FR 3036102 A1 20161118 FR 1554236 A 20150512 1 DOMAINE TECHNIQUE La présente invention appartient au domaine du contrôle d'attitude et d'orbite d'engins spatiaux, tels que des satellites. Plus particulièrement, la présente invention concerne la détection et l'isolation de panne dans un système de contrôle d'attitude et d'orbite d'un engin spatial comportant un bras articulé portant un propulseur, dit « bras de propulsion ». ÉTAT DE LA TECHNIQUE De manière connue, un engin spatial, tel qu'un satellite, comporte un système de contrôle d'attitude et d'orbite mis en oeuvre notamment pour effectuer la mise à poste dudit satellite sur son orbite de mission (par exemple pour effectuer un transfert d'une orbite GTO vers une orbite GEO) et pour contrôler l'attitude et la position dudit satellite sur son orbite de mission. De tels systèmes comportent notamment des propulseurs, chimiques et/ou électriques, dont les directions de poussée sont généralement orientables. Par exemple, dans le cas d'un contrôle d'orbite d'un satellite préalablement mis à poste sur son orbite de mission, l'orientation d'un propulseur peut être contrôlée de sorte à aligner sensiblement la direction de poussée avec le centre de masse du satellite, afin d'éviter de former un couple perturbateur. Suivant un autre exemple, dans le cas où un dispositif de stockage de moment cinétique, tel qu'un ensemble de volants d'inertie (roues de réactions, actionneurs gyroscopiques, etc.), doit être dé-saturé, l'orientation d'un propulseur peut être contrôlée de sorte à délibérément désaligner la direction de poussée avec le centre de masse du satellite, afin de former un couple adapté à dé-saturer ledit dispositif de stockage de moment cinétique. De nos jours, il est envisagé de monter certains propulseurs sur des bras articulés, dit « bras de propulsion ». Un bras de propulsion comporte une extrémité de liaison, fixée à un corps du satellite, et une extrémité de propulsion, opposée à l'extrémité de liaison, portant un propulseur. Entre l'extrémité de liaison et l'extrémité de propulsion, le bras de propulsion comporte une ou plusieurs articulations, comportant chacune au moins un degré de liberté en rotation. Dans le cas de plusieurs articulations, elles sont séparées par un élément de liaison. La mise en oeuvre d'un bras articulé est avantageuse pour plusieurs 3036102 2 raisons. Tout d'abord, étant donné que le propulseur peut être placé à distance du satellite, le bras de levier est augmenté et il est possible de former des couples plus importants, par exemple pour dé-saturer le dispositif de stockage de moment cinétique. En outre, la direction de poussée du propulseur, par 5 rapport au centre de masse du satellite, peut être contrôlée avec une plus grande précision, par exemple pour éviter de former un couple perturbateur lors des opérations de contrôle d'orbite. Egalement, il peut être avantageux d'actionner les propulseurs à distance du corps du satellite pour éviter que ceux-ci n'interfèrent avec d'autres équipements du satellite (générateurs 10 solaires, antennes, etc.). Par contre, l'utilisation de tels bras de propulsion, comportant plusieurs articulations, augmente le nombre d'équipements susceptibles de subir une panne. L'utilisation de tels bras de propulsion rend donc plus difficile la détection de pannes des articulations ainsi que leur isolation (c'est-à-dire 15 l'identification de l'articulation qui présente une panne), sauf à prévoir un capteur dédié au niveau de chaque articulation de chaque bras de propulsion. EXPOSÉ DE L'INVENTION La présente invention a pour objectif de remédier à tout ou partie des limitations des solutions de l'art antérieur, notamment celles exposées ci-avant, 20 en proposant une solution qui permette de détecter et d'isoler des pannes d'un bras de propulsion tout en limitant le nombre de capteurs nécessaires pour le faire, voire en utilisant uniquement des capteurs préexistants. A cet effet, et selon un premier aspect, l'invention concerne un procédé de détection de panne d'un système de contrôle d'attitude et d'orbite 25 d'un engin spatial, ledit système comportant au moins un bras de propulsion, ledit bras de propulsion comportant au moins un propulseur et au moins une articulation, ledit bras de propulsion étant adapté à former un couple qui est relié à un état du bras de propulsion, ledit état du bras de propulsion correspondant à la position angulaire de ladite articulation et à la norme de la 30 force de poussée dudit propulseur, par une fonction de formation de couple. Ledit procédé de détection de panne comporte : - le calcul d'un espace d'isolation de panne, associé à l'articulation du bras de propulsion, en fonction du gradient de la fonction de 3036102 3 formation de couple calculé pour un état de référence du bras de propulsion pour une opération de contrôle, - l'estimation, au cours de ladite opération de contrôle, d'une vitesse de rotation de l'engin spatial, 5 - l'estimation d'un résidu de moment cinétique en fonction de la vitesse de rotation dudit engin spatial, - le calcul d'un résidu articulaire, associé à l'articulation du bras de propulsion, par projection du résidu de moment cinétique sur l'espace d'isolation de panne, 10 - la recherche d'une panne d'articulation en fonction du résidu articulaire, une panne d'articulation étant détectée si ledit résidu articulaire vérifie un critère prédéfini de détection de panne d'articulation. Ainsi, le procédé de détection de panne utilise principalement une 15 estimation de la vitesse de rotation de l'engin spatial sur lui-même. La vitesse de rotation de l'engin spatial peut être estimée à partir de mesures fournies par des capteurs (gyroscopes, accéléromètres, etc.) qui sont généralement déjà présents dans les systèmes de contrôle d'attitude et d'orbite d'engins spatiaux, notamment pour effectuer le contrôle d'attitude, et qui n'ont en outre pas à être 20 placés sur le bras de propulsion. A partir de la vitesse de rotation de l'engin spatial, il est possible d'estimer le moment cinétique réel de l'engin spatial, et également d'estimer le résidu de moment cinétique, c'est-à-dire la différence entre le moment cinétique réel dudit engin spatial et un moment cinétique théorique que ledit 25 engin spatial devrait avoir compte tenu notamment des couples formés par le système de contrôle d'attitude et d'orbite dudit engin spatial. En outre, pour effectuer l'opération de contrôle considérée, le bras de propulsion est placé dans un état de référence, autour duquel les variations de la position angulaire de l'articulation sont en principe d'amplitude peu élevée 30 pendant la durée de l'opération de contrôle considérée. Par conséquent, la fonction de formation de couple du bras de propulsion, qui est par nature non-linéaire, peut être linéarisée autour de cet état de référence en calculant le gradient de ladite fonction de formation de couple pour ledit état de référence. 