Brevet FR3153179A1 — publié le 20250321

L’invention concerne un procédé et un système de surveillance d’un niveau de sécurité d’une trajectoire engagée par un aéronef en vol. Pour cela, le système sélectionne (501), parmi un ensemble de points d’intégration, le point d’intégration à la position la plus éloignée de la position courante de l’aéronef sur la trajectoire. Le système vérifie (506) si une partie de la trajectoire s’étendant depuis la position courante de l’aéronef à la position du point d’intégration sélectionné est sûre (507) si : (i) aucun conflit n’est détecté, et (ii) une trajectoire de déroutement existe (509). Ces étapes sont répétées pour chaque point d’intégration, de proche en proche jusqu’à trouver une trajectoire sûre. Il en ressort un niveau de sécurité dépendant du point d’intégration à partir duquel la trajectoire est considérée comme sûre. Ainsi, il est possible d’anticiper des conflits et d’effectuer, si nécessaire, des opérations de déroutement de l’aéronef en douceur. Figure à publier avec l’abrégé : Fig. 5 PROCEDE ET SYSTEME DE SURVEILLANCE D’UN NIVEAU DE SECURITE D’UNE TRAJECTOIRE D’UN AERONEF ET DE GENERATION D’ALERTE CORRESPONDANTE. La présente invention concerne un procédé et un système de surveillance d’un niveau de sécurité d’une trajectoire d’un aéronef entrant en conflit avec un obstacle. En outre, le procédé et le système selon l’invention concernent la génération de messages d’alerte dont la criticité dépend du niveau de sécurité de la trajectoire. ETAT DE LA TECHNIQUE ANTERIEURE Un aéronef en vol est soumis à diverses contraintes influant sur sa navigation et plus particulièrement impactant son plan de vol. Ainsi, de nombreux obstacles sont à prendre en compte dans la détermination d’une trajectoire qui soit volable (« flyable » en anglais) : le relief du terrain, les obstacles météorologiques, les zones militaires dont le survol est interdit, l’état opérationnel de l’aéronef (dépressurisation cabine, moteur hors- service…). Une trajectoire volable est une trajectoire qui en tout point présente une marge de distance minimale (ou prédéterminée) par rapport à tout obstacle identifié (relief…) et que peut suivre l’aéronef compte tenu de son état opérationnel (dépressurisation éventuelle, perte d’un moteur…). Alors que certains obstacles sont prévisibles dès l’établissement du plan de vol (par exemple relief, zone règlementée…), d’autres, au contraire, peuvent apparaitre en cours de vol (par exemple évènements météorologiques critiques, autres aéronefs…). Ainsi, afin de pouvoir éviter ces obstacles apparus en cours de vol, il est souhaitable de fournir une assistance automatique permettant de détecter ces obstacles de manière automatique notamment pour anticiper l’engagement d’une trajectoire qui permette de les éviter. Plus spécifiquement, lors de la détection d’obstacles entrant en conflit avec le plan de vol initial de l’aéronef, il est souhaitable de pouvoir prévenir l’équipage afin de lui permettre de préparer et d’effectuer des opérations d’évitement tactique de ces obstacles en douceur. En particulier, il est souhaitable de fournir une solution permettant d’anticiper ces obstacles et, le cas échéant, de générer un message d’alerte dont la criticité est adaptée à la situation, notamment en termes de temps de réaction avant la rencontre de l’obstacle. Un objet de la présente invention est de proposer un procédé de surveillance d’un niveau de sécurité d’une trajectoire engagée par un aéronef en vol, le procédé étant implémenté par un système sous forme de circuiterie électronique embarquée dans l’aéronef, le procédé comportant : définir un ensemble de points d’intégration positionnés le long de la trajectoire, en aval d’une position courante de l’aéronef sur la trajectoire ; le procédé comportant en outre une phase de surveillance comportant au moins une itération, en sélectionnant initialement le point d’intégration à la position la plus éloignée d’une position courante de l’aéronef, chaque itération comportant : déterminer si la position du point d’intégration sélectionné est différente de la position du point d’intégration le plus proche de la position courante de l’aéronef, sinon établir un échec de calcul de trajectoire de déroutement, lorsque la position du point d’intégration sélectionné est différente de la position du point d’intégration le plus proche de la position courante de l’aéronef : vérifier si une partie de la trajectoire, appelée partie commune, s’étendant depuis la position courante de l’aéronef à la position du point d’intégration sélectionné est sûre si : (i) aucun conflit entre un obstacle et la partie commune n’est détecté, et (ii) une trajectoire de déroutement existe à partir de ladite position du point d’intégration sélectionné, sinon effectuer une nouvelle itération de la phase de surveillance en sélectionnant le point d’intégration suivant en direction de la position courante de l’aéronef, et le procédé comportant en outre : établir un niveau de sécurité de la trajectoire, le niveau de sécurité correspondant soit à la position du point d’intégration à laquelle l’échec de calcul de la trajectoire de déroutement a été établi, soit à la position du point d’intégration à laquelle la partie commune est sûre. Ainsi, en fonction du nombre et du positionnement de points d’intégration le long de la trajectoire suivie par l’aéronef, en aval de sa position courante, il est possible de définir un nombre souhaité de niveaux de sécurité. Il est ainsi possible d’anticiper des conflits entrant le long de la trajectoire engagée par l’aéronef et d’effectuer, si nécessaire, des opérations de déroutement de l’aéronef en vue d’éviter ces conflits en douceur. Selon un mode de réalisation particulier, le procédé comporte en outre, à la suite de la phase de surveillance, une phase d’alerte d’un équipage de l’aéronef comportant : générer un message d’alerte d’une criticité dépendant du niveau de sécurité établi, ledit niveau de criticité déterminant au moins une action à implémenter par l’équipage de l’aéronef. Selon un mode de réalisation particulier, le procédé comporte les étapes suivantes : déterminer une incapacité de l’équipage de l’aéronef en cas d’absence pendant une période prédéfinie d’implémentation de ladite au moins une action ou en cas d’implémentation