FR 3088897 A1 20200529 FR 1871824 A 20181126 Description Titre de l'invention : Système de commande de vol d'un aéronef. [0001] L'invention est relative à un système de commandes de vol d'un aéronef, prévu pour contrôler notamment des gouvernes de l'aéronef. Les aéronefs modernes, en particulier les avions de transport, comportent un ensemble de calculateurs de commande de vol qui calculent des ordres de contrôle d'actionneurs de gouvernes de l'aéronef. Ces gouvernes sont par exemple des volets ou des ailerons situés au niveau des ailes de l'aéronef, des gouvernes de profondeur situées par exemple sur un plan horizontal à l'arrière de l'aéronef, une gouverne de direction située sur la dérive, etc. Les calculateurs de commande de vol sont dissimilaires et redondants de telle façon que le système de commande de vol soit robuste à des pannes susceptibles d'affecter certains calculateurs. De plus, généralement, une partie des calculateurs sont utilisés en mode commande (COM) et les autres calculateurs sont utilisés en mode moniteur (MON), un calculateur en mode moniteur surveillant le fonctionnement d'un calculateur en mode commande. Les calculateurs sont ainsi répartis selon des couples COM/MON. En plus des calculateurs de commande de vol, l'aéronef comporte également des calculateurs dédiés à la commande des becs et des volets (« SLATS and FLAPS » en anglais), par exemple de type SFCC Slat Flap Control Computer » en anglais), des calculateurs de contrôle du freinage et du guidage au sol de l'aéronef, par exemple de type BSCS (« Braking and Steering Control System » en anglais) et des calculateurs mettant en oeuvre une fonction de contrôle de haut niveau des moteurs de propulsion de l'aéronef, par exemple de type EIF (« Engine Interface Function » en anglais), cette fonction étant interfacée avec des contrôleurs associés aux moteurs de propulsion, par exemple de type EEC (« Electronic Engine controler » en anglais) ou de type FADEC (« Full Authority Digital Engine Controler » en anglais). [0002] Le document FR2943036 décrit un système de commandes de vol selon l'art antérieur. Ce système de commande de vol comprend un ensemble de calculateurs primaires, un ensemble de calculateurs secondaires et un calculateur de secours. Chacun des calculateurs primaires et secondaires correspond à un couple COM/MON. A l'intérieur d'un couple COM/MON, lorsque le module MON détecte une défaillance du module COM, le module MON désactive le calculateur correspondant à cc couple COM/MON et un autre calculateur primaire ou secondaire est activé à sa place. Ainsi, en l'absence de défaillance, les actionneurs de gouvernes sont contrôlés par des calculateurs primaires. En cas de défaillance dcs calculateurs primaires, le contrôle des actionneurs de gouvernes est réalisé par des calculateurs secondaires. En cas de défaillance de l'ensemble dcs calculateurs secondaires, les actionneurs de gouvernes sont contrôlés par le calculateur de secours selon dcs lois très basiques de façon à être 2 robustes. Le calculateur de secours n'est généralement utilisé que pendant le temps nécessaire pour réinitialiser les calculateurs primaires et secondaires. Les calculateurs primaires permettent un contrôle de l'aéronef aussi bien en mode manuel, à partir d'organes de pilotage (manche, palonnier, etc.) situés dans le cockpit, qu'en mode de pilotage automatique. Afin d'offrir une meilleure disponibilité que les calculateurs primaires, les calculateurs secondaires correspondent à un mode de commande plus robuste que le mode nominal des calculateurs primaires. Pour cela, les calculateurs secondaires mettent en oeuvre des lois de commandes des gouvernes simplifiées par rapport aux lois des calculateurs primaires. Il en résulte que les lois de pilotage automatique, du fait de leur complexité, ne peuvent pas être implémentées dans les calculateurs secondaires. Les calculateurs secondaires ne permettent donc qu'un contrôle de l'aéronef en mode manuel. Or, sur les nouvelles générations d'aéronefs, il est souhaitable d'améliorer la disponibilité du mode de pilotage automatique. De plus, pour des aéronefs de type avion autonome ou drone, il est nécessaire que la probabilité de perte dc la disponibilité des lois de pilotage automatique soit extrêmement faible, par exemple inférieure à 1 x 10-9 par heure de vol. Il existe donc un besoin d'un système de commande de vol permettant de répondre à ce problème sans augmenter le nombre de calculateurs dudit système de commande de vol afin de ne pas complexifier ce système et de ne pas pénaliser la masse de l'aéronef. Exposé de l'invention [0003] La présente invention a notamment pour but d'apporter une solution à ce besoin. Elle concerne un système dc commande dc vol d'un aéronef comprenant un ensemble d'actionneurs de contrôle de l'aéronef, et un ensemble de calculateurs de commande de vol prévus pour commander les actionneurs de l'ensemble d'actionneurs. Lc système de commande de vol est remarquable en ce que l'ensemble de calculateurs de commande de vol est constitué uniquement d'un ensemble de calculateurs dits principaux et d'au moins un calculateur dc secours, et en cc que : - chacun des calculateurs principaux est de type duplex, comprenant deux modules agissant respectivement en mode commande (COM) et en mode moniteur (MON) ; - tous les calculateurs principaux sont configurés pour mettre en oeuvre des lois de pilotage automatique de l'aéronef ; - l'ensemble de calculateurs principaux comprend deux calculateurs d'un premier type matériel, ces calculateurs étant configurés pour contrôler des actionneurs de l'ensemble d'actionneurs selon un premier niveau de tolérance ; et - l'ensemble de calculateurs principaux comprend deux calculateurs