Note: Descriptions are shown in the official language in which they were submitted.
s
I
Système d'assistance pour la mise en oeuvre de procédures d'aéronef comprenant
un enchaînement d'opérations à dérouler, et procédé associé
La présente invention concerne un système d'assistance pour la mise en oeuvre
de procédures d'aéronef comprenant un enchaînement d'opérations à dérouler, le
système comportant :
- une base de données de procédures recevant les spécifications d'une
pluralité
de procédures à effectuer en fonction d'états de fonctionnement donnés de
systèmes
fonctionnels de l'aéronef ;
- un module d'affichage et/ou de validation, propre à recueillir les
spécifications de
la procédure à partir de la base de données de procédures, à afficher au moins
une
information caractéristique d'au moins une opération de la procédure sur la
base des
spécifications recueillies, et/ou à recevoir une validation d'exécution d'au
moins une
opération de la procédure.
Un tel système est destiné à être utilisé dans un cockpit de l'aéronef, afin
d'alléger
la charge de travail de l'équipage lors de l'exécution de procédures requises
lors de
l'évolution de l'aéronef. Dans certains cas, il peut pallier l'absence d'un
membre
d'équipage. Au sol, il peut également être mis en uvre par un opérateur de
maintenance
depuis le cockpit ou bien à distance de l'aéronef.
Les procédures sont par exemple des procédures de vérification à mettre en
oeuvre avant un vol, pour vérifier le bon fonctionnement des différents
systèmes de
l'aéronef, des procédures de navigation à mettre en oeuvre en cours de vol,
par exemple
lors d'un changement de phase de vol, ou des procédures de pannes à mettre en
oeuvre
en cas de pannes d'un ou plusieurs équipements de l'aéronef.
Chaque procédure comprend généralement une série d'opérations définies par le
constructeur et/ou par l'exploitant et validées généralement par les autorités
de
certification. Ces procédures sont enchaînées sous forme de listes.
Les opérations sont par exemple des actions à exécuter telles que des
commandes à destination d'un système avion, avec vérification de leur
application, des
questions à l'équipage avec une réponse simple attendue, ou des demandes
d'actions de
l'équipage. D'autres opérations sont également purement informatives, telles
que des
envois de messages et/ou d'information à l'équipage, sans réponse attendue.
Lorsqu'une procédure est mise en oeuvre en vol, l'équipage exécute les actions
requises en actionnant des commandes disposées dans le cockpit, soit
directement par
des interrupteurs ou par l'intermédiaire de calculateurs et de logiciels
commandés par
l'équipage.
2
En pilotage traditionnel avec un équipage à deux, un premier membre de
l'équipage s'occupe du pilotage court terme et un deuxième membre de
l'équipage
exécute successivement les différentes actions prévues dans la procédure sous
le
contrôle du premier membre de l'équipage pour les actions significatives ou
irréversibles,
tel qu'une coupure moteur, une extinction incendie...
Les procédures sont généralement listées dans un ou plusieurs manuels
d'opération de l'aéronef, disponibles sous forme papier ou électronique. Un
grand nombre
de procédures sont certifiées et doivent être appliquées strictement par
l'équipage,
notamment en cas de pannes.
Sur les avions modernes, les procédures sont stockées sous forme de fichiers
informatiques dans une base de données et peuvent être affichées sur un écran
du
cockpit lorsqu'elles doivent être mises en oeuvre.
Généralement, les opérations de la procédure sont affichées successivement par
un module d'affichage et de validation, l'équipage devant valider les actions
effectuées au
fur et à mesure de leur exécution.
Dans certains cas, notamment lorsque des pannes multiples sont présentes sur
l'aéronef, plusieurs procédures différentes doivent être mises en oeuvre les
unes après les
autres.
Généralement, l'équipage détermine l'ordre d'exécution des procédures, en
réfléchissant à celles qui sont les plus critiques. Puis, l'équipage déroule
successivement
les différentes procédures à mettre en oeuvre, en effectuant une à une les
actions prévues
dans chaque procédure.
Par ailleurs, pour des raisons de sécurité, notamment dans un contexte de
pannes
multiples, l'équipage doit à chaque instant analyser si une action à effectuer
dans une
procédure particulière est adéquate vis-à-vis de l'état opérationnel actuel de
l'aéronef. En
particulier, si l'action à effectuer entraîne un changement d'état d'un
équipement de
l'aéronef, ce changement d'état peut remettre en cause la bonne conduite de
l'aéronef,
voire la sécurité du vol en fonction des éléments affectés par d'autres
procédures ou
d'autres pannes.
On entend notamment par changement d'état d'un équipement, le passage
d'un état sous tension à un état hors tension ou réciproquement, le passage
d'un état
opérationnel à un état de panne, le changement d'un mode de commande d'un
équipement ou bien encore tout positionnement d'un équipement dans un état
distinct de
l'état précédent (par exemple une position de bec ou de volet ou une
entrée/sortie du train
d'atterrissage).
3
La charge de travail de l'équipage est alors très élevée, dans la mesure où il
doit
conserver l'aéronef en vol, tout en exécutant un grand nombre d'actions
relatives à des
procédures, en déterminant l'ordre préférentiel d'exécution des procédures, et
l'impact de
chaque action d'une procédure sur la conduite du vol.
Un but de l'invention est donc de fournir un système d'assistance pour la mise
en
oeuvre de procédures d'aéronef comprenant un enchaînement d'opérations à
dérouler, le
système simplifiant le travail de l'équipage et réduisant sa charge de
travail, tout en
assurant la sécurité du vol.
