Brevet FR3083884A1 — publié le 20200117

Procédé de gestion d'un système de pilotage automatique équipant un aéronef La présente invention se rapporte au domaine des systèmes électroniques embarqués dans des aéronefs. De tels systèmes électroniques peuvent notamment permettre de piloter automatiquement un aéronef tel que par exemple un avion ou un giravion. Plus particulièrement, l'invention concerne les procédés de gestion permettant de détecter des erreurs exceptionnelles impactant des opérations de calcul dans des programmes informatiques permettant en sortie de générer les consignes de commande de pilotage de l'aéronef. De telles erreurs exceptionnelles peuvent alors consister en des erreurs logicielles et sont alors généralement désignées par le 15 terme anglais de « bug ». En outre, de telles erreurs exceptionnelles peuvent également être dues à un champ magnétique extérieur, à des ondes électromagnétiques ou à des particules ionisantes venant perturber le fonctionnement d'un organe électronique tel un 20 microprocesseur, une mémoire de type semi-conducteur ou encore des transistors de puissance. Ces erreurs exceptionnelles sont quant à elles généralement désignées par l'expression en langue anglaise « single event upset » ou par son acronyme anglais « SEU ». 25 Généralement pour traiter ces erreurs de type SEU, il a été développé des procédés de comparaison entre deux systèmes redondants tel que notamment décrit dans le document EP 1 785 799. La comparaison entre les sorties des deux systèmes redondants permet d'identifier l'occurrence d'une erreur dans une 2 succession d'étapes d'un programme et la redondance des systèmes permet de rendre inopérant le calculateur ayant généré cette erreur. Cependant dans ce cas, le calculateur incriminé est alors 5 complètement désactivé et/ou arrêté et ne remplit plus aucune autre fonction, et ce potentiellement au détriment d'un service contribuant à la sécurité du vol. Le pilote de l'aéronef est alors alerté d'une panne sur l'un de ses calculateurs permettant de réaliser notamment la fonction de pilotage automatique. 10 La présente invention a alors pour objet de proposer un procédé permettant de s'affranchir des limitations mentionnées ci-dessus. Le procédé conforme à l'invention permet en effet d'éviter de rendre inopérant un calculateur permettant de gérer le pilotage automatique d'un aéronef. Par suite un tel procédé permet d'éviter le recours à un système redondant de calculateurs pour pouvoir répondre à des erreurs logicielles ou exceptionnelles de type SEU quand la redondance n'est pas requise pour d'autres aspects. L'invention se rapporte donc à un procédé de gestion d'un système de pilotage automatique équipant un aéronef, le procédé de gestion étant adapté pour gérer au moins une erreur dans au moins une succession d'étapes permettant de générer au moins une consigne de pilotage automatique de l'aéronef, le système de pilotage automatique comportant au moins un calculateur permettant de mettre en oeuvre une pluralité de successions d'étapes générant différentes consignes de pilotage automatique de l'aéronef. Selon l'invention, un tel procédé est remarquable en ce qu'il comporte au moins : 3 - une étape d'identification permettant d'identifier la (ou les) erreur(s), l'étape d'identification permettant d'identifier au moins une occurrence de la (ou des) erreur(s) sur une plage de temps prédéterminée d'utilisation de l'aéronef, 5 - une étape de calcul pour déterminer un nombre total d'occurrences de la (ou des) erreur(s) sur la plage de temps prédéterminée d'utilisation de l'aéronef, - une étape d'arrêt permettant d'arrêter la (ou les) succession(s) d'étapes sur un premier cycle d'étapes 10 considéré comme défaillant lorsque le nombre total d'occurrences de la (ou des) erreur(s) est supérieur ou égal à une valeur de seuil prédéterminée, - une étape de réinitialisation pour réinitialiser la (ou les) succession(s) d'étapes, 15 - une étape de relance permettant de relancer la (ou les) succession(s) d'étapes à partir d'un deuxième cycle d'étapes considéré comme sain, le deuxième cycle d'étapes étant distinct du premier cycle d'étapes. Autrement dit, un tel procédé permet d'empêcher le 20 déroulement de la (ou des) succession(s) d'étapes impactées par la (ou les) erreurs. Par suite les sorties physiques du (ou des) calculateur(s) sont alors mises en sécurité temporairement. De cette manière, le(s) calculateur(s) reste(nt) actif(s) mais ne génère(nt) aucune information aberrante. 