FR 3044116 A1 20170526 FR 1561334 A 20151125 1 DOMAINE TECHNIQUE La présente invention concerne un ensemble de gestion de vol d'un aéronef, en particulier d'un avion de transport, et un procédé de surveillance de consignes de guidage générées par un tel ensemble de gestion de vol. Bien que non exclusivement, la présente invention s'applique plus particulièrement à un aéronef mettant en oeuvre des opérations à performances de navigation requises avec autorisation requise, de type RNP AR (« Required Navigation Performance with Authorization Required » en anglais). Ces opérations RNP AR sont basées sur une navigation de surface de type RNAV (« aRea NAVigation » en anglais) et sur des opérations à performances de navigation requises de type RNP (« Required Navigation Performance » en anglais). Elles présentent la particularité de nécessiter une autorisation spéciale pour pouvoir être mises en oeuvre sur un aéronef. On sait que le concept RNP correspond à une navigation de surface, pour laquelle sont ajoutés (à bord de l'aéronef) des moyens de surveillance et d'alerte qui permettent d'assurer que l'aéronef reste dans un couloir, dit RNP, autour d'une trajectoire de référence. A l'extérieur de ce couloir se trouve potentiellement du relief ou d'autres aéronefs. La performance requise pour un type d'opération RNP est définie par une valeur RNP qui représente la demi-largeur (en milles nautiques : NM) du couloir autour de la trajectoire de référence, dans lequel l'aéronef doit rester 95% du temps au cours de l'opération. Un second couloir (autour de la trajectoire de référence) de demi-largeur deux fois la valeur RNP est également défini. La probabilité que l'aéronef sorte de ce second couloir doit être inférieure à 10-7 par heure de vol. Le concept d'opérations RNP AR est plus contraignant encore. Les procédures RNP AR sont, en effet caractérisées par : - des valeurs RNP : - qui sont inférieures ou égales à 0,3NM en approche, et qui peuvent descendre jusqu'à 0,1 NM ; et - qui sont strictement inférieures à 1 NM au départ et lors d'une remise des gaz, et qui peuvent également descendre jusqu'à 0,1 NM ; 3044116 2 - un segment d'approche finale qui peut être courbe ; et - des obstacles (montagnes, trafic...) qui peuvent être situés à deux fois la valeur RNP par rapport à la trajectoire de référence, alors que pour les opérations RNP usuelles, une marge supplémentaire par rapport aux obstacles est prévue. 5 Les autorités aériennes ont défini un niveau de sécurité visé TLS (« Target Level of Safety » en anglais) de 10-7 par heure de vol. Dans le cas des opérations RNP AR, comme les valeurs RNP peuvent descendre jusqu'à 0,1 NM et les obstacles peuvent être situés à deux fois la valeur RNP de la trajectoire de référence, cet objectif se traduit par une probabilité que l'aéronef sorte du couloir 10 de demi-largeur D=2.RNP qui ne doit pas excéder 10-7 par heure de vol. La présente invention s'applique à un ensemble de gestion de vol comprenant deux chaînes de guidage pourvues, chacune, d'un système de gestion de vol, de type FMS (« Flight Management System » en anglais). 15 ETAT DE LA TECHNIQUE Les équipements embarqués à bord d'un aéronef et notamment l'ensemble de gestion de vol doivent permettre d'atteindre le niveau de sécurité visé, si l'aéronef doit mettre en oeuvre des opérations à performances de 20 navigation requises avec autorisation requise de type RNP AR. L'objectif est d'avoir la capacité de voler les procédures RNP AR avec des valeurs RNP jusqu'à 0,1 NM, et ceci sans restriction (en situation normale et en cas de panne) en départ, approche et remise de gaz. Or, pour qu'un aéronef ait la capacité de voler de telles procédures RNP 25 AR, il est nécessaire notamment de pouvoir éliminer de la boucle de guidage une source erronée de calcul d'ordres (ou consignes) de guidage, afin de contrer ses éventuels effets sur la trajectoire de l'aéronef. Pour pouvoir mettre en oeuvre une opération de type RNP 0,1, l'ensemble de gestion de vol doit permettre de respecter une sévérité de type « hazardous » 30 (dangeureux) en cas de perte ou d'erreur des consignes de guidage. De plus, il faut que, en cas de détection d'un calcul erroné, l'aéronef puisse continuer à être guidé en mode automatique pour être maintenu dans le couloir RNP. 3044116 3 Avec un ensemble de gestion de vol à deux systèmes de gestion de vol, en cas de désaccord entre les deux systèmes de gestion de vol, l'ensemble n'est pas capable d'identifier celui qui est défectueux, et l'aéronef ne peut donc plus être guidé en mode automatique et n'est pas en mesure de mettre en oeuvre de 5 telles opérations RNP. EXPOSÉ DE L'INVENTION La présente invention a pour objet de remédier à cet inconvénient. 