FR2905006A1

FR2905006A1 - Procede de surveillance de l'integrite d'une position avion calculee a bord

Info

Publication number: FR2905006A1
Application number: FR0653415A
Authority: FR
Inventors: Stephane Dattler; Vincent Markiton
Original assignee: Airbus Operations SAS
Current assignee: Airbus Operations SAS
Priority date: 2006-08-21
Filing date: 2006-08-21
Publication date: 2008-02-22
Anticipated expiration: 2026-08-21
Also published as: FR2905006B1; US20080046141A1; US8005614B2

Abstract

La présente invention se rapporte à un procédé de surveillance de l'intégrité d'une position avion calculée à bord. Plus particulièrement, on propose l'introduction de moyens embarqués de surveillance de la position avion aptes à détecter les pannes de mode commun. A cet effet, on utilise, dans l'invention, des chaînes de calculs dissimilaires (201 ;202 ;203) de la position avion, lesdites chaînes dissimilaires étant embarquées dans l'avion. Chaque chaîne de calcul primaire (101 ;102 ;103) de la position avion est ainsi complétée par une chaîne de calcul dissimilaire, qui permet de contrôler la cohérence de la position avion primaire, position calculée par les chaînes de calcul primaires. Avantageusement, des mécanismes de vérification de la fiabilité des résultats des chaînes de calcul dissimilaires sont mis en oeuvre pour limiter la perte de performance issue de l'utilisation de chaînes de calcul dissimilaires moins performantes que les chaînes de calcul primaires.

Description

1 Procédé de surveillance de l'intégrité d'une position avion calculée à

bord. DOMAINE TECHNIQUE DE L'INVENTION La présente invention a pour objet un procédé de surveillance de l'intégrité d'une position avion calculée à bord; par position avion calculée à bord, on désigne un ensemble de valeurs, relatives à la position de l'avion dans l'espace, obtenu par des moyens de mesure et de calcul embarqués au sein de l'avion considéré ; l'ensemble de valeurs correspond le plus souvent à un triplet de valeurs représentant respectivement la longitude, la latitude, et l'altitude de l'avion. Avantageusement, l'invention est mise en oeuvre pour se protéger d'erreurs dans le calcul de la position avion qui conduiraient à un impact avec le sol. Le domaine de l'invention est, d'une façon générale, celui du calcul de la position avion. L'invention a essentiellement pour but général de proposer une solution pour contrôler l'intégrité de la position avion dans le cadre de l'exploitation d'une telle position dans des applications particulières, dites applications critiques, intervenant dans des opérations de pilotage délicates telles que : - les approches autonomes, qui correspondent à des procédures d'atterrissage dans lesquelles seuls les moyens de mesure et de calcul embarqués dans l'avion sont disponibles, les moyens de contrôle au sol n'étant pas disponibles ; - le vol en basse altitude, où les moyens de contrôle au sol ne sont également plus disponibles ; - toute autre opération de pilotage où les moyens de contrôles au sol ne sont plus exploitables. De façon habituelle, la position avion est calculée par des moyens primaires classiques de calcul de position et surveillée par différents moyens dissimilaires classiques de surveillance de position. Par moyens dissimilaires, on désigne des moyens de nature différente des moyens primaires, faisant intervenir des paramètres et/ou des chaînes de calcul et/ou des circuits électroniques différents, pour la détermination d'un même paramètre, la position avion dans le cas présent. Un moyen primaire classique de calcul de la position avion, qui est un 35 moyen dit moyen embarqué, réside dans des moyens embarqués de calcul, 2905006 2 qui utilisent essentiellement un capteur GPS (Global Positionning System en langue anglaise pour Système de Positionnement Global) et une centrale inertielle, qui permet à l'avion, au moyen de gyroscopes, d'accéléromètres et d'un calculateur, de connaître sa position et sa vitesse dans l'espace.

