Brevet FR3072475A1 — publié le 20190419

I Procédé de traitement d'une erreur lors de l'exécution d'une procédure avionique prédéterminée, programme d'ordinateur et système de détection et d'alerte associé La présente invention concerne un procédé de traitement d'une erreur lors de l'exécution d'une procédure avionique prédéterminée, le procédé étant mis en oeuvre automatiquement par un système de détection et d'alerte d'un aéronef, le procédé comprenant, la surveillance du fonctionnement d'un ou plusieurs dispositif(s) de l'aéronef, la surveillance étant basée sur le suivi d'une séquence représentative de la procédure avionique prédéterminée en cours de réalisation. L'invention concerne également un produit programme d'ordinateur comportant des instructions logicielles qui, lorsque mis en oeuvre par une unité de traitement d'informations intégrée au sein d'un système de détection et d'alerte d'un aéronef, met en oeuvre un tel procédé de traitement. L'invention concerne également un système de détection et d'alerte d'un aéronef comprenant, un module de surveillance du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef, le module surveillance étant propre à être connecté à un module de suivi d'une séquence représentative d'une procédure avionique prédéterminée en cours de réalisation. L'invention s'applique au domaine de l'avionique, et plus particulièrement à celui des systèmes de détection et d'alerte (FWS de l'anglais « Flight Warning system ») d'un aéronef, tel qu'un avion ou un hélicoptère. De façon classique, les systèmes de détection et d'alerte ont une double utilité, à savoir d'une part alerter le pilote lorsqu'une situation de vol anormale survient, et d'autre part présenter au pilote la ou les procédures permettant de traiter la défaillance associée à la situation anormale pour revenir à une situation sous contrôle garantissant la sécurité du vol et le retour au sol de l'aéronef. Dans les aéronefs actuels, la gestion des procédures est assurée de façon électronique par un module de gestion de procédures du système de détection et d'alerte. Plus précisément, actuellement un tel module de gestion de procédures restitue une ou plusieurs procédures avioniques à suivre en fonction de la phase de vol en cours et/ou en fonction de la situation de vol anormale rencontrée, chaque procédure étant constituée d'une suite d'instructions à suivre pour le bon déroulement de la procédure. L'équipage lit la ou les procédure(s) restituée(s), et réalise les actions (i.e. envoie des commandes) correspondant à chaque instruction sur les dispositifs avioniques de l'aéronef. L'équipage acquitte ensuite chaque instruction réalisée, ou selon une variante 2 alternative, le système de détection et d'alerte est propre à surveiller l'état des systèmes avec lesquels l'équipage a interagit et de fait le système de détection et d'alerte est lui-même propre à procéder à un tel acquittement. Cependant, peu importe le cas de prise en charge d'un tel acquittement, il n'en 5 reste pas moins que si une action ou commande erronée est envoyée à l'un des dispositifs avioniques, actuellement c'est à l'équipage de se rendre compte lui-même de l'erreur. Autrement dit, les systèmes de détection et d'alerte actuels ne sont pas en mesure de détecter si une action ou une commande est inappropriée dans le contexte de la 10 procédure en cours d'exécution. En effet, les systèmes de détection et d'alerte actuels sont uniquement propres à fournir une surveillance continue des états nominaux ou dégradés des dispositifs avioniques. Néanmoins, cette surveillance ne permet pas d'identifier si l'état détecté est adapté à la situation ou non. Par la suite, on entend par « commande inappropriée » d'une part une erreur de 15 commande associée à une faute de l'équipage correspondant à la réalisation par l'équipage d'une action erronée à la place de l'action attendue, ou l'oubli d'une action dans la séquence d'actions à effectuer, et d'autre part une erreur de commande associée à une défaillance de l'interface de commande correspondant par exemple à l'absence ou le retard d'envoi de la commande correspondant à l'action de l'équipage, la non 20 correspondance entre la commande envoyée et l'action de l'équipage, ou encore l'envoi d'une multitude de commandes alors que l'action de l'équipage n'en requérait qu'une seule. Les effets d'une commande erronée sont variables et plus au moins facilement détectables selon la criticité de la procédure, l'impact de la commande erronée sur les 25 performances de l'aéronef, le temps nécessaire à la correction de l'erreur, la nature de l'erreur (humaine, défaillance de l'interface de commande). L'identification d'une commande erronée mise en oeuvre par l'équipage n'est donc pas garantie et d'autant plus compromise en situation de stress devant une situation anormale ou de charge de travail élevée (notamment en cas de pannes multiples par 30 exemple). Un but de l'invention est donc de pallier les erreurs de détection et de correction humaine de commandes erronées en proposant une assistance automatisée (i.e. dépourvue d'intervention humaine) pour optimiser leur gestion et permettre d'améliorer la sécurité et la sérénité d'un équipage en cas d'apparition d'une situation de vol anormale. 35 Pour cela l'invention a pour objet un procédé de traitement d'une erreur lors de l'exécution d'une procédure avionique prédéterminée, le procédé étant mis en oeuvre 3 automatiquement par un système de détection et d'alerte d'un aéronef, le procédé comprenant, la surveillance du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef, la surveillance étant basée sur le suivi une séquence représentative de la procédure avionique prédéterminée en cours de réalisation, 5 le procédé comprenant en outre les étapes suivantes mises en oeuvre automatiquement par le système de détection et d'alerte de l'aéronef: - la détection d'une rupture de ladite séquence due à une commande erronée etiou à un saut d'au moins une commande attendue conformément à la procédure avionique prédéterminée en cours d'exécution, 10 - la restitution d'au moins une information représentative de ladite rupture de séquence. Suivant des modes particuliers de réalisation, le système d'affichage comporte une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : - la surveillance du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de 15 l'aéronef correspond à la surveillance d'états en temps réel du ou desdits dispositif(s) avionique(s), et dans lequel la détection comprend une comparaison des états en temps réel d'un ou plusieurs dispositif (s) avionique(s) de l'aéronef à au moins un des éléments suivants : - un ensemble d'états interdits, associés à la procédure avionique prédéterminée, et 20 stockés dans un premier espace mémoire dédié; - un ensemble d'états attendus, en fonction de l'instant d'exécution de la séquence représentative de la procédure avionique