FR 3089375 A1 20200605 FR 1872298 A 20181204 Description Titre de l'invention : Procédé et système de protection d'un aéronef contre une instruction de commande incohérente Domaine technique [0001] La présente invention concerne un procédé et un système de protection d'un aéronef contre une instruction de commande incohérente. Technique antérieure [0002] Pour commander des systèmes complexes d'un aéronef, en particulier d'un avion de transport, l'équipage de l'aéronef utilise souvent des listes de commandes (« check-list » en anglais) prédéterminées. De telles listes de commandes comprennent une suite de commandes (ou procédures) comprenant des actions que doit réaliser le pilote, notamment en agissant sur des éléments d'actionnement. Dans le cadre de la présente invention, on entend, par « élément d'actionnement », tout organe, bouton, levier ou moyen de commande ou tout élément tactile présent sur l'aéronef et susceptible d'être actionné (touché, pressé, tiré,...) par un pilote de l'aéronef pour commander la mise en oeuvre d'une action particulière. [0003] Sur des avions de transport commerciaux pilotés par au moins deux pilotes, pour la mise en oeuvre d'une telle liste de commandes, généralement, l'un des pilotes, à savoir le pilote PM (pour « Pilot Monitoring » en anglais) qui surveille le vol, lit au fur et à mesure les différentes commandes (ou étapes de procédure) de la liste de commandes, et l'autre pilote, à savoir le pilote PF (pour « Pilot Flying » en anglais) qui pilote l'aéronef, réalise les actions demandées pour chacune de ces commandes ou étapes de procédure. Le pilote PM qui lie les actions surveille simultanément les actions réalisées par le pilote PF, et permet ainsi d'empêcher des erreurs d'actionnements tels qu'un actionnement sur un mauvais système, non concerné par la procédure en cours, ou une commande ou un positionnement incohérent d'un bon élément d'actionnement. [0004] Malgré ce contrôle par le pilote PM, des erreurs d'actionnement et/ou des dysfonc- tionnements des éléments de commande ne sont pas exclus. [0005] De plus, des systèmes centralisés embarqués dans les aéronefs peuvent émettre auto- matiquement des instructions de commande de configuration ou de reconfieuration vers les autres systèmes de l'aéronef. Un comportement incohérent, de ces systèmes centralisés pourrait engendrer notamment une reconfiguration erronée des autres systèmes de l'aéronef. [0006] Il existe des dispositifs de surveillance spécialisés pour surveiller des actions d'un pilote. Généralement, ces dispositifs émettent une alerte avant que l'instruction de commande soit générée mais ne peuvent pas empêcher son exécution. 2 100071 En dépit de ces dispositifs de surveillance, des erreurs d'actionnement par un pilote, des dysfonctionnements d'un élément de commande ou encore des comportements incohérents des systèmes centralisés peuvent engendrer l'exécution d'une ou de plusieurs instructions de commande erronées. Cette solution n'est donc pas complètement satisfaisante. Exposé de l'invention [0008] La présente invention a pour but de remédier à cet inconvénient. [0009] Pour ce faire, elle concerne un procédé de protection d'un aéronef contre une ins- truction de commande incohérente. [0010] Selon l'invention, ledit procédé comprenant une étape de génération, mise en oeuvre par une unité de génération, consistant à générer une instruction de commande, comprend, de plus, la succession d'étapes suivantes : - une première étape de transmission, mise en oeuvre par une première liaison de transmission, consistant à transmettre, à une unité d'évaluation, l'instruction dc commande générée par l'unité de génération ; - une étape d'évaluation, mise en oeuvre par l'unité d'évaluation, consistant à évaluer si l'instruction de commande est incohérente ou non et à générer et transmettre une requête d'arbitrage si l'instruction de commande est incohérente et un premier ordre de validation d'instruction de commande sinon ; - une étape d'arbitrage, mise en oeuvre par une unité d'arbitrage, consistant : à transmettre, le cas échéant, la requête d'arbitrage reçue de l'unité d'évaluation, à un opérateur par l'intermédiaire d'un système dc communication ; - à recevoir dc l'opérateur, par l'intermédiaire du système de communication, une réponse de confirmation ou une réponse d'annulation ; et - à générer et à transmettre à une unité d'exécution un second ordre de validation d'instruction de commande en cas dc réception d'une réponse de confirmation et un ordre d'annulation d'instruction de commande en cas de réception d'une réponse d'annulation ; et - une étape d'exécution, mise en oeuvre par l'unité d'exécution, consistant à exécuter ladite instruction de commande en cas de réception d'un premier ou d'un second ordre de validation d'instruction de commande. [0011] Ainsi, grâce à l'invention, on réalise une évaluation d'une instruction de commande. Si l'instruction de commande