25 Par ailleurs, l'arrêt puis la reprise de la (ou des) succession(s) d'étapes au deuxième cycle d'étapes permet au procédé de mettre en oeuvre graduellement des corrections ou sanctions logicielles en maintenant un niveau de sécurité optimal pour l'aéronef. 4 Avantageusement, la valeur de seuil prédéterminée peut être choisie supérieure ou égale au chiffre 1. En d'autres termes, dès la première occurrence de la (ou des) erreur(s) sur la plage de temps prédéterminée d'utilisation de 5 l'aéronef, le procédé permet d'arrêter, la (ou les) succession(s) d'étapes sur un premier cycle d'étapes considéré comme défaillant, de réinitialiser la (ou les) succession(s) d'étapes et de relancer la (ou les) succession(s) d'étapes à partir d'un deuxième cycle d'étapes considéré comme sain. 10 En pratique, le procédé peut comporter une première étape de sanction pour inhiber un appel d'au moins une première succession d'étapes de l'un au moins des premier et deuxième cycles d'étapes. Une telle première étape de sanction peut ainsi consister en 15 des sanctions logicielles partielles et ciblées afin que les fonctions principales de sécurité ne soient pas remise en question, en inhibant cette première succession d'étapes. La première étape de sanction peut par exemple provoquer une perte d'au moins une fonction dite « active » pour laquelle, une défaillance non détectée, 20 peut être critique pour la sécurité de l'aéronef. Des fonctions passives opérées par le calculateur mettant en oeuvre les différentes successions d'étapes peuvent quant à elles être maintenues pour assurer une mise en sécurité du vol de l'aéronef. Selon un exemple de réalisation avantageux de l'invention, la 25 première étape de sanction peut s'opérer lorsque le nombre total d'occurrences de la (ou des) erreur(s) est supérieur ou égal au chiffre 1. Par suite, comme précédemment dès la première occurrence de la (ou des) erreur(s) sur la plage de temps prédéterminée 5 d'utilisation de l'aéronef, le procédé permet de mettre en oeuvre la première étape de sanction précitée. Avantageusement, le procédé peut comporter une deuxième étape de sanction distincte de la première étape de sanction, la 5 deuxième étape de sanction permettant d'inhiber un appel d'au moins une deuxième succession d'étapes de l'un au moins des premier et deuxième cycles d'étapes, la (ou les) deuxième(s) succession(s) d'étapes étant distincte(s) de la (ou des) première(s) succession(s) d'étapes. 10 Une telle deuxième étape de sanction peut quant à elle consister en d'autres sanctions logicielles visant à réinitialiser la (ou les) succession(s) d'étapes dans un mode simplifié ou allégé pour que cette (ou ces) succession(s) d'étapes n'effectue(nt) aucun calcul. De cette manière, les sorties du calculateur peuvent être 15 mises à des valeurs de sécurité parfois distinctes de valeurs par défaut mises en oeuvre lorsque le calculateur est dans un mode de dégradation matériel également désigné par l'expression "mode HALT". Par ailleurs, la deuxième étape de sanction peut s'opérer 20 lorsque le nombre total d'occurrences de la (ou des) erreur(s) est supérieur ou égal au chiffre 2 et préférentiellement lorsque le nombre total d'occurrences est égal au chiffre 3. Ainsi, dès la deuxième ou troisième occurrence de la (ou des) erreur(s) sur la plage de temps prédéterminée d'utilisation de 25 l'aéronef, le procédé permet de mettre en oeuvre la