FR 3037158 A1 20161209 FR 1501164 A 20150605 3037158 SURVEILLANCE DE TRAJECTOIRE Domaine de l'invention L'invention concerne le domaine des systèmes et procédés pour la surveillance de la trajectoire d'un aéronef. Etat de la Technique En matière de systèmes et de procédés pour la gestion de la trajectoire d'un aéronef, des conditions de sûreté de fonctionnement exigeantes sont à satisfaire. 15 En particulier, les opérations aériennes de type RNP-AR sont exigeantes. La "qualité de navigation requise" (en anglais "Required navigation performance" d'acronyme RNP) peut être "à autorisation obligatoire" (en anglais "Authorisation Required" d'acronyme AR). La "qualité de navigation requise" ou RNP désigne des procédures qui ont été créées 20 pour spécifier les conditions à respecter en ce qui concerne l'espace aérien et son exploitation. Les procédures RNP-AR peuvent apporter des avantages significatifs aux chapitres de l'exploitation et de la sécurité par rapport à d'autres procédures de navigation de surface (RNAV) en prescrivant une précision, une intégrité et une fonctionnalité de navigation 25 accrues pour permettre des opérations utilisant des marges de franchissement d'obstacles réduites qui rendent possible la mise en oeuvre de procédures d'approche et de départ dans des situations où l'application d'autres procédures n'est pas réalisable ou acceptable du point de vue opérationnel. 10 2 3037158 Par exemple dans un tel contexte RNP-AR, la réglementation impose de maintenir l'aéronef dans un couloir de 2xRNP autour de la trajectoire de référence en cas de panne dite « remote » (avec une probabilité de 5 panne comprise entre 10^-5 et 10A-7 par opération). En particulier, dans la configuration d'un système dual classique (deux chaînes de navigation indépendantes), une panne du système sur l'une de ses chaînes (ou « côtés ») - impliquant la modification non-souhaitée de la trajectoire sur laquelle est asservie l'aéronef - doit pouvoir être détectée et surtout isolée afin de poursuivre le vol sur le côté sans panne. Le document de brevet US2012/0092193 intitulé "METHOD AND DEVICE FOR AIDING THE MANAGING OF AIR OPERATIONS WITH REQUIRED NAVIGATION AND GUIDANCE PERFORMANCE" divulgue un procédé et un dispositif d'aide à la conduite d'opérations aériennes nécessitant une garantie de performance de navigation et de guidage dans un contexte RNP-AR. La divulgation requiert l'emploi de N équipements, N étant un entier supérieur ou égal à 3. Les approches relatives aux architectures triplex présentent des limitations. D'autres approches existantes connues concernent l'utilisation du TAWS ou des moyens manuels de vérification croisée des moyens de surveillance. Ces approches présentent également des limitations. Il existe un besoin pour des systèmes et des procédés avancés, permettant notamment la couverture des exigences de sûreté de fonctionnement, notamment dans un contexte RNP AR. 3037158 Résumé de l'invention La présente invention concerne un procédé pour la surveillance de la trajectoire de vol d'un aéronef comprenant les étapes réitérées dans le 5 temps consistant à recevoir et comparer deux objets de trajectoire, lesdits objets de trajectoire étant associés à deux trajectoires de vol initialement identiques et déterminées indépendamment l'une de l'autre au cours du temps; en cas de différence entre les deux objets de trajectoire, déterminer une trajectoire défaillante parmi les deux trajectoires de vol 10 par comparaison avec le dernier état sans panne connu, le dernier état sans panne connu correspondant à deux objets de trajectoire identiques. Des développements décrivent l'utilisation de legs (ou segments de plan de vol) ou de signatures, l'isolation de panne simultanée à un changement de leg actif, l'utilisation niveaux de sûreté de fonctionnement 15 selon une procédure RNP-AR et la notification du pilote de la trajectoire déterminée comme défaillante. Des aspects de logiciel et de système (e.g. FMS, FWS) sont également décrits. L'invention permet la détection et l'isolation d'une panne de la fonction de 20 calcul de trajectoire dans un système dual. Elle consiste en une fonction, indépendante ou non des deux chaînes de navigation, dont le but est de surveiller les trajectoires de chaque chaîne de navigation, de détecter une panne sur une des chaînes et d'alerter l'équipage. 25 Le principe de fonctionnement de l'invention repose sur la comparaison continue des trajectoires de chacune des deux chaînes de navigation. En l'absence de panne, les deux trajectoires sont identiques et stables. Lorsqu'une panne sur une des deux chaînes survient, une différence entre les trajectoires apparaît et il est possible d'identifier le côté en 30 panne en le comparant au dernier état sans panne. 