FR 3090979 A1 20200626 FR 1873405 A 20181219 Description Titre de l'invention : Système de pilotage alternatif destiné à être intégré dans un aéronef préexistant [0001] L'invention concerne le domaine des systèmes de pilotage alternatifs destinés à être intégrés dans des aéronefs préexistants. [0002] ARRIERE PLAN DE L'INVENTION [0003] Les avions de ligne modernes sont généralement pilotés par un équipage d'au moins deux pilotes comprenant un commandant de bord et un copilote. [0004] On envisage de faire voler certains de ces avions de ligne avec un seul pilote pour des applications bien particulières, et notamment pour transporter des marchandises. Il est ainsi prévu de convertir un avion de ligne de type Airbus A321 en un avion-cargo pouvant être piloté par un seul pilote. [0005] Cette reconfiguration de l'avion de ligne présente de nombreux avantages. [0006] En transformant un avion de ligne préexistant qui vole depuis plusieurs années en un avion-cargo, on dispose d'un avion-cargo éprouvé, fiable, sans qu'il soit nécessaire de financer un nouveau programme complet de développement d'avion. On améliore de plus la rentabilité du programme initial grâce à cette nouvelle application. [0007] Comme un avion-cargo ne transporte pas de passager, contrairement à un avion de ligne, la réduction du nombre de pilotes semble être unc première étape plus facile à accepter pour le grand public. Bien évidemment, il ne s'agit pas d'accepter unc quelconque baisse de la sécurité des vols, qui ne doit pas être dégradée mais plutôt renforcée par cette rcconfiguration. [0008] En réduisant le nombre de pilotes, on réduit bien sûr aussi le coût global de chaque vol. [0009] Par ailleurs, un certain nombre de solutions ont émergé permettant d'assister le pilote dans ses tâches, allant jusqu'à l'amélioration de la sécurité via la possibilité d'analyser une quantité de données importante en temps réel. [0010] Cependant, cette rcconfiguration de l'avion de ligne se heurte aussi à un certain nombre de difficultés. [0011] La réduction du nombre de pilotes oblige à développer et à intégrer dans l'avion un certain nombre de fonctions de sécurité additionnelles. [0012] Les fonctions de sécurité additionnelles visent notamment à assurer que le pilotage de l'avion demeure parfaitement sûr même en cas de défaillance du système de pilotage automatique ou en cas d'incapacité de l'unique pilote à piloter l'avion manuellement. Les fonctions de sécurité additionnelles doivent aussi permettre d'empêcher ou tout au moins de limiter les conséquences d'un acte malveillant réalisé 2 par le pilote, comme par exemple un crash volontaire de l'avion sur des infrastructures ou sur des zones habitées. [0013] Bien sûr, pour que la conversion d'un avion de ligne préexistant en un avion-cargo soit intéressante d'un point de vue économique, ces fonctions de sécurité additionnelles doivent être intégrées sur les avions préexistants en requérant des activités de certification additionnelles limitées. [0014] OBJET DE L'INVENTION [0015] L'invention a pour objet de convertir dc manière sûre et peu coûteuse un avion pré- existant traditionnel en un avion pouvant être piloté par un seul pilote. Résumé de l'invention [0016] En vue de la réalisation de ce but, on propose un système de pilotage alternatif agencé pour être intégré dans un aéronef préexistant qui comporte des systèmes d'origine comprenant un système dc commandes de vol et un système de pilotage automatique, le système de pilotage alternatif comportant : un dispositif de pilotage indépendant des systèmes d'origine, comprenant une unité de positionnement agencée pour produire des données dc positionnement de l'aéronef, et une unité de commande agencée pour produire une consigne de pilotage alternative de l'aéronef ; un dispositif d'acquisition et d'analyse, comprenant des moyens d'acquisition agencés pour acquérir des données produites par les systèmes d'origine ainsi que les données de positionnement et la