prédéterminée, l'ensemble d'états attendus étant stocké dans un deuxième espace mémoire dédié ; - lorsque la comparaison des états en temps réel et de l'ensemble d'états interdits 25 est positive, l'information représentative restituée correspond à une première alerte comprenant un premier triplet de données respectivement représentatives de : - la procédure prédéterminée, - l'état interdit détecté parmi les états en temps réel, et - d'une commande à exécuter recommandée pour pallier l'état interdit détecté ; 30 - lorsque la comparaison des états en temps réel et de l'ensemble d'états attendus est négative, l'information représentative restituée correspond à une deuxième alerte comprenant un deuxième triplet de données respectivement représentatives de : - la procédure prédéterminée, - l'état attendu manquant parmi les états en temps réel, et 4 - d'une commande à exécuter recommandée pour pallier l'état attendu manquant ou pour réitérer au moins une commande associée à au moins une étape précédente de la procédure prédéterminée ; - dans le premier et/ou le deuxième espaces mémoire dédiés, chaque état 5 respectivement interdit et/ou attendu est associé automatiquement à un niveau de criticité ; - la surveillance du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef correspond à la surveillance des commandes reçues en temps réel par le ou lesdits dispositif(s) avionique(s), et dans lequel la détection comprend une comparaison 10 desdites commandes reçues en temps réel avec un ensemble de commandes attendues, en fonction de l'instant d'exécution de la séquence représentative de la procédure avionique prédéterminée, l'ensemble de commandes attendues étant stocké dans un troisième espace mémoire dédié ; - lorsque la comparaison des commandes reçues en temps réel et de l'ensemble 15 des commandes attendues est négative, l'information représentative restituée correspond à une troisième alerte comprenant un troisième triplet de données respectivement représentatives de - la procédure prédéterminée, - d'une commande non attendue et/ou d'une commande manquante parmi les 20 commandes reçues en temps réel, et - d'une commande à exécuter recommandée pour pallier la commande non attendue et/ou manquante, et dans lequel le procédé comprend en outre une temporisation de : - l'exécution de la commande non attendue par restitution d'une requête de confirmation 25 de la commande non attendue à l'équipage, et/ou - la restitution de l'information représentative de ladite rupture de séquence, par transmission d'une requête de saisie de la commande manquante ; - le procédé comprend une étape préalable de construction d'une base de données comprenant au moins un desdits premier, deuxième, troisième espaces 30 mémoires dédiés, par apprentissage automatique ou par mise en oeuvre d'un moteur d'inférence. L'invention a également pour objet un produit programme d'ordinateur comportant des instructions logicielles qui, lorsque mis en oeuvre par une unité de traitement d'informations intégrée au sein système de détection et d'alerte d'un aéronef, met en 35 oeuvre un procédé de traitement tel que défini ci-dessus. 5 L'invention a également pour objet un système de détection et d'alerte d'un aéronef, comprenant, un module de surveillance du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef et de suivi d'une séquence représentative d'une procédure avionique prédéterminée en cours de réalisation, 5 le système de détection et d'alerte étant propre à traiter une erreur lors de l'exécution de la procédure avionique prédéterminée, et comprend en outre: - un module de détection d'une rupture de ladite séquence due à une commande erronée et/ou à un saut d'au moins une commande attendue conformément à la procédure avionique prédéterminée en cours d'exécution, 10 - un module de restitution d'au moins une information représentative de ladite rupture de séquence. L'invention et ses avantages seront mieux compris à la lecture de la description détaillée qui va suivre d'un mode de réalisation particulier, donné uniquement à titre d'exemple non limitatif, cette description étant faite en se référant aux dessins annexés 15 sur lesquels : - la figure 1 est une représentation générale sous forme de blocs du système de détection et d'alerte d'un aéronef selon l'invention ; - les figures 2 et 3 sont des représentations de deux variantes de système de détection et d'alerte d'un aéronef selon un premier mode de réalisation de l'invention ; 20 - les figures 4 à 8 sont des représentations de cinq variantes de système de détection et d'alerte d'un aéronef selon un deuxième mode de réalisation de l'invention ; - les figures 9 et 10 sont des organigrammes respectivement d'un procédé de traitement et d'un ensemble de données associé à une procédure avionique à utiliser pour détecter une erreur de commande selon un premier mode de réalisation ; 25 - les figures 11 et 12 sont des organigrammes respectivement d'un procédé de traitement et d'un ensemble de données associé à une procédure avionique à utiliser pour détecter une erreur de commande selon un deuxième mode de réalisation. En se référant la figure 1 générale, le système 10 de détection et d'alerte selon l'invention comprend tout d'abord classiquement un module 12 de surveillance du 30 fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef et de suivi d'une séquence représentative d'une procédure avionique prédéterminée en cours de réalisation. Plus précisément, un tel module 12 de surveillance est tout d'abord propre à mettre en oeuvre une fonction de calcul d'alertes et de contextes (i.e. de suivi de 35 procédure). En particulier, pour mettre en oeuvre une telle fonction, en utilisant comme entrées les différentes données physiques produites par les dispositifs avioniques 6 équipant l'aéronef, le module 12 de surveillance produit une liste d'évènements (alertes, changement de phase de vol...) et fournit également l'état des différents dispositifs avioniques (i.e. équipements) de l'aéronef et les différents contextes (phases de vol, conditions givrantes par ex) comme effectué par un système de détection et d'alerte 5 classique en se basant sur des combinaisons d'opérateurs mathématiques et logiques. A partir des alertes et des évènements détectés ci-dessus et également à partir de différentes entrées pilotes saisies pour naviguer au sein des procédures, un tel module 12 de surveillance est également propre à mettre en oeuvre une fonction de gestion de procédures consistant notamment à présenter à l'équipage la procédure pilote à réaliser 10 afin de lui permettre de suivre son bon déroulement. Plus précisément, une telle présentation consiste par exemple à fournir l'identifiant de la procédure et de la sous-procédure en cours de réalisation, une sous-procédure étant définie comme une séquence d'actions (i.e. une suite ordonnée d'actions) ne requérant pas de choix de la part de l'équipage, indiquer, par le biais d'une interface 15 visuelle (i.e. restitution sur un écran) ou sonore (i.e. au moyen d'un haut-parleur), l'actionneur de l'aéronef sur lequel l'équipage doit agir (ce qui correspond en anglais au « challenge ») et préciser en outre le type d'action (i.e. la commande attendue) à réaliser sur cet actionneur (ce qui correspond en anglais à la « response ») et la contrainte de temps associée pour mettre en oeuvre une telle action. 