FR 3146989 A1 20240927 FR 2302537 A 20230320 Système de gestion de vol (1) d'un aéronef comprenant : un premier module avionique critique (2) de calcul de trajectoire, i.e. de niveau d'intégrité et de niveau de disponibilité imposés par les normes réglementaires en vigueur, délivrant en sortie une trajectoire sécurisée, à partir d'un plan de vol (3) ; un deuxième module (4) de calcul de trajectoire, moins critique que le premier module critique (2), i.e. de niveau d'intégrité et de niveau de disponibilité inférieurs à ceux du premier module (2), délivrant en sortie une trajectoire améliorée moins sécurisée que celle délivrée par le premier module avionique critique (2), à partir d'un plan de vol ; un module avionique critique (5) de vérification de trajectoires, configuré pour confirmer ou infirmer la sécurité de la trajectoire améliorée moins sécurisée ; et un module avionique critique (6) de décision, configuré pour sélectionner une trajectoire parmi la trajectoire sécurisée et la trajectoire moins sécurisée. Figure pour l’abrégé : [Fig.1] Système de gestion de vol d'un aéronef La présente invention porte sur un système de gestion de vol d'un aéronef. L’invention concerne le domaine des systèmes embarqués, et plus particulièrement l’optimisation de la trajectoire d'un aéronef. Dans le cadre de la présente invention, les systèmes avioniques sont des systèmes embarqués sécurisés répondant à des contraintes règlementaires d’intégrité et de disponibilité. Ces systèmes avioniques sont caractérisés par un niveau de criticité, lié au niveau d’intégrité et au niveau de disponibilité, imposés par les normes réglementaires en vigueur. On entend par intégrité l’aptitude d’un système à accomplir une fonction requise de façon correcte. On entend par disponibilité l’aptitude d’un système à accomplir une fonction requise dans des conditions données, à un instant donné ou pendant un intervalle de temps donné. On entend par système "non avionique" ou "monde ouvert" des systèmes qui ne sont pas embarqués et/ou qui ne répondent pas aux mêmes contraintes réglementaires d’intégrité et de disponibilité. Les niveaux de criticité sont par exemple définis dans les normes RTCA DO178-C et EUROCAE ED-12C, par cinq niveaux de criticité (de A à E) définis comme suit : Niveau A : Un défaut du système ou sous-système étudié peut provoquer un problème catastrophique - Sécurité du vol ou atterrissage compromis - Crash de l'avion. Niveau B : Un défaut du système ou sous-système étudié peut provoquer un problème dangereux entraînant des dégâts sérieux voire la mort de quelques occupants. Niveau C : Un défaut du système ou sous-système étudié peut provoquer un problème majeur entraînant un dysfonctionnement des équipements vitaux de l'appareil. Niveau D : Un défaut du système ou sous-système étudié peut provoquer un problème mineur sans effet sur la sécurité du vol. Niveau E : Un défaut du système ou sous-système étudié peut provoquer un problème sans effet sur la sécurité du vol. Ces 5 niveaux sont aussi appelés niveaux DAL (acronyme de "Design Assurance Level" en langue anglaise). Les Niveaux sont établis par les études de sûreté de fonctionnement. Ces études fixent alors le niveau DAL pour le matériel et le logiciel conformément aux normes de sécurité (Eurocae ED-79 et SAE ARP4754 "Certification considerations for Highly-Integrated and Complex Aicraft Systems") ou directives de l'avionneur (ABD100, ABD200,...). Le niveau DAL d'un sous-système peut être différent du niveau système à la condition que le niveau DAL du système soit atteint par une architecture matérielle/logicielle adéquate. L'invention peut s'appliquer dans le domaine du transport aérien, que ce soient l’aviation de ligne, l’aviation d’affaire, le travail aérien, les aéronefs télépilotés ou les aéronefs autonomes. Actuellement, dans un système embarqué de gestion de vol d'un aéronef, ou FMS pour acronyme de "Flight Management System" en langue anglaise, une des fonctions les plus complexes est le calcul de la trajectoire et des prédictions (carburant, performances, heure d’arrivée), à partir du plan de vol de l'aéronef. Cette fonction est complexe car elle gère l’optimisation du vol et de multiples contraintes. Les traitements nécessitent une grande capacité de calcul du processeur ou CPU pour acronyme de "Central Processing Unit" en langue anglaise, et une architecture temps réel spécifique. Actuellement, la fonction de calcul de la trajectoire et des prédictions est entièrement implémentée sur des