10 Elle concerne un ensemble de gestion de vol d'un aéronef, permettant de mettre en oeuvre des opérations RNP telles que précitées, ledit ensemble de gestion de vol comprenant deux chaînes de guidage pourvues, chacune, d'un système de gestion de vol, chacun desdits systèmes de gestion de vol étant configuré au moins pour extraire un plan de vol d'au moins une base de données 15 de navigation, pour construire une trajectoire de vol et pour calculer des ordres de guidage pour l'aéronef, ledit ensemble de gestion de vol comprenant également au moins un ensemble de surveillance configuré pour surveiller les systèmes de gestion de vol. Selon l'invention, ledit ensemble de surveillance comporte : 20 - une unité de surveillance, ladite unité de surveillance comprenant : - un élément de réception configuré pour recevoir une trajectoire de vol, construite par l'un desdits systèmes de gestion de vol, et un plan de vol consolidé ; - une unité de vérification configurée pour vérifier si la trajectoire de vol 25 reçue est valide en prenant en compte le plan de vol consolidé reçu, le système de gestion de vol ayant construit la trajectoire de vol étant considéré comme défectueux si la trajectoire de vol est considérée comme non valide par l'unité de vérification ; et - une unité de calcul configurée pour calculer, en cas de validation de la 30 trajectoire de vol, un ordre de guidage de l'aéronef, à partir de cette trajectoire de vol valide, et d'une position courante de l'aéronef ; et 3044116 4 - une unité de comparaison configurée pour réaliser une comparaison entre les ordres de guidage calculés, respectivement, par chacun des deux systèmes de gestion de vol et par ladite unité de calcul de l'unité de surveillance de manière à pouvoir, le cas échéant, détecter et identifier un système de gestion de vol 5 défectueux. Ainsi, grâce à cette architecture, l'ensemble de surveillance est apte à identifier un système de gestion de vol défectueux afin de permettre de guider l'aéronef à l'aide d'un système de gestion de vol non défectueux, ce qui, comme précisé ci-dessous, permet à l'aéronef d'avoir la capacité de voler des opérations 10 de type RNP telles que précitées, et de remédier à l'inconvénient précité. De façon avantageuse, ledit ensemble de surveillance comporte une unité de validation consistant à valider ledit plan de vol consolidé, à l'aide des plans de vol extraits par lesdits systèmes de gestion de vol. En outre, avantageusement, l'élément de réception est configuré pour 15 recevoir l'une des trajectoires de vol suivantes : - si l'un desdits systèmes de gestion de vol est un système de gestion de vol maître et l'autre desdits systèmes de gestion de vol est un système de gestion de vol esclave, la trajectoire de vol construite par le système de gestion de vol maître ; 20 - sinon, parmi les deux trajectoires de vol construites respectivement par les deux systèmes de gestion de vol celle qui satisfait au mieux un critère prédéterminé. Par ailleurs, avantageusement, chacun desdits systèmes de gestion de vol et ladite unité de surveillance sont hébergés dans des équipements différents. En outre, de façon avantageuse, ledit ensemble de gestion de vol 25 comprend au moins un calculateur de guidage, et ladite unité de comparaison est intégrée dans ledit calculateur de guidage. La présente invention concerne également un procédé de surveillance d'un ensemble de gestion de vol tel que décrit ci-dessus. Selon l'invention, ledit procédé de surveillance comprend les étapes 30 successives suivantes : 3044116 5 - une étape de réception, mise en oeuvre par un élément de réception et consistant à recevoir une trajectoire de vol construite par l'un desdits systèmes de gestion de vol, ainsi qu'un plan de vol consolidé ; - une étape de vérification, mise en oeuvre par une unité de vérification et 5 consistant à vérifier si la trajectoire de vol reçue est valide en prenant en compte le plan de vol consolidé reçu, le système de gestion de vol ayant construit la trajectoire de vol étant considéré comme défectueux si la trajectoire de vol est considérée comme non valide ; - une étape de calcul, mise en oeuvre par une unité de calcul et consistant à 10 calculer, lorsque la trajectoire de vol est considérée comme valide, un ordre de guidage de l'aéronef, à partir de cette trajectoire de vol valide, et d'une position courante de l'aéronef ; et - une étape de comparaison, mise en oeuvre par une unité de comparaison et consistant à réaliser une comparaison entre les ordres de guidage calculés, 15 respectivement, par chacun desdits systèmes de gestion de vol et l'ordre de guidage calculé à ladite étape de calcul, de manière à pouvoir, le cas échéant, détecter et identifier un système de gestion de vol défectueux. Avantageusement, l'étape de réception consiste à recevoir la trajectoire de vol à chaque fois que cette trajectoire de vol est modifiée. 