FR 3081596 A1 20191129 FR 1854303 A 20180523 Titre de l'invention Procédé de sauvegarde automatique en vol de la trajectoire d'un avion à commandes de vol électriques Arrière-plan de l'invention La présente invention se rapporte au domaine général de l'aéronautique, et concerne plus particulièrement les avions à commandes de vol électriques (communément dénommées « fly-by-wire » en anglais). Dans le domaine de l'aviation, les commandes de vol sont les systèmes de transmission qui font le lien entre les organes de pilotage (tels que le manche du pilote ou le pilote automatique) et les actionneurs de surfaces mobiles de l'avion (telles que les gouvernes aérodynamiques) permettant de modifier la trajectoire de l'avion. Les commandes de vol d'un avion ont longtemps été mécaniques (ou hydro-mécaniques) ; l'actionnement par le pilote des organes de pilotage permettant d'agir directement (par l'intermédiaire de câbles) sur les actionneurs de surfaces mobiles de l'avion afin de modifier leurs effets et ainsi la trajectoire de l'avion. Pour des raisons de fiabilité et de réduction de poids, les 20 commandes de vol mécaniques sont progressivement remplacées par des commandes de vol électriques (ou « fly-by-wire » en anglais). Grâce à ce type de commande de vol, le pilote de l'avion (ou le pilote automatique) transmet des consignes de pilotage de l'avion à un calculateur de vol qui, à partir de ces consignes de pilotage, calcule et transmet des signaux 25 électriques aux actionneurs de surfaces mobiles de l'avion pour permettre à l'avion de suivre la trajectoire souhaitée. En particulier, avec ce type de commande, le pilote ne détermine plus le mouvement des surfaces mobiles de l'avion à effectuer pour ensuite en contrôler les effets grâce à ses instruments de bord, mais il détermine le mouvement de l'avion 30 laissant au calculateur de vol le soin de commander les mouvements des surfaces mobiles de l'avion nécessaires pour effectuer la manoeuvre demandée en fonction de l'altitude, de la vitesse, etc. de l'avion. Par ailleurs, la sécurité d'un avion en vol est devenue un enjeu majeur notamment du fait de l'accroissement du trafic aérien mondial. Or, 35 avec les systèmes de commandes de vol actuels, le risque qu'une action humaine (volontaire ou involontaire) ne précipite un avion sur une cible au 2 sol ou sur le sol ou dans la mer reste élevé. En particulier, ces systèmes de commande ne permettent pas toujours d'éviter que des pirates ne s'emparent des commandes de l'avion pour le précipiter sur une cible au sol choisie ou qu'un pilote suicidaire ne précipite l'avion sur le sol ou en 5 mer. De même, les erreurs de navigation dans le plan horizontal ou le plan vertical conduisant à une collision avec le sol ou la mer d'un avion piloté en conditions normales de vol (c'est-à-dire hors perte de contrôle de l'appareil) ne peuvent pas toujours être empêchées. Pour limiter ces effets, certains avions sont équipés d'un 10 système d'avertissement de proximité sol, communément appelé GPWS pour « Ground Proximity Warning System » en anglais. Ce système consiste en un système de surveillance qui est couplé au radioaltimètre de l'avion et qui donne au pilote des alarmes sonores et visuelles en cas de conditions de vol dangereuses proches du sol. Cependant, ce système de 15 surveillance ne détecte que la proximité du sol à la verticale de l'avion. Un système de surveillance plus évolué, dénommé EGPWS pour « Enhanced Ground Proximity Warning System » en anglais, permet, en plus de l'émission d'alarmes, de montrer au pilote sur l'écran de navigation le relief autour de l'avion et de donner des consignes de pilotage de sauvegarde de l'avion qui sont à exécuter par le pilote pour éviter la collision avec le sol ou la mer. Le système de surveillance EGPWS n'est toutefois pas entièrement satisfaisant. En particulier, les consignes de pilotage de sauvegarde de l'avion émis par ce système de surveillance sont généralement à exécuter dans un laps de temps très court qui n'est pas toujours approprié pour éviter la collision. De plus, ce système de surveillance ne permet pas d'éviter une action humaine volontaire pour précipiter l'avion contre une cible ou contre le sol ou en mer (cas d'un pirate ayant pris le contrôle de l'avion ou d'un pilote suicidaire). Objet et résumé de l'invention La présente invention a donc pour but principal de proposer un procédé de sauvegarde de la trajectoire en vol d'un avion qui ne présente pas les inconvénients des systèmes de surveillance précités. 