FR3028975A1

FR3028975A1 - Procede de detection d'erreur d'un systeme de gestion de vol et de guidage d'un aeronef et syteme de gestion de vol et de guidage a haute integrite

Info

Publication number: FR3028975A1
Application number: FR1402675A
Authority: FR
Inventors: Michel Roger; Alexandre Darbois
Original assignee: Thales SA
Current assignee: Thales SA
Priority date: 2014-11-26
Filing date: 2014-11-26
Publication date: 2016-05-27
Anticipated expiration: 2034-11-26
Also published as: FR3028975B1; US9575489B2; CN105632246A; CA2913551C; CN105632246B; US20160147224A1; CA2913551A1

Abstract

L'invention concerne un procédé de détection d'erreur d'un système de gestion de vol couplé à un guidage d'un aéronef suivant un plan de vol, comprenant les étapes consistant à : -générer (101) une première consigne de guidage de référence (CG1COM), -contrôler (102) l'intégrité, de la première position de référence (POS1COM), -lorsque la première position de référence n'est pas contrôlée intègre : *Invalider (103) le premier ensemble FMS (E-FMS1) et le système de guidage associé, - lorsque la première position de référence et la première trajectoire de référence sont contrôlées intègres : *générer (104) une première consigne de guidage de contrôle (CG1MON), *générer (105) une première commande de vol de référence (CV1COM) *générer (106) une première commande de vol de contrôle (CV1MON), à *Contrôler (116) l'intégrité de la première consigne de guidage de référence (CG1COM) -lorsque la première consigne de guidage de référence (CG1COM) n'est pas contrôlée intègre : *Invalider le premier ensemble FMS (E-FMS1) et le guidage associé.

Description

1 Procédé de détection d'erreur d'un système de gestion de vol et de guidage d'un aéronef et système de gestion de vol et de guidage à haute intégrité DOMAINE DE L'INVENTION La présente invention concerne de manière générale la détection d'erreur d'un système de gestion de vol et de guidage d'un aéronef. Plus particulièrement l'invention concerne une détection d'erreur permettant d'obtenir un système de gestion de vol et de guidage présentant une haute intégrité. ETAT DE LA TECHNIQUE Un plan de vol est la description détaillée de la route à suivre par un aéronef dans le cadre d'un vol planifié. Le plan de vol est couramment géré à bord des avions civils par un système désigné par la terminologie anglo-saxonne de « Flight Management System », que l'on appellera FMS par la suite qui met la route à suivre à disposition du personnel de bord et à disposition des autres systèmes embarqués. Ce système FMS permet aussi une aide à la navigation, par l'affichage d'informations utiles aux pilotes, ou bien par la communication de consignes de guidage à un système de pilotage automatique. La figure 1 présente un diagramme synthétique illustrant la structure d'un FMSO connu de l'état de la technique. Un système de type FMS connu dispose d'une interface homme-machine IHM comprenant par exemple un clavier et un écran d'affichage, ou bien simplement un écran d'affichage tactile, ainsi qu'au moins les fonctions suivantes, illustrées de manière générique par un module associé, décrites dans la norme ARINC 702 : - Navigation LOC effectue la localisation optimale de l'aéronef en fonction des moyens de géo-localisation GEOLOC tels que le géopositionnement par satellite ou GPS, les balises de radionavigation VHF, les centrales inertielles. Ce module communique avec les 3028975 2 dispositifs de géo-localisation précités. Ainsi le module LOC calcule la position (latitude, longitude, altitude) et la vitesse de l'aéronef dans l'espace. - Plan de vol FPLN saisit les éléments géographiques constituant le squelette de la route à suivre, tels que les points imposés par les procédures de départ et d'arrivée, les waypoints, les routes aériennes ou airways selon la dénomination anglo-saxonne ; - Base de données de navigation NAVDB contient les waypoints, les routes géographiques, les procédures et les balises - Base de données de performance PERFDB contient les paramètres de performances aérodynamiques et des moteurs de l'appareil ; - Trajectoire latérale TRAJ, construit par calcul une trajectoire continue à partir des points du plan de vol, en utilisant les performances de l'aéronef et en respectant les contraintes de confinement (RNP) ; - Prédictions PRED, construit un profil vertical optimisé sur la trajectoire latérale et fournit les prédictions en heure de passage, quantité restante de fuel, altitude et vitesse de passage à chacun des points du plan de vol. - Guidage GUID établit, à partir de la position et de la trajectoire calculée, des consignes de guidage pour guider l'aéronef dans les plans latéraux, verticaux et vitesse pour suivre sa trajectoire tridimensionnelle, tout en optimisant sa vitesse. Les consignes de guidage sont transmises au pilote automatique. Lorsque l'aéronef est équipé d'une pilote automatique PA et qu'il fonctionne, c'est lui qui transforme les consignes de guidages en commandes de vol. - Liaison de données numériques DATALINK communique avec les centres de contrôle aériens, les centres opérationnels au sol et dans le futur les autres aéronefs 13. Le plan de vol est entré par le pilote, ou bien par liaison de données, à partir de données contenues dans la base de données de navigation. Le pilote saisit ensuite les paramètres de l'aéronef : masse, plan de vol, plage de niveaux de croisière, ainsi que un ou une pluralité de critères d'optimisation, tels que le Cost Index Cl. Ces entrées permettent aux 3028975 3 modules TRAJ et PRED de calculer respectivement la trajectoire latérale et le profil vertical, c'est-à-dire le profil de vol en termes d'altitude et de vitesse, qui par exemple minimise le critère d'optimisation. Ainsi de manière classique un système de gestion de vol : -calcule une position de l'avion (LOC) à partir de données issues de capteurs embarqués listés ci-dessus, -détermine une trajectoire (module TRAJ/PRED) avec les bases de données PERF DB, conformément au plan de vol défini à partir de la NAV DB, - fournit, à partir de la position et de la trajectoire, des consignes de guidage (module GUID), (« flight guidance target » en anglais) pour suivre cette trajectoire. De manière classique, la position avion calculée permet d'identifier un écart éventuel avec la trajectoire ou un changement (virage, montée, accélération, décélération) à venir de la trajectoire. A partir de cet écart latéral, GUID va établir une consigne de guidage, de manière classique : roulis en latéral, tangage ou pente en vertical, vitesse ou niveau de poussée en vitesse. Dans la suite de l'exposé, le terme « consigne de guidage » (« flight guidance target» en anglais) recouvre l'ensemble des consignes de guidages telles que définies ci-dessus. Les consignes de guidage générées par GUID sont transmises au pilote automatique PA. Le PA transforme les consignes de guidage qui lui sont envoyées en commandes de vol directement appliquées à l'aéronef (Ailerons, Elevateurs, Moteurs...) Dans la suite de l'exposé, le terme « commande de vol» ( « Flight Control» en anglais) recouvre l'ensemble des commandes de vol telles que définies ci-dessus. De manière classique, le pilote automatique génère et envoie aux gouvernes de l'avion la position (angle) pour les ailerons et élévateurs, la poussée pour les moteurs.... De manière générale, un pilote automatique PA permet de guider un aéronef automatiquement à partir de consignes fournies, soit par le pilote («tactique) au travers d'une interface dite FCU (AIRBUS) ou MCP (BOEING), soit par un système de type FMS (stratégique). Nous nous intéresserons au guidage à partir du FMS.

