FR 3062745 A1 20180810 FR 1750910 A 20170203 1 DOMAINE TECHNIQUE La présente invention concerne un dispositif et un procédé de gestion de vol sécurisée d'un aéronef. ÉTAT DE LA TECHNIQUE Les architectures avioniques actuelles comportent généralement au moins un système de gestion de vol (FMS pour « Flight Management System » en anglais) dans la partie avionique qui offre notamment à l'équipage la possibilité de définir avant le vol et de maintenir ou faire évoluer pendant le vol la route à suivre pour amener les passagers à destination. Dans le cadre de la présente invention : - une partie (ou monde) avionique concerne des éléments (modules de calcul, systèmes, etc.) embarqués, qui sont sécurisés de manière à obéir à des contraintes données d'intégrité et de disponibilité ; et - une partie monde ouvert concerne des équipements (ordinateur portable, tablette, etc.) embarqués dans le poste de pilotage de l'aéronef et hébergeant des applications et contenant des données, qui sont insuffisamment sécurisées pour être utilisées directement par des fonctions critiques de l'aéronef. En particulier, les compagnies aériennes mettent à la disposition de l'équipage des outils d'aide à la gestion de la mission, qui sont intégrés dans un dispositif électronique de type EFB (« Electronic Flight Bag » en anglais) ou un autre ordinateur portable ou tablette tactile. Ces outils permettent à l'équipage de préparer la mission en avance, ou de la modifier quand il l'estime nécessaire. Les avantages d'installer ces outils sur un dispositif EFB sont multiples pour la compagnie : coût moindre, homogénéité au niveau de la flotte souvent mixte, plus grande flexibilité de modification ou d'installation, etc. 3062745 2 Pour éviter qu'une personne n'envoie des données corrompues ou n'installe un logiciel malveillant qui puisse mettre en cause la sécurité de l'aéronef, il existe des architectures sécurisées qui permettent la transmission des informations du monde ouvert vers un système avionique. 5 EXPOSÉ DE L'INVENTION La présente invention, dans une option de sécurisation, vise à permettre d'assurer une ségrégation entre un système gérant un plan de vol actif à partir duquel un aéronef est guidé et un système gérant un plan de vol 10 secondaire fourni par le monde ouvert. À cet effet, l'invention concerne un dispositif de gestion de vol sécurisé d'un aéronef pourvu d'un système de guidage configuré pour guider l'aéronef à partir d'ordres de commande reçus. Selon l'invention, le dispositif comprend : 15 - un système de gestion de vol configuré pour déterminer une trajectoire de vol de l'aéronef non active à l'instant courant ; - un module de guidage configuré pour fournir des ordres de commande au système de guidage à partir de la trajectoire de vol déterminée par le système de gestion de vol ; 20 - une interface sécurisée entre le système de gestion de vol et le module de guidage ; le système de gestion de vol comportant : - une interface homme-machine configurée pour permettre à un opérateur de valider une trajectoire de vol ; 25 - un premier module de transmission configuré pour transmettre la trajectoire de vol déterminée par le système de gestion de vol au module de guidage via l'interface sécurisée après que la trajectoire de vol déterminée a été validée par l'opérateur à l'aide de l'interface homme-machine, 3062745 3 - un deuxième module de transmission configuré pour transmettre la trajectoire de vol déterminée par le système de gestion de vol au module de guidage via l'interface sécurisée de façon périodique ou suite un événement susceptible de modifier la trajectoire de vol. 5 Grâce à l'invention, il est possible d'insérer des données du monde ouvert en toute sécurité. En effet, le système de gestion de vol communique avec le module de guidage via une interface sécurisée après que la trajectoire est validée par l'équipage. Il existe donc une ségrégation matérielle et logicielle suffisante entre le plan de vol actif dans le module de guidage et les 10 plans de vol secondaires dans le système de gestion de vol, ce qui permet d'insérer des données en provenance du monde ouvert dans le système de gestion de vol en toute sécurité pour en faire valider le contenu fonctionnel par l'équipage avant insertion dans le plan de vol actif pour guider l'aéronef. De plus, le système de gestion de vol comprend : 15 - une base de données de navigation configurée pour stocker des informations utiles pour le calcul d'un plan de vol ; - une première unité de calcul configurée pour calculer un plan de vol à partir des informations de la base de données de