FR 3030095 A1 20160617 FR 1462151 A 20141210 1 DOMAINE TECHNIQUE La présente invention concerne un ensemble de gestion de vol d'un aéronef, en particulier d'un avion de transport, et un procédé de surveillance de consignes de guidage générées par un tel ensemble de gestion de vol. Bien que non exclusivement, la présente invention s'applique plus particulièrement à un aéronef mettant en oeuvre des opérations à performances de navigation requises avec autorisation requise, de type RNP AR (« Required Navigation Performance with Authorization Required » en anglais). Ces opérations RNP AR sont basées sur une navigation de surface de type RNAV (« aRea NAVigation » en anglais) et sur des opérations à performances de navigation requises de type RNP (« Required Navigation Performance » en anglais). Elles présentent la particularité de nécessiter une autorisation spéciale pour pouvoir être mises en oeuvre sur un aéronef. On sait que le concept RNP correspond à une navigation de surface, pour laquelle sont ajoutés (à bord de l'aéronef) des moyens de surveillance et d'alerte qui permettent d'assurer que l'aéronef reste dans un couloir, dit RNP, autour d'une trajectoire de référence. A l'extérieur de ce couloir se trouve potentiellement du relief ou d'autres aéronefs. La performance requise pour un type d'opération RNP est définie par une valeur RNP qui représente la demi-largeur (en milles nautiques : NM) du couloir autour de la trajectoire de référence, dans lequel l'aéronef doit rester 95% du temps au cours de l'opération. Un second couloir (autour de la trajectoire de référence) de demi-largeur deux fois la valeur RNP est également défini. La probabilité que l'aéronef sorte de ce second couloir doit être inférieure à 10-7 par heure de vol. Le concept d'opérations RNP AR est plus contraignant encore. Les procédures RNP AR sont, en effet caractérisées par : - des valeurs RNP : - qui sont inférieures ou égales à 0,3NM en approche, et qui peuvent descendre jusqu'à 0,1NM ; et 3030095 2 - qui sont strictement inférieures à 1NM au départ et lors d'une remise des gaz, et qui peuvent également descendre jusqu'à 0,1NM ; - un segment d'approche finale qui peut être courbe ; et - des obstacles (montagnes, trafic...) qui peuvent être situés à deux fois la valeur 5 RNP par rapport à la trajectoire de référence, alors que pour les opérations RNP usuelles, une marge supplémentaire par rapport aux obstacles est prévue. Les autorités aériennes ont défini un niveau de sécurité visé TLS (« Target Level of Safety » en anglais) de 10-7 par heure de vol. Dans le cas des opérations RNP AR, comme les valeurs RNP peuvent descendre jusqu'à 0,1NM et les 10 obstacles peuvent être situés à deux fois la valeur RNP de la trajectoire de référence, cet objectif se traduit par une probabilité que l'aéronef sorte du couloir de demi-largeur D=2.RNP qui ne doit pas excéder i07 par heure de vol. La présente invention s'applique à un ensemble de gestion de vol comprenant deux chaînes de guidage pourvues, chacune, d'un système de 15 gestion de vol, de type FMS (« Flight Management System » en anglais). ETAT DE LA TECHNIQUE Les équipements embarqués à bord d'un aéronef et notamment 20 l'ensemble de gestion de vol doivent permettre d'atteindre le niveau de sécurité visé, si l'aéronef doit mettre en oeuvre des opérations à performances de navigation requises avec autorisation requise de type RNP AR. L'objectif est d'avoir la capacité de voler les procédures RNP AR avec des valeurs RNP jusqu'à 0,1NM, et ceci sans restriction (en situation normale et en 25 cas de panne) en départ, approche et remise de gaz. Or, pour qu'un aéronef ait la capacité de voler de telles procédures RNP AR, il est nécessaire notamment de pouvoir éliminer de la boucle de guidage une source erronée de calcul d'ordres (ou consignes) de guidage, afin de contrer ses éventuels effets sur la trajectoire de l'aéronef. 30 Pour pouvoir mettre en oeuvre une opération de type RNP 0,1, l'ensemble de gestion de vol doit permettre de respecter une sévérité de type « hazardous » (dangeureux) en cas de perte ou d'erreur des consignes de guidage. De plus, il 3030095 3 faut que, en cas de détection d'un calcul erroné, l'aéronef puisse continuer à être guidé en mode automatique pour être maintenu dans le couloir RNP. Avec un ensemble de gestion de vol à deux systèmes de gestion de vol, en cas de désaccord entre les deux systèmes de gestion de vol, l'ensemble n'est 5 pas capable d'identifier celui qui est défectueux, et l'aéronef ne peut donc plus être guidé en mode automatique et n'est pas en mesure de mettre en oeuvre de telles opérations RNP. EXPOSÉ DE L'INVENTION 10 La présente invention a pour objet de remédier à cet inconvénient. Elle concerne un ensemble de gestion de vol d'un aéronef, permettant de mettre en oeuvre des opérations RNP telles que précitées, ledit ensemble de gestion de vol comprenant deux chaînes de guidage pourvues, chacune, d'un 15 système de gestion de vol, lesdits systèmes de gestion de vol étant indépendants et hébergés dans des équipements différents, chacun desdits