Brevet FR2989163A1 — publié le 20131011

Système embarqué d'aide au pilotage d'un aéronef, basé sur un système GNSS, à architecture redondante et dissimilaire pour niveau d'intégrité élevé L'invention a pour objet un système embarqué d'aide au pilotage d'un aéronef, de type connu sous l'acronyme anglo-saxon GLS (GNSS Landing System). En particulier, elle concerne l'aide au pilotage en phase d'approche, c'est-à-dire la phase qui précède l'atterrissage de l'aéronef. Le domaine de l'invention est celui des systèmes d'aide au pilotage 10 basés sur l'utilisation de systèmes GNSS. Un système d'aide au pilotage de type GLS permet la fourniture d'écarts de guidage angulaire et métrique le long d'une trajectoire d'approche d'un aéronef vers une piste d'un aéroport d'une qualité suffisante pour 15 permettre l'atterrissage et le roulage automatique de l'avion dans des conditions de visibilité quasi nulles. Ces écarts de guidage sont élaborés à partir d'un positionnement en trois dimensions de l'aéronef obtenu grâce à un système GNSS (Global Navigation Satellite System) différentiel de type GBAS (Ground Based 20 Augmentation System). Le positionnement fourni par le système GBAS est rapporté à la trajectoire idéale tridimensionnelle que doit suivre l'avion pour l'amener sur la piste. En fonction du niveau de visibilité à l'atterrissage, plusieurs catégories de procédures d'approche sont définies. Une approche dite de catégorie I ne 25 permet pas d'aller jusqu'à l'atterrissage mais uniquement d'approcher la zone d'atterrissage jusqu'à une hauteur dite de décision de 100 pieds. Une approche de catégorie I présente des exigences de sécurité quantifiées par un risque de fourniture de sorties erronées non détectées inférieure à 10-7 par heure. 30 Au contraire, pour une approche dite de catégorie III, se déroulant à proximité du sol, et dans des conditions de visibilité qui peuvent être très réduites, le système GLS doit garantir un taux de sorties erronées non détectées inférieur à 10-9 par heure. Par sorties, on entend l'ensemble des mesures d'écarts de guidage fournies par un système GLS pour l'aide à la navigation en phase d'approche. Il existe donc un besoin pour concevoir un système GLS à très fort niveau d'intégrité garanti pour être compatible des besoins d'une phase d'approche de catégorie III. Les solutions connues pour concevoir des systèmes GLS sont le plus 10 souvent uniquement compatibles des procédures d'approche de catégorie I, c'est-à-dire qu'elles ne permettent pas de garantir un taux d'erreurs non détectées en sortie suffisamment faible. On distingue deux types d'architecture de systèmes GLS connus. Un premier type d'architecture, à base de récepteur GNSS simple chaîne, est 15 représenté à la figure 1. Elle consiste essentiellement en un récepteur GNSS 101, par exemple de type GPS ou GPS/SBAS (Satellite Based Augmentation System) relié d'une part, par l'intermédiaire de moyens d'amplification et de filtrage 103, à une antenne 102 de réception de signaux de radionavigation par satellite GPS ou GPS/SBAS, et d'autre part à un décodeur 105 de type 20 VDB (VHF Data Broadcast) qui reçoit, par l'intermédiaire d'une antenne VHF 104, des signaux de type GBAS (Ground Based Augmentation System) émis par une station au sol. Le décodeur VDB 105 transmet au récepteur GNSS 101 un ensemble de corrections, encore appelées données d'augmentation, qui permettent d'améliorer la fiabilité des signaux GNSS par ailleurs reçus via 25 l'antenne 102. Le récepteur GNSS 101 réalise, à partir des signaux GNSS et des corrections GBAS, d'une part une fonction de navigation 111 et d'autre part une fonction d'approche 112 ainsi qu'une fonction de surveillance 113. La fonction de navigation 111 délivre en sortie un ensemble de mesures de Position, Vitesse et Temps permettant l'aide à la navigation. La fonction d'approche 112 délivre en sortie un ensemble de mesures similaires ou de déviations permettant l'aide à l'atterrissage en phase d'approche. Enfin, la fonction de surveillance 113 est utilisée pour garantir un risque d'intégrité adapté à des opérations à criticité limité, par exemple des opérations de type « Major » pour la navigation ou « Hazardous » pour l'approche. Pour ce type d'opérations, le risque d'intégrité lié à une panne matérielle du récepteur doit être limité à 10-7/ h comme expliqué ci-dessus. Une solution simple chaine du type de celle représentée à la figure 1 ne permet pas de répondre aux exigences de sécurité des opérations dont le niveau de risque d'intégrité est plus contraignant, par exemple des opérations classées « catastrophic » pour lesquelles le risque d'intégrité doit être inférieur à 10-9/ h. En effet, pour atteindre de telles exigences de sécurité, il faut que la probabilité qu'une panne simple entraine un défaut d'intégrité soit négligeable par rapport au risque d'intégrité de 10-9/ h. En prenant un facteur 1000, la probabilité d'apparition d'une panne simple impactant l'intégrité devrait être inférieure à 10-12/ h, ce qui n'est pas atteignable. Les solutions basées sur l'utilisation d'une chaine simple ne sont pas protégées contre une panne simple car elles ne définissent pas de moyen de surveillance externe permettant de détecter cette panne. Les approches de catégorie III sont classées « catastrophic » et ne peuvent donc être mises en oeuvre par ce type de solution simple chaine. Un second type d'architecture, basé sur un mécanisme de double 25 chaîne de modules GNSS est représenté à la figure 2. Les éléments identiques aux architectures des figures 1 et 2 sont identifiés par les mêmes références. Un second module GNSS 201, encore appelé seconde chaine, est associé au premier récepteur GNSS 101 afin d'améliorer l'intégrité de 30 l'ensemble. Pour cela, une comparaison croisée des sorties de chaque fonction d'approche 112,212 est réalisée via deux comparateurs 211,213. Un critère simple permet de supprimer les mesures d'écarts de guidage qui sont trop dissemblables entre les deux modules. Une surveillance allégée 214,215 est réalisée dans chaque module GNSS 101,201 mais elle ne permet de garantir un risque d'intégrité adapté que pour des opérations de catégorie I. La deuxième chaine 201 constitue un mécanisme de surveillance externe de la première chaine 101, cependant cette solution ne garantie pas l'indépendance des deux chaines. En effet, mettre deux chaînes en parallèle sans s'assurer de leur dissimilarité protège seulement des défauts d'intégrité liés à de la variabilité en fabrication et en fiabilité des composants mais ne garantit pas la détection des défauts d'intégrité liés à des erreurs de conception révélées par un même événement externe. On peut citer comme exemples d'évènements externes non détectés par la solution de la figure 2: Défaillance de composants électroniques liée à un environnement spécifique en vibration, en accélération ou en température : dans les récepteurs GNSS, les filtres, oscillateurs, amplificateurs sont sensibles à ces phénomènes et peuvent entraîner des défauts d'intégrité, Défaillance des fonctions d'alimentation liée à un fonctionnement perturbé des étages d'alimentation primaire alimentant les deux récepteurs 101,201, Défaillance des fonctions GNSS liée à une configuration spécifique et inattendue par le récepteur du système GNSS, par exemple concernant la modulation du signal, le Doppler perçu par le récepteur, la géométrie spécifique de la constellation ou un instant particulier de réception des signaux, Défaillance des fonctions GNSS liée à une configuration spécifique et inattendue par le récepteur de l'avion Défaillance des fonctions GNSS liée à un environnement spécifique et inattendu (dynamique, attitude, position, temps courant...) par le récepteur d'interférence et/ou de trajets multiples, Défaillance des fonctions d'approche liée à une configuration spécifique et inattendue par le récepteur de la station sol et des corrections émises (identification, authentification, segment d'approche (FAS), corrections émises...), Pour l'ensemble des exemples donnés précédemment, un événement unique peut révéler un même défaut de conception sur les deux chaînes 101,201, rendant complètement inopérant les fonctions de comparaison, car les deux chaînes peuvent produire un défaut d'intégrité fortement similaire et par conséquent non détectable par un simple comparateur. Cette faiblesse est rédhibitoire pour des opérations d'approche de catégorie III classées « Catastrophic » pour deux raisons. Tout d'abord, une panne simple peut entraîner une erreur non détectée en sortie de la chaîne double. D'autre part, la dépendance des deux chaînes à des pannes communes limite considérablement le gain atteignable sur le risque d'intégrité et ne permet pas d'atteindre le taux de pannes non détectées de 10-9/h attendu. Ce problème peut être illustré par l'équation suivante, et en introduisant les variables suivantes : - HMI le risque d'intégrité assuré, HMIc le risque d'intégrité commun aux deux récepteurs, lié à des défauts de conception, HMIRxl le risque d'intégrité propre au premier récepteur 101, HMIRX2 le risque d'intégrité propre au second récepteur 201, P la probabilité de non-détection d'un défaut d'intégrité par comparaison des résultats fournis par les deux récepteurs 101,201, On a: HMI = HMIC + P.