3028975 4 Ces commandes de vol sont présentées au pilote via le directeur de vol (Flight Director en anglais) sous la forme par exemple de barres verticales et latérales (que le pilote doit essayer de suivre à la main lorsque le pilote automatique n'est pas engagé). Certaines procédures nécessitent un niveau plus important de précision sur le guidage des aéronefs. Par exemple, vers la fin de la phase croisière et quelques minutes avant de commencer la descente, le pilote sélectionne via le FMS la procédure d'approche qu'il utilisera pour poser l'avion sur la piste d'atterrissage de son aéroport de destination. La procédure d'approche pour certains aéroports est du type RNP AR avec RNP < 0.3 NM. Le concept RNP utilisé dans l'industrie aéronautique consiste d'une part dans la capacité du système de navigation de l'avion à surveiller sa performance (précision) et à informer le pilote de la tenue ou non des exigences opérationnelles (erreur) pendant l'opération, et d'autre part dans l'optimisation des procédures d'approche en les basant sur les performances de navigation de l'avion. Ce concept permet de réduire les espacements entre avions en croisière et en zone terminale, d'optimiser les procédures de décollage et atterrissage. Il permet aussi de réduire les minima associés aux procédures approches aussi bien sur les approches de non précision que sur les approches classiques RNAV. Une procédure RNP réfère à une procédure ou un bloc d'espace spécifique. Par exemple, une procédure RNP xx signifie que les systèmes de navigation de l'aéronef doivent être capables de calculer la position de l'aéronef dans un cercle de xx Nm, par exemple une RNP 0.3 dans un cercle de 0.3 Nm. Le concept RNP AR quant à lui permet d'ajouter plusieurs capacités: - accéder sans moyen sol spécifique à des terrains difficilement accessibles à cause du relief (Par exemple Juneau, Queenstown) - rapprocher les trajectoires de procédures d'approche parallèle sur des aéroports (gain 1 RNP entre deux procédures (Par exemple San Francisco) - construire des procédures plus courtes donc moins consommatrices de fuel (Par exemple Doha) - construire des procédures réduisant les nuisances sonores (Par exemple Washington, arrivée sur le Potomac) 3028975 - réduire la dispersion des trajectoires d'approche (vs ATC) - remplacer des approches requérant des moyens sols grâce à une réduction de l'incertitude latérale et une surveillance de l'écart vertical avec le profil de référence (la FAA a doublé les approches CAT I avec des procédures RNP souvent AR). La notion AR (« Authorization required »), implique une obligation d'obtenir au cas par cas une autorisation par les autorités locales pour opérer l'approche en question avec les minima définis. Cette autorisation est délivrée à chaque équipage sur un type d'avion donné et pour chaque approche. Pour ces approches spécifiques, telles les approches RNP AR, il convient de mettre en oeuvre une architecture avionique qui permet de respecter de manière automatique les contraintes d'intégrité et de continuité associées à ce type d'approche. On entend par continuité, ou disponibilité, le fait que lorsqu'une panne du système FMS ou du système de guidage (pilote automatique) associé est détectée, l'aéronef est capable de basculer sur un autre système proposant le même niveau de service. Classiquement, la disponibilité est obtenue en dédoublant le FMS et le pilote automatique associé, tel qu'illustré figure 2. Les deux chaînes FMS10/PA10 et FMS20/PA20 sont autonomes, c'est-à-dire indépendantes l'une de l'autre. Le FMS10 calcule une position, une trajectoire et le module GUID10 génère une consigne de guidage CG10 tel que décrit précédemment. La consigne de guidage CG1 est envoyée au pilote automatique PA10. De même le FMS20 calcule une position, une trajectoire et un module GUID20 génère une consigne de guidage CG20 tel que décrit précédemment. La consigne de guidage CG10 est envoyée au pilote automatique PA10 et la consigne de guidage CG20 est envoyée au pilote automatique PA20. Lorsqu'une panne est détectée sur le système FMS10+PA10, le système global bascule sur le système FMS20+PA20, soit automatiquement, soit par une action du pilote. Afin de réaliser des approches de type « autoland » dans lesquelles le pilote automatique est capable de poser l'avion, certains pilotes automatiques 3028975 6 présentent une architecture dite COM/MON. La partie COM (pour « command» en anglais) du pilote automatique établit une consigne CV10 à l'aide des lois de pilotage. De manière classique, le pilote automatique détermine l'écart entre l'attitude (roulis, tangage) actuelle de l'avion et la consigne désirée (sélection pilote ou commande de guidage du FM) et génère à partir d'une loi de pilotage une commande de vol CV10. Par ailleurs, la partie COM du pilote automatique transmet la consigne désirée à la partie MON (pour « monitoring » en anglais), qui met en oeuvre de la même manière que COM la même loi de pilotage pour générer une commande de vol CV1bis. L'intégrité de la commande de vol CV10 est vérifiée par comparaison avec CV1bis. La partie COM du pilote automatique PA a transmis sa commande CV10 à la partie MON du PA et la partie MON du PA a transmis sa commande CV1bis à la partie COM du PA. PA COM et MON comparent leurs commandes respectives et invalident le PA si un écart représentatif est mesuré. Chaque pilote automatique utilise une consigne de guidage unique issue du FMS correspondant. Concernant la problématique d'intégrité du système pour ces approches spécifiques, par exemple pour pouvoir suivre une procédure RNP xx, le système de navigation de l'aéronef doit être capable de calculer la position de l'aéronef dans un cercle de xx Nm, mais le système de pilotage automatique doit aussi garantir qu'il saura guider l'aéronef avec la même précision. Le niveau de précision du guidage est fixe et connu, alors que la précision du calcul de la position peut varier le long du vol (couverture GPS différente, dérives des centrales inertielles, couverture des moyens de radio navigation plus ou moins dense). De manière classique, l'erreur de calcul de la position avion appelée TSE (Total System Error) représentée sur la figure 3 est la somme quadratique de 3 composantes : L'erreur de localisation avion ou PEE pour « Position Estimation Error » en anglais, L'erreur de trajectoire avion ou PDE pour « Path Definition Error » en anglais, 3028975 7 - L'erreur de guidage avion ou PSE pour « Path steering Error » en anglais. La flèche DesP correspond à la trajectoire souhaitée (« desired path »), la flèche en pointillé DefP (« defined path ») correspond à la trajectoire calculée. Le système de gestion de vol FMS est contributeur aux trois composantes de la TSE comme illustré figure 4. Le terme « outer loop » pour grande boucle en français correspond aux lois d'asservissement gérant le déplacement du centre de gravité de l'avion (consigne de haut niveau en entrée comme le cap, l'altitude, ...et consigne de bas niveau en sortie roulis, tangage). Le terme « inner loop » ou petite boucle en français désigne les lois d'asservissement gérant l'équilibre de l'avion autour du centre de gravité (consigne de bas niveau comme le roulis, le tangage en entrée, commande de vols en sorties comme les angles sur les gouvernes). PFD signifie Primary Flight Display, où sont affichés les consignes Flight Director. Or ce sont les composantes (Position, Trajectoire et guidage) de cette TSE qui sont une des sources d'erreur conduisant à un calcul erroné potentiellement non détecté d'un guidage latéral ou vertical. La demande d'une intégrité plus importante de la TSE apparaît pour les approches dites RNP AR AVEC RNP<0.3NM. Pour aider au respect de cette intégrité, une contrainte forte est apparue sur la définition de la trajectoire qui doit être « géo » référencée en latéral et vertical, autrement dit les segments droits et courbes pour le latéral et les pentes pour le vertical sont fixes par rapport au sol et tous les avions suivront exactement la même trajectoire. Il en ressort que pour les FMS utilisant une bonne représentation de la « terre » (WGS84 compatible), l'erreur liée à la construction de la trajectoire peut être ignorée dans la formule de la TSE Il convient donc au système FMS d'assurer l'intégrité requise en détectant les erreurs de calcul sur la position et sur le guidage. Les plateformes actuelles supportant l'application FMS ne garantissent pas une occurrence par heure de vol d'une non détection de calcul erroné inférieure à quelques 10-6, typiquement 5.10-6. Or pour des approches de type RNP avec RNP<0.3 NM par exemple, un niveau d'intégrité dénommé « hazardous », correspondant à une occurrence 3028975 8 de panne inférieure à 10-7 par heure de vol, est requis. Un FMS seul ne peut donc assurer une intégrité de ce niveau. La duplication du FMS utilisé pour l'obtention de la continuité ne résout pas ce problème, chaque FMS étant individuellement limité en intégrité. Une première solution de l'état de la technique pour atteindre le niveau d'intégrité « hazardous » est décrite dans le document US 8660745. L'architecture du système comprend deux FMS, un FMS « maître » réalisant le « computing » et un deuxième FMS « esclave » réalisant le « monitoring ».Les commandes émises par le maître sont vérifiées par l'esclave : Si le FMS esclave estime ne pas être dans les conditions (séquencement du point du plan de vol visé pour passer au point suivant), il rejette la consigne de guidage provoquant le passage en indépendant. Les 2 FMS ne sont plus en mode DUAL et fonctionnent sans échanger d'informations. Ainsi l'équipage sait que la manoeuvre RNP pose problème, mais la difficulté est de savoir quel FMS est valide et quel FMS est en défaut. Cette architecture permet de tenir le bon niveau d'intégrité puisque l'erreur de guidage est détecté mais ne respecte pas l'exigence de continuité puisque le pilote ne peut pas poursuivre l'opération, car même si il arrive à détecter le « bon » FMS, il n'a pas avec un seul FM le niveau d'intégrité requis. Une deuxième solution de l'état de la technique pour atteindre le niveau d'intégrité « hazardous » est décrite dans le document US20120092193 et sur la figure 5. Cette architecture dénommée « Triplex » met en oeuvre 3 FMS et deux pilotes automatiques. Le principe est que chacun des trois FMS, FMS1, FMS2 et FMS3, est capable de générer indépendamment une consigne de guidage. A partir de ces trois valeurs de consigne de guidage, un vote est réalisé dans le premier pilote automatique PA1, c'est-à-dire que l'on calcule une valeur milieu, et si une valeur est trop éloignée de la valeur milieu, alors elle est écartée et le FMS correspondant est invalidé. Lorsqu'un FMS est écarté, il reste toujours deux FMS qui peuvent être comparés, garantissant la disponibilité et le niveau d'intégrité requis. Ainsi cette architecture permet, en cas de panne d'un premier FMS de continuer à guider l'avion (disponibilité) le 3028975 9 long de la trajectoire avec le même niveau d'intégrité (« hazardous »), lors de procédure d'approche de type RNP xx. Un inconvénient de cette architecture est qu'elle est couteuse à développer , car le vote est complexe à mettre au point et nécessite une modification importante du pilote automatique. De plus, beaucoup d'aéronef ne sont équipés que de 2 FMS et n'ont pas la capacité d'ajouter une 3ème instance tout du moins à moindre coût. Par contre ils peuvent vouloir accéder à des aéroports avec des approches de type RNP AR avec RNP<0.3 NM. Un but de l'invention est de pallier aux inconvénients précités, en proposant une architecture avionique (et un procédé) simplifiée, compatible de système à 2 FMS et capable de guider automatiquement un aéronef en garantissant un haut niveau d'intégrité, et le cas échéant en garantissant également la continuité. DESCRIPTION DE L'INVENTION La présente invention a pour objet un procédé de détection d'erreur d'un système de gestion de vol couplé à un guidage d'un aéronef suivant un plan de vol, comprenant les étapes consistant à : -générer une première consigne de guidage de référence calculée par une partie d'un premier ensemble FMS dénommée partie de calcul du premier ensemble FMS à partir d'une première position de référence et d'une première trajectoire de référence calculées par la partie de calcul du premier ensemble FMS à partir de données issues de capteurs embarqués, d'une première base de données de navigation et d'une première base de données de performances, -contrôler l'intégrité, par une partie du premier ensemble FMS dénommée partie de contrôle du premier ensemble FMS, de la première position de référence, à partir d'au moins une partie desdites données issues de capteurs embarqués, -lorsque la première position de référence n'est pas contrôlée intègre : *Invalider le premier ensemble FMS et le système de guidage associé, 3028975 - lorsque la première position de référence est contrôlée intègre : *générer une première consigne de guidage de contrôle calculée par la partie de contrôle du premier ensemble FMS, à partir de la première position de référence et de la première trajectoire de référence, *générer une première commande de vol de référence, par une partie de référence d'un premier pilote automatique, à partir de la première consigne de guidage de référence, * générer une première commande de vol de contrôle, par une partie de contrôle du premier pilote automatique, à partir de la première consigne de guidage de contrôle, *contrôler l'intégrité de la première consigne de guidage de référence à l'aide de la première consigne de guidage de contrôle, -lorsque la première consigne de guidage de référence n'est pas contrôlée intègre : *invalider le premier ensemble FMS et le guidage associé, -lorsque la première consigne de guidage de référence est contrôlée intègre : *délivrer la première consigne de guidage de référence intègre. Avantageusement le procédé comprend en outre l'étape consistant à, lorsque la première consigne de guidage de référence est contrôlée intègre : -vérifier la cohérence des premières commandes de vol de référence et de contrôle, + lorsque les premières commandes de vol de référence et de contrôle sont incohérentes : invalider le premier pilote automatique, + lorsque les premières commandes de vol de référence et de contrôle sont cohérentes : délivrer la première commande de vol de référence cohérente D'autres caractéristiques, buts et avantages de la présente invention apparaîtront à la lecture de la description détaillée qui va suivre et en regard des dessins annexés donnés à titre d'exemples non limitatifs et sur lesquels : -la figure 1 déjà citée présente un diagramme synthétique illustrant la structure d'un FMS connu de l'état de la technique, 3028975 11 - la figure 2 déjà citée illustre une architecture de l'état de la technique assurant l'intégrité du guidage de l'aéronef, - la figure 3 déjà citée illustre les trois composantes de l'erreur de calcul de la position avion (TSE), - la figure 4 déjà citée illustre la contribution d'un système de gestion de vol au trois composantes de l'erreur de calcul de la position avion (TSE), - la figure 5 déjà citée illustre une architecture de l'état de la technique compatible d'une approche RNP >oc - la figure 6 décrit un procédé de détection d'erreur d'un système de gestion de vol et de guidage d'un aéronef selon l'invention. - la figure 7 décrit un mode de réalisation du procédé selon l'invention ; - la figure 8a décrit le procédé selon l'invention comprenant en outre des étapes dupliquées sur un deuxième système exécutant le même procédé - la figure 8b décrit un mode de réalisation du procédé exécuté par le deuxième système. - la figure 8c décrit un autre mode de réalisation du procédé exécuté par le deuxième système. -la figure 9 décrit un système 10 de gestion de vol et de guidage d'un aéronef selon l'invention à haute intégrité. - la figure 10 décrit une implémentation plus détaillée du système selon l'invention. - la figure 11 illustre une variante du système 10 de gestion de vol et de guidage d'un aéronef à haute intégrité selon l'invention comprenant un deuxième ensemble FMS et un deuxième pilote automatique. - la figure 12 décrit un exemple d'implémentation détaillé du système de la figure 11. - la figure 13 illustre une autre variante du système selon l'invention. DESCRIPTION DETAILLEE DE L'INVENTION La figure 6 décrit un procédé 100 de détection d'erreur d'un système de gestion de vol et de guidage d'un aéronef suivant un plan de vol PV selon l'invention.

