FR 3037155 A1 20161209 FR 1501168 A 20150605 Procédé et dispositif de gestion de pannes avec un système de gestion d'un turbomoteur d'un aéronef La présente invention concerne un procédé et un dispositif de gestion de pannes avec un système de gestion d'un turbomoteur 5 d'un aéronef. Un tel aéronef peut notamment être un giravion L'invention se situe donc dans le domaine technique des systèmes de gestion de turbomoteurs, en particulier d'un giravion. Un giravion comporte au moins un rotor principal participant à la sustentation, voire à la propulsion de cet aéronef. Ce rotor 10 principal est entraîné en rotation par une installation motrice comprenant au moins un moteur. Un tel moteur peut être un moteur thermique, et notamment un turbomoteur par exemple. Par exemple, un giravion comporte au moins un moteur thermique relié mécaniquement à une boîte de transmission de 15 puissance dite « boîte de transmission de puissance principale ». Cette boîte de transmission de puissance met en rotation un mât rotor du rotor principal. Dès lors, un moteur peut être contrôlé par un système de gestion. Par exemple, un système de gestion d'un turbomoteur 20 comporte notamment un calculateur et un doseur de carburant. Un tel système de gestion peut alors être un système connu sous l'acronyme « FADEC » correspondant à l'expression anglaise « Full Authority Digital Engine Control ». En outre, le calculateur peut être connu sous l'acronyme « EECU » correspondant à l'expression 25 anglaise « Engine Electronic Control Unit », ou plus simplement sous l'acronyme « ECU » correspondant à l'expression anglaise « Engine Control Unit ». 3037155 2 Le calculateur communique avec divers équipements, et notamment divers systèmes de mesure pour contrôler le doseur de carburant. En particulier, le calculateur peut communiquer avec des 5 systèmes de mesure déterminant la valeur de paramètres de surveillance du moteur thermique. Pour contrôler un turbomoteur, le système de mesure peut par exemple mesurer une vitesse de rotation d'un générateur de gaz du turbomoteur, une température régnant au sein du turbomoteur, un couple développé par un 10 organe du turbomoteur. Le calculateur peut aussi communiquer avec un système avionique de l'aéronef pour obtenir des données susceptibles d'influer sur les performances du moteur thermique contrôlé. Par exemple, le calculateur est relié à un système anémobarométrique 15 déterminant la pression et la température de l'air à l'extérieur du giravion. Par sécurité, certains organes peuvent être redondés. Par exemple, le calculateur peut comporter deux ensembles de calcul distincts aptes chacun à contrôler le doseur de carburant. 20 De tels ensembles sont dénommés « canaux » ou « voies », le calculateur étant qualifié de calculateur bicanal ou à double voie. De même, des systèmes de mesure peuvent être redondés, chaque système de mesure communiquant avec chaque ensemble de calcul. En outre, chaque système de mesure peut communiquer 25 par le biais de liaisons redondées avec chaque canal du calculateur. Par ailleurs, le système de gestion est surveillé en vol pour tendre à limiter les risques d'accident en cas de panne. 3037155 3 Ainsi, un système de gestion est à même de détecter une pluralité de pannes en analysant les données circulant au sein des divers organes du système de gestion. Par exemple, un calculateur peut détecter une panne d'un 5 capteur de température si ce capteur transmet une température aberrante au calculateur ou encore une anomalie de fonctionnement du moteur. Les diverses pannes d'une installation motrice ont évidemment des impacts distincts sur l'aéronef et la sécurité du 10 vol. Ainsi, une classification prévoit par exemple trois échelons de pannes. Le premier échelon de pannes recense les pannes n'ayant pas un impact sur le pilotage de l'aéronef. Par exemple, la perte 15 d'un capteur de température redondé n'a pas un impact sur le pilotage de l'aéronef. Le deuxième échelon et le troisième échelon font par contre référence à des pannes ayant un impact sur le pilotage du giravion. Si une panne est détectée par un système de gestion, cette 20 panne peut être signalée à un pilote. Par exemple, un giravion peut comprendre un écran multifonction apte à afficher une page listant les pannes recensées. Une telle liste est parfois dénommée « Master list » en langue anglaise. De plus, un constructeur peut établir une liste principale 25 d'équipement minimal. Une telle liste est aussi connue sous l'acronyme MMEL correspondant à l'expression anglaise « Master Minimum Equipment List ». 3037155 4 Pour une panne du premier échelon, le constructeur peut autoriser le vol pour un nombre d'heures limitées avant réparation si une telle panne particulière survient. Cette fonction est connue sous l'acronyme TLD qui correspond à l'expression anglaise « Time Limit Dispatch ». Dès lors, le constructeur peut associer au moins une panne à un temps de vol autorisé dans la liste principale d'équipement minimal. Par suite, le constructeur établit au sol les pannes susceptibles de survenir et les assignent à un échelon de panne. Pour certaines pannes du premier échelon, le constructeur établit un nombre d'heures de vol autorisées à partir du moment où la panne survient. Lorsqu'une unique panne mineure de premier échelon est signalée par le système de gestion, soit le vol est interdit soit le vol reste possible pendant la durée spécifiée par le constructeur. Lorsque le système de gestion détecte de multiples pannes mineures de premier échelon ou au moins une panne du deuxième échelon ou une panne du troisième échelon, le vol n'est pas autorisé. Selon cet état de l'art, le constructeur établit donc les pannes simples envisageables et classe ces pannes selon un système de classification à trois échelons. De plus, certaines pannes du premier échelon peuvent être associées à une durée de vol autorisé. Si une unique panne de premier échelon intervient, le vol peut être autorisé dans la limite du temps de vol spécifié pour cette panne. Dans les autres