consigne de pilotage alternative produites par le dispositif de pilotage, et des moyens dc décision agencés pour décider si la consigne de pilotage alternative doit être utilisée ou non pour piloter l'aéronef ; un dispositif d'interface agencé pour piloter le système dc commandes de vol de l'aéronef à partir de la consigne de pilotage alternative lorsque les moyens de décision du dispositif d'acquisition et d'analyse décident que ladite consigne de pilotage alternative doit être utilisée pour piloter l'aéronef. [0017] Lc système de pilotage alternatif est donc destiné à être intégré dans un aéronef pré- existant. En cas de défaillance du pilote ou du système de pilotage automatique, la consigne de pilotage alternative peut être utilisée pour piloter l'aéronef. L'aéronef peut donc être piloté de manière sûre par un unique pilote. Par ailleurs, comme le dispositif de pilotage est, par rapport aux systèmes d'origine, indépendant et dissimilaire dans les technologies mises en oeuvre ou dans l'implémentation dans l'aéronef, le dispositif de pilotage ne peut pas être impacté par une panne touchant ces systèmes d'origine. On assure donc notamment que l'unité de positionnement est en mesure de produire des données de positionnement de l'aéronef même lorsque les systèmes de positionnement 3 d'origine (par exemple les centrales inertielles de l'aéronef préexistant) sont défaillants. [0018] Le système de pilotage alternatif peut être intégré dans l'aéronef préexistant sans mo- dification des systèmes d'origine. Il n'est donc pas nécessaire d'effectuer à nouveau les activités de certification des systèmes d'origine, ce qui réduit le coût de l'intégration. De plus, le principe d'intégration proposé repose sur le principe de la ségrégation des nouvelles fonctions via un dispositif d'interface à haute intégrité. [0019] On propose aussi un aéronef comprenant un système de pilotage alternatif tel que celui qui vient d'être décrit. [0020] L'invention sera mieux comprise à la lumière de la description qui suit d'un mode de mise en oeuvre particulier non limitatif de l'invention. Brève description des dessins [0021] [fig.1] Il sera fait référence au dessin annexé, comprenant une figure unique re- présentant le système de pilotage alternatif selon l'invention, ainsi qu'une pluralité de systèmes d'origine d'un aéronef préexistant. Description des modes de réalisation [0022] En référence à la figure unique, le système de pilotage alternatif selon l'invention 1 est destiné à être intégré dans un aéronef préexistant. Par « aéronef préexistant », on entend que, lorsque l'aéronef a été conçu, il n'était pas prévu d'équiper celui-ci du système de pilotage alternatif selon l'invention 1. En d'autres termes, l'aéronef, au moment de sa conception, ne comporte pas d'interfaces particulières destinées à l'intégration du système de pilotage alternatif selon l'invention 1. 100231 L'aéronef est un avion de ligne qui est destiné à être converti en un avion-cargo sus- ceptible d'être piloté par un unique pilote. Le système de pilotage alternatif 1 est intégré dans l'avion pour que celui-ci puisse être piloté par cet unique pilote tout en étant conforme aux exigences de sécurité et de sûreté applicables à un avion-cargo classique piloté par plusieurs pilotes. 100241 L'avion comprend un certain nombre de systèmes d'origine, c'est à dire de systèmes présents au moment de la conception de l'avion. 100251 Parmi ces systèmes d'origine, on trouve un système de commandes de vol 2, un système de train d'atterrissage 3, un système d'éclairage 4, un système de communication 5, un système de pilotage automatique 6, un système de navigation 7. Le système de train d'atterrissage 3 comprend un système de commande de l'orientation d'au moins un atterrisseur du train d'atterrissage, permettant de commander la direction de l'avion lorsqu'il se déplace au sol, ainsi qu'un système de freinage. 