FR2895074A1

FR2895074A1 - Moniteur fonctionnel pour systeme de gestion de vol

Info

Publication number: FR2895074A1
Application number: FR0513001A
Authority: FR
Inventors: Castaneda Manuel Gutierrez; Guy Deker
Original assignee: Thales SA
Current assignee: Thales SA
Priority date: 2005-12-21
Filing date: 2005-12-21
Publication date: 2007-06-22
Anticipated expiration: 2025-12-21
Also published as: US8838293B2; US20070142981A1; FR2895074B1

Abstract

L'invention concerne un système de gestion de vol pour aéronef qui permet de réaliser des tests des résultats des calculs des principales fonctions d'élaboration des plans de vol et des trajectoires de l'aéronef permettant d'anticiper des erreurs dans cette élaboration, de les présenter à l'équipage en fonction de critères de criticité, de les stocker pour être communiquées et traitées par les équipes de maintenance.

Description

MONITEUR FONCTIONNEL POUR SYSTEME DE GESTION DE VOL La presente invention

s'applique aux systemes de gestion de vol pour aeronefs avec pilote embarque ou non. De tels systemes assurent des fonctions d'assistance au pilotage pour determiner et controler la route optimale a suivre par I'aeronef pour rallier sa destination a partir de son point de depart. Quelle que soit la qualite des methodes de developpement, de test et d'integration utilisees par les fournisseurs de tels systemes et la rigueur des operations de recette et de certification des avionneurs et compagnies aeriennes, it subsiste des bugs logiciels qui n'apparaissent qu'en phase d'exploitation. Les systemes temps reel embarques, tels le systeme de pilotage automatique, sont normalement proteges contre les consequences de tels bugs par un dispositif de test des valeurs instantanees des donnees calculees critiques, d'une part par rapport a des plages de valeurs minimale et maximale, d'autre part en comparant les resultats de la chalne a surveiller avec les resultats d'une chaine identique agissant comme moniteur (principe de redondance classique COM/MON) Les valeurs deficientes entrainent le decrochage du systeme automatique et sa reinitialisation. Cette protection est adaptee pour les systemes dont les donnees calculees sont immediatement utilisees. Elie est cependant insuffisante pour les systemes de gestion de vol constitues de sous-systemes qui produisent des donnees qui peuvent rester latentes pendant un temps long avant d'etre utilisees par une autre fonction ou un autre sous-systeme. Par exemple, la trajectoire horizontale generee par le systeme de gestion du vol a partir d'une suite de legs standards du plan de vol pourra presenter des incoherences susceptibles de porter atteinte a la securite de la trajectoire de I'aeronef si les segments droits d'une longueur superieure a un seuil predetermine ne sont pas superposes ou ne convergent pas vers le leg qui est I'origine de ces segments. Le probleme qui n'est pas resolu par ('art anterieur et qu'a resolu la demanderesse est ('anticipation par les outils de tests et/ou de monitoring des contraintes et criteres a satisfaire pour garantir I'integrite fonctionnelle des resultats de bout en en bout a travers les differents sous-systemes.

A cette fin, la presente invention propose un dispositif d'aide a la navigation d'un aeronef comprenant des modules d'elaboration de plans de vol et de trajectoires dudit aeronef, caracterise en ce qu'il comprend en outre un module de test des donnees en sortie d'un desdits modules par rapport a des conditions determinees par des phases ulterieures d'elaboration desdits plan de vol et trajectoires.

Elie propose egalement un procede d'utilisation dudit dispositif.

