FR 3094785 A1 20201009 FR 1903610 A 20190404 Description Titre de l'invention : Unité et système de référence inertielle à intégrité améliorée et procédés de contrôle d'intégrité associés Domaine de l'invention [0001] La présente invention concerne le domaine de l'aide au pilotage et/ou à la navigation d'un aéronef à commande de vol électrique, plus précisément dans le secteur de l'aviation civile. [0002] L'invention est plus précisément relative à la fourniture d'une unité de référence inertielle et d'un système de référence inertielle pour un aéronef à commande de vol électrique, et au contrôle d'intégrité de ladite unité et dudit système. Etat de la technique [0003] Pour le pilotage et/ou la navigation d'un aéronef, il est indispensable de connaître certains paramètres de vol de l'aéronef. Les paramètres de vol d'un aéronef comprennent notamment les paramètres relatifs à la terre (ou références inertielles) et peuvent comprendre également les paramètres relatifs à l'air (ou références air). [0004] Les paramètres de vol relatifs à la terre peuvent comprendre l'altitude, les attitudes (roulis, tangage, cap), les accélérations, les vitesses notamment les vitesses angulaires [0005] Des moyens de détermination des paramètres de vol relatif à la terre comprennent des centrales inertielles également désignés « systèmes de référence inertielle » ou par raccourci « systèmes inertiels ». Un système de référence inertiel peut être désigné par « IRS » qui est l'acronyme de « Inertial Reference System » en anglais. Un IRS comprend une ou plusieurs unités de référence inertielle, chaque unité étant désignée par « IRU » qui est l'acronyme de « Inertial Reference Unit » en anglais ou par « URI ». Une IRU comprend une unité de mesure inertielle désignée par « IMU » qui est l'acronyme de « Inertial Measurement Unit » en anglais ou par « UMI », ainsi que des calculateurs associés et parfois un afficheur. Une IMU comprend des capteurs inertiels, qui sont typiquement des gyromètres et des accéléromètres. [0006] Les paramètres de vol relatifs à l'air peuvent comprendre la vitesse de l'air, le nombre de Mach, la vitesse verticale, la pression statique, la pression totale, la température de l'air... [0007] Des moyens de détermination des paramètres de vol relatifs à l'air comprennent des capteurs anémo-barométriques ainsi que des calculateurs associés, l'ensemble formant. une unité de données air ou « ADU » pour « Air Data Unit » en anglais. [0008] Une centrale inertielle permettant également de déterminer des paramètres de vol relatifs à l'air est appelée « centrale inertielle et aérodynamique » désignée « ADIRS » 2 qui est l'acronyme de « Air Data Inertial Reference System » en anglais. Une unité de référence inertielle correspondante est désignée « ADIRU » qui est l'acronyme de « Air Data Inertial Reference Unit » en anglais. [0009] Les paramètres de vol déterminés sont envoyés à des équipements utilisateurs embarqués dans l'aéronef. Les équipements utilisateurs sont par exemple des unités de commande pour la commande de moteurs ou de gouvernes, et/ou des systèmes d'affichage, pour l'affichage de paramètres de vols, par exemple dans un cockpit de l'aéronef. [0010] Pour des raisons de cureté de fonctionnement de l'aéronef, il est recommandé que les paramètres de vol soient déterminés et affichés à la fois par au moins une unité primaire de référence inertielle (qui pourra être désignée par « unité primaire » dans l'ensemble de la présente description) et par au moins une unité de référence inertielle de secours, qui peut également être désignée par « unité secondaire de référence inertielle » ou par raccourci « unité secondaire ». Une unité secondaire permet d'assurer une redondance de l'unité primaire et est notamment utilisée en cas de panne de l'unité primaire. Pour renforcer la sûreté de fonctionnement de l'aéronef, l'unité primaire et l'unité secondaire sont de préférence dissemblables. Le terme « dissemblable » désigne des unités réalisant les mêmes fonctions mais qui sont différentes (par exemple, conception différente, matériel différent ...). [0011] Une unité de référence inertielle de secours présente généralement une classe de per- formance inférieure à une unité primaire. [0012] Une classe de performance (ou niveau de performance) d'une unité de référence inertielle est définie en fonction du niveau de précision des équipements (a minima les capteurs) constituant cette unité, c'est-à-dire le niveau de précision des mesures délivrées par lesdits équipements. [0013] Une unité primaire de référence inertielle est généralement constituée d'un boîtier dédié dans lequel sont disposés des capteurs, ainsi qu'un calculateur et parfois un écran d'affichage. Les capteurs forment une unité de mesure inertielle (UMI) haute performance, apte à calculer et afficher les paramètres de vol à destination des pilotes, et ce, de manière à lui permettre de piloter l'aéronef de manière sûre (en mode dit normal). [0014] Une unité de référence inertielle de secours est généralement un équipement élec- tronique autonome qui peut être désigné par le terme « Standby » ou l'acronyme « IESI », de l'anglais « Integrated Electronic Standby Instrument ». Un tel instrument comprend généralement un boîtier dédié dans lequel sont disposés des capteurs, un calculateur et parfois un écran d'affichage. Il permet, tout comme pour une unité primaire, l'affichage de paramètres de vol et éventuellement de quelques autres données indépendamment de l'unité primaire, mais délivrées de manière plus sommaire et avec une 3 précision plus faible que pour l'unité primaire. En cas de panne de l'unité primaire, le pilote utilise les données affichées sur l'unité de secours pour assurer le pilotage de l'aéronef. L'affichage suit généralement la même présentation que celle des unités primaires. [0015] Les architectures avioniques des avions à commandes de vol électriques sont usuellement basées sur une des architectures dites « triplcx » ou « quadruplex », ou sur des variantes de ces architectures. [0016] L'architecture triplex illustrée en figure 1 est un système qui comprend trois unités primaires (A) de classe de performance élevée, et identiques d'un point de vue hardware et software, ainsi que une ou deux unités secondaires (B ou C) typiquement des AHRU (du terme anglais « Attitude and Hcading Reference Unit ») de classe de performance inférieure aux unités primaires et dissemblables des trois unités primaires. [0017] L'architecture quadruplex illustrée en figure 2 est un système basé sur deux premières unités primaires (Al) de classe de performance élevée, et de deux secondes unités primaires (A2) de classe de performance inférieure aux deux premières unités primaires mais suffisante pour alimenter les commandes de vol, ou de classe de performance équivalente. Les deux secondes unités primaires sont de préférence dissemblables des deux premières unités primaires. Une architecture quadruplex peut comprendre une ou deux unités secondaires (B ou C) typiquement des AHRU de classe de performance inférieure aux premières et secondes unités primaires. [0018] Si, des points de vue intégrité et continuité, les deux architectures triplex et quadruplex offrent sensiblement les mêmes caractéristiques dans leur configuration nominale, c'est-à-dire tant qu'aucun équipement ne se déclare en panne, des différences apparaissent en cas de décollage d'un aéronef sous « MMEL », c'est-à-dire avec un équipement en panne détectée, puis lorsque pendant le vol, une nouvelle panne survient et qu'elle n'est pas détectée par le module de test intégré (également nommé « BIT » pour « Built In Test » en anglais) de l'équipement en panne. Ce second type de panne non détectée est connu sous le nom de « Undetected En-oneous Data », et peut être désigné par « UED ». [0019] Avec une architecture de type triplex, comme le décollage s'est fait sous MMEL, il n'y a plus que deux unités primaires A. Si une panne UED apparait dans une de ces deux unités A restantes, on ne sait pas discerner quelles unités parmi ces deux unités est en panne. En d'autres termes, on ne sait pas voter entre les deux unités A. Les commandes de vol abandonnent la loi de pilotage normale et passent alors en loi de pilotage directe, c'est-à-dire que le pilote doit reprendre le pilotage en manuel en utilisant les informations fournies par la ou les unités de secours (B ou C) et affichées sur le tableau de bord. En outre, une telle architecture ne permet pas de détecter une panne de mode commun aux trois unités primaires (ou une panne de mode commun aux deux unités primaires sous MMEL). [0020] Avec une architecture quadruplex, un décollage sous MMEL est moins pénalisant puisqu'il reste trois unités primaires capables d'alimenter les commandes de vol (Al et 2 A2 ou 1 A2 et 2 Al). Ainsi, en cas de panne affectant uniquement une des trois unités primaires, on peut facilement la détecter et exclure l'unité erronée typiquement au moyen d'un contrôle de cohérence sur les attitudes. En revanche, en cas de deuxième panne, on se retrouve avec la même problématique que l'architecture triplex lors d'une première panne sous MMEL. [0021] L'architecture de type quadruplex permet certes de mieux détecter une panne de mode commun aux unités primaires lorsqu'il y a deux types dissemblables d'unités primaires. En revanche, en cas de panne de mode commun, elle ne permet pas de choisir quelle unité primaire est fiable. En effet, s'il y a dissemblance entre les premières unités primaires Al et les secondes unités primaires A2, on se retrouve dans le cas d'un vote 2 contre 2 sans pouvoir déterminer quelles unités sont fiables. Les commandes de vol abandonnent la loi de pilotage normale et passent en loi de pilotage directe, c'est-à-dire que le pilote doit reprendre le pilotage en manuel en utilisant les informations fournies par la