FR 2918764 A1 20090116 FR 0705091 A 20070713 1 La présente invention concerne un procédé de détermination de limite de protection autour d'une position d'un corps mobile calculée à partir de données satellitaires. Ce procédé peut notamment être mis en oeuvre pour la localisation d'un véhicule par exemple, dans le système de positionnement global connu sous l'acronyme GPS ("Global Positioning System"). ARRIERE PLAN DE L'INVENTION Classiquement, la localisation d'un véhicule, tel qu'un aéronef, est réalisée à partir, d'une part, de don-nées fournies par une centrale de mesure embarquée (incluant par exemple une centrale inertielle et un baroaltimètre) et, d'autre part, de données issues de signaux satellitaires provenant d'une constellation de satellites en orbite autour de la Terre. Les données issues de signaux satellitaires sont des distances (ou pseudodistances) séparant l'aéronef des satellites émetteurs des signaux satellitaires, qui sont calculées à partir de la position des satellites et de la durée nécessaires aux signaux pour parvenir jusqu'à l'aéronef. Le traitement combiné de ces données, par exemple au moyen d'un filtre de calcul de type KALMAN, permet de déterminer l'état de l'aéronef, c'est-à-dire notamment une position précise proche de la position réelle de l'aéronef, la vitesse et l'attitude de l'aéronef. Entre les réceptions de signaux satellitaires, la position de l'aéronef est extrapolée ou estimée à partir des données inertielles appliquées à la dernière position calculée. La position ainsi déterminée est périodiquement recalée à chaque réception de signaux satellitaires. La précision de la position calculée est toute-fois fortement sensible à une défaillance de la constellation de satellites, c'est-à-dire en cas d'une défaillance d'un satellite qui affecterait l'exactitude des données transmises et qui ne serait pas détectée, ou en 2 cas d'une défaillance simultanée ou de défaillances consécutives de deux satellites de la constellation (le ris-que de défaillance simultanée de trois satellites est tellement faible qu'il est en général négligé). Il est pour cette raison habituel de fournir au pilote de l'aéronef une limite ou un volume, dit de protection, centré sur la position calculée et représentatif de la précision de cette position en tenant compte du risque de défaillance d'un ou deux satellites. Le volume global de protection est un cylindre d'axe vertical défi-ni par son rayon et sa hauteur usuellement nommés HPL et VPL. La position réelle de l'aéronef, si elle ne coïncide pas exactement avec la position calculée, a une probabilité au plus égale à un seuil de sécurité acceptable (ou risque d'intégrité) de se trouver hors du volume global de protection. Le calcul du volume de protection suppose de dé-finir le risque d'intégrité en tenant compte de la probabilité d'une absence de défaillance, de la survenue d'une défaillance et de la survenue de deux défaillances de la constellation de satellites. Le calcul du volume de protection correspondant à chaque cas repose sur la distribution statistique de l'erreur de position. Le volume global de protection est déterminé de telle manière que le risque d'intégrité soit au moins égal à la probabilité pour que la position réelle soit dans le volume de protection. Il existe plusieurs méthodes de calcul de ce volume de protection. Le document US-A-2004239560 décrit une de ces méthodes de calcul. Les défaillances de la constellation de satellites ne sont cependant pas les seuls évènements à pouvoir affecter la précision de la position calculée. Ainsi, il arrive que les signaux subissent des réflexions, par exemple sur le relief, au cours du trajet des signaux vers le véhicule. Ces réflexions (on parle en général de 3 multi trajet) augmentent la durée séparant l'émission des signaux par les satellites et la réception des signaux par l'aéronef et faussent le calcul des pseudo-distances. Aux figures 2 et 3, ont été représentés deux exemples ex- trêmement simplifiés montrant l'impact de ces réflexions sur le calcul de la composante verticale de la position d'un aéronef à partir de seulement deux satellites. Les lignes y7 et y7' représentent les pseudo-distances séparant l'aéronef d'un satellite 2.7 respectivement en l'ab- sence de multi trajet et en présence de multi trajet, la ligne ya représente la pseudo-distance séparant l'aéronef d'un satellite 2.8 en l'absence de multi trajet. La