FR 3070787 A1 20190308 FR 1700894 A 20170905 I Procédé, et système, de préparation de vol d'un drone L'invention se situe dans le domaine des aéronefs pilotés ou contrôlés à distance. Les drones sont pilotés à distance par des ordres sur les gouvernes ou des consignes simples (cap et altitude ou pente), ou de plus en plus via un pilote automatique embarqué, par des consignes de haut niveau, typiquement une consigne de trajectoire comportant des points GPS reliés par des segments droits ou circulaires. Une partie du vol peut s'effectuer hors de la vue du télé-pilote, qui le suivra depuis une station de pilotage distante. Le vol se déroule toujours sous la responsabilité du télé-pilote qui doit assurer le respect de la réglementation et la sécurité des personnes et des biens survolés. Par exemple, les petits drones doivent majoritairement voler à faible hauteur par rapport au terrain (moins de 150 m). Ils doivent éviter de survoler des zones interdites pour des raisons de sécurité (zones habitées), de sûreté (sites sensibles), de risques de conflit avec d'autres aéronefs, ou autres (bruit,...). Plus particulièrement, la présente invention concerne un procédé de préparation de vol d'un drone. Les contraintes à respecter pour préparer un vol ou une trajectoire de drone sont très nombreuses et leur matérialisation est portée par des fichiers de paramètres informatiques complexes, donc difficiles à vérifier humainement. Des autorités envisagent d'exiger sur les drones une fonction de gardiennage virtuel (en anglais « geofencing ») pour garantir les exclusions de zones, ainsi que les non-dépassements d'altitude, fonction pouvant aller jusqu'à bloquer le vol dans la zone autorisée et/ou empêcher le décollage hors zone autorisée, voire provoquer la chute en cas de sortie effective. Cette fonction pallierait aux erreurs de navigation du télé-pilote (mauvaise consigne) et /ou aux défauts du système de mesure de position et de guidage (qui doit exécuter la consigne). En ayant à rattraper sur le vif des situations de dépassement, une telle fonction peut cependant créer des situations délicates Par ailleurs, cette fonction ne vaut que par la qualité du fichier de limitation définissant les contraintes, qui est réellement chargé dans le drone. Un fichier erroné par rapport aux données étatiques d'origine, avec une contrainte manquante par exemple, ou mal positionnée, laissera le drone effectuer le survol interdit sans aucune réaction. De plus, il faut éviter les obstacles et des reliefs particuliers, durant le vol basse altitude, et le télé-pilote a des moyens limités de représentation de la situation réelle et de réaction à temps. 2 Enfin, la station de sol de télé-pilotage, qui participe à la sécurité du vol en donnant au télé-pilote la capacité de surveillance et d'envoi de nouvelles consignes de pilotage au drone, est généralement réalisée en privilégiant coût et mobilité, sans précautions particulières en termes de sûreté de fonctionnement. Une panne dans le 5 matériel ou un défaut dans le logiciel de la station peuvent en effet provoquer le non- affichage d'une information importante ou un affichage erroné de celle-ci ; de même la non-propagation ou l'insertion fausse d'une commande pilote sont d'autres évènements pouvant amener à une situation délicate, voire à la perte du drone. Le but de l'invention est alors de proposer une solution qui permette d'améliorer la 10 fiabilité du respect de la réglementation et la sécurité des personnes et des biens survolés par les drones, ainsi que la sécurité du vol du drone proprement dit. A cet effet, suivant un premier aspect, l'invention propose un procédé de préparation de vol d'un drone mis en oeuvre par l'exécution de programmes d'ordinateur, et caractérisé en ce qu'il comprend : 15 - une première étape consistant à élaborer, à l'aide d'un premier outil, une zone de vol et/ou un plan de vol du drone - la zone de vol, comprenant au moins un volume englobant avec marge la ou les trajectoires de vol prévues et étant destinée à permettre la vérification par un dispositif de surveillance et limitation automatique du vol du drone, que ce dernier 20 se trouve à l'intérieur de ladite zone de vol, - le plan de vol, comprenant une consigne de trajectoire comprenant une suite de coordonnées géographiques de points de passage successifs et étant destiné à être exécuté par le pilote automatique du drone, - ladite élaboration étant fonction d'un ensemble de contraintes à respecter 25 comprenant au moins des coordonnées géographiques de zones exclues de vol et/ou des caractéristiques techniques fonctionnelles du drone ; - une deuxième étape consistant à procéder, à l'aide d'un deuxième outil distinct du premier outil, à la vérification de la compatibilité de ladite zone de vol et/ou dudit plan de vol élaborés et dudit ensemble de contraintes. 