FR2968784A1 - Procede et dispositif de surveillance automatique d'ordres de guidage lateraux d'un aeronef. - Google Patents

Abstract

- Procédé et dispositif de surveillance automatique d'ordres de guidage latéraux d'un aéronef. - Le dispositif de surveillance (1) comporte des moyens (18) pour réaliser des comparaisons entre les ordres de commande de roulis engendrés par une pluralité d'équipements (E1, E2, E3) de manière à pouvoir détecter une équipement défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef (AC).

Description

La présente invention concerne un procédé et un dispositif de surveillance automatique d'ordres de guidage latéraux d'un aéronef, en particulier d'un avion de transport. Elle s'applique à la surveillance des ordres de guidage latéraux qui sont destinés à un système de commande de vol de l'aéronef et qui sont engendrés par un étage de calcul d'ordres de guidage latéraux d'un système de guidage de l'aéronef. Un tel étage de calcul comprend, en général, notamment : - une grande boucle d'asservissement, qui détermine, à partir de paramètres de guidage, un ordre de mise en virage correspondant à un ordre de commande de roulis ; et - une petite boucle d'asservissement, qui détermine, à partir dudit ordre de commande de roulis, des ordres de guidage latéraux de l'aéronef, destinés audit système de commande de vol. Bien que non exclusivement, la présente invention s'applique plus particulièrement à des opérations à performances de navigation requises avec autorisation requise, de type RNP AR (« Required Navigation Performance with Authorization Required » en anglais). Ces opérations RNP AR sont basées sur une navigation de surface de type RNAV (« aRea NAVigation » en anglais) et sur des opérations à performances de navigation requises de type RNP (« Required Navigation Performance » en anglais). Elles présentent la particularité de nécessiter une autorisation spéciale pour pouvoir être mises en oeuvre sur un aéronef. La navigation de surface de type RNAV permet à un aéronef de voler de point de route (« waypoint » en anglais) en point de route, et non plus de stations sol (de moyens de radionavigation de type NAVAID) en stations sol.

On sait que le concept RNP correspond à une navigation de surface, pour laquelle sont ajoutés (à bord de l'aéronef) des moyens de surveillance et d'alerte qui permettent d'assurer que l'aéronef reste dans un couloir, dit RNP, autour d'une trajectoire de référence et qui autorisent la prise en compte de trajectoires courbes. A l'extérieur de ce couloir se trouve potentiellement du relief ou d'autres aéronefs. La performance requise pour un type d'opération RNP est définie par une valeur RNP qui représente la demi-largeur (en milles nautiques : NM) du couloir autour de la trajectoire de référence, dans lequel l'aéronef doit rester 95% du temps au cours de l'opération. Un second couloir ~o (autour de la trajectoire de référence) de demi-largeur deux fois la valeur RNP est également défini. La probabilité que l'aéronef sorte de ce second couloir doit être inférieure à 10-' par heure de vol. Le concept d'opérations RNP AR est plus contraignant encore. Les procédures RNP AR sont, en effet caractérisées par : 15 - des valeurs RNP : - qui sont inférieures ou égales à 0,3NM en approche, et qui peuvent descendre jusqu'à 0,1 NM ; et - qui sont strictement inférieures à 1 NM au départ et lors d'une remise des gaz, et qui peuvent également descendre jusqu'à 0,1 NM ; 20 - un segment d'approche finale qui peut être courbe ; et - des obstacles (montagnes, trafic...) qui peuvent être situés à deux fois la valeur RNP par rapport à la trajectoire de référence, alors que pour les opérations RNP usuelles, une marge supplémentaire par rapport aux obstacles est prévue. Les autorités aériennes ont défini un niveau de sécurité visé TLS (« Target Level of Safety » en anglais) de 10-' par opération, quel que soit le type. Dans le cas des opérations RNP AR, comme les valeurs RNP peuvent descendre jusqu'à 0,1 NM et les obstacles peuvent être situés à deux fois la valeur RNP de la trajectoire de référence, cet objectif se traduit par une probabilité que l'aéronef sorte du couloir de demi-largeur D=2.RNP qui ne doit pas excéder 10-' par procédure.

