FR 3061344 A1 20180629 FR 1601854 A 20161223 1 Système d'aide au pilotage d'aéronef La présente invention concerne le domaine des systèmes avioniques embarqués dans les aéronefs, en particulier les systèmes d'aide au pilotage comprenant au moins une chaine pour au moins restituer des informations d'aide au pilotage. Pour le pilotage et le contrôle d'un aéronef, il est indispensable à l'équipage de connaître certains paramètres de vol de l'aéronef. Une chaine de système d'aide au pilotage d'aéronef met en oeuvre des fonctions avioniques. Une fonction avionique est par exemple le calcul de paramètres de vol en fonction de signaux de mesure fournis par des capteurs, l'élaboration de signaux de commande d'actionneurs de l'aéronef en fonction de paramètres de vol et/ou de consignes de trajectoire, l'enregistrement de paramètres de vol pour la maintenance, l'affichage de paramètres de vol sur un afficheur, par exemple dans le cockpit d'un l'aéronef, etc. Les paramètres de vol d'un aéronef comprennent notamment les paramètres relatifs à l'air (ou références air), les paramètres relatifs à la terre (ou références inertielles) et sont restitués par une ou plusieurs chaine(s) de système d'aide au pilotage. Les paramètres relatifs à l'air comprennent, par exemple, la vitesse air calibrée (ou CAS de l'anglais Calibrated Air Speed), la vitesse air vraie (ou TAS de l'anglais True Air Speed), le nombre de Mach, la vitesse verticale, l'angle d'incidence (AOA), l'angle de dérapage, la pression statique, la température de l'air. Les paramètres relatifs à la terre comprennent, par exemple, les angles d'attitude (roulis, tangage), le cap, les vitesses angulaires et accélérations angulaires de roulis, tangage et lacet, l'accélération et la vitesse par rapport au sol. On connaît différents types de systèmes d'aide au pilotage d'aéronef comprenant au moins deux chaînes d'aide au pilotage. Une première chaine met généralement en oeuvre deux jeux d'équipements d'aide au pilotage technologiquement identiques dédiés respectivement au pilote et au copilote. Bien que présentant ainsi une redondance aux pannes, ces deux chaines sont respectivement formées des mêmes types de composants électroniques, et un défaut de conception ou réalisation de l'un des types de composants électroniques peut induire leur perte complète. La deuxième chaine d'aide au pilotage dite chaine secondaire (ou chaine de secours) est destinée à être utilisée en cas de défaillance de chaine(s) primaire(s) d'aide au pilotage telles que la ou les chaine(s) primaires, décrites précédemment, et dédiées respectivement au pilotage en mode nominal. 3061344 2 Une telle chaine de secours comprend un instrument électronique de secours intégré (ou IESI de l'anglais Integrated Electronic Standby Instrument). Un tel instrument électronique de secours est raccordé à des sondes de mesure de pression, comprend ou est raccordé à un jeu d'accéléromètres et gyromètres, et comprend un calculateur pour calculer un jeu de paramètres anémobarométriques et inertiels à partir des mesures délivrées par les sondes et capteurs. Cet instrument électronique de secours est par ailleurs connecté à (ou incorpore) un afficheur pour restituer le jeu de paramètres anémobarométriques et inertiels obtenu. Le cap de secours est fourni par un compas de secours autonome ou un capteur de champ magnétique terrestre raccordé à l'IESI. 10 Néanmoins, le jeu de paramètres obtenu par cet instrument électronique de secours comprend classiquement un nombre de paramètres de vol inférieur à celui des jeux de paramètres de vol calculés par la ou les chaines primaires utilisées en mode nominal. La taille de l'afficheur associé à cet instrument électronique de secours est en outre réduite, égale à plus ou moins 10% près à une taille de trois pouces par trois 15 pouces. Ainsi, en situation de défaillance de la chaine primaire, la chaine secondaire actuelle met en oeuvre un nombre limité de fonctions avioniques et la restitution du jeu de paramètres de vol vitaux au pilotage est peu confortable pour un équipage par ailleurs en situation de tension devant une telle défaillance de la chaine primaire. 20 Un des buts de l'invention est de proposer un système amélioré pour l'aide au pilotage permettant de faciliter le pilotage par l'équipage même en cas de défaillance de la chaine primaire. À cet effet l'invention a pour objet un système d'aide au pilotage d'aéronef, comprenant au moins une chaine primaire et au moins une chaine secondaire, chaque 25 chaine comprenant une pluralité de modules électroniques interconnectés, les chaines primaire et secondaire différant l'une de l'autre par au moins un module électronique, chaque chaine étant configurée pour au moins restituer des informations d'aide au pilotage et pour la mise en oeuvre d'au moins une fonction avionique appartenant au groupe comprenant : 30 - pilotage automatique, - gestion du plan de vol et élaboration de trajectoire, - génération d'alerte en cas de dysfonctionnement de l'aéronef ou en cas de détection d'au moins un risque sur la trajectoire, la chaine primaire étant configurée pour fonctionner selon un mode nominal de restitution 35 d'informations d'aide au pilotage, et la chaine secondaire étant configurée pour 3061344 3 fonctionner selon un mode dégradé dans lequel les informations du mode nominal sont restituées partiellement. Par « risque », on entend un danger de collision de l'aéronef lié au rapprochement excessif du sol ou d'un obstacle, ou lié aux conditions de trafic durant le vol, ou encore lié 5 à un phénomène météo. Selon des modes de réalisations particuliers, le système d'aide au pilotage comprend une ou plusieurs des caractéristiques optionnelles suivantes : - la chaine primaire et la chaine secondaire sont associées chacune à des niveaux de criticité (DAL) distincts, la chaine secondaire étant associée à un niveau de criticité (DAL) 10 plus exigeant que le niveau de criticité (DAL) associé à la chaine primaire, la chaine secondaire est configurée pour : - être activée en cas de dysfonctionnement de la chaine primaire, ou - fonctionner en parallèle de la chaine primaire, la taille d'écran(s) d'afficheur(s) de la chaine primaire est égale ou supérieure à la 15 taille d'écran(s) d'afficheur(s) de la chaine secondaire, la