CA2928844C

CA2928844C - Engine failure management process and device for an aircraft turbine engine

Info

Publication number: CA2928844C
Application number: CA2928844A
Authority: CA
Inventors: Sylvie Leyder
Original assignee: Airbus Helicopters SAS
Current assignee: Airbus Helicopters SAS
Priority date: 2015-06-05
Filing date: 2016-05-03
Publication date: 2017-10-24
Anticipated expiration: 2036-05-03
Also published as: FR3037155A1; FR3037155B1; CA2928844A1

Abstract

This invention concerns an engine failure process with a management system controlling an aircraft engine. During a preparatory step (STPA), at least two failures of the management system apt to occur are identified and saved in the aircraft (1), each failure associated to a failure level to be selected between a first level, for a failure having no impact on piloting the aircraft (1) and a second level. Each first level failure is associated to an authorized flight time. If at least one of the said failures occurs, the failure level of each failure is detected during a detection step (STP4). During a display step (STP6) it is reported that at least a first level failure has occurred, if no second level failure is detected, the flight may thus continue for at least a predetermined amount of time.

Description

Procédé et dispositif de gestion de pannes avec un système de gestion d'un turbomoteur d'un aéronef La présente invention concerne un procédé et un dispositif de gestion de pannes avec un système de gestion d'un turbomoteur d'un aéronef. Un tel aéronef peut notamment être un giravion L'invention se situe donc dans le domaine technique des systèmes de gestion de turbomoteurs, en particulier d'un giravion.
Un giravion comporte au moins un rotor principal participant à la sustentation, voire à la propulsion de cet aéronef. Ce rotor principal est entraîné en rotation par une installation motrice comprenant au moins un moteur. Un tel moteur peut être un moteur thermique, et notamment un turbomoteur par exemple.
Par exemple, un giravion comporte au moins un moteur thermique relié mécaniquement à une boîte de transmission de puissance dite boîte de transmission de puissance principale .
Cette boîte de transmission de puissance met en rotation un mât rotor du rotor principal.
Dès lors, un moteur peut être contrôlé par un système de gestion. Par exemple, un système de gestion d'un turbomoteur comporte notamment un calculateur et un doseur de carburant. Un tel système de gestion peut alors être un système connu sous l'acronyme FADEC correspondant à l'expression anglaise Full Authority Digital Engine Control . En outre, le calculateur peut être connu sous l'acronyme EECU correspondant à l'expression anglaise Engine Electronic Control Unit , ou plus simplement sous Method and device for managing faults with a system of management of an aircraft turbine engine The present invention relates to a method and a device for failure management with a management system of a turbine engine of a aircraft. Such an aircraft may in particular be a rotorcraft The invention therefore falls within the technical field of turbine engine management systems, in particular a rotorcraft.
A rotorcraft has at least one main rotor participating in the lift, even the propulsion of this aircraft. This main rotor is driven in rotation by a power plant comprising at least minus one engine. Such an engine can be a heat engine, and including a turbine engine for example.
For example, a rotorcraft has at least one engine thermal mechanically linked to a transmission box of power called main power transmission box.
This power transmission box rotates a rotor mast of the main rotor.
Therefore, a motor can be controlled by a system of management. For example, a management system of a turbine engine includes in particular a computer and a fuel meter. Such management system can then be a system known by the acronym FADEC corresponding to the English expression Full Authority Digital Engine Control. Also, the calculator can be known under the acronym EECU corresponding to the English expression Engine Electronic Control Unit, or more simply under

2 l'acronyme ECU correspondant à l'expression anglaise Engine Control Unit .
Le calculateur communique avec divers équipements, et notamment divers systèmes de mesure pour contrôler le doseur de carburant.
En particulier, le calculateur peut communiquer avec des systèmes de mesure déterminant la valeur de paramètres de surveillance du moteur thermique. Pour contrôler un turbomoteur, le système de mesure peut par exemple mesurer une vitesse de rotation d'un générateur de gaz du turbomoteur, une température régnant au sein du turbomoteur, un couple développé par un organe du turbomoteur.
Le calculateur peut aussi communiquer avec un système avionique de l'aéronef pour obtenir des données susceptibles d'influer sur les performances du moteur thermique contrôlé. Par exemple, le calculateur est relié à un système anémobarométrique déterminant la pression et la température de l'air à l'extérieur du giravion.
Par sécurité, certains organes peuvent être redondés.
Par exemple, le calculateur peut comporter deux ensembles de calcul distincts aptes chacun à contrôler le doseur de carburant. De tels ensembles sont dénommés canaux ou voies , le calculateur étant qualifié de calculateur bicanal ou à double voie.
De même, des systèmes de mesure peuvent être redondés, chaque système de mesure communiquant avec chaque ensemble de 2 the acronym ECU corresponding to the English expression Engine ControlUnit.
The computer communicates with various equipment, and including various measuring systems to control the doser of fuel.
In particular, the computer can communicate with measuring systems determining the value of parameters of heat engine monitoring. To control a turbine engine, the measuring system can for example measure a speed of rotation of a gas generator of the turbine engine, a temperature prevailing at within the turbine engine, a torque developed by a member of the turbine engine.
The computer can also communicate with a system avionics of the aircraft to obtain data likely to influence the performance of the controlled heat engine. By example, the computer is connected to an anemobarometric system determining the pressure and temperature of the air outside the rotorcraft.
For safety, some components can be redundant.
For example, the calculator may have two sets of separate calculations, each capable of controlling the fuel meter. Of such sets are referred to as channels or lanes, the computer being qualified as a two-channel or two-channel computer.
Similarly, measurement systems can be redundant, each measurement system communicating with each set of

3 calcul. En outre, chaque système de mesure peut communiquer par le biais de liaisons redondées avec chaque canal du calculateur.
Par ailleurs, le système de gestion est surveillé en vol pour tendre à limiter les risques d'accident en cas de panne.
Ainsi, un système de gestion est à même de détecter une pluralité de pannes en analysant les données circulant au sein des divers organes du système de gestion.
Par exemple, un calculateur peut détecter une panne d'un capteur de température si ce capteur transmet une température aberrante au calculateur ou encore une anomalie de fonctionnement du moteur.
Les diverses pannes d'une installation motrice ont évidemment des impacts distincts sur l'aéronef et la sécurité du vol.
Ainsi, une classification prévoit par exemple trois échelons de pannes.
Le premier échelon de pannes recense les pannes n'ayant pas un impact sur le pilotage de l'aéronef. Par exemple, la perte d'un capteur de température redondé n'a pas un impact sur le pilotage de l'aéronef.
Le deuxième échelon et le troisième échelon font par contre référence à des pannes ayant un impact sur le pilotage du giravion.
Si une panne est détectée par un système de gestion, cette panne peut être signalée à un pilote. Par exemple, un giravion peut comprendre un écran multifonction apte à afficher une page listant les 3 calculation. In addition, each measurement system can communicate via the bias of redundant links with each channel of the computer.
In addition, the management system is monitored in flight to tend to limit the risk of accident in the event of a breakdown.
Thus, a management system is able to detect a number of failures by analyzing the data circulating within the various organs of the management system.
For example, a computer can detect a failure of a temperature sensor if this sensor transmits a temperature abnormal to the computer or an operating anomaly of the motor.
The various failures of a power plant have obviously distinct impacts on aircraft and flight safety.
Thus, a classification provides for example three levels of breakdowns.
The first level of failures lists failures that have not an impact on the piloting of the aircraft. For example, the loss of a redundant temperature sensor has no impact on the control of the aircraft.
The second rung and the third rung, on the other hand, do reference to failures having an impact on the piloting of the rotorcraft.
If a failure is detected by a management system, this failure can be reported to a pilot. For example, a rotorcraft can include a multifunction screen capable of displaying a page listing the