3037158 Selon un aspect de l'invention, la solution permet la détection et l'isolation d'une panne de la fonction de calcul de la trajectoire dans un système de navigation dual ce qui permet de réduire fortement la probabilité d'excursion au-delà des limites imposées par les exigences de sureté de 5 fonctionnement lors de ce type de panne. Avantageusement, le procédé selon l'invention permet de réduire significativement la probabilité d'excursion au-delà des limites imposées par les exigences de sureté de fonctionnement (e.g. panne de trajectoire 10 sur une des chaînes du système de navigation dual). La probabilité d'excursion loin de la trajectoire peut être diminuée sinon optimisée. Avantageusement, le procédé selon l'invention en procédant à l'identification automatique de la partie ou côté du système dual en panne 15 (sans recourir à d'autres moyens lors de ce type de panne), l'invention permet de réduire la charge cognitive de l'équipage et peut par suite limiter la complexité du système (i.e. sans recourir à une configuration triplex à trois chaînes). 20 En particulier dans un système dual où pour une chaîne seule la probabilité d'occurrence de cette panne dépasse 10^-5 par opération, l'invention peut permettre d'utiliser le système pour des opérations RNP AR. 25 Avantageusement, le procédé implémenté dans un système de navigation dual permet l'isolation automatique d'une panne de la fonction de calcul de la trajectoire sur une des chaines de navigation. Par l'expression «isoler une panne», il est entendu le fait de détecter la survenue d'une panne (déterminer l'existence d'un problème) et de déterminer laquelle 30 des deux chaines est défaillante (déterminer plus précisément l'origine de la panne ou son périmètre ou les caractéristiques ou les propriétés de la 5 3037158 panne). Dans les systèmes existants, l'équipage doit mettre en oeuvre d'autres moyens pour identifier une panne et/ou pour changer de moyen de navigation pour poursuivre le vol ; dans un contexte RNP AR, la mise en oeuvre de ces moyens existants présentent des limitations et des 5 insuffisances en matière de sûreté de fonctionnement. Avantageusement, selon certains modes de réalisation de l'invention, la mise en oeuvre des moyens peut être automatique et par suite épargner tout délai supplémentaire d'analyse et de réaction supplémentaire de la 10 part de l'équipage, délai qui pourrait également contribuer également à augmenter une excursion le cas échéant. Description des figures 15 Différents aspects et avantages de l'invention vont apparaitre en appui de la description d'un mode préféré d'implémentation de l'invention mais non limitatif, avec référence aux figures ci-dessous : La figure 1 illustre le fonctionnement général de l'invention; 20 Les figures 2A et 2B illustrent des exemples de détection de panne ; La figure 3 montre un schéma de la fonction de gestion de trajectoire ; 25 La figure 4 montre des exemples d'étapes de comparaison de trajectoires ; La figure 5 illustre un exemple d'implémentation du procédé selon l'invention dans un système de gestion de vol ; 30 La figure 6 illustre une variante d'implémentation. 6 3037158 Description détaillée de l'invention Il est divulgué un procédé pour la surveillance de la trajectoire de vol d'un aéronef comprenant les étapes réitérées dans le temps consistant à 5 recevoir et comparer deux objets de trajectoire, lesdits objets de trajectoire étant associés à deux trajectoires de vol initialement identiques et déterminées indépendamment l'une de l'autre au cours du temps; à un instant donné, en cas de différence entre les deux objets de trajectoire, déterminer la trajectoire défaillante parmi les deux trajectoires de vol par 10 comparaison avec le dernier état sans panne connu, le dernier état sans panne connu correspondant à deux objets de trajectoire identiques. Le « dernier état sans panne » peut être défini comme le dernier état où les deux trajectoires sont identiques. Pour détecter une panne simultanée 15 à un changement de leg actif, la connaissance de l'état prévu après changement permet ainsi de connaître également le dernier état sans panne prévu et donc d'isoler en cas de panne simultanément à un changement de leg actif. 20 Les deux trajectoires sont déterminées indépendamment l'une de l'autre et selon des conditions initiales identiques. Les déterminations de trajectoire continuellement recalculées doivent donc être congruentes au cours du temps, modulo un court délai temporel pour la conclusion des calculs associés. Du fait de cette symétrie supposée, les résultats doivent 25 être identiques, hors a) cas de panne simultanée des deux déterminations indépendantes et/ou b) changement de trajectoire (e.g. changement de leg, suite à des modifications manuelles apportées par le pilote). La comparaison avec le dernier état sans panne résout l'indétermination du premier cas. D'autres modes de réalisation du procédé selon l'invention 30 permettent le lever l'indétermination résiduelle liée au second. 