CN113646707B - 包括两个冗余控制通道的用于控制飞行器发动机的装置 - Google Patents

Abstract

本发明涉及一种发动机控制装置，包括第一控制通道(V1)和第二控制通道(V2)，各控制通道包括第一传感器(CAV1，CAV2)和第二传感器(CBV2，CBV2)，所述第一传感器和第二传感器中的每个被配置为分别向各通道提供第一测量结果(A)和第二测量结果(B)，各通道包括限定主动通道(V1)或被动通道(V2)的主动或被动状态，所述主动通道(V1)设计为控制所述发动机的至少一个致动器(ACT)，而所述被动通道(V2)设计为在所述主动通道发生故障时取代所述主动通道。

Description

包括两个冗余控制通道的用于控制飞行器发动机的装置

技术领域

本发明涉及涡轮喷气式飞行器发动机的控制装置。更具体地说，本发明涉及基于来自配置为测量发动机参数的传感器的测量结果来实现给定冗余的计算的装置。

背景技术

涡轮喷气发动机通常配备有控制装置，该控制装置还提供保护来防止具有危险或灾难性后果的事件，如发动机超速的情况。因此，同一装置实现了这两个功能。

这种控制装置通常包括两个相同的通道，这使得能够在获取参数和计算用于控制一个或多个致动器的设定点时提供冗余。

理想情况下，这些通道彼此独立，但它们经常交换数据，以便合并测量结果。合并的目的是使两个通道在同一时刻进行相同的计算，以确保控制装置的热冗余：一个通道是主动式的并且控制致动器，一个通道是被动式的并且准备在系统发生故障时随时变为主动通道。具体而言，一个通道上的故障可能导致危险或灾难性事件。

如果对发动机的控制和对上述这些事件的保护由同一装置提供，则有必要对执行计算的处理器进行监控，以确保它们没有出现故障。具体地，处理器的故障可能导致发动机进入超速状态。

这样的监控是通过对各通道的计算结果进行比较来实现的，所谓的主动通道向致动器(例如发动机的可变几何结构和/或燃料计量阀)发命令。如果计算结果之间出现分歧，则被动通道被禁用，并且控制装置变成单通道式。

一个问题是，仅通过比较各通道上的计算结果，不可能区分出处理器的故障和通道之间的交换问题。

具体地说，通道间链路的中断，即使是短暂的中断，也会停止相互监控，并有必要确保系统安全，因为这会导致计算上的差异。确保安全在于对任务的其余部分隔离被动通道，因此不利地影响了任务冗余的可用性和维护中的计算机执行问题搜索的可用性。

因此，被隔离的通道可以是健康的通道，因为在通信问题期间，无法得知错误是否位于发射机通道或接收机通道上。如果剩余通道出现故障，且该故障可以通过硬件自检检测到，则其最终会将自身隔离，并导致发动机熄火。因此，这种类型的行为不利地影响了发动机在飞行中的停机率。

发明内容

因此，本发明的主题在于使系统对通道间链路损失而言更加鲁棒(即，抵抗力更强)，以使其能够安全地定位异常，从而确保只有故障的通道将自身隔离。为此，本发明的第一方面提供了一种用于控制发动机的装置，包括第一控制通道和第二控制通道，各控制通道包括第一传感器和第二传感器，所述第一传感器和第二传感器中的每个被配置为分别向各通道提供第一测量结果和第二测量结果，各通道包括限定主动通道或被动通道的主动或被动状态，所述主动通道用于驱动所述发动机的至少一个致动器，而所述被动通道用于在所述主动通道发生故障时取代所述主动通道，该装置设置成使得各通道包括：

