FR3026495A1

FR3026495A1 - Procede et dispositif de verification d'integrite d'informations de position obtenues par au moins deux dispositifs de geolocalisation par satellite

Info

Publication number: FR3026495A1
Application number: FR1402156A
Authority: FR
Inventors: Roland Bonel; Jacques Coatantiec; Sebastien Francois Philippe Legoll
Original assignee: Thales SA
Current assignee: Thales SA
Priority date: 2014-09-25
Filing date: 2014-09-25
Publication date: 2016-04-01
Anticipated expiration: 2034-09-25
Also published as: US10094932B2; US20160091611A1; FR3026495B1

Abstract

L'invention concerne un procédé et un dispositif de vérification d'intégrité d'informations de vecteur de position obtenues par au moins deux dispositifs de géolocalisation par satellite, chacun des dispositifs de géolocalisation étant apte à recevoir une pluralité de signaux radioélectriques en provenance d'une pluralité de satellites distincts, et à utiliser les signaux radioélectriques reçus pour calculer un vecteur de position dudit dispositif de géolocalisation, comportant des coordonnées de position calculées dans un repère spatial prédéterminé à un instant temporel donné. Le procédé comporte, pour au moins une paire de dispositifs de géolocalisation considérés composée d'un premier dispositif de géolocalisation (Gm) et d'un deuxième dispositif de géolocalisation (Gn), un calcul (34) d'une statistique d'écart entre un premier vecteur de position calculé par le premier dispositif de géolocalisation et un deuxième vecteur de position calculé par le deuxième dispositif de géolocalisation, et un calcul (36) d'un seuil statistique d'alarme (S(m,n))en fonction de la statistique d'écart et d'une première err lineprobabilité (PFA) prédéterminée. Le procédé permet de lever une alarme de dysfonctionnement en utilisant le seuil statistique d'alarme calculé. L'invention permet également de calculer (44), pour au moins un dispositif de géolocalisation de chaque paire de dispositif de géolocalisation, un rayon d'intégrité à partir du seuil statistique d'alarme et d'une deuxième probabilité (PND) prédéterminée.

Description

Procédé et dispositif de vérification d'intégrité d'informations de position obtenues par au moins deux dispositifs de géolocalisation par satellite La présente invention concerne un procédé et dispositif de vérification d'intégrité d'informations de position obtenues par au moins deux dispositifs de géolocalisation par satellite. L'invention se situe dans le domaine de la navigation de plateforme utilisant des informations de géolocalisation par satellite et en particulier dans le domaine de l'amélioration de la sécurité de navigation dans un tel contexte. La géolocalisation par satellite est utilisée dans de nombreux domaines civils et militaires, en particulier pour la navigation de plateforme aéronautique, maritime ou terrestre. Dans ce contexte, pour améliorer la sécurité de navigation, il est usuel d'utiliser plusieurs dispositifs de géolocalisation, appelés également capteurs GNSS (pour « Global Navigation Satellite System »), chaque capteur étant apte à recevoir des signaux radioélectriques émis par une pluralité de satellites et à fournir, après calcul, des informations de positionnement de la plateforme dans un repère géographique. En effet, un des capteurs utilisés peut présenter un dysfonctionnement, ce qui risquerait d'avoir de graves conséquences en termes de navigation. Ainsi, pour assurer la sécurité de navigation, il est connu d'utiliser plusieurs dispositifs de géolocalisation à bord d'une plateforme en mouvement, et d'exercer une surveillance afin de détecter un éventuel dysfonctionnement d'un de ces dispositifs de géolocalisation. Chaque dispositif de géolocalisation capte des informations transmises dans des signaux radioélectriques émis par différents satellites, et calcule, pour chaque satellite en vue, à partir de ces informations reçues, une estimation de la distance entre le dispositif de géolocalisation lui-même et le satellite en vue, cette distance estimée étant également appelée pseudo-distance. La pseudo-distance est différente de la distance effective entre le satellite considéré et le dispositif de géolocalisation à cause des erreurs éventuelles dans les informations reçues et de l'erreur sur l'horloge interne du dispositif de géolocalisation. En effet, l'estimation de distance fait intervenir une datation des données reçues via l'horloge interne du dispositif de géolocalisation, et une telle horloge interne présente généralement une erreur, appelée également biais d'horloge. A partir des pseudo-distances estimées, par rapport à au moins quatre satellites distincts, une position du récepteur de géolocalisation est calculée par une méthode de moindres carrés.

Lorsque dans un système, il existe plusieurs dispositifs de géolocalisation, généralement pour des raisons de sécurité ou de disponibilité, on effectue une analyse de la cohérence des informations fournies par chacun d'entre eux. Selon une solution connue, la surveillance est effectuée par l'équipage de navigation, en particulier par le pilote et le co-pilote, avec éventuellement une aide fournie par la comparaison des informations de position calculées par les dispositifs de géolocalisation pris deux à deux, et une levée d'alarme lorsque la différence entre deux positions calculées dépasse un seuil d'alarme fixé. Une telle solution présente plusieurs inconvénients. D'une part, une charge cognitive importante est imposée à l'équipage de navigation, qui doit exercer une surveillance constante. D'autre part, afin d'éviter de trop nombreuses fausses alarmes, le seuil d'alarme fixé doit être assez élevé. En effet, si les dispositifs de géolocalisation utilisés ne captent pas des signaux radioélectriques en provenance exactement des mêmes satellites, des différences de conditions atmosphériques peuvent induire des positions calculées sensiblement différentes, en l'absence de dysfonctionnement. En outre, le fait de fixer un seuil d'alarme élevé induit un retard potentiel dans la levée d'alarme dans le cas d'un dysfonctionnement, ce qui peut également avoir des conséquences graves en ce qui concerne la sécurité de navigation. Il existe donc un besoin d'améliorer la vérification d'intégrité des données de position et la surveillance de dysfonctionnement dans le cas d'utilisation d'une pluralité de dispositifs de géolocalisation pour la détermination de position d'une plateforme en mouvement. A cet effet, l'invention propose un procédé de vérification d'intégrité d'informations de vecteur de position obtenues par au moins deux dispositifs de géolocalisation par satellite, chacun des dispositifs de géolocalisation étant apte à recevoir une pluralité de signaux radioélectriques en provenance d'une pluralité de satellites distincts, et à utiliser les signaux radioélectriques reçus pour calculer un vecteur de position dudit dispositif de géolocalisation, comportant des coordonnées de position calculées dans un repère spatial prédéterminé à un instant temporel donné.

