FR 3030058 A1 20160617 FR 1402824 A 20141211 1 Dispositif redondant de capteurs de pilotage pour un aéronef à voilure tournante Le domaine général de la présente invention est celui des aides au pilotage des aéronefs, et des aéronefs à voilures tournantes en particulier. La présente invention concerne un dispositif redondant de capteurs de pilotage basé sur au moins une centrale inertielle hybridée par des systèmes de navigation par satellites pour un aéronef déterminant la vitesse par rapport au sol de cet aéronef, ainsi qu'un procédé de détermination de cette vitesse par rapport au sol de l'aéronef. Un tel système de navigation par satellites comprend un récepteur embarqué, qui reçoit des signaux de plusieurs satellites appartenant à une constellation de satellites, cette constellation étant contrôlée par une infrastructure terrestre fixe dite segment sol. L'ensemble constitué du récepteur, de la constellation et du segment sol constitue un système de navigation par satellites, généralement désigné par l'acronyme GNSS signifiant en langue anglaise « Global Navigation Satellite System ». Plusieurs systèmes GNSS sont actuellement opérationnels, tels que le système GPS (« Global Positioning System ») des États-Unis d'Amérique et le système GLONASS de la Russie. Les systèmes BEIDOU Chinois, le système japonais QZSS et le système GALILEO Européen sont actuellement en cours de développement ou de déploiement. Une limitation générale à l'utilisation des systèmes GNSS dans les systèmes de pilotage des aéronefs réside dans la possibilité de pannes multiples affectant simultanément plusieurs satellites, voire même une constellation complète. 3030058 2 La présente invention met à profit la disponibilité de plusieurs systèmes GNSS indépendants pour outrepasser cette limitation. Le document US7436354 décrit un dispositif de navigation par satellites utilisant simultanément plusieurs constellations 5 GNSS. Un tel dispositif opère par traitement de mesures de position issues de systèmes GNSS distincts, permettant de détecter des pannes simples et des pannes multiples et de surpasser le niveau d'intégrité des récepteurs basés sur une seule constellation et utilisant des méthodes de contrôle autonome de 10 l'intégrité de ces mesures, de telles méthodes étant connues sous l'acronyme RAIM (Receiver Autonomous Integrity Monitoring). Un tel dispositif ne met toutefois pas en oeuvre de méthodes RAIM individuels sur chacun des systèmes GNSS et ne permet pas d'atteindre le niveau d'intégrité requis pour des applications 15 critiques. De plus, ce dispositif ne garantit pas une continuité des informations de navigation, notamment en cas de pertes des signaux provenant des satellites dues par exemple à l'environnement. Enfin, ces informations de navigation comportent la position de l'aéronef mais pas sa vitesse. 20 Il est en outre connu que les systèmes GNSS, bien que conçus pour permettre de déterminer la position de divers véhicules, permettent aussi de déterminer leur vitesse. D'autres technologies permettent également d'estimer la position et la vitesse d'un aéronef, sans utiliser de satellites. 25 De tels dispositifs et notamment des centrales inertielles IRS peuvent être combinés avec l'utilisation d'un récepteur GNSS afin de limiter les effets des perturbations subies par les systèmes GNSS. Notamment, la vitesse sol obtenue par l'intermédiaire d'une centrale inertielle permet de valider la vitesse sol fournie par un récepteur GNSS lorsque ces deux vitesses sol sont proches. De plus, en cas de défaillance du système GNSS consécutif à la 3030058 3 panne d'un satellite ou bien à un masquage par exemple, la centrale inertielle est capable de suppléer le récepteur GNSS pour une durée limitée, et permettre d'estimer la vitesse sol de l'aéronef. 5 On connait par exemple le document FR2906893 qui décrit un système hybride comportant au moins deux récepteurs GNSS, au moins un module inertiel IMU permettant d'hybrider les informations fournies par au moins un récepteur GNSS et au moins un filtre Kalman étendu. Ce système hybride permet de détecter 10 une défaillance sur au moins un satellite du système GNSS. Ce système hybride permet également de déterminer un rayon de protection correspondant à une erreur sur la position fournie par ce système hybride. Les informations fournies par un tel dispositif hybridé sont 15 précises. Par contre, ce dispositif hybridé est dépendant d'un seul système GNSS, tel que le système GPS par exemple. De ce fait, les informations fournies ne sont pas suffisamment intègres. De plus, un tel dispositif hybridé doit comporter un nombre important d'estimateurs afin de gérer notamment les pannes doubles de 20 satellites. En effet, ce dispositif est basé sur des tests d'hypothèses. Le nombre d'estimateurs correspond donc au nombre de configurations de pannes, selon ces hypothèses, que peut détecter ce dispositif. Par exemple, un dispositif dimensionné pour détecter toutes les combinaisons de pannes de deux satellites 25 parmi vingt quatre satellites de deux constellations GNSS doit comporter un nombre d'estimateurs égal à cl, = 276. L'introduction d'une troisième constellation GNSS porte le nombre d'estimateurs nécessaires à cfs = 630. Cette augmentation du nombre d'estimateurs se traduit alors par un coût important et une 30 impossibilité d'un tel système à évoluer avec l'avènement de nouvelles constellations. 3030058 4 On connait également le document FR2964468 qui décrit un dispositif de détection et d'exclusion de pannes multiples de satellites pour un système multi-GNSS utilisant simultanément plusieurs constellations. Ce dispositif comporte un banc de filtres 5 de Kalman muni d'au moins un filtre par satellite utilisé permettant d'exclure les informations fournies par un satellite jugé défaillant. De plus, ce dispositif peut être hybridé par un module inertiel IMU. De même que précédemment, la puissance de calcul de ce banc de filtres de Kalman croît très vite avec le nombre de satellites traités 10 et le nombre de combinaisons de pannes satellites envisagées. Le document FR2996647 décrit une centrale inertielle reliée à un récepteur utilisant des mesures issues de plusieurs satellites répartis en au moins deux sous-ensembles distincts de satellites afin de déterminer au moins deux solutions hybrides de navigation. 15 Cette centrale inertielle comporte un détecteur de panne satellites, muni d'un filtre de kalman principal et de plusieurs filtres de Kalman secondaires, comparant en aval des filtres de Kalman ces solutions hybrides de navigation afin de détecter une panne d'un satellite et d'exclure le satellite en panne. 