d'un deuxième type matériel, dissimilaire du premier type matériel, ces calculateurs étant configurés 3 pour contrôler des actionneurs de l'ensemble d'actionneurs selon un deuxième niveau de tolérance, moins strict que le premier niveau de tolérance. [0004] Ainsi, grâce à ce système de commande de vol, étant donné que tous les calculateurs principaux sont configurés pour mettre en oeuvre des lois de pilotage automatique, le mode de pilotage automatique est disponible en permanence pendant l'exploitation normale de l'aéronef. Le fait d'utiliser des calculateurs principaux de deux types matériels permet d'éviter un mode de panne commun à l'ensemble desdits calculateurs principaux. Le fait que les calculateurs principaux du premier type matériel soient configurés pour contrôler les actionneurs selon un premier niveau de tolérance et que les calculateurs principaux du deuxième type matériel soient configurés pour contrôler les actionneurs selon un deuxième niveau de tolérance moins strict que le premier niveau de tolérance permet un contrôle des actionneurs par les calculateurs principaux du premier type matériel avec un niveau de précision élevé lorsque ces calculateurs principaux du premier type matériel sont opérationnels. En cas de défaillance des calculateurs principaux du premier type matériel, les calculateurs principaux du deuxième type matériel permettent un contrôle des actionneurs avec un niveau de précision moins élevé, du fait du niveau de tolérance moins strict. En contrepartie, cc niveau de tolérance moins strict permet d'améliorer la disponibilité desdits calculateurs principaux du deuxième type matériel. Cette amélioration de la disponibilité opérationnelle des calculateurs principaux contribue à permettre la mise en oeuvre des lois de pilotage automatique dans l'ensemble des calculateurs principaux, cela en utilisant un nombre restreint de calculateurs. Dans les calculateurs principaux du deuxième type matériel, le risque de défaillance dû à la complexité des lois de pilotage automatique est amoindri par l'utilisation d'un niveau de tolérance moins strict que le premier niveau de tolérance utilisé dans les calculateurs principaux du premier type matériel. [0005] Dans un mode avantageux de réalisation : - chacun des calculateurs principaux comporte au moins une première partition logicielle et une deuxième partition logicielle, la première partition logicielle comprenant des fonctions de pilotage automatique de l'aéronef et la deuxième partition logicielle comprenant des fonctions de commande d'actionneurs de l'ensemble d'actionneurs ; et - pour chacun des calculateurs principaux, le module (MON) agissant en mode moniteur est configuré pour surveiller le module (COM) agissant en mode commande de façon indépendante pour chacune des partitions, afin de permettre la désactivation des partitions de façon indépendante les unes des autres. [0006] Ainsi, les lois de pilotage automatique et les fonctions de commande des actionneurs sont isolées les unes des autres dans des partitions distinctes. Etant donné que la surveillance de type COM/MON est réalisée de façon indépendante pour chacune des partitions, les différentes partitions d'un calculateur principal peuvent être désactivées de façon indépendante les unes des autres. En particulier, en cas de détection d'une défaillance de la partition relative aux lois de pilotage, seule cette partition est désactivée dans le calculateur principal considéré : ce calculateur continue à être opérationnel pour les fonctions de commande des actionneurs et les lois de pilotage automatique sont alors mises en oeuvre par un autre calculateur principal. La partition relative aux lois de pilotage automatique, dans laquelle est intervenue la défaillance, peut être réinidansée de façon indépendante de la ou des autres partitions du calculateur principal considéré, de façon à être à nouveau disponible si nécessaire. Par conséquent, ce mode avantageux de réalisation contribue encore à permettre la disponibilité des lois de pilotage automatique dans l'ensemble des calculateurs principaux, puisque d'une part les lois de pilotage automatique sont mises en oeuvre par chacun des calculateurs principaux et d'autre part une défaillance dans un des calculateurs principaux, qui pourrait résulter de la complexité desdites lois de pilotage automatique, n'aurait aucune conséquence sur l'exécution des fonctions de commande des actionneurs. [0007] Selon des modes particuliers de réalisation pouvant être pris en compte isolément ou en combinaison : [0008] - les différents calculateurs de l'ensemble de calculateurs principaux correspondent à des calculateurs modulaires ; [0009] - l'ensemble d'actionneurs inclut au moins l'un des sous-ensembles d'actionneurs suivants : . un sous-ensemble d'actionneurs de gouvernes de contrôle primaire du vol de l'aéronef ; . un sous-ensemble d'actionneurs comprenant les actionneurs des becs et/ou des volets de l'aéronef ; . un sous-ensemble d'actionneurs prévus pour assurer le contrôle du freinage et du guidage au sol de l'aéronef ; . un sous-ensemble d'actionneurs correspondant aux moteurs de propulsion de l'aéronef. De façon avantageuse, chacun des calculateurs principaux comporte une partition logicielle distincte associée à chaque sous-ensemble d'actionneurs et le module agissant en mode moniteur est configuré pour surveiller le module agissant en mode commande de façon indépendante pour chacune des partitions, afin de permettre la désactivation des partitions de façon indépendante les unes des autres ; [0010] - un premier des deux calculateurs du premier type matériel et un premier des deux calculateurs du deuxième type matériel sont alimentés par une première alimentation