5 Un premier moyen de surveillance classique, qui est un moyen dit moyen sol, réside dans le contrôle aérien, où différentes informations sont échangées entre, typiquement, une tour de contrôle et les pilotes de l'avion considéré. Un deuxième moyen de surveillance classique, qui est également un 10 moyen dit moyen sol, réside dans l'utilisation de moyens particuliers, dits moyens sols, connus sous le sigle ILS (Instrument Landing System en langue anglaise), utilisé comme aide à l'atterrissage notamment lorsque la visibilité est réduite. L'ILS fait intervenir différents équipements qui échangent des informations avec des équipements embarqués dans l'avion ; 15 on trouve dans l'ILS trois éléments principaux, qui sont : - un localiseur, constitué par un ensemble d'antennes situées après le bout de la piste, qui fournit une information relative à l'écart de l'avion par rapport à l'axe de la piste ; - un paramètre de glissement, ou glide, qui fournit l'écart de l'avion par 20 rapport à la pente d'approche ; - un équipement de mesure de distances, connu sous le sigle DME ATI, qui fournit une information relative à la distance par rapport au seuil de la piste d'atterrissage. ARRIERE-PLAN TECHNOLOGIQUE DE L'INVENTION 25 Dans l'état de la technique, les moyens embarqués de surveillance avion font intervenir un calculateur mettant en oeuvre plusieurs, typiquement trois, chaînes redondantes de calcul, comme montré à la figure 1. Deux chaînes de calcul sont dites redondantes lorsqu'elles sont constituées par les mêmes éléments matériels et les mêmes éléments logiciels. Elles sont 30 donc théoriquement identiques et, toujours théoriquement, doivent fournir des résultats identiques. L'utilisation de trois chaînes de calcul redondantes assure un traitement adéquat de la dérive d'une des chaînes de calcul. Ainsi, comme illustré à la figure 1, une première chaîne de calcul 101, une deuxième chaîne de calcul 102 et une troisième chaîne de calcul 103 sont schématiquement représentées. Elles sont désignées comme chaînes 2905006 3 de calcul primaires car elles sont les chaînes de calcul présentes dans les calculateurs de l'état de la technique. Elles sont couramment également appelées chaînes de calcul critiques, où le terme critique s'adresse à la position car elle est utilisée pour des applications critiques. Les trois chaînes 5 de calcul primaire sont redondantes. Elles réalisent toutes simultanément des cycles de calcul primaire qui aboutissent chacun à l'obtention d'une position primaire tridimensionnelle de l'avion, respectivement désignées Position 3D n 1, Position 3D n 2, et Position 3D n 3. Ces trois positions primaires, obtenues simultanément, sont ensuite transmises à un calculateur 10 104 dont le rôle est de consolider les résultats fournis par les chaînes de calcul primaire. Ainsi, si une des trois positions primaire est totalement incohérente par rapport aux deux autres, elle n'est pas prise en compte dans l'élaboration d'une position avion consolidée 105 qui sera ultérieurement utilisée notamment dans les applications critiques.

15 Cependant, une telle organisation ne permet pas de gérer, à elle seule, l'apparition des pannes de mode commun. De telles pannes affectent généralement essentiellement la majorité, voire la totalité, de chaînes redondantes de calcul de position avion. Ces pannes peuvent par exemple avoir comme origine des erreurs de codage, une défaillance d'un composant 20 matériel intervenant dans les chaînes de calcul redondantes, des circonstances extérieures telles que la foudre, une panne mode commun récepteur GPS ou un problème connu sous l'appellation de multi-trajet GPS, dans lequel le signal GPS est réfléchi sur le sol avant de revenir vers des capteurs de l'avion...

