FR2983598A1

FR2983598A1 - Procede de surveillance automatique d'operations aeriennes necessitant une garantie de performance de navigation et de guidage.

Info

Publication number: FR2983598A1
Application number: FR1161189A
Authority: FR
Inventors: Sylvain Raynaud; Arnaud Nicolas
Original assignee: Airbus Operations SAS
Current assignee: Airbus Operations SAS
Priority date: 2011-12-06
Filing date: 2011-12-06
Publication date: 2013-06-07
Anticipated expiration: 2031-12-06
Also published as: US20130184899A1; CN103150931B; CN103150931A; US9139289B2; FR2983598B1

Abstract

- Un ensemble de gestion de vol (1) d'un aéronef comporte des moyens de surveillance (15) qui comparent, entre eux, des déviations et des ordres de guidage reçus respectivement de trois systèmes de gestion de vol (2, 3, 4) de manière à pouvoir en déduire une incohérence.

Description

La présente invention concerne un procédé de surveillance automatique d'un ensemble de gestion de vol d'un aéronef, en particulier d'un avion de transport, mettant en oeuvre des opérations aériennes nécessitant une garantie de performance de navigation et de guidage, ainsi qu'un tel ensemble de gestion de vol. Bien que non exclusivement, la présente invention s'applique plus particulièrement à des opérations à performances de navigation requises avec autorisation requise, de type RNP AR (« Required Navigation Performance with Authorization Required » en anglais). Ces opérations RNP AR sont basées sur une navigation de surface de type RNAV (« aRea NAVigation » en anglais) et sur des opérations à performances de navigation requises de type RNP (« Required Navigation Performance » en anglais). Elles présentent la particularité de nécessiter une autorisation spéciale pour pouvoir être opérées ou volées par un aéronef. La navigation de surface de type RNAV permet à un aéronef de voler de point de route (« waypoint » en anglais) en point de route, et non plus de stations sol (de moyens de radionavigation de type NAVAID) en stations sol.

On sait que le concept RNP correspond à une navigation de surface, pour laquelle sont ajoutés (à bord de l'aéronef) des moyens de surveillance et d'alerte qui permettent d'assurer que l'aéronef reste dans un couloir, dit RNP, autour d'une trajectoire de référence et qui autorisent la prise en compte de trajectoires courbes. A l'extérieur de ce couloir se trouve potentiellement du relief ou d'autres aéronefs. La performance requise pour un type d'opération RNP est définie par une valeur RNP qui représente la demi-largeur (en milles nautiques : NM) du couloir autour de la trajectoire de référence, dans lequel l'aéronef doit rester 95% du temps au cours de l'opération. Un second couloir (autour de la trajectoire de référence) de demi-largeur deux fois la valeur RNP est également défini. La probabilité que l'aéronef sorte de ce second couloir doit être inférieure à 10-7 par heure de vol.

Le concept d'opérations RNP AR est plus contraignant encore. Les procédures RNP AR sont, en effet caractérisées par : - des valeurs RNP : - qui sont inférieures ou égales à 0,3NM en approche, et qui peuvent descendre jusqu'à 0,1NM ; et - qui sont strictement inférieures à 1NM au départ et lors d'une remise des gaz, et qui peuvent également descendre jusqu'à 0,1NM ; - un segment d'approche finale qui peut être courbe ; et - des obstacles (montagnes, trafic,...) qui peuvent être situés à deux fois la valeur RNP par rapport à la trajectoire de référence, alors que pour les opérations RNP usuelles, une marge supplémentaire par rapport aux obstacles est prévue. Les autorités aériennes ont défini un niveau de sécurité visé TLS (« Target Level of Safety » en anglais) de 10-7 par opération, quel que soit le type. Dans le cas des opérations RNP AR, comme les valeurs RNP peuvent descendre jusqu'à 0,1NM et les obstacles peuvent être situés à deux fois la valeur RNP de la trajectoire de référence, cet objectif se traduit par une probabilité que l'aéronef sorte du couloir de demi-largeur D=2.RNP qui ne doit pas excéder 10-' parprocédure. Les équipements embarqués à bord des aéronefs (système de gestion de vol, centrale inertielle, moyens d'actualisation de données GPS et moyens de guidage du pilote automatique), ainsi que l'architecture usuelle, ne permettent pas d'atteindre le niveau de sécurité visé, si on ne prévoit pas des moyens opérationnels de mitigation, notamment pour la détection et la gestion des pannes éventuelles. C'est pourquoi une autorisation spéciale est requise pour ce type d'opération, afin d'assurer que les procédures opérationnelles et l'entraînement des pilotes permettent d'atteindre le niveau de sécurité visé. De plus, comme l'équipage doit prendre en charge certaines pannes, les aéronefs ne sont aujourd'hui pas capables de garantir une valeur RNP de 0,1NM sous panne, car l'équipage n'est pas en mesure de tenir les exigences de performance en pilotage manuel.