Les équipements embarqués à bord des aéronefs (système de gestion de vol, centrale inertielle, moyens d'actualisation de données GPS et moyens de guidage du pilote automatique), ainsi que l'architecture usuelle, ne permettent pas d'atteindre le niveau de sécurité visé, si on ne prévoit pas des moyens opérationnels de mitigation, notamment pour la détection et la gestion des pannes éventuelles. C'est pourquoi une autorisation spéciale est requise pour ce type d'opération, afin d'assurer que les procédures opérationnelles et l'entraînement des pilotes permettent d'atteindre le niveau de sécurité visé. De plus, comme l'équipage doit prendre en charge certaines pannes, les ~o aéronefs ne sont aujourd'hui pas capables de garantir une valeur RNP de 0,1 NM sous panne, car l'équipage n'est pas en mesure de tenir les exigences de performance en pilotage manuel. Sur les aéronefs actuels, la surveillance des opérations RNP AR est réalisée par le biais de deux fonctions usuelles, à savoir : 15 - une première fonction qui surveille la précision et l'intégrité du calcul de position : - la précision de la position est comparée à une fois la valeur RNP ; - l'intégrité est comparée à deux fois la valeur RNP ; et - si l'un des deux paramètres, précision ou intégrité, excède le seuil 20 alloué, une alerte est émise et l'équipage doit entreprendre des actions appropriées ; et - une deuxième fonction qui permet à l'équipage de surveiller le guidage de l'aéronef : - les déviations latérales et verticales de l'aéronef par rapport à la 25 trajectoire de référence sont affichées et présentées à l'équipage ; - l'équipage surveille les déviations par rapport aux budgets alloués pour chaque déviation. Si l'équipage détecte un écart excessif, il doit reprendre en main l'aéronef et entreprendre des actions correctrices adéquates.

Comme indiqué précédemment, les aéronefs actuels ne sont pas capables de garantir une valeur RNP de 0,1 NM sous panne et l'équipage doit être entraîné spécialement pour voler les procédures RNP AR. L'équipage doit, en effet, être capable de détecter et traiter, de façon adéquate, les pannes qui sont susceptibles de compromettre l'opération en cours. L'objectif pour les aéronefs futurs est d'avoir la capacité de voler les procédures RNP AR avec des valeurs RNP jusqu'à 0,1 NM, et ceci sans restriction (en situation normale et en cas de panne) en départ, approche et remise de gaz. Pour cela, l'équipage ne doit plus être considéré comme le principal moyen de détection et de traitement des pannes. Comme indiqué ci-dessus, un aéronef est généralement pourvu d'un système de guidage qui comprend au moins un étage de calcul d'ordres de guidage qui sont destinés à un système de commande de vol de l'aéronef. Or, pour qu'un aéronef ait la capacité de voler des procédures particulières et notamment des procédures RNP AR, il est nécessaire de pouvoir éliminer de la boucle de guidage une source erronée de calcul d'ordres de guidage, afin de contrer ses éventuels effets sur la trajectoire de l'aéronef. La présente invention a pour objet de proposer une solution permettant de détecter une source erronée de calcul d'ordres de guidage latéraux. Elle concerne un procédé de surveillance automatique des ordres de guidage latéraux d'un aéronef, en particulier d'un avion de transport, qui est pourvu d'au moins un étage de calcul d'ordres de guidage, destinés à un système de commande de vol de l'aéronef. A cet effet, selon l'invention, ledit procédé de surveillance des ordres de guidage latéraux d'un aéronef qui est pourvu d'au moins un étage de calcul d'ordres de guidage latéraux, ledit étage de calcul comprenant : - au moins une grande boucle d'asservissement, qui détermine, à partir de paramètres de guidage, un ordre de mise en virage correspondant à un ordre de commande de roulis ; et - au moins une petite boucle d'asservissement, qui détermine, à partir dudit ordre de commande de roulis, lesdits ordres de guidage latéraux de l'aéronef, destinés au système de commande de vol, est remarquable en ce que : - on prévoit sur ledit étage de calcul d'ordres de guidage latéraux une architecture comprenant au moins N équipements, dont chacun est muni au moins d'une grande boucle d'asservissement et est susceptible d'engendrer, en sortie de la grande boucle d'asservissement associée, un ordre de commande de roulis, N étant un entier supérieur ou égal à 3 ; - on réalise, de façon automatique et répétitive, des comparaisons, en comparant entre eux, deux à deux, les ordres de commande de roulis engendrés par lesdits N équipements ; - à partir de ces comparaisons, on détermine, le cas échéant, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef ; et - lorsqu'un équipement est défaillant, on émet au moins une alerte correspondante dans le poste de pilotage de l'aéronef. Ainsi, grâce à l'invention, on réalise des comparaisons entre les ordres de commande de roulis engendrés par lesdits N équipements de manière à pouvoir détecter une source divergente dès qu'une erreur intervient, c'est-à-dire dès qu'un équipement est défaillant concernant la génération d'ordres de guidage latéraux. De plus, comme précisé ci-dessous, cette détection de panne est robuste. La détermination et l'exclusion de la source d'ordres de guidage latéraux erronés permet, notamment, de répondre aux objectifs suivants : - informer l'équipage de l'équipement défaillant (ou défectueux) ; - éviter de continuer d'utiliser une source, dont la défaillance est avérée ; et - préparer les opérations de maintenance pour le remplacement de l'équipement défaillant.

