Brevet FR3160678A1 — publié le 20251003

Figure pour l’abrégé : 2 L’invention porte sur un procédé et système de détection de l’incapacité d’un pilote d’aéronef, comprenant : associer à une Phase X d’une trajectoire de l’aéronef, une valeur T1 Phase X d’un Minuteur1, et au moins une Commande Surveillée1 Phase X . A l’entrée (200) en Phase X, un statut « incapacité suspectée » et/ou un statut « incapacité confirmée » sont activés suivant que le pilote actionne ou non au moins une Commande Surveillée1 Phase X et/ou au moins une Commande Surveillée2 avant que deux minuteurs n’atteignent respectivement des valeurs de T1 Phase X et T2. Procédé et système de détection d’incapacité de pilote fonction de la phase de trajectoire d’un aéronef. Domaine La présente invention concerne un procédé et système de détection d’incapacité de pilote d’aéronef, et plus particulièrement un procédé et un système avec une capacité permanente durant un vol à détecter l'incapacité du pilote en utilisant une minuterie pour établir la suspicion d’incapacité qui dépend de la phase de vol, associée à un large éventail de commandes surveillées dans la cabine de pilotage. Contexte Dans le monde du transport, des techniques de veille automatique permettant de s'assurer en permanence que le conducteur/pilote est présent et conscient à son poste ont été développées de tout temps. Dans le domaine aérien, les développements ont été stimulés notamment par les travaux sur les perspectives d’opérer des avions commerciaux avec un seul pilote à bord, par exemple les travaux « Extended Minimum Crew Operations-Single Pilot Operations, eMCO-SiPO » de l’EASA, European Union Aviation Safety Agency, par exemple dans le document « EMCO SIPO EASA 2022.C17 D-1.2 Report on baseline risk framework for EM COS ». Les limites de ces développements sont notamment: - de provoquer des perturbations de l'équipage dans les phases de vol/contextes opérationnels à charge de travail élevée; - de potentiellement interrompre certaines tâches opérationnelles courtes dans le temps; et/ou - d’avoir un taux de faux positifs trop élevé de détections d'incapacité, alors que du point de vue de la perception de l’équipage, certains événements sont acceptables s’ils se produisent quand le contexte opérationnel est calme. De nouveaux développements sont donc nécessaires, qui trouvent application y compris quand des avions commerciaux sont opérés avec deux pilotes à bord. Les techniques évoquées dans cette section ne doivent pas être présumées appartenir à l'état de la technique du seul fait de leur seule évocation. De même, un problème mentionné dans cette même section ne doit pas être présumé avoir été précédemment identifié dans l'état de la technique à raison de sa seule mention. Résumé Des modes de réalisation de la présente invention ont été développés sur la base de la compréhension par les développeurs des lacunes associées à l'art antérieur. La présente invention comporte ainsi, sous différents modes de réalisation, un procédé de détection de l’incapacité d’un pilote d’aéronef, comprenant les étapes: - déterminer au moins une Phase X d’une trajectoire de l’aéronef; - associer à chaque Phase X déterminée, une valeur T1 Phase X d’un Minuteur1, et au moins une Commande Surveillée1 Phase X ; et, à l’entrée en Phase X de l’aéronef : - démarrer le Minuteur1; - surveiller une action du pilote sur l’une parmi la ou les Commande Surveillée1 Phase X associées; et - si le pilote n’actionne pas au moins une Commande Surveillée1 Phase X avant que la valeur de Minuteur1 n’atteigne T1 Phase X : - activer un statut « incapacité suspectée »; - démarrer un Minuteur2; - surveiller une action du pilote sur au moins une Commande Surveillée2; et - si le pilote n’actionne pas au moins une Commande Surveillée2 avant que la valeur de Minuteur2 n’atteigne une valeur T2: activer un statut « incapacité confirmée ». Dans divers modes de réalisation, le procédé comprend en outre les étapes : - si le pilote actionne un Bouton présence: dé-activer les statuts activés parmi les statuts « incapacité suspectée » et « incapacité confirmée ». Dans divers modes de réalisation du procédé, la valeur T2 dépend de la Phase X de la trajectoire de l’aéronef durant laquelle est déclenché le statut « incapacité suspectée ». Dans divers modes de réalisation, le procédé comprend en outre l’étape : - afficher le statut « incapacité suspectée » pour avertir le pilote qu’une action de sa part est attendue. Dans divers modes de réalisation, le procédé comprend en outre l’étape : - ne pas afficher le statut « incapacité suspectée » si, et tant que le pilote : - est en communication radio; - actionne un manche latéral; ou - actionne un levier de train