Sur les aéronefs actuels, la surveillance des opérations RNP AR est réalisée par le biais de deux fonctions usuelles, à savoir : - une première fonction qui surveille la précision et l'intégrité du calcul de position ; et - une deuxième fonction qui permet à l'équipage de surveiller le guidage de l'aéronef. Comme indiqué précédemment, les aéronefs actuels ne sont pas capables de garantir une valeur RNP de 0,1NM sous panne et l'équipage doit être entraîné spécialement pour voler les procédures RNP AR. L'équipage doit, en effet, être capable de détecter et traiter, de façon adéquate, les pannes qui sont susceptibles de compromettre l'opération en cours. L'objectif pour les aéronefs futurs est d'avoir la capacité de voler les procédures RNP AR avec des valeurs RNP jusqu'à 0,1NM, et ceci sans restriction (en situation normale et en cas de panne) en départ, approche et remise de gaz. Pour cela, l'équipage ne doit plus être considéré comme le principal moyen de détection et de traitement des pannes. Par ailleurs, un aéronef est généralement pourvu d'un ensemble de gestion de vol, qui est responsable de la gestion du plan de vol, du calcul de la trajectoire et des déviations/ordres de guidage et qui fonctionne nominalement avec deux systèmes de gestion de vol frontaux (côté pilote et côté copilote) de type FMS (« Flight Management System » en anglais), qui permettent à l'équipage de gérer son vol. Une telle architecture usuelle d'un ensemble de gestion de vol n'est pas compatible avec la conduite d'opérations aériennes nécessitant une garantie de performance de navigation et de guidage. On notera qu'un tel ensemble de gestion de vol peut, dans une architecture usuelle, comporter un troisième système de gestion de vol. Mais, ce troisième système est un système de secours qui est uniquement prévu pour compenser une perte franche d'un des deux systèmes frontaux opérationnels.

La présente invention a pour objet de remédier aux inconvénients précités. Elle concerne un procédé de surveillance automatique d'un ensemble de gestion de vol d'un aéronef mettant en oeuvre des opérations aériennes nécessitant une garantie de performance de navigation et de guidage. La présente invention s'applique à un ensemble de gestion de vol comprenant un premier système de gestion de vol et un deuxième système de gestion de vol, qui sont indépendants, qui permettent aux pilotes de gérer le plan de vol de l'aéronef et qui génèrent des déviations et des ordres de guidage, ainsi qu'un troisième système de gestion de vol.

A cet effet, selon l'invention, ledit procédé de surveillance automatique dudit ensemble de gestion de vol, est remarquable en ce que : a) on compare, entre elles, des données de trajectoire (soit au moins une partie du plan de vol, soit directement la trajectoire de vol, en fonction du mode de réalisation considéré) qui sont générées, respectivement, par lesdits premier et deuxième systèmes de gestion de vol, pour vérifier leur cohérence ; b) lesdits premier et deuxième systèmes de gestion de vol transmettent leurs données de trajectoire audit troisième système de gestion de vol ; c) ledit troisième système de gestion de vol reçoit une position courante de l'aéronef, calcule des déviations entre cette position courante de l'aéronef et une trajectoire de vol dépendant desdites données de trajectoire reçues, qu'il prend en compte uniquement si elles sont identiques, et calcule, en fonctions de ces déviations, des ordres de guidage d'asservissement sur cette trajectoire de vol ; et d) on prévoit des moyens de surveillance qui comparent, entre eux, les déviations et les ordres de guidage reçus desdits premier, deuxième et troisième systèmes de gestion de vol de manière à pouvoir en déduire une incohérence. Lors de la détection d'une telle incohérence provenant d'une panne, les moyens de surveillance sont en mesure d'identifier (parmi lesdits premier, deuxième et troisième systèmes de gestion de vol) le système responsable de la panne et de ne plus le prendre en compte au moins tant que l'opération RNP AR en cours continue à être mise en oeuvre.

Ainsi, grâce à l'invention, on obtient une architecture de type triplex qui est appliquée aux sous-fonctions de l'ensemble de gestion de vol participant à la chaîne de guidage : gestion du plan de vol, calcul de la trajectoire et calcul des déviations/ordres de guidage pour suivre la trajectoire.

Cette architecture triplex permet de répondre aux exigences relatives à des opérations aériennes nécessitant une garantie de performance de navigation et de guidage, comme précisé ci-dessous. En particulier : - ledit troisième système de gestion de vol est formé de manière pouvoir calculer des déviations et des ordres de guidage et, éventuellement, gérer un plan de vol et déterminer une trajectoire de vol. En conséquence, les trois systèmes de gestion de vol sont opérationnels durant le vol et sont capables de fournir toutes les données nécessaires au guidage et à la navigation de l'aéronef, au moins lorsque celui-ci vole une opération de type « RNP AR » ; et - des moyens de surveillance et de comparaison, précisés ci-dessous, sont mis en place entre les trois systèmes de gestion de vol. En conséquence, chacun d'eux fournit de manière indépendante toutes les informations utiles à la chaîne de guidage de l'aéronef.