100261 Les systèmes d'origine comprennent bien évidemment d'autres systèmes qui ne sont pas évoqués ici. [0027] Tous les systèmes d'origine comprennent des équipements qui sont possiblement redondés voire tripliqués. [0028] Le système de commandes de vol 2 comprend des pédales 8, un volant de commande de compensateur 9, un système ELAC 10 (pour Elevator Aileron Computer), un système SEC 11 (pour Spolier Elevator Computer), un système FAC 12 (pour Forward Air Controller), et un système SFCC 13 (pour Slat Flap Control Computer). [0029] Le système de train d'atterrissage 3 comporte une unité de contrôle BSCU 15 (pour Braking and Steering Control Unit). [0030] Le système d'éclairage 4 comporte des phares 16 et des moyens de commande des phares. [0031] Le système de communication 5 comporte des moyens de communication dans la bande VHF 18 (pour Very High Frequeney), des moyens de communication dans la bande HF 19 (pour High Frequency), ainsi que des moyens de communication par satellite 20 (SATCOM). [0032] Le système de pilotage automatique 6 comporte un système FMGC 22 (pour Flight Management Guidance Computer) et un système FADEC 23 (pour Full Authority Digital Engine Control). [0033] Le système de navigation 7 comporte un système ADIRS 24 (pour Air Data Inertial Reference System). [0034] Le système de pilotage alternatif 1 coopère avec ces systèmes d'origine et avec l'avionique d'origine, mais est complètement séparé de ces systèmes d'origine et de l'avionique d'origine. La séparation est mécanique, logicielle et matérielle Ainsi, une panne ou une défaillance (provoquées par exemple par un hacking) du système de pilotage alternatif 1 n'ont pas d'impact significatif sur les systèmes d'origine et sur l'avionique d'origine. [0035] Le système de pilotage alternatif 1 comporte une pluralité de dispositifs et un bus principal 25, qui est ici un bus de données ARINC 664, sur lequel peuvent circuler des commandes et des données. [0036] Les différents dispositifs du système de pilotage alternatif 1 communiquent entre eux via le bus principal 25. Tous les dispositifs du système de pilotage alternatif 1 sont équipés de moyens de protection adaptés (firewall, contrôle virus, etc.) permettant de sécuriser ces communications. [0037] Les dispositifs du système de pilotage alternatif 1 comportent tout d'abord un dispositif de pilotage 26. Le dispositif de pilotage 26 est uniquement connecté au bus principal 25. Le dispositif de pilotage 26 est ainsi totalement indépendant des systèmes d'origine de l'avion. Le dispositif de pilotage 26 est uniquement connecté au dispositif d'interface 34 qui sera décrit plus bas, et est donc presque complètement autonome. [0038] Le dispositif de pilotage 26 comprend une unité de positionnement 27 et une unité de commande 28. [0039] L'unité de positionnement 27 comporte une unité de mesures inertielles, un dispositif de positionnement par satellite comprenant une ou plusieurs antennes, et une centrale anémobarométrique. [0040] L'unité de positionnement 27 produit des données de positionnement de l'avion. Les données de positionnement comprennent des données de localisation et des données d'orientation de l'avion. [0041] L'unité de positionnement 27 est indépendante et autonome par rapport aux équipements de positionnement d'origine de l'avion, et est différente dans sa conception. On introduit ainsi une dissimilarité entre l'unité de positionnement 27 et les équipements de positionnement d'origine de l'avion, ce qui permet notamment d'éviter qu'une panne de mode commun n'entraîne une défaillance simultanée des équipements de positionnement d'origine de l'avion et de l'unité de positionnement 27. [0042] L'unité de commande 28, quant à elle, comprend deux voies de calcul dissimilaires 28a, 28b. On évite ainsi qu'une panne de mode commun n'entraîne une défaillance simultanée des deux voies de calcul 28a. 28b. [0043] L'unité de commande 28 est agencée pour produire une consigne de pilotage al- ternative de l'avion. [0044] Cette consigne de pilotage alternative est utilisée