FR2972528A1

FR2972528A1 - Device for reliabilization of value of e.g. variable, measured by measuring equipments, has parametric adaptation module readjusting estimate of measured variable during detection of defect of measuring equipment

Info

Publication number: FR2972528A1
Application number: FR1151970A
Authority: FR
Inventors: Gonidec Serge Le; Alban Lemaitre
Original assignee: SNECMA SAS
Current assignee: Safran Aircraft Engines SAS
Priority date: 2011-03-10
Filing date: 2011-03-10
Publication date: 2012-09-14
Anticipated expiration: 2031-03-10
Also published as: FR2972528B1

Abstract

The device has a fault detector (30) evaluating condition of measuring equipments, and an estimator (70) that provides an estimate of a measured variable. A calculating module (105) provides a periodically reliabilized estimate (R2) of the variable by considering account measurements provided by valid measuring equipment. A parametric adaptation module (74) readjusts the estimate of the measured variable during detection of a defect of one of measuring equipments, where the calculating module determines a value of the variable by considering the reliabilized estimate. An independent claim is also included for a method for reliabilization of a value of a variable measured by measuring equipment.

Description

L'invention se situe dans le domaine du contrôle du fonctionnement d'un système complexe. De tels systèmes sont habituellement pourvus d'un certain nombre de capteurs qui mesurent différentes grandeurs. Un capteur, associé à une chaîne de conditionnement, constitue une chaîne de mesure. Une telle chaîne génère une information que l'on nomme mesure, sur la base de laquelle le système est piloté. Des exemples de telles grandeurs (ou mesures) sont la position, la vitesse, l'accélération d'un élément matériel ou dans un fluide ; des grandeurs intrinsèques à une matière comme sa pression, sa température, sa couleur, sa conductivité thermique, une longueur d'onde, un nombre d'éléments, etc. Plus généralement, il peut s'agir de tout type d'information relative au fonctionnement du système considéré. Aussi de manière générale, une chaîne de mesure désigne ici un système quelconque qui fournit une information, de manière répétée et généralement périodique. Une chaîne de mesure peut ainsi comporter par exemple une carte électronique, ou encore un calculateur. Dans certains systèmes complexes, la probabilité de défaillance de certaines chaînes de mesure est relativement élevée. Il est donc nécessaire dans ce cas de fiabiliser l'acquisition de la grandeur mesurée, et cela d'autant plus que la connaissance précise de la valeur prise par la grandeur considérée est importante pour la mise en oeuvre du système. Pour pallier le risque de défaillance envisagé, différents dispositifs de fiabilisation d'une grandeur mesurée par une chaîne de mesure sont utilisés. Ces dispositifs servent à fournir une valeur fiabilisée de ladite grandeur. Ils visent à fournir la valeur de la grandeur considérée avec la disponibilité la plus élevée possible, c'est-à-dire idéalement de manière permanente, sans interruption. De manière connue, on peut ainsi prévoir de doubler, voire de tripler la chaîne de mesure. En cas de défaillance ou de défaut de l'une des chaînes de mesure, l'information fournie par la chaîne de mesure en défaut n'est plus prise en compte et le système fonctionne en exploitant seulement les informations fournies par les autres chaînes de mesures demeurées valides. Cependant, pour des raisons de poids, d'encombrement, de coût, 35 etc., il n'est pas possible d'augmenter indéfiniment le nombre de capteurs. The invention lies in the field of controlling the operation of a complex system. Such systems are usually provided with a number of sensors that measure different quantities. A sensor associated with a packaging line constitutes a measurement chain. Such a chain generates information that is called measurement, on the basis of which the system is controlled. Examples of such magnitudes (or measures) are the position, speed, acceleration of a material element or in a fluid; intrinsic quantities to a material such as its pressure, temperature, color, thermal conductivity, wavelength, number of elements, etc. More generally, it can be any type of information relating to the operation of the system in question. Also in general, a measurement system here designates any system that provides information, repeatedly and generally periodically. A measurement system may thus comprise for example an electronic card, or a calculator. In some complex systems, the probability of failure of some measurement chains is relatively high. It is therefore necessary in this case to make reliable the acquisition of the measured quantity, and all the more so since the precise knowledge of the value taken by the quantity in question is important for the implementation of the system. To mitigate the risk of failure considered, various devices for reliability of a quantity measured by a measurement chain are used. These devices serve to provide a reliable value of said magnitude. They aim to provide the value of the quantity under consideration with the highest possible availability, that is to say, ideally permanently, without interruption. In known manner, it is thus possible to double or even triple the measurement chain. In the event of a fault or fault in one of the measurement chains, the information provided by the faulted measurement system is no longer taken into account and the system operates using only the information provided by the other measurement chains. remained valid. However, for reasons of weight, size, cost, etc., it is not possible to increase the number of sensors indefinitely.

Une solution complémentaire pour fiabiliser l'obtention de la mesure de la grandeur considérée, consiste donc à prévoir en outre dans le dispositif de fiabilisation, un estimateur (ou plusieurs), apte à fournir périodiquement une estimation de la grandeur mesurée sans utiliser l'information fournie par la ou les chaînes de mesure concernée(s). Cet estimateur est habituellement constitué par un logiciel exécuté par un calculateur, qui simule le comportement du système au moyen d'une modélisation de celui-ci. En cas de défaillance de la ou des chaînes de mesure, l'estimateur prend le relais du ou des chaînes de mesure, les informations successives fournies par l'estimateur étant alors utilisées pour la conduite du système. Cependant, dans ce dernier cas, la précision de l'information fournie par l'estimateur est relativement moyenne, car un estimateur tend à présenter un biais par rapport à la valeur effective de la grandeur considérée : Un écart est toujours possible entre le modèle et la réalité, sachant que le système surveillé peut évoluer. Le biais peut être de nature statique ou dynamique. Aussi, la performance (conjuguant précision statique et représentativité dynamique) que l'on peut attendre d'un tel dispositif de fiabilisation, pour la valeur de la grandeur considérée, peut s'avérer insuffisante. Un premier objectif de l'invention est donc de proposer un dispositif de fiabilisation d'une grandeur mesurée par au moins une chaîne de mesure, le dispositif étant apte à fournir une valeur fiabilisée de ladite grandeur et comprenant : un détecteur de défaut, apte à évaluer périodiquement si ladite au moins une chaîne de mesure est en défaut ou au contraire si elle est valide ; un estimateur, apte à fournir périodiquement une estimation de la grandeur mesurée, ladite estimation étant obtenue au moyen d'un modèle en fonction d'informations autres que celle(s) transmise(s) par ladite au moins une chaîne de mesure, des moyens de calcul, reliés ou du moins aptes à être reliés à ladite au moins une chaîne de mesure, et aptes à fournir périodiquement ladite valeur fiabilisée de ladite grandeur, en prenant en compte les mesures fournies par la ou les chaînes de mesure valides, et/ou l'estimation fournie par l'estimateur ; dispositif qui permette de fournir une valeur de la grandeur considérée plus précise que les dispositifs de fiabilisation connus, et cela avec une disponibilité élevée, sans entrainer pour autant un accroissement du nombre de capteurs. A complementary solution to make reliable the measurement of the quantity considered, therefore consists in providing in the reliability device, an estimator (or more), able to provide periodically an estimate of the measured magnitude without using the information provided by the relevant measuring chain (s). This estimator usually consists of software executed by a computer, which simulates the behavior of the system by means of a modeling of it. In the event of failure of the measurement chain or chains, the estimator takes over from the measurement chain or chains, the successive information provided by the estimator then being used for driving the system. However, in the latter case, the accuracy of the information provided by the estimator is relatively average, since an estimator tends to present a bias with respect to the actual value of the quantity under consideration: A gap is always possible between the model and reality, knowing that the monitored system can evolve. The bias can be static or dynamic. Also, the performance (combining static precision and dynamic representativeness) that can be expected from such a reliability device, for the value of the magnitude considered, may be insufficient. A first object of the invention is therefore to propose a device for reliability of a quantity measured by at least one measurement chain, the device being able to provide a reliable value of said quantity and comprising: a fault detector, suitable for periodically evaluating whether said at least one measurement string is in fault or on the contrary whether it is valid; an estimator capable of periodically providing an estimate of the quantity measured, said estimation being obtained by means of a model as a function of information other than that transmitted by said at least one measurement system, means of calculation, connected or at least capable of being connected to said at least one measuring chain, and able to periodically supply said reliability value of said quantity, taking into account the measurements provided by the valid measurement chain or chains, and or the estimate provided by the estimator; device that can provide a value of the magnitude considered more accurate than known reliability devices, and this with high availability, without causing an increase in the number of sensors.

Cet objectif est atteint grâce au fait que le dispositif comporte en outre des moyens de recalage de l'estimateur qui sont agencés de manière à, au moins lors d'une première détection de défaut d'au moins une chaîne de mesure dite chaîne de mesure défaillante, qui avant ladite détection était évaluée comme valide et fournissait des informations servant à déterminer la valeur fiabilisée, recaler ledit modèle sur la ou les dernières valeurs fiabilisées fournies avant ladite première détection ; et en ce que les moyens de calcul sont agencés de manière à, après ladite première détection de défaut, déterminer la valeur fiabilisée en prenant en compte ladite estimation. This objective is achieved by virtue of the fact that the device also comprises means for resetting the estimator which are arranged in such a way that, at least during a first fault detection of at least one measuring chain called a measuring chain failed, which prior to said detection was evaluated as valid and provided information for determining the reliability value, recalibrate said model to the last one or more reliability values provided prior to said first detection; and in that the calculating means are arranged so that, after said first fault detection, the reliability value is determined by taking into account said estimate.