d’une action inadaptée au niveau de criticité du message d’alerte ; engager automatiquement une trajectoire de déroutement en cas d’incapacité de l’équipage. Selon un mode de réalisation particulier, le message d’alerte comprend une notification de type graphique, affichée sur un écran d’une interface Homme-machine d’un cockpit de l’aéronef. Selon un mode de réalisation particulier, la notification comprend une représentation graphique d’un bouton actionnable ayant une fonction de suppression de la notification. Selon un mode de réalisation particulier, la notification comprend une représentation graphique d’un bouton actionnable ayant une fonction de passer l’obstacle. Selon un mode de réalisation particulier, lorsque l’équipage actionne le bouton ayant la fonction de passer l’obstacle, alors le système considère que l’obstacle n’en est plus un et le procédé comporte répéter la phase de surveillance du niveau de sécurité de la trajectoire. Il est aussi proposé un système sous forme de circuiterie électronique embarquée dans l’aéronef, ledit système comportant de la circuiterie électronique configurée pour implémenter: définir un ensemble de points d’intégration positionnés le long de la trajectoire, en aval d’une position courante de l’aéronef sur la trajectoire; la circuiterie électronique est en outre configurée pour implémenter une phase de surveillance comportant au moins une itération, en sélectionnant initialement le point d’intégration à la position la plus éloignée d’une position courante de l’aéronef, chaque itération comportant : déterminer si la position du point d’intégration sélectionné est différente de la position du point d’intégration le plus proche de la position courante de l’aéronef, sinon établir un échec de calcul de trajectoire de déroutement, lorsque la position du point d’intégration sélectionné est différente de la position du point d’intégration le plus proche de la position courante de l’aéronef :vérifier si une partie de la trajectoire, appelée partie commune, s’étendant depuis la position courante de l’aéronef à la position du point d’intégration sélectionné est sûre si : (i) aucun conflit entre un obstacle et la partie commune n’est détecté, et (ii) une trajectoire de déroutement existe à partir de ladite position du point d’intégration sélectionné, sinon effectuer une nouvelle itération de la phase de surveillance en sélectionnant le point d’intégration suivant en direction de la position courante de l’aéronef, et la circuiterie électronique est en outre configurée pour implémenter : établir un niveau de sécurité de la trajectoire, le niveau de sécurité correspondant soit à la position du point d’intégration à laquelle l’échec de calcul de la trajectoire de déroutement a été établi, soit à la position du point d’intégration à laquelle la partie commune est sûre. Il est aussi proposé un produit programme d’ordinateur, comportant des instructions entraînant l’exécution, par un processeur, du procédé évoqué ci-dessus selon l’un quelconque de ses modes de réalisation, lorsque lesdites instructions sont exécutées par le processeur. Il est aussi proposé un support de stockage, stockant de telles instructions. Les caractéristiques de l'invention mentionnées ci-dessus, ainsi que d'autres, apparaîtront plus clairement à la lecture de la description suivante d'au moins un exemple de réalisation, ladite description étant faite en relation avec les dessins joints, parmi lesquels : FIG. 1 illustre schématiquement, en vue de côté, un aéronef équipé d’un système de surveillance d’un niveau de sécurité d’une trajectoire et de génération de messages d’alerte ; FIG. 2 illustre schématiquement le système de surveillance d’un niveau de sécurité d’une trajectoire et de génération de messages d’alerte, dans un mode de réalisation ; FIG. 3 illustre schématiquement un exemple d’architecture matérielle du système de surveillance d’un niveau de sécurité d’une trajectoire et de génération de messages d’alerte ; FIG. 4 illustre schématiquement un exemple d’une trajectoire suivie par l’aéronef pour laquelle un ensemble de points d’intégration est défini ; FIG. 5 illustre schématiquement un exemple d’algorithme de surveillance d’un niveau de sécurité d’une trajectoire de l’aéronef et de génération de messages d’alerte correspondants ; FIG. 6 illustre schématiquement un exemple de représentations graphiques de messages d’alerte dépendant du niveau de sécurité de la trajectoire de l’aéronef ; et FIG. 7 illustre schématiquement un exemple de représentations graphiques de messages d’alerte en cas de soupçons d’incapacité d’un équipage de l’aéronef. EXPOSE DETAILLE DE MODES DE REALISATION Il est proposé ici de déterminer un niveau de sécurité d’une trajectoire engagée par un aéronef en vol lors de la détection d’un conflit avec un obstacle et de générer des messages d’alerte adaptés à chaque situation. Plus particulièrement, il est proposé ici un procédé qui permet d’évaluer la sécurité d’une trajectoire en définissant un nombre souhaité de niveaux d'alerte associés chacun à un temps d’anticipation du conflit détecté et d’en informer un équipage de l’aéronef de manière adaptée. La FIG. 1 illustre schématiquement, en vue de côté, un aéronef 100 équipé d’un système de surveillance d’un niveau de sécurité d’une trajectoire et de génération de messages d’alerte. Pour simplifier, par la suite on nomme ce système de surveillance d’un niveau de sécurité d’une trajectoire et de génération de messages d’alerte, système de détection de conflit et d’alerte TCDA (« Trajectory Conflict Detection and Alerting » en anglais) 101 ou système TCDA 101. Le système TCDA 101 est un équipement électronique embarqué. Par exemple, le système TCDA 101 fait partie d’une circuiterie électronique de l’avionique de l’aéronef 100. Préférentiellement, le système TCDA 101 est intégré à un calculateur de l’aéronef 100, par exemple le système de gestion de vol FMS (« Flight Management System » en anglais) de l’aéronef 100 ou un autre système de calcul de trajectoire distinct du système de gestion de vol FMS. Le système TCDA 101 est un système d’assistance au pilotage pour déterminer en temps-réel si une trajectoire suivie par l’aéronef 100 est sûre (« safe » en anglais), volable. Plus particulièrement, le système TCDA 101 détermine, au cours