FR 3060162 A1 20180615 FR 1601768 A 20161213 3060162 GESTION DU JOURNAL DE BORD D'UN AERONEF Domaine de l'invention L'invention concerne le domaine technique des systèmes embarqués en avionique, et plus particulièrement les méthodes et les systèmes pour la gestion du journal de bord d'un aéronef. Etat de la Technique Un « journal de bord » (ou "logbook" en anglais) est un document qui se trouve à bord du cockpit d'un aéronef. Ce journal de bord, papier ou électronique, peut consigner de très nombreuses informations, de différents types. Il consigne généralement des données et/ou des paramètres de vol (e.g. « logs » de vol, quantités de carburant, données de dégivrage, des rapports divers) ainsi que des données et des paramètres de maintenance (e.g. gestion des défauts constatés sur l'avion par l'équipage ou les opérateurs de maintenance, historique de maintenance de l'appareil, etc). Ce document particulier est l'objet de plusieurs réglementations aéronautiques. En particulier, il constitue une référence unique, en raison de la réglementation. Le journal de bord - qu'il soit papier ou électronique - se trouve aujourd'hui physiquement à bord de l'avion. Sa localisation physique oblige à une mise à jour séquentielle (i.e. un utilisateur après l'autre). Un journal de bord, par exemple en papier, comprend généralement plusieurs feuillets, avec pour chaque feuillet plusieurs copies carbones, ces copies carbones permettant aux différents utilisateurs d'avoir accès en lecture à l'état technique de l'avion. Afin de pouvoir planifier la maintenance, qui requiert un état technique consolidé, chaque feuillet utilisé du journal de bord est recopié manuellement dans le système de maintenance de la compagnie aérienne. L'exemplaire original papier du journal de bord est conservé à bord. C'est celle-ci qui est mis à jour par l'équipage et certains 2 3060162 opérateurs. Le journal de bord consigne en effet l'état technique de l'aéronef lequel est pris en compte par le pilote dans sa préparation de vol, accepté avant le départ et mis à jour selon les besoins pendant le vol. Suite à ces mises à jour, et selon la maintenance planifiée sur l'aéronef, les opérateurs de maintenance reportent les 5 opérations de maintenance effectuées pour assurer la navigabilité de l'aéronef. La circulation du document imprimé est donc contrainte dans l'espace et/ou dans le temps, en suivant une série d'étapes dont l'ordonnancement est prédéfini. Les versions électroniques du journal de bord transposent directement la version papier. Les mises à jour sont faites à bord de manière séquentielle, la seule différence 10 étant que la mise à jour du système de maintenance se fait de manière électronique. Dans certains cas, ces versions électroniques permettent des consultations à distance. Cette gestion des informations (journal de bord papier ou selon sa transposition en 15 électronique) présente des limitations. L'état de la technique décrit différentes approches pour faciliter la manipulation d'un journal de bord (notamment dans sa version électronique). Ces approches résolvent certains problèmes techniques mais présentent des limitations résiduelles. Les procédures existantes de mise à jour du journal de bord continuent notamment d'obliger les utilisateurs à se déplacer à bord 20 de l'aéronef (ce qui peut poser des problèmes de sécurité en multipliant les intervenants à bord et/ou impliquer des délais supplémentaires). L'accès séquentiel en écriture peut conduire les utilisateurs à devoir attendre leur tour, avant de pouvoir procéder à une mise à jour. Quant aux équipes au sol, elles peuvent n'avoir accès qu'à une information potentiellement obsolète et/ou incomplète (et 25 notamment sans en être prévenues), par exemple en raison de contraintes et de limitations de synchronisation particulières (e.g. recopies manuelles, etc). Il existe un besoin pour des systèmes et procédés de gestion des données consignées dans ce journal de bord de type réglementé. 30 3 3060162 Résumé de l'invention Il est décrit un procédé de gestion d'un journal de bord électronique d'un aéronef, comprenant les étapes consistant à accorder ou refuser une requête en lecture 5 et/ou en écriture par un poste client en fonction de critères prédéfinis comprenant des critères associés à des intervalles de temps prédéfinis et des critères de connectivité réseau. Des développements décrivent la gestion d'un mode dégradé (par exemple en cas d'interruption et/ou du rétablissement de la connectivité réseau, e.g. avec notification des postes clients et/ou des sauvegardes locales), 10 des critères en outre fonction de la partie du journal de bord électronique désignée par la requête en lecture et/ou en écriture, de niveaux de sécurité et/ou de priorités. Des aspects de chiffrement, de vérification d'intégrité, de qualité de service réseau et de base de données distribuée sont décrits. Des aspects de logiciel et de système sont décrits. 15 Dans certains modes de réalisation, l'invention combine des étapes de gestion du journal de bord en verrouillage de lecture et/ou écriture et des étapes de gestion de la connectivité réseau. Différents modes de réalisation décrivent l'usage de notifications, l'usage d'intervalles de temps pour effectuer la synchronisation, 20 l'usage de mise en cache, des modalités d'interaction graphique spécifiant les informations modifiables ou non, etc. Dans un mode de réalisation, l'invention concerne un procédé et un système d'aide à la décision pour la gestion du journal de bord d'un aéronef. 