électrique et un deuxième des deux calculateurs du premier type matériel et un deuxième des deux calculateurs du deuxième type matériel sont alimentés par une deuxième alimentation électrique indépendante de la première alimentation électrique ; [0011] - un premier des deux calculateurs du premier type matériel et un premier des deux calculateurs du deuxième type matériel sont configurés pour commander un premier sous-ensemble d'actionneurs de l'ensemble d'actionneurs et un deuxième des deux calculateurs du premier type matériel et un deuxième des deux calculateurs du deuxième type matériel sont configurés pour commander un deuxième sous-ensemble d'actionneurs de l'ensemble d'actionneurs, disjoint du premier sous-ensemble d'actionneurs. De façon particulière, les actionneurs de l'ensemble d'actionneurs sont répartis entre le premier sous-ensemble d'actionneurs et le deuxième sous-ensemble d'actionneurs de telle façon que pour une gouverne de l'aéronef appartenant à un sous-ensemble de gouvernes dites critiques, un premier actionneur associé à cette gouverne fait partie du premier sous-ensemble d'actionneurs et un deuxième actionneur associé à cette gouverne fait partie du deuxième sous-ensemble d'actionneurs. De façon avantageuse, les différents actionneurs de l'ensemble d'actionneurs sont répartis entre le premier sous-ensemble d'actionneurs et le deuxième sous-ensemble d'actionneurs de telle façon que les actionneurs du premier sous-ensemble d'actionneurs permettent à eux seuls un contrôle du vol de l'aéronef et les actionneurs du deuxième sous-ensemble d'actionneurs permettent à eux seuls un contrôle du vol de l'aéronef ; [0012] - le système de commande de vol comprend en outre : . un ensemble de contrôleurs d'actionneurs ; et . deux réseaux de communication indépendants et dissimilaires, et chaque actionneur de l'ensemble d'actionneurs est commandé par un contrôleur d'actionneurs de l'ensemble de contrôleurs d'actionneurs, chacun des calculateurs principaux est relié à chacun des deux réseaux de communication et chacun des contrôleurs d'actionneurs est relié à chacun des deux réseaux de communication. De façon particulière, chacun des deux réseaux de communication comprenant un ensemble d'équipements de communication requérant une alimentation électrique pour leur fonctionnement, une première partie des équipements de communication de chaque réseau de communication est alimentée par une première alimentation électrique et une deuxième pallie des équipements de communication de chaque réseau de communication est alimentée par une deuxième alimentation électrique indépendante de la première alimentation électrique ; [0013] - l'ensemble de calculateurs principaux comprend uniquement lesdits deux cal- culateurs du premier type matériel et lesdits deux calculateurs du deuxième type matériel. [0014] - pour chaque calculateur de l'ensemble de calculateurs principaux, les deux modules agissant respectivement en mode commande (COM) et en mode moniteur (MON) sont des modules similaires, tant du point de vue matériel que du point de vue logiciel. [0015] L'invention est également relative à un aéronef comportant un système de commande 6 de vol tel que précité. Description des modes de réalisation [0016] L'invention sera mieux comprise à la lecture de la description qui suit et à l'examen des figures annexées. [0017] [fig.11 représente un aéronef comportant un système de commande de vol. [0018] [fig.21 représente de façon schématique un système de commande de vol conforme à un mode de réalisation de l'invention. [0019] [fig.31 illustre de façon schématique un calculateur principal d'un système de commande de vol, conforme à un mode de réalisation de l'invention. [0020] [fig.4] illustre une première variante d'un système de commande de vol conforme à un mode de réalisation de l'invention. [0021] [fig.5] illustre une deuxième variante d'un système de commande de vol conforme à un mode de réalisation de l'invention. [0022] L'aéronef 1 représenté sur la figure 1 comporte un système de commande de vol tel que le système de commande de vol 20 représenté sur la figure 2. Ce système de commande de vol comprend un ensemble de calculateurs de commande de vol et un ensemble d'actionneurs 18 de contrôle de l'aéronef, libellés Act sur la figure. L'ensemble de calculateurs de commande de vol est constitué uniquement d'un ensemble de calculateurs dits principaux 10a, 10h, 10e, 10d et d'au moins un calculateur de secours 17 (libellé BCM sur la figure, pour « Backup Control Module » en anglais). Ces calculateurs sont par exemple situés dans une baie avionique 2 de l'aéronef, à proximité du cockpit 3. Chacun des calculateurs principaux est de type duplex, c'est-à-dire qu'il comprend deux modules similaires, libellés voie A et voie B sur la figure. Chaque fonction mise en oeuvre par le calculateur principal est dupliquée sur chacune des voies A et B. l'une des voies agissant en mode commande (COM) et l'autre en mode moniteur (MON). Cela permet de réaliser une surveillance dite de type COM/MON au cours de laquelle, pour chaque fonction mise en oeuvre par le calculateur principal, la voie agissant en mode moniteur surveille la voie agissant en mode commande de façon à détecter une éventuelle défaillance du couple de voies A et B. Selon une première alternative, pour toutes les fonctions mises en oeuvre par le calculateur principal, la voie A agit en mode COM et la voie B en mode MON. Selon une deuxième alternative, pour toutes les fonctions mises en oeuvre par le calculateur 7 principal, la voie B agit en mode COM et la voie A en mode MON. Selon une troisième alternative, pour une première partie des fonctions mises en oeuvre par le calculateur principal, la