ou les unités de secours (B ou C). [0022] En outre, s'il n'y a pas dissemblance entre les premières unités primaires Al et les secondes unités primaires A2, alors une panne de mode commun ne peut être détectée, ce qui correspond à une situation identique à celle de l'architecture triplex. [0023] Les architectures triplex ou quadruplex offrent donc une disponibilité limitée des in- formations inertielles primaires nécessaires à un mode normal des commandes de vol. [0024] Des solutions ont pu être apportées pour améliorer la fiabilité des systèmes d'aide au pilotage et/ou à la navigation d'aéronef, décrites ci-après. [0025] Le brevet US5297052 concerne un système de référence inertielle et de données at- mosphériques comportant des redondances intégrées pour éviter une défaillance du système en cas de défaillance d'un ou plusieurs composants composant le système. Ledit système comprend une unité principale redondante (type IRU ou ADIRU) d'une part et une unité de secours (standby) d'autre part. La solution de ce brevet porte sur une redondance dans l'unité principale en multipliant le nombre de capteurs de haute performance dans un IRU ou un ADIRU, typiquement 6 accéléromètres et 6 gyromètres ainsi que 4 circuits de processeurs fonctionnant en parallèle. Les circuits de processeurs traitent et comparent les sorties des gyromètres et des accéléromètres et les transmettent à 3 circuits de vote. La solution du brevet US5297052 est de multiplier les capteurs de haute performance, ce qui augmente fortement le prix, le poids et l'encombrement du système. [0026] La demande de brevet US2010152929 décrit un système inertiel d'aéronef comprenant au moins deux unités de référence inertielle (IRU) fournissant un premier ensemble de données de signal inertiel et au moins deux unités de référence de cap d'attitude (AHRU) qui sont des unités de secours de plus basse performance fournissant un deuxième ensemble de données de signal inertiel, un affichage de vol principal recevant les premier et deuxième ensembles de données de signal inertiel, et un affichage de vol en attente recevant au moins le deuxième ensemble de données de signal inertiel. En fonctionnement, au moins une partie des données de signal inertiel provenant d'au moins deux AHRU est comparée aux données de signal inertiel fournies par les au moins deux IRU. Lorsqu'un seul défaut survient, l'affichage de vol principal continue de fonctionner avec une redondance opérationnelle sur au moins trois unités parmi les TRU et AHRU et l'affichage de vol en attente fonctionne en utilisant une unité différente de l'affichage en vol principal. Comme il est indiqué que les AHRU sont dissemblables des TRU, niais que les IRU ne sont pas dissemblables les uns des autres et que les AHRU ne sont pas dissemblables les uns des autres, il subsiste un risque de défaillance de mode commun malgré la redondance. En réalité, ce système s'apparente à un type quadruplex mais où les unités primaires A2 sont remplacées par des unités secondaires. Il conserve donc les mêmes inconvénients. En outre, la demande de brevet US2010152929 vise principalement un affichage de données en cas de défaut. Le pilote passe donc en loi de pilotage directe. Enfin, les données comparées sont des attitudes. Or les attitudes fournies par des AHRU pouvant présenter des erreurs très élevées, les seuils de comparaison sont nécessairement élevés. [0027] La demande de brevet US20080262729 concerne un procédé de mise en oeuvre d'une architecture avionique tolérante aux défauts qui comprend trois ou quatre unités de mesure inertielles non tolérantes aux pannes, c'est-à-dire de haute performance, et une unité de mesure inertielle de secours, toutes ces unités étant physiquement séparées, mais toutes étant couplées à un processeur. Chaque unité de mesure inertielle haute performance comprend une triade d'accéléromètres et/ou de gyromètres, c'est à dire trois accéléromètres et/ou trois gyromètres. Le processeur peut détecter une première puis une deuxième défaillance d'une unité de mesure inertielle haute performance sur la base d'un seuil calculé à partir des performances attendues lors d'un contrôle de parité, peut suspendre le fonctionnement de l'unité de mesure inertielle défaillante, puis exploiter l'unité de mesure inertielle de secours avec les unités de mesure inertielle haute performance non défaillantes pour continuer à suivre le véhicule. Il peut continuer à utiliser une logique de parité pour surveiller la fonctionnalité du système. La méthode de parité consiste à comparer les mesures des capteurs redondants (dans ce cas les capteurs redondants entre les différentes unités de mesure inertielle haute performance), et d'appliquer une formule mathématique aux différences entre lesdites mesures (typiquement, on additionne les carrés des différences) puis de vérifier si le 6 résultat de cette formule suit une loi de probabilité typique d'un bruit. Si elle ne suit pas la loi attendue, on en déduit une panne ou un biais. Dans cette demande de brevet, on multiplie les triades de capteurs, ce qui augmente le prix, le poids et l'encombrement du système. En outre, la méthode de parité ne constitue pas la méthode la plus performante pour comparer une unité de mesure inertielle de haute performance avec une unité de mesure inertielle de secours dans cette architecture. Enfin, les calculs sont effectués en supposant que le véhicule qui soutient les unités de mesure inertielles est suffisamment rigide pour ne pas provoquer des différences significatives dans les vitesses détectées aux divers emplacements des unités de mesure inertielle. Cela met donc une contrainte sur le véhicule. A défaut, cela nécessite de relever les seuils de détection d'erreur de parité. [0028] Le brevet FR3038048 décrit un système de mesure inertielle pour aéronef, comprenant une centrale inertielle d'un premier type comportant au moins trois capteurs angulaires et trois capteurs linéaires alignés sur trois axes sensibles distincts, une centrale inertielle d'un deuxième type comportant au moins quatre capteurs angulaires et quatre capteurs linéaires alignés sur quatre axes sensibles distincts, cette deuxième centrale est configurée pour pouvoir se surveiller de manière autonome (sans la première centrale notamment), et une unité de traitement reliée aux centrales. Lc système est agencé pour calculer classiquement une donnée inertielle à partir des trois capteurs angulaires et des trois capteurs linéaires de la première centrale inertielle. En outre, à partir de la deuxième centrale, on peut obtenir quatre données inertielles issues de quatre combinaisons distinctes de trois capteurs angulaires et de trois capteurs linéaires sélectionnés parmi les capteurs de la centrale inertielle de deuxième type ; l'unité de traitement est adaptée pour comparer entre elles les quatre données inertielles de manière à déterminer si la centrale inertielle de deuxième type est défaillante. Dans cette demande de brevet, on multiplie les capteurs, ce qui augmente fortement le prix, le poids et l'encombrement du système. En outre, l'aspect panne processeur n'est pas traité, autrement dit si on a une panne processeur, il n'y a pas un processeur redondant qui peut prendre le relais. Plus largement, le système décrit dans le brevet FR3038048 ne prend pas en compte les pannes communes ... [0029] Un objectif de l'invention est de proposer un système avionique d'aide au pilotage et/ ou à la navigation d'un aéronef à commande de vol électrique permettant d'améliorer le contrôle de l'intégrité des paramètres de vol fournis. [0030] Plus précisément, l'invention vise à repérer plus précisément et plus rapidement une panne et/ou une dérive sur une unité de référence primaire inertielle. L'invention vise ainsi à disposer d'une unité de référence inertielle capable de s'auto-surveiller. [0031] En outre, pour un système comprenant une pluralité d'unités de référence inertielle, l'invention vise à déterminer la ou les unités de référence inertielle défectueuses (et in- 7 versement la ou les unités de référence inertielle fiables), voire de remédier à une panne et/ou une dérive de la ou des unités de référence inertielle défectueuses. L'invention vise en particulier à éviter que la commande de vol électrique ne bascule en mode direct. [0032] Un autre objectif de l'invention est d'éviter les pannes de mode commun sur une unité de référence inertielle et/ou un système avionique. [0033] TI serait avantageux que l'invention réponde à ces objectifs sans compliquer, sans alourdir et/ou sans augmenter le coût de l'unité de référence inertielle et donc celui du système avionique. Exposé de l'invention [0034] Un premier objet de l'invention concerne une unité de référence inertielle pour la fourniture et la surveillance de paramètres de vol d'un aéronef comprenant : - une première voie de mesure comportant : - unc première unité de mesure inertielle de haute performance comprenant des premiers moyens de mesure de forces spécifiques et des premiers moyens de mesure de vitesses angulaires, - unc première unité de calcul couplée à la première unité de mesure inertielle et comprenant une première fonction de traitement inertiel apte à réaliser des calculs de données inertielles pures à partir des mesures de ladite première unité de mesure ; - une deuxième voie de mesure comportant : - unc deuxième unité de mesure inertielle de performance inférieure à la première unité de mesure inertielle et comprenant des deuxièmes moyens de mesure de forces spécifiques et des deuxièmes moyens de mesure de vitesses angulaires ; - une deuxième unité de calcul couplée à la deuxième unité de mesure inertielle et comprenant un deuxième module de traitement inertiel apte à réaliser des calculs de données inertielles pures à partir des mesures de ladite deuxième unité de mesure ; - une fonction de