4 pannes recensées. Une telle liste est parfois dénommée Master list en langue anglaise.
De plus, un constructeur peut établir une liste principale d'équipement minimal. Une telle liste est aussi connue sous l'acronyme MMEL correspondant à l'expression anglaise Master Minimum Equipment List .
Pour une panne du premier échelon, le constructeur peut autoriser le vol pour un nombre d'heures limitées avant réparation si une telle panne particulière survient. Cette fonction est connue sous l'acronyme TLD qui correspond à l'expression anglaise Time Limit Dispatch . Dès lors, le constructeur peut associer au moins une panne à un temps de vol autorisé dans la liste principale d'équipement minimal.
Par suite, le constructeur établit au sol les pannes susceptibles de survenir et les assignent à un échelon de panne. Pour certaines pannes du premier échelon, le constructeur établit un nombre d'heures de vol autorisées à partir du moment où la panne survient.
Lorsqu'une unique panne mineure de premier échelon est signalée par le système de gestion, soit le vol est interdit soit le vol reste possible pendant la durée spécifiée par le constructeur.
Lorsque le système de gestion détecte de multiples pannes mineures de premier échelon ou au moins une panne du deuxième échelon ou une panne du troisième échelon, le vol n'est pas autorisé.
Selon cet état de l'art, le constructeur établit donc les pannes simples envisageables et classe ces pannes selon un système de classification à trois échelons. De plus, certaines pannes du premier échelon peuvent être associées à une durée de vol autorisé. Si une unique panne de premier échelon intervient, le vol peut être autorisé
dans la limite du temps de vol spécifié pour cette panne. Dans les autres cas, le vol est interdit. 4 identified faults. Such a list is sometimes called Master list in English language.
Additionally, a builder may establish a master list minimal equipment. Such a list is also known as the acronym MMEL corresponding to the English expression Master Minimum Equipment List.
For a first stage failure, the manufacturer can authorize the flight for a limited number of hours before repair if such a particular breakdown occurs. This function is known as the acronym TLD which corresponds to the English expression Time Limit Dispatch. Therefore, the manufacturer can associate at least one failure at an authorized flight time in the main list minimal equipment.
Consequently, the manufacturer establishes on the ground the failures likely occur and assign them to a failure stage. For some failures of the first level, the manufacturer establishes a number authorized flight hours from the time the breakdown occurs.
When a single first stage minor failure is signaled by the management system, either the flight is prohibited or the flight remains possible for the period specified by the manufacturer.
When the management system detects multiple failures first level minor or at least one second level failure level or a failure of the third level, the flight is not authorized.
According to this state of the art, the manufacturer therefore establishes the breakdowns simple conceivable and classifies these failures according to a system of three-tier classification. In addition, some failures of the first step may be associated with an authorized flight duration. If a single first line failure occurs, the flight can be authorized within the flight time specified for this failure. In the other cases, theft is prohibited.

5 Cette procédure est intéressante mais conduit nécessairement à
l'interdiction d'un vol si deux pannes mineures surviennent. Cette situation peut être dommageable par exemple lorsque l'aéronef se trouve en mer sur une plateforme. Cet aéronef est alors bloqué sur la plateforme alors que l'aéronef peut éventuellement rejoindre sa base.
Le document ARP5107 indice B du mois de novembre 2001 fait référence à la fonction Time Limit Dispatch précité. L'acronyme ARP correspond quant à lui à l'expression anglaise Aerospace Recommanded Practice .
Selon ce document ARP5107, si une panne est associée à un taux d'occurrence de panne supérieur à 100*10-6 panne par heure, la panne ne peut pas être associée à un temps de vol autorisé avant réparation.
Si une panne est associée à un taux d'occurrence de panne compris entre 75 * 10-6 et 100*10-6 panne par heure, la panne peut être associée à un temps de vol court autorisée avant réparation.
Si une panne est associée à un taux d'occurrence de panne inférieur à 75 * 10-6 panne par heure, la panne peut être associée à un temps de vol long autorisé avant réparation.
Ce document suggère qu'une panne peut être associée à un unique nombre d'heures de vol autorisé avant réparation, ce nombre d'heures étant établi en fonction du taux d'occurrence de la panne. 5 This procedure is interesting but necessarily leads to prohibition of a flight if two minor breakdowns occur. This situation can be harmful, for example when the aircraft found at sea on a platform. This aircraft is then blocked on the platform while the aircraft can eventually return to its base.
Document ARP5107 index B of November 2001 makes reference to the aforementioned Time Limit Dispatch function. Acronym ARP corresponds to the English expression Aerospace Recommended Practice.
According to this document ARP5107, if a failure is associated with a failure occurrence rate greater than 100*10-6 failure per hour, the failure cannot be associated with an authorized flight time before repair.
If a failure is associated with a failure occurrence rate between 75 * 10-6 and 100 * 10-6 breakdown per hour, the breakdown can be associated with a short authorized flight time before repair.
If a failure is associated with a failure occurrence rate less than 75 * 10-6 breakdown per hour, the breakdown can be associated with a long flight time allowed before repair.
This document suggests that a failure can be associated with a unique number of flight hours authorized before repair, this number of hours being established according to the rate of occurrence of the failure.

6 Le document EP1444658 vise à déterminer en temps réel, à
savoir en vol, les probabilités de succès d'une mission d'un temps donné par exemple de deux heures. Un algorithme établit aussi le temps de vol autorisé suite à ladite panne.
Selon le procédé décrit, un taux de panne est assigné à chaque composant de deux voies d'un calculateur d'un système de gestion.
Pour chaque composant d'une première voie, un constructeur détermine des composants de la deuxième voie nécessaires pour couvrir un fonctionnement normal en cas de panne du composant examiné de la première voie.
Dès lors, des systèmes de l'aéronef détectent si un composant particulier de la première voie est en panne. Dans l'affirmative, un taux de panne total est calculé sur la base des taux de panne individuels des composants de la deuxième voie requis pour le fonctionnement normal du système de gestion en cas de panne du composant particulier concerné.
Un temps de vol prédit restant avant de réparer la panne est alors établi en fonction de ce taux de panne total.
Le temps de vol prédit est comparé à un objectif de mission, la réalisation de la mission étant dépendante de la comparaison effectuée.
Le document DARREN PRESCOTT ET AL : Monte Carlo simulation modelling of aircraft dispatch with known faults reliability, maintainability and safety, 2009, ICRm 2009, 8th international conference on, IEE, PISTACAVVAY, NJ, USA, 20 juillet 6 The document EP1444658 aims to determine in real time, to know in flight, the probabilities of success of a mission of a time given for example two hours. An algorithm also establishes the authorized flight time following said failure.
According to the method described, a failure rate is assigned to each component of two channels of a computer of a management system.
For each component of a first channel, a constructor determines components of the second path necessary to cover normal operation in the event of component failure examined from the first way.
Therefore, aircraft systems detect if a component particular of the first channel is down. If so, a total failure rate is calculated based on the failure rates individual second channel components required for the normal operation of the management system in the event of failure of the particular component involved.
A predicted flight time remaining before repairing the failure is then established according to this total failure rate.
The predicted flight time is compared to a mission objective, the performance of the mission being dependent on the comparison carried out.
The DARREN PRESCOTT ET AL document: Monte Carlo simulation modeling of aircraft dispatch with known faults reliability, maintainability and safety, 2009, ICRm 2009, 8th international conference on, IEE, PISTACAVVAY, NJ, USA, July 20

7 2009, XP031532994 pages 532-535 est connu. Ce document présente la mise en oeuvre de quatre catégories de pannes.
Le document US 2012/078463 est aussi connu.
La présente invention a alors pour objet de proposer un procédé
alternatif d'analyse de pannes sur un système de gestion d'un moteur d'un aéronef pour déterminer si l'aéronef peut voler suite à au moins une panne.
L'invention concerne donc un procédé de gestion de pannes avec un système de gestion commandant un moteur d'un aéronef pour déterminer si l'aéronef peut voler suite à au moins une panne, le système de gestion comprenant au moins un calculateur muni de deux voies de calcul ainsi qu'un doseur de carburant et un système de mesure, au moins une voie de commande reliant chaque voie de calcul à un doseur de carburant. Le système de mesure comporte une pluralité d'organes de mesure, chaque organe de mesure étant relié à
chaque voie de calcul du calculateur pour transmettre au moins une information relative au fonctionnement de l'aéronef à chaque voie de calcul. Chaque organe de mesure est à choisir dans une liste incluant au moins un organe de mesure d'un système avionique de l'aéronef et un organe de mesure mesurant au moins une information relative à un paramètre de surveillance du moteur.
Durant une étape de préparation au moins deux pannes du système de gestion susceptibles de se produire sont mémorisées dans l'aéronef.
Chaque panne est associée à un niveau de panne à choisir entre un premier niveau pour une panne n'ayant aucun impact sur le 7 2009, XP031532994 pages 532-535 is known. This document presents the implementation of four categories of failures.
Document US 2012/078463 is also known.
The object of the present invention is therefore to propose a method alternative for analyzing faults on an engine management system of an aircraft to determine if the aircraft can fly following at least failure.
The invention therefore relates to a method for managing breakdowns with a management system controlling an engine of an aircraft to determine if the aircraft can fly following at least one failure, the management system comprising at least one computer provided with two calculation channels as well as a fuel meter and a system of measurement, at least one control channel connecting each channel of calculation at a fuel meter. The measurement system includes a plurality of measuring devices, each measuring device being connected to each calculation channel of the computer to transmit at least one information relating to the operation of the aircraft at each channel of calculation. Each measuring device is to be chosen from a list including at least one measuring device of an avionics system of the aircraft and a measuring device measuring at least one piece of information relating to a motor monitoring parameter.
During a preparation stage at least two breakdowns of the management system likely to occur are stored in the aircraft.
Each failure is associated with a level of failure to choose from between a first level for a failure having no impact on the