voie A agit en mode COM et la voie B en mode MON et pour une deuxième partie (complémentaire de la première partie) des fonctions mises en oeuvre par le calculateur principal, la voie B agit en mode COM et la voie A en mode MON, ce qui permet de mieux répartir la charge des processeurs des voies A et B. Tous les calculateurs principaux sont configurés pour mettre en oeuvre des lois de pilotage automatique de l'aéronef, libellées APlaw sur la figure. L'ensemble de calculateurs principaux comprend deux calculateurs 10a, 10h d'un premier type matériel. Ces calculateurs du premier type matériel sont configurés pour contrôler des actionneurs de l'ensemble d'actionneurs 18 selon un premier niveau de tolérance. L'ensemble de calculateurs principaux comprend également deux calculateurs 10e, 10d d'un deuxième type matériel, dissimilairc du premier type matériel. Ces calculateurs du deuxième type matériel sont configurés pour contrôler des actionneurs de l'ensemble d'actionneurs 18 selon un deuxième niveau de tolérance, moins strict que le premier niveau de tolérance. [0023] Etant donné que les calculateurs principaux du premier type matériel sont configurés pour contrôler les actionneurs selon un premier niveau de tolérance et que les calculateurs principaux du deuxième type matériel sont configurés pour contrôler les actionneurs selon un deuxième niveau de tolérance moins strict que le premier niveau de tolérance, de façon nominale les actionneurs sont contrôlés par les calculateurs principaux du premier type matériel avec un niveau de précision élevé lorsque ces calculateurs principaux du premier type matériel sont opérationnels. En cas de défaillance des calculateurs principaux du premier type matériel, les calculateurs principaux du deuxième type matériel permettent un contrôle des actionneurs avec un niveau de précision moins élevé, du fait du niveau de tolérance moins strict. En contrepartie, ce niveau de tolérance moins strict permet d'améliorer la disponibilité desdits calculateurs principaux du deuxième type matériel et donc la robustesse du contrôle, puisque dans les calculateurs principaux du deuxième type matériel, le risque de défaillance dû à la complexité des lois de pilotage automatique est amoindri par l'utilisation d'un niveau de tolérance moins strict que le premier niveau de tolérance utilisé dans les calculateurs principaux du premier type matériel. [0024] Pour chacun des calculateurs principaux, la synchronisation des voies A et B réalisant la surveillance de type COM/MON est de préférence réalisée avec un temps de synchronisation inférieur à une durée prédéterminée, par exemple Ims. Il en résulte une rapidité de la synchronisation qui contribue à permettre la mise en oeuvre des lois de pilotage automatique de façon robuste dans l'ensemble des calculateurs principaux. En effet, la rapidité de la synchronisation permet d'éviter des déclenchements in- 8 tempcstifs de la surveillance COM/MON, d'où une plus grande robustesse de ladite surveillance. Cela permet également une plus grande rapidité de détection en cas de divergence entre les voies A et B (correspondant à une défaillance) pour la mise en oeuvre d'une fonction du calculateur principal. [0025] Pour assurer le contrôle des actionneurs, chacun des calculateurs principaux est relié de façon usuelle à un ensemble de capteurs de l'aéronef. Ces capteurs fournissent des mesures de paramètres de l'aéronef (vitesse, altitude, température, etc.), de position des actionneurs et/ou de gouvernes commandées par ces actionneurs. Ces mesures sont utilisées dans des lois de contrôle mises en oeuvre par les calculateurs principaux pour contrôler les actionneurs. [0026] Dans un mode avantageux de réalisation, chacun des calculateurs principaux 10a, 10b, 10e, 10d comporte au moins une première partition logicielle et une deuxième partition logicielle pour chacune des voies A et B utilisées pour la surveillance COM/ MON. La première partition 12a, 12h, 12e, 12d comprend des fonctions de pilotage automatique de l'aéronef prévues pour mettre en oeuvre les lois de pilotage automatique de l'aéronef, libellées APlaw sur la figure. La deuxième partition 13a, 13h, 13e, 13d comprend des fonctions de commande d'actionneurs de l'ensemble d'actionneurs 18. Ces actionneurs sont par exemple des actionneurs d'au moins une partie des gouvernes de contrôle primaire du vol de l'aéronef (d'où le libellé PFC pour «Primary Flight Control » en anglais, sur la figure). Le terme gouvernes de contrôle primaire du vol de l'aéronef désigne ici des gouvernes de l'aéronef indispensables au contrôle du vol, notamment la dérive, les gouvernes de profondeur, le plan horizontal réglable, les ailerons et les déporteurs (« spoilers » en anglais). De façon avantageuse, la première partition 12a, 12b, 12c, 12d comprend aussi des lois de pilotage manuel de l'aéronef. Pour chacun des calculateurs principaux 10a, 10b, 10c, 10d, la surveillance COM/ MON est réalisée de façon indépendante pour chacune des partitions, respectivement 12a et 13a, 12b et 13b, 12c et 13c, 12d et 13d, afin de permettre la désactivation des partitions du calculateur principal de façon indépendante les unes des autres. Aussi bien les lois de pilotage automatique que les fonctions de commande d'actionneurs correspondent à des fonctions critiques de l'aéronef pour lesquelles le niveau d'assurance qualité requis est dit de type DAL-A, correspondant au niveau d'assurance qualité le plus élevé. L'utilisation de partitions pour mettre en oeuvre ces fonctions ayant un niveau d'assurance qualité DAL-A est innovant, d'autant plus que les fonctions de commande d'actionneurs utilisent des boucles de commande rapides (de l'ordre par exemple de lms) au cours