FR 2582127 A1 19861121 FR 8504852 A 19850329 La présente invention a pour objet un procédé et un dispositif de surveillance d'une station d'un système d'aide à l'atterrissage de type MLS (pour "Microwave Landing System" c'est-à-dire système d'atterrissage hyperfréquence), dont les circuits d'émission sont doublés. Les systèmes d'aide à la navigation aérienne, et plus particu- lièrement les systèmes d'atterrissage, doivent offrir le maximum de sécurité, du fait de leur fonction. La structure de ces systèmes comprend alors les fonctions suivantes: - un ensemble de circuits d'émission du signal de guidage - un aérien; - un dispositif de surveillance. Le dispositif de surveillance est chargé de vérifier la conformité des paramètres du signal de guidage émis avec les normes édictées par l'O.A.C. I. (Organisation de l'Aviation Civile Internationale). En cas d'écart trop important, le dispositif de surveillance doit arrêter l'émission. Il est connu, notamment pour les systèmes d'aide à l'atterris- sage de type ILS (pour "Instrument Landing System" c'est-à-dire système d'atterrissage aux instruments), de doubler les ensembles d'émission afin d'augmenter la disponibilité de l'ensemble du sys- tème. Une telle configuration est représentée sur la figure 1. Sur cette figure 1, les deux ensembles d'émission distincts sont repérés 1 et 2; ils peuvent être l'un ou l'autre connectés à un aérien grâce à un dispositif de commutation 3; l'autre ensemble d'émis- sion est alors connecté à une charge 4. Le système comporte en outre deux dispositifs de surveillance: le premier, repéré 7, est affecté à la surveillance de l'ensemble d'émission en service, c'est- à-dire celui qui est réuni à l'aérien 5 à un instant donné; le second, repéré 6, est affecté à la surveillance de l'ensemble d'émission de secours, c'est-à-dire celui qui est relié à la charge 4. Le fonctionnement des deux ensembles d'émission 1 et 2 est surveillé en permanence par les deux dispositifs 6 et 7. Lorsque, par exemple, l'ensemble d'émission en service présente une défectuosité, son dispositif de surveillance (7) provoque, par l'intermédiaire d'un dispositif logique de commande non représenté sur la figure 1, la commutation (3) sur l'aérien 5 de l'autre ensemble d'émission, précédemment en secours; l'ensemble d'émission précédemment en service est alors soit basculé sur la charge, soit arrêté complè- tement, selon la gravité de la défectuosité constatée. Il apparaît qu'une telle structure fait donc appel à deux dispositifs de surveillance (6 et 7). Cette structure est couramment utilisée pour le système ILS. Il est également utilisable pour un système de type MLS. Toutefois, ce dernier possède la caractéristique, par rapport au système ILS, d'être conçu autour d'une antenne à balayage électronique. Le système précédent présente alors l'inconvénient de ne pas permettre la vérification du fonctionnement global de l'ensemble d'émission en service en association avec l'antenne à balayage électronique et, a fortiori, la vérification du fonctionnement global de l'ensemble d'émission en secours en association avec cette même antenne, ce qui est une lacune importante du fait des relatives sophistication et fragilité d'une telle antenne. La présente invention a pour objet un procédé et un dispositif qui soient adaptés au système MLS, c'est-à-dire qui en surveillent tous les constituants, y compris l'antenne à balayage électronique, et, ce, dans des conditions opérationnelles. Elle consiste principalement à utiliser deux ensembles d'émis- sion distincts, connectés alternativement par des moyens de surveil- lance à l'antenne de balayage électronique, et des moyens captant le signal effectivement émis par cette antenne; les signaux captés sont testés par les moyens de surveillance, qui commandent alors la commutation des ensembles d'émission et les déclare, le cas échéant, indisponibles. D'autres objets, particularités et résultats de l'invention res- sortiront de la description suivante, illustrée par les dessins annexés qui représentent: - la figure 1, déjà décrite, un système de surveillance selon l'art antérieur; - la figure 2, le schéma synoptique d'une station d'un système du type MLS; - la figure 3, le schéma du dispositif de surveillance selon l'invention dans ses relations avec