diagonale d'écran(s) de la chaine secondaire étant supérieure ou égale à six pouces, - dans chaque chaine, au moins un écran de module électronique est tactile et/ou est configuré pour être connecté à un dispositif de pointage, - le système d'aide au pilotage comprend en outre une chaine tertiaire configurée pour 20 fonctionner selon un mode d'enrichissement de restitution d'informations d'aide au pilotage comprenant au moins une information d'aide au pilotage supplémentaire et distincte des informations d'aide au pilotage du mode nominal ou du mode dégradé, les chaines primaire, secondaire et tertiaire différant deux à deux par au moins un module électronique, 25 - au moins deux chaines distinctes sont configurées pour être connectées par une liaison de communication sécurisée, - une des au moins deux chaines configurées pour être connectées par une liaison de communication sécurisée comprend un module électronique configuré pour exécuter une consigne reçue de l'autre chaine, 30 - la chaine secondaire comprend en outre un module électronique de saisie d'instructions de pilotage, - au moins une chaine est reconfigurable en cas de dysfonctionnement d'une autre chaine. L'invention et ses avantages seront mieux compris à la lecture de la description 35 qui va suivre, donnée uniquement à titre d'exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels : 3061344 4 - la Figure 1 est une vue schématique d'un système d'aide au pilotage comprenant une chaine primaire, une chaine secondaire et une chaine tertiaire d'aide au pilotage, la Figure 2 est une vue schématique de la chaine primaire de la Figure 1, la Figure 3 est une vue schématique détaillant la structure générale d'un calculateur 5 de chaine primaire, secondaire ou tertiaire de la Figure 1, la Figure 4 est une vue schématique de la chaine secondaire de la Figure 1, la Figure 5 est une vue schématique de la chaine tertiaire de la Figure 1, les Figures 6 à 10 sont des vues schématiques de différentes dispositions d'écrans d'afficheurs du système d'aide au pilotage de la figure 1 dans un cockpit de l'aéronef. 10 Le système d'aide au pilotage 11 embarqué selon l'exemple de réalisation de la figure 1 comprend trois chaines électroniques d'aide au pilotage, une chaine primaire 13, une chaine secondaire 15, une chaine tertiaire 17 optionnelle (représentée en pointillés), configurées chacune pour au moins restituer des informations d'aide au pilotage à un équipage d'aéronef. 15 Chaque chaine 13, 15, 17 est associée à un mode de fonctionnement qui lui est propre. La chaine primaire 13 est configurée pour fonctionner selon un mode nominal de restitution d'informations d'aide au pilotage. Autrement dit, par défaut la chaine primaire est utilisée à titre principal. 20 La chaine secondaire 15 est configurée pour fonctionner selon un mode dégradé de restitution d'informations d'aide au pilotage. Selon ce mode de restitution dégradée, les informations du mode nominal sont restituées partiellement. Autrement dit, selon ce mode de restitution partielle des informations d'aide au pilotage, en comparaison avec le mode nominal de restitution, il y a moins d'informations d'aide au pilotage restituées, et/ou les 25 informations d'aide au pilotage restituées sont moins précises. De plus, la chaine secondaire 15 est configurée pour être activée en cas de dysfonctionnement de la chaine primaire 13 ou pour fonctionner en parallèle de la chaine primaire 13, à titre complémentaire ou de vérification croisée. Les chaines primaire 13 et secondaire 15 sont donc configurées pour fournir à 30 elles deux un recouvrement de fonctions avioniques permettant de pallier la défaillance éventuelles de l'une ou de l'autre. Lorsque la chaine secondaire 15 fonctionne en parallèle de la chaine primaire 13, elle est configurée pour exécuter en permanence et indépendamment du fonctionnement (bon ou mauvais) de la chaine primaire 13 les mêmes fonctions avioniques. 35 La chaine tertiaire 17 est optionnelle et configurée pour fonctionner selon un mode d'enrichissement de restitution d'informations d'aide au pilotage. Selon ce mode 3061344 5 d'enrichissement de restitution, au moins une information d'aide au pilotage supplémentaire et distincte des informations d'aide au pilotage du mode nominal ou du mode dégradé est restituée. En d'autres termes, chaque chaine est configurée pour déterminer, selon le mode 5 de fonctionnement qui lui est propre, des paramètres de vol et les diffuser, en temps réel, vers des modules électroniques de sortie embarqués, utilisant les paramètres de vol pour assurer des fonctions avioniques permettant le pilotage et/ou le contrôle de l'aéronef. Par ailleurs, selon l'invention chaque chaine est activable/désactivable manuellement par un membre de l'équipage et/ou automatiquement en cas de défaillance 10 d'une des chaines primaire 13, secondaire 15 ou tertiaire 17 en cours de fonctionnement. Pour ce faire, une chaine, par exemple la chaine primaire 13, est composée d'une pluralité de modules électroniques, interconnectés au sein de la chaine primaire par des liaisons 18 de communication filaires ou sans fil, et répartis en trois ensembles, à savoir un ensemble 19 de capteurs primaires, un ensemble 21 de calculateurs primaires et un 15 ensemble 23 de modules de sortie comprenant des afficheurs ou actionneurs ou émetteurs primaires. La chaine secondaire 15 est également composée d'un ensemble 25 de capteurs secondaires, un ensemble 27 de calculateurs secondaires et un ensemble 29 de modules de sortie comprenant des afficheurs ou actionneurs ou émetteurs secondaires. 20 Parmi les fonctions réalisées en parallèle par les modules électroniques de la chaine primaire 13 et de la chaine secondaire 15, il y a nécessairement selon l'invention l'affichage de paramètres de vol dans le cockpit à l'attention des pilotes et au moins une fonction avionique appartenant au groupe comprenant : pilotage automatique configuré pour commander les moteurs et les gouvernes de 25 l'aéronef (tenue d'une trajectoire de consigne, généralement simple) gestion du plan de vol (programmation et suivi d'une trajectoire complexe du décollage à l'atterrissage) génération d'alerte en cas de dysfonctionnement de l'aéronef ou en cas de détection d'au moins un risque sur la trajectoire. 