question métaphysique (autant l'annoncer de suite ;) )

[minioim]

Salut à tous,

voilà je m'attend assez à une réponse qui va ressembler à quelque chose du genre "comment veux tu savoir??" mais dans le doute...

prenons un microcontroleur, un PIC par exemple (exemple un peu choisi pour tout avouer...), imaginons maintenant que j'ai un montage sur lequel une panne serait particulièrement gênante si elle n'est pas immédiatement repérée. par un voyant d'alerte par exemple.

existe il un moyen de détecter une panne du microcontroleur?
si par exemple c'est l'alimentation du circuit qui grille, il ne va plus débiter de courant à ses pins, facile à détecter. mais si c'est un truc plus "interne" qui pète, est ce qu'il est possible qu'une pin ne soit plus contrôlable et reste à 5V en permanence quoique le programme dise? ou que le programme s'arrête avec toutes les pin qui restent à leur potentiel au moment de la panne (or erreur de programmation)

en résumé, est ce que vérifier la tension d'une pin qu'on aurait placé à 5V via le code en début de programme est une méthode fiable pour détecter une panne du pic?


merci à vous
-----

[DAUDET78]

est ce que vérifier la tension d'une pin qu'on aurait placé à 5V

Et si ton circuit de vérification tombe en panne ? C'est comme ça qu'on a planté la première Ariane V

Bref trop d’impôt tue l’impôt ??? trop de sécurité empêche le bon fonctionnement !

Faut bien réfléchir avant de mettre une sécurité sur la sécurité

[minioim]

c'est pas faux et c'est même très vrai (encore que pour ariane 5 c'était un dépassement de capacité du au changement de fusée tout en gardant le même système de pilotage)

par contre on peut faire un système de secours archaique mais qui permet de garder le contrôle.

pour préciser un peu l'exemple, l'idée est d'avoir 2 boutons qui permettent d'envoyer des signaux au PIC qui se charge ensuite de contrôler un vérin via des séquences précises, l'analyse d'infos remontées par des capteurs etc... le tout pour avoir des mouvements précis et qui n'endommagent pas le vérin.

le système de sécurité serait un circuit secondaire extrèmement simple qui est maintenu à l'état "OFF" par un signal 5V continu (transistors, relais etc... tout est bon) puis si ce signal 5V s'éteint (cas où le PIC tomberait en panne idéalement), ce circuit court circuite le microcontroleur et change donc la fonction des interrupteurs qui sont mis en liaison direct avec les bornes du vérin et qui au lieu d'envoyer un ordre au PIC sont donc utilisables pour actionner dans un sens ou dans l'autre (selon le bouton) le vérin.

l'utilisateur peut donc commander directement le vérin, ce qui n'est pas recommandé pour la longévité du vérin qui risque de se retrouver à forcer etc..., pas pratique à utiliser mais permet de continuer à utiliser l'appareillage jusqu'au retour maison pour réparer.

si le circuit de sécu tombe en panne, alors que le pic continue à fonctionner, et bien ça ne change rien. si il tombe en panne puis que le PIC tombe en panne, ça n'est pas pire que si il n'y avait pas eu de sécurité...

[DAUDET78]

c'est pas faux et c'est même très vrai (encore que pour ariane 5 c'était un dépassement de capacité du au changement de fusée tout en gardant le même système de pilotage)

C'est bien ce que je disais ... c'est la sécurité qui a provoqué la Kata !

[A voir en vidéo sur Futura]

[bertrandbd]

Bonsoir

Tu peux prévoir un dispositif du type watchdog qui déclenche un signal lumineux ou autre, s'il n'est pas régulièrement réarmé. La période entre deux réarmements te donnes le temps de risque

A+

[minioim]

ingénieux ça

[annjy]

Bsr,

dans certains cas, on double ou on triple les systèmes de commande.
Si les 3 ne disent pas la même chose : NO GO ! (arrêt d'urgence).

voir les sécurités prises notamment dans les systèmes en aéronautique civile.