7 303 7 1 5 8 Dans un développement, les objets de trajectoire sont des trajectoires de vol complètes. Les objets de trajectoires qui sont comparées (i.e. émises vers la fonction de calcul des déviations) peuvent être des trajectoires complètes (par exemple des trajectoires courantes ou de référence, telle 5 que manipulées par un système de gestion de vol par exemple). Dans un développement, les objets de trajectoire étant des portions de trajectoire comprenant un ou plusieurs legs (par exemple de type TF et/ou RF). L'étape de comparaison des trajectoires peut s'effectuer sur des 10 séquences de segments de trajectoire. Dans un développement, les objets de trajectoire sont (ou comprennent) des signatures de trajectoires. Dans un mode de réalisation, chaque FMS émet un mot de 32 bits représentant la CRC de la trajectoire (ou d'une 15 partie de trajectoire). Le FWS compare alors les 2 CRC. Une signature de trajectoire peut être (ou comprendre) un fichier « Cyclic Redundancy Check » (CRC). Ce mode de réalisation permet des calculs et des comparaisons rapides. Par exemple, si la trajectoire 1 à une valeur de 00001111, il y a 4 bits de valeur égale à 1. Pour avoir un nombre de bit 20 impair, il faut en rajouter un (le bit de parité impaire de la trajectoire est 1). Si la trajectoire 2 a une valeur de 00000111, il y a 3 bits à 1. Pour avoir un nombre de bit impair, il faut en rajouter un, le bit de parité impaire de la trajectoire est 0. Dans le premier cas, le FMS 1 envoie donc 1 au FWS. Dans le second cas, le FMS 2 envoie donc 0 au FWS. Les deux bits de 25 parité ne sont pas identiques : le FWS peut en déduire que les deux FMS n'ont pas la même trajectoire sans pour autant recevoir la trajectoire complète. Dans un développement, le procédé comprend en outre les étapes 30 consistant à recevoir une indication de changement de leg actif, et à comparer les deux objets de trajectoires avant et après changement de 8 3037158 leg. L'indication de changement peut être reçue ou déterminée de différentes manières. Elle peut être reçue d'un module de surveillance (par exemple 5 un système tiers à l'invention). L'avion volant progresse selon les points de plan de vol de la trajectoire. Des commandes du pilote (manuel ou automatique) modifient la trajectoire, recalculée par le FMS (en l'espèce le système dual de FMS indépendants) : différents legs sont successivement volés et de fait un séquencement (changement de leg) 10 peut être effectué (ou détecté ou initialisé ou déterminé). L'indication de changement de leg actif peut par exemple provenir de la détection d'un changement de trajectoire qui devient égale à la trajectoire prévue après changement de leg. 15 La comparaison des objets de trajectoires avant et après séquencement peut fournir des enseignements quant à des pannes. Dans un développement, le procédé comprend en outre l'étape consistant à déterminer l'existence d'une trajectoire défaillante (parmi les deux 20 trajectoires de vol initialement identiques et déterminées indépendamment l'une de l'autre au cours du temps) si les deux objets après changement de leg ne sont pas égaux. En d'autres termes, il s'agit d'une comparaison « inter-objets ». Si les deux objets de trajectoire (déterminés indépendamment) après changement de leg ne sont pas 25 égaux : il existe une trajectoire défaillante parmi les deux. Dans un développement, le procédé comprend en outre l'étape consistant à déterminer la trajectoire défaillante (parmi les deux trajectoires de vol initialement identiques et déterminées indépendamment l'une de l'autre 30 au cours du temps) si les deux objets après changement de leg ne sont pas égaux, ladite détermination comprenant les étapes consistant 9 3037158 à comparer pour chacun des deux objets de trajectoire, la portion de trajectoire suivante telle planifiée avant changement de leg actif et la portion de trajectoire courante telle que volée après changement de leg actif ; et à déterminer la trajectoire défaillante comme étant celle associée 5 à l'objet de trajectoire pour lequel la portion de trajectoire suivante telle planifiée avant changement de leg actif n'est pas égale à la portion de trajectoire courante telle que volée après changement de leg actif. En d'autres termes, il s'agit d'une comparaison « intra-objets ». Si les deux objets de trajectoires ne sont pas égaux, il est possible de lever 10 l'indétermination en examinant plus avant le contenu des objets de trajectoires, c'est-à-dire de comparer les portions de trajectoires telles que prévues par le FMS et celles effectivement volées. Si les deux objets de trajectoire (déterminés indépendamment) après 15 changement de leg sont égaux, il n'est pas possible de conclure (soit les deux objets de trajectoire sont simultanément faux, soit ils sont simultanément corrects ; une panne d'un seul côté n'est alors pas déterminée). 