L'invention presente en outre I'avantage de permettre la generation d'alertes anticipees pour ('equipage et une memorisation des incidents avec leur contexte d'occurrence a des fins de communication au fournisseur de systeme et/ou a I'exploitant pour maintenance. L'invention sera mieux comprise et ses differentes caracteristiques et avantages ressortiront de la description qui suit de plusieurs exemples de realisation et de ses figures annexees dont : La figure 1 represente ('architecture fonctionnelle d'un systeme de gestion de vol incorporant ('invention ; La figure 2 represente ('architecture fonctionnelle d`un moniteur de FMS selon !'invention ; La figure 3 montre I'organigramme des traitements dans un premier mode de realisation de !'invention; - La figure 4 illustre I'organigramme des traitements dans un deuxieme mode de realisation de !'invention. Dans la description et les figures, les sigles, acronymes et abreviations ont la signification en francais et en anglais indiquee dans le tableau ci-dessous. Nous faisons figurer la signification en anglais car c'est celle-ci qui est utilisee dans le langage courant par les hommes du metier. Sigle Signification en anglais Signification en francais ACARS ARINC Communications Addressing Systeme d'adressage des and Reporting System communications et de reporting de I'ARINC AOC Airline Operations Center Centre d'operations de la compagnie aerienne AP Auto pilot Pilote automatique ARINC Aeronautical Radio, Inc. Societe Aeronautical Radio ATC Air Trafic Control Controle du trafic aerien BDN/NAVDB Navigation database Base de donnees de navigation CA Course to an Altitude leg Leg de tenue d'une route jusqu'a une altitude CD Course to a DME Distance leg Leg de tenue d'une route jusqu'a une distance donnee a une balise DME CF Course to a fix leg Leg de tenue d'une route jusqu'a un point fixe Cl Course to an intercept Leg de tenue d'une route jusqu'a !'interception d'un leg suivant CR Course to a Radial leg Leg de tenue d'une route jusqu'a !'interception d'une radiale a un point donne DATALINK Communication link Liaison de communication DME Distance Measuring Equipment Equipement de mesure de distance E/S Entrees/Sorties EWD Engine Warning Display Visualisation des alarmes moteur GALILEO Constellation GPS europeenne GPS Global Positioning system Syteme de positionnement global GUID Guidage FA Course from a fix to an altitude Leg de tenue d'une route depuis un point fixe jusqu'a une altitude FC Course from a fix to a distance Leg de tenue d'une route depuis un point fixe jusqu'a une distance FCU Flight Controls Unit Unite de controle du vol FD Course from a fix to a DME distance Leg de tenue d'une route depuis un point fixe jusqu'a une distance donnee a une balise DME FM Flight Manage-r(-ment) Gestion(-naire) de Vol FMS Flight Management system Systeme de gestion de vol FPLN Flight Plan Plan de vol HPATH Horizontal Path law Loi de trajectoire horizontale IHM Interface Homme Machine IHM S MCDU Multi-function Control Display Unit Unite de Visualisations et de controles pour multiples fonctions LEG element normalise unitaire d'un plan de vol (defini dans la norme ARINC 424) NAVDB/BDN Navigation database Base de donnees de navigation PRED Prediction Prediction RESET Reset Reinitialisation SD System Display Moniteur Systeme RNP Required Navigation Performance Niveau de performance de navigation TRAJ Trajectory Trajectoire VA Heading to an altitude leg Leg de tenue d'un Cap jusqu'a une altitude VD Heading to a DME distance leg Leg de tenue d'un Cap jusqu'a une distance a nue balise DME VHF Very High Frequency Tres haute frequence VI Heading to an intercept leg Leg de tenue d'un Cap jusqu'a ('interception du leg suivant VISU Console de visualisation VM Heading to a manual termination leg Leg de tenue d'un Cap jusqu'a une terminaison manuelle VR Heading to a Radial termination leg Leg de tenue d'un Cap jusqu'a !'interception d'une radiale a un point donne VX Heading type leg Leg de tenue d'un Cap La figure 1 presente ('architecture fonctionnelle d'un FMS 10. Ce systeme satisfait a la norme ARINC 702 (Advanced Flight Management Computer System). Its assurent normalement tout ou partie des fonctions de : navigation LOCNAV, 170, pour effectuer la localisation optimale de I'aeronef en fonction des moyens de geolocalisation (GPS/GNSS, balises radios VHF, centrales inertielles et anemo-barometrique) ; plan de vol FPLN, 110 û Base de donnee de navigation NAVDB, BDN, 130, pour construire des routes geographiques a partir de procedures et de donnees incluses dans les bases (points, balises, legs fixes ou a terminaison variable lie a !'interception de route ou d'altitude...) ; trajectoire laterale TRAJ, 120 : pour construire une trajectoire continue a partir des points du plan de vol, respectant les performances avion et les