A cet effet, l'invention a pour objet un système du type précité, caractérisé
en ce
que le système comporte un module de détermination de conflit, propre à
engendrer, pour
au moins une opération de la procédure, une information de faisabilité de
l'opération de la
procédure au cours du déroulement de la procédure, sur la base d'états de
fonctionnement courants des systèmes fonctionnels de l'aéronef, le module de
détermination de conflit étant propre à transmettre l'information de
faisabilité déterminée
au module d'affichage et/ou de validation.
Le système selon l'invention peut comprendre l'une ou plusieurs des
caractéristiques suivantes, prise(s) isolément ou suivant toute combinaison
techniquement possible :
- les opérations à dérouler comportent une pluralité d'actions à exécuter, le
module de détermination de conflits étant propre à engendrer, pour au moins
une action à
exécuter de la procédure, avantageusement pour chaque action à exécuter
successive de
la procédure, une information de faisabilité de l'action à exécuter de la
procédure au cours
du déroulement de la procédure, sur la base d'états de fonctionnement courants
des
systèmes fonctionnels de l'aéronef, le module de détermination de conflit
étant propre à
transmettre l'information de faisabilité déterminée au module d'affichage
et/ou de
validation.
- l'information de faisabilité est choisie parmi au moins une information de
compatibilité, permettant le déroulement de l'opération de la procédure, et au
moins une
information de conflit permettant d'empêcher le déroulement de l'opération de
la
procédure, le module d'affichage et/ou de validation étant propre à signaler
la réception
d'une information de conflit provenant du module de détermination de conflit.
- le module de détermination de conflit comporte une base de données
d'identification de conflit, définissant une liste d'opérations
conflictuelles, en fonction
d'états de fonctionnements donnés des systèmes fonctionnels de l'aéronef, le
module de
détermination de conflit étant propre à recevoir des informations
représentatives d'états
de fonctionnement courants des systèmes fonctionnels de l'aéronef, à extraire
les
4
opérations conflictuelles correspondant aux états de fonctionnement courants,
à partir de
la base de données d'identification de conflit, et à générer une information
de conflit si
l'opération de la procédure en cours de déroulement est une opération
conflictuelle
correspondant aux états de fonctionnement courants.
- la liste des opérations conflictuelles comprend au moins une opération
entraînant
un changement d'état d'un premier équipement de l'aéronef, incompatible des
états de
fonctionnement et/ou de dysfonctionnement courants d'au moins un deuxième
équipement redondant avec ledit premier équipement.
- le système tel que défini plus haut, comprend un module d'exécution
automatique d'au moins une opération de la procédure, le module d'exécution
automatique étant propre à engendrer automatiquement une commande d'exécution
d'au
moins une opération de la procédure, le module de détermination de conflit
étant propre à
transmettre la commande d'exécution engendrée par le module d'exécution
automatique
lorsque l'information de faisabilité engendrée est une information de
compatibilité et étant
propre à bloquer la commande de l'opération de la procédure lorsque
l'information de
faisabilité engendrée est une information de conflit.
- le module d'exécution automatique est propre à recevoir des informations
représentatives des états de fonctionnement courants des systèmes fonctionnels
de
l'aéronef, et à déterminer lors du déroulement d'une procédure, l'opération
suivante à
dérouler sur la base des états de fonctionnement courants, à partir des
spécifications
présentes dans la base de données de procédure, avantageusement en
sélectionnant
l'opération suivante parmi une pluralité de suites d'opérations possibles en
fonction
d'états de fonctionnement donnés.
- le module d'exécution automatique est propre à requérir et à obtenir une
validation d'un utilisateur, avant d'engendrer une commande d'exécution d'au
moins une
opération de la procédure.
- le module d'exécution automatique est propre à vérifier automatiquement
l'exécution d'une opération de la procédure.
- le système tel que défini plus haut, comprend un module de supervision de
procédure, propre à recevoir des informations représentatives d'états de
fonctionnement
courants des systèmes fonctionnels de l'aéronef, à déterminer, à partir de la
base de
données de procédure, au moins une procédure à exécuter en fonction des états
de
fonctionnement courants, et à activer le module d'affichage et/ou de
validation pour la
mise en oeuvre de la ou chaque procédure à exécuter.
- le module de supervision est propre à déterminer une pluralité de procédures
à
exécuter dans des états de fonctionnement donnés, et à définir un ordre
d'exécution des
5
procédures parmi la pluralité de procédures à exécuter, en fonction des états
de
fonctionnement courants, et de définitions de priorités entre les procédures
contenues
dans la base de données de procédures.
- le système comprend au moins un module d'acquisition de données provenant
des systèmes fonctionnels de l'aéronef, propre à engendrer les informations
représentatives des états de fonctionnement courants des systèmes fonctionnels
de
l'aéronef.
- les opérations au sein de chaque procédure sont choisies parmi des actions à
exécuter telles qu'une analyse d'un état d'un équipement, une commande à
destination
d'un système, avec éventuellement confirmation de l'exécution de la commande,
une
question à l'utilisateur, avec éventuellement l'attente d'une réponse simple,
une demande
d'action de l'utilisateur, une surveillance des actions de l'utilisateur, un
choix parmi
plusieurs suites d'opérations possibles, une validation de prise de
connaissance d'une
information par l'utilisateur, ou des opérations informatives telles que
l'affichage d'un
message, et/ou d'un paramètre relatif à la procédure, sans validation de
l'utilisateur.
- au moins une procédure est une procédure de traitement d'un
dysfonctionnement
ou d'une panne lors d'un vol ou au sol, une procédure de navigation lors d'un
vol, ou une
procédure de vérification lors d'un vol ou au sol, ou une procédure de gestion
de
configuration de l'aéronef lors d'un vol ou au sol.