30 Par « risque », on entend un danger de collision de l'aéronef lié au rapprochement excessif du sol ou d'un obstacle, ou lié aux conditions de trafic durant le vol, ou encore lié à un phénomène météo à proximité de l'aéronef. Un tel risque est évalué au moyen d'une grandeur représentative du risque encouru par l'aéronef, une telle grandeur étant par exemple : 3061344 6 la position d'une intersection potentielle de la trajectoire de l'aéronef et du sol déterminée par une fonction avionique dédiée de type TAWS (de l'anglais Terrain Awareness and Waming System), la position d'une potentielle collision avec un autre aéronef déterminée par une 5 fonction avionique dédiée de type TCAS (de l'anglais Traffic Alert and Collision Avoidance System), un niveau d'alerte météorologique déterminé par un module de surveillance météorologique, le module de surveillance météorologique étant embarqué à bord de l'aéronef. 10 Ainsi, par rapport à la chaine de secours classique, la chaine secondaire 15 est enrichie et propre à mettre des fonctions avioniques « évoluées » supplémentaires par rapport à la simple restitution d'un jeu de paramètres de vol vitaux tels que attitude, altitude, cap et vitesse... Toutefois, afin d'éviter tout défaut catastrophique lors du pilotage d'aéronef, les 15 chaines primaire 13 et secondaire 15 sont conçues de sorte qu'elles diffèrent l'une de l'autre par au moins module électronique, par exemple par un processeur de calcul ou par un afficheur. En d'autres termes, pour mettre en oeuvre une action identique (par exemple afficher), deux modules électroniques de même type (par exemple deux afficheurs), 20 présentent au moins une différence de conception matérielle et/ou logicielle (par exemple la technologie d'écran ou d'alimentation) entre la chaîne primaire 13 et la chaine secondaire 15. De plus, de manière similaire, la chaine tertiaire 17 est également composée d'un ensemble 31 de récepteurs de données d'entrées tertiaires, un ensemble 33 de 25 calculateurs tertiaires et un ensemble 35 de modules de sortie comprenant des afficheurs ou actionneurs ou émetteurs tertiaires, les chaines primaire 13, secondaire 15 et tertiaire 17 différant deux à deux par au moins un type de module électronique. Ainsi, la chaine secondaire 15 est propre à mettre en oeuvre une ou plusieurs fonction(s) avionique(s) supplémentaire(s) par rapport à la chaine de secours actuelle ce 30 qui permet d'augmenter le confort et la sécurité de l'équipage en cas de défaut général de la chaine primaire, la chaine secondaire étant technologiquement distincte de la chaine primaire. En d'autres termes, par rapport à la chaine de secours actuelle, la chaine secondaire 15 selon l'invention est configurée pour permettre une moindre dégradation de 35 la restitution d'information d'aide au pilotage. 3061344 7 En outre, les chaines primaire 13, secondaire 15 et tertiaire 17 sont respectivement associées à des niveaux de criticité (i.e. intégrité) (DAL de l'anglais Development Assurance Level) différents d'une chaine à l'autre. En particulier, la chaine secondaire 15 est, par exemple, associée au niveau de criticité maximal (DAL A) 5 permettant de garantir une sûreté de fonctionnement maximale. La chaine primaire 13 est associée à un niveau de criticité moins exigeant que celui de la chaine secondaire 15 tout en conservant un impact sur la sécurité du vol acceptable (DAL B ou C). Enfin, la chaine tertiaire 19 optionnelle est associée à un niveau de criticité (DAL D ou E), moins exigeant que celui de la chaine primaire, et sans effet sur la sécurité de vol. 10 De plus, dans le système d'aide au pilotage 11 embarqué de la figure 1, la chaine primaire 13 est configurée pour être connectée via une ou plusieurs liaisons 37 de communication sécurisée(s) à la chaine secondaire 15 ou à la chaine tertiaire 17. Optionnellement, la chaine secondaire 15 est également configurée pour communiquer via une liaison 37 de communication sécurisée (non représentée) avec la 15 chaine tertiaire 17. Pour ce faire, chaque chaine primaire 13, secondaire 15, et tertiaire 17 comprend respectivement un ou plusieurs module(s) électronique(s) d'émission/réception dédiées aux échanges de données sécurisées, via les liaisons 37 de communications sécurisées, avec une autre chaine. 20 Une telle communication sécurisée 37 d'une chaine à l'autre permet d'assurer une continuité de fonctionnement entre chaines (passation de paramètres de réglage ou de contexte par exemple) tout en évitant la mise en cause de l'intégrité d'une chaine par les données issues d'une autre chaine de niveau de criticité moins exigeant. La communication 37 sécurisée entre deux chaines du système d'aide au pilotage 25 de la figure 1 est par exemple utilisée pour : - le chargement dans la chaine primaire 13 d'un plan de vol élaboré et optimisé dans la chaine tertiaire 17, - la mémorisation et la reprise d'exécution dans la chaine secondaire 15 d'un plan de vol initialement exécuté par la chaine primaire 13 lorsque la chaine primaire 13 devient 30 défaillante, - la fourniture de données disponibles dans la chaine primaire 13 ou secondaire 15 à la chaine tertiaire 17 pour alimenter ses traitements d'enrichissement et/ou d'optimisation. Par ailleurs, optionnellement, pour augmenter la disponibilité d'une fonction avionique sans dégrader son intégrité, des liaisons de communications optionnelles 38 35 (en pointillés) permettent de connecter : 3061344 8 - des capteurs d'une chaine à des calculateurs d'une autre chaine, préférentiellement du plus intègre vers le moins intègre, et - des calculateurs d'une chaine à des modules électroniques de sortie (comprenant afficheurs ou actionneurs) d'une autre chaine, préférentiellement du moins intègre vers le 5 plus intègre, Alternativement, une liaison de fourniture de données non représentée d'un module électronique moins intègre d'une chaine vers un module électronique plus intègre d'une autre chaine est mis en oeuvre sous réserve que la dégradation obtenue reste inférieure à un seuil prédéterminé. 