contrôle d'intégrité apte à implémenter un procédé de contrôle d'intégrité des données de la première voie de mesure à partir des données fournies par la deuxième voie de mesure ; et - un moyen de synchronisation des mesures des première et deuxième unités de mesure inertielle ; les première et deuxième unités de mesure inertielle étant montées mécaniquement de manière solidaire entre elles dans l'unité de référence inertielle de manière à mesurer les mêmes mouvements. [0035] Selon un mode de réalisation avantageux, l'unité de unité de référence inertielle comprend en outre des moyens pour fournir une information de verticale à la fonction de contrôle d'intégrité et la fonction de contrôle d'intégrité est apte à implémenter un 8 procédé de contrôle d'intégrité des données de la première voie de mesure à partir des données fournies par la deuxième voie de mesure et de ladite information de verticale. Cela permet d'affiner le contrôle d'intégrité, et notamment de détecter des pannes gyrométriques d'amplitude faible. [0036] Selon un mode de réalisation particulier, l'information de verticale fournie est une position verticale, une vitesse verticale ou une accélération verticale. [0037] Selon un mode de réalisation, la deuxième unité de mesure inertielle est de moyenne ou de basse performance, de préférence de basse performance. [0038] Selon un mode de réalisation, les premiers et seconds moyens de mesure des forces spécifiques comprennent des accéléromètres, de préférence un accéléromètre par axe. [0039] Selon un mode de réalisation, les premiers et seconds moyens de mesure des vitesses angulaires comprennent des gyromètres, de préférence un gyromètre par axe. [0040] Selon un mode de réalisation, la première voie de mesure comprend un premier bloc d'alimentation électrique et la deuxième voie de mesure comprend en outre un deuxième bloc d'alimentation électrique. [0041] Un deuxième objet de l'invention concerne un procédé de contrôle de l'intégrité d'une unité de référence inertielle selon le premier objet de l'invention, et plus précisément de la première voie de mesure d'une unité de référence inertielle, ledit procédé étant mis en oeuvre dans la fonction de contrôle d'intégrité de ladite unité de référence inertielle et comprenant les étapes suivantes : - une première étape de fourniture d'une donnée inertielle issue de la deuxième voie de mesure et consolidée ; - une deuxième étape de détermination d'une première valeur de comparaison entre une donnée inertielle issue de la première voie de mesure et une donnée inertielle issue de la deuxième voie de mesure et consolidée ; - une troisième étape de comparaison de la première valeur de comparaison avec un premier seuil, une valeur supérieure audit premier seuil permettant de détecter un défaut d'intégrité de la première voie de mesure. [0042] Selon un mode de réalisation, le procédé comprend en outre une étape de synchro- nisation des mesures entre les première et deuxième unités de mesure de l'unité de référence inertielle. [0043] Selon un mode de réalisation, le procédé comprend en outre une étape préalable d'auto-surveillance en alignement statique de la première unité de mesure inertielle, et de la deuxième unité de mesure inertielle, de manière à fournir une donnée inertielle issue de la deuxième voie de mesure consolidée. [0044] Selon un mode de réalisation, la première étape comprend une étape de correction de la donnée inertielle issue de la deuxième voie de mesure de manière à obtenir une donnée inertielle consolidée. 9 [0045] Selon un mode de réalisation particulier, l'étape de correction est réalisée en utilisant une donnée inertielle issue de la première voie de mesure, par exemple en appliquant un premier filtre à la différence entre la donnée inertielle issue de la deuxième voie de mesure et la donnée inertielle issue de la première voie de mesure, ladite étape de correction étant décalée temporellement par rapport à la deuxième étape. [0046] Selon un mode de réalisation particulier, l'étape de correction comprend une étape de suppression d'un biais de la donnée inertielle issue de la deuxième voie de mesure, ledit biais étant constant pendant un temps de biais donné, la deuxième étape étant réalisée dans ledit temps de biais. [0047] Selon un mode de réalisation particulier, la première valeur de comparaison est obtenue par l'application d'un second filtre à la différence entre la donnée inertielle issue de la deuxième voie de mesure et corrigée et la donnée inertielle issue de la première voie de mesure, la durée du filtre étant inférieure au temps de biais; et la troisième étape consiste en la comparaison du résultat du second filtre avec le premier seuil. [0048] Selon un mode de réalisation, les données inertielles comparées sont des données d'attitude, de vitesse angulaire, de force spécifique et/ou d'accélération. [0049] Selon un mode de réalisation, le procédé comprend on outre : - une quatrième étape de détermination d'une deuxième valeur de comparaison entre une accélération verticale calculée à partir de données inertielles issues de la première voie de mesure et une information de verticale, l'information de verticale étant par exemple une position verticale mesurée ou une vitesse verticale mesurée, ladite information de verticale étant préalablement transformée en accélération verticale, ou une accélération verticale mesurée ; - une cinquième étape de comparaison de la deuxième valeur de comparaison avec un deuxième seuil, une valeur supérieure audit deuxième seuil permettant de détecter un défaut d'intégrité. [0050] Selon un mode de réalisation particulier, la deuxième valeur de comparaison est obtenue par l'application d'un troisième filtre à la différence entre l'accélération verticale calculée et l'accélération verticale issue de l'information de verticale ; et la cinquième étape de comparaison consiste en la comparaison du résultat du troisième filtre avec le deuxième seuil. [0051] Un troisième objet de l'invention est un système avionique pour l'aide au pilotage et/ ou à la navigation d'un aéronef comprenant au moins deux unités de référence inertielle selon le premier objet de l'invention et au moins un calculateur de comparaison apte à comparer une donnée inertielle délivrée par une première unité de référence inertielle et une donnée inertielle délivrée par une deuxième unité de référence inertielle. [0052] Selon un mode de réalisation, le système comprend trois unités de référence inertielle selon le premier objet de l'invention. [0053] Selon un autre mode de réalisation, le système comprend deux unités de référence inertielle selon le premier objet de l'invention et deux autres unités de référence inertielle. [0054] Selon un mode de réalisation, le système comprend en outre un moyen de mesure d'une information de verticale, par exemple un baro-altimètre, un radioaltimètre, un accéléromètre en vertical, une sonde de vitesse verticale. [0055] Un quatrième objet de l'invention est un procédé de contrôle de l'intégrité d'un système avionique, et plus précisément d'une unité de référence inertielle, ledit procédé comprenant : - une première étape de comparaison d'une donnée inertielle délivrée par une première unité de référence inertielle et d'une donnée inertielle délivrée par une deuxième unité de référence inertielle, de manière à déterminer une panne d'une unité de référence inertielle ; et, si la première étape ne permet pas de pas discriminer l'unité de référence inertielle en panne, - une deuxième étape de mise en oeuvre du procédé de contrôle de l'intégrité selon le second objet de l'invention pour au moins une unité de référence inertielle selon le premier objet de l'invention. [0056] Une donnée est définie comme la valeur, délivrée à un instant t, d'un paramètre. Une donnée inertielle pure est ainsi la valeur, délivrée à un instant t, d'un parmi les paramètres suivants : une attitude (cap, roulis, tangage), une vitesse angulaire, une force spécifique, une accélération, une vitesse, une position... . Lorsqu'on compare deux données entre elles, l'homme du métier comprendra qu'on compare deux données d'un même paramètre ou de deux paramètres dont au moins un est adapté pour être comparé à l'autre. [0057] Une donnée est dite « consolidée » lorsqu'elle a été vérifiée, notamment lorsque l'unité de mesure permettant de délivrer la donnée s'est auto-surveillée, et/ou lorsqu'elle a été colligée. [0058] Selon l'invention, une unité de mesure inertielle est de haute performance si elle peut fournir une attitude avec une erreur inférieure ou égale à 0,2° ; de moyenne performance si elle peut fournir une attitude avec une erreur supérieure à 0,2° et inférieure à 1° et de basse performance si elle fournit une attitude avec une erreur en attitude supérieure ou égale à 1°, par exemple entre 2 et 5°. Une unité de référence inertielle de haute performance est apte à trouver son cap de manière autonome. [0059] Le principe de l'invention est qu'au sein d'une même unité de référence inertielle, une unité secondaire de mesure inertielle, de performance inférieure à celle de l'unité primaire de mesure inertielle qui est de haute performance, soit capable de surveiller 11 l'unité primaire de mesure inertielle, éventuellement en utilisant en plus une information de verticale qui est mesurée en dehors des unités de mesures inertielles. L'unité de référence inertielle comprend une fonction de contrôle adaptée pour effectuer cette surveillance. Ainsi l'unité de référence inertielle est capable de s' auto-surveiller. [0060] Au contraire de solutions dans lesquelles un système inertiel comprend des unités primaires de référence inertielle (haute performance) et des unités secondaires de référence inertielle (moyenne ou basse performance) qui peuvent se surveiller entre elles, l'invention permet de disposer d'une unité de référence