Brevet FR3143559A1 — publié le 20240621

Procédés de sauvegarde de données de vol et de génération d’un module de détection d’un évènement anormal utilisé pour déclencher ladite sauvegarde. Ce procédé un module (MDEA) de détection d’un évènement anormal au cours d’un vol comporte les étapes: - obtention (E10) de données de vols sains ; - association (E30), pour des sous-ensembles (EI i ) d’indicateurs d’évènements de référence produits au cours de vols sains, de seuils (TH i ) permettant de déterminer des avis partiels sur ledit évènement de référence à partir de valeurs de ces indicateurs ; - de configuration dudit module avec lesdits seuils (TH i ) et avec un modèle de décision (LD) permettant de déterminer un avis définitif sur un évènement d’intérêt à partir d’avis partiels déterminés pour cet évènement d’intérêt ; - ledit module étant configuré pour générer un signal de détresse en fonction d’un dit définitif déterminé pour un évènement produit au cours d’un vol. Fig. 9 Procédés de sauvegarde de données de vol et de génération d’un module de détection d’un évènement anormal utilisé pour déclencher ladite sauvegarde. Arrière-plan de l’invention La présente invention se situe dans le domaine de l’aéronautique et plus précisément dans le domaine des enregistreurs de vol réglementaires, appelés autrement « enregistreurs de bord » ou « boîtes noires ». Il arrive qu’après un accident d’avion : on ne parvienne pas à retrouver les boîtes noires ; et/ou que les coûts de recherche des boîtes noires soient très importants, et/ou que l’une ou les boîtes noires soient endommagées. Par conséquent, la réglementation de l’aviation civile a récemment évolué et l’OACI (Organisation pour l’Aéronautique Civile Internationale) a édité différentes documentations, et en particulier la documentation 10054 : « Manuel sur la localisation des aéronefs en détresse et la récupération des données de Enregistreurs de bords ». Ce document décrit notamment des solutions pour permettre de récupérer rapidement les données contenues dans les boîtes noires. Une solution du document 10054 consiste à récupérer les données des enregistreurs de vols en cas de risque de détresse, avant l’issue fatale du vol. Ce document s’appuie sur un autre document de l’EUROCAE ED-237 : « Minimum aviation system performance specification for criteria to detect in-flight aircraft distress events to trigger transmission of flight information» qui recommande une liste de critères à implémenter pour déclencher l’entrée dans le mode détresse. Ce document ED-273 se base, lui-même, sur des travaux qui se sont déroulés sous le contrôle du BEA (Bureau Enquête et Analyse) sur un ensemble de soixante-huit vols accidentés. Par analyse des données collectées au cours de ces vols accidentés, le BEA a élaboré une série de treize critères basés sur une estimation de ce qui constitue une situation d'urgence. L'approche est binaire en ce sens qu'une condition est soit vraie soit fausse. Si une condition est vraie, on considère qu'une situation d'urgence a commencé. Dans le cas contraire, si toutes les conditions sont fausses, alors le vol est considéré comme normal. Ces treize critères sont : - Taux d'inclinaison excessif (en anglais « excessive bank ») ; - Tangage excessif (en anglais « excessive pitch ») - Décrochage (en anglais « stall ») - Vitesse calibrée faible (en anglais «low CAS ») - Vitesse verticale excessive (en anglais « Excessive vertical speed ») - Survitesse (en anglais « overspeed ») - Facteurs de charge inhabituels (en anglais « unusual load factors») - Commande de roulis excessive (en anglais « excessive roll command») - Utilisation excessive de la gouverne de direction (en anglais « excessive use of rudder») - Avertissement du Système d'avertissement et d'alarme d'impact (en anglais « Terrain awareness and warning system TAWS warning») - Altitude trop basse (en anglais « too low altitude ») - Alerte du système d'alerte de trafic et d'évitement de collision (en anglais « Traffic Alert and Collision Avoidance System») - Avertissement d'altitude de la cabine (en anglais « cabin altitude warning »). Une analyse faite sur l’ensemble des soixante-huit vols accidentés confirme que tous les vols avec une issue fatale sont détectés en appliquant ces critères, ce qui valide la définition de ces treize critères. Cependant, en utilisant ces critères, la détection de la situation de détresse ne se situe que très peu de temps, en moyenne environ trente secondes, avant la survenance de cet accident. Cette durée de trente secondes n’est malheureusement pas suffisante pour permettre la transmission des données contenues dans une boîte noire au travers d’une solution de communication satellitaire. Les inventeurs ont en effet évalué qu’il fallait environ quatre minutes pour transférer par satellite l'équivalent de vingt minutes d'enregistrement d’une boîte noire. Objet et résumé de l’invention L’invention vise par conséquent une solution pour anticiper la détection d’un accident d’un aéronef à venir, sans pour cela générer excessivement de fausses alarmes intempestives et pour transmettre, avant la survenance de l’accident, une copie de l’intégralité ou d’une quantité importante des données contenues dans une ou plusieurs boîtes noires de l’aéronef à un récepteur extérieur. L’invention vise surtout à identifier de nouveaux critères symptomatiques ou annonciateurs d’une situation de détresse, c’est à dire non identifiés sur les soixante-huit vols accidentés et à initier une communication d’urgence (transmission des données à un récepteur extérieur à l’aéronef). Dans la suite de ce document, on appellera : - « vol accidenté », un vol au cours duquel un accident ou un incident majeur s’est produit, de sorte que ses données de maintenance n’ont pas pu être téléchargées; et - « vol considéré sain » ou plus simplement « vol sain », un vol au cours duquel un accident ou un incident majeur ne s’est pas produit, de sorte que l’avion a pu atterrir, et que ses données de maintenance ont pu être téléchargées. On rappelle que les études de l’art antérieur, notamment du BEA, portent sur l’analyse de soixante-huit vols accidentés. L’invention au contraire propose d’analyser