10 Un exemple de configuration de la chaine primaire 13 est détaillé sur la figure 2. La chaine primaire 13 est configurée pour mettre en oeuvre, selon le mode nominal de fonctionnement, un nombre maximal de fonctions avioniques par rapport à la chaine secondaire 15 et à la chaine tertiaire 17. Pour ce faire, l'ensemble 19 de capteurs primaires de la chaine primaire 13 15 comprend notamment deux sous-ensembles 39 identiques de capteurs redondés, deux sous-ensembles 41 identiques de calculateurs, deux sous-ensembles 63 identiques d'afficheurs ou d'actionneurs pour assurer la disponibilité des fonctions avioniques (par exemple pour pilote et copilote), la puissance de traitement et le bon fonctionnement intrinsèque de la chaine primaire 13. 20 Selon d'autres modes de réalisation, le nombre de redondances des divers éléments est supérieur à deux pour offrir le niveau de fonctionnalités et de performances requis qui serait inatteignable avec la technologie disponible en une seule entité physique. Chaque sous-ensemble 39 de capteurs primaires comprend, par exemple : des capteurs de paramètres de vol relatifs à l'air tels que des centrales anémo- 25 barométriques de détermination d'angles, d'altitude et vitesse, - des capteurs de paramètres de vol relatifs à la terre tels qu'une centrale inertielle, par exemple de type gyrolaser, - des capteurs d'environnement (terrain, météo, trafic) délivrant des images de situation, 30 - des capteurs de radio-navigation, de type DME (de l'anglais Distance Measuring Equipment), des récepteurs radio : VHF, Transpondeur des postes de commande à la disposition du pilote (bouton, clavier), optionnellement reliés physiquement aux afficheurs. 35 L'ensemble de capteurs primaires 19 est connecté à l'ensemble de calculateurs primaires 21. 3061344 9 Selon l'exemple de la figure 2, l'ensemble de calculateurs primaires 21 comprend deux calculateurs primaires 41 identiques pour traiter respectivement les paramètres de vol fournis par les deux sous-ensembles de capteurs primaires 39. La structure générale d'un calculateur primaire 41 est représentée sur la figure 3. 5 Sur la figure 3, un tel calculateur primaire 41 comprend de manière générale, un module électronique de réception 43 configuré pour recevoir les données fournies par l'ensemble de capteurs primaires 19 et les données ou consignes fournies par les autres chaines secondaire 15 ou tertiaire 17 via les liaisons de communications sécurisées 37. Optionnellement, le module 43 électronique de réception des données ou 10 consignes fournies par les autres chaines secondaire 15 ou tertiaire 17 via les liaisons de communications sécurisées 37 comprend un outil de contrôle d'intégrité (cohérence, vraisemblance, innocuité) des données reçues d'autres chaines secondaire 15 ou tertiaire 17. Le module électronique de réception 43 fournit les données reçues à un 15 processeur de traitement 45 CPU (de l'anglais Central Processing Unit) configuré pour opérer des calculs à partir de ces données et/ou exécuter des consignes reçues des autres chaines secondaire 15 ou tertiaire 17. Le processeur de traitement 45 d'un calculateur 41 primaire est un processeur de haute performance, par exemple un processeur Freescale® MPC 8610 ou Freescale® de la série P20 mono ou multi-coeurs 20 de calcul (Freescale® P2010, Freescale® P2020, Freescale® P2040 etc.). Le processeur de traitement 45 communique avec une mémoire 47 qui lui est dédiée comprenant, par exemple, une mémoire volatile RAM (de l'anglais Random Access Memory) et une mémoire non volatile ROM (de l'anglais Read Only Memory), chacune par exemple d'1Go, associées à une mémoire de masse de 16Go à 256 Go par 25 exemple. Le processeur de traitement 45 est également connecté à un processeur graphique 49 GPU (de l'anglais Graphics Processing Unit). Le processeur graphique 49 est connecté à une mémoire graphique 51 dédiée et, via un module 53 de transmission de données graphiques/vidéo, à un afficheur de l'ensemble 23 primaire de modules 30 électroniques de sortie représenté sur la figure 1.Le GPU est également apte à traiter des entrées graphiques/vidéo, reçues via le module électronique de réception 43. Par ailleurs, le processeur de traitement 45 est également connecté à un module 55 électronique d'émission sécurisée, configuré pour fournir des données délivrées par le processeur de traitement 45 aux autres équipements aval (par exemple de l'ensemble 35 primaire de modules électroniques de sortie 23) et aux chaines secondaire 15 ou tertiaire 17 via les liaisons de communications sécurisées 37. 3061344 10 Pour alimenter électriquement l'ensemble des modules électroniques qu'il contient le calculateur 41 comprend une alimentation basse tension 59. De plus, un calculateur primaire 41 comprend optionnellement (tel que représenté en pointillés) un module électronique 61 interne de surveillance locale du bon 5 fonctionnement élémentaire d'au moins un composant du calculateur primaire 41. En effet, selon l'invention, la chaine primaire 13 est associée à un niveau de criticité moins exigeant que le niveau de criticité de la chaine secondaire 15, ce qui permet de limiter le nombre de modules électroniques dédiés à la surveillance du traitement mis en oeuvre par les calculateurs primaires 41. 10 Ainsi, par rapport aux chaines primaires classiques comprenant au moins une voie de surveillance, la chaine primaire est « allégée » par déport de cette criticité sur la chaine secondaire. Par ailleurs, en cas de mise en oeuvre de commandes de vol électriques, des modules de calcul de ces commandes de vol électrique (non représentés) sont, 15 optionnellement, physiquement intégrés aux calculateurs 41 avioniques primaires. Au sein de la chaine primaire 13 représentée sur la figure 2, l'ensemble de calculateurs primaires 21 est configuré pour transmettre les données à restituer à l'équipage via l'ensemble primaire de modules électroniques de sortie 23. En particulier, selon un mode nominal, la chaine primaire 13 est propre à traiter et 20 restituer, via les modules électroniques de sortie 23, des informations d'aide au pilotage telles que des paramètres de vol, des informations de communication air/sol, des informations de navigation et de trajectoire de vol, des alertes et procédures anormales et d'urgence. Selon la figure 2, pour assurer une redondance d'implémentation avionique 25 l'ensemble 23 primaire de modules électroniques de sortie comprend deux sous- ensembles 63 primaires de modules électroniques de sortie identiques. Chaque ensemble 23 