FR3106228A1 - Procédé de surveillance d’un entrainement d’un opérateur dans un simulateur - Google Patents

Abstract

L’invention propose un procédé de surveillance d’un entrainement d’au moins un opérateur dans un simulateur (2) d’un poste de commande d’un système, comprenant la mise en œuvre en temps réel par un calculateur (10) des étapes suivantes : - la réception de données relatives à l’état du système transmises par un calculateur (22) du simulateur, - la réception (300) de données relatives à la direction du regard de l’opérateur, transmises par un dispositif (25) de suivi oculaire agencé dans le simulateur, et- la mise en œuvre d’un traitement (400) sur les données reçues du simulateur et/ou du suivi oculaire, pour vérifier le respect d’au moins une règle de commande du système par l’opérateur. Figure pour l’abrégé : figure 1

Description

Procédé de surveillance d’un entrainement d’un opérateur dans un simulateur

La présente demande concerne un procédé de surveillance d’un entrainement d’un opérateur dans un simulateur d’un système complexe, tel qu’un simulateur d’aéronef.

Pour certains systèmes complexes, il est classique d’entrainer un opérateur sur un simulateur du système complexe avant que l’opérateur puisse s’entrainer sur le système réel, pour des raisons de sécurité, de coût d’accès, ou de disponibilité du système.

C’est le cas par exemple des simulateurs de vol, qui sont utilisés par les pilotes de ligne ou les pilotes de chasse lors de leur formation initiale, mais aussi en formation continue tout au long de leur carrière. Cela peut être le cas aussi pour d’autres véhicules tels que des trains, ou des véhicules spatiaux. Cela peut être le cas aussi pour des installations fixes qui nécessitent une supervision et un contrôle permanents par des opérateurs qualifiés.

Lors de l’entrainement d’un opérateur dans un simulateur, l’opérateur est plongé dans des conditions réelles de fonctionnement du système complexe. En particulier, le simulateur comprend une reproduction d’un poste de commande du système comprenant un ensemble de dispositifs de commande actionnables par l’opérateur, et un ensemble de dispositifs de restitution d’informations permettant à l’opérateur de connaître l’état du système.

Par exemple, un simulateur de vol comprend une reproduction d’une cabine de pilotage d’un avion, avec des écrans qui simulent ce qui peut être vu depuis la cabine de pilotage, ainsi que des interfaces de commande et des indicateurs représentant un ensemble de paramètres comprenant des variables de fonctionnement d’un aéronef comme l’altitude, l’attitude (angles de roulis, de tangage, de lacet), la vitesse, la localisation simulée de l’aéronef, un niveau de carburant, etc., mais également des informations de fonctionnement ou de défaillance de sous-systèmes de l’aéronef, ou encore des paramètres extérieurs tels qu’une vitesse et une orientation du vent, etc.

Lors de l’entrainement d’un opérateur, un superviseur expérimenté est présent avec l’opérateur dans le simulateur, et vérifie que l’opérateur respecte l’ensemble des procédures nécessaires au bon fonctionnement du système.

Cependant, l’opérateur ne peut pas toujours vérifier que chaque aspect des procédures est respecté. En particulier, si le superviseur se trouve derrière ou à côté de l’opérateur, comme c’est le cas par exemple dans un simulateur de vol, il ne peut pas vérifier les contrôles visuels d’un opérateur. En outre, dans le cas de procédures complexes impliquant un grand nombre d’actions ou de vérifications de la part d’un opérateur, le superviseur ne peut pas toujours contrôler que chaque action ou vérification a été effectuée, et dans le bon ordre, par un opérateur.

Enfin, dans le cas où le comportement de l’opérateur amène à un dysfonctionnement, il n’est pas toujours possible de détecter précisément la cause du dysfonctionnement, qu’il s’agisse par exemple d’une erreur de commande, ou d’une erreur d’appréciation d’une situation, liée au fait que l’opérateur n’a pas vérifié un paramètre particulier.

L’entrainement d’un opérateur dans un simulateur est toujours suivi d’un bilan au cours duquel le superviseur revient sur les erreurs et les succès de l’opérateur. Compte-tenu des limitations de la supervision évoquées ci-avant, ce bilan peut être incomplet ou imprécis, ce qui diminue les bénéfices de l’entrainement dans le simulateur.

Résumé

Compte-tenu de ce qui précède, l’invention a pour but d’améliorer la supervision d’un opérateur lors d’un entrainement dans un système complexe.

En particulier, un but de l’invention est de surveiller automatiquement le respect de règles de commande d’un système complexe dans un simulateur du système, ainsi que les causes, le cas échéant, du non-respect des règles.

Un autre but de l’invention est de permettre à un superviseur de détecter les situations à risques et d’identifier les causes de ces situations à risques.

A cet égard, l’invention propose un procédé de surveillance d’un entrainement d’au moins un opérateur dans un simulateur d’un poste de commande d’un système, comprenant:
- un ensemble de dispositifs de commande du système aptes à être contrôlés par un opérateur,
- un ensemble de dispositifs de restitution d’informations d’état du système à l’opérateur,
- un calculateur, adapté pour déterminer un état du système à partir de données reçues des dispositifs de commande, et pour commander les dispositifs de restitution d’information en fonction de l’état déterminé du système, et
- au moins un dispositif de suivi oculaire adapté pour détecter une direction de regard de l’opérateur,
le procédé étant mis en œuvre par un calculateur et étant caractérisé en ce qu’il comprend la mise en œuvre en temps réel des étapes suivantes:
- la réception de données relatives à l’état du système transmises par le calculateur du simulateur,
- la réception de données relatives à la direction du regard de l’opérateur, transmises par le dispositif de suivi oculaire, et
- la mise en œuvre d’un traitement sur les données reçues du simulateur et/ou du suivi oculaire, pour vérifier le respect d’au moins une règle de commande du système par l’opérateur.

Dans des modes de réalisation, la vérification du respect d’une règle de commande comprend la mise en œuvre d’étapes de:
- réception de la règle de commande,
- détermination d’au moins une variable pertinente à surveiller et d’au moins une condition sur la variable pour vérifier le respect de la règle,
- surveillance en temps réel de ladite au moins une variable pertinente à partir des données reçues du calculateur du simulateur et du dispositif de suivi oculaire et,
- lorsque la condition sur la variable pertinente n’est pas vérifiée, génération d’un évènement.

Chaque évènement généré peut comprendre un ensemble d’informations comprenant au moins l’une des informations parmi le groupe suivant:
- un identifiant,
- un horodatage,
- une catégorie d’évènement,
- une indication de criticité de l’évènement
- une évaluation de l’évènement,
- une référence à la règle pour laquelle l’évènement a été généré,
- une indication du type d’opérateur impliqué dans l’évènement.