deuxième étape de sanction précitée. En pratique, le procédé peut comporter une troisième étape de sanction distincte des première et deuxième étapes de sanction, la troisième étape de sanction permettant d'inhiber un appel d'au 6 moins une routine élémentaire d'au moins une troisième succession d'étapes permettant de générer au moins une consigne de pilotage automatique de l'aéronef. Cette troisième étape de sanction permet ainsi de supprimer une partie conséquente des 5 d'étapes d'un programme d'ordinateur formé par la (ou les) troisième(s) succession(s) d'étapes afin de sécuriser le système de pilotage automatique. Une telle troisième étape de sanction peut également consister en d'autres sanctions logicielles visant à réinitialiser la 10 (ou les) succession(s) d'étapes dans un mode simplifié ou allégé pour que cette (ou ces) succession(s) d'étapes n'effectue(nt) aucun calcul. Selon un exemple de réalisation avantageux de l'invention, la troisième étape de sanction peut s'opérer lorsque le nombre total 15 d'occurrences de la (ou des) erreur(s) est supérieur ou égal au chiffre 2 et préférentiellement lorsque le nombre total d'occurrences est égal au chiffre 3. Ainsi comme précédemment, dès la deuxième ou troisième occurrence de la (ou des) erreur(s) sur la plage de temps 20 prédéterminée d'utilisation de l'aéronef, le procédé permet de mettre en oeuvre la troisième étape de sanction précitée. L'invention et ses avantages apparaîtront avec plus de détails dans le cadre de la description qui suit avec des exemples donnés à titre illustratif en référence aux figures annexées qui 25 représentent : - la figure 1, une vue de côté d'un aéronef dans lequel est mis en oeuvre un procédé de gestion conforme à l'invention, - la figure 2, un premier logigramme illustrant une première variante de procédé de gestion conforme à l'invention, 7 - la figure 3, un deuxième logigramme illustrant une deuxième variante de procédé de gestion conforme à l'invention, et - la figure 4, un troisième logigramme illustrant une 5 troisième variante de procédé de gestion conforme à l'invention. Comme déjà évoqué l'invention se rapporte aux procédés de gestion d'un système de pilotage automatique équipant un aéronef. Tel que représenté à la figure 1, un aéronef 2 peut en effet 10 comporter un système de pilotage automatique 1 comportant au moins un calculateur 3 permettant de générer automatiquement des consignes de commande pour piloter par exemple un rotor principal 4 de l'aéronef 2. Par exemple, un tel système de pilotage automatique 1 est particulièrement utile et avantageux pour 15 permettre de réduire, au moins temporairement, la charge de travail d'un pilote. En outre, un tel calculateur 3 peut comprendre par exemple un processeur, un circuit intégré, un système programmable, un circuit logique, ces exemples ne limitant pas la portée donnée à 20 l'expression « calculateur » dont la fonction est d'effectuer une succession d'étapes et de répéter ces successions d'étapes sur plusieurs cycles. Ainsi, un tel calculateur 3 est configuré pour mettre en oeuvre une pluralité de succession d'étapes générant différentes 25 consignes de pilotage automatique de l'aéronef 2. Tel que représenté aux figures 2 à 4 selon une première variante, une deuxième variante et une troisième variante, un tel procédé de gestion 10, 20, 30 d'un système de pilotage automatique 1 comporte au moins une étape d'identification 11, 21, 8 31 permettant d'identifier la (ou les) erreur(s) lorsqu'elle(s) se produi(sen)t. En outre, une telle étape d'identification 11, 21, 31 permet de réaliser l'identification d'au moins une occurrence de la (ou des) erreur(s) sur une plage de temps prédéterminée 5 d'utilisation de l'aéronef 2. Par exemple, de telles erreurs peuvent être de type SEU et être générées de manière exceptionnelle par un champ magnétique extérieur, par des ondes électromagnétiques ou par des particules ionisantes venant perturber le