FR 2985977 A1 20130726 FR 1250645 A 20120124 La présente invention concerne un procédé et un dispositif d'aide au pilotage d'un avion, en particulier d'un avion de transport civil, lors d'une phase d'atterrissage, ledit avion étant pourvu d'un système de freinage automatique qui est susceptible de freiner automatiquement l'avion au sol. Dans le cadre d'un freinage automatique, on connaît une fonction dite BTV (pour « Brake-To-Vacate » en anglais) qui a pour objectif de calculer une décélération commandée qui va permettre à l'avion (roulant sur une piste lors de l'atterrissage) de s'arrêter automatiquement au niveau d'une sortie de la piste. En particulier, par les documents FR-2 817 979 et FR-2 857 468, on connaît des dispositifs de commande automatique de la décélération d'un avion en phase de roulage, qui mettent en oeuvre une telle fonction BTV. Ces dispositifs permettent, à l'équipage de l'avion, de sélectionner une bretelle de sortie sur la piste d'atterrissage et de gérer automatiquement et optimalement (aide à la sélection d'une bretelle de sortie réaliste et compatible avec les performances connues d'atterrissage, minimisation du temps d'occupation de la piste, minimisation de l'énergie de freinage nécessaire, amélioration du confort) la décélération de l'avion lors du roulage à l'atterrissage jusqu'à l'atteinte de la bretelle de sortie sélectionnée. Par conséquent, dans des conditions opérationnelles normales, l'atteinte optimale de cette bretelle de sortie est garantie grâce à ces dispositifs usuels. Le calcul de la décélération commandée précitée est principalement basé sur la vitesse sol de l'avion et sur les distances de l'avion et de la sortie (sélectionnée par le pilote) par rapport au seuil de la piste. La présente invention concerne un dispositif d'aide au pilotage d'un avion lors d'une phase d'atterrissage sur un aéroport, qui a pour objet de garantir, avec une probabilité élevée, compatible avec les exigences requises lors d'un atterrissage, que l'avion s'arrêtera toujours avant la fin de la piste. A cet effet, selon l'invention, ledit dispositif du type pourvu d'un système de freinage automatique qui est susceptible de freiner automatiquement l'avion lors du roulage au sol sur une piste d'atterrissage, ledit système de freinage comportant : - un premier calculateur certifié DAL A (donc à haut niveau d'intégrité) pour calculer une décélération nominale permettant, lorsqu'elle est appliquée à l'avion, de l'arrêter au niveau d'une sortie sélectionnée sur la piste d'atterrissage, conformément à une fonction BTV précitée ; et - un second calculateur également certifié DAL A (donc également à haut niveau d'intégrité) pour calculer à partir d'une décélération reçue des ordres de commande de moyens de freinage de l'avion, est remarquable en ce que : - ledit dispositif comporte de plus : - des premiers moyens pour fournir des données présentant un haut niveau d'intégrité ; - des deuxièmes moyens pour calculer, à partir desdites données, une décélération minimale permettant de s'assurer que l'avion s'arrête avant la fin de la piste d'atterrissage, lorsque cette décélération minimale est appliquée audit avion ; et - des troisièmes moyens pour comparer ladite décélération nominale à ladite décélération minimale et pour transmettre audit second calculateur la décélération la plus élevée des deux ; et - lesdits deuxièmes et troisièmes moyens font partie dudit premier calculateur certifié DAL A (à haut niveau d'intégrité). Ainsi, grâce à l'invention : - d'une part, tous les calculs relatifs à la décélération minimale sont réalisés dans des calculateurs à haut niveau d'intégrité (certifiés DAL A) et ceci à partir de données qui présentent un haut niveau d'intégrité ; et - d'autre part, on prend en compte la décélération minimale (permettant de s'assurer que l'avion s'arrête avant la fin de la piste d'atterrissage) si elle est plus élevée que ladite décélération nominale (destinée à arrêter l'avion au niveau d'une sortie sélectionnée sur la piste d'atterrissage) qui est susceptible d'être erronée comme indiqué ci-dessus. Ces caractéristiques permettent de garantir, avec une probabilité élevée qui est compatible avec les exigences requises lors d'un atterrissage, que l'avion s'arrêtera toujours avant la fin de la piste, c'est-à-dire qu'il ne sortira pas (longitudinalement) de la piste, dans le cas où une hauteur prédéterminée (précisée ci-après) est franchie au plus tard au seuil de la piste. Dans le cadre de la présente invention, on entend, par « haut niveau d'intégrité » de données (ou de systèmes), le fait que ces données (ou les données traitées par ces systèmes) présentent un taux d'occurrence (ou probabilité de survenue) d'erreur ou d'altération, qui est compatible avec les objectifs de sécurité requis sur un avion lors d'un atterrissage. Par ailleurs, lesdits premiers moyens comprennent, de façon avantageuse, les éléments suivants : - une pluralité de systèmes de références inertielles susceptibles de générer des vitesses sol de l'avion, ainsi que des moyens de passivation pour fournir une vitesse sol comme donnée, uniquement en cas de cohérence entre les vitesses sol issues respectivement desdits systèmes de références inertielles, ce qui permet alors de fournir une vitesse sol qui présente un haut niveau d'intégrité ; et/ou - des moyens qui sont intégrés dans ledit premier calculateur (à haut niveau d'intégrité) et qui sont formés de manière à estimer la distance entre l'avion et le seuil de la piste utilisée pour l'atterrissage, en intégrant une vitesse sol, ce qui permet de calculer et fournir une distance avion-seuil présentant un haut niveau d'intégrité. En outre, avantageusement, pour pouvoir fournir une valeur de longueur de piste présentant également un haut niveau d'intégrité, lesdits premiers moyens comprennent : - des moyens de stockage qui sont intégrés dans ledit premier calculateur et qui mémorisent une valeur de longueur de la piste utilisée pour l'atterrissage ; et - des moyens à haut niveau d'intégrité (certifiés DAL A) qui reçoivent cette valeur et l'affichent sur un écran du poste de pilotage. Par procédure, le pilote doit alors vérifier que la valeur affichée est bien la même que celle inscrite sur des cartes d'approche à sa disposition, et si tel n'est pas le cas, il doit dégager la fonction de freinage automatique de type BTV utilisée. Cette procédure assure ainsi que la valeur de longueur de piste utilisée dans le calcul de la décélération minimale sera, elle aussi, à haut niveau d'intégrité. Toutes les données utilisées pour le calcul de la décélération minimale devant présenter un haut niveau d'intégrité, on utilise donc, selon l'invention, soit des données issues de calculateurs à haut niveau d'intégrité, soit des données qui ont été consolidées par un moyen (ou une procédure) approprié. Par ailleurs, avantageusement, lesdits deuxièmes moyens calculent ladite décélération minimale à partir d'une estimation de la distance entre l'avion et le seuil de la piste, et de la longueur de la piste, en mettant en oeuvre une loi de décélération usuelle. La présente invention concerne également un procédé d'aide au pilotage d'un avion lors d'une phase d'atterrissage sur un aéroport, ledit avion étant pourvu d'un système de freinage automatique qui est susceptible de freiner automatiquement l'avion lors du roulage au sol sur une piste d'atterrissage et qui comporte un premier calculateur et un second calculateur, tels que précités. Selon l'invention, ledit procédé est remarquable en ce que : - on prévoit de plus : - des premiers moyens pour fournir des données présentant un haut niveau d'intégrité ; - des deuxièmes moyens pour calculer, à partir desdites données, une décélération minimale permettant de s'assurer que l'avion s'arrête avant la fin de la piste d'atterrissage, lorsque cette décélération minimale est appliquée à l'avion; et - des troisièmes moyens pour comparer ladite décélération nominale à ladite décélération minimale et pour transmettre audit second calculateur la décélération la plus élevée ; et - lesdits deuxièmes et troisièmes moyens font partie dudit premier calculateur certifié DAL A (à haut niveau d'intégrité). Par ailleurs, la présente invention concerne également un avion, en particulier d'un avion de transport civil, qui comporte un dispositif d'aide au pilotage, tel que celui précité. L'unique figure du dessin annexé fera bien comprendre comment l'invention peut être réalisée. Cette figure unique est le schéma synoptique d'un dispositif d'aide au pilotage conforme à l'invention. Le dispositif 1 conforme à l'invention et représenté schématiquement sur la figure, est destiné à