FR 3012619 A1 20150501 FR 1302529 A 20131031 Procédé de contrôle d'intégrité de mesures satellites DOMAINE DE L'INVENTION Le domaine de l'invention est celui des systèmes de navigation 5 radioguidés par des satellites de radionavigation. L'invention concerne plus particulièrement un procédé de contrôle d'intégrité de mesures délivrées par des récepteurs de signaux de navigation émis par des satellites, de façon à détecter et à exclure plusieurs défaillances de satellites simultanées, et un dispositif adapté 10 pour mettre en oeuvre un tel procédé. ARRIERE PLAN DE L'INVENTION Les porteurs comme les aéronefs ou encore les bateaux disposent de nombreux systèmes de navigation. Parmi ces systèmes, on compte 15 notamment un équipement hybride INS/GNSS (de l'anglo-saxon « Inertial Navigation System » et « Global Navigation Satellite System »). Une centrale inertielle fournit des informations peu bruitées et précises à court terme. Cependant, sur le long terme, les performances en localisation d'une centrale inertielle se dégradent (plus ou moins vite en 20 fonction de la qualité des capteurs, accéléromètres ou gyroscopes par exemple, et des traitements utilisés par la centrale). Si les informations acquises auprès d'un système de radionavigation par satellites sont quant à elles très peu susceptibles de dériver sur le long terme, elles sont cependant souvent bruitées et d'une précision variable. Par ailleurs, les 25 mesures inertielles sont toujours disponibles alors que les informations GNSS ne le sont pas ou sont susceptibles d'être leurrées et brouillées. L'hybridation consiste à combiner les informations fournies par la centrale inertielle et les mesures fournies par le système de navigation par satellites pour obtenir des informations de position et de vitesse en 30 tirant avantage des deux systèmes. Ainsi, la précision des mesures fournies par le récepteur GNSS permet de maîtriser la dérive inertielle et les mesures inertielles peu bruitées permettent de filtrer le bruit sur les mesures du récepteur GNSS. Le modèle des mesures GNSS qui est connu ne tient pas compte des éventuelles défaillances satellites qui affectent les horloges ou les 5 éphémérides transmises, ces défaillances se manifestant généralement sous la forme de biais ou de dérives ajoutées sur les mesures GNSS. Dans ce cadre, des systèmes de contrôle d'intégrité ont pour but de détecter l'apparition de ces défaillances et d'exclure les satellites responsables afin de retrouver une solution de navigation ne contenant 10 plus d'erreur non détectée. Selon l'état de l'art, un banc de filtres de Kalman est classiquement utilisé pour se protéger contre une défaillance éventuelle d'un satellite. Dans un contexte INS/GNSS, chaque filtre réalise une hybridation entre des informations issues du système de navigation par 15 satellite et celles issues de la centrale inertielle, et élabore une solution de navigation. Ces filtres ne font usage que d'une partie seulement des mesures GNSS disponibles (typiquement toutes les mesures GNNS à l'exception de celles provenant de l'un des satellites ; le satellite exclu étant différent d'un filtre à l'autre). 20 Est représenté en figure 1 un système de navigation 1 de l'état de l'art adapté pour mettre en oeuvre ce principe. Le système 1 comprend un module de réception R adapté pour l'acquisition d'un ensemble primaire de mesures de signaux émanant de satellites de radionavigation, une unité de traitement de données D1, un 25 banc B de filtres de Kalman F1-F6, et une unité de prise de décision P1. L'unité de traitement de données D1 fournit à chaque filtre de Kalman un ensemble secondaire de mesures respectif E11-E16, chaque ensemble secondaire étant constitué par exclusion d'une mesure spécifique de l'ensemble primaire des mesures acquises. Si une défaillance satellite survient, celle-ci n'est pas vue par le filtre de Kalman ne recevant pas la mesure du satellite défaillant: ce filtre n'est donc pas affecté par la défaillance et reste ainsi non pollué. L'unité de prise de décision P1 identifie le satellite défaillant en 5 comparant les mesures fournies par le satellite défaillant avec des estimations de ces mesures élaborées par chacun des filtres de Kalman. Le satellite identifié comme étant en défaillance peut alors être exclu des solutions de navigation de manière à supprimer la pollution de l'état de navigation par la défaillance satellite. 10 Or, la multiplication des constellations de satellites dédiés à la navigation (GPS, Galileo, Glonass par exemple) augmente le nombre de satellites pouvant être utilisés dans un système de navigation hybride INS/GNSS. Ainsi, les futurs systèmes de navigation, qui demanderont des 15 exigences d'intégrité supérieures, seront contraints d'avoir la capacité de détecter et d'exclure plus d'une défaillance satellite. Dans ce but, il est possible d'adapter un banc de filtres de Kalman pour la détection et l'isolation de plusieurs défaillances simultanées parmi N satellites. 