-用于合并测量结果的单元，每个用于合并测量结果的单元通过至少一个通道间通信链路接收来自两个通道的测量结果作为输入，以获得合并参数，

-用于处理所述发动机的至少一个致动器的至少一个命令的单元，该装置包括：

-标称运行，其中，用于计算各通道的单元根据所述合并参数和在先前计算时间计算出的命令来计算命令，致动器由所述主动通道驱动，

-在通信链路中断的情况下的故障安全运行，其中，用于计算所述被动通道的单元根据在先前的计算时间由所述主动通道计算出的命令来计算命令。

有利地，本发明通过单独采用的下述特征或这些特征的技术上可行的组合而完善：

-各通道还包括处理监控单元，所述处理监控单元配置为检测由两个通道计算出的命令的值的差异。

-所述处理监控单元配置为：如果检测到由两个通道计算出的命令的值存在差异，则临时地或最终地禁用所述被动通道。

-所述合并单元对由两个通道测量的值取平均值。

-每个通道的处理单元执行如下计算：该计算需要在先前的时间增量处由处理单元自身计算出的至少一个结果。

-每个通道的处理单元执行如下计算：该计算需要在先前的时间增量处由处理单元自身计算出的至少一个中间结果。

-在与至少一个通道间通信链路的中断持续时间相对应的时间段内，启用故障安全运行模式。

-在与计算中间值和最远时间之间的时间相对应的时间段内，启用故障安全运行模式，其中，在所述最远时间期间计算使用该值作为初始数据。

-在通过通信链路故障测试估算的预定时间段内，启用故障安全运行模式。

-所述处理监控单元配置为：如果在所述故障安全运行模式结束后立即检测到由两个通道计算出的命令的值存在差异，则最终地禁用所述被动通道。

-当两个通道中的一个等待接收来自另一个通道的测量结果时，另一个通道提前执行下一个不需要来自第二通道的任何测量结果的预定的计算，来自第二通道的测量结果在此时没有使用。

本发明的具有多个优点。

通过增加链路对短暂故障的鲁棒性，实现冗余的可用性。这也有助于在面临灾难性和危险风险时更好地提供保护。

通过促进故障排除和减少未确认故障的计算机或错误移除的计算机的比例来提高计算机维护的可用性。

改善飞行中发动机的与控制装置的两个通道之一的故障有关的停机率。

附图说明

本发明的其它特征、目的和优点通过下文中的说明将变得明显，所述说明是纯说明性和非限制性的并且必须参照附图阅读，其中：

图1示出了根据本发明实施例的包括两个通道的用于控制发动机的装置的示例；

图2示出了根据本发明的控制装置的处理单元的示例性实施例；

图3至图5示意性地说明了在控制装置中实施的处理步骤。

在所有附图中，相似的元件具有相同的附图标记。

具体实施方式

图1示出了根据本发明实施例的用于控制发动机的装置的示例。优选地，发动机是飞行器的发动机，例如为涡轮机。

该控制装置包括两个控制通道：第一控制通道V1和第二控制通道V2。

各控制通道V1、V2使得能够根据计算的命令或设定点C_V1、C_V2来驱动至少一个致动器ACT。在操作中，两个通道中只有一个驱动致动器ACT。它就是主动通道。另一个通道被认为是被动式，如果所述主动通道出现故障，则其可以取代主动通道。

各控制通道V1、V2接收待测量的输入参量A、B，并在此基础上计算对致动器ACT的命令。这些参量例如为：温度等。

在图1所示的示例中，各通道接收两个不同的待测量参量A、B，每个通道测量相同的参量。特别是，对于各通道V1、V2，这些参量由不同或相同的传感器测量：

-对于第一通道V1：第一参量A的第一测量结果MAV1由第一传感器CAV1测量，第二参量B的第二测量结果MBV1由第二传感器CBV1测量。

-对于第二通道V2：第一参量A的第一测量结果MAV2由第一传感器CAV2测量，第二参量B的第二测量结果MBV2由第二传感器CBV2测量。

使用的传感器取决于测量的参量：用于温度的温度传感器等。

为了确定命令C_V1、C_V2，每个通道将对所取得的测量结果执行一定量的处理操作。

具体地，各通道包括合并单元UC1、UC2，使得可以通过合并过程(例如通过对由两个通道的每个通道的传感器测量的值取平均值)来统一由两个通道中的每个通道的传感器测量的数据。