primaire de modules électroniques de sortie comprend par exemple : - des afficheurs dont le nombre varie, par exemple, de un à quatre, et dont la diagonale 30 d'écran est préférentiellement comprise entre quatorze et vingt pouces. De tels afficheurs primaires utilisent par exemple les technologies d'afficheur AMLCD, incluent un dispositif de désignation tactile par exemple de technologie capacitive, et/ou sont connectés à un dispositif de pointage, i.e. le dispositif de commande de curseur est une boule roulante (de l'anglais trackball), un pavé tactile (de l'anglais touchpad), ou encore une souris, et/ou 35 optionnellement, 3061344 11 - des afficheurs élémentaires (voyants) sur des postes de commande, et/ou optionnellement, - des actionneurs (actionneurs de manche ou manette en sortie du pilote automatique), et/ou optionnellement, 5 - des émetteurs configurés pour transmettre par des liaisons de données à des systèmes aval comme les commandes de vol électriques (non représentées). - des émetteurs radioélectriques. Les fonctions avioniques réalisées par cette chaine primaire 13 sont : - pilotage automatique, pour maintenir l'attitude, l'altitude, la vitesse, la pente, le cap, la 10 route, et aussi pour suivre une pente d'approche ILS (de l'anglais Instrument Landing system) ou GLS (de l'anglais Global Positioning Landing system (approche de précision de catégorie 1 par exemple) - gestion du plan de vol et élaboration d'une trajectoire complexe avec prédictions et optimisation du vol en temps ou carburant par exemple, par exemple une trajectoire RNP 15 (de l'anglais Required Navigation Performance) de classe de précision faible à moyenne (pas plus sévère que 0,3 nm par exemple). Un tel module de gestion est aussi propre à utiliser une trajectoire fournie via les liaisons de communications sécurisées 37, par une autre chaine, par exemple la chaine tertiaire 17, et - affichage de paramètres de vol et des moteurs de l'aéronef, 20 - génération d'alerte en cas de dysfonctionnement de l'aéronef ou en cas de détection d'au moins un risque sur la trajectoire, - gestion des communications audio et liaisons de données air-sol via des modules de communications air/sol associés à la chaine primaire 13 (non représentés), - surveillance de l'environnement (météo, trafic, obstacles), 25 - aide à la navigation sur aéroport, réglage des modules électroniques de sortie 63, par exemple, en utilisant des moyens de réglages directement intégrés dans chaque modules électroniques de sortie 63. Un exemple de configuration de la chaine secondaire 15 est détaillé sur la figure 4. 30 La chaine secondaire 15 est, selon l'invention, dissimilaire en termes de conception technologique par rapport à la chaine primaire 13. Une telle dissimilarité est, par exemple, mise en oeuvre à un ou plusieurs niveaux de la chaine secondaire 15, à savoir au niveau de l'ensemble 25 de capteurs secondaires, au niveau de l'ensemble 27 de calculateurs secondaires et au niveau de l'ensemble 29 secondaire de modules 35 électroniques de sortie. 3061344 12 La chaine secondaire 15 est configurée pour mettre en oeuvre un mode modérément dégradé de fonctionnement dans lequel les informations du mode nominal de la chaine primaire 13 sont restituées partiellement. En d'autres termes, la chaine secondaire 15 est propre à mettre en oeuvre les 5 fonctions essentielles non seulement en termes de restitution des paramètres de vol vitaux au pilotage mais également en termes de confort minimum de pilotage avec une ou des fonctions avioniques évoluées appartenant au groupe comprenant pilotage automatique, gestion du plan de vol, génération d'alerte en cas de dysfonctionnement de l'aéronef ou en cas de détection d'au moins un risque sur la trajectoire. 10 Par ailleurs, la chaine secondaire 15 est associée au niveau de criticité maximal (DAL A) permettant de garantir une sûreté de fonctionnement maximale. Pour ce faire, la chaine secondaire 15 comprend au moins une voie de commande COM et une voie de surveillance MON. La voie de surveillance MON est configurée pour surveiller la voie de commande 15 COM afin de garantir le plus haut niveau d'intégrité. La voie de surveillance MON effectue les mêmes traitements que la voie de commande COM, à partir des mêmes entrées, et compare le résultat de sortie avec celui de la voie de commande COM. En cas de divergence, une alerte est générée et les sorties sont par exemple inhibées. Dans une autre variante de réalisation, la voie MON 20 acquiert les résultats de la voie COM, effectue la fonction inverse et compare le résultat à sa propre acquisition des mêmes entrées. Le déport de la voie de surveillance de la chaine primaire 13 à la chaine secondaire 15 permet d'alléger la chaine primaire 13 dont le niveau de criticité (DAL) est moins exigeant que celui de la chaine secondaire 15, et le niveau de complexité est plus 25 élevé par rapport à la chaine secondaire 15. Selon l'exemple de la figure 4, la chaine secondaire 15 comprend deux voies de commandes COM dupliquées et deux voies de surveillance MON dupliquées pour assurer la disponibilité des fonctions avioniques mises en oeuvre. A titre d'alternative (non représentée), pour garantir disponibilité et sûreté 30 maximales, au lieu de deux paires redondantes de voies de commande et de surveillance, trois voies de commande et un dispositif de vote sont mis en oeuvre. L'ensemble 25 de capteurs secondaires de la chaine secondaire 15 comprend, par exemple, plusieurs sous-ensembles 65 identiques de capteurs redondés pour assurer disponibilité et contrôle d'intégrité. 35 Chaque ensemble 25 secondaire de capteurs comprend par exemple: 3061344 13 - des capteurs de paramètres de vol relatifs à l'air tels que des centrales anémo- barométriques de détermination d'altitude, vitesse air, - des capteurs de paramètres relatifs à la terre tels qu'une centrale de cap et d'attitude, par exemple à base de capteurs inertiels de type MEMS (de l'anglais Micro-Electro- 5 Mechanical Systems), - des capteurs de radio-navigation, de type VOR (de l'anglais Vertical Omnidirectional Range) ou ILS (de l'anglais Instrument Landing system), et/ou un radio-altimètre, - un module de géopositionnement de l'aéronef, par exemple GNSS (« Global Navigation Satellite System »). 