Il est connu de prendre des mesures de sécurité tendant à empêcher ou au moins à prévenir les manoeuvres susceptibles de mettre un aéronef resté manoeuvrable dans une attitude de vol dangereuse ou préjudiciable pour sa structure. Il est ainsi connu de limiter, de manière autoritaire, les possibilités d'évolution en roulis et en tangage d'un aéronef en ajustant les plages de débattement des commandes de vol en fonction de la situation en vol et/ou des efforts subis par la structure.

Il est également connu de pourvoir un aéronef d'équipements anticollision avion dits TCAS (acronyme de l'expression anglo- saxonne :"Traffic Alert and Collision System") et d'équipements anticollision sol dit TAWS (acronyme de l'expression anglo-saxonne :"Terrain Awarness and Warning System") qui avertissent l'équipage d'un risque de collision avec un autre aéronef ou avec le sol et qui peuvent même, avec l'aval de l'équipage de l'aéronef, prendre le contrôle de l'aéronef pour le remettre en situation de sécurité. Ces équipements fonctionnent à partir de la détection d'une intrusion, dans une enveloppe de protection entourant l'aéronef, soit d'un autre aéronef, soit du sol. Dans le cas d'un équipement anticollision sol, la détection de l'intrusion du sol dans l'enveloppe de protection de l'aéronef fait appel à un système embarqué de positionnement et à une base de données terrain accessible de l'aéronef.

Ces mesures de sécurité ne permettent cependant pas de protéger l'aéronef contre un crash provoqué volontairement par l'équipage, à la suite d'une erreur de pilotage non reconnue ou d'un acte de malveillance de la part d'un équipage pirate.

La présente invention a pour but un système automatique de protection du vol pour aéronef prenant en compte les actions inopportunes de l'équipage.

Elle a pour objet un système de protection automatique du vol pour un aéronef équipé d'un système de positionnement, remarquable en ce

qu'il comporte une base de données, accessible de l'aéronef, répertoriant des zones interdites de pénétration et un équipement anti-pénétration en zone interdite assimilant les risques de pénétration en zone interdite à la détection des intrusions des zones interdites de pénétration modélisées à partir des éléments de la base de données zones interdites, à l'intérieur d'au moins une enveloppe de protection de sécurité de vol construite autour d'une position déduite de la position courante de l'aéronef fournie par le système de positionnement et prenant automatiquement le contrôle de l'aéronef en cas de détection d'une intrusion d'une zone interdite de pénétration dans l'enveloppe de protection de sécurité de vol.

Avantageusement, lorsqu'il prend le contrôle de l'aéronef, l'équipement anti-pénétration en zone interdite lui fait suivre une trajectoire d'évitement de la zone interdite de pénétration.

Avantageusement, lorsqu'il a pris le contrôle de l'aéronef, l'équipement anti-pénétration en zone interdite le rend à l'équipage de l'aéronef dès qu'il ne détecte plus d'intrusion d'une zone interdite de pénétration dans l'enveloppe de protection de sécurité de vol Avantageusement, le système de protection automatique de vol comporte un équipement anti-pénétration en zone interdite construisant en plus de l'enveloppe de protection de sécurité de vol, une enveloppe de protection d'alerte de pénétration, plus étendue que l'enveloppe de protection de sécurité de vol et un générateur d'alertes à destination de l'équipage de l'aéronef activé en cas d'intrusion d'une zone interdite de pénétration dans cette enveloppe de protection d'alerte de pénétration.

Avantageusement, le système de protection automatique du vol comporte une base de données stockant une représentation du relief ou d'une enveloppe du relief, et un équipement anticollision terrain assimilant les risques de collision avec le sol ou des obstacles au sol, à la détection des intrusions du sol ou d'obstacles au sol modélisés à partir de la représentation du relief ou d'une enveloppe du relief stockée dans la base de données, à l'intérieur d'au moins une enveloppe de protection sol construite autour d'une position déduite de la position courante de l'aéronef fournie par le système de positionnement et alertant l'équipage d'un risque de collision sol en cas de détection d'une intrusion du sol ou d'un obstacle au sol dans l'enveloppe de protection sol.

Avantageusement, le système de protection automatique du vol comporte une base de données stockant une représentation du relief ou d'une enveloppe du relief, et un équipement anticollision terrain assimilant les risques de collision avec le sol ou des obstacles au sol, à la détection des intrusions du sol ou d'obstacles au sol modélisés à partir de la représentation du relief ou d'une enveloppe du relief stockée dans la base de données, à l'intérieur d'au moins une enveloppe de protection sol construite autour d'une position déduite de la position courante de l'aéronef fournie par le système de positionnement, alertant l'équipage d'un risque de collision sol en cas de détection d'une intrusion du sol ou d'un obstacle au sol dans l'enveloppe de protection de sécurité sol et lui proposant une trajectoire d'évitement.

Avantageusement, le système de protection automatique du vol comporte un équipement anticollision terrain construisant en plus de l'enveloppe de protection sol, une enveloppe de protection de pré-alerte de collision sol, plus étendue que l'enveloppe de protection de sécurité sol et alertant l'équipage de la nécessité d'une modification du plan de vol en cas d'intrusion du sol ou d'un obstacle au sol dans cette enveloppe de protection de pré-alerte de collision sol.

Avantageusement, le système de protection automatique du vol comporte un équipement anti-pénétration en zone interdite et un équipement anticollision terrain ayant des enveloppes de protection communes.

Avantageusement, le système de protection automatique du vol comporte un équipement anti-pénétration en zone interdite et un équipement anticollision terrain ayant des enveloppes de protection de sécurité de vol et de sécurité sol identiques.

Avantageusement, le système de protection automatique du vol comporte un équipement anti-pénétration en zone interdite et un équipement anticollision terrain ayant des enveloppes de protection de sécurité de vol et de protection sol identiques et des enveloppes d'alerte de pénétration et de pré-alerte de collision sol identiques.

Avantageusement, le système de protection automatique du vol comporte un équipement anti-pénétration en zone interdite construisant en plus de l'enveloppe de protection de sécurité de vol, une enveloppe de protection d'alerte de pénétration, un équipement anticollision terrain construisant une enveloppe de protection sol et une enveloppe de pré-alerte

de collision sol, et un générateur d'alertes à destination de l'équipage de l'aéronef engendrant plusieurs sortes d'alarmes dont : - une pré-alarme de risque de pénétration dans une zone interdite de pénétration en cas d'intrusion d'une zone interdite de pénétration dans l'enveloppe de protection d'alerte de pénétration, - une pré-alarme de risque de collision sol en cas d'intrusion du relief dans l'enveloppe de protection de pré-alerte de collision sol, et - une alarme de risque de collision sol en cas d'intrusion du relief dans l'enveloppe de protection sol, et Avantageusement, le système de protection automatique du vol comporte un équipement d'alerte du contrôle aérien par lequel il avise le contrôle aérien de toute prise de contrôle automatique de l'aéronef.

Avantageusement, le système de protection automatique du vol comporte un équipement de mise sous veille renforcée actionnable par l'équipage de l'aéronef et/ou un personnel au sol et provoquant une extension des volumes de protection de l'équipement anti-pénétration en zone interdite.

Avantageusement, le système de protection automatique du vol comporte un équipement de désactivation inhibant la fonction de prise automatique du contrôle de l'aéronef en cas d'une panne majeure des équipements de vol de l'aéronef ou en manoeuvre finale d'atterrissage.

Avantageusement, l'équipement anti-pénétration en zone interdite agit au niveau des commandes de vol de l'aéronef.

