FR2963859A1 - Procede et systeme de transmission des donnees d'enregistreurs de vol en cas d'urgence - Google Patents

Abstract

L'invention concerne un procédé de transmission de données, caractérisé en ce qu'il comprend une étape de transmission de données en vol entre un aéronef (10 ; 120) et une installation au sol (14), les données transmises étant des données stockées dans au moins un enregistreur de vol (40, 42) embarqué à bord de l'aéronef.

Description

L'invention est relative à un procédé de transmission de données provenant d'un ou de plusieurs enregistreurs de vol embarqués à bord d'un aéronef. Un enregistreur de vol est un dispositif embarqué à bord des aéronefs, conçu pour enregistrer et stocker différentes données et informations de vol aux fins d'enquêtes accident, et/ou d'analyse de vols en réponse à un besoin opérationnel (servant par exemple à la surveillance des systèmes et des performances avions, à des fins de maintenance préventive ou exploitées pour vérifier les conditions ou la qualité/sûreté des vols). Un enregistreur de vol protégé (blindé et étanche), contre un accident connu sous le terme de « crash » plus communément appelé « boite noire» (ou « enregistreur d'accident ») est spécialement destiné à l'enregistrement et au stockage des données indispensables à l'enquête accident, conformément aux normes en vigueur. Un enregistreur de vol classique (non protégé, donc vulnérable), communément dit « de maintenance », est pour sa part dédié à une utilisation plus aisée et opérationnelle par les compagnies (surveillance de performances moteurs / des systèmes avions, etc..). Ces données et informations techniques et opérationnelles proviennent de différents équipements présents à bord de l'aéronef (en provenance directe de multiples sources fonctionnelles de données telles que des calculateurs avioniques ou des capteurs). Ces données et informations recueillies, traitées et enregistrées, puis exploitées comprennent par exemple les paramètres de vol (enregistrement dit FDR) permettant de restituer avec précision la trajectoire et l'état de l'avion, y compris les actions accomplies par l'équipage. Ces données et informations comprennent également des enregistrements de type audio (dit CVR, relatif à l'activité interne au cockpit ou « poste de pilotage » / tels que les conversations entre membres d'équipage et les communications radios avec la tour de contrôle ainsi que le bruit ambiant régnant dans le poste de pilotage ...), des enregistrements de type vidéo (vue d'ambiance du poste de pilotage, de la soute et de l'environnement avion,...), ou des enregistrements de type datalink (messages de communications numériques relatifs à la gestion du trafic aérien (ATM) et de Communication, Navigation ou Surveillance (CNS), entre avions ou avec la tour de contrôle...). Les enregistreurs de vol dits d'accidents sont généralement de couleur orange (couleur internationale) et équipés d'un dispositif de localisation en cas d'immersion (balise de détresse sous-marine) afin de pouvoir être localisés plus facilement après un accident par exemple, à la suite d'une catastrophe aérienne survenant en mer. Toutefois, il s'avère que la récupération de ces enregistreurs consécutivement à une catastrophe aérienne est très délicate voire compromise, notamment lorsque la catastrophe survient dans des zones difficilement accessibles ou hostiles, en raison du relief accidenté ou constitué de vastes zones désertiques / océaniques. En effet, la récupération d'enregistreurs de vol en eau profonde (par exemple au fond des océans), ou dans des crevasses au sein de chaines de montagnes, ou dans des conditions de mauvaise visibilité représente une difficulté majeure et une situation des plus coûteuses. Les enregistreurs de vol restent par ailleurs potentiellement toujours vulnérables (dans les cas d'accident où les forces d'impact seraient brutales et destructrices), ce qui représente un risque susceptible d'entraîner la perte totale ou partielle des données indispensables à l'analyse et à la compréhension de l'accident après la catastrophe éventuelle. Les données et informations contenues dans ces dispositifs sont essentielles, notamment à bord des vols commerciaux, aux fins d'enquêtes accident pour connaître/déterminer avec exactitude les causes et les circonstances d'une catastrophe aérienne et éviter que la même situation de catastrophe ne se reproduise. Ces données permettent indirectement d'améliorer la sécurité du transport aérien. Certains accidents ont par ailleurs démontré la nécessité d'améliorer la récupération des données en cas d'urgence. L'invention vise à remédier à cet inconvénient en proposant un procédé de transmission de données, caractérisé en ce qu'il comprend une étape de transmission en vol de données entre un aéronef et une installation au sol, les données transmises étant des données stockées dans au moins un enregistreur de vol embarqué à bord de l'aéronef. L'invention vise en premier lieu à garantir la récupération des données enregistrées dans des situations d'urgence et à faciliter la récupération de ces données dans les plus brefs délais. L'invention peut par ailleurs être étendue à une utilisation pour des cas moins critiques, voire non critiques, n'impliquant pas nécessairement un accident mais en vue d'optimiser les opérations de l'avion par la compagnie aérienne. Ainsi, les données sont transmises en vol, en temps réel ou quasi réel, hors de l'aéronef, et accessibles directement au personnel au sol, sans que ce dernier n'ait besoin d'être en possession du ou des enregistreurs de vol de l'aéronef. Ces données sont transmises par exemple de façon contrôlée depuis l'aéronef.

Plus particulièrement, l'étape de transmission est déclenchée par la détection de l'apparition d'au moins un évènement. Il s'agit par exemple d'un ou de plusieurs évènements liés à une urgence, par exemple un ou plusieurs évènements précurseurs d'une situation catastrophique risquant de compromettre la sécurité du vol et de conduire à l'accident. Cette urgence est par exemple définie par l'obtention d'une ou de plusieurs données de vol particulières et la transmission est par exemple effectuée de façon automatique et déclenchée lorsque certaines conditions de vol sont réalisées.

Selon une caractéristique, l'apparition dudit au moins un évènement est détectée lorsqu'un ou plusieurs paramètres de vol atteignent une ou plusieurs valeurs prédéterminées.

L'urgence peut par exemple provenir d'une situation telle qu'une intervention humaine à des fins de malveillance (prise d'otages, détournement d'avion...) ou d'un ressenti pilote au vu de l'état d'urgence et de la dangerosité d'une situation éventuelle, critique, pouvant potentiellement nuire à la conduite du vol et conduire à un accident (identification d'un cas d'urgence par l'équipage). Dans ce cas, la transmission est par exemple déclenchée manuellement par l'un des membres d'équipage. Selon une caractéristique, l'étape de transmission est effectuée après réception, par l'aéronef, d'une requête provenant du sol et requérant la transmission de données dudit au moins un enregistreur de vol. L'évènement déclencheur de la transmission est, dans le cas présent, externe à l'aéronef et le système de transmission de données embarqué répond à cette sollicitation extérieure. On notera qu'en fonction de certains évènements (exemple : situations critiques telles qu'un détournement d'avion) l'étape de transmission est déclenchée à partir du sol. Une installation au sol peut ainsi commander à distance le transfert de données lorsque certaines conditions sont réalisées (par exemple lorsque des données ont déjà été transmises à l'installation au sol et que celle-ci comprend que la poursuite de la transmission n'est pas assurée).

Cette prise de contrôle peut par exemple être effectuée via l'envoi d'une requête provenant du sol. Selon une caractéristique, le procédé comporte une étape de sélection des données à transmettre parmi l'ensemble des données stockées dans ledit au moins un enregistreur de vol.

Cette sélection peut être faite en fonction du ou des évènements déclencheurs. Ainsi, seuls les données audio (CVR) ou les paramètres de vol (FDR), parmi l'ensemble des données acquises et enregistrées, peuvent être transmis si l'évènement déclencheur est lié à l'une ou l'autre de ces données ou paramètres.

La configuration/sélection des données à transmettre est par exemple effectuée à bord de l'aéronef et est par exemple réalisée de façon automatique (programmation possible à bord ou au sol). La configuration/sélection des données à transmettre peut se faire de manière grossière ou fine selon le type de données à transmettre : par exemple, la sélection d'un type audio spécifique (conversations pilote) parmi l'ensemble des communications audio enregistrées ou bien, par exemple, la sélection d'un type de messages datalink spécifiques parmi l'ensemble des messages de communications numériques enregistrés.

Selon une caractéristique, les données stockées dans ledit au moins un enregistreur de vol proviennent d'au moins un calculateur (ou module) d'acquisition et de traitement de données (ADAM) qui les a lui-même reçues préalablement de plusieurs calculateurs avioniques embarqués dédiés chacun à un type de données différent. Un calculateur ou module ADAM est un concentrateur de données qui est par exemple un boitier d'interface entre les équipements fonctionnels de l'avion et le ou les enregistreurs. Ledit au moins un calculateur d'acquisition de données centralise les données provenant d'une pluralité de calculateurs spécifiques recevant des données de types différents en provenance de capteurs et/ou d'équipements avioniques donnés. Les données centralisées sont traitées par ledit au moins un calculateur pour construire un signal qui est transmis audit au moins un enregistreur de vol et, par exemple, également à un espace de stockage embarqué (ex : serveur).

Selon une caractéristique, les données stockées dans ledit au moins un enregistreur de vol comprennent notamment des données de vol (FDR), des messages de communications numériques entre l'aéronef et le sol ou entre deux aéronefs, et qui sont relatifs à la gestion du trafic aérien et de communication, navigation ou surveillance (Datalink), des données audio enregistrées dans le cockpit (Audio), des données vidéo/images enregistrées dans le cockpit, la soute et dans l'environnement de l'aéronef (Vidéo) et des données de vols relatives à la surveillance des systèmes et des performances aéronefs, à des fins de maintenance préventive aéronef ou exploitées pour vérifier les conditions ou la qualité/sureté des vols (ACM). Le Datalink est un moyen de transmission dont le but est de véhiculer les informations de type CNS (Communication Navigation Surveillance) et ATM de gestion du trafic aérien (« Air Traffic Management » en terminologie anglosaxone). On notera que chaque enregistreur de vol enregistre et stocke par exemple les mêmes données. Un enregistreur peut aussi, par exemple, transmettre des données différentes de celles transmises par un autre enregistreur. Alternativement, lorsqu'un enregistreur de vol est situé à l'avant de l'aéronef et que l'autre est situé à l'arrière, celui de l'avant transmet de préférence les données les plus sensibles (afin notamment de garantir au mieux et avec rapidité la transmission et la récupération des données en cas d'évènement critique/catastrophique, et avant toute panne éventuelle ou destruction d'un des composants du système faisant partie de la chaine d'enregistrement et de transmission). En effet, suivant l'emplacement du système de transmission embarqué (ce système est généralement positionné à l'avant), les données seront transmises plus rapidement (minimisant ainsi au mieux les retards dans la transmission de signaux). Il est par ailleurs avantageux de partager la transmission des données à transmettre entre les deux enregistreurs afin d'optimiser et garantir les chances de récupération d'au moins un type de données sensible en cas de perte d'un des deux enregistreurs de vol.

Selon une caractéristique, la transmission des données est effectuée par des moyens de communications satellite ou radio. Le choix entre les deux types de media de communication est par exemple réalisé en fonction du réseau de communication disponible et de son potentiel de transmission.

On peut alternativement préférer une transmission par satellite qui offre une bande passante supérieure à celle de la transmission par radio.

Selon un autre aspect, l'invention vise un système embarqué à bord d'un aéronef, caractérisé en ce qu'il comprend des moyens de transmission de données entre un aéronef et une installation au sol, les données transmises étant des données stockées dans au moins un enregistreur de vol embarqué à bord de l'aéronef. Selon une caractéristique, le système de transmission de données embarqué comprend des moyens de détection de l'apparition d'au moins un évènement, les moyens de transmission étant activés par la détection de l'apparition d'au moins un évènement par lesdits moyens de détection.