20 L'utilisation d'un filtre de kalman principal et des filtres de Kalman secondaires ainsi que son application à un dispositif de navigation utilisant une centrale inertielle et un récepteur GPS sont notamment décrites dans le document « A New Failure Detection Approach and Its Application to GPS Autonomous lntegrity 25 Monitoring » - IEEE Transactions on Aerospace and Electronic Systems - Vol 31, N°1 - Janvier 1995 - pages 499-506. La présente invention a pour objet de proposer un dispositif de capteurs de pilotage pour un aéronef permettant de s'affranchir des limitations mentionnées ci-dessus, ce dispositif de capteurs de 30 pilotage étant capable de fournir une vitesse sol de l'aéronef qui atteint les niveaux d'intégrité, de disponibilité et de précision 3030058 5 requis par un système de pilotage, permettant la réalisation de vols sûrs près du sol et des obstacles. Ce dispositif de capteurs de pilotage est plus particulièrement destiné à un aéronef à voilure tournante. 5 Selon un aspect de l'invention, un dispositif de capteurs de pilotage destiné à un aéronef à voilure tournante comporte des moyens de réception GNSS de constellations d'au moins deux systèmes GNSS indépendants et distincts ainsi qu'au moins trois modules de détection et d'exclusion de pannes FDE. Chaque 10 moyen de réception GNSS est relié à au moins une antenne et reçoit des signaux initiaux de navigation de plusieurs satellites. Chaque module de détection et d'exclusion de pannes FDE reçoit au moins deux signaux d'entrées et délivre un signal de sortie, chaque signal de sortie comportant une mesure et un état 15 d'intégrité. Selon un mode de réalisation, le dispositif de capteurs de pilotage selon l'invention comporte au moins deux moyens de réception GNSS et peut ainsi utiliser au moins deux systèmes GNSS distincts. De préférence, le dispositif de capteurs de 20 pilotage selon l'invention comporte des moyens de réception GNSS distincts et non similaires pour traiter séparément les signaux initiaux de navigation provenant de satellites appartenant à chaque système GNSS. Chaque moyen de réception GNSS est ainsi dédié à un système GNSS spécifique tels que par exemple le système 25 GPS, le système GLONASS, le système GALILEO, le système QZSS et les systèmes BEIDOU. De fait, le dispositif de capteurs de pilotage selon l'invention est redondant à la fois au niveau des systèmes GNSS et au niveau des moyens de réception GNSS, et peut ainsi pallier des défaillances d'un de ces systèmes GNSS ou 30 de l'un des moyens de réception. 3030058 6 Selon un autre mode de réalisation de l'invention, chaque moyen de réception GNSS est une sous-fonction d'un unique récepteur multi-GNSS, c'est-à-dire capable d'utiliser des signaux de navigation provenant de satellites appartenant à différents 5 systèmes GNSS mais fournissant des solutions distinctes pour chaque constellation. Selon encore un autre mode de réalisation, le dispositif de capteurs de pilotage selon l'invention peut utiliser, en lieu et place d'un système GNSS, un système de télécommunication par 10 satellites tel que le système IRIDIUM qui utilise sa propre constellation de satellites. Les éphémérides de ces satellites étant connues, il est possible d'exploiter l'effet Doppler sur les signaux qu'ils émettent afin de déterminer la vitesse sol d'un véhicule. Cette utilisation du système IRIDIUM est possible car le dispositif 15 de capteurs de pilotage selon l'invention vise à déterminer la vitesse sol d'un aéronef plutôt que sa position. Ce dispositif de capteurs de pilotage selon l'invention est remarquable en ce que chaque moyen de réception GNSS comporte un premier module de détection et d'exclusion de pannes 20 FDE1 et au moins un second module de détection et d'exclusion de pannes FDE2. Chaque premier module de détection et d'exclusion de panne FDE1 reçoit et analyse les signaux initiaux et détecte des signaux initiaux intègres et/ou des signaux initiaux erronés. Un exemple de 25 réalisation de ce traitement est connu sous l'appellation RAIM, décrit par exemple dans le document FR2971857. Cette méthode RAIM destinée initialement à la consolidation de mesures de position est nommée V-RAIM dans la suite du présent document lorsqu'elle est appliquée à la détermination 30 d'une vitesse sol d'un aéronef. 3030058 7 Chaque moyen de réception GNSS délivre alors une mesure et un état d'intégrité d'un premier signal de vitesse sol de l'aéronef en repère géographique à partir des signaux initiaux intègres en excluant le cas échéant lesdits signaux initiaux erronés. 5 La disponibilité d'un premier signal de vitesse sol est dépendante du nombre de satellites du système GNSS visibles par le moyen de réception GNSS ou bien en fonctionnement correct. Par exemple, quatre satellites sont généralement nécessaires pour déterminer une position tridimensionnelle ainsi qu'un 10 décalage de temps de l'horloge du récepteur, ou bien une vitesse tridimensionnelle d'un aéronef ainsi qu'un décalage de fréquence de l'horloge du récepteur. Cependant, au moins un cinquième satellite est nécessaire pour avoir une redondance et détecter ainsi la présence d'une panne simple d'un satellite. De fait, chaque 15 premier module de détection et d'exclusion de pannes FDE1 reçoit au moins quatre signaux initiaux pour déterminer un premier signal de vitesse sol et au moins cinq signaux initiaux pour garantir l'intégrité de ce premier signal de vitesse sol. Avantageusement, chaque moyen de réception GNSS peut 20 comporter une horloge de grande précision, telle qu'une horloge atomique, utilisée comme référence de fréquence. Chaque premier module de détection et d'exclusion de pannes FDE1 nécessite alors un signal initial de moins pour déterminer un premier signal de vitesse sol de l'aéronef. De la sorte, un tel moyen de réception 25 GNSS comportant une horloge atomique permet de déterminer un premier signal de vitesse sol dès que trois satellites sont visibles et de détecter une panne simple d'un satellite à partir de quatre satellites visibles. De fait, chaque moyen de réception GNSS peut délivrer une 30 mesure de vitesse sol garantie pour un premier niveau d'intégrité, 3030058 8 grâce à un premier niveau de surveillance autonome. Ce premier niveau d'intégrité ne couvre que les pannes simples d'un satellite de la constellation de ce moyen de réception GNSS. Chaque second module de détection et d'exclusion de pannes 5 FDE2 est relié et est en communication avec au moins deux moyens de réception GNSS. Chaque second module de détection et d'exclusion de pannes FDE2 reçoit, analyse et compare les premiers signaux de vitesse sol délivrés par au moins deux moyens de réception GNSS, puis détecte des premiers signaux de vitesse 10 sol intègres et/ou des premiers signaux de vitesse sol erronés. Chaque second module de détection et d'exclusion de pannes FDE2 peut alors détecter et éventuellement exclure chaque système GNSS défectueux en localisant un premier signal de vitesse sol erroné, puis déterminer et délivrer une mesure et un 15 état d'intégrité d'un deuxième signal de vitesse sol de l'aéronef à partir d'au moins deux premiers signaux de vitesse sol intègres en excluant le cas échéant les premiers signaux de vitesse sol erronés. Le second module de détection et d'exclusion de pannes 20 FDE2 recevant les premiers signaux de vitesses sol permet de détecter les pannes multiples, affectant plusieurs satellites simultanément, ainsi que celles affectant le segment sol d'un système GNSS. En effet, en comparant les premiers signaux de vitesse sol émis par au moins deux moyens de réception GNSS 25 couvrant au moins deux systèmes GNSS distincts et indépendants, chaque second module de détection et d'exclusion de pannes FDE2 peut détecter des incohérences entre ces premiers signaux de vitesse sol et, a minima, passiver la panne. On entend par « passiver une panne » rendre cette panne 30 passive, c'est-à-dire sans conséquence catastrophique ou dangereuse sur le dispositif. 