3028975 12 Le procédé comprend une première étape 101 consistant à générer une première consigne de guidage de référence CG1com calculée de manière classique à partir d'une première position de référence POS1com et d'une première trajectoire de référence TRAJ1com. La première consigne de guidage de référence CG1com est calculée par une partie d'un premier ensemble FMS dénommé E-FMS1, la partie étant dénommée partie de calcul FMS1-COM du premier ensemble FMS E-FMS1. POS1com et TRAM com sont calculées par FMS1-COM de manière classique à partir de données DATA issues de capteurs embarqués tels que récepteurs GPS, centrales inertielles, signaux issus de balises radio VHF, d'une première base de données de navigation NAV1 DB et d'une première base de données de performances PERF1 DB. CG1com est calculée de manière classique , la fonction étant assurée par un module GUID1com de FMS1-COM. Le procédé 100 selon l'invention comprend ensuite une étape 102 de contrôle de l'intégrité de la première position de référence POS1com à partir d'au moins une partie desdites données issues de capteurs embarqués. Le contrôle est effectué par une partie de E-FMS1 dénommée partie de contrôle F1-MON, indépendante de la partie F1-COM ; autrement dit porté par une plateforme de calcul différent de celle de FMS1-COM. Typiquement, le FMSI-MON reçoit les informations issues des senseurs de positions (GPS, Inerties) et la position POS1com qui lui est transmise par FMS1-MON. FMS1-MON effectue un test de vraisemblance en comparant la position POS1com avec les positions GPS, qui par exemple donne trois positions formant un triangle dans lequel doit être situé l'avion. Si l'écart est trop important la position POS1com est considérée invalide. Par exemple lors d'une procédure RNM <0.3mn, on regarde si POS1com n'est pas éloignée de plus de 0.1 nm de la position GPS. La position n'est pas recalculée complètement par FMS1-MON, on cherche ici à vérifier que le calcul réalisé par FMS1-COM ne présente pas une anomalie. Ainsi le contrôle de POS1com permet de détecter une erreur de type PEE. Lorsque la première position de référence POS1com n'est pas contrôlée intègre, le procédé 100 comprend une étape 103 consistant à invalider le 3028975 13 premier ensemble FMS E-FMS1 et le système de guidage associé PA1. Cette invalidation consiste à désengager l'ensemble FMS1/PA1. Lorsque la première position de référence POS1com est contrôlée intègre le procédé 100 génère dans une étape 104 une première consigne de guidage de contrôle CGIMON à partir de la première position de référence POSlcom contrôlée et de la première trajectoire de référence TRAJlcom qui a été envoyée à F1-MON par FMS1-COM, qui la mémorise. Le calcul de CGIMON est donc effectué par la partie de contrôle F1-MON. La consigne de guidage CGIMON est calculée à partir d'une position et d'une trajectoire identiques à celle de FMS1-COM. Ce calcul est effectué par F1-MON en utilisant de manière indépendante les mêmes lois de guidage. Donc CGIMON est calculée indépendamment de CG1 com, ce qui va permettre de détecter d'éventuelles erreurs sur le calcul de la consigne de guidage utilisée pour guider l'aéronef. Le procédé 100 comprend également une étape 105 de génération d'une première commande de vol de référence CV1com à partir de la première consigne de guidage de référence CG1com. CV1com est généré de manière classique par une partie de référence PA1COM d'un premier pilote automatique PA1 couplé au premier ensemble FMS E-FMS1. Le pilote automatique PA1 présente une architecture COM/MON classique, c'est-à-dire qu'il comprend une partie de référence PA1-COM et une partie de contrôle PA1-MON comme décrit dans l'état de la technique. Ainsi les étapes 101 et 105 sont des étapes classiques réalisées par la partie FMS1-COM qui remplit les fonctions d'un FMS classique couplé à la partie COM du pilote automatique PA1. Une étape 106 génère une première commande de vol de contrôle CV1 MON à partir de la première consigne de guidage de référence CG1com, qui est envoyée par E-FMSldirectement à la partie PA1-MON de PA1 (voir plus loin dans la description de l'architecture). La génération de CV1 MON est réalisée par la partie de contrôle PA1-MON du premier pilote automatique PA1. Ainsi, la commande de vol de contrôle CV1MON est générée par PA1-MON indépendamment de la commande de vol CV1com générée par PA1-COM à 3028975 14 partir de la même consigne de guidage CG1com Le pilote automatique PA1 est utilisé ici de manière différente de l'état de la technique, car dans mise en oeuvre du procédé 100 la partie PA1-MON reçoit directement la consigne de guidage CG1com sans passer par PA1-COM, à partir de laquelle il génère une commande de vol propre CV1 MON. Une étape 116 contrôle l'intégrité de la première consigne de guidage de référence CG1 com à l'aide de la première consigne de guidage de contrôle CGIMON. Ce contrôle est rendu possible du fait que l'existence d'une consigne CG1MON générée par FMS1-MON par le procédé selon l'invention. Ce contrôle permet de détecter une erreur de type PSE. Ainsi le procédé 100 selon l'invention délivre en sortie une consigne de guidage CG1com intègre. Typiquement la trajectoire de référence TRAJlcom calculée par FMS1-COM et transmise par FMS1-COM à F1-MON qui la mémorise, se décompose en une trajectoire latérale TRAJ1L-com et une trajectoire verticale TRAJ1v-com. De même, une consigne de guidage se décompose en une consigne de guidage latérale CGC et une consigne de guidage verticale CGv. Le FMS1- COM calcule une consigne de guidage selon les trois axes, soit une consigne de guidage latérale, une consigne de guidage verticale et une consigne de vitesse. Selon une variante le contrôle du guidage réalisé par F1-MON s'effectue sur la consigne de guidage globale, c'est-à-dire que la partie MON réalise un calcul de la consigne latérale et de la consigne verticale et de la consigne de vitesse, qui seront comparées aux consignes latérale, verticale et vitesse calculées par la partie COM. Selon une autre variante préférée, le contrôle du guidage réalisé par F1-MON s'effectue par comparaison sur la consigne de guidage latérale selon les étapes suivantes : -calcul par F1-MON d'une consigne de guidage latérale à partir de la première trajectoire de référence latérale TRAJ1L-com mémorisée par F1- 3028975 MON et de la position POS1com (utilisation des même lois de guidage par FMS1-COM et F1-MON), -comparaison de la consigne de guidage latérale calculée par F1-MON avec la consigne de guidage latérale calculée par FMS1-COM. Selon un mode de réalisation, le contrôle du guidage vertical ne s'effectue pas par calcul par le F1-MON d'une consigne de guidage verticale (pour être comparée à la consigne verticale issue du FMS1-COM), mais s'effectue selon les étapes suivantes : - à partir de TRAJ1v-com et de la position POS1com, calcul des paramètres souhaités altitude et/ou vitesse et/ou pente, -comparaison des paramètres souhaités avec ces mêmes paramètres mesurés (issus d'une partie des données issues de capteurs embarqués) correspondant à ce que fait effectivement l'aéronef. Par exemple, si l'aéronef doit être à 2500ft en passant sur un point du plan de vol, F1-MON vérifie que l'altitude de l'aéronef est égale à 2500ft+/- 50 ft au passage du point. En effet, les lois de pilotage en vertical sont très complexes et leur duplication d'une part augmenterait la complexité de F1-MON et d'autre part augmenterait la difficulté de mise au point des comparateurs des consignes de guidage. La variante ci-dessus s'en tient donc à la comparaison des paramètres précités, permettant de vérifier que l'aéronef suit bien la trajectoire verticale souhaitée. Lorsque la première consigne de guidage de référence CG1com n'est pas contrôlée intègre le procédé 100 invalide en 103 le premier ensemble FMS E-FMS1 et le guidage associé, ce qui permet d'empêcher l'avion de prendre une trajectoire erronée, conséquence d'une consigne de guidage erronée. Le contrôle de l'intégrité de CG1com permet d'invalider le premier ensemble E-FMS1 dès qu'une anomalie est détectée. Le procédé permet ainsi un contrôle de la position et de la consigne de guidage permettant d'atteindre un haut niveau d'intégrité « hazardous » sur le calcul de CG1com. Cette augmentation de l'intégrité est obtenue par un FMS seul avec des modifications simples du FMS, l'augmentation de l'intégrité étant porté entièrement par la partie MON.