systèmes de gestion de vol étant configuré pour réaliser au moins un calcul de consignes de guidage pour l'aéronef, ledit ensemble de gestion de vol comprenant également au moins une unité de surveillance configurée pour réaliser des surveillances de 20 données générées par les systèmes de gestion de vol. Selon l'invention, l'unité de surveillance est hébergée dans un équipement différent des équipements hébergeant les deux systèmes de gestion de vol, et l'unité de surveillance est configurée pour réaliser une surveillance des consignes de guidage calculées par les deux systèmes de gestion de vol de manière à 25 pouvoir détecter et identifier un système de gestion de vol défectueux. En plus, des consignes (ou ordres) de guidage, l'unité de surveillance est également configurée pour surveiller des déviations. Ainsi, grâce à cette architecture, l'unité de surveillance est apte à identifier un système de gestion de vol défectueux afin de permettre de guider l'aéronef à 30 l'aide d'un système de gestion de vol non défectueux, ce qui, comme précisé ci-dessous, permet à l'aéronef d'avoir la capacité de voler des opérations de type RNP telles que précitées, et de remédier à l'inconvénient précité. 3030095 4 De façon avantageuse, ladite unité de surveillance est configurée - pour calculer la différence entre une consigne de guidage calculée par l'un desdits systèmes de gestion de vol et une consigne de guidage correspondante calculée par l'autre desdits systèmes de gestion de vol, et pour comparer cette 5 différence à une marge prédéterminée ; et - si ladite différence est supérieure à ladite marge, pour analyser les évolutions d'extrapolations de la position de l'aéronef, déduites des consignes de guidage respectives, de manière à pouvoir détecter une consigne de guidage incohérente et ainsi détecter comme défectueux le système de gestion de vol ayant calculé 10 cette consigne de guidage incohérente. De plus, avantageusement, chacun des systèmes de gestion de vol est configuré pour réaliser également au moins l'un des calculs suivants : - un calcul d'une position de l'aéronef ; - un calcul d'une trajectoire de l'aéronef ; et 15 - un calcul de l'écart entre la position et la trajectoire de l'aéronef. En outre, de façon avantageuse, l'unité de surveillance est configurée pour réaliser également au moins l'une des surveillances suivantes : - une surveillance d'un calcul d'une position de l'aéronef ; - une surveillance d'une extraction d'une procédure pour mettre en oeuvre une 20 opération à performances de navigation requises avec autorisation requise à partir d'une base de données de navigation et d'un chargement de la procédure dans un plan de vol ; et - une surveillance d'un calcul de trajectoire. Par ailleurs, avantageusement, le guidage de l'aéronef est réalisé selon 25 des données fournies par l'une des deux chaînes de guidage, dite chaîne de guidage active, et l'ensemble de gestion de vol comprend des moyens de commutation configurés pour, en cas de détection par l'unité de surveillance d'un système de gestion de vol défectueux et si la chaîne de guidage active est celle comprenant ce système de gestion de vol défectueux, générer une commutation 30 consistant à rendre active l'autre desdites deux chaînes de guidage. 3030095 5 En outre, dans un mode de réalisation particulier, l'ensemble de gestion de vol comprend deux unités de surveillance configurées pour réaliser les mêmes surveillances. La présente invention concerne également un procédé de surveillance 5 d'au moins une consigne (ou ordre) de guidage fournie (ou générée) par un ensemble de gestion de vol tel que décrit ci-dessus. Selon l'invention, ledit procédé de surveillance comprend les étapes successives suivantes : - une étape de réception d'au moins une consigne de guidage à surveiller et d'une 10 valeur courante d'au moins un paramètre illustrant l'état courant de l'aéronef ; - une première étape de calcul, au moins à partir de ladite consigne de guidage et de ladite valeur courante de l'aéronef, d'une pluralité de positions dites extrapolées de l'aéronef, pour des durées successives données à partir d'un instant courant ; 15 - une deuxième étape de calcul d'écarts de route dits extrapolés, correspondant à des écarts desdites positions extrapolées par rapport à un segment de référence ; et - une étape d'analyse des écarts de route extrapolés, pour déterminer s'ils divergent ou convergent de manière à pouvoir déduire si la consigne de guidage 20 est correcte ou non. Avantageusement, lesdites étapes successives sont mises en oeuvre séparément pour deux consignes de guidage, reçues des deux systèmes de gestion de vol de l'ensemble de gestion de vol, si la différence entre ces deux consignes de guidage est supérieure à une marge prédéterminée. 25 De plus, de façon avantageuse, la première étape de calcul (de positions extrapolées) consiste à calculer une position extrapolée de l'aéronef, à l'aide des données suivantes : - les valeurs de paramètres de l'aéronef, préalablement validées, illustrant l'état de l'aéronef ; 30 - un ordre de roulis représentant la consigne de guidage à surveiller ; - la valeur courante d'au moins un paramètre atmosphérique ; et - un modèle de performance de l'aéronef. 