INPI-France/Brevets-Francais-2024-Chunked huggingface dataset:
- l’unité de gestion d’affichage est configurée pour transmettre simultanément la commande principale à l’au moins un module d’interfaçage et à l’au moins un module de confirmation, l’au moins un module d’interfaçage étant configuré, sur réception de la commande principale, pour transmettre la commande principale à l’au moins un module de contrôle, l’au moins un module de confirmation générant la commande de sécurité après une temporisation commençant lorsque l’au moins un module de confirmation reçoit la commande principale ;
- l’au moins un module de contrôle est configuré pour recevoir successivement dans le temps une première commande et une deuxième commande, l’au moins un module de contrôle comprenant :
- un champs mémoire principal configuré pour stocker la première commande ;
- un champs mémoire de sécurité configuré pour stocker la deuxième commande ;
- une unité de vérification générant une autorisation de passage de l’au moins un élément fonctionnel dans la configuration cible lorsque simultanément la première commande stockée dans le champ mémoire principal correspond à la commande principale attendue correspondant au passage de l’au moins un élément fonctionnel dans la configuration cible et la deuxième commande stockée dans le champs mémoire de sécurité correspond à la commande de sécurité attendue correspondant au passage de l’au moins un élément fonctionnel dans la configuration cible, l’unité de vérification étant configurée pour transmettre l’autorisation de passage à une unité de contrôle ; et
- l’unité de contrôle, passant l’au moins un élément fonctionnel dans la configuration cible lorsqu’elle reçoit l’autorisation de passage de l’au moins un élément fonctionnel dans la configuration cible ;
- l’au moins un module de confirmation est configuré, sur réception de la commande principale, pour générer une demande de confirmation de la commande principale, l’unité de gestion d’affichage étant apte à afficher la demande de confirmation sur l’afficheur à destination de l’opérateur ;
- la demande de confirmation comprend une chaîne de caractères associée à la commande principale ;
- l’architecture de commande comprend en outre au moins un dispositif de confirmation indépendant de l’au moins une interface homme-machine et propre à être actionné par l’opérateur pour confirmer la commande principale lorsque la demande de confirmation correspond à une demande de confirmation de passage de l’au moins un élément fonctionnel dans la configuration cible, l’au moins un module de confirmation générant la commande de sécurité lorsque l’au moins un dispositif de confirmation est actionné pour confirmer la commande principale ;
- l’au moins un dispositif de confirmation est configuré pour générer une confirmation lorsqu’il est actionné pour confirmer la commande principale, la confirmation comprenant par exemple un unique bit de confirmation, l’architecture de commande comprenant en outre au moins un module d’interfaçage auxiliaire configuré pour transmettre la confirmation au module de confirmation ;
- l’au moins un module de contrôle est configuré pour générer des informations représentatives d’une configuration courante de l’au moins un élément fonctionnel, l’unité de gestion d’affichage étant apte à afficher lesdites informations sur l’afficheur à destination de l’opérateur.
L’invention a également pour objet un procédé de commande d’au moins un élément fonctionnel d’un aéronef, pilotable entre une pluralité de configurations à l’aide d’une architecture de commande telle que décrite précédemment, le procédé comprenant :
- la génération de la commande principale en fonction d’une action d’un opérateur visant à passer l’au moins un élément fonctionnel dans la configuration cible ;
- la transmission de la commande principale à l’au moins un module de contrôle et à l’au moins un module de confirmation;
- la génération par l’au moins un module de confirmation de la commande de sécurité associée à la commande principale ;
- la transmission de la commande de sécurité à l’au moins un module de contrôle;
Il existe quelques architectures virtualisées sur les aéronefs actuels. Cependant, certaines fonctions de certains éléments fonctionnels constituent des fonctions critiques qui, si elles ne sont pas exécutées de manière adéquate, peuvent mettre en danger l’intégrité de l’aéronef ou nuire à la sécurité de ses passagers.
Il est donc impératif que la commande principale transmise à l’élément fonctionnel corresponde effectivement à la fonction que souhaite effectuer l’opérateur.