Le dispositif est donc conçu de manière à fournir avec une disponibilité très élevée, une valeur dite 'valeur fiabilisée', déterminée périodiquement par les moyens de calcul. Si la valeur fiabilisée est fournie à une fréquence relativement élevée, on peut considérer que le dispositif fournit cette valeur continûment. The device is designed so as to provide with a very high availability, a value called 'reliability value', determined periodically by the calculation means. If the reliability value is provided at a relatively high frequency, the device can be considered to provide this value continuously.

En fonctionnement normal, ou du moins lorsqu'au moins une des chaînes de mesure est indiquée comme valide par le détecteur de défaut, la valeur fiabilisée est déterminée à partir de la valeur de la chaîne de mesure valide ou des valeurs des chaînes de mesure valides ; c'est-à-dire que la valeur fiabilisée est fonction notamment de la valeur ou des valeurs fournies par le ou les chaînes de mesure valides. La valeur fiabilisée peut par exemple être égale à la valeur de la ou d'une mesure valide, ou être égale à la moyenne des mesures fournies par les chaînes de mesure valides (après éventuellement un filtrage ou lissage numérique). Par ailleurs, le dispositif comporte en outre un estimateur. In normal operation, or at least when at least one of the measurement chains is indicated as valid by the fault detector, the reliability value is determined from the value of the valid measurement chain or the values of the valid measurement chains. ; that is, the reliability value is a function, in particular, of the value or values provided by the valid measurement string or chains. The reliability value may for example be equal to the value of the or a valid measurement, or be equal to the average of the measurements provided by the valid measurement chains (after possibly filtering or numerical smoothing). Furthermore, the device further comprises an estimator.

L'estimateur est apte à fournir périodiquement (ou de façon quasi continue, à la même fréquence que les chaînes de mesure) une estimation de la valeur de la grandeur considérée. Cette estimation est faite sur la base d'informations fournies à l'estimateur par des chaînes de mesures du système autres que la ou les chaînes de mesure citées précédemment et mesurant la grandeur considérée. En général, l'estimateur comporte un modèle dans lequel une simulation du fonctionnement du système est calculée. Les mesures fournies par le ou les chaînes de mesures sont plus fiables (en général) que l'estimation fournie par l'estimateur. The estimator is able to provide periodically (or almost continuously, at the same frequency as the measurement chains) an estimate of the value of the quantity considered. This estimate is made on the basis of information supplied to the estimator by system measurement strings other than the aforementioned measurement channel (s) and measuring the quantity considered. In general, the estimator includes a model in which a simulation of the operation of the system is calculated. The measurements provided by the chain (s) of measurement are more reliable (in general) than the estimate provided by the estimator.

Cependant, la fiabilité de ces mesures peut décroître suite à la défaillance d'une ou de plusieurs des chaînes de mesure. Selon l'invention, à partir de la défaillance d'une chaîne de mesure dite 'défaillante' - cela peut-être dès la première défaillance, ou au contraire si les chaînes de mesures sont très précises, seulement lors de la défaillance de l'ensemble des chaînes de mesure (redondantes) - le dispositif a donc recours à l'estimation fournie par l'estimateur pour déterminer la valeur fiabilisée. En d'autres termes, la détection de la chaîne de mesure défaillante' déclenche le recours à l'estimation pour déterminer la valeur fiabilisée. On considère donc que suite à cette défaillance, prendre en compte l'estimation, en plus des informations fournies par les chaînes de mesure valides restantes, permet d'obtenir une valeur fiabilisée plus précise que la valeur fiabilisée calculée seulement sur la base des informations des chaînes de mesure valides restantes. La chaîne de mesure défaillante n'est pas une chaîne de mesure spécifique ; c'est la chaîne de mesure ou une des chaînes de mesure dont le défaut (défini plus loin) justifie de recourir à l'estimation pour la détermination de la valeur fiabilisée. Dès que l'estimation est utilisée, le problème se pose donc que celle-ci soit la plus précise possible. However, the reliability of these measurements may decrease following the failure of one or more of the measurement chains. According to the invention, from the failure of a so-called 'failing' measurement chain - this may be from the first failure, or on the contrary if the measurement chains are very accurate, only at the time of the failure of the set of measurement chains (redundant) - the device therefore uses the estimate provided by the estimator to determine the reliability value. In other words, the detection of the faulty measurement chain 'triggers the use of the estimate to determine the reliability value. It is therefore considered that following this failure, taking into account the estimate, in addition to the information provided by the remaining valid measurement chains, makes it possible to obtain a more reliable value than the reliability value calculated solely on the basis of the information of the valid measurement strings remaining. The faulted measurement chain is not a specific measurement chain; it is the measurement chain or one of the measurement chains whose defect (defined below) justifies the use of estimation for the determination of the reliability value. As soon as the estimate is used, the problem therefore arises that it is as accurate as possible.

Selon l'invention, pour éviter un décalage entre l'estimation et la valeur réelle de la grandeur considérée, lors d'une première détection de défaut de la dite chaîne de mesure défaillante, les moyens de recalage recalent l'estimateur sur la ou les dernières valeurs fiabilisées qui avaient été déterminées auparavant, c'est-à-dire, les valeurs déterminées juste avant la détection du défaut, valeurs qui par conséquent ne sont pas fondées sur des estimations fournies par l'estimateur. Par 'première détection', on désigne ici la première évaluation de l'état de la chaîne de mesure dite chaîne de mesure défaillante, au cours de laquelle le détecteur de défauts évalue que la chaîne de mesure défaillante fournit une information moins précise que lorsqu'elle fonctionne normalement, suite à une panne plus ou moins grave. According to the invention, in order to avoid a discrepancy between the estimate and the real value of the quantity under consideration, during a first fault detection of the said faulty measurement chain, the resetting means recalibrate the estimator on the one or more the most recent reliable values previously determined, that is, the values determined just prior to the detection of the defect, which are therefore not based on estimates provided by the estimator. By "first detection" is meant here the first evaluation of the state of the measurement chain called faulty measurement chain, during which the fault detector evaluates that the faulty measurement chain provides less precise information than when it works normally, following a more or less serious breakdown.

L'opération de 'recalage du modèle sur la ou les dernières valeurs fiabilisées' consiste à intervenir sur l'estimateur, en modifiant les paramètres du modèle mis en oeuvre dans celui-ci, de telle sorte que le modèle fournisse en sortie, à partir des données d'entrées qui lui ont été fournies pendant la période précédant la détection du défaut général de la chaîne de mesure défaillante : - une estimation qui soit égale à (ou la plus proche possible de) la dernière valeur fiabilisée déterminée par les moyens de calcul sur la base de la dernière mesure ou des dernières mesures fournies par le ou les chaînes de mesure valides, ou - de dernières estimations qui soient égales aux (ou les plus proches possibles des) dernières valeurs déterminées par les moyens de calcul sur la base des dernières mesures fournies par la ou les chaînes de mesure valides. The operation of "resetting the model on the last reliability value (s)" consists in intervening on the estimator, modifying the parameters of the model implemented in it, so that the model provides output, starting from input data supplied to it during the period preceding the detection of the general fault of the faulting measurement system: - an estimate equal to (or as close as possible to) the last reliability value determined by the means of calculation on the basis of the last measurement or the last measurements provided by the valid measurement chain or chains, or - latest estimates which are equal to (or as close as possible to) the last values determined by the calculation means on the basis of the latest measurements provided by the valid measurement chain (s).