Dans un mode de réalisation préféré, la présente invention est appliquée à un ensemble de gestion de vol usuel comprenant uniquement deux systèmes de gestion de vol qui permettent aux pilotes de gérer le plan de vol de l'aéronef, le troisième système de gestion de vol étant un système de secours dépourvu notamment de moyens de dialogue avec un pilote. Dans ce mode de réalisation préféré, pour permettre la mise en oeuvre de l'invention, on adapte ledit troisième système, en particulier en lui ajoutant des moyens permettant de mettre en oeuvre ladite étape c) précitée. On obtient ainsi une architecture triplex de type asymétrique, les trois systèmes n'étant pas identiques. Cette architecture triplex asymétrique permet une robustesse à toute panne simple, et devient ainsi compatible avec la conduite d'opérations aériennes nécessitant une garantie de performance de navigation et de guidage. Ledit troisième système de gestion de vol peut également être un système supplémentaire qui est spécialement prévu pour la mise en oeuvre de la présente invention. La présente invention est appliquée de préférence à la surveillance du guidage latéral (plan horizontal) de l'aéronef, mais elle peut également être appliquée à la surveillance du guidage vertical (plan vertical). Par ailleurs, dans un mode de réalisation préféré, lesdites données de trajectoire correspondent à au moins une partie du plan de vol de l'aéronef. Dans ce cas, ledit troisième système de gestion de vol détermine, à partir de cette partie de plan de vol reçue et d'informations issues d'une base de données intégrée, ladite trajectoire de vol. Il doit dans ce cas être en mesure de réaliser les opérations suivantes : - lire une base de données de navigation et en extraire les données utiles ; - séquencer un plan de vol ; - déterminer une trajectoire volable par l'aéronef (calcul des transitions entre les segments) ; - acquérir la position courante de l'aéronef ; et - calculer les ordres de guidage et les déviations (de préférence latérales) par rapport à cette trajectoire. Dans un mode de réalisation simplifié, il est également envisageable que lesdites données de trajectoire correspondent directement à la trajectoire de vol de l'aéronef, de sorte que le troisième système de gestion de vol n'a pas à réaliser les trois premières opérations précédentes. Par ailleurs, avantageusement : - à l'étape b), la transmission d'au moins une partie desdites données de trajectoire est protégée par un contrôle de redondance cyclique, de type CRC (« Cyclic Redundancy Check » en anglais) ; et/ou - à l'étape c), ledit troisième système de gestion de vol vérifie la cohérence de données reçues par rapport à des données enregistrées, de préférence celles qui n'ont pas été transmises de façon protégée ; et/ou - on réalise une mise à jour de données de plan de vol dans le troisième système de gestion de vol par l'intermédiaire d'au moins l'un desdits premier et deuxième systèmes de gestion de vol. En outre, avantageusement, si les données de trajectoire comparées à l'étape a) sont différentes (non identiques), les moyens de surveillance détectent une incohérence entre les données générées par lesdits premier et 10 deuxième systèmes de gestion de vol. Dans le cadre de la présente invention, la surveillance conforme à l'invention peut être active en permanence. Toutefois, cette surveillance peut également se trouver dans un état inactif et être activée si nécessaire. Dans ce cas, l'activation des opérations réalisées aux étapes a) à d) peut être mise 15 en oeuvre : - de façon automatique, lorsque des critères particuliers sont remplis, relatifs par exemple à la configuration de l'aéronef et aux valeurs courantes de paramètres de vol ; et/ou - de façon manuelle par un opérateur, à l'aide d'une interface 20 homme/machine. La surveillance automatique conforme à l'invention est particulièrement adaptée au contexte RNP, mais peut être étendue à tout vol qui nécessite un niveau élevé d'intégrité, de robustesse aux pannes et de surveillance, pour le suivi d'un plan de vol. 25 La présente invention concerne également un ensemble de gestion de vol d'un aéronef mettant en oeuvre des opérations aériennes nécessitant une garantie de performance de navigation et de guidage et comprenant un premier système de gestion de vol et un deuxième système de gestion de vol, qui sont indépendants, qui gèrent un plan de vol de l'aéronef et génèrent des 30 déviations et des ordres de guidage, ainsi qu'un troisième système de gestion de vol.

