FR 3092429 A1 20200807 FR 1901190 A 20190206 Description Titre de l'invention : Dispositif de pilotage destiné à être intégré dans un aéronef préexistant [0001] L'invention concerne le domaine des dispositifs de pilotage destinés à être intégrés dans des aéronefs préexistants. [0002] ARRIERE PLAN DE L'INVENTION [0003] Les avions de ligne modernes sont généralement pilotés par un équipage d'au moins deux pilotes comprenant un commandant de bord et un copilote. [0004] On envisage de faire voler certains de ces avions de ligne avec un seul pilote pour des applications bien particulières, et notamment pour transporter des marchandises. Il est ainsi prévu de convertir un avion de ligne de type Airbus A321 en un avion-cargo pouvant être piloté par un seul pilote. [0005] Cette reconfiguration de l'avion de ligne présente de nombreux avantages. [0006] En transformant un avion de ligne préexistant qui vole depuis plusieurs années en un avion-cargo, on dispose d'un avion-cargo éprouvé, fiable, sans qu'il soit nécessaire de financer un nouveau programme complet de développement d'avion. On améliore de plus la rentabilité du programme initial grâce à cette nouvelle application. [0007] Comme un avion-cargo ne transporte pas de passager, contrairement à un avion de ligne, la réduction du nombre de pilotes semble être une première étape plus facile à accepter pour le grand public. Bien évidemment, il ne s'agit pas d'accepter une quelconque baisse de la sécurité des vols, qui ne doit pas être dégradée mais plutôt renforcée par cette rcconfiguration. [0008] En réduisant le nombre de pilotes, on réduit bien sûr aussi le coût global de chaque vol. [0009] Par ailleurs, un certain nombre de solutions ont émergé permettant d'assister le pilote dans ses tâches, allant jusqu'à l'amélioration de la sécurité via la possibilité d'analyser une quantité de données importante en temps réel. [0010] Cependant, cette rcconfiguration de l'avion de ligne se heurte aussi à un certain nombre de difficultés. [0011] L'architecture actuelle de nombreux avions de transport est en effet bâtie sur l'hypothèse d'un équipage à deux pilotes. Un équipage à deux pilotes permet de palier la défaillance de l'un des pilotes dans les phases de vol critiques. [0012] De plus, les systèmes de pilotage automatique classiques ne couvrent pas toutes les phases de vol. Au cours de certaines phases de vol, l'avion doit être commandé manuellement par un pilote. Ainsi, avec un seul pilote, une défaillance du pilote durant ces phases de vol devient une panne simple conduisant à un évènement catastrophique, 2 ce qui n'est pas acceptable. [0013] La réduction du nombre de pilotes oblige donc à développer et à intégrer dans l'avion un certain nombre de fonctions de sécurité additionnelles. [0014] Les fonctions de sécurité additionnelles visent notamment à assurer que le pilotage de l'avion demeure parfaitement sûr même en cas de défaillance du système de pilotage automatique ou en cas d'incapacité de l'unique pilote à piloter l'avion manuellement. Les fonctions de sécurité additionnelles doivent aussi permettre d'empêcher ou tout au moins de limiter les conséquences d'un acte malveillant réalisé par le pilote, comme par exemple un crash volontaire de l'avion sur des infrastructures ou sur des zones habitées. [0015] Bien sûr, pour que la conversion d'un avion de ligne préexistant en un avion-cargo soit intéressante d'un point de vue économique, ces fonctions de sécurité additionnelles doivent être intégrées sur les avions préexistants en requérant des activités de certification additionnelles limitées. [0016] OBJET DE L'INVENTION [0017] L'invention a pour objet de convertir de manière sûre et peu coûteuse un avion pré- existant traditionnel en un avion pouvant être piloté par un seul pilote. Résumé de l'invention [0018] En vue de la réalisation de ce but, on propose un dispositif de pilotage agencé pour être intégré dans un aéronef préexistant qui comporte des systèmes d'origine comprenant un système de commandes de vol et un système de pilotage automatique, le dispositif de pilotage étant distinct et autonome par rapport aux systèmes d'origine et comprenant une unité de positionnement et une unité de commande, l'unité de positionnement étant agencée pour produire des données de positionnement de l'aéronef préexistant, l'unité de commande étant agencée pour mettre en oeuvre une fonction de géorepérage à partir des données dc positionnement produites par l'unité de positionnement et pour produire une consigne de pilotage alternative de l'aéronef préexistant, la consigne de pilotage alternative étant adaptée à suppléer une consigne de pilotage manuelle produite par un pilote de l'aéronef préexistant via le système de commande de vol et une consigne de pilotage automatique produite par le système de pilotage automatique. [0019] Le dispositif de pilotage selon l'invention est donc destiné à être intégré dans un aéronef préexistant. En cas de défaillance du pilote ou du système de pilotage automatique, la consigne de pilotage alternative peut être utilisée pour piloter l'aéronef. L'aéronef peut donc être piloté de manière sûre par un unique pilote. Par ailleurs, comme le dispositif de pilotage est, par rapport aux systèmes d'origine, indépendant et dissimilaire dans les technologies mises en oeuvre ou dans l'implémentation dans 3 l'aéronef, le dispositif de pilotage ne peut pas être impacté par une panne touchant ces systèmes d'origine. On assure donc notamment que l'unité de positionnement est en mesure de produire des données de positionnement de l'aéronef même lorsque les systèmes de positionnement d'origine (par exemple les centrales inertielles de l'aéronef préexistant) sont défaillants. [0020] Le dispositif de pilotage selon l'invention met aussi en oeuvre une fonction de goéo- repérage, qui permet de produire une consigne de pilotage alternative permettant d'assurer que l'aéronef préexistant ne pénètre pas dans une zone interdite prédéfinie. [0021] Le dispositif de pilotage alternatif peut être intégré dans l'aéronef préexistant sans modification des systèmes d'origine. Il n'est donc pas nécessaire d'effectuer à nouveau les activités de certification