Ledit système peut aussi comporter une caractéristique de transmission d'urgence, dédiée aux enregistreurs de vol et permettant de répondre au(x) besoin(s) de transmission des données en urgence vers le sol (ex : fonctions de gestion de priorité des transmissions). Selon une caractéristique, le système comporte un dispositif permettant de contrôler son bon fonctionnement afin d'indiquer l'état et de garantir la disponibilité permanente du système pendant tout le vol (moyens de surveillance gérés par le système de test intégré de l'équipement [BITE / Built In Test Equipment] et son interface avec le système de maintenance centralisé de l'avion).

Selon une caractéristique, le système comporte des moyens de réception à bord de l'aéronef d'une requête provenant du sol et requérant la transmission de données dudit au moins un enregistreur de vol. Selon une caractéristique, le système comporte des moyens de sélection des données à transmettre parmi l'ensemble des données stockées dans ledit au moins un enregistreur de vol. Selon une caractéristique, le système comporte un module de détection de l'apparition d'au moins un évènement et de déclenchement de la transmission de données en fonction de l'apparition dudit au moins un évènement détecté.

Selon une caractéristique, le système comporte au moins un calculateur d'acquisition et de traitement de données (ADAM) qui les a lui- même reçues préalablement de plusieurs calculateurs avioniques embarqués dédiés chacun à des types de données différents. Selon une caractéristique, le système comporte au moins un enregistreur de vol combinant plusieurs fonctions distinctes d'enregistrement.

Selon une caractéristique, les données stockées dans ledit au moins un enregistreur de vol comprennent notamment des données de vol (FDR), des messages de communications numériques entre l'aéronef et le sol ou entre deux aéronefs, et qui sont relatifs à la gestion du trafic aérien et de communication, navigation ou surveillance (Datalink), des données audio enregistrées dans le cockpit (Audio), des données vidéo/images enregistrées dans le cockpit, la soute et dans l'environnement de l'aéronef (Vidéo) et des données de vols relatives à la surveillance des systèmes et des performances aéronefs, à des fins de maintenance préventive aéronef ou exploitées pour vérifier les conditions ou la qualité/sureté des vols (ACM).

Selon encore un autre aspect, l'invention a pour objet un aéronef comprenant un système tel que brièvement mentionné ci-dessus. D'autres caractéristiques et avantages apparaîtront au cours de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif et faite en référence aux dessins annexés, sur lesquels : - la Figure 1 illustre une mise en situation de la présente invention; - la Figure 2 est une vue schématique d'une architecture d'un système selon l'invention ; - la Figure 3 illustre de façon schématique l'implantation d'enregistreurs de vols à bord d'un aéronef ; - la Figure 4 est une vue schématique générale d'une partie d'un système selon l'invention illustrant la détection d'évènements déclencheurs d'une transmission de données ; - la Figure 5 est une vue schématique détaillée d'un enregistreur de vol représenté à la Figure 2 ; - la Figure 6 illustre de façon schématique la sélection de données à transmettre par un enregistreur de vol ; - la Figure 7 illustre de façon schématique la transmission de données partagée entre les deux enregistreurs de vol combinés et différant d'un enregistreur de vol à l'autre. Comme représenté de façon schématique à la Figure 1, un aéronef 10 en vol se trouve dans une situation périlleuse et est sur le point d'amerrir en catastrophe, voire de s'écraser en mer. La présente invention prévoit dans un tel contexte d'imminence d'une catastrophe de transmettre en urgence les données stockées dans le ou les enregistreurs de vol à bord de cet aéronef, ou certaines de ces données, afin qu'elles puissent parvenir au sol pour être exploitées avant que l'aéronef ne soit plus en mesure de les transmettre. Dans l'exemple illustré à la Figure 1, la transmission est effectuée par une liaison satellite impliquant un satellite 12 qui retransmet les données à une station au sol 14.

La transmission des données est effectuée en temps réel ou quasi réel afin de disposer des données qui soient les plus représentatives possible de l'état de l'aéronef au moment d'un incident ou d'un accident ou juste avant, et de son apparition dans le temps. Cette transmission vise, dans la mesure du possible, à empêcher la catastrophe éventuelle de se produire ou à permettre la compréhension de l'accident le cas échéant. Il convient de noter que les données transmises permettent d'identifier la position de l'avion au moment de l'incident ou de l'accident ou juste avant celui-ci. On notera que les données présentes à bord de l'aéronef peuvent être transmises en fonction de la survenance d'autres évènements tels qu'un détournement d'avion, voire un autre incident survenant à bord de l'aéronef et susceptible d'avoir des conséquences graves et nécessitant, par exemple, un déroutement de celui-ci. Ceci permet d'anticiper sur d'éventuelles actions de maintenance à l'atterrissage et/ou sur d'autres actions d'urgence au sol.

Par ailleurs, la transmission de données d'enregistreurs de vol au sol peut également être réalisée en fonction de la réalisation d'autres conditions non nécessairement liées à une situation d'urgence (par exemple pour un besoin de surveillance, de diagnostic ou d'analyse spécifique dans un contexte particulier visant à anticiper une action de maintenance ou à contrôler l'état de l'avion en vol). Ainsi, la station au sol 14 transmet à l'aéronef, par exemple par la liaison satellite précédemment mentionnée, une requête demandant à l'aéronef de lui transmettre les données de ses enregistreurs (dans son intégralité ou seulement certaines données spécifiques telles que, par exemple, les données audio ou des paramètres du vol). La Figure 2 illustre un système avionique présent à bord d'un aéronef et qui effectue l'acquisition de données, leur traitement, leur stockage et leur transmission. Le système 20 de la Figure 2 comprend plusieurs équipements embarqués tels que des calculateurs ou ensemble de calculateurs 22, 24, 28, 30 et 32 qui acquièrent et fournissent des données provenant de multiples capteurs, ou d'autres systèmes/équipements avioniques embarqués tels que des calculateurs spécifiques servant au contrôle, à la visualisation, à la gestion de la trajectoire de l'aéronef ou à d'autres fonctions embarquées (calculateurs d'aide au pilotage et au guidage, de commandes de vol, d'affichage cockpit et cabine, de communications et de surveillance, de conditionnement d'air, de maintenance, de carburant, de contrôle moteurs et de génération auxiliaire de puissance, de génération et de distribution électrique, pneumatique, hydraulique, de gestion des alarmes...). Le ou les calculateurs 22 acquierent et fournissent par exemple des données ou paramètres de vol relatifs à l'aéronef (servant la fonction FDR). Le ou les calculateurs 24 acquièrent et fournissent des données relatives notamment à la surveillance des systèmes, à la maintenance préventive et à l'analyse des vols (servant la fonction ACM). Le calculateur 28, quant à lui, acquiert et fournit des données audio qui sont enregistrées dans le cockpit (servant la fonction Audio) et qui comprennent notamment les différents échanges entre les membres d'équipage, et entre les membres d'équipage et les installations au sol, ainsi que différents bruits, signaux et messages sonores (alarmes...) provenant des équipements du cockpit. Le calculateur 30 acquiert et fournit des données relatives aux messages de communication de type Datalink entre l'aéronef et le sol (servant la fonction Datalink). Le ou les calculateurs 32 acquièrent et fournissent des données vidéo ou images provenant de caméras situées dans le cockpit et filmant l'intérieur de celui-ci, ainsi que des données vidéo/images relatives à l'environnement de l'aéronef (servant la fonction Vidéo). (par exemple la vue générale d'ambiance du cockpit, les actions pilotes, les positions des organes de commandes et de gestion de vol, les informations destinées à l'équipage et qui sont affichées sur les écrans du poste de pilotage, ...) Toutes ces données sont acquises en permanence par les équipements embarqués.

On notera que l'ensemble des données de type FDR décrivant le comportement et le fonctionnement de l'aéronef et de ses différents composants (moteurs,...) sont enregistrées en un temps de cycle d'environ 4 secondes, ce qui signifie qu'à chaque temps de cycle l'ensemble de ces données ou la majeure partie de celles-ci sont rafraichies par de nouvelles valeurs. Une trame FDR est structurée en blocs de données acquis au rythme d'un certain nombre de mots par seconde [64/128/256/1024], formant ainsi une trame générale de 4 secondes divisée en 4 sous-trames d'une seconde, contenant chacune des paramètres avioniques essentiels et permettant de fournir une vue instantanée de l'état de l'aéronef.

Ainsi, dans ce temps de cycle on dispose d'une vue globale de la quasi-totalité des paramètres avion FDR enregistrés reflétant l'état des systèmes avions pouvant déjà supporter sensiblement l'analyse et la compréhension d'un accident. Le fait de disposer des données sur plusieurs temps de cycle permet alors de suivre la variation et l'évolution des paramètres de vol au cours du temps, ce qui permet de pouvoir analyser une situation en dynamique.

Le système 20 comprend également au moins un calculateur d'acquisition et de traitement de données (ADAM) qui recueille les données provenant des différents calculateurs sources embarqués. Dans l'exemple illustré sur la Figure 2, le système 20 comprend deux calculateurs d'acquisition et de traitement de données 34 et 36, chacun de ces calculateurs recueillant l'ensemble des données sources provenant des calculateurs (ou ensemble de calculateurs) 22 à 32. Un seul calculateur 34 ou 36 est normalement suffisant pour l'acquisition des données provenant des calculateurs (ou ensemble de calculateurs) 22 à 32 et le traitement de ces données, notamment en vue de leur stockage, d'une part, dans un espace de stockage embarqué 38 (mémoire de masse) tel qu'un serveur et, d'autre part, dans au moins un enregistreur de vol, également appelé boîte noire. On notera que dans l'exemple illustré sur la figure 2 le système comprend deux enregistreurs de vol dits d'accident 40 et 42. Les calculateurs 34 et 36 communiquent entre eux comme l'illustre la flèche 44 par une liaison numérique bidirectionnelle qui correspond par exemple à un ou plusieurs bus de données. Cette communication sert notamment à gérer la logique de reconfiguration entre les calculateurs 34 et 36, par exemple en cas mode de fonctionnement dégradé suite à l'apparition d'une panne partielle ou totale, ou du mauvais fonctionnement d'un élément de l'aéronef, interne ou externe au système d'enregistrement. Il est à noter que le système devra fonctionner dans des conditions défavorables, y compris celle précédent un accident.

Il est à noter que le système d'enregistrement et de transmission est alimenté en électricité par le réseau de génération électrique normal (moteurs...) et de génération électrique secours (batteries...) dans toutes les conditions de vol, sans perturber ni compromettre le fonctionnement des systèmes vitaux de l'aéronef.

L'architecture duale formée notamment par les deux calculateurs 34 et 36 permet de les faire fonctionner selon une relation maître/esclave suivant laquelle un partage des tâches est effectué.