Avantageusement, l'équipement anti-pénétration en zones interdites met en oeuvre des volumes de protection dont les étendues sont fonction de la vitesse de l'aéronef.

D'autres avantages et caractéristiques de l'invention ressortiront de la description ci-après d'un mode de réalisation donné à titre d'exemple.

Cette description sera faite en regard du dessin dans lequel : - une figure 1 est un schéma de principe d'un système de vol permettant le pilotage d'un aérodyne et incluant un système de protection automatique du vol selon l'invention,

- des figures 2 à 4, montrent des exemples d'implantation d'un système de protection automatique du vol selon l'invention, dans les architectures des systèmes de vol de différents avions de transport, et - des figures 5 à 13 donnent des exemples de modèles de trajectoires d'évitement applicables, selon la situation en cours, par un système de protection automatique du vol selon l'invention.

Dans un souci constant de renforcer la sécurité du vol, il est apparu, sur les aéronefs, des systèmes de limitation automatique des plages de débattement des gouvernes et volets, et de réglage des moteurs destinés à ôter, le plus possible à l'équipage, la possibilité de mettre l'aéronef dans une configuration de vol dangereuse pour le personnel transporté ou imposant à la structure de l'aéronef des efforts hors norme. C'est ainsi que de nombreux aéronefs modernes ont des commandes de vol pourvues de fonctions de limitation autoritaire des plages de manoeuvre en tangage et roulis permises à l'équipage, tenant compte de la configuration de vol en cours déterminée par comparaison des paramètres de vol fournis par des capteurs montés sur l'aéronef avec les éléments d'une base de données performance avion.

Le souci de renforcer la sécurité du vol a également poussé au développement d'équipements embarqués d'alerte de proximité sol de plus en plus performants.

Une première génération d'équipements embarqués d'alerte de proximité sol, aujourd'hui largement répandue dans les aéronefs des compagnie aérienne de transport civil est constituée d'un équipement appelé GPWS (acronyme de l'expression anglo-saxonne : "Ground Proximity Warning System") qui surveille la hauteur de l'aéronef au-dessus du sol mesurée par un radio-altimètre et la confronte avec la vitesse verticale de descente de l'aéronef mesurée explicitement ou déduite de mesures antérieures de hauteur au-dessus du sol en tenant compte de diverses situations possibles telles que l'approche, l'atterrissage, le décollage, etc., pour déclencher des alertes sonores et/ou visuelles dans le cockpit en cas de détection d'une tendance à un rapprochement dangereux avec le sol.

Un besoin d'amélioration des équipements GPWS d'alerte de proximité sol de première génération s'est rapidement fait sentir. La voie suivie a été celle d'augmenter les informations prises en compte par les équipements d'alerte de proximité sol concernant le terrain survolé situé au- devant et sur les côtés de la trajectoire prévisible à court terme de l'aéronef en profitant de l'avènement des systèmes embarqués de positionnement précis tels que les systèmes de positionnement par satellites, et des cartes en relief numérisées mémorisables dans des bases de données terrain embarquées ou accessibles de l'aéronef par transmission radio.

Pour répondre à ce besoin d'amélioration, il est alors apparu une deuxième génération d'équipements embarqués d'alerte de proximité sol dits TAWS ou encore GCAS (acronyme tiré de l'expression anglo- saxonne"Ground Collision Avoidance System"), qui remplissent, en plus des fonctions GPWS habituelles, une fonction additionnelle d'alerte prédictive de risque de collision avec le relief et/ou des obstacles au sol dite FLTA (acronyme tiré de l'expression anglo-saxonne : "predictive Forward-Looking Terrain collision Awareness and alerting"). Cette fonction FLTA a pour rôle de fournir à l'équipage, des pré-alertes et alertes à chaque fois que la trajectoire prévisible à court terme de l'aéronef rencontre le relief et/ou un obstacle au sol afin qu'une manoeuvre d'évitement soit engagée. Elle consiste à déterminer la trajectoire de l'aéronef prévisible à court terme à partir d'informations fournies par les équipements de navigation de l'aéronef et éventuellement une base de données performance aéronef, pour délimiter, autour de la position de l'aéronef et de sa trajectoire prévisible, au moins deux volumes de protection tenant compte des capacités de manoeuvre en latéral et vertical de l'aéronef et des temps de réaction de l'équipage, le plus grand destiné à des pré-alarmes donnant à l'équipage un temps suffisant pour élaborer une trajectoire d'évitement, l'autre, le plus petit, aux alarmes informant l'équipage de la nécessité d'un changement immédiat de trajectoire, et à engendrer une pré-alarme ou une alarme à chaque intrusion, dans le volume de protection concerné, du relief survolé modélisé à partir d'une représentation topographique extraite d'une base de données terrain, une alarme pouvant donner lieu à une manoeuvre automatique d'évitement effectuée sous le contrôle de l'équipage.

Pour davantage de détails sur des équipements TAWSIGCAS, on peut se reporter aux brevets français : FR 2.689. 668, FR 2.747. 492, FR 2.773. 609 et FR 2.783912 ou aux brevets américains qui leurs correspondent : US 5, 488, 563, US 6, 480,120, US 6, 088, 654 et US 6, 317, 663.

Les différents équipements embarqués GPWS ou TAWS/GCAS traitent les risques de collision entre un aéronef et le relief ou un obstacle artificiel résultant d'une mauvaise navigation non intentionnelle ayant pour origine une erreur du système de navigation de l'aéronef ou de la base de données terrain si celui-ci s'appuie sur une telle base ou encore de l'équipage lui-même. Par contre, ils ne sont d'aucun secours pour éviter les crashs intentionnels d'un aéronef sur le relief ou un obstacle artificiel à la suite d'un acte de malveillance commis par une personne à bord de l'aéronef que celle-ci soit un passager ou un membre de l'équipage car ils seront volontairement désactivés.

Pour tenir compte des actes de malveillance commis à bord de l'aéronef, il faut qu'un système de sécurité protégeant des risques de collision avec le relief ou un obstacle artificiel soit autonome et non désactivable par l'équipage, à la manière des systèmes de limitation automatique des plages de débattement des gouvernes et des volets, et de réglage de la poussée des moteurs.

Pour la réalisation d'un système de sécurité autonome et non désactivable protégeant des risques de collision avec le relief ou un obstacle artificiel dus à une action volontaire d'une personne embarquée à bord d'un aéronef, on propose de mémoriser dans une base de données zones interdites des contours de zones interdites de pénétration, de mettre en oeuvre le principe de détection de risques de collision utilisé dans un équipement TAWS par rapport à ces contours et de prendre le contrôle de l'aéronef au niveau des commandes de vol pour le mettre sur une trajectoire d'évitement à chaque fois qu'il y a détection d'un risque patent de pénétration dans une zone interdite de pénétration.

La figure 1 montre un exemple de système de vol incluant un système de sécurité autonome et non désactivable protégeant des risques de pénétration dans des zones interdites et donc de collision intentionnelle

avec des obstacles au sol naturels (relief ou artificiels (pylônes, antennes, bâtiments, etc. ).

Un aéronef est piloté en jouant sur les orientations de surfaces mobiles (gouvernes, volets, etc. ) et sur le régime du ou de ses moteurs. A cette fin, il comporte, comme représenté, des actionneurs 10 orientant ses gouvernes et volets, et des actionneurs 11 ajustant la poussée de ses moteurs. Ces actionneurs 10 et 11 reçoivent des consignes de position élaborées par des équipements 12 dits de commandes de vol, de manière à maintenir l'aéronef dans une attitude donnée, prescrite par le pilote ou par un pilote automatique/directeur de vol 20. Les équipements de commandes de vol 12 constituent avec les actionneurs 10,11 un premier niveau d'équipements qui se distingue des autres niveaux par le fait qu'ils sont des intermédiaires indispensables au pilote pour agir sur les gouvernes, volets et moteurs.