Selon l'invention, ledit ensemble de gestion de vol est remarquable en ce que : - il comporte de plus des moyens pour comparer, entre elles, des données de trajectoire générées respectivement par lesdits premier et deuxième systèmes de gestion de vol, ces données de trajectoire étant transmises par lesdits premier et deuxième systèmes de gestion de vol audit troisième système de gestion de vol ; - ledit troisième système de gestion de vol comprend au moins des moyens pour recevoir une position courante de l'aéronef, des moyens pour calculer des déviations entre cette position courante de l'aéronef et une trajectoire de vol dépendant desdites données de trajectoire reçues, qui sont prises en compte uniquement si elles sont identiques, et des moyens pour calculer, en fonctions de ces déviations, des ordres de guidage d'asservissement sur cette trajectoire de vol ; et - ledit ensemble de gestion de vol comporte de plus des moyens de surveillance pour comparer, entre eux, les déviations et les ordres de guidage reçus respectivement desdits premier, deuxième et troisième systèmes de gestion de vol de manière à pouvoir en déduire une incohérence. On obtient ainsi une architecture triplex, de préférence type asymétrique. Dans un mode de réalisation préféré, ledit troisième système de gestion de vol comprend, de plus : - des moyens pour lire une base de données de navigation et en extraire des données ; 25 - des moyens pour séquencer un plan de vol ; et - des moyens pour déterminer une trajectoire volable par l'aéronef. La présente invention concerne également un aéronef, en particulier un avion de transport, qui est muni d'un ensemble de gestion de vol, tel que précité. 30 L'unique figure du dessin annexé fera bien comprendre comment l'invention peut être réalisée. Cette figure unique est le schéma synoptique d'un ensemble de gestion de vol conforme à l'invention. L'ensemble 1 conforme à l'invention et représenté, de façon schématique, sur la figure est un ensemble de gestion de vol d'un aéronef (non représenté), en particulier d'un avion de transport, qui est susceptible de mettre en oeuvre des opérations aériennes nécessitant une garantie de performance de navigation et de guidage. Ledit ensemble de gestion de vol 1 qui est responsable, de façon usuelle, notamment de la gestion du plan de vol et du calcul de trajectoire et de déviations et d'ordres de guidage, comporte, une unité 10. Cette unité 10 10 comprend notamment : - un premier système de gestion de vol 2 usuel qui permet au pilote de l'aéronef de gérer le plan de vol dudit aéronef et qui calcule, en particulier, des déviations et des ordres de guidage ; et - un deuxième système de gestion de vol 3 usuel qui permet au copilote de 15 l'aéronef de gérer le plan de vol dudit aéronef et qui calcule, en particulier, des déviations et des ordres de guidage. Ces deux systèmes de gestion de vol 2 et 3, dits « frontaux », sont de type FMS (« Flight Management System » en anglais). Dans un mode de réalisation préféré, la présente invention est 20 appliquée à un ensemble de gestion de vol 1 usuel qui comprend, de plus, dans l'unité 10, un troisième système de gestion de vol 4 qui est un système de secours dépourvu notamment de moyens de dialogue avec l'équipage. Ce système 4 n'est donc pas accessible par l'équipage qui ne peut donc interagir avec lui. Ainsi, un tel système 4 ne peut pas avoir accès au plan de vol via 25 une entrée manuelle de l'équipage, et il sert uniquement à remplacer l'un des deux systèmes 2 et 3 opérationnels en cas de perte franche de l'un de ces systèmes 2 et 3. De façon usuelle, ledit ensemble de gestion de vol 1 comporte également, les moyens suivants, non représentés spécifiquement : - un ensemble de sources d'informations, qui fournit notamment, de façon usuelle, le plan de vol de l'aéronef, ainsi que les valeurs courantes de paramètres relatifs au vol de l'aéronef et à son environnement ; - au moins une base de données qui contient des données de navigation et des informations relatives à une procédure RNP ; et - une interface homme/machine. Selon l'invention, ledit ensemble de gestion de vol 1 est tel que : - l'unité 10 comporte, de plus, des moyens 5 pour comparer, entre elles, des données de trajectoire générées respectivement par lesdits systèmes de gestion de vol 2 et 3 et reçus respectivement par des liaisons 6 et 7. Ces moyens 5 peuvent, par exemple, être intégrés dans l'un desdits systèmes de gestion de vol 2 et 3. Lesdits systèmes de gestion de vol 2 et 3 transmettent ces données de trajectoire par l'intermédiaire respectivement de liaisons 8 et 9 audit système de gestion de vol 4 ; - ledit système de gestion de vol 4 comprend au moins : - des moyens 11 pour acquérir une position courante de l'aéronef ; et - des moyens 12 pour calculer des déviations entre cette position courante de l'aéronef et une trajectoire de vol dépendant desdites données de trajectoire reçues, qui sont prises en compte uniquement si elles sont identiques, comme précisé ci-dessous, et pour calculer, en fonctions de ces déviations, des ordres de guidage d'asservissement sur cette trajectoire de vol ; et - ledit ensemble de gestion de vol 1 comporte, de plus, un système de surveillance 14 qui comprend des moyens de surveillance 15 pour comparer, entre eux, les déviations et les ordres de guidage reçus, respectivement, desdits systèmes de gestion de vol 2, 3, et 4 de manière à pouvoir en déduire une incohérence. Lors de la détection d'une telle incohérence qui provient d'une panne, les moyens de surveillance 15 sont en mesure d'identifier, parmi lesdits systèmes de gestion de vol 2, 3, et 4, le système qui est responsable de la panne et de ne plus le prendre en compte au moins tant que l'opération RNP AR en cours continue à être mise en oeuvre. Ainsi, ledit ensemble de gestion de vol 1 conforme à l'invention, présente une architecture de type triplex qui est appliquée aux sous-fonctions de cet ensemble participant à la chaîne de guidage : gestion du plan de vol, calcul de la trajectoire et calcul des déviations/ordres de guidage pour suivre la trajectoire, comme précisé ci-dessous. Cette architecture triplex permet de répondre aux exigences relatives à des opérations aériennes nécessitant une garantie de performance de navigation et de guidage.