des systèmes d'origine, ce qui réduit le coût de l'intégration. De plus, le principe d'intégration proposé repose sur le principe de la ségrégation des nouvelles fonctions via un dispositif d'interface à haute intégrité. [0022] On propose aussi un aéronef comprenant un dispositif de pilotage tel que celui qui vient d'être décrit. [0023] L'invention sera mieux comprise à la lumière de la description qui suit d'un mode de mise en oeuvre particulier non limitatif de l'invention. Brève description des dessins [0024] 11 sera fait référence aux dessins annexés, parmi lesquels : [0025] [fig.1] la figure 1 représente un système de pilotage alternatif, ainsi qu'une pluralité de systèmes d'origine d'un aéronef préexistant ; [0026] [fig.2] la figure 2 représente le dispositif de pilotage selon l'invention, un dispositif d'acquisition et d'analyse et un dispositif d'interface qui appartiennent au système de pilotage alternatif, ainsi que des commandes pilote et des calculateurs qui appar- tiennent aux systèmes d'origine ; [0027] [fig.31 la figure 3 représente le dispositif de pilotage selon l'invention, le dispositif d'acquisition et d'analyse, le dispositif d'interface et un hus principal ; [0028] [fig.4] la figure 4 représente des fonctions mises en oeuvre par le dispositif d'acquisition et d'analyse ; [0029] [fig.5] la figure 5 représente des séquences d'actions mises en oeuvre au cours d'un décollage par le pilote à bord et par un copilote virtuel ; [0030] [fig.6] la figure 6 représente le fonctionnement du dispositif d'acquisition et d'analyse au cours de la mise en oeuvre des séquences d'actions de la figure 5. Description des modes de réalisation [0031] En référence à la figure I. un système de pilotage alternatif 1 est destiné à être intégré dans un aéronef préexistant. Par « aéronef préexistant », on entend que, lorsque l'aéronef a été conçu, il n'était pas prévu (l'équiper celui-ci du système de pilotage alternatif I. En d'autres termes, l'aéronef, au moment de sa conception, ne comporte pas d'interfaces particulières destinées à l'intégration du système de pilotage alternatif. [0032] L'aéronef est un avion de ligne qui est destiné à être converti en un avion-cargo sus- ceptible d'être piloté par un unique pilote. Le système de pilotage alternatif 1 est intégré dans l'avion pour que celui-ci puisse être piloté par cet unique pilote tout en étant conforme aux exigences de sécurité et de sûreté applicables à un avion-cargo classique piloté par plusieurs pilotes. [0033] L'avion comprend un certain nombre de systèmes d'origine, c'est à dire de systèmes présents au moment de la conception de l'avion. [0034] Parmi ces systèmes d'origine, on trouve un système de commandes de vol 2, un système de train d'atterrissage 3, un système d'éclairage 4, un système de communication 5, un système de pilotage automatique 6, un système de navigation 7. Le système de train d'atterrissage 3 comprend un système de commande de l'orientation d'au moins un atterrisscur du train d'atterrissage, permettant de commander la direction de l'avion lorsqu'il se déplace au sol, ainsi qu'un système de freinage. [0035] Les systèmes d'origine comprennent bien évidemment d'autres systèmes qui ne sont pas évoqués ici. [0036] Tous les systèmes d'origine comprennent des équipements qui sont possiblement redondés voire tripliqués. [0037] Le système de commandes de vol 2 comprend des commandes pilote, positionnées dans le cockpit et pouvant être actionnées par le pilote, et comportant une manette des gaz 21, des palonniers 8, un volant de commande de compensateur 9, des manches 17 de type SSU (pour Sicle-Stick Unit, ou rnini-manche actif). [0038] Le système de commande de vol 2 comprend de plus des calculateurs de commandes de vol comprenant un ou des calculateurs ELAC 10 (pour Elevator Aileron Computer), un ou des calculateurs SEC 11 (pour Spolier Elevator Computer), un ou des calculateurs FAC 12 (pour Forward Air Controller), un ou des calculateurs SFCC 13 (pour Slat Flap Control Computer) et un ou des calculateurs THS 14 (pour Trinunable Horizontal Stabilizer). [0039] Le système de train d'atterrissage 3 comporte une unité de contrôle BSCU 15 (pour Braking and Steering Control Unit). [0040] Le système d'éclairage 4 comporte des phares 16 et des moyens de commande des phares. [0041] Le système de communication 5 comporte des moyens de communication dans la bande VHF 18 (pour Very High Frequency), des moyens de communication dans la bande HF 19 (pour High Frequency), ainsi que des moyens de communication par satellite 20 (SATCOM). [0042] Le système de pilotage automatique 6 comporte un ou des calculateurs FMGC 22 (pour Flight Management Guidance Computer) et un ou des calculateurs FADEC 23 (pour Full Authority Digital Engine Con! roi). [0043] Le système de navigation 7 comporte un système ADIRS 24 (pour Air Data Mental Reference System). [0044] Le système de pilotage alternatif 1 coopère avec ces systèmes d'origine et avec l'avionique d'origine, mais est complètement séparé, distinct de ces systèmes d'origine et de l'avionique d'origine. [0045] Par « distinct », on entend que les systèmes d'origine et l'avionique d'origine, d'une part, et le système de pilotage alternatif 1, d'autre part, ne comprennent aucun équipement en commun. [0046] La séparation est mécanique, logicielle et matérielle. Ainsi, une panne ou une dé- faillance (provoquées par exemple par un hacking) du système de pilotage alternatif 1 n'ont pas d'impact significatif sur les systèmes d'origine et sur l'avionique d'origine. [0047] Le système de pilotage alternatif 1 comporte une pluralité de dispositifs et un bus principal 25, qui est ici un bus de données ARINC 664, sur lequel peuvent circuler des commandes et des données. [0048] Les différents dispositifs du système de pilotage alternatif 1 communiquent entre eux via le bus principal 25. Tous les dispositifs du système de pilotage alternatif 1 sont équipés de moyens de protection adaptés (firewall, contrôle virus, etc.) permettant de sécuriser ces communications. [0049] Les dispositifs du système de pilotage alternatif 1 comportent tout d'abord un dispositif de pilotage selon l'invention 26. Le dispositif de pilotage selon l'invention 26 est uniquement connecté au bus principal 25. Le dispositif de pilotage selon l'invention 26 est ainsi totalement indépendant des systèmes d'origine de l'avion. Le dispositif de pilotage selon l'invention 26 est uniquement connecté au dispositif d'interface 34 qui sera décrit plus bas, et est donc presque complètement autonome. [0050] Le dispositif de pilotage 26 comprend une unité de positionnement 27 et une unité de commande 28 (ou FSS, pour Flight Stability System). [0051] L'unité de positionnement 27 comporte une unité de mesures inertielles, un dispositif de positionnement par satellite (ou GNSS, pour Global Navigation Satellite System) comprenant une ou plusieurs antennes, et une centrale anémobarométrique. 