navigation ; - une deuxième unité de calcul configurée pour calculer une trajectoire 20 de vol à partir d'un plan de vol. Par ailleurs, la première unité de calcul est, en outre, configurée pour réviser un plan de vol transmis par le premier module de transmission au module de guidage, le plan de vol étant révisé de façon périodique ou suite à un événement susceptible de modifier la trajectoire de vol. 25 Selon un mode de réalisation, le système de gestion de vol comprend : - au moins un premier module de stockage configuré pour stocker au moins un plan de vol issu du monde ouvert, 3062745 4 - au moins un deuxième module de stockage configuré pour stocker au moins une trajectoire de vol calculée par la deuxième unité de calcul à partir du plan de vol issu du monde ouvert, - une interface de données issues du monde ouvert configurée pour 5 transférer au moins un plan de vol issu du monde ouvert dans le premier module de stockage. Par ailleurs, le système de gestion de vol comprend un module de modification de plan de vol configuré pour transmettre à la première unité de calcul une requête en révision de plan de vol. 10 Selon une particularité, l'interface homme-machine comprend un écran configuré pour afficher la trajectoire de vol calculée par la deuxième unité de calcul. Selon une autre particularité, le module de guidage comprend : - un troisième module de stockage configuré pour stocker la trajectoire 15 de vol déterminée par le système de gestion de vol ; - un quatrième module de stockage configuré pour stocker le plan de vol à partir duquel le système de gestion de vol a déterminé ladite trajectoire de vol, la trajectoire de vol et le plan de vol étant transmis par le premier module de 20 transmission après que la trajectoire de vol déterminée a été validée par l'opérateur à l'aide de l'interface homme-machine, la trajectoire de vol et le plan de vol étant transmis par le deuxième module de transmission de façon périodique ou suite à un événement susceptible de modifier la trajectoire de vol. 25 L'invention concerne aussi un procédé de gestion de vol sécurisé d'un aéronef pourvu d'un système de guidage configuré pour guider l'aéronef à partir d'ordres de commande reçus. Selon l'invention, le procédé comprend : 3062745 5 - une étape de détermination d'une trajectoire de vol, mise en oeuvre par un système de gestion de vol, consistant à déterminer une trajectoire de vol de l'aéronef non active à l'instant courant, - une étape de validation, mise en oeuvre par une interface homme- 5 machine, consistant à la validation par un opérateur de la trajectoire de vol déterminée par le système de gestion de vol, - une première étape de transmission, mise en oeuvre par un module de transmission, consistant à transmettre la trajectoire de vol, déterminée par le système de gestion de vol et validée par l'opérateur à l'aide de l'interface 10 homme-machine, à un module de guidage via une interface sécurisée, - une deuxième étape de transmission, mise en oeuvre par un deuxième module de transmission, consistant à transmettre la trajectoire de vol déterminée par le système de gestion de vol au module de guidage via l'interface sécurisée de façon périodique ou suite un événement susceptible 15 de modifier la trajectoire de vol, - une étape de détermination d'ordres de commande, mise en oeuvre par le module de guidage, consistant à déterminer des ordres de commande au système de guidage à partir de la trajectoire de vol déterminée par le système de gestion de vol. 20 De plus, l'étape de détermination d'une trajectoire de vol comprend : - une sous-étape de calcul d'un plan de vol, mise en oeuvre par une première unité de calcul, consistant à calculer un plan de vol à partir d'informations utiles pour le calcul d'un plan de vol stockées dans une base de données de navigation, 25 - une sous-étape de calcul de trajectoire de vol, mise en oeuvre par une deuxième unité de calcul du système de gestion de vol, consistant à calculer la trajectoire de vol à partir du plan de vol calculé par la première unité de calcul. Par ailleurs, l'étape de détermination d'une trajectoire de vol comprend : 3062745 6 - une sous-étape de révision dynamique de la trajectoire de vol active, mise en oeuvre par la première unité de calcul, consistant à réviser le plan de vol qui a été transmis par le premier module de transmission au module de guidage, le plan de vol étant révisé de façon périodique ou suite à un 5 événement susceptible de modifier la trajectoire de vol, - une sous-étape de calcul de trajectoire de vol, mise en oeuvre par l'unité de calcul du