FR3017705A1 - Procede de fusion de donnees de capteurs. - Google Patents

Description

PROCEDE DE FUSION DE DONNEES DE CAPTEURS. DESCRIPTION DOMAINE TECHNIQUE La présente invention concerne le domaine de la fusion de mesures de capteurs, plus particulièrement pour estimer un paramètre de vol d'un aéronef. ÉTAT DE LA TECHNIQUE ANTÉRIEURE Un aéronef est équipé d'un grand nombre de capteurs permettant de mesurer ses paramètres de vol (vitesse, attitude, position, altitude, etc.), et plus généralement son état à chaque instant. Ces paramètres de vol sont utilisés ensuite par des systèmes avioniques, notamment le système de pilotage automatique, les calculateurs de vol (Flight Control Computer Systems), le système de contrôle et de guidage de l'aéronef (Flight Guidance System), systèmes parmi les plus critiques de l'aéronef. En raison de la criticité de ces systèmes, les capteurs sont redondants, c'est-à-dire que plusieurs capteurs fournissent des mesures d'un même paramètre. Ces différentes mesures sont ensuite traitées par un procédé de fusion de mesures afin de fournir une estimation du paramètre la plus juste possible. L'estimation du paramètre est par exemple une valeur moyenne, ou une valeur médiane de plusieurs mesures fournies chacune par un capteur distinct. L'estimation du paramètre est également nommée « valeur consolidée », ou « valeur estimée ». Afin d'améliorer l'estimation du paramètre, les procédés de fusion de mesures comprennent généralement une recherche d'une éventuelle anomalie sur l'un des capteurs, afin de ne pas prendre en compte une mesure aberrante fournie par un capteur présentant une anomalie.

On connaît par exemple un procédé de fusion de mesures comprenant, à chaque instant, les étapes suivantes : calcul de la valeur médiane des mesures fournies par les différents capteurs ; - positionnement des mesures fournies par les capteurs relativement à une bande de tolérance de largeur prédéterminée, centrée sur ladite valeur médiane ; élimination des mesures situées en dehors de cette bande de tolérance ; estimation de la valeur du paramètre à partir des mesures restantes. L'étape de positionnement des mesures relativement à une bande de tolérance réalise une recherche d'une éventuelle anomalie sur l'un des capteurs, cette anomalie se révélant par la fourniture d'une mesure aberrante.

Un inconvénient d'un tel procédé de fusion de mesures est qu'il ne permet pas de déterminer de façon fiable une probabilité de fausse alarme, c'est-à-dire la probabilité de considérer qu'un capteur présente une anomalie, alors qu'il n'en présente pas. Un objectif de la présente invention est de proposer un procédé de fusion de mesures de capteurs, plus particulièrement pour estimer un paramètre de vol d'un aéronef, qui permette de déterminer de façon fiable une probabilité de fausse alarme. EXPOSÉ DE L'INVENTION Cet objectif est atteint avec un procédé de fusion de mesures d'un paramètre, en particulier un paramètre de vol d'un aéronef, à partir de mesures de ce paramètre fournies respectivement par une pluralité de capteurs. Le procédé selon l'invention comprend les étapes et sous-étapes suivantes : 1) recherche d'une éventuelle anomalie sur l'un parmi au moins deux capteurs dits capteurs d'intérêt, comprenant les sous-étapes suivantes : la) pour chaque capteur d'intérêt, calcul d'un écart dit de détection, proportionnel à la valeur absolue d'une différence entre une mesure fournie par ce capteur d'intérêt, et une estimation du paramètre calculée à partir des mesures fournies par les autres capteurs d'intérêt ; lb) comparaison de chaque écart de détection à un seuil prédéterminé correspondant ; 1c) en fonction du résultat des comparaisons, détermination de la présence ou l'absence d'une anomalie sur l'un des capteurs d'intérêt avec une probabilité totale de fausse alarme déterminée ; et 2) fusion de mesures fournies par les capteurs d'intérêt, pour fournir une estimation du paramètre, dite estimation finale.

Chaque capteur d'intérêt est associé à une loi normale caractéristique de l'erreur totale sur la mesure qu'il fournit, en l'absence d'anomalie. Cette loi normale est notée N(µ,; o-,), où a- est un écart-type, et p., est une moyenne. On note y, la mesure fournie par le capteur d'intérêt i, et )F1, une estimation du paramètre calculée à partir des mesures fournies par les autres capteurs d'intérêt, c'est-à-dire en excluant le capteur d'intérêt i. L'écart de détection relatif au capteur d'intérêt i est noté T, et selon l'invention on a : (1) Soit x la valeur réelle du paramètre, on a, lorsque tous les capteurs d'intérêt fonctionnent correctement : V3i = Yi - = (yi - x) + (x - = Vli + V2i (2) = (y, - x) est la différence entre la mesure fournie par le capteur d'intérêt i et la valeur réelle du paramètre. Il s'agit de l'erreur sur la mesure fournie par le capteur d'intérêt i. Il s'agit donc d'une variable aléatoire définie, en l'absence d'anomalie sur le capteur d'intérêt i, par une loi normale de moyenne p.' d'écart-type o-, et de variance 0-7, notée N(µ,; o-, ). Cette loi normale est déterminée à partir de la caractérisation des erreurs de chaque capteur i. V2i = (x -5C1-3 est la différence entre l'estimation obtenue à partir des mesures fournies par les capteurs d'intérêt autres que le capteur i et la valeur réelle du paramètre. Il s'agit de l'erreur sur l'estimation obtenue à partir des mesures fournies par les capteurs d'intérêt autres que le capteur i. Il s'agit donc d'une variable aléatoire définie, en l'absence d'anomalie sur ces capteurs d'intérêt, par une loi normale de moyenne de variance a2i , notée 6_,). Cette loi normale est déterminée à partir de la caractérisation des erreurs de chaque capteur i.

La variance a_i dépend des valeurs des différents al, j# i, et du mode de calcul de La moyenne kt_i dépend des valeurs des différentes pti,j # et du mode de calcul de Pour chaque capteur, la loi normale caractéristique de l'erreur totale sur la mesure qu'il fournit est avantageusement ramenée à une loi normale centrée, afin de s'affranchir de calcul de la moyenne Les variables V1, et V2, sont des variables aléatoires indépendantes, car V1, est calculé seulement à partir de la mesure fournie par le capteur d'intérêt i, et V2, est calculé à partir des mesures fournies par tous les autres capteurs d'intérêt j=i. Leur covariance est nulle, de sorte qu'en l'absence d'anomalie sur les capteurs d'intérêt, la variable V3,=V1,+V2, est définie par une loi normale dont la variance est égale à 0-7+0-2i . On note cette variance aT2i. C'est bien parce que V1, et V2, sont des variables aléatoires indépendantes que la variance de V3, est égale à la somme des variances de V1, et V2,.

Le fait que les variables aléatoires V1, et V2, soient indépendantes implique également que la variable aléatoire V3, est définie par une loi normale de moyenne p.T, égale à la somme des moyennes p., et La variable V3, peut donc être définie, en l'absence d'anomalie sur les capteurs d'intérêt, par une loi normale dont la variance est égale à = 0-7+0-2i, et dont la moyenne est égale à p.T, = µi + notée .N(I aTi). A partir de cette loi normale, on peut en déduire la valeur d'un seuil prédéterminé associé à l'écart de détection Ti distinguant le cas où l'un des capteurs d'intérêt présente une anomalie, du cas où aucun des capteurs d'intérêt ne présente une anomalie. Ce seuil est associé à une probabilité de fausse alarme notée PFAI, qui correspond à la probabilité de considérer, à partir de la comparaison entre l'écart de détection Ti et un seuil Td, qu'un capteur d'intérêt présente une anomalie alors qu'il n'en présente pas. La probabilité de fausse alarme PFA1 est liée à l'écart de détection Ti, mais pas forcément au capteur i lui-même. Ce peut être un autre capteur qui présente l'anomalie. Dans la suite, on détaille l'exemple dans lequel Ti = lyi = 1V3il. L'homme du métier saura aisément adapter cet exemple en fonction du facteur de proportionnalité entre 1V3,1 et Ti (voir équation (3)).

On fait l'hypothèse qu'un seul des capteurs peut présenter une anomalie, à un instant t. On note : H0 l'hypothèse selon laquelle l'ensemble des capteurs d'intérêt fonctionne correctement ; H1 l'hypothèse selon laquelle l'un des capteurs d'intérêt présente une anomalie ; et Td, la valeur du seuil prédéterminé (lié à l'écart de détection Ti), tel que Ti > Td, implique que l'on accepte l'hypothèse H1 (et on rejette l'hypothèse H0).

On peut relever qu'il importe peu de savoir quel écart Ti a dépassé le seuil de détection Tdi, car cela ne permettra pas d'en déduire que c'est le capteur d'intérêt i qui présente une anomalie. On ne distingue donc pas plusieurs hypothèses H1, qui seraient liées chacune à un écart Ti.

