographie peut correspondre à un ensemble de tables, chaque table reliant un facteur correctif à un paramètre de fonctionnement du dispositif. Le moyen de recalage 5f est configuré pour mettre à jour régulièrement cette cartographie afin de tenir compte de l’évolution des caractéristiques individuelles du dispositif 1 dans le temps, notamment par rapport au vieillissement. Lors d’une première utilisation, la cartographie ou les tables sont initialisées avec des valeurs unitaires. Autrement dit, avant le premier vol, les éléments de chaque table contenant les valeurs des facteurs correctifs valent tous 1. La mise à jour des facteurs correctifs est réalisée de manière similaire à chaque itération et pour chaque élément à recaler. La mise à jour des facteurs correctifs est réalisée lorsque le dispositif fonctionne en un régime stabilisé. Le fonctionnement en régime stabilisé est déterminé par rapport à un seuil prédéfini. Par exemple, un dispositif commandé est considéré fonctionner en régime stabilisé si la variation moyenne de paramètres représentatifs de son fonctionnement considérée sur au moins une période prédéterminée est inférieure à un seuil prédéterminé. Par exemple, un moteur d’aéronef peut être considéré fonctionner en régime stabilisé si l’indicateur I(t) suivant a une valeur inférieure à 1. (12) Avec : (13) En d’autres termes, si I(t) = 1 alors la variation moyenne de XN25R et de WF32R2, prise par rapport aux instants , et , vaut 1%. On décrit dans ce qui suit l’organigramme de la FIG. 3 qui résume l’architecture du code de calcul associé à la mise à jour des facteurs correctifs et mis en œuvre par le moyen de recalage 5f dans le cadre du système de commande selon l’invention. La description est faite à titre d’exemple et en référence à WF32R2, soit le débit de carburant réduit dans la chambre de combustion. Le code de calcul est bien entendu transposable de manière similaire à toute autre grandeur de fonctionnement à recaler. Comme indiqué précédemment, les facteurs correctifs k WF32R2 sont stockés dans une mémoire 5g du module de recalage 5f sous la forme d’une cartographie ou tables. La mise à jour des facteurs correctifs commence par une étape 10 de détermination des valeurs d’entrée. Les valeurs d’entrée sont constituées par des paramètres atmosphériques mesurés par des sondes, des paramètres mécaniques mesurés par des capteurs présents sur le moteur et des paramètres calculés précisés ci-après. De préférence, les valeurs d’entrée comprennent les valeurs courantes de PS32Q2, ALT, XM et du débit carburant, noté . Les valeurs d’entrée comprennent également la valeur courante de WF32R2 0 obtenue par interpolation en fonction de PS32Q2, ALT et XM à partir d’une table obtenue par une procédure d’identification classique. Les valeurs d’entrée comprennent en outre la valeur du facteur de correction k WF32R2 obtenu par interpolation linéaire dans la table correspondante en fonction de PS32Q2, en fonction de la coordonnée x PS32Q2 à l’intérieur d’une maille donnée et des valeurs tabulaires correspondantes aux nœuds de la maille. Lors de l’étape de calcul 11 suivante, le module de recalage 5f calcule d’abord la valeur corrigée du point de référence courant en multipliant la valeur courante de la grandeur à corriger par le facteur correctif correspondant : (14) Lors de la même étape de calcul 11, le module de recalage 5f calcule l’écart relatif entre le débit de carburant attendu et le débit de carburant mesuré : (15) Lors de la même étape de calcul 11, le module de recalage 5f calcule l’écart relatif filtré en multipliant l’écart relatif par un facteur de gain prédéterminé qui permet de régler la rapidité de la convergence : (16) Lors de l’étape de mise à jour 12 suivante, le module de recalage 5f affecte l’écart relatif filtré aux deux nœuds adjacents à la valeur courante de PS32Q2, dans la table des facteurs correctifs , au prorata de la proximité du PS32Q2 courant avec chacun de ces deux nœuds. En notant l’indice de la maille courante de cette table, on a alors : (17) et (18) La mise à jour des facteurs correctifs des grandeurs et sont identiques à celle de , en remplaçant la table par la table correspondante. Le système de commande a été décrit en rapport avec une seule grandeur mesurée par deux voies de mesure spécifiques 3ia,3ib d’un capteur redondé. Néanmoins, le système de commande peut être étendu à au moins deux grandeurs mesurées chacune par deux voies de mesure spécifiques de capteurs redondés. Dans ce cas, un même observateur 5a basé sur deux filtres de Kalman 5a 1 et 5a 2 est employé afin de déterminer l’estimation du biais des voies de mesure pour chaque grandeur prise en charge. Pour chaque grandeur, on dispose alors de deux estimations de biais, d’un moyen de comparaison, ainsi que d’un moyen de sélection. Le système de commande permet : d’isoler, pour chaque capteur redondé, la voie en panne de la voie saine et de pouvoir ainsi se reconfigurer, d’utiliser un même observateur basé sur deux filtres de Kalman et alimenté par des voies de mesures différentes. Ainsi, contrairement à l’état de l’art qui utilise une banque de filtres de Kalman différents, cela permet d’optimiser le système de commande (réduction de l’impact sur la mémoire ou la charge CPU) d’obtenir une estimation du biais dépendant directement des mesures et facilement interprétable par la suite (contrairement aux résidus utilisés dans l’état de l’art) d’améliorer la précision des estimations des perturbations et partant, la robustesse de la désignation de la voie saine par un recalage du modèle utilisé par l’observateur à base de filtre de Kalman. Appliqué à un aéronef, et notamment à la commande d’un moteur d’un aéronef, le système de commande permet d’être robuste à la panne pendant le vol et de fournir un diagnostic pour un remplacement