Note: Descriptions are shown in the official language in which they were submitted.
1
PROCÉDÉ ET DISPOSITIF DE SURVEILLANCE AUTOMATIQUE D'OPÉRATIONS
AÉRIENNES NÉCESSITANT UNE GARANTIE DE PERFORMANCE DE NAVIGATION
ET DE GUIDAGE
DOMAINE DE L'INVENTION
La présente invention concerne un procédé et un dispositif de surveillance
automatique d'un ensemble de gestion de vol d'un aéronef, en particulier d'un
avion de transport, mettant en oeuvre des opérations aériennes nécessitant une
garantie de performance de navigation et de guidage.
Bien que non exclusivement, la présente invention s'applique plus
particulièrement à des opérations à performances de navigation requises avec
autorisation requise, de type RNP AR ( Required Navigation Performance with
Authorization Required en anglais). Ces opérations RNP AR sont basées sur
une
navigation de surface de type RNAV ( aRea NAVigation en anglais) et sur des
opérations à performances de navigation requises de type RNP ( Required
Navigation Performance en anglais). Elles présentent la particularité de
nécessiter
une autorisation spéciale pour pouvoir être mises en uvre sur un aéronef.
ART ANTÉRIEUR
La navigation de surface de type RNAV permet à un aéronef de voler de
point de route ( waypoint en anglais) en point de route, et non plus de
stations
sol (de moyens de radionavigation de type NAVAID) en stations sol.
On sait que le concept RNP correspond à une navigation de surface, pour
laquelle sont ajoutés (à bord de l'aéronef) des moyens de surveillance et
d'alerte qui
permettent d'assurer que l'aéronef reste dans un couloir, dit RNP, autour
d'une
trajectoire de référence et qui autorisent la prise en compte de trajectoires
courbes.
A l'extérieur de ce couloir se trouve potentiellement du relief ou d'autres
aéronefs.
La performance requise pour un type d'opération RNP est définie par une valeur
CA 2762963 2018-04-18
2
RNP qui représente la demi-largeur (en milles nautiques : NM) du couloir
autour de
la trajectoire de référence, dans lequel l'aéronef doit rester 95% du temps au
cours
de l'opération. Un second couloir (autour de la trajectoire de référence) de
demi-
largeur deux fois la valeur RNP est également défini. La probabilité que
l'aéronef
sorte de ce second couloir doit être inférieure à 10-7 par heure de vol.
Le concept d'opérations RNP AR est plus contraignant encore. Les
procédures RNP AR sont, en effet caractérisées par:
- des valeurs RNP:
= qui sont inférieures ou égales à 0,3NM en approche, et qui peuvent
descendre jusqu'à 0,1 NM ; et
= qui sont strictement inférieures à 1NM au départ et lors d'une remise des
gaz, et qui peuvent également descendre jusqu'à 0,1NM ;
- un segment d'approche finale qui peut être courbe ; et
- des obstacles (montagnes, trafic...) qui peuvent être situés à deux fois
la valeur
RNP par rapport à la trajectoire de référence, alors que pour les opérations
RNP
usuelles, une marge supplémentaire par rapport aux obstacles est prévue.
Les autorités aériennes ont défini un niveau de sécurité visé TLS ( Target
Level of Safety en anglais) de 10-7 par opération, quel que soit le type.
Dans le cas
des opérations RNP AR, comme les valeurs RNP peuvent descendre jusqu'à 0,1NM
et les obstacles peuvent être situés à deux fois la valeur RNP de la
trajectoire de
référence, cet objectif se traduit par une probabilité que l'aéronef sorte du
couloir de
demi-largeur D=2.RNP qui ne doit pas excéder 10-7 par procédure.
Les équipements embarqués à bord des aéronefs (système de gestion de
vol, centrale inertielle, moyens d'actualisation de données GPS et moyens de
guidage du pilote automatique), ainsi que l'architecture usuelle, ne
permettent pas
d'atteindre le niveau de sécurité visé, si on ne prévoit pas des moyens
opérationnels
de mitigation, notamment pour la détection et la gestion des pannes
éventuelles.
CA 2762963 2018-04-18
,
,
3
C'est pourquoi une autorisation spéciale est requise pour ce type d'opération,
afin
d'assurer que les procédures opérationnelles et l'entraînement des pilotes
permettent d'atteindre le niveau de sécurité visé. De plus, comme l'équipage
doit
prendre en charge certaines pannes, les aéronefs ne sont aujourd'hui pas
capables
de garantir une valeur RNP de 0,1NM sous panne, car l'équipage n'est pas en
mesure de tenir les exigences de performance en pilotage manuel.
Sur les aéronefs actuels, la surveillance des opérations RNP AR est réalisée
par le biais de deux fonctions usuelles, à savoir :
- une première fonction qui surveille la précision et l'intégrité du calcul de
position :
= la précision de la position est comparée à une fois la valeur RNP;
= l'intégrité est comparée à deux fois la valeur RNP ; et
= si l'un des deux paramètres, précision ou intégrité, excède le seuil
alloué,
une alerte est émise et l'équipage doit entreprendre des actions
appropriées ; et
- une deuxième fonction qui permet à l'équipage de surveiller le guidage de
l'aéronef :
= les déviations latérales et verticales de l'aéronef par rapport à la
trajectoire
de référence sont affichées et présentées à l'équipage ;
= l'équipage surveille les déviations par rapport aux budgets alloués pour
chaque déviation. Si l'équipage détecte un écart excessif, il doit reprendre
en
main l'aéronef et entreprendre des actions correctrices adéquates.