L'invention a également pour objet un procédé d'assistance lors du déroulement
d'au moins une procédure d'aéronef donnée comprenant un enchaînement
d'opérations à
dérouler, le procédé comprenant les étapes suivantes :
- activation d'un système tel que défini plus haut pour la mise en uvre de la
procédure ;
- recueil des spécifications de la procédure dans la base de données de
procédure,
- affichage par le module d'affichage et/ou de validation d'au moins une
information caractéristique d'au moins une opération de la procédure sur la
base des
spécifications recueillies,
- génération pour au moins une opération de la procédure, d'une information de
faisabilité de l'opération de la procédure au cours du déroulement de la
procédure par le
module de détermination de conflit, sur la base d'informations représentatives
des états
de fonctionnement courants des systèmes fonctionnels de l'aéronef,
- transmission de l'information de faisabilité déterminée au module
d'affichage
et/ou de validation.
6
Le procédé selon l'invention peut comprendre l'une ou plusieurs des
caractéristiques suivantes, prise(s) isolément ou suivant toute combinaison
techniquement possible :
- génération automatique, par le module d'exécution automatique, d'une
commande d'exécution d'au moins une opération à effectuer de la procédure ;
- transmission par le module de détermination de conflit de la commande
d'exécution engendrée par le module d'exécution automatique lorsque
l'information de
faisabilité engendrée est une information de compatibilité ;
- blocage par le module de détermination de conflit de la commande de
l'opération
à exécuter lorsque l'information de faisabilité engendrée est une information
de conflit.
L'invention sera mieux comprise à la lecture de la description qui va suivre,
donnée uniquement à titre d'exemple, et faite en se référant aux dessins
annexes, sur
lesquels :
- la figure 1 est une vue schématique d'un aéronef, muni d'un premier système
d'assistance selon l'invention ;
- la figure 2 est une première fenêtre affichée à l'aide du module d'affichage
et de
validation lors de la mise en uvre d'une première procédure à l'aide du
système
d'assistance selon l'invention ;
- la figure 3 est une deuxième fenêtre affichée à l'aide du module d'affichage
et de
validation lors de la mise en oeuvre d'une deuxième procédure à l'aide du
système
d'assistance selon l'invention ;
- la figure 4 est une troisième fenêtre affichée à l'aide du module
d'affichage et de
validation lors de la mise en uvre d'une troisième procédure à l'aide du
système
d'assistance selon l'invention.
Sur les figures, les écrans d'affichages sont illustratifs de systèmes
d'aéronefs
réels, et sont donc en langue anglaise, conformément à l'affichage standard
dans le
domaine aéronautique. Une traduction en français des indications pertinentes
est donnée
si nécessaire dans la description qui suit.
Un premier système 10 d'assistance à l'équipage d'un aéronef 12 selon
l'invention
est illustré schématiquement par la figure 1.
Le système 10 est destiné à aider l'équipage à mettre en oeuvre des procédures
comprenant un enchaînement d'opérations à dérouler relatives à des systèmes
fonctionnels 14 de l'aéronef 12.
Les systèmes fonctionnels 14 comprennent par exemple un ou plusieurs systèmes
hydrauliques 16, un ou plusieurs systèmes électriques 18, un ou plusieurs
systèmes
,
7
propulseurs 20 de l'aéronef 12 et/ou un ou plusieurs systèmes de
conditionnement 22 de
la cabine. Cette liste peut s'étendre à tous les systèmes contrôlés d'un
aéronef.
Chaque système fonctionnel 14 comporte des équipements et des composants
propres à réaliser des fonctions hydrauliques, électriques, de propulsion, ou
de
conditionnement de l'aéronef 12.
De manière classique, l'aéronef 12 comporte un cockpit 24 occupé par
l'équipage
de l'aéronef 12. Le cockpit 24 comporte au moins un tableau muni d'éléments de
commande physiques ou d'un écran 26 de commande des systèmes fonctionnels 14
de
l'aéronef 12, propre à mettre en uvre des commandes des systèmes fonctionnels
14,
par l'intermédiaire d'interrupteurs physiques ou logiciels actionnés par
l'équipage, ou par
l'intermédiaire de calculateurs et de logiciels pilotés par l'équipage.
Une procédure est constituée d'un enchaînement d'opérations destinées à être
déroulées en fonction d'états de fonctionnement donnés des systèmes
fonctionnels 14 de
l'aéronef 12.
Chaque procédure est par exemple mise en oeuvre sur l'occurrence d'une phase
particulière d'évolution de l'aéronef, par exemple le roulage au sol, le
décollage, le
passage d'une altitude donnée, le passage en croisière.
D'autres procédures sont mises en oeuvre sur l'occurrence d'un
dysfonctionnement ou d'une panne d'un système fonctionnel 14 de l'aéronef 12.
Dans ce cas, la procédure correspond généralement à une configuration ou à une
reconfiguration d'un ou plusieurs équipements d'un ou plusieurs systèmes
fonctionnels 14
de l'aéronef 12, en déroulant des opérations ou un enchaînement d'opérations,
selon les
états de fonctionnement observés des systèmes fonctionnels 14.
Les opérations à dérouler comprennent avantageusement des actions à effectuer,
telles qu'une analyse d'un état d'un équipement, une commande à destination
d'un
système avion, avec confirmation de l'exécution de la commande, une question à
l'équipage, une demande d'action de l'équipage, une surveillance des actions
de
l'équipage, un choix parmi plusieurs suites d'opérations possibles, une
validation de prise
de connaissance d'une information par l'utilisateur. Certaines opérations de
la procédure
sont informatives, sans validation de l'utilisateur telles qu'un affichage
informatif à
l'équipage, par exemple l'envoi d'un message d'information à l'équipage ou
l'affichage
d'un ou plusieurs paramètres relatifs à la procédure.