Le pilote automatique/directeur de vol 20 facilite la tâche du pilote en automatisant le suivi de consignes de cap, d'altitude, de vitesse, etc. selon deux modes : un mode dit"pilote automatique"où il agit directement sur les commandes de vol 12 et un mode dit"directeur de vol" où il indique au pilote, par l'intermédiaire d'écrans de visualisation EFIS 40 (le sigle EFIS étant l'acronyme de l'expression anglo-saxonne :"Electronic Flight Instrument System"), les ordres à donner aux commandes de vol 12 pour le suivi d'une consigne. Il constitue un deuxième niveau d'équipements qui se distingue du premier par le fait que le pilote peut s'en passer.

Toujours dans le but de faciliter la tâche du pilote, le pilote automatique/directeur de vol 20 est souvent complété par un calculateur de gestion du vol FMS 30 (le sigle FMS étant l'acronyme de l'expression anglo- saxonne"Flight Management System") automatisant les tâches d'élaboration et de suivi d'un plan de vol et constituant un troisième niveau d'équipements par le fait qu'il intervient sur le pilotage de l'aéronef uniquement par l'intermédiaire du pilote automatique/directeur de vol 20.

Le pilote agit sur les commandes de vol par l'intermédiaire de manettes ou pédales (manche, palonnier, manettes, etc. ) et contrôle le pilote automatique/directeur de vol 20 et le calculateur de vol FMS 30 par l'intermédiaire de deux interfaces homme-machine l'une 41 dite MCP (le sigle étant l'acronyme de l'expression anglo-saxonne"Module Control Panel") ou

FCU (le sigle étant l'acronyme de l'expression anglo-saxonne :"Flight Control Unit") et l'autre dite MCDU 42 (le sigle étant l'acronyme de l'expression anglo-saxonne"Multipurpose Control Display Unit"). L'interface MCP 41 est en général constitué d'un panneau équipé de boutons, voyants et afficheurs, et placé en bandeau à la base du pare-brise de la cabine de pilotage. II privilégie la facilité d'utilisation et permet de sélectionner directement et de paramétrer les modes de fonctionnement du pilote automatique/directeur de vol 20 : suivi de cap, d'altitude, de vitesse, etc.. L'interface MCDU 42 est une console à clavier et écran généralement placée sur l'accoudoir central d'une cabine de pilotage à deux postes de pilotage côte à côte. Elle privilégie la finesse de contrôle et est partagée entre le pilote automatique/directeur de vol 20, le calculateur de gestion du vol 30 et, plus généralement, tous les équipements de bord nécessitant un paramétrage, équipements qu'elle permet de commander et de régler dans le détail.

A ces trois niveaux d'équipements s'ajoutent divers équipements concourrant à la sécurité du vol dont : - un équipement anticollision avion TCAS 50 pouvant intervenir sur la conduite de vol au niveau du calculateur de gestion du vol 30 et mentionné pour mémoire car il ne présente pas de parenté directe avec le système proposé de sécurité autonome protégeant des risques de crash intentionnel, - un équipement anticollision sol TAWS 51 qui peut intervenir sur la conduite du vol au niveau du calculateur de gestion du vol 30 et dont le principe de détection de risque de collision sol est repris dans le système proposé de sécurité autonome protégeant des risques de crash intentionnel, - des générateurs d'alarme sonore et visuelle 52 commandés par les équipements anticollision avion 50, anticollision sol 51, par le système proposé de sécurité autonome protégeant des risques de crash intentionnel et plus généralement par tout équipement susceptible d'engendrer des alarmes à destination de l'équipage de l'aéronef, - un équipement de protection des limites du domaine de vol FELPS 53 (le sigle étant l'acronyme de l'expression anglo- saxonne :"Flight Envelope Limit Protection System") qui agit au

niveau des équipements de commande de vol 12, en aval du pilote, et dont le niveau d'intervention au sein des équipements de vol est repris par le système proposé de sécurité autonome protégeant des risques de crash intentionnel, et un système de sécurité autonome OAPS 54 (le sigle étant l'acronyme de l'expression anglo-saxonne :"Overflight Area Prohibition System") constituant le coeur du système de protection automatique du vol proposé et protégeant des risques de crash intentionnel en intervenant, comme l'équipement de protection des limites du domaine de vol FELPS 53, au niveau des équipements de commande de vol 12.

On distingue en outre sur la figure 1, une base de données terrain/obstacles et zones interdites TDB 60, une base de données performance aéronef AP 61 utilisées par l'équipement anticollision sol TAWS 51 et par le système de sécurité autonome OAPS 54, une base de données domaine de vol FD 62 utilisée par l'équipement de protection des limites du domaine de vol FELPS 53 et un ensemble de capteurs de vol 63 mesurant les paramètres de vol à l'intention des différents équipements du système de vol.

La base de données TDB 60 peut être embarquée ou au sol et accessible de l'aéronef par transmissions radio. Elle renferme des informations de terrain exploitées par le l'équipement anticollision sol TAWS 51 ainsi que des informations sur des limites de zones interdites de pénétration exploitées par le système de sécurité autonome OAPS 54.

Les informations de terrain contenues dans la base de données TDB 60 sont celles nécessaires à l'équipement anticollision sol TAWS 51 pour modéliser le relief et les obstacles artificiels survolés mais il peut s'y ajouter d'autres informations comme les localisations de terrains d'aviation et les altitudes de sécurité, par exemple, la grille MORA, la MSA, etc.. En effet, les altitudes de sécurité peuvent être utilisées par le système de protection autonome OAPS 54 en tant que limite d'une zone interdite inférieure à ne pas franchir en dehors des besoins de décollage et d'atterrissage.

Les informations de limite de zones interdites de pénétration contenues dans la base de données TDB 60 permettent au système de

protection autonome de modéliser une surface entourant et/ou recouvrant une zone interdite de pénétration que l'aéronef n'est pas en droit de traverser, par exemple par un tracé au sol et un seuil minimum de hauteur.

Les zones interdites de pénétration peuvent concerner : des centres de ville, des sites nucléaires et industriels, des bases militaires, des monuments et lieux usuels de rassemblement de personnes, une telle énumération n'étant pas exhaustive. En outre, elles peuvent n'être interdites que temporairement.

La base de données performance aéronef AP 61 et la base de données domaine de vol FD 62 sont des bases de données embarquées renfermant des informations sur les caractéristiques de l'aéronef exploitées soit par l'équipement anticollision sol TAWS 51 et par le système de sécurité autonome OAPS 54, soit par l'équipement de protection des limites du domaine de vol FELPS 53.

L'ensemble de capteurs de vol 63 rassemble : sondes de pression, palette d'incidence, et système de référence inertielle généralement référencées ADIRS (le sigle étant l'acronyme de l'expression anglo-saxonne : "Air Data/Inertial Reference System") ou ADIRU (sigle étant l'acronyme de l'expression anglo-saxonne : "Air Data/Inertial Reference Unit"), radio-altimètre RA, récepteur de positionnement par satellites GPS/GNSS, radar météo WXR, etc..