Comme indiqué précédemment, les aéronefs actuels ne sont pas capables
de garantir une valeur RNP de 0,1NM sous panne et l'équipage doit être
entraîné
spécialement pour voler les procédures RNP AR. L'équipage doit, en effet, être
capable de détecter et traiter, de façon adéquate, les pannes qui sont
susceptibles
de compromettre l'opération en cours.
CA 2762963 2018-04-18
4
L'objectif pour les aéronefs futurs est d'avoir la capacité de voler les
procédures RNP AR avec des valeurs RNP jusqu'à 0,1 NM, et ceci sans
restriction (en
situation normale et en cas de panne) en départ, approche et remise de gaz.
Pour
cela, l'équipage ne doit plus être considéré comme le principal moyen de
détection
et de traitement des pannes.
Or, un ensemble de gestion de vol, de type FMS ( Flight Management
System en anglais), qui est responsable de la gestion du plan de vol, du
calcul de
la trajectoire et des déviations/ordres de guidage fonctionne nominalement
avec
deux systèmes de gestion de vol, qui opèrent en mode dual. Dans ce mode de
fonctionnement nominal coopératif, l'un des systèmes de gestion de vol est
considéré comme maître, et il impose à l'autre, qui est considéré comme
esclave, de
réaliser certaines opérations en particulier au niveau de la gestion du plan
de vol
afin lui permettre de rester synchronisé audit système maître. Parmi ces
opérations,
on trouve, en particulier, des requêtes de séquencement de la trajectoire pour
que
les deux systèmes de gestion de vol restent synchronisés et puissent fournir
des
informations cohérentes à l'équipage.
Or, dans un contexte d'opérations aériennes nécessitant une garantie de
performance de navigation et de guidage, la trajectoire latérale est une
donnée
critique, puisqu'elle a un impact direct sur le guidage de l'aéronef et sur la
tenue du
couloir de protection par rapport aux obstacles. Par le fonctionnement en mode
dual, une information erronée du système maître peut corrompre le système
esclave sans qu'aucun problème ne soit détecté, ni par les systèmes, ni par
l'équipage. Si une information erronée conduit le système maître à séquencer
son
plan de vol latéral alors qu'il ne devrait pas, il imposera ce séquencement au
système esclave. Ainsi, le séquencement erroné sera effectué de manière
cohérente
et quasi-simultanée par les deux systèmes de gestion de vol.
CA 2762963 2018-04-18
5
Un tel mode de fonctionnement n'est donc pas compatible avec la
conduite d'opérations aériennes nécessitant une garantie de performance de
navigation et de guidage.
SOMMAIRE DE L'INVENTION
La présente invention a pour objet de remédier aux inconvénients précités.
Elle concerne un procédé de surveillance automatique d'un ensemble de gestion
de
vol d'un aéronef mettant en oeuvre des opérations aériennes nécessitant une
garantie de performance de navigation et de guidage. La présente invention
s'applique à un ensemble de gestion de vol comprenant un premier système de
gestion de vol, de type maître, qui opère en mode dual avec un second système
de
gestion de vol, de type esclave, et qui, en cas de détection d'une obligation
de
réaliser une opération affectant son plan de vol, émet, à destination dudit
second
système de gestion de vol, une requête demandant d'effectuer au moins une
opération affectant le plan de vol de ce dernier.
En accord avec un aspect, l'invention a pour objet un procédé d'opération et
de surveillance automatique d'un ensemble de gestion de vol d'un aéronef
mettant
en uvre des opérations aériennes nécessitant une garantie de performance de
navigation et de guidage, ledit ensemble de gestion de vol comprenant un
premier
système de gestion de vol et un second système de gestion de vol, le procédé
comprenant :
opérer ledit premier et ledit second systèmes de gestion de vol en mode
dual, de manière à ce que ledit premier système de gestion de vol agisse comme
un
système maître et que ledit second système de gestion de vol agisse comme un
système esclave, avec une intercommunication entre ledit système maître et
ledit
système esclave ;
CA 2762963 2018-04-18
6
détecter, avec des moyens de détection usuels du premier système de
gestion de vol, une obligation de réaliser une opération affectant un plan de
vol
dudit premier système de gestion de vol,
émettre une requête, avec des moyens de communication usuels dudit
premier système de gestion de vol, à destination dudit second système de
gestion
de vol, ladite requête demandant d'effectuer au moins une opération affectant
un
plan de vol dudit second système de gestion de vol,
lors de l'émission de la requête, vérifier, avec des moyens de vérifications
de
changements de conditions usuels couplés avec ledit second système de gestion
de
vol, que des conditions pour mettre en oeuvre ladite requête sont remplies ;
et
effectuer l'une des opérations suivantes, avec des moyens vérifiant des
changements d'implémentation dudit second système de gestion de vol, en
fonction de l'étape de vérification :
= si lesdites conditions sont remplies, implémenter ladite requête dans
ledit
second système de gestion de vol, de manière que ledit premier et ledit
second systèmes de gestion de vol continuent d'opérer en mode dual avec
ledit premier système de gestion de vol agissant comme le système maître et
communicant avec ledit second système de gestion de vol agissant comme le
système esclave; ou
= si les conditions ne sont pas remplies, bloquer l'implémentation de ladite
requête dans ledit second système de gestion de vol, de manière à ce que
ledit premier et ledit second systèmes de gestion de vol opèrent dans un
mode indépendant, dans lequel ledit premier et ledit second systèmes de
gestion de vol n'opèrent pas comme des systèmes maître et esclave avec une
intercommunication entre ledit système maître et ledit système esclave et
émettre un signal d'alerte avec des moyens d'alarme usuels pour notifier un
équipage de l'aéronef que le mode indépendant est utilisé.