25 Avantageusement, l'invention combine un ou plusieurs mécanismes de verrouillage en lecture/écriture et un ou plusieurs mécanismes de gestion de l'état de la connectivité réseau. Les mécanismes de verrouillage permettent de garantir aux différents utilisateurs un accès en écriture à distance au journal de bord en tenant 30 compte des responsabilités de chacun. Ceci confère des gains de temps et d'argent en évitant aux agents quand cela est possible d'avoir à se déplacer jusqu'à l'aéronef pour mettre à jour le journal de bord. Le mécanisme de gestion de l'état de la connectivité permet à la compagnie de pouvoir continuer à se servir du journal de 4 3060162 bord électronique même en cas de mauvaise connectivité (économies de temps aux utilisateurs et d'argent pour la compagnie aérienne). Avantageusement, l'invention permet aux utilisateurs d'éviter à avoir à se déplacer 5 à bord de l'aéronef pour mettre à jour le journal de bord (e.g. gain en matière de sécurité, gain de temps). Avantageusement, l'invention permet d'éviter que les utilisateurs soient obligés de patienter et d'attendre leur tour avant de pouvoir mettre à jour le journal de bord (en 10 raison de l'accès séquentiel en écriture). Tous les utilisateurs gagnent du temps et fournissent de l'information quand ils le souhaitent. L'invention permet la mise à jour du journal de bord, en parallèle et à distance, par des utilisateurs de profils différents et via différents médias (e.g. ordinateurs, téléphones, tablettes). 15 Avantageusement, l'invention permet au sol d'accéder (e.g. via le système de maintenance ou par accès direct à l'application depuis le sol) à une information mise à jour et complète, en raison d'une gestion améliorée de la synchronisation des données. L'invention permet l'accès à une information, complète et à jour, par n'importe quel utilisateur (à bord ou au sol), et en notifiant éventuellement 20 l'utilisateur en cas d'information obsolète. Avantageusement, le journal de bord et ses modes de gestion associés peuvent amoindrir la charge cognitive du pilote, diminuant le temps nécessaire aux prises de décision et améliorant corollairement la sûreté du vol de l'aéronef. 25 Avantageusement, les modes de réalisation de l'invention permettent la prise en compte de la connectivité réseau (concernant notamment les accès en lecture/écriture au journal de bord). Les approches existantes peuvent conduire à des divergences entre les bases de données embarquées respectivement au sol et 30 à bord. Avantageusement, les modes de réalisation de l'invention permettent de gérer de manière appropriée (i.e. sûre) les accès concurrents et/ou de gérer les conflits 5 3060162 d'accès au journal de bord et de synchroniser les données au mieux étant donné les pertes de connectivité (modes « dégradés). Avantageusement, un journal de bord électronique selon l'invention peut être utilisé 5 comme outil de communication temps réel entre plusieurs intervenants aériens (pilote et équipage, opérateurs de maintenance). Avantageusement, le journal de bord électronique selon l'invention permet une coopération renforcée entre les équipes au sol et les équipes navigantes. En particulier, plusieurs utilisateurs peuvent utiliser le journal de bord selon l'invention, en lecture et en écriture, sans 10 avoir besoin de se déplacer à bord de l'aéronef (permettant ainsi à la compagnie un gain de temps et d'argent). Avantageusement selon l'invention, les utilisateurs pourront utiliser le journal de bord même en cas de mauvaise connectivité entre sol et bord. 15 Dans un mode de réalisation de l'invention, les accès au journal de bord peuvent être contrôlés, synchronisés et également être effectués selon différentes modalités d'interfaces homme-machine (interfaces Web, systèmes de réalité augmentée et/ou virtuelle, etc). Avantageusement, des personnalisations d'accès sont permises par l'invention (par exemple, les interfaces d'accès en lecture et/ou écriture peuvent 20 être personnalisées selon les compagnies aériennes (e.g. nommage des différents objets manipulés, personnalisation selon les compagnies aériennes). Description des figures 25 D'autres caractéristiques et avantages de l'invention apparaîtront à l'aide de la description qui suit et des figures des dessins annexés dans lesquels: La figure 1 illustre des exemples de séquences de manipulation d'un journal de bord selon la réglementation aéronautique en vigueur ; 30 La figure 2 illustre des exemples de systèmes pour la mise en oeuvre du procédé selon l'invention ; 6 3060162 La figure 3 illustre certains aspects de l'invention relatifs au mécanisme de verrouillage ; La figure 4 illustre certains aspects de l'invention relatifs à la gestion de la 5 connectivité. Description détaillée de l'invention Il est décrit un procédé de gestion d'un journal de bord électronique d'un aéronef, comprenant les étapes consistant à : - accorder ou refuser une requête en lecture 10 et/ou en écriture par un poste client parmi une pluralité du/dans ledit journal de bord électronique, en fonction de critères prédéfinis comprenant: - des critères associés à des intervalles de temps prédéfinis régissant les droits en lecture et/ou en écriture des postes clients avant, pendant et après le vol; et - des critères de connectivité réseau entre un ou plusieurs postes clients et la base de données associée au 15 journal de bord électronique. Un utilisateur (e.g. pilote ou opérateur de maintenance) se sert d'un poste client (objet connecté e.g. ordinateur, tablette, etc). Un utilisateur peut faire partie d'un groupe (profil d'utilisateur, fonction), catégorie jouissant de privilèges spécifiques en 20 lecture et/ou écriture dans les différentes bases de données. L'expression «A et/ou B» désigne trois possibilités : conjonction (A et B) et deux alternatives (A, B). L'expression « lecture et/ou écriture » signifie qu'un poste client peut demander à lire la base de données (le journal), sans vouloir y écrire. Un poste 25 client peut demander à écrire dans la base de données, sans nécessiter sa lecture. Un poste client peut demander à lire et à écrire dans la base de données (dans les deux ordres : d'abord lire puis écrire, ou inversement. Le terme « accorder » signifie selon les cas consentir, donner accord à, autoriser ou 30 déverrouiller (l'accès). Le terme « refuser » signifie selon les cas interdire, rejeter, prévenir ou verrouiller (l'accès). 