L' invention concerne le domaine de 1 ' avionique embarquée dans un aéronef (dans un drone par exemple ) .

ARRIERE PLAN DE L' INVENTION

Une réglementation européenne , adoptée récemment , définit trois catégories pour les drones civils : catégorie ouverte, catégorie spécifique et catégorie certifiée .

La catégorie ouverte concerne les opérations à faible risque pour la sécurité aérienne , la catégorie spécifique concerne les opérations à risque modéré , et la catégorie certifiée concerne les opérations à risque élevé .

Chaque catégorie liste des types de vol et d' opérations acceptables en fonction de caractéristiques des drones et notamment de leur masse et des systèmes de contrôle qui les équipent .

L' invention est particulièrement intéressante pour les drones civils des catégories spécifique et certifiée - mais elle peut s ' appliquer plus généralement à tout type de drone , civil ou militaire , et même à tout type d' aéronef .

Actuellement , la maj orité des drones professionnels civils présentent une masse inférieure à 25kg et ne peuvent opérer que dans des zones très peu peuplées , à portée de vue et sous régime particulier . Les drones sont utilisés par exemple pour effectuer des surveillances des lignes à haute tension .

Il n' existe pas d' avionique de contrôle du vol présentant à la fois un niveau de safety (que l ' on peut traduire par « sécurité ») élevé , et une masse , un volume et un coût compatibles avec de tels drones , qui permettrait d' étendre le champ d' action et les fonctions mises en œuvre par ces drones, ce qui ouvrirait de nouvelles opportunités de marché .

Les solutions à disposition des dronistes sont des avioniques dont le niveau de safety n' est ni démontré ni même revendiqué . Ces avioniques présentent des niveaux de safety qui sont en réalité de plusieurs ordres de grandeur inférieurs à ce qui est nécessaire pour opérer au-delà de la portée visuelle et au-dessus de zones avec une densité de population plus importante .

On a donc, pour répondre aux contraintes de safety imposées , décidé de travailler sur un référentiel similaire à celui des aéronefs certifiés organisés en ATA (pour Air Transport Association) , afin d ' embarquer les fonctions nécessaires à la sécurité du vol .

Le fait d ' embarquer ces fonctions permet de bénéficier des preuves de certification associées à des normes telles que les ETSO (pour European Technical Standard Order, ETSO 0145 par exemple , Airborne navigation sensors using the GPS...) . Dans une telle architecture , les différentes fonctions , portées par des équipements différents , communiquent entre elles à l ' aide de bus numériques . Les avioniques disponibles sur le marché répondent maj oritairement à ce type d' architecture , qui sont communes auj ourd' hui en aéronautique .

Cependant , ces architectures en ATA sont clairement incompatibles avec les drones visés , du fait de leur masse , de leur volume et de leur coût .

On a donc envisagé d' utiliser des solutions existantes développées pour des avions conçus pour être conformes avec la spécification de certification EASA CS-23 , qui est applicable aux avions de catégorie normale , utilitaire , acrobatique ou navette . Les exigences de safety requises pour ce type d' avions sont moins importantes que celles atteintes par les architectures en ATA, et sont relativement proches des exigences requises pour les drones .

Cependant , à nouveau, ces solutions d' avionique existantes ne sont pas applicables aux drones visés , du fait de leur masse , de leur volume et de leur coût .

On comprend donc que les architectures avioniques existantes , permettant d' obtenir des niveaux de safety acceptables , ne sont pas compatibles avec les exigences de conception des drones , qui sont régies par les contraintes dites de « SWaP-C » (pour Size , Weight, Power and Cost ) . Ces avioniques existantes ne peuvent pas être embarquées dans des drones , et il n' existe à ce j our pas d' avionique présentant un niveau de safety acceptable dans un volume et des coûts compatibles avec un drone d' une masse inférieure à deux cents kilogrammes .

Les documents US20140027564A1 et US 2018 / 001994A1 divulguent des calculateurs qui comportent plusieurs voies de traitement .

Les voies de traitement de chaque calculateur diffèrent entre elles , chaque voie de traitement donnée ayant une spécificité propre qui diffère des spécificités propres des autres voies de traitement .