Le système de protection autonome OAPS 54 reprend le principe de détection de risque de collision sol et les méthodes d'élaboration de trajectoire d'évitement d'un équipement anticollision sol TAWS avec lequel il peut posséder de nombreuses parties communes, mais applique ces méthodes vis à vis d'une modélisation des limites des zones interdites de pénétration. Le principe de détection de risque de collision sol mis en oeuvre dans un équipement anticollision sol TAWS consiste, comme cela a été rappelé précédemment, à construire, autour de la position de l'aéronef et de sa trajectoire prévisible à court terme, un ou plusieurs volumes de protection et à considérer toute intrusion, dans ces volumes de protection, du relief survolé, modélisé à partir d'informations cartographiques mémorisées, comme un risque de collision sol plus ou moins sévère en fonction de l'étendue du volume de protection considéré. Les processus d'élaboration de trajectoires d'évitement consistent à rechercher une évasive par le haut ou par les côtés si une évasive par le haut est hors de portée des capacités

manoeuvrière de l'aéronef. Ces processus de détection de risque de collision sol et d'élaboration de trajectoire d'évitement ne seront pas détaillés car ils sont connus de l'homme du métier. Pour des détails à leurs sujets, on se rapportera utilement aux brevets précédemment mentionnés.

Dans l'exemple de réalisation illustré à la figure 1, l'équipement anticollision sol TAWS 51 modélise le relief survolé à partir d'informations cartographiques tirées d'une base de données TBD 60. Il va de soit qu'il peut également utiliser une modélisation du relief survolé issue d'un autre équipement de l'aéronef, par exemple d'un radar météo si celui-ci dispose d'une fonction cartographie sol. Dans ce dernier cas, la base de données TBD 60 n'a plus qu'à stocker des informations sur les limites de zones interdites de pénétration.

D'une manière préférée, l'équipement anticollision sol TAWS 51 et le système de protection autonome OAPS 54 mettent en oeuvre les mêmes volumes de protection : un volume de protection d'alarme et un volume de protection de pré-alarme de plus grande étendue.

Les détections d'intrusion dans le volume de protection de pré- alarme soit du relief survolé par l'équipement anticollision sol TAWS 51, soit d'une limite de zone interdite de pénétration par le système de protection autonome OAPS 54, entraient des pré-alarmes, soit d'une prochaine collision terrain si l'émetteur est de l'équipement anticollision sol TAWS 51, soit d'une prochaine pénétration dans une zone interdite si l'émetteur est le système de protection autonome OAPS 54, destinées à attirer l'attention de l'équipage sur la nécessité de modifier la trajectoire à court terme de l'aéronef.

Les détections d'intrusion dans le volume de protection d'alarme soit du relief survolé par l'équipement anticollision sol TAWS 51, soit d'une limite de zone interdite de pénétration par le système de protection autonome OAPS 54, entraînent des alarmes, soit d'une possibilité de collision terrain à très court terme si l'émetteur est de l'équipement anticollision sol TAWS 51, soit d'une pénétration à très court terme dans une zone interdite, alarmes nécessitant l'une et l'autre un changement immédiat de la trajectoire à court terme de l'aéronef. Dans les deux cas, ces alarmes sont accompagnées de l'élaboration de trajectoires d'évitement mais ces trajectoires d'évitement se traduisent, dans le cas de l'équipement anticollision sol TAWS par des

consignes au pilote automatique/directeur de vol 12 venant du calculateur de gestion du vol FMS 30 qui peuvent être ignorée de l'équipage et, dans le cas du système de protection autonome OAPS 54, par des consignes aux équipements de commandes de vol 12 qui s'imposent à l'équipage.

En final, les fonctions de détection de risque de pénétration dans une zone interdite et d'élaboration de trajectoire d'évitement du système de protection autonome OAPS 54 peuvent être assurées au prix de légères modifications souvent uniquement logicielles, par un équipement anticollision sol TAWS 51. Quant à la mise en oeuvre d'une trajectoire d'évitement au niveau des équipements de commande de vol, elle peut se faire, également à moindre frais en utilisant l'accès de l'équipement de protection des limites du domaine de vol FELPS 53.

Une pré-alarme d'une prochaine pénétration dans une zone interdite provenant du système de protection autonome OAPS 54 n'a d'intérêt que pour un équipage de bonne foi. Elle peut donc être gérée de la même manière qu'une pré-alarme d'une prochaine collision terrain émanant de l'équipement anticollision sol TAWS 51 et consister, à la base, en un conseil de type de type"pull up". Néanmoins, en cas d'inefficacité d'une telle manoeuvre le conseil"pull up"ne sera pas donné mais remplacé par un simple avertissement de risque de franchissement d'une limite interdite, cela afin de ne pas induire davantage en erreur un équipage déjà victime d'une erreur de navigation et cherchant à reprendre en main la trajectoire de l'aéronef.

Au niveau d'une pré-alarme, le système de protection autonome OAPS 54 n'entrave pas la reprise en main de la trajectoire par le pilote. Il peut même, puisque ses fonctions sont alors assurées par les mêmes circuits que l'équipement anticollision sol TAWS 51, conseiller au pilote, par l'intermédiaire du directeur de vol 12, la commande à appliquer au manche en tangage et en roulis pour s'écarter de la zone interdite.

Couplé à un équipement anticollision sol TAWS 51, le système de protection autonome OAPS 54 proposé permet d'assurer une protection du vol en trois phases : - une phase de détection des obstacles naturels et artificiels (fonction actuelle d'un TAWS),

- une phase de pré-alarme incitant à l'équipage à changer la trajectoire de l'avion (fonction actuelle d'un TAWS), - une phase d'alarme avec, soit une possibilité de prise de contrôle automatique de l'aéronef, sous l'autorité de l'équipage si l'alarme est une alarme de collision sol sans pénétration d'une zone interdite, soit une prise de contrôle autoritaire de l'aéronef en dehors de l'autorité de l'équipage si l'alarme est une alarme de pénétration de zone interdite.

Par rapport aux équipements de protection des limites du domaine de vol FELPS que l'on rencontre notamment, dans les aéronefs à commandes de vol électriques, le système de protection autonome OAPS 54 proposé ajoute, à la protection des limites du domaine de vol, la prise en compte d'une enveloppe de sécurité de vol, une enveloppe anti-crash en quelque sorte. La totalité du vol est par-là même protégée. Le respect des limites du domaine de vol et celui de l'enveloppe de sécurité de vol peuvent être assurés par des équipements séparés agissant au niveau des commandes de vol ou par un équipement unique auquel on donne le nom de FFPS (le sigle étant l'acronyme de l'expression anglo-saxonne :"Full Flight Protection System").

La reprise en main automatique autoritaire ou non, se fait par un guidage vertical et/ou latéral de l'avion pouvant utiliser des modèles d'évitement prédéfinis correspondant à la situation conflictuelle rencontrée.

Une fois une zone interdite évitée, le système rend la main au pilote dans une configuration de sécurité, par exemple, ailes horizontales.

La prise de contrôle autoritaire de l'aéronef par le système de protection autonome n'intervient qu'en dernier recours. L'équipage a la maîtrise de l'aéronef tant qu'il ne dirige pas celui-ci dans une zone interdite pouvant conduire à la perte de l'aéronef et/ou à des dommages au tiers.

Durant une phase de reprise en main automatique, qu'elle soit autoritaire ou non, l'action du pilote sur le manche peut être prise en compte si elle permet d'éviter plus franchement (marges accrues) la zone considérée.

