L'invention se situe dans le domaine de la détection de pannes. Elle vise plus particulièrement un système apte à établir un diagnostic d'une panne dans un système complexe, et à prendre une mesure adéquate en fonction de ce diagnostic.

L'invention peut par exemple être utilisée pour surveiller un système complexe comme un moteur de fusée, lors de sa mise au point sur un banc d'essai.

Dans l'état actuel de la technique, il est usuel de surveiller un système complexe en surveillant le fonctionnement d'une pluralité de composants de ce système pris individuellement et de prendre une décision, par exemple celle de l'arrêt du système, lorsqu'un certain nombre de ces composants sont jugés défaillants. Ces techniques utilisent une approche dite « par logique majoritaire » (en anglais « majority voting Systems » ou « voting logic »).

L'approche par logique majoritaire est perfectible pour la surveillance de systèmes très complexes dans lesquels des disfonctionnements de natures très différentes, soit quant à leur origine, soit quant à leur niveau de gravité sont susceptibles de se produire.

Objet et résumé de l'invention L'invention propose un système de détection et de localisation de pannes dans un système complexe comportant :

- au moins un capteur pour délivrer un signal représentatif du fonctionnement d'un composant dudit système complexe ;

- au moins un module de validation du bon fonctionnement de ce capteur apte à analyser ce signal et à délivrer :

- au moins un signal validé associé à un niveau de confiance dit de « premier ordre » ; ou

- un message représentatif d'une panne d'au moins un capteur ;

- un module de détection de panne apte à détecter une panne affectant au moins un sous-système ou un composant à partir du signal validé, et lorsque c'est le cas, à générer au moins un message de panne brut comportant des informations brutes sur la panne et un niveau de confiance dit de « deuxième ordre » ;

- un module de fusion de données apte à générer, au moins à partir d'un message de panne brut ou du message représentatif d'une panne de capteur, un message de panne consolidé comportant des informations consolidées sur une panne affectant au moins un sous-système du système complexe et un niveau de confiance dit de « troisième ordre » ; et

- un module de prise de décision apte à obtenir ledit message de panne consolidé et à décider d'au moins une action à entreprendre en fonction :

- des informations consolidées sur une panne ;

- dudit niveau de confiance de troisième ordre ; et

- d'un niveau de gravité de ladite panne.

Contrairement aux systèmes à logique majoritaire, le module de fusion de données du système selon l'invention combine les messages de pannes bruts entre eux en prenant en compte les paramètres de « niveau de confiance ».

Les messages de pannes bruts associés à leurs propres niveaux de confiance fournis en entrée du module de fusion de données proviennent des différents modules de détection de pannes associés à différents composants, sous-systèmes ou au système pris dans son ensemble.

Le système selon l'invention est ainsi avantageusement apte à établir un diagnostic précis de la panne en combinant et en affinant les informations venant des différents capteurs ou des modules de détection de pannes, pour les confirmer, les infirmer ou les tempérer par une opération de fusion des informations.

Contrairement aux systèmes par logique majoritaire, le système de détection et de localisation de pannes selon l'invention sait adapter l'action à entreprendre et en fonction de la gravité de la panne et de la fiabilité sur la connaissance de la panne.

Dans un mode particulier de réalisation, le module de prise de décision du système de détection et de localisation de panne selon l'invention comporte des moyens pour obtenir le niveau de gravité et pour identifier l'action à entreprendre, celle-ci étant mémorisée dans une base de données. Cette base de données peut par exemple être constituée par une base de connaissance issue d'une analyse des défaillances et de leur criticité (AMDEC).

L'action à entreprendre en cas de détection d'une panne peut consister à arrêter le système complexe ou à agir sur un ou plusieurs de ses composants, ceux-ci étant déterminés en fonction de la panne et plus particulièrement à désactiver, activer ou réactiver un composant, à modifier son point de fonctionnement ou encore à faire une requête vers un système de régulation.

L'action à entreprendre peut aussi consister à attendre au moins un autre message de panne consolidé émis par le module de fusion de données pour confirmer si une action doit être entreprise ou non.

Cette caractéristique permet avantageusement de réduire le nombre d'arrêts intempestifs et de n'agir que lorsque le niveau de confiance dans la panne est suffisant, le caractère suffisant étant considéré en fonction du niveau de gravité de la panne.

Dans un mode de réalisation, le module de prise de décision du système de détection de pannes selon l'invention utilise une technique de logique floue. Cette caractéristique permet avantageusement d'introduire la notion de doute et d'indécision sur l'action à entreprendre.

