Brevet FR3051898A1 — publié le 20171201

DOMAINE TECHNIQUE La présente invention concerne un ensemble de gestion de vol pour un aéronef, en particulier pour un avion de transport, ainsi qu'un procédé de sécurisation de données reçues du monde ouvert à l'aide d'un tel ensemble de gestion de vol. Cet ensemble de gestion de vol comprend au moins deux systèmes de gestion de vol, de type FMS (« Flight Management System », en anglais). ETAT DE LA TECHNIQUE Les architectures avioniques actuelles comportent, généralement, un tel ensemble de gestion de vol dans la partie avionique, qui offre notamment à l'équipage la possibilité de définir avant le vol et de maintenir ou faire évoluer pendant le vol la route à suivre pour amener les passagers à destination. Parallèlement à ces outils, principalement pour des raisons de coût et de simplicité de développement, de nombreuses initiatives apparaissent pour mettre en oeuvre côté monde ouvert des fonctionnalités visant à simplifier la tâche de l'équipage relative à la gestion de la mission de l'aéronef. Dans le cadre de la présente invention : - une partie (ou monde) avionique concerne des éléments (calculateur, systèmes,...) embarqués, qui sont sécurisés de manière à obéir à des contraintes données d'intégrité et de disponibilité ; et - une partie monde ouvert concerne des équipements (ordinateur portable, tablette, ...) embarqués dans le poste de pilotage de l'aéronef et hébergeant des applications et contenant des données, qui sont non suffisamment sécurisées pour être intégrés telles quelles dans l'aéronef. En particulier, les compagnies aériennes mettent à la disposition de l'équipage des outils d'aide à la gestion de la mission, qui sont intégrés dans un dispositif de vol électronique de type EFB (« Electronic Flight Bag » en anglais) ou un autre ordinateur portable ou tablette tactile. Ces outils permettent à l'équipage de préparer la mission en avance, ou de la modifier quand il l'estime nécessaire. Les avantages d'installer ces outils sur 3051898 2 un dispositif EFB sont multiples pour la compagnie : coût moindre, homogénéité au niveau de la flotte souvent mixte, plus grande flexibilité de modification ou d'installation,... Dans les architectures usuelles, la transmission des informations du 5 monde ouvert vers un système avionique est rendue impossible physiquement pour éviter qu'une personne n'envoie des données corrompues ou n'installe un logiciel malveillant qui puisse mettre en cause la sécurité de l'aéronef. Or, les données manipulées dans les outils d'un dispositif EFB sont de nature à être chargées dans les systèmes de gestion de vol pour mettre à jour le 10 plan de vol ou les calculs de performance, et la mise à disposition d'une liaison physique sécurisée entre les applications et données du monde ouvert et le système de gestion du vol avionique permettrait de diminuer la charge de travail de l'équipage, qui n'aurait plus besoin d'entrer manuellement ces données dans le système de gestion de vol à partir des résultats de calcul des outils du dispositif 15 EFB, avec une probabilité d'erreur réduite également. EXPOSÉ DE L'INVENTION La présente invention a pour objet de sécuriser l'insertion de données du 20 monde ouvert dans un ensemble de gestion du vol, en permettant une validation opérationnelle efficace de ces données par l'équipage, sans avoir à modifier de façon importante l'architecture interne des systèmes de gestion du vol. La présente invention concerne un ensemble de gestion de vol d'un aéronef, ledit ensemble de gestion de vol comportant au moins deux systèmes de 25 gestion de vol, dont l'un dit actif à un instant courant fait partie d'une chaîne de guidage active configurée pour fournir des données pour le guidage de l'aéronef à l'instant courant et dont l'autre est dit non actif à l'instant courant. Selon l'invention, l'ensemble de gestion de vol comporte une chaîne de validation, la chaîne de validation comprenant le système de gestion de vol non 30 actif et une unité de validation liée