Cdlt,
JY

[minioim]

Oui celles là je les connais assez

par contre ici l'idée serait surtout un système robuste même si archaique qui puisse reprendre la main en cas de panne du principal.

pas question de faire un arrêt d'urgence, mais plutôt de reprendre la main

[terriblement]

Et si le système qui doit vérifier les 3 signaux tombe en panne, et qu'il dis GO alors que les 3 signaux ne correspondent pas ?

[minioim]

.... C'est toujours une question de probabilité. Ajouter une secu diminue les risques de panne (si elle est bien pensée), ça les annule pas et tout le monde s'en doute. Y aurait plus d'accidents sinon.
Le but n'est pas de faire quelque chose l'infaillible.

A mon sens une sécurité doit être un système archaïque, simple et robuste capable d'effectuer des opérations nettement plus simples que ce que fait le système principal. Ça sert a rien de mettre un ordinateur de bord encore plus complexe et soumis a plus de risques d'erreurs pour vérifier un autre ordinateur.....

[PIXEL]

le summum est , le principe du trium-ordina....

si deux sur trois sont d'accord , on continue , si les trois se chamaillent :

"Human decision requied"

[Bluedeep]

dans certains cas, on double ou on triple les systèmes de commande.
Si les 3 ne disent pas la même chose : NO GO ! (arrêt d'urgence).
voir les sécurités prises notamment dans les systèmes en aéronautique civile.

Cela suppose la possibilité d'arrêt d'urgence.
Sur des systèmes de régulation ne pouvant être arrêtés, on utilisera plutôt la redondance triple avec vote majoritaire. (celui qui dit pas comme les deux autres est déclaré en panne).

EDIT : poste redondant avec celui de Pixel, que je n'avais pas vu; j'ai fait le perroquer involontairement.

[PIXEL]

EDIT : poste redondant avec celui de Pixel, que je n'avais pas vu; j'ai fait le perroquer involontairement.

Ce qui valide bien le principe

[f6exb]

si deux sur trois sont d'accord , on continue , si les trois se chamaillent :

"Human decision requied"

Comme les ADIRU du AF447.

[PIXEL]

et il semblerait bien que la "décision humaine" fut calamiteuse , à la lecture des dernières enquêtes.

[minioim]

yep. la question étant de savoir si on peut vraiment en vouloir aux pilotes ou si, compte tenu de la situation (visi nulle, turbulences importantes qui perturbent le ressenti de pesanteur, etc...) et de l'étroitesse du champs de manoeuvre (à cette altitude, la différence entre vitesse à ne jamais dépasser et vitesse de décrochage est minuscule et sans infos fiable de vitesse...... ça tient de mission impossible.

pas évident cette histoire :/

[PIXEL]

surtout quand le " passager-client-citoyen etc " à l'impression que les "fabricants-pilotes-compagnie"
se refilent le mistigri à tour de rôle pour mieux nous enfumer....

voir le vol de Malaysia Airlines

[Nicophil]

Bonjour,

ça tient de mission impossible.

N'exagérons rien quand même...

C'est surtout que le pilote n'a même pas eu le réflexe de penser qu'il ne pouvait gagner beaucoup d'énergie gravifique (monter au-dessus du cu-nimb) qu'en perdant beaucoup d'énergie cinétique : "plus qu'un crime : une faute !"

[arsene de gallium]

Pour avoir étudié des systèmes à triple redondances à vote majoritaire, c'est à dire comme expliqué par Pixel:

le summum est , le principe du trium-ordina....

si deux sur trois sont d'accord , on continue , si les trois se chamaillent :

"Human decision requied"

on ne traite que du système de décisions, électronique et/ou informatique.
Si les capteurs sont dans le vent, il n'y a plus rien à faire sauf à l'intelligence humaine.
Les avions ne sont que des systèmes comprenant l'électronique embarquée, l'informatique embarquée et les hommes aux commandes
C'est la même chose pour l'industrie nucléaire, la pétrochimie, etc.
Un système ne vaut que par les informations reçues.
Il ne servent à rien si les capteurs ne sont pas conçus dans le même esprit, si les hommes aux commandes ne sont pas formés et entrainés pour essayer, et je dit bien essayer, de palier au défaut.