8 pilotage de l'aéronef et un second niveau pour une panne ayant un impact sur le pilotage de l'aéronef.
Le terme panne cité isolément fait référence d'une part à
une panne d'un unique composant dite panne élémentaire , et d'autre part à une combinaison de pannes élémentaires dite panne multiple qui interviennent au cours d'un vol de l'aéronef.
Une combinaison de pannes élémentaires du premier niveau peut conduire à une panne multiple de premier niveau ou de second niveau. Par exemple, un aéronef peut comporter deux couplemètres par sécurité. Le dysfonctionnement d'un unique couplemètre est une panne élémentaire de premier niveau. Par contre, la panne conjointe des deux couplemètres est une panne multiple de second niveau.
Un constructeur établit donc une liste de pannes incluant des pannes élémentaires et/ ou des pannes multiples, chaque panne étant associée à un niveau de panne.
De plus, au moins chaque panne du premier niveau est associée à un temps de vol autorisé suite à la survenue de la panne et avant réparation de cette panne, chaque temps de vol autorisé étant mémorisé dans l'aéronef.
Durant une étape de détection des pannes, on détermine si au moins une desdites pannes survient.
Durant une étape d'évaluation, on détermine le niveau de panne de chaque panne détectée lors de l'étape de détection, en utilisant les données établies lors de l'étape de préparation.
Durant une étape d'affichage, on signale à un pilote qu'au moins une panne de premier niveau est survenue si aucune panne 8 piloting of the aircraft and a second level for a failure having a impact on the piloting of the aircraft.
The term breakdown quoted in isolation refers on the one hand to a failure of a single component called elementary failure, and on the other hand to a combination of elementary breakdowns called breakdown multiple that occur during a flight of the aircraft.
A combination of elementary failures of the first level can lead to a first or second level multiple failure level. For example, an aircraft may have two torque meters for security purposes. The malfunction of a single torque meter is a first level elementary failure. On the other hand, the joint breakdown of the two torque meters is a second level multiple failure.
A manufacturer therefore draws up a list of failures including elementary breakdowns and/or multiple breakdowns, each breakdown being associated with a level of failure.
Moreover, at least each breakdown of the first level is associated at an authorized flight time following the occurrence of the breakdown and before repair of this breakdown, each authorized flight time being stored in the aircraft.
During a failure detection step, it is determined whether at least one of said failures occurs.
During an evaluation step, the level of failure is determined of each failure detected during the detection step, using the data established during the preparation stage.
During a display step, a pilot is informed that at the least one first level failure has occurred if no failure

9 détectée n'est une panne de second niveau, le vol pouvant alors être poursuivi au moins pendant une durée prédéterminée par le constructeur quelle que soit la panne de premier niveau détectée.
L'aéronef est ainsi muni d'au moins un moteur, tel qu'un moteur thermique. Le fonctionnement de chaque moteur est contrôlé par un système de gestion.
Ce système de gestion est pourvu d'un calculateur comprenant au moins deux voies de calcul par sécurité. Chaque voie de calcul communique avec des organes de mesure usuels mesurant des paramètres du moteur contrôlé. De plus, chaque voie de calcul peut communiquer avec un système avionique, et par exemple avec un système d'alimentation électrique, un organe de mesure mesurant une information utile pour le fonctionnement du moteur et une unité
de calcul du système avionique.
Selon l'invention, un constructeur liste donc préalablement à
l'utilisation de l'aéronef des pannes de l'aéronef susceptibles de se produire. Cette étape de préparation est réalisée en appliquant les techniques connues.
En outre, le constructeur détermine un niveau de panne pour chaque panne. Toutes les pannes pouvant être détectées par l'aéronef sont classées selon au moins deux niveaux.
Le premier niveau est affecté à chaque panne mineure n'ayant pas un impact sur la pilotabilité de l'aéronef. Une panne n'ayant aucun impact sur la pilotabilité de l'aéronef peut notamment être une panne n'ayant aucun impact sur le fonctionnement d'au moins un moteur thermique en étant par exemple automatiquement traitée.

A l'inverse, le second niveau est affecté à chaque panne ayant un impact sur la pilotabilité de l'aéronef. Ce second niveau peut être décomposé en au moins deux sous-niveaux par exemple.
Ainsi, le second niveau peut être décomposé en un premier 5 sous-niveau et un deuxième sous-niveau de panne. La classification présente alors trois niveaux de panne, à savoir le premier niveau de panne qui correspondant au premier échelon précité, le premier sous-niveau de panne qui représente un deuxième niveau correspondant au deuxième échelon précité, et le deuxième sous-niveau de panne 9 detected is a second level failure, the theft can then be continued at least for a predetermined duration by the manufacturer regardless of the first level failure detected.
The aircraft is thus provided with at least one engine, such as an engine thermal. The operation of each motor is controlled by a Management system.
This management system is provided with a computer comprising at least two calculation channels for safety. Each calculation channel communicates with usual measuring devices measuring parameters of the controlled motor. In addition, each calculation channel can communicate with an avionic system, and for example with a power supply system, a measuring device measuring useful information for the operation of the engine and a unit avionics system calculation.
According to the invention, a manufacturer therefore lists, prior to use of the aircraft aircraft failures that may occur produce. This preparation step is carried out by applying the known techniques.
In addition, the manufacturer determines a failure level for each failure. All failures that can be detected by the aircraft are classified according to at least two levels.
The first level is assigned to each minor failure having no impact on the controllability of the aircraft. A failure having no impact on the controllability of the aircraft can in particular be a failure having no impact on the operation of at least one heat engine, for example by being automatically processed.

Conversely, the second level is assigned to each failure having an impact on the controllability of the aircraft. This second level can be broken down into at least two sub-levels for example.
Thus, the second level can be decomposed into a first 5 sub-levels and a second failure sub-level. The classification then presents three levels of failure, namely the first level of failure which corresponds to the aforementioned first level, the first sub-failure level which represents a corresponding second level at the aforementioned second level, and the second failure sub-level

10 qui représente un troisième niveau correspondant au troisième échelon précité
Dès lors, le premier sous-niveau est notamment conféré à des pannes majeures affectant le contrôle du moteur thermique, ce moteur fonctionnant avec une dégradation minimale suite au traitement de la panne. Le deuxième sous-niveau regroupe les pannes conduisant à la perte du contrôle du doseur de carburant et donc à la perte de la puissance développée par le moteur thermique.
Par ailleurs, les pannes de premier niveau n'ayant pas d'impact sur la pilotabilité de l'aéronef, le vol est susceptible d'être autorisé
pendant un certain temps avant d'être réparé.
Dès lors, le constructeur attribue un temps de vol autorisé avant réparation au moins à chaque panne de premier niveau.
Eventuellement, au moins une panne de second niveau est aussi associée à un temps de vol autorisé.
Par suite et préalablement à l'utilisation de l'aéronef, au moins deux listes de pannes sont par exemple établies durant l'étape de préparation, à savoir une liste de pannes du premier niveau associant 10 which represents a third level corresponding to the third aforesaid step Consequently, the first sub-level is notably conferred on major breakdowns affecting the control of the internal combustion engine, engine operating with minimal degradation due to fault treatment. The second sub-level includes the failures leading to loss of control of the fuel meter and therefore to the loss of the power developed by the heat engine.
Furthermore, first-level failures having no impact on the controllability of the aircraft, the flight is likely to be authorized for some time before being repaired.
Therefore, the manufacturer allocates an authorized flight time before repair at least for each first level breakdown.
Eventually, at least one second level failure is also associated with an authorized flight time.
Following and prior to the use of the aircraft, at least two lists of breakdowns are for example established during the stage of preparation, i.e. a list of first-level failures associating

11 chaque panne de premier niveau à un temps de vol autorisé et une liste de pannes du second niveau associant éventuellement au moins une panne de second niveau à un temps de vol autorisé. Ces listes de pannes sont mémorisées et embarquées dans l'aéronef.
Lors de l'utilisation de l'aéronef, les équipements de l'aéronef examinent le fonctionnement de l'installation motrice durant l'étape de détection de pannes.
Si au moins une panne survient, les équipements de l'aéronef déterminent la nature de la panne à savoir le niveau de la panne en utilisant les listes de pannes mémorisées et embarquées dans l'aéronef.
Enfin, si aucune panne détectée n'est une panne de second niveau, un afficheur signale la survenue d'au moins une panne de premier niveau. Le vol peut alors être poursuivi au moins pendant une durée prédéterminée par le constructeur avant que la panne de l'aéronef ne soit réparée.
Par exemple, les voies de calcul d'un calculateur peuvent être reliées à un capteur de température extérieure du système avionique.
Une panne de premier niveau peut alors correspondre à la perte de l'information transmise par le capteur de température. Si une telle panne se produit, le vol peut être poursuivi pendant au moins la durée prédéterminée.
Un premier degré de signalement consiste donc à signaler la présence le cas échéant de pannes de premier niveau.
Lorsqu'un message est affiché pour signaler la présence d'au moins une panne de premier niveau, les équipements de l'aéronef 11 each first level failure to an authorized flight time and a list of second level failures possibly associating at least a second level failure at an authorized flight time. These lists failures are memorized and loaded into the aircraft.
When operating the aircraft, aircraft equipment examine the operation of the powerplant during the stage fault detection.
If at least one failure occurs, the aircraft equipment determine the nature of the failure, i.e. the level of the failure in using the fault lists memorized and embedded in the aircraft.
Finally, if no failure detected is a failure of second level, a display indicates the occurrence of at least one failure of first level. The flight can then be continued for at least one duration predetermined by the manufacturer before the breakdown of the aircraft is repaired.
For example, the calculation channels of a computer can be connected to an exterior temperature sensor of the avionics system.
A first level failure can then correspond to the loss of the information transmitted by the temperature sensor. If such failure occurs, the flight can be continued for at least the predetermined duration.
A first level of reporting therefore consists in reporting the presence, if any, of first-level faults.
When a message is displayed indicating the presence of minus a first level failure, the equipment of the aircraft