20 De plus, le module 12 de surveillance, propre à mettre en oeuvre une telle fonction de gestion de procédure, est également propre à permettre à l'équipage d'acquitter les actions une fois celles-ci réalisées. Un tel acquittement permet entre autre de garantir que l'équipage aura une vision correcte de l'état de la procédure en cas d'interruption de la réalisation de celle-ci (notamment en cas de sollicitation du centre sol par exemple). 25 Optionnellement, le module 12 de surveillance, selon une version plus automatisée est propre à permettre à l'équipage d'effectuer directement et automatiquement l'action depuis la procédure avionique présentée. En d'autres termes, une procédure avionique en cours de réalisation dépend de la criticité (propre à instaurer un niveau de priorité inter-évènement) des évènements et 30 alertes détectées et également des choix et actions de l'équipage. Par ailleurs, en cas de survenue d'un évènement de priorité supérieure à l'évènement associé à la procédure avionique en cours d'exécution, le module 12 de surveillance est propre à interrompre la procédure avionique en cours et présenter automatiquement une procédure avionique plus adaptée à l'évènement de priorité 35 supérieure en termes de criticité. 7 L'équipage reste toutefois libre d'interagir avec le module 12 de surveillance de sorte à modifier l'ordre de traitement des actions des procédures via une interface de commande. Selon la présente invention, le système 10 de détection et d'alerte est 5 spécifiquement propre à traiter une erreur lors de l'exécution de la procédure avionique prédéterminée par l'équipage, et comprend pour ce faire en outre un module 14 de détection automatique (i.e. sans intervention humaine) d'une rupture de la séquence due à une commande erronée (par exemple saisie par l'équipage ou résultant d'un automate exécutant, la séquence associée à la procédure, à la place de l'équipage 22), et/ou à un 10 saut d'au moins une commande attendue conformément à la procédure avionique prédéterminée en cours d'exécution, et un module 16 de restitution d'au moins une information représentative de la rupture de séquence. Plus précisément, le module 14 de détection est propre à mettre en oeuvre une fonction de détection d'erreur selon au moins deux modes de réalisation distincts, selon 15 que la détection d'erreur est basée sur les états des dispositifs avioniques une fois l'action ou les actions de l'équipage acquittée(s) tel qu'illustré par les variantes structurelles de systèmes de détection et d'alerte des figures 2 et 3, ou selon que la détection d'erreur est basée sur la nature de la ou des commande(s) reçue(s) en temps réel par l'équipage tel qu'illustré par les variantes structurelles de systèmes de détection et d'alerte des figures 4 20 à8. Selon un premier mode de réalisation, dit de « détection et de récupération » (en anglais « detect and recover») tel qu'illustré par les figures 2 et 3, le module 14 de détection est propre à signaler une action erronée ou un oubli dans la réalisation d'une procédure en cours d'exécution, la procédure avionique étant de type « normal », à savoir 25 par exemple relative à l'atterrissage de l'aéronef, ou bien une procédure de type « anormale » relative au traitement d'une défaillance d'un dispositif avionique. Pour ce faire, le système de détection et d'alerte 10 est propre à être structuré selon une première variante en une « structure intégrée », par exemple multi-instanciée, tel que représentée sur la figure 2, en d'autres termes où la majorité des modules 30 constitutifs du système de détection et d'alerte selon l'invention sont intégrés au sein d'un même boîtier (i.e. ensemble) 17. Plus précisément, un tel système de détection et d'alerte 10 comprend un équipement 18 de surveillance d'états en temps réel du ou des dispositif(s) avionique(s) de l'aéronef et un équipement 20 de gestion de procédures avioniques, ces deux 35 équipements 18 et 20 formant le module 12 de surveillance précédemment indiqué en relation avec la figure 1. 8 L'équipement 18 de surveillance d'états en temps réel du ou des dispositif(s) avionique(s) est propre à fournir en temps réel des alertes, des évènements, des commandes reçues et des états associés aux dispositifs avioniques de l'aéronef d'une part à l'équipement 20 de gestion de procédures avioniques, lui-même propre à recevoir 5 en entrée les actions de l'équipage 22, et d'autre part des évènements et des états associés aux dispositifs avioniques de l'aéronef à l'équipement 24 de détection d'erreur, c'est-à-dire de détection d'une rupture dans la séquence représentative de la procédure en cours d'exécution. Par ailleurs, l'équipement 20 de gestion de procédures avioniques est propre à 10 fournir à l'équipement 24 de détection d'erreur l'identifiant de la procédure avionique en cours d'exécution (ou à exécuter) ainsi que la séquence d'actions associées. En d'autres termes, selon la variante de réalisation de la figure 2, l'équipement 24 de détection d'erreur constitue le module 14 de détection de la figure 1. Plus précisément, l'équipement 24 de détection d'erreur est propre à comparer, au 15 moyen d'un comparateur non représenté, des états en temps réel d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef à au moins un des éléments suivants : - un ensemble d'états interdits, associés à la procédure avionique prédéterminée, et stockés dans un premier espace mémoire dédié ; - un ensemble d'états attendus, en fonction de l'instant d'exécution de la séquence 20 représentative de la procédure avionique prédéterminée, l'ensemble d'états attendus étant stocké dans un deuxième espace mémoire dédié. Selon la représentation de la figure 2, le premier espace mémoire dédié et le deuxième espace mémoire dédié sont stockés au sein d'une base de données 28 du système 10 de détection et d'alerte selon la présente invention. 25 De plus, l'équipement 24 de détection d'erreur, comme l'équipement 18 de surveillance d'états et/ou de commande reçues sont tous deux propres à être connectés à l'écran 30 du module de restitution 16 d'au moins une information représentative de la rupture de séquence de la figure 1. Selon une variante de réalisation l'écran 30 est un écran existant de l'aéronef. 