système de gestion de vol, consistant à calculer la trajectoire de vol à partir du plan de vol révisé par l'unité de calcul. Selon un mode de réalisation, l'étape de détermination d'une 10 trajectoire de vol comprend : - une sous-étape de stockage d'un plan de vol, mise en oeuvre par un premier module de stockage, consistant à stocker dans le premier module de stockage un plan de vol issu du monde ouvert via une interface de données issues du monde ouvert, 15 - une sous-étape de calcul de trajectoire de vol, mise en oeuvre par la deuxième unité de calcul, consistant à calculer la trajectoire de vol à partir du plan de vol stocké dans le premier module de stockage, - une sous-étape de stockage, mise en oeuvre par un deuxième module de stockage, consistant à stocker la trajectoire de vol dans le deuxième 20 module de stockage. Par ailleurs, la première étape de transmission et la deuxième étape de transmission comprennent : - une troisième sous-étape de stockage, mise en oeuvre par un troisième module de stockage, consistant à stocker la trajectoire de vol déterminée par 25 le système de gestion de vol, - une quatrième sous-étape de stockage, mise en oeuvre par un quatrième module de stockage, consistant à stocker le plan de vol à partir duquel le système de gestion de vol a déterminé ladite trajectoire de vol, 3062745 7 la trajectoire de vol et le plan de vol étant transmis lors de la première étape de transmission après que la trajectoire de vol déterminée a été validée par l'opérateur à l'étape de validation, la trajectoire de vol et le plan de vol étant transmis lors de la deuxième étape 5 de transmission de façon périodique ou suite à un événement susceptible de modifier la trajectoire de vol. Selon une particularité, le procédé comprend une étape de modification, mise en oeuvre par un module de modification, consistant à transmettre à la première unité de calcul une requête en révision de plan de 10 vol. L'invention concerne également un aéronef, en particulier un avion de transport, qui comporte un dispositif de gestion de vol sécurisé tel que décrit ci-dessus. 15 BRÈVE DESCRIPTION DES FIGURES L'invention, avec ses caractéristiques et avantages, ressortira plus clairement à la lecture de la description faite en référence aux dessins annexés dans lesquels : la figure 1 représente le dispositif de gestion de vol sécurisé selon un 20 mode de réalisation ; la figure 2 représente le procédé de gestion de vol sécurisé selon un mode de réalisation ; la figure 3 représente un aéronef comprenant le dispositif de gestion de vol sécurisé. 25 DESCRIPTION DÉTAILLÉE La suite de la description fera référence aux figures citées ci-dessus. 3062745 8 La figure 1 illustre un mode de réalisation du dispositif 1 de gestion de vol sécurisé d'un aéronef AC. Dans la suite de la description, le terme « dispositif » correspond au « dispositif de gestion de vol sécurisé d'un aéronef ». 5 Le dispositif 1 est embarqué dans un aéronef AC pourvu d'un système de guidage 4 configuré pour guider l'aéronef AC à partir d'ordres de commande reçus. Le dispositif 1 comprend un système de gestion de vol 3 configuré pour déterminer une trajectoire de vol de l'aéronef AC non active à l'instant 10 courant. Le dispositif 1 comprend également : - un module de guidage 2 configuré pour fournir des ordres de commande au système de guidage 4 à partir de la trajectoire de vol déterminée par le système de gestion de vol 3, 15 - une interface sécurisée 5 INTERF1 (INTERF pour « Interface ») entre le système de gestion de vol 3 et le module de guidage 2. L'interface sécurisé 5 peut correspondre à une interface de programmation d'application ouverte (Open API pour « Open Application Programing Interface » en anglais). 20 Par ailleurs, le système de gestion de vol 3 comporte une interface homme-machine 6 DISP1 (DISP pour « DISPLAY » en anglais) configurée pour permettre à un opérateur de valider une trajectoire de vol. L'interface homme-machine 6 peut comprendre un écran configuré pour afficher la trajectoire de vol calculée par l'unité de calcul 10. Par 25 exemple, l'interface homme-machine 6 comprend au moins un clavier tactile affiché à l'écran ou un clavier physique permettant de valider la trajectoire de vol afficher sur l'écran. En outre, le système de gestion de vol 3 comporte : 3062745 9 - un premier module de transmission 7a configuré pour transmettre la trajectoire de vol déterminée par le système de gestion de vol 3 au module de guidage 2 via l'interface sécurisée 5 après que la trajectoire de vol déterminée a été validée par l'opérateur à l'aide de