d’une phase de surveillance, si la trajectoire que l'aéronef 100 est censé suivre dans les n prochaines minutes est sûre. Plus spécifiquement, le système TCDA 101 détermine que la trajectoire est sûre, si les conditions suivantes sont remplies, à savoir : - qu’il n’y a pas d’obstacles (par exemple terrain, conditions météorologiques critiques, zones réglementées ou d'autres obstacles à éviter) entrant en conflit avec cette trajectoire, et - à partir de l'état opérationnel de l’aéronef 100 prévu (par exemple : dépressurisation cabine, moteur hors-service…), qu’une trajectoire de déroutement (« Contingency Trajectory » en anglais) existe. Dans le cas où la trajectoire suivie par l’aéronef n’est sûre que jusqu’à un certain point sur la trajectoire, le système TCDA 101 établit alors un niveau de sécurité de la trajectoire. Au cours d’une phase d’alerte de l’équipage, le système TCDA génère ensuite des messages d’alerte adaptés au niveau de sécurité préalablement déterminé. Ces messages sont ensuite transmis à une interface Homme-machine du cockpit de l’aéronef 100 directement à l’attention de l’équipage ou à l’attention d'une application embarquée d'assistant de pilotage permettant à ce dernier de proposer à l'équipage un évitement tactique des conflits. Le système TCDA 101 est schématiquement illustré sur la FIG. 2 , dans un mode de réalisation. Le système TCDA 101 est configuré pour prendre en entrée un ensemble d’informations fournies par différents systèmes de l’avionique, notamment un système de prédiction de la trajectoire de vol (« Flight Path Predictor » en anglais) (noté FPP) et un système de génération de trajectoires de déroutement (« Contingency Trajectory Generator » en anglais) (noté CTG). Le système de prédiction de la trajectoire de vol FPP prédit en temps réel la trajectoire 4D que l’aéronef 100 va suivre dans les prochaines minutes, en intégrant plusieurs points d'intégration où l’aéronef 100 se trouvera à des moments précis le long de la trajectoire de vol. Pour ce faire, il prend en compte un ensemble d’informations fournies par l’avionique notamment la position géographique courante de l’aéronef 100, la vélocité ou vitesse courante de l’aéronef 100, la direction de vol actuelle de l’aéronef 100 telle que définie par l’attitude (« attitude » en anglais) de l’aéronef 100, etc. A partir d'un état opérationnel donné de l'aéronef 100, le système de génération de trajectoire de déroutement CTG est capable de calculer en temps réel une trajectoire de déroutement en cas d’obstacle (par exemple terrain, conditions météorologiques critiques, zones réglementées ou autres obstacles à éviter) et qui soit volable (concernant l'état opérationnel et les performances de l'aéronef 100). Un tel système est décrit notamment dans la demande de brevet EP4083966 de la Demanderesse. Plus particulièrement, un tel système de génération de trajectoires de déroutement CTG prend en compte un ensemble d’informations fournies par l’avionique, ainsi que des informations fournies par un ensemble de bases de données. Ces bases de données fournissent notamment des informations d’élévation de terrain sous forme de polygones par tranches d’altitude ; des informations de géoréférencement, préférentiellement par tranches d’altitude, sous forme de polygones de zones militaires dont le survol est interdit ; des informations géoréférencées sous forme de polygones, préférentiellement par tranches d’altitude, de zones à éviter à cause des conditions météorologiques (nuages d’orage…) ; et des informations de performances de l’aéronef 100 selon son état opérationnel. Ces bases de données peuvent être totalement intégrées à un système informatique de l’aéronef 100. Avant le décollage, les bases de données sont mises à jour, par exemple grâce à une sacoche de vol électronique EFB (« Electronic Flight Bag » en anglais). Les bases de données peuvent être intégrées à un système informatique au sol, par exemple un centre informatique d’une compagnie aérienne pour lequel opère l’aéronef 100. La mise à jour des bases de données embarquées dans l’aéronef 100 est alors réalisée grâce à des communications sol - air AGC (« Air - Ground Communications » en anglais). Ces deux approches peuvent être combinées, avec un pré-chargement des bases de données avant le décollage et des mises à jour en vol, par exemple pour prendre en compte des évolutions de données en temps-réel (conditions météo…). Ainsi, grâce à l’ensemble des informations fourni par les systèmes de prédiction de la trajectoire de vol FPP et de génération de trajectoires de déroutement CTG, le système TCDA 101 est capable de fournir en sortie une information sur un niveau de sécurité de la trajectoire suivie par l’aéronef 100 (noté SL, pour « Safety Level » en anglais) déclenchant, si nécessaire, la génération, puis la transmission à une interface Homme-machine, d’un message d’alerte (noté Msg_A) dont la criticité dépend du niveau de sécurité déterminé. La FIG. 3 illustre schématiquement un exemple d’architecture matérielle du système TCDA 101, qui comprend alors, reliés par un bus de communication 310 : un processeur ou CPU (« Central Processing Unit » en anglais) 301 ; une mémoire vive RAM (« Random Access Memory » en anglais) 302 ; une mémoire morte ROM (« Read Only Memory » en anglais) 303, par exemple une mémoire Flash ; un dispositif de stockage de données, tel qu’un disque dur HDD (« Hard Disk Drive » en anglais), ou un lecteur de support de stockage, tel qu’un lecteur de cartes SD (« Secure Digital » en anglais) 304 ; au moins une interface de communication 305 permettant au système TCDA 101 d’interagir dans l’avionique de l’aéronef 100. Le processeur 301 est capable d’exécuter des instructions chargées dans la RAM 302 à partir de la ROM 303, d’une mémoire externe (non représentée), d’un support de stockage, tel qu’une carte SD, ou d’un réseau de communication (non représenté). Lorsque le système TCDA 101 est mis sous tension, le processeur 301 est capable de lire de la RAM 302 des instructions et de les exécuter. Ces instructions forment un programme d’ordinateur causant la mise en œuvre, par le processeur 301, des comportements, étapes et algorithme décrits ici. Tout ou partie des comportements, étapes et algorithme décrits ici peut ainsi être implémenté sous forme logicielle