30 Selon une autre variante, l'écran 30 est dédié au système 10 de détection et d'alerte de l'invention. En particulier, l'équipement 18 de surveillance d'états et/ou de commande reçues est propre à transmettre pour restitution sur l'écran 30 à l'équipage 22 les alertes, évènements et états d'un ou de plusieurs dispositifs avioniques surveillés et détecté en 35 temps réel. 9 L'équipement 24 de détection d'erreur est quant à lui propre à restituer une information représentative, qui lorsque le résultat de comparaison des états en temps réel et de l'ensemble d'états interdits de la base de données 28 fourni par le comparateur est positif, correspond à une première alerte comprenant un premier triplet de données 5 respectivement représentatives de la procédure prédéterminée, l'état interdit détecté parmi les états en temps réel, et d'une commande à exécuter recommandée pour pallier l'état interdit détecté, ou lorsque le résultat de comparaison des états en temps réel et de l'ensemble d'états attendus de la base de données 28 fourni par le comparateur est négatif, correspond à une deuxième alerte comprenant un deuxième triplet de données 10 respectivement représentatives de la procédure prédéterminée, l'état attendu manquant parmi les états en temps réel, et d'une commande à exécuter recommandée pour pallier l'état attendu manquant ou pour réitérer au moins une commande associée à au moins un état précédent de la procédure prédéterminée. Par la suite, par « positif », « positive », on entend en termes de comparaison, par 15 exemple, que l'un des états en temps réel d'un ou de plusieurs dispositifs avioniques est un état interdit. Par « négatif », « négative », on entend en termes de comparaison, par exemple, que l'un des états en temps réel d'un ou de plusieurs dispositifs avioniques ne correspond pas à un état attendu, ou que l'un des états attendus à l'instant d'exécution de la procédure est manquant parmi les états en temps réel surveillés. 20 Selon un aspect particulier, dans le premier et/ou le deuxième espace mémoire dédié de la base de données 28, chaque état respectivement interdit et/ou attendu est associé automatiquement à un niveau de criticité dont dépend le nombre d'évènements à surveiller et d'évènements redoutés plus ou moins important. Dans la base de données 28, un niveau de criticité défini selon une classification 25 hiérarchisée allant de « majeur » (le niveau de criticité le plus bas) à « catastrophique » (le niveau de criticité le plus haut) en passant par un niveau de criticité intermédiaire « dangereux » (en anglais respectivement « major », « hazardous », « catastrophic ») est utilisé pour classifier les erreurs. En relation avec la figure 3, une autre variante de ce premier mode de réalisation 30 est représentée dans laquelle, à la différence de la structure de système de détection et d'alerte de la figure 2, la structure de système de détection et d'alerte selon la figure 3 est « distribuée » dans au moins deux boîtiers (i.e. ensemble) distincts 32 et 34 comprenant chacun un équipement 18A et 18B de surveillance d'états en temps réel du ou des dispositif(s) avionique(s) de l'aéronef. 35 Autrement dit, selon cette structure distribuée, des ensembles d'équipements distincts 32 et 34, éventuellement chacun multi-instancié sont mis en oeuvre pour assurer 10 une ségrégation fine permettant d'accroitre le niveau de sécurité du système de détection et d'alerte 10. Selon un deuxième mode de réalisation, dit d'« empêchement et de récupération)> (en anglais « preclude and recover ») tel qu'illustré par les figures 4 à 8, le module 14 de 5 détection est propre à empêcher la réalisation d'une action erronée résultant d'un choix inapproprié de l'équipage 22 ou bien d'une défaillance d'un système de traitement de panne non représenté. Un tel mode de réalisation suppose une architecture avionique globale de l'aéronef intégrant un système de gestion automatisée des dispositifs avioniques et grâce à 10 laquelle l'équipage 22 n'agit plus directement sur les dispositifs avioniques de l'avion. Autrement dit, dans une telle architecture, toutes les commandes que l'équipage 22 réalise sont déclenchées via un ou plusieurs systèmes embarqués (et non directement par l'équipage 22) propres à envoyer des commandes vers les systèmes externes et avioniques (de l'anglais « utilities »). 15 De même que pour le premier mode de réalisation précédemment décrit, selon le deuxième mode de réalisation le système de détection et d'alerte 10 est également propre à être structuré selon deux premières variantes en une « structure intégrée », par exemple multi-instanciée, tel que représentées sur les figures 4 et 5, en d'autres termes où la majorité des modules constitutifs du système 10 de détection et d'alerte selon 20 l'invention sont intégrés au sein d'un même boîtier (i.e. ensemble) 40A sur la figure 4 et 40B sur la figure 5. En termes de structure, les systèmes de détection et d'alerte intégrés des figures 4 et 5 diffèrent de celui de la figure 2 par la nature de l'équipement 36 de détection d'erreur plus spécifiquement propre au mode de réalisation d'« empêchement et de 25 récupération ». En effet, l'équipement 36 de détection d'erreur est propre à comparer les commandes reçues en temps réel, et fournies par l'équipement 18 de surveillance, avec un ensemble de commandes attendues, en fonction de l'instant d'exécution de la séquence représentative de la procédure avionique prédéterminée, l'ensemble de 30 commandes attendues étant stocké dans un troisième espace mémoire dédié de la base de données 28. Par ailleurs, l'équipement 36 de détection d'erreur, en cas de comparaison négative des commandes reçues en temps réel et de l'ensemble des commandes attendues, est propre à agir sur le traitement des commandes reçues avant leur exécution 35 en restituant sur l'écran 30 une information représentative correspondant par exemple à une troisième alerte comprenant un troisième triplet de données respectivement 11 représentatives de la procédure prédéterminée, d'une commande non attendue et/ou d'une commande manquante parmi les commandes reçues en temps réel, et d'une commande à exécuter recommandée pour pallier la commande non attendue et/ou manquante. 5 De plus, l'équipement 36 de détection d'erreur est spécifiquement propre à mettre en oeuvre une temporisation de l'exécution de la commande non attendue par restitution d'une requête de confirmation de la commande non attendue à l'équipage 22 sur l'écran 30, et/ou une temporisation de la restitution de l'information représentative de la rupture de séquence, par transmission d'une requête de saisie de la commande manquante. 10 En relation avec la figure 4, en fonction de l'action mise en oeuvre par l'équipage 22, l'équipement 36 de détection d'erreur est propre à délivrer directement la commande non attendue confirmée (i.e. validée) par l'équipage 22 et/ou la commande manquante saisie par l'équipage 22 à un système de commande 38. Un tel système de commande 38 n'est pas nécessairement un système commandé en tant que tel, par exemple, il s'agit 15 d'une passerelle (de l'anglais « gateway »), de type relais, ou d'un actionneur permettant de piloter le dispositif avionique cible de manière indirecte. En variante, en relation avec la figure 5, l'équipement 36 de détection d'erreur est propre à autoriser ou non la commande non attendue et/ou la commande manquante envoyée par l'équipage 22 au système 38 de commande. 