Brevet FR3161041A1 — publié le 20251010

La présente divulgation concerne un système de contrôle de vol pour aéronef, comportant un premier ensemble d’ordinateurs de contrôle de vol primaires et un second ensemble d’ordinateurs de contrôle de vol secondaires, où chaque ordinateur de contrôle de vol primaire implémente une première fonctionnalité d’autopilote. Les ordinateurs de contrôle de vol secondaires prennent conjointement le contrôle d’actionneurs de gouvernes lorsque les ordinateurs de contrôle de vol primaires sont défaillants. Le système de contrôle de vol comporte en outre un autre ordinateur (310), auquel sont connectés les ordinateurs de contrôle de vol secondaires, qui implémente une seconde fonctionnalité d’autopilote simplifiée (311), la seconde fonctionnalité d’autopilote étant activable uniquement lorsque le second ensemble d’ordinateurs de contrôle de vol a le contrôle des actionneurs de gouvernes. Ainsi, une fonctionnalité d’autopilote est largement disponible, tout en assurant la robustesse recherchée par la mise en place des ordinateurs de contrôle de vol secondaires. Figure à publier avec l’abrégé : Fig. 3 SYSTEME DE CONTROLE DE VOL POUR AERONEF AVEC AUTOPILOTE La présente invention concerne les systèmes de contrôle de vol pour aéronefs. Plus particulièrement, la présente invention concerne l’implémentation d’une fonctionnalité d’autopilote, ou pilotage automatique, dans des aéronefs. ETAT DE LA TECHNIQUE ANTERIEURE De nombreux aéronefs sont équipés d’une fonctionnalité d’autopilote, ou pilotage automatique. Cette fonctionnalité est implémentée dans un système d’ordinateurs de contrôle de vol FCC (« Flight Control Computers » en anglais). Classiquement, le système d’ordinateurs de contrôle de vol FCC d’un aéronef comporte un premier ensemble d’ordinateurs de contrôle de vol FCC, dits primaires (PRIM), et un second ensemble d’ordinateurs de contrôle de vol FCC, dits secondaires (SEC). Pour des raisons de robustesse opérationnelle, le premier ensemble d’ordinateurs de contrôle de vol FCC comporte donc une pluralité d’ordinateurs de contrôle de vol FCC primaires (3 par exemple) et le second ensemble d’ordinateurs de contrôle de vol FCC comporte une pluralité d’ordinateurs de contrôle de vol FCC secondaires (3 aussi, par exemple). En mode de fonctionnement nominal, le vol de l’aéronef est contrôlé par un ordinateur de contrôle de vol FCC primaire selon une loi de contrôle de vol appelée « Loi Normale ». Les ordinateurs de contrôle de vol FCC primaires sont identiques. Si l’ordinateur de contrôle de vol FCC primaire en cours d’utilisation devient défaillant, le contrôle de vol de l’aéronef est transféré à un autre ordinateur de contrôle de vol FCC primaire, et ainsi de suite. Chacun des ordinateurs de contrôle de vol FCC primaires prennent ainsi, à tour de rôle, c’est-à-dire de manière exclusive les uns des autres, le contrôle des actionneurs de gouvernes de l’aéronef en fonction d’éventuelles défaillances de fonctionnement parmi le premier ensemble d’ordinateurs de contrôle de vol FCC. Si tous les ordinateurs de contrôle de vol FCC primaires sont successivement défaillants, le contrôle de vol de l’aéronef est transféré aux ordinateurs de contrôle de vol FCC secondaires. Les ordinateurs de contrôle de vol FCC secondaires sont identiques, et par souci d’augmentation de robustesse, implémentent des fonctionnalités de contrôle de vol simplifiées par rapport aux ordinateurs de contrôle de vol FCC primaires. Le contrôle de vol de l’aéronef est ainsi réalisé selon une loi de contrôle de vol appelée « Loi Directe », qui contrôle le vol de l’aéronef directement d’après les manœuvres du pilote par l’utilisation du manche latéral (« Side-Stick » en anglais, à savoir des commandes de vol électriques pour le pilotage sur les axes de roulis et tangage). A la différence des ordinateurs de contrôle de vol FCC primaires, les ordinateurs de contrôle de vol FCC secondaires sont utilisés conjointement (simultanément) pour contrôler le vol de l’aéronef. Chacun contrôle un sous-ensemble, qui lui est propre, des actionneurs de gouvernes de l’aéronef. Le contrôle des actionneurs de gouvernes de l’aéronef est ainsi réparti entre les ordinateurs de contrôle de vol FCC secondaires, et les ordinateurs de contrôle de vol FCC secondaires