ES2230117T3 - Regulador o regulador de grupo motopropulsor; grupo motopropulsor y procedimiento para la regulacion de un sistema de control o sistema de accionamiento o de un grupo motopropulsor. - Google Patents

Abstract

Regulador (16) para unas aplicaciones de alta fiabilidad y críticas en cuanto a la seguridad; con dos canales de regulación (20, 20¿), cada uno de los cuales posee por lo menos dos unidades de procesamiento (22, 24 y 22¿, 24¿, respectivamente); en este caso, para cada función -crítica en cuanto a la seguridad en los dos canales (20, 20¿) del regulador opera una respectiva unidad de procesamiento (por ejemplo, 22, 22¿) como la unidad de cálculo, con el fin de determinar los resultados de cálculos en base a por lo menos una parte de los datos de entrada (E, E¿), mientras que la otra respectiva unidad de procesamiento (por ejemplo, 24, 24¿) actúa como la unidad de control, con el objeto de comparar los resultados del cálculo de la unidad de cálculo, en primer lugar, con una estimación propia de los resultados correctos y, en segundo lugar, con los resultados correspondientes del respectivo otro canal (20, 20¿) del regulador.

Description

Regulador o regulador de grupo motopropulsor; grupo motopropulsor y procedimiento para la regulación de un sistema de control o sistema de accionamiento o de un grupo motopropulsor.

La presente invención se refiere a un regulador para unas aplicaciones de alta fiabilidad y críticas en cuanto a la seguridad como, por ejemplo, en los sistemas de regulación para su empleo en la aeronáutica o en las centrales térmicas nucleares; la invención se refiere asimismo a un sistema de control o sistema de accionamiento así como a un procedimiento para la regulación de un sistema de control o sistema de accionamiento. Este regulador se refiere en especial a un regulador de un grupo motopropulsor, mientras que el sistema de control o sistema de accionamiento se refiere sobre todo a un grupo motopropulsor. En su aplicación para los grupos motopropulsores aéreos, la presente invención es empleada ante todo para una regulación electrónica o digital, crítica en cuanto a la seguridad del vuelo (los llamados grupos motopropulsores FADEC - Full Authority Digital Engine Control o control digital del grupo motopropulsor con autoridad completa). De una manera muy especial, la presente invención está indicada para aquellos grupos motopropulsores, los cuales sean empleados en los aviones de tipo monomotor o en los grupos motopropulsores con control vectorial del empuje.

En los grupos motopropulsores de tipo FADEC ya es conocida una forma de realización del regulador del grupo motopropulsor con dos canales, en la cual existen por duplicado todas las partes componentes, que sean esenciales para el funcionamiento. Esto abarca también los reguladores de dos canales, que se llegan a emplear en unas aplicaciones de extrema fiabilidad o críticas en cuanto a la seguridad. Las partes componentes de esta clase representan los sensores y elementos actuadores de especial importancia del grupo de construcción del motopropulsor o del recorrido de la regulación; el equipo físico para el acondicionamiento de las señales y para la conversión de las mismas; así como las propias unidades de procesamiento para llevar a efecto un procedimiento de regulación, tal como esto también está indicado en la Patente Núm. 5.067.080 B2 de los Estados Unidos. Aquí queda revelado un regulador de dos canales para un grupo motopropulsor, en el cual las señales, que son empleadas para la regulación, son intercambiadas entre los dos canales de tal modo, que los propios ordenadores no sean necesarios para el intercambio de estos datos entre los canales. Esto tiene por efecto, que las señales preparadas del canal 1 también puedan ser transmitidas, en el caso de una avería en el ordenador del canal 1, hacia el canal 2, y viceversa. En este caso, el control por ordenador es efectuado por medio de dos ordenadores sincronizados por cada canal, los cuales ejecutan unos programas idénticos de una bit- sincronización. Las señales de salida de estos ordenadores son comprobadas por su coincidencia de bit, y las diferencias son valoradas como unos errores del ordenador.

Un tal regulador o regulador de grupo motopropulsor de dos canales proporciona, en un principio, una suficiente redundancia, asimismo para unas aplicaciones críticas de la seguridad. Según la moderna tecnología de circuitos, el riesgo de un fallo en los dos canales es desdeñablemente reducido. Existe, sin embargo, la dificultad de detectar, de una manera segura, la avería de un canal. Mientras que, por ejemplo, en un regulador de tres canales existe la posibilidad de comparar las señales de control, que son generadas por cada canal, y de llevar a efecto una decisión por mayoría; en un regulador de dos canales, en cambio, de una simple desviación entre las señales de control no puede ser deducido cuál de los dos canales tiene el funcionamiento erróneo.

Por estos motivos, según el estado actual de la técnica resulta que, en los reguladores de dos canales está prevista una vigilancia esencialmente autárquica dentro de cada uno de los dos canales. Esto quiere decir que el control del funcionamiento de cada canal es efectuado a través de unas pruebas de racionalidad, en las cuales los datos del respectivo otro canal, si bien pueden ser incluidos para la detección de un error, pero no tienen, sin embargo, ninguna autoridad con respecto a una localización de los errores ni sobre las reacciones de los mismos. Para el sistema de sensores, para los elementos actuadores y para el equipo físico para el acondicionamiento de señales y para la conversión de las mismas, las pruebas de racionalidad de esta clase, así como otros mecanismos de vigilancia con autarquía de los canales, se encuentran a disposición con una gran fiabilidad durante la detección de los errores.