Dans des modes de réalisation, le procédé comprend pour chaque entrainement la réception d’un programme d’entrainement prédéfini,
dans lequel chaque programme d’entrainement comprend au moins un exercice comportant au moins une règle de commande et/ou au moins une procédure comprenant un ensemble de règles, le respect d’une procédure étant conditionné au respect de l’ensemble des règles composant la procédure.

Dans des modes de réalisation, au moins une règle correspond à une vérification visuelle d’un dispositif de restitution d’information d’état du système,
et le procédé comprend un traitement des données de direction du regard pour déterminer les zones observées par l’opérateur, et la détermination que la règle a été respectée, si les zones observées par l’opérateur comprennent une zone dans laquelle se trouve le dispositif de restitution d’information à vérifier.

Une détermination qu’une zone est observée par l’opérateur peut avoir lieu si le regard de l’opérateur est dirigé vers ladite zone pendant une durée supérieure à un seuil prédéterminé.

Dans des modes de réalisation, le procédé de surveillance peut comprendre en outre la génération d’une représentation graphique de la zone du simulateur observée par l’opérateur à partir des données de direction de regard de l’opérateur.

Dans des modes de réalisation, le procédé peut comprendre en outre la transmission en temps réel, par le calculateur à un terminal distant:
- de données de direction du regard de l’opérateur,
- d’au moins une règle courante à respecter, et une indication du respect de la règle,
- d’une indication des règles précédentes non respectées.

Dans des modes de réalisation, chaque règle est associée à des conditions d’applications de la règle, et le procédé comprend en outre une étape de traitement des données reçues du simulateur et/ou du dispositif de suivi oculaire pour déterminer si les conditions d’application de la règle sont respectées, et la vérification du respect ou non de la règle n’est mise en œuvre que si les conditions d’application de la règle sont respectées.

Dans des modes de réalisation, le procédé comprend en outre une étape de sauvegarde, dans une mémoire, des données reçues du calculateur du simulateur, des données reçues du dispositif de suivi oculaire, et d’une indication du respect ou non de chaque règle vérifiée lors de l’entrainement.

La présente a également pour objet un produit programme d’ordinateur, comprenant des instructions de code pour la mise en œuvre du procédé de surveillance selon la description qui précède, lorsqu’il est mis en œuvre par un calculateur.

La présente a également pour objet un dispositif de surveillance d’un entrainement d’au moins un opérateur dans un simulateur d’un poste de commande d’un système, comprenant:
- un ensemble de dispositifs de commande aptes à être contrôlés par un opérateur,
- un ensemble de dispositifs de restitution d’informations d’état du système,
- un calculateur, adapté pour déterminer un état du système à partir de données reçues des dispositifs de commande, et pour commander les dispositifs de restitution en fonction de l’état déterminé du système, et
- au moins un dispositif de suivi oculaire adapté pour détecter une direction de regard de l’opérateur,
le dispositif de surveillance étant caractérisé en ce qu’il comprend un calculateur configuré pour mettre en œuvre le procédé de surveillance selon la description qui précède.

Dans des modes de réalisation, le dispositif de surveillance peut en outre être adapté pour générer une représentation graphique de la zone du simulateur observée par l’opérateur à partir des données de direction de regard.

Dans des modes de réalisation, le dispositif de surveillance peut comprendre en outre un terminal de supervision adapté pour communiquer à distance avec le calculateur, le terminal de supervision comprenant un écran, et dans lequel le terminal de supervision est adapté pour afficher au moins l’une des informations suivantes:
- la représentation graphique de la zone du simulateur observée par l’opérateur,
- au moins une règle en cours de vérification,
- une indication d’au moins une règle non vérifiée pendant l’entrainement.

Dans des modes de réalisation, le dispositif de surveillance peut comprendre en outre une mémoire, adaptée pour communiquer avec le calculateur, la mémoire stockant un ensemble de règles de commande du système et/ou un ensemble de données de sessions d’entrainement d’opérateurs, comprenant pour chaque session d’entrainement, les données d’état du système et de direction du regard reçues par le calculateur durant l’entrainement, et pour au moins une règle de commande, une indication du respect de ladite règle.

Selon un autre objet, un procédé de génération de règle de commande d’un système pour la surveillance d’un entrainement d’un opérateur dans un simulateur d’un poste de commande du système est proposé, le procédé étant mis en œuvre par un terminal et comprenant:
- la réception d’une requête de génération de règle comprenant au moins un paramètre d’état du système et/ou au moins une action ou vérification à mettre en œuvre par l’opérateur, et au moins une condition associée,
- la génération d’une règle de commande à partir de la requête, comprenant la détermination d’au moins une variable pertinente à surveiller et d’une condition sur ladite variable, et
- l’enregistrement de la règle de commande dans une mémoire.

La présente a également pour objet un produit programme d’ordinateur, comprenant des instructions de code pour la mise en œuvre du procédé de génération de règle de commande décrit précédemment, quand il est mis en œuvre par un calculateur.

Avantageusement, mais facultativement, le procédé selon l’invention comprend en outre au moins l’une des caractéristiques des revendications dépendantes.

L’invention proposée permet de vérifier automatiquement le respect de règles de commande d’un système complexe lors d’un entrainement dans un simulateur, par la réception et le traitement de données liées à l’état du système, ces données étant fournies par le simulateur, et de données liées à l’observation de l’opérateur, fournies par le dispositif de suivi oculaire.

Ces données sont traitées pour vérifier l’application de règles de commande, voire de procédures entières, comprenant une succession d’actions, comprenant par exemple l’actionnement de certaines interfaces de commandes, l’énonciation vocale de certaines commandes, ou de vérifications à effectuer.

Dans le cas où une règle n’est pas respectée, l’invention permet de générer et de mémoriser un évènement identifiant la règle non respectée, et comprenant des informations complémentaires permettant notamment de déterminer les causes du non-respect de la règle, et de classer l’évènement selon un ou plusieurs critères.

L’invention proposée permet également une visualisation, en temps réel, d’une zone observée par l’opérateur, ce qui permet de vérifier le contrôle, par un opérateur, d’un élément particulier de restitution d’information du simulateur.

D’autres caractéristiques, détails et avantages apparaîtront à la lecture de la description détaillée ci-après, et à l’analyse des dessins annexés, sur lesquels:

Fig. 1

représente un exemple d’environnement dans lequel est mis en œuvre un procédé de surveillance selon un mode de réalisation de l’invention.

Fig. 2

représente un exemple d’un simulateur d’un poste de commande d’un système.

Fig. 3

représente schématiquement une organisation possible de règles de commande d’un système pour une session d’entrainement.

Fig. 4

représente schématiquement des étapes d’un procédé de surveillance selon un mode de réalisation de l’invention.