7 3060162 Les critères selon l'invention sont prédéfinis mais généralement configurables. Un critère peut être invariant ou au contraire variable. Dans certains modes de réalisation, un critère peut être défini dynamiquement (par exemple en fonction d'un autre critère). Les « intervalles de temps » sont des « phases ». D'autres jalons 5 peuvent être ajoutés (liste ouverte). Les critères de connectivité réseau sont décrits ci-après. Dans un mode de réalisation, le procédé comprend en outre l'étape consistant à notifier un poste client en cas d'interruption et/ou du rétablissement de la 10 connectivité réseau. Dans certains modes de réalisation, les évolutions de l'état du réseau inter-clients et/ou avec la base de données instanciant la base de données peuvent être signalées aux utilisateurs. Par exemple, les interruptions réseau (donnée factuelle) 15 peuvent être signalées, de même que les ralentissements (probabilité de coupure). Dans certains modes de réalisation, par exemple en cas d'interruption réseau, un temps d'attente moyen peut être indiqué à l'utilisateur (ce temps moyen peut résulter d'analyse probabiliste en considération de statistiques passées). Dans un mode de réalisation, la détermination d'une interruption réseau déclenche la mise en cache locale des requêtes (et des saisies dudit poste client). Une fois la connectivité réseau rétablie, l'envoi effectif de la requête (et/ou des informations saisies), peut également être notifié à l'utilisateur. Dans certains modes de réalisation, des mesures proactives peuvent être déterminées. Par exemple, une connexion entre deux points endurant trop de fluctuations en matière de bande passante pourra par exemple être considérée comme insuffisamment fiable et notifiée comme telle à l'utilisateur concerné. Dans un mode de réalisation, le procédé comprend en outre l'étape consistant à sauvegarder localement dans le poste client la requête, en lecture et/ou en écriture, ainsi que les informations accompagnant ladite requête. Dans un mode de 20 25 30 8 3060162 réalisation, dans une situation « dégradée » en matière réseau (e.g. ralentissement ou interruption), les opérateurs au sol peuvent par exemple continuer à travailler et à stocker au moins temporairement leurs écritures (en mode « brouillon »). 5 Dans un mode de réalisation, le procédé comprend en outre l'étape consistant à notifier un poste client en cas d'accord ou de refus de sa requête en lecture et/ou en écriture. Un retour d'information vers le poste client est entièrement facultatif mais est avantageux, dans la perspective d'une communication efficace. Sur le terrain, des décisions peuvent être reportées dans le temps en cas de refus par 10 exemple. Dans un mode de réalisation, les droits d'accès en lecture et/ou écriture sont en outre fonction de la partie du journal de bord électronique désignée par la requête en lecture et/ou en écriture. Une « partie » peut désigner un document, une donnée 15 ou un groupe de données du journal de bord. Des opérations menées à une granularité fine (donnée, champ, sections du journal de bord) peuvent permettre de détecter rapidement et précisément une éventuelle incohérence (et également d'y remédier rapidement). 20 Dans un mode de réalisation, les droits d'accès en lecture et/ou écriture sont en outre fonction d'un niveau de sécurité parmi une pluralité de niveaux de sécurité prédéfinis. Un niveau de sécurité peut être associé à un poste client (caractéristiques matérielles de l'objet connecté) et/ou à l'utilisateur (profil fonctionnel) émettant une requête en lecture et/ou en écriture. Dans un mode de 25 réalisation, chacun des postes clients peut être associé à un niveau de sécurité. Dans d'autres modes de réalisation, une partie des postes clients est caractérisée. Dans un mode de réalisation, les droits d'accès en lecture et/ou écriture sont en outre fonction d'un niveau de priorité parmi une pluralité de niveaux de priorité 30 prédéfinis. Un niveau de priorité (hiérarchique) définit l'ordre dans lequel les accès en lecture et/ou en écriture seront effectivement effectués. Les opérations de lecture d'une part et les opérations d'écriture peuvent être gérées de manière distincte ou différenciée. Les niveaux de priorité sont généralement prédéfinis. Dans 9 3060162 un mode de réalisation, les différents niveaux de priorité associés aux différents profils d'utilisateur et bases de données sont configurables (par exemple par les compagnies aériennes). La gestion de priorités entre les requêtes de lecture et/ou écriture permet en particulier de réguler les conflits ou collisions. Des règles 5 logiques peuvent organiser ou régir ces niveaux de priorités. Au sein d'un même niveau de sécurité, des règles de gestion des collisions/conflits peuvent être implémentées. Dans un mode de réalisation, les communications entre un ou plusieurs postes 10 clients et/ou la base de données associée au journal de bord électronique sont chiffrées. Le transport des données est avantageusement chiffré, de manière à prévenir des interceptions de données et/ou leur modification. Dans un mode de réalisation, le procédé comprend en outre l'étape consistant à 15 vérifier l'intégrité d'une ou de plusieurs parties du journal de bord électronique. Une vérification d'intégrité lors des accès au journal de bord (dans son entièreté ou à une de ses sous-parties) peut se révéler avantageuse. De telles vérifications d'intégrité se déroulent alors généralement avant et/ou après les accès par les différents intervenants. Des manipulations malveillantes ou des erreurs 20 accidentelles peuvent en effet se produire. Dans un mode de réalisation, les critères de connectivité réseau comprennent des critères indicatifs de la qualité de service du réseau. La connectivité réseau est généralement évolutive. Suivant les incidents, ralentissements, accélérations ou 25 interruptions réseau, la connectivité réseau peut varier au cours du temps, entre la base de données et les postes clients mais également entre les postes clients. Dans un mode de réalisation, la connectivité peut être binaire (présence ou absence de réseau). Dans certains modes de réalisation, la connectivité peut être quantifiée ou discrétisée (localement ou globalement). La connectivité peut être 30 associée à un graphe. Des mesures, notamment de disponibilité, débit, délai de transmission, gigue et taux de perte d'informations (historiques ou statistiques, actuelles ou prédictives) peuvent être associées au graphe ou à la topologie du réseau (entre les bases de données et les postes clients) 10 3060162 La qualité de service (QoS) désigne la capacité à communiquer dans de bonnes conditions un type de trafic donné, en termes de disponibilité, débit, délais de transmission, gigue, et taux de perte d'informations. La manipulation de la qualité 5 de service réseau a pour but d'optimiser les ressources d'un réseau et de garantir de bonnes performances aux postes clients ou applications. La qualité de service permet notamment d'offrir aux utilisateurs des débits et des temps de réponse différenciés par applications et/ou selon les utilisateurs (ou encore selon d'autres critères). 