Le procédé comporte, pour au moins une paire de dispositifs de géolocalisation considérés composée d'un premier dispositif de géolocalisation et d'un deuxième dispositif de géolocalisation, les étapes suivantes : - obtention, pour chacun des dispositifs de géolocalisation de ladite paire de dispositifs de géolocalisation, d'un ensemble d'informations de positionnement, - calcul, en utilisant les ensembles de positionnement associés respectivement au premier dispositif de géolocalisation et au deuxième dispositif de géolocalisation, d'une statistique d'écart entre un premier vecteur de position calculé par le premier dispositif de géolocalisation et un deuxième vecteur de position calculé par le deuxième dispositif de géolocalisation, - calcul d'un seuil statistique d'alarme en fonction de la statistique d'écart et d'une première probabilité prédéterminée, - détermination d'une valeur d'écart entre au moins une partie des composantes extraites à partir du premier vecteur de position calculé et du deuxième vecteur de position calculé, - comparaison de la valeur d'écart déterminée au seuil statistique d'alarme et - levée d'une alarme de dysfonctionnement d'un desdits premier et deuxième dispositif de géolocalisation lorsque la valeur d'écart déterminée est supérieure au seuil statistique d'alarme, le seuil statistique d'alarme étant tel qu'en absence de dysfonctionnement sur lesdits premier et deuxième dispositif de géolocalisation, la probabilité qu'une valeur d'écart calculée soit supérieure audit seuil statistique d'alarme est inférieure à ladite première probabilité. Avantageusement, l'invention permet de calculer un seuil d'alarme statistique, calculé dynamiquement en fonction d'une probabilité de fausse alarme. Le procédé selon l'invention peut présenter une ou plusieurs des caractéristiques 20 ci-dessous, prises indépendamment ou en combinaison, selon toutes combinaisons techniquement acceptables. Le calcul d'une statistique d'écart comporte le calcul d'une matrice de variance représentative de la statistique d'écart. Les informations de positionnement pour chaque dispositif de géolocalisation 25 comportent : - un vecteur de position instantanée calculée par ledit dispositif de géolocalisation, - une matrice de variance d'erreur sur les positions spatiales calculées, - une matrice d'observation pondérée associée aux satellites utilisés pour le calcul de vecteurs de position, 30 et pour chaque satellite utilisé pour le calcul dudit vecteur de position, une valeur représentative de l'écart-type d'erreur sur une distance entre ledit dispositif de géolocalisation et ledit satellite. Les informations de positionnement pour chaque dispositif de géolocalisation comportent des données permettant de déterminer, pour chaque satellite, un écart-type 35 des erreurs spécifiques audit dispositif de géolocalisation et un écart-type des erreurs communes à tous les dispositifs de géolocalisation, l'écart-type d'erreur sur une distance entre ledit dispositif de géolocalisation et ledit satellite étant calculé en fonction desdits écart-type des erreurs spécifiques et écart-type des erreurs communes. Les informations de positionnement comportent en outre, pour chaque dispositif de géolocalisation, un ensemble d'identifiants des satellites utilisés par ledit dispositif de géolocalisation. Le procédé comporte, pour chacun desdits premier et deuxième dispositif de géolocalisation, une étape d'extraction d'une matrice d'observation des satellites communs à partir de la matrice d'observation pondérée correspondante, en fonction des identifiants des satellites utilisés à la fois par le premier dispositif de géolocalisation et par le deuxième dispositif de géolocalisation, lesdits identifiants étant obtenus à partir des ensembles d'identifiants respectifs contenus dans les informations de positionnement. La matrice de variance représentative d'une statistique d'écart entre le premier vecteur de position calculé par le premier dispositif de géolocalisation et le deuxième vecteur de position calculé par le deuxième dispositif de géolocalisation est calculée par la formule : PDIFF (n, n) = P m + P - Pn, H mT,, Pni nr dans laquelle : - P. est la matrice de variance d'erreur sur les positions spatiales calculées pour le premier dispositif de géolocalisation et Pt, est la matrice de variance d'erreur sur les positions spatiales calculées pour le deuxième dispositif de géolocalisation, est la matrice d'observation des satellites communs pour le premier dispositif de géolocalisation et 1-1 est la matrice d'observation des satellites communs pour le deuxième dispositif de géolocalisation, et A est une matrice diagonale dont les termes sont définis par : A( j, j) = I er.omp'm(f) er2D,m (f)11 Cr2c'empm(f) 1721j,n Où crcompm ( j) est la valeur représentative de l'écart-type d'erreur sur une distance entre le premier dispositif de géolocalisation et un satellite identifié par un indice j, C comp,n(f) est la valeur représentative de l'écart-type d'erreur sur une distance entre le deuxième dispositif de géolocalisation et un satellite identifié par un indice j, comp ,m (i)e comp (j) cipsn (j) est une valeur représentative de l'écart-type de l'erreur, spécifique au premier dispositif de géolocalisation, sur une distance entre le premier dispositif de géolocalisation et un satellite identifié par un indice j, (j) est une valeur représentative de l'écart-type de l'erreur, spécifique au deuxième dispositif de géolocalisation, sur une distance entre le deuxième dispositif de géolocalisation et un satellite identifié par un indice j, ledit satellite d'indice j étant commun auxdits premier et deuxième dispositif de géolocalisation. Lorsque lesdits premier et deuxième dispositifs de géolocalisation utilisent un même ensemble de satellites, ladite matrice de variance représentative d'une statistique d'écart entre le premier vecteur de position calculé par le premier dispositif de géolocalisation et le deuxième vecteur de position calculé par le deuxième dispositif de géolocalisation est calculée par la formule : PDIFF(M,n)= Pnal inT D ,nP', + PnHnrDnlinPn dans laquelle : - Pm est la matrice de variance d'erreur sur les positions spatiales calculées pour le premier dispositif de géolocalisation et Pn est la matrice de variance d'erreur sur les positions spatiales calculées pour le deuxième dispositif de géolocalisation -11 ni est la matrice d'observation pondérée pour le premier dispositif de géolocalisation et Hn est la matrice d'observation pondérée pour le deuxième dispositif de géolocalisation, -D', est une matrice diagonale, associée au premier dispositif de géolocalisation, dont les termes sont définis par : Dm(i,i)= 2 Ccomp,m (i) Où Cr com (i) est la valeur représentative de l'écart-type d'erreur sur une distance entre le premier dispositif de géolocalisation et un satellite identifié par un indice i, (i) est une valeur représentative de l'écart-type de l'erreur, spécifique au premier dispositif de géolocalisation, sur une distance entre le premier dispositif de géolocalisation et un satellite identifié par un indice i, -Dn est une matrice diagonale, associée au second dispositif de géolocalisation, 2 f.;\ dont les termes sont définis par : Dn(i,i)= comp ,n30 C r comp,n(i) est la valeur représentative de l'écart-type d'erreur sur une distance entre le deuxième dispositif de géolocalisation et un satellite identifié par un indice i, up, est une valeur représentative de l'écart-type de l'erreur, spécifique au deuxième dispositif de géolocalisation, sur une distance entre le deuxième dispositif de géolocalisation et un satellite identifié par un indice i. Le seuil statistique d'alarme est calculé en fonction d'une probabilité de distribution Gaussienne centrée de l'écart entre vecteurs de positions calculés en l'absence de dysfonctionnement desdits premier et deuxième dispositifs de géolocalisation. Chacun des dispositifs de géolocalisation ayant un vecteur de position vraie associé, le procédé comporte en outre une étape de calcul de rayon d'intégrité, pour au moins un des dispositifs de géolocalisation de la paire de dispositifs de géolocalisation, dit dispositif de géolocalisation traité, pour lequel une probabilité de dysfonctionnement ou de panne est connue, ledit rayon d'intégrité étant tel que la probabilité pour que l'écart, pour les composantes choisies, entre le vecteur de position vraie et le vecteur de position calculée par ledit dispositif de géolocalisation traité soit supérieur audit rayon est inférieure à une deuxième probabilité fixée. Le calcul de rayon d'intégrité comporte un calcul d'un rayon intermédiaire, fonction du seuil statistique d'alarme calculé et d'une première distance telle qu'en l'absence de dysfonctionnement sur l'autre dispositif de géolocalisation de la paire de dispositifs de géolocalisation, la probabilité d'avoir un écart, pour les composantes choisies, entre le vecteur de position vraie et le vecteur de position calculé par ledit autre dispositif de géolocalisation de la paire de dispositifs de géolocalisation, supérieur à ladite première distance est inférieure à la deuxième probabilité divisée par la probabilité de panne du dispositif de géolocalisation traité.