par exécution d’un ensemble d’instructions par une machine programmable, telle qu’un DSP (« Digital Signal Processor » en anglais) ou un microcontrôleur, ou être implémenté sous forme matérielle par une machine ou un composant (« chip » en anglais) dédié ou un ensemble de composants (« chipset » en anglais) dédié, tel qu’un FPGA (« Field-Programmable Gate Array » en anglais) ou un ASIC (« Application-Specific Integrated Circuit » en anglais). D’une manière générale, le système TCDA 101 comprend de la circuiterie électronique agencée et configurée pour implémenter les comportements, étapes et algorithmes décrits ici. La FIG. 4 illustre schématiquement un exemple d’une trajectoire 401 suivie par l’aéronef 100 pour laquelle un ensemble de points d’intégration est défini. On entend par « partie commune » une partie de la trajectoire 401 suivie par l’aéronef 100 qui s’étend depuis la position courante de l’aéronef 100 à un point d’intégration positionné en aval de la position courante de l’aéronef 100 sur la trajectoire 401. Ainsi, plusieurs points d’intégration définissent plusieurs parties communes respectives différentes. La trajectoire 401 peut comprendre un ou plusieurs points d’intégration en aval de la position courante de l’aéronef 100. Le nombre et la position dans le temps des points d’intégration sur la trajectoire 401 dépendent d’un temps d’anticipation de la trajectoire souhaité. En d’autres termes, les points d’intégration sont placés en aval de la position courante de l’aéronef 100 sur la trajectoire 401, à des temps de vol prédéterminés, ou à des distances prédéterminées. Par exemple, l’espacement des points d’intégration dépend notamment de la vitesse de vol de l’aéronef 100. En effet, plus la vitesse de l’aéronef 100 est élevée, plus le nombre de points d’intégration peut être grand (c’est-à-dire qu’on a des points d’intégration rapprochés dans le temps le long de la trajectoire 401) pour anticiper et réagir rapidement aux évènements survenant sur la trajectoire 401 suivie. Inversement, plus la vitesse de l’aéronef 100 est faible, moins il y a de points d’intégration à positionner, puisqu’il y a plus de temps pour anticiper et réagir à de potentiels évènements sur la trajectoire 401. Dans cet exemple, un obstacle (comme un évènement météorologique critique) 402 se trouve en conflit avec la trajectoire 401 engagée par l’aéronef 100. Le système de prédiction de trajectoire de vol FPP et le système de génération de trajectoires de secours CTG décrits précédemment tiennent compte du nombre et de la position dans le temps des points d’intégration. Le nombre de points d'intégration compris sur la trajectoire 401 définissent ainsi des niveaux de sécurité de la trajectoire 401 selon l’algorithme de surveillance du niveau de sécurité et de génération de messages d’alerte présenté ci-après. En fonction de ces niveaux de sécurité, différents messages d’alerte peuvent être générés par le système TCDA 101. Ces messages d’alerte sont ensuite transmis par le système TCDA 101 vers une interface Homme-machine du cockpit de l’aéronef 100 et/ou vers un centre de contrôle de l’aéronef 100 au sol. Ces messages d’alerte peuvent être sous la forme de notifications graphiques affichées sur un écran d’une interface Homme-machine. Alternativement ou additionnellement, ces notifications peuvent être sonores et être émises par un système audio du cockpit de l’aéronef 100. Dans l’exemple lié à la FIG. 4 , on considère le point d’intégration 0 comme point d’intégration le plus éloigné de la position courante de l’aéronef 100 sur la trajectoire 401. Ainsi, une partie commune 401’ allant de la position courante de l’aéronef 100 au point d’intégration 0 peut être définie. Dans cet exemple, le point d’intégration 0 se trouve au niveau du conflit entre la trajectoire 401 et un obstacle 402. On note X le point d’intégration situé le plus proche de la position courante de l’aéronef 100. Le système TCDA 101 parcourt ensuite les points d’intégration le long de la trajectoire 401 en fonction du temps d’anticipation et de la vitesse de vol de l’aéronef 100, jusqu’à trouver une partie commune sûre. Plus spécifiquement, le système TCDA 101 parcourt les points d’intégration depuis le point d’intégration le plus éloigné de la position courante de l’aéronef 100 (en l’espèce le point d’intégration d’index égal à 0) jusqu’à la position courante de l’aéronef 100 (en l’espèce le point d’intégration d’index égal à X) jusqu’à trouver une partie commune sûre. Si nécessaire, l’aéronef 100 peut suivre une trajectoire de déroutement 403. Dans un mode de réalisation, l’aéronef 100 suit la trajectoire de déroutement 403. Cette trajectoire de déroutement 403 est par exemple générée par le système de génération de trajectoire de déroutement CTG. Cette trajectoire de déroutement 403 constitue un filet de sécurité à engager en cas de nécessité d'effectuer des opérations d'urgence. Ces opérations d’urgence peuvent notamment être engagées de manière automatisée, potentiellement jusqu’à aboutir à un atterrissage automatique (« auto-landing » en anglais). On présente désormais en lien avec la FIG. 5 sous forme de schéma un exemple de l’algorithme de surveillance d’un niveau de sécurité d’une trajectoire de l’aéronef 100 et de génération de messages d’alerte correspondants, selon un mode de réalisation de l’invention. Cet algorithme comprend deux phases principales : une phase de surveillance et une phase d’alerte. La phase de surveillance comprend les étapes 501 à 504 et 506 à 510. La phase d’alerte comprend les étapes 505 et 511. On considère dans cet exemple x points d’intégration, avec 0 l’index du point d’intégration le plus éloigné de la position courante de l’aéronef 100 et X (donc x = X+1) l’index du point d’intégration situé le plus proche de la position courante de l’aéronef 100. Au cours de la phase de surveillance, lors d’une étape 501, le système TCDA 101 initialise une variable i ( i un entier supérieur ou égal à 0) à 0. Cette variable i est un index de parcours des points d’intégration, c’est-à-dire qu’à chaque point d’intégration correspond une valeur de i . Au cours d’une étape 502, si i est égal à X (oui), alors le système TCDA 101 établit, au cours d’une étape 503, que le calcul d’une trajectoire de déroutement a échoué et qu’un conflit est