les données collectées pendant des vols sains ou considérés sains et qui ont été déchargées dans des calculateurs de maintenance à l’issue de ces vols. Ainsi, et selon un premier aspect, l’invention concerne un procédé de génération d’un module de détection d’un évènement anormal se produisant au cours d’un vol dans un aéronef. Dans la suite de ce document, on appellera « événement de référence », un événement qui s’est produit au cours d’un vol sain à un instant t et qui peut être représenté par un ensemble d’indicateurs à cet instant t. Les événements de référence sont utilisés pour générer le module de détection d’un événement anormal. Une fois que le module de détection a été généré, il peut être utilisé pour déterminer si un événement, appelé « événement d’intérêt » pour le distinguer des événements de référence utilisés pour générer le module, est un événement normal ou atypique. Une utilisation privilégiée du module de détection est de déterminer, lorsqu’il est utilisé dans un aéronef en cours de vol, si un événement d’intérêt qui se produit en cours de vol, est normal ou atypique de sorte à déclencher une communication d’urgence, c’est-à-dire l’envoi de données de vol à un récepteur extérieur. Mais le module de détection peut aussi être utilisé au sol, pour détecter si un événement d’intérêt produit au cours d’un vol sain ou accidenté est détecté comme normal ou atypique de sorte à ré-entraîner et/ou valider le module de détection. Par la suite on appellera : - « indicateur » le type d’un indicateur (par exemple « angle de tangage ») et ; - « valeur de l’indicateur », une valeur de cet indicateur à un instant t, par exemple 20°. Conformément à l’invention, on utilisera des sous-ensembles de l’ensemble complet d’indicateurs qui représente un événement de référence. L’homme du métier comprend qu’un tel sous-ensemble, incomplet, ne donne qu’une représentation partielle / incomplète / imparfaite de l’événement de référence. Ainsi, le procédé de génération d’un module de détection d’un évènement anormal conforme à l’invention comporte : - une étape d’obtention de données de vols acquises au cours de vols considérés sains ; - pour au moins un sous-ensemble d’indicateurs sélectionnés dans un ensemble d’indicateurs obtenus à partir de ces données et représentatifs d’un évènement de référence qui s’est produit au cours d’un instant d’un dit vol sain, une étape d’association, à ce sous-ensemble d’indicateurs, d’un seuil permettant de déterminer un avis partiel sur le caractère normal ou atypique de cet évènement de référence à partir des valeurs des seuls indicateurs dudit sous-ensemble ; et - une étape de configuration du module de détection avec : (i) les indicateurs et le seuil de chaque sous-ensemble d’indicateurs, et avec (ii) un modèle de décision permettant de déterminer un avis définitif sur le caractère normal ou atypique d’un évènement d’intérêt à partir d’avis partiels déterminés pour cet évènement d’intérêt, un avis partiel étant déterminé pour chaque sous-ensemble d’indicateurs à partir (i) des valeurs de ces indicateurs obtenues à partir des données représentatives de l’événement d’intérêt et (ii) du seuil associé à ce sous-ensemble ; - ledit module de détection d’un évènement anormal étant configuré pour, lorsqu’il est mis en œuvre dans un aéronef en vol, générer ou non un signal de détresse en fonction d’un dit avis définitif déterminé pour un évènement d’intérêt produit au cours du vol. Dans un mode de réalisation de l’invention, le module de détection d’un évènement anormal est un programme d’ordinateur configuré pour pouvoir être exécuté par un processeur de l’aéronef. Le procédé de génération, objet de l’invention, utilise des données de vols sains ou considérés sains à savoir des vols qui se sont terminés sans qu’un accident majeur ne se produise. Une fois généré, ce module de détection est capable de déterminer un avis définitif selon lequel un événement d’intérêt produit au cours d’un vol sain ou accidenté est un événement normal ou atypique. Conformément à l’invention, cet avis définitif est obtenu à partir d’avis partiels et d’un modèle de décision. Ce modèle de décision peut par exemple être basé sur un ensemble de règles de détection, ou sur un modèle obtenu par apprentissage, par exemple en utilisant un algorithme du type Isolation Forest ou LOF (en anglais LocalOutlierFactor). Les avis partiels sur le caractère normal ou atypique d’un événement sont qualifiés de partiels car ils sont obtenus en ne considérant qu’un sous-ensemble de l’ensemble d’indicateurs qui représente complètement cet événement. Dans un mode de réalisation, le modèle de décision est configuré pour prendre en compte une pluralité d’avis partiels déterminés pour une pluralité de sous-ensembles d’indicateurs pendant une fenêtre de temps afin de déterminer l’avis définitif sur le caractère normal ou atypique d’un évènement de référence. L’invention vise également un module de détection d’un évènement anormal au cours d’un vol dans un aéronef, ce module étant caractérisé en ce qu’il a été généré par un procédé de génération tel que mentionné ci-dessus. L’invention vise également un procédé de sauvegarde de données de vol acquises au cours d’un vol d’un aéronef, ledit aéronef comportant un module de détection d’un évènement anormal tel que mentionné ci-dessus, ce procédé comportant : - une étape de collecte de données au cours du vol et de mémorisation desdites données collectées dans une mémoire de l’aéronef ; - une étape de copie d’au moins une partie des données collectées dans une boîte noire de l’aéronef ; - une étape de fourniture desdites données collectées en entrée dudit module de détection ; et - une étape de déclenchement de la transmission d’au moins une partie des données collectées vers un récepteur extérieur sur et seulement sur détection d’un signal de détresse généré par ledit module de détection. Corrélativement, l’invention concerne un dispositif de sauvegarde de données de vol acquises au cours d’un vol d’un aéronef, ledit aéronef comportant un module de détection d’un évènement anormal tel que mentionné ci-dessus, ce dispositif comportant : - un module de collecte de données