3036102 4 Ce modèle linéaire permet de mieux appréhender les effets d'une panne articulaire. En effet, le gradient calculé comporte la dérivée partielle de la fonction de formation de couple par rapport à la position angulaire de ladite articulation. La dérivée partielle de ladite fonction de formation de couple par 5 rapport à la position angulaire de l'articulation est représentative de la direction du couple parasite formé par une erreur sur la position angulaire de cette articulation, et permet donc de calculer un espace d'isolation de panne dans lequel un couple parasite est formé principalement par une panne de ladite articulation. Par conséquent, le résidu articulaire, obtenu par projection du 10 résidu de moment cinétique sur l'espace d'isolation de panne, permet de détecter une panne de l'articulation. Dans des modes particuliers de mise en oeuvre, le procédé de détection de panne peut comporter en outre l'une ou plusieurs des caractéristiques suivantes, prises isolément ou selon toutes les 15 combinaisons techniquement possibles. Dans des modes particuliers de mise en oeuvre, le bras de propulsion comportant au moins deux articulations, ledit procédé comporte : - le calcul d'espaces d'isolation de panne associés respectivement aux différentes articulations du bras de propulsion, 20 - le calcul de résidus articulaires associés respectivement aux différentes articulations du bras de propulsion, - la recherche d'une panne d'articulation en fonction desdits résidus articulaires, une panne d'articulation étant détectée si lesdits résidus articulaires vérifient un critère prédéfini de détection de 25 panne d'articulation. Ainsi, si le bras de propulsion comporte plusieurs articulations, on calcule un espace d'isolation de panne pour chaque articulation, en fonction du gradient de la fonction de formation de couple calculé pour l'état de référence. Le gradient calculé comporte notamment les dérivées partielles de la fonction 30 de formation de couple par rapport aux positions angulaires des différentes articulations. La dérivée partielle de ladite fonction de formation de couple par rapport à la position angulaire d'une articulation est représentative de la direction du couple parasite formé par une erreur sur la position angulaire de 3036102 5 cette articulation, et définit par conséquent un plan, orthogonal à ladite direction du couple parasite, dans lequel une erreur sur la position angulaire de cette articulation ne produit a contrario aucun couple perturbateur. Par conséquent, dans ce plan, seules des pannes des autres articulations du bras de propulsion 5 sont susceptibles de former un couple parasite. Ainsi, les dérivées partielles permettent de calculer, pour chaque articulation, un espace d'isolation de panne dans lequel un couple parasite est formé principalement par une panne de ladite articulation. Par exemple, dans le cas de trois articulations, l'intersection des plans orthogonaux aux dérivées partielles associées à deux 10 desdites articulations, qui correspond à une direction orthogonale au plan défini par lesdites deux dérivées partielles, définit un espace d'isolation de panne pour la troisième articulation, dans la mesure où seule une panne de cette troisième articulation est susceptible de former un couple perturbateur suivant cette direction. 15 Dans des modes particuliers de mise en oeuvre, le critère de détection de panne d'articulation est vérifié, pour une articulation du bras de propulsion, lorsque le résidu articulaire associé à ladite articulation est au moins cinq fois supérieur, en valeur absolue, au résidu articulaire associé à chaque autre articulation du bras de propulsion. 20 Dans des modes particuliers de mise en oeuvre, le procédé de détection de panne comporte le calcul d'un résidu de propulsion, associé au propulseur, en fonction de la norme du résidu de moment cinétique, et la recherche d'une panne de propulseur en fonction du résidu de propulsion, une panne de propulseur étant détectée si le résidu de propulsion vérifie un critère 25 prédéfini de détection de panne de propulseur. Dans un tel cas, le procédé de détection de panne permet donc de détecter et d'isoler les pannes d'articulations et de propulseur, l'isolation étant toutefois possible seulement lorsqu'un seul équipement (articulation ou propulseur) présente une panne. 30 Dans des modes particuliers de mise en oeuvre, la recherche de panne d'articulation n'est effectuée que si aucune panne de propulseur n'est détectée. Dans des modes particuliers de mise en oeuvre, le critère de détection 3036102 6 de panne de propulseur est vérifié lorsque le résidu de propulsion est supérieur, en valeur absolue, à une valeur seuil positive prédéfinie. Dans des modes particuliers de mise en oeuvre, le procédé de détection de panne comporte, lorsqu'une panne de propulseur est détectée, 5 l'estimation, en fonction du résidu de propulsion, d'une erreur sur la norme de la force de poussée induite par ladite panne de propulseur. Dans des modes particuliers de mise en oeuvre, l'opération de contrôle est une opération d'une phase de mise à poste de l'engin spatial sur une orbite de mission. 10 Dans des modes particuliers de mise en oeuvre, le procédé de détection de panne comporte, lorsqu'une panne d'articulation est détectée, l'estimation, en fonction du résidu articulaire associé à ladite articulation pour laquelle une panne a été détectée, d'une erreur sur la position angulaire de ladite articulation induite par ladite panne d'articulation. 