20 Par exemple, pour détecter deux défaillances satellite simultanées, une solution pourrait consister à configurer chaque filtre de Kalman pour traiter un sous-ensemble respectif de N-2 mesures de signaux satellites, duquel deux mesures sont exclues, chaque paire de mesures exclues étant spécifique à un seul filtre de Kalman. 25 Toutefois, une telle solution nécessite la mise en oeuvre d'un très grand nombre de filtres de Kalman, c'est-à-dire autant de filtres que de 2 couples de satellites choisis parmi les N satellites en vue, soit CN = N(N-1) 2 filtres. Par exemple, pour N=10, 45 filtres sont nécessaires ; pour N=20 on trouve 190 filtres. 30 PRESENTATION DE L'INVENTION Un but à atteindre est celui de réaliser un contrôle d'intégrité de mesures de navigation émises par des satellites qui permette de détecter et d'exclure plusieurs défaillances satellites de radionavigation 5 simultanées, mais ne requérant qu'un nombre limité de filtres. Il est donc proposé, selon un premier aspect, un procédé de contrôle d'intégrité d'un ensemble primaire de mesures obtenues à partir de signaux de navigation émis par des satellites et fournies à un dispositif de contrôle d'intégrité comprenant une pluralité de filtres de Kalman, le 10 procédé comprenant les étapes de : - définition, pour chaque filtre de Kalman, d'un ensemble secondaire de mesures contenues dans l'ensemble primaire, - calcul par chaque filtre de Kalman d'une solution de navigation à partir d'un ensemble secondaire respectif de mesures, 15 le procédé étant caractérisé en ce que la définition des ensembles secondaires respecte les principes suivants : - chaque mesure contenue dans l'ensemble primaire est présente dans au moins un des ensembles secondaires, - pour chaque p-uplet de mesures de l'ensemble primaire, p étant un 20 entier prédéterminé supérieur à 1, au moins un des ensembles secondaires ne contient pas ledit p-uplet de mesures, - pour chaque ensemble secondaire, au moins un des p-uplets est exclu dudit ensemble secondaire, et en ce qu'il comprend en outre les étapes de : 25 - détection, pour chaque solution de navigation, d'au plus p mesures défaillantes non-présentes dans l'ensemble secondaire à partir duquel la solution de navigation est élaborée, et - signalement d'au plus p satellites défaillants dans l'ensemble primaire à partir des résultats respectifs des détections. 30 La stratégie de définition des ensembles secondaires selon ces règles permet de maximiser le nombre de mesures contenues dans chaque ensemble secondaire, pour obtenir au niveau du filtre Fl correspondant de bonnes performances en termes de précision et de disponibilité, performances directement liées au nombre de mesures disponibles par filtre, et de minimiser le nombre d'ensemble secondaire. Il en résulte que le procédé de contrôle d'intégrité proposé consomme, à nombre de satellites en vue égal, un nombre bien inférieur de filtres de Kalman que les procédés de l'art antérieur décrits en introduction. Le coût en ressources de calcul dans les filtres de Kalman est ainsi minimisé par rapports aux procédés de l'art antérieur. Par ailleurs, le procédé proposé est économique et simple à mettre en oeuvre. Selon un deuxième aspect, l'invention propose également un 15 dispositif de contrôle d'intégrité adapté pour mettre en oeuvre le procédé selon le premier aspect. DESCRIPTION DES FIGURES D'autres caractéristiques, buts et avantages de l'invention 20 ressortiront de la description qui suit, qui est purement illustrative et non limitative, et qui doit être lue en regard des dessins annexés sur lesquels : - La, figure 1, déjà discutée, représente schématiquement un système de navigation connu. - La figure 2 représente schématiquement un système de navigation 25 selon un mode de réalisation de l'invention. - La figure 3 représente les étapes d'un procédé de contrôle d'intégrité selon un mode de réalisation de l'invention. 30 DESCRIPTION DETAILLEE DE L'INVENTION Ainsi qu'illustré sur la figure 2, un système de navigation 2 comprend un module R de réception de signaux satellites et un dispositif 3 de contrôle d'intégrité connecté au module d'acquisition. Le système de navigation comprend également une unité de consolidation A (pouvant éventuellement être comprise dans le dispositif 3 de contrôle d'intégrité ou non), et une centrale inertielle U. Le module de réception R est adapté pour acquérir une pluralité de mesures de signaux de radionavigation émis par des satellites. Ce module R peut à cet effet comprendre p récepteurs chaque récepteur étant dédié à la réception de signaux de radionavigation émanant d'un satellite respectif. Le dispositif de contrôle d'intégrité comprend une unité de traitement de données D, un banc B de filtres de Kalman, un banc C 15 d'unités de détection de défaillances, une unité de prise de décision primaire P. L'unité de traitement de données D est configurée pour fournir des mesures acquises par le module de réception R aux filtres de Kalman ; la manière donc ces mesures sont sélectionnées par l'unité de traitement D 20 sera décrite plus loin. Par convention, on définit une « mesure » satellite comme un