différents éléments constituant une station MLS; - les figures 4 a à c, différents diagrammes se rapportant au fonctionnement du dispositif selon l'invention. Sur ces différentes figures, les mêmes références se rappor- tent aux mêmes éléments. La figure 2 est donc le schéma synoptique général d'une station de type MLS, en dehors de tous moyens de surveillance du fonctionnement de la station. On rappelle que le système MLS est un système permettant d'aider un avion à l'atterrissage en lui - fournissant différentes informations, appelées "fonctions", telle que son angle d'azimut par rapport à l'axe de la piste, son angle de site par rapport à l'horizontale, éventuellement d'autres fonctions annexes et un certain nombre de données, les unes dites de base et les autres dites auxiliaires. Ces différentes informations sont émises à partir du sol en permanence et selon une succession, ou "cycle", prédéfinie et répétitive, en multiplexage temporel sur une même fréquence, selon des caractéristiques normalisées par l'O.A.C.I.. Ces informations sont décodées par chaque avion intéressé. Chacune des fonctions précédentes se décompose en deux parties, émises successivement et constituant un "module": - un préambule, dont le rôle est de fournir à l'avion une identification de la fonction qui va suivre; ce préambule est émis par une antenne dite sectorielle, c'est-à-dire une antenne fixe émettant dans l'ensemble de la zone, ou secteur, que le système MLS doit couvrir; ce préambule se présente sous la forme d'un mot binaire, émis en modulation de phase DPSK; - la fonction proprement dite: dans le cas o cette fonction est une donnée, elle est émise par l'antenne sectorielle, également en modulation de phase DPSK; dans le cas ou cette fonction est une information angulaire, elle est fournie par le balayage angulaire de tout le secteur de couverture du système MLS par un faisceau étroit, en aller puis en retour, réalisé à l'aide d'une antenne à balayage électronique, selon le principe dit du faisceau battant à référence temporelle. Un système MLS comporte une pluralité de stations, en général une par fonction angulaire, certaines de ces stations assurant de plus l'émission des données. Le schéma de la figure 1 comporte un émetteur 10 d'une onde à environ 5 GHz, dirigée par l'intermédiaire d'un circuit de commu- tation 11 soit vers une antenne sectorielle 12, soit vers une antenne à balayage électronique 13, soit vers (flèche 15) d'autres antennes annexes (antennes dites OCI par exemple). Les éléments 10, Il et 13 sont commandés par un organe de commande 14. Plus précisément, l'émetteur 10 comporte, connectés en cas- - cade: - un générateur de fréquence, fournissant une onde voisine de GHz; - un modulateur de phase, réalisant la modulation DPSK, permettant d'émettre le préambule et les données sur commande de l'organe 14; - un circuit de commande marche/arrêt, réalisé par exemple par un modulateur d'amplitude, également commandé par l'organe 14; - un émetteur de puissance, chargé de fournir la puissance requise, classiquement de l'ordre de 20 Watts. L'antenne à balayage électronique 13 comporte classiquement les éléments suivants: N éléments rayonnants; des déphaseurs numériques alimentant les éléments rayonnants; un diviseur de puissance par N, recevant l'énergie fournie par l'émetteur 10, et un circuit de commande des déphaseurs numériques. L'organe de commande 14 a pour fonction principalement d'assurer la commande des blocs précédents, notamment d'assurer la fonction logique de balayage pour l'antenne 13 et assurer la liaison avec les autres stations du système MLS à des fins de synchro- nisation. Il est réalisé par exemple à l'aide d'un microprocesseur. La figure 3, représente schématiquement le dispositif de surveillance selon l'invention dans ses relations avec différents éléments constitutifs d'une station MLS. Sur cette figure, on retrouve donc l'antenne à balayage élec- tronique 13 et on a schématisé par une boîte E1 l'ensemble des blocs émetteur 10 et commande 14 de la figure 2; cette boîte E1 est appelée ensemble d'émission. La station MLS comporte deux tels ensembles d'émission, le second étant repéré E2; ces deux ensembles sont susceptibles d'être reliés à l'antenne à balayage 13 et aux autres antennes de la station MLS (flèche 