FR 3028975 A1 20160527 FR 1402675 A 20141126 1 Procédé de détection d'erreur d'un système de gestion de vol et de guidage d'un aéronef et système de gestion de vol et de guidage à haute intégrité DOMAINE DE L'INVENTION La présente invention concerne de manière générale la détection d'erreur d'un système de gestion de vol et de guidage d'un aéronef. Plus particulièrement l'invention concerne une détection d'erreur permettant d'obtenir un système de gestion de vol et de guidage présentant une haute intégrité. ETAT DE LA TECHNIQUE Un plan de vol est la description détaillée de la route à suivre par un aéronef dans le cadre d'un vol planifié. Le plan de vol est couramment géré à bord des avions civils par un système désigné par la terminologie anglo-saxonne de « Flight Management System », que l'on appellera FMS par la suite qui met la route à suivre à disposition du personnel de bord et à disposition des autres systèmes embarqués. Ce système FMS permet aussi une aide à la navigation, par l'affichage d'informations utiles aux pilotes, ou bien par la communication de consignes de guidage à un système de pilotage automatique. La figure 1 présente un diagramme synthétique illustrant la structure d'un FMSO connu de l'état de la technique. Un système de type FMS connu dispose d'une interface homme-machine IHM comprenant par exemple un clavier et un écran d'affichage, ou bien simplement un écran d'affichage tactile, ainsi qu'au moins les fonctions suivantes, illustrées de manière générique par un module associé, décrites dans la norme ARINC 702 : - Navigation LOC effectue la localisation optimale de l'aéronef en fonction des moyens de géo-localisation GEOLOC tels que le géopositionnement par satellite ou GPS, les balises de radionavigation VHF, les centrales inertielles. Ce module communique avec les 3028975 2 dispositifs de géo-localisation précités. Ainsi le module LOC calcule la position (latitude, longitude, altitude) et la vitesse de l'aéronef dans l'espace. - Plan de vol FPLN saisit les éléments géographiques constituant le squelette de la route à suivre, tels que les points imposés par les procédures de départ et d'arrivée, les waypoints, les routes aériennes ou airways selon la dénomination anglo-saxonne ; - Base de données de navigation NAVDB contient les waypoints, les routes géographiques, les procédures et les balises - Base de données de performance PERFDB contient les paramètres de performances aérodynamiques et des moteurs de l'appareil ; - Trajectoire latérale TRAJ, construit par calcul une trajectoire continue à partir des points du plan de vol, en utilisant les performances de l'aéronef et en respectant les contraintes de confinement (RNP) ; - Prédictions PRED, construit un profil vertical optimisé sur la trajectoire latérale et fournit les prédictions en heure de passage, quantité restante de fuel, altitude et vitesse de passage à chacun des points du plan de vol. - Guidage GUID établit, à partir de la position et de la trajectoire calculée, des consignes de guidage pour guider l'aéronef dans les plans latéraux, verticaux et vitesse pour suivre sa trajectoire tridimensionnelle, tout en optimisant sa vitesse. Les consignes de guidage sont transmises au pilote automatique. Lorsque l'aéronef est équipé d'une pilote automatique PA et qu'il fonctionne, c'est lui qui transforme les consignes de guidages en commandes de vol. - Liaison de données numériques DATALINK communique avec les centres de contrôle aériens, les centres opérationnels au sol et dans le futur les autres aéronefs 13. Le plan de vol est entré par le pilote, ou bien par liaison de données, à partir de données contenues dans la base de données de navigation. Le pilote saisit ensuite les paramètres de l'aéronef : masse, plan de vol, plage de niveaux de croisière, ainsi que un ou une pluralité de critères d'optimisation, tels que le Cost Index Cl. Ces entrées permettent aux 3028975 3 modules TRAJ et PRED de calculer respectivement la trajectoire latérale et le profil vertical, c'est-à-dire le profil de vol en termes d'altitude et de vitesse, qui par exemple minimise le critère d'optimisation. Ainsi de manière classique un système