12 annoncent la présence d'une ou plusieurs pannes de premier niveau.
Le pilote ne sait pas à ce stade quelles sont les pannes de premier niveau ni leur nombre. Toutes les pannes de premier niveau peuvent être présentes en même temps.
Néanmoins, le pilote sait que dans ce cas de figure le vol reste possible pendant au moins la durée prédéterminée.
Par contre, une panne de second niveau peut éventuellement conduire à l'interdiction du vol, à minima en présence de passagers.
Un deuxième degré de signalement consiste à examiner la nature individuelle des pannes pour déterminer si les pannes autorisent un temps de vol supérieur à la durée prédéterminée.
Le document ARP5107 propose de déterminer un temps de vol autorisé si une panne se produit en fonction d'un taux d'occurrence de pannes. Le document EP 1444658 propose d'établir en vol un temps de vol prédit.
L'invention suit une autre stratégie. Cette invention propose de classer les pannes pour déterminer si une panne est une panne mineure qui n'a pas un impact sur la pilotabilité de l'aéronef. La présence de pannes mineures de ce type n'entraîne pas l'immobilisation directe de l'aéronef, l'aéronef pouvant encore voler au moins pendant la durée prédéterminée.
Dans le cadre d'une mission dite Offshore en langue anglaise, cette fonction permet à un pilote de ramener l'aéronef vers sa base originelle en cas de pannes mineures, et n'oblige pas l'aéronef à rester en mer par exemple. 12 announce the presence of one or more first level faults.
The pilot does not know at this stage what the first failures are.
level nor their number. All first level failures can be present at the same time.
Nevertheless, the pilot knows that in this case the flight remains possible for at least the predetermined duration.
On the other hand, a second level failure can possibly lead to the prohibition of the flight, at least in the presence of passengers.
A second level of reporting consists of examining the individual nature of the failures to determine whether the failures authorize a flight time greater than the predetermined duration.
Document ARP5107 proposes to determine a flight time allowed if a failure occurs based on an occurrence rate breakdowns. The document EP 1444658 proposes to establish in flight a predicted flight time.
The invention follows another strategy. This invention provides classify failures to determine if a failure is a failure minor that does not impact the controllability of the aircraft. The presence of minor faults of this type does not entail the direct immobilization of the aircraft, the aircraft still being able to fly at least for the predetermined duration.
As part of a so-called Offshore mission in language English, this function allows a pilot to return the aircraft to its original base in the event of minor breakdowns, and does not oblige the aircraft to remain at sea, for example.

13 Ce procédé peut alors augmenter la disponibilité de l'aéronef dans le cadre de pannes mineures.
De plus, ce procédé est facilement utilisable pour un pilote car le pilote n'a pas à effectuer une analyse des pannes présentes. Le simple affichage des pannes de premier niveau permet au pilote de savoir que l'aéronef est au moins à même de voler pendant la durée prédéterminée.
Ce procédé peut de plus comporter une ou plusieurs des caractéristiques additionnelles qui suivent.
Par exemple, chaque panne est à choisir dans une liste comprenant :
- une panne provoquant l'absence de transmission d'une desdites informations par le système de mesure à au moins une voie de calcul, - une panne provoquant la transmission au calculateur d'une information par le système de mesure ayant une valeur identifiée comme étant anormale, - une panne provoquant la transmission par le système de mesure d'une première valeur à une voie de calcul ne correspondant pas à une deuxième valeur transmise à l'autre voie de calcul pour une même information.
On entend donc par panne , un incident réel empêchant par exemple la transmission d'une information au calculateur du système de gestion, ou la transmission d'une information erronée ou incohérente avec une autre information. 13 This method can then increase the availability of the aircraft in the event of minor breakdowns.
In addition, this method is easily usable for a pilot because the pilot does not have to carry out an analysis of the faults present. the simple display of first level faults allows the pilot to knowing that the aircraft is at least able to fly for the duration predetermined.
This method may further comprise one or more of additional features that follow.
For example, each breakdown is to be chosen from a list including:
- a breakdown causing the absence of transmission of a of said information by the measurement system to at least one calculation way, - a fault causing the transmission to the computer of a information by the measurement system having a value identified as abnormal, - a failure causing the transmission by the system of measurement of a first value to a calculation channel does not match a second value passed to the other calculation method for the same information.
We therefore understand by failure, a real incident preventing by example the transmission of information to the computer of the system of management, or the transmission of erroneous information or inconsistent with other information.

14 Le constructeur mémorise alors durant l'étape de préparation toutes les pannes répondant à au moins un des critères précédents.
Par ailleurs, une panne de premier niveau sans impact sur le pilotage est une panne ne modifiant pas le fonctionnement dudit moteur.
A l'inverse, une panne de second niveau ayant un impact sur le pilotage est une panne générant un dysfonctionnement du système de gestion nécessitant la mise en oeuvre d'au moins une procédure décrite dans un manuel de vol.
Selon un autre aspect, la durée prédéterminée est inférieure ou égale à chaque temps de vol autorisé.
En outre, la durée prédéterminée correspond à la durée nécessaire pour effectuer une mission et retourner à un point de départ.
A titre illustratif, lorsqu'un aéronef se dirige vers une plateforme en mer en partant d'une base terrestre originelle, le pilote sait que l'aéronef peut atteindre la plateforme et revenir vers la base originelle.
Dès lors, la durée prédéterminée peut être égale à 5 heures.
Par ailleurs, une liste de valeurs pouvant être assignées à un temps de vol autorisé est établie, chaque valeur de ladite liste de valeurs étant associée à un degré de criticité d'une panne, durant l'étape de préparation, on peut déterminer le degré de criticité de chaque panne qui est associée à un temps de vol autorisé et on affecte au temps de vol autorisé pour une panne examinée la valeur correspondant au degré de criticité de cette panne examinée.

Selon cette variante, le constructeur établit une liste de valeurs susceptibles de constituer un temps de vol autorisé.
Par exemple, un temps de vol autorisé peut être égal à une des valeurs suivantes : 100 heures, 50 heures, 15 heures et la durée 5 prédéterminée.
Chaque valeur est associée à un degré de criticité. Selon l'exemple précédent, le premier degré de criticité est alors associé à
un temps de vol autorisé égal à la durée prédéterminée, le deuxième degré de criticité étant associé à un temps de vol autorisé égal à 15 10 heures, le troisième degré de criticité étant associé à un temps de vol autorisé égal à 50 heures, le quatrième degré de criticité étant associé à un temps de vol autorisé égal à 100 heures.
Pour chaque panne à associer à un temps de vol autorisé, le constructeur détermine un degré de criticité pour déterminer le temps 14 The manufacturer then memorizes during the preparation stage all failures meeting at least one of the preceding criteria.
Furthermore, a first-level failure with no impact on the control is a failure that does not modify the operation of said engine.
Conversely, a second level failure having an impact on the control is a failure generating a malfunction of the control system management requiring the implementation of at least one procedure described in a flight manual.
According to another aspect, the predetermined duration is less than or equal to each authorized flight time.
Furthermore, the predetermined duration corresponds to the duration necessary to complete a mission and return to a point of departure.
By way of illustration, when an aircraft is heading towards a platform at sea from an original land base, the pilot knows that the aircraft can reach the platform and return to the base original.
Therefore, the predetermined duration can be equal to 5 hours.
In addition, a list of values that can be assigned to a authorized flight time is established, each value of said list of values being associated with a degree of criticality of a breakdown, during the preparation stage, it is possible to determine the degree of criticality of each failure which is associated with an authorized flight time and we assigns to the authorized flight time for a failure examined the value corresponding to the degree of criticality of this failure examined.

According to this variant, the constructor establishes a list of values likely to constitute authorized flight time.
For example, an authorized flight time may be equal to one of the following values: 100 hours, 50 hours, 15 hours and duration 5 predetermined.
Each value is associated with a degree of criticality. According to previous example, the first degree of criticality is then associated with an authorized flight time equal to the predetermined duration, the second degree of criticality being associated with an authorized flight time equal to 15 10 hours, the third degree of criticality being associated with a flight time authorized equal to 50 hours, the fourth degree of criticality being associated with an authorized flight time equal to 100 hours.
For each failure to be associated with an authorized flight time, the manufacturer determines a degree of criticality to determine the time

15 de vol autorisé à associer à cette panne.
Le degré de criticité peut être défini par rapport aux conséquences opérationnelles de la panne examinée et à la probabilité de la perte de la fonction motrice suite à la panne examinée. Ce degré de criticité est déterminé au cours d'une analyse dite analyse AMDEC bien connue de l'homme du métier .
L'acronyme AMDEC correspond à l'expression Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité .
L'invention peut alors prévoir non pas un mais deux degrés de signalement de pannes. 15 flights authorized to be associated with this failure.
The degree of criticality can be defined in relation to the operational consequences of the breakdown examined and probability of loss of motor function following failure examined. This degree of criticality is determined during an analysis so-called FMECA analysis well known to those skilled in the art.
The acronym FMECA corresponds to the expression Analyze des Modes of Failure, their Effects and their Criticality .
The invention can then provide not one but two degrees of fault reporting.