Ainsi, par exemple, le calculateur 34 est dédié de façon prioritaire (ce calculateur se comporte alors comme un maître) à la gestion de l'acquisition et de l'enregistrement des données suivantes : - données de vol (FDR), - données de vol (rapports, ou enregistrements continus,..) relatives à la surveillance/diagnostic du comportement ou de l'état des moteurs/systèmes avions dans le cadre de la maintenance préventive et des opérations de l'avion (ACM). Le calculateur 36 se comporte alors comme un esclave vis-à-vis de la gestion des données précédentes. Le calculateur 36 effectue de façon prioritaire (il se comporte alors comme un maître) la gestion de l'acquisition et de l'enregistrement des données suivantes : - données audio (Audio ou CVR), - données datalink (DLK), - données vidéo (Vidéo ou VDR). Le calculateur 34 se comporte alors comme un esclave vis-à-vis de la gestion des données qui précèdent. La gestion du stockage des données préparées par chacun des calculateurs 34 et 36 est assurée suivant la relation de maître/esclave mentionnée précédemment, à savoir que le calculateur 34 gère de façon prioritaire le traitement des données acquises par les calculateurs (ou ensemble de calculateurs) 22 et 24 respectivement par des modules de traitement 50, 52 et leur stockage dans l'espace de stockage 38, dans les zones réservées respectives 56 et 58. Le calculateur 36 gère, quant à lui, en priorité l'acquisition et le traitement des données provenant respectivement des calculateurs (ou ensemble de calculateurs) 28, 30 et 32 par des modules respectifs 62, 64 et 66 et leur stockage dans l'espace 38, plus particulièrement dans les zones réservées 68, 70 et 72. Un partitionnement des tâches est effectué entre les deux calculateurs afin de ne pas stocker deux fois les mêmes données.

Le calculateur 34 comporte également des modules 74, 76 et 78 qui sont susceptibles d'effectuer le traitement des données acquises par les calculateurs (ou ensemble de calculateurs) 28, 30 et 32 respectivement, ainsi que la gestion de leur stockage dans les zones 68, 70 et 72 de l'espace de stockage 38 lorsque le calculateur 36 est défaillant (panne, dysfonctionnement...). Toutefois, le calculateur 34 se comporte normalement comme un esclave vis-à-vis de ces données lorsque le calculateur 36 fonctionne normalement.

De façon correspondante, le calculateur 36 est également capable grâce à des modules 80, 82 d'assurer le traitement des données acquises respectivement des calculateurs 22 et 24, ainsi que la gestion du stockage des données ainsi traitées dans les zones réservées 56 et 58 de l'espace de stockage 38 lorsque le calculateur 34 s'avère défaillant.

Toutefois, lorsque le calculateur 34 fonctionne normalement, le calculateur 36 se comporte comme un esclave vis-à-vis de ces données. On notera que les calculateurs 34 et 36 ne sont pas systématiquement configurés selon une relation maître esclave. Chaque enregistreur de vol enregistre et stocke les mêmes données.

Les données de type FDR (en provenance des calculateurs 22 de l'aéronef) sont acquises et transmises aux enregistreurs de vol 40 et 42 en fonction de la structure de la trame de données contenant ces données et qui sera émise par l'aéronef à destination du sol. Le module concerné de chaque calculateur 34, 36 connaît cette structure et notamment l'ordre dans lequel les données FDR doivent être enregistrées dans la trame. Les données de type ACM (en provenance des calculateurs 24 de l'aéronef) sont acquises et traitées par le module concerné de chaque calculateur 34, 36 pour créer différents types ou formats d'enregistrement conditionnés (ex : rapports moteurs ou rapports systèmes routiniers ou événementiels, ...). Les données de type Audio (en provenance du système de gestion des communications audio 28 de l'aéronef) sont acquises par le module concerné des calculateurs sous la forme de signaux analogiques ou de fichiers audio numériques et qui sont transmis aux enregistreurs de vol. Les données de type Vidéo (images ou vidéo en provenance du système de traitement Vidéo ou d'autres sources 32 de l'aéronef) sont acquises par le module concerné des calculateurs et transmises telles quelles aux enregistreurs de vol ou bien peuvent subir préalablement un traitement spécifique par exemple une compression sans perte. Les données Datalink (en provenance du système Datalink 30 de l'aéronef) sont acquises par le module concerné des calculateurs sous la forme de fichiers ou de messages numériques et sont transmises aux enregistreurs sans subir de traitement particulier. On notera que chaque enregistreur de vol 40 et 42 enregistre l'ensemble des données acquises par les calculateurs 22 à 32 et qui sont recueillies et traitées de façon prioritaire par le calculateur 34, pour les données provenant des calculateurs 22 et 24, et par le calculateur 36, pour les données provenant des calculateurs (ou ensemble de calculateurs) 28, 30 et 32. La liaison entre les calculateurs 34, 36 et les enregistreurs 40, 42 est par exemple réalisée par des liaisons multiplexées, permettant la circulation de plusieurs informations différentes sur un même bus, par exemple sous la forme d'un bus Ethernet ou bus optique et chaque calculateur gère le flux de données transitant entre lui et l'un des enregistreurs de vol Comme représenté sur la Figure 2, chacun des calculateurs 34 et 36 transmet l'intégralité des données traitées à un seul enregistreur de vol. Par exemple, le calculateur 34 transmet les données à l'enregistreur 40, tandis que le calculateur 36 les transmet à l'enregistreur 42. Selon une variante, il est envisageable que le calculateur qui se comporte comme un maître vis-à-vis du traitement de certaines données gère la transmission de ces mêmes données à chacun des deux enregistreurs de vol. Il en est de même pour l'autre calculateur qui se comporte comme un maître vis-à-vis d'autres données spécifiques.

La logique de détection d'évènements et de déclenchement du module 90 peut être réalisée par l'intermédiaire d'un contrôleur ou d'un composant programmable externe de type FPGA. Alternativement, cette logique peut être supportée par un équipement/module existant à bord tel que les calculateurs 34 et 36, par souci d'optimisation et de réduction de poids-volume. L'utilisation de ces derniers est d'autant plus avantageuse dans la mesure où ils disposent déjà de capacités de programmation logique et ont accès à une multitude de paramètres avioniques, utilisés dans le cadre de la fonction ACM contrôlant la génération et l'envoi d'enregistrements de données ACM spécifiques (rapports moteurs/systèmes réguliers ou événementiels, enregistrement continus...) et pouvant donc ainsi contrôler la détection d'évènement(s) et le déclenchement de la transmission des données d'enregistreurs de vol en cas d'urgence. On notera qu'une partie de la logique de détection d'évènement(s) et de déclenchement peut être également supportée et intégrée directement au sein des calculateurs avioniques sources, notamment pour certaines détections d'évènements spécifiques nécessitant l'élaboration de logiques plus sophistiquées impliquant des calculs de paramètres complexes. La détection consiste alors en la simple fourniture par le calculateur source d'un signal adapté reflétant directement l'évènement d'urgence à traiter. Le système 20 comprend également un module 90 de détection de l'apparition d'évènements et de déclenchement de la transmission de données stockées dans l'un et/ou l'autre des enregistreurs de vol en fonction d'un ou de plusieurs évènements détectés.

Ce module envoie ainsi un signal de commande (« TX Enable » activation de la transmission) commandant à l'enregistreur de vol concerné (40 ou 42) la transmission de l'ensemble de ses données ou de certaines données sélectionnées. Un signal TXE1 est ainsi fourni à l'enregistreur 40, tandis qu'un signal TXE2 est fourni à l'enregistreur 42. Le fonctionnement du module 90 et des enregistreurs de vol sera décrit plus en détail en référence aux Figures 4 à 7.

Le système 20 comprend également un module de communication 92 qui reçoit les données provenant des enregistreurs de vol 40 et 42 aux fins de transmission de ces dernières par exemple par l'intermédiaire d'un moyen de communication satellite 94.

Le moyen 94 comprend notamment un calculateur qui gère les communications par liaison satellite et les priorités entre les communications air-sol / sol-air Cette liaison satellite est par exemple dédiée à la transmission de ces données car cette dernière revêt un caractère d'urgence.

De façon générale, le moyen 94 considère les données provenant des enregistreurs de vol comme étant prioritaires sur les autres communications entrantes ou sortantes. On notera par ailleurs que d'autres liaisons de communication sont prévues en relation avec les moyens de communication 92, telles qu'une liaison satellite classique 96, une liaison radio VHF 98, une liaison radio HF 100 et un module 102 assurant une fonction de gestion d'export des données hors de l'avion lorsque ce dernier est au sol. Les moyens de communication 22 sont des moyens conventionnels présents à bord d'un aéronef et ils ne seront pas décrits plus avant.

La Figure 3 illustre l'implantation dans un aéronef 120 comprenant le système 20 de la Figure 2 des deux enregistreurs de vol 40 et 42 (enregistreurs d'accident). L'enregistreur 40 est par exemple localisé dans la partie avant de l'aéronef, tandis que l'enregistreur 42 est situé dans la partie arrière qui s'avère en règle générale plus protégée que la partie avant ou, tout au moins, l'endroit le moins exposé en cas d'impact de l'aéronef sur un obstacle. La présence de l'enregistreur 40 à proximité du cockpit, et notamment des moyens de communication, permet de diminuer le temps de transit de l'information entre l'enregistreur et les moyens de communication et ainsi de transmettre plus rapidement les données provenant de cet enregistreur que de celui situé à l'arrière de l'aéronef.

Par ailleurs, les connexions entre l'enregistreur de vol et les moyens de communication étant plus courtes pour l'enregistreur 40, les risques d'endommagement de ces connexions en cas d'incident survenant à bord (incendie...) sont fortement réduits.

Comme représenté sur la Figure 4, le module 90 détecte l'apparition d'un ou de plusieurs évènements parmi une liste prédéterminée d'évènements possibles référencée 91. Bien que cela ne soit pas représenté sur la Figure 2, le module 90 acquiert des signaux d'entrée à partir de plusieurs sources fonctionnelles de données telles que les calculateurs 22 à 32, 34 et 36, le calculateur gestionnaire des surveillances et des alarmes des systèmes (appelé « Flight Warning Computer » ou FWC en anglais), des relais, ou des capteurs... Une telle liste comprend par exemple la détection d'évènements critiques par l'équipage du cockpit en réaction à une situation grave et imprévue (par le biais du bouton de commande manuelle EMER TX), la détection de survitesse, la détection d'accélérations anormales (verticales, latérales, longitudinales), la détection d'un atterrissage dur (appelé « hard landing » en anglais), la détection de conditions d'urgences à bord (telle qu'une urgence à bord de la cabine), la détection d'un comportement anormal de l'aéronef (manoeuvres abruptes) correspondant à des excursions dangereuses hors du domaine normal de vol pouvant endommager/détruire l'appareil, le rendre incontrôlable, ou risquant de compromettre la sécurité du vol, la détection du vol de l'aéronef à une altitude anormalement basse, la détection de turbulences sévères et/ou de conditions météorologiques particulièrement difficiles, la détection d'un impact de l'aéronef avec un oiseau ou autre corps étranger, la détection d'un touché de queue ou la détection d'un impact foudre, la détection d'une menace et d'une alerte de collisions imminentes, la détection de feu et/ou de fumée, la détection d'un mauvais fonctionnement ou d'une panne majeure critique affectant un réacteur, la détection d'un évènement lié à une altitude excessive ou à une décompression de la cabine, la détection d'une panne électrique majeure, la détection d'un freinage d'urgence ou d'une sortie de piste de l'aéronef au décollage ou à l'atterrissage, la détection d'une interruption de décollage à pleine vitesse (appelé « Rejected TakeOff » ou RTO en anglais) (ou décollage interrompu ou avorté), la détection d'une panne, d'une défaillance ou d'une mal fonction d'un composant ou d'un système embarqué... On notera que pour la plupart des évènements, le module 90 procède d'abord à la détection de l'apparition d'un premier évènement, afin de préparer la transmission ou d'armer la logique de transmission (le système est ainsi en état d'alerte et de surveillance accrue et prêt à transmettre). Le module procède ensuite à la détection de l'apparition d'un deuxième évènement, permettant notamment d'affiner la condition de détection par rapport à l'état d'urgence considéré, et qui active la transmission.