au cours du vol et de mémorisation desdites données collectées dans une mémoire ; - un module de copie d’au moins une partie desdites données collectées dans une boîte noire de l’aéronef ; - un module de fourniture desdites données collectées en entrée du module de détection ; et - un module de déclenchement de la transmission d’au moins une partie des données collectées vers un récepteur extérieur sur et seulement sur détection d’un signal de détresse généré par ledit module de détection. L’invention concerne également un aéronef comportant un dispositif de sauvegarde tel que mentionné ci-dessus. Le dispositif de sauvegarde peut par exemple être intégré dans une unité d'acquisition de données de vol (en anglais Flight-Data Acquisition Unit) qui reçoit différentes données de vol, sous forme analogique ou numérique d'un certain nombre de capteurs et de systèmes avioniques, et qui achemine au moins certaines de ces données vers la boîte noire. Ainsi, et d’une façon générale, l’invention considère que parmi les données de vols considérés sains, il se produit des évènements atypiques qui auraient mérité le déclenchement d’une communication d’urgence des données de vol car ces évènements atypiques auraient potentiellement pu conduire à un accident de l’aéronef, par exemple dans des circonstances légèrement différentes, ou par une réaction différente des pilotes de l’aéronef. L’invention propose donc de permettre la détection de ces évènements atypiques par analyse des données acquises et enregistrées au cours de vols sains. Les nouvelles conditions de déclenchement identifiées par l’invention à partir de données collectées pendant des vols sains permettent d’anticiper plus de situations d’accident et de les détecter plus tôt. Ces données de vols sains sont par exemple des données d’un système ACMS de surveillance de l’état de l’aéronef (en anglais Aircraft Condition Monitoring System). On rappelle qu’un système de surveillance de l'état d'un aéronef est un outil de maintenance prédictive composé d'une unité d'acquisition de données de vol à haute capacité et des capteurs associés qui échantillonnent, surveillent et enregistrent les informations et les paramètres de vol des principaux systèmes et composants de l'aéronef. Très avantageusement, les données de systèmes ACMS utilisées pour définir les nouveaux critères de déclenchement, et collectées sur des vols sains, sont beaucoup plus volumineuses et beaucoup plus riches que les données des boîtes noires des soixante-huit vols accidentés analysées par le BEA pour identifier les treize critères rappelés ci-dessus. Les données de système ACMS utilisées pour déterminer les critères par l’invention sont beaucoup plus nombreuses car collectées sur un nombre très important de vols considérés sains. Elles sont par ailleurs disponibles à plus haute fréquence (plusieurs Hertz) que les données de boîte noire. Les données utilisées par l’invention peuvent contenir des données du type de celles enregistrées dans les boites noires mais aussi d’autres types de données. A titre d’exemple les données des systèmes ACMS sur les avions A330-300 comportent plus de 695 paramètres, un nombre très important d’entre elles n’étant pas enregistrées dans les boîtes noires. A titre d’exemple, l’invention peut prendre en compte tous les critères définis par le BEA et d’autres données de vol, par exemple au moins une donnée parmi : - des notifications produites par des systèmes de mesure (par exemple les voyants « Master Caution » et « Master Warning ») ; - des données de survitesse dans les conditions de train d’atterrissage sortie, ou des volet en position d’atterrissage (en anglais Overspeed Train / Overspeed Volets) ) ; - des témoins d’incendies autres que les témoins d’incendie moteur ; - des signaux vibratoires ; - un ou des mots spécifiques prononcés par un pilote ou du copilote , par exemple MAYDAY ; - une incapacité du pilote ou de copilote à piloter l’avion ; - une situation critique dans le cockpit, par exemple la présence de fumée ; - un obstacle détecté par une caméra extérieure ; La transmission des données vers le récepteur extérieur peut par exemple se faire par voie hertzienne par satellite en particulier ou par réseau GSM. Les données envoyées peuvent être à la fois des données collectées avant la détection du signal de détresse généré et représentatif de la détection d’un évènement anormal et des données collectées après cette détection. En particulier, la présente invention peut mettre en œuvre un procédé de sauvegarde de données de fonctionnement d'un aéronef comportant les étapes consistant à collecter les données de fonctionnement et les enregistrer au fur et à mesure à bord de l’aéronef, détecter que l’aéronef est susceptible d’avoir un accident, à partir de la détection, émettre vers le récepteur extérieur, d'une part, les données collectées dès leur collecte et, d'autre part, les données mémorisées dans un ordre chronologique inverse de l'ordre d'enregistrement. Cette sauvegarde peut être mise en œuvre en utilisant le procédé de sauvegarde décrit dans le document FR2967647 (A1). Dans un mode de réalisation, le procédé de génération d’un module de détection d’un évènement anormal au cours d’un vol dans un aéronef comporte, pour une pluralité de sous-ensembles d’indicateurs représentatifs d’évènements de référence qui se sont produits au cours desdits vols sains : - une étape de calcul d’un score de normalité pour chacun desdits évènements de référence à partir des valeurs des indicateurs dudit sous-ensemble pour cet évènement ; - le seuil associé à un sous-ensemble d’indicateurs étant déterminé à partir d’un type d’une distribution desdits scores de normalité calculés pour ce sous-ensemble. Dans un mode de réalisation, le seuil est déterminé en fonction de la forme d’une queue de la distribution. Dans un mode de réalisation, les scores de normalité calculés pour un sous-ensemble d’indicateurs sont obtenus par un algorithme appris associé à ce sous-ensemble. Dans un mode particulier de réalisation, on distingue, parmi les indicateurs précités, des indicateurs dits de premier niveau et des indicateurs dits de deuxième niveau. Les indicateurs de premier