15 Selon un second aspect, la présente invention concerne un produit programme d'ordinateur comportant un ensemble d'instructions de code de programme qui, lorsqu'elles sont exécutées par un processeur, configurent ledit processeur pour mettre en oeuvre un procédé de détection de panne selon l'un quelconque des modes de mise en oeuvre de l'invention. 20 Selon un troisième aspect, la présente invention concerne un dispositif de détection de panne d'un système de contrôle d'attitude et d'orbite d'un engin spatial, comportant des moyens de mesure d'une grandeur représentative d'une vitesse de rotation dudit engin spatial et des moyens configurés pour mettre en oeuvre un procédé de détection de panne selon l'un quelconque des 25 modes de mise en oeuvre de l'invention. Selon un quatrième aspect, la présente invention concerne un système de contrôle d'attitude et d'orbite d'un engin spatial, tel qu'un satellite, comportant au moins un bras de propulsion de l'engin spatial, ledit bras de propulsion comportant au moins un propulseur et au moins une articulation, et 30 un dispositif de détection de panne selon l'un quelconque des modes de réalisation de l'invention. Dans des modes particuliers de réalisation, le système de contrôle d'attitude et d'orbite peut comporter en outre l'une ou plusieurs des 3036102 7 caractéristiques suivantes, prises isolément ou selon toutes les combinaisons techniquement possibles. Dans des modes particuliers de réalisation, le propulseur est un propulseur électrique. 5 Dans des modes particuliers de réalisation, le bras de propulsion comporte au moins deux propulseurs. Dans des modes particuliers de réalisation, le système de contrôle d'attitude et d'orbite comporte au moins deux bras de propulsion. PRÉSENTATION DES FIGURES 10 L'invention sera mieux comprise à la lecture de la description suivante, donnée à titre d'exemple nullement limitatif, et faite en se référant aux figures qui représentent : - Figure 1 : une représentation schématique d'un satellite comportant deux bras de propulsion, 15 - Figure 2 : un diagramme représentant les principales étapes d'un exemple de mise en oeuvre d'un procédé de détection de panne, - Figure 3 : des courbes représentant le comportement de résidus articulaires en présence d'une panne d'articulation, - Figure 4 : un diagramme représentant les principales étapes d'un 20 mode préféré de mise en oeuvre d'un procédé de détection de panne. Dans ces figures, des références identiques d'une figure à une autre désignent des éléments identiques ou analogues. Pour des raisons de clarté, les éléments représentés ne sont pas à l'échelle, sauf mention contraire. 25 DESCRIPTION DÉTAILLÉE DE MODES DE RÉALISATION La présente invention concerne la détection de panne au niveau d'un bras de propulsion d'un engin spatial 10, le bras de propulsion étant mis en oeuvre par un système de contrôle d'attitude et d'orbite dudit engin spatial. Dans la suite de la description, on se place de manière non limitative 30 dans le cas d'un satellite 10 destiné à être mis à poste, pour les besoins de sa mission, sur une orbite GEO. Rien n'exclut cependant, suivant d'autres exemples, de considérer d'autres types d'engins spatiaux (navette spatiale, station orbitale, etc.), et/ou d'autres orbites terrestres, par exemple des orbites 3036102 8 géosynchrones, des orbites moyennes (« Medium Earth Orbit » ou MEC)), des orbites basses (« Low Earth Orbit » ou LEO), etc. La figure 1 représente schématiquement un exemple non limitatif de réalisation d'un satellite 10 comportant deux bras de propulsion 20, 21 fixés à 5 un corps 11 dudit satellite 10. Dans la suite de la description, on se place de manière non limitative dans le cas où le corps 11 du satellite 10 est sensiblement en forme de parallélépipède rectangle, c'est-à-dire qu'il comporte six faces deux à deux parallèles, et dans le cas où l'attitude du satellite 10 à poste en orbite GEO est contrôlée, pour les besoins de la mission dudit satellite 10 10, de sorte à être placé dans une attitude de consigne, dite « attitude de mission », dans laquelle : - une face du corps 11 du satellite 10, désignée par « face +Z », portant par exemple un instrument d'une charge utile dudit satellite 10, est dirigée vers la Terre ; la face opposée à la face +Z, 15 agencée du côté opposé à la Terre, est désignée par « face -Z » ; - deux faces opposées du corps 11 du satellite 10, désignées par respectivement « face +Y » et « face -Y », sont sensiblement parallèles au plan de l'orbite GEO, - les deux dernières faces opposées du corps 11 du satellite 10, non 20 représentées sur les figures et désignées par respectivement « face +X » et « face -X », sont sensiblement orthogonales à un vecteur vitesse du satellite 10 en orbite GEO. Tel qu'illustré par la figure 1, les deux bras de propulsion 20, 21 sont fixés respectivement à la face +Y et la face -Y du satellite 10. Rien n'exclut 25 cependant, suivant d'autres exemples, de considérer d'autres positions l'un et/ou l'autre desdits bras de propulsion 20, 21. Dans l'exemple illustré par la figure 1, chaque bras de propulsion 20, 21 comporte un propulseur 30, 31. Dans la suite de la description, on se place dans le cas où les propulseurs 30, 31 sont des propulseurs électriques 30 (électrothermique, électrostatique, plasma, etc.). Rien n'exclut cependant, suivant d'autres exemples, que l'un ou les deux propulseurs 30, 31 soient des propulseurs chimiques (gaz froid, ergols liquides, etc.). En outre, chaque bras de propulsion 20, 21 comporte, dans l'exemple 3036102 9 non limitatif illustré par la figure 1, trois articulations 22, 23, 24, chaque articulation comportant un degré de liberté en rotation autour d'un axe de rotation. Les articulations 22 et 23 sont reliées entre elles par une liaison 25, tandis que les articulations 23 et 24 sont reliées entre elles par une liaison 26. 