Le deuxième tiret ci-dessus vise le cas où le recalage du modèle vise à optimiser la réponse de celui-ci, non seulement lors de la dernière estimation qu'il a fournie (juste avant le défaut de la chaîne de mesure défaillante), mais plutôt lors de l'ensemble des N dernières estimations. Pour permettre le recalage, les moyens de recalage du modèle peuvent par exemple comprendre un buffer, qui stocke un vecteur de mesures (des N dernières mesures réalisées). Périodiquement, ou selon certains critères, ces informations contenues dans le buffer sont utilisées pour le recalage du modèle. Le recalage du modèle conduit donc à ce que la valeur fournie par le modèle, pour l'instant considéré ou pour la période venant de s'achever, corresponde (à une tolérance près) à la valeur fiabilisée retenue, fournie par le ou les chaînes de mesures valides. Le modèle est ainsi optimisé pour fournir en sortie des estimations a priori les plus proches possibles des valeurs effectivement prises par la grandeur considérée. Ainsi, si l'ensemble des chaînes de mesure (ou la chaîne de mesure unique) sont en défaut, le système peut utiliser comme valeur pour la grandeur considérée, la valeur fournie par l'estimateur, en lieu et place de la valeur ou des valeurs fournie(s) par la ou les chaînes de mesure valides. Comme au moment de l'apparition du défaut de la chaîne de mesure défaillante, l'estimation fournie par l'estimateur est recalée sur la valeur fiabilisée, le passage pour la valeur fiabilisée d'une valeur déterminée sur la base des mesures fournies par les chaînes de mesure valides à une valeur fiabilisée prenant en compte l'estimation fournie par l'estimateur, est ainsi presque continu, ces deux valeurs étant voisines du fait de la continuité (en général) des estimations fournies par l'estimateur. The second indent above is aimed at the case where the registration of the model is intended to optimize the response of the latter, not only during the last estimate that it has provided (just before the failure of the faulty measurement chain), but rather, in all of the last N estimates. To enable registration, the model registration means may for example comprise a buffer, which stores a measurement vector (of the last N measurements performed). Periodically, or according to certain criteria, this information contained in the buffer is used for the registration of the model. The registration of the model therefore leads to the value provided by the model, for the time being considered or for the period just ended, corresponding (with a tolerance) to the reliability value retained, provided by the channel (s). valid measures. The model is thus optimized to provide at first estimates as close as possible to the values actually taken by the quantity considered. Thus, if all the measurement chains (or the single measurement chain) are in default, the system can use as value for the quantity considered, the value provided by the estimator, instead of the value or the values. values provided by the valid measurement string (s). As at the moment of the appearance of the defect of the faulty measurement chain, the estimate provided by the estimator is adjusted to the reliability value, the passage for the reliability value of a value determined on the basis of the measurements provided by the valid measurement chains at a reliable value taking into account the estimate provided by the estimator, is thus almost continuous, these two values being close because of the continuity (in general) of the estimates provided by the estimator.

Le dispositif peut n'utiliser les informations que d'une chaîne de mesure unique. Ainsi dans un mode de réalisation, les mesures de la grandeur sont fournies par une chaîne de mesure unique, et les moyens de recalage sont agencés de manière à, lors de la première détection d'un défaut de la dite chaîne de mesure unique, recaler l'estimateur sur la ou les dernières valeurs fiabilisées. Par ailleurs, suivant la configuration du dispositif, le recours à l'estimation pour déterminer la valeur fiabilisée peut intervenir à différents moments. Dans un mode de réalisation, dans le cas où il y a plusieurs chaînes de mesure, les moyens de recalage sont agencés de manière à procéder au recalage du modèle et les moyens de calcul sont agencés de manière à prendre en compte l'estimation pour déterminer ladite valeur fiabilisée, après la première détection de défaut soit de l'une quelconque des chaînes de mesure, soit de la totalité des chaînes de mesure. Le premier cas, dans lequel la défaillance de n'importe laquelle des chaînes de mesure déclenche le recours à l'estimation, correspond à une situation dans laquelle l'estimateur est d'une précision voisine de celle des chaînes de mesure. Le second cas à l'inverse, correspond à la situation dans laquelle l'estimateur est nettement moins fiable que les différentes chaînes de mesure. The device can use information only from a single measurement chain. Thus, in one embodiment, the measurements of the quantity are provided by a single measurement chain, and the resetting means are arranged in such a way that, during the first detection of a defect of the said single measurement chain, to reset the estimator on the last or most reliable values. Moreover, depending on the configuration of the device, the use of the estimate to determine the reliability value can occur at different times. In one embodiment, in the case where there are several measurement chains, the resetting means are arranged to carry out the registration of the model and the calculation means are arranged to take into account the estimate to determine said reliability value, after the first fault detection is of any one of the measurement chains, or of all the measurement chains. The first case, in which the failure of any of the measurement chains triggers the use of the estimate, corresponds to a situation in which the estimator is of a precision close to that of the measurement chains. The second case, on the other hand, corresponds to the situation in which the estimator is much less reliable than the different measurement chains.

De plus, des situations `intermédiaires' peuvent se présenter. Ainsi dans un mode de réalisation, les moyens de calcul sont agencés de manière à, lorsqu'au moins une première chaîne de mesure est en défaut et qu'au moins une seconde chaîne de mesure est valide, déterminer la valeur fiabilisée au moins à partir de la valeur fournie par la seconde chaîne de mesure, et par l'estimation fournie par l'estimateur. Dans ce cas, le recalage de l'estimateur est inhibé à partir du moment où la valeur fiabilisée est déterminée en prenant en compte la valeur fournie par l'estimateur. Dans un mode de réalisation, les moyens de recalage sont agencés de manière à, suite à ladite première détection de défaut de ladite chaîne de mesure défaillante et au moins pendant une période de recalage, procéder audit recalage périodique du modèle sur une ou plusieurs valeurs fiabilisées. Ainsi, le gain de précision conféré à l'estimateur (et à ses estimations) n'est pas limité à un seul recalage ayant lieu lors de ladite première détection de défaut de la chaîne de mesure défaillante, mais est reconduit périodiquement pendant une période donnée, en général à la même fréquence que les déterminations de la valeur fiabilisée. Le recalage peut par ailleurs être réalisé de façon continue en l'absence de panne de la ou des chaîne(s) de mesure. La fin de la période de recalage peut être fixée de la manière suivante : Dans un mode de réalisation, dans le cas où il y a plusieurs chaînes de mesure, la période de recalage du modèle a lieu jusqu'à une première détection de défaut d'une autre chaîne de mesure défaillante, qui avant ladite détection était évaluée comme valide et fournissait des informations servant à déterminer la valeur fiabilisée. Un tel fonctionnement peut être choisi lorsqu'il reste une ou plusieurs chaîne de mesure valides pendant la période de recalage faisant suite à la défaillance de la chaîne de mesure défaillante', et que la précision obtenue dans la détermination de la valeur fiabilisée est accrue si l'estimateur est recalé périodiquement sur la valeur fiabilisée, car cette dernière valeur prend en compte les valeurs des chaînes de mesures valides. Inversement, lorsque la précision des chaînes de mesure valides restantes est insuffisante, ou a fortiori s'il ne reste plus aucune chaîne de mesure valide, il devient préférable de ne plus procéder à un recalage, et de mettre fin à la période de recalage. Une difficulté pour la réalisation du dispositif réside dans la réalisation du détecteur de défaut pour la ou les chaînes de mesure. Différentes stratégies peuvent être suivies pour réaliser ce détecteur. Dans un mode de réalisation, pour au moins une chaîne de mesure, le détecteur de défaut est apte à analyser des valeurs fournies par les chaînes de mesure et éventuellement par l'estimateur, et à évaluer qu'une chaîne de mesure est en défaut lorsque les mesures fournies par celle-ci ne respectent pas un critère prédéterminé, fonction d'écarts entre ces mesures, d'autres mesures disponibles, et éventuellement les estimations. In addition, 'intermediate' situations may arise. Thus, in one embodiment, the calculation means are arranged so that, when at least one first measurement chain is in fault and at least one second measurement chain is valid, the value can be determined at least from the value provided by the second measurement chain, and by the estimate provided by the estimator. In this case, the resetting of the estimator is inhibited from the moment when the reliability value is determined by taking into account the value provided by the estimator. In one embodiment, the resetting means are arranged in such a way that, following said first fault detection of said faulty measurement chain and at least during a resetting period, this periodic registration of the model is carried out on one or more reliability values. . Thus, the precision gain conferred on the estimator (and its estimates) is not limited to a single registration occurring during said first fault detection of the faulty measurement chain, but is renewed periodically during a given period of time. , in general at the same frequency as the determinations of the reliability value. The registration can moreover be carried out continuously in the absence of failure of the measurement chain (s). The end of the resetting period can be set as follows: In one embodiment, in the case where there are several measurement chains, the resetting period of the model takes place until a first fault detection is made. another faulty measurement chain, which prior to said detection was evaluated as valid and provided information for determining the reliability value. Such operation can be chosen when there remains one or more valid measurement chains during the resetting period following failure of the faulty measurement chain, and the accuracy obtained in the determination of the reliability value is increased if the estimator is periodically adjusted to the reliability value, since the latter value takes into account the values of the valid measurement chains. Conversely, when the accuracy of the remaining valid measurement chains is insufficient, or even more so if there is no longer any valid measurement chain, it becomes preferable to no longer perform a registration, and to end the resetting period. A difficulty for the realization of the device lies in the realization of the fault detector for the measuring chain or chains. Different strategies can be followed to realize this detector. In one embodiment, for at least one measurement chain, the fault detector is able to analyze values provided by the measurement chains and possibly by the estimator, and to evaluate that a measurement chain is faulty when the measures provided by it do not meet a predetermined criterion, depending on the differences between these measures, other available measures, and possibly the estimates.

Dans un mode de réalisation, le détecteur de défaut est apte, pour au moins une chaîne de mesure, à analyser périodiquement la suite des valeurs fournies par la chaîne de mesure, et à évaluer que la chaîne de mesure est en défaut lorsque le bruit de ces mesures est inférieur ou supérieur à des valeurs prédéterminées de bruit minimal ou de bruit maximal pour de telles mesures. Le bruit de mesure est en effet une caractéristique de fonctionnement de chaque chaîne de mesure. La présence d'un bruit trop faible (par exemple à l'extrême, lorsque la valeur fournie est rigoureusement constante), ou encore trop grand (mesures semblant erratiques), est ainsi significatif d'un défaut de la chaîne de mesure. In one embodiment, the fault detector is capable, for at least one measurement chain, of periodically analyzing the sequence of values supplied by the measurement chain, and of evaluating that the measurement chain is in fault when the noise of these measurements are lower or higher than predetermined values of minimum noise or maximum noise for such measurements. The measurement noise is indeed an operating characteristic of each measurement chain. The presence of a noise that is too low (for example at the extreme, when the value supplied is strictly constant), or too large (measures seemingly erratic), is thus significant of a fault in the measurement chain.