También en relación con las unidades de procesamiento es así, que algunas situaciones de error pueden ser controladas de una manera relativamente fácil y de forma fiable. De este modo, por ejemplo, la avería completa del funcionamiento ("crash") de una unidad de procesamiento puede ser detectada por el hecho de que ha sido previsto un indicador de tiempos de vigilancia, que de forma regular es puesto a cero por la unidad de procesamiento. Al no tener lugar esta puesta a cero antes de transcurrir un intervalo de tiempo previamente establecido por el indicador de tiempos, se dispara una alarma. Otras funciones erróneas pueden ser detectadas, por ejemplo, por medio de una lógica de vigilancia de un bus de datos.

Existe, no obstante, el problema de que algunos errores de las unidades de procesamiento solamente pueden ser detectados con ciertas dificultades. Esto se refiere en especial a las funciones erróneas que se presentan sólo durante algunos momentos o a unas determinadas condiciones del funcionamiento del procesador. De este modo, por ejemplo, la resistencia de una metalización se puede incrementar paulatinamente por una corrosión. Esto puede conducir, en primer lugar, a unos errores temporales que sólo se presentan, por ejemplo, al reducirse -en algunas situaciones del vuelo o bien a unas condiciones especiales del funcionamiento como en la puesta en marcha del grupo motopropulsor- la tensión de alimentación del procesador por debajo de su valor normal o se aumenta por encima de este valor. Estos errores, que también pueden constituir los indicadores previos de una avería duradera, pueden conducir, con una probabilidad relativamente grande, a unos peligrosos funcionamientos erróneos, y los mismos solamente pueden ser determinados con dificultades en los reguladores de dos canales.

Por consiguiente, la presente invención tiene el objeto de eliminar los problemas aquí comentados y de incrementar -con una reducida inversión- sobre todo la seguridad en el funcionamiento de un regulador con dos canales. A través de la presente invención se pretende conseguir en especial una detección fiable de los peligrosos funcionamientos erróneos de un procesador.

De acuerdo con la presente invención, este objeto se consigue por medio de un regulador con las características de la reivindicación de patente 1); se consigue a través de un sistema de control o sistemas de accionamiento con las características de la reivindicación de patente 9); como asimismo se consigue este objeto por medio de un procedimiento para la regulación de un sistema de control o sistema de accionamiento con las características indicadas en la reivindicación de patente 11). Las reivindicaciones secundarias se refieren a unas preferidas formas para la realización de la presente invención.

La presente invención se fundamenta en la idea básica de comparar los resultados de cálculo dentro de un canal del regulador, en primer lugar, con una estimación -interna del canal- de los resultados correctos y, en segundo lugar, con los resultados del respectivo otro canal del regulador. Por consiguiente, son efectuadas dos pruebas de racionalidad -concretamente de forma interna del canal y de forma externa del canal- a través de una comparación de los resultados. Debido a ello, y sin un tercer canal del regulador, se consigue una detección de errores que es fiable de una manera similar a la fiabilidad de una estructura de un regulador de tres canales.

Según la presente invención, está previsto que cada canal de regulador tenga por lo menos dos unidades de procesamiento, de las cuales una unidad opera -para cada función, que tiene que ser comprobada- como la unidad de cálculo para el propio proceso del cálculo, mientras que la otra unidad opera como la unidad de control. La unidad de cálculo y la unidad de control llevan a efecto tanto una prueba de racionalidad -interna del canal- de los resultados de la unidad de cálculo como asimismo una comparación con los resultados del otro canal. Gracias a esta medida, queda asegurado que estos dos controles tengan lugar con independencia de un eventual funcionamiento erróneo de la unidad de cálculo o de la unidad de control.

Por regla general, es necesaria la existencia de varias unidades de procesamiento por cada canal, con el fin de proporcionar la necesaria capacidad de cálculo. Incluso teniendo en consideración un aumento, que ha de ser esperado en las capacidades de cálculo, también en el futuro serán deseables por lo menos dos unidades de procesamiento por canal, al objeto de poder separar entre si el equipo lógico de distintas categorías de criticalidad. Bajo estas condiciones marginales, para la solución ofrecida por la presente invención no hace falta ninguna inversión adicional en el equipo físico. También en cuanto a otras constelaciones puede conseguir la presente invención una relación especialmente favorable entre los costos y los beneficios.

Por consiguiente, la presente invención conduce
-vista la misma en su conjunto- a una detección fiable de las averías en los ordenadores, y esto con el mayor aprovechamiento posible de la capacidad de cálculo instalada. Cada unidad de procesamiento de los dos canales del regulador precisa solamente una pequeña parte de su capacidad de cálculo para sus tareas como la unidad de control. La mayor parte de esta capacidad de cálculo puede ser empleada por la unidad de procesamiento para llevar a efecto -como una unidad de cálculo- los complejos procesos de regulación de otros circuitos de regulación o bien para realizar otras funciones.

De forma preferente, cada unidad de control posee un integrador de errores que realiza la integración de las desviaciones -determinadas en las comparaciones- así como de los otros valores indicativos de unos funcionamientos erróneos. En este caso, y con preferencia, la velocidad de integración está en función de la gravedad de una desviación o del funcionamiento erróneo. El valor de desviación, que es determinado por el integrador de errores, se reduce preferentemente de forma paulatina al no presentarse otros funcionamientos de error.