Les techniques de logique floue (en anglais « fuzzy logic ») sont généralement utilisées dans des applications du type de celle de l'identification de cibles ou de la sélection de capteurs ; mais il est remarquable de noter que l'utilisation de logique floue conduisant à une décision entraînant une action physique sur un composant d'un système complexe, cette décision prenant en compte un indice de confiance sur une panne d'une part et sa criticité d'autre part, n'est pas connue de l'état de la technique.

L'invention vise aussi un moteur de fusée comportant un système de détection de panne tel que mentionné ci-dessus.

L'invention trouve un intérêt particulier pour la mise au point d'un moteur de fusée sur un banc d'essai, en ce qu'elle permet ;

- de réduire le nombre d'arrêts d'essai intempestifs et d'agir en fonction du couple gravité de la panne / niveau de fiabilité sur la connaissance de la panne ;

- d'agir en fonction du type de panne ; - d'attendre si besoin une confirmation de la panne avant d'agir ;

- d'être facilement évolutif en utilisant des modules de détection définis de façon modulaire en fonction de l'architecture du moteur ; et

- de prendre en compte la notion de doute sur l'action à entreprendre.

Brève description des dessins

D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout caractère limitatif. Sur les figures :

- la figure 1 représente l'architecture générale d'un système de détection de pannes conforme à un mode particulier de réalisation de l'invention ;

- la figure 2 représente un exemple de message de panne consolidé pouvant être utilisé dans un système de détection de pannes conforme à l'invention ;

- la figure 3 représente un enregistrement d'une base de données pouvant être utilisée dans un système de détection de pannes conforme à l'invention ;

- la figure 4 représente un moteur conforme à l'invention ;

- les figures 5Â et 6Â représentent des signaux générés par des capteurs du moteur de la figure 4 ;

- les figures 5B et 6B représentent des signaux délivrés par un module de validation du moteur de la figure 4 ainsi que des niveaux de confiance associés;

- la figure 7 représente des messages de pannes bruts générés par un ou plusieurs modules de détection de pannes du moteur de la figure 4 ;

- la figure 8 représente un message de panne consolidé généré par un module de fusion de données du moteur de la figure 4 ;

- la figure 9 représente, sous forme d'organigramme, un exemple de fonction pouvant être utilisée, pour lever un doute, par un module de décision dans un système de détection de pannes conforme à l'invention ; et - les figures 10A et 10B représentent des fonctions d'appartenance pouvant être utilisées dans un module de prise de décision à logique floue selon un mode particulier de mise en œuvre de l'invention. Description détaillée de modes de réalisation de l'invention.

La Figure 1 représente un système de détection de panne conforme à un mode particulier de réalisation de l'invention.

Ce système permet de détecter les pannes d'un système complexe comportant un ou plusieurs sous-systèmes, chacun de ces sous-systèmes comportant un ou plusieurs composants.

Le système de détection de panne selon l'invention comporte un certain nombre de capteurs CAP chacun de ces capteurs étant apte à délivrer un signal SCAP représentatif du fonctionnement d'au moins un composant COMP du système complexe.

Dans l'exemple de la Figure 1, on a représenté deux composants COMP chacun associé à un capteur CAP apte à délivrer un signal SCAP représentatif du composant auquel il est associé.

Les signaux SCAP délivrés par les capteurs CAP peuvent par exemple être des signaux basse fréquence ; c'est notamment le cas lorsque ces capteurs mesurent un déplacement, un débit, une pression, une température ou une vitesse.

Les signaux SCAP peuvent aussi être des signaux haute fréquence, notamment lorsque les capteurs auxquels ils sont associés mesurent des vibrations ou des pressions susceptibles de varier rapidement.

Le système de détection selon l'invention comporte un module de validation MODVAL apte à valider le bon fonctionnement de chacun des capteurs CAP.

Dans l'exemple de réalisation décrit ici, le module de validation MODVAL comporte :

- un modèle de référence 21 ;

- un module de détection de biais 22 ; et

- un module de détection de bruit 23.

Dans le mode de réalisation décrit ici, le module de validation MODVAL détecte les pannes affectant les capteurs CAP délivrant des signaux basse fréquence ; - soit par la détection d'un biais dans le signal S _C AP en utilisant des redondances de ce signal et/ou des sorties du modèle de référence 21 ; soit

- par la détection de bruits dans le signal S _CAP , un bruit nul indiquant un capteur CAP hors d'état et un bruit excessif indiquant un problème de nature électrique.

Dans le mode de réalisation décrit ici le module de validation MODVAL détecte des pannes affectant les capteurs délivrant des signaux S _CAP haute fréquence par la détection d'une non-symétrie dans ce signal.