20 En d'autres termes, dans cette architecture de système 10 de détection et d'alerte du deuxième mode de réalisation d'« empêchement et de récupération », soit, tel que représenté sur la figure 4, la commande reçue correspond à une commande attendue est transmise directement par le système 10 de détection et d'alerte à un système 38 de commande cible, soit, tel que représenté sur la figure 5, la commande transmise 25 directement par l'équipage 22 au système de commande 38 est autorisée, ou non en cas de divergence avec une commande attendue, par le système 10 de détection et d'alerte. Ainsi, dans le premier cas de la figure 4, le système 10 de détection et d'alerte évite les erreurs de l'équipage 22 en ne transmettant directement que les commandes reçues conformes aux commandes attendues de la base de données 28 ou à tout le 30 moins confirmée par l'équipage 22, et dans le second cas de la figure 5, le système 10 de détection et d'alerte évite les erreurs de l'équipage mais également les erreurs pouvant être générées lors de la production des commandes (i.e. des erreurs dues à une défaillance système et non à une erreur de l'équipage 22. Les figures 6 à 8 illustrent différentes variantes d'une architecture distribuée (i.e. 35 répartie dans des boîtiers 42, 44 (i.e. ensembles) distincts (multi-instancié ou non) du système de détection et d'alerte 10 selon le deuxième mode de réalisation. 12 Plus précisément, la variante de la figure 6 est la structure distribuée dans les boîtiers 42A et 44A correspondant à la structure intégrée de la figure 5. La figure 7 représente une alternative à l'architecture distribuée de la figure 6 dans la distribution est répartie au sein des boîtiers 42B et 44B, et dans laquelle l'équipement 5 20 de gestion de procédures avioniques est propre à centraliser et retransmettre les commandes de l'équipage, via la liaison 45 sans fil ou filaire, au système de commande La variante de la figure 8 est, quant à elle, la structure distribuée dans les boîtiers 42C et 44C correspondant à la structure intégrée de la figure 5. Autrement dit, selon cette 10 structure c'est l'équipement 36 de détection d'erreur qui est propre à centraliser et retransmettre les commandes reçues de l'équipage 22. Ainsi, selon l'ensemble des exemples d'architecture de systèmes 10 de détection et d'alerte illustré par les figures 2 à 8, en comparaison avec les systèmes de détection et d'alerte classiques, le système 10 de détection et d'alerte selon la présente invention 15 comprend ou est propre à être connecté à une base de données 28 consultée en temps réel pour détecter les erreurs de commande. Selon un aspect particulier, la mise en oeuvre de l'un ou l'autre des deux modes de réalisation précédemment décrits est sélectionnable au moyen d'un outil de sélection, non représenté, du système de détection et d'alerte selon l'invention, par exemples un 20 bouton pression ou un commutateur activable manuellement ou à distance via une liaison radio. En relation avec les figures 9 à 12, le procédé de traitement d'une erreur lors de l'exécution d'une procédure avionique prédéterminée selon la présente invention est décrit ci-après. 25 De manière générale, le procédé comprend trois étapes principales à savoir une étape 46 de surveillance du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef, la surveillance 46 étant basée sur le suivi une séquence représentative de la procédure avionique prédéterminée en cours de réalisation, une étape 48 de détection d'une rupture de la séquence due à une commande erronée (par exemple saisie par 30 l'équipage ou résultant d'un automate exécutant, la séquence associée à la procédure, à la place de l'équipage 22) et/ou à un saut d'au moins une commande attendue conformément à la procédure avionique prédéterminée en cours d'exécution, et une étape 50 de restitution d'au moins une information représentative de ladite rupture de séquence. Les figures 9 et 11 représentent deux modes de réalisation de mise en oeuvre du 35 procédé selon l'invention consistant en des variantes de réalisation des étapes principales 46, 48, et 50 précédemment citées. 38. 13 De plus de manière générale, chaque procédure avionique est stockée et restituée par l'équipement 20 de gestion (i.e. suivi) de procédure précédemment décrit sous la forme d'une séquence d'actions que l'équipage 22 doit mettre en oeuvre. Les figures 10 et 12 illustrent respectivement un ensemble de données associé à une procédure avionique 5 à utiliser pour détecter une erreur de commande selon deux modes de réalisation de l'invention. En relation avec la figure 9, le procédé est décrit selon le premier mode de réalisation dit de « détection et de récupération » (en anglais « detect and recover ») dont le système de détection et d'alerte associé est illustré par les figures 2 et 3. 10 Plus précisément, selon ce premier mode de réalisation, l'étape de surveillance 46 du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef comprend d'une part une étape 52 de surveillance d'états en temps réel du ou des dispositif(s) avionique(s) et une étape 54 de suivi d'une séquence représentative de la procédure avionique prédéterminée en cours de réalisation. Selon ce premier mode de réalisation la 15 séquence porte sur la liste des états des dispositifs avioniques à surveiller au fur et à mesure du déroulement de la procédure. Puis, selon ce premier mode de réalisation, l'étape 48 de détection d'une rupture de la séquence associée à la procédure avionique en cours d'exécution comprend soit une étape 58 de comparaison des états en temps réel d'un ou plusieurs dispositif(s) 20 avionique(s) de l'aéronef à un ensemble d'états interdits, associés à la procédure avionique prédéterminée, et stockés dans un premier espace mémoire dédié de la base de données 28 précédemment décrite, soit une étape 58 de comparaison des états en temps réel d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef à un ensemble d'états attendus, en fonction de l'instant d'exécution de la séquence représentative de la 25 procédure avionique prédéterminée, l'ensemble d'états attendus étant stocké dans un deuxième espace mémoire dédié de la base de données 28, ou encore les deux étapes de comparaison 58 et 60. Selon ce premier mode de réalisation, l'étape 50 de restitution d'au moins une information représentative de ladite rupture de séquence comprend respectivement pour 30 chaque étape de comparaison 58 et/ou 60 précédemment citées : - lorsque la comparaison 58 des états en temps réel et de l'ensemble d'états interdits est positive, l'information représentative