3030095 6 En outre, avantageusement, ledit segment de référence est l'un des segments suivants : - un segment actif d'un plan de vol suivi par l'aéronef ; - un segment actif d'une trajectoire suivie par l'aéronef. 5 La présente invention concerne également un aéronef, en particulier un avion de transport, qui est pourvu d'un ensemble de gestion de vol tel que celui spécifié ci-dessus. BRÈVE DESCRIPTION DES FIGURES 10 Les figures annexées feront bien comprendre comment l'invention peut être réalisée. Sur ces figures, des références identiques désignent des éléments semblables. La figure 1 est le schéma synoptique d'un mode de réalisation particulier 15 d'un ensemble de gestion de vol d'un aéronef. La figure 2 est un schéma montrant un aéronef volant suivant une trajectoire de vol extrapolée, sur lequel on a mis en évidence des écarts de route par rapport à un segment de référence. La figure 3 est un graphique illustrant l'évolution d'écarts de route d'un 20 aéronef, ainsi que les évolutions d'écarts de route pour différents temps d'anticipation, en fonction du temps, dans le cas d'une consigne de roulis erronée. La figure 4 est un graphique illustrant l'évolution d'écarts de route d'un aéronef, ainsi que les évolutions d'écarts de route pour différents temps d'anticipation, en fonction du temps, dans le cas d'une rafale de vent latérale et 25 d'une consigne de roulis non erronée. DESCRIPTION DÉTAILLÉE La figure 1 montre schématiquement un ensemble de gestion de vol 1 30 d'un aéronef, en particulier d'un avion de transport, qui permet d'illustrer l'invention. 3030095 7 Cet ensemble de gestion de vol 1 qui est embarqué sur l'aéronef, comprend deux chaînes de guidage 2A et 2B pourvues, chacune, d'un système de gestion de vol 3A et 3B de type FMS (« Flight Management System » en anglais). Les deux systèmes de gestion de vol 3A et 3B sont indépendants et sont 5 hébergés dans des équipements (« hardware » en anglais) différents. Chacun desdits systèmes de gestion de vol 3A et 3B est configuré pour réaliser des calculs précisés ci-dessous, et notamment un calcul de consignes de guidage pour l'aéronef. Le guidage de l'aéronef est réalisé selon des données (et notamment des 10 consignes de guidage) fournies par l'une seulement desdites deux chaînes de guidage 2A et 2B, dite chaîne de guidage active. Ledit ensemble de gestion de vol 1 comprend également au moins une unité de surveillance 4A, 4B configurée pour réaliser des surveillances de données générées par les systèmes de gestion de vol 3A et 3B. 15 Selon l'invention, l'unité de surveillance 4A, 4B est hébergée dans un équipement (« hardware » en anglais) différent des équipements hébergeant les deux systèmes de gestion de vol 3A et 3B. De plus, selon l'invention, l'unité de surveillance 4A, 4B est configurée pour réaliser une surveillance des consignes (ou ordres) de guidage calculées par les deux systèmes de gestion de vol 3A et 20 3B de manière à pouvoir détecter et identifier, le cas échéant, un système de gestion de vol défectueux, parmi les systèmes de gestion de vol 3A et 3B, comme précisé ci-dessous. On entend par système de gestion de vol défectueux, un système de gestion de vol qui calcule et émet au moins une consigne de guidage qui est 25 erronée (ou incorrecte). En plus, des consignes (ou ordres) de guidage, l'unité de surveillance 4A, 4B est également configurée pour surveiller des déviations. Dans un mode de réalisation préféré, représenté sur la figure 1, l'ensemble de gestion de vol 1 comprend deux unités de surveillance 4A et 4B qui 30 sont configurées pour réaliser les mêmes surveillances. Ceci permet en cas de panne de l'une de ces unités de surveillance 4A et 4B en opération RNP, de pouvoir quand même détecter, le cas échéant, un système de gestion de vol 3A 3030095 8 ou 3B défectueux, et donc d'assurer l'intégrité requise pour ce type d'opération RNP. Par ailleurs, l'ensemble de gestion de vol 1 comprend des moyens de commutation configurés pour, en cas de détection par l'unité de surveillance 4A, 5 4B d'un système de gestion de vol défectueux (par exemple le système de gestion de vol 3A) et si la chaîne de guidage active est celle comprenant ce système de gestion de vol défectueux (la chaîne de guidage 2A dans cet exemple), générer une commutation consistant à rendre active l'autre desdites deux chaînes de guidage 2A et 2B (à savoir la chaîne de guidage 2B dans cet exemple). 