A titre d'exemple, le déclenchement de la transmission est effectué en cas de dépassement d'un seuil prédéterminé par une valeur prise par un paramètre. On notera, par ailleurs, que la détection de l'apparition du premier évènement peut également se traduire par le dépassement d'un seuil prédéterminé par la valeur d'un paramètre. On va maintenant décrire la logique de fonctionnement du module 90 de la Figure 4 en fonction des différents évènements mentionnés ci-dessus. 1) La survenance d'un évènement peut être détectée, non pas de façon automatique, mais par l'équipage du cockpit et le déclenchement de la transmission de données d'enregistreur de vol est effectué de façon manuelle, par exemple par l'intermédiaire d'un bouton poussoir actionné par l'équipage. Il en est ainsi par exemple en cas d'acte criminel (détournement d'avion), d'impact de l'aéronef avec un oiseau, du passage de l'aéronef dans un nuage de cendres volcaniques, d'un atterrissage forcé,... ou tout autre incident grave et imprévue survenant à bord de l'aéronef susceptible d'avoir des conséquences graves et causer la perte éventuelle de l'aéronef. De façon analogue, la désactivation est effectuée de façon manuelle. 2) La détection d'une survitesse de l'aéronef déclenche la transmission de données d'enregistreur de vol dans les conditions suivantes : lorsque des survitesses de la vitesse maximale en opérations (VMO) ou du nombre de Mach maximal en opérations (MMO) sont détectées, ou lorsque des survitesses de la vitesse maximale de vol en configuration hyper sustentée (volets sortis) (VFE), ou de la vitesse maximale de vol train d'atterrissage sorti (VLE) sont détectées et en fonction de la position réelle des becs et volets. La logique de détection fait intervenir la détection de deux occurrences, une occurrence qui prépare la transmission et l'autre occurrence qui la déclenche. La détection de la première occurrence est réalisée lorsque le message d'alarme de survitesse VMO/MMO est activé (selon les conditions de déclenchement du calculateur d'alarmes FWC lorsque celles-ci sont réalisées) ou lorsque le message d'alarme de survitesse VFE est activé, ou lorsque le message d'alarme de survitesse VLE est activé. Lorsque cette condition est réalisée (apparition d'un premier évènement) la logique de transmission est prête à procéder à la transmission des données. On notera que les survitesses VMO/MMO, la survitesse VFE et la survitesse VLE sont acquises à partir d'un calculateur, appelé FWC, qui gère les différentes alarmes cockpit visuelles et sonores de l'avion. La détection d'une deuxième occurrence activant la transmission de façon automatique est réalisée dans les cas suivants : - Survitesse en configuration lisse (trains et volets rentrés) qui se traduit par le fait que la vitesse de l'air calculée (paramètre primaire de vitesse appelée vitesse conventionnelle, notée CAS), est supérieure à la vitesse VMO augmentée d'une variation tVMO0. Cette variation de vitesse AVMO0 forme un seuil prédéterminé, programmable par l'utilisateur, qui est par exemple égal à 6 noeuds. - Survitesse dans d'autres configurations de vol. La condition de survitesse est réalisée dans une première configuration pour laquelle les becs présentent par exemple une inclinaison de 20° et les volets présentent une inclinaison de 0°, lorsque la vitesse CAS est supérieure à un seuil prédéterminé et programmable VMOL1.

La détection de survitesse est également réalisée pour d'autres configurations selon les conditions de vol (couple de valeurs d'inclinaison de becs et de volets) lorsque la vitesse CAS est supérieure à un seuil prédéterminé adapté à chaque configuration. Pour une configuration maximale définie par exemple par un angle d'inclinaison de becs de 23° et un angle d'inclinaison de volets de 33° la détection de survitesse est réalisée si la vitesse CAS est supérieure à un seuil prédéterminé spécifique. - La détection de la survitesse de la vitesse maximale de vol avec les volets sortis (VFE) est réalisée si la vitesse CAS est supérieure à la vitesse VFE augmentée d'une variation AVFEO, où AVFEO est par exemple égale à 6 noeuds lorsque les becs et/ou les volets sont étendus. - La détection de survitesse de la vitesse maximale de vol avec le train d'atterrissage sorti (VLE) est réalisée si la vitesse CAS est supérieure à la vitesse VLE augmentée d'une variation AVLEO, où AVLEO est par exemple égale à 6 noeuds lorsque le train d'atterrissage n'est pas rentré ou lorsque la trappe de train d'atterrissage n'est pas fermée. On notera que lorsque la deuxième occurrence a été détectée, la transmission de données d'enregistreur de vol est activée tant que les conditions précédentes sont remplies et maintenues pendant une durée prédéterminée, notée TDL1, après que l'évènement déclencheur de la transmission ne soit plus détecté. A titre d'exemple, la durée prédéterminée est par exemple dans le cas présent de 60 secondes. Cette durée est par ailleurs programmable par l'utilisateur de façon à bénéficier d'une plus grande flexibilité. De façon générale, on notera que la durée pendant laquelle la transmission est prolongée après la fin de la réalisation des conditions ayant conduit à la transmission, quel que soit l'évènement, permet de temporiser et de s'assurer que l'avion n'est plus dans un état d'urgence lié à l'évènement déclencheur. La détection d'une accélération anormalement excessive (i.e. sortant des limites opérationnelles) est traitée de façon différente en fonction de la valeur d'un ou de plusieurs seuils prédéterminés.

En particulier, lorsque des valeurs d'accélérations verticales, latérales ou longitudinales critiques sont détectées (accélérations dépassant un seuil minimal et maximal prédéfini, pour chaque axe, sortant du domaine normal opérationnel) un déclenchement automatique de la transmission des données est effectué. Les seuils sont par exemple différents selon les types d'accélération concernés. En configuration normale de l'aéronef, le système surveille en permanence les valeurs d'accélération acquises afin de déterminer par exemple si l'accélération verticale est supérieure à un seuil prédéterminé de 2,5 G ou inférieure à un seuil prédéterminé de - 1 G, auquel cas, la transmission est activée. Pour une configuration où les becs et les volets sont déployés, une surveillance similaire est pratiquée (test) afin de déterminer si l'accélération verticale est supérieure à un seuil prédéterminé par exemple de 2 G ou inférieure à un seuil prédéterminé de 0 G. Dans une configuration où les becs sont déployés et les volets sont rétractés, une surveillance similaire est pratiquée (test) afin de déterminer si l'accélération verticale est supérieure à un seuil prédéterminé par exemple de 2 G ou inférieure à un seuil prédéterminé de 0 G. De même, la valeur de l'accélération latérale est comparée par rapport à un seuil prédéterminé supérieur et un seuil prédéterminé inférieur afin de déterminer si elle se situe entre ces deux seuils. Il en est de même pour la valeur de l'accélération longitudinale.

On notera que la transmission des données est et restera activée aussi longtemps que l'une des conditions énumérées ci-dessus de dépassement d'un seuil prédéterminé est remplie. La transmission est maintenue active pendant au moins une durée prédéterminée après la fin de dépassement d'un des seuils (qui est, par 30 exemple, égale à 60 secondes). De façon générale, on notera que la durée de transmission qui suit la fin de détection de l'apparition d'un évènement, quel qu'il soit, dépend du type d'évènement considéré. Cette durée est programmable afin de pouvoir l'adapter à l'évènement et permet d'éviter d'avoir à créer des logiques d'arrêt de transmission (par exemple en mettant en place des comparaisons avec des seuils). Elle permet aussi à l'utilisateur de bénéficier d'une plus grande flexibilité d'utilisation. 3) La détection de conditions d'atterrissage particulièrement difficiles ou très sévères constitue un évènement particulièrement important pouvant conduire à l'accident. La détection d'un tel évènement, dépassant les seuils de tolérances acceptables selon les critères prédéfinis, déclenche de façon automatique la transmission de données ou de paramètres stockés dans l'un et/ou l'autre des enregistreurs de vol. Ainsi, lorsqu'un avion atterrit en surcharge sévère (appelé « Overweight landing » en anglais) dans une phase d'atterrissage d'urgence lors du retour à l'aéroport de décollage ou lors d'un déroutement, et pouvant conduire à l'accident, un déclenchement automatique de la transmission de données est prévu. Dans un tel cas de figure, la détection de surcharge ou la détection d'autres évènements liés à un atterrissage en conditions sévères est réalisée. La détection et la transmission sont activées durant la phase d'atterrissage et pendant une durée consécutive qui est, par exemple, de 300 secondes suite à l'arrêt du dernier réacteur après l'atterrissage. 4) La détection de conditions d'urgence à bord telle qu'une situation d'urgence en cabine déclenche de façon automatique la transmission de données.

Par exemple, si un équipement d'urgence est activé tel que le déploiement d'un toboggan d'évacuation ou une balise de détresse ou la chute des masques à oxygène en cabine ou dans le poste de pilotage, la transmission est activée et maintenue pendant une durée consécutive par exemple égale à 900 secondes.

D'autres conditions d'urgence peuvent être détectées telles que l'évacuation via une sortie de secours, une descente en urgence (EMER DESCENT), un atterrissage d'urgence (LANDASAP) ou un amerrissage et constituent également des évènements dont la détection de l'apparition donne lieu à une transmission des données. On notera que la détection de l'apparition de l'évènement est effectuée à partir du moment où des signaux ou témoins visuels et/ou sonores en provenance du système d'alarme ou d'éclairage d'urgence signalant la situation d'urgence sont activés. Il s'agit par exemple de l'activation de messages d'alarmes, de voyants ou de marqueurs lumineux indiquant les sorties de secours, ou de l'activation des voyants lumineux de descente en urgence. De tels voyants sont par exemple activés par le biais du calculateur d'alarme (FWS), ou par le biais des systèmes Cabine ou d'autres systèmes/composants avioniques de l'avion en charge de l'identification ou la gestion de ce type d'urgence. De la même façon que précédemment, la transmission est active aussi longtemps que les conditions de détection de l'évènement sont remplies et cette transmission est maintenue pendant une durée consécutive prédéterminée. Cette durée est programmable et dépend de la nature de l'évènement. 5) Le comportement anormal d'un aéronef ou des manoeuvres abruptes de celui-ci sont également détectées et donnent lieu, lorsque certaines conditions sont remplies, à un déclenchement automatique de la transmission de données. C'est le cas, lorsque qu'un comportement critique de l'aéronef est détecté ou lorsque l'attitude de l'aéronef dévie de son domaine normal de vol (défini par une enveloppe de vol de sécurité ou par des variations significatives des commandes de direction et de profondeur : de tangage, de roulis ou de lacet). Un virage à forte inclinaison, à forte abattée/piquage du nez, ou un décrochage d'aile sont des exemples de comportement critique. Concernant la détection d'une valeur excessive de tangage, il est par exemple prévu de comparer les positions des organes de vol et des gouvernes de profondeur et notamment de sa déflection par rapport à un seuil prédéterminé maximum et un seuil prédéterminé minimum pouvant respectivement prendre à titre d'exemple les valeurs de 30° et de - 17°.

De même, il est prévu de comparer la position du compensateur de profondeur (THS = Trimmable Horizontal Stabilizer) à des seuils prédéterminés maximum et minimum qui peuvent par exemple prendre les valeurs de 13, 5°et de-4°.

