Brevet FR3156920A1 — publié le 20250620

La présente invention concerne un procédé et un dispositif pour détecter et exclure une panne satellite. En particulier, le procédé proposé comprend une étape consistant à identifier (S300) un satellite défaillant S x parmi l’ensemble de satellites S 1 ,…,S N , cette étape (S300) comprenant pour au moins un satellite S j supposé défaillant : une étape consistant à configurer (S320) un filtre de Kalman additionnel F A à partir d’un filtre de Kalman Fs k excluant un satellite S k distinct du satellite S j supposé défaillant et dont un indicateur de panne satellite Rs k est maximum ; une étape consistant à réinitialiser (S330) le filtre additionnel F A , ce filtre additionnel F A excluant le satellite S j supposé défaillant ; et une étape consistant à déterminer (S350) si le satellite S j est défaillant en fonction d’un indicateur de panne satellite R A du filtre additionnel F A calculé après une durée déterminée (TE). Figure pour l’abrégé : Fig. 5 Procédé et dispositif pour détecter et exclure une panne satellite La présente invention se rapporte au domaine de la navigation par satellites, dite également navigation GNSS pour « Global Navigation Satellite System » en anglais. En particulier, la présente invention concerne un procédé et un dispositif pour détecter et exclure une panne satellite. Elle concerne également un système de navigation, un engin mobile, et un programme d’ordinateur. La présente invention trouve une application particulièrement avantageuse, bien que nullement limitative, pour la mise en œuvre de systèmes de navigation pour aéronefs, navires, ou véhicules terrestres. La présente invention s’inscrit, en particulier, dans le contexte de la navigation hybride inertie-GNSS. Pour déterminer les données de navigation d’un mobile tel qu’un aéronef, un système de navigation hybride inertie-GNSS combine des données inertielles provenant d'une unité de mesure inertielle et des pseudo-distances fournies par un récepteur de positionnement par satellites. Les pseudo-distances, également appelées « pseudo-ranges » en anglais, caractérisent les distances entre le mobile et les satellites visibles d’une constellation. Un système de navigation hybride inertie-GNSS utilise un algorithme d'hybridation, généralement basé sur un filtre de Kalman, pour combiner les données provenant des différents capteurs et tirer parti de leurs avantages respectifs. L'utilisation des pseudo-distances associées aux satellites permet notamment de compenser la dérive de navigation inertielle. Certaines applications exigent que les systèmes de navigation respectent des contraintes d'intégrité strictes. Dans le domaine de l’aéronautique, la fiabilité des données de navigation est critique. Les systèmes de navigation utilisés doivent être en mesure de déterminer la position d'un aéronef avec un risque d'intégrité donné, c'est-à-dire avec une probabilité définie (par exemple, 10 - 7 ) que l'erreur de position soit supérieure à un rayon de protection (une borne d'alerte) sans déclencher d'alerte. Dans le cas d'un système de navigation hybride inertie-GNSS, la défaillance d'un satellite affecte la pseudo-distance relative à ce satellite, notamment sous la forme d'un biais, d'une dérive ou d'une accélération. La défaillance d'un satellite peut ainsi conduire à des erreurs importantes dans la position estimée du mobile, et ces erreurs ont tendance à s'accroître au cours du temps. Il est donc essentiel de pouvoir détecter une éventuelle panne satellite et d'exclure le satellite défaillant pour garantir l’intégrité du système de navigation. Pour détecter et exclure une panne satellite, il est connu d’utiliser une banque de filtres de Kalman dans laquelle chacun des filtres exclut la pseudo-distance relative à un satellite. Le brevet EP2411832B1 illustre une telle solution. Pour chacun des filtres de la banque, un indicateur de panne satellite est calculé en utilisant l’innovation croisée du filtre, c’est-à-dire en utilisant l'écart entre la pseudo-distance au satellite considéré fournie par le récepteur de positionnement par satellites et une estimation de cette pseudo-distance fournie par le filtre excluant ce satellite. Ces indicateurs de panne satellite permettent en général de détecter et exclure une panne satellite. Par exemple, le satellite associé à l'indicateur de panne satellite le plus élevé et dépassant un certain seuil de détection peut être identifié comme étant le satellite défaillant. Cependant, la fiabilité des solutions existantes n'est pas pleinement satisfaisante. Celles-ci peuvent exclure de manière erronée un satellite fonctionnel au lieu du satellite défaillant. De telles erreurs d'exclusion se produisent notamment dans le cas de mauvaises configurations géométriques de la constellation de satellites, caractérisées par un important coefficient de dilution horizontale de la précision (ou « Horizontal Dilution Of Precision » en anglais). Par exemple, de telles erreurs d'exclusion peuvent survenir lorsque peu de satellites sont visibles, ou que ceux-ci sont situés à proximité de l'horizon. Il existe par conséquent un besoin pour une solution permettant d’identifier de manière fiable un satellite défaillant parmi un ensemble de satellites. La présente invention a pour objectif de remédier à tout ou partie des inconvénients de l’art antérieur, notamment ceux exposés précédemment. Selon un aspect de l’invention , il est proposé un procédé mis en œuvre par un dispositif comprenant une pluralité de filtres de Kalman Fs 1 ,…,Fs N , chaque filtre Fs i déterminant des données de navigation d’un mobile à partir de pseudo-distances relatives à un ensemble de satellites S 1 ,…,S N à l’exception du satellite S i , le procédé comprenant une étape consistant à identifier un satellite défaillant S x parmi l’ensemble de satellites S 1 ,…,S N , cette étape comprenant pour au moins un satellite S j supposé défaillant : une étape consistant à configurer un filtre de Kalman additionnel F A (également dit sous-filtre arbitre ) à partir du filtre Fs k excluant un satellite S k distinct du satellite S j supposé défaillant et dont un indicateur de panne satellite Rs k est maximum (parmi la pluralité de filtres Fs 1 ,…,Fs N à l’exception du filtre Fs j associé au satellite S j supposé défaillant); une étape consistant à réinitialiser (partiellement) le filtre additionnel F A , ce filtre additionnel F A excluant le satellite S j supposé défaillant ; et une étape consistant à déterminer si le satellite S j (supposé défaillant) est défaillant en fonction d’un indicateur de panne satellite R A du filtre additionnel F A calculé après une durée déterminée (également dite période de quarantaine ). La présente invention permet d’identifier de manière fiable un satellite défaillant S x parmi un ensemble de satellites S 1 ,…,S N . Pour ce faire, il est proposé d’utiliser au moins un filtre de Kalman additionnel F A (indépendant des filtres Fs 1 ,…,Fs N ) pour simuler l’exclusion d’un satellite S j supposé défaillant. Ceci permet de tester une hypothèse de quarantaine pour confirmer ou infirmer la supposée défaillance d’un satellite S j . Nous présentons ici le principe de fonctionnement de la présente invention en considérant un seul filtre additionnel F A , mais plusieurs filtres additionnels peuvent être utilisés. Les étapes du procédé proposé, mentionnées ci-dessus, sont notamment mises en œuvre suite à la détection d'une panne satellite (par exemple, si un ou plusieurs indicateurs de panne satellite des filtres Fs 1 ,...,Fs N sont supérieurs à un seuil). Pour simuler l'exclusion d'un satellite S j supposé défaillant, un filtre de Kalman