En particulier : - ledit système de gestion de vol 4 est formé de manière pouvoir calculer des déviations et des ordres de guidage et, éventuellement, gérer un plan de vol et déterminer une trajectoire de vol. En conséquence, les trois systèmes de gestion de vol 2, 3 et 4 sont opérationnels durant le vol et sont capables de fournir toutes les données nécessaires au guidage et à la navigation de l'aéronef, au moins lorsque celui-ci vole une opération de type « RNP AR » ; et - un système 14 de surveillance et de comparaison est mis en place entre les trois systèmes de gestion de vol 2, 3 et 4. De préférence, les moyens 15 de ce système 14 sont intégrés dans un calculateur de commandes de vol 16 qui est relié par l'intermédiaire de liaisons 17, 18 et 19 respectivement auxdits systèmes 2, 3 et 4. En conséquence, chacun d'eux fournit de manière indépendante toutes les informations utiles à la chaîne de guidage de l'aéronef.

Dans le mode de réalisation préféré précité, se basant sur un ensemble 1 usuel (avec un système 4 de secours), il est impossible de mettre en place une architecture dite « symétrique », dans laquelle trois systèmes identiques effectuent tous les mêmes opérations en même temps. Aussi, dans ce mode de réalisation préféré, on adapte ledit système 4, comme précisé ci- dessous, pour qu'il puisse réaliser les opérations nécessaires à la mise en oeuvre de la présente invention. Il est à noter que la spécificité de ce troisième système 4 procure un gain de fiabilité en cas de panne de logiciel affectant les deux systèmes frontaux 2 et 3 simultanément. En effet, le code du système 4 étant différent, on diminue la probabilité qu'il soit lui également affecté par une telle panne.

On obtient ainsi une architecture triplex de type asymétrique, les trois systèmes 2, 3 et 4 n'étant pas identiques. Cette architecture triplex asymétrique permet une robustesse à toute panne simple et devient ainsi compatible avec la conduite d'opérations aériennes nécessitant une garantie de performance de navigation et de guidage.

Lors de la conduite d'opérations « RNP AR », des surveillances de la chaîne de navigation et de guidage sont mises en place (via le système de surveillance 14) afin de détecter toute panne pouvant entraîner une sortie du corridor dans lequel l'aéronef doit être maintenu. Ce maintien nécessite une surveillance du guidage latéral (dans un plan horizontal) de l'aéronef. En conséquence, dès le début de l'opération « RNP AR », le système 4 doit être capable de calculer de manière autonome la trajectoire de l'aéronef et les déviations et ordres latéraux de guidage associés. Tant que l'opération « RNP AR » est en cours, le système 4 assure continuellement l'envoi de ces paramètres au calculateur de commandes de vol 16 pour permettre à ce dernier d'effectuer la surveillance et de détecter une éventuelle panne, via les moyens 15. Il est à noter que toutes les fonctions d'un système FMS ne sont pas activées dans le mode de secours du système 4. Ainsi, notamment, ledit système 4 : - ne peut pas être directement mis à jour par l'équipage via une interface homme/machine usuelle ; - ne calcule pas de prédictions le long de la trajectoire ; et - ne calcule ni un profil vertical, ni les ordres et déviations associés. On notera que, dans le cadre de la présente invention, ledit système 30 de gestion de vol 4 peut également être un nouveau système qui est spécialement dédié à la mise en oeuvre de la présente invention.

Dans l'architecture représentée sur la figure unique : - chaque système 2, 3 et 4 récupère, via une liaison 21, 22, 23, la position courante de l'aéronef, consolidée par une centrale de référence inertielle 24 intégrant les fonctions de la centrale anémobarométrique, de type ADIRS (« Air Data and Inertial Reference System » en anglais), afin de pouvoir séquencer son plan de vol en fonction de la position courante de l'aéronef ; - chaque système 2, 3 et 4 calcule les déviations et les ordres de guidage et les envoie : - via une liaison 25 (reliée aux liaisons 17, 18 et 19) au calculateur de commandes de vol 16 (pour une surveillance automatique par l'intermédiaire des moyens 15) ; et - via une liaison 26 (également reliée aux liaisons 17, 18 et 19) à des moyens d'affichage 27, de type CDS (« Control Display System » en anglais), pour une surveillance visuelle effectuée par l'équipage ; - les systèmes 2 et 3 envoient les données de plan de vol au système 4, ces données étant protégées par un contrôle de redondance cyclique, de type CRC (« Cyclic Redundancy Check » en anglais) ; et - une fonction « FPLN + CRC » permet au système 4 : - d'avoir un plan de vol identique aux systèmes 2 et 3 ; - d'avoir toutes les données pour calculer des déviations et des ordres de guidage cohérents, ces informations étant envoyées aux moyens 16 et 27 ; et - d'éviter qu'une panne conduisant à une valeur erronée de plan de vol dans l'un des systèmes 2 et 3 ne soit propagée audit système 4.