CA 2762963 2018-11-06
7
En accord avec un autre aspect, l'invention a pour objet un dispositif
d'opération et de surveillance automatique d'un ensemble de gestion de vol
d'un
aéronef mettant en oeuvre des opérations aériennes nécessitant une garantie de
performance de navigation et de guidage, ledit ensemble de gestion de vol
comprenant un premier système de gestion de vol et un second système de
gestion
de vol opérant en mode dual, de manière à ce que ledit premier système de
gestion
de vol agisse comme un système maître et que ledit second système de gestion
de
vol agisse comme un système esclave, et qui, en cas d'une détection d'une
obligation de réaliser une opération affectant un plan de vol dudit premier
système
de gestion de vol, ledit premier système de gestion de vol est configuré de
manière
à émettre à destination dudit second système de gestion de vol, une requête
demandant d'effectuer au moins une opération affectant un plan de vol du
second
système de gestion de vol, ledit dispositif comprenant :
une unité d'activation activant ledit dispositif lorsque ledit premier et
ledit
second systèmes de gestion de vol opèrent en mode dual ;
des moyens de vérifications de changements de conditions usuels vérifiant,
lors de l'émission de ladite requête dudit premier système de gestion de vol,
que
des conditions pour mettre en oeuvre ladite requête sont remplies, dans lequel
lesdits moyens de vérifications de changements usuels ordonnent audit second
système de gestion de vol d'effectuer l'opération demandée par ladite requête
si
lesdites conditions sont remplies, de manière à ce que ledit premier et ledit
second
systèmes de gestion de vol continuent à opérer en mode dual, avec ledit
premier
système de gestion de vol agissant comme le système maître et communicant avec
ledit second système de gestion de vol agissant comme le système esclave, et
dans
lequel lesdits moyens de vérifications de changements usuels ordonnent audit
second système de gestion de vol de ne pas effectuer ladite opération demandée
par ladite requête si lesdites conditions ne sont pas remplies, ledit premier
et ledit
CA 2762963 2018-04-18
8
second systèmes de gestion de vol opérant alors dans un mode indépendant, dans
lequel ledit premier et ledit second système de gestion de vol n'opèrent pas
comme
des systèmes maître et esclave avec une intercommunication entre ledit système
maître et ledit système esclave ; et
des moyens d'alarme usuels émettant un signal d'alerte, si lesdites
conditions ne sont pas remplies, de manière à notifier un équipage de
l'aéronef que
le mode indépendant est utilisé.
En accord avec un autre aspect, l'invention a pour objet un aéronef,
comprenant :
un dispositif d'opération et surveillance automatique d'un ensemble de
gestion de vol d'un aéronef mettant en oeuvre des opérations aériennes
nécessitant
une garantie de performance de navigation et de guidage, ledit ensemble de
gestion
de vol comprenant un premier système de gestion de vol et un second système de
gestion de vol opérant en mode dual, de manière à ce que ledit premier système
de
gestion de vol agisse comme un système maître et que ledit second système de
gestion de vol agisse comme un système esclave, avec une intercommunication
entre ledit système maître et ledit système esclave et, qui, en cas d'une
détection
d'une obligation de réaliser une opération affectant un plan de vol dudit
premier
système de gestion de vol, ledit premier système de gestion de vol est
configuré de
manière à émettre à destination dudit second système de gestion de vol, une
requête demandant d'effectuer au moins une opération affectant un plan de vol
dudit second système de gestion de vol, ledit dispositif comprenant :
une unité d'activation activant ledit dispositif lorsque ledit premier et
ledit
second systèmes de gestion de vol opèrent en mode dual ;
des moyens de vérifications de changements de conditions usuels vérifiant,
lors de l'émission de ladite requête dudit premier système de gestion de vol,
que
des conditions pour mettre en oeuvre ladite requête sont remplies, dans lequel
CA 2762963 2018-11-06
9
lesdits moyens de vérifications de changements usuels ordonnent audit second
système de gestion de vol d'effectuer ladite opération demandée par ladite
requête
si lesdites conditions sont remplies, de manière à ce que ledit premier et
ledit
second systèmes de gestion de vol continuent à opérer en mode dual avec ledit
premier système de gestion de vol agissant comme le système maître et
communicant avec ledit second système de gestion de vol agissant le système
esclave, et dans lequel lesdits moyens de vérifications de changements usuels
ordonnent audit second système de gestion de vol de ne pas effectuer
l'opération
demandée par ladite requête si lesdites conditions ne sont pas remplies, ledit
premier et ledit second systèmes de gestion de vol opérant alors dans un mode
indépendant, dans lequel ledit premier et ledit second système de gestion de
vol
n'opèrent pas comme des systèmes maître et esclave avec une intercommunication
entre ledit système maître et ledit système esclave ; et
des moyens d'alarme usuels émettant un signal d'alerte, si lesdites
conditions ne sont pas remplies, de manière à notifier un équipage de
l'aéronef que
le mode indépendant est utilisé.