Fig. 5

représente un exemple d’interface graphique pour permettre la visualisation de l’entrainement de l’opérateur, par exemple par un instructeur.

Fig. 6

représente schématiquement des étapes d’un procédé de génération d’une règle de commande selon un mode de réalisation de l’invention.

On va maintenant décrire un procédé de surveillance d’un entrainement d’au moins un opérateur dans un simulateur 2 d’un poste de commande d’un système. En référence à la figure 1, le procédé est mis en œuvre par un dispositif de surveillance 1, comprenant un calculateur 10, pouvant être par exemple un ou plusieurs processeur(s) ou microprocesseur(s), et une mémoire 12 stockant des instructions de code, lesquelles sont exécutées par le calculateur 10 pour la mise en œuvre de ce procédé.

Dans un mode de réalisation, le dispositif de surveillance 1 comprend en outre un terminal de supervision 11, adapté pour recevoir des données du calculateur 10 et lui en envoyer, et pour afficher en temps réel des données relatives à l’entrainement de l’opérateur dans le simulateur, comme décrit plus en détails ci-après. Le terminal de supervision 11 comprend à cet égard une interface de connexion (non représentée) avec le calculateur 10, pouvant être filaire ou sans-fil, un écran, et une interface de commande permettant de recevoir des instructions d’un utilisateur. Dans un mode de réalisation, l’écran est tactile et forme également l’interface de commande. Le terminal de supervision 11 peut par exemple être un téléphone mobile ou une tablette numérique. Le terminal de supervision est avantageusement utilisé par un instructeur devant superviser l’entrainement de l’opérateur dans le simulateur.

Le système pour lequel l’entrainement a lieu est un système complexe, pouvant être un véhicule, par exemple un avion de ligne ou un avion de chasse, un hélicoptère, un train, etc. Il peut également s’agir d’une installation industrielle, comme par exemple une centrale de production électrique, une régie d’une gare ou d’un réseau de transport en commun, etc.

Dans un exemple non limitatif, le simulateur 2 de poste de commande est un simulateur de poste de pilotage d’un avion, par exemple un avion de ligne ou un avion de chasse. Dans cet exemple, l’entrainement peut avoir lieu pour un unique opérateur ou pour deux opérateurs comprenant un pilote et un co-pilote. Dans ce cas, le dispositif de surveillance de l’entrainement permet de superviser l’entrainement spécifique de chacun en fonction de ses missions respectives.

En référence à la figure 2, on a représenté schématiquement un exemple de simulateur 2. Le simulateur du poste de commande est adapté pour former une représentation fidèle d’un poste de commande authentique du système, et il comprend à cet égard une salle ou une cabine 23 reproduisant, par ses dimensions et sa configuration, au moins une partie d’un poste de commande authentique, et dans lequel un ou plusieurs opérateurs peuvent prendre place pour un entrainement. Dans l’exemple d’un simulateur de poste de pilotage d’un avion, le simulateur comprend une reproduction d’un cockpit d’avion, qui est montée sur des actionneurs pour restituer des sensations réalistes de vol au(x) pilote(s) en entrainement dans le simulateur.

De plus, le simulateur du poste de commande comprend un ensemble de dispositifs de commande 20 du système aptes à être contrôlés par un opérateur. De préférence les dispositifs de commande présentent une apparence identique à des dispositifs de commande réels, et sont agencés dans la cabine ou la salle de la même manière que dans un poste de commande authentique.

Les dispositifs de commande 20 peuvent être de différentes natures, et peuvent comprendre des dispositifs de commande actionnables par la main, le doigt, le pied, ou encore la voix. Ils peuvent comprendre au moins l’un des exemples suivants :
- des boutons pouvant prendre sélectivement deux positions ou plus, et pouvant être actionnés en étant enfoncés, tournés, déplacés, etc.
- des leviers, curseurs ou pédales pouvant être actionnés continument entre deux positions extrêmes,
- des micros permettant d’enregistrer une commande vocale d’un opérateur, ou permettant aux opérateurs de communiquer entre eux s’ils sont plusieurs,
- des dispositifs de commande d’orientation tel qu’un guidon, un manche, un volant, une manette, etc.,
- une boîte de vitesse,
- etc.

Le simulateur comprend également un ensemble de dispositifs 21 de restitution d’informations d’état du système, adaptés pour fournir à l’opérateur des informations en temps réel sur l’état du système, et en particulier, des informations concernant:
- le fonctionnement interne du système, incluant des informations de fonctionnement ou de dysfonctionnement d’équipements ou de sous-systèmes du système, le cas échéant, des indications sur l’existence et la nature de pannes,
- des informations de situation du système indiquant par exemple, une vitesse, une orientation ou une attitude, une position spatiale incluant des coordonnées GNSS et/ou une altitude,
- des informations de situation d’équipements ou de sous-système incluant par exemple une jauge d’essence, une indication d’un niveau de carburant ou de tout autre consommable du système, une indication de température ou de pression de circuits internes, etc.
- des informations d’environnement, comme par exemple une température extérieure, un taux d’humidité, une valeur de pression atmosphérique, une vitesse et une orientation de vent, etc.

Les dispositifs de restitution d’informations 21 peuvent également comprendre un ou plusieurs haut-parleurs, adaptés pour diffuser des messages pour le ou les opérateurs.

Dans l’exemple où le simulateur est un simulateur de poste de commande d’un avion, les dispositifs de commande 20 comprennent notamment, et ce possiblement de façon symétrique pour chaque opérateur:
- un manche,
- des pédales,
- une manette des gaz,
- des actionneurs pour activer ou modifier les différents systèmes tels que les volets, les trains d’atterrissages, les aérofreins, les freins, les lumières, l’aération de la cabine, les systèmes hydrauliques, etc.
- des actionneurs pour régler les paramètres du pilote automatiques (vitesse, cap, altitude, etc.), ou pour enclencher des modes particuliers du pilote automatique,
- des actionneurs pour modifier le comportement des systèmes en cas d’anomalies (ex: bouton d’extinction du moteur en cas de feu moteur),
- etc.

Dans cet exemple, les dispositifs de restitution d’information 21 comprennent notamment, et ce de façon symétrique pour chaque opérateur, des écrans représentant les fenêtres du cockpit et simulant l’environnement visuel extérieur de l’avion. Ils comprennent également des indicateurs d’attitude (roulis, lacet, tangage) et de position de l’avion (altitude, latitude, longitude, trajectoire, itinéraire), de dynamique de l’avion (vitesse, vitesse verticale, accelération), ainsi que des jauges de carburant, d’huile, de remplissage des batteries, de pression des systèmes hydrauliques, etc. Ils peuvent également comprendre un ensemble d’indicateurs de fonctionnement ou de panne des différents systèmes de l’avion tels que les générateurs de puissance, l’aération de la cabine, les moteurs, le pilote automatique, les lumières extérieures et intérieures, etc. Ils comprennent en outre des indicateurs de statut de certains systèmes tels que les portes de l’avion, les volets, les trains d’atterrissage, etc.