systèmes avioniques certifiés. Les étapes du calcul de cette fonction sont les suivantes : Elaboration du plan de vol, Calcul de la Trajectoire, et Guidage le long de la trajectoire. Il existe de nombreux documents de brevets concernant les systèmes de gestion de vol FMS, dont certains portent sur un lien entre le domaine avionique critique et des domaines moins critiques (i.e. avionique moins critique ou non avionique également nommé monde ouvert). Il est connu par exemple le document US 10 295 349 B2 qui porte sur un système de gestion de vol pour aéronef qui sécurise des données fournies par le domaine non avionique ou monde ouvert. Ce document s’appuie sur une architecture avec deux systèmes de gestion de vol FMS, l’un validant les données non critiques du monde ouvert, pendant que l’autre poursuit la conduite du vol. Ce système nécessite le fonctionnement de deux systèmes de gestion de vol FMS en parallèle, ce qui est coûteux en termes de ressources et financièrement. L’approche traditionnelle consistant à optimiser la trajectoire dans l’avionique certifiée critique engendre des coûts de plus en plus lourds, qui ne sont pas viables économiquement. En outre, aucune des méthodes proposées pour connecter le système de gestion de vol FMS au monde ouvert ne permet de calculer la trajectoire et les prédictions dans des systèmes moins critiques (système avionique moins critique qu’un FMS traditionnel ou système non avionique également nommé système monde ouvert), ce qui limite la performance des algorithmes d’optimisation employés. Un but de l’invention est de répondre aux problèmes précédemment cités, et notamment d'augmenter la précision des calculs d’optimisation du vol d’un aéronef dans un domaine où les exigences de performances opérationnelles nécessitent des algorithmes de plus en plus complexes basés sur de plus en plus de données, tout, en maitrisant les coûts de développement qui sont importants pour la réalisation de systèmes embarqués certifiés. Il est proposé, selon un aspect de l'invention, un système de gestion de vol d'un aéronef comprenant : un premier module avionique critique de calcul de trajectoire, i.e. de niveau d'intégrité et de niveau de disponibilité imposés par les normes réglementaires en vigueur, comprenant au moins un calculateur avionique critique et/ou au moins un logiciel avionique critique pour calculer et délivrer en sortie une trajectoire sécurisée, à partir d'un plan de vol ; un deuxième module de calcul de trajectoire, moins critique que le premier module critique, i.e. de niveau d'intégrité et de niveau de disponibilité inférieurs à ceux du premier module, comprenant au moins un calculateur moins critique qu'un calculateur du premier module, et/ou au moins un logiciel moins critique qu'un logiciel du premier module, de performances supérieures à celles des calculateurs et logiciels avioniques du premier module avionique critique de calcul de trajectoire, pour calculer et délivrer en sortie une trajectoire améliorée moins sécurisée que celle délivrée par le premier module avionique critique, à partir d'un plan de vol ; un module avionique critique de vérification de trajectoires, configuré pour confirmer ou infirmer la sécurité de la trajectoire améliorée délivrée par le deuxième module de calcul de trajectoire ; et un module avionique critique de décision, configuré pour sélectionner une trajectoire parmi la trajectoire sécurisée délivrée par le premier module avionique critique et la trajectoire moins sécurisée délivrée par le deuxième module, de sorte à sélectionner la trajectoire améliorée moins sécurisée si sa sécurité est confirmée par le module avionique critique de vérification, à sélectionner la trajectoire sécurisée si la sécurité de la trajectoire améliorée moins sécurisée est infirmée par le module avionique critique de vérification, et à délivrer en sortie la trajectoire sélectionnée. Aussi, on entend par deuxième module de calcul de trajectoire, moins critique que le premier module avionique critique, en référence au premier module avionique critique, un module avionique moins critique que le premier module critique ou un module non avionique ou monde ouvert. Dans un mode de réalisation, le module avionique critique de décision est configuré pour transmettre la trajectoire sélectionnée à un dispositif de guidage et d'affichage. Selon un mode de réalisation, le deuxième module de calcul trajectoire comprend au moins un calculateur connecté distant, par exemple intégré dans un serveur