aider au pilotage d'un avion (non représenté), en particulier d'un avion de transport civil, lors d'une phase d'atterrissage, et plus particulièrement lors du roulage sur une piste d'atterrissage après l'atterrissage proprement dit. La présente invention est appliquée à un avion qui est équipé d'un système de freinage automatique 10 (faisant partie dudit dispositif 1). De façon usuelle, lorsqu'il est activé, un tel système de freinage automatique 10 actionne automatiquement des moyens de freinage 2, tels que des freins de l'avion A notamment, dans le but de freiner l'avion A lors du roulage au sol. Ledit dispositif 1 comporte, comme représenté sur la figure : - un ensemble 3 de sources d'informations usuelles, qui sont en mesure de déterminer les valeurs actuelles de différents paramètres (position, vitesse,...) de l'avion A ; - un calculateur 4 certifié DAL A, à haut niveau d'intégrité (de type PRIM sur un avion A380), qui est relié par l'intermédiaire d'une liaison 5 audit ensemble 3 et qui comporte des moyens 6 usuels susceptibles de mettre en oeuvre une fonction de type BTV. Plus précisément, lesdits moyens 6 sont susceptibles de calculer une décélération nominale permettant, lorsqu'elle est appliquée à l'avion (via les moyens de freinage 2), de l'arrêter automatiquement au niveau 2 9859 77 6 d'une sortie sélectionnée sur la piste d'atterrissage utilisée. Le dispositif 1 comporte également des moyens non représentés permettant à un pilote d'armer la fonction BTV ; et - un calculateur 7 également certifié DAL A, donc à haut niveau d'intégrité (de 5 type BCS sur un avion A380), qui est relié par l'intermédiaire d'une liaison 8 audit calculateur 4 et qui comporte des moyens usuels 9 pour calculer, à partir d'une décélération reçue du calculateur 4, des ordres de commande des moyens de freinage 2 de l'avion, qui sont transmis à ces derniers via une liaison 10. 10 Selon l'invention, ledit dispositif 1 comporte de plus : - des moyens 12 pour fournir des données présentant un haut niveau d'intégrité ; - des moyens 13 pour calculer automatiquement, à partir desdites données à haut niveau d'intégrité, une décélération minimale permettant de s'assurer 15 que l'avion s'arrête avant la fin de la piste d'atterrissage, lorsque cette décélération minimale est appliquée audit avion ; et - des moyens 14 pour comparer automatiquement ladite décélération nominale (reçue via une liaison 15 des moyens 6) à ladite décélération minimale (reçue via une liaison 16 des moyens 13) et pour transmettre 20 automatiquement audit calculateur 7 la décélération la plus élevée de ces deux décélérations, en vue de son application à l'avion. De plus, selon l'invention, comme représenté sur la figure, lesdits moyens 13 et 14 font partie dudit calculateur 4 certifié DAL A (à haut niveau d'intégrité). 25 Cette décélération sélectionnée par les moyens 14 qui est donc envoyée au calculateur (de freinage) 7 (de type BCS sur un avion A380), assure dans le cas nominal que l'avion s'arrêtera au niveau de la sortie sélectionnée de façon usuelle par le pilote, tout en garantissant en cas de panne (et ce avec un haut niveau d'intégrité) que l'avion s'arrêtera avant la fin 30 de la piste. Ceci est garantit dans le cas où une hauteur prédéterminée (précisée ci-après) est franchie au plus tard au seuil de la piste. En effet, grâce à l'invention : - d'une part, tous les calculs relatifs à ladite décélération minimale sont réalisés dans des calculateurs à haut niveau d'intégrité (certifiés DAL A) et ceci à partir de données qui présentent également un haut niveau d'intégrité, comme précisé ci-dessous; et - d'autre part, on prend en compte ladite décélération minimale (permettant de s'assurer que l'avion s'arrête avant la fin de la piste d'atterrissage) si elle est plus élevée que ladite décélération nominale (destinée à arrêter l'avion au niveau d'une sortie sélectionnée sur la piste d'atterrissage) qui est susceptible d'être erronée, ce qui permet de garantir, avec une probabilité élevée qui est compatible avec les exigences requises lors d'un atterrissage, que l'avion s'arrêtera toujours avant la fin de la piste, c'est-à-dire qu'il ne sortira pas (longitudinalement) de la piste. Dans le cadre de la présente invention, on entend, par « haut niveau d'intégrité » de données [ou de systèmes (calculateurs 4 et 7)], le