OBJET DE L' INVENTION

L' invention a pour but de fournir une avionique présentant un niveau de safety élevé , et une masse , un volume et un coût réduits .

RESUME DE L ' INVENTION

En vue de la réalisation de ce but , on propose un calculateur agencé pour être embarqué dans un aéronef qui comprend au moins un actionneur de commande de vol , le calculateur comprenant un boîtier dans lequel sont intégrées au moins trois voies de traitement qui sont physiquement séparées , chaque voie de traitement comprenant : un premier module agencé pour acquérir des mesures produites par au moins un capteur associé à ladite voie de traitement, pour estimer à partir de ces mesures des paramètres de navigation, et pour vérifier une première validité des paramètres de navigation en les comparant avec ceux estimés par les premiers modules des autres voies de traitement ;

- un deuxième module agencé pour générer des commandes à partir d' une consigne de traj ectoire de l ' aéronef et de paramètres de navigation estimés par le premier module de ladite voie de traitement et dont la première validité a été vérifiée ;

- un troisième module agencé pour vérifier une deuxième validité des commandes en les comparant avec celles générées par les deuxièmes modules des autres voies de traitement ; le calculateur étant agencé pour transmettre les commandes , dont la deuxième validité a été vérifiée , pour piloter le ou les actionneurs de commande de vol .

L' intégration, dans un seul calculateur, de trois voies de traitement physiquement séparées , associées chacune à au moins un capteur distinct, et comprenant chacune des modules qui calculent et vérifient les paramètres de navigation et les commandes , permet d' obtenir une avionique avec un haut niveau de safety et présentant une masse , un volume et un coût réduits .

On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement , le ou les capteurs associés à ladite voie de traitement comprennent au moins un capteur externe situé à l ' extérieur du calculateur, et/ou au moins un capteur interne intégré dans ladite voie de traitement .

On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement, le ou les capteurs externes associés à ladite voie de traitement comprennent au moins un capteur de pression et un magnétomètre , et dans lequel les paramètres de navigation comprennent une vitesse air, une altitude et un cap magnétique .

On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement, le ou les capteurs internes associés à ladite voie de traitement comprennent des capteurs intégrés dans un système de positionnement par satellites et dans une unité de mesure inertielle intégrés dans ladite voie de traitement , et dans lequel les paramètres de navigation comprennent une position et une attitude .

On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement, le calculateur est agencé pour, si la première validité d' un paramètre de navigation estimé par le premier module de ladite voie de traitement n' est pas vérifiée , ne plus utiliser un capteur qui est associé à ladite voie de traitement et qui a été utilisé pour estimer ledit paramètre de navigation .

On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement, le calculateur est agencé pour, si la première validité d' un paramètre de navigation estimé par le premier module de ladite voie de traitement n' est pas vérifiée , désactiver ladite voie de traitement .

On propose de plus un calculateur tel que précédemment décrit, dans lequel , à un temps T, les voies de traitement comprennent une voie maître actuelle, le calculateur étant agencé pour :

- si la deuxième validité des commandes générées par le deuxième module de la voie maître actuelle est vérifiée , utiliser lesdites commandes pour piloter le ou les actionneurs de commande de vol ;

- sinon, désactiver la voie maître actuelle et désigner une nouvelle voie maître .

On propose de plus un calculateur tel que précédemment décrit, dans lequel , pour chaque voie de traitement, la vérification de la deuxième validité réalisée par le troisième module comprend une comparaison bit à bit et un vote maj oritaire .

On propose de plus un système d' avionique comprenant :

- au moins trois équipements de mesure intégrant chacun au moins un capteur externe ;

- un calculateur tel que précédemment décrit , chaque voie de traitement du calculateur étant reliée à l ' un des équipements de mesure ;

- au moins un actionneur de commande de vol ;

- un équipement d' interface distinct associé à chaque actionneur de commande de vol , chaque équipement d' interface étant relié au calculateur et audit actionneur de commande de vol et étant agencé pour acquérir une commande émise par le calculateur, pour transmettre ladite commande audit actionneur de commande de vol pour le piloter, et pour remonter au calculateur des signaux montants représentatifs d' un fonctionnement dudit actionneur de commande de vol .