de calcul au sol. Dans un mode de réalisation, le deuxième module de calcul trajectoire comprend au moins un logiciel d'intelligence artificielle. Selon un mode de réalisation, le module avionique critique de vérification de trajectoires est configuré pour confirmer ou infirmer la sécurité de la trajectoire améliorée moins sécurisée à partir de vérifications : du respect du plan de vol de l'aéronef par la trajectoire améliorée moins sécurisée ; et/ou de la continuité de la trajectoire améliorée moins sécurisée ; et/ou du respect des performances de l'aéronef par la trajectoire améliorée moins sécurisée ; et/ou de l'évitement d'obstacles par la trajectoire améliorée moins sécurisée ; et/ou d'une proximité du commencement de la trajectoire améliorée moins sécurisée avec la position courante de l'aéronef. Dans un mode de réalisation, le module avionique critique de vérification de trajectoires est configuré pour vérifier la proximité du commencement de la trajectoire améliorée moins sécurisée avec la position courante de l'aéronef à partir des écarts respectifs de valeurs de paramètres comprenant la position, le cap et la vitesse, pour le commencement de la trajectoire améliorée moins sécurisée et la position courante de l'aéronef, par comparaison à un seuil respectif. Il est également proposé, selon un autre aspect de l'invention, un aéronef muni d'un système de gestion de vol tel que précédemment décrit. Il est également proposé, selon un autre aspect de l'invention, un procédé de gestion de vol d'un aéronef comprenant les étapes consistant à : calculer une trajectoire sécurisée par un premier module avionique critique de calcul de trajectoire, i.e. de niveau d'intégrité et de niveau de disponibilité imposés par les normes réglementaires en vigueur ; calculer une trajectoire améliorée moins sécurisée par un deuxième module de calcul de trajectoire, moins critique que le premier module critique, i.e. de niveau d'intégrité et de niveau de disponibilité inférieurs à ceux du premier module ; confirmer ou infirmer la sécurité de la trajectoire améliorée moins sécurisée ; et sélectionner une trajectoire parmi la trajectoire sécurisée délivrée par le premier module avionique critique et la trajectoire moins sécurisée délivrée par le deuxième module, de sorte à sélectionner la trajectoire améliorée moins sécurisée si sa sécurité est confirmée par le module avionique critique de vérification, à sélectionner la trajectoire sécurisée si la sécurité de la trajectoire améliorée moins sécurisée est infirmée par le module avionique critique de vérification, et à délivrer en sortie la trajectoire sélectionnée. L'invention sera mieux comprise à l'étude de quelques modes de réalisation décrits à titre d'exemples nullement limitatifs et illustrés par le dessin annexé sur lequel la illustre schématiquement un système de gestion de vol d'un aéronef, selon un aspect de l'invention. La illustre schématiquement un système, selon un aspect de l'invention. La présente invention utilise le concept d'architecture simplex. L’architecture simplex consiste à exécuter en parallèle deux modules réalisant la même fonction : un module simple caractérisé par sa robustesse et son haut niveau de sécurité et un module complexe caractérisé par sa performance (d’où le nom « simplex », contraction de simple et complexe). Le système de gestion de vol 1 d'un aéronef comprend : un premier module avionique critique 2 de calcul de trajectoire, i.e. de niveau d'intégrité et de niveau de disponibilité imposés par les normes réglementaires en vigueur, comprenant au moins un calculateur avionique critique et/ou au moins un logiciel avionique critique pour calculer et délivrer en sortie une trajectoire sécurisée, à partir d'un plan de vol 3 ; un deuxième module 4 de calcul de trajectoire, moins critique que le premier module critique 2, i.e. de niveau d'intégrité et de niveau de disponibilité inférieurs à ceux du premier module 2, comprenant au moins un calculateur moins critique qu'un calculateur du premier module 2, et/ou au moins un logiciel moins critique qu'un logiciel du premier module 2, de performances supérieures à celles des calculateurs et logiciels avioniques du premier module avionique 2 critique de calcul de trajectoire, pour calculer et délivrer en sortie une trajectoire améliorée moins sécurisée que celle délivrée par le premier module avionique critique 2, à partir d'un plan de vol ; un module avionique critique 5 de vérification de trajectoires, configuré pour