est évaluée comme étant incohérente, un arbitrage est réalisé, au cours duquel un opérateur doit confirmer ou annuler cette instruction de commande incohérente avant son exécution. On entend par instruction de commande incohérente, une instruction de commande dont l'exécution a pour conséquences une mise en danger de l'aéronef. Par conséquent, seules les instructions de commande dont 3 l'exécution ne présente aucun danger pour l'aéronef sont exécutées. [0012] Avantageusement, dans un premier mode de réalisation, l'étape d'évaluation comprend la succession de sous-étapes suivantes : - une sous-étape d'acquisition, mise en oeuvre par un module d'acquisition, consistant à acquérir des données de paramètres de l'aéronef, lesdites données acquises définissant un état courant de l'aéronef ; - une sous-étape de sélection, mise en oeuvre par un module de sélection, consistant à sélectionner une liste parmi une pluralité de listes d'une hase de données, chacune des listes étant associée à l'exécution d'une instruction de commande particulière et comprenant un ensemble d'états prédéterminées et de conséquences techniques si l'instruction de commande particulière est exécutée, la liste sélectionnée étant associée à l'exécution de l'instruction de commande reçue de l'unité de génération ; - une sous-étape de vérification, mise en oeuvre par un module de vérification, consistant à vérifier un défaut de conformité ou une conformité de l'état courant avec un état prédéterminé défini pour la liste sélectionnée, la conformité de l'état courant avec l'état prédéterminé étant représentative d'une instruction de commande incohérente ; - une sous-étape de génération, mise en oeuvre par un module de génération, consistant à : - générer une requête d'arbitrage, si l'instruction de commande est incohérente ; et - générer ledit premier ordre de validation d'instruction de commande, sinon. [0013] En outre, dans un second mode de réalisation, l'étape d'évaluation comprend : - une sous-étape d'acquisition, mise en oeuvre par un module d'acquisition, consistant à acquérir des données de paramètres de l'aéronef - une sous-étape de modélisation, mise en oeuvre par un module de modélisation, consistant à modéliser un état de l'aéronef et une enveloppe de protection autour de l'état de l'aéronef, à partir des données de paramètres acquises, l'enveloppe de protection entourant l'état de l'aéronef représentant l'état modélisé de l'aéronef ; - une sous-étape de simulation, mise en oeuvre par un module de simulation, consistant à simuler un état de l'aéronef si une instruction de commande particulière est exécutée et - une sous-étape de décision, mise en oeuvre par un module de décision, consistant à comparer au moins une valeur de paramètres définissant l'état modélisé et au moins une valeur de paramètres définissant l'état simulé, à en déduire la cohérence ou l'incohérence de l'instruction de commande selon des règles prédéterminées puis à générer ledit premier ordre de validation si l'instruction de commande est cohérente ou une requête d'arbitrage si l'instruction de commande est incohérente. [0014] Par ailleurs, avantageusement, l'étape d'évaluation comprend également une sous- étape d'alerte, consistant à émettre un signal d'alerte, en cas d'incapacité de l'unité d'évaluation à évaluer l'instruction de commande. [0015] Par ailleurs, de façon avantageuse, la requête d'arbitrage comprend au moins les in- formations suivantes : - une instruction de commande à arbitrer ; - l'identité de l'unité de génération ayant généré l'instruction de commande ; - au moins une conséquence technique en cas d'exécution de l'instruction de commande ; - une demande de confirmation ou d'annulation de l'instruction de commande. [0016] En outre, avantageusement, le procédé comprend également une seconde étape de transmission, mise en oeuvre par une deuxième liaison de transmission, consistant à transmettre, à l'unité d'exécution, l'instruction de commande générée par l'unité de génération. [0017] Dans un premier mode de réalisation, la première étape de transmission et la seconde étape de transmission sont mises en oeuvre simultanément. [0018] Dans un second mode de réalisation, la seconde étape de transmission est mise en oeuvre uniquement si l'unité d'évaluation génère le premier ordre de validation d'instruction de commande ou si l'unité d'arbitrage génère le second ordre de validation d'instruction de commande. [0019] De façon avantageuse, l'étape d'exécution consiste également à exécuter l'instruction de commande reçue de l'unité de génération en cas de réception d'un signal d'alerte émis par l'unité d'évaluation et en cas d'absence de réception, dans un laps de temps prédéterminé, d'un premier ordre de validation d'instruction de commande, d'un second ordre de validation d'instruction de commande et d'un ordre d'annulation d'instruction de commande. [0020] La présente invention concerne également un système