10 Dans un mode de réalisation, le procédé comprend en outre l'étape consistant à enregistrer sur un support de mémoire amovible et/ou à imprimer le journal de bord. Le journal de bord électronique ne coexiste pas généralement pas avec un journal 15 de bord papier. En revanche, il est réglementaire avant chaque vol de laisser au sol un exemplaire du Iogbook. S'il n'est pas possible de laisser une version électronique (par exemple en l'absence de synchronisation ou de connectivité réseau), il est avantageux dans un mode dégradé de faire une copie du journal de bord (en l'état, i.e. dans le dernier état accessible). Cette copie par exemple peut se 20 faire de manière électronique (e.g. sur un support amovible de type carte SD ou clef USB) et/ou de manière physique (e.g. impression papier). Dans un mode de réalisation, le journal de bord électronique est obtenu depuis un journal de bord papier par une ou plusieurs étapes comprenant une étape 25 consistant à reconnaître une écriture manuscrite, une étape consistant à reconnaître optiquement des caractères imprimés après un ou plusieurs acquisition d'images dudit journal papier, ainsi que des étapes de dictée vocale. Par exemple, une caméra vidéo (flux d'images) et/ou un appareil photo ou un scanner automatisé peut transcrire le journal de bord papier en son équivalent électronique. 30 Dans un mode de réalisation, un poste client est associé à un utilisateur, ledit utilisateur étant sélectionné parmi les utilisateurs comprenant un commandant de bord de l'aéronef, un copilote, un opérateur de maintenance de type PART M, un 11 3060162 opérateur de maintenance de type PART 145. Dans un mode de réalisation, les intervalles de temps prédéfinis sont déterminés entre des jalons temporels, ces jalons temporels comprenant l'acceptation par le 5 pilote du statut technique de l'aéronef, la révision de ladite acceptation (« break acceptance »), l'approbation pour remise en service (« maintenance release »), l'instant à partir duquel le pilote devient actif sur la mission et la signature du statut technique par le pilote en fin de mission 10 II est décrit un produit programme d'ordinateur, ledit programme d'ordinateur comprenant des instructions de code permettant d'effectuer une ou plusieurs des étapes du procédé, lorsque ledit programme est exécuté sur un ordinateur. Il est décrit un système pour la mise en oeuvre de la gestion d'un journal de bord 15 aéronautique, ledit système comprenant au moins une première base de données hébergée par un serveur localisé dans le cockpit de l'aéronef, ladite première base de données instanciant le journal de bord réglementaire. Dans un développement, le système comprend en outre au moins une seconde base de données, ladite base de données étant synchronisée avec la première base de données. Dans un 20 développement, le système comprend une pluralité de bases de données, lesdites bases de données étant synchronisées entre elles. Dans un développement, un poste client étant sélectionné parmi les postes clients comprenant un ordinateur, un téléphone portable, une tablette, un sac de vol électronique ou un dispositif de réalité virtuelle et/ou augmentée. 25 Des exemples de modes de réalisation sont décrits ci-après. La figure 1 illustre des exemples de séquences de manipulation d'un journal de bord selon la réglementation aéronautique en vigueur. 30 Le journal de bord peut être manipulé (lecture et/ou écriture) par différents intervenants, notamment un opérateur du centre de contrôle OCC 101, un pilote (e.g. le commandant de bord) ou un membre de l'équipage 102, un opérateur de 12 3060162 maintenance (de type PART 145 103 ou PART M 104). Différentes séquences sont décrites ci-après. 5 La préparation du dossier de vol 111 (en anglais « Folder preparation ») est effectuée par l'OCC 101. Il y indique s'il existe des limitations opérationnelles liées à l'aéronef. La phase dite de « Flight briefing » 121 est effectuée par l'équipage qui prépare sa 10 mission en tenant compte des potentielles limitations opérationnelles associées à l'aéronef La phase dite de « Preflight » 122 est effectuée par un membre de l'équipage. Le pilote décide d'exécuter - ou non - sa mission avec cet aéronef. Dans le premier cas 15 il formalise cette décision par l'acceptation de l' « état technique » de l'avion (en anglais « technical acceptance » 120. A partir de ce moment l'équipage devient responsable du journal de bord. La phase dite de « Flight execution » 123 correspond au vol de l'aéronef 20 proprement dit : l'équipage consigne les éventuels incidents techniques rencontrés au cours du déroulement de la mission dans le journal de bord. Durant la phase dite de « Post flight » 124, l'équipage s'assure que tous les incidents pouvant avoir un impact sur la navigabilité de l'avion ont été écrits dans le 25 journal de bord. Il clos alors le journal de bord à l'étape dite de « Sign off » 130 (clôture du journal de bord). Concernant les opérations de maintenance, la phase de « Maintenance execution » 131 et 132 correspond aux opérations de maintenance, réalisées au sol, qui sont 30 nécessaires au maintien ou à la remise de l'aéronef en état de navigabilité (en fonction des opérations de maintenance planifiées et/ou des incidents remontés par l'équipage). Dans certains cas, un vol peut se dérouler sans qu'il y ait de phase de maintenance ultérieure. 