cas, le vol est interdit. Cette procédure est intéressante mais conduit nécessairement à l'interdiction d'un vol si deux pannes mineures surviennent. Cette situation peut être dommageable par exemple 3037155 5 lorsque l'aéronef se trouve en mer sur une plateforme. Cet aéronef est alors bloqué sur la plateforme alors que l'aéronef peut éventuellement rejoindre sa base. Le document ARP5107 indice B du mois de novembre 2001 5 fait référence à la fonction « Time Limit Dispatch » précité. L'acronyme ARP correspond quant à lui à l'expression anglaise « Aerospace Recommanded Practice ». Selon ce document ARP5107, si une panne est associée à un taux d'occurrence de panne supérieur à 100 * 10-6 panne par heure, 10 la panne ne peut pas être associée à un temps de vol autorisé avant réparation. Si une panne est associée à un taux d'occurrence de panne compris entre 75 * 10-6 et 100 * 10-6 panne par heure, la panne peut être associée à un temps de vol court autorisée avant réparation. 15 Si une panne est associée à un taux d'occurrence de panne inférieur à 75 * 10-6 panne par heure, la panne peut être associée à un temps de vol long autorisé avant réparation. Ce document suggère qu'une panne peut être associée à un unique nombre d'heures de vol autorisé avant réparation, ce 20 nombre d'heures étant établi en fonction du taux d'occurrence de la panne. Le document EP1444658 vise à déterminer en temps réel, à savoir en vol, les probabilités de succès d'une mission d'un temps donné par exemple de deux heures. Un algorithme établit aussi le 25 temps de vol autorisé suite à ladite panne. Selon le procédé décrit, un taux de panne est assigné à chaque composant de deux voies d'un calculateur d'un système de gestion. 3037155 6 Pour chaque composant d'une première voie, un constructeur détermine des composants de la deuxième voie nécessaires pour couvrir un fonctionnement normal en cas de panne du composant examiné de la première voie. 5 Dès lors, des systèmes de l'aéronef détectent si un composant particulier de la première voie est en panne. Dans l'affirmative, un taux de panne total est calculé sur la base des taux de panne individuels des composants de la deuxième voie requis pour le fonctionnement normal du système de gestion en 10 cas de panne du composant particulier concerné. Un temps de vol prédit restant avant de réparer la panne est alors établi en fonction de ce taux de panne total. Le temps de vol prédit est comparé à un objectif de mission, la réalisation de la mission étant dépendante de la comparaison 15 effectuée. La présente invention a alors pour objet de proposer un procédé alternatif d'analyse de pannes sur un système de gestion d'un moteur d'un aéronef pour déterminer si l'aéronef peut voler suite à au moins une panne. 20 L'invention concerne donc un procédé de gestion de pannes avec un système de gestion commandant un moteur d'un aéronef pour déterminer si l'aéronef peut voler suite à au moins une panne, le système de gestion comprenant au moins un calculateur muni de deux voies de calcul ainsi qu'un doseur de carburant et un système 25 de mesure, au moins une voie de commande reliant chaque voie de calcul à un doseur de carburant. Le système de mesure comporte une pluralité d'organes de mesure, chaque organe de mesure étant relié à chaque voie de calcul du calculateur pour transmettre au moins une information relative au fonctionnement de l'aéronef à 3037155 7 chaque voie de calcul. Chaque organe de mesure est à choisir dans une liste incluant au moins un organe de mesure d'un système avionique de l'aéronef et un organe de mesure mesurant au moins une information relative à un paramètre de surveillance 5 du moteur. Durant une étape de préparation au moins deux pannes du système de gestion susceptibles de se produire sont mémorisées dans l'aéronef. Chaque panne est associée à un niveau de panne à choisir 10 entre un premier niveau pour une panne n'ayant aucun impact sur le pilotage de l'aéronef et un second niveau pour une panne ayant un impact sur le pilotage de l'aéronef. Le terme « panne » cité isolément fait référence d'une part à une panne d'un unique composant dite « panne élémentaire », et 15 d'autre part à une combinaison de pannes élémentaires dite « panne multiple » qui interviennent au cours d'un vol de l'aéronef. Une combinaison de pannes élémentaires du premier niveau peut conduire à une panne multiple de premier niveau ou de deuxième niveau. Par exemple, un aéronef peut comporter deux 20 couplemètres par sécurité. Le dysfonctionnement d'un unique couplemètre est une panne élémentaire de premier niveau. Par contre, la panne conjointe des deux couplemètres est une panne multiple de deuxième niveau. Un constructeur établit donc une liste de pannes incluant des 25 pannes élémentaires et/ ou des pannes multiples, chaque panne étant associée à un niveau de panne. De plus, au moins chaque panne du premier niveau est associée à un temps de vol autorisé suite à la survenue de la 3037155 8 panne et avant réparation de cette panne, chaque temps de vol autorisé étant mémorisé dans l'aéronef. Durant une étape de détection des pannes, on détermine si au moins une desdites pannes survient. 5 Durant une étape d'évaluation, on détermine le niveau de panne de chaque panne détectée lors de l'étape de détection, en utilisant les données établies lors de l'étape de préparation. Durant une étape d'affichage, on signale à un pilote qu'au moins une panne de premier niveau est survenue si aucune panne 10 détectée n'est une panne de second niveau, le vol pouvant alors être poursuivi au moins pendant une durée prédéterminée par le constructeur quelle que soit la panne de premier niveau détectée. L'aéronef est ainsi muni d'au moins un moteur, tel qu'un moteur thermique. Le fonctionnement de chaque moteur est 15 contrôlé par un système de gestion. Ce système de gestion est pourvu d'un calculateur comprenant au moins deux voies de calcul par sécurité. Chaque voie de calcul communique avec des organes de mesure usuels mesurant des paramètres du moteur contrôlé. De plus, chaque voie 20 de calcul peut communiquer avec un système avionique, et par exemple avec un système d'alimentation électrique, un organe de mesure mesurant une information utile pour le fonctionnement du moteur et une unité de calcul du système avionique. Selon l'invention, un constructeur liste donc préalablement à 25 l'utilisation de l'aéronef des pannes de l'aéronef susceptibles de se produire. Cette étape de préparation est réalisée en appliquant les techniques connues. 