inertielle de haute performance qui peut s'auto-surveiller, ce qui a pour avantage un encombrement, un poids et un coût moindres. [0061] L'invention consiste en la combinaison dans une même unité de référence inertielle de capteurs de haute performance avec des capteurs de plus basse performance (donc moins chers et moins lourds), voire en l'exploitation d'autres capteurs et/ou données disponibles dans l'aéronef, et la fonction de contrôle consiste en un traitement adapté des données délivrées par les capteurs et/ou des données disponibles pour surveiller l'unité primaire de mesure inertielle. [0062] La fonction de contrôle peut être paramétrée de manière à ce qu'on garantisse qu'on saura détecter et identifier une panne et/ou une dérive avant que les attitudes n'atteignent une limite maximum requise par un opérateur, typiquement de quelques degrés. [0063] Un autre avantage de l'unité de référence inertielle selon l'invention est sa capacité à fournir des données inertielles fournies ordinairement par une unité de référence inertielle de secours de type IESI (« Integrated Electronic Standby Instrument »). Ainsi cela permet de supprimer la partie inertielle de l'IESI Brève description des figures [0064] D'autres caractéristiques et avantages de l'invention apparaîtront à l'aide de la des- cription qui suit, donnée à titre illustratif et non limitatif, faite en regard des figures annexées parmi lesquelles : [0065] [fig.1[ représente une architecture avionique connue de type « triplcx » ; [0066] [fig.2] représente une architecture avionique connue de type « quadruplex » ; [0067] [fig.3] illustre un exemple d'unité de référence inertielle selon l'invention ; [0068] [fig.4] illustre un algorithme de contrôle d'une unité de référence inertielle selon l'invention ; [0069] [fig.SA] et [0070] [fig.SB] illustrent deux exemples de paramètres temporels définis dans l'algorithme de contrôle de la figure 4 ; 12 100711 Ifig.61 est une courbe représentant un biais de verticale en fonction du temps ; [0072] [fig.7] est une courbe représentant une erreur d'attitude au moment de la détection d'une dérive de vitesse angulaire ; [0073] [fig.8] illustre un premier exemple de système avionique comprenant trois unités de références inertielle selon l'invention ; [0074] [fig.9] illustre un deuxième exemple de système avionique comprenant deux unités de références inertielle selon l'invention et deux autres unités de références inertielle. Description détaillée de l'invention [0075] Les figures 1 et 2 sont été décrites plus avant et ne seront pas reprises ici. [0076] L'invention concerne une unité de référence inertielle pour la fourniture et la sur- veillance de paramètres de vol d'un aéronef [0077] La figure 3 représente un exemple d'unité de référence inertielle selon l'invention. [0078] L'unité de référence inertielle illustrée, désignée URI, est composée de : - une première voie de mesure VI comportant : . une première unité de mesure inertielle UMI I de haute performance qui comprend des premiers moyens de mesure de forces spécifiques et des premiers moyens de mesure de vitesses angulaires ; . une première unité de calcul CPU I couplée à la première unité de mesure inertielle et comprenant une première fonction de traitement inertiel IP I apte à réaliser des calculs de données inertielles pures à partir des informations de la première unité de mesure ; . un premier bloc d'alimentation PSU I capable de recevoir au moins deux entrées d'alimentation, par exemple deux entrées 28 V (une alimentation principale et une alimentation de secours ou « back-up ») ; - une deuxième voie de mesure V2 comportant : .une deuxième unité de mesure inertielle UMI2 de performance inférieure à la première unité de mesure inertielle, par exemple de moyenne ou de basse performance, et qui comprend des deuxièmes moyens de mesure de forces spécifiques et des deuxièmes moyens de mesure de vitesses angulaires ; . une deuxième unité de calcul CPU2 couplée à la deuxième unité de mesure inertielle et comprenant une deuxième fonction de traitement inertiel IP2 apte à réaliser des calculs de données inertielles pures à partir des informations de la deuxième unité de mesure ; . un deuxième bloc d'alimentation PSU2 capable de recevoir au moins deux entrées d'alimentation, par exemple deux entrées 28 V (une alimentation principale et une alimentation de secours ou « back-up »); - une fonction de contrôle d'intégrité CTR, apte à implémenter un procédé de 13 contrôle d'intégrité de la première voie de mesure inertielle V1 à partir des données inertielles fournies par la deuxième voie de mesure V2 et éventuellement d'une information de verticale ; - des moyens pour fournir une information de verticale à la fonction de contrôle d'Integrite CTR ; - les première et deuxième unités de mesure inertielle étant montées mécaniquement de manière solidaire entre elles dans l'unité de référence inertielle de manière à mesurer les mêmes mouvements. [0079] L'unité de référence inertielle comprend en outre un moyen de synchronisation des mesures des première et deuxième unités de mesure inertielle, qui peut être un bloc de calcul implanté dans la première ou la deuxième unité de calcul, ou implémenté dans la fonction de contrôle. [0080] En particulier, la fonction de contrôle d'intégrité CTR est apte à implémenter un procédé de contrôle d'intégrité de la première unité de mesure inertielle UMII. [0081] Dans l'exemple illustré, l'unité de référence inertielle comprend un boîtier, et les première et deuxième unités de mesure inertielle sont montées mécaniquement de manière solidaire dans ledit boîtier. [0082] La première fonction de traitement inertiel IP1 (resp la deuxième fonction de traitement inertiel IP2) est implantée dans la première unité de calcul CPU1 (resp dans la deuxième unité de calcul CPU2). [0083] Dans l'exemple illustré, la fonction de contrôle d'intégrité CTR est implantée dans le boîtier de l'unité de référence inertielle URI et plus précisément dans la deuxième unité de calcul CPU2. En effet, étant donné que la fonction de contrôle d'intégrité doit fournir une information d'intégrité de la première voie de mesure VI, il est souhaitable qu'elle ne soit pas implantée dans ladite voie de mesure à contrôler. [0084] Alternativement, une première fonction de contrôle d'intégrité peut être implantée dans la première unité de calcul CPUI et une deuxième fonction de contrôle peut être implantée dans la deuxième unité de calcul CPU2. Les première et deuxième fonctions de contrôle d'intégrité peuvent communiquer entre elles. Cela permet de contrôler en plus une défaillance potentielle du calculateur CPU2 alors qu'on a déjà détecté une panne sur la première voie de mesure inertielle. [0085] Plus généralement, l'unité de référence inertielle URI peut comprendre plusieurs fonctions de contrôle d'intégrité qui peuvent communiquer entre elles. [0086] Les première et deuxième unités de calcul peuvent être des cartes embarquées comprenant un microprocesseur. En particulier, le choix de la première unité de calcul (robustesse, intégrité, résolution ...) est de préférence calé sur la performance de la première unité de mesure. [0087] Les première et deuxième unités de calcul, et notamment les première et deuxième 14 fonctions de traitement inertiel, sont de préférence dissemblables. [0088] L'information de verticale peut être une position verticale, une vitesse verticale ou une accélération verticale. Parmi les capteurs aptes à mesurer une telle information, on peut citer les baro-altimètres, les radioaltimètres, des accéléromètres précis en vertical, des sondes de vitesse verticale. De tels capteurs ne sont généralement pas disposés dans l'unité de référence inertielle mais sont positionnés dans des endroits adaptés sur l'aéronef. Si l'unité de référence inertielle est du type ADIRU c'est-à-dire avec des données aérodynamiques, alors de tels capteurs sont couplés à l'unité de référence inertielle. [0089] Les moyens pour fournir l'information de verticale sont par exemple des liaisons Arinc429, Arinc664 ou des bus spécifiques. [0090] De préférence, l'information de verticale est considérée comme consolidée en amont, c'est-à-dire qu'elle peut être utilisée sans avoir besoin de la contrôler. [0091] De préférence, la deuxième unité de mesure inertielle s'est auto-surveillée, notamment en alignement, préalablement à l'utilisation des données fournies. L'auto-surveillance est avantageusement réalisée lorsque l'aéronef est statique, typiquement au sol. [0092] De même, la première unité de mesure inertielle s'est de préférence préalablement auto-surveillée. Elle peut notamment envoyer à la deuxième unité de mesure inertielle l'information que l'aéronef est statique, permettant ainsi à cette dernière de lancer son auto-surveillance. [0093] En outre, comme les moyens aptes à fournir des informations de verticale, la première unité de mesure et la deuxième unité de mesure sont généralement dissemblables, une panne de mode commun est évitée. Et en outre, la probabilité pour que l'on ait en même temps au moins deux équipements en panne parmi l'information de verticale, la première unité de mesure inertielle et la deuxième unité de mesure inertielle est très faible et inférieure à la probabilité de panne non détectée recherchée. [0094] Dans l'exemple illustré, chaque unité de mesure inertielle comprend trois capteurs de type accéléromètres fournissant les forces spécifiques et trois capteurs de type gyromètres fournissant les vitesses angulaires. Alternativement, les capteurs peuvent être des gyroscopes à la place des gyromètres. [0095] Selon l'exemple illustré, les flux circulants entre les unités et/ou les fonctions sont : - Flux 1 (entre UMI1 et IP1) : horloge de l'UME, incréments gyrométriques UMII, incréments accélérométriques UME, information d'état status information » en anglais) des incréments gyrométriques et accélérométriques de l'UMI1 ; - Flux 2 (entre UMI2 et IP2) : horloge de l'UMI2, incréments gyrométriques UMI2, incréments accélérométriques UMI2, information d'état des incréments gyrométriques et accélérométriques de l'UMI2 ; - Flux 3 (entre l'IP1 et CTR) : données inertielles pures de la première voie de mesure, notamment les attitudes (roulis R1, tangage Tl, cap Cl), les forces spécifiques, les vitesses angulaires, la gravité estimée, la force de Coriolis calculées dans l'IP1 à partir des données émises sur le flux 1 ; - Flux 4 (en sortie de l'IP1 vers les équipements utilisateur de l'aéronef) : données inertielles pures de la première voie de mesure, notamment les attitudes (roulis R1, tangage T1, cap Cl) calculées dans l'IP1 à partir des données émises sur le flux 1 et qui doivent être identiques aux attitudes Cl, R1, T1 émises sur le flux 3 ; - Flux 5 (en sortie de l'TP2 vers CTR) : données inertielles pures de la deuxième voie de mesure, notamment les attitudes (roulis R2, tangage T2, éventuellement cap C2), les forces spécifiques, les vitesses angulaires calculées dans l'1P2 à partir des données émises sur le flux 2 ; - Flux 6 (vers CTR) : transmission des informations de verticale ; - Flux 7 (en sortie de CTR) : données inertielles pures de la première voie de mesure V1 avec statut de consolidation émis par la fonction de contrôle CTR, données inertielles pures de la deuxième voie de mesure V2. [0096] Les flux circulent entre les unités et/ou les fonctions par exemple des liaisons Arinc429, Arinc664 ou des bus spécifiques. [0097] Les équipements utilisateurs sont par exemple des unités de commande pour la commande de moteurs ou de gouvernes, des systèmes d'affichage, pour l'affichage de paramètres de vols, par exemple dans un cockpit de l'aéronef, ou d'autres unités de référence inertielles. [0098] Les données associées aux flux contiennent de préférence un mécanisme de contrôle numérique des données tel un CRC (pour « Code Redondance Cyclique). Bien qu'il existe d'autres moyens que le CRC pour contrôler numériquement des données, comme par exemple une somme de contrôle, on désignera par raccourci un tel contrôle par le terme CRC. Un CRC peut être réalisé pour un groupe de données ou pour chaque donnée prise séparément. Si le CRC ne correspond pas aux données, les données sont invalidées par l'utilisateur. Ceci permet de contrôler la corruption d'une donnée sur une liaison. [0099] Les données peuvent être invalidées fonctionnellement également. Par exemple, si la force spécifique est calculée au-delà d'un seuil raisonnable elle peut être invalidée. Chaque donnée a une validité et cette donnée peut être invalidée par un contrôle de CRC notamment mais aussi par d'autres contrôles. [0100] L'invention concerne également un procédé de contrôle de l'intégrité de la première voie de mesure de l'unité de référence inertielle dont deux exemples sont donnés dans ce qui suit. Le procédé de contrôle de l'intégrité peut être sous la forme d'un algorithme. C'est pourquoi par la suite, ledit procédé illustré en figure 4 pourra être 16 désigné par « algorithme de contrôle ». [0101] La fonction de contrôle d'intégrité CTR est apte à implémenter le procédé selon l'invention de contrôle de l'intégrité de la première voie de mesure de l'unité de référence inertielle, et en particulier l'intégrité de la première unité de mesure inertielle. [0102] Plus précisément, la fonction de contrôle d'intégrité est apte à implémenter le procédé de contrôle d'intégrité qui comprend les étapes suivantes : - une première étape de fourniture d'une donnée inertielle issue de la deuxième voie de mesure et consolidée ; - une deuxième étape de détermination d'une première valeur de comparaison entre une donnée inertielle issue de la première voie de mesure et une donnée inertielle issue de la deuxième voie de mesure et consolidée ; - une troisième étape de comparaison de la première valeur de comparaison avec un premier seuil, une valeur supérieure audit premier seuil permettant de détecter un défaut d'intégrité. [0103] Description d'un premier exemple d'algorithme de contrôle (M2). [0104] Les entrées de l'algorithme de contrôle décrit sont : - les attitudes (cap CI, roulis R1, tangage Tl) calculées par l'IP1 et présentes dans le flux 3; - les forces spécifiques mesurées par l'UMI1 notées Fal Fhl, Fcl (selon les trois axes de l'UMII) présentes dans le flux 3 ; - la gravité estimée GRAV : elle peut être associée à la position estimée par IP1 et être présente sur le flux 3 ; - éventuellement, la force de Coriolis Fc.,,ions ; - une information de verticale, par exemple une altitude ou position verticale désignée Zb, fournie dans le flux 6 ; - les vitesses angulaires mesurées par l'UME désignées Val, Vb1, Vc1 (selon les trois axes de l'UMI1) fournies par IP1 dans le flux 3 ; - les forces spécifiques mesurées par l'UMI2 fournies par IP2 dans le flux 5 (leurs projections dans le repère de l'UMII sont notées Fat, Fb2, Fc2) ; - les vitesses angulaires mesurées par l'UMI2 fournies par IP2 dans le flux 5 (leurs projections dans le repère de l'UMII sont notées Va2, Vb2, Vc2). [0105] Les projections dans le repère géométrique de l'UMII des vitesses angulaires et des forces spécifiques mesurées par l'UMI2 peuvent être réalisées dans la deuxième unité de calcul CPU2 ou dans la fonction de contrôle CTR (dans ce cas ce ne sont pas des données d'entrées) ou encore dans une autre fonction adaptée. Ces projections sont rendues possibles et fiables puisque les deux unités de mesure UMI1 et UMI2 sont montées mécaniquement de manière solidaire dans l'URI et qu'il n'y a donc pas de dé- 17 formation entre lesdites unités de mesure. [0106] L'estimation de la gravité GRAV en fonction de la position fournie par l'IP1 peut être réalisée à l'aide de modèle connus et publiés (modèles Somigliana, Cassinis, Jeffreys, Welmec...). Elle est de préférence calculée au niveau de l'IP1. Alternativement, elle peut être calculée dans la fonction de contrôle CTR (dans ce cas cc n'est pas une donnée d'entrée) ce qui nécessite de fournir à la fonction de contrôle la position fournie par la première unité de calcul, ou dans une autre fonction adaptée. [0107] Chaque donnée est de préférence fournie avec un indice de validité, par exemple « OUI » (valide), « NON » (non valide) ou « SANS » (pas d'indice fourni). [0108] Les sorties de l'algorithme de contrôle (flux 7) sont : - les données inertielles pures de la première voie de mesure, comprenant au moins des attitudes (cap Cl, roulis R1, tangage Tl) fournies avec leurs indices de validité (les mêmes données que celles présentes dans le flux 4) ; - un statut de contrôle des données inertielles pures de la première voie de mesure, par exemple : « OK », « KO » ou « non fait » ; - les données inertielles pures de la deuxième voie de mesure, comprenant au moins des attitudes (roulis R2, tangage T2, éventuellement cap C2) fournies avec leurs indices de validité (les mêmes données que celles présentes dans flux 5). [0109] Si une donnée est fournie avec un indice de non validité, le statut de consolidation est de préférence identifié comme « non fait ». [0110] L'algorithme de contrôle présenté, désigné par M2, est composé de deux blocs indé- pendants M21 et M22 qui sont exécutés à chaque cycle de calcul des données d'entrée. La durée d'un cycle peut être de l'ordre de quelques millisecondes, par exemple 10 ms. [0111] Le premier bloc M21 détecte les pannes gyrométriques d'amplitude élevée sur l'UMM Le second bloc M22 détecte les pannes gyrométriques d'amplitude faible sur l'UMM [0112] Description du premier bloc M21 : [0113] Le premier bloc a comme données d'entrées les vitesses angulaires des première et deuxième voies de mesure, soit Val, Vbl, Vc1 et Va2, Vb2, Vc2. [0114] Le principe de calcul du premier bloc M21 est décrit pour les vitesses angulaires des deux voies de mesure, données selon l'axe a (Val et Va2) sachant que les calculs sont à reproduire de manière identique pour les vitesses angulaires selon l'axe b Vb2) et l'axe c (Vcl, Vc2). [0115] Un test est également fait sur les accéléromètres, par exemple selon le même calcul que décrit par la suite. Il est cependant à noter que ce sont les gyromètres qui entraînent rapidement des erreurs d'attitudes. Pour les accéléromètres, une surveillance (seuil) de l'ordre de quelques millig (mg) est suffisante, par exemple 10 mg. 18 [0116] Comme Va2 est une vitesse angulaire fournie par un capteur de moyenne ou de basse performance, elle comporte un biais. Dans l'exemple décrit, on prend le cas d'un capteur (gyromètre) de basse performance avec un biais estimé de l'ordre de 100°/h évoluant avec des constantes de temps de l'ordre de 300s. [0117] Le premier bloc comprend une première étape de suppression du biais. [0118] On calcule le biais de Va2, désigné Bv,2, en réalisant un premier filtre FT1 sur la différence entre Va2 et Val, soit : [0119] [Math.l] = FT1' (Va2-Va l ) [0120] Le premier filtre est un filtre passe bas, par exemple un filtre passe-bas avec une fréquence de coupure assurant une convergence de l'ordre de 100s. [0121] Le premier bloc comprend ensuite une deuxième étape d'application d'un second filtre au signal Zc(t) correspondant à la différence suivante : [0122] [Math.2] = Va2(t) - Val (t) - Bva2(t-Tb) Où Tb est le temps de biais [0123] Le second filtre FT2 est le suivant, réalisé sur une durée T : [0124] [Math.3] FT2 ( t ) fi; _ TZe(t)cit = Zcf(t) 101251 11 fournit une valeur de Zc(t) filtrée soit Zcf(t). 