10 Dans un mode de réalisation particulier, les moyens de commutation comprennent un bouton (non représenté) qui est installé dans le poste de pilotage et qui permet à un membre d'équipage de commander manuellement la commutation. En outre, dans une variante de réalisation, les moyens de commande 15 comprennent au moins une unité de commande 5A, 5B qui est installée dans un calculateur de guidage 8A, 8B précisé ci-dessous, et qui réalise la commutation en fonction d'un statut de surveillance reçu. L'unité de surveillance 4A, 4B est ainsi apte à isoler un système de gestion de vol défectueux afin de permettre à l'équipage de réaliser une opération 20 RNP, avec un temps de réponse acceptable. De plus, comme précisé ci-dessous, l'unité de surveillance 4A, 4B réalise une surveillance basée sur un état réel courant de l'aéronef (vitesse, position, roulis,...) au lieu de données prédites (plan de vol, trajectoire). Pour pouvoir identifier lequel des deux systèmes de gestion de vol 3A et 25 3B est erroné, l'unité de surveillance 4A, 4B surveille chaque étape de calcul mis en oeuvre par ces derniers et s'assure que les deux systèmes de gestion de vol 3A et 3B utilisent une référence cohérente pour l'étape suivante. L'unité de surveillance 4A, 4B est configurée : - pour calculer la différence entre une consigne de guidage calculée par l'un 30 desdits systèmes de gestion de vol 3A et 3B à une consigne de guidage correspondante calculée par l'autre desdits systèmes de gestion de vol 3A et 3B, et pour comparer cette différence à une marge prédéterminée ; et 3030095 9 - si ladite différence est supérieure à ladite marge, pour réaliser une vérification de cohérence en analysant les évolutions des extrapolations de la position de l'aéronef, déduites des consignes de guidage respectives, de manière à pouvoir détecter une consigne de guidage incohérente (c'est-à-dire erronée) et ainsi 5 détecter comme défectueux le système de gestion de vol ayant calculé cette consigne de guidage incohérente. L'ensemble de gestion de vol 1 repose donc sur une nouvelle architecture à deux systèmes de gestion de vol 3A et 3B, qui met en oeuvre une surveillance, notamment, du calcul des déviations et des ordres (ou consignes) de guidage. La 10 surveillance des consignes de guidage générées par un système de gestion de vol 3A, 3B se base sur une extrapolation de la position de l'aéronef. Par ailleurs, chacun des systèmes de gestion de vol 3A et 3B est configuré pour réaliser également, en plus de l'élaboration des consignes de guidage pour asservir la position de l'aéronef sur la trajectoire, les calculs 15 suivants : - un calcul de la position de l'aéronef ; - un calcul de la trajectoire de l'aéronef ; et - un calcul de l'écart entre la position et la trajectoire de l'aéronef. De plus, chacune des unités de surveillance 4A et 4B est configurée pour 20 réaliser, en plus de la surveillance des déviations et des ordres (ou consignes) de guidage, également les surveillances suivantes de calculs réalisés par les systèmes de gestion de vol 3A et 3B : - une surveillance d'un calcul d'une position de l'aéronef ; - une surveillance d'une extraction d'une procédure RNP à partir d'une base de 25 données de navigation de type NDB (« Navigation Data Base » en anglais), la procédure RNP étant stockée dans la base de données de navigation du système de gestion de vol, et d'un chargement de la procédure dans un plan de vol ; et - une surveillance d'un calcul de trajectoire. Ces surveillances sont précisées ci-dessous. 30 Comme représenté sur la figure 1, chaque chaîne de guidage 2A, 2B comprend un ensemble 6A, 6B de capteurs usuels pour déterminer (mesurer, calculer,...) les valeurs de paramètres liés à l'état (position, vitesse,...) de 3030095 10 l'aéronef et à son environnement (température,...). Ces valeurs sont fournies via une liaison 11A, I 1B de l'ensemble 6A, 6B au système de gestion de vol 3A, 3B correspondant (« correspondant » signifiant qui fait partie de la même chaîne de guidage 2A, 2B). 5 Chaque système de gestion de vol 3A, 3B calcule une position de l'aéronef sur la base de valeurs reçues de l'ensemble 6A, 6B de capteurs correspondant. L'ensemble de gestion de vol 1 comporte également une unité auxiliaire 7 qui calcule une troisième position sur la base de valeurs reçues des ensembles 6A et 6B via, respectivement, des liaisons I2A et I2B. Cette unité 10 auxiliaire 7 sert de troisième source de données en vue d'une comparaison et d'un vote dans l'unité de surveillance 4A, 4B. Cette unité auxiliaire 7 réalise uniquement les calculs et opérations indiqués et ne correspond pas à un (troisième) système de gestion de vol. L'unité de surveillance 4A reçoit des informations du système de gestion 15 de vol 3A, du système de gestion de vol 3B et de l'unité auxiliaire 7, respectivement via des liaisons I4A, I5B et I6A, et peut fournir des informations au système de gestion de vol 3A correspondant, via une liaison 17A. L'unité de surveillance 4A peut également fournir les résultats de surveillances mises en oeuvre (et notamment le statut de surveillance) directement au calculateur de 20 guidage 8A précisé ci-dessous. De façon similaire, l'unité de surveillance 4B reçoit des informations du système de gestion de vol 3A, du système de gestion de vol 3B et de l'unité auxiliaire 7, respectivement via des liaisons I5A, I4B, et I6B, et peut fournir des informations au système de gestion de vol 3B correspondant, via une liaison I7B. 25 L'unité de surveillance 4B peut également fournir les résultats de surveillances mises en oeuvre (et notamment le statut de surveillance) directement au calculateur de guidage 8B précisé ci-dessous. La surveillance du calcul de position est mise en oeuvre dans l'unité de surveillance 4A, 4B (ou dans le système de gestion de vol 2A, 2B) par 30 comparaison et vote des positions fournies par les deux systèmes de gestion de vol 4A et 4B, avec la position fournie par l'unité auxiliaire 7. 