Des modes de réalisation préférentiels sont décrits ci-après.
A cet effet, selon l'invention, ledit procédé surveillance automatique d'un
ensemble de gestion de vol, est remarquable en ce que, si ledit procédé est
activé,
lors de l'émission d'une telle requête, on met en oeuvre les opérations
suivantes :
a) on vérifie que des conditions pour mettre en oeuvre ladite requête sont
remplies ;
et
b) en fonction de cette vérification :
* si lesdites conditions sont remplies, ledit second système de gestion de vol
effectue l'opération demandée par cette requête ; et
CA 2762963 2018-04-18
10
* si lesdites conditions ne sont pas remplies, ledit second système de gestion
de
vol n'effectue pas l'opération demandée par cette requête, et on émet un
signal
d'alerte.
De plus, de préférence, à l'étape b) :
- si lesdites conditions sont remplies, les deux systèmes de gestion de vol
continuent d'opérer en mode dual ; et
- si lesdites conditions ne sont pas remplies, les deux systèmes de gestion de
vol
vont opérer dans un mode indépendant.
Ainsi, grâce à l'invention, on vérifie si les conditions nécessaires
(précisées
ci-dessous) sont remplies pour mettre en uvre une requête émise par un
premier
système (de gestion de vol), de type maître, qui opère en mode dual avec un
second
système (de gestion de vol) de type esclave. Et ledit second système de
gestion de
vol effectue l'opération demandée par cette requête uniquement si lesdites
conditions sont bien remplies.
En outre, lorsque lesdites conditions ne sont pas remplies, on prévient
l'équipage de la situation par l'émission d'un signal d'alerte, et de
préférence, on
fait opérer les deux systèmes de gestion de vol dans un mode indépendant.
Par conséquent, la présente invention fournit une solution robuste aux
pannes simples de sorte qu'un mode de fonctionnement dual usuel, auquel on
applique cette solution, devient compatible avec la conduite d'opérations
aériennes
nécessitant une garantie de performance de navigation et de guidage.
Dans un premier mode de mise en oeuvre, ladite requête est une requête de
séquencement du plan de vol. L'invention permet de vérifier si cette requête
doit
être effectuée ou non, quelles que soient les conditions de vérification (en
distance,
temporelle ou géométrique). Dans un mode particulier, ladite requête de
séquencement du plan de vol fait suite à une erreur de calcul de la position
de
CA 2762963 2018-04-18
,
11
l'aéronef. Dans ce cas, avantageusement, lors de l'émission d'une telle
requête de
séquencement, à l'étape a) :
- on calcule la différence entre les positions de l'aéronef, dont disposent
respectivement les deux systèmes de gestion de vol ;
-on compare cette différence à une valeur de seuil ; et
- en fonction de cette comparaison, on considère :
* que les conditions pour mettre en oeuvre ladite requête sont remplies, si
cette
différence est inférieure à ladite valeur de seuil ; et
* que les conditions pour mettre en oeuvre ladite requête ne sont pas
remplies, si
cette différence est supérieure ou égale à ladite valeur de seuil.
De plus, avantageusement, si les conditions pour mettre en oeuvre ladite
requête ne sont pas remplies, ledit second système de gestion de vol ne
séquence
pas son plan de vol.
En outre, dans un second mode de mise en oeuvre, ladite requête est une
requête de resynchronisation, relative à une modification du plan de vol ou à
une
différence de plan de vol entre les deux côtés. Dans ce cas, avantageusement,
dans
une première variante de mise en uvre, après insertion dans le plan de vol
d'une
procédure relative à des opérations aériennes nécessitant une garantie de
performance de navigation et de guidage, lors de la préparation d'une phase
d'approche, si une requête de resynchronisation, relative à une modification
du plan
de vol, est émise, à l'étape a) pour vérifier si les conditions pour mettre en
uvre
ladite requête sont remplies, on vérifie si le nouveau plan de vol est
cohérent avec
la procédure en cours, telle qu'issue d'une base de données de navigation.
En outre, de façon avantageuse, dans une seconde variante de mise en
uvre, lors d'une phase d'approche, au cours de laquelle une procédure relative
à
des opérations aériennes nécessitant une garantie de performance de navigation
et
de guidage est mise en oeuvre, si une requête de resynchronisation, relative à
une
CA 2762963 2018-04-18
12
modification du plan de vol, est émise, à l'étape a) pour vérifier si les
conditions
pour mettre en oeuvre ladite requête sont remplies, on vérifie si le nouveau
plan de
vol est cohérent avec la procédure en cours, telle qu'issue d'une base de
données
de navigation.
On notera que la présente invention est applicable à une procédure
d'approche et à une procédure de départ.
Par ailleurs, l'étape a) de surveillance est mise en oeuvre, de préférence, à
l'aide de moyens faisant partie dudit second système de gestion de vol
(système
esclave). Toutefois, il est également envisageable de mettre en oeuvre l'étape
a) à
l'aide de moyens externes audit second système de gestion de vol, par exemple
des
moyens dudit système maître ou d'un autre système ou équipement de l'aéronef.