d’atterrissage ou de volets. La présente invention comporte aussi, sous différents modes de réalisation, un support lisible par un processeur, comportant des instructions pour exécuter le procédé précédent. La présente invention comporte aussi, sous différents modes de réalisation, un système de détection d’incapacité d’un pilote d’aéronef configuré pour : - recevoir la détermination d’une Phase X d’une trajectoire de l’aéronef; - associer à chaque Phase X déterminée, une valeur T1 Phase X d’un Minuteur1, et au moins une Commande Surveillée1 Phase X ; et, à l’entrée en Phase X de l’aéronef : - démarrer le Minuteur1; - surveiller une action du pilote sur l’une parmi la ou les Commandes Surveillée1s Phase X associées; et - si le pilote n’actionne pas au moins une Commande Surveillée1 Phase X avant que la valeur de Minuteur1 n’atteigne T1 Phase X : - activer un statut « incapacité suspectée »; - démarrer un Minuteur2; - surveiller une action du pilote sur au moins une Commande Surveillée2; et - si le pilote n’actionne pas au moins une Commande Surveillée2 avant que la valeur de Minuteur2 n’atteigne une valeur T2: activer un statut « incapacité confirmée ». Dans divers modes de réalisation, le système est aussi configuré pour: - activer un mode de déroutement d’urgence de l’aéronef en cas d’activation du statut « incapacité confirmée ». Dans divers modes de réalisation, le système est aussi configuré pour: - afficher, en cas d’activation, le statut « incapacité suspectée » sur un Affichage tableau de bord pour avertir le pilote qu’une action de sa part est attendue. Dans divers modes de réalisation, le système est aussi configuré pour: - afficher, en cas d’activation, le statut « incapacité confirmée » sur un Affichage tableau de bord pour avertir le pilote que le mode de déroutement d’urgence de l’aéronef est activé. Dans divers modes de réalisation, le système est aussi configuré pour afficher, en cas d’activation, le statut « incapacité confirmée » sur un affichage dédié au personnel de cabine pour demander du secours à l’attention du pilote en incapacité. Dans divers modes de réalisation, le système est aussi configuré pour alerter, en cas d’activation du statut « incapacité confirmée », au moins un second pilote présent dans une salle de repos de l’avion. Dans divers modes de réalisation, le système est aussi configuré pour, en cas d’activation du statut « incapacité confirmée »: - effectuer un transfert d’autorité sur l’un au moins parmi les calculateurs : - Configuration; - Freins; - Procédure; et - Communications; des Commandes tableau de bord, vers une Gestion automatique de navigation de diversion d’urgence. La présente invention comporte aussi, sous différents modes de réalisation, un aéronef comprenant le système précédent. Dans le cadre de la présente description, sauf disposition expresse contraire, un « processeur » peut faire référence, mais sans s'y limiter, à tout type de « système informatique », « dispositif électronique », « système informatisé », « unité de contrôle », « dispositif de surveillance », « serveur » et/ou toutes combinaisons de ceux-ci appropriées à la tâche concernée, en relation avec la réception, le stockage, le traitement et/ou la transmission de données. Dans le cadre de la présente description, l'expression « FPGA » vise à inclure les systèmes de type Field Programmable Gate Array (en langue anglaise), disponibles sur le marché au moment du dépôt de la présente demande de brevet, tels que les références Xilinx VU9P, ou Intel Stratix V, et toutes les inventions équivalentes ultérieures devenues disponibles, quel que soit leur nom, consistant en un matériel de système informatique programmable avec un logiciel. Dans le cadre de la présente description, un « processeur » peut comprendre un seul processeur dédié, un seul processeur partagé, ou une pluralité de processeurs individuels, dont certains peuvent être partagés. Un « processeur » peut être un processeur à usage général, tel qu'une unité centrale de traitement (CPU), un processeur dédié à un objectif spécifique ou un processeur implémenté dans un FPGA. D'autres matériels et logiciels, conventionnels et/ou personnalisés, peuvent également être inclus dans un « processeur ». Dans le cadre de la présente description, un « calculateur » représente indifféremment un ou plusieurs processeurs capables de lire des instructions en vue d’exécuter une fonction, et/ou une fonction réalisée par l’exécution d’instructions par un ou plusieurs processeurs. Dans le cadre de la présente description, sauf disposition expresse contraire, l'expression "mémoire" inclut les systèmes de stockage à accès aléatoire, disponibles sur le marché au moment du dépôt de la