de gestion de vol : -calcule une position de l'avion (LOC) à partir de données issues de capteurs embarqués listés ci-dessus, -détermine une trajectoire (module TRAJ/PRED) avec les bases de données PERF DB, conformément au plan de vol défini à partir de la NAV DB, - fournit, à partir de la position et de la trajectoire, des consignes de guidage (module GUID), (« flight guidance target » en anglais) pour suivre cette trajectoire. De manière classique, la position avion calculée permet d'identifier un écart éventuel avec la trajectoire ou un changement (virage, montée, accélération, décélération) à venir de la trajectoire. A partir de cet écart latéral, GUID va établir une consigne de guidage, de manière classique : roulis en latéral, tangage ou pente en vertical, vitesse ou niveau de poussée en vitesse. Dans la suite de l'exposé, le terme « consigne de guidage » (« flight guidance target» en anglais) recouvre l'ensemble des consignes de guidages telles que définies ci-dessus. Les consignes de guidage générées par GUID sont transmises au pilote automatique PA. Le PA transforme les consignes de guidage qui lui sont envoyées en commandes de vol directement appliquées à l'aéronef (Ailerons, Elevateurs, Moteurs...) Dans la suite de l'exposé, le terme « commande de vol» ( « Flight Control» en anglais) recouvre l'ensemble des commandes de vol telles que définies ci-dessus. De manière classique, le pilote automatique génère et envoie aux gouvernes de l'avion la position (angle) pour les ailerons et élévateurs, la poussée pour les moteurs.... De manière générale, un pilote automatique PA permet de guider un aéronef automatiquement à partir de consignes fournies, soit par le pilote («tactique) au travers d'une interface dite FCU (AIRBUS) ou MCP (BOEING), soit par un système de type FMS (stratégique). Nous nous intéresserons au guidage à partir du FMS. 3028975 4 Ces commandes de vol sont présentées au pilote via le directeur de vol (Flight Director en anglais) sous la forme par exemple de barres verticales et latérales (que le pilote doit essayer de suivre à la main lorsque le pilote automatique n'est pas engagé). Certaines procédures nécessitent un niveau plus important de précision sur le guidage des aéronefs. Par exemple, vers la fin de la phase croisière et quelques minutes avant de commencer la descente, le pilote sélectionne via le FMS la procédure d'approche qu'il utilisera pour poser l'avion sur la piste d'atterrissage de son aéroport de destination. La procédure d'approche pour certains aéroports est du type RNP AR avec RNP oc - la figure 6 décrit un procédé de détection d'erreur d'un système de gestion de vol et de guidage d'un aéronef selon l'invention. - la figure 7 décrit un mode de réalisation du procédé selon l'invention ; - la figure 8a décrit le procédé selon l'invention comprenant en outre des étapes dupliquées sur un deuxième système exécutant le même procédé - la figure 8b décrit un mode de réalisation du procédé exécuté par le deuxième système. - la figure 8c décrit un autre mode de réalisation du procédé exécuté par le deuxième système. -la figure 9 décrit un système 10 de gestion de vol et de guidage d'un aéronef selon l'invention à haute intégrité. - la figure 10 décrit une implémentation plus détaillée du système selon l'invention. - la figure 11 illustre une variante du système 10 de gestion de vol et de guidage d'un aéronef à haute intégrité selon l'invention comprenant un deuxième ensemble FMS et un deuxième pilote automatique. - la figure 12 décrit un exemple d'implémentation détaillé du système de la figure 11. - la figure 13 illustre une autre variante du système selon l'invention. DESCRIPTION DETAILLEE DE L'INVENTION La figure 6 décrit un procédé 100 de détection d'erreur d'un système de gestion de vol et de guidage d'un aéronef suivant un plan de vol PV selon l'invention. 