De forma preferente, una desviación, detectada en las comparaciones, es valorada solamente en el caso en el cual las dos comparaciones indiquen un funcionamiento erróneo del canal, que está bajo control. Gracias a ello, el respectivo canal erróneo puede ser determinado de una manera más segura.

Según unas preferidas formas de realización, es así que los resultados comprobados del cálculo representan los datos de salida de las unidades de cálculo o bien constituyen unas señales de control o unas señales intermedias.

El regulador está apropiado de forma especial para su empleo como un regulador de los grupos motopropulsores en los cuales, a causa de unos defectos en un regulador digital del grupo motopropulsor, pueden ser originados unos "peligrosos" funcionamientos erróneos o en el grupo motopropulsor o dentro del sistema. Esto se refiere ante todo a los aviones de tipo monomotor o a los aviones con un control vectorial de empuje teniendo en cuenta que, en este caso, una involuntaria desconexión del grupo motopropulsor o un vector de empuje regulado de manera errónea pueden conducir a la pérdida del avión. En las otras aplicaciones -como, por ejemplo, en los aviones de uso civil con varios motores- existen, por regla general, unas "seguras" limitaciones de autoridad para los sistemas FADEC (como, por ejemplo, un limitador del número de revoluciones que es independiente del sistema FADEC). Para las aplicaciones de este tipo, el empleo de la presente invención si bien es deseable pero no es, sin embargo, absolutamente necesario.

Un sistema de control o de accionamiento comprende unos elementos actuadores, los sensores así como un regulador según la presente invención. Los elementos actuadores -como, por ejemplo, los motores de ajuste electromecánicos, las bombas u otros aparatos similares- sirven para el control del sistema. Los sensores para, por ejemplo, la medición de posiciones, de temperaturas, de números de revoluciones o de otros parámetros similares, sirven para registrar el estado del sistema (estado real) que, dentro del regulador, es procesado para la formación de las señales de control. Los sistemas de control o sistemas de accionamiento de este tipo son empleados para unas aplicaciones, que son críticas en lo que se refiere a la seguridad. Forman parte de ello, por ejemplo, el sistema de control de una puerta electromecánica de un avión; el sistema de regulación de las turbinas de gas estacionarias así como los sistemas de regulación del avión, los cuales sirven para la navegación del mismo. Sobre todo al tratarse de unas aplicaciones muy críticas en cuanto a la seguridad -las cuales exigen una elevada disponibilidad funcional como, por ejemplo, los sistemas FADEC para los aviones de tipo monomotor; los sistemas de regulación del avión o los controles vectoriales de empuje- existe una disimilaridad entre los módulos de procesador de los dos canales del regulador.

A continuación, se describen con más detalle varios ejemplos para las realización de la presente invención, los cuales están representados en los planos esquematizados adjuntos, en los que:

La Figura 1 muestra un esquema de bloques -muy simplificado- de un grupo motopropulsor, con los correspondientes grupos funcionales para la regulación del grupo motopropulsor;

La Figura 2 indica un esquema de bloques de los dos canales del regulador según la presente invención o regulador de un grupo motopropulsor;

La Figura 3 muestra un diagrama de flujo de datos del proceso de cálculo, que se desarrolla durante el funcionamiento del regulador o regulador de grupo motopropulsor, indicado en la Figura 1; mientras que

La Figura 4 indica un diagrama más esquematizado, en el cual está representado, a título de ejemplo, la disimilaridad entre los módulos de procesador de cada canal del regulador.

En la Figura 1 está indicado -como sistema de control o sistema de accionamiento- un grupo motopropulsor para una aplicación de tipo monomotor y con control vectorial del empuje. Este grupo motopropulsor posee un grupo de construcción de motopropulsor 10; con el grupo de la propia turbina y con un elevado número de sensores 12 y de elementos actuadores 14. Un regulador 16, que actúa como un regulador del grupo motopropulsor, recibe las señales de valor I de los sensores 12 como asimismo recibe las señales de valor teórico SO, que por un apropiado sistema electrónico de a bordo (no indicado en la Figura 1) son calculadas en base a los movimientos de control del piloto. El regulador 16 del grupo motopropulsor genera las señales de control ST y ST' para los elementos actuadores 14 del grupo de construcción de motopropulsor 10, como asimismo genera las señales de reacción R para el sistema electrónico de a bordo así como para el piloto.

Este regulador 16 del grupo motopropulsor posee un dispositivo de preparación de valores teóricos 18 que, en base a las señales de valor teórico SO y a las señales de valor real I, aportados por los sensores, genera dos conjuntos de datos de entrada, E y E', para un primer canal y para un segundo canal, 20 y 20', respectivamente, del regulador. Los dos canales, 20 y 20', del regulador generan, en su conjunto, las señales de control ST y ST'. Según el ejemplo de realización aquí descrito, siempre se encuentran activas o las señales de control ST o las señales de control ST' (o bien, en el caso de una muy grave perturbación en el funcionamiento, ni la señal ST ni la señal ST'). Según algunas alternativas para la realización, en cambio, resulta que durante el funcionamiento normal pueden ser emitidos los dos grupos de señales de control, ST y ST', de forma independiente entre si.