l'interface homme- 5 machine 6, - un deuxième module de transmission 7b configuré pour transmettre la trajectoire de vol déterminée par le système de gestion de vol 3 au module de guidage 2 via l'interface sécurisée 5 de façon périodique ou suite un événement susceptible de modifier la trajectoire de vol. 10 Un événement correspond, par exemple, à une évolution de l'état de l'aéronef AC, à une évolution des conditions atmosphériques telles l'évolution du vent, à une entrée d'un nouveau plan de vol, etc. Le système de gestion de vol 3 comprend en outre : - une base de données de navigation 8 NDB (NDB pour « Navigation 15 Database » en anglais) configurée pour stocker des informations utiles pour le calcul d'un plan de vol ; - une unité de calcul 9 COMP1 (COMP pour « computational unit » en anglais) configurée pour calculer un plan de vol à partir des informations de la base de données de navigation 8 ; 20 - une unité de calcul 10 COMP2 configurée pour calculer une trajectoire de vol à partir d'un plan de vol. L'unité de calcul 9 est aussi configurée pour réviser un plan de vol transmis par le premier module de transmission 7a au module de guidage 2. Le plan de vol est alors révisé de façon périodique ou suite à un événement 25 susceptible de modifier la trajectoire de vol. Les plans de vol et les trajectoires de vol provenant du monde ouvert peuvent être stockés dans des modules de stockage du système de gestion de vol 3. 3062745 10 Selon un mode de réalisation représenté sur la figure 1, le système de gestion de vol 3 comprend : - au moins un module de stockage 11 STOR1 (STOR pour « storing module » en anglais), 17 STOR5 et 20 STOR7 configuré pour stocker au 5 moins un plan de vol issu du monde ouvert 12, - au moins un module de stockage 13 STOR2, 18 STOR6 et 19 STOR 8 configuré pour stocker au moins une trajectoire de vol calculée par l'unité de calcul 10 à partir du plan de vol issu du monde ouvert 12, - une interface 14 INTERF2 de données issues du monde ouvert 12 10 configurée pour transférer au moins un plan de vol issu du monde ouvert 12 dans le module de stockage 11, 17, 20. Par exemple, l'interface 14 peut correspondre à l'interface 5. Dans la configuration représentée sur la figure 1, le module de stockage 11 est configuré pour stocké un plan de vol secondaire issu du 15 monde ouvert 12. Le module de stockage 13 est configuré pour stocker une trajectoire de vol secondaire calculée par l'unité de calcul 10 à partir du plan de vol secondaire. Le module de stockage 17 est configuré pour stocker un plan de vol temporaire éventuellement issu du monde ouvert 12. Le module de stockage 18 est configuré pour stocker une trajectoire de vol calculée par 20 l'unité de calcul 10 à partir du plan de vol temporaire. Le module de stockage 20 est configuré pour stocker un plan de vol brouillon issu du monde ouvert 12. Le module de stockage 19 est configuré pour stocker une trajectoire de vol brouillon calculé à partir du plan de vol brouillon issu du monde ouvert 12. Par exemple, le plan de vol secondaire correspond à un plan de vol 25 révisé par l'unité de calcul 9. La trajectoire de vol secondaire est alors calculée par l'unité de calcul 9 à partir du plan de vol révisé. Le plan de vol temporaire correspond à un plan de vol entré par l'opérateur. La trajectoire temporaire est alors calculée par l'unité de calcul 10 à partir du plan de vol entré par l'opérateur. Cette trajectoire de vol temporaire est ensuite validée ou 30 non par l'opérateur à l'aide de l'interface homme-machine 6. Le plan de vol 3062745 11 brouillon et la trajectoire de vol brouillon correspondent respectivement à un plan de vol et une trajectoire de vol utilisés par une application extérieure au dispositif 1. De façon avantageuse, les données stockées dans les modules de 5 stockage 11, 17, 19 et 20 proviennent d'un dispositif électronique de type EFB du monde ouvert 12. Pour le module de stockage 11, les données stockées proviennent également d'un centre de contrôle de la circulation aérienne (ATC pour « Air Traffic Control » en anglais) ou d'un centre opérationnel aérien (AOC pour « Air Operations Center » en anglais) du monde ouvert 12. 