Une commande est destinée à être transmise à un système avion. Des exemples
de commandes sont l'ouverture ou la fermeture d'une vanne, la commande
d'interrupteurs
électriques...
8
Une commande est généralement suivie dans la procédure d'une vérification de
son application.
Une question à l'équipage est généralement suivie de l'attente d'une réponse
simple, par exemple oui ou non .
Une demande d'action de l'équipage est généralement suivie d'une attente de
l'action, mesurée au travers des effets de l'action grâce à des capteurs des
systèmes
fonctionnels 14.
Une surveillance d'action pilote est parfois suivie d'une confirmation lorsque
cette
action est susceptible d'avoir des conséquences significatives pour la
conduite du vol.
Le choix parmi plusieurs suites d'opérations possibles est déterminé en
fonction
de la valeur d'informations représentatives d'états de fonctionnement des
systèmes
fonctionnels 14, par exemple de l'état d'une vanne, de tensions électriques
observées ou
bien encore de la présence d'un message de panne.
Le choix se traduit par un passage à une suite d'opérations choisies parmi
plusieurs suites d'opérations possibles prévues dans la procédure, en fonction
des états
de fonctionnement courants de l'aéronef, c'est-à-dire des états de
fonctionnement venant
d'être mesurés.
Un affichage simple à l'équipage est informatif. Il n'est généralement suivi
d'aucune action.
Les procédures sont généralement spécifiées en détaillant la liste successive
des
opérations devant être déroulées dans la procédure. Comme indiqué
précédemment, la
procédure peut comprendre des bifurcations, pour suivre des suites
d'opérations
différentes, en fonction d'états de fonctionnement courants des systèmes
fonctionnels 14
ou des réponses de l'équipage aux questions posées au travers d'un module 32
d'affichage et de validation.
Le système d'assistance selon l'invention 10 est mis en oeuvre sur un ou
plusieurs
calculateurs comprenant au moins un processeur et une mémoire recevant des
bases de
données et des modules logiciels propres à être exécutés par le processeur.
En référence à la figure 1, le système 10 comporte une base de données 30 de
procédure, recevant les spécifications d'une pluralité de procédures à
effectuer par
l'équipage en fonction d'états de fonctionnement donnés des systèmes
fonctionnels 14 de
l'aéronef 12, et un module 32 d'affichage et de validation des opérations
successives à
dérouler au cours de chaque procédure donnée.
Le système 10 comporte en outre un module 33 d'acquisition d'informations
représentatives d'états de fonctionnement courants et un module 34 de
supervision,
propre à déterminer les procédures associées à ces états de fonctionnement
courants,
9
et/ou à suivre le déroulé de procédures mises en oeuvre en fonction des états
de
fonctionnement courants.
Le système 10 comporte également un module 36 d'exécution automatique d'au
moins une partie des opérations de la procédure, et un module 38 de
détermination de
conflit et de sécurisation propre à engendrer, pour chaque opération
successive de la
procédure, une information de faisabilité de l'opération de la procédure dans
l'état de
fonctionnement courant des systèmes fonctionnels 14 de l'aéronef 12.
La base de données de procédure 30 comprend la description des procédures,
sous la forme des caractéristiques de chacune des opérations qu'elle contient,
et de
l'ordre successif d'exécution de chacune des opérations.
Elle comprend en outre, pour les procédures comportant plusieurs suites
d'opérations alternatives, une définition des états de fonctionnement
conditionnant le
passage vers l'une ou l'autre des suites d'opérations.
Selon l'invention, la base de données de procédure 30 comprend en outre une
table de priorité, permettant de définir un ordre d'exécution des procédures,
lorsque
plusieurs procédures doivent être exécutées simultanément, en fonction d'états
de
fonctionnement observés des systèmes fonctionnels 14 de l'aéronef 12.
Par exemple, la table comporte une liste d'ensembles d'états de fonctionnement
possibles, susceptibles d'être observés, et pour chaque ensemble d'états de
fonctionnement susceptibles d'être observés, une liste associée de procédures
devant
être exécutées pour cet ensemble d'états de fonctionnement. La table comporte
en outre,
pour chaque procédure dans la liste de procédures associée, un indicateur
d'ordre
d'exécution de la procédure, parmi toutes les procédures à exécuter.
Le module 32 d'affichage et de validation est propre à recueillir les
spécifications
d'une procédure donnée dans la base de données de procédures 30, à afficher
successivement une information caractéristique de chaque opération de la
procédure sur
au moins un écran du tableau de commande 26, obtenue à partir des
spécifications
recueillies, et à recevoir, si necessaire, une validation d'exécution de
l'opération de la
procédure par l'équipage ou par le module d'exécution automatique 36.
L'information caractéristique comprend par exemple un descriptif de
l'opération,
par exemple d'une action à exécuter, accompagné éventuellement d'un indicateur
du
degré d'achèvement de l'opération. En variante, l'information caractéristique
comprend un
message d'avertissement ou un paramètre mesuré, lorsque l'opération déroulée
est
purement informative.
Avantageusement, l'information caractéristique d'une opération postérieure
dans
le déroulé d'une procédure est affichée uniquement lorsque la validation
d'exécution de
10
l'opération antérieure dans la procédure a été effectuée. En variante, les
informations
caractéristiques d'une pluralité d'opérations à dérouler de la procédure sont
affichées
simultanément, et l'affichage de chaque opération est modifié en fonction de
l'état
d'exécution de l'opération.
Le module d'acquisition de données 33 est propre à mesurer des informations
représentatives d'états de fonctionnement courants des différents systèmes ou
équipements fonctionnels 14 de l'aéronef, et à fournir ces informations
d'états de
fonctionnement au module de supervision 34, au module d'exécution automatique
36 et
au module de détermination de conflit 38.