20 En l'absence de l'indication de la survenue d'un « séquencement » (qu'un changement de leg actif a eu lieu), aucune conclusion ne peut être tirée. Dans un développement, les objets de trajectoire sont des portions de trajectoire comprenant un ou plusieurs legs de type TF et/ou RF. 25 Dans un développement, le procédé comprend en outre l'étape consistant à recevoir un niveau de sûreté de fonctionnement et l'étape consistant à comparer les objets de trajectoire étant effectuée en utilisant un seuil de tolérance de panne, ledit seuil de tolérance de panne étant prédéfini en 30 fonction du niveau de sûreté de fonctionnement reçu. 10 3037158 L'écart entre les deux trajectoires doit rester dans certaines limites, lesquelles sont fournies par les exigences de performances de vol qui sont des données d'entrée. Les sous-ensembles de segments de trajectoire qui sont comparés sont pertinents pour ledit niveau de sûreté 5 de fonctionnement. Dans un développement, le niveau de sûreté est associé à des valeurs de RNP comprises entre 0.1 et 1 mile nautique pour une procédure de type RNP-AR. Par exemple, dans certains modes de réalisation avantageux, le 10 niveau de sûreté peut être de niveau RNP-0.3 (trois dixième de mile nautique) Dans un développement, l'étape consistant à comparer les objets de trajectoire est effectuée à l'expiration d'un délai prédéfini. Le délai 15 prédéfini couvre l'asynchronisme des systèmes. En d'autres termes, la comparaison pour faire sens est effectuée à l'expiration d'un délai prédéfini, lequel couvre la synchronisation des différents systèmes mis en oeuvre pour déterminer les trajectoires. Par exemple, un FMS numéro 1 calcule une trajectoire et un FMS numéro 2 également. Les deux calculs 20 ne commencent pas de manière parfaitement simultanée. Le délai prédéfini correspond à la tolérance temporelle qui existe entre les deux chaînes. En d'autres termes, les trajectoires sont comparées après « stabilisation » (mise à jour des calculs). 25 Dans un développement, le procédé comprend en outre l'étape consistant à notifier au pilote de l'aéronef la trajectoire défaillante parmi les deux trajectoires déterminées indépendamment l'une de l'autre au cours du temps. 30 D'autres aspects de l'invention sont décrits ci-après. 11 3037158 Selon un mode de réalisation particulier, l'historique des objets de trajectoire, par exemple les legs successifs de la trajectoire, est conservé (au moins selon une certaine profondeur d'historique). Cet historique permet de lever des indéterminations éventuelles quant à la chaîne 5 défaillante. En particulier, ce mode de réalisation permet de détecter une panne survenant simultanément à un « séquencement » de trajectoire, c'est-à-dire un changement de leg actif. Dans un contexte où le système effectue un séquencement des éléments 10 de la trajectoire (i.e. une fois le porteur ayant franchi un élément de trajectoire, cet élément est supprimé et le guidage s'effectue sur le suivant), la comparaison utilisera a) deux trajectoires pour chaque chaîne: celle en cours (current) et celle prévue lors du prochain séquencement (next) afin de détecter une panne simultanée à un séquencement ou b) n 15 trajectoires si des séquencements multiples sont possibles sur les chaînes de navigation. Il est divulgué un produit programme d'ordinateur, ledit programme d'ordinateur comprenant des instructions de code permettant d'effectuer 20 une ou plusieurs étapes du procédé, lorsque ledit programme est exécuté sur un ordinateur. Il est divulgué un système comprenant des moyens pour mettre en oeuvre une ou plusieurs étapes du procédé. Dans un développement, le système 25 comprend deux systèmes de gestion de vol ou FMS. Dans un développement, le système comprend des moyens de surveillance pour surveiller les deux systèmes de gestion de vol ou FMS. Dans un développement, les moyens de surveillance comprennent deux systèmes d'alerte de vol ou FWS. 30 La figure 1 illustre le fonctionnement général de l'invention. 