groupe élémentaire de données de navigation émanant d'un satellite respectif pouvant être traité par au moins un filtre de Kalman. Le banc B de filtres de Kalman est constitué de plusieurs filtres Fi, 25 l=1 à L, chaque filtre recevant de l'unité de traitement de données D un ensemble secondaire ESt, l=1 à L, de mesures satellites respectif. Chaque filtre fonctionne indépendamment des autres filtres, par exemple en parallèle. A chaque filtre F1, est associée une unité de détection UDi , 1=1 à L, 30 appartenant au banc C d'unités de détection de défaillances. Chaque unité de détection UD1 est raccordée à la sortie d'un filtre de Kalman respectif Ft et a également accès au contenu de l'ensemble primaire E. Chaque unité de détection UD1 est configurée pour détecter une ou plusieurs défaillances de satellite dont la mesure n'est pas présente dans 5 l'ensemble secondaire ESt traité par le filtre de Kalman d'indice l placé en amont. Le fonctionnement interne de telles unités de détection UD1 est connu en soi, et ne sera donc pas décrit en détail. On peut par exemple prévoir des unités de détections telles que décrites dans le document EP1752786A1. 10 On notera néanmoins que chaque unité de détection UDi fournit un résultat de détection au terme d'une comparaison des mesures de l'ensemble primaire E non présentes dans ESi avec des estimations de ces mesures élaborées par le Filtre de Kalman d'indice i . Le résultat de la détection est alors typiquement un nombre de mesures défaillantes parmi 15 les mesures de l'ensemble primaire inférieur ou égal à p, p étant un entier prédéterminé dans le dispositif 3 de contrôle d'intégrité. L'unité de prise de décision P est adaptée pour identifier et exclure un ou plusieurs satellites défaillants à partir de tous les résultats de détection fournis par les unités de détection UD1, l=1 à L appartenant au 20 banc C. La décision prise par l'unité de prise de décision est typiquement un ensemble d'identifiants de satellites (par exemple leur code PRN) défaillants, ou bien un ensemble vide en cas de non-défaillance. L'unité de consolidation A est configurée pour élaborer une solution de navigation consolidée à partir de solutions de navigation élaborées par 25 les filtres de Kalman F1, l=1 à L, et à partir de la décision délivrée par l'unité de prise de décision P. De même, cette unité de consolidation A est configurée pour élaborer des calculs de limite de protection englobant les solutions de ces sous-filtres (voir par exemple le document EP 2006707 B1 pour ces 30 notions). Le fonctionnement interne d'une telle unité de consolidation est également connu en soi, il ne sera donc pas davantage détaillé. Les filtres de Kalman sont à titre d'exemple au nombre de L et référencés F1-Fl. Le nombre de filtres du dispositif est déterminé avant l'exécution du procédé de contrôle d'intégrité dont les étapes vont maintenant être décrites. Les étapes d'un procédé de contrôle d'intégrité mise en oeuvre 10 dans le système de la figure 2 sont illustrées sur la figure 3. Dans une étape préliminaire ACQ, le module de réception R acquiert un ensemble E dit « primaire » de n mesures mt, i=1 à n de signaux émis par des satellites de radionavigation, chaque mesure correspondant à un satellite respectif. 15 Dans une étape SET, l'unité de traitement de données D détermine, pour chaque filtre Fi, un ensemble secondaire ES1 respectif de mesures mt à partir de l'ensemble primaire E de mesures acquises. Dans une étape KAL, chaque filtre de Kalman Ft calcule une solution de navigation respective à partir d'un ensemble secondaire ED1 de mesures 20 respectif. Dans le contexte d'une centrale d'hybridation, chaque filtre de Kalman peut prendre en entrée d'autres mesures, par exemple des mesures délivrées par la centrale inertielle U. Dans une étape DET1, chaque unité de détection UD1 détecte une ou plusieurs mesures défaillantes parmi les mesures n'appartenant pas à 25 l'ensemble secondaire ED1 de mesures traité par le filtre de Kalman agencé en amont. Ces détections sont de préférences exécutées en parallèle, afin de raccourcir le temps de traitement des mesures par le dispositif 3 de contrôle d'intégrité, ou bien successivement. Dans une étape DET2, Les résultats de chaque unité de détection 30 UD1 sont traités par l'unité de prise de décision P. A partir des tous ces résultats, l'unité de prise de décision signale la présence de mesures défaillantes dans l'ensemble primaire E des défaillances, et identifie éventuellement les satellites défaillants correspondants. Par exemple, dans le cas de deux défaillances simultanées, une première défaillance est détectée par une première unité de détection, et une deuxième défaillance est détectée par une deuxième unité de détection au cours de l'étape DET1. Dans ce cas, au cours de l'étape DET2, ces deux informations sont combinées pour conclure à une double défaillance. Dans la pratique, l'étape DET2 peut mettre des tests de comparaison entre des valeurs d'erreur et des seuils prédéterminés, ces tests étant eux-mêmes sujet à des défaillances. Ils