Conformément à l'invention le module de validation MODVAL délivre, pour chaque mesure, un signal validé SIGVAL associé à un niveau de confiance de premier ordre NCl si le capteur est opérationnel ou un message MSG _C AP représentatif d'une panne de capteur.

Les messages MSGCAP représentatifs d'une panne de capteur sont transmis à un module MOD _F D de fusion de données qui sera décrit ultérieurement.

Les signaux validés SIGV _AL et les niveaux de confiance de premier ordre NCl qui leur sont associés sont transmis à un module MODDP de détection de panne.

Le module de détection de panne MOD _D P est apte à détecter des pannes affectant un composant, le système complexe dans son ensemble, ou un sous-système de ce système complexe.

Les algorithmes utilisés pour la détection de panne peuvent être de types divers et notamment mettre en œuvre des fonctions de calcul de seuil, d'identification, de calcul de résidus, de filtrage, de comparaison avec des modèles physiques ou comportementaux ...

Le fonctionnement d'un module MOD _DP de détection de pannes sera décrit précisément en référence à la Figure 2 dans le contexte particulier d'une détection de pannes dans un moteur.

Le module de détection de panne MOD _DP est apte, lorsqu'il détecte une panne affectant un composant, un sous-système ou le système dans sa globalité, à générer un message MSG _PB de panne brut comportant des informations brutes INF _PB sur cette panne et un niveau de confiance NC2 de deuxième ordre.

Le système de détection de panne conforme à l'invention comporte également un module MOD _FD de fusion de données aptes à recevoir : - d'une part les messages MSGCAP représentatifs d'une panne de capteur ; et

- d'autre part les messages MSGPB de panne bruts.

Le module MOD _FD de fusion de données a notamment pour objet de confronter et intégrer les informations brutes INF _PB multiples reçues dans les messages de pannes bruts MSGPB et dans les messages MSGCAP de pannes de capteur afin de réduire l'incertitude sur l'information résultante.

Le module de fusion de données MODFD génère par conséquent des messages MSGPC de panne consolidés comportant des informations INFpc consolidées sur une panne affectant le système dans son ensemble ou un sous-système du système complexe ou un composant et un niveau de confiance de troisième ordre.

Les messages de panne consolidés MSGPC sont fournis, par le module MOD _F D de fusion de données à un module MOD _PD de prise de décision.

Le module MOD _PD de prise de décision est apte à prendre une décision sur l'action à entreprendre en fonction des informations consolidées INF _PC sur la panne du niveau de confiance de troisième ordre obtenu pour cette panne et du niveau de gravité de cette panne compris dans la base de connaissance BC.

Dans l'exemple de la Figure 1, le module de décision MOD _PD comporte des moyens d'accès à une base de données BC constituée par une base de connaissances issues d'une analyse des défaillances pouvant affecter le système complexe et de leur criticité associée.

La Figure 2 représente un exemple de message MSGPC de panne consolidé pouvant être utilisé dans un système de détection de panne conforme à l'invention.

Ce message comporte cinq champs à savoir :

- un champs DATE comportant la date de la panne ;

- un champs ID _SS comportant un identifiant du sous-système affecté par la panne ou, le cas échéant un identifiant du système si la panne affecte le système dans son ensemble ;

- un identifiant ID∞MP du composant affecté par la panne ;

- le niveau NC3 de confiance de troisième ordre obtenu par le module MOD _FD de fusion de données ; et - l'identifiant ID _PÂNNE de cette panne.

Les informations des premier, deuxième et troisième champs du message MSGP _C de panne consolidé constituent des informations INFPC consolidées sur la panne au sens de l'invention.

Le message de panne MSGPC peut être envoyé en parallèle vers un terminal pour interprétation rapide des résultats.

Dans l'exemple de réalisation décrit ici les messages MSG _PB de panne bruts ont un format identique au message MSGpc de panne consolidé sauf en ce qu'ils comportent, dans leurs quatrièmes champs, un niveau NC2 de confiance du deuxième ordre.

La Figure 3 représente un enregistrement de la base de données

BC.

Cet enregistrement comporte quatre champs à savoir :

- un champs ID _S s comportant l'identifiant d'un sous-système ;

- un champs ID _PANNE comportant l'identifiant d'une panne ;

- un champs NG comportant un niveau de gravité de cette panne ; et

- un champ IDACTION comportant l'identifiant d'une action prédéfinie à entreprendre en relation avec ladite panne.