auxdits systèmes de gestion de vol, la chaîne de validation étant indépendante de la chaîne de guidage active et étant configurée pour mettre en oeuvre une validation de données issues du monde 3051898 3 ouvert et pour transmettre au moins audit système de gestion de vol actif les données qui sont validées au cours de cette validation. Ainsi, grâce à la validation mise en oeuvre, la chaîne de validation permet de filtrer des données erronées ou malveillantes issues du monde ouvert. Cette 5 architecture de l'ensemble de gestion de vol permet ainsi de charger de façon sécurisée des données du monde ouvert, issues notamment d'un dispositif EFB. Pour ce faire, cette architecture s'appuie sur des systèmes de gestion de vol usuels et ne nécessite pas de modification lourde et coûteuse de l'architecture logicielle interne des systèmes de gestion de vol pour assurer l'absence de 10 corruption de paramètres, tels que la trajectoire de vol active par exemple, utilisant les données que l'on souhaite insérer à partir du monde ouvert. Cette architecture d'ensemble de gestion de vol permet donc de résoudre la problématique de l'intégration de données du monde ouvert dans ledit ensemble de gestion de vol. 15 Dans un mode de réalisation préféré, l'unité de validation comprend : - une unité de stockage configurée pour stocker des données issues du monde ouvert à valider ; - une unité de calcul configurée pour calculer une valeur d'au moins un paramètre à partir de ces données ; et 20 - une unité d'affichage configurée pour afficher au moins la valeur calculée du paramètre sur au moins un écran de visualisation, ladite unité d'affichage comprenant au moins un moyen de validation permettant à un opérateur de déclarer valides des données du monde ouvert, utilisées pour calculer cette valeur affichée du paramètre. 25 La présente invention peut s'appliquer à différentes architectures usuelles d'ensemble de gestion de vol (comprenant au moins deux systèmes de gestion de vol). En particulier, dans une première architecture, selon laquelle l'ensemble de gestion de vol comprend le système de gestion de vol actif, dédié à un premier 30 pilote pilotant l'aéronef à l'instant courant, et le système de gestion de vol non actif, dédié à un second pilote ne pilotant pas l'aéronef à l'instant courant, 3051898 4 avantageusement la chaîne de validation comprend ledit système de gestion de vol dédié au second pilote ne pilotant pas l'aéronef à l'instant courant. En outre, dans une seconde architecture, selon laquelle l'ensemble de gestion de vol comprend au moins un système de gestion de vol principal 5 opérationnel et un système de gestion de vol de secours, avantageusement la chaîne de validation comprend le système de gestion de vol de secours. Dans un mode de réalisation préféré, l'ensemble de gestion de vol comporte une unité de filtrage configurée pour réaliser un filtrage protocolaire de données issues du monde ouvert et réceptionnées dans l'ensemble de gestion de 10 vol, avant leur validation par la chaîne de validation. Par ailleurs, de façon avantageuse : - l'unité de validation est hébergée dans un système dédié ; ou - l'unité de validation comprend une pluralité de sous-systèmes répartis et hébergés dans une pluralité de systèmes avioniques différents. 15 La présente invention concerne également un procédé de sécurisation de données du monde ouvert à l'aide d'un ensemble de gestion de vol tel que décrit ci-dessus, c'est-à-dire comportant au moins deux systèmes de gestion de vol, dont l'un dit actif à un instant courant fait partie d'une chaîne de guidage active configurée pour fournir des données pour le guidage de l'aéronef à l'instant 20 courant et dont l'autre est dit non actif à l'instant courant, et une chaîne de validation, la chaîne de validation comprenant le système de gestion de vol non actif et une unité de validation liée auxdits systèmes de gestion de vol, la chaîne de validation étant indépendante de la chaîne de guidage active et étant configurée pour mettre en oeuvre