3030058 9 Si au moins trois GNSS et trois moyens de réception étaient initialement disponibles, le dispositif selon l'invention permet en outre de localiser le système GNSS défectueux, de l'exclure, et de continuer à fonctionner avec les systèmes GNSS valides. Le second module de détection et d'exclusion de pannes FDE2 peut opérer selon la méthode connue de la médiane. Une telle méthode est par exemple décrite dans le document US4264955. Selon ce document, on calcule la valeur médiane des signaux d'entrée. Cette valeur médiane est garantie intègre tant 10 que le nombre de premiers signaux de vitesse sol erronés est inférieur à la moitié du nombre total de premiers signaux de vitesse sol disponibles en entrée du second module de détection et d'exclusion de pannes FDE2. En outre, ladite valeur médiane peut être utilisée comme 15 référence pour comparer chacune des valeurs des autres signaux d'entrée. Les signaux d'entrée s'écartant de la référence, en valeur absolue, de plus d'un seuil prédéterminé sont alors considérés comme défectueux. Dans les cas où le second module de détection et d'exclusion 20 de panne FDE2 ne dispose plus à ses entrées que de deux signaux valides, un écart excessif entre ces deux signaux révèle une panne affectant l'un des deux. Faute de pouvoir localiser ladite panne, le second module de détection et d'exclusion de pannes FDE2 passive la panne en invalidant sa sortie. 25 Enfin, lorsque le second module de détection et d'exclusion de pannes FDE2 reçoit un seul premier signal de vitesse sol valide, aucun deuxième signal de vitesse sol intègre n'est fourni, l'intégrité de ce premier signal de vitesse sol ne pouvant être déterminée. 3030058 10 Par exemple, le seuil de cohérence prédéterminé est égal à 0.2 mètre par seconde (0.2m/s). Le dispositif de capteurs selon l'invention permet ainsi de déterminer un signal de vitesse sol de l'aéronef suffisamment 5 intègre pour être utilisé dans un système de pilotage. En effet, l'intégrité de ce deuxième signal de vitesse sol de l'aéronef résulte de la mise en cascade de premiers modules et d'un second module de détection et d'exclusion de pannes FDE1 et FDE2, le deuxième étage FDE2 détectant les pannes qui ne l'ont pas été par les seuls 10 premiers étages FDE1. De plus, ce deuxième signal de vitesse sol est très disponible dès lors qu'il est déterminé à partir de plus de deux systèmes GNSS distincts et indépendants. Il est en effet très peu probable que des pannes multiples affectent simultanément plusieurs 15 systèmes GNSS indépendants. En outre, chaque moyen de réception GNSS peut avantageusement être relié à au moins deux antennes de réception. Ainsi, chaque moyen de réception GNSS peut déterminer comme décrit par exemple dans le document 20 FR2964199, les directions d'arrivée des signaux initiaux provenant des satellites, les comparer aux directions attendues et rejeter ceux desdits signaux initiaux pour lesquels une discordance est constatée. Dans le mode préféré de réalisation de l'invention, la 25 disponibilité d'une solution de vitesse sol intègre pour les lois de pilotage est améliorée par la mise en oeuvre de mesures inertielles. Dans ce mode de réalisation, le dispositif de capteurs de pilotage selon l'invention comporte en outre au moins un module inertiel IMU et au moins une plateforme d'hybridation. Chaque module 30 inertiel IMU fournit des signaux de mesures inertielles 3030058 11 caractérisant des accélérations et des vitesses angulaires de l'aéronef. Il est alors connu d'estimer par intégration de ces signaux de mesures inertielles d'accélérations et de vitesses angulaires une vitesse sol inertielle de cet aéronef. Chaque 5 plateforme d'hybridation est reliée et en est communication avec un module inertiel IMU et un second module de détection et d'exclusion de pannes FDE2. La plateforme d'hybridation et le module inertiel IMU forme une chaîne inertielle. Chaque plateforme d'hybridation reçoit et traite ces signaux 10 de mesures inertielles ainsi qu'éventuellement un deuxième signal de vitesse sol, constituant une vitesse d'aide, et détermine une mesure constituant un troisième signal de vitesse sol de l'aéronef. De manière connue, une plateforme d'hybridation aidée vitesse réalise les opérations suivantes : 15 - intégration des mesures inertielles pour obtenir une estimation de vitesse hybride, - calcul de l'écart entre ladite estimation de vitesse hybride et la vitesse d'aide, estimation de corrections des mesures inertielles à partir dudit 20 écart. Dans les phases de vol où la vitesse d'aide n'est pas disponible, la vitesse obtenue est purement inertielle, mais bénéficie des dernières corrections estimées. Le troisième signal de vitesse sol est ainsi disponible de 25 façon continue, y compris quand le deuxième signal de vitesse sol n'est pas disponible. De préférence, le dispositif de capteurs de pilotage selon l'invention comporte au moins deux plateformes d'hybridation et au moins deux modules inertiels IMU. 3030058 12 De plus, le dispositif de capteurs de pilotage selon l'invention peut comporter au moins un troisième module de détection et d'exclusion de pannes FDE3. Chaque troisième module de détection et d'exclusion de pannes FDE3 est relié et est en 5 communication avec au moins deux plateformes d'hybridation. Chaque troisième module de détection et d'exclusion de pannes FDE3 reçoit, analyse et compare les troisièmes signaux de vitesse sol délivrés par les plateformes d'hybridation et détecte des troisièmes signaux de vitesse sol intègres et/ou des troisièmes 10 signaux de vitesse sol erronés. Chaque troisième module de détection et d'exclusion de pannes FDE3 peut alors détecter une panne sur une chaîne inertielle et à minima passiver cette panne. Dans les modes de réalisation où le dispositif de capteurs de pilotage comprend plus 15 de deux chaînes inertielles, le troisième module