pour piloter l'avion lorsque l'avion se trouve dans une situation d'urgence appartenant à une liste prédéfinic de situations d'urgence. La liste prédéfinie de situations d'urgence comprend une panne quelconque survenant sur l'avion, une panne du système de pilotage automatique 6 de l'avion, une défaillance du pilote de l'avion, et une situation dans laquelle l'avion se dirige vers une zone interdite. [0045] En particulier, l'unité de commande 28 héberge des lois de pilotage de secours, qui sont mises en oeuvre en cas de panne du système de pilotage automatique de l'avion. Les lois de pilotage de secours permettent de stabiliser l'avion et de maintenir sa vitesse. [0046] L'unité de commande 28 héberge aussi des lois de pilotage en mode dégradé. [0047] Parmi les lois de pilotage en mode dégradé, on trouve une loi qui permet de pallier une défaillance du pilote au cours du décollage de l'avion. La défaillance du pilote résulte par exemple d'une mort brusque du pilote ou bien d'une incapacité physique ou psychologique de nature quelconque se produisant au cours du vol. [0048] Lors du décollage de l'avion, si le pilote est défaillant, il est encore possible d'interrompre le décollage tant que la vitesse de l'avion est inférieure à une vitesse déterminée VI. Lorsque la vitesse de l'avion dépasse la vitesse déterminée VI, le décollage ne peut plus être interrompu car le freinage au sol de l'avion à vitesse élevée est trop risqué, et il est alors obligatoire de faire décoller l'avion. 6 [0049] Entre le moment où l'avion dépasse la vitesse déterminée V1 et le moment où l'avion dépasse une altitude déterminée, par exemple égale à 200 pieds, c'est le pilote qui, normalement, pilote l'avion en mode manuel. [0050] Ainsi, lorsqu'une défaillance du pilote est détectée au cours de cette période qui dure quelques secondes, typiquement six secondes, c'est le système de pilotage alternatif 1 qui prend le relais du pilote et qui gère le décollage. Puis, le système de pilotage automatique 6 prend le relais du système de pilotage alternatif 1. [0051] En cas de défaillance du pilote, l'unité de commande 28 héberge aussi des plans de vol de secours. Ainsi, si le pilote est défaillant, le système de pilotage alternatif 1 dirige l'avion vers un aéroport où il peut se poser. [0052] L'unité de commande 28 peut aussi produire la consigne de pilotage alternative de manière à éviter que l'avion ne pénètre dans des zones interdites prédéfinies. La consigne de pilotage alternative permet de conférer à l'avion une trajectoire ne conduisant plus à une entrée de l'avion dans les zones interdites prédéfinies. Une zone interdite prédéfinic est par exemple une zone comprenant des infrastructures particulières (par exemple une centrale nucléaire), une zone avec une forte densité de population, etc. [0053] L'unité de commande 28 calcule en permanence la trajectoire future de l'avion en utilisant les données de positionnement produites par l'unité de positionnement 27, et estime si la trajectoire future interfère avec une zone interdite. Dans le cas où le pilote se dirige vers une zone interdite, soit parce qu'il est défaillant, soit dans le but de faire s'écraser l'avion volontairement, la consigne de pilotage alternative produite par le système de pilotage alternatif 1 est utilisée pour piloter l'avion et pour empêcher celui-ci de pénétrer dans la zone interdite. Si nécessaire, la consigne de pilotage alternative va faire s'écraser l'avion dans une zone dépeuplée. On met ainsi un oeuvre une fonction de géorepérage (ou genfencing): on surveille la position de l'avion en temps réel et, si celui-ci se dirige vers une zone interdite, on agit activement sur sa trajectoire pour éviter que l'avion ne pénètre dans la zone interdite. [0054] L'unité de commande 28 met ainsi en oeuvre des lois de guidage en crash contrôlé ainsi qu'un algorithme de détection de perte de la fonction de géorepérage. [0055] L'unité de commande 28 héberge les coordonnées