25 Ainsi, une panne de mode commun se traduit, dans la plupart des cas, par l'obtention de trois résultats incohérents et de valeurs comparables, aucun d'eux ne pouvant alors être discriminé et aucune erreur ne pouvant être détectée. En conséquence, lors des opérations de pilotage délicates telles que les approches autonomes ou le vol basse altitude, pendant 30 lesquelles les moyens dissimilaires classiques de surveillance de la position avion ne sont plus disponibles, il n'existe pas de moyens de détection des pannes de mode commun. DESCRIPTION GENERALE DE L'INVENTION Un problème général que cherche à résoudre l'objet de l'invention est 35 ainsi de vérifier l'intégrité de la position avion vis à vis des pannes dites de 2905006 4 mode commun, d'organiser la détection des pannes de mode commun lors des opérations de pilotage critiques pendant lesquelles les moyens dissimilaires de surveillance classiques ne sont plus disponibles. L'objet de l'invention propose une solution aux problèmes et 5 inconvénients qui viennent d'être exposés. D'une façon générale, l'invention propose l'introduction de moyens embarqués de surveillance de la position avion aptes à détecter les pannes de mode commun. A cet effet, on propose, dans l'invention, d'utiliser des chaînes de calculs dissimilaires de la position avion, lesdites chaînes dissimilaires étant embarquées dans l'avion. Les 10 chaînes de calcul dissimilaires sont des chaînes de calcul comparables aux chaînes de calcul primaires, mais dont les performances peuvent être un peu moindres. Elles sont ainsi moins coûteuses à réaliser que les chaînes de calcul primaire. Chaque chaîne de calcul primaire de la position avion est ainsi complétée par une chaîne de calcul dissimilaire, qui permet de 15 contrôler la cohérence de la position avion primaire, position calculée par les chaînes de calcul primaires. Avantageusement, des mécanismes de vérification de la fiabilité des résultats des chaînes de calcul dissimilaires sont mis en oeuvre pour limiter une perte de performance des chaînes de calcul dissimilaires par rapport aux chaînes de calcul primaires.

20 L'invention concerne donc essentiellement un procédé de surveillance de l'intégrité d'une position avion calculée à bord dudit avion, le calcul de la position avion faisant intervenir notamment au moins une première, une deuxième et une troisième chaîne redondantes de calcul primaire calculant chacune, lors d'un cycle de calcul primaire, une position 25 primaire de l'avion, caractérisé en ce qu'il comporte les différentes étapes consistant à : - constituer, au sein de dispositifs électroniques de contrôle embarqués dans l'avion, des couples de chaînes de calcul en associant, à chaque chaîne de calcul primaire, une chaîne de calcul 30 dissimilaire calculant, lors d'un cycle de calcul dissimilaire, une position dissimilaire de l'avion; - calculer, pour chaque couple de chaîne de calcul constitué, un écart entre la position primaire et la position dissimilaire calculées respectivement par la chaîne de calcul primaire et la chaîne de calcul dissimilaire du couple 35 de chaîne de calcul considéré; 2905006 5 - comparer chaque écart calculé à un seuil d'alerte ; - lorsqu'au moins un écart calculé est supérieur au seuil d'alerte, émettre une information d'alarme. Outre les caractéristiques principales qui viennent d'être mentionnées 5 dans le paragraphe précédent, le procédé selon l'invention peut présenter une ou plusieurs caractéristiques complémentaires parmi les suivantes : - l'information d'alarme n'est émise que lorsque l'écart calculé est supérieur au seuil d'alerte simultanément pour au moins deux couples de chaînes de calcul constituées; 10 - l'information d'alarme n'est émise que lorsque l'écart calculé est supérieur au seuil d'alerte pendant plusieurs cycles de calcul consécutifs ; - le nombre de cycles consécutifs, présentant un écart calculé supérieur au seuil d'alerte, à partir duquel l'information d'alarme est émise est supérieur à un, par exemple égal à trois ; 15 - la position primaire calculée est constituée d'une première composante et d'une deuxième composante, correspondant respectivement à une composante horizontale de la position primaire calculée et à une composante verticale de la position primaire calculée, et en ce que la position dissimilaire calculée est constituée d'une première composante et 20 d'une deuxième composante, correspondant respectivement à une composante horizontale de la position dissimilaire calculée et à une composante verticale de la position dissimilaire calculée, les écarts calculés étant calculés d'une part entre composante horizontales et d'autre part entre composante verticales ; 25 - le seuil d'alerte comporte une référence horizontale à laquelle sont comparés les écarts entre composantes horizontales, et une référence verticale à laquelle sont comparés les écarts entre composantes verticales ; - le procédé comporte l'étape supplémentaire consistant à, pour chaque écart calculé et préalablement à l'étape de comparaison entre l'écart 30 calculé considéré et le seuil d'alerte, modifier la valeur de l'écart calculé considéré pour la rendre inférieure au seuil d'alerte lorsque la composante verticale de la position dissimilaire calculée, diminuée d'une valeur de mesure d'intégrité verticale de la position dissimilaire, est supérieure à la composante verticale de la position primaire calculée ; 35 - le procédé comporte l'étape supplémentaire consistant à, pour 2905006 6 chaque écart calculé et préalablement à l'étape de comparaison entre chaque écart calculé et le seuil d'alerte, modifier la valeur d'un écart calculé pour la rendre inférieure au seuil d'alerte lorsque la composante verticale de la position dissimilaire calculée, diminuée d'une valeur de mesure d'intégrité 5 verticale de la position dissimilaire, est supérieure à une borne inférieure égale à la composante verticale de la position primaire calculée diminuée d'une valeur de mesure d'intégrité verticale de la position primaire ; - le procédé comporte l'étape supplémentaire consistant à, préalablement à l'étape de comparaison entre chaque écart calculé et le 10 seuil d'alerte, modifier la valeur d'un écart calculé pour la rendre inférieure au seuil d'alerte lorsque une valeur limite, égale à la somme d'une mesure d'intégrité horizontale de la position dissimilaire et d'une valeur d'une distance entre la composante horizontale de la position primaire calculée et la composante horizontale de la position dissimilaire calculée est inférieure 15 à une mesure d'intégrité horizontale de la positon primaire ; - la position primaire calculée est une position hybridée avec GPS militaire, et en ce que la position dissimilaire est une position hybridée avec GPS civil ; - les chaînes dissimilaires sont redondantes.