une validation de données issues du monde 25 ouvert et pour transmettre au moins audit système de gestion de vol actif les données qui sont validées au cours de cette validation. Selon l'invention, ledit procédé de sécurisation comprend une suite d'étapes de validation, mise en oeuvre après réception par l'ensemble de gestion de vol des données du monde ouvert à valider, et comprenant : 30 - une étape de désynchronisation consistant à désynchroniser les deux systèmes de gestion de vol, à l'aide d'une unité de validation ; 3051898 5 - une étape de traitement de données consistant à charger les données à valider dans un plan de vol dit secondaire du système de gestion de vol non actif, et à réaliser dans le système de gestion de vol non actif un calcul de la valeur d'au moins un paramètre correspondant, à l'aide de ces données ; 5 - une étape d'affichage, mise en oeuvre par une unité d'affichage, consistant à afficher les résultats du calcul sur au moins un écran de visualisation de l'unité d'affichage pour validation ; - une étape de validation, mise en oeuvre à l'aide d'un moyen de validation et consistant à valider ou non les données ; 10 - une étape ultérieure consistant, en cas de validation des données, à transférer les données validées au système de gestion de vol actif, à vider le plan de vol secondaire du système de gestion de vol non actif après transfert des données, et à resynchroniser les deux systèmes de gestion de vol pour que le système de gestion de vol non actif s'initialise sur au moins un plan de vol du système de 15 gestion du vol actif. En outre, avantageusement, en cas de non validation des données, l'étape ultérieure consiste au moins à émettre un message d'erreur et à effacer les données non validées du système de gestion de vol non actif. Par ailleurs, de façon avantageuse, ladite suite d'étapes de validation 20 comprend, entre l'étape de désynchronisation et l'étape de traitement de données, une étape de traitement auxiliaire consistant à vider le système de gestion de vol non actif, le cas échéant, de plans de vol qu'il contient. En outre, avantageusement, l'étape de traitement de données consiste à réaliser un calcul de trajectoire et de prédictions. 25 Par ailleurs, dans un mode de réalisation préféré, le procédé de sécurisation comporte une étape de filtrage protocolaire des données du monde ouvert, mise en oeuvre par une unité de filtrage avant la mise en oeuvre de ladite suite d'étapes de validation. La présente invention concerne également un aéronef, en particulier un 30 avion de transport, qui est pourvu d'un ensemble de gestion de vol tel que celui spécifié ci-dessus. 3051898 6 BRÈVE DESCRIPTION DES FIGURES Les figures annexées feront bien comprendre comment l'invention peut être réalisée. Plus particulièrement : 5 - la figure 1 est le schéma synoptique d'un mode de réalisation particulier d'un ensemble de gestion de vol d'un aéronef ; et - la figure 2 montre schématiquement un procédé de sécurisation de données à l'aide de l'ensemble de gestion de vol de la figure 1. 10 DESCRIPTION DÉTAILLÉE La figure 1 montre schématiquement un ensemble de gestion de vol 1 d'un aéronef, en particulier d'un avion de transport, qui permet d'illustrer l'invention. 15 Cet ensemble de gestion de vol 1 (« ensemble 1 » ci-après) qui est embarqué sur l'aéronef (non représenté), comprend au moins deux systèmes de gestion de vol 2 (« FMS1 ») et 3 (« FMS2 ») de type FMS (« Flight Management System », en anglais). Les deux systèmes de gestion de vol 2 et 3 sont indépendants et sont hébergés dans des équipements (« hardware », en anglais) 20 différents. L'ensemble 1 peut comprendre plus de deux systèmes de gestion de vol. Chacun desdits systèmes de gestion de vol 2 et 3 est configuré, de façon usuelle, pour réaliser des calculs, et notamment des calculs de consignes de guidage pour l'aéronef. Le guidage de l'aéronef est réalisé selon des données (et 25 notamment des consignes de guidage) fournies par une chaîne de guidage, dite chaîne de guidage active 4, qui comprend de façon usuelle l'un seulement desdits systèmes de gestion de vol. Cette chaîne guidage 4 de type usuelle comprend de plus un ensemble 4A de systèmes de calcul et de traitement de données, et n'est pas décrite davantage dans la description suivante. 