géographiques des zones in- terdites. [0056] Le système de pilotage alternatif 1 comporte aussi un dispositif d'acquisition et d'analyse 30. Le dispositif d'acquisition et d'analyse 30 est connecté au bus principal 25, mais aussi au système de commandes de vol 2, au système de train d'atterrissage 3, au système d'éclairage 4, au système de communication 5, et au système de pilotage automatique 6, via des bus secondaires 31 qui sont ici des bus A429. [0057] Le dispositif d'acquisition et d'analyse 30 comporte des moyens d'acquisition 32 et 7 des moyens d'analyse 33. [0058] Les moyens d'acquisition 32 comprennent une pluralité d'interfaces avec les systèmes d'origine et une pluralité d'interfaces avec le bus principal 25. [0059] Les moyens d'acquisition 32 acquièrent des données produites par les systèmes d'origine de l'avion ainsi que les données de positionnement et la consigne de pilotage alternative produites par le dispositif de pilotage 26. [0060] Les données produites par les systèmes d'origine de l'avion et acquises par le dispositif d'acquisition et d'analyse 30 comprennent des données de position de l'avion, des données d'attitudes, des paramètres produits par le système de pilotage automatique 6, des paramètres produits par le système de commandes de vol 2, des paramètres moteurs, des données de navigation, des données de pannes, etc. [0061] Les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 réalisent des traitements et des analyses sur l'ensemble de ces données. Les moyens d'analyse 33 détectent d'éventuelles incohérences entre ces données. [0062] Les moyens d'analyse 33 préparent les données pour pouvoir les transmettre au sol (tri, mise en forme, etc.). Les moyens d'analyse 33 hébergent également une machine d'état qui permet de supporter le pilote (vérifications croisées, actions complémentaires pilote), mais aussi de déclencher des procédures d'urgence, ou d'autoriser la prise en compte des commandes issues du dispositif de pilotage 26. [0063] Le dispositif d'acquisition et d'analyse 30 décide, à partir de toutes ces données, à partir de la consigne de pilotage alternative, et à partir des résultats de ses traitements et analyses, si la consigne de pilotage alternative doit être utilisée ou non pour piloter l' avion. [0064] Les moyens d'acquisition 32 du dispositif d'acquisition et d'analyse 30 acquièrent la consigne de pilotage alternative, une consigne de pilotage manuelle produite par le pilote de l'avion, et une consigne de pilotage automatique produite par le système de pilotage automatique 6. Les moyens d'analyse 33 analysent ces consignes de pilotage et pour décider, à partir de cette analyse, si la consigne de pilotage alternative doit être utilisée ou non pour piloter l'aéronef. [0065] Un premier exemple d'analyse a déjà été évoqué plus tôt dans cette description. Au moment du décollage de l'avion, il existe une courte période au cours de laquelle l'avion est normalement piloté manuellement par le pilote. Si une défaillance du pilote est détectée, les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 décident que la consigne de pilotage alternative produite par le système de pilotage alternatif 1 doit être utilisée pour piloter l'aéronef. Puis, suite à cette courte période, les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 décident que la consigne de pilotage alternative ne doit plus être utilisée pour piloter l'avion. Le système de pilotage automatique 6 prend ainsi le relais du système de pilotage al- 8 ternatif 1 pour poser l'avion en toute sécurité. [0066] Un deuxième exemple de sélection de la consigne prioritaire est le suivant. [0067] Si une consigne de pilotage manuelle, produite par le pilote, tend à diriger l'aéronef vers une zone interdite prédéfinie, les moyens d'analyse du dispositif d'acquisition et d'analyse 30 décident que la consigne de pilotage alternative produite par le système de pilotage alternatif 1 est utilisée pour piloter l'avion. L'avion effectue