3 Conformément à l'invention, ce but est atteint grâce à un procédé de sauvegarde automatique en vol de la trajectoire d'un avion à commandes de vol électriques, dans lequel : en conditions normales de vol, un pilote de l'avion transmet des 5 consignes de pilotage de l'avion à un calculateur de vol qui, à partir de ces consignes de pilotage, calcule et transmet des signaux électriques aux actionneurs de surfaces mobiles de l'avion pour permettre à l'avion de suivre une trajectoire demandée par le pilote ; en cas de détection par le calculateur de vol du franchissement 10 par l'avion d'une surface d'alerte prédéfinie associée à un espace interdit de vol, un système de contrôle de l'avion désinhibe automatiquement les consignes de pilotage provenant du pilote et calcule une trajectoire de sécurité permettant à l'avion d'éviter de pénétrer à l'intérieur de l'espace interdit de vol, ladite trajectoire de sécurité étant convertie en signaux 15 électriques qui sont transmis directement aux actionneurs de surfaces mobiles de l'avion pour effectuer la manoeuvre de mise en sécurité de l'avion en excluant une quelconque action de la part du pilote. Le procédé selon l'invention est remarquable en ce qu'en cas de détection d'un franchissement par l'avion d'une surface d'alerte prédéfinie 20 associée à un espace interdit de vol, un système de contrôle permet de désinhiber toute action de pilotage provenant du poste de pilotage (soit directement par la commande manuelle de pilotage, soit indirectement par l'ordinateur de pilotage automatique), de prendre le contrôle du calculateur de vol afin de calculer et d'appliquer directement aux 25 actionneurs des surfaces mobiles de l'avion des signaux électriques permettant d'adopter une trajectoire de sécurité qui empêche l'avion de pénétrer à l'intérieur de l'espace interdit de vol. De la sorte, toute action humaine volontaire ou involontaire tendant à précipiter l'avion sur le sol, dans la mer ou sur un site à protéger (cas d'un pirate ayant pris le 30 contrôle de l'avion ou d'un pilote suicidaire) sera annihilée. De plus, les consignes de pilotage de sauvegarde de l'avion seront directement implémentées par le système de contrôle en excluant une quelconque action de la part du pilote. La mise en oeuvre du procédé selon l'invention requiert la 35 création d'une base de données contenant les altitudes de sécurité aéronautiques pour l'ensemble des points du globe terrestre. 4 Typiquement, ces altitudes de sécurité pourront être de simples données à ajouter aux bases de données déjà utilisées dans le monde aéronautique pour la navigation aérienne (par exemple aux cartes éditées par le Service Information Aéronautique). 5 L'espace interdit de vol peut englober les coordonnées géographiques d'un site terrestre à protéger (bâtiment, ville, centrale, etc.), auquel cas il est avantageusement délimité à l'extérieur par une surface infranchissable, la surface d'alerte associée à l'espace interdit de vol étant positionnée autour de la surface infranchissable. 10 Dans ce cas, la surface infranchissable d'un espace interdit de vol peut se présenter sous la forme d'un tronc de cône circulaire formant au sol un cercle de centre centré sur le site à protéger. La génératrice du tronc de cône de la surface infranchissable d'un espace interdit de vol forme de préférence une pente dont l'angle par rapport à l'horizontal est 15 supérieur à celui formé par la trajectoire de l'avion lorsque celui-ci navigue avec ses moteurs coupés ou réduits et toutes traînées sorties. De préférence également, la trajectoire de sécurité comprend un virage amorcé dès que l'avion atteint la surface d'alerte en un point. L'espace interdit de vol peut également être délimité en altitude 20 par une surface infranchissable dont l'altitude est égale à une altitude de sécurité prédéterminée, la surface d'alerte associée à l'espace interdit de vol étant positionnée au-dessus de la surface infranchissable, la trajectoire de sécurité étant calculée pour amener et maintenir l'avion au-dessus de l'altitude de sécurité prédéterminée. 