ne communiquent pas entre eux et ne sont donc pas synchronisés entre eux, afin d’éviter d’éventuels conflits concernant le contrôle des actionneurs de gouvernes. La FIG. 1 illustre schématiquement un système d’ordinateurs de contrôle de vol FCC 100 d’un aéronef, tel que présenté ci-dessus. Sur la FIG. 1 apparaît donc le premier ensemble d’ordinateurs de contrôle de vol FCC 110, composé ici de 3 ordinateurs de contrôle de vol FCC primaires PRIM_1 110a, PRIM_2 110b, PRIM_3 110c. Sur la FIG. 1 apparaît aussi le second ensemble d’ordinateurs de contrôle de vol FCC 120, composé ici de 3 ordinateurs de contrôle de vol FCC secondaires SEC_1 120a, SEC_2 120b, SEC_3 120c. Comme expliqué ci-dessus, le système d’ordinateurs de contrôle de vol FCC 100 contrôle un ensemble d’actionneurs de gouvernes ACT 130. Lorsque le contrôle de vol est transféré au second ensemble d’ordinateurs de contrôle de vol FCC 120, un premier sous-ensemble d’actionneurs de gouvernes ACT_1 130a est contrôlé par l’ordinateur de contrôle de vol FCC secondaire SEC_1 120a, un deuxième sous-ensemble d’actionneurs de gouvernes ACT_2 130b est contrôlé par l’ordinateur de contrôle de vol FCC secondaire SEC_1 120b et un troisième sous-ensemble d’actionneurs de gouvernes ACT_1 130c est contrôlé par l’ordinateur de contrôle de vol FCC secondaire SEC_3 120c. Comme schématiquement illustré sur la FIG. 1 , chacun des ordinateurs de contrôle de vol FCC primaires PRIM_1 110a, PRIM_2 110b, PRIM_3 110c implémente, de manière identique, une fonctionnalité d’autopilote AP 111. Et comme les ordinateurs de contrôle de vol FCC secondaires (SEC) implémentent des fonctionnalités simplifiées par rapport aux ordinateurs de contrôle de vol FCC primaires (PRIM), les ordinateurs de contrôle de vol FCC secondaires n’implémentent pas de fonctionnalité d’autopilote. Ainsi, lorsque le contrôle de vol de l’aéronef est réalisé par le second ensemble d’ordinateurs de contrôle de vol FCC, la fonctionnalité d’autopilote n’est plus disponible. Il est donc souhaitable de fournir une solution qui permette de bénéficier plus largement de la fonctionnalité d’autopilote, sans toutefois nuire à la robustesse recherchée par la mise en place des ordinateurs de contrôle de vol FCC secondaires. Il est notamment important que le contrôle des actionneurs de gouvernes de l’aéronef reste réparti entre les ordinateurs de contrôle de vol FCC secondaires, lorsque le contrôle de vol est transféré au second ensemble d’ordinateurs de contrôle de vol FCC. Il est proposé ici un système de contrôle de vol pour aéronef, comportant un premier ensemble d’ordinateurs de contrôle de vol dits primaires et un second ensemble d’ordinateurs de contrôle de vol dits secondaires, les ordinateurs de contrôle de vol secondaires implémentant des fonctionnalités de contrôle de vol simplifiées par rapport aux ordinateurs de contrôle de vol primaires, les ordinateurs de contrôle de vol primaires étant configurés pour assurer un contrôle des actionneurs de gouvernes de manière exclusive les uns des autres en fonction d’éventuelles défaillances de l’un et/ou l’autre des ordinateurs de contrôle de vol primaires, chaque ordinateur de contrôle de vol primaire implémentant une première fonctionnalité d’autopilote, le système de contrôle de vol étant configuré de sorte que le second ensemble d’ordinateurs de contrôle de vol prend le contrôle des actionneurs de gouvernes lorsque les ordinateurs de contrôle de vol primaires sont défaillants, les ordinateurs de contrôle de vol secondaires contrôlant conjointement les actionneurs de gouvernes et chaque ordinateur de contrôle de vol secondaire étant configuré pour contrôler un sous-ensemble des actionneurs de gouvernes qui lui est propre. Le système de contrôle de vol comporte en outre un autre ordinateur, dit ordinateur maître, auquel sont connectés les ordinateurs de contrôle de vol secondaires, implémentant une seconde fonctionnalité d’autopilote simplifiée par rapport à la première fonctionnalité d’autopilote, la seconde fonctionnalité d’autopilote étant activable uniquement lorsque le second ensemble d’ordinateurs de contrôle de vol a le contrôle des actionneurs de gouvernes. Ainsi, grâce à l’agencement par le biais de l’ordinateur maître, une fonctionnalité d’autopilote est activable bien