A la moindre panne, la présente invention garantit que celle-ci est détectée par le système de surveillance 14 (comprenant notamment les moyens 15, 5, 31, 32) et que le système 2, 3, 4 responsable est identifié et éliminé de la chaîne de navigation. Ainsi : - si les plans de vol des systèmes 2 et 3 sont différents (quelle que soit la raison) et que la différence affecte une portion « RNP AR », la liaison entre ces systèmes 2 et 3 est interrompue pour éviter la propagation de la panne ; - si les systèmes 2 et 3 envoient des données différentes au système 4, celui-ci le détecte par la fonction « FPLN + CRC », et il n'accepte pas ces données tant que la différence persiste ; et - comme les déviations et les ordres de guidage sont constamment envoyés 5 aux moyens 15 par les trois systèmes 2, 3 et 4, ceux-ci peuvent détecter une panne, et identifier et éliminer le système responsable. On peut également prévoir des moyens d'alerte destinés à émettre au moins une alerte (visuelle ou sonore) dans le poste de pilotage de l'aéronef en cas de détection d'une panne. 10 La présente invention est appliquée de préférence à la surveillance du guidage latéral (plan horizontal), mais il est envisageable qu'elle puisse également être appliquée à la surveillance du guidage vertical (plan vertical). Par ailleurs, dans un mode de réalisation préféré, lesdites données de trajectoire correspondent à au moins une partie du plan de vol de l'aéronef. 15 Dans ce cas, ledit système 4 détermine, à partir de cette partie du plan de vol et d'informations issues d'une base de données intégrée, ladite trajectoire de vol. A cet effet, il comporte : - des moyens 28 pour lire une base de données de navigation et en extraire les données utiles ; 20 - des moyens 29 pour séquencer un plan de vol ; et - des moyens 30 pour déterminer une trajectoire volable par l'aéronef (calcul des transitions entre les segments). Dans un mode de réalisation simplifié, les données de trajectoire transmises par les systèmes 2 et 3 au système 4 correspondent directement à 25 la trajectoire de vol de l'aéronef, de sorte qu'il n'est pas nécessaire que le système 4 comprenne lesdits moyens 28, 29 et 30. Ce mode de réalisation simplifié permet, ainsi, de s'affranchir du besoin d'une base de données de navigation et de la capacité à gérer un plan de vol et à construire une trajectoire, ce qui peut permettre de déporter les fonctionnalités simples 30 (nécessaires à la mise en oeuvre de l'invention) dans un autre système avionique pré-existant notamment pour obtenir un gain de masse.

De préférence, la transmission d'au moins une partie des données de trajectoire, et notamment du plan de vol, est protégée par un contrôle de redondance cyclique, de type CRC (« Cyclic Redundancy Check » en anglais. Ainsi, le système 4 reçoit de l'un des systèmes 2 et 3 une partie du plan de vol et le code CRC correspondant, et de l'autre système le code CRC, il compare (à l'aide de moyens 31) les deux codes, et il refuse la mise à jour de son plan de vol en cas de différence entre ces deux codes. Ledit système 4 comporte, de plus, des moyens 32 pour vérifier la cohérence de données (reçues et non protégées par un contrôle de redondance cyclique) par rapport à des données enregistrées dans sa base de données de navigation. Ces moyens 32 peuvent être utilisés, non seulement pour comparer certaines valeurs codées en base de données avec le contenu reçu, mais également pour comparer une trajectoire reçue avec le contenu de la base de données (cela consiste à comparer un squelette de plan de vol et une trajectoire) pour permettre de valider la cohérence de la trajectoire finale calculée avec l'information initiale codée en base de données (par exemple pour s'affranchir d'erreurs de calcul de trajectoire). Dans le cadre de la présente invention, on met donc en place une série de logiques spécifiques au fonctionnement du système 4 pour lui permettre d'assurer ses fonctions : A/ définition/envoi par les systèmes frontaux 2 et 3 d'une sous-partie de plan de vol spécifique. La transmission du plan de vol complet vers le système 4 étant lourde et longue, on ne sélectionne qu'une partie à envoyer de manière régulière ; B/ sécurisation de l'envoi de plan de vol des systèmes frontaux 2 et 3 vers le système 4 par CRC partiel, et comparaison d'une partie des données avec la base de données de navigation du système 4. La comparaison du contenu du « sous-plan » de vol à envoyer par les systèmes frontaux 2 et 3 est réalisée avant l'envoi. Cette comparaison se fait par CRC, sauf pour les paramètres variant de manière continue avec des précisions très élevées (une très faible différence entre les systèmes frontaux 2 et 3 est susceptible d'apparaître et la vérification CRC ne passerait alors pas). Une sous-partie seulement du sous-plan de vol est donc protégée par CRC et comparée. La partie restante est transmise au système 4 telle quelle. Lors de la réception du sous-plan de vol, le système 4 réalise deux opérations. Il effectue d'abord (par les moyens 31) une vérification du contenu protégé par CRC. Puis, pour le contenu non protégé, il effectue (par les moyens 32) une vérification de la cohérence des informations de plan de vol par rapport à sa propre base de données ; C/ conditions spécifiques de mise à jour du plan de vol du système 4 par les systèmes frontaux 2 et 3. Comme seule une partie du plan de vol est envoyée au système 4, une mise à jour régulière doit être réalisée. En cas de perte de cohérence entre le contenu du plan de vol des systèmes frontaux 2 et 3 et celui du système 4, si la perte est due à une mise à jour du plan de vol par les pilotes, le système 4 détecte cette incohérence et considère son contenu comme obsolète tant qu'une nouvelle réception de la part des systèmes frontaux 2 et 3 n'a pas eu lieu.