20 En outre, de façon avantageuse, ledit procédé comprend une étape de validation consistant à déterminer ledit plan de vol consolidé, à l'aide des plans de vol extraits par lesdits systèmes de gestion de vol. De préférence, l'étape de validation consiste à réaliser un contrôle de redondance cyclique de type CRC (« Cyclic Redundancy Check » en anglais). Le plan de vol consolidé est le résultat 25 de cette étape de validation. De préférence, chaque système de gestion de vol extrait son plan de vol et calcule un code CRC, le système de gestion de vol maître envoie son plan de vol et le code CRC à l'unité de surveillance, le système de gestion de vol esclave peut se contenter de n'envoyer que le code CRC, et l'unité de surveillance vérifie que les deux codes CRC sont équivalents. Si cela est 30 le cas, le plan de vol reçu du système de gestion de vol maître est validé, sinon l'unité de surveillance redemande une extraction aux deux systèmes de gestion de 3044116 6 vol, et si après plusieurs essais, les codes CRC ne sont toujours pas équivalents, l'opération est annulée. Par ailleurs, avantageusement, l'étape de vérification consiste à construire un couloir de type RNP autour du plan de vol et à vérifier si la trajectoire de vol est 5 située à l'intérieur de ce couloir. De préférence, l'étape de vérification consiste à : - déterminer à quel segment du plan de vol appartient un échantillon de la trajectoire de vol vérifiée, le segment ainsi déterminé étant considéré comme un segment de calcul ; - calculer un écart latéral entre cet échantillon de la trajectoire de vol et ledit 10 segment de calcul du plan de vol ; et - comparer cet écart latéral à un domaine de valeurs possibles dépendant au moins d'une valeur RNP, les étapes précédentes étant mises en oeuvre pour une pluralité d'échantillons ; et - valider la trajectoire de vol si, pour tous les échantillons considérés, les écarts 15 latéraux sont situés à l'intérieur des domaines de valeur correspondants. Avantageusement, le domaine de valeurs pour un écart latéral correspond : - à [- RNP ; + XTKmax ], XTKmax étant une valeur maximale dépendant de deux segments rectilignes successifs, si la partie de trajectoire de vol considérée 20 comprend lesdits deux segments rectilignes successifs non alignés ; et - à [- RNP ; + RNP ], sinon. En outre, avantageusement : - l'étape de calcul utilise, comme position courante de l'aéronef, une position consolidée, pour calculer l'ordre de guidage ; et/ou 25 - l'étape de comparaison consiste à réaliser un vote entre les ordres de guidage calculés, respectivement, par chacun desdits systèmes de gestion de vol et l'ordre de guidage calculé à ladite étape de calcul, de manière à conserver la valeur médiane. La présente invention concerne également un aéronef, en particulier un 30 avion de transport, qui est pourvu d'un ensemble de gestion de vol tel que celui spécifié ci-dessus. 3044116 7 BRÈVE DESCRIPTION DES FIGURES Les figures annexées feront bien comprendre comment l'invention peut être réalisée. Sur ces figures, des références identiques désignent des éléments 5 semblables. Plus particulièrement : - la figure 1 est le schéma synoptique d'un mode de réalisation particulier d'un ensemble de gestion de vol d'un aéronef ; - la figure 2 est le schéma synoptique d'une unité de surveillance de l'ensemble de gestion de la figure 1 ; 10 - la figure 3 est un schéma montrant la position d'un aéronef volant suivant une trajectoire de vol par rapport à un plan de vol ; - la figure 4 est le schéma synoptique d'un mode de réalisation particulier d'un procédé de surveillance. 15 DESCRIPTION DÉTAILLÉE La figure 1 montre schématiquement un ensemble de gestion de vol 1 d'un aéronef, en particulier d'un avion de transport, qui permet d'illustrer l'invention. 20 Cet ensemble de gestion de vol 1 qui est embarqué sur l'aéronef, comprend deux chaînes de guidage 2A et 2B pourvues, chacune, d'un système de gestion de vol 3A et 3B de type FMS (« Flight Management System » en anglais). Les deux systèmes de gestion de vol 3A et 3B sont indépendants et sont hébergés dans des équipements (« hardware » en anglais) différents. 25 Chacun desdits systèmes de gestion de vol 3A et 3B est configuré, comme précisé ci-dessous, pour au moins : - extraire un plan de vol d'au moins une base de données de navigation associée ; - construire une trajectoire de vol ; et - calculer des ordres (ou consignes) de guidage pour l'aéronef, notamment des 30 ordres de commande de roulis. 3044116 8 Ledit ensemble de gestion de vol 1 comprend également au moins un ensemble de surveillance 4 configuré pour surveiller les systèmes de gestion de vol 3A et 3B. Selon l'invention, ledit ensemble de surveillance 4 comporte, comme 5 représenté sur la figure 1 : - une unité de surveillance 5 (« NMS » pour « Navigation Monitoring System » en anglais), ladite unité de surveillance 5 comprenant comme montré sur la figure 2 : - un élément de réception 6 (« RECEPTION UNIT » en anglais), configuré pour recevoir une trajectoire de vol construite par l'un desdits systèmes de 10 gestion de vol 3A, et 3B, ainsi qu'un plan de vol consolidé ; - une unité de vérification 7 (« VERIFICATION UNIT » en anglais), qui est reliée par l'intermédiaire d'une liaison 8 à l'élément de réception 6 et qui est configurée pour vérifier si la trajectoire de vol reçue est valide en prenant en compte le plan de vol consolidé reçu. Le système de gestion de vol qui a 15 construit la trajectoire de vol est considéré comme défectueux si la trajectoire de vol est considérée comme non valide par l'unité de vérification 7 ; et - une unité de calcul 9 (« COMPUTATION UNIT » en anglais), qui est reliée par l'intermédiaire d'une liaison 24 à l'unité de vérification 7 et qui est 20 configurée pour calculer, en cas de validation de la trajectoire de vol, un ordre de guidage de l'aéronef, à partir de cette trajectoire de vol valide, ainsi que d'une position courante de l'aéronef ; et - une unité de comparaison 10, par exemple un voteur, configurée pour réaliser une comparaison, notamment sous forme d'un vote (« VOTE » en anglais), entre 25 les ordres de guidage, de préférence des ordres de commande de roulis, calculés, respectivement, par chacun des deux systèmes de gestion de vol 3A et 3B et par l'unité de calcul 9 de l'unité de surveillance 5 et reçus respectivement via des liaisons 11A, 11 B et 12 de manière à pouvoir, le cas échéant, détecter et identifier un système de gestion de vol défectueux. 30 On entend par système de gestion de vol défectueux, un système de gestion de vol qui calcule et émet au moins un ordre (ou consigne de guidage) qui est erroné. 3044116 9 L'unité de surveillance 5 peut notamment correspondre à un calculateur dédié ou être mise en oeuvre au moyen d'un calculateur avionique modulaire de type IMA (« Integrated Modular Avionics » en anglais). En outre, l'unité de vérification 7 peut notamment correspondre à une 5 fonction mise en oeuvre de façon logicielle dans l'unité de surveillance 5. Il en est de même de l'unité de calcul 9. Dans un mode de réalisation particulier, le guidage de l'aéronef est réalisé selon des données (et notamment des ordres de guidage) fournies par l'une seulement desdites deux chaînes de guidage 2A et 2B, dite chaîne de guidage 10 active. Dans un autre mode de réalisation (préféré), la valeur médiane de trois données (notamment des ordres de guidage) générées, respectivement, par les systèmes de gestion de vol 3A et 3B et par l'unité de surveillance 5, est retenue, et l'aéronef peut ainsi être guidé sur des données calculées par l'unité de surveillance 5 le cas échéant. 15 Par ailleurs, l'ensemble de gestion de vol 1 comprend un commutateur usuel configuré pour, en cas de détection par l'ensemble de surveillance 4 d'un système de gestion de vol défectueux (par exemple le système de gestion de vol 3A) et si la chaîne de guidage active est celle comprenant ce système de gestion de vol défectueux (la chaîne de guidage 2A dans cet exemple), générer une 20 commutation consistant à rendre active l'autre desdites deux chaînes de guidage 2A et 2B (à savoir la chaîne de guidage 2B dans cet exemple). L'ensemble de surveillance 4 est ainsi apte à isoler un système de gestion de vol défectueux afin de permettre à l'équipage de réaliser une opération RNP, avec un temps de réponse acceptable. 25 Le système de gestion de vol 3A, et le système de gestion de vol 3B et l'unité de surveillance 5 sont tous hébergés dans des équipements (« hardware ») différents. Comme représenté sur la figure 1, chaque chaîne de guidage 2A, 2B comprend un ensemble 13A, 13B de capteurs usuels (« DATA GENERATION 30 UNIT » en anglais), pour générer des données et plus précisément pour déterminer (mesurer, calculer,...) les valeurs de paramètres liés à l'état (position, vitesse,...) de l'aéronef et à son environnement (température,...). Ces valeurs sont 3044116 10 fournies via une liaison 14A, 14B de l'ensemble 13A, 13B au système de gestion de vol 3A, 3B correspondant (« correspondant » signifiant qui fait partie de la même chaîne de guidage 2A, 2B). Les ensembles 13A et 13B sont également reliés par l'intermédiaire de liaisons 15A et 15B à l'unité de surveillance 5. 5 Chaque système de gestion de vol 3A, 3B extrait la procédure RNP d'une base de données 16A, 16B (intégrée) avant l'opération et la charge dans un plan de vol 17A, 17B (« FLPN » pour « Flight Plan » en anglais). Les deux plans de vol sont soumis à au moins une unité de validation 18A, 18B (via une liaison 22) intégrée par exemple dans le système de gestion de 10 vol correspondant et faisant partie de l'ensemble de surveillance 4. La ou les unités de validation 18A, 18B (« CROSS CHECK ») comparent entre eux les plans de vol extraits par les systèmes de gestion de vol 3A et 3B pour les valider et obtenir un plan de vol consolidé qui est, notamment, envoyé à l'unité de surveillance 5 via une liaison 23A, 23B. 15 L'unité de validation 18A, 18B réalise, de préférence, un contrôle de redondance cyclique de type CRC (« Cyclic Redundancy Check » en anglais). De plus, chaque système de gestion de vol 3A, 3B génère, à l'aide d'une unité de calcul de trajectoire 19A, 19B (« TRAJECTORY » en anglais), une trajectoire de vol prédite, pour tout le reste du vol sur la base de conditions 20 météorologiques, de performances de l'aéronef et de contraintes liées au plan de vol (validé). Ces données sont actualisées : - lors d'un évènement particulier (changement de plan de vol par exemple) ; et/ou - périodiquement (actualisation des données météorologique) ; et/ou - à l'approche d'une transition. 