sont en effet des tests statistiques pouvant ne pas détecter (on parle alors de détection manquée) ou détecter à tort (on parle dans ce cas de fausse alarme). Les seuils utilisés pour effectuer tests sont réglés de façon à maitriser de manière probabiliste ces défaillances. Donc, on peut détecter les défaillances prises en compte aux probabilités de détection manquée et de fausse alarme choisies. Pour filtrer de telles fausses alarmes, peut être mise en oeuvre au niveau du module P une logique d'exclusion temporaire avec attente de confirmation de l'exclusion. En d'autres termes, chaque unité de détection prend une décision « locale » restreinte aux mesures de l'ensemble secondaire correspondand, tandis que le module P effectue une prise de décision globale qui utilise une correspondance ou non entre les décisions locales prises par les unités UDi et la répartition des ensembles de mesures Esi, ces sous-ensembles étant judicieusement choisis pour permettre la plus part du temps la consolidation des décisions des unités de détection UDi. Les principes de prise de décision de détections de défaillance et d'exclusions de mesure défaillantes élaborés par l'unité de prise de 30 décision P reposent sur les hypothèses suivantes: - On posera qu'un filtre de Kalman Ft est sensible à une défaillance, s'il traite une ou plusieurs mesures associées à cette défaillance, - on posera le principe conservatif suivant : une unité de détection UDl associé à un filtre Ft sensible à une défaillance est elle-même défaillante. Le principe de détection de défaillance mis en oeuvre par l'unité de prise de décision P peut être le suivant : si au moins une unité de détection UD1 associé à un filtre Fl décide d'une détection de défaillance, alors de manière conservative, l'unité de prise de décision déclarera la présence d'une défaillance, que cette détection soit décidée avec raison (cas où l'UD1 est non défaillante) ou que cette détection soit décider à tort (cas où l'UD1 est défaillante). D'autres principes de détection de défaillance moins conservatifs peuvent toutefois être mis en oeuvre par l'unité de prise de décision P. Par ailleurs, le principe d'exclusion de défaillance mis en oeuvre par l'unité de prise de décision P peut être par exemple le suivant: si toute les unités de détection UDt associé tous les filtres Fl décident d'une détection de défaillance, alors de manière conservative on déclarera l'exclusion de cette défaillance, que ces détections soit décidées avec raison (cas où certaines UD1 sont non défaillantes) ou que ces détections soit décidées à tort (cas où certaines UD1 sont défaillantes). D'autres principes d'exclusion de défaillance moins conservatifs peuvent toutefois être mis en oeuvre par l'unité de prise de décision P. Dans une étape CONS, l'unité de consolidation A élabore une solution de navigation dite « consolidée » à partir des solutions de navigation délivrées par les filtres de Kalman et des éventuelles mesures identifiées par l'unité de prise de décision. La solution de navigation est consolidée dans le sens où elle permet d'assurer les besoins d'intégrité pour une probabilité de perte d'intégrité donnée, pour tous les cas de défaillance envisagés. Détermination des ensembles secondaires pour des hypothèses de défaillances limitées à p défaillances simultanées A titre préliminaire, on posera les principes suivants. On posera Est l'ensemble secondaire d'indice l, comme un sous ensemble de l'ensemble E. On définira une hypothèse de défaillance comme une hypothèse de défaillance d'un ou de plusieurs satellites. On pourra donc faire correspondre à une hypothèse de défaillance donnée, un sous-ensemble de mesures appartenant à E, mesures émises par les satellites défaillant selon l'hypothèse considérée. On posera edi d'indice j comme un sous-ensemble de l'ensemble primaire E correspondant aux mesures associées à l'hypothèse de défaillance j, hypothèse de défaillance correspondant à la défaillance 15 simultanée de ces mesures associées. On posera également Edk d'indice k comme ensemble regroupant les ensembles edi d'indice j pour toutes les hypothèses de défaillance correspondant à la défaillance simultanée de k mesures satellite. On posera edcons d'indice j comme un sous-ensemble de E 20 correspondant aux mesures associées à l'hypothèse de défaillance de la constellation j, hypothèse de défaillance correspondant à la défaillance simultanée de toute les mesures des satellites appartenant à cette jième constellation. On posera Edcons comme ensemble regroupant les ensembles edcons 25 d'indice j pour toutes les hypothèses de défaillance de constellation. On posera, selon différentes variantes possibles des étapes DET1 et DET2, Ed comme ensemble regroupant certains des ensembles Edk d'indice k et regroupant possiblement l'ensemble Edcons- 30 Si par exemple on veut considérer les hypothèses de défaillance d'une mesure parmi les n mesures disponibles, notées mi,m2,...,mn on considérera alors l'ensemble Ed1 comme regroupant les n ensembles edii i de 1 à n ensembles à un élément formée par la mesure i. Ed1 = {{ed1i},{ed12},...