FR2528191A1

FR2528191A1 - Procede et appareil en vue de detecter des defaillances dans un systeme de controle

Info

Publication number: FR2528191A1
Application number: FR8309237A
Authority: FR
Inventors: Adelard Levesque Jr; John Paul Rembold
Original assignee: United Technologies Corp
Current assignee: Raytheon Technologies Corp
Priority date: 1982-06-07
Filing date: 1983-06-03
Publication date: 1983-12-09
Also published as: NO166106C; GR78808B; US4509110A; NO166106B; DK256183A; DK163843B; JPH0425565B2; NL191393B; NL8301992A; DK163843C; GB8315007D0; IT8321434A1; IT1163440B; FR2528191B1; DK256183D0; TR21968A; GB2121562A; GB2121562B; IL68844A0; BE896942A

Abstract

L'INVENTION CONCERNE UN PROCEDE ET UN APPAREIL EN VUE DE DETECTER DES DEFAILLANCES DANS UN SYSTEME DE CONTROLE. CE SYSTEME COMPREND UN MODELE MATHEMATIQUE 34 DU SYSTEME DE CONTROLE 12 ET DE SON OBJET 14 QUI EST DESTINE A PREDIRE CONTINUELLEMENT LA SORTIE DE CE DERNIER. UNE JONCTION DE SOMMATION 38 CALCULE CONTINUELLEMENT UN SIGNAL D'ERREUR 40 QUI REPRESENTE LA DIFFERENCE ENTRE LA SORTIE DU MODELE 34 ET LA SORTIE REELLE DE L'OBJET 14. LES SIGNAUX D'ERREUR DEPASSANT UNE BANDE MORTE OU UNE VALEUR MINIMUM PREDETERMINEE SONT INTEGRES, MAIS L'INTEGRALE EST REMISE A ZERO CHAQUE FOIS QUE LA VALEUR DU SIGNAL D'ERREUR TOMBE DANS UN INTERVALLE PREDETERMINE INDIQUANT DES TOLERANCES DE FONCTIONNEMENT EN REGIME PERMANENT NORMALES. L'INVENTION EST UTILISEE, PAR EXEMPLE, POUR DETECTER LES DEFAILLANCES SURVENANT DANS LE MECANISME DE COMMANDE DES VOLETS D'UNE TUYERE D'ECHAPPEMENT.

Description

Procédé et appareil en vue de détecter des défaillan-

ces dans un système de contrôle.

La présente invention concerne un appareil

de détection de défaillances.

Afin de détecter si un système de contrôle et le dispositif contrôlé par celui-ci (en l'occurrence, l'objet) fonctionnent correctement, il est connu de comparer la sortie ou un signal de réaction provenant de l'objet avec la sortie d'un modèle mathématique

ayant les caractéristiques d'entrée/sortie de la combi-

naison système de contrôle/objet et qui reçoit la même entrée que le système de contrôle Lorsque l'écart ou l'erreur entre la sortie réelle et la sortie du modèle dépasse une valeur prédéterminée, un signal d'erreur

est engendré pour indiquer une défectuosité ou une dé-

faillance dans le système de contrôle ou dans l'objet.

Etant donné que le délai de réponse de l'objet est con-

nu et qu'il est mémorisé dans le modèle, on évite

l'émission de signaux de défaillance erronés dus à ce dé-

lai, même s'il peut y avoir initialement un écart impor-

tant entre la sortie commandée de l'objet et sa sortie réelle. Un modèle mathématique ne peut habituellement pas reproduire exactement les caractéristiques d'un système de contrôle et de l'objet contrôlé par celui-ci,

en particulier, au cours d'un fonctionnement transitoi-

re, par opposition à un fonctionnement en régime perma-

nent De plus, un modèle d'une configuration fixe ne peut tenir compte de changements de caractéristiques résultant d'une détérioration du système de contrôle et de son objet au cours du temps, ce qui constitue plus

qu'un problème au cours d'un fonctionnement transitoire.

