FR 3141580 A1 20240503 FR 2211178 A 20221027 L’invention concerne un procédé de radiodiffusion de temps et de mesure d’intégrité pour un récepteur en lien radiofréquence avec au moins quatre balises terrestres de transfert de temps synchronisées, comprenant les étapes de : détermination (301) d’une pseudo-distance pour chaque balise, résolution (302) d’un algorithme optimisant un critère de maximum de vraisemblance résolvant les positions des balises, du récepteur et le décalage temporel du récepteur, calcul (303) d’une variable de test T et d’un seuil d’alerte associé (304), et levée d’une alerte lorsque le seuil est dépassé, et sinon détermination (305) d’un paramètre de non centralité de la variable de test T, et d’un biais minimum d’horloge (306) et de position (307) détectable pour chaque balise, détermination (308) d’une zone de protection sur le temps et comparaison avec une zone d’alerte. Equipement de radiocommunications mettant en œuvre le procédé et programme d’ordinateur associé. Figure pour l’abrégé : Fig. 3 Procédé de radiodiffusion de temps précis intègre L’invention se situe dans le domaine de la radiodiffusion d’une information de temps par voie radiofréquence depuis des balises terrestres, de façon à ce qu’un récepteur mobile ou semi-mobile puisse disposer d’un service temps, c’est-à-dire d’une heure synchronisée avec l’heure du réseau de balises. L’invention porte en particulier sur un procédé permettant de garantir la précision du service temps diffusé par le réseau de balises en présence de défaillance accidentelle (telle qu’un défaillance d’horloge d’une balise, une défaillance de synchronisation d’une balise ou une erreur de positionnement d’une balise) ou de malveillance (telle que le déplacement d’une balise réalisé de manière à perturber la mesure), ainsi que sur la levée d’alerte dès lors que l’intégrité du service temps ne répond plus à des normes établies. Le partage, entre plusieurs équipements, d’une référence de temps commune de bonne précision peut s’avérer indispensable. C’est le cas de manière générale dès lors qu’il est nécessaire de synchroniser des équipements, comme par exemple pour les transmissions radio multiplexées en temps (TDMA, sigle anglais pour Time Division Multiple Access , ou accès multiple à répartition dans le temps) ou étalées en code (CDMA, sigle anglais pour Code Division Multiple Access , ou accès multiple à répartition en code), ou utilisant l’étalement par saut de fréquence (FHSS, sigle anglais pour Frequency Hopping Spread Spectrum ). La précision recherchée dépend de l’application visée, mais un ordre de grandeur standard de la précision recherché est la microseconde ou moins. En règle générale, les équipements cherchant à déterminer un temps précis font appel au positionnement GNSS (sigle anglais pour Global Navigation Satellite Systems , ou système global de navigation par satellite), qui permet de déterminer précisément une position et une heure en mesurant une pseudo-distance avec au moins quatre satellites, les positions des satellites étant connues. Cependant, dans certains cas, la diffusion d’une heure par un réseau de satellites n’est pas possible. C’est le cas par exemple lorsque les conditions de visibilité des satellites sont mauvaises ou perturbées, que l’on ne dispose pas de moyens permettant de recevoir des signaux des satellites, ou lorsque l’on ne souhaite pas s’appuyer sur un réseau GNSS. Il est aussi possible de diffuser une information de temps précise par des voies filaires, mais cette solution n’est pas applicable dès lors que les équipements sont mobiles ou semi-mobiles (c’est-à-dire fixes mais déplaçables). Une autre solution consiste à transmettre un marquant horaire par trois balises terrestres de transfert de temps ou plus sur une voie radio. Dès lors que les balises sont précisément synchronisées (par des voies filaires ou des horloges de haute précision) et que leurs positions sont transmises ou connues de l’équipement cherchant à déterminer l’heure du réseau, il est possible de calculer une distance avec chaque balise et d’en déduire la position de l’équipement. Cette détermination se fait de manière comparable à un positionnement GNSS, par l’estimation de pseudo-distances avec chacune des balises, obtenues par mesure du temps de propagation, puis par multilatération à partir des pseudo-distances. Un des problèmes techniques objet de l’invention consiste à procurer un service temps précis, et à garantir son intégrité en détectant les défaillances accidentelles des balises (telles que la défaillance de l’horloge d’une balise ou ses problèmes de synchronisation avec les autres balises ou de localisation) ou les malveillances (tel que le déplacement d’une balise de transfert de temps). Le contrôle d’intégrité est une fonction très répandue dans le domaine du positionnement en navigation aérienne, avec des algorithmes de type RAIM (sigle anglais pour Receiver Autonomous Integrity Monitoring , ou surveillance autonome de l’intégrité du récepteur). Ces algorithmes s’appliquent à garantir le service position pour la navigation sur base GNSS (sigle anglais pour Global Navigation Satellite System , ou système de navigation global par satellite) face à des défaillances potentielles des horloges des satellites. Leur objectif est de fournir, dans un délai imposé, des alertes de disfonctionnement lorsque le système de positionnement ne satisfait plus aux exigences de précision de navigation, pour une probabilité de non détection et une probabilité de fausse alarme données. Ils permettent de déterminer une zone de protection 102 (aussi appelée zone d’intégrité) autour de l’aéronef, représentée sur la , définie par une protection HPL ( Horizontal Protection Level) selon l’axe horizontal et une protection VPL ( Vertical Protection Level) selon l’axe vertical. Au sein de la zone de protection, la position du porteur 101 est garantie avec une probabilité de non détection d’erreur et de fausse alarme donnée. Tant que le seuil d’alerte n’est pas franchi et que la zone de protection 102 est inférieure à une zone