5 Dans des modes préférés de réalisation, pour chaque bras articulé 20, 21, les axes de rotation respectifs d'articulations 22, 23, 24 adjacentes ne sont pas parallèles pour chacune des deux paires d'articulations adjacentes. Ainsi, dans l'exemple non limitatif illustré par la figure 1, chaque bras de propulsion 20, 21 offre trois degrés de liberté pour modifier la direction de 10 poussée et le point d'application de la force de poussée du propulseur 30, 31. Les articulations 22, 23, 24 permettent de modifier la direction de poussée et le point d'application de la force de poussée du propulseur 30, 31 par rapport à un centre de masse O du satellite 10. Par conséquent, chaque bras de propulsion 20, 21 est adapté à former 15 un couple qui varie en fonction de l'état dudit bras de propulsion, c'est-à-dire en fonction des positions angulaires des articulations 22, 23, 24, désignés respectivement par 01, 02 et 03, et en fonction de la norme F de la force de poussée dudit propulseur 30, 31. Le couple formé par chaque bras de propulsion 20, 21 est relié à l'état dudit bras de propulsion 20, 21 par une 20 fonction de formation de couple prédéfinie. Pour les besoins du contrôle d'attitude, le satellite 10 peut comporter également un ou plusieurs actionneurs (non représentés sur les figures), tels que des roues de réaction, des actionneurs gyroscopiques, des magnéto-coupleurs, etc., adaptés à former des couples de contrôle d'attitude dudit 25 satellite 10. Dans la suite de la description, on se place de manière non limitative dans le cas où le satellite 10 comporte au moins trois roues de réaction d'axes de rotation respectifs linéairement indépendants, qui peuvent en outre être mises en oeuvre en tant que dispositif de stockage de moment cinétique. L'invention est cependant applicable à tout type d'actionneur 30 permettant de former un couple de contrôle d'attitude dudit satellite 10. Le système de contrôle d'attitude et d'orbite du satellite 10 comporte également un dispositif de commande (non représenté sur les figures) qui contrôle les articulations 22, 23, 24 et les propulseurs 30,31 des bras de 3036102 10 propulsion 20, 21, ainsi que les roues de réaction du satellite 10, en fonction de mesures effectuées par divers capteurs. Par exemple, le satellite 10 peut comporter un senseur stellaire (« startracker » dans la littérature anglo-saxonne) pour mesurer l'attitude dudit satellite 10, un ou plusieurs gyroscopes 5 pour mesurer la vitesse de rotation dudit satellite 10 sur lui-même, des tachymètres pour mesurer les vitesses de rotation respectives des roues de réaction du satellite 10, etc. Le système de contrôle d'attitude et d'orbite du satellite 10 comporte également un dispositif 40 de détection de panne des bras de propulsion 20, 10 21. Dans l'exemple illustré par la figure 1, le dispositif 40 de détection de panne est embarqué dans le satellite 10. Rien n'exclut cependant, suivant d'autres exemples, d'avoir le dispositif 40 de détection de panne intégré dans une station sol, ou encore distribué entre le satellite 10 et une station sol. Le dispositif 40 de détection de panne comporte par exemple un ou 15 plusieurs processeurs et des moyens de mémorisation (disque dur magnétique, mémoire électronique, disque optique, etc.) dans lesquels est mémorisé un produit programme d'ordinateur, sous la forme d'un ensemble d'instructions de code de programme à exécuter pour mettre en oeuvre les différentes étapes d'un procédé 50 de détection de panne, qui sera décrit ci- 20 après. Dans une variante, le dispositif 40 de détection de panne comporte un ou des circuits logiques programmables, de type FPGA, PLD, etc., et/ou circuits intégrés spécialisés (ASIC) adaptés à mettre en oeuvre tout ou partie desdites étapes du procédé 50 de détection de panne. En d'autres termes, le dispositif 40 de détection de panne comporte 25 des moyens configurés de façon logicielle (produit programme d'ordinateur spécifique) et/ou matérielle (FPGA, PLD, ASIC, etc.) pour mettre en oeuvre les différentes étapes du procédé 50 de détection de panne. La figure 2 représente schématiquement les principales étapes d'un procédé 50 de détection de panne, lesquelles sont : 30 - 51 calcul d'espaces d'isolation de panne, associés respectivement aux différentes articulations 22, 23, 24 de chaque bras de propulsion 20, 21, en fonction du gradient de la fonction de formation de couple calculé pour un état de référence dudit bras de 3036102 11 propulsion 20, 21 pour une opération de contrôle, - 52 estimation d'une vitesse de rotation du satellite 10 au cours de ladite opération de contrôle, - 53 estimation d'un résidu de moment cinétique en fonction de la 5 mesure de la vitesse de rotation dudit satellite 10, - 54 calcul de résidus articulaires, associés respectivement aux différentes articulations 22, 23, 24 de chaque bras de propulsion 20, 21, par projection du résidu de moment cinétique sur les différents espaces d'isolation de panne, 10 - 55 recherche d'une panne d'articulation en fonction des résidus articulaires, une panne d'articulation étant détectée si lesdits résidus articulaires vérifient un critère prédéfini de détection de panne d'articulation. Dans l'exemple illustré par la figure 1, les bras de propulsion 20, 21 15 sont placés dans un état de référence pour une opération de contrôle effectuée au cours d'une phase de transfert du satellite 10 d'une orbite de transfert GTO vers l'orbite GEO de mission dudit satellite 10. L'opération de contrôle réalisée par les bras de propulsion 20, 21 sur la figure 1 correspond par exemple à la manoeuvre d'apogée dudit satellite 10, et l'état de référence desdits bras de 20 propulsion 20, 21 consiste à former des forces de poussée FO et F1 parallèles à un axe Z orthogonal aux faces +Z et -Z du corps 11 du satellite 10, orientées de la face -Z vers la face +Z. Les points d'application des forces de poussée FO et F1 sont, dans l'état de référence, tels que les forces de poussée FO et F1 sont désalignées par rapport au centre de masse O mais forment des couples 25 opposés qui s'annulent. Dans la suite de la description, on désigne par So = (80, Fo) l'état de référence So dans lequel : - eo correspond au vecteur (00,1, e0,2, 00,3) constitué par les positions angulaires de référence des articulations 22, 23, 24, - Fo correspond à la norme de référence des forces de poussée FO 30 et F1 des propulseurs 30, 31. Pour chaque bras de propulsion 20, 21, le couple TDTMA formé est donné, en fonction de l'état dudit bras de propulsion, par une fonction de formation de couple B du type : 3036102 12 TDTMA = B(01, e2, e3, F) Au cours de l'opération de contrôle, les variations de la position angulaire de chaque articulation 22, 23, 24 