13 3060162 Avant, pendant et après le vol se déroule une phase de « Maintenance planification » 141 durant laquelle les opérateurs (e.g. PART M) planifient les opérations de maintenance à effectuer afin de maintenir l'aéronef en état de 5 navigabilité. Sont également pris en compte les incidents remontés par le pilote (ou par la maintenance au cours d'opérations de maintenance planifiées). Comme décrit précédemment, le journal de bord est utilisé par plusieurs utilisateurs au cours des différentes phases. Certains ont des besoins en lecture seule (e.g. OCC, PART M), d'autres ont des besoins en lecture et en écriture (e.g. équipage, 10 PART 145). Ces besoins en écriture peuvent être concurrents (i.e. les requêtes peuvent être reçues ou émises en parallèle ou sensiblement simultanément). Par exemple, l'équipage et les opérateurs PART 145 peuvent souhaiter modifier le journal de bord 15 au même moment. Au sein même de l'équipe PART 145, des conflits ou collisions peuvent survenir (plusieurs opérateurs sont susceptibles d'intervenir en même temps sur un aéronef). Les modes de réalisation de l'invention viennent faciliter et enrichir ce flux de 20 gestion réglementaire La figure 2 illustre des exemples de systèmes pour la mise en oeuvre du procédé selon l'invention. 25 Un aéronef 200 comprend un cockpit 210. Dans le cockpit se trouve le journal de bord 200 (noté C pour « Cockpit »). Ce journal de bord électronique est accessible depuis différents clients, par exemple 231, 232, 233. Un client peut être un ordinateur, un téléphone portable, une tablette ou un sac de vol électronique e.g. Electronic Flight Bag, un casque de réalité virtuelle, un appareil de réalité 30 augmentée, etc. Les accès réseaux peuvent être effectués par un ou plusieurs réseaux choisis parmi des réseaux sans fil 2G, 3G, 4G, 5G, Wifi, Bluetooth (e.g. BLE) ou propriétaires. En vol, un réseau de type SATCOM peut être utilisé. Certains tronçons de communication peuvent utiliser des réseaux filaires (e.g. 14 3060162 interne à l'avion ou entre l'équipe de maintenance et le cockpit via une interface connectable depuis l'extérieur, e.g. par fibre, câbles), l'usage d'un réseau filaire minimisant le risque d'interception. Les échanges peuvent être authentifiés et/ou chiffrés. Un second journal de bord 250 peut être accédé en lecture / écriture. Ce 5 second journal de bord noté G pour « Ground » (sol) est une copie du journal de bord C 220 présent dans le cockpit. Cette copie G est synchronisée avec le journal C, via le réseau 240. Des ressources informatiques (e.g. calcul, stockage) peuvent être accédées à distance via le réseau 240. La figure illustre la diversité des accès pouvant être effectués pour lire et/ou écrire dans les journaux de bord. Certaines 10 connexions sont directes (231, 220), certaines indirectes à courte distance (232, 220), certaines via le réseau 240 (233, 220, 240, 250). Les architectures informatiques peuvent être centralisées (le journal de bord C peut être une base de données implémentée dans un serveur physiquement localisé dans le cockpit) et/ou décentralisées ou distribuées (par exemple le journal de bord G peut être une base 15 de données distribuée dans les appareils clients des opérateurs de maintenance). Différents mécanismes propres à l'invention peuvent être mis en oeuvre dans ce système (et ses variantes). En effet, selon les modes de réalisation de l'invention, différents mécanismes peuvent être combinés, par exemple un ou plusieurs 20 mécanismes de verrouillage (lecture/écriture) du journal de bord, notamment en fonction des phases de vol/maintenance et/ou des profils utilisateurs (droits d'accès), et également en fonction de l'état de la connectivité réseau. La figure 3 illustre certains aspects de l'invention relatifs au mécanisme de 25 verrouillage. Avant l'acceptation technique 120, le pilote 102 prépare le vol. Si l'aéronef n'est pas dans un état de navigabilité acceptable 320, alors des corrections ou opérations de maintenance 342 peuvent être effectuées sur l'aéronef. 30 Après l'acceptation technique 120, je journal de bord est sous la responsabilité du commandant de bord 102 jusqu'à l'étape de Sign Off 130. Durant ce laps de temps, les opérateurs PART 145 ne doivent pas pouvoir accéder en écriture au journal de 15 3060162 bord. Le procédé selon l'invention comprend une étape consistant à verrouiller le journal de bord en écriture pour tout opérateur de profil PART 145, entre l'acceptation technique 120 de la part du commandant jusqu'à l'étape de Sign Off 130. Avant l'acceptation technique 120 ou après le Sign Off 130, les opérateurs ont 5 accès au journal de bord en écriture. Il peut arriver qu'un défaut (« defect » en anglais) soit identifié après l'acceptation technique 120 alors que l'avion est encore au sol. Ce défaut s'il peut être corrigé rapidement par la maintenance, ne remet pas nécessairement en cause la mission 10 avec cet aéronef. Il peut être alors utile pour l'équipage de rendre la main à la maintenance sans pour autant clôturer le vol par un Sign Off 130. Dans un mode de réalisation, le commandant de bord peut revenir sur sa décision d'accepter le statut technique de l'appareil (révision de l'acceptation technique 241 15 ou « break acceptance » en anglais, acronyme BA). Cette décision peut être motivée par un incident 340. Le cas échéant, une fois une telle action prise par le commandant de bord, les opérateurs PART 145 ont à nouveau accès au journal de bord, en écriture, et peuvent alors y reporter des actions de maintenance (passées ou en cours). 20 Le commandant peut ensuite accepter (ou non) à l'étape 330 le nouvel état technique de l'avion pour accomplir sa mission (par exemple après une correction 342 puis un réexamen de la situation par le pilote 320). 25 Dans un mode de réalisation de l'invention, la possibilité pour le pilote de procéder à une révision de l'acceptation technique 341 peut être conditionnée au fait que l'avion se trouve toujours au sol. En effectuant le Sign Off 130, l'équipage stipule que tous les incidents constatés et 30 ayant un impact sur la navigabilité de l'aéronef ont été reportés ou consignés. Suite au « Sign Off » 130, l'équipage ne devrait alors plus pouvoir accéder au journal de bord. Dans un mode de réalisation de l'invention, le journal de bord peut être verrouillé en écriture pour l'équipage, une fois le « Sign Off » 130 de la mission 16 3060162 ayant été effectué. Dans un mode de réalisation, trois jalons principaux définissent les phases de gestion du journal de bord : l'acceptation du statut technique de l'aéronef 120 5 (« technical acceptance » en anglais ou TA), le Sign Off 130 et la possibilité pour le pilote de reconsidérer l'acceptation technique (« break acceptance » 341). Dans certains modes de réalisation, une pluralité de jalons additionnels sont pris en compte, de manière à faciliter une gestion plus précise des droits de lecture et/ou écriture. Par exemple, des jalons de « maintenance release » (approbation pour 10 remise en service) ou de « sign in » peuvent déterminer les moments à partir desquels les opérateurs déclarent la fin de leurs opérations ou le pilote se considère comme actif sur sa mission. Des mécanismes de verrouillage en lecture et/ou en écriture peuvent aménager la 15 gestion du journal de bord pendant les intervalles de temps bornés par les jalons précédemment décrits (ou d'autres non représentés). La figure 4 illustre certains aspects de l'invention relatifs à la gestion de la connectivité. 