30 L'invention propose ainsi la vérification de consignes de trajectoire ou de zone de vol, qui peut être mise en oeuvre avec un niveau de garantie important, correspondant à l'impact d'un défaut. Le procédé est utilisé avant le décollage du drone, ou avant l'envoi d'une modification de consigne en vol, pour vérifier les contraintes importantes que la trajectoire 35 doit respecter, et d'éventuelles marges et paramètres de vol. 3 Ceci permet de diminuer significativement le niveau d'exigences, en termes de fiabilité, sur la fonction de préparation de mission qui a élaboré ces consignes de trajectoire, et sur la station de pilotage, dans la mesure où la sécurité du vol et les respects des contraintes sont alors assurés par la consigne effectivement chargée. 5 Les interventions du télé-pilote sont limitées à la surveillance du comportement effectif du drone, et si le drone est de haute fiabilité, à quelques actions, comme l'initialisation de diversions ou d'atterrissage, qui peuvent elles-mêmes être pré-définies et pré-vérifiées. L'invention permet ainsi de garantir un niveau plus élevé de sécurité du vol, 10 respect de la réglementation et de sécurité des personnes et des biens survolés par les drones. Dans des modes de réalisation, le procédé de préparation de vol d'un drone suivant l'invention comporte en outre une ou plusieurs des caractéristiques suivantes : - ladite zone de vol et/ou ledit plan de vol élaborés ne sont chargés dans le drone 15 que si, lors de la deuxième étape, il a été déterminé que la zone de vol et/ou le plan de vol élaborés sont compatibles avec ledit ensemble de contraintes ; - un code d'intégrité est calculé en fonction de ladite zone de vol et/ou dudit plan de vol vérifiés et leur sont associés, en vue de détecter toute modification postérieure de ladite zone de vol et/ou dudit plan de vol vérifiés ; 20 Suivant un deuxième aspect, la présente invention propose un système de préparation de vol d'un drone, comprenant un premier outil et un deuxième outil, le premier outil étant adapté pour élaborer une zone de vol et/ou un plan de vol du drone en fonction d'un ensemble de contraintes à respecter comprenant au moins des coordonnées géographiques de zones exclues de vol et/ou des caractéristiques 25 techniques fonctionnelles du drone ; - la zone de vol, comprenant au moins un volume englobant avec marge la ou les trajectoires de vol prévues et étant destinée à permettre la vérification par un dispositif de surveillance et limitation automatique du vol du drone, que ce dernier se trouve à l'intérieur de ladite zone de vol, 30 - le plan de vol, comprenant une consigne de trajectoire comprenant une suite de coordonnées géographiques de points de passage successifs, reliés par des segments droits ou en arcs de cercle par exemple, et étant destiné à être exécuté par le pilote automatique du drone, le deuxième outil, distinct du premier outil, étant adapté pour vérifier la compatibilité de 35 ladite zone de vol et/ou dudit plan de vol élaborés et dudit ensemble de contraintes. 4 Ces caractéristiques et avantages de l'invention apparaîtront à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple, et faite en référence aux dessins annexés, sur lesquels : - la figure 1 représente une vue d'une plate-forme de pilotage de drone dans un 5 mode de réalisation de l'invention ; la figure 2 est un organigramme d'étapes mises en oeuvre dans un mode de réalisation de l'invention. La figure 1 représente une plate-forme de pilotage 10 d'un drone qui, dans un mode de réalisation de l'invention, comprend un bloc 1 de préparation de mission, un bloc 10 2 de vérification, un outil 3 de télé-pilotage et un bloc de pilotage embarqué 4. Le bloc de pilotage embarqué 4 est embarqué à bord d'un drone, non représenté, et comprenant par ailleurs, comme il est connu, un module de géolocalisation, par exemple GPS, des actionneurs adaptés pour être commandés par le bloc de pilotage embarqué 4, des capteurs, par exemple capteurs inertiels ou barométriques. 