imminent. Dans ce cas, dans une étape 504, le système TCDA 101 détermine que le niveau de sécurité, noté SL, de la trajectoire est égal à X. Le système TCDA 101 met alors fin à la phase de surveillance pour engager la phase d’alerte de l’équipage. Au cours de cette phase d’alerte, dans une étape 505, le système TCDA 101 génère un message d’alerte dont la criticité correspond au niveau de sécurité SL = X. Le système TCDA 101 transmet ensuite ce message d’alerte à une interface Homme-machine à l’attention de l’équipage. Un tel message d’alerte est par exemple illustré en FIG. 6 (cas noté 604). Dans le cas contraire, si i est différent de X au cours de l’étape 502 (non), le système TCDA 101 passe à l’étape 506 de la phase de surveillance. Au cours de l’étape 506, le système TCDA 101 vérifie la sécurité de la partie commune allant de l’aéronef 100 à la position du point d’intégration d’index i : - dans une étape 507, si la partie commune est sûre (oui), c’est-à-dire sans conflit avec un obstacle, le système TCDA 101 passe à l’étape 508, - si au cours de l’étape 507, la partie commune n’est pas sûre (non), c’est-à-dire qu’un conflit est détecté entre la trajectoire 401 et un obstacle, le système TCDA 101 incrémente i et revient à l’étape 502. Plus spécifiquement, la variable i est incrémentée de manière à prendre une valeur d’un point d’intégration suivant, plus proche de la position courante de l’aéronef 100 sur la trajectoire 401. Au cours de l’étape 508, le système TCDA 101 détermine s’il existe une trajectoire de déroutement à partir du point d’intégration d’index égal à i : - au cours d’une étape 509, s’il n’existe pas de trajectoire de déroutement n (non), le système TCDA 101 incrémente i et revient à l’étape 502 ; - au cours de l’étape 509, si une trajectoire de déroutement a pu être générée (oui), alors au cours de l’étape 510, le système TCDA 101 établit que le niveau de sécurité SL de la trajectoire est égal à i. Le système TCDA 101 met donc fin à la phase de surveillance pour poursuivre avec la phase d’alerte. Au cours de cette phase d’alerte, lors de l’étape 511, un message d’alerte dont la criticité dépend du niveau de sécurité SL déterminé au cours de la phase de surveillance est généré. De tels messages d’alerte sont par exemple illustrés en FIG. 6 (cas noté 601 à 603). Il est à noter que le niveau de criticité du message d’alerte va augmenter avec le niveau de sécurité. En effet, plus le niveau de sécurité augmente plus la distance entre le point d’intégration sélectionné au cours de la phase de surveillance et la position courante de l’aéronef 100 est courte. Ainsi, le temps nécessaire pour enclencher des opérations d’urgence pour éviter un conflit, comme par exemple changer de trajectoire et emprunter la trajectoire de déroutement 403, est plus court. Pour illustrer l’implémentation de l’algorithme présenté ci-dessus, on se place dans l’exemple en lien avec la FIG. 4 . Si i =0 (point d’intégration d’index égal à 0) alors, i différent de X. Le système TCDA 101 vérifie donc la sécurité de la partie commune allant de la position courante de l’aéronef 100 au point d’intégration d’index égal à 0. Un obstacle est détecté, la partie commune n’est donc pas sûre. Le système TCDA 101 incrémente alors i , et i =1, index du point d’intégration suivant le point d’intégration d’index égal à 0. Lorsque i =1, alors i différent de X donc le système TCDA 101 vérifie à nouveau la sécurité de la partie commune allant de la position courante de l’aéronef 100 au point d’intégration d’index égal à 1. Dans ce cas, la partie commune est sûre, donc le système TCDA 101 passe à l’étape suivante et essaie de générer une trajectoire de déroutement à partir du point d’intégration d’index égal à 1. Dans le cas où i =1, aucune trajectoire de déroutement ne peut être générée. Le système TCDA 101 incrémente donc i , et i =2, prochain point d’intégration le long de la trajectoire en direction de la position courante de l’aéronef 100. Lorsque i =2, comme i différent de X, le système TCDA 101 vérifie la sécurité de la partie commune allant de la position courante de l’aéronef 100 au point d’intégration d’index égal à 2. Dans ce cas, la partie commune est sûre, il n’y a pas de conflit détecté. Le système TCDA 101 cherche alors à générer une trajectoire de déroutement à partir de ce point d’intégration. En l’espèce, il est possible de générer une trajectoire de déroutement à partir du point d’intégration d’index égal à 2. La trajectoire de déroutement complète est alors constituée de la concaténation de la partie commune allant de la position courante de l’aéronef 100 jusqu’au point d’intégration d’index égal à 2 et de la trajectoire de déroutement 403. Ainsi, en sortie de l’algorithme, le système TCDA 101 établit que le niveau de sécurité de la partie commune est SL=2. Le système TCDA 101 met donc fin à la phase de surveillance pour poursuivre avec la phase d’alerte. Au cours de la phase d’alerte lors de l’étape 511, le système TCDA 101 génère un message d’alerte dont la criticité est égale au niveau de sécurité SL = 2. Un tel message d’alerte est par exemple illustré en FIG. 6 (cas noté 603). On présente désormais, en lien avec la FIG. 6 , un exemple de représentations graphiques de messages d’alerte dépendant du niveau de sécurité de la trajectoire 401 de l’aéronef 100. Dans cet exemple, la trajectoire 401 suivie par l’aéronef 100 comprend 3 points d’intégration. L’index égal à 0 représente le point d’intégration le plus éloigné de la position courante de l’aéronef 100 et l’index égal à 3 représente le point d’intégration situé le plus proche (en temps de vol par exemple) de la position courante de l’aéronef 100. Comme décrit précédemment, le niveau de criticité des messages d’alerte dépend du niveau de sécurité de la trajectoire 401. Plus le niveau de sécurité est élevé, plus le point d’intégration à partir duquel la trajectoire est considérée sûre est proche de la position courante de l’aéronef 100, et en conséquence plus le message d’alerte est critique ou urgent. En fonction du niveau de criticité du message d’alerte, différentes réponses, ou actions, de la part de l’équipage peuvent être réalisées. Dans cet exemple, les messages d’alerte sont sous forme de notifications graphiques affichées sur un écran d’une interface Homme-machine