que le contrôle des actionneurs de gouvernes est assuré par les ordinateurs de contrôle de vol secondaires, tout en assurant la robustesse recherchée par la mise en place des ordinateurs de contrôle de vol secondaires. Selon un mode de réalisation particulier, la seconde fonctionnalité d’autopilote est activable lorsque l’aéronef est en vol. Selon un mode de réalisation particulier, la seconde fonctionnalité est limitée à : - un contrôle de vitesse verticale de l’aéronef, par le biais des gouvernes de profondeur ; et - un nivellement, par le biais des aérofreins, des ailerons et de la gouverne de direction de l’aéronef. Selon un mode de réalisation particulier, ledit autre ordinateur est de la circuiterie électronique intégrée à un concentrateur de données de contrôle de vol. Selon un mode de réalisation particulier, le système de contrôle de vol est configuré en outre, lorsque le second ensemble d’ordinateurs de contrôle de vol a le contrôle des actionneurs de gouvernes, de sorte que : - les ordinateurs de contrôle de vol secondaires reçoivent des données issues et/ou dérivées de mesures de capteurs redondants de l’aéronef ; - chaque ordinateur de contrôle de vol secondaire effectue un vote quant aux données issues et/ou dérivées des mesures de capteurs redondants ; - l’ordinateur maître recueille les votes des ordinateurs de contrôle de vol secondaires et la seconde fonctionnalité d’autopilote effectue un traitement des votes pour assurer des contraintes d’autopilotage ; et - l’ordinateur maître transmet aux ordinateurs de contrôle de vol secondaires des ordres de commande des actionneurs de gouvernes en conséquence dudit traitement. Il est aussi proposé ici un aéronef comprenant un système de contrôle de vol selon l’un quelconque des modes de réalisation présentés ci-dessus. Les caractéristiques de l’invention mentionnées ci-dessus, ainsi que d'autres, apparaîtront plus clairement à la lecture de la description suivante d’au moins un exemple de réalisation, ladite description étant faite en relation avec les dessins joints, parmi lesquels : FIG. 1 illustre schématiquement un agencement de premier système de contrôle de vol, selon l’état de la technique ; FIG. 2 illustre schématiquement, en vue de côté, un aéronef équipé d’un second système de contrôle de vol comme proposé ici ; FIG. 3 illustre schématiquement un agencement du second système de contrôle de vol comme proposé ici, selon un mode de réalisation particulier ; FIG. 4 illustre schématiquement un organigramme d’un procédé de traitement de données issues et/ou dérivées de capteurs de l’aéronef par un autopilote, selon un mode de réalisation particulier ; et FIG. 5 illustre schématiquement un exemple de plateforme matérielle, qui est adapté à implémenter des ordinateurs du second système de contrôle de vol comme proposé ici. EXPOSE DETAILLE DE MODES DE REALISATION La FIG. 2 illustre schématiquement, en vue de côté, un aéronef 200 équipé d’un système de contrôle de vol FCC 201 comme proposé dans la présente divulgation. Selon le mode de réalisation de la FIG. 2 , le système de contrôle de vol FCC 201 est un équipement électronique embarqué dans l’aéronef 200. Préférentiellement, le système de contrôle de vol FCC 201 fait partie d’une circuiterie électronique de l’avionique de l’aéronef 200. La FIG. 3 illustre schématiquement un agencement du système de contrôle de vol FCC 201, selon un mode de réalisation particulier. Le système de contrôle de vol FCC 201 comporte, comme dans la FIG. 1 , le premier ensemble d’ordinateurs de contrôle de vol FCC 110, dits primaires (PRIM), par exemple composé de 3 ordinateurs de contrôle de vol FCC primaires PRIM_1 110a, PRIM_2 110b, PRIM_3 110c. Chacun des ordinateurs de contrôle de vol FCC primaires PRIM_1 110a, PRIM_2 110b, PRIM_3 110c implémente, de manière identique, une fonctionnalité d’autopilote AP 111. Le système de contrôle de vol FCC 201 comporte aussi un second ensemble d’ordinateurs de contrôle de vol FCC 320, d’ordinateurs de contrôle de vol FCC secondaires (SEC) implémentant des fonctionnalités de contrôle de vol simplifiées par rapport aux ordinateurs de contrôle de vol FCC primaires PRIM_1 110a, PRIM_2 110b, PRIM_3 110c. Le second ensemble d’ordinateurs de contrôle de vol FCC 320 est par exemple aussi composé de 3 ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c. Comme dans la FIG. 1 , le système d’ordinateurs de contrôle de vol FCC 201 contrôle l’ensemble d’actionneurs de gouvernes ACT 130. Lorsque le contrôle de vol est transféré au second ensemble d’ordinateurs de contrôle de vol FCC 320, le premier sous-ensemble d’actionneurs de gouvernes ACT_1 130a est contrôlé par l’ordinateur de contrôle de vol FCC secondaire SSEC_1 320a, le deuxième sous-ensemble d’actionneurs de gouvernes ACT_2 130b est contrôlé par l’ordinateur de contrôle de vol FCC secondaire SSEC_1 320b et le troisième sous-ensemble d’actionneurs de gouvernes ACT_1 130c est contrôlé par l’ordinateur de contrôle de vol FCC secondaire SSEC_3 320c. Chacun des ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c est connecté, par exemple par un bus de communication 330, à un ordinateur externe aux ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c. Cet ordinateur, dit ordinateur maître MSTR 310, implémente une fonctionnalité d’autopilote SAP 311 qui est simplifiée par rapport à la fonctionnalité d’autopilote AP 111 de sorte à disposer d’une robustesse accrue. La fonctionnalité simplifiée d’autopilote SAP 311 est activable uniquement lorsque le second ensemble d’ordinateurs de contrôle de vol FCC 320 a le contrôle des actionneurs de gouvernes (défaillance des ordinateurs de contrôle de vol FCC primaires). Préférentiellement, l’ordinateur maître MSTR 310 fait partie d’une circuiterie électronique d’un concentrateur de données de contrôle de vol FCDC (« Flight Control Data Concentrator » en anglais). Un tel concentrateur de données de contrôle de vol FCDC est un équipement déjà présent dans les aéronefs modernes, et est utilisé pour recueillir des données de capteurs et d’autres ordinateurs de l’avionique qui sont utiles au contrôle de vol. Typiquement, par souci de redondance, les aéronefs modernes disposent de plusieurs concentrateurs de données de contrôle de vol FCDC_1 301, FCDC_2 302. Dans ce cas, un unique concentrateur de données de contrôle de vol FCDC (le concentrateur de données de contrôle de vol FCDC_1 301 sur la FIG. 3 ) intègre l’ordinateur maître MSTR 310. Lorsque l’autopilote est enclenché et que le contrôle de vol a été transféré au second ensemble d’ordinateurs de contrôle de vol FCC 320, l’ordinateur maître MSTR 310 calcule les ordres de contrôle des actionneurs de gouvernes ACT 130 par application de sa fonctionnalité d’autopilote SAP 311 et envoie ces ordres au second ensemble d’ordinateurs de contrôle de vol FCC 320, chacun des ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c contrôlant alors le sous-ensemble d’actionneurs de gouvernes ACT 130 qui lui est dévolu, en fonction de ces ordres de contrôle. Ainsi, les ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c jouent un rôle d’esclaves, en exécutant les ordres de contrôle des actionneurs de gouvernes ACT 130 calculés par l’ordinateur maître MSTR 310. Un tel agencement permet d'avoir un contrôle cohérent des actionneurs de gouvernes malgré le fait que les ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c ne communiquent pas entre eux et ne sont pas synchronisés entre eux. Dans un mode de réalisation particulier, la fonctionnalité d’autopilote SAP 311 est activable lorsque l’aéronef 200 est en vol. Et dans un mode de réalisation encore plus particulier, la fonctionnalité d’autopilote SAP 311 est limitée à : - un contrôle de vitesse verticale de l’aéronef 200, par le biais des gouvernes de profondeur (« elevators » en anglais) ; et - un nivellement, c’est-à-dire un maintien à 0 degrés de l’angle d’inclinaison de l’aéronef 200 (« bank angle » en anglais), par le biais des aérofreins (« spoilers » en anglais), des ailerons et de la gouverne de direction (« rudder » en anglais). Un tel mode de réalisation particulier de la fonctionnalité d’autopilote SAP 311 permet d’assurer une trajectoire confortable pour les passagers, en toute sécurité lorsque l’aéronef est en vol, lorsque le contrôle de vol a été transféré au second ensemble d’ordinateurs de contrôle de vol FCC 320. Dans un mode de réalisation particulier, la robustesse de la fonctionnalité d’autopilote SAP 311 peut être renforcée par des votes réalisés indépendamment par les ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c