25 La surface infranchissable et la surface de sécurité peuvent comprendre chacune au moins un couloir aérien délimitant des trajectoires de vol à l'intérieur de l'espace interdit de vol pouvant être empruntées par l'avion en conditions normales de vol de façon à pouvoir quitter ou rejoindre un aéroport se situant à l'intérieur du site à protéger. 30 De préférence, la trajectoire de sécurité s'effectue à une altitude de vol au moins égale à une altitude de sécurité prédéterminée. De préférence également, dès la détection par le calculateur de vol que l'avion est en vol en espace autorisé, le système de contrôle de l'avion neutralise toute commande manuelle de coupure d'un système critique de l'avion en l'absence d'alerte indiquant la nécessité d'une telle manoeuvre. Cette fonctionnalité permet par exemple d'éviter au pilote de 5 couper volontairement les moteurs de l'avion lorsque ces derniers fonctionnent normalement. Cette fonctionnalité permet également d'éviter toute tentative de nuire au bon déroulement de l'action de sauvegarde de l'avion entreprise par le système de contrôle. La sécurité du procédé s'en 5 trouve accrue. De préférence encore, en cas de détection par le calculateur de vol du franchissement par l'avion d'une surface d'alerte prédéfinie, le système de contrôle de l'avion déverrouille automatiquement une porte d'accès au poste de pilotage de l'avion. Cette fonctionnalité peut 10 permettre aux occupants de la cabine de tenter de reprendre le contrôle de la situation dans le poste de pilotage de l'avion (cas d'un pirate ayant pris le contrôle de l'avion ou d'un pilote suicidaire). De préférence encore, en cas de détection par le calculateur de vol d'une dégradation de la performance avion ne permettant que le vol 15 en descente, et lorsque le calculateur détecte le franchissement par l'avion d'une surface d'alerte prédéfinie, le système de contrôle laisse le contrôle de la trajectoire au pilote pour lui permettre de tenter un atterrissage ou amerrissage dans la zone lui paraissant la plus favorable. L'invention concerne encore un programme d'ordinateur 20 comportant des instructions pour l'exécution des étapes du procédé de sauvegarde automatique en vol de la trajectoire d'un avion à commandes de vol électriques tel que défini précédemment. L'invention vise aussi un support d'informations lisible par un ordinateur et comportant des instructions d'un programme d'ordinateur tel 25 que mentionné ci-dessus. Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette 30 (floppy disc) ou un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier 35 téléchargé sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est 6 incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. Brève description des dessins 5 D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent des exemples de réalisation dépourvus de tout caractère limitatif. Sur les figures : - la figure 1 est une vue schématique d'une architecture de 10 commande de vol pour la mise en oeuvre du procédé selon l'invention ; - la figure 2 est une vue schématique de côté montrant un exemple de mise en oeuvre du procédé selon l'invention ; et - les figures 3A et 3B sont des vues schématiques de côté et de dessus, respectivement, d'un autre exemple de mise en oeuvre du procédé 15 selon l'invention. Description détaillée de l'invention L'invention concerne un procédé permettant de prendre de façon automatique et autonome le contrôle en vol d'un avion équipé de 20 commandes de vol électriques en vue de sa sauvegarde. La figure 1 représente de façon schématique un exemple d'architecture de commande de vol 2 pour la mise en oeuvre d'un tel procédé selon l'invention. En conditions normales de vol, un pilote de l'avion transmet des 25 consignes de pilotage de l'avion à un calculateur de vol 4. Cette transmission s'effectue soit de façon directe par l'intermédiaire d'une commande manuelle 6 (par exemple un mini-manche), soit de façon indirecte par activation d'un ordinateur de pilotage automatique 8. De façon connue, à partir de ces consignes de pilotage, le 30 calculateur de vol 4 calcule et transmet des signaux électriques 10 aux actionneurs 12 des différentes surfaces mobiles 14 de l'avion (notamment les gouvernes) pour permettre à l'avion de suivre une trajectoire demandée par le pilote. Bien entendu, l'invention couvre également le cas de tout autres signaux non mécaniques, tels que des signaux optiques ou 35 numériques par exemple. 