On propose de plus un système d' avionique tel que précédemment décrit, ledit équipement d' interface étant agencé pour être connecté à une source d' alimentation intégrée dans l'aéronef, et pour fournir une tension d'alimentation à l'actionneur de commande de vol pour 1' alimenter .

On propose de plus un système d' avionique tel que précédemment décrit, dans lequel les signaux montants comprennent des signaux de surveillance représentatifs d'un état de l'actionneur de commande de vol.

On propose de plus un système d' avionique tel que précédemment décrit, dans lequel les signaux montants comprennent des signaux de retour qui sont utilisés par les deuxièmes modules des voies de traitement du calculateur pour produire les commandes.

On propose de plus un système d' avionique tel que précédemment décrit, dans lequel les signaux de retour sont représentatifs d'une position d'un rotor d'un moteur électrique de l'actionneur de commande de vol et/ou d'une position d'un organe actionné par ledit moteur électrique.

On propose de plus un aéronef comprenant un système d' avionique tel que précédemment décrit.

On propose de plus un aéronef tel que précédemment décrit, l'aéronef étant un drone.

L'invention sera mieux comprise à la lumière de la description qui suit d'un mode de mise en œuvre particulier non limitatif de l'invention.

BREVE DESCRIPTION DES DESSINS

Il sera fait référence aux dessins annexés parmi lesquels :

[Fig. 1] la figure 1 représente un système d' avionique d'un drone, qui comprend un calculateur, des équipements de mesure, des équipements d'interface, et des actionneurs de commandes de vol ; [Fig. 2] la figure 2 est une vue similaire à la figure 1, le calculateur étant représenté de manière plus détaillée ; [Fig. 3] la figure 3 représente un équipement d'interface.

DESCRIPTION DETAILLEE DE L'INVENTION

En référence aux figures 1 et 2, un drone 1 intègre un système d' avionique 2 qui comprend un calculateur 3, au moins un équipement de mesure 4 (ici trois équipements de mesure 4a, 4b, 4c sont représentés) , au moins un actionneur de commande de vol 5 (ici deux actionneurs de commandes de vol 5a, 5b sont représentés) , et un équipement d'interface 6 pour chaque actionneur de commande de vol 5 (et donc ici deux équipements d'interface 6a, 6b) .

Bien sûr, l'architecture représentée n'est aucunement limitative et, en particulier, le nombre d'équipements de mesure 4, le nombre d' actionneurs de commandes de vol 5 et le nombre d'équipements d'interface 6, qui sont effectivement embarqués dans le drone 1, peuvent être différents. En particulier, le nombre d' actionneurs de commande de vol 5 est en réalité probablement plus important et par exemple égal à six ou huit.

Les trois équipements de mesure 4 sont identiques, mais indépendants et séparés physiquement. Les trois équipements de mesure 4 mesurent les mêmes grandeurs.

Le calculateur 3 est relié à chaque équipement de mesure 4 par des liaisons numériques 7 : 7a, 7b, 7c.

Chaque équipement de mesure 4 intègre au moins un capteur externe 8, ainsi qu'un module de traitement 11. Par « capteur externe », on entend que le ou les capteurs ne sont pas intégrés dans le calculateur 3. Chaque équipement de mesure 4 intègre au moins un capteur de pression (en l'occurrence un baromètre et une sonde pitot) et un magnétomètre . Le module de traitement 11 de chaque équipement de mesure 4 numérise les mesures produites par les capteurs externes 8 dudit équipement de mesure 4, et transmet ces mesures « brutes » numérisées au calculateur 3 via la liaison numérique 7 correspondante.

Les mesures cheminent donc, depuis les équipements de mesure 4 vers le calculateur 3, selon des flux Fl, qui sont des flux monodirectionnels et indépendants.

Les actionneurs de commandes de vol 5 (on parlera dans la suite d' « actionneurs » pour simplifier la description) comprennent par exemple un ou des actionneurs de gouvernes du drone 1 et/ou un ou des actionneurs de moteurs du drone 1. Les actionneurs 5 sont des actionneurs dits COTS (pour Commercial Off-The-Shelf, c'est-à-dire qu'il s'agit d' actionneurs disponibles qui ne présentent pas de caractéristiques particulières pour être intégrées dans le système d' avionique 2 décrit ici) .