De façon avantageuse, pour chaque équipement : - on calcule les écarts entre l'ordre de commande de roulis engendré par cet équipement et chacun des ordres de commande engendrés par chacun des autres équipements ; - on compare chacun des écarts ainsi calculés à un seuil de surveillance ; et - on considère que ledit équipement est défaillant, si tous les écarts correspondants sont supérieurs audit seuil de surveillance. En outre, dans un mode de réalisation préféré, permettant une anticipation de la détection de panne, pour au moins un paramètre d'entrée desdites grandes boucles d'asservissement, on réalise de plus les opérations suivantes : - on réalise des comparaisons, en comparant entre elles, deux à deux, les valeurs relatives audit paramètre d'entrée, utilisées respectivement par lesdits équipements ; et - à partir de ces comparaisons, on détermine, le cas échéant, de façon anticipée, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef. Dans ce mode de réalisation préféré, avantageusement, pour chaque équipement : - on calcule les écarts entre la valeur du paramètre d'entrée considéré, utilisée par cet équipement, et chacune des valeurs dudit paramètre d'entrée, utilisées par chacun des autres équipements ; - on compare chacun des écarts ainsi calculés à un seuil de surveillance auxiliaire ; et - on considère que ledit équipement est défaillant, si tous les écarts correspondants sont supérieurs audit seuil de surveillance auxiliaire. De préférence, on utilise au moins l'un des paramètres d'entrée suivants : - un écart de position de l'aéronef par rapport à la trajectoire, qui influe sur l'ordre de commande de roulis pour corriger cet écart ; - un écart d'orientation de l'aéronef par rapport à la trajectoire, qui influe également sur l'ordre de commande de roulis ; et - un roulis nominal qui représente l'ordre de commande de roulis applicable par défaut pour un prochain virage. Ledit roulis nominal est calculé en avance de phase par rapport au prochain virage. Sa surveillance permet d'anticiper un défaut de construction de trajectoire. Cette information peut être utilisée pour invalider un équipement défectueux avant qu'il n'engendre un ordre de commande de roulis erroné. Dans un mode de réalisation particulier, on analyse simultanément les valeurs de plusieurs desdits paramètres d'entrée pour surveiller un équipement concernant la génération d'ordres de guidage latéraux. A titre d'illustration, la surveillance des écarts de position et d'orientation précités, s'ils sont combinés, permettent d'identifier un problème de définition du plan de vol ou de la trajectoire construite à partir de celui-ci. Leur impact est immédiat sur l'ordre de commande de roulis.