(IIMI Rxi + HMI R,2 + HMIR,i.HMI R,2) L'équation ci-dessus traduit le fait que le principe de chaîne double ne permet de réduire que les risques d'intégrité HMIRX1, HMIRx2 indépendants entre les deux récepteurs 101,201 en agissant sur la probabilité P. Par contre les risques d'intégrités communs HMIc ne peuvent pas être supprimés. Ainsi, les solutions existantes ne permettent pas de limiter le risque d'intégrité au niveau de sécurité nécessaire à l'opération d'approche de catégorie III. L'invention vise à concevoir un système GLS qui permet d'obtenir le niveau d'intégrité suffisant pour garantir le risque de fourniture d'une information erronée non détectée au niveau souhaitée pour des opérations 15 d'approche de catégorie III. L'invention permet également d'éviter qu'une panne simple ne génère une information erronée non détectée. L'invention a ainsi pour objet un dispositif de réception de signaux de radio-navigation, pour l'aide au pilotage d'un aéronef, caractérisé en ce qu'il 20 comprend un premier module GNSS maitre et un second module GNSS esclave dissimilaires, le premier module GNSS maitre comprenant un premier moyen de traitement des signaux de radio-navigation et un premier moyen de calcul de données de guidage à partir des mesures fournies par ledit premier moyen de traitement des signaux, le second module GNSS 25 esclave comprenant un second moyen de traitement des signaux de radionavigation et un second moyen de calcul de données de guidage à partir des mesures fournies par ledit second moyen de traitement des signaux, chaque module GNSS comprenant en outre un moyen de comparaison entre les sorties Xgi ,Xg2 desdits premier et second moyen de calcul de données de 30 guidage adapté à exécuter le test d'intégrité suivant : kg1 Xg2 > K g liVariance(X gi- X g2) et à conclure à un défaut d'intégrité si ledit test d'intégrité est vérifié, Kg étant un seuil de détection prédéterminé de sorte à obtenir une probabilité donnée Pnd de détection d'une erreur impactant l'une ou l'autre, ou les deux 5 mesures Xgi ,Xg2 simultanément et une probabilité de fausse alarme Pfa donnée. Selon un aspect particulier de l'invention, le seuil de détection Kg est déterminé à partir des deux inégalités suivantes : cc 1 D - fa et K-'11" g Kg , Vmax(Variance(Xgl),Variance(X g 2 ))-Covariance(X gi,X g 2 ) -CO VAL 10 P nd L'asynchronisme est, par exemple, compensé en calculant la différence L\POS des positions horizontales Pa,Pb fournies par les premier et second moyen de calcul de données de guidage comme suit : APOS = Pb - -Va.(7;, -Ta) avec Va une mesure de vitesse fournie par le premier moyen de calcul de données de guidage, Ta une mesure de temps fournie par le premier moyen de calcul de données de guidage et Tb une mesure de temps fournie par le second moyen de calcul de données de guidage. L'asynchronisme peut aussi être compensé en synchronisant, les 10 données de guidage calculées sur une composante caractéristique du signal de radio-navigation reçu. Selon un autre aspect particulier de l'invention, les premier et second modules GNSS présentent une dissimilarité matérielle et/ou logicielle. Selon un autre aspect particulier de l'invention, les premier et second 15 modules GNSS sont similaires matériellement mais mettent en oeuvre les traitements numériques dissimilaires suivants : filtrages numériques différents, corrélateurs différents, allocation de plans de fréquences différents. Dans une variante de réalisation, le dispositif selon l'invention comprend 20 une antenne et un préamplificateur distincts pour alimenter chaque module GNSS de sorte à limiter les sources communes de défaut d'intégrité. Dans une autre variante de réalisation de l'invention, le test d'intégrité est modifié comme suit : - X g21> K g..'1Variance(X - X g2) +b 25 avec b un biais de mesure calculé à partir de la connaissance a priori de la distance entre les deux antennes. Dans une autre variante de réalisation, le dispositif selon l'invention comprend une antenne, un moyen de division de la puissance du signal reçu par l'antenne et deux préamplificateurs distincts pour alimenter chaque 30 module GNSS de sorte à limiter les sources communes de défaut d'intégrité. L'invention a également pour objet un récepteur multimode pour l'aide à la navigation d'un aéronef comprenant un système d'atterrissage aux instruments ILS et un dispositif de réception de signaux de radio-navigation selon l'invention pour la mise en oeuvre d'une fonction d'aide à l'atterrissage GLS en phase d'approche. L'invention a encore pour objet un système hybride d'aide à la navigation comprenant un récepteur multimode comprenant un système d'atterrissage aux instruments ILS et un système inertiel à hybridation GNSS-IRS comprenant un système inertiel IRS produisant des données inertielles et un moyen d'hybridation de données de navigation GNSS par lesdites données inertielles, caractérisé en ce qu'il comporte en outre un dispositif de réception de signaux de radio-navigation selon l'invention dont le premier module GNSS maitre est intégré dans ledit système inertiel pour fournir lesdites données de navigation GNSS et le second module GNSS esclave est intégré dans ledit récepteur multimode. D'autres caractéristiques et avantages de la présente invention apparaîtront mieux à la lecture de la description qui suit en relation aux dessins annexés qui représentent : La figure 1, l'architecture d'un système GLS simple chaine selon l'art antérieur, La figure 2, l'architecture d'un système GLS double chaine selon l'art antérieur pour des opérations d'approche de catégorie I, La figure 3, l'architecture d'un équipement MMR selon l'art antérieur, La figure 4, l'architecture d'un système GLS selon l'invention dans un premier mode de réalisation relatif à sa mise en oeuvre dans un équipement MMR, La figure 5, l'architecture d'un système GLS selon l'invention dans un deuxième mode de réalisation relatif à sa mise en oeuvre dans un équipement GIRS, La figure 6, l'architecture d'un système GLS selon l'invention dans un troisième mode de réalisation relatif à sa mise en oeuvre dans un récepteur GNSS autonome, La figure 7, un schéma illustrant le calcul de la variance d'erreur sur la position horizontale pour la mise en oeuvre de la fonction de comparaison des données de guidage délivrées par chaque chaine GNSS du système selon l'invention, Les figures 8a,8b,8c, trois exemples d'architectures mono ou bi antennes pour système GLS simple ou double chaine, La figure 9, une illustration des paramètres nécessaires à l'établissement d'une phase d'approche. Architecture connue d'un récepteur multimode MMR implémentant une fonction d'aide à l'approche GLS La figure 3 schématise l'architecture connue d'un récepteur multimode MMR pour la mise en oeuvre de fonctions d'aide à la navigation et à l'atterrissage, notamment en phase d'approche. La fourniture d'écart de guidage permettant le contrôle automatique de l'avion pour des phases d'approche et atterrissage de catégorie III n'est actuellement possible qu'en traitant à bord de l'avion des signaux radio électriques émis par des balises sols dans le cadre de mécanismes d'atterrissage de type ILS (Instrument Landing System) ou MLS (Microwave Landing System). Ces signaux sont traités par des récepteurs de signaux VHF (Very High Frequency) et UHF (Ultra High Frequency) composés d'un module de réception analogique 301 qui permet de convertir et numériser les signaux radioélectriques reçus par une antenne VHF ou UHF 302, et d'un module de calcul 303,304 qui permet la transformation des signaux numérisés en mesures d'écart de guidage transmis aux systèmes utilisateurs au moyen d'un bus de communication numérique. Ces modules de traitement sont communément intégrés dans un équipement dit MMR (Multi Mode Receiver). Pour garantir l'intégrité du signal de sortie, et compte tenu de la fiabilité limitée des éléments de calculs numériques, le module de calcul des écarts de guidage est en général constitué de deux calculateurs différents 303,304 dont les éléments sont comparés en continu, par un comparateur 305, pour détecter les anomalies de fonctionnement. Pour éviter le risque de mode commun aux deux calculateurs 303,304, des dissimilarités matérielles et logicielles sont amenées dans la conception de ces deux calculateurs. Un équipement MMR est par ailleurs également destiné à supporter la fonction d'aide à l'atterrissage GLS. Pour cela il intègre en plus des modules nécessaires à la fourniture des informations de guidages en mode ILS ou MLS, un module GNSS 306 qui reçoit les signaux émis par les satellites de radionavigation par le biais d'une antenne satellite 307, ainsi qu'un module VDB 308 qui permet la réception des messages émis par une station sol GBAS. La