7 Plus précisément, afin d'élaborer les signaux électriques adéquats, le calculateur de vol 4 échantillonne les consignes de pilotage, mais également d'autres données sur les conditions de vol telles que les données inertielles provenant de l'avion 16 et les positions des 5 actionneurs. Selon l'invention, il est prévu d'intercaler un système électronique de contrôle 18 (appelé ARLAS pour « Aircraft Recovery Last Avoidance System » en anglais) entre, d'une part la commande manuelle 6 et l'ordinateur de pilotage automatique 8, et d'autre part le calculateur 10 de vol 4. Ce système de contrôle 18 a pour fonction de prendre automatiquement le contrôle des commandes de l'avion en cas de détection d'une action humaine volontaire ou involontaire qui viserait à précipiter l'avion sur une cible choisie au sol ou au sol ou dans la mer. 15 A cet effet, au cours d'un vol, en cas de détection par le calculateur de vol du franchissement par l'avion d'une surface d'alerte prédéfinie SA associée à un espace interdit de vol E, le système de contrôle 18 de l'avion désinhibe automatiquement les consignes de pilotage provenant du pilote et calcule une trajectoire de sécurité Ts 20 permettant à l'avion d'éviter de pénétrer à l'intérieur de l'espace interdit de vol E. Par « désinhibition des consignes de pilotage provenant du pilote », on entend ici que le système de contrôle 18 court-circuite automatiquement les liaisons entre le calculateur de vol 4 et la commande 25 manuelle 6, d'une part, et les liaisons entre le calculateur de vol 4 et l'ordinateur de pilotage automatique 8, d'autre part. Ainsi, toute action du pilote sur le calculateur de vol (via la commande manuelle et l'ordinateur de pilotage automatique) est sans effet. La trajectoire de sécurité Ts qui est élaborée par le système de 30 contrôle 18 est ensuite convertie en signaux électriques qui sont transmis directement aux actionneurs 12 des surfaces mobiles 14 de l'avion pour effectuer automatiquement la manoeuvre de mise en sécurité de l'avion. De la sorte, le procédé selon l'invention permet d'éviter que l'avion ne vienne percuter un site à protéger, le sol ou la mer en toutes 35 circonstances, notamment lorsque cela provient d'une manoeuvre 8 volontaire du pilote (cas d'un pirate ayant pris le contrôle de l'avion ou cas d'un pilote suicidaire). L'espace interdit de vol E prend différentes formes. Comme représenté sur la figure 2, il peut notamment s'agir d'une zone de l'espace 5 aérien E qui se situe sous une altitude de sécurité prédéterminée As. Les altitudes de sécurité en tout point du globe terrestre sont répertoriées dans des bases de données de navigation typiquement utilisées dans le monde aéronautique pour la navigation aérienne (par exemple aux cartes éditées par le Service Information Aéronautique). Ces altitudes de sécurité 10 en chaque point du globe constituent une surface de sécurité terrestre. Dans ce cas, l'espace interdit de vol E est délimité en altitude par une surface infranchissable SI dont l'altitude est égale à l'altitude de sécurité As prédéterminée. A partir de cette surface infranchissable, on définit une surface d'alerte SA associée à l'espace interdit de vol, cette 15 surface d'alerte SA étant positionnée au-dessus de la surface infranchissable. Ainsi, dès que le calculateur de vol 4 détecte le franchissement par l'avion d'une surface d'alerte SA associée à un espace interdit de vol E, le système de contrôle 18 désinhibe automatiquement les consignes de 20 pilotage provenant du pilote et calcule une trajectoire de sécurité Ts pour amener et maintenir l'avion au-dessus de l'altitude de sécurité prédéterminée As correspondante. Cette trajectoire de sécurité Ts est calculée et convertie en signaux électriques qui sont transmis aux actionneurs des surfaces 25 mobiles de l'avion pour permettre à celui-ci d'éviter de franchir la surface infranchissable SI et ainsi de pénétrer à l'intérieur de l'espace interdit de vol E. Toute tentative par le pilote de percuter le sol ou la mer peut de la sorte être évitée. Comme représenté sur les figures 3A et 3B, l'espace interdit de 30 vol E peut également prendre la forme d'une zone de l'espace aérien qui englobe un site à protéger (par exemple une centrale nucléaire, une ville, etc.). Dans ce cas, l'espace interdit de vol E est délimité à l'extérieur par une surface infranchissable SI et englobe les coordonnées du site à protéger 20. 