Par ailleurs, avantageusement, lorsque l'on détecte un équipement défaillant, on informe les moyens de maintenance de cette défaillance, ce qui permet notamment de préparer des opérations de maintenance pour le remplacement ou la réparation de cet équipement défaillant. En outre, de façon avantageuse on considère qu'un équipement est définitivement défaillant, si tous les écarts correspondants sont supérieurs au seuil considéré (seuil de surveillance ou seuil de surveillance auxiliaire) pendant une durée prédéterminée. La présente invention concerne également un dispositif de surveillance automatique d'ordres de guidage latéraux d'un aéronef, en particulier d'un avion de transport, qui est pourvu d'au moins un étage de calcul d'ordres de guidage latéraux, destinés à un système de commande de vol de l'aéronef. Selon l'invention, ledit dispositif du type comportant au moins un étage de calcul d'ordres de guidage latéraux, ledit étage de calcul comprenant : - au moins une grande boucle d'asservissement, qui détermine, à partir de paramètres de guidage, un ordre de mise en virage ; et - au moins une petite boucle d'asservissement, qui détermine, à partir dudit ordre de mise en virage, des ordres de guidage latéraux de l'aéronef, destinés au système de commande de vol, est remarquable en ce que : - ledit étage de calcul présente une architecture comprenant au moins N équipements, dont chacun est muni au moins d'une grande boucle d'asservissement et est susceptible d'engendrer, en sortie de la grande boucle d'asservissement associée, un ordre de commande de roulis, N étant un entier supérieur ou égal à 3 ; - ledit dispositif comporte, de plus, des moyens de surveillance qui sont formés de manière à réaliser, de façon automatique et répétitive, des comparaisons, en comparant entre eux, deux à deux, les ordres de commande de roulis engendrés par lesdits N équipements, et à déterminer, le cas échéant, à partir de ces comparaisons, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef ; et - des moyens d'alerte pour émettre au moins une alerte correspondante dans le poste de pilotage de l'aéronef, lorsqu'un équipement est déclaré défaillant. Dans un mode de réalisation préféré, lesdits moyens de surveillance comportent des moyens d'anticipation pour déterminer, le cas échéant, de façon anticipée, un équipement qui est défaillant (concernant la génération d'ordres de guidage latéraux de l'aéronef). De préférence, lesdits moyens d'anticipation sont formés de manière à réaliser, pour au moins un paramètre d'entrée desdites grandes boucles d'asservissement, des comparaisons, par exemple un écart de position ou d'orientation ou un roulis nominal, en comparant entre elles, deux à deux, les valeurs relatives audit paramètre d'entrée, utilisées respectivement par lesdits équipements, et à déterminer, le cas échéant, à partir de ces comparaisons, de façon anticipée, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef. La présente invention concerne également : - un système de guidage qui comporte un dispositif de surveillance tel que celui précité ; et/ou - un aéronef, en particulier un avion de transport, qui est muni d'un tel système de guidage et/ou d'un tel dispositif de surveillance.

Les figures du dessin annexé feront bien comprendre comment l'invention peut être réalisée. Sur ces figures, des références identiques désignent des éléments semblables. Les figures 1 et 2 sont les schémas synoptiques de deux modes de réalisation différents d'un dispositif conforme à l'invention.

Le dispositif 1 conforme à l'invention et représenté schématiquement sur les figures 1 et 2 est destiné à surveiller automatiquement des ordres de guidage latéraux d'un aéronef AC, en particulier d'un avion de transport. Ce dispositif 1 qui est embarqué sur l'aéronef A, comprend au moins un étage 3 de calcul d'ordres de guidage latéraux, qui sont destinés à un système usuel de commande de vol de l'aéronef, comme illustré par une liaison 4 sur les figures. Ce dispositif 1 peut, en particulier, être utilisé afin d'aider à la conduite d'opérations aériennes nécessitant une garantie de performance de navigation et de guidage, et notamment des opérations RNP AR.