niveau peuvent par exemple être représentés sous forme de vecteurs dont chaque composante représente une donnée de vol ou une donnée météorologique à un instant t. Des indicateurs de deuxième niveau peuvent être obtenus par agrégation d’indicateurs de premier niveau, par exemple par une fonction de type moyenne, minimum ou maximum, sur une période de temps donné, par exemple au cours des dix dernières secondes. Dans ce mode de réalisation, l’utilisation d’indicateurs de deuxième niveau, permet de déterminer un avis partiel sur la base de valeurs d’indicateurs considérés pendant une fenêtre de temps correspondant à cette période d’agrégation. Le modèle de décision utilisé dans l’invention peut être de différente nature. Il peut s’agir en particulier : - d’un modèle basé sur une combinaison de conditions logiques (par exemple si condition 1 et (condition 2 ou condition 3) …) ; ou - d’un modèle à base de machines d’états. Dans un exemple, un évènement est considéré atypique (avis partiel) si le score de normalité de cet événement dépasse ledit seuil. Dans un mode particulier de réalisation, les différentes étapes du procédé de génération ou du procédé de sauvegarde de données sont déterminées par des instructions de programmes d'ordinateurs ou sont implémentées par une puce en silicium qui comprend des transistors adaptés pour constituer des portes modèles d'un modèle câblée programmable ou non programmable. En conséquence, l'invention vise aussi un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en œuvre dans un ordinateur contrôleur, ce programme comportant des instructions adaptées à la mise en œuvre des étapes d'un procédé de génération et/ou d’un procédé de sauvegarde de données tel que décrit ci-dessus. Ce programme peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi un support d'informations lisible par un ordinateur, et comportant des instructions d'un programme d'ordinateur tel que mentionné ci-dessus. Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, une mémoire non volatile de type flash ou encore un moyen d'enregistrement magnétique, par exemple un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. D’autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent des exemples de réalisation dépourvus de tout caractère limitatif. Sur les figures : La représente la corrélation pour les valeurs de deux indicateurs (accélération normale et longitudinale de l’aéronef) pour un ensemble d’évènements obtenus à partir de données de vols sains; La représente un premier exemple de seuils sur ces deux indicateurs pour les évènements de la ; La représente un deuxième exemple de seuils sur ces deux indicateurs pour les évènements de la ; La représente le résultat d’une classification des indicateurs des événements de la par un outil mathématique ou par un opérateur; La représente un troisième exemple de seuil pour les indicateurs des évènements de la ; La représente un aéronef conforme à un mode particulier de réalisation de l’invention ; La représente les principales étapes d’un procédé de sauvegarde de données selon un mode de réalisation de l’invention ; La illustre un exemple de modèle de décision pouvant être utilisé dans l’invention ; La représente les principales étapes d’un procédé de génération de module de détection d’un évènement anormal conforme à un mode de réalisation de l’invention ; La représente un premier exemple de distribution de scores de normalité; La représente un deuxième exemple de distribution de scores de normalité; La représente un troisième exemple de distribution de scores de normalité; La représente quatre distributions de scores de normalité. Description de différents modes de réalisation Nous allons maintenant décrire un procédé de sauvegarde de données et un procédé de génération d’un module de détection d’un évènement anormal conformes à un mode particulier de réalisation de l’invention. D’une façon générale, et comme décrit ci-après précisément, le procédé de sauvegarde de données utilise un module de détection d’un évènement anormal conforme à l’invention pour déclencher, au cours d’un vol, la transmission de données de vol si le module détecte un évènement anormal au cours du vol. Ce module de détection utilise des seuils mémorisés dans le module de détection par le procédé de génération de ce module à partir de valeurs d’indicateurs associés à des d’évènements de référence qui se sont produits au cours de vols sains. On rappelle qu’on appelle « événement de référence », un événement qui s’est produit au cours d’un vol sain à un instant t et qui peut être représenté par un ensemble (complet) d’indicateurs à cet instant t, les événements de référence étant utilisés pour générer un module de détection d’un événement anormal au sens de l’invention. On rappelle également que dans un mode de réalisation, l’invention propose d’utiliser des indicateurs de premier niveau pouvant par exemple être représentés sous forme de vecteurs dont chaque composante représente une donnée de vol brute ou une donnée météorologique à un instant t et des indicateurs de deuxième niveau pouvant être obtenus à partir d’indicateurs de premier niveau ; il peut s’agir notamment de la durée écoulée depuis un fait précédent, comme la mise en route de l’autopilote, ou de données agrégées, par exemple une valeur moyenne d’un indicateur sur les 10 dernières secondes. Les figures 1 à 5 illustrent différentes façons de déterminer un seuil pour discriminer des évènements normaux et atypiques. Dans ces figures, à titre d’exemple, on considère un évènement composé de deux indicateurs, à savoir l’accélération normale nz et l’accélération longitudinale ny d’un aéronef. La présente la corrélation de ces indicateurs dans chaque événement, chaque point correspond à un événement, potentiellement issu de plusieurs vols. Sur la , on a représenté : - par des lignes horizontale et verticale un seuil pour chacun des indicateurs, environ 1.31 pour l’accélération normale nz et 0.08 pour l’accélération longitudinale ny ; et - une zone hachurée dans laquelle se trouvent les points dont au moins une valeur parmi l’accélération normale nz ou l’accélération longitudinale ny est supérieure au seuil