d’après des données issues et/ou dérivées de mesures de capteurs redondants (tels que des systèmes gyroscopiques de type ARS (« Angular Rate Systems » en anglais), des systèmes de référence inertiels IRS (« Interial Reference Systems » en anglais) …) de l’aéronef 200,. Cet aspect est présenté ci-après en relation avec la FIG. 4 . La FIG. 4 illustre schématiquement un organigramme d’un procédé de traitement, par la fonctionnalité d’autopilote SAP 311, de données issues et/ou dérivées de mesures de capteurs de l’aéronef 200, selon un mode de réalisation particulier. Dans une étape 401, les ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c reçoivent des données issues et/ou dérivées de mesures de capteurs redondants de l’aéronef 200. Dans une étape 402, les ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c effectuent, indépendamment les uns des autres, un vote quant aux données issues et/ou dérivées des mesures de capteurs redondants qui ont été reçues à l’étape 401. Dans une étape 403, les votes réalisés indépendamment par les ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c sont récupérés par l’ordinateur maître MSTR 310, et fournis à la fonctionnalité d’autopilote SAP 311. Dans une étape 404, la fonctionnalité d’autopilote SAP 311 traite les votes récupérés à l’étape 403, pour assurer les contraintes d’autopilotage (par exemple, contrôle de vitesse verticale et nivellement), et en déduit des résultats en matière de contrôle de vol de l’aéronef 200. Ainsi, dans une étape 405, la fonctionnalité d’autopilote SAP 311 convertit les résultats du traitement de l’étape 404 en ordre(s) de contrôle des actionneurs de gouvernes ACT 130 à faire appliquer par les ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c. Puis, dans une étape 406, la fonctionnalité d’autopilote SAP 311 transmet les ordres en question aux ordinateurs de contrôle de vol FCC secondaires SSEC_1 320a, SSEC_2 320b, SSEC_3 320c. La FIG. 5 illustre schématiquement un exemple de plateforme matérielle permettant d’implémenter, sous forme de circuiterie électronique, tout ordinateur utilisé dans le cadre de la présente divulgation, selon un mode de réalisation particulier. La plateforme matérielle comporte, reliés par un bus de communication 510, un processeur ou CPU (« Central Processing Unit » en anglais) 501 ; une mémoire vive RAM (« Random-Access Memory » en anglais) 502 ; une mémoire morte 503, par exemple de type ROM (« Read Only Memory » en anglais) ou EEPROM (« Electrically-Erasable Programmable ROM » en anglais), telle qu’une mémoire Flash ; une unité de stockage, telle qu’un disque dur HDD (« Hard Disk Drive » en anglais) 504, ou un lecteur de support de stockage, tel qu’un lecteur de cartes SD (« Secure Digital » en anglais) ; et un gestionnaire d’interfaces I/f 505. Le gestionnaire d’interfaces I/f 505 permet à l’ordinateur en question d’interagir avec d’autres ordinateurs du système de contrôle de vol FCC 201 et/ou d’autres ordinateurs de l’avionique de l’aéronef 200 et/ou des capteurs de l’aéronef 200 et/ou des actionneurs de gouvernes de l’aéronef 200. Des entrées/sorties, un réseau de communication, ou un bus de communication peuvent être utilisés pour ce faire. Le processeur 501 est capable d’exécuter des instructions chargées dans la mémoire vive 502 à partir de la mémoire morte 503, d’une mémoire externe, d’un support de stockage (tel qu’une carte SD), ou d’un réseau de communication. Lorsque la plateforme matérielle est mise sous tension, le processeur 501 est capable de lire de la mémoire vive 502 des instructions et de les exécuter. Ces instructions forment un programme d’ordinateur causant l’implémentation, par le processeur 501, de tout ou partie des étapes ou procédés ou plus largement des comportements décrits dans la présente divulgation. Tout ou partie des étapes, procédés et comportements décrits ici peut ainsi être implémenté sous forme logicielle par exécution d’un ensemble d’instructions par une machine programmable, par exemple un processeur de type DSP (« Digital Signal Processor » en anglais) ou un microcontrôleur, ou être implémenté sous forme matérielle par une machine ou un composant électronique (« chip » en anglais) dédié ou un ensemble de composants électroniques (« chipset » en anglais) dédié, par exemple un