6 [0052] L'unité de positionnement 27 produit des données de positionnement de l'avion. Les données de positionnement comprennent des données de localisation et des données d'orientation de l'avion. [0053] L'unité de positionnement 27 est indépendante et autonome par rapport aux équipements de positionnement d'origine de l'avion, et est différente dans sa conception. On introduit ainsi une dissimilarité entre l'unité de positionnement 27 et les équipements de positionnement d'origine de l'avion, ce qui permet notamment d'éviter qu'une panne de mode commun n'entraîne une défaillance simultanée des équipements de positionnement d'origine de l'avion et de l'unité de positionnement 27. [0054] L'unité de commande 28 est un calculateur de commande de vol développé selon un niveau de DAL A (DAL pour Development Assurance Level). [0055] L'unité de commande 28 comprend deux voies de calcul dissimilaires 28a, 28b. On évite ainsi qu'une panne de mode commun n'entraîne une défaillance simultanée des deux voies de calcul 28a, 28b et donc de l'unité de commande 28. [0056] Chaque voie de calcul 28a, 28b présente une architecture de type COM/MON et comprend un module de commande et un module de surveillance. [0057] L'unité de commande 28 permet d'assurer le pilotage durant les phases de taxiagc, de décollage, de croisière et d'atterrissage lorsque l'avion est piloté par un seul pilote. [0058] L'unité de commande 28 est ainsi agencée pour produire une consigne de pilotage al- ternative de l'avion. [0059] Cette consigne de pilotage alternative est utilisée pour piloter l'avion lorsque l'avion se trouve dans une situation d'urgence appartenant à une liste prédéfinie de situations d'urgence. La liste prédéfinie de situations d'urgence comprend une panne quelconque survenant sur l'avion, une panne du système de pilotage automatique 6 de l'avion, une défaillance du pilote de l'avion, une situation dans laquelle l'avion se dirige vers une zone interdite prédéfinie, une perte de communication avec la station au sol lorsque l'avion est piloté par un copilote au sol présent dans une station au sol. [0060] En particulier, l'unité de commande 28 héberge des lois de pilotage de secours, qui sont mises en oeuvre en cas de panne du système de pilotage automatique de l'avion. Les lois de pilotage de secours permettent de stabiliser l'avion et de maintenir sa vitesse. [0061] L'unité de commande 28 héberge aussi des lois de pilotage en mode dégradé. [0062] Parmi les lois de pilotage en mode dégradé, on trouve une loi qui permet de pallier une défaillance du pilote au cours du décollage de l'avion. La défaillance du pilote résulte par exemple d'une mort brusque du pilote ou bien d'une incapacité physique ou psychologique de nature quelconque se produisant au cours du vol. [0063] Lors du décollage de l'avion, si le pilote est défaillant, il est encore possible d'interrompre le décollage tant que la vitesse de l'avion est inférieure à une vitesse dé- 7 terminée VI. Lorsque la vitesse de l'avion dépasse la vitesse déterminée V1, le décollage ne peut plus être interrompu car le freinage au sol de l'avion à vitesse élevée est trop risqué, et il est alors obligatoire de faire décoller l'avion. [0064] Entre le moment où l'avion dépasse la vitesse déterminée V1 et le moment où l'avion dépasse une altitude déterminée, par exemple égale à 200 pieds, c'est le pilote qui, normalement, pilote l'avion en mode manuel : le système de pilotage automatique 6 n'est pas utilisé au cours de cette phase particulière. [0065] Ainsi, lorsqu'une défaillance du pilote est détectée au cours de cette période qui dure quelques secondes, typiquement six secondes, c'est le système de pilotage alternatif 1 qui prend le relais du pilote et qui gère le décollage. Puis, le système de pilotage automatique 6 prend le relais du système de pilotage alternatif 1. [0066] En cas de défaillance du pilote, l'unité de commande 28 héberge aussi des plans de vol de secours. Ainsi, si le pilote est défaillant, le système de pilotage alternatif 1 dirige l'avion vers un aéroport où il peut se poser. [0067] L'unité de commande 28 peut aussi produire la consigne de pilotage alternative de manière à éviter que l'avion ne pénètre dans des zones interdites prédéfinies. Les coordonnées géographiques des zones interdites prédéfinies sont stockées dans l'unité de commande 28. [0068] La consigne de pilotage alternative permet de conférer à l'avion une trajectoire ne conduisant plus à une entrée de l'avion dans les zones interdites prédéfinies. Une zone interdite prédéfinie est par exemple une zone comprenant des infrastructures particulières (par exemple une centrale nucléaire), une zone avec une forte densité de population, etc. [0069] L'unité de commande 28 calcule en permanence la trajectoire future de l'avion en utilisant les données de positionnement produites par l'unité de positionnement 27, et estime si la trajectoire future interfère avec une zone interdite prédéfinie. Dans le cas où le pilote se dirige vers une zone interdite prédéfinie, soit parce qu'il est défaillant, soit dans le but de faire s'écraser l'avion volontairement, la consigne de pilotage alternative produite par le système de pilotage alternatif 1 est utilisée pour piloter l'avion et pour empêcher celui-ci de pénétrer dans la zone interdite prédéfinie. On met ainsi un oeuvre une fonction de géorepérage (ou geofencing): on surveille la position de l'avion en