Ces informations représentatives sont par exemple des données de capteurs
présents sur les équipements et composants des systèmes fonctionnels. Les
données
sont représentatives de grandeurs physiques telles que la température, de
positions ou/et
de configurations d'équipements, comme l'état de basculement d'une vanne, la
tension
présente sur un réseau électrique, ou un état de panne déclarée d'un
équipement
D'une manière classique, le module d'acquisition de données 33 est propre à
obtenir des données de capteurs redondants, et à fonctionner de manière multi-
instanciée, avec des sorties votées pour garantir la fiabilité des données.
Le module de supervision 34 est propre à recevoir en continu les données
provenant du module d'acquisition de données 33, représentatives des états de
fonctionnement courants des différents systèmes fonctionnels de l'aéronef 14.
Il est propre à interroger la table de priorité de la base de données de
procédures
30, pour déterminer si les états de fonctionnement courants correspondent à un
ensemble
d'états de fonctionnement possibles dans la liste d'ensembles d'états de
fonctionnement
possibles, pour extraire la ou les procédures associées à ces états de
fonctionnement
possibles et le cas échéant, l'ordre d'exécution des procédures associées.
Le module de supervision 34 est ainsi propre à établir et à transmettre au
module
d'affichage et de validation 32 la liste de la ou des procédures à lancer
lorsque des états
de fonctionnement courants sont mesurés par le module 33, et à fournir, le cas
échéant à
l'équipage un ordre préférentiel d'exécution des procédures, sur la base des
données
présentes dans la table de priorité de la base de données de procédure 30.
Le module de supervision 34 est en outre propre à activer le module
d'exécution
automatique 36, sur la base d'un accord de l'équipage reçu à partir du tableau
de
commande 26, pour dérouler successivement les opérations de chaque procédure
dans
la liste des procédures à lancer.
Le module de supervision 34 est propre à transmettre l'information relative à
la
procédure en cours de réalisation au module de détermination de conflit 38.
=
11
Pour chaque procédure exécutée, le module d'exécution automatique 36 est
propre à charger, dans la base de données 30, la liste des opérations de la
procédure à
dérouler et à recevoir les données provenant du module d'acquisition de
données 33 pour
déterminer les états de fonctionnement courants des différents systèmes
fonctionnels 14
de l'aéronef 12.
Le module d'exécution automatique 36 est propre à déterminer automatiquement
les commandes à effectuer en fonction des états de fonctionnement courants
provenant
du module d'acquisition de données 33.
Il est propre à envoyer, via le module de détermination de conflit 38, les
commandes à effectuer aux systèmes fonctionnels 14, et éventuellement à
mesurer les
effets des commandes envoyées sur les états de fonctionnement observés.
En fonction des états de fonctionnement observés et éventuellement d'une
intervention de l'équipage suite à une question ou à un forçage, le module
d'exécution
automatique 36 est propre à passer d'une opération déjà exécutée à l'opération
suivante
à exécuter dans la procédure.
Pour certaines opérations, prédéfinies comme sans validation dans la
procédure, le module d'exécution automatique 36 est propre à envoyer les
commandes
aux systèmes fonctionnels 14, via le module de détermination de conflit 38,
sans
validation de l'équipage.
Pour d'autres opérations, prédéfinies avec validation dans la procédure,
le
module de détermination de conflit 38, via le module de supervision 34, est
propre à
interroger l'équipage pour obtenir un ordre d'exécution de l'opération, puis,
une fois l'ordre
d'exécution de l'opération obtenue, à envoyer les commandes aux systèmes
fonctionnels
14.
A tout moment, le module d'exécution automatique 36 est propre à être
désactivé
par l'équipage, à partir du tableau de commande 26, pour empêcher l'exécution
automatique d'une commande par le module d'exécution automatique 36 ou au
contraire,
pour forcer l'exécution d'une opération bloquée notamment par le module de
détermination de conflit 38.
Lorsque la procédure comporte des suites d'opérations alternatives, le module
d'exécution automatique 36 est propre à comparer les états de fonctionnement
courants
provenant du module d'acquisition de données 33 avec les états de
fonctionnement
prédéfinis correspondant à chaque suite d'opérations alternative dans la base
de données
de procédures 30, pour déterminer la suite d'opérations particulière devant
être exécutée
avec les états de fonctionnement courants parmi toutes les suites d'opérations
possibles.
12
Le module d'exécution automatique 36 est éventuellement propre à interroger
l'équipage pour obtenir une validation de la suite d'opérations alternatives
sélectionnées
en fonction des états de fonctionnement courants.
Selon l'invention, le module de détermination de conflit 38 est propre à
engendrer,
pour chaque opération successive à dérouler d'une procédure en cours
d'exécution, une
information de faisabilité de l'opération à dérouler de la procédure en
fonction des états
de fonctionnement courants des systèmes fonctionnels 14 de l'aéronef 12, et de
la
procédure en cours de réalisation fournie par le module 34. Le module 38 est
alors propre
à transmettre l'information de faisabilité déterminée au module d'affichage et
de validation
32 et avantageusement, au module de supervision 34 et au module d'exécution
automatique 36 et si nécessaire à bloquer la commande émise par le module
d'exécution
automatique 36.
L'information de faisabilité est soit une information de compatibilité,
permettant
l'exécution de l'opération de la procédure, soit une information de conflit,
susceptible de
bloquer l'exécution de l'opération de la procédure.
Si l'information de faisabilité est une information de compatibilité, le
module de
détermination de conflit 38 est propre à transmettre la commande émise par le
module
d'exécution automatique 36, avec ou sans validation pilote, aux systèmes 14 de
l'aéronef
Une opération peut être considérée comme générant un conflit si elle entraîne
par
exemple le non respect d'une exigence de sureté de fonctionnement de l'aéronef
12 ou
bien le non respect d'une contrainte liée à la mission telle que, par exemple,
un critère de
confort, une restriction d'usage de l'aéronef 12 afin d'en limiter son
endommagement ou
le suivi d'un plan de vol.