26) par l'intermédiaire d'un ensemble de circuits de commutation repérés globalement 20; cet ensemble 20 peut être constitué à partir du circuit de com- mutation d'antennes 11 de la figure 2. Le système de la figure 3 comporte en outre des moyens de surveillance S, recevant un certain nombre d'informations et, notamment, le signal émis par l'antenne 13 tel que reçu par un capteur C. Ce capteur C peut être constitué soit par un capteur externe, par exemple du type cornet analogue au récepteur porté par les avions à guider, placé à quelques dizaines de mètres de l'antenne 13; il peut être constitué également, alternativement ou cumulativement avec le précédent, d'un dispositif de prélèvement du signal situé au niveau de l'antenne à balayage elle même, connu sous le nom de "moniteur intégral". Les moyens de surveillance S se décomposent en un ensemble de circuits appelés globalement "moniteur" et repérés M et un ensemble de circuits globalement appelés "transfert" et repérés T. Le moniteur M a pour fonction d'effectuer des tests prédéfinis sur les informations qu'il reçoit de différents capteurs, c'est-à-dire d'effectuer des mesures sur ces informations et de les comparer à des valeurs de référence qu'il a en mémoire; lorsque les différences entre les résultats de mesures et les valeurs de référence excèdent des limites prédéfinies, le moni- teur M fournit une alarme au transfert T, indiquant à ce dernier que l'ensemble d'émission en service (E1 ou E2) est défectueux. Afin d'améliorer la fiabilité du système, le moniteur M peut être doublé, ou plus. Le transfert T est un organe de commande, qui gère la commutation (ou "transfert") des ensembles E1 et E2 sur l'antenne 13, en fonction du choix du responsable de la gestion de la station MLS, choix portant notamment sur l'ensemble d'émission norma- lement en service et sur le programme de tests à utiliser, du - programme de tests choisi et des alarmes reçues. Plus précisément, le moniteur M reçoit sur une entrée 21 le signal capté par le capteur C; il peut également recevoir des informations sur d'autres entrées, globalement repérées 22, provenant d'autres capteurs qui prélèvent de toute façon connue, à leur sortie, les différents signaux engendrés par la station MLS, tels que la commande des déphaseurs, le signal DPSK, le signal de liaison avec les autres stations, etc. Dans une variante de réalisation, le moniteur M reçoit en outre sur une entrée 25 des informations de contrôle provenant du commutateur 20, permettant de vérifier le fonctionnement effectif de ce dernier. Le dispositif de transfert T reçoit les alarmes (AI) fournies par le moniteur M, des informations de fin de cycle (FC) de chacun des ensembles d'émission El et E2 à tour de rôle, et il peut recevoir des informations extérieures (des commandes) sur une entrée 23. Ces commandes extérieures proviennent d'un opérateur situé soit dans la station, soit à distance, dans la tour de contrôle par exemple: il s'agit alors de télécommandes; elles portent notamment sur l'ordre de marche/arrêt de la station, le mode de fonctionnement automa- tique ou manuel (dans lequel l'effet des alarmes est inhibé) de la 2582 1 27 station, le choix d'un programme de tests, éventuellement le choix de l'un des ensembles E1 et E2 pour assurer l'émission normale de la station, en dehors des périodes de tests de l'autre ensemble. Le transfert fournit (flèche 24) au dispositif de commutation 20 l'ordre de sélection de l'ensemble E1 ou de l'ensemble E2; il fournit également à chacun des ensembles E1 et E2 un ordre de marche/ arrêt (M/A). Les alarmes (AI) fournies par le moniteur M au transfert T sont, dans ce mode de réalisation, de plusieurs types: - des alarmes dites primaires, qui sont des alarmes graves indiquant une détérioration du signal telle que l'émission de l'ensem- ble en service doit être arrêtée; ce type d'alarme est déclenché par exemple lorsque l'erreur d'indication angulaire devient supérieure à un seuil prédéfini, lorsque le taux d'erreur dans le préambule devient supérieur à un certain seuil, lorsque se produit un recouvrement des différentes fonctions MLS; - des alarmes dites secondaires, qui correspondent à des défectuosités ne nécessitant pas un arrêt de l'émission mais qu'il est nécessaire de tenter de faire cesser par