Le simulateur 2 comprend en outre un calculateur 22, adapté pour déterminer un état du système à partir d’au moins les données reçues des dispositifs de commande 20. Le calculateur 22 peut également déterminer un état du système à partir d’autres informations, qui sont par exemple des données d’un scenario d’entrainement qui est chargé au début d’un entrainement d’un opérateur. Le calculateur 22 est également adapté pour commander les dispositifs de restitution d’informations en fonction de l’état déterminé du système.

Enfin, le simulateur 2 comprend en outre un dispositif de suivi oculaire 25, également appelé «eye tracker», adapté pour détecter une direction de regard de l’opérateur dans la cabine du simulateur. Le dispositif de suivi oculaire comprend à cet égard au moins une caméra 250, et de préférence une pluralité de caméras disposées dans la cabine du simulateur et orientées vers les yeux du ou des opérateurs, et un calculateur 251 adapté pour recevoir en temps réel les données acquises par les caméras et pour traiter ces données afin d’en déduire une direction du regard de l’opérateur. Dans un mode de réalisation, le calculateur 251 du dispositif de suivi oculaire est également adapté pour détecter, à partir du traitement des données des caméras, des clignements des yeux, et pour caractériser le type de mouvement oculaire détecté, incluant par exemple des saccades, des dérives, des fixations, etc.

Une saccade est un mouvement rapide des yeux permettant par exemple d’explorer le champ visuel. Une dérive est un mouvement lent et progressif, permettant par exemple de suivre des yeux un objet se déplaçant dans un champ visuel. Une fixation est une période de temps pendant lequel l’œil est quasiment immobile autour d’une position, permettant l’analyse d’une zone visuelle pour en extraire des informations.

Dans un mode de réalisation, le dispositif de suivi oculaire est également paramétré avec un modèle du simulateur du poste de commande, de manière à déterminer, en fonction de la direction du regard de l’opérateur, une région d’intérêt du simulateur observée par l’opérateur. Les régions d’intérêts comprennent notamment l’ensemble des dispositifs de restitution d’informations. En variante, ce traitement peut être mis en œuvre par le calculateur 10.

Le calculateur 10 est adapté pour recevoir en temps réel des données relatives à l’état du système, transmises par le calculateur du simulateur, et des données relatives à la direction du regard de l’opérateur, transmises par le dispositif de suivi oculaire, ces dernières données pouvant inclure en outre une information selon laquelle les yeux sont ouverts et fermés, une nature de mouvement oculaire, et éventuellement une indication d’une région d’intérêt regardée par l’opérateur, comme indiqué ci-avant.

Ces données sont reçues par le calculateur en temps réel par des flux de données respectifs, pouvant être reçus au moyen d’une connexion TCP ou UDP ou d’un flux LSL (acronyme de Lab Streaming Layer).

Le calculateur est adapté pour recevoir ces données brutes en assurant leur synchronisation, et pour les traiter afin de vérifier le respect de règles de commande par chaque opérateur présent dans le simulateur 2.

A cet égard, de retour à la figure 1, la mémoire 12 du dispositif de surveillance 1, ou éventuellement une mémoire distincte de celle-ci, stocke avantageusement un ensemble de règles de commande du système, que chaque opérateur doit respecter pendant l’entrainement dans le simulateur. Le dispositif de surveillance 1 et le procédé décrit ci-après permettent de vérifier automatiquement, par analyse des données du simulateur 2 et du dispositif de suivi oculaire, que les règles de commande du système sont respectées, ceci afin d’assister un instructeur dans une tâche de formation.

Chaque règle peut correspondre à au moins une action et/ou une vérification devant être exécutée par au moins un opérateur, ou encore à une condition qu’au moins une donnée d’état du système doit vérifier. Une action de l’opérateur peut être l’actionnement d’un dispositif de commande, ou l’expression d’une commande vocale. Une vérification de l’opérateur peut être la vérification visuelle d’un dispositif de restitution d’information.

L’accomplissement d’une action par un opérateur peut être surveillé directement en surveillant un dispositif de commande considéré. Par exemple, si l’action consiste à actionner un dispositif de commande, ou à émettre une commande vocale, le respect de cette action peut être surveillé en surveillant le dispositif de commande considéré.

En variante, une règle peut correspondre à un état du système qui doit être atteint ou maintenu grâce à l’intervention de l’opérateur, et dans ce cas le respect de la règle peut être mis en œuvre en surveillant une ou plusieurs données d’état du système.

Enfin, l’accomplissement d’une vérification par un opérateur peut être surveillé en surveillant la direction du regard d’un opérateur pour déterminer si l’opérateur a vérifié un ou plusieurs dispositif(s) de restitution d’informations considéré.

De fait, quelle que soit la règle, la vérification du respect de cette règle peut être mise en œuvre en surveillant la réalisation d’au moins une condition par au moins une donnée, la donnée pouvant être une donnée d’état du système (par exemple: vitesse / altitude, etc.), ou une donnée booléenne traduisant la mise en œuvre d’une action ou d’une vérification (par exemple: actionnement d’un dispositif de commande, vérification d’un dispositif de restitution d’information etc). Selon un premier exemple, une règle peut être une règle de limitation de vitesse du système commandé, où la donnée est la vitesse du système et la condition est une valeur maximale de vitesse. Selon un deuxième exemple, une règle peut être une vérification d’une valeur d’altitude du système, où la donnée est un booléen indiquant si cette vérification a eu lieu («1») ou non («0»), et la condition est le fait que le booléen indique que cette vérification a eu lieu («1»).

Dans un mode de réalisation, une règle peut comprendre un ensemble de données, et pour chaque donnée, une condition applicable sur celle-ci. La vérification du respect d’une telle règle implique donc de surveiller la réalisation de chaque condition associée respectivement à chaque donnée. Par exemple, lors d’une phase de vol, une règle peut, pour être respectée, impliquer que l’avion présente une vitesse minimale ainsi qu’une altitude minimale.

Dans un mode de réalisation, une règle peut également être associée à une ou plusieurs conditions d’application de la règle. Les conditions d’application peuvent porter sur d’autres données relatives à l’état du système ou d’autres données correspondant à une action ou vérification de l’opérateur. Dans ce cas, la vérification du respect de la règle n’est mise en œuvre que si les conditions d’application de la règle sont remplies.