fonctionnement d'un organe 10 électronique. Un tel organe électronique dont le fonctionnement est perturbé peut notamment être formé par un microprocesseur, une mémoire de type semi-conducteur ou encore des transistors de puissance. Un tel procédé 10, 20, 30 comporte ensuite une étape de 15 calcul 12, 22, 32 pour déterminer un nombre total d'occurrences N de la (ou des) erreur(s) sur la plage de temps prédéterminée d'utilisation de l'aéronef 2. Si le nombre total d'occurrences N de la (ou des) erreur(s) est supérieur ou égal à une valeur de seuil prédéterminée V, le 20 procédé de gestion 10, 20, 30 comporte alors une étape d'arrêt 13, 23, 33 permettant d'arrêter la (ou les) succession(s) d'étapes sur un premier cycle d'étapes considéré comme défaillant. Dans ce cas, un tel procédé de gestion 10, 20, 30 comporte alors une étape de réinitialisation 14, 24, 34 pour réinitialiser la 25 (ou les) succession(s) d'étapes. Le procédé de gestion 10, 20, 30 comporte enfin une étape de relance 15, 25, 35 permettant de relancer la (ou les) succession(s) d'étapes à partir d'un deuxième cycle d'étapes 9 considéré comme sain. En outre, un tel deuxième cycle d'étapes est distinct du premier cycle d'étapes. Cependant en fonction du nombre total d'occurrences N de la (ou des) erreur(s), la deuxième variante et la troisième variante du 5 procédé de gestion 20, 30 telles qu'illustrées aux figures 3 et 4 peuvent comporter des étapes supplémentaires de sanctions visant à garantir un niveau de sécurité maximal de l'aéronef 2. Ainsi par exemple, la valeur de seuil prédéterminée V peut être choisie égale au chiffre 1. Dans ce cas, dès la première 10 d'occurrence d'une erreur, l'étape d'arrêt 23, 33, l'étape de réinitialisation 24, 34 et l'étape de relance 25, 35 sont mises en oeuvre par le procédé de gestion 20, 30. De plus, lorsque le nombre total d'occurrences N de la (ou des) erreur(s) atteint la valeur 2, la deuxième variante et la 15 troisième variante du procédé de gestion 20, 30 comportent alors une première étape de sanction 26, 36 permettant d'inhiber un appel d'au moins une première succession d'étapes de l'un au moins des premier et deuxième cycles d'étapes. Si le nombre total d'occurrences N de la (ou des) erreur(s) 20 atteint la valeur 3, la deuxième variante et la troisième variante du procédé 20, 30 comportent alors une deuxième étape de sanction 27, 37 distincte de la première étape de sanction 26, 36. Une telle deuxième étape de sanction 27, 37 permet d'inhiber un appel d'au moins une deuxième succession d'étapes de l'un au moins desdits 25 premier et deuxième cycles d'étapes. Par ailleurs, cette deuxième succession d'étapes est distincte de la première succession d'étapes. En outre tel que représenté à la figure 4, lorsque le nombre total d'occurrences N de la (ou des) erreur(s) atteint la valeur 3, la 10 troisième variante du procédé de gestion 30 peut également comporter une troisième étape de sanction 38 distincte des première et deuxième étapes de sanction 36 et 37. Une telle troisième étape de sanction 38 permet alors par exemple d'inhiber 5 un appel d'au moins une routine élémentaire d'au moins une troisième succession d'étapes permettant de générer au moins une consigne de pilotage automatique de l'aéronef 2. Telle que représenté à la figure 4, une telle troisième étape de sanction 38 peut être réalisée simultanément en parallèle de la 10 deuxième étape de sanction 37. Cependant selon d'autres variantes de procédé de gestion non représentées, une telle troisième étape de sanction 38 peut également s'opérer à la place de la deuxième étape de sanction 37 ou encore lorsque le nombre total d'occurrences N de la (ou des) erreur(s) atteint une valeur 15 prédéterminée supérieure à 3. Naturellement, la présente invention est sujette à de nombreuses variations quant à sa mise en oeuvre. Bien que plusieurs modes de réalisation aient été décrits, on comprend bien qu'il n'est pas concevable d'identifier