Le calculateur 3 est connecté à l'actionneur 5a via l'équipement d'interface 6a et à l'actionneur 5b via l'équipement d'interface 6b.

Le calculateur 3 est connecté à l'équipement d'interface 6a et à l'équipement d'interface 6b par deux bus CAN 9 distincts (CAN pour Controller Area Network) : un bus CAN 9a et un bus CAN 9b.

Chaque équipement d' interface 6 est relié à un actionneur 5 par un bus CAN 10 : l'équipement d'interface 6a est relié à l'actionneur 5a par un bus CAN 10a, et l'équipement d'interface 6b est relié à l'actionneur 5b par un bus CAN 10b.

Le calculateur 3 comprend un boîtier dans lequel sont intégrées au moins trois voies de traitement 12 physiquement séparées . Ici , le calculateur 3 comprend trois voies de traitement 12a, 12b et 12c .

Chaque voie de traitement 12 est connectée à un équipement de mesure 4 (distinct ) : la voie de traitement 12a est connectée à l ' équipement de mesure 4a par la liaison 7a, la voie de traitement 12b est connectée à l ' équipement de mesure 4b par la liaison 7b et la voie de traitement 12c est connectée à l ' équipement de mesure 4c par la liaison 7c .

Chaque voie de traitement 12 comprend au moins un capteur interne . Chaque voie de traitement 12 comprend ici plusieurs capteurs internes , qui comprennent des capteurs intégrés dans un système de positionnement par satellites 14 (ou GNSS , pour Global Naviga tion Satelli te System) et dans une unité de mesure inertielle 15 (ou IMU, pour Inertial Measurement Uni t) , qui sont eux-mêmes intégrés dans ladite voie de traitement 12 .

Chaque voie de traitement 12 comprend de plus des composants d' alimentation 16 qui alimentent ladite voie de traitement 12 à partir de deux sources d' alimentation 18 du drone 1 à laquelle est connecté le calculateur 3 . Les deux sources d' alimentation 18 sont généralement des batteries .

Chaque voie de traitement 12 comprend en outre un ou plusieurs composants de traitement 19 , et par exemple un processeur ou un microprocesseur quelconque ( s ) , généraliste ( s ) ou spécialisé ( s ) (par exemple un DSP, pour Digi tal Signal Processor, ou un GPU, pour Graphics Processing Uni t) , un microcontrôleur, ou bien un circuit logique programmable tel qu' un FPGA (pour Field Programmable Gate Arrays) ou un ASIC (pour Application Specific Integra ted Circui t) .

Chaque voie de traitement 12 comprend aussi une ou des mémoires 20 . Au moins l ' une de ces mémoires 20 forme un support d'enregistrement lisible par ordinateur, sur lequel est enregistré au moins un programme d'ordinateur comprenant des instructions qui permettent à la voie de traitement 12 de réaliser les fonctions décrites ici. L'une de ces mémoires 20 peut être intégrée dans l'un des composants de traitement 19.

Chaque voie de traitement 12 comprend de plus un premier module 21, un deuxième module 22 et un troisième module 23.

Les modules 21, 22, 23 sont ici des modules fonctionnels et sont implémentés dans le ou les composants de traitement 19 qui viennent d'être décrits. Les modules 21, 22, 23 peuvent être des modules purement logiciels, purement matériels, ou bien partiellement logiciels et partiellement matériels .

On décrit maintenant plus précisément le fonctionnement du calculateur 3.

Comme on l'a vu, chaque voie de traitement 12 est associée à au moins un capteur externe 8 (ici à trois) et/ou (ici et) à au moins un capteur interne (qui sont intégrés ici dans un GNSS 14 et dans une IMU 15) .

Dans chaque voie de traitement 12, le premier module 21 acquiert les mesures produites par les capteurs associés à ladite voie de traitement 12, c'est-à-dire par les capteurs externes 8 de l'équipement de mesure 4 auquel ladite voie de traitement 12 est connectée, et par les capteurs internes 14, 15 intégrés dans ladite voie de traitement 12.

Le premier module 21 de ladite voie de traitement 12 estime alors, à partir de ces mesures, des paramètres de navigation .