35 De façon avantageuse, les surfaces infranchissables SI délimitant un espace interdit de vol se présentent sous la forme d'un tronc 9 de cône circulaire formant au sol un cercle C de centre 0 centré sur le site à protéger, ce cercle ayant un rayon R. La génératrice de ce cône forme une pente dont l'angle a par rapport à l'horizontal est supérieur à celui formé par la trajectoire de l'avion (angle e par rapport à l'horizontal) 5 lorsque celui-ci navigue avec ses moteurs coupés (ou réduits) et toutes traînées sorties (trains, volets, spoilers, aérofreins, inverseurs de poussée, etc.). Pour chaque espace interdit de vol E, on définit une surface d'alerte SA qui se présente sous la forme d'un cône circulaire positionné 10 autour du cône de la surface infranchissable SI correspondante en lui étant coaxial. Cette surface d'alerte SA définit le seuil de déclenchement du système de contrôle 18 afin de mettre l'avion sur une trajectoire de sécurité Ts lui évitant de franchir la surface infranchissable SI et de pénétrer ainsi à l'intérieur de l'espace interdit de vol E. 15 Plus précisément, le cône de la surface d'alerte SA possède une génératrice qui forme une pente parallèle à la pente du cône de la surface infranchissable SI. Ces deux pentes sont distantes (en projection horizontale) d'une distance d' qui est constante quelle que soit l'altitude de l'avion. Par ailleurs, cette distance d' est choisie de sorte que lorsque 20 l'avion atteint la surface d'alerte SA, le système de contrôle 18 lui impose une trajectoire de sécurité Ts qui comprend un virage V lui permettant d'éviter de franchir la surface infranchissable SI et de pénétrer ainsi à l'intérieur de l'espace interdit de vol E. Le virage V de la trajectoire de sécurité Ts se présente sous la 25 forme d'un arc de cercle appartenant à un cercle C' centré sur un point 0' aligné avec le point I et ayant un rayon R' tel que le cercle C et le cercle C' soient tangents. De plus, ce virage s'effectue à une altitude de vol égale à l'altitude de sécurité As. Lorsque le calculateur de vol 4 détecte que l'avion atteint la 30 surface d'alerte SA en un point I, le système de contrôle 18 désinhibe automatiquement les consignes de pilotage provenant du pilote et du pilotage automatique et commande les actionneurs des surfaces mobiles de l'avion pour lui permettre de suivre le virage de la trajectoire de sécurité Ts qui lui permet d'éviter de franchir la surface infranchissable SI 35 et de pénétrer ainsi à l'intérieur de l'espace interdit de vol E. 10 On notera que les données de chaque espace interdit de vol E et des surfaces infranchissables SI et surface d'alerte SA qui leur sont associées (à savoir les altitudes en chaque point du globe terrestre dans le cas d'une zone de l'espace aérien qui se situe sous une altitude de 5 sécurité prédéterminée As; et les coordonnées du centre 0, rayon R du cercle C et pente a de la génératrice dans le cas d'un site à protéger) sont ajoutées à une base de données 19 (ci-après appelée « base de données ARLAS ») à laquelle est reliée le système de contrôle 18. Par ailleurs, cette base de données 19 est reliée au système de 10 gestion de vol 21 (appelé FMS pour « Flight Management System ») qui permet d'assister le pilote pendant le vol en lui fournissant des renseignements sur le pilotage, la navigation, les estimées, la consommation de carburant, etc. Selon une disposition avantageuse, dès que le calculateur de vol 15 4 détecte que l'avion est en vol en espace autorisé, le système de contrôle 18 de l'avion neutralise toutes les commandes manuelles accessibles de systèmes critiques de l'avion et toutes les commandes manuelles de coupure des différents systèmes critiques de l'avion en l'absence d'alerte indiquant la nécessité de les couper. Par systèmes critiques de l'avion, on 20 entend tous les systèmes indispensables au fonctionnement de l'avion, par exemple les moteurs. Par commandes manuelles accessibles de systèmes critiques de l'avion, on entend toutes les commandes ou disjoncteurs accessibles de systèmes critiques de l'avion (moteurs, commandes de vol, électricité, pneumatique, hydraulique, etc.) dont la manipulation volontaire 25 sans alarme serait sans effet. De la sorte, dès que l'avion est en vol, la coupure volontaire par le pilote d'un système critique de l'avion tel qu'un moteur fonctionnant normalement (c'est-à-dire sans indication d'incident technique mettant en péril son fonctionnement) est rendue impossible. 