15 Le bloc 1 de préparation de mission, le bloc 2 de vérification, et l'outil 3 de télé- pilotage sont au sol dans le mode de réalisation considéré. Ils comportent chacun un micro-calculateur et une ou plusieurs mémoires. Le bloc 1 de préparation de mission, respectivement le bloc 2 de vérification et l'outil 3 de télé-pilotage, comporte dans une de ses mémoires, des instructions logicielles respectives, et est adapté pour mettre en 20 oeuvre, lorsqu'elles sont exécutées sur le micro-calculateur, les étapes telles que décrites ci-dessous en référence à la figure 2 et lui incombant. Le bloc 1 de préparation de mission, le bloc 2 de vérification et l'outil 3 de télé-pilotage comportent en outre chacun, dans le mode de réalisation considéré, une interface homme-machine permettant des interactions avec le télé-pilote du drone. 25 Dans le mode de réalisation considéré, les étapes d'un procédé 100 sont ainsi mises en oeuvre, en référence à la figure 2. Dans une étape 101, les informations suivantes sont fournies en entrée du bloc 1 de préparation de mission (par le télé-pilote ou par télétransmission depuis une ou diverses source(s)) ou ont été préalablement mémorisées dans une mémoire du bloc 1 de 30 préparation de mission : les éléments de trajectoire/circuit souhaités comprenant notamment un point de départ de trajectoire, un point de destination, et des points de passage ; des données définissant les contraintes de vol, comprenant par exemple des zones de restriction (zones interdites de survol, hauteurs minimales ou 35 maximales de survol de zone) et/ou de distances de garde vis-à-vis du terrain et obstacles, 5 - un fichier de paramètres du drone, comportant des données propres au drone utilisé, par exemple des capacités limites du drone à ne pas dépasser ... Le bloc 1 de préparation de mission établit alors, en fonction des éléments de trajectoire initialement souhaités et des contraintes de vol à respecter, la zone enveloppe du vol 5 et/ou le plan de vol du drone ou trajectoire de consigne à lui charger, et dans le mode de réalisation considéré, les diversions (i.e. des alternatives en cas de panne, perte de liaison radio : par exemple à quel point aller se poser et par quel chemin) à ce plan de vol, sous la forme d'un fichier dans le cas considéré. Le plan de vol et les diversions, destinés à être chargés dans le drone pour exécution par le pilote automatique, sont 10 établis par le bloc 1 de préparation de mission en mettant en oeuvre un algorithme permettant la prise en compte des contraintes sur le plan de vol en s'efforçant de réaliser le circuit souhaité et en proposant des modifications de sa demande à l'opérateur si nécessaire. La zone enveloppe de vol, englobant avec des marges la ou les trajectoire(s) prévue(s), est définie par exemple par une juxtaposition de volumes d'espace 15 cylindriques ou parallélépipédiques de hauteurs données, incluant éventuellement à l'intérieur des cylindres ou parallélépipèdes à éviter, de façon à être compatible de toutes les contraintes connues, et est destinée à être vérifiée par un dispositif de surveillance et limitation automatique durant le vol du drone. Ladite zone enveloppe de vol prévue intègre des marges dues aux erreurs possibles de mesure de position et /ou temps de 20 réactions et est également plus grande que le strict besoin initial afin de permettre en vol des modifications de la trajectoire sans la remettre en cause. Elle est cependant bornée pour réduire la taille du fichier à charger dans lequel elle est définie (fichier 'limite enveloppe de la zone agréée de vol') et ne pas embarquer toutes les zones et contraintes sans intérêt pour le vol considéré. 