présente demande de brevet, et toutes les inventions équivalentes ultérieures devenant disponibles, quelle que soit leur dénomination, consistant en des supports de systèmes informatiques pour le stockage d'informations numériques. Un exemple d'une telle mémoire peut être une mémoire vive statique (SRAM). Dans le cadre de la présente description, les étapes fonctionnelles représentées sur les figures peuvent être assurées grâce à l'utilisation de matériel dédié, ainsi que de matériel capable d'exécuter un logiciel approprié. Dans le cadre de la présente description, sauf disposition expresse contraire, les mots "premier", "deuxième", "troisième", etc. n'ont été utilisés comme adjectifs qu'aux seules fins de permettre de distinguer les noms qu'ils accompagnent les uns des autres, et non dans le but de décrire une relation particulière entre ces noms. Les mises en œuvre de la présente invention ont chacune au moins un des objets et/ou aspects mentionnés ci-dessus, mais ne les ont pas nécessairement tous. Des caractéristiques, aspects et avantages supplémentaires et/ou alternatifs des mises en œuvre de la présente invention ressortiront de la description suivante, des dessins joints et des revendications annexées. Pour une meilleure compréhension de la présente invention, il est fait référence à la description suivante qui doit être utilisée conjointement avec les dessins ci-joints, où : Fig.1 FIG. 1 représente un exemple de trajectoire d’aéronef découpée en phases contiguës; Fig.2 FIG. 2 détaille un exemple d’étapes du procédé de détection de l’incapacité du pilote de la présente invention, en fonction de la phase dans la trajectoire de l’aéronef; Fig.3 FIG. 3 présente une version schématisée d’un exemple d’implémentation de calculateurs et d’interfaces à bord d’un aéronef conformément à l’invention; Fig.4 FIG. 4 illustre un tableau de bord d’aéronef; Fig.5 FIG. 5 illustre un système informatique qui peut être utilisé dans la présente invention, par exemple pour réaliser les calculateurs visibles sur la FIG. 3 , ou les étapes de procédé conformément à la FIG. 2 ; et Fig.6 FIG. 6 représente un aéronef équipé de la présente invention. Il convient de noter que, sauf indication contraire explicite , les dessins ne sont pas à l'échelle. Enfin, les éléments identiques d'un dessin à l'autre portent la même référence numérique. Les exemples et les conditions associées détaillés ici sont principalement destinés à aider le lecteur à comprendre les principes de la présente invention et non à limiter sa portée à ces exemples et conditions spécifiques. On comprendra que l'homme du métier peut concevoir divers agencements qui, bien qu'ils ne soient pas explicitement décrits ou représentés ici, incarnent néanmoins les principes de la présente invention et sont inclus dans son esprit et sa portée. En outre, pour faciliter la compréhension, la description suivante peut décrire des mises en œuvre relativement simplifiées de la présente invention. Comme l’homme du métier le comprend, d’autres mises en œuvre de la présente invention peuvent être d'une plus grande complexité. Dans certains cas, des exemples de modifications de la présente invention peuvent également être présentés. Ceci est fait simplement comme une aide à la compréhension, et, à nouveau pas pour définir la portée ou établir les limites de la présente invention. Ces modifications ne sont pas une liste exhaustive, et l'homme du métier pourra apporter d'autres modifications tout en restant dans le cadre de la présente invention. En outre, toutes les déclarations ci-après relatives aux principes, aspects et mises en œuvre de la présente invention, ainsi que les exemples spécifiques de celle-ci, visent à englober à la fois les équivalents structurels et fonctionnels de celle-ci, qu'ils soient actuellement connus ou développés à l'avenir. Ainsi, par exemple, il sera compris par l’homme du métier que tous les schémas fonctionnels représentent des vues conceptuelles d’exemples de circuits incorporant les principes de la présente invention. De même, il sera bien compris que tous les organigrammes, diagrammes de transition d'état, pseudo-code, et similaires, représentent divers processus qui peuvent être implémentés sur des supports lisibles par ordinateur, et ainsi être exécutés par un ordinateur ou un processeur, qu'un tel l'ordinateur ou processeur soit montré sur les figures ou non. Les fonctions des divers éléments représentés sur les figures, y compris tout bloc fonctionnel, peuvent être assurées par l'utilisation de matériel dédié ainsi que de matériel capable d'exécuter un logiciel approprié. Elles peuvent également être exécutées par un processeur. D'autres matériels, conventionnels et/ou