La probabilité de fausse alarme correspond alors à la probabilité de rejeter l'hypothèse H0 alors que l'hypothèse H0 est vraie. Cette probabilité de fausse alarme peut s'exprimer à partir de l'écart de détection Ti : PFAi = P i 7' de (IiTi; aT i)) + co PFAi = T di 67,i)(t)dt, où fi/-(,Ti; est la densité de probabilité correspondant à la loi .7^f(piTi; an); PFAi = 1 - où aTi) est la fonction de répartition de la loi .N(I an). De sorte que le seuil de décision Tdi est défini par : Tdi = p,Ti; 0-Ti) (1 - PFAi) (3) En d'autres termes, on fixe une valeur souhaitée de la probabilité de fausse alarme PFAi, puis on déduit la valeur d'un seuil prédéterminé pour l'écart de détection Tdi, séparant le cas où tous les capteurs d'intérêt fonctionnent correctement du cas où l'un des capteurs d'intérêt présente une anomalie.

On pourra définir de la même façon les autres seuils de décision Tdi correspondant chacun à un écart de détection Ti relatif au capteur d'intérêt j # i. Chaque seuil de décision Tdi est alors défini à partir d'une probabilité de fausse alarme PFAi qui correspond à la probabilité de considérer, à partir de la comparaison de l'écart de détection Ti avec un seuil Tdi, qu'un capteur d'intérêt présente une anomalie alors qu'il n'en présente pas. En pratique, on teste chaque écart de détection en le comparant à son seuil de décision correspondant. Si l'un au moins de ces tests montre que l'un des capteurs d'intérêt présente une anomalie, on en déduit que l'hypothèse H1 est vraie. La probabilité totale de fausse alarme, notée PFA est la somme des probabilités de fausse alarme associées à chacun des écarts de détection : PFA = PFAi, soient M capteurs d'intérêt (4) On voit donc que grâce à l'utilisation d'un critère de décision défini par des variables aléatoires indépendantes y, et il est possible de connaître la probabilité totale de fausse alarme associée au diagnostic selon lequel tous les capteurs d'intérêt fonctionnent normalement ou selon lequel l'un des capteurs d'intérêt présente une anomalie. On propose donc un procédé de fusion de mesures offrant une caractérisation rigoureuse d'une estimation finale d'un paramètre. L'exposé détaillé de modes de réalisation particuliers fournit des détails supplémentaires relatifs à la mise en oeuvre de l'invention, notamment la détermination de lois normales caractérisant les erreurs des capteurs, la détermination des variables V1, et V2,, etc. Selon un premier mode de réalisation de l'invention, le procédé comprend une recherche d'une éventuelle anomalie sur l'un parmi deux capteurs d'intérêt, et une fusion des mesures fournies par ces deux capteurs d'intérêt, pour fournir une estimation du paramètre, dite estimation finale. Selon un deuxième mode de réalisation de l'invention, la recherche d'une éventuelle anomalie réalise une recherche d'une éventuelle anomalie sur l'un parmi au moins trois capteurs d'intérêt, et comprend en outre la sous-étape suivante, lorsque l'on détermine la présence d'une anomalie sur l'un des capteurs d'intérêt : 1d) identification du capteur d'intérêt présentant une anomalie, l'étape de fusion de mesures réalisant une fusion des mesures fournies par : les capteurs d'intérêt, si on a déterminé l'absence d'une anomalie sur l'un desdits capteurs d'intérêt ; les capteurs d'intérêt à l'exception d'un capteur d'intérêt présentant une anomalie, si on a déterminé la présence d'une anomalie sur ce capteur d'intérêt. Selon ce deuxième mode de réalisation de l'invention, l'étape de fusion de mesures peut fournir une estimation du paramètre, calculée à partir des mesures du paramètre fournies par : les capteurs d'intérêt, excepté un capteur d'intérêt présentant une anomalie, si on a déterminé la présence d'une anomalie sur ce capteur d'intérêt, à chaque instant de mesure pendant une durée prédéterminée, et ; les capteurs d'intérêt, dans les autres cas.

De préférence, pour chaque capteur d'intérêt, l'écart de détection est proportionnel à ladite valeur absolue d'une différence, divisée par l'écart-type d'une loi normale centrée caractérisant, en l'absence d'anomalie sur les capteurs d'intérêt, ladite différence entre une mesure fournie par ce capteur d'intérêt, et une estimation du paramètre calculée à partir des mesures fournies par les autres capteurs d'intérêt. Pour chaque écart de détection, on détermine avantageusement le seuil prédéterminé à partir d'une probabilité souhaitée de fausse alarme correspondant à la probabilité de déterminer, à partir de cet écart de détection, la présence d'une anomalie sur l'un des capteurs d'intérêt, alors que cette anomalie n'existe pas. L'étape d'identification du capteur d'intérêt présentant une anomalie comprend de préférence : 1d1) pour chaque capteur d'intérêt, un calcul d'une estimation du paramètre, à partir des mesures de ce paramètre fournies par les autres capteurs d'intérêt, le capteur d'intérêt considéré étant exclu ; 1d2) pour chaque estimation ainsi calculée, un calcul d'un résidu qui dépend des distances entre lesdites mesures fournies par les autres capteurs d'intérêt et ladite estimation ; et 1d3) une recherche d'un résidu minimum, le capteur d'intérêt exclu associé au résidu minimum étant le capteur d'intérêt présentant une anomalie. Chacune des estimations du paramètre peut être une moyenne pondérée de mesures fournies chacune par un capteur d'intérêt. Chaque estimation du paramètre peut être une moyenne pondérée de mesures fournies chacune par un capteur d'intérêt, chaque mesure fournie par un capteur d'intérêt étant pondérée par l'inverse de la variance d'une loi normale caractérisant une erreur totale de mesure relative audit capteur d'intérêt, en l'absence d'anomalie sur ce capteur d'intérêt. L'estimation finale du paramètre peut être une moyenne pondérée de mesures fournies chacune par un capteur d'intérêt, chaque mesure fournie par un capteur d'intérêt étant pondérée par un coefficient minimisant la valeur de l'erreur maximale sur l'estimation finale, introduite par une anomalie d'un capteur d'intérêt utilisé pour calculer l'estimation finale. Le procédé selon l'invention comprend avantageusement une nouvelle étape de recherche d'une éventuelle anomalie, en considérant comme nouveaux capteurs d'intérêt les capteurs d'intérêt pris en compte pour fournir ladite estimation finale.

En variante, le procédé selon l'invention peut comprendre une nouvelle étape de recherche d'une éventuelle anomalie, en considérant comme nouveaux capteurs d'intérêt les capteurs d'intérêt pris en compte pour fournir ladite estimation finale, ainsi qu'au moins un capteur d'intérêt précédemment identifié comme présentant une anomalie.

De préférence, le procédé selon l'invention comprend un calcul d'une erreur de précision de l'estimation finale, comprenant les étapes suivantes : on détermine une loi normale caractérisant une erreur totale de mesure associée à l'estimation finale, en l'absence d'anomalie sur les capteurs d'intérêt pris en compte pour l'estimation finale ; on fixe une valeur d'une probabilité que la valeur absolue de l'erreur totale de mesure associée à l'estimation finale soit supérieure à un seuil à déterminer ; on en déduit la valeur dudit seuil, nommé erreur de précision de l'estimation finale. Le procédé selon l'invention peut comprendre les étapes suivantes, pour chaque capteur d'intérêt : - on fixe une probabilité de mauvaise détection, commune à tous les capteurs d'intérêt, correspondant à la probabilité de déterminer l'absence d'une anomalie sur l'un des capteurs d'intérêt, alors que cette anomalie existe sur le capteur d'intérêt considéré ; et - on en déduit la valeur du biais minimum détectable correspondant au plus petit biais introduit par une anomalie du capteur d'intérêt, sur la mesure qu'il fournit, et permettant de déterminer la présence d'une anomalie sur l'un des capteurs d'intérêt, avec la probabilité de mauvaise détection telle que fixée. Un calcul d'une erreur d'intégrité de l'estimation finale peut alors comprendre les étapes suivantes : pour chaque capteur d'intérêt utilisé pour calculer l'estimation finale, calcul d'un indicateur proportionnel à l'erreur introduite sur l'estimation finale, par une panne dudit capteur d'intérêt, cette panne se caractérisant par un biais correspondant au biais minimum détectable ; - détermination du plus grand indicateur, nommé erreur d'intégrité de l'estimation finale. BRÈVE DESCRIPTION DES DESSINS La présente invention sera mieux comprise à la lecture de la description d'exemples de réalisation donnés à titre purement indicatif et nullement limitatif, en faisant référence aux dessins annexés sur lesquels : la figure 1 illustre de manière schématique le contexte d'application de la présente invention ; la figure 2 illustre un exemple de détermination d'une loi normale caractéristique de l'erreur sur une mesure fournie par un capteur ; - la figure 3 illustre de manière schématique un procédé de fusion de mesures selon un mode de réalisation de l'invention ; - la figure 4 illustre de manière schématique des étapes d'un procédé selon un mode de réalisation de l'invention, permettant d'identifier un capteur d'intérêt présentant une anomalie ; la figure 5 illustre de manière schématique des étapes d'un procédé selon un mode de réalisation de l'invention, permettant de déterminer une erreur de précision d'une estimation ; la figure 6 illustre de manière schématique des étapes d'un procédé selon un mode de réalisation de l'invention, permettant de déterminer une erreur d'intégrité d'une estimation ; la figure 7 illustre de manière schématique une probabilité totale de fausse alarme et une probabilité totale de mauvaise détection ; la figure 8 illustre de manière schématique des étapes d'un procédé selon un mode de réalisation l'invention, mettant en oeuvre au moins deux étapes successives de recherche d'une éventuelle anomalie sur un capteur d'intérêt ; et la figure 9 illustre un exemple de mise en oeuvre du procédé selon l'invention. EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS Nous considérerons dans la suite l'estimation d'un paramètre, au moyen d'une pluralité de mesures de ce paramètre, obtenues par différents capteurs. La présente invention s'applique plus particulièrement à l'estimation d'un paramètre de vol d'un aéronef, par exemple sa vitesse, son attitude, son accélération, sa vitesse de rotation angulaire, son angle de trajectoire, son angle de cap ou encore sa position. Il peut également s'agir d'une température ou d'une pression à l'intérieur de l'aéronef ou au voisinage de celui-ci. L'invention n'est toutefois pas limitée à une telle application mais peut au contraire s'appliquer à de nombreux domaines techniques dans lesquels il est nécessaire de fusionner des mesures d'une pluralité de capteurs.