d’alerte (ou zone de confiance) 103, définie par une zone d’alerte horizontale HAL ( Horizontal Alert Limit) selon l’axe horizontal et une zone d’alerte verticale VAL ( Vertical Alert Limit) selon l’axe vertical, l’intégrité de la solution de positionnement est garantie. Lorsque le seuil d’alerte est franchi ou lorsque la zone de protection dépasse la zone d’alerte, l’intégrité de la mesure de positionnement n’est plus garantie dans les conditions spécifiées. Le RAIM GNSS s’appuie pour cela sur une analyse des pseudo-distances calculées auprès d’au moins 5 satellites pour une détection d’erreur, et d’au moins 6 satellites pour être en mesure de déterminer et rejeter le satellite défectueux. Les procédés de contrôle d’intégrité selon l’état de l’art, adaptés pour les systèmes de positionnement par satellite, s’appliquent au service de positionnement mais pas au service temps, ni à des défaillances reposant sur des biais de position des balises de transfert de temps (par exemple le déplacement malveillant d’une balise) en complément de défaillances reposant sur des biais d’horloge des balises de transfert de temps (suite par exemple à un dysfonctionnement ou à un leurrage). Un but de l’invention est donc de décrire un procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé, spécifiquement adapté au transfert intègre d’une heure par un réseau de balises, et pour lequel une zone de protection (sous forme d’un intervalle sur le décalage temporel estimé de l’horloge du récepteur) est définie par rapport à un éventuel de biais de position ou d’horloge d’une ou plusieurs balises de transfert de temps. A cet effet, la présente invention décrit un procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé pour un récepteur en lien radiofréquence avec au moins quatre balises terrestres de transfert de temps synchronisées diffusant chacune un message horaire comprenant un marquant horaire et une heure d’émission. Le procédé décrit comprend : une première étape de calcul d’un instant d’arrivée des messages horaires transmis par lesdites balises terrestres de transfert de temps, les positions des balises terrestres de transfert de temps étant connues par le récepteur ou transmises au récepteur, et de détermination d’une mesure de pseudo distance associée à chaque balise terrestre de transfert de temps, une deuxième étape de mise en œuvre d’un algorithme de résolution optimisant un critère de maximum de vraisemblance utilisant les pseudo-distances calculées à la première étape et résolvant conjointement les positions des balises terrestres de transfert de temps, la position du récepteur et le décalage temporel du récepteur, une troisième étape de calcul d’une variable de test T égale à la somme du carré des résidus des positions du récepteur et des balises terrestres de transfert de temps, pondérée par des variances des positions du récepteur et des balises terrestres de transfert de temps, une quatrième étape de détermination d’un seuil d’alerte sur la variable de test T en fonction d’une probabilité de fausse alarme Pfa donnée, et lorsque la variable de test T est supérieur ou égale au seuil d’alerte, de levée d’une alerte de perte d’intégrité, et sinon une cinquième étape de détermination d’un paramètre de non centralité λ de la variable de test T pour la probabilité de fausse alarme Pfa et pour une probabilité de détection Pd donnée, une sixième étape de détermination d’un biais minimum d’horloge détectable pour chaque balise terrestre de transfert de temps, à partir de la variable de test T et du paramètre de non centralité λ, une septième étape de détermination d’un biais minimum de position détectable pour chaque balise terrestre de transfert de temps, à partir de la variable de test T et du paramètre de non centralité λ, une huitième étape de détermination d’une zone de protection de l’information de décalage temporel du récepteur calculée lors de la deuxième étape, à partir des biais minimum détectables calculés lors de la sixième étape et de la septième étape du procédé, et de levée d’une alerte de perte d’intégrité lorsque ladite zone de protection est supérieure ou égale à une zone d’alerte. Selon différents modes de réalisation, l’algorithme utilisant un critère de maximum de vraisemblance mis en œuvre lors de la deuxième étape peut être un algorithme de Gauss-Newton ou un algorithme de Levenberg-Marquardt. Selon un mode de réalisation, la deuxième étape du procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé s’invention comprend : la construction d’un vecteur d’état comprenant une position estimée du récepteur, un décalage temporel estimé du récepteur, et des positions estimées des balises terrestres de transfert de temps, la construction d’un vecteur d’observation comprenant les positions connues ou transmises des balises terrestres de transfert de temps et les pseudo-distances calculées lors de la première étape, la construction d’un vecteur d’observation linéarisé comprenant un écart entre les positions connues ou transmises desdites au moins trois balises terrestres de transfert de temps et leurs positions estimées, et un écart entre les pseudo-distances calculées lors de la première étape et des pseudo-distances construites à partir des valeurs du vecteur d’état , la construction d’une matrice Jacobienne à partir du vecteur d’état et du vecteur d’observation tel que , etla résolution itérative du système, en calculant où est la pseudo-inverse à gauche de la matrice Jacobienne . Selon un mode de réalisation, la variable de test T calculée lors de la troisième étape du procédé selon l’invention suit une loi mathématique du . Selon un mode de réalisation du procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’invention, la huitième étape de détermination d’une zone de protection de l’information de décalage temporel comprend le calcul d’une erreur d’estimation maximum non détectable avec une probabilité supérieure ou égale à la probabilité de détection Pd d’un biais d’horloge ou de position d’une ou plusieurs des balises terrestres de transfert de temps. Selon un mode de