personnalisés, peuvent également être utilisés. Les modules logiciels, ou les modules supposés être des logiciels, peuvent être représentés ici comme une combinaison d'éléments d'organigramme, ou d'autres éléments indiquant l'exécution des étapes d’un processus, et/ou comme une description textuelle. De tels modules peuvent être exécutés par un matériel qui est expressément représenté ou pas. De plus, il doit être entendu que « module » peut inclure, par exemple, mais sans s'y limiter, une logique de programme informatique, des instructions de programme informatique, un logiciel, une pile logicielle, un micrologiciel, un circuit matériel, ou une combinaison de ces différents éléments qui fournit les capacités requises. Ceci étant posé, nous allons maintenant considérer quelques exemples non limitatifs pour illustrer diverses mises en œuvre de la présente invention. Dans un exemple, une trajectoire 100 d’aéronef décollant puis atterrissant, est schématisée FIG. 1 . Cette trajectoire est découpée en phases contiguës 101 à 108, comme suit : - 101 : roulage; - 102 : décollage; - 103 : ascension initiale; l’altitude maximum de cette portion de trajectoire peut par exemple être fixée à 1500 pieds au-dessus du terrain; - 104 : ascension finale et croisière; - 105 : descente; l’altitude minimum de cette portion de trajectoire peut par exemple être fixée à 5000 pieds; - 106 : approche; - 107 : atterrissage; et - 108 : roulage. Le découpage de la trajectoire 100 peut être différent, à la fois dans le nombre de phases, dans la durée de chacune d’entre elles, et/ou dans les altitudes minimum et maximum impliquées. Chaque phase est caractérisée notamment par la fréquence des actions requises par le personnel dans la cabine de pilotage, et l’enclenchement ou non du pilote automatique par l’équipage. La FIG. 2 détaille un exemple d’étapes du procédé de détection de l’incapacité du pilote de la présente invention, en fonction de la phase dans la trajectoire de l’aéronef, aussi dite phase de vol. Le procédé offre ainsi une capacité permanente à détecter l'incapacité du pilote en utilisant une minuterie pour établir la suspicion d’incapacité qui dépend de la phase de trajectoire de l’aéronef, associée à un éventail de commandes surveillées dans la cabine de pilotage qui dépend aussi de la phase de trajectoire de l’aéronef. La solution de l’invention implique notamment une surveillance des commandes du poste de pilotage, interprétée comme une preuve que l'équipage n'est pas en totale incapacité. Ainsi : à l’étape 200, une phase de trajectoire appelée « Phase X » est déterminée, par exemple comme l’une des phases 101 à 108 illustrées en FIG. 1 . La détermination de la phase de trajectoire peut par exemple, comme expliqué ci-dessous en relation avec la FIG. 3 , être communiquée par certains calculateurs embarqués à bord de l’aéronef. A l’étape 201, un Minuteur1 est mis à 0, et un statut « incapacité suspectée » aussi mis à 0, et à l’étape 202, le Minuteur1 est incrémenté et compte le temps qui passe. A l’étape 203, un test est réalisé pour savoir si la valeur du Minuteur1 a atteint une valeur T1 Phase X qui dépend de la Phase X : - si cette valeur est atteinte, alors à l’étape 205, le statut « incapacité suspectée » est mis à 1 ou activé, à l’étape 206 un Minuteur2 est mis à 0, et un statut « incapacité confirmée » aussi mis à 0, et à l’étape 207, le Minuteur2 est incrémenté et compte le temps qui passe; - si cette valeur n’est pas atteinte, alors à l’étape 204, un test est réalisé pour savoir si une action par le pilote est intervenue sur au moins l’une parmi une ou des Commandes Surveillées1 qui dépendent de la Phase X (appelées Commandes Surveillées1 Phase X ): - si une action est intervenue, alors un branchement est fait à l’étape 201 (Minuteur1 remis à 0); - si aucune action n’est intervenue, alors un branchement est fait à l’étape 202 (Minuteur1 incrémenté). A l’étape 208, un test est réalisé pour savoir si la valeur du Minuteur2 a atteint une valeur T2: - si cette valeur est atteinte, alors à l’étape 210, le statut « incapacité confirmée » est mis à 1 ou activé; - si cette valeur n’est pas atteinte, alors à l’étape 209, un test est réalisé pour savoir si une action par le pilote est intervenue sur au moins l’une parmi une ou des Commandes Surveillées2: - si une action est intervenue, alors un branchement est fait à l’étape 201 (Minuteur1 remis à 0); - si aucune action n’est intervenue, alors un branchement est fait à l’étape 207 (Minuteur2 incrémenté). Le statut « incapacité suspectée » mis à 1 ou activé à l’étape 205 permet comme expliqué ci-dessous en relation avec la FIG. 3 , d’alerter le pilote que le système de détection d’incapacité du