20 Le mécanisme de verrouillage précédemment décrit ne fonctionne que dans le cadre d'une connectivité parfaite entre les différents opérateurs. Dans le cadre d'une connectivité partielle, ce mécanisme n'est fonctionnel que s'il 25 est complété par un mécanisme de synchronisation. Cette synchronisation selon l'invention peut notamment être conditionnelle, notamment être fonction de l'état de connectivité entre le journal de bord et un ou plusieurs de ses clients. Dans un mode de réalisation, le journal de bord peut être implémenté dans une 30 base de données unique, i.e. la base de données « originale » ou « réglementée » 220 (dans le cockpit). Cette configuration est plus exigeante en matière de connectivité. En d'autres termes, si la communication est rompue entre le serveur et un client, les opérations de vol envisagées sont interrompues. 17 3060162 Dans un mode de réalisation, le journal de bord peut être implémenté dans plusieurs bases de données, par exemple dans la base de données « originale » ou « réglementée » 220 (dans le cockpit) et/ou une « copie » ou « cache » 250 (par 5 exemple au sol). Cette configuration est plus avantageuse en matière de connectivité, car si une des bases de données n'est plus accessible, l'autre peut continuer à recevoir des écritures et/ou délivrer des informations. Par exemple, s'il n'y a plus de connectivité entre l'avion et le sol, un utilisateur situé au sol peut toujours consulter l'état technique de l'avion en consultant la base de données au 10 sol. Dans le cas où une pluralité de bases de données est mise en oeuvre, les différentes bases de données peuvent être maintenues dans un état de cohérence entre elles, notamment en utilisant des droits en lecture et/ou écriture. Par exemple, 15 si le commandant de bord a procédé à l'acceptation technique, il ne faut pas qu'un opérateur au sol puisse accéder à l'application en écriture. Dès lors. Si la connectivité entre les bases de données est assurée, ces dernières peuvent se synchroniser. Par exemple, l'acceptation du capitaine peut être transmise au sol par synchronisation. L'opérateur de maintenance ne pourra alors ni accéder en écriture 20 à la base de données à bord, ni à la base de données au sol. Dans un mode de réalisation, en cas de rupture de connectivité entre le sol et le bord, une unique base de données peut devenir la base de données de référence. Les autres bases de données, le cas échéant, sont alors restreintes en lecture 25 seule. De manière optionnelle, un utilisateur se connectant à ces bases peut être informé ou notifié de l'état du réseau, ou plus en détails des différentes informations pouvant être modifiées (ou pas). Des messages informant que les données peuvent être obsolètes (et/ou devenir obsolètes) peuvent être fournies, et lesdites informations peuvent être indiquées. Si des estimations relatives au réseau et/ou 30 aux procédures opérateurs sont disponibles (par exemple des statistiques), un temps d'attente moyen peut être indiqué. La mise en cache d'informations saisies par un opérateur peut également être indiquée (et l'envoi effectif le cas échéant peut être notifié). 18 3060162 La figure 4 montre quelques exemples de scénarios illustrant la gestion de la connectivité additionnellement aux phases de gestion, selon l'invention, du journal de bord. Dans l'exemple, la base de données considérée comme la base de 5 données de référence est la base de données C 220. Dans un mode de réalisation (mode hors-ligne ou « offline » i.e. sans accès réseau), le mécanisme de verrouillage pourra être assoupli : des accès en écriture à une base de données locale peuvent être autorisés. Pour éviter une 10 synchronisation entre deux bases de données incohérentes, une synchronisation conditionnelle peut être mise en oeuvre. Dans un mode de réalisation, une synchronisation conditionnelle consiste à synchroniser des données en tenant compte de l'état de la base de données 15 réceptrice: pour écrire dans la base de données réceptrice, il faut que l'auteur des mises à jour ait les droits en écriture dans cette base de données. Par exemple une mise à jour hors ligne d'un membre d'équipage 102 peut ne pas être synchronisée avec la base de données C si le Sign Off a déjà été effectué. 20 La figure 4 illustre quelques exemples de gestion de la connectivité dans un système mettant en oeuvre le procédé selon l'invention. Dans un premier exemple, le pilote 102 en utilisant une tablette 231 modifie le journal de bord C 220, lequel est synchronisé avec sa copie au sol G 250. Cette copie au sol peut par exemple être verrouillée 301 (Si le pilote n'a pas exprimé son acceptation technique, la base de 25 données peut rester dans un état déverrouillé). Dans un exemple, un opérateur de maintenance 103 PART 145 peut souhaiter modifier le journal G et envoyer une requête en ce sens au pilote, lequel peut accepter la requête en écriture : le pilote déverrouille 302 le journal G (mais conserve le journal C dans un état verrouillé). Toujours selon l'exemple, la communication est interrompue 310 entre le journal C 30 et le journal G, ce dernier étant dans un état verrouillé. Cette perte de connexion est notifiée 312 au pilote 102, qui doit attendre le rétablissement de la communication pour pouvoir déverrouiller le journal G. Dans l'intervalle, l'accès en lecture 311 au journal G continue d'être effectif de la part des opérateurs au sol, qui peuvent 19 3060162 stocker temporairement leurs modifications en local dans leurs appareils (e.g. 232 ou 233), le temps que la communication soit rétablie et que le journal G soit actualisé 313. Le pilote peut alors déverrouiller 314 l'accès en écriture au journal G. Le pilote peut généralement déverrouiller le journal en procédant à une révision de 5 l'acceptation technique ou redevenant actif sur la mission (« sign-off »). De manière plus générale, l'emploi d'une pluralité de bases de données permet d'améliorer la gestion de la connectivité. A l'extrême, un grand nombre de bases de données permet d'améliorer la gestion des modes hors-ligne. 