Toutefois, dans une telle architecture de commande virtualisée, il existe une certaine probabilité que la commande principale soit corrompue, de sorte qu’elle ne corresponde pas réellement à ce que souhaite réaliser l’opérateur. Une telle corruption peut avoir lieu lors de la génération de la commande principale, ou lors de sa transmission au module d’interfaçage et/ou au module de contrôle. La corruption de la commande peut alors aboutir à la non-exécution de la fonction souhaitée par l’opérateur ou, pire encore, à l’exécution d’une fonction non-souhaitée par l’opérateur. Une telle corruption de la commande présente donc un risque substantiel pour l’aéronef. Une telle architecture n’est donc pas adaptée pour piloter des fonctions critiques de l’aéronef.
Un but de l’invention est de pallier cet inconvénient en améliorant la fiabilité d’une telle architecture de commande afin qu’elle permette de piloter des fonctions critiques.
A cet effet, l’invention a pour objet une architecture de commande du type précité, comprenant en outre, au moins un module de confirmation de la commande principale, configuré pour générer une commande de sécurité associée à la commande principale,
l’au moins un module d’interfaçage étant configuré pour transmettre la commande de sécurité à l’au moins un module de contrôle ,
l’au moins un module de contrôle passant l’au moins un élément fonctionnel dans la configuration cible lorsque la commande principale correspond à une commande principale attendue de passage de l’au moins un élément fonctionnel dans la configuration cible et lorsque la commande de sécurité correspond à une commande de sécurité attendue de passage de l’au moins un élément fonctionnel dans la configuration cible.
L’architecture de commande selon l’invention peut comprendre l’une ou plusieurs des caractéristiques suivantes, prise(s) isolément ou suivant toute combinaison techniquement envisageable :
- la commande principale comprend un multiplet principal, la commande principale attendue comprend un multiplet principal attendu, la commande de sécurité comprend un multiplet de sécurité et la commande de sécurité attendue comprend un multiplet de sécurité attendu,
le multiplet principal et le multiplet principal attendu comprenant respectivement N bits, le multiplet de sécurité et le multiplet de sécurité attendu comprenant respectivement M bits,
N et M étant des entiers supérieurs à 8, N et M étant par exemple égaux entre eux, notamment respectivement égaux à 16 ;
- l’architecture de commande est telle que :
- au moins K bits sont distincts entre le multiplet principal attendu et le multiplet de sécurité attendu ;
- au moins K bits sont distincts entre le multiplet principal attendu correspondant au passage de l’au moins un élément fonctionnel dans la configuration cible et tout multiplet principal attendu correspondant à une commande alternative différant du passage de l’au moins un élément fonctionnel dans la configuration cible ;
- au moins K bits sont distincts entre le multiplet de sécurité attendu correspondant au passage de l’au moins un élément fonctionnel dans la configuration cible et tout multiplet de sécurité attendu correspondant à une commande alternative différant du passage de l’au moins un élément fonctionnel dans la configuration cible ;
K étant un entier inférieur ou égal au minimum entre N et M, K étant notamment supérieur ou égal à 4 ;
Ici, le dispositif de transfert de carburant est propre à être piloté entre une configuration dans laquelle il empêche le transfert de carburant entre le premier réservoir et le deuxième réservoir de l’aéronef 1, une configuration dans laquelle il autorise le transfert du carburant depuis le premier réservoir vers le deuxième réservoir de l’aéronef 1 et une configuration dans laquelle il autorise le transfert du carburant depuis le deuxième réservoir vers le premier réservoir de l’aéronef 1.
Le dispositif de transfert de carburant comprend par exemple au moins une vanne hydraulique mécanique ou électromécanique autorisant le transfert de carburant dans un sens (premier réservoir vers deuxième réservoir) ou dans l’autre (deuxième réservoir vers premier réservoir), ou empêchant le transfert de carburant entre les réservoirs.
A titre d’exemple, dans la suite, la configuration initiale correspond à la configuration dans laquelle le dispositif de transfert autorise le transfert du carburant depuis le deuxième réservoir vers le premier réservoir de l’aéronef 1 et la configuration cible correspond à la configuration dans laquelle le dispositif de transfert empêche le transfert de carburant entre le premier réservoir et le deuxième réservoir de l’aéronef 1. Ainsi, dans une situation initiale (illustrée sur la comme il sera décrit plus bas), du carburant est transféré depuis le deuxième réservoir vers le premier réservoir de l’aéronef 1. Par exemple, dans la suite de la description, l’opérateur souhaite être dans une situation cible dans laquelle aucun carburant n’est transféré entre les réservoirs.