En conséquence, un seuil de défaillance élevé est requis afin de ne pas signaler erronément une défaillance suite aux imprécisions du modèle Plus le système de contrôle est complexe, plus importantes seront les imprécisions

du modèle au cours d'un fonctionnement transitoire du-

système de commande et plus élevé sera le seuil de dé-

faillance requis Autrement dit, plus le modèle est simple, plus grand est l'écart auquel on doit s'atten- dre entre sa sortie et la sortie réelle (du moins au cours d'un fonctionnement transitoire du système de contrôle) , même en absence de défaillance, nécessitant

ainsi l'utilisation d'un seuil de défaillance plus éle-

vé Un seuil de défaillance élevé peut accroître le temps requis pour détecter une défectuosité réelle, étant donné que le système devra ignorer des écarts

de sortie plus importants.

Une autre caractéristique inopportune de cer-

tains systèmes de détection de défaillances de la tech-

nique antérieure réside dans le fait qu'un important

écart de sortie imprévisible, mais uniquement temporai-

re pouvant être provoqué par une simulation médiocre du

modèle, peut déclencher un signal de défectuosité in-

tempestif.

Telle qu'elle est représentée par les brevets des Etats-Unis d'Amérique No 4 213 175 et 4 214 301, la

technique antérieure a élaboré un procédé complexe des-

tiné à éviter certains des problèmes précités en utili-

sant des systèmes de détection de défectuosités qui corrigent continuellement le modèle à mesure que les

caractéristiques opératoires du système de contrôle et.

de l'objet changent avec le temps, notamment par suite d'une détérioration des composants Toutefois, il est

souhaitable d'utiliser le modèle le plus simple possi-

ble et d'éviter les complexités d'un système de correc-

tion de modèle, tout en réduisant encore les risques de transmission de signaux de défaillance erronés et en

augmentant la sensibilité du système à des défectuosi-

tés qui engendrent uniquement des écarts relativement

faibles vis-à-vis de la sortie normale.

Plusieurs autres brevets ayant trait à l'objet général de la présente invention et pouvant présenter

un intérêt ici sont les brevets des Etats-Unis d'Améri-

que 3 221 230, 3 394 294, 3 446 946, 3 680 069,

3.902 051, 3 974 364 et 4 092 716.

En conséquence, un objet de la présente inven-

tion est de fournir un système de détection de défail-

lancespour une commande et un objet à contrôler, ce

système étant sensible à des tolérances de fonctionne-

ment normales, tandis qu'il peut détecter des défaillan-

ces qui engendrent un comportement aberrant d'une na-

ture importante ou relativement faible.

Un autre objet de la présente invention réside dans un système de détection de défaillances qui tolère un comportement aberrant temporaire Un autre objet de

la présente invention réside dans un système de détec-

tion de défaillances qui est sensible à un comportement

anormal mineur, mais sans cependant déclencher instanta-

nément un signal de défaillance pour un tel comporte-

ment. Un autre objet encore de la présente invention réside dans un système de détection de défaillances qui

permet d'utiliser un modèle relativement simple du sys-

tème de contrôle et conserve toujours sa sensibilité à de légères défectuosités sans déclencher des signaux de

défaillance erronés suite à des différences importan-

tes, mais uniquement temporaires entre la sortie du mo-

dèle et la sortie de l'objet.

Suivant la présente invention, un système de détection de défectuosités comprend un modèle simulant les caractéristiques d'entrée/sortie d'un appareil à contrôler, lequel comprend une commande et l'objet de

cette dernière, ce système de détection de défectuosi-

tés recevant la même entrée que l'appareil, tandis qu'il

comprend un moyen destiné à comparer la sortie du mo-

dèle avec la sortie réelle de l'appareil, un moyen des-

tiné à intégrer, au cours du temps, des différences en-

tre les sorties qui se situent en dehors d'une bande morte prédéterminée, pour engendrer ensuite un signal de défaillance lorsque l'intégrale dépasse une valeur prédéterminée, ainsi qu'un moyen en vue de remettre la

valeur de l'intégrale à zéro chaque fois que la diffé-

rence entre les sorties tombe entre des limites prédé-

terminées qui indiquent des tolérances de fonctionne-

ment en régime permanent normales.