可以理解，通过通道间通信链路LCOM在通道V1、V2之间进行数据交换。

对于各通道，合并的结果随后被处理单元UT1、UT2使用，所述处理单元将计算用于致动器ACT的设定点C_V1、C_V2。

有利地，处理单元UT1、UT2可以使用在一个或多个先前的计算时间计算的命令以及在一个或多个先前的计算时间计算的中间结果作为输入数据。在这种情况下，处理单元可以包括第一计算模块MOD1和第二计算模块MOD2：第一计算模块和第二计算模块中的一个执行计算的第一部分，第一计算模块和第二计算模块中的第二个执行需要先前执行的中间计算的计算(参见图2)。来自第一模块的数据在通常为1到4个计算时间的延迟后由第二模块检索。

在正常运行情况下，各通道计算的设定点C_V1、C_V2是相同的。为了确保确实如此，各通道还包括监控单元US1、US2，负责检查计算出的命令C_V1、C_V2是否确实相同。为了能够对计算出的命令进行比较，监控单元US1、US2接收由其所属的通道计算出的命令并且通过通信链路LVER2、LVER1接收由其他通道计算出的命令。

当检测到两个计算出的命令C_V1、C_V2之间存在差异时，处理单元UT1、UT2的自检机制使得有可能识别错误可能来自何处，并禁用通道中的一个，被禁用的通道在这种情况下不将信息上升到另一个通道。在这种情况下，可以选择将处于“主动”状态或“被动”状态的通道，并禁用处于“被动”状态的通道。

如本文所介绍的，这是因为控制通道V1、V2各有一个“主动”或“被动”状态指示器。这使得能够确定哪个通道有效地控制发动机的致动器ACT。这些状态是互斥的：两个通道V1、V2不能处于相同的状态，必须一个是主动的，另一个是被动的。

另一方面，如果处理单元的自检机制没有检测到错误的来源，被动通道总是被禁用。然后它提供的冗余就失去了。如将理解的，当发生这种情况时，通道有可能在没有问题时被禁用，因为问题可能来自至少一个通道间通信链路LCOM。

因此，与禁用被动通道并假设问题来自通道间通信链路LCOM不同，控制装置将表现出故障安全运行模式，在该模式中由处理单元UT1、UT2计算的命令将被传输。特别地，这种传输是从主动的通道到被动的通道进行的。当由处理单元执行的计算基于在先前时间增量中计算的结果时，使得能够统一两个通道的计算单元的输入数据，以便允许命令在一定量的时间增量之后收敛。

有利地，对于处理单元，计算时间被设置为持续时间t，例如介于5到50毫秒之间，典型地t＝15毫秒，该持续时间是有限的，并且超过该持续时间导致处理单元的异常，并且导致异常所涉及的通道被禁用。因此，必须注意处理单元上执行的计算负荷。在通道V1、V2之间的通信链路中断的情况下，对于重新建立通道间通信链路LCOM，有必要遵循用于传输计算出的命令的机制，以确保计算的重新收敛。这导致处理单元的计算超负荷。因此，有必要优化交换的持续时间和计算的排序，以符合处理单元的时间限制。

根据本发明的优选实施例的控制装置的故障安全运行的示例性实施例

在图3至图5中示出了这种示例。所示的示例是只考虑先前的时间增量

t＝i-1处的计算

在本示例中，使

C_V1(0)＝C_V2(0)

只要系统在通道间链路中没有发生任何故障，计算就会如图3所示进行。此外，在本示例中，通道V1是主动通道，而通道V2是被动通道。

为了确定要在时间增量

t＝i

处应用于致动器ACT的命令，计算是根据与控制通道相关的传感器测量的数据进行的。在一个简化示例中，以下计算被执行：

C_V1(i)＝C_V1(i-1)+平均值(i)

C_V2(i)＝C_V2(i-1)+平均值(i)