10 Les modalités de synchronisation des différentes bases de données peuvent être diverses. Les bases de données peuvent être mises à jour en en miroir (mises à jour incrémentales, différentielles, complètes, etc). Les bases de données peuvent être de même rang, ou au contraire de manière asservie ou hiérarchique. Les 15 bases de données peuvent être redondantes pour éviter ou amoindrir les éventuelles pertes de données. Les communications entre bases de données peuvent être effectuées de manière régulière (par exemple indépendamment des événements de lecture/écriture) ou intermittentes, ou encore de manière opportuniste (quand la bande passante permet des communications efficaces, ou 20 quand des réseaux ad hoc permettent de bonnes transmissions). Dans un mode de réalisation, une synchronisation montante (d'un client vers le serveur hébergeant le journal de bord) peut être bloquée (ou empêchée ou interrompue ou prévenue ou interdite), par exemple en cas d'absence de connectivité entre le serveur à bord et le serveur au sol (ou si la connectivité est jugée insuffisante, par exemple en regard 25 de seuils prédéfinis, par exemple en fonction de critères de qualité de service). Une connexion endurant trop de fluctuations en matière de bande passante pourra par exemple être considérée comme insuffisamment fiable. Dans un mode de réalisation, la synchronisation montante (d'un client vers le serveur hébergeant le journal de bord) peut être bloquée en cas de différences (e.g. seuillées) entre l'état 30 du serveur et celui du client. Différents développements ou modes de réalisation sont décrits ci-après. 20 3060162 Dans un mode de réalisation, il est décrit un procédé mis en oeuvre par ordinateur de gestion d'un journal de bord d'un aéronef comprenant les étapes consistant à:-recevoir une requête de modification d'un (poste) client d'un ou de plusieurs éléments du journal de bord électronique hébergé dans un serveur embarqué dans 5 l'aéronef ; le client étant opéré par le pilote, le copilote ou un opérateur de maintenance ;- déterminer les droits de lecture et/ou écriture dudit poste client concernant lesdits un ou plusieurs éléments ; lesdits droits étant déterminés selon des intervalles de temps prédéfinis ;- le cas échéant, modifier le journal de bord, verrouiller l'accès au journal de bord et signaler comme tel que l'accès est 10 verrouillé; - synchroniser le journal de bord avec les différents postes clients. Dans un développement, i.e. en combinaison des caractéristiques propres au journal de bord électronique selon l'invention, il peut être consigné ou enregistré ou stocké des photos et des vidéos, au sein du journal de bord ou en association avec 15 ce dernier. Afin de guider conseiller d'assister le pilote dans sa tâche de description de l'état de l'appareil, et également de manière à faciliter le travail des équipes de maintenances en aval, une ou plusieurs listes prédéfinies peuvent être proposées pour sélection. Par exemple, l'équipage peut être en mesure d'ajouter des éléments multimédias (photo vidéo bande-son), pour contextualiser les problèmes signalés. 20 Après le vol, des enregistrements relatifs à la quantité de carburant à l'arrivée peuvent également être effectués. Dans un mode de réalisation, le procédé peut également comprendre des étapes de traitement de l'information, lesquelles peuvent par exemple permettre 25 l'identification automatique de limitations ou de contraintes, tels que les contraintes de type « ETOPS ». Certains aspects relatifs aux modes de réalisation de l'invention sont décrits ci-après. 30 La présente invention peut s'implémenter à partir d'éléments matériel et/ou logiciel. Elle peut être disponible en tant que produit programme d'ordinateur sur un support 21 3060162 lisible par ordinateur. Le support peut être électronique, magnétique, optique ou électromagnétique. Les moyens ou ressources informatiques peuvent être centralisés et/ou être distribués ("Cloud computing"), éventuellement avec ou selon des technologies de 5 pair-à-pair et/ou de virtualisation et/ou de redondance. Le code logiciel peut être exécuté sur n'importe quel processeur approprié (par exemple, un microprocesseur) ou coeur de processeur ou un ensemble de processeurs, qu'ils soient prévus dans un dispositif de calcul unique ou répartis entre plusieurs dispositifs de calcul. La mise en oeuvre informatique de l'invention peut utiliser des 10 systèmes centralisés (e.g. client-serveur ou maître-esclave) et/ou des systèmes distribués (e.g. architecture de type pair-à-pair utilisant des ressources informatiques accessibles, éventuellement de manière opportuniste e.g. réseaux ad hoc, etc). Le système (ou ses variantes) implémentant une ou plusieurs des étapes du 15 procédé peut utiliser un ou plusieurs circuits électroniques dédiés ou un circuit à usage général. Le procédé peut aussi être mis en oeuvre sur une machine de calcul reprogrammable (un processeur ou un micro contrôleur, par exemple) exécutant un programme comprenant une séquence d'instructions, ou sur une machine de calcul dédiée (par exemple un ensemble de portes logiques comme un FPGA ou un ASIC, 20 ou tout autre module matériel). Un circuit dédié peut notamment accélérer les performances, par exemple en matière d'accès au journal de bord. A titre d'exemple d'architecture matérielle adaptée à mettre en oeuvre l'invention, un dispositif peut comporter un bus de communication auquel sont reliés une unité centrale de traitement ou microprocesseur (CPU, acronyme de «Central Processing Unit» en 25 anglais), lequel processeur peut être "multi-core" ou "many-core"; une mémoire morte (ROM, acronyme de «Read Only Memory» en anglais) pouvant comporter les programmes nécessaires à la mise en oeuvre de l'invention; une mémoire vive ou mémoire cache (RAM, acronyme de «Random Access Memory» en anglais) comportant des registres adaptés à enregistrer des variables et paramètres créés et 30 modifiés au cours de l'exécution des programmes précités; et une interface de communication ou E/S (I/O acronyme de «Input/output» en anglais) adaptée à transmettre et à recevoir des données. 