La Figure 4 représente un moteur de fusée conforme à l'invention. Ce moteur comporte deux réservoirs d'ergol référencés 131 et 132 chacun en amont d'une pompe 111, 112. Le débit de chacun de ces ergols peut être régulé par une vanne 121, 122. Dans le mode de réalisation décrit ici ce moteur comporte :

- un premier capteur CAP1 apte à mesurer les vibrations V _m ou l'accélération de cette pompe 111 et à délivrer un signal S _CAPI représentatif de ces vibrations ; et

- un deuxième capteur CAP2 apte à mesurer la pression Pm en sortie de la pompe 111 et à délivrer un signal SC _AP 2 représentatif de cette pression.

Ces signaux SCAPI et S _C AP2 sont représentés aux Figures 5A et 6A.

Nous supposerons, en référence à ces figures, que l'aube d'une turbine commence à se dégrader à un instant Ti et que cette dégradation entraine la perte de l'aube à un instant T ₂ , l'aube fonctionnant normalement entre les instants 0 et ΤΊ.

Par conséquent l'instant Ti peut être considéré comme l'amorce de la rupture de l'aube. On remarque sur ces diagrammes, que la pression P _m en sortie de la pompe 111 chute légèrement entre les instants ΤΊ et T ₂ puis brutalement à partir de l'instant T ₂ correspondant à la perte de l'aube.

Ce moteur comporte un système de détection et de diagnostic de pannes 105 conforme à l'invention.

Conformément à l'invention, les signaux SCAPI et SCAP2 sont traités par un module de validation MODVAL-

Par conséquent, conformément à l'invention, ce module de validation délivre deux signaux validés SIGVALI et SIGVALI représentés aux Figures 5B et 6B, chacun associé avec un niveau de confiance de premier ordre respectivement NCl l, NC12 représentés sur les Figures 5B et 6B en traits pointillés.

Dans cet exemple, le niveau de confiance du premier ordre NCll du capteur CAP1 reste élevé, c'est-à-dire égal à 0,95.

En revanche, le niveau de confiance du premier ordre NC12 du capteur CAP2 commence à diminuer légèrement à l'instant T ₂ puis beaucoup plus brutalement jusqu'à atteindre une valeur sensiblement égale à 0.45.

Dans l'exemple décrit ici, le niveau de confiance de premier ordre NC12 du capteur CAP2 chute mais néanmoins, on considère dans cet exemple que le niveau de confiance du CAP2 reste suffisant pour mesurer la pression en sortie de la pompe 111.

Par conséquent, dans cet exemple, le module de validation MODVAL ne génère pas de message de panne capteur MSGCAP- Dans l'exemple de réalisation décrit ici, le signal SIGVALI correspond au signal SCAPI mais le signal SIG _V AL2 est obtenu à partir du signal SCAP2 par suppression du bruit de mesure.

Les signaux SIGVALI et SIGVAL2 sont reçus, avec les niveaux de confiance de niveau 1 NCl l et NC12 par un module MOD _DP de détection de panne.

Dans l'exemple de réalisation décrit ici, ce module de détection de panne MOD _DP est apte à détecter une panne affectant une turbine du moteur (cette turbine étant un sous-système au sens de l'invention).

A cet effet, ce module met en œuvre deux algorithmes aptes :

- d'une part à analyser les vibrations d'une turbine ; et

- d'autre part à analyser la performance d'une turbine. Dans le mode de réalisation décrit ici, le module MOD _D p de détection de panne détecte, respectivement à des instants T ₃ et T ₄ représentés Figure 7 :

- un premier disfonctionnement (« niveau vibratoire élevé turbine ») avec un niveau de confiance de deuxième ordre IMC21 égale à 0,9 ; et

- un deuxième disfonctionnement (« rendement turbine faible ») avec un niveau de confiance de deuxième ordre NC22 égal à 0,45.

Ces informations constituent des informations brutes au sens de l'invention.

Elles sont envoyées, à un module de fusion de données MOD _FD , dans des messages de panne bruts MSG _PB i et MSG _PB 2 aux instants T ₃ et T ₄ .

Conformément à l'invention, le module MOD _FD de fusion de données génère, à partir des messages de pannes bruts MSG _PB i et MSG _PB 2 reçus aux instants T ₃ et T ₄ un ou plusieurs messages de pannes consolidés.

Dans l'exemple de réalisation décrit ici nous supposerons que le module MOD _FD de fusion de données fusionne les informations brutes contenues dans les messages bruts MSG _PB i et MSG _PB 2 pour générer, respectivement aux instants T ₃ et T ₄ ;

- un premier message de panne consolidé MSG _P Q identique au message de panne MSG _PB i ; et

- un deuxième message de panne consolidé MSG _PC 2 obtenu par fusion des informations brutes contenues dans les deux messages de pannes bruts MSG _PB i et MSG _PB 2- Le message de panne consolidé SG _PC 2 est représenté à la Figure 8.