position juste X; de l'aéronef est à l'intersection des lignes y7 et ya. On peut voir sur la figure 2, où l'aéronef est entre des satellites très écartés, que la position juste X; est au-dessus de la position faussée XF alors que c'est l'inverse à la figure 3 où Les satellites sont rapprochés. Ce dernier cas est particulièrement gênant dans le cas d'un aéronef pour lequel la précision de la compo- sante verticale par rapport à la surface terrestre est essentielle. Dans les procédés actuels, la limite de protection verticale est identique vers le haut ou vers le bas alors que, comme il l'est rappelé ci-dessus, une impréci- Sion dans l'un ou l'autre sens n'a pas les mêmes conséquences, en particulier dans certaines circonstances, notamment pour un aéronef en vol de basse altitude ou en phase d'atterrissage. En outre dans les procédés actuels la limite de protection verticale n'est pas robuste aux multi-trajets. OBJET DE L'INVENTION Un but de l'invention est de fournir un moyen permettant d'affiner le calcul des limites de protection dans deux directions opposées. RESUME DE L'INVENTION 4 A cet effet, on prévoit, selon l'invention, un procédé de détermination de limite de protection autour d'une position Xi d'un corps mobile équipé d'un récepteur de signaux satellites, la position Xi étant calculée à partir de pseudo-distances calculées à partir de données positionnelles et temporelles issues de signaux transmis par une constellation de satellites, le procédé comprenant l'étape de calculer une limite de protection VPLI dans une première direction depuis la position Xi, le procédé comprenant en outre les étapes de : - calculer une marge 1B1. correspondant à un décalage, de la position calculée par rapport à une position réelle X du corps mobile, qui soit dans la première di-rection et qui soit du à des réflexions des signaux au cours de leur transmission, - calculer une deuxième limite de protection PL2 sur la position calculée dans une deuxième direction op-posée à la première direction depuis la position calculée, en y incorporant la marge. Le terme "direction" est ici utilisé dans son sens courant (similaire à celui de vecteur) pour indiquer l'orientation depuis une origine vers un point donné parallèlement à une droite passant par l'origine et ce point. Ainsi, en considérant l'axe vertical, deux direc- tions opposées désignent respectivement vers le haut et vers le bas parallèlement à cet axe. Dans le procédé de l'invention, la limite de protection dans la deuxième di-rection incorpore une marge pour tenir compte des ré-flexions des signaux. Il est de la sorte possible d'avoir dans la première et la deuxième direction des limites de protection différentes selon la criticité d'une erreur dans ces directions. De préférence, le calcul de la position Xi à par-tir des pseudo-distances étant effectué en utilisant une matrice Hv d'observation de la constellation intégrant des paramètres positionnels et temporels, le calcul de la marge D1, et de la deuxième limite de protection VPL2 comprend les étapes de : - estimer un biais d'horloge b du récepteur et 5 déterminer un impact maximal bmax des réflexions sur le biais d'horloge estimé, - corriger les pseudo-distances avec le biais d'horloge estimé, - calculer une erreur maximale AY' sur les pseudo-distances corrigées due à l'impact maximal bmax. - calculer une deuxième position X2 à partir des pseudo-distances corrigées de l'impact bmax et d'une sous-matrice HF de la matrice d'observation Hv, la sous-matrice HFintégrant les paramètres positionnels seulement, - calculer la marge M' el, partir de la pseudoinverse G' de la sous-matrice HF et de l'erreur maximale Ar, - calculer la deuxième limite de protection VPL2 en ajoutant à la première limite de protection VPLI la marge =1, et une distance entre la première position XI et la deuxième position X2 parallèlement aux directions. Ce mode de calcul est particulièrement approprié à la mise en oeuvre de l'invention. D'autres caractéristiques et avantages de l'in- vention ressortiront à la lecture de la description qui suit d'un mode de mise en oeuvre particulier, non limita-tif, de l'invention. BREVE DESCRIPTION DES DESSINS 1l sera fait référence aux dessins annexés, parmi lesquels : - la figure 1 est une représentation schématique d'une constellation de satellites présents au-dessus de l'horizon d'un aéronef, 6 - les figures 2 et 3 sont des représentations