16 Lors de la mise en oeuvre du procédé, le premier degré de signalement consiste par exemple à signaler la présence de pannes de premier niveau.
Le deuxième degré de signalement consiste à présenter au moins une information pour déterminer si les temps de vol autorisé
des pannes survenues permettent de voler durant une durée totale supérieure à la durée prédéterminée. Cette durée totale est alors égale au temps de vol autorisée le plus faible pour l'ensemble des pannes survenues.
A titre d'exemple, si deux pannes sont associées respectivement à deux temps de vol autorisés de 50 heures et 100 heures, l'aéronef peut voler 50 heures avant d'être réparé.
Eventuellement, un message signale la présence de pannes de premier niveau et le temps de vol autorisé le plus faible.
Les degrés de signalement peuvent aussi être mis en oeuvre successivement.
Par exemple, durant une étape d'affinage du temps de vol autorisé avant réparation, on affiche une liste détaillée des pannes survenues, le temps de vol restant avant réparation étant égal au temps de vol le plus bas relatif aux pannes survenues.
La liste détaillée des pannes présentes doit être analysée par un opérateur.
Selon un premier degré de signalement, la présence de pannes de premier niveau est signalée. 16 During the implementation of the method, the first degree of signaling consists for example of signaling the presence of faults first level.
The second level of reporting consists of presenting to the less information to determine whether the authorized flight times failures that have occurred allow flying for a total duration longer than the predetermined time. This total duration is then equal to the shortest authorized flight time for all of the failures occurred.
For example, if two failures are associated respectively at two authorized flight times of 50 hours and 100 hours, the aircraft can fly 50 hours before being repaired.
If necessary, a message signals the presence of faults in the first level and the lowest authorized flight time.
Reporting levels can also be implemented successively.
For example, during a time-of-flight refinement step authorized before repair, a detailed list of faults is displayed occurred, the flight time remaining before repair being equal to the lowest flight time relative to failures that have occurred.
The detailed list of faults present must be analyzed by an operator.
According to a first level of reporting, the presence of faults first level is reported.

17 Selon le deuxième degré de signalement, les pannes détectées sont affichées, en étant par exemple classées en fonction de leur degré de criticité.
Par ailleurs, durant l'étape d'affichage, on peut signaler à un pilote qu'au moins une panne de premier niveau est survenue en affichant une unique formulation générique.
L'expression formulation générique fait référence à une formulation annonçant la présence d'au moins une panne de premier niveau sans détailler les pannes.
Toutes les pannes de premier niveau sont regroupées sous un nom générique et présentées au pilote.
Le message affiché peut alors comprendre le temps de vol autorisé minimal.
En outre, durant l'étape d'affichage, on peut signaler à un pilote qu'au moins une panne de second niveau est survenue si au moins une panne détectée est une panne de second niveau.
Si le message affiché correspond à des pannes majeures de second niveau, le pilote sait que l'aéronef ne peut pas repartir en vol tant que les actions de maintenance n'ont pas été effectuées.
Par ailleurs et durant l'étape de préparation, au moins une panne de second niveau peut être associée à un temps de vol autorisé, le vol étant uniquement autorisé en l'absence de passager.
Selon cette variante, certaines pannes majeures peuvent aussi donner lieu à une autorisation de vol à durée limitée. Néanmoins et dans ce cas de figure, le vol est limité à un vol technique effectué
sans passager. 17 According to the second level of reporting, the failures detected are displayed, for example being classified according to their degree of criticality.
Furthermore, during the display stage, it is possible to signal to a driver that at least one first-level failure has occurred in displaying a single generic wording.
The phrase generic formulation refers to a formulation announcing the presence of at least one first level failure without detailing failures.
All first level failures are grouped under a generic name and presented to the pilot.
The displayed message can then include the flight time minimum allowed.
In addition, during the display stage, it is possible to signal to a pilot that at least one second level failure has occurred if at least a detected fault is a second level fault.
If the message displayed corresponds to major failures of second level, the pilot knows that the aircraft cannot fly again until the maintenance actions have been carried out.
Furthermore and during the preparation stage, at least one second level failure can be associated with flight time authorized, the flight being only authorized in the absence of a passenger.
According to this variant, some major breakdowns can also give rise to a time-limited authorization to fly. Nevertheless and in this case, the flight is limited to a technical flight carried out without a passenger.

18 Outre un procédé, l'invention concerne un dispositif de gestion de pannes muni d'au moins un système de gestion d'un moteur d'un aéronef pour déterminer si l'aéronef peut voler suite à au moins une panne.
Le système de gestion comprend au moins un calculateur muni de deux voies de calcul ainsi qu'un doseur de carburant et un système de mesure, au moins une voie de commande reliant chaque voie de calcul à un doseur de carburant, ledit système de mesure comportant une pluralité d'organes de mesure, chaque organe de mesure étant relié à chaque voie de calcul pour transmettre au moins une information relative au fonctionnement de l'aéronef à chaque voie de calcul, chaque organe de mesure étant à choisir dans une liste incluant au moins un organe d'un système avionique de l'aéronef et un organe de mesure mesurant au moins une information relative à un paramètre de surveillance du moteur.
Le dispositif de gestion de pannes applique alors le procédé
décrit précédemment, ledit dispositif de gestion de pannes comportant :
- une unité de mémoire mémorisant chaque panne identifiée lors de l'étape de préparation, ainsi que le niveau de chaque panne et le temps de vol autorisé pour au moins les pannes du premier niveau, - une unité de traitement mettant en oeuvre l'étape de détection des pannes et l'étape d'évaluation, - une unité d'affichage mettant en oeuvre l'étape d'affichage 18 In addition to a method, the invention relates to a management device failures equipped with at least one engine management system of a aircraft to determine if the aircraft can fly following at least one breakdown.
The management system comprises at least one computer equipped two calculation channels as well as a fuel meter and a measurement system, at least one control channel connecting each computational pathway to a fuel metering device, said measurement system comprising a plurality of measuring members, each measuring member measurement being connected to each calculation channel to transmit at least information relating to the operation of the aircraft on each channel of calculation, each measuring device being to be chosen from a list including at least one member of an avionics system of the aircraft and a measuring device measuring at least one piece of information relating to a motor monitoring parameter.
The fault management device then applies the method previously described, said failure management device including:
- a memory unit memorizing each failure identified during the preparation stage, as well as the level of each failure and the authorized flight time for at least the failures of the first level, - a processing unit implementing the step of failure detection and evaluation stage, - a display unit implementing the display step

19 Le système avionique comprenant une unité de calcul, ladite unité de traitement peut comporter au moins un des équipements suivants : ladite unité de calcul, ledit calculateur du système de gestion.
La mise en oeuvre du procédé peut être réalisée dans le calculateur du système de gestion ou dans une unité de calcul du système avionique ou tout autre calculateur qui dispose de l'intégralité des informations et qui dispose d'un niveau de sécurité
suffisant.
Outre un dispositif de gestion, l'invention concerne un aéronef.
L'aéronef est muni d'au moins un moteur.
Cet aéronef comporte un dispositif de gestion de pannes du type décrit précédemment.
L'invention et ses avantages apparaîtront avec plus de détails dans le cadre de la description qui suit avec des exemples donnés à
titre illustratif en référence aux figures annexées qui représentent :
- la figure 1, un schéma qui illustre un aéronef selon l'invention, et - la figure 2, un schéma qui illustre le procédé selon l'invention.
Les éléments présents dans plusieurs figures distinctes sont affectés d'une seule et même référence.
La figure 1 présente un aéronef 1 selon l'invention.