Dans un mode de réalisation, les moyens de calcul déterminent pour chaque mesure un coefficient de validité ; ils fournissent la valeur fiabilisée en fonction des différentes mesures fournies par les chaînes de mesure et en prenant en compte les coefficients de validité de chacune des mesures. In one embodiment, the calculation means determine for each measurement a validity coefficient; they provide the reliability value according to the different measurements provided by the measurement chains and taking into account the coefficients of validity of each of the measurements.

Dans un mode de réalisation dans lequel au moins deux capteurs sont utilisés pour mesurer la grandeur, le détecteur de défaut est apte à évaluer qu'au moins une chaîne de mesure est en défaut lorsque la différence entre les mesures fournies par lesdites au moins deux chaînes de mesure excède une valeur prédéterminée. On comprend en effet que lorsque deux chaînes de mesure sont affectées à la mesure de la même grandeur, les mesures qu'elles fournissent doivent être sensiblement égales. Le mode de réalisation précédent pourrait d'ailleurs être étendu de telle sorte qu'un défaut au sein des chaînes de mesure soit détecté dès lors qu'une relation prédéterminée entre les valeurs fournies par les chaînes de mesure n'est plus vérifiée. Une seconde difficulté dans la réalisation du dispositif réside dans le recalage de l'estimateur sur la valeur fiabilisée courante, c'est-à-dire sur la valeur fiabilisée en cours pour la grandeur considérée. L'estimateur peut être un logiciel ou partie de logiciel relativement complexe qui comprend un modèle pour simuler le comportement du système. Ce modèle comporte un ensemble de paramètres représentatifs de l'état ou de variables du système, qui sont associés à une représentation mathématique du système. Le modèle permet de simuler le système ou de représenter le comportement de celui-ci en réponse aux sollicitations qui lui sont appliquées. In an embodiment in which at least two sensors are used to measure the magnitude, the fault detector is able to evaluate that at least one measurement chain is in fault when the difference between the measurements provided by said at least two channels measurement exceeds a predetermined value. It is understood that when two measurement chains are assigned to the measurement of the same magnitude, the measurements they provide must be substantially equal. The previous embodiment could also be extended so that a fault within the measurement chains is detected when a predetermined relationship between the values provided by the measurement chains is no longer verified. A second difficulty in the realization of the device resides in the registration of the estimator on the current reliability value, that is to say on the current reliability value for the quantity considered. The estimator may be a relatively complex piece of software or software that includes a model for simulating the behavior of the system. This model comprises a set of parameters representing the state or variables of the system, which are associated with a mathematical representation of the system. The model makes it possible to simulate the system or to represent the behavior of the latter in response to the requests that are applied to it.

Dans un mode de réalisation, les moyens de recalage sont aptes à recaler le modèle sur la ou les dernières valeurs fiabilisées fournies avant ladite première détection au moyen d'un algorithme d'adaptation paramétrique, en modifiant la valeur d'au moins un paramètre de l'estimateur en fonction du ou des écarts constatés entre la ou les dernières estimations fournies par le modèle, et la ou les dernières valeurs fiabilisées correspondantes déterminées en prenant en compte au moins une mesure fournie par une chaîne de mesure valide. Selon différentes variantes de ce mode de mise en oeuvre, l'algorithme d'adaptation paramétrique utilise la méthode des moindres carrés, un filtre de Kalman, un algorithme génétique, ou encore comporte un intégrateur pur. Un deuxième objectif de l'invention est de proposer une méthode de fiabilisation d'une grandeur mesurée par au moins une chaîne de mesure, visant à fournir une valeur fiabilisée de ladite grandeur ; méthode suivant laquelle : on évalue périodiquement pour chaque chaîne de mesure si elle est en défaut ou au contraire, si elle est valide ; on utilise un estimateur apte à fournir périodiquement une estimation de la grandeur mesurée, ladite estimation étant obtenue au moyen d'un modèle en fonction d'informations autres que celle(s) transmise(s) par ladite au moins une chaîne de mesure ; et on détermine périodiquement la valeur fiabilisée de ladite grandeur, en prenant en compte les mesures fournies par la ou les chaînes de mesure valides, et/ou l'estimation fournie par l'estimateur ; méthode qui permette d'obtenir une valeur de la grandeur considérée plus précise que les dispositifs de fiabilisation connus, tels que les capteurs logiciels utilisés dans les systèmes redondants, et cela avec une disponibilité élevée, sans entrainer pour autant un accroissement du nombre de capteurs. Dans la phrase précédente, une évaluation ou une détermination périodique peuvent être une évaluation ou une détermination continue. L'objectif indiqué précédemment est atteint grâce au fait que suivant la méthode, au moins lors d'une première détection de défaut d'au moins une chaîne de mesure dite chaîne de mesure défaillante, qui avant ladite détection était évaluée comme valide et fournissait des informations servant à déterminer la valeur fiabilisée, on recale le modèle sur la ou les dernières valeurs fiabilisées fournies avant ladite première détection; et après ladite première détection de défaut, on détermine la valeur fiabilisée en prenant en compte ladite estimation. In one embodiment, the resetting means are adapted to readjust the model to the last reliability value or values provided before said first detection by means of a parametric adaptation algorithm, by modifying the value of at least one parameter of the estimator based on the difference (s) between the last estimate (s) provided by the model and the last corresponding reliability value (s) determined by taking into account at least one measurement provided by a valid measurement chain. According to different variants of this embodiment, the parametric adaptation algorithm uses the least squares method, a Kalman filter, a genetic algorithm, or even includes a pure integrator. A second object of the invention is to propose a method for reliability of a quantity measured by at least one measurement chain, aimed at providing a reliable value of said quantity; the method according to which: one evaluates periodically for each chain of measure if it is in default or on the contrary, if it is valid; an estimator is used capable of periodically providing an estimate of the measured quantity, said estimation being obtained by means of a model as a function of information other than that transmitted by said at least one measurement chain; and periodically determining the reliability value of said magnitude, taking into account the measurements provided by the valid measurement string (s), and / or the estimate provided by the estimator; a method which makes it possible to obtain a value of the quantity considered more accurate than the known reliability devices, such as the software sensors used in the redundant systems, and this with a high availability, without increasing the number of sensors. In the preceding sentence, a periodic assessment or determination may be an ongoing assessment or determination. The aforementioned objective is achieved by virtue of the fact that according to the method, at least during a first fault detection of at least one measurement chain called defective measuring chain, which before said detection was evaluated as valid and provided information used to determine the reliability value, the model is recalibrated on the last reliability value or values provided before said first detection; and after said first fault detection, the reliability value is determined by taking into account said estimate.