3030095 11 Par ailleurs, chaque système de gestion de vol 3A, 3B extrait la procédure RNP de sa base de données avant l'opération et la charge dans un plan de vol. Les deux plans de vol sont envoyés aux unités de surveillance 4A et 4B qui les comparent. La surveillance est donc réalisée par comparaison des deux plans de 5 vol après chargement de la procédure. Comme le chargement se fait avant de voler la procédure, en cas de désaccord, les unités de surveillance 4A et 4B redemandent un calcul à chaque système de gestion de vol 3A, 3B. Au bout de plusieurs tentatives infructueuses (au moins deux), l'opération est déclarée impossible et l'équipage est incité à considérer une autre procédure d'approche. 10 En outre, chacun des systèmes de gestion de vol 3A et 3B calcule une trajectoire sur la base du plan de vol validé. L'unité auxiliaire 7 calcule le segment actif (ou quelques segments devant la position courante de l'aéronef) sur la base du même plan de vol validé. La surveillance peut consister : - soit en une comparaison des trois segments actifs, reçus respectivement des 15 systèmes de gestion de vol 3A et 3B et de l'unité auxiliaire 7 avec un vote en cas de désaccord ; - soit en une vérification de cohérence sur la base du plan de vol validé lors de l'opération précédente. Dans ce cas, il n'est pas nécessaire que l'unité auxiliaire 7 calcule un segment actif. L'unité de surveillance 4A, 4B calcule une zone de 20 vérification autour du plan de vol et vérifie si les segments actifs reçus des systèmes de gestion de vol 3A et 3B sont contenus dans cette zone pour les valider. Par ailleurs, chacun des systèmes de gestion de vol 3A et 3B calcule les consignes (ou ordres) de guidage sur la base de la position validée et du segment 25 actif validé précédemment et l'envoie à l'unité de surveillance 4A, 4B qui surveille l'évolution de l'extrapolation de la position de l'aéronef, dérivée de ces consignes de guidage, et invalide le calcul en cas de détection d'anomalie en positionnant un statut de surveillance à invalide. Comme représenté sur la figure 1, chacune des deux chaînes de guidage 2A et 2B de l'ensemble de gestion de vol 1 comporte un 30 calculateur de guidage 8A, 8B de type FG (« Flight Guidance » en anglais). L'un desdits calculateurs de guidage 8A, 8B, à savoir le calculateur de guidage de la 3030095 12 chaîne de guidage active, pilote des servocommandes usuelles de gouvernes de l'aéronef pour guider l'aéronef conformément aux consignes de guidage. La logique de sélection (en fonction du statut de surveillance) entre le calculateur de guidage 8A et le calculateur de guidage 8B, pour piloter les 5 servocommandes et guider l'aéronef, est mise en oeuvre au niveau de ces calculateurs de guidage 8A et 8B de façon usuelle via les unités de communication 5A et 5B usuelles. En cas de différence supérieure à la marge prédéterminée précitée entre les deux consignes de guidage, générées respectivement par les systèmes de 10 gestion de vol 3A et 3B, la surveillance de ces consignes de guidage, mise en oeuvre par les unités de surveillance 4A et 4B, est basée sur l'analyse des consignes de guidage, corrélées avec l'état courant de l'aéronef, afin de calculer des positions extrapolées de l'aéronef pendant des durées définies (par exemple chaque seconde jusqu'à dix secondes) et de les comparer avec un segment de 15 référence (d'un plan de vol ou d'une trajectoire). Pour ce faire, chacune des unités de surveillance 4A et 4B met en oeuvre les étapes successives suivantes : - une étape ET1 de calcul pour calculer à partir de la consigne de guidage à surveiller, une pluralité de positions PI, P2, P3, P4 dites extrapolées de l'aéronef 20 AC, comme représenté sur la figure 2, pour des durées données à partir de l'instant courant ; - une étape ET2 de calcul d'écarts de route El, E2, E3, E4 dits extrapolés, correspondant respectivement à des écarts des positions extrapolées Pi, P2, P3, P4 de l'aéronef AC, qui forment une trajectoire extrapolée TE (dont le sens de vol 25 est montré par une flèche F sur la figure 2) par rapport à un segment de référence SR (figure 2) ; et - une étape ET3 d'analyse des écarts de route extrapolés El à E4, pour déterminer s'ils divergent ou convergent (par rapport au segment de référence SR), afin de pouvoir déterminer si la consigne de guidage est correcte ou non, le 30 système de gestion de vol 3A, 3B calculant par principe une consigne de guidage destinée à faire converger l'aéronef vers le segment de référence SR. 3030095 13 On obtient ainsi un procédé (mis en oeuvre par l'ensemble de gestion de vol 1) de surveillance des consignes de guidage en sortie d'un système de gestion du vol 3A, 3B, qui est rapide, simple, pas coûteux et efficace. On précise ci-après les étapes ET1 à ET3 dudit procédé de surveillance. 