réalisation du procédé selon l’invention dans lequel le récepteur est en lien radiofréquence avec N balises terrestres de transfert de temps synchronisées diffusant chacune un message horaire comprenant un marquant horaire et une heure d’émission, avec N supérieur ou égal à 5, lorsqu’une alerte de perte d’intégrité est levée lors de la quatrième étape ou lors de la huitième étape, le procédé selon l’invention est remis en œuvre successivement sur chaque sous ensemble de balises terrestres de transfert de temps de taille , avec , de manière à déterminer un sous-ensemble de balises terrestres de transfert de temps ne levant pas d’alerte d’intégrité afin d’identifier la ou les stations de transfert de temps affectées par un biais d’horloge ou un biais de position. L’invention porte également sur un équipement de radiocommunications en lien radiofréquence avec au moins quatre balises terrestres de transfert de temps synchronisées diffusant chacune un message horaire comprenant un marquant horaire et une heure d’émission. Cet équipement de radiocommunications comprend une chaîne radio configurée pour recevoir et interpréter le message horaire transmis par les balises. Il comprend en outre des moyens de calculs configurés pour mettre en œuvre un procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon un mode de réalisation de l’invention. L’invention porte également sur un programme d’ordinateur comprenant des instructions de code de programme pour l’exécution des étapes du procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon un mode de réalisation de l’invention lorsque ledit programme est exécuté sur un ordinateur. Enfin, l’invention porte sur un support d’enregistrement lisible par un ordinateur sur lequel est enregistré ce programme d’ordinateur. L’invention sera mieux comprise et d’autres caractéristiques, détails et avantages apparaîtront mieux à la lecture de la description qui suit, donnée à titre non limitatif, et grâce aux figures annexées, données à titre d’exemple. La illustre la définition d’une zone de protection de l’information de décalage temporel, et d’une zone d’alerte autour d’un aéronef. La représente une configuration opérationnelle dans laquelle peut être mis en œuvre le procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’invention. La représente schématiquement les étapes d’un procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon un mode de réalisation de l’invention. La donne un exemple de courbe de fausse alarme et de courbe de non détection pour une variable de test telle que celle définie dans le procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’invention. L’invention s’applique au cas d’un réseau de balises terrestres de transfert de temps dont la position est connue, éventuellement de manière imparfaite. Ce cas d’application est fréquent lorsqu’il s’agit de déployer un réseau de manière provisoire sur un site en l’absence de service GNSS, ou dans le cas de réseaux dits « ad-hoc » (réseau sans fil décentralisé ne s’appuyant pas sur une architecture fixe de points d’accès). Dans ces réseaux, chaque nœud peut jouer le rôle de balise de transfert de temps, et contribue ainsi à la synchronisation des autres nœuds du réseau. Les nœuds pouvant être mobiles ou déplaçables, leur position n’est pas nécessairement connue de manière très précise. La précision de l’heure diffusée peut alors ne pas atteindre les niveaux d’exigence souhaités, en particulier lorsque les nœuds sont distants, même lorsque les balises de transfert de temps sont parfaitement synchronisées. La représente une configuration d’équipements dans laquelle un procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’invention peut être mis en œuvre. Elle comprend un équipement de radiocommunications 201 cherchant à se synchroniser temporellement avec au moins quatre balises terrestres de transfert de temps 202 à 205 avec lesquelles il est en lien radio. Les balises terrestres de transfert de temps peuvent être mobiles ou fixes, et leurs positions connues de manière précise ou imparfaite. En théorie, les balises doivent être synchronisées très précisément, par exemple en embarquant des horloges de haute précision comme des horloges atomiques ou en étant raccordées à un réseau filaire ou un réseau radio dédié implémentant un mécanisme de synchronisation précis. Cependant, le procédé selon l’invention prend en compte les éventuelles imprécisions sur les positions des balises. Il permet également de détecter un éventuel biais d’horloge ou de position des balises de transfert de temps et, sous réserve que le nombre de balises soit suffisant, de rejeter cette ou ces balises. Par la suite, on considèrera que le réseau est plan, et que les inconnues portent uniquement sur des positions orthogonales x et y dans un plan horizontal, ce qui est une approximation généralement valable dans le cas de transfert de temps par des balises terrestres. Seules trois balises de transfert de temps sont alors nécessaires pour permettre à un équipement radio de récupérer une information de temps précise. Cependant, l’invention s’applique également en trois dimensions, en ajoutant la dimension z orthogonale à x et y, auquel cas un minimum de quatre stations est requis. L’ajout de stations de transfert de temps supplémentaires permet en outre d’améliorer la qualité de la détermination de l’heure, en lissant le bruit de mesure. De manière à permettre la détection de la présence d’une balise dont la position ou l’horloge est biaisée, le procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’invention nécessite au minimum une balise de transfert de temps supplémentaire, soit au moins 4 balises. Une balise supplémentaire, soit 5 balises de transfert de temps, permet d’identifier la balise de transfert de temps biaisée. Le procédé radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’invention consiste dans un premier temps à prendre en compte explicitement les positions des balises de transfert de temps dans un estimateur des moindres carrés afin d’estimer conjointement les positions des balises, la