其中：

它对应于图2，其中，操作符(operateurs)OP1、OP2例如是作为输入的两个项的和。还可以设想其他操作符。

这里很明显，在前文描述的计算之后，在标称操作额定值(regime defonctionnement nominal)的情况下，如果接受在先前的计算增量中的计算，那么确实有：

C_V1(i)＝C_V2(i)

，则在当前的计算增量中，确实验证了以下等式：

C_V1(i+1)＝C_V2(i+1)

另一方面，当通道间通信链路中断发生在时间

j

时，合并单元不再能够交换由连接到它们相应通道的传感器测量的数据。然后处理单元执行的计算如图4所示：两个通道中的每一个都执行之前在合并步骤中给出的计算(这里是平均值)。因此，处理单元执行以下计算：

C_V1(j)＝C_V1(j-1)+MAV1(j)+MBV1(j)

C_V2(j)＝C_V2(j-1)+MAV2(j)+MBV2(j)

然而，在实践中，由两个通道中的每一个的传感器测量的同类数据总是不同(这就是为什么合并是必要的)。这就给出了：

MAV1(j)+MBV1(j)≠MAV2(j)+MBV2(j)

并且在这种情况下，由两个通道计算出的命令不再相同：

C_V1(j)≠C_V2 (j)

所计算出的命令的这种差异被监控单元检测为错误。此外，即使链路被重新建立，先前的计算在处理后也是不同的，对于一个通道和另一个通道，计算出的命令仍然是不同的。

为了缓解这个问题，解决方案包括：当链路在时间

k

被重新建立时，将主动通道(在本示例中为通道V1)计算出的结果发送到被动通道(在本示例中为通道V2)

如图5所示。这里所作的计算如下：

C_V1(k+1)＝C_V1(k)+平均值(k+1)

C_V2(k+1)＝C_V1(k)+平均值(k+1)

因此：

C_V1(k+1)＝C_V2(k+1)

应注意，命令C_V1、C_V2的值与通道间通信链路LCOM的重建等同。

可能的实施示例

作为示例，两个通道中的每一个的处理单元可以被分成两个模块MOD1、MOD2，如图2所示。在这种情况下，计算是基于先前的多个结果进行的。更准确地说，计算使用了先前的4个命令的结果以及源于先前的3次计算的中间结果。在这种情况下，因此有必要交换在多个计算时间内计算的命令，以尽可能优化这些交换的持续时间(交换的持续时间在计算时间中是耗时的)。这些必须在尽可能短的时间内执行：

-当一个或多个先前的命令在一延迟时间(以计算时间的数量计量)

r₁

后被用作处理单元的输入时，命令必须在与链路中断持续时间相等的计算时间的数量期间从主动通道传输到被动通道，

-当一个或多个先前的中间结果在一延迟时间

r₂

后使用时，命令必须在计算增量的r₂

期间从主动通道传输到被动通道。

此外，为了满足任何机载控制装置所特有的实时系统要求，每个周期的持续时间不能超过预定的持续时间，例如15ms，因此有必要优化所添加的操作的顺序以继续遵守这一限制。为此，修改了由处理单元执行的任务的顺序，以便在处理单元等待通过数据链路接收数据时执行计算。通过这种方式，可以在下述情况节省计算时间：

-在标称运行模式下，在没有任何故障的情况下；

-在故障安全运行模式下，在通信故障期间；

-在故障安全运行模式下，在通道间链路反馈后，从主动通道到被动通道的数据交换过程中。

因此，所节省的计算时间使得能够遵守所要求的时间限制，并能够执行附加的自检以检测两个通道中的一个的组件的故障。

Claims (11)

1.一种用于操作发动机的方法，包括用于控制所述发动机的装置，所述装置包括第一控制通道（V1）和第二控制通道（V2），所述第一控制通道（V1）和所述第二控制通道（V2）中的每个控制通道包括第一传感器（CAV1，CAV2）和第二传感器（CBV2，CBV2），所述第一传感器和第二传感器中的每个被配置为分别向每个控制通道提供第一测量结果（A）和第二测量结果（B），每个控制通道包括限定主动通道（V1）或被动通道（V2）的主动或被动状态，所述主动通道（V1）用于驱动所述发动机的至少一个致动器（ACT），而所述被动通道（V2）用于在所述主动通道发生故障时取代所述主动通道，每个控制通道（V1，V2）包括：