localisation autonome issue de la réception des signaux satellites n'a pas les performances suffisantes pour guider l'avion pendant la phase d'approche et atterrissage. Le rôle de la station sol GBAS est principalement de diffuser des messages de corrections nécessaires à l'augmentation de performance d'un récepteur GNSS autonome, ainsi que de diffuser les trajectoires d'approches utilisables sur un aéroport à un moment donné. La fonction GLS n'est utilisable, dans les systèmes actuels, que pour supporter des opérations d'approche dite de catégorie I qui sont d'une moindre criticité que les opérations de catégorie III, et pour lesquels les exigences de sécurité sont moins contraignantes La fonction GLS est donc supportée par un calculateur GNSS simple chaîne, comportant un module analogique radio fréquence (non représenté) permettant d'amplifier et de numériser les signaux radio électrique émis par les satellites, et un module de calcul 309 permettant d'extraire des signaux numérisés les données émises par les satellites et les mesures de distance à ces satellites afin de fournir des mesures d'écarts de guidage 310. Alternativement, un système d'augmentation par satellite SBAS peut également être exploité pour fournir des mesures d'écarts de guidage 311 alternatives. Le choix est laissé à l'utilisateur, par le biais d'un interrupteur de sorties 312 qui permet de commuter sur les mesures d'écarts de guidage respectivement fournies par le système ILS, le système GLS augmenté via un système GBAS ou le système GLS augmenté via un système SBAS. Enfin, le récepteur GNSS 306 comporte également un module de calcul de position pour la navigation 313 qui bénéficie également des corrections apportées par les systèmes GBAS ou SBAS. Les mesures fournies par la navigation ne concernent cependant pas la phase d'approche et sont introduites à titre indicatif. Les messages issus d'un système d'augmentation GBAS et transmis par une station sol contiennent notamment les informations suivantes, dans le cas 15 spécifique d'un système de radionavigation GPS : des corrections émises par une station sol GPS monofréquence L1 qui permettent, lorsqu'elles sont appliquées aux signaux GPS de fréquence L1 reçus à bord de l'avion, de garantir la précision et l'intégrité requise pour des approches de catégorie I à III, 20 les données définissant le chemin que doit suivre l'avion en phase d'approche et d'atterrissage. Ce chemin est utilisé par le récepteur GPS pour déterminer l'écart latéral et vertical entre la position calculée de l'avion et le chemin à suivre. Ces messages GBAS sont émis en fréquence VHF, reçus par l'antenne VHF 25 302 du système MMR, démodulé par le module analogique 301 et décodés par le décodeur VDB 308. Le récepteur émet des écarts de guidage latéral et vertical « GLS GAST-C » (pour des approches de catégorie I) ou « GLS GAST-D » (pour des approches de catégorie I à III). Le récepteur MMR choisit, par le biais de l'interrupteur 312, entre les différentes sources d'écart de guidage sur commande du pilote de l'avion entre des écarts calculés à partir du faisceau ILS (ou MLS), des écarts calculés à partir de données satellite GPS corrigées par des données satellite SBAS (SLS) et des écarts calculés à partir de données satellite GPS corrigées par des données de la station sol de l'aéroport GBAS (GLS). Le récepteur GNSS 306 émet des sorties pour la navigation 314 constituées d'une position horizontale pour localiser l'avion et d'une vitesse utilisée par les fonctions ADS-B (« Automatic Dependent Surveillance Broadcast ») de l'avion. Ces sorties pour la navigation 314 sont actuellement calculées à partir des signaux GPS monofréquence L1 reçus corrigés soit par les données de la station sol GBAS, soit par les données satellite SBAS en fonction de leur disponibilité. De nouvelles constellations, par exemple celles du système européen GALILEO, et de nouvelles fréquences d'émission des satellites (fréquence L5 en plus de la fréquence L1) permettent d'améliorer la disponibilité, la précision, la continuité et l'intégrité de la localisation et de la vitesse de l'avion. Comme déjà explicité ci-dessus, l'architecture mono chaîne selon la figure 3 20 vis à vis de la fonction GLS ne permet pas de délivrer les signaux à haute intégrité capable de supporter des approches de type catégorie III, compte tenu du risque d'erreur non détectée du module GNSS 306. Architecture d'un récepteur multimode MMR implémentant une fonction 25 d'aide à l'approche GLS à fort niveau d'intégrité selon l'invention La figure 4 décrit l'architecture d'un récepteur MMR selon l'invention implémentant une fonction d'aide à la navigation GLS. Les éléments communs entre les architectures des figures 3 et 4 sont identifiés par les 30 mêmes références. Le récepteur GNSS 306 de l'architecture représentée à la figure 3 est remplacé par un récepteur GNSS 401, selon l'invention, qui s'intègre dans la structure habituelle d'un dispositif MMR existant pour le rendre compatible des capacités d'approche et d'atterrissage en mode GLS catégorie III. Le récepteur GNSS 401 comprend deux modules GNSS 402,403, dissimilaires, fonctionnant selon une configuration maitre-esclave. Le récepteur GNSS 401 est conçu sur la base d'une carte support qui supporte physiquement les deux modules GNSS, 402,403 et qui assure l'interface mécanique et électrique du module avec l'équipement hôte. Par interface électrique, on entend notamment les alimentations du module, la connexion antenne, les bus de données numériques et les entrées/sorties discrets numériques. Cette carte intègre un interrupteur 405 sur le bus numérique qui achemine les informations calculées pour les besoins de la fonction d'aide à l'atterrissage GLS. Cet interrupteur 405 est activé par un « ou logique » de discrets de commandes produites par chacun des deux modules GNSS 402,403. Un premier module GNSS 403 maître est adapté à recevoir et traiter des signaux GNSS en provenance de plusieurs constellations de satellites de radionavigation, par exemple les constellations du système GPS ou celles du système GALILEO, et émis sur plusieurs fréquences différentes. Il comprend au moins, un module 431 de traitement du signal de radionavigation et d'extraction des données de radionavigation GNSS ou GNSS augmentées par un système SBAS. A partir des mesures fournies par ce premier module 431 de traitement de signal, un deuxième module 432 exploite ces mesures pour fournir des informations de position utiles pour l'aide à la navigation, un troisième module 433 délivre des données de guidage à partir des mesures GNSS augmentées par les corrections fournies par un système d'augmentation SBAS et un quatrième module 434 délivre des données de guidage à partir des mesures GNSS augmentées par les corrections fournies par un système d'augmentation au sol GBAS. L'invention concerne plus précisément le quatrième module 434 dont les sorties sont exploitées pour mettre en oeuvre la fonction d'aide en procédure d'approche GLS. Un second module GNSS 402, fonctionnant en mode esclave par rapport au premier module GNSS 403, comporte également un module 421 de traitement de signal de radionavigation et d'extraction des données de radionavigation GNSS et un module 422 qui délivre des données de guidage à partir des mesures GNSS augmentées par les corrections fournies par un système d'augmentation au sol GBAS. Avantageusement le second module GNSS 402 est un module compatible d'un seul type de constellations GNSS et d'une seule fréquence. La fonction première de ce module esclave 402 est le contrôle de la chaîne primaire 403 de la fonction d'approche GLS. Chaque module GNSS comporte en outre un comparateur 435,423 apte à comparer les données de guidage fournies par chaque module. Une comparaison croisée est ainsi réalisée, chaque comparateur 435,423 délivrant une information en direction de l'interrupteur 405 concernant l'intégrité de la mesure délivrée par le module 434 de calcul de données de guidage du module GNSS 403 maitre. Une comparaison croisée est réalisée afin de se prémunir contre une panne impactant l'un des deux comparateurs 423,435. Dans le cas d'utilisation d'un seul comparateur, une panne sur ce comparateur peut entraîner l'absence de signalement d'un défaut d'intégrité sur la sortie des données de guidage. Avantageusement, le module GNSS 403 maitre fournit au module 25 GNSS 402 esclave, l'ensemble des données permettant de le faire fonctionner en mode esclave. La carte support du récepteur GNSS 401 selon l'invention assure également la communication entre l'ensemble des fonctions implémentées entre les deux modules GNSS 402,403. 