confirmer ou infirmer la sécurité de la trajectoire améliorée délivrée par le deuxième module de calcul de trajectoire 4 ; et un module avionique critique 6 de décision, configuré pour sélectionner une trajectoire parmi la trajectoire sécurisée délivrée par le premier module avionique critique 2 et la trajectoire moins sécurisée délivrée par le deuxième module 4, de sorte à sélectionner la trajectoire améliorée moins sécurisée si sa sécurité est confirmée par le module avionique critique 5 de vérification, à sélectionner la trajectoire sécurisée si la sécurité de la trajectoire améliorée moins sécurisée est infirmée par le module avionique critique 5 de vérification, et à délivrer en sortie la trajectoire sélectionnée. Le premier module avionique critique 2 de calcul de trajectoire implémente le calcul de trajectoire avec pour objectifs le respect des contraintes du plan de vol et la simplicité des algorithmes. Ce module ne propose pas forcément une solution optimisée. Elle doit être simple, intègre et stable dans le temps. Le deuxième module 4 de calcul de trajectoire implémente un calcul de trajectoire optimisé, avec utilisation fine des performances de l’aéronef et prenant en compte toutes les contraintes, réglementaires ou non (par exemple l’empreinte énergétique du vol). Le calcul du carburant nécessaire peut être plus précis, ceci permettant par exemple d’informer précisément si un vol est possible ou non. Tous ces calculs peuvent mettre en œuvre des algorithmes complexes. Le deuxième module 4 de calcul trajectoire n’a pas vocation à être sécurisé, ce qui permet : de recourir à des algorithmes dont la sécurisation serait complexe (par exemple les algorithmes d’intelligence artificielle), de s’exécuter sur des calculateurs puissants (éventuellement des data-center à l’extérieur de l’aéronef), et de disposer de données actualisées et précises (par exemple prédictions météos et trafic aérien). Le deuxième module 4 de calcul de trajectoire améliorée moins sécurisée, dite de Haute Performance est donc orienté vers l’optimisation. Le module avionique critique de décision 6 est configuré pour transmettre la trajectoire sélectionnée à un dispositif de guidage et d'affichage 7. Le deuxième module 4 moins critique de calcul de trajectoire peut comprendre au moins un calculateur connecté distant, par exemple intégré dans un serveur de calcul au sol. Le deuxième module 4 de calcul de trajectoire peut comprendre au moins un logiciel d'intelligence artificielle. Le module avionique critique 5 de vérification de trajectoires est configuré pour confirmer ou infirmer la sécurité de la trajectoire améliorée moins sécurisé à partir de vérifications : du respect du plan de vol de l'aéronef par la trajectoire améliorée moins sécurisée ; et/ou de la continuité de la trajectoire améliorée moins sécurisée ; et/ou du respect des performances de l'aéronef par la trajectoire améliorée moins sécurisée ; et/ou de l'évitement d'obstacles par la trajectoire améliorée moins sécurisée ; et/ou d'une proximité du commencement de la trajectoire améliorée moins sécurisée avec la position courante de l'aéronef. Le module avionique critique 5 de vérification de trajectoires est configuré pour vérifier la proximité du commencement de la trajectoire améliorée moins sécurisée avec la position courante de l'aéronef à partir des écarts respectifs de valeurs de paramètres comprenant la position, le cap et la vitesse, pour le commencement de la trajectoire améliorée moins sécurisée et la position courante de l'aéronef, par comparaison à un seuil respectif. Le module avionique critique 5 de vérification de trajectoires est un composant stratégique de cette architecture. Il valide ou invalide les calculs moins critiques, rendant possible l’utilisation de la trajectoire par le monde avionique critique. Plusieurs vérifications sont effectuées sur la trajectoire : Respect du plan de vol : la trajectoire doit respecter les étapes définies par le plan de vol (legs et contraintes). Le plan de vol représentant le contrat avec l’ATM, il est important que la trajectoire reste dans l’enveloppe du corridor défini par le plan de vol en respectant sur chaque tronçon la précision de navigation exigée (Required Navigation Performance, RNP) ; et/ou Continuité : la trajectoire doit être définie en tout point et les segments qui la définissent doivent être contigus ; et/ou Respect des performances de l’aéronef : la trajectoire doit pouvoir être volée par l’avion en tenant compte de ses