de protection d'un aéronef contre une instruction de commande incohérente. [0021] Selon l'invention, ledit système comportant une unité de génération, configurée pour générer une instruction de commande, comporte également : - une première liaison de transmission configurée pour transmettre à une unité d'évaluation l'instruction de commande générée par l'unité de génération ; - l'unité d'évaluation configurée pour évaluer si l'instruction de commande est incohérente ou non et pour générer et transmettre une requête d'arbitrage si l'instruction de commande est incohérente et un premier ordre de validation d'instruction de commande sinon ; - une unité d'arbitrage configurée : - pour transmettre, le cas échéant, la requête d'arbitrage reçue de l'unité d'évaluation, à un opérateur par l'intermédiaire d'un système de communication ; - pour recevoir de l'opérateur, par l'intermédiaire du système de communication, une réponse de confirmation ou une réponse d'annulation ; et - pour générer et pour transmettre à une unité d'exécution un second ordre de validation d'instruction de commande en cas de réception d'une réponse de confirmation et un ordre d'annulation d'instruction de commande en cas de réception d'une réponse d'annulation ; et - l'unité d'exécution configurée pour exécuter ladite instruction de commande en cas de réception d'un premier ou d'un second ordre de validation d'instruction de commande. [0022] Avantageusement, dans un premier mode de réalisation, l'unité d'évaluation comporte : - une base de données comprenant une pluralité de listes, chacune des listes étant associée à l'exécution d'une instruction de commande particulière et comprenant un ensemble d'états prédétermines et de conséquences techniques si l'instruction de commande particulière est exécutée ; - un module d'acquisition configuré pour acquérir des données de paramètres de l'aéronef, lesdites données acquises définissant un état courant de l'aéronef ; - un module de sélection configuré pour sélectionner une liste parmi la pluralité de listes de la hase de données, la liste sélectionnée étant associée à l'exécution de l'instruction de commande reçue de l'unité de génération ; - un module de vérification configuré pour vérifier un défaut de conformité ou une conformité de l'état courant avec un état prédéterminé défini pour la liste sélectionnée, la conformité de l'état courant avec l'état prédéterminé étant représentative d'une instruction de commande incohérente ; - un module de génération configuré pour : - générer une requête d'arbitrage, si l'instruction de commande est incohérente ; et - générer ledit premier ordre de validation d'instruction de commande, sinon. [0023] De façon avantageuse, dans un second mode de réalisation, l'unité d'évaluation comporte : - un module d'acquisition configuré pour acquérir des données de paramètres de l'aéronef ; - un module de modélisation configuré pour modéliser un état de l'aéronef et une enveloppe de protection autour de l'état de l'aéronef, à partir des données de paramètres acquises, l'enveloppe de protection entourant l'état de l'aéronef représentant l'état modélisé de l'aéronef ; - un module de simulation, configuré pour simuler un état de l'aéronef si une instruction de commande particulière est exécutée ; et - un module de décision, configuré pour comparer au moins une valeur de paramètres 6 définissant l'état modélisé et au moins une valeur de paramètres définissant l'état simulé, pour en déduire la cohérence ou l'incohérence de l'instruction de commande selon des règles prédéterminées puis pour générer ledit premier ordre de validation si l'instruction de commande est cohérente ou une requête d'arbitrage si l'instruction de commande est incohérente [0024] Par ailleurs, avantageusement, le système comporte également une deuxième liaison de transmission configure° pour transmettre, à l'unité d'exécution, l'instruction de commande générée par l'unité de génération. [0025] Par ailleurs, de préférence, l'unité d'évaluation est également configure° pour émettre un signal d'alerte, en cas d'incapacité de l'unité d'évaluation à évaluer l'instruction de commande. [0026] En outre, de façon avantageuse, l'unité d'exécution est également configurée pour exécuter l'instruction de commande reçue de l'unité de génération en cas de réception d'un signal d'alerte émis par l'unité d'évaluation et en cas d'absence de réception, dans un laps de temps prédéterminé, d'un premier ordre de validation d'instruction de commande, d'un second ordre de validation d'instruction de commande ou d'un ordre d'annulation d'instruction de commande. [0027] La présente invention concerne, de plus, un aéronef, en particulier un avion de transport, comprenant un système de protection contre une instruction de commande incohérente d'un aéronef tel que celui spécifié ci-dessus. Brève description des dessins [0028] Les figures annexées feront bien comprendre comment l'invention