correspondant. Considérer chaque point de la zone hachurée comme un évènement annonciateur d’un accident à venir conduirait à un grand nombre de faux positifs. Sur la , on a représenté une zone hachurée dans laquelle se trouvent les points représentant les évènements dont l’accélération normale nz et l’accélération longitudinale ny de l’aéronef sont simultanément supérieures à leurs seuils respectifs. Considérer chaque point de cette zone hachurée comme un évènement annonciateur d’un accident à venir peut réduire considérablement le nombre de faux positifs par rapport à l’exemple de la . Par contre, des événements annonciateurs d’un événement pourraient ne pas être détectés. Sur la , on a représenté le résultat d’une classification des évènements de la par un outil mathématique, ou par une sélection manuelle. Cet outil produit : - une zone non hachurée correspondant à des points nominaux ; - des zone quadrillées correspondant à des classes de points atypiques. A partir de cette classification, il est possible de définir une combinaison de ces paramètres et de comparer cette combinaison par rapport à un seuil représenté par une ligne oblique. Par exemple, la illustre un exemple dans lequel on compare une somme pondérée des indicateurs accélérations normale et longitudinale à un seuil, les points situés dans la zone hachurée déclenchant, lorsqu’ils sont détectés, une transmission urgente d’au moins une partie des données collectées au cours du vol. En référence aux figures 6 et 7, nous allons maintenant décrire les principales étapes d’un procédé de sauvegarde de données conforme à un mode de réalisation de l’invention. Ce procédé est mis en œuvre dans un aéronef AER en vol. Il utilise un module MDEA de détection d’un évènement anormal conforme à l’invention. La qui sera décrite ultérieurement présente un procédé conforme à l’invention pour générer ce module de détection. Au cours du vol de l’aéronef, des données de vol dv et des données météorologiques dm sont acquises au cours d’une étape d’acquisition F10. Ces données de vol permettent de déterminer, pour un instant t du vol, des indicateurs d’un évènement se produisant à cet instant t. Ces données sont enregistrées dans une mémoire MEM de l’aéronef et une partie de ces données sont copiées dans une boîte noire référencée FDR. Dans un mode particulier de réalisation, on distingue, parmi les indicateurs d’évènement précités, des indicateurs d’évènement dits de premier niveau et des indicateurs d’évènements dits de deuxième niveau. Les indicateurs de premier niveau peuvent par exemple être représentés sous forme de vecteurs dont chaque composante représente une donnée de vol dv ou une donnée météorologique dm à un instant t. Des données de vol constituant des indicateurs de premier niveau au sens de l’invention peuvent par exemple être choisies parmi les données suivantes : - l’angle de roulis de l’aéronef, - l’angle de tangage de l’aéronef, - la vitesse verticale de l’aéronef, - la vitesse de l’aéronef par rapport au sol, - un facteur de charge de l’aéronef, - l’altitude de l’aéronef, - la déviation de l’aéronef par rapport au plan de descente d’un système automatique d'aide à l'atterrissage (en anglais ILS pour Instrument Landing System), - le braquage des volets de l’aéronef, - le braquage des becs de l’aéronef, et - l’angle du vent par rapport au cap de l’aéronef. La vitesse du vent est un exemple de donnée météorologique. Un indicateur considéré à un instant t (par exemple l’angle de roulis), peut dans un exemple comporter des valeurs de cet indicateur aux N derniers instants t, t-1, …, t-N-1. N peut par exemple être choisi égal à 3, deux instants consécutifs t-i, t-(i+1) étant par exemple séparés de 1 seconde. Dans le mode de réalisation décrit ici, des indicateurs de deuxième niveau peuvent être obtenus (i) par agrégation d’indicateurs de premier niveau ou (ii) par agrégation de paramètres catégoriels. On rappelle qu’en statistique, un paramètre catégoriel prend pour valeur des modalités par opposition aux variables quantitatives. Par exemple, un indicateur de deuxième niveau peut être : (i) la somme, la valeur minimale, ou la valeur maximale d’indicateurs de premier niveau sur une période de temps, par exemple la valeur maximale de l’angle de tangage au cours des 5 dernières secondes, une valeur obtenue par analyse en composantes principales de couples d’indicateurs de premier niveau par exemple à partir de l’angle de tangage et de la vitesse verticale ; (ii) le temps écoulé depuis la dernière alerte du système TCAS, le nombre d’alertes TCAS sur une période de temps, par exemple depuis les 10 dernières minutes, la durée totale d’engagement du pilote automatique depuis par exemple les 5 dernières minutes Un événement EV(t) du vol de l’aéronef à l’instant t est défini par les valeurs de tous les indicateurs à l’instant t. Dans le mode de réalisation décrit ici, on constitue, au cours d’une étape F15, des sous-ensembles d’indicateurs sélectionnés dans cet ensemble complet d’indicateurs. Par exemple, si on dispose d’un ensemble de 10 indicateurs (de premier ou de deuxième niveau) on peut constituer cinq sous-ensembles d’indicateurs, tels que : - le premier sous-ensemble peut être constitué par les indicateurs 1 à 4, - le deuxième sous-ensemble peut être constitué par les indicateurs 6 à 10, - le troisième sous-ensemble peut être constitué par l’indicateur 5, - le quatrième sous-ensemble peut être constitué par les indicateurs 1, 5 et 9, - le cinquième sous-ensemble peut être constitué par les indicateurs 3, 7 et 9. Au cours d’une étape F20 du procédé de sauvegarde de données, le module MDEA de détection d’un évènement anormal détermine pour un événement EV se produisant à un instant t, et pour chaque sous-ensemble d’indicateurs EI i , un avis partiel ap i sur le caractère normal (N) ou atypique (A) de cet évènement à partir des valeurs des indicateurs de cet évènement pour ce sous-ensemble. Par exemple, pour un évènement donné, - au vu des valeurs des indicateurs du premier sous-ensemble à l’instant T, l’avis partiel déterminé ap 1 pour le premier sous-ensemble d’indicateurs peut être que cet événement est normal ; - au vu des valeurs des