Les paramètres de navigation comprennent ici une vitesse air, une altitude et un cap magnétique (du drone 1) , obtenus à partir des mesures produites par les capteurs externes 8 , et une position et une attitude (du drone 1 ) , obtenues à partir des mesures produites par le système de positionnement par satellites 14 et par l ' unité de mesure inertielle 15 .

Les premiers modules 21 des trois voies de traitement 12 s ' échangent alors les paramètres de navigation qu' ils ont chacun estimés à partir des capteurs associés à leur voie de traitement 12 .

Les paramètres de navigation cheminent entre les premiers modules 21 selon des flux F2 , sur un bus interne 24 inter-voies .

Chaque premier module 21 émet aussi sur le bus interne 24 des signaux de surveillance des capteurs internes 14 , 15 et externes 8 associés à la voie de traitement 12 à laquelle appartient ledit premier module 21 . Pour chaque capteur, les signaux de surveillance comprennent une information sur l ' état dudit capteur (par exemple état normal , panne , problème de connexion du capteur, etc . ) .

Le premier module 21 de chaque voie de traitement 12 vérifie alors une première validité des paramètres de navigation qu' il a estimés en les comparant avec ceux estimés par les premiers modules 21 des autres voies de traitement 12 .

Pour cela, le premier module 21 de chaque voie de traitement 12 , pour chaque paramètre de navigation, compare la valeur dudit paramètre de navigation qu' il a estimée avec une moyenne des valeurs du même paramètre utilisées de navigation estimées par les premiers modules 21 des autres voies de traitement 12 .

Un premier vote est donc réalisé par chaque premier module 21 sur les paramètres de navigation . Si la valeur du paramètre de navigation que ledit premier module 21 a estimée est incluse dans un intervalle [M-a ; M+a] , où M est la moyenne et a est une marge de tolérance, le premier module 21 considère que la première validité dudit paramètre de navigation est vérifiée , c' est- à-dire que le paramètre de navigation qu' il a estimé est valide .

Si la valeur dudit paramètre de navigation n' est pas incluse dans cet intervalle, le premier module 21 considère que la première validité dudit paramètre de navigation n' est pas vérifiée , c' est-à-dire que le paramètre de navigation qu' il a estimé n' est pas valide .

Pour chaque voie de traitement 12 , si la première validité d' un paramètre de navigation estimé par le premier module 21 de ladite voie de traitement 12 n' est pas vérifiée , le calculateur 3 n' utilise plus le capteur (externe ou interne) qui est associé à ladite voie de traitement 12 et qui a été utilisé pour estimer ledit paramètre de navigation .

Alternativement, pour chaque voie de traitement 12 , si la première validité d' un paramètre de navigation estimé par le premier module 21 de ladite voie de traitement 12 n' est pas vérifiée , le calculateur 3 désactive ladite voie de traitement 12 . Le calculateur 3 passe donc d' une configuration triplex (à trois voies ) à une configuration dual lane (à deux voies ) . Les capteurs externes 8 et internes 14 , 15 associés à ladite voie de traitement 12 ne sont plus utilisés .

Chaque voie de traitement 12 reçoit, via une liaison numérique 25 , une consigne de traj ectoire Ct du drone 1 .

La consigne de traj ectoire Ct du drone 1 est par exemple préenregistrée dans le calculateur 3 ou dans un autre équipement du drone 1 , ou bien est calculée en temps réel par le calculateur 3 ou par un autre équipement du drone 1 , ou bien est envoyée par une station sol, par un autre aéronef , etc .

Chaque voie de traitement 12 reçoit aussi , via une liaison numérique 26 , des signaux de surveillance des commandes de vol , qui sont transmis au calculateur 3 par des équipements qui surveillent les commandes de vol , ou par des fonctions internes au calculateur 3 .

Le deuxième module 22 de chaque voie de traitement 12 génère alors des commandes à partir de la consigne de traj ectoire Ct du drone 1 et des paramètres de navigation estimés par le premier module 21 de ladite voie de traitement 12 , dont la première validité a été vérifiée .

Pour chaque commande de vol , les commandes sont générées uniquement si les signaux de surveillance des commandes de vol indiquent que celle-ci fonctionne correctement .