du cockpit de l’aéronef 100. D’autres informations peuvent être affichées conjointement au message d’alerte telles que la position dans l’espace de l’aéronef 100, la trajectoire de l’aéronef 100, une représentation graphique des obstacles sous forme de polygones (notés P1, P2 et P3), des icônes des différents obstacles détectés (noté IC), etc. Ainsi, selon l’algorithme présenté ci-dessus en lien avec la FIG. 5 : lorsqu’en sortie de l’algorithme le niveau de sécurité SL=0 (cas noté 601), alors aucun message d’alerte n’est généré par le système TCDA 101. Ce cas correspond au fait que jusqu’au point d’intégration d’index égal à 0, la partie commune est sûre (c’est-à-dire qu’aucun conflit n’est détecté) et une trajectoire de déroutement peut être générée à partir de ce point d’intégration d’index égal à 0. Le système TCDA 101 ne génère donc aucun message d’alerte à l’attention de l’équipage qui n’a donc pas d’action particulière à effectuer. Dans ce cas, aucune notification graphique n’est affichée sur l’écran de l’interface Homme-machine du cockpit de l’aéronef 100. Lorsqu’en sortie de l’algorithme le niveau de sécurité SL = 1 (cas noté 602), alors un conflit a été détecté en aval du point d’intégration d’index égal à 1 le long de la trajectoire 401. En d’autres termes, la partie commune s’étendant depuis la position courante de l’aéronef 100 jusqu’au point d’intégration d’index égal à 0 n’est pas sûre. En outre, lorsque SL = 1, alors la partie commune s’étendant depuis la position courante de l’aéronef 100 jusqu’au point d’intégration d’index égal à 1 est sûre et une trajectoire de déroutement existe à partir de ce point d’intégration. Si SL=1, un message d’alerte dont la criticité correspond au niveau de sécurité SL=1 est généré par le système TCDA 101. Ce message d’alerte est par exemple affiché sur l’écran de l’interface Homme-machine du cockpit de l’aéronef 100 sous forme de notification (noté Msg_A1). Par exemple, cette notification Msg_A1 peut être blanche sur fond noir et indiquer qu'il y aura bientôt un conflit avec un obstacle (par exemple un évènement météorologique critique) si aucune mesure corrective n'est prise. L’équipage est donc invité en réponse à ce message en effectuant une action, comme engager une trajectoire de déroutement. Dans un mode de réalisation, certaines des notifications peuvent être effacées par l’équipage. En effet, certains niveaux de sécurité peuvent produire des notifications pouvant être effacées, tandis que d'autres peuvent ne produire que des notifications qui ne peuvent pas être effacées tant que le conflit n'a pas été résolu. Dans le cas où une notification peut être supprimée par l’équipage, une indication de type « Supprimer » ou « Nettoyer » apparaît alors sur la notification. Lorsqu'une notification pouvant être supprimée est supprimée par l'équipage, une nouvelle notification n’apparaît qu'en cas de changement du niveau de sécurité SL. Par exemple, dans le cas d’un message d’alerte dont la criticité correspond à un niveau de sécurité faible, la notification peut être effacée car le conflit détecté est éloigné de la position courante de l’aéronef 100. Ainsi, comme l’équipage bénéficie d’un temps suffisant pour éviter l’obstacle, il peut décider d’attendre qu’un changement de niveau de sécurité soit établi par le système TCDA 101 avant d’engager les opérations d’évitement. En effet, dans ce cas, une nouvelle notification pourra être émise si le niveau de sécurité augmente et que le temps de résolution du conflit est plus court. Dans un autre exemple, dans le cas d’un message d’alerte dont la criticité correspond à un niveau de sécurité élevé, la notification ne peut pas être effacée car le conflit détecté est proche de la position courante de l’aéronef 100. L’équipage ne bénéficie pas d’un temps suffisant pour attendre de résoudre le conflit, et au contraire, il faut résoudre ce conflit rapidement. La possibilité de supprimer la notification peut également prendre en compte la nature de l’obstacle. En effet, si l’obstacle détecté est un événement météorologique non critique, la notification affichée à l’écran de l’interface Homme-machine peut être supprimée car l’équipage peut décider, par exemple, de passer à travers cet obstacle. Au contraire, si l’obstacle est par exemple un autre aéronef, la notification ne pourra pas être supprimée car il faut absolument que l’équipage résolve le conflit à venir. Lorsqu’en sortie de l’algorithme le niveau de sécurité SL = 2 (cas noté 603), alors cela signifie que la partie commune allant de la position courante de l’aéronef 100 au point d’intégration d’index égal à 2 est sûre et qu’une trajectoire de déroutement existe. Cependant, cela signifie également que le temps de résolution du conflit détecté en aval de la position du point d’intégration d’index égal à 2 (par exemple au point d’intégration d’index égal à 1 ou 0) est plus court. Cela signifie également qu’aucune autre trajectoire de déroutement n’a pu être générée en aval du point d’intégration d’index égal à 2. Autrement dit, le point d’intégration d’index égal à 2 est le dernier point à partir duquel l’équipage peut engager des opérations d’évitement du conflit. Dans ce cas, un message d’alerte dont la criticité correspond au niveau de sécurité SL=2 est généré par le système TCDA 101. Ce message d’alerte est alors transmis à l’interface Homme-machine du cockpit de l’aéronef 100 et affichée sur un écran de l’interface Homme-machine sous forme de notification graphique (noté Msg_A2). Dans un exemple, cette notification est orange et indique que le conflit est très proche et qu’il est urgent de le résoudre. L’équipage doit donc en réponse activer la trajectoire de déroutement. Dans une variante, cette notification Msg_A2 comprend également une représentation graphique d’un bouton actionnable « Passer » (ou « Go-Through » en anglais). Ce bouton « Passer » permet à l’équipage d’exprimer sa volonté de franchir l’obstacle conflictuel en appuyant dessus, par exemple. Plus particulièrement, le système TCDA 101 est capable de détecter lorsque l’équipage actionne ce bouton (par exemple en appuyant dessus). Le système TCDA 101 considère alors que l’obstacle détecté n’en est plus un et répète la phase de surveillance. Cette action de « passer » le conflit, est disponible pendant