Les conditions de mise à jour du contenu du système 4 par les systèmes frontaux 2 et 3 peuvent être optimisées pour ne couvrir que les changements ou que les changements à court terme (proche de la position actuelle de l'aéronef) ; D/ conditions de reconfiguration du système 4 en système frontal 25 opérationnel. En cas de perte d'un système frontal, le système 4 peut, soit rester en configuration de système de secours, soit se reconfigurer en système frontal opérationnel. En cas de double perte simultanée des systèmes frontaux 2 et 3, le 30 système 4 le détecte et reste en configuration de secours, et prend alors en charge le guidage latéral de l'aéronef jusqu'à la fin de la procédure. Le système 4 n'ayant pas de fonction d'affichage de trajectoire, dans le cas où il guide l'aéronef, la trajectoire affichée provient des systèmes d'affichage qui ont mémorisé la dernière trajectoire reçue par les systèmes frontaux 2 et 3.

Dans le cadre de la présente invention, la surveillance mise en place peut être active en permanence. Toutefois, cette surveillance peut également être initialement non active et être activée si nécessaire. Une telle activation peut être mise en oeuvre : - de façon automatique, dès que l'aéronef se trouve dans un environnement contraint et doit voler une opération « RNP AR ». Dans ce cas, toute l'architecture et les algorithmes de surveillance associés sont automatiquement activés. La désactivation de l'architecture se fait de manière automatique dès que l'aéronef sort de l'environnement contraint. Par conséquent, cette opération est transparente pour l'équipage qui n'est alerté qu'en cas de panne, afin qu'il puisse réagir conformément aux procédures opérationnelles ; et - de façon manuelle par un opérateur, notamment un pilote, à l'aide d'une interface homme/machine (non représentée spécifiquement), de préférence au moyen d'une page d'écran permettant à l'équipage d'interagir avec l'ensemble 1. Une désactivation de la surveillance peut être réalisée de manière similaire. L'architecture et les différentes fonctions de surveillance, décrites ci-dessus, permettent à l'aéronef de se conformer aux exigences de sécurité inhérentes aux opérations RNP AR, en étant en mesure de détecter et d'identifier automatiquement un système défaillant. L'architecture triplex asymétrique conforme à l'invention peut être appliquée à des opérations aériennes de type RNP, mais elle peut également être utilisée pour toute partie de vol qui nécessite un niveau élevé d'intégrité, de robustesse aux pannes et de surveillance, pour le suivi d'un plan de vol.

Par exemple, elle peut être utilisée pour des opérations en environnement montagneux, pour lesquelles des procédures RNP n'auraient pas été créées.

Cela est d'autant plus vrai que le système 4 n'est pas activé uniquement en contexte RNP AR, il est actif durant tout le vol même s'il n'est pas forcément utilisé et/ou surveillé par les moyens de surveilllance RNP.