alors une manoeuvre lui permettant de ne pas pénétrer dans la zone interdite. [0068] Puis, suite à cette manoeuvre, les moyens d'analyse 33 décident que la consigne de pilotage alternative ne doit plus être utilisée pour piloter l'avion : le dispositif d'acquisition et d'analyse 30 redonne la main au système de pilotage automatique 6 après que le système de pilotage alternatif 1 ait réalisé la manoeuvre. [0069] Un troisième exemple de sélection de la consigne prioritaire est le suivant. [0070] Grâce aux analyses des paramètres avion (et par exemple aux analyses des consignes moteur et des consignes gouverne), le dispositif d'acquisition et d'analyse 30 est aussi capable de détecter une situation de panne impactant l'avion. Si l'avion est piloté par le système de pilotage automatique 6 et que cette panne est susceptible d'impacter le système de pilotage automatique 6, le dispositif d'acquisition et d'analyse 30 décide que la consigne de pilotage alternative doit être utilisée pour piloter l'avion et engage un mode de pilotage de secours. [0071] Le système de pilotage alternatif 1 comporte de plus un dispositif d'interface 34. [0072] Le dispositif d'interface 34 est connecté au bus principal 25, mais aussi au système de commandes de vol 2, au système de train d'atterrissage 3, au système d'éclairage 4, au système de communication 5 et au système de pilotage automatique 6, via des bus secondaires 35 qui sont ici des bus A429. [0073] Le dispositif d'interface 34 comprend des moyens d'aiguillage. Les moyens d'aiguillage sont pilotés par les moyens de décision 33 du dispositif d'acquisition et d'analyse 30. Lorsque les moyens de décision 30 décident que la consigne de pilotage alternative doit être utilisée pour piloter l'avion, les moyens de décision commandent les moyens d'aiguillage pour que ceux-ci relient une sortie du dispositif de pilotage 26 au système de commande de vol 2. [0074] Le dispositif d'interface 34 applique ainsi la consigne de pilotage alternative produite par le dispositif de pilotage 26 le dispositif d'acquisition et d'analyse 30 décide qu'elle doit être utilisée. [0075] Le dispositif d'interface 34 réalise l'interface physique en activation des commandes avion : commandes de vol, trains, volets, breakers, etc... [0076] Le système de pilotage alternatif 1 comporte de plus un dispositif de communication 37 qui comprend un module SDM 38 (pour Secured Data Module), un module ADT 39 (pour Air Data Terminal) et un module C2link 40. 9 [0077] Ces modules forment des moyens d'interface avec un système de télépilotage, des moyens de communication avec contrôle à distance, ainsi que des moyens de sécurisation des données permettant d'assurer l'intégrité des informations enregistrées. L'intégrité repose notamment sur la sécurisation des données enregistrée et des commandes suivant les principes mis en oeuvre dans un Safety Checker. [0078] Le dispositif de communication 37 est connecté au bus principal 25 via le module ADT 39, mais aussi au système de communication 5 via des bus secondaires 41 qui sont ici des bus A429. Le dispositif de communication 37 est connecté au dispositif d'acquisition et d'analyse 30 par un lien série. [0079] Le dispositif de communication 37 permet d'effectuer une opération à distance (de type Renunely Controled) sur l'avion. Le dispositif de communication 37 permet en particulier d'établir une communication avec le sol, de sorte que le système de pilotage alternatif 1 puisse être commandé depuis le sol. Ainsi, en cas de défaillance du pilote par exemple, les communications radio et la commande des trajectoires de l'avion peuvent être gérées depuis le sol. [0080] Les communications mises en oeuvre par le dispositif de communication 37 entre l'avion et le sol peuvent être réalisées via des liaisons radio directes (line of sight) ou bien satellite, ou encore à l'aide d'infrastructure de radiocommunication sol (par exemple via des réseaux de téléphonie mobile de type 4G ou 5G). [0081] Le