indicateurs du deuxième sous-ensemble à l’instant T, l’avis partiel ap 2 déterminé pour le second sous-ensemble d’indicateurs peut être que cet événement est atypique; - au vu des valeurs des indicateurs du troisième sous-ensemble à l’instant T, l’avis partiel ap 3 déterminé pour le troisième sous-ensemble d’indicateurs peut être que cet événement est normal ; - au vu des valeurs des indicateurs du quatrième sous-ensemble à l’instant T, l’avis partiel ap 4 déterminé pour le quatrième sous-ensemble d’indicateurs peut être que cet événement est normal ; et - au vu des valeurs des indicateurs du cinquième sous-ensemble à l’instant T, l’avis partiel ap 5 déterminé pour le cinquième sous-ensemble d’indicateurs peut être que cet événement est atypique. Pour cela, le module MDEA de détection d’évènement anormal calcule, pour chaque sous-ensemble d’indicateurs EI i , un score de normalité sn i sur la base des valeurs des seuls indicateurs du sous-ensemble EI i à l’instant t, en utilisant un algorithme AAi associé à ce sous-ensemble EI i , et compare ce score de normalité sn i avec un seuil TH i déterminé pour ce sous-ensemble d’indicateurs EI i . Par exemple, plus l’algorithme considère l’évènement comme atypique, plus le score de normalité attribué à cet évènement est élevé. Comme déjà mentionné et comme détaillé ci-après, chaque algorithme AA i a été appris sur des événements de référence issus de vols sains à définir un score de normalité pour les sous-ensembles d’indicateurs EI i ainsi que le seuil TH i de ce sous-ensemble. Au cours d’une étape F30, le module MDEA de détection d’évènement anormal détermine, en utilisant un modèle de décision, à partir des avis partiels ap i , un avis définitif AD sur le caractère normal N ou atypique A de l’évènement EV à l’instant t.. Si (et seulement si) le module MDEA de détection d’évènement anormal détermine que l’évènement EV à l’instant t est un évènement atypique A, ce module émet un signal de détresse SD. La illustre un modèle de décision LD qui peut être utilisé par un module de détection d’évènement anormal MDEA conforme à l’invention pour générer un signal de détresse SD. Sur cette figure, on a représenté cinq sous-ensembles d’indicateurs EI 1 à EI 5 associés à cinq algorithmes AA 1 à AA 5 . On a également représenté cinq indicateurs I 6 à I 10 . Les indicateurs des cinq sous-ensembles d’indicateurs EI 1 à EI 5 et les indicateurs I 6 à I 10 font partie d’un ensemble d’indicateurs qui représentent un événement d’intérêt EV se produisant au cours d’un instant t du vol d’un aéronef. A titre d’exemple, un indicateur de l’ensemble EI 4 est un indicateur de niveau deux qui représente un type phase de vol (par exemple décollage, phase de montée, croisière, phase de descente, phase de préparation à l’atterrissage…) obtenu par une machine à états AEF. Chaque algorithme AA i détermine un avis partiel ap i sur le caractère normal ou atypique de l’événement d’intérêt à partir du sous-ensemble associé EI i . Dans cet exemple, les indicateurs I 6 à I 10 sont des indicateurs définis par le BEA. Le modèle de décision LD est représenté par le cadre en traits épais. Dans cet exemple, un signal de détresse SD est généré si et seulement si au moins une des cinq conditions suivantes est satisfaite : condition 1/ l’avis partiel ap 1 déterminé pour le premier sous-ensemble d’indicateurs EI 1 et l’avis partiel ap 1 déterminé pour le deuxième sous-ensemble d’indicateurs EI 2 sont tous les deux d’avis que l’évènement EV est atypique ; condition 2/ l’avis partiel ap 2 déterminé pour le deuxième sous-ensemble d’indicateurs EI 2 et l’avis partiel ap 3 déterminé pour le troisième sous-ensemble d’indicateurs EI 3 sont tous les deux d’avis que l’évènement EV est atypique ; condition 3/ un compteur, qui compte le nombre de fois consécutives où un indicateur catégoriel du quatrième sous-ensemble EI 4 prend une modalité déterminée, a dépassé une valeur X dans une fenêtre de temps d’une minute ; condition 4/ une valeur déterminée à partir des indicateurs du cinquième sous-ensemble EI 5 d’indicateurs est dans une plage définie par un filtre ; condition 5/ au moins un risque de détresse RD correspondant à un critère défini par un indicateur I 6 à I 10 du BEA est détecté. Dans un mode de réalisation de l’invention, le module de détection d’évènement anormal MDEA peut générer un signal de détresse SD si une combinaison suivante des valeurs d’indicateurs est détectée : - (roulis supérieur à 35° et action du pilote pour rétablir l’assiette et augmentation du roulis) ou (roulis supérieur à 45° (condition du BEA)) - (intervalle de temps entre deux décrochages inférieur à une minute et faible puissance de poussée des réacteurs) ou (vitesse verticale supérieure à -9000 pieds par minute (condition du BEA)) - (piqué supérieur à -11° et vitesse verticale supérieure à -7000 pieds par minute) ou (piqué supérieur à -20° (condition du BEA)) - (détection d’un obstacle par analyse vidéo et détection d’une commande d’évitement verticale ou horizontale) - détection de l’incapacité du pilote ou du copilote à piloter à partir d’indicateurs représentant un flux vidéo acquis par une caméra face au pilote, des données mesurées par un capteur intégré au siège du (co)pilote, des paroles prononcées dans le cockpit … - (détection de fumée dans le cockpit) et (perte de la netteté des images d’un flux vidéo acquis par une caméra dans le cockpit). Dans le mode de réalisation décrit ici, si le module de détection d’un évènement anormal MDEA génère un signal de détresse SD, un module de communication COM de l’aéronef déclenche la transmission (étape F40) des données de vol dv et des données météorologiques dm comprises dans la mémoire MEM à un récepteur extérieur. En référence aux figures 9 et 10, on décrit maintenant les principales étapes d’un procédé de génération d’un module de détection d’évènement anormal. Ce procédé consiste notamment à : - sélectionner dans un ensemble d’indicateurs représentatifs d’un événement d’au moins un vol sain, les indicateurs des sous-ensembles d’indicateurs EI i. Ces sous-ensembles d’indicateurs sont ceux qui seront utilisés par le procédé de sauvegarde de données à l’étape F15 déjà