sont en principe d'amplitude peu élevée, et la norme de la force de poussée est, par exemple, constante. Par 5 conséquent, les positions angulaires e1, e2, e3 et la norme F de la force de poussée peuvent s'écrire sous la forme suivante : ei = eo,i + ec,i + Aei avec i = 1, 2, 3 F = Fo + AF expressions dans lesquelles : 10 - ec,i correspond à la variation commandée autour de la position angulaire de référence 00,i, de sorte que la position angulaire souhaitée correspond à 00,i + - Aei correspond à une erreur sur la position angulaire eh induite par une éventuelle panne de l'articulation correspondante, 15 - AF correspond à une erreur sur la norme F de la force de poussée. Par conséquent, la fonction de formation de couple B de chaque bras de propulsion 20, 21, qui est par nature non-linéaire, peut être linéarisée autour de l'état de référence So en calculant le gradient de ladite fonction de formation de couple pour ledit état de référence So 20 TDTMA To Tc + ,513 ,513 ,513 so Ae2 ,513 AF so 5ei 502 503_ Ae3 sF AT expression dans laquelle : - To correspond au couple formé pour l'état de référence So, - Tc correspond au couple ajouté par les variations ec,i commandées (i = 1, 2, 3) autour de l'état de référence So, 25 - ,513/ôe1, ô13/,502 et ô13/,503 correspondent aux dérivées partielles de la fonction de formation de couple par rapport aux positions angulaires respectivement e1, e2, e3, - EB/F correspond à la dérivée partielle de la fonction de formation de couple par rapport à la norme F de la force de poussée, 30 - AT correspond au couple perturbateur formé par les erreurs Ael, 3036102 13 062, Dei et OF. Le modèle linéaire donné par l'expression ci-dessus permet de mieux appréhender les effets de chaque panne articulaire. En effet, la dérivée partielle EB/E4Di calculée pour l'état de référence So, 5 qui correspond à un vecteur, est représentative de la direction du couple parasite formé par une erreur sur la position angulaire (Di (i = 1, 2, 3), et définit par conséquent un plan, orthogonal à ladite direction du couple parasite, dans lequel une erreur sur la position angulaire (Di ne produit a contrario aucun couple perturbateur. Par conséquent, dans ce plan, seules des pannes des 10 autres articulations du bras de propulsion sont susceptibles de former un couple parasite. Ainsi, les dérivées partielles permettent de calculer, pour chaque articulation, un espace d'isolation de panne dans lequel un couple parasite est formé principalement par une panne de ladite articulation. Par exemple, dans le cas où chaque bras de propulsion 20, 21 15 comporte trois articulations 22, 23, 24, l'espace d'isolation de panne de chaque articulation est un espace vectoriel de dimension un, qui peut être défini par un vecteur ei calculé selon l'expression suivante : EB EB se; Esek so EB EB se; Esek so expression dans laquelle : 20 - i#j#ke (1, 2, 3), - CD correspond au produit vectoriel. Par conséquent, pour chaque bras de propulsion 20, 21, l'espace d'isolation de panne ei est orthogonal aux dérivées partielles EB/Esei et EB/Esek (i j # k), de sorte que seule une erreur AE); sur la position angulaire (Di est 25 susceptible de former un couple perturbateur selon le vecteur el, sous réserve toutefois que la dérivée partielle EB/E4Di ne soit pas elle-même orthogonale au vecteur ei. Par conséquent, le vecteur ei permet de détecter et d'isoler une panne de l'articulation associée à la position angulaire ei uniquement si : ei 3036102 14 is(e ) = eiT L'expression ci-dessus fournit donc un ensemble de conditions pour que les pannes des différentes articulations puissent être détectées et isolées pour l'état de référence So. Par conséquent, il est possible de concevoir les 5 bras de propulsion 20, 21 pour que ces conditions soient vérifiées pour un état de référence donné. Il est également possible d'identifier des états de référence, parmi plusieurs états de référence associés à différentes opérations de contrôle, pour lesquels ces conditions sont vérifiées et pour lesquels le procédé 50 de détection de panne selon l'invention peut être mis en oeuvre. 10 Les espaces d'isolation de panne ei sont calculés pour chaque articulation 22 (position angulaire 81), 23 (position angulaire 82), 24 (position angulaire 83) de chaque bras de propulsion 20, 21. On obtient ainsi, dans le cas de deux bras de propulsion 20, 21 comportant chacun trois articulations 22, 23, 24, un total de six espaces d'isolation de panne, désignés par exemple par 15 eiwn (i = 1, 2, 3) pour le bras de propulsion 20 fixé sur la face +Y, et par eq_yi (i = 1, 2, 3) pour le bras de propulsion 21 fixé sur la face -Y. Il est à noter que les espaces d'isolation de panne e;[.0,1 (i = 1, 2, 3) sont différents des espaces d'isolation de panne eq_yi (i = 1, 2, 3), de sorte qu'il est possible de distinguer les pannes d'articulation sur le bras de propulsion 20 de celles sur le bras de 20 propulsion 21. Il est à noter que les espaces d'isolation de panne ei ne dépendent que de la fonction de formation de couple B et de l'état de référence So considéré. Par conséquent, lesdits espaces d'isolation de panne ei peuvent être calculés a priori, et mémorisés dans les moyens de mémorisation du 25 dispositif 40 de détection de panne, pour être utilisés ultérieurement. Tel qu'indiqué précédemment, le procédé 50 de détection de panne comporte une étape 52 d'estimation de la vitesse de rotation du satellite 10 au cours de l'opération de contrôle. La vitesse de rotation du satellite 10 est par exemple estimée en fonction de mesures fournies par des gyroscopes, ou tout 30 autre capteur adapté à fournir une grandeur représentative de ladite vitesse de rotation dudit satellite 10. ,513 #0 se so 3036102 15 De manière connue, la vitesse de rotation du satellite 10 sur lui-même permet d'estimer le moment cinétique réel HR du satellite 10, qui est par exemple donné par l'expression suivante : HR = Jw 5 expression dans laquelle J correspond à la matrice d'inertie du satellite 10, et w correspond à la vitesse de rotation dudit satellite 10. Il est également possible d'estimer, de manière conventionnelle, les différents couples théoriquement formés par les différents actionneurs du satellite 10 (bras de propulsion, roues de réaction, etc.). A partir de ces