position du récepteur et son biais temporel par rapport au réseau de balises. Ensuite, les résultats de l’estimateur sont utilisés avec les mesures de pseudo-distance pour calculer une variable de test et la comparer avec un seuil d’alerte défini à partir d’un taux de fausse alarme spécifié. Lorsque le seuil n’est pas dépassé, il permet ensuite de calculer un rayon de protection associé au taux de fausse alarme et à une probabilité de détection ciblant spécifiquement le transfert de l’information de temps, puis de comparer ce rayon de protection avec un rayon d’alerte. Le rayon de protection est déterminé en quantifiant les biais minimums détectables sur la position ou l’horloge d’une ou plusieurs des balises de transfert de temps. Il permet donc : de détecter une éventuelle incohérence des mesures de pseudo-distance, pour une probabilité de fausse alarme donnée, et avec une probabilité de détection d’une défaillance donnée ; de rejeter les balises erronées (sous réserve de redondance suffisante des mesures), de garantir un intervalle de sécurité, ou zone de confiance, TAL (sigle anglais pour Time Alert Level , ou niveau d’alerte temporel) de l’information de temps, au sein de laquelle l’absence de détection de défaillance est garantie à la probabilité de détection près. Pour cela, le procédé selon l’invention identifie des défaillances susceptibles d’affecter le service de transfert de temps, construit les modèles de défaillance correspondants, puis met en œuvre un algorithme spécifique de contrôle d’intégrité adapté à la radiodiffusion d’une information de temps et aux modèles de défaillance identifiés. Il suppose l’existence d’une forme d’onde radio adaptée au besoin de transfert de temps par radiodiffusion, c’est-à-dire la transmission par les balises d’un message horaire et d’un top horloge périodique, que le récepteur radio à synchroniser sait recevoir et mesurer précisément. Le message horaire contient l’instant d’émission du top horloge, défini selon le temps de référence du réseau de balises. La position de chaque balise (potentiellement imprécise) peut être transmise dans le message horaire, mémorisée dans le récepteur, ou transmise au récepteur par une liaison de données. La représente schématiquement les étapes d’un procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon un mode de réalisation de l’invention. Il comprend les étapes suivantes : une étape 301 de mesures de pseudo-distances avec au moins quatre balises terrestres de transfert de temps, les positions des balises terrestres de transfert de temps étant connues par le récepteur ou transmises au récepteur, et de détermination d’une mesure de pseudo-distance PD i associée à chaque balise terrestre de transfert de temps, une étape 302 de mise en œuvre d’un algorithme de résolution optimisant un critère de maximum de vraisemblance utilisant les pseudo-distances PD i calculées à l’étape 301 et résolvant conjointement la position des balises terrestres de transfert de temps, la position du récepteur et le décalage temporel du récepteur par rapport aux balises terrestres de transfert de temps, une étape 303 de calcul d’une variable de test T égale à la somme du carré des résidus (vecteur de différences entre les mesures observées et les mesures prédites) des positions du récepteur et des balises terrestres de transfert de temps, pondérée par des variances des positions du récepteur et des balises terrestres de transfert de temps, une étape 304 de détermination d’un seuil d’alerte sur la variable T, en fonction d’une probabilité de fausse alarme donnée. Lorsque la variable T est supérieure ou égale au seuil d’alerte, une alerte de perte d’intégrité est levée, signifiant que l’une des balises est très probablement (relativement à la probabilité de fausse alarme) affectée par un biais d’horloge ou de position, et le procédé peut être stoppé à cette étape (pour le cycle considéré), une étape 305 de détermination d’un paramètre de non centralité de de la loi du suivie par la variable de test T pour la probabilité de fausse alarme donnée et pour une probabilité de détection donnée, une étape 306 de détermination d’un biais minimum d’horloge détectable pour chaque balise terrestre de transfert de temps, à partir de la variable de test T et du paramètre de non centralité , une étape 307 de détermination d’un biais minimum de position détectable pour chaque balise terrestre de transfert de temps, à partir de la variable de test T et du paramètre de non centralité λ, une étape 308 de détermination d’une zone de protection de l’information de décalage temporel du récepteur calculée lors de la deuxième étape 302, à partir des biais minimum détectables calculés aux étapes 306 et 307, et de comparaison de la zone de protection avec une zone d’alerte pour déterminer si la mesure de décalage temporel du récepteur est intègre. L’étape 301 est une étape habituelle pour l’homme du métier, qui consiste à détecter les tops de synchronisation dans les signaux transmis par les balises terrestres de transfert de temps pour déterminer un instant d’arrivée du signal, et à les confronter avec leurs instants d’émission, transmis dans le message horaire contenu dans le signal, afin de calculer une différence de temps, et par conséquent une pseudo-distance entre le récepteur et les balises terrestres de transfert de temps avec lesquelles il est en lien radio. Les mesures des instants d’arrivée des marquants horaires suivent une loi normale , avec l’écart-type sur les mesures d’instants d’arrivée des signaux. La pseudo-distance PD i mesurée entre la balise de transfert de temps i et le récepteur vaut PD i = c(TOA i + Δt – Te i + ε i ) = d i + c. Δt + c.