20 La présente invention sera plus précisément détaillée dans la description qui suit, donnée en référence à des figures qui l'accompagnent. BREVE DESCRIPTION DES FIGURES Celles-ci ne sont présentées qu'à titre indicatif et nullement limitatif de l'invention. Les figures montrent : 25 - à la figure 1, déjà décrite, une représentation schématique de l'organisation d'un calculateur de l'état de la technique pour le calcul d'une position avion; - à la figure 2, une représentation schématique de l'organisation d'un calculateur mettant en oeuvre un exemple de réalisation de l'invention pour 30 le calcul d'une position avion; - à la figure 3, une représentation schématique d'un positionnement vertical relatif de différents paramètres intervenant dans un exemple de mise en oeuvre du procédé selon l'invention pour le contrôle d'une composante verticale de la position avion.

2905006 7 DESCRIPTION DETAILLEE DES FORMES DE REALISATION PREFEREES DE L'INVENTION Les différents éléments apparaissant sur plusieurs figures auront gardé, sauf précision contraire, la même référence.

5 La figure 2 montre schématiquement un exemple d'une organisation fonctionnelle d'un calculateur apte à mettre en oeuvre le procédé selon l'invention. Dans cet exemple, on retrouve les trois chaînes de calcul primaires, ou critiques, 101, 102 et 103, qui produisent simultanément, à l'issue d'un cycle de calcul dit cycle de calcul primaire, des valeurs 10 correspondant respectivement à une première position primaire PosCril, à une deuxième position primaire PosCri2, et à une troisième position primaire PosCri3, associées à une valeur de mesure d'intégrité de position primaire, référencée respectivement PLCri1, PLCri2 et PLCri3. D'une façon générale, les mesures d'intégrité correspondent à une estimation de l'erreur de la 15 valeur de la position à laquelle elle est associée, et ceci avec un degré de confiance déterminé. Par exemple, une valeur de mesure d'intégrité de position primaire peut être de cinquante mètres, avec une confiance de 10-7/fh. Ceci signifie qu'il existe une probabilité égale à 10-7, par heure de vol, que la position réelle de l'avion ne soit pas dans un rayon de cinquante 20 mètres de la position calculée. Selon l'invention, chacune des chaînes de calcul primaire est associée, dans des dispositifs de contrôle électronique embarqués dans l'avion, à une chaîne de calcul dissimilaire pour former un couple de chaînes de calcul. Ici, chaque chaîne de calcul primaire 101, 102 et 103 est 25 respectivement associée à une chaîne de calcul dissimilaire 201, 202 et 203, pour former un couple de chaînes de calcul, respectivement référencé 204, 205 et 206. Avantageusement, les chaînes de calcul dissimilaires sont redondantes. Les chaînes de calculs dissimilaires produisent simultanément, à 30 l'issue d'un cycle de calcul dit cycle de calcul dissimilaire, des valeurs correspondant respectivement à une première position dissimilaire PosDisl, à une deuxième position dissimilaire PosDis2, et à une troisième position dissimilaire PosDis3, associées à une valeur de mesure d'intégrité de position dissimilaire, référencée respectivement PLDis1, PLDis2 et PLDis3.