3037155 9 En outre, le constructeur détermine un niveau de panne pour chaque panne. Toutes les pannes pouvant être détectées par l'aéronef sont classées selon au moins deux niveaux. Le premier niveau est affecté à chaque panne mineure 5 n'ayant pas un impact sur la pilotabilité de l'aéronef. Une panne n'ayant aucun impact sur la pilotabilité de l'aéronef peut notamment être une panne n'ayant aucun impact sur le fonctionnement d'au moins un moteur thermique en étant par exemple automatiquement traitée. 10 A l'inverse, le second niveau est affecté à chaque panne ayant un impact sur la pilotabilité de l'aéronef. Ce second niveau peut être décomposé en au moins deux sous-niveaux par exemple. Ainsi, le second niveau peut être décomposé en un premier sous-niveau et un deuxième sous-niveau de panne. La 15 classification présente alors trois niveaux de panne, à savoir le premier niveau de panne qui correspondant au premier échelon précité, le premier sous-niveau de panne qui représente un deuxième niveau correspondant au deuxième échelon précité, et le deuxième sous-niveau de panne qui représente un troisième niveau 20 correspondant au troisième échelon précité Dès lors, le premier sous-niveau est notamment conféré à des pannes majeures affectant le contrôle du moteur thermique, ce moteur fonctionnant avec une dégradation minimale suite au traitement de la panne. Le deuxième sous-niveau regroupe les 25 pannes conduisant à la perte du contrôle du doseur de carburant et donc à la perte de la puissance développée par le moteur thermique. 3037155 10 Par ailleurs, les pannes de premier niveau n'ayant pas d'impact sur la pilotabilité de l'aéronef, le vol est susceptible d'être autorisé pendant un certain temps avant d'être réparé. Dès lors, le constructeur attribue un temps de vol autorisé 5 avant réparation au moins à chaque panne de premier niveau. Eventuellement, au moins une panne de second niveau est aussi associée à un temps de vol autorisé. Par suite et préalablement à l'utilisation de l'aéronef, au moins deux listes de pannes sont par exemple établies durant 10 l'étape de préparation, à savoir une liste de pannes du premier niveau associant chaque panne de premier niveau à un temps de vol autorisé et une liste de pannes du second niveau associant éventuellement au moins une panne de second niveau à un temps de vol autorisé. Ces listes de pannes sont mémorisées et 15 embarquées dans l'aéronef. Lors de l'utilisation de l'aéronef, les équipements de l'aéronef examinent le fonctionnement de l'installation motrice durant l'étape de détection de pannes. Si au moins une panne survient, les équipements de l'aéronef 20 déterminent la nature de la panne savoir le niveau de la panne en utilisant les listes de pannes mémorisées et embarquées dans l'aéronef. Enfin, si aucune panne détectée n'est une panne de second niveau, un afficheur signale la survenue d'au moins une panne de 25 premier niveau. Le vol peut alors être poursuivi au moins pendant une durée prédéterminée par le constructeur avant que la panne de l'aéronef ne soit réparée. Par exemple, les voies de calcul d'un calculateur peuvent être reliées à un capteur de température extérieure du système 3037155 11 avionique. Une panne de premier niveau peut alors correspondre à la perte de l'information transmise par le capteur de température. Si une telle panne se produit, le vol peut être poursuivi pendant au moins la durée prédéterminée. 5 Un premier degré de signalement consiste donc à signaler la présence le cas échéant de pannes de premier niveau. Lorsqu'un message est affiché pour signaler la présence d'au moins une panne de premier niveau, les équipements de l'aéronef annoncent la présence d'une ou plusieurs pannes de premier 10 niveau. Le pilote ne sait pas à ce stade quelles sont les pannes de premier niveau ni leur nombre. Toutes les pannes de premier niveau peuvent être présentes en même temps. Néanmoins, le pilote sait que dans ce cas de figure le vol reste possible pendant au moins la durée prédéterminée. 15 Par contre, une panne de second niveau peut éventuellement conduire à l'interdiction du vol, à minima en présence de passagers. Un deuxième degré de signalement consiste à examiner la nature individuelle des pannes pour déterminer si les pannes 20 autorisent un temps de vol supérieur à la durée prédéterminée. Le document ARP5107 propose de déterminer un temps de vol autorisé si une panne se produit en fonction d'un taux d'occurrence de pannes. Le document EP 1444658 propose d'établir en vol un temps de vol prédit. 25 L'invention suit une autre stratégie. Cette invention propose de classer les pannes pour déterminer si une panne est une panne mineure qui n'a pas un impact sur la pilotabilité de l'aéronef. La présence de pannes mineures de ce type n'entraîne pas 3037155 12 l'immobilisation directe de l'aéronef, l'aéronef pouvant encore voler au moins pendant la durée prédéterminée. Dans le cadre d'une mission dite « Offshore » en langue anglaise, cette fonction permet à un pilote de ramener l'aéronef 5 vers sa base originelle en cas de pannes mineures, et n'oblige pas l'aéronef à rester en mer par exemple. Ce procédé peut alors augmenter la disponibilité de l'aéronef dans le cadre de pannes mineures. De plus, ce procédé est facilement utilisable pour un pilote 10 car le pilote n'a pas à effectuer une analyse des pannes présentes. Le simple affichage des pannes de premier niveau permet au pilote de savoir que l'aéronef est au moins à même de voler pendant la durée prédéterminée. Ce procédé peut de plus comporter une ou plusieurs des 15 caractéristiques additionnelles qui suivent. Par exemple, chaque panne est à choisir dans une liste comprenant : - une panne provoquant l'absence de transmission d'une desdites informations par le système de mesure à au moins 20 une voie de calcul, - une panne provoquant la transmission au calculateur d'une information par le système de mesure ayant une valeur identifiée comme étant anormale, - une panne provoquant la transmission par le système de 25 mesure d'une première valeur à une voie de calcul ne correspondant pas à une deuxième valeur transmise à l'autre voie de calcul pour une même information. 