temps réel et, si celui-ci se dirige vers une zone interdite prédéfinie, on agit activement sur sa trajectoire pour éviter que l'avion ne pénètre dans la zone interdite prédéfinie. [0070] 11 existe des situations catastrophiques, dans lesquelles les capacités de manoeu- vrabilité de l'avion sont fortement limitées sans être totalement nulles, et dans lesquelles le crash de l'avion est inévitable. [0071] Un premier exemple d'une telle situation catastrophique est une situation dans 8 laquelle les deux moteurs de l'avion ne sont plus fonctionnels et dans laquelle aucun terrain d'atterrissage n'est atteignable par l'avion sans ses moteurs. Un deuxième exemple est une situation dans laquelle une incapacité du pilote à bord survient alors que l'avion subit une panne critique. Un troisième exemple est une situation dans laquelle l'avion ne peut plus être piloté depuis l'avion lui-même et dans laquelle toutes les liaisons de télé-pilotage sont perdues. Un quatrième exemple est une situation dans laquelle un pilote à bord malveillant souhaite faire s'écraser l'avion. [0072] Dans ce type de situation catastrophique, il est prioritaire de limiter les conséquences du crash de l'avion et de réduire autant que possible les dégâts collatéraux du crash. [0073] Le dispositif de pilotage 26 génère alors une consigne de crash contrôlé visant à limiter les conséquences du crash. [0074] Le dispositif de pilotage 26 détermine tout d'abord une zone de crash optimisée qui dépend de la position de l'avion. La consigne de crash contrôlé va faire s'écraser l'avion dans la zone de crash optimisée. [0075] Le dispositif de pilotage 26 utilise pour cela des bases de données cartographiques. Les bases de données cartographiques sont stockées dans le dispositif de pilotage 26. Les bases de données cartographiques permettent d'identifier localement les zones les moins habitées et les surfaces les plus appropriées pour un crash. Les bases de données cartographiques comprennent notamment la position des champs par rapport à celles des villages, la position des lacs, des forêts, des réserves naturelles, etc. [0076] Des cartes de densité de population sont aussi stockées dans le dispositif de pilotage 26. [0077] Des informations relatives à la fois aux lieux et aux saisons sont aussi prises en compte, par exemple le risque d'incendie dans certaines régions en été. [0078] Le dispositif de pilotage 26 stocke aussi des résultats de mesures de densités de té- léphones mobiles, permettant de détecter des rassemblements de personnes non référencés : fêtes de village, festival dans un champ, etc. [0079] Le dispositif de pilotage 26 évalue aussi certaines caractéristiques de l'avion, parmi lesquelles la précision de sa navigation ainsi que les capacités de manoeuvrabilité de l'avion, qui dépendent de la situation catastrophique dans laquelle se trouve l'avion. [0080] Le dispositif de pilotage 26 croise alors toutes ou certaines de ces informations les unes avec les autres pour définir la zone de crash optimisée. [0081] Puis, le dispositif de pilotage 26 définit une trajectoire optimisée permettant d'assurer que l'avion atteigne et s'écrase dans la zone de crash optimisée La trajectoire optimisée est définie par des paramètres comprenant par exemple un cap, une vitesse, une pente. [0082] L'unité de commande 28 met ainsi en oeuvre des lois de guidage en crash contrôlé ainsi qu'un algorithme de détection de perte de la fonction de géorepérage. 9 [0083] Le système de pilotage alternatif 1 comporte aussi un dispositif d'acquisition et d'analyse 30. Le dispositif d'acquisition et d'analyse 30 est connecté au bus principal 25, mais aussi au système de commandes de vol 2, au système de train d'atterrissage 3, au système d'éclairage 4, au système de communication 5, et au système de pilotage automatique 6, via des bus secondaires 31 qui sont ici des bus A429. [0084] Le dispositif d'acquisition et d'analyse 30 comporte des moyens d'acquisition 32 et des moyens d'analyse 33. [0085] Les moyens d'acquisition 32 comprennent une pluralité d'interfaces avec les systèmes d'origine et une pluralité d'interfaces avec le bus principal 25. [0086] Les moyens d'acquisition 32 acquièrent des paramètres comprenant des données produites par les systèmes d'origine de l'avion ainsi que les données de positionnement et la consigne de pilotage alternative produites par le dispositif de pilotage 26. [0087] Les données produites par les systèmes d'origine de l'avion et acquises par les moyens d'acquisition 32 comprennent des données de position de des données d'attitudes, des paramètres produits par le système de pilotage automatique 6, des paramètres produits par le système de commandes de vol 2, des paramètres moteurs, des données de navigation, des données de pannes, etc. [0088] Les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 réalisent des traitements et des analyses sur l'ensemble de ces paramètres. Les moyens d'analyse 33 détectent d'éventuelles incohérences entre ces paramètres. [0089] Les moyens d'analyse 33 traitent les paramètres pour les transformer en paramètres avion (tri, mise en forme, etc.) pouvant être transmis au reste du système de pilotage alternatif 1, au sol, etc. [0090] Les moyens d'analyse 33 hébergent également des machines d'état qui permettent de supporter le pilote (vérifications croisées, actions complémentaires pilote), mais aussi de déclencher des procédures d'urgence, ou bien d'autoriser la prise en compte des commandes issues du dispositif de pilotage 26. Ces machines d'état seront décrites plus bas plus en détail. [0091] Le dispositif d'acquisition et d'analyse 30 décide, à partir de toutes ces données, à partir de la consigne de pilotage alternative, et à partir des résultats de ses traitements et analyses, si la consigne de pilotage alternative doit être utilisée ou non pour piloter [0092] Un premier exemple d'analyse a déjà été évoqué plus tôt dans cette description. Au moment du décollage de l'avion, il existe une courte période au cours de laquelle l'avion est normalement piloté manuellement par le pilote. Si une défaillance du pilote est détectée, les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 décident