couples 10 théoriquement formés, il est possible d'estimer un moment cinétique théorique HT que devrait avoir ledit satellite 10 en l'absence de panne sur les bras de propulsion 20, 21. Le moment cinétique théorique HT est par exemple estimé selon l'expression suivante en repère non inertiel : HT =J(To ± Tc ± TRw -(10 (HRW HR ))dt 15 expression dans laquelle : - TRw correspond au couple formé par les roues de réaction, - HRw correspond au moment cinétique des roues de réaction. Il est également possible de prendre en compte, s'ils peuvent être estimés, les couples perturbateurs TPERT subis par ledit satellite 10. Le cas 20 échéant, le moment cinétique théorique HT que devrait avoir ledit satellite 10 en l'absence de panne sur les bras de propulsion 20, 21 est par exemple estimé selon l'expression suivante en repère non inertiel : HT - (To ± Tc ± TRw TRERT W 0 (HRw HR t On peut alors estimer, au cours de l'étape 53, un résidu de moment 25 cinétique AH qui correspond à la différence entre le moment cinétique réel HR dudit engin spatial et le moment cinétique théorique HT, qui correspond alors au moment cinétique induit par le couple perturbateur AT : AH =HR - HT ATdt Au cours de l'étape 54, on calcule, pour chaque bras de propulsion 20, 30 21, des résidus articulaires re (i = 1, 2, 3) en projetant le résidu de moment cinétique AH sur chaque espace d'isolation de panne ei. 3036102 16 Dans des modes préférés de mise en oeuvre, le résidu articulaire rei est en outre filtré au moyen d'un filtre pseudo-dérivateur, ce qui revient approximativement à estimer le couple perturbateur AT en dérivant le résidu de moment cinétique AH et à projeter ledit couple perturbateur AT sur l'espace 5 d'isolation de panne ei. Le cas échéant, le résidu articulaire rei est par exemple calculé selon l'expression suivante : rei = De(s)eiTAH expression dans laquelle De(s) correspond à un filtre pseudo-dérivateur, et s correspond à la variable de Laplace. 10 Les résidus articulaires rei sont calculés pour chaque articulation 22 (position angulaire 01), 23 (position angulaire 02), 24 (position angulaire 03) de chaque bras de propulsion 20, 21. On obtient ainsi, dans le cas de deux bras de propulsion 20, 21 comportant chacun trois articulations 22, 23, 24, un total de six résidus articulaires, désignés par exemple par reir,y1 (i = 1, 2, 3) pour le 15 bras de propulsion 20 fixé sur la face +Y, et par reiFyl (i = 1, 2, 3) pour le bras de propulsion 21 fixé sur la face -Y. Ensuite, le procédé 50 de détection de panne comporte une étape 55 de recherche d'une panne d'articulation en fonction des résidus articulaires rei, une panne d'articulation étant détectée si lesdits résidus articulaires vérifient un 20 critère prédéfini de détection de panne d'articulation. Tel qu'indiqué précédemment, les espaces d'isolation de panne ei sont tels que seule une erreur AE); sur la position angulaire ei est susceptible de former un couple perturbateur selon le vecteur ei. En outre une erreur AE); sur la position angulaire ei ne forme en principe pas de couple perturbateur suivant 25 les espaces d'isolation de panne ei et ek (i # j # k). Par conséquent, en cas d'erreur AE); sur la position angulaire ei induite par une panne de l'articulation associée, le résidu articulaire rei sera en principe très supérieur, en valeur absolue, aux résidus articulaires rei et rek (i j # k). Ainsi, le critère de détection de panne d'articulation peut par exemple 30 être considéré comme vérifié lorsque le résidu articulaire rei est au moins cinq fois supérieur, en valeur absolue, à chacun des résidus articulaires rei et rek (i j # k). Par exemple, une panne de l'articulation associée à la position angulaire ei est détectée si le résidu articulaire rei vérifie les deux conditions suivantes : 3036 102 17 Ire 1> Te > Ke ma40j1,1rek) expression dans laquelle i # j # k et Te et Ke sont des valeurs seuil positives prédéfinies. Tel qu'indiqué précédemment, les espaces d'isolation de panne e;[.0,1 (i 5 = 1, 2, 3) sont différents des espaces d'isolation de panne eq_yi (i = 1, 2, 3). Par conséquent, en cas de panne d'une articulation du bras de propulsion 20 fixé sur la face +Y, alors le critère de détection de panne articulaire sera vérifié par les résidus articulaires req±y1 (i = 1, 2, 3), mais ne sera pas vérifié par les résidus articulaires reiFyl (i = 1, 2, 3) calculés pour le bras de propulsion 21 fixé 10 sur la face -Y du corps 11 du satellite 10. La figure 3 représente schématiquement des résidus articulaires obtenus par simulation. Plus particulièrement, la partie a) de la figure 3 représente les résidus articulaires req±y1 (i = 1, 2, 3) calculés pour les différentes articulations 22, 23, 15 24 du bras de propulsion 20 fixé sur la face +Y. La partie b) de la figure 3 représente les résidus articulaires reiFyl (i = 1, 2, 3) calculés pour les différentes articulations 22, 23, 24 du bras de propulsion 21 fixé sur la face -Y. Dans l'exemple illustré par la figure 3, une panne de l'articulation 24 (position angulaire 03) du bras de propulsion 20 fixé sur la face +Y du satellite 20 10 intervient à un instant T1. Tel qu'illustré par les parties a) et b) les résidus articulaires req±y1 et reiFyl (i = 1, 2, 3) sont tous inférieurs à la valeur seuil Te avant l'instant T1. Tel qu'illustré par la partie a) de la figure 3, à partir de l'instant T1, le résidu articulaire re3[+y] augmente progressivement en valeur absolue à cause 25 de la panne de l'articulation 24 (position angulaire 03), et dépasse la valeur seuil Te. Les résidus articulaires re-q±y1 et re2[+y] restent eux inférieurs à la valeur seuil Te, du fait que l'erreur 0e3 ne produit pas de couple perturbateur dans les espaces d'isolation de panne ei[+y] et e2[+y]. En outre, le résidu articulaire re3[+Y] vérifie le critère de détection de panne à partir d'un instant T2, 30 de sorte qu'une panne articulaire est détectée sur l'articulation 24 (position angulaire 03) du bras de propulsion 20 fixé sur la face +Y. 3036102 18 Tel qu'illustré par la partie b), à partir de l'instant T1, les résidus articulaires reiFyl (i = 1, 2, 3) augmentent tous progressivement, du fait de l'augmentation du résidu de moment cinétique AH et du fait que les espaces d'isolation de panne eiFyl (i = 1, 2, 