FR 2713791 A1 19950616 FR 9314978 A 19931214 La présente invention concerne un procédé et un dispositif pour détecter des incohérences d'opérations dans un système à phases de fonctionnement multiples impliquant un ou plusieurs opérateurs. Par "système à phases de fonctionne- ment multiples", on entend dans le cadre de la présente invention tout système complexe, tel que par exemple un chemin de fer, une centrale nucléaire, un hélicoptère, un avion, etc..., dont le fonctionnement est contrôlé par un ou plusieurs opérateurs. Bien que la présente invention soit ainsi applicable à de nombreux systèmes, elle sera plus particulièrement décrite ci-après dans le cadre d'un avion, plus particulièrement un avion de transport, dont le fonctionnement est contrôlé par un équipage. L'analyse d'accidents ou d'incidents survenus dans des avions de transport civils révèle qu'une large proportion de ceux-ci a pour cause une erreur, et souvent même plusieurs erreurs successives, imputables à l'équipage de conduite. Souvent, cette analyse révèle la présence de trois caracté- ristiques générales, à savoir une accumulation d'erreurs élémentaires commises par l'équipage, des écarts importants qui en résultent pour certains paramètres caractéristiques par rapport au fonctionnement normal et une durée importante entre l'instant o ces erreurs sont commises et l'apparition effective d'un incident dommageable qui en est la consé- quence. La présence de ces mêmes caractéristiques générales a été relevée lors de l'analyse d'incidents survenus dans beaucoup d'autres systèmes. L'objet de la présente invention est donc de détecter des anomalies intervenant dans le fonctionnement, la mise en oeuvre et la conduite d'un système et d'en avertir les opérateurs pour qu'ils rectifient ces anomalies avant l'apparition d'un incident dommageable. On remarquera que l'on connaît déjà, dans de nombreux systèmes, des dispositifs destinés à avertir les opérateurs de diverses anomalies, comme par exemple l'existence d'un capteur défaillant identifiée par la comparaison de plusieurs capteurs redondants. Toutefois, ces dispositifs ne permettent généralement que le contrôle de certains cas spécifiques révélés par l'expérience opérationnelle. Ils ne permettent pas un contrôle continu et, dans son principe très exhaustif, de l'état global du système, tenant compte à la fois de son fonctionnement et des exigences propres à sa mission. Par ailleurs, dans le cas d'un avion par exemple, les erreurs commises par l'équipage proviennent souvent d'une représentation mentale erronée de l'état réel de l'avion, cette représentation erronée conduisant alors l'équipage à prendre des mesures qui ne sont pas cohérentes avec l'état réel de l'avion ou avec sa phase de vol, comme par exemple effectuer une conduite incohérente avec la conduite normale de la phase d'approche finale ou entreprendre des actions de sauvegarde incompatibles avec le type d'anomalie de fonc- tionnement rencontré. La présente invention a donc plus particulièrement pour objet de vérifier, de façon continue, que le système se trouve bien à l'intérieur des domaines requis pour la phase de fonctionnement actuelle dudit système. A cette fin, selon l'invention, le procédé pour détecter des incohérences dans le fonctionnement d'un système & phases de fonctionnement multiples, contrôlé par un ou plusieurs opérateurs, chacune desdites phases correspondant à un domaine partiel du fonctionnement et l'ensemble desdites phases recouvrant la totalité dudit fonctionnement, est remarquable en ce que: - on détermine la phase de fonctionnement actuelle dudit système; - pour ladite phase déterminée, on se réfère à au moins un modèle théorique, mathématique ou logique, représentatif d'au moins une spécificité du système, à savoir son fonctionnement ou sa compatibilité avec l'environnement; - on détecte la valeur effective des variables utilisées dans ledit modèle théorique; - on compare lesdites valeurs effectives détectées à des données théoriques, à savoir des plages de valeurs admis- sibles ou des lois, définies dans ledit modèle théorique; et - on signale toute incompatibilité détectée lors de ces comparaisons et la nature de cette incompatibilité. Ainsi, la surveillance continue du système est rendue possible, selon l'invention, en considérant la phase de fonctionnement actuelle, dans laquelle le système se simpli- fie assez