30 Traitements nécessaires au fonctionnement du module GNSS maitre 403 Le module GNSS maitre 403 effectue tous les traitements nécessaires à un fonctionnement autonome d'un récepteur GNSS. En particulier, il exécute l'acquisition et la poursuite des signaux multi fréquence et multi constellation, le décodage des messages GNSS, le calcul de la position pour la navigation, ainsi que le calcul de la position et des écarts de guidage GBAS. Pour l'élaboration des écarts de guidage GBAS, le module GNSS maitre 403 doit mettre en oeuvre l'ensemble des traitements standards qu'on rappelle ici. En particulier il doit réaliser le filtrage, l'amplification et l'échantillonnage du signal de radionavigation reçu, l'identification de la liste des satellites GNSS visibles par le récepteur à partir des données à disposition du récepteur (almanachs ou éphémérides issus des messages décodés transmis par les satellites GNSS, position estimée connu de l'avion...). Le module GNSS maitre 403 doit en outre rechercher et poursuivre les signaux GNSS des satellites GNSS visibles à l'aide d'une réplique locale du signal à recevoir, élaborer les mesures de pseudodistance nécessaires au calcul des données de position vitesse temps, encore appelées données PVT, à partir de la phase porteuse et de la phase code de la réplique locale asservie sur le signal reçu, démoduler et extraire les messages transmis par les signaux GNSS qui contiennent les paramètres nécessaires au calcul de la position exacte du satellite reçu (éphémérides et paramètres d'horloge satellite), vérifier l'intégrité des messages VDB décodés à l'aide des données contenues dans le message VDB, corriger et identifier les pseudo-distances valides à l'aide des données contenues dans le message VDB, calculer et valider la solution de données PVT (Position, Vitesse et Temps) à partir des pseudo-distances corrigées, estimer l'incertitude des données PVT calculées, calculer la déviation latérale et verticale entre la solution PVT calculée et le chemin d'approche décrit dans le message VDB. Enfin lé comparateur 435 doit contrôler la validité des mesures de déviation en comparant les données calculées par le récepteur maitre 403 aux données calculées par le récepteur esclave 402. Fonctionnement maitre-esclave entre les deux modules GNSS 5 403,403. Le module GNSS 403 maitre transmet au module GNSS 402 esclave certaines informations de façon à ce qu'il n'ait pas à mettre en oeuvre des traitements redondants déjà exécutés par le module maitre. En particulier, la liste des satellites visibles est transmise au module esclave ainsi que les 10 messages extraits des signaux GNSS reçus, tels les éphémérides et les paramètres d'horloge satellite. A partir de ces informations, le module GNSS 402 esclave réalise les traitements suivants : le filtrage, l'amplification et l'échantillonnage de la bande fréquentielle GNSS, la recherche et la poursuite des signaux GNSS 15 des satellites visibles, en fonction des données transmises par le module maitre 403 et à l'aide d'une réplique locale du signal à recevoir. Le module esclave élabore ensuite les mesures de pseudo-distances nécessaires au calcul PVT pour la fonction GLS à partir de la phase porteuse et de la phase code de la réplique locale asservie sur le signal reçu. Il vérifie l'intégrité des 20 messages issus du module maitre 403 à l'aide des données contenues dans le message VDB, corrige et identifie les pseudo-distances valides à l'aide des données contenues dans le message VDB, calcule et valide les mesures PVT à partir des pseudo-distances corrigées, estime l'incertitude impactant les mesures PVT calculées, calcule la déviation latérale et verticale entre la 25 mesure PVT calculée et le chemin d'approche décrit dans le message VDB et enfin contrôle la validité de la déviation latérale en comparant 423 les données calculées par ce module esclave 402 aux données calculées par le module maitre 403. 30 Afin d'assurer un fonctionnement optimal, les traitements redondants entre les deux modules GNSS sont supprimées. En particulier, les traitements réalisés par le module GNSS esclave 402 ne servent qu'à vérifier l'intégrité des données de guidage GLS fournis avec un temps d'alerte inférieur à un temps prédéterminé de l'ordre de deux secondes. En particulier, les contraintes de filtrage (en largeur de bande, en 5 raideur de la réjection hors bande et en variation de temps de groupe dans la bande) et les contraintes sur le corrélateur utilisé pour asservir les signaux locaux générés par le récepteur aux signaux GNSS transmis par les satellites peuvent être relâchées. En outre, la contrainte de période de rafraîchissement des calculs de mesure PVT et de déviation à peut 10 également être relâchée et ramenée à une période compatible du temps d'alerte de deux secondes. Ainsi, le second module GNSS 402 n'effectue que les traitements nécessaires pour élaborer un deuxième jeu de données de guidage pour comparaison avec le premier jeu fourni par le premier module 403 dans un 15 but de renforcer l'intégrité de ces mesures. Chacun des deux modules 402,403 effectue la comparaison croisée des mesures fournies pour commander l'interrupteur 405 de coupure d'émission des déviations GLS. 20 L'architecture proposée reste valide aussi bien dans le cas où le récepteur fournirait directement les déviations GLS ou bien dans le cas où le récepteur fournirait les positions différentielles corrigées par les données GBAS. Dans ce dernier cas, le calcul des déviations et le contrôle des déviations calculées est réalisé respectivement dans les calculateurs 25 303,304 du système ILS. Le récepteur GNSS 401 selon l'invention est avantageusement adapté à une intégration dans un dispositif multi mode MMR dont l'architecture est décrite à la figure 4. Dans d'autres variantes de réalisation de l'invention, décrites aux 30 figures 5 et 6, il peut également être intégré dans un système hybride GNSS- référence inertielle de type GIRS ou fonctionner en tant que récepteur GNSS autonome. La figure 5 schématise l'architecture d'un système conjoint MMR et 5 GIRS. Les éléments communs déjà décrits aux figures 3 et 4 sont numérotés avec les mêmes références. Le récepteur GNSS maitre 403 implémente deux fonctions en parallèle. D'une part, une fonction de navigation GNSS 433 dont les sorties peuvent être hybridées avec des systèmes inertiels (IRS) pour augmenter les 10 performances de disponibilité, d'intégrité et de continuité de la navigation et d'autre part une fonction d'approche GNSS 434 dont les sorties sont sélectionnées ou non par un interrupteur 312 en fonction du type d'approche demandé par l'utilisateur, à savoir ILS, MLS ou GLS. Pour une application de type MMR telle que décrite à l'appui de la 15 figure 4, l'intégration de la double chaîne GNSS, selon l'invention, dans le dispositif MMR permet d'optimiser la mise en oeuvre de la fonction d'approche GNSS, celle-ci étant placée à proximité des fonctions d'approche ILS/MLS et du calculateur 312 de sélection des sorties. Cependant, elle n'optimise pas la mise en oeuvre de la fonction de navigation du fait de 20 l'absence de proximité avec un système inertiel IRS externe. L'architecture décrite à la figure 5 est adaptée pour approcher la fonction GNSS de navigation 434 d'un système inertiel IRS 504. L'ensemble formé du module GNSS maitre 403, du système inertiel IRS 504 ainsi que d'un calculateur 503 d'hybridation des données de navigation constitue un 25 équipement 502 appelé GIRS (GNSS-Inertial Reference System). L'intérêt de cette architecture est d'optimiser l'intégrité, la continuité et la disponibilité de la solution de navigation du fait du rapprochement de la fonction GNSS avec la fonction inertielle. L'utilisation conjointe d'un équipement 502 GIRS et d'un équipement 501 MMR permet d'assurer la dissimilarité des traitements 30 GNSS nécessaire aux opérations d'approche en catégorie III. Cela permet d'optimiser la fonction d'approche GNSS en la plaçant à proximité de l'équipement MMR et la fonction de navigation en la plaçant à proximité du système inertiel 504. Cette architecture constitue une variante de mise en oeuvre de l'invention. La figure 6 schématise une autre variante de mise en oeuvre de l'invention pour laquelle le récepteur GNSS 601 selon l'invention est conçu pour un fonctionnement autonome. Dans ce cas les équipements relatifs au système ILS sont externes au récepteur GNSS 601 lui-même. Une différence avec la mise en oeuvre dans un équipement MMR est que l'interrupteur 312 est interne au récepteur GNSS 601 alors qu'il est externe dans le cas d'une implémentation dans un système multi-mode MMR. Mise en oeuvre de la fonction de comparaison des données GLS de chaque module GNSS. On décrit à présent plus en détail la mise en oeuvre du comparateur 423,435 des données produites par chaque module GNSS 402,403. L'objectif de cette comparaison est à la fois de limiter le taux de pannes non détectées lorsque celles ci impactent l'un ou l'autre des modules mais également lorsque les deux modules sont simultanément impactés par une erreur dont la source est commune. Les données produites par chaque module GNSS dont l'intégrité doit être surveillée sont notamment, mais pas exclusivement, les données suivantes : la position horizontale différentielle GBAS, le cap de la piste d'atterrissage sélectionnée, la déviation latérale linéarisée, la déviation verticale