Un étage 3 de calcul d'ordres de guidage latéraux comprend, de façon usuelle : - au moins une grande boucle d'asservissement 5 qui détermine, de façon usuelle, à partir de paramètres de guidage, un ordre de mise en virage correspondant à un ordre de commande de roulis. Ces paramètres de guidage sont reçus de moyens 6 usuels de gestion de la trajectoire, par l'intermédiaire d'une liaison 7. Ces moyens 6 utilisent, pour leurs traitements, le plan de vol reçu par des moyens usuels 8 via une liaison 9, ainsi que des données d'attitude et de position de l'aéronef reçues de capteurs et moyens de calcul usuels, comme illustré par une liaison 10 en traits mixtes sur la figure 1 ; et - au moins une petite boucle d'asservissement 12 qui détermine, de façon usuelle, à partir dudit ordre de commande de roulis et de données provenant d'actionneurs et de capteurs (comme illustré par une liaison 13 en traits mixtes), lesdits ordres de guidage latéraux de l'aéronef AC, destinés au système de commande de vol. Par conséquent, à partir des informations présentes dans le plan de vol et des données reflétant notamment la position de l'aéronef AC vis-à-vis de la trajectoire désirée, la fonction de transfert de la grande boucle latérale 5 calcule un ordre de mise en virage de l'aéronef AC. Cet ordre est ensuite transmis à la fonction de transfert de la petite boucle 12 pour asservir l'aéronef AC. De plus, dans un mode de réalisation particulier, des moyens de passivation 14 précisés ci-dessous sont agencés entre les boucles d'asservissement 5 et 12, auxquelles ils sont reliés respectivement par l'intermédiaire de liaisons 15 et 16. Le dispositif de surveillance 1 fait partie d'un système de guidage 2 de l'aéronef AC. On sait que, généralement, un système de guidage 2 comprend, en plus dudit étage 3 de calcul d'ordres de guidage, au moins les étages successifs suivants (non représentés spécifiquement) : - un étage de calcul de la position de l'aéronef ; - un étage de gestion du plan de vol de l'aéronef ; - un étage de calcul de la trajectoire de l'aéronef ; et - un étage de calcul de déviations. Selon l'invention, et comme représenté sur la figure 1 : - ledit étage 3 de calcul d'ordres de guidage présente une architecture comprenant au moins N équipements El, E2, E3, dont chacun est muni au moins d'une grande boucle d'asservissement 5 et est susceptible d'engendrer, en sortie de la grande boucle d'asservissement 5 associée, un ordre de commande de roulis, N étant un entier supérieur ou égal à 3.

L'introduction de cette redondance permet de produire plusieurs ordres de commande de roulis comparables ; et - ledit dispositif 1 comporte, de plus, des moyens de surveillance 18. Ces moyens de surveillance 18 comprennent une unité 17 qui comporte des éléments intégrés (non représentés) : - pour réaliser, de façon automatique et répétitive, des comparaisons, en comparant entre eux, deux à deux, les ordres de commande de roulis engendrés par lesdites N grandes boucles d'asservissement 5 desdits équipements El, E2, E3, et reçus par l'intermédiaire de liaisons 19 (liées aux liaisons 15) ; et - pour déterminer et identifier, le cas échéant, à partir de ces comparaisons, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef AC, c'est-à-dire un équipement qui n'est plus en mesure d'engendrer des ordres de guidage latéraux valides (non erronés) ; et - des moyens d'alerte 20 qui sont reliés par l'intermédiaire d'une liaison 21 auxdits moyens de surveillance 18 et qui sont formés de manière à émettre au moins une alerte (visuelle ou sonore) dans le poste de pilotage de l'aéronef AC, lorsqu'un équipement est déclaré défaillant par lesdits moyens de surveillance 18. Ainsi, le dispositif 1 conforme à l'invention réalise des comparaisons entre les ordres de commande de roulis engendrés par les N grandes boucles d'asservissement 5 desdits N équipements El, E2, E3 de manière à pouvoir détecter une source divergente dès qu'une erreur intervient, c'est-à-dire dès qu'un équipement est défaillant concernant la génération d'ordres de guidage latéraux. De plus, cette détection de panne est robuste.

L'architecture conforme à l'invention pour la détection et l'isolation d'équipements ou de systèmes défaillants s'appuie donc sur un principe d'architecture triplex (ou à N équipements (N>_3)) et propose d'utiliser trois sources (équipements El à E3), ou plus, au moins au niveau de l'étage 3 de calcul des ordres de guidage d'asservissement de l'aéronef sur la trajectoire, ce qui permet de détecter et d'isoler automatiquement des pannes au niveau de cet étage 3. De plus, cet étage 3 peut être constitué d'équipements identiques (étage symétrique) ou d'équipements différents (étage dissymétrique). Dans un mode de réalisation préféré non représenté, chacun des étages précités du système de guidage 2 présente une telle architecture comprenant au moins N équipements. Par ailleurs, lorsque les moyens de surveillance 18 déterminent qu'un équipement est défaillant, ils informent des moyens de maintenance 22 de cette défaillance, par l'intermédiaire de la liaison 21, ce qui permet notamment de préparer les opérations de maintenance pour le remplacement de l'équipement défaillant. De plus, dans un mode de réalisation particulier, l'analyse des ordres en provenance de chaque chaîne de calcul est réalisée par les moyens de passivation 14. Ces moyens de passivation 14 ont pour objectif de comparer les ordres en provenance de chaque chaîne de guidage et d'isoler les valeurs défectueuses. Ils transmettent ensuite un ordre valide à la boucle d'asservissement 12. Ce principe connu permet de s'affranchir de l'impact de toute panne simple d'une chaîne de guidage sur la trajectoire de l'aéronef AC. Avec ce type d'architecture, il est possible de passiver un ordre de guidage erroné pour que celui-ci n'affecte pas la trajectoire de l'aéronef AC. Cette solution de passivation n'identifie cependant pas la source de l'erreur, ce qui est en revanche réalisé par les moyens de surveillance 18 conformes à l'invention. La détermination et l'exclusion d'une source d'ordres de guidage latéraux erronées permet, notamment, de répondre aux objectifs suivants : - informer l'équipage de la défaillance de l'équipement, à l'aide des moyens d'alerte 20 ; - éviter de continuer à utiliser une source dont la défectuosité est avérée, à l'aide notamment des moyens de passivation 14 ; et - préparer les opérations de maintenance pour le remplacement de l'équipement défectueux, suite aux informations fournies aux moyens 22.