3028975 16 Lorsque la première consigne de guidage de référence CG1com est contrôlée intègre, le procédé 100 selon l'invention délivre en sortie une première consigne de guidage de référence CG1com avec un niveau d'intégrité amélioré par les étapes de contrôle d'intégrité 102 et 116. Ainsi le procédé 100 délivre une première commande de vol de guidage de référence intègre CG1com, une première commande de vol de référence CV1com et une première commande de vol de contrôle CV1moN générées à partir de la première commande de vol de guidage de référence CG1com intègre. L'amélioration de l'intégrité n'est pas obtenue au prix d'une augmentation importante des ressources de calcul. Le procédé selon l'invention est mis en oeuvre en temps réel et en permanence, ainsi les étapes 105, 106 et 116 sont réalisées quasi simultanément. Dans un mode préféré, l'étape 116 de contrôle de l'intégrité de la première consigne de guidage de référence CG1com consiste à la comparer avec la première consigne de guidage de contrôle CGIMON à l'aide d'un critère de guidage. Cette comparaison relève de la même logique que celle faite par un pilote automatique de type COM/MON. A l'image de cette comparaison COM/MON du PA, FMS-COM et F- MON peuvent échanger leur CG1com et CG1 MON. Préférentiellement la comparaison est effectuée dans la partie FMS1-MON, la partie FMS1-COM lui transmettant la consigne CG1com à cette fin. Ainsi dans ce mode préféré FMS1-COM transmet CG1 com à FMS1-MON (pour comparaison), et à PA1-COM et PA1 MON (pour le guidage). Préférentiellement, le procédé 100 comprend en outre une étape 107 consistant à vérifier la cohérence des premières commandes de vol de référence CV1com et de contrôle CVI MON, comme illustré figure 7. Typiquement cette vérification est opérée à l'aide du comparateur classique du pilote automatique. Lorsque les commandes de vol CV1com CV1moN sont incohérentes, le procédé 100 comprend une étape 108 qui invalide le premier pilote 3028975 17 automatique PA1 (c'est-à-dire le désengage, «disengage » ou « disconnect » en anglais). D'un point de vue opérationnel, le procédé 100 délivre une consigne de guidage CG1com (étape 101) qui est envoyée sur le PA1 pour générer une commande vol CV1 com selon les étapes 105, 106, 107 puis 109 et 110. Le contrôle à l'aide des étapes 104 et 116 est réalisé en parallèle. Ainsi, lorsqu'une consigne CG1com non intègre est envoyée au PA1 qui génère une CV1com, dans un laps de temps très court la chaîne E-FMS / PA est invalidée. Lorsque les commandes de vol CV1com et CV1moN sont cohérentes, le procédé délivre en sortie une commande de vol CV1com cohérente. Préférentiellement, le procédé comprend en outre une étape 109 d'affichage la première commande de vol de référence cohérente CV1com. Préférentiellement, cet affichage est réalisé sur le PFD (Primary Flight Display) sous la forme de barres de directeur de vol. Le pilote bénéficie ainsi d'une commande de vol CV1com dont l'intégrité a été renforcée par l'étape de vérification 107, qui utilise la commande CV1 MON calculée indépendamment comme expliqué plus haut. Le procédé 100 permet ainsi d'obtenir une commande de vol de l'aéronef présentant une haute intégrité compatible du niveau « hazardous » requis pour les procédures RNP xx, par exemple RNP 0.3. Le pilote peut ainsi s'il le souhaite piloter l'aéronef au manche en s'aidant de l'affichage de CV1com. Dans une variante préférée, le procédé 100 comprend en outre une étape 110 (également illustré figure 7) consistant à déclencher le guidage automatique de l'aéronef avec la première commande de vol de référence CV1com (lorsque les premières commandes de vol de référence CV1com et de contrôle CV1moN sont cohérentes). Selon une option le déclenchement est automatique, selon une autre option le déclenchement s'effectue par une action pilote, telle que d'appuyer sur un bouton. L'aéronef dispose ainsi d'une commande de vol à haute intégrité permettant un guidage automatique de l'aéronef compatible d'une procédure RNP AR avec RNP < 0.3 NM.