peut être réalisée. Sur ces figures, des références identiques désignent des éléments semblables. [0029] [fig.1] La figure 1 est un schéma synoptique d'un mode de réalisation particulier d'un système de protection d'un aéronef contre une instruction de commande incohérente. [0030] [fig.2] La figure 2 est un schéma synoptique d'une réalisation particulière d'une unité d'évaluation d'un système de protection d'un aéronef contre une instruction in- cohérente. [0031] [fig.3] La figure 3 représente un aéronef dans lequel est embarqué un système de protection d'un aéronef contre une instruction de commande incohérente. [0032] [fig.4A] La figure 4A illustre une première réalisation particulière d'un mode de réalisation d'un procédé de protection contre une instruction de commande incohérente. [0033] [fig.4B] 7 La figure 4B illustre une deuxième réalisation particulière d'un mode de réalisation d'un procédé de protection contre une instruction de commande incohérente. [0034] [fig.4C] La figure 4C illustre une troisième réalisation particulière d'un mode de réalisation d'un procédé de protection contre une instruction de commande incohérente. Description des modes de réalisation [0035] Le système de protection 1 (ci-après « système 1 »), représenté schématiquement dans un mode de réalisation particulier sur la figure 1, est destiné à protéger un aéronef AC, en particulier un avion de transport, sur lequel il est embarqué (figure 3) contre une instruction de commande incohérente. [0036] Dans le cadre de la présente invention, on entend par instruction de commande in- cohérente, toute instruction de commande dont l'exécution peut engendrer une baisse des performances et/ou des capacités de l'aéronef AC, voire générer une situation jugée dangereuse pour l'aéronef AC. Par analogie, une instruction de commande cohérente est une instruction de commande dont l'exécution n'engendre aucune baisse de performances et/ou de capacités de l'aéronef AC, ni de situations jugées dangereuses pour l'aéronef AC. [0037] Comme représenté sur la figure 1, le système 1 comprend au moins une unité dc gé- nération 2 qui est apte à générer une instruction dc commande. [0038] Dans un mode de réalisation préféré, l'unité de génération 2 est un moyen de commande qui peut être actionné (touché, enfoncé, tiré,...) par un des pilotes de l'aéronef AC. Dans une réalisation particulière de ce mode de réalisation, cc moyen de commande est un bouton (rotatif, de pression, ...), un organe ou un levier. Dans une autre réalisation de ce mode dc réalisation, le moyen de commande est un système d'interface homme/machine. Un tel système d'interface homme/machine peut comprendre une fonction de visualisation et de contrôle des systèmes avioniques générant une instruction de commande à partir d'au moins une action d'un des pilotes sur un élément tactile (écran tactile, commande tactile, ...). Par ailleurs, l'actionnement du système d'interface homme/machine peut également être vocal ou gestuel. [0039] Dans un autre mode de réalisation, l'unité de génération 2 est un système dc gestion automatisée de la configuration et/ou de la reconfiguration de systèmes avioniques. À titre d'exemple, un système de gestion automatisée peut être un système de type FWS (« Flight Warning System » en anglais) configuré pour émettre des instructions de commande de configuration et de reconfiguration vers les autres systèmes avioniques de l'aéronef. [0040] Une instruction de commande résulte donc de l'actionnement d'un moyen de commande par un des pilotes ou d'un système de gestion automatisée de l'aéronef AC. 8 Elle concerne la configuration et la reconfiguration d'un ou de plusieurs systèmes avioniques. Un système avionique est généralement un système embarqué sur l'aéronef AC tel qu'un système de gestion de moteur, un système électrique,... [0041] Par ailleurs, chaque instruction de commande générée par l'unité de génération 2 est transmise à une unité d'évaluation 3 par l'intermédiaire d'une liaison de transmission T1. [0042] En outre, chaque instruction de commande générée par l'unité de génération 2 est également transmise à une unité d'exécution 12 par l'intermédiaire d'une liaison de transmission T2. [0043] De préférence, l'unité d'évaluation 3 évalue si l'instruction de commande reçue est incohérente ou non. L'unité d'évaluation 3 génère et transmet unc requête d'arbitrage R si l'instruction de commande est évaluée comme étant incohérente et un ordre de validation V1 d'instruction de commande sinon, c'est-à-dire si l'instruction de commande est évaluée comme étant cohérente. [0044] Dans un mode de réalisation préféré, l'unité d'évaluation 3 comporte une hase de données 4. Cette hase de données 4 comprend une pluralité de listes Li, avec i=1,..., M, M étant un entier. Chaque liste Li de la hase de données 4 est associée à l'exécution d'une instruction de commande particulière qui peut être générée par l'unité de génération 