ε i , avec : TOA i l’heure d’arrivée du top de synchronisation dans le signal provenant de la balise i, mesuré par le récepteur à partir de son horloge locale, Te i l’heure d’émission par la balise du top de synchronisation, heure mesurée selon la référence temps du système de balises et transmise dans le message horaire, Δt le biais de l’horloge du récepteur, soit la différence entre le temps du système de balises et le temps de l’horloge locale du récepteur, ε i un bruit blanc gaussien affectant la mesure i, c la vitesse de la lumière (vitesse de propagation du signal radio), et d i la distance entre la balise i et le récepteur. L’étape 302 consiste à estimer simultanément la position du porteur, son biais d’horloge Δt et la position de chaque balise terrestre de transfert de temps par un algorithme optimisant un critère de maximum de vraisemblance. Cette étape peut être mise en œuvre par exemple par un algorithme de Gauss-Newton, bien connu de l’homme du métier, ou par un algorithme de résolution des moindres carrés équivalent, comme par exemple un algorithme de Levenberg-Marquardt. Pour une résolution par un algorithme de Gauss-Newton, l’étape 302 comprend la construction d’un vecteur d’état comprenant la position estimée du récepteur, le biais d’horloge estimé et les positions estimées des balises terrestres de transfert de temps, avec par exemple l’estimée du vecteur construit comme suit : Le vecteur comprend l’ensemble des . Les indices x et y sont la décomposition des positions respectivement selon l’axe x ou l’axe y du plan orthonormé dans lequel sont faites les mesures. Par la suite, on notera les positions des balises terrestres de transfert de temps connues ou transmises au récepteur, leurs positions exactes, et le vecteur comprenant l’ensemble des , avec , étant l’erreur de positionnement initiale de la balise terrestre de transfert de temps, et le vecteur comprenant l’ensemble des pseudodistances . L’étape 302 comprend également la construction d’un vecteur d’observation comprenant les positions des balises terrestres de transfert de temps et les pseudodistances, soit , et de son pendant linéarisé Y comprenant l’écart entre les positions des balises terrestres de transfert de temps et les positions estimées à l’itération précédente, et l’écart entre les pseudo-distances PD i et des pseudo-distances construites à partir des positions estimées du récepteur et des balises terrestres de transfert de temps, et du décalage temporel estimé entre le récepteur et les balises, soit avec la distance entre la position estimée du récepteur et la position estimée de la balise terrestre de transfert de temps d’indice , et le vecteur construit à partir des . Lors de la première itération, les positions estimées des balises terrestres de transfert de temps sont égales à leurs positions connues ou transmises au récepteur , et le décalage temporel estimée est nul. La solution du problème est obtenue en résolvant l’équation : où est une matrice de résolution Jacobienne, et ε est un bruit aléatoire centré lorsque les balises terrestres de transfert de temps ne sont pas entachées d’un biais d’horloge ou de position . La matrice Jacobienne vaut : Par construction, et . Par conséquent : Par construction toujours : de sorte que : Lors de la première itération de l’algorithme de résolution par l’optimisation d’un critère de maximum de vraisemblance, la matrice est calculée en prenant comme position du récepteur une estimation initiale de position obtenue par une méthode quelconque, comme par exemple de la multilatération sur les pseudo-distances PD i mesurées, ou plus avantageusement par une méthode d’estimation pseudo-linéaire reposant sur une forme clause mise en œuvre sur les pseudo-distances mesurées, c’est-à-dire une forme donnant directement la solution recherchée en l’absence de bruit. Les positions initiales des balises terrestres de transfert de temps utilisées sont les positions , connues du récepteur ou qui lui ont été transmises. Lors des itérations suivantes, les valeurs de la matrice et de la matrice sont recalculées à partir des valeurs contenues dans le vecteur d’état calculé lors de l’itération précédente de l’algorithme. La matrice de covariance d’observation vaut : où : est la matrice de covariance d’erreur sur la connaissance des positions des balises, avec , où est l’écart-type sur les mesures des coordonnées de position et la matrice identité de taille 2N, est la matrice de covariance des mesures de pseudo-distances PD i , avec . Un estimateur efficace est l’estimateur du maximum de vraisemblance. Le bruit étant généralement supposé être un vecteur aléatoire gaussien centré, l’estimateur de maximum de vraisemblance coïncide alors avec l’estimateur des moindres carrés pondérés, et a pour expression : La matrice vaut . La matrice de covariance de l’estimateur vaut : Les équations données ci-dessus sont formées à partir de matrices agencées selon une organisation donnée à titre d’illustration seulement. Les mêmes résultats peuvent être atteints en agençant les matrices de manière différente, par exemple en permutant leurs lignes, sans que cela n’affecte la précision des calculs et les résultats obtenus. L’étape 302 du procédé selon l’invention réalise l’optimisation conjointe de la position du récepteur, de son biais d’horloge et des positions des balises terrestres de transfert de temps. Cette optimisation conjointe permet de prendre en compte une éventuelle imprécision sur la position des balises de transfert de temps lors du calcul du biais d’horloge du récepteur, de manière à calculer un décalage de temps du récepteur optimal, même lorsque la position des balises est peu précise. Cependant, ce résultat est biaisé dès lors que l’une des balises terrestres de transfert de temps souffre d’un biais de position ou d’un biais temporel, puisque l’estimateur est construit sur une hypothèse de bruit blanc gaussien centré et ne peut corriger des mesures dont le bruit est hors hypothèse, comme des mesures de position non centrées. En outre, les stations de transfert de temps sont considérées comme parfaitement synchronisées. C’est pourquoi le procédé selon l’invention vise, dans les étapes qui suivent, à déterminer une zone de protection de l’information de décalage temporel prenant en compte un éventuel biais de position ou d’horloge des balises terrestres de transfert de temps. A cet effet, il comprend une troisième étape 303, lors de laquelle est calculée une variable de