décrite; - apprendre à chaque algorithme AA i associé à un sous-ensemble d’indicateurs EI i à générer un score de normalité en fonction des valeurs associées à ces indicateurs à un instant donné ; - calculer le seuil TH i de chaque sous-ensemble d’indicateurs EI i ; et - définir le modèle de décision LD mentionné à l’étape F30, par exemple illustré en . Un ou plusieurs seuils TH i peuvent être déterminés par un expert en sécurité des vols. Au cours d’une étape E10, on obtient des données de vol dv, et éventuellement des données météorologiques dm acquises au cours de vols sains, par exemple à partir des données de maintenance de vols précédents. Les indicateurs des sous-ensembles EI i sont sélectionnés au cours d’une étape E15. Au cours d’une étape E20, on apprend à partir d’une pluralité d’évènements EV k issus de vols sains, et pour chaque sous-ensemble d’indicateurs EI i , les algorithmes AA i à générer un score de normalité sn i,k pour chaque événement EV k . On obtient ainsi, pour chaque sous-ensemble d’indicateurs EI i , avec l’algorithme appris dédié, une distribution de ces scores de normalité. Dans un mode de réalisation, le seuil TH i associé à un sous-ensemble d’indicateurs EI i est déterminé à partir de la forme de la distribution des scores de normalité. Ainsi, dans ce mode de réalisation, on détermine, au cours d’une étape E30, pour chaque sous-ensemble d’indicateurs EI i , un type TD i de la distribution des scores de normalité calculés pour ce sous-ensemble. Les figures 10 à 12 représentent des cas typiques de distribution de scores de normalité qui peuvent être obtenues par ces algorithmes. Un mode particulier de réalisation de l’invention propose de déterminer automatiquement le seuil à partir de la forme de ces distributions. La représente un premier type TD 1 de distribution dans laquelle le nombre d’occurrence de scores de normalité chute brutalement à partir d’un score de normalité, par exemple 2 sur cette figure. Pour ce type de distribution TD 1 le seuil peut être choisi légèrement supérieur à cette valeur en prenant une marge de sécurité plus ou moins importante. Deux seuils sont représentés selon deux options 1 et 2 correspondant à deux marges de sécurité. La représente un deuxième type TD 2 de distribution plus continue que celle de la . On note sur cet exemple que les évènements qui ont un score de normalité autour de 6 ont une probabilité beaucoup plus faible (l’échelle des ordonnées est logarithmique) que les évènements qui ont un score de normalité autour de 1. Pour ce type de distribution TD 2 , on peut définir la valeur du seuil au-delà duquel on va considérer un évènement atypique, en fixant un taux acceptable de faux positifs, par exemple 1 pour 1000. Ce choix est illustré par l’option 3 sur la . La représente un troisième type TD 3 de distribution à deux composantes (c’est-à-dire deux contributions) dans laquelle la deuxième composante semble correspondre à des valeurs de score de normalités extrêmes en dehors de la distribution principale. Pour ce type de distribution TD 3 , le seuil peut être choisi entre ces valeurs extrêmes et la valeur maximale de la distribution principale. Ce choix est illustré par l’option 4 de la . Les figures 10 à 12 ne sont que des exemples présentés pour illustrer que les distributions de scores de normalité peuvent être de types très différents. L’invention propose de détecter automatiquement le type de distribution. A cet effet, on peut utiliser une méthode de caractérisation des queues de distributions qui produit un indice appelé « indice de queue » (an anglais « tail index ») qui caractérise la forme de la queue de distribution. Différentes méthodes peuvent être appliquées pour définir cet index, par exemple : - [1] la méthode “Hill estimator” décrite dans le document B.M. Hill, "A simple general approach to inference about the tail of a distribution", Annals of Statistics vol.3, 1975, pp. 1163-1174.) ; ou - [2] la méthode décrite dans le document « J. Boonradsamee, W. Bodhisuwan,and U. Jaroengeratikun, "A New Selecting k Method of Hill’s Estimator",Thai Journal of Mathematics, 2021, pp.153-163” A titre illustratif, un algorithme de caractérisation des queues de distribution a été appliqué aux quatre distributions de la : Pour la distribution uniforme de la (a), l’indice de queue obtenu est égal à 160 Pour la distribution beta de la (b), l’indice de queue obtenu est égal à -4,6 Pour la distribution normale de la (c), l’indice de queue obtenu est égal à 0,31 Pour la distribution exponentielle de la (d), l’indice de queue obtenu est égal à 0,28 Ainsi, dans un mode de réalisation de l’invention, on applique à l’étape E30, pour chaque distribution de scores de normalité obtenue pour un sous-ensemble d’indicateurs, une méthode de caractérisation de queue de cette distribution pour déterminer automatiquement le type de cette distribution, et fixer automatiquement le seuil TH i associé à ce sous-ensemble d’indicateurs en fonction de ce type, par exemple conformément aux options 1 à 4 définies précédemment. Typiquement, pour une distribution dont l’indice de queue est très élevé, par exemple supérieur à 100, on pourra choisir le seuil légèrement supérieur au score de normalité le plus élevé conformément aux options 1 et 2. De même, pour une distribution dont l’indice de queue est positif mais relativement faible, par exemple compris entre 0 et 0.5, on pourra choisir le seuil en fonction d’un nombre prédéterminé de faux positifs conformément à l’option 3. Dans un mode particulier de réalisation, le modèle de décision LD peut être déterminé par un expert dans la sécurité des vols. Au cours d’une étape E40, on détermine, pour chaque évènement EV k , et pour chaque sous-ensemble d’indicateurs EI i , un avis partiel ap i,k sur le caractère normal N ou atypique A de cet évènement en fonction des valeurs des indicateurs de ce sous-ensemble. Dans le mode de réalisation décrit ici, cette étape comporte la comparaison du de score de normalité sn i,k associé aux valeurs de EI i calculé par l’algorithme AA i à l’étape E20 avec le seuil TH i déterminé à l’étape E30. Puis, au cours d’une étape E50, on, met en œuvre le modèle de décision LD pour