schématiques montrant la détermination de la composante verticale de la position d'un aéronef. DESCRIPTION DETAILLEE DE L'INVENTION En référence à la figure 1, le procédé de l'invention est ici décrit en relation avec un aéronef 1 embarquant un système de navigation utilisant des données issues de N satellites 2.i (avec i variant de 1 à N, soit 2.1, 2.2, 2.3, 2.4, 2.5, 2.6, 2.7, 2.8, 2.9, 2.10, 2.11, 2.12 sur la figure) en orbite autour de la Terre 100 et des données issues d'une centrale inertielle embarquée sur l'aéronef 1. La centrale inertielle est connue en elle-même et délivre, à partir de capteurs fixés à l'aéronef 1, des données relatives notamment à l'assiette de l'aéronef 1, sa vitesse... Les satellites 2.1 à 2.12 font partie d'un ensemble de satellites qui sont positionnés en orbite autour de la Terre et qui appartiennent à un système de locali-sation par satellites de type GPS. Chaque satellite 2.i émet en permanence un signal comportant sa localisation et l'heure précise d'émission du signal. Les N satellites 2.i émettent ainsi à intervalle régulier N signaux appelés par la suite données satellitaires. Le système de navigation comprend de façon connue en elle-même une unité de calcul reliée à la centrale inertielle et à un récepteur des signaux issus des satellites. L'unité de calcul incorpore de façon connue en elle-même des processeurs et des mémoires lui permettant de calculer une pseudo-distance séparant l'aéronef 1 de chaque satellite 2.i dont le signal est détecté par le récepteur et de réaliser une fusion de ces pseudodistances et des données provenant de la centrale inertielle afin de déterminer entre autres une position de l'aéronef 1. 7 Les calculs sont réalisés de manière connue en elle-même en utilisant des filtres de Kalman ou tout autre algorithme permettant de réaliser notamment une fusion de données. Le système de navigation calcule et fournit ainsi périodiquement un état de l'aéronef, c'est-à-dire une position, une vitesse et une attitude de l'aéronef, à par-tir des données inertielles et des données satellitaires. La position est définie par une composante horizontale (ici une latitude et une longitude) et une composante verticale (ici une altitude). Entre deux réceptions de signaux satellitaires, le système de navigation calcule et fournit des positions estimées à partir des seules données inertielles (qui sont obtenues continûment) en partant de positions antérieures, cette opération est appelée propagation. A la réception de nouvelles données satellitaires, la position estimée est recalée en fonction de l'innovation desdites données satellitaires, cette opération est appelée reca- lage. Le recalage n'est effectué que si les données satellitaires satisfont à un test de validité connu en lui-même et appelé test d'innovation. Pour chaque position calculée, le système fournit également un volume de protection défini par une limite de protection horizontale HPL et une limite de protection verticale VPL calculées à partir des données satellitaires. Pour simplifier, on parle dans un premier temps de la limite de protection PL (le principe de calcul de la limite de protection verticale et de la limite de protec- tion horizontale étant sensiblement identique). Le volume de protection, qui doit être le plus petit possible, est déterminé pour que, si la position réelle X de l'aéronef ne coïncide pas exactement avec la position calculée, cette position réelle a une probabili- 8 té au plus égale à un seuil de sécurité acceptable de se trouver hors du volume global de protection. De manière générale, chaque limite de protection est calculée à partir d'une probabilité de défaillance de la constellation de satellites, d'une probabilité d'absence de défaillance de la constellation de satellites et d'un premier seuil de sécurité Pir prédéterminé. On a ain- si p (e >- PL) s Pir, la probabilité que l'erreur de position e, soit supérieure à la limite de protection, est inférieure ou égale au seuil de sécurité Pir acceptable en cas de défaillance de la constellation de satellites (ce seuil de sécurité est également appelé risque d'intégrité). La limite de protection est calculée de façon connue en elle-même à partir de la distribution statistique de l'erreur sur la position calculée (distribution gaussienne pour la composante verticale de la position et distribution x2 pour la composante horizontale de la position). Le risque