Le calcul de rayon d'intégrité comporte la sélection du maximum entre ledit rayon intermédiaire, et une deuxième distance, telle qu'en l'absence de panne sur le dispositif de géolocalisation traité, la probabilité d'avoir un écart, pour les composantes choisies, entre le vecteur de position vraie et le vecteur de position calculé par ledit dispositif de géolocalisation traité, supérieur à ladite deuxième distance est inférieure à la deuxième probabilité. Selon un autre aspect, l'invention propose un dispositif de vérification d'intégrité d'informations de vecteur de position obtenues par au moins deux dispositifs de géolocalisation par satellite, chacun des dispositifs de géolocalisation étant apte à recevoir une pluralité de signaux radioélectriques en provenance d'une pluralité de satellites distincts, et à utiliser les signaux radioélectriques reçus pour calculer un vecteur de position dudit dispositif de géolocalisation, comportant des coordonnées de position calculées dans un repère spatial prédéterminé à un instant temporel donné. Le dispositif de vérification d'intégrité comporte, pour au moins une paire de dispositifs de géolocalisation considérés composée d'un premier dispositif de géolocalisation et d'un deuxième dispositif de géolocalisation, des modules adaptés à: - obtenir, pour chacun des dispositifs de géolocalisation de ladite paire de dispositifs de géolocalisation, un ensemble d'informations de positionnement, - calculer, en utilisant les ensembles de positionnement associés respectivement au premier dispositif de géolocalisation et au deuxième dispositif de géolocalisation, une statistique d'écart entre un premier vecteur de position calculé par le premier dispositif de géolocalisation et un deuxième vecteur de position calculé par le deuxième dispositif de géolocalisation, - calculer un seuil statistique d'alarme en fonction de la statistique d'écart et d'une première probabilité prédéterminée, - déterminer une valeur d'écart entre au moins une partie des composantes extraites à partir du premier vecteur de position calculé et du deuxième vecteur de position calculé, - comparer la valeur d'écart déterminée au seuil statistique d'alarme et - lever une alarme de dysfonctionnement d'un desdits premier et deuxième dispositif de géolocalisation lorsque la valeur d'écart déterminée est supérieure au seuil statistique d'alarme, le seuil statistique d'alarme étant tel qu'en absence de dysfonctionnement sur lesdits premier et deuxième dispositif de géolocalisation, la probabilité qu'une valeur d'écart calculée soit supérieure audit seuil statistique d'alarme est inférieure à ladite première probabilité. Selon un mode de réalisation, le module de calcul d'une statistique d'écart est adapté à calculer une matrice de variance représentative de la statistique d'écart. D'autres caractéristiques et avantages de l'invention ressortiront de la description qui en est donnée ci-dessous, à titre indicatif et nullement limitatif, en référence aux figures annexées, parmi lesquelles : -la figure 1 représente schématiquement un système de géolocalisation par satellite mettant en oeuvre un dispositif de vérification d'intégrité d'informations de positionnement selon l'invention ; - la figure 2 représente schématiquement un repère orthonormé terrestre; - la figure 3 est un synoptique des principales étapes d'un procédé de vérification d'intégrité d'informations de position selon un mode de réalisation de l'invention ; - la figure 4 est un synoptique des principales étapes du calcul de matrice de variance selon un premier mode de réalisation ; -la figure 5 est un synoptique des principales étapes du calcul de matrice de variance selon un deuxième mode de réalisation. La figure 1 représente schématiquement un système 1 de géolocalisation par satellite dans lequel l'invention trouve une application.

Le système 1 comporte une plateforme (non représentée), typiquement un aéronef, qui comporte trois dispositifs de géolocalisation G1, G2, G3, chacun de ces dispositifs mettant en oeuvre un capteur GNSS, par exemple selon le format GPS (« Global Positioning System ») ou Galileo. De manière générale, dans un système mettant en oeuvre l'invention, une plateforme est porteuse d'une pluralité de dispositifs de géolocalisation, comportant au moins deux tels dispositifs de géolocalisation. Les dispositifs de géolocalisation sont aptes à recevoir des signaux radioélectriques RF1 à RFL envoyés par des satellites respectifs Si, S2, S3, S4,.. SL, ces signaux radioélectriques RE, à RFL comportant des informations spatio-temporelles de positionnement des satellites émetteurs. Les satellites Si à SL émettent dans une bande de fréquence donnée, par exemple dans une bande de fréquence comprise entre 1,2 et 1,6 GHz pour le système GPS. Dans l'exemple de la figure 1, chaque dispositif de géolocalisation capte un ensemble de quatre signaux radioélectriques, selon la couverture d'émission des satellites émetteurs. Pour chaque dispositif de géolocalisation, on appelle satellites « en vue » ou « visibles » les satellites en provenance desquels des signaux radioélectriques sont reçus par ledit dispositif de géolocalisation. Ainsi, dans l'exemple de la figure 1, les satellites Si, S2, S3, S4 sont en vue du dispositif de géolocalisation Gi et du dispositif de géolocalisation G2, et les satellites S2, S3, S4, SL sont en vue du dispositif de géolocalisation G3. On considère dans la suite que les satellites d'un système de géolocalisation GNSS sont identifiés chacun par un identifiant, par exemple un indice j, avec j compris entre 1 et s, s étant le nombre de satellites opérationnels en orbite dans le système GNSS utilisé. Le nombre de satellites en vue de chaque dispositif de géolocalisation est inférieur ou égal à s.

Chaque dispositif de géolocalisation a effectue une estimation de sa position, à des instants temporels réguliers, et fournit un vecteur de position POS,,,k, à quatre composantes associé, à partir de N, satellites en vue du dispositif de géolocalisation G. Les trois premières composantes du vecteur POScak,i représentent les coordonnées (X, , Y'Z,) du dispositif de géolocalisation G, dans un repère orthonormé tridimensionnel R, qui est par exemple le repère ECEF (« Earth Centered, Earth Fixed »), comme illustré à la figure 2. La quatrième composante du vecteur de position est une estimation du biais de l'horloge interne du dispositif de géolocalisation Gi, exprimé en unité de distance (erreur de temps multipliée par la vitesse de la lumière), à l'instant temporel du calcul de position. L'estimation d'un tel vecteur de position est effectuée de manière conventionnelle dans le domaine de la géolocalisation par satellite. Pour un dispositif de géolocalisation a donné, on note, comme indiqué ci-dessus, P°S calc,i le vecteur de position à quatre composantes estimé, et POS,,, le vecteur de position vraie du dispositif de géolocalisation dans le repère orthornomé R considéré, qui n'est pas connu. Le biais d'horloge correspond à l'erreur en secondes multipliée la vitesse de la lumière. Les vecteurs de position respectifs sont liés par la relation suivante : P°S cak,1 = POS +(H,T Hi) Hir B, (Eq 1) Où Hi est une matrice d'observation de Ni lignes, Ni étant le nombre de satellites visibles du dispositif de géolocalisation G1. La ième ligne de Hi est égale à: 1 [a b 1] econip,i(J) Avec : j) l'écart-type de l'erreur sur la pseudo-distance associée au satellite d'indice j ; -[a bi ci] le vecteur unitaire de l'axe reliant le satellite d'indice j et le dispositif de géolocalisation G; dans le repère orthonormé R. B. est un vecteur de N, composantes, représentant les erreurs pondérées sur les pseudo-distances (ou « pseudo-range » en anglais) des satellites visibles du dispositif de géolocalisation G. La jè" composante du vecteur B. est : 1 * Err. où Erra, est Cr comp,i(i) l'erreur sur la pseudo-distance entre le dispositif de géolocalisation G, et le satellite d'indice j, due à la propagation du signal radioélectrique RF i à travers l'atmosphère. Le terme o-co,,,p,,(j) est calculé par le dispositif de géolocalisation G1, qui calcule également la matrice H,. Le dispositif de géolocalisation G, calcule une matrice Pi qui est une matrice de variance de l'erreur sur la position calculée : =E[(POScaicjPOSv,i)T (Eq 2) Où l'opérateur E[X] désigne l'espérance mathématique de X, AT désigne la matrice résultant de la transposition d'une matrice A. Les termes diagonaux de la matrice Pi sont les variances des erreurs sur les composantes calculées du vecteur POScalc,i et les autres termes représentent les corrélations entre ces différentes erreurs.