30 Dans la description suivante, on considère qu'à un instant courant (c'est- à-dire lors de la mise en oeuvre décrite ci-dessous de l'invention), le système de gestion de vol 2 (dit actif) fait partie de la chaîne de guidage 4 active, qui est 3051898 7 configurée pour fournir les données pour le guidage de l'aéronef à l'instant courant, et le système de gestion de vol 3 est non actif à l'instant courant. L'ensemble 1 qui fait partie de l'avionique M1 de l'aéronef est configuré pour pouvoir sécuriser des données reçues d'une partie M2 issue du monde 5 ouvert, et notamment de données de navigation à charger dans l'ensemble de gestion du vol (route, météo, ...). Dans un mode de réalisation particulier, la partie monde ouvert M2 comprend un dispositif de vol électronique 5, par exemple de type EFB (« Electronic Flight Bag » en anglais), ou tout autre ordinateur portable ou tablette 10 tactile, permettant en particulier de préparer un vol de l'aéronef. La transmission d'informations de la partie monde ouvert M2 vers l'ensemble 1 peut, notamment, être mise en oeuvre par liaison Ethernet, par un bus de type A429, ou par liaison Wifi, comme illustré sur la figure 1 par une flèche L illustrant une liaison de données. 15 L'ensemble 1 comporte, comme représenté sur la figure 1, une unité de réception 6 (« RECEPT » pour « Reception Unit » en anglais) configurée pour recevoir (ou réceptionner) les données transmises, via la liaison de données L, à partir du monde ouvert. Selon l'invention, l'ensemble 1 comporte une chaîne de validation 7. 20 Cette chaîne de validation 7 comprend le système de gestion de vol 3 non actif et une unité de validation 8 liée auxdits systèmes de gestion de vol 2 et 3 par l'intermédiaire respectivement de liaisons 9 et 10. La chaîne de validation 7 est indépendante de la chaîne de guidage active 4 et elle est configurée pour mettre en oeuvre une validation de données issues du 25 monde ouvert M2, précisée ci-dessous et permettant de filtrer des données erronées ou malveillantes, et pour pouvoir transmettre au moins au système de gestion de vol 2 actif les données qui ont été validées au cours de cette validation. Dans un mode de réalisation préféré, l'unité de validation 8 comprend, comme représenté sur la figure 1 : 30 - une unité de stockage 11 (« STORING » pour « Storing Unit » en anglais) configurée pour stocker des données issues du monde ouvert à valider et reçues via la liaison de données L ; 3051898 8 - une unité de calcul 12 (« COMP » pour « Computation Unit » en anglais) configurée pour calculer une valeur d'au moins un paramètre à partir de ces données, qui sont stockées dans l'unité de stockage 11 ; et - une unité d'affichage 13 configurée pour afficher au moins ladite valeur calculée 5 du paramètre sur au moins un écran de visualisation 14 (« SCREEN » en anglais). L'unité d'affichage 13 comprend également au moins un moyen de validation 15 (« VALID » pour « Validation Unit » en anglais) qui permet à un opérateur de déclarer valides des données du monde ouvert, utilisées pour calculer cette valeur affichée du paramètre. Le moyen de validation 15 peut être un moyen physique, 10 tel qu'un bouton par exemple. Il peut également s'agir, de préférence, d'une interface homme/machine qui est affichée sur l'écran de visualisation 14 et qui peut être activée par un membre d'équipage. En outre, dans un mode de réalisation préféré, l'ensemble 1 comporte également une unité de filtrage 16 (« FILTER » pour « Filtering Unit » en anglais), 15 qui est reliée à l'unité de réception 6 et à l'unité de validation 8 respectivement par l'intermédiaire de liaisons 17 et 18. Cette unité de filtrage 16 est configurée pour réaliser un filtrage protocolaire de données issues du monde ouvert et réceptionnées dans l'ensemble 1 de gestion de vol, avant leur validation par la chaîne de validation 7. 