d'intégrité Pir ne doit pas être dépassé en cas de panne d'un ou de deux des satellites de la constellation. Une panne de trois satellites de la cons- tellation a une probabilité de 10-12 et est négligée. Le calcul de la lim=ite de protection verticale va maintenant être décrite autour d'une position calculée Xi. La position calculée XI a été obtenue de manière classique à partir des pseudo-distances Y et de la matrice Hv d'observation de la constellation satellite incorporant des paramètres positionnels - les cosinus di-recteurs pour chaque satellite 2.1 (permettant de relier géométriquement chaque satellite à l'aéronef) - et des paramètres temporels relatifs à un biais d'horloge du récepteur identiques pour tous les satellites (ici égal à 1). On a donc Hv =[u,1] dont la pseudo inverse est G = (HVT. Hv) -1. HVT . La composante verticale de la position xi est obtenue par î, _ [0010],G.Y . Une limite de protection VPL est calculée de la manière classique à partir de la distribution statistique de l'erreur sur la composante verticale. Une première limite de protection VPLI, vers le haut est égale à VPL. Une deuxième limite de protection VPL2, vers le bas, est ensuite calculée. Pour se faire, le biais d'horloge b tel que b = [G4iY] est estimé et l'impact maximal borax des réflexions sur le biais d'horloge estimé est calculé à partir de la formule suivante : i borax = max E G4i , E G4, •DY \Gi>o Gia où G41 sont les paramètres temporels de la matrice G (les sommes portant respectivement sur les G4i positifs et les G4i négatifs) et AY est l'erreur de mesure maximale possible due aux réflexions. Cette erreur est liée aux propriétés du récepteur de signaux satellitaires et est calculée par exemple au moyen d'un procédé comprenant une étape au cours de la-quelle on détermine un signal représentatif d'une énergie de corrélation entre le signal reçu et un signal de ré- plique, et une étape au cours de laquelle on recherche un décalage entre le signal déterminé et un signal centré représentatif d'une énergie d'autocorrélation d'un code pseudo-aléatoire, ledit décalage ainsi recherché correspondant à l'erreur de poursuite du code. Au cours de ce procédé, la recherche du décalage entre le signal centré et le signal déterminé consiste en outre à décaler d'une durée de décalage le signal déterminé. 10 De manière plus précise le décalage recherché entre le signal centré et le signal déterminé correspond à la durée du décalage du signal déterminé qui produit le signal déterminé le plus proche du signal centré. Selon un premier un mode de réalisation la recherche du décalage entre le signal déterminé et le signal centré comprend le calcul, pour chaque durée du décalage du signal déterminé, de la somme quadratique des écarts entre le signal centré et le signal déterminé, cette somme qua- dratique étant limitée à la partie ascendante du signal centré. Le décalage recherché est le décalage du signal déterminé pour lequel la somme quadratique des écarts calculée est minimale. Selon un deuxième mode de réalisation la recherche du décalage entre le signal déterminé et le signal centré consiste à détecter le maximum du signal déterminé. La détection du maximum du signal déterminé consiste à cal-culer pour chaque durée du décalage du signal déterminé l'énergie du signal déterminé, le décalage recherché étant le décalage du signal déterminé produisant l'énergie du signal déterminé maximale. Selon un troisième mode de réalisation la recherche du décalage entre le signal déterminé et le signal centré consiste à détecter une rupture de pente du signal déter- miné. La détection de la rupture de pente consiste à cal-culer la différence d'énergie entre deux signaux déterminés successivement décalés. Selon un quatrième mode de réalisation la recherche du décalage entre le signal déterminé et le signal centré comprend le calcul, pour chaque durée du décalage du signal déterminé, du produit de corrélation entre le signal centré et le signal déterminé ainsi décalé, le signal centré étant limité à sa partie ascendante. Le décalage recherché est le décalage du signal déterminé pour lequel le produit de corrélation calculé est maximal. Les pseudo distances Y sont ensuite corrigées à partir du biais d'horloge estimé b, soit Y'= Y-b, et l'erreur maximale QY' due aux réflexions sur les pseudodistances corrigées Y' est calculée telle que LY' =QY+bmax. Une deuxième position X2 est ensuite