La matrice Pi est égale à P, .(H,THi)-1 (Eq 3) En combinant (Eq 1) et (Eq 3) on obtient la formule : P°S cak,t = POSi+PiH,T Bi (Eq 4) Selon l'invention, un dispositif de vérification d'intégrité d'informations de positionnement 6, qui comporte des moyens de calcul, e.g. un ou plusieurs processeurs, compare les vecteurs de positions calculés par au moins deux des dispositifs de géolocalisation du système 1, et effectue une comparaison par rapport à un seuil statistique d'alarme calculé à partir d'une statistique d'écart entre deux vecteurs extraits des vecteurs de position calculés. Chacun des dispositifs de géolocalisation Gl, G2, G3 transmet au dispositif de vérification d'intégrité d'informations de positionnement 6 un ensemble d'informations de positionnement calculées, noté respectivement I_POS1, I_POS2 , De manière plus générale, l'invention s'applique avec une pluralité de dispositifs de géolocalisation G. Chaque ensemble d'informations de positionnement I_POS, comprend, pour un dispositif de géolocalisation Gh dans l'exemple de réalisation : iP°S cak,i e Pi H1,N1,{Crcomp,i (j), j E g P°S calc,i étant le vecteur de position calculé, Pi la matrice de variance de l'erreur sur POScalc,i, Hi la matrice d'observation pondérée associée à POS et cscomp,, (j) l'écart type de l'erreur sur la pseudo-distance associée au satellite j, calculée par le dispositif de géolocalisation G. 8(i) est l'ensemble de Ni indices de satellites en vue du dispositif de géolocalisation G. Le dispositif de vérification d'intégrité d'informations de positionnement 6 comprend un module 8 de calcul d'une statistique d'écart entre vecteurs de position calculés par deux dispositifs de géolocalisation distincts, un module 10 de calcul de seuil statistique, un module 12 de comparaison, un module de levée d'alarme 14, un module 16 de vérification d'intégrité et un module 18 d'identification de dispositif de géolocalisation en dysfonctionnement.

Le module 8 de calcul d'une statistique d'écart entre vecteurs de position calculés par deux dispositifs distincts calcule, pour deux dispositifs de géolocalisation G' et Gn donnés, une matrice représentative de la statistique d'écart définie par la matrice de covariance suivante : PDIFF (m,n)=E[(POS.1,-POScalc,')(POS,'1,,',-POS .km - ) T] (Eq 5) En pratique, le module 8 applique la formule (Eq 6) suivante : PDIFF (m,n)= Pm+ Pn PmH mT ,cà I I n,ePn PnH nr "1-1 m,cPm (Eq 6) Dans laquelle : Hmc est la matrice d'observation des satellites communs, déterminée en extrayant les lignes de la matrice Hm correspondant aux satellites communs dans les calculs pour les dispositifs de géolocalisation G' et Gn, autrement dit les satellites en vue simultanément des dispositifs de géolocalisation Cm, G. est la matrice d'observation des satellites communs, déterminée en extrayant les lignes de la matrice lin correspondant aux satellites communs dans les calculs pour les dispositifs G, et Gn, autrement dit les satellites en vue simultanément des dispositifs de géolocalisation Grn, G. En effet, par hypothèse, chaque dispositif de géolocalisation G; reçoit des informations d'un sous-ensemble g(i) parmi l'ensemble de satellites émetteurs du système GNSS. Considérant deux dispositifs de géolocalisation G, et Gn, les ensembles 8(m) et 8(n) comportent un nombre K d'indices en commun : 8(m,n)= 8(m) n g(n) Dans la suite, on appellera satellite spécifique à un dispositif de géolocalisation Gn, (resp Gn) un satellite dont l'indice appartient à l'ensemble 8(m) (resp 8(n)) et n'appartient pas à l'ensemble g(m,n), et satellite commun, pour une paire de dispositifs de géolocalisation (G', Go), un satellite dont l'indice appartient à g(m,n). Par exemple, dans le système 1 de la figure 1, le satellite SL est spécifique à G3 et les satellites S2, S3, S4 sont communs à la paire de dispositifs de géolocalisation (G2, G3).

Ainsi, lorsque les dispositifs de géolocalisation G, et Go ont K indices en commun, les matrices et sont des matrices de K lignes et de 4 colonnes. La correspondance, pour la matrice entre un numéro de ligne et l'indice d'un satellite doit être la même que pour la matrice La matrice A est une matrice carrée de taille KxK, c'est une matrice diagonale dans laquelle les termes diagonaux sont donnés par: A(j,J) = Cr c2omp,m(j) r D2 ,m(i)"\I Cr c2omp,n(j)- 0"D2 ,n(j) comp,mCACT comp,n(j) (Eq 7) Où: le satellite j est un satellite commun aux deux dispositifs de géolocalisation G, et Cri; West l'écart-type de l'erreur, spécifique au dispositif de géolocalisation sur la pseudo-distance associée au satellite j ; crpm ( j) est l'écart-type de l'erreur, spécifique au dispositif de géolocalisation Go, sur la pseudo-distance associée au satellite j. La correspondance, pour la matrice A , entre un numéro de ligne et l'indice d'un satellite doit être la même que pour la matrice Par définition, les erreurs sur les pseudo-distances GPS ont des caractéristiques connues et on sait distinguer celles qui sont spécifiques à un dispositif de géolocalisation donné et celles qui sont communes à plusieurs dispositifs. Le dispositif de géolocalisation détermine les écarts-types des différentes erreurs à partir des informations envoyées dans le message GPS, à partir de modèles prédéterminés.

Les relations suivantes sont vérifiées : 0-con,,,m(j) = -10-L (j)+ 0-(j) (Eq 8) 0-comp,,,(J)= ilo-L,(j)+ 0-(j) (Eq 8') Avec cr c(j) l'écart-type de l'erreur sur la pseudo-distance associée au satellite j , commun aux dispositifs de géolocalisation G, et Go, pour la partie de l'erreur commune aux deux dispositifs.

La formule (Eq 6) pour calculer Pae.(m,n) est obtenue en considérant une décomposition des vecteurs de biais pondérés respectifs pour chacun des dispositifs de géolocalisation G'' G, en biais particulier des satellites spécifiques et biais particulier des satellites communs.

Comme noté ci-dessous, on a, selon la formule (Eq 4) ci-dessus : POS,,a,'= POSv,+ P,,,H',T (Eq 9) P°S calc,n = POSv,n+PnHnr (Eq 10) L'écart entre vecteurs de positions calculés est APOS(m,n)= lie°Scalc,m- P°Scalc,n Les positions vraies respectives sont identiques, les dispositifs de géolocalisation étant positionnés sur une même plate-forme. Ainsi, l'écart entre vecteurs de positions calculés s'écrit : APOS(m,n)= P.H.T B'-PnHn B' (Eq 11) En l'absence de dysfonctionnement des dispositifs de géolocalisation G,,, Ga, la différence APOS(m,n) suit une loi Gaussienne de moyenne nulle.