Dans le cas où l'équipage n'effectuerait pas d'action correctrice suite à une pré-alarme de risque de pénétration dans une zone interdite, le système de protection autonome OAPS 54 attend le déclenchement d'une alarme de pénétration de zone interdite pour prendre le contrôle de l'aéronef

en tangage et en roulis au niveau des commandes de vol et le repositionner sur une trajectoire sécurisée évitant la zone interdite et le relief. L'ordre de contrôle de l'aéronef est élaboré par le système de protection autonome OAPS 54 et non par les équipements de commande de vol 12. La reprise automatique et autoritaire du contrôle de l'aéronef s'effectue à l'endroit limite où une trajectoire manuelle relativement serrée permettrait encore à l'équipage de se dégager de la zone conflictuelle tout respectant les limitations de l'enveloppe du domaine de vol et une marge de trajectoire afin que l'avion n'approche pas dangereusement des obstacles lors de la reprise manuelle ou automatique du vol.

Dans le cas où l'équipage débuterait une manoeuvre d'évitement jugée trop lente, le système reprend la main en mode automatique.

Dans le cas où l'équipage débuterait une manoeuvre convenable d'évitement, l'auto-guidage n'est pas activé.

Durant la reprise automatique et autoritaire du contrôle de l'aéronef, les ordres appliqués par le pilote au manche peuvent s'ajouter aux ordres automatiques lorsque qu'ils vont dans le bon sens et respectent les limites de l'enveloppe du domaine de vol. On obtient ainsi une manoeuvre d'évitement plus serrée.

La reprise automatique et autoritaire du contrôle de l'aéronef peut mettre en oeuvre, en fonction de la situation conflictuelle rencontrée, plusieurs modèles prédéfinis de trajectoire d'évitement. Durant la manoeuvre d'évitement imposée à l'équipage, l'évolution de la position de l'avion vis à vis du relief est surveillée par l'équipement TAWS 51 sous le contrôle du système de protection autonome OAPS 54 et éventuellement modifiée pour parer à tout risque de collision sol détecté.

Le système de protection autonome OAPS 54 peut en outre, alerter le contrôle aérien par l'intermédiaire des équipements de transmission radioélectrique de l'aéronef, par exemple, au moyen d'un code transpondeur prioritaire pour qu'il prenne en compte le changement urgent et autoritaire de trajectoire. Bien entendu, ce code n'est pas modifiable par l'équipage jusqu'à l'atterrissage ou jusqu'à la fin de la procédure d'évitement.

Pendant toute la phase de prise de contrôle de l'aéronef par le système de protection autonome OAPS 54, l'équipage est averti par un message affiché sur un écran de visualisation EFIS 40 tel que, par exemple

l'écran PFD (sigle étant l'acronyme de l'expression anglo-saxonne :"Primary Flight Display). En outre, le directeur de vol 20 affiche les consignes appliquées pour aider le pilote à comprendre la situation de vol et faciliter une éventuelle intervention manuelle de sa part.

En fin de manoeuvre autoritaire d'évitement de zone interdite, le système de protection autonome OAPS 54 remet l'aéronef sur une trajectoire sécurisée, rend la main à l'équipage et supprime tout message de prise de contrôle de l'aéronef.

Le système de protection autonome OAPS 54 peut comporter un mode de fonctionnement particulier dit veille active qui est déclenché par l'équipage, par exemple par actionnement d'un bouton"panique", lorsqu'il décèle un comportement menaçant pour la sécurité du bord, de la part d'une ou plusieurs personnes embarquées, et qui correspond à un volume de protection d'alarme agrandi permettant d'anticiper avec davantage de marge les actions visant à précipiter l'aéronef contre un obstacle ou le terrain. Ce mode de fonctionnement non désactivable jusqu'à la fin du vol peut admettre des particularités dans le design fonctionnel comme, par exemple, la possibilité de guider de manière autoritaire l'aéronef vers un champ d'aviation adéquat et d'y gérer l'atterrissage.

Le système de protection autonome OAPS 54 comporte une fonction de désactivation pour les situations d'urgence : avarie moteur, avarie hydraulique, etc., où un aéronef doit pouvoir être manoeuvré librement quelque soit l'environnement en terme d'obstacle afin que l'équipage ait la possibilité d'effectuer un atterrissage en campagne ou un tour de piste à très basse altitude pour rejoindre une piste ou une route, et pour l'atterrissage qui est une phase critique du vol ne devant pas être interrompue, l'aéronef s'approchant de très près du sol.

Cette fonction de désactivation détermine les situations d'urgence par analyse des paramètres critiques de l'aéronef (paramètres FADEC, hydrauliques, etc. ) mais ne considère pas un arrêt volontaire d'un moteur ou de plusieurs moteurs comme une situation d'urgence. Si un équipage malveillant coupe manuellement tous les moteurs, le système de protection autonome OAPS 54 ne se désactive pas obligeant l'aéronef à éviter, dans son plané, les zones interdites et à se diriger, dans la mesure du possible, vers la piste la plus proche ou à défaut jusqu'au touché vers une zone

dépourvue d'obstacles artificiels et ayant le relief le plus plat possible ("crash contrôlé"). L'action de projeter l'avion sur une cible ponctuelle, moteurs arrêtés, a ainsi, toutes les chances d'échouer, l'équipage ne connaissant pas la zone de crash choisie par le système.

La fonction de désactivation détermine une situation d'atterrissage par la localisation de l'aéronef dans la zone d'axe de piste d'un terrain d'atterrissage. Elle met fin à une manoeuvre autoritaire d'évitement engagée par le système de protection autonome OAPS 54 en courte finale avant le passage du seuil de piste et affiche sur les écrans EFIS un message avertissant l'équipage qu'il a la responsabilité de l'atterrissage. Le système de protection autonome OAPS 54 reste néanmoins en veille pour corriger toute manoeuvre à très basse altitude en dehors du volume de l'axe de piste.

En approche d'un aéroport, le système de protection autonome OAPS 54 peut réduire, en fonction de la vitesse décroissante de l'aéronef, le volume de protection autour de l'aéronef à partir duquel il détecte les intrusion de limite de zone interdite sur lesquelles il base son alarme afin de diminuer la marge de précaution prise par rapport à une zone interdite car un aéronef est plus manoeuvrant à vitesse réduite. Dans ce but, il peut utiliser les modèles de reconnaissance d'approche décrits pour des équipements TAWS dans les brevets français FR 2.783. 912 et américain US 6,317, 663.

Pour renforcer la sécurité du système de protection autonome OAPS 54, qui est un système critique au même titre que les équipements de commandes de vol 12, le pilote automatique 1 directeur de vol 20 et l'équipement de protection des limites du domaine de vol FELPS 53, celui-ci reçoit des informations consolidées provenant de sources multiples et indépendantes par des voies redondantes. Ainsi, l'information d'altitude qu'il reçoit provient d'une double source radio altitude l data base par application d'une méthode de consolidation d'altitude telle que celle employée dans les équipements TAWS et possiblement d'une triple information radio altitude/ data base/mode"ground map"du radar météo. De même l'information de position qu'il reçoit peut provenir de la consolidation de deux informations de position fournies par deux récepteurs indépendants de positionnement par satellites GPS/GNSS embarqués dans l'aéronef.

Toujours dans le but de renforcer sa sécurité de fonctionnement, le système de protection autonome OAPS 54 est équipé d'une fonction de

surveillance de bon fonctionnement BITE (sigle provenant de l'acronyme de l'expression anglo-saxonne :"Built In Test Equipment") effectuant des tests et des diagnostics de panne et désactivant une prise de contrôle autoritaire de l'aéronef en cas de détection d'une panne compromettant, soit l'élaboration de la trajectoire d'évitement, soit l'intégrité des ordres à destination des équipements des commandes de vol 12 mais laissant néanmoins les fonctions Détection et Alerte continuer à opérer tant qu'elles ne sont pas affectées par une panne.