3037155 13 On entend donc par « panne », un incident réel empêchant par exemple la transmission d'une information au calculateur du système de gestion, ou la transmission d'une information erronée ou incohérente avec une autre information. 5 Le constructeur mémorise alors durant l'étape de préparation toutes les pannes répondant à au moins un des critères précédents. Par ailleurs, une panne de premier niveau sans impact sur le pilotage est une panne ne modifiant pas le fonctionnement dudit 10 moteur. A l'inverse, une panne de second niveau ayant un impact sur le pilotage est une panne générant un dysfonctionnement du système de gestion nécessitant la mise en oeuvre d'au moins une procédure décrite dans un manuel de vol. 15 Selon un autre aspect, la durée prédéterminée est inférieure ou égale à chaque temps de vol autorisé. En outre, la durée prédéterminée correspond à la durée nécessaire pour effectuer une mission et retourner à un point de départ. 20 A titre illustratif, lorsqu'un aéronef se dirige vers une plateforme en mer en partant d'une base terrestre originelle, le pilote sait que l'aéronef peut atteindre la plateforme et revenir vers la base originelle. Dès lors, la durée prédéterminée peut être égale à 5 heures. 25 Par ailleurs, une liste de valeurs pouvant être assignées à un temps de vol autorisé est établie, chaque valeur de ladite liste de valeurs étant associée à un degré de criticité d'une panne, durant l'étape de préparation, on peut déterminer le degré de criticité de 3037155 14 chaque panne qui est associée à un temps de vol autorisé et on affecte au temps de vol autorisé pour une panne examinée la valeur correspondant au degré de criticité de cette panne examinée. 5 Selon cette variante, le constructeur établit une liste de valeurs susceptibles de constituer un temps de vol autorisé. Par exemple, un temps de vol autorisé peut être égal à une des valeurs suivantes : 100 heures, 50 heures, 15 heures et la durée prédéterminée. 10 Chaque valeur est associée à un degré de criticité. Selon l'exemple précédent, le premier degré de criticité est alors associé à un temps de vol autorisé égal à la durée prédéterminée, le deuxième degré de criticité étant associé à un temps de vol autorisé égal à 15 heures, le troisième degré de criticité étant 15 associé à un temps de vol autorisé égal à 50 heures, le quatrième degré de criticité étant associé à un temps de vol autorisé égal à 100 heures. Pour chaque panne à associer à un temps de vol autorisé, le constructeur détermine un degré de criticité pour déterminer le 20 temps de vol autorisé à associer à cette panne. Le degré de criticité peut être défini par rapport aux conséquences opérationnelles de la panne examinée et à la probabilité de la perte de la fonction motrice suite à la panne examinée. Ce degré de criticité est déterminé au cours d'une 25 analyse dite « analyse AMDEC bien connue de l'homme du métier». L'acronyme AMDEC correspond à l'expression « Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité ». L'invention peut alors prévoir non pas un mais deux degrés de signalement de pannes. 3037155 15 Lors de la mise en oeuvre du procédé, le premier degré de signalement consiste par exemple à signaler la présence de pannes de premier niveau. Le deuxième degré de signalement consiste à présenter au 5 moins une information pour déterminer si les temps de vol autorisé des pannes survenues permettent de voler durant une durée totale supérieure à la durée prédéterminée. Cette durée totale est alors égale au temps de vol autorisée le plus faible pour l'ensemble des pannes survenues. 10 A titre d'exemple, si deux pannes sont associées respectivement à deux temps de vol autorisés de 50 heures et 100 heures, l'aéronef peut voler 50 heures avant d'être réparé. Eventuellement, un message signale la présence de pannes de premier niveau et le temps de vol autorisé le plus faible. 15 Les degrés de signalement peuvent aussi être mis en oeuvre successivement. Par exemple, durant une étape d'affinage du temps de vol autorisé avant réparation, on affiche une liste détaillée des pannes survenues, le temps de vol restant avant réparation étant égal au 20 temps de vol le plus bas relatif aux pannes survenues. La liste détaillée des pannes présentes doit être analysée par un opérateur. Selon un premier degré de signalement, la présence de pannes de premier niveau est signalée. 25 Selon le deuxième degré de signalement, les pannes détectées sont affichées, en étant par exemple classées en fonction de leur degré de criticité. 3037155 16 Par ailleurs, durant l'étape d'affichage, on peut signaler à un pilote qu'au moins une panne de premier niveau est survenue en affichant une unique formulation générique. L'expression « formulation générique » fait référence à une formulation 5 annonçant la présence d'au moins une panne de premier niveau sans détailler les pannes. Toutes les pannes de premier niveau sont regroupées sous un nom générique et présentées au pilote. Le message affiché peut alors comprendre le temps de vol 10 autorisé minimal. En outre, durant l'étape d'affichage, on peut signaler à un pilote qu'au moins une panne de second niveau est survenue si au moins une panne détectée est une panne de second niveau. Si le message affiché correspond à des pannes majeures de 15 second niveau, le pilote sait que l'aéronef ne peut pas repartir en vol tant que les actions de maintenance n'ont pas été effectuées. Par ailleurs et durant l'étape de préparation, au moins une panne de second niveau peut être associée à un temps de vol autorisé, le vol étant uniquement autorisé en l'absence de 20 passager. Selon cette variante, certaines pannes majeures peuvent aussi donner lieu à une autorisation de vol à durée limitée. Néanmoins et dans ce cas de figure, le vol est limité à un vol technique effectué sans passager. 