La matrice de covariance PDIFF(111,n)= E[APos(m,n)APOS(m,n)T J caractérise complètement la distribution statistique de l'écart entre vecteurs de position dans ce cas. En appliquant les formules (Eq 9) et (Eq 10) ci-dessus, on obtient : PD1FF (rn>n) = Pn Pmf inT E113mBnr iHnPn- PnHnr E[BnBmi. (Eq 12) A partir des considérations énumérées ci-dessous concernant les vecteurs de biais B', Bu, la formule (Eq 12) peut s'écrire selon la formule (Eq 6) utilisée. La covariance des erreurs, et donc des biais, entre un satellite spécifique à un des dispositifs de géolocalisation G', G, et un satellite commun aux dispositifs de géolocalisation respectifs G', G, est nulle. De même, la covariance des erreurs entre un satellite spécifique à un dispositif de géolocalisation G' et un satellite spécifique à un dispositif de géolocalisation G, est nulle. Pour les satellites communs aux deux dispositifs de géolocalisation, les erreurs sont indépendantes entre deux satellites distincts. Pour un satellite commun aux deux dispositifs de géolocalisation G', G', la covariance entre une erreur commune aux deux dispositifs de géolocalisation G', G, et une erreur spécifique à un des dispositifs de géolocalisation est nulle. De même, la covariance entre une erreur spécifique au dispositif de géolocalisation G, et une erreur spécifique au dispositif de géolocalisation Gr, est nulle.

En prenant en compte les considérations ci-dessus, on obtient l'expression donnée par (Eq 7) des termes de la matrice à. Dans un mode de réalisation particulier, lorsque les dispositifs de géolocalisation G, et G, utilisent exactement les mêmes satellites, c'est-à-dire lorsque tous les satellites utilisés par chacun des dispositifs de géolocalisation sont communs aux deux dispositifs de géolocalisation, les matrices H ,n,c et H sont respectivement égales aux matrices H. et H ' . Dans ce cas, la formule (Eq 6) de calcul de la matrice de covariance représentative de la statistique d'écart est transformée en : PDIFF (In ,n) = P,n1 - ',T D ',H ,nP', + D,H nP,, (Eq 13) Où D. et D n sont respectivement des matrices diagonales définies par : ' (i) (Eq 14) cre2orptp,m(i) Et crpn(i) = 2 (Eq 15) acomp,' (i) Où les écarts-types ci-D,. (i) et 0Dn(i) sont respectivement l'écart-type de l'erreur sur la pseudo-distance associée au satellite i spécifique au dispositif de géolocalisation G, et G', définis ci-dessus. Le module 10 de calcul de seuil statistique d'alarme calcule un seuil statistique d'alarme S(m,n) pour chaque paire de dispositifs de géolocalisation (G',G,) considérée, à partir de la matrice de covariance représentative de la statistique d 'écart PDIFF (in ,n) calculée par le module 8. Le calcul de seuil statistique d'alarme S(m,n) utilise l'hypothèse selon laquelle en l'absence de dysfonctionnement, l'écart sur le vecteur de position APOS(m,n) défini par (Eq 11) suit une loi Gaussienne de moyenne nulle. En conséquence, la matrice PD/FF (rn,n) caractérise la distribution statistique de 3,1)0S(m,n) en l'absence de dysfonctionnement sur les deux dispositifs de géolocalisation Gm, On. Suivant le besoin de l'utilisateur, on peut considérer les quatre composantes de APOS(m,n) ou bien extraire une, deux ou trois composantes de APOS(m,n) . Une fois le choix des composantes effectué, la méthode de l'invention permet de : - Déduire un seuil statistique d'alarme S(m,n) , - Calculer un écart à partir des composantes sélectionnées dans APOS(m,n), - En l'absence de panne du dispositif de géolocalisation G, et G' la probabilité que l'écart calculé soit supérieur au seuil statistique d'alarme S(m,n) est inférieure à une probabilité de fausse alarme fixée PFA .

Par exemple, si le choix des composantes dans APOS(m,n) correspond aux deux composantes d'erreur de position horizontale, il est possible de calculer un seuil statistique d'alarme S(m,n). L'écart à partir des composantes sélectionnées dans APOS(m,n), correspond alors à l'écart, dans le plan horizontal, entre deux positions calculées associées respectivement aux dispositifs de géolocalisation G' et G. En l'absence de panne du dispositif de géolocalisation G, et Gn, la probabilité que cet écart de position dans le plan horizontal soit supérieur au seuil statistique d'alarme S(m,n) est inférieure à une probabilité de fausse alarme fixée PFA .

Le module de comparaison 12 calcule un écart à partir des composantes sélectionnées dans APOS(m,n). Suivant le besoin de l'utilisateur, on peut considérer les quatre composantes de APOS(m,n) ou bien extraire une, deux ou trois composantes de APOS(m,n). Si on note ces composantes Ai(m,n), Ak(m,n), k étant le nombre de composantes sélectionnées, l'écart calculé est donné par la racine de la sommes des carrés de ces composantes, par : dh(m,n)= .\IAi(m,n)2 +...+ Ak(m,n)2 (Eq 16) Cet écart est comparé au seuil statistique d'alarme S(m,n) dépendant de la première probabilité (probabilité de fausse alarme) PFA fixée.

Le module de levée d'alarme 14 est apte à lever une alarme A indiquant un dysfonctionnement probable d'un au moins des deux dispositifs de géolocalisation 0m Gn lorsque l'écart dh (m, n) est supérieur au seuil statistique d'alarme S(m,n). Le module de vérification d'intégrité 16 est apte à mettre en oeuvre un calcul de rayon d'intégrité, pour un dispositif de géolocalisation Grn donné, pour lequel la probabilité 30 de dysfonctionnement ou de pannePpanne(n) est connue, associé à une deuxième probabilité PND fixée, PND étant la probabilité de non détection.

Le rayon d'intégrité est défini comme un rayon R(m), tel que la probabilité pour que l'écart, pour les composantes sélectionnées, entre le vecteur de position vraie et le vecteur de position calculé par le dispositif de géolocalisation G, soit supérieur audit rayon R(m) est inférieure à la deuxième probabilité PND fixée. Ce rayon permet de borner l'impact d'une panne du dispositif de géolocalisation G, sur le vecteur de position calculé par le dispositif de géolocalisation G,. Le calcul du rayon d'intégrité utilise le seuil d'alarme S(m,n) calculé pour la paire de dispositifs de géolocalisation Go, G. Un module 18 d'identification de dispositif de géolocalisation en dysfonctionnement récupère les résultats du module de comparaison 12 au seuil statistique d'alarme pour au moins trois dispositifs de géolocalisation considérés par paires, et fournit, quand les résultats le permettent, une indication de dispositif de géolocalisation en dysfonctionnement. En effet, en considérant trois dispositifs de géolocalisation G,', Gn, Gp : - les seuils statistiques d'alarme S(m,n), S(m,p) et S(n,p) sont calculés pour les paires (G,,,G,), (G,,Go) et (Go, Gp) - les écarts sont calculés à partir des composantes sélectionnées dans àPOS(m,n), àPOS(m,p), àPOS(n,p) - Chaque écart est comparé à son seuil d'alarme respectif (l'écart calculé à partir de APOS(m,n) est comparé au seuil S(m,n), et ainsi deux suite).. Lorsqu'une alarme est levée pour la paire (G', Go) et pour la paire (Gro,Go), mais pas pour la paire (Go, Go), le module 18 d'identification de dispositif de géolocalisation en dysfonctionnement déduit que le dispositif de géolocalisation G, est en dysfonctionnement.