pilote a détecté une absence suspecte d’activité du pilote. Le statut « incapacité suspectée », ou tout autre message d’alerte équivalent, peut être affiché sur un Affichage tableau de bord 307 ( FIG. 3 ) afin d’avertir le pilote qu’une action de sa part est attendue. Le pilote pourra annuler la suspicion d’incapacité en agissant sur une Commande surveillée2 ou bien sur un Bouton de présence 306 ( FIG. 3 ) selon une option d’implémentation de l’invention décrite ci-dessous. Le statut « incapacité confirmée » mis à 1 ou activé à l’étape 210 permet comme expliqué ci-dessous en relation avec la FIG. 3 , d’alerter certains calculateurs embarqués à bord de l’aéronef, et de prendre certaines actions de sécurité conformément à l’invention. Le statut « incapacité confirmée », ou tout autre message d’alerte équivalent, peut être affiché sur l’Affichage tableau de bord 307 ( FIG. 3 ) afin d’avertir le pilote qu’un mode de déroutement d’urgence (par exemple, un mode connu sous le vocable anglais « AUTO EMER OPS ») est activé. FIG. 3 présente une version schématisée d’un exemple d’implémentation 300 de calculateurs et d’interfaces à bord d’un aéronef conformément à l’invention. Un Calculateur central 301 comporte au moins deux calculateurs : - un calculateur Détecteur d’incapacité 302 (« Human Monitoring Application, HMA, Incapacity Detector, ID » en langue anglaise) dans lequel par exemple, les étapes indiquées FIG. 2 , du procédé selon l’invention, peuvent être exécutées; et - un calculateur de Gestion automatique de navigation de diversion d’urgence 304 (« Flight Management System Contingency Trajectory », « FMS CT » en langue anglaise). Le Calculateur central 301 reçoit en entrée au moins des informations : - d’activation des Commandes tableau de bord 308; - d’activation d’un Manche latéral 314 (« Sidestick » en langue anglaise); - d’un calculateur Avertissement de vol 305 (« Flight Warning System, FWS » en langue anglaise); et - de manière optionnelle, dans un mode d’implémentation de l’invention: d’activation du Bouton présence 306. Le Calculateur central 301 commande notamment l’Affichage tableau de bord 307. Le calculateur Avertissement de vol 305 se compose de plusieurs composants qui fonctionnent ensemble pour garantir des capacités efficaces de surveillance et d'avertissement, relatives notamment aux paramètres opérationnels de l’avion, et aux pannes éventuelles de systèmes. Ces capacités sont garanties sur la base notamment de grandes quantités de données reçues des différents capteurs et systèmes de l'aéronef (non représentés). Les avertissements sont visuels sur le tableau de bord de l’aéronef, et/ou audio. Le calculateur Avertissement de vol 305 commande ainsi notamment l’Affichage tableau de bord 307. Le tableau de bord de l’avion comporte avantageusement des affichages qui sont dédiés aux informations d’avertissement fournies par le calculateur Avertissement de vol 305. Une fonction de calcul de phase de trajectoire de l’aéronef peut également être incluse dans le calculateur Avertissement de vol 305, dans un exemple d’implémentation, qui informe le Calculateur central 301 de la phase de trajectoire « Phase X » dans laquelle l’aéronef se trouve (étape 200 sur la FIG. 2 ): cette information est utilisée pour en déduire notamment la valeur du Minuteur1, et la gamme des Commandes surveillées1. Cette information de phase de trajectoire peut également être calculée dans un calculateur autre que le calculateur Avertissement de vol 305, s’il n’est pas disponible sur l’aéronef ou si le calcul de phase de trajectoire n’est pas fait dans le calculateur Avertissement de vol 305, mais par exemple dans un calculateur central d’alerte. Dans l’exemple présenté, cinq autres calculateurs équipent l’aéronef : - un Pilote automatique 309, qui permet notamment l’automatisation du guidage de l’aéronef sur une trajectoire et de la poussée des moteurs; - au moins un calculateur de Configuration 310, qui permet notamment d’avoir le contrôle sur les hypersustentateurs, becs, volets, les trains d’atterrissage et les aérofreins de l’avion; - un calculateur Freins 311, qui permet notamment d’avoir le contrôle sur les freins de l’aéronef; - au moins un calculateur Procédure 312, qui permet notamment d'exécuter automatiquement des procédures à la place du pilote; et - un calculateur Communications 313 qui permet les communications entre l’aéronef et l’extérieur (autres aéronefs, tours de contrôle, etc.). Les quatre derniers calculateurs cités 310-313 sont commandés par le pilote au travers des Commandes tableau de bord 308 (par le signal 308a), le Manche latéral 314, ou bien par la Gestion automatique de navigation de diversion d’urgence 304 (au travers du