Plus spécifiquement, suivant la présente in-

vention, on utilise un modèle mathématique pour simuler

les caractéristiques d'entrée/sortie du système de con-

trôle et de son objet La sortie du modèle et la sor-

tie de l'objet sont comparées, et un signal d'erreur

représentant la différence entre les sorties est ensui-

te calculé Les valeurs absolues des signaux d'erreur se situant en dehors d'une bande morte prédéterminée

sont intégrées au cours du temps La bande morte per-

met, à l'intégrateur, d'ignorer des erreurs atteignant

une valeur qui est considérée comme étant vraisemblable-

ment le résultat d'un comportement normal plutôt que d'une défectuosité dans le système Lorsque la valeur de l'intégrale dépasse une grandeur prédéterminée, un signal de défaillance est engendré En, outre, chaque fois que le signal d'erreur tombe dans un intervalle prédéterminé qui est considéré comme normal pour un

fonctionnement en régime permanent, l'intégrale des si-

gnaux d'erreur est remise à zéro, annulant ainsi les effets de tous les signaux d'erreur précédents Comme on l'expliquera ci-après plus en détail, l'intervalle de la bande morte qui détermine si un signal d'erreur

sera intégré, doit être le même ou plus large que l'in-

tervalle de régime permanent normal déterminant si s

l'intégrale doit être remise à zéro.

Etant donné que le modèle mathématique simule également le délai de réponse de l'objet du système de contrôle, ces délais de réponse engendrent uniquement des signaux d'erreur faibles qui se situent dans la

bande morte Grâce à l'intégration des signaux d'er-

reur, des signaux d'erreur momentanément forts (qui

peuvent être le résultat d'une imprécision dans la simu-

lation du modèle plutôt que la conséquence d'une défail-

lance du système de contrôle) ne déclencheront pas im-

médiatement un signal de défaillance, à moins qu'ils

ne soient excessivement puissants; l'effet de ce si-

gnal d'erreur fort sur le système de détection de dé-

faillances sera alors annulé par le dispositif de remi-

se à zéro d'intégrale si la sortie de l'objet revient rapidement à un état de régime permanent normal De plus, des signaux d'erreur faibles se situant en dehors

des limites prédéterminées (c'est-à-dire la bande mor-

te) seront tolérés pendant une plus longue période com-

parativement à des signaux d'erreur forts, donnant ain-

si, au système de contrôle et à l'objet, un laps de

temps plus important pour reprendre un comportement nor-

mal sans déclencher un signal de défaillance En éta-

blissant un intervalle suffisamment large pour les si-

gnaux d'erreur émis en régime permanent normal, on peut également tenir compte d'une rupture et d'une usure normales des composants sur une période prédéterminée en évitant ainsi l'émission de signaux de défaillance

erronés dus à cette détérioration normale des compo-

sants.

Les objets, caractéristiques et avantages pré-

cités de la présente invention, ainsi que d'autres ap-

paraîtront plus clairement à la lecture de la descrip-

tion détaillée ci-après de formes de réalisation préfé-

rées de cette dernière telles qu'elles sont illustrées dans l'unique dessin annexé qui est un bloc-diagramme

illustrant l'appareil de détection de défaillances sui-

vant la présente invention.