Au moins une commande de l’élément fonctionnel 3 est, par exemple, critique pour l’aéronef 1. Par « critique », on entend que la fonction réalisée par l’élément fonctionnel 3 en réponse à certaines commandes de l’architecture de commande 10 est essentielle pour conserver l’intégrité de l’aéronef 1 ou la sécurité des passagers présents dans l’aéronef 1. Le transfert de carburant assuré par le dispositif de transfert de carburant est notamment critique.
L’architecture de commande 10 est configuré pour commander l’élément fonctionnel 3 entre ses différentes configurations, et en particulier entre la configuration initiale et la configuration cible. Une seule commande parmi l’ensemble des commandes possibles de l’architecture de commande 10 correspond au passage de l’élément fonctionnel 3 dans la configuration cible. Dans la suite, les commandes possibles différentes de la commande de passage de l’élément fonctionnel 3 vers la configuration cible sont appelées « commandes alternatives ». Les commandes alternatives correspondent, par exemple, à un passage de l’élément fonctionnel 3 vers une autre configuration que la configuration cible ou correspondent au contrôle d’autres éléments fonctionnels 3.
Comme illustré sur la , l’architecture de commande 10 comprend au moins une interface homme-machine 12 actionnable par l’opérateur pour générer une commande, au moins un module 14 de confirmation de la commande, au moins un module 16 de contrôle de l’élément fonctionnel 3 et au moins un module d’interfaçage 18 reliant l’interface homme-machine 12 et l’au moins un module de contrôle 16.
Par soucis de lisibilité des dessins, sur la , seuls une interface homme-machine 12, un module de confirmation 14, un module de contrôle 16 et deux modules d’interfaçage 18 sont illustrés. Le module d’interfaçage 18 illustré en pointillés est, par exemple, confondu avec l’un des deux modules d’interfaçage 18 en traits pleins.
Avantageusement, l’architecture de commande 10 comprend plusieurs interfaces homme-machine 12, plusieurs modules de confirmation 14, plusieurs modules de contrôle 16 et un ou plusieurs modules d’interfaçage 18, notamment pour assurer une certaine redondance afin de palier à l’avarie d’un ou plusieurs de ces interfaces homme-machine 12, modules de confirmations 14, modules de contrôle 16 et modules d’interfaçage 18.
Selon l’exemple illustré sur la , l’architecture de commande 10 comprend quatre interfaces homme-machine 12 et trois modules de confirmations 14 interconnectés. Comme illustré sur la , chaque interface homme-machine 12 est connecté à au moins deux modules de confirmation 14. Ainsi, lorsqu’une interface homme-machine 12 est hors-service, une autre interface homme-machine 12 peut être utilisée en remplacement. Lorsqu’un module de confirmation 14 est hors service, un autre module de confirmation 14 peut être utilisé en remplacement.
Optionnellement, l’architecture de commande 10 comprend en outre au moins un dispositif 20 de confirmation de la commande et au moins un module d’interfaçage auxiliaire 22 reliant le dispositif de confirmation 20 et le module de confirmation 14.
Avantageusement, l’architecture de commande 10 comprend plusieurs dispositifs de confirmation 20, notamment pour assurer une redondance afin de palier à l’avarie d’un dispositif de confirmation 20.
Selon l’exemple illustré sur la , l’architecture de commande 10 comprend deux dispositifs de confirmation 20. Comme illustré sur la , chaque module de confirmation 14 est connecté à au moins deux dispositif de confirmation 20. Lorsqu’un dispositif de confirmation 20 est hors-service, un autre dispositif de confirmation 20 peut être utilisée en remplacement.
L’architecture de commande 10 comprend par exemple une pluralité de modules d’interfaçage 18, notamment pour assurer une redondance afin de palier à l’avarie d’un module d’interfaçage 18. Ainsi, plusieurs modules d’interfaçage 18 relient l’interface homme-machine 12 et le module de contrôle 16 entre eux ainsi que le module de confirmation 14 et le module de contrôle 16 entre eux.