Par exemple, une règle peut n’être applicable que dans une phase de fonctionnement spécifique du système. Le calculateur est alors configuré pour déterminer, à partir des données d’état du système, s’il se trouve dans une phase de fonctionnement spécifique, et pour ne vérifier le respect d’une règle que si le système se trouve dans cette phase de fonctionnement spécifique. Pour reprendre l’exemple d’un simulateur de vol, certaines règles ne sont applicables que lors d’une phase de décollage ou d’atterrissage, et le fait que l’avion se trouve dans une phase de décollage ou d’atterrissage peut être déterminé en vérifiant un ensemble de données d’état du système.

Dans un mode de réalisation, une règle peut également comprendre une condition supplémentaire relative à l’opérateur concerné. Dans l’exemple d’un simulateur de vol, les rôles du pilote et du co-pilote sont distincts et certaines règles peuvent être prévues spécifiquement pour le pilote et d’autres pour le co-pilote.

Enfin, une règle peut être associée à un délai, par exemple un délai minimum ou maximum pendant lequel une condition doit être remplie pour que la règle soit considérée comme respectée. Par exemple, un avion ne doit pas présenter un angle d’inclinaison supérieur à 45 degrés pendant plus de 5 secondes. Selon un autre exemple, une procédure peut prévoir de vérifier deux règles dans un laps de temps maximum déterminé. Dans ce cas, la deuxième des deux règles peut être associée à une condition supplémentaire correspondant au temps écoulé depuis la vérification de la première règle, qui doit être inférieur au laps de temps maximum déterminé. Dans un mode de réalisation, chaque règle est associée à un délai qui est mis par défaut à zéro.

En référence à la figure 3, les règles sont avantageusement organisées et stockées dans la mémoire 12 du dispositif de surveillance en programmes d’entrainement, dans lequel chaque programme d’entrainement comprend au moins un exercice, et chaque exercice comporte au moins une règle de commande ou une procédure à respecter.

Un programme d’entrainement correspond à une session complète d’entrainement dans le simulateur, et comprend des exercices récurrents tels qu’une mise en service du système et un arrêt du système, et un ensemble d’exercices optionnels, selon l’objet de l’entrainement. Les exercices récurrents peuvent eux-mêmes comprendre des variantes, et donc des règles et/ou des procédures différentes, en fonction des conditions dans lesquelles l’entrainement a lieu. Par exemple, dans le cas où le simulateur est un simulateur de vol d’un avion de ligne, les exercices récurrents peuvent comprendre un décollage et un atterrissage de l’avion, qui peuvent varier en fonction des conditions météorologiques. Des exercices peuvent par exemple porter sur les aspects suivants:
- phase de montée ou de descente,
- phases d’approche d’un aéroport dans différentes configurations météorologiques, et de trafics aériens
- pannes d’instruments tels que les indicateurs d’attitude ou de dynamique de l’avion,
- pannes de systèmes tels que les volets, les freins, les trains d’atterrissage,
- défaillance d’un réacteur au décollage, en montée, en croisière ou en approche,
- dépressurisation,
- déroutement pour des motifs météorologiques, malaise passager, fermeture d’aéroport,
- déclenchement d’un feu dans un réacteur,
- etc.

Une procédure comprend un ensemble de règles à respecter, éventuellement dans un ordre déterminé ou selon une chronologie déterminée, de sorte que la procédure n’est vérifiée que si l’ensemble des règles la composant est vérifiée. Dans un mode de réalisation, une procédure est aussi définie par une condition de début de procédure, et une condition de fin de procédure, qui est par exemple le fait que toutes les règles de la procédure aient été respectées. De plus si la procédure est associée à un ordre d’exécution des règles, la procédure n’est vérifiée que si les règles sont respectées dans le bon ordre. Une procédure peut concerner une manœuvre standard ou une manœuvre anormale telle qu’une défaillance du système. Pour reprendre l’exemple donné précédemment d’un simulateur de vol, un exercice de décollage peut comprendre une procédure standard de décollage, au cours de laquelle le pilote doit effectuer successivement la mise en pleine poussée des moteurs, contrôler et annoncer la vitesse au passage des vitesses caractéristiques, effectuer la rotation en ne dépassant pas un certain angle d’attaque, rentrer les trains d’atterrissage puis les volets au passage d’altitudes caractéristiques. Cette procédure débute au début de la phase de décollage, et se termine au passage d’une altitude caractéristique dépendante de l’aéroport.

Dans un mode de réalisation, la mémoire 12 stocke également une représentation graphique simplifiée du simulateur, comprenant en particulier une représentation de l’emplacement de chaque dispositif 21 de restitution d’information. Comme décrit plus en détails ci-après, cette représentation graphique permet de représenter en temps réel la zone du simulateur observée par l’opérateur.

En référence à la figure 4, on va maintenant décrire la mise en œuvre d’un procédé de surveillance d’un entrainement d’au moins un opérateur par le dispositif 1 décrit ci-avant.

Le procédé de surveillance peut comprendre une étape préliminaire, avant le démarrage de l’entrainement de l’opérateur dans le simulateur, de réception 100 par le calculateur 10 d’au moins une règle de commande du système. Dans un mode de réalisation, cette étape préliminaire comprend la réception d’une session d’entrainement entière ou d’un exercice pour lequel l’opérateur doit être entrainé. La session d’entrainement ou l’exercice peut être choisi(e) par un instructeur parmi l’ensemble des sessions ou exercices stockés dans la mémoire 12, au moyen du terminal de supervision 11.

Le procédé comprend ensuite, lors de l’entrainement de l’opérateur dans le simulateur, la réception 200 par le calculateur 10, en temps réel et en continu, de données relatives à l’état du système transmises par le calculateur 22 du simulateur 2. Ces données peuvent comprendre par exemple:
- tout ou partie des informations fournies par les dispositifs de restitution d’information 21 concernant le fonctionnement interne du système, la situation d’équipements ou de sous-systèmes, ou des informations d’environnement, et,
- des informations relatives aux dispositifs de commande du système actionnés ou non par l’opérateur.

Dans un mode de réalisation, le calculateur 10 reçoit du simulateur 2 toutes les variables qui sont disponibles dans celui-ci.

Par ailleurs, le procédé comprend également, lors de l’entrainement de l’opérateur dans le simulateur, la réception 300 par le calculateur 10, en temps réel et en continu, de données relatives à la direction du regard de l’opérateur, transmises par le dispositif 25 de suivi oculaire. Le dispositif 25 de suivi oculaire peut transmettre toutes les variables disponibles au calculateur.

Par «en temps réel», on entend la transmission en ligne des données au fur et à mesure de leur production. Par exemple, les données transmises par le simulateur 2 sont transmises à une fréquence comprise entre 1 Hz et 100 Hz, par exemple 50 Hz, au fur et à mesure de leur production ou obtention. Les données transmises par le dispositif 25 de suivi oculaire sont transmises à une fréquence comprise entre 30 Hz et 100 Hz, par exemple 60 Hz, au fur et à mesure de leur production ou obtention. Dans un mode de réalisation, la fréquence de transmission des données du dispositif de suivi oculaire est supérieur ou égal à la fréquence de transmission des données du simulateur.