Comme le montre ce dessin, un système de dé-

tection de défaillances 10 est conçu pour détecter des défauts de fonctionnement dans un système de contrôle 12 Ce système de contrôle 12 est un système destiné

à régler et corriger la position (c'est-à-dire la sor-

tie) d'un mécanisme de commande 14 (l'objet) conformé-

ment à une demande de localisation de mécanisme de com-

mande 16 qui est l'entrée du système de contrôle 112 ou un ordre transmis à celui-ci Tel qu'il est illustré schématiquement par la ligne en traits discontinus 18, le mécanisme de commande fait partie d'un système d'échappement à section variable 20, de telle sorte qu'un mouvement du mécanisme de commande 14 ait pour effet de déplacer les volets de tuyère 22 d'une manière prédéterminée. Le système de contrôle 12 fonctionne sur une base continue de la manière suivante: la demande de

position courante 16 du mécanisme de commande est trans-

mise à un comparateur ou à une jonction de sommation 24 conjointement avec la position réelle du mécanisme de commande 14, laquelle est représentée par un signal de réaction de position 26 Le gain désiré est appliqué au signal 30 provenant de la jonction de sommation 24,

après quoi un signal de fonctionnement 32 corrige con-

tinuellement la position du mécanisme de commande 14, l'ensemble de ce processus étant bien connu dans la

technique.

Le système de détection de défaillances 10

comprend un modèle mathématique 34 ayant des caracté-

ristiques d'entrée/sortie qui simulent les caractéris-

tiques d'entrée/sortie du système de contrôle 12 Des

modèles de ce type sont bien connus dans la technique.

-7 Le modèle 34 reçoit la même entrée que le système de contrôle 12, en l'occurrence, la demande de position 16 du mécanisme de commande, et il engendre une sortie 36 qui est une prédiction de la position réelle en cours du mécanisme de commande 14 Un modèle simple peut établir des prédictions très précises concernant les conditions de fonctionnement en régime permanent, ainsi que des prédictions habituellement moins précises

pour un fonctionnement transitoire Un régime perma-

nent signifie que la demande de position 16 ne change

pas avec le temps, tandis qu'un fonctionnement transi-

toire signifie que la demande de position 16 change en

fonction du temps Un modèle d'une plus grande comple-

xité peut améliorer la précision des prédictions pour

un fonctionnement transitoire.

La position prédite du mécanisme de commande 14 (fournie par le modèle 34) et le signal de réaction de position 26 sont tous deux transmis à une jonction de sommation 38 qui calcule la différence existant entre

eux et engendre un signal d'erreur 40 représentant cet-

te différence Ce signal d'erreur 40 est acheminé à

une fonction de valeur absolue 42 qui comprend une ban-

de morte entre les valeurs -a et +b Les signaux d'er-

reur 40 qui se situent en dehors de la bande morte,

sont ainsi convertis en niveaux d'erreur e (voir le des-

sin), puis transmis à un intégrateur 44 qui intègre les

niveaux d'erreur au cours du temps Un signal 46 re-

présentant la valeur en cours de l'intégrale est ensui-

te transmis à un dispositif de jugement 48 qui déclen-

che un signal de défaillance 50 lorsque l'intégrale atteint une valeur de seuil prédéterminée indiquée en f

dans le dessin.

Le signal d'erreur 40 provenant de la jonction de sommation 38 est également transmis à un dispositif de remise à zéro 52 qui détermine si le signal d'erreur

se situe dans ou en dehors d'un intervalle de va-

leurs prédéterminé dont les limites sont désignées ici par les valeurs -c et +d Chaque fois que la valeur du signal d'erreur 40 tombe dans cet intervalle, un signal 54 est envoyé à l'intégrateur 44 qui remet l'in-

tégrale à zéro L'intervalle critique de -c à +d re-

présente les limites d'un fonctionnement en régime per-

manent normal (c'est-à-dire correct) et il est, de

préférence, suffisamment large pour tenir compte de va-

leurs de signaux d'erreur accrues dues à la rupture et à l'usure escomptées des composants de l'appareil sur une période prédéterminée Généralement parlant, une