用于合并测量结果的合并单元（UC1，UC2），每个合并单元通过至少一个通道间通信链路（LCOM）接收来自所述第一控制通道（V1）和所述第二控制通道（V2）的测量结果作为输入，以获得合并参数，

用于处理所述发动机（ACT）的至少一个致动器的至少一个命令（C_V1，C_V2）的处理单元（UT1，UT2），所述方法包括：

在所述装置的标称运行模式期间，由用于计算每个控制通道（V1，V2）的所述处理单元（UT1，UT2）执行的步骤，包括根据所述合并参数和在先前计算时间计算出的命令来计算命令（C_V1，C_V2），致动器由所述主动通道驱动，

在所述装置的故障安全运行模式期间，当所述通道间通信链路（LCOM）在通信链路中断后重新建立时，由用于计算所述被动通道的处理单元（UT2）执行的步骤，包括根据在先前的计算时间由所述主动通道（V1）计算出的命令（C_V1）来计算命令（C_v2），其中，当所述通信链路在时间被重新建立时，其中，MAV1为第一传感器（CAV1）向所述第一控制通道（V1）提供的第一测量结果，MBV1为第二传感器（CBV1）向所述第一控制通道（V1）提供的第二测量结果，MAV2为第一传感器（CAV2）向所述第二控制通道（V2）提供的第一测量结果，MBV2为第二传感器（CBV2）向所述第二控制通道（V2）提供的第二测量结果。

2.根据权利要求1所述的方法，还包括由每个控制通道（V1，V2）的处理监控单元（US1，US2）检测由所述第一控制通道（V1）和所述第二控制通道（V2）计算出的命令（C_V1，C_V2）的值的差异。

3.根据权利要求2所述的方法，还包括：如果检测到由所述第一控制通道（V1）和所述第二控制通道（V2）计算出的命令（C_V1，C_V2）的值存在差异，则由所述处理监控单元（US1，US2）临时地或最终地禁用所述被动通道（V2）。

4.根据权利要求1至3中任一项所述的方法，还包括由所述合并单元（UC1，UC2）计算由所述第一控制通道（V1）和所述第二控制通道（V2）测量的值的平均值。

5.根据权利要求1至3中任一项所述的方法，还包括：每个控制通道（V1，V2）的处理单元（UT1，UT2）的计算需要在先前的时间增量处由处理单元自身计算出的至少一个结果。

6.根据权利要求1至3中任一项所述的方法，还包括：每个控制通道的处理单元（UT1，UT2）的计算需要在先前的时间增量处由处理单元自身计算出的至少一个中间结果。

7.根据权利要求5所述的方法，其中，在与至少一个通道间通信链路（LCOM）的中断持续时间相对应的时间段内，启用所述故障安全运行模式。

8.根据权利要求6所述的方法，其中，在与计算中间值和最远时间之间的时间相对应的时间段内，启用所述故障安全运行模式，其中，在所述时间段期间的计算使用所述中间值作为初始数据。

9.根据权利要求1至3中任一项所述的方法，其中，在通过通信链路故障测试估算的预定时间段内，启用所述故障安全运行模式。

10.根据权利要求2或3所述的方法，包括：如果在所述故障安全运行模式结束后立即检测到由所述第一控制通道（V1）和所述第二控制通道（V2）计算出的命令的值存在差异，则所述处理监控单元（US1，US2）最终地禁用所述被动通道（V2）。

11.根据权利要求1至3中任一项所述的方法，其中，当所述第一控制通道（V1）和所述第二控制通道（V2）中的一个控制通道等待接收来自另一个控制通道的测量结果时，另一个控制通道（V1，V2）提前执行下一个不需要来自所述一个控制通道的任何测量结果的预定的计算，来自所述一个控制通道的测量结果在此时没有使用。