3028975 18 Préférentiellement, le procédé 100 selon l'invention comprend en outre une étape 111 consistant à informer le pilote de l'invalidation du premier ensemble FMS E-FMS1 et du pilote automatique, lorsque la première position de référence ou la première consigne de guidage de référence CG1com n'est pas contrôlée intègre, et une étape 112 consistant à informer le pilote de l'invalidation du premier pilote automatique PA1, lorsque les premières commandes de vol de référence CV1com et de contrôle CV1moN sont incohérentes. Préférentiellement, l'information est opérée par affichage sur un afficheur, typiquement le panneau de commande FCU (FCU pour Flight Control Unit). Préférentiellement l'affichage des étapes 111 et 112 est commun. Le pilote peut également être informé par un signal audio, un voyant lumineux. La disponibilité est obtenue par une duplication du procédé 100 selon une variante préférée telle qu'illustrée figures 8a, 8b et 8c. Le procédé 100 selon cette variante préférée délivre une deuxième commande guidage de référence intègre CG2com, une deuxième commande de vol de référence CV2com et une deuxième commande de vol de contrôle CV2MON, obtenues simultanément de manière continue selon les étapes d'un procédé 200 correspondant aux étapes du procédé 100 de la figure 6 dupliquées, à l'aide d'un deuxième ensemble FMS E-FMS2 et d'un deuxième pilote automatique PA2. La figure 8b décrit le procédé 200 permettant de générer la deuxième commande de guidage de référence CG2com intègre. Le procédé 200 comprend : -une étape 101' consistant à générer une deuxième consigne de guidage de référence CG2com, calculée par une partie d'un deuxième ensemble FMS EFMS2 dénommée partie de calcul du en deuxième semble FMS FMS2-COM, à partir d'une deuxième position de référence POS2com et d'une deuxième trajectoire de référence TRAJ2com calculées par la partie de calcul FMS2- COM du deuxième ensemble FMS à partir de données issues de capteurs embarqués DATA, d'une deuxième base de données de navigation NAV2 DB)et d'une deuxième base de données de performances PERF2 DB, 3028975 19 -une étape 102' consistant à contrôler l'intégrité, par une partie du deuxième ensemble FMS E-FMS2 dénommée partie de contrôle du deuxième ensemble FMS F2-MON, de la deuxième position de référence POS2com à partir d'au moins une partie desdites données issues de capteurs embarqués. Lorsque la deuxième position de référence n'est pas contrôlée intègre le procédé 200 comprend une étape 103' consistant à invalider le deuxième ensemble FMS E-FMS2 et le système de guidage associé et préférentiellement une étape 111' consistant à informer le pilote de l'invalidation. Lorsque la deuxième position de référence est contrôlée intègre, le procédé 200 comprend : -une étape 104' consistant à générer une deuxième consigne de guidage de contrôle CG2MON, calculée par la partie de contrôle du deuxième ensemble FMS F2-MON, à partir de la deuxième position de référence POS2com et de la première trajectoire de référence TRAJ2com -une étape 105' consistant à générer une deuxième commande de vol de référence CV2com, par une partie de référence PA2-COM d'un deuxième pilote automatique PA2, à partir de la deuxième consigne de guidage de référence CG2com, -une étape 106' consistant à générer une deuxième commande de vol de contrôle CV2MON, par une partie de contrôle PA2-MON du deuxième pilote automatique PA2, à partir de la première consigne de guidage de référence CG2COM- -une étape 116' contrôle l'intégrité de la deuxième consigne de guidage de référence CG2com à l'aide de la deuxième consigne de guidage de contrôle CG2MON. Lorsque la deuxième consigne de guidage de référence CG2com n'est pas contrôlée intègre le procédé 200 invalide en 103' le deuxième ensemble FMS E-FMS2 et le guidage associé. Lorsque la deuxième consigne de guidage de référence CG2com est contrôlée intègre, le procédé 200 délivre en sortie la première consigne de guidage de référence intègre CG2com.

3028975 Préférentiellement, le procédé 100 selon cette variante préférée intègre le procédé 200 comprenant en outre, tel qu'illustré figure 8c : -une étape 107' consistant à vérifier la cohérence des deuxièmes commandes de vol de référence CV2com et de contrôle CV2MON. Lorsque les deuxièmes commandes de vol de référence CV2com et de contrôle CV2MON sont incohérentes, le procédé 200 comprend en outre une étape 108' consistant à invalider le deuxième pilote automatique PA2 et préférentiellement une étape 112' consistant à informer le pilote de l'invalidation. Lorsque les deuxièmes commandes de vol de référence CV2com et de contrôle CV2MON sont cohérentes, le procédé 200 délivre en sortie CV2com cohérent. D'un point de vue opérationnel, le procédé 200 délivre une consigne de guidage CG2com (étape 101') qui est envoyée sur le PA2 pour générer une commande vol CV2com selon les étapes 105', 106', 107' puis 113'. Le contrôle à l'aide des étapes 104' et 116' est réalisé en parallèle. Ainsi, lorsqu'une consigne CG2com non intègre est envoyée au PA2 qui génère une CV2com, dans un laps de temps très court la chaîne E-FMS2 / PA2 est invalidée. Ainsi selon cette variante préférée, le procédé 100 délivre simultanément une première commande de vol CV1com et une deuxième commande de vol CV2com. En effet, pour assurer la continuité, il convient que le processus 200 soit mis en oeuvre parallèlement, simultanément et de manière continue, au procédé des figures 6 ou 7, de manière à pouvoir disposer d'une commande de guidage CG2com intègre et préférentiellement d'une commande de vol CV2com cohérente et à haut niveau d'intégrité en cas d'invalidation du premier ensemble E-FMS1 ou du premier pilote automatique PA1. La figure 8a décrit le procédé 100 selon la variante préférée de l'invention consistant à délivrer la deuxième commande de vol de référence CV2com cohérente, générée et vérifiée simultanément de manière continue selon les mêmes étapes dupliquées (procédé 200) du procédé selon l'invention, lorsque le premier système de gestion de vol ou le premier pilote automatique est invalide.