35 Dans la pratique, la durée des cycles de calcul primaires et dissimilaires 2905006 8 sont semblables. Par exemple, ces cycles de calcul durent environ 120 ms (millisecondes). Dans l'exemple illustré, chaque couple de chaînes de calcul 204, 205 et 206 produit, à l'issue de chaque cycle de calcul, un écart entre la position 5 primaire et la position dissimilaire calculées, référencé respectivement El, E2 et E3, suite à la mise en oeuvre d'une confrontation des différentes positions dans des opérations référencées respectivement 207, 208 et 209. Une opération 210 de consolidation des écarts intervient alors, dans laquelle on confronte les écarts El, E2 et E3 à un seuil d'alerte. Lorsqu'au moins un 10 des seuils d'alerte est supérieur à la valeur seuil, une alarme est levée, éventuellement sous certaines conditions, certains critères, permettant de réduire le nombre de fausses alertes. Ces conditions seront développées dans la suite. L'alarme consiste en l'émission d'un signal informant d'un dysfonctionnement dans la détermination de la position avion. La valeur des 15 seuils d'alerte est déterminée en fonction des conditions de vol de l'avion, et par rapport à un budget global d'erreurs de navigation admissible dans la phase de vol considéré. Dans certains mode de mise en oeuvre, on considère qu'on dispose d'une grande partie du budget global d'erreurs en intégrant un budget d'erreurs habituellement réservé au contrôle du guidage 20 de l'avion. Dans des exemples particuliers de mise en oeuvre du procédé selon l'invention, chacune des positions avion calculées, qu'il s'agisse des positions avion primaires ou des positions avion dissimilaires, est caractérisé par une composante horizontale qui donne la position 25 horizontale de l'avion, la référence de la position en question étant alors complétée par la lettre H, et une composante verticale, qui donne l'altitude de l'avion, la référence de la position considérée étant alors complétée par la lettre V. Il en est de même pour les valeurs des mesures d'intégrité, dont les références sont alors précédées par l'extension appropriée, à savoir la 30 lettre H pour la composante horizontale de la mesure d'intégrité, ou la lettre V pour la composante verticale de la mesure d'intégrité. Dans de tels exemples de mise en oeuvre, le seuil d'alerte est avantageusement caractérisé par une référence horizontale et une référence verticale, dont les valeurs peuvent être distinctes. Pour déterminer 35 si un écart entre une position primaire et une position dissimilaire est 2905006 9 supérieur au seuil d'alerte, il convient alors de calculer les écarts entre chaque composante des positions calculées, pour obtenir une composante verticale d'erreur et une composante horizontale d'erreur, et de comparer cet écart à la référence de même nature û horizontale ou verticale - du seuil 5 d'alerte. Comme évoqué précédemment, dans certains modes de mise en oeuvre du procédé selon l'invention, un ou plusieurs critères parmi les suivants sont nécessaires pour que l'alarme soit effectivement levée : Un premier critère réside dans le fait qu'il est nécessaire de détecter 10 simultanément deux écarts supérieurs au seuil d'alerte pour déclencher l'alarme. Les écarts pris ici en considération sont, dans un premier cas, des écarts globaux pour un couple de chaîne de calcul :le fait que les composantes verticales et horizontales d'un écart donné dépassent chacune la référence du seuil d'alerte qui lui est associée ne compte alors que pour 15 un unique dépassement de seuil d'alerte. Dans un deuxième cas, les écarts pris en considération sont des écarts partiels :il suffit que soit la composante verticale, soit la composante horizontale d'un écart donné dépasse la référence du seuil d'alerte qui lui est associé pour qu'un dépassement de seuil d'alerte soit comptabilisé pour l'écart global considéré.