que la consigne de pilotage alternative produite par le système de pilotage alternatif 1 doit être utilisée pour piloter l'aéronef. Puis, suite à cette courte période, les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 décident que la consigne de pilotage alternative ne doit plus être utilisée pour piloter l'avion. Le système de pilotage automatique 6 prend ainsi le relais du système de pilotage alternatif 1 pour poser l'avion en toute sécurité. [0093] Un deuxième exemple de sélection de la consigne prioritaire est le suivant. [0094] Si une consigne de pilotage manuelle, produite par le pilote, tend à diriger l'aéronef vers une zone interdite prédéfinic, les moyens d'analyse du dispositif d'acquisition et d'analyse 30 décident que la consigne de pilotage alternative produite par le système de pilotage alternatif 1 est utilisée pour piloter l'avion. L'avion effectue alors une manoeuvre lui permettant de ne pas pénétrer dans la zone interdite. [0095] Puis, suite à cette manoeuvre, les moyens d'analyse 33 décident que la consigne de pilotage alternative ne doit plus être utilisée pour piloter l'avion : le dispositif d'acquisition et d'analyse 30 redonne la main au système de pilotage automatique 6 après que le système de pilotage alternatif 1 ait réalisé la manoeuvre. [0096] Un troisième exemple de sélection de la consigne prioritaire est le suivant. [0097] Grâce aux analyses des paramètres avion (et par exemple aux analyses des consignes moteur et des consignes gouverne), le dispositif d'acquisition et d'analyse 30 est aussi capable de détecter une situation de panne impactant l'avion. Si l'avion est piloté par le système de pilotage automatique 6 et que cette panne est susceptible d'impactcr le système de pilotage automatique 6, le dispositif d'acquisition et d'analyse 30 décide que la consigne de pilotage alternative doit être utilisée pour piloter l'avion et engage un mode de pilotage de secours. [0098] Le système de pilotage alternatif 1 comporte de plus un dispositif d'interface 34 comprenant deux unités d'interface 34a. 34b redondées. [0099] Le dispositif d'interface 34 est connecté au bus principal 25, mais aussi au système de commandes de vol 2, au système de train d'atterrissage 3, au système d'éclairage 4, au système de communication 5 et au système de pilotage automatique 6, via des bus secondaires 35 qui sont ici des bus A429. [0100] Le dispositif d'interface 34 comprend des moyens d'aiguillage comprenant un système de relais à très haute intégrité. [0101] Les relais sont pilotés par les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30. Lorsque les moyens d'analyse 33 décident que la consigne de pilotage alternative doit être utilisée pour piloter l'avion, les moyens d'analyse 33 commandent les relais pour que ceux-ci relient une sortie du dispositif de pilotage 26 au système de commande de vol 2. [0102] Le dispositif d'interface 34 applique ainsi la consigne de pilotage alternative produite par le dispositif de pilotage 26 lorsque le dispositif d'acquisition et d'analyse 30 décide que la consigne de pilotage alternative doit être utilisée. 11 [0103] Le dispositif d'interface 34 réalise l'interface physique en activation des commandes avion et émule les commandes avion : commandes de vol, trains, volets, breakers, etc.. Le système de pilotage alternatif 1 comporte de plus un dispositif de communication 37 qui comprend un module SDM 38 (pour Secured Data Module), un module ADT 39 (pour Air Data Terminal) et un module C2link 40. [0104] Ces modules forment des moyens d'interface avec un système de télépilotage, des moyens de communication avec contrôle à distance, ainsi que des moyens de sécurisation des données permettant d'assurer r intégrité des informations enregistrées. L'intégrité repose notamment sur la sécurisation des données enregistrée et des commandes suivant les principes mis en oeuvre dans un Safety Check.er. [0105] Le dispositif de communication 37 est connecté au bus principal 25 via le module ADT 39, mais aussi au système de communication 5 via des bus secondaires 41 qui sont ici des bus A429. Le dispositif de communication 37 est connecté au dispositif d'acquisition et d'analyse 30 par un lien série. [0106] Le dispositif de communication 37 permet d'effectuer une opération à distance (de type Retnotely Controlled) sur l'avion. Le dispositif de communication 37 permet en particulier d'établir une communication avec le sol, de sorte que le système de pilotage alternatif 1 puisse être commandé depuis le sol. Ainsi, en cas de défaillance du pilote par exemple, les communications radio et la commande des trajectoires de l'avion peuvent être gérées depuis le sol. [0107] Les communications mises en oeuvre par le dispositif de communication 37 entre l'avion et le sol peuvent être réalisées via des liaisons radio directes (une qf sight) ou bien satellite, ou encore à l'aide d'infrastructure de radiocommunication sol (par exemple via des réseaux de téléphonie mobile de type 4G ou 5G). [0108] Le système de pilotage alternatif 1 comporte aussi un dispositif de commande de taxiage 45 qui comprend un module TAS 46 (pour Taxi Assistance System), un dispositif de guidage 47 pouvant utiliser une ou des caméras et effectuer des traitements d'image, et un dispositif d'anticollision 48 mettant en oeuvre par exemple un radar mais aussi, potentiellement, un dispositif d'imagerie par caméras (jour, LWIR). [0109] Le dispositif de commande de taxiage 45 est connecté uniquement au bus principal 25. [0110] Le dispositif de commande de taxiage 45 est apte à produire une consigne de pilotage de l'avion au sol. Le dispositif de commande de taxiage 45 est apte à assurer le freinage de l'avion en cas d'incapacité du pilote avant que l'avion n'atteigne la vitesse déterminée VI au décollage (voir plus tôt dans cette description), et permet aussi de maintenir l'axe de piste dans ces conditions. Le dispositif de commande de taxiage pourrait aussi réaliser le taxiage à la place du pilote. 