Chaque deuxième module 22 transmet alors à tous les troisièmes modules 23 les commandes qu' il a générées .

Les commandes cheminent donc depuis les deuxièmes modules 22 vers les troisièmes modules 23 selon des flux F3 . Ces données circulent sur un bus interne 28 (un bus Ethernet en l ' occurrence ) , inter-voies .

Dans chaque voie de traitement 12 , le troisième module 23 de ladite voie de traitement 12 vérifie une deuxième validité des commandes que le deuxième module 22 de ladite voie de traitement 12 a générées , en les comparant avec les commandes générées par les deuxièmes modules 22 des autres voies de traitement 12 .

Pour chaque voie de traitement 12 , la comparaison réalisée par le troisième module 23 est une comparaison bit à bit entre les données afin de détecter, via un vote maj oritaire (2 sur 3 ) , une voie de traitement 12 défaillante . Le vote bit à bit permet de ne pas faire appel à une logique de seuils ou de moyennes , et rend le vote plus simple et plus robuste . Cette méthode nécessite cependant une synchronisation des processus entre les différentes voies de traitement 12 , afin de garantir que les calculs sont réalisés simultanément à partir des mêmes données .

Les troisièmes modules 23 envoient sur le bus 28 un état de la validité du calcul de commandes sur chacune des voies 12 .

Chaque troisième module 23 est relié à deux émetteurs- récepteurs CAN 27 , l ' un étant connecté au bus CAN 9a et l ' autre au bus CAN 9b . Les émetteurs-récepteurs CAN 27 convertissent les signaux produits par les troisièmes modules 23 en signaux compatibles avec un bus CAN .

Chaque voie de traitement 12a, 12b, 12c est reliée à l ' équipement d' interface 6a par le bus CAN 9a et par le bus CAN 9b, et à l ' équipement d' interface 6b par le bus CAN 9a et le bus CAN 9b . L' utilisation des deux bus CAN 9a et 9b permet d' introduire une redondance de la liaison .

Au temps T , les voies de traitement 12 comprennent une voie maître actuelle . Par exemple , au démarrage du calculateur 3 , la voie maître est la voie de traitement 12a .

Si la deuxième validité des commandes générées par le deuxième module 22 de la voie maître actuelle 12a est vérifiée, les commandes générées par ledit deuxième module 22 de la voie de traitement 12a sont émises sur les bus CAN 9a et 9b pour piloter les actionneurs 5a, 5b .

Par contre , si la deuxième validité des commandes générées par le deuxième module 22 de la voie maître actuelle 12a n' est vérifiée , c' est-à-dire si au moins une commande à destination d' au moins un actionneur n' est pas valide , le calculateur 3 désactive la voie maître actuelle et désigne une nouvelle voie maître. On peut par exemple prévoir que, lorsque la voie maître actuelle est la voie 12a et que les commandes produites par cette voie ne sont pas valides, la voie 12b devient la nouvelle voie maître. De même, après la voie 12b, c'est la voie 12c qui devient la nouvelle voie maître .

Comme on l'a vu, le calculateur 3 est connecté à chaque actionneur 5 via un équipement d'interface 6 distinct.

En référence à la figure 3, chaque équipement d'interface 6 comprend un module d'interface calculateur 30, un module d'interface actionneur 31, un module de gestion d'alimentation 32, un module d'alimentation et de supervision 33, un module de retour 34, et un module de traitement et de diagnostic 35.

Le module de gestion d'alimentation 32 est connecté à la source d'alimentation 18. Le module de gestion d'alimentation 32 reçoit une énergie d'alimentation générée par la source d'alimentation 18 et produit au moins une tension d'alimentation pour alimenter l'équipement d'interface 6 et l' actionneur 5 auquel est connecté l'équipement d'interface 6. Le module de gestion d'alimentation 32 produit des signaux de surveillance représentatifs d'un état de la source d'alimentation 18, et les transmet au module de traitement et diagnostic 35.