12 303 7 1 5 8 La fonction de la gestion de trajectoire 100 (i.e. surveillance de la trajectoire et d'isolation de panne) résulte de la comparaison de deux chaînes de navigation 110 et 120 (« système dual »). Chaque chaîne de 5 navigation (110,120) comprend différentes données et instructions. Des sources de données quant à la position de l'aéronef (111,211) permettent le calcul de la position effective (112,212). des informations de navigation (113,213) permettent le calcul de la trajectoire courante (114,114). A partir de cette trajectoire courante et de l'information de position de l'aéronef, 10 une déviation est déterminée (115,215) et une instruction de guidage est émise à destination du pilote et/ou du système de guidage automatique (116,216). En d'autres termes, selon un aspect de l'invention, une fonction de 15 surveillance, indépendante ou non des deux chaînes de navigation, compare les trajectoires de référence utilisées par chaque chaîne, de façon à détecter les différences et d'identifier la chaîne en panne. La comparaison des objets de trajectoire, c'est-à-dire l'étape de détection 20 d'une différence et/ou d'identification d'une chaîne en panne, peut s'effectuer de différentes manières au cours du temps (i.e. de manière périodique ou apériodique, de manière continue ou intermittente). La surveillance peut être conduite de manière exclusivement temporelle (c'est-à-dire par la seule référence au temps) et/ou en fonction de la 25 survenue d'événements au cours du vol. Dans un mode de réalisation de l'invention au moyen d'un ou de plusieurs systèmes FWS « Flight Warning System », ces derniers initient et contrôlent la fréquence i.e. le rythme des comparaisons. Dans certains modes de réalisation, la fréquence de vérification est de l'ordre de la seconde. 30 Les figures 2A et 2B illustrent des exemples de détection de panne. En 13 3 0 3 7 1 5 8 l'absence de panne, les deux trajectoires de référence sont identiques et stables. Un plan de vol est constitué par une suite de segments, dits « legs », 5 permettant de relier un point de départ à un point d'arrivée. Les séquences de legs sont elles-mêmes normalisées. Des legs sont donc associables à une trajectoire de vol. La figure 2A illustre un exemple de comparaison de trajectoires, selon un 10 premier mode de réalisation de l'invention. Lorsqu'une panne survient, une différence 201 entre les trajectoires apparaît et il est possible d'identifier le côté en panne, par exemple en le comparant au dernier état sans panne (état 202). 15 La figure 2B illustre un autre mode de réalisation, pour lequel le procédé de surveillance selon l'invention procède par analyse de la séquence des legs (« séquencement »). Les termes « courant » 203 (« current » en anglais) et « suivant » 204 (« next » en anglais), s'appliquent par exemple aux « legs » de trajectoire, et désignent respectivement la trajectoire 20 courante 203 (ou bien un élément qui en est représentatif depuis le dernier point séquencé jusqu'à l'arrivée et la trajectoire courante) et un élément représentatif du prochain point 204 de la trajectoire (à séquencer jusqu'à l'arrivée). Le terme « séquencement » signifie un changement de leg actif, c'est-à-dire que le leg suivant le leg actif devient le leg actif. Le 25 « leg courant » ou « leg en cours » ou « leg actif » se traduit par « current leg » en anglais. Le « prochain leg » ou « leg suivant » se traduit par « next leg » en anglais. Dans un mode de réalisation, il est possible de détecter une panne du fait 30 de l'analyse de la séquence des legs. Cette analyse en séquences permet l'identification d'une panne simultanée à un changement de leg. 14 3 0 3 7 1 5 8 L'exemple illustré sur la figure montre que la survenue d'une panne est détectée au point 211 (erreur de séquencement): les séquences de trajectoires divergent et la chaîne numéro 2 apparaît en panne. En effet, dans la séquence au temps 210, la chaîne 1 indique un objet de 5 trajectoire courant B et un objet de trajectoire suivant C, de même que la chaîne 2. A un instant ultérieur 211, suite à un changement de leg actif, sur la chaîne 1 l'objet de trajectoire courant est devenu C et le l'objet de trajectoire suivant est indiqué comme étant D tandis que pour la chaîne 2 l'objet de trajectoire actif est X et non pas C. La comparaison permet de 10 déterminer d'emblée que la chaîne 2 est défaillante et que la chaîne 1 est a priori correcte. Si par exemple à l'instant 211, la chaîne 1 indique C/D et la chaîne 2 indique C/Y, il n'y a pas (encore) de panne de trajectoire. Par contre, au 15 changement de leg suivant, une panne surviendra (sans qu'il soit possible a priori de détecter laquelle des deux chaînes est en panne). Cette situation (temporaire, fournie pour l'exemple) traduirait une panne de la fonction d'émission de trajectoire car cette dernière est conçue pour normalement donner les mêmes résultats pour la trajectoire 'Next' si la 20 trajectoire 'Current' est la même. Selon certains modes de réalisation, la détection et/ou la comparaison de la chaîne en panne est effectuée passé un certain délai prédéfini. En effet, dans les contextes de vol où les modifications de trajectoires 25 manuelles sont autorisées et supposées synchronisées entre les deux chaînes (avec le niveau de sûreté de fonctionnement suffisant), une temporisation particulière quant à la détection du côté en panne peut être nécessaire afin d'attendre la « remise à jour » des trajectoires. 