signal 304a) en cas de transfert d’autorité effectué par le Détecteur d’incapacité 302 (communiqué par le signal 302a). Ce transfert d’autorité dépend de la détection de l’incapacité du pilote, et du statut « incapacité confirmée » lorsqu’il est mis à 1 ou activé conformément à l’étape 210 sur la FIG. 2 . Le Pilote automatique 309 guide automatiquement l’avion sur une trajectoire calculée par un calculateur Gestion de navigation primaire 303 (et communiquée par un signal 303a) (« Flight Management System Primary », « FMS-primary » en langue anglaise) sous la responsabilité du pilote, ou bien par le calculateur Gestion automatique de navigation de diversion d’urgence 304 (et communiquée par un signal 304a) en cas de transfert d’autorité effectué par le Détecteur d’incapacité 302 (transfert d’autorité communiqué par un signal 302a). Ce transfert d’autorité dépend de la détection de l’incapacité du pilote. La FIG. 4 illustre un tableau de bord d’aéronef. Un Tableau de bord 400 comporte les Commandes tableau de bord 308, le Manche latéral 314, l’Affichage tableau de bord 307, et de manière optionnelle le Bouton présence 306, lorsqu’il est implémenté dans un mode d’implémentation de l’invention, positionné à un endroit visuellement privilégié dans le champ de vision du pilote, et facilement accessible pour une activation rapide par le pilote. Le procédé et système de l’invention doivent à la fois assurer la réactivité requise pour garantir la sécurité de l’aéronef en cas d'incapacité du pilote, et réduire au maximum le caractère intrusif de la surveillance de l'incapacité, et le risque de perturbation excessive de l'équipage. Pour se faire, la solution apportée implique notamment de surveiller suffisamment de commandes de tableau de bord (Commandes Surveillées1, Commandes Surveillées2, choisies parmi les Commandes tableau de bord 308, le Manche latéral 314, et le Bouton présence 306 lorsqu’il est présent dans un mode d’implémentation de l’invention) pour que l'équipage puisse toujours agir normalement sur au moins l’une d'entre elles dans l'accomplissement de ses tâches avant l'expiration d’un temps imparti par le minuteur par phase de trajectoire. Ainsi, pour définir les différentes phases de trajectoire, et la durée du minuteur, comme des commandes surveillées du poste de pilotage associées, une analyse de données peut être effectuée sur la base d’un grand nombre de vols. Cela permet d’assurer un procédé et système de détection d’incapacité du pilote à la fois efficace, et qui est acceptable du point de vue du pilote, au regard des perturbations opérationnelles potentiellement introduites. Dans un mode d’implémentation de l’invention, les valeurs retenues de Minuteur1 et de la ou des Commande Surveillée1 Phase X associées, sont les suivantes, relativement aux phases de trajectoires données en FIG. 1 : Phase X Minuteur1 Commandes Surveillées1 Phase X 101 3min Clavier d’interaction avec le système de gestion automatique de vol (FMS), commandes radio, palonniers, manettes des gaz, manette d’orientation de la roulette du nez de l’aéronef 102 1min Commandes de rentrée du train d’atterrissage, commandes de rentrée des hypersustentateurs, manettes des gaz, manette de manche latéral, commandes du pilote automatique (FCU, ou “Flight Control Unit” en langue anglaise) 103 1min Commandes du pilote automatique, commandes d’affichage, commandes de gestion du système d’alarme, commandes radio, manette de manche latéral, manettes des gaz, clavier d’interaction avec le système de gestion automatique de vol (FMS) 104 9min Commandes du pilote automatique, commandes d’affichage, commandes de gestion du système d’alarme, commandes radio, manette de manche latéral, manettes des gaz, clavier d’interaction avec le système de gestion automatique de vol (FMS) 105 5min Commandes du pilote automatique, commandes d’affichage, commandes de gestion du système d’alarme, commandes radio, manette de manche latéral, manettes des gaz, clavier d’interaction avec le système de gestion automatique de vol (FMS) 106 1min Commandes du pilote automatique, commandes d’affichage, commandes de gestion du système d’alarme, commandes radio, manette de manche latéral, manettes des gaz, clavier d’interaction avec le système de gestion automatique de vol (FMS) 107 2min Clavier d’interaction avec le système de gestion automatique de vol (FMS), commandes radio, palonniers, manettes des gaz, manette d’orientation de la roulette du nez de l’aéronef 108 3min Clavier d’interaction avec le système de gestion automatique de vol (FMS), commandes radio, palonniers, manettes des gaz, manette d’orientation de la roulette du nez de l’aéronef La valeur de Minuteur2 peut par exemple être 30s. Les