Según las formas de realización más sencillas, este dispositivo de preparación de valores teóricos 18 realiza solamente una apropiada escalación de las señales de valor teórico SO y de valor real I, y el mismo lleva a efecto -para el caso de que las señales de valor teórico SO y de valor real I no estén presentes aún en la forma digital- una conversión analógica/digital. Los dos conjuntos de los datos de entrada, E y E', son entonces idénticos entre si, y los mismos llevan las respectivas informaciones de todas las señales de valor teórico SO y de valor real I. En el caso extremo más sencillo es así, que las señales (digitales) de valor teórico SO y de valor real I son empleadas directamente como los datos de entrada E y como los datos de entrada E'. Según estas variantes de la realización, no es necesario prever un separado dispositivo de preparación de valores teóricos 18.

En unas alternativas más complejas para la realización están previstas unas respectivas parejas de sensores redundantes 12, de tal manera que por lo menos cada importante señal de valor real I pueda ser determinada de forma separada y dentro de los dos canales. De forma análoga ha de procederse para las señales de valor teórico SO. Según estas alternativas de realización, el dispositivo de preparación de valores teóricos 18 posee una lógica de selección de señales. Además, en el dispositivo de preparación de valores teóricos 18 están previstos, en este caso, unos medios para la prueba de racionalidad de las señales de valor teórico SO y de valor real I dentro de los dos canales. Durante el funcionamiento normal y a los efectos de generar los datos de entrada E, esta lógica de selección de señales emplea las informaciones del primer canal, y para la generación de los datos de entrada E' utiliza esta lógica las informaciones del segundo canal. Al ser determinados dentro de un canal, sin embargo, unos valores que reflejan, por ejemplo, un funcionamiento erróneo de uno de los sensores 12, el dispositivo de preparación de valores teóricos 18 ignora, en este caso, las señales probablemente erróneas de este canal y emplea, en lugar de éstas, las señales correspondientes del otro canal, con el fin de generar los dos conjuntos de datos de entrada, E y E'. A este efecto, cada canal de este dispositivo de preparación de valores teóricos 18 tiene constantemente a su disposición los datos de valor real I de los dos canales.

Según el grado de detalle, indicado en la Figura 1, es así que el grupo motopropulsor de la presente invención no se diferencia de una manera esencial de un grupo motopropulsor según el estado actual de la técnica. La diferencia consiste solamente en la estructura y en el modo de funcionamiento de los dos canales de regulación, 20 y 20', del regulador 16 del grupo motopropulsor, los cuales se explican a continuación.

En el esquema de bloques de la Figura 2, están indicados, de forma esquematizada, los dos canales, 20 y 20', del regulador. El primer canal de regulador 20 tiene dos unidades de procesamiento, 22 y 24, que son esencialmente idénticos entre si. Dentro de la primera unidad de procesamiento 22 está previsto un módulo de procesador 26, que se compone de un procesador propiamente dicho; de una memoria de trabajo; de una memoria de programa con el equipo lógico contenido en la misma; de un bus de datos y de direcciones; como asimismo se constituye de otras partes componentes, por lo que este módulo representa un ordenador independiente.

La primera unidad de procesamiento 22 posee, además, unos grupos de construcción para la vigilancia del módulo de procesador 26 en cuanto al equipo físico, los cuales comprenden -concretamente según el ejemplo de realización aquí descrito- una lógica de vigilancia de buses 26 para la detección de unos inadmisibles accesos a los buses de datos del módulo de procesador 26, como asimismo comprenden un indicador de tiempos de vigilancia (watch dog timer) 30 para la detección de una avería en el funcionamiento ("crash") del módulo de procesador 26. Según las variantes de realización, pueden estar previstos otros o adicionales grupos de construcción para la vigilancia.

La segunda unidad de procesamiento 24 está equipada -al igual que la primera unidad de procesamiento 22- con un módulo de procesador 32; con una lógica de vigilancia 34 de los buses y con un indicador de tiempos de vigilancia 36. Las dos unidades de procesamiento, 22 y 24, reciben unos datos de entrada E, que son idénticos entre si. Además, estas unidades de procesamiento, 22 y 24, pueden intercambiar los datos a través de una conexión bidireccional V.

En los sistemas con unas adicionales disponibilidades funcionales extremadamente elevadas, los módulos de procesador, 26 y 32 o 26' y 32', pueden ser de una estructura disimilar, es decir, procedente de distintos fabricantes, tal como esto está indicado en el ejemplo de la Figura 4.

Los resultados del cálculo de las unidades de procesamiento, 22 y 24, son preparados como unos datos de salida, Al y A2. Más exactamente es así, que los datos de salida Al de la primera unidad de procesamiento 22 son transmitidos hacia una unidad de conversión 38 así como hacia la segunda unidad de procesamiento 34. Los datos de salida A2 de la segunda unidad de procesamiento 24 están disponibles en la unidad de conversión 38, y los mismos se encuentran retroacoplados a la primera unidad de procesamiento 22. La unidad de conversión 38 efectúa la escalación de los datos de salida, Al y A2, y lleva a efecto un acondicionamiento de señales apropiado para los elementos actuadores 14 del grupo de construcción de grupo motopropulsor 16 (dado el caso, con la inclusión de una conversión digital/analógica). Por regla general, para cada elemento actuador 14 las informaciones de control están contenidas solamente o en los datos de salida Al o en los datos de salida A2.