{edin}H{nl1},{m2},..-{mn}} Si par exemple on veut considérer les hypothèses de défaillance de deux mesures simultanées parmi les n mesures disponibles, on considérera alors l'ensemble Ed2 comme regroupant les q ensembles contenant chacun un des couples de mesures i,j choisies parmi les m mesures, avec q = Cn = n(n-1) 2 - Ed2 = {{ed21},{ed22},...{ed2q}}, avec q = Cn = ami M2MM171113},---{M1, Mn}, {m2, m3}, {m2, 1114}, -{1-112, mn}, {Mn-2, Mn-1},{Mn-2, mn}, fmn-1,mnil- En généralisant, pour considérer les hypothèses de défaillance de p mesures simultanées parmi les n mesures disponibles, on considérera alors l'ensemble Edp comme regroupant les q ensembles epq contenant chacun un des p-uplets de mesures choisies parmi les n mesures avec q = Cn = n! p!(n-p)!- Edp = [ensemble des q ed = n! pt avec l=1 à q} avec q = p!(n-p)!' avec edpt = {mp11bmpt2,...,mptp} avec (pl1=1à n),(pl2=1à n),...,(plp=1à n) et avec (pli Edcons = edcons 1 edcons 2 --, edcons na, n(n-1) 2 Avec econsi {ensemble des mesures de la constellation i}}. Si par exemple on fait l'hypothèse que chaque constellation comprend 10 satellites en vue, les dix premiers appartenant à la première constellation, les dix suivants appartenant à la deuxième constellation, et 5 ainsi de suite jusqu'à la nième constellation, on a : Edcons = {edcons 1 , edcons 2 ,---, edcons nc} 10 {M10*(nc-1)+1,n110*(nc-1)+2,---,M10*nc}} On peut aussi considérer la réunion de tels ensembles : - Ainsi si l'on veut considérer les hypothèses de défaillance d'une mesure et aussi de deux mesures simultanées, l'ensemble des ensembles de mesures possiblement défaillantes est égal à la réunion 15 des ensembles Ed1 et Ed2. - Ainsi si l'on veut considérer les hypothèses de défaillance d'une mesure, de deux mesures simultanées ainsi que les défaillances globale de constellation l'ensemble des ensembles de mesures possiblement défaillantes est égal à la réunion des ensembles Ed1 ,Ed2 et Edcons. 20 Ces définitions étant posées, l'étape SET détermine le contenu des ensembles secondaires selon certaines règles qui vont maintenant être détaillées. - considérant un ensemble primaire E de mesures mi i de 1 à n , E = 25 M2, ---111n}y - considérant des ensembles secondaires de mesures ES1 ,l=1 à L chacun sous-ensemble de E, - considérant un ensemble Ed d'ensemble de mesures possiblement défaillantes edi, 1=1 à q, chaque ensemble de mesures possiblement 30 défaillantes ei étant un sous-ensemble de E, associée à une hypothèse de défaillance i correspondante, alors les L ensembles secondaires ES doivent respecter les principes suivants. Premièrement, pour chaque mesure mi ,i de 1 à n, il existe au moins un ensemble secondaire ES( ,1.51_, comprend cette mesure. La justification de ce premier principe repose sur le fait que si une mesure n'est comprise dans aucun ensemble secondaire, alors cette mesure est inutile. Deuxièmement, pour chaque ensemble de mesures possiblement défaillantes edi, i de 1 à q il existe au moins un ensemble secondaire 10 ESl,1kL, qui ne contient pas cet ensemble de mesures. La justification de ce deuxième principe repose sur le fait que pour toutes les défaillances prises en compte, donc pour tous les ensembles edi, i de 1 à q de mesures possiblement défaillantes, il existe au moins un ensemble secondaire ES( ,15_kL, qui ne contient pas cet ensemble de 15 mesures possiblement défaillantes, donc il existe au moins un filtre Ft associé à l'ensemble secondaire ES( qui reste insensible (i.e. non défaillant) à cette défaillance. Troisièmement, pour chaque ensemble secondaire ESl ,1 kL, il existe au moins un ensemble de mesures possiblement défaillantes edi, i 20 de 1 à q qui n'appartient pas à cet ensemble secondaire. La justification de ce troisième principe repose sur le fait que si un ensemble secondaire ES( ,1kL n'est insensible à aucune défaillance edi,i de 1 à q, le filtre Ft associé à cet ensemble secondaire n'apporte rien pour en terme d'intégrité car il est toujours potentiellement défaillant en cas 25 de défaillance. La stratégie d'élaboration de ces ensembles secondaires ES( ,15151 selon ces trois principes permet de maximiser le nombre de mesures contenues dans chaque ensemble secondaire ES( ,1kL, pour obtenir au niveau du filtre Fl correspondant de bonnes performances en termes de 30 précision et de disponibilité, performances directement liées au nombre de mesures disponibles par filtre, et de minimiser le nombre d'ensemble secondaire ESI ,'kkL, pour avoir un coût en ressources de calcul le plus petit possible dans les filtres de Kalman. Les principes énoncés ci-dessus peuvent être complétés à l'aide de 5 principes optionnels. Un premier principe optionnel peut consister en ce que chaque ensemble secondaire ESI ,15..kL comprend au moins 3+nc mesures, avec ne = le nombre de constellation GNSS à prendre en compte. Dans la suite, ce premier principe optionnel sera désigné sous le nom « variante 1 ». 