Naturellement, les différents perfectionnements de l'invention présentés précédemment en relation avec le dispositif de fiabilisation selon l'invention peuvent être mis en oeuvre dans la méthode selon l'invention. Dans un mode de mise en oeuvre, dans le cas où il y a plusieurs chaîne de mesure, on recale l'estimateur et on prend en compte ladite estimation pour déterminer ladite valeur fiabilisée, après la première détection de défaut soit de l'une quelconque des chaînes de mesure, soit de la totalité des chaînes de mesure. Dans un mode de mise en oeuvre, les mesures de la grandeur sont fournies par une chaîne de mesure unique, et, lors de la première détection d'un défaut de la chaîne de mesure unique, on recale l'estimateur sur la ou les dernières valeurs fiabilisées. Dans un mode de mise en oeuvre, lorsqu'au moins une première chaîne de mesure est en défaut et qu'au moins une seconde chaîne de mesure est valide, on détermine la valeur fiabilisée au moins à partir de la valeur fournie par la seconde chaîne de mesure, et par l'estimation fournie par l'estimateur. Dans un mode de mise en oeuvre, suite à ladite première détection de défaut de la chaîne de mesure défaillante et au moins pendant une période de recalage, on procède au recalage périodique (ou continu) de l'estimateur sur la ou les dernières valeurs fiabilisées fournies avant ladite première détection. Dans un mode de mise en oeuvre, pour évaluer si l'une des chaîne de mesure est en défaut, on analyse périodiquement la suite des valeurs fournies par la chaîne de mesure, et on évalue que la chaîne de mesure est en défaut lorsque le bruit de ces mesures est inférieur ou supérieur à des valeurs prédéterminées de bruit minimal ou de bruit maximal pour de telles mesures. Dans un mode de mise en oeuvre, au moins deux chaînes de mesure sont utilisées pour mesurer ladite grandeur, et on évalue qu'au moins une chaîne de mesure est en défaut lorsque la différence entre les mesures fournies par lesdits au moins deux chaînes de mesure excède une valeur prédéterminée. Dans un mode de mise en oeuvre, un recalage périodique (ou continu) de l'estimateur sur la ou les dernières valeurs fiabilisées disponibles est effectué tant qu'au moins une chaine de mesure est valide ; ce recalage est interrompu lorsqu'une panne est détectée sur la dernière chaine de mesure valide (c'est-à-dire lorsque l'ensemble des chaînes de mesure sont en défaut). Dans un mode de mise en oeuvre, on recale l'estimateur sur la (ou les) dernière(s) valeur(s) fiabilisée(s) au moyen d'un algorithme d'adaptation paramétrique, en modifiant la valeur d'au moins un paramètre de l'estimateur en fonction du ou des écarts constatés entre la ou les dernières estimations fournies par l'estimateur, et la ou les dernières valeurs fiabilisées correspondantes déterminées en prenant en compte au moins une mesure fournie par une chaîne de mesure valide. Naturally, the various improvements of the invention presented above in connection with the reliability device according to the invention can be implemented in the method according to the invention. In one embodiment, in the case where there are several measurement chains, the estimator is recalibrated and the said estimate is taken into account to determine the said reliability value, after the first fault detection of any one of measurement chains, ie all the measurement chains. In one embodiment, the measurements of the quantity are provided by a single measurement chain, and, during the first detection of a defect of the single measurement chain, the estimator is recalibrated on the last one or more reliable values. In one embodiment, when at least one first measurement string is in fault and at least one second measurement string is valid, the value is determined at least from the value provided by the second string. measurement and the estimation provided by the estimator. In one embodiment, following said first fault detection of the faulty measurement chain and at least during a resetting period, the periodic (or continuous) registration of the estimator is carried out on the last or most reliable value. provided before said first detection. In one embodiment, in order to evaluate whether one of the measurement chains is faulty, the sequence of values supplied by the measurement chain is periodically analyzed, and it is judged that the measurement chain is faulty when the noise of these measurements is lower or higher than predetermined values of minimum noise or maximum noise for such measurements. In one embodiment, at least two measurement chains are used to measure said magnitude, and it is judged that at least one measurement chain is in fault when the difference between the measurements provided by said at least two measurement chains. exceeds a predetermined value. In one embodiment, a periodic (or continuous) registration of the estimator on the last available reliability value or values is performed as long as at least one measurement chain is valid; this resetting is interrupted when a fault is detected on the last valid measurement chain (that is to say when all the measurement chains are in default). In one embodiment, the estimator is recalibrated on the last (or more) reliabilised value (s) by means of a parametric adaptation algorithm, by modifying the value of at least a parameter of the estimator as a function of the difference (s) between the last estimate (s) provided by the estimator and the last corresponding reliability value (s) determined by taking into account at least one measurement provided by a valid measurement chain.

L'invention sera bien comprise et ses avantages apparaîtront mieux à la lecture de la description détaillée qui suit, de modes de réalisation représentés à titre d'exemples non limitatifs. La description se réfère aux dessins annexés, sur lesquels : - la figure 1 est une vue schématique d'un moteur de fusée et de son système de commande, qui comporte un dispositif de fiabilisation selon l'invention ; - la figure 2 représente les composants logiciels mis en oeuvre dans le 25 dispositif selon l'invention représenté sur la figure 1 ; - la figure 3 représente un traitement logiciel permettant d'obtenir le bruit de mesure ; - les figures 4 et 5 représentent respectivement les variations d'un bruit de mesure et du carré de celui-ci, en fonction du temps ; et 30 - la figure 6 représente les variations en fonction du temps de différentes grandeurs mesurées ou déterminées dans le dispositif selon l'invention présentée par la figure 1. Le moteur fusée 100 présenté par la figure 1 comporte une tuyère 102, alimentée par deux réservoirs d'ergols 131 et 132, chacun en amont 35 d'une pompe 111, 112. The invention will be better understood and its advantages will appear better on reading the detailed description which follows, of embodiments shown by way of non-limiting examples. The description refers to the accompanying drawings, in which: - Figure 1 is a schematic view of a rocket motor and its control system, which comprises a reliability device according to the invention; FIG. 2 represents the software components implemented in the device according to the invention shown in FIG. 1; FIG. 3 represents a software processing making it possible to obtain measurement noise; - Figures 4 and 5 respectively show the variations of a measurement noise and the square thereof, as a function of time; and FIG. 6 represents the variations as a function of time of different quantities measured or determined in the device according to the invention presented in FIG. 1. The rocket motor 100 presented in FIG. 1 comprises a nozzle 102 fed by two reservoirs. propellant 131 and 132, each upstream of a pump 111, 112.

Le débit de chacun de ces ergols est régulé par les vannes 121 et 122. Pour cela, le débit de ces ergols est mesuré immédiatement en amont de chacune des pompes 111, 112. Par souci de simplicité, seule la mesure du débit en amont de la pompe 111 est détaillée, des dispositions similaires étant prises pour l'ergol pompé par la pompe 112. Deux capteurs 10A et 10B sont disposés sur la pompe 111 et mesurent la vitesse de rotation de celle-ci. Ces capteurs fournissent deux mesures indépendantes l'une de l'autre, RTHA et RTHB, représentatives de la vitesse de rotation de la pompe 111. The flow rate of each of these propellants is regulated by the valves 121 and 122. For this, the flow rate of these propellants is measured immediately upstream of each of the pumps 111, 112. For the sake of simplicity, only the flow measurement upstream of the pump 111 is detailed, similar arrangements being made for the propellant pumped by the pump 112. Two sensors 10A and 10B are disposed on the pump 111 and measure the speed of rotation thereof. These sensors provide two measurements independent of each other, RTHA and RTHB, representative of the speed of rotation of the pump 111.

Le moteur 100 comporte un contrôleur 200, qui comprend un module de conditionnement 104, un module de calcul 105, un module de régulation 106, et un module de surveillance 107. Le module de conditionnement 104 reçoit les valeurs transmises par les capteurs RTHA et RTHB. Il modifie les signaux transmis afin de mettre ceux-ci sous une forme exploitable par le module de calcul 105. Il peut par exemple réaliser une conversion analogique/numérique pour exprimer sous forme numérique les valeurs de RTHA et RTHB. The motor 100 comprises a controller 200, which comprises a conditioning module 104, a calculation module 105, a regulation module 106, and a monitoring module 107. The conditioning module 104 receives the values transmitted by the RTHA and RTHB sensors. . It modifies the transmitted signals in order to put them in a form usable by the calculation module 105. It can for example perform an analog / digital conversion to express in digital form the values of RTHA and RTHB.

Le module de conditionnement 104 associé aux capteurs 10A et 10B forme deux chaînes de mesure 11A et 11B au sens de l'invention. Ces chaînes de mesure 11A et 11B fournissent au module 105 les valeurs RTHA et RTHB de la vitesse de rotation RTH de la pompe 111. Le module de calcul 105 reçoit non seulement les valeurs RTHA et RTHB, mais également les valeurs d'autres variables D du moteur 100. Sur la base des informations qui lui sont transmises, le module 105 calcule la valeur fiabilisée R2 de la vitesse de rotation de la pompe 111 et la transmet aux modules 106 et 107. Le module 105, associé aux chaînes de mesure 11A et 11B, constitue un dispositif de fiabilisation au sens de l'invention, et permet de fournir une valeur fiabilisée R2 pour la vitesse de rotation RTH de la pompe 111. Il permet ainsi la mise en oeuvre de la méthode selon l'invention. Parallèlement au processus de régulation réalisé par le module 106, le module de surveillance 107 reçoit les informations de vitesse de rotation des pompes 111 et 112, et génère une alerte A si la vitesse de rotation de l'une des pompes 111 et 112 devient excessive. The conditioning module 104 associated with the sensors 10A and 10B forms two measuring chains 11A and 11B within the meaning of the invention. These measurement chains 11A and 11B supply the module 105 with the values RTHA and RTHB of the rotation speed RTH of the pump 111. The calculation module 105 receives not only the values RTHA and RTHB, but also the values of other variables D of the engine 100. On the basis of the information which is transmitted to it, the module 105 calculates the reliability value R2 of the speed of rotation of the pump 111 and transmits it to the modules 106 and 107. The module 105, associated with the measurement chains 11A and 11B, constitutes a reliability device within the meaning of the invention, and provides a reliable value R2 for the RTH speed of the pump 111. It thus allows the implementation of the method according to the invention. In parallel with the regulation process carried out by the module 106, the monitoring module 107 receives the rotational speed information from the pumps 111 and 112, and generates an alert A if the speed of rotation of one of the pumps 111 and 112 becomes excessive. .

Le module de régulation 106, sur la base des valeurs fiabilisées des vitesses de rotation des pompes 111 et 112, de l'information PC de pression dans la tuyère 102, et d'autres paramètres non décrits ici, est à même de réguler le fonctionnement du moteur 100, en transmettant des consignes VR1 et VR2 d'ouverture/fermeture aux vannes 121 et 122 d'alimentation du moteur 100. The regulation module 106, on the basis of the reliable values of the rotational speeds of the pumps 111 and 112, the PC information of pressure in the nozzle 102, and other parameters not described here, is able to regulate the operation of the motor 100, by transmitting VR1 and VR2 opening / closing instructions to the valves 121 and 122 for supplying the motor 100.