Par capteur, on entend ici un capteur physique capable de mesurer directement le paramètre en question mais aussi un système pouvant comprendre un ou plusieurs capteur(s) physique(s) ainsi que des moyens de traitement du signal permettant de fournir une estimation du paramètre à partir des mesures fournies par ces capteurs physiques. De manière similaire, on désignera par mesure de ce paramètre aussi bien une mesure brute d'un capteur physique qu'une mesure obtenue par un traitement de signal plus ou moins complexe à partir de mesures brutes. Chaque capteur est par exemple un capteur inertiel IRS (« Inertial Reference System »), un capteur inertiel AHRS ( « Attitude & Heading Reference System »), un capteur de positionnement par satellites (GNSS, GPS ou Galileo par exemple), un capteur anémométrique classique ADR ( « Air Data Reference »), un capteur anémométrique laser ADR LIDAR, un capteur angulaire de type tachymètre, un capteur angulaire à base d'un tachymètre ou d'un odomètre, un capteur optique (caméra), un capteur de hauteur classique RA (« Radio Altimeter »), un capteur de hauteur laser RA LIDAR, un capteur de positionnement radio (par exemple de type VOR, DME, ADF, Radio Navy, un capteur d'atterrissage radio (par exemple ILS ou MLS), un capteur d'atterrissage par satellites (SLS, GLS par exemple).

On a représenté en figure 1 le contexte d'application de l'invention avec les notations qui seront utilisées par la suite. Le paramètre à estimer est x(t), noté x par souci de simplification des notations.

A chaque instant, les capteurs C1, C2, C3, C4 acquièrent respectivement les mesures y1(t), y2(t), y3(t), et y4(t) du paramètre x. Ils fournissent ensuite ces mesures à un module de fusion de données 100. Afin d'alléger les notations, dans la suite, ces mesures seront notées simplement yi, y2, y3, et y4.

Les capteurs peuvent être de même nature ou de natures différentes. On prévoit au moins deux capteurs. Néanmoins, de manière avantageuse, trois capteurs ou plus seront préférés. Dans toute la suite, et de manière non limitative, on prendra l'exemple de quatre capteurs : deux capteurs IRS C1, C2, et deux capteurs AHRS C3, C4. Le paramètre x correspond ici aux angles d'attitude que sont les angles de roulis et de tangage. Le module de fusion de données 100 reçoit en entrée les mesures yi, y2, y3, et y4. Le module de fusion de données comprend une mémoire 101 recevant les seuils prédéterminés Td1, Td2, Td3, Td4, associés respectivement au capteur C1, C2, C3, C4. A partir des mesures yi, y2, y3, et y4 et des seuils prédéterminés Tm, Td2, Td3, Td4, le module de fusion de données fournit une estimation x(t) du paramètre x, notée simplement 2. On nommera dans la suite « estimation finale » l'estimation du paramètre x fournie en sortie du module de fusion.

Le procédé selon l'invention est mis en oeuvre par un module de fusion de données 100 comprenant des moyens électroniques et des moyens informatiques et/ou logiciels. Le module de fusion de données comprend par exemple un microcontrôleur.

Le procédé selon l'invention est réalisé plus généralement au sein d'un ensemble comprenant les capteurs C1, C2, C3, C4 et le module de fusion de données 100 en communication de données avec les capteurs. Le module de fusion de données 100 est généralement en communication avec au moins un système, ici deux systèmes avioniques S1 et S2, pour leur transmettre à chaque instant l'estimation finale 2. Les systèmes avioniques sont par exemple un système de navigation, un système de pilotage automatique, un système recueillant des données à transmettre au pilote, un système de commande des moteurs, un système de commande de vol, etc.

Préalablement à la mise en oeuvre du procédé selon l'invention, on pourra mettre en oeuvre une étape de calibration visant à déterminer, pour chaque capteur, une loi normale caractéristique d'une erreur totale sur la mesure fournie par ce capteur, lorsqu'il fonctionne normalement. Cette loi normale est déterminée à partir de la caractérisation des erreurs du capteur.

Afin de faciliter les calculs, on se ramènera de préférence à des lois normales centrées. Il est toujours possible de caractériser un capteur par une loi normale centrée. Par exemple, si un capteur présente un biais de mesure, il suffit de retrancher ce biais pour se ramener à une loi centrée. La figure 2 illustre un exemple de détermination d'une telle loi normale centrée. Dans le cadre d'un fonctionnement normal d'un capteur C,, on pose : Yi = x + ei (5) où y, est la mesure par le capteur C,, x est la valeur réelle du paramètre, et e, est l'erreur totale de mesure par le capteur C.

On suppose par exemple que l'erreur ei comprend une erreur de mesure spécifique au capteur erres i, et une erreur d'installation du capteur relativement au référentiel de l'aéronef eins i. Selon les cas, on pourra envisager d'autres sources d'erreur, par exemple une erreur aérodynamique dans le cas d'un capteur anémométrique. L'erreur erres i est définie par une loi normale, nommée également loi gaussienne, de moyenne iiin' i et d'écart-type o-in' i. Cette loi normale est notée -W H - G-mes i; Gmes i)- On connaît la valeur de l'écart-type times i (par exemple 0,05° pour un capteur IRS, et 0,5° pour un capteur AHRS), ainsi que l'intervalle bornant les valeurs de /Lm, i (par exemple [-0,05° ; 0,05°] pour un capteur IRS, et [-0,5 ; 0,5°] pour un capteur AHRS). L'erreur eins i est définie par un simple biais noté pins i. Cette erreur est due aux imperfections d'installation du capteur et à d'autres phénomènes tels que la déformation du fuselage selon les phases de vol. On a par exemple Pins i E [ L'erreur totale ei est donc définie par une loi normale d'écart-type times i et de moyenne (µ mes T = limes i Pins i- La moyenne de l'erreur totale ei est donc bornée par l'intervalle [-0,1° ; 0,1°] pour un capteur IRS, et [-0,55 ; 0,55°] pour un capteur AHRS. Afin que l'algorithme correspondant au procédé selon l'invention reste valable quelle que soit la distribution réelle de l'erreur totale de mesure, on prend une hypothèse conservatrice. En d'autres termes, on détermine une loi normale centrée qui réalise un compromis entre les différentes lois normales centrées correspondant aux différentes valeurs possibles de la moyenne limes i Pins i- On recherche donc un majorant de l'erreur totale de mesure. Ce compromis est représenté en figure 2. La courbe 21 représente la loi normale d'écart-type times i et de moyenne min Ointes T), valeur minimale de la moyenne [tores T - 0,05'; 0,05°] pour un capteur IRS et pour un capteur AHRS.

La courbe 22 représente la loi normale d'écart-type times , et de moyenne moyenne (µm' T), valeur moyenne de la moyenne [tin' T. La courbe 23 représente la loi normale d'écart-type times , et de moyenne max Ointes T), valeur maximale de la moyenne r-mes T - La courbe 24 représente la loi normale d'écart-type a, et de moyenne p., = 0, englobant les courbes 21, 22 et 23. Il s'agit donc d'une loi normale centrée, notée .7«0; o-,), dont l'écart-type est défini de façon à obtenir une loi normale centrée qui réalise un compromis entre les différentes lois normales centrées correspondant aux différentes valeurs possibles de la moyenne limes i ktins i- On a par exemple a, = 0,1° pour un capteur IRS et a, = 0,8° pour un capteur AHRS. Les valeurs de a, (0,1° et 0,8°) sont déterminées ici de manière théorique et plus particulièrement graphique, à partir de la figure 2. Pour cela, on trace une courbe gaussienne (référencée 24) de telle façon qu'elle se trouve toujours au-dessus des deux courbes gaussiennes extrêmes (référencées 21 et 23) à partir d'une certaine valeur d'erreur (environ 2° pour les AHRS et environ 0,2° pour les IRS), donc à partir d'une certaine valeur de probabilité. D'autres méthodes théoriques pourraient être utilisées, par exemple une méthode d'estimation en temps réel des erreurs basée par exemple sur un Filtre de Kalman. Les valeurs de a, peuvent également être déterminées de manière pratique, par exemple par des essais en vol. Les valeurs 0,1° et 0,8° pour a, sont données simplement à titre d'exemple.s Ces valeurs sont cependant réalistes, au regard du type de capteur considéré (IRS ou AHRS) et des installations dans un aéronef. La figure 3 illustre de manière schématique un procédé de fusion de mesures selon un mode de réalisation de l'invention.