composant FPGA (« Field Programmable Gate Array » en anglais) ou ASIC (« Application Specific Integrated Circuit » en anglais). Le terme ordinateur doit donc être entendu au sens large. D’une manière générale, chaque ordinateur utilisé ici est de la circuiterie électronique adaptée et configurée pour implémenter tout ou partie des étapes, procédés et comportements décrits ici. Un système de contrôle de vol (201) pour aéronef (200), comportant un premier ensemble (110) d’ordinateurs de contrôle de vol dits primaires (110a, 110b, 110c) et un second ensemble (320) d’ordinateurs de contrôle de vol dits secondaires (320a, 320b, 320c), les ordinateurs de contrôle de vol secondaires (320a, 320b, 320c) implémentant des fonctionnalités de contrôle de vol simplifiées par rapport aux ordinateurs de contrôle de vol primaires (110a, 110b, 110c), les ordinateurs de contrôle de vol primaires (110a, 110b, 110c) étant configurés pour assurer un contrôle d’actionneurs de gouvernes (130) de l’aéronef (200) de manière exclusive les uns des autres en fonction d’éventuelles défaillances de l’un et/ou l’autre des ordinateurs de contrôle de vol primaires (110a, 110b, 110c), chaque ordinateur de contrôle de vol primaire (110a, 110b, 110c) implémentant une première fonctionnalité d’autopilote (111), le système de contrôle de vol (201) étant configuré de sorte que le second ensemble d’ordinateurs de contrôle de vol (320) prend le contrôle des actionneurs de gouvernes (130) lorsque les ordinateurs de contrôle de vol primaires (110a, 110b, 110c) sont défaillants, les ordinateurs de contrôle de vol secondaires (320a, 320b, 320c) contrôlant conjointement les actionneurs de gouvernes (130) et chaque ordinateur de contrôle de vol secondaire (320a, 320b, 320c) étant configuré pour contrôler un sous-ensemble (130a, 130b, 130c) des actionneurs de gouvernes (130) qui lui est propre, caractérisé en ce que le système de contrôle de vol (201) comporte en outre un autre ordinateur (310), dit ordinateur maître, auquel sont connectés les ordinateurs de contrôle de vol secondaires (320a, 320b, 320c), implémentant une seconde fonctionnalité d’autopilote (311) simplifiée par rapport à la première fonctionnalité d’autopilote (111), la seconde fonctionnalité d’autopilote (311) étant activable uniquement lorsque le second ensemble d’ordinateurs de contrôle de vol (320) a le contrôle des actionneurs de gouvernes (130). Le système de contrôle de vol (201) selon la revendication 1, dans lequel la seconde fonctionnalité d’autopilote (311) est activable lorsque l’aéronef (200) est en vol. Le système de contrôle de vol (201) selon la revendication 2, dans lequel la seconde fonctionnalité (311) est limitée à : - un contrôle de vitesse verticale de l’aéronef (200), par le biais des gouvernes de profondeur ; et - un nivellement, par le biais des aérofreins, des ailerons et de la gouverne de direction de l’aéronef (200). Le système de contrôle de vol (201) selon l’une quelconque des revendications 1 à 3, dans lequel l’ordinateur maître (310) est de la circuiterie électronique intégrée à un concentrateur de données de contrôle de vol (301) de l’aéronef (200). Le système de contrôle de vol (201) selon l’une quelconque des revendications 1 à 4, configuré en outre, lorsque le second ensemble d’ordinateurs de contrôle de vol (320) a le contrôle des actionneurs de gouvernes (130), de sorte que : - les ordinateurs de contrôle de vol secondaires (320a, 320b, 320c) reçoivent (401) des données issues et/ou dérivées de mesures de capteurs redondants de l’aéronef (200) ; - chaque ordinateur de contrôle de vol secondaire (320a, 320b, 320c) effectue (402) un vote quant aux données issues et/ou dérivées des mesures de capteurs redondants ; - l’ordinateur maître (310) recueille (403) les votes des ordinateurs de contrôle de vol secondaires (320a, 320b, 320c) et la seconde fonctionnalité d’autopilote (311) effectue (404) un traitement des votes pour assurer des contraintes d’autopilotage ; et - l’ordinateur maître (310) transmet (406) aux ordinateurs de contrôle de vol secondaires (320a, 320b, 320c) des ordres de commande des actionneurs de gouvernes (130) en conséquence dudit traitement. Un aéronef (200) comprenant un système de contrôle de vol (201) selon l’une quelconque des revendications 1 à 5.