25 Le bloc 1 de préparation de mission délivre en sortie au bloc 2 de vérification, comme représenté par la flèche sur la figure 1 entre ces deux blocs un ou deux des fichiers suivants: - le fichier 'plan de vol' complet, avec un plan de vol et toutes ses diversions possibles ; 30 - le fichier 'limite enveloppe de la zone agréée de vol' ; Le fichier de paramètres du drone est mémorisé préalablement également dans le bloc 2 de vérification. Dans le mode de réalisation considéré, l'algorithme du bloc 1 de préparation de mission a été développé avec une faible exigence d'assurance qualité (au sens de 35 l'impact sécurité), mais comporte une grande capacité de calcul, apte à trouver des 6 optimisations tenant compte des caractéristiques exactes du drone, des facteurs coût/temps et des contraintes à respecter. Dans une étape 102, sur réception d'un ou deux de ces fichiers par le bloc 2 de vérification, ce dernier vérifie, dans le mode de réalisation considéré : 5 - la compatibilité du fichier 'limite enveloppe de la zone agréée de vol' avec les données étatiques et des bases de données relief terrain et obstacles, en fonction du drone (catégorie de masse conditionnant les restrictions par exemple) ; - la compatibilité du fichier 'plan de vol' avec les contraintes définies dans le 10 fichier 'limite enveloppe de la zone agréée de vol' (donc la compatibilité avec les zones interdites notamment) et d'éventuelles contraintes propres au drone (capacité de virage et de ressource, accélération maximum, consommation de carburant ou d'énergie, hauteur de garde au sol ou de distance de marge aux obstacles,...) contenues dans le fichier de paramètres du drone. 15 Le bloc 2 de vérification détermine ainsi un résultat « compatible » ou alors « non compatible ». Si le résultat est non compatible, l'opération 101 doit être reprise. Et si le résultat est « compatible », le bloc 2 de vérification génère dans un mode de réalisation une encapsulation du ou des fichiers, de façon à ce que toute modification/altération de ces fichiers par la suite soit détectable. Par exemple, un code d'intégrité du type code 20 détecteur d'erreur CRC (Cyclic Redundancy Check) ou un condensat ou 'hash code' type SHA-x est utilisé à cette fin. Le code d'intégrité du fichier 'plan de vol' peut inclure l'identification (et le code d'intégrité) du fichier 'limite de la zone agréée de vol' dont il dépend. Les fichiers, seulement après vérification soldée par un résultat « compatible » et 25 encapsulation éventuelle, sont fournis en entrée de l'outil 3 de télé-pilotage, comme représenté sur la figure 1, par la flèche entre les blocs 2 et 3. La vérification des deux fichiers plan de vol et zone enveloppe de vol par rapport aux différentes contraintes, puis leur encapsulation et éventuelle signature, est réalisée par le bloc 2 de vérification via un logiciel développé et qualifié par exemple au niveau 30 DAL A ou B suivant la norme RTCA D0178. Le matériel et le système d'exploitation du bloc 2 de vérification présentent une fiabilité minimum afin que la deuxième vérification du respect des contraintes ainsi réalisée apporte le niveau de confiance suffisant, supérieur au niveau de confiance, en termes de sécurité, associé au seul bloc 1 de préparation de mission. Cette vérification est faite avantageusement par un mode de calcul différent de 35 celui qui a conduit à l'élaboration des données de consignes du plan de vol. 7 Dans une étape 103, les deux fichiers délivrés par le bloc 2 de vérification et chargés dans l'outil 3 de télé-pilotage sont transmis par l'outil 3 de télé-pilotage au bloc de pilotage embarqué 4, comportant un calculateur de bord, du drone, par une liaison radio (comme représenté par la flèche sur la figure 1 entre les blocs 3 et 4), pour exécution. 5 Le bloc de pilotage automatique du bloc de pilotage embarqué 4 exécute ensuite le plan de vol, après vérification d'intégrité et d'authenticité des fichiers transmis.. La sécurisation de la transmission radio peut être limitée dans la mesure où le fichier des consignes est encapsulé, voire signé. Dans un mode de réalisation, un dispositif de surveillance de la chaine principale 10 de commande du bloc de pilotage embarqué 4, indépendant du dispositif de commande directe du drone, vérifie en cours de vol que la trajectoire effectivement suivie respecte les limitations définies par le fichier 'limite enveloppe de la zone agréée de vol et, lance une alerte ou émet une commande vol (par exemple, il bloque moteurs et gouvernes) en cas de dépassement; dans un autre mode de réalisation-, le