Par ailleurs, l'activation des opérations réalisées aux étapes a) et b) peut
être
mise en oeuvre :
- de façon automatique, de préférence en fonction de la configuration de
l'aéronef et
de données courantes du vol ; et/ou
- de façon manuelle par un opérateur, à l'aide d'une interface
homme/machine.
La présente invention concerne également un dispositif de surveillance
automatique d'un ensemble de gestion de vol, tel que précité, d'un aéronef
mettant
en oeuvre des opérations aériennes nécessitant une garantie de performance de
navigation et de guidage.
Selon l'invention, ledit dispositif est remarquable en ce qu'il comporte :
- des moyens d'activation dudit dispositif ;
- des moyens pour vérifier, lors de l'émission d'une requête (demandant
d'effectuer
au moins une opération affectant le plan de vol), que des conditions pour
mettre en
oeuvre ladite requête sont remplies ;
- des moyens ordonnant au second système de gestion de vol d'effectuer
l'opération demandée par cette requête, si lesdites conditions sont remplies ;
CA 2762963 2018-04-18
,
,
13
- des moyens ordonnant audit second système de gestion de vol de ne pas
effectuer
l'opération demandée par cette requête, si lesdites conditions ne sont pas
remplies ;
et
- des moyens pour émettre un signal d'alerte, si lesdites conditions ne sont
pas
remplies.
En outre, dans un mode de réalisation préféré, ledit dispositif comporte, de
plus, au moins une base de données de navigation utilisée pour la vérification
précitée. De préférence, chaque système de gestion de vol comporte sa propre
base
de données.
La surveillance conforme à l'invention est particulièrement adaptée au
contexte RNP, mais peut être étendue à tout vol qui nécessite un niveau élevé
d'intégrité, de robustesse aux pannes et de surveillance, pour le suivi d'un
plan de
vol. Cette surveillance prévoit donc :
- des moyens de surveillance des ordres imposés par le système maître au
système
esclave ; et
- des logiques de fonctionnement particulières, lorsque des incohérences
sont
détectées entre le système maître et le système esclave.
La présente invention concerne également :
- un ensemble de gestion de vol d'un aéronef mettant en oeuvre des opérations
aériennes nécessitant une garantie de performance de navigation et de guidage,
ledit ensemble comprenant un premier système de gestion de vol, de type
maître, et
un second système de gestion de vol, de type esclave, qui opèrent en mode
dual,
ainsi qu'un dispositif de surveillance tel que celui précité. De préférence,
ledit
ensemble de gestion de vol est symétrique, chacun desdits systèmes de gestion
de
vol pouvant jouer le rôle de maître (ou d'esclave) sachant qu'a un instant
donné, il
n'existe qu'un maître et un esclave ; et/ou
- un aéronef, en particulier un avion de transport, qui est muni d'un tel
ensemble de
CA 2762963 2018-04-18
14
gestion de vol et/ou d'un tel dispositif de surveillance.
DESCRIPTION DE LA FIGURE
L'unique figure du dessin annexé fera bien comprendre comment l'invention
peut être réalisée. Cette figure unique est le schéma synoptique d'un ensemble
de
gestion de vol, comportant un dispositif conforme à l'invention.
DESCRIPTION DÉTAILLÉE
Le dispositif de surveillance 1 conforme à l'invention et représenté
schématiquement sur la figure unique est destiné à surveiller automatiquement
un
ensemble de gestion de vol 2 d'un aéronef (non représenté), en particulier
d'un
avion de transport, qui est susceptible de mettre en oeuvre des opérations
aériennes
nécessitant une garantie de performance de navigation et de guidage.
Ledit ensemble de gestion de vol 2 qui est responsable, de façon usuelle, de
la gestion du plan de vol, du calcul de la trajectoire et des
déviations/ordres de
guidage, comporte, notamment, un contrôleur de gestion de vol 3 qui comprend :
- un premier système de gestion de vol 4, qui est considéré comme maître ; et
- un second système de gestion de vol 5, qui est considéré comme esclave, tous
deux étant de type FMS ( Flight Management System en anglais).
De préférence, ledit ensemble de gestion de vol 2 est symétrique, chacun
desdits systèmes de gestion de vol 4, 5 pouvant jouer le rôle de maître (ou
d'esclave) sachant qu'à un instant donné, il n'existe qu'un maître et un
esclave.
Ledit ensemble de gestion de vol 2 comporte également :
- un ensemble 6 de sources d'informations, qui est relié par l'intermédiaire
d'une
liaison 7 audit contrôleur de gestion de vol 3 et qui fournit notamment, de
façon
usuelle, le plan de vol de l'aéronef, ainsi que les valeurs courantes de
paramètres
relatifs au vol de l'aéronef et à son environnement ;
CA 2762963 2018-04-18
,
- une base de données de navigation 8 qui est reliée par l'intermédiaire d'une
liaison
9 audit contrôleur de gestion de vol 3 et qui contient des données de
navigation et
des informations relatives à une procédure RNP ; et
- une interface homme/machine 10 qui est reliée par l'intermédiaire d'une
liaison 11
5 à ladite unité 3.