On suppose une étape préalable d'acquisition de mesures du paramètre par les capteurs. On sélectionne parmi les capteurs C1, C2, C3, C4, des capteurs dits capteurs d'intérêts, parmi lesquels on va rechercher un éventuel capteur défaillant (c'est- à-dire présentant une anomalie). On sélectionne au moins trois capteurs d'intérêt. On suppose par exemple initialement que tous les capteurs C1, C2, C3, C4 fonctionnent normalement bien que l'un d'entre eux pourrait être amené à présenter une anomalie. Les capteurs d'intérêt sont alors les quatre capteurs C1, lo C2, C3, C4. Pour chaque capteur C1, C2, C3, C4, on calcule la valeur d'un écart de détection T1, T2, T3, respectivement T4 (étape 301, 302, 303, respectivement 304). L'écart de détection T, est proportionnel à la valeur absolue de la différence entre la mesure fournie par le capteur i et une estimation du paramètre, calculée 15 à partir des mesures fournies par les autres capteurs d'intérêt (voir formule (1)). Cette différence est nommée différence utile. Dans l'exemple détaillé ici, l'écart de détection T, est égal à la différence utile divisée par l'écart-type d'une loi normale caractérisant cette différence utile en l'absence d'anomalie sur les capteurs d'intérêt : T. =137i.-x ,1 20 (6) aTi Comme détaillé précédemment, la variable V3i = Yi - est définie, en l'absence d'anomalie sur les capteurs d'intérêt, par une loi normale dont la variance est égale à 6Ti = 6i2+62i. La variable V3i correspond à une loi normale 25 centrée, qui peut être déterminée à partir des variances associées aux erreurs totales de mesure associées à chacun des capteurs d'intérêt.

On considérera que les erreurs totales de mesure sur les capteurs sont caractérisées chacune par une loi normale centrée, de sorte que V3i est définie, en l'absence d'anomalie sur les capteurs d'intérêt, par une loi normale centrée. Le dénominateur o-T, permet que l'écart de détection Ti soit finalement défini, pour chaque capteur d'intérêt i, par une même loi normale centrée réduite, de variance égale à l'unité, notée .7«0; 1). Ainsi, l'écart de détection tel que défini à l'équation (6) est particulièrement avantageux car il permet que tous les écarts de détection Ti soient définis par une même loi normale centrée, à savoir une loi normale centrée réduite.

Ensuite, chaque écart de détection T1, T2, T3, respectivement T4 est comparé à un seuil prédéterminé correspondant Tm, Td2, Td3, respectivement Td4 (étape 311, 312, 313, respectivement 314). Au cours d'une étape 32, on détermine la présence ou non d'une anomalie sur l'un des capteurs d'intérêt, en fonction des résultats des comparaisons. En particulier, s'il existe au moins un écart de détection T1, T2, T3, respectivement T4 qui est supérieur ou égal à Tm, Td2, Td3, respectivement Td4, on en déduit que l'un des capteurs d'intérêt présente une anomalie. L'invention réalise donc à ce stade une détection de panne ou de perturbation affectant l'un des capteurs d'intérêt. Les étapes 30,, 31, et 32 forment donc ensemble une étape de recherche d'une éventuelle anomalie sur l'un des capteurs d'intérêt. On peut relever que si l'on a Ti > Tdi, cela ne signifie pas forcément que c'est le capteur d'intérêt i qui est tombé en panne, car la valeur de Ti dépend de yi, mais également de 5c-j-; qui est déterminé par les mesures fournies par les capteurs d'intérêt autres que le capteur d'intérêt i. On présente dans la suite des étapes permettant d'identifier le capteur d'intérêt présentant une anomalie. Comme présenté précédemment, lorsque l'écart de détection est défini par une loi normale .N(I aTi), le seuil prédéterminé correspondant est Tou = Fjv--1(itTi; 6Ti)(1 - PFAi) (voir équation (3)).

Dans l'exemple présenté ici, chaque écart de détection est défini par la loi normale centrée réduite N(0; 1). Ainsi, pour chaque écart de détection, le seuil prédéterminé est Td, = F17,7(0;1)(1 - PFA,). De préférence, on fixe une probabilité souhaitée de fausse alarme PFAI identique pour tous les écarts de détection associés chacun à un capteur i. Ainsi, le seuil prédéterminé Td, est le même, pour chaque écart de détection associé à un capteur i. La définition de l'écart de détection telle que donnée à l'équation (6) est donc particulièrement avantageuse, puisqu'elle permet de considérer un unique seuil prédéterminé Td pour tous les écarts de détection Ti selon l'invention. Le procédé en est grandement simplifié. Si Ti > Td alors cela veut dire qu'on accepte l'hypothèse H1 telle que présentée en introduction, c'est-à-dire que l'un des capteurs d'intérêt présente une anomalie (pas nécessairement le capteur j.). On suppose que la détermination des seuils prédéterminés Td, a été effectuée préalablement à la mise en oeuvre du procédé selon l'invention. Cependant, on pourra prévoir que le procédé selon l'invention inclut cette étape de détermination du seuil prédéterminé, pour chaque écart de détection. Dans ce cas, on peut fournir au module de fusion 100 : - la probabilité de fausse alarme souhaitée, associée à chaque écart de détection ; et - les lois normales centrées caractérisant chaque écart de détection, lorsqu'aucun des capteurs d'intérêt ne présente une anomalie. Toutes les estimations mises en oeuvre selon l'invention sont avantageusement des moyennes pondérées. A chaque capteur est associé un coefficient de pondération propre. Les estimations dites intermédiaires 5c-j-; sont de préférence des moyennes pondérées telles que le coefficient de pondération associé à une mesure par un capteur d'intérêt est égal à l'inverse de la variance de la loi normale caractérisant une erreur totale de mesure relative à ce capteur d'intérêt en l'absence d'anomalie sur ce capteur d'intérêt. On nomme cette estimation « méthode des moindres carrés ». L'estimation de x à partir des mesures fournies par les capteurs d'intérêt, excepté le capteur d'intérêt i, est alors définie ainsi : = ,n4 (7) M est le nombre de capteurs d'intérêt, et wi = Z (inverse de la variance). cri En d'autres termes, on cherche à minimiser le critère suivant : 2_, = argmin (X,2 (x)) 2 où X? (x) = Em 1 x (Yi-), ce qui revient à résoudre gradX,2 (x) = Ô. 2 j#i On peut déterminer si besoin la valeur de o-_,. Par exemple, dans le cas 1 vm 1 d'une estimation par la méthode des moindres carrés, on a : 2 = Lj=1 2" j;i La méthode des moindres carrés, c'est-à-dire une moyenne pondérée dont les coefficients sont égaux aux inverses des variances, est une méthode connue comme étant optimale pour minimiser la différence entre une mesure et l'estimation de la mesure, puisqu'elle minimise l'erreur quadratique moyenne. La méthode des moindres carrés fournit donc une estimation la plus précise possible. Le procédé selon l'invention comprend ensuite une étape 33 de fusion de mesures. L'étape 33 correspond à un calcul de l'estimation x du paramètre x, nommée « estimation finale ». Dans l'exemple illustré en référence aux figures, on a quatre capteurs d'intérêt.

Si, à l'issue de l'étape 32, on a conclu qu'aucun des capteurs d'intérêt ne présente une anomalie, l'estimation finale 2 prend en compte les mesures fournies par tous les capteurs d'intérêt. Si, à l'issue de l'étape 32, on a conclu que l'un des capteurs d'intérêt présente une anomalie, puis identifié ce capteur comme étant le capteur j., l'estimation finale 2 prend en compte les mesures fournies par tous les capteurs d'intérêt excepté le capteur i. On peut considérer que l'on réalise une exclusion du capteur d'intérêt présentant une anomalie, afin que les mesures qu'il fournit ne soient plus prises en compte pour le calcul de l'estimation finale. On améliore ainsi la tolérance des systèmes notamment avioniques aux pannes et perturbations des capteurs, puisque les systèmes reçoivent une estimation finale affranchie de l'effet de ces pannes et perturbations. Dans le cas (non représenté) où l'on a seulement deux capteurs d'intérêt, l'estimation finale 2 prend en compte les mesures fournies par tous les capteurs, même si l'on a déterminé que l'un des capteurs présente une anomalie. L'estimation finale est donc à chaque instant « la plus juste possible », grâce à l'exclusion en temps réel d'un capteur identifié comme présentant une anomalie. Avantageusement, à un instant t donné, et après avoir exclu un capteur défaillant, on ne cherche pas à en exclure un deuxième. L'exclusion d'un éventuel deuxième capteur défaillant sera alors réalisée à l'instant t+1. En pratique, la probabilité pour que deux capteurs soient défaillant exactement au même instant t est quasiment nulle. L'hypothèse selon laquelle à chaque instant t, on a au maximum un capteur défaillant, est donc crédible. Cette hypothèse inclut le cas où la défaillance des deux capteurs est très légèrement décalée dans le temps, par exemple un capteur est défaillant à l'instant t et l'autre capteur est défaillant à l'instant t+1.