2. Une liste Li associée à l'exécution d'une instruction de commande particulière comprend une succession d'états prédéterminés Sij et de conséquences techniques Cij relatives à chaque état prédéterminé Sij, avec j=1, N, N étant un entier. Le nombre total d'état prédéterminés Sij et de conséquences techniques Cij peut être différent d'une liste à l'autre. [0045] À titre d'exemple, une instruction de commande peut être une instruction demandant de « Couper le moteur 2 » dans le cas d'un aéronef AC comprenant deux moteurs, le moteur 1 pouvant être en feu. Dans cet exemple, des états prédéterminés Sij définis pour une liste Li associée à cette instruction de commande peuvent être « Moteur 1 en feu et Aéronef en vol », « Poussée du moteur 1 dégradée et Aéronef en phase de décollage »,... [0046] Chaque conséquence technique Cij est représentative d'un résultat, sur les unités d'exécution 12, si l'aéronef AC est dans l'état prédéterminé Sij défini pour la liste Li et que l'instruction de commande particulière est exécutée. Les conséquences techniques Cij sont souvent jugées dangereuses. Elles engendrent une perte des performances et/ ou des capacités de l'aéronef AC qui est dangereuse pour l'aéronef AC. [0047] Les conséquences techniques Cij associées aux états prédéterminés Sij énoncés dans l'exemple ci-dessus si l'instruction de commande est « Couper le moteur 2» peuvent comprendre « Perte totale de poussée », « Risque de perte de poussée suffisante pour éviter des obstacles environnants »,... 9 [0048] L'unité d'évaluation 3 comporte également un module d'acquisition 5 qui acquiert des données (courantes) de paramètres de l'aéronef AC. De préférence, le module d'acquisition 5 comprend un ensemble de capteurs et de systèmes avioniques aptes à fournir des données en rapport avec l'instruction de commande reçue par l'unité d'évaluation 3. Les données (courantes) de paramètres de l'aéronef AC sont, par exemple, des valeurs de l'altitude, des valeurs de la vitesse, l'état d'un moteur, ... Ces données (courantes) de paramètres définissent un état dit courant de l'aéronef AC. [0049] Dans le mode de réalisation préféré, l'unité d'évaluation 3 comprend un module de sélection 6 qui sélectionne la liste Lk, parmi la pluralité de listes Ll à LM de la hase de données 4, qui est associée à l'exécution de l'instruction de commande générée par l'unité de génération 2. [0050] L'unité d'évaluation 3 comprend, de plus, un module de vérification 7 qui vérifie si l'état courant de l'aéronef AC défini par le module d'acquisition 5 est conforme ou n'est pas conforme avec un des états prédéterminés Skl de la liste Lk sélectionnée, I allant de 1 à N. [0051] Un état courant conforme à un état prédéterminé Skl défini pour la liste Lk signifie que l'instruction de commande est incohérente. Son exécution peut engendrer les conséquences techniques Ckl correspondant à l'état prédéterminé Skl conforme à l'état courant de l'aéronef AC. Ces conséquences techniques Cij sont jugées dangereuses pour l'aéronef AC. [0052] A contrario, un état courant qui n'est pas conforme à un état prédéterminé Skl défini pour la liste Lk signifie que l'instruction de commande est cohérente. Son exécution n'engendre pas de conséquences techniques pouvant être dangereuses pour l'aéronef AC. [0053] L'unité d'évaluation 3 comporte, en outre, un module de génération 8 qui : - génère une requête d'arbitrage R, si l'instruction de commande est évaluée comme étant incohérente par le module de vérification 7 ; et - génère l'ordre de validation V1 d'instruction de commande, sillon. [0054] Dans un autre mode de réalisation, l'unité d'évaluation 3 comprend, comme re- présenté sur la figure 2 : - un module d'acquisition 13 identique, par exemple, au module d'acquisition 5, qui acquiert des données de paramètres de l'aéronef AC ; - un module de modélisation 14, qui modélise un état de l'aéronef AC et une enveloppe de protection autour de l'état de l'aéronef AC, à partir des données de paramètres acquises, l'enveloppe de protection entourant l'état de l'aéronef AC représentant l'état modélisé de l'aéronef. L'état de l'aéronef AC est, par exemple, représenté par des réseaux de Pétri dont chaque noeud est une unité d'exécution 12 et chaque lien est une interaction entre les unités d'exécution 12 ; - un module de simulation 15, qui est apte à simuler un état de l'aéronef AC si une instruction de commande particulière est exécutée ; et - un module de décision 16, qui compare au moins une valeur de paramètres définissant l'état modélisé et au moins une valeur de paramètres définissant l'état simulé, et en déduit la cohérence ou l'incohérence de l'instruction de commande selon des règles prédéterminées puis génère l'ordre de validation V1 si l'instruction de commande est cohérente ou une requête d'arbitrage R si l'instruction de commande est incohérente. [0055] On entend par règles prédéterminées un ensemble de règle permettant dc