En particulier, cet aéronef peut comprendre au moins un rotor 2 participant à la sustentation et/ou à la propulsion de l'aéronef.
L'aéronef peut alors être un giravion par exemple.
Par ailleurs, l'aéronef 1 peut comporter une boîte de 5 transmission de puissance 3 entraînant en rotation le rotor 2.
Pour mettre en mouvement la boîte de transmission de puissance 3, l'aéronef comprend une installation motrice 4.
Cette installation motrice 4 est munie d'au moins un moteur 5.
Par commodité, la figure 1 fait apparaître un unique moteur 5.
10 Chaque moteur 5 peut être un moteur thermique, tel qu'un turbomoteur par exemple.
Classiquement, chaque moteur 5 peut être contrôlé par un système de gestion 10, tel qu'un système de type FADEC.
L'expression système de gestion désigne alors un système 15 contrôlant le fonctionnement d'un moteur.
Chaque système de gestion 10 comporte un calculateur de gestion dit plus simplement calculateur 15 . Ce calculateur est du type ECU par exemple.
Dès lors, le calculateur peut être pourvu de deux voies de calcul 19 The avionic system comprising a calculation unit, said processing unit may include at least one of the equipment following: said calculation unit, said computer of the system of management.
The implementation of the method can be carried out in the computer of the management system or in a calculation unit of the avionic system or any other computer that has all the information and which has a level of security sufficient.
In addition to a management device, the invention relates to an aircraft.
The aircraft is equipped with at least one engine.
This aircraft comprises a device for managing failures of the type described above.
The invention and its advantages will appear in more detail as part of the following description with examples given at illustrative title with reference to the appended figures which represent:
- Figure 1, a diagram illustrating an aircraft according to the invention, and - Figure 2, a diagram illustrating the process according to the invention.
The elements present in several distinct figures are assigned a single reference.
Figure 1 shows an aircraft 1 according to the invention.

In particular, this aircraft can comprise at least one rotor 2 contributing to the lift and/or propulsion of the aircraft.
The aircraft can then be a rotorcraft for example.
Furthermore, the aircraft 1 can comprise a box of 5 power transmission 3 rotating the rotor 2.
To set the gearbox in motion power 3, the aircraft includes a power plant 4.
This power plant 4 is provided with at least one motor 5.
For convenience, Figure 1 shows a single motor 5.
10 Each engine 5 can be a heat engine, such as a turbine engine for example.
Conventionally, each motor 5 can be controlled by a management system 10, such as a FADEC type system.
The expression management system then designates a system 15 controlling the operation of a motor.
Each management system 10 comprises a calculator of management simply says calculator 15 . This calculator is ECU type for example.
Therefore, the computer can be provided with two calculation channels

20 16, 17 distinctes par sécurité. Les voies de calcul 16, 17 communiquent entre elles.
Chaque voie de calcul 16, 17 peut alors être respectivement munie d'un processeur 16', 17' ou équivalent, et d'une unité de stockage 18, 18' apte à stocker des informations et des instructions. 20 16, 17 separate for safety. Calculation channels 16, 17 communicate with each other.
Each calculation channel 16, 17 can then be respectively equipped with a 16', 17' or equivalent processor, and a storage 18, 18' capable of storing information and instructions.

21 L'unité de stockage peut stocker des segments de code d'un logiciel et des valeurs de variables.
Chaque voie de calcul peut communiquer avec un système avionique 50 de l'aéronef. L'expression système avionique fait référence à l'ensemble des équipements électroniques, électriques et informatiques qui aident au pilotage des aéronefs, à l'exception des systèmes de gestion.
En particulier, chaque voie de calcul peut être reliée à un système d'alimentation électrique 55.
De plus, chaque voie de calcul peut communiquer avec des équipements 51, 52 du système avionique par le biais d'un système d'interfaces 19.
De plus, chaque système de gestion 10 possède un doseur de carburant 20. Le doseur de carburant 20 contrôle le débit de carburant transmis au moteur 5 contrôlé par ce système de gestion 10.
Dès lors, chaque voie de calcul 16, 17 communique avec le doseur de carburant par une voie de commande 21, 22 pour positionner le doseur de carburant dans la position adéquate.
Pour notamment déterminer cette position adéquate, chaque système de gestion comporte un système de mesure 30. L'expression système de mesure fait référence à un système déterminant la valeur de paramètres utilisés pour contrôler le moteur 5. Ces paramètres incluent au moins une information relative au fonctionnement de l'aéronef, et en particulier le fonctionnement du moteur contrôlé. 21 The storage unit can store code segments of software and variable values.
Each calculation channel can communicate with a system avionics 50 of the aircraft. The expression avionics system makes reference to all electronic, electrical and computers that assist in the piloting of aircraft, with the exception of management systems.
In particular, each calculation channel can be linked to a power supply system 55.
In addition, each computational channel can communicate with equipment 51, 52 of the avionics system through a system of interfaces 19.
In addition, each management system 10 has a doser of fuel 20. The fuel meter 20 controls the flow of fuel transmitted to engine 5 controlled by this management system 10.
Consequently, each calculation channel 16, 17 communicates with the fuel meter by a control channel 21, 22 for position the fuel meter in the correct position.
In particular, to determine this adequate position, each management system includes a measurement system 30. The expression measurement system refers to a system that determines the value of parameters used to control motor 5. These parameters include at least one piece of information relating to the operation of the aircraft, and in particular the operation of the motor controlled.

22 Ce système de mesure 30 est pourvu d'une pluralité d'organes de mesure 31, 52 usuels reliés à chaque voie de calcul. Chaque organe de mesure est relié à chaque voie de calcul 16, 17 par une voie de liaison 33.
Dès lors, le système de mesure peut comporter au moins un organe de mesure 31 mesurant au moins une information relative à un paramètre de surveillance du moteur 5.
Par exemple, au moins un organe de mesure 31 est à choisir dans un catalogue comprenant : un organe de mesure de vitesse mesurant une vitesse de rotation d'un générateur de gaz du moteur, un organe de mesure de température mesurant une température à
l'intérieur du moteur, un couplemètre mesurant un couple développé
par le moteur.
En outre, chaque voie de calcul peut recevoir des informations provenant d'organes de mesure 52 du système avionique, au travers du système d'interface 19 par exemple.
En particulier, des organes de mesure 52 peuvent mesurer une pression extérieure PO et une température extérieure TO de l'air ambiant régnant à l'extérieur de l'aéronef.
Par ailleurs, l'aéronef comporte un dispositif de gestion de pannes 40 pour gérer des pannes de l'installation motrice.
Ce dispositif de gestion de pannes 40 inclut chaque système de gestion 10, et éventuellement au moins un équipement du système avionique. 22 This measurement system 30 is provided with a plurality of members of measurement 31, 52 usual connected to each channel of calculation. Each measuring device is connected to each calculation channel 16, 17 by a connecting track 33.
Consequently, the measuring system can include at least one measuring device 31 measuring at least one item of information relating to a motor monitoring parameter 5.
For example, at least one measuring device 31 is to be chosen in a catalog comprising: a speed measuring device measuring a rotational speed of a gas generator of the engine, a temperature measuring device measuring a temperature at inside the engine, a torque meter measuring a developed torque by the engine.
In addition, each calculation channel can receive information coming from measurement members 52 of the avionic system, through of the interface system 19 for example.
In particular, measuring devices 52 can measure a external pressure PO and an external air temperature TO
ambient outside the aircraft.
Furthermore, the aircraft comprises a device for managing failures 40 to manage failures of the power plant.
This failure management device 40 includes each system of management 10, and possibly at least one piece of equipment in the system avionics.

23 Dès lors, le dispositif de gestion de pannes 40 comporte une unité de traitement 60 coopérant avec une unité de mémoire 65 et une unité d'affichage 70.
Chaque calculateur peut faire partie de l'unité de traitement 60, l'unité de mémoire 65 comportant les unités de stockage 18 de ce calculateur.
De même, l'unité de traitement 60 peut comprendre une unité de calcul 51 du système avionique. Une telle unité de calcul peut comporter un processeur 53 ou équivalent, et une unité de stockage 54. L'unité de mémoire 65 peut comporter l'unité de stockage 54 de l'unité de calcul.
En outre, le dispositif de gestion comporte une unité d'affichage 70 reliée à l'unité de traitement. L'unité d'affichage 70 est notamment munie d'un écran 71. Une telle unité d'affichage peut comprendre un écran multifonction, tel que l'écran multifonction connu qui affiche une liste dite MASTER LIST en langue anglaise. Une telle MASTER LIST affiche usuellement les informations des pannes signalées par les systèmes de l'aéronef.
Le dispositif de gestion de pannes 40 applique le procédé selon l'invention illustré sur la figure 2.
Durant une étape de préparation, on mémorise une liste de pannes dans l'aéronef avant l'utilisation de l'aéronef. Cette liste de pannes classifie des pannes du système de gestion susceptibles de se produire, chaque panne étant associée à un niveau de panne et éventuellement à un temps de vol autorisé avant qu'une réparation ne doive être entreprise. 23 Consequently, the failure management device 40 comprises a processing unit 60 cooperating with a memory unit 65 and a display unit 70.
Each computer can be part of the processing unit 60, the memory unit 65 comprising the storage units 18 of this calculator.
Likewise, the processing unit 60 can comprise a processing unit calculation 51 of the avionics system. Such a computing unit can include a processor 53 or equivalent, and a storage unit 54. The memory unit 65 may comprise the storage unit 54 of the calculation unit.
Furthermore, the management device comprises a display unit 70 connected to the processing unit. The display unit 70 is in particular provided with a screen 71. Such a display unit can comprise a multifunction display, such as the known multifunction display that displays a list called MASTER LIST in English. Such a MASTER LIST usually displays fault information reported by aircraft systems.
The fault management device 40 applies the method according to the invention illustrated in Figure 2.
During a preparation step, a list of failures in the aircraft before the use of the aircraft. This list of failures classifies failures of the management system likely to occur, each failure being associated with a level of failure and possibly at an authorized flight time before a repair is must be undertaken.