Los convertidos datos de salida, Al y A2, se encuentran disponibles -como unas señales intermedias Z- en la unidad de selección de canales 40. Esta unidad de selección de canales 40 genera, a su vez, las propias señales de control ST para los elementos actuadores 14. Con el objeto de poder detectar un error dentro de la primera unidad de procesamiento 22, la unidad de selección de canales 40 recibe una señal de error F11 del módulo de procesador 26; recibe una señal de error F12 de la lógica de vigilancia de buses 28 y recibe una señal de error F13 del indicador de tiempos de vigilancia 30. A efectos del control de la segunda unidad de procesamiento 24, esta unidad de selección de canales 40 recibe una señal de error F21 del módulo de procesador 32; recibe una señal de error F22 de la lógica de vigilancia de buses 34, y recibe una señal de error F23 del indicador de tiempos de vigilancia 36.

El segundo canal 20' del regulador es esencialmente idéntico al primer canal 20 del regulador, el cual se acaba de describir. Por consiguiente, se remite a la descripción arriba relacionada. Para las partes componentes individuales del segundo canal de regulación 20' se han empleado en la Figura 2 unas referencias, que se distinguen de las referencias del primer canal 20 del regulador solamente por la adición de un apóstrofo.

Las en total cuatro unidades de procesamiento, 22 y 24, 22' y 24', de los dos canales del regulador se comunican entre si a través de una conexión de comunicación serial y bidireccional K. También las dos unidades de selección de canales, 40 y 40', se encuentran comunicadas entre si por medio de una conexión bidireccional W. A través de esta conexión W, se consigue un efecto de alternancia entre las dos unidades de selección de canales, 40 y 40'.

En cada momento, tan sólo uno de los dos canales, 20 y 20', del regulador ostenta la autoridad para el control del sistema. Según el ejemplo representado en la Figura 2, este es el canal 20 del regulador. En este caso, las señales intermedias Z de este canal 20 del regulador son emitidas por la unidad de selección de canales 40 -que puede comprender, por ejemplo, un relé- como las señales de control ST. La otra unidad de selección de canales 40' separa, en cambio, las señales intermedias Z', de las salidas de señales de control, de tal manera que las señales de control ST' estén inactivas. Después de una conmutación del canal -la cual puede ser iniciada por la detección de un error en el funcionamiento o a través de un comando manual como, por ejemplo, por una orden del piloto- se invierten las circunstancias.

Los datos de entrada E -que, deducidos de las señales de valor real I (Figura 1), son conducidos dentro del canal de regulación 20 hacia las dos unidades de procesamiento, 22 y 24- son de unos valores idénticos, siempre que en la transmisión de los datos o dentro de una memoria intermedia (memoria de las unidades de procesamiento, 22 y 24) no se produzca un defecto en el equipo físico. Lo mismo ha de ser aplicado para el segundo canal 20' del regulador. No obstante, los datos de entrada, E y E', de los dos canales, 20 y 20' del regulador tienen, por regla general, unos valores mínimamente diferentes. Esto es debido al hecho de que, dentro del proceso de selección de datos a través del dispositivo de preparación de valores teóricos 18, se le da preferencia a las señales propias de un canal. Por consiguiente, los dos canales de regulación, 20 y 20', emplearán, por regla general, unos conjuntos de datos de entrada, E y E', muy poco diferentes entre si, lo cual tiene que conducir a unos resultados (datos de salida) asimismo ligeramente distintos entre los canales.

Seguidamente, se explican ahora -con referencia al diagrama de flujo de datos de la Figura 3- la función del dispositivo de preparación de valores teóricos 18 así como la función de los dos canales de regulación, 20 y 20', durante el funcionamiento. En la Figura 3 han sido indicados solamente las operaciones comunes así como los desarrollos dentro del canal 20 del regulador. El modo de trabajo del canal 20' del regulador es idéntico al modo de trabajo del canal de regulación 20, de tal modo que, a continuación, se prescinda de una descripción separada del mismo.

En el primer paso 42 es efectuada la selección de los datos de entrada E -que sirven como la base para el cálculo- de las señales de valor teórico SO y de las señales de reacción R. Según el presente ejemplo de realización, este paso 42 es realizado por el dispositivo de preparación de valores teóricos 18 en la manera anteriormente descrita. Conforme a las variantes de la realización, estas tareas pueden ser asumidas -por completo o en parte- por los dos canales, 20 y 20', del regulador.

En la representación del canal de regulación 20 según la Figura 3, en la parte izquierda de la misma se indica el flujo de datos dentro de la rama de cálculos, y en la parte derecha está indicado el flujo de datos dentro de la rama de control. Para cada circuito de regulación -es decir, para cada función que ha de ser calculada- una de las dos unidades de procesamiento, 22 y 24, trabaja como la unidad de cálculo, mientras que la respectiva otra unidad de procesamiento, 22 y 24, actúa como la unidad de control. La unidad de cálculo realiza los propios procesos de cálculo (Paso 44 en la Figura 3), mientras que la unidad de control controla los resultados de la unidad de cálculo y comprueba los mismos en cuanto a posibles errores (Paso 48 en la Figura 3).

Por lo general, cada una de las dos unidades de procesamiento 22 y 24, ejecutará toda una serie de procesos secundarios o cuasi paralelos y operará para algunas funciones de regulación como la unidad de cálculo y actuará para otras funciones de cálculo como la unidad de control. Gracias a ello, puede ser conseguida una distribución más uniforme de la carga, habida cuenta de que, normalmente, para cada función de regulación resulta que el cálculo precisa una inversión de trabajo considerablemente mayor que el control. El empleo de las dos unidades de procesamiento, 22 y 24, tanto como unidad de cálculo como unidad de control para cada función de regulación, está establecido de forma fija en el presente ejemplo de realización; no obstante, este empleo también puede ser controlado, según otras variantes de realización, de una manera flexible (como, por ejemplo, en función de la carga).