test T utilisée par la suite pour déterminer une zone de protection de l’information de décalage temporel autour du récepteur. Cette variable T est construite comme égale à la somme du carré des résidus pondérés par les variances, c’est-à-dire le carré de la distance de Mahalanobis entre le vecteur mesure et les mesures théoriques associées à l’état estimé , soit avec la somme du carré des résidus, et la matrice de covariance des mesures de pseudodistances. La somme du carré des résidus (linéarisés) vaut . Ainsi, en posant , on a . Lorsque le système est juste déterminé, c’est-à-dire qu’il n’y a que trois balises de transfert de temps, la variable de test T est nécessairement égale à 0. Il n’est donc pas possible d’identifier la présence d’un biais sur une des balises. Lorsque le système est surdéterminé, c’est-à-dire qu’il y a plus de trois balises de transfert de temps, la variable de test T suit une loi du (chi-2) à degrés de liberté. On dit que . Lorsque les mesures sont non biaisées, est centré et la loi du est centrée. Lorsque la position ou l’horloge d’une des balises terrestres de transfert de temps est biaisée, la loi du est décentrée. T suit alors une loi du d’ordre non centrée. L’étape 304 du procédé selon l’invention consiste à déterminer un seuil d’alerte sur la variable T, en fonction d’une probabilité de fausse alarme donnée, et à lever une alerte de perte d’intégrité en cas de dépassement de ce seuil d’alerte. Le calcul du seuil d’alerte se fait en observant la fonction de répartition de la variable de test T. Le seuil de décision T d pour la variable de test T est positionné par rapport à une probabilité de fausse alarme de la fonction d’intégrité donnée, et vaut , avec la valeur du seuil d’alerte sur la distance de Mahalanobis. Une valeur de T supérieur ou égale à T d déclenche une alerte de perte d’intégrité, et signifie généralement, c’est-à-dire selon le taux de fausse alarme spécifié, qu’une des balises terrestres de transfert de temps est affectée par un biais, et que le service de temps n’est pas intègre. On a , avec la valeur au point ² de la fonction de répartition de la loi du d’ordre K centrée. Par conséquent : Le seuil peut donc être déterminé facilement pour la probabilité de fausse alarme donnée, grâce à la fonction de répartition de la loi du centrée d’ordre K. S’agissant d’une valeur qui ne dépend pas des mesures de pseudo distances, il peut également être calculé en amont et stocké en mémoire. Lorsque la variable T est supérieure ou égale au seuil s, une alerte est levée et le procédé peut être stoppé à cette étape (pour le cycle considéré) puisqu’au moins une des mesures faites auprès des balises terrestres de transfert de temps est probablement biaisée et que le service de temps n’est pas intègre. Dans le cas contraire, le procédé comprend une cinquième étape 305 de détermination d’un paramètre de non centralité λ de la variable de test T pour cette même probabilité de fausse alarme, et pour une probabilité de détection donnée. Cette étape comprend la détermination du paramètre de non centralité de la loi du suivie par la variable de test T pour une probabilité de détection spécifiée et pour la probabilité de fausse alarme . Pour cela, on utilise la relation : avec la fonction de répartition de la loi du d’ordre K décentrée d’un paramètre au point (déterminé à l’étape précédente) et la probabilité de détection d’une défaillance spécifiée (biais sur les mesures de position ou d’horloge d’une des balises terrestres de transfert de temps). Par conséquent, le paramètre de non centralité pour une probabilité de fausse alarme donnée et à une probabilité de détection donnée vaut : La figure 4 donne un exemple de positionnement du seuil 401 par rapport à une probabilité de fausse alarme 402 donnée, et représente la probabilité de détection 403 de la variable de test. Par la suite, l’impact sur la variable de test T de deux types de biais sur les balises de transfert de temps sont envisagés et référencés par un indice j : un biais d’horloge ( ) et un biais de position ( ). La sixième étape 306 du procédé selon l’invention consiste à déterminer le biais minimum d’horloge détectable pour chaque balise de transfert de temps, à partir de la variable de test T et du paramètre de non centralité λ, c’est-à-dire pour la probabilité de fausse alarme et la probabilité de détection données. Cette étape consiste à caractériser le biais minimum détectable dans le cas d’un biais « scalaire » correspondant à un biais d’horloge ( ) sur l’une des balises de transfert de temps. Le biais d’horloge sur la balise terrestre de transfert de temps d’indice (avec variant entre 0 et N) et pour un modèle de biais scalaire ( ) se traduit sur la variable de test T par un décentrage de la loi du de paramètre de non centralité . On a : Le paramètre de non centralité étant défini par et croissant en fonction du biais, on peut notamment déterminer le biais minimum détectable pour la défaillance et la ou les mesures considérées, en recherchant la solution de l’équation : Les défaillances étant caractérisées par des biais de la forme où b est un scalaire réel et est un vecteur binaire nul sauf à la position de la mesure de pseudo-distance relative à la balise de transfert de temps i considérée, on a : Un biais se traduit par une erreur d’estimation du vecteur d’état . Lors d’une défaillance avec un biais inférieur à , l’erreur maximale sur l’estimation du vecteur d’état a pour expression . La septième étape 307 du procédé selon l’invention consiste à déterminer le biais minimum de position détectable pour chaque balise terrestre de transfert de temps, à partir de la variable de test T et du paramètre de non centralité λ, c’est-à-dire pour la probabilité de fausse alarme et la probabilité de détection données. Cette étape consiste à caractériser le biais minimum détectable dans le cas d’un biais de position 2D ( ) sur une balise terrestre de transfert de temps. Le biais est la somme d’un biais sur l’abscisse et sur l’ordonnée de la position de la balise de transfert, de sorte que : où (respectivement ) est un vecteur binaire nul sauf à la coordonnée x (respectivement y) de la position de la balise de transfert de temps considérée. Le biais de position se traduit sur la variable de test T par un décentrage de la loi du , de paramètre de non centralité . Une défaillance de la mesure de position de la balise de transfert de temps présentant le plus petit biais détectable (c’est-à-dire de probabilité de détection ) vérifie : avec On en déduit deux valeurs possibles de en fonction de lorsque : avec et les coordonnées de la balise terrestre de transfert de temps d’indice . L’erreur associée au biais affectant le vecteur d’état vaut : Le biais minimum détectable pour la mesure dans le cas d’un biais de position 2D sur une balise de transfert de temps ( ) correspondant au biais d’estimation le plus grand peut donc être déterminé en recherchant le maximum de la fonction pour variant entre 0 et , en considérant les deux solutions possibles pour , avec Il n’est pas nécessaire d’examiner les solutions négatives de car les maximums sont identiques pour les solutions opposées. On a alors : pour avec la notation V[t] désignant la composante temps d’un vecteur d’état V, et La huitième étape 308 du procédé selon l’invention consiste à déterminer une zone de protection de l’information de décalage temporel du récepteur calculée lors de la deuxième étape 302, à partir des biais minimum détectables calculés aux étapes 306 et 307, et à la comparer avec une zone d’alerte (ou zone de confiance). Cette zone de protection associée au service de radiodiffusion de temps correspond à un cercle TPL (pour Time Protection Level , ou niveau de protection temporel) dont le rayon est égal au biais maximum non détectable sur l’estimation du vecteur d’état, associé à la i ème mesure et au j ième type de défaillance, c’est-à-dire : avec : dans le cas d’un biais d’horloge sur une balise de transfert de temps ( ) dans le cas d’un biais de position sur une balise de transfert de temps ( ) pour , avec b1 y ,i = b2 y ,i = En l’absence d’alerte à la quatrième étape 304 du procédé, la zone de protection TPL sur le service temps est alors garantie avec une probabilité donnée (c’est-à-dire un risque d’intégrité ) et une probabilité de fausse alarme donnée tant que le rayon de protection temporel est inférieur à la borne d’alerte, c’est-à-dire tant que la zone de protection de l’information de décalage temporel est incluse dans la zone de confiance (TPL En revanche, le service temps n’est plus garanti dans les conditions d’intégrité définies lorsque : une alerte est déclenchée, c’est-à-dire lorsque T > Td (cinquième étape du procédé), et/ou TPL ≥ TAL. Le procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé décrit précédemment permet de détecter la présence d’un biais de position ou de synchronisation sur l’une des balises terrestres de transfert de temps. Lorsque le nombre de balises est supérieur ou égal à 5, il permet également de déterminer et de rejeter la balise biaisée. Pour cela, lorsque la variable de test T dépasse le seuil d’alerte Td (quatrième étape 304 du procédé selon l’invention) ou que la zone de protection (ou zone d’intégrité) TPL définie à la huitième étape 308 du procédé selon l’invention est supérieure ou égale à la zone d’alerte (ou zone de confiance) TAL, le procédé est réitéré N fois en considérant à chaque fois les signaux provenant d’un groupe de balises différentes. Un seul de ces tests aboutira à la fois à une absence d’alerte sur la variable de test et sur la définition d’une zone de protection inférieure à la zone d’alerte, ce qui permet d’identifier directement la balise de transfert de temps biaisée. Cette balise peut ensuite être exclue de la mise en œuvre du procédé de transfert de temps selon l’invention, ce qui permet d’assurer le service temps avec une meilleure précision. Le même principe peut être étendu à la détermination d’ensembles de M balises terrestres de transfert de temps affectées par un biais de position ou de temps, en mettant en œuvre le procédé sur des groupes de balises de manière à exclure successivement chaque ensemble de M balises possible, dès lors que est supérieur ou égal à 4. L’invention porte donc sur un procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé pour un terminal en réception radiofréquence avec au moins quatre balises terrestres de transfert de temps synchronisées diffusant chacune un message horaire comprenant un marquant horaire et une heure d’émission, mais également sur le terminal lui-même. Un tel terminal doit disposer d’une chaîne radio lui permettant de recevoir et d’interpréter le message horaire diffusé par les balises pour déterminer un instant d’arrivée de marquants horaires, et de moyens de calculs lui permettant de mettre en œuvre le procédé, comme par exemple un microprocesseur, un DSP (sigle anglais pour Digital Signal Processor , ou processeur de signal numérique), un FPGA (sigle anglais pour Field Programmable Gate Array , ou réseau de portes programmable), un ASIC (acronyme anglais pour Application- Specific Integrated Circuit , ou circuit intégré propre à une application), n’importe quelle association de ces moyens, ou n'importe quel composant matériel permettant d'exécuter les fonctions précitées. Enfin, il porte sur un programme d’ordinateur comprenant des instructions de code de programme pour l’exécution des étapes du procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’invention lorsque ledit programme est exécuté sur un ordinateur, ainsi que sur un support d’enregistrement lisible par un ordinateur sur lequel est enregistré un tel programme d’ordinateur. Procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé pour un récepteur (101) en lien radiofréquence avec au moins quatre balises terrestres de transfert de temps (102, 103, 104) synchronisées diffusant chacune un message horaire comprenant un marquant horaire et une heure d’émission, le procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé étant caractérisé en ce qu’il comprend : une première étape (301) de calcul d’un instant d’arrivée des