fait que ces données (ou les données traitées par ces systèmes) présentent un taux d'occurrence d'erreur ou d'altération qui est compatible avec les objectifs de sécurité requises sur un avion lors d'un atterrissage. Par ailleurs, lesdits moyens 12 comprennent : - une pluralité de systèmes de références inertielles usuels 19A à 19N (de type IRS, certifiés DAL A), N étant un entier supérieur à 1, susceptibles de générer de façon usuelle des vitesses sol de l'avion ; et - des moyens de passivation 20 qui sont reliés par l'intermédiaire de liaisons 21A à 21N respectivement auxdits systèmes de références inertielles 19A à 19N et qui sont formés de manière à vérifier ces vitesses sol et à fournir une vitesse sol courante comme donnée, uniquement en cas de cohérence entre les vitesses sol issues respectivement desdits systèmes de références inertielles 19A à 19N, ce qui permet de transmettre au calculateur 4 une vitesse sol qui présente un haut niveau d'intégrité. En cas d'incohérence (entraînant un défaut de communication d'une vitesse sol), la fonction de calcul de décélération minimale et ainsi la fonction BTV ne sont plus disponibles. Par ailleurs, lesdits moyens 12 comprennent également des moyens 23 qui sont intégrés dans ledit calculateur 4 et qui sont formés de manière à estimer la distance entre l'avion et le seuil de la piste utilisée pour l'atterrissage, en intégrant la vitesse sol reçue des moyens 20. Ceci permet de calculer et de fournir une distance avion-seuil présentant également un haut niveau d'intégrité. L'intégrateur réalisant l'intégration de la vitesse sol est initialisé à zéro tant que le seuil de la piste n'est pas franchi. L'estimation du franchissement du seuil de piste est basée sur la hauteur de l'avion par rapport au sol. Lorsque la hauteur radio-altimétrique devient inférieure à une hauteur prédéterminée (par exemple 50 pieds), fonction du type de l'avion, le seuil de piste est considéré comme franchi. Cette hauteur radio-altimétrique étant issue de calculateurs à très haut niveau d'intégrité, l'estimation de la distance avion-seuil de piste est donc, elle aussi, à haut niveau d'intégrité. En outre, la longueur de piste étant uniquement disponible dans une base de données extraite par un calculateur à faible niveau d'intégrité (de type OANS sur un avion A380), cette donnée ne peut être utilisée telle qu'elle. Aussi, selon l'invention, pour pouvoir fournir une valeur de longueur de piste présentant également un haut niveau d'intégrité, lesdits moyens 12 comprennent de plus : - des moyens de stockage 24 qui sont intégrés dans ledit calculateur 4 et qui mémorisent une valeur de longueur de la piste (utilisée pour l'atterrissage), dès que le pilote arme la fonction BTV ; et - des moyens 25 (par exemple de type CDS sur un avion A380) à haut niveau d'intégrité (certifiés DAL A) qui reçoivent (via une liaison 26) cette valeur et l'affichent sur un écran 27 du poste de pilotage. Par procédure, le pilote doit alors vérifier que la valeur affichée sur l'écran 27 est bien la même que celle inscrite sur des cartes d'approche à sa 2 9859 77 9 disposition. Si tel n'est pas le cas, il doit dégager la fonction de freinage automatique (fonction BTV). Cette procédure assure ainsi que la valeur de longueur de piste, utilisée dans le calcul de la décélération minimale par les moyens 13, sera elle aussi à haut niveau d'intégrité. 5 Les données utilisées par le dispositif 1 pour le calcul de la décélération minimale devant présenter un haut niveau d'intégrité, on prend donc en compte, selon l'invention, soit des données issues de calculateurs à haut niveau d'intégrité soit des données qui ont été consolidées par un moyen (ou une procédure) approprié. 10 Par ailleurs, lesdits moyens 13 calculent ladite décélération minimale à partir de l'estimation de la distance entre l'avion et le seuil de la piste (reçue des moyens 23) et à partir de la longueur de la piste (reçue des moyens 24), en mettant en oeuvre une loi de décélération usuelle, telle qu'indiquée par exemple dans le document FR-2 903 801. 