Dans le mode de réalisation de base de la figure 1, par la surveillance des ordres de commande de roulis engendrés par les N grandes boucles d'asservissement 5, qui ont un impact direct sur la trajectoire de l'aéronef, les moyens de surveillance 18 sont en mesure d'identifier une panne une fois que celle-ci est directement observable. Pour anticiper l'apparition de l'anomalie, un mécanisme supplémentaire est mis en place dans le mode de réalisation préféré de la figure 2. Son principe est de surveiller au moins un paramètre d'entrée de la fonction de transfert des grandes boucles d'asservissement 5.

Dans ce mode de réalisation préféré, lesdits moyens de surveillance 18 comportent des moyens d'anticipation 23 pour déterminer, le cas échéant, de façon anticipée, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef AC. Dans ce mode de réalisation préféré, lesdits moyens de surveillance 18 sont reliés par l'intermédiaire de liaisons 24 aux entrées des grandes boucles d'asservissement 5 des équipements El à E3 pour récupérer les valeurs d'un ou de plusieurs paramètres d'entrée, comme représenté sur la figure 2. Pour des raisons de clarté, on n'a pas représenté les liaisons 10 et 13 et les moyens 8 sur cette figure 2, bien qu'ils soient également présents sur le système 2. Lesdits moyens d'anticipation 23 comportent des éléments intégrés (non représentés) pour réaliser, pour chaque équipement El à E3, les opérations suivantes : - calculer les écarts entre l'ordre de commande de roulis engendré par cet équipement et chacun des ordres de commande engendrés par chacun des autres équipements ; - comparer chacun des écarts ainsi calculés à un seuil de surveillance auxiliaire ; et - considérer que ledit équipement est défaillant, si tous les écarts correspondants sont supérieurs audit seuil de surveillance auxiliaire.

De préférence, les moyens d'anticipation 23 utilisent au moins l'un des paramètres d'entrée suivants : - un écart de position de l'aéronef AC par rapport à la trajectoire, qui influe sur l'ordre de commande de roulis pour corriger cet écart ; - un écart d'orientation de l'aéronef AC par rapport à la trajectoire, qui influe également sur l'ordre de commande de roulis ; et - un roulis nominal qui représente l'ordre de commande de roulis applicable par défaut pour un prochain virage. Ledit roulis nominal est calculé en avance de phase par rapport au prochain virage. Sa surveillance permet d'anticiper un défaut de construction de trajectoire. Cette information peut être utilisée pour invalider un équipement défectueux avant qu'il n'engendre un ordre de commande de roulis erroné. Dans un mode de réalisation particulier, lesdits moyens d'anticipation 23 analysent simultanément les valeurs de plusieurs desdits paramètres d'entrée, pour surveiller un équipement concernant la génération d'ordres de guidage latéraux. A titre d'illustration, la surveillance de l'écart de position et de l'écart d'orientation précités, s'ils sont combinés, permettent d'identifier un problème de définition du plan de vol ou de la trajectoire construite à partir de celui-ci. Leur impact est immédiat sur l'ordre de commande de roulis. En outre, les moyens de surveillance 18 considèrent : - qu'une source est (au moins provisoirement) déclarée défaillante dès qu'elle sort du seuil de surveillance prédéfini ; et - qu'une source est définitivement déclarée défaillante dès que le dépassement du seuil (seuil de surveillance ou seuil de surveillance auxiliaire) est confirmé pendant une durée également prédéfinie. Dans un mode de réalisation préféré, représenté sur les figures 1 et 2