messages horaires transmis par lesdites balises terrestres de transfert de temps, les positions desdites balises terrestres de transfert de temps étant connues par le récepteur ou transmises au récepteur, et de détermination d’une mesure de pseudo-distance associée à chaque balise terrestre de transfert de temps, une deuxième étape (302) de mise en œuvre d’un algorithme de résolution optimisant un critère de maximum de vraisemblance utilisant les pseudo-distances calculées à la première étape (301) et résolvant conjointement les positions des balises terrestres de transfert de temps, la position du récepteur et le décalage temporel du récepteur, une troisième étape (303) de calcul d’une variable de test T égale à la somme du carré des résidus des positions du récepteur et des balises terrestres de transfert de temps, pondérée par des variances des positions du récepteur et des balises terrestres de transfert de temps, une quatrième étape (304) de détermination d’un seuil d’alerte sur la variable de test T en fonction d’une probabilité de fausse alarme Pfa donnée, et lorsque la variable de test T est supérieur ou égale audit seuil d’alerte, de levée d’une alerte de perte d’intégrité, et sinon une cinquième étape (305) de détermination d’un paramètre de non centralité de la variable de test T pour ladite probabilité de fausse alarme Pfa et pour une probabilité de détection Pd donnée, une sixième étape (306) de détermination d’un biais minimum d’horloge détectable pour chaque balise terrestre de transfert de temps, à partir de la variable de test T et du paramètre de non centralité , une septième étape (307) de détermination d’un biais minimum de position détectable pour chaque balise terrestre de transfert de temps, à partir de la variable de test T et du paramètre de non centralité , une huitième étape (308) de détermination d’une zone de protection de l’information de décalage temporel du récepteur calculée lors de la deuxième étape (302), à partir des biais minimum détectables calculés lors de la sixième étape (306) et de la septième étape (307) du procédé, et de levée d’une alerte de perte d’intégrité lorsque ladite zone de protection est supérieure ou égale à une zone d’alerte. Procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon la revendication 1, dans lequel l’algorithme utilisant un critère de maximum de vraisemblance mis en œuvre lors de la deuxième étape (302) est un algorithme de Gauss-Newton ou un algorithme de Levenberg-Marquardt. Procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’une des revendications précédentes, dans lequel la deuxième étape (302) comprend : la construction d’un vecteur d’état comprenant une position estimée du récepteur, un décalage temporel estimé du récepteur, et des positions estimées desdites balises terrestres de transfert de temps, la construction d’un vecteur d’observation comprenant les positions connues ou transmises desdites balises terrestres de transfert de temps et les pseudo-distances calculées lors de la première étape (301), la construction d’un vecteur d’observation linéarisé comprenant un écart entre les positions connues ou transmises desdites au moins trois balises terrestres de transfert de temps et leurs positions estimées, et un écart entre les pseudo-distances calculées lors de la première étape (301) et des pseudo-distances construites à partir des valeurs du vecteur d’état , la construction d’une matrice Jacobienne à partir du vecteur d’état et du vecteur d’observation tel que , etla résolution itérative du système, en calculant . Procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’une des revendications précédentes, dans laquelle la variable de test T calculée lors de la troisième étape (303) suit une loi mathématique du . Procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’une des revendications précédentes, dans lequel la huitième étape (308) de détermination d’une zone de protection de l’information de décalage temporel comprend le calcul d’une erreur d’estimation maximum non détectable avec une probabilité supérieure ou égale à la probabilité de détection Pd d’un biais d’horloge ou de position d’une ou plusieurs des balises terrestres de transfert de temps. Procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’une des revendications précédentes, dans lequel le récepteur (101) est en lien radiofréquence avec N balises terrestres de transfert de temps synchronisées diffusant chacune un message horaire comprenant un marquant horaire et une heure d’émission, avec N supérieur ou égal à 5, et où lorsqu’une alerte de perte d’intégrité est levée lors de la quatrième étape (304) ou lors de la huitième étape (308), le procédé est remis en œuvre successivement sur chaque sous-ensemble de balises terrestres de transfert de temps de taille , avec , de manière à déterminer un sous-ensemble de balises terrestres de transfert de temps ne levant pas d’alerte de perte d’intégrité afin d’identifier la ou les stations de transfert de temps affectées par un biais d’horloge ou un biais de position. Equipement de radiocommunications (101) en lien radiofréquence avec au moins quatre balises terrestres de transfert de temps (102, 103, 104) synchronisées diffusant chacune un message horaire comprenant un marquant horaire et une heure d’émission, l’équipement de radiocommunications comprenant une chaîne radio configurée pour recevoir et interpréter le message horaire transmis par les balises terrestres de transfert de temps, l’équipement de radiocommunications étant caractérisé en ce qu’il comprend en outre des moyens de calculs configurés pour mettre en œuvre un procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’une des revendications précédentes. Programme d’ordinateur comprenant des instructions de code de programme pour l’exécution des étapes du procédé de radiodiffusion de temps et de mesure d’une intégrité du temps radiodiffusé selon l’une des revendications 1 à 6 lorsque ledit programme est exécuté sur un ordinateur. Support d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur selon la revendication 8.