20 Ainsi, dans ce mode de réalisation préféré, la sécurisation de l'envoi de données de la partie M2 du monde ouvert vers l'ensemble 1 de gestion de vol comprend la mise en oeuvre de deux niveaux de protection (ou de filtrage) : - un premier niveau de protection mis en oeuvre par l'unité de filtrage 16, qui est lié au protocole d'échange et au format des données. Ce filtrage permet de 25 s'affranchir des problématiques de « flooding » et de rejeter des trames qui n'ont pas le format attendu ou bien des données hors domaine ; et - un second niveau de protection mis en oeuvre par l'unité de validation 8, qui est plus opérationnel et qui permet de filtrer des données erronées ou malveillantes par rapport à la fonction que ces données vont alimenter au niveau de l'aéronef, 30 mais qui ont été envoyées au bon format et n'ont donc pas été rejetées par le premier niveau de protection. 3051898 9 Par ailleurs, l'unité de validation 8 peut être réalisée de différentes manières. Dans une première variante de réalisation, l'unité de validation 8 est hébergée dans un système dédié. 5 En outre, dans une seconde variante de réalisation, l'unité de validation 8 comprend une pluralité de sous-systèmes répartis et hébergés dans une pluralité de systèmes ou calculateurs avioniques différents. Par ailleurs, la présente invention peut s'appliquer à différentes architectures usuelles d'ensemble de gestion de vol comprenant au moins deux 10 systèmes de gestion de vol. Dans une première architecture usuelle de type « split cockpit », telle que représentée par exemple sur la figure 1, l'ensemble 1 de gestion de vol comprend au moins un premier système de gestion de vol 2 dédié à un premier pilote pilotant l'aéronef à l'instant courant (ou « pilote en fonction », à savoir en anglais « PF » 15 pour « Pilot Flying ») et un second système de gestion de vol 3 dédié à un second pilote ne pilotant pas l'aéronef à l'instant courant (ou « pilote non en fonction », à savoir en anglais « PNF » pour « Pilot Non Flying »). Dans cette première architecture, ledit second système de gestion de vol 3 du pilote non en fonction, fait partie de la chaîne de validation 7. 20 En outre, dans une seconde architecture usuelle (non représentée), l'ensemble de gestion de vol comprend au moins un système de gestion de vol principal opérationnel et un système de gestion de vol de secours. Dans cette seconde architecture, le système de gestion de vol de secours fait partie de la chaîne de validation. 25 L'ensemble 1 de gestion de vol, tel que décrit ci-dessus, comprend donc : - une architecture usuelle à base d'au moins deux systèmes de gestion de vol 2 et 3, identique à celle des aéronefs existant ; et - une nouvelle fonction pour permettre une validation fonctionnelle (ou opérationnelle) sur le résultat de l'utilisation des données reçues par le système 30 client de ces données tout en assurant une ségrégation complète entre la chaîne de validation 7 et la chaîne de guidage active 4 utilisée pour guider l'aéronef. 3051898 10 Ledit ensemble 1 de gestion de vol permet ainsi d'assurer la sécurité des données reçues de la partie monde ouvert M2. L'ensemble 1 de gestion de vol présente une architecture avionique permettant de charger de façon sécurisée des données du monde ouvert, cette architecture s'appuyant sur les systèmes de 5 gestion de vol 2 et 3 actuels, sans nécessiter de modification lourde et coûteuse de l'architecture logicielle interne de ces systèmes de gestion de vol 2 et 3 pour assurer l'absence de corruption de paramètres, tels que la trajectoire de vol active, utilisés par les données que l'on souhaite insérer à partir du monde ouvert. La validation réalisée par la chaîne de validation 7 lors de l'insertion de 10 données du monde ouvert dans l'ensemble 1 n'est pas mise en oeuvre sur toute la durée du fonctionnement et du vol de l'aéronef. L'insertion de données du monde ouvert représente, en