En el paso de cálculo 44, la respectiva unidad de cálculo procesa los datos de entrada E según las normas de regulación implementadas. De este modo, la unidad de cálculo emula la deseada función de regulación. Durante un funcionamiento normal sin errores, los datos de salida calculados, A1 y A2, respectivamente (en función cuál de las unidades de procesamiento, 22 y 24, actúa como unidad de cálculo) comprenden todas las informaciones al objeto de determinar de las mismas -a través de un paso de escalación y de conversión 46- las señales de control ST. Este paso 46 es llevado a efecto por la unidad de conversión 38 así como por la unidad de selección de canales 40.

A efectos de la vigilancia, la unidad de control recibe los datos de entrada E; los datos de salida, Al y A2, que son determinados por la unidad de cálculo; como asimismo recibe (a través de la conexión de comunicación K) los correspondientes datos de salida -A1' o A2'- del otro canal de regulación 20'. El procedimiento 48, que es realizado por la unidad de control, se compone de un paso de comprobación con los dos controles, 50 y 52, como también se compone de un paso de evaluación 54. Los dos controles, 50 y 52, pueden ser llevados a efecto en orden cualquiera, es decir, un control detrás del otro o de forma paralela o bien de una manera enlazada entre si.

En el primer control 50, la unidad de control calcula -en base a los datos de entrada E- una estimación propia de los resultados correctos del cálculo. Esta estimación puede consistir, por ejemplo, en la determinación de unos límites superiores y límites inferiores de los resultados, que se han de esperar. Como alternativa, la unidad de control también puede calcular la propia función de regulación, con una más reducida exactitud y/o con unas suposiciones simplificantes, con el fin de obtener un resultado aproximado. Esta estimación debe precisar considerablemente menos capacidad de cálculo que el propio cálculo dentro de la unidad de cálculo. Por consiguiente, dentro del primer control 50 es efectuada una prueba de racionalidad -interna del canal- de los resultados de cálculo. El hecho de sobrepasar los límites superiores o los límites inferiores o una desviación entre la estimación y el resultado procedente de la unidad de cálculo son expresados -de manera cualitativa o cuantitativa- en la forma de los datos de error X1.

Como segundo control 52, la unidad de control compara los resultados de cálculos -aportados por la unidad de cálculo- con los resultados correspondientes del otro canal de regulación 20', los cuales entran a través de la conexión de comunicación K. De esta manera, tiene lugar una comprobación externa del canal . También aquí son determinados los datos de error X2, que reflejan la desviación en los resultados de cálculos de los dos canales, 20 y 20', del regulador.

Según el ejemplo de realización aquí descrito, resulta que para ambos controles, 50 y 52, son empleados los datos de salida, A1 o A2, de la respectiva unidad de cálculo. Según unas alternativas de realización, para la estimación y para el control también pueden ser empleados -en lugar de estos datos- las señales de control ST, las señales intermedias Z u otros apropiados resultados de cálculos o resultados intermedios. El tipo de los datos comprobados se puede diferenciar dentro de los controles, 50 y 52. Es evidente, que para el control 52 tienen que estar disponibles los datos correspondientes de los dos canales de regulación, 20 y 20'.

Los datos de error, X1 y X2, son evaluados dentro de un paso de evaluación 54. Según el presente ejemplo de realización, en primer lugar, es comprobado si los dos controles, 50 y 42, señalan un funcionamiento erróneo del canal de regulación 20. Este funcionamiento erróneo es supuesto al sobrepasar los dos datos de error, X1 y X2, un respectivo valor de tolerancia previamente determinado. Al responder solamente el control 52, esto refleja un funcionamiento erróneo del otro canal 20', mientras que una respuesta de solamente el control 50 indica o una inadmisible simplificación en la estimación de los resultados de cálculos o bien un funcionamiento erróneo de la unidad de control.

En el caso en que los dos controles, 50 y 52, indiquen que son erróneos los resultados de la unidad de cálculo, en el paso 54 empieza a contar un integrador de errores de la unidad de control. La velocidad del contaje está en función de la gravedad con la que sea sobrepasado el límite de tolerancia de los datos de error, X1 y X2. A este efecto, puede ser aplicada cualquier función de valoración con el objeto, por ejemplo, de tener más en consideración unas desviaciones claras. Esta función de valoración puede tener un desarrollo de tipo constante o ser de forma escalonada. Según unas alternativas de realización es así, que la ponderación de los datos de error, X1 y X2, y/o la consideración de una admisible zona de tolerancia de los resultados de comparación ya pueden tener lugar en relación con los pasos de cálculo, 50 y 52.

Al sobrepasar este integrador de errores de la unidad de control un valor de señalización previamente establecido (como, por ejemplo, el valor 100), en el paso 54 es activada finalmente la señal de error F11 o F21 (en función de cuál de las unidades de procesamiento, 22 y 24, trabaja como la unidad de control). Si, a continuación, en los controles, 50 y 52, ya no se presenta otro funcionamiento erróneo, el valor del integrador de errores es reducido con una velocidad de disminución (de, por ejemplo, una unidad por ciclo de regulación). La unidad de cálculo es valorada de nuevo como capacitada para el funcionamiento tan pronto que el contenido del integrador de errores se quede por debajo de un valor mínimo previamente determinado (por ejemplo, el valor 0). Por consiguiente, mediante la integración de los datos de error, X1 y X2, son tenidas en cuenta, de una manera adecuada, unos singulares y repetitivos funcionamientos erróneos de la unidad de cálculo.