15 En particulier, la décélération minimale peut être calculée suivant une loi usuelle appropriée du type : - à décélération constante ; - à décélération de type rampe ou rampe-plateau,... REVENDICATIONS1. Dispositif d'aide au pilotage d'un avion lors d'une phase d'atterrissage sur un aéroport, ledit dispositif (1) étant pourvu d'un système de freinage automatique (10) qui est susceptible de freiner automatiquement l'avion lors du roulage au sol sur une piste d'atterrissage, ledit système de freinage (10) comportant : - un premier calculateur (4) certifié DAL A, pour calculer une décélération nominale permettant, lorsqu'elle est appliquée à l'avion, de l'arrêter au niveau d'une sortie sélectionnée sur la piste d'atterrissage ; et - un second calculateur (7) également certifié DAL A ,pour calculer à partir d'une décélération reçue des ordres de commande de moyens de freinage (2) de l'avion, caractérisé en ce que : - ledit dispositif comporte de plus : - des premiers moyens (12) pour fournir des données présentant un haut niveau d'intégrité ; - des deuxièmes moyens (13) pour calculer, à partir desdites données, une décélération minimale permettant de s'assurer que l'avion s'arrête avant la fin de la piste d'atterrissage, lorsque cette décélération minimale est appliquée audit avion ; et - des troisièmes moyens (14) pour comparer ladite décélération nominale à ladite décélération minimale et pour transmettre audit second calculateur (7) la décélération la plus élevée ; et - lesdits deuxièmes et troisièmes moyens (13, 14) font partie dudit premier calculateur (4) certifié DAL A. 2. Dispositif selon la revendication 1, caractérisé en ce que lesdits premiers moyens (12) comprennent une pluralité de systèmes de références inertielles (19A à 19N) susceptibles de générer des vitesses sol de l'avion, ainsi que des moyens de passivation (20) pourfournir une vitesse sol comme donnée, uniquement en cas de cohérence entre les vitesses sol issues respectivement desdits systèmes de références inertielles (19A à 19N). 3. Dispositif selon l'une des revendications 1 et 2, caractérisé en ce que lesdits premiers moyens (12) comprennent des moyens (23) qui sont intégrés dans ledit premier calculateur (4) et qui sont formés de manière à estimer la distance entre l'avion et le seuil de la piste utilisée pour l'atterrissage, en intégrant une vitesse sol. 4. Dispositif selon l'une des revendications 1 à 3, caractérisé en ce que lesdits premiers moyens (12) comprennent : - des moyens de stockage (24) qui sont intégrés dans ledit premier calculateur (4) et qui mémorisent une valeur de longueur de la piste utilisée pour l'atterrissage ; et - des moyens (25) à haut niveau d'intégrité qui reçoivent cette valeur et l'affichent sur un écran (27) du poste de pilotage. 5. Dispositif selon l'une quelconque des revendications précédentes, caractérisé en ce que lesdits deuxièmes moyens (13) calculent ladite décélération minimale à partir d'une estimation de la distance entre l'avion et le seuil de la piste et de la longueur de la piste, en mettant en oeuvre une loi de décélération. 6. Procédé d'aide au pilotage d'un avion lors d'une phase d'atterrissage sur un aéroport, ledit avion étant pourvu d'un système de freinage automatique (10) qui est susceptible de freiner automatiquement l'avion lors du roulage au sol sur une piste d'atterrissage, ledit système de freinage (10) comportant : - un premier calculateur (4) certifié DAL A, pour calculer une décélération nominale permettant, lorsqu'elle est appliquée à l'avion, de l'arrêter au niveau d'une sortie sélectionnée sur la piste d'atterrissage ; et - un second calculateur (7) également certifié DAL A, pour calculer à partir d'une décélération reçue des ordres de commande de moyens de freinage (2) de l'avion,caractérisé en ce que : - on prévoit de plus : - des premiers moyens (12) pour fournir des données présentant un haut niveau d'intégrité ; - des deuxièmes moyens (13) pour calculer, à partir desdites données, une décélération minimale permettant de s'assurer que l'avion s'arrête avant la fin de la piste d'atterrissage, lorsque cette décélération minimale est appliquée à l'avion; et - des troisièmes moyens (14) pour comparer ladite décélération nominale à ladite décélération minimale et pour transmettre audit second calculateur la décélération la plus élevée ; et - lesdits deuxièmes et troisièmes moyens (13, 14) font partie dudit premier calculateur (4) certifié DAL A. 7. Avion, caractérisé en ce qu'il comporte un dispositif d'aide au pilotage (1) tel que celui spécifié sous l'une quelconque des revendications 1 à 5.