3), calculés pour le bras de propulsion 21 5 fixé sur la face -Y, ne présentent pas de propriétés particulières par rapport aux couples perturbateurs formés par une panne d'articulation du bras de propulsion 20 fixé sur la face +Y. On constate donc, à la lecture de la figure 3, que les résidus articulaires reir,y1 et reiFyl (i = 1, 2, 3) permettent bien de détecter et d'isoler les 10 pannes des articulations 22, 23, 24 des bras de propulsion 20, 21. En outre, il est à noter que les résidus articulaires rei (i = 1, 2, 3) peuvent également être utilisés pour estimer l'erreur Aei induite par une panne. Par exemple, si le résidu articulaire rei vérifie le critère de détection de panne articulaire, alors l'erreur Aei peut être estimée selon l'expression suivante : 15 3,0 1-0, Iseo ) La figure 4 représente schématiquement les principales étapes d'un mode préféré de mise en oeuvre du procédé 50 de détection de panne. Outre les étapes décrites précédemment en référence à la figure 2, le procédé 50 de détection de la figure 4 comporte en outre des étapes de : 20 - 56 calcul d'un résidu de propulsion rF pour chaque propulseur 30, 31, en fonction de la norme du résidu de moment cinétique AH, - 57 recherche d'une panne de propulseur en fonction du résidu rF de propulsion, une panne de propulseur étant détectée si le résidu de propulsion rF vérifie un critère prédéfini de détection de panne 25 de propulseur. Au cours de l'étape 56, on calcule des résidus de propulsion rF associés respectivement aux propulseurs 30, 31. Dans des modes préférés de mise en oeuvre, le résidu de propulsion rF est filtré au moyen d'un filtre dérivateur, et est par exemple calculé selon l'expression suivante : 30 rF = DF(s)I lAH11 expression dans laquelle DF(s) correspond à un filtre pseudo-dérivateur, et s correspond à la variable de Laplace. 3036102 19 En pratique, une panne de propulseur 30, 31 entrainera généralement un résidu de moment cinétique AH important. En outre, une panne de propulseur 30, 31 n'agit que sur la norme du résidu de moment cinétique AH et n'agit pas sur la direction dudit résidu de moment cinétique AH. Par 5 conséquent, le critère de détection de panne de propulseur est par exemple considéré comme étant vérifié lorsque le résidu de propulsion rF est supérieur, en valeur absolue, à une valeur seuil TF positive prédéfinie. Il est à noter que, dans le cas illustré par la figure 1 où le satellite 10 comporte deux bras de propulsion 20, 21 comportant chacun un propulseur 30, 10 31, la norme du résidu de moment cinétique AH ne suffit pas à identifier le propulseur 30, 31 qui est en panne. Par contre, le signe du résidu de moment cinétique AH permet d'identifier le propulseur 30, 31 en panne. En outre, il est à noter que le résidu de propulsion rF peut également être utilisé pour estimer l'erreur AF induite par une panne. Par exemple, si le 15 résidu de propulsion rF vérifie le critère de détection de panne de propulsion, alors l'erreur AF peut être estimée selon l'expression suivante : AF = rF EB sF so Dans des modes particuliers de mise en oeuvre, et tel qu'illustré par la figure 4, la recherche de panne d'articulation n'est effectuée que si aucune 20 panne de propulseur n'est détectée. En effet, tel qu'illustré par la figure 4, lorsqu'une panne de propulseur est détectée (référence 570 sur la figure 4), l'exécution du procédé 50 de détection de panne s'arrête. Par contre, si aucune panne de propulseur n'est détectée (référence 571 sur la figure 4) alors l'exécution du procédé 50 de détection de panne se poursuit avec l'étape 54 de 25 calcul des résidus articulaires re (i = 1, 2, 3). Ainsi, il est possible d'isoler les pannes de propulseur 30, 31 et les pannes d'articulations 22, 23, 24. Rien n'exclut cependant, suivant d'autres exemples, de poursuivre l'exécution du procédé 50 de détection de panne lorsqu'une panne de propulseur est détectée. Par exemple, il est également possible d'estimer 30 l'erreur AF induite par cette panne et de prendre en compte cette erreur AF pour le calcul des résidus articulaires et la recherche de panne d'articulation. 3036102 20 De manière plus générale, il est à noter que les modes de mise en oeuvre et de réalisation considérés ci-dessus ont été décrits à titre d'exemples non limitatifs, et que d'autres variantes sont par conséquent envisageables. Notamment, l'invention a été décrite en considérant un satellite 10 5 comportant deux bras de propulsion 20, 21. Toutefois, l'invention est applicable pour tout satellite comportant au moins un bras de propulsion. En outre, l'invention a été décrite en considérant le cas d'une opération de contrôle effectuée au cours d'une phase de transfert, en l'occurrence une manoeuvre d'apogée. Rien n'exclut cependant de considérer 10 d'autres types d'opération de contrôle, y compris au cours d'une phase de maintien à poste du satellite 10 en orbite de mission, dès lors que les coefficients IS(80,i) sont non nuls pour l'état de référence considéré. En outre, l'invention a été décrite en considérant un bras de propulsion comportant trois articulations. Toutefois, l'invention est applicable dès lors que 15 le bras de propulsion comporte au moins une articulation. Dans le cas où ledit bras de propulsion comporte une seule articulation, l'espace d'isolation de panne est par exemple défini par la dérivée partielle de la fonction de formation de couple par rapport à la position angulaire de cette articulation. 