déterminer si l'exécution d'une instruction de commande fait sortir ou non un des paramètres définissant l'état simulé comparé à l'enveloppe dc protection définissant l'état modélisé de l'aéronef AC. L'enveloppe de protection représente des valeurs maximales admises des valeurs de paramètres de l'état simulé de l'aéronef AC. [0056] L'ordre de validation V1, généré par l'unité d'évaluation 3 dans le premier ou le second mode de réalisation, est transmis à une unité d'exécution 12 par l'intermédiaire d'une liaison de transmission T3, représentée sur la figure 1. La requête d'arbitrage R est transmise à une unité d'arbitrage 9, par l'intermédiaire d'une liaison dc transmission T4, également représentée sur la figure 1. [0057] Dans un mode de réalisation particulier, l'unité d'évaluation 3 est configurée pour émettre un signal d'alerte en cas d'incapacité par l'unité d'évaluation 3 d'évaluer l'instruction de commande. [0058] Dans un mode de réalisation préféré, l'unité d'arbitrage 9 est une interface homme/ machine hébergée par un système d'interface homme/machine. Dans un mode de réalisation particulier, l'unité d'arbitrage 9 est hébergée par le même système d'interface bol-mine/machine que l'unité de génération 2. [0059] Par ailleurs, l'unité d'arbitrage 9 transmet la requête d'arbitrage R, reçue de l'unité d'évaluation 3 dans le cas où l'instruction de commande est incohérente, à un système de communication 10 qui la communique à un opérateur O. [0060] Le système de communication 10 comprend une liaison de transmission T5 et un moyen de communication 11, par exemple un écran de visualisation qui peut être tactile, une caméra, ou un microphone. Le système de communication 10 émet la requête d'arbitrage R au moyen de communication 11 qui l'affiche sur l'écran ou qui l'émet vocalement à l'opérateur O. [0061] Dans un mode de réalisation préféré, l'opérateur O est un des pilotes qui a actionné l'unité de génération 2 ou toute autre personne de l'équipage. Dans ce mode de réalisation préféré, le moyen de communication 11 est agencé dans le cockpit et la liaison de données est filaire ou non filaire T5. Dans une variante (non représentée), l'opérateur O est une personne qui n'est pas présente dans l'aéronef AC. Le moyen de 11 communication 11 est agencé en dehors de l'aéronef AC, par exemple, dans le centre d'opération de la compagnie aérienne (« Airline Operations Center » en anglais), ou être portatif. Dans cette variante de réalisation, la liaison de donnée T5 est une liaison non filaire. [0062] Le système de communication 10 est également configuré pour recevoir une réponse de l'opérateur O. Il s'agit soit d'une réponse de confirmation de l'instruction de commande soit d'une réponse d'annulation de l'instruction de commande. L'opérateur O agit sur le moyen de communication 11 pour émettre sa réponse. Comme représenté sur la figure 1, l'unité d'arbitrage 9 transmet un ordre de validation V2 si la réponse de l'opérateur O est une réponse de confirmation et un ordre d'annulation A si la réponse de l'opérateur O est une réponse d'annulation. L'unité d'arbitrage 9 transmet à l'unité d'exécution 12 par l'intermédiaire d'une liaison de transmission T6 soit l'ordre de validation V2, soit l'ordre d'annulation A. [0063] En outre, l'unité d'exécution 12 représente un ou plusieurs systèmes avioniques. Ce ou ces systèmes avioniques sont des systèmes embarqués, par exemple un système de gestion des moteurs, un système électrique,... L'unité d'exécution 12 exécute l'instruction de commande reçue de l'unité de génération 2 si un ordre de validation V1, V2 lui a été transmis soit par l'unité d'évaluation 3 soit par l'unité d'arbitrage 9. Si l'unité d'arbitrage 9 lui transmet un ordre d'annulation A, l'unité d'exécution 12 n'exécute pas l'instruction de commande. [0064] Dans un mode de réalisation particulier, l'unité d'exécution 12 est également configurée pour exécuter l'instruction de commande si, après un laps de temps prédéterminé, aucun ordre de validation V1, V2 d'instruction de commande ou aucun ordre d'annulation A d'instruction de commande ne lui a été transmis. Le laps de temps prédéterminé débute à la réception par l'unité d'exécution 12 de l'instruction de commande générée par l'unité de génération 2. Dans une variante, l'unité d'exécution 12 est également configurée pour ignorer l'instruction de commande si, après un laps de temps prédéterminé, aucun ordre de validation V1, V2 d'instruction de commande ou aucun ordre d'annulation A d'instruction de commande ne lui a été transmis. À titre d'exemple, le laps de temps prédéterminé dure trois minutes. [0065] Dans une variante, l'unité d'exécution 12 exécute l'instruction de commande si l'unité d'exécution 12 reçoit le signal d'alerte émis par l'unité d'évaluation 3. Ce signal d'alerte informe l'unité d'exécution 12 que l'unité d'évaluation 3 est en panne et ne peut pas évaluer l'instruction de commande. [0066] Le système 