Dans ce qui suit, par soucis de concision, on décrit une seule interface homme-machine 12, un seul module de confirmation 14, un seul module de contrôle 16, un seul module d’interfaçage 18, un seul dispositif de confirmation 20 et un seul module d’interfaçage auxiliaire 22. Il est toutefois entendu que pour chacun de ces éléments de l’architecture 10, les autres éléments appelés pareillement sont identiques et assurent les mêmes fonctions ou des fonctions similaires.
Ainsi, il est entendu que dans l’exemple illustré sur la , dans lequel l’architecture de commande 10 comprend deux modules d’interfaçage 18, chacun de ces deux modules d’interfaçage 18 agit de manière identique ou au moins similaire au sein de l’architecture de commande 10.
En référence à la , l’interface homme-machine 12 comporte un afficheur 28 et une unité 30 de gestion d’affichage sur l’afficheur 28 (l’unité de gestion d’affichage 30 en pointillés est confondu avec l’unité de gestion d’affichage 30 en traits pleins).
Plus généralement, dans tout système comprenant un processeur et un circuit mémoire, intelligent ou non, il est souvent nécessaire de réaliser des transferts de données entre le circuit mémoire et un autre dispositif, par exemple un autre circuit mémoire, et éventuellement de réorganiser les données lors du transfert. Là encore, il est souhaitable de trouver des solutions pour décharger l’utilisation du processeur et de façon générale les canaux d’échange de données utilisés par le processeur lors de la mise en œuvre de tels transferts.
Un mode de réalisation prévoit un système comportant : - au moins un premier et un deuxième circuits mémoire ; et - un circuit de transfert direct de données entre les premier et deuxième circuits mémoire, dans lequel le circuit de transfert direct est adapté à recevoir des instructions spécifiques en provenance d'un processeur externe, et à décoder lesdites instructions et commander en conséquence des transferts de données entre les premier et deuxième circuits, dans lequel lesdites instructions spécifiques comprennent : - une instruction spécifique SET_REGION de définition d'une sous-région dans le premier circuit mémoire vers ou depuis laquelle seront transférées les données ; et - une instruction spécifique de transfert entre ladite sous-région et le deuxième circuit mémoire, l'instruction spécifique de transfert comprenant un premier champ d’adresses contenant les coordonnées relatives, dans ladite sous-région, d'une première cellule de référence, et dans lequel le circuit de transfert direct est adapté à exécuter plusieurs instructions de transfert successives vers ou depuis une même sous-région entre deux exécutions d’une instruction SET_REGION.
Selon un mode de réalisation du système, le système est tel que : - ladite sous-région est une suite d'emplacements consécutifs en terme d’adressage dans le premier circuit mémoire, contenant les éléments d'une matrice; - l'instruction SET_REGION comprend un premier champ contenant l'adresse d'une première cellule mémoire de la sous-région, un deuxième champ contenant la dimension des éléments de la matrice, et un troisième champ contenant la largeur des lignes de la matrice ; et - ledit premier champs d’adresse de l'instruction de transfert comprend des premier et deuxième sous-champs contenant les coordonnées, ligne et colonne, dans ladite matrice de la première cellule de référence.
Selon un mode de réalisation du système, le système est tel que le deuxième circuit mémoire est un circuit mémoire intelligent adapté à mettre en œuvre des opérations de calcul et à réaliser des opérations élémentaires incluant une lecture ou une écriture de données dans le circuit mémoire ou un calcul à partir de données présentes dans le circuit mémoire, et dans lequel le circuit de transfert direct est associé audit deuxième circuit mémoire soit de par son positionnement matériel proche du deuxième circuit mémoire soit de par une configuration du circuit de transfert direct au moyen par exemple d’un registre de configuration du circuit de transfert direct qui est accessible au processeur externe, le circuit de transfert direct connaissant, du fait de cette association, la plage d’adresses système permettant d’accéder au circuit mémoire intelligent via un bus système comprenant un bus d’adresses ; et dans lequel l'instruction spécifique de transfert comprend un deuxième champs d’adresse contenant les coordonnées relatives, dans cette plage d’adresse système dédiée au circuit mémoire intelligent, d'une deuxième cellule de référence, le nombre de bits du deuxième champs d’adresse étant inférieur à la taille du bus d’adresses.