linéarisée, la distance verticale au LTP/FTP, la déviation latérale, la déviation verticale, la distance au seuil de piste et les paramètres d'approche tel que l'angle d'approche, la piste d'atterrissage sélectionnée, ou le service GBAS d'approche actif. Par la suite, on désignera par données de guidage, l'ensemble des données fournies par chaque module GNSS, dont notamment les données listées ci-dessus, et dont l'intégrité doit être surveillée. Lorsque les deux chaines de traitement GNSS utilisent les mêmes signaux GNSS et donc les mêmes mesures satellite, les erreurs liées à des défauts communs aux deux chaines s'annulent lorsqu'on calcule la différence entre les données de guidage produites par les deux chaines. Cependant, chacun des deux modules GNSS possède sa propre horloge ou base de temps locale et les calculs réalisés le sont à des instants indépendants. Ainsi, lorsqu'on calcule la différence entre les données de guidage produites par chaque chaine, une erreur résiduelle apparait due à l'asynchronisme des mesures réalisées par chaque module. Par exemple, dans le cas où la donnée de guidage est une position 15 horizontale, la différence APOS entre les deux positions horizontales calculées subit un écart lié à cet asynchronisme et à la dynamique de l'avion qui peut être quantifiée par la relation suivante : Erreur(APOS)=VAT+-1a.AT2 + 6 j.AT3 + e 2 V est la vitesse horizontale de l'avion, a est l'accélération horizontale de 20 l'avion, j est la sur-accélération horizontale de l'avion, e est la dynamique résiduelle de plus haut degré, considérée comme négligeable et AT est l'écart temporel introduit par l'asynchronisme des calculs entre les deux modules GNSS. En pratique, le décalage AT est de l'ordre de 100 ms ce qui peut entrainer un 25 écart entre les deux positions mesurées qui peut atteindre 41,2m en navigation et 12,8 m en approche. On présente à présent deux méthodes permettant de compenser l'erreur résiduelle Erreur(APOS). Une première méthode consiste à utiliser la vitesse horizontale calculée afin de compenser l'écart de temps entre les deux positions horizontales calculées. Pour cela, si le premier module GNSS fournit un jeu de données de navigation PaVaTa et le second module GNSS fournit un jeu de données de navigation PbVbTb, où Pa, Pb désigne une mesure de position, Va, Vb une mesure de vitesse et Ta, Tb une mesure de temps, la différence APOS doit être calculée comme suit : APOS = Pb -1)a -Vaeb -Ta) C'est-à-dire que la différence entre les deux positions est compensée par le terme Va(Tb-Ta) qui comporte l'information nécessaire pour compenser le décalage temporel entre les mesures réalisées par chaque chaîne. Une deuxième méthode consiste à s'assurer que les données de guidage PVT calculées par chaque chaine, sont synchrones d'une composante caractéristique du signal GNSS reçu. Par exemple, pour le cas d'un signal GPS, le motif communément désigné par l'acronyme 1PPS, présent dans le signal peut être utilisé pour synchroniser les données de guidage, avec un écart maximum prédéfini, par exemple égal à 500 bas. De cette façon, l'écart de temps entre les deux chaines est garanti à plus ou moins 1 ms ce qui induit un écart maximum entre les deux positions, dû à la dynamique de l'avion, de l'ordre de 4cm, négligeable par rapport à la variance attendue sur l'écart des positions APOS. Un avantage de cette deuxième méthode est qu'elle ne fait plus 25 intervenir la vitesse Va calculée par le premier module GNSS et dont l'intégrité n'est pas forcément garantie. La compensation de l'erreur sur la différence APOS entre deux positions horizontales permet de corriger l'asynchronisme entre les deux modules GNSS pour toutes les données de guidage considérées car elles 30 dépendent toutes de la position horizontale ou verticale de l'avion. On décrit à présent plus en détail la mise en oeuvre de la fonction de comparaison croisée des données de navigation. On suppose que l'une ou l'autre des méthodes décrites ci-dessus à préalablement été utilisée pour compenser l'asynchronisme des calculs entre les deux modules GNSS. Dans un premier temps on décrit la mise en oeuvre de la fonction de comparaison appliquée à la donnée de guidage particulière qu'est la position horizontale. La fonction de comparaison consiste dans ce cas à comparer la norme de la différence les deux positions horizontales calculées à un critère égal au produit d'un seuil de détection prédéterminé Kpos et de la racine carrée de la variance de cette même différence. La relation (1) illustre ce critère : 11AP°S Horizontalell> K pos..eariance(AF'OS Horizontale) (1) Avantageusement, la variance de la différence des positions horizontales peut être calculée à l'aide des relations suivantes illustrées par la figure 7. Variance(AF'OS d2 + d2 dmajor _ = Horizontale major _R1 major _R2 N d x2 Rx = ES d2 x_Rx+d2 y x _R d.2 x _d2 '\ 2 dx2y Rx N Rx = E 5.,,,s2,,o-Rx2 ,,, 2 2 2 2 2 V' N uaRxi ; d y Rx = 2 2 LS2 JO" Rxi ; dxy ,=,.,=, . d maJor _Rx , pour x=1 ou 2, est un majorant de l'écart-type estimé de la position horizontale du module GNSS maître (Rx=R1) ou du module GNSS esclave (Rx=R2) calculée en considérant la configuration pire cas de l'ellipse d'erreur 701, telle que représentée à la figure 8, exprimée en mètres. dxRx, est un majorant de l'écart-type estimé de la projection sur l'axe Ox du repère (Oxyz) de la distribution des positions calculées par le récepteur maître (Rx=R1) ou esclave (Rx=R2), en mètres. dyR, est un majorant de l'écart-type estimé de la projection sur l'axe Oy du repère (Oxyz) de la distribution des positions calculées par le récepteur maître (Rx=R1) ou esclave (Rx=R2), en mètres. clxyR, est un majorant de la covariance estimée entre les projections des axes Ox et Oy du repère (Oxyz) de la distribution des positions calculées par le récepteur maître (Rx=R1) ou esclave (Rx=R2), en mètres carrés. Les variables 51,j et 52,j sont des composantes de la matrice de projection pondérée utilisée pour le calcul de position. La variable aRx,i, exprimée en mètres, correspond à un majorant de l'écart-type de l'erreur résiduelle sur la distance entre le i-ième satellite visible et l'antenne de réception GNSS utilisée pour le calcul de position, effectué par chaque module GNSS, référencé par l'indice x, pour x variant de 1 à 2. Cette erreur résiduelle ne résulte que de sources d'erreurs impactant le fonctionnement du module GNSS lui-même et non de sources d'erreurs impactant le signal GNSS transmis par le satellite tel que des erreurs liées à la propagation du signal. Ainsi, la détection de panne entre les deux chaines est affinée, sans augmenter le taux de fausse alarme car les sources d'erreurs impactant le signal GNSS sont vues de façon identique par les deux chaînes et s'annulent lors du calcul de la différence des positions fournies par chaque chaine. Le fait de ne pas inclure ces sources d'erreur lors de la surveillance de la différence des positions n'augmente pas le taux de fausse alarme. Une estimée de l'écart-type aRx,i est fournie par les modules 421,431 30 respectifs de traitement de signal de chaque module GNSS. L'erreur résiduelle mesurée par le biais de cette variance est notamment liée à trois sources tel que cela est illustré par la relation suivante : 2 2 2 2 cr = 0-no, + Rxi divg,i multipath,i 6aivg,i est la variance de l'erreur résiduelle liée à la phase transitoire du lissage code-porteuse au moment de l'initialisation ou de la réinitialisation du filtrage. L'asynchronisme et la décorrélation des bruits des deux modules GNSS peut entraîner un asynchronisme des initialisations/réinitialisations et par conséquent entraîner un écart sur cette erreur entre les deux chaînes. "noise,! est la variance de l'erreur résiduelle liée au bruit thermique et à la 10 bande passante du lissage code-porteuse. La décorrélation des bruits des deux modules GNSS entraîne la décorrélation de cette erreur. " multIpath,1 est la variance de l'erreur résiduelle liée aux trajets multiples vus par la fonction de corrélation en entrée de la boucle de poursuite de la phase code. La dissimilarité de la fonction de corrélation entre les deux chaînes 15 entraîne une décorrélation de cette erreur. En particulier les sources d'erreurs suivantes ne sont pas prises en compte dans le calcul de la variance de l'écart des positions : l'erreur résiduelle après application des corrections issues des 20 données d'augmentation GBAS. Cette erreur est commune aux deux modules GNSS qui utilisent la même source de réception de données d'augmentation, l'erreur résiduelle liée aux effets de propagation des signaux satellite dans la troposphère. Cette erreur est commune aux deux modules 25 GNSS du fait de l'utilisation d'une même antenne ou de deux antennes proches, l'erreur résiduelle liée aux effets de propagation des signaux satellite dans l'ionosphère. Cette erreur est commune aux deux modules GNSS du fait de l'utilisation d'une même antenne ou de deux antennes proches. Ainsi, toutes les sources d'erreur communes aux deux modules sont 5 éliminées du calcul de variance afin d'affiner le critère de comparaison donné par la relation (1) pour que seules les sources d'erreurs décorrélées entre les deux modules soient prises en compte. En résumé, la fonction de comparaison 423,435 mise en oeuvre dans 10 chaque module GNSS exécute les étapes suivantes : calcul de la différence des positions horizontales, calcul de la variance de cette différence à partir des écarts-types d'erreur oRx,i estimés par chaque module de traitement du signal GNSS, 15 application du critère de détection d'erreur défini par la relation (1), si le critère est positif, on conclue sur la présence d'un défaut d'intégrité et une alerte est déclenchée, dans le cas contraire, on conclue sur la validité des données de navigation calculées. 