L'estimation finale est de préférence une estimation par la méthode des vm moindres carrés : 2 = ~j=1Wj Comme précisé ci-avant, la méthode des moindres carrés fournit le degré de précision optimal. Le cas échéant, on pourra mettre en oeuvre d'autres types de moyennes pondérées mettant en oeuvre d'autres coefficients, notés pour remplacer wi = 2. Il pourra par exemple s'agir d'améliorer une intégrité de cri l'estimation finale (au détriment de sa précision). Les valeurs des coefficients Wi devront être déterminées en justifiant leur validité. Un exemple d'une telle détermination est détaillé dans la suite (nouveaux coefficients w'1, W'A).

Ainsi, les estimations autres que l'estimation finales seront de préférence des estimations par la méthode des moindres carrés, tandis que l'estimation finale pourra être une moyenne pondérée dont les coefficients de pondération sont ajustés pour privilégier un autre critère que la précision maximale. La méthode de fusion de mesures selon l'invention est une fusion centralisée, dans laquelle les différentes mesures sont traitées de façon centralisée (à l'inverse d'une fusion en cascade où certaines données sont pré-traitées). La méthode de fusion de mesures selon l'invention est également une fusion instantanée, dans laquelle chaque calcul prend en compte uniquement des mesures à un même instant t (à l'inverse d'une fusion récursive). Les calculs mis en oeuvre sont simples, donc rapides d'exécution et peu consommateurs en ressources de calcul. La figure 4 illustre de manière schématique des étapes d'un procédé selon un mode de réalisation de l'invention, permettant d'identifier le capteur d'intérêt présentant une anomalie, lorsque l'on a déterminé la présence d'une anomalie sur l'un des capteurs d'intérêt.

Pour chaque capteur d'intérêt, on calcule une estimation .f1-1, respectivement .f1-4, à partir des mesures du paramètre fournies par les autres capteurs d'intérêt {Y2,Y3Y4}' 13/1Y3Y4MY1Y2,Y4}, respectivement {Y1,Y2,Y3}. Il s'agit des étapes référencées 401, 402, 403, respectivement 404.

Chaque estimation est par exemple calculée par la méthode des moindres EITLi wiYi ji carrés présente l'avantage de fournir le degré de précision optimal. Pour chaque estimation ainsi calculée, on calcule un résidu r1, r2, r3, respectivement r4, qui dépend des distances entre l'estimation et chaque mesure fournie par lesdits autres capteurs d'intérêt. Une distance désigne ici une différence positive entre deux valeurs. Le résidu dépend notamment : - de la valeur absolue de la différence entre l'estimation et chaque mesure fournie par lesdits autres capteurs d'intérêt ; ou - du carré de la différence entre l'estimation et chaque mesure fournie par lesdits autres capteurs d'intérêt. Sur la figure 4, les résidus ri sont notés ri, et les mesures y, sont notées yi. Le résidu est par exemple un écart quadratique moyen entre ladite estimation et les mesures fournies par lesdits autres capteurs d'intérêt. On a par exemple : rl= 41 fr2 j=1 Wi (Yi (8) j#i J j#i Il s'agit des étapes référencées 411, 412, 413, respectivement 414.

Ce résidu, basé sur des estimations par la méthode des moindres carrés et sur un calcul d'écart quadratique moyen divisé par les variances 012, est une carrés 5c-1-i Comme précisé ci-avant, la méthode des moindres méthode optimale pour minimiser la probabilité de se tromper dans l'exclusion du capteur affecté par une anomalie. Le cas échéant, on pourra mettre en oeuvre d'autres calculs de résidus, mettant en oeuvre d'autres coefficients de pondération.

On recherche ensuite le plus petit résidu en valeur absolue (étape 42). Soit ri le résidu associé au capteur d'intérêt i, le capteur d'intérêt présentant une anomalie est le capteur d'intérêt associé à ce plus petit résidu. Dans l'exemple représenté en figure 4, r2 est le plus petit résidu, donc C2 est le capteur d'intérêt qui présente une anomalie (capteur associé à l'estimation x`="2, elle-même associée au capteur d'intérêt C2). L'invention offre donc des moyens de détection et d'identification automatique d'une panne affectant un capteur. La figure 5 illustre de manière schématique des étapes d'un procédé selon l'invention, permettant de déterminer une erreur de précision de l'estimation finale, nommée RPo. L'erreur de précision de l'estimation finale 2, également nommée « rayon de protection sans panne », désigne l'erreur sur le calcul de l'estimation finale du paramètre, en supposant que l'on a pris en compte des mesures provenant uniquement de capteurs ne présentant pas d'anomalie. On prendra dans la suite l'exemple d'une estimation finale par la méthode des moindres carrés, c'est-à-dire une moyenne pondérée dont les coefficients de pondération sont égaux aux inverses des variances. On détermine une loi normale caractérisant une erreur totale de mesure associée à l'estimation du paramètre (en l'absence d'anomalie sur les capteurs d'intérêt pris en compte pour l'estimation finale). Soit une estimation par la méthode des moindres carrés, l'erreur totale de mesure eT liée à cette estimation est définie par : rD z-q,c=iWkek eT = ^ Lk=iWk soient D capteurs d'intérêt pris en compte pour calculer .2, ek l'erreur totale de (où mesure liée au capteur k, et wk = (ou o-k est l'écart type de la loi normale crk centrée caractérisant l'erreur totale de mesure du capteur k en l'absence d'anomalie sur le capteur k). Le cas échéant, on remplace le coefficient wk par le coefficient de pondération associé au capteur k et utilisé pour l'estimation finale mise en oeuvre dans le procédé. Dans la suite, on a par exemple détaillé la détermination de nouveaux coefficients de pondération, dans un exemple dans lequel les trois capteurs d'intérêt sont un IRS et deux AHRS. On en déduit que eT suit une loi normale centrée d'écart type o-T, notée vp .7«0; GT), avec - a2 = z-ik=1 2" ak Afin de déterminer cette loi normale, on prévoit avantageusement que la mémoire 101 du module de fusion de données 100 comprend les différentes valeurs de a, pour chacun des capteurs i disponibles. On fixe ensuite la valeur de la probabilité souhaitée y pour que la valeur absolue de l'erreur totale de mesure eT soit supérieure à un seuil £ à déterminer. En d'autres termes, 1 - y est la probabilité que l'erreur eT soit incluse dans la plage de précision [-E; On choisit par exemple y = 5.10-2 (erreur à 2o), ou y = 10-3 (erreur à 3o), ou y = 10-5 (erreur à 4o). Cette condition se formalise ainsi : 13(-£ < eT < +e) = 1 - y (10) On en déduit (étape 50) la valeur du seuil E, qui est l'erreur de précision de l'estimation finale .2, également notée rayon de protection sans panne RP0. On a en effet : 25 (9) P(-£ < eT < +E) = f+: fi,r(o; ,T)(t)dt, avec fu(0;,T) la densité de probabilité de la loi .7«0; GT). d'où : £ = F 0-,T)1 (-1 2Y + F r (3; 6,T) (0)), (12) avec F.,,r(0;,T) la fonction de répartition associée à la densité de probabilité f.,,r(0;,T) telle que F r (3; 0-7,)(X) = fxco fi,r(o; ,T)(t)dt. La figure 6 illustre de manière schématique des étapes d'un procédé selon l'invention, permettant de déterminer l'erreur d'intégrité de l'estimation finale.

L'erreur d'intégrité de l'estimation finale, également nommée « rayon de protection avec panne », désigne l'erreur sur le calcul de l'estimation du paramètre, en supposant que l'un des capteurs dont la mesure a été prise en compte présente une anomalie. Il s'agit en particulier de l'erreur sur l'estimation finale avant qu'un capteur défaillant ait été identifié et exclu.

Pour chaque écart de détection, on fixe une unique probabilité de mauvaise détection PMI). Une mauvaise détection correspond à la probabilité de déterminer, à partir des comparaisons entre les écarts de détection T, et les seuils Tdi, l'absence d'une anomalie alors que cette anomalie existe sur le capteur i = j.