calculée à partir des pseudo-distances corrigées Y' et d'une sous-matrice HF de la matrice d'observation Hv telle que la sous-matrice HF n'intègre que les paramètres positionnels de la matrice d'observation HV soit Hv = [HF 1nxl] avec HF=[ui]. La composante verticale z2 de la position X2 est donc égale à z2=G'Y' avec G'=(HFT.HFT)-1.HFT. Il est ensuite calculé une marge MMM+ telle que MMM+ = EG'3i.AY' avec G3i' représentant les paramètres äc,; >o liés à la composante verticale dans la matrice G, la somme ne portant que sur ceux supérieurs à O. La distance entre les positions Xi et X2 selon l'axe vertical est ensuite calculée soit d (Xi, X2)2. La deuxième limite de protection VPL2 est alors égale à : VPL2 = VPL + D1. + d (Xi , X2) z . En variante, l'impact maximal bmax peut être cal-culé avec la formule suivante : bmax = Gu, .A Y et la deuxième limite de protection selon la formule sui- vante : VPL2 = DY'. äc',; >o En variante encore, il est possible de calculer une marge pour la première limite de protection VPLI avec VPL = VPL + lefM- + d (Xi , X2) z où NIl'1M- = E G'3; . AY'. il G3 L'invention est applicable à tout corps mobile comme un véhicule terrestre, marin, ou autre. Si le système de navigation par satellites ne peut fonctionner avec une position excentrée par rapport aux limites de protection calculées, le procédé comprend l'étape de faire une somme des limites de protection et l'étape de calculer une position centrée par rapport à cette somme. Le calcul des limites de protection différenciées selon deux directions différentes peut également être ap- pliqué à des directions horizontales. REVENDICATIONS 1. Procédé de détermination de limite de protection autour d'une position Xi d'un corps mobile équipé d'un récepteur de signaux satellites, la position Xi étant calculée à partir de pseudo-distances calculées à partir de données positionnelles et temporelles issues de signaux transmis par une constellation de satellites, le procédé comprenant l'étape de calculer une limite de pro- tection VPLI dans une première direction depuis la position Xi, caractérisé en ce que le procédé comprend en outre les étapes de : - calculer une marge AMI, correspondant à un décalage, de la position calculée par rapport à une position réelle XF du corps mobile, qui soit dans la première di-rection et qui soit du à des réflexions des signaux au cours de leur transmission, - calculer une deuxième limite de protection VPL2 sur la position calculée dans une deuxième direction op- posée à la première direction depuis la position calculée, en y incorporant la marge. 2. Procédé selon la revendication 1, dans lequel, le calcul de la position 271 à partir des pseudo-distances étant effectué en utilisant une matrice Hv d'observation de la constellation intégrant des paramètres positionnels et temporels, le calcul de la marge Min!. et de la deuxième limite de protection VPL2 comprend les étapes de . - estimer un biais d'horloge b du récepteur et déterminer un impact maximal bmax des réflexions sur le biais d'horloge estimé, - corriger les pseudo-distances avec le biais d'horloge estimé, - calculer une erreur maximale AY' sur les pseudo-distances corrigées due à l'impact maximal bmaX. 14 - calculer une deuxième position X2 à partir des pseudo-distances corrigées et d'une sous-matrice HF de la matrice d'observation Hv, la sous-matrice HF intégrant les paramètres positionnels seulement, - calculer la marge MM. à partir de la pseudoinverse G' de la sous-matrice HF et de l'erreur maximale M', -calculer la deuxième limite de protection VPL2 en ajoutant à la première limite de protection VPLI la marge MM et une distance entre la première position Pi et la deuxième position P2 parallèlement aux directions. 3. Procédé selon la revendication 1, comprenant l'étape de faire une somme des limites de protection et l'étape de calculer une position centrée par rapport à cette somme. 4. Procédé selon la revendication 1, dans lequel le corps mobile est un aéronef et les directions sont verticales. 5. Procédé selon la revendication 4, dans lequel la deuxième direction est orientée vers le bas. 6. Procédé selon la revendication 1, comprenant l'étape d'incorporer à la première limite de protection PLI une marge I!M- correspondant à un décalage, de la position calculée XI par rapport à la position réelle X,qui soit dans la deuxième direction et qui soit du à des ré-flexions des signaux.