20 Un deuxième critère réside dans le fait qu'il est nécessaire d'observer, pour un couple de chaînes de calcul donné, plusieurs écarts consécutifs, globaux ou partiels, pour conclure à un dysfonctionnement et valider un dépassement de seuil d'alerte. Typiquement, si trois écarts consécutifs, calculés lors de trois cycles de calcul consécutifs, fournis par un 25 même couple de chaînes de calcul, sont supérieurs au seuil d'alerte, alors seulement le dépassement du seuil d'alerte est validé et pris en considération pour le déclenchement éventuel de l'alarme. Un troisième critère réside dans le fait que, pour un couple de chaînes de calcul considéré, et pour les composantes verticales, seuls sont 30 pris en compte les écarts obtenus traduisant le fait que l'avion risque, en prenant en considération les mesures d'intégrité verticale des positions dissimilaires, d'être dans une position plus basse que la position primaire calculée par la chaîne de calcul primaire considérée, le cas contraire n'étant pas critique vis-à-vis des collisions sol. Ainsi, si on considère que l'écart en 35 vertical mesuré est égal à l'expression PosCriV û( PosDisV û VPLDis), il faut 2905006 10 que cette expression soit positive. Si tel n'est pas le cas, on conclut à un non dépassement du seuil d'alerte par l'écart calculé considéré. Un quatrième critère réside dans le fait que, pour un couple de chaînes de calcul considéré, et pour les composantes verticales, seuls sont 5 pris en compte les écarts obtenus traduisant le fait que l'avion risque, en prenant en considération les mesures d'intégrité verticale des positions dissimilaires, d'être dans une position plus basse que celle prévue par les chaînes de calcul primaires en prenant en considération les mesures d'intégrité verticale des positions primaires ;ainsi, si l'inéquation (1) suivante 10 Pos Dis V ûVPL Dis > Pos Cri V û VPL Cri, est vérifiée, alors l'écart calculé par le couple de chaînes de calcul considéré n'est pas pris en compte. Dans la pratique, cet écart est diminué par un calculateur de manière à ne plus dépasser le seuil d'alerte; par exemple, on établit alors que l'écart est nul. En effet, on se trouve alors dans 15 un cas de figure où les procédures d'alerte sont gérées par les seules chaînes de calcul primaire. Dans le cas contraire, l'écart calculé conserve sa valeur et il est comparé à la référence verticale du seuil d'alerte. La figure 3 permet d'illustrer un cas de figure où les positions mesurées remplissent les troisième et quatrième conditions. Dans cet 20 exemple, un axe vertical 400 supporte les différentes composantes verticales calculées par un couple de chaîne de calcul. Un premier segment 401 représente l'amplitude de la zone protégée, prise en considération, par la chaînes de calcul primaire, en considérant la mesure d'intégrité VPLCri. Un deuxième segment 402 représente l'amplitude de la zone calculée par la 25 chaîne de calcul dissimilaire, en considérant la mesure d'intégrité VPLDis. On voit ici que la position PosDisV û VPLDis est : - d'une part inférieure à la position PosCriV, ce qui correspond au troisième critère ; - d'autre part non contenue dans le segment 401, ce qui correspond au 30 quatrième critère. Un cinquième critère réside dans le fait que, pour un couple de chaînes de calcul considéré, et pour les composantes horizontales, seuls sont pris en compte les écarts obtenus traduisant le fait que l'avion risque, en prenant en considération les mesures d'intégrité horizontale des 35 positions dissimilaires, d'être dans une position située hors d'un disque 2905006 11 correspondant aux positions prévues par les chaînes de calcul primaires en prenant en considération les mesures d'intégrité horizontale des positions primaires ;ainsi, si l'inéquation (2) suivante dist (PosCriH, PosDisH) + HPLDis < HPLCri, 5 où dist (PosCriH, PosDisH) est la distance entre la position primaire calculée et la position dissimilaire calculée, est vraie, alors l'écart calculé par le couple de chaînes de calcul considéré n'est pas pris en compte. Dans la pratique, cet écart est alors diminué par un calculateur de manière à ne plus dépasser le seuil d'alerte; par exemple, on établit alors que l'écart est 10 nul. En effet, là encore, on se trouve alors dans un cas de figure où les procédures d'alerte sont gérées par les seules chaînes de calcul primaire. Dans le cas contraire, l'écart calculé conserve sa valeur et il est comparé la référence horizontale du seuil d'alerte. L'observation d'un ou plusieurs critères parmi les cinq critères 15 mentionnés permet: d'une part de limiter les pertes de performance du calcul de position avion due à une comparaison avec un moyen dissimilaire moins précis; -d'autre part, de réduire le nombre d'alertes qui seraient inutiliement levées par la mauvaise performance de la chaine de calcul dissimilaires.