10 Le système de gestion de vol 3 peut comprendre un module de modification de plan de vol configuré pour transmettre à la première unité de calcul 9 une requête en révision de plan de vol. La requête comprend les informations de révision nécessaires à la révision du plan de vol. La requête peut être entrée par l'opérateur à l'aide d'une interface de 15 modification. La requête peut aussi être envoyée par le module de guidage 2. L'interface de modification peut correspondre à l'interface homme-machine 6. La ou les informations de révision sont entrées à l'aide d'un écran tactile de l'interface homme-machine 6 ou à l'aide d'un clavier physique. L'interface de modification peut correspondre également à une 20 interface différente de l'interface homme-machine 6. La ou les informations de révision peuvent être entrées également à l'aide d'un écran tactile de l'interface ou à l'aide d'un clavier physique. L'interface de modification peut correspond aussi à une interface homme-machine déportée dans un système EFB. 25 Un nouveau plan de vol est alors révisé à partir des informations de révision à l'aide de l'unité de calcul 9. Une nouvelle trajectoire de vol est alors calculée à partir du nouveau plan de vol à l'aide de l'unité de calcul 10. 3062 745 12 Par ailleurs, le module de guidage 2 comprend un module de stockage 15 STOR3 configuré pour stocker la trajectoire de vol déterminée par le système de gestion de vol 3. Un module de stockage 16 STOR4 est compris dans le module de guidage 2. Ce module de stockage 16 est 5 configuré pour stocker le plan de vol à partir duquel le système de gestion de vol 3 a déterminé ladite trajectoire de vol. Ladite trajectoire de vol et ledit plan de vol sont transmis par le module de transmission 7a après que la trajectoire de vol, déterminée par le système de gestion de vol 3, a été validée par l'opérateur à l'aide de 10 l'interface homme-machine 6. La trajectoire de vol et le plan de vol sont également transmis par le module de transmission 7b de façon périodique ou suite à un événement susceptible de modifier la trajectoire de vol. Le module de guidage 2 peut comprendre un module de séquençage 15 21 SEQ configuré pour séquencer une portion de trajectoire du plan de vol courant, stocké dans le module de stockage 16, en fonction de la position de l'aéronef. Grâce à ce dispositif 1, une ségrégation matérielle et logicielle existe entre le plan de vol actif dans le module de guidage 2 et les plans de vol 20 secondaires dans le système de gestion de vol 3, ce qui permet, par exemple d'insérer des données en provenance du monde ouvert 12 dans le système de gestion de vol 3 pour en faire valider le contenu fonctionnel par l'équipage avant insertion dans le plan de vol actif pour guider l'aéronef. Ce mécanisme peut être utilisé également lors de révisions ou modifications de plan de vol à 25 l'aide d'un plan de vol temporaire qui peut être présenté à l'opérateur. Les révisions peuvent aussi être réalisées dans une application hébergée hors du dispositif, tel qu'une interface homme-machine déportée sur un système EFB. La gestion du plan de vol et de la trajectoire active dans le module de guidage 2 permet d'assurer une meilleure intégrité ou disponibilité de cette 3062745 13 trajectoire pour des opérations critiques, notamment à des opérations de performances de navigation requises avec autorisation requise de type RNP AR (« Required Navigation Performance with Authorization Required » en anglais). La performance requise pour une opération du type RNP est définie 5 par une valeur RNP qui représente la demi-largeur en miles nautiques du couloir autour de la trajectoire de référence dans lequel l'aéronef AC doit rester 95% du temps au cours de l'opération. L'intégrité ou la disponibilité de la trajectoire de vol sont assurées même lorsque la valeur du RNP est inférieure à 0,1 Nm (environ 185 m). 10 Le dispositif 1 tel que décrit ci-dessus met en oeuvre un procédé de gestion de vol sécurisé d'un aéronef AC pourvu d'un système de guidage 4 configuré pour guider l'aéronef AC à partir d'ordres de commande reçus. Ledit procédé comprend : - une étape El de détermination d'une trajectoire de vol, mise en oeuvre 15 par le système de gestion de vol 3, consistant à déterminer une trajectoire de vol de l'aéronef AC non active à l'instant courant, - une étape E2 de validation, mise en oeuvre par l'interface homme-machine 6, consistant à la validation par un opérateur de la trajectoire de vol déterminée par le système de gestion de vol 3, 20 - une étape E3a de transmission, mise en oeuvre par le module de transmission 7a, consistant à transmettre la trajectoire de vol déterminée par le système de gestion de vol 3 au module de guidage 2 via l'interface sécurisée 5, - une étape E3b de transmission, mise en oeuvre par le module de 25 transmission 7b, consistant à transmettre la trajectoire de vol déterminée par le système de gestion de vol 3 au module de guidage 2 via l'interface sécurisée 5 de façon périodique ou suite un événement