desquelles des informations issues de capteurs sont acquises avec des temps de latence courts et avec une précision élevée d'acquisition des valeurs mesurées par ces capteurs. Pour cela, chaque calculateur principal 10a. 10b, 10c. 10d mettant en oeuvre ces partitions est conformé de façon à 9 garantir le déterminisme des temps d'exécution des logiciels utilisés dans lesdites partitions. [0027] L'utilisation de partitions contribue à permettre la mise en oeuvre des lois de pilotage automatique dans l'ensemble des calculateurs principaux 10a, 10b, 10e, 10d. En effet, du fait de la complexité des lois de pilotage automatique, la probabilité de détection, par la surveillance COM/MON, d'une défaillance de la partition 12a, 12b, 12e, 12d correspondant à ces lois est plus élevée que la probabilité de détection d'une défaillance de la partition 13a, 13b, 13e, 13d comprenant des fonctions de commande d'actionneurs. La surveillance et la désactivation étant réalisées de façon indépendante pour les différentes partitions, respectivement 12a et 13a, 12b et 13b, 12e et 13e, 12d et 13d, une défaillance détectée dans une partition d'un calculateur principal entraîne seulement la désactivation de ladite partition et n'a aucune conséquence pour l'autre ou les autres partitions dudit calculateur principal. Par exemple, lorsque des lois de pilotage automatique de l'aéronef sont mises en oeuvre par la partition 12a de la voie A du calculateur principal 10a agissant en mode commande (COM), ladite mise en oeuvre des lois de pilotage dans la partition 12a de la voie A est surveillée par la partition 12a correspondante de la voie B dudit calculateur primaire 10a agissant en mode surveillance (MON). Si une défaillance est détectée, la surveillance COM/MON désactive uniquement la partition 12a dudit calculateur 10a et les lois de pilotage automatique sont alors mises en oeuvre par l'une des partitions 12b, 12e, 12d des autres calculateurs principaux 10b, 10e, 10d qui devient alors active. De préférence, la partition 12a est alors réinitialisée (de façon indépendante de l'autre ou des autres partitions 13a du calculateur principal 10a) de façon à être à nouveau disponible si nécessaire. Cette désactivation de la partition 12a est sans effet sur la partition 13a du calculateur principal 10a qui peut rester active si elle était active lors de la défaillance intervenue dans la partition 12a. De façon réciproque, une défaillance dans la partition 13a est sans effet sur la partition 12a. [0028] Le contrôle des actionneurs par les fonctions de commande d'actionneurs des deuxièmes partitions 13a, 13b, 13e, 13d des calculateurs principaux 10a, 10b, 10e, 10d est réalisé selon le premier niveau de tolérance dans les partitions 13a et 13b des calculateurs 10a et 10b du premier type matériel et selon le deuxième niveau de tolérance, moins strict que le premier niveau de tolérance, dans les partitions 13e et 13d des calculateurs 10e et 10d du deuxième type matériel. [0029] Dans un mode particulier de réalisation, un premier calculateur primaire 10a du premier type matériel et un premier calculateur primaire 10c du deuxième type matériel sont alimentés par une première alimentation électrique El et un deuxième calculateur primaire 10b du premier type matériel et un deuxième calculateur primaire 10d du deuxième type matériel sont alimentés par une deuxième alimentation électrique E2, comme représenté sur la figure 2. Ainsi, en cas de panne d'une des alimentations électriques El et E2, au moins un calculateur primaire du premier type matériel (10a ou 10h) et au moins un calculateur primaire du deuxième type matériel (10c ou 10d) restent alimentés électriquement et peuvent ainsi contrôler les actionneurs qui leurs sont reliés. Les deux alimentations électriques El et E2 sont par exemple des générateurs entraînés chacun par un moteur différent de propulsion de l'aéronef Ainsi, en cas de panne d'un moteur, au moins l'une des alimentations El et E2 reste fonctionnelle. Le calculateur de secours 17 est de préférence alimenté par une alimentation électrique indépendante de El et E2, par exemple une alimentation électrique secourue par batterie. [0030] Les calculateurs de commande de vol ont typiquement un taux de panne de l'ordre de 1 x 10-4 à 1 x 10-5 par heure de vol. Les règlementations en vigueur imposent qu'un système de commande de vol permette de contrôler l'aéronef avec une probabilité de panne catastrophique inférieure à 1 x 10-9 par heure de vol. L'utilisation de trois calculateurs de commande de vol redondants permet donc de satisfaire ces règlementations. Par conséquent, le système 20 de commande de vol conforme à l'invention, qui comporte quatre calculateurs principaux redondants, permet de satisfaire les réglementations en vigueur. Il permet même le décollage de l'aéronef avec un calculateur principal en panne (départ dit sous MEL pour « Minimum Equipment List » en anglais) puisqu'il reste alors trois calculateurs principaux opérationnels. Le système 20 de commande de vol permet ainsi de satisfaire à la fois les réglementations en vigueur et les exigences opérationnelles des compagnies aériennes, avec un nombre minimal de calculateurs principaux, tout en garantissant la disponibilité permanente des lois de pilotage automatique. [0031] Dans un mode particulier de réalisation, les calculateurs principaux 10a, 'Ob, 10c, 10d correspondent à des calculateurs modulaires. Cela facilite l'évolutivité du système de commande de vol en permettant par exemple de remplacer une carte processeur d'un calculateur avec une autre carte comprenant un processeur plus récent et plus puissant, d'ajouter facilement de la mémoire dans le calculateur ou de moduler le nombre de cartes