On en déduit, pour chaque capteur d'intérêt j, la valeur du plus petit biais borin j introduit par une anomalie du capteur d'intérêt j sur la mesure qu'il fournit, permettant de détecter la présence d'une anomalie avec la probabilité de mauvaise détection telle que fixée. Ces étapes sont référencées 601, 602, 603, respectivement 604, et permettent de déterminer les biais minimum détectables bmin1, bmin2, bmin3, respectivement bmin4. La détermination de borin j met en oeuvre une étape de détermination, pour chaque écart de détection Ti, d'une loi normale suivie par celle-ci lorsque le capteur d'intérêt j présente une anomalie.

A un instant t, une anomalie sur le capteur se manifeste par un décalage de la mesure par rapport à une mesure attendue. Ainsi, dans le cas où le capteur d'intérêt] tombe en panne, la panne introduit le biais b sur la mesure y : yi = x + ei + b (13) Afin de simplifier les calculs, on poursuit l'exemple selon lequel, en l'absence d'anomalie, chaque capteur présente une erreur caractérisée par une loi normale centrée. La variable V3, telle que définie ci-avant (équation (2)) est la somme de la variable V1, qui suit alors une loi normale de moyenne b notée .W(bi, ail et de la variable V2, qui suit toujours la loi normale centrée .W(0, Soit T- =3/i- (Ti tel que défini à l'équation (6)), on en déduit que Ti suit alors une loi normale réduite non centrée de moyenne -bi , notée 0-T. .( 7V' t, 1 . L'homme du métier saura aisément déterminer la loi normale suivie 0-T. I par Ti , pour d'autres définitions de Ti telles que T] oc ly] - Comme précédemment, on note : H0 l'hypothèse selon laquelle l'ensemble des capteurs d'intérêt fonctionne correctement ; H1 l'hypothèse selon laquelle l'un des capteurs d'intérêt présente une anomalie ; et Td, la valeur du seuil prédéterminé (lié à l'écart de détection Ti), tel que T, > Td, implique que l'on accepte l'hypothèse H1 (et on rejette l'hypothèse H0). La probabilité de mauvaise détection correspond alors à la probabilité de rejeter l'hypothèse H1, alors que l'hypothèse H1 est vraie. Pour calculer borin j, on considère en particulier que la probabilité de mauvaise détection est liée à T- et au capteur], et correspond à la probabilité de CrTi rejeter l'hypothèse H1, alors que l'hypothèse H1 est vraie et concerne le capteur j. En d'autres termes, la probabilité de vérifier 7', < 7',/, pour tout i, alors qu'un capteur i = j présente une anomalie, c'est-à-dire que l'écart de détection ( correspondant est caractérisé par une loi normale .7V' b - ,1 . Afin de simplifier 0-T. les calculs, on suppose que 7',/, = 1PMD = P[Ti Tc117)-J« bmini )] Td PMD = f fbmin (burin 1) (t) Lit T PMD = F.7\r bmin (Ta) ( 1) crT. Ainsi en fixant la valeur de Pym et connaissant celle de Td, nous pouvons calculer bm,' j. On peut de la même façon calculer tous les différents bmin Afin de déterminer la loi normale .7« bmin; , 1), on prévoit 0-T. avantageusement que la mémoire 101 du module de fusion de données 100 comprend les différentes valeurs de o-' pour chacun des capteurs i disponibles. Chaque étape 601, 602, 603, respectivement 604 est suivie par une étape 611, 612, 613, respectivement 614 de calcul d'un indicateur Ica, 412, 413, respectivement Id4. L'indicateur In, Ide, Id3, respectivement Id4 correspond à l'erreur introduite sur l'estimation finale 2, par une panne (non détectée) du capteur d'intérêt C1, C2, C3, respectivement C4, cette panne se caractérisant par un biais correspondant au biais minimum détectable. Dans une étape 62, on recherche le plus grand indicateur, qui correspond à l'erreur d'intégrité de l'estimation finale 2, notée RP1. L'erreur d'intégrité de l'estimation finale 2, également nommée « rayon de protection avec panne », désigne l'erreur sur le calcul de l'estimation finale du paramètre, en supposant qu'un capteur utilisé est affecté par une panne non détectée par la méthode décrite précédemment.

Ainsi, à chaque capteur d'intérêt j utilisé pour calculer l'estimation finale 2, correspond : l'écart de détection Ti , le biais minimum détectable bmin j, et l'indicateur /di qui correspond à l'erreur introduite sur l'estimation finale 2, par une panne du capteur d'intérêt j, cette panne se caractérisant par ledit biais minimum détectable. L'estimation finale est ici réalisée par la méthode des moindres carrés.

L'erreur totale de mesure eT liée à une telle estimation est définie par vp eT = `k=D1 " (voir équation (9)). L'indicateur Id, vaut alors : Idi= wibmin i (14) En d'autres termes, l'indicateur /d, est égal au biais minimum détectable burin , pondéré par un coefficient de pondération égal à l'inverse de la variance de la loi normale centrée correspondant au capteur d'intérêt i, divisé par la somme des inverses des variances des lois normales centrées associées à chaque capteur d'intérêt utilisé pour calculer l'estimation finale du paramètre.

Le cas échéant, on remplace les coefficients wk,w, par les coefficients de pondération associés au capteur k, respectivement i, utilisés pour l'estimation finale mise en oeuvre dans le procédé. Par exemple, soient quatre capteurs d'intérêt formés de deux capteurs IRS et deux capteurs AHRS, on a (l'indice I correspond à un capteur IRS et l'indice A correspond à un capteur AHRS) : = W(11)min/ wAbmin A I dl , et - , 2',w/-I-wA) 2 (,wi- +wA)" Puis : RP1 = max(1,11, 1,m).

On voit que si plusieurs capteurs d'intérêt sont caractérisés par la même loi normale centrée, on réduit le nombre de calculs nécessaires pour déterminer tous les indicateurs Idi. Cette remarque concerne l'ensemble des traitements décrits dans tout le texte. On prévoit avantageusement que la mémoire 101 du module de fusion de données 100 comprend les différentes valeurs de o-' pour chacun des capteurs disponibles. Dans certains cas, il peut être avantageux d'ajuster le coefficient de pondération associé à chaque mesure dans les estimations mises en oeuvre selon l'invention, en particulier dans l'estimation finale du paramètre x. En effet, si l'on réalise une estimation par la méthode des moindres carrés, le poids correspondant à chaque capteur d'intérêt est inversement proportionnel à sa variance.

La mesure fournie par un capteur d'intérêt de variance faible influence donc fortement la valeur de l'estimation finale. En d'autres termes, le degré de confiance accordé à un capteur d'intérêt de variance faible est élevé. L'inconvénient est que si ce capteur d'intérêt tombe en panne, l'erreur sur l'estimation finale est élevée, tant que l'on n'a pas exclu ce capteur d'intérêt. En d'autres termes, l'erreur d'intégrité de l'estimation finale est élevée (rayon de protection avec panne). On peut envisager d'ajuster le poids conféré à un capteur d'intérêt afin de diminuer l'erreur d'intégrité de l'estimation finale. Cela se traduit par une augmentation de l'erreur de précision de l'estimation finale, inconvénient compensé par la diminution de l'erreur d'intégrité. En particulier, on pourra définir les coefficients de pondération de façon à obtenir l'erreur d'intégrité minimale. En d'autres termes, on recherche les coefficients de pondération minimisant la valeur de l'erreur maximale sur l'estimation finale, introduite par une panne d'un capteur d'intérêt utilisé pour calculer l'estimation finale. Par exemple, dans le cas où les capteurs d'intérêt consistent en deux capteurs AHRS et un capteur IRS, le capteur IRS est le seul capteur dont l'erreur suit une loi normale centrée d'écart type faible. Si on réalise une estimation par la méthode des moindres carrés, le poids associé au capteur IRS pour l'estimation est élevé. En conséquence, en cas de panne de ce capteur IRS, l'erreur sur l'estimation x est très élevée tant que le capteur n'est pas exclu. Ainsi, l'indicateur Idi tel que défini précédemment, associé au capteur IRS, prend une valeur très élevée, et définit l'erreur d'intégrité de l'estimation. Cette erreur d'intégrité est d'autant plus élevée, que le biais minimum détectable associé au capteur IRS est plus élevé en présence d'un unique capteur IRS et deux capteurs AHRS, qu'en présence de deux capteurs IRS et deux capteurs AHRS. On cherche donc deux nouveaux coefficients de pondération W'A pour le capteur IRS et pour les deux capteurs AHRS, qui minimisent l'erreur maximale introduite sur l'estimation finale 2, par une panne d'un capteur d'intérêt. On a: dl WIAtiminA W111)min/ .. , et I 2 (. , 2 14//i- -EW/A) 14/// -EWA)" On recherche le couple ( ) qui minimise le maximum parmi /di et IcIA- Ces coefficients de pondération permettent ensuite de définir une estimation permettant d'obtenir l'erreur d'intégrité minimale (intégrité maximale) : w,cr+w,AYAi+w,AYA2 x- w'rEw'A+w'A avec y, la mesure par le capteur IRS, ym. la mesure par le premier capteur AHRS et yA2 la mesure par le deuxième capteur AHRS.