Cette information est renvoyée vers le dispositif de calcul de géolocalisation, afin d'exclure le dispositif de géolocalisation détecté comme étant en dysfonctionnement des calculs de position de la plateforme. La figure 3 illustre les principales étapes d'un procédé de vérification d'intégrité d'informations de position selon un mode de réalisation de l'invention, mises en oeuvre par une unité de calcul d'un dispositif programmable apte à mettre en oeuvre l'invention. Un ensemble de P dispositifs de géolocalisation P?_ 2 est présent sur une plateforme mettant en oeuvre la géolocalisation pour la navigation.

Lors d'une première étape 30 de sélection, une paire de dispositifs de géolocalisation (G''G') est sélectionnée, et des informations de positionnement /_POS', , I _POS n sont obtenues des dispositifs de géolocalisation ar' G. De préférence, les informations de positionnement des divers dispositifs sont reçues à des instants temporels réguliers et mémorisées dans une mémoire du dispositif programmable mettant en oeuvre l'invention. Les informations de positionnement comprennent respectivement un dit vecteur de position instantanée POScak, , POS.k, , une matrice de variance d'erreur sur les vecteurs de position calculés Pm , P,, , une matrice d'observation pondérée 1-1. ,Hu associée aux satellites utilisés pour le calcul de vecteurs de position, et pour chacun desdits satellites distincts utilisés, une valeur crcomp,m (j) C r D,m(i) Cr comp,n(j) Cr D,n(i) - comp,m(j) et crcomp,n(j)sont représentatifs de l'écart-type d'erreur sur une distance entre ledit dispositif de géolocalisation et le satellite d'indice j. 0- D e(j) et crp,,, (j) sont représentatifs de l'écart-type de l'erreur spécifique au dispositif de géolocalisation G,' et Gn, sur la pseudo-distance associée au satellite j. En option, un ensemble d'identifiants 8(m), g(n) des satellites distincts utilisés est fourni. Il est à noter qu'un tel ensemble n'est pas nécessaire lorsque les dispositifs de géolocalisation utilisent les mêmes ensembles de satellites.

De préférence, les identifiants des satellites 8(m), g(n) sont des indices de satellite. Une matrice de variance représentative d'une statistique d'écart entre les vecteurs de positions POS'cak,. et POS'cak,n , notée PDIFF (m,n) est calculée lors de l'étape de calcul 34, selon la formule de l'équation (Eq 6) ou selon la formule de l'équation (Eq 13).

Deux modes de réalisation de ce calcul sont détaillés ci-après en référence aux figures 4 et 5. Ensuite, un seuil statistique d'alarme S(m,n) est calculé, en fonction d'une première probabilité PFA et des composantes sélectionnées dans APOS(m,n) , lors de l'étape de calcul de seuil 36, sur la base d'une distribution Gaussienne de moyenne nulle et de variance extraite de PDIFF (in, n) . Ensuite, une valeur d'écart relative aux composantes sélectionnées dans APOS(m,n) , notée d (m, n) est déterminée lors de l'étape 38.

De préférence, l'écart est estimé selon la formule de l'équation (Eq 16) ci-dessus. La valeur d'écart déterminée d(m,n) est comparée au seuil statistique d'alarme S(m,n) lors de l'étape de comparaison 40. Si la valeur d'écart déterminée d(m,n) est supérieure au seuil statistique d'alarme S(m,n) alors une alarme est levée lors de l'étape de levée d'alarme 42. L'alarme est de préférence indiquée via une interface homme-machine du dispositif programmable mettant en oeuvre l'invention ou d'un dispositif associé. Par exemple, un indicateur visuel est affiché sur une interface d'affichage. En variante, une alarme sonore est levée.

L'étape de levée d'alarme 42 ou l'étape de comparaison 40 en cas de comparaison négative sont suivies d'une étape 44 de calcul de rayon d'intégrité, pour un des deux dispositifs de géolocalisation ou pour les deux. Par exemple, le calcul est appliqué pour le dispositif de géolocalisation Grn, appelé dispositif de géolocalisation traité pour le calcul d'intégrité.

Lors de cette étape, on calcule d'abord un rayon intermédiaire : Ri; = max(S(m, n),d(m,n))+ RFFm (Eq 17) Où RFF,,, est la distance, dite première distance, telle qu'en absence de dysfonctionnement sur le dispositif de géolocalisation Gn, la probabilité d'avoir un écart, pour les composantes choisies, entre le vecteur de position vraie POSv, et le vecteur de position calculée POScALc, supérieur à RFFm est inférieure à la deuxième probabilité (probabilité de non détection) PND divisée par la probabilité de panne Ppanne(171) " Ensuite on calcule : R(m)= max(Rp , RFF,m) (Eq 18) Où RFFe est la distance, dite deuxième distance, qui a la propriété suivante : en l'absence de dysfonctionnement sur le dispositif de géolocalisation G,', la probabilité d'avoir un écart, pour les composantes choisies, entre le vecteur de position vraie POSv, et le vecteur de position calculée POS'cALc, supérieur à RFF,n, est inférieure à la deuxième probabilité (probabilité de non détection) PND' Ainsi, qu'une alarme ait été levée ou non à l'étape de lever d'alarme 42, la probabilité d'avoir un écart, pour les composantes choisies, entre le vecteur de position vraie POSv,et le vecteur de position calculé POScALc, , supérieur à R(m) est inférieure à la deuxième probabilité (probabilité de non détection) PND' En variante, le calcul de rayon d'intégrité est appliqué également au dispositif de géolocalisation G. L'étape 44 est ensuite suivie de l'étape 30 déjà décrite de sélection d'une nouvelle paire de dispositifs de géolocalisation.

De préférence, toutes les paires de dispositifs de géolocalisation possibles sont considérées. La figure 4 illustre un premier mode de réalisation de l'étape 34 de calcul de matrice de variance. Les informations de positionnement comprennent respectivement, dans ce mode de réalisation : - un vecteur de position instantanée POScak,m , POSeni, , - une matrice de variance d'erreur sur ces vecteurs position calculées P., J,, - une matrice d'observation pondérée H., Hn associée aux satellites utilisés pour le calcul des vecteurs de position, et -pour chacun desdits satellites distincts utilisés, -une valeur 0c0mp,Ffl(j) comp,n(j) représentative de l'écart-type d'erreur sur une distance entre ledit dispositif de géolocalisation et le satellite d'indice j, - des valeurs o-D,m (j) et crp, (j) représentatives de l'écart-type de l'erreur spécifique au dispositif de géolocalisation Gni et Gn, sur la pseudo-distance associée au satellite j - un ensemble d'identifiants g(m), (n) des satellites distincts utilisés. Lors des étapes 46, 48 des sous-matrices d'observation de satellites communs pour chacun des dispositifs de géolocalisation, respectives et H,, sont extraites des matrices Hm et H,,, en extrayant les lignes associées aux satellites communs aux ensembles d'identifiants 8(m) et 6(n). Lors de l'étape 50, les termes A(j,j) pour tous les indices de satellites JE (m , n) sont calculés, selon la formule (Eq 7). Enfin, la formule (Eq 6) est mise en oeuvre lors de l'étape 52 pour calculer la matrice PDIFF n) de variance représentative de la statistique d'écart entre vecteurs position calculés. La figure 5 illustre un deuxième mode de réalisation de l'étape 34 de calcul de matrice de variance.