contraintes de confinement (RNP) ; predictions PRED, 140: pour construire un profil vertical optimise sur la trajectoire laterale et les predictions associees en termes de vitesse, altitude, temps de passage et consommation ; guidage GUID, 150, pour guider dans les plans lateral, vertical et vitesse I'aeronef sur sa trajectoire 4D, tout en optimisant la vitesse ; AOC/ATC : liaison de donnee numerique pour communiquer avec les centres de controle et les autres aeronefs. Selon la categorie de I'aeronef, seulement certaines des fonctions ci-dessus pourront titre implantees. L'invention est mise en ceuvre a titre principal dans le module MONITEUR, 160. Ce module fonctionnel, avantageusement programme en langage source ADA ou C++ selon des methodes adequates pour que le code soit certifiable, pourra titre implants sur un calculateur FMS standard. Le moniteur sera le plus possible independant des autres modules du FMS. Le moniteur comportera avantageusement une bibliotheque de tests a effectuer dans des conditions particulieres de I'aeronef et de son environnement. II peut ainsi titre decline en fonctions de monitoring dediees a un environnement systeme et fonctionnel localise. Parmi les situations de tests possibles, les cas suivants constituent des exemples typiques de prevention ou surveillance de bugs ou entrees pilote erronees possibles avec un FMS, presentant un caractere generique: - Utilisation dans le plan de vol d'une balise inexistante dans la base de navigation NAVDB ; Acces a une page MCDU presentant des incoherences ; - Entree par le pilote d'un point sur la route completement desaligne par rapport au plan de vol de reference, par exemple, sur une traversee Atlantique Nord, insertion d'un point avec une latitude Sud ; -Vitesse d'approche incompatible avec le poids avion et la route a parcourir, une plage autorisee des valeurs etant calculee par le moniteur par une methods differente (mais compatible) de celle du calcul operationnel ; - Valeurs de distances de trajectoire aberrantes par rapports aux distances reelles entre points sur la route ; - Ensemble de segments lateraux presentant des incoherences dans les rejointes ; par exemple, la trajectoire calculee par le FMS contient un long segment droit a 270 , alors que le leg figurant dans NAVDB sur lequel ce segment se trouve est un leg CF 90 , et que le segment a 270 represents dans I'espace ne peut pas titre une rejointe HPATH du leg concerns. Les bibliotheques de tests peuvent egalement se rapporter a des situations beaucoup plus ponctuelles que I'on souhaite tester en raison de leur criticite : - Mauvaise vitesse de rotation VR entree par le pilote, susceptible d'entrainer le raclage de ('empennage arriere sur la piste a la rotation ; Segment lateral non identifie apres sequencement d'un leg avec terminaison en altitude , I'avion sans reference vire par exemple a gauche avec le risque de se diriger vers une zone de vol destinee aux autres pistes et/ou avec une trajectoire vers un relief. Dans certains cas, la realisation systematique de certains tests peut s'averer utile voire necessaire. Cependant, pour des raisons d'economie des ressources machine, chaque test en bibliotheque ne sera en principe realise que lorsque des conditions pre-determinees d'execution de ces tests seront reunies. Par ailleurs, it ne sert a rien d'executer a nouveau un test deja realise si aucune donnee d'un sous-systeme FMS n'a change, situation que I'on caracterise par ('absence de changement de version des donnees. Par reference a la figure 2 qui represente un MONITEUR, 160 selon ('invention, une modalite avantageuse de realisation consiste donc a prevoir un premier sous-module VER, 1610 de traitement et de stockage des messages de changement de version des donnees calculees par les modules du cceur FMS : FPLN, 110, TRAJ, 120, PRED, 140 et GUID, 150. La base de donnees stocke egalement la derniere version des donnees elles-memes. Le moniteur stockera preferentiellement la version qui lui a permis de decider que les tests associes de la bibliotheque doivent titre realises. En sortie de ce sous-module, figure un deuxieme sous-module CONDITIONS, 1620 qui comporte les conditions COND1, COND;.... COND n a satisfaire individuellement pour realiser respectivement les TEST1, TEST;....TESTn . Un troisieme sous-module TESTS, 1630 constitue la bibliotheque des n tests qui seront realises sous la commande du sous-module CONDITIONS. Un quatrieme sous-module RESULTATS, 1640 elabore la presentation et le stockage des erreurs detectees par les tests. Celui-ci comporte lui-meme une premiere fonction MESSAGES ERREURS, 1641 qui elabore les messages d'erreurs en sortie des tests, par exemple dans un des cas cites ci-dessus << INCOHERENT LATERAL SEGMENT AHEAD > ou <<Segment lateral incoherent sur la route >. II comporte egalement une