Concernant le roulis, il est prévu de comparer les positions des ailerons et des volets déporteurs d'extrados (spoiler) à des seuils prédéterminés respectifs pouvant par exemple prendre des valeurs de 25° et 35 °. Concernant la détection d'une valeur de lacet anormale, il est prévu 10 de comparer la déflexion de la gouverne à un seuil prédéterminé maximum et à un seuil prédéterminé minimum. La détection d'un angle d'attaque excessif, ou d'une vitesse de décrochage atteinte pour une configuration de vol donnée et donc d'un éventuel décrochage (perte plus ou moins brusque de portance) de l'aéronef est 15 également envisagée (apparition d'un premier évènement) afin de préparer la logique de transmission. L'apparition de ce premier évènement est réalisée par la détection d'une alarme de décrochage (alarme rouge fourni par le calculateur FWC). Dès lors que ce premier évènement est détecté, une deuxième 20 opération de détection est mise en place en comparant la valeur de l'angle d'attaque de l'aéronef à une valeur d'angle d'attaque limite (prédéfinie et programmable) fonction de la position des becs et des volets, de la vitesse de l'aéronef et des lois de contrôle de vol. Dès lors que la valeur de l'angle d'attaque dépasse le seuil précité, la 25 transmission est activée aussi longtemps que ces conditions sont remplies et est maintenue active pendant une durée consécutive par exemple égale à 60 secondes. La détection d'une vitesse verticale de descente (V/S) excessive ou d'un taux de descente excessif est également prévue en comparant la valeur de 30 la vitesse verticale de l'aéronef par rapport à un ou plusieurs seuils prédéterminés, qui sont fonction de la phase de vol et de l'altitude de l'aéronef.

Plusieurs valeurs de seuil prédéterminé peuvent être envisagées car, suivant la phase de vol et l'altitude, l'avion peut se permettre d'avoir une vitesse verticale élevée ou non. Par exemple, une vitesse de descente trop élevée à proximité du sol peut conduire au crash alors qu'elle ne représente aucun danger en vol. La transmission de données est activée dès lors que les conditions précitées sont remplies et maintenues également pendant une certaine durée, prédéterminée et programmable. La détection d'un décrochage d'aile spécifique (décrochage dissymétrique, pouvant occasionner une vrille) est prévue à partir de la détection de l'apparition de deux évènements. La détection de l'apparition d'un premier évènement permettant de préparer la logique de transmission est réalisée à partir du moment où un décrochage d'aile est constaté sur l'aéronef. Un tel décrochage est constaté dès lors que les critères de décrochage d'aile sont atteints ou qu'une poussée ou une traînée non symétriques sont détectées. Une seconde condition de détection est ensuite mise en place afin de déterminer si la transmission doit être activée ou non. La détection de l'apparition de l'évènement consiste plus particulièrement à comparer la valeur de l'angle d'attaque de l'aéronef par rapport à un seuil prédéterminé et/ou à comparer la valeur de la vitesse de descente de l'aéronef par rapport à un autre seuil prédéterminé. Dès lors que l'un de ces seuils ou une combinaison appropriée de ces seuils est dépassé la transmission est activée et maintenue aussi longtemps que les conditions précitées sont réalisées La transmission est maintenue pendant une durée prédéterminée par exemple égale à 60 secondes. La détection du vol de l'aéronef à une altitude anormalement basse est également détectée. 6) Le déclenchement automatique de la transmission de données est prévu lorsque l'aéronef vole à une altitude considérée comme anormalement basse compte tenu de sa phase de vol et/ou de sa vitesse et/ou de la position de son train d'atterrissage et/ou de la détection de proximité du terrain, ou lorsque le train d'atterrissage (train principal et train avant) n'est pas déployé ou n'arrive pas à se déployer durant les phases d'approche et d'atterrissage (ex : atterrissages train rentré).

Plus particulièrement, la détection d'une condition de vol trop proche du terrain, d'une vitesse trop élevée à faible altitude ou d'une perte d'altitude excessive après un décollage ou après une manoeuvre de remise de gaz (« go around » en terminologie anglosaxone) sont effectuées par rapport à un ou plusieurs seuils prédéterminés et déclenchent, de façon automatique, la transmission de données. La détection de proximité du terrain est prise en compte par le biais d'information acquises en provenance par exemple du système embarqué d'alerte de proximité et d'évitement du sol (GPWS/TAWS) couvrant ainsi les cas d'approche à faible distance du terrain et pouvant occasionner l'accident (collision avec le relief). Ces informations comprennent notamment la surveillance des modes GPWS caractérisant le type de descente effectuée, et le degré de proximité avec le terrain (taux de descente excessifs, taux de rapprochement de terrain excessifs, perte d'altitude excessive au décollage) et rendant compte au mieux de la dangerosité de la situation.

La détection d'un train d'atterrissage non sorti au moment de l'atterrissage est détectée en mettant en oeuvre deux opérations de détection. La détection de l'apparition d'un premier évènement aux fins de préparation de la transmission est effectuée à partir du moment où le signal d'alarme rouge d'indication du train d'atterrissage non sorti / non verrouillé bas est activé. Lorsque cette condition est remplie la détection de l'apparition d'un deuxième évènement est effectuée aux fins d'activation de la transmission des données. L'apparition de cet évènement est détectée lorsque les conditions suivantes sont réalisées, à savoir que le train d'atterrissage n'est pas déverrouillé au dessous d'une altitude inférieure à un seuil prédéterminé qui est par exemple de 500 pieds, et lorsque les moteurs fonctionnent à un régime inférieur à un seuil prédéterminé par exemple égal à 70 % de leur régime maximal. On notera que d'autres conditions alternatives conduisant à la détection d'un évènement déclencheur d'une transmission peuvent être prévues. De telles conditions mettent en oeuvre la non sortie du train d'atterrissage, la valeur fournie par le radio altimètre par rapport à un seuil prédéterminé, le régime des moteurs, le déploiement des volets dans une position prédéterminée et éventuellement la prise en compte des cas de perte/panne éventuels du radio altimètre.

La transmission est ainsi activée en cas de détection de l'apparition du deuxième évènement aussi longtemps que les conditions énoncées ci-dessus sont remplies et ceci, jusqu'à l'atterrissage. La transmission est maintenue après l'atterrissage pendant une durée prédéterminée par exemple égale à 600 secondes.

La détection de turbulences sévères et/ou de conditions météorologiques particulièrement difficiles peuvent également conduire à un déclenchement automatique de la transmission. 7) En particulier, en cas de turbulence sévères (l'identification d'une turbulence sévère requiert l'analyse simultanée de plusieurs paramètres spécifiques, notamment d'accélération latérale/longitudinale et verticale, pendant des phases de vols ; cette détection est par exemple réalisée par les logiques d'un calculateur tel que l'ADAM, puis ce dernier ne transmet qu'un signal de commande pour indiquer l'apparition d'une turbulence sévère) un déclenchement automatique de la transmission est effectué.

La détection d'un cisaillement de vent sévère en approche ou au décollage est prévue et est basée sur la détection de deux évènements. La détection de l'apparition d'un premier évènement permettant de préparer la logique de transmission est réalisée à partir du moment où un signal ou un message d'alerte de cisaillement de vent est activée (alarme rouge « windshear» qui correspond à la Fonction de Prédiction de cisaillement de vent).

Dès lors que le premier évènement est détecté, une deuxième opération de détection est effectuée aux fins de déterminer si la transmission de données doit être activée. Cette détection met en oeuvre une logique basée sur un facteur de danger F mesurant les pertes d'altitude et de vitesse de l'air en raison de phénomènes de cisaillement. Alternativement, cette logique peut être basée sur un facteur de sévérité noté SF ou bien sur une combinaison des deux facteurs précités. Ainsi, la détection de l'apparition du second évènement est effectuée en comparant la valeur du facteur de danger F par rapport à un seuil prédéterminé et programmable FL. Le facteur prédéterminé s'écrit par exemple de la façon suivante F = Wh/G - V/As, où Wh est le taux de perte de vitesse, G est l'accélération gravitationnelle, V est la vitesse du courant d'air descendant (ou mouvement d'air descendant) et As est la vitesse vraie de l'avion. Le seuil prédéterminé FL est par exemple égal à 0,15. On notera que si le facteur de danger F est supérieur au seuil prédéterminé, alors les conditions d'un cisaillement sont remplies. La détection de l'apparition d'un deuxième évènement comprend 20 également la comparaison du facteur de sévérité SF à un seuil prédéterminé par exemple égal à 0,15. Le facteur de sévérité est par exemple égal à la somme d'un facteur sévérité longitudinal pour un gradient de vent arrière longitudinal et d'un facteur de sévérité vertical pour un vent descendant. 25 Lorsque le facteur de sévérité est supérieur au seuil prédéterminé, alors les conditions d'un cisaillement de vent réactif sont remplies (alarme rouge « Reactive windshear » qui correspond à la Fonction de réaction de l'avion au cisaillement de vent). Lorsque l'une ou l'autre des deuxièmes conditions est réalisée la 30 transmission de données est activée et maintenue pendant une durée prédéterminée suivant la fin de la détection du phénomène de cisaillement.

Cette durée est par exemple égale à 600 secondes et programmable par l'utilisateur. Il est également envisageable de détecter la présence importante de neige/glace/givre sur certaines surfaces de l'aéronef (bord d'attaque, nacelle,..) pouvant nuire à la maitrise de l'aéronef et conduire à l'accident, par le biais du système spécifique embarqué à bord de l'aéronef (système de protection contre le givre) et d'activer la transmission de données dès lors que la présence d'une quantité importante (ou condition sévère) de neige/glace/givre est détectée. Là également, la transmission continue d'être activée pendant une durée prédéterminée après la fin de la détection. 8) La détection d'un impact de l'aéronef avec un corps étranger (ex : oiseau), la détection d'un sévère touché de queue de l'aéronef à l'atterrissage ou au décollage (contact queue-sol) ou la détection du fait que l'aéronef ait été frappé par la foudre font également partie des évènements détectés.

La détection de tels évènements déclenche de façon automatique la transmission des données. On notera que la détection d'un touché de queue (comme évènement déclencheur de transmission de données d'un enregistreur de vol) est effectuée en déterminant la valeur de l'angle de tangage par rapport à un angle de touché de queue prédéterminé. La transmission est rendue active aussi longtemps que les conditions spécifiées ci-dessus sont remplies est maintenue pendant une durée supplémentaire par exemple égale à 60 secondes. 9) La détection de menaces et de messages d'alertes de collisions (élaboré par le système embarqué d'alerte de trafic et d'anticollision TCAS / ACAS) conditionne également le déclenchement automatique de la transmission de données. La logique de détection est par exemple basée, d'une part, sur la comparaison entre un paramètre noté TAU, appelé temps jusqu'à l'interception, et reflétant la menace de collision en vol et un seuil et, d'autre part, sur le fait que la zone d'intrusion ou d'alerte la plus critique TCAS RA (red « resolution advisory » en terminologie anglosaxone) nécessitant une manoeuvre d'évitement, ait été pénétrée. Il s'agit d'une zone d'intrusion gérée par le TCAS (« Traffic Alert and Collision Avoidance System », en français, « système d'alerte de trafic et d'évitement de collision ») destiné à éviter les collisions en vol entre aéronefs (la zone RA est la zone la plus proche de l'avion, donc la plus critique). Tant que les conditions énoncées ci-dessus sont remplies la transmission est rendue active et se poursuit pendant une durée prédéterminée par exemple égale à 600 secondes. 10) La détection de feu ou de fumée par le système de détection et extinction incendie de l'avion permet également de déclencher la transmission de données à partir de la détection de l'apparition de deux évènements. La détection de l'apparition d'un premier évènement aux fins d'armement de la logique de transmission a lieu si l'un quelconque des avertisseurs de fumée présents à bord de l'aéronef (suite à une panne, un mauvais fonctionnement d'un système dans le poste de pilotage, dans la cabine des passagers ou dans la cabine de fret) est activé tel que par exemple le détecteur de fumée des toilettes ou de la soute cargo. Si, après la détection de l'apparition du premier évènement, pendant une durée prédéterminée par exemple égale à 120 secondes, au moins un autre signal d'avertissement de fumée est détecté comme ayant été activé, alors ceci constitue la détection de l'apparition d'un deuxième évènement qui active ainsi la transmission. La transmission est maintenue active aussi longtemps que les conditions énoncées ci-dessus sont remplies et que de la fumée est toujours présente ou la situation d'urgence non contenue / maitrisée. La transmission est maintenue ensuite pendant une durée par exemple égale à 300 secondes après que l'évènement lié aux fumées soit complètement sous contrôle. 11) La détection d'une mal fonction ou d'une panne éventuelle critique affectant l'un des organes essentiels du système propulsif moteurs tel qu'un réacteur est également déclencheur de la transmission de données d'enregistreur de vol.