25 Chaque système de gestion de vol 3A, 3B génère, en outre, à l'aide d'une unité de calcul d'ordres de guidage 20A, 20B (« HPATH ») des ordres de guidage de l'aéronef. En outre, ledit ensemble de gestion de vol 1 comprend au moins un calculateur de guidage 21 (« FG » pour « Flight Guidance » en anglais). Dans un 30 mode de réalisation particulier (représenté sur la figure 1), l'unité de comparaison 10 est intégrée dans ledit calculateur de guidage 21. En variante, l'unité de 3044116 11 comparaison 10 peut être intégrée dans l'unité de surveillance 5 et indiquer au calculateur de guidage 21 la chaîne de guidage à considérer. L'unité de comparaison 10 réalise un vote entre les ordres de guidage calculés, respectivement, par chacun desdits systèmes de gestion de vol 3A et 3B 5 et l'ordre de guidage calculé par l'unité de calcul 9 de l'unité de surveillance 5, de manière à conserver la valeur médiane. Dans un mode de réalisation particulier (non représenté), chacune des deux chaînes de guidage 2A et 2B de l'ensemble de gestion de vol 1 comporte un calculateur de guidage de type FG. L'un desdits calculateurs de guidage, à savoir 10 le calculateur de guidage de la chaîne de guidage active, pilote des servocommandes usuelles de gouvernes de l'aéronef pour guider l'aéronef conformément aux consignes de guidage. Par ailleurs, l'élément de réception 6 de l'unité de surveillance 5 est configuré pour recevoir l'une des trajectoires de vol suivantes : 15 - si l'ensemble de gestion est de type maître/esclave avec l'un desdits systèmes de gestion de vol 3A et 3B un système de gestion de vol maître et l'autre desdits systèmes de gestion de vol 3A et 3B un système de gestion de vol esclave, la trajectoire de vol construite par le système de gestion de vol maître ; - sinon, parmi les deux trajectoires de vol construites respectivement par les deux 20 systèmes de gestion de vol 3A et 3B, celle qui satisfait au mieux un critère prédéterminé, de préférence un critère de distance minimale par rapport au plan de vol. L'élément de réception 6 reçoit la trajectoire de vol à chaque fois que cette trajectoire de vol est modifiée. 25 Par ailleurs, l'unité de vérification 7 est configurée pour construire un couloir de type RNP autour du plan de vol et pour vérifier si la trajectoire de vol est située à l'intérieur de ce couloir. Dans un mode de réalisation préféré, l'unité de vérification 7 est configurée pour : 30 - déterminer à quel segment du plan de vol appartient un échantillon de la trajectoire de vol vérifiée, le segment ainsi déterminé étant considéré comme un segment de calcul ; 3044116 12 - calculer un écart latéral (ou écart de route) entre cet échantillon de la trajectoire de vol et ledit segment de calcul du plan de vol ; et - comparer cet écart latéral (« Cross Track » en anglais) à un domaine de valeurs possibles dépendant au moins d'une valeur RNP. 5 Les étapes précédentes sont mises en oeuvre pour une pluralité d'échantillons. L'unité de vérification 7 est configurée pour valider la trajectoire de vol si, pour tous les échantillons considérés, les écarts latéraux sont situés à l'intérieur des domaines de valeurs correspondants. 10 Dans un mode de réalisation préféré, le domaine de valeurs pour un écart latéral correspond : - à [- RNP ; + XTKmax ], XTKmax étant une valeur maximale dépendant des deux segments rectilignes successifs non alignés, si la partie de trajectoire de vol considérée comprend lesdits deux segments rectilignes successifs non alignés ; et 15 - à [- RNP ; + RNP ], sinon. Dans un mode de réalisation particulier, l'écart latéral est calculé : - pour un segment (« leg ») rectiligne, par un produit scalaire et l'utilisation du théorème de Pythagore ; et - pour un segment courbé, par la différence entre le rayon de courbe et la distance 20 du centre au point courant. Lorsque l'ensemble de surveillance 4 détecte la succession de deux segments rectilignes non alignés, la contrainte d'écart latéral est relâchée, et l'écart latéral autorisé de l'échantillon de la trajectoire de vol, par rapport au plan de vol, est compris entre -0.1 NM =-RNP et + XTKmax. 25 Dans l'exemple de la figure 3, la partie de la trajectoire de vol représentée comprend deux segments rectilignes TF1 et TF2, respectivement, entre les points de route (« waypoints » en anglais) W1 et W12 et entre les points de route W12 et W2. Les segments rectilignes TF1 et TF2 sont écartés l'un de l'autre d'un angle a (différent de 180°). L'aéronef AC vole le long d'une trajectoire courante TC. 30 Lorsque le segment actif est le segment TF1, XTKmax vérifie l'expression : XTKmax=d.tan(a) 3044116 13 avec d la distance entre le point W1 et la position courante de l'aéronef, tan la tangente et a l'angle entre TF1 et le segment 25 passant pour W1 et W2. En outre, lorsque le segment actif est le segment TF2, on utilise l'angle b. Sur la figure 3, on a également représenté 26 un obstacle à éviter. 