fonction PAGES SYNTHESE, 1642 qui produit les donnees a afficher pour I'equipage, par exemple les donnees relatives aux legs dans NAVDB qui ont provoque ('incoherence et aux segments Iateraux associes a ces legs ; cette fonction realise en outre un filtrage et un tri des informations a porter a I'attention de ('equipage ; les criteres de filtrage et de tri sont definis en fonction des indices de criticite des erreurs ; ils peuvent s'appuyer sur une correlation avec les donnees issues d'autres systemes avions telles que la surveillance systeme SD ou la surveillance moteur EWD, cette correlation s'effectue dans un sous-module COR, 1650 ; des indices de criticite sont egalement Minis par les reglementations OACI et etatiques, ainsi que par les compagnies aeriennes. Une fonction FICHIER LOG, 1643 elabore les donnees a stocker pour communication aux services de maintenance de la compagnie et au fournisseur du FMS ; ces donnees comprennent en plus des donnees fonctionnelles en sortie des tests des donnees supplementaires sur I'environnement materiel et logiciel dans lequel I'erreur s'est produite ; elles sont avantageusement formatees pour titre transmises par liaison ACARS a la compagnie aerienne. II existe deux variantes du procede pour la realisation de ('invention. Elles sont definies par les organigrammes des traitements des figures 3 et 4. Elles ont en commun la plupart des etapes des traitements pour un test TEST; : verification des conditions COND; d'execution du test, qui s'effectue en recuperant les notifications de versions nouvelles (FPLN, PRED, TRAJ) emises par les fonctions du cceur FM, et le motif de la nouvelle version, puis en identifiant les tests qui ont lieu d'etre executes a partir des versions notifiees ; pour chaque test TEST; : acquisition des donnees du cceur FM necessaires a la verification, execution de I'algorithme de verification, puis emission ou pas d'un message d'erreur, creation ou pas d'une page de synthese, creation ou pas d'un fichier de log. Un exemple de realisation de ('invention est donne ci-dessous. Le test realise est la compatibilite des donnees TRAJ et NAVDB : - Recuperer du cceur FMS la suite des legs lateraux du plan de vol. 20 - Recuperer toute la trajectoire associee (suite de segments lateraux calcules a partir des definitions ARINC 424 des legs), - Pour chaque leg de type CA, CD, CF, CI, CR, FA, FC, FD, FM, VA, VD, VI, VM, VR, analyser les segments lateraux (segments courbes et segments droits) associes : 25 o SI pour ces types de legs it existe des segments droits associes de longueur superieure a un seuil predetermine, o ET, que ces segments droits ne sont pas identifies dans la trajectoire comme 30 segments de rejointe HPATH, o ET, que la course (route) (ou heading (cap) pour les legs VX) du segment droit est differente de la course (heading) definissant le leg arinc associe, o ALORS, - Envoyer un message au scratchpad (bande dans la partie basse de I'ecran MCDU servant a afficher des messages au pilotes) << INCOHERENT LATERAL SEGMENT AHEAD >> - Ecrire une page DATA de synthese de I'incoherence comprenant 5 comme infos : - L'identifiant NAVDB du leg sur lequel a ete levee ('incoherence - La definition ARINC du leg, ^ L'ensemble des segments Iateraux associes a ce leg, ^ Le segment lateral considers comme incoherent 10 - Enregistrer un fichier interne comprenant : ^ Heure date, Numero d'identification du logiciel, du materiel, de I'avion et du type de moteurs, ... ^ Identifiant du type d'incoherence INCOHERENT LATERAL SEGMENT AHEAD >> 15 ^ Plan de vol, Provenance, Points sur la route, destination, poids ^ Detail de n legs planifies et segments Iateraux precedent, comprenant et suivant ('incoherence. Les variantes se distinguent par leur sequenceur primaire. Dans celle de la figure 3, c'est le changement de version (rafraichissement d'une des 20 donnees des sous-modules FLPN, TRAJ, PRED, GUID du cceur du FMS) qui declenche I'appel au moniteur. Ce changement de version peut titre notifie au moniteur par polling cyclique du cceur FMS. Dans ce cas, le cycle est de periode relativement longue (30s a 1 minute). Le polling systematique peut titre remplace par un abonnement du moniteur au service de notification par 25 message de I'evenement changement de version. Ensuite, pour i de 1 a n, la condition de realisation du test i, COND;, est verifiee au regard des donnees issues du dernier message de changement de version. Lorsque COND; est remplie, TEST; est execute puis, le cas echeant, MESSAGE ERREUR , PAGE SYNTHESE , FICHIER LOG. 30 Dans la variante de la figure 4, pour chaque test i de 1 a n, le sous-module CONDITIONS recupere pour chaque COND; a verifier les dernieres versions des donnees d'entree puis lorsque COND; est remplie, TEST; est execute puis, le cas echeant, MESSAGE ERREUR , PAGE SYNTHESE , FICHIER LOG.