d'entrées/sorties pour gérer un nombre plus ou moins élevé d'actionneurs ou de gouvernes en fonction du type de l'aéronef [0032] Dans un mode de réalisation de l'invention, l'ensemble d'actionneurs 18 inclut au moins l'un des sous-ensembles d'actionneurs suivants : - un sous-ensemble d'actionneurs de gouvernes de contrôle primaire du vol de l'aéronef ; - un sous-ensemble d'actionneurs comprenant les actionneurs des becs et/ou des volets de l'aéronef ; - un sous-ensemble d'actionneurs prévus pour assurer le contrôle du freinage et du 11 guidage au sol de l'aéronef ; - un sous-ensemble d'actionneurs correspondant aux moteurs de propulsion de l'aéronef. [0033] Chaque calculateur principal 10a, 10h, 10e, 10d est alors prévu pour commander tous ces sous-ensembles d'actionneurs de l'ensemble d'actionneurs 18. Le calculateur principal 10 représenté sur la figure 3, correspond à l'un quelconque des calculateurs principaux 10a, 10h, 10c, 10d. Chacune de la voie A 10corn et de la voie B 10mon comporte une première partition 12 comprenant les fonctions de pilotage automatique de l'aéronef prévues pour mettre en oeuvre les lois de pilotage automatique de l'aéronef et une deuxième partition 13 comprenant des fonctions de commande d'actionneurs, comme indiqué précédemment. De façon avantageuse, la première partition 12 comprend aussi des lois de pilotage manuel de l'aéronef. [0034] Selon une première alternative, la commande des actionneurs des différents sous- ensembles d'actionneurs est mise en oeuvre dans la deuxième partition 13. [0035] Selon une deuxième alternative représentée sur la figure 3, le calculateur principal 10 comporte une partition associée à chaque sous-ensemble d'actionneurs. La deuxième partition 13, libellée PFC sur la figure, est associée au sous-ensemble d'actionneurs de gouvernes de contrôle primaire du vol de l'aéronef. Une troisième partition 14 est associée aux actionneurs des becs (« SLATS » en anglais) et/ou des volets (« FLAPS » en anglais). Une quatrième partition 15, libellée BSCS (« Braking and Sterring Control System » en anglais) sur la figure, est associée au sous-ensemble d'actionneurs prévus pour assurer le contrôle du freinage et du guidage au sol de l'aéronef. Une cinquième partition 16, libellée ENG sur la figure, est associée au sous-ensemble d'actionneurs correspondant aux moteurs de propulsion de l'aéronef. Celle des voies A et B agissant en mode moniteur est configurée pour surveiller l'autre des voies A et B agissant en mode commande, de façon indépendante pour chacune des partitions 12, 13, 14, 15 et 16. Cela permet de surveiller une éventuelle défaillance dans une partition et de désactiver cette partition de façon indépendante des autres partitions, comme déjà explicité pour la première partition 12 et la deuxième partition 13. [0036] De façon avantageuse, l'ensemble d'actionneurs 18 comprend tous les sous- ensembles d'actionneurs précités. Le système de commande de vol 20 permet alors de commander toutes les fonctions relatives au vol et au guidage au sol de l'aéronef, tout en garantissant la disponibilité permanente des lois de pilotage automatique. Ainsi, l'ensemble des quatre calculateurs principaux permet de remplacer non seulement les calculateurs primaires et secondaires d'un système de commande de vol selon l'art antérieur, mais aussi les calculateurs dédiés à la commande des becs et des volets (par exemple de type SFCC), les calculateurs de contrôle du freinage et du guidage au sol (par exemple de type BSCS) et la fonction de contrôle de haut niveau des moteurs de 12 propulsion (par exemple de type EIF). Cela permet un important gain de masse et d'encombrement, tout en permettant en plus une disponibilité permanente des lois de pilotage automatique. [0037] De plus, le fait que les calculateurs principaux intègrent la commande de toutes les fonctions relatives au vol et au guidage au sol de l'aéronef permet une simplification des échanges d'informations entre les lois de pilotage automatique, mises en oeuvre dans la première partition 12, et les fonctions de commande des actionneurs, mises en oeuvre dans les deuxième à cinquième partitions 13 à 16. Ces échanges d'informations sont ainsi réalisés à l'intérieur du système de commande de vol 20, sans nécessiter de communication avec des calculateurs extérieurs à ce système de commande de vol, tels que les calculateurs SFCC, BSCS, ou un calculateur mettant en oeuvre la fonction EIF de l'art antérieur. Cela permet en outre une intégration des différentes lois de commande (aussi bien en pilotage automatique qu'en pilotage manuel) de façon centralisée dans les calculateurs principaux 10a, 10h, 10c, 10d, sans avoir besoin de décentraliser des parties de certaines lois de commande dans d'autres calculateurs tels que les calculateurs SFCC, BSCS, ou un calculateur mettant en oeuvre la fonction EIF de l'art antérieur. Cela permet de valider ces lois de commande de façon unique dans les calculateurs principaux. Cela évite également de dupliquer des parties desdites lois dans différents calculateurs, parfois fabriqués par plusieurs fournisseurs différents, et de devoir synchroniser l'exécution desdites lois de commande dans ces différents calculateurs. Il en résulte ainsi une simplification du système de commande de vol et de sa conception. La gestion centralisée des lois de pilotage dans les calculateurs principaux permet en outre d'optimiser le contrôle global de l'aéronef, en permettant notamment de meilleures performances de l'aéronef (meilleure précision de guidage, meilleure reconfiguration en cas de panne, etc.). [0038] Dans une première variante de réalisation de l'invention, comme représenté sur la figure 4, un premier 10a des deux calculateurs du