10 - des postes de commande à la disposition du pilote (bouton, clavier), optionnellement reliés physiquement aux afficheurs. L'ensemble de capteurs secondaires 25 est connecté à l'ensemble de calculateurs secondaires 27. L'ensemble de calculateurs secondaires 27 comprend deux calculateurs 15 identiques de commande COM et deux calculateurs identiques de surveillance MON. Autrement dit, un calculateur secondaire de commande COM est appairé à un calculateur secondaire de surveillance MON notamment au moyen d'une liaison de communication d'appariement 67. Par ailleurs, les deux calculateurs identiques de commande COM communiquent via une liaison de communication de redondance 69, et les deux 20 calculateurs identiques de surveillance MON communiquent également via une liaison de communication de redondance 69. La structure générale d'un calculateur secondaire de commande COM ou d'un calculateur secondaire de surveillance MON est identique à celle du calculateur de la figure 3 décrite en relation avec la chaine primaire 13, à la différence que les modules 25 électroniques (composants de calcul, mémoire, alimentation, etc), composant un calculateur secondaire 41 sont technologiquement distincts (en conception matérielle et/ou en langage logiciel de conception) des modules électroniques 43, 45, 47, 49, 51, 53, 55, et 59 composant un calculateur primaire 41. Un calculateur secondaire 27 comprend un module électronique de réception 30 configuré pour recevoir les données fournies par les ensembles de capteurs secondaires 65 redondants et les données ou consignes fournies par les autres chaines primaire 13 ou tertiaire 17 via les liaisons de communications sécurisées 37. Optionnellement, un tel module électronique de réception de données provenant d'autres chaines comprend un dispositif de contrôle d'intégrité. 35 Par rapport au processeur de traitement 45 d'un calculateur primaire 41, le processeur de traitement d'un calculateur secondaire 27 est un processeur de 3061344 14 performance inférieure, de faible à moyenne puissance, par exemple, de la famille Texas@ TMS 370/570 ou Motorola@ PowerQuick2Pro. En cas de mise en oeuvre de commandes de vol électriques, des modules de calcul de ces commandes de vol électriques (non représentés) sont, optionnellement, 5 physiquement intégrés aux calculateurs 27 avioniques secondaires. Par ailleurs, le processeur de traitement d'un calculateur secondaire 27 (de commande COM ou de surveillance MON) est également connecté à un module électronique d'émission sécurisée, configuré pour fournir des données délivrées par le processeur de traitement secondaire aux autres chaines primaire 13 ou tertiaire 17 via les 10 liaisons de communications sécurisées 37. Au sein de la chaine secondaire 15 représentée sur la figure 4, l'ensemble de calculateurs secondaires 27 est configuré pour transmettre les données à restituer à l'équipage via l'ensemble 29 secondaire de modules électroniques de sortie. En particulier, selon un mode dégradé du système global d'aide au pilotage selon 15 l'invention, la chaine secondaire 15 est propre à traiter et restituer partiellement, via les modules électroniques de sortie 29, des informations d'aide au pilotage délivrées selon le mode nominal par la chaine primaire 13. Il s'agit des informations d'aide au pilotage indispensables à la sécurité de vol, telles que des paramètres de vol, des informations de communication air/sol, des informations de navigation et de trajectoire de vol, des alertes, 20 par exemple, une alerte de décrochage, des procédures anormales et d'urgence. Les chaines primaire 13 et secondaire 15 étant dissimilaires technologiquement, que ce soit d'un point de vue matériel ou logiciel, l'ensemble des informations d'aide au pilotage est calculé et restitué différemment d'une chaine à l'autre. Selon la figure 4, pour assurer une redondance d'implémentation avionique 25 l'ensemble 29 secondaire de modules électroniques de sortie comprend par exemple plusieurs sous-ensembles 71 secondaires de modules électroniques de sortie identiques. Chaque ensemble 29 secondaire de modules électroniques de sortie comprend : - des afficheurs, dont le nombre varie, par exemple, de un à quatre, dont la diagonale d'écran est préférentiellement comprise entre neuf et douze pouces, ou au moins 30 supérieure ou égale à six pouces, et dont la technologie est distincte de ceux mis en oeuvre dans la chaine primaire 13. De tels afficheurs secondaires utilisent, par exemple, les technologies d'afficheur OLED ou LCD, et incluent optionnellement un dispositif de désignation tactile infra-rouge, et sont optionnellement, connectés à, ou incorporent un dispositif de pointage, i.e. le dispositif de commande de curseur à boutons associés à 35 quatre directions, et/ou optionnellement 3061344 15 - des actionneurs (de manches ou manettes pour la fonction pilote automatique), et/ou optionnellement, - des dispositifs de transmission, par liaisons de données vers d'autres systèmes, i.e. les commandes de vol électriques 5 Les fonctions avioniques réalisées par la chaine secondaire 15 sont : pilotage automatique pour maintenir l'altitude, la vitesse, la pente, le cap , la route, voire pour suivre une pente d'approche de précision de catégories 1, 2, ou 3 avec guidage ILS (de l'anglais Instrument Landing system), GBAS (de l'anglais Ground Based Augmentation Systems), SBAS (de l'anglais Satellite Based Augmentation Systems), le 10 pilote automatique secondaire disposant d'une interface de saisie d'un nombre d'instructions de pilotage, par l'équipage, inférieur au nombre d'instructions propres à être saisies dans la chaine primaire 13. Un tel module électronique secondaire de saisie est notamment configuré pour permettre à un équipage de modifier une consigne (reçue par la liaison 37) en provenance d'une autre chaine primaire 13 ou tertiaire 17, 15 - gestion du vol et suivi d'une trajectoire complexe, composée de segments droits et semi-circulaires, avec des prédictions en temps et consommation de carburant de précision faible à moyenne (par exemple de l'ordre de 1 minute à 5 minutes en temps d'arrivée, là où la chaine primaire 13 ou tertiaire 17 donneront, par exemple, respectivement moins d'une minute / une dizaine de secondes), et/ou bien détermination 20 des aéroports de diversion les