Le système de protection autonome OAPS 54 peut être réalisé selon une architecture modulaire à base de plusieurs modules redondants de type LRU (sigle provenant de l'acronyme de l'expression anglo-saxonne : "Line Replaceable Unit") afin de garder la disponibilité de la fonction en cas d'endommagement d'un module LRU.

Plus généralement, le système de protection autonome OAPS 54 a une architecture à sécurité positive ("fail safe"en anglo-saxon) et durcie pour prévenir toute altération de son fonctionnement par une intervention extérieur (emplacement inaccessible de la cabine de pilotage) et toute désactivation par action sur les circuits d'alimentation des différents sous- systèmes (pas d'interrupteurs ou disjoncteurs manoeuvrables manuellement depuis le poste de pilotage ou une quelconque partie de l'avion accessible durant le vol sur les circuits électriques d'alimentation du système de protection autonome OAPS 54 et des Radio Altimètres RA, GPS, FADEC, Hydraulic System, calculateurs des commandes électriques de vol).

Le système de protection autonome OAPS 54 ne demande pas d'avoir une information très précise sur la position de l'aéronef. Une précision de l'ordre de la vingtaine de mètres convient de sorte que l'information de position peut provenir d'un récepteur de positionnement par satellites éventuellement doublé par sécurité sans qu'il soit fait appel à un équipement de référence inertielle IRS (sigle correspondant à l'acronyme de l'expression anglo-saxonne"Inertial Reference System").

L'implémentation du système de protection autonome OAPS 54 dans l'architecture des équipements de vol d'un aéronef à commandes de vol électriques peut se faire par les adaptations suivantes :

- modification de l'équipement anticollision sol TAWS pour qu'il assure également les fonctions assurée par le système de protection autonome OAPS, - ajout d'une interface aux calculateurs de commandes de vol pour qu'ils acceptent des ordres de manoeuvre prioritaires provenant de l'équipement anticollision sol modifié, - adaptation des systèmes GPS, FADEC, HYDRAULIQUE et Radio Altimètres dans le cadre de l'interface pour qu'ils acquièrent un caractère « fail safe » et ne soient pas désactivables par disjoncteur (breaker) au cours du vol, - adaptation du transpondeur pour recevoir un code d'alerte du système, prioritaire sur les autres codes, non modifiable par l'équipage, - adaptation des écrans EFIS pour afficher la trajectoire de reprise automatique prévue (écran de navigation ND) en plus du terrain et des obstacles, et les messages d'alerte du système (horizon artificiel PFD), - adaptation de l'unité de génération audio pour générer des messages de préalarme et d'alarme vocales envoyés par l'équipement TAWS modifié.

Les figures 2 à 4 illustrent des exemples d'implantation d'un système de protection automatique de vol FFPS (sigle correspondant à l'acronyme de l'expression anglo-saxonne :"Full Flight Protection System") rassemblant les fonctions d'un système de protection autonome empêchant toute pénétration dans une zone interdite, d'un équipement de protection des limites du domaine de vol FELPS et d'un équipement anticollision sol TAWS, dans l'architecture d'un système de vol de différents avions de transport.

La figure 2 donne un exemple d'implantation d'un système de protection automatique de vol FFPS dans l'architecture du système de vol d'un avion de type Airbus A320. Ce type d'avion comporte des équipements de commandes de vol formés de deux calculateurs à partage de tâches pour la manoeuvre des surfaces mobiles de l'avion : ailerons, gouvernes, stabilisateurs, etc., l'un 100 dit ELAC (sigle correspondant à l'acronyme de l'expression anglo-saxonne"ELevator and Aileron Computer") et l'autre 101 dit SEC (sigle correspondant à l'acronyme de l'expression anglo-

saxonne"Spoiler and Elevator Computer") et d'un calculateur FADEC 102 doublé par sécurité pour le contrôle des moteurs. Les calculateurs ELAC 100 et SEC 101 répondent aux sollicitations du pilote par l'intermédiaire d'un mini-manche latéral dit"sidestick"et d'un palonnier ainsi qu'aux directives d'un calculateur 103 dit FMGC (sigle correspondant à l'acronyme de l'expression anglo-saxonne"Flight Management and Guidance Computer") assurant les fonctions d'un calculateur de gestion du vol FMS, d'un pilote automatique et d'un directeur de vol. Le calculateur FMGC 103 reçoit des informations sur les paramètres de vol d'un ensemble 104 de capteurs dit ADIRS (sigle correspondant à l'acronyme de l'expression anglo-saxonne : Air Data I Inertial Reference System"), d'un radioaltimètre RA105 doublé par sécurité et d'un récepteur de positionnement par satellites GPS 106 également doublé par sécurité, et répond aux directives du pilote lui parvenant par les interfaces homme-machine FCU 107 et MCDU 108. En plus de ces éléments, le système de vol d'un airbus A 320 comporte, un système hydraulique 109 pour l'actionnement des éléments mobiles de l'avion, un générateur d'alarmes sonores 110, des écrans d'affichage EFIS 111, un système ATC 112 de radiocommunication avec le sol, et éventuellement, un équipement anticollision avion TCAS 113 et un radar météo WXR 114 pouvant avoir une fonction cartographique 115, dont on n'a pas représenté les liaisons avec le calculateur FMGC 103 dans un but de simplification de la figure.

Le système de protection automatique du vol FFPS 120 s'intègre au centre de cette architecture de système de vol. Il reçoit des informations sur les paramètres de vol en provenance du radioaltimètre RA 105, du récepteur de positionnement par satellites 106, du système hydraulique 109 et éventuellement de l'ensemble de capteurs ADIRS 104, de l'équipement anticollision TCAS 113 et du radar météo 114 par des liaisons dédiées. Il délivre des directives de vol pouvant prévaloir sur les sollicitations du pilote aux calculateurs ELAC 100 et SEC 101 des commandes de vol, des informations à destination de l'équipage par l'intermédiaire du générateur d'alarmes sonores 110 et des écrans EFIS 111, et des informations à destination du contrôle aérien par l'intermédiaire de l'équipement de transmission ATC 112.

La figure 3 donne un autre exemple d'implantation, dans l'architecture du système de vol d'un avion de type Airbus A330/340, d'un système de protection automatique de vol FFPS 220 rassemblant les fonctions d'un système de protection autonome empêchant toute pénétration dans une zone interdite, d'un équipement de protection des limites du domaine de vol FELPS et d'un équipement anticollision sol TAWS.

Le système de vol d'un avion de type Airbus A330/340 se distingue de celui montré à la figure 2 par la réalisation des équipements de commande de vol qui fait appel à deux calculateurs entièrement redondants et modulaires pour la manoeuvre des surfaces mobiles de l'avion, l'un 200 dit FCPC (sigle correspondant à l'acronyme de l'expression anglo- saxonne"Flight Control Primary Computer") et l'autre 201 dit FCSC (sigle correspondant à l'acronyme de l'expression anglo-saxonne"Flight Control Secondary Computer") et par un calculateur différent 203 de gestion du vol dit FMGEC (sigle correspondant à l'acronyme de l'expression anglo- saxonne :"Flight Management and Guidance Enveloppe Computer"). Les autres équipements inchangés par rapport à la figure 2 conservent les mêmes indexations.