déterminer le caractère normal ou atypique de l’évènement EV k en fonction des avis partiels ap i,k . De façon connue d’un homme du métier de l’apprentissage, un expert peut utiliser différents jeux de données d’entraînement et de validation pour déterminer les hyperparamètres des algorithmes AA i . Les algorithmes appris AA i , les seuils TH i et le modèle de décision LD sont enregistrés (étape E60) dans une mémoire du module MDEA de détection d’évènement anormal pour pouvoir être utilisés en cours de vol d’un aéronef pour qu’il puisse déterminer : - les avis partiels ap i sur le caractère normal ou atypique d’un évènement au cours du vol en utilisant les algorithmes appris et les seuils ; - le caractère normal ou typique d’un évènement à partir des avis partiels et de modèle de décision et ; - déclencher un signal de détresse si (et seulement si) un événement est considéré atypique. Procédé de génération d’un module (MDEA) de détection d’un évènement anormal se produisant au cours d’un vol dans un aéronef, ce procédé comportant : - une étape (E10) d’obtention de données de vols acquises au cours de vols considérés sains ; - pour au moins un sous-ensemble d’indicateurs sélectionnés dans un ensemble d’indicateurs obtenus à partir desdites données et représentatifs d’un évènement de référence qui s’est produit au cours d’un instant d’un dit vol sain, une étape (E30) d’association, à ce sous-ensemble (EI i ) d’indicateurs, d’un seuil (TH i ) permettant de déterminer un avis partiel sur le caractère normal ou atypique de cet évènement de référence à partir des valeurs des indicateurs dudit sous-ensemble (EI i ); - une étape de configuration dudit module de détection (MDEA) avec : (i) les indicateurs et le seuil (TH i ) de chaque sous-ensemble d’indicateurs, et avec (ii) un modèle de décision (LD) permettant de déterminer un avis définitif sur le caractère normal ou atypique d’un évènement d’intérêt à partir d’avis partiels déterminés pour cet évènement d’intérêt, un avis partiel étant déterminé pour chaque sous-ensemble d’indicateurs à partir (i) des valeurs de ces indicateurs obtenues à partir des données représentatives de l’événement d’intérêt et (ii) du seuil associé à ce sous-ensemble ; - ledit module de détection d’un évènement anormal étant configuré pour, lorsqu’il est mis en œuvre dans un aéronef en vol, générer ou non un signal de détresse en fonction d’un dit avis définitif déterminé pour un évènement d’intérêt produit au cours du vol. Procédé de génération selon la revendication 1 comportant pour une pluralité de sous-ensembles (EI i ) d’indicateurs représentatifs d’évènements de référence qui se sont produits au cours desdits vols sains : - une étape (E20) de calcul d’un score de normalité (sn i,k ) pour chacun (EV k ) desdits évènements de référence à partir des valeurs des indicateurs dudit sous-ensemble (EI i ) pour cet évènement (EV k ) ; - le seuil (TH i ) associé (E30) à un sous-ensemble (EI i ) d’indicateurs étant déterminé à partir d’un type d’une distribution desdits scores de normalité calculés pour ce sous-ensemble (EI i ). Procédé de génération selon la revendication 2 dans lequel ledit seuil (TH i ) est déterminé (E30) en fonction de la forme d’une queue de ladite distribution desdits scores de normalité (sn i,k ). Procédé de génération selon la revendication 2 ou 3 dans lequel lesdits scores de normalité (sn i,k ) calculés (E20) pour un sous-ensemble d’indicateurs (EI i ) sont obtenus par un algorithme à apprentissage (AA i ) associé à ce sous-ensemble. Procédé de génération selon l’une quelconque des revendications 1 à 4, dans lequel le modèle de décision (LD) est configuré pour prendre en compte une pluralité d’avis partiels déterminés pour une pluralité de sous-ensembles (EIi) d’indicateurs pendant une fenêtre de temps afin de déterminer l’avis définitif sur le caractère normal ou atypique d’un évènement de référence. Module de détection d’un évènement anormal au cours d’un vol dans un aéronef, ce module étant caractérisé en ce qu’il a été généré par un procédé selon l’une quelconque des revendications 1 à 5. Procédé de sauvegarde de données de vol acquises au cours d’un vol d’un aéronef, ledit aéronef (AER) comportant un module (MDEA) de détection d’un évènement anormal selon la revendication 6, ce procédé comportant : - une étape de collecte de données (dv, dm) au cours du vol et de mémorisation desdites données collectées dans une mémoire (MEM) de l’aéronef ; - une étape de copie d’au moins une partie desdites données collectées dans une boîte noire (FDR) de l’aéronef ; - une étape de fourniture desdites données collectées en entrée dudit module de détection (MDEA) ; et - une étape de déclenchement de la transmission d’au moins une partie des données collectées vers un récepteur extérieur sur et seulement sur détection d’un signal de détresse (SD) généré par ledit module. Dispositif de sauvegarde de données de vol acquises au cours d’un vol d’un aéronef, ledit aéronef comportant un module de détection d’un évènement anormal selon la revendication 6, ce dispositif comportant : - un module de collecte de données au cours du vol et de mémorisation desdites données collectées dans une mémoire (MEM) de l’aéronef ; - un module de copie d’au moins une partie desdites données collectées dans une boîte noire (FDR) de l’aéronef ; et - un module de fourniture desdites données collectées en entrée dudit module de détection ; et - un module de déclenchement de la transmission d’au moins une partie des données collectées vers un récepteur extérieur sur et seulement sur détection d’un signal de détresse (SD) généré par ledit module de détection d’un évènement anormal. Aéronef comportant un dispositif de sauvegarde de données selon la revendication 8 ou un processeur configuré pour mettre en œuvre un module de détection d’un évènement anormal selon la revendication 6. Programme d’ordinateur (PG) comportant des instructions pour l’exécution des étapes du procédé de génération selon l’une quelconque des revendications 1 à 5 et/ou des instructions pour l’exécution des étapes du procédé de sauvegarde selon la revendications 7 lorsque ledit programme est exécuté par un ordinateur.