le choix du meilleur des deux ensembles disponibles; elles concernent des paramètres de moindre importance ou elles constituent des avertissements à une alarme primaire future, telle qu'une baisse de la puissance d'émis- sion; - des pré-alarmes, qui sont associées aux alarmes primaires et aux alarmes secondaires et qui sont déclenchées sur un seuil inférieur au seuil de déclenchement des précédentes; elles n'ont pas d'action sur le fonctionnement mais sont seulement mémorisées à des fins de maintenance; des "désaccords" entre deux ou plusieurs moniteurs, lorsque le moniteur M est multiplié. On a représenté sur la figure 4 différents diagrammes illus- trant en fonction du temps (t) le mode de commutation d'un ensemble d'émission à l'autre dans le système selon l'invention. La figure 4a, représente un cas de fonctionnement normal. L'un des ensembles d'émission, par exemple l'ensemble El, est utilisé comme ensemble normalement en service et émet successivement ses informations, cycle après cycle. On a représenté à titre d'exemple quatre cycles MLS dont l'un est repéré Ci. A un instant tl, qui correspond à une fin de cycle, l'ensemble d'émission en service (E1) envoie un signal de fin de cycle (FC) au circuit de transfert T; celui-ci commande (commande 24) au circuit de commutation 20 de connecter l'ensemble de secours (dans notre exemple l'ensemble E2) aux antennes et notamment à l'antenne à balayage 13, et ce pour un nombre entier et limité de cycles: dans l'exemple de la figure t4a, pour trois cycles, le troisième s'achevant à un instant t2. A ce moment, l'ensemble E2 envoie à son tour une information de fin de cycle (FC) au circuit de transfert T qui commande alors, par l'intermédiaire du circuit de commutation 20, la reconnexion du premier ensemble (E1) à l'antenne 13. De la sorte, chacun des deux ensembles d'émission El et E2 est connecté alternativement aux antennes et peut être testé dans tous ses paramètres. Dans le mode de fonctionnement décrit ci-dessus, l'ensemble de secours n'est donc connecté à l'antenne 13 que pour quelques cycles, afin d'être testé, l'ensemble en service assurant la majeure partie des émissions. D'autres modes de fonctionnement sont bien entendu possibles, dans lesquels l'émission normale de la station est répartie entre les deux ensembles d'émission, selon une proportion choisie par l'opérateur. Le diagramme de la figure 4b illustre un cas de détection d'alarme primaire. 3usqu'à l'instant t3, l'ensemble en service (par exemple toujours l'ensemble E1) fonctionne de façon satisfaisante. Le dernier cycle avant l'instant t3 est repéré CI. A l'instant t3 commence un cycle C2 au cours duquel intervient, à un instant t4, une alarme primaire A1 détectée par le moniteur M. Selon l'in- vention, le transfert T commande alors instantanément, sans attendre la fin du cycle MLS, la commutation de l'ensemble de secours (E2) sur les antennes: en effet, ainsi qu'il l'a été dit plus haut, une alarme primaire correspond à une défectuosité telle que le fonctionnement de la station, ou au moins de son ensemble d'émis- sion, doit être arrêté afin de ne pas diffuser une information erronée. A ce moment, l'ensemble E2 devient l'ensemble en service et, ce, de façon en principe définitive, sous réserve d'une alarme primaire intervenant utilérieurement sur l'ensemble E2, cette dernière alarme entraînant alors l'arrêt de la station. Le diagramme de la figure 4c illustre le cas d'une alarme secondaire. Jusqu'à un instant t5, l'ensemble en service (E1, par exemple) fonctionne de façon satisfaisante. A l'instant t5 commence un cycle repéré C3 au cours duquel, à un instant t6, une alarme secondaire est fournie par le moniteur M à destination du transfert T. Dans ce cas, contrairement au cas de la figure 4b, le transfert T attend de recevoir une information de fin de cycle FC, ce qui arrive à un instant t7, avant de commander la commutation des antennes (notamment 13) sur l'ensemble de secours (E2). A partir de l'instant t7, c'est l'ensemble de secours (E2) qui assure l'émission de la station et qui devient l'ensemble en service. Les commutations systéma- tiques à des fins de tests continuent néanmoins à être effectuées de façon à permettre de reconsidérer périodiquement l'état de l'ensemble précédemment en service (E1). Les