A cet effet, le module de détermination de conflit 38 comporte une base de
données d'identification de conflit 50.
La base de données d'identification de conflit 50 comporte au moins une table
d'incompatibilité définissant une liste d'opérations conflictuelles en
présence d'un
ensemble d'états de fonctionnement prédéfinis des systèmes fonctionnels 14 de
l'aéronef
12.
Par exemple, la table d'incompatibilité comporte une liste d'ensembles d'états
de
fonctionnement possibles, susceptibles d'être observés, et pour chaque
ensemble d'états
de fonctionnement possibles, une liste associée d'opérations conflictuelles
incompatibles
pour cet ensemble d'états de fonctionnement.
Avantageusement, la liste des opérations conflictuelles comprend au moins une
opération entraînant un changement d'état d'un premier équipement de
l'aéronef,
..
13
incompatible des états de fonctionnement et/ou de dysfonctionnement courants
d'au
moins un deuxième équipement redondant avec ledit premier équipement.
Par exemple dans le cas d'un aéronef bimoteur, une opération de commande
d'arrêt du second moteur de l'aéronef 12 est identifiée comme une opération
conflictuelle
lorsque les états de fonctionnement observés mesurent un dysfonctionnement
et/ou l'arrêt
du premier moteur de l'aéronef. De même, la coupure d'une pompe alimentant un
réseau
hydraulique est identifiée comme une opération conflictuelle lorsqu'un autre
réseau
hydraulique est déjà hors service.
Pour chaque opération à exécuter dans une procédure, le module de
détermination de conflit 38 est donc propre à recevoir les informations
représentatives des
états de fonctionnement courants à partir du module d'acquisition de données
33, à
relever les opérations conflictuelles correspondant aux états de
fonctionnement observés,
à partir de la table d'incompatibilité de la base de données d'identification
de conflit 50.
Le module de détermination de conflit 38 est propre à générer l'information de
faisabilité de l'opération de la procédure au cours du déroulement de la
procédure, sur la
base d'états de fonctionnement courants des systèmes fonctionnels 14 de
l'aéronef 12.
Cette information de faisabilité est une information de conflit, si
l'opération à
exécuter dans la procédure est une opération conflictuelle dans les états de
fonctionnement courants, Au contraire, l'information de faisabilité est une
information de
compatibilité, si l'opération à exécuter dans la procédure n'est pas une
opération
conflictuelle dans les états de fonctionnement courants.
Lorsqu'une information de conflit est transmise au module d'affichage et de
validation 32, ce module 32 est propre à avertir l'équipage, par exemple en
identifiant sur
l'affichage du tableau de commande 26 que l'opération à exécuter est
conflictuelle, par un
marquage particulier.
Cet affichage particulier consiste par exemple à afficher l'opération à
exécuter
conflictuelle d'une manière différente d'une opération à exécuter compatible,
par exemple
d'une couleur différente, ou/et dans un bandeau de fond particulier, ou/et
avec un effet
d'affichage, tel qu'un clignotement. En variante ou en complément, un message
sonore
ou une alarme est déclenché par le module d'affichage et de validation 32.
Lorsqu'une information de conflit est détectée par le module de détection de
conflit
38, ce dernier est propre à empêcher l'exécution automatique de l'opération à
effectuer,
l'équipage devant alors reprendre la main pour exécuter ou non l'opération.
Les bases de données 30 et 50 sont paramétrables pour la définition et la mise
à
jour des données d'opérations à exécuter présentes dans chaque procédure, et
également pour la définition et la mise à jour de la table de priorité et/ou
de la table
14
d'incompatibilité. Le paramétrage peut être effectué à partir de ressources au
sol,
notamment lors d'une opération de maintenance de l'aéronef 12.
Un exemple de procédé d'assistance à l'équipage, utilisant le système 10, va
maintenant être décrit, dans le cadre du déroulement de trois procédures
successives,
illustrées par les figures 2 à 4.
Initialement, l'aéronef bimoteur 12 décolle. Le système d'assistance 10 selon
l'invention est activé par l'équipage. Le module 33 d'acquisition de données
interroge en
continu les capteurs présents dans les différents systèmes fonctionnels 14 de
l'aéronef
pour obtenir des informations représentatives d'états de fonctionnement des
systèmes
fonctionnels 14.
Les informations représentatives des états de fonctionnement sont transmises
en
continu au module de supervision 34.
Le module de supervision 34 interroge en continu la base de données de
procédure 30 pour déterminer si les états de fonctionnement courants reçus du
module
d'acquisition de données 33 sont des états de fonctionnement prédéfinis
correspondant à
une ou plusieurs procédures listées dans la table de priorité.
Lorsque les états de fonctionnement courants correspondent à au moins une
procédure listée dans la table de priorité, le module de supervision 34
transmet
l'information au module d'affichage et de validation 32, qui propose à
l'équipage de mettre
en uvre la ou les procédures correspondant aux états de fonctionnement
courants, dans
l'ordre défini dans la table de priorité.
Par exemple, lorsque le module d'acquisition de données 33 détecte que le
niveau
de vol 100, correspondant à un passage à une altitude de 10 000 pieds est
atteint, et
qu'aucun dysfonctionnement n'est observé sur les systèmes fonctionnels 14, le
module
de supervision 34 établit que la procédure normale CLIMB peut être
activée. Il
transmet cette information au module d'affichage et de validation 32 qui
propose à
l'équipage d'exécuter les opérations de cette procédure.