additionnel F A est utilisé. Plus précisément, le filtre additionnel F A est configuré à partir du filtre Fs k excluant le satellite S k (distinct du satellite S j supposé défaillant) et dont l'indicateur de panne satellite Rs k est maximum. Ce filtre additionnel F A n'utilise pas la pseudo-distance relative au satellite S j supposé défaillant qui est placé en quarantaine. Le filtre F A est réinitialisé pour assurer une convergence rapide de ses états. Au terme d'une période de quarantaine, l'indicateur de panne satellite R A du filtre additionnel F A est évalué pour confirmer ou infirmer la supposée défaillance du satellite S j . Par exemple, si l'indicateur de panne satellite R A est passé en dessous d'un certain seuil suite à l'exclusion du satellite S j supposé défaillant, alors le satellite S j est effectivement défaillant. Le satellite S j peut alors être exclu de sorte que la pseudo-distance relative à celui-ci ne soit plus utilisée pour la navigation, et les différents filtres peuvent également être réinitialisés. En comparaison aux solutions existantes, la présente invention permet d'identifier de manière fiable un satellite défaillant parmi un ensemble de satellites, et ce même dans le cas de mauvaises configurations géométriques de la constellation de satellites. Autrement dit, la présente invention permet de réduire le nombre d'exclusions erronées lors de pannes satellites. Plus particulièrement, il convient de souligner les avantages de la présente invention par rapport à la solution décrite dans le brevet EP2411832B1. Dans ce dernier, dès que l'innovation croisée associée à un satellite dépasse un certain seuil, ce satellite est déclaré défaillant de sorte que la pseudo-distance associée à ce satellite n’est plus utilisée par les filtres du dispositif de navigation, et ces filtres sont réinitialisés. Les innovations croisées des différents filtres sont ensuite surveillées pendant une durée prédéterminée pour confirmer ou infirmer la défaillance du satellite exclut. S'il s'avère que le satellite déclaré défaillant n'est pas le satellite en panne, alors les filtres du dispositif de navigation ont été réinitialisés à tort, et ceux-ci continuent d'être affectés par la panne. En fait, lorsqu'une telle exclusion erronée a été effectuée, les filtres ont été réinitialisés en utilisant des valeurs erronées. Ainsi, même si les innovations croisées des différents filtres continuent d'être surveillées par la suite, il est probable que le satellite effectivement défaillant ne puisse pas être identifié et exclu, étant donné que les différents filtres auront utilisé des valeurs erronées pendant une période de temps importante. En d'autres termes, il est particulièrement difficile de remédier à une exclusion erronée lors d’une panne satellite. De manière différente de la solution décrite dans le brevet EP2411832B1, la présente invention propose d'utiliser un filtre additionnel F A indépendant des filtres Fs 1 ,...,Fs N pour tester une hypothèse de quarantaine et simuler l'exclusion d'un satellite supposé défaillant. La présente invention permet de déterminer rapidement si le satellite supposé défaillant est effectivement en panne. Cela permet donc de ne pas réinitialiser les filtres de Kalman s’il est déterminé que le satellite supposé défaillant n’est en fait pas en panne. De cette façon, la présente invention permet avantageusement de garantir que la solution de navigation et les différents filtres du dispositif ne sont pas altérés (en particulier réinitialisés) tant que la défaillance d'un satellite n'est pas effectivement confirmée. La présente invention réduit ainsi le nombre d'exclusions erronées lors de pannes satellites et contribue à garantir l'intégrité du dispositif de navigation. Il importe de noter que l’identification du satellite S j supposé défaillant peut être réalisée par le dispositif mettant en œuvre le procédé, mais peut également être réalisée sur la base d’informations fournies par un autre dispositif. En particulier, l’identification du satellite S j supposé défaillant peut être réalisée sur la base d’informations fournies par un dispositif conforme à celui proposé dans la demande de brevet FR2303580. Selon un mode de réalisation , un dit indicateur de panne satellite est un rapport d’innovation croisée (ou est déterminé à partir de l’innovation croisée). Il est proposé ici d’utiliser le rapport d’innovation croisée comme indicateur de panne satellite. Pour un filtre Fs i excluant le satellite S i , le rapport d’innovation croisée Rs i est notamment défini comme le rapport de l’innovation croisée de la pseudo-distance au satellite S i sur la variance de cette innovation croisée. L’innovation croisée de la pseudo-distance au satellite S i correspond à l’écart entre : la pseudo-distance au satellite S i fournie par le récepteur de positionnement par satellites, et une estimation de cette pseudo-distance fournie par le filtre Fs i . Il en est de même pour ledit au moins un filtre additionnel F A . Ce mode de réalisation est avantageux en ce qu'il permet d’identifier de manière fiable un satellite défaillant, tout en garantissant une complexité de mise en œuvre minime. D'une part, le rapport d'innovation croisée est un indicateur fiable de panne satellite, et la fiabilité de celui-ci est même renforcée par la solution proposée. D'autre part, l'utilisation du rapport d'innovation croisée comme indicateur de panne satellite contribue à minimiser les ressources nécessaires (e.g. ressources de calcul et mémoire, temps de traitement, etc.) pour mettre en œuvre la solution proposée. De manière alternative, il pourrait être envisagé des modes de réalisation dans lesquels d’autres indicateurs de panne satellite sont utilisés. Par exemple, il pourrait être envisagé d’utiliser un rapport de vraisemblance de panne satellite. Selon un mode de réalisation , ladite étape consistant à identifier le satellite défaillant S x comprend lesdites étapes consistant à configurer, à réinitialiser, et à déterminer, uniquement si plusieurs des filtres Fs 1, …,Fs N présentent des indicateurs de panne satellite supérieurs à un seuil. Dans ce mode de réalisation, ledit au moins un filtre additionnel F A est utilisé uniquement lorsque plusieurs filtres parmi les filtres Fs 1, …,Fs N ont des indicateurs de panne satellite supérieurs à un certain seuil de détection. Si un unique filtre Fs i présente un indicateur de panne satellite Rs i supérieur au seuil de détection, le satellite S i associé au filtre Fs i peut être identifié comme étant le satellite défaillant S x . Cependant, lorsque plusieurs filtres présentent des indicateurs de panne satellite supérieurs au seuil de détection, il existe une ambiguïté quant au satellite défaillant et plusieurs satellites sont potentiellement défaillants. Ledit au moins un filtre additionnel F A est alors utilisé pour arbitrer entre ces satellites potentiellement défaillants, en testant l’hypothèse de quarantaine choisie. Ceci permet d’identifier de manière fiable le satellite en panne. Ledit au moins un filtre additionnel F A est ici utilisé uniquement lorsqu’il est nécessaire d’arbitrer entre plusieurs satellites potentiellement défaillants. Ce mode de réalisation permet donc d’identifier de manière fiable un satellite défaillant, tout en minimisant les ressources nécessaires pour mettre en œuvre la solution proposée. En variante, il pourrait être envisagé des modes de réalisation dans lesquels ledit au moins un filtre additionnel F A est utilisé à chaque fois qu’une panne satellite est détectée. Selon un mode de réalisation , le satellite S j supposé défaillant correspond au satellite étant associé au filtre