en fin de mission. Système de commande d’un dispositif (1) muni d’au moins un équipement (1i), le système de commande comprenant au moins un capteur (3) apte à mesurer chacun une grandeur de fonctionnement du dispositif, et deux voies de mesure (3ia, 3ib) du capteur redondé pour chaque équipement (1i), au moins un moyen de commande (2a, 2b) configuré pour déterminer une commande à destination du au moins un équipement (1i) en fonction de la mesure d’au moins une grandeur de fonctionnement du dispositif (1) et d’une mesure sélectionnée pour l’équipement (1i) commandé, le système comprenant en outre un moyen de calcul (5) configuré pour déterminer la mesure sélectionnée pour le au moins un équipement (1i) commandé, par un observateur (5a) comprenant deux filtres de Kalman (5a 1 , 5a 2 ) utilisant chacun un même modèle de fonctionnement du dispositif (1), en fonction de la au moins une mesure de la grandeur de fonctionnement du dispositif et des mesures des voies de mesure (3ia, 3ib) du capteur redondé pour l’équipement (1i) commandé, caractérisé en ce que le moyen de calcul (5) est configuré pour détecter une panne d’une des voies de mesure (3ia, 3ib) du capteur redondé de sorte à en exclure la voie de mesure, le moyen de calcul (5) étant en outre configuré pour recaler le modèle de fonctionnement en fonction d’au moins une caractéristique individuelle du dispositif (1). Système de commande selon la revendication 1, dans lequel le moyen de calcul (5) comprend : un observateur (5a) comprenant deux filtres de Kalman (5a 1 , 5a 2 ) utilisant chacun un même modèle de fonctionnement du dispositif et déterminant pour l’un (5a 1 ) une estimation d’un biais (û L ) d’une première voie de mesure (3ia), et pour l’autre (5a 2 ) une estimation d’un biais(û x ) d’une deuxième voie de mesure (3ib), en fonction de la au moins une mesure de la grandeur de fonctionnement du dispositif, de la mesure de la première voie de mesure du capteur redondé et de la mesure de la deuxième voie de mesure du capteur redondé, un moyen de comparaison (5b) configuré pour émettre un signal de sélection en fonction d’une comparaison entre d’une part, la valeur absolue de la différence entre l’estimation du biais (û L ) de la première voie de mesure (3ia) et l’estimation du biais (û x ) de la deuxième voie de mesure (3ib), et d’autre part, un seuil prédéterminé de vérification entre les deux voies de mesure , un dispositif de sélection (5c) configuré pour transmettre la mesure sélectionnée égale à la mesure de la première voie de mesure, à la mesure de la deuxième voie de mesure ou à la moyenne des mesures de la première voie de mesure et de la deuxième voie de mesure en fonction dudit signal de sélection, et un moyen de recalage (5f) configuré pour recaler le modèle de fonctionnement utilisé par ledit observateur (5a) en fonction de facteurs correctifs représentatifs d’au moins une caractéristique individuelle du dispositif. Système selon la revendication 2, dans lequel le moyen de recalage (5f) comprend une mémoire (5g) destinée au stockage des facteurs correctifs sous la forme d’une cartographie. Système selon la revendication 3, dans lequel le moyen de recalage est configuré pour mettre à jour de façon itérative les valeurs de la cartographie lorsque le dispositif fonctionne en un régime stabilisé. Système selon la revendication 4, dans lequel la mise à jour de façon itérative est réalisée en fonction d’un facteur de gain prédéterminé. Système de commande selon l’une quelconque des revendications 2 à 5, dans lequel le moyen de comparaison (5b) est configuré pour réaliser les étapes suivantes : on mémorise les estimations des biais au moment où il est déterminé que la différence en valeur absolue entre la mesure de la première voie de mesure et la mesure de la deuxième voie de mesure est supérieure à un seuil prédéterminé et on émet un signal de sélection indiquant au dispositif de sélection (5c) de transmettre une mesure sélectionnée égale à la mesure de la voie de mesure du capteur redondé pour laquelle la valeur absolue de son estimation du biais est la plus faible. Système de commande selon l’une quelconque des revendications 1 à 6, dans lequel le dispositif est un moteur d’aéronef et les voies de mesure du capteur redondé mesurent la position des vérins pilotant les géométries variables des compresseurs, la section variable de la tuyère ou la valve de dosage du carburant. Procédé de commande d’un dispositif (1) muni d’au moins un équipement (1i), d’au moins un capteur (3) apte à mesurer une grandeur de fonctionnement du dispositif, et des voies de mesure (3ia, 3ib) du capteur redondé pour chaque équipement (1i), le procédé de commande comprenant des étapes de : détermination d’une commande à destination d’au moins un équipement (1i) en fonction de la au moins une mesure de la grandeur de fonctionnement du dispositif et d’une mesure sélectionnée pour l’équipement (1i) commandé, détermination d’une mesure sélectionnée pour le au moins un équipement (1i) commandé, par un observateur (5a) comprenant deux filtres de Kalman (5a 1 , 5a 2 ) utilisant chacun un même modèle de fonctionnement du dispositif recalé par des facteurs correctifs représentatifs d’au moins une caractéristique individuelle du dispositif (1), en fonction de la au moins une mesure de la grandeur de fonctionnement du dispositif (1) et des mesures des voies de mesure (3ia, 3ib) du capteur redondé pour l’équipement (1i) commandé. Procédé selon la revendication 8 comprenant une étape préalable de mise à jour de façon itérative desdits facteurs correctifs réalisée lorsque le dispositif (1) fonctionne en un régime stabilisé. Aéronef muni d’un système de commande selon l’une quelconque des revendications 1 à 7 ou muni d’un système mettant en œuvre un procédé de commande selon la revendication 8 ou 9.