Ainsi, par exemple, lorsqu'une panne moteur sévère est détectée ou lorsqu'un état spécifique d'un moteur est détecté lié à son fonctionnement (circuit de carburant, de lubrification, d'allumage, de drainage, de ventilation ou de dégivrage nacelle...) tel qu'une perte significative de poussée, de contrôle moteur, une perte d'alimentation ou manque de carburant ou d'huile, une contamination du carburant, des conditions de moteur en vol anormales, de feu moteurs, voire la perte en vol d'un ou de plusieurs moteurs, la transmission est déclenchée de façon automatique. A titre d'exemple, la détection de l'apparition d'un premier évènement aux fins d'armement de la logique de transmission est réalisée si un signal d'avertissement de pression d'huile moteur (sur l'un ou l'autre des moteurs) est activée (message d'alarmes rouges moteur). Suite à cette première détection, la détection de l'apparition d'un second évènement est effectuée en comparant le niveau de pression d'huile dans l'un et l'autre des moteurs par rapport à un seuil prédéterminé. La transmission est ainsi activée si le niveau de pression d'huile dans l'un ou l'autre des moteurs est inférieur au seuil prédéterminé. La transmission est ainsi activée tant que les conditions énoncées ci-dessus sont remplies et la transmission se poursuit pendant une durée prédéterminée par exemple égale à 60 secondes après la fin de la détection de l'évènement. 12) La détection de l'apparition d'un évènement lié à une altitude excessive ou à une décompression de la cabine conditionne également le déclenchement de la transmission de données d'enregistreur de vol.

La détection de l'apparition d'un premier évènement aux fins de l'armement de la logique de transmission est effectuée lorsqu'un signal d'alarme d'une pression résiduelle excessive en cabine est activée par le système de surveillance et d'alarme FWC déjà mentionné ci-dessus ou lorsqu'un message d'alarme reflétant une altitude pression cabine excessive ou suivant une variation jugée excessive est activée.

Ensuite, la détection de l'apparition d'un second évènement est réalisée afin de savoir si la transmission doit être activée en fonction des conditions suivantes : - si la pression de la cabine tombe en dessous d'un seuil prédéterminé (ce paramètre peut éventuellement être combiné avec d'autres paramètres relatifs à des conséquences au niveau de la cabine telles que la chute des masques à oxygène pour l'équipage et/ou les passagers, une annonce de dépressurisation, des voyants d'illumination de la cabine gérés par les système de conditionnement d'air et de régulation de pression...) ; - si l'altitude atteint un seuil prédéterminé ou est supérieure à ce seuil. La transmission est ainsi activée aussi longtemps que les conditions précitées sont remplies et est maintenue après la fin de l'évènement suivant une durée prédéterminée par exemple égale à 60 secondes.

La fin de l'évènement est réalisée dès lors qu'un niveau de sécurité en vol est atteint et que l'utilisation intentionnelle des masques à oxygène a cessé (pression cabine stable et suffisante, convenable pour dispenser l'utilisation des masques à oxygène et garantir la sécurité des passagers et des membres d'équipage). 13) La détection d'une panne électrique conditionne également le déclenchement de la transmission de données d'enregistreur de vol en cas de panne majeure relative au circuit électrique avion ou de reconfiguration entrainant la commutation sur le réseau de génération secours (perte de puissance électrique et commutation sur batteries ou générateur électrique de secours). La détection de l'apparition d'un premier évènement est par exemple réalisée aux fins de préparation de la logique de transmission lorsque le signal d'alarme élaboré par le FWC « ELEC EMER CONFIG » est activé ou lorsque le signal d'alarme « ELEC ESS BUSES ON BAT » est activé (indiquant la perte de la génération primaire et le passage sur une configuration d'alimentation d'urgence de secours sur batterie).

La détection de l'apparition de ce premier évènement traduit une panne électrique totale du réseau principal de génération et de distribution de l'aéronef. Lorsque la première détection a lieu la détection de l'apparition d'un second évènement est réalisée afin d'activer la transmission. Pour ce faire, on vérifie si les batteries sont actives et/ou l'état des sources de génération primaire principale ou du réseau de distribution fournissant l'alimentation électrique aux systèmes de l'avions ou le déploiement de l'éolienne de secours (RAT) (par exemple si aucune source primaire n'est définitivement plus disponible ou la perte totale de tous les moyens de génération avions). La transmission est ainsi activée dès lors que les conditions ci-dessus sont remplies et est maintenue pendant une durée prédéterminée consécutive à la fin de l'évènement de perte de puissance électrique (retour à une situation normale de bon fonctionnement ou considérée acceptable pour la bonne conduite du vol). Cette durée est par exemple égale à 60 secondes. En ce qui concerne le déploiement de l'éolienne de secours RAT (« Ram Air Turbine » en terminologie anglosaxone ; il s'agit d'un générateur électrique de dernier secours (une petite hélice combinée à un moteur hydraulique) se déployant lorsque l'avion a perdu toute son alimentation électrique (perte moteurs) permettant de régénérer du courant AC/DC pour les calculateurs essentiels), en cas d'urgence pendant le vol, il est prévu d'activer la transmission de données tant que cet élément est déployé. 14) La détection d'un freinage d'urgence ou d'une sortie de piste de l'aéronef durant le décollage ou l'atterrissage déclenche de façon automatique la transmission de données d'enregistreur de vol. 15) La détection d'une interruption de décollage, ou d'un décollage avorté (lorsque l'équipage du cockpit décide de mettre fin au décollage (retranscrit par des actions pilotes spécifiques et conformément aux procédures en vigueur telles que le déclenchement des inverseurs de poussée, ou autres actions de freinage d'urgence,..) et que la vitesse de l'aéronef est supérieure à

une valeur prédéterminée (par exemple supérieure à cent noeuds) déclenche également la transmission. La transmission est maintenue pendant une durée prédéterminée après la fin de la détection de l'évènement jusqu'à ce que l'avion parvienne à un arrêt complet et dans un état de totale sécurité. Cette durée est par exemple égale à 300 secondes. 16) La détection d'une panne, d'une défaillance ou d'une mal fonction d'un composant ou d'un système embarqué à bord de l'aéronef déclenche dans certaines conditions la transmission de données d'enregistreur de vol. Lorsque le calculateur d'alarme (FWC) émet un signal d'alarme (alarme rouge) relatif au système de contrôle et de gestion de vol, l'activation d'un tel signal est détectée et permet de préparer la logique de transmission en vue d'une future transmission des données d'enregistreurs de vol.

En particulier, la détection de l'apparition du premier évènement a lieu par exemple lorsqu'un signal d'alarme (alarmes rouges) relatif à une panne ou à une mauvaise configuration des organes de commandes ou de position des gouvernes de vol telles que les alarmes rouges suivantes: F/CTL L + R ELEV FAULT ou CONFIG SLATS NOT IN T.O CONFIG ou CONFIG FLAPS NOT IN T.O CON FIG ou CONFIG PITCH TRIM NOT IN T.O RANGE ou CONFIG SIDESTICK NOT IN T.O CONFIG ou CONFIG L SIDESTICK FAULT + CONFIG R SIDESTICK FAULT ou CONFIG RUD TRIM NOT IN T.O RANGE ou CONFIG SPD BRK NOT RETRACTED La logique de transmission est alors armée. 35 Lorsque cette première condition est remplie, la détection de l'apparition d'un second évènement a lieu afin de déterminer si l'activation de la transmission de données peut être effectuée ou non. 25 30 Cette deuxième détection est par exemple basée sur la combinaison de plusieurs paramètres de systèmes de contrôle de vol appropriés. La transmission est ainsi activée dès lors que la seconde détection a lieu et est maintenue pendant une durée prédéterminée après la fin de la détection de cet évènement. La détection d'un feu dans l'unité de génération auxiliaire (groupe auxiliaire de puissance, appelé "Auxiliary Power Unit" ou "APU en anglais) constitue également un évènement déclencheur d'une transmission de données d'enregistreur de vol.

Lorsqu'un signal d'avertissement et de détection de feu APU (alarme rouge APU FIRE) est activé par le calculateur d'alarme (FWC), la survenance ou l'occurrence d'un premier évènement est ainsi détectée. La logique de transmission étant préparée, la détection de l'apparition d'un second évènement est effectuée.

En particulier, on détecte si le bouton du panneau permettant de percuter les extincteurs en cas de feu APU est activé et l'activation des robinets coupe-feu (coupure de l'alimentation en cas d'incendie APU) afin de déterminer si la transmission doit être activée. La transmission est ainsi activée aussi longtemps que les conditions 20 énoncées ci-dessus sont remplies et est maintenue pendant une durée prédéterminée après l'extinction de l'incendie. La détection d'une panne ou mal fonction majeure du système de références inertielles et anémométrique/atmosphérique de l'avion (ADIRS) comme par exemple la perte totale confirmée de tous les calculateurs ADIRU 25 (ex : message d'alarme NAV ADR 1+2+3 FAULT), est également susceptible de déclencher la transmission de données d'enregistreur de vol. On notera que le système ADIRS est un système embarqué constitué de 3 calculateurs redondants ADIRU, regroupant la centrale de référence inertielle (IRS) et la centrale de données air (ADC), en charge de l'élaboration de certains 30 paramètres de vol primaires (vitesse, pression, températures, angles d'attaques,..).

La détection de l'apparition d'un premier évènement aux fins d'armement de la logique de transmission est réalisée en déterminant si un signal d'alarme fourni par le calculateur FWC et concernant les défauts de fonctionnement des ADIRU est activé.

Si tel est le cas, la détection de l'apparition d'un second évènement aux fins de déterminer si la transmission doit réellement être activée est effectuée. A cet égard, la détection est effectuée si un défaut de fonctionnement majeur affectant partiellement ou entrainant la perte totale de tous les calculateurs ADIRU est confirmée. La transmission est ainsi activée aussi longtemps que les conditions énoncées ci-dessus sont remplies (état non opérationnel du système) et la transmission est maintenue pendant une durée prédéterminée, par exemple égale à 60 secondes, une fois que la défaillance du système a disparu.