Selon un mode de réalisation du système, le système est tel qu’il comprend une instruction spécifique READ_TRANSFER de commande d'un transfert d'une séquence de données depuis ladite sous-région du premier circuit mémoire vers le deuxième circuit mémoire intelligent, et comprenant une instruction spécifique WRITE_TRANSFER de commande d'un transfert d'une séquence de données depuis le deuxième circuit mémoire intelligent vers ladite sous-région dans premier circuit mémoire.
Selon un mode de réalisation du système, le système est tel qu’il comprend un premier jeu de registres d’adressage mémorisant des premières valeurs du premier champ, du deuxième champ et du troisième champ d’une première instruction SET-REGION reçue par le circuit de transfert direct et comprenant en outre un deuxième jeu de registres d’adressage mémorisant des deuxièmes valeurs du premier champ, du deuxième champ et du troisième champ d’une deuxième instruction SET-REGION reçue par le circuit de transfert direct pour définir une deuxième sous-région ; et dans lequel une instruction spécifique de transfert comprend un deuxième champs d’adresse contenant les coordonnées relatives, dans ladite deuxième sous-région, d'une première cellule de référence dans cette deuxième sous-région.
Selon un mode de réalisation du système, le système est tel que l'instruction spécifique de transfert comprend en outre un quatrième champ définissant un décalage en lecture, dans le premier circuit mémoire source, entre deux itérations consécutives d'un motif élémentaire à transférer, un cinquième champ définissant un décalage en écriture, dans le deuxième circuit mémoire destination, entre deux itérations consécutives du motif élémentaire à transférer, un sixième champ définissant le nombre d'itérations du motif élémentaire à transférer, et un septième champ définissant le motif élémentaire de la séquence à transférer.
Selon un mode de réalisation du système, le système est tel que le circuit de transfert direct comprend une mémoire contenant une pluralité de motifs élémentaires prédéfinis, l'instruction de transfert comprenant un champ contenant un code de sélection de l'un desdits motif élémentaire prédéfini.
Selon un mode de réalisation du système, le système est tel que lesdites instructions spécifiques comprennent une instruction spécifique de commande d'un transfert interne de données au sein du même circuit mémoire.
Selon un mode de réalisation du système, le système est tel qu’il comprend une liaison interne d'échange de données reliant directement le deuxième circuit mémoire au circuit de transfert direct.
Selon un mode de réalisation du système, le système est tel qu’il comporte au moins un troisième circuit mémoire, le circuit de transfert direct étant en outre adapté à transférer directement des données entre les premier et troisième circuits mémoire et entre les deuxième et troisième circuits mémoire.
Selon un mode de réalisation du système, le système est tel que le circuit de transfert direct est adapté à transférer une séquence de données entre les premier et deuxième circuits mémoire appelés respectivement circuit mémoire source et circuit mémoire destination, une sous-région du circuit mémoire source comprenant une suite d'emplacements consécutifs en terme d’adressage contenant les éléments d'une matrice de données, dans lequel le circuit de transfert direct est adapté à recevoir et décoder une information de noyau de calcul dite BIT_PATTERN d’un motif élémentaire de données à transférer défini à partir d’une matrice élémentaire d’une taille prédéfinie inférieure à la taille de ladite matrice de données et destinée à identifier une fenêtre matricielle élémentaire de ladite matrice, chaque élément de la matrice élémentaire comprenant un bit pouvant prendre un premier ou un deuxième état selon respectivement que l’élément n’appartient pas ou appartient audit motif, la matrice élémentaire du BIT_PATTERN comprenant un élément de référence ; le circuit de transfert direct recevant une adresse source pour un premier motif à transférer, cette adresse source correspondant à l’adresse dans ladite sous-région dudit élément de référence du BIT_PATTERN et correspondant à une donnée de référence de ladite matrice de données située à cette adresse source, les autres éléments du BIT_PATTERN étant associés à d’autres données de ladite matrice par positionnement relatif par rapport respectivement à l’élément de référence du BIT_PATTERN et à la donnée de référence de ladite matrice ; le circuit de transfert direct étant adapté, lors de l'exécution du transfert d’un motif élémentaire, à récupérer les données de ladite matrice associées à des éléments du BIT_PATTERN dont le bit est audit deuxième état.