- lesdits équipements El, E2, E3 sont intégrés, chacun, dans un système S1, S2, S3 de gestion de vol, de type FMS (« Flight Management System » en anglais) ; et - lesdits moyens de surveillance 18 sont intégrés dans au moins un système S4 de guidage et de contrôle de vol, de type FCGS (« Flight Control and Guidance System » en anglais). En contexte RNP-AR, la détection d'une anomalie sur l'un de ces paramètres entraîne la déclaration d'un système S1, S2, S3 (de gestion de vol) défectueux aux systèmes de maintenance 22 et le déclenchement d'alertes (moyens 20) dans le poste de pilotage pour informer l'équipage. L'architecture et les différentes fonctions de surveillance décrites ci-dessus permettent ainsi à l'aéronef AC de se conformer aux exigences de sécurité inhérentes aux opérations RNP AR, en étant en mesure de détecter, d'identifier et d'isoler automatiquement un système défaillant. Le mécanisme de surveillance conforme à l'invention fonctionne donc : - de façon basique (figure 1), à partir des ordres de mise en virage, sortie de la fonction de transfert de la grande boucle de guidage ; et - en complément (figure 2), à partir des paramètres d'entrée de la fonction de transfert de la grande boucle de guidage. On notera que, de façon alternative : - l'architecture triplex décrite dans les modes de réalisation particuliers précités, peut être remplacée par un nombre de redondances plus important pour chacun des contributeurs de la fonction ; et - chaque contributeur peut également présenter une architecture interne, dont les redondances ne sont pas basées sur les mêmes systèmes.

Claims (15)