5 Par ailleurs, l'unité de calcul 9 utilise, comme position courante de l'aéronef, une position consolidée à partir de données GPS et de données inertielles pour calculer l'ordre de guidage. L'ensemble de gestion de vol 1 repose donc sur une nouvelle architecture à deux systèmes de gestion de vol 3A et 3B, qui met en oeuvre une surveillance, 10 notamment, du calcul des ordres (ou consignes) de guidage. Chacun des systèmes de gestion de vol 3A et 3B est configuré pour réaliser également, en plus de l'élaboration des ordres de guidage pour asservir la position de l'aéronef sur la trajectoire, les calculs suivants : - un calcul de la position de l'aéronef ; 15 - un calcul de la trajectoire de l'aéronef ; et - un calcul de l'écart entre la position et la trajectoire de l'aéronef. Dans un mode de réalisation particulier, l'ensemble de surveillance 4 est configuré pour réaliser, en plus de la surveillance des ordres (ou consignes) de guidage, également les surveillances usuelles suivantes de calculs réalisés par les 20 systèmes de gestion de vol 3A et 3B : - une surveillance d'un calcul d'une position de l'aéronef ; - une surveillance d'une extraction d'une procédure RNP à partir d'une base de données de navigation 16A, 16B de type NDB (« Navigation Data Base » en anglais), la procédure RNP étant stockée dans la base de données de navigation 25 16A, 16B du système de gestion de vol 3A, 3B, et d'un chargement de la procédure dans un plan de vol ; et - une surveillance d'un calcul d'un ordre de guidage validé. L'ensemble de surveillance 4, tel que décrit ci-dessus, met en oeuvre les étapes successives El à E4 suivantes, comme illustré sur la figure 4 (en liaison 30 avec les figures 1 et 2) : 3044116 14 - une étape de réception E1, mise en oeuvre par 1"élément de réception 6 et consistant à recevoir une trajectoire de vol construite par l'un desdits systèmes de gestion de vol 3A et 3B, ainsi qu'un plan de vol consolidé ; - une étape de vérification E2, mise en oeuvre par l'unité de vérification 7 et 5 consistant à vérifier si la trajectoire de vol reçue est valide en prenant en compte le plan de vol consolidé reçu, le système de gestion de vol ayant construit la trajectoire de vol étant considéré comme défectueux si la trajectoire de vol est considérée comme non valide ; - une étape de calcul E3, mise en oeuvre par l'unité de calcul 9 et consistant à 10 calculer, lorsque la trajectoire de vol est considérée comme valide, un ordre de guidage de l'aéronef, à partir de cette trajectoire de vol valide, et d'une position courante de l'aéronef ; et - une étape de comparaison E4, mise en oeuvre par l'unité de comparaison 10 et consistant à réaliser une comparaison entre les ordres de guidage calculés, 15 respectivement, par chacun desdits systèmes de gestion de vol 3A, 3B et l'ordre de guidage calculé par l'unité de calcul 9, de manière à pouvoir, le cas échéant, détecter et identifier un système de gestion de vol défectueux. On obtient ainsi un procédé de surveillance (mis en oeuvre par l'ensemble de surveillance 4) de l'ensemble de gestion de vol 1, qui est rapide, simple, peu 20 coûteux et efficace. On décrit ci-après un exemple de mise en oeuvre, dans le cas particulier d'une architecture imposée par le système de gestion de vol 3A, c'est-à-dire telle que le calculateur de guidage 21 suit toujours les ordres de guidage du système de gestion de vol 3A, sauf lorsqu'ils ne sont pas valides, et cela même si les 25 ordres de guidage du système de gestion de vol 3A sont moins bons. A titre d'illustration cette mise en oeuvre présente les étapes suivantes : - le système de gestion de vol 3A envoie à l'unité de surveillance 5 (via la liaison 23A) la trajectoire de vol prédite calculée pour le reste du plan de vol, ainsi que le plan de vol qui a été préalablement consolidé (à l'aide de l'unité de validation 18A, 30 18B). Le plan de vol consolidé (qui est actualisé plus souvent que la trajectoire prédite) doit être envoyé de nouveau à chaque envoi de la (des) trajectoire(s) de vol prédite(s), et ce pour des raisons de synchronisation et de séquencement ; 3044116 15 - l'unité de surveillance 5 séquence la trajectoire et le plan de vol au fur et à mesure ; - l'unité de surveillance 5 calcule l'écart latéral (« Cross Track ») de chaque échantillon de la trajectoire prédite par rapport au segment de calcul du plan de 5 vol ; - l'unité de surveillance 5 valide la trajectoire de vol prédite si chaque échantillon mène à un écart latéral compris dans le domaine de valeurs autorisé ; - l'unité de surveillance 5 reçoit une position consolidée de l'ensemble 13A, 13B via la liaison 15A, 15B ; 10 - l'unité de surveillance 5 calcule (à l'aide de l'unité de calcul 9) un troisième ordre de guidage (loi HPATH) qu'elle envoie au calculateur de guidage 21 ; et - le calculateur de guidage 1 réalise un vote, à l'aide de l'unité de comparaison 21 (prise en compte de la valeur médiane). Ainsi, en cas de panne simple, si le système de gestion de vol 3A est en 15 panne : - si le système de gestion de vol 3A génère une mauvaise trajectoire prédite, cette situation est détectée par l'unité de surveillance 5 qui se base alors (afin de générer son ordre de guidage) : - soit sur la dernière trajectoire prédite générée par le système de gestion