20 En pratique, le seuil de détection Kpos est prédéterminé de sorte à minimiser la probabilité de fausse alarme et à maximiser la probabilité de détection d'une erreur sur l'une des deux chaines. Pour cela, une possibilité consiste à prendre l'hypothèse que la différence APOS est une variable Gaussienne et de déterminer le seuil Kpos à partir de la courbe de Gauss 25 connue. Cette courbe donne classiquement, pour une variable gaussienne X, la valeur du seuil K à choisir pour que le rapport entre la norme de X et la racine carrée de X soit supérieure à un pourcentage donné. Autrement dis, la détermination du seuil de détection Kpos est faite de façon à réaliser un compromis entre une perte de performance de continuité 30 de la fonction de comparaison pour un seuil KIpos trop bas pouvant entraîner des fausses alarmes (détection d'une erreur alors qu'il n'y a pas d'erreur) et une perte de performance d'intégrité de la fonction de comparaison pour un seuil trop élevé pouvant entraîner l'absence de détection d'une erreur. Ainsi, la détermination du seuil Kp.s doit être issue d'une analyse de sûreté de fonctionnement permettant de répondre aussi bien à la contrainte 5 de continuité (absence de perte de la fonction pendant la phase critique d'approche) qu'à la contrainte d'intégrité des données de sortie. Pour donner un exemple de calcul de ce seuil, on prend l'hypothèse que le système d'approche de l'avion n'admet qu'une probabilité de perte de continuité égale à 10-5 sur un temps d'exposition de 1 minute (durée de la 10 phase d'approche/atterrissage) et que la probabilité qu'une erreur non détectée de position horizontale soit supérieure à une valeur donnée VAL, par exemple égale à 10 m doit être inférieure à 10-9 sur ce même temps d'exposition. Pour répondre à ces exigences, une première étape consiste à faire une 15 analyse des défaillances matérielles et de leurs conséquences pour déterminer la probabilité d'apparition d'une panne pouvant entraîner le dysfonctionnement de la fonction d'approche en considérant l'ensemble des éléments concernés (antenne VHF, récepteur VDB, antenne GPS, l'une des deux chaînes de réception GPS, alimentation en énergie, ...). Supposons 20 que cette analyse conclut en une probabilité de panne de 5. 10-6/minute. Supposons aussi que cette analyse conclut que seules 10% des pannes identifiées peuvent entraîner une erreur d'intégrité des sorties de l'une des deux chaînes GNSS. Si on considère qu'il y a discontinuité soit en cas de panne, soit en cas de 25 fausse alarme du mécanisme de surveillance, une exigence de continuité de 10-5/minute et un taux de panne de 5. 10-6/minute implique que ce taux de fausse alarme doit être inférieur à 5. 10-6/minute (= 10-5/minute - 5.106/minute). Si on considère qu'il y a défaut d'intégrité s'il y a une panne et que cette 30 panne entraîne une erreur d'intégrité sur l'une des deux sorties et que cette erreur n'est pas détectée par le mécanisme de surveillance, alors, pour atteindre lune probabilité d'erreur non détectée de 10-9/minute, il faut un taux de détection d'erreur de position horizontale supérieur à 2.10-3/minute ( = 109/minute / (5. 10-6/minute * 10%)). Les filtrages mis en oeuvre dans les récepteurs GNSS induisent une forte corrélation temporelle des données de sortie pour l'approche: ainsi, statistiquement, un seul tirage indépendant est considéré pour déterminer la probabilité de fausse alarme ou d'erreur non détectée sur la durée totale d'exposition d'une minute. On fixe le seuil Kpos pour tenir la probabilité de fausse alarme de 5.10-6. 10 Pour une distribution Gaussienne normalisée, cela revient à définir un seuil. Kpos supérieur ou égal à 4,6 oc 1 -x2 J i £ e 2 .dx K > 46 pos - 5 Kpos 1127r De façon plus générale, le seuil de détection KIDos doit vérifier la contrainte définie par l'inégalité suivante : co 1 X2 15 e-2 .dx p - fa , avec Pfa la probabilité de fausse alarme visée. Dans le cas d'une erreur f3 sur l'une des deux chaînes impliquant un défaut d'intégrité (ainsi [3_10m), la distribution de l'écart de position horizontale est majorée par une Gaussienne centrée en p et d'écart-type dmajor_Rx. 20 La probabilité de non-détection est alors donnée par les formules suivantes : K 11.71" pos Pnd = Kpos \Id m2 ajor _Rl±dm2 ajor _R2 (x..13)2 2 J -CO e 2.dmajor _Rx dx K poslidnajor _Rl+d m2 ajor )6 e,Tr d major I& _03 u2 1 .du K po, ./3 u2 d major _Rx 1 N N C 12a, = sine i+ cos2 0.E(s21- a-2 ) et 0 l'angle de cap de la piste 1=1 1=1 par rapport au Nord, calculé à partir des paramètres transmis par le système GBAS. Pour tester l'intégrité des mesures de déviation latérale réalisées par chaque 5 module GNSS, on définit, selon des critères similaires à ceux retenus pour le cas de la position horizontale, un seuil de détection Kiat de façon à minimiser la probabilité de fausse alarme et à maximiser la probabilité de détection d'une erreur de calcul de la déviation latérale sur l'une des deux chaînes. Une alerte de défaut d'intégrité sur la déviation latérale est ainsi déclenchée lo si le critère suivant est respecté : 0.155 -eiat,R21> Kka- d1c2 R1+ dl2a t,R2 a lat,FS '1AFPAPII+ AOL -u,.PLTP I FTPPRx e' qui peut s'exprimer plus simplement par : la lat,R1- a lat,R2I> K1at11Variance(da latR1 alca,R2) (2) 15 A partir des paramètres d'approche il est également possible de calculer la déviation rectilinéaire latérale comme suit : a rectlat,Rx = Ulat *PLTP / FTPPRx De façon similaire, pour tester l'intégrité des mesures de déviation rectilinéraire latérale, on définit un seuil de détection Krectlat de façon à 20 minimiser la probabilité de fausse alarme et à maximiser la probabilité de détection d'une erreur sur l'une des deux chaînes et on déclenche une alerte de défaut d'intégrité sur la déviation rectilinéaire latérale si le critère suivant est respecté : > arectlat,R1 a rectlat,R2I K rectlat 11Variance(ce - rectlat,R1- Ce rectlat,R2) (3) 25 Qui peut également s'écrire sous la forme : 2 d2 arectlat,R1 a rectlat ,R21> K rectlat dlat,R1 lat ,R2 Les critères de test d'intégrité des données de guidage qui concernent la déviation verticale, la déviation rectilinéaire verticale et la distance au seuil de piste sont établis de façon analogues à l'aide des relations (4), (5) et (6). VVariance(avert R1 a vert ,R 2 ) lavert,R1 avert,R2 I > K vert - (4), la rectvert,R1 a rectvert,R21> K rectvert -)1Variance(arectvert ,R1 a rectvert,R2) (5) Id seuil _ piste,R1 - d seuil _ piste,R21> K seuil _piste -.'IVariance(d seuil _piste,R1 - d seuil _ piste ,R2) (6) La relation (4) s'écrit également sous la forme : 0.7 la vert ,R1 a vert ,R21> K vert - d 2 2 eM,R1 ± d v v en ,R2 eGpAllu Au vert GPIP Rx vert Avec : 0.7 a vert ,Rx = (ave,,Rx )- OGpA) tieGp A a vert ,Rx u P P vert ' GPIP Rx Uvert A (I)GPIPPRx A U vertl art K rectvert -'' v2en ,R1 d v2en ,R2 °GPAlla vert A (PGPIPPRxA vertll rectvert,Rx vert - TP I FTP avec a =u PL PRx La relation (6) s'écrit également sous la forme : Id Th _hor,R1 d Th _hor,R11> K Th _hor -*Ndv2en,R1 dv2e1I,R2 uvert A (PL TP / FTPPRx A uvertll avec dTh hor, Rx = Concernant le cap 0 de la piste d'atterrissage sélectionnée, une différence entre les mesures de cap calculées par les deux chaines doit entrainer une alerte d'intégrité sans tolérance sur l'écart entre les deux mesures car les 10 deux chaines doivent utiliser les mêmes données GBAS. De façon générale, un critère de test d'intégrité d'une donnée de guidage Xg, dont deux mesures Xgi ,Xg2 sont fournies respectivement par le premier module GNSS maitre et le second module GNSS esclave, du dispositif 15 double-chaine selon l'invention, est établi à l'aide de la relation générale (7) : -xg21> K gliVariance(X X g2) (7) Kg est un seuil de détection prédéterminé de sorte à minimiser la probabilité de fausse alarme Pfa, c'est-à-dire la probabilité qu'une alarme d'intégrité soit déclenchée alors que les mesures X91,X92 sont valides, tout en maximisant la 20 probabilité de détection d'une erreur réelle impactant l'une ou l'autre, ou les deux mesures Xgi ,X92 simultanément. Dans un mode particulier de réalisation de l'invention, tel que développé ci-dessus pour le cas particulier de la mesure de position horizontale, le seuil de détection Kg est déterminé à partir des deux