Le fonctionnement du module de calcul 105 est illustré plus particulièrement par la figure 2. Cette figure permet de comprendre comment est réalisée la fonction principale du dispositif de fiabilisation, à savoir la fourniture de la valeur fiabilisée R2 de la grandeur considérée, indiquant la vitesse de rotation RTH de la pompe 111. En régime de fonctionnement normal, la valeur fiabilisée R2 est obtenue seulement à partir des mesures fournies par les chaînes de mesure 11A et 11B, au moyen des traitements informatiques représentés sur la partie haute de la figure 2 (au dessus du pointillé) : Les chaînes de mesure 11A et 11B fournissent respectivement, à intervalles réguliers, des valeurs RTHA et RTHB de la vitesse de rotation de la pompe 111. The operation of the calculation module 105 is illustrated more particularly by FIG. 2. This figure makes it possible to understand how the main function of the reliability device, namely the supply of the reliability value R2 of the quantity under consideration, is determined, indicating the speed of the RTH rotation of the pump 111. In normal operating mode, the reliability value R2 is obtained only from the measurements provided by the measurement chains 11A and 11B, by means of the computer processes represented on the upper part of FIG. above the dotted line): The measuring chains 11A and 11B respectively provide, at regular intervals, values RTHA and RTHB of the speed of rotation of the pump 111.

Ces valeurs sont soumises à une opération de filtrage (via les filtres logiciels 20A, 20B) afin de réduire le bruit de mesure que comportent les valeurs RTHA et RTHB. Pour cela, la bande passante des filtres 20A et 20B est adaptée de telle sorte que ceux-ci séparent les composantes du signal en deux parties, à savoir un signal filtré (FM et FRB) et un bruit (BRA et BRB). Ce filtrage fait apparaître la dynamique des pompes 111 et 112, et ainsi permet de détecter des évolutions anormalement rapide de la vitesse de rotation des pompes. Cette détection est faite par le module 107. Le filtrage fait apparaître également les évolutions continues (à basse fréquence) des pompes, et par suite permet la régulation de leur fonctionnement par le module de régulation 106. Les filtres 20A et 20B fournissent ainsi en sortie des valeurs filtrées FRA et FRB ainsi que les résidus de bruit BRA et BRB. Chacune des valeurs FRA, FRB, est alors transmise à un opérateur de fusion 40. De la même manière, chacune des valeurs BRA, BRB, est alors transmise à un détecteur de défaut 30. These values are subjected to a filtering operation (via the software filters 20A, 20B) in order to reduce the measurement noise that the RTHA and RTHB values comprise. For this, the bandwidth of the filters 20A and 20B is adapted such that they separate the components of the signal into two parts, namely a filtered signal (FM and FRB) and a noise (BRA and BRB). This filtering reveals the dynamics of the pumps 111 and 112, and thus makes it possible to detect abnormally rapid changes in the speed of rotation of the pumps. This detection is made by the module 107. The filtering also shows the continuous (low frequency) evolutions of the pumps, and consequently allows the regulation of their operation by the regulation module 106. The filters 20A and 20B thus provide output FRA and FRB filtered values as well as BRA and BRB noise residues. Each of the values FRA, FRB, is then transmitted to a fusion operator 40. In the same way, each of the values BRA, BRB, is then transmitted to a fault detector 30.

Le détecteur de défaut 30 détecte la survenance d'un défaut dans l'une ou l'autre de chaînes de mesure 11A ou 11B sur la base des informations BRA et BRB, d'une manière qui sera développée plus loin. En sortie, le détecteur de défaut 30 fournit un indicateur F Cflag' en Anglais) qui indique le nombre de chaînes en défaut parmi les différentes chaînes de mesure 11A, 11B. Cet indicateur F prend par exemple la valeur 2 pour indiquer que l'ensemble des chaînes de mesure 11A et 11B sont en défaut. L'opérateur de fusion 40 réalise la fusion des deux valeurs FRA et FRB, c'est-à-dire produit une valeur fiabilisée interne R1 de la grandeur considérée RTH, obtenue à partir des valeurs filtrées FRA et FRB, et en fonction de l'indicateur F qui lui est transmis par le détecteur de défaut 30. Cette valeur fiabilisée interne R1 peut être choisie de différentes manières. Dans l'exemple présenté, elle est égale à la moyenne des deux valeurs FRA et FRB (sous réserve que les deux chaînes de mesure 11A et 11B soient valides ; sinon, R1 est égale à la mesure valide restante). La valeur fiabilisée interne R1 et l'indicateur F sont transmis à un sélecteur 50. Ce sélecteur reçoit également en entrée une estimation ER de la vitesse de rotation RTH, fournie par un estimateur logiciel 60, qui va être décrit plus loin. En fonction de la valeur de l'indicateur F, le sélecteur 50 détermine la valeur fiabilisée de sortie R2 que fournit en sortie le dispositif de fiabilisation de la grandeur considérée RTH : tant que l'indicateur F n'indique pas que l'ensemble des mesures sont en défaut (F<2), la valeur fiabilisée de sortie R2 est égale à la valeur R1 fournie par l'opérateur de fusion 40. Inversement, si les deux chaînes de mesure 11A et 11B sont en défaut (F=2), la valeur fiabilisée de sortie R2 est égale à l'estimation ER fournie par l'estimateur 60. La deuxième des deux chaînes de mesure 11A, 11B qui tombe en panne (ie, qui est détectée en défaut) constitue alors la 'chaîne de mesure défaillante' au sens de l'invention. D'autres logiques de fonctionnement seraient par ailleurs envisageables pour le sélecteur 50, tout en restant dans le cadre de l'invention. Par exemple, lorsque le détecteur de défaut 30 n'indique aucun défaut, la valeur fiabilisée de sortie R2 pourrait être égale à la valeur fiabilisée interne R1, et inversement, lorsque le détecteur de défaut indique au moins un défaut, la valeur fiabilisée de sortie R2 pourrait être égale à la valeur ER fournie par l'estimateur. Dans ce cas, la chaîne de mesure défaillante' serait la première chaîne de mesure 11A ou 11B qui serait détectée en défaut. En sortie, la valeur fiabilisée de sortie R2 est transmise par le sélecteur 50 aux modules 106 et 107 du contrôleur 200. Ainsi, la valeur fiabilisée de sortie R2 est exploitée par le contrôleur 200 pour réguler le fonctionnement du moteur, pour le surveiller ainsi que pour toute autre exploitation souhaitée de cette valeur. L'estimateur 60 fonctionne de la manière suivante : Parallèlement au processus d'acquisition des mesures RTHA et RTHB, et de traitement de celles-ci jusqu'à l'obtention de la valeur fiabilisée interne R1, le module de calcul 105 exécute un programme (ou une fonction de calcul) informatique qui fournit périodiquement une estimation ER de la valeur RTH (vitesse de rotation de la pompe 111). Le module 105 comprend donc un estimateur 60 qui fournit périodiquement l'estimation ER. Pour fournir cette estimation ER, l'estimateur 60 comporte un modèle 70, qui permet de simuler le fonctionnement (au moins partiellement) du moteur 100. Des mesures D fournies par différents chaînes de mesure du système, autres que les capteurs 10A et 10B sont fournies comme données d'entrée au modèle 70. A partir de ces mesures, le modèle 70 fournit une valeur estimée de la grandeur considérée RTH. Les informations D utilisées par le modèle 70 sont habituellement des informations d'une autre nature que la grandeur considérée (RTH) dont on cherche à évaluer la valeur. Ces informations par exemple, s'expriment dans une autre unité. L'estimateur 60 comporte en outre des moyens de recalage du modèle 70. Ces moyens servent à corriger les valeurs des paramètres du modèle 70, de telle sorte que la valeur ER que délivre celui-ci soit à chaque instant égale ou du moins très voisine de la valeur R1 fournie par les chaînes de mesure (hors défaut de celles-ci). Ces moyens de recalage comprennent (figure 2) un module d'adaptation paramétrique 74 qui adapte au moins un paramètre de l'estimateur en fonction des écarts constatés entre l'estimation ER fournie par l'estimateur et les valeurs fiabilisées R1 correspondantes. Pour la mise en oeuvre de ce module 74, l'estimateur 60 comporte un soustracteur 72, qui calcule l'écart entre la valeur ER délivrée en sortie par le modèle 70 sur la base des informations D fournies par les capteurs du système, et la valeur fiabilisée interne R1 fournie par l'opérateur de fusion 40. En fonction de cet écart, le module 74 détermine les valeurs modifiées des paramètres du modèle 70 qui permettent que le modèle 70 fournisse en sortie une valeur sensiblement égale à la valeur fiabilisée R1. Les valeurs modifiées sont prises en compte immédiatement par le modèle 70 qui utilise celles-ci dès l'étape suivante, c'est-à-dire dès la réception des mesures suivantes D fournies par les autres chaînes de mesure du système. The fault detector 30 detects the occurrence of a fault in either one of the measurement chains 11A or 11B based on the information BRA and BRB, in a manner to be developed later. At the output, the fault detector 30 provides an indicator F Cflag 'which indicates the number of faulty channels among the different measurement chains 11A, 11B. This indicator F takes for example the value 2 to indicate that all the measurement chains 11A and 11B are in default. The fusion operator 40 merges the two values FRA and FRB, that is to say produces an internal reliability value R1 of the considered variable RTH, obtained from the filtered values FRA and FRB, and according to the F indicator that is transmitted to it by the fault detector 30. This internal reliability R1 value can be chosen in different ways. In the example presented, it is equal to the average of the two values FRA and FRB (provided that the two measurement chains 11A and 11B are valid, otherwise R1 is equal to the remaining valid measurement). The internal reliability value R1 and the indicator F are transmitted to a selector 50. This selector also receives as input an estimate ER of the speed of rotation RTH, provided by a software estimator 60, which will be described later. As a function of the value of the indicator F, the selector 50 determines the reliability value of the output R2 that the output device for reliability of the measured variable RTH provides: as long as the indicator F does not indicate that all measurements are in default (F <2), the output reliability value R2 is equal to the value R1 supplied by the merger operator 40. Conversely, if the two measurement chains 11A and 11B are in default (F = 2) , the output reliability value R2 is equal to the estimate ER provided by the estimator 60. The second of the two measurement chains 11A, 11B which breaks down (ie, which is detected in default) then constitutes the defective measure within the meaning of the invention. Other operating logic would also be possible for the selector 50, while remaining within the scope of the invention. For example, when the fault detector 30 indicates no fault, the reliability value of output R2 could be equal to the internal reliability value R1, and conversely, when the fault detector indicates at least one fault, the reliability value of output R2 could be equal to the ER value provided by the estimator. In this case, the faulty measurement chain 'would be the first measurement chain 11A or 11B which would be detected as a fault. At the output, the output reliability value R2 is transmitted by the selector 50 to the modules 106 and 107 of the controller 200. Thus, the output reliability value R2 is exploited by the controller 200 to regulate the operation of the motor, to monitor it as well as to for any other desired exploitation of this value. The estimator 60 functions as follows: In parallel with the process of acquiring the RTHA and RTHB measurements, and processing them until the internal reliability value R1 is obtained, the calculation module 105 executes a program (or computing function) which periodically provides an estimate ER of the RTH value (speed of rotation of the pump 111). The module 105 therefore comprises an estimator 60 which periodically provides the estimate ER. To provide this estimate ER, the estimator 60 comprises a model 70, which makes it possible to simulate the operation (at least partially) of the engine 100. Measurements D provided by different measurement chains of the system, other than the sensors 10A and 10B are provided as input data to the model 70. From these measurements, the model 70 provides an estimated value of the magnitude considered RTH. The information D used by the model 70 is usually information of a different nature than the quantity considered (RTH) whose value is to be evaluated. This information, for example, is expressed in another unit. The estimator 60 furthermore comprises means for resetting the model 70. These means serve to correct the values of the parameters of the model 70, so that the value ER that it delivers is at each instant equal or at least very close. of the R1 value provided by the measurement chains (without default of these). These resetting means comprise (FIG. 2) a parametric adaptation module 74 which adapts at least one parameter of the estimator as a function of the differences noted between the estimate ER provided by the estimator and the corresponding reliability values R1. For the implementation of this module 74, the estimator 60 includes a subtracter 72, which calculates the difference between the value ER output by the model 70 on the basis of the information D provided by the sensors of the system, and the internal reliability value R1 provided by the fusion operator 40. As a function of this difference, the module 74 determines the modified values of the parameters of the model 70 that allow the model 70 to output a value substantially equal to the reliability value R1. The modified values are taken into account immediately by the model 70 which uses them in the next step, that is to say on receipt of the following measurements D provided by the other measurement chains of the system.