premier type matériel et un premier 10c des deux calculateurs du deuxième type matériel sont configurés pour commander un premier sous-ensemble d'actionneurs 18a de l'ensemble d'actionneurs et un deuxième 10b des deux calculateurs du premier type matériel et un deuxième 10d des deux calculateurs du deuxième type matériel sont configurés pour commander un deuxième sous-ensemble d'actionneurs 18b de l'ensemble d'actionneurs, disjoint du premier sous-ensemble d'actionneurs. En fonctionnement nominal, le système de commande de vol 20 est configuré de telle façon que le premier calculateur 10a du premier type matériel commande les actionneurs du premier sous-ensemble d'actionneurs 18a et le deuxième calculateur 10b du premier type matériel commande les actionneurs du deuxième sous-ensemble d'actionneurs 18b. Les actionneurs sont ainsi commandés selon le premier niveau de tolérance, lequel permet le contrôle le plus 13 précis desdits actionneurs. En cas de défaillance détectée par la surveillance COM/ MON dans une partition 13a, 14a, 15a, 16a en charge de la commande des actionneurs, cette partition est désactivée et la partition correspondante 13e, 14e, 15e, 16e du calculateur 10e est activée. Les actionneurs commandés par des fonctions implémentées dans cette partition sont alors commandés selon le deuxième niveau de tolérance qui est moins strict que le premier niveau de tolérance : par conséquent, la commande desdits actionneurs est un peu moins précise, mais davantage robuste (par exemple, le risque de détection d'une défaillance est moins élevé en cas de rafale de vent sur une gouverne). [0039] De façon avantageuse, les actionneurs de l'ensemble d'actionneurs 18 sont répartis dans les deux sous-ensembles d'actionneurs 18a et 18h de telle façon que pour une gouverne de l'aéronef appartenant à un sous-ensemble de gouvernes dites critiques, un premier actionneur associé à cette gouverne fait partie du premier sous-ensemble d'actionneurs 18a et un deuxième actionneur associé à cette gouverne fait partie du deuxième sous-ensemble d'actionneurs 18h. Ainsi, même si un seul des quatre calculateurs principaux est opérationnel à un instant donné, ce calculateur principal peut commander les actionneurs d'un des deux sous-ensembles d'actionneurs 18a, 181, et par conséquent au moins un actionneur de chaque gouverne critique de l'aéronef, de façon à permettre le contrôle de chaque gouverne critique. Le terme gouverne critique désigne ici une gouverne de l'aéronef indispensable pour le contrôle primaire du vol de l'aéronef, en particulier la dérive, les ailerons, la gouverne de profondeur (ou élévateur) et les becs situés à l'avant des ailes. Le terme gouverne critique inclut aussi les freins et la commande d'orientation de la roulette de nez (pour le contrôle au sol), ainsi que les moteurs de propulsion. [0040] De façon avantageuse encore, les actionneurs de l'ensemble d'actionneurs 18 sont répartis dans les deux sous-ensembles d'actionneurs 18a et 18b de telle façon que les actionneurs du premier sous-ensemble d'actionneurs 18a permettent à eux seuls un contrôle en vol et au sol de l'aéronef et les actionneurs du deuxième sous-ensemble d'actionneurs 18b permettent à eux seuls un contrôle en vol et au sol de l'aéronef. En particulier, les actionneurs de chaque ensemble d'actionneurs permettent un contrôle suffisant de l'aéronef selon son axe longitudinal, son axe de roulis et son axe de lacet. Par exemple, chacun des sous-ensembles d'actionneurs 18a et 18b comprend deux ailerons, deux élévateurs, un bec, un plan horizontal, deux paires de spoilers, un actionneur d'une dérive, des actionneurs de freins et une commande des moteurs de propulsion. Ainsi, même si un seul des quatre calculateurs principaux est opérationnel à un instant donné, ce calculateur principal peut commander les actionneurs d'un des deux sous-ensembles d'actionneurs 18a, 18b, ce qui permet un contrôle suffisant de l'aéronef pour permettre son vol et son contrôle au sol. 14 [0041] De façon avantageuse encore, le premier calculateur 10a du premier type matériel, le premier calculateur 10e du deuxième type matériel et ceux des actionneurs du premier sous-ensemble d'actionneurs 18a qui nécessitent une alimentation électrique, sont alimentés par la première alimentation électrique El . Le deuxième calculateur 10b du premier type matériel, le deuxième calculateur 10d du deuxième type matériel et ceux des actionneurs du deuxième sous-ensemble d'actionneurs 18h qui nécessitent une alimentation électrique, sont alimentés par la deuxième alimentation électrique E2. Ainsi, en cas de panne dc l'une des alimentations électriques El et E2, un calculateur du premier type matériel, un calculateur du deuxième type matériel et le sous-ensemble d'actionneurs commandés par ces deux calculateurs sont alimentés électriquement et permettent par conséquent le contrôle en vol et au sol dc l'aéronef. Même si l'aéronef a décollé avec un calculateur principal en panne, il reste au moins un calculateur principal opérationnel pour commander ledit sous-ensemble d'actionneurs. [0042] Cette première variante de réalisation de l'invention est particulièrement adaptée à un système de commande de vol 20 dans lequel les actionneurs sont en tout ou partie reliés de façon analogique aux calculateurs principaux de commande de vol. Elle n'est toutefois pas exclusive d'un tel mode de réalisation et peut aussi s'appliquer dans le cas d'actionneurs reliés de façon numérique (par exemple via des liaisons de communication de données ou par un réseau de communication) aux calculateurs principaux de commande de vol. [0043] Dans une deuxième variante de réalisation de l'invention, comme représenté sur la figure 5, le système