relations suivantes : re 25 Les éléments suivants peuvent être impactés par un défaut qui peut entraîner un défaut d'intégrité sur les mesures de guidage fournies en sortie d'un récepteur GNSS : - la chaîne de filtrage constituée de filtres à la fréquence de réception 15 du signal GNSS ainsi qu'aux fréquences intermédiaires, - les moyens de synthèses de fréquence du récepteur GNSS, en particulier l'oscillateur de référence, les composants réalisant la synthèse des oscillateurs locaux et de l'horloge d'échantillonnage à partir de l'oscillateur de référence, le mixer analogique de transposition de la fréquence GNSS en 20 fréquences intermédiaires avant échantillonnage, les moyens d'alimentation des parties analogiques, avec comme effet redouté, la génération de raies parasites affectant différemment la réception des signaux GNSS. - les moyens d'alimentation du préamplificateur de l'antenne GNSS avec comme effet redouté la génération de raies parasites en amont de la 25 chaîne de réception GNSS, - les moyens d'alimentation de la partie numérique du récepteur avec comme effet redouté des erreurs d'exécution des traitements nécessaires au calcul et à la sortie des déviations, - la fonction de génération des signaux locaux, de corrélation et de 30 poursuite des signaux reçus des satellites GNSS avec comme effet redouté des biais non détectés sur la détermination des pseudo-distances et par conséquent potentiellement sur les déviations calculées, - les algorithmes logiciels tels que demandés par les normes relatives aux standards GNSS tels que les algorithmes de validation des éphémérides et données d'horloge GNSS ; détermination, filtrage, correction et validation des pseudo-distances entre les satellites reçus et le récepteur ; calcul, validation et estimation de la précision des mesures de position, vitesse et temps PVT ; calcul et sortie des déviations. Parmi les défauts cités ci-dessus, un sous-ensemble peut entraîner un défaut simultané sur les deux chaînes GNSS et ainsi peut ne pas être détecté par la surveillance mutuelle des chaînes entre elles. Il s'agit notamment des défauts suivants : défaut de conception matérielle menant à une même sensibilité à un environnement mécanique ou thermique spécifique : ceci concerne principalement les composants analogiques et en particulier les filtres et les composants de synthèse de fréquence, défaut de conception matérielle déclenchée par un défaut de l'alimentation électrique commune aux deux chaînes, défaut de conception logicielle lié à une configuration de constellation GNSS et à des caractéristiques de signal GNSS émis spécifiques, défaut de conception révélé par un environnement particulier d'interférence et de trajets multiples du signal GNSS, par exemple lié à des réflexions du signal GNSS aux obstacles environnant l'antenne, défaut de conception logicielle lié à une configuration particulière de données émises par la station sol GBAS (données d'identification, d'authentification, de corrections, de description du chemin d'approche...), défaut de conception logicielle lié à un cas particulier sur la position de l'avion et le temps courant. Pour traiter les sources de panne commune notamment listées ci-dessus, il est nécessaire de s'assurer d'une dissimilarité de réponse des deux chaînes de façon à les rendre détectables par le mécanisme de surveillance mutuelle entre les chaînes. Une première méthode consiste à concevoir deux chaînes de façon différente du point de vue matériel et/ou logiciel. Concernant le matériel, la dissimilarité peut être obtenue par l'utilisation de composants différents, en particulier en ce qui concerne les composants qui sont source d'erreur d'intégrité. Les composants qui doivent préférentiellement être conçus différemment entre les deux chaines sont les composants mettant en oeuvre l'alimentation des parties analogique, les oscillateurs de référence, les synthétiseurs de fréquence, les mélangeurs, les filtres analogiques et les processeurs de traitement numérique du signal. Concernant le logiciel, la dissimilarité peut être obtenue par l'utilisation d'équipes de développement indépendantes, de langages de programmation différents ou bien d'outils et d'option de compilation différents, de méthodes de topographie (mapping) mémoire différents notamment pour la mémoire de programmation, la mémoire de données ou la mémoire non volatile de données. Un autre élément du récepteur GNSS double-chaine selon l'invention qui peut être source commune de défaut d'intégrité est l'antenne de réception des signaux GNSS et en particulier l'alimentation du 25 préamplificateur de l'antenne. Les figures 8a,8b et 8c schématisent trois architectures possibles utilisant une ou deux antennes pour adresser les deux modules GNSS du récepteur selon l'invention. La figure 8a concerne une architecture mono-antenne 801 qui utilise 30 un diviseur 803 pour diviser la puissance reçue à travers le préamplificateur 802 de l'antenne 801 afin d'alimenter chaque module GNSS 804,805 d'un récepteur double chaine selon l'invention. Une seule source d'alimentation 806 est nécessaire pour l'antenne 801. Dans l'architecture de la figure 8a, le préamplificateur 802 de l'antenne 801 est source commune de défaut d'intégrité pour les deux 5 modules GNSS 804,805. Afin d'introduire de la dissimilarité en amont de la chaine de traitement du signal de radio-navigation, l'architecture de la figure 8b est proposée, dans laquelle deux antennes distinctes 811,812 sont chacune reliée à un des modules GNSS 804,805 par l'intermédiaire de deux préamplificateurs 10 821,822 distincts également qui n'introduisent donc pas d'erreurs communes. Dans l'architecture de la figure 8b, les deux antennes étant distinctes, le mécanisme de surveillance croisée doit prendre en compte la différence entre les sorties des deux antennes due à leurs positions différentes. Pour 15 cela, deux méthodes peuvent être mises en oeuvre. Une première méthode consiste à ajouter au critère de surveillance, donné par la relation (7), un biais b maximum calculé à partir de la connaissance a priori de la distance entre les deux antennes. L'avantage de cette méthode est qu'elle n'utilise que l'information de distance absolue entre les deux antennes. La relation (7) 20 devient : Xgl- X g21> K g.11Variance(X - X g2) + b (8) b peut être avantageusement déterminée à partir des paramètres de la procédure d'approche. Pour la surveillance de la position horizontale, de la distance au seuil 25 de piste, ainsi que des déviations rectilinéaires verticales et horizontales, le biais b peut être pris égal à la distance absolue entre les deux antennes, notée par la suite dant. Pour la surveillance des déviations latérales, le biais b peut être calculé à l'aide de la relation suivante: 0.155 b= )d ant a lat ,FS 'IAFPAPII+ DOL - u tw -PLTP I FTP PR Pour la surveillance des déviations verticales, le biais b peut être calculé à l'aide de la relation suivante: b= vertvertI 0 GpA Il , VjGpip P Rx A U vert Une deuxième méthode applicable à l'architecture de la figure 8b, consiste à translater la position estimée vers une référence commune de l'aéronef. Les positions relatives des deux antennes et de la référence commune sont connues des récepteurs dans le repère de l'aéronef et -ro peuvent être projetées dans le repère GNSS en utilisant les données d'attitude de l'aéronef fournis aux récepteurs par un système inertiel à bord. Les deux récepteurs peuvent alors se servir du vecteur reliant leur antenne à la référence commune pour corriger les données de guidage avant de comparer leur différence à K fois l'estimée de leur écart-type. L'avantage de 15 cette méthode, par rapport à la première, est qu'elle permet de ne pas relâcher les critères de surveillance et de conserver la probabilité de détecter une erreur sur l'une des deux chaînes. Une alternative à cette architecture double antenne est représentée à la figure 8c. Elle consiste à utiliser une seule antenne 831 en sortie de 20 laquelle est positionné un diviseur 832 qui sépare le signal reçu et le dirige respectivement vers deux préamplificateurs 833,834. L'avantage de cette architecture est qu'elle permet de minimiser les sources d'erreur communes entre les deux chaines tout en évitant l'introduction de difficultés complémentaires dans les mécanismes de surveillance du fait de l'utilisation 25 d'une même antenne passive et par conséquent d'une même référence de position calculée par les deux chaînes de réception GNSS. 0.7 dans L'utilisation de moyens matériels et/ou logiciels différents pour chaque module GNSS constitue une première méthode d'introduction de dissimilarité dans le récepteur double-chaine selon l'invention. Une deuxième méthode permet d'utiliser les mêmes composants matériels entre les deux chaînes. Elle consiste à configurer le fonctionnement de chacune des chaînes de façon différente pour s'assurer que le mécanisme de surveillance entre les chaînes détecte un défaut commun sur l'un des composants matériels identifiés comme source potentielle