5 L'étape ET1 consiste à calculer une position extrapolée de l'aéronef, par exemple dans 1, 2, ..., 10 secondes, à l'aide des données suivantes : - les valeurs courantes de paramètres (position, vitesse,...) de l'aéronef illustrant l'état courant de l'aéronef. Ces valeurs doivent être validées par une surveillance de position (comparaison de données de trois sources pour vérifier si la source 10 utilisée est correcte ou non) ; - un ordre de roulis (ou ordre de commande de roulis) représentant la consigne de guidage dont la validité est à évaluer ; - les valeurs courantes de paramètres atmosphériques (vent, altitude, température,...) ; et 15 - un modèle usuel de performance de l'aéronef. Dans cette étape ET1, la surveillance, mise en oeuvre par l'unité de surveillance 4A, 4B, considère que l'aéronef vole pendant une durée prédéfinie avec un angle de roulis égal à l'ordre de roulis fourni par le système de gestion de vol considéré. 20 L'étape ET2 consiste à calculer les écarts de route El à E4 des positions extrapolées, par rapport au segment actif validé par la surveillance du calcul de trajectoire. Par ailleurs, l'étape ET3 réalise une analyse des valeurs d'écart de route extrapolées. L'évolution des valeurs d'écart de route extrapolées est analysée afin 25 de déterminer s'ils divergent ou convergent pour pouvoir détecter et identifier un système de gestion de vol défectueux. Ceci correspond à l'analyse d'un graphe de la variation d'écart de route par rapport au temps, pour différentes durées d'anticipation. Cette analyse est mise en évidence sur la figure 3. Sur cette figure 3: 30 - l'axe des abscisses représente le temps T en secondes, et l'axe des ordonnés représente la valeur d'écart de route E en mètres (par rapport au segment de 3030095 14 référence) avec une indication d'une limite 9 à 185,2 mètres (qui représente une limite d'un corridor de RNP 0,1 NM) ; et - la courbe CO en tirets représente la variation de l'écart de route de l'aéronef en fonction du temps, dans un cas où un ordre de roulis incorrect est calculé par un 5 système de gestion de vol entre 20 secondes et 26 secondes. De plus, les courbes Cl à C5 représentent les évolutions d'écart de route pour cinq durées (ou temps) d'anticipation différentes. Dans ces anticipations, on considère les positions qui sont attendues dans la durée correspondant à la durée d'anticipation, avec l'ordre de roulis considéré, et donc les écarts de route 10 correspondant à ces positions. Dans l'exemple de la figure 3, on prévoit : - pour Cl : une anticipation de 8 secondes ; - pour C2 : une anticipation de 9 secondes ; - pour C3 : une anticipation de 10 secondes ; - pour C4 : une anticipation de 11 secondes ; 15 - pour C5 : une anticipation de 12 secondes. Trois situations Si, S2 et S3 différentes peuvent être observées sur cette figure 3: - une première situation S1 entre 0 et 20 secondes ; - une deuxième situation S2 entre 20 secondes et 26 secondes ; et 20 - une troisième situation S3 après 26 secondes. Dans la première situation S1 (entre 0 et 20 secondes), l'aéronef se trouve exactement sur le segment de référence considéré (à savoir un segment rectiligne). L'écart de route et l'erreur d'angle de route sont nuls. Ainsi, l'ordre de roulis calculé est nul. Une anticipation de la position de l'aéronef avec un ordre de 25 roulis nul, reste sur la trajectoire. Ainsi, l'écart de route correspondant est également nul pour les courbes Cl à C5. Toutes les courbes CO à C5 sont donc identiques. Dans la deuxième situation S2 (entre 20 secondes et 26 secondes), le système de gestion de vol considéré génère, de façon incorrecte, un ordre de 30 roulis égal à 15°, alors que le segment de référence est toujours un segment rectiligne. En raison de cet ordre de roulis erroné, l'aéronef commence doucement à diverger du segment de référence. L'anticipation de la position de l'aéronef est 3030095 15 plus rapide. En considérant un déplacement d'aéronef utilisant un roulis constant de 15° (l'ordre courant reçu du système de gestion de vol), on s'attend à ce que l'aéronef ait un écart de route de 185,2 mètres dans 12 secondes (courbe C5 à 20 secondes). Les anticipations avec une durée d'anticipation plus faible conduisent 5 à des valeurs d'écart de route entre 80 et 160 mètres (courbes Cl à C4). Au cours du temps, les valeurs d'écart de route réel et d'erreur d'angle de route augmentent, entraînant que l'écart de route anticipé augmente également. Comme l'ordre de roulis est incorrect, l'aéronef ne va pas converger vers le segment de référence. Aussi, 12 secondes d'anticipation (courbe C5) fournissent 10 des valeurs d'écart de route plus importantes que 8 secondes d'anticipation (courbe Cl). Après plusieurs secondes de surveillance, l'unité de surveillance 4A, 4B détecte que les écarts de route sont divergents, et l'aéronef est commuté sur le système de gestion de vol non défectueux qui calcule un ordre de roulis correct. 