20 Dans la pratique, la position primaire peut par exemple être la position hybridée obtenue avec un module GPS militaire ;une telle position hybridée prend en considération les informations fournies par la centrale inertielle de l'avion, et par le module GPS militaire, module présent dans la centrale inertielle de l'avion. La position dissimilaire peut par exemple être la 25 position hybridée obtenue avec un module GPS civil ;une telle position hybridée prend en considération les informations fournies par la centrale inertielle de l'avion, et par le module GPS civil, module présent dans l'avion, mais pas dans sa centrale inertielle. Les mesures d'intégrité sont des limites de protection des positions calculées ;elles sont fournies par un algorithme 30 connu comme algorithme d'hybridation de position.

Claims

REVENDICATIONS

1- Procédé de surveillance de l'intégrité d'une position avion calculée à bord dudit avion, le calcul de la position avion faisant intervenir notamment une pluralité de chaînes redondantes (101, 102, 103) de calcul primaire calculant chacune, lors d'un cycle de calcul primaire, une position primaire (PosCri) de l'avion, caractérisé en ce qu'il comporte les différentes étapes consistant à : - constituer, au sein de dispositifs électroniques de contrôle embarqués dans l'avion, des couples (204 ;205 ;206) de chaînes de calcul en associant, à chaque chaîne de calcul primaire, une chaîne de calcul dissimilaire (201 ;202 ;203) calculant, lors d'un cycle de calcul dissimilaire, une position dissimilaire (PosDis) de l'avion; - calculer (207 ;208 ;209), pour chaque couple de chaîne de calcul constitué, un écart (El ;E2 ;E3) entre la position primaire et la position dissimilaire calculées respectivement par la chaîne de calcul primaire et la chaîne de calcul dissimilaire du couple de chaîne de calcul considéré; - comparer chaque écart calculé à un seuil d'alerte ; -lorsqu'au moins un écart calculé est supérieur au seuil d'alerte, émettre une information d'alarme.

2 û Procédé selon la revendication 1, caractérisé en ce que ladite pluralité de chaînes redondantes correspond à au moins une première (101), une deuxième (102) et une troisième (103) chaîne redondantes.

3 - Procédé selon la revendication précédente caractérisé en ce que l'information d'alarme n'est émise que lorsque l'écart calculé est supérieur au seuil d'alerte simultanément pour au moins deux couples de chaînes de calcul constituées.

4 - Procédé selon l'une au moins des revendications précédentes caractérisé en ce que l'information d'alarme n'est émise que lorsque l'écart calculé est supérieur au seuil d'alerte pendant plusieurs cycles de calcul consécutifs.