de détection et d'exclusion de pannes FDE3 peut en outre localiser la chaîne inertielle défectueuse et l'exclure. Chaque troisième module de détection et d'exclusion de pannes FDE3 peut ainsi déterminer et délivrer une mesure et un 20 état d'intégrité d'un quatrième signal de vitesse sol de l'aéronef à partir d'au moins deux troisièmes signaux de vitesse sol intègres en excluant le cas échéant les troisièmes signaux de vitesse sol erronés. Chaque troisième module de détection et d'exclusion de 25 pannes FDE3 peut mettre en oeuvre la méthode de la médiane pour détecter et éventuellement localiser et exclure les troisièmes signaux de vitesse sol défectueux. Le troisième module de détection et d'exclusion de pannes FDE3 peut en outre être relié et être en communication avec au 30 moins un second module de détection et d'exclusion de pannes 3030058 13 FDE2 afin de recevoir, d'analyser et de comparer au moins un deuxième signal de vitesse sol et les troisièmes signaux de vitesse sol. Chaque troisième module de détection et d'exclusion de pannes FDE3 peut alors détecter et localiser des deuxièmes et/ou 5 des troisièmes signaux de vitesse sol intègres ainsi que des deuxièmes et/ou des troisièmes signaux de vitesse sol erronés. Chaque troisième module de détection et d'exclusion de pannes FDE3 peut ensuite déterminer et délivrer une mesure et un état d'intégrité du quatrième signal de vitesse sol de l'aéronef à 10 partir d'au moins un deuxième signal de vitesse sol intègres et/ou d'au moins deux troisièmes signaux de vitesse sol intègres en excluant le cas échéant les deuxièmes et/ou troisièmes signaux de vitesse sol erronés. Chaque troisième module de détection et d'exclusion de 15 pannes FDE3 peut ainsi localiser la panne détectée qui peut être soit une panne d'une chaîne inertielle, soit une panne commune aux systèmes GNSS. Chaque troisième module de détection et d'exclusion de pannes FDE3 peut ensuite exclure la chaîne inertielle défectueuse ou bien les systèmes GNSS à partir de la 20 localisation des deuxièmes et troisièmes signaux de vitesse sol erronés. Le troisième module de détection et d'exclusion de pannes FDE3 délivre le quatrième signal de vitesse sol en appliquant par exemple la méthode de détermination selon la valeur médiane. 25 Par ailleurs, l'utilisation d'au moins une chaîne inertielle permet ainsi d'assurer la continuité de la fourniture du troisième signal de vitesse et, par suite, du quatrième signal de vitesse sol de l'aéronef en cas d'indisponibilité d'un deuxième signal de vitesse sol intègre. 3030058 14 Avantageusement, l'utilisation de plusieurs chaînes inertielles dans le dispositif de capteurs de pilotage permet de passiver les défauts simultanés et cohérents de tous les systèmes GNSS. Une telle situation est quasiment impossible si les défauts considérés 5 sont des pannes involontaires. Par contre, une tentative malveillante d'un individu ou d'une organisation de falsifier tous les signaux GNSS reçus par l'aéronef n'est pas à exclure. Ainsi, dans de telles situations, un dispositif conforme à l'invention rejette l'ensemble des deuxièmes signaux de vitesse sol et continue à 10 délivrer un quatrième signal de vitesse sol intègre, purement inertiel. Selon un mode de réalisation particulier de l'invention, chaque plateforme d'hybridation comporte une plateforme virtuelle purement inertielle et un filtre aux erreurs d'hybridation 15 communiquant entre eux. Chaque plateforme virtuelle purement inertielle est reliée et en communication avec un module inertiel IMU formant ainsi une centrale inertielle. Le dispositif de capteurs de pilotage comporte deux centrales à inertie, un calculateur à deux voies de calcul, et deux filtres aux 20 erreurs d'hybridation par centrale inertielle, un dans chaque voie de calcul. Chaque voie de calcul calcule deux filtres aux erreurs d'hybridation avec d'une part un second module de détection et d'exclusion de pannes FDE2 et d'autre part un troisième module de détection et d'exclusion de pannes FDE3. Chaque second module 25 de détection et d'exclusion de pannes FDE2 est relié et en communication avec deux filtres aux erreurs d'hybridation et chaque troisième module de détection et d'exclusion de pannes FDE3 est en communication avec deux filtres aux erreurs d'hybridation pour chaque voie de calcul. L'utilisation de ces deux 30 voies de calcul en parallèle permet de détecter et de passiver un éventuel dysfonctionnement d'une de ces voies de calcul. 3030058 15 Chaque plateforme virtuelle purement inertielle reçoit des signaux de mesures inertielles d'un module inertiel IMU que cette plateforme virtuelle purement inertielle transforme en vitesse sol inertielle pure. De fait, chaque centrale inertielle délivre une 5 vitesse sol inertielle pure de l'aéronef. Chaque filtre aux erreurs d'hybridation est alors relié à une centrale inertielle ainsi qu'à un second module de détection et d'exclusion de pannes FDE2 pour recevoir une vitesse sol inertielle pure de l'aéronef et un deuxième signal de vitesse sol de l'aéronef. 10 En outre, chaque filtre aux erreurs d'hybridation est de préférence un filtre de Kalman qui estime les erreurs affectant les variables d'état plutôt que directement les variables d'état. La présente invention a aussi pour objet un procédé de détermination d'une vitesse sol d'un aéronef comportant plusieurs 15 étapes. Au cours d'une première étape, on reçoit des signaux initiaux de navigation provenant de plusieurs satellites appartenant à au moins deux systèmes GNSS distincts et indépendants. Au cours d'une seconde étape, on analyse ces signaux 20 initiaux de navigation pour chaque système GNSS. Au cours d'une troisième étape, on détecte des signaux initiaux intègres et/ou des signaux initiaux erronés. Au cours d'une quatrième étape, on délivre une mesure et un état d'intégrité d'au moins deux premiers signaux de vitesse sol de 25 l'aéronef en repère géographique pour au moins deux systèmes GNSS distincts et indépendants à partir des signaux initiaux intègres en excluant le cas échéant les signaux initiaux erronés. 