susceptible de modifier la trajectoire de vol, - une étape E4 de détermination d'ordres de commande, mise en oeuvre 30 par le module de guidage 2, consistant à déterminer des ordres de commande 3062745 14 au système de guidage 4 à partir de la trajectoire de vol déterminée par le système de gestion de vol 3. L'étape E3a de transmission est mise en oeuvre pour l'activation d'une première trajectoire et d'un premier plan de vol après que l'opérateur a validé 5 la trajectoire de vol. Puis, l'étape E3b de transmission est mise en oeuvre en phase dynamique par une mise à jour périodique ou une mise à jour après un événement susceptible de modifier la trajectoire de vol et le plan de vol. Pour l'étape E3b de transmission, la trajectoire de vol n'est pas validée par 10 l'opérateur. Elle est, par exemple, affichée sur une unité d'affichage 22 DISP2 du module de guidage 2. De plus, l'étape El de détermination d'une trajectoire de vol comprend : - une sous-étape El 1 a de calcul d'un plan de vol, mise en oeuvre par 15 l'unité de calcul 9, consistant à calculer un plan de vol à partir d'informations utiles pour le calcul d'un plan de vol stockées dans la base de données de navigation 8 ; - une sous-étape El 2a de calcul de trajectoire de vol, mise en oeuvre par l'unité de calcul 10 du système de gestion de vol 3, consistant à calculer la 20 trajectoire de vol à partir du plan de vol calculé par l'unité de calcul 9. De plus, l'étape El de détermination d'une trajectoire de vol comprend : - une sous-étape El 1 b de révision dynamique de la trajectoire de vol active, mise en oeuvre par la première unité de calcul 9, consistant à réviser le 25 plan de vol transmis par le premier module de transmission 7a au module de guidage 2. Le plan de vol est révisé de façon périodique ou suite à un événement susceptible de modifier la trajectoire de vol, 3062745 15 - une sous-étape El 2b de calcul de trajectoire de vol, mise en oeuvre par l'unité de calcul 10 du système de gestion de vol 3, consistant à calculer la trajectoire de vol à partir du plan de vol révisé par l'unité de calcul 9. Selon un mode de réalisation, l'étape El de détermination d'une 5 trajectoire de vol comprend : - une sous-étape E13 de stockage d'un plan de vol, mise en oeuvre par le module de stockage 11, 17, 20, consistant à stocker dans le module de stockage 11, 17, 20 un plan de vol issu du monde ouvert 12 via une interface 14 de données issues du monde ouvert 12, 10 - une sous-étape E14 de calcul de trajectoire de vol, mise en oeuvre par l'unité de calcul 10, consistant à calculer la trajectoire de vol à partir du plan de vol stocké dans le module de stockage 11, 17, 20, - une sous-étape E15 de stockage, mise en oeuvre par le module de stockage 13, 18, 19, consistant à stocker la trajectoire de vol dans le module 15 de stockage 13, 18, 19. L'étape E3a de transmission et l'étape E3b de transmission comprennent : - une sous-étape E31 de stockage, mise en oeuvre par le module de stockage 15, consistant à stocker la trajectoire de vol déterminée par le 20 système de gestion de vol 3, - une sous-étape E32 de stockage, mise en oeuvre par le module de stockage 16, consistant à stocker le plan de vol à partir duquel le système de gestion de vol 3 a déterminé ladite trajectoire de vol. La trajectoire de vol et le plan de vol sont transmis lors de l'étape E3a 25 de transmission après que la trajectoire de vol déterminée a été validée par l'opérateur à l'étape E2 de validation. La trajectoire de vol et le plan de vol sont transmis lors de l'étape E3b de transmission de façon périodique ou suite à un événement susceptible de modifier la trajectoire de vol. 3062745 16 Par ailleurs, le procédé comprend une étape E5 de modification, mise en oeuvre par le module de modification, consistant à transmettre à la première unité de calcul 9 une requête en révision de plan de vol. La requête comprend les informations de modification utilisées par l'unité de calcul 9 pour 5 réviser le plan de vol selon la sous-étape El1b. La révision du plan de vol consiste à calculer un nouveau plan de vol à partir des informations de révision. Une nouvelle trajectoire de vol est alors calculée à partir du nouveau plan de vol par l'unité de calcul 10 selon la sous-étape El 2. REVENDICATIONS1. Dispositif de gestion de vol sécurisé d'un aéronef (AC) pourvu d'un système de guidage (4) configuré pour guider l'aéronef (AC) à partir d'ordres de commande reçus, caractérisé en ce qu'il comprend : - un système de gestion de vol (3) configuré pour déterminer une trajectoire de vol de l'aéronef (AC) non active à