On remarque qu'une telle estimation présente une erreur de précision plus élevée que l'estimation par la méthode des moindres carrés. En d'autres termes, l'estimation finale est une moyenne pondérée dans laquelle les poids ne sont pas des variances. On affecte un poids plus faible à l'IRS.

On privilégie ainsi la capacité à détecter une future anomalie sur cette IRS, avec néanmoins comme conséquence une légère dégradation de la précision de l'estimation finale du paramètre. A titre d'illustration, on a représenté en figure 7 une probabilité totale de fausse alarme et une probabilité totale de mauvaise détection. La courbe 71 représente la loi normale centrée correspondant à l'erreur de mesure sur l'estimation globale, lorsque tous les capteurs d'intérêt pris en compte pour l'estimation fonctionnent normalement. La courbe 73 représente la loi normale correspondant à l'erreur de mesure sur l'estimation globale, lorsque l'un des capteurs d'intérêt pris en compte pour l'estimation présente une anomalie. La ligne droite horizontale 72 délimite sous la courbe 73, à gauche de la ligne 72, une zone représentative de la probabilité de mauvaise détection. La ligne 72 délimite également sous la courbe 71, à droite de la ligne 72, une zone représentative de la probabilité totale de fausse alarme. La figure 8 illustre de manière schématique des étapes d'un procédé de fusion de mesures selon l'invention, mettant en oeuvre au moins deux étapes successives de recherche d'une éventuelle anomalie sur un capteur d'intérêt.

Les capteurs d'intérêt sont notés C. Le module de fusion réalise une fonction de surveillance référencée 814, consistant à rechercher, à chaque instant t, une éventuelle anomalie sur l'un des capteurs d'intérêt C. Lorsque l'un des capteurs d'intérêt est identifié comme présentant une anomalie, la fonction de surveillance 814 permet également de déterminer le capteur d'intérêt Cp qui présente une anomalie. Une fonction d'exclusion 804 permet d'exclure le capteur Cp du groupe des capteurs d'intérêt.

Le module de fusion (voir figure 1) prend en compte les capteurs d'intérêt C,, excepté un éventuel capteur Cp exclu, pour calculer une estimation finale x du paramètre x à l'instant t (fonction 834 dite fonction de combinaison ou de consolidation ou de fusion de mesures). Le module de fusion calcule également l'erreur de précision RP0 à l'instant t et l'erreur d'intégrité RP1 à l'instant t, associées à l'estimation finale (fonction référencée 824). Ces différentes valeurs sont fournies à un système, notamment un système avionique. On prévoit avantageusement que le module de fusion ne calcule l'erreur de précision RP0 et l'erreur d'intégrité RP1 que lorsque l'on dispose d'au moins trois capteurs d'intérêt.

Pour que les fonctions d'identification et d'exclusion présentent un réel intérêt, il est avantageux de disposer toujours d'au moins trois capteurs d'intérêt. On prévoit de préférence de ne pas mettre en oeuvre les fonctions d'identification et exclusion lorsque l'on ne dispose plus que de deux capteurs d'intérêt. On peut prévoir une étape de transmission à un système, d'un message signalant le fait qu'il n'y a plus que deux capteurs d'intérêt pris en compte pour l'estimation finale, afin de prévenir le pilote de l'aéronef ou un centre de maintenance. L'exclusion peut être immédiate, dès que l'on a déterminé que le capteur d'intérêt Cp présente une anomalie. En variante, l'exclusion peut dépendre d'une durée de confirmation d'exclusion. Dans ce cas, le capteur Cp est exclu s'il est identifié comme présentant une anomalie, à chaque instant pendant la durée de confirmation d'exclusion. On peut prévoir une étape de transmission à un système, d'un identifiant du capteur Cp, afin de prévenir le pilote de l'aéronef ou un centre de maintenance que le capteur Cp est défaillant.

Le capteur Cp étant exclu, il n'est plus pris en compte pour calculer une estimation finale 2 du paramètre x, ainsi que l'erreur de précision et l'erreur d'intégrité de cette estimation finale. En outre, suite à cette exclusion, la fonction de surveillance ne surveillera plus que les capteurs d'intérêt restants. On peut prévoir plusieurs exclusions successives en cas de pannes successives des capteurs. On peut réinjecter dans le groupe des capteurs d'intérêt C,, le ou les capteurs précédemment identifiés comme présentant une anomalie. Si la fonction d'exclusion ne réalise pas une nouvelle exclusion de capteur, c'est que tous les capteurs fonctionnent de nouveau normalement. On peut ainsi s'assurer que l'on prend en compte à chaque instant un nombre maximum des capteurs fonctionnant normalement. Cette caractéristique est particulièrement avantageuse en combinaison avec une étape de maintenance sur le capteur identifié comme présentant une anomalie. De préférence, on réinjecte tous les capteurs précédemment identifiés comme présentant une anomalie, car il se peut que plusieurs capteurs reviennent en même temps à l'état normal. De la même façon que pour l'exclusion d'un capteur, on peut prévoir une durée de confirmation de réinjection. Un capteur est de nouveau pris en compte pour le calcul de l'estimation finale du paramètre x s'il n'est pas considéré comme présentant une anomalie, à chaque instant pendant la durée de confirmation de réinjection. La réinjection de capteurs précédemment identifiés comme présentant une anomalie présente un intérêt accru lorsque l'on ne dispose plus que de deux capteurs d'intérêt, et que l'on a détecté la présence d'une anomalie sur l'un de ces deux capteurs d'intérêt. Dans ce cas, on ne peut pas identifier puis exclure le capteur d'intérêt présentant une anomalie. On peut cependant réinjecter des capteurs d'intérêt, de façon à disposer in fine d'au moins trois capteurs d'intérêt, permettant alors d'identifier et d'exclure celui qui présente une anomalie.

On peut prévoir que l'exclusion soit immédiate, et que la réinjection soit liée à une durée de confirmation de réinjection, afin d'éviter une instabilité en limite de situation d'anomalie. Comme déjà précisé ci-avant, on prend comme hypothèse qu'à chaque instant t, on a au maximum un capteur défaillant. A un instant t donné, et après avoir exclu un capteur défaillant, on ne cherche pas à en exclure un deuxième avant de calculer l'estimation finale. L'exclusion d'un éventuel deuxième capteur défaillant sera alors réalisée à l'instant t+1. Le procédé de fusion de mesures selon l'invention présente l'avantage de permettre une caractérisation rigoureuse de l'estimation finale réalisée. On peut en effet facilement déterminer une erreur de précision et/ou une erreur d'intégrité de l'estimation finale. En outre, on connaît la probabilité de fausse alarme liée à l'estimation finale, ainsi qu'une probabilité de mauvaise détection liée à l'erreur d'intégrité calculée. En fonction de ses besoins par exemple en précision et/ou en intégrité, chaque système pourra utiliser ou non l'estimation finale fournie à un instant t. Grâce à l'exclusion des capteurs défaillants et à une caractérisation rigoureuse de l'estimation finale, on dispose facilement d'estimations présentant de façon certaine une faible erreur de précision et/ou une faible erreur d'intégrité. Les systèmes nécessitant un certain niveau de précision et/ou d'intégrité pourront utiliser ces estimations finales. Ainsi, l'invention augmente la disponibilité des estimations finales pouvant être fournies aux systèmes. On pourra alors envisager de nouvelles fonctions grâce à la mise à disposition de ces estimations finales présentant de façon certaine une grande précision (faible erreur de précision) et/ou une grande intégrité (faible erreur d'intégrité). Puisque l'on maîtrise la précision et/ou l'intégrité des estimations finales, il n'est plus nécessaire de surdimensionner le nombre et/ou la complexité technique des capteurs utilisés.

La figure 9 illustre un exemple de mise en oeuvre du procédé selon l'invention, réalisée à partir de données réelles de vol. L'axe des abscisses correspond au temps. L'axe des ordonnées correspond à la valeur de l'angle de tangage en degrés.