Fs j dont un indicateur de panne satellite Rs j est maximum (parmi la pluralité de filtres Fs 1 ,…,Fs N ) et n’ayant pas été préalablement supposé défaillant. Dans ce mode de réalisation, un seul satellite S j à la fois est supposé défaillant. Ce satellite est mis en quarantaine de sorte que la pseudo-distance relative à celui-ci n’est plus utilisée par les filtres Fs 1 ,…,Fs N . Le satellite S j supposé défaillant est le satellite associé au filtre Fs j dont l’indicateur de panne satellite Rs j est maximum et qui n’a pas déjà été mis en quarantaine. Le satellite S j est donc celui qui est le plus susceptible d'être défaillant. Pour simuler l’exclusion de ce seul satellite S j supposé défaillant, un unique filtre additionnel F A est utilisé. Ceci permet de confirmer ou d’infirmer l’hypothèse de quarantaine choisie. Ce mode de réalisation permet ainsi d’identifier de manière fiable un satellite défaillant parmi un ensemble de satellites, en minimisant les ressources nécessaires. Selon un mode de réalisation , si l’indicateur de panne satellite R A du filtre additionnel F A est inférieur à un seuil (après la durée déterminée), le satellite S j supposé défaillant est déterminé comme étant défaillant ; sinon, un autre satellite S j’ (distinct du satellite S j ) est supposé défaillant, et lesdites étapes consistant à configurer, à réinitialiser, et à déterminer sont réitérées (pour ce satellite S j’ ). Ce mode de réalisation propose de tester de manière séquentielle les différentes hypothèses de quarantaine jusqu’à identifier le satellite défaillant. Pour mémoire, le filtre additionnel F A exclut le satellite S j supposé défaillant qui est mis en quarantaine. Si, au terme de la période de quarantaine, l’indicateur de panne satellite R A du filtre additionnel F A est inférieur au seuil, cela signifie que le filtre additionnel F A n’est plus affecté par la panne satellite et qu’il exclut le satellite défaillant S x . L’hypothèse de quarantaine est donc correcte : le satellite S j supposé défaillant mis en quarantaine correspond bien au satellite défaillant S x . Ce satellite peut donc être exclu de sorte que la pseudo-distance relative à celui-ci ne soit plus utilisée, et les filtres du dispositif de navigation peuvent être réinitialisés. En revanche, si l'indicateur de panne satellite R A du filtre additionnel F A est supérieur au seuil au terme de la période de quarantaine, cela signifie que l'hypothèse de quarantaine est incorrecte : le satellite S j supposé défaillant mis en quarantaine est en fait fonctionnel, et le satellite S x effectivement défaillant n’a pas été mis en quarantaine. Dans ce cas, un autre satellite S j' est supposé défaillant et les étapes du procédé sont réitérées pour simuler l'exclusion de ce satellite S j' . Une nouvelle hypothèse de quarantaine est ainsi testée. Ce mode de réalisation contribue ainsi à identifier de manière fiable le satellite défaillant parmi l’ensemble de satellites. Selon un mode de réalisation , plusieurs satellites S j 1 ,…,S j M sont supposés défaillants, et plusieurs filtres additionnels F A 1 ,…,F A M sont configurés et réinitialisés. Dans ce mode de réalisation, plusieurs filtres additionnels sont utilisés en parallèle. Ceci permet de tester simultanément différentes hypothèses de quarantaine. En fait, plusieurs satellites S j 1 ,…,S j M sont supposés défaillants ; et lesdites étapes consistant à configurer, à réinitialiser, et à déterminer sont mises en œuvre de manière simultanée pour ces satellites S j 1 ,…,S j M . Chaque filtre additionnel F A m est utilisé pour tester une hypothèse de quarantaine. Le satellite défaillant S x est ensuite identifié en fonction des indicateurs de panne satellite R A 1 ,…,R A M des filtres additionnels F A1 ,…,F AM calculés après la période de quarantaine. Ce mode de réalisation est avantageux en ce qu’il permet d’identifier, de manière fiable et rapide, le satellite défaillant parmi un ensemble de satellites. Selon un mode de réalisation , le satellite S j m supposé défaillant, pour lequel le filtre additionnel F A m présente l’indicateur de panne satellite R A m minimum (parmi les filtres additionnels F A 1 ,…,F A M ), est déterminé comme étant défaillant. Nous rappelons que les différents filtres additionnels F A 1 ,…,F A M permettent de tester différentes hypothèses de quarantaine (c’est-à-dire de simuler l’exclusion de différents satellites). Or, le filtre additionnel associé à l'hypothèse de quarantaine correcte est celui qui simule l’exclusion du satellite défaillant S x . Il présentera donc l’indicateur de panne satellite le plus faible à l’issue de la période de quarantaine. C’est pourquoi le satellite S x identifié comme défaillant correspond ici au satellite S j m associé au filtre additionnel F A m dont l’indicateur de panne satellite R A m est minimum à l’issue de la période quarantaine (le filtre additionnel F A m simule l’exclusion du satellite S j m ). Ce mode de réalisation contribue ainsi à identifier de manière fiable et rapide le satellite défaillant parmi l’ensemble de satellites. Selon un mode de réalisation , les satellites S j 1 ,…,S j M supposés défaillants correspondent aux satellites associés aux filtres Fs j 1 ,…,Fs j M dont des indicateurs de panne satellite Rs j 1 ,…,Rs j M sont supérieurs à un seuil. Comme évoqué précédemment, lorsque plusieurs des filtres Fs 1 ,...,Fs N présentent des indicateurs de panne satellite supérieurs au seuil de détection, il existe une ambiguïté quant au satellite en panne. Plusieurs satellites sont potentiellement défaillants. Dans ce mode de réalisation, plusieurs filtres additionnels F A 1 ,…,F A M sont utilisés pour tester différentes hypothèses de quarantaine en parallèle, et arbitrer rapidement entre les satellites potentiellement défaillants S j 1 ,…,S j M . Le nombre de filtres additionnels utilisés correspond ici au nombre de filtres Fs j 1 ,…,Fs j M dont les indicateurs de panne satellite Rs j 1 ,…,Rs j M sont supérieurs au seuil de détection. Ce mode de réalisation permet ainsi de parvenir à un compromis particulièrement avantageux entre la rapidité d'identification du satellite défaillant et la quantité de ressources nécessaires (e.g. ressources de calcul et mémoire) pour mettre en œuvre la solution proposée. Autrement dit, ce mode de réalisation permet d'identifier de manière fiable et rapide un satellite défaillant parmi un ensemble de satellites, tout en limitant la quantité de ressources nécessaires. De manière alternative, il pourrait être envisagé des modes de réalisation dans lesquels le nombre de filtres additionnels utilisés correspond au nombre de satellites dans l’ensemble de satellites. Selon un aspect de l’invention , il est proposé un dispositif comprenant une pluralité de filtres de Kalman Fs 1 ,…,Fs N , chaque filtre Fs i déterminant des données de navigation d’un mobile à partir de pseudo-distances relatives à un ensemble de satellites S 1 ,…,S N à l’exception du satellite S i , le dispositif comprenant un module configuré pour identifier un satellite défaillant S x parmi l’ensemble de satellites S 1 ,…,S N , ce module étant configuré pour : configurer un filtre de Kalman additionnel F A à partir du filtre Fs k excluant un satellite S k distinct d’un satellite S j supposé défaillant et dont un indicateur de panne satellite Rs k est maximum; réinitialiser (partiellement) le filtre additionnel F A , ce filtre additionnel F A excluant le satellite S j supposé défaillant ; et déterminer si le satellite S j (supposé défaillant) est défaillant en fonction d’un indicateur de panne satellite R A du filtre additionnel F A calculé après une durée déterminée. Le dispositif proposé