imprécision significative dans les prédictions des mo-

dèles mathématiques est observée uniquement au cours d'un fonctionnement transitoire du système de contrôle, étant donné que même des modèles relativement simples

peuvent simuler des conditions de fonctionnement en ré-

gime permanent avec une très grande précision Etant

donné que le dispositif de remise à zéro n'est réelle-

ment concerné que par un fonctionnement en régime perma-

nent, il est essentiellement indépendant du degré de

précision du modèle au cours d'un fonctionnement tran-

sitoire du système de contrôle D'autre part, la fonc-

tion de valeur absolue 42 est influencée par la préci-

sion avec laquelle le modèle simule les caractéristiques

du système de contrôle au cours des phases de fonction-

nement transitoires, étant donné que les imprécisions du modèle sont transférées à l'intégrateur 44 Dans les systèmes de la technique antérieure, ces imprécisions

sont compensées en élevant le niveau de seuil de défail-

lance dans le but d'éviter l'émission de signaux de dé-

faillance erronés En conséquence, les systèmes de la technique antérieure ne sont pas sensibles à de faibles

niveaux de comportement de contrôle réellement aberrant.

Le système de détection de défaillances de la

présente invention permet l'utilisation de modèles re-

lativement simples présentant des imprécisions relati-

vement importantes dans la simulation des conditions de fonctionnement transitoires sans devoir être pour autant insensibles à de faibles valeurs de signaux d'erreur Par exemple, la bande morte peut même être identique à l'intervalle de régime permanent critique

de -c à +d Dans ce cas, toute valeur de signal d'er-

reur se situant en dehors de l'intervalle de régime permanent étroit est intégrée, mais elle ne déclenche pas immédiatement un signal de défaillance Si cette valeur de signal d'erreur est due à une imprécision

dans la prédiction du modèle au cours d'un fonctionne-

ment transitoire du système de contrôle (plutôt qu'à une défaillance réelle), dès que ce dernier revient à un fonctionnement en régime permanent, le dispositif de remise à zéro remet alors l'intégrale à zéro et l'on évitera ainsi l'émission d'un signal de défaillance

erroné Si l'erreur est occasionnée par une défaillan-

ce réelle dans le système de contrôle, la probabilité

que la valeur du signal d'erreur revienne dans l'inter-

valle de régime permanent normal est très faible, et

l'intégration des niveaux d'erreur e se poursuivra jus-

qu'à ce que le signal de défaillance soit déclenché Il est à noter que, grâce à l'intégration de la valeur du niveau d'erreur, de légères erreurs se situant en dehors de la

bande morte ne devront pas nécessairement persister pen-

dant des périodes plus longues que celles d'erreurs plus importantes avant qu'un signal de défaillance soit déclenché Cette caractéristique est avantageuse, car de faibles niveaux d'erreur se situant en dehors de la bande morte sont, comparativement à des niveaux d'erreur importants, moins susceptibles d'être le résultat d'une défectuosité ou d'une défaillance imminente dans le système de contrôle 12 et ils peuvent, en tout cas, être

2528191-

tolérés pendant de plus longues périodes En consé-

quence, lorsque les niveaux d'erreur sont faibles, le système dispose de plus de temps pour revenir dans les

tolérances de régime permanent normales avant qu'un si-

gnal de défaillance soit déclenché.

Evidemment, il peut être souhaitable ou né-

cessaire que la bande morte soit plus large que l'in-

tervalle de régime permanent critique si les impréci-

sions que présente le modèle dans la simulation du sys-

tème de contrôle au cours d'un fonctionnement transi-

toire, sont trop importantes Cet intervalle plus lar-

ge de la bande morte présentera toujours des limites ex-

térieures se situant en deça des niveaux de seuil de défaillance des systèmes de la technique antérieure dans lesquels on utilise des modèles d'une précision semblable.