3030058 16 Au cours d'une cinquième étape, on analyse et on compare les premiers signaux de vitesse sol. Au cours d'une sixième étape, on détecte des premiers signaux de vitesse sol intègres et/ou des premiers signaux de 5 vitesse sol erronés. Au cours d'une septième étape, on détecte et on exclut chaque système GNSS défectueux fournissant un premier signal de vitesse sol erroné. Au cours d'une huitième étape, on détermine et on délivre 10 une mesure et un état d'intégrité d'au moins un deuxième signal de vitesse sol de l'aéronef à partir d'au moins deux premiers signaux de vitesse sol intègres en excluant le cas échéant lesdits premiers signaux de vitesse sol erronés. Au cours de la huitième étape, on peut déterminer au moins 15 un deuxième signal de vitesse sol de l'aéronef si au moins deux premiers signaux de vitesse sol sont disponibles. Chaque deuxième signal de vitesse sol de l'aéronef est déterminé par une méthode de la médiane. Le procédé de détermination d'une vitesse sol d'un aéronef 20 permet ainsi de détecter une panne simple d'un satellite d'un système GNSS et/ou une panne multiple au sein d'un ou plusieurs systèmes GNSS. Le deuxième signal de vitesse sol de l'aéronef reste donc disponible et intègre malgré des pannes multiples. Selon une première variante de ce mode de réalisation de 25 l'invention, ce procédé peut comporter des étapes supplémentaires. Au cours d'une neuvième étape, on acquiert des signaux de mesures inertielles, les signaux de mesures inertielles 3030058 17 caractérisant des accélérations et des vitesses angulaires de l'aéronef. Au cours d'une dixième étape, on traite chaque deuxième signal de vitesse sol et les signaux de mesures inertielles. 5 Au cours d'une onzième étape, on détermine et on délivre au moins une mesure constituant au moins un troisième signal de vitesse sol de l'aéronef à partir des signaux de mesures inertielles et le cas échéant d'un deuxième signal de vitesse sol intègre, le troisième signal de vitesse sol étant alors disponible de façon 10 continue. Au cours de cette onzième étape, chaque troisième signal de vitesse sol peut être déterminé selon une méthode d'hybridation connue et utilisée classiquement dans le domaine aéronautique. Une telle méthode d'hybridation permet de délivrer un troisième 15 signal de vitesse sol hybride. Au cours d'une douzième étape, on analyse et on compare les troisièmes signaux de vitesse sol. Ensuite, au cours d'une treizième étape, on détecte des troisièmes signaux de vitesse sol intègres et/ou des troisièmes 20 signaux de vitesse sol erronés. Au cours d'une quatorzième étape, on détermine et on délivre une mesure et un état d'intégrité d'un quatrième signal de vitesse sol de l'aéronef à partir d'au moins deux troisièmes signaux de vitesse sol intègres en excluant le cas échéant lesdits troisièmes 25 signaux de vitesse sol erronés Ce quatrième signal de vitesse sol peut être déterminé par la méthode de la médiane. Selon une seconde variante de ce mode de réalisation de l'invention, ces étapes supplémentaires se déroulent comme suit, 3030058 18 les neuvième, dixième et onzième étapes étant identiques au premier mode de réalisation. Au cours de la douzième étape, on analyse et on compare au moins un deuxième signal de vitesse sol et les troisièmes signaux 5 de vitesse sol. Au cours de la treizième étape, on détecte et on localise des deuxièmes et/ou des troisièmes signaux de vitesse sol intègres ainsi que des deuxièmes et/ou des troisièmes signaux de vitesse sol erronés. 10 Au cours de la quatorzième étape, on détermine et on délivre une mesure et un état d'intégrité du quatrième signal de vitesse sol de l'aéronef à partir d'au moins un deuxième signal de vitesse sol intègres et/ou d'au moins deux troisièmes signaux de vitesse sol intègres en excluant le cas échéant les deuxièmes et/ou troisièmes 15 signaux de vitesse sol erronés. L'ensemble des étapes peuvent s'enchaîner de façon séquentielle. Cependant, la neuvième étape peut se dérouler simultanément à au moins une des huit premières étapes. L'invention et ses avantages apparaîtront avec plus de 20 détails dans le cadre de la description qui suit avec des exemples de réalisation donnés à titre illustratif en référence aux figures annexées qui représentent : - la figure 1, un aéronef à voilure tournante équipé d'un dispositif de capteurs de pilotage selon l'invention, et 25 - les figures 2 à 4, plusieurs modes de réalisation d'un dispositif de capteurs de pilotage selon l'invention. Les éléments présents dans plusieurs figures distinctes sont affectés d'une seule et même référence. 3030058 19 La figure 1 représente un aéronef 2 à voilure tournante équipé d'un dispositif de capteurs de pilotage 1 selon l'invention. Ce dispositif de capteurs de pilotage 1 est muni de quatre antennes 111,112,121,122. Deux antennes 111,121 sont 5 positionnées au-dessus du fuselage 3 de l'aéronef 2 et deux antennes 112,122 sont positionnées sur la poutre de queue 4 de l'aéronef 2. Ces antennes 111,112,121,122 permettent de capter des signaux initiaux de navigation émis par différents satellites 101,102,201,202,301,302,401,402. 10 Les satellites 101,102,201,202,301,302,401,402 appartiennent respectivement à un système GNSS 100,200, 300,400 tels que le système GPS, le système GLONASS, le système GALILEO, le système QZSS et les systèmes BEIDOU. Selon un premier mode de réalisation du dispositif de 15 capteurs de pilotage 1 représenté sur la figure 2, le dispositif de capteurs de pilotage 1 comporte quatre moyens de réception GNSS 11,12,13,14 dédiés respectivement à un système GNSS 100,200,300,400 et un second module de détection et d'exclusion de pannes FDE2 31 relié à chaque moyen de réception GNSS 20 11,12,13,14. Le dispositif de capteurs de pilotage 1 est ainsi redondant au niveau des systèmes GNSS 100,200,300,400 et capable de couvrir quatre systèmes GNSS 100,200,300,400 et de pallier ainsi toute défaillance d'au moins un de ces systèmes GNSS 100,200,300,400. Chaque moyen de réception GNSS 11,12,13,14 25 est relié à deux antennes 111,112,121,122,131,132,141,142 et comporte un premier module de détection et d'exclusion de pannes FDE1 21,22,23,24. Chaque premier module de détection et d'exclusion de pannes FDE1 21,22,23,24 reçoit et analyse les signaux initiaux de 30 navigation d'un moyen de réception GNSS 11,12,13,14 afin de 3030058 20 détecter des signaux initiaux de navigation intègres et des signaux initiaux de navigation erronés. Ensuite, chaque premier module de détection et d'exclusion de pannes FDE1 21,22,23,24 peut déterminer à partir de ces 5 signaux initiaux intègres un premier signal de vitesse sol de l'aéronef 2. Ce premier signal de vitesse sol de l'aéronef 2 peut être déterminé par exemple par une méthode V-RAIM de contrôle autonome de l'intégrité. De fait, chaque moyen de réception GNSS 11,12,13,14 peut 10 délivrer un premier signal de vitesse sol de l'aéronef 2 en garantissant un premier niveau de surveillance autonome et l'intégrité de ce premier signal de vitesse sol en cas de pannes simples d'un satellite d'un système GNSS 100,200,300,400. Le second module de détection et d'exclusion de pannes 15 FDE2 31 reçoit et compare ces premiers signaux de vitesse sol provenant des quatre moyens de réception GNSS 11,12,13,14. Le second module de détection et d'exclusion de pannes FDE2 31 peut alors détecter des pannes multiples d'au moins un système GNSS 100,200,300,400, exclure chaque système GNSS 20 100,200,300,400 subissant cette panne multiple et déterminer un deuxième signal de vitesse sol de l'aéronef 2. Le second module de détection et d'exclusion de pannes FDE2 31 peut appliquer la méthode connue de la médiane pour déterminer, à partir des deux premiers signaux de vitesse sol, le 25 deuxième signal de vitesse sol. Selon un second mode de réalisation du dispositif de capteurs de pilotage 1 représenté sur la figure 3, le dispositif de capteurs de pilotage 1 comporte deux moyens de réception GNSS 11,12, chaque moyen de réception GNSS 11,12 étant relié à deux 3030058 21 antennes 111,112,121,122, un second module de détection et d'exclusion de pannes FDE2 31, deux modules inertiels IMU 51,52, deux plateformes d'hybridation 61,62 et un troisième module de détection et d'exclusion de pannes FDE3 41. 