restituée correspond à la restitution 62 d'une première alerte comprenant un premier triplet de données respectivement représentatives de la procédure prédéterminée (e.g. un identifiant), l'état interdit détecté parmi les états en 35 temps réel, et d'une commande à exécuter recommandée pour pallier l'état interdit détecté ; 14 - lorsque la comparaison des états en temps réel et de l'ensemble d'états attendus est négative, l'information représentative restituée correspond à la restitution 64 d'une deuxième alerte comprenant un deuxième triplet de données respectivement représentatives de la procédure prédéterminée, l'état attendu manquant parmi les états 5 en temps réel, et d'une commande à exécuter recommandée pour pallier l'état attendu manquant ou pour réitérer au moins une commande associée à au moins une étape précédente de la procédure prédéterminée. En d'autres termes, selon ce premier mode de réalisation, au fur et à mesure de l'avancement de la procédure avionique en cours d'exécution, lorsqu'un évènement 10 survient sur un des dispositifs avioniques surveillés, selon le procédé de l'invention, un accès à la base de données de connaissance 28 est opéré et les surveillances par comparaison aux évènements redoutés qui lui sont liés sont mises en oeuvre pour assurer un bon déroulement de la procédure. Dès que l'une des commandes redoutées associées à un évènement système 15 redouté est détectée, le message d'erreur qui lui est propre est automatiquement présenté à l'équipage 22 afin de l'alerter sur le fait qu'il est en train de commettre une erreur et/ou qu'une défaillance d'interprétation de sa commande est présente, et/ou de présenter à l'équipage la liste des actions restantes à réaliser pour pallier cette erreur. Optionnellement, selon une étape préalable non représentée, par exemple lors de 20 la conception de l'aéronef, le procédé comprend la construction, par exemple, par apprentissage automatique (de l'anglais « machine leaming ») ou par mise en oeuvre d'un moteur d'inférence à partir d'analyses de sécurité de l'aéronef, de la base de données 28 comprenant au moins un des premier, deuxième, et troisième espaces mémoires dédiés précédemment cités. 25 Plus précisément, la base de données 28 est une base de données de connaissance des évènements surveillés selon l'invention et associés à une procédure prédéterminée. Les analyses de sécurité définissent les évènements et combinaisons d'évènements redoutés et leurs associe une criticité. En d'autres termes, pour prévenir une erreur de l'homme et/ou de la machine, on associe des états défaillants de systèmes 30 aux commandes pouvant être à leur origine. On exclue donc de fait, les défaillances internes du système. En relation avec la figure 10, la structure logicielle de l'ensemble de données associée à une procédure avionique prédéterminée stockée dans la base de données 28, par exemple une procédure avionique déclenchée en cas de perte d'un moteur sur un 35 aéronef correspondant à un avion bimoteur est représentée. 15 La structure logicielle de la figure 10 est une structure à base de référence (i.e. chaque type de données n'y est défini qu'une seule fois dans un souci de simplification) et est organisée sous la forme d'une association logique, également appelée arbre de dépendance, entre au moins cinq types de données à savoir les évènements à surveiller, 5 les évènements redoutés 68 associées, les caractéristiques 70 de l'aéronef associées, les commandes 72 associées et les messages 74 restitués à l'équipage correspondants. Une telle structure sous forme de base de référence permet d'éviter une redondance de définition et d'assurer une cohérence entre les procédures et la manière dont elles sont monitorées. 10 A titre illustratif, selon l'exemple de la figure 10, les évènements 66 à surveiller sont la coupure 76 du premier moteur et en conséquence la détection 78 de la défaillance de ce premier moteur. A la coupure 76 du premier moteur, les évènements 78 redoutés associés et considérés comme catastrophique, leur combinaison pouvant entrainer la perte de l'appareil, sont d'une par une coupure 80 de l'alimentation en carburant du 15 deuxième moteur ou une coupure 82 du deuxième moteur. A la coupure 80 de l'alimentation en carburant du deuxième moteur deux types de caractéristiques 70 avioniques sont associées à savoir : d'une part l'alimentation 84 du deuxième moteur par la pompe principale, ce qui revient à la détection de l'état 86 allumé de la pompe principale et éteint de la pompe 20 secondaire, la commande 72 redoutée associée est alors l'extinction 88 de la pompe principale et le message associé à l'action attendue pour y remédier 74 est l'allumage 90 de la pompe principale, et d'autre part l'alimentation 92 du deuxième moteur par la pompe secondaire, ce qui revient à la détection de l'état 94 allumé de la pompe secondaire et éteint de la pompe 25 principale, la commande 72 redoutée associée est alors l'extinction 96 de la pompe secondaire et le message associé 74 pour y remédier est l'allumage 98 de la pompe secondaire. A la coupure 82 du deuxième moteur deux types de caractéristiques avioniques 70 sont associées à savoir : 30 d'une part l'extinction 100 du deuxième moteur, la commande 72 redoutée associée est alors d'une part le réglage 102 du levier de puissance du deuxième moteur sur un régime ralenti de vol (FI de l'anglais « Flight Idle ») et le message associé 74 pour y remédier est le rallumage 104 du deuxième moteur, et d'autre part le réglage 106 du levier de contrôle du deuxième moteur sur la coupure de carburant, et le message 35 associé à l'action attendue 74 est également le rallumage 108 du deuxième moteur ; 16 d'autre part la mise en sécurité 110 du deuxième moteur, la commande 72 redoutée associée est alors de trois types : l'établissement 112 de la puissance de gestion du deuxième moteur sur le niveau « poussée continue maximale » (MCT de l'anglais « Maximum Continuous Thrust»), le réglage 116 du levier de puissance du 5 deuxième moteur sur un régime ralenti de vol, ou encore le réglage 120 du levier de contrôle du deuxième moteur sur la coupure de carburant et le message associé 74 pour remédier à chacun de ces trois types des commandes 72 redoutées est le rallumage 114, 118, 122 du deuxième moteur. De manière optionnelle, un tel arbre de dépendance est en outre conditionné par 10 la phase de vol en cours au moment de l'exécution par l'équipage 22 de la procédure prédéterminée de sorte que les caractéristiques avioniques 70 et les commandes redoutées associées 72 soient reconfigurables dans la base de données 28 en fonction de la phase de vol (i.e. atterrissage, décollage, virage, etc.) L'ensemble de données associé à une procédure avionique mise en oeuvre en cas 15 de perte intégrale des moyens de communication, également stockée dans la base de données 28, est propre à être organisé de manière similaire à l'exemple