pour que le contrôle d'un nombre limité de va- riables caractéristiques soit suffisant, le contrôle d'un25 tel nombre limité de variables étant possible en pratique. De plus, comme, grâce à l'invention, on peut détecter la ou les variables caractéristiques dont les valeurs ne corres- pondent pas à celles d'un fonctionnement normal, on est en mesure de définir clairement la nature de l'anomalie consta-30 tée et de l'annoncer, ainsi, de façon explicite aux opéra- teurs. Par ailleurs, on peut même envisager, dans le but de perfec- tionner le procédé selon l'invention, de préciser aux opérateurs les rectifications à apporter ou les démarches à suivre pour corriger le plus rapidement et le plus efficace- ment possible ladite anomalie. Dans le cas d'un avion de transport, les modèles prédéfinis, déterminant les lois mathématiques et/ou les plages de valeurs admissibles pour les variables caractéristiques, peuvent être de plusieurs types. Il peut s'agir, notamment, d'un ou de plusieurs modèles de chacun des trois types différents suivants: - modèles décrivant le fonctionnement de l'avion et de ses systèmes; - modèles décrivant des procédures opérationnelles requises ou recommandées et des contraintes y afférentes; - modèles décrivant des contraintes liées à l'environnement. Ces exemples ne sont toutefois pas limitatifs, d'autres types de modèles pouvant trouver une application judicieuse dans le cadre de la présente invention. A titre d'exemple, les modèles de contraintes liées à l'environnement peuvent, par exemple, comprendre: - un modèle contenant les altitudes minimales à respecter suivant les conditions et les phases de vol pour éviter toute collision avec le relief; et - deux modèles susceptibles d'exploiter, au décollage et/ou à l'atterrissage, des informations relatives aux caracté- ristiques et à l'état de la piste utilisée et les informa- tions atmosphériques pertinentes pour la phase de vol considérée. Pour la mise en oeuvre du procédé conforme à l'invention, on prévoit, de façon avantageuse, un dispositif qui comporte: - un détecteur de phase, déterminant la phase de fonctionne- ment actuelle; - un ensemble de calculateurs périphériques stockant des modèles théoriques, mathématiques et/ou logiques, représentatifs du système, c'est-à-dire plus précisément de son fonctionnement et/ou de sa compatibilité avec l'environnement; - un ensemble de capteurs, détectant les valeurs effectives des variables intervenant dans ces modèles; et - un calculateur principal doté d'un programme de calcul répétitif opérant à une cadence appropriée à la vitesse d'évolution du système et susceptible, en fonction de la phase de fonctionnement actuelle communiquée par le détecteur de phase, de rechercher et de retenir les incohérences dans le fonctionnement du système ou avec son environnement, en injectant dans les modèles appropriés à ladite phase actuelle les valeurs détectées par lesdits capteurs et en vérifiant la cohérence avec des données théoriques, à savoir des plages de fonctionnement ou des lois, définies dans ces modèles. Ainsi, dès qu'une variable caractéristique de la phase de fonctionnement actuelle sort des limites qui lui sont fixées, ledit calculateur principal en est informé, en relevant l'incompatibilité de la valeur détectée de cette variable avec la plage de valeurs admissibles ou la loi correspondante. De préférence, le dispositif conforme & l'invention est passif et n'intervient pas dans les boucles de commande du système. Il n'exerce, par exemple, aucune fonction de pilotage automatique. Ceci permet audit dispositif de rester indépendant d'éléments du système qui sont susceptibles d'être contrôlés lors de la mise en oeuvre du procédé conforme à l'invention. La réalisation dudit dispositif peut se faire sur des bases purement algorithmiques et/ou faire appel à l'intelligence artificielle. De façon avantageuse, le dispositif conforme à l'invention comporte des groupes de mémoires stockant des caractéristi- ques générales du système considéré et des caractéristiques de l'environnement, susceptibles d'être transmises auxdits calculateurs périphériques. En outre, ledit dispositif comporte, de plus, des moyens de commutation commandés par le détecteur de phase et permet- tant de relier directement lesdits calculateurs périphéri- ques aux mémoires desdits groupes de mémoires, qui sont associées à la phase de fonctionnement