Le procédé comprend en outre la mise en œuvre d’un traitement sur les données reçues du simulateur et du dispositif de suivi oculaire, pour vérifier 400 le respect d’au moins une règle de commande du système par le calculateur 10 du dispositif de surveillance 1.

Dans un mode de réalisation, la règle de commande à vérifier a déjà été reçue à l’étape 100. En variante, une procédure ou une session d’entrainement entière a été choisie à l’étape 100, et l’étape 400 comprend une première étape 410 de réception d’une règle de la procédure ou de la session d’entrainement considérée.

A partir de la règle considérée, le calculateur 10 détermine 420 au moins une variable à surveiller et au moins une condition sur la variable pour que la règle soit vérifiée. Le calculateur met alors en œuvre un traitement sur les données reçues pour obtenir au moins une variable pertinente pour la vérification du respect de la règle et surveiller la condition sur ladite variable. La variable pertinente peut être directement une donnée brute reçue du dispositif de suivi oculaire ou du calculateur du simulateur, comme par exemple une information de vitesse ou d’altitude. En variante, le calculateur 10 génère une variable dont il détermine une valeur à partir des données brutes reçues.

Par exemple, si une règle comprend une condition sur une donnée d’état du système, le calculateur peut comparer à chaque instant une valeur de la donnée d’état du système (par exemple une vitesse) reçue du calculateur du simulateur, à une référence (par exemple une vitesse minimale ou maximale).

Selon un autre exemple, une règle correspond à l’exécution d’une action par un opérateur au moyen d’un dispositif de commande. Le calculateur peut mettre en œuvre une surveillance de l’actionnement du dispositif de commande, par exemple au moyen d’une variable booléenne qui prend une valeur quand un dispositif de commande n’est pas actionné et une autre quand il est actionné. La condition à respecter pour satisfaire la règle est alors un changement d’état du dispositif de commande, de l’état où il n’est pas actionné à l’état où il est actionné, ou alors l’adoption de l’état actionné par le dispositif de commande. Dans le cas particulier où l’action est une commande vocale, le calculateur du simulateur peut mettre en œuvre un traitement sur une commande vocale pour traduire la commande vocale en un texte qui constitue la variable pertinente, et le calculateur 10 du dispositif de surveillance peut comparer le texte avec un texte de référence pour vérifier s’il correspond à la commande à énoncer pour respecter la règle.

Selon encore un autre exemple, une règle comprend une vérification d’un dispositif de restitution d’information par l’opérateur. Dans ce cas, le calculateur 10 détermine, à partir des données reçues du dispositif de suivi oculaire 25, si une zone d’intérêt observée par l’opérateur comprend une zone dans laquelle se trouve le dispositif de restitution d’information. Dans un mode de réalisation, les zones d’intérêt observées par l’opérateur sont fournies par le dispositif de suivi oculaire. En variante, le calculateur 10 est configuré pour déterminer, à partir d’un modèle du simulateur stocké en mémoire, la zone observée du simulateur à partir de la direction du regard de l’opérateur. Dans tous les cas, le calculateur 10 détermine que la règle est respectée si le dispositif de restitution d’information se trouve dans une zone observée par l’opérateur. A cet égard, le calculateur 10 peut générer une variable booléenne qui prend une valeur déterminée si le dispositif de restitution d’information se trouve dans une zone observée par l’opérateur.

Dans un mode de réalisation, pour qu’une zone soit considérée comme observée, le regard de l’opérateur doit être dirigé vers cette zone pendant une durée supérieure à un certain seuil. Cette condition supplémentaire sur la durée d’observation de la zone peut être déterminée par le calculateur en vérifiant que qu’une zone est observée pendant un laps de temps supérieur au seuil, ou en fonction de la nature du mouvement oculaire au cours duquel la zone est observée. Par exemple une fixation peut indiquer que le regard de l’opérateur s’est effectivement posé pendant un certain laps de temps sur le dispositif de restitution d’information. Le calculateur peut déterminer si cette condition est satisfaite au moyen des données reçues du dispositif de suivi oculaire et du modèle de simulateur.

En plus de la variable pertinente surveillée pour vérifier le respect d’une règle, le calculateur 10 peut générer, pour chaque règle, une variable booléenne représentative du respect d’une condition par la variable pertinente à surveiller. Cette variable est par exemple égale à 0 si la condition est respectée, et passe à 1 si la condition n’est pas respectée. Si une règle implique la vérification d’une condition par plusieurs variables pertinentes (données d’état ou variable représentative d’une action ou vérification d’un opérateur), une variable booléenne peut être créée pour chaque condition à respecter, et une variable booléenne supplémentaire correspondant au respect de la règle est créée, et sa valeur est déterminée à partir de celles des variables booléennes créées pour chaque condition.

Le calculateur 10 met ensuite en œuvre 430 une surveillance sur la variable pertinente par rapport à la condition sur cette variable. Cette surveillance est mise en œuvre en temps réel. Si la variable pertinente ne correspond pas à une donnée brute reçue par le calculateur, elle est recalculée à chaque instant à partir de ces données brutes.

Lorsqu’une condition n’est pas respectée, le calculateur 10 génère 440 un évènement. Avantageusement, cet évènement est associé à des informations de contexte permettant de mettre en œuvre postérieurement une analyse de l’évènement et de la session d’entrainement.

Dans un mode de réalisation, un évènement de nature différente peut également être généré si une règle est satisfaite. Ceci permet de mémoriser à la fois les échecs, mais aussi les succès d’un opérateur.

Par exemple, chaque évènement généré comprend un ensemble d’informations pouvant comprendre les informations suivantes:
- un identifiant de l’évènement,
- un horodatage de l’évènement,
- une référence à la règle qui n’a pas été respectée et pour laquelle l’évènement a été généré,
- une catégorie d’évènement: les catégories d’évènements peuvent être conçues pour permettre un filtrage et une analyse des évènements. Elles peuvent par exemple comprendre les catégories suivantes: évènement oculaire (évènement basé sur l’analyse de la direction oculaire de l’opérateur), évènement de système (évènement basé sur l’analyse des données du simulateur), évènement reçu d’un instructeur, évènement de procédure (évènement basé sur un non-respect d’une procédure).
- une nature d’évènement, par exemple «succès», ou «échec», ou encore «évènement neutre»,
- une indication de criticité de l’évènement, comprenant par exemple un chiffre indiquant une criticité relative de l’évènement,
- une indication de l’exercice au cours duquel l’évènement a eu lieu,
- une indication de priorité de l’évènement, qui peut être modifiée par un instructeur en vue d’une séance de commentaires concernant l’évènement, réalisée après l’entrainement, ou encore
- une indication du type d’opérateur impliqué dans l’évènement (comme par exemple une indication du fait que c’est le pilote ou le co-pilote impliqué dans l’évènement).