une période prédéfinie et peut dépendre de la nature de l’obstacle détecté. En effet, s’il est possible de « passer » au travers d’un évènement météorologique, il n’est pas possible de « passer » un autre aéronef ou une zone règlementée, par exemple. Au-delà de la période prédéfinie, si l’équipage n’a pas engager d’opérations d’urgence, le système TCDA 101 considère que l’équipage n’a pas répondu au message d’alerte. Dans un mode de réalisation décrit ci-après, l’absence d’action de la part de l’équipage soulève une présomption d’incapacité. Lorsqu’en sortie de l’algorithme le niveau de sécurité SL=3 (cas noté 604), alors soit les parties communes en aval du point d’intégration d’index égal à 3 ne sont pas sûres, soit elles sont sûres mais aucune trajectoire de déroutement n’existe. Le conflit est alors imminent. Le système TCDA 101 génère donc un message dont la criticité correspond au niveau de sécurité SL=3. Ce message d’alerte est alors affiché sur un écran d’une interface Homme-machine du cockpit de l’aéronef 100 sous forme de notification graphique (noté Msg_A3). Cette notification Msg_A3 est par exemple rouge et informe l’équipage qu’un conflit est imminent et qu’une trajectoire de déroutement doit être activée d’urgence. Il est à noter que dans le mode de réalisation où le message d’alerte est sous la forme d’une notification sonore, en fonction du niveau de sécurité, la fréquence et/ou le volume de la notification sonore peut changer. Dans un exemple, lorsque le niveau de sécurité SL est faible, alors le message d’alerte peut être un son sur une fréquence basse (par exemple fréquence entre 20 Hz à 200 Hz) et/ou émis avec un volume faible (par exemple entre 20 et 40 dB). Dans un autre exemple, lorsque le niveau de sécurité est élevé, la notification sonore peut être un son dans une fréquence haute (par exemple fréquence entre 2001Hz à 20 000Hz) et/ou émis avec un volume élevé (par exemple entre 60 et 80 dB). Dans un mode de réalisation, dans le cas d’un échec de calcul de trajectoire de déroutement, alors le système TCDA 101 peut récupérer dans sa mémoire une trajectoire de déroutement calculée lors d’une phase de surveillance précédente et l’activer. Il existe donc une marge ou distance (exprimée en temps de vol par exemple) entre la position courante de l’aéronef 100 et le point d’intégration le plus proche noté X, suffisante pour pouvoir activer de manière immédiate (par exemple dans le cas où l’équipage est jugé en incapacité), c’est-à-dire avant que l’aéronef 100 n’atteigne le point d’intégration X le plus proche de sa position courante, une trajectoire de déroutement calculée pour ce point d’intégration X lors d’une phase de surveillance précédente. Autrement dit, l’activation de la trajectoire de déroutement stockée en mémoire n’est possible que si la distance (exprimée en temps de vol par exemple) entre la position courante de l’aéronef 100 et le point d’intégration noté X le plus proche de l’aéronef 100 est suffisante pour compenser le temps passé depuis l’échec de calcul de trajectoire de déroutement. Cette trajectoire de déroutement stockée en mémoire peut être activée en tant que filet de sécurité pour rétablir une situation sûre pour l'aéronef 100. Dans un autre mode de réalisation, lorsqu’un bouton « Passer » est apparu sur l’écran de l’interface Homme-machine du cockpit de l’aéronef 100 avant le conflit, à la suite d'un échec du calcul de la trajectoire de déroutement, la trajectoire de déroutement stockée en mémoire n'est activée que si l'équipage n'a pas exprimé sa volonté de franchir l'obstacle conflictuel. Dans le cas contraire, la trajectoire de déroutement stockée en mémoire n'est pas engagée. La FIG. 7 illustre un exemple de représentations graphiques de messages d’alerte en cas de soupçon, ou présomption, d’incapacité de l’équipage. Ce soupçon d’incapacité (cas noté 701) de l’équipage est soulevé lorsque : aucune action n’est effectuée par l’équipage, une action inadaptée à la situation est engagée par l’équipage, l'équipage n'a pas exprimé sa volonté de franchir l'obstacle conflictuel (par exemple en appuyant sur le bouton « Passer »), en réponse à un message d’alerte généré suite à un échec de calcul de la trajectoire de déroutement (selon l’algorithme présenté en lien avec la FIG. 5 cas où i =X) et qu’une trajectoire de déroutement doit être activée d’urgence car un conflit est imminent. Un message d’alerte est alors généré par le système TCDA 101, par exemple sous forme d’une notification (noté Msg_A4). Cette notification graphique Msg_A4 est par exemple rouge et alerte l’équipage qu’une trajectoire de déroutement est engagée, par exemple via des opérations d’urgence automatisées (« Automated Emergency Operations » en anglais). Dans une variante, cette notification Msg_A4 peut être accompagnée d’une information supplémentaire informant l’équipage d’une présomption d’incapacité et que des opérations d’urgence automatisées sont mises en place. En variante, cette notification supplémentaire Msg_A4 comprend également un bouton actionnable « Annulation » disponible pendant une certaine période (par exemple 30s) qui donne la possibilité à l’équipage d’annuler ces opérations d’urgence automatisées. Dans ce cas, le système TCDA 101 détecte l’action de l’équipage et annule les opérations d’urgence automatisées. Le système TCDA 101 se remet alors à l’écoute d’une action de l’équipage. L’équipage a la possibilité d’effectuer lui-même les opérations d’urgence en réponse au message d’alerte, ou d’exprimer sa volonté de « passer » l’obstacle, si une telle action est possible (par exemple en appuyant sur un bouton « Passer »). Si l'équipage est dans l'incapacité d'agir (cas noté 702), et par ailleurs, qu’il n’annule pas les opérations d’urgence automatisées, alors ces opérations d’urgence automatisées sont activées par le système TCDA 101. Une annonce automatique d'intention de l’aéronef 100 est alors émise sur la radio du cockpit de l’aéronef 100. Par ailleurs, un message d’alerte informant l’équipage de l’activation d’opérations d’urgence automatisées est généré par le système TCDA 101 et affiché sur un écran d’une interface Homme-machine du cockpit du l’aéronef 100, par exemple sous forme d’une notification graphique (noté Msg_A5). Dans le cas contraire, l'équipage explique par radio