peut être configuré pour mettre en œuvre n’importe lequel des modes de réalisation d’un procédé conforme à l’invention. En particulier, pour chaque étape d’un procédé conforme à l’invention, le dispositif proposé peut comprendre un module configuré pour mettre en œuvre cette étape. En particulier, le dispositif proposé est un dispositif de navigation destiné à être compris dans un système de navigation embarqué à bord d’un mobile (par exemple, un aéronef). En plus des filtres Fs 1 ,…,Fs N , le dispositif proposé peut comprendre un filtre de Kalman F P (également dit filtre principal ) déterminant des données de navigation du mobile à partir des pseudo-distances relatives à l’ensemble de satellites S 1 ,…,S N . Il convient de préciser que le filtre principal F P utilise les pseudo-distances relatives à chaque satellite S i de l’ensemble de satellites S 1 ,…,S N , à condition que le satellite S i n’ait pas été exclu. Selon un aspect de l’invention , il est proposé un système de navigation destiné à être embarqué dans un mobile comprenant : un récepteur de positionnement par satellites configuré pour fournir des pseudo-distances relatives à un ensemble de satellites S 1 ,…,S N ; et un dispositif conforme à l’invention. Ce système de navigation peut par exemple être embarqué dans un aéronef, un navire, ou un véhicule terrestre. Il peut en outre comporter une unité de mesure inertielle, comprenant par exemple des accéléromètres et/ou des gyroscopes. Selon un aspect de l’invention , il est proposé un engin mobile comprenant un système de navigation conforme à l’invention. L’engin mobile proposé peut être un aéronef, un navire, ou un véhicule terrestre. Selon un aspect de l’invention , il est proposé un programme d’ordinateur comprenant des instructions pour mettre en œuvre les étapes d’un procédé conforme à l’invention, lorsque le programme d’ordinateur est exécuté par au moins un processeur ou un ordinateur. Le programme d’ordinateur peut être formé d’une ou plusieurs sous-parties stockées dans une même mémoire ou dans des mémoires distinctes. Le programme peut utiliser n’importe quel langage de programmation, et être sous la forme de code source, de code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n’importe quelle autre forme souhaitable. Selon un aspect de l’invention , il est proposé un support d’informations lisible par ordinateur comprenant un programme d’ordinateur conforme à l’invention. Le support d’informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une mémoire non-volatile ou ROM, par exemple un CD-ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple un disque dur. D'autre part, le support de stockage peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par un réseau de télécommunication ou par un réseau informatique ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau informatique. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. Le dispositif, le système de navigation, l’aéronef, le programme d’ordinateur, et le support d’informations proposés disposent des avantages décrits ci-dessus en lien avec le procédé proposé. D’autres caractéristiques et avantages de la présente invention ressortiront de la description fournie ci-après, illustrant des modes de réalisation de l’invention donnés à titre d’exemple et dépourvus de tout caractère limitatif, en référence aux dessins ci-joints : la FIG. 1 représente l’architecture matérielle d’un aéronef selon un mode de réalisation de l’invention ; la FIG. 2 représente l’architecture fonctionnelle d’un dispositif selon un mode de réalisation de l’invention ; la FIG. 3 représente des étapes d’un procédé selon un mode de réalisation de l’invention pour détecter une panne satellite et exclure le satellite défaillant ; la FIG. 4 représente des étapes d’un procédé selon un mode de réalisation de l’invention pour détecter une panne satellite ; et la FIG. 5 représente des étapes d’un procédé selon un mode de réalisation de l’invention pour identifier un satellite défaillant. La présente invention s’applique, en particulier, aux systèmes de navigation pour aéronefs. La description suivante de l'invention se référera à ce contexte particulier d’application, qui n'est donné qu'à titre d'exemple illustratif et ne doit pas limiter l'invention. Cette dernière s'applique à la navigation pour tout type de porteur, d’engin mobile, ou de véhicule. La FIG. 1 représente l’architecture matérielle d’un aéronef selon un mode de réalisation de l’invention. Cette figure est décrite ci-après pour introduire la présente invention et exemplifier un contexte d’application de celle-ci. L’aéronef AC illustré sur la FIG. 1 est équipé d’un système de navigation SYS. Dans le contexte de l’invention, le terme « aéronef » désigne tout dispositif capable de s’élever et de se déplacer dans les airs, tel qu’un avion, un hélicoptère, un drone, etc. Le système de navigation SYS comprend : une unité de mesure inertielle IMU ; un récepteur de positionnement par satellites GNSS ; et un dispositif de navigation APP. L’unité de mesure inertielle IMU est configurée pour fournir des incréments inertiels INC au dispositif de navigation APP. Cette unité IMU comprenant des accéléromètres et des gyroscopes, les incréments INC correspondent à des incréments de vitesse et des incréments angulaires. Le récepteur GNSS est, lui, configuré pour recevoir des signaux émis par un ensemble de satellites S 1 ,…,S N . Ces satellites appartiennent par exemple à la constellation de satellites du système GPS, ou du système Galileo. Le récepteur GNSS est configuré pour déterminer, à partir des signaux reçus en provenance des satellites S 1 ,…,S N , les pseudo-distances PR entre les satellites S 1 ,…,S N et le récepteur GNSS (c’est-à-dire le récepteur). Il fournit ces pseudo-distances PR au dispositif de navigation APP. Nous utilisons également l’expression « pseudo-distance relative à un satellite S i » pour désigner la pseudo-distance entre le satellite S i et le récepteur GNSS et notons cette pseudo-distance pr i . Le dispositif de navigation APP est configuré pour déterminer des données de navigation NAV de l’aéronef AC. Par « données de navigation », nous désignons des données relatives à la position, et/ou au déplacement de l’aéronef AC, telles que des coordonnées géographiques (e.g. latitude, longitude, altitude), la vitesse, les attitudes. Ces données de navigation NAV peuvent par exemple être fournies à un dispositif de guidage CMD de l’aéronef AC (e.g. un dispositif de pilotage automatique). Le dispositif de navigation APP met ici en œuvre une solution de navigation hybride inertie-GNSS. Il détermine les données de navigation NAV de l’aéronef AC en utilisant à la fois les pseudo-distances PR fournies par le récepteur de positionnement par satellites GNSS, et les incréments inertiels INC fournis par l’unité de mesure inertielle IMU. Dans le cadre de l’invention, il pourrait également être envisagé d’autres modes de réalisation dans lesquels d’autres formes d’hybridation sont utilisées. Par exemple, les données issues de capteurs supplémentaires, tels qu'un baromètre ou une caméra, pourraient être utilisées. Le dispositif de navigation APP est en outre configuré pour détecter une panne satellite et/ou exclure un satellite défaillant parmi l’ensemble de satellites S 1 ,…,S N . Nous présenterons plus en détail la manière dont le dispositif APP détecte une panne satellite et exclut un satellite défaillant, en référence aux figures suivantes. L’architecture matérielle du dispositif APP est illustrée par la FIG. 1 . Selon ce mode de réalisation, le dispositif APP comprend : au moins une unité de traitement ou processeur PROC ; et au moins une mémoire MEM. Selon un mode de réalisation, le dispositif APP dispose de l’architecture matérielle d’un ordinateur. La mémoire MEM constitue un support d’informations conforme à l’invention, sur lequel est enregistré un programme d’ordinateur PROG conforme à l’invention. Le programme PROG comporte des instructions pour réaliser des étapes d’un procédé conforme à l’invention, lorsque le programme PROG est exécuté par le processeur PROC. Le programme PROG définit les modules fonctionnels du dispositif APP représentés sur la FIG. 2 , qui s’appuient sur ou commandent les éléments matériels de ce dispositif. Tel qu’illustré par la FIG. 1 , le dispositif APP dispose d’un module de communication COM configuré pour communiquer avec : le récepteur GNSS, l’unité de mesure inertielle IMU, et/ou le module de guidage CMD. Aucune limitation n'est attachée à la nature des interfaces de communication entre ces dispositifs. Nous avons présenté ci-dessus l’architecture matérielle du dispositif de navigation APP. Nous décrivons maintenant son architecture fonctionnelle en référence à la figure suivante. La FIG. 2 représente l’architecture fonctionnelle d’un dispositif selon un mode de réalisation de l’invention. Cette figure illustre le fonctionnement du dispositif de navigation APP. Comme évoqué précédemment, le dispositif de navigation APP est configuré pour déterminer des données de navigation NAV de l’aéronef à partir des incréments inertiels INC fournis par l’unité de mesure inertielle IMU et des pseudo-distances PR fournies par le récepteur GNSS. Selon le mode de réalisation de la FIG. 2 , le dispositif APP comprend les modules suivants : une plateforme virtuelle PFV (ou module de navigation inertielle) ; un module d’hybridation HBD ; et un module EXCL de détection et d’exclusion de pannes satellites. Il convient tout d’abord de noter que l’architecture du dispositif APP proposé ici est basée sur celle du dispositif présenté dans le brevet EP2411832B1. Cependant, le dispositif APP proposé ici diffère du dispositif décrit dans le brevet EP2411832B1 en plusieurs points, et en particulier par son utilisation d’au moins un filtre de Kalman additionnel F A (dit également filtre arbitre ). Il convient également de souligner que le module EXCL de détection et d'exclusion de pannes satellites proposé dans la présente demande utilise ledit au moins un filtre de Kalman additionnel F A . Ainsi, l'implémentation du module EXCL proposée ici diffère de l’implémentation du module de détection et d'exclusion de pannes satellites précédemment proposée dans le brevet EP2411832B1. Nous présentons ci-dessous brièvement les fonctions des différents modules du dispositif APP. Concernant les détails de mise en œuvre de certains de ces modules, il est également possible de se référer au brevet EP2411832B1, et aux références qui y sont citées. La plateforme virtuelle PFV est configurée pour déterminer des données de navigation inertielles NAV_INS à partir des incréments INC fournis par l’unité de mesure inertielle IMU. La plateforme virtuelle PFV peut en outre utiliser les données de navigation NAV déterminées par le module d’hybridation HBD (par exemple, pour compenser la dérive de navigation inertielle). Le module EXCL est configuré pour détecter une panne satellite et/ou exclure le satellite défaillant. Il fournit au module d'hybridation HBD tout ou partie des pseudo-distances PR délivrées par le récepteur GNSS en fonction des satellites identifiés comme fonctionnels ou défaillants. Si un satellite Si est identifié comme défaillant (c'est-à-dire s'il est exclu), le module EXCL reçoit la pseudo-distance pr i relative à ce satellite, mais ne la fournit pas au module d'hybridation HBD. Nous détaillerons le fonctionnement du module EXCL en référence aux figures 3 à 5. Le module d’hybridation HBD est configuré pour déterminer des données de navigation NAV de l’aéronef AC à partir des données de navigation inertielle NAV_INS fournies par la plateforme virtuelle PFV et des pseudo-distances PR fournies par le module EXCL. Le module HBD met ainsi en œuvre une hybridation inertie-GNSS. Comme évoqué précédemment, il pourrait être envisagé des modes de réalisation de l’invention dans lesquels d’autres formes d’hybridation sont utilisées. Par exemple, le module d’hybridation pourrait également utiliser des données issues de capteurs supplémentaires, tels qu’une caméra, ou un baromètre. Pour mettre en œuvre l’hybridation inertie-GNSS, le module d’hybridation HBD comprend (met en œuvre) plusieurs filtres de Kalman : un filtre F P dit principal , et des filtres Fs 1 ,…Fs N dits secondaires (ou sous-filtres). Le filtre principal F P utilise toutes les pseudo-distances PR fournies pas le module EXCL. Il utilise ainsi les pseudo-distances relatives à l’ensemble des satellites S 1 ,…,S N (nous considérons ici qu’aucun satellite n’a été exclu). Le filtre F P élabore une solution de navigation hybride inertie-GNSS principale. En revanche, les filtres secondaires Fs 1 ,…,Fs N n’utilisent qu’une partie des pseudo-distances PR. Chaque filtre secondaire F i détermine des données de navigation en utilisant : les données de navigation inertielles NAV_INS ; et les pseudo-distances relatives à l’ensemble de satellites S 1 ,…,S N à l’exception du satellite S i . Autrement dit, un filtre secondaire Fs i utilise les pseudo-distances {pr 1 ,…,pr N }\{pr i }. Nous désignons le filtre secondaire Fs i comme étant associé au satellite S i . Les filtres secondaires Fs 1 ,…,Fs N élaborent des solutions de navigation hybride inertie-GNSS secondaires. Le module d’hybridation HBD comprend en outre au moins un filtre de Kalman additionnel F A (également dit sous-filtre arbitre ). Ce filtre additionnel F A élabore également une solution de navigation hybride inertie-GNSS. Comme nous le détaillerons par la suite, ce filtre F A est utilisé par le dispositif APP, pour identifier le satellite défaillant S x suite à la détection d’une panne satellite. Cependant, avant de détailler l'utilisation du filtre additionnel F A , nous présentons le fonctionnement général du module EXCL en référence à la FIG. 3 et la détection d'une panne satellite en référence à la FIG. 4 . La FIG. 3 représente des étapes d’un procédé selon un mode de réalisation de l’invention pour détecter une panne satellite et exclure le satellite défaillant. Cette figure illustre le fonctionnement du module EXCL de détection et d’exclusion de pannes satellites. Comme cela est illustré par la FIG. 3 , le module EXCL met en œuvre tout ou partie des étapes S100 à S400 illustrées décrites ci-dessous. À l’étape S100 , le module EXCL obtient les pseudo-distances PR fournies pas le récepteur GNSS. Il obtient également tout ou partie des données de navigation NAV du module d’hybridation HBD. À l’étape S200 , le module EXCL détecte la présence ou non d’une panne satellite FLT. Pour ce faire, il utilise les pseudo-distances PR relatives aux satellites S 1 ,…,S N fournies pas le récepteur GNSS et les données de navigation NAV déterminées par les différents filtres du module d’hybridation HBD. La mise en œuvre de l’étape S200 est détaillée en référence à la FIG. 4 . Comme cela est illustré par la FIG. 3 , si une panne satellite FLT est détectée, alors le procédé se poursuit à l’étape S300 ; sinon, le procédé réitère les étapes S100 et S200. À l’étape S300 , suite à la détection d’une panne satellite FLT, le module EXCL identifie le satellite défaillant S x parmi l’ensemble de satellites S 1 ,…,S N . La mise en œuvre de l’étape S300 est détaillée en référence à la FIG. 5 . À l’étape S400 , le module EXCL exclut le satellite S x identifié comme