effet, un temps relativement court et une fréquence d'occurrence relativement faible sur la durée d'un vol. Ainsi, le système de gestion de vol 3 non actif (utilisé pour la validation) reste disponible pour la mise en oeuvre 15 de ses fonctions usuelles pour l'essentiel du temps de vol. Cette validation fonctionnelle de données, notamment de données de navigation à charger dans un système de gestion du vol (route, météo...), est efficace, car elle repose en particulier sur une vérification de cohérence par l'équipage de la trajectoire et des prédictions résultant de l'utilisation de ces 20 données par l'ensemble 1 de gestion de vol. On décrit, ci-après, le fonctionnement de l'ensemble 1 de gestion de vol pour sécuriser les données du monde ouvert reçues, en mettant en oeuvre un procédé de sécurisation. Le procédé de sécurisation comprend notamment une suite d'étapes de validation, mise en oeuvre après réception par l'ensemble 1 de 25 gestion de vol (via l'unité de réception 6) des données du monde ouvert à valider. La suite d'étapes SE est représentée sur la figure 2. Dans un mode de réalisation préféré, le procédé de sécurisation comporte également, comme représenté sur la figure 2, une étape de filtrage EO consistant à mettre en oeuvre un filtrage protocolaire des données du monde ouvert. Cette 30 étape de filtrage EO est mise en oeuvre par l'unité de filtrage 16, avant la mise en oeuvre de ladite suite SE d'étapes de validation. 3051898 11 En mode de fonctionnement normal, dans le cadre d'une architecture de type « split cockpit », de façon usuelle, le système de gestion de vol 3 non actif se synchronise sur le système de gestion du vol 2 actif et récupère le plan de vol actif et les données correspondantes de façon régulière, pour pouvoir remplacer le 5 système de gestion du vol 2 actif en cas de panne ou pour répondre à des exigences particulières de cette architecture en présentant une seconde image au pilote PNF. Sur réception de données de la partie monde ouvert M2, notamment d'un dispositif EFB, et après un filtrage protocolaire fructueux mis en oeuvre par l'unité 10 de filtrage 16, le système de gestion du vol 2 actif est informé par l'unité de validation 8 de la disponibilité de données en provenance de la partie monde ouvert M2, à l'aide d'un message affiché, par exemple de type « CPNY FPLN DATA ». Si l'équipage décide de recevoir les données, l'unité de validation 8 va 15 gérer la mise en oeuvre de la suite d'étapes SE. Cette suite d'étapes SE comprend, comme représenté sur la figure 2 (en lien avec les éléments de la figure 1) : - une étape de désynchronisation El consistant à désynchroniser les deux systèmes de gestion de vol 2 et 3, à l'aide de l'unité de validation 8, avec le 20 passage du système de gestion de vol 3 non actif dans un mode indépendant ; - une étape de traitement auxiliaire E2 consistant à vider le système de gestion de vol 3 non actif, le cas échéant, des plans de vol qu'il contient ; - une étape de traitement de données E3 consistant à charger les données à valider dans un plan de vol dit secondaire du système de gestion de vol 3 non 25 actif, et à réaliser, à l'aide de l'unité de calcul 12 ou d'un autre élément de calcul, un calcul de la valeur d'au moins un paramètre à partir de ces données. De préférence, l'étape de traitement de données E3 consiste à réaliser un calcul de trajectoire et de prédictions ; - une étape d'affichage E4, mise en oeuvre par l'unité d'affichage 13, consistant à 30 afficher les résultats du calcul sur l'écran de visualisation 14 de l'unité d'affichage 13 pour informer l'équipage en vue de la validation, et à afficher une interface 3051898 12 homme/machine de validation/rejet (moyen de validation 15) pour que l'équipage puisse accepter ou refuser les données ; - une étape de validation E5, mise en oeuvre par l'équipage à l'aide du moyen de validation 15, à savoir ladite interface homme/machine, et consistant à valider ou 5 non les données par l'équipage ; - une étape ultérieure E6A