Les informations de positionnement comprennent respectivement, dans ce mode de réalisation : -un vecteur de position instantanée POS,',,,m, POS,'',', -une matrice de variance d'erreur sur les vecteurs positions calculées /9. , Pn , -une matrice d'observation pondérée Hm, Hn associée aux satellites utilisés pour le calcul de vecteurs de position, et - pour chacun desdits satellites distincts utilisés, - une valeur crcomp,m (j), o-comp,n (j) représentative de l'écart-type d'erreur sur une distance entre ledit dispositif de géolocalisation et le satellite d'indice j, et - des valeurs o-D,. (j)et o-D,n (j) représentatives de l'écart-type de l'erreur spécifique au dispositif de géolocalisation G, et Gn, sur la pseudo-distance associée au satellite j. Dans ce mode de réalisation, par définition, tous les satellites utilisés par les dispositifs de géolocalisation sont des satellites communs.

Lors de l'étape 60, les termes Dm(j,j) sont calculés selon la formule (Eq 14) pour tous les satellites utilisés. Les termes Dn(j,j) sont calculés selon la formule (Eq 15) pour tous les satellites utilisés lors de l'étape 62. Lors d'une étape de calcul 64, la formule (Eq 13) est mise en oeuvre pour calculer la matrice de variance représentative de la statistique d'écart entre les vecteurs positions calculés PDIFF (ln> n) ° Avantageusement, dans les deux modes de réalisation, la prise en compte des satellites communs utilisés par les dispositifs de géolocalisation d'une paire de dispositifs de géolocalisation permet de prendre en compte des données affectées par des erreurs de propagation similaires, qui ont un impact similaire sur les positions calculées. Ainsi, la valeur de seuil statistique d'alarme calculée est aussi basse que possible, permettant de lever une alarme le plus tôt possible et donc d'augmenter la sécurité de navigation. Avantageusement, l'invention permet de calculer, pour chaque dispositif de géolocalisation G, pour lequel la probabilité de dysfonctionnement ou de panne P panne (171) est connue, un rayon d'intégrité R(m) tel que la probabilité d'avoir un écart, pour les composantes sélectionnées, entre vecteur de position vraie POSv, et vecteur de position calculé POScak,m supérieur à R(m) est inférieure à une probabilité de non détection PND-