Lesdits systèmes de gestion de vol 4 et 5 qui sont reliés ensemble par
l'intermédiaire d'une liaison 12 de manière à opérer en mode dual. A cet
effet, ledit
système de gestion de vol 4 comporte :
- des moyens de détection usuels 13 qui sont susceptibles de détecter une
10 obligation de réaliser une opération affectant le plan de vol dudit
système 4;
- des moyens de vérifications de changements usuels 14 pour réaliser
l'opération
affectant le plan de vol, lors d'une détection par lesdits moyens de détection
usuels
13 ; et
- des moyens de communication usuels 15 pour émettre à destination dudit
15 système 5, une requête demandant à ce dernier d'effectuer au moins une
opération
affectant le plan de vol dudit système 5, en cas de détection par les moyens
de
détection usuels 13 d'une obligation de réaliser une opération telle que
précitée.
En outre, ledit second système de gestion de vol 5 comporte :
- des moyens de communication usuels 17 qui sont destinés à recevoir une
requête
émise par les moyens de communication usuels 15; et
- des moyens de vérifications de changements usuels 18 pour réaliser
l'opération
demandée par une requête.
La présente invention concerne un dispositif de surveillance 1 pour surveiller
automatiquement l'ensemble de gestion de vol 2 de l'aéronef qui met en oeuvre
des
opérations aériennes nécessitant une garantie de performance de navigation et
de
guidage.
Selon l'invention, pour ce faire, ledit dispositif de surveillance 1 comporte
:
CA 2762963 2018-04-18
16
- une unité d'activation 20 pour activer le dispositif de surveillance1, qui
est par
exemple relié par l'intermédiaire d'une liaison 21 au contrôleur de gestion de
vol 3;
- des moyens de vérifications de changements de conditions usuels 22:
= pour vérifier, lors de l'émission d'une requête (demandant d'effectuer au
moins une opération affectant le plan de vol), que des conditions pour mettre
en oeuvre ladite requête sont remplies ; et
= pour ordonner audit second système de gestion de vol 5:
d'effectuer l'opération demandée par cette requête, si lesdites
conditions sont remplies ; et
= de ne pas effectuer l'opération demandée par cette requête, si lesdites
conditions ne sont pas remplies ; et
- des moyens d'alarme usue1s23 qui sont, par exemple, reliés par
l'intermédiaire
d'une liaison 24 audit contrôleur de gestion de vol 3 et qui sont formés de
manière à
émettre un signal d'alerte, si lesdites conditions ne sont pas remplies.
Lesdits moyens d'alarme usuels 20 sont formés, de préférence, de manière à
émettre au moins une alerte (visuelle ou sonore) dans le poste de pilotage de
l'aéronef.
Le fonctionnement usuel d'un mode dual n'étant pas acceptable dans un
contexte d'opérations aériennes nécessitant une garantie de performance de
navigation et de guidage, puisqu'une panne du système maître pourrait être
automatiquement propagée au système esclave sans que l'équipage ne puisse le
détecter, une surveillance est donc mise en place, dans le cadre de la
présente
invention, de préférence au niveau du système esclave 5, dans le but de
vérifier les
requêtes envoyées par le système maître 4, pour toute information erronée
pouvant
impacter la trajectoire latérale ou le guidage associé.
Ainsi, le dispositif de surveillance 1 conforme à l'invention permet de
vérifier
si les conditions nécessaires sont remplies pour mettre en oeuvre une requête
émise
CA 2762963 2018-04-18
17
par le système maître 4, qui opère en mode dual avec le système esclave 5. Et
ledit
système esclave 5 effectue l'opération demandée par cette requête uniquement
si
lesdites conditions sont bien remplies.
En outre, lorsque lesdites conditions ne sont pas remplies, l'équipage est
prévenu par les moyens d'alarme usuels 23 grâce à l'émission d'un signal
d'alerte
correspondant dans le poste de pilotage de l'aéronef.
De plus, de préférence, dans ce cas, ledit dispositif 1 fait opérer les deux
systèmes de gestion de vol 4 et 5 dans un mode indépendant, qui remplace le
mode
dual utilisé jusque-là.
Par conséquent, la présente invention fournit une solution robuste aux
pannes simples de sorte qu'un mode de fonctionnement dual usuel, auquel on
applique cette solution, devient compatible avec la conduite d'opérations
aériennes
nécessitant une garantie de performance de navigation et de guidage.
Pour remplir cet objectif, deux éléments de surveillance (faisant partie des
moyens de vérifications de changements de conditions usuels 22) peuvent être
mis
en place entre le système maître 4 et le système esclave 5, à savoir :
- un élément de surveillance de séquencement 22a de la trajectoire ; et
- un élément de surveillance des resynchronisations 22b du système esclave 5
sur le
système maître 4.
Ces deux éléments de surveillance 22a, 22b permettent de surveiller la
gestion de la trajectoire latérale et de protéger le plan de vol de chaque
système de
gestion de vol 4, 5. Sans requérir aucune action de l'équipage, ces éléments
de
surveillance 22a, 22bpermettent de garantir en permanence l'indépendance des
deux systèmes de gestion de vol 4 et 5 même en mode dual. Chaque requête du
système maître 4 est vérifiée par le système esclave 5 qui la prend en compte
uniquement s'il se trouve en conditions de le faire. En cas de désaccord,
l'équipage
CA 2762963 2018-04-18
18
est prévenu et le mode d'opération peut être dégradé (passage du mode dual au
mode indépendant).