Le module d'alimentation et de supervision 33 fournit la tension d'alimentation V à l' actionneur 5 (plus précisément, au moteur électrique de l' actionneur 5) . Le module d'alimentation et de supervision 33 surveille la consommation de l' actionneur 5. Le module d'alimentation et de supervision 33 tente notamment de détecter une anomalie dans le courant consommé (nul, trop élevé, etc.) . Le module d'alimentation et de supervision 33 produit des signaux de surveillance représentatifs d'une consommation électrique de l'actionneur 5, et les transmet au module de traitement et de diagnostic 35.

Le module d'interface calculateur 30 est relié au calculateur 3 via les bus CAN 9a et 9b, et reçoit les commandes Cm émises par la voie maître actuelle (ici la voie 12a) .

Le module de traitement et de diagnostic 35 acquiert les commandes Corn et, possiblement, réalise des traitements sur les commandes Corn. En particulier, si nécessaire, le module de traitement et de diagnostic 35 convertit les commandes Corn dans un format compatible avec l'actionneur 5. Le module de traitement et de diagnostic 35 vérifie aussi que les données cheminant sur les deux bus CAN 9a et 9b sont bien cohérentes.

Le module de traitement et de diagnostic 35 transmet alors les commandes Corn à l'actionneur 5 pour le piloter, via le module d'interface actionneur 31 et le bus 10.

Le module de traitement et de diagnostic 35 acquiert aussi, via le module d'interface actionneur 31 et le bus 10, des signaux de surveillance, produits par l'actionneur 5, et représentatifs d'un état de l'actionneur 5.

Le module de retour 34 acquiert des signaux de retour Sr. Les signaux de retour Sr sont ici des signaux analogiques, produits par l'actionneur 5 (c'est-à-dire par un ou des capteurs intégrés dans ou reliés à l'actionneur 5) .

L'actionneur 5 comprend un moteur électrique et un organe qui est actionné par le moteur électrique.

Les signaux de retour Sr sont représentatifs d'une position du rotor du moteur électrique et/ou d'une position de l ' organe actionné par le moteur électrique de l' actionneur 5 . Le retour de position est indépendant de la commande .

Le module de retour 34 transmet les signaux de retour Sr au module de traitement et diagnostic 35 .

Le module de traitement et diagnostic 35 réalise des traitements et des diagnostics relatifs au fonctionnement de l ' actionneur 5 et de la source d' alimentation 18 , en utilisant les différents signaux de surveillance produits par les différents modules de l ' équipement d' interface 6 .

Le module de traitement et diagnostic 35 remonte au calculateur des signaux montants Sm .

Les commandes Corn et les signaux montants Sm cheminent selon des flux F4 sur les bus CAN 9a et 9b .

Les signaux montants Sm comprennent des signaux de surveillance représentatifs d' un état de l ' actionneur de commande de vol 5 .

Les signaux montants Sm comprennent aussi les signaux de retour Sr .

Les signaux de surveillance sont utilisés par le calculateur 3 pour désactiver l ' actionneur 5 si celui-ci est défaillant . Le calculateur 3 prend en compte cette défaillance dans les lois de contrôle des actionneurs . En effet, les lois de contrôle peuvent s ' adapter à la perte d' une partie des actionneurs (allocation de contrôle) .

Les signaux de retour sont utilisés par les deuxièmes modules 22 des voies de traitement 12 du calculateur 3 pour mettre en œuvre les lois de contrôle et pour produire les commandes permettant de piloter les actionneurs 5 .

On note que les signaux de retour pourraient être différents . Dans le cas où le pilotage de l ' actionneur 5 est réalisé via un asservissement sur une autre grandeur ( couple , courant, etc.) , les signaux de retour sont alors représentatifs de cette autre grandeur.

Le calculateur 3 et le système d' avionique 2 qui viennent d'être décrits sont particulièrement avantageux.

Le calculateur 3 met en œuvre les fonctions suivantes : gestion I/O 40 (gestion des entrées/sorties) , localisation 41, navigation 42, guidage 43, pilotage 44, calcul des grandeurs aérodynamiques 45, calcul attitudes et cap 46, capteurs GNSS 47, capteurs inertiels 48, machine d'état 49 (pour les lois de commandes) , surveillance et vote 50.

Le calculateur 3 et le système d' avionique 2 permettent d' obtenir une avionique à haut niveau d' intégrité et de sûreté, dans une masse, un volume et un coût adaptés aux drones professionnels civils. La masse du système avionique 2 est typiquement inférieure à 2 kilogrammes.