On notera que l'estimateur 60 et plus précisément le module adaptateur 74 reçoit en outre l'indicateur F. Grâce à cela, lorsque l'indicateur F indique qu'au moins une chaîne de mesure 11A ou 11B est valide (F<2), le recalage de l'estimateur sur les valeurs fiabilisées (fournies par les mesures RTHA, RTHB) est réalisé. Aussi, en pratique le recalage du modèle 70 a lieu en permanence, c'est-à-dire périodiquement, chaque fois que la valeur fiabilisée est calculée. Grâce à ce recalage en continu, lorsqu'il advient que les deux chaînes de mesure 11A et 11B soient en défaut (F=2), et que le sélecteur 50 change de position afin de déclencher le recours à l'estimation pour déterminer la valeur fiabilisée, l'estimateur vient nécessairement d'être recalé lorsque le dispositif de fiabilisation commence à utiliser les estimations. Comme cela vient d'être indiqué, l'estimateur est recalé en permanence sur les valeurs fiabilisées. Cependant, le recalage est interrompu lorsqu'un défaut est détecté à la fois sur les chaînes de mesure 11A et 11B. En effet dans ce cas, le recalage n'a plus de sens, et l'adaptation des paramètres du simulateur 70 par le module estimateur 74 doit être interrompue. Un mode de réalisation d'un détecteur de défaut va maintenant être 30 présenté en relation avec les figures 3 à 5. Dans cet exemple, le détecteur de défaut détecte les défauts de la mesure RTHA. La figure 3 présente tout d'abord les traitements réalisés par le filtre 20A (20B étant identique), traitements qui permettent d'isoler le bruit de la mesure RTHA, dans ce mode de réalisation de l'invention. 35 En entrée d'un soustracteur 25 sont fournies d'une part, la mesure RTHA transmise par le capteur 10A, ainsi que la mesure lissée ou filtrée FRA fournie par un module de lissage 21A faisant partie du filtre 20A. La différence entre ces valeurs ainsi obtenue est le bruit de mesure BRA de la mesure RTHA. Des variations de ce bruit ainsi que du carré de ce bruit (N2) en fonction du temps sont illustrées par les figures 4 et 5. Note that the estimator 60 and more precisely the adapter module 74 further receives the indicator F. With this, when the indicator F indicates that at least one measurement chain 11A or 11B is valid (F <2) , the adjustment of the reliability value estimator (provided by the RTHA, RTHB measurements) is performed. Also, in practice, the registration of the model 70 takes place continuously, that is to say periodically, whenever the reliability value is calculated. With this continuous registration, when it happens that the two measurement chains 11A and 11B are in default (F = 2), and the selector 50 changes position in order to trigger the use of the estimate to determine the value The reliability of the estimator must necessarily be recalibrated when the reliability device begins to use the estimates. As just indicated, the estimator is permanently adjusted to the reliability values. However, the resetting is interrupted when a fault is detected on both the measurement chains 11A and 11B. Indeed in this case, the registration is no longer meaningful, and the adaptation of the parameters of the simulator 70 by the estimator module 74 must be interrupted. An embodiment of a fault detector will now be presented in connection with FIGS. 3 to 5. In this example, the fault detector detects defects in the RTHA measurement. FIG. 3 firstly shows the treatments performed by the filter 20A (20B being identical), which processes make it possible to isolate the noise of the RTHA measurement, in this embodiment of the invention. At the input of a subtractor 25 are provided on the one hand, the RTHA measurement transmitted by the sensor 10A, as well as the smoothed or filtered FRA measurement provided by a smoothing module 21A forming part of the filter 20A. The difference between these values thus obtained is the measurement noise BRA of the RTHA measurement. Variations of this noise as well as the square of this noise (N2) as a function of time are illustrated in FIGS. 4 and 5.

Ces figures représentent les courbes de variation respectivement du bruit BRA, et du bruit élevé au carré BRA2, en fonction du temps. La valeur M du bruit moyen entre deux instants T et T' est calculée par le module de calcul 105 d'après la formule suivante : T' J BR2(t) dt = M T Dans le module de calcul 105, le détecteur de défaut est fondé sur le critère de défaut suivant, pour la mesure RTHA : Si le bruit moyen M ne se trouve pas dans un intervalle [Mmin,Mmax] prédéterminé, caractéristique du capteur, la mesure RTHA est considérée comme étant en défaut. Cette information est transmise au moyen de l'indicateur de défaut F. Le fonctionnement effectif du dispositif de fiabilisation peut être mieux compris à travers un exemple concret illustré par la figure 6. These figures represent the variation curves respectively of the noise BRA, and squared noise BRA2, as a function of time. The value M of the average noise between two instants T and T 'is calculated by the calculation module 105 according to the following formula: T' J BR2 (t) dt = MT In the calculation module 105, the fault detector is based on the following fault criterion for the RTHA measurement: If the average noise M is not within a predetermined [Mmin, Mmax] range characteristic of the sensor, then the RTHA measurement is considered faulty. This information is transmitted by means of the fault indicator F. The effective operation of the reliability device can be better understood through a concrete example illustrated in FIG.

Cette figure comporte huit courbes qui représentent en fonction du temps respectivement les valeurs de : - l'indicateur de défaut F ; - la vitesse de rotation RTHA mesurée par le capteur 10A ; - le bruit de mesure BRA associé à la vitesse de rotation RTHA ; ^ la vitesse de rotation RTHB mesurée par le capteur 10B ; - le bruit de mesure BRB associé à la vitesse de rotation RTHB ; - la valeur fiabilisée interne R1 ; - l'estimation ER fournie par l'estimateur ; - la valeur fiabilisée (proprement dite) R2. This figure comprises eight curves which represent as a function of time respectively the values of: - the fault indicator F; the rotational speed RTHA measured by the sensor 10A; - the measurement noise BRA associated with the rotation speed RTHA; the rotational speed RTHB measured by the sensor 10B; - the measurement noise BRB associated with the rotation speed RTHB; the internal reliability value R1; - the estimate ER provided by the estimator; - the reliability value (proper) R2.