consistant, en cas de validation des données par l'équipage : - à transférer les données validées au système de gestion de vol 2 actif (dans un plan de vol secondaire ou en variante directement dans le plan de 10 vol actif de ce système de gestion de vol 2) ; - à vider le plan de vol secondaire du système de gestion de vol 3 non actif, après le transfert des données ; et - à resynchroniser les deux systèmes de gestion de vol 2 et 3 pour que le système de gestion de vol 3 non actif s'initialise sur au moins un plan de vol 15 du système de gestion du vol 2 actif et reprenne ainsi son rôle de système dual pour servir à la fois de seconde source d'informations et de système de secours. En outre, en cas de non validation des données par l'équipage, le procédé comprend une étape ultérieure E6B consistant : 20 - à émettre un message d'erreur ; et - à effacer les données non validées du système de gestion de vol 3 non actif. Dans une architecture de type « split cockpit », le système de gestion de vol dédié au pilote PNF (ne pilotant pas l'aéronef) est utilisé pour la validation des données monde ouvert, en présentant ces données uniquement du côté PNF, les 25 données actives restant présentées de l'autre côté (PF) pour suivre le guidage de l'avion, ou en masquant temporairement les données actives éventuellement pour effectuer cette validation des deux côtés. Dans un premier mode de réalisation, l'unité de calcul 12 est intégrée dans le système de gestion de vol 3, et dans un second mode de réalisation, 30 l'unité de calcul 12 n'est pas intégrée dans le système de gestion de vol 3. L'ensemble 1 de gestion de vol, tel que décrit ci-dessus, présente de nombreux avantages. En particulier, il permet : 3051898 13 - d'optimiser l'architecture avionique en équilibrant les rôles des différentes instances de l'ensemble de gestion de vol ; - d'éviter des modifications lourdes et coûteuses des systèmes de gestion de vol ; et 5 - de ne pas faire reposer la démonstration de sécurité sur l'architecture du système de responsabilité équipementier. REVENDICATIONS1. Ensemble de gestion de vol d'un aéronef, ledit ensemble de gestion de vol (1) comportant au moins deux systèmes de gestion de vol (2, 3), dont l'un (2) dit actif à un instant courant fait partie d'une chaîne de guidage active (4) configurée pour fournir des données pour le guidage de l'aéronef à l'instant courant et dont l'autre (3) est dit non actif à l'instant courant, caractérisé en ce qu'il comporte d'une chaîne de validation (7), la chaîne de validation (7) comprenant le système de gestion de vol (3) non actif et une unité de validation (8) liée auxdits systèmes de gestion de vol (2, 3), la chaîne de validation (7) étant indépendante de la chaîne de guidage active (4) et étant configurée pour mettre en oeuvre une validation de données issues du monde ouvert et pour transmettre au moins audit système de gestion de vol (2) actif les données qui sont validées au cours de cette validation. 2. Ensemble de gestion de vol selon la revendication 1, caractérisé en ce que l'unité de validation (8) comprend : - une unité de stockage (11) configurée pour stocker des données issues du monde ouvert à valider ; - une unité de calcul (12) configurée pour calculer une valeur d'au moins un 20 paramètre à partir de ces données ; et - une unité d'affichage (13) configurée pour afficher au moins la valeur calculée du paramètre sur au moins un écran de visualisation (14), ladite unité d'affichage (13) comprenant au moins un moyen de validation (15) permettant à un opérateur de déclarer valides des données du monde ouvert, utilisées pour calculer cette valeur 25 affichée du paramètre. 3. Ensemble de gestion de vol selon l'une des revendications 1 et 2, ledit ensemble de gestion de vol (1) comprenant le système de gestion de vol (2) actif dédié à un premier pilote pilotant l'aéronef à l'instant courant et le système de gestion de vol (3) non actif dédié à un second pilote ne pilotant pas l'aéronef à 30 l'instant courant, 3051898 15 caractérisé en ce que la chaîne de validation (7) comprend ledit système de gestion de vol (3) dédié au second pilote ne pilotant pas l'aéronef à l'instant courant. 