30 Selon une autre disposition avantageuse, lorsque le calculateur de vol 4 détecte un franchissement par l'avion d'une surface d'alerte SA prédéfinie, le système de contrôle 18 commande le déverrouillage automatique de la porte d'accès au poste de pilotage de l'avion. De plus, lorsque le calculateur de vol détecte une tentative de 35 coupure d'un système critique de l'avion en l'absence d'alerte indiquant la nécessité de le couper, le système de contrôle commande également le 11 déverrouillage automatique de la porte d'accès au poste de pilotage de l'avion. De la sorte, les personnes dans la cabine pourront tenter de reprendre le contrôle de la situation dans le poste de pilotage (par 5 exemple dans le cas d'un pirate ayant pris le contrôle de l'avion ou d'un pilote suicidaire). On notera que la surface infranchissable SI et la surface de sécurité SA peuvent comprendre au moins un couloir aérien délimitant des trajectoires de vol à l'intérieur de l'espace interdit de vol E pouvant être 10 empruntées par l'avion en conditions normales de vol de façon à pouvoir quitter ou rejoindre un aéroport se situant à l'intérieur du site à protéger. Il s'agit typiquement du cas d'une surface infranchissable englobant un aérodrome pour lequel il est nécessaire de permettre aux avions de franchir cette surface afin d'atterrir et de décoller, les avions étant alors 15 autorisés à emprunter ces couloirs aériens pour réaliser ces manoeuvres. On notera que les pentes des surfaces délimitant ces couloirs aériens sont supérieures à celle de la trajectoire d'avion lorsque celui-ci navigue avec ses moteurs coupés (ou réduits) et toutes traînées sorties (trains, volets, spoilers, aérofreins, inverseurs de poussée, etc.). 20 On notera encore que les surfaces impénétrables SI, les surfaces de sécurité SA et les couloirs aériens sont définis par des coordonnées géographiques (latitude et longitude) qui sont stockées dans la base de données ARLAS 19. Enfin, on notera qu'en cas de détection par le calculateur de vol 25 d'une dégradation de la performance avion ne permettant que le vol en descente, et lorsque le calculateur détecte le franchissement par l'avion d'une surface d'alerte prédéfinie SA, le système de contrôle laisse le contrôle de la trajectoire au pilote pour lui permettre de tenter un atterrissage ou amerrissage dans la zone lui paraissant la plus favorable. 30 Le calculateur de vol détectera une dégradation de la performance avion ne permettant que le vol en descente par exemple lorsque tous les moteurs sont coupés ou lorsque un ou plusieurs moteurs fonctionnent encore mais pour une autre raison (par givrage de la cellule), l'avion ne peut que descendre. Dans ce cas, le calculateur de vol détectera qu'avec 35 la manette des gaz des moteurs en fonctionnement de poussée maximum, l'avion étant à la vitesse (ou en dessous de la vitesse) de finesse maximale 12 associée à la configuration du moment, l'avion ne peut que descendre ou avoir une vitesse en régression. Dans des situations d'urgence détectées par le calculateur de vol (typiquement si l'avion est en situation dégradée à cause d'un vol 5 d'oiseaux ou de la présence d'un nuage volcanique ayant irrémédiablement endommagé tous les moteurs de l'avion par exemple), REVENDICATIONS1. Procédé de sauvegarde automatique en vol de la trajectoire d'un avion à commandes de vol électriques, dans lequel : en conditions normales de vol, un pilote de l'avion transmet des consignes de pilotage à un calculateur de vol (4) qui, à partir de ces consignes de pilotage, calcule et transmet des signaux électriques (10) aux actionneurs (12) de surfaces mobiles (14) de l'avion pour permettre à l'avion de suivre une trajectoire demandée par le pilote ; en cas de détection par le calculateur de vol du franchissement par l'avion d'une surface d'alerte prédéfinie (SA) associée à un espace interdit de vol (E), un système de contrôle (18) de l'avion désinhibe automatiquement les consignes de pilotage provenant du pilote et calcule une trajectoire de sécurité (Ts) permettant à l'avion d'éviter de pénétrer à l'intérieur de l'espace interdit de vol (E), ladite trajectoire de sécurité (Ts) étant convertie en signaux électriques qui sont transmis directement aux actionneurs de surfaces mobiles de l'avion pour effectuer la manoeuvre de mise en sécurité de l'avion en excluant une quelconque action de la part du pilote. 