12 [0111] Le système de pilotage alternatif 1 comporte de plus un dispositif d'alimentation 49 comprenant une alimentation sans interruption. Le dispositif d'alimentation 49 est un dispositif autonome et indépendant, qui alimente le système de pilotage alternatif 1 même en cas de panne impactant les systèmes de génération de puissance de l'avion. Le dispositif d'alimentation 49 est relié aux autres dispositifs du système de pilotage alternatif 1 par des bus de puissance indépendants. [0112] Le système de pilotage alternatif 1 comporte aussi un dispositif de surveillance de l'avion 50. [0113] Le dispositif de surveillance de l'avion 50 comprend un écran positionné dans le cockpit. [0114] Le dispositif de surveillance de l'avion 50 est connecté au bus principal 25. [0115] Le système de pilotage alternatif 1 comporte en outre un dispositif de surveillance du pilote 51. Le dispositif de surveillance du pilote 51 est utilisé pour détecter que l'avion se trouve dans la situation d'urgence correspondant à une défaillance du pilote. [0116] Le dispositif de surveillance du pilote 51 comprend une caméra qui acquiert des images du visage, et en particulier des yeux du pilote. [0117] Le dispositif de surveillance du pilote 51 comprend aussi un système de détection capable de détecter, en moins de 2 secondes, une incapacité pilote, grâce à des capteurs biométriques et des capteurs spécifiques. Le système de détection demande au pilote de réaliser une action continue et délibérée pendant la phase critique du décollage. Les capteurs spécifiques utilisés à cet effet par le système de détection peuvent être des poussoirs disposés sur le manche et la manette des gaz et devant être écrasés durant le décollage, ou bien des capteurs optiques permettant de vérifier que le pilote a bien les mains sur les commandes. [0118] Le dispositif de surveillance du pilote Si est connecté au bus principal 25. [0119] Le système de pilotage alternatif 1 comporte aussi un dispositif de copilote virtuel 52. Le dispositif de copilote virtuel 52 a pour but d'anticiper des situations à risque et d'avertir le pilote dans le cas où de telles situations sont susceptibles de se produire. Le dispositif de copilote virtuel 52 a aussi (et surtout) pour but de procéder à des vérifications croisées entre des données et des actions critiques, et aussi de réaliser des tâches de façon automatique. Il dispose aussi d'une interface vocale avec le pilote, et d'une interface visuelle. Il génère également des messages audio. Il est composé d'une partie machine d'état, d'un module de traitement, et d'une partie d'Interface Homme-Machine (IHM). [0120] Le dispositif de copilote virtuel 52 est connecté au bus principal 25. [0121] On illustre, grâce aux figures 2 et 3, le fonctionnement du dispositif de pilotage selon l'invention 26, du dispositif d'acquisition et d'analyse 30 et du dispositif d'interface 34. 13 [0122] En référence à la figure 2, comme on l'a vu, l'unité de commande 28 du dispositif de pilotage 26 comprend deux voies de calcul 28a, 28b qui chacune comprennent un module de commande 60 et un module de surveillance 61. [0123] Des sorties de la voie de calcul 28a sont reliées à des entrées de l'unité d'interface 34a. Des sorties de la voie de calcul 28b sont reliées à des entrées de l'unité d'interface 34b. [0124] Le premier manche 17a, le deuxième manche 17b, un palonnier 8 et une manette de gaz 21 sont reliés à des entrées de chacune des unités d'interface 34a, 34b. [0125] Des sorties de l'unité d'interface 34a sont reliées à des entrées d'un premier cal- culateur ELAC 10a et d'un calculateur FADEC 23. Des sorties de l'unité d'interface 34b sont reliées à des entrées d'un deuxième calculateur ELAC 10b, d'un premier calculateur THS 14a et d'un deuxième calculateur THS 14b. [0126] L'unité d'interface 34a comporte quatre ensembles de relais 62a, 62b, 62e. 62d comprenant chacun trois relais 63 distincts. [0127] Trois sorties analogiques de la voie de calcul 28a sont chacune reliées à une première entrée d'un relais 63 distinct appartenant au premier ensemble de relais 62a. Trois sorties analogiques du premier manche 17a sont chacune reliées à une deuxième entrée d'un relais 63 distinct appartenant au premier ensemble de relais 62a. Les sorties des trois relais 63 du premier ensemble de relais 62a sont reliées au premier calculateur ELAC 10a. [0128] Trois sorties analogiques de la voie de calcul 28a sont chacune reliées à une première entrée d'un relais 63 distinct appartenant au deuxième ensemble de relais 62b. Trois sorties analogiques du palonnier 8 sont chacune reliées à une deuxième entrée d'un relais 63 distinct appartenant au deuxième ensemble de relais 62b. Les sorties des trois relais 63 du deuxième ensemble de relais 62b sont reliées au premier calculateur ELAC 10a. [0129] Trois sorties analogiques de la voie de calcul 28a sont chacune reliées à une première entrée d'un relais 63 distinct appartenant au troisième ensemble de relais 62c. Trois sorties analogiques du deuxième manche 17b sont chacune reliées à une deuxième entrée d'un relais 63 distinct appartenant au troisième ensemble de relais 62c. Les sorties des trois relais 63 du troisième ensemble de relais 62c sont reliées au premier calculateur ELAC 10a. [0130] Trois sorties analogiques de la voie de calcul 28a sont chacune reliées à une première entrée d'un relais 63 distinct appartenant au quatrième ensemble de relais 62d. Trois sorties analogiques de la manette de gaz 21 sont chacune reliées à une deuxième entrée d'un relais 63 distinct appartenant au quatrième ensemble de relais 62d. Les sorties des trois relais 63 du quatrième ensemble de relais 62d sont reliées au calculateur FADEC 23. 