défaillant. Suite à l’exclusion du satellite S x , la pseudo-distance pr x relative au satellite S x ne sera plus utilisée par le dispositif de navigation APP pour déterminer les données de navigation NAV. En outre, une réinitialisation partielle des filtres du module d’hybridation HBD est réalisée, et ce de manière similaire à celle décrite dans le brevet EP2411832B1. La FIG. 4 représente des étapes d’un procédé selon un mode de réalisation de l’invention pour détecter une panne satellite. Cette figure est présentée ci-dessous pour illustrer la mise en œuvre de l’étape S200 de détection d’une panne satellite FLT. Selon le mode de réalisation de la FIG. 4 , le module EXCL détecte une panne satellite FLT en mettant en œuvre les étapes S210 et S220 décrites ci-après. À l’étape S210 , le module EXCL calcule des indicateurs de panne satellite Rs 1 ,…,Rs N associés aux filtres secondaires Fs 1 ,…,Fs N . Pour chaque filtre secondaire Fs i , un indicateur de panne satellite Rs i est calculé par le module EXCL. Les indicateurs de panne satellite Rs 1 ,…,Rs N peuvent notamment correspondre aux rapports d’innovation croisée des filtres secondaires Fs 1 ,…,Fs N . Le rapport d’innovation croisée d’un filtre Fs i peut notamment être défini comme le rapport de l’innovation croisée de la pseudo-distance pr i au satellite S i sur la variance de cette innovation croisée. L’innovation croisée de la pseudo-distance au satellite S i correspond à l’écart entre : la pseudo-distance au satellite S i fournie par le récepteur GNSS, et une estimation de cette pseudo-distance fournie par le filtre Fs i qui exclut le satellite S i . Dans le cadre de l’invention, il pourrait également être envisagé d’utiliser d’autres indicateurs de panne satellite. Par exemple, des modes de réalisation pourraient être envisagés dans lesquels les indicateurs de panne satellite correspondent à des rapports de vraisemblance de panne satellite. À l’étape S220 , le module EXCL détecte une panne satellite FLT si au moins un des indicateurs de panne satellite Rs 1 ,…,Rs N est supérieur à un seuil de détection λ det . Supposons par exemple que le satellite S 8 est en panne. Le filtre secondaire Fs 8 utilise les pseudo-distances relatives à l’ensemble des satellites à l’exception du satellite S 8 . En utilisant le rapport d’innovation croisée Rs 8 (ou un autre indicateur de panne satellite), il est possible de détecter que la pseudo-distance pr 8 est erronée et que le satellite S 8 est défaillant. En effet, le filtre secondaire Fs 8 n’est pas affecté par la panne du satellite S 8 (étant donné qu’il exclut ce satellite). Un écart important est donc observé entre : la pseudo-distance pr 8 fournie par le récepteur GNSS, et l’estimation de cette pseudo-distance fournie par le filtre Fs 8 . Il s’ensuit que le rapport d’innovation croisée Rs 8 est supérieur au seuil de détection λ det . Cela étant, une panne satellite FLT peut affecter plusieurs filtres secondaires, de sorte que plusieurs indicateurs de panne satellite peuvent dépasser le seuil de détection λ det . Un filtre secondaire Fs i qui utilise la pseudo-distance pr x relative au satellite défaillant S x (c'est-à-dire n'excluant pas le satellite S x ) peut présenter un indicateur de panne satellite Rs i supérieur au seuil λ det , et ce notamment dans le cas d’une mauvaise configuration géométrique de la constellation. Il est donc possible que le premier indicateur de panne satellite à dépasser le seuil λ det soit celui d'un filtre secondaire affecté par la panne. Peu de temps après, l'indicateur de panne satellite Rs x du filtre secondaire Fs x excluant le satellite défaillant S x dépassera à son tour le seuil λ det . Dans ce mode de réalisation, la panne satellite FLT est détectée par le dispositif de navigation APP lui-même. Cependant, d’autres modes de réalisation pourraient être envisagés dans lesquels la panne satellite FLT est détectée par un autre dispositif (distinct du dispositif APP). Par exemple, la panne satellite FLT pourrait être détectée par un dispositif conforme à celui proposé dans la demande de brevet FR2303580. Lorsqu’une panne satellite FLT a été détectée, il est nécessaire d'identifier le satellite défaillant S x parmi l’ensemble de satellites S 1 ,...,S N pour l'exclure et garantir l’intégrité du la solution de navigation. Nous présentons la manière dont le satellite défaillant S x est identifié en référence à la figure suivante. La FIG. 5 représente des étapes d’un procédé selon un mode de réalisation de l’invention pour identifier un satellite défaillant. Cette figure illustre la mise en œuvre de l’étape S300 précédemment introduite en référence à la FIG. 3 . Il convient de rappeler que l’étape S300 est mise en œuvre pour identifier le satellite défaillant S x suite à la détection d’une panne satellite FLT. Cette étape est donc mise en œuvre si un ou plusieurs des indicateurs de panne satellite Rs 1 ,…,Rs N des filtres secondaires Fs 1 ,…,Fs N sont supérieurs au seuil de détection λ det . Si un seul indicateur de panne satellite Rs i est supérieur au seuil de détection λ det , le satellite S i associé au filtre secondaire Fs i peut être identifié comme étant le satellite défaillant S x . Cependant, lorsque plusieurs filtres secondaires présentent des indicateurs de panne satellite supérieurs au seuil λ det , il existe une ambiguïté quant au satellite défaillant. Plusieurs satellites sont potentiellement défaillants. C’est pourquoi, selon un mode de réalisation, ledit au moins un filtre additionnel F A est utilisé uniquement lorsque plusieurs filtres secondaires Fs 1, …,Fs N présentent des indicateurs de panne satellite supérieurs au seuil λ det . Les étapes décrites ci-dessous sont alors mises en œuvre. Ce mode de réalisation permet d’utiliser ledit au moins un filtre additionnel F A uniquement lorsqu’il est nécessaire d’arbitrer entre plusieurs satellites potentiellement défaillants. Ceci permet de minimiser les ressources utilisées par le dispositif APP, tout en garantissant que le satellite défaillant est identifié de manière fiable en cas de panne satellite. En variante, il pourrait également être envisagé d’utiliser ledit au moins un filtre additionnel F A et de mettre en œuvre les étapes ci-dessous à chaque fois qu’une panne satellite est détectée. La FIG. 5 illustre un mode de réalisation dans lequel différentes hypothèses de quarantaine sont testées de manière séquentielle jusqu'à identifier le satellite défaillant S x . Nous présentons d'abord ce mode de réalisation dit séquentiel , et décrirons ensuite un mode de réalisation dit parallèle dans lequel plusieurs hypothèses de quarantaine sont testées simultanément. Selon le mode de réalisation séquentiel illustré par la FIG. 5 , l’étape S300 d’identification du satellite défaillant Sx comprend les étapes S310 à S360 décrites ci-dessous. À l’étape S310 , le module EXCL identifie un satellite S j supposé défaillant parmi l’ensemble de satellites S 1 ,…,S N . Dans ce mode de réalisation, un seul satellite S j est identifié comme supposé défaillant. Ce satellite est mis en quarantaine de sorte que les pseudo-distances relatives à celui-ci ne sont plus utilisées par les filtres Fs 1 ,…,Fs N . Comme nous le détaillons ci-dessous, un filtre additionnel F A sera utilisé pour tester cette hypothèse de quarantaine, et confirmer ou infirmer la supposée défaillance du satellite S j . En particulier, le satellite S j identifié comme supposé défaillant correspond au satellite associé au filtre Fs j dont l’indicateur de panne satellite Rs j est maximum et qui n’a pas déjà été mis en quarantaine. Le satellite S j identifié est donc le satellite qui est le plus susceptible d'être