1, tel que décrit ci-dessus, est susceptible de mettre en oeuvre un procédé de protection des performances et/ou des capacités d'un aéronef AC sur lequel il est installé, contre une instruction de commande incohérente. Le procédé comprend plusieurs réalisations particulières, comme représenté sur les figures 4A, 4B et 4C. 12 [0067] Le procédé comprend une étape de génération El, mise en oeuvre par l'unité de gé- nération 2, consistant à générer une instruction de commande, soit de manière automatique par un système de gestion automatisée soit consécutivement à r actionnement d'un moyen de commande par un pilote. L'instruction de commande générée est ensuite transmise, lors d'une première étape de transmission E2AE2A, à l'unité d'évaluation 3. [0068] Pour évaluer si l'instruction de commande est incohérente ou n'est pas incohérente, le procédé comprend une étape d'évaluation E3 comportant la succession de sous-étapes suivantes E3A, E3B, E3C et E3D. [0069] Au cours de la sous-étape E3A d'acquisition, des capteurs et/ou des systèmes avioniques qui font partie du module d'acquisition 5 acquièrent une pluralité de données de paramètres de l'aéronef AC. Cet ensemble de données de paramètres définit un état courant de l'aéronef AC. À titre d'exemple, un des moteurs de l'aéronef est en feu, au cours d'un vol. Un état courant de l'aéronef AC est « Moteur 1 en feu, aéronef AC en vol ». [0070] En parallèle, la sous-étape E3B de sélection permet de sélectionner la liste Lk associée à l'exécution de l'instruction de commande générée par l'unité de génération 2 parmi les listes Ll à LM de la base de données 4. La liste Lk sélectionnée comprend des états prédéterminés Ski et des conséquences techniques Ckl relatives à ces états prédéterminés Skl si l'instruction de commande générée est exécutée. Les états prédéterminés Skl définis pour la liste Lk forment un ensemble non exhaustif de situations dans lesquelles l'exécution de l'instruction de commande engendre une perte de performance et/ou de capacités de l'aéronef AC. Les conséquences techniques Ckl relatives à ces états prédéterminés Skl forment un ensemble d'informations supplémentaires sur cette perte de performance et/ou de capacités de l'aéronef AC qui peuvent conduire à sa mise en danger. [0071] Lorsque la liste Lk est sélectionnée, l'état courant de l'aéronef AC est comparé à chacun des états prédéterminés Skl défini pour la liste Lk sélectionnée. La sous-étape E3C de vérification, consécutive aux sous-étapes E3A et E3B, vérifie si l'état courant est conforme ou n'est pas conforme à un des états prédéterminés Skl. [0072] Comme représenté sur la figure 4A, si l'état courant n'est pas conforme, c'est-à-dire si l'état courant ne correspond à aucun des états prédéterminés Skl définis pour la liste Lk, l'instruction de commande reçue de l'unité de génération 2 est évaluée par le module de vérification 7 comme étant cohérente. Un ordre de validation V1 est alors généré par le module de génération 8 au cours de la sous-étape E3D de génération et transmis à l'unité d'exécution 12. [0073] En revanche, si l'état courant de l'aéronef AC est conforme à un des états prédé- terminés Skl, c'est-à-dire si l'état courant correspond à au moins un des états prédé- 13 terminés Skl définis pour la liste Lk sélectionnée, l'instruction de commande est évaluée comme étant incohérente par le module de vérification 7. Comme représenté sur les figures 4B et 4C, la sous-étape E3D de génération consiste alors à générer une requête d'arbitrage R qui est transmise à l'unité d'arbitrage 9. [0074] Dans une variante, l'étape d'évaluation E3 comprend : - une sous-étape d'acquisition identique, par exemple, à la sous-étape E3A d'acquisition, mise en oeuvre par le module d'acquisition 13, consistant à acquérir des données de paramètres de l'aéronef AC ; - une sous-étape de modélisation, mise en oeuvre par le module de modélisation 14 et consistant à modéliser un état de l'aéronef AC et une enveloppe de protection autour de état de l'aéronef AC, à partir des données de paramètres acquises, l'enveloppe de protection entourant l'état de l'aéronef (AC) représentant l'état modélisé de l'aéronef. L'état de l'aéronef AC est, par exemple, représenté par des réseaux de Pétri dont chaque noeud est une unité d'exécution 12 et chaque lien est une interaction entre les unités d'exécution 12 ; - une sous-étape de simulation, mise en oeuvre par un module de simulation 15, consistant à simuler un état de l'aéronef AC si une instruction de commande particulière est exécutée ; et - une sous-étape de décision, mise en oeuvre par un module de décision 16, consistant à comparer au moins une valeur de paramètres définissant l'état modélisé et au moins une valeur de paramètres définissant l'état simulé, à en déduire la cohérence ou l'incohérence de l'instruction de commande selon des règles prédéterminées puis à générer ledit premier ordre de validation V1 si l'instruction de