3028975 12 Le procédé comprend une première étape 101 consistant à générer une première consigne de guidage de référence CG1com calculée de manière classique à partir d'une première position de référence POS1com et d'une première trajectoire de référence TRAJ1com. La première consigne de guidage de référence CG1com est calculée par une partie d'un premier ensemble FMS dénommé E-FMS1, la partie étant dénommée partie de calcul FMS1-COM du premier ensemble FMS E-FMS1. POS1com et TRAM com sont calculées par FMS1-COM de manière classique à partir de données DATA issues de capteurs embarqués tels que récepteurs GPS, centrales inertielles, signaux issus de balises radio VHF, d'une première base de données de navigation NAV1 DB et d'une première base de données de performances PERF1 DB. CG1com est calculée de manière classique , la fonction étant assurée par un module GUID1com de FMS1-COM. Le procédé 100 selon l'invention comprend ensuite une étape 102 de contrôle de l'intégrité de la première position de référence POS1com à partir d'au moins une partie desdites données issues de capteurs embarqués. Le contrôle est effectué par une partie de E-FMS1 dénommée partie de contrôle F1-MON, indépendante de la partie F1-COM ; autrement dit porté par une plateforme de calcul différent de celle de FMS1-COM. Typiquement, le FMSI-MON reçoit les informations issues des senseurs de positions (GPS, Inerties) et la position POS1com qui lui est transmise par FMS1-MON. FMS1-MON effectue un test de vraisemblance en comparant la position POS1com avec les positions GPS, qui par exemple donne trois positions formant un triangle dans lequel doit être situé l'avion. Si l'écart est trop important la position POS1com est considérée invalide. Par exemple lors d'une procédure RNM REVENDICATIONS1. Procédé (100) de détection d'erreur d'un système de gestion de vol couplé à un guidage d'un aéronef suivant un plan de vol, comprenant les étapes consistant à -générer (101) une première consigne de guidagè de référence (CG1com), calculée par une partie d'un premier ensemble FMS (E-FMS1) dénommée partie de calcul du premier ensemble FMS (FMS1-COM), à partir d'une première position de référence (POS1com) et d'une première trajectoire de 10 référence (TRAJ1com) calculées par la partie de calcul du premier ensemble FMS (FMS1-COM) à partir de données issues de capteurs embarqués (DATA), d'une première base de données de navigation (NAV1 DB) et d'une première base de données de performances (PERF1 DB), -contrôler (102) l'intégrité, par une partie du premier ensemble FMS (E15 FMS1) dénommée partie de contrôle du premier ensemble FMS (F1-MON), de la première position de référence (POS1com), à partir d'au moins une partie desdites données issues de capteurs embarqués, -lorsque la première position de référence n'est pas contrôlée intègre : 20 *Invalider (103) le premier ensemble FMS (E-FMS1) et le système de guidage associé, - lorsque la première position de référence est contrôlée intègre : *générer (104) une première consigne de guidage de contrôle (CG1 moN), 25 calculée par la partie de contrôle du premier ensemble FMS (F1-MON), à partir de la première position de référence (POS1com) et de la première trajectoire de référence (TRAJ1com), *générer (105) une première commande de vol de référence (CV1com), par une partie de référence (PA1-COM) d'un premier pilote automatique 30 (PA1), à partir de la première consigne de guidage de référence (CG1com), * générer (106) une première commande de vol de contrôle (CV1MON), par une partie de contrôle (PA1-MON) du premier pilote automatique (PA1), à partir de la première consigne de guidage de contrôle,(CG1*.ye), 3028975 31 *contrôler (116) l'intégrité de la première consigne de guidage de référence (CG1 oom) à l'aide de la première consigne de guidage de contrôle (CG1moN), -lorsque la première consigne de guidage de référence (CG1 oom) n'est pas contrôlée intègre *invalider le premier ensemble FMS (E-FMS1) et le guidage associé, -lorsque la première consigne de guidage de référence (CG1 oom) est contrôlée intègre : *délivrer la première consigne de guidage de référence intègre (CG1oom) 2. Procédé (100) selon la revendication 1 comprenant en outre l'étape consistant à, lorsque la première consigne de guidage de référence (CG1c0M) est contrôlée intègre : -vérifier (107) la cohérence des premières commandes de vol de référence (CV1o0m) et de contrôle (CV1 MON), + lorsque les premières commandes de vol de