REVENDICATIONS1. Procédé de gestion (10, 20, 30) d'un système de pilotage automatique (1) équipant un aéronef (2), ledit procédé de gestion (10, 20, 30) étant adapté pour gérer au moins une erreur dans au moins une succession d'étapes permettant de générer au moins une consigne de pilotage automatique dudit aéronef (2), ledit système de pilotage automatique (1) comportant au moins un calculateur (3) permettant de mettre en oeuvre une pluralité de succession d'étapes générant différentes consignes de pilotage automatique dudit aéronef (2), caractérisé en ce que ledit procédé (10, 20, 30) comporte au moins : - une étape d'identification (11, 21, 31) permettant d'identifier ladite au moins une erreur, ladite étape d'identification (11, 21, 31) permettant d'identifier au moins une occurrence de ladite au moins une erreur sur une plage de temps prédéterminée d'utilisation dudit aéronef (2), - une étape de calcul (12, 22, 32) pour déterminer un nombre total d'occurrences (N) de ladite au moins une erreur sur ladite plage de temps prédéterminée d'utilisation dudit aéronef (2), - une étape d'arrêt (13, 23, 33) permettant d'arrêter ladite au moins une succession d'étapes sur un premier cycle d'étapes considéré comme défaillant lorsque ledit nombre total d'occurrences (N) de ladite au moins une erreur est supérieur ou égal à une valeur de seuil prédéterminée (V), - une étape de réinitialisation (14, 24, 34) pour réinitialiser ladite au moins une succession d'étapes, - une étape de relance (15, 25, 35) permettant de relancer ladite au moins une succession d'étapes à partir d'un 12 deuxième cycle d'étapes considéré comme sain, ledit deuxième cycle d'étapes étant distinct dudit premier cycle d'étapes. 2. Procédé selon la revendication 1, caractérisé en ce que ladite valeur de seuil prédéterminée (V) est choisie supérieure ou égale au chiffre 1. 3. Procédé selon l'une quelconque des revendications 1 à 2, caractérisé en ce que ledit procédé (20, 30) comporte une première étape de sanction (26, 36) pour inhiber un appel d'au moins une 10 première succession d'étapes de l'un au moins desdits premier et deuxième cycles d'étapes. 4. Procédé selon la revendication 3, caractérisé en ce que ladite première étape de sanction (26, 36) s'opère lorsque ledit nombre total d'occurrences (N) de ladite au 15 moins une erreur est supérieur ou égal au chiffre 1. 5. Procédé selon l'une quelconque des revendications 1 à 4, caractérisé en ce que ledit procédé (20, 30) comporte une deuxième étape de sanction (27, 37) distincte de ladite première étape de sanction (26, 36), ladite deuxième étape de sanction (27, 20 37) permettant d'inhiber un appel d'au moins une deuxième succession d'étapes de l'un au moins desdits premier et deuxième cycles d'étapes, ladite au moins une deuxième succession d'étapes étant distincte de ladite au moins une première succession d'étapes. 25 6. Procédé selon la revendication 5, 13 caractérisé en ce que ladite deuxième étape de sanction (27, 37) s'opère lorsque ledit nombre total d'occurrences (N) de ladite au moins une erreur est supérieur ou égal au chiffre 2 et préférentiellement lorsque ledit nombre total d'occurrences est 5 égal au chiffre 3. 7. Procédé selon l'une quelconque des revendications 1 à 6, caractérisé en ce que ledit procédé (30) comporte une troisième étape de sanction (38) distincte desdites première et deuxième étapes de sanction (36) et (37), ladite troisième étape de sanction 10 (38) permettant d'inhiber un appel d'au moins une routine élémentaire d'au moins une troisième succession d'étapes permettant de générer au moins une consigne de pilotage automatique dudit aéronef (2). 8. Procédé selon la revendication 7, 15 caractérisé en ce que ladite troisième étape de sanction (38) s'opère lorsque ledit nombre total d'occurrences de ladite au moins une erreur est supérieur ou égal au chiffre 2 et préférentiellement lorsque ledit nombre total d'occurrences est égal au chiffre 3.