de la figure 10 précédemment décrit. La mise en oeuvre d'une telle procédure est également majeure en termes de criticité car entrainant une surcharge de travail pour l'équipage. En relation avec la figure 11, le procédé est décrit selon le deuxième mode de 20 réalisation dit d'« empêchement et de récupération » (en anglais « preclude and recover ») dont le système de détection et d'alerte associé est illustré par les figures 4 à 8. Plus précisément, selon ce deuxième mode de réalisation, l'étape de surveillance 46 du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef comprend 25 d'une part une étape 123 de surveillance des commandes reçues en temps réel par le ou lesdits dispositif(s) avionique(s) du ou des dispositif(s) avionique(s) et l'étape 54 de suivi d'une séquence représentative de la procédure avionique prédéterminée en cours de réalisation. Selon ce deuxième mode de réalisation la séquence porte sur la liste des commandes à réaliser pour traiter la procédure et non les états des dispositifs avioniques 30 associés au premier mode de réalisation. La liste de commandes associée à une procédure sera par exemple transmise de la manière suivante en spécifiant le laps de temps maximal pour la mise en oeuvre de la commande: commande 1 (coupure moteur 1 ; mise en sécurité moteur 1 ; 30s), commande 2 (coupure moteur 1 ; déclenchement extincteur 1 ; 10s), commande 3 (coupure moteur 1 ; contrôle de l'arrêt du feu moteur 1 ; 35 10s) ; commande 4 (réversion électrique ; allumage du groupe auxiliaire de puissance (APU en anglais pour « Auxiliary Power Unit »); 10s). D'autres variantes de description de 17 commandes sont utilisables notamment sous forme globale et macroscopique en cas de non ambiguïté, par exemple : commande 1 (Coupure Moteur 1 ; 50s), commande 2 (Réversion électrique ; 30s), etc. Puis, selon ce deuxième mode de réalisation, l'étape 48 de détection d'une rupture 5 de la séquence associée à la procédure avionique en cours d'exécution comprend une étape 124 de comparaison des commandes reçues en temps réel avec un ensemble de commandes attendues, en fonction de l'instant d'exécution de la séquence représentative de la procédure avionique prédéterminée, l'ensemble de commandes attendues étant stocké dans un troisième espace mémoire dédié de la base de données 28 10 précédemment décrite. Selon ce deuxième mode de réalisation, l'étape 50 ultérieure de restitution comprend lorsque la comparaison 124 des commandes reçues en temps réel et de l'ensemble des commandes attendues est négative, une étape de formation/restitution 126 de l'information représentative correspondant à une troisième alerte comprenant, par 15 exemple, un troisième triplet de données respectivement représentatives de la procédure prédéterminée, d'une commande non attendue et/ou d'une commande manquante parmi les commandes reçues en temps réel, et d'une commande à exécuter recommandée pour pallier la commande non attendue et/ou manquante. De plus, l'étape 50 ultérieure de restitution comprend également une temporisation 20 128 de l'exécution de la commande non attendue par restitution d'une requête de confirmation de la commande non attendue à l'équipage, et/ou de la restitution de l'information représentative de la rupture de séquence, par transmission d'une requête de saisie de la commande manquante. En d'autres termes, selon ce deuxième mode de réalisation, au fur et à mesure de 25 la détection des commandes saisies par l'équipage 22, le procédé selon ce deuxième mode de réalisation contrôle l'avancement de l'exécution de la liste de commandes associées à la procédure avionique à suivre. En cas de détection 124 d'une commande qui ne correspond pas à la procédure, la commande n'est pas directement envoyée au dispositif avionique destinataire, mais une confirmation est auparavant demandée à 30 l'équipage 22 pour s'assurer que la commande divergente en question correspond bien à son intention. De la même manière, si une commande attendue identifiée dans la liste de commandes associée à la procédure à suivre n'est pas réalisée au bout du temps qui lui est associé, la détection 124 mise en oeuvre selon ce deuxième mode de réalisation remontera un message à l'équipage 22 pour s'assurer que ce n'est pas un oubli. 35 Selon une variante complètement automatisée , ce deuxième mode de réalisation est notamment propre à être mis en oeuvre pour en outre déclencher/corriger de manière 18 automatique les différentes commandes attendues en l'absence de réaction de l'équipage 22, et/ou pour aider l'équipage 22 dans une situation de stress, et/ou encore pour contrôler la bonne exécution de la procédure avionique à exécuter, qu'elle soit pilotée par le seul procédé selon l'invention ou bien en combinaison avec un ou plusieurs systèmes.. 5 En relation avec la figure 12, la structure logicielle de l'ensemble de données associée à une procédure avionique prédéterminée stockée dans la base de données 28 mise en oeuvre selon ce deuxième mode de réalisation est également représentée. Comme indiqué précédemment cette structure logicielle est similaire à celle mise en oeuvre selon le premier mode de réalisation. Par exemple, sur la figure 12 est également 10 représenté selon le deuxième mode de réalisation l'arbre de dépendance associée à une procédure avionique déclenchée en cas de perte d'un moteur sur un aéronef correspondant à un avion bi-moteur. En comparaison avec la figure 10, l'arbre de référence de la figure 12 comprend des caractéristiques avioniques 70 supplémentaires à surveiller liées à la perte du premier moteur, ces caractéristiques n'étant cette fois pas 15 liées à un évènement redouté mais déterminant les commandes 72 attendues à surveiller, à savoir : - d'une part l'extinction 130 du premier moteur, la commande 72 attendue associée est alors d'une part le réglage 132 du levier de puissance du premier moteur sur un régime ralenti de vol (FI de l'anglais « Right !die ») et le message associé 74 restitué à 20 l'équipage 22 pour concrétiser cette action est l'arrêt 134 du premier moteur, et d'autre part le réglage 136 du levier de contrôle du premier moteur sur la coupure de carburant, et le message associé 74 est également l'arrêt 138 du premier moteur; - d'autre part la mise en sécurité 140 du premier moteur, la commande 72 attendue associée est alors de trois types : l'établissement 112 de la puissance de gestion du 25 premier moteur sur le niveau « poussée continue maximale » (MCT de l'anglais « Maximum Continuous Thrust »), le réglage 116 du levier de puissance du premier moteur sur un régime ralenti de vol, ou encore le réglage 120 du levier de contrôle du premier moteur sur la coupure de carburant et le message associé 74 à chacun de ces trois types de commandes 72 attendues est l'arrêt 144, 148, 152 du premier moteur. 