Dans un mode de réalisation, si la règle est associée à des conditions d’application de la règle, le calculateur met d’abord en œuvre au cours d’une étape 415 un traitement sur les données reçues pour surveiller que les conditions d’application d’une règle sont respectées, et ne met en œuvre la surveillance 420 de la vérification du respect de la règle que quand les conditions d’application de la règle sont respectées.

Comme représenté par exemple sur la figure 3, certaines règles peuvent être applicables pendant toute la durée de la session, et dans ce cas le calculateur 10 met en œuvre à chaque instant un traitement sur les données reçues pour vérifier le respect de ces règles. Par exemple, le calculateur peut calculer à partir des données reçues du dispositif de suivi oculaire une fréquence à laquelle l’opérateur cligne des yeux, qui peut être une indication de somnolence de l’opérateur, et un évènement est généré si cette fréquence dépasse un seuil prédéterminé.

Avantageusement, le calculateur 10 est adapté pour générer en temps réel (étape 500 sur la figure 4) une représentation graphique de la session d’entrainement, comprenant en particulier une représentation graphique schématique du simulateur stockée dans la mémoire 12, et la zone du simulateur observée par l’opérateur, déterminée à partir des données reçues du dispositif de suivi oculaire. On a représenté sur la figure 5 un exemple d’une telle représentation graphique. Celle-ci peut également comprendre une représentation d’une règle, d’une procédure ou d’un exercice en cours de réalisation, et une indication du respect ou non d’une ou plusieurs règles de l’exercice en cours. Dans un mode de réalisation, les évènements générés lorsqu’une règle n’a pas été respectée peuvent aussi être représenté.

Cette représentation graphique est par exemple affichée par le terminal de supervision 11, qui reçoit en temps réel du calculateur 10:
- les données nécessaires à l’affichage de cette représentation graphique, incluant les données de direction du regard de l’opérateur ou directement les données relatives à la zone observée par l’opérateur,
- au moins une règle ou une procédure ou un exercice en cours,
- une indication du respect de chaque règle au moment où cela est déterminé par le calculateur,
- les évènements générés au cours de la session d’entrainement.

Cette représentation graphique sur le terminal de supervision est générée pour qu’un instructeur puisse superviser l’entrainement de l’opérateur. Elle permet notamment à l’instructeur de connaître en temps réel la direction du regard de l’opérateur, et donc de vérifier si l’opérateur a effectué des contrôles visuels particuliers. Sans le terminal de supervision, l’instructeur ne peut pas forcément surveiller les zones regardées par l’opérateur à chaque instant. De plus, elle permet à l’instructeur de détecter plus facilement les règles de commande qui n’ont pas été respectées, et les raisons pour lesquelles elles n’ont pas été respectées. L’instructeur dispose donc de beaucoup plus d’informations pour pouvoir suivre en temps réel l’entrainement du ou des opérateurs.

Enfin, le procédé de surveillance comprend une étape 600 de sauvegarde de données de la session d’entrainement dans une mémoire, qui peut être la mémoire 12 décrite précédemment. Les données de la session d’entrainement qui sont stockées dans la mémoire comprennent avantageusement:
- les données brutes reçues du calculateur 22 du simulateur 2,
- les données brutes reçues du dispositif de suivi oculaire 25,
- une indication de chaque règle vérifiée lors de la session d’entrainement (incluant les procédures et les exercices), et une indication du respect ou non de chaque règle, incluant par exemple l’ensemble des évènements générés pour la session

Eventuellement, ces données enregistrées peuvent également comprendre la ou les données générées par le calculateur 10 à partir des données brutes pour la vérification de chaque règle, et leur valeur pendant la vérification du respect de la règle correspondante. Elles peuvent également comprendre un enregistrement de la représentation graphique de la direction du regard dans le simulateur générée en temps réel.

Dans un mode de réalisation, le terminal de supervision 11, ou un autre terminal 11’, peut être connecté à la mémoire 12 pour charger les données relatives à une session d’entrainement, et permettre de rejouer ultérieurement la session d’entrainement telle qu’elle est affichée en temps réel sur le terminal de supervision lors de l’entrainement. Avantageusement, ce mode de lecture ultérieur permet également de naviguer dans le déroulement de la session d’entrainement, en arrêtant l’affichage sur un instant déterminé, en revenant en arrière ou en avant, etc. Cela permet à un instructeur ou à un opérateur de revoir une session d’entrainement particulière.

Enfin, de retour à la figure 1, on peut prévoir d’autoriser à un utilisateur la création de règles spécifiques pour les enregistrer dans la mémoire. Un procédé de génération de règle de commande peut alors être mis en œuvre par un terminal 30, le terminal pouvant être par exemple un ordinateur ou un terminal mobile tel qu’un téléphone ou une tablette, le terminal comprenant un calculateur, exécutant des instructions de code par exemple sous la forme d’une application logicielle, et une interface homme machine comme par exemple un écran tactile.

Le procédé mis en œuvre par le terminal 30 et représenté schématiquement sur la figure 6, comprend la réception 710 d’une requête de génération d’une règle de commande, qui est émise par un utilisateur. Cette requête peut comprendre au moins un paramètre d’état du système et/ou au moins une indication d’une action ou vérification à mettre en œuvre par l’opérateur, et une condition associée à ce paramètre ou cette action ou vérification. Cette requête peut également comprendre une condition d’application de la règle à créer, comprenant au moins un paramètre d’état du système et au moins une condition sur le paramètre.

Dans un mode de réalisation, des règles et des conditions de fonctionnement du système ou des situations spécifiques sont prédéfinies, et l’utilisateur du terminal 30 peut sélectionner ces conditions de fonctionnement ou situations comme conditions d’application d’une règle. En variante, l’utilisateur peut générer ces conditions d’application par lui-même.

Le procédé comprend ensuite la génération 720 d’une règle de commande à partir de la requête reçue. Dans un mode de réalisation, cette étape comprend la détermination, à partir du paramètre d’état ou de l’indication de l’action ou vérification contenu dans la requête, d’une variable pertinente pour le respect de la règle, et d’une condition sur la valeur de la variable pertinente. Le terminal 30 peut ainsi traduire une requête de création de règle transmise par un utilisateur un traitement à mettre en œuvre par le calculateur 10 pour vérifier le respect de la règle.

Si la requête comprend des conditions d’application de la règle, la génération de la règle de commande peut aussi comprendre une détermination d’au moins une variable pertinente et d’une condition sur la valeur de la variable pour correspondre aux conditions d’application.