25 Outre un procédé, l'invention concerne un dispositif de gestion de pannes muni d'au moins un système de gestion d'un moteur d'un aéronef pour déterminer si l'aéronef peut voler suite à au moins une panne. 3037155 17 Le système de gestion comprend au moins un calculateur muni de deux voies de calcul ainsi qu'un doseur de carburant et un système de mesure, au moins une voie de commande reliant chaque voie de calcul à un doseur de carburant, ledit système de 5 mesure comportant une pluralité d'organes de mesure, chaque organe de mesure étant relié à chaque voie de calcul pour transmettre au moins une information relative au fonctionnement de l'aéronef à chaque voie de calcul, chaque organe de mesure étant à choisir dans une liste incluant au moins un organe d'un 10 système avionique de l'aéronef et un organe de mesure mesurant au moins une information relative à un paramètre de surveillance du moteur. Le dispositif de gestion de pannes applique alors le procédé décrit précédemment, ledit dispositif de gestion de pannes 15 comportant : - une unité de mémoire mémorisant chaque panne identifiée lors de l'étape de préparation, ainsi que le niveau de chaque panne et le temps de vol autorisé pour au moins les pannes du premier niveau, 20 - une unité de traitement mettant en oeuvre l'étape de détection des pannes et l'étape d'évaluation, - une unité d'affichage mettant en oeuvre l'étape d'affichage Le système avionique comprenant une unité de calcul, ladite unité de traitement peut comporter au moins un des équipements 25 suivants : ladite unité de calcul, ledit calculateur du système de gestion. La mise en oeuvre du procédé peut être réalisée dans le calculateur du système de gestion ou dans une unité de calcul du système avionique ou tout autre calculateur qui dispose de 3037155 18 l'intégralité des informations et qui dispose d'un niveau de sécurité suffisant. Outre un dispositif de gestion, l'invention concerne un aéronef. L'aéronef est muni d'au moins un moteur. 5 Cet aéronef comporte un dispositif de gestion de pannes du type décrit précédemment. L'invention et ses avantages apparaîtront avec plus de détails dans le cadre de la description qui suit avec des exemples donnés à titre illustratif en référence aux figures annexées qui 10 représentent : - la figure 1, un schéma qui illustre un aéronef selon l'invention, et - la figure 2, un schéma qui illustre le procédé selon l'invention. 15 Les éléments présents dans plusieurs figures distinctes sont affectés d'une seule et même référence. La figure 1 présente un aéronef 1 selon l'invention. En particulier, cet aéronef peut comprendre au moins un rotor 2 participant à la sustentation et/ou à la propulsion de l'aéronef. 20 L'aéronef peut alors être un giravion par exemple. Par ailleurs, l'aéronef 1 peut comporter une boîte de transmission de puissance 3 entraînant en rotation le rotor 2. Pour mettre en mouvement la boîte de transmission de puissance 3, l'aéronef comprend une installation motrice 4. 25 Cette installation motrice 4 est munie d'au moins un moteur 5. Par commodité, la figure 1 fait apparaître un unique moteur 5. 3037155 19 Chaque moteur 5 peut être un moteur thermique, tel qu'un turbomoteur par exemple. Classiquement, chaque moteur 5 peut être contrôlé par un système de gestion 10, tel qu'un système de type FADEC. 5 L'expression « système de gestion » désigne alors un système contrôlant le fonctionnement d'un moteur. Chaque système de gestion 10 comporte un calculateur de gestion dit plus simplement « calculateur 15 ». Ce calculateur est du type ECU par exemple. 10 Dès lors, le calculateur peut être pourvu de deux voies de calcul 16, 17 distinctes par sécurité. Les voies de calcul 16, 17 communiquent entre elles. Chaque voie de calcul 16, 17 peut alors être respectivement munie d'un processeur 16', 17' ou équivalent, et d'une unité de 15 stockage 18, 18' apte à stocker des informations et des instructions. L'unité de stockage peut stocker des segments de code d'un logiciel et des valeurs de variables. Chaque voie de calcul peut communiquer avec un système avionique 50 de l'aéronef. L'expression « système avionique » fait 20 référence à l'ensemble des équipements électroniques, électriques et informatiques qui aident au pilotage des aéronefs, à l'exception des systèmes de gestion. En particulier, chaque voie de calcul peut être reliée à un système d'alimentation électrique 55. 25 De plus, chaque voie de calcul peut communiquer avec des équipements 51, 52 du système avionique par le biais d'un système d'interfaces 19. 3037155 20 De plus, chaque système de gestion 10 possède un doseur de carburant 20. Le doseur de carburant 20 contrôle le débit de carburant transmis au moteur 5 contrôlé par ce système de gestion 10. 5 Dès lors, chaque voie de calcul 16, 17 communique avec le doseur de carburant par une voie de commande 21, 22 pour positionner le doseur de carburant dans la position adéquate. Pour notamment déterminer cette position adéquate, chaque système de gestion comporte un système de mesure 30. 10 L'expression « système de mesure » fait référence à un système déterminant la valeur de paramètres utilisés pour contrôler le moteur 5. Ces paramètres incluent au moins une information relative au fonctionnement de l'aéronef, et en particulier le fonctionnement du moteur contrôlé. 