22 3060162 Dans le cas où l'invention est implantée sur une machine de calcul reprogrammable, le programme correspondant (c'est-à-dire la séquence d'instructions) peut être stocké dans ou sur un médium de stockage amovible (par exemple une mémoire flash, une carte SD), un moyen de stockage de masse tel 5 que un disque dur e.g. un SSD) ou non-amovible, volatile ou non-volatile, ce médium de stockage étant lisible partiellement ou totalement par un ordinateur ou un processeur. La référence à un programme d'ordinateur qui, lorsqu'il est exécuté, effectue l'une quelconque des fonctions décrites précédemment, ne se limite pas à un programme 10 d'application s'exécutant sur un ordinateur hôte unique. Au contraire, les termes programme d'ordinateur et logiciel sont utilisés ici dans un sens général pour faire référence à tout type de code informatique (par exemple un logiciel d'application, un micro logiciel, un microcode, ou toute autre forme d'instruction d'ordinateur) qui peut être utilisé pour programmer un ou plusieurs processeurs pour mettre en oeuvre des 15 étapes du procédé. 20 25 23 REVENDICATIONS1. Un procédé de gestion d'un journal de bord électronique d'un aéronef, comprenant les étapes consistant à : - accorder ou refuser une requête en lecture et/ou en écriture par un poste client parmi une pluralité du/dans ledit journal de bord électronique, en fonction de critères prédéfinis comprenant: - des critères associés à des intervalles de temps prédéfinis régissant les droits en lecture et/ou en écriture des postes clients avant, pendant et après le vol; et - des critères de connectivité réseau entre un ou plusieurs postes clients et la base de données associée au journal de bord électronique. 2. Procédé selon la revendication 1, comprenant en outre l'étape consistant à notifier un poste client en cas d'interruption et/ou du rétablissement de la connectivité réseau. 3. Procédé selon la revendication 2, comprenant en outre l'étape consistant à sauvegarder localement dans le poste client la requête, en lecture et/ou en écriture, ainsi que les informations accompagnant ladite requête. 4. Procédé selon la revendication 1, comprenant en outre l'étape consistant à notifier un poste client en cas d'accord ou de refus de sa requête en lecture et/ou en écriture. 5. Procédé selon l'une quelconque des revendications précédentes, les droits d'accès en lecture et/ou écriture étant en outre fonction de la partie du journal de bord électronique désignée par la requête en lecture et/ou en écriture. 6. Procédé selon l'une quelconque des revendications précédentes, les droits d'accès en lecture et/ou écriture étant en outre fonction d'un niveau de sécurité parmi une pluralité de niveaux de sécurité prédéfinis. 7. Procédé selon l'une quelconque des revendications précédentes, les droits 24 3060162 d'accès en lecture et/ou écriture étant en outre fonction d'un niveau de priorité parmi une pluralité de niveaux de priorité prédéfinis. 8. Procédé selon l'une quelconque des revendications précédentes, les 5 communications entre un ou plusieurs postes clients et/ou la base de données associée au journal de bord électronique étant chiffrées. 9. Procédé selon l'une quelconque des revendications précédentes, comprenant en outre une étape consistant à vérifier l'intégrité d'une ou de plusieurs parties du 10 journal de bord électronique. 10. Procédé selon l'une quelconque des revendications précédentes, les critères de connectivité réseau comprenant des critères indicatifs de la qualité de service du réseau. 15 11. Procédé selon l'une quelconque des revendications précédentes, comprenant en outre une étape consistant à enregistrer sur un support de mémoire amovible et/ou à imprimer le journal de bord. 20 12. Procédé selon l'une quelconque des revendications précédentes, un poste client étant associé à un utilisateur, ledit utilisateur étant sélectionné parmi les utilisateurs comprenant un commandant de bord de l'aéronef, un copilote, un opérateur de maintenance de type PART M, un opérateur de maintenance de type PART 145. 25 13. Procédé selon l'une quelconque des revendications précédentes, les intervalles de temps prédéfinis étant déterminés entre des jalons temporels, ces jalons temporels comprenant l'acceptation par le pilote du statut technique de l'aéronef, la révision de ladite acceptation, l'approbation pour remise en service, l'instant à partir 30 duquel le pilote devient actif sur la mission et la signature du statut technique par le pilote en fin de mission. 14. Produit programme d'ordinateur, ledit programme d'ordinateur comprenant des 25 3060162 instructions de code permettant d'effectuer les étapes du procédé selon l'une quelconque des revendications 1 à 13, lorsque ledit programme est exécuté sur un ordinateur. 5 15. Un système pour la mise en oeuvre de la gestion d'un journal de bord aéronautique selon l'une quelconque des revendications précédentes, ledit système comprenant au moins une première base de données hébergée par un serveur localisé dans le cockpit de l'aéronef, ladite première base de données instanciant le journal de bord réglementaire. 10 16. Système selon la revendication 15, comprenant en outre une seconde base de données, ladite base de données étant synchronisée avec la première base de données. 15 17. Système selon la revendication 15 comprenant une pluralité de bases de données, lesdites bases de données étant synchronisées entre elles. 18. Système selon la revendication 15, comprenant une pluralité de postes clients, un poste client étant sélectionné parmi les postes clients comprenant un ordinateur, 20 un téléphone portable, une tablette, un sac de vol électronique ou un dispositif de réalité virtuelle et/ou augmentée. 25 30