Claims

REVENDICATIONS1. Procédé de surveillance automatique d'un ensemble de gestion de vol d'un aéronef mettant en oeuvre des opérations aériennes nécessitant une garantie de performance de navigation et de guidage, ledit ensemble (1) comprenant un premier système de gestion de vol (2) et un deuxième système de gestion de vol (3), qui sont indépendants, qui permettent aux pilotes de gérer un plan de vol de l'aéronef et qui génèrent des déviations et des ordres de guidage, ainsi qu'un troisième système de gestion de vol (4), caractérisé en ce que : a) on compare, entre elles, des données de trajectoire générées respectivement par lesdits premier et deuxième systèmes de gestion de vol (2, 3) pour vérifier leur cohérence ; b) lesdits premier et deuxième systèmes de gestion de vol (2, 3) transmettent leurs données de trajectoire audit troisième système de gestion de vol (4) ; c) ledit troisième système de gestion de vol (4) reçoit une position courante de l'aéronef, calcule des déviations entre cette position courante de l'aéronef et une trajectoire de vol dépendant desdites données de trajectoire reçues desdits premier et deuxième systèmes de gestion de vol (2, 3), qu'il prend en compte uniquement si elles sont identiques, et calcule, en fonctions de ces déviations, des ordres de guidage d'asservissement sur cette trajectoire de vol ; et d) on prévoit des moyens de surveillance (15) qui comparent, entre eux, les déviations et les ordres de guidage reçus desdits premier, deuxième et troisième systèmes de gestion de vol (2, 3, 4) de manière à pouvoir en déduire une incohérence.
2. Procédé selon la revendication 1, caractérisé en ce qu'à l'étape b), la transmission d'au moins une partie 30 desdites données de trajectoire est protégée par un contrôle de redondance cyclique.
3. Procédé selon l'une des revendications 1 et 2, caractérisé en ce que lesdites données de trajectoire correspondent à la trajectoire de vol de l'aéronef.
4. Procédé selon l'une des revendications 1 et 2, caractérisé en ce que lesdites données de trajectoire correspondent à au moins une partie du plan de vol de l'aéronef, et en ce que ledit troisième système de gestion de vol (4) détermine, à partir de cette partie de plan de vol et d'informations issues d'une base de données intégrée, ladite trajectoire de vol.
5. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que ledit troisième système de gestion de vol (4) est un système de secours dépourvu de moyens de dialogue avec un pilote, auquel on a ajouté des moyens permettant de mettre en oeuvre au moins ladite étape c).
6. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'à l'étape c), ledit troisième système de gestion de vol (4) vérifie la cohérence de données reçues par rapport à des données enregistrées.
7. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que, si les données de trajectoire comparées à l'étape a) sont différentes, les moyens de surveillance détectent une incohérence entre les données générées par lesdits premier et deuxième systèmes de gestion de vol (2, 3).
8. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que l'on réalise une mise à jour de données de plan de vol dans le troisième système de gestion de vol (4), par l'intermédiaire d'au moins l'un desdits premier et deuxième systèmes de gestion de vol (2, 3).
9. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que l'activation des opérations réalisées aux étapes a) à d) 30 est mise en oeuvre de façon automatique.
10. Procédé selon l'une quelconque des revendications précédentes,caractérisé en ce que l'activation des opérations réalisées aux étapes a) à d) est mise en oeuvre de façon manuelle par un opérateur, à l'aide d'une interface homme/machine.
11. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que, si les moyens de surveillance (15) détectent une incohérence à l'étape d), ils identifient le système responsable de sorte que ses données ne sont plus prises en compte.
12. Ensemble de gestion de vol d'un aéronef, permettant de mettre en oeuvre des opérations aériennes nécessitant une garantie de performance de navigation et de guidage et comportant un premier système de gestion de vol (2) et un deuxième système de gestion de vol (3), qui sont indépendants, qui permettent aux pilotes de gérer un plan de vol de l'aéronef et qui génèrent des déviations et des ordres de guidage, ainsi qu'un troisième système de gestion de vol (4), caractérisé en ce que : - ledit ensemble de gestion de vol (1) comporte de plus des moyens (5) pour comparer, entre elles, des données de trajectoire générées respectivement par lesdits premier et deuxième systèmes de gestion de vol (2, 3), ces données de trajectoire étant transmises par lesdits premier et deuxième systèmes de gestion de vol (2, 3) audit troisième système de gestion de vol (4) - - ledit troisième système de gestion de vol (4) comprend au moins des moyens (11) pour recevoir une position courante de l'aéronef, des moyens (12) pour calculer des déviations entre cette position courante de l'aéronef et une trajectoire de vol dépendant desdites données de trajectoire reçues, qui sont prises en compte uniquement si elles sont identiques, et des moyens (12) pour calculer, en fonctions de ces déviations, des ordres de guidage d'asservissement sur cette trajectoire de vol ; et - ledit ensemble de gestion de vol (1) comporte de plus des moyens de surveillance (15) pour comparer, entre eux, les déviations et les ordres de guidage reçus respectivement desdits premier, deuxième et troisièmesystèmes de gestion de vol (2, 3, 4) de manière à pouvoir en déduire une incohérence.
13. Ensemble selon la revendication 12, caractérisé en ce que ledit troisième système de gestion de vol (4) comprend, de plus : - des moyens (28) pour lire au moins une base de données de navigation et en extraire des données ; - des moyens (29) pour séquencer un plan de vol ; et - des moyens (30) pour déterminer une trajectoire volable par l'aéronef.
14. Aéronef, caractérisé en ce qu'il comporte un ensemble de gestion de vol (1) tel que celui spécifié sous l'une des revendications 12 et 13.