3028975 21 Préférentiellement, comme illustré figure 8a, le procédé 100 comprend en outre une étape 113 consistant à afficher la deuxième commande de vol de référence CV2com, lorsque le premier système de gestion de vol ou le premier pilote automatique est invalide. Préférentiellement, comme illustré figure 8a, le procédé 100 comprend en outre une étape 114 consistant à déclencher le guidage automatique de l'aéronef avec la deuxième commande de vol de référence CV2coM- Selon une option, l'étape 114 de déclenchement est opérée manuellement par le pilote. Selon une autre option, l'étape de déclenchement 114 est opérée automatiquement sans intervention du pilote. Ainsi le procédé 100 selon la variante préférée, mettant en oeuvre parallèlement un procédé 200 sur un deuxième ensemble FMS couplé à un deuxième pilote automatique, permet d'une part de guider l'aéronef avec un système de gestion de vol et de guidage initial (E-FMS1 et PA1) avec un haut niveau d'intégrité et d'autre part, en cas de détection d'une panne de ce système initial, d'effectuer un basculement vers un autre système de gestion de vol et de guidage (E-FMS2 et PA2) et de guider l'aéronef avec cet autre système avec le même niveau d'intégrité que celui du système initial. Avantageusement l'étape 102 de contrôle de l'intégrité de la première position de référence POS1com comprend une sous étape consistant à comparer la position de référence POS1com avec une position estimée POSlest calculée par la partie de contrôle du premier FMS FMS1-MON, à partir d'au moins une partie des données DATA issues de capteurs embarqués, typiquement des données GPS, à l'aide d'un critère de position. Le critère de position est par exemple que la position calculée POS1com est située à une distance inférieure à un certain seuil (fonction de la précision souhaitée dans une approche RNPxx) de la position estimée POS1est- Par exemple inférieure à 0.2 NM pour une approche RNP 0.3. D'un point de vue opérationnel, une option est que l'aéronef vole en croisière en utilisant les deux ensembles FMS E-FMS1 et E-FMS2 de manière 3028975 22 classique, c'est-à-dire avec un procédé simplifié mettant en oeuvre les étapes 100, 105, 106, 107 (108,112) 109 et 110, soit un guidage avec CG1 com et CV1com sans mettre en oeuvre les contrôles opérés par les parties F1-MON et F2-MON. Puis, lorsque l'aéronef est en phase d'approche selon une procédure à couloir contraint nécessitant une procédure RNP AR, le procédé 100 complet est activé, mettant en oeuvre les étapes 102, 103 (111), 104, 116, et le basculement sur le deuxième système et les étapes 113 et 114 en cas d'invalidation ou d'incohérence du premier ensemble E-FMS1. Ainsi le procédé 100 complet est mis en oeuvre uniquement pendant la phase d'approche RNP nécessitant un niveau d'intégrité de type « hazardous ». La procédure RNP est géo référencée, ce qui signifie que le plan de vol et la trajectoire ont la même définition, et préférentiellement on cherche à valider que l'extraction de la procédure de la data base est correcte. Ainsi, avantageusement le procédé selon l'invention, lorsque l'aéronef est en phase d'approche RNP, comprend une étape préliminaire de validation du plan de vol consistant à : -sélectionner la procédure RNP AR (action pilote) -insérer la procédure dans le plan de vol. Cette insertion est effectuée par FMS1-COM et FMS2-COM. - comparer les plans de vol insérés. Si le résultat de la comparaison est incorrect, le pilote est alerté, à lui de relancer une nouvelle insertion, de désactiver le FMS identifié erroné et de renoncer à voler la procédure. Si le résultat de la comparaison est correct, chaque FMS-COM calcule la trajectoire et fournit cette trajectoire à son F-MON qui la mémorise ... Pour un guidage automatique optimal et un basculement rapide en cas de problème sur la première chaîne, les premier et deuxième pilotes automatiques PA1 et PA2 sont simultanément engagés préalablement au démarrage du procédé 100.

3028975 23 Le procédé a vocation à être exécuté par le système de gestion de vol global de l'aéronef, c'est-à-dire le système de gestion de vol comprenant les premier et deuxième ensemble E-FMS1 et E-FMS2, les deux pilotes automatiques PA1 et PA2, et une plateforme permettant d'opérer le cas échéant un déclenchement du procédé simplifié, et un déclenchement du procédé complet selon l'invention en parallèle sur les deux ensembles et guidage associé lors d'une procédure RNP, ainsi que le basculement de l'un à l'autre en cas d'invalidation du premier. Selon un autre aspect, l'invention concerne un système 10 de gestion de vol et de guidage d'un aéronef à haute intégrité illustré figure 9 et comprenant un premier ensemble FMS E-FMS1 et un premier pilote automatique PA1 couplé à E-FMS1. Le premier ensemble FMS E-FMS1 comprend une partie de calcul FMS1- COM et une partie de contrôle F1-MON. La partie FMS1-COM comprend: -une première base de données de navigation NAV1 DB et une première base de données de performances PERF1 DB, -un premier module de calcul de position LOCI configuré pour calculer une première position de référence POS1com à partir de données issues de capteurs embarqués et des bases de données, -un premier module de calcul de trajectoire TRAJ/PRED1 configuré pour calculer d'une première trajectoire de référence TRAJlcom à partir de données issues de capteurs embarqués et des bases de données, -un premier module de guidage de référence GUID1com configuré pour générer une première consigne de guidage de référence CGicom, à partir de la première position de référence POS1com et de la première trajectoire de référence TRAJ1com . La partie FMS1-COM correspond à une architecture classique de FMS comme décrit dans l'état de la technique. La partie de contrôle F1-MON est configurée pour contrôler l'intégrité de la première position de référence POS1com à partir d'au moins une partie des données issues de capteurs embarqués (fonctionnalité illustrée par le module LOCMONI) Le module LOCMONI n'est pas un module de même type que LOCI et TRAJ/PRED1 et son rôle n'est pas de recalculer 3028975 24 entièrement POS1com mais de la vérifier, c'est-à-dire de détecter une erreur de calcul. Il nécessite donc une puissance de calcul bien inférieure. Par exemple la position POS1com est transmise à LOCMONI par FMS1- COM et cette position est comparée avec des données DATA, typiquement GPS et/ou inertielles, issues de capteurs embarqués, directement reçus par F1-MON. Si la position POS1com diffère de la position estimée à partir de ces capteurs, la position POS1com est considérée non intègre. La partie de contrôle F1-MON est également configurée pour mémoriser la trajectoire de référence TRAJ1com transmise par FMS1-COM (fonctionnalité illustrée par le module de mémorisation MEM-Tra ) et pour générer une j, première consigne de guidage de contrôle CGIMON (fonctionnalité illustrée par le premier module de guidage de contrôle GUID1MON), calculée à partir de la première position de référence POS1com contrôlée et de la première trajectoire de référence TRAJlcom mémorisée. La première consigne de guidage de contrôle CG1MON est générée par F1-MON indépendamment de CG1 com, en utilisant des lois de pilotage identiques à celles utilisées par FMS1-COM pour calculer CG1com. La partie de contrôle F1-MON est également configurée (module GUID1moN pour contrôler l'intégrité de la première consigne de guidage de référence CG1com . Pour cela la première consigne de guidage de référence CG1com est transmise par FMS1-COM à F1-MON. La vérification d'intégrité consiste typiquement à comparer la première consigne de guidage de référence CG1com calculée par le premier module de guidage de référence GUID1com avec la première consigne de guidage de contrôle CGIMON calculée par le premier module de guidage de contrôle GUID1 MON, à l'aide d'un critère de guidage. S'il existe un écart trop important entre les deux consignes, la consigne CG1com est déclarée non intègre. Opérationnellement, lors d'une approche RNP xx, la consigne courante CG1com qui va faire sortir l'aéronef du corridor est invalidée et le pilote automatique couplé PA1 est désengagé. Selon une variante préférée, seule une consigne de guidage latérale est calculée par le module GUID1moN, le contrôle du guidage vertical s'opérant par une comparaison de paramètres, tel que décrit plus haut.