Dans cet exemple, nous supposerons que le module de fusion de données apte à détecter la perte d'une aube de la turbo-pompe 111, avec un niveau de confiance de troisième ordre NC32 égale 0.7, la date de perte de l'aube étant estimée à l'instant T ₄ .

Les messages de pannes consolidés MSGPCI et MSG _PC 2 sont fournis à un module de prise de décision MODPD respectivement aux instants T ₃ et T ₄ . Conformément à l'invention, le module MOD _PD de prise de décision considère, sur la base des deux messages consolidés SGRCI et MSG _PC2 si une action doit être entreprise.

Dans l'exemple de réalisation décrit ici, sur réception du premier message consolidé MSGpa, le module MOD _PD de prise de décision décide d'attendre la réception d'un autre message consolidé avant de déclencher une action physique sur un organe du moteur.

Par contre, sur réception du deuxième message consolidé SGpc2, le module MOD _PD de prise de décision effectue deux actions à savoir :

- l'émission d'un message de panne ; et

- le déclenchement d'une commande pour réduire la poussée afin de compenser la panne.

Cette deuxième action est matérialisée, sur la Figure 4, par la flèche référencée ACT DEMAND _É E ; elle est réalisée dans cet exemple par un système de commande qui agit dans cet exemple sur la vanne 121 régulant les débits des réservoirs d'ergol 131 et 132.

Dans l'exemple de réalisation décrit ici, le module de prise de décision MOD _PD utilise une technique de logique floue connue de l'homme du métier qui sera détaillée ci-après.

Conformément à l'invention, la prise de décision quant à l'action à entreprendre (ou pas) est effectuée en fonction du niveau de confiance de troisième ordre NC3 et du niveau de gravité NG de la panne détectée.

Dans le mode de réalisation décrit ici, ces variables NC3, NG varient dans l'intervalle [0 ; 1].

Pour illustrer un exemple de mise en œuvre de l'invention, on considère que le module de prise de décision MOD _PB utilise les deux tableaux T _NC 3, T _NG dont les fonctions d'appartenance sont caractérisées par les tableaux suivants et représentées sous forme de trapèzes aux figures 10A et 10B : Niveau de confiance de Valeur

troisième niveau (NC3)

Peu fiable (PF) NC3=[0 ; 0, 15 ; 0,35] Y=[1 ; 1 ; 0]

Moyennement fiable (MF) NC3=[0.15 ; 0,35 ; 0,4 ; 0.6] Y=[0 ; 1 ; 1 ; 0]

Fiable (F) NC3=[0,4 ; 0,6 ; 0,65 ; 0.85] Y=[0 ; 1 ; 1 ; 0]

Très fiable (TF) NC3=[0,65 ; 0,85 : 1 ] Y=[0 ; 1 ; 1]

Tableau Tiur»

Niveau de gravité (NG) Valeur

Peu grave (PG) NG=[0 : 0, 15 ; 0,35] Y=[1 ; 1 ; 0]

Moyennement grave (MG) NG=[0, 15 ; 0,35 ; 0,4 ; 0,6] Y=[0 ; 1 ; 1 ; 0]

Grave (G) NG=[0,4 ; 0,6 ; 0,65 ; 0,85] Y=[0 ; 1 ; 1 ; 0]

Très grave (TG) NG=[0,65 ; 0.85 ; 1 ] Y=[0 ; 1 ; 1]

Tableau TNG

La sortie du module de prise de décision MOD _PD décide de la mise en place ou non d'une action corrective par rapport à la panne diagnostiquée. Dans l'exemple de réalisation décrit ici, cette variable « Décision » varie dans le même domaine que les données d'entrées NC3, NG ; la fonction d'appartenance est conforme au découpage présenté dans le tableau T _0EC suivant :

ableau T Les trois tableaux T _NC 3, T _NG et T _0EC sont mémorisés par le module de prise de décision MOD _P0 .

Le tableau T _REG ci-dessous récapitule les règles précédentes : Décision NC3

PF MF F TF

NG PG PA PA PA PA

MG PA D A A

G D A A A

TG D A A A

Tableau T _RËG

Dans l'exemple de réalisation décrit ici, on associe à chaque événement faisant partie de l'intervalle doute une valeur T _MAX de séjour maximal dans cet état ; si cette valeur est atteinte, l'arrêt du système est ordonné pour des raisons de sécurité.