14 [0131] Le dispositif d'acquisition et d'analyse 30 est reliés à des troisièmes entrées de chaque relais 63. La troisième entrée d'un relais 63 permet de commander le relais 63 pour sélectivement aiguiller l'une des première entrée et deuxième entrée sur la sortie dudit relais 63. [0132] La voie de calcul 28b, l'unité d'interface 34b, le dispositif d'acquisition et d'analyse 30, le deuxième calculateur ELAC 10b, le premier calculateur THS 14a et le deuxième calculateur THS 14b sont reliés d'une manière similaire. [0133] Lorsque les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 décident que la consigne de pilotage alternative doit être utilisée pour piloter l'avion, les moyens d'analyse 33 produisent une commande d'aiguillage qui aiguille la première entrée de chaque relais 63 sur la sortie dudit relais 63 : les calculateurs 10a, 10b, 14a, 14b, 23 sont bien commandés par la consigne de pilotage alternative. [0134] Au contraire, lorsque les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 décident que la consigne de pilotage alternative ne doit pas être utilisée pour piloter les moyens d'analyse 33 produisent une commande de relais qui aiguille la deuxième entrée de chaque relais 63 sur la sortie dudit relais 63 : les calculateurs 10a, 10b, 14a, 14b, 23 sont alors pilotés par une consigne de pilotage manuelle produite par le pilote via les commandes pilote du cockpit. [0135] En référence à la figure 3, on voit que l'unité de commande 28 du dispositif de pilotage 26 (qui comprend aussi l'unité de positionnement 27), le dispositif d'acquisition et d'analyse 30 et le dispositif d'interface 34 sont reliés au bus principal 25. [0136] L'unité de commande 28 acquiert sur le bus principal 25 des paramètres avion Pa, des commandes sol Csol produites par la station au sol, et la phase de vol courante Pv dans laquelle se trouve l'avion. L'unité de commande 28 met en oeuvre une fonction de géorepérage 70. Si l'avion se dirige vers une zone interdite prédéfinie, l'unité de commande 28 émet sur le bus principal 25 une alerte de géorepérage Ag, et une consigne de pilotage alternative Cpa visant à éviter que l'avion ne pénètre dans ladite zone interdite prédéfinie. [0137] L'unité de commande 28 met en oeuvre une fonction de pilotage 71 pour produire une consigne de pilotage alternative permettant par exemple de finaliser un décollage et de stabiliser l'avion après le décollage. [0138] Le dispositif d'acquisition et d'analyse 30 reçoit l'alerte de géorepérage Ag et le dispositif d'interface 34 reçoit la consigne de pilotage alternative Cpa. Le dispositif d'interface 34 met en oeuvre une fonction d'acquisition 72 pour acquérir la consigne de pilotage alternative Cpa ainsi que la consigne de pilotage manuelle Cpm générée par le pilote via les commandes pilote 21, 8, 9, 17. [0139] Le dispositif d'acquisition et d'analyse 30 produit une commande d'aiguillage Ca visant à piloter les relais du dispositif d'interface 34 pour inhiber la consigne de pilotage manuelle Cprn générée par le pilote et pour activer la consigne dc pilotage alternative Cpa. Le dispositif d'interface 34 met en oeuvre une fonction dc conversion 73 qui transforme la consigne dc pilotage alternative Cpa en une consigne permettant de commander les calculateurs des commandes de vol et dc contrôler les moteurs pour piloter l'avion et éviter que celui-ci ne pénètre dans les zones interdites prédéfinics. [0140] On décrit maintenant plus en détail, en référence à la figure 4, le fonctionnement du dispositif d'acquisition et d'analyse 30. [0141] Les moyens d'acquisition 32 du dispositif d'acquisition et d'analyse 30 mettent tout d'abord en oeuvre une fonction d'acquisition 80. La fonction d'acquisition 80 acquiert sur les bus secondaires (qui sont ici des bus A429) des paramètres P produits par les systèmes d'origine 81 de l'avion. [0142] La fonction d'acquisition 80 produit, à partir des paramètres P, des paramètres avion Pa, et transmet les paramètres avion Pa sur le bus principal 25 à destination des autres dispositifs du système de pilotage alternatif 1. [0143] Les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 mettent en oeuvre une fonction d'évaluation 82, pour évaluer l'état de l'avion Ea et la phase de vol courante Pv dans laquelle se trouve l'avion. [0144] La fonction d'évaluation 82 acquiert les paramètres avion Pa ainsi que des messages d'alerte Ma produits par les autres dispositifs du système de pilotage alternatif 1, en particulier par le dispositif de pilotage 26, le dispositif de surveillance de l'avion 50 et le dispositif de surveillance du pilote 51. La fonction d'évaluation 82 évalue l'état de Ea et la phase de vol courante Pv à partir de ces données. [0145] Ainsi, la fonction d'évaluation 82 acquiert l'état du pilote (opérationnel ou non opé- rationnel), surveille l'état des différents bus ARINC 429 de l'avionique et acquiert les paramètres avion Pa. La fonction d'évaluation 82 analyse ces données afin d'estimer l'état de l'avion qui peut être un état normal ou anormal. [0146] La fonction d'évaluation 82 définit la phase de vol courante Pv de l'avion en fonction des paramètres avion Pa. La phase de vol courante est ensuite utilisée pour la gestion des modes et des commandes. Elle permet d'activer la machine d'état correspondante, c'est-à-dire de dérouler les procédures et les actions devant être effectuées durant la phase de vol courante (par exemple commander la rentrée du train d'atterrissage après le décollage, commander l'envoie d'alertes au pilote, etc.). [0147] La fonction d'évaluation 82 transmet l'état de l'avion et la phase de vol courante à la station au sol et aux dispositifs du système de pilotage alternatif 1. [0148] Les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 mettent aussi en oeuvre une fonction de gestion 83. [0149] La fonction de gestion 83 acquiert l'état de l'avion Ea et la phase de vol courante Pv, 16 ainsi que des commandes sol produites par le copilote au sol depuis la station au sol. [0150] La fonction de gestion 83 exécute une première machine d'état permettant de définir un mode avion dans lequel se trouve l'avion. Le mode avion peut être nominal ou bien dégradé. Le mode avion permet de savoir qui a le contrôle de l'avion : le pilote à bord, le copilote au sol, le système de pilotage automatique d'origine, ou bien le système de pilotage alternatif. [0151] La fonction de gestion 83 définit donc, à partir de l'état et de la phase de vol courante de l'avion, une consigne de pilotage sélectionnée parmi une pluralité de consignes de pilotage comprenant la consigne de pilotage manuelle produite par le pilote à bord via les commandes pilote, une consigne de pilotage au sol produite par le copilote au sol, une consigne de pilotage automatique produite par le système de pilotage automatique, et la consigne de pilotage alternative. [0152] En