Claims

REVENDICATIONS1.- Procédé de vérification d'intégrité d'informations de vecteur de position obtenues par au moins deux dispositifs de géolocalisation par satellite, chacun des dispositifs de géolocalisation étant apte à recevoir une pluralité de signaux radioélectriques en provenance d'une pluralité de satellites distincts, et à utiliser les signaux radioélectriques reçus pour calculer un vecteur de position dudit dispositif de géolocalisation, comportant des coordonnées de position calculées dans un repère spatial prédéterminé à un instant temporel donné, caractérisé en ce qu'il comporte, pour au moins une paire de dispositifs de géolocalisation considérés composée d'un premier dispositif de géolocalisation (Go,) et d'un deuxième dispositif de géolocalisation(Go), les étapes suivantes : - obtention (32), pour chacun des dispositifs de géolocalisation de ladite paire de dispositifs de géolocalisation, d'un ensemble d'informations de positionnement, - calcul (34), en utilisant les ensembles de positionnement associés respectivement au premier dispositif de géolocalisation et au deuxième dispositif de géolocalisation, d'une statistique d'écart entre un premier vecteur de position calculé par le premier dispositif de géolocalisation et un deuxième vecteur de position calculé par le deuxième dispositif de géolocalisation, - calcul (36) d'un seuil statistique d'alarme (S(m,n)) en fonction de la statistique d'écart et d'une première probabilité (FA) prédéterminée, détermination (38) d'une valeur d'écart entre au moins une partie des composantes extraites à partir du premier vecteur de position calculé et du deuxième vecteur de position calculé, - comparaison (40) de la valeur d'écart déterminée au seuil statistique d'alarme( S(m,n)) , et - levée (42) d'une alarme de dysfonctionnement d'un desdits premier (G,o) et deuxième (Go) dispositif de géolocalisation lorsque la valeur d'écart déterminée est supérieure au seuil statistique d'alarme( S(m, n)), le seuil statistique d'alarme (S(m,n))étant tel qu'en absence de dysfonctionnement sur lesdits premier et deuxième dispositif de géolocalisation, la probabilité qu'une valeur d'écart calculée soit supérieure audit seuil statistique d'alarme est inférieure à ladite première probabilité.
2.- Procédé de vérification d'intégrité selon la revendication 1, caractérisé en ce que le calcul d'une statistique d'écart comporte le calcul d'une matrice de variance représentative de la statistique d'écart.
3.- Procédé de vérification d'intégrité selon la revendication 1 ou la revendication 2, caractérisé en ce que les informations de positionnement pour chaque dispositif de géolocalisation comportent : - un vecteur de position instantanée calculée par ledit dispositif de géolocalisation, - une matrice de variance d'erreur sur les positions spatiales calculées, - une matrice d'observation pondérée associée aux satellites utilisés pour le calcul de vecteurs de position, et pour chaque satellite utilisé pour le calcul dudit vecteur de position, une valeur représentative de l'écart-type d'erreur sur une distance entre ledit dispositif de géolocalisation et ledit satellite.
4.- Procédé de vérification d'intégrité selon la revendication 3, caractérisé en ce que les informations de positionnement pour chaque dispositif de géolocalisation comportent des données permettant de déterminer, pour chaque satellite, un écart-type des erreurs spécifiques audit dispositif de géolocalisation et un écart-type des erreurs communes à tous les dispositifs de géolocalisation, l'écart-type d'erreur sur une distance entre ledit dispositif de géolocalisation et ledit satellite étant calculé en fonction desdits écart-type des erreurs spécifiques et écart-type des erreurs communes.
5.- Procédé de vérification d'intégrité selon l'une quelconque des revendications 3 ou 4, caractérisé en ce que les informations de positionnement comportent en outre, pour chaque dispositif de géolocalisation, un ensemble d'identifiants des satellites utilisés par ledit dispositif de géolocalisation.
6.- Procédé de vérification d'intégrité selon la revendication 5, caractérisé en ce qu'il comporte, pour chacun desdits premier et deuxième dispositif de géolocalisation, une étape d'extraction d'une matrice d'observation des satellites communs (H,H) à partir de la matrice d'observation pondérée (H, ,H) correspondante, en fonction des identifiants des satellites utilisés à la fois par le premier dispositif de géolocalisation et par le deuxième dispositif de géolocalisation, lesdits identifiants étant obtenus à partir des ensembles d'identifiants respectifs contenus dans les informations de positionnement.
7.- Procédé de vérification d'intégrité selon la revendication 6, caractérisé en ce que ladite matrice de variance représentative d'une statistique d'écart entre le premier vecteur de position calculé par le premier dispositif de géolocalisation et le deuxième vecteur de position calculé par le deuxième dispositif de géolocalisation est calculée par la formule : PDIFF(111, n) = Pm Pn Pm' I mi' ,cA n,c Pn Pnl nr cA H In ,cPm dans laquelle : - Pm est la matrice de variance d'erreur sur les positions spatiales calculées pour le premier dispositif de géolocalisation et P,, est la matrice de variance d'erreur sur les positions spatiales calculées pour le deuxième dispositif de géolocalisation, Hmc est la matrice d'observation des satellites communs pour le premier dispositif de géolocalisation et H',, est la matrice d'observation des satellites communs pour le deuxième dispositif de géolocalisation, et A est une matrice diagonale dont les termes sont définis par : AU, i) = Cromp'm(i) Cf2D,m(i)"\ 'e7omp,n(j) e2D,n(i) comp,m(i)Cr comp,n(i) Où creomp,m (j) est la valeur représentative de l'écart-type d'erreur sur une distance entre le premier dispositif de géolocalisation et un satellite identifié par un indice j, ecomp,n (j) est la valeur représentative de l'écart-type d'erreur sur une distance entre le deuxième dispositif de géolocalisation et un satellite identifié par un indice j, D,m(j) est une valeur représentative de l'écart-type de l'erreur, spécifique au premier dispositif de géolocalisation, sur une distance entre le premier dispositif de géolocalisation et un satellite identifié par un indice j, cri), (j) est une valeur représentative de l'écart-type de l'erreur, spécifique au deuxième dispositif de géolocalisation, sur une distance entre le deuxième dispositif de géolocalisation et un satellite identifié par un indice j, ledit satellite d'indice j étant commun auxdits premier et deuxième dispositif de géolocalisation.
8.- Procédé de vérification d'intégrité selon la revendication 4, caractérisé en ce que, lorsque lesdits premier et deuxième dispositifs de géolocalisation utilisent un mêmeensemble de satellites, ladite matrice de variance représentative d'une statistique d'écart entre le premier vecteur de position calculé par le premier dispositif de géolocalisation et le deuxième vecteur de position calculé par le deuxième dispositif de géolocalisation est calculée par la formule : PDIFF n) = Pm1 mT D mH mPm + nr D,H 'Pn dans laquelle : - Pm est la matrice de variance d'erreur sur les positions spatiales calculées pour le premier dispositif de géolocalisation et Pn est la matrice de variance d'erreur sur les positions spatiales calculées pour le deuxième dispositif de géolocalisation -Hm est la matrice d'observation pondérée pour le premier dispositif de géolocalisation et H,, est la matrice d'observation pondérée pour le deuxième dispositif de géolocalisation, - D m est une matrice diagonale, associée au premier dispositif de géolocalisation, dont les termes sont définis par : Dm(,) = 2 ecomp,m (i) Où crcomp,m(i) est la valeur représentative de l'écart-type d'erreur sur une distance entre le premier dispositif de géolocalisation et un satellite identifié par un indice i, CDm(l) est une valeur représentative de l'écart-type de l'erreur, spécifique au premier dispositif de géolocalisation, sur une distance entre le premier dispositif de géolocalisation et un satellite identifié par un indice i, - D n est une matrice diagonale, associée au second dispositif de géolocalisation, \ i; D ,nki dont les termes sont définis par : D = ci'2 (i) , con, ,n creomp,n (i) est la valeur représentative de l'écart-type d'erreur sur une distance entre le deuxième dispositif de géolocalisation et un satellite identifié par un indice i, CD,, (1) est une valeur représentative de l'écart-type de l'erreur, spécifique au deuxième dispositif de géolocalisation, sur une distance entre le deuxième dispositif de géolocalisation et un satellite identifié par un indice i.
9.- Procédé de vérification d'intégrité selon l'une quelconque des revendications précédentes, caractérisé en ce que le seuil statistique d'alarme est calculé en fonctiond'une probabilité de distribution Gaussienne centrée de l'écart entre vecteurs de positions calculés en l'absence de dysfonctionnement desdits premier et deuxième dispositifs de géolocalisation.
10.- Procédé de vérification d'intégrité selon l'une quelconque des revendications précédentes, chacun des dispositifs de géolocalisation ayant un vecteur de position vraie associé, caractérisé en ce qu'il comporte en outre une étape de calcul (44) de rayon d'intégrité, pour au moins un des dispositifs de géolocalisation de la paire de dispositifs de géolocalisation, dit dispositif de géolocalisation traité, pour lequel une probabilité de dysfonctionnement ou de panne est connue, ledit rayon d'intégrité étant tel que la probabilité pour que l'écart, pour les composantes choisies, entre le vecteur de position vraie et le vecteur de position calculée par ledit dispositif de géolocalisation traité soit supérieur audit rayon est inférieure à une deuxième probabilité (ND) fixée.
11.- Procédé de vérification d'intégrité selon la revendication 10, caractérisé en ce que le calcul (44) de rayon d'intégrité comporte un calcul d'un rayon intermédiaire, fonction du seuil statistique d'alarme calculé et d'une première distance telle qu'en l'absence de dysfonctionnement sur l'autre dispositif de géolocalisation de la paire de dispositifs de géolocalisation, la probabilité d'avoir un écart, pour les composantes choisies, entre le vecteur de position vraie et le vecteur de position calculé par ledit autre dispositif de géolocalisation de la paire de dispositifs de géolocalisation, supérieur à ladite première distance est inférieure à la deuxième probabilité (ND) divisée par la probabilité de panne du dispositif de géolocalisation traité.
12.- Procédé de vérification d'intégrité selon la revendication 11, caractérisé en ce que le calcul (44) de rayon d'intégrité comporte la sélection du maximum entre ledit rayon intermédiaire, et une deuxième distance, telle qu'en l'absence de panne sur le dispositif de géolocalisation traité, la probabilité d'avoir un écart, pour les composantes choisies, entre le vecteur de position vraie et le vecteur de position calculé par ledit dispositif de géolocalisation traité, supérieur à ladite deuxième distance est inférieure à la deuxième probabilité (ND )-
13.- Dispositif de vérification d'intégrité d'informations de vecteur de position obtenues par au moins deux dispositifs de géolocalisation par satellite, chacun des 35 dispositifs de géolocalisation étant apte à recevoir une pluralité de signauxradioélectriques en provenance d'une pluralité de satellites distincts, et à utiliser les signaux radioélectriques reçus pour calculer un vecteur de position dudit dispositif de géolocalisation, comportant des coordonnées de position calculées dans un repère spatial prédéterminé à un instant temporel donné, le dispositif de vérification étant caractérisé en ce qu'il comporte, pour au moins une paire de dispositifs de géolocalisation considérés composée d'un premier dispositif de géolocalisation (Gr',) et d'un deuxième dispositif de géolocalisation(G'), des modules adaptés à: - obtenir, pour chacun des dispositifs de géolocalisation de ladite paire de dispositifs de géolocalisation, un ensemble d'informations de positionnement, - calculer, en utilisant les ensembles de positionnement associés respectivement au premier dispositif de géolocalisation et au deuxième dispositif de géolocalisation, une statistique d'écart entre un premier vecteur de position calculé par le premier dispositif de géolocalisation et un deuxième vecteur de position calculé par le deuxième dispositif de géolocalisation, - calculer un seuil statistique d'alarme (S(m, n)) en fonction de la statistique d'écart et d'une première probabilité ( - PFA ) prédéterminée, - déterminer une valeur d'écart entre au moins une partie des composantes extraites à partir du premier vecteur de position calculé et du deuxième vecteur de position calculé, - comparer la valeur d'écart déterminée au seuil statistique d'alarme(S(m,n)), et - lever une alarme de dysfonctionnement d'un desdits premier (G,') et deuxième (Go) dispositif de géolocalisation lorsque la valeur d'écart déterminée est supérieure au seuil statistique d'alarme( S(m, n)) , le seuil statistique d'alarme ( S(m,n)) étant tel qu'en absence de dysfonctionnement sur lesdits premier et deuxième dispositif de géolocalisation, la probabilité qu'une valeur d'écart calculée soit supérieure audit seuil statistique d'alarme est inférieure à ladite première probabilité.
14.- Dispositif de vérification d'intégrité selon la revendication 13, caractérisé en ce que le module de calcul d'une statistique d'écart est adapté à calculer une matrice de variance représentative de la statistique d'écart.