Afin de limiter le temps d'exposition de ces deux éléments de surveillance
22a, 22b, ils ne s'appliquent qu'aux procédures RNP AR dites Low RNP ,
c'est-à-
dire aux procédures pour lesquelles la valeur courante de RNP est inférieure
ou
égale à 0,3 mm. L'activation de ces éléments de surveillance 22a, 22b est,
dans ce
cas, automatique et ne nécessite aucune action de l'équipage.
Dans le cadre de la présente invention, l'activation dudit dispositif de
surveillance 1 peut être mise en oeuvre :
- de façon automatique, de préférence en fonction de la configuration de
l'aéronef et
de données courantes du vol, par des senseurs automatisées 20a faisant partie
de
ladite unité d'activation 20. En particulier, l'activation peut être mise en
oeuvre avant
que l'aéronef n'entre dans une procédure RNP AR, afin de vérifier que les deux
systèmes de gestion de vol 4 et 5 se trouvent dans la configuration adéquate
et
d'alerter l'équipage si ce n'est pas le cas; et/ou
- de façon manuelle par un opérateur, à l'aide d'une interface homme/machine
(e.g.,
l'élément 10 sur la figure) ou, alternativement faisant partie de l'unité
d'activation
20, de préférence au moyen d'une page d'écran permettant à l'équipage
d'interagir
avec l'ensemble 2.
Dans un premier mode de mise en oeuvre, ladite requête est une requête de
séquencement du plan de vol. L'invention permet de vérifier si cette requête
doit
être effectuée ou non, quelles que soient les conditions de vérification (en
distance,
temporelle ou géométrique). De préférence, ladite requête de séquencement du
plan de vol fait suite à une erreur de calcul de la position de l'aéronef.
Dans ce cas,
lors de l'émission d'une telle requête de séquencement par les moyens de
communications usuels 15, les moyens de vérifications de changements de
CA 2762963 2018-04-18
,
,
19
conditions usuels 22 réalisent les opérations suivantes, à l'aide d'un élément
de
surveillance de séquencement 22a :
- calculer la différence entre les positions de l'aéronef, dont disposent
respectivement les deux systèmes de gestion de vol 4 et 5;
- comparer cette différence à une valeur de seuil prédéterminée ; et
- en fonction de cette comparaison, considérer :
= que les conditions pour mettre en oeuvre ladite requête sont remplies, si
cette
différence est inférieure à ladite valeur de seuil ; et
= que les conditions pour mettre en oeuvre ladite requête ne sont pas
remplies,
'Io si cette différence est supérieure ou égale à ladite valeur de seuil.
De plus, si les conditions pour mettre en oeuvre ladite requête ne sont pas
remplies, ledit système de type esclave 5 ne séquence pas son plan de vol.
Ce premier mode de mise en oeuvre correspond à la situation qui suit.
L'équipage vole une procédure RNP AR, en modes automatiques (asservissement
de l'aéronef sur sa trajectoire latérale, verticale et en vitesse), et les
surveillances
RNP sont actives. Le fonctionnement de l'aéronef et des systèmes impliqués
dans
les surveillances est nominal. Du côté du pilote, une erreur de calcul de la
position
de l'aéronef se produit. Quelle que soit sa cause, cette panne conduit le
système
maître 4 (qui se trouve de ce côté) à se retrouver dans des conditions
autorisant à
séquencer le prochain point de passage sur le plan de vol. Il envoie (à l'aide
des
moyens de communication usuels 15) une requête de séquencement au système
esclave 5, conformément au mode d'opération dual. Deux situations peuvent se
présenter alors :
- soit le système esclave 5 se trouve également dans les conditions de
séquencement (différence de position faible entre les deux systèmes 4 et 5),
et dans
ce cas aucun problème n'est détecté et:
= le système maître 4 effectue le séquencement; et
CA 2762963 2018-04-18
20
= le système esclave 5 accepte la requête du système maître 4 et séquence
son
plan de vol;
- soit le système esclave 5 ne se trouve pas dans les conditions de
séquencement, et
un conflit est alors détecté entre les deux systèmes 4 et 5 et:
= le système maître 4 effectue son séquencement ; mais
= le système esclave 5 n'accepte pas la requête du système maître 4 et ne
séquence pas son plan de vol.
Dans la première situation, les deux systèmes 4 et 5 restent synchronisés, et
ils continuent à collaborer en mode dual.
En revanche, dans la seconde situation, les deux systèmes 4 et 5 ne peuvent
pas rester synchronisés (les plans de vol étant différents), et le mode dual
est
remplacé par le mode indépendant. Il n'y a plus de communication entre les
deux
systèmes 4 et 5. Le système maître 4 n'impose plus rien au système esclave 5.
Ce
passage en mode indépendant est détecté par les autres systèmes impliqués dans
les surveillances RNP, ce qui entraîne des reconfigurations dans le poste de
pilotage, qui sont visibles pour l'équipage.
Par ailleurs, dans un second mode de mise en uvre, ladite requête est une
requête de resynchronisation, relative à une modification du plan de vol, ou à
une
différence de plan de vol (entre les deux côtés de l'aéronef).
Dans ce cas, deux situations sont à distinguer.