3028975 Ainsi la partie F1-MON (module GUIDIMON) permet de détecter une erreur de calcul au niveau de CG1com, et constitue un moyen de vérification de l'intégrité de CG1com, qui permet d'être compatible du niveau « hazardous ». De plus, l'intégrité a été augmentée indépendamment du système de gestion de vol initial « de base » FMS1-COM par l'ajout d'une chaîne externe de surveillance F1-MON. La partir F1-MON ne comprend pas de fonctions complexes et ne demande pas de ressources de calcul importantes, ressources qu'elle doit pouvoir partager avec une autre application et sur une plateforme existante. Un avantage supplémentaire est d'utiliser la capacité du F-MON d'élaboration d'une consigne de guidage. En effet sur perte des 2 FMS pour cause d'une panne de circuit par exemple, en connectant le F-MON au Pilote automatique, on peut, dans cette configuration dégradée, maintenir le guidage de l'avion à partir de la trajectoire mémorisée par le F-MON. La consigne CG1com générée par FMS1-COM et contrôlée par F1-MON est ensuite envoyée dans le premier pilote automatique PA1. PA1 comprend une partie de référence PA1-COM et une partie de contrôle PA1-MON, selon une architecture classique. Mais le système 10 selon l'invention est configuré pour envoyer CG1com à PA1-COM et à PA1-MON en parallèle de manière indépendante. PA1-COM est configurée pour générer une première commande de vol de référence CV1com à partir de la première consigne de guidage de référence CGI com, par exemple de manière classique. PA1-MON est configurée pour générer une première commande de vol de contrôle CV1 MON, à partir de la première consigne de guidage de référence CG1com. Les commandes CV1com et CV1 MON sont ainsi générées par les deux parties du pilote automatique de manière indépendante. PA1 est en outre configuré pour vérifier la cohérence des premières commandes de vol de référence CV1com et de contrôle CV1 MON, typiquement avec son comparateur. Ainsi la commande de vol CV1com est d'une part générée à partir d'une consigne à haute intégrité, et d'autre part vérifiée de façon indépendante par PA1-MON. Le système 10 dispose ainsi pour piloter l'aéronef d'une commande de vol CV1com à niveau d'intégrité hautement 3028975 26 améliorée, largement compatible d'un niveau « hazardous ». Ce niveau d'intégrité a été obtenu sans modifier de manière substantielle le pilote automatique d'architecture classique COM/MON. Le système de gestion de vol et de guidage 10 est en outre configuré pour invalider le premier ensemble FMS E-FMS1 lorsque la première position de référence ou la première trajectoire de référence ou la première consigne de guidage n'est pas contrôlée intègre, et pour invalider le premier pilote automatique PA1 lorsque les premières commandes de vol de référence CV1com et de contrôle CV1 MON sont incohérentes. Préférentiellement le système 10 de gestion de vol et de guidage comprend en outre au moins un module d'affichage DISP configuré pour afficher la première commandes de vol de référence CV1com lorsque le premier ensemble FMS et le premier pilote automatique sont valides. Avantageusement le système 10 de gestion de vol et de guidage selon l'invention est configuré pour déclencher le guidage automatique de l'aéronef avec la première commande de vol de référence CV1com, lorsque le premier système de gestion de vol et le premier pilote automatique sont valides. Le déclenchement peut s'opérer automatiquement ou sur action du pilote. La figure 10 décrit une implémentation plus détaillée du système selon l'invention mettant en évidence les 2 niveaux de vérification de FMS1-COM opérées par F1-MON. Selon une variante illustrée figure 11, le système 10 de gestion de vol et de guidage d'un aéronef à haute intégrité selon l'invention comprend en outre un deuxième ensemble FMS E-FMS2 et un deuxième pilote automatique PA2 correspondant respectivement à une duplication du premier ensemble FMS E-FMS1 et du premier pilote automatique PA1. Le système 10 est configuré pour générer une première commande de vol de référence CV1com et une deuxième commande de vol de référence CV2com simultanément et de manière continue. La commande vol CV1com est issue de la chaîne constituée de E-FMS1 couplé au PA1, et la commande vol CV2com est issue de la chaîne constituée de E-FMS2 couplé au PA2.

3028975 27 Préférentiellement, le système est configuré pour déclencher le guidage automatique avec la première commande de vol de référence CV1com lorsque le premier système de gestion de vol et le premier pilote automatique sont valides, et pour déclencher le guidage automatique de l'aéronef avec la deuxième commande de vol de référence CV2com lorsque le premier système de gestion de vol et le premier pilote automatique sont invalides. De cette manière, la continuité du guidage est assurée en cas de panne de la première chaine E-FMS1/PA1. Ainsi la double exigence de haute intégrité et de continuité est remplie avec seulement deux FMS complets, FMS1-COM et FMS2-COM, vérifié par respectivement la chaîne externe F1-MON et F2-MON. Cette architecture est dénommée DUAL COM/MON, car elle est constituée de deux chaînes indépendantes, chacune étant vérifiée par une partie MON. Cette solution est moins couteuse que la solution Triplex car elle évite un troisième FMS, calculateur supplémentaire qui d'autre part augmente le poids de l'aéronef et sa consommation électrique. De plus cette architecture n'entraîne qu'un faible niveau de modification du pilote automatique. Avantageusement, le module d'affichage DISP est en outre configuré pour afficher la deuxième commande de vol de référence CV2com lorsque le premier système de gestion de vol et le premier pilote automatique sont invalides. D'un point de vue opérationnel, le système 10 selon la variante de la figure 11 est conforme aux exigences des approches RNP AR pour des avions ayant seulement deux FMS. Les contraintes d'intégrité « hazardous » et de disponibilité sont respectées de manière automatique. Lors de l'approche RNP, les deux chaînes fonctionnent en parallèle, la deuxième étant à tout instant prête à prendre le relais en cas de panne détectée sur la première. La figure 12 décrit un exemple d'implémentation détaillé du système 10 de la figure 11. Seuls les modules utiles à la compréhension de l'invention sont représentés.

3028975 28 Les DATA sont les données GPS1, GPS2 redondantes, ADIRS signifie Air Data Inertial Reference System, HPATH signifie Cheminement Horizontal, FG signifie « Flight Guidance » et FD « Flight Director ». Selon une autre variante décrite figure 13, la consigne CGcom (1 ou 2) est envoyée uniquement à la partie PA-COM (1 ou 2), et c'est la consigne CGMON (1 ou 2) qui est envoyée à la partie PA-MON (1 ou 2) du pilote automatique. Selon un autre aspect l'invention concerne un produit programme d'ordinateur comprenant des instructions de code permettant d'effectuer les étapes du procédé selon l'invention. Le procédé peut s'implémenter à partir d'éléments matériel et/ou logiciel. Le procédé peut être disponible en tant que produit programme d'ordinateur sur un support lisible par ordinateur. Le procédé peut être implémenté sur un système pouvant utiliser un ou plusieurs circuits électronique dédiés ou un circuit à usage général. La technique du procédé selon l'invention peut se réaliser sur une machine de calcul reprogrammable (un processeur ou un micro contrôleur par exemple) exécutant un programme comprenant une séquence d'instructions, ou sur une machine de calcul dédiée (par exemple un ensemble de portes logiques comme un FPGA ou un ASIC, ou tout autre module matériel). Les différents modules du système selon l'invention peuvent être implémentés sur un même processeur ou sur un même circuit, ou distribués sur plusieurs processeurs ou plusieurs circuits. Les modules du système selon l'invention consistent en des moyens de calcul incluant un processeur. La référence à un programme d'ordinateur qui, lorsqu'il est exécuté, effectue l'une quelconque des fonctions décrites précédemment, ne se limite pas à un programme d'application s'exécutant sur un ordinateur hôte unique. Au contraire, les termes programme d'ordinateur et logiciel sont utilisés ici dans un sens général pour faire référence à tout type de code informatique (par exemple, un logiciel d'application, un micro logiciel, un microcode, ou toute autre forme d'instruction d'ordinateur) qui peut être utilisé pour programmer un ou plusieurs processeurs pour mettre en oeuvre des aspects des techniques décrites ici.