Durante la ejecución del paso 54, la unidad de selección de canales 40 tiene por misión impedir, de la más amplia forma posible, una influencia de los erróneos datos de cálculo sobre las generadas señales de control ST. A este efecto, la unidad de selección de canales 40 evalúa las señales de error F11, F12, F13, F21, F22 y F23. Con un funcionamiento del canal de regulación 20, el cual es permanentemente exento de perturbaciones, no es activa ninguna de estas señales de error. En este caso, la unidad de selección de canales 40 transmite las señales intermedias Z -sin ninguna variación y como unas señales de control ST- hacia los elementos actuadores 14.

Al existir, sin embargo, una perturbación en el primer canal 20 del regulador, este hecho queda reflejado por una señal de error activa F11, F12, F13, F21, F22 o F23. Sobre esta base, las unidades de selección de canales, 40 y 40', realizan una conmutación del canal. Quiere decir esto, que son rechazadas las señales intermedias Z, que estén influenciadas por la unidad de cálculo del defecto, y esto por el hecho de que se abren los interruptores de la unidad de selección de canales 40, los cuales están indicados de forma esquematizada en la Figura 2. En lugar de estos interruptores, se cierran ahora los interruptores de la unidad de selección de canales 40', de tal manera que las señales intermedias Z' del segundo canal 20' puedan ser emitidas como las señales de control ST'.

El primer canal 20 es valorado otra vez como exento de errores al haber sido desactivadas todas las señales de error F11, F12, F13, F21, F22 y F23. En este caso, la unidad de selección de canales 40 conecta el primer canal 20 otra vez para así asumir el control de las señales de control ST. Según el ejemplo de realización aquí descrito, la regulación efectiva permanece, sin embargo, durante tanto tiempo en el segundo canal 20' hasta que el segundo canal 20' dé lugar a una conmutación de canal en base a un propio escenario de error o a un comando manual como, por ejemplo, una orden del piloto. En este supuesto, la unidad de selección de canales 40 recibe de la unidad de selección de canales 40' - por medio de la conexión de comunicación bidireccional W - una señal correspondiente. Según las otras alternativas de realización, en cambio, la unidad de selección de canales 40 - inmediatamente después de la desactivación de todas las señales de error (o al transcurrir un determinado tiempo de retardo) - conmuta la regulación de las señales de control ST otra vez al primer canal 20.

Como resultado, por la acción de conjunto entre las dos unidades de selección de canales, 40 y 40', se consigue que unos cálculos erróneos dentro de un canal, 20 y 20', no puedan ejercer ninguna influencia sobre las señales de control, ST y ST', generadas por, el mismo. Las dos unidades de selección de canales, 40 y 40', son de una estructura idéntica, y las mismas trabajan esencialmente con independencia entre si. Estas unidades se encuentran en contacto entre si solamente a través de la conexión de comunicación bidireccional K. Por medio de este tipo de circuitos de las unidades de selección de canales, 40 y 40', se produce, en su conjunto, el anteriormente descrito efecto de una alternancia. Las unidades de selección de canales 40 y 40', están concebidas de tal manera, que las mismas puedan llevar a efecto, a pesar de un funcionamiento erróneo interno, un funcionamiento de emergencia que es fiable.

Lista de referencias

\dotable{\tabskip\tabcolsep#\hfil\+#\hfil\tabskip0ptplus1fil\dddarstrut\cr}{
 10 \+  Grupo de construcción del motopropulsor\cr    12 \+
Sensores\cr  14 \+ Elementos actuadores\cr   16 \+ Regulador (del
grupo motopropulsor)\cr  18  \+ Dispositivo de preparación de
valores\cr  \+ teóricos\cr  20, 20' \+ Canal de regulación\cr  22,
22' \+  Primera unidad de procesamiento\cr  24, 24' \+ Segunda
unidad de procesamiento\cr    26, 26' \+ Módulo de procesador\cr 
28, 28' \+ Lógica de vigilancia de buses\cr  30, 30' \+ Indicador de
tiempos de vigilancia\cr  32, 32' \+ Módulo de procesador\cr  34,
34' \+  Lógica de vigilancia de buses\cr  36, 36' \+  Indicador de
tiempos de vigilancia\cr  38, 38' \+  Unidad de conversión\cr  40,
40' \+  Unidad de selección de canales\cr  42 - 54 \+ Pasos de
cálculo y de control\cr  A1, A1' \+  Primeros datos de salida\cr 
A2, A2' \+ Segundos datos de salida\cr  E, E' \+ Datos de entrada\cr
 F11, F11' \+ Señal de error\cr  F12, F12' \+ Señal de error\cr 
F13, F13' \+ Señal de error\cr  F21, F21' \+ Señal de error\cr  F22,
F22' \+ Señal de error\cr  F23, F23' \+ Señal de error\cr   I \+
Señales de valor real\cr  K \+ Conexión de comunicación\cr  R \+
Señales de reacción\cr  ST, ST' \+ Señales de control\cr  SO \+
Señales de valor teórico\cr  V, V' \+ Conexión de comunicación
bidireccional\cr  W \+ Conexión de comunicación bidireccional\cr  
X1, X2 \+  Datos de error\cr   Z \+ Señales
intermedias\cr}