10 Si l'on fait l'hypothèse conservative que les biais de temps associés à chacune des constellations sont des variables indépendantes, disposer d'au moins 3+nc mesures permet d'obtenir une solution de position, de vitesse et de temps. Cette variante 1 permet donc d'obtenir une solution de position, de vitesse et de temps par filtre Fl, 15.kL associé aux 15 ensembles secondaires ES( ,1kL. Par ailleurs, on peut également ajouter un deuxième principe optionnel consistant en ce que pour chaque mesure mi, i de 1 à n et pour chaque ensemble de mesures possiblement défaillantes edj ,j de 1 à q, il existe au moins un ensemble secondaire ESl ,15.151, qui ne contient ni 20 cette mesure mi, ni cet ensemble de mesures possiblement défaillante edj. Dans la suite, ce principe optionnel sera désigné sous le terme « variante 2 ». Cette variante 2 permet de renforcer les principes d'exclusions en cas de défaillance détectée. En effet, pour une mesure donnée mi, et pour 25 un ensemble de mesures possiblement défaillantes edi donnée, il existe au moins un filtre F1 associé à un ensemble secondaire ES( qui n'est pas défaillant, donc son unité de détection associée UD1, n'est pas défaillante, elle sera donc capable de prendre une décision non défaillante correspondant à la mesure mi. Ceci est vrai pour toutes les mesures mi, i 30 de 1 à m, et pour chaque ensemble de mesures possiblement défaillantes edj ,j de 1 à q. Par exemple, dans le cas de défaillance d'une constellation de satellites (c'est-à-dire lorsque tous les satellites de cette constellation sont simultanément défaillants), et si deux constellations sont représentées dans les mesures de l'ensemble primaire, on ne pourra pas 5 identifier la constellation défaillante. Dans le cas de pannes simultanées d'un p-uplet de satellites, en appliquant la variante 2 on renforce l'identification de ce p-uplet. En effet, à toute mesure mj n'appartenant pas à ce p-uplet il existe dans ce cas au moins un filtre de Kalman Fk d'indice k qui ne contient ni cette mesure mj ni ce p-uplet. Dans ce cas, 10 L'unité de détection UDk associée au filtre Fk va déclarer (pour une probabilité de fausse alarme prédéterminée) la mesure mj comme valide. Bien entendu, les variantes 1 et 2 peuvent être cumulées dans un même mode de réalisation du procédé de contrôle d'intégrité. 15 Détermination des ensembles secondaires pour des hypothèses de défaillances limitées à au plus 2 défaillances simultanées L'application des principes d'élaboration des ensembles secondaires 20 (et des variantes optionnelles 1 et 2) dans le cas d'hypothèses de défaillances limitées à au plus 2 défaillances simultanées de satellite consiste à poser p=2. On a dans ce cas : - E : ensemble primaire E de mesures mi i de 1 à n, E = {mi, m2,-mn}, - ESt, l=1 à L : ensembles secondaires de mesures ESt = 1 à L, 25 chacun sous-ensemble de E, - Ed : ensemble Ed d'ensemble de mesures possiblement défaillantes edi, i = 1 à n+n(n-1)/2, avec : o edi : sous-ensemble de mesures possiblement défaillantes pour toutes les hypothèses correspondant à une défaillance 30 satellite ou à deux défaillances satellites, o edi = {md, pour k = 1 à n et pour i = 1 à n, o edi = fmk, mi}, pour k = 1 à n, pour l = 1 à n, pour k Si la variante 2 est par ailleurs mise en oeuvre, alors pour chaque triplet de mesures {mi,mj,mk}, i de 1 à n , j de 1 à n, k de 1 à n, i=j=k, il existe au moins un ensemble secondaire ESl ,15l5L, qui ne contient pas ce triplet (mi, mj, mk}. L'ensemble des principes à appliquer pour les ensembles de couple 20 de mesures correspondant aux hypothèses de deux défaillances simultanées couvrent aussi les principes à appliquer pour les ensembles de mesure simple correspondant aux hypothèses de défaillance simple. Détermination des ensembles secondaires pour des hypothèses de 25 défaillances limitées à au plus p défaillances simultanées L'application des principes d'élaboration des ensembles secondaires et des variantes optionnelles dans le cas d'hypothèse de défaillances limitées à au plus p défaillances simultanées de satellites consiste 30 à poser plus généralement: - E : ensemble primaire E de mesures mi i de 1 à n, E = - ESt = 1 à L : ensembles secondaires de mesures ES[ = 1 à L, chacun sous-ensemble de E, Ed : ensemble Ed d'ensemble de mesures possiblement défaillantes edi, i = 1 à C1-FC, + + CnP avec : edi : sous-ensemble de mesures possiblement défaillantes pour toutes les hypothèses correspondant à une défaillance satellite edi pour k1 = 1 à n , pour i = 1 à C71, edi mk2}, pour k1 = 1 à n, pour k2 = 1 à n, pour k1 Pour chaque ensemble secondaire ESI il existe au moins un p-uplet de mesures {mk1, m k2,..., mkp }, pour k1 = 1 à n, pour k2 = 1 à n,..., pour kp = 1 à n, k1 xk2...4(1) qui n'appartient pas à cet ensemble. Si la variante 1 est mise en oeuvre, chaque ensemble secondaire ESl 5 ,15kL comprend au moins 3+nc mesures, avec ne = le nombre de constellation GNSS. Si la variante 2 décrite précédemment est mise en oeuvre, pour tout (p+1) uplet de mesures fmk1, m k2,..., mkp, mkp+1}, pour k1 = 1 à n, pour k2 = 1 à n,...,pour kp = 1 à n, pour kp+1 = 1 à n k14 Troisième exemple de réalisation Dans un troisième exemple