bloc de pilotage 4 est réalisé 15 avec une haute fiabilité, et cette surveillance supplémentaire peut être considérée comme assurée implicitement (compatibilité déjà vérifiée au préalable). Le bloc de pilotage embarqué 4 est alors par exemple réalisé sous la forme d'une double chaine de commande (chaîne de commande A, chaîne de commande B), ces deux chaînes étant elles-mêmes réalisées en deux sous-ensembles commande/moniteur qui se surveillent. Si 20 par exemple, un défaut survient dans la partie commande de la chaîne de commande A, la partie surveillance le détectera, inhibera les sorties de la chaîne de commande A, et la chaîne de commande B -supposée en bonne santé- prendra la main en remplacement pour commander moteurs et gouvernes. Les chaînes de commande ou de surveillance s'entendent dans les deux cas comme constituées de tous les capteurs nécessaires et du 25 processeur et logiciel réalisant soit l'asservissement sur la trajectoire de consigne, soit la vérification des limites. Dans une étape 104 qui est l'étape du vol proprement dit après l'étape 103 de chargement, le suivi de l'évolution du drone est effectué par le télé-pilote via l'interface homme-machine de l'outil de télé-pilotage 3 (appelé parfois RPS pour « Remote Pilot 30 Station »). D'éventuelles entrées de demande de modification des consignes de trajectoire peuvent être effectuées également par le télé-pilote via l'interface homme-machine de l'outil de télé-pilotage 3, dans cette étape 104. Les modifications de consigne ainsi effectuées provoquent une nouvelle mise en oeuvre des étapes successives 102, 103, à l'exception de la redéfinition et revalidation de la zone de vol agréée si le nouveau 35 circuit désiré reste à l'intérieur. Il y aura uniquement dans ce cas régénération et revalidation du fichier plan de vol 8 Le filtrage des erreurs apporté par le passage systématique par l'étage de vérification (étape 102) permet de réduire le niveau de fiabilité et d'assurance qualité demandé à la station 3. Celui-ci sera alors dimensionné uniquement par le besoin de surveillance du respect par le drone de la consigne chargée, besoin qui peut être très 5 faible si le drone st lui-même très fiable. Grace à cette solution, le bloc de préparation de mission peut être complexifié pour proposer des optimisations poussées (sur des ordinateurs puissants avec des logiciels complexes) sans avoir à être qualifié en assurance process ou plateforme matérielle d'exécution. 10 Ceci relâche aussi les contraintes sur l'outil de télépilotage et notamment décharge le télé-pilote des vérifications de contraintes, très difficiles à assurer du fait du volume de données, de la distance ou du temps de réaction requis et limite les erreurs introductibles par le télé-pilote en appliquant la vérification après chaque entrée pilote et avant son envoi vers le drone. 15 Suivant les modes de réalisation de l'invention, la vérification porte sur les coordonnées géographiques des points successifs de la trajectoire, ou uniquement sur les limites horizontales et verticales d'une zone de vol en cas de trajectoire libre à l'intérieur, ou sur le respect d'un jeu de paramètres de vol propre au drone choisi. Dans le mode de réalisation considéré, les blocs de préparation de mission, bloc 20 de vérification et outil de télé-pilotage étaient constitués par des machines distinctes. Dans des variantes de réalisation, on pourra co-héberger deux fonctions sur un seul et même ordinateur, à condition de respecter les propriétés nécessaires pour la fiabilité globale. Par exemple, on pourra regrouper le bloc de vérification et l'outil de télé-pilotage sur un même ordinateur, à condition de maintenir la qualité du logiciel de vérification. Cet 25 ordinateur sera avantageusement qualifié en termes de matériel et de système d'exploitation en regard du niveau de qualité des logiciels supportés. Par contre, il est souhaitable de conserver la différentiation physique du bloc de préparation de mission et du bloc de vérification, afin de conserver le crédit de la vérification indépendante par ce dernier du résultat obtenu par le premier. De même que le bloc de vérification utilisera 30 avantageusement une conception différente du bloc de préparation pour mieux garantir l'efficacité de cette