II est egalement possible de combiner les deux variantes en une variante hybride pour optimiser le temps machine utilise. II est en effet avantageux de factoriser les verifications des conditions d'execution des tests COND; qui ont des donnees d'entree communes.5

Claims

REVENDICATIONS

1. Dispositif d'aide a la navigation (10) d'un aeronef comprenant au moins un module (110, 120, 130, 140, 150) d'elaboration de plans de vol et de trajectoires dudit aeronef, caracterise en ce qu'il comprend en outre un module (160) de test des donnees en sortie d'un desdits modules par rapport a des conditions determinees par des phases ulterieures d'elaboration desdits plan de vol et trajectoires.

2. Dispositif d'aide a la navigation selon la revendication 1, caracterise en ce que ledit module de test (160) comprend une bibliotheque (1630) de tests a executer chacun dans une configuration donnee de I'aeronef et de son environnement.

3. Dispositif d'aide a la navigation selon rune des revendications 1 a 2, caracterise en ce qu'il comprend en outre une base de donnees (1640) des resultats hors conditions en sortie dudit module de test et des contextes d'occurrence desdits resultats.

4. Dispositif d'aide a la navigation selon rune des revendications 1 a 3, caracterise en ce qu'il comprend en outre un generateur (1641) de messages de compte-rendu des resultats hors conditions en sortie dudit module de test.

5. Dispositif d'aide a la navigation selon la revendication 4 caracterise en ce que ledit generateur comporte une fonction (1642) de parametrage de tris et filtrages a effectuer en sortie du generateur et en entree d'une interface de presentation desdits messages a I'equipage.

6. Dispositif d'aide a la navigation selon rune des revendications 4 a 5, caracterise en ce qu'il comprend en outre des moyens (1643) de sauvegarde desdits messages selon un protocole de telechargement.

7. Dispositif d'aide a la navigation selon rune des revendications 4 a 6, caracterise en ce qu'il comprend en outre des moyens (1650) de correlation des messages en sortie du generateur avec ceux en provenance d'autres dispositifs de controle de I'aeronef.

8. Procede d'aide a Ia navigation d'un aeronef comprenant au moins une tache d'elaboration de plans de vol et de trajectoires dudit aeronef, caracterise en ce qu'il comprend en outre des taches de test dupositionnement des donnees en sortie d'une desdites taches par rapport a des conditions determinees par des phases ulterieures d'elaboration desdits plan de vol et trajectoires.

9. Procede d'aide a la navigation selon la revendication 1, caracterise en ce qu'une tache de test est declenchee lorsque des conditions sont satisfaites, lesdites conditions etant verifiees de maniere cyclique en entree de la tache de test.

10. Procede d'aide a la navigation selon rune des revendications 8 a 9, caracterise en ce qu'il comprend en outre une tache d'enregistrement des resultats hors conditions en sortie de ladite tache de test et des contextes d'occurrence desdits resultats.

11. Procede d'aide a la navigation selon rune des revendications 8 a 10, caracterise en ce qu'il comprend en outre une tache de generation de messages de compte-rendu des resultats hors conditions en sortie de ladite tache de test.

12. Procede d'aide a la navigation selon la revendication 11, caracterise en ce que ladite tache de generation comporte une fonction de parametrage de tris et filtrages a effectuer en sortie de ladite tache de generation et en entree d'une tache de presentation desdits messages a ('equipage.

13. Procede d'aide a la navigation selon ('une des revendications 11 a 12, caracterise en ce qu'il comprend en outre une tache de sauvegarde desdits messages selon un protocole de telechargement.

14. Procede d'aide a la navigation selon ('une des revendications 11 a 13, caracterise en ce qu'il comprend en outre une tache de correlation des messages en sortie de la tache de generation avec ceux en provenance d'autres taches de controle de I'aeronef.