30 La figure 3 montre un schéma de la fonction de gestion de trajectoire. 15 303 7 1 5 8 Chaque instance du système de calcul de trajectoire fourni à la fonction « Trajectory monitoring and fault isolation » 100 une représentation de la trajectoire. Celle-ci peut être a) la trajectoire complète émise vers la fonction de calcul des déviations ; ou b) un sous-ensemble pertinent pour 5 le niveau de sûreté de fonctionnement envisagé (par exemple seulement pour les legs de type TF et RF) ou c) une signature représentant la trajectoire ou le sous-ensemble choisi. Dans un cas particulier, une ou plusieurs signatures de trajectoire ou de 10 portion de trajectoire (c'est-à-dire des condensats ou des représentations compactes) peuvent être utilisées par le procédé selon l'invention. De telles signatures peuvent par exemple comprendre un contrôle de redondance cyclique ou CRC (Cyclic Redundancy Check), lequel permet de détecter les erreurs de transmission ou de transfert par ajout, 15 combinaison et comparaison de données redondantes, obtenues grâce à une procédure de hachage. Les CRC sont généralement évalués (échantillonnés) avant et après la transmission ou le transfert, puis comparés pour s'assurer que les données sont strictement identiques. Les calculs de CRC les plus utilisés sont conçus afin de pouvoir toujours 20 détecter les erreurs de certains types, comme celles dues par exemple, aux interférences lors de la transmission. Dans ce cadre de l'invention, un CRC « current » et un CRC « next » peut être calculé par chacune des instances du système de calcul de 25 trajectoire sur l'élément ou ensemble d'éléments choisi. La longueur (en bits) du CRC peut par exemple être sélectionnée ou déterminée en fonction du niveau de détection requis par l'analyse de sûreté (« safety » en anglais). 30 La fonction « Trajectory monitoring and fault isolation » 100 mémorise les éléments reçus par chaque chaine de calcul de trajectoire. Lorsqu'un 16 303 7 1 5 8 changement est détecté sur l'une des deux chaînes (i.e. les données reçues sont différentes des données mémorisées), il est déterminé quelle fonction de calcul est défaillante. 5 La détermination de la fonction de calcul défaillante se fait en réalisant une comparaison des éléments transmis par la fonction de calcul de trajectoire n°1 avec ceux transmis par la fonction n°2. En cas d'ensemble de données complexes, la comparaison est faite en utilisant les éléments deux à deux. 10 La figure 3A montre que dès qu'une différence est trouvée, la fonction « Trajectory monitoring and fault isolation » 100 considère que la chaine de calcul de trajectoire qui ne fait pas ce qui était prévu a un fonctionnement erroné. Si l'élément représentatif de la trajectoire « next 15 side x avant « séquencement » est égal ou identique à l'élément « next side x après « séquencement », alors la fonction de gestion de trajectoire a réalisé ce qu'elle avait prévu de faire et il n'est pas émis d'alerte de panne. Une temporisation optionnelle peut être ajoutée afin de s'assurer que les deux fonctions de calcul de trajectoire sont bien dans un état 20 stable (i.e que le séquencement du point sur la trajectoire a bien eu lieu des deux côtés) avant de faire la comparaison. La figure 3B montre que si l'élément représentatif de la trajectoire « next side x avant « séquencement » n'est pas égal à l'élément « next side x 25 après « séquencement », alors la fonction de gestion de trajectoire n'a pas réalisé ce qu'elle avait prévu de faire : une panne peut être déterminée en comparant les deux chaînes de navigation. La figure 4 montre des exemples d'étapes de comparaison de 30 trajectoires. 