Sur accord de l'équipage, le module d'affichage et de validation 32 récupère
les
informations relatives aux opérations à dérouler dans la procédure dans la
base de
données de procédure 30, et les affiche sur un écran du tableau de commande
26,
comme illustré par la figure 2.
Le module de supervision 34 active alors le module d'exécution automatique 36
pour permettre une exécution automatique successive des différentes opérations
de la
procédure.
Le module d'exécution automatique 36 charge alors dans la base de données 30
la liste des opérations à dérouler pour la procédure.
15
Pour chaque opération successive, le module d'exécution automatique 36
détermine si l'opération doit être effectuée, en fonction des états de
fonctionnement des
systèmes fonctionnels 14 reçus du module d'acquisition de données 33.
Le module d'exécution automatique 36 détermine par ailleurs si l'opération est
une
opération sans validation de l'équipage (marquée A sur la figure 2), une
opération
nécessitant une validation de l'équipage (marquée P sur la figure 2) ou un
simple
avertissement donné au pilote (marqué W sur la figure 3).
Dans le cas d'une opération sans validation, ou après avoir obtenu l'accord de
l'équipage dans le cas d'une opération avec validation, le module d'exécution
automatique 34 envoie une commande pour effectuer l'opération. Ceci étant
fait, le
module 34 vérifie les effets de la commande à partir des états de
fonctionnement des
systèmes fonctionnels 14, après l'exécution de la commande.
Dans le cas de la procédure décrite sur la figure 2, la première opération
consiste
à éteindre les lumières d'atterrissage ( Landing Lights sur la figure 2).
Le module
d'exécution automatique 36 envoie une commande d'extinction de ces lumières,
sans
validation de l'équipage.
Le module d'exécution automatique 36 vérifie alors que les lumières ont bien
été
éteintes et passe ensuite à l'opération suivante.
L'opération suivante consiste à maintenir ou à éteindre le signe ne pas fumer
( No Smoking sur la figure 2) dans la cabine. Cette opération nécessite un
choix de
l'équipage. Le module d'exécution automatique 36 interroge donc l'équipage sur
le
tableau de commande 26 pour lui demander de choisir entre le maintien ou
l'extinction de
ce signe.
Si l'équipage ordonne l'extinction, le module d'exécution automatique 36
envoie
une commande d'extinction du signe, et vérifie que la commande a bien été
exécutée
avant de passer à l'opération suivante, qui consiste de manière similaire à
maintenir ou à
éteindre le signe attachez vos ceintures dans la cabine ( Fasten belts
sur la figure
2).
Ensuite, le module d'exécution automatique 36 détecte que l'opération suivante
consiste à vérifier la pressurisation de la cabine ( Pressurization sur la
figure 2) et que
cette opération peut être effectuée sans validation de l'équipage.
Le module d'exécution automatique 36 analyse les informations représentatives
des états de fonctionnement des systèmes fonctionnels 14, notamment la
pression cabine
dans le système de conditionnement d'air et détermine automatiquement si la
pressurisation est adéquate en comparant la pression obtenue avec une gamme de
pressions normales prédéfinies. Si la pression est adéquate, le module
d'exécution
16
automatique 36 exécute les opérations suivantes définies dans la procédure,
jusqu'à la fin
la procédure.
Selon l'invention, pour chaque opération à exécuter, le module de
détermination
de conflit 38 engendre une information de faisabilité de l'opération, en
fonction des états
de fonctionnement courants des systèmes fonctionnels 14 reçus du module
d'acquisition
de données 33. Cette information est soit une information de compatibilité qui
permet
l'exécution de l'opération, soit une information de conflit qui bloque
l'exécution de
l'opération.
Le module de supervision 34 vérifie également en continu que les états de
fonctionnement courants des systèmes fonctionnels 14 ne nécessitent pas de
mettre en
oeuvre une autre procédure à la place de celle en cours d'exécution.
Dans cet exemple, à un instant donné pendant le déroulement de la procédure
CLIMB , le système de contrôle numérique pleine autorité du premier
moteur de
l'aéronef déclenche une coupure automatique de ce moteur.
Le module de supervision 34 détecte la coupure du premier moteur parmi les
états
de fonctionnement courants remontés par le module d'acquisition de données 33.
Il interroge la base de données 30 et détermine à partir de la table de
priorité que
la procédure ENG1 : AUTO SHUTDOWN correspondant à la coupure automatique
du
premier moteur doit être mise en uvre, en priorité par rapport à la procédure
CLIMB
qui doit être interrompue.
Le module de supervision 34 interrompt donc l'exécution de la procédure
CLIMB par le module d'exécution automatique 36. Il active alors, sur
commande de
l'équipage, le module d'exécution automatique 36 pour effectuer la procédure
ENG1 :
AUTO SHUTDOWN dont les opérations successives sont illustrées par la figure
3.
Cette procédure commence par une demande d'opération pilote ( Power lever
'die ) visant à mettre la manette de puissance correspondant aux moteurs en
position
ralenti.
Le module d'exécution automatique 36 vérifie que le pilote a bien effectué
cette
opération avant de passer à l'opération suivante qui consiste à avertir le
pilote de ne pas
essayer de redémarrer le moteur ( Do flot attempt to restart the engine ).
Puis, le module d'exécution automatique 36 déroule les différentes opérations
successives de la procédure, certaines pouvant être effectuées
automatiquement,
d'autres nécessitant une validation de l'équipage, comme décrit précédemment.
Pendant le déroulement de cette procédure, le module d'acquisition de données
33 remonte une information de niveau bas de pression du deuxième moteur sur sa
ligne
d'alimentation carburant.