Claims (13)

1. Regulador (16) para unas aplicaciones de alta fiabilidad y críticas en cuanto a la seguridad; con dos canales de regulación (20, 20'), cada uno de los cuales posee por lo menos dos unidades de procesamiento (22, 24 y 22', 24', respectivamente); en este caso, para cada función -crítica en cuanto a la seguridad- en los dos canales (20, 20') del regulador opera una respectiva unidad de procesamiento (por ejemplo, 22, 22') como la unidad de cálculo, con el fin de determinar los resultados de cálculos en base a por lo menos una parte de los datos de entrada (E, E'), mientras que la otra respectiva unidad de procesamiento (por ejemplo, 24, 24') actúa como la unidad de control, con el objeto de comparar los resultados del cálculo de la unidad de cálculo, en primer lugar, con una estimación propia de los resultados correctos y, en segundo lugar, con los resultados correspondientes del respectivo otro canal (20, 20') del regulador.

2. Regulador conforme a la reivindicación 1) y caracterizado porque la respectiva unidad de control está preparada para integrar las desviaciones detectadas en las comparaciones y para generar una señal de error (F11, F21, F11', F21') al indicar el integrado valor de la desviación un funcionamiento erróneo.

3. Regulador conforme a la reivindicación 2) y caracterizado porque la respectiva unidad de control está preparada para dejar disminuir de forma paulatina el integrado valor de la desviación al ya no ser detectadas en las comparaciones otras desviaciones más.

4. Regulador conforme a una de las reivindicaciones 1) hasta 3) y caracterizado porque la respectiva unidad de control está preparada para evaluar las desviaciones, detectadas en las comparaciones, tan sólo en el caso en que, tanto la comparación con la estimación propia de los resultados correctos como la comparación con los correspondientes resultados del respectivo otro canal del regulador, indiquen un funcionamiento erróneo.

5. Regulador conforme a una de las reivindicaciones 1) hasta 4) caracterizado porque los comprobados resultados de los cálculos constituyen los datos de salida (A1, A2, A1', A2') de las unidades de cálculo.

6. Regulador conforme a una de las reivindicaciones 1) hasta 5) y caracterizado porque el mismo comprende, además, un dispositivo de preparación de valores teóricos (18) para la determinación de los datos de entrada (E, E') en base a unas señales de valor real (I) de los sensores (12) de un grupo de construcción -como, por ejemplo, un grupo de construcción de motopropulsor- que ha de ser regulado, así como en base a unas señales de valor teórico (SO).

7. Regulador conforme a una de las reivindicaciones 1) hasta 6) y caracterizado porque el mismo comprende por lo menos una unidad de selección de canales (40, 40'), con el objeto de generar unas señales de control (ST ST') para los elementos actuadores (14) del grupo de construcción -como, por ejemplo, un grupo de construcción de motopropulsor- que ha de ser regulado; en este caso, la unidad de selección de canales (40, 40') está preparada para excluir las señales de control (ST, ST') de una influencia de los resultados de cálculo, que se han detectado como defectuosos.

8. Regulador conforme a una de las reivindicaciones 1) hasta 7) y caracterizado porque el regulador es un regulador (16) para un grupo motopropulsor, en especial para un grupo motopropulsor aéreo.

9. Sistema de control o sistema de accionamiento con unos elementos actuadores y unos sensores y con un regulador (16) conforme a una de las reivindicaciones 1) hasta 7).

10. Sistema de control o sistema de accionamiento conforme a la reivindicación 9) y caracterizado porque este sistema de control o sistema de accionamiento es un grupo motopropulsor, sobre todo es un grupo motopropulsor aéreo, con un grupo de construcción de motopropulsor, mientras que el regulador es un regulador de grupo motopropulsor (16).

11. Procedimiento para la regulación de un sistema de control o sistema de accionamiento, que posee un regulador (16) con dos canales de regulación (20, 20') que, a su vez, poseen cada uno por lo menos dos unidades de procesamiento (22, 24 y 22', 24', respectivamente); procedimiento éste que comprende los pasos siguientes que -para cada función, crítica para la seguridad- son llevados a efecto dentro de los dos canales de regulación (20, 20'):

- Determinación de los resultados de cálculos en base a por lo menos una parte de los datos de entrada (E, E') y por medio de una unidad de procesamiento (por ejemplo, 22, 22'), que actúa como la unidad de cálculo;

- Control (50, 52) de los resultados de cálculos de la unidad de cálculo a través de una respectiva otra unidad de procesamiento (por ejemplo, 24, 24'), que actúa como la unidad de control; en este caso, los resultados de cálculos son comparados, en primer lugar, con una estimación propia de los resultados correctos y, en segundo lugar, con los resultados correspondientes del respectivo otro canal de regulación (20, 20'); así como

- Evaluación (54) de las desviaciones, determinadas en las dos comparaciones, con el fin de generar una señal de error (F11, F21, F1l', F21').

12. Procedimiento conforme a la reivindicación 11) y caracterizado porque en el mismo es empleado un regulador (16) según una de las reivindicaciones 1) hasta 7).

13. Procedimiento conforme a una de las reivindicaciones 11) o 12) y caracterizado porque el mismo es empleado para la regulación de un grupo motopropulsor.