17 3 0 3 7 1 5 8 Dans l'exemple qui est montré, les segments de trajectoires (ou legs par exemple) sont comparés à l'étape 400. S'ils sont identiques pour chaque chaîne, l'indice i est incrémenté (i.e. il n'y a pas de panne). Si une différence est détectée à l'étape 412 il est déterminé si les segments de 5 trajectoire (ou legs) de la chaîne 1 est égal à l'élément de trajectoire de référence à l'étape 421. Le cas échéant, la chaîne 2 est vérifiée (il est déterminé si l'élément de trajectoire de la chaîne 2 est égal à l'élément de trajectoire de référence ; à défaut 432, la chaîne 2 est déterminée comme étant défaillante ; dans l'affirmative 431 il s'agit d'une contradiction, donc 10 d'une impossibilité). Si l'élément de trajectoire de la chaîne 1 n'est identique à l'élément de trajectoire de référence à l'étape 421, la chaîne 2 est vérifiée (il est déterminé si l'élément de trajectoire de la chaîne 2 est égal à l'élément de trajectoire de référence ; dans l'affirmative 433, la chaîne 1 est déterminée comme étant défaillante et dans la négative 434, 15 aucune conclusion ne peut être donnée car soit il s'agit d'une « double panne » soit le plan de vol a été modifié différemment de chaque côté.) Dans un mode de réalisation de l'invention, les legs de trajectoire sont comparés. 20 La figure 5 illustre un exemple d'implémentation du procédé selon l'invention dans un système de gestion de vol. Dans un mode de réalisation optionnelle, afin de détecter et d'isoler une 25 panne simultanée à un changement de leg actif, la fonction 100 s'assure que seule une seule des deux chaînes de calcul de trajectoire est en cause. Selon ce mode de réalisation, les étapes du procédé sont les suivantes: chaque fonction 100 de « Trajectoty monitoring and fault isolation » utilise deux éléments de type « current » et « next » : les 30 éléments mémorisés avant le séquencement et les éléments courants. En début de vol, tous les éléments sont initialisés à l'état courant (i.e. 18 3037158 élément courant mémorisé égale élément courant ; élément suivant mémorisé égale élément suivant courant). Un écart de trajectoire est détecté si i) les deux fonctions de calcul de trajectoire sont en fonctionnement de type « dual » (i.e. elles opèrent toutes les deux sur la 5 même trajectoire), ii) une chaine de calcul de trajectoire comprend un élément suivant mémorisé qui est différent de son élément courant, iii) la seconde chaine de calcul de trajectoire comprend un élément de type suivant mémorisé qui est égal à son élément courant. 10 Dans certains modes de réalisation (optionnels), une modification de trajectoire réalisée par l'équipage peut être déterminée dans certains cas, par exemple si a) les deux fonctions de calcul de trajectoire sont en fonctionnement de type « dual » (i.e. opèrent toutes les deux sur la même trajectoire), b) une chaine de calcul de trajectoire a son élément de type 15 « next » mémorisé qui est différent de son élément current courant, c) l'autre chaine de calcul de trajectoire a également son élément de type « next » mémorisé qui est différent son élément current courant et d) les éléments current et next courant des deux fonctions de calcul de trajectoire sont cohérents. Ce mode de réalisation illustre que le procédé 20 selon l'invention permet de confirmer l'existence d'une modification de trajectoire Dans un mode de réalisation (optionnel), une perte simultanée des deux fonctions de calcul de trajectoire peut être déterminée si 1) les deux 25 fonctions de calcul de trajectoire sont en fonctionnement de type « dual » (i.e. elles opèrent toutes les deux sur la même trajectoire), 2) une chaine de calcul de trajectoire a son élément de type « next » mémorisé qui est différent de son élément current courant, 3) l'autre chaine de calcul de trajectoire a son élément de type « next » mémorisé qui est différent de 30 son élément current courant, 4) les éléments current et next courant des deux fonctions de calcul de trajectoire sont différents. Le procédé vise à 19 3037158 détecter et isoler une panne simple mais incidemment peut également permettre de détecter une double panne. La figure 6 montre une variante d'implémentation. 5 Selon un mode de réalisation particulier, la fonction de calcul de trajectoire est implémentée dans un système de gestion de vol (« Flight management System » en anglais), implémentée en redondance (521, 522) et un module de surveillance (« monitoring » en anglais) ou organe 10 de contrôle 530 qui effectue les comparaisons (au niveau de granularité requis ; également selon une fréquence de vérification qui est propre à ce système). Le module de surveillance 530 dans une variante peut être un système 15 redondé de Flight Warning System (FWS), destiné à émettre des alertes. A chaque FMS correspond un FWS. Dans un mode de réalisation particulier, le mode de fonctionnement est de type « primary / backup » (i.e. un des FWS est actif tandis que l'autre reste passif et ne prend la main qu'en cas défaillance du FWS actif). Ce mode de réalisation orienté 20 « alerte » n'est qu'un exemple. Le module 530 de manière plus générale peut avoir plus de fonctionnalités que la communication d'alertes. Le module 530 peut communiquer avec d'autres systèmes avioniques embarqués. 