Commandes Surveillées2 peuvent par exemple être l’une ou plusieurs de l’ensemble des Commandes Surveillées1 indiquées en Table 1 ci-dessus. Dans un mode d’implémentation non représenté, la durée du Minuteur2, ou d’au moins une Commande Surveillée2, peuvent également dépendre de la Phase X de la trajectoire de l’aéronef. La méthode et le système de l’invention peuvent aussi avantageusement introduire des conditions dans lesquelles la détection de l’incapacité suspectée ne sera pas notifiée au poste de pilotage. Par exemple, il peut s’agir de tâches opérationnelles qui ne doivent jamais être interrompues, à titre d’exemples : - communication radio en cours depuis l’aéronef; - actions du pilote sur le Manche latéral (314); et/ou - actions du pilote sur le levier de train d’atterrissage ou de volets, etc. La FIG. 5 illustre un système informatique qui peut être utilisé dans la présente invention, par exemple pour réaliser les calculateurs indiqués que la FIG. 3 , ou les étapes de procédé conformément à la FIG. 2 . Comme le comprendra l'homme du métier, un tel système informatique peut être implémenté dans tout autre matériel, logiciel et/ou micrologiciel approprié, ou une combinaison de ceux-ci, et peut être une entité physique unique, ou plusieurs entités physiques séparées avec une fonctionnalité distribuée. Le système informatique 500 peut comprendre divers composants matériels, y compris un ou plusieurs processeurs simples ou multicœurs représentés collectivement par un processeur 501, une mémoire 503 et une interface d'entrée/sortie 504. Dans ce contexte, le processeur 501 peut ou non être inclus dans un FPGA. Le système informatique 500 peut être un système informatique générique "prêt à l'emploi". Le système informatique 500 peut également être réparti entre plusieurs systèmes. Le système informatique 500 peut également être spécifiquement dédié à la mise en œuvre de la présente invention. Comme l'homme du métier de la présente invention peut le comprendre, de multiples variantes quant à la façon dont le système informatique 500 est mis en œuvre peuvent être envisagées. La communication entre les différents composants du système informatique 500 peut être activée par un ou plusieurs bus internes et/ou externes 505 (par exemple un bus PCI, un bus série universel, un bus IEEE 1394 "Firewire", un bus SCSI, un bus Serial-ATA bus, bus ARINC, etc.), auquel les différents composants matériels sont couplés électroniquement. L'interface d'entrée/sortie 504 peut permettre des capacités de mise en réseau telles qu'un accès filaire ou sans fil. À titre d'exemple, l'interface d'entrée/sortie 504 peut comprendre une interface réseau telle que, mais sans s'y limiter, un port réseau, une prise réseau, un contrôleur d'interface réseau et similaire. De multiples exemples de la façon dont l'interface de mise en réseau peut être mise en œuvre deviendront apparents à l'homme du métier de la présente invention. La mémoire 503 peut stocker des instructions de code 508, telles que celles faisant partie, par exemple, d'une bibliothèque, d'une application, etc. pouvant être chargées dans la mémoire 503 et exécutées par le processeur 501 pour, par exemple, mettre en oeuvre les étapes du procédé selon la présente invention. La mémoire 503 peut également stocker une base de données 509. L'homme du métier comprendra que la base de données 509, les instructions de code 508 et généralement la mémoire 503 peuvent également résider physiquement à l'extérieur du système informatique 500, toujours dans le cadre de la présente invention. L'interface d'entrée/sortie 504 peut permettre au système informatique 500 d'être mis en communication avec d'autres processeurs via une connexion 510. Ce peut être le cas par exemple, si l’étape de calibration ci-dessus est mise en oeuvre dans le système informatique 500, alors que l’étape de corrélation ci-dessus est mise en oeuvre dans un processeur en dehors du système informatique 500, par exemple sur l’aéronef. L’aéronef 600 représenté sur la FIG. 6 comporte un exemple d’implémentation 300 de calculateurs et interfaces, permettant notamment la mise en oeuvre des étapes du procédé de la FIG. 2 conformément à l’invention. Bien que les mises en œuvre décrites ci-dessus aient été décrites et représentées en référence à des étapes particulières exécutées dans un ordre particulier, il sera entendu que ces étapes peuvent être combinées, subdivisées ou réordonnées sans s'écarter des enseignements de la présente divulgation. Au moins certaines des étapes peuvent être exécutées en parallèle ou en série. Par conséquent, l'ordre et le regroupement des étapes ne constituent pas une limitation de la présente invention. Des modifications et des