Le système de protection automatique du vol FFPS 220 s'intègre au centre de cette architecture de système de vol d'une manière très proche au cas précédent. Il reçoit des informations sur les paramètres de vol en provenance du radioaltimètre RA 105, du récepteur de positionnement par satellites 106, du système hydraulique 109 et éventuellement de l'ensemble de capteurs ADIRS 104, de l'équipement anticollision TCAS 113 et du radar météo 114, délivre des informations à destination de l'équipage par l'intermédiaire du générateur d'alarmes sonores 110 et des écrans EFIS 111, et des informations à destination du contrôle aérien par l'intermédiaire de l'équipement de transmission ATC 112 et applique des directives de vol pouvant prévaloir sur les sollicitations du pilote aux calculateurs FCPC 200 et FCSC 201 des commandes de vol.

La figure 4 donne encore un autre exemple d'implantation, dans l'architecture du système de vol d'un avion de type Boeing 777, d'un système de protection automatique de vol FFPS 320 rassemblant les fonctions d'un système de protection autonome empêchant toute pénétration dans une zone interdite, d'un équipement de protection des limites du domaine de vol

FELPS et d'un équipement anticollision sol TAWS. Ce type d'avion comporte des équipements de commandes de vol formés de calculateurs redondants 300 de contrôle des actionneurs des surfaces mobiles de l'avion : ailerons, gouvernes, stabilisateurs, etc., dits ACE (sigle correspondant à l'acronyme de l'expression anglo-saxonne"Actuator Control Electronics")) et d'un calculateur FADEC 301 doublé par sécurité pour le contrôle des moteurs. Le calculateur ACE 300 répond aux sollicitations du pilote par l'intermédiaire d'un manche dit"Control Column"et d'un palonnier ainsi qu'aux directives d'un pilote automatique/directeur de vol 302 dit AP/FP (sigle correspondant à l'acronyme de l'expression anglo-saxonne"Autopilot/Flight Director") et d'un calculateur de gestion du vol FMS 303. Le pilote automatique/directeur de vol AP/FP 302 et le calculateur de gestion du vol FMS 303 reçoivent des informations sur les paramètres de vol d'un ensemble 304 de capteurs dit ADIRU (sigle correspondant à l'acronyme de l'expression anglo-saxonne : Air Data/Inertial Reference Unit"), d'un radioaltimètre RA 305 doublé par sécurité et d'un récepteur de positionnement par satellites GPS 306 également doublé par sécurité et répond aux directives du pilote lui parvenant par les interfaces homme-machine FCU 307 et MCDU 308. En plus de ces éléments, le système de vol d'un boeing 777 comporte, un système hydraulique 309 pour l'actionnement des éléments mobiles de l'avion, un générateur d'alarmes sonores 310, des écrans d'affichage EFIS 311, un système ATC 312 de radiocommunication avec le sol, et éventuellement, un équipement anticollision avion TCAS et un radar météo WXR pouvant avoir une fonction cartographique 115 non représentés.

Comme précédemment, le système de protection automatique du vol FFPS 320 s'intègre au centre de l'architecture de système de vol. Il reçoit des informations sur les paramètres de vol en provenance du radioaltimètre RA 305, du récepteur de positionnement par satellites GPS 306, du système hydraulique 309 et éventuellement de l'ensemble de capteurs ADIRU 304 par des liaisons dédiées, délivre des informations à destination de l'équipage par l'intermédiaire du générateur d'alarmes sonores 310 et des écrans EFIS 311, et des informations à destination du contrôle aérien par l'intermédiaire de l'équipement de transmission ATC 312 et applique des directives de vol pouvant prévaloir sur les sollicitations du pilote aux calculateurs ACE 300 des commandes de vol.

Les figures 5 à 13 illustrent des exemples de modèles de trajectoire d'évitement applicables, selon la situation rencontrée, par le système de protection autonome OAPS 54 ou par un système automatique de protection du vol FFPS 120, 220, 320. Par facilité, les modèles de trajectoire d'évitement représentés sont des modèles de trajectoire d'évitement purement latérale ou purement verticale mais il va de soi, que la combinaison d'un modèle de trajectoire latérale avec un modèle de trajectoire verticale est possible.

Les figures 5 et 6 illustrent des cas d'évitement latéral par la droite ou par la gauche, à altitude constante, de zones interdites de pénétration de dimensions limitées mais infranchissables par le dessus (pas de pré-alarme ou d'alarme de type :"Pull up").

Dans la figure 5, les zones interdites de pénétration de dimensions limitées sont des obstacles du genre antennes 80, 81 ou bâtiment 82 relativement distants les uns des autres. L'aéronef 83 arrive, face au bâtiment 82, sur une trajectoire 84 contrôlée par le pilote et tracée en pointillés. A une certaine distance du bâtiment 82 considéré comme une zone interdite de pénétration, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS de l'aéronef 83 détecte un risque de pénétration en zone interdite et engendre une pré-alarme à l'intention du pilote alors que l'aéronef 83, toujours contrôlé par le pilote, poursuit sa progression vers le bâtiment 82 (partie de trajectoire 85 repérée par des tiretets). Le pilote n'ayant pas tenu compte de la pré-alarme, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS se met en alarme et prend le contrôle de l'aéronef 83 pour lui faire contourner le bâtiment sans risquer la collision avec les antennes 80, 81, soit par la gauche selon la trajectoire d'évitement 86 tracée en trait continu, soit par la droite selon la trajectoire d'évitement 87 tracée en traits discontinus. Le bâtiment 82 évité et l'aéronef 83 mis en vol sécurisé, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS de l'aéronef 83 rend la main au pilote qui continue sa route selon l'une ou l'autre des trajectoires 88 ou 89 tracées en pointillés.

La figure 6 illustre une situation analogue à celle de la figure 5 dans laquelle les zones interdites de pénétration sont constituées par des reliefs 90,91, 92 de dimensions limitées. L'aéronef 83, son pilote et son

système automatique de protection du vol FFPS ou son système de protection autonome OAPS ont les mêmes comportements que dans la figure 5.

Les figures 7 et 8 illustrent des cas d'évitement latéral, par rebroussement, d'une zone interdite de pénétration, de dimensions étendue, infranchissable par le dessus (pas de pré-alarme ou d'alarme de type :"Pull up").

Dans la figure 7, la zone interdite de pénétration est un ensemble étendu, formé de bâtiments 93, 94 et d'une antenne 95. L'aéronef 83 arrive, face à l'ensemble de bâtiments 93, 94, sur une trajectoire 96 contrôlée par le pilote et tracée en pointillés. A une certaine distance de l'ensemble de bâtiments 93, 94 et de l'antenne 95 considéré comme une zone interdite de pénétration, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS de l'aéronef 83 détecte un risque de pénétration en zone interdite et engendre une pré-alarme à l'intention du pilote alors que l'aéronef 83, toujours contrôlé par le pilote, poursuit sa progression vers l'ensemble de bâtiments 93, 94 (partie de trajectoire 97 repérée par des tirets). Le pilote n'ayant pas tenu compte de la pré-alarme, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS se met en alarme et prend le contrôle de l'aéronef 83 pour lui faire faire demi-tour, soit par la gauche selon la trajectoire d'évitement 98 tracée en trait continu, soit par la droite selon la trajectoire d'évitement 99 tracée en traits discontinus. L'ensemble de bâtiments 93,94 et l'antenne 95 évités, et l'aéronef 83 mis en vol sécurisé, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS rend la main au pilote qui continue sa route selon une trajectoire 400 opposée à sa trajectoire initiale et tracée en pointillés.