référence (CV1oom) et de contrôle (CV1moN) sont incohérentes : invalider (108) le premier pilote automatique (PA1)., + lorsque les premières commandes de vol de référence (CV100m) et de contrôle (CV1moN) sont cohérentes : délivrer la première commande de vol de référence cohérente (CV1o0m) 3. Procédé (100) selon la revendication 2 comprenant en outre l'étam 25 consistant à, lorsque les premières commandes de vol de référence (CV1oom) et de contrôle (CV1moN) sont cohérentes : afficher (109) la première commande de vol de référence (CV100m) 4. Procédé selon la revendication 3 comprenant en outre une étape 30 consistant à déclencher (110) le guidage automatique de l'aéronef avec la première commande de vol de référence (CV1com), lorsque les premières commandes de vol de référence (CV1 oom) et -de contrôle (CVIMON) sont cohérentes. 3028975 32 5. Procédé selon l'une des revendications précédentes comprenant en outre une étape consistant à, lorsque la première position de référence ou la première consigne de guidage de référence (CG1 com) n'est pas contrôlée intègre, ou lorsque les premières commandes de vol de référence (CV1c00 et de contrôle (CV1moN) sont incohérentes, informer (111,112) un pilote de l'invalidation du premier système de gestion de vol et du premier pilote automatique. 6. Procédé selon l'une des revendications précédentes dans lequel le 10 contrôle de l'intégrité de la première consigne de guidage de référence (CG1 cm) consiste à la comparer avec la première consigne de guidage de contrôle (CGIMON) à l'aide d'un critère de guidage. 7. Procédé selon l'une des revendications précédentes dans lequel l'étape 15 de contrôle de l'intégrité de la première position de référence (POS1com) comprend l'étape consistant à : -comparer la position de référence (POS1com) avec une position estimée (POSIMON) calculée par la partie de contrôle du premier FMS (FMS1-MON) à partir d'au moins une partie desdites données issues de capteurs embarqués 20 à l'aide d'un critère de position. 8. Procédé (100) selon l'une des revendications précédentes délivrant en outre une deuxième commande de vol de référence (CV2com) cohérente obtenue simultanément de manière continue selon les même étapes dupliquées (200) du procédé selon la revendication 2 à l'aide d'un deuxième ensemble FMS (E-FMS2) et d'un deuxième pilote automatique (PA2). 9. Procédé (100) selon la revendication 8 comprenant en outre une étape (113) consistant à afficher la deuxième commande de vol de référence 30 (CV2com), lorsque le premier système de gestion de vol ou le premier pilote automatique est invalide. 10. Procédé (100) selon les revendications 8 ou 9 comprenant en outre une étape (114) consistant à déclencher le guidage automatique de l'aéronef 35 avec la deuxième commande de vol de référence (CV2com), lorsque le 3028975 33 premier système de gestion de vol ou le premier pilote automatique est invalide. 11. Procédé (100) selon la revendication 10 dans lequel l'étape (114) de 5 déclenchement est opérée manuellement par le pilote. 12. Procédé (100) selon la revendication 10 dans lequel l'étape de déclenchement (114) est opérée automatiquement sans intervention du pilote 10 13. Procédé selon l'une des revendications 8 à 12 dans lequel l'aéronef est en phase d'approche selon une procédure à couloir contraint (RNP AR). 14. Procédé selon la revendication 13 comprenant une étape préliminaire de 15 validation du plan de vol. 15. Procédé selon la revendication 8 dans lequel les premier et deuxième pilotes automatiques sont simultanément engagés préalablement au démarrage du procédé. 