1. REVENDICATIONS1. Procédé de surveillance des ordres de guidage latéraux d'un aéronef (AC) qui est pourvu d'au moins un étage (3) de calcul d'ordres de guidage latéraux, destinés à un système de commande de vol, ledit étage de calcul (3) comprenant : - au moins une grande boucle d'asservissement (5), qui détermine, à partir de paramètres de guidage, un ordre de mise en virage correspondant à un ordre de commande de roulis ; et - au moins une petite boucle d'asservissement (12), qui détermine, à partir dudit ordre de commande de roulis, lesdits ordres de guidage latéraux de l'aéronef, caractérisé en ce que : - on prévoit sur ledit étage (3) de calcul une architecture comprenant au moins N équipements (El, E2, E3), dont chacun est muni au moins d'une grande boucle d'asservissement (5) et est susceptible d'engendrer, en sortie de la grande boucle d'asservissement (5) associée, un ordre de commande de roulis, N étant un entier supérieur ou égal à 3 ; - on réalise, de façon automatique et répétitive, des comparaisons, en comparant entre eux, deux à deux, les ordres de commande de roulis engendrés par lesdits N équipements (El, E2, E3) ; - à partir de ces comparaisons, on détermine, le cas échéant, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef (AC) ; et - lorsqu'un équipement est défaillant, on émet au moins une alerte correspondante dans le poste de pilotage de l'aéronef (AC).
2. 2. Procédé selon la revendication 1, caractérisé en ce que, pour chaque équipement : - on calcule les écarts entre l'ordre de commande de roulis engendré par cet équipement et chacun des ordres de commande engendrés par chacun des autres équipements ;- on compare chacun des écarts ainsi calculés à un seuil de surveillance ; et - on considère que ledit équipement est défaillant, si tous les écarts correspondants sont supérieurs audit seuil de surveillance.
3. 3. Procédé selon l'une des revendications 1 et 2, caractérisé en ce que, de plus, pour au moins un paramètre d'entrée desdites grandes boucles d'asservissement (5) : - on réalise des comparaisons, en comparant entre elles, deux à deux, les valeurs relatives audit paramètre d'entrée, utilisées respectivement par lesdits équipements ; et - à partir de ces comparaisons, on détermine, le cas échéant, de façon anticipée, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef (AC).
4. 4. Procédé selon la revendication 3, caractérisé en ce que, pour chaque équipement : - on calcule les écarts entre la valeur du paramètre d'entrée considéré, utilisée par cet équipement, et chacune des valeurs dudit paramètre d'entrée, utilisées par chacun des autres équipements ; - on compare chacun des écarts ainsi calculés à un seuil de surveillance auxiliaire ; et - on considère que ledit équipement est défaillant, si tous les écarts correspondants sont supérieurs audit seuil de surveillance auxiliaire.
5. 5. Procédé selon l'une des revendications 3 et 4, caractérisé en ce que l'on utilise au moins l'un des paramètres d'entrée suivants : - un écart de position de l'aéronef (AC) par rapport à la trajectoire ; - un écart d'orientation de l'aéronef (AC) par rapport à la trajectoire ; et - un roulis nominal.
6. 6. Procédé selon l'une des revendications 3 à 5, caractérisé en ce que l'on analyse simultanément les valeurs de plusieurs paramètres d'entrée pour surveiller un équipement par rapport à la génération d'ordres de guidage latéraux.
7. 7. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que, lorsque l'on détermine qu'un équipement est défaillant, on informe des moyens de maintenance (22) de cette défaillance.
8. 8. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que l'on considère qu'un équipement est définitivement défaillant, si tous les écarts correspondants sont supérieurs au seuil de surveillance correspondant pendant une durée prédéterminée.
9. 9. Dispositif de surveillance automatique des ordres de guidage latéraux d'un aéronef, ledit dispositif (1) comportant au moins un étage (3) de calcul d'ordres de guidage latéraux, qui sont destinés à un système de commande de vol, ledit étage de calcul (3) comprenant : - au moins une grande boucle d'asservissement (5), qui détermine, à partir de paramètres de guidage, un ordre de mise en virage ; et - au moins une petite boucle d'asservissement (12), qui détermine, à partir dudit ordre de mise en virage, des ordres de guidage latéraux de l'aéronef, caractérisé en ce que : - ledit étage de calcul (3) présente une architecture comprenant au moins N équipements (El, E2, E3), dont chacun est muni au moins d'une grande boucle d'asservissement (5) et est susceptible d'engendrer, en sortie de la grande boucle d'asservissement (5) associée, un ordre de commande de roulis, N étant un entier supérieur ou égal à 3 ; - ledit dispositif (1) comporte, de plus, des moyens de surveillance (18) qui sont formés de manière à réaliser, de façon automatique et répétitive, des comparaisons, en comparant entre eux, deux à deux, les ordres de commande de roulis engendrés par lesdits N équipements (El, E2, E3), et à déterminer, le cas échéant, à partir de ces comparaisons, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef (AC) ; et - des moyens d'alerte (20) pour émettre au moins une alerte correspondante dans le poste de pilotage de l'aéronef (AC), lorsqu'un équipement est défaillant.
10. 10. Dispositif selon la revendication 9, caractérisé en ce que lesdits moyens de surveillance (18) comportent des moyens d'anticipation (23) pour déterminer, le cas échéant, de façon anticipée, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef (AC).
11. 11. Dispositif selon la revendication 10, caractérisé en ce que lesdits moyens d'anticipation (23) sont formés de manière à réaliser, pour au moins un paramètre d'entrée desdites grandes boucles d'asservissement, des comparaisons, en comparant entre elles, deux à deux, les valeurs relatives audit paramètre d'entrée, utilisées respectivement par lesdits équipements, et à déterminer, le cas échéant, à partir de ces comparaisons, de façon anticipée, un équipement qui est défaillant concernant la génération d'ordres de guidage latéraux de l'aéronef (AC).
12. 12. Système de guidage d'un aéronef, ledit système de guidage (2) comprenant au moins un étage (3) de calcul d'ordres de guidage latéraux, qui sont destinés à un système de commande de vol de l'aéronef (AC), caractérisé en ce qu'il comporte un dispositif de surveillance (1) tel que celui spécifié sous l'une quelconque des revendications 9 à 11.
13. 13. Système selon la revendications 12, caractérisé en ce que lesdits moyens de surveillance (18) sont intégrés dans un calculateur de guidage et de contrôle (S4) dudit système de guidage (2).
14. 14. Aéronef, caractérisé en ce qu'il comporte un dispositif de surveillance (1) tel que celui spécifié sous l'une quelconque des revendications 9 à 11.
15. 15. Aéronef, caractérisé en ce qu'il comporte un système de guidage (2) tel que celui spécifié sous l'une des revendication 12 et 13.