commande est cohérente ou une requête d'arbitrage R si l'instruction de commande est incohérente. [0075] De préférence, la requête d'arbitrage R comprend au moins les informations suivantes - l'instruction de commande à arbitrer ; - l'identité de l'unité de génération 2 de l'instruction de commande ; - au moins une conséquence technique Cij en cas d'exécution de l'instruction de commande ; et - une demande de confirmation ou d'annulation de l'instruction de commande. [0076] À titre d'exemple, une requête d'arbitrage R peut être « Commande de coupure du moteur 2 demandée. Moteur 1 en feu. Perte totale de poussée en cas de confirmation. ». [0077] Lors d'une étape d'arbitrage E4, la requête d'arbitrage R est transmise à l'opérateur O par l'intermédiaire du système de communication 10. La requête d'arbitrage R peut être affichée sur un écran de visualisation, être énoncée vocalement,... L'opérateur O répond à la requête d'arbitrage R en émettant une réponse de confirmation de 14 l'instruction de commande ou au contraire une réponse d'annulation de l'instruction de commande. La réponse de l'opérateur O peut être gestuelle devant une caméra, via un écran qui peut être tactile, vocale par un microphone,... en fonction du moyen de communication 11. [0078] Comme représenté sur la figure 4B, si l'opérateur O émet une réponse d'annulation, l'unité d'arbitrage 9 transmet un ordre d'annulation A à l'unité d'exécution 12 au moyen de communication 11. L'instruction de commande est annulée et n'est pas exécutée lors de l'étape d'exécution E5. [0079] En revanche, si l'opérateur O émet une réponse de confirmation au moyen de com- munication 11 de l'unité d'arbitrage 9, comme représenté sur la figure 4C, l'unité d'arbitrage 9 transmet un ordre de validation V2 à l'unité d'exécution 12. L'instruction de commande est alors exécutée au cours de l'étape d'exécution E5. [0080] Dans un mode de réalisation préféré, l'unité de génération 2 transmet l'instruction de commande simultanément à l'unité d'évaluation 3 et à l'unité d'exécution 12 au cours d'étapes de transmission E2A et E2B respectivement (représentées sur les figures 4A, 4B et 4C). L'unité d'exécution 12 exécute alors l'instruction de commande au cours d'une étape d'exécution E5, dès la réception d'un ordre de validation V1, V2. [0081] Dans une variante non représentée, l'étape de transmission E2B de l'instruction de commande de l'unité de génération 2 à l'unité d'exécution 12 a lieu uniquement si l'unité d'évaluation 3 ou l'unité d'arbitrage 9 ont générée un ordre de validation V1, V2 relatif à l'instruction de commande. [0082] Dans une autre variante non représentée, l'unité d'évaluation 3 évalue en continu si une instruction de commande reçue de l'unité de génération 2 est cohérente ou est incohérente. L'unité d'évaluation 3 génère un ordre de pré-validation pour chaque instruction de commande cohérente dans le contexte courant. Les instructions de commande émises par l'unité de génération 2 et pré-validées par l'unité de validation 3 sont alors transmises immédiatement à l'unité d'exécution 12.L'unité d'exécution 12 les exécute. [0083] Par ailleurs, dans un mode de réalisation particulier non représenté, l'instruction de commande est exécutée au cours de l'étape d'exécution E5, si aucun ordre de validation VI, V2 ou d'annulation A n'est transmis à l'unité d'exécution 12 au bout d'un laps de temps prédéterminé. Ce laps de temps prédéterminé qui débute à la réception de l'instruction de commande par l'unité d'exécution 12 peut durer trois minutes. [0084] Dans une variante non représentée, l'instruction de commande est exécutée au cours de l'étape d'exécution E5, si l'unité d'exécution 12 reçoit un signal d'alerte émis par l'unité d'évaluation 3. Ce signal d'alerte informe l'unité d'exécution 12 que l'unité d'évaluation 3 est en panne et ne peut pas évaluer l'instruction de commande. [0085] Ainsi, le système 1 permet de protéger l'unité d'exécution 12 d'une instruction de commande incohérente qui, en cas d'exécution, risque de provoquer des dommages dans la configuration ou la reconfiguration des systèmes avioniques. De tels dommages engendreraient une perte des performances et/ou des capacités de l'aéronef AC voire une mise en danger de l'aéronef AC. [0086] Avantageusement, le système 1 permet de protéger l'aéronef AC contre, entre autres : [0087] - des actionnements intempestifs ou incohérents de certains moyens de commande par l'équipage ; [0088] - le fonctionnement incohérent d'un système d'interface homme/machine, par exemple, la génération et la transmission d'une instruction de commande sans action de la part de l'équipage ; et [0089] - le fonctionnement incohérent d'un système de gestion automatisée de la confi- guration et de la rcconfiguration de systèmes avioniques. [0090] De plus, le système 1 est robuste à toute panne ou fonctionnement incohérent de l'unité d'évaluation 3. 16 [Revendication I] [Revendication 2]