5 De plus, chaque moyen de réception GNSS 11,12 comporte un premier module de détection et d'exclusion de pannes FDE1 21,22 ainsi qu'une horloge atomique 115,125. Cette horloge atomique 115,125 est utilisée comme référence de fréquence permettant de réduire d'une unité le nombre de satellites 10 nécessaires à chaque moyen de réception GNSS 11,12 pour déterminer d'une part une panne simple de satellites et d'autre part un premier signal de vitesse sol. Le second module de détection et d'exclusion de pannes FDE2 31 est relié aux deux moyens de réception GNSS 11,12, et 15 aux deux plateformes d'hybridation 61,62 et délivre un deuxième signal de vitesse sol de l'aéronef 2. Chaque module inertiel IMU 51,52 fournit des signaux de mesures inertielles d'accélérations et de vitesses angulaires et est relié à une plateforme d'hybridation 61,62. Un module inertiel IMU 20 51,52 et la plateforme d'hybridation 61,62 à laquelle il est relié forment ainsi une chaîne inertielle 71,72. Chaque plateforme d'hybridation 61,62 reçoit les mesures inertielles d'accélérations et de vitesses angulaires et peut alors déterminer une vitesse sol inertielle pure de l'aéronef 2. 25 Chaque plateforme d'hybridation 61,62 reçoit également le deuxième signal de vitesse sol de l'aéronef 2 et peut alors traiter ce deuxième signal de vitesse sol et la vitesse sol inertielle pure de l'aéronef 2 afin de déterminer un troisième signal de vitesse sol de l'aéronef 2. 3030058 22 Ce troisième signal de vitesse sol est une vitesse sol hybridée de ce deuxième signal de vitesse sol et de la vitesse sol inertielle pure lorsque ce deuxième signal de vitesse sol est intègre. Ce troisième signal de vitesse sol est égal à la vitesse sol 5 inertielle pure lorsque ce deuxième signal de vitesse sol est erroné ou non disponible. Ce troisième signal de vitesse sol est ainsi disponible de façon continue. Le troisième module de détection et d'exclusion de pannes FDE3 41 est relié aux deux plateformes d'hybridation 61,62. Ce 10 troisième module de détection et d'exclusion de pannes FDE3 41 reçoit, analyse et compare ainsi deux troisièmes signaux de vitesse sol de l'aéronef 2 afin de déterminer un quatrième signal de vitesse sol de l'aéronef 2 en utilisant par exemple la méthode de la médiane. 15 Selon ce second mode de réalisation, l'intégrité et la disponibilité du quatrième signal de vitesse sol de l'aéronef 2 est améliorée en utilisant deux modules inertiels IMU 51,52 et deux récepteurs GNSS 11,12 de deux systèmes GNSS 100,200 indépendants et distincts. 20 Selon un troisième mode de réalisation du dispositif de capteurs de pilotage 1 représenté sur la figure 4, le dispositif de capteurs de pilotage 1 comporte, comme le second mode de réalisation, deux moyens de réception GNSS 11,12, un second module de détection et d'exclusion de pannes FDE2 31, deux 25 modules inertiels IMU 51,52, deux plateformes d'hybridation 61,62, et un troisième module de détection et d'exclusion de pannes FDE3 41. Chaque moyen de réception GNSS 11,12 est dédié à un seul système GNSS 100,200 permettant ainsi de couvrir deux systèmes GNSS 100,200, par exemple le système GPS et le système 30 GALILEO. 3030058 23 Le dispositif de capteurs de pilotage 1 comporte également un calculateur 200 muni de deux voies de calcul 201,202. Chaque plateforme d'hybridation 61,62 comporte une plateforme virtuelle purement inertielle 81,82 et deux filtres aux erreurs d'hybridation 5 91,91',92,92', un filtre aux erreurs d'hybridation 91,91',92,92' étant situé dans chaque voie de calcul 201,202. Selon chaque voie de calcul 201,202, le second module de détection et d'exclusion de pannes FDE2 31 est relié aux deux moyens de réception GNSS 11,12 et à deux filtres aux erreurs 10 d'hybridation 91,91',92,92' ainsi qu'au troisième module de détection et d'exclusion de pannes FDE3 41. Le second module de détection et d'exclusion de pannes FDE2 31 délivre ainsi un deuxième signal de vitesse sol intègre de l'aéronef 2. Une plateforme virtuelle purement inertielle 81,82 est reliée à 15 un module inertiel IMU 51,52 et forme ainsi avec ce module inertiel IMU 51,52 une centrale inertielle 101,102 fournissant une vitesse sol inertielle pure de l'aéronef 2. Chaque filtre aux erreurs d'hybridation 91,91',92,92' est de préférence un filtre de Kalman. 20 Chaque filtre aux erreurs d'hybridation 91,91',92,92' reçoit, analyse et compare le deuxième signal de vitesse sol de l'aéronef 2 et la vitesse sol inertielle pure de l'aéronef 2, puis détermine le troisième signal de vitesse sol de l'aéronef 2 qui peut être une vitesse sol hybridée ou bien la vitesse sol inertielle pure. Ce 25 troisième signal de vitesse sol est ainsi disponible de façon continue. Le troisième module de détection et d'exclusion de pannes FDE3 41 est relié aux filtres aux erreurs d'hybridation 91,91',92,92' ainsi qu'au second module de détection et d'exclusion de pannes 3030058 24 FDE2 31. Ce troisième module de détection et d'exclusion de pannes FDE3 41 reçoit, analyse et compare alors deux troisièmes signaux de vitesse sol et le deuxième signal de vitesse sol 2, puis détermine un quatrième signal de vitesse sol de l'aéronef 2 selon 5 ces deux voies de calcul 201,202. Le troisième module de détection et d'exclusion de pannes FDE3 41 utilise par exemple la méthode de la médiane. De fait, le dispositif de capteurs de pilotage 1 permet d'assurer la continuité de fourniture d'un quatrième signal de 10 vitesse sol. Le fonctionnement de ce troisième mode de réalisation est analogue au fonctionnement du second mode de réalisation. L'utilisation de deux moyens de réception GNSS 11,12 et deux centrales inertielles 101,102 permet de garantir une disponibilité et 15 une intégrité du quatrième signal de vitesse sol de l'aéronef 2 y compris en cas d'indisponibilité d'un deuxième signal de vitesse sol intègre. Avantageusement, la comparaison des second et troisièmes signaux de vitesse sol au niveau du troisième module de détection et d'exclusion de pannes FDE3 41 permet de détecter 20 des anomalies sur plusieurs systèmes GNSS 100,200 qui aurait pu passer inaperçues selon le second mode de réalisation