d'erreur d'intégrité. Les configurations suivantes sur chaque chaine de traitement GNSS peuvent être réalisées pour introduire de la dissimilarité. Le filtre numérique de réception de chaque module GNSS peut être configuré différemment. Par exemple, la bande passante du filtre du module maitre peut être configurée pour une réception large bande tandis que la bande passante du filtre du module esclave peut être configurée pour une réception bande étroite. Dans chaque module GNSS, la méthode de corrélation du signal GNSS avec la réplique locale peut être différente. Par exemple, un corrélateur avance-retard étroit ou double-delta étroit peut être utilisé pour le module GNSS maitre alors qu'un corrélateur avance-retard plus large est utilisé pour le module GNSS esclave. Enfin, deux plans de fréquence différents entre les deux modules de réception GNSS peuvent être utilisés par configuration des synthèses de fréquence des oscillateurs locaux et de la fréquence d'échantillonnage. Par construction, le fait d'utiliser deux plans de fréquence différents permet de garantir que les raies parasites générées par les composants analogiques de changement de fréquence et d'échantillonnage sont présentes à des fréquences, phases et amplitudes différentes, pour chaque module, au niveau de la fonction de corrélation du signal reçu parasité avec le signal local. Etant donné que l'effet d'une raie parasite dépend de sa phase et de sa fréquence relative au signal GNSS utile à recevoir, la perturbation de la poursuite de ce signal et des pseudo-distances estimées est différente entre les deux chaînes. Ainsi, une comparaison entre les deux chaînes permet de détecter une telle incohérence et d'éviter de sortir des déviations potentiellement erronées. L'invention permet d'établir un critère de surveillance de la similitude des résultats de sortie des deux chaînes GNSS du récepteur double chaîne. Le critère de surveillance est déterminé de sorte à minimiser le taux de fausse alarmes, qui entraîne un problème de disponibilité de la fonction d'approche, et à maximiser le taux de détection des erreurs d'intégrité qui rendent inefficace le mécanisme de double chaînes. Aussi, l'un des objectifs de l'invention est de réduire le plus possible le critère de comparaison sans impacter le taux de fausses alarmes. Le fait d'éliminer les sources d'erreurs communes entre les deux chaînes dans la détermination du seuil de détection et le fait de corriger l'asynchronisme entre les deux chaînes permet de réduire le seuil de détection sans augmenter le taux de fausses alarmes. REVENDICATIONS1. Dispositif de réception de signaux de radio-navigation (401,601), pour l'aide au pilotage d'un aéronef, caractérisé en ce qu'il comprend un premier module GNSS maitre (403) et un second module GNSS esclave (402) dissimilaires, le premier module GNSS maitre (403) comprenant un premier moyen de traitement des signaux de radio-navigation (431) et un premier moyen de calcul (434) de données de guidage (Xg) à partir des mesures fournies par ledit premier moyen de traitement des signaux (431), le second module GNSS esclave (402) comprenant un second moyen de traitement des signaux de radio-navigation (421) et un second moyen de calcul (422) de données de guidage (Xg) à partir des mesures fournies par ledit second moyen (421) de traitement des signaux, chaque module GNSS (403,402) comprenant en outre un moyen de comparaison (435,423) entre les sorties X91 ,Xg2 desdits premier et second moyen de calcul de données de guidage (434,422) adapté à exécuter le test d'intégrité suivant : IXgI- X g21> Kg.11Variance(X - Xg2) et à conclure à un défaut d'intégrité si ledit test d'intégrité est vérifié, Kg étant un seuil de détection prédéterminé de sorte à obtenir une probabilité donnée Pnd de détection d'une erreur impactant l'une ou l'autre, ou les deux mesures Xgi ,X92 simultanément et une probabilité de fausse alarme Pfa donnée. 2. Dispositif de réception de signaux de radio-navigation (401,601) selon la revendication 1 dans lequel le seuil de détection Kg est déterminé à partir des deux inégalités suivantes : co X2 f , e ax pi à Kj .N1271" g et K, , Vmax(Variance(X gi),Variance(X g 2 1-Covariance(X gi,X g 2 ) VAL Pnd u2 1 e 2 .du NETr avec VAL la valeur limite tolérable d'erreur sur l'une des mesures Xgi ,Xg2 en dessous de laquelle l'intégrité desdites mesures est garantie. 3. Dispositif de réception de signaux de radio-navigation (401,601) selon l'une des revendications précédentes dans lequel les sources communes d'erreur entre le premier module GNSS maitre (403) et le second module GNSS esclave sont éliminées du calcul de la variance de la différence entre les sorties Xgi ,Xg2 desdits premier et second moyen de calcul de données de guidage (434,422). 4. Dispositif de réception de signaux de radio-navigation (401,601) selon l'une des revendications précédentes dans lequel les données de guidage (Xg) sont au moins égales à l'une des données suivantes : la position horizontale, la déviation latérale, la déviation rectilinéaire latérale, la déviation verticale, la déviation rectilinéaire verticale ou la distance au seuil de piste. 5. Dispositif de réception de signaux de radio-navigation (401,601) selon l'une des revendications précédentes dans lequel le moyen de comparaison (435,423) exécute au préalable une étape de compensation, sur la donnée de guidage de position horizontale, de l'asynchronisme entre le premier module GNSS maitre (403) et le second module GNSS esclave. 6. Dispositif de réception de signaux de radio-navigation (401,601) selon la revendication 5 dans lequel l'asynchronisme est compensé en calculant la différence APOS des positions horizontales Pa,Pb fournies par les premier et second moyen de calcul de données de guidage (434,422) comme suit : APOS = Pb - -Va.(Tb -Ta) avec Va une mesure de vitesse fournie par le premier moyen de calcul de données de guidage (434), Ta une mesure de temps fournie par le premier moyen de calcul de données de guidage (434) et Tb une mesure de temps fournie par le second moyen de calcul de données de guidage (422). 7. Dispositif de réception de signaux de radio-navigation (401,601) selon la revendication 5 dans lequel l'asynchronisme est compensé en synchronisant, les données de guidage (X91 ,X92) calculées sur une composante caractéristique du signal de radio-navigation reçu. 8. Dispositif de réception de signaux de radio-navigation (401,601) selon l'une des revendications précédentes dans lequel les premier et second modules GNSS (403,402) présentent une dissimilarité matérielle et/ou logicielle. 9. Dispositif de réception de signaux de radio-navigation (401,601) selon l'une des revendications 1 à 7 dans lequel les premier et second modules GNSS (403,402) sont similaires matériellement mais mettent en oeuvre les traitements numériques dissimilaires suivants : filtrages numériques différents, corrélateurs différents, allocation de plans de fréquences différents. 10.Dispositif de réception de signaux de radio-navigation (401,601) selon l'une des revendications 8 ou 9 dans lequel le dispositif comprend une antenne (811,812) et un préamplificateur (721,722) distincts pouralimenter chaque module GNSS (403,402) de sorte à limiter les sources communes de défaut d'intégrité. 11. Dispositif de réception de signaux de radio-navigation (401,601) selon la revendication 10 dans lequel le test d'intégrité est modifié comme suit : 1Xg, - Xg21> K g..'iVariance(X - X g2) b avec b un biais de mesure calculé à partir de la connaissance a priori de la distance entre les deux antennes (811,812). 12. Dispositif de réception de signaux de radio-navigation (401,601) selon l'une des revendications 8 ou 9 dans lequel le dispositif comprend une antenne (831), un moyen de division (832) de la puissance du signal reçu par l'antenne (831) et deux préamplificateurs distincts (833,834) pour alimenter chaque module GNSS (403,402) de sorte à limiter les sources communes de défaut d'intégrité. 13. Récepteur multimode pour l'aide à la navigation d'un aéronef comprenant un système d'atterrissage aux instruments ILS et un dispositif de réception de signaux de radio-navigation (401,601) selon l'une des revendications 1 à 12 pour la mise en oeuvre d'une fonction d'aide à l'atterrissage GLS en phase d'approche. 14. Système hybride d'aide à la navigation comprenant un récepteur multimode (501) comprenant un système d'atterrissage aux instruments ILS et un système inertiel (502) à hybridation GNSS-IRS comprenant un système inertiel IRS (504) produisant des données inertielles et un moyen d'hybridation (503) de données de navigation GNSS par lesdites données inertielles, caractérisé en ce qu'il comporte en outre un dispositif de réception de signaux de radio-navigation selon l'une des revendications 1 à 12 dont le premier module GNSS maitre (403) est intégré dans ledit système inertiel (502) pour fournir lesdites données de navigation GNSSet le second module GNSS esclave (402) est intégré dans ledit récepteur multimode (501).