Dans une première situation relative à une première variante de mise en
oeuvre, après insertion dans le plan de vol d'une procédure relative à des
opérations
aériennes nécessitant une garantie de performance de navigation et de guidage,
lors de la préparation d'une phase d'approche, si une requête de
resynchronisation
(relative à une modification du plan de vol) est émise par les moyens de
communication usuels 15, les moyens de vérifications de changements de
conditions usuels 22 vérifient si le nouveau plan de vol est cohérent avec la
CA 2762963 2018-04-18
21
procédure en cours, telle qu'issue de la base de données de navigation 8 en
utilisant
l'élément de surveillance des resynchronisations 22b.
Dans cette première situation, l'aéronef est en vol, typiquement en phase de
croisière, et l'équipage prépare l'approche d'une piste d'un aéroport en vue
d'un
atterrissage, en insérant dans le plan de vol une procédure RNP AR. Après
insertion
de cette procédure, une panne induit une modification dans le plan de vol du
système maître 4. Il existe donc une incohérence entre les plans de vol des
deux
systèmes 4 et 5. Cette incohérence n'est pas détectable par l'équipage, mais
elle
affecte la procédure RNP AR. Conformément au mode de fonctionnement dual, le
système maître 4 envoie un ordre de resynchronisation au système esclave 5
pour
lui demander d'effacer son propre plan de vol et de se réinitialiser avec les
données
du système maître 4. Le système esclave 5 reçoit le nouveau plan de vol,
détecte la
présence d'une procédure RNP AR et la compare avec la procédure RNP AR se
trouvant dans la base de données de navigation 8. Compte tenu de la panne
initiale
qui a affecté le plan de vol du système maître 4, les moyens de vérifications
de
changements de conditions usuels 22 du système esclave 5 détectent une
incohérence entre ce nouveau plan de vol et la procédure issue de la base de
données 8. Le système esclave 5 refuse la resynchronisation, et un message
d'alerte
est émis par les moyens d'alarme usuels 23, pour prévenir l'équipage, afin
qu'il
puisse prenne conscience du problème avant d'entrer en procédure RNP AR. En
conséquence, l'équipage a le temps de recharger la procédure RNP dans les
systèmes 4 et 5 et de s'assurer que les plans de vol sont conformes.
Dans une seconde situation relative à une seconde variante de mise en
uvre, lors d'une phase d'approche d'une piste d'un aéroport en vue d'un
atterrissage, au cours de laquelle une procédure relative à des opérations
aériennes
nécessitant une garantie de performance de navigation et de guidage est mise
en
oeuvre, si une requête de resynchronisation (relative à une modification du
plan de
CA 2762963 2018-04-18
,
,
22
vol) est émise par les moyens de communication usuels 15, les moyens de
vérifications de changements de conditions usuels 22 vérifient si le nouveau
plan de
vol est cohérent avec la procédure en cours, telle qu'issue de la base de
données de
navigation 8 en utilisant l'élément de surveillance des resynchronisations
22b.
Dans cette seconde situation, l'aéronef est en vol, typiquement en phase
d'approche, et vole selon une procédure RNP AR. Une panne induit une erreur
dans
le plan de vol (et donc dans la procédure RNP AR en cours) du système maître
4.
Comme dans le cas précédent, une incohérence est détectée entre les deux
systèmes 4 et 5, et le système maître 4 demande au système esclave 5 de se
resynchroniser sur lui. Le système esclave 5 reçoit cette requête et le
nouveau plan
de vol. Il détecte, à l'aide des moyens de vérifications de changements de
conditions usuels 22, l'incohérence avec la procédure RNP AR se trouvant dans
la
base de données 8. Il refuse la resynchronisation et la communication entre
les
deux systèmes 4 et 5, et le mode dual est alors abandonné au profit du mode
indépendant, ce qui permet d'éviter une propagation de l'information erronée
du
système maître 4 vers le système esclave 5. Ce mode de fonctionnement
indépendant est conservé et le blocage de la synchronisation est maintenu tant
que
l'aéronef vole selon cette procédure RNP AR.
La présente invention peut s'appliquer à une procédure d'approche, comme
décrit précédemment, mais également à une procédure de départ.
L'architecture et les différentes fonctions de surveillance, décrites ci-
dessus,
permettent à l'aéronef de se conformer aux exigences de sécurité inhérentes
aux
opérations RNP AR, en étant en mesure de détecter et d'identifier
automatiquement
un système défaillant. L'équipage peut, en outre, suivre et surveiller la
bonne tenue
de l'opération.
La présente invention est adaptée à des opérations aériennes de type RNP,
mais elle peut également être utilisée pour tout vol qui nécessite un niveau
élevé
CA 2762963 2018-04-18
23
d'intégrité, de robustesse aux pannes et de surveillance, pour le suivi d'un
plan de
vol. Par exemple, elle peut être utilisée pour des opérations en environnement
montagneux, pour lesquelles des procédures RNP n'auraient pas été créées.
Par ailleurs, la surveillance conforme à l'invention est mise en oeuvre à
l'aide
de moyens de vérifications de changements de conditions usuels 22 faisant
partie,
de préférence, dudit second système de gestion de vol 5 (système esclave).
Toutefois, il est également envisageable de mettre en oeuvre la surveillance à
l'aide
de moyens externes audit système esclave 5, par exemple des moyens faisant
partie dudit système maître 4 ou d'un autre système de l'aéronef.
CA 2762963 2018-04-18