du dispositif de capteurs de pilotage 1, telles que des brouillages ou des leurrages par exemple. L'intégrité de ce quatrième signal de vitesse sol est ainsi augmentée et est alors suffisante pour un 25 dispositif d'aide au pilotage de l'aéronef 2. Enfin, ce dispositif de capteurs de pilotage 1 utilisent des composants standards, tels que notamment deux moyens de réception GNSS 11,12 et deux centrales inertielles 101,102 par exemple, afin de réduire son coût. 3030058 25 Naturellement, la présente invention est sujette à de nombreuses variations quant à sa mise en oeuvre. Bien que plusieurs modes de réalisation aient été décrits, on comprend bien qu'il n'est pas concevable d'identifier de manière exhaustive tous 5 les modes possibles. Il est bien sûr envisageable de remplacer un moyen décrit par un moyen équivalent sans sortir du cadre de la présente invention. REVENDICATIONS1. Dispositif de capteurs de pilotage (1) destiné à un aéronef (2) à voilure tournante comportant - des moyens de réception GNSS (11,12,13,14) de constellations d'au moins deux systèmes GNSS (100,200, 300,400) indépendants, lesdits moyens de réception GNSS (11,12,13,14) recevant des signaux initiaux de plusieurs satellites (101,102,201,202,301,302,401,402), -au moins trois modules de détection et d'exclusion de pannes FDE (21,22,31,41), chaque module de détection et d'exclusion de pannes FDE (21,22,31,41) recevant au moins deux signaux d'entrées et délivrant un signal de sortie, chaque signal de sortie comportant une mesure et un état d'intégrité, caractérisé en ce que -chaque moyen de réception GNSS (11,12) comporte un premier module de détection et d'exclusions de panne FDE1 (21,22) par système GNSS (100,200), - chaque premier module de détection et d'exclusion de panne FDE1 (21,22) reçoit et analyse lesdits signaux initiaux et détecte des signaux initiaux intègres et/ou des signaux initiaux erronés, - chaque moyen de réception GNSS (11,12) délivre une mesure et un état d'intégrité d'un premier signal de vitesse sol dudit aéronef (2) en repère géographique pour au moins un système GNSS (100,200) à partir desdits signaux initiaux intègres en excluant le cas échéant lesdits signaux initiaux erronés, - ledit dispositif de capteurs de pilotage (1) comporte au moins un second module de détection et d'exclusion de panne FDE2 (31), chaque second module de détection et d'exclusion de 3030058 27 pannes FDE2 (31) étant en communication avec au moins deux desdits moyens de réception GNSS (11,12) et recevant, analysant et comparant lesdits premiers signaux de vitesse sol délivrés par lesdits au moins deux moyens de réception GNSS 5 (11,12), détectant des premiers signaux de vitesse sol intègres et/ou des premiers signaux de vitesse sol erronés, chaque second module de détection et d'exclusion de pannes FDE2 (31) pouvant alors détecter et exclure chaque système GNSS (100,200) défectueux fournissant un premier signal de vitesse 10 sol erroné, puis déterminer et délivrer une mesure et un état d'intégrité d'un deuxième signal de vitesse sol dudit aéronef (2) à partir d'au moins deux premiers signaux de vitesse sol intègres en excluant le cas échéant lesdits premiers signaux de vitesse sol erronés. 15 2. Dispositif de capteurs de pilotage (1) selon la revendication 1, caractérisé en ce que ledit dispositif de capteurs de pilotage (1) comporte au moins un module inertiel IMU (51,52) et au moins une plateforme d'hybridation (61,62), 20 - chaque module inertiel IMU (51,52) fournissant des signaux de mesures inertielles caractérisant des accélérations et des vitesses angulaires dudit aéronef (2), - chaque plateforme d'hybridation (61,62) étant en communication avec un second module de détection et 25 d'exclusion de pannes FDE2 (31) et un module inertiel IMU (51,52), - chaque plateforme d'hybridation (61,62) reçoit et traite lesdits signaux de mesures inertielles et éventuellement un deuxième signal de vitesse sol, puis détermine et délivre une mesure constituant un troisième signal de vitesse sol dudit aéronef (2) à partir desdits signaux de mesures inertielles et le cas échéant 3030058 28 d'un deuxième signal de vitesse sol intègre, ledit troisième signal de vitesse sol étant une vitesse sol inertielle pure lorsque ladite plateforme d'hybridation (61,62) ne reçoit aucun deuxième signal de vitesse sol intègre et une vitesse sol 5 hybridée lorsque ladite plateforme d'hybridation (61,62) reçoit un deuxième signal de vitesse sol intègre, ledit troisième signal de vitesse sol étant alors disponible de façon continue. 3. Dispositif de capteurs de pilotage (1) selon la revendication 2, 10 caractérisé en ce que ledit dispositif de capteurs de pilotage (1) comporte au moins deux plateformes d'hybridation (61,62), au moins deux modules inertiels IMU (51,52) et au moins un troisième module de détection et d'exclusion de pannes FDE3 (41), une plateforme d'hybridation (61,62) et un module inertiel IMU (51,52) 15 formant une chaîne inertielle (71,72), chaque troisième module de détection et d'exclusion de pannes FDE3 (41) étant en communication avec au moins deux plateformes d'hybridation (61,62) afin de déterminer et de délivrer un quatrième signal de vitesse sol, chaque troisième module de détection et d'exclusion 20 de pannes FDE3 (41) recevant, analysant et comparant lesdits troisièmes signaux de vitesse sol délivrés par lesdites plateformes d'hybridation (61,62) et détectant des troisièmes signaux de vitesse sol intègres et/ou des troisièmes signaux de vitesse sol erronés, chaque troisième module de détection et d'exclusion de 25 pannes FDE3 (41) pouvant alors détecter une panne sur une chaîne inertielle (71,72) et exclure éventuellement ladite chaîne inertielle (71,72) à partir desdits troisièmes signaux de vitesse sol erronés, puis déterminer et délivrer une mesure et un état d'intégrité dudit quatrième signal de vitesse sol dudit aéronef (2) à 30 partir d'au moins deux troisièmes signaux de vitesse sol intègres 3030058 29 en excluant le cas échéant lesdits troisièmes signaux de vitesse sol erronés. 4. Dispositif de capteurs de pilotage (1) selon la revendication 3, 5 caractérisé en ce que chaque troisième module de détection et d'exclusion de pannes FDE3 (41) est en communication avec au moins un second module de détection et d'exclusion de pannes FDE2 (31) afin de recevoir, d'analyser et de comparer au moins un deuxième signal de vitesse sol et lesdits troisièmes signaux de 10 vitesse sol, de détecter et localiser des deuxièmes et/ou des troisièmes signaux de vitesse sol intègres ainsi que des deuxièmes et/ou des troisièmes signaux de vitesse sol erronés, puis de déterminer et de délivrer une mesure et un état d'intégrité dudit quatrième signal de vitesse sol dudit aéronef (2) à partir d'au 15 moins un deuxième signal de vitesse sol intègres et/ou d'au moins deux troisièmes signaux de vitesse sol intègres en excluant le cas échéant lesdits deuxièmes et/ou troisièmes signaux de vitesse sol erronés. 