de réalisation, les paramètres de mise en oeuvre du procédé de contrôle d'intégrité sont les suivants : - Nombre de mesures : N=20. - Nombre de constellations : nc=2. - Hypothèses de défaillance : 1 ou 2 défaillances satellite simultanées ou 1 défaillance de constellation. - Nombre d'ensemble secondaires et de filtres de Kalman : L=3. - Variante 1: Prise en compte. - Variante 2: Non prise en compte. E = {nni,nn2'.nn2o}, Mesures de la constellation 1 : Mesures de la constellation 2 : Ed = {rn1dn2},...,{rn1,rn2o}, {nn2,nn3},...,{nn2,n120}, Y.", {rn18,n119},-,{nn18,rn2o}, {m19, m20}, {nni,rn2'nn1o},{nn11,rn12'rn20}1. La composition des ensembles secondaires est alors la suivante: #mesure ES, ES2 ES3 1 X X 2 X X 3 X X 4 X X X X 6 X X 7 X X 8 X X 9 X X X X 11 X X 12 X X 13 X X 14 X X X X 16 X X 17 X X 18 X X 19 X X X X Le procédé configuré selon ce troisième exemple est robuste à une défaillance satellite, à deux défaillances satellites simultanées, et à une 5 défaillance globale d'une des constellations. Il permet de réaliser une intégrité capable de détecter jusqu'à deux défaillances simultanées et d'exclure jusqu'à deux satellites de radionavigation simultanément avec 3 filtres ayant chacun 6 à 7 mesures disponibles, au lieu des 190 filtres rendus nécessaires dans la solution à n*(n-1)12 filtres discutée en 10 introduction. Quatrième exemple de réalisation Dans un quatrième exemple de réalisation, les paramètres de mise en oeuvre du procédé de contrôle d'intégrité sont les suivants : 15 - Nombre de mesures : N=20. - Nombre de constellations : nc=2. - Hypothèses de défaillance : 1 ou 2 défaillances satellite simultanées ou 1 défaillance de constellation. - Nombre d'ensemble secondaires et de filtres de Kalman : L=10. - Variante 1: Prise en compte. - Variante 2: Non prise en compte. E= Mesures constellation 1 : Mesures constellation 2 : Ed = {rin1onn2},-,{ni1,rn2o}, {nn2,rn3},-,Inn2,rn201, .1---) {m19, m20}, {M1,M2e-M10}/{11111,M12e-M20}/- La composition des ensembles secondaires est alors la suivante: 30 mesure ES1 ES2 ES3 ES4 ES5 ES6 ES7 ES8 ES9 ESio 1 X X X X 2 X X X X 3 X X X X 4 X X X X X X X X 6 X X X X 7 X X X X 8 X X X X 9 X X X X X X 11 X X X X 12 X X X X 13 X X X X 14 X X X X X X X X 16 X X X X 17 X X X X 18 X X X X 19 X X X X X X X X Le procédé configuré selon ce quatrième mode de réalisation est robuste à une défaillance satellite et à deux défaillances satellites simultanées et à une défaillance globale d'une constellation ; il permet de 5 réaliser une intégrité capable de détecter jusqu'à deux défaillances simultanées et d'exclure jusqu'à deux satellites de radionavigation simultanément avec 10 filtres ayant chacun 10 à 13 mesures disponibles, au lieu des 190 filtres rendus nécessaires dans la solution à n*(n-1)/2 filtres discutée en introduction. 10 Le procédé de contrôle d'intégrité ne se limite pas aux cas aux exemples de réalisation décrit précédemment, mais peut bien entendu être appliqué dans tous les cas qui s'appuient sur les principes et variantes présentés dans le présent document. 15 De façon générale, les ensembles secondaires constitués peuvent présenter un nombre égal de mesures, ou un nombre différent. On cherchera dans tous les cas à minimiser le cardinal moyen des ensembles d'entrée des filtres de Kalman, de façon à équilibrer la charge de calcul entre les différents filtres de Kalman exécutés en parallèle, et donc d'éviter qu'un filtre de Kalman ayant à traiter une solution de navigation à partir d'un grand nombre de mesures par rapports aux autres filtres, ne retarde la détection et l'isolation des défaillances. Le nombre d'ensembles secondaires élaborés peut être fixe, ou bien être variable. Le nombre d'ensembles secondaires peut par exemple varier en fonction du nombre de satellites en vue. Un produit programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé décrit, lorsque ce programme est exécuté par une unité de traitement de données d'un système de navigation, peut par ailleurs être mis en oeuvre. REVENDICATIONS1. Procédé de contrôle d'intégrité d'un ensemble primaire (E) de mesures obtenues à partir de signaux de navigation émis par des satellites et 5 fournies à un dispositif (3) de contrôle d'intégrité comprenant une pluralité de filtres de Kalman, le procédé comprenant les étapes de : - définition (SET), pour chaque filtre de Kalman, d'un ensemble secondaire (ESi-EST) de mesures contenues dans l'ensemble primaire (E), 10 - calcul (KAL) par chaque filtre de Kalman d'une solution de navigation à partir d'un ensemble secondaire respectif de mesures, le procédé étant caractérisé en ce que la définition (SET) des ensembles secondaires (ESi-EST) respecte les principes suivants : - chaque mesure contenue dans l'ensemble primaire (E) est présente 15 dans au moins un des ensembles secondaires (ESi-EST), - pour chaque p-uplet de mesures de l'ensemble primaire, p étant un entier prédéterminé supérieur à 1, au moins un des ensembles secondaires (ES,-EST) ne contient pas ledit p-uplet de mesures, - pour chaque ensemble secondaire (ESi-EST), au moins (E) un des p- 20 uplets est exclu dudit ensemble secondaire, et en ce qu'il comprend en outre les étapes de : - détection (DET1), pour chaque solution de navigation, d'au plus p mesures défaillantes non-présentes dans l'ensemble secondaire à partir duquel la solution de navigation est élaborée, et 25 - signalement (DET2) d'au plus p satellites défaillants dans l'ensemble primaire (E) à partir des résultats respectifs des détections. 