15 Ce système de mesure 30 est pourvu d'une pluralité d'organes de mesure 31, 52 usuels reliés à chaque voie de calcul. Chaque organe de mesure est relié à chaque voie de calcul 16, 17 par une voie de liaison 33. Dès lors, le système de mesure peut comporter au moins un 20 organe de mesure 31 mesurant au moins une information relative à un paramètre de surveillance du moteur 5. Par exemple, au moins un organe de mesure 31 est à choisir dans un catalogue comprenant : un organe de mesure de vitesse mesurant une vitesse de rotation d'un générateur de gaz du 25 moteur, un organe de mesure de température mesurant une température à l'intérieur du moteur, un couplemètre mesurant un couple développé par le moteur. 3037155 21 En outre, chaque voie de calcul peut recevoir des informations provenant d'organes de mesure 52 du système avionique, au travers du système d'interface 19 par exemple. En particulier, des organes de mesure 52 peuvent mesurer 5 une pression extérieure PO et une température extérieure TO de l'air ambiant régnant à l'extérieur de l'aéronef. Par ailleurs, l'aéronef comporte un dispositif de gestion de pannes 40 pour gérer des pannes de l'installation motrice. Ce dispositif de gestion de pannes 40 inclut chaque système 10 de gestion 10, et éventuellement au moins un équipement du système avionique. Dès lors, le dispositif de gestion de pannes 40 comporte une unité de traitement 60 coopérant avec une unité de mémoire 65 et une unité d'affichage 70. 15 Chaque calculateur peut faire partie de l'unité de traitement 60, l'unité de mémoire 65 comportant les unités de stockage 18 de ce calculateur. De même, l'unité de traitement 60 peut comprendre une unité de calcul 51 du système avionique. Une telle unité de calcul peut 20 comporter un processeur 53 ou équivalent, et une unité de stockage 54. L'unité de mémoire 65 peut comporter l'unité de stockage 54 de l'unité de calcul. En outre, le dispositif de gestion comporte une unité d'affichage 70 reliée à l'unité de traitement. L'unité d'affichage 70 25 est notamment munie d'un écran 71. Une telle unité d'affichage peut comprendre un écran multifonction, tel que l'écran multifonction connu qui affiche une liste dite « MASTER LIST » en 3037155 22 langue anglaise. Une telle MASTER LIST affiche usuellement les informations des pannes signalées par les systèmes de l'aéronef. Le dispositif de gestion de pannes 40 applique le procédé selon l'invention illustré sur la figure 2. 5 Durant une étape de préparation, on mémorise une liste de pannes dans l'aéronef avant l'utilisation de l'aéronef. Cette liste de pannes classifie des pannes du système de gestion susceptibles de se produire, chaque panne étant associée à un niveau de panne et éventuellement à un temps de vol autorisé avant qu'une 10 réparation ne doive être entreprise. Par exemple, l'étape de préparation STPA peut être décomposée en une étape d'analyse STP1, une étape de classification STP2, et une étape d'attribution d'un temps de vol autorisé STP3. 15 Durant l'étape d'analyse STP1, au moins deux pannes du système de gestion susceptibles de se produire sont identifiées. Dès lors, le constructeur étudie les divers équipements du système de gestion pour réaliser une analyse de pannes. En particulier, toutes les pannes qui provoquent l'absence de 20 transmission d'une information par le système de mesure 30 à au moins une voie de calcul 16, 17 peuvent être recensées. De plus, les pannes qui provoquent la transmission à chaque calculateur 15 d'une information par le système de mesure 30 ayant une valeur identifiée comme étant anormale, peuvent être 25 recensées. Une valeur est anormale par exemple si cette valeur n'est pas comprise dans une plage de valeurs théoriques. Par exemple, si la température déterminée par un capteur n'est pas comprise 3037155 23 dans une plage prédéterminée, le calculateur recevant cette information en déduit la présence d'une panne. En outre, les pannes qui provoquent la transmission par le système de mesure 30 d'une première valeur à une voie de calcul 5 16 ne correspondant pas à une deuxième valeur transmise à l'autre voie de calcul 17 pour une même information, peuvent être recensées. Par exemple, la valeur de la température mesurée par un capteur de température reçue par la première voie de calcul 16 est 10 différente de la valeur de cette même température reçue par la deuxième voie de calcul. Les vois de calcul 16, 17 communiquant entre elles pour vérifier la cohérence des informations reçues, le calculateur en déduit la présence d'une panne.26 Par ailleurs, durant l'étape de classification STP2 réalisée 15 pour chacune desdites pannes, on associe chaque panne à un niveau de panne. Ce procédé suggère d'établir un premier niveau de panne et un second niveau de panne ayant des impacts différents sur l'aéronef. Les pannes du second niveau sont plus sévères que les 20 pannes du premier niveau. En effet, les pannes du premier niveau correspondent à des pannes n'ayant aucun impact sur la pilotabilité de l'aéronef. Par exemple, une panne sans impact sur le pilotage est une panne ne modifiant pas le fonctionnement des moteurs 5. 25 A l'inverse, une panne ayant un impact sur le pilotage est une panne générant un dysfonctionnement du système de gestion 10. Une telle panne nécessite la mise en oeuvre d'au moins une procédure décrite dans un manuel de vol. 3037155 24 Eventuellement, les pannes du second niveau peuvent être décomposées en une pluralité de sous-niveaux en fonction de leur impact sur le fonctionnement du moteur et de l'aéronef. Le constructeur liste alors toutes les pannes recensées et 5 affecte à chaque panne à un niveau de panne. Durant une étape d'attribution d'un temps de vol autorisé STP3, le constructeur affecte en outre, au moins chaque panne du premier niveau à un temps de vol autorisé. Ce temps de vol autorisé correspond à la durée pendant laquelle l'aéronef peut 10 voler si la panne examinée se produit. Eventuellement, un temps de vol autorisé est aussi affecté à des pannes du second niveau. Par ailleurs, le temps de vol autorisé est supérieur ou égal à une durée prédéterminée. Ainsi, chaque panne associée à un 15 temps de vol autorisé est susceptible de ne pas entraver le vol pendant au moins la durée prédéterminée. Cette durée prédéterminée peut correspondre à la durée nécessaire pour effectuer une mission et retourner à un point de départ, en étant par exemple sensiblement égale à 5 heures. 