Enfin, le procédé comprend l’enregistrement 730 de la règle ainsi définie dans la mémoire 12. Ce procédé peut être appliqué pour créer des exercices ou des procédures complets.

Claims (13)

1. Procédé de surveillance d’un entrainement d’au moins un opérateur dans un simulateur (2) d’un poste de commande d’un système, comprenant:
   - un ensemble de dispositifs (20) de commande du système aptes à être contrôlés par un opérateur,
   - un ensemble de dispositifs (21) de restitution d’informations d’état du système à l’opérateur,
   - un calculateur (22), adapté pour déterminer un état du système à partir de données reçues des dispositifs de commande, et pour commander les dispositifs de restitution d’information en fonction de l’état déterminé du système, et
   - au moins un dispositif (25) de suivi oculaire adapté pour détecter une direction de regard de l’opérateur,
   le procédé étant mis en œuvre par un calculateur (10) et étant caractérisé en ce qu’il comprend la mise en œuvre en temps réel des étapes suivantes:
   - la réception (200) de données relatives à l’état du système transmises par le calculateur du simulateur,
   - la réception (300) de données relatives à la direction du regard de l’opérateur, transmises par le dispositif de suivi oculaire, et
   - la mise en œuvre d’un traitement (400) sur les données reçues du simulateur et/ou du suivi oculaire, pour vérifier le respect d’au moins une règle de commande du système par l’opérateur.
2. Procédé de surveillance selon la revendication 1, dans lequel la vérification (400) du respect d’une règle de commande comprend la mise en œuvre d’étapes de:
   - réception (410) de la règle de commande,
   - détermination (420) d’au moins une variable pertinente à surveiller et d’au moins une condition sur la variable pour vérifier le respect de la règle,
   - surveillance (430) en temps réel de ladite au moins une variable pertinente à partir des données reçues du calculateur du simulateur et du dispositif de suivi oculaire et,
   - lorsque la condition sur la variable pertinente n’est pas vérifiée, génération (440) d’un évènement.
3. Procédé de surveillance selon la revendication 2, dans lequel chaque évènement généré comprend un ensemble d’informations comprenant au moins l’une des informations parmi le groupe suivant:
   - un identifiant,
   - un horodatage,
   - une catégorie d’évènement,
   - une indication de criticité de l’évènement
   - une évaluation de l’évènement,
   - une référence à la règle pour laquelle l’évènement a été généré,
   - une indication du type d’opérateur impliqué dans l’évènement.
4. Procédé de surveillance selon l’une des revendications précédentes, comprenant pour chaque entrainement la réception d’un programme d’entrainement prédéfini,
   dans lequel chaque programme d’entrainement comprend au moins un exercice comportant au moins une règle de commande et/ou au moins une procédure comprenant un ensemble de règles, le respect d’une procédure étant conditionné au respect de l’ensemble des règles composant la procédure.
5. Procédé de surveillance selon l’une des revendications précédentes, dans lequel au moins une règle correspond à une vérification visuelle d’un dispositif (21) de restitution d’information d’état du système,
   et le procédé comprend un traitement des données de direction du regard pour déterminer les zones observées par l’opérateur, et la détermination que la règle a été respectée, si les zones observées par l’opérateur comprennent une zone dans laquelle se trouve le dispositif (21) de restitution d’information à vérifier.
6. Procédé de surveillance selon l’une des revendications précédentes, comprenant en outre la génération d’une représentation graphique de la zone du simulateur observée par l’opérateur à partir des données de direction de regard de l’opérateur.
7. Procédé de surveillance selon l’une des revendications précédentes, comprenant en outre la transmission (500) en temps réel, par le calculateur à un terminal distant (11):
   - de données de direction du regard de l’opérateur,
   - d’au moins une règle courante à respecter, et une indication du respect de la règle,
   - d’une indication des règles précédentes non respectées.
8. Procédé de surveillance selon l’une des revendications précédentes, comprenant en outre une étape (600) de sauvegarde, dans une mémoire (30), des données reçues du calculateur (22) du simulateur, des données reçues du dispositif (25) de suivi oculaire, et d’une indication du respect ou non de chaque règle vérifiée lors de l’entrainement.
9. Dispositif de surveillance (1) d’un entrainement d’au moins un opérateur dans un simulateur (2) d’un poste de commande d’un système, comprenant:
   - un ensemble de dispositifs de commande (20) aptes à être contrôlés par un opérateur,
   - un ensemble de dispositifs de restitution d’informations (21) d’état du système,
   - un calculateur (22), adapté pour déterminer un état du système à partir de données reçues des dispositifs de commande, et pour commander les dispositifs de restitution en fonction de l’état déterminé du système, et
   - au moins un dispositif de suivi oculaire (25) adapté pour détecter une direction de regard de l’opérateur,
   le dispositif de surveillance étant caractérisé en ce qu’il comprend un calculateur (10) configuré pour mettre en œuvre le procédé selon l’une des revendications qui précèdent.
10. Dispositif de surveillance selon la revendication 9, comprenant en outre un terminal de supervision (11) adapté pour communiquer à distance avec le calculateur (10), le terminal de supervision comprenant un écran, et dans lequel le terminal de supervision est adapté pour afficher au moins l’une des informations suivantes:
    - une représentation graphique de la zone du simulateur observée par l’opérateur,
    - au moins une règle en cours de vérification,
    - une indication d’au moins une règle non vérifiée pendant l’entrainement.
11. Dispositif de surveillance selon l’une des revendications 9 ou 10, comprenant en outre une mémoire (12), adaptée pour communiquer avec le calculateur (10), la mémoire stockant un ensemble de règles de commande du système et/ou un ensemble de données de sessions d’entrainement d’opérateurs, comprenant pour chaque session d’entrainement, les données d’état du système et de direction du regard reçues par le calculateur durant l’entrainement, et pour au moins une règle de commande, une indication du respect de ladite règle.
12. Procédé de génération de règle de commande d’un système pour la surveillance d’un entrainement d’un opérateur dans un simulateur d’un poste de commande du système, le procédé étant mis en œuvre par un terminal (30) et comprenant:
    - la réception d’une requête de génération de règle comprenant au moins un paramètre d’état du système et/ou au moins une action ou vérification à mettre en œuvre par l’opérateur, et au moins une condition associée,
    - la génération d’une règle de commande à partir de la requête, comprenant la détermination d’au moins une variable pertinente à surveiller et d’une condition sur ladite variable, et
    - l’enregistrement de la règle de commande dans une mémoire (12).
13. Produit programme d’ordinateur, comprenant des instructions de code pour la mise en œuvre du procédé selon l’une des revendications 1 à 8 ou 12, quand il est mis en œuvre par un calculateur.