2. Procédé de contrôle d'intégrité selon la revendication 1, dans lequel 30 chaque ensemble secondaire (ESi-EST) comprend au moins 3+nc mesures de l'ensemble primaire (E), ne étant un nombre prédéterminé deconstellations auxquelles les satellites émettant les signaux donnant les mesures de l'ensemble primaire (E) appartiennent. 3. Procédé de contrôle d'intégrité selon l'une des revendications 1 et 2, dans lequel, pour chaque mesure individuelle de l'ensemble primaire (E) et pour chaque p-uplet de mesures de l'ensemble primaire (E), il existe au moins un ensemble secondaire (ESi-EST) ne contenant ni cette mesure individuelle ni ce p-uplet de mesures. 4. Procédé de contrôle d'intégrité selon l'une des revendications 1 à 3, dans lequel la définition (SET) des ensembles secondaires (ESi-EST) respecte les principes suivants pour tout entier k compris entre 1 et p : - pour chaque k-uplet de mesures de l'ensemble primaire (E), au moins un des ensembles secondaires ne contient pas ledit k-uplet de mesures, - pour chaque ensemble secondaire, au moins un des k-uplets est exclu dudit ensemble secondaire. 5. Procédé de contrôle d'intégrité selon les revendications 1 à 4, dans 20 lequel l'étape de signalement (DET2) signale une défaillance à partir des résultats des détections, si au moins un des résultats de première détection reporte au moins une défaillance. 6. Procédé de contrôle d'intégrité selon les revendications 1 à 5, dans 25 lequel l'étape de signalement (DET2) signale une ou plusieurs satellites à exclure, si tous les résultats des détections reportent chacun au moins défaillance. 7. Procédé de contrôle d'intégrité selon la revendication 6, comprenant 30 en outre une étape d'élaboration (CONS) d'une solution de navigationconsolidée à partir de solutions de navigation élaborées (KAL) par les filtres de Kalman et du résultat de l'étape de signalement (DET2). 8. Dispositif de contrôle d'intégrité (3) d'un ensemble primaire de 5 mesures obtenues à partir de signaux de navigation émis par des satellites, le dispositif comprenant : - une unité (D) de traitement de données configurée pour définir une pluralité d'ensembles secondaires de mesures formant chacun un sous-ensemble de l'ensemble primaire, 10 - un banc (B) de filtres de Kalman (F1-Fl), chaque filtre de Kalman étant configuré pour élaborer une solution de navigation à partir d'un ensemble secondaire respectif, le dispositif de contrôle d'intégrité (3) étant caractérisé en ce que l'unité de traitement de données (D) est configurée pour définir les ensembles 15 secondaires selon les principes suivants : - chaque mesure contenue dans l'ensemble primaire est présente dans au moins un des ensembles secondaires, - pour chaque p-uplet de mesures de l'ensemble primaire, p étant un entier prédéterminé supérieur à 1, au moins un des ensembles 20 secondaires ne contient pas ledit p-uplet de mesures, et - pour chaque ensemble secondaire, au moins un des p-uplets est exclu dudit ensemble secondaire, et en ce qu'il comprend : - un banc (C) d'unités de détection (UD1-UDl), chaque unité de 25 détection étant agencée en sortie d'un filtre de Kalman respectif et configurée pour détecter au plus p satellites défaillants correspondant chacun à une mesure non présente dans l'ensemble secondaire traité par ledit filtre de Kalman, p étant supérieur à 1, - une unité de prise de décision (P) configurée pour signaler au plus p 30 satellites défaillants à partir des résultats de détection élaborés par les unités de détection (UD1-UDl). 9. Système de navigation (2) comprenant une pluralité de récepteurs (R1- Rp) de signaux de radionavigation émis par des satellites, un dispositif (3) selon la revendication 8 adapté pour contrôler l'intégrité d'un ensemble 5 primaire de mesures de navigation satellite acquises par la pluralité de récepteurs (R1-Rp), et une unité de consolidation (A) configurée pour élaborer une solution de navigation consolidée et des limites de protection à partir de solutions de navigation élaborées par les filtres de Kalman (F1 - Fl) et de satellites défaillants signalés par l'unité de prise de décision (P). 10 10. Système de navigation (2) selon la revendication 9, dans lequel l'unité de consolidation (A) est en outre configurée pour élaborer des limites de protection à partir de solutions de navigation élaborées par les filtres de Kalman (F1-Fl) et de satellites défaillants signalés par l'unité de prise de 15 décision (P). 11. Produit programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé selon l'une de revendications 1 à 7, lorsque ce programme est exécuté par une unité de 20 traitement de données.