de 20 vol 3A, que l'unité de surveillance 5 avait validée ; - soit sur la trajectoire prédite par le système de gestion de vol 3B, que l'unité de surveillance 5 doit alors valider ; - si le système de gestion de vol 3A génère une trajectoire de vol prédite valide mais un mauvais ordre de guidage, l'unité de surveillance 5 génère un bon ordre 25 de guidage et le roulis commandé généré par le système de gestion 3A de vol est passivé immédiatement. L'ensemble de gestion de vol 1, tel que décrit ci-dessus, présente donc une architecture à base de deux systèmes de gestion de vol 3A et 3B et de surveillances (mises en oeuvre notamment par l'ensemble de surveillance 4), pour 30 pouvoir mettre en oeuvre des opérations de type RNP 0,1. L'ensemble de surveillance 4 comprend une unité de surveillance 5 qui est un calculateur beaucoup moins coûteux qu'un système de gestion de vol. En particulier, afin 3044116 16 d'alléger l'unité de surveillance 5, par rapport à un système de gestion de vol, elle ne comprend pas les fonctions suivantes (présentes dans un système de gestion de vol) : - une base de données de navigation ; 5 - une extraction de plan de vol de la base de données de navigation ; - une construction de la trajectoire de vol à partir du plan de vol et des données de l'aéronef. Cette architecture permet : - d'éviter d'avoir à installer un troisième système de gestion de vol (pour servir de 10 troisième source de vote), ce qui serait cher et compliqué, et moins sûr dans la mesure où la solution avec trois systèmes de gestion de vol est moins robuste à des pannes de mode commun ; - d'identifier le cas échéant un système de gestion de vol défectueux (en cas de calcul d'ordres de guidage erronés) permettant d'invalider le système de gestion 15 de vol défectueux et de poursuivre l'opération sur le système de gestion de vol restant non en panne, et si possible de resynchroniser le système de gestion de vol défectueux sur le système de gestion de vol non défectueux ; - d'obtenir un temps de réponse rapide avec une détection d'une éventuelle panne d'un système de gestion de vol avant même que l'ordre de guidage ait pu être 20 généré par ce dernier, ce qui permet de mettre en place une resynchronisation du système de gestion de vol en panne ; et - de mettre en oeuvre une passivation instantanée d'un des trois ordres de guidage erronés. REVENDICATIONS1. Ensemble de gestion de vol d'un aéronef, ledit ensemble de gestion de vol (1) comprenant deux chaînes de guidage (2A, 2B) pourvues, chacune, d'un système de gestion de vol (3A, 3B), chacun desdits systèmes de gestion de vol (3A, 3B) étant configuré au moins pour extraire un plan de vol d'au moins une base de données de navigation (16A,16B), pour construire une trajectoire de vol et pour calculer des ordres de guidage pour l'aéronef (AC), ledit ensemble de gestion de vol (1) comprenant également au moins un ensemble de surveillance (4) configuré pour surveiller les systèmes de gestion de vol (3A, 3B), caractérisé en ce que ledit ensemble de surveillance (4) comporte : - une unité de surveillance (5), ladite unité de surveillance (5) comprenant : - un élément de réception (6) configuré pour recevoir une trajectoire de vol, construite par l'un desdits systèmes de gestion de vol (3A, 3B), et un plan de vol consolidé ; - une unité de vérification (7) configurée pour vérifier si la trajectoire de vol reçue est valide en prenant en compte le plan de vol consolidé reçu, le système de gestion de vol ayant construit la trajectoire de vol étant considéré comme défectueux si la trajectoire de vol est considérée comme non valide par l'unité de vérification ; et - une unité de calcul (9) configurée pour calculer, en cas de validation de la trajectoire de vol, un ordre de guidage de l'aéronef, à partir de cette trajectoire de vol valide, et d'une position courante de l'aéronef ; et - une unité de comparaison (10) configurée pour réaliser une comparaison entre les ordres de guidage calculés, respectivement, par chacun des deux systèmes de gestion de vol (3A, 3B) et par ladite unité de calcul (9) de l'unité de surveillance (5) de manière à pouvoir, le cas échéant, détecter et identifier un système de gestion de vol défectueux. 2. Ensemble de gestion de vol selon la revendication 1, caractérisé en ce que ledit ensemble de surveillance (4) comporte une unité de validation (18A, 18B) consistant à valider ledit plan de vol consolidé, à l'aide des plans de vol extraits par lesdits systèmes de gestion de vol (3A, 3B). 3044116 18 3. Ensemble de gestion de vol selon l'une des revendications 1 et 2, caractérisé en ce que l'élément de réception (6) est configuré pour recevoir l'une des trajectoires de vol suivantes : - si l'un desdits systèmes de gestion de vol (3A, 3B) est un système de gestion de 5 vol maître et l'autre desdits systèmes de gestion de vol (3A, 3B) est un système de gestion de vol esclave, la trajectoire de vol construite par le système de gestion de vol maître ; - sinon, parmi les deux trajectoires de vol construites respectivement par les deux systèmes de gestion de vol (3A, 3B) celle qui satisfait au mieux un critère 10 prédéterminé. 