plus proches en distance instantanée, et sélectionnés sur les critères essentiels de viabilité et sécurité. L'association d'un tel pilotage automatique et d'une telle gestion du vol permet, par exemple, de suivre une trajectoire RNP (de l'anglais Required Navigation Performance) en dessous de la classe de précision 0.3nm, voire 0.1nm, 25 - affichage de paramètres de vol et des moteurs de l'aéronef, - génération d'alerte en cas de dysfonctionnement de l'aéronef ou en cas de détection d'au moins un risque sur la trajectoire - gestion des communications air-sol, soit via tout ou partie des modules de communications air/sol associés à la chaine primaire 13, soit via des modules de 30 communication air/sol dédiés à la chaine secondaire 15. réglage des modules électroniques de sortie secondaires 71, par exemple, en utilisant des modules de réglage directement intégrés dans chaque modules électroniques de sortie 71. En cas de dysfonctionnement de la chaine primaire 13, la chaine secondaire 15 est reconfigurable pour activer/désactiver les modules électroniques 35 qui la constitue afin de ne sélectionner que les modules électroniques nécessaires au pilotage dans cette situation d'urgence. 3061344 16 Un exemple de configuration de la chaine tertiaire 17 est détaillé sur la figure 5. La chaine tertiaire 17 est configurée pour mettre en oeuvre, selon le mode d'enrichissement, des fonctions avioniques complexes pour contribuer à l'efficacité de la mission et de l'équipage, sans effet sur la sécurité de vol. 5 Chaque ensemble 31 de récepteurs de données d'entrées de la chaine tertiaire 17 comprend un ou des dispositifs ou ports de réception de données émises par les chaines primaire 13 ou secondaire 15 via les liaisons de communication sécurisée 37, émises via des centres de calcul situés au sol et accessibles via les modules de communication sol/bord ou saisies, via une interface de saisie par l'équipage. En d'autres termes, hormis 10 les dispositifs de réception tertiaires, la chaine tertiaire 17 ne dispose pas obligatoirement de capteurs dédiés aux fonctions avioniques qu'elle met en oeuvre. L'ensemble 31 de récepteurs de données d'entrées de la chaine tertiaire 17 comprend, par exemple, plusieurs sous-ensembles 73 identiques de récepteurs/ports de réception de données d'entrées redondés pour assurer de la disponibilité. 15 L'ensemble de récepteurs de données d'entrées tertiaires 31 est connecté à l'ensemble de calculateurs tertiaires 33. Selon l'exemple de la figure 5, l'ensemble de calculateurs tertiaires 33 comprend deux calculateurs 75 identiques pour traiter respectivement les paramètres de vol fournis par les deux sous-ensembles de capteurs tertiaires 73. Cette redondance est liée au 20 besoin plus ou moins grand en termes opérationnels et non à un besoin de sécurité des fonctions tertiaires. La structure générale d'un calculateur tertiaire 75 est identique à celle du calculateur de la figure 3 décrite en relation avec la chaine primaire 13, à l'exclusion généralement du module 61 de surveillance locale de bon fonctionnement élémentaire. 25 Les modules électroniques (composants de calcul, mémoire, alimentation, etc.), composant un calculateur tertiaire 75 sont technologiquement distincts (en conception matérielle et/ou en langage logiciel de conception) des modules électroniques composant un calculateur primaire 41 ou un calculateur secondaire 27. En particulier, la chaine tertiaire 17 n'ayant pas d'impact sur la sécurité de vol, un 30 calculateur tertiaire comprend par exemple des composants électroniques grand public sans garantie d'intégrité mais permettant de bénéficier des dernières avancées informatiques. Selon l'invention, un calculateur tertiaire 75 comprend un module électronique d'émission sécurisée, configuré pour fournir des données aux autres chaines primaire 13 35 ou secondaire 15 via les liaisons de communications sécurisées 37. 3061344 17 Au sein de la chaine tertiaire 17 représentée sur la figure 5, l'ensemble de calculateurs tertiaires 33 est configuré pour transmettre les données à restituer à l'équipage via l'ensemble 35 tertiaire de modules électroniques de sortie. En particulier, la connexion entre les chaines permet d'utiliser les afficheurs primaires et secondaires pour 5 restituer les informations tertiaires et dans certaines implémentations (non représentées), il n'y a pas d'afficheurs tertiaires dédiés installés. Selon la figure 5, pour assurer une redondance d'implémentation avionique l'ensemble 35 tertiaire de modules électroniques de sortie ou afficheurs comprend deux sous-ensembles 77 tertiaires de modules électroniques de sortie identiques 10 correspondant à des afficheurs dédiés, aux afficheurs des chaines primaire 13 et secondaire 15, ou encore à des modules électroniques de communication air/sol. En particulier, selon le mode d'enrichissement, la chaine tertiaire 17 est propre à: - afficher des informations d'aide au pilotage non critiques (en termes d'effet sur la sécurité du vol) : documentation, planification du vol et des opérations, messagerie 15 électronique, formulaires administratifs, caméras de surveillance,... à mettre en oeuvre des fonctions avioniques d'optimisation de confort de pilotage: o d'aide à la planification ou re-planification du vol et de la mission en affichant une proposition ordonnée d'aéroports de diversion possibles avec prise en compte de critères multiples, 20 o de recherche d'optimisation en temps, carburant, service passagers en affichant une estimation fine de la consommation et du temps le long du vol (par exemple à quelques secondes prés) ou en proposant des routes et des profils de vol améliorant une combinaison de ces deux critères temps et consommation, voire d'autres o d'aide à la maintenance, etc. 25 Les Figures 6 à 10 sont des vues schématiques de différentes dispositions d'écrans d'afficheurs du système d'aide au pilotage de la figure 1 dans un cockpit de l'aéronef, les écrans 79 de taille maximale étant associés à la chaine primaire 13, les écrans 81 de taille inférieure avec une diagonale supérieure ou égale à six pouces sont associés à la chaine secondaire 15. 