20 Dans le cas où ledit bras de propulsion comporte deux articulations, les espaces d'isolation de panne correspondent par exemple aux plans orthogonaux aux dérivées partielles ôB/Esei (i = 1, 2). Suivant un autre exemple, l'espace d'isolation de panne ei est un vecteur correspondant à la projection de la dérivée partielle ôB/Esei dans le plan orthogonal à la dérivée partielle EB/Esek 25 avec i # k. En outre, l'invention est également applicable lorsque le bras de propulsion comporte un nombre d'articulations supérieur à trois. Si le bras de propulsion comporte quatre articulations, alors les espaces d'isolation de panne correspondent par exemple à quatre vecteurs différents. Dans un tel 30 cas, les espaces d'isolation de panne ne peuvent pas être tous orthogonaux entre eux, mais peuvent néanmoins être calculés, en fonction des dérivées partielles, de sorte à maximiser la capacité d'isolation des pannes d'articulations. Par exemple, il est possible de calculer les espaces d'isolation 3036102 21 de panne de sorte à limiter, pour chaque articulation, les couples perturbateurs formés dans les espaces d'isolation de panne des autres articulations. Egalement, l'invention a été décrite en considérant un bras de propulsion comportant un seul propulseur. Rien n'exclut cependant, suivant 5 d'autres exemples, d'avoir un bras de propulsion comportant au moins deux propulseur, par exemple à des fins de redondance. Les propulseurs d'un même bras de propulsion peuvent en outre être de même type (électrique ou chimique) ou de types différents. REVENDICATIONS1 - Procédé (50) de détection de panne d'un système de contrôle d'attitude et d'orbite d'un engin spatial (10), ledit système comportant au moins un bras de propulsion (20, 21), ledit bras de propulsion comportant au moins un propulseur (30, 31) et au moins une articulation (22, 23, 24), ledit bras de propulsion étant adapté à former un couple qui est relié à un état du bras de propulsion, ledit état du bras de propulsion correspondant à la position angulaire (01, 02, 03) de ladite articulation et à la norme de la force de poussée dudit propulseur, par une fonction de formation de couple, caractérisé en ce que ledit procédé comporte : - le calcul (51) d'un espace d'isolation de panne, associé à l'articulation du bras de propulsion, en fonction du gradient de la fonction de formation de couple calculé pour un état de référence du bras de propulsion pour une opération de contrôle, - l'estimation (52), au cours de ladite opération de contrôle, d'une vitesse de rotation de l'engin spatial (10), - l'estimation (53) d'un résidu de moment cinétique en fonction de la vitesse de rotation dudit engin spatial (10), - le calcul (54) d'un résidu articulaire, associé à l'articulation du bras de propulsion, par projection du résidu de moment cinétique sur l'espace d'isolation de panne, - la recherche (55) d'une panne d'articulation en fonction du résidu articulaire, une panne d'articulation étant détectée si ledit résidu articulaire vérifie un critère prédéfini de détection de panne d'articulation. 2 - Procédé (50) selon la revendication 1, caractérisé en ce que, le bras de propulsion (20, 21) comportant au moins deux articulations (22, 23, 24), ledit procédé comporte : - le calcul (51) d'espaces d'isolation de panne associés respectivement aux différentes articulations du bras de propulsion, - le calcul (54) de résidus articulaires associés respectivement aux différentes articulations du bras de propulsion, - la recherche (55) d'une panne d'articulation en fonction desdits 3036102 23 résidus articulaires, une panne d'articulation étant détectée si lesdits résidus articulaires vérifient un critère prédéfini de détection de panne d'articulation. Procédé (50) selon la revendication 2, dans lequel le critère de détection de panne d'articulation est vérifié, pour une articulation du bras de propulsion, lorsque le résidu articulaire associé à ladite articulation est au moins cinq fois supérieur, en valeur absolue, au résidu articulaire associé à chaque autre articulation du bras de propulsion. Procédé (50) selon l'une des revendications précédentes, comportant le calcul (56) d'un résidu de propulsion, associé au propulseur, en fonction de la norme du résidu de moment cinétique, et la recherche (57) d'une panne de propulseur en fonction du résidu de propulsion, une panne de propulseur étant détectée si le résidu de propulsion vérifie un critère prédéfini de détection de panne de propulseur. Procédé (50) selon la revendication 4, dans lequel la recherche (55) de panne d'articulation n'est effectuée que si aucune panne de propulseur n'est détectée. Procédé (50) selon l'une des revendications 4 à 5, dans lequel le critère de détection de panne de propulseur est vérifié lorsque le résidu de propulsion est supérieur, en valeur absolue, à une valeur seuil positive prédéfinie. Procédé (50) selon l'une des revendications 4 à 6, comportant, lorsqu'une panne de propulseur est détectée, l'estimation, en fonction du résidu de propulsion, d'une erreur sur la norme de la force de poussée induite par ladite panne de propulseur. Procédé (50) selon l'une des revendications précédentes, dans lequel l'opération de contrôle est une opération d'une phase de mise à poste de l'engin spatial sur une orbite de mission. Procédé (50) selon l'une des revendications précédentes, comportant, 30 lorsqu'une panne d'articulation est détectée, l'estimation, en fonction du résidu articulaire associé à ladite articulation pour laquelle une panne a été détectée, d'une erreur sur la position angulaire de ladite articulation induite par ladite panne d'articulation. 3 - 5 4 - 10 155 - 6 - 20 7 - 25 8 - 9 - 3036102 24 10 - Produit programme d'ordinateur caractérisé en ce qu'il comporte un ensemble d'instructions de code de programme qui, lorsqu'elles sont exécutées par un processeur, configurent ledit processeur pour mettre en oeuvre un procédé (50) de détection de panne selon l'une des 5 revendications précédentes. 11 - Dispositif (40) de détection de panne d'un système de contrôle d'attitude et d'orbite d'un engin spatial, comportant des moyens de mesure d'une grandeur représentative d'une vitesse de rotation dudit engin spatial, caractérisé en ce qu'il comporte des moyens configurés pour mettre en 10 oeuvre un procédé (50) de détection de panne selon l'une des revendications 1 à 9. 12 - Système de contrôle d'attitude et d'orbite d'un engin spatial (10), tel qu'un satellite, comportant au moins un bras de propulsion (20, 21) de l'engin spatial, ledit bras de propulsion comportant au moins un propulseur (30, 15 31) et au moins une articulation, caractérisé en ce qu'il comporte un dispositif (40) de détection de panne selon la revendication 11. 13 - Système selon la revendication 12, dans lequel le propulseur (30, 31) est un propulseur électrique. 14 - Système selon l'une des revendications 12 à 13, dans lequel le bras de 20 propulsion (20, 21) comporte au moins deux propulseurs. 15 - Système selon l'une des revendications 12 à 14, comportant au moins deux bras de propulsion (20, 21).