La détection d'une défaillance du système hydraulique peut également affecter de manière significative le contrôle ou la performance de l'aéronef. Ainsi, la détection de l'apparition d'un premier évènement aux fins d'armement de la logique de transmission est effectuée en déterminant si un signal d'alarme fourni par le calculateur FWC (alarme rouge) et relatif à une panne du réseau de génération ou de distribution hydraulique, ou à une pression anormalement basse dans le système de circuit hydraulique pouvant affecter dangereusement le contrôle de l'appareil (commandes de vol, de trains ou autres systèmes avions) est activé. A titre d'exemple, les alarmes rouges suivantes signalent un problème de dépressurisation majeure des circuits/bâches hydrauliques: HYD G + Y SYS LO PR (dépressurisation circuit hydraulique VERT et JAUNE) ou HYD G + B SYS LO PR (dépressurisation circuit hydraulique VERT et BLEU) ou HYD B + Y SYS LO PR (dépressurisation circuit hydraulique BLEU et JAUNE)35

En cas de détection d'un signal d'alarme activé, la détection de l'apparition d'un deuxième évènement est réalisée aux fins de déterminer si la transmission de données d'enregistreur de vol doit être activée. En particulier, on vérifie une combinaison de paramètres appropriés de système hydraulique par rapport à des valeurs prédéterminées de seuils critiques en Pression/Température (ex : perte totale/partielle de circuits hydrauliques secours, majeur, secondaire ; fuite hydraulique importante, surveillance de paramètre(s) de pressurisation des bâches hydrauliques ou de surchauffe de température).

La transmission est ainsi activée aussi longtemps que les conditions énoncées ci-dessus sont remplies (état du système hydraulique non opérationnel) et est maintenue pendant une durée prédéterminée consécutive à la cessation de la défaillance du système. La détection de conditions particulières sur le système avionique lié 15 au circuit carburant peut également affecter de façon significative le contrôle ou les performances de l'aéronef. En particulier, si le système de carburant est déclaré défaillant ou si un très faible niveau de carburant est détecté ou si une fuite importante de carburant est détectée, la transmission de données d'enregistreur de vol peut 20 être déclenchée en fonction des conditions suivantes. En particulier, la détection de l'apparition d'un premier évènement aux fins d'armement de la logique de transmission est effectuée lorsqu'un signal d'alarme fourni par le calculateur FWC et relatif à un déséquilibre excessif constaté au niveau de la masse de carburant affectant le centrage 25 avion lors du vol est activé. A titre d'exemples, les alarmes rouges suivantes signalent un problème de répartition/transfert du carburant pouvant perturber ou modifier le centrage avion ou de remplissage des réservoirs : FUEL EXCESS AFT CG (centrage carburant par rapport au centre de gravité) 30 ou FUEL L+R WING TK LO LVL (bas niveau fuel dans les réservoirs de voilure Gauche et droit).

En cas de détection de l'un ou l'autre des signaux précités, la détection de l'apparition d'un deuxième évènement est effectuée en vue de déterminer si la transmission de données d'enregistreur de vol doit être activée. En particulier, il est envisagé de déterminer si une combinaison de paramètres appropriés du système de carburant satisfait à certaines conditions en fonction d'un ou plusieurs seuils prédéterminés (positions des vannes et état des pompes des réservoirs, niveau bas / épuisement / panne d'alimentation de carburant, ou état des signalisations des panneaux de contrôle et d'indication carburant,..).

La transmission de données est ainsi activée aussi longtemps que les conditions énoncées ci-dessus sont remplies et est maintenue pendant une durée prédéterminée après la cessation de la défaillance du système (retour à une situation normale de bon fonctionnement ou considérée acceptable pour la bonne conduite du vol).

La détection de conditions particulières sur le système avionique lié à la génération pneumatique et au circuit de conditionnement d'air ou de dégivrage peut également affecter le contrôle ou les performances de l'aéronef et est donc susceptible de déclencher la transmission de données d'enregistreur de vol.

La détection de l'apparition d'un premier évènement aux fins d'armement de la logique de transmission a lieu en détectant l'activation d'un signal d'alarme fourni par le calculateur FWC et qui est relatif à une panne critique du circuit de conditionnement d'air (panne de valve de prélèvement d'air, panne majeur du contrôleur pneumatique ou compresseur, fuites éventuelles, ..) ou de protection contre le givre. La détection de l'apparition d'un deuxième évènement aux fins de déterminer si la transmission doit être activée est réalisée à partir d'une combinaison de paramètres appropriés du système d'alimentation par rapport à certaines conditions ou par rapport à un ou plusieurs seuils prédéterminés.

La transmission est ainsi activée aussi longtemps que les conditions énoncées ci-dessus sont remplies et est maintenue pendant une durée prédéterminée suite à la cessation de la défaillance du système (retour à une situation normale de bon fonctionnement ou considérée acceptable pour la bonne conduite du vol). On notera que les conditions énoncées précédemment et les valeurs fournies (notamment pour les seuils prédéterminés) sont susceptibles de varier en fonction de la configuration de l'aéronef auquel cette logique est appliquée. On notera que les données transmises par le ou les enregistreurs de vol lorsque l'une ou plusieurs des conditions mentionnées ci-dessus sont remplies concernent toutes les données enregistrées ou seulement certaines d'entre elles (en fonction de la sélection préalable des données à transmettre).

En fonction du caractère critique du ou des paramètres ou de l'évènement détecté (par exemple une dépressurisation de la cabine, une descente en urgence...) on ne met pas en oeuvre de phase préparatoire à la transmission (armement de la logique de transmission) et on déclenche la transmission immédiatement compte tenu de l'urgence de l'évènement.

Il convient de remarquer que la mise en place de la détection de l'apparition de deux évènements (deux conditions ou plus) permet d'éviter de consommer trop de ressources, notamment calculatoires liées à l'acquisition et au traitement des données (allègement de la charge de travail) en allant contrôler en permanence la valeur d'un trop grand nombre de paramètres.

Le déclenchement de la transmission peut également être effectué à partir d'une activation manuelle d'un bouton présent dans le cockpit ou ailleurs. Cette activation peut avoir lieu en fonction d'évènements non liés au matériel (équipements avioniques...) tels qu'un détournement d'avion. L'activation du bouton (par enfoncement) initie la transmission d'un signal de commande (MAN TXE) à l'un et/ou l'autre des enregistreurs de vol. La logique associée à ce déclenchement manuel peut être simple et utiliser un simple bouton poussoir monostable ou s'appuyer sur des relais afin d'assurer une certaine robustesse ou de gérer certaines inhibitions spécifiques à des instants particuliers (inhibitions de la transmission des données dans certaines phases de vols ou dans un état de condition particulier de l'avion non pertinent ne nécessitant pas l'activation de la transmission d'urgence tel qu'un test avion).

La logique manuelle comporte un mécanisme ou logique spécifique de façon à ne pas activer par inadvertance la commande de transmission (ce qui peut se traduire par exemple par l'appui du bouton pendant un temps minimum de quelques secondes et/ou l'utilisation d'un capuchon de protection).

La Figure 5 illustre de façon schématique les différents principaux blocs fonctionnels intégrés dans un enregistreur de vol tel que l'enregistreur 40 de la figure 2. Comme décrit précédemment le module 90 détecte, parmi une liste prédéterminée d'évènements/de conditions possibles, l'apparition d'un ou de plusieurs évènements/conditions et envoie à l'enregistreur 40 deux signaux. Un premier signal TXE est envoyé afin de déclencher la transmission de données par l'enregistreur de vol et un second signal TXM est envoyé à l'enregistreur de vol afin de lui indiquer, parmi les données qu'il a enregistrées, celles qui sont à transmettre.

Les signaux TXE et TXM sont respectivement réceptionnés et traités par les blocs 130 et 132. Le bloc 130 est par exemple une carte électronique dont la fonction est de recevoir le signal TXE et de procéder à une éventuelle remise en forme de celui-ci.

Le bloc 132 est par exemple lui aussi réalisé sous la forme d'une carte électronique dont la fonction est de recevoir le signal TXM et de procéder à une éventuelle remise en forme de celui-ci. Un bloc 134 récupère les deux signaux reçus TXE et TXM et procède à leur analyse en vue de gérer la transmission des données par l'enregistreur de vol. Plus particulièrement, le bloc 134 analyse à partir de ces signaux les données qui doivent être transmises et à quel moment. Le signal TXM informe le bloc 134 sur le type de données à transmettre car il comporte un code représentatif du type de données.

Le bloc 134 envoie ensuite un signal de commande à un module 160 qui sera décrit plus loin pour acheminer les données sélectionnées en vue de leur transmission hors de l'aéronef.

L'enregistreur comprend également un module 136 de contrôle de l'acquisition des données de type FDR, ACM, Audio, DLK, et Vidéo provenant par exemple du calculateur 34 de la Figure 2. On notera que selon une variante de réalisation les données de différents types peuvent provenir pour partie de l'un des calculateurs 34 et 36 et pour partie de l'autre calculateur. Le nombre de types différents de données peut également varier et ne pas être limité à celui décrit plus haut. Un module 138 gère de façon contrôlée le stockage des données dans un espace mémoire protégé 140 (mémoire non volatile) qui constitue le coeur de la « boîte noire » et, notamment, enregistre les différents types de données dans les zones de stockage appropriées. Plus particulièrement, cet espace mémoire comprend une pluralité de zones mémoires 142, 144, 148, 150 et 152 dans lesquelles sont respectivement sauvegardés les différents types de données énoncés ci-dessus. Le module 138 gère l'acquisition et le stockage des différentes données d'entrée à partir du flux de données préparé par le ou les calculateurs 34, 36 ainsi que la bonne synchronisation des données et de toute autre information utile à l'enregistrement, à la conservation et à la restitution des données (selon les techniques habituelles et conformément aux exigences d'enregistrement en vigueur). On notera que les données sauvegardées ont préalablement été préparées par le calculateur 34 et/ou le calculateur 36 par exemple sous la forme de portions de trames de données (multiplexage) afin de les rendre aptes à être enregistrées et transmises par les moyens de communication 92 de la Figure 2. Le transfert des données entre le module 90 et les moyens de communication 92 et 94 peut être réalisé par des liaisons numérisées (bus) monodirectionnelles ou bidirectionnelles, multiplexées suivant les standards propres à la transmission de données avioniques et fréquence de transmission élevée, par exemple de type Ethernet ou par le biais de bus optiques.

Le module 160 mentionné ci-dessus contrôle la transmission des données notamment en fonction d'un signal TX select élaboré par le module 134. Ce signal permet de commander un circuit logique 162 afin de sélectionner les données à transmettre parmi l'ensemble des données des différents types précités. A titre d'exemple, seules les données FDR peuvent être transmises. Il convient de remarquer que pour un type de données particulier (par exemple les données de type Vidéo et Audio) il est envisageable de sélectionner un sous-type de données à transmettre plutôt que l'intégralité des données du type considéré.

Par exemple, seules les données Audio d'ambiance (en provenance du canal audio dédié au microphone d'ambiance) ou bien seules les données Audio de communications du capitaine (en provenance du canal audio dédié au capitaine) peuvent être transmises. Par exemple, seules les données vidéo couvrant le poste de pilotage (vue générale cockpit) peuvent être privilégiées par rapport aux autres enregistrements vidéo (ex : vue des soutes ou vues externe de l'avion). Par exemple, seuls les rapports ACM liés à la surveillance des moteurs et des systèmes avion peuvent être privilégiés par rapport à l'ensemble des données ayant trait à I'ACM (incluant des rapports, des enregistrements continus et autres format de données de type ACM). Selon une variante, il peut être envisagé de sélectionner un nombre limité de paramètres FDR parmi l'ensemble des données de la trame FDR (privilégiant certains mots spécifiques de la trame relatifs aux paramètres les plus essentiels), notamment de façon à alléger les débits de transmission.