L'intégration, dans un seul boîtier, des trois voies comprenant chacune leurs capteurs de position et d'attitude, des moyens de calculs, des composants d'alimentations, et de la gestion des entrées/sorties, permet de limiter la masse de câblage entre voies que l'on trouve traditionnellement sur des architectures triplex avec trois calculateurs séparés .

La mise en œuvre de logiques de vote de type triplex distribué, sur les paramètres de navigation et sur les commandes, permet d'assurer que les commandes fournies sont valides .

L'utilisation d'un équipement de mesure 4 distinct associé à chaque voie de traitement 12, intégrant les capteurs de pression statique, pression totale et magnétomètre, et communiquant avec la voie de traitement 12 associée via une liaison numérique 7, permet de s'affranchir des raccords pneumatiques utilisés généralement, ce qui facilite d'intégration du système 2 dans le drone 1 et limite la masse de celui-ci. Afin de limiter les coûts, chaque équipement de mesure 4 réalise uniquement l'acquisition des mesures, la numérisation de celles-ci et la communication de celles-ci via la liaison numérique 7. Les calculs des grandeurs utiles (vitesse air, pression atmosphérique) sont réalisés dans chaque voie 12 du calculateur 3, afin de communaliser les fonctions de calcul critiques. De plus, en limitant la longueur des pneumatiques, en plaçant l'électronique au plus près, les différents équipements du système 2 sont moins sensibles au givrage.

Le calculateur 3 met en œuvre un nombre limité d'interfaces numériques, ce qui permet de réduire la masse des connecteurs.

L'utilisation d'équipements d'interface 6, communiquant par liaison numérique avec le calculateur 3, permet de gérer les interfaces spécifiques du drone 1 dans lequel l'avionique est intégrée. Ces équipements d'interface 6 possèdent les fonctions minimales de communication et d'acquisition.

Chaque équipement d'interface 6 effectue les fonctions de surveillance des actionneurs 5, ce qui permet d'atteindre les niveaux de safety requis sur la chaine fonctionnelle de contrôle du vol, tout en utilisant des actionneurs COTS (qui n'intègrent pas nécessairement eux-mêmes des dispositifs de surveillance) .

La surveillance de chaque actionneur 5 par l'équipement d'interface 6 associé permet notamment de détecter un fonctionnement anormal de l' actionneur 5 et donc de désactiver celui-ci rapidement, par exemple en coupant son alimentation. On évite ainsi que le fonctionnement anormal de l' actionneur 5 puisse dégrader de manière importante voire dangereuse le fonctionnement du drone 1. Les données remontées par les équipements d' interface 6 permettent de mettre en œuvre des fonctions de Health Monitoring (que l'on peut traduire par maintenance prédictive) sur les actionneurs 5. De même, la comparaison des mesures réalisées par les premiers modules 21 du calculateur 3 permet de mettre en œuvre des fonctions de Health Monitoring sur les capteurs externes 8 des équipements de mesure et sur les capteurs internes.

Bien entendu, l'invention n'est pas limitée au mode de réalisation décrit mais englobe toute variante entrant dans le champ de l'invention telle que définie par les revendications .

L'invention n'est pas nécessairement mise en œuvre dans un drone civil, mais peut s'appliquer à tout type de drone.

L'invention peut aussi être mise en œuvre dans un aéronef autre qu'un drone, et par exemple dans un aéronef certifié selon la spécification de certification EASA CS-23.

Le calculateur pourrait comprendre un nombre de voies différent de trois.

Les capteurs externes pourraient être différents de ceux décrits ici, et ne sont pas nécessairement regroupés dans des équipements de mesure. Il pourrait s'agir de capteurs individuels. Les capteurs internes pourraient eux aussi être différents.

Dans le mode de réalisation décrit, les bus utilisés entre le calculateur et les équipements d'interface, et entre les équipements d'interface et les actionneurs, sont des bus CAN ; il est bien sûr possible d'utiliser des bus différents, et par exemple des bus RS (RS485 par exemple) ou des bus utilisant la technique PWM (pour Pulse Width Modulation, ou modulation de largeur d'impulsion) .