états respectifs des deux ensembles E1 et E2, qui sont ainsi connus de façon séquen- tielle, sont mémorisés et comparés en permanence et c'est le meilleur des deux ensembles qui est relié aux antennes, l'autre ensemble continuant à être testé périodiquement, tant que n'ap- paraît pas une alarme primaire. Dans un mode de réalisation, si les deux ensembles sont dans le même état (absence d'alarme ou alarme secondaire), le transfert T commande le retour sur l'ensemble initial (E1). Parallèlement à ce qui précède, dans un mode de réalisation, toutes les alarmes secondaires relatives à un même ensemble E sont regroupées et le choix du meilleur ensemble se fait en fonction de la présence ou de l'absence d'alarme(s) secondaire(s). Dans un autre mode de réalisation, le choix du meilleur ensemble d'émission est effectué, de façon plus élaborée, en fonction du nombre d'alarmes secondaires enregistrées pour chaque ensemble, nombre éventuel- lement pondéré par un coefficient de qualité prédéfini. Afin de commander le fonctionnement décrit figure 4, le transfert T reçoit, ainsi qu'il est dit ci-dessus, l'ensemble des alarmes primaires, qu'il regroupe, l'ensemble des alarmes secon- daires, qu'il regroupe ou non selon le mode de fonctionnement retenu, des commandes extérieures (entrée 23) qui lui permettent notamment d'initialiser le système et de commander sa marche/ arrêt. Il est constitué par un circuit logique formé à partir d'un tableau du type table de vérité, donnant la correspondance entre les signaux reçus en entrée et les fonctionnements désirés dans les différents cas possibles, fonctionnements tels que marche/arrêt de l'ensemble El, marche/arrêt de l'ensemble E2, commande de com- mutation de l'ensemble El vers l'ensemble E2 ou réciproquement. Un ensemble tel que T peut être réalisé à l'aide d'un microprocesseur ou par circuits logiques câblés. Par ailleurs, il est à noter que certaines anomalies ne donnent pas lieu immédiatement à une alarme: elles sont filtrées et l'alarme correspondante n'apparaît, le cas échéant, qu'après une durée To. Lors d'une commutation d'un ensemble d'émission E sur l'autre, il est donc nécessaire d'inhiber pendant la durée To les éventuelles alarmes émises par le moniteur M à l'intention du transfert T: on ne saurait pas en effet, pendant la durée To, à quel ensemble d'émission l'attribuer. Ce retard To imposé à certaines alarmes doit toutefois être déterminé de sorte à être compatible avec la réglementation de l'O.A.C.I. concernant la durée maximale tolérée pour une émission hors normes. Il ressort de ce qui précède que chacun des ensembles d'émis- sion E1 et E2 fonctionne à tour de rôle, la commutation (systé- matique) se faisant en principe en fin du cycle MLS, sauf en cas d'alarme primaire o l'ensemble de secours est immédiatement mis en service, mais reprend dans tous les cas le cycle interrompu à son début. Ce mode de fonctionnement a le double avantage de permet- Il tre de tester les deux ensembles d'émission et d'éviter toute nécessité de synchronisation entre les ensembles, tout en offrant à l'avion un signal sans discontinuité lorsqu'il n'apparaît pas de défec- tuosité grave. En effet, le signal de fin de cycle FC n'est pas un signal de synchronisation mais une référence temporelle indiquant l'instant auquel doit être effectuée la commutation. Par ailleurs, il est à noter que la commutation n'a pas obligatoirement à être faite en fin de cycle MLS: elle peut être réalisée à tout moment à condition de ne pas perturber l'émission de la station MLS au delà de ce qui est admis par les normes O.A.C.I.. A titre d'exemple, la commutation systématique peut être réalisée au milieu d'un cycle, mais à la fin d'un module. Le système selon l'invention présente en outre les avantages suivants: il contr8ôle le signal émis réellement par les antennes par l'ensemble en service; - il contrôle en outre le signal émis par l'ensemble de secours sur les mêmes antennes, également en conditions opérationnelles, ces deux aspects étant particulièrement important dans le cas o une antenne à balayage électronique est concernée; - il ne nécessite qu'un seul moniteur M, ce qui permet, d'une part, une diminution des coats de matériel par rapport à un système tel que celui de la figure 1 et, d'autre part, les fonctions