101261 Le temps de biais Tb est un intervalle de temps pendant lequel le biais d'un capteur de basse performance est constant. Le temps de biais Tb doit être supérieur à la durée de filtrage T. En effet, le filtre étant réalisé sur cette durée t, il faut au moins cette durée de filtrage T pour détecter une erreur sur la vitesse angulaire Val et il faut que pendant cette durée dc filtrage, la mesure du biais Bv', soit constante. [0127] Une dérive sur Val (t) détectée à la suite du filtrage se traduit par une erreur d'attitude égale à ladite dérive multipliée par la durée du filtrage. Pour une dérive de 200°/h et une durée de filtrage t de 50s, l'erreur détectée est de 2.7°. [0128] Si on se reporte à la figure SA, à chaque cycle de calcul t, on calcule le biais Bv',(0. On calcule également le signal Zc(t) à partir de Val (0, Va2(t) et dc la valeur mémorisée du biais au temps t-Tb soit By',(t-Tb). Si une panne détectable intervient au temps t, elle sera détectée au temps t-Ft. Il faut donc que le biais Bv',(t-Tb) calculé à partir de la vitesse angulaire Val (t-Tb) soit valide (c'est-à-dire estimée à partir de mesures pas encore erronées) de t à t+T. Il faut donc que Val soit valide entre t-Tb et tTb-Ft. Donc il faut que t-Tb+t soit situé avant t (au moment où la panne intervient) 19 donc que [0129] [Math.4] t-11)-1-7- [0132] Si au contraire, le temps de biais est inférieur à la durée de filtrage, on se retrouve dans le cas de la figure 5B pour lequel le calcul détaillé plus haut n'est plus valable. [0133] En outre, si dans le cas de la figure 5A, le temps de biais Th a été choisi trop élevé par rapport à la variation effective du biais, le calcul détaillé plus haut peut ne plus être valable. [0134] La durée de filtrage T est de l'ordre quelques dizaines de secondes afin de filtrer les bruits. Elle doit être inférieure au temps de biais. Plus Tb est grand, plus on peut augmenter la valeur de filtrage T et donc avoir un seuil de détection précis. Mais la valeur de Tb est liée aux instabilités des capteurs de la deuxième unité de mesure inertielle, instabilités souvent liées aux variations de température. Donc plus l'inertie thermique sera importante, plus la valeur de Tb pourra être augmentée. [0135] De préférence, on peut ajouter des moyens pour augmenter l'inertie thermique de la deuxième unité de mesure inertielle. Par exemple, il est possible d'ajouter une masse d'inertie à la deuxième unité de mesure ou de la stabiliser thermiquement. [0136] Un tel algorithme de contrôle ne peut être réalisé que si les deux unités de mesure sont mécaniquement solidaires entre elles de manière à mesurer les mêmes mouvements et les mêmes déformations. [0137] Par ailleurs, il faut que les données soient le plus synchrones possibles pour pouvoir être comparées entre elles efficacement (idéalement il faudrait que les mesures soient réalisées au même moment, ce qui est difficilement réalisable). Pour qu'elles soient le plus synchrones possible, il est avantageux que les première et deuxième unités de mesure soient dans un même boîtier. [0138] De préférence, une étape de synchronisation des mesures entre les première et deuxième unités de mesure est rajoutée. Par exemple, on peut synchroniser les horloges des première et deuxième unités de mesure. [0139] Le premier bloc comprend une troisième étape de comparaison de Zcf(t) avec un premier seuil Si, afin de contrôler si cette valeur est inférieure au seuil (dans ce cas, c'est le second bloc M22 décrit plus après qui contrôle la validité) ou supérieure audit seuil (donc invalide) : [0140] [Math.6] Zcf(t ) TZedt > S1 où SI est le premier seuil exprimé en 9h [0141] SI est par exemple égal à 200°/h ou à une valeur proche de 200°/h. [0142] Le premier seuil correspond également à la limite d'utilisation du premier bloc M21. En dessous de ce seuil, c'est le deuxième bloc M22 qui permet le contrôle. [0143] Description (lu deuxième bloc M22 : [0144] Le deuxième bloc a comme données d'entrée Fal, Fbl, Fcl, Cl, RI, Tl, Gray, Zb et éventuellement Forions. Dans l'exemple considéré, l'information de verticale Zb est une position verticale. [0145] Le deuxième bloc comprend une première étape de détermination d'une l'accélération verticale calcifiée dans un repère géographique terrestre à partir des données inertielles de la première voie de mesure (a minima les forces spécifiques et les attitudes), de la gravité déterminée à la position, voire de la force de Coriolis. L'accélération verticale calculée désignée AccZb est par exemple déterminée à l'aide de la formule suivante : 101461 IMath.71 Fal AccZb = Tgb (Cl, R1, Tl) + gray - FGoriolis Fcl où Tgb(CI,RI,T1) est la matrice de rotation permettant de passer du repère de la première unité de mesure IMU1 au repère géographique terrestre à l'aide des trois attitudes CI,RI,T1 issues de ladite première voie de mesure. [0147] La matrice de rotation Teb(CI,RI,T1) peut être déterminée dans le deuxième bloc M22 donc dans la fonction de contrôle CTR. Alternativement, elle peut être déterminée dans la deuxième unité de calcul CPU2 en dehors de la fonction de contrôle à condition que la distribution du flux 3 soit adaptée en conséquence. [0148] Le deuxième bloc comprend une deuxième étape de comparaison entre l'accélération verticale calculée AccZb et l'information de verticale Zb. [0149] Pour ce faire, l'accélération verticale calculée AccZb et la position verticale Zb dérivée deux fois sont filtrées par un troisième filtre FT3 passe-bas, par exemple un filtre passe-bas d'ordre 3, et comparées pour en déduire un biais de verticale B'. [0150] On peut utiliser la transformée de Laplace pour exprimer le filtrage. Le biais de verticale B' est alors déterminé par la formule : [0151] [Math.8] BZb = FT3 ( acczb - p2.Zb ) Où p2.Zb exprime le calcul de l'accélération en fonction de l'information de verticale 21 Zh. [0152] Dans l'exemple considéré, Zh est une position et est donc dérivée deux fois (p2). [0153] Alternativement, Zh peut être une vitesse verticale et être dérivée une fois : dans ce cas on considère p.Zr au lieu de p2.Zr [0154] Alternativement, Zh peut être une accélération et dans ce cas, elle n'est pas dérivée et on considère Zr au lieu de p2.Zr. [0155] Le troisième filtre FT3 peut s'exprimer de la manière suivante : [0156] [Math.9] FT3 -G3 133 + Glp 2 + G2p + G3 101571 Les coefficients 01, G2 et G3 du troisième filtre permettent de régler la bande passante dudit troisième filtre. 101581 Le deuxième bloc comprend une troisième étape de comparaison du biais de verticale Bzb à un deuxième seuil S2. 101591 De préférence, le deuxième seuil S2 prend en compte : - les facteurs d'échelle et le biais de Fl1M11 dont la somme peut être ramenée à 350 pg ; et/ou - les anomalies de gravité dont la somme peut être fixée à 500 µg ; et/ou - les erreurs liées à la mesure Zb ramenées en pg (via la dépendance entre l'altitude et la variation de gravité) dont la somme peut être fixée à 600 pg. 101601 Ainsi le deuxième seuil S2 peut être fixé à 1,5 mg. 11 peut être fixé plus bas ou plus haut autour de cette valeur. 11 doit être ni trop faible pour éviter d'avoir des fausses alarmes, ni trop élevé pour éviter de détecter une panne ou une dérive trop tard. 101611 A titre d'exemple, si une dérive d de vitesse angulaire est égale à 200°/h sur un capteur, engendrant une erreur de roulis RI et si on suppose que le cap Cl et le tangage Tl sont nuls, alors l'erreur de roulis est égale à : 101621 IMath.101 R1=dxt Où t est le temps qu'il faut pour détecter l'erreur. [0163] On suppose par ailleurs que l'avion est réellement à plat donc les forces spécifiques Fl (Fa 1 , Fbl, Fcl) valent : [0164] [Math.11] 0 F1 = 0 - gray 101651 L'accélération verticale calculée est alors donnée par la formule : 101661 [Math.12] 0 .A ccZb - Tgb (0, cil, 0). 0 + gray - gray [0167] Et la matrice de rotation est donnée par la formule : [0168] [Math.13] 1 0 0 Tgb( 0, cil, 0) = 0 cos (R1) - sin (R1) 0 sin (Ri) cos (R1) [0169] Enfin, on suppose que la position verticale Zb est fixe donc, on obtient : [0170] [Math.14] p2.Zb= 0 [0171] Et la vitesse est nulle, donc la force de Coriolis est nulle. Ainsi l'accélération verticale calculée est donnée par la formule : [0172] [Math.15] AccZb = -cos (R1 )grav + gray [0173] Et le biais de verticale est donné par la formule : [0174] [Math.16] Bzb = F(-cos (R1)grav+ gray) [0175] Si on trace le biais de verticale B71, (en mg) en fonction du temps, on obtient la courbe en figure 6. On voit par exemple que pour que 137,, dépasse 1,5 mg, il faut environ 95 secondes. Au bout de 95 secondes, l'erreur sur le roulis sera égale à : [0176] [Math.17] 95 x 200 ° / h a 5,3 ° [0177] Si maintenant avec un second seuil S2 égal à 1,5 mg, on fait varier la dérive d de la vitesse angulaire, on peut déterminer l'erreur d'attitude (« angular enor ») en degré au moment de la détection de la dérive d (« drift en-or ») exprimée en degré par heure comme illustré dans la courbe de la figure 7. [0178] On voit donc qu'avec un seuil à 1,5 mg on est capable de détecter des erreurs de vitesses angulaires de 200°/h menant au plus à des erreurs d'attitudes de 5,3°. [0179] Les premier et deuxième blocs M21 et M22 de l'algorithme sont implémentés en parallèle et ils permettent ainsi de détecter tout le domaine d'erreur de vitesse angulaire, selon qu'elle est inférieure au premier seuil ou supérieure ou égal audit premier seuil. [0180] On peut en outre fixer certains paramètres de l'algorithme, comme le premier seuil Si, le deuxième seuil S2, la durée de filtrage 'r, de manière à avoir des erreurs 23 d'attitudes à la détection ne dépassant pas une certaine limite d'erreur d'attitude, comme cela a été démontré plus avant (2,7° pour le premier bloc et 5,3° pour le deuxième bloc). [0181] L'algorithme de contrôle M2 sort un statut d'intégrité, de non intégrité ou de contrôle non fait qui peut être par exemple : - non intègre ou « KO » si l'un des seuils de M21 ou M22 est dépassé ; - intègre ou « OK » si aucun des seuils de M21 et M22 est dépassé - non fait si le contrôle n'a pas pu être réalisé, par exemple si une donnée n'est pas valide. [0182] L'algorithme de contrôle a l'avantage d'être simple à