20 16. Système (10) de gestion de vol et de guidage d'un aéronef à haute intégrité comprenant : -un premier ensemble FMS (E-FMS1) comprenant : 25 *une partie dénommée partie de calcul du premier ensemble FMS (FMS1- COM) comprenant : .. une première base de données de navigation (NAV1 DB) et one première base de données de performances (PERF1 DB), un premier module de calcul de position (LOCI) configuré pour calculer une première position de référence (POS1com) à partir de données issues de capteurs embarqués et des bases de données, ..un premier module de calcul de trajectoire (TRAJ/PRED1) configuré pour calculer d'une première trajectoire de référence (TRAJlcom) à partir de données issues de capteurs embarqués et des bases de données, 3028975 34 ..un premier module de guidage de référence (GUID1com) configuré pour générer une première consigne de guidage de référence (CG1com), à partir de la première position de référence (POS1com) et de la première trajectoire de référence (TRAJ1com) 5 *une partie dénommée partie de contrôle du premier ensemble FMS (F1-MON) configurée pour ..contrôler l'intégrité de la première position de référence (POS1com) à partir d'au moins une partie des données issues de capteurs embarqués, 10 ..mémoriser la première trajectoire de référence (TRAJ1com) transmise par la partie de calcul du premier ensemble FMS (FMS1-COM), ..générer une première consigne de guidage de contrôle (CG1MON) calculée à partir de la première position de référence (POS1com) et de la première trajectoire de référence (TRAJ1com) mémorisée, 15 'contrôler l'intégrité de la première consigne de guidage de référence (CG1com) avec la première consigne de guidage de contrôle (CG1moN). ledit système de gestion de vol et de guidage (10) comprenant en outre 20 -un premier pilote automatique (PA1) comprenant : *une partie de référence (PA1-COM) configurée pour générer une première commande de vol de référence (CV1com) à partir de la première consigne de guidage de référence (CG1com), *une partie de contrôle (PA1-MON) configurée pour générer une première 25 commande de vol de contrôle (CV1MON), à partir de la première consigne de guidage de référence (CG1com), *ledit premier pilote automatique (PA1) étant en outre configuré pour vérifier la cohérence des premières commandes de vol de référence (CV1com) et de contrôle-(CV1MON), 30 -ledit système de gestion de vol et de guidage (10) étant en outre configuré pour invalider le premier ensemble FMS (E-FMS1) et le premier pilote automatique (PA1) associé, lorsque la première position de référence n'est pas contrôlée intègre ou lorsque les commandes de vol de référence 35 (CV1 com) et de contrôle (CV1MON) sont incohérentes. 3028975 35 17. Système (10) de gestion de vol et de guidage selon la revendication 16 comprenant en outre au moins un module d'affichage (DISP) configuré pour afficher la première commandes de vol de référence (CV1com) lorsque le 5 premier ensemble FMS et le premier pilote automatique sont valides. 18. Système (10) de gestion de vol et de guidage selon la revendication 16 ou 17 configuré pour déclencher le guidage automatique de l'aéronef avec la première commande de vol de référence (CV1com), lorsque le premier 10 système de gestion de vol et le premier pilote automatique sont valides. 19. Système (10) de gestion de vol et de guidage d'un aéronef à haute intégrité selon l'une des revendications 16 à 18 comprenant en outre un deuxième ensemble FMS (E-FMS2) et un deuxième pilote automatique 15 (PA2) correspondant respectivement à une duplication du premier ensemble FMS (E-FMS1) et du premier pilote automatique (PA1), le système étant configuré pour générer une première commande de vol de référence (CV1com) et une deuxième commande de vol -de référence (CV2com) simultanément et de manière continue. 20 20. Système (10) selon la revendication 19 configuré en outre pour déclencher le guidage automatique avec la première commande de vol de référence (CV1com) lorsque le premier système de gestion de vol et le premier pilote automatique sont valides, et pour déclencher le guidage 25 automatique de l'aéronef avec la deuxième commande de vol dé-référence (CV2com) lorsque le premier système de gestion de vol et le premier pilote automatique sont invalides. 21. Système (10) selon la revendication 20 dans lequel le module d'affichage 30 (DISP) est en outre configuré pour afficher la deuxième commande de vol de référence (CV2com) lorsque le premier système de gestion de vol et le premier pilote automatique sont invalides. 3028975 36 22. Un produit programme d'ordinateur, ledit programme d'ordinateur comprenant des instructions de code permettant d'effectuer les étapes du procédé selon l'une quelconque des revendications 1 à 15.