20 En outre, le temps de vol autorisé affecté à une panne peut être choisi dans une liste préétablie par le constructeur. Par exemple, le procédé suggère d'établir une liste de valeurs pouvant être assignées à un temps de vol autorisé. Chaque valeur de cette liste de valeurs correspond à un degré de criticité 25 d'une panne. Ce degré de criticité est défini par rapport aux conséquences opérationnelles de la panne examinée et à la probabilité de la perte de la fonction motrice suite à la panne examinée. 3037155 25 Dès lors, durant l'étape d'attribution d'un temps de vol autorisé STP3, le procédé propose de déterminer le degré de criticité de chaque panne. Le constructeur étudie la panne examinée, et lui affecte un 5 degré de criticité en fonction des conséquences de cette panne. Dès lors, le constructeur affecte à la panne examinée le temps de vol autorisé au degré de criticité de cette panne examinée. A l'issue de l'étape de préparation, les pannes du système de gestion susceptibles de se produire sont listées, chaque panne 10 étant associée à un niveau de panne voire à un temps de vol autorisé. Ces pannes ainsi que leur niveau de panne et le temps de vol autorisé correspondant sont mémorisés dans l'unité de mémoire. Par exemple, au moins une base de données recense les pannes 15 et les informations associées. A l'issue de l'étape de préparation, l'aéronef peut être utilisé lors d'une étape fonctionnelle STPB. L'étape fonctionnelle STPB réalise itérativement et successivement les étapes suivantes. Durant une étape de détection STP4, l'unité de traitement 60 20 surveille le fonctionnement des systèmes de gestion pour détecter d'éventuelles pannes. Si une panne est détectée, durant une étape d'évaluation STP5, l'unité de traitement 60 sollicite l'unité de mémoire 65 pour déterminer le niveau de panne de chaque panne détectée. 25 Dès lors durant une étape d'affichage STP6, l'unité de traitement 60 sollicite l'unité d'affichage 70 pour signaler qu'au moins une panne de premier niveau est survenue si aucune panne 3037155 26 détectée n'est une panne de second niveau. Par exemple, un message est affiché dans la liste dite « MASTER LIST ». Par exemple, l'écran 71 affiche une unique formulation générique tel que « panne de premier niveau » pour signaler la 5 présence d'au moins une panne de premier niveau, si seules des pannes de premier niveau sont apparues. Si seules des pannes de premier niveau sont apparues, le temps prédéterminé de chaque panne de premier niveau étant au moins égal à la durée prédéterminée, le pilote sait que le vol peut 10 être poursuivi au moins pendant la durée prédéterminée. Dès lors, le pilote peut se consacrer au pilotage de l'aéronef sans chercher à connaître la nature des pannes. Toutefois, durant une étape d'affinage STP7 du temps de vol autorisé avant réparation, l'unité de traitement peut afficher une 15 liste détaillée des pannes survenues sur requête d'un pilote pour déterminer si le temps de vol autorisé peut être supérieur à la durée prédéterminée. De plus, l'unité de traitement peut afficher une durée affinée de vol pouvant être réalisée, cette durée affinée étant égale au 20 temps de vol le plus bas des pannes survenues. Selon une variante, le message signalant la présence d'au moins une panne de premier niveau contient cette durée affinée. Le cas échéant, l'unité de traitement sollicite l'unité d'affichage pour signaler à un pilote qu'au moins une panne de 25 second niveau est survenue si au moins une panne détectée est une panne de second niveau. Si la panne de second niveau est associée à un temps de vol autorisé, le vol est éventuellement autorisé en l'absence de 3037155 27 passager uniquement durant ce temps de vol autorisé avant qu'une réparation soit entreprise. Naturellement, la présente invention est sujette à de nombreuses variations quant à sa mise en oeuvre. Bien que 5 plusieurs modes de réalisation aient été décrits, on comprend bien qu'il n'est pas concevable d'identifier de manière exhaustive tous les modes possibles. Il est bien sûr envisageable de remplacer un moyen décrit par un moyen équivalent sans sortir du cadre de la présente invention. 10 REVENDICATIONS1. Procédé de gestion de pannes avec un système de gestion (10) commandant un moteur (5) d'un aéronef (1) pour déterminer si l'aéronef (1) peut voler suite à au moins une panne, ledit système de gestion (10) comprenant au moins un calculateur (15) muni de deux voies de calcul (16, 17) ainsi qu'un doseur de carburant (20) et un système de mesure (30), au moins une voie de commande (21, 22) reliant chaque voie de calcul (16, 17) à un doseur de carburant (20), ledit système de mesure (30) comportant une pluralité d'organes de mesure (31, 52), chaque organe de mesure étant relié à chaque voie de calcul (16, 17) pour transmettre au moins une information relative au fonctionnement de l'aéronef à chaque voie de calcul (16, 17), chaque organe de mesure étant à choisir dans une liste incluant au moins un organe de mesure (52) d'un système avionique (50) de l'aéronef (1) et un organe de mesure (31) mesurant au moins une information relative à un paramètre de surveillance du moteur (5), caractérisé en ce que. - durant une étape de préparation (STPA), on mémorise dans l'aéronef au moins deux pannes du système de gestion susceptibles de se produire, chaque panne étant associée à un niveau de panne à choisir entre un premier niveau pour une panne n'ayant aucun impact sur le pilotage de l'aéronef (1) et un second niveau pour une panne ayant un impact sur le pilotage de l'aéronef (1), au moins chaque panne du premier niveau étant associée à un temps de vol autorisé mémorisé suite à la survenue de la panne et avant réparation de cette panne, 3037155 29 - durant une étape de détection (STP4) des pannes, on détermine si au moins une desdites pannes survient, - durant une étape d'évaluation (STP5), on détermine le niveau de panne de chaque panne détectée lors de l'étape de 5 détection (STP4), - durant une étape d'affichage (STP6), on signale à un pilote qu'au moins une panne de premier niveau est survenue si aucune panne détectée n'est une panne de second niveau, le vol pouvant alors être poursuivi au moins pendant une 10 durée prédéterminée par le constructeur quelle que soit la panne de premier niveau détectée. 