actuelle. De préférence, ledit détecteur de phase est conforme à celui décrit dans la demande de brevet français n 93 05851 déposée le 14 mai 1993 et intitulée "Procédé et dispositif pour détecter la phase de fonctionnement actuelle d'un système à phases de fonctionnement multiples". De façon avantageuse, le dispositif conforme à l'invention comporte, en outre, un dispositif de visualisation communi- quant chaque incompatibilité retenue par ledit calculateur principal. Ainsi, il est possible, grâce audit dispositif de visualisation, d'avertir de façon explicite les opérateurs de toute anomalie détectée et de leur communiquer des propositions d'actions correctives. L'unique figure du dessin représente le schéma synoptique d'un dispositif conforme à la présente invention. Elle permet de faire bien comprendre comment l'invention peut être réalisée, en matérialisant le schéma logique de fonctionnement dudit dispositif, en notant que les commutations représentées ou mentionnées sont généralement des commutations purement logiques et non nécessairement mécaniques. Le dispositif, conforme à l'invention et représenté sur l'unique figure du dessin, permettant de détecter les incohérences dans le fonctionnement d'un système à phases de fonctionnement multiples, en l'occurrence n phases de fonctionnement, comporte un détecteur de phases P, un ensemble de capteurs C1, C2,..., Cm, un ensemble E de calculateurs périphériques CPI, CPII,..., CPK et un calcu- lateur principal CAL. Ledit détecteur de phase P permet de détecter automatique- ment la phase de fonctionnement actuelle du système, c'est- à-dire la phase de vol pour un avion, et ceci même en présence d'un grand nombre d'erreurs de la part des opéra- teurs. Lesdits calculateurs périphériques CPI, CPII,..., CPK stockent tous les modèles mathématiques retenus en fonction du caractère plus ou moins exhaustif recherché et sur lesquels porteront, suivant les phases, les "tests de cohérence", à savoir des modèles descriptifs du fonctionne- ment du système, modèles qui pourront être simplifiés en fonction des tolérances admissibles et de la précision limitée nécessaire, et également des modèles décrivant la compatibilité avec l'environnement. Dans le cas d'un avion de transport, ces modèles pourront comprendre des modèles de limitations du domaine de vol, des modules de performance et de mécanique du vol, des modèles de contraintes opérationnelles et des modèles de contraintes liées à l'environnement (relief, obstacles, pistes, etc...). Lesdits calculateurs périphériques CPI, CPII,..., CPK utilisent des informations, en particulier des caractéristi- ques techniques particulières à l'avion et des caractéristi- qles de l'environnement des aéroports concernés par le vol à effectuer, stockées dans des groupes MI, MII,..., MK de mémoires. Chacun des différents groupes MI, MII,..., MX de mémoires comporte n mémoires distinctes, chacune d'elles étant associée à l'une des différentes phases de vol, c'est-à-dire qu'elle comporte des informations utilisées dans cette phase de vol. Le groupe MI comporte, par exemple, les mémoires MIl, MI2,..., MIn. Le dispositif conforme à l'invention comporte par ailleurs un chargeur de données D, relié par l'intermédiaire d'une liaison multiple 1, aux différentes mémoires desdits groupes MI, MII,..., MK de mémoires et permettant de mettre à jour les informations stockées dans ces mémoires. Pour les modèles de limitations du domaine de vol et de contraintes opérationnelles, les informations nécessaires peuvent être extraites du manuel de vol et des manuels d'opération. Ces manuels sont établis par le constructeur ou par la compagnie utilisatrice, adaptant les recommandations du constructeur aux habitudes et règles internes de la compagnie. De tels manuels précisent toujours, pour chaque phase de vol, la ou les configurations acceptables pour l'avion, la valeur des paramètres caractéristiques du vol, ou plus exactement les "fenêtres" admises dans lesquelles les paramètres évolutifs doivent se trouver. Ces fenêtres tiennent compte des erreurs de mesure, des tolérances normales de pilotage et d'une marge d'action laissée à l'équipage. Par ailleurs, les modèles de contraintes liées à l'environ- nement peuvent, par exemple, contenir des informations concernant l'altitude minimale à respecter par l'avion pour éviter toute collision avec le relief, ainsi que des