fonction du mode avion, la fonction de gestion 83 gère la commande de modi- fication du plan de vol, qui est définie soit par le pilote à bord, soit par le pilote au sol. La fonction de gestion gère la commutation de la gestion de trajectoire à suivre qui est définie soit par le pilote à bord, soit par le copilote au sol, soit par le système de pilotage automatique d'origine, soit par le système de pilotage alternatif. [0153] La fonction de gestion 83 commande donc la transmission de la consigne de pilotage sélectionnée aux systèmes d'origine de l'aéronef préexistant de manière à commander les systèmes d'origine avec la consigne de pilotage sélectionnée. La fonction de gestion 83 est agencée pour produire une commande d'aiguillage destinée à piloter un ou des relais du dispositif d'interface 34 pour commander la transmission de la consigne de pilotage sélectionnée aux systèmes d'origine. [0154] La fonction de gestion 83 gère aussi l'activation automatique des ordres produits par le ou les pilotes ou par le ou les copilotes, dans le mode nominal ou dans le mode dégradé. Ces ordres sont par exemple des commandes des atterrisseurs ou des dé-porteurs. [0155] Pour cela, la fonction de gestion 83 décode les commandes reçues de la station au sol ou du copilote virtuel. En fonction du mode avion, la fonction de gestion 83 gère la priorité des demandes reçues des différentes sources et séquence les commandes détaillées vers le dispositif d'interface 34. [0156] Les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30 mettent aussi en oeuvre une fonction d'exécution 84. Les moyens d'analyse 33 hébergent une deuxième machine d'état pour exécuter des ordres produits par le copilote virtuel. [0157] La deuxième machine d'état sélectionne et exécute des procédures avions en fonction de données reçues par le copilote virtuel. [0158] Le copilote virtuel reçoit des ordres vocaux et transforme les ordres vocaux en texte. Le copilote virtuel transmet ces ordres à la fonction d'exécution 84. 17 [0159] La fonction d'exécution 84 transforme ces ordres de haut niveau en une séquence programmée d'actions. La fonction d'exécution exécute dans le temps la séquence programmée d'actions. [0160] En fonction de l'état de l'avion (possiblement variable) au cours de la séquence, la fonction d'exécution 84 prend les décisions adéquates pour garantir le bon déroulement de la procédure par rapport à l'ordre initial. La fonction d'exécution 84 remonte au copilote virtuel les acquittements de bon déroulement et/ou les actions conservatoires et les anomalies détectées au cours de l'exécution. [0161] En particulier, la fonction d'exécution 84 transforme les informations au bon format puis les transmet au copilote virtuel afin qu'elles soient interprétées par le copilote virtuel puis retransmises au pilote. [0162] On illustre maintenant, en référence aux figures 5 et 6, le fonctionnement du dispositif d'acquisition et d'analyse 30 et du copilote virtuel. [0163] En référence à la figure 5, un décollage normal requiert la mise en oeuvre, par le pilote à bord, d'une séquence d'actions. [0164] A la fin du décollage normal, le pilote produit ainsi un ordre Flaps 1 (action 90) en agissant sur les commandes de vol pour placer les dispositifs hypersustentateurs (becs et volets) en configuration Flaps 1. Puis, le pilote produit un ordre Flaps 0 (action 91) pour placer les dispositifs hypersustentateurs en configuration Flaps 0. Ensuite, le pilote sélectionne la vitesse de montée de l'avion (action 92). [0165] Le copilote virtuel effectue quant à lui une séquence d'actions préprograrmnées associée à la séquence d'action du pilote. Suite à l'ordre Flaps 1, le copilote virtuel annonce dans le cockpit la phrase « speed checked » (action 93), puis sélectionne la configuration Flaps 1 (action 94). [0166] On voit sur la figure 6 le fonctionnement du dispositif d'acquisition et d'analyse 30 au cours de ces séquences d'actions. [0167] La deuxième machine d'état de la fonction d'exécution 84, mise en oeuvre par les moyens d'analyse 33 du dispositif d'acquisition et d'analyse 30, reçoit du copilote virtuel 52 l'ordre Flaps 1. [0168] Parallèlement, la fonction d'acquisition 80 transmet les paramètres avion Pa à la fonction d'évaluation 82 et à la deuxième machine d'état de la fonction d'exécution 84. [0169] La fonction d'évaluation 82 détermine l'état de l'avion Ea et la phase de vol courante Pv. En l'occurrence, l'état de l'avion est normal et la phase de vol en cours est la phase de décollage. La fonction d'évaluation 82 transmet ces informations à la deuxième machine d'état de la fonction d'exécution 84 et à la fonction de gestion 83. [0170] La deuxième machine d'état sélectionne la procédure correspondant à l'état de l'avion et la phase de vol en courante, puis exécute la séquence d'actions programmée correspondant à l'ordre Flaps I. 18 [0171] En l'occurrence, la deuxième machine d'état transmet l'ordre Flaps 1 sélectionné à la fonction de gestion 83 qui décide que la consigne de pilotage alternatif produite par le système de pilotage alternatif 1 doit être utilisée. La fonction de gestion 83 envoie une commande d'aiguillage Ca au dispositif d'interface 34 pour que l'aiguillage correspondant soit mis en oeuvre. [0172] Une fois que l'ordre Flaps 1 a été correctement exécuté et que les dispositifs hyper- sustentateurs ont été activés conformément à cet ordre, la deuxième machine d'état reçoit un acquittement Acq de bon déroulement qu'elle transmet au copilote virtuel 52. [0173] Bien entendu, l'invention n'est pas limitée au mode de réalisation décrit mais englobe toute variante entrant dans le champ de l'invention telle que définie par les revendications. [0174] L'invention s'applique à tout type d'aéronef, et particulièrement aux aéronefs dans lesquels un unique pilote est susceptible de se trouver, ou bien dans les aéronefs sans pilote : avion de transport de marchandises piloté par un seul pilote, avion de transport de passagers piloté par un seul pilote, cargo dronisé (sans pilote), drone de transport logistique, taxi urbain piloté ou dronisé, etc. 19 [Revendication 1] [Revendication 2] [Revendication 3] [Revendication 4] [Revendication 5]