2. Procédé selon la revendication 1, caractérisé en ce que chaque panne est à choisir dans une liste comprenant : 15 - une panne provoquant l'absence de transmission d'une desdites informations par le système de mesure (30) à au moins une voie de calcul (16, 17), - une panne provoquant la transmission au calculateur (15) d'une information par le système de mesure (30) 20 ayant une valeur identifiée comme étant anormale, une panne provoquant la transmission par le système de mesure (30) d'une première valeur à une voie de calcul (16) ne correspondant pas à une deuxième valeur transmise à l'autre voie de calcul (17) pour une même 25 information. 3. Procédé selon l'une quelconque des revendications 1 à 2, 3037155 caractérisé en ce qu'une panne sans impact sur le pilotage est une panne ne modifiant pas le fonctionnement dudit moteur (5). 4. Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce qu'une panne ayant un impact sur le pilotage est 5 une panne générant un dysfonctionnement du système de gestion (10) nécessitant la mise en oeuvre d'au moins une procédure décrite dans un manuel de vol. 5. Procédé selon l'une quelconque des revendications 1 à 4, caractérisé en ce que ladite durée prédéterminée est inférieure ou 10 égale à chaque temps de vol autorisé. 6. Procédé selon l'une quelconque des revendications 1 à 5, caractérisé en ce que ladite durée prédéterminée correspond à la durée nécessaire pour effectuer une mission et retourner à un point de départ. 15 7. Procédé selon l'une quelconque des revendications 1 à 6, caractérisé en ce que ladite durée prédéterminée est égale à 5 heures. 8. Procédé selon l'une quelconque des revendications 1 à 7, caractérisé en ce qu'une liste de valeurs pouvant être assignées à 20 un temps de vol autorisé est établie, chaque valeur de ladite liste de valeurs étant associée à un degré de criticité, durant l'étape de préparation (STPA), on détermine le degré de criticité de chaque panne associée à un temps de vol autorisé et on affecte au temps de vol autorisé pour une panne examinée la valeur correspondant 25 au degré de criticité de cette panne examinée. 9. Procédé selon la revendication 8, 3037155 31 caractérisé en ce que le degré de criticité est défini par rapport aux conséquences opérationnelles de la panne examinée et à la probabilité de la perte de la fonction motrice suite à la panne examinée. 5 10. Procédé selon l'une quelconque des revendications 1 à 9, caractérisé en ce que durant une étape d'affinage (STP7) du temps de vol autorisé avant réparation, on affiche une liste détaillée des pannes survenues, le temps de vol restant avant réparation étant 10 égal au temps de vol le plus bas relatif aux pannes survenues. 11. Procédé selon l'une quelconque des revendications 1 à 10, caractérisé en ce que durant l'étape d'affichage (STP6), on signale à un pilote qu'au moins une panne de premier niveau est survenue 15 en affichant une unique formulation générique. 12. Procédé selon l'une quelconque des revendications 1 à caractérisé en ce que durant ladite étape d'affichage (STP6), on signale à un pilote qu'au moins une panne de second niveau est 20 survenue si au moins une panne détectée est une panne de second niveau. 13. Procédé selon l'une quelconque des revendications 1 à 12, caractérisé en ce que durant l'étape de préparation (STPA), au 25 moins une panne de second niveau est associé à un temps de vol autorisé, le vol étant autorisé en l'absence de passager uniquement. 3037155 32 14. Dispositif de gestion de pannes (40) muni d'au moins un système de gestion (10) d'un moteur (5) d'un aéronef (1) pour déterminer si l'aéronef (1) peut voler suite à au moins une panne, ledit système de gestion (10) comprenant au moins un calculateur 5 (15) muni de deux voies de calcul (16, 17) ainsi qu'un doseur de carburant (20) et un système de mesure (30), au moins une voie de commande (21, 22) reliant chaque voie de calcul (16, 17) à un doseur de carburant (20), ledit système de mesure (30) comportant une pluralité d'organes de mesure (31, 52), chaque organe de 10 mesure (31, 52) étant relié à chaque voie de calcul (16, 17) pour transmettre au moins une information relative au fonctionnement de l'aéronef (1) à chaque voie de calcul (16, 17), chaque organe de mesure étant à choisir dans une liste incluant au moins un organe de mesure (52) d'un système avionique de l'aéronef et un organe 15 de mesure (31) mesurant au moins une information relative à un paramètre de surveillance du moteur (5), caractérisé en ce que ledit dispositif de gestion de pannes (40) applique le procédé selon l'une quelconque des revendications 1 à 13, ledit dispositif de gestion de pannes (40) comportant : 20 - une unité de mémoire (65) configurée pour mémoriser chaque panne identifiée lors de l'étape de préparation (STPA), ainsi que le niveau de chaque panne et le temps de vol autorisé pour au moins les pannes du premier niveau, - une unité de traitement (60) configurée pour mettre en 25 oeuvre l'étape de détection (STP4) des pannes et l'étape d'évaluation (STP5), - une unité d'affichage (70) configurée pour mettre en oeuvre l'étape d'affichage (STP6). 3037155 33 15. Dispositif de gestion de pannes selon la revendication 14, caractérisé en ce que ledit système avionique (50) comprenant une unité de calcul (51), ladite unité de traitement (60) comporte au 5 moins un des équipements suivants : ladite unité de calcul (51), ledit calculateur (15). 16. Aéronef (1) muni d'au moins un moteur (5), caractérisé en ce que ledit aéronef (1) comporte un dispositif de gestion de pannes (40) selon l'une quelconque des revendications 10 14 à 15.