17
Le module de supervision 34 interroge la base de données 30, et détermine à
partir de la table de priorité que la procédure FUEL : ENG2 LO PRESS doit
être
exécutée après la fin de la procédure ENG1 : AUTO SHUTDOWN .
Lorsque la procédure ENG1 : AUTO SHUTDOWN est terminée, et après
validation de l'équipage, le module d'exécution automatique 36 démarre la
procédure
FUEL : ENG2 LO PRESS , dont les différentes opérations sont illustrées par la
figure
4.
La première opération de la procédure est une commande d'activation de la
pompe carburant BOOST2 ST-BY (mise sous tension) effectuée automatiquement
par
le module d'exécution automatique 36, qui vérifie après l'envoi de la commande
que celle-
ci a bien été exécutée.
Ensuite, deux suites d'opérations possibles peuvent être menées, en fonction
des
états de fonctionnement courants des systèmes fonctionnels 14 de l'aéronef, et
notamment en fonction de l'arrêt ou du maintien d'une indication de pression
basse
(FUEL : ENG2 LO PRESS) sur la ligne d'alimentation du deuxième moteur, après
exécution de l'opération précédente.
Le module d'exécution automatique 36 détermine alors quelle suite d'opérations
doit être effectuée en fonction des états de fonctionnement courants remontés
par le
module d'acquisition de données 33.
Dans le cas présent, l'indication de pression basse dans le deuxième moteur
restant présente, le module d'exécution automatique 36 établit que la deuxième
suite
d'opérations doit être effectuée.
Le module d'exécution automatique 36 détermine la quantité de carburant
présente dans le deuxième réservoir ( Tank 2 fuel quantity : Monitor ) et
compare cette
quantité avec une quantité calculée pour identifier une fuite de carburant
potentielle.
Sur la base du calcul effectué, le module d'exécution automatique 36 confirme
l'occurrence d'une fuite de carburant. Dans ce cas, l'opération suivante à
exécuter dans la
procédure consiste normalement à couper le deuxième moteur.
Cependant, le module de détermination de conflit 38 détermine à partir des
états
de fonctionnement courants des systèmes fonctionnels 14 que le premier moteur
a déjà
été coupé. A partir de la table de compatibilité, le module de détermination
de conflit 38
élabore une information de conflit indiquant que l'opération consistant à
couper le
deuxième moteur est incompatible avec les états de fonctionnement courants.
Le module 38 bloque donc l'exécution de la commande consistant à couper le
deuxième moteur.
18
L'information de conflit est transmise au module d'affichage et de validation
32 qui
informe l'équipage de cette incompatibilité, par exemple par un marquage
particulier, en
affichant l'opération à effectuer d'une couleur différente, ou avec un bandeau
de fond
particulier, ou encore avec une indication visuelle, telle qu'un clignotement.
Une alarme
sonore ou visuelle est éventuellement déclenchée.
L'information de conflit est également transmise au module de supervision 34
qui
désactive le module d'exécution automatique 36.
L'équipage reprend alors le contrôle manuel de l'exécution des procédures en
fonction de la situation opérationnelle.
Le système d'assistance à l'équipage 10 simplifie donc grandement la tâche de
l'équipage en faisant office de second pilote, grâce à la présence d'un module
de
supervision 34 qui détermine à chaque instant la ou les procédures adéquates à
exécuter,
et un ordre de priorité parmi ces procédures en fonction des états de
fonctionnement
courants des systèmes fonctionnels 14 de l'aéronef 12.
Pour chaque procédure, le système d'assistance à l'équipage 10 est propre à
afficher de manière synthétique les opérations à dérouler, et l'état
d'exécution de chaque
opération par l'intermédiaire d'un module d'affichage et de validation 32.
Le module d'exécution automatique 36 du système d'assistance à l'équipage 10
est en outre propre à permettre l'exécution automatique ou semi-automatique
des
opérations successives d'une procédure, notamment en engendrant directement
des
commandes, sans intervention de l'équipage, ou dans certains cas, après
validation de
l'équipage. Le module d'exécution automatique 36 est apte à vérifier que ces
commandes
ont bien été effectuées, sur la base des états de fonctionnement courant des
systèmes
fonctionnels 14.
Selon l'invention, le module de détermination de conflit 38 du système
d'assistance à l'équipage 10 est apte à signaler à tout instant à l'équipage
si une
opération à exécuter, notamment en provenance du module d'exécution
automatique 36,
est incompatible avec les états de fonctionnement courants des systèmes
fonctionnels 14
et à bloquer la commande d'exécution de cette opération. Ceci guide l'équipage
lorsqu'il
exécute manuellement le déroulé des procédures, et garantit la sécurité dans
le cas où
les procédures sont exécutées automatiquement ou semi-automatiquement par le
module
d'exécution automatique 36.
Le système 10 simplifie considérablement la conduite du vol et permet dans
certains cas de pallier l'absence d'un membre d'équipage. En outre, la
sécurité de la
conduite du vol est maintenue, puisque les opérations de l'équipage sont
surveillées et
19
validées en permanence par le système d'assistance à l'équipage 10, notamment
lorsque
ces opérations sont inaliénables ou irréversibles.
A tout instant, l'équipage reste cependant maître du système d'assistance 10,
et
peut surpasser les commandes du système 10 à travers des commandes
traditionnelles
de la planche de commande 26.
En variante, le système d'assistance 10 est mis un oeuvre par un opérateur de
maintenance pour dérouler au moins une procédure. La mise en oeuvre a lieu
soit dans
l'aéronef, notamment depuis le cockpit, soit au sol, à distance de l'aéronef.
En variante, le module 32 est uniquement un module d'affichage impropre à
recevoir une information de validation d'exécution de validation.
Le module de détermination de conflit 38 reste néanmoins actif et transmet
l'information de faisabilité au module d'affichage 32.