30 On conçoit ainsi que la présente invention propose au moins de permettre la détection et la correction d'une action erronée en assistant automatiquement l'équipage dans la détection de la réalisation d'une commande erronée, en lui montrant qu'une rupture de séquence a eu lieu dans la procédure, le cas échéant lui expliquer en outre quelle est la cause de la rupture de séquence, et également aider l'équipage à résoudre 35 cette rupture (en prenant en compte la priorité entre la correction de l'action erronée et le besoin de reprendre la procédure). 19 De plus, selon un deuxième mode de réalisation, sous réserve de la mise en oeuvre d'une architecture système particulière où l'équipage n'agit pas directement sur les dispositifs avioniques à commander, la réalisation de la commande erronée de l'équipage 22 est propre à être évitée (i.e. la commande erronée est filtrée) pour ainsi empêcher la 5 dégradation de la sécurité du vol. La présente invention permet ainsi un gain de temps significatif dans la prise en compte et la correction de la commande erronée par l'équipage REVENDICATIONS1.- Procédé de traitement d'une erreur lors de l'exécution d'une procédure avionique prédéterminée, le procédé étant mis en oeuvre automatiquement par un système (10) de détection et d'alerte d'un aéronef, le procédé comprenant, la surveillance (46) du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef, la surveillance (46) étant basée sur le suivi (54) une séquence représentative de la procédure avionique prédéterminée en cours de réalisation, caractérisé en ce qu'il comprend en outre les étapes suivantes mises en oeuvre automatiquement par le système de détection et d'alerte de l'aéronef: - la détection (48) d'une rupture de ladite séquence due à une commande erronée et/ou à un saut d'au moins une commande attendue conformément à la procédure avionique prédéterminée en cours d'exécution, - la restitution (50) d'au moins une information représentative de ladite rupture de 15 séquence. 2.- Procédé selon la revendication 1, dans lequel la surveillance (46) du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef correspond à la surveillance (52) d'états en temps réel du ou desdits dispositif(s) avionique(s), et dans 20 lequel la détection (48) comprend une comparaison (58, 60) des états en temps réel d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef à au moins un des éléments suivants : - un ensemble d'états interdits, associés à la procédure avionique prédéterminée, et stockés dans un premier espace mémoire dédié (28); - un ensemble d'états attendus, en fonction de l'instant d'exécution de la séquence 25 représentative de la procédure avionique, l'ensemble d'états attendus étant stocké dans un deuxième espace mémoire dédié (28). 3.- Procédé selon la revendication 2, dans lequel lorsque la comparaison (58) des états en temps réel et de l'ensemble d'états interdits est positive, l'information 30 représentative restituée (62) correspond à une première alerte comprenant un premier triplet de données respectivement représentatives de : - la procédure prédéterminée, - l'état interdit détecté parmi les états en temps réel, et - d'une commande à exécuter recommandée pour pallier l'état interdit détecté. 35 21 4.- Procédé selon la revendication 2 ou la revendication 3, dans lequel lorsque la comparaison (60) des états en temps réel et de l'ensemble d'états attendus est négative, l'information représentative restituée (64) correspond à une deuxième alerte comprenant un deuxième triplet de données respectivement représentatives de : 5 - la procédure prédéterminée, - l'état attendu manquant parmi les états en temps réel, et - d'une commande à exécuter recommandée pour pallier l'état attendu manquant ou pour réitérer au moins une commande associée à au moins une étape précédente de la procédure prédéterminée. 10 5.- Procédé selon l'une quelconque des revendications 2 à 4, dans lequel, dans le premier et/ou le deuxième espaces mémoire dédiés (28), chaque état respectivement interdit et/ou attendu est associé automatiquement à un niveau de criticité. 6.- Procédé selon la revendication 1, dans lequel la surveillance (46) du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef correspond à la surveillance (123) des commandes reçues en temps réel par le ou lesdits dispositif(s) avionique(s), et dans lequel la détection (48) comprend une comparaison (124) desdites commandes reçues en temps réel avec un ensemble de commandes attendues, en fonction de l'instant d'exécution de la séquence représentative de la procédure avionique prédéterminée, l'ensemble de commandes attendues étant stocké dans un troisième espace mémoire dédié. 7.- Procédé selon la revendication 6, dans lequel lorsque la comparaison (124) des commandes reçues en temps réel et de l'ensemble des commandes attendues est négative, l'information représentative restituée (126) correspond à une troisième alerte comprenant un troisième triplet de données respectivement représentatives de - la procédure prédéterminée, - d'une commande non attendue et/ou d'une commande manquante parmi les commandes reçues en temps réel, et - d'une commande à exécuter recommandée pour pallier la commande non attendue et/ou manquante, et dans lequel le procédé comprend en outre une temporisation (128) de : - l'exécution de la commande non attendue par restitution d'une requête de confirmation de la commande non attendue à l'équipage, et/ou 22 - la restitution de l'information représentative de ladite rupture de séquence, par transmission d'une requête de saisie de la commande manquante. 8.- Procédé selon l'une quelconque des revendications précédentes, dans lequel 5 le procédé comprend une étape préalable de construction d'une base de données (28) comprenant au moins un desdits premier, deuxième, troisième espaces mémoires dédiés, par apprentissage automatique ou par mise en oeuvre d'un moteur d'inférence. 9.- Produit programme d'ordinateur comportant des instructions logicielles qui 10 lorsqu'elles sont mises en oeuvre par une unité de traitement d'informations intégrée au sein d'un système de détection et d'alerte d'un aéronef, mettent en oeuvre le procédé de traitement selon l'une quelconque des revendications précédentes. 10.- Système (10) de détection et d'alerte d'un aéronef, comprenant, un module 15 (12) de surveillance du fonctionnement d'un ou plusieurs dispositif(s) avionique(s) de l'aéronef et de suivi d'une séquence représentative d'une procédure avionique prédéterminée en cours de réalisation, caractérisé en ce que le système (10) de détection et d'alerte est propre à traiter une erreur lors de l'exécution de la procédure avionique prédéterminée, et comprend en outre: 20 - un module (14) de détection d'une rupture de ladite séquence due à une commande erronée et/ou à un saut d'au moins une commande attendue conformément à la procédure avionique prédéterminée en cours d'exécution, - un module (16) de restitution d'au moins une information représentative de ladite rupture de séquence. 25