2. Procédé selon la revendication 1, dans lequel l'espace interdit de vol (E) englobe les coordonnées géographiques d'un site à protéger (20) et est délimité à l'extérieur par une surface infranchissable (SI), la surface d'alerte (SA) associée à l'espace interdit de vol étant positionnée autour de la surface infranchissable (SI). 3. Procédé selon la revendication 2, dans lequel la surface infranchissable (SI) d'un espace interdit de vol (E) se présente sous la forme d'un tronc de cône circulaire formant au sol un cercle (C) de centre (0) centré sur le site à protéger (20). 4. Procédé selon la revendication 3, dans lequel la génératrice du tronc de cône de la surface infranchissable (SI) d'un espace interdit de vol (E) forme une pente dont l'angle (a) par rapport à l'horizontal est supérieur à celui formé par la trajectoire de l'avion lorsque celui-ci navigue avec ses moteurs coupés ou réduits et toutes traînées sorties. 14 5. Procédé selon la revendication 4, dans lequel la trajectoire de sécurité (Ts) comprend un virage (V) amorcé dès que l'avion atteint la surface d'alerte en un point (I), ledit virage étant porté par un arc de 5 cercle appartenant à un cercle (C') centré sur un point (0') aligné verticalement avec le point (I) et ayant un rayon (R') tel que le cercle (C) et le cercle (C') soient tangents. 6. Procédé selon la revendication 1, dans lequel l'espace interdit 10 de vol (E) est délimité en altitude par une surface infranchissable (SI) dont l'altitude est égale à une altitude de sécurité (As) prédéterminée, la surface d'alerte (SA) associée à l'espace interdit de vol étant positionnée au-dessus de la surface infranchissable, la trajectoire de sécurité (Ts) étant calculée pour amener et maintenir l'avion au-dessus de l'altitude de 15 sécurité prédéterminée. 7. Procédé selon l'une quelconque des revendications 2 à 6, dans lequel la surface infranchissable (SI) et la surface de sécurité (SA) comprennent chacune au moins un couloir aérien délimitant des 20 trajectoires de vol à l'intérieur de l'espace interdit de vol (E) pouvant être empruntées par l'avion en conditions normales de vol de façon à pouvoir quitter ou rejoindre un aéroport se situant à l'intérieur du site à protéger. 8. Procédé selon l'une quelconque des revendications 1 à 7, 25 dans lequel la trajectoire de sécurité (Ts) s'effectue à une altitude de vol au moins égale à une altitude de sécurité (As) prédéterminée. 9. Procédé selon l'une quelconque des revendications 1 à 8, dans lequel en outre, dès la détection par le calculateur de vol que l'avion 30 est en vol en espace autorisé, le système de contrôle (18) de l'avion neutralise toute commande manuelle de coupure d'un système critique de l'avion en l'absence d'alerte indiquant la nécessité d'une telle manoeuvre. 10. Procédé selon l'une quelconque des revendications 1 à 9, 35 dans lequel, en cas de détection par le calculateur de vol du franchissement par l'avion d'une surface d'alerte prédéfinie (SA), le 15 système de contrôle (18) de l'avion déverrouille automatiquement une porte d'accès au poste de pilotage de l'avion. 11. Procédé selon l'une quelconque des revendications 1 à 10, 5 dans lequel, en cas de détection par le calculateur de vol d'une dégradation de la performance avion ne permettant que le vol en descente, et lorsque le calculateur détecte le franchissement par l'avion d'une surface d'alerte prédéfinie (SA), le système de contrôle laisse le contrôle de la trajectoire au pilote pour lui permettre de tenter un 10 atterrissage ou amerrissage dans la zone lui paraissant la plus favorable. 12. Programme d'ordinateur comportant des instructions pour l'exécution des étapes du procédé de sauvegarde automatique en vol de la trajectoire d'un avion à commandes de vol électriques selon l'une 15 quelconque des revendications 1 à 11. 13. Support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution des étapes du procédé de sauvegarde automatique en vol 20 de la trajectoire d'un avion à commandes de vol électriques selon l'une quelconque des revendications 1 à 11.