30 Les écrans d'afficheurs primaires ou secondaires sont par exemple « tête basse » correspondant aux écrans conventionnels installés dans le cockpit en vue directe; semitransparent fixés dans le cockpit (« tête haute »), ou sur la tête ou casque du pilote (« portés») et permettant de visualiser en même temps des images synthétiques et la scène en vue directe à l'extérieur de l'avion par exemple. D'autres modes de réalisation 35 de système d'aide au pilotage sont envisageables. 3061344 18 Notamment, le système d'aide au pilotage de la Figure 1 est un exemple de réalisation non limitatif. Des variantes d'assemblage d'une chaine basées sur un regroupement, dans un même équipement physique ou dans différents équipements physiques distincts, de capteur(s) et/ou calculateur(s) et/ou afficheur(s) sont par exemple 5 mise en oeuvre à titre d'alternative. Le module électronique GPU 49 avec sa mémoire graphique 51 du calculateur primaire est, par exemple, physiquement intégré dans un afficheur au lieu d'être intégré dans le calculateur primaire 41. Par ailleurs, selon une autre variante la répartition des fonctions avioniques mises en oeuvre respectivement par la chaine primaire 13 et par la chaine secondaire 15 sont 10 différentes du mode de réalisation décrit en relation avec les figures 1 à 5. Par exemple, le module électronique de pilotage automatique primaire est apte à mettre en oeuvre les capacités maximales d'atterrissage notamment sans visibilité, tandis que le pilote automatique de la chaine secondaire est plus limité et seulement apte à mettre en oeuvre des capacités d'atterrissage en visibilité intermédiaire. 15 La répartition selon l'invention optimisée, avec ou sans duplication, des différentes fonctions avioniques sur trois chaines primaire 13, secondaire 15 ou tertiaire 17 d'aide au pilotage dissimilaires matériellement et/ou logiciellement, et associées chacune à des niveaux de criticité distincts permet un allègement de la chaine primaire au profit : - d'une chaine secondaire de niveau de criticité maximale propre à mettre en oeuvre une 20 à plusieurs voies de surveillance, et - d'une chaine tertiaire pour les fonctions avioniques de recherche d'optimisation sans effet sur la sécurité du vol. Le coût de conception de la chaine primaire 13 est réduit par la limitation de son niveau de criticité, d'une part, et par le déport de complexité vers le tertiaire d'autre part. 25 La chaine secondaire selon l'invention est, par rapport aux chaines de secours actuelles, plus complète et propre à mettre en oeuvre des fonctions avioniques de pilotage et/ou de navigation automatique avec des écrans plus grands' permettant une facilité de prise en main et un apprentissage aisé par l'équipage du mode dégradé, avec un meilleur niveau de service rendu. 30 REVENDICATIONS1. Système d'aide au pilotage d'aéronef, comprenant au moins une chaine primaire (13) et au moins une chaine secondaire (15), chaque chaine (13, 15) comprenant une pluralité de modules électroniques interconnectés, les chaines primaire (13) et secondaire (15) différant l'une de l'autre par au moins un module électronique, chaque chaine (13, 15) étant configurée pour au moins restituer des informations d'aide au pilotage et pour la mise en oeuvre d'au moins une fonction avionique appartenant au groupe comprenant : pilotage automatique, gestion du plan de vol et élaboration de trajectoire, génération d'alerte en cas de dysfonctionnement de l'aéronef ou en cas de détection d'au moins un risque sur la trajectoire, la chaîne primaire (13) étant configurée pour fonctionner selon un mode nominal de restitution d'informations d'aide au pilotage, et la chaine secondaire (15) étant configurée pour fonctionner selon un mode dégradé dans lequel les informations du mode nominal sont restituées partiellement. 2. Système d'aide au pilotage selon la revendication 1, dans lequel la chaine primaire (13) et la chaine secondaire (15) sont associées chacune à des niveaux de criticité (DAL) distincts, la chaine secondaire (15) étant associée à un niveau de criticité (DAL) plus exigeant que le niveau de criticité (DAL) associé à la chaine primaire (13). 3. Système d'aide au pilotage selon l'une quelconque des revendications précédentes, dans lequel, la chaine secondaire (15) est configurée pour : - être activée en cas de dysfonctionnement de la chaine primaire (13), ou - fonctionner en parallèle de la chaine primaire (13). 4. Système d'aide au pilotage selon l'une quelconque des revendications précédentes, dans lequel la taille (79) d'écran(s) d'afficheur(s) de la chaine primaire (13) est égale ou supérieure à la taille (81) d'écran(s) d'afficheur(s) de la chaine secondaire (15), la diagonale d'écran(s) de la chaine secondaire (15) étant supérieure ou égale à six pouces. 3061344 20 5. Système d'aide au pilotage selon l'une quelconque des revendications précédentes, dans lequel, dans chaque chaine (13, 15), au moins un écran de module électronique est tactile et/ou est configuré pour être connecté à un dispositif de pointage. 5 6. Système d'aide au pilotage selon l'une quelconque des revendications précédentes comprenant en outre une chaine tertiaire (17) configurée pour fonctionner selon un mode d'enrichissement de restitution d'informations d'aide au pilotage comprenant au moins une information d'aide au pilotage supplémentaire et distincte des informations d'aide au pilotage du mode nominal ou du mode dégradé, les chaines 10 primaire (13), secondaire (15) et tertiaire (17) différant deux à deux par au moins un module électronique. 7. Système d'aide au pilotage selon la revendication 6, dans lequel au moins deux chaines (13, 15, 17) distinctes sont configurées pour être connectées par une liaison (37) 15 de communication sécurisée. 8. Système d'aide au pilotage selon la revendication 7, dans lequel une des au moins deux chaines (13, 15, 17) configurées pour être connectées par une liaison (37) de communication sécurisée comprend un module électronique configuré pour exécuter une 20 consigne reçue de l'autre chaine. 9. Système d'aide au pilotage selon la revendication 8, dans lequel la chaine secondaire (15) comprend en outre un module électronique de saisie d'instructions de pilotage. 25 10. Système d'aide au pilotage selon l'une quelconque des revendications précédentes dans lequel au moins une chaine (13, 15, 17) est reconfigurable en cas de dysfonctionnement d'une autre chaine (13, 15, 17).