24 Par exemple, l'étape de préparation STPA peut être décomposée en une étape d'analyse STP1, une étape de classification STP2, et une étape d'attribution d'un temps de vol autorisé STP3.
Durant l'étape d'analyse STP1, au moins deux pannes du système de gestion susceptibles de se produire sont identifiées.
Dès lors, le constructeur étudie les divers équipements du système de gestion pour réaliser une analyse de pannes.
En particulier, toutes les pannes qui provoquent l'absence de transmission d'une information par le système de mesure 30 à au moins une voie de calcul 16, 17 peuvent être recensées.
De plus, les pannes qui provoquent la transmission à chaque calculateur 15 d'une information par le système de mesure 30 ayant une valeur identifiée comme étant anormale, peuvent être recensées.
Une valeur est anormale par exemple si cette valeur n'est pas comprise dans une plage de valeurs théoriques. Par exemple, si la température déterminée par un capteur n'est pas comprise dans une plage prédéterminée, le calculateur recevant cette information en déduit la présence d'une panne.
En outre, les pannes qui provoquent la transmission par le système de mesure 30 d'une première valeur à une voie de calcul 16 ne correspondant pas à une deuxième valeur transmise à l'autre voie de calcul 17 pour une même information, peuvent être recensées.
Par exemple, la valeur de la température mesurée par un capteur de température reçue par la première voie de calcul 16 est différente de la valeur de cette même température reçue par la deuxième voie de calcul. Les vois de calcul 16, 17 communiquant entre elles pour vérifier la cohérence des informations reçues, le calculateur en déduit la présence d'une panne.26 Par ailleurs, durant l'étape de classification STP2 réalisée pour 5 chacune desdites pannes, on associe chaque panne à un niveau de panne.
Ce procédé suggère d'établir un premier niveau de panne et un second niveau de panne ayant des impacts différents sur l'aéronef.
Les pannes du second niveau sont plus sévères que les pannes du 10 premier niveau.
En effet, les pannes du premier niveau correspondent à des pannes n'ayant aucun impact sur la pilotabilité de l'aéronef. Par exemple, une panne sans impact sur le pilotage est une panne ne modifiant pas le fonctionnement des moteurs 5.
15 A l'inverse, une panne ayant un impact sur le pilotage est une panne générant un dysfonctionnement du système de gestion 10. Une telle panne nécessite la mise en oeuvre d'au moins une procédure décrite dans un manuel de vol.
Eventuellement, les pannes du second niveau peuvent être 20 décomposées en une pluralité de sous-niveaux en fonction de leur impact sur le fonctionnement du moteur et de l'aéronef.
Le constructeur liste alors toutes les pannes recensées et affecte à chaque panne à un niveau de panne.
Durant une étape d'attribution d'un temps de vol autorisé STP3, 24 For example, the STPA preparation step can be broken down into an analysis step STP1, a STP2 classification, and a flight time allocation step allowed STP3.
During the analysis step STP1, at least two failures of the management system likely to occur are identified.
From then on, the manufacturer studied the various equipment of the management system to perform failure analysis.
In particular, all failures which cause the absence of transmission of information by the measurement system 30 to at least least one calculation channel 16, 17 can be listed.
In addition, failures that cause the transmission at each computer 15 of information by the measurement system 30 having a value identified as abnormal, can be listed.
A value is abnormal, for example if this value is not within a range of theoretical values. For example, if the temperature determined by a sensor is not included in a predetermined range, the computer receiving this information by deduces the presence of a failure.
In addition, failures that cause transmission through the measurement system 30 from a first value to a calculation channel 16 not corresponding to a second value transmitted to the other channel of calculation 17 for the same information, can be listed.
For example, the temperature value measured by a temperature sensor received by the first calculation channel 16 is different from the value of this same temperature received by the second way of calculation. Calculation voices 16, 17 communicating between them to check the consistency of the information received, the computer deduces the presence of a fault.26 Moreover, during the classification step STP2 carried out for 5 each of said failures, each failure is associated with a level of breakdown.
This method suggests establishing a first level of failure and a second level of failure having different impacts on the aircraft.
The second level failures are more severe than the failures of the 10 first level.
In fact, first-level failures correspond to failures having no impact on the controllability of the aircraft. By example, a failure with no impact on piloting is a failure that does not modify the operation of the motors 5.
15 Conversely, a breakdown having an impact on piloting is a failure generating a malfunction of the management system 10. A
such a failure requires the implementation of at least one procedure described in a flight manual.
Eventually, the second level failures can be 20 broken down into a plurality of sub-levels according to their impact on engine and aircraft operation.
The manufacturer then lists all the failures identified and assigns each failure to a failure level.
During a step for allocating an authorized flight time STP3,

25 le constructeur affecte en outre, au moins chaque panne du premier niveau à un temps de vol autorisé. Ce temps de vol autorisé 25 the manufacturer also affects at least each failure of the first level at an authorized flight time. This authorized flight time

26 correspond à la durée pendant laquelle l'aéronef peut voler si la panne examinée se produit.
Eventuellement, un temps de vol autorisé est aussi affecté à
des pannes du second niveau.
Par ailleurs, le temps de vol autorisé est supérieur ou égal à
une durée prédéterminée. Ainsi, chaque panne associée à un temps de vol autorisé est susceptible de ne pas entraver le vol pendant au moins la durée prédéterminée.
Cette durée prédéterminée peut correspondre à la durée nécessaire pour effectuer une mission et retourner à un point de départ, en étant par exemple sensiblement égale à 5 heures.
En outre, le temps de vol autorisé affecté à une panne peut être choisi dans une liste préétablie par le constructeur.
Par exemple, le procédé suggère d'établir une liste de valeurs pouvant être assignées à un temps de vol autorisé. Chaque valeur de cette liste de valeurs correspond à un degré de criticité d'une panne.
Ce degré de criticité est défini par rapport aux conséquences opérationnelles de la panne examinée et à la probabilité de la perte de la fonction motrice suite à la panne examinée.
Dès lors, durant l'étape d'attribution d'un temps de vol autorisé
STP3, le procédé propose de déterminer le degré de criticité de chaque panne.
Le constructeur étudie la panne examinée, et lui affecte un degré de criticité en fonction des conséquences de cette panne. Dès lors, le constructeur affecte à la panne examinée le temps de vol autorisé au degré de criticité de cette panne examinée. 26 corresponds to the duration during which the aircraft can fly if the examined failure occurs.
If necessary, an authorized flight time is also allocated to second level failures.
In addition, the authorized flight time is greater than or equal to a predetermined duration. Thus, each failure associated with a time permitted flight is likely not to interfere with flight for at least minus the predetermined duration.
This predetermined duration may correspond to the duration necessary to complete a mission and return to a point of departure, being for example substantially equal to 5 hours.
In addition, the authorized flight time allocated to a breakdown may be chosen from a list pre-established by the manufacturer.
For example, the method suggests establishing a list of values that can be assigned to an authorized flight time. Each value of this list of values corresponds to a degree of criticality of a breakdown.
This degree of criticality is defined in relation to the consequences of the fault examined and the probability of the loss of the motor function following the breakdown examined.
Therefore, during the step of allocating an authorized flight time STP3, the process proposes to determine the degree of criticality of each failure.
The manufacturer studies the failure examined, and assigns it a degree of criticality according to the consequences of this breakdown. From then, the manufacturer assigns to the failure examined the flight time authorized to the degree of criticality of this failure examined.

27 A l'issue de l'étape de préparation, les pannes du système de gestion susceptibles de se produire sont listées, chaque panne étant associée à un niveau de panne voire à un temps de vol autorisé.
Ces pannes ainsi que leur niveau de panne et le temps de vol autorisé correspondant sont mémorisés dans l'unité de mémoire. Par exemple, au moins une base de données recense les pannes et les informations associées.
A l'issue de l'étape de préparation, l'aéronef peut être utilisé
lors d'une étape fonctionnelle STPB. L'étape fonctionnelle STPB
réalise itérativement et successivement les étapes suivantes.
Durant une étape de détection STP4, l'unité de traitement 60 surveille le fonctionnement des systèmes de gestion pour détecter d'éventuelles pannes.
Si une panne est détectée, durant une étape d'évaluation STP5, l'unité de traitement 60 sollicite l'unité de mémoire 65 pour déterminer le niveau de panne de chaque panne détectée.
Dès lors durant une étape d'affichage STP6, l'unité de traitement 60 sollicite l'unité d'affichage 70 pour signaler qu'au moins une panne de premier niveau est survenue si aucune panne détectée n'est une panne de second niveau. Par exemple, un message est affiché dans la liste dite MASTER LIST .
Par exemple, l'écran 71 affiche une unique formulation générique tel que panne de premier niveau pour signaler la présence d'au moins une panne de premier niveau, si seules des pannes de premier niveau sont apparues. 27 At the end of the preparation stage, breakdowns of the management likely to occur are listed, with each failure being associated with a level of failure or even an authorized flight time.
These failures as well as their failure level and flight time corresponding authorized are stored in the memory unit. By example, at least one database lists breakdowns and associated information.
At the end of the preparation stage, the aircraft can be used during a functional step STPB. STPB functional stage performs iteratively and successively the following steps.
During a detection step STP4, the processing unit 60 monitors the operation of management systems to detect possible breakdowns.
If a failure is detected, during an evaluation step STP5, the processing unit 60 requests the memory unit 65 to determine the failure level of each detected failure.
From then on during a display step STP6, the unit of processing 60 requests the display unit 70 to signal that at least a first level failure has occurred if no failure detected is a second level failure. For example, a message is displayed in the list called MASTER LIST .
For example, screen 71 displays a single formulation generic such as first level failure to signal the presence of at least one first-level failure, if only first-level failures have appeared.