implémenter et rapide. Il exploite les informations et données qui sont généralement déjà présentes dans l'aéronef en ne mettant pas en oeuvre des calculs compliqués. Comme indiqué plus haut, il permet en outre, en fixant astucieusement certains paramètres dc l'algorithme, de ne pas dépasser une erreur limite d'attitude. Cela permet de garantir à un opérateur qu'on saura identifier si une panne est présente avant que les erreurs d'attitudes n'atteignent une limite imposée. [0183] Enfin, pour contrôler les calculs réalisés par la première unité dc calcul, les calculs d'attitudes du cycle courant de la première voie de mesure seront reproduits par la deuxième unité de calcul en utilisant les attitudes du cycle de calcul précédent et les vitesses angulaires du cycle de calcul courant, le tout étant fourni via le flux 3. Les attitudes du cycle courant de la première voie de mesure seront alors comparées aux attitudes reproduites par la deuxième voie de calcul. Le seuil de comparaison est égal à la précision des unités de calcul des deux voies. [0184] Description d'un deuxième exemple d'algorithme de contrôle [0185] Une alternative au premier exemple d'algorithme à deux blocs présenté plus haut est un algorithme qui calcule les attitudes de l'avion de la même façon dans les première et deuxième unités de calcul IP I et IP2 à partir des données fournies par les première et deuxième unités de mesure UMI1 et UMI2. On compare alors les attitudes vis-à-vis d'un seuil en prenant en compte notamment l'asynchronisme entre les calculs d'attitudes. La différence des attitudes calculées n'est alors due qu'à un défaut de capteur qu'on peut ainsi identifier. [0186] Un tel algorithme ne nécessite pas d'information de verticale. [0187] Il peut subir les biais de la seconde unité de mesure, qu'il est possible de supprimer en amont de l'algorithme par une méthode analogue à l'étape de suppression du biais du premier bloc présentée plus avant. [0188] Néanmoins, un tel algorithme présente l'inconvénient de devoir développer une ap- plication de calcul d'attitudes dans les deux unités de calcul car généralement les calculs d'attitudes réalisés pour les unités de mesure inertielle de haute performance et 24 ceux réalisés pour les unités de de mesure inertielle de moyenne et de basse performance ne sont pas les mêmes. [0189] Dans les deux exemples d'algorithme, et de manière plus générale, au lieu de trois gyromètres et trois accéléromètres, il est possible d'utiliser un seul gyromètre et un seul accéléromètre dans la deuxième unité de mesure UMI2 en plaçant le gyromètre sur la trisectrice des gyromètres de la première unité de mesure UMII, et l'accéléromètre sur la trisectrice des accéléromètres de la première unité de mesure UMI1 . Cela permet une économie de capteurs, un poids et un encombrement moindres pour la deuxième unité de mesure. Un inconvénient est qu'une panne de deux gyromètres ou de deux accéléromètres sur l'UME peut ne pas être vue par le gyromètre ou l'accéléromètre de l'UMI2. Par ailleurs, comme seule une projection de la panne est vue, cela nécessite en général de rehausser les seuils avec pour conséquence de détecter une panne plus tardivement, et cela rend donc la fonction de contrôle moins sensible. Par ailleurs, dans ce cas, la deuxième unité de mesure ne peut plus fournir des informations inertielles en remplacement d'un équipement de secours dédié (de type lES! ou Standhy). [0190] L'invention concerne également un système avionique pour l'aide au pilotage et/ou à la navigation d'un aéronef qui comprend plusieurs unités de référence inertielle selon l' invention. [0191] Les figures 8 et 9 illustrent deux exemples de systèmes avioniques comprenant plusieurs unités de référence inertielle selon l'invention. En outre, des calculs de comparaison sont réalisés entre les unités de référence inertielle d'un système. [0192] Dans les deux exemples de systèmes avioniques et de manière générale, les calculs de comparaison entre les unités de référence inertielle peuvent être faits dans un ou plusieurs calculateurs ou par une ou plusieurs fonctions au sein d'un calculateur. En outre, les calculs de comparaison peuvent être implémentés soit au sein des unités de référence inertielle, soit dans le système à l'extérieur des unités de référence inertielle. L'avantage de faire les calculs de comparaison au sein des unités de référence inertielle est de permettre une consolidation à la source. L'avantage de faire les calculs de comparaison à l'extérieur est d'éviter les liaisons entre les unités de référence inertielle, et également de favoriser l'évitement d'un mode commun de panne entre les unités de référence inertielle qui sont identiques entre elles. Dans la suite de la description (correspondant aux figures 8 et 9), on considère un seul calculateur de comparaison par système, désigné CC, disposé à l'extérieur des unités de référence inertielle. [0193] La figure 8 illustre un premier exemple de système avionique comprenant trois unités de référence inertielle selon l'invention, désignées URII, URI2, URI3, ainsi qu'au moins un calculateur de comparaison CC. [0194] Chaque unité de référence inertielle URII, URI2, URI3 comprend une première voie de mesure V1 -1, VI-2, VI-3 qui comprend : - une première unité de mesure UMI1-1, UME -2, UMI1 -3 de haute performance, - une première unité de calcul CPU1-1, CPU1-2, CPU1-3 comprenant une première fonction de traitement inertiel IP1-1, IPI-3 ; - un premier bloc d'alimentation électrique PSU1 -1, PSU1-2, PSU1-3. [0195] Chaque unité de référence URIE URI2, URT3 comprend en outre une deuxième voie de mesure V2-1, V2-2, V2-3 qui comprend : - une deuxième unité de mesure UMI2-1, UMI2-2, UMI2-3 de moyenne ou basse performance ; - une deuxième unité de calcul CPU2-1, CPU2-2, CPU2-3 comprenant une deuxième fonction de traitement inertiel IP2-1, IP2-2, 1P2-3 ; - une fonction de contrôle d' integnte CTR1, CTR2, CTR3 ; - un deuxième bloc d'alimentation électrique PSU2-1, PSU2-2, PSU2-3. [0196] Chaque unité de référence comprend en outre des moyens pour fournir une in- formation de verticale à la fonction de contrôle d'intégrité. [0197] Les attitudes fournies par les premières unités de calculs (dans les flux 4) sont désignées C11, R11 et T11 pour PURE ; C12, R12 et T12 pour PURI2 ; et C13, R13 et T13 pour l'URI3. Toutes les données sont fournies avec leur validité et un CRC. [0198] Les attitudes fournies par les deuxièmes unités de calculs (dans les flux 5) sont désignées C21, R21 et T21 pour l'URIl ; C22, R22 et T22 pour l'URI2 ; et C23, R23 et T23 pour l'URI3. Toutes les données sont fournies avec leur validité et un CRC. [0199] Les flux 7 contiennent les données des flux 4 et 5 ainsi le statut de la fonction de contrôle (statut de consolidation). Les flux 4 et 7 sont dirigés vers des équipements utilisateur de l'aéronef [0200] Un équipement utilisateur peut être une commande (le vol électriques, un pilote au- tomatique, un flight management, un affichage cockpit, ou une autre unité de référence inertielle ... [0201] Lorsque les trois unités de référence inertielle sont disponibles, le calculateur de comparaison CC réalise une comparaison (« cross-check ») entre les données d'attitudes entre elles, à savoir les données de cap C11, C12 et C13, les données de roulis R11, R12 et R13, et les données de tangage T11, T12 et T13. Cela est suffisant pour déterminer si une unité de référence inertielle est en panne (avec l'hypothèse d'une seule panne). [0202] De préférence, le cross-check est réalisé à l'aide de plusieurs calculateurs de com- paraison afin d'assurer une redondance. [0203] Un exemple de cross-check est détaillé ci-après, en considérant le cap, sachant qu'il est repris également pour le roulis et le tangage (les seuils définis ne seront pas nécessairement les mêmes). Ainsi on compare entre elles les données de cap fournies par les 26 trois unités de référence inertielle URII, URI2, URI3 (données par les premières voies de mesure, c'est à dire haute performance) et on vérifie si un a une des séries d'inégalités suivantes. [0204] [Math.18] - Clk Sc et Clk - Cli > Sc j et k ont des valeurs différentes entre elles, et peuvent chacun être égal à 1, 2 ou 3 et où Sc est le seuil pour le cap. [0205] Dans le cas indiqué dans la formule Math.18, les données de FURli sont invalidées en sortie. [0206] Lorsque seulement deux unités de référence inertielle sont disponibles, on peut toujours détecter une panne en consolidant les données des deux unités disponibles niais on ne sait plus voter pour déterminer laquelle est en panne. Dans ce cas, on peut utiliser une ou plusieurs parmi les fonctions de contrôle CTR1, CTR2, CTR3 afin de déterminer quelle unité de référence inertielle est en panne. Dans le pire des cas, la main est rendue au pilote (mode direct) qui pourra utiliser les sorties calculées à partir d'une deuxième unité de mesure inertielle UMI2-1, UMI2-2, UM12-3. [0207] La figure 9 illustre un deuxième exemple de système avionique comprenant deux unités de référence inertielle selon l'invention URII et URI2 et deux unités de référence inertielle de conception différente URI4 et URI5. Ainsi on a deux paires d'unités de référence inertielle dissemblables, ce qui évite des pannes de mode commun entre elles. [0208] On compare les attitudes C11, R1 1, T11 et C12, R12, T12 venant des deux unités de références inertielle URII et URI2 selon l'invention avec les attitudes C4, R4, T4 et C5, R5, T5 venant des deux autres unités de références inertielle URI4 et URSS avec par exemple le même calcul que pour le premier exemple de système. [0209] En cas d'incohérence sur un deux types d'unité de référence inertielle, on utilise les données du type d'unité de référence inertielle qui ne présente pas d'incohérence. [0210] En cas d'incohérence pour les deux types, on peut utiliser une ou plusieurs parmi les fonctions de contrôle CTR1, CTR2 afin de déterminer quelle unité de référence inertielle selon l'invention est en panne. [0211] Sauf indication contraire, les différents modes de réalisation peuvent être combinés entre eux. [0212] En outre, il faut comprendre que d'autres modes de réalisation peuvent être utilisés et notamment que des modifications logiques peuvent être effectuées. En outre, sauf indication contraire, les modes de réalisations présentés dans la description détaillée de l'invention ne doivent pas être interprétés comme limitant l'ordre des étapes. [0213] L'invention trouve son application dans l'aviation civile. 