La figure 8 illustre une situation analogue à celle de la figure 7 dans laquelle la zone étendue, interdite de pénétration est constituée d'un relief 401. L'aéronef 83, son pilote et son système automatique de protection du vol FFPS ou son système de protection autonome OAPS ont les mêmes comportements que dans la figure 7.

La figure 9 illustre le cas d'un évitement latéral de zones interdites de pénétration constituées par des reliefs 402 à 406 bordant un aéroport 407 et imposant le respect d'un couloir d'approche 408. Le contour du couloir

d'approche 408 est assimilé par le système automatique de protection FFPS ou le système de protection autonome OAPS de l'aéronef 83 à la réunion des limites des zones interdites. L'aéronef 83 arrive, en phase d'approche, en direction du relief 405 pour prendre l'axe de piste, selon une trajectoire 409 contrôlée par le pilote et tracée en pointillés. Le pilote retarde trop son virage de sorte que l'aéronef 83 poursuivant sa trajectoire (partie de trajectoire 410 repérée par des tirets) s'approche trop des reliefs 405, 406 et que son système automatique de protection du vol FFPS ou son système de protection autonome OAPS détecte un risque de pénétration en zone interdite et engendre une pré-alarme à l'intention du pilote. Le pilote n'ayant pas tenu compte de la pré-alarme, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS se met en alarme et prend le contrôle de l'aéronef 83 pour le repositionner vers l'intérieur du couloir d'approche, en divergence avec sa limite 408, selon une trajectoire 411 tracée en trait continu. Une fois disparue la détection d'un risque de pénétration en zone interdite et l'aéronef 83 mis en vol sécurisé, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS rend la main au pilote qui continue son approche selon une trajectoire 412 tracée en pointillés.

La figure 10 illustre un autre cas d'un évitement latéral de zones interdites de pénétration constituées par des reliefs 415,416 bordant un aéroport 417 et imposant le respect d'un couloir, au décollage ou en cas d'une approche interrompue. Les côtés du couloir sont assimilés par le système automatique de protection FFPS où le système de protection autonome OAPS de l'aéronef 83 à celles des zones interdites 415,416.

L'aéronef 83, en phase de décollage, suit, sous le contrôle du pilote, une trajectoire 418 tracée en pointillés, suivant l'axe de la piste de l'aéroport en direction du relief constituant la zone interdite 415. Le pilote retarde trop son virage de sorte que l'aéronef 83 poursuivant sa trajectoire (partie de trajectoire 419 repérée par des tirets) s'approche trop du relief 415 et que son système automatique de protection du vol FFPS ou son système de protection autonome OAPS détecte un risque de pénétration en zone interdite et engendre une pré-alarme à l'intention du pilote. Le pilote n'ayant pas tenu compte de la pré-alarme, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS se met en alarme et

prend le contrôle de l'aéronef 83 pour le repositionner vers l'intérieur du couloir de décollage, en divergence par rapport à la limite du couloir, selon une trajectoire 420 tracée en trait continu. Une fois disparue la détection d'un risque de pénétration en zone interdite et l'aéronef 83 mis en vol sécurisé, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS rend la main au pilote qui continue son décollage selon une trajectoire 421 tracée en pointillés.

Les figures 11 et 12 illustrent des cas d'évitement vertical d'une zone interdite de pénétration avec une limite de protection verticale.

Dans la figure 11, la zone interdite de pénétration à limite de protection verticale est constituée d'un ensemble de bâtiments 430, 431 et d'une antenne 432 ne devant pas être survolés en-deça d'une altitude minimum 433. L'aéronef 83 arrive, en descente, sur une trajectoire 434 contrôlée par le pilote et tracée en pointillés. Le pilote retarde trop sa mise en palier si bien que le système automatique de protection du vol FFPS ou le système de protection autonome OAPS de l'aéronef 83 détecte un risque de franchissement de l'altitude minimale autorisée et engendre une pré-alarme à l'intention du pilote alors que l'aéronef 83, toujours contrôlé par le pilote, poursuit sa descente (partie de trajectoire 435 repérée par des tiretets). Le pilote n'ayant pas tenu compte de la pré-alarme, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS se met en alarme et prend le contrôle de l'aéronef 83 pour le mettre en palier selon la trajectoire 436 tracée en trait continu. L'altitude minimale respectée et l'aéronef 83 mis en vol sécurisé, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS de l'aéronef 83 rend la main au pilote qui continue sa route selon la trajectoire 437 tracée en pointillés.

La figure 12 illustre une situation analogue à celle de la figure 11 dans laquelle la zone interdite de pénétration en-deçà d'une altitude minimale est constituée par du relief 440. L'aéronef 83, son pilote et son système automatique de protection du vol FFPS ou son système de protection autonome OAPS ont les mêmes comportements que dans la figure 11.

La figure 13 illustre un cas d'évitement vertical d'une zone interdite de pénétration à limite de protection verticale dans le cas d'un aéronef 83

atteignant la zone interdite, ici un relief 450, alors qu'il vole en palier à une altitude inférieure à la limite de protection verticale de la zone interdite mais que ses performances lui permettent un évitement de la zone interdite par le dessus. L'aéronef 83 arrive, en palier, en direction de la zone interdite 450, sur une trajectoire 451 contrôlée par le pilote et tracée en pointillés. Le pilote maintient trop longtemps le palier si bien que le système automatique de protection du vol FFPS ou le système de protection autonome OAPS de l'avion 83 détecte un risque de pénétration de l'espace de la zone interdite et engendre une pré-alarme à l'intention du pilote alors que l'aéronef 83, toujours sous contrôle du pilote, poursuit son palier (partie de trajectoire 452 repérée par des tirets). Le pilote n'ayant pas tenu compte de la pré-alarme, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS se met en alarme et prend le contrôle de l'aéronef 83 pour le faire passer à une altitude supérieure à l'altitude minimale imposée sur la zone interdite, selon une trajectoire ascendante 453 tracée en trait continu.

L'altitude minimale respectée et l'aéronef 83 mis en vol sécurisé, le système automatique de protection du vol FFPS ou le système de protection autonome OAPS de l'aéronef 83 rend la main au pilote qui continue sa route selon la trajectoire 454 tracée en pointillés.

Le système automatique de protection du vol qui vient d'être décrit généralise le principe de la protection du domaine du vol vers une protection globale du vol incluant la protection par rapport au reliefs et aux obstacles. Il n'intervient pas dans les manoeuvres de l'équipage en condition normale, d'urgence ou de secours. Il alerte l'équipage du rapprochement d'un obstacle ou d'un risque de pénétration dans une zone interdite pouvant mettre gravement en danger la suite du vol et les populations survolées. En cas d'erreur de trajectoire, il permet à l'équipage de reprendre rapidement la trajectoire appropriée. En cas d'acte délibéré de malveillance, il limite la perte possible de l'aéronef et le dommage causé au tiers qui en résulterait. II n'effectue une prise autoritaire du contrôle de l'aéronef qu'en dernier recours lorsque la probabilité pour que l'équipage réagisse favorablement pour sauver l'aéronef devient faible. En réduisant les risques de crash liés à des erreurs de trajectoire ou à des actes de malveillance, il concourt à la fois à la sûreté et à la sécurité du transport aérien.

L'architecture proposée pour ce système de protection automatique du vol est bien adaptée aux aéronefs à commandes de vol électriques dans lesquels les manches, manettes, palonniers à la disposition du pilote sont facilement neutralisables. De plus, le calculateur de gestion du vol FMS peut s'interfacer avec lui dans le but d'anticiper les prédictions de conflit du plan de vol avec le terrain au niveau tant latéral que vertical.