ce qui se passe et peut reprendre le contrôle de l'aéronef 100 s'il le souhaite. Une nouvelle phase de surveillance est alors implémentée par le système TCDA 101, suivie, le cas échéant, d’une nouvelle phase d’alerte. Procédé de surveillance d’un niveau de sécurité d’une trajectoire (401) engagée par un aéronef (100) en vol, le procédé étant implémenté par un système (TCDA) sous forme de circuiterie électronique embarquée dans l’aéronef (100), le procédé comportant : - définir un ensemble de points d’intégration positionnés le long de la trajectoire (401), en aval d’une position courante de l’aéronef (100) sur la trajectoire (401) ; le procédé comportant en outre une phase de surveillance comportant au moins une itération, en sélectionnant (501) initialement le point d’intégration à la position la plus éloignée d’une position courante de l’aéronef (100), chaque itération comportant : - déterminer (502) si la position du point d’intégration sélectionné est différente de la position du point d’intégration le plus proche de la position courante de l’aéronef (100), sinon établir (503) un échec de calcul de trajectoire de déroutement, - lorsque la position du point d’intégration sélectionné est différente de la position du point d’intégration le plus proche de la position courante de l’aéronef (100) : vérifier (506) si une partie de la trajectoire (401), appelée partie commune, s’étendant depuis la position courante de l’aéronef (100) à la position du point d’intégration sélectionné est sûre si : (i) aucun conflit entre un obstacle et la partie commune n’est détecté, et (ii) une trajectoire de déroutement existe (508) à partir de ladite position du point d’intégration sélectionné, sinon effectuer une nouvelle itération de la phase de surveillance en sélectionnant le point d’intégration suivant en direction de la position courante de l’aéronef (100), et le procédé comportant en outre : - établir (504, 510) un niveau de sécurité de la trajectoire (401), le niveau de sécurité correspondant soit à la position du point d’intégration à laquelle l’échec de calcul de la trajectoire de déroutement a été établi, soit à la position du point d’intégration à laquelle la partie commune est sûre. Procédé selon la revendication 1, comportant en outre, à la suite de la phase de surveillance, une phase d’alerte d’un équipage de l’aéronef (100) comportant : générer (505, 511) un message d’alerte d’une criticité dépendant du niveau de sécurité établi, ledit niveau de criticité déterminant au moins une action à implémenter par l’équipage de l’aéronef (100). Procédé selon la revendication 2, comportant les étapes suivantes : - déterminer une incapacité de l’équipage de l’aéronef (100) en cas d’absence, pendant une période prédéfinie, d’implémentation de ladite au moins une action ou en cas d’implémentation d’une action inadaptée au niveau de criticité du message d’alerte, - engager automatiquement une trajectoire de déroutement en cas d’incapacité de l’équipage. Procédé selon l’une quelconque des revendications 2 ou 3, dans lequel le message d’alerte comprend une notification de type graphique, affichée sur un écran d’une interface Homme-machine d’un cockpit de l’aéronef (100). Procédé selon la revendication 4, dans lequel la notification comprend une représentation graphique d’un bouton actionnable ayant une fonction de suppression de la notification. Procédé selon la revendication 4, dans lequel la notification comprend une représentation graphique d’un bouton actionnable ayant une fonction de passer l’obstacle. Procédé selon la revendication 6, dans lequel lorsque l’équipage actionne le bouton ayant la fonction de passer l’obstacle, alors le système (TCDA) considère que l’obstacle n’en n’est plus un et le procédé comporte répéter la phase de surveillance du niveau de sécurité de la trajectoire (401). Système (TCDA) sous forme de circuiterie électronique embarquée dans l’aéronef (100), ledit système comportant de la circuiterie électronique configurée pour implémenter: - définir un ensemble de points d’intégration positionnés le long de la trajectoire (401), en aval d’une position courante de l’aéronef (100) sur la trajectoire (401) ; la circuiterie électronique est en outre configurée pour implémenter une phase de surveillance comportant au moins une itération, en sélectionnant (501) initialement le point d’intégration à la position la plus éloignée d’une position courante de l’aéronef (100), chaque itération comportant : - déterminer (502) si la position du point d’intégration sélectionné est différente de la position du point d’intégration le plus proche de la position courante de l’aéronef (100), sinon établir (503) un échec de calcul de trajectoire de déroutement, - lorsque la position du point d’intégration sélectionné est différente de la position du point d’intégration le plus proche de la position courante de l’aéronef (100) : vérifier (506) si une partie de la trajectoire (401), appelée partie commune, s’étendant depuis la position courante de l’aéronef (100) à la position du point d’intégration sélectionné est sûre si : (i) aucun conflit entre un obstacle et la partie commune n’est détecté, et (ii) une trajectoire de déroutement existe (508) à partir de ladite position du point d’intégration sélectionné, sinon effectuer une nouvelle itération de la phase de surveillance en sélectionnant le point d’intégration suivant en direction de la position courante de l’aéronef (100), et la circuiterie électronique est en outre configurée pour implémenter : - établir (504, 510) un niveau de sécurité de la trajectoire (401), le niveau de sécurité correspondant soit à la position du point d’intégration à laquelle l’échec de calcul de la trajectoire de déroutement a été établi, soit à la position du point d’intégration à laquelle la partie commune est sûre. Produit programme d’ordinateur, comportant des instructions entraînant l’exécution, par un processeur, du procédé selon l’une quelconque des revendications 1 à 7, lorsque lesdites instructions sont exécutées par le processeur. Support de stockage, stockant un programme d’ordinateur comportant des instructions entraînant l’exécution, par un processeur, du procédé selon l’une quelconque des revendications 1 à 7, lorsque lesdites instructions sont lues et exécutées par le processeur.