Les capteurs d'intérêt sont deux capteurs IRS et deux capteurs AHRS. La courbe 91 représente la valeur mesurée par un premier capteur IRS, qui présente une panne se caractérisant par un biais en rampe entre les temps t=4000 et t=4200. La courbe 92 représente la valeur mesurée par le deuxième capteur IRS, qui présente une panne se caractérisant par un biais constant à compter du temps t=4150. Les autres courbes sont très proches et représentent les valeurs mesurées par les deux capteurs AHRS, la valeur réelle, et la valeur estimée à l'aide du procédé selon l'invention, mettant en oeuvre une estimation par la méthode des moindres carrés et la recherche, l'identification et l'exclusion d'un capteur présentant une panne. On voit que la valeur estimée reste très proche de la valeur réelle, même lorsque l'un des capteurs IRS tombe en panne, et même lorsque les deux capteurs IRS tombent en panne successivement.20

Claims (15)

1. REVENDICATIONS1. Procédé de fusion de mesures d'un paramètre (x), en particulier un paramètre de vol d'un aéronef, à partir de mesures (yi, y2, y3, y4) de ce paramètre fournies respectivement par une pluralité de capteurs (Ci, C2, C3, C4), caractérisé en ce qu'il comprend les étapes et sous-étapes suivantes : 1) recherche d'une éventuelle anomalie sur l'un parmi au moins deux capteurs dits capteurs d'intérêt, comprenant les sous-étapes suivantes : la) pour chaque capteur d'intérêt (Ci; C2; C3; C4), calcul (301; 302; 303; 304) d'un écart dit de détection (T1; T2; T3 ; T4), proportionnel à la valeur absolue d'une différence entre une mesure (y1; V2; V3; y4) fournie par ce capteur d'intérêt, et une estimation du paramètre (2-1-.1 ;
2. 2-1-2; 2-1-.3 ; 2-1-4. ) calculée à partir des mesures fournies par les autres capteurs d'intérêt ; lb) comparaison (311; 312; 313; 314) de chaque écart de détection à un seuil prédéterminé correspondant (Tm ; Td2 ; Td3 ; Td4) ; 1c) en fonction du résultat des comparaisons, détermination (32) de la présence ou l'absence d'une anomalie sur l'un des capteurs d'intérêt avec une probabilité totale de fausse alarme déterminée (PFA) ; et 2) fusion (33) de mesures fournies par les capteurs d'intérêt, pour fournir une estimation du paramètre (2), dite estimation finale. 2. Procédé selon la revendication 1, caractérisé par une recherche d'une éventuelle anomalie sur l'un parmi deux capteurs d'intérêt (Ci; C2; C3; C4), et une fusion des mesures fournies par ces deux capteurs d'intérêt, pour fournir une estimation du paramètre (2), dite estimation finale.
3. 3. Procédé selon la revendication 1, caractérisé en ce que la recherche d'une éventuelle anomalie réalise une recherche d'une éventuelle anomalie sur l'unparmi au moins trois capteurs d'intérêt (C1; C2; C3; C4), et comprend en outre la sous-étape suivante, lorsque l'on détermine la présence d'une anomalie sur l'un des capteurs d'intérêt : 1d) identification du capteur d'intérêt présentant une anomalie, l'étape de fusion de mesures réalisant une fusion des mesures fournies par : les capteurs d'intérêt (C1, C2, C3, C4), si on a déterminé l'absence d'une anomalie sur l'un desdits capteurs d'intérêt ; les capteurs d'intérêt à l'exception d'un capteur d'intérêt présentant une anomalie, si on a déterminé la présence d'une anomalie sur ce capteur d'intérêt.
4. 4. Procédé selon la revendication 3, caractérisé en ce que l'étape de fusion de mesures fournit une estimation du paramètre (2), calculée à partir des mesures du paramètre fournies par : les capteurs d'intérêt (C1, C3, C4), excepté un capteur d'intérêt présentant une anomalie, si on a déterminé la présence d'une anomalie sur ce capteur d'intérêt, à chaque instant de mesure pendant une durée prédéterminée, et ; les capteurs d'intérêt, dans les autres cas.
5. 5. Procédé selon l'une quelconque des revendications 1 à 4, caractérisé en ce que pour chaque capteur d'intérêt (C1; C2; C3; C4), l'écart de détection (T1; T2 ; T3 ; T4) est proportionnel à ladite valeur absolue d'une différence, divisée par l'écart-type (o-Ti) d'une loi normale centrée caractérisant, en l'absence d'anomalie sur les capteurs d'intérêt, ladite différence entre une mesure (y1; yz; y3; y4) fournie par ce capteur d'intérêt, et une estimation du paramètre (2-1-1; 2-1-2; 2-1-3 ; ) calculée à partir des mesures fournies par les autres capteurs d'intérêt.
6. 6. Procédé selon l'une quelconque des revendications 1 à 5, caractérisé en ce que pour chaque écart de détection, on détermine le seuil prédéterminé (Tm ; Td2 ; Td3 ; Td4) à partir d'une probabilité souhaitée de fausse alarme correspondant à la probabilité de déterminer, à partir de cet écart de détection, la présence d'une anomalie sur l'un des capteurs d'intérêt, alors que cette anomalie n'existe pas.
7. 7. Procédé selon l'une quelconque des revendications 3 à 6, caractérisé en ce que l'étape d'identification du capteur d'intérêt présentant une anomalie comprend : 1c11) pour chaque capteur d'intérêt (C1; C2; C3; C4), un calcul (401; 402; 403; 404) d'une estimation du paramètre (.f1-1 ; .f1-2; x`="3 ; .C.4 ), à partir des mesures de ce paramètre fournies par les autres capteurs d'intérêt, le capteur d'intérêt considéré étant exclu ; 1d2) pour chaque estimation ainsi calculée, un calcul (411; 412; 413; 414) d'un résidu (r1; r2; r3; r4) qui dépend des distances entre lesdites mesures (y2, y3, y4; yi, y3, y4; yi, y2, y4; yi, y2, y3) fournies par les autres capteurs d'intérêt et ladite estimation (x`="1 ; .f1-2; .t"="3 ; .f1-4. ) ; et 1d3) une recherche (42) d'un résidu minimum, le capteur d'intérêt exclu associé au résidu minimum étant le capteur d'intérêt présentant une anomalie.
8. 8. Procédé selon l'une quelconque des revendications 1 à 7, caractérisé en ce que chacune des estimations du paramètres (-.')c; .f1-1 ; .f1-2; x`="3 ; .f1-4) est une moyenne pondérée de mesures fournies chacune par un capteur d'intérêt.
9. 9. Procédé selon la revendication 8, caractérisé en ce que chaque estimation ( 2; 2-1-1 ; . fl- -2 ; . fl- -3 ; . fl- -4 ) du paramètre est une moyenne pondérée de mesures fournies chacune par un capteur d'intérêt, chaque mesure (y1; y2; y3; y4) fournie par un capteur d'intérêt étant pondérée par l'inverse de la variance d'une loi normale caractérisant une erreur totale de mesure relative audit capteur d'intérêt, en l'absence d'anomalie sur ce capteur d'intérêt.
10. 10. Procédé selon la revendication 8, caractérisé en ce que l'estimation finale du paramètre ( 2) est une moyenne pondérée de mesures fournies chacune par un capteur d'intérêt, chaque mesure (y1; y2; y3; y4) fournie par un capteur d'intérêt étant pondérée par un coefficient minimisant la valeur de l'erreur maximale sur l'estimation finale, introduite par une anomalie d'un capteur d'intérêt utilisé pour calculer l'estimation finale.
11. 11. Procédé selon l'une quelconque des revendications 1 à 10, caractérisé en ce que l'on met en oeuvre une nouvelle étape de recherche d'une éventuelle anomalie, en considérant comme nouveaux capteurs d'intérêt les capteurs d'intérêt pris en compte pour fournir ladite estimation finale (2).
12. 12. Procédé selon l'une quelconque des revendications 1 à 10, caractérisé en ce que l'on met en oeuvre une nouvelle étape de recherche d'une éventuelle anomalie, en considérant comme nouveaux capteurs d'intérêt les capteurs d'intérêt pris en compte pour fournir ladite estimation finale (2), ainsi qu'au moins un capteur d'intérêt précédemment identifié comme présentant une anomalie.
13. 13. Procédé selon l'une quelconque des revendications 8 à 12, caractérisé par un calcul d'une erreur de précision de l'estimation finale (RP0), comprenant les étapes suivantes :- on détermine une loi normale caractérisant une erreur totale de mesure associée à l'estimation finale, en l'absence d'anomalie sur les capteurs d'intérêt pris en compte pour l'estimation finale ; - on fixe une valeur d'une probabilité (y) que la valeur absolue de l'erreur totale de mesure associée à l'estimation finale (2) soit supérieure à un seuil à déterminer ; - on en déduit la valeur dudit seuil, nommé erreur de précision de l'estimation finale (RPo).
14. 14. Procédé selon l'une quelconque des revendications 8 à 13, caractérisé en ce que, pour chaque capteur d'intérêt : - on fixe une probabilité de mauvaise détection (PMD), commune à tous les capteurs d'intérêt, correspondant à la probabilité de déterminer l'absence d'une anomalie sur l'un des capteurs d'intérêt, alors que cette anomalie existe sur le capteur d'intérêt considéré ; et - on en déduit la valeur du biais minimum détectable ; bmin2 ; bmin3 ; bmin4) correspondant au plus petit biais introduit par une anomalie du capteur d'intérêt, sur la mesure qu'il fournit, et permettant de déterminer la présence d'une anomalie sur l'un des capteurs d'intérêt, avec la probabilité de mauvaise détection (PMD) telle que fixée.
15. 15. Procédé selon la revendication 14, caractérisé par un calcul d'une erreur d'intégrité de l'estimation finale (RP1), comprenant les étapes suivantes : - pour chaque capteur d'intérêt utilisé pour calculer l'estimation finale (2), 2 5 calcul d'un indicateur proportionnel à l'erreur (611; 612; 613; 614) introduite sur l'estimation finale, par une panne dudit capteur d'intérêt, cette panne se caractérisant par un biais correspondant au biais minimum détectable ;- détermination (62) du plus grand indicateur, nommé erreur d'intégrité de l'estimation finale (RP1).