de surveillance étant également remplies par rapport au système de la figure 1, une amélioration de la fiabilité de l'ensemble du système; - le moniteur M peut être par ailleurs doublé (ou plus), en parallèle, mais uniquement pour améliorer la fiabilité du système; - l'ensemble d'émission considéré comme "secours" est contrôlé par conception par un moniteur de même intégrité (simple, doublé, ou plus) que l'ensemble en service. La description qui a été faite ci-dessus l'a été bien entendu à titre d'exemple non limitatif. C'est ainsi notamment qu'on a décrit une station MLS comportant deux ensembles d'émission (E1 et E2), mais que ceux-ci peuvent être multipliés sans modifier le fonction- nement du procédé/dispositif de surveillance selon l'invention. C'est ainsi également qu'on a décrit une information FC donnée à la fin d'un cycle, mais elle peut être fournie à tout moment, sous réserve que l'organe destinataire (le transfert T) recalcule en conséquence l'instant de fin de cycle. REVENDICATIONS 1. Procédé de surveillance d'une station d'un système d'aide à l'atterrissage de type MLS, la station émettant des informations MLS regroupées en cycles identiques et comportant: - une antenne à (13) balayage électronique; - deux ensembles (El, E2) d'émission d'informations MLS; - des moyens de commutation (20) assurant la liaison des ensembles d'émission à l'antenne; - des moyens de surveillance (S) du fonctionnement de la station; le procédé étant caractérisé par le fait qu'en fonction- nement normal, les deux ensembles d'émission (E1, E2) sont reliés alternativement à l'antenne (13); que la station comporte en outre des moyens (C) captant le signal émis par l'antenne (13), et que les moyens de surveillance (S) assurent le test des signaux fournis par les moyens de captation (C) et, lorsqu'une défectuosité de fonction- nement est détectée, commande en conséquence la commutation des ensembles d'émission. 2. Procédé selon la revendication 1, caractérisé par le fait que, en fonctionnement normal, la commutation intervient en fin de cycle. 3. Procédé selon l'une des revendications précédentes, carac- térisé par le fait que les défectuosités de fonctionnement sont classées en catégories, et que le classement comporte des alarmes primaires dont l'apparition entraîne la commutation immédiate des ensembles d'émission. 4. Procédé selon la revendication 3, caractérisé par le fait que la commutation des ensembles d'émission provoquées par l'apparition d'une alarme primaire est définitive, l'ensemble ayant fait l'objet de l'alarme étant arrêté. 5. Procédé selon l'une des revendications précédentes, carac- térisé par le fait que les défectuosités sont classées en catégories et que le classement comporte des alarmes secondaires dont l'appa- rition entraîne la commutation des ensembles d'émission à la fin du cycle en cours. 6. Procédé selon l'une des revendications précédentes, carac- térisé par le fait que lorsqu'un ensemble d'émission est mis en service après détection d'une défectuosité de fonctionnement, il commence son émission en début de cycle. 7. Procédé selon la revendication 5, caractérisé par le fait qu'il comporte une étape de mémorisation des alarmes secondaires, permettant la comparaison des deux ensembles à chaque instant. 8. Procédé selon la revendication 7, caractérisé par le fait quQ lorsque les dcieux ensembles d'émission ont donné naissance à des alarmes secondaires, la commutation des ensembles est réalisée comme en fonctionnement normal. 9. Procédé selon l'une des revendications précédentes, carac- térisé par le fait que, en fonctionnement normal, l'un des ensembles d'émission assure la majeure partie des cycles MLS, l'autre ensemble étant considéré comme un ensemble de secours et mis en service périodiquement, pour un nombre limité de cycles. 10. Dispositif de surveillance pour la mise en oeuvre du procédé selon l'une des revendications précédentes, caractérisé par le fait que les moyens de surveillance qu'il comporte, comportent euxmêmes: - un ensemble dit moniteur (M), recevant le signal émis par l'antenne, réalisant des tests de fonctionnement sur ce signal et engeandrant le cas échéant des alarmes; - un ensemble dit transfert (T), recevant les alarmes et assurant la commande de la commutation des ensembles d'émission.