4. Ensemble de gestion de vol selon l'une des revendications 1 et 2, ledit 5 ensemble de gestion de vol comprenant au moins un système de gestion de vol principal opérationnel et un système de gestion de vol de secours, caractérisé en ce que la chaîne de validation comprend le système de gestion de vol de secours. 5. Ensemble de gestion de vol selon l'une quelconque des revendications 10 précédentes, caractérisé en ce qu'il comporte une unité de filtrage (16) configurée pour réaliser un filtrage protocolaire de données issues du monde ouvert et réceptionnées dans l'ensemble de gestion de vol (1), avant leur validation par la chaîne de validation (7). 15 6. Ensemble de gestion de vol selon l'une quelconque des revendications 1 à 5, caractérisé en ce que l'unité de validation (8) est hébergée dans un système dédié. 7. Ensemble de gestion de vol selon l'une quelconque des revendications 1 à 5, caractérisé en ce que l'unité de validation comprend une pluralité de sous-systèmes répartis et hébergés dans une pluralité de systèmes avioniques différents. 8. Procédé de sécurisation de données du monde ouvert à l'aide d'un ensemble de gestion de vol (1) selon l'une quelconque des revendications 1 à 7, caractérisé en ce qu'il comprend une suite d'étapes de validation (SE), mise en oeuvre après réception par l'ensemble de gestion de vol (1) des données du monde ouvert à valider, et comprenant : - une étape de désynchronisation (El ) consistant à désynchroniser les deux systèmes de gestion de vol (2,3), à l'aide d'une unité de validation (8) ; - une étape de traitement de données (E3) consistant à charger les données à valider dans un plan de vol dit secondaire du système de gestion de vol (3) non 3051898 16 actif, et à réaliser dans le système de gestion de vol (3) non actif un calcul de la valeur d'au moins un paramètre correspondant, à l'aide de ces données ; - une étape d'affichage (E4), mise en oeuvre par une unité d'affichage (13), consistant à afficher les résultats du calcul sur au moins un écran de visualisation 5 (14) de l'unité d'affichage (13) pour validation ; - une étape de validation (E5), mise en oeuvre à l'aide d'un moyen de validation (15) et consistant à valider ou non les données ; - une étape ultérieure (E6A) consistant, en cas de validation des données, à transférer les données validées au système de gestion de vol (2) actif, à vider le 10 plan de vol secondaire du système de gestion de vol (3) non actif après transfert des données, et à resynchroniser les deux systèmes de gestion de vol (2,3) pour que le système de gestion de vol (3) non actif s'initialise sur au moins un plan de vol du système de gestion du vol (2) actif. 9. Procédé selon la revendication 8, 15 caractérisé en ce qu'en cas de non validation des données, l'étape ultérieure (E6B) consiste au moins à émettre un message d'erreur et à effacer les données non validées du système de gestion de vol (3) non actif. 10. Procédé selon l'une des revendications 8 et 9, caractérisé en ce que ladite suite d'étapes de validation (SE) comprend, entre 20 l'étape de désynchronisation (El ) et l'étape de traitement de données (E3), une étape de traitement auxiliaire (E2) consistant à vider le système de gestion de vol (3) non actif, le cas échéant, de plans de vol qu'il contient. 11. Procédé selon l'une des revendications 8 à 10, caractérisé en ce que l'étape de traitement de données (E3) consiste à réaliser un 25 calcul de trajectoire et de prédictions. 12. Procédé selon l'une des revendications 8 à 11, caractérisé en ce qu'il comporte une étape (E0) de filtrage protocolaire des données du monde ouvert, mise en oeuvre par une unité de filtrage (12), avant la mise en oeuvre de ladite suite d'étapes de validation (SE). 30 13. Aéronef, caractérisé en ce qu'il comprend un ensemble de gestion de vol (1) selon l'une quelconque des revendications 1 à 7.