défaillant, et ce pour deux raisons : d'une part, il est associé au filtre Fs j dont l'indicateur de panne satellite Rs j est le plus élevé, et d'autre part, l'exclusion de ce satellite S j n'a pas encore été testée. Le choix du satellite S j supposé défaillant et mis en quarantaine peut être réalisé par le dispositif de navigation APP lui-même, comme cela a été décrit ci-dessus. Cependant, ce choix de quarantaine peut également être réalisé sur la base d’informations fournies par un autre dispositif (distinct du dispositif APP). Selon un mode de réalisation, l’identification du satellite S j supposé défaillant est ainsi réalisée sur la base d’informations fournies par un dispositif conforme à celui proposé dans la demande de brevet FR2303580. Les informations fournies par cet autre dispositif indiquant un satellite supposé défaillant, ou comprenant des indicateurs de panne satellite supplémentaires permettant d’identifier un satellite supposé défaillant. À l’étape S320 , le module EXCL configure (initialise) un filtre de Kalman additionnel F A (également dit sous-filtre arbitre ). Ce filtre additionnel F A est utilisé pour simuler l’exclusion du satellite S j supposé défaillant, et donc tester l’hypothèse de quarantaine choisie. Plus précisément, le module EXCL identifie le filtre secondaire F k qui présente l’indicateur de panne satellite R k maximum et qui exclut un satellite S k distinct du satellite S j supposé défaillant. Autrement dit, l’indicateur de panne satellite Rs k est l’indicateur maximum parmi {Rs 1 ,…,Rs N }\{Rs j }. Ensuite, le module EXCL configure (initialise) le filtre additionnel F A sur la base du filtre secondaire Fs k . La configuration du filtre additionnel F A consiste notamment à recopier la matrice de covariances, les états estimés, et les mesures utilisées par le filtre secondaire Fs k . Notons que le filtre additionnel F A exclut le satellite S k , et le satellite S j supposé défaillant qui est mis en quarantaine. Il utilise donc les pseudo-distances {pr 1 ,…,pr N }\{pr k , pr j }. À l’étape S330 , le module EXCL effectue une réinitialisation (partielle) du filtre additionnel F A . Pour réinitialiser le filtre additionnel F A , les opérations suivantes sont réalisées. Les états liés aux pseudo-distances fournies par le récepteur GNSS et les états liés aux autres capteurs utilisés sont réinitialisés. Les états potentiellement affectés par une défaillance du satellite S j sont désensibilisés par ajout de bruit d'état. Les états d’horloge et les états de biais présentent généralement des temps de corrélation non négligeables qui ne permettent pas des convergences suffisamment rapides. La réinitialisation proposée ici permet de forcer une convergence rapide des états du filtre additionnel F A . À l’étape S340 , le module EXCL calcule un indicateur de panne satellite R A du filtre additionnel F A après une durée déterminée TE (également dite période de quarantaine ). La durée déterminée TE entre la réinitialisation du filtre additionnel F A et le calcul de son indicateur de panne satellite R A est généralement de l’ordre de quelques minutes (par exemple, entre 2 et 3 minutes). La réinitialisation du filtre additionnel F A permet de garantir une convergence rapide des états du filtre additionnel F A . Si l’hypothèse de quarantaine est correcte (le satellite S j supposé défaillant correspond au satellite défaillant S x ), la convergence des états du filtre additionnel F A vers zéro permet la convergence de son indicateur de panne satellite R A vers zéro. À l’issue de la période de quarantaine, l’indicateur de panne satellite R A sera ainsi inférieur au seuil λ det . En particulier, l’indicateur de panne satellite R A du filtre additionnel F A correspond au rapport d’innovation croisée du filtre additionnel F A . Cependant, et comme évoqué précédemment, il pourrait être envisagé d’utiliser d’autres indicateurs de panne satellite. À l’étape S350 , le module EXCL détermine si l’indicateur de panne satellite R A du filtre additionnel F A est supérieur ou égal au seuil λ det . Il détermine ainsi si le satellite S j supposé défaillant est effectivement défaillant ou est fonctionnel. Nous rappelons que le filtre additionnel F A simule l’exclusion du satellite S j qui est supposé défaillant et est mis en quarantaine. Si, au terme de la durée de quarantaine, l’indicateur de panne satellite R A est inférieur au seuil, cela signifie que le filtre additionnel F A n’est plus affecté par la panne satellite et qu’il exclut le satellite défaillant S x . L’hypothèse de quarantaine est donc correcte : le satellite S j supposé défaillant est effectivement en panne. Dans ce cas, le procédé se poursuit à l’étape S360. En revanche, si l'indicateur de panne satellite R A est supérieur ou égal au seuil λ det , cela signifie que l'hypothèse de quarantaine est incorrecte : le satellite S j supposé défaillant mis en quarantaine est en fait fonctionnel, et le satellite S x effectivement défaillant n’a pas été mis en quarantaine. Dans ce cas, le satellite S j supposé défaillant est déterminé comme étant fonctionnel et sa quarantaine est suspendue. Le procédé reprend à l’étape S310 pour identifier un autre satellite S j' supposé défaillant (distinct du satellite S j ), et réitère les étapes suivantes pour simuler l'exclusion de ce satellite S j' . Une nouvelle hypothèse de quarantaine est ainsi testée. À l’étape S360 , le module EXCL identifie le satellite S j comme étant le satellite défaillant S x . Si l’indicateur de panne satellite R A est inférieur au seuil λ det , l’hypothèse de quarantaine est correcte : le satellite S j supposé défaillant et mis en quarantaine correspond effectivement au satellite défaillant S x à l’origine de la panne satellite FLT. Le procédé se poursuivra à l’étape S400 pour exclure ce satellite. Nous avons présenté ci-dessus un mode de réalisation dans lequel les différentes hypothèses de quarantaine sont testées les unes après les autres en utilisant un unique filtre additionnel F A . Cependant, plusieurs filtres additionnels peuvent être utilisés en parallèle pour tester simultanément différentes hypothèses de quarantaine, ce que nous détaillons maintenant. Selon un mode de réalisation parallèle (non illustré), le module EXCL procède comme suit pour identifier le satellite défaillant S x en utilisant plusieurs filtres additionnels notés F A 1 ,…,F A M . Tout d’abord, une pluralité de satellites S j 1 ,…,S j M sont identifiés comme supposés défaillants (étape S310). Pour chaque satellite S j m supposé défaillant, un filtre additionnel F A m est configuré et réinitialisé (étape S320 et S330). Chaque filtre additionnel F A m est configuré à partir d’un filtre secondaire Fs k qui présente l’indicateur de panne satellite Rs k maximum et qui exclut un satellite S k distinct du satellite S j m . Le filtre additionnel F A m permet de simuler l’exclusion du satellite S j m . À l’issue de la période de quarantaine TE, les indicateurs de panne satellite R A 1 ,…,R A M des différents filtres additionnels F A 1 ,…,F A M sont calculés (étape S340). Ces indicateurs R A 1 ,…,R A M , sont ensuite comparés pour identifier le satellite défaillant S x (étape S360). Le satellite S x identifié comme défaillant correspond, selon un mode de réalisation, au satellite S j m supposé défaillant pour lequel le filtre additionnel F A m présente l’indicateur de panne satellite R A m minimum. En effet, les différents filtres additionnels F A 1 ,…,F A M utilisés permettent de tester différentes hypothèses de quarantaine. Le filtre additionnel associé à l'hypothèse de quarantaine correcte est celui qui simule l’exclusion du satellite défaillant