système de pilotage alternatif 1 comporte aussi un dispositif de commande de taxiage 45 qui comprend un module TAS 46 (pour Taxi Assistance System), un dispositif de guidage 47 pouvant utiliser une ou des caméras et effectuer des traitements d'image, et un dispositif d'anticollision 48 mettant en oeuvre par exemple un radar mais aussi, potentiellement, un dispositif d'imagerie par caméras (jour, LWIR). [0082] Le dispositif de commande de taxiage 45 est connecté uniquement au bus principal 25. [0083] Le dispositif de commande de taxiage 45 est apte à produire une consigne de pilotage de l'avion au sol. Le dispositif de commande de taxiage 45 est apte à assurer le freinage de l'avion en cas d'incapacité du pilote avant que l'avion n'atteigne la vitesse déterminée VI au décollage (voir plus tôt dans cette description), et permet aussi de maintenir l'axe de piste dans ces conditions. Le dispositif de commande de taxiage pourrait aussi réaliser le taxiage à la place du pilote. [0084] Le système de pilotage alternatif 1 comporte de plus un dispositif d'alimentation 49 comprenant une alimentation sans interruption. Le dispositif d'alimentation 49 est un dispositif autonome et indépendant, qui alimente le système de pilotage alternatif 1 même en cas de panne impactant les systèmes de génération de puissance de l'avion. Le dispositif d'alimentation 49 est relié aux autres dispositifs du système de pilotage alternatif 1 par des bus de puissance indépendants. [0085] Le système de pilotage alternatif 1 comporte aussi un dispositif de surveillance de l'avion 50. [0086] Le dispositif de surveillance du système 50 comprend un écran positionné dans le cockpit. [0087] Le dispositif de surveillance du système 50 est connecté au bus principal 25. [0088] Le système de pilotage alternatif 1 comporte en outre un dispositif de surveillance du pilote 51. Le dispositif de surveillance du pilote 51 est utilisé pour détecter que l'avion se trouve dans la situation d'urgence correspondant à une défaillance du pilote. [0089] Le dispositif de surveillance du pilote 51 comprend une caméra qui acquiert des images du visage, et en particulier des yeux du pilote. [0090] Le dispositif de surveillance du pilote 51 comprend aussi un système de détection capable de détecter, en moins de 2 secondes, une incapacité pilote, grâce à des capteurs hiométriqucs et des capteurs spécifiques. Le système de détection demande au pilote de réaliser une action continue et délibérée pendant la phase critique du décollage. Les capteurs spécifiques utilisés à cet effet par le système de détection peuvent être des poussoirs disposés sur le manche et la manette des gaz et devant être écrasés durant le décollage, ou bien des capteurs optiques permettant de vérifier que le pilote a bien les mains sur les commandes. [0091] Le dispositif de surveillance du pilote 51 est connecté au bus principal 25. [0092] Le système de pilotage alternatif 1 comporte aussi un dispositif de co-pilote virtuel 52. Le dispositif de co-pilote virtuel 52 a pour but d'anticiper des situations à risque et d'avertir le pilote dans le cas où de telles situations sont susceptibles de se produire. Le dispositif de copilote virtuel 52 a aussi (et surtout) pour but de procéder à des vérifications croisées entre des données et des actions critiques, et aussi de réaliser des tâches de façon automatique. Il dispose aussi d'une interface vocale avec le pilote, et d'une interface visuelle. Il génère également des messages audio. Il est composé d'une partie machine d'état, d'un module de traitement, et d'une partie d'Interface Homme-Machine (IHM). [0093] Le dispositif de co-pilote virtuel 52 est connecté au bus principal 25. [0094] Bien entendu, l'invention n'est pas limitée au mode de réalisation décrit mais englobe toute variante entrant dans le champ de l'invention telle que définie par les revendications. 11 [Revendication 1] [Revendication 2] [Revendication 3] [Revendication 4] [Revendication 5]