Un module 164 effectue sur l'ensemble des données provenant des différentes zones mémoires 142 à 152 la compression éventuelle de ces données (pour en faciliter la transmission) et leur cryptage avant qu'elles ne soient traitées par la logique 162. Cette logique va contrôler le transfert de ces données vers les moyens de communication 92 déjà décrit en référence à la Figure 2. L'enregistreur comporte un mécanisme de recopie des données stockées de façon à extraire ou simplement à router les données enregistrées de leur support de stockage aux fins de transmission d'urgence. Ce mécanisme n'altère pas les données enregistrées et permet une recopie/routage rapide des données. Ce mécanisme peut éventuellement nécessiter l'utilisation de signaux spécifiques entre les différents modules de l'enregistreur (134-140- 160). L'enregistreur comprend également un module 166 qui est utilisé lorsque l'aéronef est au sol afin de transmettre les données stockées de l'espace 140 vers, par exemple, un ordinateur via une interface par exemple portable (fonction de déchargement des données pour exploitation au sol).

Il est également prévu, via cette interface, de pouvoir contrôler le fonctionnement de l'enregistreur 40 (test), au besoin de le configurer, ou de visualiser le contenu des données enregistrées. Le module 166 récupère ainsi les données provenant des zones de stockage 142 à 152 pour les transmettre à l'interface au sol.

L'enregistreur comprend également un module 170 de surveillance et de contrôle qui a pour fonction de surveiller des différentes fonctionnalités de l'enregistreur (telles que la vérification du bon fonctionnement des entrées/sorties du boitier, son alimentation, de détecter les pannes et les dysfonctionnements et autres paramètres intrinsèques à l'enregistreur, permettant ainsi d'établir un diagnostic complet de l'enregistreur de vol et d'assurer son interfaçage avec les calculateurs de maintenance centralisée avions). (fonction de maintenance BITE) On notera qu'un signal (REC enable) commande l'enregistrement des données dans l'espace de stockage 140. Ce signal provient du module 172 de la Figure 5, en charge de la logique de démarrage et d'arrêt de l'enregistrement. Le signal se base sur différentes conditions (allumage/extinction moteurs, avion au sol/ en vol, et autres informations pertinentes), combinées de façon à commander le démarrage ou l'arrêt des enregistrements (logique matérialisée par la combinaison de différents relais avion et informations reçus de différents calculateurs avioniques). De façon générale, l'enregistreur comporte des interfaces pour communiquer avec d'autres systèmes embarqués à bord.

La Figure 6 illustre de façon schématique la sélection des données stockées qui sont à transmettre. L'architecture représentée ici fait intervenir le module de détection d'évènements 90, l'enregistreur de vol 40 et une table de configuration 180 qui contient la configuration des données à transmettre et qui, en fonction de la configuration retenue, envoie à l'enregistreur 40 un signal TXM comme déjà décrit en référence à la Figure 5. Un filtrage est par exemple intégré à la table de configuration 180 de façon préprogrammée afin de ne sélectionner qu'un ou plusieurs types de données à transmettre. Ce filtrage peut être mis en place en fonction de la logique intégrée au module 90. Ainsi, en fonction de la détection de l'apparition de certains évènements les données de communications datalink (DLK) n'ont par exemple pas à être transmises. La configuration ou sélection des données à transmettre est faite au sol (de façon programmée) ou bien à bord de l'aéronef. On notera que la sélection des données à transmettre est par exemple effectuée en fonction du ou des évènements déclencheurs. La configuration au sol ou à bord peut être grossière ou fine mais conçue de manière à fournir au mieux une grande flexibilité de reprogrammation. Ainsi, cette configuration permet de donner la capacité de choisir le type de données à transmettre pour chaque catégorie d'évènement individuellement, de donner la capacité de désactiver entièrement la fonction de transmission ou d'inhiber certaines transmissions de données en particulier [les données ACM ou vidéo par exemple], d'inhiber par exemple la possibilité de transmettre les données manuellement [EMER TX] ou bien alors au contraire d'inhiber entièrement la logique automatique pour ne compter que sur le transfert manuel EMER TX), d'inhiber ou d'activer la compression des données, ou de configurer le choix des mots/paramètres FDR à transmettre... On notera que la table de configuration 180 peut être intégrée au module 90 ou bien à l'un des calculateurs 34 ou 36 de la Figure 2. Le schéma illustré ici avec l'enregistreur 40 s'applique également à l'autre enregistreur de vol 42.

Dans l'exemple de réalisation décrit chaque enregistreur de vol 40, 42 contient les mêmes données des différents types, à savoir FDR, ACM, Audio, DLK et Vidéo. La Figure 7 illustre la répartition des données à transmettre entre les deux enregistreurs de vol. Cette répartition permet par exemple d'alléger la charge de travail de l'un des enregistreurs de vol et constitue également une sécurité dans le cas où l'un des enregistreurs de vol est défaillant. En effet, dans cette hypothèse toutes les données ne sont pas perdues puisque l'un des enregistreurs de vol continuera à fonctionner normalement et à transmettre une partie des données. A titre d'exemple, dans un souci de sécurité les données les plus sensibles et, en tout cas, celles qui sont obligatoires (mandatés par les autorités), sont réparties entre les deux enregistreurs de vol.

Ainsi, les données à transmettre de façon obligatoire à savoir les données de type FDR, de type Audio et DLK sont réparties entre les deux enregistreurs de vol pour être transmises séparément à partir de ces derniers et non à partir d'un seul enregistreur de vol. Ainsi, l'enregistreur 40 fournit les données de type FDR qui seront transmises sur le canal de communication noté Cl, tandis que les données de type Audio et DLK proviendront de l'enregistreur 42 et seront transmises respectivement sur des canaux de communication C3 et C4. Une répartition différente peut toutefois être envisagée. Les autres types de données moins sensibles, à savoir les données de type ACM et Vidéo sont, par exemple, elles aussi, réparties entre les deux enregistreurs de vol. Par exemple, l'enregistreur 40 fournit des données ACM qui seront transmises sur un canal de communication C2, tandis que l'enregistreur 42 fournit les données Vidéo qui seront transmises sur le canal C5.

Cette répartition des données à transmettre est transparente pour le système de communication qui se contente de prévoir l'allocation d'un nombre prédéterminé de canaux de communication pour la transmission.

On notera que pour une trame complète de données de type FDR (dont la structure a été mentionnée plus haut), on aboutit à un débit maximum d'environ de 12 Kbits/s. Une transmission d'une telle trame permet déjà en soi de fournir des informations très significatives aux équipes d'investigation en fournissant un état représentatif de tous les paramètres de vol enregistrés à un instant donné du vol avant qu'un incident ou qu'un accident ne se produise. Toutefois, une transmission continue de données en temps réel ou quasi-réel fournit (compte tenu du temps nécessaire à l'acquisition et au traitement des données acquises) de meilleures informations aux équipes d'investigation (permettant de pouvoir analyser une situation en dynamique) qu'une transmission d'états des paramètres de vol de l'aéronef (ou d'autres types de données) à des intervalles spécifiques. Le flux de données à transmettre est configurable par le système selon l'invention notamment en ce qui concerne le type des données qui sont à transmettre en priorité et en quelles quantités. A titre d'exemple, une trame de données peut comporter des données FDR et être suivie d'une trame contenant des données Audio (CVR). La gestion des priorités de transmission entre les différents types de données et le séquencement du flux de données sont réalisés afin de s'assurer qu'au moins un échantillon de chaque type de données (ou au moins des données les plus sensibles) soit transmis dans le temps le plus court possible à partir du ou des évènements/conditions détectés. Il convient de noter que, de façon générale, les données qui sont transmises à partir de la détection de l'apparition d'un ou de plusieurs évènements sont des données représentatives de la situation à partir du moment où le ou les évènements sont détectés. Toutefois, il est également envisageable d'utiliser des mémoires de stockage intermédiaire de type « buffers » (mémoires tampons) qui acquièrent en amont de la chaîne des données et notamment des données acquises avant la détection du ou des évènements.

Il est donc ainsi possible de transmettre ces données acquises préalablement en complément des données consécutives à la détection de l'évènement. Selon une variante, il est même envisageable de pouvoir transmettre l'intégralité des données acquises préalablement à l'apparition de l'évènement ou de transmettre les données indépendamment d'une situation d'urgence. La transmission du contenu du support de stockage permettant de disposer de l'ensemble des enregistrements est considérée alors comme une fonction d'extraction et un moyen additionnel d'extraction des données venant en complément de la fonction d'extraction sol 166. Il convient de noter qu'il est également envisageable de transmettre, en complément de la transmission des données utiles de vol (FDR, Audio, Datalink, Vidéo ou ACM), l'information caractérisant le type de déclenchement à l'origine de la transmission des données. Cela permet de faciliter la perception de la situation de l'appareil et de l'urgence en question, et finalement de supporter au mieux l'analyse et la compréhension de l'incident/accident.

Claims (11)

1. REVENDICATIONS1. Procédé de transmission de données, caractérisé en ce qu'il comprend une étape de transmission de données en vol entre un aéronef (10 ; 120) et une installation au sol (14), les données transmises étant des données stockées dans au moins un enregistreur de vol (40, 42) embarqué à bord de l'aéronef.
2. 2. Procédé selon la revendication 1, caractérisé en ce que l'étape de transmission est déclenchée par la détection de l'apparition d'au moins un 10 évènement.
3. 3. Procédé selon la revendication 2, caractérisé en ce que l'apparition dudit au moins un évènement est détectée lorsqu'un ou plusieurs paramètres de vol atteignent une ou plusieurs valeurs prédéterminées.
4. 4. Procédé selon la revendication 1 ou 2, caractérisé en ce que 15 l'étape de transmission est effectuée après réception, par l'aéronef, d'une requête provenant du sol et requérant la transmission de données dudit au moins un enregistreur de vol.
5. 5. Procédé selon l'une des revendications 1 à 4, caractérisé en ce qu'il comporte une étape de sélection des données à transmettre parmi 20 l'ensemble des données stockées dans ledit au moins un enregistreur de vol.
6. 6. Procédé selon l'une des revendications 1 à 5, caractérisé en ce que les données stockées dans ledit au moins un enregistreur de vol proviennent d'au moins un calculateur d'acquisition de données (ADAM) qui les a lui-même reçues préalablement de plusieurs calculateurs avioniques 25 embarqués dédiés chacun à un type de données différent.
7. 7. Procédé selon l'une des revendications 1 à 6, caractérisé en ce que les données stockées dans ledit au moins un enregistreur de vol comprennent notamment des données de vol (FDR), des messages de communications numériques entre l'aéronef et le sol ou entre deux aéronefs, et 30 qui sont relatifs à la gestion du trafic aérien et de communication, navigation ou surveillance (Datalink), des données audio enregistrées dans le cockpit (Audio), des données vidéo/images enregistrées dans le cockpit, la soute et dans l'environnement de l'aéronef (Vidéo) et des données de vols relatives à la surveillance des systèmes et des performances de l'aéronef, à des fins de maintenance préventive aéronef ou exploitées pour vérifier les conditions ou la qualité/sureté des vols (ACM).
8. 8. Procédé selon l'une des revendications 1 à 7, caractérisé en ce que la transmission des données est effectuée par satellite ou par radio.
9. 9. Système embarqué à bord d'un aéronef, caractérisé en ce qu'il comprend des moyens de transmission de données entre un aéronef (10 ; 120) et une installation au sol (14), les données transmises étant des données stockées dans au moins un enregistreur de vol (40, 42) embarqué à bord de l'aéronef.
10. 10. Système selon la revendication 9, caractérisé en ce qu'il comprend des moyens de détection de l'apparition d'au moins un évènement, les moyens de transmission étant activés par la détection de l'apparition d'au moins un évènement par lesdits moyens de détection.
11. 11. Aéronef, caractérisé en ce qu'il comprend un système embarqué selon la revendication 9 ou 10.