infor- mations concernant les conditions atmosphériques et les caractéristiques et l'état de la piste. A titre d'exemple, les informations disponibles sur les avions concernant l'altitude sont les suivantes: - altitudes par zones géographiques limitées par des paral- lèles et des méridiens, - "planchers" de voies aériennes, qui peuvent être plus bas que l'altitude de zone, - au voisinage des aéroports, altitudes minimales fournies par secteurs généralement en coordonnées polaires par rapport à l'aéroport, -dans les cheminements d'approche intermédiaire ou de trajectoires de départ, indication d'altitudes minimales sur chaque branche, - en attente, définition d'une zone de protection et d'un plancher, - en approche intermédiaire ou en montée initiale, défini- tion de "chenaux" dépendant des modes de guidage utilisés. De même, sont connues à l'atterrissage et au décollage des caractéristiques générales concernant, d'une part, la piste, comme par exemple son état, sa longueur et sa pente et, d'autre part, les conditions atmosphériques, comme par exemple la température, la force et la direction du vent et la pression. Ces caractéristiques, concernant la piste et dépendant évidemment des aéroports desservis, doivent être disponibles. Sur les avions modernes, elles sont stockées dans les mémoires du système dit FMGS (Flight Management and Guidance System) ou dans une bibliothèque informatisée de bord. En ce qui concerne les informations atmosphériques, elles sont actuellement fournies par des messages vocaux, quoique les caractéristiques du vent sont connues à bord si l'avion est équipé d'un système de navigation inertiel. Dans un avenir assez proche, un système de transmission automati- que radioélectrique de données Sol-Bord (Data link) permet- tra l'envoi automatique de données depuis le sol. Les capteurs C1, C2,... , Cm sont le plus souvent des capteurs existant à bord, comme par exemple ceux détectant l'état des moteurs, la vitesse verticale, l'altitude, l'angle d'incidence, etc... Toutefois, certains capteurs 1o peuvent être agencés spécialement sur l'avion afin de délivrer des informations particulières, nécessaires pour la mise en oeuvre de la présente invention. On remarquera que d'autres informations, par exemple la position géographique de l'avion, peuvent également être fournies par des calcula- teurs présents à bord de l'avion, comme par exemple des centrales aérodynamiques ou des centrales d'inertie. Par ailleurs, certaines informations peuvent même être obtenues à partir du sol, par l'intermédiaire par exemple d'une liaison radioélectrique. Ceci peut concerner, en particulier, la pression, la température, la direction et la force du vent, dont les valeurs sont continuellement dispo- nibles au sol. Le dispositif conforme & l'invention comporte, de plus, des moyens de commutation AI, AII,..., AR commandés par le détecteur de phase P, par l'intermédiaire d'une liaison 2, reliée audit détecteur de phase P par l'une de ses extrémi- tés, et dont l'autre extrémité comporte plusieurs branches 21,22,23 qui sont respectivement reliées auxdits moyens de commutation AI, AII, AK. Ces moyens de commutation AI, AII,..., AR permettent de mettre les calculateurs périphériques CPI, CPII,..., CPK directement en liaison avec les mémoires MI2, MII2,..., MK2 desdits différents groupes MI, MII,. , MK de mémoires,..DTD: associées à la phase de vol actuelle. Le détecteur de phase P est, par ailleurs, relié au calcula- teur principal CAL par l'intermédiaire d'une liaison 3. Ledit calculateur principal CAL transmet les valeurs effec- tives détectées par les capteurs Cl, C2,..., Cm aux modèles mathématiques et/ou logiques qui sont enregistrés dans les calculateurs périphériques CPI, CPII,..., CPK et qui sont associés à la phase de vol actuelle. Il vérifie alors la cohérence avec les plages de fonctionnement et/ou les lois contenues dans ces modèles et il enregistre toute incompati- bilité, en tenant évidemment compte des tolérances et des limites de précision des mesures. Le dispositif conforme à l'invention comporte également un dispositif de visualisation V, par exemple un support lumineux, relié par l'intermédiaire d'une liaison S1 à la sortie S du calculateur principal CAL et permettant de communiquer à l'équipage, de façon explicite, toutes les incompatibilités enregistrées par ledit calculateur princi- 20 pal CAL. Cette communication