15 Dans la troisième situation S3 (à partir de 26 secondes), le système de gestion de vol calcule un ordre de roulis correct par rapport à l'écart de route courant et à l'erreur d'angle de route courant. L'aéronef commence doucement à revenir vers le segment de référence, mais comme le roulis a déjà augmenté entre 20 secondes et 26 secondes, il faut approximativement 15 secondes jusqu'à ce 20 que l'écart de route commence à baisser. Comme l'ordre de roulis (correct) fourni par le système de gestion de vol ramène l'aéronef sur le segment de référence, l'anticipation de l'ordre de roulis sur une longue durée (12 secondes) fournit un écart de route plus faible que l'anticipation sur une courte durée (8 secondes). Ceci signifie que l'ordre de roulis 25 est cohérent et l'aéronef va converger. Ceci peut être vu sur le graphe de la figure 3 par l'inversion de courbes Cl à C5. La courbe Cl par exemple est la plus faible lorsque l'ordre de roulis du système de gestion de vol est incorrect, et elle devient la plus élevée lorsque l'ordre de roulis du système de gestion de vol est correct. Avec un choix adéquat de valeurs de temps d'anticipation et tenant 30 compte du fait que, en cas d'absence d'ordre de roulis erroné, l'ordre de roulis est calculé pour toujours ramener l'aéronef sur la trajectoire considérée, l'évolution des valeurs d'écart de route extrapolées fournit une bonne information pour 3030095 16 déterminer si l'ordre de roulis est correct ou non, ou au moins si l'aéronef diverge ou converge par rapport à la trajectoire considérée. De plus, la surveillance mise en oeuvre par l'unité de surveillance 4A, 4B notamment, est configurée pour éviter des détections parasites, en particulier en 5 cas de rafale de vent latérale. On sait qu'en cas de rafale de vent latérale, l'écart de route induit par le déplacement latéral de l'aéronef et le roulis induit par la rafale de vent latérale peuvent conduire à ce qu'un écart de route anticipé, atteigne des valeurs élevées. A titre d'illustration, la figure 4 présente le même type de graphique que la 10 figure 3 (avec des courbes C1A à C5A correspondant aux mêmes durées d'anticipation que les courbes C1 à C5 de la figure 3, COA correspondant à CO), dans le cas où l'ordre de roulis est calculé correctement, mais une rafale de vent latérale ou un guidage anormal conduit le roulis de l'aéronef à croître de 5° par seconde, entre 20 secondes et 23 secondes. 15 La différence principale de la figure 4 par rapport à la figure 3 est que la courbe C1A (8 secondes d'anticipation) présente des valeurs d'écart de route plus élevées que les autres courbes. Comme l'ordre de roulis est correct, on attend à ce que l'aéronef converge sur le segment de référence, en utilisant cet ordre de roulis correct. En conséquence, même si les valeurs d'écart de route anticipées 20 augmentent près de 185m, aucune alerte n'est émise. La surveillance prend en compte des marges et des filtres permettant d'éviter de fausses détections (par exemple dans le cas de rafales de vent latérales). La surveillance précitée (étapes ET1 à ET3) s'ajoute à la comparaison 25 directe des consignes de guidage reçues des deux systèmes de gestion de vol 3A et 3B, pour en cas de divergence, discriminer le système de gestion de vol en panne. L'ensemble de gestion de vol 1, tel que décrit ci-dessus, présente donc une architecture à base de deux systèmes de gestion de vol 3A et 3B et de 30 surveillances (mises en oeuvre notamment par les unités de surveillance 4A et 4B), dont une surveillance des consignes de guidage, pour pouvoir mettre en oeuvre des opérations de type RNP 0,1. 3030095 17 Cette architecture permet : - d'éviter d'avoir à installer un troisième système de gestion de vol (pour servir de troisième source de vote), ce qui serait cher et compliqué ; - d'obtenir un temps de réponse rapide ; et 5 - d'identifier le cas échéant un système de gestion de vol défectueux (en cas de calcul de consignes de guidage erronées) permettant d'invalider le système de gestion de vol défectueux et de poursuivre l'opération sur le système de gestion de vol restant non en panne, et si possible de resynchroniser le système de gestion de vol défectueux sur le système de gestion de vol non défectueux. REVENDICATIONS1. Ensemble de gestion de vol d'un aéronef, ledit ensemble de gestion de vol (1) comprenant deux chaînes de guidage (2A, 2B) pourvues, chacune, d'un 5 système de gestion de vol (3A, 3B), lesdits systèmes de gestion de vol (3A, 3B) étant indépendants et hébergés dans des équipements différents, chacun desdits systèmes de gestion de vol (3A, 3B) étant configuré pour réaliser au moins un calcul de consignes de guidage pour l'aéronef (AC), ledit ensemble de gestion de vol (1) comprenant également au moins une unité de surveillance (4A, 4B) 10 configurée pour réaliser des surveillances de données générées par les systèmes de gestion de vol (3A, 3B), caractérisé en ce que l'unité de surveillance (4A, 4B) est hébergée dans un équipement différent des équipements hébergeant les deux systèmes de gestion de vol (3A, 3B), et en ce que l'unité de surveillance (4A, 4B) est configurée pour 15 réaliser une surveillance des consignes de guidage calculées par les deux systèmes de gestion de vol (3A, 3B) de manière à pouvoir détecter et identifier un système de gestion de vol défectueux. 