Claims

REVENDICATIONS1. Procédé (100) de détection d'erreur d'un système de gestion de vol couplé à un guidage d'un aéronef suivant un plan de vol, comprenant les étapes consistant à -générer (101) une première consigne de guidagè de référence (CG1com), calculée par une partie d'un premier ensemble FMS (E-FMS1) dénommée partie de calcul du premier ensemble FMS (FMS1-COM), à partir d'une première position de référence (POS1com) et d'une première trajectoire de 10 référence (TRAJ1com) calculées par la partie de calcul du premier ensemble FMS (FMS1-COM) à partir de données issues de capteurs embarqués (DATA), d'une première base de données de navigation (NAV1 DB) et d'une première base de données de performances (PERF1 DB), -contrôler (102) l'intégrité, par une partie du premier ensemble FMS (E15 FMS1) dénommée partie de contrôle du premier ensemble FMS (F1-MON), de la première position de référence (POS1com), à partir d'au moins une partie desdites données issues de capteurs embarqués, -lorsque la première position de référence n'est pas contrôlée intègre : 20 *Invalider (103) le premier ensemble FMS (E-FMS1) et le système de guidage associé, - lorsque la première position de référence est contrôlée intègre : *générer (104) une première consigne de guidage de contrôle (CG1 moN), 25 calculée par la partie de contrôle du premier ensemble FMS (F1-MON), à partir de la première position de référence (POS1com) et de la première trajectoire de référence (TRAJ1com), *générer (105) une première commande de vol de référence (CV1com), par une partie de référence (PA1-COM) d'un premier pilote automatique 30 (PA1), à partir de la première consigne de guidage de référence (CG1com), * générer (106) une première commande de vol de contrôle (CV1MON), par une partie de contrôle (PA1-MON) du premier pilote automatique (PA1), à partir de la première consigne de guidage de contrôle,(CG1*.ye), 3028975 31 *contrôler (116) l'intégrité de la première consigne de guidage de référence (CG1 oom) à l'aide de la première consigne de guidage de contrôle (CG1moN), -lorsque la première consigne de guidage de référence (CG1 oom) n'est pas contrôlée intègre *invalider le premier ensemble FMS (E-FMS1) et le guidage associé, -lorsque la première consigne de guidage de référence (CG1 oom) est contrôlée intègre : *délivrer la première consigne de guidage de référence intègre (CG1oom)
2. Procédé (100) selon la revendication 1 comprenant en outre l'étape consistant à, lorsque la première consigne de guidage de référence (CG1c0M) est contrôlée intègre : -vérifier (107) la cohérence des premières commandes de vol de référence (CV1o0m) et de contrôle (CV1 MON), + lorsque les premières commandes de vol de référence (CV1oom) et de contrôle (CV1moN) sont incohérentes : invalider (108) le premier pilote automatique (PA1)., + lorsque les premières commandes de vol de référence (CV100m) et de contrôle (CV1moN) sont cohérentes : délivrer la première commande de vol de référence cohérente (CV1o0m)
3. Procédé (100) selon la revendication 2 comprenant en outre l'étam 25 consistant à, lorsque les premières commandes de vol de référence (CV1oom) et de contrôle (CV1moN) sont cohérentes : afficher (109) la première commande de vol de référence (CV100m)
4. Procédé selon la revendication 3 comprenant en outre une étape 30 consistant à déclencher (110) le guidage automatique de l'aéronef avec la première commande de vol de référence (CV1com), lorsque les premières commandes de vol de référence (CV1 oom) et -de contrôle (CVIMON) sont cohérentes. 3028975 32
5. Procédé selon l'une des revendications précédentes comprenant en outre une étape consistant à, lorsque la première position de référence ou la première consigne de guidage de référence (CG1 com) n'est pas contrôlée intègre, ou lorsque les premières commandes de vol de référence (CV1c00 et de contrôle (CV1moN) sont incohérentes, informer (111,112) un pilote de l'invalidation du premier système de gestion de vol et du premier pilote automatique.
6. Procédé selon l'une des revendications précédentes dans lequel le 10 contrôle de l'intégrité de la première consigne de guidage de référence (CG1 cm) consiste à la comparer avec la première consigne de guidage de contrôle (CGIMON) à l'aide d'un critère de guidage.
7. Procédé selon l'une des revendications précédentes dans lequel l'étape 15 de contrôle de l'intégrité de la première position de référence (POS1com) comprend l'étape consistant à : -comparer la position de référence (POS1com) avec une position estimée (POSIMON) calculée par la partie de contrôle du premier FMS (FMS1-MON) à partir d'au moins une partie desdites données issues de capteurs embarqués 20 à l'aide d'un critère de position.
8. Procédé (100) selon l'une des revendications précédentes délivrant en outre une deuxième commande de vol de référence (CV2com) cohérente obtenue simultanément de manière continue selon les même étapes dupliquées (200) du procédé selon la revendication 2 à l'aide d'un deuxième ensemble FMS (E-FMS2) et d'un deuxième pilote automatique (PA2).
9. Procédé (100) selon la revendication 8 comprenant en outre une étape (113) consistant à afficher la deuxième commande de vol de référence 30 (CV2com), lorsque le premier système de gestion de vol ou le premier pilote automatique est invalide.
10. Procédé (100) selon les revendications 8 ou 9 comprenant en outre une étape (114) consistant à déclencher le guidage automatique de l'aéronef 35 avec la deuxième commande de vol de référence (CV2com), lorsque le 3028975 33 premier système de gestion de vol ou le premier pilote automatique est invalide.
11. Procédé (100) selon la revendication 10 dans lequel l'étape (114) de 5 déclenchement est opérée manuellement par le pilote.
12. Procédé (100) selon la revendication 10 dans lequel l'étape de déclenchement (114) est opérée automatiquement sans intervention du pilote 10
13. Procédé selon l'une des revendications 8 à 12 dans lequel l'aéronef est en phase d'approche selon une procédure à couloir contraint (RNP AR).
14. Procédé selon la revendication 13 comprenant une étape préliminaire de 15 validation du plan de vol.
15. Procédé selon la revendication 8 dans lequel les premier et deuxième pilotes automatiques sont simultanément engagés préalablement au démarrage du procédé. 20
16. Système (10) de gestion de vol et de guidage d'un aéronef à haute intégrité comprenant : -un premier ensemble FMS (E-FMS1) comprenant : 25 *une partie dénommée partie de calcul du premier ensemble FMS (FMS1- COM) comprenant : .. une première base de données de navigation (NAV1 DB) et one première base de données de performances (PERF1 DB), un premier module de calcul de position (LOCI) configuré pour calculer une première position de référence (POS1com) à partir de données issues de capteurs embarqués et des bases de données, ..un premier module de calcul de trajectoire (TRAJ/PRED1) configuré pour calculer d'une première trajectoire de référence (TRAJlcom) à partir de données issues de capteurs embarqués et des bases de données, 3028975 34 ..un premier module de guidage de référence (GUID1com) configuré pour générer une première consigne de guidage de référence (CG1com), à partir de la première position de référence (POS1com) et de la première trajectoire de référence (TRAJ1com) 5 *une partie dénommée partie de contrôle du premier ensemble FMS (F1-MON) configurée pour ..contrôler l'intégrité de la première position de référence (POS1com) à partir d'au moins une partie des données issues de capteurs embarqués, 10 ..mémoriser la première trajectoire de référence (TRAJ1com) transmise par la partie de calcul du premier ensemble FMS (FMS1-COM), ..générer une première consigne de guidage de contrôle (CG1MON) calculée à partir de la première position de référence (POS1com) et de la première trajectoire de référence (TRAJ1com) mémorisée, 15 'contrôler l'intégrité de la première consigne de guidage de référence (CG1com) avec la première consigne de guidage de contrôle (CG1moN). ledit système de gestion de vol et de guidage (10) comprenant en outre 20 -un premier pilote automatique (PA1) comprenant : *une partie de référence (PA1-COM) configurée pour générer une première commande de vol de référence (CV1com) à partir de la première consigne de guidage de référence (CG1com), *une partie de contrôle (PA1-MON) configurée pour générer une première 25 commande de vol de contrôle (CV1MON), à partir de la première consigne de guidage de référence (CG1com), *ledit premier pilote automatique (PA1) étant en outre configuré pour vérifier la cohérence des premières commandes de vol de référence (CV1com) et de contrôle-(CV1MON), 30 -ledit système de gestion de vol et de guidage (10) étant en outre configuré pour invalider le premier ensemble FMS (E-FMS1) et le premier pilote automatique (PA1) associé, lorsque la première position de référence n'est pas contrôlée intègre ou lorsque les commandes de vol de référence 35 (CV1 com) et de contrôle (CV1MON) sont incohérentes. 3028975 35
17. Système (10) de gestion de vol et de guidage selon la revendication 16 comprenant en outre au moins un module d'affichage (DISP) configuré pour afficher la première commandes de vol de référence (CV1com) lorsque le 5 premier ensemble FMS et le premier pilote automatique sont valides.
18. Système (10) de gestion de vol et de guidage selon la revendication 16 ou 17 configuré pour déclencher le guidage automatique de l'aéronef avec la première commande de vol de référence (CV1com), lorsque le premier 10 système de gestion de vol et le premier pilote automatique sont valides.
19. Système (10) de gestion de vol et de guidage d'un aéronef à haute intégrité selon l'une des revendications 16 à 18 comprenant en outre un deuxième ensemble FMS (E-FMS2) et un deuxième pilote automatique 15 (PA2) correspondant respectivement à une duplication du premier ensemble FMS (E-FMS1) et du premier pilote automatique (PA1), le système étant configuré pour générer une première commande de vol de référence (CV1com) et une deuxième commande de vol -de référence (CV2com) simultanément et de manière continue. 20
20. Système (10) selon la revendication 19 configuré en outre pour déclencher le guidage automatique avec la première commande de vol de référence (CV1com) lorsque le premier système de gestion de vol et le premier pilote automatique sont valides, et pour déclencher le guidage 25 automatique de l'aéronef avec la deuxième commande de vol dé-référence (CV2com) lorsque le premier système de gestion de vol et le premier pilote automatique sont invalides.
21. Système (10) selon la revendication 20 dans lequel le module d'affichage 30 (DISP) est en outre configuré pour afficher la deuxième commande de vol de référence (CV2com) lorsque le premier système de gestion de vol et le premier pilote automatique sont invalides. 3028975 36
22. Un produit programme d'ordinateur, ledit programme d'ordinateur comprenant des instructions de code permettant d'effectuer les étapes du procédé selon l'une quelconque des revendications 1 à 15.