27 [Revendication 1] [Revendication 2] [Revendication 3] REVENDICATIONSUnité de référence inertielle (URI) pour la fourniture et la surveillance de paramètres de vol d'un aéronef comprenant - une première voie de mesure (VI) comportant : - une première unité de mesure inertielle (UMI1) de haute performance comprenant des premiers moyens de mesure de forces spécifiques et des premiers moyens de mesure de vitesses angulaires, - une première unité de calcul (CPU I ) couplée à la première unité de mesure inertielle (UM I 1) et comprenant une première fonction de traitement inertiel (W1) apte à réaliser des calculs de données inertielles pures à partir des mesures de ladite première unité de mesure ; - une deuxième voie de mesure (V2) comportant : - une deuxième unité de mesure inertielle (UMI2) de performance inférieure à la première unité de mesure inertielle (UMII) et comprenant des deuxièmes moyens de mesure de forces spécifiques et des deuxièmes moyens de mesure de vitesses angulaires ; - une deuxième unité de calcul (CPU2) couplée à la deuxième unité de mesure inertielle (UMI2) et comprenant un deuxième module de traitement inertiel (W2) apte à réaliser des calculs de données inertielles pures à partir des mesures de ladite deuxième unité de mesure ; - une fonction de contrôle d'intégrité (CTR) apte à implémenter un procédé de contrôle d'intégrité des données de la première voie de mesure (V1) à partir des données fournies par la deuxième voie de mesure (V2) ; - un moyen de synchronisation des mesures des première et deuxième unités de mesure inertielle ; les première et deuxième unités de mesure inertielle étant montées mécaniquement de manière solidaire entre elles dans l'unité de référence inertielle (URI). Unité de référence inertielle selon la revendication 1 comprenant en outre (les moyens pour fournir une information de verticale à la fonction de contrôle d'intégrité (CTR), ladite fonction de contrôle d'intégrité (CTR) étant apte à implémenter un procédé de contrôle d'intégrité des données de la première voie de mesure (VI) à partir des données fournies par la deuxième voie de mesure (V2) et de ladite information de verticale. Unité de référence inertielle selon l'une des revendications 1 ou 2, la 28 [Revendication 4] [Revendication 5] [Revendication 6] [Revendication 7] [Revendication 8] [Revendication 9] [Revendication 10] [Revendication 11] deuxième unité de mesure inertielle (UMI2) étant de moyenne ou de basse performance, de préférence de basse performance. Unité de référence inertielle selon l'une des revendications 1 à 3, les premiers et seconds moyens de mesure des forces spécifiques comprenant des accéléromètres, de préférence un accéléromètre par axe. Unité de référence inertielle selon l'une des revendications 1 à 4, les premiers et seconds moyens de mesure des vitesses angulaires comprenant des gyromètres, de préférence un gyromètre par axe. Unité de référence inertielle selon l'une des revendications 1 à 5, la première voie de mesure (V1) comprenant en outre un premier bloc d'alimentation électrique (PSUI) et la deuxième voie de mesure (V2) comprenant en outre un deuxième bloc d'alimentation électrique (PSU2). Unité de référence inertielle selon l'une des revendications 2 à 6, l'information de verticale fournie étant une position verticale, une vitesse verticale ou une accélération verticale. Procédé de contrôle de l'intégrité de la première voie de mesure (V1) d'une unité de référence inertielle (URI) choisie selon l'une des revendications 1 à 7, ledit procédé étant mis en oeuvre dans la fonction de contrôle d'intégrité (CTR) de ladite unité de référence inertielle et comprenant les étapes suivantes : - une première étape de fourniture d'une donnée inertielle issue de la deuxième voie de mesure (V2) et consolidée ; - une deuxième étape de détermination d'une première valeur de comparaison entre une donnée inertielle issue de la première voie de mesure (VI) et une donnée inertielle issue de la deuxième voie de mesure (V2) et consolidée ; - une troisième étape de comparaison de la première valeur de comparaison avec un premier seuil (S1), une valeur supérieure audit premier seuil permettant de détecter un défaut d'intégrité. Procédé selon la revendication 8, comprenant en outre une étape de synchronisation des mesures entre les première et deuxième unités de mesure de l'unité de référence inertielle. Procédé selon l'une des revendications 8 ou 9, comprenant en outre une étape préalable d'auto-surveillance en alignement statique de la première unité de mesure inertielle et de la deuxième unité de mesure inertielle. Procédé selon l'une des revendications 8 à 10, la première étape 29 [Revendication 12] [Revendication 13] [Revendication 14] [Revendication 15] [Revendication 16] [Revendication 17] comprenant une étape de correction de la donnée inertielle issue de la deuxième voie de mesure (V2) de manière à obtenir une donnée inertielle consolidée. Procédé selon la revendication 11, l'étape de correction étant réalisée en utilisant une donnée inertielle issue de la première voie de mesure (V1), par exemple en appliquant un premier filtre (FTI) à la différence entre la donnée inertielle issue de la deuxième voie de mesure (V2) et la donnée inertielle issue de la première voie de mesure (V1), ladite étape de correction étant décalée temporellement par rapport à la deuxième étape. Procédé selon l'une des revendications 11 ou 12, l'étape de correction comprenant une étape de suppression du biais de la donnée inertielle issue de la deuxième voie de mesure (V2), ledit biais étant constant pendant un temps de biais (Th) donné, la deuxième étape étant réalisée dans ledit temps de biais (Tb). Procédé selon la revendication 13, la première valeur de comparaison étant obtenue par l'application d'un second filtre (FT2) à la différence entre la donnée inertielle issue de la deuxième voie de mesure (V2) et corrigée et la donnée inertielle issue de la première voie de mesure (V1), la durée du filtre (t) étant inférieure au temps de biais (Tb); et la troisième étape consistant en la comparaison du résultat du second filtre (FT2) avec le premier seuil (S1). Procédé selon l'une des revendications 9 à 14, les données inertielles comparées étant des données d'attitude, de vitesse angulaire, de force spécifique et/ou d'accélération. Procédé selon l'une des revendications 9 à 15, comprenant : - une quatrième étape de détermination d'une deuxième valeur de comparaison entre une accélération verticale calculée à partir de données inertielles issues de la première voie de mesure (V1) et une information de verticale, l'information de verticale étant par exemple une position verticale mesurée, une vitesse verticale mesurée, ladite information de verticale étant préalablement transformée en accélération verticale ou une accélération verticale mesurée; - une cinquième étape de comparaison de la deuxième valeur de comparaison avec un deuxième seuil (S2), une valeur supérieure audit deuxième seuil permettant de détecter un défaut d'intégrité. Procédé selon la revendication 16, la deuxième valeur de comparaison étant obtenue par l'application d'un troisième filtre (FT3) à la différence 30 entre l'accélération verticale calculée et l'accélération verticale issue de l'information de verticale ; - et la cinquième étape de comparaison consistant en la comparaison du résultat du troisième filtre (FT3) avec le deuxième seuil (52). [Revendication 18] Système avionique pour l'aide au pilotage et/ou à la navigation d'un aéronef comprenant au moins deux unités de référence inertielle (URI1, URI2) choisies selon l'une des revendications 1 à 7 et au moins un calculateur de comparaison (CC) apte à comparer une donnée inertielle délivrée par une première unité de référence inertielle et une donnée inertielle délivrée par une deuxième unité de référence inertielle. [Revendication 19] Système selon la revendication 18 comprenant trois unités dc référence inertielle (URI1, URI2, URI3) choisies selon l'une des revendications 1 à 7. [Revendication 20] Système selon la revendication 18 comprenant deux unités de référence inertielle (URI1, URI2) choisies selon l'une des revendications 1 à 7 et deux autres unités de référence inertielle (URI4, URIS). [Revendication 21] Système selon l'une des revendications 18 à 20, comprenant un moyen de mesure d'une information dc verticale, par exemple un haro-altimètre, un radioaltimètre, un accéléromètre en vertical, une sonde de vitesse verticale. [Revendication 22] Procédé de contrôle de l'intégrité d'un système avionique selon l'une des revendications 18 à 21 comprenant : - une première étape de comparaison d'une donnée inertielle délivrée par une première unité de référence inertielle et d'une donnée inertielle délivrée par une deuxième unité de référence inertielle, de manière à déterminer une panne d'une unité de référence inertielle ; et, si la première étape ne permet pas de pas discriminer l'unité de référence inertielle en panne, - une deuxième étape de mise en oeuvre du procédé de contrôle de l'intégrité selon l'une quelconque des revendications 8 à 17 pour au moins une unité de référence inertielle selon l'une des revendications 1 à 7.