2. Ensemble de gestion de vol selon la revendication 1, caractérisé en ce que ladite unité de surveillance (4A, 4B) est configurée : 20 - pour calculer la différence entre une consigne de guidage calculée par l'un desdits systèmes de gestion de vol (3A, 3B) et une consigne de guidage correspondante calculée par l'autre desdits systèmes de gestion de vol (3A, 3B) et pour comparer cette différence à une marge prédéterminée ; et - si ladite différence est supérieure à ladite marge, pour analyser les évolutions 25 d'extrapolations de la position de l'aéronef (AC), déduites des consignes de guidage respectives, de manière à pouvoir détecter une consigne de guidage incohérente et ainsi détecter comme défectueux le système de gestion de vol ayant calculé cette consigne de guidage incohérente. 3. Ensemble de gestion de vol selon l'une des revendications 1 et 2, 30 caractérisé en ce que chacun des systèmes de gestion de vol (3A, 3B) est configuré pour réaliser également au moins l'un des calculs suivants : - un calcul d'une position de l'aéronef (AC) ; 3030095 19 - un calcul d'une trajectoire de l'aéronef (AC) ; et - un calcul de l'écart entre la position et la trajectoire de l'aéronef (AC). 4. Ensemble de gestion de vol selon l'une des revendications 1 à 3, caractérisé en ce que l'unité de surveillance (4A, 4B) est configurée pour réaliser également au moins l'une des surveillances suivantes : - une surveillance d'un calcul d'une position de l'aéronef (AC) ; - une surveillance d'une extraction d'une procédure pour mettre en oeuvre une opération à performances de navigation requises avec autorisation requise à partir d'une base de données de navigation et d'un chargement de la procédure dans un plan de vol ; et - une surveillance d'un calcul de trajectoire. 5. Ensemble de gestion de vol selon l'une quelconque des revendications 1 à 4, le guidage de l'aéronef (AC) étant réalisé selon des données fournies par l'une des deux chaînes de guidage (2A, 2B), dite chaîne de guidage active, caractérisé en ce qu'il comprend des moyens de commutation (5A, 5B) configurés pour, en cas de détection par l'unité de surveillance (4A, 4B) d'un système de gestion de vol défectueux et si la chaîne de guidage active est celle comprenant ce système de gestion de vol défectueux, générer une commutation consistant à rendre active l'autre desdites deux chaînes de guidage (2A, 2B). 6. Ensemble de gestion de vol selon l'une quelconque des revendications 1 à 5, caractérisé en ce qu'il comprend deux unités de surveillance (4A, 4B) configurées pour réaliser les mêmes surveillances. 7. Procédé de surveillance d'au moins une consigne de guidage fournie par un ensemble de gestion de vol (1) selon l'une quelconque des revendications 1 à 6, caractérisé en ce qu'il comprend les étapes successives suivantes : - une étape de réception de la consigne de guidage à surveiller et d'une valeur courante d'au moins un paramètre illustrant l'état courant de l'aéronef (AC) ; - une première étape de calcul d'une pluralité de positions (P1à P4) dites extrapolées de l'aéronef (AC), au moins à partir de ladite consigne de guidage et 3030095 20 de ladite valeur courante de l'aéronef (AC), pour des durées successives données à partir d'un instant courant ; - une deuxième étape de calcul d'écarts de route (El à E4) dits extrapolés, correspondant à des écarts desdites positions extrapolées (P1 à P4) par rapport à 5 un segment de référence (SR) ; et - une étape d'analyse des écarts de route (El à E4) extrapolés, pour déterminer s'ils divergent ou convergent de manière à pouvoir déduire si la consigne de guidage est correcte ou non. 8. Procédé selon la revendication 7, 10 caractérisé en ce que la première étape de calcul de positions extrapolées consiste à calculer une position extrapolée (P1 à P4) de l'aéronef (AC), à l'aide des données suivantes : - les valeurs de paramètres de l'aéronef (AC), préalablement validées, illustrant l'état de l'aéronef (AC) ; 15 - un ordre de roulis représentant la consigne de guidage à surveiller ; - la valeur courante d'au moins un paramètre atmosphérique ; et - un modèle de performance de l'aéronef (AC). 9. Procédé selon l'une des revendications 7 et 8, caractérisé en ce que ledit segment de référence (SR) est l'un des segments 20 suivants : - un segment actif d'un plan de vol suivi par l'aéronef ; - un segment actif d'une trajectoire suivie par l'aéronef. 10. Procédé selon l'une quelconque des revendications 7 à 9, caractérisé en ce que lesdites étapes successives sont mises en oeuvre 25 séparément pour deux consignes de guidage, reçues des deux systèmes de gestion de vol (3A, 3B) de l'ensemble de gestion de vol (1), si la différence entre ces deux consignes de guidage est supérieure à une marge prédéterminée. 11. Aéronef, caractérisé en ce qu'il comprend un ensemble de gestion de vol (1) selon l'une 30 quelconque des revendications 1 à 6.