performances. Ceci concerne, entre autres, les rayons de virages, les taux de montées et les vitesses ; et/ou Evitement des obstacles : la trajectoire ne doit pas être en conflit avec le terrain et/ou des éléments de l’environnement physique ; et/ou Proximité du commencement de la trajectoire améliorée moins sécurisée avec la position courante de l'aéronef. Le module avionique critique 6 de décision est configuré pour sélectionner une trajectoire parmi la trajectoire sécurisée et la trajectoire amélioré moins sécurisée, de sorte à sélectionner la trajectoire améliorée moins sécurisée si sa sécurité est confirmée par le module avionique critique 5 de vérification, à sélectionner la trajectoire sécurisée si la sécurité de la trajectoire améliorée moins sécurisée est infirmée par le module avionique critique (5) de vérification, et à délivrer en sortie la trajectoire sélectionnée.. Un aéronef peut être muni d'un système de gestion de vol tel que décrit. Il est également proposé un procédé de gestion de vol d'un aéronef comprenant les étapes consistant à : calculer une trajectoire sécurisée par un premier module avionique critique 2 de calcul de trajectoire, i.e. de niveau d'intégrité et de niveau de disponibilité imposés par les normes réglementaires en vigueur ; calculer une trajectoire améliorée moins sécurisée par un deuxième module 4 de calcul de trajectoire, moins critique que le premier module critique 2, i.e. de niveau d'intégrité et de niveau de disponibilité inférieurs à ceux du premier module 2 ; confirmer ou infirmer la sécurité de la trajectoire améliorée moins sécurisée ; et sélectionner une trajectoire parmi la trajectoire sécurisée délivrée par le premier module avionique critique 2 et la trajectoire moins sécurisée délivrée par le deuxième module 4, de sorte à sélectionner la trajectoire améliorée moins sécurisée si sa sécurité est confirmée par le module avionique critique 5 de vérification, à sélectionner la trajectoire sécurisée si la sécurité de la trajectoire améliorée moins sécurisée est infirmée par le module avionique critique 5 de vérification, et à délivrer en sortie la trajectoire sélectionnée. La présente invention présente les avantages suivants : Réduction de la complexité du logiciel avionique critique : les modules avioniques critiques (calcul "Haute Assurance", vérification de trajectoire et module de décision) effectuent des calculs simples, par opposition aux modules moins critiques (avioniques ou non avioniques) (calcul "Haute Performance"), qui concentre toute la complexité algorithmique d’optimisation. La réduction de la complexité des algorithmes avioniques critiques réduit le nombre d’exigences, de lignes de code et donc de tests. Réduction des exigences sur le matériel (hardware) : la réduction de l’empreinte CPU des algorithmes avioniques critiques, et donc de l’architecture temps-réel du logiciel, réduit la puissance nécessaire des calculateurs avioniques critiques, et réduit donc les coûts par l’utilisation de hardware ancien et/ou plus "léger". Pour les calculs moins critiques, un calculateur standard ou COTS pour acronyme de "Commercial Off The Shelf" en langue anglaise, peut être employé, ce qui permet un meilleur SWaP (Size, Weight and Power). Adaptation aux futurs besoins : les évolutions du FMS portent majoritairement sur une amélioration de l’optimisation des trajectoires, et la prise en compte de contraintes de plus en plus nombreuses. Déporter ces efforts dans le monde ouvert permet une bien plus grande facilité dans les évolutions, et permet l’adaptation rapide aux futurs besoins. Compatibilité avec les nouvelles technologies : la chaine "Haute Performance" de l’architecture Simplex offre la possibilité d’utiliser des techniques très difficilement certifiables telle que l’Intelligence Artificielle. Stabilité du module avionique : la variabilité fonctionnelle peut être portée par la chaine "Haute Performance" avionique critique. Les algorithmes avioniques critiques de la chaine "Haute Assurance" ne sont pas impactés par de nouveaux besoins. Système de gestion de vol (1) d'un aéronef comprenant : un premier module avionique critique (2) de calcul de trajectoire, i.e. de niveau d'intégrité et de niveau de disponibilité imposés par les normes réglementaires en vigueur, comprenant au moins un calculateur avionique critique et/ou au moins un logiciel avionique critique pour calculer et délivrer en sortie une trajectoire sécurisée, à partir d'un plan de vol (3) ; un deuxième module (4) de