28 Si seules des pannes de premier niveau sont apparues, le temps prédéterminé de chaque panne de premier niveau étant au moins égal à la durée prédéterminée, le pilote sait que le vol peut être poursuivi au moins pendant la durée prédéterminée.
Dès lors, le pilote peut se consacrer au pilotage de l'aéronef sans chercher à connaître la nature des pannes.
Toutefois, durant une étape d'affinage STP7 du temps de vol autorisé avant réparation, l'unité de traitement peut afficher une liste détaillée des pannes survenues sur requête d'un pilote pour déterminer si le temps de vol autorisé peut être supérieur à la durée prédéterminée.
De plus, l'unité de traitement peut afficher une durée affinée de vol pouvant être réalisée, cette durée affinée étant égale au temps de vol le plus bas des pannes survenues.
Selon une variante, le message signalant la présence d'au moins une panne de premier niveau contient cette durée affinée.
Le cas échéant, l'unité de traitement sollicite l'unité d'affichage pour signaler à un pilote qu'au moins une panne de second niveau est survenue si au moins une panne détectée est une panne de second niveau.
Si la panne de second niveau est associée à un temps de vol autorisé, le vol est éventuellement autorisé en l'absence de passager uniquement durant ce temps de vol autorisé avant qu'une réparation soit entreprise.
Naturellement, la présente invention est sujette à de nombreuses variations quant à sa mise en oeuvre. Bien que plusieurs 28 If only first-level failures have occurred, the predetermined time of each first level failure being at the least equal to the predetermined duration, the pilot knows that the flight can be continued at least for the predetermined duration.
From then on, the pilot can devote himself to piloting the aircraft without trying to find out the nature of the breakdowns.
However, during a time-of-flight refinement step STP7 authorized before repair, the processing unit can display a list detail of failures that occurred at the request of a pilot to determine whether the authorized flight time may be greater than the duration predetermined.
In addition, the processing unit can display a refined duration of flight that can be performed, this refined duration being equal to the time of lowest flight of breakdowns that occurred.
According to a variant, the message indicating the presence of at least one first-level failure contains this refined duration.
If necessary, the processing unit requests the display unit to signal to a pilot that at least one second level failure is occurred if at least one detected failure is a failure of second level.
If the second level failure is associated with a flight time authorised, the flight may be authorized in the absence of a passenger only during this authorized flight time before a repair either business.
Of course, the present invention is subject to many variations in its implementation. Although several

29 modes de réalisation aient été décrits, on comprend bien qu'il n'est pas concevable d'identifier de manière exhaustive tous les modes possibles. Il est bien sûr envisageable de remplacer un moyen décrit par un moyen équivalent sans sortir du cadre de la présente invention. 29 embodiments have been described, it is understood that it is not not conceivable to exhaustively identify all the modes possible. It is of course possible to replace a means described by an equivalent means without departing from the scope of this invention.

Claims

30

1. Failure management process with a management system (10) controlling an engine (5) of an aircraft (1) to determine whether the aircraft (1) can fly following at least one failure, said system of management (10) comprising at least one computer (15) provided with two calculation channels (16, 17) as well as a fuel meter (20) and a measurement system (30), at least one control channel (21, 22) connecting each calculation channel (16, 17) to a fuel meter (20), said measurement system (30) comprising a plurality of measurement (31, 52), each measurement device being connected to each channel calculation (16, 17) for transmitting at least one piece of information relating to the operation of the aircraft at each calculation channel (16, 17), each measuring device being to be chosen from a list including at least at least one measuring device (52) of an avionics system (50) of the aircraft (1) and a measuring device (31) measuring at least one information relating to an engine monitoring parameter (5), characterized in that.
- during a preparation step (STPA), we store in the aircraft at least two failures of the management system likely to occur, each failure being associated with a failure level to be chosen between a first level for a failure having no impact on the piloting of the aircraft (1) and a second level for a failure having an impact on the piloting of the aircraft (1), at least each failure of the first level being associated with a stored authorized flight time following the occurrence of the breakdown and before repair of this breakdown, - during a detection step (STP4) of failures, determines whether at least one of said failures occurs, - during an evaluation step (STP5), the failure level of each failure detected during the step of detection (STP4), - during a display step (STP6), a pilot is informed that at least one first level failure has occurred if no fault detected is a second level fault, the flight can then be continued at least for a period predetermined by the manufacturer regardless of the failure of first level detected.

2. Method according to claim 1, characterized in that each breakdown is to be chosen from a list including:
- a breakdown causing the absence of transmission of a of said information by the measurement system (30) to at least at least one calculation channel (16, 17), - a fault causing transmission to the computer (15) of information by the measurement system (30) having a value identified as abnormal, - a failure causing the transmission by the system of measurement (30) of a first value to a calculation channel (16) not matching a second value transmitted to the other calculation channel (17) for the same information.

3. Method according to any one of claims 1 to 2, characterized in that a failure without impact on piloting is a failure not modifying the operation of said motor (5).

4. Method according to any one of claims 1 to 3, characterized in that a failure having an impact on piloting is a failure generating a malfunction of the management system (10) requiring the implementation of at least one procedure described in a flight manual.

5. Method according to any one of claims 1 to 4, characterized in that said predetermined duration is less than or equal to each authorized flight time.

6. Method according to any one of claims 1 to 5, characterized in that said predetermined duration corresponds to the time needed to complete a mission and return to a point departure.

7. Method according to any one of claims 1 to 6, characterized in that said predetermined duration is equal to 5 time.

8. Method according to any one of claims 1 to 7, characterized in that a list of values assignable to a authorized flight time is established, each value of said list of values being associated with a degree of criticality, during the stage of preparation (STPA), we determine the degree of criticality of each failure associated with an authorized flight time and the time of flight authorized for a failure examined the value corresponding to the degree of criticality of this breakdown examined.

9. Method according to claim 8, characterized in that the degree of criticality is defined with respect to the operational consequences of the breakdown examined and probability of loss of motor function following failure examined.

10. Method according to any one of claims 1 to 9, characterized in that during a refining step (STP7) of the time authorized flight before repair, a detailed list of the failures that have occurred, the flight time remaining before repair being equal the lowest flight time relative to the failures that have occurred.

11. Method according to any one of claims 1 to 10, characterized in that during the step of displaying (STP6), it is signaled to a driver that at least one first-level failure has occurred in displaying a single generic wording.

12. Method according to any one of claims 1 to 11, characterized in that during said step of displaying (STP6), one notifies a pilot that at least one second level failure is occurred if at least one detected failure is a failure of second level.

13. Method according to any one of claims 1 to 12, characterized in that during the preparation step (STPA), at least a second level failure is associated with an authorized flight time, the flight being authorized in the absence of a passenger only.

14. Failure management device (40) provided with at least one management system (10) of an engine (5) of an aircraft (1) for determine if the aircraft (1) can fly following at least one failure, said management system (10) comprising at least one computer (15) provided with two calculation channels (16, 17) as well as a doser of fuel (20) and a measurement system (30), at least one channel of control (21, 22) connecting each calculation channel (16, 17) to a doser fuel (20), said measuring system (30) comprising a plurality of measuring elements (31, 52), each measuring element (31, 52) being connected to each calculation channel (16, 17) to transmit at least one item of information relating to the operation of the aircraft (1) to each calculation channel (16, 17), each measuring device being at choose from a list including at least one measuring device (52) of an avionics system of the aircraft and a measuring device (31) measuring at least one piece of information relating to a parameter of engine monitoring (5), characterized in that said failure management device (40) applies the method according to any one of claims 1 to 13, said failure management device (40) comprising:
- a memory unit (65) configured to store each failure identified during the preparation stage (STPA), as well as the level of each failure and the authorized flight time for at least first level failures, - a processing unit (60) configured to implement performs the failure detection step (STP4) and the step evaluation (STP5), - a display unit (70) configured to implement display stage (STP6).

15.
Fault management device according to claim 14, characterized in that said avionics system (50) comprising a computing unit (51), said processing unit (60) comprises at least one of the following items of equipment: said calculation unit (51), said calculator (15).

16. Aircraft (1) equipped with at least one engine (5), characterized in that said aircraft (1) comprises a device for failure management (40) according to any one of claims 14 at 15.