se fera, de préférence, suivant une phraséologie habituelle à l'équipage ou suivant un symbolisme évident et sans ambiguité. En parallèle, ce dispositif de visualisation peut être complété par un dispositif sonore ou analogue, relié par l'intermédiaire25 d'une liaison S2 à la sortie S du calculateur principal CAL. Ainsi, l'équipage aura continuellement connaissance des incohérences apparaissant dans le fonctionnement de l'avion et pourra, par conséquent, rectifier une représentation mentale erronée de la situation réelle. Le dispositif de30 visualisation V peut également être utilisé pour communiquer des propositions d'actions correctives. A cet effet, le calculateur principal est associé & une bibliothèque B dans laquelle sont enregistrés des messages prédéfinis qui peuvent être transmis au dispositif de visualisation V pour leur communication. Ces messages peuvent en particulier indiquer, le cas échéant, la nature et/ou l'origine d'une incompatibilité détectée, ainsi que des mesures de correction possibles. On notera que la fonction réalisée par les moyens de commu- tation AI, AII,..., AK peut, évidemment, être réalisée de manière informatique et que tous les éléments distincts que sont le calculateur principal CAL, les calculateurs périphé- riques CPI, CPII,..., CPK, les groupes MI, MII,..., MX de mémoires et les moyens de commutation AI, AII,..., AK peuvent avantageusement être intégrés dans un puissant moyen de calcul o l'informatique est l'unique "agent actif". L'informatique représente, en fin de compte, à ce niveau là, un montage d'éléments logiques (portes,...) de grandes dimensions. Afin d'expliciter cette remarque, on a regroupé tous ces éléments en une unité centrale UC. REVENDICATIONS 1. Procédé pour détecter des incohérences dans le fonction- nement d'un système à phases de fonctionnement multiples, contrôlé par au moins un opérateur, chacune desdites phases correspondant à un domaine partiel du fonctionnement et l'ensemble desdites phases recouvrant la totalité dudit fonctionnement, caractérisé en ce que: - on détermine la phase de fonctionnement actuelle dudit système; - pour ladite phase déterminée, on se réfère à au moins un modèle théorique représentatif d'au moins une spécificité du système; - on détecte la valeur effective des variables utilisées dans ledit modèle théorique; - on compare lesdites valeurs effectives détectées à des données théoriques définies dans le modèle théorique; et - on signale toute incompatibilité détectée lors de ces comparaisons et la nature de cette incompatibilité. 2. Dispositif pour la mise en oeuvre du procédé spécifié sous la revendication 1, caractérisé en ce qu'il comporte: - un détecteur de phase (P), déterminant la phase de fonc- tionnement actuelle; - un ensemble (E) de calculateurs périphériques (CPI, CPII, CPK) stockant des modèles théoriques représentatifs du système; - un ensemble de capteurs (Cl, C2, Cm), détectant les valeurs effectives des variables intervenant dans ces modèles; et - un calculateur principal (CAL) doté d'un programme de calcul répétitif opérant & une cadence appropriée à la vitesse d'évolution du système et susceptible, en fonction de la phase de fonctionnement actuelle communiquée par le détecteur de phase (P), de rechercher et de retenir les incohérences dans le fonctionnement du système, en injec- tant dans les modèles appropriés à ladite phase actuelle les valeurs détectées par lesdits capteurs et en vérifiant la cohérence avec des données théoriques définies dans ces modèles. 3. Dispositif selon la revendication 2, caractérisé en ce qu'il comporte des groupes (MI, MII, MX) de mémoires stockant des caractéristiques générales du système et des caractéristiques de l'environnement suscepti- bles d'être transmises auxdits calculateurs périphériques (CPI, CPII, CPK). 4. Dispositif selon la revendication 3, caractérisé en ce qu'il comporte des moyens de commutation (AI, AII, AK) commandés par le détecteur de phase (P) et permettant de relier directement lesdits calculateurs périphériques (CPI, CPII, CPK) aux mémoires (MI2, MII2, MK2) desdits groupes (MI, MII, MK) de mémoires, qui sont asso- ciées à la phase de fonctionnement actuelle. 5. Dispositif selon l'une des revendications 2 à 4, caractérisé en ce qu'il comporte un dispositif de visualisa- tion (V) communiquant chaque incompatibilité retenue par ledit calculateur principal (CAL).