Dans la séquence de fonctionnement présentée par la figure 6, à l'instant initial le moteur 100 fonctionne de manière satisfaisante et les deux chaînes de mesure 11A et 11B sont considérées comme valides. L'indicateur F vaut alors 0. Le bruit de mesure BRA et BRB pour les capteurs 10A et 10B est très faible, sans être nul cependant. Les valeurs fiabilisées interne R1 et de sortie R2 sont égales aux valeurs RTHA ou RTHB transmises par les capteurs. A l'instant t0, les valeurs RTHA et RTHB transmises par les capteurs 10A et 10B changent, et passent d'une première valeur relativement élevée, à une deuxième valeur plus basse. Peu de temps après, les valeurs RTHA transmises par le capteur 10A commencent à varier en présentant des oscillations. Ces oscillations sont de plus en plus importantes. Naturellement, dans la même période, le bruit de mesure associé BRA augmente, Le capteur 10B fournit pour sa part des valeurs relativement constantes, et le bruit BRB reste très faible. A l'instant t1, les valeurs transmises par le capteur 10A chutent et deviennent nulles : La chaîne de mesure 11A est défaillante. L'indicateur F est mis à 1, ce qui traduit la panne de la chaîne de mesure 11A. La valeur R1 est alors calculée uniquement sur la base de RTHB. In the sequence of operation shown in FIG. 6, at the initial time the motor 100 operates satisfactorily and the two measuring chains 11A and 11B are considered valid. The indicator F is then 0. The measurement noise BRA and BRB for the sensors 10A and 10B is very small, but not zero. The internal reliability R1 and R2 output values are equal to the RTHA or RTHB values transmitted by the sensors. At time t0, the values RTHA and RTHB transmitted by the sensors 10A and 10B change from a first, relatively high value to a second, lower value. Shortly after, the RTHA values transmitted by the sensor 10A begin to vary with oscillations. These oscillations are more and more important. Naturally, in the same period, the associated measurement noise BRA increases. The sensor 10B for its part provides relatively constant values, and the noise BRB remains very low. At time t1, the values transmitted by the sensor 10A fall and become zero: the measuring chain 11A is faulty. The indicator F is set to 1, which reflects the failure of the measurement chain 11A. The value R1 is then calculated solely on the basis of RTHB.

A l'instant t2, les valeurs RTHB (toujours valides) transmises par le capteur 10B changent, et passent de la deuxième valeur citée précédemment à une troisième valeur encore plus basse que la deuxième. Les valeurs fiabilisées interne R1 et de sortie R2 varient en conséquence, en suivant les valeurs de RTHB. At time t2, the values RTHB (still valid) transmitted by the sensor 10B change, and change from the second value mentioned above to a third value even lower than the second. The internal reliability R1 and R2 output values vary accordingly, following the values of RTHB.

Pendant toute cette période (voir courbe `ER», les paramètres du modèle 70 de l'estimateur 60 sont adaptés en permanence grâce au module adaptateur 74. Celui-ci détermine les valeurs des paramètres du modèle 70 qui permettent que le modèle 70 fournisse en sortie une valeur sensiblement égale à la valeur fiabilisée R1, sur la base des mesures D. During this entire period (see "ER" curve), the parameters of the model 70 of the estimator 60 are continuously adapted thanks to the adapter module 74. This determines the values of the parameters of the model 70 which allow the model 70 to provide in output a value substantially equal to the reliability value R1, based on the measurements D.

On voit que la courbe ER suit sensiblement la courbe R1. A l'instant t3, les valeurs transmises par la chaîne de mesure 11B deviennent constantes. Le bruit de mesure BRB devient nul. Cette information est interprétée par le détecteur de défaut 30 comme une preuve de défaut de la chaîne de mesure 11B. Le détecteur de défaut fait passer l'indicateur de défaut F à la valeur 2. A partir de cet instant, du fait que la valeur de F passe à 2', le sélecteur 50 bascule : Au lieu de fournir en sortie la valeur fiabilisée interne R1, il fournit comme valeur fiabilisée finale R2, l'estimation ER fournie par l'estimateur 60. Du fait que l'estimation ER est recalée en permanence sur la valeur fiabilisée R1, il n'y a à l'instant t3 aucun saut ou aucune variation visible dans la valeur de la valeur fiabilisée R2. It can be seen that the curve ER substantially follows the curve R1. At time t3, the values transmitted by the measurement chain 11B become constant. The measurement noise BRB becomes zero. This information is interpreted by the fault detector 30 as a proof of fault of the measuring chain 11B. The fault detector passes the fault indicator F to the value 2. From this moment, because the value of F goes to 2 ', the selector 50 switches: Instead of outputting the internal reliability value R1, it provides as final reliability value R2, the estimate ER provided by the estimator 60. Since the estimate ER is permanently adjusted to the reliability value R1, there is at the moment t3 no jump or no visible variation in the value of the reliability value R2.

Après l'instant t3, les évolutions de la valeur fiabilisée R2 sont celles prédites par l'estimateur 60, sur la base des informations D qu'il reçoit en permanence.5 After time t3, the changes in the reliability value R2 are those predicted by the estimator 60, on the basis of the information D which it receives continuously.

Claims

REVENDICATIONS1. Device for reliability of a quantity (RTH) measured by at least one measuring chain (11A, 11B), the device being able to provide a reliability value (R2) of said quantity and comprising: a fault detector (30), capable of periodically evaluating whether said at least one measurement chain is in fault or on the contrary if it is valid; an estimator (70), able to periodically provide an estimate (ER) of the measured quantity, said estimate being obtained by means of a model (70) as a function of information (D) other than that transmitted (s); ) by said at least one measuring chain, calculating means (105), connected to said at least one measuring chain, and able to periodically supply said reliability value of said quantity, taking into account the measurements provided by the the valid measurement strings, and / or the estimate provided by the estimator; the device being characterized in that it further comprises resetting means (72,74) of the estimator which are arranged so as, at least during a first fault detection of at least one measurement chain said faulty measurement chain, which prior to said detection was evaluated as valid and provided information for determining the reliability value, recalibrate said model to the last one or more reliability values provided before said first detection; and in that the calculating means are arranged so that, after said first fault detection, the reliability value is determined by taking into account said estimate.

2. Device according to claim 1, in the case where there are several measurement chains, wherein the resetting means (74) are arranged to perform the registration of the model and the calculation means are arranged to take counting said estimate to determine said reliability value, after the first fault detection of either one of the measurement chains or of all the measurement chains.

3. Device according to claim 1 or 2, wherein the calculation means are arranged so that, when at least one first measurement chain is in default and at least one second measurement chain is valid, determine the value. at least from the value provided by the second measurement chain, and from the estimate provided by the estimator.

4. Device according to any one of claims 1 to 3, wherein the resetting means are arranged so that, following said first fault detection of said faulty measurement chain and at least during a resetting period, proceed to said audit periodic registration of the model on one or more reliability values.

5. Device according to claim 4, in the case where there are several measurement chains, wherein said model resetting period takes place until a first fault detection of another faulty measurement chain, which before said detection was assessed as valid and provided information to determine the reliability value.

6. Device according to any one of claims 1 to 5, wherein the fault detector is adapted, for at least one measurement chain, to periodically analyze the sequence of values provided by the measurement chain, and to evaluate that the The measurement string is in fault when the noise of these measurements is lower or higher than predetermined values of minimum noise or maximum noise for such measurements.

7. Device according to any one of claims 1 to 6, wherein at least two sensors are used to measure said quantity, and the fault detector is able to evaluate that at least one measurement chain is in default when the difference. between the measurements provided by said at least two measurement chains exceeds a predetermined value.

8. Device according to any one of claims 1 to 7, wherein the resetting means are adapted to recalibrate the model on the last reliability value or values provided before said first detection by means of a parametric adaptation algorithm, modifying the value of at least one parameter of the estimator according to the difference (s) between the last estimate (s) provided by the model and the last one or more corresponding reliability values determined by taking into account at least one measure provided by the a valid measurement chain.

Apparatus according to claim 8, wherein the parametric adaptation algorithm uses a Kalman filter, the least squares method, or a genetic algorithm, or includes a pure integrator.

A method for reliability of a quantity (RTH) measured by at least one measurement chain (11A, 11B), for providing a reliability value (R2) of said quantity; the method according to which: it is periodically evaluated for each measurement chain whether it is in default or on the contrary, if it is valid; an estimator (60) is used to periodically provide an estimate (ER) of the measured quantity, said estimate being obtained by means of a model as a function of information other than that transmitted by said minus one measurement chain; and periodically determining the reliability value of said magnitude, taking into account the measurements (RTHA, RTHB) provided by the valid measurement string (s), and / or the estimate (ER) provided by the estimator; The method being characterized in that, at least during a first defect detection of at least one measurement chain called defective measurement chain, which before said detection was evaluated as valid and provided information for determining the value reliabilized, the model is recalibrated on the last reliability value or values provided before said first detection; and after said first fault detection, the reliability value is determined by taking into account said estimate.