calcul de trajectoire, moins critique que le premier module critique (2), i.e. de niveau d'intégrité et de niveau de disponibilité inférieurs à ceux du premier module (2), comprenant au moins un calculateur moins critique qu'un calculateur du premier module (2), et/ou au moins un logiciel moins critique qu'un logiciel du premier module (2), de performances supérieures à celles des calculateurs et logiciels avioniques du premier module avionique (2) critique de calcul de trajectoire, pour calculer et délivrer en sortie une trajectoire améliorée moins sécurisée que celle délivrée par le premier module avionique critique (2), à partir d'un plan de vol ; un module avionique critique (5) de vérification de trajectoires, configuré pour confirmer ou infirmer la sécurité de la trajectoire améliorée moins sécurisée délivrée par le deuxième module (4) ; et un module avionique critique (6) de décision, configuré pour sélectionner une trajectoire parmi la trajectoire sécurisée délivrée par le premier module avionique critique (2) et la trajectoire moins sécurisée délivrée par le deuxième module (4), de sorte à sélectionner la trajectoire améliorée moins sécurisée si sa sécurité est confirmée par le module avionique critique (5) de vérification, à sélectionner la trajectoire sécurisée si la sécurité de la trajectoire améliorée moins sécurisée est infirmée par le module avionique critique (5) de vérification, et à délivrer en sortie la trajectoire sélectionnée. Système selon la revendication 1, dans lequel le module avionique critique de décision (6) est configuré pour transmettre la trajectoire sélectionnée à un dispositif de guidage et d'affichage (7). Système selon l'une des revendications précédentes, dans lequel le deuxième module (4) de calcul trajectoire comprend au moins un calculateur connecté distant, par exemple intégré dans un serveur de calcul au sol. Système selon l'une des revendications précédentes, dans lequel le deuxième module (4) de calcul trajectoire comprend au moins un logiciel d'intelligence artificielle. Système selon l'une des revendications précédentes, dans lequel le module avionique critique (5) de vérification de trajectoires est configuré pour confirmer ou infirmer la sécurité de la trajectoire améliorée moins sécurisée à partir de vérifications : du respect du plan de vol de l'aéronef par la trajectoire améliorée moins sécurisée ; et/ou de la continuité de la trajectoire améliorée moins sécurisée ; et/ou du respect des performances de l'aéronef par la trajectoire améliorée moins sécurisée ; et/ou de l'évitement d'obstacles par la trajectoire améliorée moins sécurisée ; et/ou d'une proximité du commencement de la trajectoire améliorée moins sécurisée avec la position courante de l'aéronef. Système selon la revendication 5, dans lequel le module avionique critique (5) de vérification de trajectoires est configuré pour vérifier la proximité du commencement de la trajectoire améliorée moins sécurisée avec la position courante de l'aéronef à partir des écarts respectifs de valeurs de paramètres comprenant la position, le cap et la vitesse, pour le commencement de la trajectoire améliorée moins sécurisée et la position courante de l'aéronef, par comparaison à un seuil respectif. Aéronef muni d'un système de gestion de vol selon l'une des revendications précédentes. Procédé de gestion de vol d'un aéronef comprenant les étapes consistant à : calculer une trajectoire sécurisée par un premier module avionique critique (2) de calcul de trajectoire, i.e. de niveau d'intégrité et de niveau de disponibilité imposés par les normes réglementaires en vigueur ; calculer une trajectoire améliorée moins sécurisée par un deuxième module (4) de calcul de trajectoire, moins critique que le premier module critique (2), i.e. de niveau d'intégrité et de niveau de disponibilité inférieurs à ceux du premier module (2) ; confirmer ou infirmer la sécurité de la trajectoire améliorée moins sécurisée ; et sélectionner une trajectoire parmi la trajectoire sécurisée délivrée par le premier module avionique critique (2) et la trajectoire moins sécurisée délivrée par le deuxième module (4), de sorte à sélectionner la trajectoire améliorée moins sécurisée si sa sécurité est confirmée par le module avionique critique (5) de vérification, à sélectionner la trajectoire sécurisée si la sécurité de la trajectoire améliorée moins sécurisée est infirmée par le module avionique critique (5) de vérification, et à délivrer en sortie la trajectoire sélectionnée.