vérification. L'outil de télé-pilotage peut être réalisé par du logiciel exécuté sur une station de travail type PC portable pour mobilité. Une variante améliorant l'intégrité de l'affichage et des commandes pour la 35 sécurité du vol sera réalisée avec des logiciels développés suivant des méthodologies d'avionique civile type RCTA D0178, (niveau C ou D) et du matériel développé suivant 9 des méthodologies avionique civile type RTCA D0254, matériel qui si aussi conçu comme si destiné à être l'embarqué peut présenter des caractéristiques utiles en termes de robustesse aux environnements de la station sur le terrain (température, vibration, compatibilité électromagnétique, REVENDICATIONS1.- Procédé de préparation de vol d'un drone, ledit procédé mis en oeuvre par l'exécution de programmes d'ordinateur, étant caractérisé en ce qu'il comprend : - une première étape consistant à élaborer, à l'aide d'un premier outil (1), une zone de vol et/ou un plan de vol du drone - la zone de vol, comprenant au moins un volume englobant avec marge la ou les trajectoires de vol prévues et étant destinée à permettre la vérification par un dispositif de surveillance et limitation automatique du vol du drone (4), que ce dernier se trouve à l'intérieur de ladite zone de vol, - le plan de vol, comprenant consigne de trajectoire comprenant une suite de coordonnées géographiques de points de passage successifs, et étant destiné à être exécuté par le pilote automatique du drone, - ladite élaboration étant fonction d'un ensemble de contraintes à respecter comprenant au moins des coordonnées géographiques de zones exclues de vol et/ou des caractéristiques techniques fonctionnelles du drone ; - une deuxième étape consistant à procéder, à l'aide d'un deuxième outil (2) distinct du premier outil, à la vérification de la compatibilité de ladite zone de vol et/ou dudit plan de vol élaborés et dudit ensemble de contraintes. 2.- Procédé de préparation de vol d'un drone selon la revendication 1, selon lequel ladite zone de vol et/ou ledit plan de vol élaborés ne sont chargés dans le drone que si, lors de la deuxième étape, il a été déterminé que la zone de vol et/ou le plan de vol élaborés sont compatibles avec ledit ensemble de contraintes. 3.- Procédé de préparation d'un plan de vol d'un drone selon la revendication 1 ou 2, selon lequel un code d'intégrité est calculé en fonction de ladite zone de vol et/ou dudit plan de vol vérifiés et leur sont associés, en vue de détecter toute modification postérieure de ladite zone de vol et/ou dudit plan de vol vérifiés. 4.- Système de préparation de vol d'un drone, comprenant un premier outil (1) et un deuxième outil (2), le premier outil étant adapté pour élaborer une zone de vol et/ou un plan de vol du drone en fonction d'un ensemble de contraintes à respecter comprenant au moins des coordonnées géographiques de zones exclues de vol et/ou des caractéristiques techniques fonctionnelles du drone ; 11 - la zone de vol, comprenant au moins un volume englobant avec marge la ou les trajectoires de vol prévues et étant destinée à permettre la vérification par un dispositif de surveillance et limitation automatique du vol du drone (4), que ce dernier se trouve à l'intérieur de ladite zone de vol, 5 - le plan de vol, comprenant une consigne de trajectoire comprenant une suite de coordonnées géographiques de points de passage successifs et étant destiné à être exécuté par le pilote automatique du drone, le deuxième outil, distinct du premier outil, étant adapté pour vérifier la compatibilité de ladite zone de vol et/ou dudit plan de vol élaborés et dudit ensemble de contraintes. 10 5.- Système de préparation de vol d'un drone selon la revendication 4, adapté pour ne charger ladite zone de vol et/ou ledit plan de vol élaborés dans le drone que s'il a été déterminé par le deuxième outil que la zone de vol et/ou le plan de vol élaborés sont compatibles avec ledit ensemble de contraintes. 6.- Système de préparation d'un plan de vol d'un drone selon la revendication 4 ou 5, adapté pour calculer un code d'intégrité en fonction de ladite zone de vol et/ou dudit plan de vol vérifiés et le leur associer, en vue de détecter toute modification postérieure de ladite zone de vol et/ou dudit plan de vol vérifiés. 15 20