4. Ensemble de gestion de vol selon l'une des revendications précédentes, caractérisé en ce que chacun desdits systèmes de gestion de vol (3A, 3B) et ladite unité de surveillance (4) sont hébergés dans des équipements différents. 15 5. Ensemble de gestion de vol selon l'une des revendications précédentes, caractérisé en ce qu'il comprend au moins un calculateur de guidage (21), et en ce que ladite unité de comparaison (10) est intégrée dans ledit calculateur de guidage (21). 20 6. Procédé de surveillance d'un ensemble de gestion de vol d'un aéronef, ledit ensemble de gestion de vol (1) comprenant deux chaînes de guidage (2A, 2B) pourvues, chacune, d'un système de gestion de vol (3A, 3B), chacun desdits systèmes de gestion de vol (3A, 3B) étant configuré au moins pour extraire un plan de vol d'au moins une base de données de navigation, pour construire une 25 trajectoire de vol et pour calculer des ordres de guidage pour l'aéronef (AC), caractérisé en ce qu'il comprend les étapes successives suivantes : - une étape de réception (El ), mise en oeuvre par un élément de réception (6) et consistant à recevoir une trajectoire de vol construite par l'un desdits systèmes de gestion de vol (3A, 3B), ainsi qu'un plan de vol consolidé ; 30 - une étape de vérification (E2), mise en oeuvre par une unité de vérification (7) et consistant à vérifier si la trajectoire de vol reçue est valide en prenant en compte le plan de vol consolidé reçu, le système de gestion de vol ayant construit la 3044116 19 trajectoire de vol étant considéré comme défectueux si la trajectoire de vol est considérée comme non valide ; - une étape de calcul (E3), mise en oeuvre par une unité de calcul (9) et consistant à calculer, lorsque la trajectoire de vol est considérée comme valide, un ordre de 5 guidage de l'aéronef, à partir de cette trajectoire de vol valide, et d'une position courante de l'aéronef ; et - une étape de comparaison (E4), mise en oeuvre par une unité de comparaison (10) et consistant à réaliser une comparaison entre les ordres de guidage calculés, respectivement, par chacun desdits systèmes de gestion de vol (3A, 3B) 10 et l'ordre de guidage calculé à ladite étape de calcul (E3), de manière à pouvoir, le cas échéant, détecter et identifier un système de gestion de vol défectueux. 7. Procédé selon la revendication 6, caractérisé en ce que l'étape de réception (El ) consiste à recevoir la trajectoire de vol à chaque fois que cette trajectoire de vol est modifiée. 15 8. Procédé selon l'une des revendications 6 et 7, caractérisé en ce qu'il comprend une étape de validation consistant à déterminer ledit plan de vol consolidé, à l'aide des plans de vol extraits par lesdits systèmes de gestion de vol (3A, 3B). 9. Procédé selon la revendication 8, 20 caractérisé en ce que l'étape de validation consiste à réaliser un contrôle de redondance cyclique. 10. Procédé selon l'une quelconque des revendications 6 à 9, caractérisé en ce que l'étape de vérification (E2) consiste à construire un couloir de type RNP autour du plan de vol et à vérifier si la trajectoire de vol est située à 25 l'intérieur de ce couloir. 11. Procédé selon l'une quelconque des revendications 6 à 10, caractérisé en ce que l'étape de vérification (E2) consiste à : - déterminer à quel segment du plan de vol appartient un échantillon de la trajectoire de vol vérifiée, le segment ainsi déterminé étant considéré comme un 30 segment de calcul ; - calculer un écart latéral entre cet échantillon de la trajectoire de vol et ledit segment de calcul du plan de vol ; et 3044 1 16 20 - comparer cet écart latéral à un domaine de valeurs possibles dépendant au moins d'une valeur RNP, les étapes précédentes étant mises en oeuvre pour une pluralité d'échantillons ; et - valider la trajectoire de vol si, pour tous les échantillons considérés, les écarts 5 latéraux sont situés à l'intérieur des domaines de valeurs correspondants. 12. Procédé selon la revendications 11, caractérisé en ce que le domaine de valeurs pour un écart latéral correspond : - à [- RNP ; + XTKmax ], XTKmax étant une valeur maximale dépendant de deux segments rectilignes successifs non alignés, si la partie de trajectoire de vol 10 considérée comprend lesdits deux segments rectilignes successifs non alignés ; et - à [- RNP ; + RNP ], sinon. 13. Procédé selon l'une quelconque des revendications 6 à 12, caractérisé en ce que l'étape de calcul (E3) utilise, comme position courante de l'aéronef, pour calculer l'ordre de guidage, une position consolidée. 15 14. Procédé selon l'une quelconque des revendications 6 à 13, caractérisé en ce que l'étape de comparaison consiste à réaliser un vote entre les ordres de guidage calculés, respectivement, par chacun desdits systèmes de gestion de vol (3A, 3B) et l'ordre de guidage calculé à ladite étape de calcul (E2), de manière à conserver la valeur médiane. 20 15. Aéronef, caractérisé en ce qu'il comprend un ensemble de gestion de vol (1) selon l'une quelconque des revendications 1 à 5.