de commande de vol 20 comporte un ensemble de contrôleurs d'actionneurs 19 et deux réseaux de communication net', net2 indépendants et dissimilaires. Chacun des calculateurs principaux 10a. 10b, 10e, 10d est relié à chacun des deux réseaux de communication nen. net2 et chacun des contrôleurs d'actionneurs 19 est relié à chacun des deux réseaux de communication. L'ensemble des contrôleurs d'actionneurs 19 est prévu pour commander les différents actionneurs 18a1 18ai, 18b1 18ki du système de commande de vol 20. Chaque contrôleur d'actionneur peut commander un ou plusieurs actionneurs. Les contrôleurs d'actionneurs de l'ensemble de contrôleurs d'actionneurs sont de deux types dissimilaires pour garantir la robustesse du système de commande de vol 20. Les deux réseaux de communication netl, net2 sont par exemple des réseaux de type Ethernet commuté déterministe, conformes au standard ARINC 664 part 7. Afin de garantir leur dissimilarité, ces deux réseaux de communication utilisent des équipements (tels que des commutateurs SW1 ... SW8) de types matériels et logiciels différents. Les commutateurs SW1 ... SW4 du premier réseau de communication netl sont d'un premier type matériel et d'un premier type logiciel, alors que les commutateurs SW5 ... SW8 du deuxième réseau de communication net2 sont d'un deuxième type matériel et d'un deuxième type logiciel. Ainsi, il ne peut pas exister une panne de mode commun aux deux réseaux de communication. Par conséquent, en cas de panne d'un réseau de communication, chacun des calculateurs principaux 10a, 10h, 10c, 10d peut communiquer avec chacun des contrôleurs d'actionneurs 19 par l'autre réseau de communication, puisque chacun des calculateurs principaux est relié à chacun des réseaux de communication et chacun des contrôleurs d'actionneurs est aussi relié à chacun des réseaux de communication. [0044] Dans cette deuxième variante, chacun des calculateurs principaux 10a, 10h, 10e, 10d peut communiquer avec chacun des contrôleurs 19 d'actionneurs et peut par conséquent commander chacun des actionneurs 18a1 18ai, 181)1 18bj de l'ensemble d'actionneurs 18. Ainsi, en cas de rcconfiguration du système de commande de vol 20 suite à des défaillances des calculateurs principaux ou à des défaillances dans des partitions des calculateurs principaux, l'un quelconque des calculateurs principaux peut commander tous les actionneurs de l'ensemble d'actionneurs 18. [0045] De façon avantageuse, le premier calculateur principal 10a du premier type matériel, le premier calculateur principal 10e du deuxième type matériel, un premier sous-ensemble d'équipements SW1, SW3 du premier réseau de communication netl et un premier sous-ensemble d'équipements SW5, SW7 du deuxième réseau de communication net2 auquel sont reliés ces deux calculateurs principaux 10a et 10e sont alimentés par la première alimentation électrique El . Ceux qui nécessitent une alimentation électrique parmi les actionneurs d'un premier sous-ensemble d'actionneurs 18a1 18ai reliés au premier sous-ensemble d'équipements SW1, SW3 du premier réseau de communication netl et au premier sous-ensemble d'équipements SW5, SW7 du deuxième réseau de communication net2 sont aussi alimentés par la première alimentation électrique El, de même que les contrôleurs d'actionneurs correspondants 19. De façon similaire, le deuxième calculateur principal 10b du premier type matériel, le deuxième calculateur principal 10d du deuxième type matériel, un deuxième sous-ensemble d'équipements SW2, SW4 du premier réseau de communication netl et un deuxième sous-ensemble d'équipements SW6, SW8 du deuxième réseau de communication net2 auquel sont reliés ces deux calculateurs principaux 10b et 10d sont alimentés par la deuxième alimentation électrique E2. Ceux qui nécessitent une alimentation électrique parmi les actionneurs d'un deuxième sous-ensemble d'actionneurs 18b1 18bj reliés au deuxième sous-ensemble d'équipements SW2, SW4 du premier réseau de communication netl et au deuxième sous-ensemble d'équipements SW6, SW8 du deuxième réseau de communication net2 sont aussi alimentés par la deuxième alimentation électrique E2, de même que les contrôleurs d'actionneurs correspondants 19. Ainsi, en cas de panne de l'alimentation électrique El, le calculateur principal 10b du premier type matériel et le calculateur principal 10d 16 du deuxième type matériel peuvent communiquer avec les contrôleurs des actionneurs du deuxième sous-ensemble d'actionneurs 181,1 18bj de façon à contrôler ces ac- tionneurs. De même, en cas de panne de l'alimentation électrique E2, le calculateur principal 10a du premier type matériel et le calculateur principal 10e du deuxième type matériel peuvent communiquer avec les contrôleurs des actionneurs du premier sous- ensemble d'actionneurs 18a1 18ai de façon à contrôler ces actionneurs. Par conséquent, dans la mesure où les actionneurs 18 sont répartis entre les deux sous-ensembles d'actionneurs comme indiqué précédemment, en cas d'une panne d'une alimentation électrique El ou E2, le système de commande de vol 20 peut continuer à contrôler l'aéronef en vol et au sol. [0046] Dans l'ensemble des modes de réalisation, le calculateur de secours 17 est prévu pour mettre en oeuvre un contrôle robuste de l'aéronef, selon des lois de contrôle simplifiées, en cas de défaillance de l'ensemble des calculateurs principaux, le temps de réinitialiser les calculateurs principaux. Ce calculateur de secours 17 est similaire aux calculateurs de secours de l'art antérieur. Après réinitialisation des calculateurs principaux, ceux d'entre eux qui sont fonctionnels peuvent reprendre leur fonction de contrôle du vol de l'aéronef. 17 [Revendication 1] [Revendication 2] [Revendication 3]