S x . Il présentera donc l’indicateur de panne satellite le plus faible à l’issue de la période de quarantaine. Pour le nombre de filtres additionnels utilisés en parallèle , plusieurs modes de réalisation peuvent être envisagés. Il peut être envisagé d'utiliser autant de filtres additionnels qu'il y a de satellites dans l’ensemble de satellites (c'est-à-dire M=N). Dans ce cas, tous les satellites S 1 ,...,S N sont identifiés comme supposés défaillants, et les filtres additionnels F A 1 ,...,F A N simulent l'exclusion de chacun d'entre eux pour identifier le satellite défaillant S x . En variante, le nombre de filtres additionnels peut correspondre au nombre de filtres secondaires dont l'indicateur de panne satellite est supérieur au seuil de détection λ det . Lorsque plusieurs filtres secondaires présentent des indicateurs de panne satellite supérieurs au seuil λ det , il existe une ambiguïté quant au satellite défaillant. Plusieurs satellites sont potentiellement défaillants. Pour arbitrer rapidement entre ces différents satellites et limiter la quantité de ressources nécessaires, il est pertinent d’utiliser autant de filtres additionnels qu’il y a de filtres secondaires dont l'indicateur de panne satellite est supérieur à un seuil. Un tel mode de réalisation permet de réaliser un compromis avantageux entre la rapidité d'identification du satellite défaillant et la quantité de ressources nécessaires pour mettre en œuvre la solution proposée. Variantes additionnelles : Un homme du métier comprendra que les variantes et modes de réalisation décrits ci-dessus ne constituent que des exemples non limitatifs de mise en œuvre de l’invention. En particulier, l’homme du métier pourra envisager une quelconque adaptation ou combinaison des modes de réalisation et variantes décrits ci-dessus afin de répondre à un besoin bien particulier. Il est également à noter que l’ordre dans lequel s’enchaînent les étapes d’un procédé conforme à l’invention, notamment en référence aux dessins ci-joints, ne constitue qu’un exemple de réalisation dépourvu de tout caractère limitatif, des variantes étant possibles. En particulier, un procédé conforme à l’invention peut comprendre une ou plusieurs itérations des étapes décrites ci-dessus, notamment en référence aux dessins ci-joints. Par ailleurs, les signes de référence ne limitent pas l’étendue de la protection, leur unique fonction étant de faciliter la compréhension des revendications. Enfin, le terme module peut correspondre aussi bien à un composant logiciel qu’à un composant matériel ou à un ensemble de composants matériels et logiciels, un composant logiciel correspondant lui-même à un ou plusieurs programmes ou sous-programmes d’ordinateur ou de manière plus générale à tout élément d’un programme apte à mettre en œuvre une fonction ou un ensemble de fonctions telles que décrites pour les modules concernés. De la même manière, un composant matériel correspond à tout élément d’un ensemble matériel (ou hardware) apte à mettre en œuvre une fonction ou un ensemble de fonctions pour le module concerné (circuit intégré, carte à puce, carte à mémoire, etc.). Procédé mis en œuvre par un dispositif (APP) comprenant une pluralité de filtres de Kalman Fs 1 ,…,Fs N , chaque filtre Fs i déterminant des données de navigation (NAV) d’un mobile (AC) à partir de pseudo-distances (PR) relatives à un ensemble de satellites S 1 ,…,S N à l’exception du satellite S i , le procédé comprenant une étape consistant à identifier (S300) un satellite défaillant S x parmi l’ensemble de satellites S 1 ,…,S N , cette étape (S300) comprenant pour au moins un satellite S j supposé défaillant : une étape consistant à configurer (S320) un filtre de Kalman additionnel F A à partir du filtre Fs k excluant un satellite S k distinct du satellite S j supposé défaillant et dont un indicateur de panne satellite Rs k est maximum ; une étape consistant à réinitialiser (S330) le filtre additionnel F A , ce filtre additionnel F A excluant le satellite S j supposé défaillant ; et une étape consistant à déterminer (S350) si le satellite S j est défaillant en fonction d’un indicateur de panne satellite R A du filtre additionnel F A calculé après une durée déterminée (TE). Procédé selon la revendication 1, dans lequel un dit indicateur de panne satellite est un rapport d’innovation croisée. Procédé selon la revendication 1 ou 2, dans lequel ladite étape consistant à identifier (S300) le satellite défaillant S x comprend lesdites étapes consistant à configurer (S320), à réinitialiser (S330), et à déterminer (S350), uniquement si plusieurs des filtres Fs 1, …,Fs N présentent des indicateurs de panne satellite supérieurs à un seuil (λ det ). Procédé selon l’une quelconque des revendications 1 à 3, dans lequel le satellite S j supposé défaillant correspond au satellite étant associé au filtre Fs j dont un indicateur de panne satellite Rs j est maximum et n’ayant pas été préalablement supposé défaillant. Procédé selon la revendication 4, dans lequel : si l’indicateur de panne satellite R A du filtre additionnel F A est inférieur à un seuil (λ det ), le satellite S j supposé défaillant est déterminé (S350) comme étant défaillant ; et sinon, un autre satellite S j’ est supposé défaillant, et lesdites étapes consistant à configurer (S320), à réinitialiser (S330), et à déterminer (S350) sont réitérées. Procédé selon l’une quelconque des revendications 1 à 3, dans lequel plusieurs satellites S j 1 ,…,S j M sont supposés défaillants, et plusieurs filtres additionnels F A 1 ,…,F A M sont configurés (S320) et réinitialisés (S330). Procédé selon la revendication 6, dans lequel le satellite S j m supposé défaillant, pour lequel le filtre additionnel F A m présente l’indicateur de panne satellite R A m minimum, est déterminé (S350) comme étant défaillant. Procédé selon la revendication 6 ou 7, dans lequel les satellites S j 1 ,…,S j M supposés défaillants correspondent aux satellites associés aux filtres Fs j 1 ,…,Fs j M dont des indicateurs de panne satellite Rs j 1 ,…,Rs j M sont supérieurs à un seuil (λ det ). Dispositif (APP) comprenant une pluralité de filtres de Kalman Fs 1 ,…,Fs N , chaque filtre Fs i déterminant des données de navigation (NAV) d’un mobile (AC) à partir de pseudo-distances (PR) relatives à un ensemble de satellites S 1 ,…,S N à l’exception du satellite S i , le dispositif (APP) comprenant un module (EXCL) configuré pour identifier (S300) un satellite défaillant S x parmi l’ensemble de satellites S 1 ,…,S N , ce module (EXCL) étant configuré pour : configurer (S320) un filtre de Kalman additionnel F A à partir du filtre Fs k excluant un satellite S k distinct d’un satellite S j supposé défaillant et dont un indicateur de panne satellite Rs k est maximum ; réinitialiser (S330) le filtre additionnel F A , ce filtre additionnel F A excluant le satellite S j supposé défaillant ; et déterminer (S350) si le satellite S j est défaillant en fonction d’un indicateur de panne satellite R A du filtre additionnel F A calculé après une durée déterminée (TE). Système de navigation (SYS) destiné à être embarqué dans un mobile (AC) comprenant : un récepteur (GNSS) de positionnement par satellites configuré pour fournir des pseudo-distances relatives à un ensemble de satellites S 1 ,…,S N ; et un dispositif (APP) selon la revendication 9. Engin mobile (AC) comprenant un système de navigation (SYS) selon la revendication 10. Programme d’ordinateur (PROG) comprenant des instructions pour mettre en œuvre les étapes d’un procédé selon l’une quelconque des revendications 1 à 8, lorsque ledit programme d’ordinateur (PROG) est exécuté par au moins un processeur (PROC).