[minioim]

Bonjour,

N'exagérons rien quand même...

C'est surtout que le pilote n'a même pas eu le réflexe de penser qu'il ne pouvait gagner beaucoup d'énergie gravifique (monter au-dessus du cu-nimb) qu'en perdant beaucoup d'énergie cinétique : "plus qu'un crime : une faute !"

facile à dire, quand on lit les rapports d'enquète tranquillement, pas pareil quand on est au commandes dans un environnement plus que détérioré et qu'on ne peut plus se fier aux instruments, seulement à ses sensations qui sont elles déjà foireuses.

pour avoir déjà volé en "VSV" (vol sans visibilité) je peux t'assurer que même avec les instruments on a déjà du mal. alors sans... c'est mission impossible

Or ses instruments étaient foireux, et a priori vu les turbulences, il ne savait même pas où était le nez de l'avion... si il avait l'impression que l'avion était en train de piquer du nez, tirer sur le manche n'a rien d'une mauvaise décision...

[PIXEL]

la "désorientation spatiale" est un phénomène redoutable, où le cerveau n’accepte pas
ce que dise les sens, ou la simple raison.

[annjy]

....
pour avoir déjà volé en "VSV" (vol sans visibilité) je peux t'assurer que même avec les instruments on a déjà du mal. alors sans... c'est mission impossible.........

Bsr,

attention,
toutes les infos ne devaient pas être absentes.

la sonde pitot donne une info de vitesse.
reste les autres sondes (Angle d'attaque, altitude, variomètre.....)

Bon, c'est hors sujet, je ne m'étends pas.

Cdlt,
JY

[minioim]

Je n'ai pas lu la totalité du rapport, mais l'angle d'attaque fait justement partie des infos qu'ils n'avaient plus (dans ce que j'ai lu)

[PIXEL]

dans ce que j'ai lu ; l'alarme de décrochage hurlait par toutes ses sirènes..

et le pilote continuait à tirer sur le manche !

[annjy]

Je n'ai pas lu la totalité du rapport, mais l'angle d'attaque fait justement partie des infos qu'ils n'avaient plus (dans ce que j'ai lu)

l'angle d'attaque, ce n'est pas pitot, c'est AOA.

JY

[minioim]

Lis le rapport du BEA. Pitot ou pas (je suis pilote privé, je connais assez bie la différence), l'info n'était pas affichée..

[bertrandbd]

Pour illustrer le principe de watchdog, c'est simple

Tu prends ton poste et par rapport à la question initiale il y a incontestablement une digression donc le watchdog déclenche et comme il est prioritaire (un peu comme un modo), il dit stop et évite que la discussion par en vrille (..pour un pilote). Le temps que le watchdog a pris pour déclencher est du temps de risque où chacun pourra juger de la qualité de la discussion...

Mais je vois bien que ta préoccupation de la sécurité est grande donc, comme tu as mis un mécanisme de surveillance, encore faut-il le tester pour éviter des fausses pannes ou les pannes non détectées. Quand tu cela est fait, il ne te reste plus qu'à faire une analyse sur la disponibilité du montage pour t'assurer qu'il correspond bien à ce que tu voulais...

un exemple mais il y a plein d'autres
http://www.unit.eu/cours/cyberrisque...arrages_7.html


Bon courage

[adipie]

Si la sécurité de l'homme est en cause, il faut respecter les règles de sécurité en vigueur (directive machine) et faire valider le bidule par un organisme agrée (INRS par exemple).
Dans ce cas il faut préparer un gros paquet de 100€
Sur les automates de sécurité, 3 processeurs pédalent en // et comparent leurs résultats avant de valider une sortie.

[Bluedeep]

Si la sécurité de l'homme est en cause, il faut respecter les règles de sécurité en vigueur

Tout dépend du pourcentage de pertes qu'on s'autorise

[PIXEL]

+1.....

et vu ce "qu'on s'autorise" sur la route , mieux vaut prendre l'avion