améliorations aux mises en œuvre décrites ci-dessus de la présente invention peuvent apparaître à l’homme du métier. La description ci-dessus est illustrative au travers d’exemples plutôt que limitative. La portée de la présente invention est donc limitée uniquement par la portée des revendications ci-dessous. Procédé de détection de l’incapacité d’un pilote d’aéronef, comprenant les étapes: - déterminer (200) au moins une Phase X d’une trajectoire de l’aéronef; - associer à chaque Phase X déterminée, une valeur T1 Phase X d’un Minuteur1, et au moins une Commande Surveillée1 Phase X ; et, à l’entrée en Phase X de l’aéronef : - démarrer (201, 202) le Minuteur1; - surveiller (204) une action du pilote sur l’une parmi la ou les Commande Surveillée1 Phase X associées; et - si le pilote n’actionne pas au moins une Commande Surveillée1 Phase X avant que la valeur de Minuteur1 n’atteigne T1 Phase X : - activer (205) un statut « incapacité suspectée »; - démarrer (206, 207) un Minuteur2; - surveiller (209) une action du pilote sur au moins une Commande Surveillée2; et - si le pilote n’actionne pas au moins une Commande Surveillée2 avant que la valeur de Minuteur2 n’atteigne une valeur T2: activer (210) un statut « incapacité confirmée ». Procédé selon la revendication1, comprenant en outre l’étape : - si le pilote actionne un Bouton présence (306) : dé-activer les statuts activés parmi les statuts « incapacité suspectée » et « incapacité confirmée ». Procédé selon la revendication 1 ou 2, dans lequel la valeur T2 dépend de la Phase X de la trajectoire de l’aéronef durant laquelle est activé le statut « incapacité suspectée ». Procédé selon l’une des revendications 1 à 3, comprenant en outre l’étape : - afficher le statut « incapacité suspectée » pour avertir le pilote qu’une action de sa part est attendue. Procédé selon l’une des revendications 1 à 3, comprenant en outre l’étape : - ne pas notifier le statut « incapacité suspectée » si, et tant que le pilote : - est en communication radio; - actionne un Manche latéral (314); ou - actionne un levier de train d’atterrissage ou de volets. Support lisible par un processeur, comportant des instructions pour exécuter le procédé selon l’une des revendications 1 à 5. Système de détection d’incapacité (302) d’un pilote d’aéronef configuré pour : - recevoir la détermination (200) d’une Phase X d’une trajectoire de l’aéronef; - associer à chaque Phase X déterminée, une valeur T1 Phase X d’un Minuteur1, et au moins une Commande Surveillée1 Phase X ; et, à l’entrée en Phase X de l’aéronef : - démarrer (201, 202) le Minuteur1; - surveiller (204) une action du pilote sur l’une parmi la ou les Commandes Surveillée1s Phase X ; et - si le pilote n’actionne pas au moins une Commande Surveillée1 Phase X avant que la valeur de Minuteur1 n’atteigne T1 Phase X : - activer (205) un statut « incapacité suspectée »; - démarrer (206, 207) un Minuteur2; - surveiller (209) une action du pilote sur au moins une Commande Surveillée2; et - si le pilote n’actionne pas au moins une Commande Surveillée2 avant que la valeur de Minuteur2 n’atteigne une valeur T2: activer (210) un statut « incapacité confirmée ». Système selon la revendication 7, configuré pour : - activer un mode de déroutement d’urgence de l’aéronef en cas d’activation du statut « incapacité confirmée ». Système selon la revendication 7 ou 8, configuré pour : - afficher, en cas d’activation, le statut « incapacité suspectée » sur un Affichage tableau de bord (307) pour avertir le pilote qu’une action de sa part est attendue. Système selon l’une des revendications 8 à 9, configuré pour : - afficher, en cas d’activation, le statut « incapacité confirmée » sur un Affichage tableau de bord (307) pour avertir le pilote que le mode de déroutement d’urgence de l’aéronef est activé. Système selon l’une des revendications 7 à 8, configuré pour : afficher, en cas d’activation, le statut « incapacité confirmée » sur un affichage dédié au personnel de cabine pour demander du secours à l’attention du pilote en incapacité. Système selon l’une des revendications 7 à 8, configuré pour : alerter, en cas d’activation du statut « incapacité confirmée », au moins un second pilote présent dans une salle de repos de l’avion. Système selon l’une des revendications 7 à 12, configuré pour, en cas d’activation du statut « incapacité confirmée »: - effectuer un transfert d’autorité sur l’un au moins parmi les calculateurs : - Configuration (310); - Freins (311); - Procédure (312); et - Communications (313); des Commandes tableau de bord (308), vers une Gestion automatique de navigation de diversion d’urgence (304). Aéronef (600) comprenant le système de l’une des revendications 7 à 13.