l'instant courant ; - un module de guidage (2) configuré pour fournir des ordres de commande au système de guidage (4) à partir de la trajectoire de vol déterminée par le système de gestion de vol (3) ; - une interface sécurisée (5) entre le système de gestion de vol (3) et le module de guidage (2) ; le système de gestion de vol (3) comportant : - une interface homme-machine (6) configurée pour permettre à un opérateur de valider une trajectoire de vol ; - un premier module de transmission (7a) configuré pour transmettre la trajectoire de vol déterminée par le système de gestion de vol (3) au module de guidage (2) via l'interface sécurisée (5) après que la trajectoire de vol déterminée a été validée par l'opérateur à l'aide de l'interface homme- machine (6) ; - un deuxième module de transmission (7b) configuré pour transmettre la trajectoire de vol déterminée par le système de gestion de vol (3) au module de guidage (2) via l'interface sécurisée (5) de façon périodique ou suite un événement susceptible de modifier la trajectoire de vol. 2. Dispositif selon la revendication 1, caractérisé en ce que le système de gestion de vol (3) comprend : - une base de données de navigation (8) configurée pour stocker des informations utiles pour le calcul d'un plan de vol ; 3062745 18 - une première unité de calcul (9) configurée pour calculer un plan de vol à partir des informations de la base de données de navigation (8) ; - une deuxième unité de calcul (10) configurée pour calculer une trajectoire de vol à partir d'un plan de vol. 5 3. Dispositif selon la revendication 2, caractérisé en ce que la première unité de calcul (9) est, en outre, configurée pour réviser un plan de vol transmis par le premier module de transmission (7a) au module de guidage (2), le plan de vol étant révisé de façon périodique ou suite à un événement susceptible de modifier la trajectoire de vol. 10 4. Dispositif selon l'une quelconque des revendications 1 ou 2, caractérisé en ce que le système de gestion de vol (3) comprend : - au moins un premier module de stockage (11, 17, 20) configuré pour stocker au moins un plan de vol issu du monde ouvert (12) ; - au moins un deuxième module de stockage (13, 18, 19) configuré pour 15 stocker au moins une trajectoire de vol calculée par la deuxième unité de calcul (10) à partir du plan de vol issu du monde ouvert (12) ; - une interface (14) de données issues du monde ouvert (12) configurée pour transférer au moins un plan de vol issu du monde ouvert (12) dans le premier module de stockage (11, 17, 20). 20 5. Dispositif selon l'une quelconque des revendications 1 à 3, caractérisé en ce que le système de gestion de vol (3) comprend un module de modification de plan de vol configuré pour transmettre à la première unité de calcul (9) une requête en révision de plan de vol. 6. Dispositif selon l'une quelconque des revendications 1 à 5, 25 caractérisé en ce que l'interface homme-machine (6) comprend un écran configuré pour afficher la trajectoire de vol calculée par une deuxième unité de calcul (10). 7. Dispositif selon l'une quelconque des revendications 1 à 6, 3062745 19 caractérisé en ce que le module de guidage (2) comprend : - un troisième module de stockage (15) configuré pour stocker la trajectoire de vol déterminée par le système de gestion de vol (3) ; - un quatrième module de stockage (16) configuré pour stocker le plan 5 de vol à partir duquel le système de gestion de vol (3) a déterminé ladite trajectoire de vol, la trajectoire de vol et le plan de vol étant transmis par le premier module de transmission (7a) après que la trajectoire de vol déterminée a été validée par l'opérateur à l'aide de l'interface homme-machine (6), 10 la trajectoire de vol et le plan de vol étant transmis par le deuxième module de transmission (7b) de façon périodique ou suite à un événement susceptible de modifier la trajectoire de vol. 8. Procédé de gestion de vol sécurisé d'un aéronef (AC) pourvu d'un système de guidage (4) configuré pour guider l'aéronef (AC) à partir d'ordres 15 de commande reçus, caractérisé en ce qu'il comprend : - une étape (El) ) de détermination d'une trajectoire de vol, mise en oeuvre par un système de gestion de vol (3), consistant à déterminer une trajectoire de vol de l'aéronef (AC) non active à l'instant courant, 20 - une étape (E2) de validation, mise en oeuvre par une interface homme- machine (6), consistant à la validation par un opérateur de la trajectoire de vol déterminée par le système de gestion de vol (3), - une première étape (E3a) de transmission, mise en oeuvre par un module de transmission (7a), consistant à transmettre la trajectoire de vol, 25 déterminée par le système de gestion de vol (3) et validée par l'opérateur à l'aide de l'interface homme-machine (6), à un module de guidage (2) via une interface sécurisée (5), - une deuxième étape (E3b) de transmission, mise en oeuvre par un deuxième module de transmission (7b), consistant à transmettre la trajectoire de vol déterminée par le système de gestion de vol (3) au module de guidage 3062745 20 (2) via l'interface sécurisée (5) de façon périodique ou suite un événement susceptible de modifier la trajectoire de vol, - une étape (E4) de détermination d'ordres de commande, mise en oeuvre par le module de guidage (2), consistant à déterminer des ordres de 5 commande au système de guidage (4) à partir de la trajectoire de vol déterminée par le système de gestion de vol (3). 9. Procédé selon la revendication 8, caractérisé en ce que l'étape (El) ) de détermination d'une trajectoire de vol comprend : 10 - une sous-étape (El 1 a) de calcul d'un plan de vol, mise en oeuvre par une première unité de calcul (9), consistant à calculer un plan de vol à partir d'informations utiles pour le calcul d'un plan de vol stockées dans une base de données de navigation (8) ; - une sous-étape (E12a) de calcul de trajectoire de vol, mise en oeuvre 15 par une deuxième unité de calcul (10) du système de gestion de vol (3), consistant à calculer la trajectoire de vol à partir du plan de vol calculé par la première unité de calcul (9). 10. Procédé selon l'une quelconque des revendications 7 ou 8, caractérisé en ce que l'étape (El) ) de détermination d'une trajectoire de vol 20 comprend : - une sous-étape (El 1 b) de révision dynamique de la trajectoire de vol active, mise en oeuvre par la première unité de calcul (9), consistant à réviser le plan de vol qui a été transmis par le premier module de transmission (7a) au module de guidage (2), le plan de vol étant révisé de façon périodique ou 25 suite à un événement susceptible de modifier la trajectoire de vol, - une sous-étape (E12b) de calcul de trajectoire de vol, mise en oeuvre par l'unité de calcul (10) du système de gestion de vol (3), consistant à calculer la trajectoire de vol à partir du plan de vol révisé par l'unité de calcul (9). 3062 745 21 11. Procédé selon l'une quelconque des revendications 7 à 9, caractérisé en ce que l'étape (El) ) de détermination d'une trajectoire de vol comprend : - une sous-étape (E13) de stockage d'un plan de vol, mise en oeuvre par 5 un premier module de stockage (11, 17, 20), consistant à stocker dans le premier module de stockage (11, 17, 20) un plan de vol issu du monde ouvert (12) via une interface (14) de données issues du monde ouvert (12), - une sous-étape (E14) de calcul de trajectoire de vol, mise en oeuvre par la deuxième unité de calcul (10), consistant à calculer la trajectoire de vol 10 à partir du plan de vol stocké dans le premier module de stockage (11, 17, 20), - une sous-étape (E15) de stockage, mise en oeuvre par un deuxième module de stockage (13, 18, 19), consistant à stocker la trajectoire de vol dans le deuxième module de stockage (13, 18, 19). 15 12. Procédé l'une quelconque des revendications 8 à 11, caractérisé en ce que la première étape (E3a) de transmission et la deuxième étape (E3b) de transmission comprennent : - une troisième sous-étape (E31) de stockage, mise en oeuvre par un troisième module de stockage (15), consistant à stocker la trajectoire de vol 20 déterminée par le système de gestion de vol (3), - une quatrième sous-étape (E32) de stockage, mise en oeuvre par un quatrième module de stockage (16), consistant à stocker le plan de vol à partir duquel le système de gestion de vol (3) a déterminé ladite trajectoire de vol, la trajectoire de vol et le plan de vol étant transmis lors de la première étape 25 (E3a) de transmission après que la trajectoire de vol déterminée a été validée par l'opérateur à l'étape (E2) de validation, la trajectoire de vol et le plan de vol étant transmis lors de la deuxième étape (E3b) de transmission de façon périodique ou suite à un événement susceptible de modifier la trajectoire de vol. 3062745 22 13. Procédé selon l'une quelconque des revendications 8 à 12, caractérisé en ce qu'il comprend une étape (E5) de modification, mise en oeuvre par un module de modification, consistant à transmettre à la première unité de calcul (9) une requête en révision de plan de vol. 5 14. Aéronef, caractérisé en ce qu'il comporte un dispositif de gestion de vol sécurisé, tel que celui spécifié sous l'une quelconque des revendications 1 à 7.