5 - Procédé selon la revendication précédente caractérisé en ce que le nombre de cycles consécutifs, présentant un écart calculé supérieur au seuil d'alerte, à partir duquel l'information d'alarme est émise est égal à trois. 2905006 13 6 - Procédé selon l'une au moins des revendications précédentes caractérisé en ce que la position primaire calculée est constituée d'une première composante et d'une deuxième composante, correspondant respectivement à une composante horizontale (PosCriH) de la position 5 primaire calculée et à une composante verticale (PosCriV) de la position primaire calculée, et en ce que la position dissimilaire calculée est constituée d'une première composante et d'une deuxième composante, correspondant respectivement à une composante horizontale (PosDisH) de la position dissimilaire calculée et à une composante verticale (PosDisV) de 10 la position dissimilaire calculée, les écarts calculés étant calculés d'une part entre composante horizontales et d'autre part entre composante verticales. 7 - Procédé selon la revendication précédente caractérisé en ce que le seuil d'alerte comporte une référence horizontale à laquelle sont comparés les écarts entre composantes horizontales, et une référence 15 verticale à laquelle sont comparés les écarts entre composantes verticales. 8 - Procédé selon l'une au moins des revendications précédentes et selon la revendication 6 caractérisé en ce qu'il comporte l'étape supplémentaire consistant à, pour chaque écart calculé et préalablement à l'étape de comparaison entre l'écart calculé considéré et le seuil d'alerte, 20 modifier la valeur de l'écart calculé considéré pour la rendre inférieure au seuil d'alerte lorsque la composante verticale de la position dissimilaire calculée, diminuée d'une valeur de mesure d'intégrité verticale de la position dissimilaire (VPLDis), est supérieure à la composante verticale de la position primaire calculée. 25 9 - Procédé selon l'une au moins des revendications précédentes et selon la revendication 6 caractérisé en ce qu'il comporte l'étape supplémentaire consistant à, pour chaque écart calculé et préalablement à l'étape de comparaison entre chaque écart calculé et le seuil d'alerte, modifier la valeur d'un écart calculé pour la rendre inférieure au seuil 30 d'alerte lorsque la composante verticale de la position dissimilaire calculée, diminuée d'une valeur de mesure d'intégrité verticale de la position dissimilaire (VPLDis), est supérieure à une borne inférieure égale à la composante verticale de la position primaire calculée diminuée d'une valeur de mesure d'intégrité verticale de la position primaire (VPLCri). 35 10 - Procédé selon l'une au moins des revendications précédentes et 2905006 14 selon la revendication 6 caractérisé en ce qu'il comporte l'étape supplémentaire consistant à, préalablement à l'étape de comparaison entre chaque écart calculé et le seuil d'alerte, modifier la valeur d'un écart calculé pour la rendre inférieure au seuil d'alerte lorsque une valeur limite, égale à 5 la somme d'une mesure d'intégrité horizontale de la position dissimilaire et d'une valeur d'une distance entre la composante horizontale de la position primaire calculée et la composante horizontale de la position dissimilaire calculée est inférieure à une mesure d'intégrité horizontale de la positon primaire. 10 11 - Procédé selon l'une au moins des revendications précédentes caractérisé en ce que la position primaire calculée est une position hybridée avec GPS militaire, et en ce que la position dissimilaire est une position hybridée avec GPS civil. 12 - Procédé selon l'une au moins des revendications précédentes 15 caractérisé en ce que les chaînes dissimilaires sont redondantes. 13 û Avion comportant un dispositif susceptible de mettre en oeuvre le procédé selon l'une quelconque des revendications précédentes. 14 û Dispositif de calcul d'une position d'un avion, comportant une pluralité de chaînes redondantes (101, 102, 103) de calcul primaire, aptes à 20 calculer, lors d'un cycle de calcul primaire, une position primaire (PosCri) de l'avion, caractérisé en ce qu'il comporte en outre : - une pluralité de chaînes de calcul dissimilaires (201, 202, 203) associées à chaque chaîne de calcul primaire (101, 102, 103) de façon à former des couples (204, 205, 206) de chaînes de calcul, chaque chaîne de 25 calcul dissimilaire (201, 202, 203) étant apte à calculer, lors d'un cycle de calcul dissimilaire, une position dissimilaire (PosDis) de l'avion ; - des premiers moyens aptes à calculer (207, 208, 209), pour chaque couple de chaîne de calcul constitué, un écart (El, E2, E3) entre la position primaire et la position dissimilaire calculées respectivement par la chaîne de 30 calcul primaire et la chaîne de calcul dissimilaire du couple de chaîne de calcul considéré ; - des seconds moyens aptes à comparer chaque écart calculé à un seuil d'alerte ; - des troisièmes moyens aptes à émettre une information d'alarme 35 lorsqu'au moins un écart calculé est supérieur au seuil d'alerte. 2905006 15 15 ù Dispositif selon la revendication 14, caractérisé en ce qu'il comporte au moins une première (101), une deuxième (102) et une troisième (103) chaînes redondantes de calcul primaire et au moins une première (201), une deuxième (202) et une troisième (203) chaînes de calcul 5 dissimilaire associées respectivement à la première, à la deuxième, à la troisième chaînes de calcul primaire de façon à former respectivement au moins un premier (204), un deuxième (205) et un troisième (206) couples de chaînes de calcul. 16 ù Avion comportant un dispositif de calcul de position selon l'une 10 des revendications 14 ou 15.