25 La présente invention peut s'implémenter à partir d'éléments matériel et/ou logiciel. Elle peut être disponible en tant que produit programme d'ordinateur sur un support lisible par ordinateur. Le support peut être électronique, magnétique, optique ou électromagnétique. 30 20 REVENDICATIONS1. Procédé pour la surveillance de la trajectoire de vol d'un aéronef comprenant les étapes réitérées dans le temps consistant à: 5- recevoir et comparer deux objets de trajectoire, lesdits objets de trajectoire étant associés à deux trajectoires de vol initialement identiques et déterminées indépendamment l'une de l'autre au cours du temps; - à un instant donné, en cas de différence entre les deux objets de trajectoire, déterminer la trajectoire défaillante parmi les deux trajectoires 10 de vol par comparaison avec le dernier état sans panne connu, le dernier état sans panne connu correspondant à deux objets de trajectoire identiques. 2. Procédé selon la revendication 1, les objets de trajectoire étant des 15 trajectoires de vol complètes. 3. Procédé selon la revendication 1, les objets de trajectoire étant des portions de trajectoire comprenant un ou plusieurs segments de plan de vol. 20 4. Procédé selon la revendication 1, les objets de trajectoire étant des signatures de trajectoires. 5. Procédé selon l'une quelconque des revendications précédentes, 25 comprenant en outre les étapes consistant à - recevoir une indication de changement de leg actif, - comparer les deux objets de trajectoires avant et après changement de leg. 30 6. Procédé selon la revendication 5, comprenant en outre l'étape consistant à déterminer l'existence d'une trajectoire défaillante parmi les deux trajectoires de vol initialement identiques et déterminées 21 3037158 indépendamment l'une de l'autre au cours du temps si les deux objets après changement de leg ne sont pas égaux. 7. Procédé selon la revendication 5, comprenant en outre l'étape consistant à déterminer la trajectoire défaillante parmi les deux trajectoires de vol initialement identiques et déterminées indépendamment l'une de l'autre au cours du temps si les deux objets après changement de leg ne sont pas égaux, ladite détermination comprenant les étapes consistant à : - comparer pour chacun des deux objets de trajectoire, la portion de trajectoire suivante telle planifiée avant changement de leg actif et la portion de trajectoire courante telle que volée après changement de leg actif ; - déterminer la trajectoire défaillante comme étant celle associée à l'objet de trajectoire pour lequel la portion de trajectoire suivante telle planifiée avant changement de leg actif n'est pas égale à la portion de trajectoire courante telle que volée après changement de leg actif. 8. Procédé selon la revendication 3, les objets de trajectoire étant des 20 portions de trajectoire comprenant un ou plusieurs legs de type TF et/ou RF. 9. Procédé selon la revendication 1, comprenant en outre une étape consistant à recevoir un niveau de sûreté de fonctionnement et l'étape 25 consistant à comparer les objets de trajectoire étant effectuée en utilisant un seuil de tolérance de panne, ledit seuil de tolérance de panne étant prédéfini en fonction du niveau de sûreté de fonctionnement reçu. 10. Procédé selon la revendication 9, le niveau de sûreté étant associé à 30 des valeurs de RNP comprises entre 0.1 et 1 mile nautique pour une procédure de type RNP-AR. 22 303 715 8 11. Procédé selon l'une quelconque des revendications précédentes, l'étape consistant à comparer les objets de trajectoire étant effectuée à l'expiration d'un délai prédéfini. 12. Procédé selon l'une quelconque des revendications précédentes, comprenant en outre une étape consistant à notifier au pilote de l'aéronef la trajectoire défaillante parmi les deux trajectoires déterminées indépendamment l'une de l'autre au cours du temps. 13. Un produit programme d'ordinateur, ledit programme d'ordinateur comprenant des instructions de code permettant d'effectuer les étapes du procédé selon l'une quelconque des revendications 1 à 12, lorsque ledit programme est exécuté sur un ordinateur. 14. Système comprenant des moyens pour mettre en oeuvre les étapes du procédé selon l'une quelconque des revendications 1 à 12. 15. Système selon la revendication 14 comprenant deux systèmes de 20 gestion de vol ou FMS. 16. Système selon la revendication 15 comprenant des moyens de surveillance des deux systèmes de gestion de vol ou FMS. 25 17. Système selon la revendication 16, les moyens de surveillance comprenant deux systèmes d'alerte de vol ou FWS. 5 10 15 30