Bien que l'invention ait été illustrée et dé-

crite en se référant à une de ses formes de réalisation

préférées, l'homme de métier comprendra que diverses mo-

difications et omissions peuvent être envisagées tant dans sa forme que dans ses détails, sans se départir

de son esprit et de son cadre.

il -

Claims

Revendications:

1 Système en vue de détecter la défaillance d'un appareil comprenant un moyen de contrôle et un objet contrôlé par celui-ci, ce système comprenant: un modèle ( 34) simulant les caractéristiques d'entrée/sortie de cet appareil; un moyen ( 16) destiné à fournir la même entrée à l'appareil et au modèle, cette entrée étant une sortie demendée pour cet object; un moyen ( 24) destiné à comparer continuellement la sortie de l'objet avec l'entrée de l'appareil, pour agir ensuite sur l'objet en vue d'éliminer toute différence entre l'entrée et la sortie comparées; un moyen ( 38) destiné à comparer continuellement la sortie de l'objet avec la sortie du modèle, ainsi qu'à calculer des signaux d'erreur correspondant aux différences existant entre ces sorties; un moyen ( 42, 44) destiné à intégrer, au cours du temps, les valeurs absolues des signaux d'erreur qui se situent en dehors d'une bande morte prédéterminée ayant des limites -a et +b; un moyen ( 48) destiné à engendrer un signal de

défaillance lorsque l'intégrale dépasse une valeur prédéter-

minée; et un moyen ( 52) destiné à remettre cette intégrale

à zéro chaque fois que la valeur du signal d'erreur se si-

tue dans des limites prédéterminées -c et +d, la valeur ab-

solue de c étant inférieure ou égale à la valeur absolue-

de a, tandis que la valeur absolue de d est inférieure ou

égale à la valeur absolue de b.

2 Système suivant la revendication 1, caractérisé en

ce que a est égal à c et b est égal à d.

3 Système suivant la revendication 1 ou 2, caractérisé en ce que les limites prédéterminées -c et +d sont les limites de tolérances de fonctionnement en régime permanent normales. 12 - 4 Procédé en vue de détecter la défaillance d'un appareil comprenant un moyen de contrôle et l'objet contrôlé par celui-ci, ce procédé comprenant les étapes qui consistent à: prévoir un modèle ( 34) dont les caractéristiques d'entrée/sortie simulent les caractéristiques d'entrée/ sortie de l'appareil; fournir la même entrée ( 16) à l'appareil ( 12) et au modèle ( 34), cette entrée étant une sortie demandée pour cet objet; comparer ( 24) continuellement la sortie de l'objet avec l'entrée de l'appareil, puis agir sur l'objet de façon à éliminer toute différence entre l'entrée et la sortie comparées; comparer ( 38) continuellement la sortie du modèle avec la sortie de l'objet et engendrer des signaux d'erreur correspondant à la différence existant entre ces sorties; intégrer ( 42, 44), au cours du temps, les valeurs absolues des signaux d'erreur qui se situent en dehors d'une bande morte prédéterminée ayant des limites -a et +b;

engendrer un signal de défaillance lorsque l'inté-

grale des signaux d'erreur dépasse une valeur prédéter-

minée; et remettre ( 52) cette intégrale à zéro chaque fois que la valeur du signal d'erreur se situe dans les limites prédéterminées -c et +d, ces limites étant identiques à ou

se situant dans les limites -a et +b de la bande morte.

5 Procédé suivant la revendication A, caractérisé en

ce que les limites prédéterminées -c et +d sont les limi-

tes de tolérances de fonctionnement en régime permanent normales.

6 Procédé suivant la revendication 4 ou 5, caractéri-

sé en ce que le moyen de contrôle ( 12) compare continuelle-

ment la sortie de l'objet avec l'entrée de l'appareil, pour agir ensuite sur l'objet afin d'éliminer toute 13 -

différence entre l'entrée et la sortie comparées.