5. Dispositif de capteurs de pilotage (1) selon l'une 20 quelconque des revendications 3 à 4, caractérisé en ce que - chaque plateforme d'hybridation (61,62) comporte une plateforme virtuelle purement inertielle (81,82) et deux filtres aux erreurs d'hybridation (91,92) communiquant entre eux, une 25 plateforme virtuelle purement inertielle (81,82) étant en communication avec un module Inertiel IMU (51,52), formant ainsi une centrale inertielle (101,102), - ledit dispositif de capteurs de pilotage (1) comporte deux centrales à inertie (101,102), un calculateur (200) à deux voies 3030058 30 de calcul (201,202) et quatre filtres aux erreurs d'hybridation (91,91',92,92') , chaque voie de calcul (201,202) mettant en communication un filtre aux erreurs d'hybridation (91,91',92,92') avec d'une part un second module de détection et d'exclusion 5 de pannes FDE2 (31) et d'autre part un troisième module de détection et d'exclusion de pannes FDE3 (41), - chaque second module de détection et d'exclusion de pannes FDE2 (31) étant en communication avec deux filtres aux erreurs d'hybridation (91,92) pour chaque voie de calcul (201,202), 10 - chaque troisième module de détection et d'exclusion de pannes FDE3 (41) étant en communication avec deux filtres aux erreurs d'hybridation (91,92) pour chaque voie de calcul (201,202). 6. Dispositif de capteurs de pilotage (1) selon l'une 15 quelconque des revendications 3 à 5, caractérisé en ce qu'au moins un second module de détection et d'exclusion de pannes FDE2 (31,32) et/ou au moins un troisième module de détection et d'exclusion de pannes FDE3 (41,42) utilise(nt) une méthode de détermination selon la valeur médiane. 20 7. Dispositif de capteurs de pilotage (1) selon l'une quelconque des revendications 1 à 6, caractérisé en ce qu'au moins un moyen de réception GNSS (11,12) comporte une horloge atomique (115,125). 8. Dispositif de capteurs de pilotage (1) selon l'une 25 quelconque des revendications 1 à 7, caractérisé en ce que lesdits moyens de réception GNSS (11,12) sont en communication avec des systèmes GNSS (100,200), choisis parmi une liste comportant le système GPS, le système 3030058 31 GLONASS, le système GALILEO, le système QZSS et les systèmes BEIDOU ainsi que le système IRIDIUM. 9. Procédé de détermination d'une vitesse sol d'un aéronef (2), 5 caractérisé en ce que, - au cours d'une première étape, on reçoit des signaux initiaux de navigation provenant de plusieurs satellites (101,102,201,202) appartenant à des constellations d'au moins deux systèmes GNSS (100,200) indépendants, 10 -au cours d'une seconde étape, on analyse lesdits signaux initiaux pour chaque système GNSS (100,200), - au cours d'une troisième étape, on détecte des signaux initiaux intègres et/ou des signaux initiaux erronés, - au cours d'une quatrième étape, on délivre une mesure et un 15 état d'intégrité d'au moins deux premiers signaux de vitesse sol dudit aéronef (2) en repère géographique pour au moins deux systèmes GNSS (100,200) indépendants à partir desdits signaux initiaux intègres en excluant le cas échéant lesdits signaux initiaux erronés, 20 -au cours d'une cinquième étape, on analyse et on compare lesdits premiers signaux de vitesse sol, - au cours d'une sixième étape, on détecte des premiers signaux de vitesse sol intègres et/ou des premiers signaux de vitesse sol erronés, 25 - au cours d'une septième étape, on détecte et on exclut chaque système GNSS (100,200) défectueux fournissant un premier signal de vitesse sol erroné, et - au cours d'une huitième étape, on détermine et on délivre une mesure et un état d'intégrité d'un deuxième signal de vitesse 30 sol dudit aéronef (2) à partir d'au moins deux premiers signaux 3030058 32 de vitesse sol intègres en excluant le cas échéant lesdits premiers signaux de vitesse sol erronés. 10. Procédé de détermination d'une vitesse sol d'un aéronef (2) selon la revendication 9, 5 caractérisé en ce que, - au cours d'une neuvième étape, on acquiert des signaux de mesures inertielles, lesdits signaux de mesures inertielles caractérisant des accélérations et des vitesses angulaires dudit aéronef (2), 10 - au cours d'une dixième étape, on traite chaque deuxième signal de vitesse sol et lesdits signaux de mesures inertielles, - au cours d'une onzième étape, on détermine et on délivre au moins une mesure constituant au moins un troisième signal de vitesse sol dudit aéronef (2) à partir desdits signaux de 15 mesures inertielles et le cas échéant d'un deuxième signal de vitesse sol intègre, ledit troisième signal de vitesse sol étant alors disponible de façon continue, - au cours d'une douzième étape, on analyse et on compare lesdits troisièmes signaux de vitesse sol, 20 - au cours d'une treizième étape, on détecte des troisièmes signaux de vitesse sol intègres et/ou des troisièmes signaux de vitesse sol erronés, et -au cours d'une quatorzième étape, on détermine et on délivre une mesure et un état d'intégrité d'un quatrième signal de 25 vitesse sol dudit aéronef (2) à partir d'au moins deux troisièmes signaux de vitesse sol intègres en excluant le cas échéant lesdits troisièmes signaux de vitesse sol erronés. 11. Procédé de détermination d'une vitesse sol d'un aéronef (2) selon la revendication 9, 3030058 33 caractérisé en ce que, - au cours d'une neuvième étape, on acquiert des signaux de mesures inertielles, lesdits signaux de mesures inertielles caractérisant des accélérations et des vitesses angulaires dudit 5 aéronef (2), - au cours d'une dixième étape, on traite chaque deuxième signal de vitesse sol et lesdits signaux de mesures inertielles, - au cours d'une onzième étape, on détermine et on délivre au moins une mesure constituant au moins un troisième signal de 10 vitesse sol dudit aéronef (2) à partir desdits signaux de mesures inertielles et le cas échéant d'un deuxième signal de vitesse sol intègre, ledit troisième signal de vitesse sol étant alors disponible de façon continue, - au cours de ladite douzième étape, on analyse et on compare 15 au moins un deuxième signal de vitesse sol et lesdits troisièmes signaux de vitesse sol, - au cours de ladite treizième étape, on détecte et on localise des deuxièmes et/ou des troisièmes signaux de vitesse sol intègres ainsi que des deuxièmes et/ou des troisièmes signaux 20 de vitesse sol erronés, et - au cours de ladite quatorzième étape, on détermine et on délivre une mesure et un état d'intégrité d'un quatrième signal de vitesse sol dudit aéronef (2) à partir d'au moins un deuxième signal de vitesse sol intègres et/ou d'au moins deux troisièmes 25 signaux de vitesse sol intègres en excluant le cas échéant lesdits deuxièmes et/ou troisièmes signaux de vitesse sol erronés.